CN101855653A

CN101855653A - 锁管理系统

Info

Publication number: CN101855653A
Application number: CN200880115904A
Authority: CN
Inventors: 塞波·洛希尼瓦; 米卡·普卡里
Original assignee: Iloq Oy
Current assignee: Iloq Oy
Priority date: 2007-09-28
Filing date: 2008-09-24
Publication date: 2010-10-06
Anticipated expiration: 2028-09-24
Also published as: ES2820351T3; JP5730573B2; JP2010540802A; CN101855653B; US8516250B2; US20100217972A1; PT2043055T; HUE050864T2; WO2009040470A2; WO2009040470A3; EP2043055A1; PL2043055T3; DK2043055T3; EP2043055B1

Abstract

提供了一种用于自供电锁的锁管理系统。该系统包括：ASP(应用服务提供商)服务器，在操作上连接到因特网并且被配置成存储锁系统相关信息；至少一个客户端模块，被配置成：控制用于加密和解密的共享机密的生成、以及使用令牌进行的锁访问数据包的生成和加密，使用公共网络将数据包传送给ASP服务器，使用公共网络从ASP服务器接收经加密的状态包，控制状态包的解密，并使用公共网络将关于解密状态包的信息发送给ASP服务器；以及至少一个锁，被配置成：通过公共网络从ASP服务器接收数据包，对数据包解密，并使用公共网络将经加密的状态包发送给ASP服务器。

Description

锁管理系统

技术领域

本发明涉及用于机电锁的锁管理系统。更具体而言，本发明涉及用于自供电锁的系统。

背景技术

各种类型的机电锁正取代传统的机械锁。机电锁需要外部电源、锁内置电池、钥匙内置电池、或者用于在锁内生成电能以使得锁自供电的装置。机电锁与传统锁相比提供了许多优点。它们提供了更好的安全性，并且对钥匙或安全令牌的控制更加容易。

另外，大多数机电锁和/或钥匙和令牌是可编程的。可以将锁编程为接受不同的钥匙而拒绝其它的钥匙。

与机电锁和自供电锁相关联的一个问题是对锁和钥匙的编程。在许多已知的机电锁定系统中，锁制造商将工厂编程的锁交付给最终用户。锁制造商已对属于给定锁定系统的锁执行了所需要的编程。

发明内容

根据本发明的一方面，提供了一种用于自供电锁的锁管理系统，包括：ASP(应用服务提供商)服务器，在操作上连接到因特网并且被配置成存储锁系统相关信息；至少一个客户端模块，被配置成：控制用于加密和解密的共享机密的生成、以及使用令牌进行的锁访问数据包的生成和加密，使用公共网络将数据包传送给ASP服务器，使用公共网络从ASP服务器接收经加密的状态包，控制状态包的解密，并使用公共网络将关于解密状态包的信息发送给ASP服务器；以及至少一个锁，被配置成：通过公共网络从ASP服务器接收数据包，对数据包解密，并使用公共网络将经加密的状态包发送给ASP服务器。

根据本发明的另一方面，提供了一种管理用于自供电锁的系统的方法，该方法包括：由客户端模块控制用于加密和解密的共享机密的生成；使用安全令牌生成锁访问数据包；使用令牌对所生成的锁访问数据包加密；使用公共网络将经加密的数据包传送给ASP(应用服务提供商)服务器；将经加密的数据包存储在ASP服务器中；由锁通过公共网络从服务器读取经加密的数据包；在锁中对数据包解密；在锁中生成经加密的状态包并将该包发送给ASP服务器；由客户端模块从ASP服务器读取状态包并控制状态包的解密；将关于解密状态包的信息从客户端模块传送给ASP服务器。

根据本发明的另一方面，提供了一种用于自供电锁的锁管理系统中的客户端模块，该系统包括ASP(应用服务提供商)服务器，ASP服务器在操作上连接到因特网并且被配置成存储锁系统相关信息，客户端模块被配置成：生成用于加密和解密的共享机密，使用令牌、根据钥匙数据和共享机密生成唯一钥匙机密；使用安全令牌生成锁访问数据包并对锁访问数据包加密；以及使用公共网络与ASP服务器通信。

