DE69013544T2

DE69013544T2 - Einstellung einer entfernt aufgestellten Frankiermaschine für den Notfall.

Info

Publication number: DE69013544T2
Application number: DE69013544T
Authority: DE
Inventors: Charles Philipp Barker; John Gregory Haines; Tracy Floyd Slaughter
Original assignee: Neopost Technologies SA
Current assignee: Quadient Technologies France SA
Priority date: 1989-03-23
Filing date: 1990-03-19
Publication date: 1995-03-02
Anticipated expiration: 2010-03-20
Also published as: EP0388841B1; EP0388841A1; DE69013544D1; US5058025A

Description

Die vorliegende Erfindung bezieht sich allgemein auf Frankiermaschinen und insbesondere auf elektronische Frankiermaschinen, die aus der Ferne geladen werden können. Solche Frankiermaschinen sind bekannt, z.B. aus dem Patent US-A-4 097 923.
Mit dem Aufkommen von elektronischen Frankiermaschinen hat sich dem Kunden die Möglichkeit eröffnet, die Frankiermaschine mit Kreditbeträgen aus der Ferne zu laden. Diese Eigenschaft erlaubt es dem Kunden, den Kreditbetrag in die Maschine schneller und flexibler aus der Ferne zu laden. Umfangreiche Verfahren und Kontrollen werden eingesetzt, um sicherzustellen, daß der Kreditbetrag nur nach einer Genehmigung geladen wird. Beispielsweise muß der Kunde gewöhnlich einen langen Kode eingeben, der sich jedesmal ändert, wenn die Frankiermaschine aus der Ferne geladen wird. Es kann jedoch eine gewisse Zeit zwischen der Einleitung des Verfahrens für eine Fernladung durch den Kunden und dem Zeitpunkt verstreichen, an dem der Kunde den Kode für die Fernladung empfängt. Zusätzlich kann es vorkommen, daß der Kunde die Frankiermaschine nicht aus der Ferne laden kann aufgrund eines unzureichend gedeckten Kundenkontos.
Die vorliegende Erfindung schlägt eine Technik vor, mit der Frankierkreditbeträge aus der Ferne ohne den Fernladungskode sicher geladen werden können. Diese Technik ist in der Software der Maschine implementiert und im beiliegenden Anspruch definiert.
Figur 1 zeigt ein Blockdiagramm einer bevorzugten Frankiermaschine, die aus der Ferne geladen werden kann, ohne von ihrem Arbeitsplatz beim Kunden entfernt zu werden.
Figur 2a ist ein sehr allgemeines Flußdiagramm des Verfahrens, durch das in einem Notfall die Maschine manuell geladen werden kann ohne Verwendung des Fernladekodes, wobei später die Maschine wieder für neue Fernladeverfahren und Notladeverfahren bereinigt wird.
Figur 2b ist ein sehr allgemeines Flußdiagramm des Verfahrens, durch das der Rechner des Datenzentrums über den manuellen Ladevorgang informiert wird.
Figur 3 ist ein detailliertes Flußdiagramm des Verfahrens für den Postbeamten, um manuell die Frankiermaschine aufzuladen.
Figur 4 ist ein detailliertes Flußdiagramm des Verfahrens, mit dem der Kunde einen von der Frankiermaschine erzeugten Notanfragekode erhalten kann.
Figur 5 ist ein detailliertes Flußdiagramm des Verfahrens, mit dem der Kunde den Erhalt des Notanfragekodes dem Rechner des Datenzentrums bestätigen kann.
Figur 6 ist ein detailliertes Flußdiagramm des Verfahrens, mit dem der Kunde den Notfreigabekode in die Maschine eingeben kann.
Figur 1 ist ein Blockdiagramm einer bevorzugten Frankiermaschine 10, die aus der Ferne geladen werden kann, ohne von ihrem Arbeitsplatz beim Kunden entfernt zu werden. Die Frankiermaschine 10 besitzt einen Druckmechanismus 12, Buchungsregister und Kontrollelektronikschaltungen, die alle in einem gesicherten Gehäuse 13 untergebracht sind. Eine Tastatur 14 und ein Anzeigefeld 16 stellen die Schnittstellen zum Benutzer dar. Ein Verbinder 17 stellt einen elektrischen Anschluß an eine Postabfertigungsmaschine für die Kontrolle des Druckprozesses dar. Die Kontrollelektronikschaltungen enthalten einen Mikroprozessor 18, der die Funktion der Maschine kontrolliert, einschließlich der Grundfunktionen des Druckens und des Abrechnens der Frankierbeträge und ggf. einschließlich zusätzlicher Merkmale wie z.B. des getrennten Buchens je Kostenstelle und des Ladens aus der Ferne. Der Mikroprozessor ist mit einer Uhr 20, einem Festwertspeicher (ROM) 22, einem Arbeitsspeicher (RAM) 24 und einem batteriegestützten Speicher (BAM) 26 verbunden.
