ダイナミックセキュリティシステム
ユーザが関わるセキュリティシステムは、ユーザに装着可能なトークンを含む。トークンは、ユーザに装着されている間、ユーザに関連付けられる。関連づけは、トークンがユーザから取り外されるときに自動的に解除される。
【発明の詳細な説明】
【背景技術】
【０００１】
アクセス制御システム等のセキュリティシステムが、建物および建物内のエリアへのアクセス制御に使用されている。作業バッジの裏面に見られる磁気ストリップをアクセス制御に使用することができる。作業バッジはリーダを通してスキャンされ、リーダは磁気ストリップに符号化されている情報を読み取り、その情報をコンピュータに送る。コンピュータは、データベースを調べてアクセス判定を行う。アクセス判定は、ドアロック機構を開錠することである場合がある。
【０００２】
このタイプのセキュリティシステム、およびセキュリティシステム全般は、セキュリティ状況が動的であるため絶対的に確実なものではない。セキュリティ状況により、細かさ、位置、または識別が随時変わり得る。たとえば、作業バッジは個人間で交換することが可能である。アクセス制御システムは、特定の作業バッジに対してアクセスを認証することはできるであろうが、作業バッジが実際に、認証を受けた人物により所有されているかを検証することはできないであろう。
【発明の開示】
【０００３】
本発明の一態様によれば、ユーザが関わるセキュリティシステムは、ユーザに装着可能なトークンを含む。トークンは、ユーザに装着されている間ユーザに関連付けられる。関連づけは、トークンがユーザから取り外されたときに自動的に解除される。
【０００４】
本発明の他の態様および利点は、添付図面を併せて行われる、本発明の原理を例として示す以下の詳細な説明から明らかになろう。
【発明を実施するための最良の形態】
【０００５】
（詳細な説明）
説明を目的として図に示すように、本発明は、１つまたは複数の「資産」へのアクセスを制御するセキュリティシステムにおいて具現される。資産の例としては、ロケーション、部屋、車、インターネット機器、金庫、コンピュータ等が挙げられる。
【０００６】
資産１２へのユーザ１０のアクセスを制御するセキュリティシステム１００を示す図１を参照する。システム１００は、ユーザ１０に装着可能なトークン１０２を備える。たとえば、トークン１０２は、手首に装着される時計、服に留められるバッジ、ベルトに留められるボックス等であることができる。トークン１０２は、プロセッサ、およびセキュリティ情報を記憶するデータ記憶デバイスを備える。セキュリティ情報は、ユーザ１０についての識別情報を含むことができる。識別情報は、人物の氏名、パスワード、コード、ＰＩＮ等を含むことができる。セキュリティ情報はセキュリティパラメータを含むことができる。セキュリティパラメータは、ユーザ１０が資産１２を使用することができる特権および条件を指定する。セキュリティパラメータは、セキュリティ許可、ロケーション、タイムスタンプ、最大使用回数等を指定することができる。トークン１０２は、タイムスタンプ後（たとえば、真夜中後）に資産１２にアクセスすることができないか、または最大回数を越えて資産１２にアクセスすることができない。セキュリティパラメータは、人物がアクセス許可されているコンピュータファイル（たとえば、来訪者はアプリケーションＸの実行を許可されているが、アプリケーションＹの実行は許可されない）、別の許可を受けた人が付き添う要件（たとえば、患者は、付添人を伴わない限り部屋に入ることができない）を指定することができる。
【０００７】
セキュリティパラメータは、セキュリティ情報をどのように資産１２に送信するかも指定することができる。たとえば、セキュリティパラメータは、セキュリティ情報を暗号化して送信すべきか否かを指定することができる。
【０００８】
セキュリティパラメータは、セキュリティ情報がトークン１０２から消去される条件を指定することができる。セキュリティ情報は、トークン１０２がセキュリティ違反を検出する（たとえば、トークン１０２がユーザ１０から取り外されたか）、またはトークン１０２を物理的に変更する試みがある場合に消去することができる。
【０００９】
トークン１０２は、セキュリティ情報を送受信する通信装置（たとえば、送受信器）をさらに備える。トークン１０２は、トークン１０２がユーザ１０から取り外されたときを検出するセンサも備える。
【００１０】
セキュリティ制御機構１１０は、異なるユーザのセキュリティ情報の保持、トークン１０２が装着されているユーザ１０（人または物）の識別の認証、および装着されているトークン１０２へのセキュリティ情報の送信に関与する。セキュリティ制御機構１１０が機能をどのように実行するかについての制限はない。セキュリティ制御機構１１０は、人間と機械の組み合わせを利用して機能を実行する。
【００１１】
トークン１０２がユーザ１０に装着された後、トークン１０２はセキュリティ情報を受け取って記憶する。この時点で、トークン１０２とユーザ１０の間に関連付けが発生する。この関連づけは、トークン１０２とユーザ１０の間のセキュリティパスの第１の区間１０６とみなすことができる。セキュリティパスの第１の区間１０６は、トークン１０２がユーザ１０に装着されたままであり、他のセキュリティ違反が検出されない限りそのままである。
【００１２】
システム１００はまた、資産１２のエージェント１０４を備えることができる。資産１２がトークン１０２と通信することができない場合、エージェント１０４が資産１２に関して提供される。第１の例として、トークン１０２は、建物等の資産１２と通信することができない場合がある。しかし、トークン１０２は、建物へのアクセスを制御するセキュリティゲート等のエージェント１０４と通信することができる。第２の例として、トークン１０２は、通貨等の資産と通信することができない場合がある。しかし、トークン１０２は、通貨へのアクセスを制御するスマートセーフロック等のエージェント１０４と通信することができる。
【００１３】
資産１２が処理能力を有し、トークン１０２と通信することができる場合、エージェント１０４は必要でなくてもよい。たとえば、コンピュータまたはインターネット機器等の資産はエージェント１０４を必要としなくてもよい。
【００１４】
図１に示す資産１２は、通信／処理能力を欠いている。したがってエージェント１０４が提供される。
【００１５】
トークン１０２がエージェント１０４と通信している間に、セキュリティパスの第２の区間１０８が形成される。第２の区間１０８はセキュリティパスを完成させる。
【００１６】
セキュリティパスは、ユーザ１０、トークン１０２、およびエージェント１０４／資産１２の間の関連づけを表す。これら要素のいずれか１つでも関連づけを破ると、セキュリティパスは切断され、ユーザ１０による資産１２へのアクセスは拒絶される。
【００１７】
トークン１０２が、ユーザ１０からトークン１０２が取り外されたことを検出すると、トークンプロセッサは、トークンデータ記憶部からすべてのセキュリティ情報を消去し、したがってトークン１０２を「白紙の状態」にする。結果として、セキュリティパスの第１の区間１０６は切断され、ユーザ１０による資産１２へのアクセスは拒絶される。第１の区間１０６は、ユーザ１０がトークン１０２を再装着し、セキュリティ情報を再び受け取るまで再確立されない。
【００１８】
第２の区間１０８は、トークン１０２がエージェント１０４との通信を停止した場合に切断され得る。第１の例として、トークン１０２がエージェント１０４の通信範囲外にあることから通信が停止する。この例では、トークン１０２が資産１２の通信範囲内に移動すると、第２の区間１０８を再確立することができる。第２の例として、トークン１０２は、第１の区間１０６が切断したためにエージェント１０４との通信を停止する。
