JP6861731B2 - シールシステム及びその設置方法 - Google Patents

Description

本発明は，一般的にはシールシステムに関し，特に不正開封検出型の核容器シールに関する。このようなシールにおいて，容器蓋は容器本体に固定され，個々の容器を特定するための手段を備える場合がある。本発明は，更に，シールシステムの設置方法に関する。

ある種の状況下では，セキュアリティの高いシールが必要とされる。これは，そのような容器が危険物質，例えば核分裂材料を収蔵する場合に特に重要である。

例えば，検査機関は，使用済み核燃料を収容したキャスク（容器）が２つの設備間で未開封のまま輸送されたことの検証を望むことがある。輸送キャスクは，ある設備で充填され，他の設備までトラック，鉄道又は船舶で輸送された後に再開封される。

伝統的に，検査官は，キャスク及び蓋に対して，充填前，輸送中，開封及び取出し後の三段階でアクセス可能である。

キャスクは，監視下で充填され，作業員により閉鎖され，作業員によりシールされ，しかも収容／閉鎖／シールの各操作の間には検査機関からの検査官の立ち合いを不要とすることが望ましい。作業員によるシールは，次の諸条件を満たす必要がある。
(i) 意図的又は偶発的な設置不備により，シールの適正機能が阻害又は改変されるのを回避すること。
(ii) キャスク及び蓋と一義的に整合すること。
(iii) 輸送中における無許可の開封を検出すること。
(iv) クローニングを回避すること。
(v) データを蓄積し，そのデータが改ざんされていないことを保証すること。

セキュアリティの高い容器シール技術，すなわち，シール後の容器の不正開封／開放を検出可能／視認可能とするシール技術は，既知である

各容器をシールするための既知の技術は，穿孔ボルト又はその他の固定具をワイヤシール（金属ケーブル又は光ファイバループ）と共に使用するものである。既知のシステムは，何れも閉鎖及び開放時に，信頼された人物（すなわち検査官）の立ち合いを必要としている。

例えば，従来の解決策は，受動的なループシール（ＣＯＢＲＡシール等）又は能動的な電子シール（ＥＯＳＳ等）の使用を含んでいる。何れの場合にも，キャスクを閉鎖する際に導線又は光ファイバがキャスク内及び蓋内における固定具に挿通される。導線は，シールに接続される。ＣＯＢＲＡシールの場合，キャスクを開放するためにシールを破断する必要がある。ＥＯＳＳシールの場合，開放はシール内部に記録される。欠点は，何れの従来システムも，キャスク上への固定具の適正な設置に依存していることである。また，導線が緩むとキャスクが開放可能となり，これはシールにより検出することができない。更に，光ファイバ導線が輸送中に損傷してシールを機能不全とすることがある。ＣＯＢＲＡシステムは，キャスクの開放（シールの破断）に先立って検査を必要とする。シールが破断された時点を決定する手段がないからである。

他のシールは，接点又は磁石によって変位を検出するものであるが，この方法は不正開封の試みに対して十分に強力なものではない。

既存のシールボルトが容器を非常に安全にシールできたとしても，全ての要件，特に，システムの安全性を犠牲にすることなく，立ち合いを要せずに作業可能とすべき要望を満たす既知のシステムは存在していない。
［００１０ａ]
米国公開第2004/239435号明細書は，一般的には，救命いかだ容器の不正開封検出システムに関する。救命いかだ容器は，膨張可能な救命いかだを格納するために使用されるものであり，互いに直接重ねられる頂部及び底部を含む。容器は，容器が開封されたとき，すなわち容器部分間の距離が増加したときに，その開封を検出可能なＲＦＩＤシステムを更に備える。特に，親機のＲＦＩＤタグと子機のＲＦＩＤタグが互いにリンクされ，互いに能動的に交信して両者間の距離を決定する。親機のＲＦＩＤタグと子機のＲＦＩＤタグとの間の距離Ｄが所定値を超えて増減すると，警報が発生される。
[００１０ｂ]
国際公開第2005/111961号明細書は，一般的には，不正開封の証拠としてのＲＦＩＤタグの使用に関する。特に，容器に対する閉鎖蓋の相対位置の変化を検出するために，一対のＲＦＩＤタグが使用される。
[００１０ｃ]
国際公開第2014/009981号明細書は，一般的には，リアルタイム超広帯域（ＵＷＢ）型の位置決めシステムの同期化に関する。特に，タグ付けされたアイテムの３Ｄ位置を決定するために，少なくとも４つのリーダーを使用して三次元での三角測量が行われる。

発明の課題

本発明の課題は，例えば請求項１又は２に記載されているような，セキュアリティの改良されたシールシステムを提供し，シールシステムを貯蔵サイトにおける作業員により，検査官の立ち合いなしに設置可能とすることである。本発明の更なる課題は，例えば請求項１５に記載されているようなシールボルトの設置方法を提供することである。

本発明の第１の態様によれば，容器本体に容器蓋をシールするためのシールシステムが提供される。このシールシステムは：
容器蓋及び容器本体の一方に取付け可能な少なくとも３つのタグを備え，各タグは，固有のＩＤを有し，使用時に第１のＲＦ信号を送信する第１ＲＦトランシーバを備え；
容器蓋及び容器本体の他方に取付け可能な少なくとも３つのアンカーを備え，各アンカーは，固有のＩＤを有し，使用時に第１のＲＦ信号を受信する第２ＲＦトランシーバを備え；
前記少なくとも３つのアンカーに通信接続されるマスターユニットを備え；該マスターユニットは，
(i) 各タグのＩＤに関連して，それぞれの現在の３Ｄ位置を，受信した第１ＲＦ信号に基づいて決定し，
(ii) 各タグについて過去に決定した３Ｄ位置を蓄積し，
(iii) １つ又は複数のタグの現在の３Ｄ位置と，過去に決定した３Ｄ位置との隔たりが所定の距離しきい値を超えたときに，警報及び／又はタイムスタンプ及び／又はログエントリーを発生させるように構成されている。

