JP5244395B2 - 第１システムのデータキャリアを第２システムへ受け渡す方法及び装置 - Google Patents

Description

本発明は、第１システムの第１電子データキャリアを第２システムに移譲する（受け渡すことを意味する）方法であって、前記第１データキャリアは、識別子およびパスワードを格納し、該パスワードによって前記第１データキャリアへのアクセスを保証する（保護することを意味する）、データキャリアの受け渡し方法に関する。

さらに本発明は、ＲＦＩＤと略称する無線周波識別タグへのアクセスを保証するパスワードを格納する記憶手段を備える、無線周波識別タグにも関する。

さらに本発明は、本発明による方法を実行するための、データキャリア用の書込み／読取り装置にも関する。

本発明では、第１データキャリアの使用にあたり、それら第１データキャリアは具体的には、例えばＲＦＩＤタグのようなトランスポンダの意であると理解されたく、それらトランスポンダは、いずれの場合も、製品と関連して、さらに、通信ステーションと無線通信するように設計されている。しかしながら本発明は、ＲＦＩＤタグへの適用に限定するものではなく、むしろ、他の多数の電子データキャリアに適用できることに留意されたい。一例として、第１電子データキャリアに、例えば音楽、ビデオ、テキストまたは画像を保存すれば、それ自体が製品となる。このようなデータは、いわゆるコンパクトフラッシュ（登録商標）カード、マルチメディアカード、スマートメディアカード、メモリースティック、またはＵＳＢスティックなどに供給されることがよくある。

従来技術から既知のように、ＲＦＩＤタグを使用すれば、生産、保管、物流および同様な利用分野において、多くの利点が得られる。例えば、製造日、製造業者、使用許可分野、仲介業者、配達先等のようなデータを、トランスポンダに格納しておき、これらのデータを電子的に利用することができる。

ＲＦＩＤタグを備える製品が、生産、輸送または保管サイクルにある間に、ＲＦＩＤタグが、データを対応する通信ステーションへ送信し得る可能性は、生産および輸送サイクルにおいてはめったに問題になることはないが、これは、不正なアクセスに対して、ＲＦＩＤタグをパスワードで保護することができるためである。このような方法で、前記のデータを読取ることができる人間を、許可された者、すなわち、生産期間中の生産者、輸送期間中の運搬人等のみにすることができる。

製品が、所有者の１人（ここでは、物理的に製品を持っているいずれかの人を指す）から次の所有者へと渡される場合には、正確にアクセス権が移譲されるようにしなければならない。このような製品が消費者に渡った場合は特にそうであり、なぜなら、製品に関連付けられているかまたは製品に含まれているデータキャリアへの不正なアクセスは、不所望なプライバシー侵害となるためである。このようなトランスポンダを適切に保護しなければ、データが、適切な読取りステーションによってアクセスされることもあり得る。

ＲＦＩＤタグにデータを格納して、そのようなデータを、例えば製品購入後の保証またはメインテナンス目的にも用いたり、あるいは、そのようなデータによって、場合によっては法で規定されている廃棄処理またはリサイクル作業を促進したりすることができるという、製造業者にとっての利点、あるいは輸送または保管に関連する利点に加えて、このようなトランスポンダには、データの付与されたこのトランスポンダを備えた製品を、顧客が正しくまたは簡単に使用するのに有効なを与えることもできる。このことに関連して、例えば、衣類の取扱いに関するデータを格納したＲＦＩＤタグを、衣類に付与することが提案されており、これにより、衣類を扱うインテリジェント機器、具体的には、専用の洗濯機を用いる場合に、洗濯機と衣類とが直接に通信を行って、かかる衣類が誤って取り扱われるのを防ぐことができるため、衣類が傷んだり、破損したりするのを防ぐことができる。他には、電子レンジ用の指示、すなわち、例えば設定すべき電力や過熱時間を、パッケージ上のＲＦＩＤタグに格納した電子レンジ食品も、例として挙げられる。また、丸のこ刃に付けたＲＦＩＤタグに、許容作業データ、例えば、最高許容回転速度限、または、許容材料および適切な前進速度等を書き込むことも考えられる。こうしたリストは決して完全なものではなく、ここでは、本発明に関して考えられる、ＲＦＩＤタグの多数の使用例のうちの、ごくわずかなものを例示したに過ぎない。

ＲＦＩＤタグのデータへの、好ましくない、および／または不正なアクセスの防止に関する、上述の未解決の課題を考慮しての当面の業務は、トランスポンダを備えた製品が売れた場合に、そのトランスポンダを製品から完全に取り外すか、そのトランスポンダに入っているチップを、対応するコマンドで完全に破壊するか、あるいは、少なくともトランスポンダのデータを削除することである。しかしながらすぐ分かるように、この方法では、上述の利点、例えば顧客については、トランスポンダ付きの製品の正しい取扱いに関する利点、あるいは製造者または供給者については、例えば保証要求、メインテナンス、またはその後の廃棄処理に関する利点が損なわれてしまう。このような、トランスポンダのデータの削除、または、トランスポンダに入っているチップの破壊に関しては、例えばＵＳ６０２５７８０、またはＵＳ６３１７０２８を参照されたい。

