DE69631025T2

DE69631025T2 - System und Verfahren zur Wiederherstellung im Falle einer Katastrophe in einem offenen Zählsystem

Info

Publication number: DE69631025T2
Application number: DE69631025T
Authority: DE
Inventors: Robert A. Cordery; David K. Lee; Leon A. Pintsov; Jr. Frederick W. Ryan; Walter J. Baker; Joseph L. Gargiulo; Richard W. Heiden
Original assignee: Pitney Bowes Inc
Current assignee: Pitney Bowes Inc
Priority date: 1995-12-19
Filing date: 1996-12-19
Publication date: 2004-10-14
Anticipated expiration: 2016-12-20
Also published as: CA2193026A1; CA2193026C; US6061671A; EP0780808B1; EP0780808A3; DE69631025D1; EP0780808A2; US5793867A; JPH09311961A; JP4520539B2; JP2010146585A

Description

Die vorliegende Erfindung bezieht sich auf fortgeschrittene Porto-Zahlungssysteme und zudem insbesondere auf fortgeschrittene Porto-Zahlungssysteme mit vorberechneter Porto-Zahlungsinformation.
Die vorliegende Erfindung bezieht sich auf die folgenden EP-Patentanmeldungen Nr. EP 0 780 806 , EP 0 780 804 , EP 0 780 807 , EP 0 782 110 , EP 0 782 109 , EP 0 780 809 , EP 0 782 112 , EP 0 780 805 und EP 0 782 108 , jede hiermit gleichzeitig eingereicht und an den zu Übertragenden der vorliegenden Erfindung zugeteilt.
Es wird auch Bezug genommen auf US-A-4,775,246, die ein Porto-Nachweissystem mit einer Wertvorrichtung bzw. Vault und einem Hostprozessor offenbart. Ein Token, das durch die Wertvorrichtung ausgegeben wird, wird dem Hostprozessor zum Drucken übergeben.
Porto-Zählsysteme bzw. Frankiersysteme werden entwickelt, die digitale Drucker zum Drucken von verschlüsselten Informationen auf einem Poststück verwenden. Solche Zählsysteme werden momentan durch den United States Postal Service kategorisiert, als entweder geschlossene Systeme oder offene Systeme. In einem geschlossenen System ist die Systemfunktionalität einzig für Zählaktivität vorgesehen. Ein geschlossenes Systemzählgerät enthält einen dafür vorgesehenen Drucker, der sicher mit einer Zähl- oder Buchungsfunktion gekoppelt ist. In einem geschlossenen System kann, da der Drucker nicht sicher mit dem Zähler gekoppelt und für diesen vorgesehen ist, Drucken nicht stattfinden ohne Buchung. In einem offenen Zählsystem ist die Systemfunktionalität nicht einzig für eine Zählaktivität vorgesehen. Ein offenes Systemzählgerät enthält einen Drucker, der nicht für die Zählaktivität vorgesehen ist und daher Systemfunktionalität für viele und diverse Nutzungen zusätzlich zu der Zählaktivität freigibt. Ein offenes Systemzählgerät ist ein Porto-Nachweisgerät (PED, Postage Evidencing Device) mit einem nicht dafür vorgesehenen Drucker, der nicht sicher mit einem sicheren Buchungsmodul gekoppelt ist.
Typischerweise wird der Porto-Wert für ein Poststück zusammen mit anderen Daten verschlüsselt, um ein digitales Token zu erzeugen, das dann benutzt wird, um einen Porto-Freistempel zu erzeugen, der auf das Poststück gedruckt wird. Ein digitales Token ist verschlüsselte Information, die die Information authentifiziert, die auf einem Poststück mit postalem Wert aufgedruckt ist. Beispiele für Systeme zum Erzeugen und Benutzen von digitalen Token werden in US-Patenten Nr. 4,757,537, 4,831,555, 4,775,246, 4,873,645 und 4,725,718 beschrieben, auf die für weitere Details hingewiesen wird. Diese Systeme verwenden ein Verschlüsselungsalgorithmus, um ausgewählte Informationen zu verschlüsseln, um mindestens ein digitales Token für jedes Poststück zu erzeugen. Diese Verschlüsselung der Information stellt eine Sicherung dar, um ein Verändern der gedruckten Information so auf eine Art und Weise zu vermeiden, dass irgendein Missbrauch der Token durch passende Verifikationsprozeduren detektierbar ist.
Typische Informationen, die als Teil eines digitalen Tokens verschlüsselt werden können, enthalten eine Ursprungspostleitzahl, Verkäuferidentifikation, PED-identifizierende Daten, Stückzahl, Portobetrag, Datum und für ein offenes System eine Bestimmungspostleitzahl. Diese Informationspunkte, kollektiv als Postdaten bezeichnet, stellen, wenn mit einem geheimen Schlüssel verschlüsselt und auf ein Poststück gedruckt, ein sehr hohes Niveau an Sicherheit bereit, das die Detektion einer versuchten Modifikation eines Postumsatzblocks bzw. postalen Stempelblocks oder einer Bestimmungspostleitzahl erlaubt. Ein Postumsatzblock ist ein Abbild, das auf ein Poststück gedruckt wird, das das digitale Token enthält, das benutzt wird, um einen Beweis für eine Porto-Zahlung bereitzustellen. Die postalen Daten können sowohl in verschlüsselter und unverschlüsselter Form in den Postumsatzblock gedruckt werden. Postale Daten dienen als eine Eingabe zu einer digitalen Token-Transformation, was eine verschlüsselte bzw. kryptografische Transformationsberechnung ist, die einen geheimen Schlüssel verwendet, um digitale Token zu produzieren. Ergebnisse der digitalen Token-Transformation, das heißt digitale Token werden nur nach Beendung des Buchungsprozesses zur Verfügung gestellt.
