EP1035517B1 - Verfahren zum Schutz eines Sicherheitsmoduls und Anordnung zur Durchführung des Verfahrens - Google Patents

Verfahren zum Schutz eines Sicherheitsmoduls und Anordnung zur Durchführung des Verfahrens Download PDF

Info

Publication number
EP1035517B1
EP1035517B1 EP00250064A EP00250064A EP1035517B1 EP 1035517 B1 EP1035517 B1 EP 1035517B1 EP 00250064 A EP00250064 A EP 00250064A EP 00250064 A EP00250064 A EP 00250064A EP 1035517 B1 EP1035517 B1 EP 1035517B1
Authority
EP
European Patent Office
Prior art keywords
security module
voltage
line
processor
functional unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
EP00250064A
Other languages
English (en)
French (fr)
Other versions
EP1035517A3 (de
EP1035517A2 (de
Inventor
Peter Post
Dirk Rosenau
Torsten Schlaaff
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Francotyp Postalia GmbH
Original Assignee
Francotyp Postalia GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Francotyp Postalia GmbH filed Critical Francotyp Postalia GmbH
Publication of EP1035517A2 publication Critical patent/EP1035517A2/de
Publication of EP1035517A3 publication Critical patent/EP1035517A3/de
Application granted granted Critical
Publication of EP1035517B1 publication Critical patent/EP1035517B1/de
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00733—Cryptography or similar special procedures in a franking system
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
    • G07B17/00193—Constructional details of apparatus in a franking system
    • G07B2017/00233—Housing, e.g. lock or hardened casing
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
    • G07B17/00193—Constructional details of apparatus in a franking system
    • G07B2017/00266—Man-machine interface on the apparatus
    • G07B2017/00298—Visual, e.g. screens and their layouts
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
    • G07B17/00193—Constructional details of apparatus in a franking system
    • G07B2017/00266—Man-machine interface on the apparatus
    • G07B2017/00306—Acoustic, e.g. voice control or speech prompting
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
    • G07B17/00314—Communication within apparatus, personal computer [PC] system, or server, e.g. between printhead and central unit in a franking machine
    • G07B2017/00346—Power handling, e.g. power-down routine
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
    • G07B17/00362—Calculation or computing within apparatus, e.g. calculation of postage value
    • G07B2017/00395—Memory organization
    • G07B2017/00403—Memory zones protected from unauthorized reading or writing
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00733—Cryptography or similar special procedures in a franking system
    • G07B2017/00959—Cryptographic modules, e.g. a PC encryption board
    • G07B2017/00967—PSD [Postal Security Device] as defined by the USPS [US Postal Service]

Definitions

  • the invention relates to a method for protecting a security module, according to the type specified in the preamble of claim 1, and an arrangement for carrying out the method, according to the type specified in the preamble of claim 3.
  • a postal security module is in particular for use in a franking machine Mailing machine or computer with mail processing function suitable.
  • Modern franking machines like those from the US 4,746,234 known thermal transfer postage meter, employ a fully electronic digital printing device.
  • Applicants' T1000 meter has a microprocessor surrounded by a secure housing having an opening for delivering a letter.
  • a mechanical letter sensor microwaveswitch
  • the franking imprint includes previously entered and stored postal information for conveying the letter.
  • the control unit of the franking machine carries out a software billing, exercises a monitoring function, possibly with regard to the conditions for a data update, and controls the reloading of a port value credit.
  • thermal transfer franking machine has already been in US 5,606,508 ( DE 42 13 278 B1 ) and in US 5,490,077 proposed a data entry option using smart cards.
  • One of the smart cards loads new data into the postage meter machine and a set of further smart cards allows a setting to be made according to stored data by inserting a chip card.
  • the data loading and the setting of the franking machine can thus be more convenient and faster than by keyboard input.
  • a franking machine for franking mail is provided with a printer for printing the postage stamp on the mail, a controller for controlling the printing and peripheral components of the postage meter, a bill unit for settling postage, at least one nonvolatile memory for storing postage data , equipped with at least one non-volatile memory for storing safety-relevant data and with a calendar / clock.
  • the non-volatile memory of the safety-related data and / or the calender / clock is usually powered by a battery.
  • security-relevant data (cryptographic keys and the like) are saved in nonvolatile memories. These memories are EEPROM, FRAM or battery backed SRAM.
  • Known franking machines often also have an internal real time clock (RTC), which is powered by a battery.
  • RTC real time clock
  • encapsulated modules containing integrated circuits and a lithium battery. These modules must be replaced and disposed of at the end of the life of the battery as a whole. From an economic and ecological point of view, it is better if only the battery needs to be replaced.
  • the security case must be opened and then closed again and sealed, because the security against fraud is essentially based on the secure housing, which encloses the entire machine.
  • EP 660 269 A2 US 5,671,146
  • any required repair of a franking machine is then difficult on site, if the access to the components is difficult or limited.
  • the secured housing will in future be reduced to the so-called postal security module, which can improve the accessibility to the other components.
  • the battery of the security module it would also be desirable that these be relatively simple can be replaced.
  • the battery must be outside the security range of the franking machine.
  • a potential attacker is able to manipulate the battery voltage.
  • Known battery-powered SRAM and RTC have different requirements with regard to their required operating voltage. The voltage required to hold data from SRAM is below the required voltage for operating RTC.
  • the remote data center specifies a time credit or a period of time, in particular a number of days, or a specific day up to which the franking device can report by means of a communication connection. After unsuccessful expiration of the time credit or the deadline, franking is prevented.
  • Security modules are already known from electronic data processing systems ago. To protect against burglary in an electronic system is in EP 417 447 B1 already proposed a lock, which includes power supply and signal detection means and shielding in the housing.
  • the shielding means is made of encapsulating material and conductive means to which the power supply and signal detection means are connected. The latter responds to a change in the line resistance of the line means.
  • the security module contains an internal battery, a voltage switch from system voltage to battery voltage, a power gate and a short-circuit transistor as well as other sensors. When the voltage falls below a certain limit, the Power Gate responds. If the line resistance, temperature or radiation is changed, the logic will react.
  • the output of the short-circuit transistor is switched to L level, whereby a memory stored in the cryptographic key is deleted.
  • the life of the non-replaceable battery and thus of the security module for use in franking devices or mail processing machines is too small.
  • a larger mail processing machine is, for example, the JetMail®.
  • a franking print is here produced by means of a stationary ink jet printhead in a non-horizontal approximately vertical letter transport.
  • a suitable design for a printing device was already in the DE 196 05 015 C1 proposed.
  • the mailing machine has a meter and a base. If the meter is to be equipped with a housing so that components are more easily accessible, then it must be protected by a postal security module fraud attempts, which at least performs the settlement of postal fees. To exclude influences on the program, has already been in the EP 789 333 A2 under the title: Postage meter proposed to equip a security module with an Application Specific Integrated Circuit ASIC, which has a hardware A réelleaji. The user circuit also controls the print data transfer to the print head.
  • franking machines are also modular. This modularity allows the exchange of modules and components for various reasons. Thus, e.g. defective modules are replaced and replaced by checked, repaired or new modules. Since the utmost care is required in the exchange of assemblies containing safety-relevant data, the replacement usually requires the use of a service technician and measures that prevent its functioning in case of improper use or unauthorized replacement of a security module. The latter is very expensive.
  • the invention has for its object, with little effort to ensure protection against an unauthorized manipulated security module when the security module is arranged interchangeable.
  • the exchange should be possible by anyone in the simplest possible way.
  • the invention is based on the functional units to determine the exchange and use of a security module of a postage meter, mail processing device or similar device to To provide the users of the various devices with a guarantee about the correct functioning of the security module and thus of the entire device.
  • An exchange of a safety module is detected at least and subsequently signaled as a condition if the safety module is plugged in again and supplied with a system voltage.
  • the changes in the state of the security module are detected by means of a first functional unit and by means of a battery supplied by a detection unit, which has a resettable latching.
  • the first functional unit can evaluate the respective state when it is supplied with system voltage again.
  • the reinitialization in connection with communication by means of a remote data center is performed by the first functional unit after a dynamic mating detection has been carried out successfully, during which information is exchanged during the detection of the first functional unit via a current loop of the interface unit Transmission proves the proper installation of the safety module.
  • the activation of functional units of the safety module is done by resetting them.
  • the first functional unit is a processor connected to the other functional units which is programmed to determine the respective status.
  • the second functional unit is a voltage monitoring unit with resettable latching and the third functional unit is a non-latching detection circuit with resettable latching.
  • FIG. 1 is a block diagram of the security module 100 with the contact groups 101, 102 for connection to an interface 8 and with the battery contact terminals 103 and 104 of a battery interface for a battery 134 shown.
  • the security module 100 is potted with a hard potting compound, the battery 134 of the security module 100 is interchangeably disposed outside of the potting compound on a printed circuit board.
  • the circuit board carries the battery contact terminals 103 and 104 for connecting the poles of the battery 134.
  • the security module 100 is plugged into a corresponding interface 8 of the motherboard (motherboard) 9.
  • the first contact group 101 communicates with the system bus of a control device and the second contact group 102 serves to supply the security module 100 with the system voltage.
  • the first and / or second contact group 101 and / or 102 are / is designed for static and dynamic monitoring of the plugged in the security module 100.
  • the supply of the security module 100 is realized with the system voltage of the motherboard 9 and the pins P1, P2 and P4, a dynamic and static non-detection detected by the security module 100.
  • the security module 100 has, in a manner known per se, a microprocessor 120 which contains an integrated read-only memory (internal ROM) with the special application program (not shown), which is approved for the franking machine by the postal authority or the respective mail carrier.
  • a conventional read-only memory ROM or FLASH memory can be connected to the internal data bus 126.
