FR2681964A1 - Systeme de memorisation de donnees informatisees sur un support d'enregistrement et procede de transmission de donnees utilisant un tel support d'enregistrement. - Google Patents

Abstract

L'invention concerne un système d'inscription de données informatisées, telles les données d'un document, sur un support d'enregistrement. Ce système est du type comprenant un terminal (TE) adapté pour effectuer l'enregistrement des données et un module de support (MAS) des données enregistrées susceptibles d'être introduites dans le terminal pour l'inscription des données et retirées de celui-ci après cette inscription. Le système est caractérisé en ce que le module (MAS) est réalisé sous forme d'un module d'archivage de sécurité et comprend un dispositif ordinateur pourvu d'une mémoire contenant un programme de mémorisation inaltérable et non modifiable, le dispositif ordinateur comprenant des registres de stockage de données d'identification du module et des inscriptions de données. L'invention est utilisable pour l'achivage de documents.

Description

L'invention concerne un système de mémorisation de données informatisées sur un support d'enregistrement, du type comprenant un terminal adapté pour effectuer l'enregistrement des données et un module support des données enregistrés susceptible d'être introduit dans le terminal pour l'inscription des données et d'être retiré de ce terminal après l'enregistrement, un procédé de mise à l'état d'utilisation du module support ainsi qu'un procédé de transmission de documents impliquant l'utilisation dudit module support.

Des dispositifs d'enregistrement et des procédés des types indiqués plus haut sont déjà connus. Mais tous les dispositifs support présentent l'inconvénient majeur que les données enregistrées peuvent être recopiées et modifiées ultérieurement.

La présente invention a pour but de proposer un dispositif d'enregistrement de données et des procédés du type indiqué plus haut, qui assure une protection parfaite des données mémorisées contre des copies non autorisées et des modifications ultérieures. En d'autres termes, l'invention assure l'authenticité et l'intégrité des données enregistrées de façon que ces données peuvent servir de preuve incontestable même du point de vue juridique.

Pour atteindre ce but, le système d'inscription de données informatisées selon l'invention est caractérisé en ce que le module est réalisé sous forme d'un module d'archivage de sécurité et comprend un dispositif ordinateur pourvu d'une mémoire contenant un programme de mémorisation inaltérable et non modifiable, le dispositif ordinateur comprenant des registres de stockage de données d'identification du module et des inscriptions de données.

Selon une caractéristique de l'invention, le système comprend un centre de contrôle comportant un fichier central de tous les modules d'archivage de sécurité fabriqués et des utilisateurs habilités à utiliser les modules.

Selon encore une caractéristique de l'invention, chaque module d'archivage de sécurité comprend un contrôleur sélectif d'énergie, adapté pour assurer l'alimentation en énergie électrique seulement de l'élément de mémoire qui a été adressé sélectivement.

Cette caractéristique présente l'avantage que l'énergie consommée par le module et les pertes thermiques dans celui-ci sont fortement limitées.

Le procédé de mise à l'état d'utilisation de module d'archivage de sécurité selon l'invention est caractérisé en ce qu'après la fabrication d'un module, celui-ci est identifié par inscription de son numéro d'origine et des données d'identification du destinataire du module dans des registres d'identification prévus dans le module, et en ce que les contenus de ces registres sont inscrits dans un fichier du centre de contrôle.

Le procédé de transmission de document par une ligne de transmission de signaux électriques d'un poste expéditeur à un poste destinataire, impliquant l'utilisation d'un module d'archivage de sécurité selon l'invention est caractérisé en ce que le poste expéditeur envoie avec le document un message de label comprenant en plus des données d'identifications de l'expéditeur, les données d'identification contenues du document, que le poste destinataire envoie au poste expéditeur un message d'accusé de réception comprenant les données d'identification du destinataire et du contenu du document reçu par ce dernier et que les données relatives au document sont mémorisées sur le module selon l'invention, avec les données de label et d'accusé de réception.

L'invention sera mieux comprise, et d'autres buts, caractéristiques, détails et avantages de celle-ci apparatront plus clairement au cours de la description explicative qui va suivre faite en référence aux dessins schématiques annexés donnés uniquement à titre d'exemple illustrant un mode de réalisation de l'invention, et dans lesquels
- la figure 1 est une vue en perspective de l'équipement d'un poste expéditeur de documents d'un système de transmission de documents, utilisé dans le cadre de la présente invention
- la figure 2 montre sous forme d'un schéma bloc la structure du poste expéditeur selon la figure 1
- la figure 3 est un schéma bloc du module d'ordinateur amovible MOA de la figure 2 ; et
- la figure 4 montre l'organigramme illustrant le fonctionnement du poste expéditeur selon la figure 1
- la figure 5 est une vue en perspective similaire à la figure 1, d'un mode de réalisation perfectionné de l'équipement d'un poste expéditeur de documents d'un système de transmission de documents selon la présente invention
- la figure 6 est une vue schématique en perspective du module d'archivage de sécurité MAS indiqué sur la figure 5
- la figure 7 illustre, sous forme d'un schéma bloc, la structure du module d'archivage de sécurité selon la figure 6, à l'état électriquement connecté au terminal
TE selon la figure 5
- la figure 8 est un schéma bloc notamment du contrôleur sélectif d'énergie CSE de la figure 7
- la figure 9 illustre sous forme d'un organigramme le processus de contrôle et d'identification d'un module d'archivage de sécurité MAS selon l'invention
- la figure 10 illustre sous forme d'un organigramme fonctionnel le processus d'utilisation d'un module d'archivage de sécurité MAS selon l'invention ; et
- la figure 11 est une représentation schématique de l'opération d'initialisation d'un module d'archivage de sécurité MAS selon l'invention chez un distributeur local.

La figure 1 montre un terminal d'échange de données informatisées TE et un module de commande ou de travail MT associé au terminal, qui constituent l'équipement essentiel d'un poste expéditeur d'un système de transmission de documents par ligne de transmission de signaux électriques, utilisé dans le cadre de la présente invention.

