-
Die
vorliegende Erfindung betrifft eine Anordnung zum Erstellen eines
Frankierabdrucks, insbesondere eine Frankiermaschine, mit einem
Basismodul, das eine Druckeinrichtung und eine die Druckeinrichtung
zum Erstellen des Frankierabdrucks ansteuernde erste Verarbeitungseinheit
aufweist, und einem mit der ersten Verarbeitungseinheit verbindbaren
Steuermodul. Das Steuermodul ist dazu ausgebildet, zumindest eine
Frankierinformation zu speichern und/oder zu generieren, während die
erste Verarbeitungseinheit dazu ausgebildet ist, den Frankierabdruck
in Abhängigkeit
von der von dem Steuermodul erhaltenen Frankierinformation zu generieren. Die
Erfindung betrifft weiterhin ein entsprechendes Verfahren, welches
im Zusammenhang mit der erfindungsgemäßen Anordnung verwendet werden
kann.
-
Heutige
Frankiermaschinen werden in der Regel mit einem Sicherheitsmodul
ausgestattet, welches die postalischen Register mit den Abrechnungsdaten
enthält,
mithin also die Abrechnung für
die Frankierungen vornimmt bzw. dokumentiert, und einen Teil der
mehr oder weniger komplexen Berechnungen zur Erstellung des jeweiligen
Frankierabdrucks ausführt.
Eine Reihe von Postbeförderern
fordert die kryptographische Absicherung eines Teils der abgedruckten
Daten, sodass das Sicherheitsmodul häufig als mehr oder weniger
aufwändig
gestaltetes und zertifiziertes Kryptographiemodul gestaltet ist.
-
Der
Leistungsumfang der Frankiermaschine spiegelt sich – nicht
zuletzt aus Gründen
der Herstellungskosten – grundsätzlich im
Leistungsumfang des Sicherheitsmoduls wider. So ist in der Regel
in einer Frankiermaschine mit geringerem Leistungsumfang auch nur
ein Sicherheitsmodul mit geringerem Leistungsumfang erforderlich,
während
in anspruchsvolleren Frankiermaschinen üblicherweise Sicherheitsmodule
mit größerem Leistungsumfang
(höhere
Rechenleistung, höhere
Speicherkapazität
etc.) zum Einsatz kommen.
-
Bestimmte
Postbeförderer,
beispielsweise die Postbehörden
bestimmter Staaten aber auch zunehmend mit den etablierten Postbeförderer konkurrierende
alternative Postbeförderer,
verlangen, wenn überhaupt,
einen sehr geringen Grad an Absicherung des Frankierabdrucks und/oder
der Abrechnungsdaten und damit einen deutlich geringeren Leistungsumfang
des Sicherheitsmoduls, da sie ihre Einkünfte auf andere Weise absichern.
Dies hat zur Konsequenz, dass die üblicherweise verwendeten Sicherheitsmodule
für eine
solche Anwendung in der Regel hinsichtlich ihres Leistungsumfangs überdimensioniert
und damit letztlich zu teuer sind, um einen wirtschaftlichen Einsatz
einer Frankiermaschine zu ermöglichen.
-
Ein
weiterer Nachteil der herkömmlichen Frankiermaschine
liegt darin, dass aufgrund der Sicherheitsanforderungen üblicherweise
das Basismodul mit dem Druckwerk und das Sicherheitsmodul eine nicht
ohne weiteres zu trennende Einheit bilden. Üblicherweise ist es dem Nutzer
einer herkömmlichen
Frankiermaschine nicht möglich,
das Sicherheitsmodul von dem Basismodul zu trennen, ohne die Funktionsfähigkeit
der Frankiermaschine zu beeinträchtigen.
Weiterhin sind herkömmliche
Frankiermaschinen nicht zuletzt wegen der hohen Sicherheitsanforderungen üblicherweise
speziell für
einen bestimmten Postbeförderer
konfiguriert, so dass sich ihre Nutzung üblicherweise auf Frankierungen
für Postgut
beschränkt,
welches durch gerade diesen Postbeförderer befördert werden soll. Soll eine
herkömmliche
Frankiermaschine für
mehrere Postbeförderer
einsetzbar sein, so müsste
das Sicherheitsmodul in aufwändiger
Weise hierfür
konfiguriert sein.
-
Der
vorliegenden Erfindung liegt daher die Aufgabe zu Grunde, eine Anordnung
bzw. ein Verfahren zum Erstellen eines Frankierabdrucks der eingangs
genannten Art zur Verfügung
zu stellen, welche bzw. welches die oben genannten Nachteile nicht oder
zumindest in geringerem Maße
aufweist und insbesondere den wirtschaftlichen und flexiblen Einsatz
von Frankiermaschinen ermöglicht.
-
Die
vorliegende Erfindung löst
diese Aufgabe mit einer Anordnung gemäß Anspruch 1. Sie löst diese
Aufgabe weiterhin mit einem Verfahren gemäß Anspruch 19.
-
Der
vorliegenden Erfindung liegt die technische Lehre zu Grunde, dass
man einen wirtschaftlichen und flexiblen Einsatz von Frankiermaschinen ermöglicht,
wenn das Steuermodul durch einen Benutzer frei mit der ersten Verarbeitungseinheit
verbindbar ist und die Frankierinformation derart ausgebildet ist,
dass sie zumindest einen Teil des Ablaufs der Generierung des Frankierabdrucks
festlegt. Mit der hierdurch erzielten einfachen Austauschbarkeit des
Steuermoduls durch den Benutzer ist es möglich, das Basismodul mit unterschiedlichen
Steuermodulen zu betreiben. Damit können beispielsweise durch einen
Benutzer der Frankiermaschine unterschiedliche Sicherheitsmodule
für unterschiedliche
Postbeförderer
verwendet werden. Ebenso ist es möglich, dass unterschiedliche
Benutzer das Basismodul mit dem jeweils ihnen zugeordneten Sicherheitsmodul verwenden.
Hierdurch wird der Einsatz der Frankiermaschine deutlich flexibler.
-
Es
hat sich dabei zudem gezeigt, dass auch bei einer solchen Konfiguration
mit austauschbaren Steuermodulen ein ausreichendes Maß an Sicherheit erzielt
werden kann, ohne die Kosten hierfür erheblich in die Höhe zu treiben.
