FR2863745A1 - Memoire pour etiquettes rfid adaptee pour recevoir une commande de desactivation - Google Patents

Abstract

La présente invention concerne une mémoire pour étiquettes sans contact de type RFID adaptée pour recevoir une commande de désactivation. Cette mémoire en circuit intégré comprend un groupe de mots mémoires adaptés pour stocker un identifiant de l'étiquette et accessibles en écriture via une commande normalisée d'écriture, et comprend en outre au moins un mot mémoire supplémentaire adapté pour stoker une valeur de désactivation permettant d'empêcher la lecture et/ou l'émission de l'identifiant en réponse à un signal d'interrogation radio.

Description

MEMOIRE POUR ETIQUETTES RFID ADAPTEE POUR RECEVOIR UNE

COMMANDE DE DESACTIVATION

La présente invention concerne de manière générale les mémoires pour les étiquettes RFID (de l'anglais Radio Frequency IDentification ) utilisées notamment pour permettre la traçabilité des produits. Plus particulièrement, elle concerne une telle mémoire adaptée pour recevoir une commande de désactivation.

Une nouvelle génération d'étiquettes de très petites tailles (de l'ordre de 1000 m de côté) permet la traçabilité non plus d'une gamme de produits, mais de chaque produit individuellement. Un exemple d'étiquette RFID est présenté à la figure 1. Sans source d'énergie propre, elle comporte une antenne 2 et un circuit électronique 3 incluant une mémoire dans laquelle est stocké un identifiant propre à chaque produit. Une étiquette RFID est un émetteur/récepteur télé alimenté par un champ radio 10 d'une unité d'interrogation distante 4. Elle émet l'identifiant stocké en réponse à un message d'interrogation contenu dans un signal radio 20 reçu de l'unité d'interrogation 4.

La mémoire servant à coder l'identifiant peut être une mémoire, par exemple, de 64 bits, de type OTP (de l'anglais One Time Programmable ) ou de type EEPROM (de l'anglais Electrically Erasable Programmable Read Only Memory ).

Une telle mémoire est typiquement organisée en mots mémoires, l'ensemble de ces mots formant le plan mémoire. Un mot mémoire est constitué d'un certain nombre de cellules mémoires adjacentes, stockant chacune un bit, et placées sur une même ligne du plan mémoire. Un mot mémoire comprend typiquement 8 cellules, dont le contenu (i.e. un octet) est appelé mot binaire. En règle générale, on écrit et/ou on lit un octet à la fois, en adressant le mot mémoire correspondant. On peut également lire ou écrire plusieurs mots mémoires à la fois, dans un mode d'accès appelé mode page.

Sous la pression des organisations de consommateurs, le besoin existe de pouvoir neutraliser une étiquette ou du moins de la rendre anonyme, lorsque le besoin de traçabilité du produit n'existe plus. Différentes possibilités existent pour rendre l'étiquette inapte à communiquer, et donc totalement indétectable par un signal radio d'interrogation.

On peut envisager de casser l'étiquette, notamment par une destruction mécanique, ce qui sous-entend cependant un contact direct avec l'étiquette. On peut également la détruire électriquement, par exemple en appliquant une tension suffisamment élevée pour claquer un fusible dans l'étiquette, cette opération nécessitant néanmoins une énergie difficile à transférer sans contact.

Une autre possibilité consiste à altérer les informations contenues dans la mémoire. En effet, les travaux actuels du laboratoire Auto ID , regroupant plusieurs universités et entreprises du secteur électronique, portent sur une commande permettant d'inscrire une certaine valeur dans la mémoire de l'étiquette, laquelle valeur rend l'étiquette définitivement inapte à communiquer (voir l'article disponible en ligne à l'adresse http://www.eetimes.com/story/OEG20030428SO074).

Ainsi, on peut par exemple envisager de mettre tous les bits de la mémoire de l'étiquette, à une valeur nulle. La mémoire est alors réinitialisée. Elle peut donc être réécrite. L'étiquette devient certes anonyme mais ne demeure pas moins active, i.e. opérationnelle. En particulier, elle peut continuer à émettre une réponse à un signal d'interrogation, ce qui rend sa présence détectable.

