DE3752146T3

DE3752146T3 - Automatisiertes Transaktionssystem mit einsteckbaren Karten zum Übertragen von Kontodaten

Info

Publication number: DE3752146T3
Application number: DE3752146T
Authority: DE
Inventors: Cristopher B. San Francisco WRIGHT; Stephen Los Altos Hills BRISTOW
Original assignee: Pitney Bowes Inc
Current assignee: Pitney Bowes Inc
Priority date: 1986-09-02
Filing date: 1987-09-01
Publication date: 2004-09-02
Anticipated expiration: 2007-09-02
Also published as: EP0294397B2; DE3750958D1; NO881800L; KR880702021A; ATE160039T1; CA1320578C; JP2661932B2; BR8707450A; EP0619564B2; ATE345553T1; DE3750958T2; EP0619563A1; DE3752138T3; EP0740275A3; ATE175512T1; ATE160456T1; DE3752390D1; EP0294397B1; AU7961287A; NO881800D0

Description

Die Erfindung betrifft ein automatisiertes Transaktionssystem, welches eine Benutzerkarte aufnimmt, die einen Mikroprozessor zum Ausführen von gesicherten Transaktionen aufweist, bei denen ein Artikel oder ein Wertbetrag von einer Station abgegeben wird und ein Kontostand, der in dem Speicher der Karte gespeichert ist, belastet wird. Ein derartiges System ist in der WO 83/03018 beschrieben. Die Erfindung ist auf ein Portotransaktionssystem anwendbar, bei dem ein Portokonto in der Mikroprozessorkarte geführt wird und bei Transaktionen mit Portodruck- und Meßstationen verwendet wird.
Eine Vorrichtung zum Durchführen und Aufzeichnen von Geldtransaktionen, zur Simulation einer herkömmlichen Brieftasche, ist in der EP-A-0 172 670 beschrieben.
Verkaufspunkt-(POS)-Stationen (Point-Of-Sale Stationen) und automatisierte Geldausgabemaschinen (ATM) sind im Zusammenhang mit verschiedenen Arten von Karten, die an Benutzer für Verkaufs- oder Kredittransaktionen ausgegeben werden, weitläufig verwendet worden. Beispielsweise geben Banken regelmäßig Kontokarten aus, die eine auf einem Streifen gespeicherte magnetisch kodierte Zahl zum Zugriff auf das Konto des Benutzers durch ATM-Stationen aufweisen. Kreditkarten, die kodierte magnetische Streifen aufweisen, werden in ATM- oder POS-Stationen eingefügt, um auf ein zentrales Kontosystem zur Autorisierung einer Kredittransaktion zugreifen. Es sind auch Vorschläge dahingehend gemacht worden, Karten zu verwenden, die große nicht flüchtige Speicher aufweisen, z.B. eine Speicherung mit einem magnetischen Speicher, einem Speicher einer integrierten Schaltung (IC) oder einem optischen Speicher, um Information zu speichern und wiederzugewinnen, die speziell dem Besitzer zugeordnet sind, beispielsweise eine medizinische Geschichte, bibliographische Geschichte, die Geschichte einer Kontostandführung und einer Transaktion etc.
Diese herkömmlichen Systeme verwenden allgemein eine Karte, die einen passiven Speicher aufweist, der in einem Kartenleser oder einer computerisierten Station, die von einem Vertreiber geführt wird, gele sen wird. Die Sicherheit der Karten ist problematisch, da viele herkömmlich verwendete Kontokarten passiv sind und sich selbst oder die bestimmten Transaktionen, für die sie verwendet werden, nicht authentifizieren. Anstelle davon wird ein On-Line-Zugriff auf eine Station oder ein zentrales Kontosystem, beispielsweise Bank- oder Kreditkartenkontoaufzeichnungen für eine Bestätigung jeder Transaktion benötigt. Diese Anforderung bringt eine Zugriffszeit und Kostenbelastung für die Vertreiber mit sich, beispielsweise für Bankzweigstellen und Kleinhandelsgeschäfte, die die Stationseinrichtungen bereithalten müssen, und außerdem für den Betreiber des zentralen Kontosystems, der einen ausreichenden On-Line-Zugriff für alle Benutzer des Systems bereitstellen und die Sicherheit des gesamten Systems sicherstellen muß.
Im Vergleich dazu weisen Off-Line-Transaktionen, d.h. zwischen einem Benutzer mit einer autorisierten Karte und einer nicht mit einem zentralen Kontosystem verbundenen Station, den Vorteil auf, daß der Vertreiber jede Transaktion nicht bestätigen muß. Ein Kartenhalter fügt die Karte lediglich in eine Station ein, um für einen Kauf zu bezahlen und der autorisierte Betrag der Karte wird mit dem Betrag der Transaktion belastet. Bei Off-Line-Transaktionen kann die Verantwortung des Vertreibers verringert und der Transaktionsprozeß vereinfacht werden, so daß eine Transaktion durch die Verwendung von weit verbreiteten Benutzerkarten und automatisierten Stationen vollständig automatisiert werden kann.
Jedoch sind Off-Line-Transaktionen gegenüber der Verwendung von gefälschten Karten und einer Herumhantierung an den Stationen ungeschützter. Somit müssen die Karten gesichert und die Transaktionen auf kleine Beträge begrenzt werden. Als ein Beispiel von herkömmlichen Kartensicherheitsumaßnahmen kann eine Speicherkarte in eine Vielzahl von Sektoren mit begrenztem Wert, die getrennt gültig gemacht werden können und irreversibel mit jeder Transaktion belastet werden, aufgeteilt werden, wie in den U.S.-Patenten 4,204,113 und 4,256,955 von Giraud et al. offenbart ist. Eine persönliche Identifikationsnummer (PIN) kann in den Speicher der Karte zur Zeit einer Ausgabe eingeschrieben werden und von dem Benutzer bei jeder Transaktion angefordert werden. Stationen werden im allgemeinen gesichert, indem sie in Bereichen aufgestellt werden, zu denen ein Zugang beschränkt oder ü berwacht ist. Jedoch erhöhen diese Anforderungen die Betriebskosten des Systems und gleichzeitig setzen sie seine Verwendbarkeit herab.
Der Fortschritt bei der Kartenfälschung und beim Kreditbetrug ist mit der weit verbreiteten Verwendung von Konto- und Kreditkarten angestiegen und sogar größere Sicherheitsmaßnahmen werden gegenwärtig benötigt, um die Gültigkeit von Kartentransaktionen sicherzustellen. Herkömmliche Mikroprozessorkarten verwenden lokale Programme zum Steuern eines Zugriffs auf Daten, die auf der Karte gespeichert sind, speichern eine gewählte Benutzer-PIN zum Bestätigen eines autorisierten Benutzers und verhindern eine Verwendung der Karte, wenn ein nicht autorisierter Benutzer erfaßt wird, beispielsweise nach einer begrenzten Anzahl von unrichtigen PIN-Eingaben. Obwohl derartige Mikroprozessorkarten eine größere Sicherheit als passive Karten bereitstellen, ist das Gesamtsystem noch dahingehend verwundbar, daß eine gestohlene Karte für nicht autorisierte Transaktionen in jeder Station verwendet werden kann, sobald eine gültige PIN eines Benutzers festgestellt worden ist, und die Stationen selbst können aufgebrochen werden. Diese Verwundbarkeiten können ausgeglichen werden, indem der autorisierte Betrag der Karte begrenzt wird, ein Zugriff auf die Stationen gesteuert wird oder eine On-Line-Bestätigung von Transaktionen angefordert wird. Jedoch erhöhen derartige Maßnahmen wiederum die Kosten des Systems und verringern dessen Verwendbarkeit.
Ein potentielles Anwendungsgebiet von automatisierten Systemen, die Konto- oder Kreditkarten verwenden, ist beim Portoverkauf und bei Frankiermaschinen. Der Kauf von Porto- und Postversendetransaktionen werden vorwiegend persönlich mit Bargeld durch Kassenbeamte an Postämtern durchgeführt. Nur begrenzte Typen von Portobriefmarken können von öffentlichen Verkaufsmaschinen erworben werden. Viele private Porto-Abmeßmaschinen weisen begrenzte Betriebsmerkmale auf und ihre Abmeßeinrichtungen müssen periodisch an ein Postamt zum Wiederauffüllen entfernt werden. Die Größe und das Gewicht der Abmeßeinrichtungen bewirkt, daß ein Transport von ihnen nicht einfach ist. Derartige Abmeßsysteme können durch einen entfernten Computer wiederaufgefüllt werden, aber der Anrufer muß noch das Computerzentrum anrufen und die Befehle eines Betreibers auf der Frankiermaschine manuell ausführen.
Die Beseitigung von Käufen mit Bargeld, persönliche Postversendetransaktionen, nicht erforderliche Beschränkungen für automatisierte Postdienste und eine physikalische Wiederauffüllung von Portoabmeßmaschinen könnten die Wartezeiten an Postämtern beträchtlich verringern und die breitere Verteilung von Portoverkaufs- und Abmeßmaschinen für die einfache Handhabung von Benutzern erleichtern und einen größeren Zugriff auf postalische Dienste bereitstellen. Die Verwendung von Konto- oder Kreditkarten für automatisierte postalische Maschinen ist in Erwägung gezogen worden. Jedoch würden die Sicherheitsprobleme von herkömmlichen Karten-automatisierten Systemen erfordern, daß Benutzerkarten nur für relativ kleine Beträge von vorbezahltem Porto für gültig erklärt werden, daß Verkaufs- und Abmeßmaschinen begrenzte postalische Produkte bereitstellen und mit begrenzten Gesamtportobeträgen wiederaufgefüllt werden und daß ein Zugang zu den Maschinen strikt gesteuert werden muß. Diese Beschränkungen sind ein wesentliches Hindernis, welches zu der Schwierigkeit einer Implementierung eines automatisierten postalischen Transaktionssystems beiträgt.
Es ist ein Hauptzweck der Erfindung, ein automatisiertes Transaktionssystem bereitzustellen, welches Sicherheitsmerkmale aufweist, die die weitverbreitete Verwendung von Konto- oder Kreditkarten für Off-Line-Transaktionen und die Verbreitung von automatisierten Transaktionsstationen, zu denen ein Zugang nicht strikt gesteuert werden muß, erleichtern werden.
Insbesondere ist es gewünscht, daß die Karte und die Station zusammenarbeiten, um eine gleichzeitige Abgabe eines Werts von der Station und eine Belastung einer autorisieren Kontostands durch die Karte ausführen.
Eine spezifische Aufgabe der Erfindung besteht darin, das voranstehend erwähnte automatisierte Transaktionssystem auf Frankiermaschinen anzuwenden. Eine weitere Aufgabe besteht darin, eine neue Generation von Karten-automatisierten postalischen Stationen bereitzustellen, die eine größere Flexibilität im Bereich von postalischen Produkten und angebotenen Diensten aufweisen, wobei die Stationen individuell gesichert sind und wobei auf die Stationen in relativen beschränkten Bereichen zugegriffen werden kann und wobei die Karten an irgendeiner gewünschten Stelle durch gesicherte Wiederauffüllungsstationen, die von dem Ausgeber für gültig erklärt werden, wiederaufgefüllt werden können.
Gemäß der Erfindung ist ein automatisiertes Transaktionssystem gemäß Anspruch 1 vorgesehen.