望ましくない操作、および／またはトランスポンダに含まれるデータの不所望な読取りに対する、トランスポンダの保証に関しては、既に述べたように、トランスポンダをパスワードで保護して、例えばトランスポンダ付きの製品の製造者のような、許可された人間のみが、トランスポンダまたはトランスポンダのデータへアクセスできるようにすることもできる。このことに関しては、例えば国際公開ＷＯ０３／０９４１０５号を参照されたい。しかしながら、この既知のトランスポンダの保証方法では、そのようなトランスポンダに与えたパスワードを変更できないため、例えば、トランスポンダを備える製品が売れた場合には、購入者にそのパスワードを知らせなければならず、このための１つの前提条件は、その購入者が、そのトランスポンダと通信するための適切な専門の装置を持つことであり、この装置は、トランスポンダの各製造者の仕様、および／または同じトランスポンダの使用者の仕様に整合させなければならないか、あるいは、売れた場合には、パスワードによって利用可能になるデータの保護をあきらめなければならず、このことはまたも、プライバシー保護の欠如に関する上述した不利益をもたらす。国際公開ＷＯ０３／０９４１０５号から既知の方法を用いる場合には、本質的に、例えば、このようなトランスポンダ付きの製品の製造業者の範囲内でしかトランスポンダのデータを有効に保護することができない。

本発明の目的は、先に述べた欠点を回避できる、上述したタイプのデータキャリアの以上方法、ＲＦＩＤタグ、および書込み／読取り装置を提供することにある。特に、本発明の目的は、第１データキャリアを備えた製品の各所有者のプライバシーを十分に保護しながら、かかる第１データキャリアに含まれているデータを種々のユーザに使用できるようにすることにある。

上記の目的を達成するために、上述したタイプの方法では、一方のシステムで有効なパスワードを、２つのシステム間で移譲するために、第２の電子データキャリアまたは携帯機器を用立てて、当該第２の電子データキャリアまたは携帯機器に、前記一方のシステムにおいて有効なパスワードを格納する。

さらに、上記の目的を達成するために、上述したタイプのＲＦＩＤと略称する無線周波識別タグを用立て、該タグが、パスワードの保護を起動および解除する手段をさらに具えるようにする。

本発明の目的は、
‐第１システムにおいて有効なパスワードを第１データキャリアに送信する手段と、
‐前記第１データキャリアに格納済みのパスワードと、前記送信されたパスワードとの比較を判定する手段と、
‐前記比較の結果に応じて、前記第１データキャリアのパスワードを、第２システムにおいて有効なパスワードで上書きする手段と、および、
‐前記第２システムにおいて有効なパスワードを、第２データキャリアまたは携帯機器から読取る手段とを備える、データキャリア用の読取り／書込み装置によっても達成される。

最後に、本発明の目的は、
‐第１データキャリアの識別子を読取る手段と、
‐前記第１データキャリアの読取った識別子に割当てられているパスワードを突き止める手段と、
‐前記パスワードを前記第１データキャリアへ送信する手段と、
‐前記第１データキャリアに格納済みのパスワードと、前記送信されたパスワードとの比較を判定する手段と、
‐前記比較の結果に応じて、前記第１データキャリアのパスワードを、第２システムにおいて有効なパスワードで上書きする手段と、
‐第１システムのデータキャリアの識別子およびパスワードが対で格納されている、第２データキャリアまたは携帯機器から、識別子およびパスワードを読取る手段とを備える、データキャリア用の書込み／読取り装置によっても達成される。

一方のシステムで有効なパスワードが格納されている、第２の電子データキャリアまたは携帯機器を用いて、２つのシステム間でパスワードを移譲することによって、第１データキャリアを備える製品の異なるユーザまたは所有者は、その都度、当該製品の各所有者しか分からないパスワードによって、第１データキャリアを備える製品を保護することができる。このようにして、第１データキャリアを設けた製品の所有者のみが、当該第１データキャリアに含まれるデータへのアクセス権を有することになる。従って、例えばかかる製品の所有者が変わった場合に、第１データキャリア、または第１データキャリアに入っているチップに含まれるデータの中身を、破壊するか、もしくは、第１データキャリア全体を製品から取り除かなければならないために、これにより例えば、後のメインテナンス、修理作業、または廃棄処理に関する上述の不利益となるのを、回避することができる。

また、本発明は、製品に関連付けるべきデータキャリアに、可変のパスワードを格納できることも必要不可欠であり、これにより、パスワードで保護されたデータキャリア、および、パスワードで保護されたデータキャリアへのアクセスに関する、例えば国際公開ＷＯ０３／０９４１０５号に記載の利点を、製品の異なる所有者が、互いに独立して利用することができ、同時に、第１データキャリアに関連する製品に対し、製品特有のデータを提供する利点を、当該製品の全耐用年数を通じて利用することができる。

以下では、特に第１データキャリアを備える製品の購入に関して、本発明を詳細に説明するのに、特に、第１データキャリアに格納されたデータを用いる利点を、製品の購入者についてと同時に、その後に当該製品を購入する顧客のプライバシーの保護を考慮して述べるが、本発明は、他にも多数の使用法が考えられることに留意されたい。一例として、本発明は、売り手と最終顧客との間の移譲だけではなく、生産者と運送業者間、運送業者と仲介業者間その他の移譲にも適用することができる。

第２データキャリアは、近年頻繁に使用されている、例えば顧客特約カードとすることができる。この場合、売り手が顧客に発行する顧客特約カードは、パスワードを一方のシステムから他方のシステムへ移譲するための記憶手段を備える。しかしながら、前述の記憶手段を備える携帯機器も、同様に使用することができる。

