AT503783A1 - System zur kontrolle von berechtigungen von personen, zu autorisierende tätigkeiten durchzuführen - Google Patents

Description

V* ΕΚΕΥ

Beschreibung

Die Erfindung betrifft ein System zur Kontrolle von Berechtigungen von Personen, zu autorisierende Tätigkeiten durchzuführen. Das System ist insbesondere zur Verwaltung einer großen Anzahl von Berechtigungen an örtlich beliebig voneinander entfernt angeordneten Gebäuden vorteilhaft anwendbar. Ein typischer Anwendungsfall ist die Verwaltung von Zutrittsberechtigungen. In einer vorteilhaften Ausführungsform werden biometrische Daten der im System registrierten Personen als Erkennungsmerkmale angewendet.

Entsprechend der EP 523 908 B1 wird die Unterschrift einer Person als Schlüsselinformation für die Zugangskontrolle verwendet. Kennzeichnende Informationen zur Art des Unterschreibens einer prinzipiell zutrittsberechtigten Person werden einmalig an Hand von Unterschriften erstellt und gespeichert. Will diese Person dann konkret einen Zutritt erlangen, muss sie wieder eine Unterschrift leisten, daraus werden Daten generiert, welche mit den gespeicherten Daten verglichen werden. Bei ausreichender Übereinstimmung wird Zutritt gewährt. Entsprechend diesem System ist es nicht mehr erforderlich, einen als Schlüssel wirkenden Gegenstand mitzuführen oder ein Passwort anzuwenden. Über die Verwaltung von Zutrittsberechtigungen in entfernt voneinander angeordneten Gebäuden mit insgesamt vielen Zutrittsöffnungen wird nichts ausgesagt.

Die DE 296 02 655 U1 beschreibt ein System zur Vergabe von Zutrittsrechten an dezentralen Einrichtungen. Die Kontrollgeräte an den jeweiligen Türen sind nicht mit der Zentraleinheit verbunden. Sie erhalten Zutrittsregeln in Form von Daten, welche auf einem mobilen Datenträger manuell herangebracht werden, und nachdem die Leseeinheit aufgesperrt wurde, eingelesen werden. Die Eintritt begehrenden Personen müssen über eine Eingabeeinheit, z.B. einen Ziffemtastatur gültige Schlüsselinformationen eingeben. Das Kontrollgerät kann auch Daten aufnehmen, beispielsweise wer wann gekommen und gegangen ist. Im Bedarfsfall müssen diese Daten mittels mobilem Datenträger manuell zur Zentraleinheit gebracht werden. Vorteilhaft an diesem System ist, dass es keines aufrechten Datennetzes zwischen Zentraleinheit und verteilt angeordneten Kontrollgeräten bedarf. Nachteilig ist, dass der Datenaustausch zwischen Zentraleinheit und verteilt angeordneten Kontrollgeräten durch physischen Transport eines Datenträgers, und damit sehr langsam und umständlich, erfolgt. Diese Methode ist daher nur dann sinnvoll anwendbar, wenn alle Anlagenteile geografisch nahe aneinander liegen.

Die AT 410 489 B beschreibt ein System zur Anmeldung an einer verteilten Datenverarbeitungsanlage unter Zuhilfenahme eines biometrischen Merkmals. Die Besonderheit dabei ist, dass jene Daten, welche als Schlüssel für den Zugang dienen, immer getrennt bleiben von den Daten, mit welchen der Benutzer dann tatsächlich arbeitet. Das wird erreicht, indem für die Benutzererkennung ein anderer zentraler Rechner verwendet wird, als für die Anwendungen, welche nach erfolgter Erkennung zugänglich gemacht werden. Das ist bei Verwendung der Anlagenhardware durch

Seite 1 • t · · · · · ΕΚΕΥ mehrere Anbieter, welche darauf Software laufen haben, aus Datenschutzgründen sehr vorteilhaft. Die Benutzerkennung ist in einem zentralen Datenspeicher abgelegt und wird im Bedarfsfall unter automatisiertem, elektronischem Austausch von Information mit einer an einem Endgerät aktuell aufgenommenen Benutzerkennung verglichen. Über weitere Details dieses Informationsaustausches oder der Benutzerverwaltung wird nichts ausgesagt.

