Système d'affranchissement postal électronique ayant un programme d'exploitation rechargeable dans une mémoire flash

Description

[0001] L'invention se rapporte d'une façon générale au domaine des machines d'affranchissement qui sont maintenant largement utilisées dans les bureaux d'expédition de courrier des entreprises.

[0002] Elle concerne plus particulièrement un système d'affranchissement postal électronique comprenant un microprocesseur connecté par un bus d'adresses et un bus de données à un circuit de mémoire non volatile dans lequel est enregistré un programme d'exploitation (voir EP-A-0 605 313).

[0003] On entend par programme d'exploitation, un programme destiné à la commande du microprocesseur en vue d'obtenir un fonctionnement désiré de celui-ci. Il peut servir notamment à gestion d'informations de comptabilisation de montants d'affranchissement. Ces informations comprennent généralement le montant en fonds disponible dans le système (ce montant étant décrémenté à chaque opération d'affranchissement) ainsi que le montant cumulé des affranchissement (ce montant étant incrémenté à chaque opération d'affranchissement). Ces informations sont maintenues dans les registres dits descendant et ascendant en mémoire non volatile secourue par batterie. La plupart des système d'affranchissement comporte deux mémoires non volatiles secourues par batterie dans lesquelles sont dupliqués les registres descendant et ascendant.

[0004] Un tel système d'affranchissement est généralement monté à l'intérieur d'une enceinte scellée. Dans les systèmes d'affranchissement connus, le programme d'exploitation est enregistré dans une mémoire du type EPROM. Une telle mémoire nécessite une exposition aux rayons ultra violet pour être effacée puis reprogrammée afin de changer le programme d'exploitation. Pour réaliser cette fonction, le circuit ou boitier mémoire EPROM doit être monté dans le système d'affranchissement sur un support de façon à être amovible. La présence d'un tel support augmente le coût du système d'affranchissement. Il serait envisageable d'enregistrer le programme d'exploitation dans une mémoire à lecture/écriture du type RAM secourue par batterie. Mais une telle solution grève encore plus le coût du système d'affranchissement. Par ailleurs, cet agencement entraînerait des complications pour assurer le niveau de sécurité des données du programme exigé par les Administrations postales. Autrement dit, il n'est pas prévu aujourd'hui de changer, in situ dans un système d'affranchissement électronique, le programme d'exploitation enregistré dans un circuit de mémoire non volatile, c'est-à-dire sans sortir le circuit de mémoire de l'enceinte scellée renfermant le système d'affranchissement.

[0005] Le but de l'invention est de proposer un système d'affranchissement postal électronique ayant un circuit de mémoire agencé de telle façon à permettre un changement in situ du programme d'exploitation enregistré dans le circuit de mémoire sans pénaliser le coût de revient du système et sans affecter le niveau de sécurité de celui-ci.

[0006] A cet effet, l'invention a pour objet un système d'affranchissement postal électronique caractérisé en ce que le circuit de mémoire est du type mémoire flash ayant un espace mémoire divisé en une pluralité de secteurs sélectivement adressables à partir du bus d'adresses, en ce qu'il est prévu un circuit de décodage d'adresses entre le bus d'adresses et une borne du circuit mémoire autorisant ou interdisant l'écriture dans la mémoire, ce circuit de décodage étant agencé de manière que le microprocesseur est empêché d'écrire dans un premier secteur de la mémoire dans lequel le programme d'exploitation est enregistré quand le circuit de décodage détecte la présence d'un signal de contrôle mis à un premier niveau logique et le microprocesseur est autorisé à écrire dans ledit premier secteur de la mémoire quand le circuit de décodage détecte la présence du signal de contrôle mis à un second niveau logique, et en ce qu'il est prévu un programme de chargement enregistré dans un second secteur de la mémoire protégé, par configuration programmée du circuit de mémoire, contre tout accès en écriture, ce programme de chargement étant pévu pour commander le microprocesseur de telle manière qu'il établisse un dialogue avec un autre processeur en vue de charger un nouveau programme d'exploitation, fourni par cet autre processeur, à la place du programme d'exploitation déjà enregistré dans ledit premier secteur de la mémoire quand le signal de contrôle est mis au second niveau logique.