  • the security module 100 has, in a manner known per se, a reset circuit unit 130, a user circuit ASIC 150 and a logic PAL 160 which serves as the control signal generator for the ASIC.
  • the reset circuit unit 130 or the user circuit ASIC 150 and the logic PAL 160 as well as possibly further - not shown - memory are supplied via the lines 191 and 129 with system voltage Us +, which is supplied from the motherboard 9 with the franking device turned on.
  • system voltage Us + which is supplied from the motherboard 9 with the franking device turned on.
  • the system voltage Us + is also applied via a diode 181 and the line 136 at the input of the voltage monitoring unit 12.
  • a second operating voltage U b + is supplied, which is available via the line 138.
  • the negative terminal battery contact terminal 104 is connected to ground. From the battery contact terminal 103 lying on the positive pole, battery voltage is supplied via a line 193, via a second diode 182 and the line 136 to the input of the voltage monitoring unit.
  • a commercial circuit can be used aschrosumsohalter 180.
  • the output of the voltage monitoring unit 12 is connected via a line 138 to an input for this second operating voltage U b + of the processor 120, which leads at least to a RAM memory area 122, 124 and there guarantees non-volatile storage as long as the second operating voltage U b + in the required height is applied.
  • the processor 120 preferably includes an internal RAM 124 and a real-time clock (RTC) 122.
  • the voltage monitoring unit 12 in the security module has a resettable latching, which can be queried by the processor 120 via a line 164 and reset via a line 135. For a reset of latching, the voltage monitoring unit 12 switching means on The reset is not triggered until the battery voltage has risen above the predetermined threshold.
  • the lines 135 and 164 are each connected to a pin (pins 1 and 2) of the processor 120.
  • Line 164 provides a status signal to processor 120, and line 135 provides a control signal to voltage monitoring unit 12.
  • the line 136 at the input of the voltage monitoring unit 12 also supplies an unplugged detection unit 13 with operating or battery voltage.
  • the unplugged detection unit 13 outputs on the line 139 a status signal to a pin 5 of the processor 120, which gives an indication of the state of the circuit.
  • the processor 120 queries the state of the unplugged detection unit 13 via the line 139.
  • the processor may reset the unplugged detection unit 13 with a signal output from the pin 4 of the processor 120 via the lead 137.
  • a static check is made for connection.
  • ground potential is queried via a line 192, which is present at the connection P4 of the interface 8 of the postal security module PSM 100 and can only be interrogated when the security module 100 is inserted correctly.
  • ground potential of the negative pole 104 of the battery 134 of the postal security module PSM 100 is placed on the port P23 of the interface 8 and is thus interrogated at port P4 of the interface 8 via the line 192 of the unplugged detection unit 13.
  • the processor 120 At the pins 6 and 7 of the processor 120 is a line loop, which is looped back to the processor 120 via the pins P1 and P2 of the contact group 102 of the interface 8.
  • the processor 120 For dynamic testing of the connectedness of the postal security module PSM 100 to the motherboard 9, the processor 120 generates alternating signal levels at quite irregular time intervals at the pins 6, 7 and looping them back through the loop.
  • the postal security module PSM 100 is equipped with a long-live battery, which also allows monitoring of the use, without the security module is connected to a system voltage of a postal processing facility. Proper use, operation, installation or installation in the appropriate environment are those to be tested by the functional units of the safety module Properties. An initial installation is made by the manufacturer of the postal security module. Thus, after this initial installation, it is only necessary to check whether the postal security module is disconnected from its field of application (post-processing device), this usually taking place during an exchange.
  • the monitoring of this condition is performed by the unplugged detection unit 13.
  • a voltage level is monitored via the ground connection at pin 4 of the interface unit 8.
  • this ground connection is interrupted and the unplugged detection unit 13 registers this process as information. Since for each separation of the security module 100 from the interface unit 8, the storage of this information by the special battery-powered circuitry is ensured, an evaluation of this information can be done at any time, if a restart is desired.
  • the regular evaluation of this unplugged signal on the line 139 of the unplugged detection unit 13 allows the processor 120 to delete sensitive data without, however, altering the accounting and customer data in the NVRAM memories.
  • the current state of the postal security module with the deleted sensitive data can be understood as a maintenance condition, in which usually the replacement, repair or otherwise is made.
  • the processor 120 prevents in the maintenance state a core functionality of the postal security module, which consists for example in the billing and / or calculation of a security code for the security marking in a security print.
  • the postal security module PSM is first inserted and electrically connected to the corresponding interface unit 8 of a mail processing device. Then the device is switched on and thus the postal security module is again supplied with system voltage Us +. Due to the special condition, the proper installation of the postal security module must now be rechecked by its functional unit. For this purpose, a second stage of a test (dynamic plug-in detection) is provided. Via one between the first functional unit (processor 120) and the current loop 18 of the interface unit 8 made operative connection information is exchanged, the error-free transmission provides evidence of proper installation. This is a prerequisite for a successful restart.
  • a test dynamic plug-in detection
  • FIG. 2 shows a block diagram of a postage meter, which is equipped with a chip card read / write unit 70 for reloading change data by chip card and with a printing device 2, which is controlled by a control device 1.
  • the control device 1 has a motherboard 9 equipped with a microprocessor 91 with associated memories 92, 93, 94, 95.
  • the program memory 92 contains an operating program for at least printing and at least safety-related components of the program for a predetermined format change of a portion of the user data.
  • the RAM RAM 93 is used for volatile intermediate storage of intermediate results.
  • NVM 94 non-volatile memory is used for non-volatile caching of data, such as statistical data organized by cost center.
  • the calendar / clock module 95 also contains addressable but non-volatile memory areas for the non-volatile intermediate storage of intermediate results or also known program parts (for example for the DES algorithm).
  • control device 1 is connected to the chip card write / read unit 70, wherein the microprocessor 91 of the control device 1 is programmed, for example, to load the payload N from the memory area of a chip card 49 for their application in corresponding memory areas of the franking machine ,
  • a first chip card 49 inserted in a slot 72 of the chip card write / read unit 70 allows reloading of a data record into the franking machine for at least one application.
  • the smart card 49 contains, for example, the postage for all the usual postal carrier services according to the tariff of the postal authority and a post carrier code to generate a stamp image with the franking machine and to stamp the postal items according to the tariff of the postal authority.
  • the control device 1 forms the actual meter with the means 91 to 95 of the aforementioned motherboard 9 and also includes a keyboard 88, a display unit 89 and an application-specific circuit ASIC 90 and the interface 8 for the postal security module PSM 100.
  • the security module PSM 100 is about a control bus to the aforementioned ASIC 90 and the microprocessor 91 and via the parallel ⁇ C bus at least with the means 91 to 95 of the motherboard 9 and connected to the display unit 89.
  • the control bus carries lines for the signals CE, RD and WR between the security module PSM 100 and the aforementioned ASIC 90.
  • the microprocessor 91 preferably has a pin for an output from the security module PSM 100 interrupt signal i, other connections for the keyboard 88, a
  • the serial interface SI-1 for the connection of the chip card read / write unit 70 and a serial interface SI-2 for the optional connection of a MODEM by means of the MODEM can be used to increase the credit stored in the non-volatile memory of the postal security device PSM 100.
  • the postal security device PSM 100 is surrounded by a secured housing. Before each franking imprint, a hardware settlement is carried out in the postal security module PSM 100. Billing is independent of cost centers.
  • the postal security agent PSM 100 can be designed internally as in the European application EP 789 333 A3 was described in more detail.
  • the ASIC 90 may include a serial interface circuit 98 to a post-stream powered device, a serial interface circuit 96 to the sensors and actuators of the printing device 2, a serial interface circuit 97 to the print control electronics 16 for the printhead 4, and a serial interface circuit 99 to one has the printing device 20 in the post-stream downstream device.
  • a serial interface circuit 98 to a post-stream powered device a serial interface circuit 96 to the sensors and actuators of the printing device 2
  • a serial interface circuit 97 to the print control electronics 16 for the printhead 4 and a serial interface circuit 99 to one has the printing device 20 in the post-stream downstream device.
  • a variant for the peripheral interface can be removed, which suitable for several peripheral devices (stations). It is entitled: Arrangement for communication between a base station and other stations of a mailing machine and their emergency shutdown.
  • the interface circuit 96 coupled to the machine base interface circuit 14 provides at least one connection to the sensors 6, 7, 17 and to the actuators, such as the drive motor 15 for the roller 11 and a cleaning and sealing station RDS 40 for the ink jet printhead 4 , as well as to the label dispenser 50 in the machine base.
  • the basic arrangement and the interaction between the inkjet printhead 4 and the RDS 40 are the DE 197 26 642 C2 removable, entitled: Arrangement for positioning an ink jet printhead and a cleaning and sealing device.
  • One of the arranged in the guide plate 20 sensors 7, 17 is the sensor 17 and is used to prepare the pressure release during letter transport.
  • the sensor 7 is used for initial letter recognition for the purpose of triggering the letter transport.
  • the transport device consists of a conveyor belt 10 and two rollers 11,11 '.
  • One of the rollers is equipped with a motor 15 drive roller 11, another is the follower tension roller 11 '.
  • the drive roller 11 is designed as a toothed roller, according to the conveyor belt 10 is designed as a toothed belt, which ensures the unambiguous power transmission.
  • An encoder 5, 6 is coupled to one of the rollers 11, 11 '.
  • the drive roller 11 is firmly seated with an incremental encoder 5 on an axis.
  • the incremental encoder 5 is designed for example as a slotted disk, which cooperates with a light barrier 6, and outputs via the line 19 an encoder signal to the motherboard 9 from.
  • the individual printing elements of the print head are connected within its housing with a print head electronics and that the print head for a purely electronic pressure can be controlled.
  • the pressure control is based on the path control, whereby the selected stamp offset is taken into account, which is entered by keyboard 88 or if necessary by chip card and stored in memory NVM 94 non-volatile.
