DE69713219T2

DE69713219T2 - Messeinrichtung, speziell für Kraftstoffpumpen

Info

Publication number: DE69713219T2
Application number: DE69713219T
Authority: DE
Inventors: Giovanni Carapelli
Original assignee: Gilbarco Srl
Current assignee: Gilbarco Italia SRL
Priority date: 1996-07-29
Filing date: 1997-07-28
Publication date: 2003-07-10
Anticipated expiration: 2017-07-29
Also published as: IT1286685B1; EP0822160A1; ZA9710335B; ES2177866T3; BR9705718A; CN1217464A; DE69713219D1; ITFI960182A1; EP0822160B1; US6119110A; PT822160E; ATE219029T1

Description

Gebiet der Erfindung

Die vorliegende Erfindung bezieht sich auf das Gebiet von Messeinrichtungen, die einer zu messenden physikalischen Größe (Masse, Fluss, elektrische Spannung) einen numerischen Wert zuordnen. Insbesondere bezieht sich die Erfindung auf Einrichtungen, die sowohl vorgesehen sind, um eine exakte Messung durchzuführen, als auch, um zu garantieren, dass der erhaltene numerische Wert tatsächlich der Größe entspricht, die gemessen wurde. Diese Garantie ist insbesondere dann von Bedeutung, wenn ein derartiger Wert finanzielle Bedeutung aufweist, beispielsweise wenn er bei Kraftstoffpumpen von Tankstellen verwendet wird.

Technischer Hintergrund

Gegenwärtig umfassen die an Tankstellen installierten Messeinrichtungen einen Umwandler, der den zugeführten Kraftstofffluss in Umdrehungen einer Welle umwandelt, die mit einer Codiereinrichtung (hiernach "Impulsgeber" genannt) verbunden ist. Der Impulsgeber wandelt die Anzahl von Umdrehungen in eine Anzahl von Pulsen um, die anschließend durch eine geeignete elektronische Einrichtung (hiernach "elektronischer Kopf' genannt) gezählt wird und dann an eine elektronische Anzeige übertragen wird, die den numerischen Wert anzeigt, welcher der Menge des zugeführten Kraftstoffs entspricht.
Aus steuerlichen Gründen sind derartige Messeinrichtungen Zertifizierungen und Zulassungen ausgesetzt und müssen derartige Messeinrichtungen versiegelt sein, so dass sie nicht manipuliert werden können, um jegliche betrügerische Veränderungen der Messung zu vermeiden.
In der Praxis weisen bekannte Messeinrichtungen mehrere Schwachpunkte aus der Sicht einer möglichen Manipulation der Messungen auf, die auf folgende Arten auftreten können:
- Veränderung der Impulsgeberscheibe: Erhöhen der Anzahl von Indexpunkten, die sich auf eine bestimmte Anzahl von Scheibenumdrehungen bezieht, dadurch Erhöhen der Anzahl von Pulsen und Verursachen, dass ein höherer numerischer Wert durch die Anzeige visualisiert wird;
- ein Impulsvervielfacher kann zwischen dem Impulsgeber und dem elektronischen Kopf in die Übertragungsleitung eingefügt werden;
- die Software des elektronischen Kopfes kann verändert werden;
- die Software der Anzeige oder die durch den elektronischen Kopf an diese übertragenen Daten können verändert werden;
- die elektronische Ausrüstung kann ersetzt werden.
Derartige Versuche des Manipulierens werden außerdem durch die technische Schwierigkeit, diese zu detektieren, weiter erleichtert. Diese Schwierigkeit ist für die Kontrollbeamten oft schwer zu überwinden.
Aus der FR2551741A ist eine Steuereinrichtung für eine Kraftstoffzapfsäule bekannt, die einen feuersicheren Kasten aufweist, der eine Codiereinrichtung beinhaltet, die mit einer Computereinheit und mit einem Infrarotempfänger versehen ist.
Der Empfänger ist mit einem Infrarotsender gekoppelt, der außerhalb der Kraftstoffzapfsäule liegt und in der Lage ist, Informationen betreffend das Funktionieren der Zapfsäule (beispielsweise den Einheitspreis, der für die ausgegebene Menge an Kraftstoff zu errechnen ist) zu übertragen.
Die Infrarotsignale werden zunächst durch den Empfänger empfangen und dann in elektrische Signale umgewandelt und der Computereinheit für eine weitere Verarbeitung und Berechnung zur Verfügung gestellt.
Die vorgeschlagene Erfindung gibt der Kraftstoffzapfsäule eine Sicherheitseigenschaft aufgrund des Fehlens von stromversorgten Komponenten der Zapfsäule außerhalb des feuersicheren Kastens, sie löst jedoch nicht das Problem, die Zapfsäule vor möglicher Manipulation der Messsignale zu schützen.
Aus der US4410949 ist eine Kraftstoffzapfsäulensteuerung bekannt, die eine Impulsgebereinheit umfasst, die eine Codierscheibe mit mehreren Kanälen aufweist und die mit einer Computereinheit verbunden ist.
Die Codierscheibe ist mit einer Ausgangswelle eines Pumpflussmessgeräts gekoppelt, so dass die Computereinheit in der Lage ist, die verschiedenen Zustände bei der jüngsten Detektion der Impulsgebereinrichtung mit den Ausgangszuständen des Impulsgebers von der vorangegangenen Detektion zu vergleichen. Auf derartige Weise kann die Computereinheit die Impulsgeberausgangssignale verarbeiten, um die Anzahl und Richtung der Scheibenumdrehungen und ein mögliches Versagen des Impulsgebers zu berechnen.
Aber sogar diese Erfindung löst nicht das Problem, die Zapfsäule vor einer möglichen Manipulation der Messsignale zu schützen.