マスターユニットは，少なくとも３つのアンカーのうちの１つが組み込まれている構成とすることができる。

有利なことに，一旦シールシステムが検査官によりキャスク及び蓋上に設置されると，システムは，キャスクに対する収容及び閉鎖を行う作業員にとって透明化される。作業員はシールシステムを設置又は起動するための操作を実行する必要がなく，従って（意図的又は偶発的な）誤りの生じる可能性はない。

実際に，このシールシステムはセキュアリティがより高い。このシールシステムによれば，余剰の活動度を持たない作業員により実行すべき作業量が少なく，検査機関からの検査官による検査事項が少なく，検査官は最も都合のよい時にシールシステムを検査することができる。

アンカーは，周期的に，又はマスターユニットからの指令に応じて，タイミング信号を含む第２ＲＦ信号を送信するように構成することができる。

各第１ＲＦ信号は，それぞれのタグにおいて第２ＲＦ信号に応じて生成された信号，及び／又は該タグにおける第２ＲＦ信号の受信時刻データを含む信号を備えることができる。

マスターユニットは，第１ＲＦ信号及び／又は前記３Ｄ位置の表示データの時間的な平均化を行うように構成することができる。

マスターユニットは，アンカーとタグとの隔たりが最小化又は安定化された時点を決定するように構成することができる。

アンカーは，容器本体又は容器蓋に対して既知の位置，例えば容器本体又は容器蓋の周縁部において等間隔位置で固定され， マスターユニットは，各タグにつき，前記既知の位置に基づいて，それぞれの現在の３Ｄ位置を決定する構成とすることができる。

マスターユニットは，各タグについて，三角測量アルゴリズムを使用して，それぞれの現在の３Ｄ位置を決定する構成とすることができる。

一実施形態において，各タグ及び／又は各アンカーはリアルタイムクロックを含み，第１ＲＦ信号及び／又は第２ＲＦ信号は，それぞれのリアルタイムクロックから得られるタイムスタンプを含むことができる。

一実施形態において，各アンカーは，バスを介して複合信号をマスターユニットに送信するように構成され， 該複合信号は，前記少なくとも３つのタグの各々につき，タグＩＤ及びデータ受信時刻が含まれるパッケージを備えることができる。

一実施形態において，各タグ及び／又は各アンカー及び／又はマスターユニットは，それぞれのタグＩＤに関連させて前記３Ｄ位置を蓄積するための不揮発性メモリー（ＮＭＶ）を備えることができる。

一実施形態において，各タグは，第１暗号化キー及び／又は第１デジタルシグネチャーを生成及び蓄積するように構成された第１暗号化モジュールを含み，各タグは，アンカーへの送信に先立って，第１暗号化キー及び／又は第１デジタルシグネチャーを使用して，第１ＲＦ信号に署名する構成とすることができる。

一実施形態において，各アンカーは，第２暗号化キー及び／又は第２デジタルシグネチャーを生成及び蓄積するように構成された第２暗号化モジュールを含み，各アンカーは，
(i) タグへの送信に先立って，第２暗号化キー及び／又は第２デジタルシグネチャーを使用して第２ＲＦ信号に署名する構成とし；及び／又は，
(ii) マスターユニットへの送信に先立って，第２暗号化キー及び／又は第２デジタルシグネチャーを使用して前記複合信号に署名する構成とすることができる。第２暗号化キー及び／又は第２デジタルシグネチュアは，第１暗号化モジュールによって生成することができる。

デジタル的に署名されたデータは，マスターにより局所的に蓄積され，又は遠隔送信することができ，データ改ざんの懸念はない。シールの中間的な検証は不要である。蓋の閉鎖又は開封に関する全てのイベントが蓄積され，ＮＭＶにおける署名済みログから検索可能だからである。

一実施形態において，各タグ及び／又は各アンカーは不正開封検出センサーを含み，該不正開封検出センサーは，これによりタグ又はアンカーのハウジングに対する不正開封を検出したときに，該ハウジングに対する不正開封を表示する不正開封検出データを発生させる構成とすることができる。

一実施形態において，各タグ及び／又は各アンカーは，１つ又は複数のバッテリーと，これに接続される電圧検出センサーを含み，該電圧検出センサーは，これにより第１の所定範囲外の異常電圧レベルを検出したときに，バッテリーに対する不正開封を表示する電圧異常データを発生させる構成とすることができる。

一実施形態において，各タグ及び／又は各アンカーは温度検出センサーを含み，該温度センサーは，これにより第２の所定範囲外の異常温度レベルを検出したときに，前記タグ又は前記アンカーに対する不正開封を表示する温度異常データを発生させる構成とすることができる。

一実施形態において，各タグ及び／又は各アンカーは，容器蓋又は容器本体に対して剛性引張ベルト，例えばスチールベルトにより取付けられ，各タグ及び／又は各アンカーは，ベルト内における歪みを検出するための歪みセンサー，例えば歪みゲージを含み，該歪みセンサーは，これにより第３の所定範囲外の異常歪みレベルを検出したときに，前記タグ又は前記アンカーに対する不正開封を表示する歪み異常データを発生させる構成とすることができる。

マスターユニットは遠距離通信モジュール，例えばセルラー方式通信モジュールを含み，かつ，前記警報の発生に応じて，
(a) 任意的に，ハウジングに対する不正開封を表示するデータ，バッテリーに対する不正開封を表示するデータ，温度異常データ及び／又は歪み異常データを付随させたキャスク開封済み警報を発生させ，
(b) 遠距離通信モジュールを使用して，キャスク開封済み警報を遠隔制御サイトに送信する構成とすることができる。

遠距離通信モジュールを使用して遠隔制御サイトから受信したステータス要求に応じて，タイムスタンプ及びキャスク開封済み警報の詳細を含むシールシステムのステータスレポートを，任意的に，ハウジングに対する不正開封を表示するデータ，バッテリーに対する不正開封を表示するデータ，温度異常データ及び／又は歪み異常データと共に，前記遠距離通信モジュールを使用して前隔制御サイトに送信する構成とすることができる。

本発明の第２の態様によれば，シールシステムの設置方法が提供される。この方法は：
請求項１〜１４の何れか一項に記載のシールシステムを配備し；
タグ及びアンカーを，それぞれ容器蓋及び容器本体に取付け；
シールシステムを起動させるものである。