-
Der
Vorteil der Verwendung einer Frankierinformation, welche zumindest
Teile der Generierung des Frankierabdrucks festlegt, liegt darin,
dass hierüber
eine sehr flexible Gestaltung der Generierung des Frankierabdrucks
einschließlich
seiner Abrechnung möglich
ist, welche es ermöglicht,
mit ein und demselben Basismodul unterschiedlichste Frankierabdrucke
gegebenenfalls nach unterschiedlichsten Verfahren zu generieren.
Ebenso ist es möglich,
hierüber
unterschiedliche Varianten der Abrechnung für einen der Frankierabdruck
zu implementieren bzw. anzusteuern.
-
So
kann die Frankierinformation im einfachsten Fall lediglich als einfache
Schaltinformation dienen, welche festlegt, dass eine in dem Basismodul abgelegte
Variante der Abdruckgenerierung verwendet wird. Hierbei ist es insbesondere
im Zusammenhang mit der Nutzung der Anordnung durch unterschiedliche
Benutzer für
Frankierabdruck eines einzigen Postbeförderers möglich, dass nur eine einzige Variante
der Abdruckgenerierung in dem Basismodul abgelegt ist. Die Frankierinformation
kann dann zum Beispiel lediglich als Freigabeinformation dienen, welche
die Generierung eines entsprechenden Frankierabdrucks freigibt.
-
Bei
bevorzugten Varianten der erfindungsgemäßen Anordnung ist daher vorgesehen,
dass das Basismodul einen Programmspeicher zum Speichern wenigstens
eines Ablaufprogramms aufweist, auf welches die erste Verarbeitungseinheit
beim Generieren des Frankierabdrucks zugreift. Die erste Verarbeitungseinheit
ist dann dazu ausgebildet, in Abhängigkeit von der Frankierinformation
zum Generieren des Frankierabdrucks auf das Ablaufprogramm zuzugreifen.
Wie erwähnt,
kann dabei vorgesehen sein, dass die Frankierinformation derart
ausgebildet ist, dass sie den Zugriff der ersten Verarbeitungseinheit
auf das Ablaufprogramm freigibt und damit die Generierung des entsprechenden
Frankierabdrucks freigibt.
-
Ebenso
ist es möglich,
dass für
unterschiedliche Benutzer mit unterschiedlichen Steuermodulen zwar
stets ein Abdruck desselben Typs generiert wird, jedoch je nach
der über
das betreffende Steuermodul zur Verfügung gestellten Frankierinformation unterschiedliche
Varianten der Abrechnung für
den Frankierabdruck durchgeführt
werden. So ist es beispielsweise möglich, dass ein Postbeförderer unterschiedlichen
Nutzern über
das ihnen zugeordnete Steuermodul unterschiedliche Rabatte oder
dergleichen gewährt.
-
Bei
bevorzugten weil besonders hohe Flexibilität bietenden Varianten der erfindungsgemäßen Anordnung
ist vorgesehen, dass der Programmspeicher wenigstens ein erstes
Ablaufprogramm und ein zweites Ablaufprogramm umfasst. Die erste
Verarbeitungseinheit ist dann dazu ausgebildet, in Abhängigkeit
von der Frankierinformation zum Generieren des Frankierabdrucks
auf das erste Ablaufprogramm oder das zweite Ablaufprogramm zuzugreifen.
Auch hier kann die Frankierinformation wiederum als einfache Schaltinformation
zum Umschalten zwischen einer ersten Variante und einer zweiten
Variante der Abdruckgenerierung verwendet werden.
-
Wiederum
können
auch hier die beiden Ablaufprogramme für unterschiedliche Frankier- und/oder Abrechnungsvarianten
eines bestimmten Postbeförderers
stehen. Ebenso können
die beiden Ablaufprogramme für
Frankierungen unterschiedlicher Postbeförderer stehen. Bei entsprechenden
Varianten der erfindungsgemäßen Anordnung
ist daher vorgesehen, dass das erste Ablaufprogramm der Generierung
eines Frankierabdrucks eines ersten Postbeförderers zugeordnet ist und
das zweite Ablaufprogramm der Generierung eines Frankierabdrucks
eines zweiten Postbeförderers
zugeordnet ist.
-
Das
jeweilige Ablaufprogramm kann bereits in dem Basismodul vorinstalliert
sein. Bei bevorzugten, weil besonders variablen Varianten der erfindungsgemäßen Anordnung
ist die erste Verarbeitungseinheit dazu ausgebildet, das wenigstens
eine Ablaufprogramm von dem Steuermodul zu empfangen und in den
Programmspeicher zu schreiben. Der Aufbau und die Herstellung des
Basismoduls vereinfachen sich hierdurch erheblich, da nur eine minimale Basisprogrammkonfiguration
erforderlich ist. Weiterhin ist keine separate Aktualisierung des
in der Regel stationär
installierten Basismoduls erforderlich, da eine solche Aktualisierung über das
jeweilige mit dem Basismodul verbundene Steuermodul erfolgt. Es müssen lediglich
die entsprechenden ohnehin mobilen und damit leicht auf beliebige
geeignete Weise aktualisierbaren Steuermodule auf einem aktuellen Stand
gehalten werden, um aktualisierte Frankierabdrucke generieren zu
können.
-
Das
Laden des Ablaufprogramms von dem Steuermodul in den Programmspeicher
des Basismoduls kann auf beliebige geeignete Weise erfolgen. Insbesondere
kann das Laden von beiden Seiten, d. h. sowohl von dem Steuermodul
als auch von dem Basismodul ausgelöst werden. Weiterhin kann vorgesehen
sein, dass der Benutzer der erfindungsgemäßen Anordnung das Laden des
Ablaufprogramms von dem Steuermodul in den Programmspeicher durch
eine entsprechende Eingabe über
eine Schnittstelle der Einrichtung der Anordnung oder dergleichen
auslöst.
