(57)【要約】  製造されたデバイス中の交換カートリッジが本物であることを突き止め、カートリッジの複製を禁止するための部分リボケーション・リスト、ならびに部分リボケーション・リストを使用するためのシステムおよび方法が提供される。リボケーション・プールは製造業者によって管理され、製造業者はカートリッジのメモリに格納するためにリボケーション・プールから部分リボケーション・リストを選択する。複製された交換部が使用されていないことを確認するために、デバイスは、自身のリボケーション・リストを格納し、新しいデバイスが取り付けられたとき、製造業者に使用されたカートリッジを知らせ、チェックを行なう。複製操作のカートリッジ収益を統計的に減らすために、部分リボケーション・リストは、デバイスに十分な無効化情報を配布する。【選択図】図１
2008524939.tif 000002
【特許請求の範囲】
【請求項１】
デバイスの交換可能部分を監視する方法であって、前記交換可能部分のそれぞれがそれに関連づけられた独自の識別子を持ち、前記方法は、
−前記識別子の部分リストを新しい部分に格納するステップであって、前記部分リストは前記識別子のマスタ・リストから選択される格納ステップと、
−前記新しい部分を取り付けると、前記デバイスが前記部分リストの前記コンテンツを使用してローカルに格納された識別子のリストを更新するステップと、
−前記新しい部分に関連づけられた前記識別子と前記ローカルに格納されたリストとを前記デバイスが比較し、前記新しい部分に関連づけられた前記識別子が見つかった場合に前記取り付けを拒否するステップと
を含む方法。
【請求項２】
前記マスタ・リストを更新するために、前記デバイスの製造業者に前記更新されたローカルに格納されたリストを前記デバイスが提供するステップをさらに含む、請求項１に記載の方法。
【請求項３】
前記格納ステップは前記部分リストを署名するステップを含み、取り付けを行なうと、前記デバイスは前記部分リスト上の署名を検証するために、ローカルに格納された公開鍵を使用する、請求項１に記載の方法。
【請求項４】
前記部分リストは前記マスタ・リストからランダムに選択される、請求項１に記載の方法。
【請求項５】
前記マスタ・リスト中の前記識別子に重み付けが与えられ、これによって前記重み付けは、前記識別子が前記マスタ・リストから選択される可能性を左右する、請求項４に記載の方法。
【請求項６】
前記重み付けは、特定の識別子が前記マスタ・リストに含められる回数を示す、請求項５に記載の方法。
【請求項７】
前記部分リストが前記新しい部分の不揮発性メモリに格納されている、請求項１に記載の方法。
【請求項８】
デバイスの交換可能部分を監視するシステムであって、前記交換可能部分のそれぞれがそれに関連づけられた独自の識別子を持ち、前記システムは、
−前記識別子のマスタ・リストと、
−新しい部分に格納されることとなる前記識別子の部分リストであって、前記マスタ・リストから選択される前記部分リストと
を含み、
前記新しい部分の取り付け時に、前記デバイスによって前記部分リストの前記コンテンツが使用され、ローカルに格納された識別子のリストを更新し、前記新しい部分に関連付けられた前記識別子と前記ローカルに格納されたリストとを比較し、これによって、前記新しい部分に関連付けられた前記識別子が見つかれば、前記取り付けが拒否されるシステム。
【請求項９】
前記マスタ・リストは、前記デバイスの製造業者によって格納される、請求項８に記載のシステム。
【請求項１０】
前記デバイスと前記製造業者との間に通信チャネルをさらに含み、前記マスタ・リストを更新するために、前記デバイスによって、前記ローカルに保存されたリストが前記通信チャネルを通って前記製造業者に提供される、請求項９に記載のシステム。
【請求項１１】
前記部分リストが前記デバイスの不揮発性メモリに格納されている、請求項８に記載のシステム。
【請求項１２】
前記部分リストは署名を含み、前記デバイスは前記署名を検証するための公開鍵を有する、請求項８に記載のシステム。
【請求項１３】
前記マスタ・リスト中の前記識別子は重み付けを含み、これによって前記重み付けは、前記識別子が前記マスタ・リストから選択される前記可能性を左右する、請求項８に記載のシステム。
【請求項１４】
