JP6923239B2 - サプライチェーンの製品ユニットの安全なシリアル化方法 - Google Patents

Description

本発明は、概して、サプライチェーンの管理システムに関連し、特に、サプライチェーンのオペレーション内で発生する定義されたトランザクションイベント活動を記述し、それを報告するために、トランザクションを安全に記録するように動作する、サプライチェーンの管理コンピュータシステムに関連する。

サプライチェーンは、製造業者や商品及びサービスの他の供給者と消費者とをつなぐ基本的な物流メカニズムである。サプライチェーンの物流がより複雑になり、或いは少なくともより衰退するにつれて、消費者志向の様々な利害関係者は、サプライチェーンの完全性の崩壊から生じる危険性への認識を高めてきた。これらの危険性は一般的に、消費者製品の出処、内容、又は品質の、何らかの不当表示を伴うものであり、特定の環境では、信頼できるサービスの提供にまで及んでいる。従来、これらの危険性は、様々な形態の汚染（contamination）、不純化（adulteration）、及び偽造（counterfeiting）から生じる。

医薬品業界では、汚染、不純化、及び偽造の問題が特に懸念されるサプライチェーンが例示されている。医薬品業界により、汚染、不純化、及び偽造を食い止めるための様々な努力が進められてきた。従来、これらの取り組みは、製品包装の段階的な改善、原材料、製造業者、及び輸送業者の独立した保税証明、並びに、特に税関当局を含む法執行機関による精査の増加などを含んでいた。

医薬品業界は、他のサプライチェーンに関わる業界と同様に、汚染、不純化、及び偽造の可能性のある問題が発生した場合にはいつでも、問題の発生源及び原因を追跡し、分析しなければならないことを認識してきた。実際に、発生源及び原因を迅速に特定することは、意味のある治療的な改善策を提供するための重要な第一歩であることが多い。偽造、特に不正に製造されマークされた医薬品を医薬品サプライチェーンへ投入することは、現在のところ、業界への直接的な経済的損失として年間約２，０００億米ドルを占めている。同時に、偽造医薬品は、汚染、不純化、及び不正表示に対するセーフガードが暗黙のうちに欠如していることから、消費者に明らかに危害を与える虞がある。従って、偽造品の追跡にはスピードも求められる。いずれにしても、発生源及び原因を特定し、理解することは、その具体的な性質がどのようなものであれ、問題の再発を防ぐために不可欠なものである。

従来、かなり複雑なサプライチェーンを通して、ある特定の製品インスタンスの流通をトラッキング及びトレーシングすることは、時間、労力、混乱、及びコストの点で困難である。トラッキングは、一般に、製造業者から消費者への方向で、ある製品の詳細な経路を判別することを示している。トレーシングは、一般に、その逆方向での追跡を示している。従って、トラッキングは、環境に依存して、トレーシングを包含することができる。製品のトラッキングの難しさは、サプライチェーンに参加しているベンダーが、完全に異なる在庫管理やサプライチェーン管理制御システムを実施している独立した競合他社の連合である場合に、特に大きくなる。あるベンダーから別のベンダーへ製品を追跡するために必要なベンダー情報の転送は、様々な形式の変換を受ける可能性があり、必要なベンダーデータの変換によって妨げられ、又、各ベンダーが所有権情報を保護する暗黙の必要性によって複雑になる。トラッキング要求への典型的な応答では、ベンダーが隣接するサプライチェーンベンダーへ転送するために情報データベースを抽出する。受け取ったベンダーは、その後、製品のトラッキングを継続する必要性に応じて、そのデータベースを変換し、ロードしなければならない。このプロセスは、特定の汚染、不純化、或いは偽造の、問題の発生源及び原因を最終的に特定するだけでなく、影響を受けた全ての製品の現在のロケーションを特定するために、必要に応じて、通常、複数の隣接するサプライチェーンベンダーの各々を介して繰り返される。

特に医薬品業界に関しては、サプライチェーンを通じた商品のトラッキング及びトレーシングの問題を合理化するために、各国政府が取り組みを開始している。米国では、米国議会により医薬品サプライチェーンセキュリティ法（Drug Supply Chain Security Act）（ＤＳＣＳＡ）が制定され、サプライチェーンに参加するベンダーに対して、固有のマークが付けられた処方薬やその他の医療機器を、それらが米国内で流通するときには必ずトラッキングできるようにする、電子的で相互運用可能なシステムを構築することを義務づけている。ＤＳＣＳＡは、段階的な実施を前提として、ロットレベル管理、ユニットシリアル化、及びユニットトレーサビリティを要求している。ロットレベル管理では、ロット又はバッチレベルの製品ユニット識別において、トランザクション情報、履歴情報、及びステートメント（statements）を、相互運用可能な形で共有することを要求している。アイテムのシリアル化では、製造及び再パッケージ化のベンダーが、製品識別子（ＧＳ１の国際取引商品番号（Global Trade Item Number）（登録商標）（ＧＴＩＮ（登録商標））又はＮＤＣ（全米医薬品コード（National Drug Code）））、シリアル番号、ロット番号、及び使用期限を用いて、医薬品のパッケージにマークを付けることを要求される。ユニットトレーサビリティは、他のサプライチェーンに参加しているベンダーが、特定のユニットパッケージの所有権を、最初の製造業者又は再パッケージ業者に遡ってトレースできるような情報を提供することを、サプライチェーンに参加している全てのベンダーに要求している。同様の法的要件は、現在、少なくとも欧州、中国、及び日本にも存在する。

ＤＳＣＳＡやその他の類似の国内法の要件を最終的に満たすシステムを実装するための、様々なアプローチの複雑さを理解するために、様々な公的・民間企業や研究グループが促進・支援を行っている。一般的に、これらの実装は、何らかの標準化されたデータ交換フォーマットに依存しているが、それ以外の場合は、典型的に大手の独立したサプライチェーンベンダーが独自に開発したものである。ＤＳＣＳＡが慣習的に解釈されているように、データ交換フォーマットは、（Ａ）製品の所有権や確立された名称又は複数の名称；（Ｂ）製品の強度及び投与形態；（ｃ）製品の全米医薬品コード番号；（Ｄ）容器サイズ；（Ｅ）容器の数；（Ｆ）製品のロット番号；（Ｇ）取引日；（Ｈ）取引日から２４時間以上経過している場合は出荷日；（Ｉ）所有権の移転元の事業体の事業所名及び住所；及び（Ｊ）所有権の移転先の事業体の事業所名及び住所を定義する、トランザクション情報レコードを転送することができなければならない。

恐らく、主要なデータ交換フォーマットとして提案されているのは、ＧＳ１の電子製品コードインフォメーションサービス（Electronic Product Code Information Services）（ＥＰＣＩＳ；www.gsl.org/epics）基準である。アプリケーションにおいて、ＥＰＣＩＳは、サプライチェーンベンダー企業内又は企業間で使用する可視イベントデータを作成及び共有するためのプロトコルを定義し、関連するサプライチェーンのコンテキスト内でデジタル的に表現された物理的オブジェクトの共有ビューを可能にする。理想的には、サプライチェーンに関わる全てのベンダーがＥＰＣＩＳを共通に使用することで、製品の特定ユニットインスタンスのトラッキングを容易にする必要性に応じて、追跡可能なトランザクション情報をサプライチェーンの上下で共有することができる。

ＥＰＣＩＳは、現在の電子データ交換の問題の一部を解決する可能性はあるが、他にも多くの問題が残っている。認識されている問題の１つは、サプライチェーンに参加している多くの異なるベンダー間で交換される可能性のある、ベンダーの専有データの安全性に関するものである。特に懸念されるのは、ベンダーが独自のトランザクション情報だけでなく、他のベンダーから提供されたトランザクション情報も共有することになる。その結果、どのような情報をどのベンダーとどのベンダーとが共有可能にするかを制限することは、複雑になる。

サプライチェーン研究センター（Center for Supply Chain Studies）（ＣＳＣＳ；www.c4scs.org）は、非営利、ベンダー中立、オープンな業界フォーラムとして運営されており、ＤＳＣＳＡ関連のセキュリティ問題に対処することを目的とした研究をコーディネイトしている。明らかにされた主な課題には、（１）サプライチェーンベンダー間の安全な電子通信の確立；（２）それらのサプライチェーンベンダー間の安全な信頼関係の確立；（３）専有情報の公開を伴わない、サプライチェーンベンダー間で必要なデータ共有の確保が含まれる。

