Браслет как ключ: RFID от шкафчика до аналитики

Технология из этой статьи, скорее всего, уже стоит на вашем объекте. Силиконовый браслет открывает шкафчик, пускает в мокрую зону, держит бар на постоплате и закрывает визит на терминале. То есть каждый гость каждый день оставляет последовательность отметок с точным временем, и эта последовательность — ровно то, за чем остальные технологии из серии гоняются с анкерами, камерами и радарами.

Разница между объектом, который знает, куда ходит гость, и объектом, который не знает, часто не в оборудовании. Она в том, выгружает ли кто-нибудь журнал событий.

Поэтому начинать стоит отсюда: RFID — самая дешёвая аналитика перемещений из существующих, с жёстким и честным ограничением. Она не даёт траектории. Она даёт отметки в тех местах, где вы поставили считыватель, и ничего не знает о госте между ними. Вся работа с RFID как с источником данных — это работа с этим ограничением: где поставить точки чтения, чтобы отметки сложились в осмысленный маршрут, и как не обмануться там, где отметки нет.

Физика и классы: что из этого про людей

RFID — не одна технология, а четыре семейства с разной физикой. Выбор между ними для объекта с гостями определяется не функциями, а водой и телом.

Семейство	Частота	Дальность	Что обычно	Вода и тело
LF	125–134 кГц	1–10 см	Старые пропуска, метки животных	Нечувствительна, но медленная и без защиты
HF, NFC	13,56 МГц	1–10 см	Браслеты, карты, замки, кассы	Работает хорошо
UHF (RAIN)	860–960 МГц	1–10 м и более	Инвентарь, склад, порталы	Чувствительна к воде и металлу
Активные метки	2,4 ГГц и др.	Десятки метров	Поиск объектов, зоны	Зависит от конструкции

Почему браслет гостя почти всегда 13,56 МГц. HF работает на индуктивной связи ближнего поля: антенна считывателя и антенна метки связаны магнитным полем на расстоянии сантиметров. Такая связь слабо зависит от того, что рядом вода — и это решающий аргумент для объекта, где метка носится на мокрой руке, прижатой к мокрому телу.

UHF работает на излучении, и вода его поглощает, а металл отражает и расстраивает антенну метки. Поэтому UHF-метка, которой в коридоре хватает шести метров, на мокрой руке у бортика бассейна читается заметно хуже и непредсказуемо. Это не значит, что UHF в аквапарке невозможен — это значит, что он требует проверки на объекте и не подходит для операций, где отказ чтения ломает сервис (открыть шкафчик, оплатить коктейль).

Отсюда рабочая схема, к которой пришла индустрия: HF на гостя, UHF на имущество. Браслет — ближнего поля, надёжный, с подтверждением прикладыванием. Полотенца, халаты, ласты, аренда, тележки — UHF, где важна дальность и массовое чтение, а не гарантия каждого чтения.

Браслет как изделие

Про силиконовый браслет для влажных зон стоит знать несколько вещей, которые не видны в спецификации.

Застёжка — главный расходник. Браслет теряется не потому, что порвался силикон, а потому что расстегнулась или сломалась защёлка. Это определяет и потери, и стоимость владения: в сезон объект теряет заметную часть парка браслетов, и это надо заложить в бюджет сразу.

Дезинфекция против ресурса. Браслеты обрабатываются между гостями, и регламент обработки влияет на срок службы силикона и на герметичность вокруг чипа. Вопрос поставщику: какой режим обработки допустим и сколько циклов заявлено.

Цвет и печать. Цвет браслета — бесплатный визуальный тариф: гость с жёлтым браслетом в парной виден администратору без всякой системы. Печать номера — страховка на случай отказа электроники, а ещё способ быстро разобраться с потерянным браслетом. Для этого на объекте нужен принтер карт и браслетов, иначе нумерация превращается в ручную работу маркером.

Антенна и зона чтения. Браслет читается в небольшом объёме у считывателя, и то, насколько уверенно гость попадает в этот объём, зависит от расположения считывателя и от того, какой рукой гость к нему тянется. Считыватель, установленный неудобно, увеличивает долю повторных прикладываний и портит вам данные: в журнале появляются двойные события.

Безопасность: Classic или DESFire — это вопрос денег

Техническая деталь, которая в коммерческих предложениях обычно не раскрывается, а стоит на ней ровно столько, сколько гости могут унести.

Первая развилка — где лежит баланс гостя.

Вариант «кошелёк на браслете». Остаток записан в память чипа, терминалы работают автономно, связь с сервером не критична. Удобно и живёт при обрыве сети. И ровно поэтому защита чипа становится защитой кассы.

