Die Erfindung betrifft ein Verfahren zum Auffüllen des Wertvor­gabespeichers einer Frankiermaschine, deren Funktionsablauf durch eine zentrale elektronische Steuereinheit gesteuert wird, mit einem codierten Informationsaustausch zwischen einer autori­sierenden, ortsfernen Zentrale und dem Benutzer der Frankierma­schine, wobei mittels der Steuereinheit der Frankiermaschine ei­ne passende Zuordnung zwischen den ausgetauschten Informationen überprüft wird sowie eine Frankiermaschine zur Ausführung dieses Verfahrens, mit einer Rechner und Speicher aufweisenden elektro­nischen Steuereinheit, die mit einer Anzahl von Eingabetasten und einem Anzeigefeld verbunden ist, wobei einer der Speicher ein Wertvorgabespeicher für durch Frankieren zu verbrauchende Wertmengen ist.

Nach bekannten Verfahren dieser Art, z.B. entsprechend der US-A-­4,097,923, werden die erforderlichen, ein Paar bildenden Infor­mationen nach einer für alle Frankiermaschinen einheitlich vor­gegebenen Regel, d.h. nach einem Algorithmus, sowohl in der Zen­trale als auch in der Frankiermaschine errechnet und nach dem Informationsaustausch mit der Zentrale hinsichtlich der mögli­chen Paarbildung in der Frankiermaschine verglichen. Dabei er­gibt sich ein zum Auffüllen des Wertvorgabespeichers gültiges Informationspaar, wenn der Komparator der Frankiermaschine fest­gestellt hat, dass beide Einzelinformationen des Paares nach derselben Regel errechnet worden sind. Diese Regel bildet somit einen Zugangsschlüssel für den Erwerb neuer, in der Frankierma­ schine verbrauchbarer Wertmengen.

Diese bekannten Verfahren haben den Nachteil einer begrenzten Sicherheit gegen nichtautorisierte Wertvorgabeauffüllung, denn der Schlüssel zu dem für sämtliche Frankiermaschinen gültigen Sicherheitssystem, d.h. der diesem zugrundeliegende Algorithmus, lässt sich durch Probieren unter Zuhilfenahme üblicher Computer verhältnismässig einfach ermitteln. Die teilweise bei bekannten Verfahren verwendeten Zufallszahlengeneratoren beinhalten eben­falls eine Rechenregel und liefern deshalb keine echten Zufalls­zahlen, so dass sie ebenfalls nur eine begrenzte Sicherheit be­wirken.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren der ein­gangs genannten Art zu finden, das ohne vergrösserten apparati­ven Aufwand eine wesentlich verbesserte Sicherheit gegen nicht autorisiertes Auffüllen des Wertmengenspeichers gewährleistet.

Die Lösung dieser Aufgabe erfolgt erfindungsgemäss dadurch, dass die Erstellung der codierten Informationen und deren gegenseiti­ge Zuordnung zur Bereitstellung von Informationspaaren, in Form von echten Zufallszahlen und regellos vorgenommen wird und die für die betreffende Frankiermaschine allein gültigen Informatio­nen und Zuordnungen sowohl bei der Zentrale als auch in einem Speicher der Frankiermaschine aufbewahrt werden, wobei das Auf­füllen des Wertvorgabespeichers der Frankiermaschine erfolgt, nachdem aufgrund eines Programmes der Steuereinheit festgestellt worden ist, dass die von der Zentrale erhaltene und zum Auffül­len des Wertvorgabespeichers in die Frankiermaschine als Einga­becode eingegebene Information in identischer Formulierung ge­speichert in der Frankiermaschine bereits vorhanden und wobei ein Informationspaar aus diesem Eingabecode und einem für eine weitere Auffüllung der Zentrale mitzuteilenden Retourcode be­steht ist.

Da aufgrund dieses Verfahrens somit sowohl die Einzelinformatio­nen als auch deren paarweise Zuordnung vollkommen regellos, d.h. nach echter Zufallscharakteristik für jede Frankiermaschine un­ abhängig gebildet werden und diese nur bei der Zentrale lesbar vorliegen, ist folglich eine sehr hohe Sicherheit gegen Miss­brauch gegeben.

