Statens vegvesen Håndbok 206-2 Veiledning Elektronisk billettering - Regional interoperabilitet 26 mars 2004
Håndbøker i Statens vegvesen Dette er en håndbok i vegvesenets håndbokserie, en samling fortløpende nummererte publikasjoner som først og fremst er beregnet for bruk innen etaten. Håndbøkene kan kjøpes av interesserte utenfor Statens vegvesen til de priser som er oppgitt i håndbokoversikten håndbok 022. Det er Vegdirektoratet som har hovedansvaret for utarbeidelse og ajourføring av håndbøkene Grafisk senter i Vegdirektoratet har ansvaret for grafisk tilrettelegging og produksjon av håndbøkene. Vegvesenets håndbøker utgis på 3 nivåer : Nivå 1 - Rød farge på omslaget - omfatter forskrifter, normaler og retningslinjer godkjent av overordnet myndighet eller av Vegdirektoratet etter fullmakt. Nivå 2 - Blå farge på omslaget omfatter veiledninger, lærebøker og vegdata godkjent av den avdeling som har fått fullmakt til dette i Vegdirektoratet. Elektronisk billettering Regional interoperabilitet Nr.:206-2 i Vegvesenets håndbokserie Opplag : xxx Trykk : xxxxxxxxxxxx Oslo ISBN 82-xxxx-xxx-x 2
Håndbok 206-1 Elektronisk billettering Regional interoperabilitet Forord Håndbok 206 omhandler elektronisk billettering med hovedvekt på kollektivtransport. Det første høringsutkastet ble utarbeidet i 1995 og ble deretter fulgt av første utgave av Håndbok 206 Elektronisk billettering i 1998. Utviklingen innenfor dette området krever nå en revisjon av den utgaven som forelå i 1998, ikke minst med tanke på en samordning av elektroniske billetteringssystemer i Norge. Håndbok 206 Del 1, Del 2 og Del 3 erstatter tidligere håndbok 206. Håndbok 206- Del 1 beskriver elektroniske billetteringssystemer som benytter seg av et billettmedium hvor all informasjon, eksempelvis kundedata, reisebevis og transaksjonslogg, ligger lagret elektronisk. Håndboken omfatter således ikke billetteringssystemer eller billetteringsutrustning for utstedelse av vanlige papirbilletter uten elektronisk lagret informasjon. Del 2, dvs denne veiledningen, omhandler anbefalinger i tilknytning til regional og inter-regional interoperabilitet og bygger på prinsippene som er beskrevet Del 1 og Del 2. Del 3 er tekniske retningslinjer som skal brukes ved innkjøp og installasjon av billetteringssystemer for å sikre at alle nye elektroniske billetteringssystemer kan samordnes og på den måten fremstå som et attraktivt alternativ til kundene mht bruk av kollektive transportmidler. Del 3 har tittelen 206-3 Specification for Interoperable Electronic Ticketing Systems. Håndboken er utarbeidet etter oppdrag fra Samferdselsdepartementet og er finansiert av Statens vegvesen Vegdirektoratet og Samferdselsdepartementet. Hovedhensikten med håndboken er at den skal legge forholdene til rette for at billetteringen i forbindelse med elektronisk billettering skal bli så enkel som mulig og gjennom det gjøre det enklere for kundene å reise kollektiv. En viktig del av denne forenklingen er samordning av elektroniske billetteringssystemer på lokalt, regionalt og nasjonalt nivå. Prosjektleder for utarbeidelse av håndboken har vært Jacob Trondsen fra Statens vegvesen Vegdirektoratet. Arbeidet er utført i samråd med en prosjektgruppe som i tillegg til prosjektleder har bestått av Robert Fjelltun Bøe fra Vegdirektoratet, Hanne Juul fra Hordaland Fylkeskommune, Trond Myhre fra Vestfold kollektivtrafikk, Linda Lillestøl og Jan Christiansen fra NSB, Lars Bjønnes fra Mobitech, Jørn Hanssen fra Oslo Sporveier, Lilia Halsen Bidar og Stig Rønning fra Q-Free Ticketing og Trond Foss fra SINTEF. Målgruppe for håndboken vil være beslutningstakere i kollektivselskaper og offentlige etater. I tillegg vil det være personell som skal arbeide med kravspesifikasjoner og anskaffelse av elektroniske billetteringssystemer. Vegdirektoratet forutsetter at gjeldende internasjonale standarder og de anbefalinger som gis i håndbøkene om elektronisk billettering skal følges i prosjekter som mottar statlig støtte. Vegdirektoratet anbefaler derfor at løyvemyndighetene stiller som krav i kontraktene med kollektivselskapene at håndbøkene skal legges til grunn ved investering i elektroniske billetteringssystemer. Et slikt krav vil ha sin hjemmel i 12 i Ruteforskriftene etter Samferdselsloven. Vegdirektoratet, 26 mars 2004
Innhold 1. REGIONAL INTEROPERABILITET - BAKGRUNN... 5 2. SMARTKORT OG KORTLESER... 7 2.1 INNLEDNING... 7 2.2 TEKNISK INTEROPERABILITET... 7 2.3 HINDRINGER FOR TEKNISK INTEROPERABILITET... 8 2.4 BILLETTMEDIA... 9 2.5 STANDARDER...10 2.6 ANBEFALINGER OG KRAV...10 3. PRODUKTER...15 4. OPPGJØR OG AVREGNING... 19 5. SIKKERHET... 20 6. LOGISK INFORMASJONSUTVEKSLING/DATAFLYT... 22 VEDLEGG A: VIKTIGE BEGREPER OG FORKORTELSER... 24 VEDLEGG B: EKSEMPEL PÅ ANVENDELSE AV IFM MODELLEN... 26 4
1. REGIONAL INTEROPERABILITET - BAKGRUNN Denne delen av håndboka, dvs Del 2, beskriver hvordan elektroniske billetteringssystemer kan samhandle på et regionalt nivå. Et slikt samarbeid kan foregå innenfor en region (f.eks. en fylkeskommune), eller mellom to eller flere regioner. Hovedbegrunnelsene for et regionalt samarbeid vil være 1. Felles billettmedium og applikasjon Muligheten for å bruke samme kort og produkt / kortapplikasjon for å håndtere flere operatører. Dette er mulig hvis flere operatører eller billettutstedere blir enige om et felles format for kort og informasjon. Interoperabilitet i denne sammenhengen innebærer muligheten for å lese og oppdatere kortet, kjenne igjen og utføre en applikasjon/et produkt hvis det er gyldig på en aktuell strekning. I tillegg må det foreligge en avtale om felles sikkerhetskrav (inkludert eventuell nøkkelhåndtering), og hvilke tjenester som skal være tilgjengelige på tvers. 