Вариант «на браслете только номер». Чип хранит идентификатор, все деньги и права — на сервере. Требует живой сети до каждой точки, зато клонирование браслета даёт злоумышленнику не деньги, а максимум чужой номер, что обнаруживается элементарно.

Вторая развилка — тип чипа.

MIFARE Classic использует шифр Crypto-1, который взломан с 2008 года. Сегодня это не теория: по описаниям специалистов по безопасности, недорогой инструмент вроде Proxmark3 восстанавливает ключи секторов стандартной карты за секунды, а для части атак достаточно смартфона с NFC. Classic допустим как «номер гостя» в системе, где все решения принимает сервер. Как носитель денег или прав доступа он непригоден, и спор об этом закончился примерно пятнадцать лет назад.

MIFARE DESFire (EV2, EV3) и MIFARE Plus используют AES-128 и взаимную аутентификацию. Публично известных практических атак клонирования на корректно развёрнутые системы DESFire не описано — с существенной оговоркой: «корректно развёрнутые». Система, где во всех браслетах и всех считывателях объекта прошит один заводской ключ, защищена ровно до первого считывателя, который кто-то унёс.

Что спросить у поставщика:

• какой чип и какое семейство ключей используется;
• где хранится баланс и что произойдёт при обрыве связи;
• используются ли диверсифицированные ключи, то есть свой ключ для каждого браслета;
• кто владеет мастер-ключами системы: вы или подрядчик;
• что происходит при утере считывателя или терминала;
• как реализована защита от простого копирования номера (UID) — проверяется ли криптография или достаточно совпадения номера.

Последний пункт — самый практичный. Системы, которые проверяют только UID, обходятся простым эмулятором, и в этом случае не имеет значения, какой чип в браслете.

Событийная модель: как из отметок получается визит

Теперь к сути: что RFID даёт как источник данных.

Система пишет события вида «браслет №1428, считыватель „вход в мокрую зону“, 19:42:11, доступ разрешён». Из таких записей собирается визит, и собирается он не автоматически: нужна модель данных, которая склеивает события по номеру браслета и по интервалу между выдачей и возвратом. Это задача надстройки над СКУД, и обычно её нет.

Типичный набор событий, который можно получить без единого нового датчика:

Событие	Откуда	Что из него считается
Выдача браслета	Касса или терминал	Начало визита, тариф, канал продажи
Проход турникета входа	Контроллер доступа	Загрузка объекта по минутам, пропускная способность
Вход в мокрую зону	Турникет мокрой зоны	Сколько гостей дошло до основной услуги
Открытие шкафчика	Замок	Оборачиваемость шкафчиков, время переодевания
Покупка у бара	Касса на браслет	Конверсия визита в покупку, средний чек, время до первой покупки
Проход в зону по тарифу	Считыватель зоны	Фактический спрос на зону, конфликт с вместимостью
Закрытие визита	Терминал доплаты	Длительность визита, доля переработок, доплаты

Это и есть воронка визита: вошло столько, до мокрой зоны дошло столько, в бар попало столько, в премиальную зону столько, переработали столько. Для управляющего это уже достаточный материал: видны потери между этапами, видны часы и дни, видны тарифные эффекты, видна разница между каналами продаж.

Где эта картина врёт. Три систематические ошибки, каждая из которых встречается в любом объекте.

Первая: нет отметки — не значит, что не было. Гость мог пройти в зону за другим гостем, пока турникет открыт, или сотрудник пропустил его вручную. Если зона после входа физически не контролируется, статистика по ней занижена, и чем свободнее регламент, тем сильнее.

Вторая: двойные события. Повторное прикладывание, случайное чтение рядом стоящего браслета, срабатывание при возврате. Склеивание событий в пределах нескольких секунд — обязательный шаг обработки, иначе «проходов» становится больше, чем людей.

Третья: визит без закрытия. Браслет не вернули, терминал не сработал, гость ушёл через служебный выход. В журнале остаётся открытый визит, и среднее время визита уползает вверх. Нужна процедура закрытия таких случаев, иначе метрика деградирует со временем.

Плотность точек чтения: сколько добавить, чтобы увидеть маршрут

Главный инструмент управления качеством данных в RFID — не чип и не считыватель, а их расположение. Один-два новых настенных считывателя дают больше, чем смена всей системы.

Правило простое: точка чтения нужна там, где меняется смысл. Не «через каждые двадцать метров», а на границах, после которых гость в другом состоянии.

Разумный минимум для термального комплекса:

1. Касса или терминал выдачи — начало визита.
2. Входной турникет — пересечение периметра.
3. Вход в мокрую зону — переход к основной услуге.
4. Блок шкафчиков — замки уже пишут события, их достаточно подключить к общей картине.
5. Бар и кафе — покупка на браслет.
6. Вход в премиальные и тарифицируемые зоны — спрос и загрузка.
7. Терминал доплаты и выхода — закрытие визита.