ＣＳＣＳの研究で明らかに検討されている、これらの課題を解決するためのアプローチは、ＥＰＣＩＳデータを記録するためにブロックチェーン分散型元帳を使用することを含んでいる。ブロックチェーンに追加されるＥＰＣＩＳデータの十分性を確認し、ことによると、特定のサプライチェーンベンダーがどのようなＥＰＣＩＳデータを閲覧できるかを定義するために、ルールベースのシステムが提案されている。この実装モデルでは、製品のある特定のユニットインスタンスを実際にトラッキングするために必要なトランザクションデータに到達するために、サプライチェーンベンダーのシステムとの大幅な統合が必要なようである。残念ながら、そのような大幅な統合を必要とすること、特に独自のサプライチェーンベンダーシステムとの統合を必要とすることは、製品ユニットのトラッキング及びトレーシングを好適に実行する能力を、根本的に損なうことになる。更に、推論的な実装の多くの特定の側面が、ＣＳＣＳ研究の範囲内で議論されてきたかもしれないが、明らかに実装は作成されていない。

その結果、サプライチェーンの保全性を保護し、それによって消費者の利益と健康を守ることができる、効果的、効率的、かつ適切なメカニズムに対する、継続的なニーズが存在する。

従って、本発明の概略の目的は、サプライチェーンの消費者を含む参加ベンダー内及びベンダー間で移送される製品のシリアル化（serialization）及びそのトランザクション履歴の記録をサポートする、効率的で安全なシステムを提供することである。

これは、消費者を含む独立したサプライチェーンの参加者内及び参加者間におけるサプライチェーントランザクションの、収集、安全な記録、及び報告を管理する、ネットワーク化されたコンピュータシステムを提供することによって、本発明において達成される。そのシステムは、サプライチェーン参加者からのトランザクション要求に応答して、参加者のアクセス検証を条件に、安全な分散型元帳サーバノードによるブロックチェーンレコードの作成を指示するプラットフォームコントローラを含み、そのブロックチェーンレコードは、サプライチェーンユニットの一意のシリアル番号、タイムスタンプ、ロケーションを参照するトランザクションイベントデータ、及びプライベートサプライチェーン参加者のベンダーデータを含んでいる。アクセスマネージャは、トランザクション要求を行うサプライチェーン参加者の身元を安全に検証することで、参加者のアクセス検証を実行するように動作する。

本発明の利点は、サプライチェーンに参加しているベンダーの連合が、ネットワーク化されたトランザクション管理システムと独立的に対話して、シリアル化サービスを取得し、ベンダー内及びベンダー間で発生している明確に定義されたイベントを反映した固有のユニットトランザクションを、安全な分散型元帳に記録し、サプライチェーン全体での、ユニットの再パッケージを含むユニットのロケーション及び移動を、トラック及びトレースできることである。

本発明の他の利点は、ネットワーク化されたトランザクション管理システムへ要求を発行する参加ベンダーを安全に認証すると共に、認証された証明の権利に依存してそのような要求の処理を条件付きで制約するための、安全な信頼メカニズムが提供されることである。

本発明の更なる利点は、シリアル化要求と併せて提供されるシリアル化関連のパブリックデータ及びベンダーのプライベートデータが、問い合わせ要求に応答する後のアクセスのために、安全かつ効率的に永続化され得ることである。パブリックデータ及びプライベートデータは、長期的で信頼性の高いアクセスを確保し、安全な分散型元帳に格納された関連トランザクションイベントレコードからの参照を可能にするために、安全な分散型のリポジトリに格納されることが好ましい。

本発明の更に別の利点は、固有のシリアル化ユニットのトランザクション履歴において離散的なイベントを表す、明確に定義されたトランザクションが、安全な分散型元帳に記録されることである。簡潔なコード（vocabulary）が、安全な分散型元帳への永続性のために最適に構成された、トランザクションレコードの格納を命令するために使用される。追加の問い合わせコードのコマンドが、コマンドで識別された固有のシリアル化ユニットのトランザクション履歴の再構成を得るために、関連するトランザクションレコードの検索を可能にする。このコードは、いずれかのサプライチェーン参加者とネットワーク化されたトランザクション管理システムとの間で、トランザクションイベントに関する情報を交換するために使用される、ベンダーデータ交換フォーマットとは別個であるが、それに適応可能である。

本発明のもう一つの利点は、固有のシリアル化されたユニットのトラッキング及びトレーシングが、特に再パッケージイベントの対象となる場合に、いずれの参加ベンダーも関与させることなく実行できることである。これにより、適切に認可された事業体は、固有のシリアル化ユニットに関連する可能性のあるベンダーのプライベートデータの機密性を完全に保護しながら、固有のシリアル化ユニットのトランザクションイベント履歴を迅速に調べることができる。トランザクション履歴を手動又は自動でレビューすることで、偽造や改ざんを示す不連続性を即座に特定することができる。

本発明は、好ましい実施形態の以下の説明及び添付の図面を参照することによって、よりよく理解することができ、ここで、同様の参照符号は、同一又は機能的に類似した要素を示している。

本発明のプラットフォームサーバの実施形態による、サプライチェーン内の参加ベンダーのオペレーション関係を示している。 ベンダーシステム及び本発明のプラットフォームサーバの実施形態の、好ましい実装の模式図である。 本発明の好ましい実施形態のポータルサーバによって実施されるような、好ましい実行環境のブロック図である。 本発明の好ましい実施形態のアクセスマネージャによって実施されるような、好ましい実行環境のブロック図である。 本発明の好ましい実施形態のプラットフォームコントローラサーバによって実施されるような、好ましい実行環境のブロック図である。 本発明と併用するためのベンダーシステムに実装されるような、好ましいシリアル化要求生成サブシステムのブロック図である。 本発明のプラットフォームサーバシリアル化要求処理システムの、好ましい実施形態のブロック図である。 本発明と併用するためのベンダーシステムに実装されるような、好ましいシリアル化要求受信部及びラベル印刷サブシステムのブロック図である。 本発明に従って生成された例示的なラベルインスタンスのイメージ図である。 本発明のプラットフォームサーバアクセス、問い合わせ、及びトランザクション要求処理システムの、好ましい実施形態のブロック図である。 本発明の好ましい実施形態に従って実施されるような、安全な分散型元帳ノードのブロック図である。 本発明の好ましい実施形態に従って実施されるような、トランザクションイベントレコード間に定められたデータ保存関係を例示する、ブロックチェーンデータレコードの代表的なブロック図である。 本発明の好ましい実施形態に従って実施されるような、トランザクションイベントレコード間に定められたデータ保存関係を例示する、ブロックチェーンデータレコードの代表的なブロック図である。 本発明の好ましい実施形態に従って実施されるような、好ましいシリアル化プロセスを説明するシーケンスフロー図である。 本発明の好ましい実施形態に従って実施されるような、好ましいトランザクション要求処理プロセスを説明するシーケンスフロー図である。 本発明の好ましい実施形態に従って実施されるような、好ましいトランザクション問い合わせプロセスを説明するシーケンスフロー図である。

本発明は、製造業者、卸売業者、流通業者、運送業者、ディスペンサー（dispensers）、小売業者、消費者などを含む、通常は独立したサプライチェーンベンダー参加者の連合内及びそれらの間の、トランザクションイベントの安全な記録を可能にする、ネットワーク化されたサプライチェーン管理システムとして実装されることが好ましい。トランザクションレコードの選択により、サプライチェーンを通して特定のユニット資産（unit assets）のトラッキング及びトレーシングが可能になる。本発明の目的のために、サプライチェーンのユニット資産は、典型的には、最終的に顧客の消費に向けた製品やその一部を表す商品である。サプライチェーンの運用において、それらのユニットは、識別可能なユニット資産の作成、移動、変更、再パッケージ化、及び消費を、一般的な用語で説明する、トランザクションイベントのオブジェクトである。

図１は、本発明の好ましい実施形態の好ましい動作環境１０を図示している。例示的なサプライチェーン１２は、製品を製造業者１４から消費者２２へ、卸売業者１６、流通業者１８、及び小売業者２０を介して様々な組み合わせで、配送するために相互運用する、参加ベンダーの連合を含んでいる。サプライチェーン１２には、状況に応じて、改修、再販、及び破棄２８のために、未使用、過剰、期限切れ、及び欠陥のある製品を収集２６するように機能する、リバースロジスティクス業者（reverse logisticians）２４も含まれている。更に、より大きな又は付属の接続されたサプライチェーン１２の状況において、消費者２２は、製造業者１４、卸売業者１６、流通業者１８、及び小売業者２０として機能することができる。これは、最も一般的には、消費者２２が受け取ったサプライチェーン資産が、一部の新製品の製造や組み立てにおいて、組み込まれる若しくは消費される場合に発生する。本発明の目的のために、サプライチェーン資産の要素は、一意の製品識別子でマークされた個別の製品ユニットである。本発明の好ましい実施形態では、それらの一意の製品識別子がシリアル番号である。

