DE10360860A1

DE10360860A1 - Banknotenbearbeitungsmaschine und Verfahren für ihren Betrieb

Info

Publication number: DE10360860A1
Application number: DE10360860A
Authority: DE
Inventors: Wolfgang Dr. Röhrl; Helmut Steidl; Karl-Dieter Dr. Förster
Original assignee: Giesecke and Devrient GmbH
Current assignee: Giesecke and Devrient GmbH
Priority date: 2003-12-23
Filing date: 2003-12-23
Publication date: 2005-07-21

Abstract

Die Erfindung betrifft eine Banknotenbearbeitungsmaschine und ein Verfahren für das Laden und Betreiben der Banknotenbearbeitungsmaschine mit Software. DOLLAR A Bei der erfindungsgemäßen Banknotenbearbeitungsmaschine und dem erfindungsgemäßen Verfahren für das Laden und Betreiben der Banknotenbearbeitungsmaschine mit Software wird überprüft, ob die Software von einer autorisierten Quelle stammt, wobei die Software nur dann in einem Speicher der Banknotenverarbeitungsmaschine dauerhaft gespeichert wird, wenn die Software von der autorisierten Quelle stammt.

Description

Die Erfindung betrifft eine Banknotenbearbeitungsmaschine und ein Verfahren für das Laden und Betreiben der Banknotenbearbeitungsmaschine mit Software.

Banknotenbearbeitungsmaschinen werden dazu verwendet, Banknoten hinsichtlich ihrer Eigenschaften, wie Echtheit, Zustand, Art der Banknote usw., zu überprüfen. In Abhängigkeit vom Ergebnis der Überprüfung, können die Banknoten beispielsweise akzeptiert, sortiert, gespeichert, zerstört usw. werden. Die Banknotenbearbeitungsmaschinen bestehen in der Regel aus komplexen mechanischen, elektrischen, elektronischen und sensorischen Elementen, die von einer oder mehreren Steuereinrichtungen, z. B. Mikroprozessoren, Computern usw., koordiniert und gesteuert werden. Für den Betrieb derartiger Banknotenbearbeitungsmaschinen werden deshalb Programme bzw. Software benötigt. Die Software wird in dem Maß bedeutender, in dem die Komplexität der Banknotenbearbeitungsmaschinen zunimmt bzw. die Anforderungen an die Banknotenbearbeitungsmaschinen steigen.

Besondere Probleme ergeben sich, falls der Betrieb der Banknotenbearbeitungsmaschinen aktuellen Erfordernissen angepaßt werden soll, d. h. falls es möglich sein soll, Änderungen der Steuerung der Elemente der Banknotenbearbeitungsmaschine vorzunehmen. In diesem Fall müssen die Programme bzw. Software der Banknotenbearbeitungsrnaschinen entsprechend geändert werden. Dies kann beispielsweise dadurch erreicht werden, daß entsprechend geänderte Software in die Banknotenbearbeitungsmaschinen geladen wird. Dabei tritt jedoch ein Sicherheitsproblem auf, da es durch manipulierte Software möglich ist, den Betrieb der Banknotenbearbeitungsmaschinen zu beeinflussen, wodurch beispielsweise mit den Banknotenbearbeitungsmaschinen vorgenommene Abrechnungen in betrügerischer Weise beeinflußt werden können.

Es ist Aufgabe der vorliegenden Erfindung, eine Banknotenbearbeitungsmaschine und ein Verfahren für das Laden und Betreiben der Banknotenbearbeitungsmaschine mit Software anzugeben, bei denen es möglich ist, die Software aktuellen Erfordernissen anzupassen, wobei insbesondere sichergestellt sein soll, daß nur Software in den Banknotenbearbeitungsmaschinen zum Einsatz kommt, die nicht manipuliert ist.

Diese Aufgabe wird erfindungsgemäß durch eine Banknotenbearbeitungsmaschine und ein Verfahren für das Laden und Betreiben mit Software, mit den Merkmalen der Ansprüche 1 und 10 gelöst.

Bei der erfindungsgemäßen Banknotenbearbeitungsmaschine und dem erfindungsgemäßen Verfahren für das Laden und Betreiben der Banknotenbearbeitungsmaschine mit Software wird überprüft, ob die Software von einer autorisierten Quelle stammt, wobei die Software nur dann in einem Speicher der Banknotenbearbeitungsmaschine dauerhaft gespeichert wird, wenn die Software von der autorisierten Quelle stammt.

Auf diese Weise kann erreicht werden, daß nur unveränderte Software für den Betrieb der Banknotenbearbeitungsmaschine verwendet wird, wodurch Manipulationen bei der Bearbeitung und Abrechnung von Banknoten durch veränderte Software sicher vermieden werden können.

Bei einer vorteilhaften Ausgestaltung ist es zudem vorgesehen, daß ein Zahlungsnachweis für den Einsatz der Software auf bestimmten Banknotenbearbeitungsmaschinen erzeugt wird, wobei die Software nur bei Vorliegen des Zahlungsnachweises dauerhaft gespeichert und/oder ausgeführt wird.