第１システムの境界にて、以下のステップ、すなわち：
‐第１システムにおいて有効なパスワードを、第１データキャリアに送信するステップ、
‐第１データキャリアに格納済みのパスワードと、送信されたパスワードとを比較するステップ、および、
‐比較の結果が肯定であった場合には、格納されているパスワードを、第２データキャリアまたは携帯機器から読取られる、第２システムにおいて有効なパスワードで上書きするステップ、
を実行するのが有利である。

本発明のこの変形例においては、第２データキャリアまたは携帯機器を用いて、第２システムにおいて有効なパスワードを第１システムに携行して、そのパスワードを、第１システムの境界で利用できるようにする。第２データキャリアは、既に述べた通り、売り手が発行する顧客特約カードとすることができる。前記第２データキャリアは、第２システムに統合されて、各最新のパスワードを格納する。販売端末では、（複数の製品を購入した場合に、）全ての第１データキャリアのパスワードを、第２システムにおいて有効なパスワードに変更する。この変更操作に続いて、第１データキャリアは、直ちに第２システムに属するものとなり、それからは、購入者しか読取りや変更ができなくなる。第２データキャリアの代わりに携帯機器を用いる場合も、同様のことが当てはまる。この携帯機器は、例えば、近傍通信、すなわちＮＦＣ標準規格によるインターフェースを有する携帯電話とすることができる。当然のことながら、第２システムにおいて有効なパスワードのほかに、他のデータも、両方の場合に管理することができる。

第１データキャリアを備える製品が売れた場合には、第１データキャリアを取り外すか破壊しなければならない、現時点で既知の従来技術と違い、第１データキャリアへのアクセス権は、プライバシーを保護するために、販売箇所での販売成立時に購入者に移譲される。ここで、第１データキャリアへのアクセスは、必ずしも、データキャリアのデータだけへのアクセスを指すものではないことに留意されたい。むしろ、第１データキャリアは、例えば傷みやすい品物のパッケージ上の温度センサのような、スイッチ・オンおよびオフが可能なセンサを、さらに備えることも考えられる。同様に、データキャリアの所定の部分を、起作動させたり停止させたりすることもできる。

上記の方法において、以下のステップ、すなわち：
‐第１データキャリアから識別子を読取るステップ、
‐第１システムの複数データキャリアの識別子とパスワードとが対で格納されているデータベースへ、前記識別子を送信するステップ、さらに、
‐前記送信された識別子に割当てられているパスワードを突き止めるステップ、
を、予め実行するのが有利である。

上述の方法は、第１システムに含まれる全ての第１データキャリアに対して、第１システムに標準のパスワードが存在しない場合に、特に有利に用いることができる。この場合、識別子が、各第１データキャリアから読取られて、さらに、第１システムのデータベースへと送信され、当該データベースにて、各識別子に関連するパスワードが突き止められる。これらのパスワードは、その後、第１データキャリアへのアクセスを得るために、関連する第１データキャリアに送信される。その後、既に述べたように、第１データキャリアのパスワードは、第２システムにおいて有効なパスワードで置き換えられる。

第１システムの境界において、以下のステップ、すなわち：
‐第１データキャリアから識別子を読取るステップ、
‐第１システムの複数のデータキャリアの識別子とパスワードとが対で格納されているデータべースに、前記第１データキャリアから読取った識別子を送信するステップ、
‐送信された識別子に割当てられているパスワードを突き止めるステップ、さらに、
‐第２データキャリアまたは携帯機器に、前記突き止めたパスワードおよび識別子を格納するステップ、
を実行する方法を第１システムの境界で実行するのも、特に有利である。

この場合には、パスワードを、第２データキャリアによって、第２システムから第１システムへと携行する代わりに、識別子およびパスワードを、第１システムから第２システムへと携行する。販売端末では、（複数の製品を購入した場合に、）全ての第１データキャリアの識別子およびパスワードを、第２データキャリアに格納する。この場合、第１データキャリアは、第１システムに属したままである。第２システムの境界においてのみ、第２データキャリアからデータを読取って、このデータを用いて、第２システムにおいて有効なパスワードを、第１データキャリアに供給する。この変更操作の後においてのみ、第１データキャリアが、第２システムに属するようになり、その後は、購入者しか読取りや変更ができなくなる。

第２データキャリア、または携帯機器が存在するかどうかを確認する照合を行うことも、また有利であり、照合の結果が肯定であった場合には、第１データキャリアのパスワード保護を解除する。顧客が、自分の顧客特約カード、または自分の携帯機器を忘れたり、それらを所有していないこともあり得る。このような場合に、第１データキャリアを、第１データシステムから第２データシステムへと移譲させるために、第１データシステムの境界にて、パスワード保護を解除する。すなわち、この場合には、第２システムに第１データキャリアが統合されるまで、第１データキャリアは無防備のままである。このことは、顧客が、後の時点まで、そのような第２システムの保護を設定することを希望しない場合に有利でもある。

本発明の有利な変形例の１つは、第２システムの境界において、以下のステップを実行する方法によってももたらされ、そのステップとはすなわち：
‐第１データキャリアの識別子を読取るステップ、
‐第１システムの複数データキャリアの識別子とパスワードとが対で格納されている、第２データキャリアまたは携帯機器から、識別子またはパスワードを読取るステップ、
‐読取った識別子に割当てられているパスワードを突き止め、さらに、当該パスワードを第１データキャリアに送信するステップ、
‐第１データキャリアに格納されたパスワードと、送信されたパスワードとを比較するステップ、さらに、
‐比較の結果が肯定である場合には、第２システムにおいて有効な新しいパスワードで、格納されているパスワードを上書きするステップ、
である。

