CN103907142B - 更新自动银行业务机的子系统的配置数据的系统和方法 - Google Patents

Abstract

一种用于更新至少一个自动银行业务机中的配置数据的计算机执行方法被配置为执行由计算机可读介质包含的配置更新步骤。该步骤包括：识别在所述自动银行业务机内实施的一个或多个子系统；接收对至少一个所识别的子系统的配置数据的更新；基于所述自动银行业务机的子系统的当前实施来产生还原点；以及在所述自动银行业务机中安装所述配置数据。所识别的子系统可以包括滚动储存模块、纸币处理模块控制器、纸币检测器模块和接口控制器中的至少两个。

Description

更新自动银行业务机的子系统的配置数据的系统和方法

技术领域

本发明涉及一种自动银行业务机。具体地，本发明涉及一种能够用于银行业务网络的自动银行业务机设备、方法和系统。

背景技术

自动银行业务机已为我们所熟知。通常在银行中看到的自动银行业务机的两种已知的示例为柜员现金循环出钞机（TCR）和柜员现金出钞机（TCD）。TCR可被用于在银行柜员的监督下存放或发放纸币（note）给银行客户。TCD可以仅在银行柜员的监督下将纸币发放给客户。客户使用的另一种类型的自动银行业务机是自动柜员机（“ATM”）。ATM使客户能够在没有柜员的任何协助下进行银行业务交易。可以通过ATM进行的常见银行业务交易包括发放现金、存款、账户间的转账、汇票付款和账户余额查询。其它类型的自动银行业务机可以允许客户借记（charge against）账户或转移资金。其它类型的自动银行业务机可以打印或发放诸如优惠券（coupon）或代金券之类的有价单据。为了本公开内容的目的，自动银行业务机或自动交易机应包含进行包括价值转换（transfer of value）等交易的任意设备。

自动银行业务机以及自动银行业务机的子系统、部件等典型地基于安装的软件所包含的指令来执行大量功能。安装的软件不仅与系统的部件进行交互，而且还与自动银行业务机内的其它系统的部件以及自动银行业务机外部的系统和部件进行交互。

需要定期地更新或者完全更换自动银行业务机所安装的软件。所更换的软件可以旨在更换整个自动银行业务机的软件、自动银行业务机的特定子系统的软件和/或现有软件内的特定程序。更新可以根据技术改变、银行规章制度的演变、安全标准的改变等来驱动。

以前，软件工程师在执行更新时将自动银行业务机和/或子系统的新软件进行完全覆盖。进而，软件工程师和/或自动银行业务机不在存储器内保留所安装的旧版本软件的拷贝。例如，当安装了错误版本的软件时，当新安装的软件被证实也与自动银行业务机和/或其子系统的定制、或者与跟自动银行业务机进行通信的其他系统不兼容时，当新安装的软件引入预料不到的错误时等等，时常会产生问题。软件工程师没有办法不付出大量努力而后退到先前安装的版本来使自动银行业务机工作。实际上，在延长的时间段内，这些问题会使自动银行业务机失效。

发明内容

在一个方案中，计算机适于接收自动银行业务机配置数据，且存储器被提供用于存储已成功安装的所述自动银行业务机配置数据的至少一部分以能够在后续安装尝试失败时回退到还原点。

本发明的一个示例性实施例包括用于更新至少一个自动银行业务机中的配置数据的计算机执行方法，所述自动银行业务机被配置为执行由计算机可读介质包含的配置更新步骤。所述方法包括：识别在所述自动银行业务机内实施的一个或多个子系统；接收对至少一个所识别的子系统的配置数据的更新；基于所述自动银行业务机的子系统的当前实施来产生还原点；以及在所述自动银行业务机中安装所述配置数据。所识别的子系统可以包括滚动储存模块、纸币处理模块控制器、纸币检测器模块和接口控制器中的至少两个。

在另一实施例中，对配置数据的更新包括描述对所述配置数据的更新的元数据以及配置为修改所述一个或多个子系统的操作的配置元素，和/或对于每个所识别的子系统，所述配置数据仅包括一个配置元素。