根据本发明的又一方面，提供了一种用于自供电锁的锁管理系统中的锁，该系统包括ASP(应用服务提供商)服务器，ASP服务器在操作上连接到因特网并且被配置成存储锁系统相关信息；锁被配置成：从ASP服务器接收数据包；对数据包解密，使用数据包信息生成共享机密，存储共享机密，并将经加密的状态包发送给ASP服务器。

本发明具有多个优点。所提出的方案实现了灵活的锁和钥匙编程。锁制造商或经销商维护ASP服务器，ASP服务器维护锁定系统的数据库。然而，锁和钥匙编程由最终用户执行。因此，锁制造商可以交付处于初始状态(其中，锁不属于任何特定锁定系统)的锁。初始状态锁不存储任何安全敏感信息。

在所提出的方案中，锁无需具有与ASP服务器的专用有线连接。可以将经加密的锁编程数据通过公共网络(可以是有线或无线连接)传送给锁。

附图说明

下面，参照附图、仅通过举例来描述本发明的多个实施例，在附图中：

图1示出了锁管理系统的结构的一个例子；

图2示出了钥匙和锁；

图3A是示出了用于生成锁定系统共享机密的实施例的流程图；

图3B是示出了用于将额外系统令牌创建到锁定系统中的实施例的流程图；

图3C是示出了用于将锁定系统共享机密传递到锁中的实施例的流程图；

图3D是示出了用于将钥匙共享机密设置到新钥匙的实施例的流程图；

图3E是示出了将要使用钥匙打开锁的实施例的流程图；

图4是示出了本发明一个实施例的信令图；以及

图5示出了钥匙和锁的另一个例子。

具体实施方式

下面的实施例是示例性的。虽然说明书可能会在多个地方引用“一个(an)”、“一个(one)”或“一些”实施例，但这不一定意味着每个这样的引用是对相同实施例进行的或者特征只适用于单个实施例。亦可以将不同实施例的特征相组合以提供其它实施例。

参照图1说明锁管理系统的结构的一个例子。该系统包括在操作上连接到因特网104并且被配置成将锁系统相关信息存储到数据库102的应用服务提供商(ASP)服务器100。数据库102可以利用可拆卸或固定大容量存储器在该服务器中实现，或者可以是单独的计算机。其它的实现也是可行的。通常，锁系统制造商或锁系统经销商维护ASP服务器100。数据库维护与属于锁定系统的锁和钥匙有关的数据。数据包括例如与锁和钥匙身份、钥匙保持器、锁和钥匙状态以及访问权有关的信息。

该系统进一步包括客户端模块110。客户端模块110可以是在客户端场所的客户端终端108中运行的客户端软件。通常，客户端终端108是通过有线或无线连接106连接到因特网104的个人计算机或相应处理单元。

客户端模块110的实施可以取决于客户端终端设计而变化。客户端模块可以包括用编程语言(可以是高级编程语言，如C、Java等，或者是低级编程语言，如机器语言或汇编语言)编码的程序指令。

客户端模块110可以被配置成管理锁定系统相关信息。例如，客户端模块可以生成用于加密和解密的共享机密，并且可以使用安全令牌生成锁访问数据包并对锁访问数据包加密。

客户端模块可以连接112到第一设备114，第一设备114被配置成与钥匙118和系统令牌120相连。客户端模块与第一设备之间的连接112可以利用有线或无线连接来实现。该连接可以利用USB、蓝牙、红外线或其它已知无线技术来实现。

第一设备114包括电子电路116以及用于钥匙118和令牌120的保持器。电子电路116可以包括处理器以及用于存储用于处理器的数据和软件的存储器。电子电路可以被配置成执行涉及锁定数据的计算以及在客户端模块、钥匙与系统令牌之间传递信息。第一设备114和客户端终端108提供了用于客户端模块110和钥匙118和系统令牌120通信的平台。客户端模块110和ASP服务器100与系统令牌120通信，以便存储锁系统的共享机密、对锁访问数据包加密和解密以及认证锁系统中的用户访问。

锁管理系统可以进一步包括第二客户端模块126。第二客户端模块126可以是在客户端终端124中运行的客户端软件。客户端终端124可以是连接122到因特网104的个人计算机、个人数据助理(PDA)或移动电话。第二客户端模块126可以与客户端模块110以相同的方式实施。

