FI123800B

FI123800B - Execution of a predetermined operation in a wireless access control system

Info

Publication number: FI123800B
Application number: FI20030822A
Authority: FI
Inventors: Marko Keinaenen; Petri Seppaenen
Original assignee: Elisa Oyj
Priority date: 2003-06-02
Filing date: 2003-06-02
Publication date: 2013-10-31
Also published as: FI20030822A0; FI20030822L

Description

LANGATTOMASSA KULUNVALVONTAJÄRJESTELMÄSSÄ ETUKÄTEEN MÄÄRITETYN TOIMENPITEEN SUORITTAMINENPERFORMANCE OF A PRE-SPECIFIED MEASURE IN A CORDLESS ACCESS CONTROL SYSTEM

Keksintö liittyy menetelmään järjestelmässä etukäteen määritetyn toimenpiteen 5 suorittamiseksi. Keksinnön eräs sovellutusmuoto liittyy erityisesti kulunvalvontaan ja Bluetooth-teknologian käyttöön kulunvalvonnan yhteydessä.The invention relates to a method for performing a predefined step 5 in a system. One embodiment of the invention relates particularly to access control and the use of Bluetooth technology in connection with access control.

Kulunvalvonnan järjestelmät perustuvat tunnistetietojen käyttöön. Tunnistetiedot perinteisesti tallennetaan kulkukortissa olevaan muistiin, jolloin muistiin tallenne-10 tut tiedot voidaan lukea erillisellä lukijalla, esimerkiksi magneettijuovan lukijalla. Vaihtoehtoisesti voidaan käyttää esimerkiksi RFID-tekniikkaa (Radio Frequency IDentifrcation). Kortilta luettujen tietojen perusteella voidaan ohjata oven lukitusmekanismia.Access control systems are based on the use of credentials. The identification data is traditionally stored in the memory of the access card, whereby the information stored in the memory can be read by a separate reader, for example a magnetic stripe reader. Alternatively, for example, RFID (Radio Frequency IDentifration) technology may be used. The information read from the card can be used to control the door locking mechanism.

15 Eräs perinteisen kulunvalvonnan ongelmista on se, että siinä tarvitaan aina juuri nimenomaan tähän käyttötarkoitukseen luotu erillinen päätelaite, kuten tunnistetiedon sisältävä magneettijuovakortti, muistin sisältävä RFID-kortti tai muu kul-kukortti.One of the problems with traditional access control is that it always requires a separate terminal device specifically created for this purpose, such as a magnetic stripe card containing an identifier, an RFID card containing a memory, or other access card.

20 Toisena ongelmana on se, että perinteisten passiivisten korttien toimintaetäisyys rajautuu muutamasta sentistä muutamiin kymmeniin sentteihin. Edes uusimpien ja toistaiseksi hyvin kalliiden tekniikoiden avulla ei passiivisten korttien ja niiden co lukijoiden avulla voida päästä muutamaa metriä pidempään lukuetäisyyteen. Ak- ° tiivisten eli virtalähteen sisältämien korttien käytön haluttavuutta taas vähentää o 25 virtalähteen edellyttämä tilavaatimus, joka tekee kortista epäkäytännöllisen, o g Patenttihakemusjulkaisu GB 2 364 202 A esittää ratkaisun, jossa matkapuhelinta c\j käytetään kulunvalvonnan välineenä. Ratkaisussa matkapuhelin muodostaa yh- 00 o teyden palvelimeen ja saa siltä sähköisen avaimen lukon avaamiseksi (esim. hotel- o o 30 lihuoneen oven lukko). Tämän jälkeen matkapuhelin muodostaa yhteyden lukkoa ohjaavan laitteen kanssa ja lähettää saamansa avaimen laitteelle. Jos avain on 2 voimassa, laite avaa lukon. Patenttihakemusjulkaisussa GB 2 364 202 A esitetyn ratkaisun vaihtoehtoisessa sovellutusmuodossa lukon avaamiseen vaaditaan vielä PIN-koodi (Personal Identification Number), joka kysytään matkapuhelimen käyttäjältä.Another problem is that the range of traditional passive cards is limited from a few centimeters to a few tens of centimeters. Even with the latest and very expensive technologies so far, passive cards and their co-readers cannot reach a reading distance of a few meters. On the other hand, the desirability of using active or power supply cards is reduced by the space requirement of the 25 power supply, which makes the card impractical, o g Patent application GB 2 364 202 A discloses a solution in which a mobile phone c \ j is used as a access control device. In the solution, the cellular telephone connects to the server and receives an electronic key to unlock the lock (e.g., a door lock for a hotel room of 30 rooms). The mobile phone then establishes a connection with the lock control device and sends the received key to the device. If the key is 2 valid, the device will unlock. In an alternative embodiment of the solution disclosed in GB 2 364 202 A, a PIN (Personal Identification Number) is required to unlock the lock, which is requested from the mobile phone user.

55

Patenttihakemusjulkaisu GB 2 364 202 A mainitsee, että tiedonsiirto matkapuhelimen ja palvelimen välillä sekä tiedonsiirto matkapuhelimen ja lukkoa ohjaavan laitteen kanssa voidaan toteuttaa Bluetooth-tekniikalla.GB 2 364 202 A mentions that communication between a mobile phone and a server and communication with a mobile phone and a lock control device can be effected by Bluetooth technology.

10 Bluetooth-tekniikka on lyhyen kantaman langaton tiedonsiirtotekniikka, joka käyttää lupavapaata 2,4 GHz:n radiotaajuusaluetta. Käytettäessä Bluetooth-tekniikkaa kulunvalvonnassa patenttihakemusjulkaisun GB 2 364 202 A esittämällä tavalla, voidaan kulunvalvontajärjestelmän toimintaetäisyyttä perinteisiin järjestelmiin verrattuna pidentää. Patenttihakemusjulkaisussa GB 2 364 202 A esite-15 tyn ratkaisun lisäetuna on se, että kun Bluetooth-ominaisuuksilla varustettua matkapuhelinta käytetään kulkukortin asemesta, erillistä kulkukorttia ei edes välttämättä tarvita.10 Bluetooth technology is a short-range wireless communication technology that uses a licensed 2.4 GHz radio frequency band. When using Bluetooth technology in access control as disclosed in GB 2 364 202 A, the access control system can be extended in operating range compared to conventional systems. A further advantage of the solution disclosed in GB-A-2 364 202 A brochure-15 is that when using a Bluetooth-enabled mobile phone instead of a access card, a separate access card is not even required.

Patenttihakemusjulkaisun GB 2 364 202 A esittämässä ratkaisussa ongelmallista 20 kuitenkin on se, että siinä matkapuhelimen käyttäjä joutuu matkapuhelimellaan ensin muodostamaan yhteyden palvelimeen avaimen saamiseksi ja sen jälkeen laitteeseen, joka ohjaa lukkoa. Tämän jälkeen hänen pitää keksinnön vaihtoehtoi-co sessa sovellutusmuodossa vielä näppäillä PIN-koodi. Ratkaisu ei täten ole käytet- tävyydeltään käyttäjälleen täysin vaivaton.However, in the solution disclosed in GB 2 364 202 A, the problem 20 is that the mobile phone user first has to connect to the server to obtain the key with his mobile phone and then to the device controlling the lock. Thereafter, in an alternative embodiment of the invention, he still has to enter the PIN. Thus, the solution is not completely effortless for its user.

o 25 ^ Esillä olevan keksinnön erään ensimmäisen aspektin mukaan toteutetaan mene- | telmä järjestelmässä, kuten kulunvalvontajärjetelmässä, etukäteen määritetyn toi- c\j menpiteen suorittamiseksi, jossa menetelmässä järjestelmään kuuluva tukiasema oo o tarkkailee alueellensa saapuneita langattomia päätelaitteita lähettämällä niille ky- o o 30 selyitä lyhyen kantaman radiotaajuustekniikalla ja langattomat päätelaitteet vas taavat kyselyihin ilmaisemalla tukiasemalle tunnistetietonsa, jossa menetelmässä: 3 suoritetaan järjestelmässä laitetunnistus, jossa tunnistetaan langattoman päätelaitteen ilmaiseman tunnistetiedon perusteella tukiaseman alueelle saapunut langaton päätelaite järjestelmään kuuluvaksi päätelaitteeksi; pyydetään erityistä luotetun suhteen muodostusmenettelyä hyväksi käyttäen käyt-5 täjältä tunnuskoodia mainitussa tunnistetussa langattomassa päätelaitteessa ja muodostetaan tukiaseman ja tunnistetun langattoman päätelaitteen välille erityinen luotettu suhde, jossa ne merkitään luotetuiksi laitteiksi toisilleen, jos päätelaite (100) on tunnistettu järjestelmään kuuluvaksi päätelaitteeksi ja käyttäjän syöttämä tunnuskoodi on oikea, jasuoritetaan kyseisen langattoman päätelaitteen tun-10 nistetietoon liitetty toimenpide, joka on järjestelmään etukäteen määritetty, kuten oven lukituksen avaaminen; ja puretaan mainittu erityisellä luotetun suhteen muodostusmenettelyllä luotettu suhde mainitun toimenpiteen suorittamisen jälkeen.According to a first aspect of the present invention, a process is carried out a method for performing a predetermined operation in a system, such as a access control system, in which a base station belonging to the system monitors incoming wireless terminals within its area by transmitting them via short-range radio frequency identification techniques and wireless terminals; 3 performing a device identification in the system, identifying, based on the identification information provided by the wireless terminal, the wireless terminal entering the area of the base station as a system terminal; requesting a special trusted relationship establishment procedure using the user ID code in said identified wireless terminal and establishing a special trusted relationship between the base station and the identified wireless terminal, whereby the terminal (100) is identified as a system-identified terminal and correct, and performing a procedure associated with the identification of said wireless terminal device, predefined in the system, such as unlocking the door; and dissolving said trusted relationship by a special trusted relationship formation procedure after performing said operation.