Die obigen Prinzipien und Merkmale der Erfindung werden mit weiteren Einzelheiten nachstehend im Zusammenhang mit den folgenden Zeichnungen beschrieben.
In den Zeichnungen zeigen:
1 schematisch eine automatisierte postalische Transaktionsstation unter Verwendung einer Mikroprozessorkarte.
2a einen Aufbau in der Ausführungsform aus 1 zum Ausführen einer gesicherten Handshake-Erkennungsprozedur zwischen der Mikroprozessorkarte und einem Wertabgabeabschnitt der Station, und 2b die Handshake-Abfolge;
3 die Vielzahl von Sicherheitsebenen, die von dem System aus 1 bereitgestellt werden;
4 eine andere postalische Transaktionsstation, die eine Raten-Karte zum automatischen Berechnen von postalischen Beträgen empfängt;
5 ein Flußdiagramm der Station aus 4;
6a die Verwendung von kodierten Marken für eine Authentifizierung einer Postmarke, die von einer postalischen Transaktionsstation gedruckt wird und 6b eine beispielhafte Form einer Authentifizierungskodierung;
7 schematisch eine automatisierte Frachtbrief-Druckstation und eine optische Waage unter Verwendung einer Mikroprozessorkarte und einer Spezialdienstkarte;
8 ein Flußdiagramm des Betriebs der Station aus 7;
9 eine standardisierte Form eines Frachtbriefs und von Cursor-Eingabeaufforderungen zum Ausfüllen seiner Informationsfelder;
10 schematisch eine bevorzugte Ausführungsform einer automatisierten Wiederauffüllungsstation unter Verwendung einer Mikroprozessporkarte, einer Master-Karte und einer Supervisor-Karte gemäß der Erfindung;
11 ein Flußdiagramm des Betriebs aus 10; und
12 das integrierte System von Mikroprozessorkarten, Speicherkarten und Stationen der Erfindung.
AUSFÜHRLICHE BESCHREIBUNG DER ERFINDUNG
Gemäß den grundlegenden Prinzipien der Erfindung verwendet ein automatisiertes Transaktionssystem eine Mikroprozessorkarte in einer automatisierten Transaktionsstation. Verschiedene Typen von Mikroprozessorkarten sind kommerziell erhältlich und die Technologie der Herstellung von derartigen Karten und deren Verwendung in Stationseinrichtungen wird gut verstanden. Beispielsweise stellt Microcard Technologies Inc. aus Dallas, Texas die Micro Card Mask M4 Karte her, die eine Standard (ISO)-Größe, ähnlich wie eine Kreditkarte, mit einem 8-Bit Mikroprozessor, 8 Kontaktstiften, einem 9600 bps asynchronem seriellen Austauschprotokoll, einem Nur-Lese-Speicher (ROM) von 12,8 Kbit, einem Speicher mit wahlfreiem Zugriff (RAM) mit 288 Bit und einem löschbaren/programmierbaren ROM (EPROM) mit 8 Kbit ist. Ein Feld von elektrischen Kontakten, welches in einem Abschnitt der Karte vorgesehen ist, stellt eine Verbindung mit den entsprechenden Kontakten in der Station her, um dem Kartenmikroprozessor zu ermöglichen, Daten mit der Station auszutauschen. Es ist natürlich bekannt, daß andere Typen von Datenkommunikationsverbindungen verwendet werden können, wie beispielsweise mit einer magnetischen Induktion.
Die herkömmliche Mikroprozessorkarte, so wie sie in der vorliegenden Erfindung verwendet wird, arbeitet durch Ausführen eines intern gespeicherten Programms (Firmware), welches von außen nicht zugänglich ist. Dir Firmware kann in einer willkürlich verteilten Weise geschrieben sein, um eine Sicherung vorzusehen, damit an ihr von außen nicht herumhantiert werden kann. Ein Abschnitt mit einem elektrisch programmierbaren (EPROM) Speicher, der dem Mikroprozessor der Karte zugeordnet ist, ist allgemein in drei Zonen aufgeteilt: eine Geheimzone, auf die nur intern zugegriffen werden kann; eine geschützte Lese/Schreibzone, auf die nur dann zugegriffen werden kann, wenn eine Schlüsselzahl oder PIN bestätigt worden ist und eine freie Lesezone. Die Karte kann in einer Station verwendet werden, um gewünschte Funktionen gemäß der Regeln, Prozeduren und Daten auszuführen, die in der Karte und der Station gespeichert oder ausgeführt werden.
Wenn herkömmliche Mikroprozessorkarten an einzelne Benutzer ausgegeben werden, wird eine Gültigkeitserklärungsprozedur auf einer Gültigkeitserklärungsstation ausgeführt. Die Prozedur fordert den Ausgeber allgemein auf, die richtige Hersteller-Seriennummer der Karte einzugeben, um zu bestätigen, daß die Karte autorisiert ist. Eine PIN wird dann dem Kartenhalter zugeordnet oder von diesem gewählt und in der Geheimzone gespeichert. Ferner kann in der Geheimzone auch eine für den Ausgeber einzigartige Geheimschlüsselzahl gespeichert werden, die für eine Klasse oder eine chronologische Reihe von Kartenhaltern gemeinsam vorgesehen sein kann. In einigen Kartensystemen wird der Geheimschlüssel als ein Argument eines Verschlüsselungs-Algorithmus verwendet, um ein verschlüsseltes Wort an die Station zur Überprüfung zu senden. Wenn das Wort von der Station dekodiert werden kann, um den Geheimschlüssel abzuleiten, wird angenommen, daß die Karte authentisch ist. Beim Abschluß der Gültigkeitserklärungsprozedur ändert der Karten-MPU irreversibel sein Programm, so daß keine weiteren Worte in die geheime Speicherzone geschrieben werden können. Danach muß ein Benutzer bei einer Benutzung der Karte die richtige PIN eingeben, um zu bestätigen, daß die Karte von ihrem autorisierten Benutzer verwendet wird. Herkömmliche Mikroprozessorkarten besitzen auch das Merkmal einer vorübergehenden oder permanenten Sperrung der Karte gegen eine Verwendung der Karte, wenn eine Abfolge von unrichtigen PIN-Eingaben auf einer Station erfaßt wird.
Zur Zeit der Ausgabe wird ein Betrag in Geldmitteln oder anderen Einheiten für die Karte, die gerade ausgegeben wird, für gültig erklärt. In herkömmlichen Karten wird der Betrag permanent in einen einer Vielzahl von Transaktionsabschnitten der geschützten Speicherzone eingeschrieben. Jedes Mal, wenn die Karte mit einem neuen Betrag "gefüllt" werden soll, wird einer der Abschnitte entsperrt und mit einem neuen Betrag von dem Ausgeber beschrieben. Somit kann ein begrenzter autorisierter Betrag jedes Mal eingeschrieben werden und die Karte wird dann mehrere Male wieder aufgefüllt, bis ihr Speicherplatz aufgebraucht ist. Dies ist ein Sicherheitsmerkmal, um einen Geldverlust für den Fall zu minimieren, daß die Karte verloren oder gestohlen wird. Der autorisierte Betrag wird bei jeder Transaktion dekrementiert und ein neuer Saldo wird eingeschrieben, bis der Saldo aufgebraucht ist. Obwohl irgendein Betrag oder Saldo in den Transaktionsspeicher der Karte eingeschrieben werden kann, kann die Karte als ein weiteres Sicherheitsmerkmal verhindern, daß ein Saldo eingeschrieben wird, der eine vorgegebene Grenze oder einen vorher eingeschriebenen Saldo übersteigt.
Frankiermaschinenstation
Unter Bezugnahme auf 1 ist eine Mikroprozessorkarte 10, wie vorher beschrieben, dafür ausgelegt, um in einen Karteneinfügungsschlitz 11 einer automatisierten Stationseinrichtung 20 eingefügt zu werden. Die Smart-Karte 10 weist einen Kontaktabschnitt 12 auf, der eine Anzahl von Kontakten 13 aufweist, die mit den Herausführungsleitungen eines IC-Chips verbunden sind, der eine unter eine Schutzschicht des Kartenkontaktabschnitts 12 laminierte Mikroprozessoreinheit (Karten-MPU) 60 umfaßt. Die Kontakte 13 stehen im Eingriff mit entsprechenden Kontakten 23 eines Stationskontaktabschnitts 22 bei der Einfügung der Karte 10 in den Schlitz in der mit dem Pfeil A angedeuteten Richtung. Wenn die Karte eingefügt ist, liegt ihre führende Kante an einem Teil des Stationskontaktabschnitts 22 an, der in der gleichen Richtung, angezeigt von dem Pfeil B, bewegt wird, um so einen betriebsmäßigen elektrischen Kontakt mit dem Kartenkontaktabschnitt 12 einzugehen. Ein Auslöseschalter 22a ist an der Basis des Schlitzes 11 vorgesehen und triggert ein Startsignal an einem Betriebsmikroprozessor (Stations-MPU) 30, wenn die Karte vollständig in eine Position in den Schlitz eingefügt ist.
Der Karten-MPU 60 führt ein intern gespeichertes (Firmware-) Programm aus, um zu überprüfen, ob eine angeforderte Transaktion autorisiert ist oder nicht und um vor einer Belastung des Kartenkontosaldos eine gesicherte Handshake-Erkennungsprozedur (die nachstehend noch weiter beschrieben wird) mit einem Mikroprozessor in der Station auszuführen. Obwohl die Handshake-Prozedur mit einem Betriebs-Mikroprozessor für die Station oder einem zu der Station entfernt angeordnetem ausgeführt werden kann, wird in der Erfindung bevorzugt, daß die Prozedur mit einem gesicherten Mikroprozessor ausgeführt wird, der in dem tatsächlichen Wertabgabeabschnitt der Station eingebettet ist. Der Wertabgabeabschnitt ist ein getrenntes Element in der Station und sein Mikroprozessor ist physikalisch gesichert worden, beispielsweise durch Eingießen in Epoxyd, so daß irgendwelche Versuche, daran herumzuhantieren, dazu führen würden, daß der Wertabgabeabschnitt außer Betrieb genommen wird. Für die postalische Transaktionsstation der Erfindung ist der Mikroprozessor in der Druckereinheit, die die Postmarke druckt, eingebettet.
Die Stationskontakte 23 sind mit den Funktionsteilen der Station verbunden, einschließlich einer Taktsynchronisationsverbindung 24, ei ner Rücksetzungsverbindung 25, einer Verbindung 26 für eine Betriebsspannung Vcc, einem Eingangs/Ausgangs-(I/O)-Port 27, einer Verbindung 28 für eine EPROM-Schreibspannung Vpp und einer Masseverbindung 29. Der Stations-MPU 30 steuert das Interface mit der Karte und dem Betrieb der verschiedenen Teile der Station, einschließlich einer Tastatur 31, einer Anzeige 32, beispielsweise einer LCD, und einem Postmarken-Drucker 40, der der Wertabgabeabschnitt der Station ist. Eine Energiequelle Vo ist durch eine Batterie und/oder einer externen AC- oder DC-Leitung vorgesehen, um die verschiedenen Teile der Station mit Energie zu versorgen.
