<Desc/Clms Page number 1>
Die Erfindung bezieht sich auf eine Anordnung zum Überprüfen der Benutzungsberechtigung für durch Benutzerkennungen gesicherte Einrichtungen mit an je eine Eingabe- und Anzeigeeinheit angeschlossene Steuerstufen für die Einrichtungen und mit einem an die Steuerstufen angeschlos- senen zentralen Rechner zum Vergleichen der über die Eingabe- und Anzeigeeinheit eingegebe- nen Benutzerkennungen mit in einem Kennungsspeicher abgespeicherten, Benutzerdaten aus einem Benutzerdatenspeicher zuordenbaren Benutzerkennungen.
Um selbstbedienbare Einrichtungen, insbesondere zur Geld- oder Warenausgabe vor einer unbefugten Benutzung zu schützen, werden diese Einrichtungen durch Steuerstufen geschützt, die zur Freischaltung der Einrichtung der Eingabe einer vorausgehend vergebenen Benutzerkennung bedürfen. Übliche Benutzerkennungen in Form von Ziffercodes haben sich als nicht ausreichend sicher gegenüber einem Missbrauch erwiesen, so dass bereits vorgeschlagen wurde (DE 195 41 672 A1).biometrische Daten des berechtigten Benutzers für die Benutzerkennung heranzuziehen, wobei den Fingerabdrücken eine vorrangige Rolle zukommt.
Die über eine Bilder- fassungseinrichtung aufgenommenen Fingerabdrücke werden dabei in einer Auswerteschaltung zu einem Bitmuster verarbeitet, das mit in dieser Form abgespeicherten, archivierten Benutzerken- nungen verglichen wird, um bei einer Übereinstimmung des abgenommenen Fingerabdruckes mit einem archivierten Abdruck die jeweilige Einrichtung über die zugehörige Steuerstufe allenfalls in Abhängigkeit von weiteren Parametern freizuschalten.
Mit dem Vorsehen eines zentralen Rech- ners, der den Vergleich der im Bereich der einzelnen Einrichtungen eingegebenen Benutzerken- nungen mit den in einem Kennungsspeicher archivierten Benutzerkennungen durchführt und in Abhängigkeit vom Vergleichsergebnis die den einzelnen Einrichtungen zugehörigen Steuerstufen ansteuert, kann zwar die Berechtigungsüberprüfung vorteilhaft für alle angeschlossenen Einrich- tungen vom zentralen Rechner durchgeführt werden, doch muss in diesem zentralen Rechner zusätzlich eine Zuordnung der Benutzerkennungen zu den Benutzerdaten der Benutzer gegeben sein, damit die von den Benutzern im Bereich der einzelnen Einrichtungen in Anspruch genomme- nen Leistungen auch ordnungsgemäss an die Benutzer abgerechnet werden können, beispielswei- se über eine entsprechende Kontoführung.
Diese Verknüpfung der Benutzerdaten mit einer an sich vorteilhaften zentralen Berechtigungsüberprüfung für eine Mehrzahl von benutzbaren Einrichtun- gen bringt jedoch Schwierigkeiten hinsichtlich des Datenschutzes mit sich, insbesondere wenn die gemeinsame Berechtigungsüberprüfung von voneinander unabhängigen Betreibern der Einrichtun- gen benutzt werden soll.
Der Erfindung liegt somit die Aufgabe zugrunde, eine Vorrichtung zum Überprüfen der Benut- zungsberechtigung für durch Benutzerkennungen gesicherte Einrichtungen der eingangs geschil- derten Art so auszugestalten, dass eine Verknüpfung der einem Betreiber der zu benutzenden Einrichtungen notwendigerweise zur Verfügung zu stellenden Benutzerdaten eines Benutzers mit den für die Überprüfung vorgesehenen Benutzerkennungen über den zentralen Rechner ausge- schlossen werden kann.
