FR2706058A1 - Dispositif pour contrôler et commander l'accès différentiel à au moins deux compartiments à l'intérieur d'une enceinte. - Google Patents

Abstract

Dispositif pour contrôler et commander l'accès différentiel à un premier (3) et un second (4) compartiments délimités à l'intérieur d'une enceinte (2), comportant des moyens de reconnaissance (11) d'un objet d'identification (14) de l'intervenant et introduit depuis l'extérieur, lesdits moyens de reconnaissance étant aptes à communiquer (12) de manière cryptée par des premiers moyens de dialogue (42) avec une unité centrale (7) apte elle-même à communiquer de manière cryptée par des seconds moyens de dialogue (43) avec un actionneur (8) disposé à l'intérieur du second compartiment (4), l'unité centrale (7) étant apte à engendrer un message crypté à l'aide d'une clé-mère, l'actionneur (8) étant apte à décripter le message pour retrouver la clé propre, cette dernière devenant ainsi la clé-fille utilisée pour la communication entre l'actionneur (8) et l'unité centrale (7) et inversement.

Description

1 2706058

DISPOSITIF POUR CONTROLER ET COMMANDER L'ACCES

DIFFERENTIEL A AU MOINS DEUX COMPARTIMENTS

A L'INTERIEUR D'UNE ENCEINTE

La présente invention concerne un dispositif susceptible de contrôler et commander l'accès, selon une hiérarchie donnée, à au moins un premier et un second

compartiments délimités à l'intérieur d'une enceinte.

L'invention est plus particulièrement applicable à un distributeur de produits et/ou services, tel que produits consommables, ou de tickets de transport, ou encore un horodateur. On sait que de tels distributeurs comportent généralement une enceinte dans lequel sont disposés les appareils aptes à permettre le fonctionnement du distributeur, ladite enceinte étant généralement divisée de manière à délimiter au moins un premier compartiment contenant les moyens de fonctionnement du distributeur, tels que par exemple les moyens d'acheminement de la monnaie, les moyens de délivrance d'un ticket correspondant au service demandé, les moyens d'impression du ticket, ou tout autre appareil nécessaire au fonctionnement du distributeur. L'enceinte comporte également un second compartiment appelé à contenir les valeurs, et notamment les sommes en numéraire introduites par l'utilisateur. Ledit second compartiment formae ce qu'on appelle communément le compartiment tirelire. Ce dernier peut contenir par exemple une "tirelire pièces" et une "tirelire billets".

Chaque compartiment possède sa propre porte d'accès.

L'accès au premier compartiment dans lequel se trouvent les différents appareils et systèmes de fonctionnement du distributeur n'est pas réglementé de la même manière que l'accès à la tirelire. En d'autres termes, les personnes ayant à intervenir à l'intérieur du distributeur

2 2706058

pour des raisons de maintenance ou d'entretien, n'ont pas, normalement, à intervenir à l'intérieur de la tirelire, dont l'accès est réservé aux seules personnes habilitées à prélever

les fonds résultants des transactions effectuées.

Les distributeurs connus comportent des serrures permettant de bloquer l'accès au premier compartiment, et

également, au second compartiment (compartiment tirelire).

Ainsi, chaque personne appelée à intervenir à l'intérieur du distributeur est détenteur d'une clé. Les personnes chargées de la maintenance et de l'entretien possèdent une clé permettant d'accéder au premier compartiment, tandis que les personnes habilitées à prélever les sommes contenues dans la tirelire, détiennent deux clés, l'une pour le premier

compartiment et l'autre pour la tirelire.

Ce système de clés soulève des difficultés. La première est que les clés sont susceptibles d'être dupliquées relativement facilement, et il est donc possible de faire circuler ces clés ou de les donner à d'autres personnes que celles habilitées. Il est certain également que les personnes à intervenir dans ces appareils peuvent être tentées d'effectuer des manoeuvres frauduleuses à l'intérieur des distributeurs. Par ailleurs, des contraintes de simplification de gestion conduisent à prévoir des clés identiques pour un grand nombre de distributeurs. Cependant,

ce faisant, on augmente les risques de tentative de fraude.