所述元数据可以包括：明确识别所述配置数据的UUID、用于强制执行封包认证和完整性的插入加密签章、用于追溯目的的版本id以及提供封包内容的概述的解释文本。

在另一实施例中，该方法还包括基于所述配置数据的安装来检测一个或多个有效校验的失败，以及基于所述还原点重新配置一个或多个所识别的子系统的操作。

本发明的另一个实施例包括自动银行业务机，包括：多个子系统，实施在所述自动银行业务机内，被配置为基于存储在存储器中的配置数据来实施一个或多个功能。该自动银行业务机还包括接口控制器，被配置为执行以下步骤：接收一个或多个配置数据更新；确定所述一个或多个配置数据更新对所述多个子系统的适用性；基于所述自动银行业务机的多个子系统中的一个或多个子系统的配置数据的当前实施来产生还原点；以及在所述自动银行业务机中安装所述配置数据。

根据以下详细说明和附图，本发明的其它特征和优点对于本领域技术人员而言将是清楚的。但应理解的是，尽管详细说明和特定实例示出了本发明的示例性实施例，但其通过示例性方式给出而非具有限制性。在不脱离本发明的构思的情况下可以在本发明的范围内进行多种改变和修改，且本发明包括所有这种修改。

附图说明

在附图中示出本发明的示例性实施例，在附图中相同的附图标记表示相同的元件，其中：

图1是根据示例性实施例的自动银行业务机的立体图；

图2是根据示例性实施例的图1的自动银行业务机的示意性剖视图；

图3是根据示例性实施例的从中央银行业务系统接收配置数据更新的自动银行业务机的系统的视图；以及

图4是示出根据示例性实施例用于将一个或多个配置更新安装到自动银行业务机的子系统的方法的流程图。

具体实施方式

以下描述的自动银行业务机是柜员现金循环出钞机（TCR）。其主要的操作模式涉及接收一沓钞票并将它们储存在适当的储存模块中，并且将钞票从这些储存模块发放到用户，典型的是银行柜员。

参考图1和图2，TCR1包括容置保险箱3的（下部）壳体2和（上部）纸币处理模块4。壳体具有能被打开以能够进入保险箱3的前板5，而该保险箱3设置有可上锁的门6。保险箱3容置安装在框架8上的许多滚动储存模块（RSM）7a-7f，该框架8上可储存钞票。尽管示出的示例合并了六个RSM7a-7f，但根据需要，其它版本也可以包括两个、四个、八个或更多个RSM。另外，保险箱3内部是下部纸币传输机构9、用于将纸币转向RSM7a-7f之一的多个转向（diverter）开关（未示出）、纸币传输和储存控制器10以及内部显示器11。纸币处理模块4包括输入模块12、堆垛器（stacker）13、触摸屏14、USB插座15和有线网络插座16，所有这些都能从TCR1的外部进行访问。纸币处理模块4内部容置上传输机构17、检测器模块18、转向开关19、纸币处理模块控制器20、接口控制器21和存储器22。接口控制器21经由纸币处理模块控制器20并通过CAN总线（未示出）可操作地连接至纸币传输和储存控制器10。接口控制器21还可操作地连接至触摸屏14和存储器22。内部显示器11由下部传输控制器10控制。

下面将描述图1和图2的TCR的各种模式。检测器模块18、滚动储存模块7a-7f、传输机构17、9以及转向开关19是常见的，且可以以申请人的同在申请中的申请WO2008/047094中描述的方式运行。这些部件便于将已被用户提供到输入模块12中的钞票存到保险箱3中，并将钞票从保险箱3发放到堆垛器13以被用户收取。

已放入输入模块12中的钞票一张一张地被提供到上传输机构17，以经过检测器模块17被传送到转向开关19。如果钞票被检测器模块18识别为真币（bona fide note），则转向开关19将钞票引到保险箱3中并且沿着下部纸币传输机构9到达指定的RSM7a-7f。如果要将钞票返回给用户，则转向开关9将钞票引到堆垛器13，用户可以从该堆垛器13收取钞票。当要从滚动储存模块7a-7f发放钞票时，沿下部纸币传输机构9沿相反方向从RSM传送出去，之后到达转向开关19，该转向开关19将钞票引到堆垛器13，用户可以从该堆垛器13收取钞票。

接口控制器接收使TCR执行交易操作（例如存入或发放一张或更多纸币）的指令。在第一示例中，交易操作指令在与TCR1位于一处的银行出纳工作区产生。这些指令经由在TCR1上的有线网络插座16处的有线连接端子被传输到TCR1。在可替换的布置中，指令以无线方式传输，且接口控制器21设置有用于接收这种传输的接收器。