Weitere Vorteile der vorliegenden Erfindung ergeben sich aus den abhängigen Ansprüchen sowie der nachfolgenden Beschreibung von Ausführungsformen anhand von Figuren.
Es zeigt:
1 eine schematische Darstellung eines prinzipiellen Aufbaus einer ersten Ausführungsform einer mit Software betriebenen Banknotenbearbeitungsmaschine,
2 eine schematische Darstellung eines prinzipiellen Aufbaus einer zweiten Ausführungsform einer mit Software betriebenen Banknotenbearbeitungsmaschine,
3 ein erstes Beispiel zu ladender Software, und
4 ein zweites Beispiel zu ladender Software.
1 zeigt eine schematische Darstellung eines prinzipiellen Aufbaus einer mit Software betriebenen Banknotenbearbeitungsmaschine 10.
Die Banknotenbearbeitungsmaschine 10 weist ein Eingabefach 20 für die Eingabe von zu bearbeitenden Banknoten 21 auf, in welches ein Vereinzeler 22 eingreift. Der Vereinzeler 22 erfaßt jeweils eine der zu bearbeitenden Banknoten 21 und übergibt die einzelne Banknote einem Transportsystem 23, welches die einzelne Banknote durch eine Sensoreinrichtung 30 transportiert. In der Sensoreinrichtung 30 werden Merkmale jeder einzelnen Banknote erfaßt, die beispielsweise für die Beurteilung der Echtheit, der Art (Währung, Stückelung), des Zustands usw. der Banknote relevant sind. Derartige Merkmale können beispielsweise mechanisch, akustisch, optisch, elektrisch und/oder magnetisch erfaßt werden. Bekannte Echtheitsmerkmale umfassen beispielsweise Druckfarben mit besonderen optischen und/oder magnetischen Eigenschaften, metallische oder magnetische Sicherheitsfäden, die Verwendung von aufhellerfreiem Banknotenpapier, in einem elektrischen Schaltkreis enthaltene Informationen usw. Die Art der Banknote wird z. B. durch ihre Größe, Druckmuster, Farben usw. festgelegt, wohingegen der Zustand der Banknote beispielsweise aus dem optischen Erscheinungsbild (Verschmutzung) abgeleitet werden kann. Die Merkmale werden von der Sensoreinrichtung 30 erfaßt und entsprechende Daten der Sensoreinrichtung 30 an eine Steuereinrichtung 40 übergeben.
Von der Steuereinrichtung 40 werden die Daten der erfaßten Merkmale mit Vergleichsdaten verglichen, welche die Erkennung von echten bzw. gefälschten und/oder fälschungsverdächtigen Banknoten, die Art der Banknoten, den Zustand der Banknoten usw. ermöglichen. Die Vergleichsdaten sowie für den Betrieb der Banknotenbearbeitungsmaschine 10 erforderliche Programme liegen als Software vor und sind in der Steuereinrichtung 40 bzw. einem der Steuereinrichtung 40 zugeordneten, nichtflüchtigen Speicher 41 gespeichert. Der nichtflüchtige Speicher 41 kann z. B. von einem EEPROM, einem Flash-Speicher oder einer Festplatte gebildet werden. Weiterhin kann ein nicht dargestellter Arbeitsspeicher mit der Steuereinrichtung 40 verbunden sein, der von der Steuereinrichtung 40 für die Ausführung der Software verwendet wird.
Anhand der von der Steuereinrichtung 40 durchgeführten Überwachung bzw. Überprüfung der jeweiligen Banknote werden im Transportsystem 23 angeordnete Weichen 24, 26 angesteuert, um beispielsweise gefälschte und/oder fälschungsverdächtige Banknoten in einem Ausgabefach 25 abzu legen, wohingegen als echt eingestufte Banknoten in einem anderen Ausgabefach 27 abgelegt werden können. Das Transportsystem 23 kann darüber hinaus fortgesetzt sein, so daß die Banknoten einer weiteren Bearbeitung 28 zugeführt werden können, z. B. weiteren Ausgabefächern, einem Safe oder einer Kassette, einem Schredder usw.
Zur Steuerung der Banknotenbearbeitungsmaschine 10 durch einen Bediener ist eine Ein-/Ausgabeeinrichtung 45 mit der Steuereinrichtung 40 verbunden, um beispielsweise bestimmte Bearbeitungsmodi auswählen zu können, beziehungsweise den Bediener über die Bearbeitung der Banknoten 21 zu informieren.
Die exemplarisch beschriebene Banknotenbearbeitungsmaschine 10 kann dazu verwendet werden, Banknoten zu zählen, prüfen, sortieren usw. Ebenso ist es denkbar, daß die Banknotenbearbeitungsmaschine 10 einen automatischen Schalter bildet, der beispielsweise für die Einzahlung von Banknoten verwendet werden kann. Die Banknotenbearbeitungsmaschine 10 kann aber auch Bestandteil eines Verkaufsautomaten sein.
Bei der Herstellung oder Konfiguration der Banknotenbearbeitungsmaschine 10 kann es vorgesehen sein, daß die erforderliche Software bereits vorab in dem nichtflüchtigen Speicher 41 gespeichert wird. Zusätzlich ist eine Schnittstelle 42 vorhanden, welche es erlaubt, die im nichtflüchtigen Speicher 41 gespeicherte Software ganz oder teilweise zu ersetzen und/oder um zusätzliche Bestandteile zu ergänzen. Dazu kann die Schnittstelle 42 z. B. als Modem, Netzwerkanschluß, Internetanschluß, als parallele, serielle oder USB-Schnittstelle, oder auch als Leseeinrichtung für eine optischen oder magnetischen Speicher usw. ausgestaltet sein.