Egalement, du point de vue de la gestion d'un parc de distributeurs de ce type, il est important pour le gestionnaire de connaître avec le plus d'exactitude possible, la nature des opérations effectuées ainsi que leur fréquence, et également l'identité des personnes intervenues à cette occasion et ceci est particulièrement important en ce qui concerne les personnes chargées du prélèvement des sommes

contenues dans la tirelire.

En conclusion, il est souhaitable de déterminer, à chaque intervention à l'intérieur du distributeur, l'identité

3 2706058

de la personne effectuant cette intervention, afin de contrôler si la personne cherchant à intervenir est une personne habilitée. Il est évident qu'un système de serrures à clé classique ne permet pas d'assurer ce contrôle, puisque les clés peuvent être dupliquées et le détenteur d'une clé

n'est pas forcément une personne habilitée.

On a proposé des dispositifs pour tenter de contrôler et réglementer l'accès à la tirelire, et notamment pour connaître son contenu. Il existe ainsi des dispositifs, notamment dans le domaine des horodateurs, comportant un centre de collecte, associé à une carte à mémoire, et également associé à des moyens informatiques portables susceptibles de dialoguer d'une part, avec le centre de collecte et d'autre part, avec chaque horodateur, en langage crypte, en vue notamment de connaître le contenu des sommes contenues à l'intérieur de la tirelire de l'horodateur interrogé. Ce dispositif assure un contrôle relatif de l'accès à la tirelire. Cependant, l'accès à la tirelire est toujours réalisé par l'intermédiaire d'une clé classique, avec

les limitations qui en résultent et mentionnées précédemment.

Bien que ce dispositif donne satisfaction, il est susceptible d'être amélioré, et c'est précisément l'objet de l'invention de proposer un dispositif permettant de contrôler et commander l'accès différentiel à au moins deux compartiments délimités à l'intérieur d'une enceinte, de façon à identifier la personne cherchant à intervenir à l'intérieur de l'appareil, et à contrôler que celle-ci est bien la personne habilitée à cet égard. Le dispositif de l'invention a également pour but d'assurer la sécurité du dispositif permettant l'ouverture de la tirelire, de manière cryptée, sans qu'il soit possible, pour une personne non autorisée par une manoeuvre frauduleuse à l'intérieur du premier compartiment (maintenance) de provoquer l'ouverture de la tirelire.

4 2706058

A cette fin, selon l'invention, le dispositif pour contrôler et commander l'accès différentiel à au moins un premier et un second compartiments délimités à l'intérieur d'une enceinte d'un distributeur de produits et/ou services, de manière à empêcher l'accès au second compartiment, tout en permettant l'accès au premier compartiment, est caractérisé en ce qu'il comporte des moyens de reconnaissance d'un objet d'identification de l'intervenant et introduit depuis l'extérieur, lesdits moyens de reconnaissance étant aptes à communiquer de manière cryptée par des moyens de dialogue, avec une unité centrale apte elle- même à communiquer de manière cryptée par des seconds moyens de dialogue avec un actionneur, en vue de commander ce dernier, celui-ci étant disposé à l'intérieur du second compartiment et étant susceptible de permettre l'ouverture/fermeture d'une serrure associée audit second compartiment, ladite unité centrale comportant des moyens aptes à engendrer un message crypté à l'aide d'une clé propre à l'unité centrale (clé-mère), ledit actionneur possédant des moyens aptes à décrypter ledit message pour retrouver ladite clé propre, cette dernière devenant ainsi la clé-fille susceptible d'être utilisée pour engendrer au moins un message de communication entre

l'actionneur et l'unité centrale et inversement.

De manière avantageuse, ladite clé propre est constituée d'un nombre aléatoire engendré par l'unité centrale. Selon une forme préférée de réalisation, ledit objet introduit par l'intervenant est une carte à mémoire et les moyens de reconnaissance incluent un lecteur de carte à

mémoire (LCAM).

Les moyens de dialogue incluent un algorithme du

type de préférence, D.E.S (DATA ENCRIPTION STANDARD).

Les moyens de reconnaissance sont également aptes à contrôler un code propre au porteur de la carte à mémoire en vue de contrôler, en plus de la clé (CAM), l'identité du

2706058

porteur de la carte et donc de s'assurer que le porteur est

bien la personne autorisée.