サプライチェーン１２のオペレーションは、特徴的に、サプライチェーン資産上での又はサプライチェーン資産に関わるトランザクションイベントの発生をもたらす。本発明の目的のために、それらのトランザクションイベントは、サプライチェーン１２の実際のオペレーションの本質的な側面を表す情報に関する機能的オペレーションの、小さく簡潔なセットに関して定義されることが好ましい。好ましくは、機能的オペレーションは、１つ又は複数のシリアル番号で識別された製品ユニットに対して発生する、端末オペレーション、転送オペレーション、集約オペレーション、及び問い合わせオペレーションとして分類される。本発明の好ましい実施形態において、これらの機能的オペレーションは、疑似コード表現を使用して、以下の最小限の機能セットによって指定される。

端末オペレーション：

転送オペレーション：

集約オペレーション：

問い合わせオペレーション：

機能的オペレーションのセットは拡張できるが、そのセットは、トランザクションイベントのアトミックな側面を簡潔に説明するように制約されていることが好ましい。Create-Move、Create-Split、及びMove-Destroyなど、頻繁に発生するアトミックシーケンスの場合における使用を簡略化するために、複合機能的オペレーションを追加することができる。複合機能的オペレーションの場合、提供されるパラメータデータは、組み込まれたアトミック機能的オペレーションのパラメータデータと同等である。以下でより詳細に説明するように、サプライチェーン１２を通って移動する様々な製品ユニットのトランザクション履歴を効率的に捕捉し、その後、個別ユニットを追跡する能力は、機能的オペレーションの簡潔なセットを使用することによって特に強化される。

好ましくは、参加ベンダー１４、１６、１８、２０、２２、２４の各々は、インターネットなどのパブリックネットワーク３０を介して、本発明の好ましい実施形態に従って構築されたトランザクションマネージャを実装するプラットフォームサーバ３２へ、独立して接続することができる。一般的に、通信とそれによって提示される要求の実行とは、アクセスマネージャ３６による認証及びアクセス制御監視の対象となる、プラットフォームコントローラ３４によって処理される。製品ユニットのシリアル化要求のため、プラットフォームコントローラ３４には、新しい一意のシリアル番号を取得する、セキュアコードデータジェネレータ３８が含まれる。サプライチェーンのトランザクションイベントの記録又は報告を含む、ベンダー１４、１６、１８、２０、２２、２４の要求のため、プラットフォームサーバ３２は、ノードコントローラ４２及びセキュア分散型元帳４４を含む分散型元帳サーバノード４０と相互運用し、安全に永続化されたトランザクションイベント記録を保存及び取得することが好ましい。セキュア分散型元帳４４は、ブロックチェーンベースのセキュリティ技術を使用して実装されることが好ましい。

図２は、製造業者１４、卸売業者１６、流通業者１８、小売業者２０、消費者２２、又はリバースロジスティクス業者２４によって実装することができ、本発明に従って構築されたプラットフォームサーバ３２の好ましい実装となり得る、ベンダーシステム５２の例示的な実装５０を示している。図示のように、ベンダーシステム５２は、１つ又は複数のユーザ端末５６とネットワーク接続されたシステムコントローラ５４を含んでいる。それらのユーザ端末５６は、通常、受け取り、生産、出荷、及び消費者サービスエリアを含む、ベンダー施設内の様々なポイントに分散されている。他のデータ入力デバイスに加え、光学スキャナ５８とＲＦＩＤ及び近距離受信機６０とを使用して、特にシリアル番号を含む製品ユニット情報を捕捉する。選択されたユーザ端末５６には、ラベルプリンタ６２と、ＲＦＩＤ及びＮＦＣライタを含む、製品ユニットへのシリアル番号の適用を可能にする他のマーキングデバイス及び技術とが提供される。

好適に構成されたプラットフォームサーバ３２は、ネットワーク３０へのベンダー指向インタフェースとして動作するポータルサーバ６４を含んでいる。内部ネットワーク６６は、ポータルサーバ６４をプラットフォームコントローラ３４、アクセスマネージャ３６、及びデータストアサーバ６８と接続する。好ましい実施形態において、ポータルサーバ６４は、様々なベンダーシステム５２がトランザクションイベント情報を送信すると共にトランザクション履歴を受信することを可能にする、１つ以上のウェブサービスを更に実装するウェブサーバを実行する。それらの送受信要求は、本発明の目的のために、ベンダープロトコル要求７０と呼ばれる。プラットフォームコントローラ３４と協働して動作するポータルサーバ６４は、任意の多数の明確に定義されたデータ交換フォーマットで、トランザクションイベント情報を受け入れることができる。これにより、プラットフォームサーバ３２は、ばらばらに実装されたベンダーシステム５２と相互運用するための柔軟性を有することができる。好ましいベンダープロトコルデータ交換フォーマットは、ＥＰＣＩＳである。ウェブサービスは、好ましくは、ＲＥＳＴ、ＳＯＡＰ、及び他の類似の通信プロトコルを、ばらばらに実装されたベンダーシステム５２のニーズに応じて適切に実装する。

ベンダープロトコル要求７０は、プラットフォームコントローラ３４にルーティングされ、アクセスマネージャ３６による認証及びアクセス権の監視を受ける。許可されたとき及び許可されると、プラットフォームコントローラ３４は、次に、分散型元帳ノード４０へ一連の１つ以上の機能的オペレーション要求７２を発行することによって、ベンダープロトコル要求７０を更に実行する。ベンダープロトコル要求７０がトランザクションイベントの記述にフォーマットされたデータ交換を提供する場合、プラットフォームコントローラ３４は、本質的なトランザクションイベント情報を抽出して変換し、分散型元帳ノード４０による安全な記憶を行うために必要な機能的オペレーション要求７２を生成する。トランザクション履歴のためのベンダープロトコル要求７０について、プラットフォームコントローラ３４は、以前に保存された本質的なトランザクションイベント情報のコレクションに対応する要求を取得するために、機能的オペレーション要求７２を生成する。それから、プラットフォームコントローラ３４は、取得されたトランザクションイベント情報を、ベンダープロトコル要求７０に応答するための適切なベンダープロトコルデータ交換フォーマットへ更にフォーマットされた、応答可能なトランザクション履歴へと変換して組み立てる。

本発明の好ましい実施形態において、ベンダープロトコル要求７０はまた、電話、タブレット、及びパーソナルコンピュータを含む大抵のネットワーク化されたコンピューティングデバイス７４によって実行される、アプリケーションから発行することができる。最小限、ウェブブラウザの実行は、ポータルサーバ６４によってホストされたウェブアプリケーションの使用を可能にし、共同ホストされたウェブサービスとのインタフェースを提供する。携帯電話及びタブレットについて、特にサプライチェーンの最終消費者２２によって使用される場合、モバイルアプリケーションをローカル実行するデバイス７４は、好ましくは、ポータルサーバ６４のウェブサービスとの相互作用を簡素化するように動作する。

ポータルサーバ６２の好ましい実行コンテキスト８０を図３Ａに示す。実行コンテキスト８０内で、ウェブサービス８２_１−Ｎは、ベンダープロトコル要求メッセージを受信し、対応するベンダープロトコル応答７０を返すように動作する。好ましくは、ウェブサービス８２_１−Ｎの各々は、ＲＥＳＴやＳＯＡＰなどのデータ転送プロトコルと、ＥＰＣＩＳや他の物理マークアップ言語及びＸＭＬや他の汎用マークアップ言語などの、プロセスや物理要素を記述することが可能なデータ交換フォーマットとの、幾つかの組み合わせをサポートする。これにより、プロトコルサーバ６２は、異種ベンダーシステム５２の任意の特定の通信要件をサポートする柔軟性が与えられる。

好ましい実施形態において、ウェブサービス８２_１−Ｎは、受信したベンダープロトコル要求メッセージを認証する。ベンダープロトコル要求メッセージから抽出されたベンダー識別及び認可データは、評価のために、認証インタフェース８４を介してアクセスマネージャ３６へ送信される。認証が成功した場合、ベンダープロトコル要求メッセージのデータ内容は、ルータ８６を介してプラットフォームコントローラ３４へ送信される。応答を構成するデータ内容は、適切なベンダープロトコル応答メッセージを生成するために、ルータ８６、対応するウェブサービス８２_１−Ｎを介して受信され、ベンダーシステム５２の中の正しい１つに戻される。