第二客户端模块126可以连接128到第二设备130，第二设备130被配置成与钥匙134和系统令牌136相连。第二客户端模块与第二设备之间的连接128可以利用有线或无线连接来实现。该连接可以利用USB、蓝牙、红外线或其它已知无线技术来实现。另外，第二设备可以具有与锁140的连接138。该连接可以是有线的或无线的。例如，有线连接可以利用1线式总线连接来实现。有线连接可以向自供电锁提供电能。无线连接可以利用已知无线协议来实现。

第二设备130和客户端终端124提供了用于客户端模块126、钥匙134、系统令牌136和锁140通信的平台，以便存储锁系统的共享机密、对锁访问数据包加密和解密以及认证锁系统中的用户访问。

在一个实施例中，第一设备和第二设备是相同的设备。

在一个实施例中，客户端模块110或126的用户通过登录到ASP服务器100来建立客户端模块与ASP服务器100之间的会话。客户端模块可以联系ASP服务器并检查是否存在可用模块的更新版本。如果存在，则可以下载该更新版本并将其安装在客户端终端上。在启动或执行了所需要的锁定系统管理操作之后，可以通过登出ASP服务器结束会话。

图2示出了钥匙118和锁140。锁140被配置成从钥匙118读取访问数据并将数据与预定准则匹配。钥匙118包括被配置成存储访问数据以及执行涉及加密和解密的计算的电子电路。电子电路可以例如是MaximIntegrated Products的(www.ibutton.com)；这种电子电路可以用协议读取。电子电路可以放置在例如钥匙或令牌中，但是也可以置于其它合适的设备或物体中。只要锁可以从电子电路读取数据即可。从钥匙到锁140的数据传递可以利用任何合适的有线或无线通信技术来执行。在自供电锁中，所产生的能量的量可能会限制所使用的技术。磁条技术或智能卡技术也可以用在钥匙中。无线技术可以包括例如RFID(射频识别)技术或移动电话技术。钥匙可以包括应答器、RF标签或者能够存储数据的任何其它合适的存储器类型。

通过将从钥匙读取的数据与预定准则匹配，来使用该数据进行认证。认证可以利用由国家安全局(NSA)设计的SHA-1(安全散列(hash)算法)函数来执行。在SHA-1中，根据给定输入数据序列(称为消息)计算出精简数字表示(称为消息摘要)。消息摘要很可能对于消息是唯一的。SHA-1被称为“安全的”是因为：对于给定算法，寻找对应于给定消息摘要的消息或者寻找产生相同消息摘要的两个不同消息在计算上是不可行的。对消息的任何改变都很可能会导致不同的消息摘要。如果需要提高安全性，则可以使用SHA族中的其它散列函数(SHA-224、SHA-256、SHA-384和SHA-512)，它们每个都具有较长的摘要，统称为SHA-2。当然，可以使用任何合适的认证技术来认证从外部源读取的数据。认证技术的选择取决于锁140的期望安全等级，并且可能还取决于尤其是用户供电的机电锁中的用于认证的允许电力消耗。

图3A是示出了用于生成锁定系统共享机密(SS)并将第一系统令牌创建到锁定系统中的实施例的流程图。在对锁访问数据加密和解密时使用锁定系统共享机密。系统令牌包括上述电子电路，并且它被用在第一设备114中以生成并存储锁定系统共享机密。系统令牌是特殊令牌，因为它不用作钥匙而是用于对锁定系统的钥匙和锁进行编程。通常，创建系统令牌是对新锁定系统的锁和钥匙进行编程的第一个步骤。锁定系统可以具有一个以上的系统令牌，但它们都存储相同的锁定系统共享机密。

客户端模块110负责控制系统令牌和锁定系统共享机密的生成。由于客户端模块处于客户端终端中，所以可以在客户端的场所执行该流程，只要客户端模块能访问因特网并且设备114连接到客户端终端108。在一个实施例中，客户端模块110控制设备114执行下面被分配给客户端模块的任务中的一些或全部。锁制造商或经销商除了维护ASP服务器100以外不参与该过程。

