JP2021524117A - 電子マーキング - Google Patents

Abstract

物体の真正性の検証のための電子マーキング（１）であって、電子マーキングは、アンテナ（２）、アナログトランシーバ回路（３）、マイクロコントローラ（４）、及び少なくとも１つのセキュア暗号プロセッサ（５）を備え、アンテナ（２）はアナログトランシーバ回路（３）に接続され、マイクロコントローラ（４）はアナログトランシーバ回路（３）及び少なくとも１つのセキュア暗号プロセッサ（５）の両方に接続され、少なくとも１つのセキュア暗号プロセッサ（５）は、デジタル署名を安全に生成するために構成され、電子マーキング（１）は、１又は複数の電子センサ導電体（７、１３、３１）を有し、少なくとも１つのセキュア暗号プロセッサ（５）は、センサ導電体（７、１３、３１）の少なくとも１つに接続され、また少なくとも１つの接続されたセンサ導電体の少なくとも１つの電気特性を特定するように構成され、１つ又は複数の電子センサ導電体（７、１３、３１）は、アンテナ（２）と違っており、また少なくとも部分的にアンテナ（２）と重なるように配置される。

Description

本発明は、物品の真正性の検証のための電子マーキングに関しており、アンテナと、アナログトランシーバ回路と、マイクロコントローラと、少なくとも１つのセキュア暗号プロセッサとを備え、該アンテナは、アナログトランシーバ回路に接続され、該マイクロコントローラは、前記アナログトランシーバ回路に、及び該少なくとも１つのセキュア暗号プロセッサに接続され、また、該少なくとも１つのセキュア暗号プロセッサは、デジタル署名を安全に生成するために構成される。更にまた、本発明は、そのような電子マーキングの、初期化のための方法及び妥当性確認（正当性確認）のための方法に関する。

アンテナは、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）又はＲＦＩＤのアンテナであり得る。該マーキングは、物体、物品又は製品に適用することができ、又は統合されることができ、ここで、マーキングの真正性及び完全性は、同じ電子マーキングが偽造の物品に、気付かれずに移転されることができない場合、その物体、物品又は製品の真正性を裏付ける。本発明の目的は、該マーキングに、可能な限り高いセキュリティを提供することである。該マーキングの安全性は、該マーキングがそれの完全性を転送中に損なうことなく別の物品にコピーされ又は転送されることができるか、に依存する。

実際上はコピーの可能性を排除するために、マーキングは（装置）、セキュア暗号プロセッサを含み、該セキュア暗号プロセッサは、デジタル署名を安全に生成するために構成される。このようなセキュア暗号プロセッサは、公知の技術である。これらは、本質的に特殊化された集積デジタル回路であり、該集積デジタル回路は耐タンパー性であって、外部環境からの（読み取り又は書き込みのための）不正なアクセスに対して、物理的なセキュリティ対策によって保護されていることを意味する。暗号プロセッサは、例えば、スマートカード又はハードウェアセキュリティモジュールにおいて、これに格納されている秘密鍵が検索されることを妨げるために使用される。生成されるデジタルシグネチャは、暗号プロセッサに接続されたマイクロコントローラ、及び該マイクロコントローラに接続された電子マーキングのアンテナを介して送信されることができ、また、受信器によって無線で検証されることができる。しかしながら、暗号プロセッサは、マーキングされた物品から該デジタルシグネチャが分離されることを防止できず、また該デジタルシグネチャが別の（例えば、偽造の）物品に移転されることを防止できない。

既知の電子セキュリティ対策は、保護対象へのアクセスを防止すること、及び該保護対象とのいかなる電子的接触を防止することを目的とする。このカテゴリは、特に、暗号プロセッサのセキュリティ対策を含む。攻撃者は、保護された対象物の構造的な完全性を維持することに関心があり、なぜなら、例えば、この攻撃者は、暗号プロセッサに格納されたデータを、該攻撃者が該データを破壊することが起こったら、読み取ることができないからである。

ＵＳ８４１８９１７Ｂ１は、このようなセキュリティ対策の例を示しており、そのセキュリティ対策は電子マーキング用の読み取りユニットを保護するためのものである。しかしながら、記載された電子マーキングは、それ自体、保護されていない。

ＵＳ２０１５／０９７５７２Ａ１は、ハウジングを保護する電子セキュリティ対策を示す。しかしながら、該文献は、無線を使って（アンテナを持つ）読み取り可能なマーキングを開示しない。

電子回路のセキュリティ対策に関する技術的な詳細は、例えば、オリバー ケマーリング（Ｏｌｉｖｅｒ Ｋｏｅｍｍｅｒｌｉｎｇ）及びマーカス ジー クーン（Ｍａｒｋｕｓ Ｇ． Ｋｕｈｎ）による出版物「耐タンパー性スマートカードのための設計原理（“Ｄｅｓｉｇｎ Ｐｒｉｎｃｉｐｌｅｓ ｆｏｒ Ｔａｍｐｅｒ−Ｒｅｓｉｓｔａｎｔ Ｓｍａｒｔｃａｒｄ Ｐｒｏｃｅｓｓｏｒｓ”）」（ＵＳＥＮＩＸ Ｗｏｒｋｓｈｏｐ ｏｎ Ｓｍａｒｔｃａｒｄ Ｔｅｃｈｎｏｌｏｇｙ、Ｃｈｉｃａｇｏ、Ｉｌｌｉｎｏｉｓ、ＵＳＡ、Ｍａｙ １０−１１、１９９９）。