En outre, il peut être utile de ne pas effacer l'identifiant de l'étiquette, afin de faciliter par exemple le diagnostique d'un problème lorsque, pour une raison ou une autre, une étiquette ne répond plus sans pour autant avoir été volontairement désactivée.

Un objet de la présente invention est de proposer une mémoire pour étiquette RFID capable d'être désactivée définitivement à la suite d'une commande de désactivation, et donc d'être rendue indétectable, sans pour autant modifier le contenu de la mémoire contenant l'identifiant stocké.

A cet effet, l'invention propose une mémoire en circuit intégré, pour étiquette sans contact de type RFID, comprenant un groupe de mots mémoires adaptés pour stocker un identifiant de l'étiquette et accessibles en écriture via une commande normalisée d'écriture, et comprenant en outre au moins un mot mémoire supplémentaire adapté pour stocker une valeur de désactivation permettant d'empêcher la lecture et/ou l'émission dudit identifiant en réponse à un signal d'interrogation radio émis par une unité d'interrogation distante.

Le mot mémoire supplémentaire peut avantageusement être accessible en écriture seulement par une commande d'écriture spécifique, laquelle est différente de la commande d'écriture normalisée. Ainsi l'écriture de la valeur de désactivation ne peut être confondue avec l'écriture de l'identifiant de l'étiquette.

De préférence, la mémoire comprend un module de gestion adapté pour vérifier la valeur stockée dans le mot mémoire supplémentaire, dès que l'étiquette est suffisamment télé alimentée par une unité d'interrogation distante et pour placer l'étiquette dans un état désactivé lorsque la valeur est égale à la valeur de désactivation.

Alternativement, le module de gestion est adapté pour vérifier la valeur stockée dans le mot mémoire supplémentaire en réponse à la réception d'un message d'interrogation, et pour empêcher la lecture et/ou l'émission de l'identifiant lorsque ladite valeur est égale à la valeur de désactivation.

L'invention propose également un procédé pour désactiver définitivement une étiquette sans contact de type RFID contenant une mémoire en circuit intégré. La mémoire comprend un groupe de mots mémoires adaptés pour stocker un identifiant de l'étiquette et accessibles en écriture via une commande normalisée d'écriture. Le procédé comprend une étape d'écriture d'une valeur de désactivation dans un mot mémoire supplémentaire différent du groupe de mots mémoires. La valeur de désactivation stockée dans le mot mémoire supplémentaire est adaptée pour empêcher la lecture de l'identifiant en réponse à un signal radio d'interrogation émis par une unité d'interrogation distante.

D'autres caractéristiques et avantages de l'invention apparaîtront encore à la lecture de la description qui va suivre. Celle-ci est purement illustrative et doit être lue en regard des dessins annexés sur lesquels: - la figure 1 est un schéma illustrant le principe de télé alimentation d'une étiquette; - la figure 2 est un schéma d'un exemple de réalisation d'une mémoire selon l'invention; - la figure 3 est un schéma d'un exemple de réalisation d'une étiquette RFID comprenant la mémoire selon l'invention; - la figure 4 est un diagramme d'étapes d'un premier mode de fonctionnement d'un module de gestion de la mémoire selon l'invention; et, - la figure 5 est un diagramme d'étapes d'un second mode de fonctionnement du module de gestion de la mémoire selon l'invention.

La figure 1 a déjà fait l'objet d'une description en introduction cidessus.

Une mémoire peut être organisée en plusieurs zones mémoires. Une première zone est réservée pour stocker l'identifiant de l'étiquette, et est appelée zone UID ( User IDentification ). Une ou plusieurs autres zones mémoires peuvent être présentes également, et sont alors disponibles pour un autre usage à définir par l'utilisateur. On appelle zone USER une telle zone mémoire.

Un exemple de réalisation d'une mémoire selon l'invention est représenté schématiquement à la figure 2. La mémoire 30 contient 128 bits, répartis sur deux zones identiques en taille. D'une part, une zone UID de 64 bits, soit 8 mots mémoires WO à W7 de 8 bits chacun, qui est réservée pour stocker l'identifiant de l'étiquette RFID. D'autre part, une zone USER, comprenant 8 mots mémoires W8 à w15, de 8 bits chacun, est destinée à stocker des informations additionnelles. La mémoire comprend donc au total 16 mots mémoires de 8 bits chacun.