[0007] La technologie des circuits de mémoire non volatile du type flash commence à faire son apparition sur le marché et présente un intérêt pour un système d'affranchissement postal électronique. Un tel circuit mémoire a un espace mémoire organisé en secteurs de taille fixe sélectivement effaçables par une commande de microprocesseur. Les secteurs d'une telle mémoire sont par ailleurs susceptibles d'être sélectivement protégés contre tout accès en écriture ou en effacement. Cette protection s'effectue en configurant la mémoire flash sur un banc de programmation. Cette protection peut donc être réalisée avant montage du circuit de mémoire flash directement sur une carte de circuit imprimé. Un tel circuit de mémoire non volatile peut convenir à l'enregistrement du programme d'exploitation d'une machine d'affranchissement car elle dispose d'un espace mémoire suffisamment important.

[0008] Le circuit de décodage empêche les modifications intempestives du programme d'exploitation dans la mémoire flash, par exemple en cas de dysfonctionnement du microprocesseur, et contribue à la sécurité du système.

[0009] Il est même possible de télé charger un nouveau programme d'exploitation dans la mémoire flash si un système de télécommunication est prévu entre le microprocesseur du système d'affranchissement et cet autre processeur.

[0010] Selon un mode de réalisation particulièrement simple à mettre en oeuvre, ce signal de contrôle est issu d'une ligne conductrice reliée à une source de courant par une broche amovible. De cette façon, quand la broche est interposée entre le circuit de décodage et la source de courant, le signal de contrôle est mis à son premier état logique. Quand cette broche est enlevée, le signal de contrôle change d'état logique ce qui rend le premier secteur de la mémoire contenant le programme d'exploitation accessible en effacement et en écriture par le microprocesseur qui peut alors y recharger un nouveau programme d'exploitation.

[0011] Pour empêcher un chargement non autorisé d'un nouveau programme d'exploitation dans le premier secteur de la mémoire, il est prévu que le microprocesseur, le circuit de mémoire, le circuit de décodage d'adresses et la broche amovible soient placés à l'intérieur d'une enceinte scellée. De cette façon, seul le fabricant peut charger un nouveau programme d'exploitation dans le premier secteur de la mémoire.

[0012] D'autres caractéristiques et avantages ressortiront de la description qui suit d'exemples de réalisation de l'invention faite en référence aux dessins.

[0013] la figure 1 montre sous forme schématique un premier mode de réalisation du système d'affranchissement.

[0014] La figure 2 illustre l'organisation en secteurs de la mémoire flash.

[0015] Sur la figure 1, le système d'affranchissement comprend un microprocesseur 1 ayant dix-sept bits d'adresses A0-A16 et huit bits de données D0-D7, par exemple le circuit intégré connu sous la référence "80C166" ou le circuit intégré connu sous la référence "ST10". Il comprend encore un circuit de mémoire flash non volatile 2, par exemple le circuit intégré connu sous la référence "29F10PL". Cette mémoire a une capacité de 128 Kilo octets divisée en huit secteurs mémoire de 16 Kilo octets chacun. Ces huit secteurs sont désignés par S1 à S8 sur la figure 2.

[0016] Les entrées/sorties de données D0 à D7 du circuit de mémoire 2 sont reliées aux entrées/sorties de données respectives du microprocesseur 1 au travers d'un bus de données 10 comprenant huit lignes de données. Les entrées d'adresses A0 à A16 du circuit de mémoire 2 sont reliées aux sorties d'adresses correspondantes du microprocesseur 1 au travers d'un bus d'adresses 11 comprenant dix-sept lignes d'adresses.

[0017] Le circuit de mémoire 2 comporte encore une entrée de commande de lecture OE, une entrée de commande d'écriture WR et une entrée de sélection de boîtier CE. L'entrée de sélection de boîtier CE reçoit en permanence un signal électrique de 0 volt de sorte que le circuit de mémoire 2 reçoit toutes les commandes de lecture et d'écriture provenant du microprocesseur 1.

[0018] Le microprocesseur 1 comporte encore une sortie de commande de lecture RD, une sortie de commande d'écriture WR, une entrée réservée d'un signal de contrôle CHPRG, et un port d'entrée RXD1 et de sortie TXD1 sérielles.