本発明の目的は、あるマーキングされた（marked）物品、対象物、又は製品から別の物品、対象物、又は製品へ、無線を用いて検証可能な電子マーキングを転送することを困難にすることである。

導入部に記載されたタイプの本発明の電子マーキングでは、電子マーキングが１又は複数の電子センサライン（センサラインの配置は、また、「センサメッシュ」とも呼ばれる）を備えるようになされ、ここで、少なくとも１つのセキュア暗号プロセッサは、少なくとも１つのセンサラインに接続され、また少なくとも１つの接続されたセンサラインの少なくとも１つの電気特性（「フィンガープリント」）を特定するために構成され、ここで、１又は複数の電子センサラインは、アンテナと違っており、また、少なくとも部分的に該アンテナと重なるように配置される。この文脈において、重なり合う配置とは、以下のことを意味する：少なくとも１つのセンサラインの本質的に平坦な配置が、アンテナの少なくとも１つの列、又はアンテナの列によって取り囲まれる表面で、幾何学的に、（一方が他方の上又は下に）重なり合されて覆い又は部分的に重なること。

このようなマーキングに対する潜在的な攻撃は、該マーキングを偽造品に移すことである。ここで、攻撃者は、マーキングの構造を、該マーキングを転写できるように、変更することに関心を持っている。本発明は、総称的なマーキングを持つアンテナが相対的に露出された方法で配置されなければならないという事実、及び（無線通信を妨げないように）プラスチックによってただ保護されることができるという事実を利用する。アンテナは、したがって、このようなマーキングの転移において頻繁な攻撃点の典型となり、なぜなら、アンテナは、比較的容易に切り離すことができ、また、同一の又は新しい同等のアンテナが、引き続き、移転された回路に再接続されることができる。本マーキングの革新は、暗号プロセッサによって確実にされるコピーセキュリティに加えてマーキングの転送性がより困難にされる方法にある。ここでは、アンテナへの攻撃者のアクセス、及びアンテナとの電子的な接触は、重要ではない。

電子センサライン又は複数の電子センサラインは、アンテナの表面を覆って分散され、又は表面にわたって延びる。これらのラインは、好ましくは、アンテナに接続されてない。暗号プロセッサがその性質を直接に特定するという点において、測定が元（コピーではない現物）に対して実行されまた読み出されることが妨げられ、またマイクロコントローラーが、そのとき、シミュレータに置き換えられる。直接に接続すると、該測定を、測定結果の改ざんの危険を冒すこと無しに観測することができず、この測定結果の場合では、暗号プロセッサを無効にし得て、例えばリセットし得る。

発明の構成で達成された保護は、アンテナが、コイル、具体的にはプリントされたコイル（プリントコイル）である場合、特に有効であり、ここで、もう一つの電子センサラインは、アンテナのコイル領域内に少なくとも部分的に配置されている。該もう一つの電子センサラインの配列は、好ましくは、コイルの全体の輪郭にわたって延在する。この場合、気づかれないでコイルを開け又は遮断することは可能ではない。

少なくとも１つのセキュア暗号プロセッサは、好ましくは、少なくとも１つのセンサラインの抵抗、キャパシタンス、又はインダクタンスを特定するように設計される。抵抗測定は、１又は複数のセンサラインの任意の遮断を検出でき；キャパシタンス又はインダクタンスの測定は、また、センサラインの幾何学的形状における変化に敏感であり得る。

電子マーキングが少なくとも２つのセンサラインを含む場合、特に有益であることが明らかにされており、また少なくとも１つのセキュア暗号プロセッサは、２つ又はより多くのセンサライン間の結合を特定するように構成される。このような結合は、多くの電気的パラメータ（ライン長、離間距離、抵抗）に依存しており、その結果、センサライン配置の誤り無しに再構成することは、いったん破られれば、実用上不可能である。代替的又は追加的に、少なくとも１つのセキュア暗号プロセッサは、１又は複数のセンサラインとアンテナとの間の結合を特定するように設計されることもできる。

マーキングの残りの部分からのセンサラインの分離を避けるために、電子マーキングが少なくとも２つのセンサラインを有すると共に該少なくとも２つのセンサラインが電子マーキングの少なくとも２つのセンサ層内に配置される場合に、有利である。一旦分離されたセンサ層を完全に結合することは、多大な労力を必要とするであろう。

該アンテナが、更なるアンテナ層内に配置され、更なるアンテナ層は少なくとも２つのセンサ層と違うものであって、少なくとも１つのセンサ層が、好ましくは、アンテナ層の各側に設けられる場合、アンテナは、特に十分に保護されると共に気付かれすに置き換えされることができず、つまり、センサラインの電気特性において、暗号プロセッサによって特定されるような検出可能な変更なしに置き換えされることができない。