Die EP 1 460 508 A1 beschreibt die Zugangskontrolle zu einer

Datenverarbeitungsanlage, welche auch verteilt angeordnet sein kann. Zugang wird gewährt, wenn ein einzugebendes Identifikationsmerkmal, welches auch ein biometrisches Merkmal sein kann, mit einem Merkmal zusammenpasst, welches auf einem mitgeführten, per Funk kommunizierenden Datenträger gespeichert ist. Diese Methode ist gegenüber einer Zugangskontrolle, welche allein auf einem mitgebrachtem Schlüssel aufbaut, sicherer. Weiters ist vorteilhaft, dass für die Entscheidungsfindung ob Einlass gewährt wird oder nicht, keine Kommunikation mit einem zentralen Server erforderlich ist. Nachteilig ist, dass ein Teil ähnlich einem Schlüssel mitgeführt werden muss.

Von diesem Stand der Technik ausgehend liegt die der Erfindung zu Grunde liegende Aufgabe darin, ein gemeinsames Kontrollsystem für Personen für zu autorisierende Tätigkeiten, wie z.B. das Passieren durch ein Tor, in beliebig weit voneinander und verteilt angeordneten Gebäuden und Räumen zur Verfügung zu stellen, wobei entsprechend einstellbaren Berechtigungen an Personen die Möglichkeit Tätigkeiten zu verrichten gegeben oder verweigert wird, und wobei die Daten wer, wann und wo die Berechtigung ausgeübt hat, aufgezeichnet werden.

Die Grundfunktionen des Kontrollsystems sind das Gewähren bzw. Verweigern von Zutritt und Aufzeichnen der Zutrittsdaten. Die Anwendungsbereiche können aber auch weitere zu autorisierende Tätigkeiten wie zum Beispiel die Inbetriebnahme von Maschinen oder das Ein- und Ausschalten von Alarmsystemen beinhalten. Die nachfolgenden Beschreibungen der Anwendung beziehen sich insbesondere auf diese zuvor angeführten Grundfunktionen. Diese Funktionen müssen auch dann aufrechterhalten bleiben, wenn die Kommunikation zwischen voneinander entfernt liegenden Anlagenteilen außer Kraft gesetzt ist. Das Kontrollsystem soll bezüglich Gebäuden und Personen beliebig erweiterbar sein. Das Kontrollsystem soll mit sämtlichen elektrischen oder elektronischen Schließsystemen kombinierbar sein, und es soll prinzipiell unabhängig vom Identifizierungsverfahren sein.

Zur Lösung der Aufgabe wird eine Anlage verwendet, bei welcher an jedem zu kontrollierenden Tor ein Terminal angeordnet ist, welches eine

Identifizierungseinrichtung, eine Sperrenbetätigungseinrichtung und eine Datenaufzeichnungseinrichtung umfasst. Diese Terminals sind über ein Datenverarbeitungssystem, welches einen einzelnen Zentralserver und mehrere darunter angeordnete Terminalserver umfasst, vernetzt. Im Zentralserver sind die

Seite 2 ν'

EKEY erforderlichen Informationen über alle Gebäude und zutrittsberechtigten Personen - des Weiteren vereinfacht „Mitarbeiter“ genannt - gespeichert. In den einzelnen Terminals ist die für den autarken Betrieb des jeweiligen Terminals erforderliche Teilmenge dieser Informationen ebenfalls gespeichert. Die hierarchisch zwischen den Terminals und dem Zentralserver liegenden Terminalserver steuern den Datentransfer zwischen dem Zentralserver und jeweils einer Teilmenge der Terminals.

Die Erfindung wird an Hand einer beispielhaften Zeichnung im Detail erklärt:

Fig. 1: zeigt ein Überblicksschaltbild für eines repräsentativen Ausschnittes eines erfindungsgemäßen Kontrollsystems.

