DE3729342A1 - Sicherheitsdrucker fuer ein wertdrucksystem - Google Patents

Description

Die Erfindung bezieht sich auf Einrichtungen zur Verhin­ derung von Fälschungen und betrifft insbesondere eine Einrichtung und ein Verfahren zur Sicherung eines Druck­ kopfes, der zum Drucken von Wertzeichen in einem Wert­ drucksystem, z. B. einer Adressier- und Frankiermaschine, verwendet wird.

Frankiermaschinen oder Freistempler umfassen üblicherweise einen Drucker, um eine Postinformation auf ein Poststück zu drucken. Freistempler dieser Art sind in der US-PS 40 97 923 beschrieben. Ein anderes Beispiel eines Frei­ stemplers, der einen Druckkopf verwendet, ist in der US-PS 44 22 148 beschrieben.

Die oben beschriebenen Freistempler umfassen Druckköpfe, die ein integraler Teil des Freistemplers selbst sind. Obwohl diese Freistempler, wie oben beschrieben, in bei­ spielhafter Weise ihrem bestimmten Zweck dienen, ist es immer wichtig, neue und verbesserte Freistempler zu schaf­ fen, um die Kosten zu senken und die Geschwindigkeit und den Wirkungsgrad zu verbessern.

Es ist bekannt, daß in einem typischen System der Freistemp­ ler den Drucker enthält, um das Aufbringen der Postgebühr auf ein Poststück oder ähnlichem zu erleichtern. Der inner­ halb des Freistemplers angeordnete Drucker trägt zu den Kosten und dem Umfang des Freistemplers bei.

Bei einem elektronischen Adressier- und Frankiersystem ist es wichtig, daß die Postgebühren innerhalb des Freistemplers sicher sind. Unter Sicherheit der Postgebühren wird ver­ standen, daß, wenn der Drucker Postwertzeichen auf ein Poststück druckt, das Rechnungsregister innerhalb des Frei­ stemplers immer wiedergeben muß, daß das Drucken stattge­ funden hat. Bei üblichen Adressier- und Frankiersystemen sind, da der Freistempler und der Drucker einstückige Ein­ heiten sind, beide so miteinander verbunden, daß sicherge­ stellt ist, daß das Drucken eines Postwertzeichens nicht ohne Berechnung stattfinden kann. Die Postbehörden fordern im allgemeinen, daß die Rechnungsinformation innerhalb des Freistemplers gespeichert und dort sicher gehalten wird, so daß irgendein verbessertes Adressier- und Frankiersystem Sicherheitseinrichtungen aufweisen sollte, um unautorisierte und unberechnete Änderungen in den Beträgen der in dem Frei­ stempler enthaltenen Postgebühren zu verhindern. Die Post­ behörden fordern weiter, daß die Freistempler in Überein­ stimmung mit ihren Anforderungen hinsichtlich Registrierung und Zeitdauer gewartet werden (z. B. jede 6 Monate). Dies ermöglicht, daß die Postbehörden Aufzeichnungen über die Verwendung eines Freistemplers machen können, um einen Betrug zu entdecken. Auf diese Weise sind ebenso Verwaltungs­ kosten mit den Aufzeichnungskosten, den Inspektions- und Wartungskosten des Freistemplers verbunden.

Es besteht daher ein dauernder Bedarf für billigere und schnellere Freistempler. Wie oben erwähnt, sind übliche Freistempler mit verschiedenen Randkosten versehen, die ihre Kosten erhöhen. Es ist wichtig, Freistempler zu ent­ wickeln, die für Adressier- und Frankiersysteme geeignet sind, die billiger und wirkungsvoller sind, wobei jedoch das hohe Sicherheitsniveau der oben beschriebenen Frei­ stempler beibehalten werden muß. Es ist weiter wichtig, daß irgendein neu entwickeltes Adressier- und Frankiersystem eine Sicherheit aufweist, die die oben erwähnten Adressier- und Frankiersysteme aufweisen.

Es entsteht jedoch ein Problem, wenn der Freistempler und der Drucker nicht länger einteilig innerhalb eines Gehäu­ ses ausgebildet sind, dadurch, daß der Drucker dagegen geschützt werden muß, daß er beabsichtigt oder unbeabsich­ tigt zum Drucken von Postwertzeichen aktiviert wird, ohne daß das durch den Freistempler durchgeführte Drucken be­ rechnet wird. Wenn beispielsweise der Drucker von dem Adressier- und Frankiersystem gelöst und darauffolgend zum Drucken von Postwertzeichen aktiviert wird, zählen die oben erwähnten Rechnungsregister innerhalb des Freistemp­ lers nicht die so gedruckten Postwertzeichen weiter. Somit würde eine Fälschung mit einem derartigen Adressier- und Frankiersystem zu einem betrügerischen Drucken von Post­ wertzeichen führen.

Ein System zur Sicherung des Druckens von Postwertzeichen bzw. Postgebühren, die durch einen Druckvorgang und eine Berechnungsstation durchgeführt werden, die über unsichere Verbindungen miteinander verbunden sind, ist in der US-PS 42 53 158 der gleichen Anmelderin beschrieben. Bei dem er­ wähnten US-Patent wird jedes Mal, wenn der Freistempler geschaltet wird, ein Nummerngenerator an der Druckstation aktiviert, um ein Nummernsignal zu erzeugen, welches chiff­ riert wird, um ein unvorhersagbares Ergebnis zu schaffen. Das Nummernsignal wird ebenfalls zur Rechnungsstation über­ tragen. An der Rechnungsstation wird die zu druckende Post­ gebühr berechnet, und das Nummernsignal wird chiffriert, um ein Antwortsignal zu schaffen. Das Antwortsignal wird zur Druckstation übertragen, wo ein Vergleicher diese Chiffrie­ rung mit dem Chiffrierungsergebnis an der Druckstation ver­ gleicht. Eine Gleichheit der Chiffrierung und des Antwort­ signals zeigt an, daß die gedruckte Postgebühr berechnet wurde, und der Drucker wird zum Drucken der Postgebühr aktiviert.

Ein derartiges System schafft, obwohl es für die Sicherung des Betriebes der Druckstation eines Freistemplers mit einem unsicheren Verbindungsglied gut geeignet ist, keinen Schutz für die Druckstation gegen ein direktes Fälschen innerhalb der Druckstation. Derartiges direktes Fälschen umfaßt einen Eingriff in die Station oder einen Eingriff in das Druckelement oder den Druckkopf selber, um zu ver­ suchen, das Druckelement direkt zu aktivieren, um in be­ trügerischer Weise Postwertzeichen zu drucken.

Es ist daher Aufgabe der vorliegenden Erfindung, eine Ein­ richtung der eingangs genannten Art zu schaffen, mit der eine Fälschung von Postwertzeichen verhindert wird.

Diese Aufgabe wird durch die in Anspruch 1 gekennzeichnete Erfindung gelöst.

Vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen.

Mit der Erfindung wird ein System und ein Verfahren zur Sicherung einer Einrichtung gegen direktes und indirektes Fälschen geschaffen, wobei eine derartige Einrichtung ein Drucker zur Verwendung in Wertdrucksystemen, wie z. B. Adressier- und Frankiersystemen, ist. Bei einer beispiel­ haften Ausführungsform wird ein sicherer Druckkopfmodul zur Verwendung mit einem Drucker eines elektronischen Adressier- und Frankiersystems beschrieben. Der Druckkopfmodul ist so­ wohl gegen direkte als auch indirekte Fälschung dadurch ge­ sichert, daß ein Kontinuitätsfühler, der zur Bestimmung eines Teils eines Dechiffrierschlüssels dient, und ein Mikrocomputer, der chiffrierte Postwertzeichendaten de­ chiffriert, vorgesehen ist. Mit dem Mikrocomputer ist ein Permanentfälschungsspeicher verbunden, um einen Chiffrier­ schlüssel zu speichern, der zum Dechiffrieren der Postwert­ zeichen verwendet wird. Ein Bit des Chiffrierschlüssels wird durch einen leicht zerstörbaren Leiter mit einer kleinen Querschnittsfläche geleitet, wobei der Leiter zufällig innerhalb eines Einbettmaterials angeordnet ist, welches den Fälschungsspeicher bzw. den Fälschungslatch aufnimmt, um eine Anzeige zu liefern, ob das Einbettmate­ rial entfernt oder beschädigt wurde. Mit dem Mikrocomputer ist ebenfalls eine Druckeinrichtung verbunden, die durch ihn aktiviert wird, die in der dargestellten Ausführungs­ form ein Tintenstrahldrucker ist, der zum Drucken von Punktmatrixdaten geeignet ist.

Im Betrieb empfängt der Druckkopfmodul chiffrierte Daten, die dem Punktmatrixmuster zur Erzeugung des gewünschten Postwertzeichens entsprechen, und weiter den Chiffrier­ schlüssel, der zum Dechiffrieren des Datenwertes erforder­ lich ist. Dieser chiffrierte Datenwert wird durch einen elektronischen Freistempler geliefert, der eine Rechnungs­ einheit umfaßt. Die Rechnungseinheit besteht aus einer Rechnereinheit, bei dieser Ausführungsform ein Mikrocomputer, einem Permanentspeicher (NVM) und NVM-Datenwertschutz­ einheit, die mit dem Mikrocomputer verbunden ist. Weiter ist mit dem Mikrocomputer ein Zeichenspeicher verbunden, in dem ein festgelegtes Muster des Postwertzeichens in digitaler Form gespeichert ist.

Der Freistempler kann chiffrierte Daten erzeugen, die einer Gültigkeitsziffer und dem festgelegten Muster des Postwert­ zeichens zum Drucken auf ein Dokument entsprechen. Diese erzeugte Gültigkeitsnummer liefert ein Verfahren zur Erfas­ sung von unberechneten Druckvorgängen und liefert der Post­ behörde eine Information auf den Freistemplerrechnungsregi­ stern. Der Hochgeschwindigkeitsdrucker dieser Ausführungs­ form ist innerhalb der Adressier- und Frankiermaschine oder einem anderen Aufnahmegerät angeordnet, das ebenfalls ein Teil des Adressier- und Frankiersystems ist.