Le terminal TE comprend essentiellement un ensemble ordinateur se composant d'un module ordinateur amovible MOA, d'un dispositif à microprocesseur MPA, un module disque bibliothèque MDB comportant des moyens enregistreurs-lecteurs de données mémorisées sur un disque bibliothèque amovible DB, un module disque archive MDA pourvu de moyens enregistreurs-lecteurs de données mémorisées sur un disque archive DA et une plaque de circuits imprimés PCI portant les circuits électroniques de contrôle et de commande des différents dispositifs et modules du terminal. Les deux modules MDB et MDA sont montés de façon amovible dans un bottier de forme générale parallélépipédique. Le module MOA est également réalisé sous forme d'un élément autonome amovible comme cela est clairement illustré à la figure 1. Le module de travail extérieur MT d'un type connu en soi comprenant un écran de visualisation et un clavier de commande est susceptible d'être relié au terminal TE par un câble CAB.

La figure 2 montre, sous forme d'un schéma bloc, plus en détail la structure du terminal TE et l'interconnexion des différents dispositifs et modules qui le compose. A part les modules amovibles MOA, MDA et MDB, ceux-ci sont montés sur la plaque de circuits imprimés
PCI.

On constate que le MOA est relié par une interface appropriée, avantageusement du type opto-électrique IFI à un bus série b1 relié au module MPA. Le module ordinateur
MPA communique avec les systèmes de traitement de l'information extérieurs, tels que le module de travail MT par un bus série b2 relié à une interface IF2 de connexion au câble CAB. Les modules de disque bibliothèque MDB et archive MDA sont gérés par un module de gestion MG qui comunique à cette fin avec ces deux modules par des liaisons spécialisées 1, 2. Le module MG commande également les deux verrous électroniques V1, V2 par des liaisons spécialisées 3, 4. Ces verrous permettent les déplacements et l'accès aux disques DB et DA. Ces verrous ne sont pas décrits plus en détail car ils sont du type connu en soi et utilisés par exemple pour le déplacement de disques numériques dans une channe HI FI. Le module de gestion MG est adapté pour gérer l'enregistrement et la lecture de données numérisées sur les disques DA et DB.

Les modules MG et MPA communiquent entre eux par l'intermédiaire d'une mémoire tampon MET au moyen d'un bus bidirectionnel de ligne b3 qui contrôle l'accès à la mémoire tampon MET. Les mémoires MG et MPA accèdent à la mémoire tampon MET respectivement par les bus b4 et b5.

Les modules MG et MPA s'échangent les informations et données issues ou destinées à être enregistrées sur les disque DB et BA par l'intermédiaire de la mémoire tampon.

Les deux modules sont aussi reliés directement par un bus spécialisé b6 de contrôle et de commande du module MG par le module MPA.

Selon un principe également connu un oscillateur commun OS alimente directement le module MPA par une ligne d6 et le module MG par une ligne 7. Un inverseur IV dans la ligne 17 décale d'une demi-période le cycle de base transmis au module MG.

Le terminal TE comprend encore un MODEM qui permet de relier directement le terminal au réseau téléphonique qui pourrait être un réseau commuté, spécialisé, publique ou privé. Le MODEM gère l'émission et la réception cryptées ou non des données informatiques.

Chaque terminal TE est adapté pour que seulement des personnes puissent avoir accès au terminal qui sont habilités à le faire et en mesure de prouver d'être titulaire d'une telle autorisation. Cette caractéristique particulière de l'invention est assurée par la structure particulière des modules MOA et MPA. A cette fin, on attribue à chaque personne autorisée à utiliser le terminal TE un module MOA qui est réalisé sous forme d'un élément amovible qui peut être inserré dans le boltier du terminal en vue d'une utilisation du terminal et enlevé du bottier après l'utilisation du terminal. Le module MPA est monté à demeure sur la plaque de circuits imprimés PCI. Ce module comprend en mémoire les informations définissant l'ensemble des utilisateurs autorisés et les limites de leur droit d'accès au terminal qui peut être différent d'une personne à l'autre, tandis que le module MOA a en mémoire le code d'identification de la personne à laquelle il a été attribué et les limites du droit d'accès qui lui a été donné.

Pour pouvoir accomplir la fonction qui vient d'etre décrite, le module MOA se présente sous forme d'un élément de forme parallélépipédique, qui porte essentiellement un dispositif d'affichage DA, un clavier par exemple alpha-numérique CL (seulement la zone du clavier indiquée) et des moyens connecteurs CO à l'interface IFi. Un module MOA de ce type est décrit dans la demande de brevet français nO 91 03903 qui a été déposée le 29 Mars 1991 par le déposant de la présente demande de brevet. Le schéma bloc selon la figure 3 montre la structure du module. Le module MPA présente la même structure que le module MOA, mais n' est pas équipé d'un dispositif d'affichage et d'un clavier du fait qu'il est situé à l'intérieur du bottier de terminal.

Comme le montre la figure 3, le module MOA comprend un premier microprocesseur M1 qui comporte notamment des registres internes R a à R x une mémoire "matricielle" Mm, une mémoire d'algorithmes de cryptage et de décryptage Ma, un deuxième microprocesseur M2 auquel sont associés, comme dispositifs d'interface, le dispositif d'affichage DA, le clavier de commande CL et les moyens connecteurs CO, une mémoire de programme Mp contenant le programme qu'exécute le microprocesseur M2 et une mémoire de données Md. Le microprocesseur M2 est relié par des bus b8 et b9 au dispositif connecteur CO et à la mémoire de données Md.