Der Drucker 40 weist eine Mikroprozessoreinheit (Drucker-MPU) 41 auf, die individuell und in einzigartiger Weise den Betrieb eines Druckkopfs 42, beispielsweise eines elektrothermischen oder Aufschlagdruckkopfs, steuert. Die MPU 41 führt ein internes Programm (Firmware) wie der Kartenmikroprozessor aus, so daß an ihm von außen nicht herumhantiert werden kann. Das interne Programm der Drucker-MPU umfaßt einzigartige Verschlüsselungs-Algorithmen parallel zu denjenigen, die in dem Mikroprozessor der Karte gespeichert sind und von dem Hersteller installiert sind, so daß die Drucker-MPU eine gesicherte Handshake-Erkennungsprozedur mit dem Mikroprozessor der Karte ausführen kann, um eine angeforderte Transaktion zu autorisieren. Die MPU 41 wird ebenfalls integral mit dem Druckkopf 42 gebildet, beispielsweise durch Einbetten in Epoxyd oder dergleichen, so daß auf ihn ohne Zerstörung des Druckkopfes physikalisch nicht zugegriffen werden kann. Somit kann gemäß der Erfindung der Druckkopf 42 der Frankiermaschinenstation 20 nur durch die MPU 41 betrieben werden und wird eine Postmarke nur dann aufdrucken, wenn die Handshake-Erkennungsprozedur und ein Postmarken-Druckbefehl zwischen der Karten-MPU und der Drucker-MPU 41 ausgeführt worden sind.
Wenn eine Station von dem Ausgeber an einem Ort oder verteilt an einer Einzelhandels-Zwischenstelle zur Feldverwendung installiert werden soll, kann der Ausgeber auch eine Gültigkeitserklärungsprozedur für die Station, ähnlich derjenigen für die Karte, ausführen. Eine Geheimschlüsselzahl kann in die Geheimspeicherzone der Drucker-MPU 41 eingeschrieben werden, so daß Porto-Drucktransaktionen nur mit Karten ausgeführt werden können, die mit der entsprechenden Schlüsselzahlnummer versehen sind. Somit werden Karten, die von anderen Ausgebern für gültig erklärt werden, in den Maschinen des zuerst erwähnten Ausgebers nicht verwendbar sein, obwohl sie von dem gleichen Hersteller erhalten werden.
Die Stations-MPU kann natürlich für die Handshake-Erkennungsprozedur verwendet werden. Jedoch wird bevorzugt, daß die Prozedur von dem Teil ausgeführt wird, der tatsächlich den einzelnen Wert ausgibt und, daß die Stations-MPU für allgemeine Stations-Betriebsvorgänge betreibbar zu lassen. Eine Maschinen-ID-Zahl (MIN) kann ebenfalls der Station zugeordnet werden, so daß sie in der Transaktionsaufstellung, die auf der Karte geführt wird, aufgezeichnet werden kann. Als ein anderes Merkmal kann die MIN für eine oder mehrere Stationen des Ausgebers in Karten gespeichert werden, die nur in diesen Stationen verwendet werden. Somit können in einem für eine Firma vorgesehenen automatischen Stationssystem die Stationen innerhalb der Firma nur mit den Karten verwendet werden, die an die Angestellten dieser Firma ausgegeben werden, die die Geheimschlüsselzahl der Firma besitzen, und optional können die Stationen innerhalb einer Abteilung der Firma so konfiguriert werden, daß sie nur Karten akzeptieren, die mit den MINs der Maschinen dieser Abteilung versehen sind.
Der interaktive Betrieb des Karten-/Stationssystems wird nun beschrieben. Beim Einfügen einer Karte in den Schlitz 11 wird der Auslöseschalter 22a ausgelöst und die Stations-MPU 30 leitet eine Identifikationsanfrageprozedur ein, um zu bestätigen, daß die Karte gerade von einem autorisierten Benutzer verwendet wird. Beispielsweise kann die Stations-MPU bewirken, daß eine Eingabeaufforderung auf einer Anzeige 32 erscheint, die den Benutzer auffordert, eine PIN einzugeben. Die von dem Benutzer eingegebene Zahl wird von der Stations-MPU an die Karten-MPU gesendet, wo sie bezüglich der in der Geheimzone des Speichers der Karte gespeicherten PIN-Zahl(en) geprüft wird. Wenn die Zahl übereinstimmt, fordert die Karten-MPU die Stations-MPU 30 auf, fortzufahren. Wenn die Karte zur Verwendung nur in bestimmten Maschinen beschränkt ist, kann die Karte die MIN der Station anfordern und sie gegenüber einer gespeicherten Liste von autorisierten Stationsnummern überprüfen. Wenn die Station zur Verwendung nur mit gewissen Karten beschränkt ist, kann die Station die PIN oder eine Kartenidentifikation oder eine Kontonummer gegenüber einer gespeicherten Liste von autorisierten Kartennummern prüfen. Als ein anderes Sicherheitsmerkmal kann das Kartenprogramm die Anzahl von unrichtigen versuchten PIN-Eingaben oder ein Kartenablaufdatum, welches in einen Speicher zur Zeit der Ausgabe eingeschrieben wird, überprüfen. Wenn die unrichtigen PIN-Eingaben eine vorgegebene Anzahl überschreiten, oder wenn das gegenwärtige Datum, welches von der Stations-MPU 30 angezeigt wird, über dem Ablaufdatum ist, kann die Karten-MPU 60 die Karte vor einer weiteren Verwendung sperren, bis der Benutzer sie von dem Ausgeber erneut für gültig erklärt hat lassen.
Wenn die anfänglichen Bestätigungsprozeduren vorbei sind, fordert die Stations-MPU 30 den Benutzer als nächstes auf, Information für eine Portotransaktion einzugeben. Der Benutzer gibt auf einer Tastatur 31 den angeforderten Portobetrag und als eine weitere Option den Postleitzahlcode oder den Absenderort und das Datum an. Wenn die Information nacheinander geliefert wird, d.h. "Betrag", "Postleitzahlcode" und "Datum" wird dies auf der Anzeige 32 zur Bestätigung angezeigt. Alternativ kann das Datum von der Stations-MPU 30 geführt und für eine Benutzerbestätigung angezeigt werden. Wenn sämtliche richtige Information eingegeben worden ist, wird eine Kante eines zu versendenden Umschlags 51 oder ein an einem zu versendenden Stück anzubringendes Etikett oder ein Versendeschein in einen Schlitz 50 auf einer Seite der Frankiermaschinenstation 20 eingefügt. Die Bewegung des Etiketts oder des Umschlags kann gesteuert werden, um sie zu dem Druckkopf auszurichten, wie in herkömmlichen Frankiermaschinen vorgesehen. Der Benutzer kann dann die "Druck"-Taste drücken, um eine Porto-Drucktransaktion einzuleiten.
Handshake-Erkennungsprozedur
Ein grundlegendes Prinzip des Systems besteht darin, daß die tatsächliche Ausführung einer Wertaustausch-Transaktion durch eine gegenseitige Handshake-Erkennungsprozedur zwischen einem gesicherten Mikroprozessor, der das Kartenkontosaldo führt, und einem gesicherten Mikroprozessor, der den Wertabgabebetrieb steuert, gesichert gesteuert werden kann. Die MPU der Karte muß den Mikroprozessor des Wertabgabeabschnitts als gültig erkennen und umgekehrt, um eine Transaktion auszuführen. Die Karte und der Wertabgabeabschnitt kann jeweils autonom sein und gegenüber einer Fälschung oder einer betrügerischen Verwendung geschützt sein, selbst wenn die Sicherheit des anderen aufgebrochen worden ist. Da sie autonom sind können die Karten und Stationen mit einem geringen Risiko eines Aufbruchs des Systems und ohne die Notwendigkeit für strikte Zugriffskontrollen weitläufig verteilt werden. Gegenüber herkömmlichen Karten-automatisierten Transaktionssystemen weist es somit beträchtliche Kosten- und Sicherheitsvorteile auf.
Eine Zweiweg-verschlüsseltes Handshaking wird nachstehend beschrieben. Jedoch sei darauf hingewiesen, daß beabsichtigt ist, daß die Offenbarung irgendeine gegenseitige Handshake-Prozedur umfaßt, mit der der Karten- und der Abgabe-Mikroprozessor jeweils den anderen als autorisiert erkennen kann, um eine angeforderte Transaktion auszuführen. In der bevorzugten Portostations-Ausführungsform wird die Handshake-Prozedur zwischen der Karten-MPU 60 und der Drucker-MPU 41 ausgeführt. Wie schematisch in 2a gezeigt, wenn das "Druck"-Tastensignal von der Stations-MPU 30 empfangen wird, öffnet die letztere einen Kanal 61 einer Kommunikation zwischen der Karten-MPU 60 und der Drucker-MPU 41. Ein "Beginn" Signal und der Betrag der angeforderten Transaktion, d.h. ein Porto, wird von der Stations-MPU 30 an die Karten-MPU 60 gesendet und ein ähnliches "Beginn" Signal an die Drucker-MPU 41, um den Weg für die Handshake-Prozedur vorzubereiten.
Unter Bezugnahme auf 2b initiiert die Karten-MPU 60 die Handshake-Prozedur beim Empfang des "Beginn" Signals, indem zunächst überprüft wird, ob der angeforderte Betrag für die Transaktion verfügbar ist. Als ein vorteilhaftes Merkmal der Erfindung überprüft die Karten-MPU 60 das verfügbare Saldo der Karte und (wenn in dem Programm der Karte implementiert), ob die angeforderte Transaktion innerhalb irgendwelcher Grenzen ist, die von dem Kartenausgeber spezifiziert sind. Beispielsweise kann eine Verwendung der Karte auf einen maximalen Portobetrag und/oder eine Portoklasse für jede Transaktion oder eine kumulative Gesamtanzahl von Transaktionen beschränkt sein. Auf eine Überprüfung hin, daß die angeforderte Transaktion autorisiert ist, verschlüsselt die Karten-MPU 60 eine Objektzahl N, die eine Zufallszahl sein kann, mit einer Schlüsselzahl k1 (die die PIN des Benutzers sein kann), die in der Geheimzone ihres Speichers gespeichert ist, mit einem ersten Verschlüsselungs-Algorithmus E1 und sendet das sich ergebende Wort W1 durch den Handshake-Kanal 61 der Stations-MPU 30 an die Drucker-MPU 41.
Beim Empfang des Worts W1 dekodiert der Drucker-MPU 61 die Zahl unter Verwendung der gleichen Zahl k1 durch den inversen Algorithmus E1'. Die Zahl k1 kann eine Geheimschlüsselzahl sein, die in dem Speicher der Drucker-MPU zur Zeit einer Gültigkeitserklärung gespeichert wird, oder in einem offenen System kann sie die PIN sein, die von dem Benutzer auf der Station eingegeben wird, oder eine Kombination von beiden. Die Drucker-MPU 41 verschlüsselt dann die dekodierte Zahl mit der Zahl k1 durch einen zweiten Verschlüsselungs-Algorithmus E2, um ein zweites Wort W2 an die Karten-MPU 60 zurückzusenden.