Der Festwertspeicher 22 wird hauptsächlich zur Speicherung von nicht flüchtiger Information wie z.B. den Programmen und den Daten-/Funktionstabellen verwendet, um den Mikroprozessor zu betreiben. Der Festwertspeicher kann nur in der Fabrik ausgetauscht werden. Der Arbeitsspeicher 24 wird für die vorübergehende Speicherung von Variablen und anderen Daten während des Betriebs der Maschine verwendet. Der batteriegestützte Speicher 26 wird hauptsächlich zur Speicherung von Buchungsinformationen verwendet, die erhalten bleiben müssen, wenn die Stromversorgung der Maschine ausgeschaltet ist. Der batteriegestützte Speicher wird auch zur Speicherung gewisser Flaggen oder anderer Informationen verwendet, die für den Betrieb des Mikroprozessor notwendig sind. Zu solchen Informationen gehören Daten zur Identifizierung der Maschine, wie z.B. die Seriennummer und das Datum der ersten Benutzung des batteriegestützten Speichers, sowie eine Anzahl von Parametern, die für die Konfiguration der Maschine aus der Ferne von Bedeutung sind.
Ehe eine Notfernladeprozedur durchgeführt werden kann, muß es möglich gewesen sein, die Maschine vorher aus der Ferne zu laden. Die Frankiermaschine kann aber erst aus der Ferne geladen werden, wenn sie beim Kunden aufgrund einer Installationsprozedur "installiert" worden ist (siehe Anhang A), die die Maschine, den Kunden und dessen Mietvertrag im Rechner des Datenzentrums miteinander verknüpft. Diese Verknüpfung kann ohne Gefahr aufgehoben werden durch eine Aufhebungsprozedur (siehe Anhang B) oder eine Austauschprozedur (siehe Anhang C).
Zwei Eingabenummern, die von der Maschine und dem Rechner des Datenzentrums verwendet werden, um verschlüsselte Kodes zu erzeugen, sind die Konfigurations-Identifiziernummer (CTID) und die Lade-Identifiziernummer (STID). Diese beiden Nummern sind für die Maschine spezifisch und hängen mit der Seriennummer der Maschine zusammen. Sie können auch nach jeder Verwendung inkrementiert werden. Die CTID-Nummer wird normalerweise für die Rekonfiguration der Frankiermaschinenfunktionen und für Notladeverfahren verwendet, während die STID-Nummer normalerweise für das Laden der Frankiermaschine aus der Ferne verwendet wird. Unterschiedliche Nummern werden für getrennte Verfahren verwendet, um die Sicherheit zu erhöhen und die durch die gegenseitige Abhängigkeit bedingte Komplexität zu verringern. Die Verschlüsselungsroutine wird weiter unten im einzelnen erläutert.
Figur 2a zeigt ein sehr allgemeines Flußdiagramm des Verfahrens, das erforderlich ist, um manuell im Notfall die Maschine ohne den Fernladekode laden zu können und dann die Maschine für spätere Fernladevorgänge und Notladevorgänge wieder zu bereinigen.
In einer ersten Stufe 30 trägt der Kunde die Frankiermaschine zum Postamt, wo der Postbeamte manuell einen Frankierkredit ohne den Fernladekode lädt. Diese erste Stufe führt dazu, daß die Maschine eine erste Flagge (Flagge A genannt) in der Maschine setzt. Die Maschine kann nun zum Freistempeln verwendet werden, kann aber aus der Ferne oder im Postamt manuell erneut erst in einer späteren Phase des Verfahrens wieder geladen werden. In einer zweiten Stufe 32 druckt der Kunde irgendeinen Frankierbetrag ungleich Null, um eine zweite Flagge (Flagge B genannt) in der Maschine zu setzen. Wie vorher kann die Maschine weiter zum Freistempeln verwendet werden, aber sie kann erst in einem späteren Stadium des Verfahrens aus der Ferne oder im Postamt manuell geladen werden. In einer dritten Stufe 34 kann der Kunde dann eine Notfallsbereinigungsprozedur durchführen, um dem Rechner des Datenzentrums über die im Postamt durchgeführte manuelle Ladeoperation zu informieren. Diese Stufe führt dazu, daß die Flagge A gelöscht wird, so daß die Maschine aus der Ferne geladen und zum Frankieren verwendet werden kann, aber nicht manuell im Postamt geladen werden kann. Aufgrund von Sicherheitsüberlegungen muß die Frankiermaschine mindestens einmal zwischen zwei manuellen Ladevorgängen aus der Ferne geladen werden. In einer vierten Stufe 36 führt der Kunde einen Ladevorgang aus der Ferne durch und bewirkt so das Löschen der Flagge B. Die Maschine kann nun wahlweise aus der Ferne oder manuell geladen werden.
Figur 2b zeigt ein allgemeines Flußdiagramm des Verfahrens, durch das der Rechner des Datenzentrums über den manuellen Ladevorgang informiert wird, wie dies in Stufe 34 von Figur 2a gezeigt ist. In der ersten Teilstufe 34a erhält der Kunde einen von der Maschine erzeugten Notanfragekode mitgeteilt. Dieser Notanfragekode ist im wesentlichen ein Paßwort für den Rechner des Datenzentrums und besteht aus einer Kombination von Faktoren, die nur der Rechner des Datenzentrums kennen kann. In einer zweiten Teilstufe 34b bestätigt der Kunde den Notanfragekode dem Rechner des Datenzentrums. Nach der Konfiguration durch den Rechner liefert dieser einen Notfreigabekode an den Kunden zurück. Der Notfreigabekode ist im wesentlichen ein Paßwort für den Rechner des Datenzentrums an die Frankiermaschine, das angibt, daß die Maschine aus der Ferne mit dem Notladebetrag geladen werden kann. In einem dritten Teilschritt 34c gibt der Kunde den Notfreigabekode in die Maschine ein. Die Maschine bestätigt den Notfreigabekode anhand eines intern erzeugten Notfreigabekodes und löscht damit die Flagge A.