15 Keksinnön sovellutusmuodoissa voidaan yrityksen, yhteisön tms. hallinnoiman tilan kulunvalvonnassa käyttää Bluetooth-ominaisuudella varustettuja langattomia päätelaitteita, jolloin erillistä kulkuoikeuden hyväksyntään käytettävää tunnistus-välinettä, kuten kulkulupakorttia, ei tarvita. Keksinnön sovellutusmuotoja voidaan käyttää kulunvalvonnassa valvontaa edellyttävissä tiloissa sekä käyttöoikeuteen 20 liitetyn tiedon siirtoon päätelaitteen ja kulkuoikeutta valvovan laitteen välillä.In embodiments of the invention, wireless access devices equipped with Bluetooth capability can be used to control access to space controlled by a company, community, etc., whereby a separate means of authentication, such as a passcode, is not required. Embodiments of the invention may be used for access control in premises requiring supervision and for the transmission of information associated with access 20 between the terminal and the access control device.

Erään sovellutusmuodon mukaan siirretään jäijestelmästä päätelaitteeseen tai pää-oo telaitteesta järjestelmään informaatiota, joka voi olla sidoksissa kulkuoikeuksiin, ° kulkukohteeseen, käyttäjätunnukseen, aikaan ja/tai muuhun tietoon, joka saattaa o 25 olla käyttäjälle tai järjestelmää valvovalle osapuolelle merkitsevää. Täten kulun- ^ valvonta voidaan liittää osaksi laajempia jäijestelmäkokonaisuuksia, joissa on £ tarvetta tiedon kaksisuuntaiseen välittämiseen. Se, mitä tietoa siirretään, voidaan cvj etukäteen määritellä järjestelmän tietokannassa.According to one embodiment, information may be transmitted from the rigid system to the terminal or main terminal to the system, which may be associated with access rights, destination, user ID, time and / or other information that may be relevant to the user or system supervisor. Thus, access control can be incorporated as part of larger rigid system assemblies that need the two-way communication of information. What information is transferred can be determined in advance by the cvj in the system database.

oo o oo o o 30 Keksinnön eräässä sovellutusmuodossa tunnistetaan langattomaan Bluetooth- päätelaitteeseen pysyvästi sidottu ns. MAC-osoite sekä tukiaseman ja päätelait- 4 teen välisen luottamuksen vahvistavat tukiaseman ja päätelaitteen PIN-koodit.In one embodiment of the invention, a so-called. The MAC address and the trust between the base station and the terminal are confirmed by the base station and terminal PINs.

Lyhyellä kantamalla tarkoitetaan kantamaa, joka on tyypillisesti olennaisesti lyhyempi kuin solukkoverkkoyhteyden tyypillinen kantama. Tyypillisesti Blue-5 tooth-tekniikalla saavutettava enimmäiskantama on käytettävästä lähetystehosta riippuen noin kymmenestä metristä muutamaan sataan metriin. Päätelaitteen lan-gattomuudella tarkoitetaan sitä, että se kykenee kommunikoimaan langattomasti. Luotetulla suhteella taas tarkoitetaan sellaista laitteiden välistä suhdetta, jossa ne merkitään luotetuiksi laitteiksi toisilleen.Short range refers to a range that is typically substantially shorter than the typical range of a cellular network connection. Typically, the maximum range that can be achieved with Blue-5 tooth technology is from about ten meters to a few hundred meters, depending on the transmit power used. By wireless, the terminal means that it is capable of communicating wirelessly. Trusted relationship, on the other hand, refers to a relationship between devices where they are labeled as trusted devices to each other.

1010

Keksinnön eräässä sovellutusmuodossa etsitään päätelaitteelta lyhyen kantaman radiolinkin kautta saatujen tunnistetietojen perusteella järjestelmän tietokannasta tunnistetietoihin liittyvät tiedot, kuten kulkuoikeudet, käyttöoikeudet ja/tai palve-lut/palvelujen käyttöoikeudet, ja suoritetaan toimenpiteitä, kuten oven lukituksen 15 ohjaus, näiden tietojen perusteella. Toimenpiteet voivat luonteeltaan olla paikkasidonnaisia.In one embodiment of the invention, based on the identification information obtained from the terminal via short-range radio link, identification information such as access rights, access rights and / or service / service access rights are accessed from the system database, and operations such as door lock control 15 are performed. The measures may be site-specific in nature.

Keksinnön erään toisen aspektin mukaan toteutetaan langaton päätelaite patenttivaatimuksen 13 mukaisesti.According to another aspect of the invention, the wireless terminal is implemented in accordance with claim 13.

2020

Keksinnön erään kolmannen aspektin mukaan toteutetaan tukiasema patenttivaatimuksen 14 mukaisesti, coAccording to a third aspect of the invention, a base station is implemented according to claim 14, co

Keksinnön erään neljännen aspektin mukaan toteutetaan tukiasemassa ajettavissa i cp 25 oleva tietokoneohjelmatuote patenttivaatimuksen 15 mukaisesti, en £ Keksinnön erään viidennen aspektin mukaan toteutetaan järjestelmä patenttivaa- cm timuksen 16 mukaisesti.According to a fourth aspect of the invention, a computer program product executable at a base station i cp 25 is implemented according to claim 15, and according to a fifth aspect of the invention the system is implemented according to claim 16.

C\1C \ 1

COC/O

0 CO0 CO

1 301 30

Vastaavalla tavalla voidaan toteuttaa langaton päätelaite, tukiasema, tietokoneoh- 5 jelmatuote ja järjestelmä.Similarly, a wireless terminal, a base station, a computer software product and a system can be implemented.

Epäitsenäiset vaatimukset koskevat keksinnön sovellutusmuotoja. Keksinnön yhteen aspektiin liittyvien epäitsenäisten vaatimusten sisältö on sovellettavissa kek-5 sinnön muihinkin aspekteihin.The dependent claims relate to embodiments of the invention. The contents of the dependent claims relating to one aspect of the invention are applicable to other aspects of the invention.

Keksintöä selostetaan seuraavassa yksityiskohtaisesti esimerkkien avulla viittaamalla oheisiin kuvioihin Joissa 10 kuvio 1 esittää keksinnön erään sovellutusmuodon mukaista järjestelmää, jossa langatonta päätelaitetta käytetään kulunvalvonnassa; kuvio 2 esittää viestien vaihtoa keksinnön eräässä sovellutusmuodossa; 15 kuvio 3 esittää keksinnön erään sovellutusmuodon mukaista järjestelyä jär jestelmässä etukäteen määritellyn toimenpiteen suorittamiseksi; kuvio 4 esittää keksinnön erään sovellutusmuodon mukaista järjestelyä koskien yritystä, jolla on useita toimipisteitä, 20 kuvio 5 esittää keksinnön sovellutusmuodon toteuttamiseen soveltuvaa pää telaitetta; ja co w kuvio 6 esittää keksinnön sovellutusmuodon toteuttamiseen soveltuvaa tu- o 25 kiasemaa.The invention will now be described in more detail by way of example with reference to the accompanying drawings, in which: Figure 1 illustrates a system according to an embodiment of the invention in which the wireless terminal is used for access control; Figure 2 illustrates message exchange in one embodiment of the invention; Figure 3 illustrates an arrangement according to an embodiment of the invention for performing a predefined operation in a system; Figure 4 shows an arrangement according to an embodiment of the invention with respect to a company having multiple locations; Figure 5 shows a terminal suitable for implementing an embodiment of the invention; and co w Fig. 6 shows an input 25 suitable for implementing an embodiment of the invention.

o | Selvyyden vuoksi keksintöä selostetaan seuraavassa erityisesti Bluetooth- ja IP- c\j teknologioiden (Internet Protocol) avulla rajoittamatta kuitenkaan keksinnön so- 00 o vellutusalaa pelkästään näihin teknologioihin.o | For the sake of clarity, the invention will now be described, in particular, by means of Bluetooth and IP (Internet Protocol) technologies, without, however, limiting the scope of the invention to these technologies alone.