在任一情况下，所述指令包括至少一个JavaScript对象标记（JSON）文件，其经由安全套接层（SSL.）并使用传输控制协议/因特网协议（TCP/IP）传输。

一旦接口控制器21接收到发放指令，接口控制器21就处理JSON文件并产生用于传输到纸币处理模块控制器20以及纸币传输和储存控制器10的进一步的指令，而该纸币处理模块控制器20以及纸币传输和储存控制器10激活滚动储存模块7a-7f、转向开关19和下部纸币传输机构9，以发放指令中所请求的现金数。接口控制器21还产生用于触摸屏14的控制信号，其显示“发放进行中”消息，然后显示“发放结束”，以通知柜员交易操作已成功。

一旦接收到接口控制器21的存入指令，接口控制器21处理JSON文件并产生用于传输到纸币处理模块控制器20以及纸币传输和储存控制器10的进一步指令，而该纸币处理模块控制器20以及纸币传输和储存控制器10激活检测器模块18、滚动储存模块7a-7f、转向开关19和传输机构9和17，以验证并储存柜员已放入输入模块12中的纸币。接口控制器21还产生用于触摸屏14的控制信号，该触摸屏14向柜员显示存入纸币的价值。

在第二示例中，在远程监控站（例如银行业务网络的中央计算机）处产生交易操作指令。如第一示例中那样，这些指令经由有线或无线传输信道被传输至TCR1，并包括至少一个JavaScript对象标记（JSON）文件，该JavaScript对象标记（JSON）文件经由安全套接层（SSL.）并使用传输控制协议/因特网协议（TCP/IP）传输。或者，JSON文件可以使用超文本传输协议安全（HTTPS）通信协议或者使用任意安全传输系统和/或方法传输。但是，为了方便，以下将参考SSL来描述该方法。

一旦经由接口控制器21从远程中央计算机接收到发放或存入指令，像第一示例一样，接口控制器21处理JSON文件并产生用于传输的进一步指令。

在TCR1的操作模式的第三示例中，接口控制器21产生JSON文件，并使用TCP/IP经由SSL在通信链路上（有线或无线）将它们传输到监控站。这些消息包括状态信息，且监控站可以是银行业务网络的中央计算机或服务机构。状态信息可以典型地包括默认报告、每个RSM中纸币的数量、特定时间段期间执行的交易次数，这是很有用的。

现参考图3，其示出根据示例性实施例的用于配置一个或多个自动交易机的系统100。系统100包括中央银行业务计算机系统110、一个或多个远程银行业务计算机系统120以及至少一个自动交易机130。

中央银行业务计算机系统110可以是典型的银行计算机系统，其被配置为包括客户的关联数据库和电子文件系统112，以及包含关于银行或信用社相关联的每个账户持有人的信息的企业账户。在一个实施例中，账户数据库112包括姓名和地址信息、多个金融账户（例如支票、储蓄、借贷和投资）、以及诸如存单等投资和退休账户。账户数据库112典型地位于具有高冗余度部件以维持账户持有者文件的完整性的安全计算机服务器（未示出）上。系统110还提供如下功能，例如经营和管理报告、结算、生成报表、财务预测、计息办法、分期偿还以及根据联邦政府规章的要求管理银行和信用社所需的所有总帐明细（ledger）功能。

根据示例性实施例，中央银行业务系统110还包括系统软件数据库114。该系统软件数据库114包括用于自动银行业务机120的配置数据的记录以及它们的关联子系统。示例性子系统可以包括但不限于物理机子系统（例如滚动储存模块7a-7f）以及逻辑子系统（例如纸币处理模块控制器20、OS、检测器模块配置（如模式集）或接口控制器访问控制）。配置数据典型地包括如下的至少一些：机器参数、配置脚本、固件、操作系统（OS）更新、模式集、检测处理配置等。

根据示例性实施例，系统100可被配置为推进或拉动系统，或者它们的一些组合，用于将更新的配置信息从中央银行业务计算机系统110传播到自动银行业务机130。在推进系统中，系统110可被配置为检测存储在数据库114中的一个或多个配置数据文件的变化。在拉动系统中，系统130可以检测更新配置文件的需要，或者可以周期性地轮询系统110以确定特定机器130上存储的配置数据是否是最新的配置数据。或者，可以基于与远程系统120关联的特定自动银行业务机130在中央系统110与远程系统120之间传送配置数据。