Figur 3 ist ein detailliertes Flußdiagramm der Stufe 30 aus Figur 2a. Manche Frankiermaschinen haben sehr wirkungsvolle Anzeigefelder und erlauben einen Dialog mit dem Benutzer. Daher können einige Frankiermaschinen den Benutzer zur Durchführung irgendeines der nachfolgend beschrieben Schritte auffordern, wenn die Maschine bestimmte Informationen braucht, um zum nächsten Schritt fortzuschreiten.
In einem ersten Schritt 40 trägt der Kunde die Frankiermaschine zum Postamt, wo der Postbeamte die Maschine durch Drücken bestimmter Tasten in einer bestimmten Reihenfolge in den Amtsmodus setzt. Dies verhindert, daß Kunden oder andere nicht autorisierte Personen versehentlich den Amtsmodus ansteuern. Dann geht die Maschine in den Amtsmodus über, indem ein im batteriegestützten Speicher liegendes Register gesetzt wird (Schritt 42). Dies verhindert, daß die Maschine zum Freistempeln verwendet wird, während diese Prozedur abläuft.
Die Frankiermaschine prüft dann, ob eine Flagge B bereits gesetzt ist. Aufgrund eines Sicherheitserfordernisses soll nur eine manuelle Ladeprozedur zwischen zwei Fernladeprozeduren möglich sein. Daher wird die Flagge B jeweils bei Vollendung einer manuellen Ladeprozedur und nach einer Frankierung mit einem Frankierwert ungleich Null gesetzt und erst gelöscht, wenn eine Notbereinigungsprozedur und eine Fernladeprozedur durchgeführt wurden. Ist die Flagge B gesetzt, dann zeigt die Frankiermaschine dem Postbeamten eine Fehlernachricht (Schritt 46) und beendet dann den Amtsmodus (Schritt 48).
Ist die Flagge B nicht gesetzt, dann meldet die Maschine dem Postbeamten, daß die Maschine eine normalerweise aus der Ferne zu ladende Maschine ist und daß diese Prozedur eine Notladeprozedur ist (Schritt 50). Hätte es sich bei der Maschine nicht um eine aus der Ferne zu ladende Maschine gehandelt, dann befände sich die Maschine in einem üblichen manuellen Lademodus. Nach dieser Meldung führt der Postbeamte ein manuelles Ladeverfahren durch (Schritt 52). Das manuelle Ladeverfahren schließt die Eingabe eines Kreditbetrags (der unter den vorliegenden Bedingungen ein Notladebetrag wäre) und die Verwendung eines amtlichen Schlüssels ein, wodurch die Maschine in die Lage versetzt wird, den geladenen Frankierbetrag zu verbrauchen. Der Kunde erhält dann ein Formular 3603 vom Postbeamten als Empfangsbestätigung. Die Maschine setzt dann die Flagge A, was bedeutet, daß die Maschine betriebsbereit ist und von Hand im Postamt geladen wurde. Dann verläßt die Maschine den Amtsmodus, indem das Modusregister entsprechend gesetzt wird (Schritt 56). Die Maschine kann nun zum Freistempeln verwendet werden. Später kann die Maschine zum Postamt zurückgebracht werden, um den Notladebetrag durch Wiederholung der obigen Prozedur zu verändern, ehe irgendeine Freistempelung mit einem Frankierwert ungleich Null stattgefunden hat.
Figur 4 zeigt ein detailliertes Flußdiagramm der Teilstufe 34A aus Figur 2b.
In einem ersten Schritt 60 bringt der Kunde die Maschine in den Fernlademodus, indem eine bestimmte Folge von Tasten gedrückt wird. Dies verhindert, daß der Kunde versehentlich in den Fernlademodus gelangt. Nach Eingabe der Tastenfolge gelangt die Maschine in den Fernlademodus, indem das Modusregister im batteriegestützten Speicher entsprechend gesetzt wird (Schritt 62). Dies verhindert, daß die Maschine zum Freistempeln verwendet wird, während sie gerade aus der Ferne geladen wird.
In Schritt 64 überprüft die Maschine, ob die Flagge A bereits gesetzt ist (was bedeutet, daß seit der letzten Fernladeprozedur keine Notbereinigungsprozedur durchgeführt worden ist). Wenn die Flagge A nicht gesetzt ist, dann erlaubt die Maschine dem Kunden die Durchführung der normalen Fernladeprozedur (Schritt 66), wodurch die Flagge B gelöscht würde, wie in Stufe 36 von Figur 2a angegeben.