前記重み付けは、特定の識別子が前記マスタ・リストに含められる回数を示す、請求項１３に記載のシステム。
【請求項１５】
デバイスの交換可能部分の監視に使用するための、および前記デバイスに取り付けられる新しい部分に格納するための部分リボケーション・リストであって、前記交換可能部分のそれぞれがそれに関連づけられた独自の識別子を持ち、前記リボケーション・リストはマスタ・リストから選択される識別子の部分リストを含み、前記新しい部分の取り付け時に、前記デバイスによって前記部分リストの前記コンテンツが使用され、ローカルに格納された識別子のリストを更新し、前記新しい部分に関連する前記識別子と前記ローカルに格納されたリストとを比較し、これによって、前記新しい部分に関連づけられた前記識別子が見つかれば、前記取り付けが拒否される、部分リボケーション・リスト。
【請求項１６】
前記部分リボケーション・リストは、さらに署名を含み、これによって前記署名は、前記デバイスによって格納された公開鍵を使用して検証される、請求項１５に記載の部分リボケーション・リスト。
【請求項１７】
前記リストが前記新しい部分の不揮発性メモリに格納されている、請求項１５に記載の部分リボケーション・リスト。
【請求項１８】
識別子の前記部分リストが前記マスタ・リストからランダムに選択され、前記マスタ・リスト中の前記識別子に重み付けが与えられ、これによって前記重み付けは、前記識別子が前記マスタ・リストから選択される前記可能性を左右する、請求項１５に記載の部分リボケーション・リスト。
【請求項１９】
前記重み付けは、特定の識別子が前記マスタ・リストに含められる回数を示す、請求項１８に記載の部分リボケーション・リスト。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、製品の一部が本物であることを突き止めるためのシステムおよび方法に関する。
【背景技術】
【０００２】
あるデバイスを販売する一般的なビジネスモデルでは、販売者にとっては利益にならない価格で完全なデバイスまたはシステムを最初に販売し、この最初の販売の次に、そのデバイスの動作維持に関する部品およびサービスを提供することによって、失った利益を取り戻すようになっている。このようなビジネスモデルでは、販売における低収益は、アフターマーケットの部品およびサービスでの価格プレミアムによって相殺されるため、顧客は、大きい初期コストを支払うのではなく、動作維持に関するわずかばかりのコストを上乗せして支払う方向になりつつある。
【０００３】
一般に、交換部品の製造は完全なデバイスの製造ほど複雑ではない。部品の製造ができる製造業者の数は、さらに複雑なデバイス全体の製造ができる製造業者の数よりも多い。よって、ノーブランドの部品製造業者が市場に参入し、正規製造業者と直接競争することもあり、それによって価格プレミアムが減る。正規製造業者は能力のある供給業者らを減らすために手を打つが、これを「市場参入への障壁」と呼ぶこともある。
【０００４】
これは本来問題ではなく、経済および商業では自然なこととみなされる。問題が生じる  のは、コンピュータ・システムの製造業者、または製品に関しコンピュータ・コアに大きな比重を置く他のデバイスの製造業者である。「カートリッジ」のようなデバイスの交換部分または交換部品には、その製造において使用される単なる材料のコストがかかる一方で、製品の設計および製造においてなされた初期投資を反映する交換コストがかかることがよくある。正規の提供業者がカートリッジの正規の内容を決め作製できるが、はるかに大きい業者がカートリッジを利用し、それを「複製する」こともできる。つまり、その業者は、形状、強度、機能などのカートリッジに関する独自の特徴を作り出すことに関わるコストを避け、材料製造だけに焦点を絞ることができるため、正規の製造業者の開発から利益を得ることができ、正規の製造業者にとっては損失となる。
【０００５】
カートリッジとは、例えばプリンタ用のインクを含めたものでもよいし、使い捨ての医療機器であってもよい。いずれの場合でも、ノーブランド部品製造業者が精巧でない物理機構を再生し、製品をコピーするだけでその製品に含まれる最新の価値ある情報を複製し、製造業者から開発の利益を横取りする。
【０００６】