これらのステップは、第１データキャリアを、第１システムの境界にて第２システムに直ちに統合させない場合に必要である。このような場合は、第１データキャリアの識別子および関連するパスワードを、第２データキャリアを用いて、第１システムから第２システムへと携行する。その後、第２システムの境界で、第１データキャリアのパスワードを、第２システムにおいて有効なパスワードに変更する。

第１データキャリアへのアクセスが可能かどうか確認するために、最初に照合を行うことも有利であり、照合の結果が肯定である場合には、以下のステップを実行する。すなわち：
‐照合の結果が肯定である場合に、第２システムにおいて有効なパスワードを、第１データキャリアに送信するステップ、さらに、
‐第１データキャリアのパスワード保護を起動するステップ、
を実行する。

第１システムの境界、すなわち例えば第１システムの販売端末で、第１データキャリアのパスワード保護のみを取り除くことも考えられる。これは、顧客が自分の顧客特約カードを忘れた場合にあり得る。この場合は、プライバシーを確保するために、保護されていない第１データキャリアを、直ちに第２システムに統合することが重要である。

最後に、第２システムに割当てられる全ての第１データキャリア、第２データキャリア、携帯機器、および、前述したデータキャリア用の書込み／読取り装置に対する、第２システムにおいて有効なパスワードを絶えず変更するのが、特に有利である。

このような手段を講じることにより、第２システムのパスワード（すなわち、顧客のパスワード）が、第１システムの販売場所で、（すなわち売り手によって）犯罪の意図で格納されたとしても、第１データキャリアは保護されたままとなる、という利点を得ることができる。さもなければ、売り手は、顧客が再度各販売場所の範囲に入った場合に、上述のパスワードを用いて、第２システムの第１データキャリアにアクセスすることできるようになってしまう。第２システムのパスワードを定期的に変更することで、第１データキャリアのデータへのアクセスは、短時間後には不可能となるので、販売場所でのそのような格納は無駄なものとすることができ、所望のプライバシー保護が保証されることになる。

本発明による装置、特に販売端末は、売り手のパスワードを読取り、かつ顧客のパスワードも読取れるようにしなければならないと同時に、例えば、顧客または製品のもともとの所有者とは別の所有者が所有する、本発明によるトランスポンダの少なくとも１つを保証するためのシステムはさらに、或るパスワードを入力したり、生成したり、また、トランスポンダにパスワードを（特に自動的に）移したりするための手段を、さらに備えるようにする。

本発明による方法について上述した様々なの変形例およびその結果得られる利点は、本発明によるトランスポンダについて、さらに、本発明による書込み／読取り装置についても適用することができ、そのためここでは、それらを別個に説明しないものとする。当業者には、本発明の広範な用途から逸脱することなく、これらおよび他の変形例を容易に導出することができる。

本発明を、図面に示す幾つかの実施例つき説明するが、本発明はこれに限定されるものではない。

図１は、ＲＦＩＤタグ形状の第１データキャリア１を概略的に示す。第１データキャリア１は、書込み／読取り装置（図１には図示せず）と無線通信を行うように設計されており、当該第１データキャリア１は、或る製品（同様に図示せず）に組み合わされる。第１データキャリア１は、これに関連付ける製品に関するデータＤＡＴを含み、当該データとは、例えば売値、製造日および国、推奨される使用期限、ならびに、製品の製造、および製品の輸送または保管という、種々の段階や、製品の販売後における、例えば保証またはメインテナンス業務他、製品の廃棄といった、種々の段階に関連する同様な製品固有の特徴データである。さらに、第１データキャリア１は、特に、第１データキャリア１を備える製品の購入者が使用する、データＤＡＴを含むこともでき、それについては、具体的に図５につき説明する。

第１データキャリア１は、アンテナ２、アナログ・インターフェース３および対応する論理回路４を備える。同様に第１データキャリア１が備えるチップ５は、第１データキャリア１に固有の識別子ＩＤ１を格納する専用の領域６、パスワードＰＷ１を格納する領域７、さらに、上述したデータＤＡＴ用の追加のメモリ８を含む。図１に示す第１データキャリア１は、可変パスワードＰＷ１を領域７に格納できる事が必要不可欠である。随意、パスワード保護を解除する手段（図示せず）を一体化することもできる。このために、例えばフラグを供与して、このフラグで、パスワードをスイッチ・オンおよびオフすることができる。

図２は、第１システムＡの境界での、第１システムＡから第２システムＢへの、第１データキャリア１０の移譲を示しており、第２システムＢにおいて有効なパスワードＰＷＢは、第２データキャリア２０に格納されている。第１ステップＳ２１で、第２システムＢにおいて有効なパスワードＰＷＤが、第２データキャリア２０によって、第２システムＢから第１システムＡへと運ばれる。このような手順の一例は、顧客特約カード（第２データキャリア）を携行する顧客が、販売場所（第１システムＡ）を訪れることである。製品が購入されると、その製品に関連する第１データキャリア１０が、第１システムＡから第２システムＢへと移譲される。当然のことながら、この手順は、購入製品の数がいくつでも実行することができるが、簡単化のため、この例では１つの製品の購入に限定するものとする。