Ist die Flagge A gesetzt, dann überprüft die Maschine im Schritt 68, ob die Flagge B gesetzt ist (was bedeutet, daß der Postbeamte manuell die Maschine geladen hat und daß die Maschine einen Freistempel eines Werts ungleich Null gedruckt hat. Ist die Flagge B nicht gesetzt, dann wird dem Kunden gemeldet, daß eine Freistempelung eines Werts ungleich Null erforderlich ist, worauf die Maschine diesen Modus verläßt (Schritt 70).
Ist die Flagge B gesetzt, dann zeigt die Maschine eine im späteren Verlauf des Verfahrens erforderliche Information an (Schritt 72). Dies umfaßt den Betrag des ansteigenden und des abfallenden Registers, den Notladebetrag und den Notanfragekode. Das ansteigende Register enthält den Betrag, den die Maschine seit der Inbetriebnahme verbraucht hat. Das abfallende Register enthält den Betrag, den die Maschine derzeit noch zum Frankieren verbrauchen kann. Die Maschine erzeugt dann einen Notanfragekode und zeigt diesen an (Schritt 74). Der Notanfragekode ist ein von der Maschine erzeugter Kode, der zum Teil auf dem Betrag des ansteigenden Registers und der STID-Nummer beruht. Der Verschlüsselungsprozeß wird weiter unten im einzelnen erläutert.
Figur 5 zeigt ein detailliertes Flußdiagramm der Teilstufe 34b aus Figur 2b. Der Kunde stellt eine Verbindung mit dem Rechner des Datenzentrums über eine normale Telefonleitung her. Der Kunde kann mit dem Rechner des Datenzentrums über ein Tastentelefon durch Drücken der Tasten verkehren. Als Alternative kann man eine Telefonanlage verwenden, die eine Benutzer- oder Maschinenschnittstelle und ein Modem besitzt, oder der Verkehr kann über Spracherkennung über das Telefon erfolgen.
Der Kunde gibt zuerst einen Anfragekode (der beschreibt, daß der Kunde eine Notbereinigungsprozedur für die Maschine durchführen will) und ein Paßwort für den Rechner ein (Schritt 80).
Der Kunde gibt die Seriennummer der Maschine ein, die er auf der Außenseite der Maschine ablesen kann. Der Kunde gibt dann die Kundenkontonummer, den Betrag des ansteigenden Registers, den Betrag für das manuelle Laden und den Betrag des abfallenden Registers ein, wobei einige diese Informationen vorher erhalten und notiert worden sind (Schritt 82).
Der Kunde gibt dann den Notanfragekode für die Maschine ein (Schritt 84). Aus obiger Information kann der Rechner also einen Notanfragekode (Schritt 86) erzeugen Der Rechner überprüft dann, ob sein Notanfragekode mit dem von der Maschine erzeugten Notanfragekode übereinstimmt (Schritt 88). Im negativen Fall überprüft der Rechner Notanfragekodes, die von früheren STID-Nummern abhängen. Dies ermöglicht es dem Rechner, zu überprüfen, wieviele Fernladevorgänge fehlen. Wenn die Kodes immer noch nicht übereinstimmen, hat der Kunde falsche Nummern eingegeben oder ein anderer Fehler ist aufgetreten. Wenn die Kodes nicht übereinstimmen, dann wird dies dem Kunden gemeldet (Schritt 90) und er muß die obigen Schritte von der Eingabe der Seriennummer der Maschine (Schritt 82) beginnend wiederholen oder der Vorgang beenden. Der Rechner überprüft dann die anderen Informationen, die vom Kunden eingegeben wurden, um zu sehen, ob sie mit den bereits im Rechner gespeicherten Informationen übereinstimmen (Schritt 92). Stimmt die Information nicht überein, dann ist ein Fehler aufgetreten, so daß der Kunde wie oben informiert wird (Schritt 90).
Wenn die beiden Kodes übereinstimmen und die übrige Information stimmt, dann erzeugt der Rechner einen verschlüsselten Notfreigabekode unter Verwendung der CTID-Nummer und der Seriennummer der Maschine (Schritt 94). Der Verschlüsselungsprozeß wird genauer weiter unten erläutert. Der Rechner des Datenzentrums inkrementiert dann die CTID-Nummer im Rechner (Schritt 96).
Der Rechner meldet dann dem Kunden den verschlüsselten Notfreigabekode zusammen mit einer Aufforderung, das Formular 3603 an die Frankiermaschinenverwaltung einzusenden, damit die Transaktion des Kunden genehmigt wird.
Figur 6 zeigt ein detailliertes Flußdiagramm der Teilstufe 34c aus Figur 2b. Der Kunde gibt den vom Rechner erzeugten Notfreigabekode in die Maschine ein (Schritt 100). Die Maschine erzeugt dann ihren eigenen Notfreigabekode (Schritt 102) und vergleicht diesen Kode mit dem eingegebenen Notfreigabekode (Schritt 104). Stimmen die Kodes nicht überein, dann wird dies dem Kunden gemeldet (Schritt 106). Der Kunde kann den vom Rechner erzeugten Kode erneut eingeben oder einen Bediensteten der Frankiermaschinenverwaltungsgesellschaft zu Hilfe rufen. Wenn die Konfigurationsfreigabekodes übereinstimmen, weiß die Maschine, daß sie Fernladeprozeduren durchführen und die Flagge B löschen darf.