Le dispositif comporte également une mémoire apte à enregistrer l'ensemble des opérations effectuées, et l'identité des intervenants. L'invention sera bien comprise à la lumière de la

description qui suit, se rapportant à un exemple illustratif

mais non limitatif, en référence aux dessins annexés dans lequel: - la figure 1 montre de façon schématique un distributeur, en coupe longitudinale, et incluant les moyens de l'invention; - la figure 2 est un schéma synoptique du fonctionnement du dispositif de l'invention; et - la figure 3, montre de manière schématique, le

dialogue entre l'unité centrale et l'actionneur.

Comme montré sur la figure 1, le distributeur de produits ou services, tel que par exemple un distributeur de tickets de transport, portant la référence générale 1, est constitué d'un caisson 2 parallélipipédique et délimitant à l'intérieur une enceinte elle-même divisée en un premier compartiment 3 et un second compartiment 4. Le second compartiment 4 est délimité par rapport au premier compartiment 3 par des cloisons référencées 5. Le second compartiment 4 est du type blindé, et est appelé à contenir les sommes perçues en échange du service procuré aux utilisateurs d'un tel distributeur. Le deuxième compartiment 4 est communément appelé compartiment tirelire. Le numéraire stocké à l'intérieur de la tirelire est symboliquement représenté et porte une référence générale 6. Le distributeur comporte à l'intérieur du premier compartiment 3 une unité centrale représentée par le bloc fonctionnel 7 et destinée à la commande et au contrôle de l'ensemble des appareils et systèmes nécessaires et propres au fonctionnement du distributeur de tickets. Par exemple, l'unité centrale

6 2706058

commande et surveille le déroulement du fonctionnement du sélecteur de monnaie et l'acheminement de la monnaie soit vers la tirelire, soit vers le rendu monnaie; l'unité centrale permet également de commander les systèmes d'ouverture et de fermeture des portes intérieures du dispositif; également, l'unité centrale est associée à des systèmes de gestion par logiciel et comportant des mémoires appelées à contenir des informations propres aux opérations effectuées à l'intérieur

du distributeur.

La tirelire 4 est disposée à l'intérieur du distributeur, et est accessible par une porte qui lui est propre. Le distributeur comporte lui-même une porte permettant d'accéder au premier compartiment 3, étant entendu que l'accès à la tirelire n'est pas possible directement puisque cette dernière est munie d'une porte propre actionnée

par une serrure disposée à l'intérieur.

La tirelire comporte un actionneur 8 apte à agir sur une serrure 9 susceptible de permettre l'ouverture de la porte (non représentée) de la tirelire 4. L'actionneur est relié à l'unité centrale par des liaisons symboliquement représentées

par la ligne 10.

Egalement à l'intérieur du distributeur est disposé un lecteur de carte à mémoire 11 (LCAM), lui-même relié à

l'unité centrale par une liaison 12.

Sont également représentées sur la figure 1, de manière symbolique, la main 13 d'un utilisateur portant une carte à mémoire 14, et par ailleurs la main 13A de ce même utilisateur en train de frapper des touches 14 d'un clavier 16

disposé sur une des parois extérieure du distributeur.

Un ticket 17 représente la contrepartie, sous forme

d'un service, du numéraire introduit par l'utilisateur/client.

Un des buts du dispositif de l'invention est de permettre l'accès à l'intérieur du distributeur aux seules personnes autorisées et ce, de plus, sous forme d'une hiérarchie spécifique en fonction de l'habilitation de ces

7 2706058

dernières, certaines personnes étant autorisées à intervenir à l'intérieur de l'appareil, dans le premier compartiment 3, pour y effectuer des opérations de maintenance et/ou de réparation, tandis que d'autres personnes, différentes des premières, seront habilitées à avoir accès à l'intérieur de la tirelire. En référence aux figures 1 et 2, la personne appelée à intervenir (pour maintenance ou accès à la tirelire) est symboliquement représentée par la main 13 et porteuse d'une carte à mémoire 14, de type connu et comportant des moyens de mémorisation et des moyens électroniques aptes à permettre un dialogue avec le lecteur de carte à mémoire" (LCAM). La carte 14 est introduite par l'utilisateur dans une fente prévue à cet effet et associée au LCAM 11. Ceci correspond au bloc fonctionnel 18 de la figure 2 (la carte à mémoire étant

référencée comme CAM).

