特許 7011669 権限を管理するシステム及び方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-01-18

(45)【発行日】2022-01-26

(54)【発明の名称】権限を管理するシステム及び方法

(51)【国際特許分類】

   G06F 21/44 20130101AFI20220119BHJP

   G06F 21/73 20130101ALI20220119BHJP

   G06F 21/64 20130101ALI20220119BHJP

【ＦＩ】

G06F21/44

G06F21/73

G06F21/64

【請求項の数】 15

(21)【出願番号】P 2019564471

(86)(22)【出願日】2018-05-25

(65)【公表番号】

(43)【公表日】2020-07-27

(86)【国際出願番号】 EP2018063746

(87)【国際公開番号】W WO2018215637

(87)【国際公開日】2018-11-29

【審査請求日】2020-01-09

(31)【優先権主張番号】17173099.7

(32)【優先日】2017-05-26

(33)【優先権主張国・地域又は機関】EP

(73)【特許権者】

【識別番号】514323095

【氏名又は名称】アウテンティック フィジョン ゲゼルシャフト ミット ベシュレンクテル ハフツング

【氏名又は名称原語表記】ＡＵＴＨＥＮＴＩＣ ＶＩＳＩＯＮ ＧＭＢＨ

(74)【代理人】

【識別番号】100123788

【弁理士】

【氏名又は名称】宮崎 昭夫

(74)【代理人】

【識別番号】100127454

【弁理士】

【氏名又は名称】緒方 雅昭

(72)【発明者】

【氏名】ヴェイス、 トーマス

(72)【発明者】

【氏名】ベルグミューラー、 トーマス

【審査官】平井 誠

(56)【参考文献】

【文献】米国特許出願公開第２０１２／０１６９４６１（ＵＳ，Ａ１）

【文献】特開２００３－０７６６１３（ＪＰ，Ａ）

【文献】特表２０１５－５１３７３４（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／００－８８

(57)【特許請求の範囲】

【請求項1】

権限を管理するシステム（１）であって、
権限は一意に識別可能なオブジェクト（３）に割り当てられ、一意に識別可能なオブジェクト（３）と一意に識別可能なプログラマブル装置（５）との間のリンク（４）が確立され、
確立されたリンク（４）は前記一意に識別可能なオブジェクト（３）に割り当てられた権限（２）の少なくとも一部を利用することを可能とし、前記リンク（４）は前提条件のセットの下で確立され、
前記一意に識別可能なオブジェクト（３）と前記一意に識別可能なプログラマブル装置（５）との間の物理的な近接性の少なくとも前提条件が検証され、
前記一意に識別可能なオブジェクト（３）は、再現不能なセキュリィティ装置（６）を有し、再現不能なセキュリィティ装置（６）は、前記一意に識別可能なオブジェクト（３）に登録され、光学認証手段によって再現不能なセキュリィティ装置（６）を認証することで、前記一意に識別可能なオブジェクト（３）と前記一意に識別可能なプログラマブル装置（５）との間の物理的な近接性を検証するために使用することが可能であり、
少なくとも一部の認証処理が前記一意に識別可能なプログラマブル装置（５）によって実行されるシステム（１）。

【請求項2】

リンクを確立するために追加の前提条件のグループの１つ以上が検証され、
前記追加の前提条件のグループが、前記一意に識別可能なプログラマブル装置（５）の地理的位置が所定の地理的エリア内にある、または前記一意に識別可能なプログラマブル装置のセンサまたはメモリから取り出すことができる他のデータを有し、
リンク（４）は、このデータが所定の予め構成された値に対応する場合にのみ確立できることを特徴とする、請求項１に記載のシステム（１）。

【請求項3】

前記権限（２）が、集中型または分散型データベース（９）に格納されることを特徴とする、請求項１または２に記載のシステム（１）。

【請求項4】

権限（２）が、プログラマブル装置（５）で実行されるコンピュータプログラムへのアクセスの許可、または前記一意に識別可能なプログラマブル装置（５）及び／またはリンク（４）を確立する許可を有する第３のデバイス、特にサーバにおけるコンピュータプログラムの実行をトリガする許可であることを特徴とする、請求項１から３のいずれか１項に記載のシステム（１）。

【請求項5】

権限（２）が、データベースへのアクセスを許可し、権限割当ての変更を可能にすることを特徴とする、請求項１から４のいずれか１項に記載のシステム（１）。

【請求項6】

確立されたリンク（４）が、集中型または分散型のデータベース（９）に記録されることを特徴とする、請求項１から５のいずれか１項に記載のシステム（１）。

【請求項7】

前記データベース（９）が、ブロックチェーン構造を有することを特徴とする、請求項６に記載のシステム（１）。

【請求項8】

前記一意に識別可能なオブジェクト（３）は、一意なオブジェクト識別子（７）を備え、前記オブジェクト識別子（７）は、人または機械で読み取り可能なフォーマット、特に数字若しくは英数字でまたはバーコード若しくは２Ｄコードで符号化されることを特徴とする、請求項１から７のいずれか１項に記載のシステム（１）。

【請求項9】

前記再現不能なセキュリティ装置（６）は、前記オブジェクト識別子（７）に登録された視点依存光学特性のランダムな分布を有する３次元構造を備え、
前記一意に識別可能なプログラマブル装置（５）は、少なくとも２つの異なる視点から、または２つの異なる照明条件で前記再現不能なセキュリティ装置（６）の少なくとも２つの画像を取り込むために用いるカメラを備えることを特徴とする、請求項８に記載のシステム（１）。

【請求項10】

前記一意に識別可能なオブジェクト（３）と前記一意に識別可能なプログラマブル装置（５）との間のリンクは、接続された２つ以上の中間リンク、特に、前記一意に識別可能なオブジェクト（３）とユーザアカウントとの間の第１の中間リンクと、前記ユーザアカウントと前記一意に識別可能なプログラマブル装置（５）との間の第２の中間リンクとを備えることを特徴とする、請求項１から９のいずれか１項に記載のシステム（１）。

【請求項11】

一意なデバイス識別子（８）を有するプログラマブル装置（５）を用いて権限を獲得する方法であって、
前記プログラマブル装置（５）を用いて少なくとも２つの画像を取り込み、少なくとも１つの画像はオブジェクト（３）の一意なオブジェクト識別子（７）を示し、少なくとも２つの画像はオブジェクト（３）の再現不能なセキュリティ装置（６）を示し、
少なくとも２つの画像に基づいて前記再現不能なセキュリティ装置（６）を認証し、
前提条件のセットの全てが満たされる場合、前記一意なデバイス識別子（８）と前記一意なオブジェクト識別子（７）との間のリンク（４）を確立し、前提条件のセットは、少なくとも前記再現不能なセキュリティ装置（６）を認証できる前提条件を備え、
前記１つまたは複数の権限（２）は、予め定義されて前記一意なオブジェクト識別子（７）に関連付けられ、
前記１つまたは複数の権限（２）の少なくとも一部は、前記一意なオブジェクト識別子（７）にリンクされた一意なデバイス識別子（８）を有する任意のプログラマブル装置（５）に付与される、方法。

【請求項12】

前記再現不能なセキュリティ装置（６）を認証することは、少なくとも２つの画像から１つ以上の光学的セキュリティ特徴のデジタル表現を抽出し、
前記デジタル表現をリファレンスと比較し、
前記デジタル表現がリファレンスと一致する場合、前記再現不能なセキュリティ装置（６）を認証することを特徴とする、請求項１１に記載の方法。

【請求項13】

前記再現不能なセキュリティ装置（６）を認証することは、好ましくは取り込まれた前記一意なオブジェクト識別子（７）を用いてデータベース（９）に問い合わせることで、前記データベース（９）から前記リファレンスを取得することを特徴とする、請求項１２に記載の方法。

【請求項14】

前記一意なデバイス識別子（８）と前記一意なオブジェクト識別子（７）との間のリンク（４）を確立する前に、前記一意なオブジェクト識別子（７）が１つまたは複数の異なる一意なデバイス識別子（８）と既にリンクされているか否かを判定し、
前記一意なオブジェクト識別子（７）が任意の異なる一意なデバイス識別子（８）とリンクされていない場合にのみ、前記一意なデバイス識別子（８）と前記一意なオブジェクト識別子（７）との間のリンク（４）を確立することを特徴とする、請求項１１から１３のいずれか１項に記載の方法。