Die umgebende Maschine oder die Adressier- und Frankierma­ schine bei dieser Ausführungsform umfaßt grundsätzlich einen zweiten Mikrocomputer und den Hochgeschwindigkeitsdrucker. Der Drucker umfaßt einen dritten Mikrocomputer, um Datenwer­ te zu dechiffrieren, die einem zu druckenden Postwertzeichen entsprechen und um zusätzlich den Tintenstrahldruckkopfme­ chanismus zu steuern. In einer Ausführungsform ist der Frei­ stempler in der Lage, über eine Hochgeschwindigkeitssicher­ heitsdatensammelschiene mit der Adressier- und Frankierma­ schine oder der aufnehmenden Maschine zu kommunizieren, um alle Rechnungsfunktionen durchzuführen, um die Gebühren an­ zunehmen, um auf Null zurückgestellt zu werden, wenn er außer Betrieb genommen wird, und um irgendwelche anderen Vorgänge durchzuführen, die üblicherweise in derartigen elektroni­ schen Adressier- und Frankiersystemen durchgeführt werden. Der Freistempler ist ebenfalls in der Lage, mit der umgeben­ den Maschine zu kommunizieren, um eine chiffrierte digitale Darstellung des festgelegten Musters des Postwertzeichens selbst zu schaffen. Weiter ist es bei diesem Freistempler von Vorteil, Sicherheitstechniken zu verwenden, die bei be­ stehenden Freistemplern verwendet werden, z. B. mechanische Sicherheitsverschlüsse und elektromagnetische Abschirmungen, isolierte Stromzuführung und isolierte Verbindungsleitungen.

Der elektronische Freistempler druckt nicht, wie oben er­ wähnt, Postgebühren, sondern liefert verschlüsselte Daten, die die Gültigkeitsnummer für den Gebührenbetrag darstellen, den er berechnet, und weiter die chiffrierte Punktmatrix­ darstellung des festen Teils des Postwertzeichens. Bei die­ ser Ausführungsform wird die Gültigkeitsnummer zusammen mit einem Geldbetrag, der Freistemplerseriennummer und dem Da­ tum der Ausgabe ausgedruckt. Die Gültigkeitsnummer wird ty­ pisch in einem systemgeeigneten Format gedruckt, das für ei­ ne geeignete automatische Erfassung geeignet ist, wenn dies erforderlich ist. Diese chiffrierte Gültigkeitsnummer wird verwendet, um illegales Drucken eines Geldbetrages, der nicht berechnet wurde, festzustellen.

Bei der dargestellten Ausführungsform empfängt die Rechner­ einheit der Frankiermaschine einen Geldbetrag von einer Tasta­ tur oder ähnlichem und sendet diese Information zum Rechner des Freistemplers. Der Freistempler erzeugt darauf eine chiff­ rierte Gültigkeitsnummer unter Verwendung eines Schlüssels und eines ungemusterten Textes, der durch den Rechner des Freistemplers geliefert wird. Der ungemusterte Text ist die Gebühreninformation und die Registrierung des Betrages des Freistemplers. Es soll darauf hingewiesen werden, daß andere Informationen, wie z. B. das Datum, der Ursprung des Doku­ ments, die Bestimmung, usw. ebenfalls verwendet werden kön­ nen, je nach Bedarf und den Wünschen des Verwenders. Der Schlüssel ist innerhalb des NVM gespeichert.

Der Freistempler sendet dann die Gültigkeitsnummer zusammen mit der Freistemplerseriennummer, der verschlüsselten Dar­ stellung des festgelegten Musters des Postwertzeichens und dem zum Dechiffrieren des Musters erforderlichen Schlüssel zur Recheneinheit der Frankiermaschine oder der umgebenden Maschine. Die Rechnereinheit innerhalb der umgebenden Ma­ schine sendet darauf das Postwertzeichen, den Dechiffrier­ schlüssel, die Freistemplerseriennummer, den Geldbetrag und die Gültigkeitsnummer zu einem Drucker. Der Drucker wiederum führt unter Verwendung eines Dechiffrieralgorithmus durch den im Druckkopfmodul enthaltenen Mikrocomputer eine Dechiffrie­ rung des Musters durch, um das Postwertzeichen, das Datum, die Freistemplerseriennummer, den Geldbetrag und die Gültig­ keitsnummer auf ein Poststück oder Dokument zu drucken.

Somit ist bei der dargestellten Ausführungsform ein erster Mikrocomputer innerhalb des Freistemplers mit einem zweiten Mikrocomputer innerhalb einer Frankiermaschine oder irgend­ einer anderen umgebenden Maschineneinheit verbunden, die wiederum mit einem dritten Mikrocomputer in dem Drucker ver­ bunden ist. Bei diesem System liefert der Freistempler chiff­ rierte Daten, die eine chiffrierte Gültigkeitsnummer und den festgelegten Teil des Postwertzeichens darstellen, zur Fran­ kiermaschine. Nach dem Empfang des geeigneten Signals von dem Freistempler signalisiert die Frankiermaschine ihrem Drucker, den Datenwert zu dechiffrieren, um das Postwert­ zeichen einschließlich des gewünschten Gebührenbetrages zu drucken.

Der Freistempler enthält keinen Drucker, wodurch er weniger komplex und billiger wird. Das zum Schutz der Gültigkeit des Postwertzeichens verwendete Chiffriersystem kann irgend­ eines von verschiedenen dem Fachmann bekannten Chiffrier­ systemen sein, z. B. eines, das üblicherweise verwendet wird, um Rechnungsinformationen innerhalb des Freistemplers zu schützen.

Dieses System schafft somit einen billigeren und einfacheren Freistempler, der für die verschiedensten Frankiermaschinen geeignet ist. Dieses System gestattet ebenfalls, daß ein Freistempler vollständig von der Druckfunktion getrennt wird, in dem nur ein elektrisches Signal, das das festge­ legte Muster der Freistemplerseriennummer und das Postwert­ zeichen enthält, und die Gültigkeitsnummer zu einem Rand­ gerät geliefert wird, d. h., eine Frankiermaschine mit einem Drucker. Dieses System erleichtert es der Postbehörde, Be­ trügereien zu entdecken, und macht es möglich, genauere und zeitlich neuere Aufzeichnungen über die Verwendung jedes Freistemplers zu erhalten. Dieses System sorgt weiter für die Sicherung des Druckers gegen äußeres Fälschen, ohne die Forderung der bekannten Systeme, daß der Drucker und der Freistempler zusammen in einer von der Postbehörde gesicher­ ten Maschine einheitlicher Konstruktion enthalten sein müs­ sen.

Entsprechend einem erfindungsgemäßen Verfahren wird die gegen Fälschen geschützte Einrichtung mit einem ersten Teil einer gültigen Dechiffrierschlüsselinformation und einem zweiten gültigen Teil versehen, der durch eine kontinuierliche Füh­ lereinrichtung geliefert wird, der zur Schaffung des zweiten gültigen Teils nur dann arbeitet, wenn der Fühler Kontinui­ tät feststellt. Die Einrichtung ist weiter mit chiffrierten Informationen versehen, die durch die Einrichtung entspre­ chend den ersten und zweiten gültigen Dechiffrierschlüssel­ informationsteilen dechiffriert werden, worauf die Einrichtung darauf die dechiffrierte Information verwendet, um einen ge­ wünschten Ausgang zu schaffen.

Ausführungsbeispiele der vorliegenden Erfindung sind in der Zeichnung dargestellt und werden im folgenden näher be­ schrieben. Es zeigt

Fig. 1 ein Blockdiagramm eines elektroni­ schen Frankiersystems mit einem Drucker;

Fig. 2 ein Postwertzeichen, das mittels des in Fig. 1 dargestellten Frankiersy­ stems gedruckt wurde;

Fig. 3 ein Fließbild der Arbeitsweise der umgebenden Maschine des Frankiersy­ stems in Fig. 1;

Fig. 4 ein Fließbild von der Arbeitsweise des Freistemplers des Frankiersy­ stems von Fig. 1;

Fig. 5 ein Blockdiagramm einer Ausführungs­ form des Frankiersystems;

Fig. 6 ein Blockdiagramm des Tintenstrahl­ druckermoduls von Fig. 5;

Fig. 7 eine perspektivische Ansicht des Tintenstrahldruckermoduls von Fig. 6;

Fig. 8 ein Blockdiagramm einer anderen Aus­ führungsform der Erfindung, die für Aufschlagdrucker verwendet wird; und

Fig. 9 ein Blockdiagramm einer weiteren Aus­ führungsform der Erfindung, die in einem elektronischen Kombinations­ sperrmechanismus verwendet wird.

Die Erfindung wird in Zusammenhang mit einer Frankiermaschi­ ne mit einem Tintenstrahldrucker beschrieben, jedoch sind ebenfalls andere Drucker möglich, mit denen die Erfindung mit dem gleichen Erfolg verwendet werden kann. Derartige andere Drucker umfassen Aufschlagpunktmatrixmechanismen. Weiter ist die Erfindung zur Sicherung gegen Fälschung an­ derer Einrichtungen, die auf Eingangsdaten zur Aktivierung des Gerätes ansprechen, um bestimmte Ausgänge zu erzeugen, wie z. B. elektronische Kombinationssperrmechanismen, geeignet.

Es wird hierdurch auf eine verwandte Patentanmeldung Be­ zug genommen, die vollständig Bestandteil dieser Anmeldung sein soll, und zwar die US-Patentanmeldung mit dem Titel:
"Sicherheitsgehäuse mit elektronischer Anzeige für ein Wert­ drucksystem", US-PS-Serial No. 9 02 903 vom 2. 9. 1986.

Fig. 1 zeigt ein Blockdiagramm eines Frankiersystems mit der erfindungsgemäßen Druckkopfanordnung. Das Frankiersystem um­ faßt den Freistempler 1, ebenfalls hier als elektronisches Gehäuse, oder als Kammer bezeichnet, die mit dem Randgerät oder Aufnahmeteil 2 in Verbindung steht. Das Aufnahmeteil 2 ist üblicherweise eine Frankiermaschine, kann jedoch eben­ falls aus verschiedenen anderen Geräten bestehen, die mit dem Freistempler in Verbindung stehen. Das Aufnahmeteil 2 druckt wiederum ein Postwertzeichen 18 mit einem Gebühren­ betrag zusammen mit anderen Informationen auf ein Dokument 3 mittels einem Drucker 17.

Der Freistempler 1 umfaßt einen Rechner oder einen Mikro­ computer 10, der mit einem Permanentspeicher (NVM) 11 über die Sicherheitslogik 12 verbunden ist. Der Rechner kann bei­ spielsweise ein Mikroprozessor, ein Mikrosteuerer, ein Mikro­ computer oder ein anderes Intelligenz aufweisendes Gerät sein, das eine Rechnerfähigkeit hat und im folgenden ent­ weder als Rechner, Mikrocomputer oder Mikroprozessor be­ zeichnet ist. Der Freistempler 1 dieser Ausführungsform ist nicht mit einem Drucker versehen, sondern liefert statt­ dessen elektronische Signale, die typisch die Gültigkeits­ nummer und das festgelegte Muster des Postwertzeichens dar­ stellen, zum Aufnahmeteil 2.