【００１９】
セキュリティパスの区間１０６および１０８が両方とも確立されている間に、ユーザ１０による資産１２へのアクセスを拒絶すべきか、それとも認可すべきかを判定することができる。判定は、資産１２／エージェント１０４により、または別のエンティティにより行うことができる。たとえば、エージェント１０４は、トークン１０２からセキュリティコードを受け取り、そのセキュリティコードに従ってアクセスの認可または拒絶を判定する。エージェント１０４は、意志決定能力を有していない場合、セキュリティコードをセキュリティ制御機構１１０に送ることができ、セキュリティ制御機構１１０は判定を行い、エージェント１０４にアクセスを拒絶または認可するように命令する。
【００２０】
これより、例示的なトークン１０２を示す図２を参照する。トークン１０２は、本体（たとえば、ハウジング、基板）２０２、および本体２０２に取り付けられる以下の構成要素、すなわちプロセッサ２０４、データ記憶部２０６、装着センサ２０８、送受信器２１０、および装着装置２１２を備える。装着装置２１２のタイプは、トークン１０２が装着されるユーザ１０のタイプによって決まる。ユーザ１０が人物である場合、装着装置２１２はクリップ、リストバンド、または人物または服に直接装着される他の装置であることができる。
【００２１】
装着センサ２０８のタイプは、トークン１０２がユーザ１０にどのように取り付けられるかによって決まる。たとえば、ガルバニックまたは熱センサを使用して、リストバンドがいつ手首から取り外されたかを判定することができ、また近接センサを使用して、ハウジングがいつベルトから外されたかを判定することができる。
【００２２】
データ記憶部２０６は、セキュリティ情報を記憶する不揮発性および／または揮発性メモリ（たとえば、フラッシュメモリ、ＲＡＭ）を備える。データ記憶部２０６は、プロセッサ２０４の制御プログラムを記憶する不揮発性メモリ（たとえば、ＲＯＭ）も備えることができる。
【００２３】
プログラムは、トークン１０２により実行される各種機能を制御するようにプロセッサ２０４に命令する。これら機能は、データ記憶部２０６へのセキュリティ情報の記憶、送受信器２１０への（に送信すべき）セキュリティ情報の送信、送受信器２１０からのデータの受信、安全な送信のための情報の暗号化および解読、センサデータを解析しての、トークン１０２がいつユーザ１０から取り外されたかの判定、ならびにトークンの取り外しが検出されたときのデータ記憶部２０６からのセキュリティ情報の消去を含むが、これらに限定されない。
【００２４】
送受信器２１０は、追跡信号の送信にも使用することができる。追跡信号を使用して（信号強度、伝搬時間を調べることにより）、トークン１０２およびユーザ１０のロケーションを判定することができる。代替または追加として、トークン１０２は、ＩＲビーコンまたはＧＰＳ装置等の追跡装置を備えることができる。
【００２５】
トークン１０２は、ユーザ１０についての生体（biometric）情報を取り込む生体センサ２１４も備えることができる。生体情報は、送受信器２１０によりセキュリティ制御機構１１０に送信することができるため、セキュリティ制御機構１１０がユーザ１０を認証するのを助ける情報を提供する。
【００２６】
データ記憶部２０６は、セキュリティ制御機構１１０により使用されるのと同じタイプのセキュリティ情報であるセキュリティ情報を含むデータベースをプログラムすることができる。たとえば、データベースは、人物群の身元および特権を含むことができる。トークン１０２に生体センサ２１４が備えられ、セキュリティ情報がプログラムされている場合、セキュリティ制御機構１１０との対話をなくすか、または低減することができる。
【００２７】
トークン１０２は、トークン１０２およびユーザ１０を取り巻く環境（コンテキスト）についての情報を得る１つまたは複数のコンテキストセンサ２１６を備えることができる。このようなコンテキストは、動き、軌跡、生物環境、および無生物環境を含むことができる。例示的なコンテキストセンサ２１６は、加速度計、湿度センサ、温度センサ、およびビデオセンサを含む。トークン１０２、エージェント１０４、またはセキュリティ制御機構１１０は、コンテキスト情報を使用して、ユーザ１０および資産１２が許可された環境にあるか、それとも不良な環境にあるのか、資産１２がどのように使用されているのか等を判定することができる。たとえば、トークン１０２は、不良な環境にある場合、データ記憶部２０６からすべてのセキュリティ情報の消去を決め、それによってセキュリティパスの第１の区間１０６を切断する。コンテキストセンサ２１６により提供される追加情報により、セキュリティ判定の正確性を上げることができる。
【００２８】
これより図３を参照する。例示的なセキュリティシステム３１０について、異なる資産へのアクセスを得ようと試みる第１および第２の人物（ユーザ）１０ａおよび１０ｂに関連してこれより説明する。資産は、部屋１２ａおよび部屋１２ａ内の安全なコンピュータ１２ｂを含む。安全なコンピュータ１２ｂにエージェントは提供されない。スマートドアロックの形のエージェント１０４ａが部屋１２ａに提供される。トークンはセキュリティバッジ１０２ａおよび１０２ｂである。セキュリティ制御機構１１０は、警備員３１２、生体スキャナ３１４、およびセキュリティ制御コンピュータ３１６を備える。
【００２９】
各人物１０ａおよび１０ｂは警備員３１２に近づく。警備員３１２は、複数のセキュリティバッジ１０２ａおよび１０２ｂが収容されているトレイから第１および第２のセキュリティバッジ１０２ａおよび１０２ｂを取り出す。この時点で、各セキュリティバッジ１０２ａおよび１０２ｂはセキュリティ情報を含んでいない。セキュリティバッジ１０２ａおよび１０２ｂが２人の人物１０ａおよび１０ｂに与えられる前は、異なる暗号鍵が２つのセキュリティバッジ１０２ａおよび１０２ｂに記憶されている。暗号鍵（たとえば、対称鍵）は、バッジ１０２ａおよび１０２ｂと安全に通信するために使用される。
【００３０】
第１の人物１０ａは第１のセキュリティバッジ１０２ａをクリップで留める。装着センサおよびプロセッサが、第１のバッジ１０２ａが第１の人物１０ａにクリップで留められたことを確定すると、第１のバッジ１０２ａは、セキュリティ情報の受信準備が整ったことをセキュリティ制御コンピュータ３１６に通知する。第１の人物１０ａの属性（たとえば、指紋、網膜、虹彩、声、顔）が生体スキャナ３１４によりスキャンされる。追加または代替として、或る形の識別（たとえば、免許証番号、パスワード）がセキュリティ制御コンピュータ３１６に供給される。セキュリティ制御コンピュータ３１６は、生体および識別情報に基づいてセキュリティ情報を検索し、セキュリティ情報を第１のセキュリティバッジ１０２ａに送る。この例では、セキュリティ制御情報は、個人識別子、タイムスタンプ、およびアクセスコードを含む。第１のセキュリティバッジ１０２ａはセキュリティ情報を記憶し、したがって第１の人物１０ａの人物を呈する。セキュリティパスの第１の区間が、第１の人物１０ａと第１のバッジ１０２ａの間に形成される。第１の人物１０ａが第１のセキュリティバッジ１０２ａを装着している限り、セキュリティパスの第１の区間は維持される。
【００３１】