[0019] La sortie de commande de lecture RD du microprocesseur est reliée à l'entrée de commande de lecture RD du circuit de mémoire. L'entrée RXD1 et la sortie TXD1 sérielles du microprocesseur sont reliées à un connecteur 5 au travers d'un bus de commande 12 comportant plusieurs lignes de commandes.

[0020] Par ailleurs, l'entrée du microprocesseur pour recevoir le signal de contrôle CHPRG est reliée au travers du bus de commande 12 et d'une broche amovible 4 (sous la forme d'un cavalier) à une source de courant délivrant un signal électrique de 5 volts correspondant à un niveau logique égal à 1.

[0021] Il est prévu aussi un décodeur d'adresses 3 ayant une sortie reliée à l'entrée de commande d'écriture WE du circuit de mémoire 2.

[0022] Le décodeur d'adresses 3 comprend une porte ET inverseuse 31 à trois entrées pour recevoir respectivement le signal de contrôle CHPRG et des signaux provenant des sorties d'adresses de poids fort A15 et A16 du microprocesseur. Ces deux derniers signaux sont prélevés directement sur le bus d'adresses 11. Il comprend aussi une porte simple inverseuse 32 qui reçoit un signal de commande d'écriture provenant de la sortie de commande d'écriture WR du microprocesseur 1. Il comprend encore une autre porte ET inverseuse 33 ayant une première entrée reliée à la sortie de la porte 31 et deux autres entrées reliées à la sortie de la porte 32. La sortie de la porte 33 est reliée à l'entrée de commande d'écriture WR du circuit de mémoire 2.

[0023] Le microprocesseur 1, le circuit de mémoire 2, le décodeur d'adresses 3 et la broche 4 sont enfermés dans une enceinte 20 comportant une trappe 21 donnant accès depuis l'extérieur de l'enceinte à la broche 4. La trappe ferme normalement l'enceinte et est scellée pour empêcher tout accès non autorisé à l'intérieur de l'enceinte par un utilisateur. Comme représenté sur la figure 1, le connecteur 5 est librement accessible depuis l'extérieur de l'enceinte 20. Toutefois il pourrait aussi être enfermé à l'intérieur de l'enceinte de façon à être accessible seulement quand la trappe 21 est ouverte.

[0024] L'ensemble des circuits 1,2,3,4,5 est monté sur une ou des plaques de circuit imprimé non représentées, les bornes du circuit de mémoire 2 pouvant directement être soudées sur une plaque de circuit imprimé.

[0025] L'espace mémoire de la mémoire 2 est divisé en une pluralité de secteurs mémoire de capacité identique, en l'occurrence huit secteurs S1 à S8 de 16 Kilo octets chacun.

[0026] Un programme de chargement est enregistré dans le secteur S1. Par ailleurs le secteur S1 est protégé contre l'effacement ou l'écriture, après que le programme de chargement y soit enregistré et avant le montage du circuit de mémoire 2 directement sur la plaque de circuit imprimé. Une telle protection est réalisée à l'aide d'un appareil spécifique de programmation de mémoire connu en soi.

[0027] Un programme d'exploitation d'une machine d'affranchissement est enregistré dans les secteurs S7 et S8 de la mémoire. Les secteurs S2 à S6 sont laissés libres pour l'enregistrement d'autres données.

[0028] Ces deux secteurs sont accessibles par le microprocesseur au travers des bits d'adresse A15 et A16.

[0029] Pendant le fonctionnement normal du système d'affranchissement, le décodeur d'adresses 3 empêche l'accès en écriture du microprocesseur dans les secteurs S7 et S8 de la mémoire du fait que la combinaison des signaux en entrée de la porte 31 force la sortie du décodeur d'adresses à un niveau logique égal à 1 et que ce niveau logique est celui qu'il faut pour inhiber l'entrée de commande d'écriture WR du circuit de mémoire 2.

[0030] Par conséquent, le décodeur d'adresses 3 assure que le programme d'exploitation enregistré dans les secteurs S7 et S8 de la mémoire ne soit pas altéré par un dysfonctionnement du microprocesseur par exemple.