Wie man ebenfalls sieht, umfaßt das Aufnahmeteil 2 einen zweiten Rechner oder Mikrocomputer 16 und eventuell den Drucker 17. Der Drucker kann ebenfalls als getrennte Ein­ heit ausgeführt sein. Der Mikrocomputer 16 liefert eine In­ telligenz, die eine Kommunikation zwischen dem Mikrocomputer 10 und dem Freistempler und dem Drucker 17 ermöglicht, um einen Druckvorgang einzuleiten, wenn dem Drucker die geeig­ nete Information gegeben wird.

Üblicherweise sendet eine Tastatur oder ähnliches (nicht dargestellt) eine Information, die dem Gebührenbetrag ent­ spricht, zum Mikrocomputer 16. Darauf sendet der Mikrocom­ puter 16 ein Signal zum Mikrocomputer 10, das den Gebühren­ betrag darstellt, um eine Gültigkeitsnummer zum Drucken zu erhalten.

Der Mikrocomputer 10 berechnet nach Empfang eines Signals vom Mikrocomputer 16 eine chiffrierte Gültigkeitsnummer, die teilweise auf einem innerhalb des NVM 11 gespeicherten Schlüs­ sel basiert. der Zugang zu dem NVM 11 wird durch eine Sicher­ heitslogik 12 erhalten, die für die Sicherung der Integri­ tät der Abrechnung, der Chiffrierung und anderen in dem NVM 11 gespeichertenn Daten sorgt. Die Gültigkeitsnummer kann bei­ spielsweise durch Kombinieren der Seriennummer des Frei­ stemplers mit einem in dem NVM 11 gespeicherten Geheimcode berechnet werden.

Die Gültigkeitsnummer wird darauf dem Mikrocomputer 16 des Aufnahmeteils 2 zusammen mit einer chiffrierten Darstellung des festen Musters des Postwertzeichens 18, das in einem Zeichen ROM 13 gespeichert ist, übertragen, um das Drucken einzuleiten. Der Drucker wiederum druckt nach der Dechiffrie­ rung des festen Musters die vom Mikrocomputer 16 erhaltene Information auf das Dokument 3. Somit liefert der Frei­ stempler dem Aufnahmeteil 2 das festgelegte Muster des Post­ wertzeichens, die Freistemplerseriennummer und die Gültig­ keitsnummer, die auf das Dokument 3 gedruckt werden sollen. Das Aufnahmeteil 2 liefert den Gebührenbetrag. Bei dieser Ausführungsform können entweder das Aufnahmeteil 2 oder der Freistempler eine Information über die Stadt, den Staat und das Datum liefern.

In Fig. 2 ist das Postwertzeichen 18 dargestellt, das ein graphisches festgelegtes Muster 19, einen Geldbetrag 22, ein Datum und eine Ursprungsstadt 23 und eine Freistempler­ seriennummer 21 aufweist. Weiter umfaßt das Postwertzeichen 18 eine Gültigkeitsnummer 24. Das Muster 19 ist in soweit festgelegt, als es nicht notwendig ist, es für jedes zu druckende Zeichen zu bestimmen, im Gegensatz zu dem Betrag 22. Das in Fig. 2 dargestellte Muster 19 ist die Darstellung eines Adlers, wobei jedoch verschiedene vorbestimmte kenn­ zeichnende Muster verwendet werden können, und zwar in Ab­ hängigkeit der besonderen Verwendung eines Drucksystems mit der Erfindung. Beispielsweise können abstrakte oder kodier­ te Muster, wie z. B. Streifenkodierungen, verwendet werden.

Fig. 3 und 4 sind Fließdiagramme zur Beschreibung der Ar­ beitsweise des Frankiersystems. Zuerst empfängt das Auf­ nahmeteil 2 (Fig. 1) einen erforderlichen Gebührengeldbe­ trag von einer Quelle, entweder von einer Bedienungsperson oder einer anderen Quelle, die durch den Kasten 40 gekenn­ zeichnet ist. Darauf wird der Geldbetrag zum Freistempler 1 (Fig. 1) übermittelt, Kasten 41. In Fig. 4 empfängt dann der Freistempler den Geldbetrag von dem Aufnahmeteil 2, Kasten 42, und erzeugt darauf eine Gültigkeitsnummer, Kasten 42. Nach der Erzeugung der Gültigkeitsnummer überträgt der Freistempler 1 dann die Freistemplerseriennummer, die Gültig­ keitsnummer, die eine Postinformation enthält, und den festen Abschnitt des Postwertzeichens zurück zum Aufnahmeteil 2 (Kasten 44). In Fig. 3 empfängt dann das Aufnahmeteil 2 die Gültigkeitsnummer und den festen Teil des Postwertzeichens von dem Freistempler, (Kasten 45). Darauf druckt der Drucker 17 (Fig. 1) den festen Teil des Postwertzeichens 19, den Geldbetrag 22, das Datum 23, die Freistemplerseriennummer 21 und die Gültigkeitsnummer 24, die er von dem Freistempler 1 erhalten hat, auf das Dokument.

Insoweit, als es beabsichtigter Zweck der Frankiermaschine ist, mit hoher Geschwindigkeit Postwertzeichen auf Dokumente zu drucken, muß die Übertragung der Daten zwischen dem Frei­ stempler 1 und dem Aufnahmeteil 2 mit hoher Geschwindigkeit und hohem Wirkungsgrad erreicht werden. Die Anforderung kann noch wichtiger sein, wenn man die Darstellung des festen Musters 19 auf dem Postwertzeichen 18 betrachtet, die in dem Zeichen ROM 13 von Fig. 1 gespeichert ist.

Üblicherweise wird ein Postwertzeichen in einem Format wie­ dergegeben, das zum Drucken mittels eines Punktmatrixdruckers geeignet ist, und eine Standardgröße von 2,52 cm × 5,04 cm aufweist und 240 Spalten mit jeweils 120 Punkten umfaßt, wo­ bei jeder Punkt drei unterschiedliche Intensitätsniveaus auf­ weist. Die gesamte Anzahl der erforderlichen Bits, um ein derartiges Punktmatrixpostwertzeichen darzustellen, beträgt etwa 68 400 oder ungefähr 10 800 Bytes. Wenn das Postwert­ zeichen dem Aufnahmeteil 2 für jedes zu druckende Dokument zugeführt wird, müssen eine beträchtliche Anzahl von Daten­ werten schnell zwischen dem Freistempler 1 und dem Aufnahme­ teil 2 übertragen werden, insbesondere, wenn man beachtet, daß bei einem Hochgeschwindigkeitsfrankiersystem drei oder mehr Dokumente pro Sekunde bedruckt werden.

Zusätzlich zu der Forderung einer schnellen Datenverbindungs­ sammelschiene, die den Freistempler 1 und das Aufnahmeteil 2 miteinander verbinden, erfordert ein derartiges Hochge­ schwindigkeitspunktmatrixdrucken die Verwendung eines ge­ eigneten Hochgeschwindigkeitsdruckers. Ein derartiger Druc­ ker muß zusätzlich zur Fähigkeit eines schnellen Betriebs in der Lage sein, eine Druckqualität und andere Druckeigen­ schaften aufzuweisen, die ihn zum Drucken von Postgebühren und anderen Wertzeichen in die Lage versetzen. Ein derarti­ ger geeigneter Drucker ist ein Tintenstrahldrucker, bei dem Tintentröpfchen elektrostatisch mit hoher Geschwindigkeit durch elektronisch gesteuerte Ablenkplatten abgelenkt wer­ den, wie dies im Stand der Technik bekannt ist.

Fig. 5 zeigt ein Blockdiagramm einer Ausführungsform eines Hochgeschwindigkeitsmodularfrankiersystems 50. Das darge­ stellte System 50 besteht aus drei Hauptmodulen, nämlich einem Freistemplermodul oder Gehäuse 52, einem Drucksteuer­ modul oder Aufnahmeteil 54 und einem Tintenstrahldruckermo­ dul 56 gemäß einer Ausführungsform der Erfindung.

Der Freistemplermodul 52 umfaßt weiter einen Kontier-CPU 58, der ein Mikroprozessor, wie z. B. der Z-80 sein kann, der von Zilog Corporation und anderen Herstellern her­ gestellt wird.

Ein derartiger Mikroprozessor hat einen Sammelschienen- oder Busaufbau, der durch einen Kontrollbus 60′ einen Datenbus 62 und einen Adressenbus 64 gekennzeichnet ist. Die Aufgabe der Busse besteht in der Steuerung, in der Erkennung und Über­ tragung von Programminstruktionen und Daten zu und von dem Speicher und den Eingangs-/Ausgangs(I/O)-Einrichtungen, die mit den Bussen verbunden sind.

Mit den Bussen 60, 62 und 64 ist eine Sicherheitslogik 66 verbunden, die die durch den CPU 58 erzeugten Adressen über­ wacht, um die Speicherzugänge zu zwei Speichern mit wahl­ freiem Zugriff (RAM) zu überwachen, in denen die Freistemp­ lerkontodaten gespeichert sind; derartige Speicher sind Per­ manent-RAM (NOVRAM) 68 und batteriegestützte RAM (BBRAM) 70. Mit dem BBRAM ist eine Batterie 72 verbunden, die eine Span­ nung aufweist, die zur Aufrechterhaltung der innerhalb des BBRAM gespeicherten Datenwertes geeignet ist, wenn die Ener­ gie von dem System 50 abgeschaltet wird. Wie es in der Tech­ nik bekannt ist, weist ein Permanent-RAM, wie z. B. der NOVRAM 68 die Eigenschaft auf, die in ihm gespeicherten Da­ ten auch nach dem Abschalten der Energie von dem RAM bei­ zubehalten.

Ein Sicherheitslogikschaltkreis, der für die Sicherheits­ logik 66 verwendet werden kann, ist in der Europäischen Pa­ tentanmeldung 01 94 663 von 17. 9. 1986 beschrieben. Der in dieser Anmeldung beschriebene Schaltkreis liefert eine Einrichtung zur Begrenzung der Zeitdauer, in der die Konto­ speicher kontinuierlich freigegeben sind, und liefert weiter andere Schutzmechanismen, so daß die darin gespeicherte Kon­ towertinformation nicht unabsichtlich geändert oder ver­ nichtet wird.

Die Verwendung von zwei getrennten Speichern zum Halten der Kontoinformation ist in der US-PS 44 81 604 beschrieben, in der eine derartige Speicherredundanz verwendet wird, um die Möglichkeit von Irrtumsbedingungen so klein wie möglich zu halten, die in einem elektronischen Freistempler auftreten können.

Mit der zentralen Rechen- und Kontrolleinheit CPU 58 ist mittels den Bussen 60, 62 und 64 ein Programmfestwertspei­ cher (ROM) 74 verbunden, in dem Betriebsbefehle und Konstan­ ten gespeichert sind, die für den CPU 58 erforderlich sind.