2. Felles produkter Muligheten for å benytte reiseprodukter på tvers av grensene mellom operatører / utstedere. En slik mulighet kan omfatte alle produkter innen en region (Oslo-samarbeidet er et eksempel på dette), eller en avtalt delmengde av produkter. I tillegg til kravene beskrevet ovenfor om billettmediet må en i en slik situasjon også avtale produktdefinisjoner og forretningsregler for alle interoperable produkter. EKSEMPEL 1: Oslo-samarbeidet, som det er referert til over, består av hovedaktørene i Oslo-området, dvs Stor-Oslo Lokaltrafikk, Oslo Sporveier og NSB. Basert på det eksisterende takst- og billettsamarbeidet har disse besluttet å gjennomføre en full interoperabilitet med hovedvekt på det andre punktet listet opp ovenfor. Dette omfatter alle produkter som inngår i det eksisterende samarbeidet. De kravene som må være oppfylt for å sikre interoperabilitet mellom disse tre er beskrevet i et dokument Common Request for System Interoperability (CRSI). Dette dokumentet er utviklet av de tre selskapene I fellesskap. Oslo er et viktig knutepunkt for trafikken i sørøst-norge. Gjennom Østlandssamarbeidet har en rekke fylkeskommuner signalisert at de ønsker å være interoperable med Oslo på ett eller flere nivåer. For å gi muligheten til disse, og også andre regioner og selskaper i Norge som ønsker å være interoperable med Oslo, er CRSI stilt til rådighet for alle offentlige prosjekter innenfor elektronisk billettering. Denne delen av håndbok 206 fokuserer på regionalt samarbeid og alle kapitelene har referanser til tilsvarende materiale i CRSI. I tillegg til CRSI er det også inngått en avtale mellom de tre partene for å dekke en del områder som ikke er med i CRSI. Også denne avtalen er tilgjengelig. I teksten refereres den til som AA ( Additional Agreement ). Det er viktig å huske på at denne delen av håndboka og CRSI ikke på noen måte utgjør en full kravspesifikasjon for et elektronisk billetteringssystem. Den omhandler utelukkende interoperabilitetsspørsmål informasjon om mer generelle spørsmål finner en i del 1 av håndboka. Følgende dokumenter inngår I CRSI : 1. Fare Structure and Smart Media Structure 2. CCHS to Operator s System Interfaces 3. Interoperability Organisation 4. Apportionment Rules 5. Security policy 5
EKSEMPEL 2: Fylkeskommunene Rogaland, Hordaland og Sogn 6 Fjordane har gått sammen i et prosjekt kalt Reis i Vest (RiV) som har som viktigste målsetting at kundene innenfor disse fylkene skal kunne foreta reiser som krysser både konsesjonsgrenser og geografiske grenser med det samme billettmediet. Dette krever både teknisk, funksjonell og avtalemessig samordning mellom disse fylkene. De eksemplene som senere er brukt for tre tenkte fylker er nødvendigvis ikke knyttet til de fylkene som er navngitt ovenfor. 6
Håndbok 206-1 Elektronisk billettering Regional interoperabilitet 2. SMARTKORT OG KORTLESER 2.1 INNLEDNING Hensikten med et regionalt samarbeid mellom flere operatører er å kunne tilby kunden et elektronisk billetteringsmedium (smartkort) som kan benyttes i forbindelse med kollektivtjenester hos alle kontraktuelt samarbeidende operatører i regionen. For å gjøre dette mulig stilles det krav til både smartkort og kortlesere som benyttes av operatørene i det regionale samarbeidet. Enkelt sagt må alle operatører ha utstyr som må kunne: Kommunisere med smartkortet Lese og tolke data i smartkortet Skrive data til smartkortet I et regionalt samarbeid medfører dette normalt at det etableres en felles fil og katalogstruktur i kortet som inneholder de produkter (f.eks. en periodebillett) som er definert som gjeldende i regionen. Alle produkter trenger nødvendigvis ikke være gjeldende for bruk hos alle operatører i regionen, men kun hos en eller flere operatører. Smartkort plattformen som velges i et regionalt samarbeid må dekke flere behov: Lavkost enkeltbilletter Sikre betalingsmiddel (f.eks. elektronisk pengepung) Periodebilletter Skolekort m.m. Når smartkort plattformen velges er behovene i det regionale samarbeidet styrende. 2.2 TEKNISK INTEROPERABILITET Teknisk interoperabilitet vil si muligheten til å etablere kommunikasjon med smartkortet med bruk av elektroniske og mekaniske spesifikasjoner. Begrepet omfatter også muligheten til å lese og tolke data i smartkortet og skrive data til smartkortet. Smartkortet vil kunne inneholde en eller flere applikasjoner med en definert katalogstruktur med filer og sikkerhetsinformasjon. En applikasjon i smartkortet utøver en bestemt funksjon (f.eks. en transportapplikasjon i et regionalt samarbeid). Alle operatørene i et regionalt samarbeid må inneha kortlesere med nødvendige fasiliteter (maskin- og programvare) for å kommunisere med kortet og en eller flere applikasjoner i kortet. F.eks. vil et aktuelt scenario i fremtiden kunne være at kortet inneholder en transportapplikasjon for det regionale samarbeidet og den nasjonale applikasjonen beskrevet i del 3 av Håndbok 206. De viktigste punktene for å garantere teknisk interoperabilitet er: At kortet følger aksepterte standarder for kommunikasjon og grensesnitt, og at en er enig om hvilke kommunikasjonsmuligheter som skal støttes (kontakt og/eller kontaktløst). Ønsker en å benytte flere typer kort i en region må en i tillegg til standardisering på elektrisk / fysisk nivå også bli enige om hvilket instruksjonssett som skal benyttes. Dette må nedfelles i et beskrivelsesdokument på en så nøye måte at alle samarbeidspartnere får tilgang til programmeringsgrensesnittet. Denne oppgaven blir selvsagt enklest hvis det benyttes et standardisert instruksjonssett (ISO-7816-4). 7
At det er enighet om hvordan data er lagret på kortet (filstruktur). Det er viktig at samarbeidspartnere har en nøyaktig felles beskrivelse av alle begreper, filer og felt som lagres på kortet. At det finnes felles sikkerhetsmekanismer som kan benyttes av de samarbeidende selskapene. Dette er beskrevet nøyere i kapitel 5 i del 2. Sikkerhetsmekanismene må sørge for å garantere både operatører, samarbeidspartnere og kunder at informasjon ikke blir endret eller kommer i urette hender. Sikkerhetsmekanismer relatert til billettmediet omfatter sikkerhetsnøkler på kortet, metoder for å garantere at transaksjoner mellom kort og utstyr ikke blir ufullstendig overført og hvilke sikkerhetsrelaterte instruksjoner som skal benyttes i kommunikasjonen mellom kort og utstyr. CRSI definerer felles krav til for å oppnå teknisk interoperabilitet i Oslo regionen mellom operatørene Oslo Sporveier AS, Stor-Oslo Lokaltrafikk AS og NSB. Partene i dette samarbeidet har definert en felles transportapplikasjon som inneholder de produkter som skal være gjeldende i fremtiden. CRSI spesifiserer bl.a. hvordan data er lagret på kortet (katalogstruktur med filer og dataelementer), de produkter som lagres elektronisk i kortet og sikkerhets og autentiseringsmetoder. Dette er produkter som dekker de behov samarbeidspartnerne i Oslo regionen har i fremtiden. I CRSI er disse punktene beskrevet i: 1. Fare Structure and Smart Media Structure 2. Security policy 2.3 HINDRINGER FOR TEKNISK INTEROPERABILITET I dagens situasjon er det slik at uansett hvilket kort som velges vil kortet mer eller mindre ha noen proprietære elementer. Det anbefales at alle proprietære elementer begrenses, og at åpne standarder følges i størst mulig utstrekning. Proprietære elementer vil være et hinder for teknisk interoperabilitet i et regionalt samarbeide. De viktigste hindringene for teknisk interoperabilitet er: Smartkort familier snakker ulike språk Kortlesere må inneha kortspesifikk kunnskap Valg av smartkortfamilier må foretas ut fra en vurdering av standardiseringsnivå, tilgjengelighet og pris. ISO 7816-4 kan være ett referansepunkt. Det instruksjonssettet som er beskrevet i CRSI kan være et annet. I et regionalt samarbeid hvor de forskjellige operatørene har ulike leverandører, kan interoperabilitet håndteres gjennom å utvikle et felles kort API (Application Programming Interface). 8