In dem je vernetzten Zutrittkontrollsystem nur einmal erforderlichen Zentralserver 1 ist eine zentrale Datenbank mit allen für das Zutrittsystem erforderlichen Terminal- und Miterbeiterstammdaten eingerichtet. Terminals und Mitarbeiter sind in dem Datenverarbeitungssystem eindeutig identifizierbar registriert. Zu jedem Mitarbeiter ist festgelegt, zu welchen Zeiten er welches Terminals durchschreiten kann, bzw. zu jedem Terminal ist festgelegt, wann es durch welchen Mitarbeiter durchschritten werden kann. Darüber hinaus umfassen die Stammdaten je Mitarbeiter zumindest einen eindeutigen Namen und eine eindeutige Identifizierungsinformation. Diese Identifizierungsinformation kann beispielsweise eine komprimierte Information sein, welche durch einen Bildverarbeitungsalgorithmus aus einem Bild eines Fingerabdrucks des Mitarbeiters gewonnen wird.

Der Zentralserver 1 ist mit mehreren Terminalservern 2 verbunden. Bei räumlicher Nähe kann diese Verbindung über ein LAN gebildet sein. Ein LAN (Lokal Area Network) in diesem Sinne ist eine Vernetzungsmethode zwischen zueinander in näherer Umgebung befindlichen Computern. Zurzeit ist eine dafür häufig konkret angewandte Technologie der sogenannte Ethernet-Standard. Bei größerer Entfernung - es kann über Kontinente reichen - kann die Verbindung über einen VPN-Kanal im Internet hergestellt werden. Ein VPN-Kanal in diesem Sinne ist ein Datenübertragungsprotokoll, durch welches ein Informationsfluss über ein an sich öffentliches Datennetz so abgewickelt wird, dass es für die beteiligten Partner so erscheint, als würden sie nur über ein intern zugänglichen Datennetz miteinander kommunizieren. Derartige Übertragungsmethoden sind Stand der Technik und brauchen hier nicht weiter beschrieben zu werden.

Ein Terminalserver 2 stellt über ein LAN die Weitere Datenverbindungen zu geografisch in der Nähe befindliche LAN/RS485-Konvertern 3 her. An diesen Konvertern 3 erfolgt eine Übersetzung der Datenübertragung zwischen dem im LAN angewandten Format und dem einfacher zu verkabelnden, sehr robusten, aber nicht so schnellen Format RS485. In diesem Format wird der Datenaustausch mit den einzelnen Terminals 4 abgewickelt.

Ein Terminal 4 ist im Bereich der zu kontrollierenden Türen bzw. Tore von Gebäuden oder Räumen angebracht. Es besteht aus einer Inneneinheit 4.1, durch welche die

Seite 3 ·· ♦* • · · · · • · · · • · ♦ · • · · · • ·· · ·· · • · · · • · · · · • ··· ··· • ♦ ♦ ·

EKEY

Sperre betätigt wird und einer Außeneinheit 4.2, an welcher das Identifizierungsmerkmal der Durchgang begehrenden Mitarbeiter aufgenommen und mit gespeicherten Merkmalen verglichen wird. Über solch ein Terminal können drei Relais geschaltet und die damit verbundenen Aktionen wie zum Beispiel das öffnen einer Tür durchgeführt werden.

Nachdem bei der Instandsetzung eines derartigen Kontrollsystems die erforderlichen Geräte montiert und die erforderlichen Leitungsverbindungen hergestellt sind, werden im Zentralserver 1 die einzelnen Geräte, also Terminals 4, LAN/RS485-Konverter 3 und Terminalserver 2 registriert. Dann werden die Stammdaten der einzelnen Mitarbeiter angelegt und es wird festgelegt, an welchen Terminals zu welchen Zeiten die einzelnen Mitarbeiter passieren dürfen. Diese Registrierungseingaben werden durch einen berechtigten Systemadministrator, welcher auf den Zentralserver 1 Zugriff hat, durchgeführt. Teil dieser Registrierungsarbeiten ist es auch, Identifizierungsinformationen der einzelnen Mitarbeiter anzulegen. Beispielsweise kann dies geschehen, indem ein Bild eines Fingerabdrucks der Mitarbeiter eingelesen wird, daraus werden spezielle Merkmale herausgefiltert und als biometrischer Schlüssel im Zentralserver 1 abgespeichert. Dabei ist es möglich von einem Mitarbeiter mehrere Finger als biometrische Schlüssel aufzunehmen. Jedem Finger wird ein Relais zugeordnet. Auf diese Weise können durch eine Person mehrere Aktionen über ein Terminal ausgelöst werden. Das Anlegen der Daten und die Aufnahme des biometrischen Schlüssels können auch dezentral an einem PC, der mit entsprechender Software und Aufnahmegerät ausgestattet ist und über eine entsprechende Netzanbindung verfügt, erfolgen.