第２の人物１０ｂは第２のセキュリティバッジ１０２ｂをクリップで留める。同じように、第２のバッジ１０２ｂは、第２の人物１０ｂについてのセキュリティ情報を受信して記憶する。第２の人物１０ｂが第２のセキュリティバッジ１０２ｂを装着している限り、第２の人物１０ｂと第２のバッジ１０２ｂの間のセキュリティパスの第１の区間は維持される。
【００３２】
２人の人物１０ａおよび１０ｂは部屋１２ａに近づく。セキュリティバッジ１０２ａおよび１０２ｂは両方とも、それぞれのアクセスコードをスマートドアロック１０４ａに送信する。アクセスコードは、第１の人物１０ａのみによる部屋１２ａへの入室は許可されているが、第２の人物１０ｂは、第１の人物１０ａが付き添っている場合にのみ部屋１２ａに入ることができることを示す。両方のバッジ１０２ａおよび１０２ｂの両方から受信するアクセスコードに基づいて、スマートドアロック１０４ａは、人物１０ａおよび１０ｂの両者が一緒に部屋１２ａに入ることを許可する。
【００３３】
第１の人物１０ａがコンピュータ１２ｂに近づくと、第１のバッジ１０２ａは個人識別子およびアクセスコードを第１のコンピュータ１２ｂに送信する。コンピュータ１２ｂは、個人識別子に従って第１の人物によるファイルおよび他のコンピュータ資源へのアクセスを制限する。さらに、コンピュータ１２ｂは、識別子に従ってグラフィカルユーザインタフェースを個人化することができる。
【００３４】
セキュリティパラメータに応じて、コンピュータ１２ｂは、未知の、または許可を受けていない人物が部屋１２ａにいる（検知装置を有していないか、あるいはこのような装置を有しているが許可を有していない）場合、アクセスを拒絶することができる。たとえば、第２の人物１０ｂに対しては、コンピュータ１２ｂのいずれの資源へのアクセスも許可されていない。したがってコンピュータ１２ｂは、第１の人物１０ａが端末に面していない場合、または第２の人物１０ｂが端末の閲覧範囲内にいる場合、端末をブランクにさせる。コンピュータ１２ｂは、第２の人物１０ｂがコンピュータ１２ｂにアクセスしようと試みる場合に自動的にシャットダウンすることができる。または、コンピュータ１２ｂはセキュリティ制御コンピュータ３１６にコンタクトを取ることができ、セキュリティ制御コンピュータ３１６は警備員に警告する。
【００３５】
後に、第１の人物１０ａは部屋１２ａを出て、第１のバッジ１０２ａを外し、第１のバッジ１０２ａを警備員３１２に返却する。第１のバッジ１０２ａは、外されるとすぐにセキュリティ情報をすべて消去する。第１のバッジ１０ａは白紙の状態になり、後の使用のためにトレイに戻される。
【００３６】
第２の人物１０ｂは部屋１２ａを出るが、第２のバッジ１０ｂを外して返却するのを忘れる。しかし、第２のバッジ１０２ｂはタイムスタンプ（個人識別子およびアクセスコードと共に送信された）を有する。第２のバッジ１０２ｂは、タイムスタンプの期限が切れるときを判定する（バッジ１０２ｂは内部クロックを有してもよく、また外部ソースから時間を受信してもよい）。タイムスタンプの期限が切れるとすぐに、第２のバッジ１０２ｂはセキュリティ情報をすべて消去する。したがって、第２の人物１０ｂは第２のバッジ１０２ｂを使用して部屋１２ａに再び入ることができないか、または他のいずれの資産にもアクセスすることはできない。
【００３７】
第２の人物１０ｂが第２のバッジ１０２ｂを外し、外したバッジ１０２ｂを第３者に与える場合、第２のバッジ１０２ｂはこのイベントを検出し、すべてのセキュリティ情報を消去する。したがって、第３者は第２のバッジ１０２ｂを使用して部屋１２ａに入ることができないか、またはいずれの資産にもアクセスすることはできない。
【００３８】
暗号鍵は、バッジが人物に与えられる前にバッジに記憶されている必要はない。別の例示的なセキュリティシステムでは、人物は、いずれの識別、暗号、およびセキュリティ情報も完全に空のバッジを取る。バッジはたとえば、建物のロビーに配置されたトレイから取ることができる。バッジは人物に装着されていることを検出し、それから、ユーザ識別を実行し且つセキュリティ情報を提供する装置の存在下にあることを検出する。装置の存在が検出されると、バッジは、一意の、一回限り使用される暗号鍵を自動的に生成する（一回限りの暗号鍵は反射攻撃を回避するように設計される）。人物が肯定的に識別された後、バッジは鍵を装置に送信し、装置は鍵を使用してセキュリティ情報を暗号化し、暗号化されたセキュリティ情報をバッジに送信する。最後に、人物はバッジを取り外してトレイに投げて戻す。バッジを人物に与える警備員または他の人物の必要性がなくなる。
【００３９】
バッジを装着している間、人物はセキュリティ情報を決して見ないか、または取り扱わず、ドアロック機構と対話する、追加のパスワードをコンピュータに入力する等の必要はない。セキュリティ情報は、セキュリティバッジ、ドアロック機構、およびコンピュータの間で送信される。セキュリティ情報は暗号化される。したがって、セキュリティ情報は盗聴から保護される。
【００４０】
セキュリティシステムのユーザは様々であり、多数である。セキュリティシステムを病院で使用して、特定のロックされた部屋または薬物棚へのアクセスを電子的に認可および拒絶することができる。位置追跡用途に関しては、特定のセンサを三角測量するようにセキュリティセンターが構成される場合、セキュリティセンターは、個人の位置を正確に求めることができる。病院では、このようなシステムは医者または患者の位置を正確に求めることができる。
【００４１】
セキュリティシステムは航空機セキュリティに使用することもできる。トークンをパイロットに装着することができる。セキュリティパスの第１の区画は、トークンがパイロットから外された場合のみならず、トークンにより、パイロットが死亡または無能力化されたことが検出された場合も切断することができる。
【００４２】
セキュリティシステムは、すべての招待者に装置が一時的に（すなわち、日毎に）与えられるアミューズメントパークまたはスキーエリアで使用することもできる。システムは、招待者の位置および招待者がまだ装置を装着しているか否かを即座に識別することができる。
【００４３】
セキュリティシステムを使用して、装置を「個人化」することもできる。１つのこのような装置がインターネット機器である。トークンはセキュリティパラメータをインターネット機器に送信する。セキュリティパラメータは、氏名、パスワード、およびコンテキストを示すことができる。インターネット機器はそれ自体を、セキュリティパラメータに従って構成し、それによってユーザ個人に向けられたものになる。
【００４４】
セキュリティ情報に制限はない。セキュリティ情報は、ユーザ毎、場所毎、タスク毎、および瞬間毎に異なることができる。セキュリティ情報は、誰が、どこで、いつ、どのように資産が使用されるか、および資産が何と共に使用されるかを指定することができる。
【００４５】
トークンがエージェントまたは資産とどのように通信するかについての制限はない。無線通信は単なる一例である。
【００４６】
本発明は上記特定の実施形態に限定されない。そうではなく、本発明は付随する特許請求の範囲に従って解釈される。
【図面の簡単な説明】
【００４７】
【図１】本発明の一実施形態によるセキュリティシステムの図である。
【図２】セキュリティシステムのトークンの図である。
【図３】本発明の一実施形態によるセキュリティシステムの別の図である。
【符号の説明】
【００４８】
１０：ユーザ
１２：資産
１００：セキュリティシステム
１０２：トークン
１０４：エージェント
１１０：セキュリティ制御機構
【背景技術】
【０００１】