好ましい実施例によれば、少なくとも１つのセキュア暗号プロセッサは、暗号プロセッサに格納されたデジタル鍵に基づきデジタル署名をセキュアに生成するように設計される。代替的又は追加的に、センサラインの「フィンガープリント」は、固有の識別、及び例えば、デジタル鍵のための暗号シード（種値）の基礎として使用されることができる。

電子マーキングの再構成及び部分的な移転のプロセスをより困難にする目的で、該１又は複数の電気センサラインを永久的に監視するために電子回路が構成されるように準備でき、また、電気供給の中断の場合又は１若しくは複数の電子センサラインの変更の場合に、電子回路が該デジタル鍵を破壊（例えば、削除する）するように準備できる。

アンテナは、好ましくは、電子マーキングへ、特にマイクロコントローラへ（例えば、誘導結合によって）ワイヤレス電力供給するように構成されることができる。加えて、少なくとも１つのセキュア暗号プロセッサが、同様に電力供給されることができ、又は、別個の電源を手段として供給されることもできる。

特に、永久的監視の文脈においては、印刷電池の形態の電源を電子マーキングが有することが有利であると証明されており、印刷電池は、少なくとも１つのセキュア暗号プロセッサに電力を供給するように構成されている。

保護されるべき物体、物品、又は製品に電子マーキングを適用するために、電子マーキングは、マークされるべき物体（有価物又は製品）に電子マーキングを書き添える目的のために、接着面を有することができる。特に、該接着面は、アンテナ及び他の構成要素を持つ基体、好ましくは可撓性の基体、の一方の面上に配置されることができる。

本発明は、さらには、物体への電子マーキングの適用の後における、上記のような電子マーキングの初期化の方法に関係しており、本発明は：該１又は複数の電気センサライン（「センサメッシュ」）の少なくとも１つの電気特性を測定するステップと；該測定された電気特性を電子マーキングの保護されたメモリに格納するステップと；格納の後に、該保護されたメモリへの書き込みアクセスを不活化するステップとを含む。このようにして、該保護されたメモリと該センサラインとの間の安全で検証可能な関連付けが確立される。

最後に、本発明は、また、上記のような電子マーキングの妥当性確認のための方法に関係しており、本発明は：該1又は複数の電子センサライン（「センサメッシュ」）の少なくとも１つの電気特性を測定するステップと；保護されたメモリに格納された電気特性をロードする（読み込む）ステップと；該１又は複数の電気センサラインの少なくとも１つの測定された電気特性と該少なくとも１つのロードされた電気特性とを比較するステップと；所定の許容範囲外の偏差が該比較された電気特性の間において検出された場合に、電子マーキングを無効にするステップとを含む。電子マーキングを無効化することは、暗号プロセッサに記憶されたデジタル鍵の、例えば、破壊（例を挙げると、改変、又は削除）を含んでもよい。

この文脈においては、妥当性確認の過程では、電子回路の第２デジタル鍵は、１又は複数の電子センサラインの永続的な監視のためのものであって、正当であると確認されることは有益であり、ここで、第２デジタル鍵の妥当性確認が失敗した場合に、電子マーキングが無効にされる。該常時監視の過程で第２デジタル鍵が破壊される（例を挙げると、削除される又は変更される）場合、結果として電子マーキングは無効にされる。

本発明は、特に好ましい実施例に基づいて引き続くものにおいて、また図面を参照して、説明され、ただし該実施例へ限定されるべきではない。ここでは、具体的には：

図１は、暗号プロセッサ及びセンサラインを持つ電子マーキングの実施例の第１形態を概略的に示す図面である。 図２は、追加の第２センサラインを持ち、図１の実施例における第１形態に類似する、実施例の第２形態を概略的に示す。 図３は、基板、２つのセンサ層、及びそれらの間のアンテナ層を持ち、図２の断面線ＩＩＩ−ＩＩＩに沿って取られた図２における実施例の第２形態の層状構造を概略的に示す。 図４は、暗号プロセッサがアンテナを介して自発的に電力供給される状態で、実施例の第３形態を概略的に示す図面である。 図５は、暗号プロセッサに電力供給する印刷電池を持つ実施例の第４形態を概略的に示す図面である。 図６は、簡略化した様式で、電子マーキングの初期化の方法の本質的なステップを示す。 図７は、簡略化した様式で、電子マーキングの妥当性確認の方法の本質的なステップを示す。 図８は、論理ゲートを介して接続された多様なセンサラインを持つ実施例の第５形態を概略的に示す図面である。