Die Erfindung löst die gestellte Aufgabe dadurch, dass die Steuerstufen für die Einrichtungen zumindest gruppenweise an einem mit dem Benutzerdatenspeicher verbundenen, vom zentralen Rechner ansteuerbaren Steuerrechner angeschlossen sind, dem und dem zentralen Rechner eine Anmeldungseinrichtung für Benutzer mit Eingabestufen einerseits für die im Kennungsspeicher abzuspeichernden Benutzerkennungen und anderseits für die im Benutzerdatenspeicher abzuspei- chernden Benutzerdaten zugeordnet ist, dass die Anmeldungseinrichtung eine Indexausgabestufe für die eingegebenen Datensätze und wahlweise der zentrale Rechner oder der Steuerrechner eine Ausgabestufe für den Indexen zuordenbare,
in Schlüsselcodespeicher sowohl des zentralen Rechners als auch des Steuerrechners einlesbare Schlüsselcodes aufweisen und dass in Abhän- gigkeit vom Vergleich der über die Eingabe- und Anzeigeeinheit eingegebenen Benutzerkennun- gen mit den abgespeicherten Benutzerkennungen der der verglichenen Benutzerkennung zugehö- rige Schlüsselcode aus dem Schlüsselcodespeicher des zentralen Rechners in den Steuerrechner auslesbar ist.
Da zufolge dieser Massnahmen die Benutzerdaten, z.B. persönliche Daten der Benutzer, in einem vom zentralen Rechner unabhängigen Steuerrechner verwaltet werden, auf den der zentrale Rechner keine Zugriffsrechte hat, ist eine Verknüpfung der Benutzerkennungen mit den Benutzer- daten nicht mehr möglich, wenn dafür gesorgt ist, dass der Kennungsspeicher für die Benutzerken- nungen ausschliesslich dem zentralen Rechner und der Benutzerdatenspeicher ausschliesslich dem
<Desc/Clms Page number 2>
Steuerrechner zugeordnet werden. Zu diesem Zweck ist eine Anmeldungseinrichtung für Benutzer mit Eingabestufen einerseits für die im Kennungsspeicher abzuspeichernden Benutzerkennungen und anderseits für die im Benutzerdatenspeicher abzuspeichernden Benutzerdaten vorgesehen.
Damit trotz dieser Zugriffstrennung die Benutzung einer Einrichtung dem jeweiligen Benutzer zuge- schrieben werden kann, weist der zentrale Rechner jeder Benutzerkennung einen Schlüsselcode zu, der auch an den Steuerrechner weitergegeben wird, in dessen Bereich die Schlüsselcodes den
Benutzerdaten zugeordnet werden. Diese Zuordnungsmöglichkeit wird dadurch sichergestellt, dass die Anmeldungseinrichtung eine Indexausgabestufe für die eingegebenen Datensätze aufweist, so dass einerseits die im Zusammenhang mit der Eingabe der Benutzerkennung ausgegebenen Schlüsselcodes und anderseits die Benutzerdaten mit diesen Indexen versehen werden können, die dann im Bereich des Steuerrechners die Zuordnung der Schlüsselcodes zu den Benutzerdaten erlauben.
Obwohl die Vergabe der Schlüsselcodes durch den zentralen Rechner Vorteile mit sich bringt, kann diese Schlüsselcodeausgabe auch dem Steuerrechner zugeordnet werden, weil es ja nur darauf ankommt, beiden Rechnern die Schlüsselcodes mitzuteilen.
Im Falle der Benutzung einer Einrichtung wird die über deren Eingabe- und Anzeigeeinheit ein- gegebene Benutzerkennung mit den im Kennungsspeicher abgelegten, angemeldeten Benutzer- kennungen verglichen und bei einer Übereinstimmung der dieser angemeldeten Benutzerkennung zugeordnete Schlüsselcode aus dem Schlüsselcodespeicher des zentralen Rechners in den Steu- errechner ausgelesen.
Die Übermittlung eines Schlüsselcodes an den Steuerrechner bedeutet, dass über den zentralen Rechner festgestellt wurde, dass die im Bereich einer Einrichtung eingege- bene Benutzerkennung mit einer Benutzungsberechtigung verbunden ist, die über den zugeordne- ten Schlüsselcode identifiziert werden kann, allerdings nur im Bereich des Steuerrechners. Über den Steuerrechner kann dann die vom Benutzer ausgewählte Einrichtung allenfalls in Abhängigkeit zusätzlicher Parameter zur Benutzung freigegeben werden, indem die der ausgewählten Einrich- tung zugehörige Steuerstufe entsprechend angesteuert wird.