次の第２ステップＳ２２で、第１システムＡにおいて有効なパスワードＰＷＡ１が、販売端末（第１システムＡの境界）で、第１データキャリア１０に送信され、その後、前記パスワードＰＷＡ１と、第１データキャリア１０に格納されているパスワードＰＷ１との比較が行われる。比較の結果が肯定である場合、続く第３ステップＳ２３で、第２システムＢにおいて有効なパスワードＰＷＢが、第２データキャリア２０から読取られて、第１データキャリア１０に送信され、もともと格納されていたパスワードＰＷ１に代わって、第１データキャリア１０に格納される。その後、第４ステップＳ２４で、第１データキャリア１０を備える製品は、第２システムＢ（例えば、購入者の住居）へと移される。

本実施例では、第２システムＢにおいて、そこで有効な単一のパスワードＰＷＢを用いるものとし、例えば製品が洗濯物である場合に、適切な読取り装置を備える洗濯機（図２には示さず）が、第１データキャリア１０を読取ることができるようにする。このようにして、例えば、その洗濯物に望ましい洗濯温度を、自動的に設定することができる。しかしながら、同時に、購入者のプライバシーは、第２システムＢにおいて有効なパスワードＰＷＢによって保護される。売り手は、パスワードの変更作業中に、第２システムＢにおいて有効なパスワードＰＷＢを格納することができるが、このことは、かかるパスワードＰＷＢを絶えず変更すれば、売り手は、犯罪使用の意図があったとしても、おそらく、第２システムにおいて有効なパスワードＰＷＢの古いバージョンのものしか有しないから、無駄なことになる。

図２では、通常は互いに空間的に離間しているシステムＡとＢの位相幾何学的な関係を、点線で示している。しかしながらここでは、論理的観点から、第２システムＢは第１システムＡのすぐ隣にある。既に述べたように、システムの境界で、第１データキャリア１０に存在するパスワードＰＷ１は、第２システムＢにおいて有効なパスワードＰＷＢで書き換えられる。すなわち、第１データキャリア１０は、その後直ちに第２システムＢに属することになる。このことは、位相幾何学的観点では、第２システムＢが、第１システムＡまで、動的に拡大したことを意味する。

図２に示した方法の変形例につき、以下説明する。一般的に、売り手のシステムにおいて（すなわち、第１システムＡにおいて）、特に、このシステムが比較的大きい場合には、この第１システムＡの全体において有効なパスワードは使用せずに、むしろ各第１データキャリア１０、または、同等グループの第１データキャリア１０が異なるパスワードＰＷＡｘを持つようにする。従って、識別番号ＩＤｘおよびパスワードＰＷＡｘの割当てを、通常、データベース（図４の１３を参照されたい）に格納しておく。それゆえ、本例の場合には、第２ステップＳ２２の前に、第１データキャリア１０に格納されている識別子ＩＤ１を読取って、この識別子を前述のデータベース１３に送信し、かかるデータベースにおいて、識別子ＩＤ１に割当てられているパスワードＰＷＡ１を突き止めてからそのパスワードを、ステップＳ２２で、第１データキャリア１０に送信する。この方法の残りのステップは、既に述べた方法と同様である。ここで、データベース１３は、必ずしも中央データベースとする必要はなく、むしろ、この情報は、第１システムＡ、具体的には後述する販売端末１４に、分散的に存在させることもできることに留意されたい。

図３は、第２システムＢの境界での、第１システムＡから第２システムＢへの、第１データキャリア１０の移譲を示している。ここでも同様に、システムＡを売り手のシステム、システムＢを顧客のシステムとする。ここでも、第２データキャリア２０は、スマートカード形式の、顧客特約カードで形成されているものとする。しかしながら、この第２データキャリアとしては、携帯機器、例えば、近傍通信（ＮＦＣ：Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）規格によるインターフェース、および対応する記憶能力を有する携帯電話を用いることもできる。ここでも、簡単化のために、単一の第１データキャリア１０の移譲のみを示すが、通常は、例えばスーパーマーケットでの各購入動作中に、多数の第１データキャリア１０が、第２システムＢに移譲されすことになる。

第１ステップＳ３１では、第１データキャリア１０に格納されている識別子ＩＤ１が読取られ、図２につき説明したように、データベース１３によって、第１システムＡに関連するパスワードＰＷＡ１が突き止められる。この識別子とパスワードの対は、その後第２ステップＳ３２で、第２データキャリア２０に格納される。第１データキャリア１０に関連する複数の製品が購入された場合には、複数の対を格納しなければならない。これを、インデックスｙを付けた識別子ＩＤｙおよびパスワードＰＷＡｙで示してある。第３ステップＳ３３では、第１データキャリア１０および第２データキャリア２０が、第２システムＢに運ばれる。そこで、第１データキャリア１０の識別子ＩＤ１が読取られ、第２データキャリア２０内に整合するパスワードＰＷＡ１が突き止められ、この整合パスワードが、第４ステップＳ３４で、第１データキャリア１０に送信される。その後そこでは、前記突き止めたパスワードＰＷＡ１が、第１データキャリア１０に格納されていたパスワードＰＷ１に合致するか否かを確認する照合が行われる。その比較の結果が肯定であった場合には、第５ステップＳ３５で、第１データキャリア１０に格納されていたパスワードＰＷ１は、第２システムＢにおいて有効なパスワードＰＷＢで上書きされる。この手順は、第１データキャリア１０の個数だけ、同じように繰り返すことができる。当然のことながら、これまでの実施例ではただ１つのパスワードＰＷＢを用いる例についてしか述べなかったが、第２システムＢにおいて、互いに異なる複数のパスワードＰＷＢを用いることも可能であることに留意されたい。