本発明の更なる利点は，少なくとも実施形態との関連において，以下に列記するとおりである。
a. 作業への立ち合いが不要であること。一旦シールシステムが検査官により容器に取付けられると，容器の状態（開放／閉鎖）が監視されるからである。すなわち，装入，閉鎖，開放及び取出し等，全ての作業がオペレータにより実行され，検査官の立ち合いが不要となる。
b. 容器をシールするための構成が簡潔であること。
c. リアルタイムでの情報が得られ，セキュアリティが高いこと。
d. 検査官に対する放射線被ばく量が最小化されること。
e. 良好な時間管理が可能であること。検査官が個別の各容器の閉鎖に際して物理的に立ち会う必要がなく，短い時間枠内で容器のバッチに対して活動を集中化できるからである。

以下，本発明の更なる詳細及び利点につき，添付図面に示す非限定的な実施形態を参照しつつ詳述する。
本発明の好適な実施形態に係るシールシステムを取付けたキャスク（容器）の分解図である。 図１のシールシステムにおいて使用されるタグ又はアンカーの線図的なブロック図である。 本発明の実施形態において使用されるマスターユニットの線図的なブロック図でる。 本発明の実施形態に係る図１の構成要素につき，ソフトウェア／ファームウェアに基づいて実行されるプロセスのフローチャートである。

検査官の立ち合いを必要とせずに設置可能なシースシステムに対する要望は，最重要かつ喫緊の課題である。少なくとも一実施形態において，本発明は，以下の要件の１つ以上を満足する，乾式の核貯蔵キャスクに適用可能なシールシステムを提供しようとするものである。
a. 立ち合いを必要とせずに自動的に作動すること。
b. 核容器の蓋及び本体に対して，蓋及び本体に修正を加えずに，しかも通常の装入／取り出し操作を阻害せずに使用できること。
c. 蓋及び本体を共に単一アイテムとして一義的に特定できること（クローニングの回避）。
d. 容易に設置及び取り外しができること。
e. 蓋の取り外しによる容器の開封／閉鎖を検出できること。
f. シール装置の容器蓋又は容器本体からの取り外しの試みを検出できること。
g. 開封／閉鎖及び不正開封事象のログエントリー及びデジタル署名ができること。
h. 遠隔制御及びリアルタイム制御のために，遠隔的に質疑できること。
i. 輸送操作のために，電源内蔵型であること。
j. 作業員だけで設置し，後の検査段階で検査官により検証できること。検査官は，その間にシールが不正開封されていないこと，すなわち，キャスクの内容物が閉鎖時におけるものと同一であることを信頼する必要がある。
k. パッケージを検査官から作業員に発送可能とし，設置前に改変されたものでないことを信頼可能とするシール及び電子装置を含む対不正開封手段を含み得ること。
l. 検査を通じてシールの同一性及び健全性を検証できること。
m. 容器と一義的に結び付く識別性を有し得ること。
n. 厳しい操作条件への耐久性を有すること。

本明細書及び図面において，同様の構成要素は同様の参照符号で表されている。特に明示しない限り，個別的な設計上の特徴，部品又は段階は，ここに開示される他の設計上の特徴，部品又は段階と組み合わせて使用することができる。

図１は，本発明の好適な実施形態に係るシールシステムを取付けたキャスク（容器）10の分解図である。

実施形態において，シールシステムは，容器本体12の開放端20における外周部に取付けられた第１形式の３つの電子装置（A1-A3，以下「アンカー」14, 16, 18と称する。）を含む。容器本体12は，例えば，核廃棄物又はその他の危険廃棄物が充填される形式のものである。３つのアンカー14, 16, 18は，リンクされ，有線接続，すなわちバス22を介して交信を行う。この実施形態において，マスターユニット26は，更なる有線接続28を介してアンカーの１つ，本例ではアンカー14とリンクされる。

しかしながら，他の好適実施形態（図示せず）において，マスターユニット26の機能及び／又は構成部品は，アンカー14, 16, 18の１つ，例えばアンカー14に組み込まれる。この統合化は，製造及び／又はセットアップを最適化及び簡略化するものである。

アンカー14, 16, 18は容器本体12に対して既知の箇所において，例えば容器本体12の周縁部周りで等間隔に取付けられる。すなわち，３つのアンカー14, 16, 18の場合，これらは120°の角度間隔で配置される。しかしながら，４つ又はそれ以上のアンカー14, 16, 18を容器本体12の周縁部周りで等間隔に配置し得ることは言うまでもない。そして，４つのアンカーであれば，これらは90°の角度間隔で配置され，以下同様である。

好適な実施形態においては，許可されていない取り外しを防止するため，３つのアンカー14, 16, 18は容器本体12に対して剛性引張ベルト（図示せず）により固定される。

この実施形態に係るシールシステムは，容器10の蓋13上に取付けられる第２形式の３つの電子装置（T1, T2, T3，以下「タグ」30, 32, 34と称する。）も含んでいる。

好適な実施形態において，３つのタグ30, 32, 34は，容器蓋13に対して剛性引張ベルト（図示せず）により固定される。３つのタグ30, 32, 34の場合，これらは120°の角度間隔で配置される。しかしながら，４つ又はそれ以上のタグ30, 32, 34を容器蓋13の周縁部周りに配置し得ることは言うまでもない。そして，４つのタグであれば，これらは90°の角度間隔で配置され，以下同様である。

一般的に，より多くのタグ及びアンカーを使用すれば，精度を一層向上させることが可能である。

アンカー14, 16, 18及びタグ30, 32, 34，並びにマスターユニット26を備えるシールシステムは，使用時に，容器本体12への充填に先だって容器10に固定される。容器の収容及び封止は，検査官の立ち会いを要するものではない。

本発明の実施形態において，アンカー14, 16, 18及びタグ30, 32, 34は，超広帯域（ＵＷＢ）のラジオ周波（ＲＦ）信号を使用して互いに交信を行うことにより，以下に詳述する態様で装置の離隔距離及び／又は三次元（３Ｄ）における位置を決定する。この実施形態ではＵＷＢ型ＲＦトランシーバを使用するが，ＵＷＢ以外のＲＦ技術を使用することもできる。