Le dispositif micro-ordinateur comprend encore une mémoire bibliothèque de stockage de sous-programmes ou microprogrammes comportant les éléments qui constituent le menu du dispositif micro-ordinateur et dont les paramètres se trouvent dans la mémoire matricielle Mm. Le dispositif micro-ordinateur comprend en outre un sélecteur S1 réalisé sous forme d'un multiplexeur bidirectionnel à trois états qui commute le bus de données et d'adresses b9 du microprocesseur M2 vers le bus b10 de la mémoire de programme Mp ou vers le bus bil de la mémoire de bibliothèque de microprogrammes ou sous-programmes Mb. On constate en outre la présence de registres de communication B1 et B2 dans les bus b8 et b9, par l'intermédiaire desquels le microprocesseur M2 peut communiquer avec le dispositif connecteur CO et la mémoire de données Md. Un deuxième sélecteur S2 formant office d'un interrupteur et formé par une bascule bistable est prévu pour contrôler l'alimentation en énergie du microprocesseur M2. Le dispositif comprend encore un registre spécifique B3 qui relie le microprocesseur M1 au dispositif connecteur CO.

Sur la figure 3, des lignes simples montrent des circuits de commande et de contrôle. On constate que les registres B1, B2 et B3 ainsi que les sélecteurs S1 et S2 sont commandés par le microprocesseur M1.

Les registres internes R a à R x sont adaptés pour stocker les codes clés d'identification des personnes qui sont autorisés à avoir accès au terminal et de l'étendue ou des limites de ce droit d'accès. Les registres du module MPA contiennent ainsi les codes clés d'identification de tous les utilisateurs autorisés et, associée à chaque code clé d'identification, la définition du droit d'accès de l'utilisateur autorisé correspondant.

Le droit d'accès est défini en général par indication des documents standard contenus dans la mémoire bibliothèque
DB auquel un utilisateur autorisé peut avoir accès pour en demander la visualisation sur l'écran du module de travail
MT en vue de l'expédition de ce document après l'avoir complété de façon appropriée. On pourrait également réserver un registre à des données d'auto-blocage ou auto-verrouillage et de clé de déverrouillage, c'est-à-dire de réactivation du module, comme cela sera décrit plus loin. Un tel déverrouillage pourrait être commandé à distance via le réseau de transmission de données. Les registres du module MOA contiennent le code clé d'identification de l'utilisateur titulaire du module et des registres définissent les droits d'accès conférés à cette personne, par exemple par l'énonciation des documents accessibles au titulaire du module MOA. Le MOA comprend également des registres d'auto-verrouillage et de clé de déverrouillage ou de réactivation.

Pour produire l'effet de l'auto-verrouillage, le microprocesseur Ml des modules MOA et MPA est programmé pour engendrer lorsque la comparaison d'une demande d'accès au terminal TE aux données d'autorisation stockées dans les registres, n'aboutit pas, un signal de mise au repos du sélecteur interrupteur Si, ce qui entrante la coupure du circuit d'alimentation en énergie électrique du microprocesseur M2, et pour le MOA aussi de l'afficheur DA et du clavier CL. Le microprocessuer M2 est isolé par la mise à l'état "haute impédance des registres B1 et B2 et du sélecteur commutateur S1. Le module correspondant et avec lui le terminal entier sont ainsi mis en "sommeil".

Le registre d'entrée/sortie B1 est un sérialisateur asynchrone qui permet, sous le contrôle du microprocesseur M1, au microprocesseur M2 de communiquer avec l'extérieur au moyen du dispositif connecteur pouvant être du type galvanique ou opto-électronique.

Le registre B2 est un registre tampon du type "trois états" qui, commandé par le microprocesseur M1, contrôle l'accès du microprocesseur M2 à la mémoire de données Md.

Le registre B3 est un registre "série/parallèle" comportant un comparateur programmable, qui, placé en interface entre le connecteur CO et le microprocesseur M1 n'est actif que pendant la période où le microprocesseur M1 est à l'état de "sommeil" à la suite d'un résultat négatif lors des contrôles ou vérifications de l'identité de l'utilisateur, du terminal ou d'une demande d'un document l'accès auquel n'est pas permis à cet utilisateur, comme il sera décrit plus loin. En réponse à la constatation d'une anomalie comme celle qui vient d'être invoquée, entralnant la mise en sommeil du module, la clé de réactivation de l'appareil est transférée du registre correspondant du microprocesseur M1, dans une mémoire auxiliaire du registre comparateur programmable
B3. Ce dernier est programmé pour comparer le contenu de cette mémoire auxiliaire aux messages appliqués au connecteur CO. La constatation par le registre d'une concordance entre les données comparées conditionne le "réveil" du microprocesseur M1 et l'enclenchement de la procédure de réactivation de l'appareil.

Le module MOA est réactivable par application des données de réactivation au connecteur CO lorsqu'il est sorti du terminal ou à l'état inserré par l'intermédiaire du module MPA programmé par exemple pour appliquer ces données aux MOA, en réponse à une intervention spécifique provenance de l'extérieur. Le MPA lui-même peut être réactivé par l'envoi des données de réactivation par exemple par le réseau extérieur.

Pour compléter la description du poste expéditeur de documents, il comprend également des moyens adaptés pour assurer que les données à transmettre soient mises en forme et organisées pour être transmises par exemple selon la technique de transmission par télescopie. Ces moyens pourraient être inclus dans le module MPA. Ce module est également programmé pour effectuer un traitement des données permettant d'émettre avec les données de document un message de label contenant les données d'identification de l'origine du document, telles que celles par exemple du rédacteur et des données d'identification du contenu du document. Le traitement pour établir les données d'identification du contenu peut être de tout type connu approprié. Avantageusement on utilisera la technique de traitement connue sous la dénomination LRCR. Dans l'application de cette technique à l'invention, on additionne les valeurs binaires des caractères contenus dans chaque ligne du document, additionne les sommes de valeur des différentes lignes et transmet dans le message de label la somme binaire de chaque ligne et la somme totale des sommes binaires des différentes lignes. Etant donné que le traitement LRCR est connu en soi, la description de l'application de ce principe à l'invention est suffisante pour permettre à un homme de métier de mettre en oeuvre l'établissement des données d'identification du contenu du document. Le module MPA est en outre adapté pour établir si les données d'identi- fication du contenu du document qui étaient envoyées au destinataire avec le message de label correspondant au contenu du document et/ou sont identiques aux données de contenu de documents comprises dans le message d'accusé de réception renvoyé par le poste destinataire. Si, comme cela sera avantageusement le cas, l'algorithme de cryptage des données de contenu de document est différent de celui qui a été utilisé pour l'établissement du message de label, le module MPA doit être adapté pour effectuer l'opération de décryptage. L'algorithme de cryptage effectué dans le poste récepteur pourrait consister à ajouter à la valeur binaire de chaque ligne du document établie selon le traitement LRCR un nombre que le module
MPA pourrait établir à partir d'une clé qui lui est connue. Pour la reconnaissance de la clé, toute technique connue appropriée pourrait être utilisée.