【請求項15】

一意なデバイス識別子（８）を有するプログラマブル装置（５）の権限（２）を決定する方法であって、
集中型または分散型データベース（９）から前記一意なデバイス識別子（８）の有効なリンク（４）のリストを検索し、
検索された有効なリンクのリスト（４）にしたがって前記一意なデバイス識別子（８）とリンクされた１つまたは複数の一意なオブジェクト識別子（７）を判定し、
１つ以上の判定された一意なオブジェクト識別子（７）に関連する１つ以上の権限（２）を前記プログラマブル装置（５）の権限として決定する、方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は権限を管理するシステムに関する。

【背景技術】

【0002】

はじめに及びモチベーション
２０００年代初頭に用語ＩｏＴ（Internet of Things）が一般的となり、物理的なオブジェクトのインターネットワーキングが論じられている。物理的なオブジェクトを既存のコンピュータネットワークに統合するためのコンセプト、構想及び要望が急増しているが、ＩｏＴは未だ実用化の準備ができていないと言って間違いない。現れる最初の課題の１つは、全ての参加者／オブジェクトを一意に識別して対処することである。この課題は、既にＩＰｖ６で克服されている。別の課題は、情報をやりとりすべきオブジェクト（物）が追加のハードウェア、すなわちネットワークインターフェースを備える必要があることである。ネットワークアップリンクは、今日、無線で提供できるが、情報をやりとりするオブジェクトは無線ネットワークインターフェース、好ましくは処理ユニット（ＣＰＵ）及びほとんどの場合は電源を備える必要がある。とりわけ、これらの特徴は、オブジェクトとして、ＩｏＴと交信し、より高価になり、永久電源（または定期的な再充電）等を必要とするため、より速いペースでＩｏＴを実施することを妨げる。一実施形態において、本発明の主題は、通常のオブジェクトをＩｏＴと統合すること、すなわちデジタル処理能力及び／または電源無しで可能にするセットアップを提供することである。そのアイデアはプログラマブル装置のハードウェアをオブジェクトと共有することである。

【0003】

別の実施形態において、本発明によれば、オブジェクトはデジタルコンテンツに対する物理的なキーの役割を果たすことができる。特に、物理的なオブジェクトは、例えばそれらの所有者及び／または特定のプログラマブル装置に権限を付与することで、所定のデジタルサービス及び／またはデータにアクセスする権限を持たせるために使用される。

【発明の概要】

【0004】

発明の概要
本発明は、権限を管理するシステムに関する。該システムは、一意に識別可能なオブジェクト（それ自体にデジタル処理能力を有していなくてもよい）と、一意に識別可能なプログラマブル装置と、一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間の少なくとも物理的な近接性を確保する方法とを備える。特定の権限は、例えばデータベース（data base: ＤＢ）において、一意に識別可能なオブジェクトの識別子（identifier: ＩＤ）に対して予め登録される。特定の一意に識別可能なプログラマブルオブジェクトと特定の一意に識別可能なプログラマブル装置との間の物理的な近接性は、光学認証手段によって確保される。この目的のために、一意に識別可能なオブジェクトは、一意で再現不能なセキュリティ装置を含み、このセキュリティ装置もまたオブジェクト識別子に予め登録される。セキュリティ装置は、光学的認証手段、例えばカメラによって認証されてもよい。好ましい実施形態において、セキュリティ装置はランダム特性を有する光学的可変デバイス（Optically Variable Device: ＯＶＤ）を備える。ランダム特性は、セキュリティ装置の再現不能性を確保し、オブジェクト識別子にランダム特性を登録することは、その一意性を確保する。登録は、再現不能なセキュリティ装置のデジタル表現と一意なオブジェクト識別子との間の関連性を保存するデータベースを用いて達成されてもよく、その代わりに、オブジェクト識別子は登録された再現不能なセキュリティ装置の画像を備えていてもよい。光学的に可変な装置を用いることで、再現不能なセキュリティ装置を写真複写手段でコピーできないことが確保される。前記好ましい実施形態において、セキュリティ装置は、それが実際にＯＶＤであることを検証するために、異なる画角から少なくとも２つの写真を撮ることで認証されてもよい。このようなセキュリティ装置を製造するための適切な製造プロセスの実施例は、国際公開第２０１５／０７９０１４号で示されている。好ましい実施形態では、例えば、欧州特許出願第１６１８８３５７．４号または欧州特許出願第１７１６２７８９．６号でより詳細に紹介されているような特殊なセキュリティ箔を使用できる。

【0005】

初期のＩｏＴの実施例は、権限を付与する特別なケースと見なすことができる。一意に識別可能なプログラマブル装置は、一意に識別可能なオブジェクトに予め定義され、登録されたプログラムを実行することで、そのハードウェアを物理的なオブジェクトと「共有」する。これは、１つのハードウェアが複数の仮想マシンで共有される仮想マシンの概念と非常に類似している。この例では、仮想マシンは、一意に識別可能なオブジェクトのための、予め定義されたコンピュータプログラムである。本発明では、一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間の物理的な近接性を検証できるため、一意に識別可能なオブジェクトの名称でその特定のコンピュータプログラムを実行する権限が一意に識別可能な装置に付与される。
最新技術
２つのデバイス間の物理的な近接性を確保するための周知の技術は、例えば米国特許出願公開第２００９／０２１０９４０号で紹介されているようなＲＦＩＤである。ＲＦＩＤベースの解決策にはいくつかの短所があり、例えば、ユニット当たりのコスト、読取装置の配布及び応用分野が限定されることである。ＲＦＩＤタグは、典型的には０．０５ドルを超える比較的高い製造コストを有する。特に、複製がより困難で安全なＲＦＩＤタグを用いる場合、コストが非常に高くなる。一方、ＲＦＩＤの読取装置は広く普及しているが、標準的ではない。今日のスマートフォンの大部分は近距離無線通信（Near-Field Communication：ＮＦＣ）用のＲＦＩＤセンサを有しているが、１つの大手メーカーがそのトレンドに従わなかった。さらに、多くの人々は、自分のスマートフォンにおけるこの特徴を認識しておらず、また電力消費が比較的大きいために明示的にオンしなければならないことが多い。本発明の一態様は、光学センサ、すなわちカメラで認証することが可能であり、この認証を利用して、セキュリティ装置と、したがってセキュリティ装置が取り付けられた、または一体化されたオブジェクトと、一意に識別可能なプログラマブル装置、例えばスマートフォンとの間の近接性を証明するセキュリティ装置を用いることで、これらの短所を克服することである。限られた応用分野では、おそらく克服することが不可能に近い。ＲＦＩＤは、電磁波に基づいている。その結果、ＲＦＩＤタグが金属オブジェクトまたは液体を有するボトル上に置かれている場合、ＲＦＩＤタグのすぐ近くのこれらの材料は電磁波を減衰または遮断するため、読出しを制限する、またはＲＦＩＤタグを無効にすることさえある。

【0006】

２つの一意に識別可能なエンティティ、例えば一意に識別可能なプログラマブル装置と一意に識別可能なオブジェクトとの間の物理的な近接性を検証するためにセキュリティ装置を用いる場合、該セキュリティ装置も一意である必要がある。それ以上に、それは再現不能である必要がある。典型的な設定では、装置及びオブジェクトは、識別子、例えばシリアル番号、ＵＩＤまたは他の一意なコードを使用することで一意に識別可能な状態になる。しかしながら、これらの全ての識別子またはコードは、コピーすることが可能であり、そのために容易に再現できる。このことは、同じ一意な識別子を有する複数のエンティティを生成することが可能であり、結果として一意性制約が守られないことを意味する。ここで、１つのアプローチは、偽造が困難なセキュリティ装置、例えば前記ＲＦＩＤタグに一意な識別子を備えることである。セキュリティ装置の正規の生産者が一意に識別可能なオブジェクト毎に厳密に１つの唯一のセキュリティ装置を発行する限り、十分なレベルの保護が達成される。少なくとも一意に識別可能なオブジェクトをコピーするコストは、一意なセキュリティ装置もクローン化する必要があるため、高くなる。

【0007】

ＲＦＩＤタグは、例えば暗号で署名された一意な識別子を符号化できるため、ここでは広く利用されている。そのようなタグを再現することは、少なくともＲＦＩＤタグのコンテンツを読み出し、同一のコンテンツを有する新しいタグをプログラミングすることを意味する。上述した安全なＲＦＩＤタグを用いる場合、読み出しプロセスが防止される。概念的に類似する、欧州特許出願公開第０２６６７４８号は、例えばいわゆるＵＳＢドングルを記載しており、該ＵＳＢドングルは、ＲＦＩＤタグと機能的に等価であり、同時にオブジェクトになり得るセキュリティ装置であり、さらに一意に識別可能なプログラマブル装置に差し込むことで物理的な近接性が確保される。