Verschlüsselungstechnik

Um die obige Prozedur sicher durchzuführen und gewisse Daten zu bestätigen, werden der Notanfragekode und der Notfreigabekode von einer Verschlüsselungsroutine erzeugt, die sowohl im Festwertspeicher der Maschine als auch im Rechner des Datenzentrums gespeichert ist. Die Verschlüsselungsroutine ist ein nicht-linearer Algorithmus, der eine Zahl erzeugt, die offensichtlich für eine nicht eingeweihte Person zufällig ist. Diese Verschlüsselungsroutine wird durch ein Verschlüsselungsprogramm in Kombination mit einer permanenten Verschlüsselungstabelle durchgeführt. In der bevorzugten Ausführungsform verwendet die Verschlüsselungsroutine ein aus 16 Ziffern (oder 64 Bits) bestehendes Schlüsselwort und eine Eingabezahl aus 16 Ziffern.
Der Notanfragekode wird von der Verschlüsselungsroutine aufgrund der STID-Nummer als Schlüsselwort und dem Betrag des ansteigenden Registers als Eingangszahl durchgeführt. Der Konfigurationsfreigabekode wird von der Verschlüsselungsroutine aufgrund der CTID-Nummer als Schlüsselwort und der Seriennummer der Maschine als Eingangszahl durchgeführt.
Die CTID-Nummer und STID-Nummer sind Nummern aus 16 Ziffern, die im batteriegestützten Speicher enthalten sind. Der Ursprungswert der CTID-Nummer und der STID-Nummer ergibt sich aufgrund eines Algorithmus bei der Indienststellung des batteriegestützten Speichers in Verbindung mit der Seriennummer der Maschine. Das Datum der Inbetriebnahme des batteriegestützten Speichers wird verwendet, damit nicht bei jeder neuen Inbetriebnahme der Maschine die gleiche CTID-Nummer bzw. STID- Nummer verwendet wird. Der Algorithmus ist aus Sicherheitsgründen nicht in der Maschine gespeichert. Die Anfangswerte der Nummern CTID und STID werden während der Inbetriebnahmeprozedur beim Hersteller in den batteriegestützten Speicher eingetragen. Sobald der Rechner über eine manuelle Ladeprozedur informiert wurde, wird die CTID-Nummer über einen nichtlinearen Algorithmus in der Maschine und im Rechner inkrementiert.
Die von der Verschlüsselungsroutine erzeugten Kodes umfassen 16 Ziffern. Die geringstwertigen Ziffern des Kodes werden dann dem Postbeamten von der Maschine oder dem Rechner des Datenzentrums mitgeteilt. Die Anzahl der geringstwertigen Ziffern, die mitgeteilt werden, wird durch den HSL-Wert bestimmt (siehe Anhang D für weitere Einzelheiten).

