JP2009532792A - 製品認証システム - Google Patents

Abstract

物品を認証するためのシステムが、物品に関連する認証情報を管理するための認証マネージャ（４０）と、物品に関連する、認証情報又は関連情報を含む機械可読タガントを読み取るための複数の安全なタガントリーダ機器（２０、２２、２３）と、機器（２０、２２、２３）を安全にオンライン設定するための機器設定マネージャ（２５）とを備える。個々のタガントリーダ機器（２０、２２、２３）は、タガントから導出した認証情報を安全に処理し、認証マネージャ（４０）に送信するように動作可能である。認証マネージャは、受信した認証情報を使用して疑わしいイベントを識別する。疑わしいイベントが検出された場合、機器設定マネージャ（２５）は、タガントリーダ機器（２０、２２、２３）のうちの少なくともいくつかを再設定することができる。製品リコール及び／又はタガントの安全性失墜の場合にも再設定を行うことができる。
【選択図】図２

Description

本発明は、例えば、医薬品又は航空機部品産業において使用するための製品追跡及び認証システムに関し、特に、限定的されるものではないが、本発明は、機械読み出し可能なタガント(taggant)と共に使用するための安全認証システムに関する。

機械読み出し可能なタガントは、通常、製品追跡システムにおいてブランドオーナーにより使用される。このようなタガントは、バーコード、無線周波数識別（ＲＦＩＤ）タグなどを含む。追跡する製品、例えば薬剤又は航空機部品には、この製品についての固有識別情報を含むタグが各々に取り付けられており、後でタグをスキャンするか、或いは読み取ることによりこの識別情報を読み出すことができる。照合する製品の信憑性を評価するために、スキャンした情報を保存した記録／データと照合することができる。

通常、機械読み出し可能なタガント製品の追跡システムは、無線周波数識別（ＲＦＩＤ）又はその他のような特定のタガント技術を中心に構築される。偽造に関する解決策の有効性については、タガント材料の特性及び安全な取り扱いのみに依存する。特定のタガントの完全性及び／又は安全性が、なんらかの形で危うくなった場合、ブランドオーナーが選択できる唯一の選択肢は、自らの製品追跡システムの中に完全に異なるタガント技術を組み入れることである。これは、ブランドオーナーにとって極めて費用がかかり、かつ多大な時間を要してしまう。同様に、製品の照合を行う責任を負う担当者が不正行為に加担する可能性があり、従って照合機器又は製品の不適切な取り扱いにより、或いは完全性照合のイベントの結果及び／又は記録を改変することにより、完全性照合の処理の信頼性を失墜させる可能性がある。

本発明の一態様によれば、物品に関連付けられた、認証情報又は関連情報を含む機械読み出し可能なタガントを読み取るために動作する複数のタガントリーダ機器から受信した情報を使用して物品を認証するためのシステムが提供され、該システムは、物品に関連付けられた認証情報を管理するための認証マネージャと、機器のオンライン設定を保護するための機器設定マネージャとを備え、上記認証マネージャは、タガントリーダ機器から受信した認証情報を使用して疑わしいイベントを識別するように動作可能であり、上記機器設定マネージャは、このような疑わしいイベントが識別された場合、及び／又は、製品リコール及び／又はタガントの安全性の失墜に応じて、タガントリーダ機器のうちの少なくともいくつかをオンラインで再設定するように動作可能である。

タガントリーダ機器の安全なオンライン再設定を可能にすることにより、システムは、安全性に対して予測されるあらゆる脅威に、迅速かつ効果的に対応できるようになる。再設定は、ブランドオーナーが定める認証処理及び／又はポリシの一部としてタガントリーダにおいて使用される暗号キーの更新又は取り消しを含むことができる。ポリシーは、スキャンするタガントの種類と、特徴をスキャンすべき順序と、認証情報を判断するために使用すべき処理の種類と、物品上に３以上のタガントが存在する場合、どの組み合わせのタガントを使用すべきかと、リーダの使用を許可された人物のステータス及び／又は識別情報とを定めることができる。

機器設定マネージャは、以下のリーダ機能、すなわちスキャンするタガントの種類と、特徴をスキャンすべき順序と、認証情報を判断するために使用すべき処理の種類と、物品上に３以上のタガントが存在する場合、どの組み合わせのタガントを使用すべきかと、リーダの使用を許可された人物のステータス及び／又は識別情報と、キー管理体系に従うタガントリーダ機器において使用するための１又はそれ以上の暗号キーとのうちの１又はそれ以上を設定するように動作することができる。タガントリーダの設定記録は、このリーダのステータス及び機能の完全な記録が保持されるように、時間の関数として保存されることが好ましい。

タガントリーダのうちの少なくとも１つは、タガントの信憑性をオフラインで判断できるように、機械読み出し可能なタガントから読み取った情報を使用して物品の信憑性を判定するように動作可能である。上記とは別に、或いは上記に加えて、認証情報を認証マネージャへ送信することにより、オンラインで認証を行うこともでき、これにより認証マネージャが物品の信憑性を判断できるようになる。

本発明の別の態様によれば、物品を認証するためのシステムが提供され、該システムは、認証情報を保存するためのデータベース手段と、上記物品に物理的に関連付けられた機械読み出し可能なタガントを読み取るためのタガントリーダ手段と、上記データベース手段と上記タガントリーダ手段との間で、好ましくは安全な方法で通信を可能にするように設定されたタガントリーダ管理手段とを備え、該管理手段は、上記タガントリーダ手段が上記機械読み出し可能なタガントから読み取ったタガント技術固有のデータから汎用認証情報を抽出し、該抽出した汎用認証情報を、上記データベース手段に保存された認証情報と比較するように設定され、これにより、異なるタガント技術を利用する、それぞれの異なる種類のタガントを読み取るための数多くの異なるタガントリーダ手段と共にこのシステムを使用できるようになる。

本発明のさらなる態様によれば、物品を認証するためのシステムが提供され、該システムは、認証情報を保存するためのデータベース手段と、上記物品に物理的に関連付けられた機械読み出し可能なタガントを読み取るためのタガントリーダ手段と、上記データベース手段と上記タガントリーダ手段との間で、好ましくは安全な方式で通信を可能にするように設定されたタガントリーダ管理手段とを備え、該管理手段は、上記タガントリーダ手段の動的再設定を行うように設定される。

データベース手段は、タガントリーダ手段から遠隔に存在することが好ましい。データベース手段及びタガントリーダ手段の物理的／地理的位置に従って、インターネット、又はイーサネット（登録商標）、或いは他のローカルな有線又は無線ネットワークのいずれか最も適当なネットワークを介して、これらの手段の間の通信を行うことができる。

タガントリーダ手段は、例えばバーコードなどの機械読み出し可能なタガントをスキャンするためのスキャン手段を備えることができる。上記とは別に、或いは上記に加えて、タガントリーダ手段は、例えばＲＦＩＤタグなどのタガントを読み取るための別のセンサ手段を含むこともできる。

タガントリーダ手段は、認証する物品に取り付けるタガントを作成するためのタガント書き込み手段をさらに含むことができる。例えば、この書き込み手段は、例えば、物品に取り付けることができる紙ラベル上にバーコードを印刷するための１又はそれ以上のラベル印刷装置を含むことができる。タガントリーダ管理手段がタガントリーダ手段の書き込み手段の動的再設定を行うように設定することができる。

任意的に、タガントリーダ手段は、個々のヘッドが異なる種類のタガントをスキャンするように形成及び構成された複数のスキャン「ヘッド」を備えた機器を含むことができる。上記スキャンヘッドのうちの１又はそれ以上を交換できるように設定することができる。例えば、必要であればスキャンヘッドを機器に「差し込む」か、或いは機器から「引き抜く」ように設計してもよい。

タガントリーダ管理手段は、共通タガントインタフェース（ＣＴＩ）を含むことができ、タガントリーダ手段が設けられた機器にこのＣＴＩを設けることができる。ＣＴＩは、個々の上記スキャンヘッドに関連付けられたタガント技術固有のサブシステムとインタフェース接続するように設定されることが好ましい。或いは、タガントリーダ手段内に実装されるソフトウェアインタフェースとして、ＣＴＩを部分的に、又は完全に設けることができる。

本発明の第３の態様によれば、物品を認証するためのシステムが提示され、該システムは、認証情報を保存するためのデータベース手段と、上記物品に物理的に関連付けられた機械読み出し可能なタガントを読み取るためのタガントリーダ手段と、該タガントリーダ手段と上記データベース手段との間で通信を可能にするように設定されたタガントリーダ管理手段とを備え、該管理手段は、上記タガントリーダ手段と上記データベース手段との間の機密情報の通信を制御するための少なくとも１つの安全アプリケーションモジュール（ＳＡＭ）を含む。

タガントリーダ手段は、異なる物理的位置に配置することができる複数のタガントリーダ機器を含むことができる。個々のタガントリーダ機器に少なくとも１つのＳＡＭが設けられることが好ましい。

タガントリーダ管理手段は、信用管理システム（ＴＭＳ）をさらに含み、このシステムを介してタガントリーダ手段とデータベース手段との間の全ての通信が行われることが好ましい。ＴＭＳは、全てのこのような通信が安全な方法で行われることを確実にするように設定される。例えば、上記タガントリーダ手段と上記データベース手段との間の通信を暗号化するようにＴＭＳを設定することができる。ＴＭＳは、タガントリーダ機器内のＳＡＭと通信するためのハードウェアセキュリティモジュール（ＨＳＭ）を含むことが好ましい。ＴＭＳを第１のサーバ内に設け、データベース手段を第２のサーバ内に少なくとも部分的に設けることができると好都合である。システムはウェブサーバ手段を含むことができ、タガントリーダ手段は、このウェブサーバ手段を介してＴＭＳアプリケーションサーバと安全に通信することができる。

システムは、システムのユーザと物理的に関連付けられたユーザの識別情報を取得するためのユーザ入力手段をさらに備えることが好ましい。例えば、ＳＭＡＲＴカード／チップ又は同様の安全なトークン、ユーザの指紋などのユーザの生態的特徴、バーコード、ＲＦＩＤタグ、ユーザパスワード及び／又はログイン詳細項目のうちの１又はそれ以上の上に、或いはその中にユーザの識別情報を設定することができる。従って、ユーザ入力手段は、例えばＳＭＡＲＴカード／チップ又はトークンリーダ手段、生態スキャン機器、バーコード又はＲＦＩＤ読み取り手段、或いはユーザ入力キーパッドを含むことができる。

ユーザ入力手段は、異なる物理的位置に任意で配置される複数のユーザ入力手段を含むことができる。上記の又は個々のユーザ入力手段を、上記の又は個々のタガントリーダ手段と同じ機器内に設けることができると好都合である。

ユーザ入力手段は、認証する物品に関連付けられたものと同じ種類の機械読み出し可能なタガント（例えばバーコード）を含むことができ、個々のユーザには、自身のユーザの識別情報を含む上記機械読み出し可能なタガントが与えられる。例えば、ユーザが着用するバッジにバーコードを設けることができる。従って、これらのユーザタガントを読み取るためにタガントリーダ手段を使用することができる。このような担当者のバーコードラベルなどの機械読み出し可能なタガントを作成するように書き込み手段を設定することができると好都合である。

システムは、上記データベース手段と上記ユーザ入力手段との間で、好ましくは安全な方法で通信を可能にすると共に、ユーザ入力手段によって取得したユーザの識別情報を、データベース手段に保存したユーザ認証データと比較するように設定されたユーザ認証管理手段を含むことができ、これによりユーザを認証することができるようになる。上記タガントリーダ管理手段の機能としてユーザ認証管理手段を設けることができると好都合である。ユーザ入力手段及び／又はタガントリーダ手段は、認証イベントデータ記録を保存するためのデータ保存手段を含むと好都合である。システムは、ステータス、命令、及び／又は他の情報をユーザに示すための表示手段をさらに含むことができる。

ユーザ認証管理手段又はタガントリーダ管理手段は、ユーザ入力手段により取得した認証情報を、タガントリーダ手段に設けられた記憶手段にイベント記録として保存するように設定することができる。この認証情報を取得する間、タガントリーダ手段がデータベース手段からオフラインであった場合、このリーダ手段が次にオンラインになった時に、保存した情報をメモリから、例えばシステムの中央サーバにその後アップロードすることができる。