Les 8 bits des 16 mots mémoires sont également organisés en 8 colonnes CO à C7. Une colonne supplémentaire C8 est utilisée pour stocker un bit déterminé, dit bit de verrouillage (LOCKBIT), selon les spécifications de la norme ISO15693. Un bit de verrouillage est associé à chaque mot mémoire. Ainsi, chaque mot mémoire est verrouillable en écriture, grâce au bit de verrouillage de la colonne C8. Avant chaque commande d'écriture d'un mot binaire, le contenu du bit de verrouillage associé au mot mémoire adressé est vérifié, et si il est déjà à une valeur 1 (état dit programmé), la commande d'écriture est abandonnée. S'il est à la valeur 0, le mot binaire est enregistré, et le bit de verrouillage est programmé à la valeur 1. Si la mémoire peut être lue à de nombreuses reprises, elle ne peut par contre être écrite qu'une seule fois, d'où l'appellation WORM ( Write Once Read Many ) ou OTP.

Afin de réaliser la commande de désactivation capable de désactiver la mémoire selon l'invention, un mot mémoire spécifique RES est réservé dans la zone USER (mots mémoires W8 à W15), par exemple le dernier mot W15 dans l'exemple de la figure 2. Il est destiné à recevoir un mot binaire particulier correspondant à une valeur déterminée dite valeur de désactivation KILL. Ainsi, en pratique, seuls les mots mémoires W8 à W14 sont disponibles pour stocker des informations utilisateurs.

Une étiquette est considérée dans l'état désactivé si le contenu du mot mémoire RES est égal à la valeur KILL.

Les commandes sur les mots mémoires sont également normalisées. Elles sont du type: < OP Code, adresse, data> où : - OP Code désigne un code commande ( OPeration Code ), - adresse est l'adresse du mot mémoire dans la mémoire 30, data est la donnée à écrire dans le mot mémoire On notera que le champ data n'est présent que si le code de 20 commande correspondant à une opération d'écriture.

L'écriture dans la zone UID et dans la zone USER, s'opère à partir de la commande d'écriture normalisée correspondant par exemple au code commande 21 dans la norme ISO 15693 en vigueur. Cette commande est appelée WRITE_NORM dans la suite de l'exposé. D'après la norme, il existe toutefois d'autres commandes d'écriture, du type Ai , qui sont réservées pour le fabricant.

Dans un mode de réalisation de l'invention, les mots mémoires WO à W7 de la zone UID, ainsi que les mots mémoires W8 à W14 de la zone USER, sont programmables par la commande d'écriture normalisée WRITE_NORM.

On peut envisager de programmer le mot mémoire spécifique RES par cette même commande d'écriture normalisée WRITE NORM. Cependant il est préférable de ne rendre le mot mémoire RES adressable que par une commande d'écriture particulière WRITE_KILL, distincte de la commande d'écriture normalisée WRITE_NORM. L'utilisation de la commande normalisée WRITE_NORM en ce qui concerne le mot mémoire spécifique est alors sans effet.

Cet adressage du mot mémoire réservé RES uniquement par la 5 commande spécifique WRITE_KILL permet d'éviter toute désactivation par erreur de l'étiquette.

Par exemple, la commande normalisée WRITE_NORM 21, OF, 00 reste inopérante, alors que la commande spécifique WRITE_KILL Al, OF, 00 permet d'implémenter la désactivation de l'étiquette, où Al est par exemple le code commande de la commande spécifique WRITE_KILL conformément à une implémentation de la norme ISO15693 ( Ai pour les commandes fabricant comme vu précédemment), et où 00 est par exemple la valeur de désactivation KILL. Comme pour la commande d'écriture normalisée WRITE_NORM, le bit de verrouillage 31 attaché au mot mémoire RES de la figure 2 est programmé à la valeur verrouillée 1 une fois la commande WRITE KILL exécutée. Le mot mémoire RES devient donc verrouillé en écriture.