アクセス制御システム等のセキュリティシステムが、建物および建物内のエリアへのアクセス制御に使用されている。作業バッジの裏面に見られる磁気ストリップをアクセス制御に使用することができる。作業バッジはリーダを通してスキャンされ、リーダは磁気ストリップに符号化されている情報を読み取り、その情報をコンピュータに送る。コンピュータは、データベースを調べてアクセス判定を行う。アクセス判定は、ドアロック機構を開錠することである場合がある。
【０００２】
このタイプのセキュリティシステム、およびセキュリティシステム全般は、セキュリティ状況が動的であるため絶対的に確実なものではない。セキュリティ状況により、細かさ、位置、または識別が随時変わり得る。たとえば、作業バッジは個人間で交換することが可能である。アクセス制御システムは、特定の作業バッジに対してアクセスを認証することはできるであろうが、作業バッジが実際に、認証を受けた人物により所有されているかを検証することはできないであろう。
【発明の開示】
【０００３】
本発明の一態様によれば、ユーザが関わるセキュリティシステムは、ユーザに装着可能なトークンを含む。トークンは、ユーザに装着されている間ユーザに関連付けられる。関連づけは、トークンがユーザから取り外されたときに自動的に解除される。
【０００４】
本発明の他の態様および利点は、添付図面を併せて行われる、本発明の原理を例として示す以下の詳細な説明から明らかになろう。
【発明を実施するための最良の形態】
【０００５】
（詳細な説明）
説明を目的として図に示すように、本発明は、１つまたは複数の「資産」へのアクセスを制御するセキュリティシステムにおいて具現される。資産の例としては、ロケーション、部屋、車、インターネット機器、金庫、コンピュータ等が挙げられる。
【０００６】
資産１２へのユーザ１０のアクセスを制御するセキュリティシステム１００を示す図１を参照する。システム１００は、ユーザ１０に装着可能なトークン１０２を備える。たとえば、トークン１０２は、手首に装着される時計、服に留められるバッジ、ベルトに留められるボックス等であることができる。トークン１０２は、プロセッサ、およびセキュリティ情報を記憶するデータ記憶デバイスを備える。セキュリティ情報は、ユーザ１０についての識別情報を含むことができる。識別情報は、人物の氏名、パスワード、コード、ＰＩＮ等を含むことができる。セキュリティ情報はセキュリティパラメータを含むことができる。セキュリティパラメータは、ユーザ１０が資産１２を使用することができる特権および条件を指定する。セキュリティパラメータは、セキュリティ許可、ロケーション、タイムスタンプ、最大使用回数等を指定することができる。トークン１０２は、タイムスタンプ後（たとえば、真夜中後）に資産１２にアクセスすることができないか、または最大回数を越えて資産１２にアクセスすることができない。セキュリティパラメータは、人物がアクセス許可されているコンピュータファイル（たとえば、来訪者はアプリケーションＸの実行を許可されているが、アプリケーションＹの実行は許可されない）、別の許可を受けた人が付き添う要件（たとえば、患者は、付添人を伴わない限り部屋に入ることができない）を指定することができる。
【０００７】
セキュリティパラメータは、セキュリティ情報をどのように資産１２に送信するかも指定することができる。たとえば、セキュリティパラメータは、セキュリティ情報を暗号化して送信すべきか否かを指定することができる。
【０００８】
セキュリティパラメータは、セキュリティ情報がトークン１０２から消去される条件を指定することができる。セキュリティ情報は、トークン１０２がセキュリティ違反を検出する（たとえば、トークン１０２がユーザ１０から取り外されたか）、またはトークン１０２を物理的に変更する試みがある場合に消去することができる。
【０００９】
トークン１０２は、セキュリティ情報を送受信する通信装置（たとえば、送受信器）をさらに備える。トークン１０２は、トークン１０２がユーザ１０から取り外されたときを検出するセンサも備える。
【００１０】
セキュリティ制御機構１１０は、異なるユーザのセキュリティ情報の保持、トークン１０２が装着されているユーザ１０（人または物）の識別の認証、および装着されているトークン１０２へのセキュリティ情報の送信に関与する。セキュリティ制御機構１１０が機能をどのように実行するかについての制限はない。セキュリティ制御機構１１０は、人間と機械の組み合わせを利用して機能を実行する。
【００１１】
トークン１０２がユーザ１０に装着された後、トークン１０２はセキュリティ情報を受け取って記憶する。この時点で、トークン１０２とユーザ１０の間に関連付けが発生する。この関連づけは、トークン１０２とユーザ１０の間のセキュリティパスの第１の区間１０６とみなすことができる。セキュリティパスの第１の区間１０６は、トークン１０２がユーザ１０に装着されたままであり、他のセキュリティ違反が検出されない限りそのままである。
【００１２】
システム１００はまた、資産１２のエージェント１０４を備えることができる。資産１２がトークン１０２と通信することができない場合、エージェント１０４が資産１２に関して提供される。第１の例として、トークン１０２は、建物等の資産１２と通信することができない場合がある。しかし、トークン１０２は、建物へのアクセスを制御するセキュリティゲート等のエージェント１０４と通信することができる。第２の例として、トークン１０２は、通貨等の資産と通信することができない場合がある。しかし、トークン１０２は、通貨へのアクセスを制御するスマートセーフロック等のエージェント１０４と通信することができる。
【００１３】
資産１２が処理能力を有し、トークン１０２と通信することができる場合、エージェント１０４は必要でなくてもよい。たとえば、コンピュータまたはインターネット機器等の資産はエージェント１０４を必要としなくてもよい。
【００１４】
図１に示す資産１２は、通信／処理能力を欠いている。したがってエージェント１０４が提供される。
【００１５】
トークン１０２がエージェント１０４と通信している間に、セキュリティパスの第２の区間１０８が形成される。第２の区間１０８はセキュリティパスを完成させる。
【００１６】
セキュリティパスは、ユーザ１０、トークン１０２、およびエージェント１０４／資産１２の間の関連づけを表す。これら要素のいずれか１つでも関連づけを破ると、セキュリティパスは切断され、ユーザ１０による資産１２へのアクセスは拒絶される。
【００１７】
トークン１０２が、ユーザ１０からトークン１０２が取り外されたことを検出すると、トークンプロセッサは、トークンデータ記憶部からすべてのセキュリティ情報を消去し、したがってトークン１０２を「白紙の状態」にする。結果として、セキュリティパスの第１の区間１０６は切断され、ユーザ１０による資産１２へのアクセスは拒絶される。第１の区間１０６は、ユーザ１０がトークン１０２を再装着し、セキュリティ情報を再び受け取るまで再確立されない。
【００１８】
第２の区間１０８は、トークン１０２がエージェント１０４との通信を停止した場合に切断され得る。第１の例として、トークン１０２がエージェント１０４の通信範囲外にあることから通信が停止する。この例では、トークン１０２が資産１２の通信範囲内に移動すると、第２の区間１０８を再確立することができる。第２の例として、トークン１０２は、第１の区間１０６が切断したためにエージェント１０４との通信を停止する。
【００１９】