さらに、乗物または操業中の工場などの容易ならない環境で使用される部品が、ノーブランド部品として供給されるのには不安がある。ある部品を本物であるように見える偽物の部品または再製された部品と交換すると、初期故障に繋がることもある。
【０００７】
正規の製造業者のなかには、カートリッジに独自のナンバーを付け、これに暗号制御を組み合わせて、この状況と闘おうとする者もいる。カートリッジが製造業者または関連会社によって合法的に製造されたことを確認する理想的な解決策は、独自のシリアル・ナンバーをデジタルで署名し、通信チャネルを使用して使用されるカートリッジ・データを配布することである。この署名によってシリアル・ナンバーが本物であることを確認し、ネットワークの使用によって１つのノード、すなわちデバイスだけが或るカートリッジを１度だけしか使用できないようにする。
【０００８】
残念なことに、使用されたカートリッジに関連付けられた情報を別のデバイスに広める理想的な通信チャネルは極めて少ない。理想的なチャネルとは、意図的にせよまたは意図でないにせよユーザがブロックすることのできない、ある程度の保証された可用性がなければならない。
【０００９】
合理的に保証された可用性があると考えられる唯一のチャネルは、製造業者から得られる新しいカートリッジの物理的媒体上に実現されたチャネルである。製造業者は、新しい各カートリッジ上のメモリ・デバイスに、すでに使用されたシリアル・ナンバーのリストを何らかの必要な動作用データとともに保存することができる。このリストは基本的には、デバイスに転送しデバイスに保存することができるリボケーション・リストである。
【００１０】
実際には、増え続けるリボケーション・リストを管理する十分なスペースをカートリッジに備えさせることは全くありそうにない。最終的には、カートリッジの使用可能なスペースが使い尽くされ、複製されたカートリッジのシリアル・ナンバーが保存されなくなる。よって、通信チャネルの帯域幅の限界が完全なリボケーション・リストの使用の妨げとなる。
【００１１】
したがって、本発明の目的は、上記の不利点を避けるまたは緩和させるものである。
【発明の開示】
【課題を解決するための手段】
【００１２】
一態様において、デバイスの交換可能部分を監視する方法が提供される。この交換可能部分はそれぞれが交換可能部分に関連づけられた独自の識別子を持っている。本方法は、識別子の部分リストを新しい部分に格納するステップであって、部分リストは識別子のマスタ・リストから選択される格納ステップと、新しい部分を取り付けると、デバイスが部分リストのコンテンツを使用してローカルに格納された識別子のリストを更新するステップと、新しい部分に関連づけられた識別子とローカルに格納されたリストとをデバイスが比較し、新しい部分に関連づけられた識別子が見つかった場合に、取り付けを拒否するステップとを含む。
【００１３】
別の態様において、デバイスの交換可能部分を監視するシステムが提供される。この交換可能部分のそれぞれが交換可能部分に関連づけられた独自の識別子を持っている。本システムは、識別子のマスタ・リストと、新しい部分に格納されることとなる識別子の部分リストであって、マスタ・リストから選択される部分リストとを含み、新しい部分の取り付け時に、デバイスによって部分リストのコンテンツが使用され、ローカルに格納された識別子のリストを更新し、新しい部分に関連付けられた識別子とローカルに格納されたリストとを比較し、これによって、新しい部分に関連付けられた識別子が見つかれば、取り付けが拒否される。
【００１４】
さらに別の態様において、デバイスの交換可能部分の監視に使用するための、およびデバイスに取り付けられる新しい部分に格納するための部分リボケーション・リストが提供される。この交換可能部分のそれぞれが交換可能部分に関連づけられた独自の識別子を持っている。本リボケーション・リストはマスタ・リストから選択される識別子の部分リストを含み、新しい部分の取り付け時に、デバイスによって部分リストのコンテンツが使用され、ローカルに格納された識別子のリストを更新し、新しい部分に関連する識別子とローカルに格納されたリストとを比較し、これによって、新しい部分に関連づけられた識別子が見つかれば、取り付けが拒否される。
【００１５】
本発明の一実施形態を単なる一例として添付の図面を参照しながら説明する。