Die Sicherheit kann weiterhin erhöht werden, indem die Informa­tionspaare tabellenartig im Speicher der Frankiermaschine und entsprechend in der Zentrale vorgesehen sind und nur in der Rei­henfolge der tabellenartigen Einordnung für die Auffüllung des Wertvorgabespeichers abrufbar sind.

Es können mehrere Zentralen vorhanden sein, die sich z.B. bei der Postdirektion eines bestimmten Postbezirkes befinden und die jeweils für die in diesem Postbezirk vorhandenen Frankiermaschi­nen zuständig sind. Der technische Aufwand kann, z.B. an einzel­nen kleineren Postämtern, kann dadurch verringert werden, dass die Informationspaare, bzw. deren Tabellen, in der Zentrale nur in Form von schriftlich ausgefüllten, signierbaren Blättern auf­bewahrt werden, anstatt diese elektronisch in einer EDV-Anlage zu speichern.

Weitere vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus der folgenden Beschreibung anhand der Zeichnungen. Es zeigt:

• Fig.1 ein Schaltpult einer Frankiermaschine,
• Fig.1A das Hauptanzeigefeld zu dem Schaltpult nach Fig.1 mit dem Ziffernfeld für die Informationseingabe,
• Fig.1B das Hauptanzeigefeld der Fig.1B, mit sieben Ziffern einer achtziffrigen Eingabeeinformation,
• Fig.2 einen Teil eines vereinfachten Blockschemas der zentra­len elektronischen Steuereinheit der Frankiermaschine,
• Fig.3A den oberen Teil eines Flussdiagrammes des Programmab­laufs für die Auffüllung des Wertvorgabespeichers,
• Fig.3B den unteren Teil zu dem Flussdiagramm nach Fig.3A,
• Fig.4 ein Blockschema der verketteten Datenfelder (Pointer) eines nichtflüchtigen RAM-Registers sowie der die Informationspaare enthaltenden Codetabellen eines Festwertspeichers (ROM) und
• Fig.5 ein Abbildung von schriftlichen Codetabellen.

Das in Fig.1 dargestellte Schaltpult 1 ist beispielsweise am Ge­häuse einer Frankiermaschine vorgesehen, deren Einzelheiten hin­sichtlich ihres elektronisch gesteuerten, elektromechanischen Antriebes sowie der Funktion der Schaltpultelemente in der CH-PS 669 056 (US-Serial No. 256,070 und US-PS 4,520,725) sowie in den CH-Anmeldungen Nr. 853/89 und 854/89 näher beschrieben sind. Wie dort erwähnt ist, können die Eingabetasten 2-6 des Schaltpultes 1, die sich unterhalb des Anzeigefeldes 7 befinden, je nach der Auswahl eines entsprechenden Programmes mittels der D-SET-Taste 8, entweder für die Eingabe und elektromechanische Einstellung von fest vorgegebenen Frankierwerten entsprechend der zugeordne­ten Beschriftung 9 oder für die inkrementweise Weiterstellung einzelner Dezimalziffern eines Frankierwertes verwendet werden. Die Einführung eines Null-Schlüssels 10 in die Schlüsselaufnahme 11 des Schaltpultes 1 und die anschliessende Betätigung der D-­SET-Taste 8 gibt gemäss dem Programmschema der Fig.3A,B diesen Eingabetasten 2-6 eine weitere Funktion, indem sie zu Tasten ei­ner Zehnertastatur für die Eingabe von Codeziffern werden. Die fünf weiteren Tasten der Zehnertastatur ergeben sich durch die Funktionsänderung der symmetrisch zu den Eingabetasten 2-6 ober­halb des Anzeigefeldes 7 angeordneten Funktionstasten 13-17. Nach dieser Funktionsumschaltung werden die den jeweiligen Ta­sten 2-6 und 13-17 zugeordneten Zahlenwerte 0-9 neben den ent­sprechenden Tasten auf dem Anzeigefeld 7 dargestellt, wie es die Fig.1A und Fig.1B zeigen.