図２は，図１のシールシステムにおいて使用されるアンカー14の線図的なブロック図である。（タグ30, 32, 34は，アンカー14, 16, 18と類似する装置であって，同一のアーキテクチャを共有するが，例えばファームウェアにおいてはプログラミングが異なっている。簡潔性のため，ここではアンカー14のアーキテクチャのみに関して議論を進める。タグ30, 32, 34及びアンカー16, 18は同様の構成とされている。なお，本明細書において「装置」とは，各タグ30, 32, 34，各アンカー14, 16, 18，あるいはこれらの何れか又は全てを指すものとする。）

装置の中核部品は，低出力型マイクロコントローラ50である。これは，装置における異なるサブシステムの全ての情報を管理し，かつ，全ての通信を，マスターユニット26も含めた他の装置と連携させる機能を有する。ＲＦレンジは，少なくとも各タグ30, 32, 34の相対３Ｄ位置を決定するものであり，データパッケージ（タイム・オブ・フライト（ＴｏＦ）データ）と，リアルタイムクロック（ＲＴＣ）54により与えられるタイムスタンプとを送受信するための専用ＵＷＦモジュール52により決定される。リアルタイムクロック54は，好適には，データ（パッケージ）／ＲＦメッセージの精密なタイムスタンプについて経時記録を維持する精密リアルタイムクロックである。

アンカー14は，送信前のデータ（パッケージ）にデジタル署名を行うための暗号化キーを生成・蓄積可能な暗号化モジュール56（クリプトチップ）も内蔵している。すなわち，各タグ及びアンカーは，クローニングを回避するために，固有のＩＤとそれ自体の固有プライベートキーを有する暗号化モジュール56を装備している。これらのキーは，最大限の保護のため，装置内部の暗号化チップ内において生成及び蓄積される。装置間における全ての通信は，認証のための非対称アルゴリズムでデジタル署名される。

不正開封センサー58は，アンカー14が容器上における既定位置から取り外されたか否かを検出する。センサー58は，装置のケース／ハウジング（図示せず）上における不正開封検出スイッチ及び，ケース／ハウジング内へのドリル穿孔を回避するための保護回路メッシュ（図示せず）として構成することができる。

アンカー14は，１つ又は複数のバッテリー60（好適にはデュアルバッテリーシステム）により駆動され，電圧及び温度を監視するための１組のセンサー62を備えることにより，適正な機能を確保して不正開封攻撃を検出することができる。温度センサーは，シール機能を損ないかねない極限温度を検出するために使用される。温度センサーを使用することにより，プロセッサー50は，現在の温度が所定の作動レンジ内にあるか否かを決定し，及び／又は検知した温度が所定の作動レンジ外にあるときに警報／除外（メッセージ）を発生させることができる。

オンボードの電圧監視センサー（回路）は，装置に対する適正な電力供給を確保する。電圧監視センサーは，シール機能を損ないかねないバッテリー60からの例外的な電圧出力を検出するために使用される。電圧監視センサーを使用することにより，プロセッサー50は，現在の電圧出力が所定の作動レンジ内にあるか否かを決定し，及び／又は検知した電圧出力が所定の作動レンジ外にあるときに警報／異常（メッセージ）を発生させることができる。

装置は，アンカー14, 16, 18を容器本体に固定し，及び／又はタグ30, 32, 34を容器蓋13に固定するために使用される固定ベルト（図示せず）の張力をチェック又は監視する歪みセンサー（例えば，歪みゲージや同様のンサー）も含んでいる。歪みセンサーは，固定ベルト（図示せず）内における異常な歪みレベルを検出するために使用され，この歪みレベルは，装置からのベルトの取り外し（すなわち不正開封）の試みを表示し得るものである。歪みゲージセンサーを使用することにより，プロセッサー50は，現在の歪みレベルが所定の作動レンジ内にあるか否かを決定し，及び／又は検知した歪みレベルが所定の作動レンジ外にあるときに警報／異常（メッセージ）を発生させることができる。

アンカー14は，検知した全ての事象のログ，及び／又は全てのセンサーデータを内蔵型不揮発性メモリー（ＮＭＶ）64に保存する。ＮＭＶ64に蓄積されるデータは，好適には，ＲＴＣ54からの精密タイムスタンプを使用して時刻記録が行われる。

最後に，アンカー14は，通信モジュール66を使用し，有線通信リンク（例えば，シリアル又はパラレルリンク）を介してマスターユニット26（図１を参照）と通信を行う。

図３は，本発明の実施形態において使用されるマスターユニット26の線図的なブロック図である。マスターユニット26は，以下に記載する点を除いて，図２のアンカー14と同一である。マスターユニット26は，シールシステムのコントロールユニットとして機能する。

図３のマスターユニット26は，有線通信リンク28を介してアンカー14との通信を行うための通信モジュール66’を含む。通信モジュール66’は，アンカー14の通信モジュール66と同一であって，同一のプロトコル，例えばシリアル又はパラレルプロトコルで作動する。更に，マスターユニット26は，例えば核安全機関の属する遠隔の中央制御ステーション（図示せず）に対する通信を行うための遠距離通信モジュール70を含む。遠距離通信モジュール70は，例えばＧＳＭ，３Ｇ，４Ｇ，５Ｇ／ＬＴＥ等に準拠するセルラー通信モジュール70で構成することができる。

使用に当たり，アンカー14, 16, 18はタグ30, 32, 34との通信を開始する。すなわち，各アンカー14, 16, 18は各タグ30, 32, 34との交信を行う。３つのタグを有する容器蓋13が，３つのアンカー14, 16, 18を有する容器本体12に近接して配置されると，容器本体12及び蓋13は有効にペアリングされ，蓋13の容器本体12に対する相対移動，例えば持ち上げや回転は何れも検出される。

アンカー14, 16, 18及びタグ30, 32, 34は，時刻情報の含まれるデータパッケージを交換する。これらのパッケージは，改ざんを回避するために，暗号化モジュール56を使用してデジタル署名が行われる。マスターユニット26はこれらのデータパッケージを収集し，アンカー14, 16, 18及びタグ30, 32, 34の間における信号のタイム・オブ・フライトを計算し，従って三角測量によりそれらの相対（３Ｄ）位置を決定する。アンカー14, 16, 18及びタグ30, 32, 34の内蔵センサーは，装置が容器12上における所定位置から取り外されたか否かを検出可能である。以下に詳述するように，蓋13を持ち上げようとする試みは，いずれもシステムにより検出され，ログ記録される。