  • a planned imprint thus results from stamp offset (without printing), the franking print image and possibly further print images for advertising clichés, shipping information (optional prints) and additional editable messages.
  • the nonvolatile memory NVM 94 has a plurality of memory areas. among them are those that non-volatile store the charged postage fee tables.
  • the smart card write / read unit 70 consists of an associated mechanical support for the microprocessor card and contact unit 74. The latter allows a secure mechanical support of the smart card in the read position and clear signaling of reaching the reading position of the smart card in the contacting unit.
  • the microprocessor card with the microprocessor 75 has a programmed read capability for all types of memory cards or smart cards.
  • the interface to the franking machine is a serial interface in accordance with the RS232 standard.
  • the data transfer rate is min. 1.2 K baud.
  • the power supply is switched on by means of a switch 71 connected to the mainboard. After the power supply has been switched on, a self-test function with a ready message takes place.
  • FIG. 3 is a perspective view of the postage meter from behind.
  • the franking machine consists of a meter 1 and a base 2.
  • the latter is equipped with a smart card write / read unit 70, which is arranged behind the guide plate 20 and accessible from the housing upper edge 22.
  • a chip card 49 is inserted from top to bottom in the insertion slot 72.
  • a supplied standing on the edge letter 3, which rests with its surface to be printed on the guide plate is then printed according to the input data with a franking stamp 31.
  • the letter feeding opening is bounded laterally by a transparent plate 21 and the guide plate 20.
  • the status display of the security module 100 inserted on the motherboard 9 of the meter 1 is visible from the outside through an opening 109.
  • the FIG. 4 shows a block diagram of the postal security module PSM 100 in a preferred variant.
  • the negative pole of the battery 134 is connected to ground and a pin P23 of the contact group 102.
  • the positive pole of the battery 134 is connected to the one input of the voltage changeover switch 180 via the line 193, and the system voltage leading line 191 is connected to the other input of the voltage changeover switch 180.
  • battery 134 is the type SL-389 / P for a lifetime up to 3.5 years or the type SL-386 / P for a lifetime up to 6 years with a maximum power consumption by the PSM 100 is suitable as a voltage switch 180, a commercial circuit of the type ADM 8693ARN be used.
  • the output of the voltage changeover switch 180 is connected via the line 136 to the battery monitoring unit 12 and the detection unit 13.
  • the battery monitoring unit 12 and the detection unit 13 communicate with the pins 1, 2, 4 and 5 of the processor 120 via the lines 135, 164 and 137, 139 in communication.
  • the output of the voltage changeover switch 180 is also connected via the line 136 to the supply input of a first memory SRAM, which becomes the non-volatile memory NVRAM of the first technology by the existing battery 134.
  • the security module communicates with the postage meter via the system bus 115, 117, 118.
  • the processor 120 may communicate via the system bus and a modem 83 in communication with a remote data center.
  • the billing is performed by the ASIC 150 and checked by the processor 120.
  • the postal billing data is stored in non-volatile memory of different technology.
  • the system voltage is applied to the supply input of a second memory NV-RAM 114.
  • the latter is a non-volatile memory NVRAM of a second technology, (SHADOW-RAM).
  • This second technology preferably comprises a RAM and an EEPROM, the latter automatically assuming the data contents in the event of system voltage failure.
  • the NVRAM 114 of the second technology is connected to the corresponding address and data inputs of the ASIC 150 via an internal address and data bus 112, 113.
  • the ASIC 150 contains at least one hardware abort unit for the calculation of the postal data to be stored.
  • Programmable Array Logic (PAL) 160 accommodates access logic to ASIC 150.
  • the ASIC 150 is controlled by the PAL 160 logic.
  • An address and control bus 117, 115 from the motherboard 9 is connected to corresponding pins of the PAL 160 logic and the PAL 160 generates at least a control signal for the ASIC 150 and a control signal 119 for the program memory FLASH 128.
  • the processor 120 executes a program stored in the FLASH 128.
  • Processor 120, FLASH 28, ASIC 150, and PAL 160 are interconnected via a module-internal system bus that includes lines 110, 11, 12, 126, 119 for data, address, and control signals.
  • the processor 120 of the security module 100 is connected via a module-internal data bus 126 to a FLASH 128 and to the ASIC 150.
  • the FLASH 128 is supplied with system voltage Us +. For example, it is a 128 Kbyte FLASH memory type AM29F010-45EC.
  • the ASIC 150 of the postal security module 100 supplies addresses 0 to 7 to the corresponding address inputs of the FLASH 128 via a module-internal address bus 110.
  • the processor 120 of the security module 100 delivers the addresses 8 to 15 to the corresponding address inputs of the FLASH 128 via an internal address bus 111
  • the ASIC 150 of the security module 100 is connected via the contact group 101 of the interface 8 to the data bus 118, to the address bus 117 and to the control bus 115 of the motherboard 9 in communication connection.
  • the processor 120 has memory 122, 124 to which an operating voltage Ub + from a voltage monitoring unit 12 is supplied via the line 138.
  • a real-time clock RTC 122 and the memory RAM 124 are supplied by an operating voltage via the line 138.
  • the voltage monitor unit (Battery Observer) 12 also provides a status signal 164 and responds to a control signal 135.
  • the voltage selector 180 as output voltage on the line 136 for the battery observer 12 and memory 116, passes that of its input voltages as a supply voltage which is higher than the other one , Due to the possibility of automatically feeding the described circuit as a function of the magnitude of the voltages Us + and Ub + with the larger of the two, during normal operation the battery 134 can be exchanged without loss of data.
  • the battery 134 of the security module 100 feeds in the rest periods outside normal operation in the aforementioned manner the real-time clock (RTC) 122 with date and / or time registers and / or the static RAM (SRAM) 124, which holds security-relevant data. If the voltage of the battery drops below a certain limit during battery operation, the voltage monitoring unit 12 connects the feed point for the RTC and SRAM to ground until reset. The voltage at the RTC and SRAM is then at 0V. As a result, the SRAM 124, which contains eg important cryptographic keys, is deleted very quickly. At the same time also the registers the RTC 122 is cleared and the current time and date are lost. This action prevents a potential attacker from stopping the postage meter internal clock 122 by manipulating the battery voltage without losing any security related data. This prevents the attacker from bypassing security measures such as long-time watchdogs.
  • RTC real-time clock
  • SRAM static RAM
  • the RESET unit 130 is connected via the line 131 to the pin 3 of the processor 120 and to a pin of the ASIC 150.
  • the processor 120 and the ASIC 150 are reset by a reset generation in the RESET unit 130 when the supply voltage drops.
  • the described circuit changes into a self-holding state in which it remains even when subsequently increasing the voltage.
  • the processor can query the state of the circuit (status signal) and thus and / or via the evaluation of the contents of the erased memory, conclude that the battery voltage has in the meantime fallen below a certain value.
  • the processor may reset the monitor circuit, i. "make sharp.
  • the unplugged detection unit 13 has to measure the input voltage line 192, which is connected via the plug of the security module and interface 8, preferably via a socket on the motherboard 9 of the postage meter to ground. This measurement is used for static monitoring of the arrangement and forms the basis for monitoring at a first stage. It is contemplated that the unplugged detection unit 13 comprises resettable latching means, the latching being triggered when the voltage level on a sense voltage line 192 deviates from a predetermined potential.
  • the evaluation logic includes the processor 120 connected to the other functional units, which is programmed to detect and change the respective state of the security module 100. The state of latching can be queried via the line 139 from the processor 120 of the security module 100.
  • the measuring voltage potential on the Line 192 corresponds to ground potential if security module 100 is properly inserted.
  • On line 139 is operating voltage potential. Ground voltage potential is present on the line 139 when the security module 100 is unplugged.
  • the processor 120 has a fifth pin 5, to which the line 139 is connected in order to query the state of the unplugged detection unit 13, whether it is switched to ground potential with latching. In order to reset the state of latching of the unplugged detection unit 13 via the line 137, the processor 120 has a fourth pin 4.
  • a current loop 18 is provided which also connects the pins 6 and 7 of the processor 120 via the plug of the security module and via the socket on the motherboard 9 of the postage meter machine.
  • the lines on the pins 6 and 7 of the processor 120 are closed only to a current loop 18 at a plugged into the motherboard 9 PSM 100. This loop forms the basis for a dynamic monitoring of the plugged-in safety module on a second level.
  • the processor 120 internally has a processing unit CPU 121, a real time clock RTC 122, a RAM unit 124, and an input / output unit 125.
  • the processor 120 is equipped with pins 8, 9 for outputting at least one signal for signaling the state of the security module 100.
  • I / O ports of the input / output unit 125 to which module-internal signaling means are connected, for example, colored light emitting diode LED's 107, 108, which signal the state of the security module 100.
  • the safety modules can assume different states in their life cycle. So, for example, to detect whether the module contains valid cryptographic keys. Furthermore, it is also important to distinguish whether the module is working or is defective. The exact type and number of module states depends on the implemented functions in the module and on the implementation.
  • the unplugged detection unit 13 comprises a voltage divider consisting of a series circuit of resistors 1310, 1312, 1314 and is placed between a tapped by a capacitor 1371 supply voltage potential and a Meßwoodspotential on the line 192.
  • the circuit is supplied via line 136 with the system or battery voltage.
  • the respective supply voltage from the line 136 passes through a diode 1369 to the capacitor 1371 of the circuit.
  • an inverter 1320, 1398 On the output side of the circuit.
  • the transistor 1320 of the inverter In the normal state, the transistor 1320 of the inverter is disabled and the supply voltage is effective via the resistor 1398 on the line 139, which therefore logic '1', ie H level in the normal state.
  • An L level on line 139 is advantageous as a status signal for unplug because then no current flows into pin 5 of processor 120, increasing battery life.
