EP2077528A1 - Einlieferungsstation und Verfahren zur Frankierung von Postsendungen in Einlieferungsstation - Google Patents

Einlieferungsstation und Verfahren zur Frankierung von Postsendungen in Einlieferungsstation Download PDF

Info

Publication number
EP2077528A1
EP2077528A1 EP08000012A EP08000012A EP2077528A1 EP 2077528 A1 EP2077528 A1 EP 2077528A1 EP 08000012 A EP08000012 A EP 08000012A EP 08000012 A EP08000012 A EP 08000012A EP 2077528 A1 EP2077528 A1 EP 2077528A1
Authority
EP
European Patent Office
Prior art keywords
module
measured values
measuring module
scale
measuring device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
EP08000012A
Other languages
English (en)
French (fr)
Other versions
EP2077528B1 (de
EP2077528B8 (de
Inventor
Hans Schneider
Peters Rolf
Mike Bobinski
Guido Leidig
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Deutsche Post AG
Original Assignee
Deutsche Post AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Deutsche Post AG filed Critical Deutsche Post AG
Priority to PL08000012.8T priority Critical patent/PL2077528T3/pl
Priority to EP08000012.8A priority patent/EP2077528B8/de
Priority to ES08000012T priority patent/ES2571857T3/es
Priority to PCT/EP2008/010378 priority patent/WO2009083103A1/de
Publication of EP2077528A1 publication Critical patent/EP2077528A1/de
Publication of EP2077528B1 publication Critical patent/EP2077528B1/de
Application granted granted Critical
Publication of EP2077528B8 publication Critical patent/EP2077528B8/de
Not-in-force legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
    • G07B17/00193—Constructional details of apparatus in a franking system
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00016—Relations between apparatus, e.g. franking machine at customer or apparatus at post office, in a franking system
    • G07B17/00024—Physical or organizational aspects of franking systems
    • G07B2017/00048—Software architecture
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
    • G07B17/00193—Constructional details of apparatus in a franking system
    • G07B2017/00225—Vending machine or POS (Point Of Sale) apparatus
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
    • G07B17/00362—Calculation or computing within apparatus, e.g. calculation of postage value
    • G07B2017/0037—Calculation of postage value
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
    • G07B17/00362—Calculation or computing within apparatus, e.g. calculation of postage value
    • G07B2017/00395—Memory organization
    • G07B2017/00403—Memory zones protected from unauthorized reading or writing
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00459—Details relating to mailpieces in a franking system
    • G07B17/00661—Sensing or measuring mailpieces
    • G07B2017/00685—Measuring the dimensions of mailpieces
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00459—Details relating to mailpieces in a franking system
    • G07B17/00661—Sensing or measuring mailpieces
    • G07B2017/00701—Measuring the weight of mailpieces
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00733—Cryptography or similar special procedures in a franking system
    • G07B2017/00741—Cryptography or similar special procedures in a franking system using specific cryptographic algorithms or functions
    • G07B2017/00758—Asymmetric, public-key algorithms, e.g. RSA, Elgamal
    • G07B2017/00766—Digital signature, e.g. DSA, DSS, ECDSA, ESIGN