セキュリティパスの区間１０６および１０８が両方とも確立されている間に、ユーザ１０による資産１２へのアクセスを拒絶すべきか、それとも認可すべきかを判定することができる。判定は、資産１２／エージェント１０４により、または別のエンティティにより行うことができる。たとえば、エージェント１０４は、トークン１０２からセキュリティコードを受け取り、そのセキュリティコードに従ってアクセスの認可または拒絶を判定する。エージェント１０４は、意志決定能力を有していない場合、セキュリティコードをセキュリティ制御機構１１０に送ることができ、セキュリティ制御機構１１０は判定を行い、エージェント１０４にアクセスを拒絶または認可するように命令する。
【００２０】
これより、例示的なトークン１０２を示す図２を参照する。トークン１０２は、本体（たとえば、ハウジング、基板）２０２、および本体２０２に取り付けられる以下の構成要素、すなわちプロセッサ２０４、データ記憶部２０６、装着センサ２０８、送受信器２１０、および装着装置２１２を備える。装着装置２１２のタイプは、トークン１０２が装着されるユーザ１０のタイプによって決まる。ユーザ１０が人物である場合、装着装置２１２はクリップ、リストバンド、または人物または服に直接装着される他の装置であることができる。
【００２１】
装着センサ２０８のタイプは、トークン１０２がユーザ１０にどのように取り付けられるかによって決まる。たとえば、ガルバニックまたは熱センサを使用して、リストバンドがいつ手首から取り外されたかを判定することができ、また近接センサを使用して、ハウジングがいつベルトから外されたかを判定することができる。
【００２２】
データ記憶部２０６は、セキュリティ情報を記憶する不揮発性および／または揮発性メモリ（たとえば、フラッシュメモリ、ＲＡＭ）を備える。データ記憶部２０６は、プロセッサ２０４の制御プログラムを記憶する不揮発性メモリ（たとえば、ＲＯＭ）も備えることができる。
【００２３】
プログラムは、トークン１０２により実行される各種機能を制御するようにプロセッサ２０４に命令する。これら機能は、データ記憶部２０６へのセキュリティ情報の記憶、送受信器２１０への（に送信すべき）セキュリティ情報の送信、送受信器２１０からのデータの受信、安全な送信のための情報の暗号化および解読、センサデータを解析しての、トークン１０２がいつユーザ１０から取り外されたかの判定、ならびにトークンの取り外しが検出されたときのデータ記憶部２０６からのセキュリティ情報の消去を含むが、これらに限定されない。
【００２４】
送受信器２１０は、追跡信号の送信にも使用することができる。追跡信号を使用して（信号強度、伝搬時間を調べることにより）、トークン１０２およびユーザ１０のロケーションを判定することができる。代替または追加として、トークン１０２は、ＩＲビーコンまたはＧＰＳ装置等の追跡装置を備えることができる。
【００２５】
トークン１０２は、ユーザ１０についての生体（biometric）情報を取り込む生体センサ２１４も備えることができる。生体情報は、送受信器２１０によりセキュリティ制御機構１１０に送信することができるため、セキュリティ制御機構１１０がユーザ１０を認証するのを助ける情報を提供する。
【００２６】
データ記憶部２０６は、セキュリティ制御機構１１０により使用されるのと同じタイプのセキュリティ情報であるセキュリティ情報を含むデータベースをプログラムすることができる。たとえば、データベースは、人物群の身元および特権を含むことができる。トークン１０２に生体センサ２１４が備えられ、セキュリティ情報がプログラムされている場合、セキュリティ制御機構１１０との対話をなくすか、または低減することができる。
【００２７】
トークン１０２は、トークン１０２およびユーザ１０を取り巻く環境（コンテキスト）についての情報を得る１つまたは複数のコンテキストセンサ２１６を備えることができる。このようなコンテキストは、動き、軌跡、生物環境、および無生物環境を含むことができる。例示的なコンテキストセンサ２１６は、加速度計、湿度センサ、温度センサ、およびビデオセンサを含む。トークン１０２、エージェント１０４、またはセキュリティ制御機構１１０は、コンテキスト情報を使用して、ユーザ１０および資産１２が許可された環境にあるか、それとも不良な環境にあるのか、資産１２がどのように使用されているのか等を判定することができる。たとえば、トークン１０２は、不良な環境にある場合、データ記憶部２０６からすべてのセキュリティ情報の消去を決め、それによってセキュリティパスの第１の区間１０６を切断する。コンテキストセンサ２１６により提供される追加情報により、セキュリティ判定の正確性を上げることができる。
【００２８】
これより図３を参照する。例示的なセキュリティシステム３１０について、異なる資産へのアクセスを得ようと試みる第１および第２の人物（ユーザ）１０ａおよび１０ｂに関連してこれより説明する。資産は、部屋１２ａおよび部屋１２ａ内の安全なコンピュータ１２ｂを含む。安全なコンピュータ１２ｂにエージェントは提供されない。スマートドアロックの形のエージェント１０４ａが部屋１２ａに提供される。トークンはセキュリティバッジ１０２ａおよび１０２ｂである。セキュリティ制御機構１１０は、警備員３１２、生体スキャナ３１４、およびセキュリティ制御コンピュータ３１６を備える。
【００２９】
各人物１０ａおよび１０ｂは警備員３１２に近づく。警備員３１２は、複数のセキュリティバッジ１０２ａおよび１０２ｂが収容されているトレイから第１および第２のセキュリティバッジ１０２ａおよび１０２ｂを取り出す。この時点で、各セキュリティバッジ１０２ａおよび１０２ｂはセキュリティ情報を含んでいない。セキュリティバッジ１０２ａおよび１０２ｂが２人の人物１０ａおよび１０ｂに与えられる前は、異なる暗号鍵が２つのセキュリティバッジ１０２ａおよび１０２ｂに記憶されている。暗号鍵（たとえば、対称鍵）は、バッジ１０２ａおよび１０２ｂと安全に通信するために使用される。
【００３０】
第１の人物１０ａは第１のセキュリティバッジ１０２ａをクリップで留める。装着センサおよびプロセッサが、第１のバッジ１０２ａが第１の人物１０ａにクリップで留められたことを確定すると、第１のバッジ１０２ａは、セキュリティ情報の受信準備が整ったことをセキュリティ制御コンピュータ３１６に通知する。第１の人物１０ａの属性（たとえば、指紋、網膜、虹彩、声、顔）が生体スキャナ３１４によりスキャンされる。追加または代替として、或る形の識別（たとえば、免許証番号、パスワード）がセキュリティ制御コンピュータ３１６に供給される。セキュリティ制御コンピュータ３１６は、生体および識別情報に基づいてセキュリティ情報を検索し、セキュリティ情報を第１のセキュリティバッジ１０２ａに送る。この例では、セキュリティ制御情報は、個人識別子、タイムスタンプ、およびアクセスコードを含む。第１のセキュリティバッジ１０２ａはセキュリティ情報を記憶し、したがって第１の人物１０ａの人物を呈する。セキュリティパスの第１の区間が、第１の人物１０ａと第１のバッジ１０２ａの間に形成される。第１の人物１０ａが第１のセキュリティバッジ１０２ａを装着している限り、セキュリティパスの第１の区間は維持される。
【００３１】
第２の人物１０ｂは第２のセキュリティバッジ１０２ｂをクリップで留める。同じように、第２のバッジ１０２ｂは、第２の人物１０ｂについてのセキュリティ情報を受信して記憶する。第２の人物１０ｂが第２のセキュリティバッジ１０２ｂを装着している限り、第２の人物１０ｂと第２のバッジ１０２ｂの間のセキュリティパスの第１の区間は維持される。
【００３２】