Zusammenfassung der Erfindung

Ein erstes Ziel der Erfindung ist, die Nachteile des Standes der Technik zu überwinden und manipulationssichere Messungen zu garantieren, insofern es die wirtschaftlichen Interessen der Kunden und die Tätigkeit der Kontrollbeamten betrifft.
Ein zweites Ziel ist, die Messeinrichtungen der bestehenden Kraftstoffpumpen an Tankstellen manipulationssicher zu machen.
Ein drittes Ziel ist, die Tätigkeit der Kontrollbeamten zu erleichtern und effizienter zu machen.
Erfindungsgemäß wurden die Ziele durch eine Messeinrichtung erreicht, die einen Impulsgeber mit einer Mikroprozessoreinheit und einen elektronischen Kopf mit einer Mikroprozessoreinheit umfasst.
Um die übertragenen Daten zu überprüfen, sind der Impulsgeber und der elektronische Kopf verbunden und kommunizieren der Impulsgeber und der elektronische Kopf gegenseitig verschlüsselte Daten, korreliert mit den Impulsen, die von dem Impulsgeber an den elektronischen Kopf gesendet werden. Die verschlüsselten Daten werden durch eine Verschlüsselungssoftware mit dynamischem Schlüssel verarbeitet, die in die voranstehend genannten Mikroprozessoreinheiten geladen ist.
Ein weiteres Merkmal der Erfindung besteht in der Tatsache, dass alle elektronischen Schaltkreise mit Harz beschichtet sind, um eine Manipulation zu vermeiden.
Bei einer bevorzugten Ausführungsform der Erfindung stellt die Anzeige eine Mikroprozessoreinheit dar, die in der Lage ist, den gleichen Verschlüsselungsalgorithmus des elektronischen Kopfes zu verarbeiten und die gleiche Datenübertragung und die gleiche Kontrolle des Verschlüsselungsschlüssels zu leisten, wenn die Daten von dem elektronischen Kopf an die Anzeige gesendet werden.
Des Weiteren wird eine Fernsteuerung mittels eines lokalen Leitrechners oder mittels einer mit entlegenen Stellen verbundenen "Mastereinheit" durchgeführt.
Ein erster Vorteil besteht im Wesentlichen in der Tatsache, dass mögliche Manipulationen erschwert werden und gleichzeitig Kontrolloperationen erleichtert werden.
Ein zweiter Vorteil besteht in dem relativ einfachen Einbau der Einrichtung, die für einen Einbau sowohl in neuen als auch in bestehenden Kraftstoffpumpen geeignet ist.
Genauer gesagt erlaubt es die Mikroprozessoreinheit des Impulsgebers dem Verwender, die erforderlichen Kontrolloperationen mit Hilfe der gleichen Kabel durchzuführen, die bereits eingebaut sind, und die Anzahl von Verbindungen zu optimieren.
Ein dritter Vorteil besteht in der Möglichkeit, die Kontrolloperationen augenblicklich von entfernt gelegenen Einheiten und unabhängig von der Kompetenz der Kontrollbeamten durchzuführen.