Definitions

  • the invention relates to a delivery station for franking mailpieces, which has at least one scale for determining the weight of a mailpiece and at least one dimension measuring device for determining the dimensions of a mailpiece. Furthermore, an arithmetic unit for determining the postage charge for a mail item and a franking unit for applying a postage indicium to the mail item are provided. The arithmetic unit has access to measurement tolerances of the scale and the dimension measuring device.
  • the invention further relates to a method for franking mailpieces in such a delivery station.
  • Customers can also submit a larger quantity of unfranked mail in a branch of a transport and delivery service.
  • the delivery company carries out a franking of the shipments, whereby franking machines can also be used.
  • the customers are for the delivery of Shipments bound to specified opening hours of branches of the delivery company.
  • the device automatically franking the mailpieces.
  • the device could be placed in public areas to provide customers with 24-hour service. In this case, such a device requires a method for the automatic determination of a postage amount or postage due required for a shipment.
  • Such a consignment station for letter mail is for example from the German patent application DE 10 2005 006 005 A1 known.
  • the document discloses a mailing station, in which a mail item is transferred from an acceptance means into a housing which is inaccessible to a customer.
  • measured values for weight, length, width and height of the mail item are determined by measuring devices.
  • the negative tolerances of the individual measuring devices are added to the measured values thus determined, and the amounts of the positive tolerances are subtracted in order to obtain adapted measured values.
  • These adjusted measured values are compared with value ranges of a reference list, whereby the reference list assigns different postage amounts to value ranges of the adjusted measured values and a result list with the postage amounts assigned to the determined adjusted measured values is generated.
  • the smallest postage amount of the result list is determined and determined as the required postage fee for the postal item in question. Then a franking mark is applied to the mailpiece, the franking mark containing the determined postage amount. This procedure ensures that a customer never has to pay too high a postage amount. This is an essential prerequisite for the admission of such a consignment post, if it is made public.
  • the authority usually checks the registration documents and a sample device according to the regulations of the respective calibration regulations. Essential aspects here are the measuring accuracy and measuring stability. In particular, the applicable requirements and error limits must be adhered to.
  • the admission test includes metrological, technical and administrative examinations.
  • the technical tests which also include software tests, will examine whether the operating, display and impression functions meet the requirements and that the device is adequately protected against operator error and manipulation. As delivery stations for franking mailpieces are usually computer-controlled, approval and calibration of software components is thus also required.
  • the applicant will receive from the competent authority a registration certificate and a registration mark which must be displayed on all measuring instruments in a visible place. If the device type has been approved, then each individual device must then be calibrated by the responsible calibration authority before it may be used, for example, in business transactions.
  • a consignment station is to be calibrated for the delivery and franking of postal consignments, it is possible to have all components of the system and the software in their entirety checked and calibrated.
  • this has the disadvantage that changes to the device and / or the software are associated with a re-examination by an approval authority. A change in the operating system underlying the software or other non-calibration-relevant parameters can therefore not be performed by an administrator in this case.
  • a consignment station may include hardware and software components that are not subject to custody, it is possible to separate custody and non-custody components. This allows the non-legal components to be freely modified without the need for re-approval or calibration of the entire assembly.
  • the German utility model DE 296 13 903 U1 discloses an arrangement for quality assurance of complex electronic measuring devices, which have both custody and non-custody components.
  • this object is achieved by a device having the features of independent claim 1.
  • Advantageous developments of the device will become apparent from the dependent claims 2-12.
  • the object is further achieved by a method according to claim 13.
  • Advantageous embodiments of the method will become apparent from the dependent claims 14-22.
  • the delivery station according to the invention for franking mailpieces has at least one scale for determining the weight of a mailpiece and at least one dimension measuring device for determining the dimensions of a mailpiece. Furthermore, an arithmetic unit for determining the postage fee for a mail item is provided, wherein the arithmetic unit has access to measurement tolerances of the scale and the dimension measuring instrument.
  • a franking unit serves to apply a postage indicium to the mailpiece.
  • the scale and the dimension measuring device are each physically sealed and are connected via physically sealed data cables in conjunction with a serial interface of the processing unit. These measuring devices or a respectively associated interface sign the generated measured values.
  • the measuring tolerances of the scale and the dimension measuring device and format categories for mailpieces are stored in a signed one-way memory, on the data of which a signed measuring module of the arithmetic unit has read-only access.
  • This measurement module furthermore has means for receiving measured values from the balance and the dimension measuring device via the serial interface.
  • a component of the measuring module in the form of a correction module comprises means for adding and subtracting the respective measuring tolerances of the scale and the dimension measuring device to the received measured values so as to produce corrected measured values.
  • the measurement module also has a format module comprising means for determining the format category of a mailpiece from the corrected dimension measurements and the format categories in the disposable memory.
  • the measuring module comprises means for determining the product category of a mail item from the corrected weight measurement value of the mail item and the format category of the mail item determined by the format module.
  • the measuring module has access to a file which contains an association between product categories of mailpieces and postage charges, so that a postage fee determined therefrom for a mail item can be supplied by the metering module to the franking unit. This file preferably has no signature.
  • the measuring module furthermore has means for signing data records, comprising at least measurement values of the scale and the dimension measuring device, the associated corrected measured values and the determined product category of a mailpiece, and a memory module for storing a signed data record in the
  • the delivery station has a display in connection with the measurement module, on which at least measurement values and / or corrected measurement values of the balance and the dimension measurement device are displayed, wherein a mask displayed on the display is generated and signed by the measurement module.
  • the measurement module and its components are signed with a signature based on asymmetric encryption.
  • This signature can be generated with a private key that was generated by and / or stored in a TPM chip (Trusted Platform Module) of the arithmetic unit, wherein the TPM chip is permanently installed in the arithmetic unit. Access to the private key in the TPM chip can be password protected.
  • TPM chip Trusted Platform Module
  • the scale, the dimension measuring device and / or an associated interface form a hash value over a measured value.
  • the measuring module forms a hash value over a data set, comprising at least the measured values of the balance and the dimension measuring device, the associated corrected measured values and the determined product category of a mailpiece.
  • the measuring module and its components are preferably software components in the form of Java archive files.
  • the measuring module and its software components can be stored on a write-protected storage medium whose mechanical write-protect switch has been physically sealed, the connection of the storage medium to the arithmetic unit also being physically sealed.
  • the measuring module can be stored, for example, on a USB memory stick or a hard disk with a mechanical write-protect switch.
  • the invention further comprises a method for franking mailpieces in such a delivery station.
  • the measuring module and its components are signed prior to carrying out the method steps, wherein the signing is effected by asymmetric encryption.
  • the storage of the measuring module and its software components on a write-protected storage medium is preferably carried out prior to performing the method.
  • the invention has the advantage that a verifiable consignment station for franking mailpieces is provided, which meets the requirements for approval. This ensures that software and hardware components that are subject to custody are protected against manipulation and that any potential manipulation can be clearly established.
  • the invention brings with it in particular the advantage that components that are not subject to custody are separated from the components subject to calibration such that they are not influenced by them. Among other things, this means that the non-legal components the consignment station according to the invention can be changed by the operator of the machine without a renewed approval or calibration is required.
  • the delivery station 10 is a self-service machine to which customers can deliver mailings such as mail or goods shipments.
  • these are registered customers who can identify themselves, for example via a customer card, so that the services provided by the consignment station can be billed to the customer in a simple manner.
  • the services of the machine is in particular the franking of mail with the required postage.
  • the machine automatically determines the format of a shipment, calculates the correct charge and prints it as Franking mark on the consignment.
  • the machine can also be made available to non-registered customers, if appropriate billing procedures are integrated.
  • postal delivery orders, registered mail, COD consignments or an address check can be carried out by the delivery station 10.
  • Several delivery stations are preferably connected to a backend system, which handles at least the operation of the machines and the billing of services at the customer.
  • the operation of the machines includes, for example, the maintenance, the setting of collection containers for receiving mail items and the demand-based collection of delivered items.
  • the backend systems may also take over customer identification and legitimization, determination of delivery limits, and tracking of delivered shipments.
  • the overall application may be a client-server application, but a delivery station is preferably configured as a rich client on which the application logic resides.
  • a consignment station 10 is expediently designed burglar-proof and weather-resistant.
  • a post office usually includes a housing inaccessible to a customer. As soon as the customer has introduced the mailpieces into the device and the measuring and franking process has been started, there is no possibility for him to access the mailpieces.
  • the device is accessible to service personnel who have access to the various technical components. For this purpose, one or more closable flaps may be provided, which release access to the technique of the device.
  • the device is also accessible to employees of the operator of the device, which remove delivered mail and forward them to the transport and delivery process.
  • the delivered mail items 20 are preferably collected in one or more containers 12, which are also accessible through a closable flap. It can be provided that the device performs a level control of the respective collection container. If the sump filled to a predetermined level, the operator of the device is notified that an emptying must be done. Furthermore, the acceptance of further transmissions on the device can be denied.
  • the device according to Fig. 1 has an acceptance means 11 for accepting mailpieces 20.
  • This is preferably a singler, which feeds a stack of mailpieces individually into the device.
  • the singler can be a device known from the prior art, which allows a single feed.
  • the customer places a stack of items, for example, in an acceptance opening 11 and closes a cover flap, behind which thereupon the collection of the shipments takes place.
  • Individual consignments can also be received via the collection in the device.
  • the device may further include, like conventional mailboxes, a slot for inserting individual mailings.
  • a mail item 20 passes through the device 10 by means of one or more means of transport.
  • the means of transport are, for example, conveyor belts and rollers which guide a shipment through various measuring devices and subsequently through a pressure arrangement.
  • the items are preferably transported lying horizontally. A combatkanter transport is also possible.
  • the various measuring devices determine at least the weight and dimensions of the shipment. The determination of the individual measured values can take place simultaneously or successively by different measuring devices.
  • the weight G of a mail item 20 can be measured by various methods of weight determination.
  • the weight is determined by a dynamic balance 30.
  • the scale can be calibrated, with the minimum and maximum Maximum tolerance values are determined.
  • the tolerance values of the balance are stored in a computing means 50 of the device.
  • the length L and height H of a broadcast can also be determined by various known means. The maximum and minimum tolerance values of this measurement can be obtained by the evaluation of measurement series.
  • the measurement of the width B of a transmission takes place, for example, via an image recognition or permanently installed width measuring sensors.
  • the width B is defined as the smallest distance between two opposite edges of a shipment to each other.
  • the tolerance values of the measuring device can be determined by measuring series.
  • the measuring devices for determining the length, width and height of a mail item 20 are referred to below in their entirety as a dimension measuring device 40.
  • a dimension measuring device can thus consist of one or more measuring devices.
  • the various measuring devices are connected to a computing unit 50, which is preferably also located within the device 10.
  • the computing unit 50 may be, for example, a PC having a processor, a memory, a plurality of hard disks and removable media.
  • the PC also has a network connection, for example in the form of Fast Ethernet.
  • the determined measured values are transferred to the arithmetic unit 50 for evaluation.
  • the arithmetic unit 50 generates measured values corrected from the measured values by processing the negative and positive tolerances of the individual measuring devices.
  • these tolerance values are offset with the measured values H for the height, L for the length, G for the weight and B for the width of the mail item.
  • the amount of the negative tolerance is added to the measured value measured in order to obtain adapted measured values H ', L', G 'and B'.
  • the amount of the positive tolerance is subtracted from the measured value measured to obtain adjusted measured values H ", L", G "and B".
  • the length measuring device has a tolerance of + 2 mm and -3 mm
  • the adjusted measured values of the other variables are calculated analogously in the computing means 50.
  • the arithmetic unit 50 compares the adapted measured values with the value ranges of a reference list. If a product or a product class is determined in whose value range all adjusted measured values lie, the assigned postage amount is included in a result list. If this result list contains several postage amounts, the smallest amount is determined and determined as the postage amount to be applied to the mail piece. If the result list contains only one entry, the relevant postage amount is determined as the postage amount to be applied. With the postage amount thus determined, a franking mark is generated in a franking unit 60 and printed on the mailpiece 20. As a franking unit, any known from the prior art franking units are used, for example, imprint a postage indicium in the form of a matrix code on a mailpiece.
  • the user is displayed via a display means of the device, a corresponding message and ejected the shipment from the device.
  • the determination of the postage amount is supplemented by information provided by a user about the type of mail item, so that it is a semi-automatic postage determination.
  • the type of shipment may include, for example, information about content, mission or additional services include. This information is not determined physically in one embodiment of the invention, but entered by the user through an operating unit 13 of the delivery station 10.
  • the operating unit may comprise, for example, a keyboard, a screen or a touchscreen and a card reader.
  • a user indicates whether the mailing destination of the mailpiece is national or international. This can also be done automatically by an evaluation of the shipment address. However, since a manual evaluation is required for illegible addresses, it can be provided that the transmission target is always entered by the user. In this case, it is advantageous that the user does not specify the distinction between national and international deliveries individually for each shipment but rather for a larger quantity of simultaneously delivered shipments.
  • the delivery station 10 may further comprise a bar code reader for detecting bar codes located on postal items.
  • the device preferably has one or more cameras to record images of the mailpieces. In this case, images of the address side of mailpieces are preferably recorded.
  • the image of a mailpiece can be used, for example, to display it to a customer on the screen of the operating unit 13. The customer can view the address data and thus order a registered letter.
  • the invention is not limited to the described embodiment of a consignment station, but is suitable for any devices for accepting and franking mailpieces, which must be approved and calibrated.
  • Fig. 2 shows a schematic representation of custody and non-custody components for operating the consignment station according to the invention.
  • Hardware components such as a scale 30 and the dimension measuring devices 40 are preferably connected via standardized interfaces to the arithmetic unit 50 of the delivery station 10, so that they can be exchanged. Since the process of automatic consignments within a consignment station 10 determines the format of the consignments and their weight by means of measuring equipment and the price of the consignment fee is automatically determined on the basis of the results of these measurements, the whole process is subject to approval and verification by the competent authority.
  • the calibration extends not only to the measured values themselves but also to the data processing that determines the transmission format from the measured values. The verification confirms the correctness of the measurement and the fee determination by a calibration official.
  • the primary purpose of the measurement of a consignment is to determine the consignment format and weight, as these form the basis for the product determination and thus the fee determination.
  • the program format is determined by means of a software of the arithmetic unit 50 from the entirety of the measurement results and their tolerance parameters. This part of the software is also subject to verification. This means that this software component of the arithmetic unit 50 is provided with a seal by a calibration official and that a manipulation of the software components must be perfectly verifiable.
  • the customer must be able to understand the charge determination so that the measurement results are displayed to him.
  • the display of the measurement results is also subject to the calibration process, as this should not be manipulated.
  • an output of individual measurements for example on a receipt or a screen, is not required by the approval authority, it is possible to store the basic data of the format determination in a measured value memory 55 for possible subsequent inspection.
  • This measured value memory like the measured values, must be protected against manipulation itself, so that it is preferably a disposable memory that can only be read by reading.
  • both the Software component which forms the interface to the measured value memory 55, as well as the disposable memory itself protected against manipulation.
  • the measured value memory 55 can be created, for example, in a database of the arithmetic unit 50 and access to the measured value memory is made only via a predetermined interface, which can be done on stored data only a read access.
  • the stored data can be stored as binary database files on a hard disk.
  • a manipulation of the database files can be excluded by security mechanisms of the database itself, if manipulated database files are identified as corrupt by the database and can no longer be activated.
  • a deletion of the database files can be timed within the database schema itself. So there is no deletion function from the outside.
  • the storage duration of data records can be stored for example by the calibration officer in the measured value memory itself and thus controlled at any time.
  • the overall system of measuring devices 30 and 40, measurement data transmission to the format-determining software of the arithmetic unit 50, the format determination of the arithmetic unit 50, the measured value memory 55 and an indication of the measurement results on a display 80 are usually signed and sealed on site by a calibration official.
  • a product and price list 93 which shows the postage to be paid for a determined product category, is not subject to custody. This can therefore be changed by the operator of the consignment station, without a renewed calibration must be performed. If this results in new format categories, however, these are to be stored in the measured value memory 55.
  • the software of the arithmetic unit 50 must be protected in particular against deliberate changes by means of common software tools.
  • the interfaces between software subject to legal custody and software that is not subject to custody transfer must be free of feedback, ie the interfaces prevent the entry of impermissible data, parameters and commands. Measuring devices may, for example are not unduly influenced if their non-reactive interfaces are exposed to external voltages. Furthermore, the interface outputs the main displays in legal-for-trade format to additional legal-for-trade instruments.
  • Measuring devices such as the scale 30 and the dimension measuring devices 40 are subject to the calibration process. In order to prevent subsequent manipulation of the device or to properly demonstrate manipulations, these calibrated measuring devices are usually sealed with a calibration seal. Also, the transport path of measurement data from the measuring devices to a measured value software of the computing unit 50 must be sealed. Such seals provide an example of a physical seal in the sense of this invention. The scale 30 and the dimension measuring instruments 40 are thus calibrated and then physically sealed.
  • the programs are transported, for example, in the automatic feeder occasionally through the measuring chain, and the individual measuring devices automatically take their measured value, sign it and send it via an interface 51 to a measuring module 52 of the arithmetic unit 50.
  • the interface 52 is preferably a serial interface, and each meter has a corresponding hardware driver 53 and 54.
  • the measuring devices are also connected to the arithmetic unit 50 via physically sealed data cables 80 and 71.
  • the measured values themselves can be determined by the measuring instruments independently by means of events (Events) are reported to the measuring module 52.
  • An event can either be the reporting of a new measurement result or the reporting of an error that has occurred.
  • the data can be exchanged over the interface in XML format. It should be noted that measurement data can be retrieved but not manipulated.
  • the measuring instruments sign their measurement data records.
  • One possible form of the signature is the formation of a hash value or scatter value over the supplied data record.
  • cryptographic hash functions such as MD5, SHA-1 or RIPEMD-160 can be used.
  • the use of a certificate or an encryption of the data can additionally be carried out.
  • the calibration official must usually be given the opportunity to check the integrity of the signature of each individual measured value in the measured value memory. Depending on the signature used, he must be given access to a public key.
  • RSA may be used in various signatures within the scope of the invention.
  • Asymmetrical methods are also referred to as public-key methods. In these methods, the user has two keys, a public key and a secret key. Both keys fulfill certain tasks.
  • the public key is made public. Any other user can use this key to send to the owner a message that has been generated by clear text encryption.
  • the secret key is kept secret by the owner. It is used to decrypt encrypted messages sent to it.
  • signing a message or a binary file means that, according to a known method, a message or binary checksum is computed and then encrypted with the private key of an asymmetric key pair. If it is now to be determined whether the present message or binary file is unchanged at the time of signing, this can with the public key of the asymmetric key pair. To do this, the checksum algorithm is used, the encrypted checksum is decrypted with the public key, and the values are compared.
  • a public key with the identity of a third person can be created. Certificates can be used.
  • a certificate is a kind of proof of authenticity for a public key, where a certificate consists of the public key of the holder of the certificate, an identity characteristic of the holder of the certificate, the name of the issuer of the certificate and a digital key of the issuer of the certificate.
  • the signing of a measured value can take place in the physical measuring device itself, if, for example, a key is stored in the EPROM of the measuring device.
  • the signing can also take place in the interface of the respective measuring device. In this case, the interface is subject to calibration and the software must also be signed.
  • the structure of the measuring module 52 and its interaction with other components is Fig. 4 refer to.
  • the software components for measuring data acquisition and evaluation are available, for example, as Java archive files (jar files).
  • the jar files can be provided with a signature, whereby the signature is stored in the jar file itself. This signature is generated using a private key and can be verified using a public key.
  • the required key pair consisting of private and public key, can be generated and stored for example by a TPM chip of the arithmetic unit 50.
  • the TPM Trusted Platform Module
  • the TPM is a chip that is permanently installed in the arithmetic unit 50. He is comparable to a smartcard soldered to the motherboard. The chip is passive and can not be directly influenced.
  • a TPM chip is thus able to safely store or execute secret data, certificates, keys and cryptographic operations in a protected hardware environment.
  • the TPM chip contains a hardware number generator and can encrypt, decrypt and sign data.
  • the TPM chip can generate 2048-bit RSA keys directly on the chip.
  • the nonvolatile TPM memory has multiple keys, and the volatile area accommodates multiple temporary RSA keys, 16 or 24 Platform Configuration Registers that capture hashes of hardware and software configurations, and two types of handles. Since each TPM chip is unique and can not be exchanged, the software signed with it is bound to the respective consignment station.
  • step 1 As soon as all measured values for a consignment 20 are present, as shown in FIG Fig. 3 labeled as step 1), these are forwarded to a correction component 90 within the measurement module 52.
  • the correction module 90 for tolerance correction of the measured values is subject to the calibration process.
  • the valid tolerance values lie within the saved measured value memory 55 and are retrieved from the correction module 90 therefrom.
  • the calibration official previously signed these tolerance values during calibration with his private key.
  • the tolerance values including the signature are stored in the measured value memory 55.
  • the calibration official can use his public key to verify the tolerance values.
  • correction module 90 has generated corrected measured values in this manner, only these corrected measured values may be used for the further process steps. Both the original measurement data and the corrected measured values are forwarded to the measured value memory 55 in the data packet for later storage.
  • the complete measurement data set is signed by the measurement module 52 so that stored values can no longer be manipulated at the system level. This can also be done via a hash value over the complete record.
  • the measuring module 52 further comprises a module 91 for format determination, wherein this format module 91 is also subject to the calibration process.
  • the format module accesses format categories that are also stored in the measured value memory 55. Although the valid format categories are part of the non-legal file 93 with the price and product list (PPL), they are also stored in the saved measured value memory 55.
  • the format categories are for example signed in the backend and delivered to the machine 10. There, the format categories after successful verification of the signature by the front-end software in the measured value memory 55 of the arithmetic unit 50 are imported.
  • the format categories are retrieved from the memory module 55 from the format module 91, and the format determination module compares the corrected measurement values of the program with these stored format category limits.
  • the format module 91 determines from this the format category of the program to be used, as described in step 3) in Fig. 3 is marked.
  • the corresponding product from the valid price and product list 93 is selected with the additional information provided by the customer (eg ordered quality of service, additional services, etc.) as described in Fig. 3 labeled with step 4).
  • This price and product determination is not subject to the calibration process, since, apart from the format category, no measured values are used, but information or wishes of the customer.
  • the determined product and its price are preferably recorded to the measured values of the transmission in the measured value memory 55. For this reason, the product identification with the measured values is forwarded to a calibration-relevant memory module 92 of the measuring module 52.
  • This memory module 92 is used to store the complete measurement data record. This module 92 is also subject to the calibration process. After completion of the data set by the information from the product and price determination of the complete data set is signed to exclude subsequent changes, and then stored in the measured value memory 55. This process is in Fig. 3 as step 5).
  • the measuring device itself which has generated a measured value, is preferably identifiable by a unique identification number. For example, a SHA1 checksum per measured value and ID number can be formed for each dimension for a measurement. After the correction of the measured values by the tolerances, a SHA1 hash value is formed via the aggregated data record, which also contains the determined format category and the product ID. This hash value and the SHA1 hash value for all software modules relevant to eich are linked to one another, for example, via an XOR connection. Both the hash value over the record and the hash value formed via the XOR connection can be verified.
  • the postage fee determined by the measuring module 52 as a result of said steps is sent as a print job to a franking module 60, around the mail item 20 to frank accordingly with a postage indicium. This is as step 6) in Fig. 3 shown.
  • the franked mail item is for example introduced into a collecting container 12.
  • the printed postage amount will be charged to the customer and a receipt will be issued. Since customers usually deliver several postal items, the sum of the franking services is indicated on the receipt, which is preferably printed at the end of the process.
  • the measurement module 52 determines that a shipment 20 is not a valid product or the shipment can not be further processed, the shipment will be ejected and the recorded measurements may be discarded. In this case, the measured values do not have to be stored in the measured value memory 55 since no service is charged to the customer.
  • the system preferably offers the customer the option of retrospectively reading the measured values of his shipments.
  • a menu item is offered to the customer, for example, on a control unit 13 on a screen, which allows him within a fixed period of time (eg 90 days) the stored measurements after specifying the date, the billing number on the receipt of the customer or the shipment number to view a single shipment.
  • This display of the measured values on a display 80 is likewise subject to the calibration process, since manipulation of the data between measured value memory and display 80 must be precluded.
  • the mask to be displayed is therefore also created and signed by the measuring module 52.
  • a root-CA authenticated by the machine can be created, which also uses the storage root key of the Trusted Platform Module (TPM chip).
  • the TPM chip contains a unique identifier such as an endorsement key in the form of a 2048-bit RSA key pair that the manufacturer writes to the chip.
  • the TPM chip can thus serve to identify the processing unit and the software thereon.
  • the arithmetic unit 50 with the associated software is thus protected from it, to another To be transferred to the consignment station.
  • the software is thus tied to a specific consignment station and hardware.
  • USB memory stick attached to the PC, which is physically set to a read-only mode read-only switch upon completion of signing by the metering officer and is sealed by the calibration official with seals.
  • a hard disk with a mechanical write-protection switch can also be used for this purpose.
  • a calibration officer will primarily use the console of the computer on which the calibration-relevant software modules are installed for his main task. Using the console, he is able to verify the signature of all calibration-relevant software modules or to sign them themselves. For the verification of the tolerance values, the calibration official is expediently provided with a screen mask. On the one hand, the verification of the determined measured values can be carried out using the identical masks of the measured value display as for the customer. However, as the calibration officer also needs access to the original measured values of the measuring instruments, an equivalent mask, for example, such as the measured value display of the customer, but with the original measured values, will be made available. The calibration officer is then able to verify the signature of the individual measured values and the signature of the entire measured value data set in both masks. The verification can be carried out automatically in the calibration-relevant and thus signed measured value software.
  • OSGi is an abbreviation for the Open Services Gateway Initiative.
  • the Open Services Gateway initiative is a Java-based management standard have been set by hardware-independent service components. Services can be implemented in the Java programming language, but can also consist of native code.