【0008】

ＲＦＩＤの上述した短所のために、光学的に認証可能なセキュリティ装置を用いたさらなる独自のアプローチが知られている。例えば、米国特許第７６５０００９号には、写真を取り込み、デジタルキー（「スノーフレーク画像」）を用いてステガノグラフィ的に写真を強調し、これをランダムで一意なセキュリティ装置として使用する方法を記載している。ランダム性はランダムな写真を取り込むことで達成され、さらにデジタルキーはここではいくつかのバリエーションを追加する。同様に、米国特許第７９８６８０６号は、ステガノグラフィ手段を用いてデジタルコンテンツ（例えば、一意な識別子）を画像（ランダムと考えることができる）に埋め込む手法を示している。そのようなセキュリティ装置の主な短所の１つは、それらをコピーできることである。これは、実際に、例えば写真複写機を用いて、またはそのようなセキュリティ装置のビデオを撮影することで容易に検証することが可能であり、コピーまたはビデオはそこからの認証を可能にする。

【0009】

米国特許出願公開第２０１２／１６９４６１号は、セキュリティ保護された部屋のための電子アクセス制御システムに関する。この場合、携帯電話が認証装置として用いられる。ポータル／ドアを介したアクセスを可能にするため、電話機が識別マークの近傍に運ばれる。したがって、アクセス制御システムは、電話機に記録された識別マークに基づいてアクセス可能なドアであるかを決定する。ドアまたはポータルを識別することに加えて、電話機はユーザを認証する必要がある。

【0010】

紹介した全ての技術には共通する１つの特徴があり、それらは再現可能であることである。ＲＦＩＤタグは違法な第三者によって複製することが困難であるが、これらの技術が単に全てデジタルコンテンツに基づくという理由で、定義付け毎に正規の発行者によって複製できる。このことは、特にデータ漏洩、二重生成、汚職行為及びその他の非技術的攻撃ベクトルが考慮される場合に、そのようなセキュリティ機能を脆弱にする。特に、このようなセキュリティ装置は、発行されたセキュリティ装置の数が課金される料金に対応するライセンスコンプライアンスの利用事例では用いることができない。本発明の別の態様は、通常の光学認証手段を用いて、すなわち拡大レンズ等の特別な装置を必要とせずに認証できる再現不能なセキュリティ装置を導入することである。導入されたセキュリティ装置は、カメラ、すなわちスマートフォン、タブレットＰＣを備える任意のプログラマブル装置、またはウェブカメラを備えるパーソナルコンピュータを用いて認証できる。標準的で広く普及した機器、例えば通常のカメラを用いて、多数の人々が追加の機器を取得または購入する必要がなく提案された発明を行うことができる。
発明の説明
本発明は、権限を管理するためのシステムに関し、権限は一意に識別可能なオブジェクトに割り当てられ、一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間にリンクが確立され、確立されたリンクは一意に識別可能なオブジェクトに割り当てられた権限の少なくとも一部を利用することを可能とし、リンクは一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間の物理的な近接性の少なくとも前提条件の下で確立され、一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間の物理的な近接性の少なくとも前提条件が検証され、一意に識別可能なオブジェクトは、再現不能なセキュリィティ装置を有し、再現不能なセキュリィティ装置は、一意に識別可能なオブジェクトに登録され、光学認証手段によって再現不能なセキュリィティ装置を認証することで、一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間の物理的な近接性を検証するために使用することが可能であり、少なくとも一部の認証処理が一意に識別可能なプログラマブル装置によって実行される。

【0011】

特に、一意に識別可能なオブジェクトは、一意に識別可能な物品または一意に識別可能な製品であってもよい。

【0012】

本発明の好ましい実施形態では、リンクを確立する１つまたは複数の追加の前提条件のグループが検証され、前記追加の前提条件のグループは、一意に識別可能なプログラマブル装置の地理的位置が所定の地理的エリア内にある、または一意に識別可能なプログラマブル装置のセンサまたはメモリから取り出すことができる他のデータを含み、リンクはこのデータが特定の予め構成された値に対応する場合にのみ確立できる。

【0013】

権限は、集中型または分散型データベースで保存されることが有利である。

【0014】

一実施形態において、権限は、プログラマブル装置で実行できるコンピュータプログラムにアクセスする許可、または一意に識別可能なプログラマブル装置及び／またはリンクを確立する許可を用いて、第３のデバイス、特にサーバにおけるコンピュータプログラムの実行をトリガする許可である。

【0015】

加えて、またはこれに代えて、権限はデータベースへのアクセスを許可し、権限の割り当ての変更を可能にする。

【0016】

好ましい実施形態において、確立されたリンクは集中型または分散型データベースに記録される。

【0017】

データベースは、ブロックチェーン構造を備えることが可能であり、ブロックチェーン構造は、信頼できる機関、すなわち確立されたリンクの信頼できるデータベースを必要とすることなく、システム内の全ての取引（確立されたリンク）の公正性を確保する。

【0018】

本発明の好ましい実施形態において、再現不能なセキュリティ装置は、オブジェクト識別子に登録された視点依存光学特性のランダムな分布を有する３次元構造を備え、一意に識別可能なプログラマブル装置は、少なくとも２つの異なる視点から、または２つの異なる照明条件で前記セキュリティ装置の少なくとも２つの画像を取り込むために用いるカメラを備えることで達成される。

【0019】

一意に識別可能なオブジェクトは、オブジェクト識別子を含むことが可能であり、前記オブジェクト識別子は、人または機械で読み取り可能なフォーマット、特に数若しくは英数字またはバーコード若しくは２Ｄコードで符号化される。バーコード若しくは２Ｄコードなどの機械で読み取り可能なコードを用いることは、識別子を一意に識別可能なプログラマブル装置によって読み取ることができるため、有利である。追加または代替の実施形態では、人及び機械で読み取り可能な同じ識別子の表現を並行して利用できる。

【0020】

好ましい実施形態において、一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間のリンクは、接続された２つ以上の中間リンク、特に一意に識別可能なオブジェクトとユーザアカウントとの間の第１の中間リンクと、前記ユーザアカウントと一意に識別可能なプログラマブル装置との間の第２の中間リンクとを含む。一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間のリンクは、中間リンクを確立して接続することで確立され、中間リンクの少なくとも１つを確立するために、上記で定義された前提条件が満たされなければならない。残りの中間リンクは、前提条件と無関係に確立されてもよく、前提条件を満たして確立されてもよい。

【0021】

一般に、本発明は、権限を管理する（すなわち、付与し、提供する）ためのシステムに関し、
一意なオブジェクト識別子及び再現不能なセキュリティ装置を有する、少なくとも１つのオブジェクト（または物品または製品）と、
一意なデバイス識別子及び光学認証手段（例えば、コンピュータに接続されたカメラ）を備える、少なくとも１つのプログラマブル装置と、
一意なオブジェクト識別子に関連付けられた１つまたは複数の権限を保存し、一意なデバイス識別子と一意なオブジェクト識別子との間の１つまたは複数のリンクを保存するデータベースと、
を有し、
前記システムは、前記プログラマブル装置の光学認証手段を用いた前記オブジェクトの再現不能なセキュリティ装置の認証を少なくとも含む、プログラマブル装置の一意なデバイス識別子とオブジェクトの一意なオブジェクト識別子との間の新しいリンクを確立するように構成され、
前記システムは、前記プログラマブル装置の一意なデバイス識別子にリンクされた１つまたは複数の一意なオブジェクト識別子を判定し、前記プログラマブル装置の権限として、１つまたは複数の判定された一意なオブジェクト識別子に関連する１つまたは複数の権限を決定することで、プログラマブル装置の権限を決定するように構成されている。