任意的に、ユーザ認証管理手段又はタガントリーダ管理手段は、認証する物品に取り付けるタガントの中に、ユーザ入力手段により取得したユーザ認証情報の少なくとも一部を盛り込むように設定することができる。このようにして、物品の認証に従事する担当者が、自身が行うタガント読み取り操作に対応するイベント記録に効果的にデジタル署名を行えることが理解できよう。各々の許可されたユーザに対してそれぞれの暗号化キーを作成するようにＴＭＳを設定し、このキーを使用して、ユーザが作成するイベント記録及び／又はデジタル署名を暗号化することができる。

ユーザ認証手段が優先権管理システムを備えるようにさらに設定することができる。例えば、このようなシステムでは、認証済みのユーザに、限られた時間、例えば２、３時間のみ認証システムへのアクセスを許可することができ、この時間経過後は、ユーザは上述のユーザ認証処理を繰り返すことにより再認証される必要がある。上記とは別に、或いは上記に加えて、優先権管理システムが、高レベルの細部にわたるアクセス、及び低レベルの限られたアクセスのような、認証システムへの異なるレベルのアクセスを異なるユーザ担当者に許可するように設定することができる。

データベース手段は、タガントリーダ手段の動作設定を制御するための設定データ、例えば予め設定した機器設定を保存するように設定されることが好ましい。データベース手段が、上記物品に関する識別データ及び／又は許可されたシステムのユーザに関する認証データを保存するようにさらに設定することができる。タガントリーダ管理手段が、保存済みの設定データを、好ましくは上記信用管理システム（ＴＭＳ）を介して、データベース手段から、タガントリーダ手段内に設けられたデータ保存手段へと動的にダウンロードするように設定することができ、これにより設定データが安全な方式でタガントリーダ手段にダウンロードされるという利点が得られる。

設定データは、リーダ手段にダウンロードする前に（ＴＭＳにより）暗号化することができる。暗号化済みの設定データを解読するためのキーを、暗号化済みの設定データと共にリーダ手段にダウンロードすることができる。タガントリーダ管理手段は、システムの使用中に現場でシステムが検出した要件に応じて、異なる設定データを複数のタガントリーダ手段のうちの異なるものにダウンロードするように設定することができる。ユーザ入力手段がタガントリーダ手段と異なる場合、データベースがユーザ入力手段に関する設定データを保存するように設定することもでき、好ましくはタガントリーダ管理手段により行われる動的再設定と同じ態様で、ユーザ認証管理手段が上記ユーザ入力手段の動的再設定を行うように設定することもできる。

信用管理システム（ＴＭＳ）は、上記データベース手段に動作データを入力し、修正できるようにするように設定されたブランド登録及び管理モジュールと、ブランドオーナーの物品の識別情報及び／又は照合キー情報をデータベース手段に入力し、修正できるようにするように設定されたブランドオーナーキー管理サブシステムと、ブランドオーナーが、認証する物品を取り扱う担当者を許可及び認証すると共に、該担当者が作成及び／又は署名したイベント記録を検証できるように設定されたブランドオーナーキー管理サブシステムと、データベース手段のステータス及び／又は該データベース手段の内容に関する情報を提供するように設定されたシステム管理モジュールと、認証機能及び安全機能を提供するように設定された認証サブシステムモジュールとを含む複数の機能モジュールを備えることが好ましい。

認証サブシステムモジュールは、異なる機能を実行するための複数のサブモジュールを備えることができる。これらのサブモジュールは、個々のタガントリーダ機器内のＳＡＭが演じる役割と同じ態様で、安全なキーの作成及びキーの保存、並びに同様に機密性を有するデータの処理を行うように設定された物理的に改ざん不可能なハードウェアセキュリティモジュール（ＨＳＭ）サブシステムと、システムのユーザが認証されることを確実にすると共に、システムモジュールのうちの２又はそれ以上の間に安全性を提供するように設定された安全ログイン及び認証サブモジュールと、報告を作成し、及び／又は警報信号を発するように設定された監査サブシステムと、システムモジュールのうちの１又はそれ以上の間でメッセージを送受信するように設定されたメッセージサブシステムとのうちの１又はそれ以上を含むことができる。安全ログイン及び認証サブモジュールによって認証されていないユーザが検出された場合、警報信号を発生させることができる。

本発明のさらに別の態様によれば、１又はそれ以上の機械読み出し可能なタガントを有する物品を認証するためのシステムが提供され、該システムは、異なるタガント又は異なる種類のタガントを読み取るように動作可能であると共に各々がタガントからタガント固有の情報を読み取るようにされた複数の異なるタガントリーダから受信する、物品に関する認証情報を管理するための管理手段を備え、複数のリーダ装置から得たデータを、汎用又は共通フォーマットに変換するための共通インタフェースを含む。

本発明の大きな利点は、システムがいくつかの異なるタガント技術を利用できる点であり、この場合管理手段は、タガントリーダ手段を使用して複数の異なる種類のタガントを読み取れるようにするか、或いは複数の異なるタガントリーダ手段を使用できるように設定される。上記に加えて、或いは上記とは別に、例えば、任意の１つの物品上の異なるタガント又は異なるタガントの特徴を読み取るように、システムを自動的に再設定することができ、この場合タガントリーダインタフェース手段は、タガントリーダ手段を自動再設定できるように設定される。このようにして、異なるタガント技術を導入し、廃止し、同時にサポートし、或いは新しいシステムと組み合わせることさえもできる。これにより、ブランドオーナー及びシステムにおけるその他の利害関係者に、より柔軟性があり、将来に対応した方法が提供されることになる。例えば、偽造者に対して、以前よりもはるかに迅速かつ容易に新しい異なる対抗手段を導入することにより、これらのブランドオーナー及びその他の利害関係者は、自らの製品認証業務／製品管理業務を管理する能力を有するようになる。

システムは、複数のシステムモジュール及びデータベース手段と通信を行うための、及びこれらの間の通信を可能にするための中央サーバを含むことが好ましい。上述したように、この中央サーバはＴＭＳアプリケーションサーバであってもよい。

データベース手段は分散データベースであることが好ましく、この場合データベース手段は、異なる物理的位置、例えば、製品供給及び流通チェーン内の異なる工場／倉庫の場所に配置された複数のデータベースモジュールを備えることが好ましい。任意的に、上記タガントリーダ機器のうちの１又はそれ以上は、少なくとも１つの上記データベースモジュールを組み込むことができる。上記による大きな利点として、システムの使用時に中央サーバへのオンライン接続がいつ途切れても、上記１又はそれ以上のタガントリーダ機器は、依然として何らかの「オフライン」機能を有することができ、この機能により、例えば、認証する物品及び／又は認証する担当者に関するいくつかの認証情報、及び／又はタガントリーダ手段を設定するための設定情報を用いて、機器に含まれるローカルなデータベースモジュールをプログラムできるという事実により、タガントリーダ手段のいくつかの動作を行えるようにすることができるという点が挙げられる。

タガントリーダ手段は、１又はそれ以上の種類の機械読み出し可能なタガントを読み取るように形成及び構成することができる。このようなタガントは、例えば、１次元又は２次元のバーコード、ＲＦＩＤタグ、蛍光タグ、又は他の任意の適当なタガントの種類を含むことができる。ほとんどの場合、機械読み出し可能なタガントは、認証／管理する物品に物理的に取り付けられるか、或いは別様に組み込まれることになる。しかしながら、場合によっては、タガントは、物品自体に固有の特徴のみを含み、タガントリーダ手段がそれを読み取るように設定される場合、例えば、目に見える又は隠れた特徴を含むだけで、リーダ手段がそれを検出する／読み取るように設計される場合もある。従って曖昧性を避けるために、本明細書で使用する「タガント」という用語は、認証する物品に取り付けられた物理的タグ又はマーカに限定することを意図されたものではなく、物品自体の中に元来備わっている目に見える又は隠れた特徴をも含むことを意図されたものであることを理解されたい。

システムは、異なる地理的な場所に配置された複数のタガントリーダ手段を含むことができる。個々のこのようなタガントリーダ手段には、システムの中央サーバ、特にこのサーバのタガントリーダ管理モジュールと通信するための通信インタフェースが設けられ、これらの間で情報交換が行われることが好ましい。タガントリーダ管理手段は、保存された設定データを、データベース手段から、タガントリーダ手段内に設けられたデータ保存手段に動的にダウンロードするように設定することができる。

複数の異なる警告状態を検出するように、システム、例えばそのブランド登録及び管理モジュールを構成することができ、上記タガントリーダ手段及び／又はユーザ認証管理手段の１又はそれ以上は、上記警戒状態のうちのいずれか１つを検出すると共に、上記警戒状態の検出時にはそれぞれの警報信号を発し、該警報信号を、上記通信インタフェースを介して中央サーバへ通信するように設定することができる。任意的に、タガントリーダ手段及び／又はユーザ認証管理手段は、オフライン機能で、すなわち中央サーバと通信せずに機能することができるが、上記警報信号の発生時にサーバとオンラインになるように形成及び構成することができる。

予め定義した警戒状態により、例えば、偽造者から受ける異なる脅威レベルを表すことができる。このシステムの利点は、認知した脅威のレベルに応じて、認証手順を異なる感度レベルに設定できるという点、例えば、偽造者からの脅威が高いと認知した場合、非常に高感度の認証手順を行うようにリーダ手段を設定できるという点にある。異なる国、異なる場所、又は異なる製品の種類において、機器に対して異なる脅威レベルを設定することができる。これにより、高い脅威が存在するところに製品認証資源を集中させ、低い脅威しか存在しないエリアで時間と資源を浪費しないようにすることが可能になる。

システムは、特定の警報信号の検出時に、予め設定した行動を行うように設定されることが好ましい。例えば、タガントリーダ管理手段モジュールのリーダ設定機能によって、上記タガントリーダ手段のうちの１又はそれ以上を、好ましくはほぼリアルタイムで自動的に再設定すると共に、認証／管理対象の物品に関連付けられた異なる種類のタガント及び／又は異なるタガントの特徴を読み取るようにシステムを形成及び構成することができる。このようにして、１つのタガント又はタガントの特徴が破損した場合、異なるタガント又は異なるタガントの特徴を読み取るようにシステムを切り替えることができる。

再設定は、タガントリーダ手段が使用するための新しい「特徴抽出」データの組をタガントリーダ手段にダウンロードするステップを含むことができる。このダウンロードされるデータはダウンロード前に暗号化され、暗号化されたデータと共にキーがダウンロードされ、タガントリーダ手段は、上記ダウンロードされたキーを使用して、暗号化された特徴の抽出データを解読するように設定されることが好ましい。システムは、任意の１つのタガントリーダ機器内にはいつでも１つのキーのみが存在できるようにするよう構成されることが好ましい。

本発明の別の態様によれば、物品を認証する方法が提供され、該方法は、タガントリーダ手段の設定を制御するための設定情報をデータベース手段に保存するステップと、上記タガントリーダ手段を用いて、物品に物理的に関連付けられた機械読み出し可能なタガントを読み取るステップと、上記データベース手段と上記タガントリーダ手段との間の通信を可能にするためのタガントリーダ管理手段を提供するステップとを含み、該管理手段は、タガントリーダ手段の動的再設定を行うように設定される。

データベース手段とタガントリーダ手段との間の通信は、インターネットを介して行うことができる。この方法は、偽造の脅威が特定された場合、タガントリーダ管理手段を使用して、タガントリーダ手段の動作設定を自動的に変更するステップをさらに含むことができる。

この方法は、予め設定した機器設定データを、安全な通信手段を介して上記データベース手段からタガントリーダ手段へダウンロードするステップを含むことが好ましい。このダウンロードは動的に行われることが好ましい。

本発明のさらに別の態様によれば、物品を認証する方法が提供され、該方法は、上記物品に関する認証情報を保存するステップと、上記物品に物理的に関連付けられた機械読み出し可能なタガントを読み取るステップと、該機械読み出し可能なタガントから読み取ったタガント技術固有のデータから汎用認証情報を抽出するステップと、該抽出した汎用認証情報を上記保存した認証情報と比較して、上記物品が本物であるか否かを判定するステップとを含み、この結果、異なるタガント技術を利用するタガントリーダ手段の多様性を利用して、それぞれの異なる種類のタガントを読み取ることができるようになる。認証情報は遠隔データベースに保存されることが好ましい。

本発明のさらに別の態様によれば、１又はそれ以上の機械読み出し可能なタガントを有する物品を認証するための認証システムが提供され、該システムは、複数の機械読み出し可能なタガント機器、例えばタガントリーダ及び／又はタガントライタの動作状態又は設定を管理するための管理手段を備え、該管理手段は、オンボード処理、例えばタガント認証処理を実行するための機器設定又は制御命令のうちの１又はそれ以上を送信するように動作可能である。認証する物品は、２又はそれ以上のタガントを有することができ、設定又は制御命令は、リーダにタガントのうちの特定の１つを読み取らせるように動作可能である。