図１は、電子マーキング１の実施例の第１形態を示す。電子マーキング１は、アンテナ２と、アナログトランシーバ回路３と、マイクロコントローラ４（一般にはディジタル回路）とを有する。これらの構成要素は、従来のＲＦＩＤ（無線周波数識別）トランスポンダからの公知技術であり、当業者に慣れ親しまれている。アンテナ２は、ＲＦＩＤアンテナのように６つの巻線を有し、これらは螺旋状に配置される。言うまでもなく、しかしながら、アンテナ２の他の配置もまた可能であり、例えば、本質的に三角形、正方形、又は長方形の形状である。アンテナ２は、例えば、印刷プロセスによって製造されることができる。アンテナ２は、コイルを形成し、また交流磁界の印加及びその結果として生じる誘導によって、関連付けられたアナログトランシーバ回路３内に交流電圧の生成を可能にする。この交流電圧は、トランシーバ回路３及びマイクロコントローラ４の両方に電力供給するために使用されることができ、その結果、それらの動作は、独立したエネルギ供給に必ずしも依存しない。このようなマーキングは「受動的」として指称され、なぜならトランシーバ回路３及びマイクロコントローラ４は、エネルギ供給なしに動作させられることができないからである。従来のＲＦＩＤトランスポンダとは対照的に、本マーキングは、識別のためだけでなく、マーキングの完全性の認証及び証明のために、並びにマーキングされた物体に適切に取り付けられる場合に、マーキングされた物体の真正性のためにも役立つ。

この目的のために、電子マーキング１は、また、セキュア暗号プロセッサ５と、いわゆる「センサメッシュ」６とを有する。セキュア暗号プロセッサ５は、後者にセキュアに格納された（つまり、読み取り不能な）第１デジタル鍵を用いて、デジタル署名をセキュアに生成するために構成される。本実施例の第１例では、センサメッシュ６は、第１センサライン７を備える。異なる線種間を区別するために、アンテナ２は連続線として示され、また第１センサライン７は破線として示される。センサライン７は、複数の交差点８をその進路に沿って有する。これらの交差点８において、互いに交差する線分は、センサライン７が短絡しないように電気的に絶縁される。交差点８において、センサライン７は、複数の封入コイル面９、１０、１１を有しており、各々は異なる回転方向を持つ。コイル表面９から１１は、アンテナ２のコイル表面１２と部分的に重なり合い；センサメッシュ６（すなわち、１又は複数の電子センサライン）は、アンテナ２のコイル表面１２に部分的に配置される。

センサライン７は、暗号プロセッサ５に接続されており、またアンテナ２と違っており、アンテナ２及びトランシーバ回路３の両方と、更にはマイクロコントローラ４と重なる。回路３、４からのアンテナ２のいかなる分離も、これ故に、センサライン７の中断を必要とするであろう。センサライン７のコース（方向）及び／又は長さは、ランダムな方法でマーキング１の製造中に特定されることができ、その結果、センサメッシュ６（すなわち、１つ以上の電子センサライン）の電気特性は、マーキング１毎に個々である。

暗号プロセッサ５は、センサライン７の少なくとも１つの電気特性、例えば、電気抵抗及び／又はインダクタンスを特定できる。任意選択的に、暗号プロセッサ５は、例えば、外部の交流磁界に関する情報を使用することができ、該磁界は、トランシーバ回路３によって、例えば、供給されることができるものであって、また磁界をセンサライン７に誘導される交流電圧の時間プロファイルと比較することができる。このようにして、誘起された交流電圧は、センサメッシュ６の電気特性の間接的尺度として使用されることができる。こうして得られた情報は、次いで、十分な一致があればセンサメッシュ６の完全性を確立すると共に対応する完全性信号を暗号プロセッサ５に接続されたマイクロコントローラ４に送信するように、暗号プロセッサ５によって格納された基準値と比較されることができる。この完全性信号は、完全性情報の真偽を検証可能にするために、暗号プロセッサ５に記憶されたプライベートデジタル鍵の署名でしっかり施錠されることができる。マイクロコントローラ４は、引き続き、署名付き完全性信号をトランシーバ回路３及びアンテナ２を介して外部受信器（図示せず）に送信することができ、この受信器は、電子マーキング１の検証のために設計される。完全性信号は、任意選択的に、センサメッシュ６の特定された電気特性を含むことができ、従ってマーキング１の認証に追加的に使用されることができる。

アンテナ２と同様に、センサライン７はまた、プリント処理によって、例えば生産されることができる。ここで、センサライン７は、具体的に設けられた層にプリントされ、アンテナ２の上方において絶縁され、また次いで、センサライン７への不用意な損傷を回避するように組み込まれる。ここで、アンテナ２は、機械的に比較的堅牢な基体と、センサライン７を有する層との間に配置されることができる。これは、アンテナ２の任意の操作がセンサライン７に変更を生じさせて、従ってマーキング１の完全性が気付かずに破られないことを確実にする。

図２及び図３に示す実施例の第２形態は、実施例の第１形態と比較して、増加した機械的感度を持つ電子マーキング１に対応する。実施例の第１形態に関連して説明される共通の構成要素については、同じ参照記号を使用すると共に、繰り返しを回避するために上記文への参照を為す。これらの共通構成要素に加えて、図２における電子マーキング１のセンサメッシュ６は、（鎖線として図式され）第２センサライン１３を有する。センサメッシュ６の両センサライン７、１３は、暗号プロセッサ５に接続される。また、第１センサライン７の交差点８及びコイル表面９〜１１に関連する上記文は、同様に第２センサライン１３に類似の態様で当てはまる。この例では、暗号プロセッサ５は、２つのセンサライン７、１３の間の結合を特定するように設計される。この目的のために、本件は、例えば、第１センサライン７に交流電圧を印加できると共に第２センサライン１３に誘起された交流電圧を測定できる。