该过程开始于步骤300，这时用户将空令牌120设置到第一设备114中。

在步骤302中，客户端模块110请求用户输入种子1。种子1通常可以是具有10-20个字符的字母数字串。种子1不存储在系统中。用户必须记住它。

在步骤304中，客户端模块110使用随机数发生器生成种子2。种子2通常是10至20字节长度的数字列表。每个字节可以具有0至255之间的任何值。

在步骤306中，客户端模块110使用随机发生器生成种子3。种子3通常是10至20字节长度的。每个字节可以具有0至255之间的任何值。

在步骤308中，客户端模块110将种子1-3发送给令牌120。令牌120接收种子并生成待用作锁定系统共享机密的SHA-1散列。令牌120将共享机密存储到它的隐藏只写存储器中。不将共享机密回传给客户端模块或展示给用户。

如本领域技术人员所熟知，散列可以利用某种其它密码散列函数来生成。本文中仅用SHA-1作为例子。

在一个实施例中，客户端模块110被配置成计算被用作共享机密的散列并将散列发送给存储散列的令牌120。

在步骤310中，客户端模块110将种子3存储在令牌120中。

在步骤312中，客户端模块110将种子2传送给由ASP服务器维护的锁定系统数据库102。此传送可以例如用SSL(安全套接层)加密。

在步骤314中，客户端模块110将令牌120作为系统令牌注册在锁定系统数据库102中。每个令牌可以具有唯一的序列号，其可以存储在数据库102中。此存储可以例如用SSL(安全套接层)加密。

该过程结束于316。

图3B是示出了用于将额外系统令牌创建到锁定系统中的实施例的流程图。锁定系统已经具有利用图3A中所述的流程创建的至少一个系统令牌。客户端模块110负责控制额外系统令牌的生成。由于客户端模块处于客户端终端中，所以可以在客户端的场所执行该流程，只要客户端模块能访问因特网并且设备114连接到客户端终端108。在一个实施例中，客户端模块110控制设备114执行下面被分配给客户端模块的任务中的一些或全部。锁制造商或经销商除了维护ASP服务器100以外不参与该过程。

该过程开始于步骤320，这时用户使已有系统令牌120之一安装在设备114中。

在步骤322中，客户端模块110请求用户输入种子1。种子1必须与生成第一系统令牌120时输入的种子1完全相同。

在步骤324中，客户端模块110通过因特网联系锁系统数据库102，并从数据库102读取种子2。

在步骤326中，客户端模块110从安装在设备114中的已有系统令牌120读取种子3。

在步骤328中，客户端模块110使用种子1至3并生成SHA-1散列。

在步骤330中，客户端模块110使用已有系统令牌120验证散列。

在步骤332中，分析验证结果。如果验证失败，则用户有可能输入了不正确的种子1，该过程被取消或者从步骤322重新开始。

否则，该过程接下来进入步骤334，其中，客户端模块请求用户将已有系统令牌120从设备114中移除并将空令牌121设置到设备114中。

在步骤336中，客户端模块110将种子3存储在新令牌121中。

在步骤338中，客户端模块110将种子1和2发送给令牌120。令牌120接收种子并使用种子1至3生成SHA-1散列。所生成的散列是锁定系统共享机密，与存储在第一系统令牌120中的共享机密相同。令牌将散列作为共享机密存储在它的隐藏只写存储器中。

在步骤340中，客户端模块110将新的系统令牌121注册到锁定系统数据库102中。此传送可以例如用SSL(安全套接层)加密。

该过程结束于342。

图3C是示出了用于将锁定系统共享机密传递到锁中的实施例的流程图。

该过程开始于步骤350，这时用户使已有系统令牌120之一安装在设备114中。客户端模块110再次负责初始步骤。由于客户端模块110处于客户端终端108中，所以可以在客户端的场所执行该流程，只要客户端模块110能访问因特网并且设备114连接到客户端终端108。初始步骤350至366可以在不同于锁所在地点的地点执行。锁制造商或经销商除了维护ASP服务器100以外不参与该过程。在一个实施例中，客户端模块110控制设备114执行下面被分配给客户端模块的任务中的一些或全部。