Le module à microprocesseur MPA est programmé pour coordonner le fonctionnement général du terminal TE. Il gère les programmes d'acquisation de demande d'un document venant du système extérieur par l'interface IF2, le contrôle de la validité des clés d'accès et des paramètres d'habilitation d'un demandeur eu égard du document recherché, le cryptage et le décryptage d'un document à émettre et de son contenu, la génération des numéros d'ordre et numéros de documents, l'échange des données et informations avec les systèmes extérieurs, le contrôle et la commande du module à microprocesseur MG. Le module MPA vérifie en outre l'intégrité du contenu des messages transmis ou reçus avant d'en confier l'archivage au module
MG. Il est encore à noter que la mémoire tampon MT est d'une capacité suffisante pour contenir les logiciels des protocoles de télécommunication et de liaison spécifiques avec les systèmes extérieurs.

Concernant le poste destinataire (non représenté) son dispositif récepteur comprend un équipement informatique permettant d'effectuer les opérations de traitement du contenu du document reçu selon la technique
LRCR, de la comparaison du contenu du document aux données d'identification de contenu comprises dans le message de label reçu et décryptage, selon l'algorithme spécifique des données de contenu de documents pour l'établissement du message d'accusé de réception à destination du poste expéditeur du document reçu.

Bien entendu pour assurer une transmission de données bidirectionnelle, selon la présente invention, le terminal TE sera équipé des moyens qui viennent d'être décrits comme faisant partie du poste destinataire. Ce dernier pourrait alors être équipé d'un équipement identique à celui du poste expéditeur qui a été décrit plus haut de façon détaillée en se référant aux figures.

On décrira ci-après en se référant à la figure 4 les étapes essentielles du procédé selon l'invention pour la transmission d'un document.

Il pourrait s'agir d'une personne employée d'une entreprise qui souhaite transmettre un document stocké sous une forme standard dans la mémoire de bibliothèque
DB. Le document pourrait être une facture. L'employé possède un module MOA contenant les données d'identification et des limites de son droit d'accès au terminal.

Il est à noter que la programmation des registres R a à
R du module MPA a par exemple été fait par le chef de
x l'entreprise. C'est bien lui aussi qui peut être seul habilité à déverrouiller un MOA verrouillé. Le déverrouillage du module MPA pourrait être réservé à encore une autre personne. On obtient ainsi un système avec plusieurs seuils de sécurité.

L'employée appelée opérateur qui souhaite envoyer un document à partir du terminal TE à un poste destinataire, introduit le module MOA qui lui est attribué dans le terminal T2 et envoie, à partir du clavier du module de travail MT, son numéro d'identification au terminal TE. Le module MPA établit tout d'abord si ce numéro d'identification correspond à l'un de ceux qui sont stockés dans les registres de son microprocesseur M1. Dans l'affirmative, sous la commande du module MPA, le module
MOA compare le numéro d'identification reçu à celui contenu dans le registre approprié de son microprocesseur
M1. Si la concordance est établie entre le numéro envoyé et le numéro d'identification stocké, le terminal TE transmet au poste de travail MT le menu des documents stockés et référencés dans la mémoire bibliothèque, c'est-à-dire le disque DB. Ce menu sera affiché sur l'écran du module de travail. S'il n'y a pas de concordance, le terminal TE transmet au module de travail
MT un message de tentative d'accès NON AUTORISE et s'autoverrouille. Selon que l'anomalie constatée est localisée au niveau du microprocesseur Ml du module MPA ou du module MOA, le verrouillage s'effectue dans l'un ou l'autre module. Dans les deux cas, le déverrouillage ne peut être effectué que par intervention spécifique de l'extérieur au module MOA ou MPA.

Après reconnaissance de la concordance et l'affichage du menu au module de travail MT, l'opérateur sélectionne à partir du clavier de son module de travail le document ou segment de document qu'il convoite et qu'il valide. La demande est analysée par le terminal, sous la commande du module MPA, eu égard des paramètres contenus dans les registres des microprocesseurs M1 des modules MPA et MOA, c'est-à-dire des données qui définissent l'étendue et les limites du droit d'accès au terminal, accordé à l'opérateur. Si le résultat est correct, le document, accompagné d'un numéro d'ordre provisoire de l'entreprise est transmis et affiché au poste de travail MT. Dans le cas contraire, le terminal émet un message de tentative d'accès NON AUTORISE et s'autoverrouille. A la suite de l'affichage du document sur l'écran du poste de travail MT, l'opérateur exploite et complète le document et, en fin de traitement, valide celui-ci. Le document est transmis au module MPA pour que celui-ci calcule les données d'identification de contenu du document qui seront intégrées au message de label attaché au document. On intégrera également dans le message de label le code d'identification de l'entreprise, le numéro d'ordre du document dans l'entreprise, les données d'identification du rédacteur du document et la date et l'heure de l'émission du document. Le message de label visualisé au module de travail MT est validé par l'opérateur au clavier et du module MOA. Il s'agit donc d'une opération distincte volontaire et réfléchie de l'opérateur. Si le message de label n'est pas validé, le terminal TE transmet un message de rejet au module de travail qui affiche l'annulation du document et l'opérateur doit alors indiquer s'il souhaite retourner à l'opération de sélection d'un nouveau document ou arrêter la procédure.

