DE102011012874A1

DE102011012874A1 - Verfahren und Anordnung zum Freigeben der Nutzung einer Verbrauchseinheit

Info

Publication number: DE102011012874A1
Application number: DE102011012874A
Authority: DE
Inventors: Uwe Hübler; Gerrit Bleumer
Original assignee: Francotyp Postalia GmbH
Current assignee: Francotyp Postalia GmbH
Priority date: 2010-12-29
Filing date: 2011-03-02
Publication date: 2012-07-05
Also published as: US20120222094A1; US8959590B2

Abstract

Verfahren zum Freigeben der Nutzung einer ein Verbrauchsmedium haltenden Verbrauchseinheit (107) in einer Verbrauchseinrichtung (102.6) einer Verbrauchsanordnung (102), insbesondere einer Frankiermaschine, bei dem in einem ersten Übermittlungsschritt (110.4) eine der Verbrauchseinheit (107) zugeordnete erste Autorisierungsinformation von einer Datenverarbeitungseinheit (102.1) der Verbrauchsanordnung (102) über ein Kommunikationsnetz (105) an eine entfernte Datenzentrale (106) übermittelt wird, in einem ersten Überprüfungsschritt (110.5) in der Datenzentrale (106) eine Überprüfung der ersten Autorisierungsinformation erfolgt, in einem Autorisierungsschritt (110.7) in der Datenzentrale (106) in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes (110.5) eine der Verbrauchseinheit (107) zugeordnete zweite Autorisierungsinformation generiert wird, in einem zweiten Übermittlungsschritt (110.15) die zweite Autorisierungsinformation über ein Kommunikationsnetz an die Datenverarbeitungseinheit (102.1) übermittelt wird, in einem zweiten Überprüfungsschritt in der Datenverarbeitungseinheit (102.1) eine Überprüfung der zweiten Autorisierungsinformation erfolgt und in einem Freigabeschritt (110.19) in der Datenverarbeitungseinheit (102.1) in Abhängigkeit von dem Ergebnis des zweiten Überprüfungsschrittes (110.18) eine Freigabe der Nutzung der Verbrauchseinheit (107) in der Verbrauchseinrichtung (102.6) erfolgt. Dabei erfolgt in einem Abrechnungsschritt (110.11) in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes (110.5) und/oder des zweiten Überprüfungsschrittes (110.18) eine Abrechnung für die Freigabe der Nutzung der Verbrauchseinheit (107) in der Verbrauchseinrichtung (102.6), wobei der Abrechnungsschritt (110.11) erfolgt, sofern in einem Feststellungsschritt (110.10) des ersten Überprüfungsschrittes (110.5) festgestellt wird, dass die Verbrauchseinheit (107) bisher unbenutzt ist.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Freigeben der Nutzung einer ein Verbrauchsmedium haltenden Verbrauchseinheit in einer Verbrauchseinrichtung einer Verbrauchsanordnung, insbesondere einer Frankiermaschine, bei dem in einem ersten Übermittlungsschritt eine der Verbrauchseinheit zugeordnete erste Autorisierungsinformation von einer Datenverarbeitungseinheit der Verbrauchsanordnung über ein Kommunikationsnetz an eine entfernte Datenzentrale übermittelt wird und in einem ersten Überprüfungsschritt in der Datenzentrale eine Überprüfung der ersten Autorisierungsinformation erfolgt. In einem Autorisierungsschritt wird in der Datenzentrale in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes eine der Verbrauchseinheit zugeordnete zweite Autorisierungsinformation generiert, die in einem zweiten Übermittlungsschritt über ein Kommunikationsnetz an die Datenverarbeitungseinheit übermittelt wird. In einem zweiten Überprüfungsschritt erfolgt in der Datenverarbeitungseinheit eine Überprüfung der zweiten Autorisierungsinformation, wobei dann in einem Freigabeschritt in der Datenverarbeitungseinheit in Abhängigkeit von dem Ergebnis des zweiten Überprüfungsschrittes eine Freigabe der Nutzung der Verbrauchseinheit in der Verbrauchseinrichtung erfolgt. Weiterhin erfolgt in einem Abrechnungsschritt in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes und/oder des zweiten Überprüfungsschrittes eine Abrechnung für die Freigabe der Nutzung der Verbrauchseinheit in der Verbrauchseinrichtung. Die Erfindung betrifft weiterhin eine entsprechende Anordnung zur Durchführung des erfindungsgemäßen Verfahrens, sowie eine Datenverarbeitungseinrichtung, die eine Komponente dieser Anordnung darstellt.
Bei einer Vielzahl von Anwendungen, bei denen eine physische Wiedergabe bestimmter Daten (beispielsweise ein Ausdruck der Daten oder dergleichen) erzeugt wird, werden Verbrauchsmaterialien für die Erzeugung dieser physischen Wiedergabe verwendet, die bestimmte Eigenschaften aufweisen, um eine vorgegebene Qualität der Wiedergabe zu gewährleisten und/oder gegebenenfalls im Zusammenspiel mit weiteren Merkmalen der Wiedergabe die Authentizität der wiedergegebenen Daten bzw. die Autorisierung zur Erzeugung der Wiedergabe zu belegen. So werden beispielsweise bei modernen Frankiermaschinen in der Regel spezielle, von dem betreffenden Postbeförderer vorgegebene Tinten oder Toner verwendet, um einen gültigen Frankierabdrucks zu erzeugen. Die verwendeten Tinten oder Toner können zudem bestimmte, für das menschliche Auge ohne Hilfsmittel nicht erkennbare Sicherheitsmerkmale (beispielsweise fluoreszierende Partikel oder dergleichen) aufweisen.
Um sicherzustellen, dass im Zusammenhang mit einer solchen Wiedergabe ausschließlich autorisierte Verbrauchsmaterialien verwendet werden, sind eine Reihe von Verfahren bekannt, welche gewährleisten sollen, dass nur autorisierte Verbrauchseinheiten (beispielsweise Tintenkartuschen, Farbbandkassetten, Tonerkartuschen etc.) in den betreffenden Verbrauchseinrichtungen zur Nutzung freigegeben werden.
Unter anderem wird bei einer Reihe von lokal in der Frankiermaschine angewandten Verfahren, wie sie beispielsweise aus der EP 1 237 725 B1 bekannt sind, eine in einem Speicher der Verbrauchseinheit gespeicherte Autorisierungsinformation in der Frankiermaschine überprüft, beispielsweise wird eine digitale Signatur des Herstellers der Verbrauchseinheit über einer der Verbrauchseinheit spezifisch zugeordneten Information verifiziert. Nur wenn diese Überprüfung erfolgreich ist, wird die Nutzung der Verbrauchseinheit freigegeben. Andernfalls wird das Drucken gesperrt. Ähnliche Verfahren sind aus der EP 1 132 868 A1 und der EP 0 875 862 A2 bekannt.
Bei weiteren Verfahren, wie sie beispielsweise aus der EP 1 103 924 B1 bekannt sind, vergleicht eine Datenzentrale ein von der Frankiermaschine über ein Kommunikationsnetz gesandtes Codewort mit einer in der Datenzentrale vorhandenen Liste von gültigen Codewörtern. Wenn diese Überprüfung nicht erfolgreich ist, können Gegenmaßnahmen bis hin zum Sperren der Frankiermaschine für die Nutzung der Verbrauchseinheit eingeleitet werden. Ein ähnliches Verfahren ist weiterhin aus der DE 100 23 145 A1 bekannt. Bei einem weiteren ähnlichen Verfahren, welches aus der EP 1 103 925 B1 bekannt ist, erhält die Frankiermaschine eine Liste von gültigen Codewörtern für den Vergleich.
Aus der EP 1 103 925 A1 ist schließlich ein gattungsgemäßes Verfahren bekannt, bei dem nach der Nutzung einer autorisierten Verbrauchseinheit für eine vorgegebene Anzahl von Abdrucken die weitere Nutzung in der Frankiermaschine unterbunden wird, obwohl noch ausreichend Resttinte für eine weitere Nutzung vorhanden ist. Eine weitere Nutzung der Resttinte wird jedoch ermöglicht, wenn in einem Freigabevorgang im Zusammenspiel zwischen der Frankiermaschine und einer Datenzentrale gegen eine entsprechende Bezahlung seitens des Nutzers in einem Abrechnungsvorgang eine entsprechende Freigabe erfolgt.
Allen diesen Verfahren ist gemeinsam, dass entsprechend hoher Aufwand betrieben werden muss, um sicherzustellen, dass in der Verbrauchseinrichtung nur autorisierte Verbrauchseinheiten betrieben werden. Dies hat vergleichsweise hohe Kosten für die einzelne Verbrauchseinheit zur Folge. Dabei besteht zudem teils, sofern überhaupt, nur ein mäßiger Schutz gegen die Verwendung von Piraterieprodukten oder von ehemals autorisierten Verbrauchseinheiten, die seitens Dritter wiederbefüllt wurden. Derartige unautorisierte Verbrauchseinheiten werden typischerweise zu deutlich niedrigeren Preisen als autorisierte Verbrauchseinheiten vertrieben, sodass insofern der wirtschaftliche Druck, eine noch stärkere Absicherung zu erzielen, weiter zunimmt und die Kosten in die Höhe treibt.
So wird bei dem aus der EP 1 103 925 A1 bekannten Speicher der Verbrauchseinheit zwar der Verbrauch oder die verbleibende Restmenge erfasst und die Nutzung der Verbrauchseinheit unterbunden, sobald eine bestimmte Restmenge erreicht wird. Es besteht jedoch in manchen Fällen die Möglichkeit, den Speicher der Verbrauchseinheit zu manipulieren. Als Gegenmaßnahme hierzu können Speicher mit einmalig beschreibbaren Speicherbereichen eingesetzt werden, die jedoch ebenfalls die Kosten in die Höhe treiben. Zudem können Dritte versuchen, den „verbrauchten” Speicher gegen einen möglicherweise sogar baugleichen „unverbrauchten” Speicher auszutauschen. Auch hier können verschiedene Gegenmaßnahmen ergriffen werden, welche jedoch ebenfalls die Kosten in die Höhe treiben.
Der vorliegenden Erfindung liegt daher die Aufgabe zu Grunde, ein Verfahren und eine Anordnung sowie eine Datenverarbeitungseinrichtung für eine solche Anordnung der eingangs genannten Art zur Verfügung zu stellen, welches bzw. welche die oben genannten Nachteile nicht oder zumindest in geringerem Maße aufweist und insbesondere auf kostengünstige Weise einen hohen Schutz gegen die Nutzung unautorisierter Verbrauchseinheiten ermöglicht.
Die vorliegende Erfindung löst diese Aufgabe mit einem Verfahren gemäß Anspruch 1. Sie löst diese Aufgabe weiterhin mit einer Anordnung gemäß Anspruch 14.
Der vorliegenden Erfindung liegt die technische Lehre zu Grunde, dass man eine einfache und kostengünstige Weise einen hohen Schutz gegen die Nutzung unautorisierter Verbrauchseinheiten ermöglicht, wenn die Abrechnung erfolgt, wenn bei der Überprüfung der der Verbrauchseinheit zugeordneten ersten Autorisierungsinformation in der Datenzentrale festgestellt wird, dass die Verbrauchseinheit bisher unbenutzt ist. Hiermit ist es möglich, dass der Nutzer der Verbrauchseinheit beispielweise erst bei der erstmaligen Überprüfung der Verbrauchseinheit über den Abrechnungsvorgang ein entsprechendes Nutzungsentgelt entrichtet, sodass der Verkaufspreis der Verbrauchseinheit zunächst ohne wirtschaftlichen Nachteil für den Anbieter autorisierter Verbrauchseinheiten niedrig gehalten werden kann. Die spätere Zahlung mit der erstmaligen Überprüfung bzw. Nutzung der Verbrauchseinheit reduziert den wirtschaftlichen Anreiz, nicht autorisierte Verbrauchseinheiten in Verkehr zu bringen erheblich, da der Kostenvorteil nicht autorisierter Verbrauchseinheiten gegenüber autorisierten Verbrauchseinheiten zumindest weit gehend wegfallen kann und zudem über die Überprüfung in der Datenzentrale in einfacher Weise nicht autorisierte Verbrauchseinheiten erkannt und abgewiesen werden können.
Insbesondere genügt es, in der Datenzentrale lediglich eine Liste mit den Daten vorzuhalten, die in dem ersten Überprüfungsschritt für autorisierte Verbrauchseinheiten verwendet werden. Dabei können anhand dieser in der Datenzentrale verfügbaren Daten in dem ersten Überprüfungsschritt einfache Plausibilitätsprüfungen durchgeführt werden, welche es ermöglichen, Manipulationen an oder Unstimmigkeiten in den der Verbrauchseinheit zugeordneten Daten aufzudecken und so nicht autorisierte bzw. später in nicht autorisierter Weise manipulierte Verbrauchseinheiten zu erkennen und diese dann gegebenenfalls nicht zur Nutzung freizugeben.
Beispielsweise kann eine nicht autorisierte Wiederbefüllung einer Verbrauchseinheit mit dem Verbrauchsmedium in einfacher Weise dadurch erkannt werden, dass der Nutzungszustand der Verbrauchseinheit (dessen Erfassung für das im Zusammenhang mit der Abrechnung erforderliche Erkennen des unbenutzten Zustands der Verbrauchseinheit ohnehin genutzt werden kann) in der Datenzentrale für die jeweilige Verbrauchseinheit nach der (im Zuge oder in Folge der erstmaligen Überprüfung durchgeführten) Registrierung der Verbrauchseinheit in der Datenzentrale in einem entsprechenden Datensatz protokolliert wird. Ergibt eine erneute Überprüfung zu einem späteren Zeitpunkt dann einen nicht plausiblen Füllstand des Verbrauchsmediums in der Verbrauchseinheit (beispielsweise einen höheren Füllstand als bei der letzten Überprüfung), so lässt dies auf eine nicht autorisierte Manipulation schließen und es kann die Freigabe der Nutzung der Verbrauchseinheit verweigert werden.