In einem Zählsystem gespeicherte Transaktions-Daten enthalten typischerweise zum Beispiel ein aufsteigendes Register, ein absteigendes Register, eine Stückzahl und irgendeine andere notwendige Information, die mit hoher Integrität für jede Transaktion des Zählers erhalten werden muss. Solche Daten können benötigt werden, um einem Benutzer eine Rückerstattung in dem Fall eines Zählerfehlers oder Zählerverlusts bereitzustellen.
Bisher wird die Integrität von Daten in einem Zähler unter Verwendung von einem redundanten nicht flüchtigen Speicher erhalten. Wenn der Zähler beschädigt wird, müssen diese Daten wiedererlangt und verifiziert werden. Wiedererlangung beinhaltet oft Öffnen des Zählers und direktes Lesen der Daten im Speicher durch Anbringen eines Clips an dem Speicherchip.
Für offene Zählsysteme kann die Zähleinheit ein tragbares Gerät sein, wie zum Beispiel eine Smartkarte oder eine PCMCIA-Karte. Tragbare Zähleinrichtungen können auch mit geschlossenen Zählsystemen benutzt werden. Solche tragbare Karten stellen ein Problem bezüglich des Zurückholens von Transaktions-Daten dar, wenn die tragbare Karte verloren geht oder über eine Zugreifbarkeit auf solche Transaktions-Datensätze hinaus beschädigt wird.
Gemäß einem ersten Aspekt der Erfindung wird ein Verfahren zum sicheren Sichern von Wert-Daten in einem Zählsystem, das einen Hostprozessor enthält, bereitgestellt, der betriebgemäß an eine Wertvorrichtung gekoppelt ist, die Schritte umfassend: Speichern einer vorbestimmten Gruppe von Wert-Daten in der Wertvorrichtung, enthaltend mindestens einen Transaktions-Datensatz und ein digitales Token, erzeugt durch die Wertvorrichtung, zur Verwendung beim Erzeugen eines Freistempelbitmaps; kryptografisches Signieren der vorbestimmten Gruppe von Wert-Daten in der Wertvorrichtung; Senden der kryptografisch signierten Wert-Daten an den Hostprozessor; und Speichern der kryptografisch signierten Wert-Daten in einer Sicherungsdatendatei des Hostprozessors, von welchem der mindestens eine Transaktions-Datensatz wiedererlangt werden kann.
Gemäß einem zweiten Aspekt der Erfindung wird ein Transaktions-Nachweissystem bereitgestellt, umfassend: einen Hostprozessor enthaltend eine Speichereinrichtung; eine Wert-Einrichtung, betriebsgemäß gekoppelt an den Hostprozessor, wobei die Wert-Einrichtung eine Erzeugungseinrichtung für ein digitales Token und eine Transaktions-Buchungseinrichtung enthält; einen Drucker, betriebsgemäß gekoppelt an den Hostprozessor; eine Einrichtung in dem Hostprozessor zum Ausgeben einer Anforderung für mindestens ein digitales Token, wobei die Anforderung für das digitale Token eine vorbestimmte Information enthält, die von der Erzeugungseinrichtung für das Token gefordert wird; eine Einrichtung in dem Hostprozessor zum sicheren Kommunizieren mit der Wert-Einrichtung, wobei die Kommuniziereinrichtung die Anforderung für das digitale Token an die Wert-Einrichtung sendet und wobei von der Wert-Einrichtung ein durch die Erzeugungseinrichtung für das Token erzeugtes digitales Token und ein digitalsignierter Transaktions-Datensatz, entsprechend dem digitalen Token, empfangen wird, wobei der Transaktions-Datensatz das digitale Token und die vorbestimmte Information enthält; eine Einrichtung in dem Hostprozessor zum Erfassen des digitalsignierten Transaktions-Datensatzes in der Speichereinrichtung; und eine Einrichtung, betriebsgemäß gekoppelt an den Hostprozessor, zum Erzeugen eines Freistempelbitmaps von dem digitalen Token zum Drucken durch den Drucker.
Um ein Verfahren zum Wiedererlangen von Wert-Daten bereitzustellen, umfasst das Verfahren gemäß eines ersten Aspekts der Erfindung die weiteren Schritte: Zurückholen kryptografisch signierter Wert-Daten von einer Datendatei in dem Hostprozessor, wobei die Wert-Daten mindestens einen Transaktions-Datensatz enthalten und durch die Wertvorrichtung kryptografisch signiert wurden; Verifizieren der Signatur der kryptografisch signierten Wert-Daten; und Wiedererlangen der Wert-Daten, die den mindestens einen Transaktions-Datensatz enthalten, von den kryptografisch signierten Wert-Daten, wenn die Signatur verifiziert wurde.