この場合もやはり、システムＡおよびＢの、位相幾何学的および論理上の境界は一致していない。第１データキャリア１０に格納されているパスワードＰＷ１は、第２システムＢの境界でしか上書きされないため、第１システムＡは、論理的観点で、第２システムＢまで拡大することになる。従って、スーパーマーケットから自宅までの途中で、第１データキャリア１０が、売り手に読取られることも考えられるために、この変形例では、第２システムＢにおいて有効なパスワードＰＷＢが、漏洩することはないようにする。従って、売り手が、同じパスワードを格納することは不可能である。

顧客が、顧客特約カードを忘れたり、パスワードで保護される第２システムＢを使用することを望まないために、顧客特約カード（すなわち、第２データキャリア２０）が存在しないことも考えられる。この場合には、第１データキャリア１０に対するパスワード保護を、第１システムＡ（すなわち、例えばレジなど）の境界で、対応するフラグを設定するか、または第１データキャリア１０に格納されているパスワードＰＷ１を削除することにより、解除することができる。この後者の手法は、後の時点に、第２システムＢにて統合させることができる。この場合、第２システムＢにおいて、第１データキャリア１０がパスワード保護されているか否かを確認するための照合を行うのが有利である。照合の結果が否定であった場合には、前記第１データキャリアに、第２システムＢにおいて有効なパスワードＰＷＢを書き込んで、パスワードによる保護を行う。この場合には、システムＡおよびＢの、位相幾何学的および論理上の境界が一致する。システムＡとＢとの間の領域では、第１データキャリア１０は全く無防備である。

図４に、第１システムＡを詳細に示す。第１システムＡは、製造、流通および輸送、さらに、保管および販売箇所を含むことができる。これ以降では、第１システムＡは販売箇所であるものとする。ここでは、図１に示すデータキャリア１と同様の、複数の第１データキャリア１０を使用する。複数の書込み／読取り装置１１も備えられている。この読取りおよび書込み装置１１は、概略的に１２で示してあるネットワークにつながっており、ネットワーク１２には、データベース１３もつながっており、このデータベース１３には、特に、例えば領域１３ａに格納されるような、各第１データキャリア１０に特有な識別子ＩＤ１と、領域１３ｂに格納されるような、各第１データキャリア１０に対して有効なパスワードＰＷＡ１との組み合わせが格納される。通常、データベース１３は、インデックスｘを付したＩＤｘとＰＷＡｘとの対で示すような、このような割当てを複数含むことになる。

図４に、主要な要素として、中央制御ユニット１５、ネットワーク１２との通信手段１６、および、読取り／書込み装置１１と同様の読取り／書込み装置１７を含む販売端末１４も示す。販売端末１４の範囲において、第１データキャリア１０を備える製品が売れた場合には、図２または３で説明したステップが実行される。さらに、当然のことながら、例えば販売端末１４には必須のことでもある、購入した製品の総額の計算や、あるいは、例えば第２データキャリア２０（顧客特約カード）または携帯機器で同じように行うことのできる、購入者の認証等の、他のステップを実行することもできる。

図５は、顧客の範囲内にある少なくとも１つの第１データキャリア１０を保護するための、第２システムＢを概略的に示しており、本実施例における第２システムＢは、家庭環境における閉鎖アプリケーションとして設計する。ここでは、パーソナルコンピュータ（ＰＣ）２１が、インターフェース２１ｂを介してネットワーク２２に接続されている。同様に、洗濯機２３、電子レンジ２４、および冷蔵庫２５が、ネットワーク２２に接続されている。第２システムＢには、多数の第１データキャリア１０（図５では、ただ１つのみを示している）、および第２データキャリア２０が存在する。ＰＣ２１、洗濯機２３、電子レンジ２４、および冷蔵庫２５は、それぞれ、第１データキャリア１０および第２データキャリア２０との無線通信が可能な、書込み／読取り装置２１ａ，２３ａ，２４ａ，および２５ａを備えている。

図５に示す設備配置の作動形態は以下の通りである。第２システムＢには、第１データキャリア１０を備える多数の物が存在しており、それらは、例えば図４に示したような販売端末１４で購入した物である。例として、第１データキャリア１０を備えるシャツ２６を示してある。シャツ２６を、書込み／読取り装置２１ａ，２３ａ，２４ａ，および２５ａに近づけるとすぐに、第１データキャリア１０へのアクセスが可能となる。そうしてから初めて、第１データキャリア１０が、第２システムＢに積極的に統合される。通常、書込み／読取り装置２１ａ，２３ａ，２４ａ，および２５ａの動作範囲は、ごく限られた範囲であるため、通常、第２システムＢに存在する第１データキャリア１０のうち、第２システムに積極的に統合させることができるのは僅かなものに過ぎず、残りの第１データキャリアシステム１０は、“休止”している。第２データキャリア２０についても、同様のことが当てはまる。新規の第１データキャリア１０の統合は、既に述べたように、図２または３に示した方法で行われる。