Bevorzugt ist jedoch vorgesehen, dass das Laden des Ablaufprogramms
automatisch bei Eintreten eines bestimmten vorgebbaren Ereignis ses bei
oder nach dem Verbinden des Steuermoduls mit der ersten Verarbeitungseinheit
erfolgt. Insbesondere kann das Herstellen der Verbindung zwischen
dem Steuermodul und der ersten Verarbeitungseinheit das Ereignis
darstellen, welches das Laden des Ablaufprogramms auslöst.
-
Bei
weiteren Varianten der erfindungsgemäßen Anordnung kann vorgesehen
sein, dass das Steuermodul einen Programmspeicher zum Speichern
wenigstens eines Ablaufprogramms aufweist, wobei das Ablaufprogramm
wenigstens einen Teil der Frankierinformation bildet. Die erste
Verarbeitungseinheit ist hierbei dann dazu ausgebildet, beim Generieren
des Frankierabdrucks auf das Ablaufprogramm zuzugreifen. Hierdurch
reduziert sich der Aufwand für
das Basismodul nochmals erheblich, da es keinen entsprechenden Programmspeicher
aufweisen muss. Dies hat unter anderem im Hinblick auf die Manipulationssicherheit
zudem den Vorteil, dass der Programmspeicher in einem in der Regel
einfacher logisch und/oder physikalisch abzusichernden Steuermodul
untergebracht ist. Zudem muss dann kein gesonderter Aufwand für die Absicherung
eines Speichers in dem Basismodul gegen Manipulationen erfolgen.
-
Hierbei
kann vorgesehen sein, dass das Basismodul mit beliebigen Steuermodulen
betrieben werden kann. Bei anderen Varianten der Erfindung kann
jedoch auch vorgesehen sein, dass das Basismodul nur mit bestimmten
Steuermodulen betrieben werden kann. Hierzu ist dann bevorzugt vorgesehen, dass
das Basismodul einen mit der ersten Verarbeitungseinheit verbindbaren
Steuerdatenspeicher aufweist, in dem eine Steuerinformation gespeichert
ist. Die Steuerinformation ist dann derart ausgebildet, dass sie
den Zugriff der ersten Verarbeitungseinheit auf das Ablaufprogramm
freigibt.
-
In
diesem Zusammenhang kann beispielsweise vorgesehen sein, dass die
Steuerinformation eine Kennung für
ein bestimmtes Steuermodul oder eine bestimmte – gegebenenfalls frei wählbare – Gruppe
von Steuermodulen (z. B. einen bestimmten Steuermodultyp) umfasst.
Im Zuge der Freigabe wird dann überprüft, ob eine
vorgebbaren Beziehung (z. B. Identität) zwischen dieser Steuerinformation
und einer entsprechenden dem aktuellen Steuermodul zugeordneten
Information vorliegt. Ist dies der Fall, erfolgt die Freigabe; andernfalls
kann die erste Verarbeitungseinheit nicht auf das Ablaufprogramm
des Steuermoduls zugreifen.
-
Wiederum
kann auch hier lediglich ein einziges Ablaufprogramm in dem Programmspeicher
des Steuermoduls gespeichert sein. Ebenso können sich aber auch mehrere
Ablaufprogramme in dem Programmspeicher des Steuermoduls befinden.
Die Steuerinformation kann dann festlegen, auf welches der Ablaufprogramme
zugegriffen werden kann. Gegebenenfalls kann dann noch eine weitere
Steuerinformation, beispielsweise durch den Benutzer der Anordnung,
vorgegeben werden, um festzulegen, auf welches Ablaufprogramm zugegriffen
wird. Bevorzugt ist daher vorgesehen, dass der Programmspeicher
ein erstes Ablaufprogramm und ein zweites Ablaufprogramm umfasst
und die erste Verarbeitungseinheit dazu ausgebildet ist, in Abhängigkeit
von der Steuerinformation zum Generieren des Frankierabdrucks auf
das erste Ablaufprogramm oder das zweite Ablaufprogramm zuzugreifen.
-
Wiederum
können
auch hier die unterschiedlichen Ablaufprogramme für unterschiedliche
Frankier- und/oder Abrechnungsvarianten eines bestimmten Postbeförderers
stehen. Ebenso können
die unterschiedlichen Ablaufprogramme für Frankierungen unterschiedlicher
Postbeförderer
stehen. Bei entsprechenden Varianten der erfindungsgemäßen Anordnung
ist daher vorgesehen, dass das erste Ablaufprogramm der Generierung
eines Frankierabdrucks eines ersten Postbeförderers zugeordnet ist und
das zweite Ablaufprogramm der Generierung eines Frankierabdrucks
eines zweiten Postbeförderers zugeordnet
ist.
-
Die
Steuerinformation kann fest in dem Basismodul vorgegeben sein. Bei
bevorzugten, weil besonders variablen Varianten der erfindungsgemäßen Anordnung
weist das Basismodul eine mit der ersten Verarbeitungseinheit verbindbare
Vorgabeeinrichtung, insbesondere eine Tastatur oder dergleichen, zur
Eingabe der Steuerinformation auf.
-
Bei
weiteren bevorzugten Varianten der erfindungsgemäßen Anordnung umfasst das Steuermodul
weitere Frankierinformationen. Diese weiteren Frankierinformationen
können
dann einzeln oder in Kombination Informationen zur Gestaltung des
Frankierabdrucks (z. B. Bildkomponenten des Frankierabdrucks), Informationen
zur Berechnung des Portowerts des Frankierabdrucks, insbesondere
wenigstens eine Portotabelle, benutzerspezifische Informationen
(z. B. Werbeklischees, Textbotschaften, sicherheitsrelevante Daten
wie zu verwendende kryptographische Schlüssel, Signaturen oder Zertifikate etc.),
für wenigstens
einen Postbeförderer
spezifische Informationen (z. B. sicherheitsrelevante Daten wie
zu verwendende kryptographische Schlüssel, Signaturen oder Zertifikate
etc.) und/oder für
wenigstens eine Beförderungsleistung
spezifische Informationen (z. B. Zusatzleistungen etc.) umfassen.
Hierdurch können
in vorteilhafter Weise nahezu beliebige Einstellungen bzw. Vorgaben
für die
Frankierung einschließlich
deren Abrechnung vorgenommen werden.
