Verfahren zum Schutz eines Gerätes vor einem Betreiben mit unzulässigem Verbrauchsmaterial und Anordnung zur Durchführung des Verfahrens

Abstract

 Das Verfahren zum Schutz eines Gerätes vor einem Betreiben mit unzulässigem Verbrauchsmaterial, dessen Authentizität in einem entfernten Datenzentrum überprüft wird, umfaßt die Schritte:

• Generieren von mindestens einem Codewort,
• Speicherung einer Zuordnung zu einem bestimmten Verbrauchsmaterial in Form eines Datensatzes mit Referenzcodewort,
• Aggregation des Verbrauchsmaterials mit dem generierten Codewort, welches in vorbestimmter Beziehung zum Referenzcodewort oder zu einer Gruppe von Referenzcodewörtern steht, welche im Datenzentrum gespeichert vorliegen,
• Erkennen einer Operation des Wechselns eines Verbrauchsmaterials im Gerät, Herstellen einer Kommunikationsverbindung zum entfernten Datenzentrum und Übermittellung des mit dem Verbrauchsmaterial aggregierten Codewortes,
• Empfangen des übermittelten Codewortes im Datenzentrum und Überprüfung der Authentizität des Verbrauchsmaterials anhand der gespeicherten Referenzcodewörter sowie
• Empfangen einer Benachrichtigung für das Gerät nach Überprüfung des Codes im Datenzentrum.

Beschreibung

[0001] Die Erfindung betrifft ein Verfahren zum Schutz eines Gerätes vor einem Betreiben mit unzulässigem Verbrauchsmaterial gemäß des Oberbegriffs des Anspruchs 1 sowie eine Anordnung zur Durchführung des Verfahrens gemäß des Oberbegriffs des Anspruchs 6. Die unten stehende Lösung ist für die Erneuerung von Verbrauchsmaterial von Frankierma-schinen anwendbar. Dabei ist ohne Belang, ob es sich um Tintenkartuschen für Ink Jet-Druckwerke oder um Thermotransferfarbbandkassetten oder um Rotationsdrucktrommeln handelt.

[0002] Frankiermaschinen sind seit den zwanziger Jahren bekannt und werden noch heute ständig vervollkommnet. Das Druckprinzip hat sich von ursprünglichen rein mechanischen Lösungen mit Drucktrommel zu elektronischen Lösungen mit Thermotransfer- oder Tintenstrahldruckkopf verändert. In die zunehmend elektronisierten Steuerungen wurden ab der 70er Jahre Mikroprozessoren und elektronische Guthabenspeicher eingesetzt. Ein gebräuchliches Bezahlungsprinzip "pay before" beruht darauf, daß ein von einem Kundenkonto abgebuchter geldwerter Betrag, sog. Guthabenbetrag, in der Frankiermaschine verwaltet wird. Bei jeder Frankierung wird dieser Guthabenbetrag durch den auf das Versandstück gedruckten Frankierbetrag reduziert. Die Frankiermaschine kann mit einem Guthabenbetrag nachgeladen werden. Zugleich sind spezielle Sicherheitsmaßnahmen entwickelt worden, die eine unbefugte Manipulation zum Schaden des Herstellers oder Nutzers oder der Postbeförderer verhindern oder detektieren sollen. Die Frankiermaschine verbraucht auch Druckfarbe und verschleißt die zur Drucktechnik gehörigen Teile, wobei es im Interesse des Nutzers und der Postbeförderer ist, wenn qualitativ hochwertiges eigenes Material des Herstellers verbraucht wird. Werden jedoch sogenannte Piraterieprodukte eingesetzt, hat dies Auswirkungen auf die Lebensdauer und Druckqualität der Maschine. Es könnte aber gestattet werden, daß ein Orginalprodukt vom Hersteller recyceltet wird. Beispielsweise könnte autorisierte Tinte in eine Orginalkasette für ein druckendes Gerät nachgefüllt werden. Bisher ist es aber nicht möglich, sich ergebende Manipulationsmöglichkeiten völlig auszuschließen.

[0003] Unter dem Titel: Anordnung zur Tintenversorgung und Tintenentsorgung für einen Tintendruckkopf wurde im DE 196 13 944 C1 bereits eine für die Frankiermaschine vom Typ JetMail® geeignete Tintenkassette mit zwei annähernd gleich aufgebauten Tintenbehältern vorgeschlagen. Der eine Tintenbehälter dient zur Entsorgung, der beim Primen aufgefangenen Tinte. Der andere Tintenbehälter dient zur Tintenversorgung und verfügt zwar über eine Tintenendeerkennung mit zwei Elektroden aber keinen Schutz gegenüber Wiederbefüllung mit einer vom Hersteller nicht autorisierten Tinte.

[0004] Eine Tintenendeerkennung mit Elektroden ist aus der DE 27 28 283 C2 vorbekannt. Im Boden des Tintenbehälters sind zwei Elektroden für eine Vergleichsmessung und eine separate Elektrode für eine Leitfähigkeitsmessung zur Tintenendesignalisierung eingebracht. Mittels einer elektronischen Schaltung wird der Übergangswiderstand zwischen diesen Elektroden gemessen und ausgewertet. Die Elektroden sind in Mulden angeordnet, die in den Behälterboden eingeformt sind. Voraussetzung für den Einsatz einer derartigen Tintenendeerkennung ist die Verwendung einer elektrisch leitfähigen Tinte. Ein Schutz gegenüber Wiederbefüllung mit einer anderen als der Orginaltinte ist aber nicht möglich.
Derartige Sensoren zur Tintenendeerkennung liefern der JetMail sicherheitshalber bereits ein Endesignal, wenn noch maximal 200 Frankierungen möglich sind, um ein wegen Tintenmangel unvollständig ausgedrucktes Frankierdruckbild zu vermeiden, daß bereits abgerechnet worden ist. Allerdings ist dann ein Primen bereits nicht mehr möglich. Für eine Nachbestellung eines Tintentankes wird das Endesignal in der Regel zu spät abgegeben.

[0005] Es sind bereits kassettenförmige Behälter mit Tintenflüssigkeit, Farbband oder Toner aus US 5.365.312 vorbekannt, die einen chipförmigen integrierten Schaltkreis mit einem elektronischen Speicher für einen den Vorratsbehälter identifizierenden Code, für ein Verfallsdatum und anderen Daten sowie mit einem Zähler aufweisen, um den Verbrauch beim Drucken durch Zählung der einzelnen Druckimpulse zu bestimmen, welche ausgedruckten Tintentropfen entsprechen. Der integrierte Schaltkreis speichert den aktuellen Füllstatus, welcher durch die Druckersteuerung ausgelesen und angezeigt werden kann. Da ein Neuprogrammieren des Chips und ein Wiederbefüllen des Behälters jedoch nicht möglich ist, kann der Behälter nicht einmal vom Hersteller recyceltet werden.