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Devices For Checking Fares Or Tickets At Control Points (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Vehicle Interior And Exterior Ornaments, Soundproofing, And Insulation (AREA)

Abstract

Die Erfindung betrifft eine eichfähige Vorrichtung und ein Verfahren zum Frankieren von Postsendungen in einer Einlieferungsstation (10), wobei Messwerte für das Gewicht und die Dimensionen der Postsendung (20) durch eine Waage (30) und ein Dimensionsmessgerät (40) oder eine jeweils zugehörige Schnittstelle signiert werden. Aus einem ebenfalls signierten Einwegspeicher (55), auf dessen Daten ein Messmodul (52) ausschließlich lesenden Zugriff hat, werden Toleranzwerte der Messgeräte abgerufen und für die Erzeugung von korrigierten Messwerten genutzt. Ferner wird ein Datensatz, bestehend wenigstens aus Messwerten der Waage (30) und des Dimensionsmessgerätes (40), den zugehörigen korrigierten Messwerten und der ermittelten Produktkategorie einer Postsendung (20) von dem Messmodul (52) signiert und von einem Speichermodul (92) im signierten Einwegspeicher (55) gespeichert.

Description

  • Die Erfindung betrifft eine Einlieferungsstation zum Frankieren von Postsendungen, die wenigstens eine Waage zur Bestimmung des Gewichts einer Postsendung und wenigstens ein Dimensionsmessgerät zur Bestimmung der Abmessungen einer Postsendung aufweist. Ferner ist eine Recheneinheit zur Bestimmung des Portoentgelts für eine Postsendung und eine Frankiereinheit zur Aufbringung eines Frankiervermerks auf die Postsendung vorgesehen. Die Recheneinheit hat dabei Zugriff auf Messtoleranzen der Waage und des Dimensionsmessgerätes.
  • Die Erfindung betrifft ferner ein Verfahren zum Frankieren von Postsendungen in einer solchen Einlieferungsstation.
  • Neben der Aufbringung von Postwertzeichen wie Briefmarken ist es auf dem Gebiet der Freimachung von Postsendungen bekannt, Frankiermaschinen einzusetzen, welche von einem Nutzer dazu verwendet werden können, größere Mengen von Postsendungen mit einem Freimachungsvermerk zu versehen. Die Anschaffung einer Frankiermaschine wird jedoch insbesondere von Kunden mit geringem oder unregelmäßigem Aufkommen an zu frankierenden Postsendungen oftmals vermieden.
  • Kunden können ferner eine größere Menge von unfrankierten Postsendungen in einer Filiale eines Transport- und Zustelldienstes abgeben. Das Zustellunternehmen führt eine Frankierung der Sendungen durch, wobei ebenfalls Frankiermaschinen zum Einsatz kommen können. Dabei sind die Kunden jedoch für die Einlieferung von Sendungen an festgelegte Öffnungszeiten von Filialen des Zustellunternehmens gebunden.
  • Im postalischen Bereich besteht daher der Bedarf nach einer Einlieferungsstation für Postsendungen, in welche Kunden größere Mengen unfrankierter Postsendungen einliefern können, wobei die Vorrichtung die Sendungen automatisch frankiert. Die Vorrichtung könnte in öffentlichen Bereichen aufgestellt werden, um Kunden einen 24-Stundenbetrieb zu gewährleisten. Dabei setzt eine derartige Vorrichtung ein Verfahren zur automatischen Ermittlung eines für eine Sendung erforderlichen Portobetrages bzw. Portoentgelts voraus.
  • Eine solche Einlieferungsstation für Briefsendungen ist beispielsweise aus der deutschen Offenlegungsschrift DE 10 2005 006 005 A1 bekannt. Die Druckschrift offenbart eine Einlieferungsstation für Postsendungen, bei der eine Postsendung von einem Annahmemittel in ein für einen Kunden unzugängliches Gehäuse überführt wird. Innerhalb des Gehäuses werden durch Messeinrichtungen Messwerte für Gewicht, Länge, Breite und Höhe der Postsendung ermittelt. Zu den so ermittelten Messwerten werden die Negativtoleranzen der einzelnen Messeinrichtungen addiert und die Beträge der Positivtoleranzen subtrahiert, um angepasste Messwerte zu erhalten. Diese angepassten Messwerte werden mit Wertebereichen einer Referenzliste verglichen, wobei die Referenzliste Wertebereichen der angepassten Messwerte verschiedene Portobeträge zuordnet und eine Ergebnisliste mit den Portobeträgen erzeugt wird, die den ermittelten angepassten Messwerten zugeordnet sind. Der kleinste Portobetrag der Ergebnisliste wird ermittelt und als erforderliches Portoentgelt für die betreffende Postsendung festgelegt. Daraufhin wird ein Freimachungsvermerk auf die Postsendung aufgebracht, wobei der Freimachungsvermerk den ermittelten Portobetrag enthält. Durch diese Vorgehensweise wird sichergestellt, dass ein Kunde nie einen zu hohen Portobetrag entrichten muss. Dies ist eine wesentliche Voraussetzung für die Zulassung einer solchen Einlieferungsstation, wenn diese öffentlich aufgestellt wird.
  • Für Messgeräte wie beispielsweise Waagen, Tankzapfsäulen und auch Einlieferungsstationen zum Frankieren von Postsendungen besteht die Notwendigkeit, diese gemäß nationaler Eichgesetze eichen zu lassen, um eichpflichtige Messungen damit durchführen zu können. Die Eichung setzt in den meisten Fällen eine Bauartzulassung voraus, das heißt, ein typisches Exemplar des betreffenden Messgerätes muss von der zuständigen Behörde zugelassen werden. In der Bundesrepublik Deutschland ist die dafür zuständige Behörde beispielsweise die Physikalisch Technische Bundesanstalt (PTB).
  • Die Behörde prüft üblicherweise die Zulassungsunterlagen und ein Mustergerät nach den Vorschriften der jeweiligen Eichordnung. Wesentliche Aspekte sind hierbei die Messrichtigkeit und Messbeständigkeit. Es müssen insbesondere die geltenden Anforderungen und Fehlergrenzen eingehalten werden. Die Zulassungsprüfung beinhaltet messtechnische, technische und administrative Prüfungen. Bei den technischen Prüfungen, zu denen auch Softwareprüfungen gehören, wird untersucht, ob die Bedien-, Anzeige- und Abdruckfunktionen den Anforderungen genügen und das Gerät ausreichend gegen Bedienungsfehler und Manipulationen geschützt ist. Da Einlieferungsstationen zum Frankieren von Postsendungen üblicherweise computergesteuert sind, ist somit auch eine Zulassung und Eichung von Softwarekomponenten erforderlich.
  • War die Zulassungsprüfung erfolgreich, erhält der Antragsteller von der zuständigen Behörde einen Zulassungsschein und ein Zulassungszeichen, das auf allen Messgeräten an sichtbarer Stelle aufgebracht werden muss. Hat die Geräte-Bauart eine Zulassung erhalten, so muss anschließend jedes einzelne Gerät von der zuständigen Eichbehörde geeicht werden, bevor es beispielsweise im geschäftlichen Verkehr eingesetzt werden darf.
  • Insbesondere im Bereich der Prüfung und Eichung von Software liegen ferner Empfehlungen der WELMEC (Western European Legal Metrology Cooperation) vor, bei der es sich um eine europäische Zusammenarbeit im gesetzlichen Messwesen handelt. Als gesetzliches Messwesen wird die Gesamtheit der technischen und administrativen Verfahren bezeichnet, die von den öffentlichen Behörden rechtlich verbindlich festgelegt wurden, um die Qualität der im Rahmen gewerblicher Geschäfte und amtlicher Kontrollen bzw. in den Bereichen Gesundheitsfürsorge, Sicherheit usw. vorgenommenen Messungen zu garantieren. Dabei werden Empfehlungen für die Ausführung von eichpflichtiger Software und die Verarbeitung eichpflichtiger Messwerte und Parameter angegeben.
  • Soll eine Einlieferungsstation zur Einlieferung und Frankierung von Postsendungen geeicht werden, besteht die Möglichkeit, alle Komponenten der Anlage und die Software in ihrer Gesamtheit prüfen und eichen zu lassen. Dies hat jedoch den Nachteil, dass Änderungen an der Vorrichtung und/oder der Software mit einer erneuten Prüfung durch eine Zulassungsbehörde verbunden sind. Eine Veränderung des der Software zugrunde liegenden Betriebsystems oder sonstiger nicht eichrelevanter Parameter kann daher in diesem Fall nicht von einem Administrator durchgeführt werden. Da eine Einlieferungsstation Komponenten im Hardware- und Softwarebereich umfassen kann, die nicht eichpflichtig sind, besteht jedoch die Möglichkeit, eichpflichtige von nicht-eichpflichtigen Komponenten zu trennen. Dadurch können die nicht-eichpflichtigen Komponenten frei verändert werden, ohne dass eine erneute Zulassung oder Eichung der gesamten Anordnung erforderlich ist. Das deutsche Gebrauchsmuster DE 296 13 903 U1 offenbart dazu beispielsweise eine Anordnung zur Qualitätssicherung komplexer elektronischer Messeinrichtungen, die sowohl eichpflichtige als auch nicht-eichpflichtige Komponenten aufweisen.
  • Ferner sind aus der deutschen Offenlegungsschrift DE 195 27 293 A1 ein Verfahren und eine Vorrichtung zur sicheren Messung und Verarbeitung von Messdaten im Bereich der Abgasuntersuchung bekannt. Damit ein Computer, der an ein Messmodul angeschlossen ist, nicht zusammen mit dem Messmodul geeicht werden muss, was zu einer Einschränkung des zunächst offenen PC-Systems führen würde, schlägt die Druckschrift vor, dass Messwerte über eine geeignete Schnittstelle zu einem PC übertragen werden. Der PC muss dabei nicht geeicht werden, sondern kann auch für andere Anwendungen zur freien Verfügung stehen.
  • Bekannte Vorgehensweisen eignen sich jedoch nicht dazu, eine eichfähige Einlieferungsstation zum Frankieren von Postsendungen so auszubilden, dass eichpflichtige Komponenten von einer Zulassungsbehörde geprüft und geeicht werden können, während nicht-eichpflichtige Komponenten frei vom Betreiber der Einlieferungsstation verändert werden können. Es sind bisher keine Einlieferungsstationen für Postsendungen bekannt, welche die Kriterien der zuständigen Zulassungsbehörden erfüllen. Aufgabe der Erfindung ist es daher, eine Einlieferungsstation für Postsendungen bereitzustellen, welche diese Anforderungen erfüllt.
  • Erfindungsgemäß wird diese Aufgabe durch eine Vorrichtung mit den Merkmalen des unabhängigen Anspruches 1 gelöst. Vorteilhafte Weiterbildungen der Vorrichtung ergeben sich aus den Unteransprüchen 2-12. Die Aufgabe wird ferner durch ein Verfahren nach Anspruch 13 gelöst. Vorteilhafte Ausführungsformen des Verfahrens ergeben sich aus den Unteransprüchen 14-22.
  • Die erfindungsgemäße Einlieferungsstation zum Frankieren von Postsendungen weist wenigstens eine Waage zur Bestimmung des Gewichts einer Postsendung und wenigstens ein Dimensionsmessgerät zur Bestimmung der Abmessungen einer Postsendung auf. Ferner ist eine Recheneinheit zur Bestimmung des Portoentgelts für eine Postsendung vorgesehen, wobei die Recheneinheit Zugriff auf Messtoleranzen der Waage und des Dimensionsmessgerätes hat. Eine Frankiereinheit dient zur Aufbringung eines Frankiervermerks auf die Postsendung. Die Waage und das Dimensionsmessgerät sind jeweils physikalisch versiegelt und stehen über ebenfalls physikalisch versiegelte Datenkabel in Verbindung mit einer seriellen Schnittstelle der Recheneinheit. Diese Messgeräte oder eine jeweils zugehörige Schnittstelle signieren die erzeugten Messwerte. Die Messtoleranzen der Waage und des Dimensionsmessgerätes und Formatkategorien für Postsendungen sind in einem signierten Einwegspeicher hinterlegt, auf dessen Daten ein signiertes Messmodul der Recheneinheit ausschließlich lesenden Zugriff hat. Dieses Messmodul weist ferner Mittel zum Empfangen von Messwerten von der Waage und dem Dimensionsmessgerät über die serielle Schnittstelle auf.
  • Eine Komponente des Messmoduls in Form eines Korrekturmoduls umfasst Mittel zum Addieren und Subtrahieren der jeweiligen Messtoleranzen der Waage und des Dimensionsmessgerätes zu den empfangenen Messwerten, um so korrigierte Messwerte zu erzeugen. Das Messmodul weist ferner ein Formatmodul auf, das Mittel zur Bestimmung der Formatkategorie einer Postsendung aus den korrigierten Dimensionsmesswerten und den Formatkategorien im Einwegspeicher umfasst. Darüber hinaus umfasst das Messmodul Mittel zur Bestimmung der Produktkategorie einer Postsendung aus dem korrigierten Gewichtsmesswert der Postsendung und der vom Formatmodul ermittelten Formatkategorie der Postsendung. Das Messmodul hat Zugriff auf eine Datei, die eine Zuordnung zwischen Produktkategorien von Postsendungen und Portoentgelten enthält, so dass ein daraus ermitteltes Portoentgelt für eine Postsendung von dem Messmodul der Frankiereinheit zugeführt werden kann. Diese Datei weist vorzugsweise keine Signatur auf. Das Messmodul weist ferner Mittel zum Signieren von Datensätzen, bestehend wenigstens aus Messwerten der Waage und des Dimensionsmessegerätes, den zugehörigen korrigierten Messwerten und der ermittelten Produktkategorie einer Postsendung und ein Speichermodul zur Speicherung eines signierten Datensatzes im signierten Einwegspeicher auf.