Diese Registrierung der Verbrauchseinheit und die nachfolgende Protokollierung bestimmter der Verbrauchseinheit zugeordneter Daten, die ihrerseits als Vergleichsdaten bei späteren erneuten Überprüfungen der von der Verbrauchseinheit stammenden Daten herangezogen werden, hat zudem den Vorteil, dass sowohl die beispielsweise in einem Speicher der Verbrauchseinheit gespeicherten Daten als auch der Speicher selbst vergleichsweise einfach gestaltet sein können. Eine Manipulation bzw. ein Austausch des Speichers der Verbrauchseinheit sowie der Daten in diesem Speicher werden dank der manipulationssicheren Speicherung der Vergleichsdaten in der Datenzentrale zuverlässig erkannt. Gleiches gilt, wenn Daten einer autorisierten Verbrauchseinheit, beispielsweise deren gültige Identifikation, kopiert werden, da über die Protokollierung in der Datenzentrale eine parallele Nutzung einer gültigen Identifikation für mehrere Verbrauchseinheiten erkannt und damit vermieden werden kann.
Gemäß einem Aspekt betrifft die vorliegende Erfindung daher ein Verfahren zum Freigeben der Nutzung einer ein Verbrauchsmedium haltenden Verbrauchseinheit in einer Verbrauchseinrichtung einer Verbrauchsanordnung, insbesondere einer Frankiermaschine, bei dem in einem ersten Übermittlungsschritt eine der Verbrauchseinheit zugeordnete erste Autorisierungsinformation von einer Datenverarbeitungseinheit der Verbrauchsanordnung über ein Kommunikationsnetz an eine entfernte Datenzentrale übermittelt wird und in einem ersten Überprüfungsschritt in der Datenzentrale eine Überprüfung der ersten Autorisierungsinformation erfolgt. In einem Autorisierungsschritt wird in der Datenzentrale in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes eine der Verbrauchseinheit zugeordnete zweite Autorisierungsinformation generiert, die dann in einem zweiten Übermittlungsschritt über ein Kommunikationsnetz an die Datenverarbeitungseinheit übermittelt wird. In einem zweiten Überprüfungsschritt erfolgt in der Datenverarbeitungseinheit eine Überprüfung der zweiten Autorisierungsinformation und in einem nachfolgenden Freigabeschritt in Abhängigkeit von dem Ergebnis des zweiten Überprüfungsschrittes eine Freigabe der Nutzung der Verbrauchseinheit in der Verbrauchseinrichtung. Dabei erfolgt in einem Abrechnungsschritt in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes und/oder des zweiten Überprüfungsschrittes eine Abrechnung für die Freigabe der Nutzung der Verbrauchseinheit in der Verbrauchseinrichtung erfolgt, wobei der Abrechnungsschritt erfolgt, sofern in einem Feststellungsschritt des ersten Überprüfungsschrittes festgestellt wird, dass die Verbrauchseinheit bisher unbenutzt ist.
Das Erfassen der Tatsache, dass die Verbrauchseinheit unbenutzt ist, kann auf beliebige geeignete Weise erfolgen. Vorzugsweise umfasst die erste Autorisierungsinformation eine, insbesondere einmalige und eindeutige, erste Identifikationsinformation der Verbrauchseinheit (beispielsweise eine einmalige eindeutige Seriennummer der Verbrauchseinheit), wobei die Feststellung, dass die Verbrauchseinheit unbenutzt ist, in dem Feststellungsschritt unter Verwendung der ersten Identifikationsinformation erfolgt. Im einfachsten Fall wird erfasst, dass die erste Identifikationsinformation zum ersten Mal von einer entfernten Datenverarbeitungseinheit an die Datenzentrale übermittelt und in einem ersten Überprüfungsschritt verwendet wurde. Es können für diese Feststellung jedoch, wie im Folgenden dargelegt wird, zusätzlich oder alternativ noch weitere Kriterien herangezogen werden.
Bei bevorzugten Varianten der Erfindung wird die erste Identifikationsinformation mit einer in der Datenzentrale gespeicherten ersten Vergleichsidentifikationsinformation verglichen, wobei die Feststellung einer unbenutzten Verbrauchseinheit in dem Feststellungsschritt nur erfolgt, wenn erstmalig eine vorgebbare Beziehung zwischen der ersten Identifikationsinformation und der ersten Vergleichsidentifikationsinformation vorliegt. So kann beispielsweise im einfachsten Fall als erste Vergleichsidentifikationsinformation eine zur ersten Identifikationsinformation identische Information in der Datenzentrale gespeichert sein, sodass nur bei erstmaliger Feststellung der Identität dieser beiden Informationen von einer unbenutzten Verbrauchseinheit ausgegangen wird.
Besonders vorteilhaft ist es, wenn die erste Autorisierungsinformation eine erste Füllstandsinformation umfasst, die für die in der Verbrauchseinheit verfügbare Menge des Verbrauchsmediums repräsentativ ist, und die Feststellung, dass die Verbrauchseinheit unbenutzt ist, unter Verwendung der ersten Füllstandsinformation erfolgt. Hierzu kann in der Datenzentrale eine Vergleichsfüllstandsinformation gespeichert sein, welche mit der übermittelten ersten Füllstandsinformation verglichen wird. Liegt eine vorgebbare Beziehung zwischen der ersten Füllstandsinformation und der Vergleichsfüllstandsinformation, so wird die Verbrauchseinheit als unbenutzt eingestuft und dementsprechend die Abrechnung durchgeführt. Hierbei können für die Abweichung zwischen den beiden verglichenen Füllstandsinformationen gewisse Toleranzwerte vorgesehen sein, um einen plausiblen Schwund des Verbrauchsmediums (beispielsweise durch natürliche Verdunstung oder dergleichen) oder Toleranzen bei der werksseitigen Befüllung der Verbrauchseinheiten zu berücksichtigen.
Hierbei kann natürlich im Hinblick auf die Richtung der Abweichung unterschieden werden. So kann bei einer Abweichung nach unten, also für den Fall, dass eine geringere Menge verfügbar ist als bei einer unverbrauchten Verbrauchseinheit zu erwarten ist, eine größere Abweichung zugelassen werden als bei einer Abweichung nach oben, also in einem Fall, in dem eine größere Menge verfügbar ist als zu erwarten. Gegebenenfalls kann natürlich auch vorgesehen sein, dass eine solche Abweichung nach oben stets zur Verweigerung der Nutzung, mithin also einer Abweisung der Verbrauchseinheit führt.
Bei weiteren bevorzugten Varianten des erfindungsgemäßen Verfahrens umfasst die erste Identifikationsinformation eine Kontrollinformation, die insbesondere unter Verwendung kryptographischer Mittel erzeugt ist. Die Überprüfung der ersten Autorisierungsinformation in dem ersten Überprüfungsschritt umfasst dann eine Überprüfung, ob eine vorgebbare Beziehung zwischen der Kontrollinformation und einem weiteren Teil der ersten Identifikationsinformation vorliegt, wobei die Freigabe der Nutzung der Verbrauchseinheit nur erfolgt, wenn die vorgebbare Beziehung zwischen der Kontrollinformation und dem weiteren Teil der ersten Identifikationsinformation vorliegt.
Durch diese Kontrollinformation wird in einfacher Weise vermieden, dass Dritte selbst eine gültige erste Identifikationsinformation generieren können. Dies erhöht die Manipulationssicherheit zusätzlich, da in diesem Fall dann schlimmstenfalls eine gültige Identifikationsinformation von einer autorisierten Verbrauchseinheit kopiert und auf andere Verbrauchseinheiten übertragen werden kann, wobei von allen diesen Verbrauchseinheiten mit derselben Identifikationsinformation (also die ursprüngliche autorisierte Verbrauchseinheit sowie die ausgehend von dieser erstellten Kopien) nur eine genutzt werden kann.
Bei der Kontrollinformation kann es sich um eine beliebige geeignete Information handeln, welche unter Verwendung eines Geheimnisses (also einer beispielsweise nur den Hersteller der Verbrauchseinheit bekannten Information und/oder Algorithmus) generiert wurde. So kann die Kontrollinformation mittels beliebiger geeigneter kryptographischer Operationen erzeugt worden sein, bei denen ein solches Geheimnis als kryptographischer Schlüssel verwendet wird. Insbesondere kann es sich um eine digitale Signatur über zumindest einem Teil der Identifikationsinformation handeln.
Ebenso kann zusätzlich oder alternativ aber auch einfach ein kryptographischer Algorithmus, beispielsweise ein so genannter Hash-Algorithmus (wie z. B. SHA-1, SHA256, MD4 etc.), auf zumindest einen Teil der Identifikationsinformation angewendet werden. Das Geheimnis kann dabei darin bestehen, dass der verwendete kryptographische Algorithmus und/oder der Teil der Identifikationsinformation, auf den ein solcher kryptographischer Algorithmus angewendet wird, Dritten unbekannt ist. Auch hierdurch kann schon ein ausreichendes Maß an Sicherheit erzielt werden, da die Rekonstruktion der Ausgangsdaten selbst anhand einer größeren Anzahl von nach diesem Muster hergestellten Identifikationsinformationen einen sehr großen Rechenaufwand erfordern würde.
Bei weiteren bevorzugten Varianten des erfindungsgemäßen Verfahrens erfolgt in dem Autorisierungsschritt in der Datenzentrale in einem Registrierungsschritt eine Registrierung des ersten Überprüfungsschrittes in einer in der Datenzentrale gespeicherten und der Verbrauchseinheit, insbesondere der zugehörigen ersten Identifikationsinformation, zugeordneten Überprüfungshistorie. Diese Überprüfungshistorie ermöglicht in besonders einfacher Weise die bereits erwähnten Plausibilitätsprüfungen, welche durchgeführt werden können, um Manipulationen an den Daten einer autorisierten Verbrauchseinheit und/oder nicht autorisierte Verbrauchseinheiten zu erkennen.
Die der jeweiligen Verbrauchseinheit bzw. deren Identifikationsinformation zugeordnete Überprüfungshistorie kann grundsätzlich beliebige Informationen umfassen, welche für derartige Plausibilitätsprüfungen verwendet werden können. Hierbei versteht es sich, dass diese Informationen auf beliebige geeignete Weise in der Datenzentrale erfasst bzw. an die Datenzentrale übermittelt werden können. Insbesondere können entsprechende in der Datenverarbeitungseinheit erfasste oder von dieser übermittelte Informationen in die erste Autorisierungsinformation eingebunden werden.
So kann beispielsweise vorgesehen sein, dass die Überprüfungshistorie die der Verbrauchseinheit bzw. der zugehörigen ersten Identifikationsinformation zugeordnete Anzahl von durchgeführten ersten Überprüfungsschritten umfasst. Mithin kann also gezählt werden, wie oft in der Vergangenheit für die betreffende Verbrauchseinheit bereits der erste Überprüfungsschritt durchgeführt wurde. In diesem Fall kann zunächst auf besonders einfache Weise die Feststellung einer unbenutzten Verbrauchseinheit bzw. die Erfassung der erstmaligen Durchführung des ersten Überprüfungsschrittes erfolgen, da einfach nur festzustellen ist, dass der betreffende Zähler der der Verbrauchseinheit zugeordneten Überprüfungshistorie auf dem Wert Null steht.
Ebenso können anhand dieser Anzahl von ersten Überprüfungsschritten weitere sicherheitsrelevante Überprüfungen durchgeführt werden. So kann beispielsweise aus einer hohen Anzahl von ersten Überprüfungsschritten innerhalb einer vorgegebenen Zeitspanne auf mögliche Manipulationen bzw. Manipulationsversuche geschlossen und entsprechend reagiert werden. Die Reaktion kann dabei von der Ausgabe einer bloßen Warnung an den Nutzer der Verbrauchseinrichtung bis hin zum Sperren der Verbrauchseinrichtung reichen.
Bei weiteren Varianten der Erfindung umfasst die Überprüfungshistorie eine zumindest für den Zeitpunkt des aktuellen ersten Überprüfungsschrittes repräsentative Überprüfungszeitinformation. Durch diese Erfassung und Protokollierung des Zeitpunkts aktuellen ersten Überprüfungsschrittes kann ebenfalls auf den zeitlichen Ablauf der Nutzung der Verbrauchseinheit und damit auf mögliche Manipulationen bzw. Manipulationsversuche geschlossen und wie oben beschrieben entsprechend reagiert werden.
Insbesondere kann für die jeweilige Verbrauchseinheit eine für den Zeitpunkt der erstmaligen Durchführung des ersten Überprüfungsschrittes repräsentative Erstüberprüfungszeitinformation in der Überprüfungshistorie abgelegt sein. Anhand dieser Erstüberprüfungszeitinformation kann beispielsweise überprüft werden, ob ein bestimmter maximaler Nutzungszeitraum der Verbrauchseinheit bereits überschritten ist und hierauf dann wieder entsprechend reagiert werden (Ausgabe einer Warnmeldung, Sperren der Nutzung etc.).
Bei bevorzugten Varianten der Erfindung ist daher vorgesehen, dass in dem ersten Überprüfungsschritt ein Vergleich einer aktuellen Zeitinformation mit der Erstüberprüfungszeitinformation aus der der Verbrauchseinheit zugeordneten Überprüfungshistorie vorgenommen wird und die Freigabe der Nutzung in dem Freigabeschritt nur erfolgt, wenn eine vorgebbare Beziehung zwischen der aktuellen Zeitinformation und der Erstüberprüfungszeitinformation besteht, insbesondere eine sich aus der aktuellen Zeitinformation und der Erstüberprüfungszeitinformation ergebende Zeitdifferenz kleiner ist als eine vorgebbare maximale Nutzungsdauer der Verbrauchseinheit.
Weiterhin kann die der jeweiligen Verbrauchseinheit zugeordnete Überprüfungshistorie eine der Datenverarbeitungseinheit zugeordnete zweite Identifikationsinformation umfassen. Mithin kann also die Registrierung der Verbrauchseinheit an die Verbrauchseinrichtung gekoppelt werden, mit der sie genutzt wird. Die zweite Identifikationsinformation kann beispielsweise als Bestandteil der ersten Autorisierungsinformation in dem ersten Übermittlungsschritt übermittelt werden.