[0006] Im DE 196 13 945 C2 wurde bereits eine Wiederverwendbarkeitssperre für einen Behälter für die Tintenversorgung eines Tintendruckkopfes vorgeschlagen. Eine Tintenverbindungsleitung ist von Tintendruckkopf an den Behälter mittels einer Hohlnadel durch einen gummielastischen Verschluß angedockt. Die eine Abdeckvorrichtung wird beim Abziehen des Behälters durch die Hohlnadel unumkehrbar ausgelöst. Ein wiederbefüllter Tintenvorratsbehälter kann nicht mehr angedockt werden. Leider verhindert diese Lösung auch die Wiederverwendung von mit Orginaltinte gefüllten Behältern. Die verbrauchten Tintentanks können zur ordnungsgemäßen Entsorgung lediglich an den Händler bzw. Service des Herstelles zurückgegeben werden. Es erscheint unvorteilhaft zu sein, wenn sogar ein vom Hersteller bereitgestelltes recyceltes Verbrauchsmaterial nicht wiederverwendet werden kann. Der Einsatz von genau kopierten Piraterie-Tintenvorratsbehältern kann damit leider auch nicht unterbunden werden. Erforderlich ist eine Unterscheidung von Originalverbrauchsmaterial von unautorisierten Kopien desselben sein. Das nicht vom Hersteller geprüfte oder durch ihn nicht frei gegebene Verbrauchsmaterial stellt eine Gefährdung der Lesbarkeit des Frankierabdruckes dar. Der Frankierabdruck muß von den Postbehörden visuell und maschinell lesbar sein, um die Portobezahlung verifizieren zu können. Das verwendete Verbrauchsmaterial muß deshalb zusammen mit anderen Komponenten der Frankiermaschine durch die Postbehörden zugelassen werden.

[0007] Aus der EP 730 974 A2 ist eine Lösung der Anmelderin speziell für Thermotransferfarbbänder bekannt. Dabei werden herstellerseitig dem Farbband Markierungen (z.B. ein Balkencode an den Anfang des Farbbandes) aufgeprägt. Nach dem Einsetzen des Farbbandes in die Frankiermaschine wird automatisch eine Detektierung dieser Markierung (z.B. mittels eines optischen Scanners) durchgeführt. Der Steuereinheit der Frankiermaschine wird der Dateninhalt der Markierung übermittelt und mit vorgespeicherten Referenzcodes verglichen. Diese Referenzcodes sind herstellerseitig nichtflüchtig in der Frankiermaschine gespeichert worden. Um dem Bekanntwerden der Codes entgegen zu wirken, ist auch bereits vorgeschlagen worden, diese Codes in gewissen Zeitabständen neu zu generieren, wobei diese von einem Datenzentrum des Herstellers mittels Datenfernübertragung in die Frankiermaschine gespeichert werden können. Jeder vom Datenzentrum gelieferte Code ist außerdem zeitlich limitiert, was einen Angriff nach Ablauf der vorbestimmten Zeitperiode verhindert. Bekannt ist auch das Zählen der Abdrucke an sich.
Nachteilig an obigem Verfahren ist die fehlende Synchronisierung zwischen der Ausgabe der neuen Codes für das Verbrauchsmaterial und der Speicherung der entsprechenden Referenzcodes in der Frankier-maschine einerseits und dem nicht vorhersehbaren Zeitpunkt des Erwerbes und Einbaues des Verbrauchsmaterials in die Frankier-maschine. Zwangsläufig kommt es dabei zu zeitlichen Überlappungen, wobei Verbrauchsmaterial mit alten Codes nicht mit den neu in der Frankiermaschine gespeicherten Referenzcodes zusammenspielt. Wenn man in diesen Übergangszeiten mehr als einen der Codes für gültig erklärt, wächst in diesem Maße auch die Gefahr, daß bekannt gewordene Codes mit unautorisertem Verbrauchsmaterial kombiniert werden und dies nicht detektiert werden kann.
Ein weiterer Nachteil ist die fehlende Information für den Hersteller, daß ein bestimmter Kunde unautorisiertes Verbrauchsmaterial einzusetzen versucht. Diese Information gewinnt lediglich die Frankiermaschine, welche dann nur in vorprogrammierter Weise etwa durch Verweigerung der Frankierung reagieren kann. Eine flexible Reaktion auf den Kunden etwa durch eine persönliche telefonische Verbindungsaufnahme seitens des Herstellers kombiniert mit einer zeitlich befristeten Erlaubnis, das unautorisierte Verbrauchsmaterial zu verwenden, ist so nicht möglich.

[0008] Aus der DE 198 38 913 A1 ist ein Verfahren zur Orginalitätsprüfung eines Erzeugnisses, wie zum Beispiel Arzeneimittel, Nahrungs- und Genußmittel oder Elektronik- oder Softwareprodukten, bekannt, welches eine Information an den Hersteller liefert, ob ein bestimmter Kunde ein autorisiertes oder unautorisiertes Erzeugnis einsetzt. Letzteres kann aber weder erschwert noch verhindert werden. Folglich kann ein Gerät ohne rechliche Folgen und ohne Nachteile mit unautorisierten Verbrauchsmaterial betrieben werden, insbesondere wenn der Hersteller davon nicht zwangweise in Kenntnis gesetzt wird und somit einen evtl. Qualitätsverlust nicht sofort verhindern kann.

[0009] Es ist bereits bekannt einen bevorstehenden Wechsel von Verbrauchsmaterial via Display anzuzeigen. Bereits in der deutschen Offenlegungsschrift DE 195 49 376 A1 wurde durch die Anmelderin vorgeschlagen, Sensoren zur Bestimmung der Farbbandrestmenge auf Farbbandkassetten für einen Thermotransferdrucker einzusetzen oder die Anzahl an Abdrucken mittels der Steuerung des Thermotransferdruckers zu zählen.

[0010] Das Zählen der Abdrucke bei den Piezo-Ink-Jet-Druckköpfen kann keine Information über die Tintenrestmenge im Tintentank liefern, weil bei einer geringen bis mittleren Anzahl an Frankierungen pro Tag der Verbrauch durch das Primen überwiegt, was die Anzahl an möglichen Abdrucken je Tintentankfüllung reduziert. Bei Piezo-Ink-Jet-Druckköpfen geht leider bei Primen ein Großteil an Tinte verloren und kann nicht wieder dem Kopf zugeführt werden. Es ist auch bekannt, den beim Primen verbrauchten Tintenteil wieder dem Kopf zuzuführen. Deshalb ist es zur sicheren Tintenversorgung wichtig, das Tintenende zu erkennen und rechtzeitig zu signalisieren. Bei einem vorzeitigen Austausch bzw. Einsatz eines wiederbefüllten aber nicht ganz vollen Tintentankes kann jedoch die Tintenrestmenge nicht genau bestimmt werden. Somit kann nicht einfach festgestellt werden, ob ein Wechseln zwischenzeitlich erfolgt ist.

[0011] Die Aufgabe der Erfindung ist es, ein Verfahren zum Schutz vor Verwendung von unzulässigen Verbrauchsmaterialien in Geräten zu entwickeln, welches die Verwendung von unzulässigen Verbrauchsmaterialien weitgehend minimiert. Unzulässig sind überlagerte alte Verbrauchsmaterialien ebenso, wie diejenigen von schlechter Qualität anderer Hersteller, insbesondere Piraterieprodukte. Dabei soll sich der Schutz nach dem gleichen Verfahren auf unterschiedliche Verbrauchsmaterialien erstrecken, unabhängig von deren Art. Auch der Versuch einer Verwendung von Verbrauchsmaterialien durch nichtautorisierte Hersteller soll erfaßt werden. Eine Anordnung zur Durchführung des Verfahrens soll Mittel aufweisen, die mindestens den Wechsel von Verbrauchmaterial, deren Art bzw. optional deren Kennung und ggf. deren Hersteller erkennen.
Außerdem soll auch das Nachfüllen von autorisierten Tintenbehältern mit unautorisierter Tinte erschwert werden.

[0012] Die Aufgabe wird mit den Merkmalen des Verfahrens nach dem Anspruch 1 bzw. mit den Merkmalen der Anordnung nach dem Anspruch 6 gelöst.