Die umschaltbare erste Funktion der Funktionstaste "CRED LEFT" 13 dient der Abfrage des noch zum Frankieren zur Verfügung ste­henden Vorgabewertes. Eine oberhalb dieser beschrifteten Funk­tionstaste angeordnete rote Leuchtdiode 18 leuchtet auf, wenn ein zum Frankieren eingebener Wert den verbliebenen Vorgabewert übersteigt. Die Frankiermaschine ist in diesem Moment zum Fran­kieren nicht mehr benutzbar, bis der Wertvorgabespeicher 20 (Fig.2) wieder aufgefüllt wird.

Das Blockschema der zentralen Steuereinheit nach Fig.2 zeigt die bereits erwähnten peripheren Elemente als Blöcke "KEYBORD" 8,2-­6, 13-17, "INDICATOR LAMPS" 18, "DISPLAYS" 7, "KEY" 10. Die Sig­nale der Funktionstasten 8, 2-6, 13-17 sowie des Schlüssels 10 werden durch ENCODER 22 in binäre Wortsignale umgesetzt und einem BUSCONTROLLER und MULTIPLEXER 24 zugeleitet. Dieser be­dient periodisch oder spontan die genannten peripheren Elemente, trennt Eingänge und Ausgänge und bringt oder liest die In­formationen in sequentieller Form zum oder vom Peripheriebus 25. Er kann als separater Mikroprozessor ausgebildet sein. Das An­zeigefeld 7 und die Anzeigelampen (18) des Schaltpultes 1 wer­den jeweils über einen DECODER/DRIVER 23 bedient, um aufgrund einer binären Information mit der erforderlichen elektrischen Leistung angesteuert zu werden. Das Element "CLOCK" 26 dient der Zeitsteuerung für die Datumsanzeige auf der zweiten Anzeige 27 des Schaltpultes 1. Der zentrale Rechnerbus 28 ist über einen Busport 29 und einen Busisolator 30 an den BUSCONTROLLER und MULTIPLEXER 24 angeschlossen. Der Busisolator 30 bewirkt eine Trennung der Signale, so dass keinen Störungen zum Rechnerbus 28 gelangen. Der Busport 29 setzt die Signale vom schnellen Rech­nerbus 28 zum langsamen Peripheriebus 25 um.

An den Rechnerbus 28 sind der zentrale Rechner CPU 32 sowie meh­rere Speicher 20,21,33,34 angeschlossen. Der nichtflüchtige Da­tenspeicher RAM 20, der z.B. als RAM mit Batterie, als NOVRAM, EEPROM oder EAROM ausgeführt ist, speichert Zwischenresultate und enthält die durch Frankieren verbrauchbare Wertvorgabe sowie die Kettfelder (POINTERS) (Fig.4) zur Abfrage der in dem Fest­wertspeicher ROM 21 enthaltenen Codetabellen (Fig.4). Dieser Festwertspeicher 21 ist im versiegelten Gehäuse der Frankierma­schine eingeschlossen oder auch selbst versiegelt befestigt. Er ist durch eine vom Postamt autorisierte Person auswechselbar, z.B. falls die zur Verfügung gestellten Codetabellen oder eine von ihnen verbraucht worden sind. Dies kann gleichzeitig mit der durch die entsprechend lange Betriebszeit der Frankiermaschine ohnehin fällig gewordenen Maschinenrevision erfolgen. Der Ver­brauch wird z.B. auf der Anzeige 7 durch eine geignete schrift­liche Information ("out of order") signalisiert, nachdem der LETZTE POINTER gemäss dem Register 36 des Blockschemas der Fig.4 am Ende einer der abgespeicherten Codetabellen 38 angekommen ist. Weiterhin ist ein als ROM, PROM oder EPROM ausgeführter Programmspeicher 33 für die verschiedenen Funktionsprogramme der Frankiermaschine vorgesehen, wie sie u.a. in den zuvorgenannten CH-Anmeldungen 853/89 und 854/89 näher beschrieben sind. Schliesslich ist für temporäre Speicherungen ein Datenspeicher RAM 34 vorgesehen. Es versteht sich, dass verschiedene Speicher gleicher Charakteristik auch als Speicherfelder in einem ein­heitlichen Speicherchip vorhanden sein können.