Figur 2-1 illustrerer bruken av et felles kort API. MAD Applikasjon (logisk, fysisk aksess etc) Kort API Kort Figur 2-1 : Kort API Kort API et håndterer proprietære kortegenskaper som: Kortdeteksjon og identifisering Kommandosett Sikkerhets og autentiseringsmetoder Adgang til felles data struktur på kortet Kort API et benyttes av applikasjonen i MAD (Media Accepting Device) for logisk og fysisk aksess til kortstrukturen. Kort API kan sees på som en type mellomvare som gjør det mulig for MAD å kommunisere med ulike typer smartkort. 2.4 BILLETTMEDIA Følgende billettmedia kan være aktuelt i et regionalt samarbeid: Billettmedia med hukommelse men uten prosessor (papir/papp) Type A Papirbasert og kontaktløst grensesnitt (lavkost kort uten prosessor) Type B Papirbasert og kontaktløst grensesnitt (lavkost kort uten prosessor) Billettmedia med hukommelse og prosessor Type A Kontaktløst og kontaktbasert grensesnitt (Håndbok 206: billettmedium type 1) 9
Type B Kontaktløst og kontaktbasert grensesnitt (Håndbok 206: billettmedium type 1) Type A Kontaktløst grensesnitt (Håndbok 206: billettmedium type 3) Type B Kontaktløst grensesnitt (Håndbok 206: billettmedium type 4) Type A og B Kontaktløst grensesnitt I alle disse variantene kan det finnes smartkort som er ISO kompatible (ISO 7816-4) og/eller har et annet / utvidet kommandosett. Normalt vil man velge en kortfamilie som består av flere ulike kort med ulik kapasitet (fra papirbaserte kort til høykapasitets kort). I denne forbindelse stilles også krav til kortleserne som må være i stand til å kommunisere med kortet og eventuelt håndtere proprietære kortkarakteristikker. Det er f.eks. ikke tilstrekkelig å stille krav om en ren type A og/eller B kortleser hvis kortet har egenskaper som leseren ikke håndterer. I slike situasjoner stilles det automatisk et krav om at kortleserne i samarbeidet må håndtere alle de ulike kortegenskapene. 2.5 STANDARDER Eksisterende ISO/IEC standarder har primært blitt definert for kommunikasjonen mellom det kontaktløse kortet og kortleseren, og fysiske karakteristikker. Eksisterende standarder definerer imidlertid ikke: Kommunikasjonsprotokoller Dataformat (data som utveksles mellom kort og kortleser) Smartkort familien som velges må være i henhold til følgende ISO standarder: ISO 14443 del 1, 2, 3 og 4 ISO 7816 del 1, 2, 3, 4, 5 og 6 hvis kortet skal håndtere kontaktgrensesnitt. For kort som bare skal ha kontaktløst grensesnitt kan en velge et leverandørspesifikt, alminnelig utbredt instruksjonssett som er detaljert spesifisert, og der spesifikasjonen er åpent tilgjengelig - for eksempel basert på CRSI. For å oppnå teknisk interoperabilitet i et regionalt samarbeide må samarbeidspartnerne bli enige om et felles grensesnitt mellom smartkort plattformen og kortleseren. Dette inkluderer: Hvordan og hvilke data lagres på kortet (katalogstruktur med filer og sikkerhetsinformasjon) Hvilke data utveksles mellom kortet og kortleseren (dataformat og dataelementer) Sikkerhets og autentiseringsmetoder Dataelementer i kortet og data som utveksles mellom kort og kortleser skal være i henhold til ENV1545. 2.6 ANBEFALINGER OG KRAV 2.6.1 Smartkort I et regionalt samarbeid stilles følgende overordnede krav til smartkortet: 1. Kortet må være fleksibelt nok til å kunne inneholde de ulike produktene i regionen a. Krav til antall produkter i kortet b. Krav til antall transaksjoner i kortets logg 2. Kortet støtter minst ett av følgende grensesnittkombinasjoner: 10
a. Kontaktbasert grensesnitt b. Kontaktbasert grensesnitt og kontaktløst grensesnitt type A c. Kontaktbasert grensesnitt og kontaktløst grensesnitt type B d. Kontaktløst grensesnitt type A og B 3. Kortet må være teknisk interoperabelt i alle MAD (Media Accepting Device) uansett leverandør 4. Kortstrukturen og kort prosesseringen må være basert på åpne standarder for å oppnå leverandøruavhengighet 5. Kortets kommandosett må være i henhold til ISO 7816-4 eller en annen detaljert og åpen spesifikasjon (for eksempel CRSI) se punkt 2.5. 6. Kortet anbefales å ha Anti-Tear beskyttelse for å sikre data integritet. Anti-Tear er en mekanisme som sikrer at en korttransaksjon gjennomføres komplett. Det finnes to typer Anti-Tear mekanismer, en fungerer på enkeltvise kommandoer mens den andre beskytter en hel transaksjon (flere skriveoperasjoner) 7. Proprietære sikkerhetsmekanismer må unngås En bør alltid vurdere å benytte kort som har kommandosett i henhold til ISO 7816-4 hvis slike er praktisk og økonomisk tilgjengelige.. I situasjoner hvor smartkortet har proprietære kortkarakteristikker stilles det automatisk ett krav til at alle kortlesere i det regionale samarbeidet håndterer disse. I en situasjon hvor operatørene i et regionalt samarbeid har ulike leverandører anbefales definisjon av en felles spesifikasjon som beskriver kortoperasjonene for de forskjellige billetteringshendelsene, eventuelt utvikling av et felles kort API. 2.6.2 Kortleser Det viktigste kravet som stilles til utstyr for lesing og skriving av kort er at utstyret (kortleser) er i stand til å lese og kommunisere med korttypene som er valgt i det regionale samarbeidet. I tillegg kommer andre krav som f.eks. transaksjonshastighet. Følgende krav stilles til kortleserne i et regionalt samarbeid: 1. Kortleseren skal være teknisk interoperabel med kortet, dvs overholde spesifikasjonen for det felles grensesnittet mellom kortleseren og kortet i det regionale samarbeidet. Dette grensesnittet definerer kortstrukturen (katalogstruktur med filer og sikkerhetsinformasjon). 2. Kortleseren skal håndtere eventuelle proprietære kortkarakteristikker som: a. Kortdeteksjon og identifisering b. Kommandosett c. Sikkerhets og autentiseringsmetoder d. Adgang til felles data struktur på kortet 3. Oppfylle de krav som stilles til transaksjonshastighet i det regionale samarbeidet. Transaksjonshastigheten vil avhenge av: a. Initialisering b. Autentisering og andre sikkerhetsprosesser c. Sperreliste kontroll d. Data utveksling e. Prisberegning f. Generering av signal til kunden (f.eks. lydsignal) g. Generering av signal til eventuelle eksterne enheter 11