[0013] Es wurde ein Piraterieschutz für Verbrauchsmaterial basierend auf dessen Authentifizierung entwickelt, wobei ein Datenzentrum die Authentizität überprüft. Es stellt einen erheblichen logistischen Vorteil dar, verschiedene Verbrauchsmaterialien, unabhängig von deren Art, mit dem gleichen Verfahren schützen zu können.

[0014] Vom Hersteller des Verbrauchsmaterials wird zu diesem Zweck mindestens ein dieses identifizierendes Codewort generiert. Die Zuordnung des Codes zu einem bestimmten Verbrauchsmaterial wird in einer Datenbank in Form eines Datensatzes mit Referenzcodewort, ggf. mit Identifikationsnummer, gespeichert. Die Identifikationsnummer kennzeichnet die Art des Verbrauchsmaterials. Eine Aggregation des Verbrauchsmaterials mit dem generierten Codewort erfolgt beim Hersteller, indem einem zum Verkauf vorgesehenen Verbrauchsmaterial ein Codewort beigefügt oder durch Befestigen oder vergleichbare Maßnahmen fest zugeordnet wird. Darunter fällt auch eine Markierung des Verbrauchsmaterials mit diesem Codewort, die abhängig vom physikalischen Zustand des Verbrauchsmaterials in sehr unterschiedlicher Weise durch physikalische oder chemische Maßnahmen erfolgen kann. Zum Referenzcodewort oder zu einer Gruppe von Referenzcodewörtern, die im Datenzentrum des Herstellers in der Datenbank gespeichert vorliegen, steht dieses Markier-Codewort in einer vorbestimmten Beziehung. Nach dem Erkennen einer Operation des Wechselns eines Verbrauchsmaterials in einem Gerät entfernt vom Datenzentrum, und dem Herstellen einer Kommunikationsverbindung zum entfernten Datenzentrum erfolgt eine Übermittellung des mit dem Verbrauchsmaterial aggregierten Codewortes. Beispielsweise kann im einfachsten Fall, wo eine Übereinstimmung mit dem Referenzcodewort vorliegt, im Datenzentrum die Authentizität durch die Operation Vergleichen überprüft werden. Wenn die Überprüfung im Datenzentrum erfolgt, kann natürlich eine Übertragung von Referenzcodewörtern zum Gerät und eine spezielle Auswerte-Hard/-Software entfallen. Das Gerät, beispielsweise eine Frankiermaschine, ist erfindungsgemäß mit Mitteln zum Erkennen einer Operation des Wechselns eines Verbrauchsmaterials, zum Herstellen einer Kommunikationsverbindung zum entfernten Datenzentrum, zur Übermittellung des mit dem Verbrauchsmaterial aggregierten Codewortes und zur Benachrichtigung des Gerätes ausgestattet. Das Gerät weist einen Mikroprozessor auf. Die Benachrichtigung erfolgt über das Ergebnis einer im Datenzentrum extern vom Gerät durchgeführten Überprüfung des Codewortes mittels dem Referenzcodewort. Der Mikroprozessor des Gerätes ist programmiert:

• das Wechseln eines Verbrauchsmaterials zu erkennen,
• nach dem vorgenannten Erkennen eine Mitteilung per Display anzuzeigen und auf eine Eingabe eines Codes zu warten,
• eine Kommunikationsverbindung zum entfernten Datenzentrum herzustellen, zur Übermittlung des eingegebenen Codes und zum Empfang einer Benachrichtigung des Gerätes nach Überprüfung des Codes im Datenzentrum sowie
• den Betrieb des Gerätes zu verändern, wenn die Benachrichtigung beinhaltet, daß die erfolgte Überprüfung des Codes extern vom Gerät keine Authentizität des Verbrauchsmaterials ergeben hat.

[0015] Letzteres ist der Fall, wenn keine vorbestimmte Beziehung mit einem der entfernt gespeicherten Referenz-Code oder Nichtübereinstimmung vorliegt. Zur indirekten Erkennung des Wechselns einer Tintentankkassette dient ein Auswerten eines vorbestimmten Zählerstandes für die Abdrucke, wenn Sensoren ein Wiedereinschalten und einen Tintenpegel erfassen.

[0016] Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen gekennzeichnet bzw. werden nachstehend zusammen mit der Beschreibung der bevorzugten Ausführung der Erfindung anhand der Figuren näher dargestellt. Es zeigen:

Figur 1,

Perspektivische Ansicht einer Frankiermaschine vom Typ T1000 von vorn links,

Figur 2,

Blockschaltbild der Frankiermaschine nach Fig.1,

Figur 3,

Schaltbild eines Detektors,

Figur 4,

Perspektivische Ansicht einer Frankiermaschine vom Typ JetMail® von vorn rechts,

Figur 5,

Darstellung des Wechselns des Tintentanks bei Frankier-maschine vom Typ JetMail®,

Figur 6,

Blockschaltbild der Frankiermaschine vom Typ JetMail®.

[0017] Die perspektivischen Ansicht einer Frankiermaschine 1 vom Typ T1000, ist gemäß der Figur 1 von vorn links dargestellt. Die Frankiermaschine 1 hat ein internes Modem und ist beispielsweise zur Guthabennachladung über eine erste Datenverbindung 14 mit einem Datenzentrum 100 verbindbar, welches eine Datenbank 130 aufweist. Eine Chipkarte 10 dient beispielsweise zur Einstellung der Frankiermaschine auf eine Kostenstelle, unter welcher die Abrechnung vorgenommen werden soll. Die Frankier-maschine 1 hat ein Kassettenfach 7, welches für ein Einsetzen einer Thermotransferfarbbandkassette 9 geöffnet werden muß. Beim Öffnen vor und/oder beim Herausnehmen der Kassette, welches ein - nicht dargestellter - Sensor detektiert, wird vom Mikroprozessor ein Anzeigetext generiert und auf dem Display eines Userinterface 4 erscheint eine Warnung vor dem Herausnehmen einer vom Hersteller autorisierten Kassette 9 und dem Weiterbetreiben der Frankiermaschine 1 mit einer nicht autorisierten Kassette, um Schäden, wie auch vorzeitige Alterung der Drucktechnik, und einem qualitativ verschlechtertem Druckbild vorzubeugen. Eine Markierung ist als Balkencode an den Anfang des Farbbandes aufgeprägt. Nach dem Einsetzen der neuen Farbbandkassette in die Frankiermaschine wird automatisch eine Detektierung dieser Markierung mittels eines - nicht dargestellten - optischen Scanners durchgeführt, um der Steuereinheit der Frankiermaschine den Dateninhalt der Markierung zu übermitteln, wie das bereits aus der EP 730 974 A2 vorbekannt ist. Im Unterschied zur vorgenannten EP 730 974 A2 wird jedoch eine Kommunikation zwischen der Steuereinheit der Frankiermaschine und dem Datenzentrum durchgeführt, in dessen Ergebnis ein herstellerauthentisches Farbband im Datenzentrum erkannt und von dort der Mikroprozessor veranlaßt wird, entweder eine OK-Mitteilung anzuzeigen oder eine Fehlermeldung (CALL SERVICE) abzugeben, wenn seitens des Datenzentrums kein herstellerauthentisches Farbband erkannt werden konnte. Es sind physikalische Kennungen denkbar, etwa das Aufkleben eines Barcodelabels, das mit einem einfachen Scanner gelesen werden kann. Die Markierung des Verbrauchsmaterials mit diesem Codewort kann auch in anderer davon sehr unterschiedlicher Weise erfolgen.