Um das Auffüllen des Wertvorgabespeichers 20 nur nach vorheriger Einholung einer Bewilligung des Postamtes zu ermöglichen, z.B. nachdem ein dem gewünschten Vorgabewert entsprechender Betrag auf das betreffende Konto des Postamtes überwiesen worden ist, hat zwischen der Frankiermaschine und dem autorisierenden Post­amt ein codierter Informationsaustausch zu erfolgen. Für diesen Informationsaustausch ist dem Postamt eine in dem Festwertspei­cher (ROM) 21 der Frankiermaschine abgespeicherte Retourcode­zahl sowie der gewünschte, nachzufüllende Vorgabebetrag mitzu­teilen. Die anschliessend vom Postamt gelieferte, autorisierende Eingabecode-Zahl bildet die Schlüsselzahl für die Auffüllung des Wertvorgabespeichers RAM 20 der Frankiermaschine. Dieser Infor­mationsaustausch, z.B. in Form von jeweils einer achtstelligen Zahl, kann auf beliebige Weise erfolgen, z.B. mündlich oder per Modem über eine Telefonverbindung oder auch schriftlich.

Der erforderliche Retourcode wird stets von der Frankiermaschine in Anwort, d.h. in "retour", zu der Eingabe einer die Auffüllung autorisierenden Eingabecode-Zahl aus dem sonst nicht zugängli­chen Festwertspeicher ROM 21 freigegeben und kann beliebig oft auf der Anzeige 7 des Schaltpultes 1 aufgerufen werden, wenn der Null-Schlüssel 10 in die Schlüsselaufnahme 11 der Frankierma­ schine gesteckt wird. Der erste Retourcode wird somit dem Benu­tzer der Frankiermaschine für eine spätere Auffüllung durch die Frankiermaschine aus deren Festwertspeicher ROM 21 zur Verfügung gestellt, nachdem er die erste Eingabecode-Zahl zur erstmaligen Benutzung der Frankiermaschine in diese eingegeben hat. Diese erste Eingabecode-Zahl wird z.B. beim Kauf der Frankiermaschine dem Käufer mitgeliefert oder sie wurde bereits vor dem Verkauf für eine mit dem Kauf bezahlte erste Auffüllung eingegeben.

Die für jede Auffüllung erforderlichen Informationen in Form von zwei achtstelligen Code-Zahlen ergeben sich aus dem dem Postamt mitgeteilten Retourcode, z.B. entsprechend der auf der Anzeige 7 dargestellten Zahlenkombination "21379432", zusammen mit dem angegebenen gewünschten Auffüllbetrag von z.B. Fr. 500,- und der neuen Eingabecode-Zahl, die dem gewünschten Auffüllbetrag ent­spricht und beim Postamt der für die betreffende Frankierma­schine massgeblichen Tabelle nach Fig.5 entnommen wird. Entspre­chend dieser Tabelle ist die für Auffüllung um Fr. 500,- erfor­derliche Eingabecode-Zahl gleich der Zahlenkombination "134411 76˝. Die neue Retourcode-Zahl, die nach erfolgter Auffüllung um diesen Betrag für die spätere weitere Auffüllung selbstätig von der Frankiermaschine angezeigt wird, entspricht gemäss dieser Tabelle nach Fig.5 der Zahlenkombination "23490039". Diese Re­tourcode-Zahl dient dem Vergleich mit der von der Frankierma­schine freigegebenen Retourcode-Zahl, bzw. zur Identifikation, wenn der Benutzer für seine Frankiermaschine anschliessend einen weiteren Auffüllbetrag wünscht und wird grundsätzlich nicht vom Postamt mitgeteilt.

Im folgenden wird der Programmablauf der zentralen elektroni­schen Steuereinheit (Fig.2) beim Auffüllen ihres Wertvorgabe­speichers anhand des Flussdiagrammes der Fig.3A,B naher erläu­tert. Der Programmweg über eine durch einen Kreis 40 dargestell­te Uebergangsstelle erfolgt jeweils, wenn die der jeweiligen Verzweigung zugeordnete Aussage, z.B. "Schlüssel Nr.= 0", nicht zutrifft.