Hiermit ist es beispielsweise möglich, die Nutzung der Verbrauchseinheit nur in Verbindung mit der Verbrauchseinrichtung zuzulassen, mit der ihre erste Registrierung erfolgte. Ebenso ist es möglich, in der Datenzentrale eine Gruppe von Verbrauchseinrichtungen bzw. Datenverarbeitungseinheiten zu definieren, für welche die Nutzung einer Verbrauchseinheit zugelassen wird, sofern die erstmalige Registrierung (also die erstmalige Durchführung des ersten Überprüfungsschrittes) im Zusammenhang mit einer der Datenverarbeitungseinheit aus dieser Gruppe erfolgte. So kann es beispielsweise dem Besitzer einer Gruppe von Frankiermaschinen gestattet sein, eine autorisierte Verbrauchseinheit in unterschiedlichen Frankiermaschinen dieser Gruppe einzusetzen.
Bei bevorzugten Varianten der Erfindung ist daher vorgesehen, dass die erste Autorisierungsinformation eine der Datenverarbeitungseinheit zugeordnete zweite Identifikationsinformation umfasst, in dem ersten Überprüfungsschritt ein Vergleich der zweiten Identifikationsinformation mit zumindest einer vorherigen zweiten Identifikationsinformation aus der der Verbrauchseinheit zugeordneten Überprüfungshistorie vorgenommen wird, die aus einem vorherigen Autorisierungsschritt, insbesondere dem letzten zuvor durchgeführten Autorisierungsschritt, stammt, und die Freigabe der Nutzung in dem Freigabeschritt nur erfolgt, wenn eine vorgebbare Beziehung zwischen der zweiten Identifikationsinformation und der vorherigen zweiten Identifikationsinformation besteht, insbesondere die zweite Identifikationsinformation mit der vorherigen zweiten Identifikationsinformation identisch ist.
Bei weiteren besonders bevorzugten Varianten des erfindungsgemäßen Verfahrens umfasst die der jeweiligen Verbrauchseinheit zugeordnete Überprüfungshistorie zumindest eine für die in der Verbrauchseinheit aktuell verfügbare Menge des Verbrauchsmediums repräsentative erste Füllstandsinformation. Anhand dieser Füllstandsinformation ist es auf besonders einfache Weise möglich, Manipulationen an der Verbrauchseinheit, insbesondere ein nicht autorisiertes Wiederbefüllen der Verbrauchseinheit, zu erfassen. So deutet beispielsweise ein Anstieg der verfügbaren Menge des Verbrauchsmediums eindeutig auf ein Wiederbefüllen der Verbrauchseinheit hin.
Ebenso kann ein über eine lange Zeit konstanter oder nur leicht abnehmender Füllstand auf eine derartige Manipulation hindeuten. Um derartige Situationen einfach erkennen zu können, kann bei vorteilhaften Varianten der Erfindung vorgesehen sein, dass die Datenverarbeitungseinheit, beispielsweise eingebettet in die erste Autorisierungsinformation, eine Information über die Anzahl der Nutzungen der Verbrauchseinheit seit dem letzten Freigabeschritt liefert. Damit ist in einfacher Weise eine Überprüfung der Plausibilität des aktuell übermittelten Füllstands der Verbrauchseinheit möglich.
Bei bevorzugten Varianten der Erfindung ist daher vorgesehen, dass die erste Autorisierungsinformation eine erste Füllstandsinformation umfasst, die für die in der Verbrauchseinheit verfügbare Menge des Verbrauchsmediums repräsentativ ist. In dem ersten Überprüfungsschritt wird dann ein Vergleich der ersten Füllstandsinformation mit einer der Verbrauchseinheit zugeordneten Füllstandsgrenzinformation und/oder mit zumindest einer vorherigen ersten Füllstandsinformation aus der der Verbrauchseinheit zugeordneten Überprüfungshistorie vorgenommen, die aus einem vorherigen Autorisierungsschritt, insbesondere dem letzten zuvor durchgeführten Autorisierungsschritt, stammt. Die Freigabe der Nutzung in dem Freigabeschritt erfolgt dann nur, wenn eine vorgebbare Beziehung zwischen der ersten Füllstandsinformation und der vorherigen ersten Füllstandsinformation besteht, insbesondere die verfügbare Menge des Verbrauchsmediums kleiner ist als die vorherige verfügbare Menge des Verbrauchsmediums aus dem vorherigen Autorisierungsschritt.
Zusätzlich oder alternativ kann in einem endgültigen Sperrschritt eine dauerhafte Sperre der Nutzung der Verbrauchseinheit erfolgen, wenn eine vorgebbare Beziehung zwischen der ersten Füllstandsinformation und der vorherigen ersten Füllstandsinformation besteht, insbesondere die verfügbare Menge des Verbrauchsmediums größer ist als die vorherige verfügbare Menge des Verbrauchsmediums aus dem vorherigen Autorisierungsschritt, da dies als eindeutiges Indiz für ein nicht autorisiertes Wiederbefüllen der Verbrauchseinheit gewertet werden kann.
Zusätzlich oder alternativ kann in einem endgültigen Sperrschritt eine dauerhafte Sperre der Nutzung der Verbrauchseinheit erfolgen, wenn eine vorgebbare Beziehung zwischen der ersten Füllstandsinformation und der Füllstandsgrenzinformation besteht, insbesondere die verfügbare Menge des Verbrauchsmediums eine durch die Füllstandsgrenzinformation definierte Grenzmenge des Verbrauchsmediums erreicht oder unterschritten hat. Hiermit kann also ein Zustand „Verbrauchseinheit leer” erfasst werden und die Nutzung dauerhaft gesperrt werden, um ein nicht autorisiertes Wiederbefüllen und eine erneute Nutzung der Verbrauchseinheit zu verhindern.
Besonders effektiv kann dies realisiert werden, indem in dem endgültigen Sperrschritt der Verbrauchseinheit, insbesondere der ersten Identifikationsinformation, in der Datenzentrale eine Sperrinformation zugeordnet wird, in dem ersten Überprüfungsschritt eine Überprüfung vorgenommen wird, ob der Verbrauchseinheit eine Sperrinformation zugeordnet ist, und die Freigabe der Nutzung in dem Freigabeschritt nur erfolgt, wenn der Verbrauchseinheit keine Sperrinformation zugeordnet ist. Mithin kann also die Verbrauchseinheit in der Datenzentrale als gesperrt registriert werden bzw. die Verbrauchseinheit in der Datenzentrale deregistriert werden, um ein nicht autorisiertes Wiederbefüllen und eine erneute Nutzung der Verbrauchseinheit zu verhindern. Alternativ kann auch lediglich die erste Identifikationsinformation (z. B. eine Seriennummer) aus der in der Datenzentrale verfügbaren Liste der gültigen ersten Identifikationsinformationen (z. B. einer Liste gültiger Seriennummern) gelöscht werden.
Bei weiteren bevorzugten Varianten der Erfindung ist vorgesehen, dass der erste Übermittlungsschritt in Abhängigkeit von dem Eintreten wenigstens eines vorgebbaren ersten Ereignisses erfolgt. Herbei kann es sich beispielsweise um ein beliebiges zeitliches Ereignis handeln, wie das Erreichen eines bestimmten Datums, der Ablauf einer bestimmten Zeitspanne oder dergleichen.
Zusätzlich oder alternativ kann es sich bei dem wenigstens einen vorgebbaren ersten Ereignis vorzugsweise um ein nicht-zeitliches Ereignis handeln. Auch hier können beliebige nicht-zeitliches Ereignisse zur Anwendung kommen. So kann es sich bei dem ersten Ereignis um das Herstellen einer Verbindung zwischen der Datenverarbeitungseinheit und der Verbrauchseinheit handeln. Hierdurch kann zum Beispiel in einfacher Weise sichergestellt werden, dass bei jedem Einsetzen einer Verbrauchseinheit in die Verbrauchseinrichtung eine Überprüfung erfolgt, ob diese autorisiert und unmanipuliert ist.
Zusätzlich oder alternativ kann es sich bei dem vorgebbaren ersten Ereignis um das Lösen einer Verbindung zwischen der Datenverarbeitungseinheit und der Verbrauchseinheit handeln. Hierdurch kann zum Beispiel in einfacher Weise sichergestellt werden, dass bei jedem Entnehmen einer Verbrauchseinheit aus der Verbrauchseinrichtung nicht nur eine Überprüfung erfolgt, ob diese autorisiert und unmanipuliert ist. Vielmehr kann hierdurch beispielsweise auch sichergestellt werden, dass die oben beschriebene Überprüfungshistorie auf einen aktuellen Stand gebracht wird (z. B. eine gespeicherte Füllstandsinformation etc. aktualisiert wird). Ein nicht autorisiertes Wiederbefüllen kann hierdurch effektiv vermieden werden.
Zusätzlich oder alternativ kann es sich bei dem vorgebbaren ersten Ereignis um das Erreichen einer vorgebbaren ersten Anzahl von Nutzungen der Verbrauchseinheit und/oder das Erreichen eines vorgebbaren ersten Verbrauchs des Verbrauchsmediums und/oder das Erreichen einer vorgebbaren in der Verbrauchseinheit noch verfügbaren ersten Menge des Verbrauchsmediums handeln. Alle diese Varianten können dazu dienen, die Überprüfungshistorie auf einem ausreichend aktuellen Stand zu halten und damit ein nicht autorisiertes Wiederbefüllen oder andere Manipulationen wirkungsvoll zu erschweren bzw. zu verhindern.
Bei weiteren bevorzugten Varianten der Erfindung ist vorgesehen, dass in einem temporären Sperrschritt eine aufhebbare Sperre der Nutzung der Verbrauchseinheit in Abhängigkeit von dem Eintreten wenigstens eines vorgebbaren zweiten Ereignisses erfolgt. Auch hierbei kann es sich beispielsweise um ein beliebiges zeitliches Ereignis handeln, wie das Erreichen eines bestimmten Datums, der Ablauf einer bestimmten Zeitspanne oder dergleichen. So kann beispielsweise mit Ablauf einer bestimmten Zeitspanne nach Anstoßen eines ersten Übermittlungsschritts die aufhebbare Sperre erfolgen.
Zusätzlich oder alternativ kann es sich bei dem wenigstens einen vorgebbaren ersten Ereignis vorzugsweise um ein nicht-zeitliches Ereignis handeln. Auch hier können beliebige nicht-zeitliche Ereignisse zur Anwendung kommen. So kann es sich bei dem wenigstens einen vorgebbaren zweiten Ereignis um das Lösen einer Verbindung zwischen der Datenverarbeitungseinheit und der Verbrauchseinheit und/oder das Erreichen einer vorgebbaren zweiten Anzahl von Nutzungen der Verbrauchseinheit und/oder das Erreichen eines vorgebbaren zweiten Verbrauchs des Verbrauchsmediums und/oder das Erreichen einer vorgebbaren in der Verbrauchseinheit noch verfügbaren zweiten Menge des Verbrauchsmediums handeln.
Zusätzlich oder alternativ kann der temporäre Sperrschritt nur dann erfolgen, wenn nach dem letzten Eintreten des ersten Ereignisses und vor dem Eintreten des zweiten Ereignisses kein Freigabeschritt erfolgt. Erfolgt also mit anderen Worten rechtzeitig ein Freigabeschritt, so tritt die Sperre nicht ein.
Die Datenübertragung zwischen der Datenverarbeitungseinheit und der Datenzentrale kann grundsätzlich auf beliebige geeignete Weise erfolgen, wobei beliebige Kommunikationsnetze zur Anwendung kommen können, die zumindest teilweise drahtlos und/oder zumindest teilweise drahtgebunden arbeiten. Die Kommunikation kann unverschlüsselt erfolgen. Bevorzugt ist jedoch eine durch kryptographische Mittel gegen unerkannte unautorisierte Manipulation abgesicherte Kommunikation vorgesehen.
Vorzugsweise wird die erste Autorisierungsinformation zumindest vor dem ersten Übertragungsschritt und/oder während des ersten Übertragungsschritts durch kryptographische Mittel gegen unerkannte unautorisierte Manipulation abgesichert. Zusätzlich oder alternativ wird die zweite Autorisierungsinformation zumindest vor dem zweiten Übertragungsschritt und/oder während des zweiten Übertragungsschritts durch kryptographische Mittel gegen unerkannte unautorisierte Manipulationen abgesichert.
Bei weiteren bevorzugten Varianten der Erfindung ist vorgesehen, dass die zweite Autorisierungsinformation wenigstens ein durch die Datenzentrale in dem Autorisierungsschritt erzeugtes kryptographisches Zertifikat umfasst, welches in einem Verifizierungsschritt des Freigabeschritts von der Datenverarbeitungseinheit verifiziert wird, und die Freigabe der Nutzung in Abhängigkeit von dem Ergebnis des Verifizierungsschritts erfolgt.
Dieses kryptographische Zertifikat wird vorzugsweise im weiteren Verlauf auch im Rahmen eines nachfolgenden ersten Überprüfungsschrittes verwendet, um die Autorisierung der Verbrauchseinheit zu prüfen. Hierzu wird das der jeweiligen Verbrauchseinheit mit ihrer Registrierung zugeordnete kryptographische Zertifikat bevorzugt in der Datenzentrale protokolliert, indem es beispielsweise in die der Verbrauchseinheit zugeordnete Überprüfungshistorie aufgenommen wird. Bei weiteren vorteilhaften Varianten der Erfindung umfasst die Überprüfungshistorie daher zumindest einen Teil der zweiten Autorisierungsinformation, insbesondere die gesamte zweite Autorisierungsinformation, wobei natürlich dann das kryptographische Zertifikat als entsprechender Teil der zweiten Autorisierungsinformation in die der Verbrauchseinheit zugeordnete Überprüfungshistorie aufgenommen wird.
Um das kryptographische Zertifikat im Rahmen eines nachfolgenden ersten Überprüfungsschrittes zu verwenden, um die Autorisierung der Verbrauchseinheit zu prüfen, kann die erste Autorisierungsinformation ihrerseits dann ein in einem vorangegangenen, insbesondere dem ersten Übertragungsschritt unmittelbar vorangegangenen, Autorisierungsschritt erzeugtes vorangegangenes kryptographisches Zertifikat umfassen, wobei das vorangegangene kryptographische Zertifikat dann in dem ersten Überprüfungsschritt verifiziert wird, beispielsweise mit dem in der Überprüfungshistorie gespeicherten Zertifikat verglichen wird. Gegebenenfalls kann aber zusätzlich oder alternativ auch nur eine einfache Verifizierung des Zertifikats erfolgen.