La première opération qu'effectue le LCAM est de vérifier si la CAM introduite est conforme au type de CAM attendu et propre aux interventions à effectuer dans le distributeur (voir bloc fonctionnel 19). La vérification donne lieu à une réponse soit négative, soit positive. Si la CAM n'est pas conforme (réponse non) le LCAM 11 délivre une information à l'utilisateur, sous forme du renvoi de la carte introduite (bloc fonctionnel 20). Ceci constitue une première étape de sécurité dans la mesure o on évite ainsi l'introduction de fausses cartes ou de cartes manipulées ou qui ne seraient pas conformes à l'utilisation à laquelle elle est destinée, dans le cadre par exemple de la maintenance de

ce type de distributeur.

Dans l'hypothèse ou la CAM a été reconnue comme conforme, le dispositif de l'invention procède à une seconde

étape de vérification, à savoir l'identification du porteur.

En effet, il ne suffit pas que la CAM introduite soit une carte conforme, mais il convient également que la personne ayant introduit cette carte soit bien parmi celles qui sont

8 2706058

autorisées à intervenir à l'intérieur du distributeur. Afin d'identifier le porteur de la carte (bloc 21), ce dernier, comme représenté schématiquement sur la figure 1, indique sur le clavier 16 disposé sur une face extérieure de l'appareil, un code qui lui est propre, en tapant sur les touches 15

correspondantes du clavier 16.

Là encore, en fonction du résultat de cette vérification, on aboutit soit au rejet de l'opération, et donc au renvoi de la carte vers l'utilisateur (bloc 22), soit à la validation de l'opération, le porteur étant identifié comme étant un porteur approprié; le dispositif procède alors à une troisième étape (bloc 23) visant à déterminer quel type d'opérations sont à effectuer, en d'autres termes, déterminer l'identité de la personne et notamment le type d'intervention qu'elle sollicite et qu'elle est autorisée à effectuer (maintenance et/réparation, ou prélèvement des sommes

disposées dans la tirelire).

Les éléments qui précèdent relatifs au fonctionnement du dispositif en relation avec la figure 2, ont été réalisés par un dialogue entre le LCAM 11 et l'unité centrale, par la liaison 12 (figure 1). Les vérifications de la conformité de la carte, de la conformité du porteur, et la détermination de la nature de l'intervention à effectuer sont

réalisées par l'unité centrale.

En ce qui concerne la détermination de la nature de l'intervention demandée par l'utilisateur, le bloc fonctionnel 23 offre, dans l'exemple représenté, trois possibilités, à savoir une intervention de maintenance dite de premier niveau, une intervention de maintenance dite de second niveau, et une intervention dite de collecte, c'est-à-dire d'accès à la

tirelire en vue de prélever le numéraire qu'elle contient.

Ces trois possibilités sont représentées à titre d'exemple par

les blocs fonctionnels de la figure 2 référencés 24, 25 et 26.

L'accès aux différentes possibilités est effectué par l'intervenant qui, en fonction du code qu'il a introduit

9 2706058

au départ, ou encore en fonction de la carte introduite qui elle-même porte une information propre à l'opération qu'est apte à effectuer l'intervenant, choisit ainsi le bloc fonctionnel correspondant (24, 25 ou 26). Dans l'hypothèse o l'intervenant souhaite une opération de maintenance dite de premier niveau (c'est-à-dire sur certains seulement des appareils contenus dans le distributeur et/ou en vue de la consultation de certains fichies informatiques, ou de réparation), il convient de s'assurer encore une fois que celle-ci est possible compte tenu de la nature de la carte introduite, du porteur, et/ou d'autres informations telles que l'opportunité d'une opération de maintenance et/ou de réparation, et en fonction par exemple de la date de la dernière intervention ou tout autre élément de fait, tel

qu'une panne nécessitant une intervention.

Pour le bloc 24, on aboutit ainsi au bloc 27 symbolisant la dernière étape de vérification consistant à vérifier si l'opération demandée est possible; dans l'affirmative, l'unité centrale provoquera le déverrouillage de la porte de l'ensemble distributeur et permettra ainsi

l'accès à l'intérieur de ce dernier (sauf à la tirelire).