【発明を実施するための最良の形態】
【００１６】
図１を参照すると、部分リボケーション通信システムの全体が符号１０によって示されている。製造業者１２は、以降カートリッジ１６と称される交換可能部分を有するデバイス１４を製造する。カートリッジ１６は、特にデバイス１４と協働するように設計されたデバイス１４の交換可能部分であり、その性質上、外部の製造業者に模造、すなわち「複製」されることがある。カートリッジのそれぞれがシリアル・ナンバーまたは識別子を持ち、製造業者１２は、使用されたまたは侵害されたことがわかっているカートリッジが持つシリアル・ナンバーのマスタ・リスト／データベースを管理する。このマスタ・リスト／データベースは、以降リボケーション・プール１８と称される。
【００１７】
リボケーション・プール１８は、シリアル・ナンバーから生成されればよく、外部の製造業者によってさかんに複製されていることがわかっているカートリッジ１６に関連する情報を格納するためのメモリ・デバイスとして動作できる。このリストは、さらに、正規製品の過去の一般的な有効期間を表わす日付よりも前に製造されたカートリッジ１６からのシリアル・ナンバーも含めばよい。このようにして、リボケーション・リストは、最も複製または再利用されそうなカートリッジの識別子を含んでいればよい。
【００１８】
製造業者１２によって製造された各カートリッジ１６は、リボケーション・プール１８に格納されたリストからのシリアル・ナンバーの選択によって作成されカートリッジのメモリ・デバイスに格納される部分リボケーション・リスト（ｐａｒｔｉａｌ  ｒｅｖｏｃａｔｉｏｎ  ｌｉｓｔ：ＰＲＬ）２０を有する。ＰＲＬ２０のコンテンツは、カートリッジごとに異なっていてもよく、特定の要求を満たすような柔軟性を示す。製造された各カートリッジ１６は、完全に異なるデータ・セットを含むＰＲＬ２０を持つこともできる（すなわち、新しいカートリッジ１６上の各ＰＲＬ２０は、別の一連の使用済み、または侵害されたカートリッジを無効化する）。
【００１９】
ＰＲＬのコンテンツは、製造業者１２によって決定される。製造業者１２は、リボケーション・プール１８からシリアル・ナンバーのリストを選択してＰＲＬ２０を作成するためのプロセッサ２２を有する。プロセッサは、デジタル署名エンジン２４を組み込んでおり、このデジタル署名エンジンは、ＰＲＬ２０が作成されるときに、ＰＲＬ２０をデジタル署名するためにプロセッサ２２によって使用される。プロセッサ２２は、演算可能な任意のデバイスである。デジタル署名は、ＰＲＬ２０に含まれる情報を保護するために使用し、デバイス１４の各々に組み込まれた公開鍵２６を使用して検証できる。公開鍵２６は、製造業者１２からのＰＲＬ２０をどのデバイス１４でも確認できるように、全てのデバイス１４に組み込まれている。
【００２０】
デバイス１４は、ローカルのデータベース３０の管理も行なう。データベース３０は、デバイス１４に使用されたカートリッジ１６からのシリアル・ナンバーのリストと、新しく取り付けられたカートリッジ１６のＰＲＬ２０を使用して更新された無効化済みシリアル・ナンバーのリストとを含む。
【００２１】
通信チャネル２８は、デバイス１６を製造業者１２に接続する。好適な構成では、通信チャネル２８は高信頼チャネルであり、「高信頼バックチャネル」と称することもある。このような高信頼チャネルがあれば、使用されるカートリッジ１６のデータを製造業者１２に安全に伝えることができる。この好適な構成において、「高信頼」という用語は、使用されるカートリッジ情報を漏らす目的で外部の製造業者がチャネルを乗っ取ること（例えば、複製操作(クローン操作（Cloning operation ）)を防ぎ、ひいては複製操作の隠ぺいを防ぐために、システム１０によって手段が使用されたことを意味している。通信チャネル２８は、データを物理的に集め配布することによって手作業で実装することもできるが、低信頼チャネルを使用して高信頼ハードウェアで電気的に実現することもできる。
【００２２】