-
Bei
bestimmten Varianten der erfindungsgemäßen Anordnung weist das Steuermodul
wenigstens einen Abrechnungsspeicher zur Speicherung von Abrechnungsdaten
für einen
generierten Frankierabdruck auf. Hierdurch ist es in einfacher Weise möglich, dem
Nutzer des Steuermoduls die Kosten für die in Verbindung mit dem
Steuermodul generierten Frankierungen zuzuordnen. Es versteht sich
jedoch, dass bei anderen Varianten der Erfindung auch vorgesehen
sein kann, dass das Basismodul einen entsprechend logisch und/oder
physikalisch abgesicherten Abrechnungsspeicher aufweisen kann. Ebenso
kann vorgesehen sein, dass dieser Speicher selbst keinen besonderen
Sicherungsmechanismen unterliegt, sondern nur die Abrechnungsdaten
selbst in entsprechend abgesicherter Weise, beispielsweise in vor
unerkannter Manipulation abgesicherter Form, zur Verfügung gestellt
werden.
-
Das
Steuermodul kann in beliebiger geeigneter Weise frei (d. h. ohne
nennenswerte Hindernisse) mit der ersten Verarbeitungseinheit verbunden werden.
Bevorzugt ist das Steuermodul steckbar ausgebildet, da hierdurch
eine besonders einfache und schnelle zuverlässige Verbindung erzielt werden kann.
-
Das
Steuermodul kann grundsätzlich
in beliebiger geeigneter Weise aufgebaut sein. Bevorzugt ist das
Steuermodul nach Art eines postalischen Sicherheitsmoduls ausgebildet,
da hiermit in bekannter Weise die postalischen Sicherheitsanforderungen, welche üblicherweise
von Postbeförderern
gestellt werden, erfüllt
werden können.
Bevorzugt ist das Steuermodul hierzu zur Durchführung kryptographischer Operationen,
insbesondere zum Verschlüsseln und/oder
digitalen Signieren von Daten, ausgebildet. Hierbei kann es sich
zum einen um kryptographische Operationen im Zusammenhang mit der
Kommunikation der Komponenten der erfindungsgemäßen Anordnung untereinander
oder der erfindungsgemäßen Anordnung
mit anderen Einheiten, beispielsweise Peripheriegeräten oder
entfernten Datenzentrale etc., handeln. Ebenso kann es sich aber
auch um kryptographische Operationen im Zusammenhang mit der Erstellung
und/oder Abrechnung des Frankierabdrucks handeln. Demgemäß ist das
Steuermodul bevorzugt zur Durchführung
kryptographischer Operationen an Daten des Frankierabdrucks ausgebildet.
-
Das
Steuermodul kann grundsätzlich
in beliebiger geeigneter Weise aufgebaut sein bzw. von beliebigen
geeigneten Komponenten oder Einheiten gebildet sein. Bevorzugt ist
das Steuermodul eine Smartcard, da solche Smartcards zum einen bereits vorgefertigt
verfügbare,
sehr kompakte Einheiten darstellen, die zudem häufig bereits eine Reihe vorteilhafter
kryptographischer Funktionalitäten
aufweisen.
-
Die
vorliegende Erfindung betrifft weiterhin ein Verfahren zum Erstellen
eines Frankierabdrucks, bei dem eine erste Verarbeitungseinheit
eines Basismoduls, das eine zum Erstellen des Frankierabdrucks von
der ersten Verarbeitungseinheit angesteuerte Druckeinrichtung aufweist,
mit einem Steuermodul verbunden wird. Dabei speichert und/oder generiert
das Steuermodul zumindest eine Frankierinformation. Die erste Verarbeitungseinheit
erhält dann
die Frankierinformation von dem Steuermodul und generiert den Frankierabdruck
in Abhängigkeit von
der von dem Steuermodul erhaltenen Frankierinformation. Erfindungsgemäß ist vorgesehen,
dass das Steuermodul durch einen Benutzer frei mit dem Basismodul
verbindbar ist und die Frankierinformation derart ausgebildet ist,
dass sie zumindest einen Teil des Ablaufs der Generierung des Frankierabdrucks
festlegt.
-
Mit
diesem erfindungsgemäßen Verfahren lassen
sich die oben geschilderten Vorteile und Varianten in demselben
Maße realisieren,
sodass hier lediglich auf die obigen Ausführungen Bezug genommen wird.
-
Weitere
bevorzugte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen bzw. der
nachstehenden Beschreibung bevorzugter Ausführungsbeispiele, welche auf
die beigefügten
Zeichnungen Bezug nimmt. Es zeigt
-
1 eine
schematische Darstellung einer bevorzugten Ausführungsform der erfindungsgemäßen Anordnung
zum Erstellen eines Frankierabdrucks, mit welcher eine bevorzugte
Variante des erfindungsgemäßen Verfahrens
zum Erstellen eines Frankierabdrucks durchgeführt werden kann;
-
2 ein
Ablaufdiagramm einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens
zum Erstellen eines Frankierabdrucks, welche mit der Anordnung aus 1 durchgeführt werden
kann.
-
Im
Folgenden wird unter Bezugnahme auf die 1 und 2 zunächst eine
bevorzugte Ausführungsform
der erfindungsgemäßen Anordnung
in Form einer Frankiermaschine 101 zum Erstellen eines
Frankierabdrucks beschrieben, mit welcher eine bevorzugte Variante
des erfindungsgemäßen Verfahrens
zum Erstellen eines Frankierabdrucks durchgeführt wird. Die Frankiermaschine 101 kann über ein Kommunikationsnetz 102 mit
einer entfernten Datenzentrale 103 verbunden werden und
umfasst ein Basismodul 104 und ein damit verbundenes Steuermodul
in Form eines Sicherheitsmodul 105.
-
Das
Basismodul 104 dient in üblicher Weise zum einen dazu,
den Frankierabdruck zu erzeugen. Hierzu umfasst das Basismodul 104 eine
erste Verarbeitungseinheit in Form eines ersten Prozessors 104.1,
der mit einem Druckmodul 104.2 verbunden ist. Der erste
Prozessor 104.1 steuert das Druckmodul 104.2 in
hinlänglich
bekannter Weise zur Generierung des Frankierabdrucks auf dem jeweiligen Poststück an. Hierzu
greift der erste Prozessor 104.1 unter anderem auf einen
Programmspeicher 104.3 des Basismoduls 104 zu,
in dem die zur Generierung des Frankierabdrucks erforderlichen Ablaufprogramme
und weiterhin ein Teil der zur Generierung des Frankierabdrucks
erforderlichen Daten und (z. B. Portotabellen, Klischeedaten etc.)
abgelegt ist.