Bei weiteren bevorzugten Varianten der Erfindung ist vorgesehen, dass in der Datenverarbeitungseinheit nach dem Freigabeschritt eine Erfassung des Verbrauchs des Verbrauchsmediums erfolgt, um nachfolgend in einfacher Weise die oben beschriebenen Weitergabe eines Füllstands oder dergleichen an die Datenzentrale und die beschriebenen Plausibilitätsprüfungen zu ermöglichen.
Vorzugsweise wird hierzu unter Verwendung einer durch die Datenverarbeitungseinheit erfassten Nutzung der Verbrauchseinheit und/oder einer vorherigen Füllstandsinformation eine rechnerische Füllstandsinformation ermittelt, die für die in der Verbrauchseinheit rechnerisch verfügbare Menge des Verbrauchsmediums repräsentativ ist. Zusätzlich oder alternativ wird hierzu über eine Erfassungseinheit eine tatsächliche Füllstandsinformation ermittelt, die für die in der Verbrauchseinheit tatsächlich verfügbare Menge des Verbrauchsmediums repräsentativ ist.
Hierbei kann die rechnerische Füllstandsinformation mit der tatsächlichen Füllstandsinformation in der Datenverarbeitungseinheit in einem Füllstandsüberprüfungsschritt verglichen werden und die rechnerische Füllstandsinformation auf den Wert der tatsächlichen Füllstandsinformation gesetzt werden, wenn die tatsächlich verfügbare Menge um einen vorgebbaren ersten Toleranzwert kleiner ist als die rechnerisch verfügbare Menge. Sodass mit anderen Worten insoweit der „theoretische” Wert dem „tatsächlichen” Wert nachgeführt wird.
In einem Sperrschritt kann jedoch eine Sperrung der Nutzung der Verbrauchseinheit durch die Datenverarbeitungseinheit erfolgen, wenn die tatsächlich verfügbare Menge die rechnerisch verfügbare Menge um einen vorgebbaren zweiten Toleranzwert übersteigt, da dies als Indiz für ein nicht autorisiertes Wiederbefüllen der Verbrauchseinheit gewertet werden kann.
Die oben beschriebene Abrechnung für die erstmalige Überprüfung und gegebenenfalls Registrierung der Verbrauchseinheit kann auf beliebigen geeignete Weise erfolgen. Vorzugsweise wird in dem Abrechnungsschritt zur Ausführung der Abrechnung der Inhalt wenigstens eines Abrechnungsspeichers modifiziert. Dieser wenigstens eine Abrechnungsspeicher kann in der Datenverarbeitungseinheit angeordnet sein. So kann beispielsweise ein in einer Frankiermaschine ohnehin vorhandener, entsprechend gesicherter Abrechnungsspeicher für diesen Abrechnungsschritt genutzt werden, indem seine Registerstände entsprechend modifiziert werden. Zusätzlich oder alternativ kann der wenigstens eine Abrechnungsspeicher in der Datenzentrale angeordnet sein, mithin die Abrechnung also dort erfolgen.
Bei weiteren bevorzugten Varianten der Erfindung ist vorgesehen, dass in einem dem ersten Überprüfungsschritt vorangehenden Herstellungsschritt eine Mehrzahl von ersten Verbrauchseinheiten und zweiten Verbrauchseinheiten hergestellt werden, wobei, insbesondere in einem Speicher einer ersten Verbrauchseinheit, einer ersten Identifikationsinformation der ersten Verbrauchseinheit eine erste Kennung zugeordnet wird und, insbesondere in einem Speicher einer zweiten Verbrauchseinheit, einer ersten Identifikationsinformation der zweiten Verbrauchseinheit eine zweite Kennung zugeordnet wird, und wenigstens eine Überprüfung einer vorgebbaren Beziehung zwischen ersten Informationen und zweiten Informationen in dem ersten Überprüfungsschritt und/oder in dem Autorisierungsschritt und/oder in dem zweiten Überprüfungsschritt und/oder in dem Freigabeschritt und/oder in einem Füllstandsüberprüfungsschritt in Abhängigkeit von der der Verbrauchseinheit zugeordneten Kennung erfolgt. Zusätzlich oder alternativ erfolgt wenigstens eine Überwachung des Eintritts eines vorgebbaren Ereignisses in Abhängigkeit von der der Verbrauchseinheit zugeordneten Kennung. Hiermit ist es in einfacher Weise möglich, Verbrauchseinheiten herzustellen bzw. zu definieren, die im Gebrauch unterschiedlich behandelt werden, beispielsweise unterschiedliche Privilegien besitzen, die sich in unterschiedlich weit gefassten Toleranzbereichen bei den einzelnen Überprüfungen oder dergleichen manifestieren.
Die vorliegende Erfindung betrifft weiterhin eine Anordnung zur Durchführung des oben beschriebenen erfindungsgemäßen Verfahrens mit einer ein Verbrauchsmedium haltenden Verbrauchseinheit, einer Verbrauchsanordnung, insbesondere einer Frankiermaschine, die eine zur Nutzung der Verbrauchseinheit ausgebildete Verbrauchseinrichtung und eine damit verbundene Datenverarbeitungseinheit zur Steuerung der Nutzung der Verbrauchseinheit umfasst, sowie einer von der Verbrauchsanordnung entfernten Datenzentrale, die über ein Kommunikationsnetz mit der Datenverarbeitungseinheit verbindbar ist. Die Datenverarbeitungseinheit ist dazu ausgebildet, in einem ersten Übermittlungsschritt eine der Verbrauchseinheit zugeordnete erste Autorisierungsinformation über das Kommunikationsnetz an die entfernte Datenzentrale zu übermitteln, während die Datenzentrale dazu ausgebildet ist, in einem ersten Überprüfungsschritt eine Überprüfung der ersten Autorisierungsinformation vorzunehmen. Die Datenzentrale ist weiterhin dazu ausgebildet, in einem Autorisierungsschritt in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes eine der Verbrauchseinheit zugeordnete zweite Autorisierungsinformation zu generieren. Zudem ist die Datenzentrale dazu ausgebildet, in einem zweiten Übermittlungsschritt die zweite Autorisierungsinformation über ein Kommunikationsnetz an die Datenverarbeitungseinheit zu übermitteln. Die Datenverarbeitungseinheit ist wiederum dazu ausgebildet, in einem zweiten Überprüfungsschritt eine Überprüfung der zweiten Autorisierungsinformation vorzunehmen und in einem Freigabeschritt in Abhängigkeit von dem Ergebnis des zweiten Überprüfungsschrittes eine Freigabe der Nutzung der Verbrauchseinheit in der Verbrauchseinrichtung vorzunehmen. Weiterhin ist die Datenverarbeitungseinheit und/oder die Datenzentrale dazu ausgebildet, in einem Abrechnungsschritt in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes und/oder des zweiten Überprüfungsschrittes eine Abrechnung für die Freigabe der Nutzung der Verbrauchseinheit in der Verbrauchseinrichtung vorzunehmen, wobei die Datenverarbeitungseinheit und/oder die Datenzentrale dazu ausgebildet ist, den Abrechnungsschritt vorzunehmen, sofern in einem Feststellungsschritt des ersten Überprüfungsschrittes festgestellt wird, dass die Verbrauchseinheit bisher unbenutzt ist. Hiermit lassen sich die oben beschriebenen Varianten und Vorteile in demselben Maße erzielen, sodass insoweit auf die obigen Ausführungen verwiesen wird.
Die vorliegende Erfindung betrifft schließlich eine Datenverarbeitungseinrichtung, die als die Datenverarbeitungseinheit der erfindungsgemäßen Anordnung mit den oben beschriebenen Merkmalen ausgebildet ist, wobei sie insbesondere dazu ausgebildet ist, den Abrechnungsschritt vorzunehmen. Die vorliegende Erfindung betrifft schließlich eine Datenverarbeitungseinrichtung, die als die Datenzentrale der erfindungsgemäßen Anordnung mit den oben beschriebenen Merkmalen ausgebildet ist, wobei sie insbesondere dazu ausgebildet ist, den Abrechnungsschritt vorzunehmen. Auch hiermit lassen sich jeweils die oben beschriebenen Varianten und Vorteile in demselben Maße erzielen, sodass insoweit auf die obigen Ausführungen verwiesen wird.
Weitere bevorzugte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen bzw. der nachstehenden Beschreibung bevorzugter Ausführungsbeispiele, welche auf die beigefügten Zeichnungen Bezug nimmt. Es zeigen
1 eine schematische Darstellung einer bevorzugten Ausführungsform der erfindungsgemäßen Anordnung, mit welcher eine bevorzugte Variante des erfindungsgemäßen Verfahrens zum Freigeben der Nutzung einer Verbrauchseinheit durchgeführt werden kann;
2A den ersten Teil eines Ablaufdiagramms einer bevorzugten Variante des erfindungsgemäßen Verfahrens, welches mit der Anordnung aus 1 durchgeführt werden kann;
2B den zweiten Teil des Ablaufdiagramms des Verfahrens aus 2A.
Im Folgenden wird unter Bezugnahme auf die 1, 2A und 2B (auf die im Folgenden auch gemeinsam als 2 Bezug genommen wird) eine bevorzugte Ausführungsform der erfindungsgemäßen Anordnung 101, mit welcher eine bevorzugte Variante des erfindungsgemäßen Verfahrens zum Freigeben der Nutzung einer Verbrauchseinheit durchgeführt wird.
Wie 1 zu entnehmen ist, umfasst die Anordnung 101 eine Reihe von k Verbrauchsanordnungen in Form von Frankiermaschinen (FM), zu der unter anderem eine erste Frankiermaschine 102, eine zweite Frankiermaschine 103 und eine k-te Frankiermaschine 104 gehören. Die Frankiermaschinen 102 bis 104 können jeweils über eine Kommunikationsverbindung, beispielsweise ein Datennetz 105 (z. B. das Internet), mit einer entfernten Datenzentrale 106 verbunden werden.
Die Frankiermaschine 102 umfasst unter anderem eine Datenverarbeitungseinheit in Form eines ersten Prozessors 102.1, ein erstes Sicherheitsmodul 102.2, einen ersten Speicher 102.3, eine Eingabe/Ausgabeeinheit 102.4, ein Kommunikationsmodul 102.5 sowie eine Verbrauchseinrichtung in Form eines Druckmoduls 102.6, die jeweils mit dem ersten Prozessor 102.1 verbunden sind.
Das Druckmodul 102.6 dient in herkömmlicher Weise dazu, gesteuert durch den Prozessor 102.1 einen Frankierabdruck für ein Poststück zu generieren. Hierzu umfasst es neben einer (nicht näher dargestellten) mit dem Prozessor 102.1 verbundenen Druckkopfsteuerung einen durch die Druckkopfsteuerung angesteuerten Druckkopf. Der Druckkopf ist im vorliegenden Fall Bestandteil einer in das Druckmodul 102.6 eingesetzten Verbrauchseinheit (VE) in Form einer Tintenkartusche 107.
Die Tintenkartusche 107 hält in einem Tank als Verbrauchsmaterial eine von dem Beförderer der Poststücke vorgegebene Tinte, die zum Erzeugen der Frankierabdrucke verwendet. Die Tinte kann sich durch eine spezielle Farbe (z. B. das postalische Blau der Deutsche Post AG) aber auch weitere so genannte Sicherheitsmerkmale (wie z. B. fluoreszierende Partikel oder dergleichen) auszeichnen.
Es versteht sich, dass bei anderen Varianten der Erfindung auch vorgesehen sein kann, dass der Druckkopf als fester Bestandteil des Druckmoduls ausgeführt ist und nur das Verbrauchsmaterial (also z. B. Tinte, Toner, Farbband etc.) in der Verbrauchseinheit (VE) gehalten wird.
Die Tintenkartusche 107 umfasst weiterhin einen zweiten Speicher 107.1, der im vollständig in das Druckmodul 102.6 eingesetzten Zustand der Tintenkartusche 107 über eine entsprechende Kontaktiereinheit mit dem ersten Prozessor 102.1 verbunden ist. Der zweite Speicher 107.1 und/oder die Kontaktiereinheit kann dabei so an der Tintenkartusche 107 angebracht sein, dass der Druckkopf der Tintenkartusche 107 nicht mehr korrekt angesteuert werden kann, wenn der zweiten Speicher 107.1 physisch manipuliert wurde, also beispielsweise entfernt und erneut angebracht oder durch einen anderen Speicher ersetzt wurde. Ein solcher Sicherungsmechanismus kann bei anderen Varianten der Erfindung aber auch fehlen.
Das erste Sicherheitsmodul 102.2 dient in üblicher Weise dazu, die für die Frankierung erforderlichen sicherheitsrelevanten postalischen Dienste, wie beispielsweise die sichere Abrechnung der Frankierwerte aber auch die kryptographische Absicherung bestimmter postalischer Daten, zur Verfügung zu stellen. Weiterhin ermöglicht das erste Sicherheitsmodul 102.2 die Durchführung kryptographischer Operationen zum Zwecke der Absicherung von weiteren Daten, der Absicherung der Kommunikation über das Datennetz 105 sowie der Entschlüsselung und Verifizierung empfangener kryptographisch abgesicherter Daten.
Für die Durchführung kryptographischer Operationen, insbesondere die sichere Abrechnung der Frankierwerte umfasst das erste Sicherheitsmodul 102.2 in hinlänglich bekannter Weise einen Prozessor, ein Kryptographiemodul zur Durchführung kryptographischer Operationen (unter Verwendung kryptographischer Algorithmen und Parameter) sowie entsprechende (gegebenenfalls redundant vorhandene) Register für die Speicherung der Abrechnungsdaten, die in einem physikalisch und logisch vor unbefugtem Zugriff gesicherten Bereich angeordnet sind.