本発明のさらなる態様によれば、１又はそれ以上の異なる機械読み出し可能なタガントからタガント固有の情報を読み取るためのタガントリーダが提供され、該リーダは、読み取った情報を処理して認証情報を出力するように動作可能であり、またこのリーダは、１又はそれ以上の異なるタガントを読み取って、及び／又は異なる処理を使用して、読み取った情報を処理するように再設定可能である。

以下、添付図面を参照しながら、単なる例示として本発明の好ましい実施形態について説明することにする。

図１は、サプライチェーン内で製品を認証／監視／管理するためにブランドオーナーが使用するための、モジュール式信用管理システム（ＭＴＭＳ）の様々な構成要素を示す図である。このようなシステムは、例えば、薬剤製品の梱包物又はパレットの進行を追跡するために製薬会社によって使用される。同様にこのようなシステムは、正規の航空機（予備）部品の追跡を維持するために、航空機製造会社及び航空会社にとって有用なものとなり得る。例えば、ウィスキー、香水、デザイナーブランドの服等のブランド商品を追跡／管理する際に、このシステムの他の用途も実行可能となる。製品／物品の偽造は、これらの産業において大きな問題であり、偽造者から受ける脅威に迅速に対応し、対抗するために使用することができる動的なプラットフォームに対する大きなニーズが存在する。

図１のＭＴＭＳは、タガントとユーザとの識別情報／認証情報を保存するためのタガント証明データベース１０を有する。またＭＴＭＳは、データベースのステータス及び／又は内容に関する情報などの様々なハウスキーピング機能へのアクセスを提供するための、ブランド登録及び管理モジュール１、タガント技術／リーダ設定管理モジュール２、ブランドオーナーキー管理モジュール３、並びにシステム管理モジュール４を含む様々な機能モジュールを有する。これらの機能モジュールの各々は、タガント証明データベース１０とインタフェース接続し、通信することができる。

ブランド登録及び管理モジュール１は、データベース１０における動作データの入力及び修正、新しいブランドオーナー及び／又はブランドオーナー製品のデータベースへの追加、並びに特定のブランドオーナー製品のうちの１つに関するブランドオーナーの詳細項目の更新を可能にする。このモジュール１とインタフェース接続するリーダ設定管理モジュール２は、新しい技術／リーダの追加、データベース１０に保存されたタガント技術データ及びタガント機器データの入力及び修正、特定の登録済み機器の機能の更新、並びに特定のリーダ装置を管理するための、このリーダに関連するキー材料の更新を可能にする。この管理モジュール２とインタフェース接続するブランドオーナーキー管理モジュール３は、データベース１０におけるブランドオーナー証明の作成と、検証キーの入力及び修正とを可能にする。このインタフェースは、特定のブランドオーナー及び／又は製品についてのアルゴリズム、証明フォーマット及びキー長の仕様に関係なく、キーの作成、ロールオーバ、破棄、廃止、及び保管を可能にする汎用インタフェースである。

モジュール１から４までの各々、及びデータベース１０は、ブランド管理アプリケーション層に含まれる。このブランド管理アプリケーション層には、ブランド管理機構層が関連付けられる。このブランド管理機構層は、ハードウェアセキュリティモジュール（ＨＳＭ）サブシステム１１、安全ログイン及び認証サービスサブシステム１２、監査サブシステム１３、及びメッセージサブシステム１４を含む様々な管理サブシステムを含む。これらのサブシステムのうちで、まずＨＳＭサブシステム１１は、安全な耐改ざん性暗号の操作、及び安全な耐改ざん性キーの保存、すなわちキーの作成、キーの取り消し、キーの保管、署名及び生成／検証を行う。ＨＳＭ１１は、ＭＴＭＳシステム内の異なる必要な機能／状況に対して異なるキーを作成する。例えば、１つの実施形態では、安全なメッセージングを実行するために使用するキーは、機器を再設定するために使用するキーとは異なるものであってもよく、他の機能、例えば異なるユーザ担当者からのデジタル署名を作成するために再度異なるキーを使用してもよい。

ログイン及び認証サブシステム１２は、システムのユーザが適切に認証されること、並びに安全サーバとクライアントＰＣとの間の通信が安全であることを確実にする。またログイン及び認証サブシステム１２は、質問／応答の作成／検証、及びアルゴリズムの選択／識別を行う。監査サブシステム１３は、認証イベント及び警報に関する生成、検証、証明、及び報告を行い、製品、ブランドオーナー、及び機器等による報告を作成し、警報登録及び反応管理を行う。メッセージングサブシステム１４は、ブランド管理アプリケーションが安全かつ信頼できる方法でメッセージを送受信するための通信を取り扱う。メッセージングサブシステム１４はまた、メッセージ配信を保証し、非同期メッセージング、メッセージ監査を行い、さらに継続的メッセージング、すなわちサブシステムサーバが停止してもメッセージが配信されることを実現する。

タガント体系内のあらゆるデータ、イベント、又は動作の完全性における信頼は、２つの要因に基づく。第１に、特定のタガントを構成する全ての材料及び装置へのアクセス、及びこれらの使用を制御することにより、認可されたタガントのアプリケーションのみが存在するという高い信頼性が生まれるようになるということである。つまりこのことは、監査可能及び説明可能でなければならない安全な取り扱い手順を意味する。第２に、あらゆる安全性管理体系において信頼を確立するために、全ての機密情報の安全な取り扱いが必要とされるということである。このことは、データ認証、エンティティ又はイベントの完全性検証、及び信用できない記録又は証明の生成などの全ての電子操作、トランザクション、及びイベントに当てはまる。つまりこのことは、上記電子操作を強化するために用いる暗号キー材料の取り扱いを、タガント材料及び装置の取り扱いと同じ方法で行って、全体的な体系の中で信用及び信頼性を確実にし、維持することを意味する。

図１のＭＴＭＳは、任意の１種類のタガントに依拠するものではない。その代わりに、このＭＴＭＳは、いくつかの、実際には多くの異なる種類のタガントの単独での或いは同時の操作及び管理に対応することができる。例えば、ＭＴＭＳは、ＲＦＢＤリーダ、ＩＤバーコードリーダ、２Ｄバーコードリーダ等に対応することができる。ＭＴＭＳは、使用できる多くの利用可能なタガントの個々の動的管理を取り扱うことができる。例えば、ＭＴＭＳは、１種類のタガント（旧式化したもの）の廃止及びそれに置き換わる新しい種類の導入などの、タガントのライフサイクルイベントを取り扱うことができる。またＭＴＭＳは、より高度な部類のタガントを取り扱うことができ、この結果、タガントの有効性は、タガントの装置又は材料のみならず、タガントに結合された、及び／又はタガント内に保存された、暗号によって保護されたデータなどの機能の組み合わせに依拠するようになる。これにより、偽造に対する新しいレベルの耐性、並びに流通を通じた安全な製品の追跡及び追尾が実現され、製品寿命の履歴全体が記録される。これらの利点は、以下の本システムについてのさらなる詳細な説明から一層明らかになるであろう。

図１のＭＴＭＳは、実際には、１又は複数のサーバマシンに内蔵された中央信用管理システム（ＴＭＳ）１５、及び複数の信用管理システムエージェント（ＴＭＳＡ）Ｔ’の形態で実現され、このＴＭＳＡ Ｔ’は、ＴＭＳシステムからのサービスを遠隔的に必要とするこれらのエンティティ内のＴＭＳシステムを代表する役割を果たす。図１のＭＴＭＳは、ブランドオーナーが使用するための汎用ブランド保護管理（ＢＰＭ）体系の一部として、或いはそれと共に使用される。この実施形態におけるＢＰＭ体系は、機械読み出し可能な安全タグ付け（ＭＳＴ）システムに基づく。バーコードスキャンシステムなどの基本的なＭＳＴシステムは、当業で一般的なものであり、当業者には十分理解されていよう。本発明では、前述のＭＴＭＳを組み込んで修正／改善したＭＳＴシステムを提案する。

図２は、ＢＰＭ体系内の「レベル１」のシステム分割における動作データの流れ（実線を参照のこと）を示す図である。図２の破線は管理メッセージの流れを表す。この体系では、登録点（ＰｏＲ）のタガントリーダ／ライタ装置２０、２１及び認証点（ＰｏＡ）のリーダ装置２２、２３が、製品流通網内の様々な位置に設けられる。リーダ装置２２、２３は、認証対象の物品のタガントを読み取るためのタガントリーダ装置を含むと共に、ＳＭＡＲＴカードリーダなどの、ユーザが認証目的で提供するユーザ識別情報を読み取るためのユーザ認証装置を含むこともできる。場合によっては、リーダ装置２２、２３が書き込み権限を有することにより、タガントを読み取るのと同様に、タガント、例えばラベルを作成できるようになる。ＰｏＲ装置２０、２１は、ＢＰＭＳ体系内の開始点又は「登録」点において、新しい、すなわち過去に認証されていない物品に取り付けるタガントを作成することができる。ＰｏＲ及びＰｏＡ装置２０、２１、２２、２３は、固定装置向けのＬＡＮを介したＴＣＰ／ＩＰ、又は携帯装置向けのＷｉＦｉ、或いはＧＳＭなどの、これらの装置にとって最も適切な何らかの標準的通信方法を使用して、様々なサービスプロバイダアプリケーションを備える主サーバシステムと通信を行い、このサービスプロバイダアプリケーションの１つが中央信用管理システム（ＴＭＳ）１５である。しかし、装置は全て、インターネットを介したＴＣＰ／ＩＰを接続に使用するという点が重要な点である。

その他のサービスプロバイダアプリケーションには、ブランド保護管理システムブランドレベル分析３０、ブランド保護管理システムストレージ３１、及び保護管理システム制御体３２が含まれる。これらの３つのアプリケーション３０、３１、３２をまとめて、ブランド保護管理システム（ＢＰＭＳ）４０と呼ぶことにする。これらのアプリケーションの各々は、ＴＭＳＡ構成要素Ｔ’を含む。データは、この構成要素を通って中央ＴＭＳ１５へと流れる。この体系は、システム内の各機器を制御するためのポリシーを管理する機器設定管理システム（ＩＣＭＳ）２５を含む。ポリシーは、例えば、読み取るタガントの種類、特定のタガントを認証するために使用すべき処理の種類、リーダの使用を認可されたユーザの等級、読み取りを行っているユーザが取る必要があるステップであるワークフロー、及びその他のタガントリーダ情報を指定する制御又は設定情報を含む。ＩＣＭＳ２５内にはＴＭＳＡ構成要素Ｔ’が含まれ、このＴＭＳＡ構成要素Ｔ’は、通常、安全アプリケーションモジュール（ＳＡＭ）、又は他の何らかの耐改ざん性の安全な構成要素上に実装される。データは、このＴＭＳＡ構成要素Ｔ’を通って中央ＴＭＳ１５へと流れる。各ＰｏＲリーダ／ライタ装置２０、２１、及びＰｏＡ装置２２、２３は、自身のＴＭＳＡ構成要素Ｔ’を含む。

図２では、ＷｉＦｉ又はイーサネットなどのローカルネットワークを使用して、１又はそれ以上のＰｏＲリーダ／ライタ装置２０、２１を、同じく自身のＴＭＳＡ構成要素Ｔ’を含むクライアントパーソナルコンピュータ（ＰＣ）などの単一の登録点（ＰｏＲ）装置３３へとリンク／配信することができる。同じく自身のＴＭＳＡ構成要素Ｔ’を含むクライアントパーソナルコンピュータ（ＰＣ）などの主ＰｏＡ装置３５によって、同様に複数のＰｏＡ装置２２、２３を同じ方法でリンク／配信することができる。下記の説明では、「ＰｏＡ／ＰｏＲ機器３５」とは、ＰｏＡ装置、又はＰｏＲ装置、或いはＰｏＲ装置とＰｏＡ装置とを組み合わせた単一の機器のことを意味するものであると理解されたい。