Die obigen und andere Aufgaben und Vorteile der vorliegenden Erfindung werden unter Bezugnahme der folgenden detaillierten Beschreibung, im Zusammenhang betrachtet mit den begleitenden Zeichnungen, deutlich, in welchen gleiche Bezugszeichen sich auf gleiche Teile durchgehend beziehen und in welchen:
1 ein Blockdiagramm eines PC-basierten Zählsystems zeigt, in welchem die vorliegende Erfindung arbeitet;
2 ein schematisches Blockdiagramm des PC-basierten Zählsystems von 1 zeigt, das eine abnehmbare Wert-Karte und ein DLL in dem PC enthält;
3 ein schematisches Blockdiagramm des DLL in dem PC-basierten Zählsystem von 1 zeigt, das eine Interaktion mit der Wertvorrichtung enthält, um digitale Token auszugeben und zu speichern;
4 ein Flussdiagramm des Wertprozesses zeigt, zum Signieren und Speichern von Transaktions-Datensätzen;
5 ein Flussdiagramm des Transaktions-Erfassungsteilmoduls in dem PC-basierten Zählsystem von 1 zeigt; und
6 ein Flussdiagramm des Wiedergewinnungsprozesses zeigt, wenn eine Wert-Karte beschädigt wird oder verloren geht.
Das Folgende beschreibt ein System und Verfahren für eine Fehlerbehebung (bzw. Wiedererlangung des Zustands vor einem Unglück) für ein offenes Zählsystem. Die Wertvorrichtung des offenen Zählsystems muss ein sicheres Gerät sein, da es die Buchungsinformation des Portobetrags enthält, der in der Wertvorrichtung verbleibt sowie das gedruckte Porto. Jedoch macht die Sicherheit es von Natur aus schwer, postale Fonds in dem Fall wiederzuerlangen, dass eine Fehlfunktion auftritt und in die Wertvorrichtung nicht durch normalen Betrieb Zugriff erhalten werden kann. Das vorliegende System verbessert die Verlässlichkeit eines PC-Zählsystems unter Verwendung der Festplatte des Benutzer-PCs, um die Buchungsinformation der Wertvorrichtung zu sichern. Dies stellt einen Nutzen bereit, dass gewisse Funktionen, wie zum Beispiel Kontoabstimmung, sogar durchgeführt werden kann, wenn eine Wertvorrichtung nicht richtig funktioniert oder verloren gegangen ist. Solch eine Sicherung steht nicht in konventionellen Porto-Zählern zur Verfügung.
Für weitere Sicherheit können die Sicherungs-Transaktions-Daten kryptografisch bzw. verschlüsselt signiert werden durch die Wertvorrichtung, bevor sie auf der Festplatte gespeichert werden, um Verfälschen zu vermeiden. Die Anzahl von Transaktionen, die auf der Festplatte erhalten bleiben, wird nur durch den zur Verfügung stehenden Speicherplatz auf der Festplatte begrenzt. Vorzugsweise würden mindestens alle Transaktionen seit dem letzten Wiederauffüllen als Sicherung erhalten bleiben.
Im Beschreiben der vorliegenden Erfindung werden die Zeichnungen erwähnt, wobei in 1 und 2 ein offenes System PC-basierter Porto-Zähler ersichtlich ist, auch hierin als ein PC-Zählsystem bezeichnet, allgemein als 10 bezeichnet, das einen konventionellen Personalcomputer umfasst, der konfiguriert ist, um als ein Host für ein abnehmbares Zählgerät oder elektronische Wertvorrichtung, allgemein als 20 bezeichnet, zu arbeiten, in welchem Porto Fonds gespeichert werden. Wie hierin benutzt, wird der Ausdruck Personalcomputer generisch gebraucht und bezieht sich auf heutige und zukünftige Mikroprozessorsysteme mit mindestens einem Prozessor betriebsgemäß mit einer Benutzerschnittstellen-Einrichtung gekoppelt, wie zum Beispiel einer Anzeige und einer Tastatur und Speichermedien. Der Personalcomputer kann eine Arbeitsstation sein, auf die mehr als ein Benutzer zugreifen kann.
PC-Zählsysteme 10 benutzen den Personalcomputer und seinen Drucker, um Porto auf Umschläge zur gleichen Zeit zu drucken, wenn er eine Empfängeradresse druckt oder um Beschriftungen für voradressierte Rückumschläge oder größere Poststücke zu drucken. Es wird erkannt dass, obwohl die bevorzugte Ausführungsform der vorliegenden Erfindung bezüglich einem Porto-Zählsystem beschrieben wird, die vorliegende Erfindung auf etliche Wert-Zählsysteme, die einen Transaktions-Nachweis enthalten, anwendbar ist.