Die Datenzentrale 106 umfasst eine zweite Datenverarbeitungseinheit 106.1, ein zweites Sicherheitsmodul 106.2, ein Kommunikationsmodul 106.3, eine erste Datenbank 106.4, eine zweite Datenbank 106.5 und eine dritte Datenbank 106.6, die jeweils mit der zweiten Verarbeitungseinheit 106.1 verbunden sind. Das zweite Sicherheitsmodul 106.2 stellt dabei in hinlänglich bekannter Weise sicherheitsrelevante Dienste, wie beispielsweise die kryptographische Absicherung, Entschlüsselung und Verifizierung bestimmter postalischer oder nicht-postalischer Daten oder die Absicherung der Kommunikation über das Datennetz 105, zur Verfügung.
Die Datenzentrale 106 kann weiterhin über das Datennetz 105 mit einer Reihe von n entfernten Datenzentralen von Herstellern von Verbrauchseinheiten (VE), also Tintenkartuschen 107 verbunden werden. Hierzu gehören unter anderem eine erste Herstellerdatenzentrale 108 und eine n-te Herstellerdatenzentrale 109.
Wie im Folgenden anhand der ersten Frankiermaschine 102 (stellvertretend für alle übrigen Frankiermaschinen) erläutert werden soll, kann mit der Anordnung 101 für die erste Frankiermaschine 102 ein erfindungsgemäßes Verfahren zur Freigabe der Nutzung der Tintenkartusche 107 in dem Druckmodul 102.6 der ersten Frankiermaschine 102 vorgenommen werden.
Zunächst wird in einem Schritt 110.1 der Verfahrensablauf des erfindungsgemäßen Verfahrens gestartet. In einem Schritt 110.2 erfolgt dann eine Herstellung autorisierter Verbrauchseinheiten in den Herstellerdatenzentralen 108 bis 109. Hierzu fordert die jeweilige Herstellerdatenzentrale 108, 109 über eine kryptographisch abgesicherte Kommunikation über das Datennetz 105 eine bestimmte Anzahl von gültigen ersten Identifikationsinformationen in Form gültiger Seriennummern (SN) von der Datenzentrale 106 an.
Die Datenzentrale 106 generiert diese gültigen Seriennummern als einmalige und eindeutige Identifikationsinformation der jeweiligen Tintenkartusche 107 nach einem vorgegebenen Schema, wobei jede Seriennummer SN im vorliegenden Beispiel 256 Bit lang ist und aus drei Teilen (SN1, SN2 und SN3) besteht. Es versteht sich jedoch, dass bei anderen Varianten der Erfindung auch eine beliebige andere Länge bzw. ein anderer Aufbau gewählt sein kann.
Im vorliegenden Beispiel ist der erste Teil SN1 (hier: Bit 0 bis 7) der Seriennummer eine dem jeweiligen Hersteller und dem Typ der Tintenkartusche zugeordnete Kennung. Der zweite Teil SN2 (hier: Bit 8 bis 127) der Seriennummer ist eine in aufsteigender Reihenfolge einmalig vergebene ganze Zahl (also 1, 2, 3...). Der dritte Teil SN3 (hier: Bit 128 bis 255) der Seriennummer sind im vorliegenden Beispiel die niedrigsten 128 Bit einer kryptographischen Operation, die das zweite Sicherheitsmodul 106.2 auf ein aus dem ersten Teil SN1, dem zweiten Teil SN2 und einem geheimen Schlüssel SK gebildete Datenpaket anwendet. Den geheimen Schlüssel SK erhält das zweite Sicherheitsmodul 106.2 dabei aus der ersten Datenbank 106.4 der ersten Datenzentrale 106.
Im vorliegenden Beispiel handelt es sich bei der kryptographischen Operation um die Anwendung eines Hash-Algorithmus (beispielsweise SHA 1, SHA 256, MD4 etc.), hier des SHA 256. Es versteht sich jedoch, dass bei anderen Varianten der Erfindung auch eine andere kryptographische Operation, beispielsweise eine einfache Verschlüsselung oder eine digitale Signatur über den Teilen SN1, SN2 erfolgen kann. Natürlich können auch beliebige Kombinationen derartige kryptographischer Operationen angewandt werden.
Der dritte Teil SN3 der Seriennummer SN stellt somit eine Kontrollinformation dar, welche die Datenzentrale 106 beispielsweise zu einem späteren Zeitpunkt nutzen kann, um die Authentizität der Seriennummer SN zu überprüfen.
Die jeweilige Herstellerdatenzentrale 108, 109 erhält dann über das Datennetz 105 die angeforderten Seriennummern SN, während die Datenzentrale 106 die Seriennummern in der zweiten Datenbank 106.5 archiviert. Es versteht sich jedoch, dass eine solche Archivierung der Seriennummern gegebenenfalls auch entfallen kann, da die Seriennummern anhand der Kontrollinformation SN3 auf ihre Authentizität überprüft werden können.
Die jeweilige Herstellerdatenzentrale 108, 109 schreibt jeweils eine solche Seriennummer SN in den zweiten Speicher 107.1 der jeweiligen Tintenkartusche 107. Anschließend werden die Tintenkartuschen in herkömmlicher Weise an die Nutzer der Frankiermaschinen 102 bis 104 vertrieben, wobei die Tintenkartuschen im vorliegenden Beispiel zu einem deutlich geringeren Verkaufspreis vertrieben werden als dies herkömmlicherweise der Fall ist.
In einem Schritt 110.3 wird dann in der jeweiligen Frankiermaschine 102 bis 104 überprüft, ob eine Tintenkartusche 107 in das Druckmodul 102.6 eingesetzt wurde. Dieses Einsetzen einer Tintenkartusche 107 stellt im Sinne der vorliegenden Erfindung ein (nicht zeitliches) Ereignis dar, welches in einem Schritt 110.4 die Erzeugung und Übertragung einer ersten Autorisierungsinformation AUT1 von der Frankiermaschine 102 an die Datenzentrale 106 auslöst.
Es versteht sich, dass bei anderen Varianten der Erfindung zusätzlich oder alternativ zu diesem nicht zeitlichen Ereignis des Einsetzens der Tintenkartusche beliebige andere zeitliche oder nicht zeitliche Ereignisse vorgesehen sein können, welche die Erzeugung und Übertragung der ersten Autorisierungsinformation AUT1 auslösen. So kann beispielsweise in regelmäßigen Abständen versucht werden, die erste Autorisierungsinformation AUT1 zu Erzeugen und zu Übertragen, wobei dann beispielsweise bei fehlender Tintenkartusche lediglich (gegebenenfalls mit zusätzlichen Informationen zum Status der Frankiermaschine) eine Statusinformation an die Datenzentrale übertragen werden kann, dass keine Kartusche eingesetzt ist.
Die erste Autorisierungsinformation AUT1 umfasst dabei neben der aus dem zweiten Speicher 107.1 der Tintenkartusche 107 von dem Prozessor 102.1 ausgelesenen Seriennummer SN eine ebenfalls aus der Tintenkartusche 107 und/oder dem ersten Speicher 102.3 ausgelesene erste Füllstandsinformation FS, die für den aktuellen Füllstand der Tinte im Tank der Tintenkartusche 107 (also für die verfügbare Tintenmenge) repräsentativ ist.
Dieser Füllstand FS kann durch einen separaten Tintensensor im Tank der Tintenkartusche 107 gewonnen werden. Ebenso ist es aber möglich, den Füllstand FS aus dem zweiten Speicher 107.1 und/oder dem ersten Speicher 102.3 auszulesen, sofern bei der Tintenkartusche 107 eine elektronische Füllstandsverfolgung vorgesehen ist, bei der mit jedem Tintenverbrauch (beispielsweise über eine hinlänglich bekannte Tröpfchenzählung oder dergleichen), bevorzugt irreversibel, bestimmte Speicherbereiche des zweiten Speichers 107.1 beschrieben werden, sodass dem zweiten Speicher 107.1 stets eine für den aktuellen Füllstand FS repräsentative Füllstandsinformation entnommen werden kann. Dieser Füllstand FS wird bevorzugt parallel auch (vorzugsweise kryptographisch gegen unerkannte nicht autorisierte Manipulation abgesichert) in dem ersten Speicher 102.3 dokumentiert, wie nachfolgend noch detailliert dargelegt werden wird.
Als weitere Komponente wird der ersten Autorisierungsinformation AUT1 im vorliegenden Beispiel eine der Frankiermaschine 102 zugeordnete zweite Identifikationsinformation in Form einer (bevorzugt natürlich einmaligen und eindeutigen) zweiten Seriennummer SNFM der Frankiermaschine 102 beigefügt.
Die erste Autorisierungsinformation AUT1 wird von dem ersten Prozessor 102.1 zusammengestellt, gegebenenfalls durch das Sicherheitsmodul 102.2 kryptographisch abgesichert und über das Kommunikationsmodul 102.5 an die Datenzentrale 106 in einem ersten Übermittlungsschritt des Schritts 107.4 übermittelt.
In einem ersten Überprüfungsschritt 110.5 überprüft die Datenzentrale 106 zunächst in einem Teilschritt 110.6, ob es sich bei der mit der ersten Autorisierungsinformation AUT1 übermittelten Seriennummer SN der Tintenkartusche 107 um eine gültige Seriennummer handelt. Hierzu vergleicht der Prozessor 106.1 der Datenzentrale 106 die aktuell übermittelte Seriennummer SN mit den in der zweiten Datenbank 106.5 archivierten Seriennummern.
Findet sich hierbei eine Übereinstimmung mit einer archivierten Seriennummer, handelt es sich um eine gültige Seriennummer. Ist dies nicht der Fall, kann in einem weiteren Schritt des Teilschritts 110.6 die aktuell übermittelte Seriennummer anhand ihrer Kontrollinformation SN3 und unter Zugriff auf die erste Datenbank 106.4 auf ihre Authentizität überprüft werden. Fällt auch diese Prüfung negativ aus, wird in einem Teilschritt 110.8 eines ersten Autorisierungsschritts 110.7 eine zweite Autorisierungsinformation AUT2 negativen Inhalts generiert, welche nachfolgend zu einer Verweigerung der Freigabe der Nutzung der Tintenkartusche 102 führt.
Hierbei versteht es sich, dass diese zweite Überprüfung anhand der Kontrollinformation SN3 auch fehlen kann. Ebenso kann sie aber auch, beispielsweise bei fehlender Archivierung der generierten Seriennummern in der Datenzentrale, die einzige Überprüfung der aktuell übermittelten Seriennummer darstellen.
Fällt zumindest eine der Überprüfungen in dem Teilschritt 110.6 positiv aus, erfolgt in einem weiteren Teilschritt 110.9 des ersten Überprüfungsschrittes 110.6 eine Überprüfung der Plausibilität der weiteren Informationen aus der ersten Autorisierungsinformation AUT1.
Hierzu kann in dem Teilschritt 110.9 zunächst die übermittelte erste Füllstandsinformation FS auf ihre Plausibilität hin überprüft werden. So kann in der dritten Datenbank 106.6 ein der jeweiligen von der Datenzentrale ausgegebenen Seriennummer SN zugeordneter Eintrag (106.7 bis 106.8) vorhanden sein, der unter anderem den Soll-Füllstand SFS sowie entsprechende Füllstandstoleranzen TFS noch oben und unten für eine unbenutzte Tintenkartusche wiedergibt. Liegt die übermittelte Füllstandsinformation FS außerhalb des sich hieraus berechnenden Toleranzbereichs, also einer vorgegebenen Füllstandsgrenzinformation, kann ebenfalls zu dem Schritt 110.8 gesprungen werden und eine zweite Autorisierungsinformation AUT2 negativen Inhalts generiert werden, welche nachfolgend zu einer Verweigerung der Freigabe der Nutzung der Tintenkartusche 102 führt. Hierzu kann die zweite Autorisierungsinformation AUT2 eine negative Freigabeinformation FRIN umfassen, welche in der Frankiermaschine 102 später zur Verweigerung der Freigabe der Nutzung der Tintenkartusche 107 führt.
Als weitere Plausibilitätsprüfung kann in dem Teilschritt 110.9 eine Überprüfung der übermittelten Seriennummer der Frankiermaschine SNFM erfolgen. Auch hier kann beispielsweise anhand entsprechender Einträge in der dritten Datenbank 106.6 überprüft werden, ob die Tintenkartusche 107 für die Nutzung in der Frankiermaschine 102 zugelassen ist. Ist dies nicht der Fall, kann ebenfalls zu dem Schritt 110.8 gesprungen werden und eine zweite Autorisierungsinformation AUT2 negativen Inhalts (also mit einer negativen Freigabeinformation FRIN) generiert werden.
Es versteht sich, dass in dem Teilschritt 110.9 die beschriebenen Plausibilitätsprüfungen sowie weitere Plausibilitätsprüfungen einzeln oder in beliebiger Kombination durchgeführt werden können. Ebenso versteht es sich, dass der Teilschritt 110.9 gegebenenfalls auch entfallen kann.
Fallen die Plausibilitätsprüfungen in den Teilschritt 110.9 positiv aus, wird in einem Feststellungsschritt 110.10 des Überprüfungsschrittes 110.5 überprüft, ob es sich bei der Tintenkartusche 107 um eine benutzte oder eine unbenutzte Tintenkartusche handelt. Im vorliegenden Beispiel erfolgt dies einfach dadurch, dass erfasst wird, ob es sich bei der vorangegangenen Überprüfung der Seriennummer SN in dem Schritt 110.6 um die erstmalige Überprüfung dieser Seriennummer SN in der Datenzentrale 106 handelt.
Hierbei ist anzumerken, dass bei dem oben beschriebenen Ablauf mit der Überprüfung der Füllstandsinformation FS in dem Schritt 110.9 die Feststellung, dass es sich um eine unbenutzte Tintenkartusche handelt, auch unter Verwendung dieser Füllstandsinformation FS erfolgt. Es versteht sich jedoch, dass der anderen Varianten der Erfindung, bei denen keine derartige Plausibilitätsprüfung der Füllstandsinformation FS erfolgt, auch ausschließlich anhand der erstmaligen Überprüfung der Seriennummer SN auf eine unbenutzte Tintenkartusche geschlossen werden kann.