ＰＲＬ２０を利用する方法を説明するために、配布および更新手順２００が図２に示されている。ステップ２０２において、製造業者１２によってカートリッジ１６が製造される。カートリッジ１６が製造されるとき、ステップ２０４においてＰＲＬ２０が作成される。ＰＲＬ２０は、リボケーション・プール１８からシリアル・ナンバーのセットを選択することによって作成される。どのシリアル・ナンバーがＰＲＬ２０に置かれるかについての選択は、重み付けを伴うランダムな選択に基づくことが好ましい。製造業者１２は、その選択がＰＲＬ２０に含まれる確率を高めるために、特定の選択に重み付けをすることができる。選択は、任意の個々の使用済みカートリッジ１６を表わすか、ワイルドカードまたは論理的記述によって識別される、使用済みカートリッジの範囲を表わせばよい。製造業者１２は、任意の所定時間にリボケーション・プール１８にカートリッジの識別子があれば、どんな識別子があるかについて完全に制御する。
【００２３】
例えば、「選択」はタプルである（シリアル・ナンバー，重み付け）、または（シリアル・ナンバーの範囲，重み付け）になるように定義すればよく、ここで、重み付けは１から１０までの間の値である。例えば、製造業者のリボケーション・プール１８が３つのこのようなタプル、すなわち、Ａ＝（１，１），Ｂ＝（２，１）、およびＣ＝（３＜シリアル・ナンバー＜１０，２）を含むものとし、ＰＲＬ２０がプール１８から１回の選択によってポピュレートされるものとすると、重み付けの結果、選択されるリボケーション・プール１８は、Ｃが２の重みを持っているために、事実上Ａ、Ｂ、Ｃ、Ｃとなる。このような例において、この特定のプールから１００個のＰＲＬをランダムに選択すると、２５％の確率でシリアル・ナンバー１を、２５％の確率でシリアル・ナンバー２を、５０％の確率でシリアル・ナンバー３〜１０の範囲を含むＰＲＬ２０が作られることになる。
【００２４】
ＰＲＬ２０が作成されたら、ステップ２０６において署名されればよく、ステップ２０８においてカートリッジ１６上の不揮発性メモリに格納される。カートリッジ１６からＰＲＬ２０を変更しようとしたり外そうとしたりするなど、署名されたカートリッジが顧客によって不正に変更されると、デジタル署名は無効にされる。デジタル署名を確認するには変更されていないＰＲＬ２０が必要となるため、デジタル署名が無効になると、カートリッジが本物であることをデバイス１４によって検証することができない。
【００２５】
単にＰＲＬ２０を署名するだけでは十分でない場合、シリアル・ナンバーと組み合わせて、ＰＲＬ２０が取り除かれないように署名してもよい。ＰＲＬ２０およびカートリッジがデジタル署名によって好適に結びつけられているため、ＰＲＬ２０は特定のカートリッジ１６と関連付けられており、その結果、製造業者１２は、それぞれのカートリッジ１６内へＰＲＬ２０の配布を進めることができる。これは、外部製造業者がＰＲＬ２０とともにシリアル・ナンバーをコピーして、１つのコピーを量産することを防ぐわけではないが、製造業者１２は、新たなカートリッジ１６がＰＲＬの再利用によって使用される問題に対処できるようになる。これは、１度しか使えないカートリッジを使用してカートリッジの売り上げを上げることを暗に意味している。１度しか使えないプリンタ・カートリッジおよび医療機器のような市場の製造業者１２は、重要なデータとＰＲＬ２０とを結合させることによって利益を得ることになる。
【００２６】
外部の製造業者によって容易に複製される可能性のある交換可能なカートリッジ１６を組み込んでいる任意のデバイス１４は、カートリッジ１６のメモリ内にＰＲＬ２０を統合することに適したものである。デバイス１４の操作を続けるために交換カートリッジ１６が必要となれば、そのときに交換カートリッジ１６がデバイス１４の所有者によって買われ、ステップ２１０においてデバイス１４に挿入される。
【００２７】
ステップ２１２に示されるように、取付け時には、デバイス１４は、デバイス１４に組み込まれた公開鍵２６を使用してカートリッジ１６のＰＲＬ２０を検証することが好ましいであろう。公開鍵２６の使用は、デジタル署名を使用するか否かに応じた任意のステップであり、カートリッジ１６が取り付けられれば手順２００の間の任意の時点で行なえばよい。次いで、ステップ２１４に示されるように、デバイス１４は新しいカートリッジ１６が挿入されたことを認識して、新しいカートリッジのＰＲＬ２０を読み出すことが好ましい。次に、デバイスは、自身のデータベース３０に格納されている自身の無効化済みシリアル・ナンバーのリストを、ＰＲＬ２０にある無効化済みシリアル・ナンバーのリストを用いて更新する２１６。