Kurze Beschreibung der Zeichnungen

Noch weitere Vorteile werden aus der folgenden Beschreibung und den beigefügten, nicht beschränkenden Zeichnungen ersichtlich werden, in denen:
- Fig. 1 schematisch einen Impulsgeber, einen elektronischen Kopf und eine Anzeige einer erfindungsgemäßen Einrichtung zeigt, die mit den Übertragungskabeln versehen ist;
- Fig. 2 ein Flussdiagramm der logischen Sequenz zeigt, die verwendet wird, um die Anzahl der Impulse und die Verschlüsselungsdaten von und zu den Einrichtungsbauteilen zu übertragen und/oder zu empfangen.

Detaillierte Beschreibung der Erfindung

Mit Bezug auf Figur T, umfasst die erfindungsgemäße Messeinrichtung im Wesentlichen einen Impulsgeber A, einen elektronischen Zählerkopf C und eine Anzeige D, um die Messungen zu visualisieren.
Die vorliegende Beschreibung bezieht sich auf eine bevorzugte Ausführungsform der Messeinrichtung, die für eine Verwendung in den Kraftstoffpumpen an Tankstellen vorgesehen ist.
Bei solchen Tankstellen wird der Impulsgeber A stromabwärts von dem Umwandler platziert, der den Fluss des zugeführten Kraftstoffs in die entsprechende Anzahl von Umdrehungen einer Welle umwandelt, welche direkt mit der Impulsgeberscheibe gekoppelt ist. Die Anzahl der Wellenumdrehungen liefert Eingangsdaten I, die sich auf den Fluss des zugeführten Kraftstoffs beziehen. Der Impulsgeber A ist mit einer "OTP" ("einmal programmierbaren") nicht-wiederlesbaren Mikroprozessoreinheit versehen, die in der Lage ist, die Impulse zu zählen und dann an den elektronischen Kopf C zu senden. Die Impulse werden durch die Mikroprozessoreinheit auch gefiltert und normalisiert, um mögliche Fehler aufgrund von ungenauen Umdrehungen der Codierscheibe zu korrigieren. Der Kopf C beinhaltet ebenfalls eine Mikroprozessoreinheit (mit einem "OTP"-Mikroprozessor), in die eine Software geladen ist, um Daten an den und von dem Impulsgeber A sowie an die und von der Anzeige D zu übertragen/zu empfangen.
Während jeder Zuführung I sendet der Impulsgeber A die Pulse an den elektronischen Kopf C, zählt sie und sendet an den Kopf C schließlich den entsprechenden numerischen Wert, der mittels eines Algorithmus mit dynamischen öffentlichen Schlüsseln verschlüsselt ist, um die Zufuhrgröße zu verifizieren. Der serielle Synchronkanal, der bei der Übertragung verwendet wird, ist der gleiche wie der, der bei der Impulsübertragung von herkömmlichen Einrichtungen verwendet wird, und erfordert keine speziellen metrischen Typenzulassungen.
Der elektronische Kopf C teilt es dem Impulsgeber mit, wenn die Zählung der Impulse beendet wurde, und empfängt im Synchronmodus die verschlüsselten Daten von dem Impulsgeber.
Die verschlüsselten Daten werden durch den Kopf C verifiziert, der die Daten mit Hilfe des gleichen Algorithmus des Impulsgebers A entschlüsselt.
Fig. 2 zeigt eine geeignete logische Sequenz zur Daten- und Informationsübertragung zwischen dem Impulsgeber A und dem elektronischen Kopf C.
Wenn die Einrichtung eingeschaltet ist, "kennen" der Impulsgeber A, der elektronische Kopf C und die Anzeige D einen konstanten geheimen Schlüssel Ks, der bei der Herstellung eingeführt wurde, und der Impulsgeber A, der elektronische Kopf C und die Anzeige D sind mit dem gleichen Verschlüsselungsalgorithmus programmiert.
Während jeder Zuführung erzeugt der Kopf C einen dynamischen Schlüssel Kd mit Hilfe eines "Keims", beispielsweise eines Zuwachszählers, der als Eingabe eines Pseudozufallsalgorithmus wirkt. Der Verschlüsselungsalgorithmus ist ein nicht-reversibler Algorithmus ähnlich dem DVS (Datenverschlüsselungssystem, engl.: Data Encryption System DES), der den konstanten Schlüssel Ks mit dem dynamischen Schlüssel Kd kombiniert, um einen resultierenden Schlüssel Kr zu erzeugen. Der dynamische Schlüssel Kd wird dem Impulsgeber A und der Anzeige D zusammen mit weiteren möglichen Kontrolldaten von dem Kopf C mitgeteilt.