  • the diode 1369 preferably in conjunction with an electrolytic capacitor 1371, ensures that the circuit upstream of the inverter is supplied with a voltage over a relatively long period of time (> 2 sec), in which its function is ensured, even though the voltage on the line 136 is already high was turned off.
  • the voltage divider 1310, 1312, 1314 has a tap 1304 to which a capacitor 1306 and the noninverting input of a comparator 1300 are connected.
  • the inverting input of the comparator 1300 is connected to a reference voltage source 1302.
  • the output of the comparator 1300 is connected on the one hand via the negator 1324.1398 to the line 139 and on the other hand to the control input of a switching means 1322 for latching.
  • the switching means 1322 is connected in parallel with the resistor 1310 of the voltage divider, and the latching switching means 1316 is connected between the tap 1304 and ground.
  • the tap 1304 of the voltage divider is at the junction of the resistors 1312 and 1314.
  • the capacitor 1306 connected between the tap 1304 and ground prevents vibrations.
  • the voltage at tap 1304 of the voltage divider is compared in comparator 1300 with the reference voltage of source 1302. If the voltage to be compared at tap 1304 is less than the reference voltage of source 1302, then the comparator output remains at L level and transistor 1320 of the inverter is disabled. As a result, the line 139 now receives operating voltage potential and the status signal leads logically '1'.
  • the voltage divider is dimensioned so that at ground potential on the line 192, the tap 1304 carries a voltage which safely below the switching threshold of the comparator 1300 is located.
  • the connection is interrupted and the line 192 is no longer connected to ground, because the security module 100 has been detached from the socket on the motherboard 9 or interface unit 8 of the franking machine, the voltage at the tap 1304 is pulled over the voltage of the reference voltage source 1302 and the Comparator 1300 switches over.
  • the comparator output is switched to H level, and thus the transistor 1320 is turned on.
  • the line 139 is connected to ground potential and the status signal logic '0.
  • a transistor 1322 which is connected in parallel with the resistor 1310 of the voltage divider, a self-holding circuit of the unplugged detection unit 13 is realized.
  • the control input of transistor 1322 is switched to the H level by the comparator output.
  • the transistor 1322 turns on and bridges the resistor 1310.
  • the voltage divider is formed only by the resistors 1312 and 1314.
  • the switching threshold is increased so much that the comparator remains in the switched state when the line 192 again ground potential, because the security module was plugged again.
  • the state of the circuit can be queried via the signal on line 139 from the processor 120.
  • the unplugged detection unit 13 as circuit means comprises a line 137 and a latching resetting means 1316, the reset being triggerable by the processor 120 via a signal on the line 137.
  • the processor 120 can at any time via a user circuit ASIC 150, via a first contact group 101, via a system bus of the controller 1 and for example via the microprocessor 91 via modem 83 to contact a remote data center, which checks the billing data and optionally other data to the Processor 120 transmitted.
  • the user circuit ASIC 150 of the security module 100 is connected to the processor 120 via a module-internal data bus 126.
  • the processor 120 may reset the untagged detection unit if reinitialization could be successfully completed using the transmitted data.
  • the transistor 1316 is switched through via the reset signal on the line 137 and thus the voltage at the tap 1304 below the reference voltage of Source 1302 and disable transistors 1320 and 1322. When transistor 1322 is normally off, resistors 1310 and 1312 in series form the upper part of the above voltage divider and the switching threshold is lowered back to the original state.
  • the FIG. 6 shows the mechanical structure of the safety module in side view.
  • the security module is designed as a multi-chip module, that is, a plurality of functional units are interconnected on a printed circuit board 106.
  • the security module 100 is potted with a hard potting compound 105, wherein the battery 134 of the security module 100 is arranged outside of the potting compound 105 on a printed circuit board 106 interchangeable. For example, it is potted with a potting material 105 that signal means 107, 108 protrude from the potting material at a first location and that the circuit board 106 protrudes laterally with the inserted battery 134 a second location.
  • the printed circuit board 106 also has battery contact terminals 103 and 104 for connecting the poles of the battery 134, preferably on the component side above the printed circuit board 106. It is envisaged that for plugging the postal security module PSM 100 on the main board of the meter 1, the contact groups 101 and 102nd are arranged below the circuit board 106 (trace side) of the security module 100.
  • the user circuit ASIC 150 is via the first contact group 101 - in a manner not shown - in communication with the system bus of a control device 1 and the second contact group 102 serves to supply the security module 100 with the system voltage.
  • the security module is plugged onto the motherboard, then it is preferably arranged within the meter housing in such a way that the signal means 107, 108 near an opening 109 or projects into this.
  • the meter housing is thus advantageously designed so that the user can still see the status of the security module from the outside.
  • the two light emitting diodes 107 and 108 of the signal means are controlled via two output signals of the I / O ports to the pin 8, 9 of the processor 120. Both LEDs are housed in a common component housing (Bicolorleuchtdiode), which is why the dimensions or the diameter of the opening can remain relatively small and is of the order of the signal means. In principle, three different colors can be displayed (red, green, orange), of which only two are used (red and orange) green). To distinguish the state, the LEDs are also used flashing, so that 5 different state groups can be distinguished, which are characterized by the following LED states: LED off, red LED flashing, red LED, green flashing LED, green LED.
  • FIG. 7 is a plan view of the postal security module shown.
  • FIGS. 8a or 8b show a view of the security module respectively from the right and from the left.
  • the location of the contact groups 101 and 102 below the printed circuit board 106 is from the FIGS. 8a and 8b combined with FIG. 6 clear.
  • the postal device in particular a franking machine
  • the security module can also have a different design, which makes it possible, for example, it can be plugged onto the motherboard of a personal computer, which drives a commercial printer as a PC meter.

Description

  • Die Erfindung betrifft ein Verfahren zum Schutz eines Sicherheitsmoduls, gemäß der im Oberbegriff des Anspruchs 1 angegebenen Art, und eine Anordnung zur Durchführung des Verfahrens, gemäß der im Oberbegriff des Anspruchs 3 angegebenen Art. Ein solcher postalischer Sicherheitsmodul ist insbesondere für den Einsatz in einer Frankiermaschine bzw. Postbearbeitungsmaschine oder Computer mit Postbearbeitungsfunktion geeignet.
  • Moderne Frankiermaschinen, wie die aus der US 4.746.234 bekannte Thermotransfer-Frankiermaschine, setzen eine vollelektronische digitale Druckvorrichtung ein. Damit ist es prinzipiell möglich, beliebige Texte und Sonderzeichen im Frankierstempeldruckbereich und ein beliebiges oder ein einer Kostenstelle zugeordnetes Werbeklischee zu drucken. So hat zum Beispiel die Frankiermaschine T1000 der Anmelderin einen Mikroprozessor, welcher von einem gesicherten Gehäuse umgeben ist, das eine Öffnung für die Zuführung eines Briefes aufweist. Bei einer Briefzuführung übermittelt ein mechanischer Briefsensor (Mikroschalter) ein Druckanforderungssignal an den Mikroprozessor. Der Frankierabdruck beinhaltet eine zuvor eingegebene und gespeicherte postalische Information zur Beförderung des Briefes. Die Steuereinheit der Frankiermaschine nimmt eine Abrechnung softwaremäßig vor, übt eine Überwachungsfunktion ggf. bezüglich der Bedingungen für eine Datenaktualisierung aus und steuert das Nachladen eines Portwertguthabens.
  • Für die oben genannte Thermotransfer-Frankiermaschine wurde bereits in US 5,606,508 ( DE 42 13 278 B1 ) und in US 5,490,077 eine Dateneingabemöglichkeit mittels Chipkarten vorgeschlagen. Eine der Chipkarten lädt neue Daten in die Frankiermaschine und ein Satz an weiteren Chipkarten gestattet durch das Stecken einer Chipkarte eine Einstellung entsprechend eingespeicherter Daten vorzunehmen. Das Datenladen und die Einstellung der Frankiermaschine kann damit bequemer und schneller als per Tastatureingabe erfolgen. Eine Frankiermaschine zum Frankieren von Postgut, ist mit einem Drucker zum Drucken des Postwertstempels auf das Postgut, mit einer Steuerung zum Steuern des Druckens und der peripheren Komponenten der Frankiermaschine, mit einer Abrecheneinheit zum Abrechnen von Postgebühren, mit mindestens einem nichtflüchtigen Speicher zum Speichern von Postgebührendaten, mit mindestens einem nichtflüchtigen Speicher zum Speichern von sicherheitsrelevanten Daten und mit einer Kalender/Uhr ausgestattet. Der nichtflüchtige Speicher der sicherheitsrelevanten Daten und/oder die Kalender/Uhr wird gewöhnlich von einer Batterie gespeist. Bei bekannten Frankiermaschinen werden sicherheitsrelevante Daten (kryptografische Schlüssel u.ä.) in nichtflüchtigen Speichern gesichert. Diese Speicher sind EEPROM, FRAM oder batteriegesicherte SRAM. Bekannte Frankiermaschinen verfügen oft auch über eine interne Echtzeituhr (Real Time Clock) RTC, die von einer Batterie gespeist wird. Bekannt sind z.B. vergossene Module, die integrierte Schaltkreise und eine Lithium-Batterie enthalten. Diese Module müssen nach Ablauf der Lebensdauer der Batterie im Ganzen ausgetauscht und entsorgt werden. Aus wirtschaftlichen und ökologischen Gesichtspunkten ist es günstiger, wenn nur die Batterie ausgetauscht werden muß. Dazu muß jedoch das Sicherheitsgehäuse geöffnet und anschließend wieder verschlossen und gesiegelt werden, denn die Sicherheit gegenüber Betrugsversuchen beruht im Wesentlichen auf dem gesicherten Gehäuse, welches die gesamte Maschine umschließt. Seitens der Anmelderin wurde in EP 660 269 A2 ( US 5,671,146 ) bereits ein geeignetes Verfahren zur Verbesserung der Sicherheit von Frankiermaschinen vorgeschlagen, in welchem zwischen einem authorisierten und unauthorisierten Öffnen des Sicherheitsgehäuses unterschieden wird.