Der PC-basierte Porto-Zähler 10 enthält einen Personalcomputer (PC) 12, eine Anzeige 14, eine Tastatur 16 und einen ungesicherten digitalen Drucker 18, vorzugsweise einen Laser- oder Tintenstrahldrucker. Der PC 12 enthält einen konventionellen Prozessor 22, wie zum Beispiel den 80486 und Pentiumprozessoren, die von Intel hergestellt werden und eine konventionelle Festplatte 24, (ein) Diskettenlaufwerk(e) 26 und einen Speicher 28. Die elektronische Wertvorrichtung 20, die in einer abnehmbaren Karte untergebracht ist, wie zum Beispiel einer PCMCIA-Karte 30 ist ein sicheres Verschlüsselungsgerät für Porto Fond Management, digitale Token-Erzeugung und herkömmliche Buchungsfunktionen. Das PC-Zählsystem 10 kann auch ein optionales Modem 29 enthalten, das sich vorzugsweise in dem PC 12 befindet. Das Modem 29 kann zur Kommunikation mit einem Postservice oder einem Post-authorisierten Verkäufer benutzt werden zum Wiederaufladen der Fonds (Debit oder Kredit). Eine Beschreibung einer solchen Kommunikation mittels Modem wird in U.S.-Patent Nr. 4 831 555 beschrieben, auf welches für weitere Details hingewiesen wird. In einer alternativen Ausführungsform kann das Modem sich in der PCMCIA-Karte 30 befinden.
Das PC-Zählsystem 10 enthält ferner ein auf Windows basierendes PC-Softwaremodul 34 (3 und 4), auf das von einer konventionellen auf Windows basierenden Textverarbeitung zugegriffen werden kann, sowie eine Datenbank und Tabellenanwendungsprogramme 36. Das PC-Softwaremodul 34 enthält eine Wert Dynamik Link Library (DLL) 40, ein Benutzerschnittstellenmodul 42 und eine Vielzahl von Teilmodulen, die die Zählfunktionen steuern. Das DLL ist eine Anwendungs-programmierende Schnittstelle (API, Application Programming Interface), die von auf Windows basierten Programmen benutzt wird. Es wird erkannt, dass die vorliegende Erfindung für den Gebrauch mit einer API passend ist, entsprechend zu anderen als Windows-basierten Programmen.
Das DLL-Modul 40 kommuniziert sicher mit der Wertvorrichtung 20 und stellt eine offene Schnittstelle zu Microsoft Windows-basierten Anwendungsprogrammen 36 durch das Benutzerschnittstellenmodul 42 dar. Das DLL-Modul 40 speichert auch sicher ein Freistempelabbild und eine Kopie von der Benutzung von postalen Fonds der Wertvorrichtung. Das Benutzerschnittstellenmodul 42 stellt Anwendungsprogrammen 36 Zugriff auf ein elektronisches Freistempelabbild von dem DLL-Modell 40 bereit zum Drucken des Postumsatzblocks auf ein Dokument, wie zum Beispiel einem Umschlag oder Etikett. Das Benutzerschnittstellenmodul 42 stellt auch Anwendungsprogrammen die Fähigkeit bereit, entfernte Wiederauffüllungen zu initiieren und administrative Funktionen auszuführen.
Daher arbeitet das PC-basierte Zählsystem 10 als ein konventioneller Personalcomputer mit angeschlossenem Drucker, der auf Benutzeranforderung zu einem Porto-Zähler wird. Drucker 18 druckt alle Dokumente, die normal von einem Personalcomputer gedruckt werden, was Drucken von Briefen und Adressieren von Umschlägen enthält und druckt Porto-Freistempel.
Nun folgt eine Beschreibung der Schlüsselkomponenten des PC-basierten Zählsystems 10, und hierauf folgt eine Beschreibung des bevorzugten Betriebs des PC-basierten Zählsystems 10.
Eine Beschreibung des digitalen Token-Erzeugungsprozesses ist in den auch anhängigen EP Patentanmeldungen EP-A-0 780 804, EP-A-0 780 806 und EP-A-0 782 109 offenbart, auf welche für weitere Information verwiesen wird.
Die Wertvorrichtung ist in einem PCMCIA I/O-Gerät, oder -Karte 30 untergebracht, auf die durch eine PCMCIA-Steuereinheit 32 in PC 12 zugegriffen wird. Eine PCMCIA-Karte ist ein kreditkartengroßes Periphergerät oder Adapter, die sich nach den Standardspezifikationen der Personal Computer Speicherkarten Internationalen Vereinigung (PCMCIA, Personal Computer Memory Card International Association) richtet.