Dabei sind nicht nur die einzelnen wahlweise zu benutzenden Einrichtungen, sondern auch die aufeinanderfolgenden Benutzungen einer Einrichtung zu unterscheiden, um eine vollständige Dokumentation der Benutzungen zu erhalten. Zu diesem Zweck können die Steuerstufen für die Einrichtungen einen Codegeber für jede Einrichtungsbenutzung aufweisen. Diese Benutzungs- codes können sowohl an den zentralen Rechner als auch an den Steuerrechner ausgegeben werden, was im Bereich des Steuerrechners zu einer lückenlosen Dokumentation jeder Einrich- tungsbenutzung führt, weil in diesem Fall mit dem Schlüsselcode auch der Benutzungscode vom zentralen Rechner an den Steuerrechner weitergegeben werden kann.
Da über den zentralen Rechner eine Überprüfung der Benutzungsberechtigung durch den Ver- gleich der vom Benutzer eingegebenen mit den angemeldeten Benutzerkennungen möglich ist, und zwar ohne Kenntnis der den Benutzerkennungen zugehörigen Benutzerdaten, kann diese Überprüfungsmöglichkeit von voneinander unabhängigen Betreibern verschiedener Einrichtungen genutzt werden, ohne eine Zugriffsmöglichkeit auf die Daten der jeweils anderen Betreiber befürch- ten zu müssen. Es brauchen ja den Betreibern nur gesonderte Steuerrechner zur Verfügung ge- stellt zu werden, die mit den dem jeweiligen Betreiber zugehörigen Einrichtungen verbunden sind.
Das Vorsehen mehrerer Steuerrechner für zu Gruppen zusammengefasste Einrichtungen bedingt allerdings, dass den Steuerrechnern jeweils gesonderte Schlüsselcodes auch für den Fall gemein- samer Benutzer zugewiesen werden, so dass bei der Anmeldung eines neuen Benutzers durch einen Betreiber einer Gruppe von Einrichtungen zunächst überprüft werden muss, ob dieser Benut- zer nicht schon von einem anderen Betreiber angemeldet wurde. Ist dies der Fall, so ist der bereits angemeldeten und im Kennungsspeicher des zentralen Rechners abgelegten Benutzerkennung lediglich ein zusätzlicher Schlüsselcode zuzuordnen. Die Auswahl des jeweiligen Schlüsselcodes hängt dann von der Zuordnung der jeweils benutzten Einrichtung zu den einzelnen Steuerrechnern ab.
Ist eine Einrichtung an zwei oder mehrere Steuerrechner angeschlossen, so ist über die zuge- hörige Eingabe- und Anzeigeeinheit der dem jeweiligen Benutzer zugehörige Steuerrechner anzu- wählen.
In der Zeichnung ist der Erfindungsgegenstand näher dargestellt, und zwar wird eine Anord- nung zum Überprüfen der Benutzungsberechtigung für durch Benutzerkennungen gesicherte Einrichtungen in einem schematischen Blockschaltbild gezeigt.
Um die Berechtigung zur Benutzung von Einrichtungen 1 zu überwachen, hat der jeweilige
<Desc/Clms Page number 3>
Benutzer seine Berechtigung durch die Eingabe einer Benutzerkennung nachzuweisen. Zu diesem Zweck ist den in einer Gruppe A zusammengefassten Einrichtungen 1 eine Steuerstufe 2 mit einer Eingabe- und Anzeigeeinheit 3 zugeordnet. Die eingegebene Benutzerkennung, die sehr unter- schiedlich aufgebaut sein kann und beispielsweise biometrische Daten, wie Fingerabdrücke, um- fasst, wird allenfalls nach einer Auswertung in der Steuerstufe 2 einem zentralen Rechner 4 zuge- führt, mit dessen Hilfe die eingegebene Benutzerkennung mit in einem Kennungsspeicher 5 abge- speicherten Benutzerkennungen für berechtigte Benutzer verglichen wird.
Zum Unterschied zu bekannten Anordnungen dieser Art kommt dem zentralen Rechner 4 lediglich die Überprüfung der eingegebenen Benutzerkennung mit den abgespeicherten Benutzerkennungen berechtigter Benut- zer zu, während die Verwaltung der Benutzerdaten in einen unabhängigen Steuerrechner 6 ausge- lagert wird. Damit werden vorteilhafte Voraussetzungen dafür geschaffen, dem Betreiber der Einrichtungen 1 eine unabhängige Berechtigungsüberprüfung der Benutzer anzubieten, ohne die Benutzerdaten, beispielsweise Personalien, preisgeben zu müssen. Es ist vom zentralen Rechner 4 den Benutzerkennungen lediglich ein Schlüsselcode zuzuordnen, der in einem Schlüsselcode- speicher 7 sowohl des zentralen Rechners 4 als auch des Steuerrechners 6 abgespeichert wird.