図３Ｂは、アクセスマネージャ３６の好ましい実行コンテキスト８８を図示している。認証エンジン９０は、内部ネットワーク６６及びポータルサーバ６４を介してベンダーシステム５２と交換されたベンダー認証情報を、認証するために実行される。必要に応じて、認証エンジン９０は、ネットワーク３０を介してリモートセキュリティリソースにアクセスすることができる。認証エンジン９０は、好ましくは、例えばＯｐｅｎＩＤ及びＯＡｕｔｈプロトコルを含む様々な暗号的に安全な認証プロトコルの使用を可能にするために、簡易認証セキュリティ層（ＳＡＳＬ）フレームワークを実装する。認可エンジン９２は、特定のベンダーシステム５２との認証された接続を通じて利用可能な、アクセス特権及び操作的役割（operative role）の権利を決定するために実行される。それらの特権及び操作的役割の権利は、データストアサーバ６８によって永続化された情報レコードから決定される。好ましい実施形態において、認可エンジン９２は、ＬＤＡＰなどのネットワークディレクトリサービスプロトコルを実装する。アカウンティングエンジン９４は、好ましくは、認証及び認可エンジン９０、９２の動作内で発生するイベントを特に監視９６するために実行される。又、アカウンティングエンジン９４は、ポータル及びプラットフォームコントローラサーバ６４、３４によって放出された、それらの進行中の内部動作を反映する動作イベントを監視してもよい。アカウンティングイベントは、データストアサーバ６８によってデータレコードとして永続化される。

プラットフォームコントローラ３４の好ましい実行コンテキスト９８が、図３Ｃに示されている。ベンダープロトコル変換器１００_１−Ｎのセットが、ベンダープロトコル要求及び応答メッセージを、内部ネットワーク６６を介してプロトコルサーバ６４と交換するように配列されている。ベンダープロトコル変換器１００_１−Ｎの各々は、好ましくは、サポートされているデータ交換フォーマットの１つと、プラットフォームコントローラ３４によって使用される内部中立データフォーマットとの間の、双方向フォーマット変換プロセスを実装する。ベンダープロトコル変換器１００_１−Ｎは、好ましくは、ベンダープロトコル要求メッセージのデータ交換フォーマットタイプに基づいて、ルータ８６により選択される。

要求プロセッサ１０２は、内部中立データフォーマットでレンダリングされた各ベンダープロトコルメッセージを、１つ以上の機能的オペレーションの実行を決定及び指示するために必要なものとして評価する。この評価に関連して、要求プロセッサ１０２は、機能的オペレーションの実行を認定するために、認可インタフェース１０６を介して認可エンジン９２にアクセスする。内部中立データフォーマットで提供されるデータの適切な選択と結合された適格な指示が、次に、機能的オペレーション変換器１０４に適用される。機能的オペレーション変換器１０４は、適切にフォーマットされた機能的オペレーション要求及び応答７２を、分散型元帳ノード４０と交換する責任を負う。

図４は、本発明の好ましい実施形態に関連して使用される、ベンダーシリアル化要求サブシステム１１０を示している。シリアル化要求サブシステム１１０は、サプライチェーン１２内の製品ユニットを機能的に作成、集約、又はその他の方法で変換する、それらのベンダーシステム５２により実行可能な操作として実装される。典型的には、ベンダーシステムコントローラ５４が、新しいシリアル化可能な製品ユニットの作成又は既存の製品ユニットの１つ以上の新しいシリアル化可能な製品ユニットへの集約に先立って、或いはそうでなければそれらに関連して、シリアル化要求１１２を発行する。シリアル化要求１１２を発行することは、公称的には、ベンダーシステムコントローラ５４が、新しいシリアル化可能な製品ユニットをマーキングする際に使用するためのシリアル番号を受信することに帰着する。受信されたシリアル番号は、プラットフォームコントローラ３４によって自動的に生成されるか、又はシリアル化要求１１２と共に提供されたシリアル番号案に基づいている。

好ましくは、シリアル化要求１１２は、プラットフォームサーバ３２に発行されたときに、パブリックデータ１１４及びプライベートデータ１１６を含んでいる。パブリックデータ１１４は、典型的には、ベンダーシステム５２内に存在するベンダーデータストア１１８から導出される。新しいシリアル化可能な製品ユニットの記述的な情報は、ベンダーシステムコントローラ５４の制御１２２の下でパブリックデータ１１４として提示するために、ベンダーデータストア１１８から選択１２０される。選択されたパブリックデータ１１４は、公称的には、新しいシリアル化可能な製品ユニットに適用される、視認可能又はさもなければプレーンテキストの光学的又は電子的に読み取り可能なマーキングに使用されるべき、あらゆる情報を含んでいる。例示的な医薬品製品ユニットのマーキングの場合、パブリックデータ１１４は、好ましくは、ＮＤＣ及び同等のＧＴＩＮ番号、ベンダーのロット番号、及び製品ユニットの有効期限、並びに適切な場合には、ベンダー、ロケーション、処方者、及びディスペンサー名、処方及び調剤日、処方番号、及び量と濃度との値を含んでいる。パブリックデータ１１４は、好ましくは、明確に定義されたデータ交換フォーマットの対応するフィールドにフォーマットされ、典型的には、ベンダーシステム５４によって選択される。

プライベートデータ１１６の情報内容もまた、ベンダーデータストア１１８から選択１２０される。選択される情報は、典型的には、ベンダーが、シリアル化された製品ユニットに明確に関連付けることを希望しながらも、他のベンダーや利害関係者による調査から保護することを希望する、機密の又はその他の専有のベンダー情報を表している。医薬品製品ユニットマーキングの例示的な実施例において、プライベートデータ１１６は、内部サブロット識別子、バッチサイズを含んでもよく、ユニット製造において使用される内部プロセス、パラメータ、及び材料の他の識別子を含んでもよい。プライベートデータ１１６として含めるための任意の情報の選択は、ベンダーの裁量で任意である。情報が選択される場合、ベンダー暗号化ユニット１２４は、この情報とベンダー暗号化キー１２６とを受け取る。結果として得られる符号化された情報は、プライベートデータ１１６である。プライベートデータ１１６は、好ましくは、明確に定義されたデータ交換フォーマットのカスタムでラベル付けされた補助フィールドに、バイナリ文字列として格納される。

図５を参照して、ポータルサーバ６４を介して処理されるベンダーシリアル化要求１１２は、好ましくは、プラットフォームコントローラ３４のシリアル化サブシステム１４０によって処理される。本発明の好ましい実施形態において、プラットフォームコントローラ３４は、ソフトウェアシリアル化エンジン１４２及びハードウェア乱数ジェネレータ１４４を実装する。シリアル化エンジン１４２は、好ましくは、乱数ジェネレータ１４４によって提供される乱数を、典型的には定義された文字列の長さ及びシンボルセットを有することを特徴とする予め定義されたフォーマット内で、レンダリングするように機能する。従って、シリアル化エンジン１４２上の各呼び出しは、適切にフォーマットされた一意のノンス値１４５を、プラットフォームコントローラ３４へと返す。ベンダーシリアル化要求１１２がシリアル番号案を提供する場合、ノンス値１４５及びシリアル番号案は、シリアル番号１４６として、メッセージペイロード１４８へと組み込まれる。シリアル番号案がない場合、プラットフォームコントローラ３４は、好ましくは、ノンス値１４５からシリアル番号１４６を導出する。メッセージペイロード１４８はまた、シリアル化要求１１２と併せて得られたパブリックデータ１１４及びプライベートデータ１１６を組み込む。次に、メッセージペイロード１４８は、セキュアハッシュダイジェスト値１５２を得るために、ＭＤ５、ＳＨＡ−１、又はＳＨＡ−２などの暗号学的ハッシュ関数を実装したエンコーダ１５０を介して処理される。医薬品のサプライチェーン１２のアプリケーションでは、現在、２５６ビットＳＨＡ−２の暗号学的ハッシュ関数が好ましい。ハッシュダイジェスト値１５２を生成するためにエンコーダ１５０によって実装される好ましいアルゴリズムは、以下のように要約される。

生成されたセキュアハッシュダイジェスト値１５２は、プラットフォームコントローラ３４とセキュア署名ジェネレータ１５４との双方へ提供される。又、プライベートハッシュもプラットフォームコントローラ３４へ提供される。プラットフォームコントローラ３４によって、プラットフォームサーバ３２のプライベート暗号化キー１５６が、セキュア署名ジェネレータ１５４へ提供される。セキュア署名ジェネレータ１５４によって生成されたセキュア署名１５８は、プラットフォームコントローラ３４へ返される。セキュア署名ジェネレータ１５４によって実装される好ましいアルゴリズムは、以下のように要約される。

セキュアコードデータジェネレータ３８は、プライベートデータハッシュ値、セキュア署名１５８、及びパブリックデータ１１４とシリアル番号１４８との双方を含む、セキュアハッシュダイジェスト値１５２をプラットフォームコントローラ３４から受信する。これに応答して、セキュアコードデータジェネレータ３８は、提供された情報と、光学的に読み取り可能なバーコードや電子的に読み取り可能なタグとして再生するのに適したその符号化された表現とを含む、シリアル化データメッセージ１６０を生成する。シリアル化データメッセージ１６０は、シリアル化要求１１２に対するベンダープロトコルデータ交換フォーマットされた応答の構築に使用するために、プラットフォームコントローラ３４へ戻される。シリアル化データメッセージ１６０を生成するための好ましいアルゴリズムは、以下のように要約される。