Auf einen Empfang des Worts W2 hin dekodiert die Karten-MPU 60 die Zahl unter Verwendung der Schlüsselzahl k1 durch den inversen zweiten Algorithmus E2' erneut und vergleicht die dekodierte Zahl mit der Zahl, die sie bei der ersten Übertragung verwendete. Wenn die Zahlen übereinstimmen ist die Handshake-Prozedur erfolgreich abgeschlossen worden und die Karten- und Drucker-MPUs haben einander als autorisiert erkannt, um die angeforderte Transaktion auszuführen. Die Karten-MPU zieht dann den Portobetrag von dem Kartensaldo ab und sendet dann einen Druckbefehl und den Portobetrag an die Drucker-MPU. Die Drucker-MPU druckt das Porto auf den Umschlag 51 auf, und zwar in Zusammenwirkung mit der Stations-MPU 30, die die Bewegung des Umschlags unter dem Druckkopf steuert. Die Drucker-MPU sendet dann ein "Ende" Signal an die Stations-MPU 30, die demzufolge den Handshake-Kanal 61 ausschaltet und sich selbst zurücksetzt, um die nächste Transaktionsaufforderung zu empfangen.
Die Karten-MPU 60 speichert nur den Betrag der Transaktion in ihrer Transaktionsaufstellung und speichert nicht das neue Saldo. Anstelle davon wird der Saldo aus dem ursprünglichen autorisierten Betrag neu berechnet und die gespeicherte Aufstellung von Transaktionsdebitierungen zur Zeit einer Transaktion wird angefordert. Diese Prozedur ersetzt die Berechnungsenergie der MPU, um einen beträchtlichen Betrag von Speicherplatz des Karten-EPROMs einzusparen.
Das Karten-automatisierte Transaktionssystem der Erfindung ist mit einer hohen Sicherheit auf einer Vielzahl von Ebenen versehen, was insbesondere vorteilhaft für Off-Line-Transaktionen ist, bei denen eine große Anzahl von ausgegebenen Karten und weitverteilte Stationseinrichtungen beteiligt sind. Wie in 3 dargestellt sind die Verschlüsselungs-Algorithmen auf der ersten Sicherheitsebene I durch den Hersteller vorgesehen, der Geheimschlüssel, PIN und/oder MIN sind auf der Sicherheitsebene II von dem Ausgeber vorgesehen, die PIN wird auf der Sicherheitsebene III durch einen bestimmten Benutzer verwendet und die MIN und/oder der Geheimschlüssel kann auf der Sicherheitsebene IV verwendet werden, um eine bestimmte Maschine oder bestimmte Maschinen zu betreiben.
Auf der Ebene I ist der Druckkopf der Station nur betreibbar, um einen Wert, d.h. ein Druckporto auszugeben, wenn die von dem Hersteller vorgesehenen Verschlüsselungs-Algorithmen mit denjenigen der Karte übereinstimmen, wodurch gegenüber gefälschten Karten und Stationen ein Schutz vorgesehen wird. Selbst wenn die Sicherheitsvorkehrungen des Herstellers aufgebrochen worden sind und die Verschlüsselungs-Algorithmen von einem Fälscher ermittelt worden sind, kann der Geheimschlüssel in der Ebene II von dem Ausgeber zugeordnet und in der Handshake-Prozedur verwendet werden, wodurch die Verwendung von gefälschten Karten und Stationen, die keinen Geheimschlüssel aufweisen, abgewehrt werden kann. Auf der Sicherheitsebene III kann eine Karte zum Betreiben einer Station nur dann verwendet werden, wenn die richtige PIN bekannt ist und wenn anfängliche Bestätigungsprozeduren durchlaufen sind. Auf der Sicherheitsebene IV kann eine Karte nur in einer bestimmten Station verwendet werden, die von der richtigen MIN identifiziert wird.
Ein verwandtes automatisiertes Transaktionssystem ist in 4 dargestellt, die eine zweite Karte verwendet, die postalische Ratendaten aufweist, die in einem Speicher gespeichert sind, um das richtige Porto automatisch zu berechnen. Eine Station 20 ähnlich wie die voranstehend beschriebene umfaßt einen zweiten Schlitz 91 für eine "Raten"-Karte 90. Die Station weist einen Schlitz 50 auf, in den ein postalisches Etikett oder ein Umschlag 51 zum Bedrucken von einem Drucker 40 eingefügt wird. Für ein Paket 52 wird ein Etikett 51 bedruckt und dann an dem Paket zur Verwendung angebracht. Eine Waage 53 kann mit der Station und der MPU 30 verbunden sein, um das Gewicht des Umschlags oder Pakets 52 bereitzustellen.
Die Raten-Karte weist eine Speichereinrichtung 92, vorzugsweise ein IC-ROM auf, auf die von der Station MPU 30 durch einen Kontaktabschnitt 93, der in einem Kontakteingriff mit den Herausführungs-Anschlüssen der Speichereinrichtung steht, zugegriffen wird und durch den sie gelesen wird. Die Schalter 22a und 92a stellen Signale bereit, wenn die Benutzer- und Raten-Karten in die jeweiligen Schlitze einge fügt worden sind. Eine Einfügung der Benutzerkarte initiiert einen Betrieb der Station. Wenn eine Raten-Karte nicht eingefügt ist, kann die Station MPU 30 anstelle davon den geeigneten postalischen Betrag von dem Benutzer durch eine Eingabeaufforderung auf der Anzeige 32 anfordern. Die Stations-MPU kann auch einen Modus aufweisen, um postalische Raten von der Raten-Karte zu lesen.
Der Programmbetrieb der Frankiermaschinenstation 20 ist in Blockdiagrammform in 5 dargestellt. Auf eine Einfügung der Benutzerkarte 10 in den Schlitz 11 hin werden die Benutzerbestätigungs-Prozeduren, die voranstehend beschrieben wurden, zwischen der Stations-MPU 30 und der Karten-MPU 60 ausgeführt. Wenn eine nicht autorisierte Karte oder ein nicht autorisierter Benutzer erfaßt wird, wird die Karte gesperrt und die Stations-Betriebsvorgänge beendet. Wenn eine gültige Benutzerkarte festgestellt wird, überprüft das Stationsprogramm dann, ob eine Raten-Karte 90 eingefügt ist und ob sie gültig ist. Eine Gültigkeit kann durch die Ausgabenummer der Karte oder durch ein angezeigtes Ablaufdatum bestimmt werden. Wenn keine Raten-Karte vorhanden ist, fordert die Stations-MPU den Benutzer auf, das erwünschte Porto einzugeben und geht zu einem Druckschlüssel-Entscheidungsblock 97. Wenn eine gültige Raten-Karte vorhanden ist, fordert das Stationsprogramm die Codes für den Ausgangsort und den Zielort des Einzelstücks und die gewünschte Postgutklasse an. Das Programm prüft dann auf ein Signal von der Waage 53, welches das Gewicht des Artikels anzeigt. wenn keine Waage verbunden ist oder kein Gewicht angezeigt wird, fordert das Programm den Benutzer auf, die Information einzugeben.
Der Raten-Kartenspeicher enthält eine laufende Auflistung der Raten für einen bestimmten Beförderer, aufgeteilt gemäß der Zonenklassifikationen, dem Gewicht und/oder der Art von Postgut. Für den U.S.-Postdienst wird der Portobetrag auf Grundlage der Ursprungs- und Ziel-Postleitzahlcodes der Postgutklasse und dem Gewicht berechnet, indem in Tabellen, die in dem Raten-Kartenspeicher 92 gespeichert sind, nachgeschlagen wird. Wenn die "Drucktaste" gedrückt wird, sendet das Stationsprogramm dann das "Beginn"-Signal an die Karten-MPU und an die Drucker-MPU, um die Handshake-Prozedur auszuführen und Debitierungs- und Druckoperationen auszuführen, wie voranstehend beschrieben. Wenn eine "Automatik" Modustaste der Station gedrückt worden ist oder der Benutzer eine Wahl dahingehend vornimmt, im Ansprechen auf eine Eingabeaufforderung fortzufahren, kehrt das Stationsprogramm zu dem Beginn der Transaktionsschleife zurück, die mit dem Block 94 bezeichnet ist. Der "Automatik" Modus kann im Zusammenhang mit einem automatischen Zuführer verwendet werden, um eine Reihe von Umschlägen oder Etiketten postalisch zu markieren. Der Stationsbetrieb wird beendet, wenn die Transaktionsschleife nicht fortgesetzt wird oder wenn die Handshake-Prozedur nicht abgeschlossen ist.
Postmarken-Authentifizierung
Nun wird eine Postmarken-Authentifizierungsprozedur beschrieben. Die Prozedur ist als ein Sicherheitsmerkmal vorgesehen, um das Drucken einer gefälschten Postmarke durch einen Drucker, Kopierer oder eine andere Facsimile-Einrichtung, die nicht von dem Ausgeber des voranstehend beschriebenen Karten/Stationssystem autorisiert ist, abzuwenden. Herkömmliche Drucker mit hoher Auflösung und Grafikmöglichkeiten von Personalcomputern stellen ein erhöhtes Risiko dar, daß Wertbestätigungsmarken, beispielsweise eine Postmarke, eine Fahrkarte, ein Coupon etc. durch einen Fälscher simuliert werden können. In dieser Erfindung wird zunächst ein darunter liegender und/oder maschinenlesbarer Code aufgedruckt und dann mit der Postmarke überdruckt, die von Personen gelesen werden kann. Der Code kann in einzigartiger Weise von dem Ausgeber des Portokarten/Stations-Systems gewählt und periodisch geändert werden, um irgendwelche Vorteile aus der Möglichkeit eines nicht autorisierten Zugriffs auf den Code zu beseitigen. Ferner kann der Code mit einer Farbe gedruckt werden, die in dem normalen Lichtspektrum unsichtbar ist, so daß sie nur mit einem magnetischen, infraroten oder ultravioletten Leser gelesen werden kann.
Bezugnehmend auf ein in den 6a und 6b gezeigtes Beispiel weist eine herkömmliche aufgedruckte Postmarke ein Logo oder ein grafisches Design 70, Text 71, der anzeigt, daß das Porto durch den U.S. Postdienst ausgegeben wird, Zahlen 72, die den Portobetrag anzeigen sowie das Datum 73, die Stadt 74, den Staat 75 und den Postleitzahlcode 76 des Ausgangsorts und die Identifikationsnummer 77 der Frankiermaschine, von der die Portomarke gedruckt wurde, auf. Kodierte Marken 78 werden unter die sichtbare Postmarke in einem vorgegebenen Codefeld 79 mit unsichtbarer, maschinenlesbarer Farbe gedruckt. Der Algorithmus für die kodierten Marken wird von dem Ausgeber gewählt und stellt bei spielsweise das binäre Äquivalent des Portobetrags dar, d.h. "90" Cent in 6a, was in binärer Form in 6b gezeigt ist. Die kodierten Marken können irgendein anderes Element der Postmarke darstellen, beispielsweise die Maschinen-Identifikationsnummer oder den Postleitzahlcode. Alternativ kann ein Balkencode 83 mit einem Postmarken-Informationsabschnitt 83a und einem Überprüfungscode-Abschnitt 83b, der auf Grundlage einer der Postmarken-Elemente verschlüsselt wird, gedruckt werden. Das Postmarken-Element und/oder der Verschlüsselungs-Algorithmus kann in einzigartiger Weise von dem Ausgeber gewählt werden. Selbst wenn die kodierten Marken in sichtbarer Form gedruckt werden, wird die Verschlüsselung eines variablen Postmarkenelements, beispielsweise des Postleitzahlcodes des Absenders, des Datums oder des Portobetrags eine Kopierung erschweren.