h. Eventuelle auto-reload funksjoner (f.eks. automatisk oppfylling av elektronisk pengepung på kortet) For utstyr som skal betjenes direkte av kunder (automater og validatorer) er det også viktig at man har et bevisst forhold til brukergrensesnitt og dialog, slik at kunden slipper å forholde seg til ulike betjeningsprinsipper innenfor et regionalt samarbeide. 2.6.3 Interoperabilitets-testing For regionale samarbeid bør det inngås forpliktende avtaler om interoperabilitets-testing av alle typer kort mot alle typer MAD. Disse testene skal underbygge at alle brukere av billettsystemet vil kunne benytte sine kort hos alle samarbeidspartnerne. Detaljerte beskrivelser av testene, prosedyrer for gjennomføring og protokollering og krav til oppfyllelse må utformes og inngå som en del av samarbeidsavtalen mellom partene. Krav til bestått interoperabilitets-testing må også inngå som en del av kravspesifikasjon / leveringsavtale mot leverandør av kort og utstyr. Interoperabilitetstestingen må omfatte alle de brukssituasjonene som er beskrevet i denne håndboka, og må også omfatte avvikssituasjoner (ødelagt kort, avbrutte transaksjoner o.s.v.) EKSEMPEL 1: Tre fylker blitt enig om å innføre ett felles produkt kalt Reis Kollektivt avtale (RK-avtale) som er en lokal variant av det nasjonale produktet Reiseavtale slik det er beskrevet i Håndbokens Del 1 og 3. Se for øvrig Eksempel 2 i neste kapittel 3 om produkter. Fylkene er en blitt enig om følgende krav til billetteringsutstyret og kortet for å legge grunnlaget for Teknisk og funksjonell interoperabilitet: Billettmediet for bruk i tilknytning til RK-avtale [K 1] Billettmediet skal være et dual interface smartkort (IC-Card) og skal være av typen NORTIC media type 1 eller NORTIC media type 2. [K 2] Dimensjoner og plassering av kontakter skal være iht ISO 7816-2. [K 3] Elektroniske signaler og overføringsprotokoller skal være iht ISO 7816-3 og ISO 14443-2 og 4 (type A og/eller B) og initialisering og anti-collision iht ISO 14443-3. [K 4] Filstruktur og kommandoer skal være iht ISO 7816-4. [K 5] Billettmediet skal støtte: kontaktkommunikasjon iht ISO 7816-3 og kontaktløs kommunikasjon iht ISO 14443 Type A eller kontaktkommunikasjon iht ISO 7816-3 og kontaktløs kommunikasjon iht ISO 14443 Type B. [K 6] Billettmediets operativsystem skal ha ulike adgangsrettigheter for lesing, skriving og opprettelse/sletting av Directory Files (DFs) og Elementary Files (EFs) på billettmediet. [K 7] Billettmediet skal ha sikkerhetstjenester som tillater en definering av minst 3 sikkerhetsnøkler knyttet til en DF på billettmediet. [K 8] Elementary Files i Directory Files skal være konfigurerbare til å kunne knytte hvilken som helst av de 3 sikkerhetsnøklene til lesing, skriving og opprettelse/sletting av filer. [K 9] RK-avtalen skal installeres på billettmediet som en egen applikasjon i tillegg til den eller de andre applikasjonene på billettmediet. [K 10] Billettmediet skal kunne utføre kryptering av meldinger basert på standardiserte metoder. [K 11] Billettmediet skal kunne utføre beregning av Message Authentication Code iht kapittel 2 i Håndbok 206 Del 3. 12
[K 12] Billettmediet skal kunne gjennomføre gjensidig autentisering i kommunikasjon med forhandlers og tjenesteyters utstyr. [K 13] Billettmediet skal kunne gjenskape siste gyldige sett med data lagret på billettmediet dersom en transaksjon avbrytes eller ikke gjennomføres pga feil i kommunikasjonen (Anti- Tear protocol). [K 14] Billettmediet skal gjennomføre en transaksjon iht kapittel 3.5 i Håndbok 206 Del 3 hvor NORTIC erstattes av RK-avtale-applikasjonen og hvor CTA erstattes av RK-avtale. [K 15] Billettmediet skal kunne gjennomføre en komplett transaksjon i løpet av 0,3 sekunder. Produkteier/Forhandlers utstyr (RK-avtale) Produkteieren/Forhandleren er i dette tilfellet den enheten som inngår en RK-avtale med kunden og som legger RK-avtalen på kundens billettmedium. Med produkteier/forhandlers utstyr menes billetterminaler (betjente) som gjør det mulig for en produkteier/forhandler som tilbyr RK-avtaler å legge disse avtalene på kundenes billettmedium. [K 16] Produkteier/Forhandlers utstyr skal som minimum støtte kontaktkommunikasjon iht ISO 7816-3. [K 17] Produkteier/Forhandlers utstyr skal akseptere billettmedia med fysiske karakteristika iht ISO 7816-1. [K 18] Det kontaktbaserte grensesnittet skal benytte elektroniske signaler og overføringsprotokoll iht ISO 7816-3. [K 19] Alle kommandoer til billettmediet skal være iht ISO 7816-4. [K 20] Produkteier/Forhandlers utstyr skal kunne legge inn applikasjonen RK-avtale på kundens billettmedium i tillegg til andre applikasjoner som måtte ligge på billettmediet fra før. [K 21] Applikasjonen skal være bygget opp på samme måte som beskrevet for Reiseavtale (NORTIC) i Håndbok 206 Del 3 mht filstruktur, sikkerhet og dataelementer. Forhandlers utstyr (Enkeltbillett) Forhandleren er i dette tilfellet den enheten som opptrer som forhandler for det reisebeviset (Enkeltbilletten) som kunden kjøper med RK-avtalen. Med forhandlers utstyr menes billettmaskiner, billetterminaler og billettautomater som gjør det mulig for en kunde med RK-avtale å kjøpe en Enkeltbillett som legges på kundens billettmedium. [K 22] Forhandlers utstyr skal som minimum støtte kontaktkommunikasjon iht ISO 7816-3. [K 23] Forhandlers utstyr skal akseptere billettmedia med fysiske karakteristika iht ISO 7816-1. [K 24] Det kontaktbaserte grensesnittet skal benytte elektroniske signaler og overføringsprotokoll iht ISO 7816-3. [K 25] Alle kommandoer til billettmediet skal være iht ISO 7816-4. [K 26] Forhandlers utstyr skal kunne utføre kryptering av meldinger basert på standardiserte metoder. [K 27] Forhandlers utstyr skal kunne gjennomføre gjensidig autentisering i kommunikasjon med billettmediet. [K 28] Forhandlers utstyr skal kunne gjenskape siste gyldige sett med data lagret på billettmediet dersom en transaksjon avbrytes eller ikke gjennomføres pga feil i kommunikasjonen (Anti- Tear protocol). 13