２人の人物１０ａおよび１０ｂは部屋１２ａに近づく。セキュリティバッジ１０２ａおよび１０２ｂは両方とも、それぞれのアクセスコードをスマートドアロック１０４ａに送信する。アクセスコードは、第１の人物１０ａのみによる部屋１２ａへの入室は許可されているが、第２の人物１０ｂは、第１の人物１０ａが付き添っている場合にのみ部屋１２ａに入ることができることを示す。両方のバッジ１０２ａおよび１０２ｂの両方から受信するアクセスコードに基づいて、スマートドアロック１０４ａは、人物１０ａおよび１０ｂの両者が一緒に部屋１２ａに入ることを許可する。
【００３３】
第１の人物１０ａがコンピュータ１２ｂに近づくと、第１のバッジ１０２ａは個人識別子およびアクセスコードを第１のコンピュータ１２ｂに送信する。コンピュータ１２ｂは、個人識別子に従って第１の人物によるファイルおよび他のコンピュータ資源へのアクセスを制限する。さらに、コンピュータ１２ｂは、識別子に従ってグラフィカルユーザインタフェースを個人化することができる。
【００３４】
セキュリティパラメータに応じて、コンピュータ１２ｂは、未知の、または許可を受けていない人物が部屋１２ａにいる（検知装置を有していないか、あるいはこのような装置を有しているが許可を有していない）場合、アクセスを拒絶することができる。たとえば、第２の人物１０ｂに対しては、コンピュータ１２ｂのいずれの資源へのアクセスも許可されていない。したがってコンピュータ１２ｂは、第１の人物１０ａが端末に面していない場合、または第２の人物１０ｂが端末の閲覧範囲内にいる場合、端末をブランクにさせる。コンピュータ１２ｂは、第２の人物１０ｂがコンピュータ１２ｂにアクセスしようと試みる場合に自動的にシャットダウンすることができる。または、コンピュータ１２ｂはセキュリティ制御コンピュータ３１６にコンタクトを取ることができ、セキュリティ制御コンピュータ３１６は警備員に警告する。
【００３５】
後に、第１の人物１０ａは部屋１２ａを出て、第１のバッジ１０２ａを外し、第１のバッジ１０２ａを警備員３１２に返却する。第１のバッジ１０２ａは、外されるとすぐにセキュリティ情報をすべて消去する。第１のバッジ１０ａは白紙の状態になり、後の使用のためにトレイに戻される。
【００３６】
第２の人物１０ｂは部屋１２ａを出るが、第２のバッジ１０ｂを外して返却するのを忘れる。しかし、第２のバッジ１０２ｂはタイムスタンプ（個人識別子およびアクセスコードと共に送信された）を有する。第２のバッジ１０２ｂは、タイムスタンプの期限が切れるときを判定する（バッジ１０２ｂは内部クロックを有してもよく、また外部ソースから時間を受信してもよい）。タイムスタンプの期限が切れるとすぐに、第２のバッジ１０２ｂはセキュリティ情報をすべて消去する。したがって、第２の人物１０ｂは第２のバッジ１０２ｂを使用して部屋１２ａに再び入ることができないか、または他のいずれの資産にもアクセスすることはできない。
【００３７】
第２の人物１０ｂが第２のバッジ１０２ｂを外し、外したバッジ１０２ｂを第３者に与える場合、第２のバッジ１０２ｂはこのイベントを検出し、すべてのセキュリティ情報を消去する。したがって、第３者は第２のバッジ１０２ｂを使用して部屋１２ａに入ることができないか、またはいずれの資産にもアクセスすることはできない。
【００３８】
暗号鍵は、バッジが人物に与えられる前にバッジに記憶されている必要はない。別の例示的なセキュリティシステムでは、人物は、いずれの識別、暗号、およびセキュリティ情報も完全に空のバッジを取る。バッジはたとえば、建物のロビーに配置されたトレイから取ることができる。バッジは人物に装着されていることを検出し、それから、ユーザ識別を実行し且つセキュリティ情報を提供する装置の存在下にあることを検出する。装置の存在が検出されると、バッジは、一意の、一回限り使用される暗号鍵を自動的に生成する（一回限りの暗号鍵は反射攻撃を回避するように設計される）。人物が肯定的に識別された後、バッジは鍵を装置に送信し、装置は鍵を使用してセキュリティ情報を暗号化し、暗号化されたセキュリティ情報をバッジに送信する。最後に、人物はバッジを取り外してトレイに投げて戻す。バッジを人物に与える警備員または他の人物の必要性がなくなる。
【００３９】
バッジを装着している間、人物はセキュリティ情報を決して見ないか、または取り扱わず、ドアロック機構と対話する、追加のパスワードをコンピュータに入力する等の必要はない。セキュリティ情報は、セキュリティバッジ、ドアロック機構、およびコンピュータの間で送信される。セキュリティ情報は暗号化される。したがって、セキュリティ情報は盗聴から保護される。
【００４０】
セキュリティシステムのユーザは様々であり、多数である。セキュリティシステムを病院で使用して、特定のロックされた部屋または薬物棚へのアクセスを電子的に認可および拒絶することができる。位置追跡用途に関しては、特定のセンサを三角測量するようにセキュリティセンターが構成される場合、セキュリティセンターは、個人の位置を正確に求めることができる。病院では、このようなシステムは医者または患者の位置を正確に求めることができる。
【００４１】
セキュリティシステムは航空機セキュリティに使用することもできる。トークンをパイロットに装着することができる。セキュリティパスの第１の区画は、トークンがパイロットから外された場合のみならず、トークンにより、パイロットが死亡または無能力化されたことが検出された場合も切断することができる。
【００４２】
セキュリティシステムは、すべての招待者に装置が一時的に（すなわち、日毎に）与えられるアミューズメントパークまたはスキーエリアで使用することもできる。システムは、招待者の位置および招待者がまだ装置を装着しているか否かを即座に識別することができる。
【００４３】
セキュリティシステムを使用して、装置を「個人化」することもできる。１つのこのような装置がインターネット機器である。トークンはセキュリティパラメータをインターネット機器に送信する。セキュリティパラメータは、氏名、パスワード、およびコンテキストを示すことができる。インターネット機器はそれ自体を、セキュリティパラメータに従って構成し、それによってユーザ個人に向けられたものになる。
【００４４】
セキュリティ情報に制限はない。セキュリティ情報は、ユーザ毎、場所毎、タスク毎、および瞬間毎に異なることができる。セキュリティ情報は、誰が、どこで、いつ、どのように資産が使用されるか、および資産が何と共に使用されるかを指定することができる。
【００４５】
トークンがエージェントまたは資産とどのように通信するかについての制限はない。無線通信は単なる一例である。
【００４６】
本発明は上記特定の実施形態に限定されない。そうではなく、本発明は付随する特許請求の範囲に従って解釈される。
【図面の簡単な説明】
【００４７】
【図１】本発明の一実施形態によるセキュリティシステムの図である。
【図２】セキュリティシステムのトークンの図である。
【図３】本発明の一実施形態によるセキュリティシステムの別の図である。
【符号の説明】
【００４８】
１０：ユーザ
１２：資産
１００：セキュリティシステム
１０２：トークン
１０４：エージェント
１１０：セキュリティ制御機構
【特許請求の範囲】
【請求項１】
ユーザが関わるセキュリティシステムであって、
前記ユーザに装着可能なトークンを備え、
前記トークンは、前記ユーザに装着されている間、該ユーザに関連付けられ、
前記関連づけは、前記トークンが前記ユーザから取り外されるときに自動的に解除される、セキュリティシステム。
【請求項２】
前記トークンは、該トークンが前記ユーザから取り外されるときを判定する装着センサを備えている、請求項１に記載のセキュリティシステム。
【請求項３】