§ 30§ 30

Kuvio 1 esittää keksinnön erään sovellutusmuodon mukaista järjestelmää. Tämän 6 sovellutusmuodon mukaisesti kulunvalvonnassa käytetään oven 250 läheisyyteen asennettua Bluetooth-tukiasemaa 200, jonka välityksellä langattoman Bluetooth-päätelaitteen 100 omistaja (tai päätelaite) tunnistetaan, ja oven 250 lukitus avataan. Se, että kuviossa 1 Bluetooth-tukiaseman 200 ja oven 250 ympärillä on kat-5 koviiva tarkoittaa sitä, että kyseinen Bluetooth-tukiasema liittyy nimenomaan kyseisen oven lukituksen ohjaamiseen.Figure 1 illustrates a system according to an embodiment of the invention. According to this 6 embodiment, access control utilizes a Bluetooth base station 200 located near the door 250 through which the owner (or terminal) of the Bluetooth wireless terminal 100 is identified and the door 250 is unlocked. The fact that the Bluetooth base station 200 and the door 250 are surrounded by a cat-5 duct line in FIG.

Ovi 250 voi olla esimerkiksi yrityksen toimipisteen ulko-ovi. Bluetooth-päätelaite 100 voi olla mikä tahansa Bluetooth-ominaisuudella varustettu langaton päätelai-10 te, kuten PDA-laite tai solukkoverkon matkaviestin.Door 250 can be, for example, the exterior door of a business unit. The Bluetooth terminal 100 may be any wireless terminal 10 having Bluetooth capability, such as a PDA or a cellular network mobile station.

Kunkin järjestelmän tunnistettavissa olevan päätelaitteen 100 tunnistetieto, kuten uniikki Bluetooth-laitetunnus (BDADDR tai MAC-osoite tai vastaava), ja pääte-laitekohtainen PIN-koodi on etukäteen tallennettu järjestelmään kuuluvat pääte-15 laitteet tunnistavan käyttöoikeuspalvelimen 300 (esim. AAA-palvelin (Authentication, Authorization and Accounting)) tietokantaan 400. Tietokantaan 400 on etukäteen syötetty myös tieto tunnistuksen jälkeen tehtävästä toimenpiteestä, eli tässä tapauksessa oven 250 lukituksen avaamisesta.The identification information of each system identifiable terminal 100, such as a unique Bluetooth device identifier (BDADDR or MAC address or the like), and a terminal-specific PIN are pre-stored on the authentication server 300 (e.g., AAA server (Authentication Server) , Authorization and Accounting)) to database 400. Database 400 also contains information on the action to be taken after authentication, in this case unlocking the door 250.

20 Järjestelmään kuuluva Bluetooth-tukiasema eli Bluetooth-ominaisuudella varustettu tukiasema 200 tarkkailee alueellensa tulevia Bluetooth-päätelaitteita 100. Se lähettää tiheällä, ennalta määriteltävissä olevalla syklillä kyselyviestejä niiden co tunnistamiseksi. Kuvio 2 esittää viestien vaihtoa keksinnön eräässä sovellutus- muodossa. Sen mukaan tukiaseman 200 lähettämät viestit voivat olla Bluetooth-o 25 standardissa määriteltyjä INQUIRY-viestejä 121. INQUIRY-viestin 121 vastaan-The system Bluetooth base station, or Bluetooth enabled base station 200, monitors incoming Bluetooth terminals 100 in its area. It transmits polls in a dense, predetermined cycle to identify them. Figure 2 shows an exchange of messages in an embodiment of the invention. Accordingly, messages sent by base station 200 may be INQUIRY messages 121 as defined by Bluetooth 25 standard.

2 ottanut Bluetooth-päätelaite 100 vastaa INQUIRY-viestiin INQUIRYThe Bluetooth terminal 100 taken 2 responds to the INQUIRY message INQUIRY

ϊ RESPONSE -viestillä 122. Tähän viestiin Bluetooth-päätelaite 100 sisällyttää cvj laitetunnuksensa (BDADDR).ϊ with the RESPONSE message 122. In this message, the Bluetooth terminal 100 includes its cvj device identifier (BDADDR).

COC/O

oo

COC/O

o o 30 Tukiasema 200 kysyy käyttöoikeuspalvelimelta 300, kuuluuko kyseisen laitetun- nuksen omaava päätelaite järjestelmään. Käyttöoikeuspalvelin 300 tarkistaa tämän 7 tietokannasta 400. Jos laitetunnusta ei löydy tietokannasta 400, päätelaite ei kuulu järjestelmän piiriin eikä mitään toimenpiteitä tehdä. Tässä siis järjestelmä tunnistaa halutut päätelaitteet ja toteuttaa tunnuskoodikyselyn vain niille, jolloin muun kuin järjestelmään kuuluvan päätelaitteen käyttäjä ei edes saa tietoonsa jäijestel-5 män olemassaoloa tai käyttötarkoitusta. Jos laitetunnus löytyy tietokannasta 400, suoritetaan toimenpide, joka tietokannassa 400 on määritetty tunnistuksen jälkeen tehtäväksi toimenpiteeksi, eli tässä tapauksessa oven 250 lukituksen avaaminen (siis tässä: mikäli laite 100 löytyy käyttöoikeuspalvelimen 300 oikeutettujen laitteiden tietokannasta 400, tukiasema 200 olettaa laitteen 100 kantajan haluavan 10 päästä sisään). Toimenpidettä ei kuitenkaan tässä sovellutusmuodossa suoriteta pelkän laitetunnistuksen perusteella, vaan tietoturvasyistä Bluetooth-päätelaitteen 100 käyttäjältä kysytään vielä erillistä tunnuskoodia (PIN-koodi) ennen kuin oven 250 lukitus avataan. PIN-koodin kysymisessä käytetään hyväksi Bluetooth-standardien mahdollistamaa erityistä luotetun suhteen muodostusmenettelyä, jon-15 ka tuloksena kahden Bluetooth-laitteen välille muodostuu erityinen luotettu suhde.The access point 200 asks the access server 300 whether the terminal having the device ID in question is included in the system. The license server 300 checks this out of 7 databases 400. If no device ID is found in database 400, the terminal is not covered by the system and no action is taken. Here, the system identifies the desired terminals and carries out an ID code query only for them, whereby the user of a non-system terminal does not even become aware of the existence or purpose of the rigid system. If the device ID is found in the database 400, the operation defined in the database 400 as a post-authentication operation is performed, i.e., in this case unlocking the door 250 (i.e., if device 100 is found in the authorized device database 400 of access server 300, base station 200 in). However, in this embodiment, the operation is not performed on the basis of device identification alone, but for security reasons, the user of the Bluetooth terminal 100 is still asked for a separate passcode (PIN) before unlocking the door 250. The PIN code request utilizes the special trusted relationship established by Bluetooth standards, which results in a special trusted relationship between two Bluetooth devices.

Luotetun suhteen muodostaminen on sinänsä alan ammattimiehelle tunnettua. Siinä käytetään sekä Bluetooth-päätelaitteen 100 omaa päätelaitekohtaista PIN-koodia että Bluetooth-tukiaseman 200 omaa PIN-koodia. Päätelaite 100 ja tu-20 kiasema 200 kysyvät oman PIN-koodinsa toisiltaan. Nyt esillä olevassa sovellutusmuodossa Bluetooth-tukiasema 200 hakee, laitetunnuksen perusteella, kyseessä olevan Bluetooth-päätelaitteen 100 PIN-koodin käyttöoikeuspalvelimelta 300, co jonka tietokannasta 400 löytyvät järjestelmän päätelaitteiden laitetunnusten ja ° PIN-koodien väliset vastaavuudet, ja toimittaa sitten jossakin sopivassa vaiheessa i o 25 päätelaitteen 100 PIN-koodin päätelaitteelle, en | Bluetooth-tukiasema 200 aloittaa aloitusviestillä, kuten PAGE-viestillä, luotetun c\j suhteen muodostusmenettelyn ja pyytää Bluetooth-päätelaitteelta 100 luotetun o suhteen vahvistavaa Bluetooth-tukiaseman 200 PIN-koodia. Bluetooth- co o o 30 päätelaitteessa 100 pyydetään käyttäjää syöttämään tämä koodi.Establishing a relationship of trust is known per se to those skilled in the art. It uses both a Bluetooth-specific terminal-specific PIN and a Bluetooth-based base station 200-specific PIN. The terminal 100 and the tu-20 kiosk 200 ask each other for their own PIN. In the present embodiment, the Bluetooth base station 200, based on the device ID, retrieves the PIN of the Bluetooth terminal 100 in question from the access server 300, co, whose database 400 contains the correspondences between the system identifiers and the ° PINs, and then delivers the io 25 100 PINs for the terminal, en | The Bluetooth base station 200 initiates, by means of an initial message, such as a PAGE message, a trusted connection setup procedure and requests from the Bluetooth terminal 100 a trusted Bluetooth access point 200 PIN. The Bluetooth co-o 30 terminal 100 asks the user to enter this code.