尽管在本文中系统软件数据库114被示出和描述为系统110的部件，但是可替换地，系统软件数据库114和相关联的控制软件也可以使用独立的系统来实现。

利用远程银行业务计算机系统120，账户持有者直接或者通过银行职员创建交易消息，该交易消息为账户数据库112中它们的账户发起存款、支取、转换、查询和资料保存的主要金融服务。系统120可被配置为与系统110进行通信，以执行交易并更新账户数据库112内的对应数据。系统120还可被配置为存储配置数据并与系统110进行通信，以利于更新用于操作机器的配置数据和/或新机器130的初始配置。

远程银行业务计算机系统120可以是容纳中央银行业务计算机系统11的中央银行所在地内的计算机系统、一个或多个个远程银行所在地内的计算机系统等。银行业务计算机系统120还可以是使用接口（例如网络浏览器）来访问中央银行业务计算机系统110的账户持有者计算系统，例如账户持有者的家庭或者办公室计算系统。银行业务计算机系统120上产生的账户持有者交易可以通过安全通信信道发送到系统110以完成核心会计功能。

在系统100内，银行业务计算机系统120可被指示执行需要货币的实体转移的交易，例如包括存款和取款交易。但是，银行业务计算机系统120不能被配置为接收和发放货币和/或与被布置任务执行这一功能的用户相关联。一个这样的示例包括与银行主谈论例如关于抵押事宜并且请求抵押银行主也执行取款交易的银行分行中的账户持有者。另一个这种示例可以包括使用其家庭计算系统来执行取款操作的账户持有者。

现参考图4，将描述示出下载配置数据并将其安装在图1的柜员现金循环出钞机1中的方法的流程图200。流程图200的步骤可以由接口控制器21基于存储在计算机可读存储器中的所接收的更新配置存储器以及基于下文提供的并以同样存储在计算机可读存储器中的计算机代码描述的步骤来实现。尽管流程图200示出的特定步骤以特定次序执行，但重要的是认识到该方法可以由更多、更少、和/或不同次序的步骤来执行，以实现在此描述的功能。

在步骤202中，接口控制器21接收需要更新的指示。例如可以从中央银行业务系统110基于所检测到的存储于其上的配置信息的改变而接收该指示。根据示例性实施例，可以基于由接口控制器21控制的子系统的记录和所检测的对这些子系统特有的配置数据的改变而接收该更新。或者，在步骤204中，接口控制器21可以例如通过如下所述直接在机器130处接收配置数据来检测配置数据自身的改变，和/或可以周期性地轮询系统110以检测由接口控制器21控制的子系统特有的配置数据的改变。

在步骤206中，接口控制器21从系统110请求配置数据封包更新。配置数据请求可被配置为包括请求机器130和/或控制器21特有的子系统的列表。

在步骤S208中，接口控制器21在银行业务机130处接收一个或多个配置数据更新（下文会更详细地描述）。这种配置数据可由TCR1从例如中央银行业务系统110的远程源（remote source）访问，并由接口控制器21通过有线网络插座16以有线连接或者以无线方式接收。方便地，配置数据可被下载成压缩形式（压缩文件格式）并保存到存储器的封包。

配置数据典型地包括至少部分如下内容：机器参数、配置脚本、固件、操作系统（OS）更新、模式集、和检测处理配置等。配置数据封包包含两个主要部分：元数据和配置元素。

封包元数据包含如下信息集合：明确识别配置封包的UUID、用于强制执行封包认证和完整性的插入加密签章、用于追溯目的的版本id以及可显示在触摸屏14上以给出封包内容的概述的解释文本。

在步骤210中，一旦接收到配置数据更新，接口控制器21可被配置为自动创建还原点。系统还原点的创建允许接口控制器21准备配置还原。通过在存储器22中简单存储成功安装的整组配置元素以及最新一组用户定义的设置（即，键值对的列表），从而在成功安装结束时自动创建系统还原点。物理上，这通过正好保存每一子系统成功安装的最后一个配置元素而实现。如果要安装整个配置封包，则完成的最后一个还原点由新的一组配置元素所替换。但是，如果要安装仅包含所有配置元素的子集合的更新配置封包，则处理仅更新最后的还原点以外的相关配置元素。

另一选择是允许用户定义还原点。例如，现场工程师创建人工还原点（例如在对应时间戳下保存），随后执行机器的更新。如果安装成功但过一段时间后客户请求回退先前的配置，则具有人工还原点允许回到这个点。