  • In einem Ausführungsbeispiel der Erfindung weist die Einlieferungsstation eine Anzeige in Verbindung mit dem Messmodul auf, auf der wenigstens Messwerte und/oder korrigierte Messwerte der Waage und des Dimensionsmessgerätes angezeigt werden, wobei eine auf der Anzeige angezeigte Maske von dem Messmodul erzeugt und signiert wird.
  • Vorzugsweise sind das Messmodul und seine Komponenten mit einer Signatur signiert, die auf einer asymmetrischen Verschlüsselung beruht. Diese Signatur kann mit einem privaten Schlüssel erzeugt werden, der von einem TPM-Chip (Trusted Platform Module) der Recheneinheit erzeugt wurde und/oder in diesem gespeichert ist, wobei der TPM-Chip fest in die Recheneinheit eingebaut ist. Der Zugriff auf den privaten Schlüssel im TPM-Chip kann durch ein Passwort geschützt werden.
  • In einem Ausführungsbeispiel der Erfindung bilden die Waage, das Dimensionsmessgerät und/oder eine zugehörige Schnittstelle einen Hash-Wert über einen Messwert. Ferner bildet das Messmodul einen Hash-Wert über einen Datensatz, bestehend aus wenigstens den Messwerten der Waage und des Dimensionsmessegerätes, den zugehörigen korrigierten Messwerten und der ermittelten Produktkategorie einer Postsendung.
  • Bei dem Messmodul und seinen Komponenten handelt es sich vorzugsweise um Softwarekomponenten in Form von Java Archiv-Files. Dabei können das Messmodul und seine Softwarekomponenten auf einem schreibgeschützten Speichermedium gespeichert sein, dessen mechanischer Schreibschutzschalter physikalisch versiegelt wurde, wobei die Verbindung des Speichermediums mit der Recheneinheit ebenfalls physikalisch versiegelt wurde. Das Messmodul kann beispielsweise auf einem USB-Speicherstift oder einer Festplatte mit einem mechanischen Schreibschutzschalter gespeichert sein.
  • Die Erfindung umfasst ferner ein Verfahren zum Frankieren von Postsendungen in einer solchen Einlieferungsstation. Vorzugsweise werden das Messmodul und seine Komponenten vor Durchführung der Verfahrensschritte signiert, wobei die Signierung durch eine asymmetrische Verschlüsselung erfolgt. Auch die Speicherung des Messmoduls und seiner Softwarekomponenten auf einem schreibgeschützten Speichermedium erfolgt vorzugsweise vor Durchführung des Verfahrens.
  • Die Erfindung hat den Vorteil, dass eine eichfähige Einlieferungsstation zum Frankieren von Postsendungen bereitgestellt wird, welche die Anforderungen an eine Zulassung erfüllt. Dabei ist sichergestellt, dass eichpflichtige Software- und Hardwarekomponenten gegen Manipulationen geschützt sind bzw. mögliche Manipulationen eindeutig festgestellt werden können. Die Erfindung bringt insbesondere den Vorteil mit sich, dass nicht-eichpflichtige Komponenten so von den eichpflichtigen Komponenten getrennt sind, dass sie durch diese nicht beeinflusst werden. Dies bedeutet unter anderem, dass die nicht eichpflichtigen Komponenten der erfindungsgemäßen Einlieferungsstation vom Betreiber des Automaten verändert werden können, ohne dass eine erneute Zulassung oder Eichung erforderlich ist.
  • Weitere Vorteile, Besonderheiten und zweckmäßige Weiterbildungen der Erfindung ergeben sich aus den Unteransprüchen und der nachfolgenden Darstellung bevorzugter Ausführungsbeispiele anhand der Abbildungen.
  • Von den Abbildungen zeigt:
    • Fig. 1
    ein Ausführungsbeispiel der erfindungsgemäßen Einlieferungsstation;
    Fig. 2
    eine schematische Darstellung eichpflichtiger und nicht-eichpflichtiger Komponenten zum Betrieb der erfindungsgemäßen Einlieferungsstation;
    Fig. 3
    eine schematische Darstellung der Verfahrensschritte bei der Portoermittlung für eine Postsendung mit dem erfindungsgemäßen Verfahren; und
    Fig. 4
    eine schematische Darstellung der Komponenten einer Recheneinheit der erfindungsgemäßen Einlieferungsstation.
  • In Fig. 1 ist ein mögliches Ausführungsbeispiel der erfindungsgemäßen Einlieferungsstation dargestellt. Bei der Einlieferungsstation 10 handelt es sich um einen Selbstbedienungsautomaten, an dem Kunden Postsendungen wie Brief- oder Warensendungen anliefern können. Vorzugsweise handelt es sich dabei um registrierte Kunden, die sich beispielsweise über eine Kundenkarte identifizieren können, so dass die durch die Einlieferungsstation erbrachten Leistungen auf einfache Weise beim Kunden abgerechnet werden können. Zu den Leistungen des Automaten zählt insbesondere die Frankierung von Postsendungen mit dem erforderlichen Portoentgelt. Der Automat ermittelt dabei vollautomatisch das Format einer Sendung, berechnet das korrekte Entgelt und druckt dieses als Frankiervermerk auf die Sendung auf. Der Automat kann auch nicht-registrierten Kunden zur Verfügung gestellt werden, wenn geeignete Abrechnungsverfahren integriert werden. Neben Brief- und Warensendungen können beispielsweise auch Postzustellungsaufträge, Einschreiben, Nachnahmesendungen oder eine Anschriftenprüfung von der Einlieferungsstation 10 durchgeführt werden.
  • Mehrere Einlieferungsstationen sind vorzugsweise mit einem Backendsystem verbunden, welches wenigstens den Betrieb der Automaten und die Abrechnung von Dienstleistungen bei den Kunden abwickelt. Zum Betrieb der Automaten gehört beispielsweise die Wartung, die Einstellung von Sammelbehältern für die Aufnahme von Postsendungen und die bedarfsgerechte Abholung eingelieferter Sendungen. Die Backendsysteme können ferner die Identifikation und Legimitation von Kunden, die Bestimmung von Einlieferungslimits und eine Nachverfolgung eingelieferter Sendungen übernehmen. Bei der Gesamtanwendung kann es sich um eine Client-Server-Anwendung handeln, wobei eine Einlieferungsstation jedoch vorzugsweise als Rich-Client ausgebildet ist, auf dem sich die Anwendungslogik befindet.
  • Um im Außenbereich eingesetzt werden zu können, ist eine Einlieferungsstation 10 zweckmäßigerweise einbruchsicher und wetterbeständig ausgeführt. Eine Einlieferungsstation umfasst üblicherweise ein für einen Kunden unzugängliches Gehäuse. Sobald der Kunde die Postsendungen in die Vorrichtung eingebracht hat und der Mess- und Frankierprozess gestartet wurde, besteht für ihn keine Möglichkeit mehr, auf die Postsendungen zuzugreifen. Die Vorrichtung ist jedoch für Servicepersonal zugänglich, welches Zugriff auf die verschiedenen technischen Komponenten hat. Zu diesem Zweck können eine oder mehrere verschließbare Klappen vorgesehen sein, welche den Zugriff auf die Technik der Vorrichtung freigeben. Die Vorrichtung ist ferner für Angestellte des Betreibers der Vorrichtung zugänglich, welche eingelieferte Postsendungen entnehmen und diese dem Transport und Zustellprozess zuführen.
  • Für die Abholung und den anschließenden Transport werden die eingelieferten Postsendungen 20 vorzugsweise in einem oder mehreren Behältern 12 gesammelt, welche ebenfalls durch eine verschließbare Klappe zugänglich sind. Es kann vorgesehen sein, dass die Vorrichtung eine Füllstandskontrolle der betreffenden Sammelbehälter durchführt. Sind die Sammelbehälter bis zu einem vorgebbaren Maß befüllt, wird der Betreiber der Vorrichtung benachrichtigt, dass eine Entleerung erfolgen muss. Ferner kann die Annahme weiterer Sendungen an der Vorrichtung verweigert werden.
  • Die Vorrichtung gemäß Fig. 1 weist ein Annahmemittel 11 zur Annahme von Postsendungen 20 auf. Dabei handelt es sich vorzugsweise um einen Vereinzeler, welcher einen Stapel von Postsendungen einzeln in die Vorrichtung einzieht. Bei dem Vereinzeler kann es sich um eine aus dem Stand der Technik bekannte Vorrichtung handeln, welche einen Einzeleinzug ermöglicht. Der Kunde legt einen Stapel mit Sendungen beispielsweise in eine Annahmeöffnung 11 ein und schließt eine Abdeckungsklappe, hinter welcher daraufhin der Einzug der Sendungen erfolgt. Einzelsendungen können ebenfalls über den Einzug in die Vorrichtung aufgenommen werden. Die Vorrichtung kann ferner wie herkömmliche Briefkästen einen Schlitz zum Einwerfen von Einzelsendungen aufweisen.
  • Nach der Vereinzelung der Sendungen durchläuft eine Postsendung 20 die Vorrichtung 10 mittels eines oder mehrerer Transportmittel. Bei den Transportmitteln handelt es sich beispielsweise um Transportbänder und Rollen, welche eine Sendung durch verschiedene Messvorrichtungen und anschließend durch eine Druckanordnung leiten. Die Sendungen werden dabei vorzugsweise waagerecht liegend transportiert. Ein hochkanter Transport ist ebenfalls möglich. Die verschiedenen Messvorrichtungen ermitteln wenigstens das Gewicht und die Abmessungen der Sendung. Die Ermittlung der einzelnen Messwerte kann dabei nacheinander oder durch verschiedene Messeinrichtungen gleichzeitig erfolgen.
  • Das Gewicht G einer Sendung 20 kann durch verschiedene Verfahren zur Gewichtsermittlung gemessen werden. In einem besonders bevorzugten Ausführungsbeispiel der Erfindung wird das Gewicht durch eine dynamische Waage 30 ermittelt. Die Waage kann kalibriert werden, wobei ferner die Minimal- und Maximaltoleranzwerte ermittelt werden. Die Toleranzwerte der Waage werden in einem Rechenmittel 50 der Vorrichtung hinterlegt. Die Länge L und Höhe H einer Sendung können ebenfalls mit verschiedenen bekannten Mitteln bestimmt werden. Die maximalen und minimalen Toleranzwerte dieser Messung können durch die Auswertung von Messreihen erhalten werden.
  • Die Messung der Breite B einer Sendung erfolgt beispielsweise über eine Bilderkennung oder über fest installierte Breitenmesssensoren. Dabei ist die Breite B als der kleinste Abstand zweier gegenüberliegender Kanten einer Sendung zueinander definiert. Die Toleranzwerte der Messeinrichtung können über Messreihen ermittelt werden.
  • Die Messeinrichtungen zur Bestimmung von Länge, Breite und Höhe einer Postsendung 20 werden im Folgenden in ihrer Gesamtheit als Dimensionsmessgerät 40 bezeichnet. Ein solches Dimensionsmessgerät kann somit aus einem oder mehreren Messgeräten bestehen. Die verschiedenen Messeinrichtungen sind mit einer Recheneinheit 50 verbunden, die sich vorzugsweise ebenfalls innerhalb der Vorrichtung 10 befindet. Bei der Recheneinheit 50 kann es sich beispielsweise um einen PC mit einem Prozessor, einem Speicher, mehreren Festplatten und Wechselmedien handeln. Der PC verfügt ferner über einen Netzwerkanschluss beispielsweise in Form von Fast Ethernet.
  • Durchläuft eine Postsendung 20 die verschiedenen Messeinrichtungen, werden die ermittelten Messwerte zur Auswertung an die Recheneinheit 50 übergeben. Dabei erzeugt die Recheneinheit 50 aus den Messwerten korrigierte Messwerte, indem die Negativ- und Positivtoleranzen der einzelnen Messeinrichtungen verarbeitet werden. In einem ersten Schritt werden diese Toleranzwerte mit den ermittelten Messwerten H für die Höhe, L für die Länge, G für das Gewicht und B für die Breite der Postsendung verrechnet. Dabei wird jeweils der Betrag der Negativtoleranz zum gemessenen Messwert addiert, um angepasste Messwerte H', L', G' und B' zu erhalten. Ferner wird der Betrag der Positivtoleranz vom gemessenen Messwert subtrahiert, um angepasste Messwerte H", L", G" und B" zu erhalten.
  • Weist die Vorrichtung zur Längenmessung beispielsweise eine Toleranz von +2mm und -3mm auf, wird zu einer gemessenen Länge L = 236mm die Negativtoleranz von 3mm addiert, wodurch sich ein angepasster Messwert von L' = 239mm ergibt. Ferner wird von dem gemessenen Längenwert die Positivtoleranz von 2mm subtrahiert, so dass sich ein angepasster Messwert von L" = 234mm ergibt. Die angepassten Messwerte der übrigen Größen werden im Rechenmittel 50 analog berechnet.
  • Anhand der ermittelten angepassten Messwerte H', H", L', L", G', G", B' und B" wird von der Recheneinheit 50 ein Vergleich der angepassten Messwerte mit den Wertebereichen einer Referenzliste durchgeführt. Wird ein Produkt bzw. eine Produktklasse ermittelt, in deren Wertebereich alle angepassten Messwerte liegen, wird der zugeordnete Portobetrag in eine Ergebnisliste aufgenommen. Enthält diese Ergebnisliste mehrere Portobeträge, wird der kleinste Betrag ermittelt und als auf die Postsendung aufzubringender Portobetrag bestimmt. Enthält die Ergebnisliste nur einen Eintrag, wird der betreffende Portobetrag als aufzubringender Portobetrag ermittelt. Mit dem so ermittelten Portobetrag wird in einer Frankiereinheit 60 ein Freimachungsvermerk erzeugt und auf die Postsendung 20 aufgedruckt. Als Frankiereinheit können jegliche aus dem Stand der Technik bekannte Frankiereinheiten zum Einsatz kommen, die beispielsweise einen Frankiervermerk in Form eines Matrixcodes auf eine Postsendung aufdrucken.