[K 29] Forhandlers utstyr skal kunne gjennomføre en komplett salgstransaksjon i løpet av 0,5 sekunder. [K 30] Forhandlers utstyr skal, med utgangspunkt i den RK-avtalen som ligger på billettmediet, legge et reisebevis (Enkeltbillett) på kundens billettmedium iht produkteiers spesifikasjoner for dette produktet. [K 31] Reisebeviset skal legges på RK-avtale-applikasjonen på billettmediet. Tjenesteyters utstyr (Validator) Tjenesteyteren er i dette tilfellet den enheten som opptrer som tjenesteyter for produkteier for Enkeltbillett. Med tjenesteyters utstyr menes frittstående validatorer og validatorer integrert med billettmaskiner som gjør det mulig for en kunde med RK-avtale og en Enkeltbillett å få validert Enkeltbilletten. Denne valideringen vil være grunnlag for tjenesteyterens krav til produkteier. [K 32] Validatoren skal støtte kontaktkommunikasjon iht ISO 7816-3 og kontaktløs kommunikasjon iht ISO 14443 Type A og kontaktløs kommunikasjon iht ISO 14443 Type B. [K 33] Validatoren skal akseptere billettmedia med fysiske karakteristika iht ISO 7816-1 og 2 og ISO 14443-1. [K 34] Det kontaktbaserte grensesnittet skal benytte elektroniske signaler og overføringsprotokoll iht ISO 7816-3. [K 35] Det kontaktløse grensesnittet skal bruke elektroniske signaler og overføringsprotokoller iht ISO 14443-2 og 4 (type A og/eller B) og initialisering og anti-collision iht ISO 14443-3. [K 36] Alle validatorens kommandoer til billettmediet skal være iht ISO 7816-4. [K 37] Validatoren skal kunne utføre kryptering av meldinger basert på standardiserte metoder. [K 38] Validatoren skal kunne gjennomføre gjensidig autentisering i kommunikasjon med billettmediet. [K 39] Validatoren skal kunne gjenskape siste gyldige sett med data lagret på billettmediet dersom en transaksjon avbrytes eller ikke gjennomføres pga feil i kommunikasjonen (Anti-Tear protocol). [K 40] Validatoren skal kunne gjennomføre en komplett transaksjon i løpet av 0,3 sekunder. [K 41] Tjenesteyters utstyr skal, med utgangspunkt i den RK-avtalen som er lagt på billettmediet av Produkteier (forhandler) for RK-avtale og det reisebeviset (enkeltbilletten) som er lagt på billettmediet av produkteier for Enkeltbillett (forhandler), kontrollere RK-avtalen og reisebeviset og legge en hendelse til hendelsesloggen på billettmediet slik at valideringen kan kontrolleres og/eller gjenskapes i ettertid. I tillegg til disse kravene som er rene tekniske krav er det også stilt en del krav knyttet til beskrivelse av dataelementer og sikkerhetsmekanismer for å sikre den funksjonelle interoperabiliteten. 14
3. PRODUKTER Med et produkt (reiseprodukt) menes et sett av bruksregler, prisregler og kommersielle regler (de siste kalles også gjerne forretningsregler). Bruksreglene skal bl.a. beskrive følgende forhold: Tiden når transporttjenesten kan benyttes Området/strekningen der tjenesten kan benyttes Kundekategori som kan benytte tjenesten Type tjeneste som produktet dekker Eventuelt andre produktspesifikke regler/bestemmelser Prisreglene skal bl.a. beskrive følgende forhold Hvordan prisen for tjenesten skal beregnes, eventuelt hva den er fastsatt til under gitte forutsetninger og parametre knyttet til trafikanten og tjenesten Hvordan prisen skal betales, dvs betalingsbetingelser Kommersielle regler skal bl.a. beskrive følgende forhold: Avregning mellom utstedere og tjenesteytere Kommisjoner Det er behovet innenfor en region eller samarbeidende regioner som bestemmer hvilke produkter som skal gjelde i hele regionen hos alle selskaper. Vanligvis vil det være aktuelt å definere noen produkter som er spesifikke for hver enkelt operatør eller geografisk område og ett eller flere produkter som skal være felles for alle operatørene, dvs interoperable produkter. Det er viktig å tenke helt nytt mht å definere produktene ved en overgang fra papirsystem til et elektronisk billetteringssystem. Forenkling er et viktig stikkord her, og både av hensyn til kundene og av hensyn til det settet av bruks, pris og kommersielle regler som skal utarbeides, er det viktig å prøve å se med helt nye øyne på produktene. Full interoperabilitet er avhengig av at det er definert klare regler for hele livssyklusen til et produkt (utstedelse bruk terminering). Innenfor europeisk standardisering benyttes det 4 datagrupper for produkter. Tabellen nedenfor viser de fire hovedgruppene: Produktdatagruppe Kundekonto Elektronisk pengepung Spesielle rettigheter Definisjon iht IOPTA (oversatt fra engelsk) Identifiserer og gir ytterligere informasjon om en autorisert konto som kan fungere som et reisebevis for en reise eller som kan benyttes til å kjøpe et eget reisebevis for en reise. Identifiserer og gir ytterligere informasjon som kan fungere som et reisebevis for en reise eller som kan benyttes til å kjøpe et eget reisebevis for en reise. En avtale mellom Produkteier og Kunden som gir kunden spesielle rettigheter, for eksempel spesielle rabatter eller fri reiser. Avtalen trenger ikke i seg selv å være en rettighet til å reise. Kommentar Eksempel: Det nasjonale produktet Reiseavtale med Reisekonto Kalles gjerne Verdikort i daglig tale. Kortform: EP Eksempler: Frikort, NSB Kundekort, Studentkort 15
Produktdatagruppe Definisjon iht IOPTA (oversatt fra engelsk) Kommentar Reisebevis En forekomst av et produkt. Det er en reisekontrakt som beskriver bruksregler, prisregler og kommersielle regler som gjelder for den aktuelle reisen. Eksempler: Enkeltbillett, Periodekort, Dersom en skulle velge Kundekonto som et interoperabelt produkt, kan en med fordel benytte spesifikasjonene for det nasjonale produktet Reiseavtale i Håndbok 206 Del 3 som spesifikasjoner for et tilsvarende produkt på regionalt eller inter-regionalt nivå. EKSEMPEL 1: Det elektroniske billetteringssamarbeidet mellom Oslo Sporveier, Stor-Oslo Lokaltrafikk og NSB vil tilby produkter som kan kategoriseres i gruppene Elektronisk pengepung og Reisebevis. Den elektroniske pengepungen skal kunne utstedes, lades opp og benyttes i alle de tre operatørenes nettverk av forhandlere og tjenesteytere. De elektroniske verdiene skal hovedsaklig kunne benyttes til å kjøpe reisebevis av typen Enkeltreise, men skal også kunne benyttes til å betale for andre produkter. Den elektroniske pengepungen skal kunne lades opp automatisk når saldoen på de elektroniske verdiene er kommet under en viss grense. Det betyr at kunden må ha en avtale som gjør det mulig for utstederen å trekke på en konto, f.eks. et kredittkort eller bankkonto, som er knyttet til kunden. De reiseproduktene som omfattes av Oslo-samarbeidet