Zusammenfassung

Die vorliegende Erfindung bietet also eine sichere und wirksame Technik, um im Notfall eine Frankiermaschine durch den Kunden aus der Ferne laden zu können.
Wenngleich die obige Beschreibung eine vollständige Beschreibung bestimmter Ausführungsformen der Erfindung ist, können Veränderungen, alternative Konstruktionen und Äquivalente verwendet werden. Beispielsweise kann die Elektronik der konfigurierbaren Frankiermaschine anders strukturiert sein. Weiter kann anstelle der Tonsignale des Telefons eine direkte Verbindung über Modem verwendet werden. Außerdem könnte die Verschlüsselungsroutine andere die Maschine identifizierende Informationen zur Erzeugung des Notanfrage- und Freigabekodes wie z.B. die CTID-Nummer oder die STID-Nummer in beiden Kodes verwenden. Beispielsweise kann das Schlüsselwort, das zur Erzeugung des Anfragekodes verwendet wird, von einem Stückzähler der Frankiermaschine gebildet werden. Andere Sicherheitsmaßnahmen können verwirklicht werden, wie beispielsweise eine periodische Inspektion der Maschine.
Daher dürfen die obige Beschreibung und die Zeichnung nicht als den Rahmen der vorliegenden Erfindung einschränkend verstanden werden, sondern diese Erfindung ist vielmehr durch den beiliegenden Anspruch definiert.

ANHANG A

INSTALLATIONSPROZEDUR

Diese Prozedur wird von einem Beamten bei der Installierung einer aus der Ferne zu ladenden Frankiermaschine beim Kunde durchgeführt.
Vor dieser Prozedur muß die Maschine zumindest einmal seit ihrer Inbetriebnahme rekonfiguriert worden sein (siehe die parallele Patentanmeldung "REMOTE METER CONFIGURATION", EP-A-0 388 839), um eine erste Verknüpfung zwischen der Maschine und dem Rechner des Datenzentrums herzustellen. Zusätzlich muß die Maschine so konfiguriert sein, daß sie aus der Ferne geladen werden kann. Weiter kann die Maschine nicht vor ihrer Installierung zum Frankieren verwendet werden.
Diese Prozedur bildet eine zweite Verknüpfung zwischen der Maschine, dem Kunden und einem Mietvertrag im Rechner des Datenzentrums für Buchungs-, Abrechnungs- und Sicherheitszwekke. Diese Prozedur sichert auch, daß die Maschine im Postamt registriert wird.

Die Maschine im Postamt

Nach der Rekonfiguration der Maschine bringt der Beamte oder der Kunde die Maschine ins Postamt zur Registrierung. Nach der Registrierung steckt der Postbeamte einen spezielllen Schlüssel in die Seite der Maschine, damit sie installiert werden kann.

Der Beamte am Einsatzort der Maschine

Wenn der Beamte mit der zu installierenden und im Postamt registrierten Maschine beim Kunden ankommt, drückt der Beamte eine bestimmte Tastenfolge, um die Maschine in den Installationsmodus zu bringen. Die Maschine zeigt dann nacheinander verschiedene Nummern an, die der Beamte für spätere Schritte dieser Prozedur notieren soll. Zuerst zeigt die Maschine den in zwei der Buchungsregister, nämlich dem abfallenden Register und dem Kontrollregister gespeicherten Betrag an. Das abfallende Register enthält den Frankierbetrag, der in der Maschine derzeit für Frankierzwecke zur Verfügung steht. Das ansteigende Register enthält den Frankiergesamtbetrag mit dem die Maschine geladen wurde, seit sie die Fabrik verlassen hat. Das Kontrollregister enthält die Summe der Beträge des abfallenden und des ansteigenden Registers. Die Maschine zeigt dann einen Installationsregistrierkode IRC an. Dieser Kode ist auch eine verschlüsselte Zahl, die von spezifischen Maschinendaten abhängt und die STID-Nummer enthalten kann. Dann fordert die Maschine einen verschlüsselten Installationseinstellkode ISC, der von der STID-Nummer abhängt.

Beamter in Verbindung mit dem Rechner des Datenzentrums

Der Beamte stellt dann einen Kontakt mit dem Rechner des Datenzentrums her und gibt einen üblichen Installationsanfragekode ein und meldet dabei dem Rechner, daß der Beamte gerade eine Installationsprozedur durchführt. Dann gibt der Beamte seine eigene Nummer, seinen Genehmigungskode, die Nummer des Mietvertrags des Kunden für die Maschine, die Seriennummer der zu installierenden Maschine und andere ähnliche Zahlen ein. Der Rechner überprüft die Gültigkeit der Seriennummer. Ist die Seriennummer ungültig, dann muß der Beamte die Seriennummer überprüfen und erneut eingeben oder die Transaktion beenden.
Ist die Seriennummer gültig, dann gibt der Beamte den Betrag des abfallenden Registers, den Betrag des Kontrollregisters und den Installationseinstellkode IRC ein. Dann erzeugt der Rechner intern den IRC und vergleicht ihn mit dem in der Maschine erzeugten Wert. Stimmen diese Kodes aus irgendeinem Grund nicht überein, dann muß der Beamte das obige Verfahren ab der Eingabe der Seriennummer der zu installierenden Maschine wiederholen.
Der Rechner des Datenzentrums erzeugt und meldet den von der Maschine angeforderten Installationseinstellkode ISC und inkrementiert die STID-Nummer. Dann markiert der Rechner intern, daß die Maschine beim Kunden installiert worden ist.