Wird in dem Feststellungsschritt 110.10 festgestellt, dass es sich um eine unbenutzte Tintenkartusche handelt, erfolgt in einem Abrechnungsschritt 110.11 eine Abrechnung, indem in der Datenzentrale 106 einen dem registrierten Nutzer der Frankiermaschine 102 zugeordneter Abrechnungsspeicher entsprechend modifiziert wird. Hiermit ist es in der eingangs ausführlich beschriebenen Weise möglich, die Zahlung für die Nutzung der Tintenkartusche 102 auf einen Zeitpunkt zu verschieben, der deutlich näher an dem Zeitpunkt der tatsächlichen Nutzung liegt, als dies bei herkömmlichen Verfahren der Fall ist, bei denen bereits mit dem Kauf der Tintenkartusche der volle Preis für die Nutzung entrichtet werden muss.
Neben den eingangs ausführlich beschriebenen Vorteilen hinsichtlich der wirtschaftlichen Attraktivität des Inverkehrbringens von Piraterieprodukten (also gefälschten oder wiederbefüllten Tintenkartuschen) hat dies den Vorteil, dass der Nutzer für Tintenkartuschen, die zwischen dem Kauf und der tatsächlichen Nutzung verloren gehen oder ihre volle Nutzbarkeit (beispielsweise durch Beschädigung, Überalterung durch zu lange Lagerung oder dergleichen) verlieren, lediglich den deutlich geringeren Verkaufspreis entrichten musste und somit einen geringeren wirtschaftlichen Verlust erleidet als bei herkömmlichen Systemen, bei denen der volle Preis für die Nutzung bereits mit dem Kauf der Tintenkartusche entrichtet werden muss.
In einem Schritt 110.12 wird anschließend in dem zweiten Sicherheitsmodul 106.2 unter Verwendung eines geheimen Schlüssels der Datenzentrale 106 ein kryptographisches Zertifikat ZERT über einer Zertifikatsinformation ZI erstellt, welcher zumindest Teile der ersten Autorisierungsinformation AUT1, vorzugsweise die gesamte erste Autorisierungsinformation AUT1 umfasst. Die Zertifikatsinformation ZI umfasst weiterhin unter anderem eine für den Zeitpunkt der erstmaligen Durchführung des Überprüfungsschrittes 110.5, mithin also auch für die Erstellung des Zertifikats ZERT repräsentative Erstüberprüfungszeitinformation sowie eine Gültigkeitsinformation GI, welche für die Dauer der Gültigkeit des Zertifikats ZERT repräsentativ ist.
Die Gültigkeitsinformation GI wird bevorzugt in Abhängigkeit von der physischen Lebensdauer der Tintenkartusche 107 (also dem Zeitraum, in dem die Tintenkartusche 107 ihren bestimmungsgemäßem Zweck erfüllen kann, beispielsweise also die Tinte noch brauchbar ist) gewählt. Mithin kann also vorgesehen sein, dass die Gültigkeit des Zertifikates ZERT mit der Lebensdauer der Tintenkartusche 107 endet, wobei natürlich gewisse zeitliche Toleranzen vorgesehen sein können, welche sicherstellen, dass die Tintenkartusche 107 über ihre volle physische Lebensdauer genutzt werden kann. Ebenso versteht es sich, dass aber auch eine von der Lebensdauer abweichende Gültigkeitsdauer für das Zertifikat ZERT gewählt werden kann.
In einem Schritt 110.13 des wird dann eine zweite Autorisierungsinformation AUT2 positiven Inhalts generiert, welche nachfolgend zu einer Freigabe der Nutzung der Tintenkartusche 107 in der Frankiermaschine 102 führt. Diese zweite Autorisierungsinformation AUT2 umfasst unter anderem das zuvor erstellte Zertifikat ZERT sowie eine positive Freigabeinformation FRIP, welche gegebenenfalls ebenfalls über kryptographische Mittel, beispielsweise eine digitale Signatur SIG, abgesichert und authentifiziert ist und nachfolgend in der Frankiermaschine 102 zur Freigabe der Nutzung der Tintenkartusche 107 führt.
In einem nachfolgenden Protokollierschritt bzw. Registrierungsschritt 110.14 erfolgt eine Registrierung der Tintenkartusche 107 in der Datenzentrale 106. Hierzu wird der ihrer Seriennummer SN zugeordnete Eintrag 106.7 in der dritten Datenbank 106.6 entsprechend aktualisiert, sodass in dem Eintrag 106.7 eine der jeweiligen Tintenkartusche 107 zugeordnete Überprüfungshistorie H angelegt wird. Hierbei wird unter anderem das Zertifikat ZERT in dem Eintrag 106.7 archiviert. Ebenso wird in dem Eintrag 106.7 die Anzahl der bisher durchgeführten ersten Überprüfungsschritte 110.5 aktualisiert, im Fall der erstmaligen Durchführung dieses Überprüfungsschrittes 110.5 also der entsprechende Teil des Eintrags 106.7 auf den Wert Eins gesetzt. Schließlich wird noch die mit der ersten Autorisierungsinformation AUT1 übersandte Füllstandsinformation FS sowie die Seriennummer SNFM der Frankiermaschine 102 in dem Eintrag 106.7 protokolliert.
Es versteht sich, dass im Rahmen der Protokollierung natürlich weitere Informationen in der Überprüfungshistorie H des Eintrags 106.7 archiviert werden können. So kann beispielsweise die zweite Autorisierungsinformation AUT2 (mit der positiven Freigabeinformation FRIP oder der negativen Freigabeinformation FRIN) ebenso protokolliert werden wie lediglich die Freigabeinformation FRIN bzw. FRIP. Ebenso können natürlich weitere Plausibilitätsinformationen in der Überprüfungshistorie H abgelegt werden, die zu einem späteren Zeitpunkt im Rahmen einer erneuten Durchführung des ersten Überprüfungsschrittes 110.5 bei den Plausibilitätsprüfungen aus Schritt
Der Protokolleintrag der Überprüfungshistorie H im Bereich 106.7 wird schließlich mit einer für den Zeitpunkt der Protokollierung repräsentativen Protokollierzeitinformation PZI versehen.
In einem zweiten Übertragungsschritt 110.15 erfolgt dann die Übertragung der zweiten Autorisierungsinformation AUT2 an die Frankiermaschine 102.
Wie der 2B (deren Anknüpfungspunkte zur 2A durch die Punkte 110.16 und 110.17 verdeutlicht sind) zu entnehmen ist, erfolgt dann in einem zweiten Überprüfungsschritt 110.18 in der Frankiermaschine 102 eine Überprüfung der empfangenen zweiten Autorisierungsinformation AUT2, wobei deren Authentitzität überprüft wird, indem die digitale Signatur SIG des Sicherheitsmoduls 106.2 der Datenzentrale 106 verifiziert wird.
Weiterhin analysiert der Prozessor 102.1 die mit der zweiten Autorisierungsinformation AUT2 übersandte Freigabeinformation. Handelt es sich um eine positive Freigabeinformation FRIP, so wird die Nutzung der Tintenkartusche 107 in einem Schritt 110.19 freigegeben und eine entsprechende Nachricht über die Ausgabeeinheit 102.4 ausgegeben. Handelt es sich um eine negative Freigabeinformation FRIN, so wird die Nutzung der Tintenkartusche 107 in einem Schritt 110.20 gesperrt und eine entsprechende Nachricht über die Ausgabeeinheit 102.4 ausgegeben.
In einem weiteren Schritt 110.21 wird dann in der Frankiermaschine 102 überprüft, ob eine Nutzung der Tintenkartusche 107 stattfinden soll, mithin also, ob ein Frankierabdruck oder ein anderweitiger Abdruck mit der Tintenkartusche 107 generiert werden soll.
Ist dies der Fall, wird im vorliegenden Beispiel in einem weiteren Schritt 110.22 in dem Prozessor 102.1 der Frankiermaschine 102 überprüft, ob ein rechnerischer Füllstand RFS der Tintenkartusche 107 unterhalb eines Toleranzbereichs liegt, der sich aus einem tatsächlichen Füllstand TFS und einer Füllstandstoleranz TOL ergibt.
Der rechnerische Füllstand ergibt sich dabei aus der dem aktuellen Schritt 110.22 vorangehenden Nutzung der Tintenkartusche 107, die in dem ersten Speicher 102.3 (vorzugsweise durch kryptographische Mittel gegen unerkannte Manipulationen abgesichert) protokolliert wurde, wie nachfolgend noch näher erläutert wird. Handelt es sich bei der aktuellen Nutzung um die erste Nutzung der Tintenkartusche, wird für den rechnerischen Füllstand RFS deren werkseitiger Nenn-Füllstand verwendet, der beispielsweise ebenfalls aus dem zweiten Speicher 107.1 ausgelesen werden kann oder alternativ mit der zweiten Autorisierungsinformation AUT2, insbesondere als Bestandteil des Zertifikates ZERT, von der Datenzentrale 106 übermittelt worden sein kann.
Der tatsächliche Füllstand TFS kann, wie oben beschrieben, durch einen entsprechenden Sensor der Tintenkartusche 107 erfasst werden. Die Füllstandstoleranz TOL berücksichtigt eventuelle in der Praxis im normalen autorisierten Betrieb auftretende Schwankungen des Füllstands der Tintenkartusche 107 (wie sie beispielsweise durch bei der Befüllung der Tintenkartusche 107 auftreten können).
Unterschreitet der rechnerische Füllstand RFS die Summe aus tatsächlichem Füllstand TFS und Füllstandstoleranz TOL, ist also unter Berücksichtigung der Füllstandstoleranz TOL tatsächlich mehr Tinte vorhanden als aus dem vorangegangenen Verbrauch errechnet, deutet dies auf ein nicht autorisiertes Befüllen bzw. Wiederbefüllen der Tintenkartusche 107 hin. Dementsprechend wird in diesem Fall zu dem Schritt 110.20 gesprungen und es erfolgt eine Sperre der Nutzung der Tintenkartusche 107.
Andernfalls wird der Wert des rechnerischen Füllstands RFS in dem ersten Speicher 102.3 der Frankiermaschine 102 in einem Schritt 110.23 auf den Wert des tatsächlichen Füllstands TFS gesetzt, mithin also der rechnerische Füllstand RFS dem tatsächlichen Füllstand TFS nachgeführt. Gleiches gilt für den zweiten Speicher 107.1 der Tintenkartusche 107, der ebenfalls entsprechend irreversibel beschrieben wird, um auch dort den tatsächlichen Füllstand FS der Tintenkartusche 107 zu protokollieren.
In einem Schritt 110.24 erfolgt dann die Nutzung der Tintenkartusche 107 und die Protokollierung dieser Nutzung, wobei der rechnerische Füllstand RFS in dem ersten Speicher 102.3 der Frankiermaschine 102 und dem zweiten Speicher 107.1 der Tintenkartusche 107 um einen der aktuellen Nutzung entsprechenden Wert reduziert wird. Hierzu kann der erste Prozessor 102.1 beispielsweise eine hinlänglich bekannte Tröpfchenzählung für den aktuellen Abdruck (also die aktuelle Nutzung) verwenden. Hierdurch wird der rechnerische Füllstand RFS mit jeder Nutzung sowohl in der Tintenkartusche 107 als auch in der Frankiermaschine 102 auf dem aktuellen Stand gehalten.
In einem Schritt 110.25 wird dann überprüft, ob ein Ereignis vorliegt, welches eine erneute Generierung und Übermittlung der ersten Autorisierungsinformation AUT1 an die Datenzentrale 106 nach sich zieht. Dies geschieht im Übrigen auch, wenn in dem Schritt 110.21 festgestellt wird, dass aktuell keine Nutzung der Tintenkartusche 107 erfolgen soll.
Bei einem solchen Ereignis, welches eine erneute Generierung und Übermittlung der ersten Autorisierungsinformation AUT1 an die Datenzentrale 106 nach sich zieht, kann es sich um ein beliebiges zeitliches oder nicht zeitliches Ereignis handeln. So kann beispielsweise als zeitliches Ereignis der Ablauf einer bestimmten Zeitspanne T1 vorgesehen sein, nach der ein erneutes Generieren und Übermitteln der ersten Autorisierungsinformation AUT1 zwingend erforderlich ist. Ebenso kann es sich um den Ablauf der Gültigkeit des Zertifikates ZERT handeln. Als nicht zeitliches Ereignis kommen beispielsweise das Entnehmen der Tintenkartusche 107 aus dem Druckmodul 102.6, das Erreichen einer vorgegebenen Anzahl N1 von Nutzungen der Tintenkartusche 107 oder das Erreichen eines vorgegebenen rechnerischen Füllstands RFS1 oder aber auch das erneute Einsetzen der Tintenkartusche 107 in das Druckmodul 102.6 in Betracht.
Liegt ein derartiges Ereignis vor, wird in einem Schritt 110.26 eine neue erste Autorisierungsinformation AUT1 generiert und an die Datenzentrale 106 übermittelt. Hierbei wird in der oben im Zusammenhang mit dem Schritt 110.4 beschriebenen Weise vorgegangen, wobei für die Füllstandsinformation FS der ersten Autorisierungsinformation AUT1 der aus dem ersten Speicher 102.3 ausgelesene rechnerische Füllstand RFS verwendet wird. Zusätzlich kann die erste Autorisierungsinformation AUT1 neben der Seriennummer SN der Tintenkartusche 107, der Seriennummer SNFM der Frankiermaschine 102 und der Füllstandsinformation FS noch das Zertifikat ZERT umfassen.
Zunächst wird noch in einem Schritt 110.27 überprüft, ob der Verfahrensablauf beendet werden soll. Ist dies der Fall, endet der Verfahrensablauf in einem Schritt 110.28. Andernfalls wird zurück zum Schritt 110.5 gesprungen, wobei dann die Plausibilitätsprüfungen in dem Schritt 110.9 unter Verwendung der neu übermittelten Füllstandsinformation FS erfolgen und weiterhin eine Verifizierung und Prüfung des Zertifikates ZERT, insbesondere eine Prüfung seiner Gültigkeit, unter Zugriff auf die zugeordnete Überprüfungshistorie H in dem der Tintenkartusche 107 zugeordneten Eintrag 106.7 in der dritten Datenbank 106.6 erfolgt.