La figure 3 montre un exemple de circuit électronique contenu dans l'étiquette RFID. Le circuit 3 est couplé à l'antenne 2 pour la réception du signal radio 20 en provenance de l'unité d'interrogation. Un module d'alimentation 11 est destiné à l'extraction de la tension continue d'alimentation du circuit à partir du signal radio. Un dispositif de neutralisation 12, ou dispositif POR (de l'anglais Power on Reset ) permet de maintenir le circuit électronique à l'état inactif (non alimenté) tant que la tension d'alimentation n'a pas atteint un niveau seuil suffisant pour assurer l'intégralité des fonctions du circuit électronique. Un module de réception 13 est chargé d'extraire un message d'interrogation ou tout autre commande du signal radio lorsque l'unité d'interrogation émet une telle commande. Un module d'émission 14 est quant à lui chargé de l'émission d'un message de réponse de l'étiquette à un message d'interrogation. Un processeur ou plus simplement un circuit de contrôle 15 en logique câblée remplit la fonction d'unité centrale de traitement CPU de l'étiquette et gère notamment la mémoire 30 en écriture et en lecture. Les modules 13 et 14 ainsi que le circuit 15 forment un module de gestion GEST.

D'une manière générale, le module de gestion GEST gère les opérations d'écriture/lecture dans la mémoire 30 de l'étiquette 1. Il gère en particulier l'écriture de l'identifiant dans la zone UID ou d'autres informations dans la zone USER au moyen de la commande normalisée WRITE_NORM. Il verrouille ensuite le ou les mots mémoires concernés en programmant à la valeur 1 le bit de verrouillage correspondant. Il gère aussi l'écriture, au moyen de la commande spécifique WRITE_KILL, de la valeur de désactivation dans le mot mémoire spécifique RES lorsque le signal radio inclut la commande de désactivation. Comme pour la commande d'écriture normalisée, il assure aussi le verrouillage du mot mémoire RES une fois que la valeur de désactivation est écrite dans ce mot mémoire. En résumé, en réponse à une commande d'écriture, normalisée ou spécifique, le module de gestion effectue l'écriture puis verrouille le mot mémoire adressé une fois l'écriture terminée, sans possibilité ultérieure d'effacement ou de réécriture. Le module GEST gère aussi les commandes de lecture et en particulier la commande de lecture de l'identifiant stocké dans la zone UID, qui est l'objet d'un message d'interrogation.

L'une des fonctions du module GEST est, selon l'invention, d'assurer la vérification de l'état de la mémoire spécifique RES, par exemple selon l'un ou l'autre des algorithmes illustrés par les diagrammes d'étapes des figures 4 et 5, respectivement. Il s'agit en réalité de s'assurer, à différentes étapes du fonctionnement de l'étiquette RFID, si elle se trouve ou non dans l'état désactivé.

La figure 4 illustre un premier mode de mise en oeuvre possible de l'algorithme implémenté par le module de gestion GEST en particulier pour le traitement d'un message d'interrogation de l'identifiant de l'étiquette. L'étiquette, lors de son entrée progressive dans le champ radio de l'unité d'interrogation, doit d'abord être suffisamment alimentée par télé alimentation avant que l'exécution de toute opération soit autorisée. Le contrôle 41 de cette condition est réalisé par le dispositif POR de la figure 3, disposé en amont du circuit électronique 3 de l'étiquette. Un tel dispositif est actif tant que l'alimentation de l'étiquette n'est pas suffisante pour assurer le fonctionnement de tous les composants de l'étiquette.

Dans une étape 42, mise en oeuvre par exemple dès que le dispositif POR devient inactif c'est-à-dire une fois que le niveau de tension d'alimentation est suffisant, mais avant la mise en service proprement dite du circuit électronique de l'étiquette, le module GEST lit le contenu du mot mémoire spécifique RES. Si le mot mémoire RES contient la valeur de désactivation KILL, alors le circuit n'est pas mis en service, et l'étiquette est mise dans un état désactivé 43, i.e. un état dans lequel elle ne peut pas répondre au message d'interrogation. L'étiquette est alors indétectable. Si le contenu de la mémoire spécifique RES n'est pas la valeur de désactivation KILL, alors le module de gestion GEST peut exécuter normalement la séquence d'étapes prévue pour une interrogation de l'étiquette, à savoir la réception 44 du message d'interrogation, suivie de l'exécution 45 de la commande de lecture dans la zone UID, et enfin l'émission 46 de l'identifiant. Cette séquence peut être répétée à plusieurs reprises en fonction de la commande portée par le signal radio.