Ebenfalls ist ein RAM 76 vorgesehen, um temporäre Daten und andere Informationen zu speichern, die von dem CPU 58 wäh­ rend der Durchführung seines normalen Betriebsprogramms be­ nötigt werden. Eine derartige Einrichtung wird bekannter­ maßen im allgemeinen als "Scratch-Pad"-RAM (Hilfswertspei­ cher) bezeichnet.

Mit dem CPU 58 ist ebenfalls eine Uhr-/Kalendereinrichtung 78 verbunden, die eine Information über die gegenwärtige Zeit und das Datum liefert. Derartige Informationen werden üblicherweise beim Drucken als Teil eines Postwertzeichens benötigt. Bei dieser Ausführungsform liefert der Modul 52 (Vault) die laufende Zeit und das Datum zum Aufnahmeteil 54 (Host) zum Drucken. Ebenfalls könnte die Uhr-/Kalenderein­ richtung 78 innerhalb des Aufnahmeteils 54 untergebracht sein, um dadurch die Datenmenge zu vermindern, die von der Kammer 52 zum Aufnahmeteil 54 für jedes zu druckende Post­ wertzeichen geliefert werden müssen. In einer weiteren Aus­ führungsform der Erfindung enthalten sowohl die Kammer 52 als auch das Aufnahmeteil 54 jeweils eine Uhr-/Kalenderein­ richtung. Geeignete Programme können dann sowohl in der Kammer 52 als auch in dem Aufnahmeteil 54 verwendet werden, bevor das Drucken eines Postwertzeichens eingeleitet wird, um festzustellen, ob die Zeit und das Datum in jedem Modul übereinstimmen, wodurch ein weiterer Sicherheitsgrad er­ reicht wird.

Zusätzlich zu den oben beschriebenen Einrichtungen, die mit den Bussen 60, 62 und 64 verbunden sind, ist ein Zeichen ROM 80 vorgesehen. Der ROM 80 weist eine permanentgespeicherte Darstellung oder Kopie des festen Musters 19 (siehe Fig. 2) des Postwertzeichens 18 auf. Wie oben beschrieben, wird das feste Muster 19 als eine Reihe von Datenbytes gespeichert, die einem Punktmatrixmuster entsprechen, das erforderlich ist, um das feste Muster 19 zu drucken. Die Datenbytes, die die­ sem festen Muster 19 entsprechen, können dem Aufnahmeteil 54 mittels der Kammer 52 in einer verschlüsselten Form für jedes zu druckende Postwertzeichen zugeführt werden. Auf diese Wei­ se wird ein hoher Sicherheitsgrad bei der Verwendung des Systems 50 dadurch erreicht, daß das graphische Format des Postwertzeichens nicht beabsichtigt oder unbeabsichtigt durch das Aufnahmegerät 54 wiedergegeben werden kann, wenn nicht die Kammer 52 an ihm angebracht ist, und weiter, wenn nicht die erforderliche Verbindung zwischen den zwei Mo­ dulen in der vorbestimmten und spezifischen Weise hergestellt ist. Auf diese Weise ist die Kontierung durch die Kammer 52 jedes gedruckten Postwertzeichens sichergestellt.

Um eine wirkungsvolle und Hochgeschwindigkeitseinrichtung zur Übertragung der möglicherweise großen Anzahl von Daten zwischen der Kammer 52 und dem Aufnahmeteil 54 zu schaffen, ist eine Hochgeschwindigkeitsdatenverbindungseinrichtung er­ forderlich. Diese Verbindungseinrichtung wird mittels einer Inter-CPU-Schnittstelle 82 geschaffen, die den CPU 58 mit einem Steuer-CPU 84 innerhalb des Aufnahmeteils 54 verbindet.

Die Funktion des CPU 84 besteht in der Steuerung des Druckens des Postwertzeichens auf ein Dokument (nicht dargestellt in Fig. 5) durch einen Druckmodul 56 in Abhängigkeit der Doku­ mentposition und der Systemschalteingänge, die von einer mit dem Aufnahmeteil 54 verbundenen Adressier- und Frankier­ maschine (nicht dargestellt) geliefert werden. Derartige Frankiermaschinen umfassen üblicherweise Dokumentzuführein­ richtungen und Förderer und dienen zum Sortieren der Doku­ mente zum Kuvertieren, woraufhin der Umschlag dann mit der richtigen Postgebühr bedruckt wird, die einen bestimmten Wert aufweist. Bei Hochgeschwindigkeitsfrankiermaschinen müssen drei oder mehr Umschläge pro Sekunde mit der Post­ gebühr bedruckt werden. Ein derartiger Hochgeschwindigkeits­ betrieb erfordert, daß der CPU 84 in einer "Realzeit"-Umge­ bung arbeitet, und muß daher für diesen Betrieb geeignet sein. Ein diesen Anforderungen genügender Mikroprozessor stammt aus der 68 000-Familie der Mikroprozessoren, wie z. B. Mikroprozessoren, die von der Motorola Corporation und anderen Herstellern hergestellt werden.

Mit dem CPU 84 sind mehrere Busse, nämlich ein Steuerbus 86, ein Datenbus 88 und ein Adressenbus 90 verbunden, um den CPU 84 mit mehreren Speichern und I/O(Eingangs-Ausgangs)- Geräten zu verbinden.

Ein Dekodierlogikblock 92 dient zum Dekodieren des Adressen­ busses 90 und des Steuerbusses 86 in bekannter Weise, um eines von mehreren Geräteauswahlsignalen (nicht dargestellt) zu erzeugen, um ein geeignetes der mit den Bussen 86, 88 und 90 des CPU 84 verbundenen Geräte zu aktivieren.

Ein Befehls-ROM 94 enthält die für den CPU 84 erforderlichen Betriebsbefehle und Konstanten, damit er seine Steuerfunk­ tion des Druckens der Postwertzeichen durchführen kann. Der Scratch-Pad-RAM 96 wird von dem CPU 84 verwendet, um variable und temporäre für den Betrieb erforderliche Daten aufzunehmen.

Um den CPU 84 mit einer Einrichtung zu versehen, um ihn mit der Frankiermaschine und den anderen Randgeräten zu verbinden, ist eine Synchronisier- und Bestätigungslogik 98 und eine Postgebühreneingabelogik 102 vorgesehen. Der Zweck der Syn­ chronisier- und Bestätigungslogik 98 ist, den CPU 84 mit Eingängen von der Frankiermaschine (nicht dargestellt) zu versorgen, wie z. B. Eingänge, die einer Information über die zeitliche Steuerung und der Position der durch die Fran­ kiermaschine zu bearbeitenden Dokumente entsprechen. Weiter liefert die Synchronisier- und Bestätigungslogik 98 erforderliche Steuerausgangssignale von dem CPU 84 zur Frankiermaschine (nicht dargestellt).

Die Postgebühreneingangslogik 102 liefert Eingabedaten, die dem Geldbetrag jeder Postgebühr für jedes Dokument entspre­ chen. Diese Eingabe kann beispielsweise von einer Bedienungs­ person auf einer Tastatur oder als Ausgang einer Dokumenten­ waage eingegeben werden. Der Betrag der für jedes Dokument erforderlichen Postgebühr wird durch den CPU 84 dem CPU 58, wie oben beschrieben, zugeführt, so daß der Modul 52 eine Kontierung des Betrages vornehmen kann.

Zusätzlich zu den oben beschriebenen Logikschaltungen ver­ bindet ein Verbindungsglied 100 oder eine Verbindungslogik den CPU 84 schnittstellenmäßig mit anderen Geräten mittels eines Standardverbindungsgliedes, z. B. einem RS-232-C oder einem IEEE-488 oder andere allgemeine Reihen- oder Parallelver­ bindungskanäle. Beispielsweise können ein Drucker mit dem Verbindungsglied 100 zum Drucken des Systemzustandes und einer Kontoinformation oder ein Modul zur Errichtung einer Telefonverbindung mit einem zentralen Rechner, z. B. einem Postrechner, mit dem Verbindungsglied 100 verbunden sein.

Damit der CPU 84 eine seiner Grundfunktionen durchführen kann, d. h., das Drucken der Postwertzeichen, ist ein Hoch­ geschwindigkeitsdirektzugriffsspeicher (DMA) 104 vorge­ sehen, um die Busse 86, 88 und 90 mit dem Tintenstrahl­ druckermodul 56 zu verbinden. Im Betrieb kann der CPU 84 zeitweise in dem RAM 96 chiffrierte Datenbytes speichern, die dem festen Muster des Postwertzeichens von der Kammer 52 entsprechen und weiter Daten, die den veränderlichen Teilen, wie z. B. dem Gebührenbetrag 22 und dem Datum 23 (siehe Fig. 2) entsprechen, speichern. Das vollständige Post­ wertzeichen wird somit durch eine Vielzahl von verschlüssel­ ten Datenbytes dargestellt, die beispielsweise für das Punkt­ matrixmuster, das zur Ausbildung des Wertzeichens 18 erfor­ derlich ist, beschreibend sind. Nach der Aktivierung durch den CPU 84 dient DMA 104 zur automatischen Versorgung des Moduls 56 mit dem Punktmatrixdatenwert vom RAM 96 zum Druc­ ken auf ein Dokument.

Bekannterweise dient ein DMA, wie z. B. der DMA 104, zur Über­ tragung von Daten von einem Speicherort zu einem anderen Ort, ohne den Eingriff der Systemrechnereinrichtung. In dem System 50 von Fig. 5 überträgt beispielsweise DMA 104 chiffrierte Zeichendaten vom RAM 96 zum Druckermodul 56 zum Drucken. Dies wird durch DMA 104 erreicht, indem er zeitweilig eine Steuerung der Busse 86, 88 und 90 vornimmt, um den RAM 96 zu adressieren, die darin gespeicherten Daten auszulesen und den Druckermodul 56 zu aktivieren, um die Daten anzunehmen.

Nach der Übertragung des Datenwertes überträgt DMA 104 die Steuerung der Busse 86, 88 und 90 dem CPU 84, damit der CPU 84 weiter das Steuerprogramm durchführen kann.

Normalerweise würde der Druckermodul 56 ein DMA-Bedienungs­ anfragesignal 106 aktivieren, um einen Datenübertragungs­ kreislauf einzuleiten, wobei DMA 104 auf die Aktivierung der Anfrage 106 durch die Übernahme der Steuerung der Busse 86, 88 und 90 antwortet, wie oben beschrieben.

Bevorzugt wird, wenn DMA nicht aktiv ist, d. h., wenn DMA 104 nicht die Steuerung der Busse 86, 88 und 90 einnimmt, so daß CPU 84 dann die gleichen Busse zur Verbindung der Daten zu und von dem Druckermodul 56 verwenden kann.