-
Das
jeweilige Ablaufprogramm in dem Programmspeicher 104.3 legt
dabei zum einen den Ablauf der Datenverarbeitung bei der Generierung
des Frankierabdrucks fest. Hierzu enthält das Ablaufprogramm unter
anderem entsprechende Vorschriften über die Gestaltung (z. B. Art
und Anzahl der Textfelder, Barcodes, Klischees etc.) und den Inhalt,
also den Informationsgehalt des Frankierabdrucks (z. B. Informationsgehalt
der Textfelder, Barcodes etc.). Weiterhin legt das jeweilige Ablaufprogramm
im vorliegenden Beispiel auch die Art der Abrechnung für den jeweiligen
Frankierabdruck fest (z. B. zu verwendende Portotabelle, Rabatte
etc.). Es versteht sich hierbei, dass bei anderen Varianten der
Erfindung auch vorgesehen sein kann, dass das jeweilige Ablaufprogramm
nur Vorschriften über
die Gestaltung und/oder den Inhalt des Frankierabdrucks oder ausschließlich Vorschriften über die
Abrechnung des jeweiligen Frankierabdrucks umfassen kann.
-
Im
vorliegenden Beispiel ist in dem Programmspeicher 104.3 unter
anderem ein erstes Ablaufprogramm abgelegt, welches die entsprechenden Vorschriften
und Daten für
einen Frankierabdruck eines ersten Postbeförderers umfasst. Weiterhin
ist in dem Programmspeicher 104.3 ein zweites Ablaufprogramm
abgelegt, welches die entsprechenden Vorschriften und Daten für einen
Frankierabdruck eines zweiten Postbeförderers umfasst. Auf diese
Ablaufprogramme wird, wie im folgenden noch näher erläutert werden wird, in Abhängigkeit
von bestimmten Steuerdaten zugegriffen, welche festlegen, für welchen
Postbeförderer
ein Frankierabdruck generiert werden soll.
-
Das über eine
erste Schnittstelle 104.4 des Basismoduls 104 mit
dem Basismodul 104 verbundene Sicherheitsmodul 105 der
Frankiermaschine 101 umfasst eine sichere Verarbeitungseinheit
in Form eines zweiten Prozessors 105.1, der in einer sicheren Umgebung 106 angeordnet
ist und über
eine zweite Schnittstelle 105.2 mit dem Basismodul 104 verbunden
ist. Die sichere Umgebung 106 stellt dabei eine physikalische
und logische Absicherung des zweiten Prozessors 105.1 vor
unerkanntem unautorisiertem Zugriff zur Verfügung. Die physikalische Absicherung der
sicheren Umgebung 106 wird dabei durch eine Vergussmasse
zur Verfügung
gestellt, in welche der zweite Prozessor 105.1 sowie die
weiteren Komponenten innerhalb der sicheren Umgebung 106 eingegossen
sind.
-
Die
logische Absicherung der sicheren Umgebung 106 wird durch
einen Algorithmus zur Überprüfung der
Zugriffsberechtigung auf die Komponenten des Sicherheitsmoduls 101 zur
Verfügung
gestellt. Der Zugriff auf die Komponenten des Sicherheitsmoduls 101 kann
von außen
nur über
die mit dem zweiten Prozessor verbundene zweite Schnittstelle 105.2 erfolgen,
die am Übergang
von der sicheren Umgebung 106 zu dem Bereich außerhalb
der sicheren Umgebung 106 angeordnet ist.
-
Sobald
versucht wird, über
die zweiten Schnittstelle 105.2 auf den zweiten Prozessor 105.1 zuzugreifen, überprüft dieser
die Zugriffsberechtigung des Zugreifenden. Hierzu greift der zweite
Prozessor 105.1 auf ein Kryptographiemodul in Form eines
ebenfalls in der sicheren Umgebung 106 angeordneten Speichers 105.3 des
Sicherheitsmoduls 101 zu. Das Kryptographiemodul 105.3 beherbergt
in hinlänglich
bekannter Weise entsprechende Algorithmen und Daten zur Verifizierung
der Zugriffsberechtigung auf das Sicherheitsmodul. Hierbei kann
es sich beispielsweise im einfachsten Fall um ein gespeichertes
Passwort handeln, welches der Zugreifende eingeben muss, um sich
zu autorisieren. Ebenso kann es sich aber um einen entsprechenden
Algorithmus zur Überprüfung digitaler
Signaturen oder Zertifikate handeln, welche der Zugreifende im Rahmen seiner
Autorisierung verwendet.
-
Das
Sicherheitsmodul 104 dient in üblicher Weise dazu, die für die Frankierung
erforderlichen sicherheitsrelevanten postalischen Dienste, wie beispielsweise
die sichere Abrechnung der Frankierwerte aber auch die kryptographische
Absicherung bestimmter postalischer Daten, zur Verfügung zu
stellen. Zur Abrechnung der Frankierwerte weist das Sicherheitsmodul 104 einen
Abrechnungsspeicher 105.4 auf, der die für eine Frankiermaschine üblichen Register
(z. B. aufsteigendes Register, absteigendes Register etc.) umfasst.
-
Zudem
liefert das Sicherheitsmodul 104 in bekannter Weise einen
weiteren Teil der zur Generierung des Frankierabdrucks erforderlichen
Daten an den ersten Prozessor 104.1. Hierbei kann es sich
beispielsweise um entsprechende Prüfsummen, MACs, digitale Signaturen
oder dergleichen handeln, welche der zweite Prozessor 105.1 des
Sicherheitsmoduls 105 über
bestimmten Daten des Frankierabdrucks erzeugt. Es versteht sich
jedoch, dass bei anderen Varianten der Erfindung mit geringeren
Sicherheitsanforderungen an den Frankierabdruck auch vorgesehen
sein kann, dass sämtliche
zur Generierung des Fran kierabdrucks erforderlichen Daten ausschließlich in
dem am Basismodul erstellt werden. Ebenso versteht es sich, dass
bei anderen Varianten der Erfindung mit höheren Sicherheitsanforderungen an
den Frankierabdruck gegebenenfalls auch ein Großteil oder sogar sämtliche
zur Generierung des Frankierabdrucks erforderlichen Daten in dem
Sicherheitsmodul generiert werden können.