Dans le cas o l'accès est refusé, le dispositif provoque le retour de l'information vers le menu de maintenance premier niveau. Ainsi, pour chaque type d'opération souhaitée, une vérification est effectuée, aboutissant à un refus ou à une acceptation, qui se traduit par l'ouverture de la porte correspondante ou le maintien fermé de ladite porte (en cas de refus). Les blocs 27, 28 et 29 correspondent à ces dernières

étapes de vérification.

En cas d'acceptation des opérations demandées, on aboutit aux blocs 30, 31 et 32, symbolisant le déverrouillage de la porte correspondante, à savoir pour les blocs 30 et 31, le déverrouillage de la porte principale en vue d'opérations

2706058

de maintenance et/ou de réparation, et pour le bloc 32, le

déverrouillage de la porte du compartiment tirelire.

Les opérations de vérification de porteurs de carte et d'identification de carte et d'opérations demandées, permettent de s'assurer, en mémorisant ces informations, dans l'unité centrale lors du déroulement de ces dernières, que les personnes intervenant soient les bonnes personnes, mais également que par exemple la personne amenée à faire la collecte, soit bien une personne autorisée. On s'assure également que cette dernière n'intervient pas pour effectuer des opérations de maintenance et/ou de réparation qui

dépasserait sa fonction et/ou ses capacités.

La figure 3 montre, plus en détail, les moyens qui permettent le dialogue entre les différents éléments de l'invention, et notamment entre le LCAM, l'unité centrale,

l'actionneur et la serrure de la tirelire.

L'unité centrale 7 est reliée, de façon symbolique pour la commodité de la compréhension de l'invention, à un moyen susceptible d'engendrer un nombre aléatoire, référence 40, et une mémoire 41 contenant une clé- mère sous forme d'une valeur numérique. Ces valeurs numériques (nombre aléatoire et clé-mère) sont utilisées pour crypter l'information qui est véhiculée entre l'unité centrale et l'actionneur, par la ligne de communication 10. Les moyens de cryptage sont connus en eux-mêmes, sur le plan matériel, et par exemple peuvent faire appel, sous forme d'un logiciel, à un algorithme connu, tel qu'un algorithme du type DES (DATA ENCRIPTION STANDARD). Ces algorithmes sont connus en eux-mêmes et ne sont pas décrits ci-après plus en détail. Les moyens de cryptage/décryptage

sont symboliquement représentés par le bloc.

L'unité centrale 7 reçoit du bloc fonctionnel 32 (correspondant au bloc fonctionnel 32 de la figure 2) une demande de déverrouillage de la porte d'accès à la tirelire,

en vue de la collecte. L'actionneur 8 est associé à la clé-

mère issue du bloc 41, et également à des moyens de

11 2706058

cryptage/décryptage référencés 43. L'actionneur est susceptible de commander, par une ligne de commande en trait gras et portant la référence 44, la serrure 9 apte à ouvrir la

porte de la tirelire 4.

L'unité centrale, au recu d'une demande d'ouverture de la porte de la tirelire 4, tire un nombre aléatoire du bloc et crypte cette valeur par les moyens 42, à l'aide de la clé-mère du bloc 41. Cette valeur cryptée de la valeur aléatoire est adressée par la ligne de communication 10 vers l'actionneur 8. L'actionneur à son tour, par ses propres moyens de décryptage 43, connaissant la clé-mère du bloc 41,

est capable de retrouver ledit nombre aléatoire.

Ce dernier devient alors la clé-fille qui permettra de crypter la communication entre l'unité centrale 7 et l'actionneur 8. Le cryptage pourra être effectué comme indiqué ci-dessus à l'aide d'un algorithme du type connu tel

que faisant appel à une fonction DES.