Fig. 6 zeigt den Sicherheitstintenstrahldruckermodul 56. Wie oben erwähnt, dient der Modul 56 zum Drucken eines Postwertzeichens 18 auf ein Dokument. Damit jedes derartige gedruckte Zeichen 18 durch die Kammer 52 berechnet wird, ist es erforderlich, Einrichtungen vorzusehen, um sicher­ zustellen, daß der Modul 56 geschützt oder gegen unauto­ risierte Bedienung oder Fälschung gesichert ist. Eine der­ artige Fälschungssicherungseinrichtung muß sowohl gegen direkte als auch gegen indirekte Fälschung sicher sein.

Im allgemeinen umfaßt die direkte Fälschung einen physischen Eingriff in den Modul 56 selbst, wie z. B. einen Versuch, Zugriff zu den im Inneren des Moduls befindlichen Bauteilen zu erlangen, um sie vielleicht direkt zu aktivieren, um in betrügerischer Weise Postwertzeichen zu drucken. Im Gegen­ satz dazu betrifft die indirekte Fälschung einen Versuch, um den Modul 56 von außen zu erregen, um in betrügerischer Weise Postwertzeichen zu drucken. Ein mögliches Verfahren, dieses Ziel zu erreichen, betrifft die Überwachung und Auf­ zeichnung des Datenstroms, der dem Modul 56 während des Druckens von Postwertzeichen zugeführt wird. Die aufgezeich­ neten Daten können dann aufeinanderfolgend erneut dem Mo­ dul 56 zugeführt werden, um ein erneutes Drucken der Post­ wertzeichen ein oder mehrere Male zu veranlassen. Sowohl beim direkten als auch beim indirekten Fälschen stellt die Kammer 52 nicht fest, daß der Modul 56 Postwertzeichen druckt, so daß keine Kontierung des Wertes der so gedruck­ ten Postwertzeichen erfolgt, wie sie vom Gesetz vorgeschrie­ ben ist.

Wie in Fig. 6 gezeigt, besteht der Modul 56 aus einem De­ chiffriercomputer (CPU) 110, einem Adressendemultiplexer (DEMUX) 112, einem Fälschungs-Latch 114 und dem Tinten­ strahldrucker, umfassend Tintenstrahltreiber und Latche 116 und Tintenstrahlablenkplatten 118.

Im Betrieb dient der Modul 56 zum Drucken von Postwertzei­ chen 18 auf ein Dokument (nicht dargestellt), wobei das Dokument längs der Platten 118 in Richtung des Pfeils 120 gefördert wird. Um dies zu erreichen, wird dem CPU 110 über den Steuerbus 86, den Datenbus 88 und den Adressenbus 90 des Aufnahmeteils 54 (wie in Fig. 5 gezeigt) ein Datenstrom zu­ geführt. Der so zugeführte Datenwert wird typisch durch den DMA 104 in Abhängigkeit der Aktivierung des DMA-Anforderungs­ signals (DMA REQ) 106 durch den CPU 110 geliefert, wobei der CPU 110 DMA REQ 106 zur geeigneten Zeit aktiviert, um einen konstanten Datenstrom aufrecht zu erhalten, damit das Drucken des Postwertzeichens 18 auf das sich bewegende Dokument durch­ geführt werden kann.

Erfindungsgemäß wird der so gelieferte Datenwert zuerst mit­ tels der Kammer 52 verschlüsselt. Eine derartige Verschlüs­ selung oder Chiffrierung kann entsprechend dem Datenchiffrier­ standard (DES) FIPS PUB 46 vorgenommen werden, in dem die Postinformation, nämlich der Geldbetrag, das Datum, der stei­ gende Registerbetrag, und der Stückzählerinhalt mit einem Schlüssel kombiniert werden kann. Das Chiffrieren der Daten­ werte wandelt den Datenwert in eine unverständliche Form um, die als Chiffre bezeichnet wird. Das Entschlüsseln der Chiff­ re wandelt den Datenwert in seine ursprüngliche Form um. Der in dem oben erwähnten Standard beschriebene Algorithmus spezifiziert sowohl das Chiffrieren als auch das Dechiffrie­ ren, die auf einer binären Zahl, genannt Schlüssel oder Schlüsseldatenwert, basieren.

Der Schlüsseldatenwert besteht üblicherweise aus einer Se­ riennummer des Freistemplers, die auf das Dokument gedruckt wird, und einer geheimen Konstanten. Der Schlüssel und die Postinformation wird darauf mit dem in dem ROM gespeicherten Datenmuster kombiniert, und zwar entsprechend dem oben er­ wähnten DES-Algorithmus, um in chiffrierter Form einen Post­ wertzeichendatenwert auszugeben. Dieser verschlüsselte Post­ wertzeichendatenwert wird darauffolgend durch den Modul 52 zum RAM 96 über die Schnittstelle 82 und den CPU 84 über­ tragen. Darauf wird der verschlüsselte Datenwert dem Modul 56 mittels des DMA 104 zugeführt, wie beschrieben.

Es ist bekannt, daß der Datenwert von der Chiffre nur durch Verwendung genau des gleichen Schlüssels, der zum Chiffrie­ ren verwendet wurde, dechiffriert werden kann. Somit ist es klar, daß der CPU 110 in dem Modul 56 den Schlüssel ver­ wenden muß, um den Datenwert zu dechiffrieren, wie der, der von dem CPU 58 der Kammer 52 verwendet wurde, um den Daten­ wert zu chiffrieren.

Es ist daher für den CPU 58 notwendig, den Schlüssel dem CPU 110 zuzuführen, damit der CPU 110 den Postwertzeichen­ datenwert dechiffrieren kann. Bei dieser Ausführungsform der Erfindung wird der Schlüssel dem CPU 110 durch die Kammer 52 zugeführt, indem CPU 58 bewirkt, daß der Schlüssel in den Fälschungslatch 114 eingeschrieben wird, woraufhin der Schlüssel dann von dem Latch 114 auf Anfrage über einen Schlüsselbus 122 dem CPU 110 zugeführt wird.

Der Fälschungslatch 114 kann ein Permanentspeicher oder ir­ gendeine andere geeignete Einrichtung sein, um gespeicherte Daten zu halten, wenn die Energie von dem System 50 abge­ schaltet wird. Alternativ kann der Schlüssel ebenfalls in einer inneren Speicherstelle des CPU 110 statt innerhalb eines äußeren Speichers, wie z. B. dem Fälschungslatch 114 gespeichert werden. Wenn der Schlüssel auf diese Weise in dem CPU 110 gespeichert wird, kann der CPU 110 mit einer Batterie versehen sein, um den CPU 110 aktiv zu halten, wenn die Energie abgeschaltet wird. Ein entsprechend der CMOS- Technologie gebauter CPU mit einem geringen Energiebedarf ist für diesen Zweck besonders geeignet.

Im Betrieb wird der Schlüsseldatenwert im Latch 114 durch den CPU 110 gespeichert, der den Datenwert auf einen lokalen Datenbus (LDB) 124 treibt und durch den CPU 110 wird DEMUX 112 veranlaßt, eine Latchstrobesignal 126 zu erzeugen. DEMUX 112 wird durch CPU 110 veranlaßt, Strobe 126 zu erzeugen, der ein DEMUX-Freigabesignal 128 aktiviert. Wenn die Frei­ gabe 128 so aktiviert ist, wird DEMUX 112 freigegeben, um einen Teil des Adressenbusses 90 (siehe Fig. 6) als die fünf letzten bezeichnenden Bits (LSB's) zu dekodieren, nämlich A 0 bis A 4 bzw. die Signale 130 bis 138. Während der Zeit­ dauer, in der der Schlüsseldatenwert in dem Latch 114 durch CPU 110 gespeichert ist, liefert CPU 84 zuerst den Schlüssel­ datenwert, wie er ihn von der Kammer über die Schnittstelle 82 erhalten hat, zum CPU 110. CPU 84 bringt ebenfalls A 0 bis A 4 bzw. die Signale 130 bis 138 in einen geeigneten Zustand, so daß DEMUX 112 diese Signale dekodieren kann, um den Strobe 126 zu erzeugen. Die Arbeitsweise eines derartigen Demulti­ plexers ist in der Technik bekannt.

Zusätzlich zur Erzeugung des Strobes 126 dient DEMUX 112 ebenfalls zur Erzeugung von mehreren Druckdatenstroben 142 bis 164. Jeder derartige Strobe 142 bis 164 wird mit einem Strobeeingang (St 1-ST 11) der Latche 116 verbunden und dient zur Aktivierung eines entsprechenden Datenlatches (L 1-L 11) innerhalb der Latche 116, um die von dem CPU 110 auf den LDB 124 gelieferten dechiffrierten Wertzeichendaten zu speichern. Die so gespeicherten Daten werden darauffolgend durch die Latche 116 mittels mehreren Treibern (nicht dar­ gestellt) innerhalb der Latche 116 ausgegeben, wobei die Treiberausgänge die Leitungen 166 zum Aktivieren der Tinten­ strahlablenkplatten 118 antreiben, um das Wertzeichen 18 zu drucken. Die Arbeitsweise eines derartigen Tintenstrahlab­ lenkmechanismus ist in der Technik bekannt.

Um den geeigneten Datenwert einem geeigneten der Latche in­ nerhalb der Latche 116 zuzuführen, dekodiert DEMUX 112 die unteren fünf Bits des Adressenbusses 90 und erzeugt den ent­ sprechenden Strobeausgang, wenn er durch Freigabe 128 frei­ gegeben wird, wie dies oben beschrieben wurde. Beim Erzeu­ gen der Strobe 142 bis 164 wird der Adressenbus 90 üblicher­ weise durch den DMA 104 angetrieben, so daß der Zustand des Adressenbusses 90 daher einer Stelle innerhalb des RAM 96 entspricht, in der der verschlüsselte Datenwert gespeichert ist.

Ein Aspekt der Erfindung besteht darin, daß die Kammer 52 für jedes zu druckende Postwertzeichen einen einzigartigen Schlüssel berechnen kann, wodurch man einen Versuch einer indirekten Fälschung mit dem Modul 56 begegnen kann. Es wird bevorzugt, daß, wenn die einem Wertzeichen 18 entsprechenden verschlüsselten Datenwerte aufgezeichnet und darauffolgend er­ neut dem Modul 56 zugeführt werden, der CPU 110 nicht in der Lage ist, die Datenwerte zu entschlüsseln, wenn er nicht mit dem entsprechenden Schlüssel für den entsprechenden aufge­ zeichneten Datenstrom versehen wird.

Um weiter einem Fälschungsversuch mit dem Modul 56 zu be­ gegnen, kann die Kammer 52 ebenfalls in der Lage sein, einen vorher in dem Latch 114 gespeicherten Schlüssel wieder aus­ zulesen, wobei der Schlüssel über den CPU 110, den CPU 84 und die Schnittstelle 82 ausgelesen wird. Auf diese Weise kann die Kammer 52 bestätigen, daß der gegenwärtig inner­ halb des Latches 114 gespeicherte Schlüssel der vorher ge­ speicherte Schlüssel ist, und nicht ein in betrügerischer Weise gespeicherter Schlüssel ist, um einen vorher aufge­ zeichneten Datenstrom zu dechiffrieren.