Sobald ein Mitarbeiter „angelegt“ ist, sendet der Zentralserver 1 an die betroffenen Terminals 4 ein Informationspaket, welches aus dem im Datenverarbeitungssystem verwendeten Namen dieser Mitarbeiters, seinem biometrischen Schlüssel und der Information über die Zeiten, an denen ihm Durchlass gewährt wird, besteht. Die betroffenen Terminals übernehmen diese Informationen als Arbeitsanweisung und speichern sie auf einem jeweils in der Außeneinheit 4.2 angebrachten lokalen Datenspeicher.

Wenn ein Mitarbeiter an einem Terminal 4 Durchlass begehrt, gibt er an einer an der Außeneinheit 4.2 angebrachten, als dunkler, rechteckförmiger Streifen erkennbaren Scanvorrichtung ein Bild seines Fingers ein, indem er mit dem Finger langsam über diesen Streifen streicht. Die Außeneinheit verarbeitet dieses Bild in einer in ihr angebrachten lokalen Datenverarbeitungseinheit derart weiter, dass daraus spezielle Merkmale herausgefiltert werden, welche mit den gespeicherten biometrischen Schlüsseln, welche vom Zentralserver 1 früher mitgeteilt wurden, vergleichbar sind. In der lokalen Datenverarbeitungseinheit der Außeneinheit 4.2 werden die neu herausgefilterten Merkmale mit den gespeicherten Merkmalen von zum Durchgang berechtigten Mitarbeitern verglichen. Falls eine Übereinstimmung festgestellt wird, gilt der Mitarbeiter als erkannt und es wird Durchgang gewährt, indem ein entsprechendes

Seite 4 \

EKEY

Signal an die zugehörige Inneneinheit 4.1 gesandt wird, welche durch Schalten des entsprechenden Relais die gewünschte Aktion, in diesem Fall das Öffnen der Sperre, veranlasst. Durch die Aufteilung des Terminals 4 in eine Inneneinheit 4.1 und eine Außeneinheit 4.2 kann besser an die durch die Inneneinheit auszulösenden individuell sehr verschiedenen Sperren angepasst werden, als mit einer komplexeren Gesamteinheit.

Die Information dass der betreffende Mitarbeiter zu dem betreffenden Zeitpunkt am betreffenden Terminal 4 eine Aktion ausgelöst hat, wird vom Terminal 4 über den übergeordneten LAN/RS485-Konverter 3 und den weiter übergeordneten Terminalserver 2 an den Zentralserver 1 mitgeteilt und dort aufgezeichnet.

Falls die Datenverbindung zwischen Terminal 4 und Zentralserver 1 nicht funktioniert, was zumindest temporär sicher nicht ausgeschlossen werden kann, ändert sich die den Mitarbeiter betreffende Funktion des Terminals überhaupt nicht. Die für das Prüfen und ggf. Gewähren von Rechten einzelner Mitarbeiter erforderlichen Daten befinden sich lokal im Terminal 4, und die erforderliche Datenverarbeitung erfolgt auch lokal im Terminal 4. Der einzige Unterschied zur Arbeitsweise bei bestehender Datenverbindung zum Zentralserver 1 besteht darin, dass die Information dass Mitarbeiter x zum Zeitpunkt y am Terminal z mittels biometrischen Schlüssels das Relais a betätigt hat, nicht sofort an den Zentralserver 1 mitgeteilt wird, sondern vorerst nur im Terminal 4 gespeichert wird und erst dann an den Zentralserver 1 mitgeteilt wird, wenn die Datenverbindung wieder funktioniert.