Während des Zählens werden die N Impulse auf einem Kanal von dem Impulsgeber an den Kopf C übertragen, der das Zählen durchführt und dann auf einem separaten Kanal ein Signal s an den Impulsgeber überträgt, wenn das Zählen beendet wurde. Danach kann ein Kontroll- und Gültigkeitsprüfschritt beginnen, wobei der Impulsgeber die Kr-verschlüsselten Zähldaten Xa an den Kopf C überträgt. Der Kopf C entschlüsselt die Daten und wiederholt dann die Verschlüsselung derselben (wobei ein Datensatz Xc erzeugt wird), um die verschlüsselten Daten Xa des Impulsgebers mit den verschlüsselten Daten Xc zu vergleichen. Die gleichen verschlüsselten Daten werden von dem Kopf C an die Anzeige D übertragen. Der Impulsgeber A, der Kopf C und die Anzeige D verwenden den gleichen Verschlüsselungsalgorithmus, um während der Arbeitsvorgänge einer jeden nachfolgenden Zuführung simultan zu arbeiten.
Bei der Erfindung ist der elektronische Schaltkreis des Impulsgebers mit Harz beschichtet, um eine Manipulation an den elektronischen Bauteilen und insbesondere an den Digital/Analog-Umwandlungsbauteilen zu vermeiden.
Die privaten Schlüssel und zumindest ein Teil des Verschlüsselungsalgorithmus des Kopfes sind in dem internen Speicherbereich EEPROM geladen, der nicht wieder auslesbar ist und als ein manipulationssicherer Bereich verwendet werden kann.
Im Ergebnis besteht die einzige Manipulationsmöglichkeit im Verändern der Anzahl der Indexpunkte der Impulsgeberscheibe.
Eine derartige Manipulation wäre jedoch offensichtlich, da sie einen konstanten Fehler produziert, der ähnlich einer unsachgemäßen Eichung der Einrichtung ist.
Von einem unterschiedlichen Standpunkt aus gesehen wäre das Hinzufügen von Indexpunkten nützlich, wenn es mit einem zweiten Lesesensor verbunden wäre, um eine zweite Zählung durchzuführen, um diese zu verarbeiten und mit der ersten zu vergleichen.
Als ein weiterer Vorteil der Erfindung erlaubt die Verwendung von kleinen Mikroprozessoreinheiten, dass letztere in das Innere der Behälter, die bereits zu diesem Zweck verwendet werden, und insbesondere der abbrennsicheren Behälter eingesetzt werden, wodurch zusätzliche Typenzulassungen der Bauteile vermieden werden.
Um den übertragenen Daten einen weiteren Schutz zu bieten, sendet der elektronische Kopf C an die Anzeige D sowohl einen numerischen nicht- verschlüsselten Wert, welcher der Zufuhr entspricht, und einen verschlüsselten Datensatz Xc. In der Mikroprozessoreinheit der Anzeige ist eine spezielle Verschlüsselungssoftware geladen, die zur Verarbeitung der verschlüsselten Daten (wobei ein numerischer Wert Nd herausgezogen wird) und der nicht verschlüsselten Daten in der Lage ist, die sich beide auf die durchgeführte Zählung beziehen.
Während der Herstellung der Einrichtung ist es außerdem möglich, einen Identitätscode für den eingebauten Chip und die Firmware einzubauen. Dieser Code kann dem privaten Schlüssel der Einrichtung zugeordnet sein, um als eine "Signatur" der Echtheitsbestätigung verwendet zu werden. Der Code erlaubt es dem Benutzer zu verifizieren, ob es sich bei der vorliegenden Elektronik die Originalelektronik handelt oder nicht, beispielsweise mit Hilfe eines tragbaren Lesers, der mit der Verschlüsselungssoftware des Systems programmiert ist.
Zu dem gleichen Zweck kann der Kontrollbeamte einen Hardware- Schlüssel verwenden, der mit der Messeinrichtung zu verbinden ist. Bei der Verwendung dieses Hardware-Schlüssels resultiert die Einführung eines vorbestimmten Eingangscodes in der Visualisierung eines vorbestimmten Werts durch die Anzeige D. Falls dies nicht eintritt, alarmiert es den Benutzer hinsichtlich der Tatsache, dass ein Systemfehler vorliegt oder dass das System manipuliert wurde.
Es ist außerdem möglich, den elektronischen Kopf mit einem lokalen Zentralcomputer von der Art zu verbinden, wie sie bereits an vielen Tankstellen existiert, um von einer entfernten Stelle aus das sachgemäße Funktionieren des Systems zu verifizieren und/oder Informationen oder Kontrolldaten zu senden, um beispielsweise das Ersetzen des elektronischen Kopfes zu ermöglichen.
Die vorliegende Erfindung wurde mit Bezug auf eine bevorzugte Ausführungsform beschrieben. Es können jedoch Veränderungen vorgenommen werden, ohne den Rahmen der Erfindung zu verlassen.