kan klassifiseres i tre hovedgrupper: Reise / strekningsbasert enkeltbillett (EnkeltReise-K og EnkeltReise-EP iht Håndbokens del 1) Reise / strekningsbasert flerreise (type FlerReise-A iht Håndbokens Del 1) Tidsbasert (type FlerReise-P iht Håndbokens Del 1) De reise / strekningsbaserte produktene omfatter enkeltbillett og elektronisk klippekort, som i utgangspunktet gir en rett til å foreta en eller et definert antall reiser på en definert strekning eller i et definert område (soner). Tidsbaserte produkter omfatter alle typer periodebilletter, dags- og ukekort, som gir en rett til å reise en definert strekning eller i et definert område i en definert periode. I Oslo-samarbeidet er det definert en hel rekke reiseprodukter helt eller delvis basert på eksisterende manuelle produkter. Alle forhold omkring disse produktene er beskrevet i CRSI [CRSI 2.2-7]. Beskrivelsene omfatter kommersielle regler, beregningsregler for takst og andre forhold knyttet til utstedelse og kontroll. Det er svært viktig å ha helt klare definisjoner av de kommersielle reglene, for eksempel hvilke kundegrupper som er berettiget til rabatt, hva slags overgangsregler som gjelder og hvilke betingelser som må være oppfylt for at et reisebevis skal være gyldig. Oslo-samarbeidet oppretter en registrar-funksjon som skal ha til oppgave å forvalte alle produktbeskrivelsene, sørge for at nye versjoner blir godkjent, oppdatert og distribuert til alle samarbeidspartnerne [CRSI 3.4.3]. I tillegg vil det bli definert et utvekslingsformat for informasjon om produkter [AA]. EKSEMPEL 2: Tre fylker har definert et felles produkt som er kalt Reis Kollektivt avtale (RK-avtale). Den tekniske interoperabiliteten er sikret som beskrevet i Eksempel 1 i forrige kapittel 2 om Smartkort og leser. Det felles produktet for de tre fylkene er basert på at kunden har en konto hos den produkteieren som har utstedt RK-avtalen og som gjennom dette har en avtale med kunden om bruk av produktet. Denne kundekontoen kan være forskuddsbetalt eller etterskuddsbetalt og det er opp til produkteier å 16
bestemme om kunden skal betale etter- eller forskuddsvis når saldoen på kontoen har kommet ned på en forhåndsbestemt verdi. En forskuddsbetalt konto kan for eksempel gi litt rabatt i forhold til en etterskuddsbetalt konto. På kundens billettmedium legges det en forekomst av det felles produktet, dvs det legges et reisebevis av type RK-avtale på kortet. RK-avtalen er alltid knyttet til en kundekonto. Når kunden er ute og reiser, vil alle elektroniske billetteringssystemer kjenne igjen og akseptere RKavtalen som ligger på kundens billettmedium. RK-avtalen benyttes til å utstede et reisebevis for den reisen (tjenesten) som kunden ønsker å foreta eller som kunden er i ferd med å foreta. Reisebeviset legges på kundens billettmedium og kan, dersom situasjonen tilsier det, skrives ut som en papirbillett i tillegg. Bruksregler for RK-avtale RK-avtalen skal kunne benyttes i alle elektroniske billetteringssystemer som oppfyller de felles RK retningslinjene for elektroniske billetteringssystemer. RK-avtalen skal kunne benyttes til kjøp av reisebevis av type Enkeltbillett og er således ikke knyttet til noen bestemt tid, strekning, sone(r), kundekategori eller type tjeneste Enkeltbilletten skal alltid lagres på billettmediet sammen med RK-avtalen Dersom situasjonen tilsier det eller dersom kunden ønsker det, skal en kopi av enkeltbilletten kunne skrives ut på papirbasert medium (f.eks. som nødvendig vedlegg til reiseregning). Dette kravet kan fravikes i spesielle situasjoner hvor utskrift på papirbasert medium er meget uhensiktsmessig mht driften og krav til effektivitet. Vanligvis vil billigste reisemåte på kollektivmiddel bli dekket uten kvittering. Prisregler for kjøp av Enkeltbillett med RK-avtale En RK-avtale skal alltid knyttes til en forskudds- eller etterskuddsbetalt kundekonto som da blir kundens betalingsmiddel til Utsteder/Produkteier for RK-avtalen. En kundekonto skal eies og forvaltes av Produkteier for RK-avtale. Kundekontoen lagres i Produkteiers sentralsystem og det ligger således ingen verdier på kundens billettmedium i tilknytning til RK-avtalen. Prisen for enkeltbilletten skal være den normale prisen beregnet ut i fra aktuell reisestrekning, tid, kundekategori og type tjeneste. RK-avtalen gir således ikke kunden rett til noen spesiell rabatt på enkeltbilletter med mindre kunden har spesielle rettigheter som gir en reduksjon i prisen. Ved bruk av etterskuddsvis betaling skal Utsteder/Produkteier kunne kreve et rimelig depositum eller kreve at kundekontoen fylles opp automatisk ved hjelp av avtalegiro og en nedre grense for saldo på kundekontoen. Kommersielle regler for bruk av RK-avtale Bruk av RK-avtale er basert på følgende betalingsprosedyre: o Kunden betaler til Produkteier for produktet RK-avtale som oppdaterer kundens konto (kundekonto) i sin egen kundedatabase i sitt eget sentralsystem. o Kundens betaling kan være forskuddsvis eller etterskuddsvis. Dette avtales mellom produkteier (forvalter av kundekonto) og kunden. o Når kunden har foretatt en reise hos en tjenesteyter og presentert en enkeltbillett kjøpt med RK-avtalen, sender tjenesteyter et krav til produkteieren som eier produktet tilknyttet den enkeltbilletten som er solgt. o Produkteieren for Enkeltbilletten betaler forhandler og tjenesteyter(ne) iht avtale mellom produkteier, forhandlere og tjenesteytere. Betalingen kan foregå før eller etter at Produkteieren for enkeltbilletten har fått oppgjør for sitt krav til Produkteier av RKavtalen. Dette inngår i avtalen mellom produkteier, forhandlere og tjenesteytere. Veldig ofte vil produkteier, tjenesteyter og forhandler være samme selskap og dette og forrige prikkpunkt vil dermed gå ut. 17