Le signe de label est validé, la référence du document, son contenu et le label complété de l'heure de mémorisation sont enregistrés sur le disque archive DA. Le label d'émission ainsi complété est transmis au module de travail MT et affiché à l'écran de celui-ci. L'opérateur peut alors, à l'aide de son clavier, commander l'expédition du document et du message de label associés à son destinataire. Le document et le message de label peuvent être cryptés de toute façon appropriée connue, avant l'envoi.

Le dispositif récepteur du poste destinataire, en général le terminal TE de celui-ci, décrypte à la réception du document et du message de label les données d'identification de contenu de document et les compare au contenu du document. S'il n'y a pas d'identité, le terminal du destinataire émet un message "erreur de transmission" qui aura notamment pour effet de demander la réexpédition du document et l'annulation de l'envoi précédant dans le poste expéditeur. Si le terminal du destinateur constate la concordance sur le résultat de la comparaison, son dispositif récepteur, avantageusement selon un algorithme différent de celui ayant abouti à l'établissement du message de label, traite le contenu du document reçu pour obtenir des données d'identification de contenu de ce document reçu et confectionne un message d'accusé de réception qui sera transmis au poste expéditeur. Ce message d'accusé de réception contient notamment le numéro d'ordre et d'origine du document reçu, le numéro d'identification du destinataire, le numéro d'identification de l'opérateur réceptionnaire au poste destinataire, les données d'identification de contenu du document reçu et la date et l'heure de réception du document. Le dispositif du poste destinataire mémorise aussi le document reçu et les messages de label d'accusé de réception.

Le terminal du poste expéditeur reçoit le message d'accusé de réception, l'opérateur le visualise à son module de travail MT et le valide, ce qui provoque le transfert de l'accusé de réception au terminal qui va à son tour décrypter les données d'identification de contenu de document et les comparer au contenu initial du document expédié. En cas de discordance, le terminal émettra un message de NON AUTHENTIFICATION du document, ce qui amène le terminal à se faire confirmer l'accusé de réception avant de procéder à l'annulation du document. En cas de concordance de la comparaison, le terminal mémorise l'accusé de réception à la suite du message de label sur le disque archive DA et enverra un message de conformité de l'échange de données informatiques, ce qui termine la séquence d'opérations.

Ainsi le système selon l'invention, qui vient d'être décrit, implique l'établissement des éléments de preuves formelles et irréfutables du contenu, de l'origine et de la réception du document expédié.

En se reportant aux figures 5 à 11 on décrira ci-après un perfectionnement au terminal TE selon la figure 1 et dont la structure et le fonctionnement viennent d'être décrits en se reportant aux figures 1 à 4.

La particularité de ce perfectionnement réside dans le remplacement du module disque archive MDA de la figure 1 par un module d'archivage de sécurité MAS qui est susceptible d'être monté amoviblement sur le terminal TE, comme le montre la figure 5. Ce module MAS est contrôlé par le module ordinateur amovible MOA par l'intermédiaire d'un connecteur optique COP relié au circuit imprimé se trouvant sur la plaque PCI qui regroupe les circuits et liaisons électroniques indispensables au fonctionnement du terminal, comme cela a été décrit plus haut. Le dispositif de connexion électrique du module MAS au terminal TE comprend également un connecteur galvanique CGA qui assure l'alimentation en énergie du module à partir du bloc d'alimentation principal du terminal TE.

fois), qui sont commandées par le microcircuit MCA au travers des circuits appropriés désignés par ci. Le module
MAS comprend en outre un contrôleur sélectif d'énergie
CSE, un dispositif émetteur/récepteur opto-électronique
ERO adapté pour coopérer avec le connecteur optique COP faisant partie du terminal TE, et un dispositif de contact
CA destinés à coopérer avec le connecteur galvanique CGA du terminal TE. Les contacts CA captent l'énergie électrique provenant du connecteur CGA et la distribuent par les circuits ci aux mémoires MS et au microcircuit MCA au travers du contrôleur sélectif d'énergie CSE.

La figure 6 illustre que tous les composants MCA,
MS, CSE et les circuits de liaison ci sont supportés par un substrat approprié SSI tel que par exemple un combiné de silicium-céramique permettant "l'empilage" de plusieurs couches de mémoires MS. L'ensemble est moulé en une seule pièce dans un bottier BM interdisant toute ouverture intempestive du module MAS. Le bottier BM de forme parallélépipèdique sera composé avantageusement de résines de synthèse à très haute résistance mécanique et thermique dont la composition a été établie pour entraîner la destruction physique des composants en cas d'une tentative de dissolution du boîtier, par une solution acide ou tout autre moyen mécanique, thermique et/ou vibratoire.

La figure 7 montre plus en détail la structure du module MAS et sa connexion aux autres modules du terminal
TE, notamment le module MOA par l'intermédiaire du module
MPA et les liaisons opto-électroniques ERO/COP et l'interface IF1 reliant les modules MOA et MPA, comme le montre la figure 2. La figure 7 confirme la ressemblance entre les structures du module MOA et du microcircuit MCA.

Dans ce dernier on retrouve le microprocesseur M1 pourvu de registres internes maintenant dénommés RGa à RGx adaptés aux besoins spécifiques du module MAS, le microprocesseur M2, la mémoire bibliothèque Mb adaptée pour recevoir un programme de sécurité particulier spécifique au microprocesseur M2, le registre de communication Bi et surtout le registre spécifique B3 ainsi que le sélecteur S2, qui accomplissent la fonction décrite plus haut du verrouillage et déverrouillage du module en cas d'une anormalité, en rapport avec le module
MOA. Le microprocesseur M2 est adapté pour gérer et accéder aux mémoires MS par le bus d'adresse ba et le bus de données bd regroupés sur la figure 6 sous la désignation Ci. Le circuit MCA comprend en outre un compteur séquentielle d'archivage CSA qui sera incrémenté à chaque archivage d'un document dans le module MAS. A ce compteur est associé un registre d'archivage départ RGad du microprocesseur M1. Le compteur est commandé par le microprocesseur MA.