Entsprechend dem Flussdiagramm setzt der vollständige Programm­ durchlauf gemäss Verzweigung 41 somit zuerst das Vorhandensein des Schlüssels 10 mit der Nummer "0" voraus, d.h. dies muss über die Schlüsselaufnahme 11 des Schaltpultes 1 der Steuereinheit nach Fig.2 signalisiert sein. Der "PENALTY"-Timer soll gemäss Verzweigung 42 den Wert Null haben, denn er tritt gemäss unter­stem Teil des Flussdiagrammes erst nach einer vollständigen Fehleingabe einer Codeeingabe-Zahl in Funktion. Er soll durch Verdoppelung des Zeitablaufs bei der Falscheingabe verhindern, dass zahlreiche Eingaben probiert werden können. Gemäss Funktionsfeldern 43,44 wird die letzte Pointerposition Pw in einer Tabelle Nw aus dem Register "LETZTER POINTER" (Fig.4) ent­nommen, um den für die Einholung eines autorisierenden Eingabe­codes erforderlichen alten Retourcode gemäss Funktionsfeld 45 auf die Anzeige 7 zu bringen, wie in Fig.1 dargestellt ist.

Um den vom Postamt erhaltenen Eingabecode eingeben zu können, wird nach dem erwähnten Einstecken des Schlüssels Nr.0 gemäss den Funktionsfeldern 46 bis 51 die Code-Eingabefunktion akti­viert. Dies hat zur Folge, dass gemäss Funktionsfeldern 49 bis 51 auf der Anzeige 7 zehn blinkende Pfeile 52 mit den Wertzahlen 53 der Zehnertastatur 2-6,14-17 und acht Striche "--------" erscheinen, die die Freiplätze für die einzugebenden Code-Zahlen kennzeichnen. Der links ausssen in der Strichreihe vorgesehene Strich 54 blinkt ebenfalls, wie in Fig.1A,B durch Strichlinien angedeutet ist. Dies bedeutet, dass das Programm bereit ist für die an dieser Stelle beginnende Code-Eingabe.

Für jede der acht Codetabellen Nw = 0 bis Nw = 7 ist im Pointer-­Register (Fig.4) des nichtflüchtigen RAM-Speichers 20 ein Poin­ter Pw abgespeichert, der auf die nächste, noch nicht zum Auf­füllen verbrauchte Code-Zeile 55 mit den Pointer-Nummern 0, 1,2, 3,... zeigt. Die Pointerregister werden jeweils mit der Nummer Nw der Code-Tabelle aufgerufen. Die in jeder der Code-Tabellen Nw enthaltenen Zeilen 55 weisen jeweils einen Retourcode und einen Primärcode auf. Letzterer ist durch programmgemässes Absu­chen aller abgespeicherter Tabellen Nw zu finden und mit dem Eingabecode zu vergleichen, bis an der Verzweigung 56 der im Coderegister aufbewahrte Primärcode übereinstimmt mit diesem Eingabecode und dann gemäss Funktionsfeld 57 der der betref­fenden Codetabelle Nw entsprechende Wert 58 in das Wertvorgabe­register 20 addiert werden kann.

Die Eingabe der Eingabecode-Zahl beginnt mit der Zahl "1", denn jede Eingabecode-Zahl hat als erste Stelle eine "1", während je­de Retourcode-Zahl mit einer "2" beginnt. Hierfür ist die neben der in der Anzeige 7 abgebildeten "1" angeordnete Taste 13 des Schaltpultes 1 zu drücken. Danach wird die dem gewünschten Auf­füllbetrag entsprechende Tabellennummer Nw eingegeben. Entspre­chend der Tabelle der Fig.5 ist für den Auffüllbetrag von Fr. 100,- die Zahl "1" einzugeben. Anschliessend ist die sich gemäss dieser Tabelle anschliessende Zahlenfolge "445378" einzugeben. Fig. 1B zeigt die Anzeige 7 vor der Eingabe der letzten Zahl "8" dieses Beispieles. An der noch zu vervollständigenden Stelle blinkt der Strich "-". Die Verzweigung 61 entspricht der Pro­grammstelle, an der eine Eingabetaste 2-6,13-17 zu drücken ist. Gemäss Funktionsfeld 62 geht der Tastenwert in das Code-Eingabe­register ein und beim anschliessenden Funktionsfeld 63 wird entsprechend die verringerte Anzahl der freien Zahlenplätze "-" in einem Ziffernzähler reduziert. Die Verzweigung 64 bewirkt, dass sich das Programm entlang der zurücklaufenden Programm­schleife 65 und über die Funktionsfeldern 50,51,61-64 auf glei­che Weise fortsetzt, bis kein freier Zahlenplatz "-" mehr übrig ist und folglich acht Zahlen "11445378" eingegeben worden sind.