o Produkteier, som gjennom sin forhandler har solgt enkeltbilletten til kunden med RKavtalen, vil sende et krav til den produkteieren som har inngått RK-avtalen med kunden med et beløp tilsvarende prisen for den tjenesten som er ytet. Kundens kundekonto skal belastes med xx % av den prisen som produkteieren for enkeltbilletten har beregnet og som er inkludert i kravet til produkteier for RK-avtalen. xx kan eksempelvis være 100 %, dvs kunden får ingen rabatt. Av de xx % som belastes kundens kundekonto tilfaller yy % den produkteieren som gjennom sin forhandler har solgt enkeltbilletten. De resterende (xx-yy) % tilfaller produkteier til dekning av kostnader i forbindelse med utstedelse, drift og forvaltning av RK-avtale/kundekonto og til kommisjon til eventuelle Forhandlere. Xx og yy fastsettes av fylkesadministrasjonene i de tre fylkene i samråd med Produkteierene i de tre fylkene. Se figuren nedenfor. Det er opp til produkteier av RK-avtale og produkteier av Enkeltbillettproduktet å bestemme hvordan de skal utveksle gjensidige krav og betalinger, hvor ofte dette skal foregå og hvordan avregning mellom de to produkteierene forøvrig skal foregå. Produkteier for RK-avtale er ansvarlig ovenfor Produkteier for Enkeltbillett mht betaling for den eller de tjenestene som kunden har benyttet. Manglende betaling fra kunden er Produkteier for Enkeltbillett uvedkommende med mindre Produkteier for Enkeltbillett eller hans forhandlere har unnlatt å foreta kontroll av RK-avtalen og produktet mot svartelister sendt ut av Produkteier for RK-avtale. Det er produkteier for RK-avtale sitt ansvar å distribuere svartelister for applikasjoner og produkter. Produkteiere for Enkeltbilletter skal bekrefte mottaket av slike lister. Figur 3-1: Betalingsstrømmer for RK-avtale 18
4. OPPGJØR OG AVREGNING Hvis elektronisk billettering innføres for alle eller alle de viktigste reiseproduktene og selskapene i et regionalt samarbeid, vil det være mulig å gjennomføre en automatisert og eksakt avregning mellom deltakerne i samarbeidet. Dette er imidlertid ikke nødvendig for å få til samarbeidet fordi oppgjør og avregning kan godt videreføres basert på eksisterende fordelingsavtaler. I slike tilfeller vil statistikk fra elektronisk billettering kunne gi gode indikasjoner på om fordelingsmodellene er i samsvar med reelt reisemønster. Ønskes eksakt avregning mellom selskaper må det defineres klare regler for hvordan slik avregning skal skje. Deler av disse reglene er rent forretningsmessige, og vil vanligvis være en del av en generell samarbeidsavtale mellom partene. Deler av reglene er spesielt knyttet til de elektroniske produktene, og må være en del av produktspesifikasjonen. [CRSI 4]. For reisebevis kjøpt med elektroniske pengepunger eller kundekonti er det svært viktig å ha klare regler som bestemmer: Når verdien på kortet eller kontoen skal reduseres for å betale for en reise Hvem som skal ha de kontantene som er innbetalt (ved Value purse ), og hvem som skal garantere for dekning på kontoen ( Charge-to-account ). Hvordan eventuell automatisk opplasting av verdi ( Auto-reload ) skal skje, og spesielt hvordan dette skal foregå når situasjonen som krever opplasting oppstår utenfor kundens hjemmeområde, dvs hos en annen operatør. Det er også viktig at de kommersielle reglene for de ulike produktene er så klare at en i situasjoner der ulike operatører med ulike systemer tillater bruk av fremmede produkter får entydig beregning av verdien knyttet til reisen. EKSEMPEL 1: I Oslo-samarbeidet er alle kommersielle regler for alle interoperable produkter beskrevet i dokumentet Apportionment Rules. EKSEMPEL 2: I Reis Kollektivt prosjektet er hovedprisnippene for avregningsreglene beskrevet under kommersielle regler i Kapittel 3 Produkter. 19
5. SIKKERHET I Håndbok 206 Elektronisk billettering Del 1 omtales følgende punkter i kapittel 6 om sikkerhet: Verdier som skal sikres Sikkerhetsdomene Trusler Sikkerhet ved bruk av Reiseavtale (nasjonalt produkt) I Håndbok 206 Del 3 er sikkerheten knyttet til bruken av produktet Reiseavtale detaljert, slik at den kan legges til grunn for utarbeidelse av sikkerhetskrav og sikkerhetsspesifikasjoner for elektroniske billetteringssystemer som skal tilby sine kunder å benytte produktet Reiseavtale. Sikkerheten i elektroniske billetteringssystemer som er samordnet på et regionalt og/eller interregionalt nivå bør være høy, fordi den gjerne involverer mange ulike aktører med egne IT-systemer og mange kunder med billetteringsmedia som skal fungere på tvers av selskaper og geografiske områder. Som kjent er ikke noen kjede sterkere enn det svakeste ledd. Dersom det på regionalt eller inter-regionalt nivå skal tilbys et produkt som tilsvarer Reiseavtalen, f.eks. en regional eller inter-regional kundekonto (se kapittel 3.4 i Håndbok 206 Del 1), kan den sikkerhetsarkitekturen som er beskrevet for Reiseavtale i Håndbok 206 Del 3 med fordel benyttes. Produktet elektronisk pengepung er ikke foreslått som et nasjonalt produkt, bl.a. av hensyn til den sikkerhetsarkitekturen som kreves. På regionalt nivå er imidlertid dette produktet mer aktuelt fordi omfanget på antall aktører er begrenset i forhold til et nasjonalt nivå og det kan være enklere rent organisatorisk å opprette en felles utsteder for applikasjonen og produktet. I og med at det skal kunne genereres og overføres elektroniske verdier som har sine ekvivalenter i virkelige penger, må imidlertid sikkerheten være høy. En forhandler skal f.eks. kunne merke de verdiene som forhandleren legger på billettmediet slik at tjenesteytere kan kontrollere at dette er ekte elektroniske verdier og ikke elektroniske verdier som en hacker har lagt på billettmediet. Videre skal en utsteder kunne kontrollere at de elektroniske verdiene han får sendt fra en tjenesteyter som en del av et krav, er ekte og at ingen på vegen mellom forhandler og utsteder har tuklet med verdiene og eventuelt endret på verdien av dem. Sikkerhet er viktig ikke bare på grunn av at elektronisk billettering er et betalingssystem med økonomiske verdier i sirkulasjon, men også fordi det handler om kundenes tillit til systemet. På regionalt og inter-regionalt nivå bør følgende sikkerhetstiltak gjennomføres: Gjensidig autentisering av billettmedium og utstyr som kommuniserer med billettmediet ( kort kortleser ). Denne gjensidige autentiseringen foregår gjennom en prosess som tillater både billettmediet og utstyret hos forhandler og/eller tjenesteyter å utveksle og kontrollere data på en spesiell måte som gir begge parter en viss sikkerhet for at den andre parten er ekte. Veldig forenklet går en slik autentisering ut på at den ene parten sender et tilfeldig tall eller kombinasjon av tall og bokstaver ( challenge data ) til den andre parten som krypterer mottatte data med en sikkerhetsnøkkel. Den andre parten mottar den krypterte meldingen og benytter de samme data og sikkerhetsnøkkel (som er kjent av begge parter) til å beregne den samme krypterte meldingen. Ved deretter å sammenligne de to krypterte meldingene, kan den utfordrende part verifisere at den andre parten er ekte. Etter at den første parten er ferdig med sin autentisering gjennomfører den andre parten en tilsvarende autentisering. Det anbefales å benytte ISO 7816-4 sine standardkommandoer til denne gjensidige autentiseringen. Bruk av checksum ved overføring av data slik at mottaker kan kontrollere at overføringen av data har foregått uten at noen data er blir borte under overføringen. Bruk av meldingsautentiseringskode (MAC) på data som spesielt må beskyttes mot endringer og hvor det er viktig at den siste i kjeden av mottakere kan kontrollere at meldingen er ekte og uendret. 20