Le contrôleur sélectif d'énergie CSE qui est piloté par le microprocesseur M2 permet d'alimenter, de manière sélective, uniquement le module de mémoire adressée par le microprocesseur M2. Cette disposition permet de réduire au minimum le besoin d'énergie du module et limite les effets de dissipation thermique à l'intérieur du module. C'est aussi grâce au contrôleur CSE que le module MAS est réalisable comme module portable de faible volume, d'une forme par exemple parallélépipèdique.

La figure 8 illustre un mode de réalisation d'un contrôleur sélectif d'énergie CSE. Ce circuit est un circuit ASIC spécifique commandé par une mémoire tampon de sortie trois états BL prévu dans le module MCA. Le contrôleur sélectif CSE comprend un démultiplexeur 4 x 16 (décodeur) DMO servant de sélecteur (CHIP SELECT
CS) à 16 démultiplexeurs également du type 4 x 16 DM1 à
DM 16 dont chacune des sorties commande un transistor TR du type PNP permettant d'alimenter un module mémoire MS aussi longtemps que la sortie correspondante du démultiplexeur DM1 est sélectée.

Selon le schéma de la figure 8, les 4 bits de poids faible (bo-b3) de la mémoire tampon de sortie BL sont multiplexés aux entrées des démultiplexeurs DM1 à
DM16. Les 4 bits de poids forts (b4-b7) de la mémoire tampon BL sont reliés à l'entrée du démultiplexeur DMO.

Ainsi, selon ce schéma il suffit d'une instruction de chargement du type LOAD BL XX (XX étant la valeur hexadécimale du numéro du boîtier choisi MS pour sélectionner et alimenter en énergie un boîtier MS parmi les 256. Le contrôleur CSE permet donc de réduire effectivement la consommation d'énergie et de limiter la dissipation thermique, comme cela a été indiqué plus haut.

En se référant aux figures 9 à 11, on démontrera ci-après que le module MAS constitue réellement un dispositif électronique de sécurité inaltérable, non modifiable, pour l'archivage et la protection de données informatisées, telles que des textex images numérisés, codés ou non codés, et permet d'apporter même la force probante non répudiable, même du point de vue juridique, de l'authenticité et de l'intégrité d'un document produit par un système informatique tel que celui qui est représenté aux figures 1 et 4.

Il est à noter que tous les modules MAS qui sont fabriqués sont inscrits dans un fichier central se trouvent dans un centre de contrôle. Toutes les données qui caractérisent un module MAS et sont énoncées ci-après sont mémorisées dans ce fichier central d'une façon inaltérable, non répudiable.

La figure 9 illustre l'algorithme de marquage et d'identification des modules MAS après leur fabrication.

Le processus de marquage et d'identification commence par une opération de contrôle technique (indiquée en 10) qui est suivie d'une opération de sélection (11) au cours de laquelle les modules MAS qui se sont avérés défectueux sont immédiatement détruits (en 12) alors que les modules qualifiés sont initialisés (en 25) par l'automate. Cet automate enregistre dans le registre RG du microprocesseur
Mi le numéro d'origine du module MAS considéré. Ce numéro d'origine est constitué par les deux derniers chiffres de l'année en cours, suivis du quantième indiquant le jour de l'initialisation par l'automate, par le code alphabétique de l'automate qui caractérise celui-ci et par le numéro d'ordre du module MAS initialisé par l'automate. Pour la détermination du numéro d'ordre, l'automate est équipé d'un compteur qui est incrémenté d'un pas à chaque fabrication d'un module. Ce compteur de numéro d'ordre est remis à zéro chaque jour. Ce système de numérotation, qui est simple et sur, permet une numérotation infinie sans risque d'une double identification d'un module MAS.

L'opération suivante (14) détermine si le module MAS est affecté directement à un utilisateur final ou s'il est expédié à un distributeur intermédiaire. Dans le cas de l'affectation directe du module, l'automate initialise le registre de destination RGd avec une valeur indiquant que le module a été initialisé par le centre de contrôle et transmis directement à l'utilisateur final (en 15).

L'automate initialise aussi le registre identifiant l'utilisateur RGu (en 16), avec le numéro d'identification interne de l'utilisateur. Ce numéro identifie l'utilisateur dans le fichier central du centre de contrôle. Enfin l'automate initialise (17) le registre RGs de la date de la mise à disposition du module MAS à son destinataire. Cette date sera égale ou antérieure à la date de mise en service chez l'utilisateur. L'automate mémorise également (en 18) les données issues des opérations d'initialisation des registres RGd, RGu et RGs dans le fichier central sur un support 19 inaltérable et le programme retourne (en 20) au début du cycle, à l'opération 10 de contrôle pour exécuter la même séquence d'opération avec un nouveau module MAS.

Dans le cas d'une affectation non directe du module MAS après l'initialisation de son registre RGo (en 13), c'est-à-dire à un intermédiaire tel qu'un distributeur, l'automate initialise le registre RGd (en 21) avec une valeur identifiant le distributeur auquel le module est confié. Il mémorise ensuite (en 22) la valeur des registres RGo et RGd dans un fichier d'attente 23 de mise en service ultérieure. Le programme retourne au départ du cycle (en 24). L'automate pourrait alors exécuter le processus d'identification selon la figure 9 pour un nouveau module MAS.

La figure 5 donne l'organigramme fonctionnel du processus d'utilisation d'un module MAS et de conservation dans le centre de contrôle des données et caractéristiques qui identifient le module utilisé. Cette figure illustre également la faculté offerte à l'utilisateur de dupliquer un module MAS rempli ou partiellement utilisé, le duplicata étant réalisé à l'identique et automatiquement est conservé dans le centre de contrôle. Cette figure fait également apparaître l'aspect de sécurité procuré par le module MAS selon l'invention.