Bezugnehmend auf 2 und 3 enthält nun die PCMCIA-Karte 30 einen Mikroprozessor 44, einen nicht-flüchtigen Speicher (NVM) 46, eine Uhr bzw. Takt 48, ein Verschlüsselungsmodul 50 und ein Buchungsmodul 52. Das Verschlüsselungsmodul 50 kann das NBS Datenverschlüsselungsstandard (DES, Data Encryption Standard) implementieren oder einen anderen passenden Verschlüsselungsplan. In der bevorzugten Ausführungsform ist das Verschlüsselungsmodul 50 ein Softwaremodul. Es wird erkannt, dass das Verschlüsselungsmodul 50 auch ein separates Gerät sein könnte, wie zum Beispiel ein separater Chip, der mit dem Mikroprozessor 44 verbunden ist. Das Buchungsmodul 52 kann ein EEPROM sein, der aufsteigende und absteigende Register beinhaltet, sowie postale Daten, wie zum Beispiel eine Ursprungspostleitzahl, eine Verkäuferidentifikation, Daten, die den PC-basierten Porto-Zähler 10 identifizieren, eine sequentielle Stückzahl des Postumsatzblocks, der durch den PC-basierten Porto-Zähler 10 erzeugt wird, einen Porto-Betrag und das Datum der Einreichung an den Postservice. Wie bekannt ist, zeichnet ein aufsteigendes Register in einer Zähleinheit den Betrag des Portos auf, der ausgegeben wurde, das heißt durch die Wertvorrichtung ausgestellt wurde, in allen Transaktionen und das absteigende Register zeichnet den Wert auf, das heißt der Betrag des Portos, der in der Zähleinheit verbleibt, deren Wert abnimmt, wenn Porto ausgestellt wird.
Die Hardware-Ausführung der Wertvorrichtung enthält eine Schnittstelle 56, die mit dem Host-Prozessor 22 durch die PCMCIA-Steuereinheit 32 kommuniziert. Bevorzugt werden für eine zusätzliche physikalische Sicherheit die Komponenten der Wertvorrichtung 20, die die Verschlüsselung ausführen und die Verschlüsselungs-Schlüssel speichern (Mikroprozessor 44, ROM 47 und NVM 46) in dem gleichen integrierten Schaltungs-Gerät/Chip verpackt, das/der hergestellt wird, um fälschungssicher zu sein. Solch ein Verpacken gewährleistet, dass die Inhalte des NVM 46 nur von dem Verschlüsselungs-Prozessor gelesen werden können und nicht von außerhalb des integrierten Schaltungsgeräts Zugriff erlangt werden kann. Alternativ könnte die gesamte Karte 30 hergestellt werden, um fälschungssicher zu sein.
Die Funktionalität des DLL 40 ist eine Schlüsselkomponente des PC-basierten Zählers 10. Das DLL 40 enthält sowohl ausführbare Codes und einen Datenspeicherbereich 41, der sich in der Festplatte 24 des PCs 12 befindet. In einer Windows-Umgebung kommuniziert eine große Mehrheit von Anwendungsprogrammen 36, wie zum Beispiel Textverarbeitungs- und Tabellenprogramme miteinander unter Verwendung eines oder mehrerer DLLs (Dynamic Link Libraries). Der PC-basierte Zähler 10 fasst alle die Prozesse zusammen, die beim Zählen involviert sind und stellt eine offene Schnittstelle der Wertvorrichtung 20 von allen Windows-basierten Anwendungen bereit, die in der Lage sind, eine Dynamic Link Library zu benutzen. Jedes Anwendungsprogramm 36 kann mit dem Wert-Mikroprozessors 44 in der PCMCIA-Karte 30 durch das DLL 40 kommunizieren.
Das DLL 40 enthält die folgenden Software-Teilmodule: sichere Kommunikationen 80, Transaktions-Erfassungen 82, eine sichere Freistempelabbild-Herstellung und Speicherung 84 und ein Anwendungs-Schnittstellenmodul 86. Die vorliegende Erfindung bezieht sich auf das Transaktions-Erfassungsteilmodul, das unten beschrieben wird. Eine detailliertere Beschreibung des PC-Zählsystems wird in der im Zusammenhang stehenden EP Patentanmeldung Nr. EP-A-0 780 809 bereitgestellt, die hiermit gleichzeitig eingereicht wurde und auf die für weitere Informationen hingewiesen wird.
Sichern auf einer Festplatte
Die Wertvorrichtung 20 muss ein sicheres Gerät sein, da sie die Buchungsinformation des Porto-Betrags, der in der Wertvorrichtung verbleibt sowie das gedruckte Porto enthält. Jedoch macht es die Sicherheit von natur aus schwer, postale Fonds in dem Fall des Auftretens einer Fehlfunktion wiederzuerlangen und es kann nicht durch normalen Betrieb auf die Wertvorrichtung zugegriffen werden. Das vorliegende System verbessert die Verlässlichkeit eines PC-Zählsystems unter Verwendung der Festplatte des Benutzer-PCs, um die Buchungsinformation der Wertvorrichtung zu speichern. Wie vorher beschrieben speichert das Transaktions-Erfassungsteilmodul 82 Transaktions-Dateien als Sicherungsdateien auf der Festplatte 24. Dies stellt einen Nutzen dadurch bereit, dass gewisse Funktionen, wie zum Beispiel die Kontoabstimmung sogar ausgeführt werden können, wenn die Wertvorrichtung 20 nicht richtig funktioniert. Solch eine Sicherung steht in konventionellen Porto-Zählern bzw. Frankiermaschinen nicht zur Verfügung.
Für weitere Sicherheit können die Sicherungstransaktions-Dateien verschlüsselt werden, bevor sie auf der Festplatte 24 gespeichert werden, um Verfälschen zu vermeiden. Die Anzahl der Transaktionen, die auf der Festplatte 24 erhalten bleiben, ist nur durch den zur Verfügung stehenden Speicherplatz auf der Festplatte 24 begrenzt. Vorzugsweise würden mindestens alle Transaktionen seit dem letzten Wiederauffüllen als Sicherung erhalten bleiben.