図３は、全体的なＢＰＭ体系の主要素、すなわち認証／管理されるタグ付き製品３６、ＰｏＡ／ＰｏＲ機器３５、ＴＭＳ１５を含むＢＰＭサービスプロバイダアプリケーション３７、システム内でブランド保護ポリシを実行するためのブランドアプリケーション３８、並びにＢＰＭサービスプロバイダアプリケーションのレベル２分割サブシステム３９を示す概略ブロック図である。ＰｏＡ／ＰｏＲ機器３５は、タガントの読み取り及び／又は書き込みに関与する。ＰｏＡ／ＰｏＲ機器３５は、この読み取り及び／又は書き込みを行うためにタガント技術固有の電子モジュールを使用し、このモジュールは、タガント固有の信号を、ＢＰＭにおいて使用するための共通データフォーマットへと変換する。全てのタガントリーダのデータがこの共通フォーマットへと変換されるため、ＢＰＭのプラットフォームはタガントにとらわれることはなく、すなわちタガントデータを文字列データ型などの共通フォーマットに変換できるのであれば、あらゆる種類のタガント又はタガントリーダを使用することができる。機器３５では、物理的に耐改ざん性を有するドメイン、好ましくは安全なマイクロコントローラに内蔵された信頼できるエージェント（すなわちＴＭＳＡ）が存在する。信頼できるエージェントは、タガント技術固有の電子モジュールに非常に密接に結合するか、或いは別様に機器３５内の主プロセッサに結合することができ、このプロセッサがこの電子モジュールと通信を行う。

信頼できるエージェントは、タガントの読み取り又は書き込みについての全ての安全性に関する態様と密接に係わる。信頼できるエージェントは、ブランドオーナーのキーのローカルなコピーを保存し、このコピーがタガントデータの認証又は登録に使用される。信頼できるエージェント内部から、ブランドオーナーのポリシーの他の機密の態様を実行することができる。例えば、より高い脅威レベルに移行するというブランドオーナーポリシーの決定がＢＰＭＳ内部で設定され、次に安全なメッセージングプロトコルを介し、ＩＣＭＳを通じてＰｏＡ／ＰｏＲ３５に通信され、最終的に信頼できるエージェント内へ通信される。その後信頼できるエージェントは、そのポリシーを実行する。この実行は、例えば、より深いレベルのスキャンを実行するように機器に指示するステップを含むことができる。また、特定のブランドオーナーの製品の範囲に２以上のタガント技術を使用する場合、ＢＰＭＳは、これらの異なるタガントにわたってスキャンを行うことが必要な方法で信頼できるエージェントを設定する。

図２の分割図から、ＴＭＳ１５が、機密情報の交換を行うべき時にはいつでもアプリケーション間の仲介役としての機能を果たすことが理解できよう。ＴＭＳ１５はまた、異なる安全性の度合いを必要とする全ての情報に対する信用環境でもある。ＴＭＳエージェントは、ＴＭＳ１５のサービスに対するインタフェースか、又は適切な場合に直接その機能のいくつかに対するインタフェースかのいずれかを提供する。また、ＴＭＳ１５は、安全なアプリケーション情報を交換するための中央ハブを提供するが、例えば、ＢＰＭＳ４０が、機器に常駐するブランド保護ポリシの更新を望む場合には、ＴＭＳＡ Ｔ’が互いに直接やり取りを行う方が実用的な状況が存在する。この例では、ＢＰＭＳ４０とＩＣＭＳ２５との間の直接的な通信の方がより適切であり、ＩＣＭＳ２５と手段との間の通信が次に来る。このように、他のシステム内に存在するＴＭＳ１５のエージェントは、必要な端末間の安全性を実現するために高度の機能を有する。

通信の仲介だけでなく、この「レベル１」分割におけるＴＭＳ１５は、全ての認証イベント情報の安全な収納庫であるとも考えられる。ブランド保護システムのみではなく、おそらくは異なる詳細の度合いでイベントデータに関心を有する可能性がある異なるエンティティに関するいくつかのインスタンス化を有することになる市場モデルについて考えた場合、これらの情報をＴＭＳ１５なとの信頼できるハブにまとめることが実用的である。ブランドオーナーだけでなく、監査機関本体までもが情報を必要とする製薬環境において、このようなシナリオの例を描くことができる。ＴＭＳ１５はまた、情報が既知の認可済みのエンティティへのみ送信されることを確実にする責任も負う。ＴＭＳ１５はまた、これらのエンティティが、権利を与えられたデータ、及び自身を対象とするデータのみの受信を許可されることも確実にする。

ＴＭＳ１５が安全な通信の仲介役としての役割を果たす場合、ＴＭＳ１５は、これらの要求を満たすように認証及び暗号サービス、並びに関連キーの管理サービスを行う必要がある。従って、「信託業務」を提供するサブシステム５０と共に、キー管理サブシステム４８が設けられる。これにより、図４に示すように、システムが「レベル２」分割されるようになる。この図から、ＴＭＳ１５が他のシステムに提供する基本サービス、従ってインタフェースが、非常に大きな度合いの共通性を有することが明らかである。異なる相互作用システムの要求はメッセージ内容で区別できる。これに関して、個々のＴＭＳエージェントＴ’は安全なメッセージング機能を含む。ＩＣＭＳ２５もまた、メッセージングサブシステム２６、並びに機器設定サービスサブシステム２７を含む。ＴＭＳ１５は、メッセージングサービスサブシステム４９、管理サービスサブシステム４７、及びブランド保護特徴（ＢＰＦ）認証イベントサブシステム４６をさらに含む。

図５は、ＭＴＭＳにとって重要な様々なエンティティを示す図である。これらのエンティティについて、その属性（エンティティが関与する情報）、適切な場合には操作、及び他のエンティティとの関係という観点から説明する。実施という観点では、これらのエンティティは、データベースにおいてテーブル及び列を表す傾向があり、このテーブル及び列は、企業が必要とする情報を保存するために使用される。下記の表１は、図５のクラス図において識別されるキーエンティティをまとめたものである。

表１：キーエンティティの要約説明

ＴＭＳ１５は、ＭＳＴ内の全てのシステムに汎用サービスを提供する。ＴＭＳ１５に必要なサービスは、２つの大まかなカテゴリー、すなわち操作サービス及び管理サービスに分類される。動作上のニーズという面では、ＴＭＳ１５は、ＭＳＴシステムに対してユーザを識別し、認証するサービスと、ＭＳＴシステムの認証済みユーザに適当な役割を割り当てるサービスと、データの暗号化及びデジタル署名の取り扱いなどの暗号サービスを提供するサービスと、ブランド保護特徴認証イベントを生成し、取得し、及び検証するサービスと、機器の権限の付与などの他の検証可能なイベントを取得し、検証するサービスとを提供する。またＴＭＳは、メッセージの無損失性が保たれること、及びメッセージのための適当な安全ポリシーが管理及び実行されることを確実にする。管理ニーズという面では、ＴＭＳ１５は、新しい認証に関する詳細及びその関連キー、役割、ブランド保護特徴、能力等を登録し、作成するサービスと、既存のユーザアカウントを管理するサービスと、特定のアカウント、製品、又は一連の品目の認証に関する監査記録を取得するサービスとをＢＰＭＳ４０に提供する。

ＴＭＳ１５は、ユーザがＭＳＴ体系にアクセスする権利を有することを認証し、これらのユーザが、権利を有する情報及び操作に対してのみアクセス権を有するようにすることを確実にする。上記の例として、図６のシーケンス図はこのような認証の基本を示している。この図は、この場合の現場管理関係者を示しているが、ＴＭＳシステムが他のエンティティ及び関係者に提供するサービスに違いがないことは明らかである。この場合もＴＭＳ１５は、与えられた信用証明を検証し、（認証された場合）そのユーザに関する役割情報を次のアクションを行うシステムに提供しなければならない。このように、ユーザ認証マネージャクラスは、与えられた信用証明を検証するためのインタフェースを提供する。このインタフェースは、ＵｓｅｒＡｕｔｈｅｎｔｉｃａｔｉｏｎＭａｎａｇｅｒクラスのインタフェースｖｅｒｉｆｙＣｒｅｄｅｎｔｉａｌにより提供される。与えられた信用証明に基づいて、上記マネージャクラスは、利用可能なＣＨＶＨａｎｄｌｅｒのうちのいずれを呼び出すべきかを判断する。異なる種類のユーザ認証に対して異なるハンドラが存在し、これらは、ユーザ個人識別番号（ＰＩＮ）、指紋認識、虹彩認識、ユーザのスマートカードによる質問／応答認証であり、或いは最も可能性が高いのは、これらのいくつか又は全ての組み合わせである。次に、ＴＭＳ１５又はそのエージェント内で、与えられたパラメータデータからクラスＶｅｒｉｆｉｃａｂｌｅＣＨＶのオブジェクトを構築することにより、適切なＣＨＶＨａｎｄｌｅｒが要求を処理する。内部のｍａｔｃｈＣＨＶＤａｔａ操作を通じて、このオブジェクトを予想されるＣＨＶデータと比較することにより、ユーザの信用証明が有効であるか否かについての判定を行うことができる。有効であれば、認証済みユーザについての役割情報が抽出され、この役割に基づいて、ユーザがこの役割の下に行うことを許可される関連操作が、機器３５に設けられたユーザインタフェースを介してユーザに提示される。

ＴＭＳの主機能のうちの１つは、基本暗号サービス化、暗号解読、及びデジタル署名サービスをＭＳＴシステム内の他のシステム及びエンティティに提供することである。これらのサービスを使用して、例えば、機密性保持のためにエンティティ間のメッセージペイロードを保護したり、また、例えば、品物の認証又は機器の設定更新を行う際に、出荷元の信憑性を提供するために使用されるデジタル署名の否認防止を行ったりする。暗号サービスに対する基本的な公開インタフェースは、インタフェースクラスＣｒｙｐｔｏＳｅｒｖｉｃｅｓＩｎｔｅｒｆａｃｅである。クラスＣｒｙｐｔｏＯｐｅｒａｔｉｏｎＣｏｎｔｒｏｌｌｅｒが、このＣｒｙｐｔｏＳｅｒｖｉｃｅｓＩｎｔｅｒｆａｃｅを実装する。

ＴＭＳのもう１つの機能は、ブランド保護特徴認証イベントを生成し、取得し、検証するサービスを提供することである。ＴＭＳ及びそのエージェントは、インタフェースクラスＢＰＦＴｒｕｓｔＳｅｒｖｉｃｅｓＩｎｔｅｒｆａｃｅを使用してこれを実現する。同様に、クラスＢＰＦＳｅｒｖｉｃｅｓＭｏｄｕｌｅが、このインタフェースクラスを実装する。また、ＴＭＳ１５及びそのエージェントは、ブランド保護ポリシーの更新及び設定変更を安全に伝送するための手段を提供する。ブランド保護ポリシーの表現は、実際に抽象型クラス、すなわちＢＰＰｏｌｉｃｙになり得る表現に一般化される。さらに、特定の機器の能力は、クラスＢＰＦＣａｐａｂｉｌｉｔｙに要約される。最終的に、ブランド保護特徴自体も、この体系全体を通じて必要とされ、従ってＢｒａｎｄＰｒｏｔｅｃｔｉｏｎＦｅａｔｕｒｅという名前のクラスによってこの特徴も要約されることになる。ＴＭＳ１５はまた、現場技術者又はブランド保護管理者が管理制御するブランド保護ポリシーに更新を行う際に、彼らによる機器の権限の付与中に発生させることができるイベントなどの「他の」検証可能イベントを発生させ、取得し、及び検証するためのサービスを提供する。ＴＭＳ及びそのエージェントは、ｏｔｈｅｒＡｕｔｈＳｅｒｖｉｃｅｓＭｏｄｕｌｅクラスが実装するインタフェースクラスｏｔｈｅｒＡｕｔｈＳｅｒｖｉｃｅｓＩｎｔｅｒｆａｃｅを使用して上記を実現する。

ＴＭＳ及びそのエージェントは、ブランド保護ポリシーの更新及び設定変更のためのメッセージなどのメッセージを安全に伝送するための手段を提供する。やり取りを行う関係者及びシステムに関連付けられた暗号キーの知識を有するのはＴＭＳ及びそのエージェントであるため、システム間で情報を転送する動作を行うのはこのシステムになる。メッセージングサービスへの基本的な公開インタフェースは、着信及び発信メッセージをそれぞれ処理するためのインタフェースクラスＭｅｓｓａｇｅＲｅｃｅｉｖｅｒｌｎｔｅｒｆａｃｅ、及びＭｅｓｓａｇｅＳｅｎｄｅｒＩｎｔｅｒｆａｃｅである。クラスＭｅｓｓａｇｅＲｅｃｅｉｖｅｒが、ＭｅｓｓａｇｅＲｅｃｅｉｖｅｒＩｎｔｅｒｆａｃｅを実装する一方で、クラスＭｅｓｓａｇｅＳｔｏｒｅＭａｎａｇｅｒは、ＭｅｓｓａｇｅＳｅｎｄｅｒＩｎｔｅｒｆａｃｅを実装する。