Claims

1. Messeinrichtung, insbesondere für Kraftstoffpumpen an Tankstellen, dadurch gekennzeichnet, dass sie einen mit einer Mikroprozessoreinheit ausgestatteten Impulsgeber (A) und einen mit einer Mikroprozessoreinheit ausgestatteten elektronischen Kopf (C) umfasst, wobei der Impulsgeber und der elektronische Kopf miteinander verbunden sind und einander Informationen und Daten übermitteln, die mit den (N) Impulsen einer jeden Zuführung (I) korrelieren; die Informationen und Daten mittels eines Algorithmus, der in den Mikroprozessoreinheiten geladen ist, verschlüsselt und zusammen mit den Impulsen vom Impulsgeber an den elektronischen Kopf gesendet werden, um die Überprüfung und Bestätigung der übertragenen Daten zu ermöglichen.

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die verschlüsselten Daten mittels einer in den Mikroprozessoreinheiten geladenen dynamischen Verschlüsselungs-Software mit öffentlichen und privaten Schlüsseln verarbeitet werden.

3. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die elektronischen Schaltkreise des Impulsgebers (A) mit Harz beschichtet sind, um eine Manipulation daran zu vermeiden.

4. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, dass der private Schlüssel und zumindest ein Teil des Verschlüsselungsalgorithmus des Kopfes (C) in dem internen, nicht wieder auslesbaren Speicherbereich EEPROM geladen sind.