Weiterhin kann in dem Schritt 110.9 unabhängig von der Gültigkeit des Zertifikates ZERT auch überprüft werden, ob eine bestimmte Zeitspanne seit der erstmaligen Durchführung des Überprüfungsschrittes 110.5 verstrichen ist. Ist dies der Fall, kann vorgesehen sein, dass auch in diesem Fall eine zweite Autorisierungsnachricht AUT2 mit einer negativen Freigabeinformation FRIN generiert wird.
Je nachdem, wie die Prüfungen in den Schritten 110.6, 110.9 und 110.10 ausfallen, wird wiederum eine zweite Autorisierungsnachricht AUT2 mit einer positiven Freigabeinformation FRIP oder einer negativen Freigabeinformation FRIN generiert (Schritt 110.13 bzw. 110.8), die dann in der oben beschriebenen Weise unter Aktualisierung der Überprüfungshistorie H in dem zugeordneten Eintrag 106.7 protokolliert (Schritt 110.14), von der Datenzentrale 106 an die Frankiermaschine 102 übertragen und dort dann in der beschriebenen Weise verarbeitet (Schritte 110.18, 110.19, 110.20 etc.).
Insbesondere ist im vorliegenden Beispiel vorgesehen, dass für den Fall, dass für eine ehemals gültige Tintenkartusche 107 bzw. eine ehemals gültige Seriennummer SN im Falle der Generierung einer negativen Freigabeinformation FRIN eine so genannte Deregistrierung dieser Seriennummer SN in der Datenzentrale 106 erfolgt. Hierzu wird eine entsprechende Modifikation an dem zugeordneten Eintrag 106.7 der dritten Datenbank 106.6 vorgenommen. Dies hat zur Folge, dass bei einer nachfolgenden erneuten Durchführung des Schrittes 110.6 schon festgestellt wird, dass es sich um keine gültige Seriennummer SN mehr handelt.
Es versteht sich, dass bei anderen Varianten der Erfindung im Zusammenhang mit dieser Deregistrierung auch vorgesehen sein kann, dass einfach der Eintrag 106.7 irreversibel in der dritten Datenbank 106.6 gelöscht wird.
Es kann weiterhin vorgesehen sein, dass die Tintenkartusche 107 zwischenzeitlich in die zweite Frankiermaschine 103 eingesetzt wurde, was zur Folge hat, dass dies in dem Schritt 110.9 anhand der (mit der neu generierten ersten Autorisierungsinformation AUT1) übermittelten Seriennummer der zweiten Frankiermaschine 103 festgestellt wird.
Im vorliegenden Beispiel kann vorgesehen sein, dass die Nutzung der Tintenkartusche 107 nur in der ersten Frankiermaschine 102 zugelassen wird, in der sie erstmalig registriert wurde. Hieraus resultiert in diesem Fall ein negatives Ergebnis der Überprüfung in dem Schritt 110.9 und eine zweite Autorisierungsinformation AUT2 mit einer negativen Freigabeinformation FRIN resultiert.
Für die Nutzer mehrerer Frankiermaschinen aus einer in der Datenzentrale 106 registrierten Gruppe von Frankiermaschine kann jedoch auch vorgesehen sein, dass ein Wechsel der Nutzung der Tintenkartusche 107 zwischen den Frankiermaschinen dieser Gruppe vom Frankiermaschinen zugelassen wird. In diesem Fall resultiert auch beim Einsetzen der Tintenkartusche 107 in eine andere Frankiermaschine, beispielsweise die Frankiermaschine 104, ein positives Ergebnis der Überprüfung in dem Schritt 110.9 und eine zweite Autorisierungsinformation AUT2 mit einer positiven Freigabeinformation FRIP auch für die Frankiermaschine 104.
Weiterhin kann ein solcher Wechsel der Tintenkartusche 107 auch in Abhängigkeit von einer in der Seriennummer der Tintenkartusche 107 (beispielsweise innerhalb der ersten 8 Bit der Seriennummer SN) hinterlegten Kennung zugelassen sein. So können hierüber universell (d. h. in beliebig vielen unterschiedlichen Frankiermaschinen 102 bis 104) verwendbare Tintenkartuschen definiert werden. Ebenso kann die Verwendung auf eine beliebig vorgebbare Anzahl von unterschiedlichen Frankiermaschinen 102 bis 104 beschränkt werden.
Wie in 2B durch die Verzweigung 110.29 dargestellt ist, ist im vorliegenden Beispiel vorgesehen, dass nach Ablauf einer weiteren Zeitspanne T2 und/oder nach einer weiteren vorgegebenen Anzahl N2 von Nutzungen der Tintenkartusche 107 und/oder nach Erreichen eines weiteren rechnerischen Füllstands RFS2 eine (gegebenenfalls vorübergehende) Sperre der Nutzung der Tintenkartusche 107 erfolgt, wenn die Auslösung der Erzeugung und Übertragung der neuen Autorisierungsinformation AUT1 durch den Ablauf der Zeitspanne T1, das Erreichen der Anzahl N1 von Nutzungen der Tintenkartusche 107 oder das Erreichen des rechnerischen Füllstands RFS1 erfolgte.
Das diese Sperre auslösende Ereignis wird in der Frankiermaschine 102 in einem Schritt 110.30 überprüft, wobei in dem Fall, dass kein derartiges Ereignis vorliegt, zurück zum Schritt 110.21 gesprungen wird und die Nutzung der Tintenkartusche 107 in der Frankiermaschine weiterhin erfolgen kann.
Im vorstehend beschriebenen Beispiel erfolgt der Abrechnungsschritt 110.11 in der Datenzentrale 106. Es versteht sich jedoch, dass der Abrechnungsschritt bei anderen Varianten der Erfindung auch zu einem anderem Zeitpunkt nach dem Feststellungsschritt 110.10 erfolgen kann. Insbesondere kann der Abrechnungsschritt auch in der Frankiermaschine 102, beispielsweise in deren Sicherheitsmodul 102.2, erfolgen, wobei die zweite Autorisierungsinformation AUT2 dann eine entsprechende Abrechnungsinformation enthält, die in der Frankiermaschine 102 entsprechend verarbeitet und ausgeführt wird.
Im vorstehend beschriebenen Beispiel konnte die Überprüfung, ob die Tintenkartusche 107 in unterschiedlichen Frankiermaschinen eingesetzt werden kann, in Abhängigkeit von einer in der Seriennummer SN der Tintenkartusche 107 abgelegten Kennung erfolgen. Es versteht sich, dass auch eine oder mehrere der anderen vorstehend beschriebenen Überprüfungen in Abhängigkeit von einer solchen Kennung in der Seriennummer der Tintenkartusche 107 erfolgen können.
Es sei and dieser Stelle erwähnt, dass die vorstehend beschriebenen Speicher der Frankiermaschine 102 und der Datenzentrale 106 alle oder zum Teil sowohl als separate Speichermodule als auch lediglich als einzelne Speicherbereiche eines einzigen Speichermoduls der Frankiermaschine 102 bzw. der Datenzentrale 106 ausgebildet sein können.
Die vorliegende Erfindung wurde vorstehend anhand von Beispielen mit Frankiermaschinen beschrieben. Es versteht sich jedoch, dass sie sowohl in Verbindung mit anderen Frankieranordnungen (beispielsweise so genannten PC-Frankierern) zum Einsatz kommen kann, bei denen keine Integration der einzelnen Komponenten in einem gemeinsamen Gehäuse vorliegt. Ebenso kann die vorliegende Erfindung auch in Verbindung mit beliebigen anderen Verbrauchsanordnungen zum Einsatz kommen, bei denen ein beliebiges Verbrauchsmedium in einer entsprechenden Verbrauchsanordnung verbraucht wird.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

EP 1237725 B1 [0004]
EP 1132868 A1 [0004]
EP 0875862 A2 [0004]
EP 1103924 B1 [0005]
DE 10023145 A1 [0005]
EP 1103925 B1 [0005]
EP 1103925 A1 [0006, 0008]

Claims

Verfahren zum Freigeben der Nutzung einer ein Verbrauchsmedium haltenden Verbrauchseinheit (107) in einer Verbrauchseinrichtung (102.6) einer Verbrauchsanordnung (102), insbesondere einer Frankiermaschine, bei dem – in einem ersten Übermittlungsschritt (110.4) eine der Verbrauchseinheit (107) zugeordnete erste Autorisierungsinformation von einer Datenverarbeitungseinheit (102.1) der Verbrauchsanordnung (102) über ein Kommunikationsnetz (105) an eine entfernte Datenzentrale (106) übermittelt wird, – in einem ersten Überprüfungsschritt (110.5) in der Datenzentrale (106) eine Überprüfung der ersten Autorisierungsinformation erfolgt, – in einem Autorisierungsschritt (110.7) in der Datenzentrale (106) in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes (110.5) eine der Verbrauchseinheit (107) zugeordnete zweite Autorisierungsinformation generiert wird, – in einem zweiten Übermittlungsschritt (110.15) die zweite Autorisierungsinformation über ein Kommunikationsnetz an die Datenverarbeitungseinheit (102.1) übermittelt wird, – in einem zweiten Überprüfungsschritt in der Datenverarbeitungseinheit (102.1) eine Überprüfung der zweiten Autorisierungsinformation erfolgt und – in einem Freigabeschritt (110.19) in der Datenverarbeitungseinheit (102.1) in Abhängigkeit von dem Ergebnis des zweiten Überprüfungsschrittes (110.18) eine Freigabe der Nutzung der Verbrauchseinheit (107) in der Verbrauchseinrichtung (102.6) erfolgt, wobei – in einem Abrechnungsschritt (110.11) in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes (110.5) und/oder des zweiten Überprüfungsschrittes (110.18) eine Abrechnung für die Freigabe der Nutzung der Verbrauchseinheit (107) in der Verbrauchseinrichtung (102.6) erfolgt, dadurch gekennzeichnet, dass – der Abrechnungsschritt (110.11) erfolgt, sofern in einem Feststellungsschritt (110.10) des ersten Überprüfungsschrittes (110.5) festgestellt wird, dass die Verbrauchseinheit (107) bisher unbenutzt ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass – die erste Autorisierungsinformation eine, insbesondere einmalige und eindeutige, erste Identifikationsinformation der Verbrauchseinheit (107) umfasst und – die Feststellung, dass die Verbrauchseinheit (107) unbenutzt ist, in dem Feststellungsschritt (110.10) unter Verwendung der ersten Identifikationsinformation erfolgt, wobei – die erste Identifikationsinformation insbesondere mit einer in der Datenzentrale (106) gespeicherten ersten Vergleichsidentifikationsinformation verglichen wird und die Feststellung einer unbenutzten Verbrauchseinheit (107) in dem Feststellungsschritt (110.10) nur erfolgt, wenn erstmalig eine vorgebbare Beziehung zwischen der ersten Identifikationsinformation und der ersten Vergleichsidentifikationsinformation vorliegt.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass – die erste Autorisierungsinformation eine erste Füllstandsinformation umfasst, die für die in der Verbrauchseinheit (107) verfügbare Menge des Verbrauchsmediums repräsentativ ist, und – die Feststellung, dass die Verbrauchseinheit (107) unbenutzt ist, unter Verwendung der ersten Füllstandsinformation erfolgt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass – die erste Identifikationsinformation eine Kontrollinformation umfasst, die insbesondere unter Verwendung kryptographischer Mittel erzeugt ist, – die Überprüfung der ersten Autorisierungsinformation in dem ersten Überprüfungsschritt (110.5) eine Überprüfung umfasst, ob eine vorgebbare Beziehung zwischen der Kontrollinformation und einem weiteren Teil der ersten Identifikationsinformation vorliegt, und – die Freigabe der Nutzung der Verbrauchseinheit (107) nur erfolgt, wenn die vorgebbare Beziehung zwischen der Kontrollinformation und dem weiteren Teil der ersten Identifikationsinformation vorliegt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass – in dem Autorisierungsschritt (110.7) in der Datenzentrale (106) in einem Registrierungsschritt (110.14) eine Registrierung des ersten Überprüfungsschrittes (110.5) in einer in der Datenzentrale (106) gespeicherten und der Verbrauchseinheit (107), insbesondere der ersten Identifikationsinformation, zugeordneten Überprüfungshistorie erfolgt, wobei – die Überprüfungshistorie insbesondere die der Verbrauchseinheit (107), insbesondere der ersten Identifikationsinformation, zugeordnete Anzahl von durchgeführten ersten Überprüfungsschritten (110.5) umfasst und/oder eine zumindest für den Zeitpunkt des aktuellen ersten Überprüfungsschrittes (110.5) repräsentative Überprüfungszeitinformation umfasst und/oder eine für den der Verbrauchseinheit (107), insbesondere der ersten Identifikationsinformation, zugeordneten erstmaligen Zeitpunkt der Durchführung des ersten Überprüfungsschrittes (110.5) repräsentative Erstüberprüfungszeitinformation umfasst und/oder zumindest eine der Datenverarbeitungseinheit (102.1) zugeordnete zweite Identifikationsinformation umfasst und/oder zumindest eine für die in der Verbrauchseinheit (107) aktuell verfügbare Menge des Verbrauchsmediums repräsentative erste Füllstandsinformation umfasst, und/oder – die Überprüfungshistorie insbesondere zumindest einen Teil der zweiten Autorisierungsinformation, insbesondere die gesamte zweite Autorisierungsinformation, umfasst.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass – die erste Autorisierungsinformation eine erste Füllstandsinformation umfasst, die für die in der Verbrauchseinheit (107) verfügbare Menge des Verbrauchsmediums repräsentativ ist, – in dem ersten Überprüfungsschritt (110.5) ein Vergleich der ersten Füllstandsinformation mit einer der Verbrauchseinheit (107) zugeordneten Füllstandsgrenzinformation und/oder mit zumindest einer vorherigen ersten Füllstandsinformation aus der der Verbrauchseinheit (107) zugeordneten Überprüfungshistorie vorgenommen wird, die aus einem vorherigen Autorisierungsschritt (110.7), insbesondere dem letzten zuvor durchgeführten Autorisierungsschritt (110.7), stammt, und – die Freigabe der Nutzung in dem Freigabeschritt (110.19) nur erfolgt, wenn eine vorgebbare Beziehung zwischen der ersten Füllstandsinformation und der vorherigen ersten Füllstandsinformation besteht, insbesondere die verfügbare Menge des Verbrauchsmediums kleiner ist als die vorherige verfügbare Menge des Verbrauchsmediums aus dem vorherigen Autorisierungsschritt (110.7), und/oder – in einem endgültigen Sperrschritt (110.20) eine dauerhafte Sperre der Nutzung der Verbrauchseinheit (107) erfolgt, wenn eine vorgebbare Beziehung zwischen der ersten Füllstandsinformation und der vorherigen ersten Füllstandsinformation besteht, insbesondere die verfügbare Menge des Verbrauchsmediums größer ist als die vorherige verfügbare Menge des Verbrauchsmediums aus dem vorherigen Autorisierungsschritt (110.7), und/oder – in einem endgültigen Sperrschritt (110.20) eine dauerhafte Sperre der Nutzung der Verbrauchseinheit (107) erfolgt, wenn eine vorgebbare Beziehung zwischen der ersten Füllstandsinformation und der Füllstandsgrenzinformation besteht, insbesondere die verfügbare Menge des Verbrauchsmediums eine durch die Füllstandsgrenzinformation definierte Grenzmenge des Verbrauchsmediums erreicht oder unterschritten hat, wobei insbesondere – in dem endgültigen Sperrschritt (110.20) der Verbrauchseinheit (107), insbesondere der ersten Identifikationsinformation, in der Datenzentrale (106) eine Sperrinformation zugeordnet wird, in dem ersten Überprüfungsschritt (110.5) eine Überprüfung vorgenommen wird, ob der Verbrauchseinheit (107) eine Sperrinformation zugeordnet ist, und die Freigabe der Nutzung in dem Freigabeschritt (110.19) nur erfolgt, wenn der Verbrauchseinheit (107) keine Sperrinformation zugeordnet ist.