Soll neue Software über die Schnittstelle 42 geladen und im nichtflüchtigen Speicher 41 gespeichert werden, so wird vor einer Speicherung der Software im nichtflüchtigen Speicher 41 von der Steuereinrichtung 40 überprüft, ob die Software von einer autorisierten Quelle, z. B. dem Hersteller der Banknotenbearbeitungsmaschine 10, einer Serviceorganisation usw., stammt. Dazu wird die Software von der autorisierten Quelle gekennzeichnet, z. B. durch Bilden eines Hashwerts für die Software oder für Teile der Software. Zudem kann die Software und/oder der Hashwert verschlüsselt werden, insbesondere mit einem unsymmetrischen Verschlüsselungsverfahren, d. h. die autorisierte Quelle verwendet für die Verschlüsselung einen geheimen Schlüssel.
Durch die Überprüfung der Authentizität der zu ladenden Software kann die Manipulation der Banknotenbearbeitungsmaschine 10 durch veränderte Software verhindert werden.
Beim Laden von Software über die Schnittstelle 42 wird von der Steuereinrichtung 40 überprüft, ob die Software von einer autorisierten Quelle stammt. Dies kann beispielsweise dadurch erfolgen, daß die Steuereinrichtung 40 erneut den Hashwert bildet und diesen mit dem in der zu ladenden Software enthaltenen vergleicht und/oder die Software und/oder den Hashwert mittels eines öffentlichen Schlüssels entschlüsselt. Da nur ein öffentlicher Schlüssel verwendet wird, sind keine besonderen Anforderungen hinsichtlich der Geheimhaltung des Schlüssels zu berücksichtigen.
Besonders hohe Sicherheit bei der Überprüfung der Software kann erreicht werden, wenn die Herkunft von einer autorisierten Quelle durch einen geschützten Bestandteil der Banknotenbearbeitungsmaschine 10 überprüft wird. Dazu kann an die Steuereinrichtung 40 ein programmierbarer Logikbaustein 50 angeschlossen sein. In dem programmierbaren Logikbaustein 50 können besonderes zu schützende Daten und/oder Software gespeichert sein, sowie die für die Steuerung der Banknotenbearbeitungsmaschine 10 und deren Steuereinheit 40 grundlegenden Software, die z. B. als Firmware bezeichnet wird. Bestandteil der Firmware kann auch die Software sein, die zur Überprüfung von über die Schnittstelle 42 zu ladender Software, wie oben beschrieben, verwendet wird. Das Speichern der zu ladenden Software in den nichtflüchtigen Speicher 41 erfolgt erst nach Überprüfung durch den Logikbaustein 50. Selbstverständlich können im Logikbaustein 50 geheime Daten gespeichert und besonders geschützt werden, z. B. geheime Schlüssel, und/oder auch der oben beschriebene öffentliche Schlüssel.
Der programmierbare Logikbaustein 50 kann beispielsweise von einem CPLD (Complex Programmable Logic Device) oder einem FPGA (Field Programmable Gate Array) gebildet werden. Ein derartiger programmierbarer Logikbaustein 50 wird dadurch programmiert, daß Verbindungen zwischen Gattern des programmierbaren Logikbausteins 50 festgelegt werden. Diese Programmierung kann mittels eines von einem Anwender entworfenen Designs vorgenommen werden, bei dem die Verbindungen der Gatter festgelegt werden, um so die Funktion des programmierbaren Logikbausteins 50 festzulegen. Die für die Programmierung der Logikbausteine verwendeten Hilfsprogramme enthalten zudem Mechanismen zum Schutz des entworfenen Designs. Die Programmierung der Logikbausteine erfolgt üblicherweise mittels eines binären Datenstroms der innerhalb der Logikbausteine interpretiert wird. Das Format der verwendeten Programmierdaten wird geheim gehalten, um eine Rückübersetzung und damit die Analyse des Designs stark zu erschweren bzw. unmöglich zu machen.
Programmierbare Logikbausteine, die nur einmalig programmiert werden, weil sie die bei der Programmierung festgelegten Verbindungen dauerhaft speichern, sind außerdem durch eine interne Schutzschaltung gegen das Auslesen der Daten geschützt. Damit kann auch das Kopieren des Designs auf einen identischen programmierbaren Logikbaustein verhindert werden, wodurch sich ein besonders hoher Schutz für die Daten ergibt. Die Daten werden innerhalb der beschriebenen sicheren Umgebung in dem programmierbaren Logikbaustein 50 gespeichert und können nur von diesem für die weitere Bearbeitung zur Verfügung gestellt werden.
2 zeigt eine schematische Darstellung eines prinzipiellen Aufbaus einer zweiten Anordnung für die Speicherung von geheimen Daten für den Betrieb einer Banknotenbearbeitungsmaschine 11.