以下に詳述するように，メッセージの交換と，結果的に行われるレンジング／位置決めを通じて，装置（アンカー14, 16, 18及びタグ30, 32, 34）は３Ｄ空間内におけるそれぞれの位置を「認知」し，固有シール，すなわちその容器本体12及び蓋13のペアリングに固有のシールと同様に挙動する。この３Ｄ的に局所化されたシール装置の「ネットワーク」は，容器本体12に対する装置，すなわち蓋13の移動を，例えば約５〜１５ｃｍの精度で精密検出することができる。

作動に当たり，３つのアンカー14, 16, 18の各々は３つのタグ30, 32, 34に照会を行う。各アンカー14, 16, 18は，タイム・オブ・フライト情報を使用して，タグ30, 32, 34がどの距離に位置しているかを決定することができる。３つのアンカー14, 16, 18は，蓋13の表面と平行な面内で容器本体12周りに配置され，好適には容器本体12の外周に沿って120°の角度間隔で配置される。アンカー14, 16, 18及びタグ30, 32, 34は，タイム・オブ・フライトを決定するためにメッセージ交換を行う。これらのメッセージは，正当なタグを偽装した偽造タグを防止するためにデジタル署名されている。全てのアンカー14, 16, 18は，有線接続チャンネル28を通じてマスターユニット26に距離情報を送信する。マスターユニットは，認証された全ての情報を収集し，三角測量法によって各タグ30, 32, 34の３Ｄ位置を決定する。

容器本体12上における３つのアンカー14, 16, 18の位置が確定・認知されると，これに基づいてマスターユニット26により各タグ30, 32, 34の位置を決定することができる。３つのアンカー14, 16, 18及び３つのタグ30, 32, 34は，良好な３Ｄ位置決めを確保するための最小数である。４つのアンカー14, 16, 18及び４つのタグ30, 32, 34を使用すれば３Ｄ位置決めの精度が向上するが，追加費用が発生し，構造が複雑化する。

蓋13が容器本体12上に配置されると，マスターユニットは，蓋13に接続された３つのタグ30, 32, 34の近接度をログ記録する。各タグの位置変化（又は，例えば０．１〜１５ｃｍ，好適には０．１〜５ｃｍ，更に好適には０．１〜１ｃｍの範囲内におけるしきい値距離〔しきい値１〕よりも大きな変化）は，蓋の開放と認められる。アルゴリズムにより，検出しきい値に対する位置／距離の情報処理を行い，位置／距離を時間的に平均化して誤った警報を回避する。

図４は，本発明の一実施形態に従って，図１の構成要素について実行されるソフトウェア／ファームウェアに基づくプロセスのフローチャートである。すなわち，同図は，各タグ14, 16, 18，各アンカー30, 32, 34及びマスターユニット26において，監視を行い，キャスク（容器）10の不正開封又は開放を検出し，警報を発生させるために実行されるステップ又はプロセスを示すものである。（簡潔性のため，プロセスは，もっぱら単一のタグ30及び単一のアンカー14との関連で記載されているが，他のタグ及びアンカーについても同様である。）

図４の左側コラム（タグ）を参照すると，各タグ30, 32, 34は，その固有識別子（ＩＤ）を有し，暗号化モジュール56を使用する。タグ30は，蓄積されている暗号化キー及びタグＩＤから署名を生成するように作動する（ステップS402）。次に，タグ30は，ＲＦ経由でのメッセージを聴取する（ステップS404）。ステップS406において，メッセージが受信されていない場合，タグ30は，受信メッセージの聴取を継続する。ステップS406において，RFメッセージの受信が確認されたら，それがアンカー14からの起動メッセージとして認識できるか否かのチェックを行う（ステップS408）。ステップS408において，起動メッセージが受信されなかったら，タグ30は，受信メッセージの聴取を継続する（ステップS404）。

図４の中央コラムを手短に参照すると，各アンカー14, 16, 18は，その固有識別子（ＩＤ）を有し，暗号化モジュール56を使用する。アンカー14は，蓄積されている暗号化キー及びタグＩＤから署名を生成するように作動する（ステップS430）。アンカー14は，リアルタイムクロックを使用しての既定の周期性に従って周期的に，又はマスターユニット26からのコマンドに基づき，ＵＷＢ型ＲＦを使用して，近隣のタグ30, 32, 34に起動メッセージを送信する（ステップS432）。起動メッセージは，タグ30, 32, 34を双方向通信及び３Ｄ位置決定操作に備えて待機させるように設計される。

図４の左側コラムに示すように，ステップS408において起動メッセージの受信が確認されたら，タグ30は，全てのセンサー58, 62及び通信モジュール52, 66を起動させる（ステップS410）。次に，タグ30は，ＵＷＢ型ＲＦ経由でのタイミングメッセージを聴取する。ステップS412において，タイミングメッセージが受信されていない場合，タグ30は，受信メッセージの聴取を継続する（ステップS404）。

アンカー14による起動メッセージの送信後，図４の中央コラムに示すように，例えば起動メッセージの送信から所定時間の経過後に，アンカー14は，タイミングメッセージを送信する（ステップS434）。

図４の左側コラムを参照すると，ステップS412においてタイミングメッセージがアンカー14から受信されたと判断されると，タグ30は，リアルタイムクロック54を使用して到着時刻（ＴｏＡ）を決定し，リアルタイムクロック54の読取り値に基づいてＴｏＡにタイムスタンプを施す。このＴｏＡは，引き続いてアンカー14からタグ30へのタイムオブフライト（ＴｏＦ）を決定するために使用することができる。

次に，ステップS416において，タグ30のＩＤとＴｏＡを含むデータパッケージに，タグ30のために生成したシグネチュアを使用してデジタル署名を行う。その署名済みデータパッケージを，ステップS418においてタグ30により送信する。