-
In
einem Schritt 107.1 wird der Ablauf des erfindungsgemäßen Verfahrens
zunächst
gestartet. In einem Schritt 107.2 wird dann durch den ersten
Prozessor 104.1 überprüft, ob ein
Frankierabdruck generiert werden soll.
-
Soll
ein Frankierabdruck generiert werden, überprüft das Basismodul 104 zunächst, welches
Sicherheitsmodul mit ihm verbunden ist. Hierzu fragt der erste Prozessor 104.1 in
einem Schritt 107.3 von dem Sicherheitsmodul 104 eine
Frankierinformation ab, welche das Sicherheitsmodul 104 in
einem mit dem zweiten Prozessor 105.1 verbundenen Frankierdatenspeicher 105.5 hält. Im vorliegenden
Beispiel umfasst die Frankierinformation unter anderem eine Kennung
K des Sicherheitsmoduls 104, welche festlegt, welchem Postbeförderer das
Sicherheitsmodul 104 zugeordnet ist, d. h. für welchen
Postbeförderer mit
dem Sicherheitsmodul 104 Frankierabdrucke generiert werden
können.
-
Diese
Kennung K wird in dem Schritt 107.3 an den ersten Prozessor 104.1 übergeben
und von diesem in einem Schritt 107.4 mit entsprechenden Steuerdaten
K' verglichen, die
in einem Steuerdatenspeicher 104.5 des Basismoduls 104 abgelegt
sind. Liegt eine vorgegebene Beziehung zwischen der Kennung K und
den Steuerdaten K' vor
(hier K = K'), wird
die Durchführung
der Frankierung in einem Schritt 107.5 freigegeben, andernfalls
wird die Durchführung
der Frankierung durch den ersten Prozessor 104.1 blockiert.
-
Die
Steuerdaten in dem Steuerdatenspeicher 104.5 können dabei
durch den Benutzer der Frankiermaschine 101, beispielsweise über eine
Benutzerschnittstelle 104.6 des Basismoduls 104 in Form
einer Tastatur, einer berührungsempfindlichen Anzeige
oder dergleichen, einmalig für
nachfolgende Frankierungen oder für jede Frankierung vorgegeben bzw.
eingestellt werden.
-
Es
versteht sich jedoch, dass bei anderen Varianten der Erfindung,
bei denen beispielsweise das Sicherheitsmodul offensichtlich einem
bestimmten Postbeförderer
zugeordnet ist (z. B. durch eine entsprechende Farbgebung oder anderweitige
Kennzeichnung), auch vorgesehen sein kann, dass eine solche Überprüfung des
Typs des Sicherheitsmoduls nicht durchgeführt wird. In diesen Fällen kann
dann vorgesehen sein, dass die von dem Sicher heitsmodul an das Basismodul übergebene
Frankierinformation lediglich entsprechende Informationen hinsichtlich
des Ablaufs der Generierung des Frankierabdrucks enthält und automatisch,
d. h. ohne weitere Überprüfung, ein
dem Typ des Sicherheitsmoduls entsprechender Frankierabdruck generiert
wird.
-
Ebenso
versteht es sich, das Überprüfung des
Typs des Sicherheitsmoduls bei anderen Varianten der Erfindung auch
nicht mit jeder Frankierung erfolgen muss. Vielmehr kann vorgesehen
sein, dass diese Überprüfung nur
einmal, beispielsweise beim Einschalten der Frankiermaschine erfolgt,
und nur auf geeignete Weise überwacht
wird, ob eine Trennung des Sicherheitsmoduls vom Basismodul erfolgte.
Wurde eine solche Trennung erfasst, muss dann eine erneute Überprüfung des
Typs des Sicherheitsmoduls stattfinden.
-
Erfolgte
die Freigabe der Frankierung in dem Schritt 107.5, so übergibt
der erste Prozessor 104.1 in einem Schritt 107.6 zunächst über die
erste Schnittstelle 104.4 des Basismoduls 104,
die mit der zweiten Schnittstelle 105.2 des Sicherheitsmoduls 105 verbunden
ist, entsprechende Eingabedaten an den zweiten Prozessor 105.1.
-
Bei
der Generierung der Eingabedaten greift der erste Prozessor 104.1 in
Abhängigkeit
von der in dem Schritt 107.3 übermittelten Kennung des Sicherheitsmoduls 104 auf
das dieser Kennung bzw. diesem Typ von Sicherheitsmodul entsprechende
erste oder zweite Ablaufprogramm in dem Programmspeicher 104.3 zu.
Im vorliegenden Fall sei dies das erste Ablaufprogramm. Wie erwähnt legt
das betreffende Ablaufprogramm dabei sowohl den Inhalt als auch den
Abrechnungsmodus für
den Frankierabdruck fest.
-
Nachdem
der zweite Prozessor 105.1 in der oben bereits beschriebenen
Weise die Autorisierung des ersten Prozessors 104.1 zur Übergabe
der Eingabedaten überprüft hat,
verarbeitet er diese Eingabedaten nach einem vorgegebenen Schema.
-
Dabei überprüft der zweite
Prozessor 105.1 in einem Schritt 107.7 unter anderem,
ob die Eingabedaten bestimmte Bedingungen erfüllen. Eine dieser Bedingungen
ist, dass das Datum der Frankierung, welches von dem Basismodul übermittelt
wird, kein Datum in der Vergangenheit darstellt, d. h. das aktuelle
Datum oder ein Datum in der Zukunft ist. Hierzu kann das Sicherheitsmodul 104 entsprechende
Echtzeituhr oder eine andere Einrichtung aufweisen, mit der die
Echtzeit entsprechend zuverlässig ermittelt
werden kann. Insbesondere kann vorgesehen sein, dass das Sicherheitsmodul
zu vorgebbaren Zeitpunkten bzw. bei Eintreten vorgebbarer Ereignisse
mit einer entsprechend sicheren Echtzeitquelle synchronisiert wird.