La figure 5 illustre un second mode de mise en oeuvre possible de l'algorithme implémenté dans le module de gestion GEST. Dans cette variante, le contenu de la mémoire spécifique RES est vérifié avant l'exécution de chaque commande. Après son entrée dans le champ radio et une fois qu'elle est suffisamment alimentée (i.e. une fois que le dispositif POR détermine, dans une étape 51, que la tension d'alimentation a atteint un niveau suffisant pour que le dispositif POR soit désactivé), l'étiquette peut recevoir un message d'interrogation (étape 52). En réponse, le module GEST lit la valeur stockée dans le mot mémoire spécifique RES et la compare à la valeur de désactivation KILL dans une étape 53. Si le mot mémoire RES contient la valeur de désactivation KILL, alors la commande reçue n'est pas exécutée. En particulier, l'étiquette ne répond pas à un message d'interrogation contenu dans le signal radio. On peut aussi prévoir que la commande est exécutée mais que, s'il s'agit d'une commande d'interrogation, l'identifiant de l'étiquette n'est pas émis en réponse. L'étiquette est donc indétectable. Si le contenu de la mémoire spécifique RES n'est pas la valeur de désactivation, alors le module de gestion GEST exécute normalement la séquence d'étapes prévues, à savoir l'exécution 54 de la commande reçue, et enfin l'émission 55 de l'identifiant s'il s'agit d'une commande d'interrogation par exemple. Cette séquence peut être répétée à plusieurs reprises en fonction de la commande portée par le signal radio.

Dans un autre mode de réalisation de l'invention, on peut implémenter une sécurité supplémentaire grâce à laquelle la commande WRITE-KILL n'est exécutable qu'après la présentation d'un mot de passe émis par l'unité d'interrogation distante ou qu'après l'authentification mutuelle avec l'unité d'interrogation distante, ceci afin d'éviter tout usage non autorisé de cette commande.

On peut effectivement envisager par exemple que le module de gestion GEST ne puisse exécuter la commande WRITE-KILL qu'après la réception d'un mot de passe PSW émis par l'unité d'interrogation distante. Ainsi, l'écriture au moyen de la commande spécifique WRITE-KILL de la valeur de désactivation reste inopérante tant qu'elle n'a pas été précédée par la réception d'un signal radio contenant un mot de passe PSW reconnaissable par l'étiquette et qui permet de déverrouiller la commande WRITE-KILL. Ainsi, l'étiquette est adaptée pour reconnaître une unité d'interrogation distante qui est autorisée à la désactiver. L'opération de désactivation de l'étiquette par la commande WRITE KILL peut alors suivre le déroulement décrit précédemment.

On peut également envisager une authentification mutuelle entre l'unité d'interrogation distante et l'étiquette qui permet à l'étiquette de reconnaître une unité d'interrogation distante autorisée à la désactiver. Une fois l'authentification mutuelle réalisée, par toute méthode connue, l'opération de désactivation par la commande WRITE_KILL peut suivre le déroulement décrit précédemment.

En raison par exemple d'un défaut ou d'une erreur, une étiquette peut avoir été placée dans l'état désactivé sans l'exécution d'une commande de désactivation WRITE_KILL, i.e. la valeur de désactivation peut avoir été écrite par erreur dans le mot mémoire spécifique W15. C'est pourquoi on peut alors prévoir une commande de réactivation permettant de réactiver l'étiquette afin d'analyser les causes de la désactivation. Cette commande permet de réactiver l'étiquette, au moins le temps d'une mise sous tension, afin de permettre la vérification du contenu des différentes zones mémoires (UID et USER) d'une mémoire selon l'invention. On peut prévoir la protection par un mot de passe de cette commande de réactivation afin d'en limiter l'usage aux seules personnes autorisées (notamment le fabricant).

Dans un mode de réalisation avantageux, on prévoit en outre la possibilité d'écrire avec la commande spécifique WRITE_KILL une information autre que le mot binaire KILL, dans le mot mémoire spécifique RES. Ceci permet d'empêcher définitivement l'utilisation de la commande de désactivation. En effet, comme le bit de verrouillage est programmé à la valeur 1 après l'écriture de la mémoire spécifique, il n'est alors plus possible d'écrire la valeur de désactivation dans le mot mémoire RES. Dit autrement, l'étiquette ne peut plus être désactivée.