  • Ist die Ergebnisliste leer, konnte anhand der Messungen keine Produktklasse bestimmt werden und die Sendung kann durch die Vorrichtung nicht angenommen werden. In diesem Fall wird dem Nutzer über ein Anzeigemittel der Vorrichtung eine entsprechende Meldung angezeigt und die Sendung aus der Vorrichtung ausgeworfen.
  • In einem weiteren Ausführungsbeispiel der Erfindung wird die Ermittlung des Portobetrages durch Angaben eines Nutzers zu der Art der Postsendung ergänzt, so dass es sich um eine halbautomatische Portoermittlung handelt. Die Art der Sendung kann beispielsweise Informationen zu Inhalt, Sendungsziel oder Zusatzleistungen umfassen. Diese Informationen werden in einem Ausführungsbeispiel der Erfindung nicht physikalisch ermittelt, sondern vom Nutzer durch eine Bedieneinheit 13 der Einlieferungsstation 10 eingegeben. Die Bedieneinheit kann beispielsweise eine Tastatur, einen Bildschirm oder einen Touchscreen und ein Kartenlesegerät umfassen.
  • Beispielsweise wird von einem Nutzer angegeben, ob das Sendungsziel der Postsendung national oder international ist. Dies kann auch automatisch durch eine Auswertung der Sendungsadresse erfolgen. Da jedoch bei unleserlichen Anschriften eine manuelle Auswertung erforderlich ist, kann vorgesehen sein, dass das Sendungsziel grundsätzlich vom Nutzer eingegeben wird. Dabei ist es vorteilhaft, dass der Nutzer die Unterscheidung zwischen nationalen und internationalen Zustellungen nicht für jede Sendung einzeln, sondern für eine größere Menge zugleich eingelieferter Sendungen angibt.
  • Die Einlieferungsstation 10 kann ferner einen Barcodeleser zum Erfassen von auf Postsendungen befindlichen Barcodes umfassen. Darüber hinaus weist die Vorrichtung vorzugsweise ein oder mehrere Kameras auf, um Bilder der Postsendungen aufzunehmen. Dabei werden vorzugsweise Bilder der Adressseite von Postsendungen aufgenommen. Das Bild einer Postsendung kann beispielsweise dazu verwendet werden, um es einem Kunden auf dem Bildschirm der Bedieneinheit 13 anzuzeigen. Der Kunde kann die Adressdaten einsehen und damit ein Einschreiben beauftragen.
  • Die Erfindung ist jedoch nicht auf die beschriebene Ausführungsform einer Einlieferungsstation beschränkt, sondern eignet sich für jegliche Vorrichtungen zur Annahme und Frankierung von Postsendungen, welche zugelassen und geeicht werden müssen.
  • Fig. 2 zeigt eine schematische Darstellung eichpflichtiger und nicht-eichpflichtiger Komponenten zum Betrieb der erfindungsgemäßen Einlieferungsstation. Hardwarekomponenten wie eine Waage 30 und die Dimensionsmessgeräte 40 werden dabei vorzugsweise über standardisierte Schnittstellen an die Recheneinheit 50 der Einlieferungsstation 10 angeschlossen, so dass sie ausgetauscht werden können. Da beim Prozess der automatischen Sendungsannahme innerhalb einer Einlieferungsstation 10 das Format der Sendungen und ihr Gewicht mittels Messeinrichtungen ermittelt wird und aufgrund der Ergebnisse dieser Messungen automatisch der Preis für das Sendungsentgelt bestimmt wird, unterliegt der gesamte Prozess der Zulassung und Eichung durch die zuständige Behörde. Die Eichung erstreckt sich dabei nicht nur auf die Messwerte selbst, sondern auch auf die Datenverarbeitung, die das Sendungsformat aus den Messwerten ermittelt. Durch die Eichung wird die Korrektheit der Messung und der Entgeltbestimmung durch einen Eichbeamten bestätigt.
  • Der primäre Zweck der Vermessung einer Sendung liegt in der Bestimmung des Sendungsformats und -gewichts, da diese die Basis für die Produktbestimmung und damit die Entgeltbestimmung bilden. Das Sendungsformat wird mittels einer Software der Recheneinheit 50 aus der Gesamtheit der Messergebnisse und deren Toleranzparametern ermittelt. Dieser Teil der Software unterliegt ebenfalls der Eichung. Dies bedeutet, dass diese Softwarekomponente der Recheneinheit 50 von einem Eichbeamten mit einem Siegel versehen werden und eine Manipulation der Softwarekomponenten einwandfrei nachweisbar sein muss.
  • Ferner muss der Kunde die Entgeltbestimmung nachvollziehen können, so dass ihm die Messergebnisse angezeigt werden. Die Anzeige der Messergebnisse unterliegt ebenfalls dem Eichprozess, da diese nicht manipulierbar sein soll. Falls eine Ausgabe von Einzelmessungen beispielsweise auf einer Quittung oder einem Bildschirm von der Zulassungsbehörde nicht gefordert wird, besteht die Möglichkeit, die grundlegenden Daten der Formatbestimmung in einem Messwertspeicher 55 für eine mögliche nachträgliche Einsichtnahme aufzubewahren. Dieser Messwertspeicher muss wie die Messwerte selbst gegen Manipulation geschützt werden, so dass es sich vorzugsweise um einen Einwegspeicher handelt, auf den nur lesend zugegriffen werden kann. Vorzugsweise wird sowohl die Softwarekomponente, welche die Schnittstelle zu dem Messwertspeicher 55 bildet, als auch der Einwegspeicher selbst gegen Manipulationen geschützt.
  • Der Messwertspeicher 55 kann beispielsweise in einer Datenbank der Recheneinheit 50 angelegt sein und der Zugriff auf den Messwertspeicher erfolgt nur über eine vorgegebene Schnittstelle, wobei auf hinterlegte Daten ausschließlich ein lesender Zugriff erfolgen kann. Die gespeicherten Daten können als binäre Datenbankfiles auf einer Festplatte liegen. Eine Manipulation der Datenbankfiles kann durch Sicherheitsmechanismen der Datenbank selbst ausgeschlossen werden, wenn manipulierte Datenbankfiles von der Datenbank als korrupt identifiziert werden und nicht mehr aktiviert werden können. Ein Löschen der Datenbankfiles kann zeitgesteuert innerhalb des Datenbankschemas selbst erfolgen. So besteht keine Löschfunktion von außen. Die Aufbewahrungsdauer von Datensätzen kann beispielsweise durch den Eichbeamten in dem Messwertspeicher selbst gespeichert und so jederzeit kontrolliert werden.
  • Das Gesamtsystem aus Messgeräten 30 und 40, Messdatenübertragung an die formatbestimmende Software der Recheneinheit 50, die Formatbestimmung der Recheneinheit 50, der Messwertspeicher 55 und eine Anzeige der Messergebnisse auf einer Anzeige 80 werden üblicherweise vor Ort durch einen Eichbeamten signiert und verplombt. Eine Produkt- und Preisliste 93, der für eine ermittelte Produktkategorie das zu entrichtende Porto zu entnehmen ist, ist dagegen nicht eichpflichtig. Diese kann daher vom Betreiber der Einlieferungsstation geändert werden, ohne dass eine erneute Eichung durchgeführt werden muss. Ergeben sich dadurch neue Formatkategorien sind diese jedoch im Messwertspeicher 55 zu hinterlegen.
  • Die Software der Recheneinheit 50 muss dabei insbesondere gegen absichtliche Änderungen mittels gängiger Software-Werkzeuge geschützt sein. Die Schnittstellen zwischen eichpflichtiger Software und nicht-eichpflichtiger Software müssen rückwirkungsfrei sein, das heißt die Schnittstellen verhindern die Eingabe von unzulässigen Daten, Parametern und Befehlen. Messgeräte dürfen beispielsweise nicht unzulässig beeinflusst werden, wenn ihre rückwirkungsfreien Schnittstellen mit Fremdspannungen beaufschlagt werden. Ferner gibt die Schnittstelle die Hauptanzeigen in eichfähiger Form an eichpflichtige Zusatzeinrichtungen aus.
  • Ferner muss eine Softwareidentifikation vorhanden sein, welche die eichpflichtigen Programmteile und Parameter umfasst und bei der Eichung überprüft werden kann. Der Eichbeamte überprüft vor Ort an einer Einlieferungsstation eine von der Zulassungsbehörde angebrachte Signatur der eichrelevanten Software-Module und versiegelt die Gesamtheit durch Signierung mit einem eigenen Schlüssel. Die eigentliche Eichung findet mit Eichmaßen statt, wobei die Korrektheit der von den Messgeräten gemessenen Daten und der um die Toleranzwerte korrigierten Messdaten stattfindet.
  • Die Komponenten der Recheneinheit 50 und ihre Funktionen werden anhand der Darstellung in Fig. 2 erläutert. Messgeräte wie die Waage 30 und die Dimensionsmessgeräte 40 unterliegen dem Eichprozess. Um nachträgliche Manipulationen der Einrichtung zu verhindern bzw. Manipulationen einwandfrei nachzuweisen, werden diese geeichten Messeinrichtungen üblicherweise mit einem Eichsiegel verplombt. Auch die Transportstrecke von Messdaten von den Messgeräten zu einer Messwert-Software der Recheneinheit 50 muss verplombt werden. Solche Verplombungen stellen ein Beispiel für eine physikalische Versiegelung im Sinne dieser Erfindung dar. Die Waage 30 und die Dimensionsmessgeräte 40 werden somit geeicht und danach physikalisch versiegelt.
  • Die Sendungen werden beispielsweise im automatischen Einzug vereinzelt durch die Messkette transportiert, und die einzelnen Messgeräte nehmen automatisch ihren Messwert auf, signieren diesen und senden ihn über eine Schnittstelle 51 an ein Messmodul 52 der Recheneinheit 50. Bei der Schnittstelle 52 handelt es sich vorzugsweise um eine serielle Schnittstelle, und zu jedem Messgerät liegt ein entsprechender Hardwaretreiber 53 und 54 vor. Die Messgeräte sind über ebenfalls physikalisch versiegelte Datenkabel 80 und 71 mit der Recheneinheit 50 verbunden. Die Messwerte selbst können von den Messgeräten eigenständig mittels Ereignissen (Events) an das Messmodul 52 gemeldet werden. Bei einem Ereignis kann es sich entweder um die Meldung eines neuen Messergebnisses oder die Meldung eines aufgetretenen Fehlers handeln. Die Daten können beispielsweise im XML-Format über die Schnittstelle ausgetauscht werden. Dabei ist zu berücksichtigen, dass Messdaten abgerufen, jedoch nicht manipuliert werden können.
  • Um eine nachträgliche Manipulation auszuschließen, signieren die Messgeräte ihre Messdatensätze. Eine mögliche Form der Signatur ist die Bildung eines Hash-Wertes bzw. Streuwertes über den gelieferten Datensatz. Dabei können beispielsweise kryptographische Hash-Funktionen wie MD5, SHA-1 oder RIPEMD-160 verwendet werden. Die Verwendung eines Zertifikats oder eine Verschlüsselung der Daten kann zusätzlich durchgeführt werden. Dem Eichbeamten muss üblicherweise die Möglichkeit gegeben werden, die Unversehrtheit der Signatur jedes einzelnen Messwertes im Messwertspeicher zu prüfen. Je nach verwendeter Signatur muss ihm dazu Zugang zu einem öffentlichen Schlüssel gegeben werden.
  • Als ein asymmetrisches kryptographisches Verfahren mit öffentlichen und privaten Schlüsseln kann bei verschiedenen Signaturen im Bereich der Erfindung beispielsweise RSA verwendet werden. Asymmetrische Verfahren werden auch als Public-Key-Verfahren bezeichnet. Bei diesen Verfahren besitzt der Anwender zwei Schlüssel, einen öffentlichen und einen geheimen Schlüssel. Beide Schlüssel erfüllen bestimmte Aufgaben. Der öffentliche Schlüssel wird öffentlich gemacht. Jeder andere Anwender kann diesen Schlüssel benutzen, um an den Eigentümer eine Nachricht zu versenden, die durch Verschlüsselung eines Klartextes entstanden ist. Der geheime Schlüssel wird vom Besitzer geheim gehalten. Er dient dazu, an ihn gesendete, verschlüsselte Nachrichten zu entschlüsseln.
  • Technisch bedeutet das Signieren einer Nachricht oder einer Binärdatei, dass nach einem bekannten Verfahren eine Prüfsumme für die Nachricht oder die Binärdatei berechnet wird und diese dann mit dem privaten Schlüssel eines asymmetrischen Schlüsselpaares verschlüsselt wird. Soll nun festgestellt werden, ob die vorliegende Nachricht oder Binärdatei unverändert zu dem Zeitpunkt der Signierung ist, kann dies mit dem öffentlichen Schlüssel des asymmetrischen Schlüsselpaares festgestellt werden. Dazu werden der Prüfsummenalgorithmus angewendet, die verschlüsselte Prüfsumme mit dem öffentlichen Schlüssel entschlüsselt und die Werte verglichen.
  • Um bei einem Public-Key-Kryptosystem die Identität des Inhabers eines öffentlichen Schlüssels sicherzustellen, kann ein öffentlicher Schlüssel mit der Identität einer dritten Person angelegt werden. Dabei können Zertifikate verwendet werden. Ein Zertifikat ist eine Art Echtheitsbeweis für einen öffentlichen Schlüssel, wobei ein Zertifikat aus dem öffentlichen Schlüssel des Inhabers des Zertifikates, einem Identitätsmerkmal des Inhabers der Zertifikates, dem Namen des Ausstellers des Zertifikates und einem digitalen Schlüssel des Ausstellers des Zertifikates besteht.
  • Die Signierung eines Messwertes kann im physischen Messgerät selbst erfolgen, wenn beispielsweise ein Schlüssel im EPROM des Messgerätes hinterlegt ist. Die Signierung kann ferner in der Schnittstelle des jeweiligen Messgerätes erfolgen. In diesem Fall unterliegt die Schnittstelle der Eichung und die Software muss ebenfalls signiert werden.