Wenn am Zentralserver 1 Daten, welche einzelne Terminals betreffen, geändert werden, während die Datenverbindung zu diesen Terminals unterbrochen ist, so arbeiten diese Terminals so lange entsprechend dem vorherigen Datenstand bis die Datenverbindung wieder hergestellt ist. Dann werden sie aktualisiert.

Durch die Arbeitsweise mit doppelt angelegten Daten, - einerseits am Zentralserver 1, andererseits an den betroffenen Terminals 4, - wird einerseits extrem gute Verwaltbarkeit der Daten, da über den Zentralserver 1 alle Daten editierbar sind, andererseits extreme Robustheit der Funktion erreicht, da die Terminals 4 auch dann ordnungsgemäß arbeiten, wenn die Datenübertragung - deren ununterbrochenes Funktionieren nicht gewährleistet werden kann - unterbrochen ist.

Vor allem um nicht jene Personen, welche nur in Einzelfällen spezifische Rechte an einem Terminal brauchen, in der Gesamtanlage registrieren zu müssen, aber auch aus Sicherheitsgründen ist es sinnvoll, an den einzelnen Gebäudestandorten direkte Zugriffsmöglichkeiten für berechtigte Mitarbeiter auf die dort vorhandenen Terminals vorzusehen. So können mittels Relaisschaltung zum Beispiel Tore kurzzeitig bei Ankommen einer Lieferung ohne vorhergehenden Identifizierungsvorgang geöffnet werden. Oder es kann kurzfristig der Zugang für einzelne Mitarbeiter auch dann gesperrt werden, wenn die Datenübertragung zum Zentralserver ausgefallen ist. Diese Zugriffsmöglichkeit ist am besten über PC-Arbeitsplätze, herstellbar, welche mit jenen

Seite 5 % λ ·· ·· · ···· ·· · • · · · ·· · · · · ΕΚΕΥ ···· · ♦ · · ♦ · • · · · · · ··· ··♦ ······· · f ·· ·· ··· ·· ·· ·

Terminalservern 2 über LAN verbunden sind, welche auch die Verbindung zu den betroffenen Terminals 4 hersteilen.

Natürlich ist es sinnvoll, die im Zentralserver 1 erforderliche Datenbank über Mitarbeiter und Gebäude so auszulegen, dass im Bedarfsfall auch weitere dazupassende nützliche Informationen über Mitarbeiter bzw. Gebäude abgespeichert werden können bzw. dass ein Datenaustausch mit diesbezüglichen Datenbanken möglich ist.

Die Erfindung ist auch dann sinnvoll anwendbar, wenn das Identifizierungsmerkmal nicht ein biometrisches Merkmal ist, sondern beispielsweise ein manuell einzugebendes Passwort oder ein aus einem mitzubringenden Datenspeicher auszulesendes Passwort, Nummer, Signal oder überhaupt ein mechanischer Schlüssel.

Das Kontrollsystem wurde hier an Hand des wichtigen Anwendungsfalles „Gewähren bzw. Verweigern von Zutritt und Aufzeichnen der Zutrittsdaten“ beschrieben. Die Anwendungsbereiche können aber auch viele andere autorisierende Tätigkeiten wie zum Beispiel die Inbetriebnahme von Maschinen etc. betreffen. In diesem Sinne ist der in der Beschreibung und im folgenden Anspruch verwendete Begriff „Sperrenbetätigungsvorrichtung“ etwas allgemeiner als jene Vorrichtung zu sehen, durch welche eine Tür entriegelt wird.

Seite 6

Claims (8)