Die Ermittlung der Echtzeit kann dann beispielsweise in besonders
einfa cher Weise durch Taktzählung
(z. B. der Taktung des zweiten Prozessors 105.1) oder dergleichen
erfolgen. Dabei kann zur Verhinderung von Manipulationen vorgesehen
sein, dass die Einhaltung einer Frequenztoleranz und/oder der lückenlose
Betrieb der Taktung überwacht
werden.
-
Entsprechen
die Eingabedaten nicht den vorgegebenen Bedingungen, wird die Frankierung durch
das Sicherheitsmodul 105 abgebrochen und zurück zu dem
Schritt 107.2 gesprungen. Andernfalls generiert der zweite
Prozessor 105.1 in einem Schritt 107.8 entsprechende
Ausgabedaten, die er dann wieder an den ersten Prozessor 104.1 über die Schnittstellen 105.2 und 104.4 übergibt.
-
Der
erste Prozessor 104.1 führt
dann in einem Schritt 107.9 unter Zugriff auf das zuvor
in dem Schritt 107.6 ausgewählten Ablaufprogramm die Generierung
des Frankierabdrucks zu Ende, indem er gegebenenfalls nach weiterer
Generierung und Aufbereitung der Druckdaten die Druckeinheit 104.2 in entsprechender
Weise ansteuert.
-
Unmittelbar
vor oder nach der Übergabe
der Ausgabedaten an den ersten Prozessor 104.1 generiert
der zweite Prozessor 105.1 Abrechnungsdaten, welche zur
Abrechnung des zu generieren Frankierabdrucks verwendet werden.
Wie bei herkömmlichen Frankiermaschinen
werden die Abrechnungsdaten in dem Abrechnungsspeicher 105.4 innerhalb
der sicheren Umgebung 106 des Sicherheitsmoduls 105 gespeichert.
-
Es
versteht sich jedoch, dass bei anderen Varianten der Erfindung auch
vorgesehen sein kann, dass die Abrechnungsdaten über die Schnittstellen 105.2 und 104.4 ebenfalls
an den ersten Prozessor 104.1 übergeben und von diesem in
einem – in 1 nicht
dargestellten, mit dem ersten Prozessor verbundenen – Abrechnungsspeicher
des Basismoduls, mithin also außerhalb
der sicheren Umgebung 106 in entsprechend gegen unerkannte
Manipulation abgesicherter Weise gespeichert werden können. Dies kann
zum Beispiel erfolgen, indem der zweite Prozessor des Sicherheitsmoduls
die Abrechnungsdaten mit einer digitalen Signatur versieht, die
er in hinlänglich
bekannter Weise zumindest über
einen Teil der Abrechnungsdaten unter Zugriff auf das Kryptographiemodul 105.3 generiert.
Es versteht sich jedoch, dass bei anderen Varianten der Erfindung
auch andere hinlänglich
bekannte Mechanismen zur Absicherung der Abrechnungsdaten vor unerkannter
Manipulation zum Einsatz kommen können.
-
Dieses
Vorgehen hat den Vorteil, dass das Sicherheitsmodul lediglich die
kryptographische Funktionalität
zur Verfügung
stellen muss, nicht aber einen entsprechend großen und damit teuren abgesicherten
Speicherbereich zur Speicherung der Abrechnungsdaten. Hierdurch
kann das Sicherheitsmodul unter Umständen deutlich kostengünstiger
gestaltet werden. Insbesondere ist es möglich, für das Sicherheitsmodul eine
einfache Smartcard zu verwenden, welche bereits standardmäßig mit
entsprechender kryptographischer Funktionalität ausgestattet ist. Bei einer
solchen Smartcard ist es dann gegebenenfalls lediglich erforderlich,
eine entsprechende physikalische Absicherung herzustellen, wie sie
oben beschrieben wurde.
-
Es
versteht sich, dass die Abrechnungsdaten bevorzugt selbst schon
in einer Form generiert werden können,
welche Manipulationen vorgebeugt. So kann beispielsweise einer einfachen
Manipulation durch Löschen
einzelner Datensätze
vorgebaut werden, indem die einzelnen Datensätze der Abrechnungsdaten mit
fortlaufenden Nummern versehen werden, die ebenfalls in den abgesicherten
Bereich der Abrechnungsdaten einbezogen werden.
-
Weiterhin
versteht es sich, dass nicht nur im Zuge einer Frankierung in entsprechend
abgesicherte Abrechnungsdaten in dem Abrechnungsspeicher 105.4 abgelegt
werden. Vielmehr umfassen die Abrechnungsdaten im Abrechnungsspeicher 105.4 natürlich auch
Daten, welche das aktuell verfügbare Guthaben
repräsentieren.
Diese Daten werden in einem Nachladevorgang im Zuge einer Kommunikation
zwischen der Frankiermaschine 101 und der entfernten Datenzentrale 103 über das
Sicherheitsmodul 105 in den Abrechnungsspeicher 104.5 eingebracht.
Dabei können
die Guthabendaten schon von der entfernten Datenzentrale 103 in
entsprechender Weise abgesichert sein. Bevorzugt ist jedoch vorgesehen,
dass die von der Datenzentrale 103 übermittelten Guthabendaten
zunächst
in dem Sicherheitsmodul 105 entsprechend aufbereitet und
abgesichert werden und erst dann in dem Abrechnungsspeicher 105.4 abgelegt
werden.
-
In
einem Schritt 107.10 wird dann überprüft, ob der Verfahrensablauf
beendet werden soll. Ist dies der Fall, wird der Verfahrensablauf
in einem Schritt 107.11 beendet. Andernfalls wird zu dem
Schritt 107.2 zurück
gesprungen.