[0018] Anhand der Figur 2 wird ein Blockschaltbild erläutert, welches auf die - in der Fig.1 gezeigte - Frankiermaschine 1 oder ein anderes beliebiges Gerät zutrifft. Ein derartiges Gerät hat einen Mikrocomputer µP 19 zur Steuerung des eine Tastatur und ein Display mit Controller aufweisenden Userinterfaces 4, eines Modems 13 und eines Druckers 17 und/oder anderen nicht gezeigten Aktoren, welche über ein Ein/Ausgabe-Interface 18 an dem Mikrocomputer µP 19 angeschlossen sind. Außerdem sind in bekannter Weise weitere Sensoren, wie ein Encoder 90 und ein Briefsensor 91 angeschlossen. Für das sichere Detektieren des Herausnehmens bzw. Wechselns des Verbrauchsmaterials ist mindestens ein Detektor 16 am Ein/Ausgabe-Interface 18 angeschlossen. Zusätzlich kann am Ein/Ausgabe-Interface 18 ein Scanner 15 angeschlossen oder ein vergleichbares Mittel zur Erkennung eines Codewortes am Verbrauchsgut. Wenn das vorgenannte Gerät eine Frankiermaschine 1 ist, kann am Ein/Ausgabe-Interface 18 eine Portorechner-Waage 2 über ein Kabel 24 zur Datenverbindung angeschlossen werden. Eine weitere Datenverbindung 14 dient zur Verbindung des Modems 13 mit dem Datenzentrum 100. Gegebenenfalls kann der Scanner 15 entfallen, wenn ein Codewort mittels Userinterface 4 eingegeben und über das Modem 13 und die Datenverbindung 14 zum Datenzentrum 100 übermittelt wird.

[0019] Die Figur 3 zeigt ein Schaltbild eines Detektors, der das Herausnehmen bzw. Wechseln des Verbrauchsmaterials auch dann sicher detektiert, wenn das Gerät ausgeschaltet ist und nicht mit Systemspannung U_s versorgt wird. Der Detektor hat eine handelsübliche Lithium-Batterie BAT, welche einen Speicher mit einer Speichererhaltungsspannung von ca. 3V versorgt. Ein erster Schalter S1, wird beim Herausnehmen bzw. Wechseln des Verbrauchsmaterials betätigt. Beispielsweise wird ein mechanischer Kontakt geöffnet, welcher die Spannungsversorgung des Speichers durch die Lithium-Batterie BAT unterbricht. Diese Spannungsversorgung wird detektiert und verursacht das Schließen eines zweiten Schalters S2, der vorzugsweise als CMOS-Schaltung realisiert ist. Der RESET-Eingang des Speichers wird dadurch mit Masse (L-Pegel) verbunden, was zum sicheren Löschen des Speicherinhaltes des Speichers führt. Anderenfalls liegt bei einge-schalteten Gerät am Reseteingang über einen Widerstand R und die Diode D1 eine positive Spannung U_s = +4,5 bis +5V (H-Pegel) oder über die Diode D2 bei ausgeschalteten Gerät eine positive Spannung U_BAT = +2,5 bis +3V (H-Pegel) an. Der Speicher kann als SRAM ausgebildet sein, der vom Mikrocomputer 19 über das Interface 18 mittels einem - nicht gezeigten - Schieberegister mit einem Code ausgestattet und bezüglich des Vorhandenseins des Codes abgefragt werden kann.

[0020] Die Art der Aggregation des Verbrauchsmaterials mit dem Codewort hängt vorzugsweise von der Art des Verbrauchsmaterials ab. Es ist vorgesehen, daß ein Sensor direkt oder indirekt die Anwesendheit von Verbrauchsmaterial nach einem physikalisch Wirkprinzip festzustellen gestattet, wobei das Verbrauchsmaterial ein fester Körper ist. Beispielsweise ist das Verbrauchsmaterial ein Farbband für eine Frankiermaschine nach Figur 1.

[0021] Für eine Frankiermaschine nach Figur 4 ist vorgesehen, daß das Verbrauchsmaterial ein mit Tinte gefüllter Tintentank ist. Für eine - nicht gezeigte - andere Frankiermaschine ist vorgesehen, daß das Verbrauchsmaterial ein Tintenstrahldruckkopf mit integriertem Tintentank bzw. eine Kartusche ist. Ein derartiger Wegwerfdruckkopf ist zum Beispiel der Siemens-Typ DHP50.

[0022] Grundsätzlich kann die erfindungsgemäße Lösung auch bei Frankiermaschinen eines anderen Types, zum Beispiel bei einer Frankier-maschine mit Drucktrommel, angewendet werden. Es ist vorgesehen, daß das Verbrauchsmaterial eine Tinte ist. Nach dem Öffnen einer Abdeckung kann Tinte aus einer Flasche oder Tintenkartusche nachgefüllt werden. Das Codewort ist auf der Flasche bzw. Tintenkartusche aufgedruckt oder auf einem Label, welches an letzteren befestigt ist. Eine Frankiermaschine mit Drucktrommel der Anmelderin vom Typ EFS hat ein Farbwerk mit einer stufenförmigen Abdechung, die ein einfaches Nachfüllen der Druckstempelfarbe ermöglicht und einen ungewollten Austritt der Druckstempelfarbe verhindert (EP 269 883 B1). Die Druckstempelfarbe läuft aus einer aufgeschraubten Kartusche in eine Farbkammer und wird mittels Rollen zur Drucktrommel befördert. Eine besonders einfache Variante geht davon aus, daß das Codewort visuell lesbar als Zahl mit dem Verbrauchsmaterial mitgeliefert wird und daß der Benutzer das Eintippen der Zahl durch Betätigen entsprechender Bedienelemente vornehmen muß. Der Vorteil bei einer halbautomatischen Lösung liegt a) im Wegfall des Aufwandes für einen Scanner in der Frankiermaschine, b) im Schutz des Verbrauchsmaterials Tinte, welcher dadurch erstmals ermöglicht wird.

[0023] Diese Lösung setzt ebenfalls das Vorhandenseins eines Modems und eines Sensors voraus, der das Wechseln bzw. den Einsatz eines neuen Verbrauchsmaterials erkennt. Es ist vorgesehen, daß die Frankier-maschine einen Sensor und eine Steuereinheit mit Prozessor aufweist, der programmiert ist, nach dem vorgenannten Erkennen eine Mitteilung zu generieren und per Display anzuzeigen und auf die Eingabe der Zahl zu warten, welche als Codewort per Modem zum Datenzentrum übermittelt wird.

[0024] Für irgend ein Peripheriergerät ist zum Beispiel vorgesehen, daß sich das Verbrauchsmaterial in einem nichtfesten Aggregatzustand befindet. Für ein Peripheriergerät ist vorgesehen, daß das Verbrauchsmaterial eine bestimmte Flüssigkeit für einen Briefbefeuchter und -schließer ist. Letzterer kann Bestandteil einer automatischen Zuführvorrichtung für Briefe sein. Gewöhnlich ist aber mindestens ein Behälter vorhanden, der ein fester Körper ist und mit einer Markierung versehen werden kann.

[0025] Eine andere Variante verwendet einen Chip, in welchem das Codewort gespeichert ist und durch Herstellung einer Verbindung, beispielsweise über elektrische Kontakte, bei Installation des neuen Verbrauchsmaterials ausgelesen werden kann.