  • Der Aufbau des Messmoduls 52 und seine Interaktion mit anderen Komponenten ist Fig. 4 zu entnehmen. Die Softwarekomponenten der Messdatenerfassung und - auswertung liegen beispielsweise als Java Archiv-Files (Jar-Files) vor. Die Jar-Files können mit einer Signatur versehen werden, wobei die Signatur im Jar-File selbst gespeichert wird. Diese Signatur wird mit Hilfe eines privaten Schlüssels erzeugt und kann mit Hilfe eines öffentlichen Schlüssels verifiziert werden.
  • Das dazu benötigte Schlüsselpaar, bestehend aus privatem und öffentlichem Schlüssel, kann beispielsweise von einem TPM-Chip der Recheneinheit 50 erzeugt und gespeichert werden. Bei dem TPM (Trusted Platform Module) handelt es sich um einen Chip, der fest in die Recheneinheit 50 eingebaut ist. Er ist mit einer auf das Motherboard verlöteten Smartcard zu vergleichen. Der Chip ist passiv und kann nicht direkt beeinflusst werden.
  • Ein TPM-Chip ist somit in der Lage, geheime Daten, Zertifikate, Schlüssel sowie kryptographische Operationen sicher in einer geschützten Hardware-Umgebung zu speichern bzw. auszuführen. Der TPM-Chip enthält einen Hardware-Zahlengenerator und kann Daten verschlüsseln, entschlüsseln und signieren. Der TPM-Chip kann beispielsweise 2048 Bit lange RSA-Schlüssel direkt auf dem Chip erzeugen. Im nicht-flüchtigen TPM-Speicher liegen dabei mehrere Schlüssel und der flüchtige Bereich bietet Platz für mehrere temporäre RSA-Schlüssel, 16 bzw. 24 PCRs (Platform Configuration Register), die Hashwerte von Hard- und Softwarekonfigurationen aufnehmen, und zwei Arten von Handles. Da jeder TPM-Chip ein Unikat ist, der nicht ausgetauscht werden kann, wird die damit signierte Software an die jeweilige Einlieferungsstation gebunden.
  • Jede Manipulation eines signierten Jar-Files führt zu einer nicht-validen Signatur, was jederzeit durch eine Überprüfung festgestellt werden kann. Ohne den privaten Schlüssel ist eine erneute Signatur nicht möglich. Dabei liegt der private Schlüssel nur innerhalb des TPM-Chips und wird nie nach außen sichtbar. Es stehen lediglich Funktionen zur Nutzung des privaten Schlüssels zur Verfügung. Der Zugriff auf den privaten Schlüssel im TPM-Chip kann durch den Eichbeamten mit einem Passwort geschützt werden.
  • Sobald alle Messwerte zu einer Sendung 20 vorliegen, wie dies in Fig. 3 als Schritt 1) gekennzeichnet ist, werden diese zu einer Korrekturkomponente 90 innerhalb des Messmoduls 52 weitergeleitet. Das Korrekturmodul 90 zur Toleranzkorrektur der Messwerte unterliegt dem Eichprozess. Die gültigen Toleranzwerte liegen innerhalb des gesicherten Messwertspeichers 55 und werden von dem Korrekturmodul 90 aus diesem abgerufen. Der Eichbeamte hat diese Toleranzwerte zuvor bei der Eichung mit seinem privaten Schlüssel signiert. Die Toleranzwerte werden inklusive der Signatur im Messwertspeicher 55 abgelegt. Über seinen öffentlichen Schlüssel kann der Eichbeamte die Toleranzwerte verifizieren.
  • Die aufgenommenen Messwerte werden von dem Korrekturmodul 90 um die abgerufenen Toleranzwerte aus dem Einwegspeicher 55 korrigiert, wie es in Fig. 3 mit dem Schritt 2) gekennzeichnet ist. Wie oben beschrieben, lautet der Algorithmus zur Toleranzkorrektur vorzugsweise wie folgt:
    1. 1. Addiere für jeden Messwert die messungsspezifische Positiv-Toleranz für den Vergleich mit dem minimalen Grenzwert der Formatkategorie.
    2. 2. Subtrahiere von jedem Messwert die messungsspezifische Negativ-Toleranz für den Vergleich mit dem maximalen Grenzwert der Formatkategorie.
    3. 3. Errechne den Quotienten aus Messwert Länge plus Positiv-Toleranz der Längenmessung und Messwert Breite minus Negativ-Toleranz der Breitenmessung für den Vergleich mit dem minimalen Seitenverhältnis (Ratio) der Formatkategorie.
  • Hat das Korrekturmodul 90 auf diese Weise korrigierte Messwerte erzeugt, dürfen für die weiteren Prozessschritte ausschließlich diese korrigierten Messwerte verwendet werden. Sowohl die Originalmessdaten als auch die korrigierten Messwerte werden im Datenpaket zur späteren Speicherung an den Messwertspeicher 55 weitergeleitet. Der vollständige Messwert-Datensatz wird von dem Messmodul 52 signiert, damit gespeicherte Werte nicht mehr auf Systemebene manipuliert werden können. Dies kann ebenfalls über einen Hash-Wert über den vollständigen Datensatz erfolgen.
  • Das Messmodul 52 umfasst ferner ein Modul 91 zur Formatbestimmung, wobei dieses Formatmodul 91 ebenfalls dem Eichprozess unterliegt. Das Formatmodul greift dabei auf Formatkategorien zu, die ebenfalls im Messwertspeicher 55 hinterlegt sind. Die gültigen Formatkategorien sind zwar Bestandteil der nicht eichpflichtigen Datei 93 mit der Preis- und Produktliste (PPL), werden aber ebenfalls im gesicherten Messwertspeicher 55 abgelegt. Die Formatkategorien werden beispielsweise im Backend signiert und an den Automaten 10 geliefert. Dort werden die Formatkategorien nach erfolgreicher Verifikation der Signatur durch die Frontend-Software in den Messwertspeicher 55 der Recheneinheit 50 importiert. Die Formatkategorien werden vom Formatmodul 91 aus dem Speicher 55 abgerufen und das Modul zur Formatbestimmung vergleicht die korrigierten Messwerte der Sendung mit diesen hinterlegten Grenzwerten der Formatkategorien. Das Formatmodul 91 bestimmt daraus die anzuwendende Formatkategorie der Sendung, wie es in Schritt 3) in Fig. 3 gekennzeichnet ist.
  • Nach Feststellung des Sendungsformats wird mit den zusätzlichen Angaben des Kunden (u. a. bestellter Quality of Service, Zusatzleistungen, ...) das entsprechende Produkt aus der gültigen Preis- und Produktliste 93 ausgewählt, wie es in Fig. 3 mit dem Schritt 4) gekennzeichnet ist. Diese Preis- und Produktbestimmung unterliegt nicht dem Eichprozess, da außer der Formatkategorie keine Messwerte zu Grunde liegen, sondern Angaben bzw. Wünsche des Kunden. Das ermittelte Produkt und sein Preis werden aber vorzugsweise zu den Messwerten der Sendung im Messwertspeicher 55 festgehalten. Darum wird die Produktidentifikation mit den Messwerten an ein eichrelevantes Speichermodul 92 des Messmoduls 52 weitergeleitet.
  • Dieses Speichermodul 92 dient zur Speicherung des vollständigen Messdatensatzes. Dieses Modul 92 unterliegt ebenfalls dem Eichprozess. Nach Vervollständigung des Datensatzes durch die Informationen aus der Produkt- und Preisbestimmung wird der vollständige Datensatz signiert, um nachträgliche Veränderungen ausschließen zu können, und anschließend im Messwertspeicher 55 gespeichert. Dieser Vorgang ist in Fig. 3 als Schritt 5) gekennzeichnet. Das Messgerät selbst, welches einen Messwert erzeugt hat, ist dabei vorzugsweise durch eine eindeutige Ident-Nummer identifizierbar. Zu einer Messung kann beispielsweise je Dimension eine SHA1-Checksumme pro Messwert und Ident-Nummer gebildet werden. Nach der Korrektur der Messwerte um die Toleranzen wird über den aggregierten Datensatz, der auch die ermittelte Formatkategorie und die Produkt-ID enthält, ein SHA1-Hashwert gebildet. Dieser Hashwert und der SHA1-Hashwert über alle eich-relevanten Softwaremodule werden beispielsweise über eine XOR-Verbindung miteinander verknüpft. Sowohl der Hashwert über den Datensatz als auch der über die XOR-Verbindung gebildete Hashwert können verifiziert werden.
  • Das durch die genannten Schritte vom Messmodul 52 ermittelte Portoentgelt wird als Druckauftrag an ein Frankiermodul 60 gesendet, um die Postsendung 20 entsprechend mit einem Frankiervermerk zu frankieren. Dies ist als Schritt 6) in Fig. 3 dargestellt. Die frankierte Postsendung wird beispielsweise in einen Sammelbehälter 12 eingebracht. Der aufgedruckte Portobetrag wird dem Kunden in Rechnung gestellt, und es wird eine Quittung ausgegeben. Da Kunden üblicherweise mehrere Postsendungen einliefern, wird die Summe der Frankierleistungen auf der Quittung angegeben, die vorzugsweise am Ende des Vorgangs ausgedruckt wird.
  • Sollte das Messmodul 52 feststellen, dass es sich bei einer Sendung 20 nicht um ein gültiges Produkt handelt oder die Sendung nicht weiter verarbeitet werden kann, wird die Sendung ausgeworfen, und die aufgenommenen Messwerte können verworfen werden. Die Messwerte müssen in diesem Fall nicht im Messwertspeicher 55 gespeichert werden, da dem Kunden keine Leistung in Rechnung gestellt wird.
  • Zusätzlich zum Messprozess bietet das System dem Kunden vorzugsweise die Möglichkeit an, die Messwerte seiner Sendungen nachträglich einzusehen. Hierzu wird dem Kunden beispielsweise an einer Bedieneinheit 13 auf einem Bildschirm ein Menüpunkt angeboten, der es ihm erlaubt, sich innerhalb eines fest definierten Zeitraums (z.B. 90 Tage) die gespeicherten Messwerte nach Angabe des Datums, der Abrechnungsnummer auf der Quittung des Kunden oder der Sendungsnummer einer Einzelsendung einzusehen. Diese Anzeige der Messwerte auf einer Anzeige 80 unterliegt ebenfalls dem Eichprozess, da eine Manipulation der Daten zwischen Messwertspeicher und Anzeige 80 ausgeschlossen werden muss. Die anzuzeigende Maske wird daher ebenfalls vom Messmodul 52 erstellt und signiert.
  • Um die Software der Recheneinheit 50 an einen speziellen Automaten zu binden und weitestgehend vor dem Kopieren zu sichern, kann ein vom Automat beglaubigtes Root-CA erstellt werden, das ebenfalls den Storage-Root-Key des Trusted Platform Modules (TPM-Chip) nutzt. Der TPM-Chip enthält eine eindeutige Kennung wie einen Endorsement Key in Form eines 2048 Bit langen RSA-Schlüsselpaares, das der Hersteller auf den Chip schreibt. Der TPM-Chip kann somit zur Identifizierung der Recheneinheit und der darauf befindlichen Software dienen. Die Recheneinheit 50 mit der dazu gehörigen Software wird so davor geschützt, auf eine andere Einlieferungsstation übertragen zu werden. Die Software ist somit an eine bestimmte Einlieferungsstation und Hardware gebunden.
  • Um die Software endgültig vor Manipulationen zu schützen und physisch an den Automaten zu binden, kann diese ferner auf einem an dem PC angeschlossenen USB-Speicherstift aufgespielt werden, der nach Abschluss der Signierung durch den Eichbeamten physisch mit einem Schreibschutzschalter auf Nur-Lese-Modus eingestellt und vom Eichbeamten mit Siegeln verplombt wird. Alternativ zu einem USB-Stick kann hierzu auch eine Festplatte mit mechanischem Schreibschutzschalter eingesetzt werden.
  • Ein Eichbeamter wird für seine Hauptaufgabe primär die Konsole des Rechners verwenden, auf dem die eichrelevanten Softwaremodule installiert sind.
    Über die Konsole ist er in der Lage, die Signatur aller eichrelevanten Softwaremodule zu verifizieren bzw. diese selbst zu signieren. Für die Überprüfung der Toleranzwerte wird dem Eichbeamten zweckmäßigerweise eine Bildschirmmaske zur Verfügung gestellt. Die Überprüfung der ermittelten Messwerte kann einerseits unter Verwendung der identischen Masken der Messwertanzeige wie für den Kunden erfolgen. Da der Eichbeamte aber auch Zugriff auf die Originalmesswerte der Messgeräte benötigt, wird beispielsweise eine äquivalente Maske wie die Messwertanzeige des Kunden, aber mit den Originalmesswerten zur Verfügung gestellt werden. Der Eichbeamte ist dann in beiden Masken in der Lage, die Signatur der einzelnen Messwerte sowie die Signatur des ganzen Messwertdatensatzes zu verifizieren. Die Verifizierung kann dabei in der eichrelevanten und damit signierten Messwert-Software automatisch erfolgen.
  • Die Entwicklung der Businesslogik der Einlieferungsstation 10 erfolgt beispielsweise in der Programmiersprache Java, welche den Vorteil bietet, dass die Software plattformunabhängig eingesetzt werden kann. Als Laufzeitumgebung kann beispielsweise ein OSGi-Server verwendet werden. OSGi steht als Abkürzung für die Open Services Gateway Initiative. Im Rahmen der Open Services Gateway Initiative ist ein auf der Programmiersprache Java basierender Standard für das Management von hardwareunabhängigen Services-Komponenten festgelegt worden. Dabei können Services in der Programmiersprache Java realisiert werden, aber auch aus nativem Code bestehen.
    • Bezugszeichenliste:
    • 10
    Einlieferungsstation, Selbstbedienungsautomat
    11
    Annahmeöffnung, Einzug, Vereinzeler
    12
    Sammelbehälter
    13
    Bedieneinheit
    20
    Postsendung, Brief, Ware
    30
    Waage
    40
    Dimensionsmessgerät
    50
    Recheneinheit, Messsoftware
    51
    Schnittstelle, seriell
    52
    Messmodul
    53,54
    Treiber
    55
    Messwertspeicher, Einwegspeicher
    60
    Frankiereinheit
    70,71
    Datenkabel
    80
    Messwertanzeige
    90
    Korrekturmodul
    91
    Formatmodul
    92
    Speichermodul
    93
    Datei, Produkt-Preisliste