In der bevorzugten Ausführungsform der vorliegenden Erfindung wird der Transaktions-Datensatz kryptografisch bzw. verschlüsselt durch den Zähler signiert und auf der Festplatte 24 in der Transaktions-Datensatzdatei gespeichert, die mit dem Zähler in Zusammenhang steht. Durch Signieren der Transaktions-Datensätze auf diese Art und Weise kann ein Benutzer dann nicht die Daten ohne Detektion modifizieren. Wenn der Benutzer versucht, einen alten Wert der Daten einzuspielen, wird dieser nicht mit irgendeiner der verbleibenden Daten in dem Zähler übereinstimmen, und sie werden nicht mit den Stückzahlen der letzten Poststücke übereinstimmen, die mit dem Zähler gezahlt wurden. Die signierten Daten können in der Zählerbasis gespeichert werden. Daher stellt die vorliegende Erfindung ein System und Verfahren für verlässliches Wiedererlangen von Fonds für verlorene, gestohlene oder beschädigte Zähler dar, das auf den signierten Daten, die auf der Festplatte gespeichert sind, basiert. Eine ähnliche Funktion kann für geschlossene Systemzähler mit einer abnehmbaren Wertvorrichtung bereitgestellt werden.
Die Zählertransaktions-Datensatzdaten werden kryptografisch signiert, zum Beispiel mit einem Nachrichten-Authentifikationscode (MAC, Message Authentication Code). Die signierten Daten werden in einem versteckten Datenblock auf der Festplatte 24 gespeichert. (Für geschlossene Zählsysteme mit einer abnehmbaren Wertvorrichtung würden die signierten Daten in der Zählerbasis gespeichert werden.) Die auf der Festplatte 24 des PCs 12 gespeicherten Daten können wiedererlangt und authentifiziert werden gegen die neusten Datensätze des Datencenters und gegen irgendeine neue aufgezeichnete Poststück-Stückzahl. Der Benutzer kann die Daten auf der Festplatte 24 nicht ohne Detektion modifizieren. Wenn der Benutzer die Daten löscht, dann können die Fonds unwiederbringbar sein.
Wenn die Wertvorrichtung 20 als verloren oder gestohlen gemeldet wird, können die verlorenen Fonds unter Verwendung der signierten Daten auf der Festplatte 24 identifiziert werden. Die Authentifizierung der Daten kann durch Verifizieren der Signatur durch die Wertvorrichtung 20 überprüft werden. Die Neuheit der Daten kann durch Vergleichen der Stückzahl in den signierten Daten mit der Stückzahl auf einem der neuesten versandten Poststücke überprüft werden. Zum Beispiel können, wenn der Postservice häufig Freistempel und Datensätze der neuesten Stückzahl für jeden Zähler überprüft, die Postservice-Datensätze dann zur Authentifizierung der Neuheit der Daten benutzt werden. Wenn der Datencenter den Wert der Stückzahl bei der neuesten Wiederauffüllung der Wertvorrichtung 24 aufnimmt, können solche Daten dann auch als Beweis für die Neuheit der Sicherungsdaten bereitgestellt werden, die auf der Festplatte 24 gespeichert werden.
Die signierten Daten in der versteckten Datei können jedesmal wenn ein Freistempel verarbeitet wird, erneuert werden oder können in einer Vergangenheitstransaktions-Datensatzdatei angesammelt werden.
Bezugnehmend auf 4 wird nun der Prozess des kryptografischen Signierens eines Transaktions-Datensatzes gezeigt. Bei Schritt 200 wird ein Transaktions-Datensatz erzeugt, zum Beispiel wenn die Wertvorrichtung 20 ein digitales Token ausgibt oder wenn die Wertvorrichtung 20 wieder aufgefüllt wird. Bei Schritt 202 wird ein Transaktions-Verschlüsselungsschlüssel, der in der Wertvorrichtung 20 zum Beispiel bei Herstellung gespeichert wird, für digitales Signieren des Transaktions-Datensatzes bei Schritt 204 erhalten. Der signierte Transaktions-Datensatz wird in der Wertvorrichtung 20 gespeichert und an das DLL 40 im PC 12 bei 206 gesendet. Der signierte Transaktions-Datensatz wird in einer nicht sichtbaren DLL-Speicherdatei 41 auf der Festplatte 24 bei Schritt 208 gespeichert. Schritt 208 wird detaillierter in dem folgenden Absatz beschrieben.