[0026] Eine - in der Fig.1 gezeigte - Portorechner-Waage 2 hat einen Wiegeteller 21, ein Display 23 und eine Tastatur 25 zur Eingabe von Versandinformationen über einen zubefördernden Brief 33. Wenn eine weitere Datenverbindung 24 zwischen den Geräten eines Systems besteht, kann von einem Gerät, beispielsweise von der Portorechner-Waage 2 eines Frankiersystems nicht nur das Gewicht, der Portowert und andere Daten zur Frankiermaschine 1 sondern über das Modem der Frankiermaschine 1 außerdem eine Mitteilung an das entfernte Datenzentrum 100 abgesandt werden, beispielsweise welches Rate-PROM für die Portowertberechnung verwendet wird. Letzteres befindet sich innerhalb einer Speichereinschubkarte 22, die in der Portorechner-Waage 2 einsteckbar ist. Die Datenzentrale 100 kann anhand von in einer Datenbank 110 gespeicherten Daten unterscheiden, ob eine autorisierte oder eine nicht autorisierte Portogebührentabelle in der Portorechner-Waage 2 verwendet wird.

[0027] Bei der in der Figur 4 von vorn rechts dargestellten perspektivischen Ansicht einer Frankiermaschine vom Typ JetMail® existiert eine interne Datenverbindung zur integrierten Waage 20 deren - nicht dargestelltes - Rate-PROM prinzipiell ebenso überprüft werden kann, wie beispielsweise ein beliebiges anderes Bauteil, daß in modularer entfernbarer Form vorliegt und einen Speicher aufweist.

[0028] Stromaufwärts der Frankiermaschine 1 ist eine automatische Zuführung 3 mit intergrierter Vereinzelungsvorrichtung angeordnet. Ein Andruck-Bügel 35 kann hochgeklappt werden und drückt dann auf einen Poststapel, aus welchen mittels Abzugsrollen 32 Briefe vereinzelt werden. Unter einer Haube 34 befinden sich weitere Teile der Vereinzelungsvorrichtung. Ein Brief liegt an einer Führungsplatte 31 an und wird zur stromabwärts zur Führungsplatte 11 der Frankiermaschine 1 bewegt, wo der "Frankieren" genannte Druckvorgang erfolgt. Ein weiterbewegte frankierter Brief liegt an einer Führungsplatte 81 eines Schließmoduls 8 an. Ein Schließwalzenpaar 82 sorgt für das Verschließen noch nicht völlig geschlossener Briefkuverts und für den Auswurf über einen Einsatz 5 in den Ablagekasten 6. Der Aufbau der Frankiermaschine vom Typ JetMail® ist beispielsweise in der nicht vorveröffentlichten deutschen Patentanmeldung DE 199 00 686.5-27 näher beschrieben worden, unter dem Titel: Anordnung zum Schließen von Briefumschlägen.
In der Führungsplatte 11 der Frankiermaschine 1 sind eine Chipkarten-Scheib/Lese-Einheit 70 und ein Ein/Ausschalter 71 angeordnet. Nach dem Einschalten kann eine Chipkarte 10 in Verbindung mit dem Userinterface 43, 45 zur vereinfachten Einstellung der Frankiermaschine verwendet werden. Das Userinterface 43, 45 befindet sich auf dem Meter 12 der Frankiermaschine 1. In dem deutschen Gebrauchsmuster DE 298 21 903 U1 ist ein international einsetzbares Userinterface näher erläutert worden.

[0029] Ein - nicht gezeigter - Mikroprozessor der Frankiermaschine 1 überwacht den Füllstand eines - in der Figur 5 - gezeigten Tintentankes 95 mittels eines Tintenendesensors 92. Letzterer kann gemäß dem deutschen Patent 196 13 944 C1 mit zwei Elektroden in Kontakt stehen. Derartige Sensoren liefern in der JetMail sicherheitshalber bereits ein Endesignal, wenn noch maximal 200 Frankierrungen möglich sind, um ein wegen Tintenmangel unvollständig ausgedrucktes Frankierdruckbild zu vermeiden. Der Mikroprozessor generiert gegebenenfalls einen Anzeigetext zur Anzeige im Display 43: DER TINTENVORRAT IST FAST AUFGEBRAUCHT. BITTE TAUSCHEN SIE ALSBALD DEN TINTENTANK! RESERVE IN ABDRUCKEN: 200.

[0030] Die Frankiermaschine 1 kann nun mit der Reservetintenmenge weiterbetrieben werden. Der Mikroprozessor realisiert in seinem Speicherraum einen Rückwärtszähler, der durch das Tintenendesignal auf die Zahl 200 voreingestellt und mit jeder weiteren Frankierung um eins dekrementiert wird. Die Zahl 200 ergibt sich empirisch aus Erfahrungswerten für einen Rest anmöglichen Abdrucken und einem Sicherheitsfaktor. Die den Rest kennzeichnende Zahl kann vor der nächsten Frankierung zur Anzeige gebracht werden. Nach jeder weiteren Frankierung generiert der Mikroprozessor eine Statuszeile, welche die Anzahl der verbleibenden Drucke anzeigt und gibt zum Ende die Meldung heraus: DER TINTENVORRAT IST AUFGEBRAUCHT. BITTE WECHSELN SIE DEN TINTENTANK.
Nach dem Öffnen der Klappe 99 des Tintenfaches 98 kann der verbrauchte Tintentank 95 entnommen und in einen Plastikbeutel gesteckt werden, welcher eventuell auslaufende Tintenreste auffängt. Ein neuer Tintentank kann aus der Verpackung entnommen und dabei überprüft werden, ob die Farbe der Tinte richtig ist. Dazu kann eine Lochcodierung auf der Rückseite des Tintentankes herangezogen werden. Zugleich kann das neue Codewort gelesen werden. Der Tintentank wird in - nicht gezeigte - seitliche Führungsschienen des Tintentankfaches eingesetzt und eingeschoben, bis er spürbar einrastet. Solande der Tintentank nicht richtig eingesetzt ist, generiert der Mikroprozessor die Meldung: DER TINTENTANK FEHLT !
Beim Andocken des neuen Verbrauchsmaterials wird automatisch ein Kontakt geschlossen. Die Frankiermaschine erkennt durch diesen Kontakt, daß ein neues Verbrauchsmaterial installiert wurde. In Abhängigkeit von einer Lochcodierung auf der Rückseite des Tintentankes kann mittels geeignet ausgebildeter Kontakte der ursprüngliche Tintentyp (Post rot, rot flureszierend, usw.) detektiert werden. Der Mikroprozessor generiert nun eine Meldung, die den Kunden über das Display auffordert, das neue Codewort einzugeben: CODEWORT EINGEBEN. Dieses Codewort kann der Kunde beispielsweise einem Aufdruck auf der Verpackung entnehmen und mittels der Tastatur 45 in die Frankiermaschine 1 eingeben.