【0022】

本発明は、また一意なデバイス識別子を有するプログラマブル装置を用いて権限を獲得するための方法に関し、
少なくとも２つの画像をプログラマブル装置を用いて取り込み、少なくとも１つの画像はオブジェクト（または物品または製品）の一意なオブジェクト識別子を示し、少なくとも２つの画像は前記オブジェクトの再現不能なセキュリティ装置を示し、
少なくとも２つの画像に基づいて再現不能なセキュリティ装置を認証し、
前提条件のセットのうち、全ての前提条件が満たされる場合、一意なデバイス識別子と一意なオブジェクト識別子との間のリンクを確立し、前提条件のセットに再現不能なセキュリティ装置を認証できる少なくとも前提条件を含み、
１つまたは複数の権限は、一意なオブジェクト識別子に関連付けられ、
前記１つまたは複数の権限の少なくとも一部は、一意なオブジェクト識別子にリンクされた一意なデバイス識別子を有する任意のプログラマブル装置に付与される。

【0023】

上記で指摘したように、リンクは、中間リンク（例えば、一意なオブジェクト識別子と一意なアカウント識別子との間）を確立することで達成し、２つ以上の接続された中間リンクは、一意なデバイス識別子と一意なオブジェクト識別子との間のリンクを共に形成する（例えば、一意なアカウント識別子と一意なデバイス識別子との間の別の中間リンクは、例えばプログラマブル装置をユーザアカウントに登録することで予め確立できる）。

【0024】

本方法の好ましい実施形態において、再現不能なセキュリティ装置を認証することは、
少なくとも２つの画像から１つ以上の光学的セキュリティ特徴のデジタル表現を抽出し、
前記デジタル表現をリファレンスと比較し、
前記デジタル表現が前記リファレンスと一致する（厳密に一致する、または特定の閾値よりも小さい適切な距離尺度を有する）場合、再現不能なセキュリティ装置を認証する。

【0025】

より具体的には、再現不能なセキュリティ装置を認証することは、取り込まれた一意なオブジェクト識別子を用いてデータベースに照会することで前記データベースからリファレンスを取得することを含むことが好ましい。

【0026】

オブジェクトに関連する権限の排他的所有権を達成するために、本方法は、
一意なデバイス識別子と一意なオブジェクト識別子との間のリンクを確立する前に、一意なオブジェクト識別子が１つまたは複数の異なる一意のデバイス識別子と既にリンクされているか否かを判定し、
一意なオブジェクト識別子が異なる一意なデバイス識別子とリンクされていない場合にのみ、一意なデバイス識別子と一意なオブジェクト識別子との間のリンクを確立することを特徴とする。

【0027】

本発明の好ましい実施形態によれば、一意なデバイス識別子と一意なオブジェクト識別子との間のリンクを確立することは、一意なデバイス識別子と一意なオブジェクト識別子との間の関連付けをデータベースで保存することを含む。

【0028】

さらに、上記の方法に対応して、本発明は、一意なデバイス識別子を有するプログラマブル装置の権限を決定するための方法に関し、
集中型または分散型データベースから一意なデバイス識別子の有効なリンクのリストを検索し、
検索された有効なリンクのリストに従って一意なデバイス識別子にリンクされた１つまたは複数の一意なオブジェクト識別子を判定し、
１つまたは複数の決定された一意なオブジェクト識別子に関連付けられた１つまたは複数の権限をプログラマブル装置の権限として決定する。

【0029】

有効なリンクのリストの検索及びリンクされた一意なオブジェクト識別子及び関連する権限の決定は、それぞれ一意なデバイス識別子及び／または一意なオブジェクト識別子を用いてデータベースに照会することによって実行されてもよい。

【0030】

有効なリンクのリストは、プログラマブル装置で再現不能なセキュリティ装置を認証することで確立された全てのリンクの集合であり、より詳細には、リンクは上述の権限を獲得するための方法に従って確立される。無効なリンクはリストから省略することが可能であり、一意なデバイス識別子を有するプログラマブル装置の権限を決定するために、有効なリンクのみが検索されることが好ましい。

【0031】

以下、本発明について、後述する限定されるものではない好ましい実施形態を用いて、図面を参照しつつより詳細に説明する。

【図面の簡単な説明】

【0032】

【図1】図１は、本発明による権限を管理するシステムの概略図である。

【図2】図２は、一意に識別可能なオブジェクトと異なるプログラマブル装置との間の排他的リンクの経時的な変化を示す概略図である。

【図3】図３は、システムが同じ一意に識別可能なオブジェクトと複数のプログラマブル装置をリンクできることを除いて、図２と同様である。

【図4】図４は、異なるプログラマブル装置に対して時間制限された権限が割り当てられる様子を経時的に示す概略図である。

【図5】図５は、異なるプログラマブル装置に対して使い捨て（または限定アクセス）の権限が割り当てられる様子を経時的に示す概略図である。

【図6】図６は、本発明による方法の好ましい実施形態を示すフローチャートである。

【発明を実施するための形態】

【0033】

本発明は、権限２を管理するシステム１を有し、権限２は一意に識別可能なオブジェクト３に割り当てられる。一意に識別可能なオブジェクト３と一意に識別可能なプログラマブル装置（ＵＩＰＤ）５との間のリンク４は、特定の前提条件、少なくとも一意に識別可能なオブジェクト３と一意に識別可能なプログラマブル装置５との間の物理的な近接性の前提条件の下で確立される。確立されたリンク４は、一意に識別可能なプログラマブル装置５が一意に識別可能なオブジェクト３に割り当てられた権限２の少なくとも一部を利用できるようにする。物理的な近接性は、一意に識別可能なプログラマブル装置５の光学的認証手段、例えばカメラで取り込み、一意に識別可能なオブジェクト３の再現不能なセキュリティ装置６を認証することで確保される。画像は、例えば一意に識別可能なプログラマブル装置５で処理され、再現不能なセキュリティ装置６を認証するために使用される。前記再現不能なセキュリティ装置６は一意に識別可能なオブジェクト３に登録され、肯定的な認証結果は、一意に識別可能なオブジェクト３に取り付けられた、またはその一部である再現不能なセキュリティ装置６と一意に識別可能なプログラマブル装置５との間の物理的な近接性を証明する。

【0034】

好ましい設定において、一意に識別可能なオブジェクト３は、一意なオブジェクト識別子（ＯｂｊＩＤ）７を有する。本実施形態において、一意なオブジェクト識別子７はシリアル番号であり、該シリアル番号は暗号化されていてもよく、暗号で署名されていてもよい。同様に、一意なオブジェクト識別子を生成するために任意の他の方法が使用されてもよい。プログラマブル装置５は、例えば、ＭＡＣアドレス、ハードウェア・ハッシュ、またはハードもしくはソフトウェアソリューションのためのＵＩＤを生成する周知の類似の方法を介して、任意の適切な一意なデバイス識別子８によって識別されてもよい。

【0035】

権限２は、一意なオブジェクト識別子７を介して一意に識別可能なオブジェクト３に割り当てられる。好ましい設定において、権限２は、一意なオブジェクト識別子７と共に、一意に識別可能なプログラマブル装置５によってアクセスされるデータベース９に格納されてもよい。一意に識別可能なオブジェクト３と一意に識別可能なプログラマブル装置５との間に上述したリンク４が確立されると、一意に識別可能なプログラマブル装置５は、直ちにデータベース９の第１のテーブル１０に従って一意なオブジェクト識別子７を介して一意に識別可能なオブジェクト３に登録された権限２を利用することが正当化される。すなわち、権限２は一意に識別可能なプログラマブル装置５に「移される」。権限２及びリンク４は、抽象的な概念であるため、それらの性質及び特性はいくつかの実施例に基づいて（但し、これらに限定されない）、次のセクションで論じられる。

【0036】

リンク４の確立は、再現不能なセキュリティ装置６の少なくとも肯定的な認証結果によって制約される。適切なセキュリティ装置を選択する際には、いくつかの留意事項を考慮する必要がある。我々は、いくつかの攻撃シナリオを列挙し、それらから適切な製品認証技術の要件を決定する。第１に、セキュリティ装置は、コピー及び複製に対して耐性を有する必要がある。当然、セキュリティ装置がコピーまたは複製できる場合、複数のオブジェクトにコピーされたセキュリティ装置を容易に備えることができる。本発明では、セキュリティ装置が、特に一意なオブジェクト識別子７の真正性（したがって一意性）を検証するために使用される。これはセキュリティ装置がコピーまたは複製できる場合、理論的に、正当性が無い第三者が無制限に物理的なオブジェクトを発行し、全てが同じオブジェクト識別子７を共有し、全てがコピーされたセキュリティ装置のために、プログラマブル装置５とのリンクが可能であることを意味している。