  • Eine eventuell erforderliche Reparatur einer Frankiermaschine ist dann vor Ort nur schwer möglich, wenn der Zugang zu den Bauteilen erschwert oder eingeschränkt ist. Bei größeren Postverarbeitungsmaschinen oder sogenannten PC-Frankierern wird zukünftig das gesicherte Gehäuse auf das sogenannte postalische Sicherheitsmodul reduziert werden, was die Zugänglichkeit zu den übrigen Bauteilen verbessern kann.Zum wirtschaftlichen Austauschen der Batterie des Sicherheitsmoduls wäre es außerdem wünschenswert, daß sich diese auf relativ einfachem Wege auswechseln läßt. Dazu muß sich die Batterie außerhalb des Sicherheitsbereichs der Frankiermaschine befinden. Wenn die Batterieklemmen aber von außen zugänglich gemacht werden, ist ein möglicher Angreifer in der Lage, die Batteriespannung zu manipulieren. Bekannte batteriegespeiste SRAM und RTC haben bzgl. ihrer geforderten Betriebsspannung unterschiedliche Anforderungen. Die notwendige Spannung zum Halten von Daten von SRAM liegt unterhalb der geforderten Spannung zum Betrieb von RTC. Daß bedeutet, daß ein Verringern der Spannung unter einen bestimmten Grenzwert zu einem unerwünschten Verhalten der Komponenten führt: Die RTC bleibt stehen, die Uhrzeit - gespeichert in SRAM-Zellen - und die Speicherinhalte des SRAM bleiben erhalten. Wenigstens eine der Sicherheitsmaßnahmen, beispielsweise Long Time Watchdogs, wären dann auf der Frankiermaschinenseite unwirksam. Unter Long Time Watchdogs wird folgendes verstanden: Die entfernte Datenzentrale gibt einen Zeitkredit bzw. eine Zeitdauer, insbesondere eine Anzahl von Tagen, oder einen bestimmten Tag vor, bis zu welchem sich die Frankiereinrichtung per Kommunikationsverbindung melden kann. Nach erfolglosen Ablauf des Zeitkredits oder der Frist wird das Frankieren verhindert. Unter dem Titel: Verfahren und Anordnung zur Erzeugung und Überprüfung eines Sicherheitsabdruckes wurde bereits in der EP 660 270 A2 ( US 5,680,463 ) ein Verfahren vorgeschlagen, die voraussichtliche Zeitdauer bis zur nächsten Guthabennachladung zu ermitteln, wobei seitens einer Datenzentrale diejenige Frankiermaschine als suspekt gilt, welche sich nicht fristgemäß meldet. Suspekte Frankiermaschinen werden der Postbehörde mitgeteilt, welche den Poststrom nach von suspekten Frankiermaschinen frankierten Briefen überwacht. Ein Ablauf des Zeitkredits oder der Frist wird bereits auch von der Frankiereinrichtung ermittelt und der Benutzer wird aufgefordert die überfällige Kommunikation durchzuführen.
  • Sicherheitsmodule sind von elektronischen Datenverarbeitungsanlagen her bereits bekannt. Zum Schutz vor Einbruch in eine elektronische Anlage wird in EP 417 447 B1 bereits eine Sperre vorgeschlagen, welche Stromversorgungsmittel- und Signalerfassungsmittel sowie Abschirmmittel im Gehäuse umfaßt. Das Abschirmmittel besteht aus Einkapselungsmaterial und Leitungsmitteln, an welchen die Stromversorgungs- und Signalerfassungsmittel angeschlossen sind. Letzteres reagiert auf eine Veränderung des Leitungswiderstandes des Leitungsmittels. Außerdem enthält das Sicherheitsmodul eine interne Batterie, einen Spannungsumschalter von Systemspannung auf Batteriespannung, ein Power Gate und einen Kurzschlußtransistor sowie weitere Sensoren. Wenn die Spannung eine bestimmte Grenze unterschreitet, reagiert das Power Gate. Wenn der Leitungswiderstand, die Temperatur oder die Strahlung verändert ist, reagiert die Logik. Mittels des Power Gate oder mittels der Logik wird der Ausgang des Kurzschlußtransistor auf L-Pegel umgeschaltet, wodurch ein im Speicher gespeicherter kryptographischer Schlüssel gelöscht wird. Jedoch ist die Lebensdauer der nicht auswechselbaren Batterie und damit des Sicherheitsmoduls für den Einsatz in Frankiereinrichtungen bzw. Postverarbeitungsmaschinen zu klein.
  • Eine größere Postverarbeitungsmaschine ist beispielsweise die JetMail®. Ein Frankierdruck wird hier mittels einem stationär angeordneten Tintenstrahldruckkopf bei einem nichtwaagerechten annähernd vertikalen Brieftransport erzeugt. Eine geeignete Ausführung für eine Druckvorrichtung wurde bereits in der DE 196 05 015 C1 vorgeschlagen. Die Postverarbeitungsmaschine hat ein Meter und eine Base. Soll das Meter mit einem Gehäuse ausgestattet werden, so daß Bauteile leichter zugänglich sind, dann muß es durch ein postalisches Sicherheitsmodul vor Betrugsversuchen geschützt werden, welches mindestens das Abrechnen der Postgebühren durchführt. Um Einflüsse auf den Programmverlauf auszuschließen, wurde bereits in der EP 789 333 A2 unter dem Titel: Frankiermaschine vorgeschlagen, ein Sicherheitsmodul mit einer Anwenderschaltung (Application Specific Integrated Circuit) ASIC auszustatten, die eine Hardware-Abrecheneinheit aufweist. Die Anwenderschaltung steuert außerdem die Druckdatenübertragung zum Druckkopf.
  • Letzteres wäre nur dann nicht erforderlich, wenn für jedes Poststück einzigartige Abdrucke erzeugt werden. Ein geeignetes Verfahren und Anordnung zur Erzeugung und Überprüfung eines Sicherheitsabdruckes ist beispielsweise in den US 5,680,463 , US 5,71 2,916 und US 5,734,723 vorgeschlagen worden. Dabei wird eine spezielle Sicherheitsmarkierung elektronisch generiert und in das Druckbild eingebettet.
  • Weitere Maßnahmen zum Schutz eines Sicherheitsmodul vor einem Angriff auf die in ihm gespeicherten Daten wurden auch in den nicht vorveröffentlichten deutschen Anmeldungen 198 16 572.2 und 198 16 571.4 vorgeschlagen. Bei einer Vielzahl von Sensoren steigt der Stromverbrauch und ein nicht ständig von einer Systemspannung versorgter Sicherheitsmodul zieht dann den für die Sensoren benötigten Strom aus seiner internen Batterie, was letztere ebenfalls frühzeitig erschöpft. Die Kapazität der Batterie und der Stromverbrauch beschränken somit die Lebensdauer eines Sicherheitsmoduls.
  • Frankiermaschinen sind wie viele andere Produkte ebenfalls modular aufgebaut. Diese Modularität ermöglicht den Austausch von Modulen und Komponenten aus verschiedenen Gründen. So können z.B. defekte Module ausgetauscht und durch überprüfte, reparierte oder neue Module ersetzt werden. Da eine höchste Sorgsamkeit beim Austausch von Baugruppen erforderlich ist, die sicherheitsrelevante Daten enthalten, erfordert der Austausch in der Regel den Einsatz eines Service Technikers und Maßnahmen, die bei unsachgemäßem Gebrauch bzw. unauthorisierten Austausch eines Sicherheitsmoduls dessen Funktionsweise unterbinden. Letzteres ist aber sehr aufwendig.
  • Der Erfindung liegt die Aufgabe zugrunde, mit geringem Aufwand den Schutz vor einem unbefugt manipulierten Sicherheitsmodul zu gewährleisten, wenn das Sicherheitsmodul austauschbar angeordnet ist. Der Austausch soll von jederman auf möglichst einfache Weise möglich sein.
  • Die Aufgabe wird mit den Merkmalen des Verfahrens nach Anspruch 1 und mit den Merkmalen der Anordnung nach Anspruch 3 gelöst.
  • Die Erfindung geht davon aus, mittels Funktionseinheiten den Austausch und Gebrauch eines Sicherheitsmoduls einer Frankiermaschine, Postverarbeitungseinrichtung oder ähnlichen Gerätes festzustellen, um den Benutzern der verschiedenen Geräte eine Gewährleistung über die korrekte Funktionsweise des Sicherheitsmoduls und damit des gesamten Gerätes bieten zu können. Ein Austausch eines Sicherheitsmoduls wird mindestens detektiert und ggf. nachträglich als Zustand signalisiert, wenn der Sicherheitsmodul wieder gesteckt ist und mit einer Systemspannung versorgt wird. Die Veränderungen des Zustandes des Sicherheitsmoduls werden mittels einer ersten Funktionseinheit und mittels einer von einer Batterie versorgten Detektionseinheit erfaßt, welche eine rücksetzbare Selbsthaltung aufweist. Die erste Funktionseinheit kann den jeweiligen Zustand auswerten, wenn sie wieder mit Systemspannung versorgt wird. Die Vorteile liegen in einer schnellen Reaktion auf Veränderungen des Zustandes des Sicherheitsmoduls und in einem geringem Batteriestromverbrauch der Schaltung der Detektionseinheit während der Nichtversorgung des Sicherheitsmoduls mit der Systemspannung.