Das Drucken der Postmarke und des Authentifizierungscodes kann leicht in das in 1 gezeigte Karten/Stationssystem eingebaut werden. Der Drucker 42 ist mit einem Speicher 43 versehen, an den Daten, die die sichtbare Information der Postmarke und die berechneten binären oder einen anderen gewählten Überprüfungscode oder umgewandelten Balkencode darstellen, von der Stations-MPU 30 übertragen und gespeichert werden. Die feste Grafik der Postmarke kann in einem Speicher gespeichert werden, der der MPU 30 zugeordnet ist, was bevorzugt ist, wenn die gleiche Station die Möglichkeit eines Druckens einer Vielzahl von Postmarken-Grafiken für verschiedene Beförderer und/oder Dienstklassen aufweist, oder sie kann permanent in einem Abschnitt des Druckerspeichers 43 gespeichert sein. Die feste Grafik kann anstelle davon in dem Speicher der Karte gespeichert oder von der Stations-MPU 30 in den Druckerspeicher 43 für eine angeforderte Transaktion geladen werden. Alternativ kann die feste Grafik auf einer Druckplatte vorgesehen sein, die mit dem Druckkopf arbeitet, wenn nur eine Art von Postmarke gedruckt werden soll.
In der bevorzugten Form ist der Druckkopf 42 ein Aufschlagdrucker, der zwei Farbbänder 42a und 42b umfaßt, eines mit einer unsichtbaren Maschinen-lesbaren Farbe und das andere mit einer sichtbaren Farbe. Wenn die Handshake-Prozedur abgeschlossen worden ist und der Druckbefehl von der Karten-MPU 60 ausgegeben worden ist, greift die Drucker-MPU 41 auf die in dem Speicher 43 gespeicherten Daten zu und druckt in einem ersten Durchlauf die kodierten Marken in unsichtbarer Farbe auf und druckt dann in einem zweiten Durchlauf die sichtbare Postmarken-Information auf.
Wie in 6a angedeutet, wenn Postgut oder andere Artikel danach an ein zentrales Postverzweigungs- und -verteilungssystem geführt werden, beispielsweise dasjenige des U.S.-Postdienstes oder einem privaten Beförderer, wird die Postmarke unter einen Detektor 80 geführt, der einen Leser 81 für ein sichtbares Lichtspektrum und einen Codeleser 82, beispielsweise einen magnetischen, infraroten oder ultravioletten Leser, oder einen Balkencode-Leser 83 für Balkencode-Marken aufweist. Wenn die Codemarken nicht vorhanden sind oder wenn der Überprüfungscode nicht dem zur Codierung gewählten Element der Postmarke entspricht, kann eine Prüfaufzeichnung (Auditaufzeichnung) über die Nichtübereinstimmung durchgeführt werden, beispielsweise durch Aufzeichnen der Maschinen-Identifikationsnummer, des Datuns und des Postleitzahlcodes des Ursprungs. Eine Untersuchung der Ursache des nicht-autorisierten Portos kann dann initiiert werden, wenn zahlreiche Artikel angetroffen werden, die nicht autorisierte Postmarken tragen. Die Postmarken-Authentifizierungsmarken der Erfindung stellen somit einen zusätzlichen Sicherheitsgrad gegenüber Fälschungen bereit, der in herkömmlichen Frankiermaschinen nicht angeboten wird.
Station für postalische Frachtbriefe
Eine Station für postalische Frachtbriefe ist in 7 dargestellt, die zum Drucken von Standardform-Frachtbriefen zum Versenden von Artikeln unter Verwendung eines breiten Bereichs von postalischen oder privaten Beförderungsdiensten ausgelegt ist. Eine Station 20' umfaßt einen Schlitz 11 für eine Benutzerkarte 10, eine Stations-MPU 30, einen Drucker 40 und eine Drucker-MPU 41, eine Tastatur 31' und eine Anzeige 32', die voranstehend unter Bezugnahme auf 1 beschrieben wurden. Die Station umfaßt auch einen zweiten Schlitz 91 für eine "Raten" Karte 90 und einen dritten Schlitz 101 für eine "Spezialdienst" Karte 100. Die Station weist einen Schlitz 50 auf, in den eine Standardfrachtbriefform 51' zum Bedrucken von dem Drucker 90 eingefügt wird. Der Frachtbrief 51' wird dann an einem Umschlag oder einem Paket 52 zur Versendung angebracht. Eine Waage 53 kann mit der Station und mit der MPU 30 verbunden sein, um automatisch das Gewicht des Pakets 52 bereitzustellen.
Die Raten- und Spezialdienst-Karten weisen Speichereinrichtungen 92 bzw. 102 auf, die vorzugsweise IC-ROMS sind, auf die von der Stations-MPU 30 über die Abschnitte 93 bzw. 103, die in einem Kontakteingriff mit den Herausführungsanschlüssen der Speichereinrichtungen stehen, zugegriffen und aus denen gelesen wird. Die Schalter 22a, 92a und 102a stellen Erfassungssignale bereit, wenn die Karten in die jeweiligen Schlitze eingefügt worden sind. Eine Anzeige 32' stellt ein vollständiges Feld entsprechend dem Erscheinungsbild der Frachtbriefform bereit und die Tastatur 31' umfaßt einen vollen Satz von alphanumerischen Zeichen und Befehlstasten.
Der Raten-Kartenspeicher enthält eine gegenwärtige Auflistung der Raten für einen bestimmten Beförderer. Wenn der Beförderer beispielsweise die U.S.-Postdienste sind, werden die Postamt-Raten entsprechend der Zonenklassifikationen, dem Gewicht und der Postgutklasse aufgelistet. Der Spezialdienst-Kartenspeicher enthält ein Programm zum Ausfüllen einer Standardfrachtbriefform in Abhängigkeit von der Information, die von dem Postversendedienst eines bestimmten Beförderers angefordert wird, und in Abhängigkeit von Zeichen, die diesen Dienst identifizieren. Wenn beispielsweise der Beförderer der U.S.-Postdienst ist, kann die Spezialdienst-Karte Programme zum Drucken von Frachtbriefen für Expresspostgut, zertifiziertes Postgut, Postgut mit Einschreiben, versichertes Postgut etc. Bereitstellen.
Der Programmbetrieb der postalischen Frachtbriefstation 20' ist in Blockdiagrammform in 8 dargestellt und ein Beispiel einer Frachtbriefausbildung ist in 9 gezeigt. Auf eine Einfügung der Benutzerkarte 10 in den Schlitz hin, werden die Benutzerbestätigungsprozeduren, die voranstehend beschrieben wurden, zwischen der Stations-MPU 30 und der Karten-MPU 60 ausgeführt. Wenn eine nichtautorisierte Karte oder ein nichtautorisierter Benutzer erfaßt wird, wird die Karte gesperrt und die Stationsbetriebsvorgänge werden beendet. Mit einer gültigen Benutzerkarte überprüft das Stationsprogramm dann, ob eine Raten-Karte 90 und/oder eine Spezialdienst-Karte 100 eingefügt ist und ob jede gültig ist. Eine Gültigkeit kann durch die Ausgabenummer der Karte oder durch ein angezeigtes Ablaufdatum bestimmt werden. Wenn keine Raten-Karte oder Spezialdienst-Karte vorhanden ist, fordert die Stations-MPU den Benutzer auf, das gewünschte Porto einzugeben und geht dann zu dem Drucktasten-Entscheidungsblock 121. Die Station wird dann verwendet, um eine Postmarke oder ein Portoetikett zu bedrucken, wie voranstehend beschrieben. Wenn eine gültige Dienstkarte vorhanden ist, zeigt das Stationsprogramm ein Menü von Versende- oder Beförderdiensten von der Dienstkarte an und fordert den Benutzer auf, einen Dienst auszuwählen.
Die Stations-MPU 30 lädt das gewählte Dienstprogramm von der Dienstkarte und führt es aus, wie vom Block 118 angedeutet. Für typische Befördererdienste zeigt das Dienstprogramm eine standardmäßige Beförderer-Frachtbriefausbildung an, die von dem gewählten Beförderer verwendet wird. Wenn beispielsweise der Express-Postdienst des U.S.-Postdienstes gewählt wird, wird die in 9 gezeigte Ausbildung angezeigt. Die Ausbildung umfaßt ein Beförderer-Identifikationsfeld 130, ein Dienstklassenfeld 131 und Zeiger auf der Anzeige zum Anzeigen einer Information in den Feldern 132-137 und 140-146. Eine Frachtbrief-Identifikationsnummer in einem Balkencode 138 und Zeichen 139 werden für die Transaktion gewählt und angezeigt. Vorzugsweise weist die Dienstkarte eine Liste von reservierten Frachtbriefnummern auf, die sequentiell für jede abgeschlossene Transaktion implementiert werden. Wenn eine Transaktion nicht beendet ist, wird die Nummer für die nächste Transaktion aufgespart. Wie voranstehend beschrieben kann der Balkencode einen Abschnitt enthalten, der eine Verschlüsselung eines Elements der Frachtbrief-Information ist, so daß die Authentizität der Ausbildung durch eine Maschinenverarbeitung des Frachtbriefs überprüft werden kann.
Das Dienstprogramm, so wie es von der Stations-MPU 30 ausgeführt wird, verwendet als nächstes Cursor-Eingabeaufforderungen, um den Benutzer aufzufordern, Information für bestimmte Felder bereitzustellen, beispielsweise für die Postleitzahlcodes des Ausgangsorts und des Zielorts 132 und 133 und für die Adressen des Absenders und des Empfängers 140 und 141. Wenn der Benutzer jede Einzelinformation liefert und eine "Eingabe" Taste drückt, veranlaßt das Programm den Cursor, sich auf das nächste einzugebende Informationsfeld zu verschieben, wie mit den Pfeilen C in 9 angedeutet ist. Die Datums- und Zeitfelder 134 und 135 können von dem Benutzer angefordert werden oder von der Station zugeführt werden, wenn sie mit einer Uhr und einem Kalender versehen ist. Das Gewicht 136 kann von dem Ausgang der Waage 53 bereitgestellt werden, wenn eine mit der Station verbunden ist, oder es kann von dem Benutzer zugeführt werden. Die Maschinen-Identifikationsnummer (MIN) wird von der Station für das Feld 137 zugeführt.
Auf Grundlage der Postleitzahlcodes des Ausgangsorts und des Bestimmungsorts und des Gewichts wird der Portobetrag, andere Dienstgebühren und ein Gesamtbetrag 144-146 berechnet und unter einer Programmsteuerung unter Verwendung der Raten-Karte, soweit geeignet, angezeigt. Der Gesamt-Transaktionsbetrag wird gespeichert. Wenn die "Druck" Taste gedrückt wird, sendet das Stationsprogramm dann das "Beginn" Signal an die Karten-MPU und an die Drucker-MPU, um die Handshake-Prozedur und eine Debitierung und Druckoperationen wie voranstehend beschrieben auszuführen. Wenn eine "Automatik" Modustaste der Station gedrückt wird oder der Benutzer eine Wahl dahingehend trifft, im Ansprechen auf eine Eingabeaufforderung fortzufahren, kehrt das Stationsprogramm zu dem Beginn der Transaktionsschleife zurück, wie im Block 113 angedeutet. Der Stationsbetrieb wird beendet, wenn die Transaktionsschleife nicht fortgesetzt wird oder wenn die Handshake-Prozedur nicht abgeschlossen wird.