プライベートデータ１１６がシリアル化要求１１２の一部としてベンダーシステム５２によって提供されない場合、シリアル化サブシステム１１０によって好ましく実装されるような対応する修正アルゴリズムは、以下のように要約される。

図６は、本発明の好ましい実施形態に関連して、ベンダーシステム５２により使用されるシリアル化応答処理サブシステム１７０を示している。フォーマットされたシリアル化メッセージデータ１６０は、シリアル化要求１１２に対するベンダープロトコルデータ交換フォーマットされた応答内で返される。シリアル化データメッセージ１６０は、ベンダー制御システム５４の制御１２２の下で、ベンダープロトコルデータ交換フォーマットデコーダ１７２によってデコードされる。デコーダ１７２は、典型的には、シリアル化データメッセージ１６０の様々なフィールドを、ベンダーデータストア１１８内の格納に適したベンダー固有のフィールドにレンダリングする。任意の後続の時点で、ベンダーシステムコントローラ５４は、シリアル化データメッセージ１６０の情報内容を、対応する製品ユニットへ適用することを決定することができる。ベンダーデータストア１１８内のフィールドからのデータは、選択１７４され、光学的又は電子的に読み取り可能なラベル又はタグ１７８を製造するために、適切なラベルプリンタ又はＲＦＩＤ／ＮＦＣライタ１７６へ供給される。

例示的な医薬品サプライチェーン１２のアプリケーションでは、ラベル１７８が物理的に包装された製品ユニットへ一般的に適用される。図７に示すように、医薬品サプライチェーン１２での使用に適した光学的に読み取り可能なラベル１９０は、バーコード及び数値的に等価なＮＤＣ１９２を含んでいる。補足的な公開情報ブロック１９４が、パブリックデータ１１４の選択を明確なテキストで提供する。図示のように、補足的な公開情報ブロック１９４は、ＧＴＩＮコードに対応するＮＤＣ、割り当てられたシリアル番号１４６、使用期限、及びベンダーのロット番号を提供する。好ましくは、補足的な公開情報ブロック１９４は、署名１５８の１６進数の最後の８桁で表される署名の要約も含んでいる。最後に、光学的に読み取り可能なラベル１９０は、セキュアコードデータジェネレータ３８により生成されると共にシリアル化データ１６０に含まれるＱＲコード（登録商標）データから、好ましくは生成されたＱＲコード（登録商標）１９６も含んでいる。このＱＲコード（登録商標）データは、好ましくは、セキュアハッシュダイジェスト値１５２だけでなく、関連する任意のプライベートデータハッシュダイジェスト値、セキュア署名１５８、及びパブリックデータ１１４とシリアル番号１４８との双方をコード化する。

本発明に従って、トランザクションイベントを報告し、トランザクションイベント履歴及び関連情報の問い合わせを送信するベンダープロトコル要求７０は、好ましくは、プラットフォームコントローラ３４による処理のためにポータルサーバ６４を介して処理される。図８に示されているように、ベンダーイベントサブシステム２００は、それらに対する応答を返すことを含む、トランザクション又は問い合わせ要求２０２を処理する。受信したトランザクション又は問い合わせ要求２０２の各々について、プラットフォームコントローラ３４は、一連の１つ以上の機能的オペレーション要求７２を分散型元帳サーバノード４０へ発行する。

本発明の好ましい実施形態に関連して、分散型元帳サーバノード４０は、好ましくは、ノードコントローラ２０４、セキュアブロックチェーンベースの分散型元帳２０６、及びセキュア分散型ファイルシステム２０８を含んでいる。ブロックチェーン元帳２０６は、相互に関係する多数の分散型元帳サーバノード４０の間で共有されるグローバルブロックチェーン元帳のローカルコピーを表している。ブロックチェーン元帳２０６の内容は、セキュア分散型ブロックチェーンコンセンサスプロトコルの操作を通じて、グローバルブロックチェーン元帳の他のコピーとの同一性に解される。分散型ファイルシステム２０８は、ノードコントローラ２０４へ、相互に関係する他の分散型元帳サーバノード４０と共有される永続的なデータへのアクセスを提供する。典型的に、分散型ファイルシステム２０８は、安全でコンテンツアドレス指定可能なピアツーピア型ハイパーメディア配信プロトコルを介して、他の分散型元帳サーバノード４０のＩＰＦＳ２０８の記憶部へ接続する、インタープラネタリファイルシステム（ＩＰＦＳ）のインスタンスによって実装される。

図９を参照すると、分散型元帳ノード４０内のノードコントローラ２０４の動作環境２１０は、ブロックチェーンスマートコントラクトの実行のためのセキュアコンテキスト２１２を提供する。本発明の好ましい実施形態では、プラットフォームコントローラ３４によって発行されたトランザクション又は問い合わせの機能的オペレーション要求２１６に応答して、トランザクションコントラクト２１４が選択されて実行される。機能的オペレーション要求２１６の各々は、機能的オペレーション７２の簡潔なセットから選択された機能を指定し、指定された機能を実装するためにトランザクションコントラクト２１４の実行に適切な入力データを提供する。トランザクションコントラクト２１４の実行可能なインスタンスは、好ましくは、ブロックチェーン元帳２０６から直接又は間接的に取得される。ノードコントローラ２０４に発行された事前のブロックチェーンスタンダード要求は、トランザクションコントラクト２１４を記憶のために提供しているであろう。トランザクションコントラクト２１４のソースコピーは、ブロックチェーン２０６上に直接格納されてもよい。代替的に、トランザクションコントラクト２１４に対応する暗号ハッシュ２１８がブロックチェーン２０６上に格納され、一方、トランザクションコントラクト２１４のソースコピーは、暗号ハッシュ２１８をインデックスキーとして使用する選択を条件に、分散型ファイルシステム２０８に格納される。暗号ハッシュ２１８が各機能的オペレーション要求２１６内に符号化されていることにより、ノードコントローラ２０４は、提供されたハッシュ値をブロックチェーン２０６によって格納されているハッシュ値と照合して検証することができる。有効な場合、暗号ハッシュ２１８は、その後、トランザクションコントラクト２１４の実行可能なインスタンスを取得するために使用され得る。

トランザクションコントラクト２１４のインスタンスの実行は、指定された機能と機能的オペレーション要求２１６で提供された入力データとに具体的に依存する。実行は、好ましくは、潜在的には分散型ファイルシステム２０８からの関連データの読み出しと連動した、１つ以上の既存のトランザクションイベントエントリ２２０の読み出し、潜在的には分散型ファイルシステム２０８への関連データの書き込みと連動した、トランザクションイベントエントリ２２２のブロックチェーン２０６への書き込み、又はそれらの幾つかの組み合わせをもたらす。更に、実行ステータス情報と、指定された機能に依存して、ブロックチェーン元帳２０６、分散型ファイルシステム２０８、或いはそれらの双方から取得された情報とは、トランザクション又は問い合わせの機能的オペレーション要求２１６に応答して、ノードコントローラ２０４によって返される。

機能的オペレーションの好ましい簡潔なセットの使用を例示するために、例示的な一連の機能的オペレーション要求２１６が表１（数９〜数１５）に提供される。

図１０Ａは、本発明の好ましい実施形態に従って、ブロックチェーン２０６に格納されている複数のブロックチェーンレコード２３２、２３４と、分散型ファイルシステム２０８に格納されている対応する分散型ファイルシステムレコード２３８との、代表的な図２３０を提供する。ブロックチェーンレコード２３２は、各ブロックチェーンレコード２３２、２３４のボディ２４０の構造的内容に関して明確に代表的なものである。ボディ２４０の各々は、好ましくは、セキュアハッシュダイジェスト値２４４、符号化されたタイムスタンプ値２４６、及びトランザクションレコード２４８を格納するためのフィールドを含んでいる。