上述したように、ＴＭＳ１５は、ユーザアカウントを管理する適当な役割のユーザに動作を与える。ユーザ管理サービスへの基本的な公開インタフェースは、クラスｕｓｅｒＭａｎａｇｅｒが実装するインタフェースクラスｕｓｅｒＭａｎａｇｅｒｌｎｔｅｒｆａｃｅである。またＴＭＳ１５は、特定のアカウント、製品、又は一連の品目、及び特にこれらの認証に関する監査情報を取得する適当な役割のユーザに動作を与える。ＴＭＳ１５はまた、システムステータス情報を提供する。これらの役割のうちの前者に関しては、この場合も抽出すべきデータに関して、限られた特定の要件が存在する。特定の実装及び／又はブランドオーナー又は他の関係者にこのような報告が用意される。

ＩＣＭＳ２５により、分散する機器ベースのポリシー、機能、又は能力の更新が行われる。基本的には、ＩＣＭＳ２５は、個々の機器又は機器のグループ、及びこれらの機器の信頼できるエージェントの全体的な設定と、これらの（単複の）機器及びこれらの信頼できるエージェントのライフサイクル管理と、これらの（単複の）機器及びこれらの信頼できるエージェントの健全性の監視、ステータス及び障害の報告に関与する。ＴＭＳ１５及びそのエージェントＴ’が、システム間で受け渡されるメッセージの信憑性及び妥当性を保証するために基本暗号サービスを提供するのに対し、ＩＣＭＳ２５は、設置した機器の設定に関する単独の管理及び知識を有し、ＴＭＳ１５と共にこの情報を使用して、これらの機器に対する更新、設置、ポリシー又は他の設定変更を行うために適当なキーが使用されることを確実にする。

ＩＣＭＳを通じてポリシーを展開することにより、通常何千もの数になる機器を管理するための手段が提供される。全ての機器が最新のポリシーを有するとは限らない。ポリシーが、異なる時点で、又は異なるバージョンとして、異なる機器のグループに潜在的に配信される場合、システムは、それ自体が「展開」の概念を含む必要があり、この概念はポリシーが特定の機器グループに配信されたというイベントのことである。これを管理するために、ＩＣＭＳは展開マネージャを含み、この展開マネージャは、ポリシーがどこで、いつ展開されるかについて計画すると共に、これらのポリシーのうちのどのポリシーが及びどのバージョンが展開されたかという記録の保持に関与することにより、過去、現在、及び未来におけるポリシーの完全な全体像を与える全ての展開履歴をシステム内で利用可能にする。

ＴＭＳ１５及びそのエージェントＴ’は、ブランド保護ポリシーの更新及び設定の変更をＩＣＭＳから関連機器へ安全に伝送するための手段を提供する。インタフェースクラスＩｎｓｔｒｕｍｅｎｔＭａｎａｇｅｍｅｎｔＣｏｎｔｒｏｌｌｅｒＳｅｒｖｉｃｅｓは、基本的な公開インタフェースをＩＣＭＳのサービスに提供し、このインタフェースは、クラスＩｎｓｔｒｕｍｅｎｔＣｏｎｔｒｏｌｌｅｒＳｅｒｖｉｃｅｓにより実装される。ブランド保護管理システム４０に対して直接、或いはＩＣＭＳ２５、ＰｏＡ／ＰｏＲ２０〜２３及び機器３５で実行するＢＰＭＳアプリケーションに対して他のサービスが必要とされることがある。ＴＭＳ１５は、これらのサービスを潜在的に管理することができるが、役割分担を維持するために、それ自体がＴＭＳの暗号サービスを利用する別個のエンティティの方がより適当になる。これらのブランド保護特有のサービスについて以下詳述する。

上記は、使用されるインタフェースを示したものであるが、これまでに識別されているメッセージ分類の各々についての最低限のメッセージ内容について詳述することも必要である。これはＸＭＬ準拠のスキーマを通じて達成される。これらのスキーマは、コア情報及び適当な場合には実例値を提供するが、あらゆる実施構成が独自のルールを有することになり、このルールが追加要素の包含を規定することになり、及び／又は本明細書で説明する制限を変更できるようになることが予測されるため、これらのスキーマはそれ自体規定的なものではない。全ての生じ得るメッセージ又はイベント種類について本明細書で説明するわけではない。しかしながら、他のメッセージに必要とされる変更は限られており、実施構成固有のものとなる。これらの理由から、全てのこのようなメッセージ及びイベントについての要件の本質を確実に捕らえていると思われる異なる種類のメッセージの例を示すことの方がより重要であると考えられる。

機器３５とＴＭＳ１５との間のやり取りは動作レベルメッセージによって定義され、この動作レベルメッセージが、ＴＭＳ又は機器のいずれかにせきたてられて、認証点／登録点及び／又は機器３５からＴＭＳへの認証イベントバッチのアップロード及び検証と、ＴＭＳから認証点／登録点２０〜２４及び／又は機器３５への確認メッセージとを含むことにより、これらのエンティティ内におけるデータ管理が可能になり、従ってさらなる認証動作を行うことが可能になる。

ＩＣＭＳ２５と機器３５との間のやり取りは管理レベルメッセージによって定義され、この管理レベルメッセージは、（ａ）管理キーの更新、すなわち機器／認証点／登録点の管理に使用する別のキーの組のロールオーバ(rollover)、更新、交換、或いはインデックス化、（ｂ）ポリシー／設定データの更新（例えば、第２の特徴認証を可能にすること、及び／又は「別の深さ(alternate depth)」による第２のスキャンを行うこと）−このような任意の更新メッセージの内容は、個々の機器の設定可能な能力に依存することになり、この能力の詳細はＩＣＭＳ２５により保存される、（ｃ）設定データの取得、すなわち現在の設定情報の読み取り、（ｄ）機器の権限の付与−これは、更新についての特殊な場合と考えることができるが、ライフサイクル管理を行えるようにする追加情報を有すると思われる、（ｅ）ライフサイクル管理、すなわち機器及び／又はこれに関連するＴＭＳエージェントＴ’を起動し、停止し、さらに再始動するメッセージを含む。

キー管理は、ＩＣＭＳ２５ではなくＴＭＳ１５により満たされる。ＩＣＭＳは必要なルーティングを行うことができるが、キー管理を行うのはＴＭＳである。このような機密キーの管理はまた、キーの生成及び管理技術を実現するように選択された下層のプラットフォームの詳細に依存する。しかしながらこの実施形態では、ＣｒｙｐｔｏＳｅｒｖｉｃｅｓＩｎｔｅｒｆａｃｅに対して定義されたｉｍｐｏｒｔＫｅｙＳｅｔインタフェースが、除去又は更新を必要とするあらゆるキーを上書き、追加、又は交換することにより十分な機能を提供する。Ｒｅｔｒｉｅｖｅ Ｕｐｄａｔｅ Ｐｏｌｉｃｙ ａｎｄ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｄａｔａサービスは、ＩＣＭＳのＩｎｓｔｒｕｍｅｎｔＭａｎａｇｅｍｅｎｔＣｏｎｔｒｏｌｌｅｒＳｅｒｖｉｃｅｓインタフェースにより提供される。ＰｏＡ／ＰｏＲ３５は、作成されたメッセージを処理するための同等のインタフェースをサポートする。権限の付与サービスは、ＩＣＭＳ２５のＩｎｓｔｒｕｍｅｎｔＭａｎａｇｅｍｅｎｔＣｏｎｔｒｏｌｌｅｒＳｅｒｖｉｃｅｓインタフェースのｐｒｏｃｅｓｓＩｎｓｔｒｕｍｅｎｔＣｏｍｍｉｓｓｉｏｎＭｓｇの動作により提供される。ＰｏＡ／ＰｏＲ３５は、作成されたメッセージを処理するための同等のインタフェースをサポートする。ライフサイクル管理サービスは、以前定義したＩＣＭＳのＩｎｓｔｒｕｍｅｎｔＭａｎａｇｅｍｅｎｔ ＣｏｎｔｒｏｌｌｅｒＳｅｒｖｉｃｅｓインタフェースのｐｒｏｃｅｓｓＩｎｓｔｒｕｍｅｎｔＣｏｍｍｉｓｓｉｏｎＭｓｇの動作とｐｒｏｃｅｓｓＩｎｓｔｒｕｍｅｎｔＣｏｎｆｉｇＭｓｇとの組み合わせによって提供される。機器３５は、作成されたメッセージを処理するための同等のインタフェースをサポートする。

機器３５においてこれらのインタフェースをサポートするために、ＩｎｓｔｒｕｍｅｎｔＣｏｍｍｉｓｓｉｏｎｉｎｇＣｏｎｔｒｏｌｌｅｒが特定される。このクラスは、現在確認されている必要な処理をまとめるものである。機器において、このクラスは、ＩｎｓｔｒｕｍｅｎｔＣｏｍｍｉｓｓｉｏｎｉｎｇＭｅｓｓａｇｅを処理する。この処理は以下のエンティティ、すなわち、ＢＰＦ能力、ブランド保護特徴、キー情報、キー材料、ブランドオーナー及び機器管理キーのうちの任意のエンティティに対する更新をトリガーすることができる。また、ＢＰＭＳ４０において相互インタフェースが存在することにより、ブランドオーナーが、機器３５又は関連するこれらの機器のグループにこれらのデータを設定できるようになる。権限の付与及び設定データの伝達に使用されるメッセージフォーマットは、ブランド保護特徴認証イベント４６のデータの伝送に記述されるものと非常に類似している。これらのフォーマットは、一般化されたメッセージスキーマから引き継がれ、これらのフォーマット固有の仕様により拡張される。

機器３５が必要とするＴＭＳサービスは、ユーザ認証又は暗号化能力の点では、他のシステムが必要とするサービスと違いはない。従って、前述したインタフェースは、機器３５が必要とする可能性のあるＴＭＳエージェントＴ’の全てを定める。しかしながら、機器ベースのＴＭＳエージェントは、ユーザ認証及び暗号サービスのみに限定されるものではない。機器ベースのＴＭＳエージェント、又は機器プラットフォーム内のブランド保護固有の均等物により、上述したブランド保護特徴認証サービス４６を実施することもできる。説明したインタフェースは言語にとらわれないものではあるが、これらのインタフェースは、少なくとも第３又は第４世代言語のアプリケーションプログラミングインタフェースを示唆している。第３又は第４世代言語の使用は、機器プラットフォーム上では全く可能であるが、システムに必要な安全保証レベルを提供するために、ＴＭＳエージェントの実施構成は、安全なアプリケーションモジュール（ＳＡＭ）を含むことが必要となる。このようなモジュールの使用により、説明したインタフェースの提供が妨げられることもなく、ＳＡＭは、サブシステムサービスを提供することができる。

機器にＳＡＭを使用することにより、サーバが多くの重要な技術的利点をもたらすようになる。例えば、サーバは、機器とサーバとの間で耐改ざん性の通信を可能にする。サーバはまた、機器内において、ＭＡＣなどの暗号化された照合子を含むブランド保護特徴の安全なローカルでのオフライン検証、及びいくつかのタガント要素の安全な処理、例えばバーコード内における関連する２次的な特徴の配置を可能にする。機器ベースのＳＡＭはまた、例えば、全ての必要なステップが実施済みであることを確実にするために、イベント記録の安全な記録、時間、位置、ワークステーション名による記録のスタンピング、及びポリシー又はワークフローの安全な実行を可能にする。

ＳＡＭ及びその他の集積回路カード（ＩＣＣ）に関して明確に定義された仕様の組が存在し、この仕様は、電気信号、通信プロトコル、及び全てのこのようなモジュールが互換性を有するべきであるアプリケーションプロトコルデータユニット（ＡＰＤＵ）について詳述する。関連のＩＳＯ７８１６仕様は、以下の参考資料、「ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−１：識別カード−コンタクトを有する（単複の）集積回路カード−第１部、物理特性、１９９８年（２００３年改訂）」、「ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−２：識別カード−集積回路カード−第２部、コンタクトを有するカード−コンタクトの寸法及び位置−、１９９９年（２００４年改訂）」、「ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−３：情報技術−識別カード−コンタクトを有する（単複の）集積回路カード−第３部、電子信号及び送信プロトコル、１９９７年（２００２年改訂）」、「ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−４：識別カード−集積回路カード−第４部、交換のための編成、安全性、及びコマンド、２００５年」、「ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−８：識別カード−コンタクトを有する（単複の）集積回路カード−第８部、安全性操作のためのコマンド、２００４年」、並びに「ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−１１：バイオメトリック法による個人検証、２００４年」に詳述されている。