[0031] Nachdem nun die Frankiermaschine 1 über das neue Codewort verfügt, wird eine Verbindung mit dem Datenzentrum des Herstellers hergestellt. Moderne Frankiermaschinen sind heute bereits alle mit einem Modem ausgestattet, um mit dem Datenzentrum des Herstellers kommunizieren zu können. Dies dient normalerweise dazu, einen Guthabenbetrag vom Datenzentrum geladen zu bekommen, wenn der entsprechende Speicher leer frankiert wurde. Die Übertragung der Codewörter kann separat sofort nach Ermittlung des neuen Verbrauchsmaterials erfolgen oder ein zusätzlicher Bestandteil der Kommunikation zur periodischen Fernladung der Frankiermaschine zu einem späteren Zeitpunkt sein. Bekannte Maßnahmen der Datensicherung werden eingesetzt, um zu verhindern, daß die Codewörter auf der Übertragungsstrecke abgelauscht werden können. Das Datenzentrum empfängt das Codewort des neuen Verbrauchsmaterials 95 zusammen mit einer Kennung der Frankiermaschine 1. In der Gruppe der gespeicherten Referenzcodewörter wird nach dem passenden Codewort gesucht. Wird es gefunden, gilt das angemeldete Verbrauchsmaterial als autorisiert und einer Weiterverwendung der Frankiermaschine 1 steht nichts im Wege. Wird das Codewort nicht identifiziert, muß von einem gefälschten oder einem nicht mehr gültigem Codewort ausgegangen werden. Bei einem gefälschten Codewort hat der Kunde offenbar ein nicht autorisiertes Verbrauchsmaterial mit einem beliebigen Pseudocodewort erworben, oder er hat auf die Aufforderung zur Eingabe des Codewortes in Ermangelung eines echten Codewortes sich eine solches erdacht. Bei einem nicht mehr gültigen Codewort wird geprüft, ob dieses bereits einmal verwendet wurde. Wenn nein kann es sich um autorisiertes, aber überlagertes Verbrauchsmaterial handeln. In diesem Fall wäre zu prüfen, ob die Verwendung des Materials noch zulässig ist. Wurde das ungültige Codewort bereits verwendet, handelt es sich offensichtlich um einen Manipulationsversuch.

[0032] In der Figur 6 ist Blockschaltbild einer Frankiermaschine vom Typ JetMail® mit einer einen Prozessor 46 aufweisenden Steuereinheit 40 bis 58 und mit einer Base einschließlich einer integrierten Waage 20, einem Rate-PROM 22, einem Modem 53 und einem solchen Detektor 96 gezeigt, der das Wechseln bzw. den Einsatz einer neuen Tintentankkassette 95 erkennt. Der Rate-PROM 22 kann alternativ auch in dem gestrichelten Speicher-Modul 51, 52 innerhalb des Meters realisiert sein.

[0033] Alternativ kann das direkte Meßverfahren mittels dem Detektor 96 durch ein indirektes Meßverfahren ersetzt werden, welche die vorhandenen Sensoren 92 und 97 nutzt. Nach einem Verbrauch der Tinte wird ein vorbestimmter Rest an Tinte mittels der Elektroden 93, 94 und dem Sensor 92 detektiert und über die Baugruppen SAS 59, Sensor/Aktor-Steuerinterface ASIC 58 dem Mikroprozessor 46 mitgeteilt, der daraufhin eine Anzeige generiert. Es verbleibt ein vorbestimmter Rest an Tinte der für ca. 200 Ab-drucke reicht, wenn die Leitfähigkeit zwischen den Kontakten 93, 94 einen vorbestimmten Schwellwert unterschreitet. Ein Aus/Einschalten der Frankiermaschine 1 über den Schalter 71 kann über den Sensor 97 detektiert werden, der ebenfalls an der SAS 59 angeschlossen ist. Ein Ausschalten zu der Zeit, während die Frankiermaschine nur noch über den Tintenrest verfügt, kann auf einen bevorstehenden Wechsel hinweisen. Durch ein Vergleich der gezählen Abdrucke mit einem Grenzwert oder durch ein Rückwärtszählen von einer vorbestimmten Anzahl kann ein Tintenende ermittelt werden. Kann die Frankiermaschine nach dem Wiedereinschalten ohne einen über die Kontakte 93, 94 und den Sensor 92 detektierten Wechsel zur wiederhergestellten Leitfähigkeit zwischen den Kontakten 93, 94 über eine Anzahl von beispielsweise 200 Abdrucken hinaus weiter be-trieben werden, dann ist dies ein Indiz dafür, daß zwischenzeitlich Tinte unautorisiert nachgefüllt wurde. In einer Reaktion darauf wird mindestens eine Anzeige generiert und ggf. eine Mitteilung zum Datenzentrum übermittelt, wenn ein Guthaben wieder nachgeladen werden muß.
Ein von der Anmelderin entwickelter Sicherheitsmodul 60 dient als erster Abrechnungsmodul und hat eine Hardware-Abrecheneinheit 63 und einen batteriegestützten nichtflüchtigen Speicher 61, in welchen per Modem 53 ein Guthaben geladen werden kann. Ein OTP-(One Time Programmable)-Prozessor 66 führt dabei Sicherheitsroutinen sowohl bei der Guthabennachladung, als auch zur Absicherung der Registerdaten mit einem MAC (Message Authentication Code) aus. Der Vorteil des Sicherheitsmoduls besteht darin, daß die Prüfung der Zuverlässigkeit und die Zulassung der erfindungsgemäßen Frankier- und Freimachungsmaschine, die durch den Postbeförderer erfolgt, dann nur noch für das betreffenden Prozessorsystem 60 und das angeschlossenen Druckermodul 55-57 erforderlich ist.
Einen zweiten Verarbeitungsmodul bildet die Chipkarte 10 in Verbindung mit der Chipkarten-Schreib/Leseeinheit 70. Der Mikroprozessor 46 und die ersten Speicherbauelemente 41, 42 bilden dann einen dritten Verarbeitungsmodul und der Mikroprozessor 46 und die zweiten Speicherbauelemente 51, 52 (gestrichelt) bilden dann einen vierten Verarbeitungsmodul usw. In der Regel reicht ein Abrechenmodul aus und die anderen Verarbeitungsmodule können andere Aufgaben übernehmen.
Der Mikroprozessor 46 mit den zugehörigen Speichern 41, 42 wird zum Zählen der Abdrucke in Verbindung mit dem Erkennen eines Wechselns der Tintentankkassette programmiert sowie als Portorechner und zur Drucksteuerung verwendet. Der Abrechenmodul 60 dient zur Abrechnung und Berechnung von Verschlüsselungscodes mindestens zur Kommunikation mit dem Datenzentrum zwecks Guthabennachladung. Aufgrund dieser Aufgabenteilung ist der Abrechenmodul 60 zum Sicherheitsmodul weiterentwickelt worden. Alle Verarbeitungsmodule 41,42 und 51,52, der Sicherheitsmodul 60, der Mikroprozessor 46, die Interface Baugruppen 44,54 und 55, ein Hauptarbeitsspeicher Pixel-RAM 47, Uhr/Datums-Baustein 48, Klischeespeicher-EEPROM 49, Programmspeicher ROM 50 und ein ASIC mit dem Sensor/Aktor-Steuerinterface 58 sind an einen meter-internen BUS 40 der Steuerung angeschlossen. Mittels der Tastatur 45 wird eine Eingabe an die Ports des Mikroprozessors 46 zur entsprechenden Steuerung der Frankiermaschine 1 getätigt. Über die Interface Baugruppe 44 kann ein generiertes Schirmbild zum Display 43 gelangen. Das Display besitzt zur Unterstützung einen integrierten Controller.

[0034] Über das Sensor/Aktor-Steuer-Interface 58 sind weitere - hier nicht näher erläuterte - Sensoren und Aktoren der Base, ein Encoder 90 für die Briefbewegung und mindestens ein Briefsensor 91 sowie über das Interface 54 mindestens das Modem 53 elektrisch mit dem Meter 12 der Frankiermaschine 1 verbunden. Beide Interface-Schaltungen 54 und 58 können auch in einem Anwenderschaltkreis ASIC realisiert werden. Nähere Ausführungen hierzu sind dem EP 716 398 A2 entnehmbar, welches den Titel trägt: Frankiermaschineninterne Schnittstellenschaltung und Verfahren zur manipulationssicheren Druckdatensteuerung. Zur Steuerung der übrigen Komponenten in der Base und in der Peripherie sind weitere Ausführungen dem EP 875 864 A2 entnehmbar, welches den Titel trägt: Anordnung zur Kommunikation zwischen Stationen einer Postbearbeitungsmaschine.