マーキング１の機械的完全性を破ることへの感度を高めるために、センサライン７、１３は、異なるセンサ層１４、１５に配置され、また埋め込まれる。アンテナ２は、別の層に、すなわち、センサ層１４、１５と違うアンテナ層１６内に設けられる。この層状複合体１７は、２つのセンサ層１４，１５及びアンテナ層１６から構成されたものであって、基体１８上に配置されている。ここでは、基体１８は、意図されたようにマーキング１が使用されるときにセンサライン７，１３の配置の再現性が完全性の検証に十分である該再現性が得られるように、選択される。基体１８の一方の面上であって、該面が層状複合体１７に対向して位置する該面上には、例えば両面接着フィルムの形態での接着面を任意選択的に適用することができ、これを用いて、マーキングされるべき対象物上に電子マーキング１を貼り付けることができる。

アンテナ層１６は、２つのセンサ層１４、１５の間に配置される。この手段によって、アンテナ層１６及び該層中に配置されたアンテナ２へのアクセスは、２つのセンサ層１４、１５のうちの少なくとも１層の先立つ機械的な操作の後に可能なだけである。いずれにせよ、センサライン７、１３が該操作の過程において損傷され又は中断される場合、又は２つのセンサライン７、１６のうちの１つの幾何学的配置が変更される場合、そのような操作は、対応するセンサライン７、１３の電気特性の変更によって検出され、また合図されることができる。加えて、本センサ層に使用された層材料に依存して、任意の操作が、層材料の量又は材料組成における変更がある場合であっても、例えばインダクタンス又はキャパシタンスの電気特性における変更を手段として、検出されることもできる。

一般的に言えば、本開示の文脈では、インダクタンス及びキャパシタンスの電気的特性は、個々の測定値を指すだけでなく、周波数依存及び／又は時間依存のプロファイル又は機能を指しており；つまり、該プロファイル又は機能は、外部交流場の周波数に及び／又は測定に先立つ使用において励起された交流場の周波数に基づいており、また、該周波数へのそれぞれの測定値の依存性を例えば表し、又は一般的には該依存性を考慮に入れる。

図４に示された実施例の第３形態は、アンテナ２との暗号プロセッサ５の直接接続１９に関して、図１に示された実施例の第１形態と異なる。この直接接続を介して、暗号プロセッサ５には、アンテナ２に誘起された電圧からのエネルギを供給できる。特に、暗号プロセッサ５の直接供給は、暗号プロセッサ５がより低いエネルギ入力のために設計されるという点で、このように取り入れられたエネルギの異なる使用の結果として起こるものとして、実施例の第１形態におけるトランシーバ回路３を介した一般供給とは異なる：アンテナ２に誘起される電圧が、マーキング１の完全な機能を供給することに不十分である限り、暗号プロセッサ５は、その活動を（動作の初期化モード又は動作の検証モード、これらは図６及び図７の文脈においてさらに後述されるものであって、これらモードとは対照的に）監視動作モードに制限する。この監視動作モードでは、トランシーバ回路３及びマイクロコントローラ４は、非アクティブのままである。監視動作モードでは、暗号プロセッサ５は、時間間隔で、センサライン７に対してチェック測定を行う。該時間間隔は、暗号プロセッサ５からの、アンテナ２及び／又はセンサライン７の任意の一時的な分離が気付かれるように、選択されることができる。暗号プロセッサ５は、そのような（例えば、操作による）分離を検出すると、その保護されたメモリから、真正な署名の生成に必要なデジタル鍵を自動的に削除し、それによってマーキング１を無効にする。

暗号プロセッサ５へのエネルギ供給は、アンテナ２からの分離の場合に失敗するので、暗号プロセッサ５は、自動的に供給された時間信号発生器を備えることができ、この時間信号発生器は、外部エネルギ供給なしに所定の時間が経過した後に、マーキング１の無効を始動させ、他の機能の中のうち、外部エネルギ供給は、時間信号発生器のエネルギ貯蔵器を充電し得る。この文脈では、第２デジタル鍵は、動作の監視モードのために暗号プロセッサ５に格納されることができ、何らかの操作が動作の監視モードにおいて検出された場合に、該第２デジタル鍵は破棄される。マーキング１の後者の検証の過程において、暗号プロセッサ５は、第２デジタル鍵の検証を実行でき、検証は、第２デジタル鍵が破壊されてしまった場合には、当然に失敗することになる。この代替案は、一方では、第１デジタル鍵の検出によって確認される、センサメッシュ６の現在の電気特性に基づく現在検出されている完全性と、他方では、第２デジタル鍵の検出によって確認される、動作の監視モードにおいて監視された連続的な完全性との間を区別することを可能にする。これ故に、任意の電磁場から離れた（例えば、シールドされた金庫で）マーキング１をより長く保管した後に、少なくともマーキング１の現在の完全性は、第１デジタル鍵ではなく第２デジタル鍵が実際に破壊されてしまった場合に、依然と同じく確認されることができる。