Modul 56 weist zusätzlich zu den oben beschriebenen ein zu­ sätzliches Sicherheitsmerkmal auf, welches ihn sowohl gegen den direkten als auch den indirekten Versuch einer Fälschung unempfindlich macht.

In Fig. 7 sieht man, daß der Modul 56 eine kompakte selbst­ haltende Anordnung aufweist, in der die Tintenstrahltreiber und Latche 116 und die Ablenkplatten 118 einen daran befestig­ ten Elektronikmodul 200 aufweisen. Der Modul 200 enthält üb­ licherweise den CPU 110, den DEMUX 112 und den Fälschungs­ latch 114 (in Fig. 7 nicht dargestellt), die auf einer ge­ druckten Schaltung (nicht dargestellt) angeordnet sind, um diese Bausteine miteinander und mit den Tintenstrahllatchen 116 zu verbinden. Weiter ist ein Kabel mit mehreren Leitern zur Verbindung der Busse 86, 88 und 90, des DMA REQ 106 und der notwendigen Energieleitungen (nicht dargestellt in Fig. 6) mittels eines geeigneten Verbindungsteils 204 mit dem Aufnahmeteil 54 damit verbunden.

Nach dem Zusammenbau und der Überprüfung wird ein Modul 200 vorzugsweise mit einem "Einbett"-Material 206 auf Epoxid­ basis gefüllt, wodurch die Bauteile darin eingebettet werden. Nach dem Aushärten nimmt das Einbettmaterial eine feste oder halbfeste Konsistenz an, die für den Schutz der darin einge­ betteten Bauteile gegen Verschmutzungen von der Umgebung her und zusätzlich gegen Fälschen geschützt sind.

Um sicherzustellen, daß das Einbettmaterial 206 nicht ent­ fernt wurde, um Zugang zu den Bauteilen innerhalb des Mo­ duls 56 zu erlangen, ist die Erfindung weiter mit einem Kontinuitätssensor, der in dem Material 206 eingebettet ist, versehen.

In Fig. 6 ist der Sensor als elektrischer Leiter 140 dar­ gestellt. Der Leiter 140 ist mit dem Latch 114 verbunden, so daß der logische Zustand von einem Datenbit des inner­ halb des Latches 114 gespeicherten Schlüssels durch das Vor­ handensein oder Nichtvorhandensein des Leiters 140 bestimmt wird. Wenn beispielsweise der Leiter 140 verbunden ist, be­ findet sich ein vorbestimmtes Bit des Schlüsseldatenwertes in einem logischen 1-Zustand. Wenn alternativ der Leiter nicht verbunden ist, wie dies auftritt, wenn der Leiter 140 zerstört wird, nimmt das Bit einen logischen 0-Zustand ein. Wie bereits erwähnt, ist die Kammer 52 geeignet, um inner­ halb des Latches 114 gespeicherte Schlüsseldatenwerte aus­ zulesen, um damit die Gültigkeit des Schlüssels zu über­ prüfen. Wenn bei einem derartigen Auslesen des Schlüssel­ datenwertes die Kammer 52 bestimmt, daß sich das vorbestimm­ te Bit nicht im richtigen Zustand befindet, kann die Kammer 52 das Aufnahmegerät 54 gegen ein weiteres Drucken von irgend­ welchen Postwertzeichen sperren und zusätzlich ein Fälschungs­ zeichenbit setzen, das einer Prüf- oder Nachfülleinheit an­ zeigt, daß eine Fälschung aufgetreten ist. Der Leiter 140 besteht üblicherweise aus einer Länge eines feinen Drahtes, z. B. mit der Feinheitsnummer 38, der in zufälliger Weise in dem des den Modul 200 füllenden Einbettmaterials 206 an­ geordnet ist. Hierdurch wird einem Versuch begegnet, physi­ kalisch Zugang zu den Bausteinen innerhalb des Moduls 200 durch Entfernen des üblicherweise festen Einbettmaterials 206 zu erlangen. Wenn ein derartiger Versuch gemacht wird, tritt mit Sicherheit eine Zerstörung des Leiters 140 auf.

Wenn der Leiter zerstört wird, oder während eines Versuches, in­ direkt mit dem Modul 56 zu fälschen, nimmt ein vorbestimmtes Bit des Schlüsseldatenwertes einen Zustand ein, der den Schlüssel zum Dechiffrieren des zu druckenden Datenwertes unwirksam macht. Somit ist der CPU 114 nicht in der Lage, den entschlüsselten Datenwert den Tintenstrahltreibern und Latchen 116 zuzuführen, wodurch weiter die Sicherheit des Moduls 56 gesichert ist.

Wenn der Schlüssel anfänglich innerhalb des CPU 110 ge­ speichert ist, wie oben beschrieben, kann der Leiter 140 direkt mit dem CPU 110 verbunden werden, wobei der Zu­ stand des Leiters 140 direkt durch den CPU 110 erfaßt wird. In einem solchen Fall kann der CPU 110 und/oder der Leiter 140 innerhalb des Einbettmaterials 206 eingebettet sein.

Man sieht, daß beim Betrieb der Kammer 52 zuerst ein erster Teil der Chiffrierschlüsselinformation dem Modul 56 zuge­ geführt wird, während ein zweiter Teil durch den Zustand der Kontinuität des Sensors geschaffen wird. Weiter liefert die Kammer 52 dem Modul 56 die verschlüsselte Information oder den Datenwert, der dem zu druckenden Wertzeichen entspricht. Nach dem Empfang der verschlüsselten Information entschlüs­ selt der CPU 110 die Information entsprechend dem ersten und zweiten Teil der Schlüsselinformation, woraufhin dann die entschlüsselte Information dem Tintenstrahldrucker zum Drucken zugeführt wird.

Es soll darauf hingewiesen werden, daß, obwohl der Leiter 140 in diesem Fall als ein Stück Draht beschrieben wurde, irgendein anderer Leiter verwendet werden kann, der inner­ halb des Einbettmaterials 206 angeordnet sein kann.

Beispielsweise kann die Kontinuität des Sensors eine opti­ sche Quelle, wie z. B. eine lichtemittierende Diode (LED) und einen optischen Sensor, z. B. einen Fototransistor umfassen, die in einer relativ optischen Ausrichtung zuein­ ander in dem Einbettmaterial 206 eingebettet sind. Die op­ tische Kontinuität kann zwischen der LED und dem Fototran­ sistor mittels eines geeigneten offenen Kanals innerhalb des Materials 206 aufrechterhalten werden. Wenn das Ma­ terial 206 entfernt oder zerstört wird, wird die optische Ausrichtung nicht mehr aufrechterhalten, und die optische Kontinuität ist zerstört.

In ähnlicher Weise soll darauf hingewiesen werden, daß, obwohl die Erfindung hinsichtlich eines bestimmten Ver­ fahrens zum Dechiffrieren und Chiffrieren einer Information beschrieben wurde, dies nur aus Darstellungszwecken erfolgt. Die Erfindung kann ebenfalls mit anderen Verfahren zum Chiffrieren und Dechiffrieren verwendet werden, wobei die­ se Verfahren ebenfalls in den Umfang der Erfindung fallen sollen. Ähnlich soll darauf hingewiesen werden, daß, ob­ wohl die Erfindung hinsichtlich einer bestimmten Kombina­ tion der Information, die zur Schaffung des Schlüsseldaten­ wertes verwendet wird, beschrieben wurde, dies ebenfalls nur aus Darstellungszweck erfolgte. Die Erfindung kann ebenfalls andere Arten und Kombinationen der Information verwenden, wobei diese ebenfalls in den Umfang der Erfin­ dung fallen sollen. Weiter soll darauf hingewiesen werden, daß, obwohl die Erfindung lehrt, daß Mikrocomputer in der Kammer 52, im Aufnahmegerät 54 und dem Modul 56 verwendet werden, ebenfalls andere Verfahren zum Verarbeiten der Information verwendet werden können, wobei diese ebenfalls in den Umfang der Erfindung fallen sollen.

Schließlich soll darauf hingewiesen werden, daß, obwohl die Erfindung im Zusammenhang mit der Sicherung eines Tin­ tenstrahlschreibers beschrieben wurde, die Erfindung eben­ falls zur Sicherung anderer Drucker und anderer Einrich­ tungen verwendet werden kann. Beispielsweise kann die Er­ findung zur Sicherung eines Punktmatrixaufschlagdruckers verwendet werden, bei dem der Druckkopf mehrere Solenoide umfaßt, die in einer bestimmten Weise aktiviert werden müs­ sen, um ein gewünschtes Muster zu drucken.

Fig. 8 zeigt einen derartigen Punktmatrixaufschlagsdruck­ kopf 250. Der Druckkopf 250 besteht aus mehreren Solenoiden 252 bis 260, von denen jeder, wenn er erregt ist, einen ent­ sprechenden Druckdraht 262 bis 270 antreibt. Die Drähte 262 bis 270 sind relativ zu einem Druckband (nicht dargestellt), angeordnet, so daß sie, wenn sie auf das Druck- bzw. Farb­ band aufschlagen, das Drucken eines Punktes auf ein darunter­ liegendes Dokument (nicht dargestellt) bewirken. Üblicher­ weise ist der Druckkopf 250 auf einem Träger (nicht darge­ stellt) angeordnet, der relativ zu einem stationären Doku­ ment während des Druckens einer Linie von alphanumerischen Zeichen bewegt werden kann. Durch Erregen der Solenoide 252 bis 260 in einer geeigneten Folge, kann ein alphanumerisches Zeichen 272 auf das Dokument gedruckt werden.

Die Solenoide 252 bis 260 werden üblicherweise durch Treiber 274 bis 282 erregt, wobei die Treiber die erforderliche Stromtreibfähigkeit aufweisen, um die Solenoide zu erregen.

Derartige Treiber müssen zu bestimmten Zeiten wahlweise er­ regt werden, um in geeigneter Weise ein gewünschtes alpha­ numerisches Zeichen auszubilden. Eine derartige Erregung wird üblicherweise durch ein Randsystem 284, wie z. B. einen Computer, durchgeführt, der die Treiber mit elektro­ nischen Aktivierungssignalen versorgt, um ein gewünschtes Zeichen zu drucken, wobei die Signale üblicherweise in einer 1 : 1-Weise den zu druckenden Punkten entsprechen.

In manchen Systemen kann es jedoch erwünscht sein, die Sig­ nale in verschlüsselter Weise zu liefern, um einen unbe­ fugten oder unzulässigen Gebrauch des Druckkopfes zu ver­ hindern, wie z. B. wenn der Druckkopf verwendet wird, um Gehaltchecks zu drucken. Bei einem derartigen System kann die Erfindung vorteilhaft verwendet werden, um den Betrieb des Druckkopfes gegen Fälschen zu sichern.