【0037】

定義によれば、任意のセキュリティ装置は偽造可能である。良好なセキュリティ装置と不適切なセキュリティ装置とを区別するのは、資源／コストの問題にすぎない。セキュリティ装置は、それを偽造するためのコストが、該セキュリティ装置で保護されたオブジェクトの偽造エンティティを発行することで得られる金額よりも高い場合に安全であると考えられる。現在の利用事例において、セキュリティ装置の偽造は、偽造オブジェクト、すなわち偽造セキュリティ装置に基づいて確立された不正リンクを介して不正に取得された権限で得られる金額を超えるリソースを必要とすべきである。有益な設定では、一意なセキュリティ装置は（それらが定義によって再現可能であるため）設定が変化することが好ましい。静的な（変化しない）セキュリティ装置、特にオブジェクト識別子と無関係なものが使用されると仮定する。上述したように、オブジェクト識別子は、典型的にはシリアル番号または他の（デジタル）組み合わせであり、一般的に再現が容易である。その結果、セキュリティ装置がオブジェクト識別子と無関係な場合、オブジェクト識別子を自由に換えることが可能であり、不正に使用されたオブジェクト識別子で正当性の無い権限が登録される。オブジェクト識別子「１２３」は、基本的な権限にリンクされたオブジェクトを識別し、オブジェクト識別子「１２４」は、非常に高い権限を有するオブジェクトを識別すると仮定する。ここで、同じセキュリティ装置のエンティティがオブジェクト識別子「１２３」及び「１２４」を認証する場合、以下の攻撃シナリオが問題となる。有効なセキュリティ装置であり、より高い権限を有するオブジェクトよりも安価と推定される「１２３」で識別されるオブジェクトが購入される。そして、オブジェクト識別子が不正に「１２３」から「１２４」に変更される。静的なセキュリティ装置は、オブジェクト識別子「１２４」も認証するため、オブジェクト識別子「１２４」と一意に識別可能なプログラマブル装置との間のリンクを不正に作成することが可能であり、これにより登録された権限を利用できる。この攻撃の主な態様は、セキュリティ装置が２つ以上のオブジェクト識別子を認証するため、セキュリティ装置を偽造する必要がないことである。したがって、セキュリティ装置は、１つの特定のオブジェクト識別子を厳密に認証するように設計されなければならない。このようなセキュリティ装置は、しばしばユニークなセキュリティ装置と呼ばれる。本発明によれば、セキュリティ装置も再現不能である。そのような再現不能なセキュリティ装置６は、３次元及びランダム（または確率的）な特性を有することを特徴とする。さらに、再現不能なセキュリティ装置６は、データベース９の第２のテーブル１１に従って一意なオブジェクト識別子７に登録される。前記第２のテーブル１１は一意なオブジェクト識別子７と、対応する（例えば、添付された）再現不能なセキュリティ装置６のデジタル表現１２との間の関連付けを保存する。これは、特定のオブジェクト識別子７が、再現不能なセキュリティ装置６の特定のエンティティで保護されることを保証するために役に立つ。このような設定は、セキュリティを大幅に向上させる。再現可能または決定論的なセキュリティ装置が使用される場合、セキュリティ装置の不正な複製は、複数の一意に識別可能なオブジェクトへ不正に装備するために使用される可能性がある。再現可能なセキュリティ装置は、例えばデジタル的に生成される全てのセキュリティ機能、または複数のインスタンス間で共通の特性が認証に使用されるセキュリティ機能、例えばマイクロプリンティング、ウォーターマークあるいは静的（即ち、非ランダム）な光学可変装置である。さらに、再現可能なセキュリティ装置を使用することで、複数のオブジェクトに同じオブジェクト識別子及びセキュリティ装置を備えることが可能になり、セキュリティ装置の特性が知られている場合は一意性制約が無効になる。これらのプロパティは、正規の生産者が不正なクローン（例えば、汚職行為、二重生成）を発行するために、またはそれらが別のオブジェクトエンティティから再設計されたために、知ることができる。

【0038】

したがって、一意なオブジェクト識別子７に登録された再現不能なセキュリティ装置６は、各オブジェクトが実際に一意に識別できることを保証するために役に立つ。

【0039】

前記再現不能なセキュリティ装置６は、特殊な機器を用いることなく、簡易なカメラを用いた好ましい設定（この種のセキュリティ装置に限定されない）において、光認証手段（図示せず）で認証されるべきである。例えば、通常のスマートフォンのカメラを用いることができる。そのようなセキュリティ装置は既に知られている。従来の研究において、本発明者らは、そのようなセキュリティ機能を生成する方法を提示し（国際公開第２０１５／０７９０１４号を参照）、そのようなセキュリティ機能を認証するためのシステムを導入している（国際公開第２０１６／０３４５５５号）。さらに、そのようなセキュリティ装置を認証するための最適化されたシート状の製品と方法（欧州特許出願第１６１８８３５７．４号参照）を提示している。まとめると、そのような望ましい設定における再現不能なセキュリティ装置６は、特に異なる視点及び／または異なる光源から観測された場合に光学特性が変化する、ランダムに３次元で光学的に変更可能な特性を有する。カメラで少なくとも２つの異なる視点から少なくとも２つの画像を取り込ませることで、これらの特性をそれぞれの外観及び／または外観の変化の評価によって分析できる。この特性は、セキュリティ機能を写真複写に対して耐性があるようにするために重要である。含まれるランダム性は、そのようなセキュリティ装置の製造及び／または適用プロセスにおける製造公差に由来し、例えば、位置、分布及び／または光学的に変化する特性に現れる。これらのランダムな特徴を取り込み、分析し、それらのデジタル表現１２をオブジェクト識別子７に登録することで、再現不能なセキュリティ装置６を生成できる。このセキュリティ装置は、標準的なカメラで認証可能であることを特徴とする。例えば、ホログラムと呼ばれることが多い回折光学可変デバイス（ＤＯＶＩＤ）、またはレンチキュラ技術をここでは使用できる（但し、これらに限定されない）。さらに、製造公差における推計学に依存する他の技術を使用してもよい。特に、例えば米国特許出願公開第２０１５／０１８８７０６号または欧州特許出願公開第３１５４０１５号で示唆されているように、オブジェクト自体の少なくとも一部をセキュリティ装置として用いることを考慮できる。

【0040】

さらに、リンク４を確立するための追加の前提条件を導入できる。例えば、リンク４が特定の（地理的）エリアにおいてのみ確立できる場合、それはいくつかのアプリケーションにとって有用であり得る。これは、一意に識別可能なオブジェクト３が特定の位置にある場合にのみ付与される権限に等しい。オブジェクトの位置は、プログラマブル装置の位置に（物理的に近接性によって）対応するため、一意に識別可能なプログラマブル装置５によって決定されてもよい。もちろん、一意に識別可能なプログラマブル装置のセンサ、入力またはメモリから得られる他のデータも、リンク４を確立するためのより多くの前提条件または制約を追加するために使用できる。

【0041】

ここでは、一意なプログラマブル装置のデータを用いて、それをオブジェクトの「属性」に変換するため（物理的に近く、一意に識別可能なプログラマブル装置のデータがオブジェクトの属性に対応するため)、セキュリティ装置が、認証装置、すなわち一意に識別可能なプログラマブル装置と実際に物理的に近い場合にのみ、セキュリティ装置を認証できることが特に重要である。

【0042】

したがって、本システムでは、なりすまし検知を採用することが有利である。なりすまし攻撃において、例えばカメラで評価された３次元（光学的）セキュリティ特徴がビデオに記録される可能性がある。ビデオは、デジタルファイル共有手段によって転送されてプログラマブル装置５で提示される。例えば、一意に識別可能なプログラマブル装置のカメラの前でビデオを再生することは、システムを錯覚させる可能性があるため、再生を検出することは特に問題となり得る。あらゆる手段のなりすまし検知を利用することが可能であり、例えばバイオメトリックセンサ（虹彩認識）を用いた画像処理の分野で知られる、適用可能ないくつかの方法がある。

【0043】

全ての適用可能な前提条件が満たされると、一意に識別可能なプログラマブル装置５は、認証の成功をデータベース９に通知し、一意なオブジェクト識別子７と一意なデバイス識別子８との間の関連性として表される、新しいリンク４がデータベース９の第３のテーブル１３に作成される。
権限とリンク
オブジェクト３に登録された権限２を、オブジェクト識別子７を介して一意に識別可能なプログラマブル装置５でアクセス可能にするため、例えば物理的な製品によって形成された一意に識別可能なオブジェクト３とプログラマブル装置５との間に有効なリンク４が確立される。例えば、別の一意に識別可能なプログラマブル装置が物理的な製品と接続したために、またはリンクの有効期間が経過したためにリンク４が無効となった場合、一意に識別可能なプログラマブル装置５は権限２を失う。別の見方は、物理的な製品がキーとしての役割を果たし、デジタルコンテンツまたはプログラマブル装置のコンピュータプログラムの実行をアクティブにする、またはアンロックすることである。