在步骤352中，客户端模块110请求用户输入种子1。种子1必须与生成第一系统令牌120时输入的种子1完全相同。

在步骤354中，客户端模块110通过因特网联系锁系统数据库102，并从数据库102读取种子2。

在步骤356中，客户端模块110从安装在设备114中的系统令牌120读取种子3。

在步骤358中，客户端模块110使用种子1至3并生成SHA-1散列。该散列对应于锁定系统的共享机密。

在步骤360中，客户端模块110对照安装在设备114中的系统令牌120中存储的共享机密来验证散列。

在步骤362中，分析验证结果。如果验证失败，则用户有可能输入了不正确的种子1，该过程被取消或者从步骤332重新开始。

否则，该过程接下来进入步骤364，其中，种子1至3被加密并存储在系统令牌中作为对锁的编程作业。

在步骤366中，将系统令牌120从连接到客户端模块110的设备114中移除。

该流程的其余步骤在锁的安装地点执行。客户端终端124包括第二客户端模块126。客户端终端可以是个人计算机、PDA、智能电话或相应装备。第二设备130连接到客户端终端并连接到第二客户端模块，并且它具有与锁140的连接。

在步骤368中，将系统令牌120(在图1中示出为令牌132)插入与锁140相连的设备130中。

在步骤370中，锁140从系统令牌120读取编程作业，对种子1至3解密并生成SHA-1散列。

在步骤372中，锁140对照安装在设备130中的系统令牌120中存储的共享机密来验证散列。

在步骤374中，分析验证结果。

如果验证失败，则在步骤378中，锁140设置“错误”而不设置锁定系统共享机密。

如果验证成功，则在步骤378中，将共享机密存储在锁140中。

该过程结束于376或378。

可以对多个锁重复步骤368至378。可以利用相同的初始步骤将锁定系统共享机密传递给多个锁。

图3D是示出了用于将钥匙共享机密设置到新钥匙的实施例的流程图。客户端模块110负责控制共享机密的生成。由于客户端模块处于客户端终端中，所以可以在客户端的场所执行该流程，只要客户端模块能访问因特网并且设备114连接到客户端终端108。锁制造商或经销商除了维护ASP服务器100以外不参与该过程。在一个实施例中，客户端模块110控制设备114执行下面被分配给客户端模块的任务中的一些或全部。

该过程开始于步骤380，这时新钥匙118和已有系统令牌120连接在设备114中。

在步骤382中，客户端模块110从钥匙118读取钥匙数据并将钥匙数据发送给系统令牌120。钥匙数据可以包括钥匙序列号。

在步骤384中，系统令牌120使用钥匙数据和锁定系统共享机密来计算钥匙共享机密。

在步骤386中，客户端模块110将钥匙共享机密设置到新钥匙118。

在步骤387中，客户端模块110将新钥匙188注册到锁系统数据库102中。此传送可以例如用SSL(安全套接层)加密。

该过程结束于388。

除此以外，还可以将额外的访问数据编程到锁定系统的钥匙中。在一个实施例中，钥匙存储包括钥匙标识、钥匙共享机密和访问组数据的数据结构。每个钥匙具有可以用来标识钥匙的唯一标识ID。访问组数据包括钥匙所属的一个或多个访问组。

在一个实施例中，钥匙可以在它属于被允许进行访问的访问组的情况下或者在钥匙具有被允许进行访问的钥匙标识ID的情况下打开锁。

利用访问组，大大增强了钥匙的组织。一个钥匙可以设有多个访问组以允许对不同地点的访问。例如，同一个钥匙可以提供对公寓(访问组1)、地下室(访问组2)、车库(访问组3)和垃圾室(访问组4)的访问。用户于是可以向垃圾管理公司提供只包括访问组4的钥匙。由此，可以向该公司提供对垃圾室的访问但该钥匙不授权对建筑物其它部分的访问。