Kryptering av sikkerhetsnøkler som transporteres i systemet Utsteder (korteier) bør ha rutiner som kontrollerer bruken av billettmediene, f.eks. bruk av ett og samme billettmedium i løpet av kort tid på to geografisk atskilte steder eller unormalt forbruk eller opplading av et billettmedium. Sikring av billettmedium og annet utstyr mot hacking og vandalisme EKSEMPEL 1: Reis Kollektivt prosjektet har definert en rekke sikkermessige tiltak og sikkerhetsmekanismer som skal medvirke til at både kunder og operatører skal føle seg trygg på at de samordnede elektroniske billetteringssystemene. Disse tiltakene og sikkerhetsmekanismene er iht anbefalingene i denne håndbokens Del 2 og Del 3. 21
6. LOGISK INFORMASJONSUTVEKSLING/DATAFLYT Det vil være mange typer data som skal flyte mellom partene i et regionalt samarbeid. Data knyttet til administrative transaksjoner (utstedelse av kort, opphør av kundeforhold) Data knyttet til reiseprodukter (opprettelse, fornyelse, terminering) Data knyttet til bruk av kort (reisetransaksjoner, valideringstransaksjoner) Data knyttet til opp- og nedlasting av verdi til verdikort Eventuelle data knyttet til elektronisk avregning mellom partene Data knyttet til felles sikkerhetsadministrasjon sikkerhetsnøkler, sertifikater En viktig beslutning knyttet til slik dataflyt er om en ønsker kommunikasjon direkte mellom partene (punkt-til-punkt) eller gjennom en sentral ressurs ( Nav-eike ). Figuren nedenfor viser direkte kommunikasjon mellom punktene. For å forenkle figuren er det bare tatt med en applikasjonseier, en produkteier og tre forhandlere og tre tjenesteytere. Figur 6-1: Punkt til punkt kommunikasjon Punkt-til-punkt-kommunikasjon kan være det enkleste og beste hvis det er få deltakere i et samarbeid, men vil fort bli svært uoversiktlig med mange. En bedre løsning kan da være å sende alle data via en formidlingssentral som kan ta imot, bearbeide data (f.eks. splitte filer i enkelttransaksjoner og sette de sammen nye filer) og sende videre bearbeidete data. En grafisk fremstilling for en slik situasjon er vist i Figur 6-2: Kommunikasjon via Formidlingssentral ( nav ). I noen tilfeller kan det også være aktuelt å legge all avregning til en slik formidlingssentral. 22
Figur 6-2: Kommunikasjon via Formidlingssentral ( nav ) EKSEMPEL 1: I Oslo-samarbeidet er det besluttet å utvikle en felles kommunikasjons- og avregningssentral. Dette er beskrevet ganske inngående i CRSI Interoperability Organisation. En kortversjon er vist i vedlegg B. Hvilke mekanismer som skal benyttes for sikring av dataflyten er avhengig av den risikoanalysen hver enkelt deltaker gjør. Ofte vil økt sikkerhet kreve investeringer i spesiell maskin- og programvare, eller medføre noe økte transaksjonskostnader. I CRSI er det beskrevet et sett med alternative sikkerhetsmekanismer som skal sikre integriteten i dataflyten [CRSI 3.3]. Valg mellom disse alternativene er dokumentert i tilleggsavtalen [AA]. EKSEMPEL 2: I Reis Kollektivt prosjekt vil utveksling av data over fylkesgrensene gå via fylkesvise formidlingssentraler. Det kan være ulike måter å organisere slike formidlingssentraler på så lenge de er tekniske og funksjonelt interoperabel. 23
VEDLEGG A: VIKTIGE BEGREPER OG FORKORTELSER Applikasjon Applikasjonseier Applikasjonsmal Applikasjonspesifikasjon Billett Billettautomat Billetterminal Billettmaskin Billettmedium (eller bare medium) Bruksregel Elektronisk billett Forhandler av applikasjon Forhandler av produkt Formidlingssentral Kommersiell regler En implementert og initialisert applikasjonsmal på et billettmedium. Applikasjonen har en unik identitet. Selskap eller institusjon som eier og utsteder den applikasjonen som legges på billettmediet slik at det kan benyttes til elektronisk billettering og slik at det kan legges reisebevis på billettmediet En Master for en applikasjonsspesifikasjon som benyttes til å initialisere et billettmedium slik at det kan legges inn reisebevis og andre nødvendige data på billettmediet En beskrivelse av filer, katalogadresser og sikkerhetsskjema installert på billettmediet. En papirlapp eller kort som indikerer at ihendehaveren har betalt for eller er berettiget til en spesifikk tjeneste eller rettighet. Utstyr montert på trafikkterminal, holdeplass eller lignende hvor utstyret kan utstede reisebevis og legge disse på kundens billettmedium og hvor utstyret registrerer salget som en salgstransaksjon. En billettautomat er ikke betjent og har et direkte grensesnitt mot kunden.. Utstyr installert hos forhandlere som både kan utstede en eller flere applikasjoner og et eller flere reisebevis. Utstyr om bord på transportmiddelet hvor utstyret kan utstede reisebevis og legge disse på kundens billettmedium og som registrerer salget som en salgstransaksjon. Billettmaskinen er gjerne integrert med en validator. Billettmaskinen er betjent av personell som utfører rollen som forhandler, gjerne kombinert med rollen som tjenesteyter. Den fysiske bæreren av data knyttet til Kunden, applikasjonen og ett eller flere reisebevis. Forenkles gjerne til kortet. Beskrivelse av hvordan et reisebevis kan benyttes inkludert, men ikke begrenset av, til hvilken tid, i hvilket område, hvilken Kundekategori og hvilke(t) transportmiddel. Se Reisebevis Selskap eller institusjon som opptrer på vegne av applikasjonseier og som utsteder applikasjoner som legges på kortet. Kalles ofte agent eller kommisjonær. Selskap eller institusjon som opptrer på vegne av produkteier og som utsteder reisebevis som legges på kortet. Kalles ofte agent eller kommisjonær. Utstyr som inngår som et knutepunkt i utveksling av informasjon mellom alle aktørene (med unntak av Kunden) i et elektronisk billetteringssystem, dvs utfører de oppgaver som er tillagt Innsamling og formidling av data. Beskrivelse av hvordan prisen for et reisebevis skal fordeles mellom de involverte aktørene, eksempelvis mellom produkteier, forhandler og tjenesteyter. Kommersielle regler kalles også forretningsregler 24