前記トークンは、セキュリティ情報を記憶するデータ記憶部を備え、前記トークンが前記ユーザから取り外されると前記セキュリティ情報を消去し、それにより、前記セキュリティ情報が消去されると前記関連づけが解除される、請求項１に記載のセキュリティシステム。
【請求項４】
前記トークンは、前記セキュリティ情報が記憶される前に前記ユーザに装着され、前記トークンと前記ユーザとの間の前記関連づけは、前記セキュリティ情報が記憶されるときに発生する、請求項３に記載のセキュリティシステム。
【請求項５】
前記トークンは、前記セキュリティ情報の少なくともいくらかを送受信する送受信器を備えている、請求項３に記載のセキュリティシステム。
【請求項６】
前記トークンは、前記ユーザについての識別情報を得る生体センサを備えている、請求項１に記載のセキュリティシステム。
【請求項７】
前記トークンは、前記ユーザを認証する手段を備えている、請求項１に記載のセキュリティシステム。
【請求項８】
前記トークンは、少なくとも１つのコンテキストセンサを備えている、請求項１に記載のセキュリティシステム。
【請求項９】
前記トークンは、
装着センサと、
プロセッサと、
データ記憶部と、
を備え、
前記プロセッサは、前記センサにより前記トークンが前記ユーザに装着されたことが示された後、セキュリティ情報を前記データ記憶部に記憶し、
前記プロセッサは、前記センサにより本体が前記ユーザから取り外されたことが検出されると、前記データ記憶部から前記セキュリティ情報を消去する、
請求項１に記載のセキュリティシステム。
【請求項１０】
資産へのアクセス制御手段をさらに備え、該手段は、前記ユーザ、前記トークン、および該手段の間のセキュリティパスが確立されていない場合、前記ユーザが前記資産にアクセスすることを許可しない、請求項１に記載のセキュリティシステム。
【請求項１１】
前記セキュリティパスの区間は、前記トークンが前記セキュリティ情報の少なくともいくらかを前記アクセス制御手段と通信している間確立される、請求項１０に記載のセキュリティシステム。
【請求項１２】
前記セキュリティパスの区間は、前記トークンが前記ユーザに装着されている間確立される、請求項１１に記載のセキュリティシステム。
【請求項１３】
前記ユーザについてのセキュリティ情報にアクセスし、前記セキュリティ情報を前記トークンに送信する手段をさらに備えている、請求項１に記載のセキュリティシステム。
【請求項１４】
前記トークンは、１回限りの使用の暗号鍵を生成し、該鍵を前記手段に送信し、該手段は、前記鍵を使用して前記セキュリティ情報を暗号化し、該暗号化されたセキュリティ情報を前記トークンに送信する、請求項１３に記載のセキュリティシステム。
【請求項１５】
前記トークンから少なくともいくらかのセキュリティ情報を受け取るアクセス制御手段と、該アクセス制御手段から少なくともいくらかのセキュリティ情報を受け取り、アクセス制御判定を行い、該アクセス制御判定を前記アクセス制御手段に供給する手段と、をさらに備えている、請求項１に記載のセキュリティシステム。
【請求項１６】
前記トークンはセキュリティ情報を記憶するデータ記憶部を備え、前記セキュリティ情報は、セキュリティ違反条件を示し、前記トークンは、前記条件が検出されると前記セキュリティ情報を消去し、それにより、前記セキュリティ情報が消去されると前記関連づけが解除される、請求項１に記載のセキュリティシステム。
【請求項１７】
資産へのユーザアクセスを制御する装置であって、
前記装置の前記ユーザへの着脱を検出する第１の手段と、
前記ユーザのアクセスについての情報を記憶する第２の手段であって、前記情報は、前記第１の手段により前記装置が装着されたことが示された後に記憶される、第２の手段と、
を備え、
前記第２の手段は、前記第１の手段により前記トークンが取り外されたことが検出されると、前記情報を消去する、資産へのユーザアクセスを制御する装置。
【請求項１８】
装着センサおよびデータ記憶部を含むトークンであって、前記センサによりユーザへの装着が示された後にセキュリティ情報を記憶し、前記センサにより前記ユーザからの取り外しが検出されると前記セキュリティ情報を消去する、トークンと、
前記ユーザ、前記トークン、および前記アクセス制御装置の間のセキュリティパスが確立されていない場合、前記ユーザによる前記資産へのアクセスを許可しない手段である、資産のアクセス制御装置と、
を備えているセキュリティシステム。
【請求項１９】
トークンを使用してユーザを確認する方法であって、
前記トークンが前記ユーザに装着されたとき、前記トークンと前記ユーザとの間の、情報に関連する関連づけを形成するステップと、
前記トークンが前記ユーザから取り外されたときを検知するステップと、
取り外しが検知されたときに、前記関連づけを即座に、自動的に解除するステップと、
を含む、方法。
【請求項２０】
人物、エージェント、およびデータ記憶デバイスが関わるセキュリティ方法であって、
前記データ記憶デバイスを前記人物に固定するステップと、
前記データ記憶デバイスが前記人物に固定された後、セキュリティ情報を前記データ記憶デバイスに記憶するステップと、
トークンが前記人物に固定されている間、前記人物による前記エージェントへのアクセスを許可するステップと、
前記データ記憶デバイスが前記人物から取り外された後、前記人物による前記エージェントへのアクセスを拒絶するステップと、
を含む、セキュリティ方法。
【請求項２１】
ユーザを確認する装置であって、
前記ユーザに固定可能な本体と、
前記本体が前記ユーザから取り外されたときを検出するセンサと、
プロセッサと、
データ記憶部と、
を備え、
前記プロセッサは、前記センサにより前記本体が前記ユーザに固定されたことが検出されると、前記ユーザに関連するセキュリティ情報を前記データ記憶部に記憶し、
前記プロセッサは、前記センサにより前記本体が前記ユーザから取り外されたことが検出されると、前記データ記憶部から前記セキュリティ情報を消去する、装置。
【請求項２２】
前記ユーザについての識別情報を得る生体センサをさらに備えている、請求項２１に記載の装置。
【請求項２３】
前記セキュリティ情報の少なくともいくらかを送信する送信器をさらに備えている、請求項２１に記載の装置。
【請求項２４】
前記セキュリティ情報が、安全なチャネルを介して送信される、請求項２３に記載の装置。
【請求項２５】
前記プロセッサはまた、セキュリティ情報を暗号化する１回限りの使用の鍵を生成する、請求項２１に記載の装置。
【請求項２６】
コンテキスト情報を得るセンサをさらに備え、前記コンテキスト情報は前記セキュリティ情報と突き合わせて評価される、請求項２１に記載の装置。
【請求項２７】
追跡信号を送信する送信器をさらに備えている、請求項２１に記載の装置。
【請求項１】
ユーザが関わるセキュリティシステムであって、
前記ユーザに装着可能なトークンを備え、
前記トークンは、前記ユーザに装着されている間、該ユーザに関連付けられ、
前記関連づけは、前記トークンが前記ユーザから取り外されるときに自動的に解除される、セキュリティシステム。
【請求項２】
前記トークンは、該トークンが前記ユーザから取り外されるときを判定する装着センサを備えている、請求項１に記載のセキュリティシステム。
【請求項３】
前記トークンは、セキュリティ情報を記憶するデータ記憶部を備え、前記トークンが前記ユーザから取り外されると前記セキュリティ情報を消去し、それにより、前記セキュリティ情報が消去されると前記関連づけが解除される、請求項１に記載のセキュリティシステム。
【請求項４】