特に、統合を図２に示した方法により行う場合、すなわち、第２システムＢにおいて有効なパスワードＰＷＢを、原理上第１システムＡに分からせる場合には、通常、第２システムＢにおいて有効なパスワードＰＷＢを変更しなければならない。このために、ＰＣ２１には、例えば乱数生成器のような、パスワードを生成する手段２１ｃが存在する。この場合には、新しいパスワードＰＷＢを定期的な間隔で生成して、ネットワーク２２を介して、第２システムＢの全ユニット、この場合は、洗濯機２３、電子レンジ２４、および冷蔵庫２５に配信する。さらに、第１データキャリア１０および第２データキャリア２０の全てにアドレスを付与し、格納されているパスワードは、その都度、新しいパスワードＰＷＢで上書きする。このようにして、第２システムＢに存在する全てのコンポーネントを同期させる。

既に述べたように、同期処理中に、全ての第１データキャリア１０および第２データキャリア２０は、書込み／読取り装置２１ａ，２３ａ，２４ａおよび２５ａの範囲内にあるとは限らないため、同期処理は、比較的長い時間にわたって行うようにすることができる。従って、第１データキャリア１０に、新規のパスワードＰＷＢを同時にではなく、むしろ段階的に、書き込むようにする。この場合には、古いパスワードも本例では、ＰＣ２１のリスト２１ｄに、格納しておき、新しいパスワードＰＷＢをまだ格納していない第１データキャリア１０にも、同様にアクセスすることができるようにする必要がある。過去のものとは別のパスワードを格納しておき、二度以上の同期処理に“失敗”した第１データキャリア１０にアクセスできるようにするのが有利である。

一例として、シャツ２６の第１データキャリア１０に格納されているパスワードＰＷＢは、最新のものでないものとする。このシャツ２６を洗濯する場合に、洗濯中のシャツ２６の損傷を防ぐことができるように、洗濯機２３は、書込み／読取り装置２３ａを介して、すなわち、最新のパスワードＰＷＢを用いて、第１データキャリア１０から、関連するデータを読取ろうとする。この場合、パスワードＰＷＢは局所的に、いいかえれば、洗濯機２３に直に、または、本例の場合のように、ＰＣ２１に集中的に格納することもできる。第１データキャリア１０にアクセスできない場合は、過去のパスワードＰＷＢの検索を行う。これらのパスワードは、同じように局所的に、あるいは本例の場合のように、リスト２１ｄに集中的に格納しておくことができる。正しいパスワードＰＷＢが見つかったら、すぐに、洗濯の処理に関連するデータを読取るだけでなく、第１データキャリア１０に格納されているパスワードＰＷ１も更新する。第１データキャリア１０のパスワード保護が解除されている場合も考えられる。この場合は、第１データキャリア１０に、最新のパスワードＰＷＢを書き込み、パスワード保護を有効にする。

第２システムＢには、洗濯機２３、電子レンジ２４、および冷蔵庫２５のほかに、他の機器、例を幾つか挙げると、例えばＤＶＤプレーヤーのようなオーディオ／ビデオ機器や、インテリジェント格納装置、いわゆるまだあまり知られていない“スマートシェルブス（Ｓｍａｒｔ ｓｈｅｌｖｅｓ）”を、統合させることもできる。ここでも、全ての機器に書込み装置を設ける必要があるわけではないことに留意されたい。むしろ、第１データキャリア１０の読取りのためだけに、幾つかの装置を備えることも考えられる。

例えば、スマートカード、または顧客特約カードで形成することができる第２データキャリア２０も、ネットワーク２２につながっている。また、例えば携帯電話、ＰＤＡ等のような、適切な記憶能力を有する携帯機器を用いることもできる。同期操作は、上述した方法で、第２データキャリア２０または携帯機器も検出する。第２データキャリアを代替通信モード用に設計した携帯機器とする場合には、その代替モードを、パスワードＰＷＢの送信に用いることもできる。一例として、このパスワードは、携帯電話の場合に、ＳＭＳを介して送信することができるため、第２データキャリア２０に格納されているパスワードＰＷＢは、当該第２データキャリアが書込み／読取り装置２１ａ，２３ａ，２４ａ，および２５ａの近傍に位置していなくても、常に最新のものとなる。この場合には、ＰＣ２１が、インターネット（図示せず）への接続手段を設けるのが有利である。

第１データキャリア１０付きの少なくとも１つの製品の購入に関して上述した、本発明の実施態様とは異なり、本発明は、他の多数の用法に用いることができ、第１データキャリア１０を備える製品を使用する権利を変えるようにすることもできることに留意されたい。

一例として、修理または整備のために、第１データキャリア１０を備える製品の顧客または所有者が、サービス店または売り手にその製品を戻すことが考えられ、そこでは再び、販売端末１４と同様の機器を用いて、第１データキャリア１０のパスワードＰＷ１を、顧客または現所有者のパスワードからサービス店のパスワードに変更して、第１データキャリア１０を備える製品の修理または整備作業を行うようにする。このようにして、第１データキャリア１０に格納されているデータＤＡＴに、再び製造者またはサービス店がアクセスできるため、顧客が購入したために使用権が途中で変更された後でも、製造者またはサービス店は、上述した、第１データキャリア１０に関連するデータＤＡＴを格納する利点を、再び享受できる。整備作業が完了したら、第１データキャリア１０の付いた製品は、販売端末１４にて再度顧客に受け渡されるため、図２または３につき説明した、製品の購入手順と同様の方法で、パスワードを変更することによって、第１データキャリア１０に含まれているデータの単独使用権が、再び顧客に与えられることになる。