【0044】

リンク４のようなリンクには、それらの有効性に関して様々なモードがある。リンクの有効性は、プログラマブル装置（この場合は図示されない）で、またはリンク１３の表またはレコードで管理することが可能であり、リンク１３は集中型または分散型データベース９に置くことができる。例として、図２～５は、時間１４における簡略化されたリンクシーケンスと、異なる時点における集中型または分散型データベース９内の対応するデータとを示している（簡略化のため、リンク４を保存するデータベース９の１つのテーブル１３のみが示されている）。

【0045】

（リンクのレコードは例示目的のために保存されていることに注意されたい。無効なリンクはグレーの取り消し線で示されている。しかしながら、実際のアプリケーションでは、これらのレコードを分析目的で保存し、リンクの状態を示す「有効」フラグを維持することも有益である。)
図３で示すように、永久リンクは、基本的に確立されたリンク４のリスト１５を維持する。これは、プログラマブル装置５がオブジェクト識別子７と一意なデバイス識別子８とに基づいてリンク４を確立すると、それが直ちに有効となり、そのまま維持されることを意味する。したがって、一意なデバイス識別子８「Ａ」を有するプログラマブル装置５が認証時刻１６にリンクを確立すると、同時にリンク４が確立される。同様に、有効なリンクのリストは、一意なデバイス識別子８「Ｂ」を有するプログラマブル装置５のためのエントリを用いて、その後の認証時間１７において書き直される。したがって、データベース９で保存される有効なリンク４のリスト１５は永続的に増加し、リンク履歴を記録する。これは、例えば追跡及びトレースソリューションまたはスキャン履歴等のサプライチェーン管理などに利用できる。したがって、リンク４を確立した各プログラマブル装置５には、オブジェクトが常に存在しない（したがって、物理的に閉じている）場合でも、オブジェクト識別子７に登録された権限２が永続的に付与される。

【0046】

プログラマブル装置とオブジェクトとの間に最大でもあるＮ個のリンクが確立される場合、数量制限リンクが使用されてもよい。図２は、最大でもＮ＝１の一意に識別可能なプログラマブル装置がオブジェクトにリンクできる特別な場合を示している。この特別な場合は、一意に識別可能なオブジェクト３の所有権を主張する一意に識別可能なプログラマブル装置５として見ることができる。もちろん、１つのプログラマブル装置５が（有効なリンク４を有することで）一意に識別可能なオブジェクト３に対する所有権を主張する限り、他のプログラマブル装置５はそうすることができない。一意なデバイス識別子８「Ａ」を有するプログラマブル装置５が認証時刻１６に有効なリンク４を確立した場合、このリンク４はデータベース９で保存される。その後、一意なデバイス識別子８「Ｂ」を有する別のプログラマブル装置５が、その後の認証時刻１７において有効なリンク４を確立する場合、一意なデバイス識別子８「Ａ」を有する、これまでリンクされていたプログラマブル装置５は、一意に識別可能なオブジェクト３からリンクが解除され、オブジェクト識別子７とデバイス識別子８「Ａ」との間のリンク４が無効になる。そして、新しいリンク４が追加され、オブジェクト識別子７と異なるプログラマブル装置５のデバイス識別子８「Ｂ」との間に有効なリンク４が形成される。適用分野に応じて、異なる戦略を使用することができる。「所有権の主張」を使用する場合、データベース９に有効なリンクが既に存在する場合、新しいリンク４の確立を許可しないことがむしろ有益である。その結果、「Ａ」で識別されるプログラマブル装置５（第１のプログラマブル装置）とオブジェクト識別子７との間のリンク４は、「Ａ」で識別される一意に識別可能なプログラマブル装置のユーザによって取引のために無効化／消去／クリアされる必要がある。その場合、同様に、「Ｂ」で識別されるプログラマブル装置５（第２のプログラマブル装置）は、同じオブジェクト識別子７に対する新たなリンク４を確立することができる。このモードにより、プログラマブル装置５を、そのデバイス識別子８を介して一意に識別可能なオブジェクト３に、永続的に一意にリンクすることが可能である。その結果、権限２は、それが一意に識別可能なオブジェクト３を「所有する」場合、すなわち一意なオブジェクト識別子７とデバイス識別子８との間に有効なリンク４が存在する場合にのみ、特定のプログラマブル装置５に与えられる。

【0047】

図４で示されるように、限定アクセスリンク４は、権限２を利用または実行することを、使い捨てまたは限定された、予め定義された回数１９のみ可能とし、オブジェクト識別子７に割り当てられた１つ以上の権限２は、一意に識別可能なプログラマブル装置５で利用できる。図４は、厳密に１回の権限２の使用が許可される使い捨て実行モードを示している。リンク４は、権限が必要とされる、認証時間１６、１７とアクションの終了との間で有効である。リンク４は、権限２に基づいて実行されたアクションが停止した時刻２０、２１に無効となる。同様に、権限２の複数の利用が許可される場合、利用カウンタは集中型または分散型データベース９及び／またはプログラマブル装置５自体で維持されればよい。

【0048】

図５で示すように、時間制限されたリンク４は、確立された後、所定の有効期間２２でのみ有効である。それらが認証時間１６、１７で確立されると、有効期間２２内で有効性が維持される。この期間中、権限２は所望の頻度で、すなわち一般的には複数回１９、利用または行使できる。その有効期間２２の後、リンク４は（好ましくはプログラマブル装置５との対話を必要とせずに）無効に設定され、プログラマブル装置５は有効期間２２が終了する時刻２３、２４で権限２を失う。これは、（図示されていない）非同期サービスによって非同期で行うことが可能であり、非同期サービスは集中型または分散型のリストまたはデータベース９の有効なリンク４のリスト１５を監視して管理する。有効なリンクのリスト１５が一意に識別可能なプログラマブル装置自体で維持される場合、そのようなサービスは、そこで動作できる、あるいは例えば時間制約によりリンクの無効が検出され、権限２を利用または行使する次の試みで動作できる。

【0049】

一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間のリンクは、必ずしも直接的なリンクではなく、接続された中間リンクを備えていてもよいことに留意することがさらに重要である。好ましい実施形態において、前記リンクは、一意に識別可能なオブジェクトとユーザアカウントとの間の第１の中間リンクと、前記ユーザアカウントと一意に識別可能なプログラマブル装置との間の第２の中間リンクとを備える。この場合、ユーザアカウントは、一意に識別可能なオブジェクトと一意に識別可能なプログラマブル装置との間の媒体として機能する。ユーザアカウントは、１つ以上の一意に識別可能な装置に登録される（すなわち、第２の中間リンクが既に確立されている）。リンクを確立するために、権限は一意に識別可能なオブジェクトからユーザアカウントに「移される」だけでよい（すなわち、第１の中間リンクを確立してリンクを完了する)。前記ユーザアカウントを示すように構成された、一意に識別可能なプログラマブル装置の各々は、ユーザアカウントに登録された権限にアクセスまたは実行することができる。これにより、ユーザアカウントから別の一意に識別可能なプログラマブル装置へ権限を移送または共有することが可能になる。ここでの主な考慮する事項は、一意に識別可能なプログラマブル装置が壊れる可能性である。その結果、確立されたリンクは一意に識別可能なプログラマブル装置によって取引のためにクリアされるが、単に他のデバイスが新しいリンクの確立を許可されていることを宣言する方法がないため、装置が壊れると直ぐにフリーズする可能性がある。ユーザアカウントは、この問題を克服するために役に立つ。