Что добавляется дешевле всего и даёт больше всего:

• Считыватель на входе в парильную зону или к хамаму. Закрывает самую частую операционную задачу — где собирается очередь и когда нужен банщик. И одновременно даёт контроль времени в горячей зоне, то есть безопасность.
• Считыватель на выходе из мокрой зоны. Даёт замкнутый интервал, то есть честное «время в зоне» вместо оценки.
• Считыватель на лестнице или у входа на этаж. Самый дешёвый способ понять, доходит ли гость до второго уровня. Если выясняется, что доходит один из шести, вопрос «зачем там зона отдыха» решается без дискуссий.

Чего делать нельзя: ставить считыватель в раздевалке или душевой в расчёте «гость приложит браслет». Это не запрещено, в отличие от камер, но бесполезно: гость с мокрыми руками и без мотивации прикладывать ничего не приложит. Отметка нужна там, где у гостя есть причина её сделать: открыть, пройти, купить.

UHF: имущество, порталы и зональное позиционирование

UHF-семейство в объекте с гостями отвечает не за людей, а за всё остальное — и зря недооценивается.

Порталы и ворота. Антенны в проёме читают метки на проходящих объектах массово и без прикладывания: выдача и возврат полотенец и халатов, прокат инвентаря, контроль выноса имущества, движение белья в прачечную и обратно. Здесь UHF незаменим: сто полотенец, проехавших на тележке, считываются за один проход.

Зональное позиционирование на UHF. Существует класс потолочных считывателей с фазированной антенной решёткой, которые не просто фиксируют наличие метки, а оценивают направление на неё. Пример из открытой спецификации — Zebra ATR7000: цифровое формирование луча, заявленная точность локализации обычно лучше 0,6 м, один считыватель покрывает четыре или шесть зон отчётности. Это вендорские цифры из спецификации, независимых замеров в открытых источниках найти не удалось.

Для объектов с гостями это интересно не для гостей, а для дорогого и подвижного: инвентарь в прокате, инструмент, медицинское оборудование, тележки. Важная практическая деталь: указанная модель работает в полосе 902–928 МГц, то есть в версии для США и Канады, а в России рабочая полоса другая — см. раздел про право. При закупке это первое, что нужно проверить, иначе оборудование окажется неприменимым.

Антиколлизия и час пик. UHF-считыватель опрашивает метки по протоколу с разрешением коллизий, и чем больше меток в поле, тем дольше цикл. На практике это означает, что сто меток на тележке читаются быстро, а сто меток, проезжающих вплотную в металлическом контейнере, — частично. Правило приёмки то же, что в методической статье: проверяйте в условиях часа пик, а не на пяти метках.

Кейсы: как это устроено на объектах

Европейские термальные комплексы. Практика крупных объектов — единый носитель на все операции гостя. Gantner описывает схему, в которой браслет или карта объединяют контроль доступа, управление шкафчиками и безналичную оплату, а гость проходит вход, запирает вещи и платит без участия персонала. Среди объектов — Therme București в Румынии с интегрированной системой доступа, оплаты и шкафчиков и Silvretta Therme Ischgl в Австрии; в случае Rulantica заявленная цель — проводить большие потоки гостей при небольшом штате. Для браслета используются решения вроде GAT Chip Band, рассчитанные на сауну и парную.

Отдельно стоит отметить вендорскую цифру, которая гуляет по рынку: партнёрская страница Gantner ссылается на исследования о росте трат гостей до 40 % при переходе на безналичный браслет. Это заявление вендора без указания методики, и переносить его на свой объект нельзя — но сам эффект (платить браслетом легче, чем ходить за кошельком в шкафчик) реален, и измерить его на своём объекте можно, как описано в статье про метрики.

Курорт с отелем и аквапарком. Схема, при которой один браслет работает и как ключ номера, и как билет в аквапарк, и как ключ шкафчика, и как платёжное средство, описана интеграторами на примере Camelback Lodge и Aquatopia. Это хороший ориентир для объектов, где к термам пристроена гостиница: браслет становится единственным носимым предметом гостя.

Азия. Рынок массовый и в основном поставщический: китайские производители предлагают силиконовые браслеты NFC для аквапарков, бассейнов и кемпингов комплектом с замками и терминалами. Полезная оговорка из их же материалов: читаемость меняется в зависимости от расположения считывателя, воды и близкого металла, поэтому проверять нужно на реальных считывателях до заказа партии.

Предельный случай. Браслеты парков Disney часто приводят как пример «браслет знает, где гость». Здесь стоит быть точным: Disney заявляет, что устройства не основаны на GPS и не предполагают сбора непрерывного сигнала местоположения, но при этом компания отмечает, что может определять местоположение гостей, использующих браслет. По описаниям, речь идёт о дискретных отметках у считывателей, а не о непрерывном треке. То есть даже в самом продвинутом парке мира браслет остаётся событийной, а не траекторной технологией — ровно как у вас.