Die Station kann verwendet werden, um die Frachtbriefe von anderen gewählten Beförderern oder Diensten durch Einfügung der geeigneten Benutzer-Raten- und/oder Dienst-Karten zu programmieren und zu drucken. Für die Zweckdienlichkeit des automatisierten Stationssystems ist es wünschenswert, daß alle postalischen und Frachtbriefformen auf eine oder eine begrenzte Anzahl von Formvordrucken standardisiert sind.
Ein Karten-automatisiertes Transaktionssystem wird nun beschrieben. Obwohl besondere Ausführungsformen beschrieben sind, versteht es sich, daß die Erfindung nicht auf derartige Ausführungsformen beschränkt ist, sondern alle Modifikationen und Variationen umfaßt, die die Prinzipien der Erfindung verwenden. Für den Zweck dieser Beschreibung wird für die Transaktionsstation eine Frankiermaschinenstation zum Aufdrucken einer Postmarke auf ein Etikett, einen Umschlag oder einen Frachtbrief (Begleitschein) für zu versendende oder verschickende Artikel gewählt. Jedoch versteht es sich, daß die allgemeinen Prinzipien der Erfindung eine breite Anwendung auf irgendeinen Typ von Transaktionsstation aufweist, in der eine Mikroprozessorkarte verwendet werden kann. Beispielsweise kann die Station eine Bargeld- oder Artikelausgabemaschine oder ein Drucker sein, der Gültigkeitserklärungsmarken, Coupons, Empfangsbestätigungen, Fahrkarten, Inventurdokumente etc. druckt.
Wiederauffüllungs-Station
Eine Ausführungsform der Erfindung ist stellt eine Benutzerkarten-Wiederauffüllungsstation bereit, die an irgendeiner gewünschten postalischen Verkaufs- oder Verteilungsstelle für die Bequemlichkeit des Ausgebers der Karten und der Benutzer geführt werden kann. Ein neuer Betrag kann "gefüllt", d.h. zu einem in der Benutzerkarte geführten autorisiertem Saldo kreditiert werden, und eine Master-Wiederauffüllungskarte mit einem größeren Betrag zur Verteilung wird entsprechend debitiert. Gemäß der Prinzipien der Erfindung wird die gesicherte Handshake-Erkennungsprozedur ausgeführt, bevor die Transaktion autorisiert wird. Die Wiederauffüllungs-Station kann auch verwendet werden, um neue Karten, die ausgegeben werden sollen, für gültig zu erklären.
Eine beispielhafte Ausführungsform der Auffüllungsstation ist in 10 gezeigt, mit einem ersten Schlitz 161, einer Master-Wiederauffüllungskarte 160, einem zweiten Schlitz 171 für eine Supervisor- oder Überwacher-Karte 170, einem dritten Schlitz 174 für eine Benutzer-Karte 10, einem Stations-Mikroprozessor 30", einer Tastatur 31" und einer Anzeige 32". Jede Karte ist von dem voranstehend beschriebenen Typ, jeweils mit gesicherten Mikroprozessoren (MPU) 162, 172 und 60, die in Kontakt mit den jeweiligen Stationskontakten 163, 173 und 175 stehen. Die Schalter 162a, 172a und 176 stellen Erfassungssignale bereit, wenn die Karten in ihre jeweiligen Schlitze eingefügt werden. Der Betrieb der Stations-MPU 30" wird nach Einfügung einer Master-Karte 160 und einer Supervisor-Karte 170 freigegeben.
Eine Master-Wiederauffüllungskarte wird zu Anfang von einem zentralen Ausgeber erworben, beispielsweise dem U.S.-Postdienst, einem autorisierten Vertreiber für den zentralen Ausgeber oder einer privaten Befördererfirma. Allgemein ist beabsichtigt, daß sie von einer lokalen Wiederauffüllungs-Einheit erworben wird, die einen Dienst für individuelle Benutzer bereitstellt, beispielsweise von einer Bankzweigstelle, einem Kleinhandelsgeschäft oder einer Kaufhausabteilung. In der bevorzugten Ausführungsform wird sie in einer festen Benennung hergestellt und bleibt gesperrt, bis sie von einer Supervisor-Karte des zentralen Ausgebers aktiviert wird. Die für die Handshake-Prozedur verwendeten Verschlüsselungs-Algorithmen sind bereits in die Firmware der MPU eingeschrieben und werden freigegeben, um die Handshake-Prozedur auszuführen, wenn die Geheimschlüsselzahl von einer Supervisor-Karte während der Aktivierungsprozedur installiert wird. Sobald sie aktiviert ist, wird der Masterkartenstand oder der Masterkartensaldo für Wiederauffüllungs-Transaktionen debitiert, bis er aufgebraucht ist. Eine Aufstellung oder Geschichte von allen Debitierungs-Transaktionen wird in der Master-Karte geführt.
Eine Supervsisor-Karte wird von dem zentralen Ausgeber in den Gewahrsam einer Wachperson oder eines Managers der lokalen Wiederauffüllungs-Einheit übergeben und eine Supervisor-PIN wird zugeordnet. Die Supervisor-Karte wird verwendet, um alle Master-Karten, die an die Wiederauffüllungs-Einheit verkauft werden, zu entsperren und um eine Aufzeichnung der Seriennummern der Master-Karten für nachfolgende Kartenbestätigungsprozeduren zu führen. Sie wird verwendet, um Kreditierungs-Transaktionen an Benutzerkarten zu autorisieren und führt eine Transaktionsaufstellung von allen Wiederauffüllungsvorgängen und die Identität der Benutzerkarten des Empfängers. Die Supervisor-Karte wird mit den Handshake-Verschlüsselungs-Algorithmen in Firmware hergestellt und dann durch den zentralen Ausgeber mit einer Geheimschlüssel-Nummer versehen werden, die in den Master- und Benutzer-Karten installiert werden soll. Die Master- und Supervisor-Karten zusammen ermöglichen, daß Benutzer-Karten in zweckdienlicher Weise an weitläufig verteilten lokalen Einheiten ohne die Notwendigkeit für eine On-Line-Bestätigung jeder Wiederauffüllungs-Transaktion von dem zentralen Ausgeber wiederaufgefüllt werden können.
Der Betrieb der Wiederauffüllungs-Station wird nun für die bevorzugte Ausführungsform mit drei Karten unter Bezugnahme auf das Blockdiagramm aus 11 beschrieben. Nach einem Start des Stationsprogramms wird die Master-Karte im Block 180 überprüft, um zu bestimmen, ob sie bereits aktiviert ist. Wenn nicht folgt die Station einer Aktivierungsprozedur am Block 181 zum Bestätigen der Supervisor-PIN, zum Überprüfen der Master-Karten-Seriennummer, zum Installieren einer Geheimschlüssel-Nummer in der Master-Karte, zum Ausführen der Handshake-Prozedur, dann zum Entsperren des Saldos der Master-Karte und zum Aufzeichnen der Seriennummer der Master-Karte, des Saldos, des Datums und anderer Transaktionsinformationen.
Wenn die Master-Karte bereits aktiviert worden ist, überprüft die Supervisor-Karte die Seriennummer der Master-Karte gegen ihre Aufzeichnung von autorisierten Master-Karten. Wenn die Master-Karte nicht autorisiert ist, geht das Stationsprogramm zu einer Endprozedur im Block 197. Mit einer autorisierten Master-Karte überprüft das Stationsprogramm, ob die in die Station eingefügte Benutzer-Karte neu ist oder wiederaufgefüllt werden soll. Für eine neue Benutzer-Karte führt die Wiederauffüllungs-Station in den Blöcken 190, 193 ein Gültigkeitserklärungs-Prozedur durch, die ein Überprüfen der bezeichneten Kartenseriennummer mit der in ihrem Speicher eingebetteten Nummer, ein Aufzeichnen der Identifikationsinformation des Benutzers und ein Zuweisen einer Benutzer-PIN umfaßt. Im Block 192 befragt die Station den Betreiber nach irgendwelchen Beschränkungen über die Beträge oder den Typ von Transaktionen, für die die Karte verwendet werden kann, nach den Identifikationsnummern der Stationen, auf die die Karte beschränkt ist, oder nach einem Ablaufdatum, wenn dies von dem Ausgeber angefordert wird. Die Gültigkeitserklärungs-Prozedur wird durch Installieren der Geheimschlüssel-Nummer und verschließen der Geheimspeicherzone beendet.
Wenn die Benutzer-Karte wieder aufgefüllt werden soll, wird die Benutzer-PIN bestätigt und dann wird die Karte auf irgendein Saldo überprüft, der zu dem neuen Betrag oder zu dem das Benutzerkonto kreditiert werden soll. Der alte Speicherabschnitt wird dann für weitere Transaktionen gesperrt und kann nur zum Auslesen einer Transaktions-Aufstellung verwendet werden. Auf eine Anforderung nach einem neuen Betrag hin, entweder für die neue Karte, deren Gültigkeit überprüft worden ist, oder für eine wiederaufzufüllende Station, öffnet die Stations-MPU 30" einen Handshake-Kanal und die voranstehend beschriebene Handshake-Prozedur wird zwischen der Master-MPU 162 und der Supervisor-MPU 172 ausgeführt. Wenn die Handshake-Prozedur abgeschlossen ist, wird der Master-Saldo debitiert und die Supervisor-Karte fährt fort, um einen neuen Transaktionsspeicherabschnitt in der Benutzer-Karte zu öffnen, in den das neue Saldo geschrieben wird. Das Programm stellt dann am Block 197 eine Endauswahl von weiteren Operationen bereit, die auf der Wiederauffüllungsstation ausgeführt werden können. Beispiels weise kann eine andere Wiederauffüllungstransaktion verarbeitet werden, die Supervisor-Karten-Aufzeichnung kann aktualisiert werden, eine Seriennummer oder eine Kontonummer kann in die neu für gültig erklärte Benutzer- oder Master-Karte eingeprägt werden, wenn die Station mit einer Prägemaschine verbunden ist, oder Betriebsvorgänge können beendet werden.
Das beschriebene Wiederauffüllungssystem ist auf verschiedenen Sicherheitsebenen geschützt. Zunächst wird eine Supervisor-Karte benötigt und die Benutzer-Karte muß durch die Benutzer-PIN gültig erklärt werden. Die Master-Karte muß durch die Supervisor-Karte für gültig erklärt werden und muß die Handshake-Prozedur ausführen, bevor ein neuer Betrag an die Benutzer-Karte kreditiert wird. Das Karten-/Stations-System weist den Hauptvorteil auf, daß die Debitierung des Kartensaldos in dem gleichen Zeitrahmen ausgeführt wird, in dem der Wertabgabebetrieb ausgeführt wird und der Austausch kann nur für jede Transaktion ausgeführt werden, wenn die gegenseitige Handshake-Erkennungsprozedur zwischen den gesicherten Mikroprozessoren, die jeden Teil steuern, ausgeführt wird. Ferner kauft der zentrale Ausgeber das Karten-/Stations-System von dem Hersteller mit einem gegebenen Satz von Verschlüsselungs-Algorithmen und wählt dann einen einzigartigen Geheimschlüssel, der dem Hersteller nicht bekannt ist. Somit wird durch ein Aufbrechen der Sicherheit des Herstellers die Sicherheit des Systems des Ausgebers nicht gefährdet. Durch Ausgeben von Karten mit definierten Ablaufdaten oder Seriennummern und durch periodisches Ändern der Geheimschlüssel kann ein Ausgeber-System noch unempfindlicher gegenüber Fälschern gemacht werden.