Wird daher die Übereinstimmung der eingegebenen Benutzerkennung mit einer im Kennungsspei- cher 5 abgespeicherten Benutzerkennung festgestellt, so braucht lediglich der zugehörige Schlüs- selcode aus dem Schlüsselcodespeicher 7 des zentralen Rechners 4 in den Steuerrechner 6 ausgelesen zu werden, um über die in diesem Steuerrechner 6 abgespeicherte Zuordnung der einzelnen Schlüsselcodes zu den in einem Benutzerdatenspeicher 8 abgelegten Benutzerdaten den überprüften Benutzer einer Einrichtung 1 mit seinen Benutzerdaten zu verbinden. Da der Steuerrechner 6 mit den Steuerstufen 2 der Einrichtungen 1 verbunden ist, können für die Frei- schaltung der Einrichtungen 1 über die Steuerstufen 2 zusätzliche, von den Steuerrechnern 6 verwaltete Parameter zur Freischaltung der Einrichtungen 1 überprüft werden.
Solche Parameter können beispielsweise vom Stand eines über den Steuerrechner 6 belastbaren Benutzerkontos abhängig sein.
Zur vollständigen Dokumentation jeder Einrichtungsbenutzung durch einen Benutzungsberech- tigten sind nicht nur die einzelnen Einrichtungen 1, sondern auch die aufeinanderfolgenden Benut- zungen der Einrichtungen 1 voneinander zu unterscheiden. Zu diesem Zweck sind den Steuerstu- fen 2 der Einrichtungen 1 Codegeber 9 zugeordnet, deren Benutzungscodes diese Unterscheidun- gen zulassen. Über diese Benutzungscodes, die dem Schlüsselcode für die jeweils überprüfte Benutzerkennung durch die zentralen Rechner 4 zugeordnet wird, kann im Steuerrechner 6 jede Überprüfung eindeutig der jeweiligen Benutzung einer Einrichtung 1 zugeordnet werden.
Zur Anmeldung eines neuen Benutzers ist eine Anmeldungseinrichtung 10 vorgesehen, die eine Eingabestufe 11 für die Benutzerkennung und eine Eingabestufe 12 für die Benutzerdaten aufweist. Über die Eingabestufen 11 und 12 werden einerseits die Benutzerkennungen in den Kennungsspeicher 5 des zentralen Rechners 4 und anderseits die zugehörigen Benutzerdaten in den Benutzerdatenspeicher 8 des Steuerrechners 6 eingelesen. Da die Benutzerkennungen ge- trennt von den Benutzerdaten in voneinander unabhängigen Rechnern 4 und 6 gespeichert wer- den, bevor diesen Datensätzen ein gemeinsamer Schlüsselcode zugewiesen werden kann, ist die Anmeldungseinrichtung 10 mit einer Indexausgabestufe 13 versehen, anhand deren Indexes die Zuordnung eines neuen Schlüsselcodes zu den neu angemeldeten Benutzerdaten möglich wird.
Mit der Neuanmeldung eines Benutzers über die Anmeldungseinrichtung 10 wird eine Ausgabe- stufe 14 für Schlüsselcodes über den zentralen Rechner 4 angestossen, der einerseits den neu ausgegebenen Schlüsselcode der angemeldeten Benutzerkennung zuweist und anderseits diesen Schlüsselcode zusammen mit dem bei der Neuanmeldung vergebenen Index an den Steuerrech- ner 6 weiterleitet, so dass über den Index die Verknüpfung des Schlüsselcodes mit den neu ange- meldeten Benutzerdaten vorgenommen werden kann. Die Ausgabestufe 14 für Schlüsselcodes kann aber auch dem Steuerrechner 6 zugewiesen werden, was eine Weitergabe des Schlüssel- codes an den zentralen Rechner 4 bedingt.
Wie dem dargestellten Ausführungsbeispiel entnommen werden kann, kann die über den ge- meinsamen Rechner 4 mögliche Überprüfung der Benutzungsberechtigung eines Benutzers der Einrichtungen 1 nicht nur für eine Gruppe A von Einrichtungen 1, sondern auch für mehrere Ein- richtungsgruppen eingesetzt werden, wie dies für eine Gruppe B von Einrichtungen 15 gezeigt ist, die sich erheblich von den Einrichtungen 1 unterscheiden können, weil es ja lediglich um die
<Desc/Clms Page number 4>