Der Beamte an der Maschine

Der Beamte kehrt zur Maschine zurück und gibt den vom Rechner erzeugten Kode ISC ein. Die Maschine erzeugt dann intern einen ISC-Kode und vergleicht ihn mit dem eingegebenen Installationskode. Wenn die Kodes nicht identisch sind, dann akzeptiert die Maschine den Kode nicht. Der Beamte kann dann erneut den laufenden ISC-Kode vom Rechner des Datenzentrums abfragen. Die Anzahl der Versuche ist nicht beschränkt. Gleichen sich die Kodes, dann inkrementiert die Maschine die STID- Nummer und setzt die Installationsflagge im batteriegestützten Speicher, wodurch die Maschine in die Lage versetzt wird, aus der Ferne geladen zu werden und Frankierungen durchzuführen.

ANHANG B

RÜCKNAHMEPROZEDUR

Diese Prozedur wird von einem Beamten durchgeführt, wenn eine aus der Ferne zu ladende Frankiermaschine von einem Kunden eingezogen wird. Diese Prozedur löscht die zweite Verknüpfung zwischen der Frankiermaschine, dem Kunden und dem Mietvertrag im Rechner des Datenzentrums. Zusätzlich verhindert diese Prozedur, daß die Maschine aus der Ferne geladen wird. Weiter ermöglicht diese Prozedur, daß die Maschine erneut konfiguriert wird, um den festgelegten Ladebetrag zu ändern oder die Maschine in eine Maschine ohne die Möglichkeit der Fernladung umzuwandeln, oder daß die Maschine an einem anderen Einsatzpunkt installiert oder zur Fabrik zurückgegeben wird.

Der Beamte in Verbindung mit dem Rechner des Datenzentrums

Der Beamte setzt sich mit dem Rechner des Datenzentrums in Verbindung und gibt einen üblichen Rücknahmeanfragekode ein, wobei er dem Rechner meldet, daß der Beamte gerade bei einer Rücknahmeprozedur ist. Dann gibt der Beamte seine Nummer, seinen Zulassungskode und die Seriennummer der Maschine und andere Daten der zurückzunehmenden Maschine ein. Der Rechner des Datenzentrums überprüft die Gültigkeit der Seriennummer. Ist diese ungültig, dann muß der Beamte sie überprüfen und nochmals eingeben. Ist die Seriennummer immer noch ungültig, dann ist die Maschine nicht richtig im zentralen Rechner registriert und der Beamte muß mit der Fabrik wegen weiterer Instruktionen Verbindung aufnehmen.
Ist die Seriennummer gültig, dann gibt der Beamte einen Kode für den Grund ein. Dieser Kode ist ein alphanumerischer Wert, der den Grund angibt, warum die Maschine zurückgenommen wird. Der Rechner des Datenzentrums erzeugt dann intern einen verschlüsselten Rücknahmeeinstellkode WSC. Der Rechner des Datenzentrums markiert dann die Frankiermaschine als zurückgenommen und inkrementiert die STID-Nummer der Maschine.

Der Beamte in Verbindung mit der Maschine

Funktioniert die Maschine nicht richtig, dann bringt der Beamte sie zur Fabrik. Wenn die Maschine richtig funktioniert, dann drückt der Beamte eine ausgewählte Tastenfolge, um die Maschine in einen Rücknahmemodus zu bringen. Dann gibt der Beamte den vom Rechner erzeugten Kode WSC in die Maschine ein. Nun erzeugt die Maschine intern den WSC und vergleicht ihn mit dem vom Rechner erzeugten Kode WSC. Entsprechen sich die Kodes nicht, dann meldet die Maschine einen Fehler und der Beamte gibt erneut den im Rechner erzeugten Kode WSC ein. Die Anzahl der Versuche ist nicht beschränkt. Wenn die Kodes gleich sind, inkrementiert die Maschine die STID-Nummer und löscht die Installationsflagge im batteriegestützten Speicher.

Maschine im Postamt

Nach der Rücknahme der Maschine bringt der Beamte oder der Kunde die Maschine zum Postamt, um die vorher in der Installationsprozedur durchgeführte Registrierung zu beenden (siehe Anhang A). Ist die Registrierung beendet, dann steckt der Postbeamte einen speziellen Schlüssel in die Seite der Maschine und vollendet damit die Rücknahmeprozedur.