  • Es ist mindestens vom unsachgemäßen Gebrauch eines Sicherheitsmoduls bei jedem Austausch auszugehen, bei welchen nicht nur die Systemspannung fehlt, sondern auch die austauschbar angeordnete Batterie entfernt wird. Damit der Austausch von möglichst gering qualifiziertem Personal und in Zukunft gar durch den Benutzer ausgeführt werden kann, übernimmt eine weitere Funktionseinheit die Überwachung auf Spannungsausfall beim Austausch der Batterie, wobei die weitere Funktionseinheit zunächst sensitive Daten löscht und damit den weiteren Gebrauch des Sicherheitsmoduls einschränkt oder gar unterbindet. Die erste Funktionseinheit erzwingt bei einer späteren Wiederinbetriebnahme eine Kontaktaufnahme des Sicherheitsmoduls mit einer entfernten Datenzentrale zum Freischalten mindestens einer Funktionseinheit. Falls der Sicherheitsmodul sachgemäß ausgetauscht wurde, werden bei der Wiederinbetriebnahme die sensitiven Daten reinitialisiert. Zur Kontaktaufnahme sind Verfahren mit einer digitalen oder analogen Übertragungsstrecke einsetzbar. Das Verfahren zum Schutz eines Sicherheitsmoduls beinhaltet die folgenden Schritte:
    • ● Überwachung des sachgemäßen Gebrauchs oder Austausches des Sicherheitsmoduls mittels einer ersten, zweiten und dritten Funktionseinheit,
    • ● Löschen von sensitiven Daten aufgrund eines unsachgemäßen Gebrauchs oder Austausches mindestens mittels der zweiten Funktionseinheit,
    • ● Sperren der Funktionalität mittels der dritten Funktionseinheit während eines Austausches des Sicherheitsmoduls,
    • ● Reinitialisieren mittels der ersten Funktionseinheit von zuvor gelöschten sensitiven Daten nach sachgemäßem Austausch des Sicherheitsmoduls,
    • ● Wiederinbetriebnahme durch Freischalten der Funktionseinheiten des Sicherheitsmodules.
  • Es ist vorgesehen, daß das Reinitialisieren in Verbindung mit einer Kommunikation mittels einer entfernten Datenzentrale von der ersten Funktionseinheit vorgenommen wird, nachdem eine dynamische GestecktseinDetektion erfolgreich durchgeführt wurde, wobei während der Detektion von der ersten Funktionseinheit über eine Stromschleife der Interfaceeinheit Informationen ausgetauscht werden, deren fehlerfreie Übermittlung den Beweis für den sachgemäßen Einbau des Sicherheitsmodules erbringt. Das Freischalten von Funktionseinheiten des Sicherheitsmodules erfolgt durch deren Rücksetzen. Die erste Funktionseinheit ist ein mit den anderen Funktionseinheiten verbundener Prozessor, welcher programmiert ist, den jeweiligen Zustand festzustellen. Die zweite Funktionseinheit ist eine Spannungsüberwachungseinheit mit rücksetzbarer Selbsthaltung und die dritte Funktionseinheit ist eine Ungestecktsein-Detektionsschaltung mit rücksetzbarer Selbsthaltung.
  • Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen gekennzeichnet bzw. werden nachstehend zusammen mit der Beschreibung der bevorzugten Ausführung der Erfindung anhand der Figuren näher dargestellt. Es zeigen:
    • Figur 1,
    Blockbild und Interface des Sicherheitsmoduls,
    Figur 2,
    Blockschaltbild der Frankiermaschine,
    Figur 3,
    Perspektivische Ansicht der Frankiermaschine von hinten,
    Figur 4,
    Blockschaltbild des Sicherheitsmoduls (zweite Variante),
    Figur 5,
    Schaltbild der Detektionseinheit,
    Figur 6,
    Seitenansicht des Sicherheitsmoduls,
    Figur 7,
    Draufsicht auf das Sicherheitsmodul,
    Figur 8a,
    Ansicht des Sicherheitsmoduls von rechts,
    Figur 8b,
    Ansicht des Sicherheitsmoduls von links.
  • In der Figur 1 ist ein Blockbild des Sicherheitsmoduls 100 mit den Kontaktgruppen 101, 102 zum Anschluß an ein Interface 8 sowie mit den Batteriekontaktklemmen 103 und 104 eines Batterieinterfaces für eine Batterie 134 dargestellt. Obwohl das Sicherheitsmodul 100 mit einer harten Vergußmasse vergossen ist, ist die Batterie 134 des Sicherheitsmoduls 100 außerhalb der Vergußmasse auf einer Leiterplatte auswechselbar angeordnet. Die Leiterplatte trägt die Batteriekontaktklemmen 103 und 104 für den Anschluß der Pole der Batterie 134. Mittels der Kontaktgruppen 101, 102 wird das Sicherheitsmodul 100 an ein entsprechendes Interface 8 der Hauptplatine (Motherboard) 9 gesteckt. Die erste Kontaktgruppe 101 steht mit dem Systembus einer Steuereinrichtung in Kommunikationsverbindung und die zweite Kontaktgruppe 102 dient der Versorgung des Sicherheitsmoduls 100 mit der Systemspannung. Über die Pins P3,P5-P19 der Kontaktgruppe 101 laufen Adreß- und Datenleitungen 117, 118 sowie Steuerleitungen 115. Die erste und/oder zweite Kontaktgruppe 101 und/oder 102 sind/ist zur statischen und dynamischen Überwachung des Angestecktseins des Sicherheitsmoduls 100 ausgebildet. Über die Pins P23 und P25 der Kontaktgruppe 102 wird die Versorgung des Sicherheitsmodul 100 mit der Systemspannung der Hauptplatine 9 realisiert und über die Pins P1, P2 bzw. P4 wird eine dynamische und statische Ungestecktsein-Detektion durch das Sicherheitsmodul 100 realisiert.
  • Das Sicherheitsmodul 100 weist in an sich bekannter Weise einen Mikroprozessor 120 auf, der einen - nicht gezeigten - integrierten Festwertspeicher (internal ROM) mit dem speziellen Anwendungsprogramm enthält, was für die Frankiermaschine von der Postbehörde bzw. vom jeweiligen Postbeförderer zugelassen ist. Alternativ kann an den internen Datenbus 126 ein üblicher Festwertspeicher ROM oder FLASH-Speicher angeschlossen werden.
  • Das Sicherheitsmodul 100 weist in an sich bekannter Weise eine ResetSchaltungseinheit 130, einen Anwenderschaltkreis ASIC 150 und eine Logik PAL 160 auf, die für den ASIC als Steuersignalgenerator dient. Die Reset-Schaltungseinheit 130 bzw. der Anwenderschaltkreis ASIC 150 und die Logik PAL 160 sowie eventuell weitere - nicht gezeigte - Speicher werden über die Leitungen 191 bzw. 129 mit Systemspannung Us+ versorgt, welche bei eingeschalteter Frankiereinrichtung von der Hauptplatine 9 geliefert wird. In der EP 789 333 A2 wurden bereits die wesentlichen Teile eines postalischen Sicherheitsmoduls PSM erläutert, die die Funktionen Abrechnen und Absichern der Postgebührendaten realisieren.
  • Die Systemspannung Us+ liegt außerdem über eine Diode 181 und die Leitung 136 am Eingang der Spannungsüberwachungseinheit 12 an. Am Ausgang der Spannungsüberwachungseinheit 12 wird eine zweite Betriebsspannung Ub+ geliefert, welche über die Leitung 138 zur Verfügung steht. Bei ausgeschalteter Frankiereinrichtung steht nicht die Systemspannung Us+, sondern nur die Batteriespannung Ub+ zur Verfügung. Die am negativen Pol liegende Batteriekontaktklemme 104 ist mit Masse verbunden. Von der am positiven Pol liegenden Batteriekontaktklemme 103 wird Batteriespannung über eine Leitung 193, über eine zweite Diode 182 und die Leitung 136 an den Eingang der Spannungsüberwachungseinheit geliefert. Alternativ zu den beiden Dioden 181, 182 kann ein handelsüblicher Schaltkreis als Spannungsumsohalter 180 eingesetzt werden.
  • Der Ausgang der Spannungsüberwachungseinheit 12 ist über eine Leitung 138 mit einem Eingang für diese zweite Betriebsspannung Ub+ des Prozessors 120 verbunden, welcher mindestens auf einen RAM-Speicherbereich 122, 124 führt und dort eine nichtflüchtige Speicherung solange garantiert, wie die zweite Betriebsspannung Ub+ in der erforderlichen Höhe anliegt. Der Prozessor 120 enthält vorzugsweise einen internen RAM 124 und eine Echtzeituhr (RTC) 122.
  • Die Spannungsüberwachungseinheit 12 im Sicherheitsmodul weist eine rücksetzbare Selbsthaltung auf, die vom Prozessor 120 über eine Leitung 164 abgefragt und über eine Leitung 135 zurückgesetzt werden kann. Für eine Rücksetzung der Selbsthaltung weist die Spannungsüberwachungseinheit 12 Schaltungsmittel auf Die Rücksetzung ist erst auslösbar, wenn die Batteriespannung über die vorbestimmte Schwelle angestiegen ist.
  • Die Leitungen 135 and 164 sind je mit einem Pin (Pin1 und 2) des Prozessors 120 verbunden. Die Leitung 164 liefert ein Statussignal an den Prozessor 120 und die Leitung 135 liefert ein Steuersignal an die Spannungsüberwachungseinheit 12.