还有一个选择涉及将系统还原点导出到外部存储介质并将该系统还原点重新应用到其它自动银行业务机。插入加密签章可被应用于导出的还原点。

在步骤212中，接口控制器21适于安装所接收的配置封包。封包的配置元素包含实际机器配置数据，其中每个配置元素指向特定的“安装目标”。对于每个安装对象，配置封包将不包含多于一个的配置元素。术语“安装目标”是指物理机器子系统（例如滚动储存模块7a-7f），并且也指逻辑子系统（例如纸币处理模块控制器20、OS、检测器模块配置（例如模式集）或接口控制器访问控制）。根据特定安装目标（子系统），配置元素可以包含多种配置数据类型。接口控制器21被配置为透明地处理这些。配置元素典型地携带有机器参数、配置脚本、固件、OS更新、模式集、和检测处理配置。

为了允许接口控制器21透明地处理配置元素，每个元素由元信息和自身的配置数据构成。配置元素元数据包括：明确识别配置元素的UUID、识别逻辑或物理目标子系统的安装目标id、用于限定配置元素安装和回退（rolled-back）次序的优先级id、用于校验元素是否可被安装在目标子系统上的兼容性id列表、仅用于追溯的版本id、以及可显示在触摸屏14上以提供配置元素的特性的解释文本（例如“检测器模块配置封包”）。

下一处理是特定配置封包（例如由其UUID所识别）的安装。这一安装包括如下步骤：（基于键值对）编译所有用户级别的配置参数的状态图（map）；重复（iterate）所有配置元素（由其优先字段整理）并将配置数据转发到对应的子系统；还原所有用户级别的配置数据到已在编译步骤中缓存的状态；以及创建系统还原点。方便地，纸币处理模块控制器20可以用作所有设备级别子系统的代替（proxy）。在配置元素的UUID与先前安装的元素或者先前创建的还原点的UUID匹配的情况下，可以跳过安装处理。编译和还原步骤有利于在封包安装后复原潜在用户特定设置。但是，在配置封包参数与用户定义的设置之间存在潜在的冲突。为了解决谁先谁后的问题，接口控制器21保持在成功安装配置封包之后待还原的参数键的可配置列表。因而，仅对在列表中找到其键的这些参数进行还原。

在步骤214中，接口控制器21被配置为执行安装的配置更新的有效测试。有效测试可以包括与机器130相关联的所有功能的完整测试、与配置更新相关联的特定功能的测试、配置更新安装的测试等。当接口控制器21已接收到配置数据封包时，它会对其进行验证。并且如果成功，则将配置数据封包存储在其内部存储器中。如果封包无效（not valid），则其将被拒绝。验证处理包括两个步骤。首先，验证封包的签章。配置封包的元数据包括插入加密签章。这保护封包内容防止被外部非认证操纵，并且还能够对封包内容进行完整性校验（如校验和）。其次，进行硬件兼容性校验。配置元素的元数据包含硬件兼容性ID的列表。这一验证的目的是校验配置封包内容是否与机器的硬件和软件配置兼容。这一校验在成功安装后重复进行。

可替换地，或者在步骤214中的验证测试之后，机器216可以被配置为重新开始步骤216中的配置更新的安装之后的正常操作。

在特定实例中，可以期望以特定次序（例如，首先进行OS更新，然后是固件，再然后是参数）安装或回退各个配置元素。例如，在步骤218中，可以确定在验证测试步骤214期间或者正常操作步骤216期间是否检测到错误。因此，接口控制器21被配置为以优先级渐增的次序安装或回退各配置元素。可选地，配置元素可以指为了取消上一安装能被执行的额外配置数据。

现将描述如果在步骤220中回退的情况下应用还原点的处理。在安装配置封包期间发生任何错误的情况下，接口控制器21将已被安装的所有配置元素（包括已出现错误的配置元素）回归（revert）到上一自动还原点。注意，初始还原点将是原始工厂设定的还原点。回退算法运作如下。接口控制器21重复上一还原点的配置元素组（由优先级id归纳），并校验元素的UUID是否与安装在对应子系统中的元素的UUID匹配。另外，接口控制器21校验配置元素的上一安装状态是否被设定为“有效（VALID）”。如果一个或其它校验传递的是“失败”，则配置元素利用驻留于上一还原点内的一个来重新安装。在这一过程之后，接口控制器21从还原点还原上一用户设定组。注意，回退情景需要还原所有用户设定，这是因为在这一情景中，用户设定优先于封包设定。