セキュアハッシュダイジェスト値２４４は、シリアル番号１４６によって識別される製品ユニットのために、シリアル化サブシステム１４０によって生成されたセキュアハッシュダイジェスト値１５２のコピーである。符号化されたタイムスタンプ２４６の値は、好ましくは、ベンダーによって割り当てられ、ブロックチェーン２０６上に記録するためのトランザクションイベントを報告する各ベンダープロトコル要求７０の一部として送信される、トランザクションイベントの発生時間を表している。ブロックチェーンレコード２３２のブロックチェーン２０６への追加を担当するトランザクションコントラクト２１４のインスタンスの実行に関連して、ノードコントローラ２０４によって生成された別個のブロックチェーン固有のタイムスタンプは、ブロックチェーンレコード２３２のヘッダフィールドに格納される。トランザクションレコード２４８は、好ましくは、ブロックチェーンレコード２３２の生成をもたらした機能的オペレーションの識別と、対応するトランザクションコントラクト２１４のインスタンスの実行においてノードコントローラ２０４によって使用される入力データの選択要素とを格納する。それらの選択要素は、パブリックデータ１１４内に含まれる恐らくは検索可能なフィールドのセットから導出される。選択される要素は、好ましくは、問い合わせ要求２０２に応答する際の期待される有用性と、ブロックチェーン２０６の保存スペース要件のサイズとを含む、多くの要素に基づいて選択される。本発明の目下好ましい実施形態において、それらの選択要素は、好ましくはベンダー名及び製品ユニットのロケーションを含み、関連する製品ユニットの日付と、カタログ番号、技術名、及び商業名などの関連する製品識別子とを含んでもよい。製品ユニットのロケーションは、好ましくは、地理座標などの標準ベースのジオロケーション識別子によって、又はそれらと組み合わせて指定される。

トランザクションの機能的オペレーション要求２１６の作成に応答して、ノードコントローラ２０４は、ブロックチェーンレコード２３２を作成してブロックチェーン２０６へ追加するための、トランザクションコントラクト２１４を実行する。好ましくは、同時に、ノードコントローラ２０４は、分散型ファイルシステムレコード２３８を分散型ファイルシステム２０８へ書き込む。分散型ファイルシステムレコード２３８は、各分散型ファイルシステムレコード２３８のボディ２５０の構造的内容に関して明確に代表的なものである。ボディ２５０の各々は、好ましくは、セキュアハッシュダイジェスト値２５２、パブリックデータ２５４のブロック、及び符号化されたプライベートデータ２５６のブロックを格納するためのフィールドを含んでいる。セキュアハッシュダイジェスト値２５２のフィールドは、好ましくは、セキュアハッシュダイジェスト値２４４のフィールドによって格納された値のコピーを格納する。好ましい実施形態において、分散型ファイルシステムレコード２３８は、セキュアハッシュダイジェスト値２５２のフィールドの格納された値に基づいて、そしてそれによってブロックチェーンレコード２３２からの参照２５８により、分散型ファイルシステムレコード２３８のインデックス化された選択及び検索をサポートするように組織化された、分散型ファイルシステム２０８内に格納される。パブリックデータ２５４及びプライベートデータ２５６のフィールドは、好ましくは、対応するトランザクションの機能的オペレーション要求２１６の作成と共にノードコントローラ２０４へ提供された、パブリックデータ１１４及びプライベートデータ１１６のコピーを格納する。

ブロックチェーンレコード２３４は、後続の転送トランザクションの機能的オペレーション要求２１６の結果を例示する。ブロックチェーンレコード２３４は、ブロックチェーンレコード２３２と同じセキュアハッシュダイジェスト値２４４を格納するボディ２４０を有し、それにより、両者が同じ固有の製品ユニットを参照していることを確立する。符号化されたタイムスタンプ２６０は、ベンダーによって割り当てられた転送トランザクションイベントの発生時間を表す値を有することになる。トランザクションレコード２６２は、転送の機能的オペレーションの識別と、転送オペレーションを特徴付けるベンダーやロケーションなどの関連する入力データパラメータとを格納する。

分散型ファイルシステムレコード２３８のボディ２５０内に、パブリックデータ２５４及びプライベートデータ２５６の双方を格納する好ましい代替として、何れか又は双方をトランザクションレコード２４８の一部として格納することができる。後続の関連するブロックチェーンレコード２３４が、ブロックチェーンレコード２３２と同じセキュアハッシュダイジェスト値２４４を格納することを考えると、ブロックチェーンレコードは、参照により相互に関連したままである。

図１０Ｂは、ブロックチェーン２０６上に格納されている構造的内容ボディ２４０（個別には示されていない）を各々が有する、ブロックチェーンレコード２７２、２７４、２７６、２７８、２８０、２８２のセットの代表的な図解２７０を提供する。示されているように、初めに図示されたブロックチェーンレコード２７２は、特定のシリアル番号（Ｓ／Ｎ−Ａ）を参照した転送の機能的オペレーション（ムーブ）要求２１６の結果として、ブロックチェーン２０６に格納された。ブロックチェーンレコード２７２に格納されたセキュアハッシュダイジェスト値（Ｈａｓｈ−Ａ）は、分散型ファイルシステム２０８内に格納された分散型ファイルシステムレコード２８６を参照２８４する。

図示されているように、Ｓ／Ｎ−Ａとして識別される製品ユニットを、Ｓ／Ｎ−Ｂ及びＳ／Ｎ−Ｃと表記される２つの新しい製品ユニットへ分割することを表す、後続の集約の機能的オペレーションは、好ましくは、一連の関連する機能的オペレーションとして発生する。ブロックチェーンレコード２７４、２７６は、最初に、シリアル番号Ｓ／Ｎ−Ｂ及びＳ／Ｎ−Ｃの各々についてのクリエイトの機能的オペレーション要求２１６の結果として、作成されブロックチェーン２０６に格納される。更にブロックチェーンレコード２７４、２７６は、それぞれ、分散型ファイルシステム２０８内に格納された分散型ファイルシステムレコード２６２、２６４を参照２８８、２９０する、セキュアハッシュダイジェスト値Ｈａｓｈ−Ｂ、Ｈａｓｈ−Ｃを格納する。

２つのスプリットの機能的オペレーションは、その後、それぞれシリアル番号Ｓ／Ｎ−Ｂ及びＳ／Ｎ−Ｃを有するブロックチェーンレコード２７８、２８０を、ブロックチェーン２０６へ格納する結果となる。好ましくは、両ブロックチェーンレコード２７８、２８０のトランザクションレコードは、集約される製品ユニットを識別するためのＳ／Ｎ−Ａ値を含んでいる。本発明の好ましい実施形態によれば、集約元のシリアル番号の包含は、ブロックチェーン２０６に記録されたトランザクションイベントの論理的連続性を維持する、追跡可能な後方参照２６６を提供するように効果的に動作する。

スプリットの機能的オペレーションのブロックチェーンレコード２７８、２８０の、ボディ２４０内のセキュアハッシュダイジェスト値のフィールドは、それぞれＨａｓｈ−Ｂ値及びＨａｓｈ−Ｃ値を格納する。従って、ブロックチェーンレコード２７８、２８０は参照２８８、２９０し、分散型ファイルシステムレコード２９２、２９４を実質的に共有する。更なる例示のように、Ｓ／Ｎ−Ｃとして識別された製品ユニットに関して発行された後続の転送の機能的オペレーションは、ブロックチェーン２０６へのブロックチェーンレコード２８２の格納をもたらす。ブロックチェーンレコード２８２のセキュアハッシュダイジェスト値のフィールドは、Ｈａｓｈ−Ｃを格納し、それによって分散型ファイルシステムレコード２９４を参照２９０する。

本発明の好ましいシステムの実施形態によって可能にされる、好ましい継続中のオペレーション方法は、シリアル化、マーキング、及びトランザクションイベントの記録を含んでいる。シリアル化オペレーションは、本質的に、製品ユニットのシリアル番号とセキュアハッシュ値との間の、安全な対応関係を確立するために機能する。製品ユニットのシリアル番号は、製品ユニットの一意の公開識別子として機能し、同時にセキュアハッシュ値は、ブロックチェーン識別子として機能する。シリアル化の結果はシリアル化データ１６０の生成であり、これは、ベンダーが選択した方法で製品ユニットにラベル付けするために、ベンダーが使用することができる。

シリアル化オペレーション３２０の好ましい順序が、図１１に示されている。ベンダーシステム５２からポータルサーバ６４へ送信３２２されるように、ベンダーのシリアル化要求１１２は、要求タイプの識別子とパブリックデータとを含んでいる。オプションとして、ベンダー提案のシリアル番号及びベンダーのプライベートデータ１１６も含まれる。ベンダーシステム５２の識別は、アクセスマネージャ３６によって認証３２４される。認証失敗の応答がベンダーシステム５２へ返送３２６されるか、或いは要求１１２がプラットフォームコントローラ３４へ転送３２８される。要求１１２のデータ内容は、内部中立データフォーマットに変換３３０され、好ましくはデータストアサーバ６８内のレコードセットとして格納３３２される。次に、プラットフォームコントローラ３４は、要求１１２の関連するデータ内容を考慮して、要求されたオペレーションが認可３３４されているか否かを判断する。任意の認可失敗の応答が、ベンダーシステム５２へ中継３３６、３３８される。