8 PAGE-viestissä tukiasema 200 voi halutessaan asettaa itsensä tukiaseman 200 ja päätelaitteen 100 muodostaman Bluetooth pico-verkon isännäksi. Päätelaite 100 vastaa PAGE-viestiin PAGE RESPONSE -viestillä, jossa käyttäjän syöttämä tukiaseman PIN-koodi toimitetaan tukiasemalle 200. Jos käyttäjän syöttämä PIN-5 koodi on oikea, luodaan Bluetooth-tukiaseman 200 ja Bluetooth-päätelaitteen 100 välille luotettu suhde ja suoritetaan edellä mainittu tietokannassa 400 määritelty toimenpide, eli tässä tapauksessa oven 250 lukituksen avaaminen. Toimenpiteen suorittamisen jälkeen luotettu suhde puretaan. Luotettu suhde voidaan purkaa esimerkiksi tukisemasta 200 päätelaitteelle 100 lähetettävällä LMP_DETACH -10 viestillä 123 (kuvio 2).In the PAGE message, the base station 200 may, if desired, set itself as the host of the Bluetooth pico network formed by the base station 200 and the terminal 100. The terminal 100 responds to the PAGE message with a PAGE RESPONSE message, whereby the user-entered base station PIN is transmitted to the base station 200. If the user-entered PIN-5 code is correct, a trusted relationship is established between the Bluetooth base station 200 and the Bluetooth terminal 100. 400 defined action, in this case unlocking the door 250. After the operation, the trust relationship is dissolved. For example, the trusted relationship may be decoded from the base station 200 by the LMP_DETACH -10 message 123 to be sent to the terminal 100 (Figure 2).

Edellä esitettiin toimenpiteeksi, joka suoritetaan laitetunnistuksen ja tunnuskoodi-kyselyn jälkeen, oven 250 lukituksen avaaminen. Keksinnön vaihtoehtoisissa so-vellutusmuodoissa oven lukituksen avaamisen lisäksi tai sen sijaan voidaan suorit-15 taa jokin muu toimenpide, joka voi olla luonteeltaan paikkasidonnainen. Tarkastellaan tähän liittyen seuraavassa kuviota 3, jossa on esitetty keksinnön erään so-vellutusmuodon mukainen järjestely järjestelmässä etukäteen määritellyn toimenpiteen suorittamiseksi. Kuviossa 3 esitetty järjestely sopii erityisesti yritykseen, jossa on tarvetta kulunvalvonnan lisäksi antaa tieto työntekijän saapumisesta yri-20 tykseen yrityksen muiden järjestelmien käyttöön ja/tai jossa on tarvetta työntekijän saapuessa siirtää tietoa yrityksen järjestelmistä työntekijän langattomaan päätelaitteeseen, co ° Kuviossa 3 on esitetty kuviosta 1 tuttujen yksiköiden/elementtien lisäksi yrityksen o 25 tietojärjestelmä 500, johon kuuluvat esimerkiksi puhelinvaihde 521, paikkatieto- ^ järjestelmä 522, työajanseurantajärjestelmä 523 sekä sähköposti- ja kalenterijär- g jestelmä 524. Mainitut järjestelmät 521-524 on kytketty toisiinsa tietojärjestelmän c\j 500 kautta. Käyttöoikeuspalvelimelta 300 on yhteys yrityksen tietojärjestelmään o 500 järjestelmärajapinnan 510 kautta, o o 30 c\jAbove, it was proposed to unlock the door 250 as a measure to be performed after the device identification and the ID code query. In alternative embodiments of the invention, in addition to or instead of unlocking the door, some other operation may be performed which may be site-specific in nature. In this connection, reference will now be made to Figure 3, which shows an arrangement according to an embodiment of the invention in a system for performing a predefined operation. The arrangement shown in Figure 3 is particularly suited to an enterprise that requires, in addition to access control, information on the arrival of an employee to the company's other systems and / or the need to transfer information from the company's systems to the employee's mobile terminal upon arrival. in addition to the units / elements, the information system 500 of the company 25 includes, for example, a telephone exchange 521, a location information system 522, a time tracking system 523, and an email and calendar system 524. Said systems 521-524 are interconnected via an information system c1,500. The access server 300 is connected to the enterprise information system o 500 via system interface 510, o o 30 c \ j

Kuviossa 3 esitetyssä sovellutusmuodossa toimitaan pääosin vastaavasti kuin ku- 9 vioiden 1 ja 2 havainnollistamissa sovellutusmuodoissa. Käyttöoikeuspalvelimen 300 tietokantaan 400 on etukäteen syötetty tieto Bluetooth-päätelaitteen 100 tunnistuksen jälkeen tehtävistä toimenpiteistä. Tässä tapauksessa toimenpiteet voivat käsittää oven 250 lukituksen avauksen sijaan tai lisäksi hyötyinformaation siirtoa 5 yhdestä tai useammasta järjestelmästä 521-524 Bluetooth-päätelaitteeseen 100 ja/tai hyötyinformaation siirtoa Bluetooth-päätelaitteesta 100 yhteen tai useampaan järjestelmään 521-524. Vaihtoehtoisesti tai lisäksi toimenpiteet voivat käsittää sen tiedon, että työntekijä (tai käyttäjä) on saapunut rakennukseen, lähettämisen Bluetooth-tukiasemasta 200 (tai käyttöoikeuspalvelimesta 300 sillä edellytyk- 10 sellä, että tukiasema 200 on kommunikoinut käyttöoikeuspalvelimelle 300, että käyttäjä on syöttänyt oikean PIN-koodin) joukolle muita järjestelmiä 521-524. Hyötyinformaatiolla tarkoitetaan tässä käyttäjän kannalta hyödyllistä informaatiota (tai dataa) erotuksena järjestelmän ohjaus- tai signalointi-informaatiosta.In the embodiment shown in Fig. 3, the procedure is essentially the same as in the embodiments illustrated in Figs. 1 and 2. The access server 300 database 400 contains pre-entered information on the actions to be taken after the Bluetooth terminal 100 is recognized. In this case, the actions may include, instead of unlocking or unlocking the door 250, transferring useful information 5 from one or more systems 521-524 to Bluetooth terminal 100 and / or transferring useful information from Bluetooth terminal 100 to one or more systems 521-524. Alternatively, or additionally, the actions may include transmitting information that the employee (or user) has entered the building from the Bluetooth base station 200 (or the access server 300, provided the base station 200 has communicated to the access server 300 that the user has entered the correct PIN ) for a number of other systems 521-524. Useful information herein refers to information (or data) useful to the user as distinct from system control or signaling information.

15 Jos siis tukiaseman 200 alueelle saapuneen Bluetooth-päätelaitteen 100 laitetun-nus löytyy käyttöoikeuspalvelimen 300 tietokannasta 400 ja käyttäjä antaa oikean PIN-koodin luotetun suhteen vahvistamiseksi, suoritetaan tietokantaan 400 määritetyt toimenpiteet, esimerkiksi seuraavasti: 20 - lähetetään tukiasemasta 200 käyttöoikeuspalvelimelle 300 tieto, että käyt täjä on antanut oikean PIN-koodin, ja lähetetään käyttöoikeuspalvelimelta 300 edelleen järjestelmärajapinnan 510 kautta tietojärjestelmään 500 tieto co käyttäjän (tai työntekijän päätelaitteen 100) saapumisesta alueelle. Tällöin tietojärjestelmässä 500 voidaan tämä tieto viedä puhelinvaihteelle 521 (tai i cp 25 tavoitettavuuspalvelulle (ei esitetty)), paikkatietojärjestelmälle 522, työ- ^ ajanseurantajärjestelmälle 523 sekä sähköposti- ja kalenterijärjestelmälle £ 524 näiden järjestelmien päivittämiseksi sillä tiedolla, että käyttäjä on saa- c\j punut; 00 o - avataan oven 250 lukitus (käyttöoikeuspalvelin 300 voi joko suoraan ohja- o o 30 ta oven 250 lukitusmekanismia tai se voi olla yhteydessä oven avausme- kanismin toiminnallisuuden sisältävään järjestelmään (ei esitetty)) 10 - tehdään synkronointitoimenpiteitä päätelaitteen 100 ja järjestelmän välillä: synkronoidaan päätelaitteessa 100 olevat sähköposti- ja kaienteritiedot järjestelmän 524 sähköposti- ja kalenteritietojen kanssa (tässä tyypillisesti tulee kyseeseen kahdensuuntainen tiedonsiirto päätelaitteen 100 ja tietojär- 5 jestelmän 500 välillä); - välitetään tietojärjestelmästä 500 tietoja päätelaitteeseen 100, jotka päätelaite sitten ilmaisee käyttäjälle. Esimerkiksi, jos rakennuksessa on laite-huone, voidaan tietojärjestelmän 500 paikkatietojärjestelmästä 522 löytyvät laitehuoneen tilatiedot, kuten kuten lämpötila, ilmankosteus, laitteiden 10 hälytystiedot yms. välittää käyttäjälle (tai asentajalle).Thus, if the Bluetooth terminal 100 of the access terminal 200 is located in the access terminal 300 database 400 and the user enters the correct PIN to confirm the trusted relationship, the steps specified in the database 400 are performed, for example: 20 - transmitting from access point 200 the user has provided the correct PIN, and is forwarded from the access server 300 via system interface 510 to the information system 500 upon entry of the user (or employee terminal 100) into the area. Then, in information system 500, this information can be exported to telephone exchange 521 (or i cp 25 for accessibility service (not shown)), geographic information system 522, time tracking system 523, and email and calendar system £ 524 to update these systems with information that the user has access. subsided; 00 o - Unlocking the door 250 (Access server 300 can either directly control the door 250 locking mechanism or be connected to a system containing the door unlock mechanism functionality (not shown)) 10 - Perform synchronization operations between the terminal 100 and the system: synchronizing at the terminal 100 e-mail and cadence information with system 524 e-mail and calendar information (typically a two-way communication between terminal 100 and information system 500); - transmitting information from the information system 500 to the terminal 100, which then informs the user. For example, if a building has a device room, the device room status information such as temperature, air humidity, device 10 alarm, etc. in GIS 522 can be transmitted to the user (or installer).