作为安装失败情况下自动回退的替代，可以实施回退手动还原点，或者回退导出的还原点。回退过程可以有利地在硬件修复的情况下（例如，在现场中替换PCB或者所有的模块等）提供用于自动复原机器的工具。

在另一实施例中，图1的柜员现金循环出钞机1设置有用于防护不被篡改（例如接口控制器21的未认证替换）的装置。纸币传输和储存控制器10是保险箱3内部的安全位置，但是接口控制器21由于位于保险箱3的外部而更易于受到攻击。纸币传输和储存控制器10需要确认预期进行通信的接口控制器21是真的而没被篡改或替换。还需要知道已访问机器内部的操作者是否被认证这样做。这些通过如下处理来实现。首先，（认证的）操作者解锁并打开保险箱门6。接着，操作者将安全狗（未示出）插入USB端口15。这一步骤解锁触摸屏14。当门6被打开时，操作者可看到内部显示器11。内部显示器11上是纸币传输和储存控制器10所知道的数字序列。随后，操作者对显示数字序列的触摸屏14进行输入。输入的序列经由接口控制器21以及纸币处理模块控制器20中转（relay）到纸币传输和储存控制器10。纸币传输和储存控制器10将输入的序列与已知的序列进行比较。如果序列匹配，则接口控制器21被认为是真的，并且操作者获得认证。如果序列不匹配，则纸币传输和储存控制器10使机器的操作失效，并且不能发放钞票。

以下可以提供对上述认证过程的改进。显示在内部显示器11上并被输入触摸屏14的数字的序列由接口控制器21和纸币传输和储存控制器10使用，以计算对称密钥。这一密钥由接口控制器21使用以加密其自身以及纸币传输和储存控制器10的序列号。然后，包括这些加密的序列号的数据从接口控制器21被传送到纸币传输和储存控制器10以进行验证。

Claims (11)

1.一种用于更新至少一个自动银行业务机中的配置数据的计算机执行方法，所述自动银行业务机被配置为执行由计算机可读介质包含的配置更新步骤，所述步骤包括：

识别在所述自动银行业务机内实施的一个或多个子系统；

在所述自动银行业务机接收对至少一个所识别的子系统的配置数据的更新；

基于所述自动银行业务机的子系统的当前实施来在所述自动银行业务机产生还原点；以及

在所述自动银行业务机中安装所述配置数据。

2.根据权利要求1所述的方法，其中，所述对配置数据的更新包括对所述配置数据的更新的元数据进行描述以及配置为修改所述一个或多个子系统的操作的配置元素。

3.根据权利要求2所述的方法，其中，对于每个所识别的子系统，所述配置数据仅包括一个配置元素。

4.根据权利要求2所述的方法，其中，所述元数据包括：明确识别所述配置数据的UUID、用于强制执行封包认证和完整性的插入加密签章、用于追溯目的的版本id、以及提供封包内容的概述的解释文本。

5.根据权利要求2所述的方法，其中，所识别的子系统包括滚动储存模块、纸币处理模块控制器、纸币检测器模块和接口控制器中的至少两个。

6.根据权利要求1所述的方法，还包括基于所述配置数据的安装来检测一个或多个有效校验的失败，以及基于所述还原点重新配置一个或多个所识别的子系统的操作。

7.一种自动银行业务机，包括：

多个子系统，实施在所述自动银行业务机内，被配置为基于存储在存储器中的配置数据来实施一个或多个功能；

接口控制器，被配置为执行以下步骤：

在所述自动银行业务机接收一个或多个配置数据更新；

确定所述一个或多个配置数据更新对所述多个子系统的适用性；

基于所述自动银行业务机的多个子系统中的一个或多个子系统的配置数据的当前实施来在所述自动银行业务机产生还原点；以及

在所述自动银行业务机中安装所述配置数据。

8.根据权利要求7所述的业务机，每个配置数据更新包括：

元数据，描述对所述配置数据的更新；以及

配置元素，被配置为修改所述一个或多个子系统的操作。

9.根据权利要求8所述的业务机，其中，对于每个所识别的子系统，所述配置数据包括不多于一个配置元素。

10.根据权利要求8所述的业务机，其中，所述元数据包括：明确识别所述配置数据的UUID、用于强制执行封包认证和完整性的插入加密签章、用于追溯目的的版本id以及提供封包内容的概述的解释文本。

11.根据权利要求8所述的业务机，还包括：基于所述配置数据的安装来检测一个或多个有效校验的失败，以及基于所述还原点重新配置一个或多个所识别的子系统的操作。