Ainsi la communication entre l'unité centrale et l'actionneur est réalisée sous forme cryptée, de manière inviolable, puisque la clé- fille servant à crypter le message est un nombre aléatoire qui n'est connu que de l'unité centrale et de l'actionneur. Il n'est donc pas possible d'intervenir au niveau de la communication, par des manoeuvres frauduleuses de simulation, de visualisation ou de détection des commandes ou ordres communiqués, d'actionner l'actionneur en vue de l'ouverture de la tirelire 4. La liaison 44 entre l'actionneur et la serrure est une liaison dite de puissance

puisque la serrure est essentiellement un appareil électrico-

mécanique qui nécessite une puissance électrique, notamment importante. Le dispositif de l'invention permet d'isoler la partie actionneur à l'intérieur de la tirelire, et ainsi d'empêcher toute action directe sur la serrure, par des moyens

de puissance relativement aisés à dupliquer.

En complément, le dispositif comporte des moyens de mémorisation des caractéristiques des opérations effectuées,

12 2706058

telles que le nombre d'opérations, l'identité des personnes intervenant et également de mémorisation des caractéristiques de cartes à mémoire valables mais qui ont été égarées puis retrouvées par une personne non autorisée et introduites dans le distributeur de manière frauduleuse. Ceci permet dès le

début des opérations d'identifier toute manoeuvre frauduleuse.

La description qui précède se réfère à l'aspect

sécurité vis-à-vis de la tirelire (monnaie).

Le système de l'invention permet également d'assurer la sécurité d'accès au compartiment maintenance pouvant détenir, sous forme de titres de transport pré-imprimés, des

valeurs très importantes.

En effet, l'actionneur et le système de cryptage de l'invention commandent l'ouverture des deux portes des deux

compartiments "tirelire" et "maintenance".

Une personne autorisée pour la maintenance, ayant ouvert la porte maintenance ne doit pas avoir accès au système de fermeture de cette même porte; à défaut, il pourrait frauduleusement bloquer l'actionneur et ainsi intervenir plus

tard sur une machine sans "défense".

C'est pourquoi l'ensemble de fermeture complet compartiment maintenance et compartiment tirelire sont situés

dans la zone blindée du compartiment tirelire.

L'invention n'est pas limitée au mode de réalisation décrit ci-dessus, mais englobe toute variante telle qu'elle

apparaît dans les revendications ci-après.

13 2706058

Claims (5)

REVENDICATIONS

1 - Dispositif pour contrôler et commander l'accès différentiel à au moins un premier et un second compartiments délimités à l'intérieur d'une enceinte d'un distributeur de produits et/ou services, de manière à empêcher au second compartiment, tout en permettant l'accès au premier compartiment, caractérisé en ce qu'il comporte des moyens de reconnaissance d'un objet d'identification de l'intervenant et introduit depuis l'extérieur, lesdits moyens de reconnaissance étant aptes à communiquer de manière cryptée par des moyens de dialogue, avec une unité centrale apte elle-même à communiquer de manière cryptée par des seconds moyens de dialogue avec un actionneur, en vue de commander ce dernier, celui-ci étant disposé à l'intérieur du second compartiment et étant susceptible de permettre l'ouverture/fermeture d'une serrure associée audit second compartiment, ladite unité centrale comportant des moyens aptes à engendrer un message crypté à l'aide d'une clé propre à l'unité centrale (clé-mère), ledit actionneur possédant des moyens aptes à décrypter ledit message pour retrouver ladite clé propre, cette dernière devenant ainsi la clé-fille susceptible d'être utilisée pour engendrer au moins un message de communication entre

l'actionneur et l'unité centrale et inversement.

2 - Dispositif selon la revendication 1, caractérisé en ce que ladite clé propre est constituée d'un nombre

aléatoire engendré par l'unité centrale.

3 - Dispositif selon l'une des revendications 1 ou

2, caractérisé en ce que ledit objet introduit par l'intervenant est une carte à mémoire et les moyens de

reconnaissance incluent un lecteur de carte à mémoire (LCAM).

4 - Dispositif selon l'une des revendications 1 à 3,

caractérisé en ce que les moyens de dialogue incluent un algorithme du type de préférence, D.E.S (DATA ENCRIPTION

STANDARD).

14 2706058

- Dispositif selon l'une des revendications 3 à 4, caractérisé en ce que les moyens de reconnaissance sont

également aptes à contrôler un code propre au porteur de la carte à mémoire.

6 - Dispositif selon l'une des revendications précédentes, caractérisé en ce qu'il comporte également une

mémoire apte à enregistrer l'ensemble des opérations effectuées, et l'identité des intervenants.