-
Das
erste Ablaufprogramm kann in beliebiger geeigneter Weise in dem
Programmspeicher 104.3 eingebracht worden sein. Im vorliegenden
Beispiel ist vorgesehen, dass die Frankierinformation in dem Frankierdatenspeicher 105.5 des
Sicherheitsmoduls 105 das erste Ablaufprogramm umfasst
und das erste Ablaufprogramm in den Programmspeicher 104.3 geladen
wird, sobald das Basismodul 104 und das Sicherheitsmodul 105 miteinander
verbunden werden. Dies hat den Vorteil, dass nur die jeweiligen Sicherheitsmodule 105 auf einem
aktuellen Stand gehalten werden müssen, während das Basismodul 104 stets über diese
Prozedur aus einer entsprechend sicheren Quelle, nämlich dem
Sicherheitsmodul 105, aktualisiert werden kann.
-
Wird
ein weiteres Sicherheitsmodul mit dem Basismodul 104 verbunden,
welches eine Version des zweiten Ablaufprogramms umfasst, so wird
dieses zweite Ablaufprogramm in den Programmspeicher 104.3 geladen.
Auf diese Weise können
gegebenenfalls noch beliebig viele weitere Ablaufprogramme – gegebenenfalls
automatisiert – in
den Programmspeicher 104.3 geladen werden. Hierbei versteht
es sich, dass gegebenenfalls nicht jedes Sicherheitsmodul desselben
Typs zwingend das entsprechende Ablaufprogramm gespeichert haben muss.
Vielmehr kann vorgesehen sein, dass die Frankierinformation bestimmter
Sicherheitsmodule nur die entsprechende Kennung des Sicherheitsmodul-Typs
umfasst und das Basismodul 104 dann auf das in dem Programmspeicher
zuletzt von einem Sicherheitsmodul dieses Typs geladene Ablaufprogramm
zugreift.
-
Das
Sicherheitsmodul 105 ist im vorliegenden Beispiel als einfache
Smartcard ausgeführt,
die zusätzlich
noch mit einer physikalischen Absicherung in Form einer Vergussmasse
versehen ist, in welcher die Komponenten des Sicherheitsmoduls 105 eingebettet
sind. Es versteht sich jedoch, dass bei anderen Varianten der Erfindung
auch vorgesehen sein kann, dass nur die entsprechenden in einer
sicheren Umgebung anzuordnenden sicherheitsrelevanten Teile einer
solchen Smartcard mit einer entsprechenden physikalischen Kapselung
versehen sind, während andere
Bereiche mehr oder weniger frei zugänglich sind. In diesem Fall
ist dann lediglich darauf zu achten, dass für sämtliche möglichen Zugänge zu den sicherheitsrelevanten
Komponenten eine entsprechende logische Absicherung wirksam ist.
-
Im
vorliegenden Beispiel ist das Sicherheitsmodul 105 seine
einfache Steckkarte, die in die erste Schnittstelle 104.4 eingesteckt
ist. Dabei kann die zweite Schnittstelle 104.4 frei zugänglich sein,
sodass ohne weiteres beliebige Sicherheitsmodule 105 eingesteckt
werden können.
Dies hat den Vorteil, dass das Basismodul 104 gegebenenfalls
frei in Verbindung mit mehreren unterschiedlichen Sicherheitsmodulen
betrieben werden kann.
-
Bei
einer weiteren bevorzugten Variante der Erfindung kann vorgesehen
sein, dass der erste Prozessor 104.1 zur Generierung der
Eingabedaten in dem Schritt 107.6 und zur Generierung bzw.
Vollendung des Frankierabdrucks in dem Schritt 107.9 nicht auf
einen Programmspeicher 104.3 des Basismoduls zugreift,
sondern über
die Schnittstellen 104.4 und 105.2 sowie den zweiten
Prozessor 105.1 auf das entsprechende Ablaufprogramm zugreift, das
in dem Frankierdatenspeicher 105.5 des Sicherheitsmoduls 105 gespeichert
ist. In diesem Fall kann der Programmspeicher 104.3 sogar
vollständig
fehlen.
-
Vorstehend
wurden Ausführungsbeispiele beschrieben,
bei denen das jeweilige Sicherheitsmodul einem einzigen Ablaufprogramm
und damit z. B. einem einzigen Postbeförderer zugeordnet ist. Es kann
jedoch auch vorgesehen sein, dass ein Sicherheitsmodul mehrere unterschiedliche
Ablaufprogramme gespeichert hat bzw. mehreren Ablaufprogrammen zugeordnet
ist und die Auswahl des betreffenden Ablaufprogramms in Abhängigkeit
von den Steuerdaten in dem Steuerdatenspeicher 104.5 erfolgt.
Diese können,
wie oben erwähnt,
gegebenenfalls durch die Frankiermaschine 101 und/oder
den Benutzer der Frankiermaschine 101 vorgegeben werden.
-
Hierbei
kann weiterhin vorgesehen sein, dass unterschiedliche Sicherheitsmodule
für ein
und denselben Postbeförderer
konfiguriert sind, aber die Abrechnung und/oder die Generierung
des Frankierabdrucks auf unterschiedliche Weise erfolgt (z. B. mit unterschiedlichen
Rabatten, unterschiedlichen wählbaren
Zusatzleistungen, unterschiedlichen Gestaltungen des Frankierabdrucks
etc.).
-
Sind
dem Sicherheitsmodul mehrere Postbeförderer zugeordnet, so versteht
es sich, dass für
jeden Postbeförderer
bevorzugt ein gesonderter Bereich des Abrechnungsspeichers 105.4 zugeordnet ist.
Zusätzlich
oder alternativ kann aber auch vorgesehen sein, dass die Abrechnungsdaten
in diesem Fall in einem gegen Manipulation abgesicherten Bereich
zur Vereinfachung der Zuordnung zu dem jeweiligen Postbeförderer eine
eindeutige Identifikation des betreffenden Postbeförderers
umfassen. Bei einer Reihe von Sicherungsmechanismen ist diese Zuordnung
ohnehin schon möglich,
da die zur Absicherung verwendeten geheimen Daten (z. B. Signaturschlüssel etc.)
im Sicherheitsmodul ohnehin eindeutig dem betreffenden Postbeförderer zugeordnet
sein können.
-
Es
sei and dieser Stelle erwähnt,
dass die vorstehend beschriebenen Speicher des Sicherheitsmoduls 105 bzw.
des Basismoduls 104 alle oder zum Teil sowohl als separate
Speichermodule als auch lediglich als einzelne Speicherbereiche
eines einzigen Speichermoduls ausgebildet sein können.