5. Einrichtung nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass sie eine Anzeige (D) umfasst, die mit einer Mikroprozessoreinheit und mit einer Verschlüsselungs-Software ausgestattet ist, die in der Lage ist, die numerischen Zählwerte und die vom Kopf (C) empfangenen verschlüsselten Daten zu verarbeiten.

6. Einrichtung nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Mikroprozessoreinheiten auf nicht wieder auslesbaren "OTP"-Mikroprozessoren ("einmal programmierbaren" Mikroprozessoren) basieren.

7. Einrichtung nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass bei der Herstellung ein Identitätscode in den EEPROM-Speicherbereich der Mikroprozessoreinheit des Impulsgebers (A) und des Kopfes (C) eingesetzt wird.

8. Einrichtung nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass sie die gleichen Kabel verwendet, die bereits in bekannten Kraftstoffpumpen eingebaut sind.

9. Einrichtung nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass der Impulsgeber (A) in die bereits eingebauten Behälter der bekannten Kraftstoffpumpen einsetzbar ist.

10. Verfahren zum Steuern der Kraftstoffzufuhr-Messeinrichtungen nach einem oder mehreren der Ansprüche 5-9, dadurch gekennzeichnet, dass es die folgenden Schritte umfasst:

Mikroprozessoreinheit des elektronischen Kopfes (C):

- erzeugt einen neuen dynamischen Verschlüsselungsschlüssel (Kd), der jeder Zuführung entspricht;

- überträgt den Schlüssel (Kd) an die Mikroprozessoreinheiten eines Impulsgebers (A) und einer Anzeige (D);

- erzeugt einen resultierenden Schlüssel (Kr), der durch Kombinieren des Verschlüsselungsschlüssels (Kd) mit einem geheimen konstanten Schlüssel (Ks), der den Einheiten (A; C; D) bekannt ist, erhalten wird;

Einheit des Impulsgebers (A):

- zählt die Impulse, die durch den Impulsgeber ausgesandt werden, und produziert einen Datensatz (Xa), der mit dem resultierenden Schlüssel (Kr) verschlüsselt ist;

- überträgt die Impulse an die Einheit (C), um das Zählen durchzuführen;

Einheit des elektronischen Kopfes (C):

- überträgt ein Signal (S) eines Zählendes an die Einheit des Impulsgebers (A);

Einheit des Impulsgebers (A):

- überträgt die verschlüsselten Daten (Xa) an die Einheit des elektronischen Kopfes (C);

Einheit des elektronischen Kopfes (C):

- entschlüsselt die verschlüsselten Daten von der Einheit des Impulsgebers (A), zieht den numerischen Zählwert heraus, produziert einen verschlüsselten Datensatz (Xc) unter Verwendung desselben Verschlüsselungsalgorithmus wie die Einheit des Impulsgebers (A) und vergleicht ihn mit den von der Einheit des Impulsgebers (A) empfangenen verschlüsselten Daten, um mögliche Abweichungen aufgrund von Manipulationen aufzudecken;

- überträgt die verschlüsselten Daten und den numerischen Zählwert an die Einheit der Anzeige (D);

Mikroprozessoreinheit der Anzeige (D):

- zieht den numerischen Zählwert aus den verschlüsselten Daten heraus und vergleicht ihn mit den im nicht-verschlüsselten Modus empfangenen numerischen Zählwerten, um eine mögliche Manipulation zu überprüfen.

11. Codiereinrichtung mit einer Mikroprozessoreinheit zum Zählen der Impulse und zum Übertragen/Empfangen der gezählten Daten und möglicher weiterer Daten, die auf die Impulsübertragung bezogen sind, dadurch gekennzeichnet, dass die Mikroprozessoreinheit einen Verschlüsselungsalgorithmus umfasst, der zum Codieren der zu übertragenden/empfangenden Zähldaten entwickelt ist.