Die Banknotenbearbeitungsmaschine 11 nach 2 entspricht im wesentlichen der oben anhand von 1 beschriebenen Banknotenbearbeitungsmaschine 10. Im Unterschied zur Banknotenbearbeitungsmaschine 10 weist die Banknotenbearbeitungsmaschine 11 einen programmierbaren Logikbaustein 60 mit softwareprogrammierten Verbindungen auf. Dies bedeutet, daß das für die Programmierung verwendete Design bei Betriebsbeginn in einen im programmierbaren Logikbaustein 60 enthaltenen, flüchtigen Speicher geladen werden.
Zur Speicherung der Designs ist ein nichtflüchtiger Speicher 61 mit dem programmierbaren Logikbaustein 60 verbunden, in dem das Design gespechert sind. Durch die oben beschriebene Geheimhaltung des Formats der Programmierdaten ist eine Entschlüsselung des Designs nur mit sehr großem Aufwand möglich. Alternativ oder zusätzlich kann es auch vorgesehen sein, daß das Design im nichtflüchtigen Speicher 41 der Steuereinrichtung 40 gespeichert werden. In diesem Fall kann unter Umständen auf einen zusätzlichen nichtflüchtigen Speicher 61 für den programmierbaren Logikbaustein 60 verzichtet werden.
Die für die oben beschriebene Programmierung des programmierbaren Logikbausteins 50, bzw. des nichtflüchtigen Speichers 61, kann bei der Herstellung der Banknotenbearbeitungsmaschine 10,11 erfolgen. Es ist aber auch möglich zu einem späteren Zeitpunkt Änderungen, Ergänzungen oder einen vollständigen Austausch der Programmierung vorzunehmen. Bei der beschriebenen Verwendung von nur einmalig programmierbaren Logikbausteinen 50 gelten dabei jedoch Einschränkungen. Derartige Änderungen sollten jedoch aus Sicherheitsgründen bei dem Teil des Designs vermieden werden, welche die oben beschriebene Überprüfung zu ladender Software vornehmen. Ebenso sollten die wesentlichen Bestandteile der Firmware von Änderungen ausgenommen werden. Dadurch kann erreicht werden, daß die Banknotenbearbeitungsmaschine 10,11 auch für den Fall funktionsfähig bleibt, daß beim Laden neuer Software über die Schnittstelle 42 Fehler auftreten und die Software nicht korrekt gespeichert wird. In diesem Fall kann der Ladevorgang wiederholt werden, falls die zuvor beschrieben Änderungen an der Firmware bzw. der Software für die Überprüfung vermieden werden. Sollten Firmware bzw. die Software für die Überprüfung im nichtflüchtigen Speicher 41 gespeichert sein, gilt entsprechendes, d. h. diese Teile der Software sollten nicht über die Schnittstelle 42 verändert werden können, damit die Banknotenbearbeitungsmaschine 10,11 auch nach dem Auftreten eines Fehlers bei einem Ladevorgang noch betrieben werden kann.
In 3 ist der Aufbau von zu ladender Software 70 dargestellt. Die Software 70 besteht aus einen Kennzeichnungsteil 71, der eine Kennzeichnung 72 der autorisierten Quelle enthält. Bei der Kennzeichnung 72 kann es sich z. B. um den oben beschriebenen Hashwert handeln, der auch verschlüsselt sein kann. Außerdem enthält die zu ladende Software 70 die eigentliche Software 76, die im nichtflüchtigen Speicher 41 gespeichert werden soll. Die Software 76 kann aus Programmen bestehen, welche die Banknotenbearbeitungsmaschine 10,11 mittels der Steuereinrichtung 40 steuern. Zusätzlich können Daten enthalten sein, die z. B. als die oben beschriebenen Vergleichsdaten für die Auswertung der Signale der Sensoreinrichtung 30 verwendet werden. Vorteilhafterweise werden bei veränderten oder neuen Programmen auch immer die zugehörigen Daten in der Software 76 enthalten sein, und bei veränderten oder neuen Daten auch immer die Programme. Auf diese Weise können Kompatibilitätsprobleme vermieden werden, die ansonsten entstehen könnten, wenn Daten und/oder Programme älterer Version, die bereits im nichtflüchtigen Speicher 41 gespeichert sind, mit Programmen und/oder Daten neuerer Version, die geladen und in den nichtflüchtigen Speicher 41 geschrieben werden, zusammen verwendet werden.
Im Kennzeichnungsteil 71 kann außerdem eine individuelle Kennung 73 enthalten sein, die einer individuellen Kennung 12 einer Banknotenbearbeitungsmaschine 10,11 entspricht, und die z. B. im nichtflüchtigen Speicher 41 bzw. dem Logikbaustein 50, 60, 61 gespeichert ist. Bei einem Ladevorgang wird die im Kennzeichnungsteil 71 vorhandene individuelle Kennung 73 mit der individuellen Kennung 12 der Banknotenbearbeitungsmaschine 10,11 von der Steuereinrichtung 40 bzw. dem Logikbaustein 50, 60 verglichen. Nur bei Übereinstimmung der beiden individuellen Kennungen 73 und 12 wird die Software 76 im nichtflüchtigen Speicher 41 gespeichert. Auf diese Weise ist es möglich, daß Software 76 gezielt nur in eine bestimmte Banknotenbearbeitungsmaschine 10,11 geladen und gespeichert werden kann.