1. Patentansprüche 1. Kontrollsystem für zu autorisierende Tätigkeiten in verteilt angeordneten Gebäuden bzw. Räumen, wobei entsprechend einstellbaren Berechtigungen an Personen die Möglichkeit zu autorisierende Tätigkeiten zu verrichten gegeben oder verweigert wird, und wobei die Daten wer, wann und wo die Berechtigung ausgeübt hat, aufgezeichnet werden, wobei an jeder Kontrollstelle ein Terminal angeordnet ist, welches eine Identifizierungseinrichtung, eine Sperrenbetätigungseinrichtung und eine Datenaufzeichnungseinrichtung umfasst, wobei die Anlage einen Zentralserver beinhaltet, in welchem sowohl die Information, welche Person durch welches Identifizierungsmerkmal erkennbar und zu welcher Zeit an welchen Kontrollstellen welche Berechtigung ausgeübt hat, gespeichert wird, wobei zwischen dem Zentralserver und den einzelnen Terminals eine automatische Datenübertragungsverbindung eingerichtet ist, gekennzeichnet dadurch, dass die ein Terminal (4) betreffende Information, welche Personen durch welche Identifizierungsmerkmale erkennbar sind und zu welchen Zeiträumen ihnen bei Verlangen die Möglichkeit zu autorisierende Tätigkeiten zu verrichten zu gewähren sind, automatisch vom Zentralserver (1) über die Datenübertragungsverbindung an dieses Terminal (4) mitgeteilt wird, dass diese Information im Terminal (4) gespeichert wird, dass diese Information vom Terminal (4) unabhängig davon ob zum gegebenen Zeitpunkt die Datenübertragungsverbindung zum Zentralserver (1) aufrecht oder unterbrochen ist, bei Ersuchen einer Person um das Ermöglichen einer zu autorisierenden Tätigkeit angewendet wird, dass das Terminal (4) die Information wann welche Person eine derartige Berechtigung ausgeübt hat registriert, erforderlichenfalls lokal zwischenspeichert und dann an Zentralserver (1) mitteilt, wenn die Datenübertragungsverbindung zum Zentralserver (1) aufrecht ist.
2. 2. Anlage nach Anspruch 1, gekennzeichnet dadurch, dass in der Datenübertragung zwischen Zentralserver (1) und Terminals (4), Terminalserver (2) zwischengeschaltet sind, von denen jeder die Verbindung zu einer Teilmenge der Gesamtmenge der Terminals (4) herstellt, wobei diese Terminalserver (2) jeweils im geografischen Nahbereich der ihnen zugeordneten Terminals angeordnet sind und mit diesen über ein LAN entweder direkt oder unter Zwischenschaltung eines LAN/RS485-Konverters (3) kommunizieren.
3. 3. Anlage nach Anspruch 2, gekennzeichnet dadurch, dass die Datenverbindung zwischen einem Terminalserver (2) und dem Zentralserver (1) über einen VPN-Kanal im Internet erfolgt.
4. 4. Anlage nach einem der vorgenannten Ansprüche, gekennzeichnet dadurch, dass als Identifizierungsmerkmal ein biometrisches Merkmal angewandt wird.
5. 5. Anlage nach einem der vorgenannten Ansprüche, gekennzeichnet dadurch, dass sie dazu verwendet wird, das Passieren von Personen durch Tore zu verwalten. Seite 7 V ·· ·· · ···· ·· · ······ · · · · • ·· · · · · · · · :::: :.: ··:··:· ekey
6. 6. Anlage nach Anspruch 5, gekennzeichnet dadurch, dass die Terminals (4) aus einer Inneneinheit (4.1) und einer Außeneinheit (4.2) bestehen, welche getrennt angeordnet sind, wobei die Hauptfunktion der Inneneinheit (4.1) darin liegt, die Sperre der Durchlassstelle anzusteuern, während es Funktionen der Außeneinheit sind, die Identifizierung von Personen durchzuführen und die damit zusammenhängenden Daten zu speichern.
7. 7. Anlage nach Anspruch 5 oder 6, gekennzeichnet dadurch, dass an den einzelnen Gebäudestandorten eine direkte Zugriffsmöglichkeit für berechtigte Mitarbeiter auf die dort vorhandenen Terminals (4) besteht, um zumindest temporär unabhängig vom Zentralserver (1) die Einstellung dieser Terminals anpassen zu können.
8. 8. Anlage nach Anspruch 7 gekennzeichnet dadurch, dass diese direkte Zugriffsmöglichkeit über einen PC-Arbeitsplatz besteht, welcher mit jenem Terminalserver (2) über LAN verbunden ist, welcher auch die Verbindung zu den betroffenen Terminals (4) herstellt. Seite 8