次に，ＲＦ送信又は処理を終了すべき旨の終了コマンドがマスターユニット26から（例えばアンカー14を介して）受信されているか否かをチェックし，受信されていればタグ30における処理を終了する。終了コマンドが受信されていない場合には，処理をステップS404に復帰させる。

アンカー14において（図４の中央コラムを参照），アンカー14からのタイミングメッセージの送信後，遅延タイマーを起動させる（ステップS436）。その遅延は，タイミング信号に対するタグ30, 32, 34からの応答を受信可能とするように設定されるものである。

次に，遅延時間が経過したか否かをチェックし（ステップS438），満了している場合には処理をステップS432に復帰させて起動メッセージを近隣のタグ30, 32, 34に送信（再送信）する。

遅延時間が経過していない場合，全てのタグ30, 32, 34についてのデータパッケージ（タイミング信号に対する応答）がアンカー14により受信されたか否かをチェックする（ステップS440）。受信されていない場合，処理はステップS438に復帰させる。

全てのタグ30, 32, 34についてのデータパッケージが受信されたと判断された場合，署名済みのデータパッケージを復号化（ステップS442）して，タグ30についてのＴｏＡ及びＩＤを取得する。本例（タグが３つ）では，３つのデータパッケージ（タグＩＤ＋ＴｏＡ）をステップS444において複合パッケージにコンパイルする。

次に，ステップS446において，アンカー14のシグネチュアを使用して複合パッケージに署名を行う。更に，その複合パッケージを単一データパッケージとしてマスターユニット26に送信する（ステップS448）。

次に，ＲＦ送信又は処理を終了すべき旨の終了コマンドがマスターユニット26から受信されているか否かをチェックする（ステップS450）。受信されている場合，アンカー14における処理を終了させる。終了コマンドが受信されていない場合には，処理をステップS432に復帰させる。

図４の右側コラムを参照すると，マスターユニット26への署名済みデータパッケージとしての複合パッケージの送信（ステップS448）と，複合パッケージが受信されたことの決定（ステップS460）に引き続いて，署名済みの複合パッケージを復号化する（ステップS462）。

次に，各タグ30, 32, 34についての複合化されたあっケージに基づいて，各タグについてのＴｏＡ及びＩＤを取得する（ステップS464）。各タグについてのＴｏＡは，当業者において既知の態様でＴｏＡから取得することができる。例えば，タイミングメッセージは，送信時刻を表す精密タイムスタンプを備えることができる。タグ30は，受信したタイミング信号に，ＴｏＡを表す精密タイムスタンプを施す。タグ30は，ＴｏＦ＝タイムスタンプ（受信）−タイムスタンプ（送信）を計算し，これをアンカー14に送信するデータパッケージに含めることができる。より好適には，タグ30はＴｏＡ（タイムスタンプ）を，タイミングメッセージからの送信時刻を表す精密タイムスタンプ又はタイミングメッセージの識別子と共に送信し，これに基づいて送信時刻を表す精密タイムスタンプをアンカー14又はマスターユニット26において取得可能とし，これによりアンカー14又はマスターユニット26においてＴｏＦ（タイミングメッセージ）＝タイムスタンプ（受信）−タイムスタンプ（送信）を決定可能とすることができる。

次に，各タグにつき，その現在の３Ｄ位置を，アンカー14, 16, 18の既知の位置及び取得したＴｏＡ及びＩＤから，三角測量法を使用して決定する（ステップS466）。

現在の３Ｄ位置を決定したら，次に，各タグにつき，その現在の３Ｄ位置をそのタグについて先に決定されている（図２のＮＭＶ64に蓄積済みの）３Ｄ位置と比較する（ステップS468）。次に，現在の３Ｄ位置と先に決定されている３Ｄ位置との隔たりが第１しきい値（しきい値１）を超えているか否かを決定する（ステップS470）。

隔たりが第１しきい値に満たない場合には，各タグについて決定された現在の３Ｄ位置をＮＭＶ64に蓄積する（ステップS472）。

他方，隔たりが第１しきい値を超えており，容器12（図１）に対して蓋13が相当に移動しており，不正開封又は（試みられた）開放が行われたと判断される場合には，マスターユニットは，開放のタイムスタンプと共に「キャスク開放」警報（メッセージ）を発生させ，その警報をＮＭＶ64にログ記録する。

ステップS476から明らかなとおり，任意的に，タグ／デバイス不正開封やセンサー58, 62からの温度，電圧又は歪みセンサー異常データのチェックを行い，任意的に，そのデータを「キャスク開放」警報（メッセージ）に添付する。

容器本体12上には，張力下の剛性引張ベルト（図示せず）を使用して３つのアンカー14, 16, 18が固定されている。各アンカー14, 16, 18は，ベルトの張力を監視することができる。システム10をキャスク12から取り外す試みがなされた場合，ベルトからの張力が解放され，マスターユニット26は不正開封を検出すると共に歪みゲージ異常データを発生させる。蓋13に３つのタグ30, 32, 34を固定するためのベルト（図示せず）にも，同様の検出システムが設けられている。タグ／デバイスの不正開封や，温度又は電圧レベル異常データの場合にも，同様の付随アクションが実行される。

その後，マスターユニット26の通信モジュール70（図３を参照）を使用し，セルラーネットワーク，例えばＧＳＭ，３Ｇ，４Ｇ等を経由して，「キャスク開封」警報（メッセージ）を遠隔の中央コントロールに送信する。

マスターユニット26は，適当なリーダー（図示せず）を有する検査官によって照会できるように構成することができる。そのためには，例えば有線の（シリアル／パラレル）デバイスポートや，Ｂｌｕｅｔｏｏｔｈ（商標）等の近距離無線通信を使用することができる。代替的又は付加的に，マスターユニット26に既存の遠隔通信インフラストラクチャー（すなわち，ＧＭＳ，ＧＰＲＳ，３Ｇ又はその他のシステム）を使用する遠隔通信モジュール70を設け，マスターユニット26の遠隔照会を行って，例えばステータスデータ，ログ及び／又は不正開封報告（警報）を取得することができる。このようなデータは，固有暗号化キー及びマスターユニット26の暗号化モジュール56を使用するデジタル署名形式で，高いセキュアリティをもって通信することができる。