最後に、本発明による特徴事項は、組み合わせあるいは個別にのみ説明したとしても、個別と、または組み合わせの両方で実施することもできることに留意されたい。上述した特徴は、さらに、ソフトウェアおよびハードウェアの両方で実現することもできる。さらに、「備える」という言葉は、本発明による方法または本発明による物品の、他の特徴を排除するものではない。また、個別のステップまたは個々の要素につき参照したが、それらのステップまたは要素が複数存在し得ることを排除するものではなく、その逆もまた然りである。

本発明による第１データキャリアの、主な構成要素を示す図である。 第１システムの境界での、第１システムから第２システムへの、第１データキャリアの移譲を示す図である。 第２システムの境界での、第１システムから第２システムへの、第１データキャリアの移譲を示す図である。 第１システムの概略的な構成図である。 第２システムの概略的な構成図である。

Claims (6)

1. 第１電子データキャリアに固有の識別子およびパスワードが格納され、該パスワードによって前記第１電子データキャリアに対するアクセスが保護される第１電子データキャリアを、第１システムから第２システムへ受け渡す方法において、
   前記第１システムは、第１端末とデータベースと少なくとも１つの第１の書込み／読取り装置とを備え、
   前記第２システムは、第２端末と少なくとも１つの第２の書込み／読取り装置とを備え、
   前記方法は、
   前記第１端末が、前記第１システムにおいて有効なパスワードを、前記第１電子データキャリアに送信するステップと、
   前記第１電子データキャリアが、前記第１電子データキャリアに格納されている前記パスワードと、前記送信されたパスワードとを比較するステップと、
   前記比較の結果が肯定であった場合には、前記第１端末が、前記第２システムにおいて有効であり第２電子データキャリアにアクセス保護されずに格納されているパスワードを読取り、前記第１電子データキャリアに格納されているパスワードを該第２システムにおいて有効なパスワードで上書きするステップと
   を含む、データキャリアの受け渡し方法。
2. 前記第１電子データキャリアから、前記識別子を読取るステップと、
   前記第１システムの複数の電子データキャリアの識別子およびパスワードが対で格納されている前記データベースへ、前記第１電子データキャリアから読取った識別子を送信するステップと、
   前記送信された識別子に割当てられているパスワードを突き止めるステップと
   を、予め実行する、請求項１に記載の方法。
3. 前記第１端末が、前記第１電子データキャリアから、前記識別子を読取るステップと、
   前記第１端末が、前記第１システムの複数の電子データキャリアの識別子およびパスワードが対で格納されているデータベースへ、前記第１電子データキャリアから読取った識別子を送信するステップと、
   前記第１端末が、前記送信された識別子に割当てられているパスワードを突き止めるステップと、
   前記第１端末が、前記突き止めたパスワードおよび前記識別子を、前記第２電子データキャリアにアクセス保護せずに格納するステップと、
   前記第２端末が、前記第１電子データキャリアの前記識別子を読取るステップと、
   前記第２端末が、前記格納するステップにおいて前記第２電子データキャリアに格納された前記識別子およびパスワードを読取るステップと、
   前記第２端末が、前記第１電子データキャリアに割当てられているパスワードを突き止めるステップと、
   前記第２端末が、突き止めた前記パスワードを前記第１電子データキャリアに送信するステップと、
   前記第１電子データキャリアが、前記第１電子データキャリアに格納されている前記パスワードと、前記送信されたパスワードとを比較するステップと、
   前記比較の結果が肯定であった場合には、前記第２端末が、前記第１電子データキャリアに格納されているパスワードを、前記第２システムにおいて有効なパスワードで上書きするステップと
   を、さらに含む、請求項１に記載の方法。
4. 前記第２システムに割当てられた全ての前記第１電子データキャリア、前記第２電子データキャリア、および、前述の前記データキャリア用の書込み／読取り装置に対する、前記第２システムにおいて有効な前記パスワードを、継続的に変更する、請求項１に記載の方法。
5. ‐第１システムにおいて有効なパスワードを、第１電子データキャリアに送信する手段、
   ‐前記第１電子データキャリアに格納済みのパスワードと、前記送信されたパスワードとの比較を判定する手段、
   ‐前記比較の結果次第で、前記第１電子データキャリアの前記パスワードを、第２システムにおいて有効なパスワードで上書きする手段、および、
   ‐前記第２システムにおいて有効であり第２電子データキャリアにアクセス保護せずに格納されている前記パスワードを、前記第２電子データキャリアから読取る手段、
   を備えている、データキャリア用の書込み／読取り装置。
6. ‐第１電子データキャリアの識別子を読取る手段、
   ‐前記第１電子データキャリアの読取った識別子に割当てられているパスワードを突き止める手段、
   ‐前記パスワードを、前記第１電子データキャリアに送信する手段、
   ‐前記第１電子データキャリアに格納済みのパスワードと、前記送信されたパスワードとの比較を判定する手段、
   ‐前記比較の結果に応じて、前記第１電子データキャリアの前記パスワードを、第２システムにおいて有効なパスワードで上書きする手段、および、
   ‐前記第１システムの複数データキャリアの識別子およびパスワードが対でアクセス保護せずに格納されている第２電子データキャリアから、識別子およびパスワードを読取る手段、
   を備えている、データキャリア用の書込み／読取り装置。

Images