Claims (22)

  1. Einlieferungsstation (10) zum Frankieren von Postsendungen (20), die wenigstens eine Waage (30) zur Bestimmung des Gewichts einer Postsendung (20), wenigstens ein Dimensionsmessgerät (40) zur Bestimmung der Abmessungen einer Postsendung (20), eine Recheneinheit (50) zur Bestimmung des Portoentgelts für eine Postsendung (20) und eine Frankiereinheit (60) zur Aufbringung eines Frankiervermerks auf die Postsendung (20) umfasst, wobei die Recheneinheit (50) Zugriff auf Messtoleranzen der Waage (30) und des Dimensionsmessgerätes (40) hat,
    dadurch gekennzeichnet,
    dass die Waage (30) und das Dimensionsmessgerät (40) jeweils physikalisch versiegelt sind und über ebenfalls physikalisch versiegelte Datenkabel (70;71) in Verbindung mit einer seriellen Schnittstelle (51) der Recheneinheit (50) stehen, und die Waage (30) und das Dimensionsessgerät (40) oder eine jeweils zugehörige Schnittstelle Mittel zum Signieren von Messwerten aufweisen, und dass die Messtoleranzen der Waage (30) und des Dimensionsmessgerätes (40) und Formatkategorien für Postsendungen (20) in einem signierten Einwegspeicher (55) hinterlegt sind, auf dessen Daten ein signiertes Messmodul (52) der Recheneinheit (50) ausschließlich lesenden Zugriff hat, wobei das Messmodul (52) Mittel zum Empfangen von Messwerten von der Waage (30) und dem Dimensionsmessgerät (40) über die serielle Schnittstelle (51) umfasst, und dass ein Korrekturmodul (90) des Messmoduls (52) Mittel zum Addieren und Subtrahieren der jeweiligen Messtoleranzen der Waage (30) und des Dimensionsmessgerätes (40) zu den empfangenen Messwerten umfasst, um so korrigierte Messwerte zu erzeugen, und dass das Messmodul (52) ferner ein Formatmodul (91) aufweist, das Mittel zur Bestimmung der Formatkategorie einer Postsendung (20) aus den korrigierten Dimensionsmesswerten und den Formatkategorien im Einwegspeicher (55) umfasst, und dass das Messmodul (52) Mittel zur Bestimmung der Produktkategorie einer Postsendung (20) aus dem korrigierten Gewichtsmesswert der Postsendung (20) und der vom Formatmodul (91) ermittelten Formatkategorie der Postsendung (20) aufweist, und dass das Messmodul (52) ferner Zugriff auf eine Datei (93) hat, die eine Zuordnung zwischen Produktkategorien von Postsendungen und Portoentgelten enthält, so dass ein daraus ermitteltes Portoentgelt für eine Postsendung (20) von dem Messmodul (52) der Frankiereinheit (60) zuführbar ist, und dass das Messmodul (52) ferner Mittel zum Signieren von Datensätzen, bestehend wenigstens aus Messwerten der Waage (30) und des Dimensionsmessgerätes (40), den zugehörigen korrigierten Messwerten und der ermittelten Produktkategorie einer Postsendung (20) und ein Speichermodul (92) zur Speicherung eines signierten Datensatzes im signierten Einwegspeicher (55) aufweist.
  2. Einlieferungsstation nach Anspruch 1,
    dadurch gekennzeichnet,
    dass die Einlieferungsstation (10) eine Anzeige (80) in Verbindung mit dem Messmodul (52) aufweist, auf der wenigstens Messwerte und/oder korrigierte Messwerte der Waage (30) und des Dimensionsmessgerätes (40) anzeigbar sind, wobei eine auf der Anzeige (80) angezeigte Maske von dem Messmodul (52) signierbar ist.
  3. Einlieferungsstation nach einem der Ansprüche 1 und 2,
    dadurch gekennzeichnet,
    dass die Datei (93), die eine Zuordnung zwischen Produktkategorien von Postsendungen und Portoentgelten enthält, keine Signatur aufweist.
  4. Einlieferungsstation nach einem der Ansprüche 1 bis 3,
    dadurch gekennzeichnet,
    dass das Messmodul (52) und seine Komponenten eine Signatur aufweisen, die auf einer asymmetrischen Verschlüsselung beruht.
  5. Einlieferungsstation nach Anspruch 4,
    dadurch gekennzeichnet,
    dass die Signatur mit einem privaten Schlüssel erzeugt wurde, der von einem TPM-Chip (Trusted Platform Module) der Recheneinheit (50) erzeugbar und/oder in diesem gespeichert ist, wobei der TPM-Chip fest in die Recheneinheit (50) eingebaut ist.
  6. Einlieferungsstation nach Anspruch 5,
    dadurch gekennzeichnet,
    dass der Zugriff auf den privaten Schlüssel im TPM-Chip durch ein Passwort geschützt ist.
  7. Einlieferungsstation nach einem der Ansprüche 1 bis 6,
    dadurch gekennzeichnet,
    dass die Waage (30), das Dimensionsmessgerät (40) und/oder eine zugehörige Schnittstelle Mittel zur Bildung eines Hash-Wertes über einen Messwert aufweisen.
  8. Einlieferungsstation nach einem der Ansprüche 1 bis 7,
    dadurch gekennzeichnet,
    dass das Messmodul (52) Mittel zur Bildung eines Hash-Wertes über einen Datensatz bestehend aus wenigstens den Messwerten der Waage (30) und des Dimensionsmessgerätes (40), den zugehörigen korrigierten Messwerten und der ermittelten Produktkategorie einer Postsendung (20) aufweist.
  9. Einlieferungsstation nach einem der Ansprüche 1 bis 8,
    dadurch gekennzeichnet,
    dass es sich bei dem Messmodul (52) und seinen Komponenten um Softwarekomponenten in Form von Java Archiv-Files handelt.
  10. Einlieferungsstation nach Anspruch 9,
    dadurch gekennzeichnet,
    dass das Messmodul (52) und seine Softwarekomponenten auf einem schreibgeschützten Speichermedium gespeichert sind, dessen mechanischer Schreibschutzschalter physikalisch versiegelt ist, wobei die Verbindung des Speichermediums mit der Recheneinheit (50) ebenfalls physikalisch versiegelt ist.
  11. Einlieferungsstation nach Anspruch 10,
    dadurch gekennzeichnet,
    dass das Messmodul (52) auf einem USB-Speicherstift mit einem mechanischen Schreibschutzschalter gespeichert ist.
  12. Einlieferungsstation nach Anspruch 10
    dadurch gekennzeichnet,
    dass das Messmodul (52) auf einer Festplatte mit einem mechanischen Schreibschutzschalter gespeichert ist.
  13. Verfahren zum Frankieren von Postsendungen in einer Einlieferungsstation (10), bei dem das Gewicht einer Postsendung von wenigstens einer Waage (30) und die Dimensionen einer Postsendung (20) von wenigstens einem Dimensionsmessgerät (40) bestimmt und einer Recheneinheit (50) zugeführt werden, und bei dem die Recheneinheit (50) das Portoentgelt für eine Postsendung (20) bestimmt und einer Frankiereinheit (60) zuführt, welche einen Frankiervermerk auf die Postsendung (20) aufbringt, wobei die Recheneinheit (50) zur Erzeugung von korrigierten Messwerten auf Messtoleranzen der Waage (30) und des Dimensionsmessgerätes (40) zugreift,
    gekennzeichnet durch wenigstens folgende Schritte:
    - Signieren der Messwerte für das Gewicht und die Abmessungen der Postsendung (20) durch die Waage (30) und das Dimensionsmessgerät (40) oder eine jeweils zugehörige Schnittstelle;
    - Übermittelung der signierten Messwerte an die Recheneinheit (50) über eine serielle Schnittstelle (51);
    - Abrufen von Toleranzwerten der Waage (30) und des Dimensionsmessgerätes (40) aus einem signierten Einwegspeicher (55) durch ein Messmodul (52) der Recheneinheit (50);
    - Bestimmung von korrigierten Messwerten für das Gewicht und die Dimensionen der Postsendung (20) durch ein Korrekturmodul (90) des Messmoduls (52), wobei die Toleranzwerte der Waage (30) und des Dimensionsmessgerätes (40) verwendet werden;
    - Abrufen von Formatkategorien für Postsendungen aus dem signierten Einwegspeicher (55) durch das Messmodul (52);
    - Bestimmung einer Formatkategorie für die Postsendung (20) durch ein Formatmodul (91) des Messmoduls (52) anhand der korrigierten Messwerte für die Dimensionen der Postsendung (20), wobei die abgerufenen Formatkategorien aus dem Einwegspeicher (55) verwendet werden;
    - Ermittlung einer Produktkategorie aus der Formatkategorie der Postsendung (20) und dem korrigierten Messwert für das Gewicht der Postsendung (20) durch das Messmodul (52),
    - Ermittlung eines Portoentgelts aus einer Datei (93), die eine Zuordnung zwischen Produktkategorien von Postsendungen und Portoentgelten enthält, anhand der ermittelten Produktkategorie durch das Messmodul (52);
    - Zuführung des ermittelten Portoentgelts von dem Messmodul (52) zu der Frankiereinheit (60) und Aufbringen eines Frankiervermerks auf die Postsendung (20) durch die Frankiereinheit (60); und
    - Signieren eines Datensatzes bestehend wenigstens aus Messwerten der Waage (30) und des Dimensionsmessegerätes (40), den zugehörigen korrigierten Messwerten und der ermittelten Produktkategorie einer Postsendung (20) und Speichern dieses signierten Datensatzes im signierten Einwegspeicher (55) durch ein Speichermodul (92) des Messmoduls (52).
  14. Verfahren nach Anspruch 13,
    dadurch gekennzeichnet,
    dass wenigstens Messwerte und/oder korrigierte Messwerte der Waage (30) und des Dimensionsmessgerätes (40) auf einer Anzeige (80) in Verbindung mit der Recheneinheit (80) angezeigt werden, wobei eine auf der Anzeige (80) angezeigte Maske von dem Messmodul (52) signiert wird.
  15. Verfahren nach einem der Ansprüche 13 und 14,
    dadurch gekennzeichnet,
    dass das Messmodul (52) und seine Komponenten vor Durchführung der Verfahrensschritte des Anspruchs 13 signiert werden, wobei die Signierung durch eine asymmetrische Verschlüsselung erfolgt.
  16. Verfahren nach Anspruch 15,
    dadurch gekennzeichnet,
    dass die Signierung mit einem privaten Schlüssel erfolgt, der von einem TPM-Chip (Trusted Platform Module) der Recheneinheit (50) erzeugt wurde und/oder in diesem gespeichert wurde, wobei der TPM-Chip fest in die Recheneinheit (50) eingebaut ist.
  17. Verfahren nach einem der Ansprüche 13 bis 16,
    dadurch gekennzeichnet,
    dass die Waage (30), das Dimensionsmessgerät (40) und/oder eine zugehörige Schnittstelle bei der Signierung eines Messwertes einen Hash-Wert über den Messwert bilden.
  18. Verfahren nach einem der Ansprüche 13 bis 17,
    dadurch gekennzeichnet,
    dass das Messmodul (52) einen Hash-Wert über einen Datensatz, bestehend aus wenigstens den Messwerten der Waage (30) und des Dimensionsmessgerätes (40), den zugehörigen korrigierten Messwerten und der ermittelten Produktkategorie einer Postsendung (20) bildet und dieser
    Hash-Wert zusammen mit dem Datensatz von dem Speichermodul (92) im Einwegspeicher (55) gespeichert wird.
  19. Verfahren nach einem der Ansprüche 13 bis 18,
    dadurch gekennzeichnet,
    dass das Messmodul (52) und seine Komponenten durch Softwarekomponenten in Form von Java Archiv-Files gebildet werden.
  20. Verfahren nach Anspruch 19,
    dadurch gekennzeichnet,
    dass das Messmodul (52) und seine Softwarekomponenten vor Durchführung der Verfahrensschritte nach Anspruch 13 auf einem schreibgeschützten Speichermedium gespeichert werden, dessen mechanischer Schreibschutzschalter nach der Speicherung physikalisch versiegelt wird, wobei die Verbindung des Speichermediums mit der Recheneinheit (50) ebenfalls physikalisch versiegelt wird.
  21. Verfahren nach Anspruch 20,
    dadurch gekennzeichnet,
    dass das Messmodul (52) auf einem USB-Speicherstift mit einem mechanischen Schreibschutzschalter gespeichert wird.
  22. Verfahren nach Anspruch 20,
    dadurch gekennzeichnet,
    dass das Messmodul (52) auf einer Festplatte mit einem mechanischen Schreibschutzschalter gespeichert wird.
EP08000012.8A 2008-01-02 2008-01-02 Einlieferungsstation und Verfahren zur Frankierung von Postsendungen in Einlieferungsstation Not-in-force EP2077528B8 (de)