検査官（例えば，核査察機関からの派遣）の責務は，アンカー14, 16, 18及びタグ30, 32, 34の固定ベルト（図示せず）の初期設置が適正であるか否かをチェックすることである。これは，シールシステム10が，信頼に足る人物（検査官）によって容器に対し，容器への収容以前に取付けられるべきという要件に適合することを意味している。これは単純な作業であり，容器のバッチに対して，最も都合の良い時に，放射線への被爆が最小化され，又は被爆の懸念のない非制限エリアにおいて行えるものである。これだけが，検査官の立ち合いを必要とする作業である。すなわち，他の全ての作業は（検査官の）立ち合いなしに行うことができる。

シールシステム10は，一旦設置されると自律的である。蓋13が容器本体12上に配置されると，シールシステム10は蓋13を検出し，これを容器本体12とペアリングする。全てが自動的で無線式であり，接続作業や機械的操作は不要である。これは，容器が，検査官の立ち合いなしに，原子力発電プラントの作業員により収容されて閉鎖されることを意味するものである。

更に，シールシステム10は，ステータスをチェックすると共に内部のログにアクセスするために遠隔照会することができる。コンテナが開封されて空にされると，シールシステム10を容器から取り外し，再使用のために検査官に返送することができる。

以上，各種の構成要素を有する実施形態について本発明を記載したが，その他の実施形態において，これらの構成要素及びその他の構成要素のその他の組み合わせや順列を適用し得ることは，言うまでもない。

更に，本明細書に開示される幾つかの実施形態は，プロセッサーやコンピューターシステムにより，あるいはその機能を遂行するその他の手段により実行することのできる方法として，又は方法におけるステップの組み合わせとして記載されている。すなわち，そのような方法又は方法におけるステップを実行させるための所要のインストラクションを有するプロセッサーは，方法又はそのステップを実行するための手段を構成するものである。更に，本明細書に開示される装置関連の実施形態における構成要素は，本発明を実施する目的で当該構成要素による機能を実行するための手段の一例である。

本明細書には，多くの特定の詳細事項が開示されている。しかしながら，本発明の実施形態は，そのような特定の詳細事項に限定されることなく実施し得るものである。その他の場合において，本明細書の理解を阻害しないよう，周知の方法，構造及び技術については詳細を示さないこととした。

本発明を好適と確信される実施形態について記載したが，本発明の技術的範囲を逸脱することなく，その他の修正や更なる修正が可能であることは勿論であり，そのような変更及び修正は本発明の技術的範囲に含まれる。例えば，上記の説明は，使用することのできる手順の単なる例示に過ぎない。ブロック図に対して機能性の追加または削除が可能であり，機能ブロック間における操作は入れ替え可能である。また，本発明の技術的範囲内において，方法に対してステップの追加または削除も可能である。

10 シールシステム
12 容器本体
13 容器蓋
14 アンカー
16 アンカー
18 アンカー
20 開放端部
22 バス
26 マスターユニット
28 ワイヤーリンク
30 タグ
32 タグ
34 タグ
50 プロセッサー
52 超広帯域ＲＦモジュール
54 リアルタイムクロック
56 暗号化モジュール
58 対不正開封センサー
60 バッテリー
62 電圧，温度及び歪みセンサー
64 不揮発性メモリー（ＮＭＶ）
66 有線通信モジュール
70 セルラー通信モジュール

Claims (15)