[0035] Das Modem 53 ist elektrisch über das Interface 54 mit dem Meter 12 der Frankiermaschine 1 verbunden. Durch den im entfernten Datenzentrum 100 (nicht gezeigt) durchgeführten Vergleich der Codewörter ergibt sich ein weiterer Vorteil. Auch bei einem gültigen Codewort wird geprüft, ob es bereits einmal benutzt wurde. Wurde es von einer anderen Frankiermaschine gemeldet, hat offensichtlich deren Benutzer das Codewort weitergegeben und der neue Kunde versucht, in Kombination mit diesem Codewort unautorisiertes Verbrauchsmaterial zu verwenden. Hat der Kunde selbst das Codewort schon einmal angegeben, ist das ein Indiz dafür, daß er sich nach Benutzung von autorisiertem Verbrauchsmaterial nun in den Besitz von unautorisiertem gebracht hat.
Die Palette der möglichen Maßnahme reicht von der freundlichen telefonischen Ermahnung, über das Aussenden eines Servicetechnikers mit Originalverbrauchsmaterial bis zur Fernstillsetzung der Frankier-maschine 1, z.B. bei einem Wiederholungstäter.
Der Vorteil dieses Verfahrens liegt darin , daß es keine "alten" nicht mehr gültigen Codewörter gibt, welche durch Weitergabe eine Unterwanderung des Sicherheitssystem hervorrufen können. Dies wird dadurch erreicht, daß die Überprüfung der Codeworte nicht in den einzelnen untereinander nicht vernetzten Frankiermaschinen 1 stattfindet, sondern entfernt davon, auf der Ebene des Datenzentrums, welches Zugriff zu allen vergebenen Codeworten hat und stets synchron mit neu produziertem Verbrauchsmaterial auch mit den entsprechenden Referenzcodeworten geladen wird. Das Datenzentrum kann entfernt sein von einem Datenzentrum für Guthabennachladung aber ist mit letzterem verbunden.
Ein weiterer Vorteil besteht im Wegfall der Notwendigkeit in bestimmten Zeitabständen neue Codes auszugeben und die alten für ungültig zu erklären, wobei in den Übergangszeiträumen stets mehr als ein Satz Codeworte gültig ist. Bei der erfindungsgemäßen Lösung entsteht kein Speicherplatzbedarf in der Frankiermaschine 1 zur Speicherung von einem oder mehreren Sätzen an Codewörtern.
Ein weiterer Vorteil des Verfahrens besteht in der Möglichkeit, Informationen über die Art der Manipulation zu gewinnen. Zum Beispiel ist es möglich, nicht nur den Kunden zu identifizieren, der gerade das unautorisierte Verbrauchsmaterial zu verwenden beabsichtigt, sondern auch die Quelle, aus der er wahrscheinlich ein gültiges Codewort bezogen hat.

[0036] Im Rahmen dieses erfinderischen Verfahrens ist auch ein wirksamer Schutz gegen das Nachfüllen von Tintentanks möglich. Bei diesem unautorisierten Nachfüllen mit irgendeiner Tinte muß nicht zwangsläufig der Tintentank aus dem Gerät entfernt werden. Vielmehr ist es auch denkbar, daß die Tinte mit einer Kanüle in den ortsfesten Tank gespritzt wird. In diesem Fall würde kein Kontakt ausgelöst, welcher den Wechsel des Verbrauchsmaterials anzeigt und in der Folge den Kunden auffordert das neue Codewort einzugeben. Dagegen hilft folgende Variante:
Nehmen wir an, der Kunde hat zunächst autorisiertes Verbrauchsmaterial erworben; zumindest beim Kauf der Frankiermaschine 1 ist dies gewährleistet. Daraufhin hat das Datenzentrum in oben beschriebener Weise das Codewort des autorisierten Verbrauchsmaterials erhalten. Gleichzeitig wird für diese Maschine im Datenzentrum ein Zähler angestoßen. Dieser registriert die Zeit bis zum nächsten Guthabennachladen. Beim nächsten Guthabennachladen wird der Stückzähler von der Frankiermaschine 1 in das Datenzentrum übertragen, welcher angibt wie viele Frankierungen seit dem letzten Guthabennachladen durchgeführt wurden. Das Verbrauchsmaterial ist auf eine bestimmte Anzahl Frankierabdrucke ausgelegt, die nur einer geringen Schwankung unterliegt, wenn nicht oder wenig geprimt wird (z.B. Jet Mail-Tank für 30.000 Frankierungen +/- 5%). Nun teilt der Zeitpunkt des Erwerbs des Verbrauchsmaterials die Zeitperiode zwischen zwei Guthabennachladungen in ein bestimmtes Verhältnis. Diesem Verhältnis muß auch der Tintenverbrauch entsprechen, wenn sich das Benutzerverhalten nicht grundlegend geändert hat. Die Verhältnisrechnung kann sich auch über mehr als eine Periode von Guthabennachladungen erstrecken und gewinnt an Präzision. Sind wesentlich mehr Frankierungen in diesem Zeitraum durchgeführt worden, als mit dem zuletzt gemeldeten Verbrauchsmaterial überhaupt möglich wäre, ist dies ein Indiz dafür, daß ohne Austausch der Tintenpatrone diese offenbar mit nicht autorisierter Tinte nachgefüllt wurde q.e.d. Das ermöglicht eine Auswertung im Datenzentrum nach suspekten Maschinen, welche vom Servicetechniker zukünftig zielgerichtet inspiziert werden können.
Eine Überprüfung der Autorisierung des Verbrauchsmaterials kann grundsätzlich auch nur in der Frankiermaschine erfolgen. Erforderlich ist weiterhin eine Übertragung der Codewörter sofort nach Ermittlung des neuen Verbrauchsmaterials oder als ein zusätzlicher Bestandteil der Kommunikation zur periodischen Fernladung der Frankiermaschine zu einem späteren Zeitpunkt. Das Datenzentrum empfängt das Codewort des neuen Verbrauchsmaterials 95 zusammen mit einer Kennung der Frankier-maschine 1. In der Gruppe der gespeicherten Referenzcodewörter wird nach dem passenden Codewort gesucht. Ein gefundenes Referenzcodewort wird dann zur Frankiermaschine übermittelt. Bei der Kommunikation werden bekannte Datensicherungsmaßnahmen eingesetzt, um zu verhindern, daß die Codewörter auf der Übertragungsstrecke abgelauscht werden können. In der Frankiermaschine wird überprüft, ob beide, d.h. das Codewort und das Referenzcodewort mathematisch in einem vorbestimmten Verhältnis zueinander stehen. Ist das der Fall, gilt das angemeldete Verbrauchsmaterial als autorisiert und einer Weiterverwendung der Frankiermaschine 1 steht nichts im Wege.

[0037] Der Vorteil dieser Variante liegt darin, daß auch bei Unterbrechung der Kommunikation mit dem Datenzentrum die Frankiermaschine selbstständig den Vergleich durchführen und sich freischalten oder blockieren bzw. ihren Betrieb auf ein andere geeignete Weise verändern kann, so daß ein Einsatz nachgefüllter autorisierter Tintenbehältern mit unautorisierter Tinte mindestens erschwert wird. Eine Überprüfung der Autorisierung des Verbrauchsmaterials kann grundsätzlich auch in beiden, d.h. im Datenzentrum und zusätzlich in der Frankiermaschine erfolgen.