Claims (12)

REVENDICATIONS

1. Mémoire en circuit intégré, pour étiquette sans contact de type RFID, comprenant un groupe de mots mémoires (UID) adaptés pour stocker un identifiant de l'étiquette et accessibles en écriture via une commande normalisée d'écriture (WRITE_NORM), comprenant en outre au moins un mot mémoire (RES) supplémentaire adapté pour stocker une valeur de désactivation (KILL) permettant d'empêcher la lecture et/ou l'émission dudit identifiant en réponse à un signal d'interrogation radio émis par une unité d'interrogation (4) distante.

2. Mémoire selon la revendication 1, dans laquelle ledit mot mémoire supplémentaire est accessible en écriture seulement via une commande d'écriture spécifique (WRITE_KILL), différente de ladite commande d'écriture normalisée.

3. Mémoire selon la revendication 1 ou 2, comprenant en outre un module de gestion (GEST) adapté pour vérifier la valeur stockée dans le mot mémoire supplémentaire, dès que l'étiquette est suffisamment télé alimentée par l'unité d'interrogation distante, et pour placer l'étiquette dans un état désactivé lorsque ladite valeur est égale à la valeur de désactivation.

4. Mémoire selon la revendication 1 ou 2, comprenant en outre un module de gestion (GEST) adapté pour vérifier la valeur stockée dans le mot mémoire supplémentaire en réponse à la réception d'un message d'interrogation, et pour empêcher la lecture et/ou l'émission de l'identifiant lorsque ladite valeur est égale à la valeur de désactivation.

5. Mémoire selon l'une quelconque des revendications 2 à 4, dans laquelle le module de gestion est adapté pour commander l'écriture dans le mot mémoire supplémentaire en réponse à la commande d'écriture spécifique, sans possibilité d'effacement ou de réécriture ultérieur.

6. Mémoire selon l'une quelconque des revendications 2 à 5 dans laquelle la commande d'écriture spécifique est adaptée pour n'être exécutable qu'après réception par l'étiquette d'un mot de passe (PSW) émis par l'unité d'interrogation distante ou qu'après authentification mutuelle entre l'étiquette et l'unité d'interrogation distante.

7. Procédé pour désactiver définitivement une étiquette sans contact de type RFID, comprenant une mémoire en circuit intégré, ayant un groupe de mots mémoires (UID) adaptés pour stocker un identifiant de l'étiquette et accessibles en écriture via une commande normalisée d'écriture (WRITE_NORM), le procédé comprenant une étape d'écriture d'une valeur de désactivation (KILL) dans un mot mémoire supplémentaire (RES) différent dudit groupe de mots mémoires, ladite valeur de désactivation dans ledit mot mémoire supplémentaire étant adaptée pour empêcher la lecture et/ou l'émission dudit identifiant en réponse à un signal d'interrogation radio émis par une unité d'interrogation (4) distante.

8. Procédé selon la revendication précédente, suivant lequel l'écriture dans le mot mémoire supplémentaire ne peut être réalisée que par une commande d'écriture spécifique (WRITE_KILL) différente de la commande d'écriture normalisée.

9. Procédé selon la revendication 7 ou 8, suivant lequel la valeur stockée dans le mot mémoire supplémentaire est vérifiée dès que l'étiquette est suffisamment télé alimentée par l'unité d'interrogation, et suivant lequel l'étiquette est placée dans un état désactivé si ladite valeur est égale à la valeur de désactivation.

10. Procédé selon la revendication 7 ou 8, suivant lequel la valeur stockée dans le mot mémoire supplémentaire est vérifiée en réponse à la réception d'un message d'interrogation, et suivant lequel la lecture et/ou l'émission de l'identifiant sont empêchées si ladite valeur est égale à la valeur de désactivation.

11. Procédé selon l'une quelconque des revendications 8 à 10, comprenant en outre une étape pour commander l'écriture dans le mot mémoire supplémentaire en réponse à la commande d'écriture spécifique, sans possibilité d'effacement ou de réécriture ultérieur.

12. Procédé selon l'une quelconque des revendications 8 à 11, suivant lequel la commande d'écriture spécifique est adaptée pour n'être exécutable qu'après réception par l'étiquette d'un mot de passe (PSW) émis par l'unité d'interrogation distante ou qu'après authentification mutuelle entre l'étiquette et l'unité d'interrogation distante