認可された場合、プラットフォームコントローラ３４は、固有のノンスの生成３４０へ進み、ベンダー提案のシリアル番号を修正するか、或いはノンスから適切なシリアル番号を導出する。次に、対応するセキュアハッシュが計算され、セキュア署名が生成３４２されて署名されたデータに対して格納３４４される。次いで、シリアル化データ１６０が生成３４６され、データストアサーバ６８内の対応するシリアル化要求レコードが確定３４８される。その後、シリアル化データ１６０を含むベンダーシリアル化応答が、ベンダーシステム５２へ返送３５０、３５２される。

トランザクションイベントの記録オペレーション３７０の好ましい順序が、図１２に示されている。ベンダーシステム５２からポータルサーバ６４へ送信３７２されるように、ベンダーのトランザクション要求２０２は、要求タイプの識別子、シリアル番号と事前のシリアル化オペレーション３２０によって得られた製品ユニットを識別するセキュアハッシュとのいずれか一方、トランザクションイベントデータ、及びイベントのタイムスタンプを含んでいる。ベンダーシステム５２の識別は、アクセスマネージャ３６によって認証３７４される。認証失敗の応答がベンダーシステム５２へ返送３７６されるか、或いは要求２０２がプラットフォームコントローラ３４へ転送３７８される。要求２０２と共に提供されたトランザクションイベントデータは、内部中立データフォーマットに変換３８０され、好ましくはデータストアサーバ６８内のレコードセットとして格納３８２される。次に、プラットフォームコントローラ３４は、要求２０２に含まれる情報と、シリアル化オペレーション中に格納された先行関連データとを考慮して、要求されたオペレーションが認可３８４されているか否かを判断する。任意の認可失敗の応答が、ベンダーシステム５２へ中継３８６、３８８される。

認可されたベンダートランザクション要求２０２が与えられると、プラットフォームコントローラは、次に、要求２０２をまとめて表す機能的オペレーションのセットを生成することに進む。好ましくは、機能的オペレーションは、データストアサーバ６８に事前に格納されたレコードセットからの適切なトランザクション関連データの検索３９２と組み合わせた、機能的オペレーションの逐次生成３９０を含むサブシーケンスで生成される。結果として生じる機能的オペレーションの各々は、好ましくは、対応するセキュアハッシュ２４４、タイムスタンプ２４６、トランザクションレコード２４８、並びに、当てはまる場合はパブリックデータ２５４及びプライベートデータ２５６のコピーを含んでいる。次いで、機能的オペレーションのセットは、好ましくは、分散型元帳サーバノード４０へ逐次発行３９４される。その後、機能的オペレーションのセットの結果を効率的に報告するステータス値を含むベンダートランザクション応答が、ベンダーシステム５２へ返送３９６、３９８される。

本発明の好ましいシステムの実施形態によってサポートされる好ましい問い合わせ方法は、シリアル化された製品ユニットのトランザクションイベントパスを、サプライチェーン全体を通してトラック及びトレースするために、ブロックチェーンレコード集のクエリを可能にする。クエリ要求は、好ましくはトラック又はトレースのいずれかの要求タイプと、クエリパラメータのセットとの観点から指定される。それらのパラメータは、シリアル番号、ベンダー、ロケーション、及びタイムスタンプの、セット又は範囲の幾つかの組み合わせで指定することができる。ロット番号、ＮＤＣ識別子、キャリアなどの他のパラメータも指定できる。トラッキングタイプのクエリ要求の場合、報告された情報は、クエリパラメータによって効果的に識別された製品ユニット又は複数の製品ユニットの、経路及び最終処分を記述する。トレースタイプのクエリ要求は、補完的なオペレーションであり、クエリパラメータによって実質的に識別された製品ユニット又は複数の製品ユニットの、経路及び出処が報告される。医薬品サプライチェーンの例示的なケースで適用されるように、シリアル化された製品ユニットは、それ自体が複数のシリアル化された製品ユニットを含み、製造から、他のシリアル化された製品ユニットへの分割を含む全ての動きを経て、エンドユーザへの調剤に至るまでトラックすることができる。同様に、サプライチェーンの任意の場所で生じる製品ユニットのシリアル番号が与えられると、シリアル化された製品ユニットの格納から最終的な製造元への分裂を考慮した、流通経路をトレースすることができる。

クエリオペレーション４２０の好ましい順序が、図１３に示されている。クエリ要求２０２は、ベンダーシステム５２からポータルサーバ６４へ送信４２２されるように、要求タイプ識別子とクエリパラメータのセットとを含んでいる。ベンダーシステム５０２の識別は、アクセスマネージャ３６によって認証４２４される。認証失敗の応答がベンダーシステム５２へ返送４２６されるか、或いは要求２０２がプラットフォームコントローラ３４へ転送４２８される。要求２０２と共に提供されたクエリパラメータデータは、内部中立データフォーマットに変換４３０され、オプションでデータストアサーバ６８内のレコードセットとして格納４３２される。次に、プラットフォームコントローラ３４は、要求２０２に含まれる情報と、シリアル化オペレーション中に格納された先行関連データとを考慮して、要求されたオペレーションが認可４３４されているか否かを判断する。任意の認可失敗の応答が、ベンダーシステム５０２に中継４３６、４３８される。

認可が付与されると、クエリパラメータが検索４４０され、ふさわしい場合には、分散型元帳サーバノード４０からの対応するブロックチェーンレコードの選択における使用に適した用語に拡張される。好ましくは、拡張は、クエリパラメータで識別されるセキュアハッシュのセットを識別することを含んでいる。例えば、ベンダー識別及びシリアル番号が与えられると、データストアサーバ４０によって記憶されたデータセットレコードから、非正規ハッシュを検索４４０することができる。同様に、ベンダー及びロット番号が指定されている場合、非正規ハッシュのセットを検索４４０することができる。すべての拡張において、データストアサーバ６８のレコードを使用した非正規のルックアップは、パフォーマンスの最適化である。好ましくは、セキュアハッシュの任意の非正規のセットが、分散型元帳サーバノード４０から対応するブロックチェーンレコードにアクセス（図示せず）することによって検証される。

クエリパラメータが拡張されると、ふさわしい場合には、プラットフォームコントローラ３４が、対応するブロックチェーンレコードのセットを読み取るための機能的オペレーションを生成４４２する。この機能的オペレーションは、分散型元帳サーバノード４０へ発行４４４される。トランザクションコントラクト２１４の実行は、提供されたクエリパラメータを、セキュアハッシュ２４４、タイムスタンプ２４６、トランザクションレコード２４８のフィールドに適合させ、更に必要に応じて、潜在的に適合するブロックチェーンレコード内に含まれている全てのパブリックデータ２５４のフィールドに適合させる。適合するブロックチェーンレコードについては、対応するブロックチェーンレコード及びファイルシステムレコードのボディ２４０、２５０が、プラットフォームコントローラ３４へ返される。

返されたブロックチェーンレコード情報は、データストアサーバ６８に任意に格納４４８された報告可能なレコードへ収集４４６される。次に、プラットフォームコントローラ３４は、セキュアハッシュの任意のセットが、集約オペレーションを表すトランザクションレコード２４８を介して参照されたか否かを判定４５０する。ステップ４４２、４４４、４４６、４４８、４５０のサブシーケンスは、前の反復で識別されたセキュアハッシュの任意の参照されたセットを評価するために、必要に応じて繰り返される。追従する参照の方向は、クエリ要求のトラック又はトレースタイプに基づいて選択される。最後に、収集された報告可能なレコードが統合４５２され、クエリ応答の一部としてベンダーシステム５２へ返送４５４、４５６される。

シリアル化された製品ユニットの流通経路の不一致は、トラックオペレーションとトレースオペレーションとを組み合わせて検出することができる。ターゲットのシリアル化製品ユニットを表すシリアル番号が与えられると、ターゲットのシリアル化製品ユニットの作成において機能的に分割された、シリアル化製品ユニットを識別するために、トレースオペレーションを使用することができる。分割された機能的オペレーションを記述するブロックチェーンレコードは、作成されたシリアル番号のセットを提供し、対応する流通経路を暗黙的に定義する。ターゲットのシリアル番号がこのセット内にない場合、ターゲットの製品ユニットは推定的に偽造品である。シリアル番号がセット内に存在していたとしても、ターゲットのシリアル化製品ユニットに関連付けられたブロックチェーンレコード内の、ロケーション、ベンダー、又はその他の情報が、分割オペレーションから製品ユニットをトラッキングすることによって得られたものと一致しない場合、ターゲットの製品ユニットはまたもや推定的に偽造品である。

このように、消費者を含む参加ベンダー内及び参加ベンダー間で転送されたトランザクション履歴を記録するために、サプライチェーン製品を安全にシリアル化する効率的な方法が記載されている。

本発明の好ましい実施形態の上記の説明を考慮すると、開示された実施形態の多くの修正及び変形が、当業者であれば容易に理解されるであろう。従って、添付の特許請求の範囲内で、本発明は、上記の具体的な記載以外の方法で実施され得ることを理解されたい。