Verfahren nach Anspruch 5 oder 6, dadurch gekennzeichnet, dass – die erste Autorisierungsinformation eine der Datenverarbeitungseinheit (102.1) zugeordnete zweite Identifikationsinformation umfasst, in dem ersten Überprüfungsschritt (110.5) ein Vergleich der zweiten Identifikationsinformation mit zumindest einer vorherigen zweiten Identifikationsinformation aus der der Verbrauchseinheit (107) zugeordneten Überprüfungshistorie vorgenommen wird, die aus einem vorherigen Autorisierungsschritt, insbesondere dem letzten zuvor durchgeführten Autorisierungsschritt, stammt, und die Freigabe der Nutzung in dem Freigabeschritt (110.19) nur erfolgt, wenn eine vorgebbare Beziehung zwischen der zweiten Identifikationsinformation und der vorherigen zweiten Identifikationsinformation besteht, insbesondere die zweite Identifikationsinformation mit der vorherigen zweiten Identifikationsinformation identisch ist, und/oder – in dem ersten Überprüfungsschritt (110.5) ein Vergleich einer aktuellen Zeitinformation mit der Erstüberprüfungszeitinformation aus der der Verbrauchseinheit (107) zugeordneten Überprüfungshistorie vorgenommen wird und die Freigabe der Nutzung in dem Freigabeschritt (110.19) nur erfolgt, wenn eine vorgebbare Beziehung zwischen der aktuellen Zeitinformation und der Erstüberprüfungszeitinformation besteht, insbesondere eine sich aus der aktuellen Zeitinformation und der Erstüberprüfungszeitinformation ergebende Zeitdifferenz kleiner ist als eine vorgebbare maximale Nutzungsdauer der Verbrauchseinheit (107).
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass – der erste Übermittlungsschritt (110.4) in Abhängigkeit von dem Eintreten wenigstens eines vorgebbaren ersten Ereignisses erfolgt, wobei – es sich bei dem wenigstens einen vorgebbaren ersten Ereignis insbesondere um ein nicht-zeitliches Ereignis handelt, insbesondere um das Herstellen einer Verbindung zwischen der Datenverarbeitungseinheit (102.1) und der Verbrauchseinheit (107) und/oder um das Lösen einer Verbindung zwischen der Datenverarbeitungseinheit (102.1) und der Verbrauchseinheit (107) und/oder das Erreichen einer vorgebbaren ersten Anzahl von Nutzungen der Verbrauchseinheit (107) und/oder das Erreichen eines vorgebbaren ersten Verbrauchs des Verbrauchsmediums und/oder das Erreichen einer vorgebbaren in der Verbrauchseinheit (107) noch verfügbaren ersten Menge des Verbrauchsmediums.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass – in einem temporären Sperrschritt (110.20) eine aufhebbare Sperre der Nutzung der Verbrauchseinheit (107) in Abhängigkeit von dem Eintreten wenigstens eines vorgebbaren zweiten Ereignisses erfolgt, wobei – es sich bei dem wenigstens einen vorgebbaren zweiten Ereignis insbesondere um ein nicht-zeitliches Ereignis handelt, insbesondere um das Lösen einer Verbindung zwischen der Datenverarbeitungseinheit (102.1) und der Verbrauchseinheit (107) und/oder das Erreichen einer vorgebbaren zweiten Anzahl von Nutzungen der Verbrauchseinheit (107) und/oder das Erreichen eines vorgebbaren zweiten Verbrauchs des Verbrauchsmediums und/oder das Erreichen einer vorgebbaren in der Verbrauchseinheit (107) noch verfügbaren zweiten Menge des Verbrauchsmediums, und/oder – der temporäre Sperrschritt (110.20) insbesondere nur dann erfolgt, wenn nach dem letzten Eintreten des ersten Ereignisses und vor dem Eintreten des zweiten Ereignisses kein Freigabeschritt (110.19) erfolgt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass – die erste Autorisierungsinformation zumindest vor dem ersten Übertragungsschritt und/oder während des ersten Übertragungsschritts durch kryptographische Mittel gegen unerkannte unautorisierte Manipulation abgesichert wird und/oder – die zweite Autorisierungsinformation zumindest vor dem zweiten Übertragungsschritt und/oder während des zweiten Übertragungsschritts durch kryptographische Mittel gegen unerkannte unautorisierte Manipulationen abgesichert wird, wobei – die zweite Autorisierungsinformation insbesondere wenigstens ein durch die Datenzentrale (106) in dem Autorisierungsschritt (110.7) erzeugtes kryptographisches Zertifikat umfasst, welches in einem Verifizierungsschritt (110.18) vor dem Freigabeschritt (110.19) von der Datenverarbeitungseinheit (102.1) verifiziert wird, und die Freigabe der Nutzung in Abhängigkeit von dem Ergebnis des Verifizierungsschritts (110.18) erfolgt und/oder – die erste Autorisierungsinformation insbesondere ein in einem vorangegangenen, insbesondere dem ersten Übertragungsschritt unmittelbar vorangegangenen, Autorisierungsschritt (110.7) erzeugtes vorangegangenes kryptographisches Zertifikat umfasst, wobei das vorangegangene kryptographische Zertifikat in dem ersten Überprüfungsschritt (110.5) verifiziert wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass – in der Datenverarbeitungseinheit (102.1) nach dem Freigabeschritt (110.19) eine Erfassung des Verbrauchs des Verbrauchsmediums erfolgt, wobei insbesondere – unter Verwendung einer durch die Datenverarbeitungseinheit (102.1) erfassten Nutzung der Verbrauchseinheit (107) und/oder einer vorherigen Füllstandsinformation eine rechnerische Füllstandsinformation ermittelt wird, die für die in der Verbrauchseinheit (107) rechnerisch verfügbare Menge des Verbrauchsmediums repräsentativ ist, und/oder über eine Erfassungseinheit eine tatsächliche Füllstandsinformation ermittelt wird, die für die in der Verbrauchseinheit (107) tatsächlich verfügbare Menge des Verbrauchsmediums repräsentativ ist, und wobei insbesondere – die rechnerische Füllstandsinformation mit der tatsächlichen Füllstandsinformation in der Datenverarbeitungseinheit (102.1) in einem Füllstandsüberprüfungsschritt verglichen wird und – die rechnerische Füllstandsinformation auf den Wert der tatsächlichen Füllstandsinformation gesetzt wird, wenn die tatsächlich verfügbare Menge um einen vorgebbaren ersten Toleranzwert kleiner ist als die rechnerisch verfügbare Menge, und/oder – in einem Sperrschritt (110.20) eine Sperrung der Nutzung der Verbrauchseinheit (107) durch die Datenverarbeitungseinheit (102.1) erfolgt, wenn die tatsächlich verfügbare Menge die rechnerisch verfügbare Menge um einen vorgebbaren zweiten Toleranzwert übersteigt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass – in dem Abrechnungsschritt (110.11) zur Ausführung der Abrechnung der Inhalt wenigstens eines Abrechnungsspeichers modifiziert wird, wobei – der wenigstens eine Abrechnungsspeicher in der Datenverarbeitungseinheit (102.1) angeordnet ist und/oder – der wenigstens eine Abrechnungsspeicher in der Datenzentrale (106) angeordnet ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass – in einem dem ersten Überprüfungsschritt (110.5) vorangehenden Herstellungsschritt eine Mehrzahl von ersten Verbrauchseinheiten (107) und zweiten Verbrauchseinheiten (107) hergestellt werden, wobei, insbesondere in einem Speicher einer ersten Verbrauchseinheit (107), einer ersten Identifikationsinformation der ersten Verbrauchseinheit (107) eine erste Kennung zugeordnet wird und, insbesondere in einem Speicher einer zweiten Verbrauchseinheit (107), einer ersten Identifikationsinformation der zweiten Verbrauchseinheit (107) eine zweite Kennung zugeordnet wird, und – wenigstens eine Überprüfung einer vorgebbaren Beziehung zwischen ersten Informationen und zweiten Informationen in dem ersten Überprüfungsschritt (110.5) und/oder in dem Autorisierungsschritt (110.7) und/oder in dem zweiten Überprüfungsschritt und/oder in dem Freigabeschritt (110.19) und/oder in einem Füllstandsüberprüfungsschritt in Abhängigkeit von der der Verbrauchseinheit (107) zugeordneten Kennung erfolgt und/oder – wenigstens eine Überwachung des Eintritts eines vorgebbaren Ereignisses in Abhängigkeit von der der Verbrauchseinheit (107) zugeordneten Kennung erfolgt.
Anordnung zur Durchführung eines Verfahrens nach einem der vorhergehenden Ansprüche mit – einer ein Verbrauchsmedium haltenden Verbrauchseinheit (107), – einer Verbrauchsanordnung (102, 103, 104), insbesondere einer Frankiermaschine, die eine zur Nutzung der Verbrauchseinheit (107) ausgebildete Verbrauchseinrichtung (102.6) und eine damit verbundene Datenverarbeitungseinheit (102.1) zur Steuerung der Nutzung der Verbrauchseinheit (107) umfasst, sowie – einer von der Verbrauchsanordnung entfernten Datenzentrale (106), die über ein Kommunikationsnetz (105) mit der Datenverarbeitungseinheit (102.1) verbindbar ist, wobei – die Datenverarbeitungseinheit (102.1) dazu ausgebildet ist, in einem ersten Übermittlungsschritt (110.4) eine der Verbrauchseinheit (107) zugeordnete erste Autorisierungsinformation über das Kommunikationsnetz an die entfernte Datenzentrale (106) zu übermitteln, – die Datenzentrale (106) dazu ausgebildet ist, in einem ersten Überprüfungsschritt (110.5) eine Überprüfung der ersten Autorisierungsinformation vorzunehmen, – die Datenzentrale (106) dazu ausgebildet ist, in einem Autorisierungsschritt (110.7) in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes (110.5) eine der Verbrauchseinheit (107) zugeordnete zweite Autorisierungsinformation zu generieren, – die Datenzentrale (106) dazu ausgebildet ist, in einer zweiten Übermittlungsschritt (110.15) die zweite Autorisierungsinformation über ein Kommunikationsnetz an die Datenverarbeitungseinheit (102.1) zu übermitteln, – die Datenverarbeitungseinheit (102.1) dazu ausgebildet ist, in einem zweiten Überprüfungsschritt (110.18) eine Überprüfung der zweiten Autorisierungsinformation vorzunehmen und – die Datenverarbeitungseinheit (102.1) dazu ausgebildet ist, in einem Freigabeschritt (110.19) in Abhängigkeit von dem Ergebnis des zweiten Überprüfungsschrittes (110.18) eine Freigabe der Nutzung der Verbrauchseinheit (107) in der Verbrauchseinrichtung (102.6) vorzunehmen, wobei – die Datenverarbeitungseinheit (102.1) und/oder die Datenzentrale (106) dazu ausgebildet ist, in einem Abrechnungsschritt (110.11) in Abhängigkeit von dem Ergebnis des ersten Überprüfungsschrittes (110.5) und/oder des zweiten Überprüfungsschrittes (110.18) eine Abrechnung für die Freigabe der Nutzung der Verbrauchseinheit (107) in der Verbrauchseinrichtung (102.6) vorzunehmen, dadurch gekennzeichnet, dass – die Datenverarbeitungseinheit (102.1) und/oder die Datenzentrale (106) dazu ausgebildet ist, den Abrechnungsschritt (110.11) vorzunehmen, sofern in einem Feststellungsschritt (110.10) des ersten Überprüfungsschrittes (110.5) festgestellt wird, dass die Verbrauchseinheit (107) bisher unbenutzt ist.
Datenverarbeitungseinrichtung, dadurch gekennzeichnet, dass – sie als die Datenverarbeitungseinheit (102.1) der Anordnung nach Anspruch 14 ausgebildet ist, wobei sie insbesondere dazu ausgebildet ist, den Abrechnungsschritt (110.11) vorzunehmen, oder dass – sie als die Datenzentrale (106) der Anordnung nach Anspruch 14 ausgebildet ist, wobei sie insbesondere dazu ausgebildet ist, den Abrechnungsschritt (110.11) vorzunehmen.