ANHANG C

AUSTAUSCHPROZEDUR

Diese Prozedur wird durchgeführt von einem Beamten, wenn er beim Kunden eine Frankiermaschine gegen eine andere austauscht. Diese Prozedur ist einfach eine Kombination der Rücknahme der alten Maschine und der Installation der neuen Maschine beim Kunden. Alle Schritte für die Maschinen sind dieselben wie in der Installations- und Rücknahmeprozedur (siehe Anhänge A und B), ausgenommen die Tatsache, daß der Beamte die Prozeduren im Rahmen einer einzigen Nachrichtenverbindung mit dem Rechner durchführen kann.

ANHANG D

SICHERHEITSKODES MIT VARIABLER LÄNGE

Man verwendet einen Algorithmus zur Erzeugung eines offensichtlich zufälligen Kodes mit vielen Ziffern. Jedoch brauchen nur ausgewählte Ziffern (im allgemeinen die niedrigerwertigen Ziffern) dieses Kodes in den meisten Anwendungen verwendet zu werden. Die Anzahl der erforderlichen Ziffern hängt vom dem gewünschten Sicherheitsgrad ab. Es ist günstig, so wenig Ziffern wie möglich zu verwenden, um die Anzahl der Tasten, die betätigt werden müssen, zu verringern, wodurch die Eingabe erleichtert und die Fehlergefahr verringert wird.
Im Ergebnis wurde eine Variable erzeugt, die den generellen Sicherheitsgrad definiert, der in der Maschine oder dem Rechner des Datenzentrums gefordert wird. Diese Variable wird HSL-Wert genannt (aus dem Englischen high security length - Sicherheitslänge).
Jeder von der Maschine oder dem Rechner des Datenzentrums erzeugte Kode besitzt eine variable Ziffernanzahl abhängig vom dem HSL-Wert. Wenn der HSL-Wert 1 ist, dann soll der Notanfragekode sechs Ziffern haben. Ist der HSL-Wert höher, dann sollte der Notanfragekode länger sein. Andere Kodes können unterschiedliche Längen für einen gegebenen HSL-Wert haben, aber jeder Kode nimmt in seiner Länge zu oder ab, wenn der HSL-Wert zunimmt oder abnimmt.
Diese vorgegebene Beziehung zwischen der Kodelänge und dem HSL-Wert erlaubt dem Hersteller, die Sicherheit für die Maschine zu erhöhen oder zu verringern, ohne jede Maschine zurückrufen und initialisieren zu müssen. Änderungen des HSL- Werts werden der Maschine mitgeteilt, wenn eine Maschinenkonfiguration aus der Ferne erfolgt (siehe die parallele Anmeldung "Remote Meter Configuration" - EP-A-0 388 839).
In einer alternativen Ausführungsform können Variable für mehrere Sicherheitsgrade verwendet werden, um die Länge einzelner Kodes oder Gruppen von Kodes zu verändern, ohne die Länge der verbleibenden Kodes zu berühren.

Claims

1. Verfahren zum manuellen Laden einer elektronischen, aus der Ferne zu ladenden Frankiermaschine (1), wobei die Maschine in Speichern (22, 24) gespeichert einen Frankierbetrag, eine Flagge (A) und die Maschine identifizierende Daten enthält und entfernt von einem Rechner eines Datenzentrums eingesetzt ist, sowie einen ersten Betriebsmodus zum Frankieren, wenn der Frankierbetrag größer als Null ist, einen zweiten Betriebsmodus zum manuellen Laden des Frankierbetrags und einen dritten Betriebsmodus zur Mitteilung des manuellen Ladevorgangs an den Rechner des Datenzentrums besitzt, wobei das Verfahren die folgenden Schritte enthält:

a) die Maschine (1) gelangt in den zweiten Modus, wenn die Flagge (A) gelöscht ist,

b) ein manueller Ladebetrag (52) wird in die Maschine (1) eingegeben, wodurch der Frankierbetrag um den manuellen Ladebetrag erhöht wird und die Flagge (A) gesetzt wird (54),

c) die Maschine wird in den dritten Betriebsmodus gebracht, wenn die Flagge gesetzt ist (56),

d) ein im Rechner erzeugter Notanfragekode, der von den Identifikationsdaten abhängt, wird in der Maschine berechnet (74),

e) eine Verbindung mit dem Rechner des Datenzentrums wird hergestellt,

f) in den Rechner des Datenzentrums werden die Identifikationsdaten und der manuelle Ladebetrag eingegeben (82),

g) im Rechner des Datenzentrums wird ein vom Rechner erzeugter Notfreigabekode berechnet, der von den Identifikationsdaten abhängt (94),

h) der im Rechner erzeugte Notfreigabekode wird in die Maschine eingegeben (100),

i) der in der Maschine erzeugte und der im Rechner erzeugte Notfreigabekode werden in der Maschine miteinander verglichen,

j) die Flagge (A) wird gelöscht, wenn die Kodes gleich sind (112).