Gemäß dem vorliegenden System nimmt das Transaktions-Erfassungsteilmodul 82 jeden Transaktions-Datensatz, der von der Wertvorrichtung 20 empfangen wird, auf und zeichnet den Transaktions-Datensatz in dem DLL 40 und in dem DLL-Speicherbereich 41 auf der Festplatte 24 auf. Wenn es auf der Festplatte 24 reichlich Raum gibt, können solche Transaktions-Erfassungen für eine Vielzahl von verschiedenen Wertvorrichtungen gespeichert werden. Bezugnehmend auf 5, überwacht nun von dem Moment an, in dem eine Kommunikationssitzung hergestellt wird, das Transaktions-Erfassungsteilmodul 82 einen Nachrichtenverkehr bei Schritt 120, nimmt selektiv Erfassungen jedes Transaktions-Datensatzes für Token-Erzeugungen auf, und es bewirkt ein Auffüllen und Speichern solcher Transaktions-Datensätze in dem DLL 40 bei Schritt 124 und in einer nicht sichtbaren und schreibgeschützten Datei 83 in dem DLL-Speicherbereich 41 bei Schritt 126. Die für jeden Transaktions-Datensatz gespeicherte Information enthält zum Beispiel Wertseriennummern, Datum, Stückzahl, Porto, zur Verfügung stehende postale Fonds (absteigendes Register), Token, Bestimmungspostleitzahl und das Blocküberprüfzeichen. Eine vorbestimmte Anzahl der neuesten, durch den PC 12 initiierten Datensätze wird in Datei 83 gespeichert, die eine indizierte Vergangenheitsdatei ist. In der bevorzugten Ausführungsform wird Datei 83 gemäß einer Stückzahl indiziert, aber kann gemäß einer Adressateninformation durchsucht werden. Datei 83 stellt das Spiegelbild der Wertvorrichtung 20 zur Zeit der Transaktion, ausgenommen der Verschlüsselungsschlüssel und Konfigurationsparameter dar. Speichern von Transaktions-Datensätzen auf der Festplatte 24 stellt eine Sicherungsfähigkeit dar, die unten beschrieben wird.
Bezugnehmend auf 6 wird nun der Prozess zum Wiedererlangen von Wertinformation gezeigt, wenn die Wertvorrichtung 20 nicht für Informationswiedererlangung zur Verfügung steht. Bei Schritt 220 wird die nicht sichtbare Transaktions-Datensatzdatei von dem DLL-Datenblock 41 auf der Festplatte 24 gelesen. Der Verschlüsselungsschlüssel, der beim Signieren des Transaktions-Datensatzes in der Wertvorrichtung 20 benutzt wird, wenn das Token ausgegeben wurde, wird bei Schritt 222 wiedererlangt, von einer Handhabung durch einen Dritten (Escrowed), zum Beispiel von dem Hersteller oder dem Datencenter. Bei Schritt 224 wird die Signatur vorzugsweise von jedem Transaktions-Datensatz verifiziert, obwohl Verifizieren von weniger als allen der Transaktions-Datensätze als adäquat erachtet werden kann. Bei Schritt 226 wird bestimmt, ob alle, die verifizierten Signaturen, korrekt sind. Falls sie nicht korrekt sind, deutet dies dann bei 228 darauf hin, dass die DLL-Speicherdatei 41 modifiziert wurde. Falls korrekt, werden dann das letzte aufgezeichnete aufsteigende Register, absteigende Register und Stückzahl bei Schritt 230 bestimmt. Ein Vergleich mit dem aufsteigenden Register gelesen von der DLL-Speicherdatei 41 mit dem aufsteigenden Register in den Wiederauffüll-Datencenterdatenbänken wird bei Schritt 232 durchgeführt. Falls sie nicht gleich sind, dann wird bei Schritt 234 die Datei als veraltet betrachtet, was auf Verfälschen hinweist. Falls sie gleich sind, wird dann bei Schritt 236 die von der DLL-Speicherdatei 41 gelesene Stückzahl mit der auf dem Poststück verifizierten höchsten Stückzahl verglichen. Falls die wiedergeholte Stückzahl geringer ist als die verifizierte Stückzahl, dann wird die Datei bei Schritt 238 als veraltet betrachtet. Falls sie nicht geringer ist, wird die Datei dann als bei Schritt 238 zuverlässig betrachtet und die wiedergeholten Informationen werden anstatt der Wertvorrichtung 20 benutzt.
Daher speichert, zusätzlich zum Speichern von Zählertransaktionen in den Zähler-ähnlichen konventionellen Porto-Zählern, die vorliegende Erfindung auch Transaktions-Datensätze auf der PC-Festplatte auf eine sichere Art und Weise. Auf diese Art und Weise stellt die vorliegende Erfindung eine Einrichtung für Fehlerbehebung bereit, wenn eine Wert-Karte verloren, gestohlen oder über die Informationswiedererlangung hinaus beschädigt wird.
Während die vorliegende Erfindung mit Bezug auf eine einzelne Ausführungsform offenbart und beschrieben wurde, ist es ersichtlich, wie oben bemerkt, dass Variationen und Modifikationen daran durchgeführt werden können.

Claims

Ein Verfahren zum sicheren Sichern von Wert-Daten in einem Zählsystem, das einen Hostprozessor enthält, der betriebsgemäß an eine Wertvorrichtung gekoppelt ist, umfassend die Schritte: Speichern einer vorbestimmten Gruppe von Wert-Daten in der Wertvorrichtung, enthaltend mindestens einen Transaktions-Datensatz und ein digitales Token, erzeugt durch die Wertvorrichtung, zur Verwendung beim Erzeugen eines Freistempelbitmaps; kryptografisches Signieren der vorbestimmten Gruppe von Wert-Daten in der Wertvorrichtung; Senden der kryptografisch signierten Wert-Daten an den Hostprozessor; und Speichern der kryptografisch signierten Wert-Daten in einer Sicherungsdatendatei des Hostprozessors, von welchem der mindestens eine Transaktions-Datensatz wiedergewonnen werden kann.