Im Kennzeichnungsteil 71 kann weiterhin eine gemeinsame Kennung 74 enthalten sein, die der gemeinsame Kennung 13 einer Banknotenbearbeitungsmaschine 10,11 entspricht, und die z. B. im nichtflüchtigen Speicher 41 bzw. dem Logikbaustein 50, 60, 61 gespeichert ist. Bei einem Ladevorgang wird die im Kennzeichnungsteil 71 vorhandene gemeinsame Kennung 74 mit der gemeinsamen Kennung 13 der Banknotenbearbeitungsmaschine 10, 11 von der Steuereinrichtung 40 bzw. dem Logikbaustein 50, 60 verglichen. Nur bei Übereinstimmung der beiden gemeinsame Kennungen 74 und 13 wird die Software 76 im nichtflüchtigen Speicher 41 gespeichert. Auf diese Weise ist es möglich, daß Software 76 gezielt nur in eine festgelegte Gruppe von Banknotenbearbeitungsmaschinen 10,11 geladen und gespeichert werden kann, die alle dieselbe gemeinsame Kennung 13 aufweisen.
Zusätzlich kann ein Zahlungsnachweis 75 vorgesehen sein. In diesem Fall enthält der Kennzeichnungsteil 71 einen Hinweis 75 (L) darauf, daß eine Zahlung erforderlich ist, für die ein gültiger Zahlungsnachweis 75 vorliegen muß. Der Zahlungsnachweis 75 kann auch für die mit individueller 73 und/oder gemeinsamer Kennung 74 versehenen Kennzeichnungsteile 71 verwendet werden, ist dafür aber nicht erforderlich, da durch die Erzeugung des Kennzeichnungsteils 71 mit individueller 73 und/oder gemeinsamer Kennung 74 bereits ein dem Zahlungsnachweis entsprechender Beleg erzeugt wurde, da die eigentliche Software 76, wie oben beschrieben, in diesem Fall nur von den entsprechenden Banknotenbearbeitungsmaschinen 10,11 mit der individuellen 73 und/oder gemeinsamen Kennung 74 geladen werden kann. Der Zahlungsnachweis ist jedoch immer dann erforderlich, wenn der Kennzeichnungsteil 71 keine individuelle 73 und/oder gemeinsame Kennung 74 aufweist, d. h. von allen Banknotenbearbeitungsmaschinen 10, 11 geladen werden kann, die dazugehörige eigentliche Software 76 aber zahlungspflichtig sein soll. Dazu kann z. B. die individuelle Kennung 12 und/oder die gemeinsame Kennung 13 von der oder den Banknotenbearbeitungsmaschinen 10,11, für welche die Software 70 bestimmt ist, von der autorisierten Quelle mittels eines geheimen Schlüssels verschlüsselt werden. Ebenso ist es möglich, einen Hashwert, entsprechend der oben beschriebenen Vorgehensweise, zu erzeugen und mittels eines unsymmetrischen Verschlüsselungsverfahrens zu verschlüsseln. In diesem Fall kann auf den Aufwand für die Absicherung des geheimen Schlüssels in der Banknotenbearbeitungsmaschine 10,11 verzichtet werden. Zusätzlich kann der Zahlungsnachweis 75 weitere Informationen enthalten, z. B. eine Kontonummer, ein Buchungsdatum, einen Buchungsbetrag, eine Zufallszahl usw. Die Höhe der für die Software 76 fälligen Kosten kann sich aus mehreren Faktoren zusammensetzen. Beispielsweise sind die Kosten von der Art der Software 76 abhängig. Wie zuvor beschrieben, können besondere Kosten für die jeweilige individuelle Kennung 73 festgelegt werden, und bei Verwendung der gemeinsamen Kennung 74, d. h. wenn die Software 76 auf mehrere Banknotenbearbeitungsmaschinen 10,11 mit gleicher gemeinsamer Kennung 13 geladen werden kann, können die Kosten unter anderem anhand der bekannten Anzahl der Banknotenbearbeitungsmaschinen 10,11 mit gleicher gemeinsamer Kennung 13 bestimmt werden.
Beim Ladevorgang wird die Software 76 nur bei Vorliegen des Zahlungsnachweises 75 geladen und dauerhaft im nichtflüchtigen Speicher 41 gespeichert. Dazu wird der verschlüsselte Zahlungsnachweis 75 mittels des in der Banknotenbearbeitungsmaschine 10,11 gespeicherten geheimen Schlüssels oder des öffentlichen Schlüssels entschlüsselt und überprüft. Zur Sicherung des geheimen Schlüssels ist es besonders vorteilhaft, diesen in den oben beschriebenen Logikbausteinen 50, 60, 61 zu speichern. Es ist jedoch prinzipiell auch möglich, den geheimen Schlüssel im nichtflüchtigen Speicher 41 zu speichern.
Wie beschrieben, sind Kennzeichnung 72 und Zahlungsnachweis 75 jeweils verschlüsselt. Die anderen Bestandteile des Kennzeichnungsteils 71, z. B. die individuelle 73 und gemeinsame Kennung 74, können verschlüsselt und/oder unverschlüsselt im Kennzeichnungsteil 71 enthalten sein.