  • Die Leitung 136 am Eingang der Spannungsüberwachungseinheit 12 versorgt zugleich eine Ungestecktsein-Detektionseinheit 13 mit Betriebs- oder Batteriespannung. Die Ungestecktsein-Detektionseinheit 13 gibt auf der Leitung 139 ein Statussignal an einen Pin 5 des Prozessors 120 ab, das eine Aussage über den Zustand der Schaltung gibt. Vom Prozessor 120 wird der Zustand der Ungestecktsein-Detektionseinheit 13 über die Leitung 139 abgefragt. Der Prozessor kann mit einem vom Pin 4 des Prozessors 120 über die Leitung 137 abgegebenen Signal die Ungestecktsein-Detektionseinheit 13 zurücksetzen. Nach dem Setzen wird eine statische Prüfung auf Anschluß durchgeführt. Dazu wird über eine Leitung 192 Massepotential abgefragt, welches am Anschluß P4 des Interfaces 8 des postalischen Sicherheitsmoduls PSM 100 anliegt und nur abfragbar ist, wenn der Sicherheitsmodul 100 ordnungsgemäß gesteckt ist. Bei gesteckten Sicherheitsmodul 100 wird Massepotential des negativen Pols 104 der Batterie 134 des postalischen Sicherheitsmoduls PSM 100 auf den Anschluß P23 des Interfaces 8 gelegt und ist somit am Anschluß P4 des Interfaces 8 über die Leitung 192 von der Ungestecktsein-Detektionseinheit 13 abfragbar.
  • An den Pins 6 und 7 des Prozessors 120 liegt eine Leitungsschleife, welche über die Pins P1 und P2 der Kontaktgruppe 102 des Interfaces 8 zum Prozessor 120 zurückgeschleift wird. Zur dynamischen Prüfung des Angeschlossenseins des postalischen Sicherheitsmoduls PSM 100 an der Hauptplatine 9 werden vom Prozessor 120 wechselnde Signalpegel in ganz unregelmäßigen Zeitabständen an die Pin's 6, 7 angelegt und über die Schleife zurückgeschleift.
  • Das postalische Sicherheitsmodul PSM 100 ist mit einer Long-Live-Batterie bestückt, welches auch eine Überwachung des Gebrauchs ermöglicht, ohne das das Sicherheitsmodul an einer Systemspannung eines Postverabeitungseinrichtung liegt. Der sachgemäße Gebrauch, Betrieb, Installation oder Einbau in der geeigneten Umgebung sind solche von den Funktionseinheiten des Sicherheitsmoduls zu prüfende Eigenschaften. Eine Erstinstallation wird vom Hersteller des postalischen Sicherheitsmoduls vorgenommen. Es ist also nach dieser Erstinstallation zunächst lediglich zu prüfen, ob das postalische Sicherheitsmodul von ihrem Einsatzfeld (Postverabeitungseinrichtung) getrennt wird, wobei dies in der Regel bei einem Austausch erfolgt.
  • Die Überwachung dieses Zustandes wird von der Ungestecktsein-Detektionseinheit 13 vorgenommen. Hierbei wird über die Masseverbindung am Pin 4 der Interfaceeinheit 8 ein Spannungspegel überwacht. Beim Austausch der Funktionseinheit wird diese Masseverbindung unterbrochen und die Ungestecktsein-Detektionseinheit 13 registriert diesen Vorgang als Information. Da für jede Trennung des Sicherheitsmoduls 100 von der Interfaceeinheit 8, die Speicherung dieser Information durch den speziellen batteriegetriebenen Schaltungsaufbau gewährleistet ist, kann eine Auswertung dieser Information zu jeder Zeit erfolgen, falls eine Wiederinbetriebnahme gewünscht ist. Die regelmäßige Auswertung dieses Ungestecktsein-Signals auf der Leitung 139 der Ungestecktsein-Detektionseinheit 13 ermöglicht es dem Prozessor 120 sensitive Daten zu löschen, ohne jedoch damit die Abrechnungs- und Kundendaten in den NVRAM-Speichern zu verändern. Der momentane Zustand des postalischen Sicherheitsmoduls mit den gelöschten sensitiven Daten kann als Wartungszustand aufgefaßt werden, in welchem in der Regel der Austausch, eine Reparatur oder sonstiges vorgenommen wird. Da die sensitiven Daten der Funktionseinheit gelöscht sind, ist ein Fehler aufgrund einer unsachgemäßen Handhabung des postalischen Sicherheitsmoduls ausgeschlossen. Die sensitiven Daten sind beispielsweise kryptographische Schlüssel. Der Prozessor 120 verhindert im Wartungszustand eine Kernfunktionalität des postalischen Sicherheitsmoduls, welche beispielweise in der Abrechnung und/oder Berechnung eines Sicherheitscodes für die Sicherheitsmarkierung in einem Sicherheitsabdruck besteht.
  • Zur Wiederinbetriebnahme wird das postalische Sicherheitsmodul PSM zunächst gesteckt und elektrisch mit der entsprechenden Interfaceeinheit 8 eines Postbearbeitungsgerätes verbunden. Anschließend wird das Gerät eingeschaltet und somit das postalische Sicherheitsmodul wieder mit Systemspannung Us+ versorgt. Aufgrund des speziellen Zustandes muß nun der sachgemäße Einbau des postalischen Sicherheitsmoduls durch ihre Funktionseinheit erneut geprüft werden. Hierfür wird eine zweite Stufe einer Prüfung (dynamische Gestecktsein-Detektion) vorgesehen. Über eine zwischen der ersten Funktionseinheit (Prozessor 120) und der Stromschleife 18 der Interfaceeinheit 8 hergestellten operative Verbindung werden Informationen ausgetauscht, deren fehlerfreie Übermittlung den Beweis für den sachgemäßen Einbau erbringt. Dies ist Voraussetzung für eine erfolgreiche Wiederinbetriebnahme.
  • Für den Zustandswechsel in den normalen Betriebszustand ist nun noch eine Reinitialisierung der sensitiven Daten erforderlich. Zwischen dem postalischen Sicherheitsmodul und einer dritten Instanz wird eine Kommunikation vorgenommen, wobei letztere diese sensitiven Daten übermittelt. Nach erfolgreicher Übermittlung wird die UngestecktseinDetektionseinheit 13 zurückgesetzt und das postalische Sicherheitsmodul nimmt wieder seinen normalen Betriebszustand ein. Die Wiederinbetriebnahme ist abgeschlossen.
  • Die Figur 2 zeigt ein Blockschaltbild einer Frankiermaschine, die mit einer Chipkarten-Schreib/Leseeinheit 70 zum Nachladen von Änderungsdaten per Chipkarte und mit einer Druckeinrichtung 2, welche von einer Steuereinrichtung 1 gesteuert wird, ausgestattet ist. Die Steuereinrichtung 1 weist eine mit einem Mikroprozessor 91 mit zugehörigen Speichern 92, 93, 94, 95 ausgestattete Hauptplatine 9 auf.
  • Der Programmspeicher 92 enthält ein Betriebsprogramm mindestens zum Drucken und wenigstens sicherheitsrelevante Bestandteile des Programms für eine vorbestimmte Format-Änderung eines Teils der Nutzdaten.
    Der Arbeitsspeicher RAM 93 dient zur flüchtigen Zwischenspeicherung von Zwischenergebnissen. Der nichtflüchtige Speicher NVM 94 dient zur nichtflüchtigen Zwischenspeicherung von Daten, beispielsweise von statistischen Daten, die nach Kostenstellen geordnet sind. Der Kalender/Uhrenbaustein 95 enthält ebenfalls adressierbare aber nichtflüchtige Speicherbereiche zur nichtflüchtigen Zwischenspeicherung von Zwischenergebnissen oder auch bekannten Programmteilen (beispielsweise für den DES-Algorithmus). Es ist vorgesehen, daß die Steuereinrichtung 1 mit der Chipkarten-Schreib/Leseeinheit 70 verbunden ist, wobei der Mikroprozessor 91 der Steuereinrichtung 1 beispielsweise dazu programmiert ist, die Nutzdaten N aus dem Speicherbereich einer Chipkarte 49 zu deren Anwendung in entsprechende Speicherbereiche der Frankiermaschine zu laden. Eine in einen Einsteckschlitz 72 der Chipkarten-Schreib/Leseeinheit 70 eingesteckte erste Chipkarte 49 gestattet ein Nachladen eines Datensatzes in die Frankiermaschine für mindestens eine Anwendung. Die Chipkarte 49 enthält beispielsweise die Portogebühren für alle üblichen Postbefördererleistungen entsprechend des Tarifs der Postbehörde und ein Postbefördererkennzeichen, um mit der Frankiermaschine ein Stempelbild zu generieren und entsprechend des Tarifs der Postbehörde die Poststücke freizustempeln.
  • Die Steuereinrichtung 1 bildet das eigentliche Meter mit den Mitteln 91 bis 95 der vorgenannten Hauptplatine 9 und umfaßt auch eine Tastatur 88, eine Anzeigeeinheit 89 sowie einen anwendungsspezitischen Schaltkreis ASIC 90 und das Interface 8 für das postalische Sicherheitsmodul PSM 100. Das Sicherheitsmodul PSM 100 ist über einen Steuerbus mit dem vorgenannten ASIC 90 und dem Mikroprozessor 91 sowie über den parallelen µC-Bus mindestens mit den Mitteln 91 bis 95 der Hauptplatine 9 und der mit Anzeigeeinheit 89 verbunden. Der Steuerbus führt Leitungen für die Signale CE, RD und WR zwischen dem Sicherheits-modul PSM 100 und dem vorgenannten ASIC 90. Der Mikroprozessor 91 weist vorzugsweise einen Pin für ein vom Sicherheitsmodul PSM 100 abgegebenes Interruptsignal i, weitere Anschlüsse für die Tastatur 88, eine serielle Schnittstelle SI-1 für den Anschluß der Chipkarten-Schreib/Lese-Einheit 70 und eine serielle Schnittstelle SI-2 für den optionalen Anschluß eines MODEMs auf Mittels des MODEMs kann beispielsweise das im nichtflüchtigen Speicher des postalischen Sicherheitsmittels PSM 100 gespeicherte Guthaben erhöht werden.