Bluetooth-tukiasema 200 voi toimia langattoman lähiverkon (WLAN) tukiasemana. Sen kautta voidaan tunnistuksen jälkeen syöttää automaattisesti (ilman käyttäjän toimenpiteitä) tietoa päätelaitteeseen 100. Tunnistetietoa voidaan käyttää tun-15 nistusmenettelyyn myös tietojärjestelmätasolla, minkä jälkeen tietoja voidaan siirtää päätelaitteelle/päätelaitteelta 100 myös muiden tukiaseman 200 verkkorajapin-tojen kautta.The Bluetooth access point 200 can serve as a wireless local area network (WLAN) access point. After the authentication, it can automatically (without user intervention) input data to the terminal 100. The identification information can also be used for the identification procedure at the information system level, after which the data can be transmitted to the terminal / terminal 100 also through other network interfaces of the base station 200.

Vaikka kuvioissa 1 ja 3 ei ole esitetty nuolta tukiaseman 200 ja tietojärjestelmän 20 500 välillä, tämä ei tarkoita sitä, etteikö informaatiota voitaisi siirtää Bluetooth- päätelaitteen 100 ja tietojärjestelmän 500 välillä sen kulkematta käyttöoikeuspal-velimen 300 kautta, vaan tukiasema 200 voi olla suoraan kytketty tietojärjestel-oo mään 500 esimerkiksi lähiverkkoyhteydellä tai vastaavalla.Although arrows between base station 200 and information system 20,500 are not shown in Figures 1 and 3, this does not mean that information cannot be transferred between Bluetooth terminal 100 and information system 500 without passing through access server 300, but that base station 200 may be directly connected to information system -to 500, for example, through a LAN connection or the like.

δδ

CvJCVJ

o 25 Tiedonsiirrossa eri järjestelmien välillä voidaan käyttää IP-protokollaa. Päätelait- ? teen 100 ja tukiaseman 200 välillä IP-liikenne voidaan toteuttaa Bluetooth- £ protokollien päällä.o 25 The IP protocol can be used for communication between different systems. Terminals-? Between the network 100 and the base station 200, IP traffic can be implemented over Bluetooth protocols.

c\r c\r 00 o Bluetooth-tukiaseman 200 ja Bluetooth-päätelaitteen 100 välille muodostettu (ti- o o 30 lapäinen) luotettu suhde voidaan purkaa perustuen ennalta tukiasemassa 200 mää riteltyyn enimmäisvoimassaoloaikaan ja/tai perustuen määrätyn ehdon toteutumi- 11 seen. Mainittu ehto voi olla halutun tapahtuman (tai paikkariippuvaisen toimenpiteen), kuten tiedonsiirron järjestelmältä päätelaitteelle, päätelaitteelta järjestelmään tai päätelaitteen ja ulkoisen sovelluksen välillä, päättyminen. Kun luotettu suhde puretaan vasteena paikkariippuvaisen toimenpiteen loppuunsuorittamiselle, 5 mahdollistetaan PIN-koodin kysely seuraavallakin saapumiskerralla.The trusted relationship between the Bluetooth base station 200 and the Bluetooth terminal 100 (about 30 blades) may be decomposed based on a predetermined maximum validity period on the base station 200 and / or based on the fulfillment of a predetermined condition. Said condition may be the termination of a desired event (or location dependent operation), such as data transfer from system to terminal, from terminal to system, or between terminal and external application. When the trusted relationship is unblocked in response to the completion of the location dependent operation, the PIN can be queried the next time it arrives.

Täten siis luottosuhde tukiaseman ja langattoman päätelaitteen välillä voidaan muodostaa tilapäiseksi ja purkaa automaattisesti (ilman käyttäjän toimenpiteitä), jolloin vapautetaan tilaa mahdollisille uusille käyttäjille. Tyypillisesti tukiasemalla 10 voi olla luotettuja suhteita vain rajattu määrä kerrallaan. Luottosuhde voidaan tukiaseman ja langattoman päätelaitteen välille luoda uudestaan esimerkiksi poistumalla päätelaitteen kanssa välillä Bluetooth-tukiaseman kantaman alueelta ja saapumalla kantaman alueelle uudestaan.Thus, the credit relationship between the base station and the wireless terminal can be temporarily established and automatically discharged (without user intervention), thus freeing up space for potential new users. Typically, base station 10 can have trusted relationships only a limited number at a time. The credit relationship between the base station and the wireless terminal can be recreated, for example, by leaving the Bluetooth base station within range of the terminal and re-entering the range.

15 Keksinnön eräässä sovellutusmuodossa luotettu suhde määritellään luotavaksi aikaisintaan halutun minimiajan kuluttua (minimiaika riippuu toteutuksesta, se voi olla esimerkiksi joitakin minuutteja tai tunteja). Tämä tehdään asettamalla käyttö-oikeuspalvelimen 300 tietokannassa 400 kyseessä olevan päätelaitteen 100 tunnistetiedot mainitun minimiajan ajaksi tilapäisesti ”ei-luotetuiksi”. Tällä tavalla voi-20 daan estää ei-tarkoituksenmukaiset luotetun suhteen luomiset ja niihin liittyvät PIN-koodikyselyt heti edellisen luotetun suhteen luomisen ja purkamisen jälkeen.In one embodiment of the invention, the trusted relationship is defined to be created at the earliest after the desired minimum time (the minimum time depends on the implementation, it may be, for example, a few minutes or hours). This is done by temporarily setting the identity of the terminal 100 in question in the database 400 of the access server 300 temporarily "untrusted". In this way, inappropriate trust relationship creation and associated PIN code queries can be prevented immediately after the previous trust relationship has been created and decommissioned.

co Yhteenvetona eräistä edellä esitetyistä sovellutusmuodoista voidaan todeta niissä ° toteutettavan seuraavia vaiheita: o 25 T- - tukiasema 200 havaitsee Bluetooth-laitteen 100; £ - Bluetooth-laitteen 100 tunnistetieto löytyy järjestelmän tietokannasta 400; cm - tukiasema 200 ehdottaa Bluetooth-laitteelle 100 väliaikaisen luottosuhteenIn summary, some of the above embodiments may be carried out in the following steps: o 25 T - base station 200 detects Bluetooth device 100; £ - identification of the Bluetooth device 100 is found in system database 400; cm - Base Station 200 suggests a temporary credit to the Bluetooth device 100

CMCM

00 o luomista kysymällä Bluetooth-laitteelta 100 tukiaseman PIN-koodia; o o 30 - Bluetooth-laite 100 palauttaa oikean PIN-koodin; - tietokannasta 400 palautetaan Bluetooth-laitteen 100 tunnistetietoon liite- 12 tyt käyttöoikeudet ja palvelut käyttöoikeuspalvelimelle 300, kuten AAA-palvelimelle, ja tarvittaessa erilliselle palvelimelle, joka suorittaa annetut toimenpiteet, kuten oven 250 lukon avaamisen; - välitetään Bluetooth-päätelaitteen 100 saapumiseen liittyvää tietoa järjes-5 telmärajapinnan 510 kautta muille järjestelmille 500, 521-524 esimerkiksi tietojen päivitystarkoituksessa; lähetetään muuta informaatiota järjestelmiltä 500, 521-524 Bluetooth-päätelaitteelle 100 tai Bluetooth-päätelaitteelta 100 järjestelmille 500, 521-524 esimerkiksi synkronointitarkoituksessa; ja 10 - tukiaseman 200 ja Bluetooth-päätelaitteen 100 välille perustettu luotettu suhde puretaan.00 o Create by asking your Bluetooth device for 100 access point PINs; o o 30 - Bluetooth device 100 returns the correct PIN code; - recovering from the database 400 the accesses and services 12 associated with the identification data of the Bluetooth device 100 to the access server 300, such as the AAA server, and, if necessary, to a separate server performing the provided operations such as unlocking the door 250; - forwarding information related to the arrival of the Bluetooth terminal 100 via the system interface 510 to other systems 500, 521-524, for example for data updating purposes; transmitting other information from systems 500, 521-524 to Bluetooth terminal 100, or from Bluetooth terminal 100 to systems 500, 521-524, for example for synchronization purposes; and 10 - releasing the trusted relationship between the base station 200 and the Bluetooth terminal 100.