图3E是示出了将要使用钥匙118打开锁140的实施例的流程图。

该过程开始于步骤390，这时用户将钥匙118插入锁140中。在此阶段，自供电锁可以在钥匙被插入锁中时根据钥匙移动生成电能。可替选地，锁可以包括电池。

在步骤391中，锁140从钥匙118读取钥匙数据和散列。

在步骤392中，锁140使用存储在锁中的锁定系统共享机密以及钥匙数据来计算SHA-1散列。

在步骤393中，锁140对照从钥匙118读取的散列来验证由锁计算出的散列。

在步骤394中，分析验证结果。

在步骤399中，如果验证失败，则锁140设置“错误”而不打开，该过程结束。

如果验证成功，则在步骤396中，锁140验证钥匙访问数据。

在步骤397中，分析验证结果。钥匙访问数据泄漏钥匙所属的可能访问组的信息。锁检查钥匙所属的访问组与锁被编程为打开的访问组之间是否存在匹配。

如果验证失败，则锁140设置“错误”而不打开。这在步骤399中完成。

如果验证成功，则在步骤398中，打开锁140。

该过程结束于步骤398或399。

图4示出了由用户使用客户端模块110改变锁140的访问权的一个例子。客户端模块110负责控制访问权改变的初始部分。由于客户端模块处于客户端终端108中，所以可以在客户端的场所执行该流程，只要客户端模块能访问因特网。在该过程开始之前，将系统令牌120放置在设备114中，并且使设备114连接到客户端终端108和客户端模块110。另外，客户端模块登录到ASP服务器100。

ASP服务器100维护数据库102(其中存储了与锁定系统的锁、钥匙和访问权有关的信息)。然而，不能在ASP服务器改变访问权。访问权的改变需要使用客户端模块110、126以及通过设备114、130连接到客户端模块的系统令牌。

在一个实施例中，客户端模块向系统的用户提供用以改变访问权以及对锁和钥匙进行编程的接口。客户端模块110被配置成从用户接收新的锁访问数据。在接收到该数据时，客户端模块110将“对锁编程”消息402发送给由ASP服务器100维护的数据库102。

ASP服务器100将接收到的数据存储到数据库102中，并将经修改的锁访问数据作为“发送作业”消息404发回给客户端模块110。客户端模块110接收该消息，并将该数据作为“对作业加密”消息406发送给连接到设备114的系统令牌120。系统令牌120用锁定系统共享机密对访问数据加密，并将经加密的锁访问数据作为“发送经加密的作业”消息408发送给客户端模块110。客户端模块接收经加密的数据并将它作为“发送经加密的作业”消息410发送给ASP服务器100。ASP服务器100将该数据放置到工作队列400中，工作队列400是数据库102的一部分。工作队列400是稍后要被传送给锁的经加密的访问数据消息的列表。客户端模块110可以登出ASP服务器100。

该流程的其余步骤在锁的安装地点执行。首先，用户从客户端模块126登入ASP服务器100。应用户的命令，客户端模块联系ASP服务器，并利用消息412从工作队列400中选择对锁编程的作业。工作队列400通过将经加密的锁访问数据置于消息414中予以发送来进行回复。客户端模块126接收作业并将它存储在客户端终端124的存储器中。对作业数据所包含的锁访问数据加密，并且，将该数据存储在客户端终端124中无安全风险。

接下来，将系统令牌136放置到设备130中。建立设备130和客户端终端124和客户端模块126之间的连接。客户端模块被配置成当从用户接收到“对锁编程”命令时将经加密的锁访问数据416发送给系统令牌136。用户将设备130连接到要被编程的锁140。当锁140检测到与设备130的连接已建立时，锁被配置成向系统令牌136请求418锁访问数据。在一个实施例中，锁被配置成在请求数据之前认证系统令牌。

系统令牌136通过发送经加密的数据420进行回复。锁140对数据解密，并使用存储在锁中的共享机密来验证其签名。如果数据有效，则锁140存储数据并将包括锁编程状态的经加密的确认消息422发送给系统令牌136以表明锁的访问数据已被编程。如果数据无效，则锁140忽略数据并将否认422发送给系统令牌136以表明锁编程失败。在一个实施例中，设备130被配置成利用视觉指示(比如绿色或红色LED)通知用户锁编程成功。

系统令牌136将经加密的锁编程状态424发送给客户端模块126。客户端模块126将经加密的锁编程状态426发送给工作队列400。

锁编程状态保持在工作队列400中，直到连接到系统令牌120的客户端模块建立与ASP服务器100的会话为止。客户端模块可以被配置成当连接到ASP服务器100时检查428工作队列400。作为对查询消息428的响应，ASP服务器100将经加密的锁编程状态发送430给客户端模块110。

当接收到经加密的状态消息430时，客户端模块110将该消息发送432给系统令牌120，系统令牌120对该数据解密并通过将经解密的数据434发送给客户端模块110来进行回复。客户端模块将包括锁140状态的数据436发送给ASP服务器100，ASP服务器100将锁状态存储在数据库102中。