【0050】

同時に、最大でも１つのプログラマブル装置が特定の物理的な製品（一意に識別可能なオブジェクトを形成する）に接続できるという事実により、広範囲のアプリケーションが現れる。
・所有権の主張。１つのプログラマブル装置が物理的な製品に接続またはリンクされている場合、該プログラマブル装置は該製品を「所有する」。その結果、別のプログラマブル装置が（リンクを確立することで）該製品に接続する場合、所有権を獲得する。当然ながら、ここで規則を定義しなければならず、例えば、プログラマブル装置は、他のプログラマブル装置が接続されていない、または新しい接続が古い装置を自動的にキャンセルする場合に限り、物理的な製品に接続できる。技術的には、有効なリンクのプールを、好ましくは集中型データベースで維持しなければならない。
・短期的な効果。物理的な製品とプログラマブル装置との間のリンクは、それが停止する一定期間だけ有効である。プログラマブル装置は、物理的な製品に登録されたデジタルコンテンツに一定期間だけアクセスできる。このタイムスパンが経過した場合、例えば別のタイムスロットを得るために製品を再びスキャンすることができる。かなり簡単な例は、２４ｈ Ｗｉ－Ｆｉ－Ａｃｃｅｓｓであり、これは、物理的に制限された領域、例えばホテルの部屋に位置するトークンとして動作する製品をスキャンすることで起動される。
・物理的に制限されたトークン。物理的に制限された領域に物理的なオブジェクトを配置する。物理的に制限された領域の許可された人だけがトークン・オブジェクトを認証することが可能であり、これらの人だけがあるデジタルサービスにアクセスすることが許可される（すなわち、物理的なオブジェクトへのリンクを介して前記サービスにアクセスする権限を取得する）。
利用事例
以下のセクションは、本発明及び本発明を利用することで利益を得る、または利益を得ることが可能になる現在の利用事例の理解を助けるものである。２つの主要な利用事例カテゴリー及び関連する利点がある。第１に、コンピュータプログラムの実行を遂行またはトリガする権限は物理的なオブジェクトの存在を必要とし、第２に、物理的な世界とデジタルの世界との間の安全なブリッジを確立することが可能であり、オブジェクトは、オブジェクトのデジタル表現を動作させるコンピュータプログラムにアクセスする権限に登録される。要約すると、これはコンピュータネットワークが非コンピュータオブジェクトのデジタル表現と相互作用することを可能にする。

【0051】

ライセンスコンテナ。一意に識別可能な物理オブジェクトは、ライセンスコンテナとすることができる。物理的な製品を販売するのではなく、その原材料を販売し、該原材料の購入者に形状を変化させるライセンスを与える場合を考える。より具体的には、３Ｄインクを考える。ある会社が３Ｄインクを販売する場合、インクパッケージ（＝一意に識別可能なオブジェクト）は、前記再現不能なセキュリティ装置６及びオブジェクト識別子７を備えることができる。例えば、３Ｄプリンタ（またはそれに取り付けられたコンピュータ）が本発明のプログラマブル装置５として構成される場合、インクパッケージは、特定の３Ｄモデル（＝権限）にアクセス（及び印刷）するためのライセンスを譲渡できる。この場合、これらのモデルは、オブジェクト識別子７で識別される特定のインクの購入者のみアクセスが可能である。これは、特定の３Ｄモデルに適合する特定の高品質のインク材料を提供するブランドを、より低品質（より安価な）インク材料で模倣されることから保護できる。その結果、該３Ｄモデルは、整合するインクを用いてのみアクセスが可能である。この利用事例は、特定のデジタルコンテンツ、例えばコンピュータプログラムを特定の物理的なオブジェクトと組み合わせる場合にのみアクセス可能でなければならない、任意の利用事例に適合させることができる。別の典型的な例は、物理的なファンの物品、例えばコンピュータゲーム内に存在する剣を販売することであってもよく、物理的な物品の購入者はコンピュータゲーム（コンピュータプログラム）における自分のユーザまたはキャラクタを一意に識別可能な物理的なオブジェクトにリンクすることが可能であり、ゲーム内でこの剣のデジタル表現を使用する権限を得る。

【0052】

本発明は、物理的なオブジェクトのデジタル所有権を主張する可能性を提供する。その結果、デジタル所有権を移すことは、物理的なオブジェクトを移すことも拘束することがある。物理的な取引のそれぞれは、オブジェクトの現在のデジタル所有権の状態をチェックすることで検証できる。顕著な例は、中古自転車または中古自動車（物理的なオブジェクト）である。これらのオブジェクトは窃盗の常習対象であり、中古自転車または中古自動車の購入者は、盗まれたものを購入するか否か、すなわち販売者が正規の所有者ではない、または正規の販売者がこの自動車を販売しているか否かを知ることができないことが非常に多い。この例では、工場新車の購入者は本手段による所有権を主張することが有益である。正規の所有者は、彼または彼女が一意に識別可能なプログラマブル装置５（または一意に識別可能なプログラマブル装置に関連するアカウント）を一意に識別可能な物理オブジェクトとリンクしている。彼が彼の車を販売しようとする場合、彼は主張していた所有権を解放する、すなわち彼は彼の一意に識別可能なプログラマブル装置５とのリンクを無効にする。購入する前に、購入者は一意に識別可能なプログラマブル装置５を用いて自動車（物理的なオブジェクト）の所有権を主張するようにアドバイスされる、すなわち購入者は自分が購入する物理的なオブジェクトに自分のプログラマブル装置５リンクする。例えば、所望の物理的なオブジェクトとは別に一意に識別可能なプログラマブル装置５との間に有効なリンクが依然として存在するために所有権を主張できない場合、取引が不正であること、すなわち該自動車が盗まれた自動車であり得ることを示している。望ましい設定、すなわち全ての車または少なくとも特定のブランドの全ての車に本発明を備えるという設定では、これは空白が存在しない所有履歴が得られることを意味する。新しい自動車の所有権が主張されない限り、すなわち有効なリンクが登録されない限り、物理的な商品の取引を、該取引を行う前に購入者によって容易にチェックできるため、盗んだ商品の取り扱いの困難性を大幅に増大させることができる。

【0053】

取引に関しては、取引ログとしてシンプルに所有者履歴を維持してもよく、または公正性を確保する他の取引構成を、リンク、例えばブロックチェーンを保存するためのデータベースとして利用してもよく、このリンクはレコードを保持する集中型（信頼できる）データベースの代わりに複数のプログラマブル装置５に分散させることもできる。

【0054】

別の（図示されていない）例は、オンラインショッピングにおけるオンライン支払いサービスの代替手段を構築できる。さらに、ここでの最大の利点は、購入者と信頼できない販売者との間の取引、またはその逆、すなわち中古品の取引に関するものである。この場合、データベース９は信頼できる仲介者として機能する。販売者は有効なリンク４を介して一意に識別可能なオブジェクト３を正当に所有し、リンク４を、オブジェクトを移す準備ができていることを知らせる状態に設定する。取引ＩＤを発行することが可能であり、この取引ＩＤは、電気通信手段によってオブジェクトの購入者に譲渡できる。購入者は、購入者のプログラマブル装置５及び取引ＩＤにリンクされた、信頼できる仲介者に金銭を預け入れることができる。信頼できる仲介者は、販売者に金銭が自由になることを通知し、これにより、販売者は、例えば郵便サービスを介して実際に物理的なオブジェクトを購入者に配送できる。この時点で、金銭は信頼できる機関で自由に使えるようになり、物理的なオブジェクトの所有権を主張できる、厳密に１つの一意に識別可能なプログラマブル装置が予め登録されている。他の全てのリンクは、信頼できる仲介者によって受け入れられない、すなわち違法な第三者が所有権を主張することはできない。物理的なオブジェクトを購入者が受領すると、購入者はその状態をチェックし、満足できる場合は所有権を主張できる、すなわち購入者は自身の一意に識別可能なプログラマブル装置５をオブジェクト識別子７にリンクすることができる。新しいリンク４の確立は、処理された金銭を販売者へ移すための、信頼できる仲介者のトリガとなり、取引が完了する。購入者は、受け取った商品の状態が満足できない場合、それを販売者に送り返すことができる。販売者は、その返却要求を受け取ると、再び所有権を主張することで、物理的な商品の受け取りを確認できる。これにより、信頼できる仲介者、すなわちデータベース９は処理された金銭を購入者に返送し、販売者はオブジェクトを再び自由に処分できる。この設定は、二人の契約者が直接接触しない、すなわち取引を直ぐに中止または検証できない、任意の購入／支払いプロセスに移動させることができる。