１２：サプライチェーン、４０：分散型元帳サーバノード、５８：光学スキャナ、６０：ＲＦＩＤ及び近距離受信機、１１４、２５４：パブリックデータ、１１６、２５６：プライベートデータ、１４５：ノンス値、１４６：シリアル番号、１５６：プライベート暗号化キー、１５８：セキュア署名、２０２：トランザクション又は問い合わせ要求、２１８：暗号ハッシュ、２３２、２３４、２７２、２７４、２７６、２７８、２８０、２８２：ブロックチェーンレコード、２４８、２６２：トランザクションレコード

Claims (15)

1. 少なくとも１つのネットワーク接続コンピュータにより、サプライチェーンに参加しているベンダー内及び該ベンダー間で流通される製品ユニットを安全にシリアル化する方法であって、
   ａ）所定の製品ユニットを記述するベンダーパブリックデータを含むベンダーデータを受信し、前記ベンダーパブリックデータをベンダー固有のフォーマットからベンダー中立のフォーマットへ変換するステップと、
   ｂ）前記所定の製品ユニットに安全に関連付けられる一意のシリアル番号を生成するステップであり、前記一意のシリアル番号がパブリックシリアル番号と固有のノンスとを含むステップと、
   ｃ）前記一意のシリアル番号と前記ベンダーパブリックデータとの暗号ハッシュを生成するステップと、
   ｄ）所定のプライベートキーを使用して前記暗号ハッシュの暗号署名を生成するステップと、
   ｅ）前記パブリックシリアル番号と、前記ベンダーパブリックデータの少なくとも一部とを含むマーキングデータを返信するステップであって、前記マーキングデータが、前記所定の製品ユニットと一意に関連付け可能なマーカの生成に適した所定のフォーマットで提供され、前記マーカのデータ内容は、電子センサ及び光学センサの任意の組み合わせによって読み取り可能であるステップと、
   ｆ）前記パブリックシリアル番号及びトランザクションイベントデータを受信するステップと、
   ｇ）前記パブリックシリアル番号に対応する前記暗号ハッシュを取得するステップと、
   ｈ）前記トランザクションイベントデータからトランザクションレコードを導出するステップと、
   ｉ）ブロックチェーンレコードに格納するために、前記暗号ハッシュと前記トランザクションレコードとを分散型元帳ノードへ送信するステップと、
   を含むことを特徴とする方法。
2. 前記ベンダーデータが、前記ａ）の前記ベンダーデータの受信時に暗号化されるベンダープライベートデータを更に含むことを特徴とする請求項１記載の方法。
3. 前記ｃ）の暗号ハッシュを生成するステップは、前記一意のシリアル番号と、前記ベンダーパブリックデータと、前記ベンダープライベートデータの暗号ハッシュ値とに基づいて、前記暗号ハッシュを生成することを含むことを特徴とする請求項２記載の方法。
4. 前記ｉ）の送信するステップは、前記ブロックチェーンレコードに対応して格納するために、前記ベンダーパブリックデータと前記ベンダープライベートデータとを、選択的に前記分散型元帳ノードへの送信に含めるステップを含むことを特徴とする請求項３記載の方法。
5. 前記ｆ）の受信するステップは、前記トランザクションレコードを前記ベンダー固有のデータフォーマットから前記ベンダー中立のデータフォーマットへ変換するステップを含むことを特徴とする請求項３記載の方法。
6. 前記ｈ）の導出するステップは、前記トランザクションイベントデータからデータを選択するステップを含むことを特徴とする請求項４記載の方法。
7. サプライチェーンに参加しているベンダー内及び該ベンダー間の流通動作を反映したトランザクションイベントを記録するための信頼できる基盤を提供するために、少なくとも１つのネットワーク接続コンピュータにより、製品ユニットを安全にシリアル化する方法であって、
   ａ）所定のサプライチェーンベンダーからベンダーデータを含むシリアル番号要求を受信するステップであり、前記ベンダーデータが、所定の製品ユニットを記述するベンダーパブリックデータと、前記所定のサプライチェーンベンダーにより前記所定の製品ユニットに関連付けられたベンダープライベートデータとを含み、該ベンダープライベートデータが、前記所定のサプライチェーンベンダーによって暗号化されることを条件としているステップと、
   ｂ）前記ベンダーパブリックデータを、前記所定のサプライチェーンベンダーによって定義された第１のフォーマットから、前記所定のサプライチェーンベンダーと無関係に選択された第２のフォーマットへ変換するステップと、
   ｃ）前記所定の製品ユニットのために、パブリックシリアル番号と固有のノンスとを含むシリアル番号を生成するステップと、
   ｄ）前記シリアル番号を、
   ｉ）前記ベンダープライベートデータについてのプライベート暗号ハッシュ値を計算し、このとき、前記ベンダープライベートデータが空である場合、前記プライベート暗号ハッシュ値がゼロであること、
   ｉｉ）前記シリアル番号と、前記ベンダーパブリックデータと、前記プライベート暗号ハッシュ値とについてのパブリック暗号ハッシュ値を計算すること、及び、
   ｉｉｉ）所定のプライベートキーを使用して、前記パブリック暗号ハッシュ値の暗号セキュア署名を計算すること、
   によって保護するステップと、
   ｅ）前記所定のサプライチェーンベンダーへ前記パブリックシリアル番号を返信するステップと、
   を含むことを特徴とする方法。
8. 前記ａ）、ｂ）、ｃ）、及びｄ）のステップより後、且つ、前記ｅ）のステップより前のタイミングで、前記パブリックシリアル番号と、前記パブリック暗号ハッシュ値と、前記ベンダーパブリックデータの少なくとも一部とを含むマーキングデータを準備するステップを更に含み、
   前記ｅ）の返信するステップは、前記マーキングデータを返信することを含むことを特徴とする請求項７記載の方法。
9. 前記マーキングデータを準備するステップは、前記所定の製品ユニットと一意に関連付け可能なマーカの生成に適した所定のフォーマットで前記マーキングデータを提供することを含み、前記マーカのデータ内容が、電子センサ及び光学センサの任意の組み合わせによって読み取り可能であることを特徴とする請求項８記載の方法。
10. ａ）前記所定のサプライチェーンベンダーからベンダートランザクションイベントデータを含むトランザクション要求を受信するステップであり、前記ベンダートランザクションイベントデータが前記パブリックシリアル番号を含むステップと、
    ｂ）前記トランザクションイベントデータを前記第１のフォーマットから前記第２のフォーマットへ変換するステップと、
    ｃ）前記パブリックシリアル番号に対応する前記パブリック暗号ハッシュ値を取得するステップと、
    ｄ）前記トランザクションイベントデータからトランザクションレコードを導出するステップと、
    ｅ）ブロックチェーンレコードに格納するために、前記パブリック暗号ハッシュ値と前記トランザクションレコードとを分散型元帳ノードへ送信するステップと、
    を更に含むことを特徴とする請求項９記載の方法。
11. 前記トランザクション要求を受信するステップより後、且つ、前記トランザクションレコードを送信するステップより前のタイミングで、前記トランザクション要求のタイプを判定するステップを更に含み、
    前記トランザクションレコードを送信するステップは、前記トランザクション要求のタイプに応じて、前記トランザクションレコードを、選択的に送信することを含むことを特徴とする請求項１０記載の方法。
12. 前記ベンダーパブリックデータ及び前記ベンダープライベートデータが、前記ブロックチェーンレコードに格納されることを特徴とする請求項１１記載の方法。
13. 前記ベンダーパブリックデータ及び前記ベンダープライベートデータが、前記ブロックチェーンレコードと安全に対応して前記分散型元帳ノードにより格納されることを特徴とする請求項１１記載の方法。
14. サプライチェーン参加ベンダー内及びサプライチェーン参加ベンダー間で流通される製品ユニットを安全にシリアル化するようにプログラム及び接続された、前記少なくとも１つのネットワーク接続コンピュータを含むコンピュータシステム装置であって、
    前記プログラムは、前記少なくとも１つのネットワーク接続コンピュータに、請求項１から１３のいずれか１項記載の方法を実行させる命令を含むことを特徴とする装置。
15. 前記少なくとも１つのネットワーク接続コンピュータを含むコンピュータシステム装置に適用されると、サプライチェーン参加ベンダー内及びサプライチェーン参加ベンダー間で流通される製品ユニットを安全にシリアル化するように、前記少なくとも１つのネットワーク接続コンピュータに指示する、コンピュータ読み取り可能な命令をエンコードする有形媒体を含む物品であって、
    前記命令は、前記少なくとも１つのネットワーク接続コンピュータに、請求項１から１３のいずれか１項記載の方法を実行させることを特徴とする物品。
    

Images