Edellä on esitetty, että luotettua suhdetta luotaessa tulee Bluetooth-päätelaitteen 100 käyttäjän tietää tukiaseman Bluetooth-tukiaseman 200 PIN-koodi. PIN-koodi 15 on käyttäjästä riippumatta sama. Tässä tapauksessa järjestelmän tietoturva siis perustuu Bluetooth-päätelaitteen 100 tunnistetietoon (BD_ADDR) sekä tukiaseman PIN-koodin tuntemiseen. Edellä esitetysti aktiivinen osapuoli järjestelmässä on tukiasema 200, joka automaattisesti tunnistaa päätelaitteen 100. Kun käyttäjällä on mukana päätelaitteensa, hänen tarvitsee ainoastaan näppäillä tukiaseman 20 PIN-koodi, kun päätelaite tätä kysyy. Täten menetelmää voidaan pitää varsin helppokäyttöisenä käyttäjän näkökulmasta katsoen.It has been stated above that, when establishing a trusted relationship, the user of the Bluetooth terminal 100 becomes aware of the PIN of the Bluetooth base station 200 of the base station. PIN 15 is the same regardless of the user. In this case, the security of the system is thus based on the identification (BD_ADDR) of the Bluetooth terminal 100 and the knowledge of the base station PIN. As discussed above, the active party in the system is a base station 200 that automatically identifies the terminal 100. When a user has his or her terminal, he or she need only enter the PIN of the base station 20 when prompted by the terminal. Thus, the method can be considered quite easy to use from the user's point of view.

co Keksinnön eräässä vaihtoehtoisessa sovellutusmuodossa tietoturvaa voidaan pa- cm rantaa laajentamalla luotetun suhteen luomista siten, että kullekin käyttäjälle anne- o 25 taan käyttöoikeuspalvelimen tietokantaan 400 oma tukiaseman PIN-koodi, joka ^ käyttäjän tulee tuntea. Toisin sanoen tässä sovellutusmuodossa tukiaseman PIN- £ koodi vaihtelee käyttäjästä riippuen. Käyttäjältä kysytään tukiaseman PIN-koodia cm ja jos käyttäjä antaa oikean koodin, luodaan Bluetooth-tukiaseman 200 ja Blue- oo o tooth-päätelaitteen 100 välille luotettu suhde ja suoritetaan edellä mainittu tieto- o o 30 kannassa 400 määritelty toimenpide. Tässä sovellutusmuodossa on mahdollista muuttaa yksittäistä käyttäjää koskien tukiaseman PIN-koodia ilman, että muutok- 13 sella on vaikutusta muihin käyttäjiin.In an alternative embodiment of the invention, security can be improved by extending the establishment of a trusted relationship by providing each user with an access point PIN 400 in the access server database 400 which the user must know. In other words, in this embodiment, the PIN of the base station varies depending on the user. The user is asked for the base station PIN cm and if the user enters the correct code, a trusted relationship is established between the Bluetooth base station 200 and the Bluetooth o tooth terminal 100 and the above operation defined in the base 400 of the data base 30 is performed. In this embodiment, it is possible to change a single user regarding the base station PIN without affecting the other users.

Kuvio 4 esittää keksinnön erään sovellutusmuodon mukaista järjestelyä, joka soveltuu kulunvalvontaan ja edellä esitettyjen toimenpiteiden suorittamiseen erityi-5 sesti yrityksessä, jolla on useita toimipisteitä.Figure 4 illustrates an arrangement according to an embodiment of the invention suitable for access control and for performing the above operations, particularly in a company having multiple locations.

Yrityksen pääkonttorin 710 tiloissa on tarvittava määrä ovia 250 ja kullekin oma Bluetooth-tukiasemansa 200, joiden toiminta on selostettu edellä esitettyjen sovel-lutusmuotojen yhteydessä. Pääkonttorin kiinteään tai langattomaan lähiverkkoon 10 kytketty käyttöoikeuspalvelin 300 (AAA-palvelin) toimii koko yrityksen kaikkien toimipisteiden autentikointipalvelimena. Sama palvelin voi lisäksi toimia yrityksen muidenkin järjestelmien (ei esitetty kuviossa 4) autentikointipalvelimena.The premises of company headquarters 710 will have the required number of doors 250 and each of its own Bluetooth base station 200, the operation of which will be described in connection with the above embodiments. The access server 300 (AAA server) connected to the head office wired or wireless LAN 10 acts as an authentication server for all offices throughout the company. The same server can also serve as an authentication server for other enterprise systems (not shown in Figure 4).

Yrityksellä on toinen sivutoimipiste 720, johon on kiinteä datayhteys yrityksen 15 intranet-verkon 700 (tai WAN-verkon (Wide Area Network)) kautta. Sivutoimipisteessä oleva Bluetooth-tukiasema 201 toimii vastaavalla tavalla kuin tukiasema 200 edellä esitetyissä sovellutusmuodoissa. Nyt palvelimelta 300 tehtävä kysely siitä, kuuluuko tukiaseman havaitsema päätelaite 100 järjestelmään tehdään intranet-verkon 700 liittymän kautta. Paikkasidonnainen toimenpide, joka suoritetaan 20 voi olla esimerkiksi oven 250a lukituksen avaaminen.The company has another branch office 720 that has a fixed data connection through the company 15's intranet 700 (or WAN (Wide Area Network)). The Bluetooth base station 201 at the branch office operates in a manner similar to the base station 200 in the above embodiments. Now, a request is made from the server 300 to determine whether the terminal 100 detected by the base station is included in the system through the interfaces 700 of the intranet. The location-specific operation performed 20 may include, for example, unlocking the door 250a.

Kolmannessa sivutoimipisteessä 730 (tämä voi olla etätyöpiste) ei ole kiinteää co dataliittymää. Yhteydet tämän sivutoimipisteen 730 ja muun yritysverkon kanssa ° hoidetaan langattomalla yhteydellä. Palvelimelta 300 tehtävä kysely siitä, kuuluu- o 25 ko tukiaseman 202 havaitsema päätelaite 100 järjestelmään, tehdään solukkoverk- ^ koyhteyden, kuten GSM-data tai GPRS-yhteyden, avulla. Paikkasidonnainen toi- g menpide, joka suoritetaan voi olla esimerkiksi oven 250b lukituksen avaaminen.Third branch office 730 (this may be a remote office) does not have a fixed co data interface. Connections to this branch office 730 and other corporate networks are done wirelessly. The request from the server 300 whether the terminal 100 detected by the base station 202 is part of the system is made through a cellular network connection such as GSM data or GPRS. The location-specific action to be performed may be, for example, unlocking the door 250b.

c\j c\j 00 o Kuvio 5 esittää keksinnön sovellutusmuotojen toteuttamiseen soveltuvan erään o o 30 langattoman päätelaitteen 100 yksinkertaistettua lohkokaaviota. Tällainen pääte laite voi olla mikä tahansa laite, joka käsittää välineet kommunikointiin tukiase- 14 man 200 kanssa lyhyen kantaman radiotaajuustekniikalla, kuten esimerkiksi matkaviestin, älypuhelin, kämmentietokone tai kannettava tietokone. Kuvion 5 langaton päätelaite 100 käsittää prosessointiyksikön 101, käyttöliittymän 102 ja Blue-tooth-lähetinvastaanottimen 103. Bluetooth-lähetinvastaanotin 103 ja käyttöliit-5 tymä UI on kytketty prosessointiyksikköön 101. Käyttöliittymä UI käsittää näytön ja näppäimistön (ei esitetty), joiden avulla käyttäjä voi käyttää langatonta päätelaitetta 101. Lisäksi langaton päätelaite 100 voi käsittää esimerkiksi erillisen radio-taajuusosan solukkoverkkotoimintojen toteuttamiseen.Figure 5 shows a simplified block diagram of a batch of wireless terminal 100 suitable for implementing embodiments of the invention. Such a terminal device may be any device comprising means for communicating with base station 200 by short-range radio frequency technology, such as a mobile station, a smartphone, a handheld computer or a laptop computer. The wireless terminal 100 of Figure 5 comprises a processing unit 101, a user interface 102, and a Blue-tooth transceiver 103. The Bluetooth transceiver 103 and the user interface UI are coupled to the processing unit 101. The user interface UI comprises a display and keyboard (not shown). wireless terminal 101. Additionally, wireless terminal 100 may comprise, for example, a separate radio frequency portion for performing cellular network functions.

10 Prosessointiyksikkö 101 käsittää suorittimen (ei esitetty) ja muistin 104. Muistiin on tallennettu ohjelmisto, jonka avulla suoritin ohjaa langattoman päätelaitteen 100 toimintaa, kuten Bluetooth-lähetinvastaanottimen 103 käyttöä, tiedon esittämistä käyttöliittymän 102 näytöllä ja käyttöliittymän UI näppäimistön kautta saapuvien syötteiden lukemista. Ohjelmisto on rakennettu joukosta ohjelmakoodeja, 15 jotka voi olla paketoitu yhteen tietokoneohjelmalohkoon tai yhden tietokoneohjelman eri lohkoihin tai ne voivat olla osia suuremmasta ohjelmistokokonaisuudesta.The processing unit 101 comprises a processor (not shown) and a memory 104. A software is stored in the process by which the processor controls the operation of the wireless terminal 100, such as using Bluetooth transceiver 103, displaying information on the UI display 102 and reading UI keypad input. The software is constructed from a plurality of program codes, which may be packaged in a single computer program block or in different blocks of a single computer program, or may be part of a larger software package.