[0031] Par ailleurs, à la mise sous tension du système d'affranchissement, le microprocesseur accède aux premiers octets enregistrés dans le secteur S1 de la mémoire qui constituent le début du programme de chargement.

[0032] Ce programme de chargement est d'abord agencé pour tester pendant le début de son exécution le niveau logique du signal CHPRG reçu par le microprocesseur. Si ce signal à un niveau logique égal à 1, le programme de chargement lance l'exécution du programme d'exploitation en même temps qu'il s'interrompt. Il s'agit donc du cadre normal de fonctionnement du système d'affranchissement.

[0033] Maintenant si la broche 4 est enlevée du circuit électrique entre la source de +5 volts et le décodeur d'adresses 3, le signal CHPRG aura un niveau logique égal à 0. Quand le signal CHPRG a un niveau logique égal à 0, le décodeur d'adresses 3 laisse passer le signal de commande d'écriture WR venant du microprocesseur de manière à autoriser le microprocesseur à écrire dans les secteurs S7 et S8 de la mémoire.

[0034] Le programme de chargement, sur détection du signal CHPRG à un niveau logique égal à 0, commande le microprocesseur de telle manière qu'il efface d'abord le contenu des secteurs S7 et S8 et ensuite qu'il établisse une communication avec un autre processeur raccordé aux ports d'entrée/sortie sérielles RXD1 et TXD1 par l'intermédiaire du connecteur 5 en vue de charger in situ un nouveau programme d'exploitation dans les secteurs S7 et S8, ce nouveau programme d'exploitation venant de l'autre processeur. Après le chargement du nouveau programme d'exploitation, le programme de chargement peut s'interrompre et bloquer le fonctionnement du système d'affranchissement. L'alimentation du système d'affranchissement doit être coupée. A ce moment, la broche 4 doit de nouveau être remise en place de manière que le niveau du signal CHPRG soit égal à 1. Puis la machine d'affranchissement est remise sous tension et le programme de chargement comme indiqué plus haut lancera l'exécution du nouveau programme d'exploitation.

[0035] En variante, le signal CHPRG peut être issu directement du microprocesseur qui est commandé de telle manière à changer le niveau logique du signal CHPRG en réponse à un message codé obtenu depuis le port d'entrée série RXD1. Dans cette variante, le microprocesseur du système d'affranchissement est relié, par exemple par une ligne téléphonique, à un centre de gestion d'un parc de systèmes d'affranchissement.

Revendications

1. Un système d'affranchissement postal électronique comprenant un microprocesseur (1) connecté par un bus d'adresses (11) et un bus de données (10) à un circuit de mémoire non volatile (2) dans lequel est enregistré un programme d'exploitation, caractérisé en ce que le circuit de mémoire est du type mémoire flash ayant un espace mémoire divisé en une pluralité de secteurs (S1-S8) sélectivement adressables à partir du bus d'adresses, en ce qu'il est prévu un circuit de décodage d'adresses (3) entre le bus d'adresses et une borne (WE) du circuit mémoire autorisant ou interdisant l'écriture dans la mémoire, ce circuit de décodage étant agencé de manière que le microprocesseur est empêché d'écrire dans un premier secteur (S7,S8) de la mémoire dans lequel le programme d'exploitation est enregistré quand le circuit de décodage détecte la présence d'un signal de contrôle (CHPRG) mis à un premier niveau logique et le microprocesseur est autorisé à écrire dans ledit premier secteur de la mémoire quand le circuit de décodage détecte la présence du signal de contrôle mis à un second niveau logique, et en ce qu'il est prévu un programme de chargement enregistré dans un second secteur (S1) de la mémoire protégé, par configuration programmée du circuit de mémoire, contre tout accès en écriture, ce programme de chargement étant prévu pour commander le microprocesseur de telle manière qu'il établisse un dialogue avec un autre processeur en vue de charger un nouveau programme d'exploitation, fourni par cet autre processeur, à la place du programme d'exploitation déjà enregistré dans ledit premier secteur de la mémoire quand le signal de contrôle est mis au second niveau logique.

2. Le système selon la revendication 1, dans lequel le signal de contrôle (CHPRG) est issu d'une ligne conductrice reliée à une source de courant par une broche amovible (4).