结合图3C描述的流程将锁定系统共享机密安装到锁中。在锁定系统共享机密被安装之前，锁可以处于初始状态。初始状态的锁尚不属于任何锁定系统。它不被配置成认证任何钥匙以及验证钥匙的访问数据。还可以按与图3C的流程类似的流程将锁定系统共享机密从锁中移除。在一个实施例中，客户端模块110被配置成生成包括将锁恢复到初始状态的命令的锁访问数据包。在共享机密被卸载之后，锁再次回到初始状态并且它可被重新用在其它锁定系统中而无任何安全风险。没有锁定系统共享机密的锁不具有任何存储的安全敏感信息。

当使用图3C的流程将锁定系统共享机密安装到锁中时，锁是锁定系统的成员。只有属于锁定系统的钥匙才能打开锁。然而，锁不验证任何额外的访问数据。锁的这种状态可以称为交付使用状态。

利用如图3A中所述的客户端模块110或设备114中的系统令牌120、基于用户给予的种子来生成锁定系统共享机密。将锁定系统共享机密存储在系统令牌中只写存储器中。

属于由所述锁管理系统管理的系统的锁具有计算锁定系统共享机密作为系统令牌的能力。钥匙具有根据锁定系统共享机密以及每个钥匙的唯一标识生成的唯一机密。锁被配置成基于存储在锁中的锁定系统共享机密以及从钥匙读取的唯一标识来生成钥匙机密。

当使用图4中所述的流程将锁访问组安装到锁中时，锁能够认证钥匙并验证钥匙访问数据。可以将锁的这种状态描述为工作状态。欧洲专利申请07112675(其合并于此作为参考)中进一步解释了钥匙访问数据验证。

图5示出了钥匙118和锁140的一个例子。在图5的例子中，钥匙118包括与接触装置502和钥匙框架相连的电子电路500。电子电路500可以包括存储单元。图1的机电锁140是自供电锁。锁140包括输能机构504，输能机构504在钥匙118被插入锁140中时将来自用户的机械能转换给为电子电路508供电的发电机506。在本例子中，电子电路508被配置成通过钥匙的接触装置502以及接触装置510与钥匙的电子电路500通信。该通信可以实现为无线连接或者通过物理传导来实现。

电子电路508被配置成在钥匙插入时从钥匙118的电子电路500读取钥匙数据。电子电路508被进一步配置成如上所述那样认证钥匙并验证访问数据。电子电路可以包括处理器以及用于存储用于处理器的数据和所需软件的存储单元。软件可以被配置成执行与生成锁定系统共享机密、更新访问数据和认证钥匙相关的前述流程。

图5的锁进一步包括被配置成接收打开命令以及将锁设置于机械可打开状态的致动器512。致动器512可以由利用发电机506产生的电能供电。致动器512可以被机械地设置于锁定状态，但是阐明本实施例无需对其进行详细讨论。

当致动器512已将锁设置于机械可打开状态时，可以通过例如旋转钥匙118来移动锁簧机构514。所需机械能也可以由用户通过转动门的旋钮或把手(图5中未示出)来产生。也可以使用其它合适的转动机构。

上述步骤和相关功能并非绝对按时间顺序，其中一些步骤可以同时执行或者按不同于给定顺序的顺序执行。也可以在步骤之间或在步骤内执行其它功能。其中一些或一部分步骤也可以被省去，或者由相应步骤或该步骤的一部分代替。