Tukiasemasta 102 lähetetty INQUIRY-viesti vastaanotetaan Bluetooth-20 lähetinvastaanottimen 103 kautta prosessointiyksikköön, joka muodostaa muistissa 104 toteutetun Bluetooth-protokollapinon perusteella INQUIRYRESPONSE -viestin, joka lähetetään tukiasemalle Bluetooth-lähetinvastaanottimen 103 kautta, co Luotetun suhteen vahvistamiseksi suoritettava PIN-koodikysely toteutetaan käytti töliittymän 102 näytöllä ja käyttäjän näppäilemä koodi vastaanotetaan käyttäliit- o 25 tymän 102 näppäimistön kautta, en g Päätelaite 100 voi myös käsittää IP-protokollapinon IP-pohjaisia toimenpiteitä (tai c\j palveluj a) varten. Päätelaite voi käsittää oman java-ohjelmiston tai käyttöliittymän 00 o verkon (tai järjestelmän) tarjoamien palvelujen käyttämiseksi tai tietojen esittämi- o 30 seksi.The INQUIRY message sent from the base station 102 is received via the Bluetooth transceiver 103 to a processing unit which, based on the Bluetooth protocol stack implemented in memory 104, generates an INQUIRYRESPONSE message sent to the base station via the Bluetooth transceiver 103. and the user-typed code is received through the keypad of the access terminal 25, en g The terminal 100 may also comprise an IP protocol stack for IP-based operations (or services). The terminal may comprise its own Java software or user interface for accessing or displaying information provided by the 00 o network (or system).

1515

Keksinnön sovellutusmuodoissa esitetyn järjestelmän toiminnallisuus voidaan saavuttaa ohjelmoitavissa olevalla tukiasemalla ja sen ohjelmistolla. Kuvio 6 esittää keksinnön sovellutusmuotojen toteuttamiseen soveltuvan erään tukiaseman 200 yksinkertaistettua lohkokaaviota. Kuvion 6 tukiasema voi toimia sekä Blue-5 tooth-tukiasemana että langattoman lähiverkon tukiasemana. Tukiasema 200 käsittää prosessointiyksikön 201, Bluetooth-lähetinvastaanottimen 203, WLAN-lähetinvastaanottimen 206 ja IP-rajapinnan 207. Bluetooth-lähetinvastaanotin 203, WLAN-lähetinvastaanotin 206 ja IP-rajapinta 207 on kytketty prosessointiyksikköön 201.In the embodiments of the invention, the functionality of the system disclosed can be achieved by a programmable base station and its software. FIG. 6 is a simplified block diagram of a base station 200 suitable for implementing embodiments of the invention. The base station of Figure 6 can serve as both a Blue-5 tooth base station and a wireless LAN base station. The base station 200 comprises a processing unit 201, a Bluetooth transceiver 203, a WLAN transceiver 206, and an IP interface 207. The Bluetooth transceiver 203, the WLAN transceiver 206, and the IP interface 207 are coupled to the processing unit 201.

1010

Prosessointiyksikkö 201 käsittää tietojenkäsittelyprosessorin (ei esitetty) ja muistin 204. Muistiin on tallennettu ohjelmisto, jonka avulla tietojenkäsittelyprosessori ohjaa tukiaseman 200 toimintaa, kuten Bluetooth-lähetinvastaanottimen 203, WLAN-lähetinvastaanottimen 206 ja IP-rajapinnan 207 käyttöä. Ohjelmisto on 15 rakennettu joukosta ohjelmakoodeja, jotka voi olla paketoitu yhteen tietokoneoh-jelmalohkoon tai yhden tietokoneohjelman eri lohkoihin tai ne voivat olla osia suuremmasta ohj elmistokokonaisuudesta.The processing unit 201 comprises a data processing processor (not shown) and a memory 204. The software stores the data processing processor to control the operation of the base station 200, such as the use of a Bluetooth transceiver 203, a WLAN transceiver 206 and an IP interface 207. The software is constructed from a plurality of program codes that may be packaged into a single computer program block or into different blocks of a single computer program, or may be part of a larger software package.

Bluetooth-päätelaitteille 100 lähetettävät INQUIRY-viestit muodostetaan muistis-20 sa 104 toteutetun Bluetooth-protokollapinon perusteella prosessointiyksikössä 201 ja lähetetään Bluetooth-lähetinvastaanottimen 203 kautta. Bluetooth-päätelaitteilta 100 vastauksena tulevat INQUIRY RESPONSE -viestit vastaanotetaan Blue-oo tooth-lähetinvastaanottimen 203 kautta prosessointiyksikköön 201. Prosessointi tiyksikkö 201 muodostaa käyttöoikeuspalvelimelle 300 IP-rajapinnan 207 kautta o 25 lähetettävät päätelaitteiden tunnistetietoihin perustuvat kyselyt. Prosessointiyksik- ^ kö 203 myös panee alulle luotetun suhteen muodostuksen tunnuskoodikyselyineen g ja käskyttää käyttöoikeuspalvelinta 300 siitä, että tietokannassa 400 määritetyt c\j paikkasidonnaiset toimenpiteet tehdään. Tiedonsiirto päätelaitteelle 100 ja pääte- o laitteelta 100 voidaan toteuttaa IP-tekniikalla Bluetooth-lähetinvastaanottimen 203 co o o 30 ja/tai WLAN-lähetinvastaanottimen 206 kautta. Jos WLAN-yhteyttä käytetään tulee myös päätelaitteessa olla WLAN-lähetinvastaanotin (ei esitetty kuviossa 5).The INQUIRY messages to be sent to the Bluetooth terminals 100 are formed on the basis of the Bluetooth protocol stack implemented in the memory 204 in the processing unit 201 and transmitted via the Bluetooth transceiver 203. The INQUIRY RESPONSE messages in response from the Bluetooth terminals 100 are received via the Blue-tooth transceiver 203 to the processing unit 201. The processing unit 201 forms requests for terminal information based on the terminal identities to be sent to the access server 300 via the IP interface 207. The processing unit 203 also initiates the establishment of a trusted relationship with the code request queries g and instructs the access server 300 to perform the location-specific actions defined in the database 400. The data transmission to the terminal 100 and the terminal 100 may be implemented by IP technology via a Bluetooth transceiver 203 and / or a WLAN transceiver 206. If a WLAN connection is used, the terminal must also have a WLAN transceiver (not shown in Figure 5).

1616

Kun paikkasidonnaiset toimenpiteet on suoritettu ja/tai kun luotetun suhteen enimmäisvoimassaoloaika on kulunut umpeen, prosessointiyksikkö 203 muodostaa luotetun suhteen purkuviestin (esim. LMPDETACH), joka lähetetään päätelaitteelle 100 Bluetooth-lähetinvastaanottimen 203 kautta. Tieto siitä, että paik-5 kasidonnaiset toimenpiteet on suoritettu voidaan tuoda tukiasemalle IP-rajapinnan 207 kautta joko suoraan tietojärjestelmästä 500 tai käyttöoikeuspalvelimen 300 kautta.When the location-specific actions have been performed and / or the trusted relationship maximum validity period has expired, the processing unit 203 generates a trusted relationship decryption message (e.g., LMPDETACH) which is transmitted to the terminal 100 via the Bluetooth transceiver 203. Information that location-based operations have been performed can be brought to the base station via IP interface 207, either directly from information system 500 or through access server 300.

Keksinnön sovellutusmuotojen mukainen järjestely mahdollistaa langattoman 10 päätelaitteen, kuten matkapuhelimen, käytön kulunvalvonnassa siten, että langat-tomaa päätelaitetta voi käyttää myös tiedon lähettämiseen kulunvalvontajärjestelmään tai muuhun järjestelmään ja tiedon vastaanottamiseen kulunvalvontajärjestelmästä tai muusta järjestelmästä.The arrangement according to embodiments of the invention enables the use of a wireless terminal 10, such as a mobile phone, in access control so that the wireless terminal can also be used to send and receive information from an access control system or other system.

15 Järjestely mahdollistaa tukiaseman alueella kulkijoiden seurannan kyselyviestei-hin perustuen. Järjestely tukee langattoman lähiverkon peittoa ja sisältää valmiudet IP-pohjaisiin palveluihin. Päätelaitteissa voidaan mm. ajaa Javaan pohjautuvia erikoisohjelmistoja.The arrangement enables tracking of those passing through the base station area based on the query messages. The arrangement supports wireless LAN coverage and includes capabilities for IP-based services. The terminals can be used for example. Run special Java based software.