モニタリング動作モードにおける暗号プロセッサ５によるモニタリングに関して、図５に示された実施例の第４形態は、上述した実施例の第３形態と本質的に同じ機能を有する。実施例の第３形態とは対照的に、しかしながら、監視モードにおける暗号プロセッサ５のエネルギ供給は、外部交流磁界からエネルギを引き出すことによって提供されず、蓄電池２０、特に印刷電池から供給される。マーキング１全体の動作及びエネルギ供給に必要な交流磁界が存在しない場合に、暗号プロセッサ５のみが、動作の監視モードのために十分なエネルギで蓄電池２０から供給され、該蓄電池に直接に接続される。監視モードにおける暗号プロセッサ５の動作（略して、動作の監視モード）に関して、図４に関連する上述の文言への参照が、繰り返しを避けるために為され、該参照は、ここでは類似した方法で当てはまる。マーキング１全体はトランシーバ回路３及びマイクロコントローラ４を含むものであって、該マーキング１全体の動作のために十分なエネルギがアンテナ２から得られるとすぐに、バッテリ２０は再充電される。

図６は、ここで説明された実施例の例示に従った電子マーキング１の初期化のための方法を図示する。電子マーキング１への交流磁界の印加、及び電子マーキング１への初期化コマンドの送信は、例えば、本方法の初期化器２１として、例えば役立つことができる。マイクロコントローラ４及び／又は暗号プロセッサ５は、このような初期化コマンドを受信するように構成される。初期化の過程においては、特に、暗号プロセッサ５の保護されたメモリが初期化される。第１ステップ２２では、暗号プロセッサ５は、センサメッシュ６の１又は複数の電気特性を測定する。どの電気的特性が考慮されるかは、センサメッシュ６の様々な形態の文脈において、すでに詳細に上で説明された。第２ステップ２３では、次に、保護メモリ内への暗号プロセッサ５の書き込みが可能であるか否かに関するチェックが行われ、これ故に、アクセス（より正確には、書き込みアクセス）が初期化のために可能である。アクセスができない場合、初期化は中止される。アクセスが可能であれば、センサメッシュ６の電気特性の測定若しくは複数の測定の結果、又はこれらの結果から導出されたパラメータが、基準値として、暗号プロセッサ５の保護メモリに格納される（第３ステップ２４）。次に、第４ステップ２５では、該保護メモリへの書き込みアクセスの動作が停止され、保護メモリがこれにより電子的に封印される。

初期化の方法を手段として用いて、電子マーキングは、保護されてない状態から保護された状態内に変換され、該保護されてない状態では、電子マーキング１の完全性は検証されることができず、これ故に、監視も検出もされることができず、該保護された状態に入り、該保護された状態では、電子マーキングは、妥当性確認のための準備が整う。初期化の方法、つまり初期化は、センサメッシュ６の任意の引き続く任意の操作を排除するために、保護された環境において電子マーキング１の製造者によって実行され得る。或いは、初期化は、また、保護されるべき対象物に電子マーキング１が適用されてしまった後にのみ実行されることができる。これは、電気特性が完全性を試験することにも使用されることができること、電子マーキング１が変形される場合に電気特性が変わることができること、電子マーキング１が、それ自体の完全性の破れに対してだけでなく、それ自体の形態における変更に対してもそのように保護することができると共にそのような変更を監視し表示することができること、という利点を有する。例えば、エッジを越えて曲げられた電子マーキング１は、異なる挙動を有することができ、これ故に（例えば、センサライン７、１３を持つ）センサメッシュ６とアンテナ２との間の誘導結合に関して、フラットな状態にある場合とは異なる電気特性を有することができる。この場合、曲げ角度の変更、又は電子マーキング１に対する曲げエッジの変更された位置が、暗号プロセッサ５によって検出されることができ、操作として認識されることができる。さらにまた、センサラインは、（可撓性基体及び対応するアンテナを持つ）歪ゲージと同じ方法で具現化されることができ、該電子マーキングは、物体に適用されるときにランダムな範囲で伸長されることができ、次いで初期化されることができる。この伸長の程度は、次いで、センサ導体の電気抵抗によって測定されることができ、また該マーキングを気づかれずに移転することは、当初マーキングされた物体と比較されて新しくマーキングされた物体の潜在的に様々な伸長又は圧縮の挙動を考慮に入れ、偽造の物体に接続されるときの伸長の正確な再現を必要とするであろう。これらのセキュリティ対策の文脈においては、一般には、センサメッシュをアンテナと重ね合わせることを必要としない。