【００２８】
次いで、ステップ２１８に示されるように、デバイス１４は、取り付けられているカートリッジ１６のシリアル・ナンバーを、データベース３０に含まれ、自身のローカルに格納されている使用済みシリアル・ナンバーのリストにコピーする。ステップ２２０において、取り付けられているカートリッジ１６が無効化されたまたは以前に使用されたシリアル・ナンバーを持っていないことを確認するために、データベース３０にある使用済みカートリッジのリストおよび無効化済みカートリッジのリストの両方について、このナンバーがチェックされる。これらのチェックを行なって、以前に使用されたまたは無効化されたシリアル・ナンバーを有するカートリッジを受け付けないようにすることは、デバイスの役目である。このようにして、デバイスの動作が禁止される。
【００２９】
ＰＲＬ２０を使用する目的は、交換カートリッジ１６を使用してデバイス１４に十分な無効化情報を配布し、カートリッジ１６を複製しようとする可能性がある外部製造業者のカートリッジ収益を統計的に減らすことである。したがって、何パーセントかの割合で、複製操作が顧客に動作するカートリッジを渡せなくなる。例えば上記において概要を述べた重み付け選択プロセスに基づくような、リボケーション・プール１８からＰＲＬ２０のメンバを選ぶための優れた選択プロセスによって、複製されたカートリッジを拒否する可能性が増やされる。
【００３０】
ＰＲＬ２０は、製造業者１２からデバイス１４への順方向チャネルが存在しないか、信頼できない場合に使用されることを意図していることが好ましい。この場合、動作の継続に必要なカートリッジ１６によってリボケーション・データが送信されると、製造業者１２は、デバイス１４にリボケーション・データの獲得のみを保証できる。これが当てはまるのは例えば、サプライチェーンにおいて、複製または再利用されたカートリッジと本物のカートリッジが混ざっている時で、そのため、更新されたＰＲＬを持つカートリッジがデバイス１４に取り付けられる可能性がそれ相応に生じる。顧客がカートリッジ１６上のデータおよびＰＲＬ２０の両方を受け取り、デバイス１４に転送することができるようにするために、ＰＲＬ２０はデジタル署名を用いてカートリッジ１６上の重要なデータと結びつけられていることが好ましい。
【００３１】
量産されたカートリッジ１６は、メモリに上限がある可能性が非常に高い。よって、完全なリストを送信することは、セキュリティの観点からは好ましいが、リストのサイズが増えていくため不可能である。完全なリストを送信できない場合、外部の製造業者がどの複製されたカートリッジがどの顧客の下で動作するのかを確認することができなくなるように、リストの一部分を様々な顧客に送ることができる。結果として、外部製造業者は、製造業者１２よりも一般的に収益が低くなり、製品の信頼性が低くなり、配布コストが高くなる。
【００３２】
新しいカートリッジ１６が無事取り付けられると、デバイス１４は、ステップ２２２に示されるように、デバイス１４によって使用されたカートリッジのシリアル・ナンバーの更新されたリストを、通信チャネル２８を介して製造業者１２に送り返すことが好ましい。これによって、プロセッサ２０は、次の新しいＰＲＬを生成するためにリボケーション・プール１８を継続して更新できるようになる。例示されたステップ２２２は、カートリッジ１６がいつ使用されたかを判断するための好ましいメカニズムにすぎないことを理解されたい。例えば、カートリッジ１６は代わりに有効期限を使用してもよい。
【００３３】
本発明をある特定の実施形態を参照しながら説明したが、添付の特許請求の範囲に示されている本発明の精神および範囲から逸脱することなく、様々な変更が加えられることも、当業者には明らかであろう。
【図面の簡単な説明】
【００３４】
【図１】部分リボケーション・リストを組み込むシステムの概略図である。
【図２】部分リボケーション・リストを配布および更新する手順においてのステップを示すフローチャートである。
【図１】
2008524939.tif 000003
【図２】
2008524939.tif 000004
【国際調査報告】
2008524939.tif 000005
2008524939.tif 000006