Чего RFID не делает

Честный список ограничений, без которого статья была бы рекламой.

Нет траектории. Между точками чтения гость невидим. Если считывателей семь, вы получаете семь отметок, а не маршрут. Обход: больше точек чтения в критичных местах, либо добавление непрерывного канала.

Нет позиции в реальном времени. На вопрос «где сейчас гость с браслетом 1428» RFID отвечает «последний раз он был у бара в 20:14». Для поиска потерявшегося ребёнка этого мало. Обход: Bluetooth-метка в том же браслете — это даёт зону в реальном времени, а в перспективе и дистанцию.

Нет учёта тех, кто не приложил. Проход за другим гостем, служебный вход, вынесенный браслет. Обход: сопоставление с обезличенным подсчётом на входе — счётчик считает людей, браслет считает отметки, разница показывает качество регламента.

Нет данных о том, что гость делал в зоне. Браслет знает, что гость вошёл в парильную зону. Сколько он там пролежал и не стало ли ему плохо — не знает. Обход: датчики присутствия без образа, о них отдельная статья.

Мощность и дальность не наращиваются произвольно. «Давайте поставим считыватель, который видит браслеты на десять метров» — упирается в физику ближнего поля и в радиочастотное регулирование.

Что по закону в России

Коротко, с опорой на отдельную правовую статью серии.

Номер браслета как персональные данные. Сам по себе номер — обезличенный идентификатор. Но как только в учётной системе он связан с договором, ФИО, телефоном или абонементом, вся история перемещений этого браслета становится персональными данными с полным набором обязанностей оператора: основание обработки, уведомление Роскомнадзора, политика, сроки хранения, права субъекта. Это не повод отказываться от аналитики — это повод сознательно выбрать режим.

Практичный режим для аналитики: хранить события с номером браслета, а связь «номер — гость» держать отдельно и рвать её по истечении срока, нужного для расчётов и претензий. Тогда аналитический контур работает с обезличенными визитами, а персональные данные живут ровно столько, сколько требуется для учёта.

Частоты. Для 13,56 МГц действует режим устройств малого радиуса действия, не требующий индивидуальных разрешений, — это одна из причин массовости HF. Для UHF в России рабочая полоса 866–868 МГц, и условия в ней зависят от мощности: по решению ГКРЧ 07-20-03-001 в полосе 866,6–867,4 МГц допускается до 100 мВт без присвоения частот при использовании режима «слушай перед передачей», а более мощные считыватели требуют присвоения в установленном порядке. Действующую редакцию и срок действия решения нужно проверять перед закупкой: в открытых источниках встречаются расхождения в деталях.

Отсюда главное предупреждение по закупке UHF: оборудование в версии для США и Канады работает в полосе 902–928 МГц и в России неприменимо. Нужна версия ETSI под 865–868 МГц, причём с подтверждением соответствия по требованиям ЕАЭС.

Чек-лист для разговора с поставщиком

1. Какой чип в браслете, какое семейство ключей, кто владеет мастер-ключами?
2. Где хранится баланс гостя — на браслете или на сервере?
3. Проверяется ли криптография или только номер (UID)?
4. Что происходит с кассой и шкафчиками при обрыве связи?
5. Какой ресурс браслета заявлен и при каком режиме дезинфекции?
6. Есть ли печать номера и собственная печать браслетов на объекте?
7. Куда пишутся события, какова глубина журнала, есть ли выгрузка сырых событий по API?
8. Можно ли получить события замков шкафчиков в той же системе?
9. Как система склеивает двойные чтения и закрывает «брошенные» визиты?
10. Для UHF: под какую полосу поставляется оборудование и есть ли документы соответствия для России?
11. Сколько меток читается одновременно в проёме и что происходит в час пик?
12. Можно ли добавить точку чтения позже и сколько это стоит?
13. Поддерживается ли обезличенный режим аналитики?

Источники

Источники

• Crypto-1 — состояние шифра MIFARE Classic
• Zebra ATR7000, спецификация — зональное позиционирование на UHF (данные производителя)
• Gantner, решения для аттракционов и термальных комплексов и партнёрская страница multiPASS-iD — единый носитель гостя, вендорские оценки эффекта
• Решение ГКРЧ 07-20-03-001 — условия использования полос для устройств малого радиуса действия (проверять действующую редакцию)
• Xinyetong, рекомендации по браслетам для аквапарков — практические оговорки по чтению у воды и металла (данные поставщика)
• Disney, о местоположении гостей и MagicBand — обзор заявлений компании