Die Software 70, also der Kennzeichnungsteil 71 und die eigentliche Software 76, können z. B. beim Hersteller oder einer Serviceorganisation für die Banknotenbearbeitungsmaschine 10,11 erzeugt werden. Dazu kann der Betreiber der Banknotenbearbeitungsmaschine 10,11 die gewünschte Version, Ergänzung usw. der Software 76 anfordern, z. B. per Post, Telefon, Internet usw. Dabei wird auch die individuelle Kennung 12 und/oder die gemeinsame Kennung 13 der Banknotenbearbeitungsmaschine 10,11 angegeben, falls diese nicht bereits beim Hersteller oder der Serviceorganisation bekannt ist. Diese Angaben werden in den Kennzeichnungsteil 71 als individuelle Kennung 73 und/oder gemeinsame Kennung 74 übernommen. Zusätzlich wird in oben beschriebener Weise die Kennzeichnung 72 der autorisierten Quelle und – falls die Software 76 kostenpflichtig ist – der Zahlungsnachweis 75 erzeugt und der Hinweis auf die Zahlungspflicht (L) in den Kennzeichnungsteil 71 übernommen. Der derart erzeugte Kennzeichnungsteil 71 wird zusammen mit der gewünschten Software 76 zur Software 70 zusammengefügt und zur Banknotenbearbeitungsmaschine 10,11 übermittelt. Getrennt davon, oder zusammen, wird auch der Zahlungsnachweis 75 zur Banknotenbearbeitungsmaschine 10,11 übermittelt. Die Übermittlung kann z. B. via Internet, Speichermedium oder Service-PC an die Schnittstelle 42 vorgenommen werden. Wurde ein Zahlungsnachweis 75 erzeugt, wird eine entsprechende Rechnung an den Betreiber der Banknotenbearbeitungsmaschine 10,11 erstellt. Für den Fall, daß die Software 70 von dem Betreiber der Banknotenbearbeitungsmaschine 10,11 bei einer Serviceorganisation bestellt wurde, kann die Abrechnung zwischen Serviceorganisation und Betreiber in der zuvor beschriebenen Weise erfolgen. Zwischen Serviceorganisation und Hersteller kann in gleicher Weise abgerechnet werden. Es ist aber auch möglich, daß der Hersteller der Serviceorganisation eine Chipkarte mit einem bestimmten Guthaben zur Verfügung stellt, bzw. daß die Serviceorganisation diese beim Hersteller erwirbt. Die jeweils anfallenden Kosten werden dann vom Guthaben der Chipkarte abgebucht, wenn die Serviceorganisation die Software 70 zusammenfügt. Eine derartige Chipkarte kann auch vom Betreiber der Banknotenbearbeitungsmaschine 10,11 verwendet werden und ist besonders vorteilhaft, wenn der Betreiber die gewünschte Software 76 z. B. mittels Internet direkt beim Hersteller oder der Serviceorganisation auswählt und lädt.
In 4 ist der Aufbau von zu ladender Software 70 dargestellt, die von mehreren Banknotenbearbeitungsmaschinen 10a,11a,10b,11b geladen und gespeichert werden soll. Dazu ist es ausreichend, wenn die zu ladende Software 76 nur einmal zur Verfügung gestellt wird, wenn diese einen Kennzeichnungsteil 71 aufweist, der neben der Kennzeichnung 72 eine besondere Kennung 77 aufweist, welche die Information enthält, daß die Software 76 in verschiedene Banknotenbearbeitungsmaschinen 10a,11a,10b,11b ladbar ist. Für die jeweilige Banknotenbearbeitungsmaschine 10a,11a,10b,11b wird zusätzlich ein Kennzeichnungsteil 71a, 71b erzeugt, der dem Kennzeichnungsteil 71 entspricht, jedoch zusätzlich eine individuelle Kennung 73a, 73b enthält, welche der individuellen Kennung 12a,12b der Banknotenbearbeitungsmaschinen 10a,11a,10b,11b entspricht, in welche die Software 76 geladen werden soll. Vor der Speicherung der Software 76 in den nichtflüchtigen Speicher 41a, 41b wird deshalb die besondere Kennung 77 des Kennzeichnungsteils 71 der Software 76 mit der besonderen Kennung 77 der zusätzlichen Kennzeichnungsteile 71a, 71b verglichen, stimmen diese überein, wird überprüft, ob die individuelle Kennung 73a, 73b mit der individuellen Kennung 12a,12b übereinstimmt. Im Fall der Übereinstimmung wird die Software 76 in den nichtflüchtigen Speicher 41a, 41b geladen. Besondere Kennung 77 und Kennzeichnung 72 sind – wie oben beschrieben – verschlüsselt. Die individuelle Kennung 73a, 73b kann ebenfalls verschlüsselt sein. Ebenso können statt der individuellen Kennungen, oder zusätzlich zu diesen, gemeinsame Kennungen verwendet werden.
Neben der oben beschriebenen Verwendung von zusätzlichen Kennzeichnungsteilen 71a, 71b kann auch ein Freischaltcode verwendet werden, der z. B. aus alphanumerischen Zeichen besteht und mittels der Ein-/Ausgabeeinrichtung 45 eingegeben werden kann. Der Freischaltcode wird aus Informationen, z. B. der besonderen Kennung 77, der individuellen Kennung 12a,12b, der gemeinsamen Kennung 13 usw. abgeleitet und verschlüsselt. Dazu kann insbesondere die oben beschriebene Bildung eines Hashwerts sowie eine symmetrische oder unsymmetrische Verschlüsselung verwendet werden.