1. 核容器における容器本体（12）に該核容器の容器蓋（13）を封着するためのシールシステムであって：
   前記容器蓋（13）及び前記容器本体（12）の一方に取り付け可能な少なくとも３つのタグ（30, 32, 34）を備え，各タグ（30, 32, 34）は，固有のＩＤを有し，使用時に第１のＲＦ信号を送信する第１ＲＦトランシーバ（52）を備え；
   前記容器蓋（13）及び前記容器本体（12）の他方に取り付け可能な少なくとも３つのアンカー（14, 16, 18）を備え，各アンカー（14, 16, 18）は，固有のＩＤを有し，使用時に第１のＲＦ信号を受信する第２ＲＦトランシーバ（52）を備え；
   前記少なくとも３つのアンカー（14, 16, 18）に通信接続されるマスターユニット（26）を備え；該マスターユニット（26）は，
   (i) 各タグ（30, 32, 34）のＩＤに関連して，それぞれの現在の３Ｄ位置を，受信した第１ＲＦ信号に基づいて決定し，
   (ii) 各タグ（30, 32, 34）について過去に決定した３Ｄ位置を蓄積し，
   (iii) １つ又は複数のタグ（30, 32, 34）の現在の３Ｄ位置と，過去に決定した３Ｄ位置との隔たりが所定の距離しきい値を超えたときに，警報及び／又はタイムスタンプ及び／又はログエントリーを発生させるように構成されている，シールシステム。
2. 請求項１に記載のシールシステムであって，前記マスターユニット（26）は，前記少なくとも３つのアンカー（14, 16, 18）のうちの１つが組み込まれている，シールシステム。
3. 請求項１又は２に記載のシールシステムであって，各アンカー（14, 16, 18）は，周期的に，又は前記マスターユニット（26）からの指令に応じて，タイミング信号を含む第２ＲＦ信号を送信するように構成されている，シールシステム。
4. 請求項３に記載のシールシステムであって，各第１ＲＦ信号は，それぞれのタグにおいて前記第２ＲＦ信号に応じて生成された信号，及び／又は該タグにおける前記第２ＲＦ信号の受信時刻データを含む信号を備える，シールシステム。
5. 請求項１〜４の何れか一項に記載のシールシステムであって，前記マスターユニット（26）は，前記第１ＲＦ信号及び／又は前記３Ｄ位置の表示データの時間的な平均化を行うように構成されている，シールシステム。
6. 請求項１〜５の何れか一項に記載のシールシステムであって，前記マスターユニット（26）は，前記アンカー（14, 16, 18）と前記タグ（30, 32, 34）との隔たりが最小化又は安定化された時点を決定するように構成されている，シールシステム。
7. 請求項１〜６の何れか一項に記載のシールシステムであって，前記アンカー（14, 16, 18）は，前記容器本体（12）又は前記容器蓋（13）に対して既知の位置，例えば前記容器本体（12）又は前記容器蓋（13）の周縁部において等間隔位置で固定され， 前記マスターユニット（26）は，各タグ（30, 32, 34）につき，前記既知の位置に基づいて，それぞれの現在の３Ｄ位置を決定するように構成されている，シールシステム。
8. 請求項１〜７の何れか一項に記載のシールシステムであって，前記マスターユニット（26）は，各タグ（30, 32, 34）について，三角測量アルゴリズムを使用して，それぞれの現在の３Ｄ位置を決定するように構成されている，シールシステム。
9. 請求項３に記載のシールシステムであって，各タグ（30, 32, 34）及び／又は各アンカー（14, 16, 18）はリアルタイムクロック（54）を含み，前記第１ＲＦ信号及び／又は前記第２ＲＦ信号は，それぞれのリアルタイムクロック（54）から得られるタイムスタンプを含む，シールシステム。
10. 請求項３に記載のシールシステムであって，各アンカー（14, 16, 18）は，バスを介して複合信号を前記マスターユニット（26）に送信するように構成され，該複合信号は，前記少なくとも３つのタグ（30, 32, 34）の各々につき，タグＩＤ及びデータ受信時刻が含まれるパッケージを備える，シールシステム。
11. 請求項１〜１０の何れか一項に記載のシールシステムであって，各タグ（30, 32, 34）及び／又は各アンカー（14, 16, 18）及び／又は前記マスターユニット（26）は，それぞれのタグＩＤに関連させて前記３Ｄ位置を蓄積するための不揮発性メモリー（64）を備える，シールシステム。
12. 請求項１０に記載のシールシステムであって，
    (i) 各タグ（30, 32, 34）は，第１暗号化キー及び／又は第１デジタルシグネチャーを生成及び蓄積するように構成された第１暗号化モジュール（56）を含み，各タグ（30, 32, 34）は，前記アンカー（14, 16, 18）への送信に先立って，前記第１暗号化キー及び／又は第１デジタルシグネチャーを使用して，前記第１ＲＦ信号に署名するように構成され；及び／又は，
    (ii) 各アンカー（14, 16, 18）は，第２暗号化キー及び／又は第２デジタルシグネチャーを生成及び蓄積するように構成された第２暗号化モジュール（56）を含み，各アンカー（14, 16, 18）は，
    a. 前記タグ（30, 32, 34）への送信に先立って，前記第２暗号化キー及び／又は第２デジタルシグネチャーを使用して，前記第２ＲＦ信号に署名するように構成され；及び／又は，
    b. 前記マスターユニット（26）への送信に先立って，前記第２暗号化キー及び／又は第２デジタルシグネチャーを使用して，前記複合信号に署名するように構成されている，シールシステム。
13. 請求項１〜１２の何れか一項に記載のシールシステムであって，
    (i) 各タグ（30, 32, 34）及び／又は各アンカー（14, 16, 18）は不正開封検出センサー（58）を含み，該不正開封検出センサーは，これによりタグ（30, 32, 34）又はアンカー（14, 16, 18）のハウジングに対する不正開封を検出したときに，該ハウジングに対する不正開封を表示する不正開封検出データを発生させるように構成され；及び／又は，
    (ii) 各タグ（30, 32, 34）及び／又は各アンカー（14, 16, 18）は，１つ又は複数のバッテリー（60）と，これに接続される電圧検出センサー（62）を含み，該電圧検出センサーは，これにより第１の所定範囲外の異常電圧レベルを検出したときに，前記バッテリー（60）に対する不正開封を表示する電圧異常データを発生させるように構成され；及び／又は，
    (iii) 各タグ（30, 32, 34）及び／又は各アンカー（14, 16, 18）は温度検出センサー（62）を含み，該温度センサーは，これにより第２の所定範囲外の異常温度レベルを検出したときに，前記タグ（30, 32, 34）又は前記アンカー（14, 16, 18）に対する不正開封を表示する温度異常データを発生させるように構成され；及び／又は，
    (iv) 各タグ（30, 32, 34）及び／又は各アンカー（14, 16, 18）は，前記容器蓋又は前記容器本体に対して剛性引張ベルト，例えばスチールベルトにより取付けられ，各タグ（30, 32, 34）及び／又は各アンカー（14, 16, 18）は，ベルト内における歪みを検出するための歪みセンサー（62），例えば歪みゲージを含み，該歪みセンサー（62）は，これにより第３の所定範囲外の異常歪みレベルを検出したときに，前記タグ（30, 32, 34）又は前記アンカー（14, 16, 18）に対する不正開封を表示する歪み異常データを発生させるように構成されている，シールシステム。
14. 請求項１３に記載のシールシステムであって，前記マスターユニット（26）は遠距離通信モジュール（70），例えばセルラー方式通信モジュール（70）を含み，かつ，
    (i) 前記警報の発生に応じて，
    a. 任意的に，前記ハウジングに対する不正開封を表示するデータ，前記バッテリー（60）に対する不正開封を表示するデータ，温度異常データ及び／又は歪み異常データを付随させたキャスク開封済み警報を発生させ，
    b. 前記遠距離通信モジュール（70）を使用して，前記キャスク開封済み警報を遠隔制御サイトに送信するように構成され，及び／又は，
    (ii) 前記遠距離通信モジュール（70）を使用して前記遠隔制御サイトから受信したステータス要求に応じて，タイムスタンプ及びキャスク開封済み警報の詳細を含むシールシステムのステータスレポートを，任意的に，前記ハウジングに対する不正開封を表示するデータ，前記バッテリー（60）に対する不正開封を表示するデータ，温度異常データ及び／又は歪み異常データと共に，前記遠距離通信モジュール（70）を使用して前記遠隔制御サイトに送信するように構成されている，密封システム。
15. シールシステムの設置方法であって：
    請求項１〜１４の何れか一項に記載のシールシステムを配備し；
    前記少なくとも３つのタグ（30, 32, 34）を前記容器蓋に取り付け；
    少なくとも３つの前記アンカー（14, 16, 18），又は少なくとも２つの前記アンカー及び前記マスターユニット（26）を前記容器本体（12）に取り付け；
    前記シールシステムを起動させる，設置方法。

Images