Dans une opération préalable à l'utilisation d'un module MAS, l'utilisateur doit se soumettre aux opérations d'identification et de contrôle qui ont été décrites plus haut et sont spécifiques du terminal TE selon l'invention.

A la suite de cette opération 1'utilisateur commande la reproduction sur par exemple l'écran de visualisation MT du document qui doit être émis par le terminal et qu'il souhaite inscrire dans le module MAS avant l'expédition à son destinataire. Le document apparaissant sur l'écran peut être sorti de la mémoire bibliothèque du terminal ce qui implique le déroulement de l'ensemble des opérations de contrôle d'identification et d'autorisation précédemment décrits, ou a pu être inscrit à l'aide du clavier du poste MT, en respectant les mesures de vérification qui sont prévues à cette fin.

Le processus d'utilisation commence par une opération de vérification (26) si le module MAS dispose encore d'une capacité de stockage suffisante pour effectuer l'opération d'inscription souhaitée. Cette vérification est effectuée par la comparaison du volume d'informations à transmettre, calculé au niveau de l'opération 25, à la capacité de stockage restant disponible dans le module. Ce contrôle a pour objet d'éviter une fragmentation du document lors de l'archivage sur deux modules MAS différents. Si la capacité de stockage est suffisante, le programme de sécurité ordonne l'acquisition des données de document et demande à l'utilisateur (en 27) de lui indiquer les coordonnées du destinataire du document. L'utilisateur exécute la demande et valide l'opération (28). En cas de rejet, l'utilisateur est renvoyé à l'opération 25. Le programme fera ensuite exécuter automatiquement et successivement les opérations d'attribuer (30) un numéro chronologique d'archive à l'intérieur du module MAS, de procéder à l'archivage (31) du document dans le module MAS, d'afficher (32) le document et son numéro d'archive sur l'écran, de transmettre le document (33) de la manière précédemment décrite à son destinataire, de traiter (34) le message de l'accusé de réception en provenance du destinaire selon la nature et le type de la transmission effectuée, d'archiver (35) le message d'accusé de réception sur le MAS à la suite des données de document, de demander (36) la libération de la séquence d'opérations à l'utilisateur, de clôturer l'archivage (37) des données de documents dans le module MAS et de revenir (38) au programme principal.

S'il s'avère que le volume de stockage encore disponible dans le module MAS en place dans le terminal TE est insuffisant pour l'inscription complète des données de document, le programme interne de sécurité intégré au module MCA vérifie (40) que le module MOA en place dans le terminal TE habilite bien l'utilisateur à procéder au changement de module MAS. En cas de résultat négatif (41) le programme est arrêté et un opérateur habilité pour effectuer un changement de MAS est appelé qui bien entendu doit prouver cette habilitation en introduisant son module
MOA dans le terminal.

S'il s'avère qu'à travers la vérification du MOA, que l'utilisateur est habilité à remplacer le module MAS plein par un nouveau module, le terminal, sous la commande du programme, établit automatiquement (42) une liaison de télécommunication avec le centre de contrôle auquel il transmettra les contenus des registres du module plein encore en place, tels que des registres RGo, RGd, RGs,
RGu, pour que ce centre effectue un contrôle de l'origine et de l'identité du module. Il inscrira dans le fichier général le contenu du registre RGad contenant le numéro d'ordre du premier document archivé, la position du compteur séquentiel d'archivage CSA désignant le nombre total des documents archivés et aussi la date du jour courant. Ces données seront archivées (43) dans le fichier central ou ils complèteront les données déjà inscrites auparavant relatives au module MAS plein.

Le centre de contrôle renverra (44) un message d'autorisation de changement de module MAS. Le nouveau module mis en place (45), le programme interne au module
MCA transmettra automatiquement (46) les contenus des registres RGo, RGd, RGs, RGu du nouveau module MAS pour un contrôle de sécurité. Le central de contrôle, après l'opération de contrôle (47) complète le fichier central 19 avec la date du jour et initialise le registre d'archivage départ RGad avec la valeur du compteur séquentiel d'archivage CSA incrémenté de 1 du module MAS précédent. Puis il transmet ces valeurs au terminal TE appelant.

Le programme interne du module MCA initialise à son tour les registres RGa (date de mise en service sur le terminal) et le registre RGad du microprocesseur 1 avec les valeurs reçues du centre de contrôle (en 48) et initialisera le compteur séquentiel d'archivage CSA avec la valeur inscrite dans leur registre RGad.

Le programme interne adresse alors un message de demande de mise en service (49). L'utilisateur valide la demande et le programme interne clôture la séquence d'initialisation du nouveau module MAS et retourne (50) au programme principal à l'opération 25. Le nouveau module est en service, prêt à archiver le document informatisé souhaité.

La figure 11 schématise les opérations effectuées par un distributeur intermédiaire pour initialiser un module MAS destiné à un utilisateur. Le distributeur introduit (52) son module ordinateur amovible MOA personnel et le module MAS (53) qu'il désire faire initialiser dans le terminal TE. Le distributeur valide sa demande sur son module MOA et le terminal TE transmet automatiquement au centre de contrôle le contenu des registres RGo et RGs pour contrôle (54) par comparaison au fichier central des modules MAS en attente (55). Après cette opération, le centre de contrôle renvoie (56) un message demandant au distributeur d'identifier (57) l'utilisateur.

Le distributeur retire son module MOA personnel (58) et introduit (59) le module MOA de l'utilisateur dans le terminal TE qui transmet les coordonnées d'identification de l'utilisateur au centre de contrôle, c'est-à-dire les données des registres RGo, RGu etc. Après contrôle (60) à l'aide du fichier central 31, le centre de contrôle adresse (61) au terminal TE un message de validation pour l'initialisation locale. Le module MCA du terminal TE transférera les éléments d'identification de l'utilisation relevés sur le module MOA de celui-ci dans le module MAS. Une fois l'opération terminée, le terminal transmet les données (RGs, RGu), au centre de contrôle qui met à jour le fichier (63) des modules MAS affectés à des clients utilisateurs. Puis il renvoie (64) un message d'autorisation de clôture au terminal TE du distributeur local qui va extraire (65) le module MOA du client utilisateur, reintroduire (66) son module MOA personnel et valider la clôture de l'initilisation du module MAS, puis extraire (67) le module MAS initialisé et identifié pour le donner au client utilisateur.