図７は、ここに示された実施例のうちの１つに従った、電子マーキング１の（簡単には「妥当性確認」としても知られる）真正性及び完全性の検証のための方法の一例を示す。交流磁界の存在及び妥当性確認コマンドの送信は、初期化器２６として役立つことができる。結果的に、第１ステップ２７では、妥当性確認に決定的であるセンサメッシュ６の電気特性が測定され、また並行して第２ステップ２８において、基準値（例えば、以前に測定された電気特性）は初期化中に暗号プロセッサ５の保護メモリに記憶されるものであって、該基準値がロードされる。比較ステップ２９では、暗号プロセッサ５が、次に、測定された電気特性をロードされた（読み出された）基準値と比較することを実行する。或いは、言うまでもなく、１又は複数の電気特性から導かれる値が比較されることができる。比較値間の食い違いが検出され該食い違いが例えば所定の閾値を超えるものであると、電子マーク１が、第４ステップ２３において無効にされる。同時に、暗号プロセッサ５に記憶された第１デジタル鍵は、このデジタル鍵で暗号的に署名された完全性信号の将来における生成が不可能になるように、破壊（改変又は削除）される。比較２９が十分な一致を示す場合、暗号プロセッサ５は、完全性信号を生成し、該完全性信号に第１デジタル鍵で署名を付け、署名付き完全性信号をマイクロコントローラ４に渡す。マイクロコントローラ４は、署名付き完全性信号をトランシーバ回路３を介して、該検証を起動する受信器、例えばスマートフォンに送る。暗号プロセッサ５をセンサメッシュ６に直接接続すると、センサメッシュ６の電気特性の測定を操作することによって有効な完全性信号が生成される可能性を妨げる。さらにまた、以下のことを暗号プロセッサ５に用意しておくことができる：妥当性確認のためにセンサメッシュ６の複数の異なる電気特性を使用すること、また、該妥当性確認の方法の様々な実行中にこれらの電気特性のサブセットのみを使用すること、また、使用されるサブセットを無作為に変化させる、及び／又は個々の電気特性の測定の順序を無作為に変化させること。この手段によって、ある電気特性のシミュレーションが難しくされ、なぜならどの電気特性が何時に測定されるかを予測することができないからである。

図８に示された実施例の第５形態は、拡張されたセンサメッシュ６が実施例の第１形態に比較された状態で、多数の（ここでは、１６の）センサライン３１のネットワークを持つ電子マーキング１に対応する。ここでは、全てのセンサライン３１が暗号プロセッサ５に直接に接続されているわけではない。その代わりに、センサライン３１は、１１個の論理ゲート３２（ここでは、ＸＯＲゲート）を介して互いに接続され、ネットワーク又はツリーを形成する。暗号プロセッサ５は、４つの信号出力３３及び２つの信号入力３４を有する。各信号出力３３は、第１ツリーレベルの合計６つの論理ゲート３６のうち２つの異なる論理ゲート３２の（複数の）入力３５に接続される。それらの部分のために、これらの論理ゲート３６の出力３７は、各々、第２ツリーレベルの合計３つの論理ゲート３８のうちの１つの入力３５に接続される。これら３つの論理ゲート３８のうち、１つの論理ゲート３９の（複数の）出力３７は、２つの入力３５に接続され、他の２つの論理ゲート４０の出力３７は、各々、第３ツリーレベルの合計３つの論理ゲート４１のうちの１つの入力３５に接続される。これら２つの論理ゲート４１の出力３７は、各々、暗号プロセッサ５の信号入力３４に接続される。

センサメッシュ６の電気特性を測定するために、暗号プロセッサ５は、異なるビット組み合わせを信号出力３３に適用できる。次にネットワークを通って伝搬されると共に最終的に信号入力３４に印加される論理信号を用いて、暗号プロセッサ５は、すべてのセンサラインの完全性を検証できる（つまり、どのセンサライン３１が損傷され又は中断されてしまったかを必ずしも判定できない場合であっても、たった１つのセンサラインの損傷／遮りが検出されることができる）。別の変形例では、論理ゲート３２は、バイナリ信号だけでなく定量的な信号を処理しまた伝えることができ、その特性は、さらにいっそう敏感な完全性チェックを可能にする。

当業者は、任意の組合で、上述された実施例の５形態を組み合わせることができる。例えば、実施例の第５形態（図８）に従うセンサラインの２又はより多くのネットワークは、実施例の第２形態（図２及び図３）に従う電子マーキング１の異なる層に設けられることができ、暗号プロセッサ５に接続されることができる。代替的又は追加的に、実施例の第５形態（図８）に従ったセンサラインネットワークが、センサメッシュ６を形成するように、実施例の第１形態又は第２形態（図１から図３）に従った１又は複数のセンサライン７、１３と組み合わされることができる。最後に、実施例の第３形態及び第４形態（図４及び図５）に関連して記述された暗号プロセッサ５の自律的なエネルギ供給のための変形は、また、実施例の第２形態及び第５形態（図８）と組み合わせされることができる。

Claims (14)