ＩＳＯ ７８１６−４は、ユーザ認証サービスを満たすためにＩＣＣが提供するインタフェースについて詳述する。ＩＳＯ ７８１６−８は、基本暗号サービスを満たすためにＩＣＣが提供するインタフェースについて詳述する。しかしながら、これらの機能を必要としない、「トランザクション生成」などの動作を実行する多くの既存の体系が存在する点に留意されたい。これらの体系は、代わりとして、Ｈ．２のユーザ認証サービスを拡張し、及び／又はＡＰＤＵインタフェースに対して独自の拡張機能を使用して、このインタフェースを単純化する。一例として、外部認証インタフェースが相互検証において用いられるのに対して、デジタル署名の作成においてしばしば用いられる内部認証インタフェースが挙げられる。

ＢＰＭＳ４０内の関係者による多くのやり取りは、他のシステムの動作の誘起を必要とする。例えば、ＢＰＭＳ４０は、ブランド管理者にインタフェースを提示することにより、このブランド管理者は、ＢＰＦ認証を行うために権限の付与を望む機器３５の能力及び設定項目を設定できるようになる。また、ブランド管理者が望む場合、ＢＰＭＳは、ポリシーの変更、例えば更新を可能にするポリシーエディタを含む。ＢＰＭＳ４０がＩＣＭＳ２５のサービスを必要とし、このためにＢＰＭＳ４０内に相互サービスが存在するという例は、ブランドオーナーが特定の対象とする受領者に与える権限付与情報の準備と、例えば、機器上のブランド保護ポリシーを更新、又は修正するために、認証点、機器、又はＴＭＳエージェントに関するメッセージを保護するための、ＢＰＭＳによるＩＣＭＳへの要求と、場合によっては新しいブランドオーナーを既存の機器のグループ又は他のサブセットに関連付けるための要求と、場合によっては新しい品物又はブランドオーナー製品を既存の機器のグループ又は他のサブセットに関連付けるための要求とを含む。前に定義したＴＭＳ１５及びそのエージェントＴ’は、ＢＰＭＳ４０が必要とする暗号及びメッセージングサービスを提供する。

図７は、機器３５の実施形態を示す概略ブロック図である。この実施形態は、入力／出力モジュール６０と、機器の保存機構６２と、コアプロセッサ８０に実装されるコア処理機能６４と、タガントの特徴抽出モジュール６７を組み込むタガント固有の特徴の抽出及び設定ブロック６６とを含む。また、ＴＭＳＡとしての役割を果たすと共に、例えば、ＭＡＣなどの暗号化された照合子のような、重複する検証可能な内容を有するタガントの特徴を用いたタガントを認証するための安全な情報を含むスマートカードなどの耐改ざん性の安全アプリケーションモジュール（ＳＡＭ）６８が設けられる。タガント固有の特徴の抽出及び設定ブロック６６とＳＡＭとの間には、タガント固有データを共通プラットフォームフォーマットへと変換するための共通タガント処理が存在する。この共通タガント処理は、コアプロセッサ８０において動作する論理処理である。任意的に、タガントの特徴抽出モジュール６７内にこの機能を設けることができる。

入力／出力モジュール６０は、例えば、キーパッド、スマートカードスロット、又はバイオメトリックスキャナであってもよいユーザ入力６１ａと、ユーザディスプレイ６１ｂと、例えば、タガント資産に関する識別情報を抽出するためにこのタガント資産を読み取るための、バーコードスキャナ、ＲＦＩＤタグリーダ、又は他の任意の選択した機械読み出し可能なタガントリーダ装置であってもよい製品ＩＤスキャナ６１ｃとを有する。コアプロセッサは、リアルタイム動作システム／アプリケーション状態機械８０であり、機器３５内の全ての処理動作を制御する。このコアプロセッサは、ＳＡＭ６８、データストア６２ａ、６２ｂ、及び入力／出力機能６０の構成要素と通信を行う。機器３５には、機器３５とは異なる地理的位置に物理的に配置することができるＴＭＳ１５とＳＡＭ６８を介して通信するための、ＩＳＯ７８１６又はＵＳＢ（図示せず）であってもよいインタフェースが設けられる。

タガントの特徴抽出モジュール６６は、タガント信号又は読み取り／書き込みモジュール７０及びタガントの特徴抽出プロセッサ７２を組み込む。読み取り／書き込みモジュール７０を使用して、認証対象の資産に追加された１又はそれ以上の機械読み出し可能なタガントから、認証データ又は任意の種類の安全なタガントデータであってもよい安全データを読み取る。読み取り／書き込み７０モジュールは、異なる種類のタガントを読み取るように動作可能であり、例えば、ＵＶタガント、ＲＦＩＤタガント、及び単純なバーコードタガントのうちの２又はそれ以上を読み取ることができるリーダヘッドを有することができる。このタガントは、製品ＩＤスキャナ６１ｃによって読み取られる製品ＩＤを含むものと同じタガントであってもよい。例えば、隠れた安全データを、資産のＩＤタグに含めることができ、或いはこの隠れた安全データは、例えば、資産の作成／梱包の際に、資産に追加される追加の又は「メタ」タガントであってもよい。タガント読み取りモジュールから得られる未加工データは、タガント固有の特徴プロセッサ７２により処理される。

プロセッサ７２には、異なるタガントと共に使用するための複数の異なる処理、理想的には３又はそれ以上の異なる処理が含まれる。例えば、プロセッサは、ＩＤバーコード、２Ｄバーコード、ＵＶリーダ、及びＲＦＩＤタグから読み取ったデータ、並びに１又はそれ以上の隠れた特徴を取り扱うことができる。同様に、プロセッサは、異なる処理機能を特定の種類のタガントに適用することができる。特定のタグをユーザが選択することにより、使用する処理の種類を特定するか、或いはＩＣＭＳ２５からダウンロードした設定データに従って強制することができる。必要であれば、例えば特定のタガントが破損した場合、この設定データを再設定することができる。タガントの特徴抽出モジュールによって取り込まれた、又は抽出されたタガント固有のデータは、共通タガント処理（図示せず）により、ＢＰＭＳサーバが処理できる共通フォーマットへと変換される。

機器の保存機構６２は、変換済みの認証データのためのデータストア６２ａ、タガントの特徴抽出モジュール６７の設定を定める設定データのためのデータストア６２ｂを含む。設定データは、ＩＣＭＳ２５を介してダウンロードされる。ＩＣＭＳ２５は、このデータを一組の機器に対して更新するように、ＢＰＭＳにより命令を受ける。ＴＭＳは設定データに署名することができる。一般的にこの構成データは、機器３５が遂行すべき１又はそれ以上のブランド保護ポリシーの形で送信される。設定の詳細項目は、製品ＩＤ、認証イベント、これらのパラメータ、これらのシーケンス、いずれのタガント技術を用いるべきか、及び１つのタガントから読み取ったデータと同じ製品のもう１つのタガントから読み取ったデータとの間に関連があるか否かを含む。機密情報は、これらの機密情報を安全に保存するＳＡＭ６８へ送信される。ＴＭＳ、ＩＣＭＳ２５、及びＢＰＭＳは、いずれも機器の動作を直接は制御しないが、これらの管理は行う。このようにして、意志決定は各機器３５内に委託されるが、全てのイベントは、ＢＰＭＳが後で分析するために安全に記録され、アップロードされる。

この実施形態では、スキャナ６１ｃを使用して製品ＩＤが取得され、設定データストア６２ｂから特徴抽出モジュール６７の必要な設定を識別するためにこのＩＤが使用される。この設定は、機器が、いずれの１又は複数のタガントの特徴をタグを付けた資産から抽出する／読み取るかを決定する。ＳＡＭは、識別済みのタガントから抽出されたデータを使用して、そのタガント又は別のタガントのいずれかを認証する。ＴＭＳシステム１５に関して機器をオフラインの立場で使用する場合、ＳＡＭが認証するイベントなどのイベント時に、認証データストア６２ａを使用して一時的にデータを保存する。その後、機器がＴＭＳ中央サーバと再度「オンライン」になった時に、検証及び分析のために、この保存した認証イベントデータをＴＭＳ１５へアップロードすることができる。前述したように、ＭＴＭＳのデータベース１０は保存した認証データを含む。実際には、ユーザ及び／又はタガントを本物であると認識するか、或いはアップロードされたユーザ又はタガント認証データが関連する保存データと一致しない場合、システムアクセスを拒否する／警報信号を生成するために、アップロードされたデータが保存データと比較されるようになる。このようにして、まずＳＡＭを使用してオフライン認証を行い、次にサーバにおいてデータを別途照合することにより、２段階照合が行われる。

機器３５の使用時には、ユーザが、ユーザ自身及び使用すべきタガントの種類を識別することにより、タガント固有のプロセッサが、スキャンしようとするタガントに対して必要な処理を識別できるようになる。次に、読み取り／書き込みモジュール７０に信号が入り、プロセッサ７２内のタガント固有の第１レベルの処理を通過し、共通データフォーマットへと変換され、さらに信憑性の検査のためにＳＡＭへ送信され、これによりタガントのオフライン認証が可能になる。その後、ＳＡＭ６８において、安全なイベント記録（通過／失敗／日付／時間／操作者名等）が、この記録に署名又は暗号化を行うことにより作成される。データストア６２ａに安全なデータが保存され、このデータに関連付けられたヘッダーがＳＡＭに保存される。しばらくして、ＢＰＭＳを代表して、ＴＭＳ１５が、全てのこのような記録のアップロードを要求する。安全なＴＭＳ接続を介してこのアップロードを行うことにより、データの完全性を確実にできるようになる。ＴＭＳ１５においてデータが受信されると、機器３５に確認信号が返信され、一時メモリ６２ａは消去される。次に、ＢＰＭＳは、全てが正常であることを照合するために巨視的な見地から記録を検査する。この検査は、疑わしい行動を示すイベントパターンの識別を試みるステップを含むことができる。

図８は、図７の機器３５の別の実施形態を示す図である。図８では、自身がスキャンヘッド又は感知ヘッド（図示せず）の形のタガントリーダ手段を組み込む別個のハンドヘルドユニットの形をとることがあるタガント技術固有サブシステム６６とは別にＳＡＭ６８が設けられる。この場合、主プロセッサシステム８０、及び所望の場合、この主プロセッサ８０内に設けることができる共通タガント処理モジュール１００により、コア処理機能６４が提供される。共通タガント処理モジュール１００は、共通タガントインタフェース１２０を介してタガント固有のサブシステム６６内のタガント固有処理モジュール１１０と通信を行う。共通タガントインタフェース１２０は、共通タガント処理モジュール１００とＴＳＰ１１０との間のインタフェースである。このインタフェースは、コアモジュール機器３５に論理的インタフェース及び物理的インタフェースを提供する。

共通タガントインタフェース１２０は、設定、始動／停止（刺激）、読み取り（データ／パラメータ／限定子）、書き込み（データ／パラメータ／限定子）、ステータス（準備済み／準備中）、障害（エラーコード）、要求及び確認応答の制御、メッセージング及びデータ転送を可能にする。サブシステム１３０から得られる電力は、共通タガントインタフェースを介してタガント固有処理モジュール１１０へ供給される。機器はまた、中央ＴＭＳシステム１５と双方向通信するための通信インタフェース１４０を有する。共通タガントインタフェース１２０は、処理システム８０におけるさらなる処理、ＳＡＭ６８及び／又はＴＭＳシステム１５による後続する処理のために、共通データを共通タガント処理モジュール１００に渡せるようにする。共通データとは、タガントの読み取り／スキャンに使用される特定のタガントリーダヘッドによるタガント技術に固有のものではなく、センサインタフェース７０において作成されたタガント技術固有のデータからタガント固有の処理モジュール１１０により抽出される汎用データのことを意味する。ＳＰＩベースのインタフェースを使用して、共通タガントインタフェース１２０を介してＣＴＰ１００とサブシステム１１０との間に柔軟な通信チャネルが設けられる。このインタフェースは、ＳＰＩ装置が有効である限り、コマンド及びデータの双方向転送を可能にし、いずれかの側が通信を開始できるようにする。