Wie in Fig. 8 dargestellt, ist zwischen dem Randgerät 284 und den Treibern 274 bis 282 ein Dechiffriermodul 286 ange­ ordnet. Der Modul 286 umfaßt gemäß der Erfindung einen De­ chiffriermikrocomputer (CPU) 288 und einen Fälschungslatch 290. Der CPU 288 kann ein aus einem einzigen Chip bestehen­ der CPU sein, in dem der Programmspeicher und der Hilfs-RAM enthalten ist und mehrere Eingangs-/Ausgangsleitungen vor­ gesehen sind, um den CPU mit äußeren Bauteilen zu verbinden. Bei dieser Ausführungsform der Erfindung ist der CPU 288 mit dem Randgerät 284 über einen bidirektionalen Datenbus 291, einen Adressenbus 292 und einen Steuerbus 294 verbunden, obwohl ebenfalls eine Anzahl unterschiedlicher Verbindungs­ verfahren verwendet werden können. Der CPU 288 kann eben­ falls mit dem Latch 290 über einen lokalen Datenbus (LDB) 296, einen Strobe 298 und einen Schlüsseldatenbus (KDB) 300 verbunden sein. Der CPU 288 ist ebenfalls mit den Eingängen der Treiber 274 bis 282 über Ausgangsleitungen 302 bis 310 verbunden, wobei der CPU 288 jeden Treiber wahlweise erre­ gen kann, um das Drucken der Punktmatrixzeichen zu bewirken.

Im Betrieb verschlüsselt das Randgerät 284 den gewünschten Punktmatrixdatenwert unter Verwendung eines Chiffrier­ schlüssels entsprechend einem geeigneten Chiffrieralgorith­ mus. Der Schlüssel und der chiffrierte Datenwert werden dem CPU 288 über die Busse 291, 292 und 294 zugeführt. Der CPU 288 speichert nach dem Empfang des Chiffrierschlüssels den Schlüssel innerhalb des Latches 290 über LDB 296 und Strobe 298. Um den von dem Randgerät 284 empfangenen Punktmatrix­ datenwert zu entschlüsseln, ruft der CPU 288 den Schlüssel von dem Latch 290 über den KDB 300 ab. Nach dem Dechiffrier­ ren des von dem Randgerät 284 empfangenen Datenwertes treibt der CPU 288 die Leitungen 302 bis 310 entsprechend dem de­ chiffrierten Datenwert, um die gewünschten alphanumerischen Zeichen zu drucken.

Gemäß der Erfindung kann der Modul 286 in einem geeigneten Material eingebettet sein, so daß der CPU 288 und der Latch 290 in dem Material eingebettet sind. Damit das Randgerät 284 bestimmen kann, ob das Einbettmaterial entfernt oder auf sonstige Weise beschädigt wurde, ist ein Kontinuitäts­ sensor 312 mit dem Latch 290 verbunden. Der Sensor 312, der die Länge eines feinen Drahtes aufweisen kann, ist in zu­ fälliger Weise in dem Einbettmaterial angeordnet, so daß irgendein Versuch, das Einbettmaterial zu entfernen, dazu führt, daß der Draht zerstört wird. Wie bereits oben be­ schrieben, dient der Sensor 312 zur Bestimmung eines Teils des Chiffrierschlüssels, der zum Dechiffrieren des zu druckenden Datenwertes erforderlich ist. Eine Zerstörung des Sensors 312 bewirkt daher, daß der Chiffrierschlüssel­ datenwert unwirksam wird, wodurch verhindert wird, daß der CPU 288 sinnvolle alphanumerische Zeichen druckt. Weiter kann das Randgerät 284 über den CPU 288 den Chiffrier­ schlüssel innerhalb des Latches 390 auslesen, um zu be­ stimmen, ob der durch den Sensor 312 bestimmte Teil des Chiffrierschlüssels sich in einem richtigen vorbestimmten Zustand befindet. Wenn das Randgerät 284 bestimmt, daß der Zustand nicht richtig ist, kann das Randgerät das Drucken weiterer Zeichen verhindern.

Als Beispiel für die Verwendung der Erfindung auf einem anderen Sektor als dem der Drucker ist in Fig. 9 die Er­ findung in Verbindung mit einem elektronischen Verriegelungs­ system gezeigt, wobei der Mechanismus auf eingegebene Daten­ werte anspricht, um einen mechanischen Riegel in Eingriff zu nehmen oder freizugeben.

Der Mechanismus kann aus einer Motoranordnung 350, wie z. B. einem Schrittmotor mit mehreren Ankerwicklungen 352, 354 und 356 bestehen, wodurch die Drehung eines Rotors 358 bewirkt wird. Mit dem Rotor 358 ist mittels geeigneter Einrichtungen, wie z. B. einem Schneckengetriebe (nicht dargestellt) ein Bolzen 360 verbunden, der gleitbar innerhalb eines Kanals in einem Schott 362 angebracht ist. Benachbart zum Riegel 360 kann eine Tür 364 mit einer Aussparung 366 angeordnet sein, um den Riegel 360 aufzunehmen, wodurch die Tür nicht geöffnet werden kann, wenn der Riegel 360 darin eingreift. Um die Anordnung 350 zu erregen, sind geeignete Strom­ treiber 368, 370 und 372 mit den Ankerwicklungen 352, 354 bzw. 356 verbunden.

Im Betrieb kann die Anordnung 350 zum Einsetzen oder Heraus­ ziehen des Riegels 360 von einer Bedienungsperson, die einen Datenwert in eine entfernte Tastatur 374 eingibt, aktiviert werden, wobei der Datenwert eine Folge von Ziffern oder Buchstaben sein kann, entsprechend einer Kombination oder einer anderen Geheimnummer. Die Tastatur 374 ist betriebs­ mäßig mit einem Randgerät 376 verbunden, welches ein Mikro­ computer sein kann, wodurch die Geheimnummer entsprechend einem Chiffrierschlüssel verschlüsselt wird. Die ver­ schlüsselte Nummer und der Chiffrierschlüssel werden einem Elektronikmodul 378 zur Dechiffrierung zugeführt, wodurch die dechiffrierte Nummer mit einer von einem Satz gültiger Zutrittscodenummern, die innerhalb des Moduls 378 gespei­ chert sind, übereinstimmt, wodurch der Riegel 376 ge­ schlossen oder geöffnet wird. Die Nummer wird verschlüsselt, um eine unbefugte Überwachung der Verbindung zwischen dem Randgerät 376 und dem Modul 378 zu verhindern, um die Ge­ heimnummer herauszufinden. Der Modul 378 kann dem Modul 286 von Fig. 8 identisch sein, d. h., er kann aus einem bi­ direktionalen Datenbus 380, einem Adressenbus 382 und einem Steuerbus 384 zur Verbindung zwischen einem Dechiffrier-CPU 286 und dem Randgerät 376 bestehen. Weiter kann der Modul 378 ein Fälschungslatch 388 umfassen, der zum Speichern des Chiffrierschlüssels geeignet ist, wobei der Latch 388 mit dem CPU 386 über ein LDB 390, ein Strobe 392 und den KDB 394 verbunden ist. Der CPU 386 kann ebenfalls drei Ausgänge 396, 398 und 400 aufweisen, um zu bewirken, daß die Treiber 368, 370 und 372 die Anordnung 350 antreiben.

Gemäß der Erfindung kann der Modul 378 mit Füllmaterial bzw. Einbettmaterial gefüllt sein, um den CPU 386 und den Latch 388 darin einzubetten, wodurch ein Zugriff zu diesen Bau­ teilen verhindert wird. Um weiter die eingebetteten Bau­ teile zu sichern, kann der Latch 388 mit einem Kontinuitäts­ sensor 402 versehen sein, der so arbeitet, wie der oben be­ schriebene Teil des Chiffrierschlüssels.

Man sieht, daß die oben beschriebene Ausführungsform der Er­ findung auf viele Weisen verändert werden kann, wobei diese gesamten Änderungen mit in den Umfang der Erfindung fallen sollen. Die Erfindung wurde zwar anhand von bestimmten Aus­ führungsbeispielen beschrieben, wobei deren Prinzipien je­ doch in weitem Maße durch den Fachmann innerhalb des Umfangs der folgenden Ansprüche geändert werden können.

Claims (26)

1. System zur Sicherung des Betriebes eines Gerätes gegen Fälschung, wobei das Gerät auf eine mittels eines Eingangs­ signals zugeführte Information anspricht, um einen bestimm­ ten Ausgang des Gerätes zu bewirken, wobei mindestens ein Teil der Information chiffriert ist, gekennzeichnet durch

• - eine Einrichtung (110) zum Entschlüsseln der chiffrierten Information, wodurch das Gerät (17) aktiviert wird, um einen Ausgang zu bewirken, wobei die Einrichtung (110) zum Ent­ schlüsseln mittels eines Schlüsselsignals freigegeben wird; und
  - einen Kontinuitätssensor (140), der zur Bestimmung min­ destens eines Teils des Schlüsselsignals dient, wodurch, wenn der Sensor (140) Kontinuität feststellt, die Ein­ richtung (110) zum Entschlüsseln freigegeben wird.

2. System nach Anspruch 1, dadurch gekennzeichnet, daß die Einrichtung zum Entschlüsseln ein Mikrocomputer (110) ist.

3. System nach Anspruch 1 oder 2, weiter gekennzeichnet durch eine Einrichtung (114) zum Speichern des Schlüsselsignals, wobei die Einrichtung (114) zum Speichern lesbar mit der Einrichtung (110) zum Entschlüsseln verbunden ist, um die Ein­ richtung (110) zum Entschlüsseln mit dem Schlüsselsignal zu versorgen.

4. System nach Anspruch 3, dadurch gekennzeichnet, daß der Kontinuitätssensor (140) mit der Einrichtung (114) zum Speichern verbunden ist, wobei der Kontinuitätssensor (140) freigegeben wird, um einen Teil des Schlüsselsignals zu be­ stimmen, wenn der Kontinuitätssensor (140) Kontinuität fest­ stellt.

5. System nach einem der Ansprüche 1 bis 4, dadurch ge­ kennzeichnet, daß die Einrichtung ein Drucker (56) ist, der zum Drucken eines Dokumentes dient.