对于本领域技术人员而言明显的是，随着技术的进步，可以按各种方式实施本发明的构思。本发明及其实施例不限于上述例子，而是可以在权利要求的范围内变化。

Claims

1.一种用于自供电锁的锁管理系统，包括：

ASP(应用服务提供商)服务器，在操作上连接到因特网并且被配置成存储锁系统相关信息；

至少一个客户端模块，被配置成：

控制用于加密和解密的共享机密的生成、以及使用令牌进行的锁访问数据包的生成和加密，

使用公共网络将所述数据包传送给所述ASP服务器，

使用公共网络从所述ASP服务器接收经加密的状态包，控制所述状态包的解密，并使用公共网络将关于解密状态包的信息发送给所述ASP服务器；

以及至少一个锁，被配置成：

通过公共网络从所述ASP服务器接收数据包，

对所述数据包解密，并使用公共网络将经加密的状态包发送给所述ASP服务器。

2.如权利要求1所述的锁管理系统，其中，客户端模块被配置成生成这样的锁访问数据包：其包括关于锁所属的锁定系统的以及关于所述锁的访问权的信息。

3.如权利要求1所述的锁管理系统，其中，客户端模块被配置成生成这样的锁访问数据包：其包括将锁恢复到初始状态的命令。

4.如权利要求1所述的锁管理系统，包括：第一设备，被配置成与钥匙、客户端模块相连以及与令牌通信。

5.如权利要求1所述的锁管理系统，包括：第二设备，被配置成与锁相连以及与令牌通信。

6.如权利要求5所述的锁管理系统，包括：第二客户端模块，被配置成使用公共网络与所述ASP服务器相连以及通过有线或无线连接与所述第二设备相连。

7.如权利要求6所述的锁管理系统，其中，所述第二客户端模块被配置成从所述ASP服务器接收锁访问数据包并通过所述第二设备将所述包传送给锁。

8.如权利要求6所述的锁管理系统，其中，所述第二客户端模块被配置成通过所述第二设备从锁接收经加密的状态包并将所述包传送给所述ASP服务器。

9.如权利要求6所述的锁管理系统，其中，所述第二客户端模块与所述ASP服务器之间的连接至少部分是无线的。

10.如权利要求6所述的锁管理系统，其中，所述系统包括移动终端中的第二客户端模块。

11.如权利要求1所述的锁管理系统，其中，所述客户端模块被配置成生成用于加密和解密的共享机密、以及使用令牌生成锁访问数据包并对所述锁访问数据包加密；以及

对所述状态包解密。

12.如权利要求4所述的锁管理系统，其中，所述第一设备被配置成生成用于加密和解密的共享机密、以及使用令牌生成锁访问数据包并对所述锁访问数据包加密；以及

对所述状态包解密。

13.一种管理用于自供电锁的系统的方法，包括：

由客户端模块控制用于加密和解密的共享机密的生成；

使用安全令牌生成锁访问数据包；

使用令牌对生成的所述锁访问数据包加密；

使用公共网络将经加密的所述数据包传送给ASP(应用服务提供商)服务器；

将经加密的所述数据包存储在所述ASP服务器中；

由锁通过公共网络从所述服务器读取经加密的所述数据包；

在所述锁中对所述数据包解密；

在所述锁中生成经加密的状态包并将所述状态包发送给所述ASP服务器；

由客户端模块从所述ASP服务器读取状态包并控制所述状态包的解密；

将关于解密状态包的信息从所述客户端模块传送给所述ASP服务器。

14.如权利要求13所述的方法，进一步包括：

在客户端模块中生成这样的锁访问数据包：其包括关于锁所属的锁定系统的以及关于所述锁的访问权的信息。

15.如权利要求13所述的方法，进一步包括：

在客户端模块中生成这样的锁访问数据包：其包括锁命令“恢复到初始状态”。

16.一种用于自供电锁的锁管理系统中的客户端模块，所述系统包括ASP(应用服务提供商)服务器，所述ASP服务器在操作上连接到因特网并且被配置成存储锁系统相关信息，所述客户端模块被配置成：

生成用于加密和解密的共享机密，

使用令牌、根据钥匙数据和所述共享机密生成唯一钥匙机密；

使用安全令牌生成锁访问数据包并对所述锁访问数据包加密；以及

使用公共网络与所述ASP服务器通信。

17.一种用于自供电锁的锁管理系统中的锁，所述系统包括ASP(应用服务提供商)服务器，所述ASP服务器在操作上连接到因特网并且被配置成存储锁系统相关信息；所述锁被配置成：

从所述ASP服务器接收数据包；

对所述数据包解密，使用所述数据包信息生成共享机密，存储所述共享机密，并将经加密的状态包发送给所述ASP服务器。

18.如权利要求17所述的锁，其中，所述锁被配置成：

与钥匙通信；

根据钥匙数据和所述共享机密生成唯一钥匙机密；以及

如果生成的所述钥匙机密与存储在所述钥匙中的钥匙机密相对应，则认证所述钥匙。