図９は、タガントを認証すべき時に行われる高レベルのステップをまとめた図である。図７及び図８の機器のいずれか又は両方が、このステップを行うことができる。ここでは、最初の命令が、ポリシーオブジェクトマネージャ（ＰＯＭ）により受信される。このポリシーオブジェクトマネージャは、機器のコアプロセッサ上で動作すると共にタガントの読み取り又は書き込みを開始するソフトウェアアプリケーションである。タガントリーダとのインタフェース（ＰｏＸ）へ信号が送信されることにより、必要な未加工のタガントデータが取り込まれるようになる。未加工データはタガント固有のプロセッサへ送信され、ここで関連するタガント固有の設定データ、例えば行うべき処理の種類に関する特定の情報が識別される。次に、タガント固有のデータが読み取られ、処理され、例えば、取り込まれたバーコードのビットマップ画像を、そのバーコードが表す値へと変換することができる。処理済みのデータはＳＡＭ内のＴＭＳＡへと転送され、ここでタガントが認証される。認証が成功した場合、検証可能な認証イベントが作成され、別のこのようなイベントのバッチの形で保存される。個々の認証イベントについてのデータは、保存前にＳＡＭにより署名又は暗号化されることが好ましい。この段階で、機器のユーザに、タガントが認証されたことを通知することができる。この後、機器が次にオンラインになる時に、バッチがＢＰＭＳへ転送され、ここで必要に応じて認証データを照合することができる。

本発明を具体化するシステムは、リアルタイムで適応することができ、従って安全に対する脅威に迅速に対応することができる。特に、本発明は、主な侵害及び／又は脅威を予想し、解消し、さらに効果的に管理することができるシステムを実現する。主な不正行為を識別するための手順におけるステップは、通常、不正イベントが推測及び識別されるという疑いにより開始する。次に、リーダへダウンロードするための新しいポリシー又は特定の設定データを作成することができ、これにより不正行動を防止する変更が行われる。例えば、タガントの破損が疑われる場合、新しいポリシーは、そのタガントの品質改善を含むことができる。上記に加えて、或いは上記とは別に、リーダに、物品上の異なるタガントを読み取らせたり、又は異なる種類の処理に切り替えさせたり、或いはタガントの異なる組み合わせを使用するようにさせたりすることができる。新しいポリシーはまた、ローカルな監督者にローカルな警告を行ったり、或いは監督者が疑わしい場合、ポリシーを他の供給元へ転送したりすることもできる。新しいポリシーは、１又はそれ以上の選択されたエリア内の１又はそれ以上の選択された機器に配信される。

不正行為に対応するためのメカニズムの提供に加え、ＭＳＴを使用して、製品のリコールに役立てることができる。製品のリコールについては最後の手段として考えることができるが、特に安全性が重要な意味を持つ市場分野では、サプライチェーンを保護し、最終的には末端の消費者を保護する方策のきわめて重要な部分である。今日、製品リコールは、大幅な手動による介入、数多くの媒体による通信、並びに書面及び様々な異なるコンピュータシステムの両方による記録を通じた骨の折れる注力を必要とする高負担で困難な時間を要する処理であり、リコールの完了までの遅延及び不確実性は、それ自体が危険なものである。製品リコールは、製薬産業において特別な懸念事項である。

問題が識別されると、問題の製品のブランドオーナーのシリアル番号を識別しなければならない。必要時には、例えば製薬産業では、ブランドオーナーは問題を査定し、監査機関に連絡する。この後必要に応じ、ブランドオーナー／監査機関により製品リコールが開始される。リコールの一部として、ＢＰＭＳデータを検索して、１又は複数の問題製品が、サプライチェーン内のどこで最後に見かけられたかを探索する。最後に確認された場所が最近のものではない場合、又は場所がわからない場合、別の潜在的な場所が識別される。次に警告すべき場所に関する連絡先の詳細がデータベースから抽出され、識別され、製品、（単複の）製品バッチ番号等についての情報と共に警告通知が送信される。

製品が、まだ製造業者のＢＰＭＳ又は協力システムの権限範囲内に存在する場合、リコール情報をサプライチェーン内の関連機器に通信することにより、スキャン時に、ユーザがリコールステータスに注意を向けるようにし、またこのステータスがリコール製品に提供されるようにすることができる。リコール警告の通信は、入手可能な詳細項目のレベル及び完全性を反映することになる。例えば、リコール警報の通信は、現在関連製品を保持している１又はそれ以上の会社に対するものであってもよく、或いはより高いレベルでは、入力点及び予想される受取人に関するあらゆる入手可能な情報を有する、国の監査機関に対するものであってもよい。リコールされた物品は、再調整される限り追跡され、製造業者によりスキャンされる。製品リコールの進展に関するデータを保存することにより、現在の状況が監査機関及び信頼できる関係先にわかるようになり、例えば、リコールされた製品のパーセンテージを追跡することができる。

本発明の範囲内において、さらなる変更、修正、及び改善が可能である。例えば、ＢＰＭ体系内に、いくつかの機器３５が存在できることが理解されよう。１つの考えられる実施形態では、中央サーバシステムは、高い脅威が認められる機器３５に監視機構（ウォッチドッグ：watchdogs)をセットすることができる。例えば、偽造者の標的とされてきた特定のモデルの製品については、中央サーバ内のＴＭＳが個々の機器３５内にウォッチドッグをセットし、そのモデルが一度でも検出されれば、例えば電子メールによって中央調査チームに即座に警告するようにしてもよい。

図１０は、ＴＭＳシステム１５と連動して動作可能なこのような動的警告状態システムを示す図である。このシステムは、ＢＰＭＳ４０の一部を形成することができる。この動的警告状態システムには、黒色から赤色、黄色、緑色へと優先度の順に低下する４つの考えられる警告状態が存在する。警告状態８８は、ユーザ入力、及び／又は機器３５のうちの１又はそれ以上において生成される警告／警報信号によりトリガーされる自動的な状態リセットに依存して、ＢＰＭＳ又はＴＭＳによって設定／選択される。警告状態の変化が変化することにより、ＢＰＭＳ４０の動作挙動が変化することがある。例えば、機器３５は、製品上の複数の明らかな／隠されたタガントを読み取ることができ、より高い警告状態へ変化することにより、製品を認証するための追加のタガントを使用できるようになる。上記とは別に、或いは上記に加えて、警告状態の変化は、認証イベントが失敗した際に、システムの対処方法を変化させることができる。ブランド保護システムの挙動の変化は、機器の操作者に見えなくてもよい。

ＢＰＭＳ４０は、ブランド保護ポリシーを記述するための宣言型言語を含むことができる。この言語は、異なる種類の警告状態、及びこれらの警告状態が、ブランド保護システムの挙動を如何に制御するかについて記述する。ブランド保護ポリシー言語は、ＭＳＴプラットフォームの中にその技術要素として組み込まれる。ブランド保護管理機能は、高レベルのポリシー情報の変化を、より低レベルのシステム構成要素の挙動の変化へと変換する。例えば、機器３５は、ローカルな状態及びイベント情報に基づいて、製品認証行動のレベル及び順番を制御するルールベースのエンジン９０を含み、機器における製品認証ルールは、ブランド保護ポリシーの変化及び警告状態の変化に基づいて動的に更新される。

本発明が具体化されたプラットフォームは数多くの技術的利点をもたらすと共に、物品を追跡し、認証するために使用できる非常に貴重な情報源である。変化するビジネスのニーズ又は安全性のニーズに適合するように順応させ、再設定できるような方法で、複数の異なるタガント技術を使用して、複数の産業にわたってシステムを適合させることができる。このシステムにより、複数の異なる位置、例えば複数の地理的区域において複数の物品をスキャンし、認証することが可能になる。これにより、システムが、他の場合には監視不可能と考えられる行動パターンを監視できるようになる。これにより、製薬会社などの大きな組織の市場全体（通常は世界中）からの認証イベントを監視して、不正又は疑わしい行動をできる限り早期に識別できるようになるため、これらの大きな組織には特に価値のあることである。

当業者であれば、本発明から逸脱することなく、開示した構成の変更が可能であることが理解できよう。従って、特定の実施形態についての上記説明は、単なる例示として行ったものであり、本発明を限定する目的のものではない。当業者であれば、説明した操作に大きな変化を加えることなく、小さな修正を行うことができることは明らかであろう。

本発明の１つの実施形態によるモジュール式信用管理システム（ＭＴＭＳ）の概略ブロック図である。 図１の信用管理システムの「レベル１」システム分割における操作データフローを示す図である。 図１から図３の信用管理システムを組み込んだブランド保護管理（ＢＰＭ）体系を示すブロック図である。 図１及び図２の信用管理システムにおける操作データフローを示す「レベル２」システム分割の図である。 図３のＢＰＭ体系の高レベルビジネスエンティティモデルを示す（ＵＭＬ言語の）フロー図である。 ユーザ認証処理を示す（ＵＭＬ言語の）シーケンス図である。 図３のブランド保護管理体系で使用するための認証機器の概略ブロック図である。 図３のブランド保護管理体系で使用するための別の認証機器の概略ブロック図である。 図７及び図８の両方の機器に関するＢＰＦ読み取りイベントのシーケンス図である。 警告状態変動機能を組み込んだ図１から図４のシステムの実施形態の概略ブロック図である。

符号の説明

１５ 信用管理システム
２０、２２、２３ タガントリーダ機器
２５ 機器設定管理システム
３０ 認証点
３３ 登録点
４０ 認証マネージャ

Claims (57)