6. Sicherheitsanordnung zum Drucken von Zeichen auf ein Dokument, wobei die Anordnung auf eine mittels eines Ein­ gangsdatensignals zugeführte Druckinformation anspricht, die dem zu druckenden Zeichen (18) entspricht, wobei mindestens ein Teil der Information verschlüsselt ist, gekennzeichnet durch

• - eine Entschlüsselungseinrichtung (110), die zum Entschlüs­ seln der verschlüsselten Information entsprechend einer Freigabeschlüsselinformation dient;
  - eine Speichereinrichtung (114) zum Speichern der Schlüssel­ information, wobei die Speichereinrichtung (114) lesbar mit der Entschlüsselungseinrichtung (110) verbunden ist, um ihr die Schlüsselinformation zuzuleiten;
  - eine Drucksteuereinrichtung (112), die zum Steuern des Druckens der Zeichen dient; und
  - einen arbeitsmäßig mit der Entschlüsselungseinrichtung (110) und der Steuereinrichtung (112) verbundenen Drucker (17), der zum Drucken von Zeichen (18) auf das Dokument (3) entsprechend der entschlüsselten Information dient.

7. Anordnung nach Anspruch 6, dadurch gekennzeichnet, daß die Entschlüsselungseinrichtung (110) und die Steuereinrich­ tung (112) Mikrocomputer (110) sind.

8. Anordnung nach Anspruch 6 oder 7, dadurch gekennzeich­ net, daß der Speicher (114) weiter einen Kontinuitätssensor (140) umfaßt, der mit ihm arbeitsmäßig verbunden ist, um min­ destens einen Teil der Freigabeschlüsselinformation zu be­ stimmen, wenn Kontinuität festgestellt wird, wobei der Sen­ sor (140) weiter zur Bestimmung einer Sperrschlüsselinfor­ mation dient, wenn keine Kontinuität festgestellt wird.

9. Anordnung nach einem der Ansprüche 6 bis 8, dadurch gekennzeichnet, daß der Kontinuitätssensor (140) aus einer bestimmten Länge eines elektrischen, mit dem Speicher (114) verbundenen Leiters besteht.

10. Anordnung nach einem der Ansprüche 6 bis 9, dadurch gekennzeichnet, daß mindestens der Speicher (114) und der Leiter (140) innerhalb einer Umfassung (206) angeordnet sind, um einen Zugriff zum Speicher (114) zu verhindern.

11. Anordnung nach einem der Ansprüche 6 bis 10, dadurch gekennzeichnet, daß die Umfassung (206) aus einem Einbett­ material zum Einbetten des Speichers (114) und des Leiters (140) besteht, um weiter einen Zugriff zum Speicher (114) zu verhindern.

12. Anordnung nach einem der Ansprüche 6 bis 11, dadurch gekennzeichnet, daß der Leiter (140) einen kleinen Quer­ schnitt aufweist, so daß eine Entfernung des Einbettmaterials (206) den Leiter (140) zerstört, wodurch eine Sperrschlüssel­ information erzeugt wird, und die Entschlüsselungseinrichtung (110) nicht in der Lage ist, die Information zu entschlüsseln.

13. Verfahren zur Sicherung eines Gerätes gegen Fälschung, wobei das Gerät auf eine von einem Eingangssignal zugeführte Information anspricht, um einen gewünschten Ausgang zu er­ zeugen, wobei mindestens ein Teil der empfangenen Informa­ tion entsprechend einer gültigen Schlüsselinformation ver­ schlüsselt ist, gekennzeichnet durch folgende Schritte:

• - Zuleitung eines ersten Teils der gültigen Schlüsselinfor­ mation zu dem Gerät (56);
  - Zuleitung eines zweiten Teils der gültigen Schlüsselin­ formation zu dem Gerät (56), wobei der zweite Teil mit­ tels eines Kontinuitätsfühlers (140), der den zweiten Teil nur dann zuleitet, wenn er Kontinuität erfühlt, zu­ geleitet wird;
  - Empfangen der mittels des Eingangssignals zugeleiteten In­ formation;
  - Entschlüsseln des verschlüsselten Teils der Information, die mittels des empfangenen Eingangssignals zugeleitet wurde, wobei die Entschlüsselung entsprechend dem ersten und dem zweiten Teil der gültigen Schlüsselinformation durchgeführt wird; und
  - Aktivieren des gewünschten Ausgangs (116) entsprechend der entschlüsselten Information.

14. Verfahren nach Anspruch 13, wobei das Gerät einen Rechner (110) umfaßt, der zum Entschlüsseln der Information dient.

15. Verfahren nach Anspruch 13 oder 14, dadurch gekenn­ zeichnet, daß die Zuführung des ersten Teils der gültigen Schlüsselinformation weiter den Schritt des Speicherns des ersten Teils innerhalb eines Speichers (114) umfaßt, der lesbar mit dem Rechner (110) verbunden ist, um den Rechner (110) mit dem ersten Teil zu versorgen.

16. Verfahren nach einem der Ansprüche 13 bis 15, dadurch gekennzeichnet, daß der Kontinuitätsfühler (140) arbeits­ mäßig mit dem Speicher (114) verbunden ist, wodurch der Rechner (110) mit der gültigen Schlüsselinformation ver­ sorgt wird.

17. Verfahren nach einem der Ansprüche 13 bis 16, dadurch gekennzeichnet, daß mindestens der Speicher (114) und der Kontinuitätssensor (140) innerhalb eines Einbettmaterials (206) eingebettet sind, um einen Zugriff zum Speicher (114) zu verhindern, so daß eine Sicherung des Gerätes gegen Fälschen gegeben ist.

18. Verfahren nach einem der Ansprüche 13 bis 17, dadurch gekennzeichnet, daß der Kontinuitätsfühler (140) eine be­ stimmte Länge eines elektrischen Leiters (140) mit einem kleinen Querschnitt umfaßt, der so angeordnet ist, daß die Entfernung des Einbettmaterials (206) die Kontinuität des Leiters (140) zerstört, wodurch der zweite Teil der gül­ tigen Schlüsselinformation ungültig gemacht wird, wodurch das Aktivieren des gewünschten Ausgangs (116) nicht auf­ treten kann.

19. Sicherheitsdruckeranordnung zum Drucken von Zeichen (18) innerhalb eines Wertdrucksystems, z. B. einem Fran­ kiersystem, wobei das System einen Freistempler (52) zur Be­ rechnung der zu druckenden Werte aufweist, der weiter ver­ schlüsselte Daten entsprechend einem Chiffrierschlüssel schafft, wobei die entschlüsselten Daten einem zu drucken­ den Zeichen (18) entsprechen und der Freistempler (52) wei­ ter in der Lage ist, eine Einrichtung zu aktivieren, um den verschlüsselten Datenwert und den Chiffrierschlüssel dem Drucker (56) zuzuleiten, gekennzeichnet durch:

• - eine Entschlüsselungseinrichtung (110) zum Entschlüsseln des Datenwertes entsprechend dem Chiffrierschlüssel;
  - einen Speicher (114) zum Speichern des Chiffrierschlüssels, wobei der Speicher lesbar mit der Entschlüsselungseinrich­ tung (110) zur Versorgung mit dem Chiffrierschlüssel ver­ bunden ist;
  - einen mit dem Speicher betriebsmäßig verbundenen Konti­ nuitätsfühler (140), wobei der Fühler (140) zur Bestim­ mung mindestens eines Teils des Chiffrierschlüssels ge­ eignet ist, wenn Kontinuität festgestellt wird, und weiter nicht zur Erzeugung des Teils des Chiffrierschlüssels in der Lage ist, wenn keine Kontinuität festgestellt wird; und
  - einen mit der Entschlüsselungseinrichtung (110) verbun­ denen Drucker (17) zum Drucken der entschlüsselten Daten, wodurch das Zeichen (18) gedruckt wird.

20. Druckanordnung nach Anspruch 19, dadurch gekennzeich­ net, daß die Entschlüsselungseinrichtung ein Mikrocomputer (110) ist.

21. Druckanordnung nach Anspruch 19 oder 20, dadurch ge­ kennzeichnet, daß der Kontinuitätsfühler (140) aus einer Länge eines elektrischen Leiters (140) besteht.

22. Druckanordnung nach einem der Ansprüche 19 bis 21, dadurch gekennzeichnet, daß mindestens der Speicher (114) und der Leiter (140) innerhalb einer Umfassung (206) ange­ ordnet sind, um einen Zugriff zu dem Speicher (114) zu ver­ hindern.

23. Druckeranordnung nach einem der Ansprüche 19 bis 22, dadurch gekennzeichnet, daß die Umfassung (206) aus einem Einbettmaterial (206) besteht, in das der Speicher (114) und der Leiter (140) eingebettet sind, um einen Zugriff zu dem Speicher (114) zu verhindern.

24. Druckeranordnung nach einem der Ansprüche 19 bis 23, dadurch gekennzeichnet, daß der Leiter (140) eine kleine Quer­ schnittsfläche aufweist, so daß eine Entfernung des Ein­ bettmaterials (206) die Kontinuität des Leiters (140) zer­ stört, wodurch der Leiter (140) nicht mehr den Teil des Chiffrierschlüssels bestimmen kann.

25. Druckeranordnung nach einem der Ansprüche 19 bis 24, dadurch gekennzeichnet, daß der Drucker (17) ein Tinten­ strahldrucker ist.

26. System zum Sichern einer Vorrichtung gegen direktes und indirektes Fälschen, wobei die Vorrichtung auf einen verschlüsselten Eingangsdatenwert zur Erzeugung eines ge­ wünschten Ausgangs anspricht, gekennzeichnet durch

• - einen Entschlüsselungsmikrocomputer (110), der zur Schaf­ fung eines entschlüsselten Datenwertes aus dem verschlüs­ selten Eingangsdatenwert nur dann dient, wenn ein gültiger Chiffrierschlüssel zugeführt wird, wobei der Mikrocom­ puter (110) weiter zur Schaffung des gewünschten Aus­ gangs entsprechend dem entschlüsselten Datenwert dient;
  - ein Speicher (114) zum Speichern mindestens eines ersten Teils des gültigen Chiffrierschlüssels, wobei der Speicher (114) lesbar mit dem Mikrocomputer (110) verbunden ist, um den gültigen ersten Teil zuzuführen;
  - einen Kontinuitätssensor (140), der lesbar mit dem Mikro­ computer (110) verbunden ist, um einen gültigen zweiten Teil des Chiffrierschlüssels zuzuführen, wobei der Sensor (140) zur Schaffung des zweiten gültigen Teils nur dient, wenn der Sensor (140) Kontinuität erfaßt; und
  - ein Einbettmaterial (206) zum Einbetten mindestens des Kontinuitätssensors (140), der in dem Einbettmaterial (206) so angeordnet ist, daß ein direktes Angreifen des Einbett­ materials (206) dazu führt, daß der Sensor (140) keine Kon­ tinuität mehr erfaßt, wodurch der Entschlüsselungsmikro­ computer (110) nicht mit dem gültigen zweiten Teil ver­ sorgt wird, und wodurch dann der gewünschte Ausgang nicht erzeugt wird.