Weiterhin kann eine Freigabekennung vorgesehen sein, die es ermöglicht bestimmte Teile der Software 76 für den Betrieb freizugeben. Derartige Teile der Software werden nur dann ausgeführt, wenn die entsprechende Freigabekennung vom Betreiber der Banknotenbearbeitungsmaschine zumindest einmalig, z. B. mittels der Ein-/ Ausgabeeinrichtung 45, eingegeben wurde. Die Freigabekennung kann insbesondere kostenpflichtig sein. Mit der Freigabekennung können bestimmte Programme oder Daten der Software 76, wie Vergleichsdaten für eine bestimmte Währung, gekennzeichnet werden, so daß die entsprechende Währung mit der Banknotenbearbeitungsmaschine 10,11 erst bearbeitet werden kann, nachdem die entsprechende Freigabekennung eingegeben wurde. Die Freigabekennung kann z. B. wie der zuvor beschriebene Freischaltcode gebildet werden.
Treten bei der Benutzung der Banknotenbearbeitungsmaschine 10,11 Probleme auf, z. B. Störungen, Defekte usw., kann es vorgesehen sein, daß die entsprechende Banknotenbearbeitungsmaschine 10,11 durch den Hersteller oder die Serviceorganisation ausgetauscht werden. In diesem Fall kann mittels eines Service-PC, und gegebenen Falls einer besonderen Berechtigung, die individuelle Kennung 73 und/oder die gemeinsame Kennung 74 der auszutauschenden Banknotenbearbeitungsmaschine 10,11 auf die Austausch-Banknotenbearbeitungsmaschine übertragen werden. Dazu werden die Kennungen 73, 74, falls sie nicht bekannt sind, aus der auszutauschenden Banknotenbearbeitungsmaschine 10,11 ausgelesen. Außerdem werden die Kennungen 73, 74 gelöscht. Anschließend werden die Kennungen 73, 74 auf die Austausch-Banknotenbearbeitungsmaschine übertragen. Dies bietet den Vorteil, daß die ursprünglich bereits erworbene Software auch von der Austausch-Banknotenbearbeitungsmaschine verwendet werden kann, da diese nunmehr die Kennungen 73, 74 der auszutauschenden Banknotenbearbeitungsmaschine 10,11 aufweist.
Soll eine Banknotenbearbeitungsmaschine 10,11 erneut verwendet werden, wird eine eventuell vorhandene gemeinsame Kennung 74 gelöscht bzw. durch eine neue gemeinsame Kennung ersetzt. Die individuelle Kennung 73 wird ebenfalls gelöscht und durch eine neue individuelle Kennung ersetzt. Die neue individuelle Kennung kann dabei aus einem ersten Teil gebildet werden, der z. B. einen von der Banknotenbearbeitungsmaschine abhängigen Teil aufweist, beispielsweise eine Seriennummer, und einem zweiten Teil, der beispielsweise von einer Zufallszahl gebildet wird. Auf diese Weise kann die unbeabsichtigte Erzeugung einer individuellen Kennung vermieden werden, die mit anderen individuellen Kennungen kollidiert.
Neben den beschriebenen Ausführungsformen ist eine Vielzahl von Abwandlungen möglich.
Bei einer Abwandlung der beschriebenen Ausführungsformen kann es vorgesehen sein, daß auf den nichtflüchtigen Speicher 41 der Steuereinrichtung 40 verzichtet wird. In diesem Fall werden alle für den Betrieb der Banknotenbearbeitungsmaschine 10,11 erforderlichen Programme und Vergleichsdaten, geheimen Daten usw. in dem programmierbaren Logikbaustein 50, 60, 61 gespeichert. Ebenso kann auf die Steuereinrichtung 40 verzichtet werden, falls deren Aufgaben von dem Logikbaustein 50, 60, 61 übernommen werden. Umgekehrt kann auf die Logikbausteine 50, 60, 61 verzichtet werden, wenn deren Aufgaben von der Steuereinheit 40 und dem nichtflüchtigen Speicher 41 übernommen werden.
Bei einer anderen Abwandlung kann es vorgesehen sein, daß die Steuereinrichtung 40, der nichtflüchtige Speicher 41, der Logikbaustein 50, 60, 61, die Sensoreinrichtung 30 usw. nicht wie dargestellt direkt miteinander verbunden sind, sondern über einen oder mehrere Datenbusse.
Eine weitere Abwandlung kann darin bestehen, daß für die Sensoreinrichtung 30 eine separate Steuereinrichtung und/oder ein separater nichtflüchtiger Speicher vorgesehen ist, welche die Überprüfung der Banknoten durchführt und das Ergebnis der Überprüfung der Banknoten an die Steuereinrichtung 40 weiterleitet, damit diese in oben beschriebener Weise die Steuerung der Banknotenbearbeitungsmaschine 10,11 vornehmen kann. In diesem Fall kann es vorgesehen sein, daß Software getrennt für die Steuereinrichtung 40 und die separate Steuereinrichtung zur Verfügung gestellt und geladen wird. Ebenso kann die Software für beide Steuereinrichtungen zusammen zur Verfügung gestellt und geladen werden.
Zur Verbesserung der Sicherheit kann es bei einer Abwandlung vorgesehen sein, daß vor einer Ausführung der im nichtflüchtigen Speicher 41 gespeicherten Software zusätzlich die oben für den Ladevorgang beschriebenen Überprüfungen vorgenommen werden, also insbesondere ob die Software von einer autorisierten Quelle stammt und ob ein Lizenzentgelt bezahlt wurde.
Bei einer weiteren Abwandlung kann es vorgesehen sein, daß die verwendeten Schlüssel, zur Absicherung gegen Ausspähung, auf einer Chipkarte gespeichert. Die Banknotenbearbeitungsmaschine 10,11 weist für die Verwendung der Chipkarte und der darauf gespeicherten Schlüssel einen Chipkartenleser auf.