【0055】

一意に識別可能なプログラマブル装置とオブジェクトとの間の物理的な近接性を必要とすることで可能になる他の利用事例が現れる。そのため、オブジェクトに適用される物理的な制約は、割り当てられた権限の利用または実行を同時に制約する。例えば、ライブコンサートのプレイバックは、観客の人々にのみアクセス可能でなければならない。これは、チケットを購入した人だけが物理的にアクセスできる、固定されたオブジェクトをコンサートホールに配置することで実現できる。人々は、彼らが一意に識別できるプログラマブル装置５、すなわちスマートフォンを、オブジェクト識別子７を介して固定されたオブジェクトにリンクさせることができる。リンク４が作成されると、固定された一意に識別可能なオブジェクト３にリンクされた特定のプログラマブル装置５は、ライブコンサートのレコード（ファイルまたはストリームにアクセスする権限）にアクセスできるが、物理的なアクセス制御のために、固定されたオブジェクトにリンクできない他の装置からレコードにアクセスすることは不可能である。この利用事例では、一意に識別可能なプログラマブル装置５と物理的なオブジェクトとの間の物理的な近接性が、一意に識別可能なプログラマブル装置５に権限の行使（例えば、コンピュータプログラムを実行する、ファイルまたはデータベースにアクセスする、または音楽あるいはビデオストリームを再生する）を可能にする実現手段（enabler）で任意のアプリケーションに普及させることができる。その結果、例えばコンピュータプログラムの実行は、物理的な制限手段を用いて権限を付与するオブジェクトに制限できる。これは、コンピュータプログラムを特定の一意に識別可能なプログラマブル装置５で実行できるため、キーとして働く少なくとも物理的なオブジェクトが移動することを必要とするため、コンピュータプログラムの起動のためにも使用できる。その結果、本発明は、ソフトウェアの起動のために再現不能な物理的なトークンを用いることでソフトウェアの不正なコピーを防ぐために利用できる。
本発明のさらなる利用事例
・本発明によるデビットカード（一意に識別可能なオブジェクト）を用いて権限を取得することによるデビットカード支払いの認証
今日の多くの支払いソリューションにおける最新技術である３桁のセキュア・コード及び「～まで有効（valid-until）」の照合手順よりもはるかに強力である。（デビットカードが実際に所有者から盗まれていなくても）デビットカードの不正使用を防止する。これは、現在、番号を知るだけで明らかに起こり得る。
・物理的なアクセス制限（例えば、クラウド内の文献のロックを外すプライベートキー)
ユーザは、特定のデジタル許可、アクセスドキュメント等を得るために、自身の一意に識別可能なプログラマブル装置に近い物理キー（一意に識別可能なオブジェクト）を持つ必要がある。これは、ドキュメントを物理的なトークンと近いデバイスに対してのみアクセス可能にできるため、クラウド内にドキュメントを格納することを控えることに対して対抗するために利用できる。この物理的なトークンが、例えば金庫内にある限り、誰も文書を開くことができず、これはより詳細には、上述したコンサートの利用事例に広範囲に対応する。
・物理的なトークン、すなわち一意に識別可能なオブジェクトが存在する場合の物理的なデジタル権利管理／アクセス媒体
例えば、マーケティング戦略は以下のようであってもよい。ユーザがサービスにアクセスし（写真を撮り、それを飲料用缶に格納し）、ユーザが同じ飲料用缶をスキャンするたびに、該ユーザは写真を再び見ることができる（画像ファイルにアクセスする権限を取得する）。飲料用缶を持たないと、彼らは写真を再び見ることができない。したがって、写真（＝記憶、感情）は物理的なオブジェクトで「保存」され、オブジェクトの感情的価値を強化する。
・サポートの権利またはサポート契約の有効性
ユーザは、オリジナル商品を購入したことを証明することで、ソフトウェアのサポート／メンテナンス等のサービスを享受する権利（特典）を証明する。すなわち、それらは、オリジナルの製品または製品パッケージング（一意に識別可能なオブジェクト）に近い場合にのみ、それらの一意に識別可能なプログラマブル装置を用いてサポートを獲得できる。
・工業用機械パラメータ
オリジナルツール、すなわちドリル等のためのカーバイドインサートを購入するとき、ユーザは、包装をスキャンすることで、例えば、ドリル速度等及び／または機械が自動的にそれ自体を調整するなどの最適な機械パラメータにアクセスすることが可能になる。これは、上述した３Ｄインク利用事例と同様である。

【0056】

図６は、本発明の方法の好ましい実施形態を示している。図６は、ユーザが、該ユーザの一意に識別可能なプログラマブル装置を用いて典型的な「アクションＡ」を実行することを望むときに備える主要なステップを示している。このアクションは、例えばコンピュータプログラムの実行、文献へのアクセス等である。このアクションは、ユーザがそれを実行する権限を持つことを必要とする（すなわち、このアクションはそれを実行する一意に識別可能なプログラマブル装置に関するアクセス制限を適用する）。第１のステップ１０１において、一意なオブジェクト識別子７及び再現不能なセキュリティ装置６がプログラマブル装置５によって取り込まれる、すなわち、一意なオブジェクト識別子及び再現不能なセキュリティ装置６の少なくとも１つの画像が、例えばプログラマブル装置５のカメラによって取得される。次のステップ１０２において、取り込まれたデータに基づいて再現不能なセキュリティ装置６が認証される。具体的には、少なくとも取り込まれた画像からデジタル表現が抽出される。再現不能なセキュリティ装置６を認証する１つの可能性は、一意なオブジェクト識別子を用いてデータベースから再現不能なセキュリティ装置のデジタル表現のリファレンスを要求すること（１０３）（すなわち、一意なオブジェクト識別子に関連するデジタル表現についてデータベースに問い合わせること）、取り込まれた画像から再現不能なセキュリティ装置６の特徴を抽出すること（１０４）、再現不能なセキュリティ装置６のデジタル表現を決定すること、並びに該デジタル表現を、要求したリファレンスと比較することである。この比較が成功した場合（１０５）(すなわち、比較が一致したと判定した場合)、一意に識別可能なプログラマブル装置と一意に識別可能なオブジェクトとの間の物理的な近接性が確保される。必要に応じて、再現不能なセキュリティ装置を認証する前にさらなる前提条件（プログラマブル装置の地理的位置または他のセンサ読み取り値が所定の許容範囲内にあるなど）が評価されてもよい（１０６）。セキュリティ装置が認証できない場合、新たなリンクを確立することなく、手順は取り消される。続いて、一意に識別可能なオブジェクト３と一意に識別可能なプログラマブル装置５との間で新しいリンクが許可されているか否か、すなわちリンクが可能であるか否かがチェックされる（１０７）。これは、例えば１つの装置のみがオブジェクトに登録されて既に有効なリンクが存在する場合、１０６のケースではない。本実施例では、新しいリンクが許可されるか否かを判定するために、一意なオブジェクト識別子７を用いて許可されたリンクモードがデータベースから要求される（１０８）。リンクモードは、例えば、永久リンク、一時リンク、数量制限リンク、使い捨てリンク等のリンクポリシーを定義している。決定されたリンクモードに関連する場合、一意なオブジェクト識別子７を有する既存のリンクがデータベースから要求される（１０９）。リンクモード及び必要に応じてこの要求結果に基づき、新しいリンクが許可されているか否かが判定される（１１０）。リンクが許可されている場合（１１１）、次のステップ１１２において、一意なデバイス識別子８と一意なオブジェクト識別子７との間の関連性をデータベース９で保存することでリンクが確立される。一意なオブジェクト識別子７に関連付けられた権限２は、一意に識別可能なプログラマブル装置５で自由に利用される。ここで、ユーザがアクションＡを実行しようとする場合、一意に識別可能なプログラマブル装置５にリンクされた全ての権限が調査される（１１３）、すなわち少なくとも１つの権限がアクションＡを実行してもよいという許可であるか否かが調査される。例えば、プログラマブル装置の一意なデバイス識別子を有する全てのリンク４に基づいて、リンクされた一意なオブジェクト識別子及びこれらのリンクされた一意なオブジェクト識別子に関連付けられた権限が決定される（１１４）。次に、関連する権限がプログラマブル装置に移され（１１５）、それらがアクションＡを実行する権限を含むか否かが判定される（１１６）。これが１１６のケースの場合、例えば、実行されているコンピュータプログラムまたは一意に識別可能なプログラマブル装置を介してトリガされるサービスまたはアクションである、アクションＡがプログラマブル装置５によって実行できる（１１７）。判断１０２、１０７、１１３のいずれかのケースが失敗した場合、アクションＡを実行できず、一意に識別可能なプログラマブル装置は、何が間違っていたか、またはアクションＡを実行できない理由を示すメッセージまたはエラーコードを表示（１１８）すればよい。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】