[0038] Die Erfindung ist nicht auf die vorliegenden Ausführungsform beschränkt. Vielmehr ist eine Anzahl von Varianten im Rahmen der Ansprüche denkbar. So können offensichtlich weitere andere Ausführungen der Erfindung entwickelt bzw. eingesetzt werden, die vom gleichen Grundgedanken der Erfindung ausgehend, die von den anliegenden Ansprüchen umfaßt werden.

Ansprüche

1. Verfahren zum Schutz eines Gerätes vor einem Betreiben mit unzulässigem Verbrauchsmaterial, dessen Authentizität in einem entfernten Datenzentrum überprüft wird, gekennzeichnet durch die Schritte:

- Generieren von mindestens einem Codewort,

- Speicherung einer Zuordnung zu einem bestimmten Verbrauchsmaterial in Form eines Datensatzes mit Referenzcodewort,

- Aggregation des Verbrauchsmaterials mit dem generierten Codewort, welches in vorbestimmter Beziehung zum Referenzcodewort oder zu einer Gruppe von Referenzcodewörtern steht, welche im Datenzentrum gespeichert vorliegen,

- Erkennen einer Operation des Wechselns eines Verbrauchsmaterials in einem vom Datenzentrum entfernten Gerät,

- Herstellen einer Kommunikationsverbindung zwischen dem Gerät und dem entfernten Datenzentrum und Übermittellung des mit dem Verbrauchsmaterial aggregierten Codewortes,

- Empfangen des übermittelten Codewortes im Datenzentrum und Überprüfung der Authentizität des Verbrauchsmaterials anhand eines gespeicherten Referenzcodewortes sowie

- Empfangen einer Benachrichtigung für das Gerät nach Überprüfung des Codes im Datenzentrum.

2. Verfahren, nach Anspruch 1, gekennzeichnet dadurch, daß dem zum Verkauf vorgesehenen Verbrauchsmaterial ein Codewort beigefügt oder durch Befestigen oder vergleichbare Maßnahmen fest zugeordnet wird und die Zuordnung des Codes zu einem bestimmten Verbrauchsmaterial in einer Datenbank als Referenzcodewort gespeichert wird.

3. Verfahren, nach Anspruch 1, gekennzeichnet dadurch, daß vom Hersteller des Verbrauchsmaterials eine Identifikationsnummer für das Verbrauchsmaterial vergeben und ein identifizierendes Codewort generiert wird.

4. Verfahren, nach Anspruch 1, gekennzeichnet dadurch, daß eine Markierung des Verbrauchsmaterials mit diesem Codewort abhängig von der Art des Verbrauchsmaterials in sehr unterschiedlicher Weise durch physikalische oder chemische Maßnahmen vorgenommen wird.

5. Verfahren, nach Anspruch 1, gekennzeichnet durch, eine Generierung einer Mitteilung vor dem Herstellen der Kommunikationsverbindung zwischen dem Gerät und dem entfernten Datenzentrum, wobei die Mitteilung eine Aufforderung zur Eingabe eines Codes enthält, mit Durchführung einer Routine, um auf die Eingabe eines Codes zu warten und den eingegebenen Code zu speichern, und durch ein Anstoßen eines Zählers für die Maschine im Datenzentrum nach der Überprüfung des Codes und Registration der Zeit bis zum nächsten Guthabennachladen, wobei beim nächsten Guthabennachladen der Stückzähler von der Frankiermaschine in das Datenzentrum übertragen wird, welcher angibt, wie viele Frankierungen seit dem letzten Guthabennachladen durchgeführt wurden, sowie Auswertung der Stückzahl im Datenzentrum nach suspekten Maschinen.

6. Anordnung zum Schutz vor Verwendung von unzulässigen Verbrauchsmaterial, mit einem Mikroprozessor in einer Steuereinheit (12, 19) eines Gerätes und mit einem Userinterface (4, 43, 45, 10), gekennzeichnet dadurch, daß die Steuereinheit (12, 19) mit einem Detektor (16, 96) zum Erkennen einer Operation des Wechselns eines Verbrauchsmaterials und mit Übertragungsmitteln (13, 14, 53) zum Herstellen einer Kommunikationsverbindung zum entfernten Datenzentrum (100) verbunden ist, daß der Mikroprozessor der Steuereinheit (12, 19) programmiert ist,

- das Wechseln eines Verbrauchsmaterials zu erkennen,

- nach dem vorgenannten Erkennen eine Mitteilung zu generieren und auf eine Eingabe eines Codes zu warten und

- eine Kommunikationsverbindung zum entfernten Datenzentrum (100) herzustellen, zur Übermittlung des eingegebenen Codes und zum Empfang einer Benachrichtigung des Gerätes nach Überprüfung des Codes im Datenzentrum (100) sowie

- den Betrieb des Gerätes zu verändern, wenn die Benachrichtigung beinhaltet, daß die erfolgte Überprüfung des Codes extern vom Gerät keine Authentizität des Verbrauchsmaterials ergeben hat.

7. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß das Verbrauchsmaterial eine Flüssigkeit ist.

8. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß das Verbrauchsmaterial eine Tinte ist.

9. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß das Verbrauchsmaterial einem nichtfesten Aggregatzustand einnimmt.

10. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß das Verbrauchsmaterial ein fester Körper ist.

11. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß das Verbrauchsmaterial ein Farbband ist.

12. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß das Verbrauchsmaterial ein Tintenstrahldruckkopf (57) mit integrierten Tintentank ist.

13. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß das Verbrauchsmaterial eine gefüllte Tintentankkassette (95) ist.

14. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß mindestens ein Sensor direkt oder indirekt die Anwesendheit von Verbrauchmaterial nach einem physikalisch Wirkprinzip festzustellen gestattet.

15. Anordnung, nach den Ansprüchen 6, 13 und 14, gekennzeichnet dadurch, daß der Mikroprozessor (46) mit den zugehörigen Speichern (41, 42) verbunden und zum Zählen der Abdrucke in Verbindung mit einem indirekten Erkennen eines Wechselns der Tintentankkassette (95) programmiert ist.

16. Anordnung, nach Anspruch 15, gekennzeichnet dadurch, daß eine indirekte Erkennung des Wechselns einer Tintentankkassette (95) mittels des Mikroprozessors (46) erfolgt, durch ein Auswerten eines vorbestimmten Zählerstandes für die Abdrucke, wenn Sensoren (97 und 92) ein Wiedereinschalten und einen Tintenpegel erfassen.

17. Anordnung,nach Anspruch 6, gekennzeichnet dadurch, daß ein Mikroprozessor (46), Sensor (92) und Elektroden (93, 94) an der Tintentankkassette (95) zum Erkennen des Erfordernis des Wechselns der Tintentankkassette (95) vorgesehen sind und daß aufgrund einer Kennung des Verbrauchsmaterials dessen Code eingebbar ist, welcher für eine bestimmte Tinte kennzeichnend ist.

18. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß Mikroprozessor programmiert ist, den Betrieb des Gerätes zu verändern, wenn die erfolgte Überprüfung des Codes keine vorbestimmte Beziehung mit einem der gespeicherten Referenz-Code oder Nichtübereinstimmung ergeben hat.

19. Anordnung, nach Anspruch 18, gekennzeichnet dadurch, daß der Referenz-Code entfernt vom Gerät gespeichert ist.

20. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß bei einer Benachrichtigung der Mikroprozessor (46) programmiert ist, eine Mitteilung zu generieren und per Display (43) anzuzeigen.

Zeichnung