20 Tässä selityksessä on esitetty keksinnön toteutusta ja sovellutusmuotoja esimerkkien avulla. Alan ammattimiehelle on selvää, ettei keksintö rajoitu edellä esitettyjen sovellutusmuotojen yksityiskohtiin ja että keksintö voidaan toteuttaa muussa-co kin muodossa poikkeamatta keksinnön tunnusmerkeistä. Bluetoothin sijasta voi- ° daan käyttää muita lyhyen kantaman langattoman tiedonsiirron menetelmiä, kuten i cp 25 eri PAN-tekniikoita (Personal Area Networks), WLAN-tekniikkaa, HIPERLAN- 2- tai Home RF-tekniikkaa.This description illustrates embodiments and embodiments of the invention by way of examples. It will be apparent to one skilled in the art that the invention is not limited to the details of the above embodiments, and that the invention may be embodied in another form without departing from the features of the invention. Instead of Bluetooth, other short-range wireless communication methods can be used, such as i cp 25 different PAN technologies (Personal Area Networks), WLAN technology, HIPERLAN 2 or Home RF technology.

XX

cccc

CLCL

CVJ Esitettyjä sovellutusmuotoja tulisi pitää valaisevina, muttei rajoittavina. Keksin- 00 o nön toteutus- ja käyttömahdollisuuksia rajoittavat ainoastaan oheistetut patentti- o ^ 30 vaatimukset. Täten vaatimusten määrittelemät erilaiset keksinnön toteutusvaih toehdot, myös ekvivalenttiset toteutukset, kuuluvat keksinnön piiriin.CVJ The embodiments shown should be considered as illustrative but not limiting. The scope of the invention is limited and limited only by the appended claims. Thus, the various embodiments of the invention as defined by the claims, including equivalent embodiments, are within the scope of the invention.

Claims

A method of an access control system for performing a predetermined operation, in which method a base station (200) associated with the system monitors wireless terminal devices (100) arriving in its area by transmitting them with short-frequency radio frequency technology and the wireless terminal devices (100) respond to the inquiries by providing their identification information to the base station (200), and in which method a device recognition is performed in the system, on the basis of which the identification information specified by the wireless terminal device (100) is recognized. arrives in the base station (200) of the base station (200) as a terminal device of the system; The user is requested a recognition code in said recognized treeless terminal device (100) by a sparse elite method of forming a reliable relationship and a particularly reliable relationship is formed between the base station (200) and the recognized treeless terminal device (100) in which they are marked as reliable devices. for each other if the terminal device (100) has been recognized as a terminal device belonging to the system and if the user-entered recognition code is correct, and a corresponding identification device connected to the wireless terminal device (100) is executed which has been determined in advance in the system, such as reading a door (250), wherein the method further dissolves in cp 25 said reliable relationship formed by the "special procedure for forming a reliable relationship after | the execution of said measure. C \ J CM o

The method of claim 1, wherein said pre-determined action in the system is one of the following pass-through checks including, for example, controlling a door reading, 24 such as reading or reading a door (250) reading mechanism; updating the system, or systems associated therewith, such as a telephone exchange (521), an accessibility service, an email system (524), a calendar system (524) or a working time control system (523), with the task of the user or terminal device (100) arrived; transmitting utility data between the system, or a system associated therewith (524), and the wireless terminal device (100), for example, for synchronizing email or calendar data. 10

The method of claim 1, wherein the user of the wireless terminal device (100) requests a recognition code for the base station (200).

The method of claim 1, wherein the base station (200) is the party taking the initiative, wherein the process for identifying the wireless terminal device (100) is initiated by the base station (200).

The method according to claim 1, wherein the reliable relationship is resolved in response to said act on said dressing having been performed.

The method of claim 1, wherein the reliable co ratio is dissolved in response to a time-bound condition being fulfilled. δ c \ j in cp 25

The method of claim 1, wherein the resolution of the reliable "ratio is effected by means of a resolution message (123) transmitted | from the base station (200) to the wireless terminal device (100). C \ J c \ j o

The method of claim 1, wherein the rights of use of the user of the wireless terminal device are controlled in a database (400) in a usage rights server (300). 25

The method of claim 1, wherein said inquiries comprise request messages from the base station (200), such as an INQUIRY message (121) according to the Bluetooth technology to which the wireless terminal device (100) responds with a response message (122) by to enter their device code.

The method of claim 1, wherein a minimum time is set such that between this base station (200) and the tree-less terminal device (100) during this time a new reliable relationship cannot be formed.

A method as claimed in any preceding claim, using a Bluetooth protocol or some other short-range wireless radio frequency protocol in communication between the base station (200) and the wireless terminal device (100).

A method according to any of the preceding claims, in which communication with packet switching technology is communicated, such as by means of an Internet protocol (IP) connection between the base station (200) and the other part of the system. 20

A wireless terminal device comprising means (101, 103) for transmitting co-identification information to a base station (200) associated with a short access control system in response to an inquiry from the base station by means of a short-range radio technique, in order to carry out a device recognition at the system. which recognizes "the wireless terminal device (100) as a terminal device of | the system, and which wireless terminal device (100) comprises cvj means (101, 103) for requesting the user of the wireless terminal device (100) a recognition code by a particular method for forming a reliable relationship, and means for forming a particular device. reliable relationship between the 26 base station (200) and the recognized treeless terminal device (100) in which they are marked as reliable devices for each other if the terminal device (100) has been recognized as a terminal device belonging to the system and if the user input code 5 is correct, and which the wireless terminal device in question is configured to interact with the base station so that an identification information associated with the wireless terminal device (100) is performed, which has been determined in advance in the system, such as readout of a drone (250), and that said reliable condition nd formed by the special process 10 for forming a reliable relationship is dissolved after the execution of said measure.

A base station of an access control system configured to act on wireless terminal devices (100) arriving in its area by transmitting inquiries to them with short-range radio frequency technology, the wireless terminal devices (100) responding to these requests providing its identification information to the base station (200), and which base station (200) comprises means (207) for performing a device recognition at which the wireless terminal device (100) is recognized as a terminal device belonging to the system on the basis of the identification information specified by the terminal device; co means (201, 203) for carrying out a particular method of forming a reliable relationship at which a recognition code is requested in said untrusted terminal device (100) and a particularly reliable "relationship is established between the base station (200) and the recognized wireless the terminal device (100) in which they are marked as reliable devices c for each other if the terminal device (100) has been recognized as a terminal device belonging to the system and if the user-entered code 30 is correct; means for carrying out a recognition information connected to said terminal terminal device 27 (100) and a predetermined operation in the system, such as reading a door (250); and means (101, 103) for dissolving the reliable relationship formed by said particular method of forming a reliable relationship after the performance of said action.

A computer program product executable in a base station belonging to an access control system, which base station (200) monitors wireless terminal devices (100) arriving in its area by transmitting inquiries to them with short-range radio frequency technology, and the wireless terminal devices ( 100) responds to the prefixes by providing its identification information to the base station (200) so as to be able, on the basis of this identification information, to perform a device recognition at which is recognized a terminal device of the system, which computer program product comprises a program code (205) for a method for forming a particularly reliable relationship at which a recognition code is requested in said treeless terminal device (100) and a particularly reliable relationship is formed between the base station (200) and the recognized treeless terminal device (100) at which they are marked as reliable devices for each other if the terminal device (100) has been recognized as a terminal device of the system and if the user-entered co-recognition code is correct, and which program code causes the base station to from a database (400) in the system on the basis of the wireless terminal device (100) in the system. cp identification information retrieve an identification code, such as a PIN code, CO 1 for the wireless terminal device, to form the g reliable relationship to be formed between the base station and the wireless c terminal device, and a program code for executing one with the relevant wireless device identification information (100) connected to the system and predetermined operation, such as reading a door (250), and which 28 computer program product comprises a program code (205) for resolving the reliable relationship formed by said particular method form of a reliable relationship after the execution of said measure. 5

A access control system for performing a predetermined operation in the system, which system includes a base station (200) for observing tree-less terminal devices (100) arriving in its area by sending requests to them with short-range radio frequency technology , wherein the wireless terminal devices (100) respond to these requests by providing their identification information to the system, which system includes means (207) for performing device recognition at which the wireless terminal device (100) is recognized as a terminal device belonging to the system on the basis of the identification information provided by the terminal device; means (201, 203) for carrying out a special method of forming a reliable relationship at which a recognition code is requested in said treeless terminal device (100) and a particularly reliable relationship is formed between the base station (200) and the recognized treeless terminal device (100). in which they are marked as reliable devices for each other if the terminal device (100) has been recognized as a terminal device belonging to the system and if the user-entered co-recognition code is correct; means for carrying out an identification information connected to the said wireless terminal device such as (100) and in the system predetermined> action, such as reading a door (250); and | means (101, 103) for dissolving the reliable ratio formed by the particular method of forming a reliable ratio 0o after the execution of said measure. Il 30 29

The access control system according to claim 16, wherein said pre-determined operation is one of the following access control control including, for example, controlling a door reading, such as reading or reading a door's reading mechanism (250); Updating the system or associated systems, such as a telephone exchange (521), an accessibility service, an email system (524), a calendar system (524) or a working time control system (523), with the information that the user or terminal device (100) has arrived ; transmitting utility data between the system or a system associated therewith (524) and the wireless terminal device (100), for example, for synchronizing email or calendar data. co δ c \ j i co o CO X cc CL CVJ CVJ CO o CO o o CVJ