前記トークンは、前記セキュリティ情報が記憶される前に前記ユーザに装着され、前記トークンと前記ユーザとの間の前記関連づけは、前記セキュリティ情報が記憶されるときに発生する、請求項３に記載のセキュリティシステム。
【請求項５】
前記トークンは、前記セキュリティ情報の少なくともいくらかを送受信する送受信器を備えている、請求項３に記載のセキュリティシステム。
【請求項６】
前記トークンは、前記ユーザについての識別情報を得る生体センサを備えている、請求項１に記載のセキュリティシステム。
【請求項７】
前記トークンは、前記ユーザを認証する手段を備えている、請求項１に記載のセキュリティシステム。
【請求項８】
前記トークンは、少なくとも１つのコンテキストセンサを備えている、請求項１に記載のセキュリティシステム。
【請求項９】
前記トークンは、
装着センサと、
プロセッサと、
データ記憶部と、
を備え、
前記プロセッサは、前記センサにより前記トークンが前記ユーザに装着されたことが示された後、セキュリティ情報を前記データ記憶部に記憶し、
前記プロセッサは、前記センサにより本体が前記ユーザから取り外されたことが検出されると、前記データ記憶部から前記セキュリティ情報を消去する、
請求項１に記載のセキュリティシステム。
【請求項１０】
資産へのアクセス制御手段をさらに備え、該手段は、前記ユーザ、前記トークン、および該手段の間のセキュリティパスが確立されていない場合、前記ユーザが前記資産にアクセスすることを許可しない、請求項１に記載のセキュリティシステム。
【請求項１１】
前記セキュリティパスの区間は、前記トークンが前記セキュリティ情報の少なくともいくらかを前記アクセス制御手段と通信している間確立される、請求項１０に記載のセキュリティシステム。
【請求項１２】
前記セキュリティパスの区間は、前記トークンが前記ユーザに装着されている間確立される、請求項１１に記載のセキュリティシステム。
【請求項１３】
前記ユーザについてのセキュリティ情報にアクセスし、前記セキュリティ情報を前記トークンに送信する手段をさらに備えている、請求項１に記載のセキュリティシステム。
【請求項１４】
前記トークンは、１回限りの使用の暗号鍵を生成し、該鍵を前記手段に送信し、該手段は、前記鍵を使用して前記セキュリティ情報を暗号化し、該暗号化されたセキュリティ情報を前記トークンに送信する、請求項１３に記載のセキュリティシステム。
【請求項１５】
前記トークンから少なくともいくらかのセキュリティ情報を受け取るアクセス制御手段と、該アクセス制御手段から少なくともいくらかのセキュリティ情報を受け取り、アクセス制御判定を行い、該アクセス制御判定を前記アクセス制御手段に供給する手段と、をさらに備えている、請求項１に記載のセキュリティシステム。
【請求項１６】
前記トークンはセキュリティ情報を記憶するデータ記憶部を備え、前記セキュリティ情報は、セキュリティ違反条件を示し、前記トークンは、前記条件が検出されると前記セキュリティ情報を消去し、それにより、前記セキュリティ情報が消去されると前記関連づけが解除される、請求項１に記載のセキュリティシステム。
【請求項１７】
資産へのユーザアクセスを制御する装置であって、
前記装置の前記ユーザへの着脱を検出する第１の手段と、
前記ユーザのアクセスについての情報を記憶する第２の手段であって、前記情報は、前記第１の手段により前記装置が装着されたことが示された後に記憶される、第２の手段と、
を備え、
前記第２の手段は、前記第１の手段により前記トークンが取り外されたことが検出されると、前記情報を消去する、資産へのユーザアクセスを制御する装置。
【請求項１８】
装着センサおよびデータ記憶部を含むトークンであって、前記センサによりユーザへの装着が示された後にセキュリティ情報を記憶し、前記センサにより前記ユーザからの取り外しが検出されると前記セキュリティ情報を消去する、トークンと、
前記ユーザ、前記トークン、および前記アクセス制御装置の間のセキュリティパスが確立されていない場合、前記ユーザによる前記資産へのアクセスを許可しない手段である、資産のアクセス制御装置と、
を備えているセキュリティシステム。
【請求項１９】
トークンを使用してユーザを確認する方法であって、
前記トークンが前記ユーザに装着されたとき、前記トークンと前記ユーザとの間の、情報に関連する関連づけを形成するステップと、
前記トークンが前記ユーザから取り外されたときを検知するステップと、
取り外しが検知されたときに、前記関連づけを即座に、自動的に解除するステップと、
を含む、方法。
【請求項２０】
人物、エージェント、およびデータ記憶デバイスが関わるセキュリティ方法であって、
前記データ記憶デバイスを前記人物に固定するステップと、
前記データ記憶デバイスが前記人物に固定された後、セキュリティ情報を前記データ記憶デバイスに記憶するステップと、
トークンが前記人物に固定されている間、前記人物による前記エージェントへのアクセスを許可するステップと、
前記データ記憶デバイスが前記人物から取り外された後、前記人物による前記エージェントへのアクセスを拒絶するステップと、
を含む、セキュリティ方法。
【請求項２１】
ユーザを確認する装置であって、
前記ユーザに固定可能な本体と、
前記本体が前記ユーザから取り外されたときを検出するセンサと、
プロセッサと、
データ記憶部と、
を備え、
前記プロセッサは、前記センサにより前記本体が前記ユーザに固定されたことが検出されると、前記ユーザに関連するセキュリティ情報を前記データ記憶部に記憶し、
前記プロセッサは、前記センサにより前記本体が前記ユーザから取り外されたことが検出されると、前記データ記憶部から前記セキュリティ情報を消去する、装置。
【請求項２２】
前記ユーザについての識別情報を得る生体センサをさらに備えている、請求項２１に記載の装置。
【請求項２３】
前記セキュリティ情報の少なくともいくらかを送信する送信器をさらに備えている、請求項２１に記載の装置。
【請求項２４】
前記セキュリティ情報が、安全なチャネルを介して送信される、請求項２３に記載の装置。
【請求項２５】
前記プロセッサはまた、セキュリティ情報を暗号化する１回限りの使用の鍵を生成する、請求項２１に記載の装置。
【請求項２６】
コンテキスト情報を得るセンサをさらに備え、前記コンテキスト情報は前記セキュリティ情報と突き合わせて評価される、請求項２１に記載の装置。
【請求項２７】
追跡信号を送信する送信器をさらに備えている、請求項２１に記載の装置。
【図１】
【図２】
【図３】
【図２】
【図３】
【公表番号】特表２００６−５０６６９４（Ｐ２００６−５０６６９４Ａ）
【公表日】平成１８年２月２３日（２００６．２．２３）
【国際特許分類】
【出願番号】特願２００４−５０４１９０（Ｐ２００４−５０４１９０）
【出願日】平成１５年３月１３日（２００３．３．１３）
【国際出願番号】ＰＣＴ／ＵＳ２００３／００７７７３
【国際公開番号】ＷＯ２００３／０９６２８１
【国際公開日】平成１５年１１月２０日（２００３．１１．２０）
【出願人】（５０３００３８５４）ヒューレット−パッカード デベロップメント カンパニー エル．ピー． (1,145)
【Ｆターム（参考）】
【公表日】平成１８年２月２３日（２００６．２．２３）
【国際特許分類】
【出願日】平成１５年３月１３日（２００３．３．１３）
【国際出願番号】ＰＣＴ／ＵＳ２００３／００７７７３
【国際公開番号】ＷＯ２００３／０９６２８１
【国際公開日】平成１５年１１月２０日（２００３．１１．２０）
【出願人】（５０３００３８５４）ヒューレット−パッカード デベロップメント カンパニー エル．ピー． (1,145)
【Ｆターム（参考）】
[ Back to top ]