Nachdem der Eingabecode vollständig eingegeben worden ist, wer­den die Codetabellen Nw gemäss Funktionsfeld 73 nach dem die­selbe Zahl aufweisenden Primärcode abgesucht. Dies beginnt ge­mäss Funktionsfeld 66 mit der Tabelle Nw = 0. Wurde der Primär­code in der betreffenden Tabelle Nw nicht gefunden und somit die Bedingung "Coderegister = Primärcode" der Verzweigung 56 nicht erfüllt, so wird gemäss Funktionsfeld 67 "Inkrement Nw" die nächste Tabelle Nw geholt, um abgesucht zu werden. Dies setzt sich gemäss Verzweigung 68 und der zurücklaufenden Programm­schleife 69 fort, bis die Tabelle Nw = 8 abgesucht worden ist, ohne dass die Bedingung der Verzweigung 56 erfüllt worden ist, bzw. ohne dass der passende Primäcode gefunden worden ist. Es liegt in diesem Fall eine Fehleingabe vor und das Eingabepro­gramm wird durch den wirksam werdenden PENALTY-Timer gemäss den Funktionsfeldern 70 bis 72 für eine bestimmte Zeit unterbrochen. Nach der Freigabe erscheint der bisherige Retourcode wieder auf der Anzeige 7 und die Eingabe kann erneut gestartet werden. Falls die eingegebene achtstellige Zahl erneut nicht als Pri­märcode-Zahl in einer Tabelle Nw des Festwertspeichers 21 ge­funden wird, erhöht sich die Unterbrechungs- bzw. Strafzeit je­desmal auf das Doppelte.

Wurde an der Verzweigung 56 die Identität zwischen eingegebener Code-Zahl "11445378" und der Primärcode-Zahl festgestellt, so wird der PENALTY-Timer gemäss Funktionsfeldern 74,75 nach even­tuell vorangegangener Fehleingabe wieder auf Null gestellt. Wei­terhin wird die Pointernummer (Po) um einen Wert erhöht (Feld 76) und als neuer Pointer im Register 36 "LETZTER POINTER" zu­sammen mit der zugehörigen Tabellennummer (Nw = 0) gespeichert (Feld 77), so dass dieselbe Code-Zahl nicht nochmals zum Auffül­len verwendet werden kann. Schliesslich wird der Vorgabewert 58 der Tabelle Nw in das Wertvorgaberegister (20) addiert und der neue, für spätere Auffüllungen zu verwendende Retourcode er­scheint auf der Anzeige 7, solange der Schlüssel mit der Nummer "0" in der Schlüsselaufnahme 11 des Schaltpultes 1 bleibt. Zum Frankieren wird ein anderer Schlüssel verwendet, von denen ent­sprechend der Anzahl der Benutzer mehrere vorhanden sein können. Die Ausführung dieser Schlüssel ist in der US-A- 4,788,623 näher beschrieben.

Falls an der Verzweigung 61 anstatt einer Eingabetaste 2-6,13-17 die CE-Taste 80 gedrückt wird, verschwindet an dem betreffenden Zahlenplatz die eingegebene Zahl, indem gemäss Funktionsfeld 81 wieder ein Leerzeichen "-" dort überschrieben wird. Am Funk­tionsfeld 82 wird die geänderte Anzahl der noch einzugebenden Zahlen im Ziffernzähler registriert. Falls jedoch gemäss vorhe­riger Verzweigung 83 bereits acht Zahlenplätze "--------" frei sind, so wird das Programm zum Funktionsfeld 50 zurückgeführt.