1. 物品を認証するためのシステムであって、
   前記物品に関連付けられた認証情報を管理するための認証マネージャと、
   前記物品に関連付けられた、前記認証情報又はこれに関する情報を含む機械読み出し可能なタガントを読み取るための複数の安全なタガントリーダ機器と、
   前記機器の安全なオンライン設定のための機器設定マネージャとを備え、
   前記タガントリーダ機器は、タガントから導出した認証情報を安全に処理し、前記認証マネージャへ送信するように動作可能であり、前記認証マネージャは、前記受信した認証情報を使用して疑わしいイベントを識別するように動作可能である、ことを特徴とするシステム。
2. 前記機器設定マネージャは、疑わしいイベントの識別と、製品リコールと、任意の安全側面の低下と、タガントの安全性の低下と、タガントの更新と、任意のオンボードタガントリーダ処理の変更と、任意の機器ベースの暗号キーの変更のうちの１又はそれ以上に応答して、前記タガントリーダ機器のうちの少なくともいくつかを再設定するように動作可能である、ことを特徴とする請求項１に記載のシステム。
3. 前記機器設定マネージャは、スキャンするタガントの種類と、特徴をスキャンすべき順序と、認証情報を判定するために使用する処理の種類と、前記物品上に３以上のタガントが存在する場合、どのタガントの組み合わせを使用すべきかと、前記リーダの使用を認可された人物のステータス及び／又は識別と、キー管理体系に従う、前記タガントリーダ機器で使用するための１又はそれ以上の暗号キーとのタガントリーダ機能のうちの１又はそれ以上を設定するように動作可能である、ことを特徴とする請求項１又は請求項２に記載のシステム。
4. 前記タガントリーダの設定の記録を時間関数として保存することにより、前記リーダのステータス及び機能についての完全な記録が保持されるようにした、ことを特徴とする請求項１〜請求項３のいずれか１項に記載のシステム。
5. 前記タガントリーダのうちの少なくとも１つは、前記機械読み出し可能なタガントから読み取った情報を使用して、物品の信憑性を判断するように動作可能であり、前記認証マネージャに送信される前記認証情報は前記判断される信憑性を示す、ことを特徴とする請求項１〜請求項４のいずれか１項に記載のシステム。
6. 前記認証マネージャに送信される前記認証情報により、前記認証マネージャが前記物品の信憑性を判断できるようになる、ことを特徴とする請求項１〜請求項５のいずれか１項に記載のシステム。
7. 前記認証情報は、前記タガント情報の取り込み時間及び／又は前記取り込み時間における前記リーダに関与する人物についての指示を含む、ことを特徴とする請求項１〜請求項６のいずれか１項に記載のシステム。
8. 少なくとも１つのタガントリーダ、好ましくは前記タガントリーダ全てが、機密情報の処理、及び／又は前記タガントリーダ及び／又は認証されたユーザとの間の機密情報の通信を制御するための少なくとも１つの耐改ざん性安全アプリケーションモジュールを含む、ことを特徴とする請求項１〜請求項７のいずれか１項に記載のシステム。
9. 前記機器設定マネージャは、個々に、及び／又は指定のグループ内で、及び／又は全てを同時に、及び／又は指定した時間後に機器を設定又は再設定するように動作可能である、ことを特徴とする請求項１〜請求項８のいずれか１項に記載のシステム。
10. 前記機器又は個々の機器は、インターネットを介して前記認証マネージャと通信するように設定される、ことを特徴とする請求項１〜請求項９のいずれか１項に記載のシステム。
11. 前記タガントリーダのうちの少なくとも１つは、認証する物品に取り付けられるタガントを生成するための手段を含む、ことを特徴とする請求項１〜請求項１０のいずれか１項に記載のシステム。
12. 前記機器設定マネージャは、取り付けるべき前記タガントを特定し、前記タガントリーダ機器へ制御信号を送信して、前記特定したタガントが取り付けられたことを確実にするように動作可能である、ことを特徴とする請求項１１に記載のシステム。
13. タガントリーダのうちの少なくとも１つは複数の機器ヘッドを備え、個々のヘッドは、異なる種類のタガントをスキャン及び／又は検出するように形成及び構成される、ことを特徴とする請求項１〜請求項１２のいずれか１項に記載のシステム。
14. 前記機器ヘッドのうちの１又はそれ以上は交換可能である、ことを特徴とする請求項１３に記載のシステム。
15. 前記タガントリーダと前記認証マネージャとの間で、共通フォーマットでデータを通信できるようにする共通インタフェースを設けることにより、前記システムが、前記使用するタガント技術に依存しないようになる、ことを特徴とする請求項１３又は請求項１４に記載のシステム。
16. 前記共通インタフェースは個々のタガントリーダ内に設けられる、ことを特徴とする請求項１５に記載のシステム。
17. 前記共通インタフェースは前記タガントリーダの遠隔に設けられる、ことを特徴とする請求項１５又は請求項１６に記載のシステム。
18. 前記タガントリーダは、前記認証する物品に固有の特徴を読み取るように設定され、前記特徴は機械読み出し可能なタガントとして使用される、ことを特徴とする請求項１〜請求項１７のいずれか１項に記載のシステム。
19. 前記タガントリーダは異なる物理的位置に配置される、ことを特徴とする請求項１〜請求項１８のいずれか１項に記載のシステム。
20. 前記機器と、前記機器設定マネージャと、前記認証マネージャとの間の全ての通信における安全を確実にするための信用管理システムを備える、ことを特徴とする請求項１〜請求項１９のいずれか１項に記載のシステム。
21. 前記信用管理システムは分散され、個々のタガントリーダは、該タガントリーダと、前記認証マネージャと、前記機器設定マネージャとの間の全ての通信を安全にするための前記信用管理システムのエージェントを含む、ことを特徴とする請求項２０に記載のシステム。
22. 前記信用マネージャエージェントは、前記タガントリーダと前記認証マネージャとの間の通信を暗号化又は署名するように設定される、ことを特徴とする請求項２０又は請求項２１に記載のシステム。
23. 個々のタガントリーダは、オンライン状態及び／又はオフライン状態で動作することができる、ことを特徴とする請求項１〜請求項２２のいずれか１項に記載のシステム。
24. 前記物品の取り扱いに責任を負う担当者のシステムとのやり取りを追跡するための手段を備える、ことを特徴とする請求項１〜請求項２３のいずれか１項に記載のシステム。
25. 前記やり取りを追跡するための手段は、前記システムのユーザに物理的に関連付けられたユーザの識別情報を取得するためのユーザ入力手段を備える、ことを特徴とする請求項２４に記載のシステム。
26. 前記ユーザ入力手段はバーコードスキャン手段を備える、ことを特徴とする請求項２５に記載のシステム。
27. 前記ユーザ入力手段は、ＳＭＡＲＴカード／チップリーダ手段と、トークンリーダ手段と、バイオメトリックスキャン装置と、ユーザ入力キーパッドとのうちの１又はそれ以上を備える、ことを特徴とする請求項２５又は請求項２６に記載のシステム。
28. 前記ユーザ入力手段は、異なる物理的位置に配置するための複数のユーザ入力手段を含む、ことを特徴とする請求項２５〜請求項２７のいずれか１項に記載のシステム。
29. 前記ユーザ入力手段又は個々の前記ユーザ入力手段は、前記タガントリーダ手段又は個々の前記タガントリーダ手段と同じ機器に設けられる、ことを特徴とする請求項２５〜請求項２８のいずれか１項に記載のシステム。
30. 入力されたユーザの識別情報を、前記認証マネージャに保存したユーザ認証データと比較するための手段を備え、これによりユーザを認証することができる、ことを特徴とする請求項１〜請求項２９のいずれか１項に記載のシステム。
31. 動作データを入力できるように設定されたブランド登録及び管理モジュールと、ブランドオーナーの物品の識別情報及び／又は検証キー情報を、データベース手段に入力及び修正できるように設定されたブランドオーナーキー管理サブシステムと、ブランドオーナーが、認証する物品を取り扱う担当者を許可及び認証し、該担当者により生成及び／又は署名されたイベント記録を検証できるように設定されたブランドオーナーキー管理サブシステムと、前記データベース手段のステータス及び／又は前記データベース手段の内容についての情報を提供するように設定されたシステム管理モジュールと、認証機能及び安全機能を提供するように設定された認証サブシステムモジュールとを含む複数の機能モジュールを有する信用管理システム（ＴＭＳ）を備える、ことを特徴とする請求項１〜請求項３０のいずれか１項に記載のシステム。
32. １又はそれ以上の異なる警告状態を検出するための手段を備える、ことを特徴とする請求項１〜請求項３１のいずれか１項に記載のシステム。
33. 前記警告状態を検出するための手段が、前記タガントリーダ機器に及び／又は前記タガントリーダ機器とは離れて設置されている、ことを特徴とする請求項３２に記載のシステム。
34. 警報信号の検出時に所定のアクションを行うように設定される、ことを特徴とする請求項３３に記載のシステム。
35. 警報信号の検出時に、前記機器設定マネージャは、少なくとも前記警報が検出された前記タガントリーダを再設定する、ことを特徴とする請求項３３又は請求項３４に記載のシステム。
36. 前記タガントリーダは、認証される前記物品に関連付けられた異なる種類のタガント及び／又は異なるタガントの特徴を読み取るように再設定される、ことを特徴とする請求項３５に記載のシステム。
37. 物品を認証する方法であって、
    前記物品に関する認証情報を保存するステップと、
    前記物品に物理的に関連付けられた機械読み出し可能なタガントを読み取るステップと、
    前記機械読み出し可能なタガントから読み取ったタガント技術固有のデータから汎用認証情報を抽出するステップと、
    前記物品が本物であるか否かを判断するために、前記抽出した汎用認証情報を前記保存した認証情報と比較するステップと、を含み、
    これにより、それぞれの異なる種類のタガントを読み取るために、異なるタガント技術を利用する複数の異なるタガントリーダ手段を使用できるようになる、ことを特徴とする方法。
38. １又はそれ以上の機械読み出し可能なタガントを有する物品を認証するためのシステムであって、
    前記物品に関する認証情報を管理するための管理手段と、
    異なるタガント又は異なる種類のタガントを読み取るように動作可能な複数の異なるタガントリーダからデータを受信するための手段と、
    前記データを、汎用フォーマット又は共通フォーマットで、前記複数のリーダ装置から前記管理手段に提供するための手段と、を含むことを特徴とするシステム。
39. 前記共通フォーマット又は汎用フォーマットで情報を提供するための手段は、前記タガントリーダのうちの少なくとも１つに設けられる、ことを特徴とする請求項３８に記載のシステム。
40. 共通フォーマット又は汎用フォーマットで情報を提供するための手段を前記管理手段とのインタフェースに設けることにより、前記タガントリーダから受信したデータが前記共通フォーマットに変換されるようになる、ことを特徴とする請求項３９に記載のシステム。
41. 少なくとも１つのリーダは、タガントを認証すると共に、該タガントが本物であるか否かを示す汎用情報を提供するように動作可能である、ことを特徴とする請求項３８〜請求項４０のいずれか１項に記載のシステム。
42. 少なくとも１つのリーダは、前記管理手段が、読み取ったタガントが本物であるか否かを判定できるようにする情報を提供するように動作可能である、ことを特徴とする請求項３８〜請求項４１のいずれか１項に記載のシステム。
43. 個々のリーダは、安全アプリケーションモジュール（ＳＡＭ）を含み、前記管理手段へ送信される全てのメッセージは、前記ＳＡＭを使用して保護される、ことを特徴とする請求項３８〜請求項４２のいずれか１項に記載のシステム。
44. 前記管理手段は、耐改ざん性のセキュリティモジュールを含み、前記リーダへ送信される全てのメッセージは、該耐改ざん性セキュリティモジュールを使用して保護される、ことを特徴とする請求項３８〜請求項４３のいずれか１項に記載のシステム。
45. 前記管理手段は、設定情報を前記リーダへ送信するように動作可能であり、前記設定情報は、スキャンするタガントの種類と、特徴をスキャンすべき順序と、認証情報を判断するために使用する処理の種類と、前記物品上に３以上のタガントが存在する場合、どの組み合わせのタガントを使用すべきかとのリーダ機能のうちの１又はそれ以上の制御に使用するためのものである、ことを特徴とする請求項３８〜請求項４４のいずれか１項に記載のシステム。
46. 前記管理手段は、必要であれば、前記リーダを再設定するように動作可能である、ことを特徴とする請求項４５に記載のシステム。
47. 機械読み出し可能なタガントからタガント固有情報を読み取り、前記タガント固有情報を処理して認証情報を汎用形式又は共通形式で提供し、該汎用形式又は共通形式の情報を前記管理手段へ伝送するようにされる、ことを特徴とする請求項３８〜請求項４６のいずれか１項に記載のタガントリーダ。
48. 読み取ったタガントが本物であるか否かを示す汎用情報を提供するように動作可能である、ことを特徴とする請求項４７に記載のタガントリーダ。
49. 前記管理手段が、読み取ったタガントが本物であるか否かを判定できるようにする汎用情報を提供するように動作可能である、ことを特徴とする請求項４７又は請求項４８に記載のタガントリーダ。
50. 安全アプリケーションモジュール（ＳＡＭ）を含む、ことを特徴とする請求項４７〜請求項４９のいずれか１項に記載のタガントリーダ。
51. 前記管理手段との通信は前記ＳＡＭを使用して保護される、ことを特徴とする請求項５０に記載のタガントリーダ。
52. １又はそれ以上の異なる機械読み出し可能なタガントからタガント固有情報を読み取るためのタガントリーダであって、
    前記読み取った情報を処理して認証情報を提供するように動作可能であり、１又はそれ以上の異なるタガントを読み取り、及び／又は該読み取った情報を処理するための１又はそれ以上の異なる処理を使用するように再設定可能である、ことを特徴とするタガントリーダ。
53. １又はそれ以上の機械読み出し可能なタガントを有する物品を認証するための認証システムであって、
    複数の機械読み出し可能なタガント機器である、タガントリーダ及び／又はタガントライタの動作状態又は設定を管理するための管理手段を備え、
    該管理手段は、オンボード処理であるタガント認証処理を実行するための前記機器設定又は制御命令のうちの１又はそれ以上を送信するように動作可能である、ことを特徴とする認証システム。
54. 前記管理手段は、異なる設定データを前記複数のタガント機器のうちの異なる機器にダウンロードするように設定される、ことを特徴とする請求項５３に記載の認証システム。
55. 設定データは、前記システムの使用中、現場において前記システムにより検出される要件に依存する、ことを特徴とする請求項５３に記載の認証システム。
56. 前記認証する物品は２又はそれ以上のタガントを有し、前記設定又は制御命令は、前記タガントのうちの特定の１つを前記リーダに読み取らせるように動作可能である、ことを特徴とする請求項５３〜請求項５５のいずれか１項に記載の認証システム。
57. 物品に関連付けられた、認証情報又は関連情報を含む機械読み出し可能なタガントを読み取るように動作可能である複数のタガント機器から受信する情報を使用して前記物品を認証するためのシステムであって、
    前記物品に関連付けられた認証情報を管理するための認証マネージャと、
    前記機器のオンライン設定を保護するための機器設定マネージャと、
    を備え、前記認証マネージャは、前記タガントリーダ機器から受信する前記認証情報を使用して疑わしいイベントを識別するように動作可能であり、前記機器設定マネージャは、このような疑わしいイベントが識別された場合、前記タガントリーダ機器のうちの少なくともいくつかをオンラインで再設定するように動作可能である、ことを特徴とするシステム。

Images