3. Le système selon la revendication 2, dans lequel, le microprocesseur (1), le circuit de mémoire (2), le circuit de décodage d'adresses (3) et la broche amovible (4) sont placés à l'intérieur d'une enceinte scellée (20).

Ansprüche

1. Elektronisches Postfrankiersystem mit einem Mikroprozessor (1), der über einen Adressenbus (11) und einen Datenbus (10) an eine nicht-flüchtige Speicherschaltung (2) angeschlossen ist, in der ein Anwendungsprogramm gespeichert ist, dadurch gekennzeichnet, daß die Speicherschaltung vom Flash-Typ ist und einen in einer Mehrzahl von selektiv ausgehend vom Adressenbus adressierbaren Sektoren (S1 bis S8) unterteilten Speicher enthält, daß eine Adressendekodierschaltung (3) zwischen dem Adressenbus und einer Klemme (

) der Speicherschaltung vorgesehen ist, über die das Beschreiben des Speichers zugelassen oder untersagt wird, wobei diese Dekodierschaltung so ausgebildet ist, daß der Mikroprozessor am Beschreiben eines ersten Sektors (S7, S8) gehindert wird, in dem das Anwendungsprogramm gespeichert ist, wenn die Kodierschaltung das Vorliegen eines ersten logischen Pegels eines Steuersignals (CHPRG) feststellt, während der Mikroprozessor den ersten Sektor des Speichers beschreiben kann, wenn die Dekodierschaltung das Vorliegen eines zweiten logischen Pegels des Steuersignals feststellt, und daß ein Ladeprogramm vorgesehen ist, das in einem zweiten Sektor des Speichers liegt, der durch programmierte Konfiguration der Speicherschaltung gegen jeden zugang in Schreibrichtung geschützt ist, wobei dieses Ladeprogramm ausgestaltet ist, um den Mikroprozessor so zu steuern, daß er einen Dialog mit einem anderen Prozessor in Hinblick auf das Laden eines neuen von diesem anderen Prozessor gelieferten Anwendungsprogramms anstelle des bisher im ersten Sektor des Speichers enthaltenen Anwendungsprogramms herstellt, wenn das Steuersignal auf den zweiten logischen Pegel gebracht wird.

2. System nach Anspruch 1, in dem das Steuersignal (CHPRG) von einer Leitung kommt, die an eine Stromquelle über eine entfernbare Brücke (4) angeschlossen ist.

3. System nach Anspruch 2, in dem der Mikroprozessor (1), die Speicherschaltung (2), die Adressendekodierschaltung (3) und die abnehmbare Brücke innerhalb eines versiegelten Gehäuses (2) untergebracht sind.

Claims

1. An electronic postal franking system comprising a microprocessor (1) which is connected by an address bus (11) and a data bus (10) to a nonvolatile memory circuit (2) in which is stored an operation program, characterised in that the memory circuit is of the flash memory type, having a memory space divided into a plurality of sectors (S1-S8) which are selectively addressable from the address bus, and in that an address-decoding circuit (3) is provided between the address bus and a terminal (WE) of the memory circuit, permitting or preventing writing in the memory, this decoding circuit being arranged in a manner such that the microprocessor is prevented from writing in a first sector (S7, S8) of the memory, in which first sector the operation program is stored, when the decoding circuit detects the presence of a control signal (CHPRG) set at a first logic level, and the microprocessor is permitted to write in the said first sector of the memory when the decoding circuit detects the presence of the control signal set at a second logic level, and in that there is provided a loading program stored in a second sector (S1) of the memory, which second sector is protected, by programmed configuration of the memory circuit, against all written access, this loading program being provided in order to control the microprocessor in a manner such that it sets up a dialogue with another processor with a view to loading a new operation program, provided by this other processor, in the place of the operation program already stored in the said first sector of the memory, when the control signal is set at the second logic level.

2. The system according to claim 1, in which the control signal (CHPRG) comes from a conductive line which is connected to a current source by a movable pin (4).

3. The system according to claim 2, in which the microprocessor (1), the memory circuit (2), the address-decoding circuit (3) and the movable pin (4) are placed inside a sealed enclosure (20).

Dessins