Il ressort de la description qui vient d'être faite du mode de réalisation d'un terminal TE utilisant un module d'archivage de sécurité MAS que grâce à ce module, l'archivage et la transmission des données informatisées répondent pleinement aux exigences juridiques d'authenticité, d'inaltérabilité et d'archivage chronologique intégral sans interruption dans la numérotation des documents archivés. L'invention propose ainsi un système sûr, fiable, peu encombrant et très économique à l'usage.

Claims (13)

REVENDICATIONS

1. Système d'inscription de données informatisées, telles les données d'un document, sur un support d'enregistrement, du type comprenant un terminal adapté pour effectuer l'enregistrement des données et un module de support des données enregistrées susceptibles d'être introduites dans le terminal pour l'inscription des données et retirées de celui-ci après cette inscription, caractérisé en ce que le module (MAS) est réalisé sous forme d'un module d'archivage de sécurité et comprend un dispositif ordinateur (MCA) pourvu d'une mémoire (Mb) contenant un programme de mémorisation inaltérable et non modifiable, le dispositif ordinateur (MCA) comprenant des registres de stockage de données d'identification du module et des inscriptions de données.

2. Système selon la revendication 1, caractérisé en ce qu'il comprend un centre de contrôle comportant un fichier central (19) de tous les modules (MAS) fabriqués et des utilisateurs habilités à utiliser des modules.

3. Système selon l'une des revendications 1 ou 2, caractérisé en ce que le module (MAS) comprend un contrôleur sélectif d'énergie (CSE), adapté pour assurer l'alimentation en énergie électrique seulement d'un élément de mémoire (MS1 à MS256) qui a été adressé sélectivement.

4. Système selon l'une des revendications précédentes, caractérisé en ce que le module (MAS) est réalisé sous forme d'un boîtier avantageusement parallélépipèdique comportant un substrat dans lequel les composants du module sont noyés, qui est réalisé en un matériau de haute résistance mécanique et thermique tel que des résines de synthèse appropriée.

5. Système selon l'une des revendications précédentes, caractérisé en ce que le module (MAS) comprend des moyens assurant son autoverrouillage dans le cas d'une anomalie constatée.

6. Système selon la revendication 5, caractérisé en ce que le module (MAS) comprend des moyens de déverrouillage par utilisation d'une clé spécifique de déverrouillage.

7. Procédé de mise à l'étant d'utilisation d'un module (MAS) selon l'une des revendications 1 à 6, caractérisé en ce qu'après la fabrication du module, celui-ci est identifié par inscription de son numéro d'origine, des données d'identification du destinataire du module (MAS) dans des registres d'identification (RGo,

RGd) prévus dans le module, et en ce que les contenus de ces registres sont inscrits dans un fichier (19, 22) du centre de contrôle.

8. Procédé selon la revendication 7, caractérisé en ce que, lorsque le destinataire est l'utilisateur du module (MAS), les données d'identification de l'utilisateur sont inscrites dans le registre (RGd) et les contenus des registres (RGo et RGd) sont inscrits dans le fichier central (19) du centre de contrôle.

9. Procédé selon la revendication 7, caractérisé, en ce que, lorsque le destinataire est un distributeur intermédiaire, les données d'identification du module (MAS) sont inscrites dans un fichier (22) des modules en attente et sont inscrites dans le fichier central lors de l'attribution du (MAS) par le distributeur à un utilisateur.

10. Procédé selon la revendication 9, caractérisé en ce que pour l'attribution d'un module (MAS) par le distributeur à un utilisateur, le distributeur introduit dans le terminal (TE) le module (MAS) à attribuer et un élément (MOA) l'identifiant comme personne habilitée à procéder à une telle attribution, le terminal (TE) transmet au centre de contrôle les données d'identification du module (MAS) à attribuer pour contrôle dans le fichier des modules en attente (22), puis le terminal est amené à envoyer les données d'identification de l'utilisateur au centre de contrôle pour vérification dans le fichier central des utilisateurs habilités de modules (MAS) et procède à l'initialisation du (MAS) après la réception d'un message de validation pour l'utilisateur, de la part de centre de contrôle.

11. Procédé selon l'une des revendications 7 à 10, caractérisé en ce qu'avant une mémorisation des données d'un document dans un module (MAS), on vérifie si la capacité de stockage encore disponible du module est suffisante pour le stockage de toutes les données de document et, dans l'affirmatif, le programme ordonne l'exécution de l'enregistrement et l'attribution à l'enregistrement d'un numéro d'archive.

12. Procédé selon la revendication 9, caractérisé, en ce que, lorsque la capacité de stockage est insuffisante, on vérifie si l'utilisateur est habilité de procéder à un changement de module (MAS), le programme de sécurité provoque l'établissement d'une liaison de télécommunication entre le terminal (TE) et le centre de contrôle, amène le terminal à transmettre au centre de contrôle les données inscrites dans les registres du module (MAS) à changer, que l'on amène le centre de contrôle à envoyer un message d'autorisation du changement de module (MAS) et transmet au centre de contrôle les données d'identification du nouveau module pour un contrôle de sécurité dans le fichier central (19), procède à l'inscription des nouvelles données dans le fichier central (19) et initialise le module (MAS) après réception d'un message de validation pour l'utilisateur.

13. Système selon l'une des revendications 1 a 6, caractérisé en ce qu'il est adapté pour équiper un poste de transmission de documents par une ligne de transmission de signaux électrique, d'un poste expéditeur à un poste destinataire, et en ce que le module d'archivage de sécurité (MAS) forme le moyen de stockage des messages transmis et/ou reçus.