Priority Applications (4)

Application Number Priority Date Filing Date Title
PL08000012.8T PL2077528T3 (pl) 2008-01-02 2008-01-02 Stacja dostawcza i sposób frankowania przesyłek w stacji dostawczej
EP08000012.8A EP2077528B8 (de) 2008-01-02 2008-01-02 Einlieferungsstation und Verfahren zur Frankierung von Postsendungen in Einlieferungsstation
ES08000012T ES2571857T3 (es) 2008-01-02 2008-01-02 Componente de revestimiento para el interior de un vehículo de motor
PCT/EP2008/010378 WO2009083103A1 (de) 2008-01-02 2008-12-08 Einlieferungsstation und verfahren zur frankierung von postsendungen in einer einlieferungsstation

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
EP08000012.8A EP2077528B8 (de) 2008-01-02 2008-01-02 Einlieferungsstation und Verfahren zur Frankierung von Postsendungen in Einlieferungsstation

Publications (3)

Publication Number Publication Date
EP2077528A1 true EP2077528A1 (de) 2009-07-08
EP2077528B1 EP2077528B1 (de) 2016-03-30
EP2077528B8 EP2077528B8 (de) 2016-08-10

Family

ID=39370929

Family Applications (1)

Application Number Title Priority Date Filing Date
EP08000012.8A Not-in-force EP2077528B8 (de) 2008-01-02 2008-01-02 Einlieferungsstation und Verfahren zur Frankierung von Postsendungen in Einlieferungsstation

Country Status (4)

Country Link
EP (1) EP2077528B8 (de)
ES (1) ES2571857T3 (de)
PL (1) PL2077528T3 (de)
WO (1) WO2009083103A1 (de)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2131330A1 (de) * 2008-06-02 2009-12-09 Deutsche Post AG Einlieferungsstation für Postsendungen und Verfahren zum Einliefern von Postsendungen
CN112261601A (zh) * 2020-10-20 2021-01-22 北京思特奇信息技术股份有限公司 一种基于用户自定制的移动资费订购方法及系统

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE4445526A1 (de) * 1994-02-04 1995-08-10 Sartorius Gmbh Anlage zur Meßwerterfassung und Anzeige, insbesondere Wägeanlage
DE29613903U1 (de) 1996-07-16 1996-11-07 CSB-System Software-Entwicklung & Unternehmensberatung AG, 52511 Geilenkirchen Anordnung zur Qualitätssicherung elektronischer Meßeinrichtungen
DE19527293A1 (de) 1995-07-26 1997-01-30 Bosch Gmbh Robert Verfahren und Vorrichtung zur sicheren Messung und Verarbeitung sowie Überprüfung von Meßdaten
WO2001099054A1 (en) * 2000-06-19 2001-12-27 Pitney Bowes Limited Secure data storage on open systems
US20030226016A1 (en) * 2002-05-31 2003-12-04 International Business Machines Corporation Assurance of authentication in a computer system apparatus and method
EP1450144A2 (de) * 2003-02-24 2004-08-25 Schenck Process GmbH Verfahren und Vorrichtung zur digitalen Sicherung von Messwerten
US20040221175A1 (en) * 2003-04-29 2004-11-04 Pitney Bowes Incorporated Method for securely loading and executing software in a secure device that cannot retain software after a loss of power
DE102005006005A1 (de) 2005-02-09 2006-08-10 Deutsche Post Ag Verfahren und Vorrichtung zur automatisierten Annahme und Frankierung von Postsendungen

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE4445526A1 (de) * 1994-02-04 1995-08-10 Sartorius Gmbh Anlage zur Meßwerterfassung und Anzeige, insbesondere Wägeanlage
DE19527293A1 (de) 1995-07-26 1997-01-30 Bosch Gmbh Robert Verfahren und Vorrichtung zur sicheren Messung und Verarbeitung sowie Überprüfung von Meßdaten
DE29613903U1 (de) 1996-07-16 1996-11-07 CSB-System Software-Entwicklung & Unternehmensberatung AG, 52511 Geilenkirchen Anordnung zur Qualitätssicherung elektronischer Meßeinrichtungen
WO2001099054A1 (en) * 2000-06-19 2001-12-27 Pitney Bowes Limited Secure data storage on open systems
US20030226016A1 (en) * 2002-05-31 2003-12-04 International Business Machines Corporation Assurance of authentication in a computer system apparatus and method
EP1450144A2 (de) * 2003-02-24 2004-08-25 Schenck Process GmbH Verfahren und Vorrichtung zur digitalen Sicherung von Messwerten
US20040221175A1 (en) * 2003-04-29 2004-11-04 Pitney Bowes Incorporated Method for securely loading and executing software in a secure device that cannot retain software after a loss of power
DE102005006005A1 (de) 2005-02-09 2006-08-10 Deutsche Post Ag Verfahren und Vorrichtung zur automatisierten Annahme und Frankierung von Postsendungen

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2131330A1 (de) * 2008-06-02 2009-12-09 Deutsche Post AG Einlieferungsstation für Postsendungen und Verfahren zum Einliefern von Postsendungen
CN112261601A (zh) * 2020-10-20 2021-01-22 北京思特奇信息技术股份有限公司 一种基于用户自定制的移动资费订购方法及系统

Also Published As

Publication number Publication date
EP2077528B1 (de) 2016-03-30
ES2571857T3 (es) 2016-05-27
WO2009083103A1 (de) 2009-07-09
EP2077528B8 (de) 2016-08-10
PL2077528T3 (pl) 2016-09-30
ES2571857T8 (es) 2016-09-28

Similar Documents

Publication Publication Date Title
DE69724345T2 (de) System zur kontrollierten Annahme von Poststücken, das sicher die Wiederverwendung einer ursprünglich für ein Poststück erzeugten digitalen Wertmarke bei einem später vorbereiteten anderen Poststück zum Beglaubigen der Bezahlung der Postgebühren ermöglicht
DE69434621T2 (de) Postgebührensystem mit nachprüfbarer Unversehrtheit
DE69636375T2 (de) System zur kontrollierten Annahme der Bezahlung und des Nachweises von Postgebühren
DE69634397T2 (de) Verfahren zum Erzeugen von Wertmarken in einem offenen Zählsystem
DE3644229B4 (de) Vorrichtung zur stapelweisen Bearbeitung einer großen Menge von Poststücken
DE68922288T3 (de) Zentrales Aktualisieren einer nutzerseitigen Datenbank
DE69936013T2 (de) System und Verfahren zur Detektion von Postgebührenbuchführungsfehlern in einer Umgebung zur kontrollierten Annahme
DE3841394C2 (de) Verfahren für die Ausgabe von Postgebühren
EP2755846B1 (de) Verfahren und vorrichtung zur zuordnung eines von einer ladestation erfassten messwertes zu einer transaktion
DE69433527T2 (de) Postverarbeitungssystem für Poststücke mit Verifikation im Datenzentrum
DE69636617T2 (de) Verfahren und System zum Nachweisen von Transaktionen mit hinterherigem Drucken und Verarbeiten des Postens
DE3613007B4 (de) System zur Ermittlung von nicht-abgerechneten Drucken
DE69323141T2 (de) Postverarbeitungssystem zur Überprüfung des Portobetrages
DE3644318A1 (de) Postaufgabesystem mit portowert-uebertragung und verrechnungsfaehigkeit
DE3613008A1 (de) Portogebuehren- und versandinformations-aufbringungssystem
DE10131254A1 (de) Verfahren zum Überprüfen der Gültigkeit von digitalen Freimachungsvermerken
DE102005006005A1 (de) Verfahren und Vorrichtung zur automatisierten Annahme und Frankierung von Postsendungen
EP1107190B1 (de) Frankierverfahren und -vorrichtung
WO2004061779A1 (de) Verfahren und vorrichtung zur bearbeitung von auf oberflächen von postsendungen befindlichen graphischen informationen
DE3644319A1 (de) Ueberpruefungsverfahren und -vorrichtung fuer ein postbearbeitungssystem
EP2077528B1 (de) Einlieferungsstation und Verfahren zur Frankierung von Postsendungen in Einlieferungsstation
DE60132775T2 (de) Sichere speicherung von daten auf offenen systemen
EP1450144A2 (de) Verfahren und Vorrichtung zur digitalen Sicherung von Messwerten
EP2077530A1 (de) Vorrichtung und Verfahren zur Verarbeitung von Messwerten; Verwendung eines Speichermediums zur Sicherung von signierten Softwarekomponenten
DE69636360T3 (de) Auf Transaktionen mit geschlossener Schleife basierendes Rechnungs- und Bezahlungssystem für Postsendungen mit durch Freigabe der Postversandinformation ausgelöster Bezahlung des Beförderers durch eine dritte Partei

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MT NL NO PL PT RO SE SI SK TR

AX Request for extension of the european patent

Extension state: AL BA MK RS

RIN1 Information on inventor provided before grant (corrected)

Inventor name: BOBINSKI, MIKE

Inventor name: LEIDIG, GUIDO

Inventor name: ROLF, PETERS

Inventor name: SCHNEIDER, HANS

17P Request for examination filed

Effective date: 20100108

AKX Designation fees paid

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MT NL NO PL PT RO SE SI SK TR

17Q First examination report despatched

Effective date: 20100511

GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

INTG Intention to grant announced

Effective date: 20151005

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MT NL NO PL PT RO SE SI SK TR

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: CH

Ref legal event code: EP

REG Reference to a national code

Ref country code: AT

Ref legal event code: REF

Ref document number: 786096

Country of ref document: AT

Kind code of ref document: T

Effective date: 20160415

REG Reference to a national code

Ref country code: IE

Ref legal event code: FG4D

Free format text: LANGUAGE OF EP DOCUMENT: GERMAN

REG Reference to a national code

Ref country code: CH

Ref legal event code: NV

Representative=s name: R.A. EGLI AND CO, PATENTANWAELTE, CH

REG Reference to a national code

Ref country code: DE

Ref legal event code: R096

Ref document number: 502008013998

Country of ref document: DE

REG Reference to a national code

Ref country code: ES

Ref legal event code: FG2A

Ref document number: 2571857

Country of ref document: ES

Kind code of ref document: T3

Effective date: 20160527

REG Reference to a national code

Ref country code: NL

Ref legal event code: FP

RIN2 Information on inventor provided after grant (corrected)

Inventor name: SCHNEIDER, HANS

Inventor name: BOBINSKI, MIKE

Inventor name: PETERS, ROLF

Inventor name: LEIDIG, GUIDO

REG Reference to a national code

Ref country code: LT

Ref legal event code: MG4D

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160701

Ref country code: FI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

Ref country code: NO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160630

Ref country code: HR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

Ref country code: LT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

Ref country code: LV

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

REG Reference to a national code

Ref country code: DE

Ref legal event code: R083

Ref document number: 502008013998

Country of ref document: DE

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: EE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160730

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

Ref country code: PT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160801

Ref country code: RO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

Ref country code: CZ

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

REG Reference to a national code

Ref country code: DE

Ref legal event code: R097

Ref document number: 502008013998

Country of ref document: DE

REG Reference to a national code

Ref country code: FR

Ref legal event code: PLFP

Year of fee payment: 10

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: DK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

26N No opposition filed

Effective date: 20170103

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: BE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20170131

Ref country code: SI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MC

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

REG Reference to a national code

Ref country code: IE

Ref legal event code: MM4A

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LU

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20170102

REG Reference to a national code

Ref country code: FR

Ref legal event code: PLFP

Year of fee payment: 11

REG Reference to a national code

Ref country code: BE

Ref legal event code: MM

Effective date: 20170131

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20170102

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: PL

Payment date: 20171219

Year of fee payment: 11

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: NL

Payment date: 20180119

Year of fee payment: 11

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: ES

Payment date: 20180227

Year of fee payment: 11

Ref country code: DE

Payment date: 20180131

Year of fee payment: 11

Ref country code: CH

Payment date: 20180119

Year of fee payment: 11

Ref country code: GB

Payment date: 20180119

Year of fee payment: 11

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: FR

Payment date: 20180119

Year of fee payment: 11

Ref country code: AT

Payment date: 20180122

Year of fee payment: 11

Ref country code: IT

Payment date: 20180129

Year of fee payment: 11

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

REG Reference to a national code

Ref country code: DE

Ref legal event code: R082

Ref document number: 502008013998

Country of ref document: DE

Representative=s name: DOMPATENT VON KREISLER SELTING WERNER - PARTNE, DE

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: HU

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT; INVALID AB INITIO

Effective date: 20080102

REG Reference to a national code

Ref country code: DE

Ref legal event code: R119

Ref document number: 502008013998

Country of ref document: DE

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: BG

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

REG Reference to a national code

Ref country code: CH

Ref legal event code: PL

REG Reference to a national code

Ref country code: NL

Ref legal event code: MM

Effective date: 20190201

REG Reference to a national code

Ref country code: AT

Ref legal event code: MM01

Ref document number: 786096

Country of ref document: AT

Kind code of ref document: T

Effective date: 20190102

GBPC Gb: european patent ceased through non-payment of renewal fee

Effective date: 20190102

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: CY

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20160330

Ref country code: FR

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190131

Ref country code: DE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190801

Ref country code: NL

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190201

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: CH

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190131

Ref country code: GB

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190102

Ref country code: AT

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190102

Ref country code: LI

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190131

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IT

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190102

REG Reference to a national code

Ref country code: ES

Ref legal event code: FD2A

Effective date: 20200309

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: TR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20160330

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: ES

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190103

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PL

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20190102