Die Benutzer-Karte ist nicht lediglich eine passive Aufzeichnung einer Kontonummer und eines Saldos, sondern arbeitet anstelle davon, um in bestätigender Weise einen Schutz gegenüber einer nichtautorisierten Verwendung der Karte bereitzustellen, beispielsweise wenn eine Abfolge von unrichtigen PIN-Eingaben durchgeführt wird, wenn die Karte über ihr Ablaufdatum hinaus oder in einer nichtautorisierten Maschine verwendet wird, oder wenn eine angeforderte Transaktion über vorgegebene Grenzen hinausgeht. In ähnlicher Weise ist der Wertabgabeteil der Station davor geschützt, daß an ihm herumhantiert wird, nämlich durch das physikalische Zusammenbinden des Druckermikroprozessors an den Druckkopf.
Da ferner die postalischen und Wiederauffüllungs-Transaktionen mit Karten, die von einem zentralen Ausgeber ausgegeben werden, nur innerhalb des Systems des Ausgeber stattfinden, sind sie vor gefälschten Karten oder Karten, die von einem anderen System ausgegeben werden, geschützt. Ein System eines Ausgebers bleibt somit für alle Systeme von anderen Ausgebern verschlossen und mehrere Systeme können die gleichen Stationen verwenden, ohne sich untereinander zu stören. Beispielsweise kann der U.S.-Postdienst und mehrere private Beförderer jeweils ein getrenntes Ausgebersystem bilden, welches seine eigenen Karten ausgibt. Ein Benutzer kann eine Karte von jedem System erwerben und die geeignete Karte in irgendeiner Station verwenden, die an einer lokalen Einheit (Zweigpostamt, Bankzweigstelle, lokales Einzelhandelsgeschäft) aufgestellt wird, um ein autorisiertes Porto oder einen Frachtbrief zur Verwendung in dem entsprechenden System zu erzeugen. Dann werden Benutzer den Nutzen eines gesicherten und zweckdienlichen Zugriffs auf einen breiten Bereich von postalischen und Beförderer-Diensten genießen.
In der Erfindung umfassen die Mikroprozessorkarten (Benutzer, Master und Supervisor), Speicherkarten (Raten und Spezialdienste) und Stationen (Zumessung, Frachtbriefdrucken und Wiederauffüllen) ein integriertes postalisches Transaktionssystem, welches einen beträchtlich verbesserten Grad eines Zugriffs, einer Zweckdienlichkeit und einer Sicherheit bereitstellen, im Vergleich mit herkömmlichen postalischen Maschinen. Das Gesamtsystem ist in 12 dargestellt. Es ermöglicht, daß weit verbreitet ausgegebene Benutzer-Karten in weit verbreitet verteilten Frankiermaschinen- und Frachtbrief-Druckstationen mit den geeigneten Raten- und/oder Dienst-Karten verwendet werden können, um auf eine Vielzahl von postalischen und Befördererdiensten zuzugreifen. Die Wiederauffüllungsstationen ermöglichen einem zentralen Ausgeber, einen postalischen Geldwert an Benutzer an weit verbreitet verteilten Orten zu verteilen. Strikte physikalische Zugangssteuerungen werden nicht benötigt, die Notwendigkeit, die postalischen Beträge und Dienste, die von ausgegebenen Karten erhältlich sind, zu beschränken, ist reduziert, Kauf-Transaktionen in Persona werden vermieden und eine On-Line-Bestätigung durch ein zentrales Kontobüro wird vermieden. Die Karten und Stationen sind konfiguriert, so daß sie autonom sind und dennoch eine gegenseitige Erkennung und Bestätigung einer Gültigkeit und Transaktionsbeträge benötigt werden, wodurch ein hoher Sicherheitsrat des Systems bereitgestellt wird.
Ferner ist die Erfindung nicht auf die beschriebenen automatisierten postalischen Stationen beschränkt. Die Prinzipien der Erfindung können auf jede andere Wertaustausch-Transaktion angepaßt werden, bei der die Verwendung einer Konto-Karte in einem Off-Line-automatisierten Stationssystem gewünscht ist. Somit können die beschriebenen Smart-Karten und Wertausgabe-Stationen auch zur Ausgabe von Bargeld, zum Drucken von Fahrkarten, zum Ausgeben von Coupons etc. verwendet werden und der Benutzer kann eine Vielzahl von Karten besitzen, die jeweils von einem zentralen Ausgeber für den geeigneten Kauf von verschiedenen Wertartikeln ausgegeben werden. Durch Implementieren von Smart-Karten- und Stations-MPU-Programmen, die nach autorisierten Maschinen-Identifikationsnummern und Karten-Seriennummern überprüfen oder die Handshake-Prozedur mit verschiedenen Algorithmen und/oder Geheimschlüsseln ausführen, kann ferner ein System eines Ausgebers so konfiguriert werden, daß die Karten des Ausgebers und Stationen für bestimmte Familien, Serien oder Orte offen oder beschränkt sein können.
Die Erfindung umfaßt auch andere Merkmale, die im Zusammenhang mit den voranstehend beschriebenen zentralen Konzepten nützlich sind. Beispielsweise kann ein Transaktions-Aufstellungsdrucker vorgesehen werden, von dem ein Benutzer eine in der Smart-Karte gespeicherte Aufzeichnung von Transaktionen auf eine Eingabe der richtigen PIN hin drucken kann. Die verschiedenen Karten können mit Kerben auf einer Kante oder kodierten Schlüsselelementen versehen werden, um eine Einfügung der falschen Karte in einen unrichtigen Stationsschlitz oder in eine Station eines Systems eines anderen Ausgebers zu verhindern. Ferner kann die Erfindung auf On-Line-Transaktionssysteme angepaßt werden. Beispielsweise kann die Stations-MPU durch eine Telefonleitung oder ein lokales Netz mit einem zentralen Verarbeitungsbüro für eine Genehmigung einer Transaktion vor einer Ausführung der Transaktion verbunden werden. Eine On-Line-Bestätigung kann für eine Initialisierung und für Wiederauffüllungs-Transaktionen wünschenswert sein, die weniger häufig und von einem höheren Wert im Vergleich mit Kauf-Transaktionen sind. Als ein anderes Sicherheitsmerkmal kann die Karte oder eine Serie von Karten mit Verschlüsselungs-Algorithmen und/oder Geheimschlüsselzahlen, die periodisch geändert werden, ausgegeben werden und die Verschlüsselungs-Algorithmen und Geheimschlüssel, die Karten entsprechen, die für eine Transaktion dargeboten. werden, können in die Station zu der Zeit geladen werden, zu der die Stations-MPU eine On-Line-Verbindung zu dem zentralen Büro herstellt.
Ein Karten-automatisiertes Transaktionssystem ist beschrieben worden, welches eine Karte mit einem gesicherten, lokalen Mikroprozessor verwendet, dessen Funktion darin besteht, zu bestätigen, daß eine angeforderte Transaktion autorisiert ist, und um dann eine interaktive Handshake-Erkennungsprozedur mit einem lokalen Mikroprozessor in dem Wertausgabeabschnitt einer automatisieren Station zu initiieren. Auf einen erfolgreichen Abschluß der Handshake-Prozedur hin bewirken der Kartenmikroprozessor und der Mikroprozessor des Ausgabeabschnitts gleichzeitig die Ausgabe des gewünschten Artikelwerts oder Einzelwerts und die Debitierung eines autorisierten Saldos von der Karte.
Die gegenseitige Handshake-Erkennungsprozedur kann wie folgt ausgeführt werden: (1) Auf eine Bestätigung hin, daß eine angeforderte Transaktion autorisiert ist, leitet die Karte an die Station ein Wort, umfassend eine zufällig erzeugte oder andere Objektnummer, die von einem ersten lokalen Algorithmus verschlüsselt wird, und eine Schlüsselnummer, die in der Karte gespeichert ist; (2) die Station dekodiert die Nummer unter Verwendung eines entsprechenden invertierten ersten Algorithmus und der Schlüsselnummer; (3) die Station sendet an die Karte ein zweites Wort zurück, umfassend die dekodierte Zufallszahl, die von einem zweiten lokalen Algorithmus verschlüsselt wird, und die Schlüsselnummer; (4) die Karte dekodiert das zweite Wort unter Verwendung eines entsprechenden invertierten zweiten Algorithmus und der Schlüsselnummer und vergleicht die dekodierte Nummer mit der ursprünglich gesendeten; (5) wenn die Nummern übereinstimmen debitiert der Kartenmikroprozessor seinen autorisierten Saldo mit dem angezeigten Betrag der Transaktion und sendet ein Betätigungssignal an die Station, um mit der Transaktion fortzufahren; und (6) auf einen Empfang des Betätigungssignals hin betätigt der Abgabe-Mikroprozessor den Abgabeabschnitt, um die Transaktion zu beenden. Auch das übertragene Betätigungssignal kann durch die obigen Algorithmen oder ein ähnliches Verfahren verschlüsselt und dekodiert werden.
Das voranstehend beschriebene interaktive Karten-automatisierte Transaktionssystem kann auf Frankiermaschinen angewendet werden. In einer Ausführungsform umfaßt eine Frankiermaschinenstation einen Schlitz zur Aufnahme einer Mikroprozessorkarte, die mit einem autorisierten Saldo ausgegeben wird, einen Druckkopf mit einem gesicherten Mikroprozessor, der mit dem Kartenmikroprozessor in Wechselwirkung tritt, ein Tastenfeld, eine Anzeige und einen Betriebsmikroprozessor, der eine eingetastete Angabe des angeforderten Portobetrags aufnimmt, die eingetastete Eingabe anzeigt, die Karte nach einer Autorisierung befragt und die Porto-Drucktransaktion einleitet und dann die Maschine für die nächste Transaktion zurücksetzt oder eine Reihe von Transaktionen in einem Wiederholungsmodus ausführt.
In einem verwandten System umfaßt eine Frankiermaschinenstation einen ersten Schlitz zur Aufnahme einer Benutzer-Mikroprozessorkarte, einen zweiten Schlitz zur Aufnahme einer postalischen Raten-Karte, einen Druckkopf mit einem gesicherten Mikroprozessor, ein Tastenfeld und eine andere Einrichtung zum Eingeben von Codes über den Ausgangsort und Zielort (Postleitzahlcode), eine Einrichtung zum Eingeben des Gewichts und der postalischen Klasse des zu versendenden Artikels, und einen Betriebsmikroprozessor mit einem Programm zum Berechnen des richtigen Portos auf Grundlage der Auflistungen der Raten-Karte und der eingetasteten Information.