Claims

Verfahren für das Laden und Betreiben einer Banknotenbearbeitungsmaschine mit Software, dadurch gekennzeichnet, daßüberprüft wird, ob die Software von einer autorisierten Quelle stammt, und daß die Software nur dann in einem Speicher der Banknotenbearbeitungsmaschine dauerhaft gespeichert wird, wenn die Software von der autorisierten Quelle stammt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Software von der autorisierten Quelle gekennzeichnet wird.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß die Kennzeichnung durch Bilden eines Hashwerts für die Software oder für Teile der Software vorgenommen wird.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß der Hashwert verschlüsselt wird, insbesondere mit einem unsymmetrischen Verschlüsselungsverfahren.
Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Banknotenbearbeitungsmaschine eine individuelle Kennung aufweist.
Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß mehrere Banknotenbearbeitungsmaschinen eine gemeinsame Kennung aufweisen.
Verfahren nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß ein Zahlungsnachweis für die individuelle und/oder gemeinsame Kennung der Banknotenbearbeitungsmaschinen erzeugt wird, und daß die Software nur bei Vorliegen des Zahlungsnachweises dauerhaft gespeichert wird und/oder ausgeführt wird.
Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß vor jeder Ausführung der in dem Speicher der Banknotenbearbeitungsmaschine gespeicherten Software überprüft wird, ob die Software von der autorisierten Quelle stammt.
Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, daß die Software oder Teile der Software nur ausgeführt werden, wenn eine Freigabekennung für die Software oder deren Teile vorliegt.
Banknotenbearbeitungsmaschine (10,11) mit einer Steuereinrichtung (40), einem nichtflüchtigen Speicher (41) sowie einer Schnittstelle (42) für das Laden von Software, welche im nichtflüchtigen Speicher (41) für den Betrieb der Banknotenbearbeitungsmaschine (10,11) gespeichert wird, dadurch gekennzeichnet, daß die Steuereinrichtung (40) bei einem Ladevorgang überprüft, ob die Software von einer autorisierten Quelle stammt, und daß die Software unter Steuerung der Steuereinrichtung (40) nur dann in dem nichtflüchtigen Speicher (41) dauerhaft gespeichert wird, wenn bei der Überprüfung der Software von der Steuereinrichtung (40) festgestellt wird, daß diese von der autorisierten Quelle stammt.
Banknotenbearbeitungsmaschine nach Anspruch 10, dadurch gekennzeichnet, daß die Software einen Kennzeichnungsteil (71) aufweist, der insbesondere einen Hashwert (72) für die Software oder für Teile der Software aufweist.
Banknotenbearbeitungsmaschine nach Anspruch 11, dadurch gekennzeichnet, daß der Hashwert (72) verschlüsselt ist, insbesondere mittels eines unsymmetrischen Verschlüsselungsverfahren.
Banknotenbearbeitungsmaschine nach einem der Ansprüche 10 bis 12, dadurch gekennzeichnet, daß die Banknotenbearbeitungsmaschine (10,11) eine individuelle Kennung (12) aufweist.
Banknotenbearbeitungsmaschine nach einem der Ansprüche 10 bis 13, dadurch gekennzeichnet, daß mehrere Banknotenbearbeitungsmaschinen (10, 11) eine gemeinsame Kennung (13) aufweisen.
Banknotenbearbeitungsmaschine nach Anspruch 13 oder 14, dadurch gekennzeichnet, daß der Kennzeichnungsteil (71) ein Zahlungsnachweis (75) für die individuelle und/oder gemeinsame Kennung (12,13) der Banknotenbearbeitungsmaschine (10,11) aufweist, und daß die Software (76) von der Steuereinrichtung (40) nur bei Vorliegen des Zahlungsnachweises (75) dauerhaft im nichtflüchtigen Speicher (41) gespeichert wird und/oder ausgeführt wird.
Banknotenbearbeitungsmaschine nach einem der Ansprüche 10 bis 15, dadurch gekennzeichnet, daß vor jeder Ausführung der im nichtflüchtigen Speicher (41) gespeicherten Software (76) durch die Steuereinrichtung (40) überprüft wird, ob die Software (76) von der autorisierten Quelle stammt.
Banknotenbearbeitungsmaschine nach einem der Ansprüche 10 bis 16, dadurch gekennzeichnet, daß die Software (76) oder Teile der Software (76) nur durch die Steuereinrichtung (40) ausgeführt werden, wenn eine Freigabekennung für die Software (76) oder deren Teile vorliegt.