1. 物体の真正性の検証のための電子マーキングであって、
   アンテナ（２）と、
   アナログトランシーバ回路（３）と、
   マイクロコントローラ（４）と、
   少なくとも１つのセキュア暗号プロセッサ（５）と
   を備え、
   前記アンテナ（２）は、前記アナログトランシーバ回路（３）に接続され、
   前記マイクロコントローラ（４）は、前記アナログトランシーバ回路（３）及び前記少なくとも１つのセキュア暗号プロセッサ（５）に接続され、
   前記少なくとも１つのセキュア暗号プロセッサ（５）は、デジタル署名を安全に生成するために構成される、電子マーキングであって、
   前記電子マーキング（１）は、１つ又は複数の電子センサライン（７、１３、３１）を備え、
   少なくとも１つの前記セキュア暗号プロセッサ（５）は、前記電子センサライン（７、１３、３１）の少なくとも１つに接続され、また少なくとも１つの接続された前記電子センサラインの少なくとも１つの電気特性を特定するために構成され、
   １つ又は複数の前記電子センサライン（７、１３、３１）は、前記アンテナ（２）と違っており、また少なくとも部分的に前記アンテナ（２）と重なるように配置される、
   ことを特徴とする電子マーキング（１）。
2. 前記アンテナ（２）がコイルであって、特にプリントコイルであり、１又は複数の前記電子センサライン（７、１３、３１）は、前記アンテナ（２）の前記コイルエリアに少なくとも部分的に配置されている、ことを特徴とする、請求項１に記載の電子マーキング（１）。
3. 少なくとも１つの前記セキュア暗号プロセッサ（５）が、少なくとも１つの前記電子センサライン（７、１３）の少なくとも抵抗、キャパシタンス、又はインダクタンスを特定するために構成される、ことを特徴とする、請求項１又は請求項２に記載の電子マーキング（１）。
4. 前記電子マーキング（１）は、少なくとも２つのセンサライン（７、１３）を備え、前記少なくとも１つのセキュア暗号プロセッサ（５）は２又はより多くのセンサライン（７、１３）間の結合を特定するために構成される、ことを特徴とする、請求項１から請求項３のいずれか一項に記載の電子マーキング（１）。
5. 前記電子マーキング（１）は、少なくとも２つのセンサライン（７，１３）を備え、少なくとも２つの前記センサライン（７，１３）は、前記電子マーキング（１）の少なくとも２つのセンサ層（１４，１５）に配置される、ことを特徴とする、請求項１から請求項４のいずれか１項に記載の電子マーキング（１）。
6. 前記アンテナ（２）は、少なくとも２つの前記センサ層（１４、１５）と違っている更なるアンテナ層（１６）内に配置され、好ましくは少なくとも１つのセンサ層（１４、１５）は、前記アンテナ層（１６）の両側の各々に設けられる、ことを特徴とする、請求項５に記載の電子マーキング（１）。
7. 少なくとも１つの前記セキュア暗号プロセッサ（５）は、前記セキュア暗号プロセッサ（５）に格納されたデジタル鍵に基づきデジタル署名を安全に生成するために構成される、ことを特徴とする、請求項１から請求項６のいずれか１項に記載の電子マーキング（１）。
8. １つ又は複数の前記電子センサライン（７、１３、３１）の永続的監視のために、及び、前記電気供給の中断の場合又は１つ若しくは複数の前記電子センサライン（７、１３、３１）における変更の場合に、前記デジタル鍵の前記破壊のために配置された電子回路によって特徴付けられる、請求項７に記載の電子マーキング（１）。
9. 前記アンテナ（２）は、前記電子マーキング（１）、特に前記マイクロコントローラ（４）の前記ワイヤレス電力供給のために構成される、ことを特徴とする、請求項１から請求項８のいずれか１項に記載の電子マーキング（１）。
10. 印刷電池（２０）の形態での電源によって特徴づけられ、該印刷電池は、少なくとも前記少なくとも１つのセキュア暗号プロセッサ（５）に電力を供給するように設計される、請求項１から請求項９のいずれか一項に記載の電子マーキング（１）。
11. マーキングされるべき物体への前記電子マーキング（１）を貼付するための接着表面によって特徴付けられる、請求項１から請求項１０のいずれか一項に記載の電子マーキング（１）。
12. 請求項１から請求項１１のいずれか一項に従う電子マーキングを、前記電子マーキング（１）を物体上へ適用した後に、初期化するための方法であって、前記方法は：
    前記１つ又は複数の電子センサライン（７、１３、３１）の少なくとも１つの電気特性を測定するステップと；
    前記電子マーキングの保護されたメモリに前記測定された電気特性を保存するステップと；
    前記保存の後に前記保護されたメモリへの書き込みアクセスを不活性化するステップと、
    を備える方法。
13. 請求項１から請求項１１のいずれか一項に従う電子マーキング（１）の妥当性を確認するための方法であって、前記方法は：
    １つ又は複数の前記電子センサライン（７、１３、３１）の少なくとも１つの電気特性を測定するステップと；
    保護されたメモリに格納された電気特性をロードするステップと；
    １つ又は複数の前記電子センサライン（７、１３、３１）の少なくとも１つの測定された前記電気特性、及び少なくとも１つのロードされた前記電気特性を比較するステップと；
    所定の許容範囲外の逸脱が、比較された前記電気特性の間において検出された場合、前記電子マーキング（１）を無効にするステップと
    を備える方法。
14. 前記妥当性の確認の過程において、１つ又は複数の前記電子センサライン（７、１３、３１）の前記永続的監視のための電子回路の第２デジタル鍵の妥当性が確認され、前記電子マーキング（１）は、前記第２デジタル鍵の前記妥当性の確認が失敗した場合に無効にされる、ことを特徴とする請求項１３に記載の方法。

Images