Das Karten-automatisierte postalische Transaktionssystem kann leicht nicht nur auf die postalischen Produkte und Dienste des U.S.-Postdienstes angewendet werden, sondern auch auf private Beförderer und Paketzustellfirmen. In einer weiteren Ausführungsform weist eine postalische Frachtbrief-Station einen Schlitz zur Aufnahme einer Spezialdienst-Karte auf, die gespeicherte Daten aufweist, von denen die Station postalische und Zustelldienst-Information auf Standardformblättern drucken kann. Beispielsweise kann die Spezialdienst-Karte verwendet werden, um Postamtformen zu drucken, beispielsweise zertifiziertes Postgut oder eingeschriebenes Postgut oder die Frachtbriefe von privaten Befördererfirmen. Die Station ist auch mit einer Vollfeldanzeige der Frachtbriefform versehen, fordert den Benutzer zur Eingabe von Information durch programmierte Cursor-Bewegungen auf und weist Befehlstasten zum Eingeben von Absender- und Empfängerinformati on, einer Rate oder einer Dienstklasse, einer Frachtbriefnummer, einer Befördererinformation etc. auf.
Als untergeordnete Merkmale können die Mikroprozessorkarten konfiguriert sein, um verschiedene Zugangsarten auf die Stationen je nach Wunsch bereitzustellen, beispielsweise begrenzte Anzahlen oder Typen von Benutzern in begrenzten Anzahlen oder Typen von Maschinen, unbegrenzte Benutzer in begrenzten Maschinen, begrenzte Benutzer in unbegrenzten Maschinen oder unbegrenzte Benutzer in unbegrenzten Maschinen. Die verschiedenen Zugangsarten können implementiert werden, indem Schlüsselzahlen in der Karte zum Identifizieren von autorisierten Benutzern und/oder Maschinen und/oder Schlüsselnummern in dem Stations-Betriebsmikroprozessor zum Identifizieren von autorisierten Benutzern gespeichert werden. Die Benutzerkarten können auch zur Zeit einer Ausgabe für Begrenzungen der Beträge und Typen von individuellen Transaktionen und eine temporäre oder permanente Sperrung auf eine Erfassung eines nichtautorisierten Benutzers oder einer nichtautorisierten Karte hin konfiguriert werden. Ein anderes Systemmerkmal ist das Speichern einer Aufstellung von Transaktionen, die von der Karte ausgeführt werden und die Neuberechnung des übrigen Saldos auf jede Transaktionsaufforderung hin, um Kartenspeicherplatz einzusparen.
Die Frankiermaschinenstationen können auch mit einer Einrichtung versehen sein, um einem Postamt oder einem Beförderer zu ermöglichen, die Portomarken oder Frachtbriefe, die gedruckt werden, zu authentifizieren. In einer Ausführungsform druckt der Stationsdrucker innerhalb oder unter die Postmarke eine kodierte Zahl oder eine Abfolge von Marken, die einem Element der Postmarke entsprechen, beispielsweise den Portobetrag, die Stationsidentifikationsnummer und/oder den Postleitzahlcode des Absenders. Die Marken können unkenntlich oder unsichtbar gemacht werden, indem mit einer magnetisch oder optisch lesbaren Farbe gedruckt wird, um ein Herumhantieren oder eine nichtautorisierte Simulation abzuwehren. Sie können dann von dem Postamt oder der privaten Befördererfirma mittels einer Maschine gelesen werden, um zu bestimmen, ob die gedruckte Postmarke von einem autorisierten Drucker gedruckt wurde, und um gleichzeitig einen Prüfweg zu dem Absender bereitzustellen.
Gemäß einer weiteren Anwendung stellt ein integriertes System von Mikroprozessorkarten und Stationen Transaktionsmöglichkeiten be reit, die eine weitverbreitete Verwendung und einen bequemen Zugang zu Benutzern erlauben. Der autorisierte Betrag der Benutzerkarten kann zu Anfang für gültig erklärt oder von einer Master-Wiederauffüllungskarte wiederaufgefüllt werden, die einen größeren autorisierten Betrag aufweist, vorzugsweise im Zusammenhang mit einer Supervisor-Karte, die unter einer strikten Verteilungskontrolle ausgegeben wird. Eine Wiederauffüllungsstation ist mit drei Einfügungsschlitzen für die drei Karten versehen und weist ein Betriebsprogramm auf, um die Identität der Master-Wiederauffüllungskarte und der Benutzer-Karte zu überprüfen um zu bestimmen, ob sie für eine Verwendung in der Wiederauffüllungs-Station gültig sind. Auf eine Freigabe hin muß die gesicherte Handshake-Erkennungsprozedur erfolgreich zwischen den Mikroprozessoren der Supervisor- und Master-Karten ausgeführt werden, um eine Debitierung der Master-Karte um den Wiederauffüllbetrag und eine Kreditierung an die Benutzerkarte zu erlauben. Wenn die Benutzer-Karte eine neue Karte ist, werde eine Gültigkeitserklärungsprozedur und die Auswahl und Speicherung einer Benutzer-PIN ausgeführt.
Das Karten-automatisierte Transaktionssystem weist ein breite Anwendbarkeit auf viele andere Kaufarten oder Kredittransaktionen außer auf Postdienste und Postprodukte auf. Beispielsweise kann es für Kreditkarten-Transaktionen eine Inventurkontrolle, Frachtrechnung, automatisierte Bargeldmaschinen oder im Grunde genommen für jede andere Art von Transaktion verwendet werden, bei der eine Benutzerkarte durch eine automatisierte Station im Austausch für einen Artikelwert oder Einzelwert gesichert debitiert werden muß. Das System ist insbesondere bei Off-Line-Transaktionen vorteilhaft, bei denen verteilte Stationen nicht unter strikten Zugangskontrollen verwendet werden.
Auf Grundlage der vorangehenden Offenbarung können viele andere Peripheriemerkmale und Modifikationen und Veränderungen an den Prinzipien der Erfindung von Personen, die mit automatisierten Stationen und Smart-Karten-Systemen vertraut sind, erkannt werden. Es ist beabsichtigt, daß die hier beschriebenen Ausführungsformen und Merkmale und alle weiteren Merkmale, Modifikationen und Variationen in dem zulässigen Umfang der Erfindung, so wie er in den beigefügten Ansprüchen definiert ist, enthalten sind.

Claims

Automatisiertes Transaktionssystem, umfassend eine Transaktionsstation (20) mit einem Aufnahmeschlitz zur Einfügung einer tragbaren Benutzer-Karte (10) darin und einer Vielzahl von Benutzer-Karten, die an verschiedene Benutzer ausgegeben werden, wobei jede Benutzer-Karte einen Mikroprozessor (60) und einen darin eingebauten Speicher zum Ausführen von Werttransaktionen durch die Station und zum Halten eines Benutzerkontosaldos darin, und eine Datenausgabeeinrichtung (175), die mit dem Mikroprozessor der Benutzer-Karte verbunden ist, aufweist wobei – eine Vielzahl von Master-Karten (160) zum Wiederauffüllen von Benutzerkontosalden von Benutzer-Karten (10) über Wiederauffüllungs-Transaktionsstationen (20") ausgegeben werden, wobei jede Master-Karte (160) einen Mikroprozessor (162) und einen darin eingebauten Speicher zum Halten einer Aufstellung von Wiederauffüllungstransaktionen und eines Masterkontosaldos darin aufweist, und eine Datenausgabeeinrichtung (163), die mit dem Mikroprozessor der Master-Karte verbunden ist; – eine Vielzahl von Wiederauffüllungs-Transaktionsstationen vorgesehen sind, wobei jede Wiederauffüllungs-Transaktionsstation einen ersten Aufnahmeschlitz (174) zur Aufnahme einer darin eingefügten Benutzer-Karte und zur Herstellung einer Verbindung mit der Benutzerkarten-Datenausgabeeinrichtung, einen zweiten Aufnahmeschlitz (161) zur Aufnahme einer darin eingefügten Master-Karte und zur Herstellung einer Verbindung mit der Masterkarten-Datenausgabeeinrichtung, einen Betriebsabschnitt zum Ausführen eines Satzes von gewünschten Stationsfunktionen und einen ersten Datenpfads zum Verbinden des Benutzerkarten-Mikroprozessors einer in den ersten Empfangsschlitz eingefügten Benutzer-Karte mit dem Masterkarten-Mikroprozessor einer in den zweiten Aufnahmeschlitz der Station eingefügten Master-Karte aufweist; und – die Benutzer-Karten und Master-Karten jeweilige gespeicherte, für gegenseitige Interaktionen betreibbare Programme zum Ausführen einer Wiederauffüllungstransaktion zwischen einer Benutzer-Karte und einer Master-Karte eingefügt in die Wiederauffüllungsstation aufweisen, wobei ein Kontowert von dem in der Master-Karte gehaltenen Kontosaldo debitiert wird und der Kontosaldo der Benutzer-Karte entsprechend kreditiert wird; dadurch gekennzeichnet, daß eine Master-Karte einer Supervisor-Karte zur Verwendung in einer jeweiligen der Vielzahl von Wiederauffüllungsstationen zugeordnet ist und verwendet wird, um eine Aufzeichnung von Wiederauffüllungstransaktionen, die zwischen der Master-Karte und einer Reihe von Benutzer-Karten durch die zugeordnete Wiederauffüllungsstation ausgeführt werden, zu halten; die Supervisor-Karte einen Mikroprozessor (172) und einen Speicher darin eingebaut hat und eine mit dem Mikroprozessor verbundene Datenausgabe-Einrichtung; jede Wiederauffüllungsstation einen dritten Aufnahmeschlitz (171) zur Einfügung der Supervisor-Karte (170) darin und einen zweiten Datenpfad zum Verbinden des Masterkarten-Mikroprozessors (162) einer in den zweiten Aufnahmeschlitz (161) eingefügten Master-Karte (160) mit dem Supervisorkarten-Mikroprozessor (172) der in den dritten Aufnahmeschlitz der Station eingefügten Supervisor-Karte aufweist; der Supervisorkarten-Mikroprozessor (172) und ein Speicher ein gespeichertes Programm zum Kommunizieren mit dem Masterkarten-Mikroprozessor (162) umfaßt, um die Master-Karte zu autorisieren, Wiederauffüllungstransaktionen mit Benutzer-Karten durch eine zugewiesene Wiederauffüllungsstation (20") auszuführen; und ein Transaktionshistoriendrucker vorgesehen ist und imstande ist, eine Benutzer-Karte oder eine Master-Karte darin aufzunehmen und eine gedruckte Transaktionshistorienaufzeichnung der in der Karte gespeicherten Kontentransaktionen zu produzieren.
Automatisiertes Transaktionssystem nach Anspruch 1, wobei die von dem Transaktionshistoriendrucker produzierte Transaktionshistorienaufzeichnung eine Aufzeichnung von mit einer Benutzerkarte ausgeführten Werttransaktionen und Wiederauffülltransaktionen ist.
Automatisiertes Transaktionssystem nach Anspruch 1, wobei die von dem Transaktionshistoriendrucker produzierte Transaktionshistorienaufzeichnung eine Aufzeichnung von Wiederauffülltransaktionen ist, die von einer Master-Karte mit einer Serie von Benutzer-Karten ausgeführt ist.
Automatisiertes Transaktionssystem nach Anspruch 1, wobei jeder Benutzer-Karten-Mikroprozessor (60) Aufzeichnungen einer Serie von ausgeführten Werttransaktionen in dem zugeordneten Speicher speichert und ein momentaner Kontensaldo für die Benutzer-Karte berechnet wird aus den gespeicherten Werttransaktionsaufzeichnungen.