Das Verfahren nach Anspruch 1, wobei die Schritte in Anspruch 1 immer dann ausgeführt werden, wenn eine Transaktion durch die Wertvorrichtung abgeschlossen ist.
Das Verfahren nach Anspruch 2, umfassend den weiteren Schritt: Indizieren jeder Speicherung der kryptografisch signierten Wert-Daten in der Datendatei, um ein Vergangenheitsprotokoll von Wert-Transaktionen zu generieren.
Das Verfahren nach Anspruch 1, wobei die vorbestimmte Gruppe von Wert-Daten absteigende Registerdaten enthält.
Das Verfahren nach Anspruch 1, wobei die vorbestimmte Gruppe von Wert-Daten aufsteigende Registerdaten enthält.
Das Verfahren nach Anspruch 1, wobei die vorbestimmte Gruppe von Wert-Daten Stückzahldaten enthält.
Das Verfahren nach Anspruch 1, wobei der Schritt des kryptografischen Signierens, Signieren mit einem Schlüssel umfasst, der in der Wertvorrichtung gespeichert ist.
Das Verfahren nach Anspruch 1, wobei der Schritt des Speicherns das Speichern auf einer Festplatte des Hostprozessors umfasst.
Das Verfahren nach Anspruch 1, ferner den Schritt umfassend: Indizieren jeder Speicherung der kryptografisch signierten Wert-Daten in der Datendatei, um ein Protokoll von mindestens der letzten Wert-Transaktion zu generieren.
Ein Transaktions-Nachweissystem, umfassend: einen Hostprozessor enthaltend eine Speichereinrichtung; eine Wert-Einrichtung, betriebsgemäß gekoppelt an den Hostprozessor, wobei die Wert-Einrichtung eine Erzeugungseinrichtung für ein digitales Token und Transaktions-Buchungseinrichtung enthält; einen Drucker, betriebsgemäß gekoppelt an den Hostprozessor; eine Einrichtung in dem Hostprozessor zum Ausgeben einer Anforderung für mindestens ein digitales Token, wobei die Anforderung für das digitale Token eine vorbestimmte Information enthält, die von der Erzeugungseinrichtung für das Token gefordert wird; eine Einrichtung in dem Hostprozessor zum sicheren Kommunizieren mit der Wert-Einrichtung, wobei die Kommuniziereinrichtung die Anforderung für das digitale Token an die Wert-Einrichtung sendet und wobei von der Wert-Einrichtung ein durch die Erzeugungseinrichtung für das Token erzeugtes digitales Token und ein digitalsignierter Transaktions-Datensatz, entsprechend dem digitalen Token, empfangen wird, wobei der Transaktions-Datensatz das digitale Token und die vorbestimmte Information enthält; eine Einrichtung in dem Hostprozessor zum Erfassen des digitalsignierten Transaktions-Datensatzes in der Speichereinrichtung; und eine Einrichtung, betriebsgemäß gekoppelt an den Hostprozessor, zum Erzeugen eines Freistempelbitmaps von dem digitalen Token zum Drucken durch den Drucker.
Das Transaktions-Nachweissystem nach Anspruch 10, wobei eine Vielzahl von aufeinanderfolgenden Transaktions-Datensätzen in der Speichereinrichtung, als Sicherheitskopie zu in der Wert-Einrichtung gespeicherten Informationen, gespeichert werden.
Das Transaktions-Nachweissystem nach Anspruch 10, wobei der Hostprozessor ein Personalcomputer (PC) ist, der einen konventionellen Prozessor, Speicher und Speichereinrichtung enthält, und der Drucker ein ungesicherter, nicht speziell angefertigter Drucker ist, der mit dem PC betriebsbereit gekoppelt ist.
Das Transaktions-Nachweissystem nach Anspruch 12, wobei die Speichereinrichtung eine Festplatte des PCs ist.
Das Transaktions-Nachweissystem nach Anspruch 10, wobei die Wert-Einrichtung eine tragbare Wert-Karte umfasst, die abnehmbar mit dem PC gekoppelt ist, wobei der PC eine Einrichtung zum abnehmbaren Koppeln der Wert-Karte an den PC enthält.
Das Verfahren nach Anspruch 1 zum Wiedererlangen der Wert-Daten, die weiteren Schritte umfassend: Zurückholen kryptografisch signierter Wert-Daten von einer Datendatei in dem Hostprozessor, wobei die Wert-Daten mindestens ein Transaktions-Datensatz enthalten und durch den Wert kryptografisch signiert wurden; Verifizieren der Signatur der kryptografisch signierten Wert-Daten; und Wiedergewinnen der Wert-Daten, die den mindestens einen Transaktions-Datensatz enthalten, von den kryptografisch signierten Wert-Daten, wenn die Signatur verifiziert wurde.