  • Das postalische Sicherheitsmittel PSM 100 wird von einem gesicherten Gehäuse umschlossen. Vor jedem Frankierabdruck wird im postalischen Sicherheitsmodul PSM 100 eine hardwaremäßige Abrechnung durchgeführt. Die Abrechnung erfolgt unabhängig von Kostenstellen. Das postalische Sicherheitsmittel PSM 100 kann intern so ausgeführt sein, wie in der europäischen Anmeldung EP 789 333 A3 näher beschrieben wurde.
  • Es ist vorgesehen, daß der ASIC 90 eine serielle Schnittstellenschaltung 98 zu einem im Poststrom vorschalteten Gerät, eine serielle Schnittstellenschaltung 96 zu den Sensoren und Aktoren der Druckeinrichtung 2, eine serielle Schnittstellenschaltung 97 zur Drucksteuerelektronik 16 für den Druckkopf 4 und eine serielle Schnittstellenschaltung 99 zu einem der Druckeinrichtung 20 im Poststrom nachgeschalteten Gerät aufweist. Der DE 197 11 997 ist eine Ausführungsvariante für die Peripherieschnittstelle entnehmbar, welche für mehrere Peripheriegeräte (Stationen) geeignet ist. Sie trägt den Titel: Anordnung zur Kommunikation zwischen einer Basisstation und weiteren Stationen einer Postbearbeitungsmaschine und zu deren Notabschaltung.
  • Die Schnittstellenschaltung 96 gekoppelt mit der in der Maschinenbasis befindlichen Schnittstellenschaltung 14 stellt mindestens eine Verbindung zu den Sensoren 6, 7, 17 und zu den Aktoren, beispielsweise zum Antriebsmotor 15 für die Walze 11 und zu einer Reinigungs- und Dichtstation RDS 40 für den Tintenstrahldruckkopf 4, sowie zum Labelgeber 50 in der Maschinenbasis her. Die prinzipielle Anordnung und das Zusammenspiel zwischen Tintenstrahldruckkopf 4 und der RDS 40 sind der DE 197 26 642 C2 entnehmbar, mit dem Titel: Anordnung zur Positionierung eines Tintenstrahldruckkopfes und einer Reinigungs- und Dichtvorrichtung.
    Einer der in der Führungsplatte 20 angeordneten Sensoren 7, 17 ist der Sensor 17 und dient zur Vorbereitung der Druckauslösung beim Brieftransport. Der Sensor 7 dient zur Briefanfangserkennung zwecks Druckauslösung beim Brieftransport. Die Transporteinrichtung besteht aus einem Transportband 10 und zwei Walzen 11,11'. Eine der Walzen ist die mit einem Motor 15 ausgestattete Antriebswalze 11, eine andere ist die mitlaufende Spannwalze 11'. Vorzugsweise ist die Antriebswalze 11 als Zahnwalze ausgeführt, entsprechend ist auch das Transportband 10 als Zahnriemen ausgeführt, was die eindeutige Kraftübertragung sichert. Ein Encoder 5, 6 ist mit einer der Walzen 11, 11' gekoppelt. Vorzugsweise sitzt die Antriebswalze 11 mit einem Inkrementalgeber 5 fest auf einer Achse. Der Inkrementalgeber 5 ist beispielsweise als Schlitzscheibe ausgeführt, die mit einer Lichtschranke 6 zusammen wirkt, und gibt über die Leitung 19 ein Encodersignal an die Hauptplatine 9 ab.
    Es ist vorgesehen, daß die einzelnen Druckelemente des Druckkopfes innerhalb seines Gehäuses mit einer Druckkopfelektronik verbunden sind und daß der Druckkopf für einen rein elektronischen Druck ansteuerbar ist. Die Drucksteuerung erfolgt auf Basis der Wegsteuerung, wobei der gewählte Stempelversatz berücksichtigt wird, welcher per Tastatur 88 oder bei Bedarf per Chipkarte eingegeben und im Speicher NVM 94 nichtflüchtig gespeichert wird. Ein geplanter Abdruck ergibt sich somit aus Stempelversatz (ohne Drucken), dem Frankierdruckbild und gegebenfalls weiteren Druckbildern für Werbeklischee, Versandinformationen (Wahldrucke) und zusätzlichen editierbaren Mitteilungen. Der nichtflüchtige Speicher NVM 94 weist eine Vielzahl an Speicherbereichen auf. Darunter sind solche, welche die geladenen Portogebührentabellen nichiflüchtig speichern.
    Die Chipkarten-Schreib/Leseeinheit 70 besteht aus einem zugehörigen mechanischen Träger für die Mikroprozessorkarte und Kontaktiereinheit 74. Letztere gestattet eine sichere mechanische Halterung der Chipkarte in Lese-Position und eindeutige Signalisierung des Erreichens der Leseposition der Chipkarte in der Kontaktierungseinheit. Die Mikroprozessorkarte mit dem Mikroprozessor 75 besitzt eine einprogrammierte Lesefähigkeit für alle Arten von Speicherkarten bzw. Chipkarten. Das Interface zur Frankiermaschine ist eine serielle Schnittstelle gemäß RS232-Standard. Die Datenübertragungsrate beträgt min. 1,2 K Baud. Das Einschalten der Stromversorgung erfolgt mittels einem an der Hauptplatine angeschlossenen Schalter 71. Nach Einschalten der Stromversorgung erfolgt eine Selbsttestfunktion mit Bereitschaftsmeldung.
  • In der Figur 3 ist eine perspektivische Ansicht der Frankiermaschine von hinten dargestellt. Die Frankiermaschine besteht aus einem Meter 1 und einer Base 2. Letztere ist mit einer Chipkarten-Schreib/ Leseeinheit 70 ausgestattet, die hinter der Führungsplatte 20 angeordnet und von der Gehäuseoberkante 22 zugänglich ist. Nach dem Einschalten der Frankiermaschine mittels dem Schalter 71 wird eine Chipkarte 49 von oben nach unten in den Einsteckschlitz 72 eingesteckt. Ein zugeführter auf der Kante stehender Brief 3, der mit seiner zu bedruckenden Oberfläche an der Führungsplatte anliegt, wird dann entsprechend der Eingabedaten mit einem Frankierstempel 31 bedruckt. Die Briefzuführöffnung wird durch eine Klarsichtplatte 21 und die Führungsplatte 20 seitlich begrenzt. Die Statusanzeige des auf die Hauptplatine 9 des Meters 1 gesteckten Sicherheitsmoduls 100 ist von außen durch eine Öffnung 109 sichtbar.
  • Die Figur 4 zeigt ein Blockschaltbild des postalischen Sicherheitsmoduls PSM 100 in einer bevorzugten Variante. Der negative Pol der Batterie 134 ist auf Masse und einen Pin P23 der Kontaktgruppe 102 gelegt. Der positive Pol der Batterie 134 ist über die Leitung 193 mit dem einen Eingang des Spannungsumschalters 180 und die Systemspannung führende Leitung 191 ist mit dem anderen Eingang des Spannungsumschalters 180 verbunden. Als Batterie 134 eignet sich der Typ SL-389/P für eine Lebensdauer bis zu 3,5 Jahren oder der Typ SL-386/P für eine Lebensdauer bis zu 6 Jahren bei einem maximalen Stromverbrauch durch das PSM 100. Als Spannungsumschalter 180 kann ein handelsüblicher Schaltkreis vom Typ ADM 8693ARN eingesetzt werden. Der Ausgang des Spannungsumschalters 180 liegt über die Leitung 136 an der Batterieüberwachungseinheit 12 und der Detektionseinheit 13 an. Die Batterieüberwachungseinheit 12 und die Detektionseinheit 13 stehen mit den Pins 1, 2, 4 und 5 des Prozessors 120 über die Leitungen 135, 164 und 137, 139 in Kommunikationsverbindung. Der Ausgang des Spannungsumschalters 180 liegt über die Leitung 136 außerdem am Versorgungseingang eines ersten Speichers SRAM an, der durch die vorhandene Batterie 134 zum nichtflüchtigen Speicher NVRAM einer ersten Technologie wird.
    Das Sicherheitsmodul steht mit der Frankiermaschine über den Systembus 115,117, 118 in Verbindung. Der Prozessor 120 kann über den Systembus und ein Modem 83 in Kommunikationsverbindung mit einer entfernten Datenzentrale eintreten. Die Abrechnung wird vom ASIC 150 vollzogen und vom Prozessor 120 überprüft. Die postalischen Abrechnungsdaten werden in nichtflüchtigen Speichern unterschiedlicher Technologie gespeichert.
    Die Systemspannung liegt am Versorgungseingang eines zweiten Speichers NV-RAM 114 an. Bei letzterem handelt es sich um einen nichtflüchtigen Speicher NVRAM einer zweiten Technologie, (SHADOW-RAM). Diese zweiten Technologie umfaßt vorzugsweise ein RAM und ein EEPROM, wobei letzteres die Dateninhalte bei Systemspannungsausfall automatisch übernimmt. Der NVRAM 114 der zweiten Technologie ist mit den entsprechenden Adress- und Dateneingängen des ASIC's 150 über einen internen Adreß- und Datenbus 112, 113 verbunden.
  • Der ASIC 150 enthält mindestens eine Hardware-Abrecheneinheit für die Berechnung der zu speichernden postalischen Daten. In der Programmable Array Logic (PAL) 160 ist eine Zugriffslogik auf den ASIC 150 untergebracht. Der ASIC 150 wird durch die Logik PAL 160 gesteuert. Ein Adreß- und Steuerbus 117, 115 von der Hauptplatine 9 ist an entsprechenden Pins der Logik PAL 160 angeschlossen und die PAL 160 erzeugt mindestens ein Steuersignal für das ASIC 150 und ein Steuersignal 119 für den Programmspeicher FLASH 128. Der Prozessor 120 arbeitet ein Programm ab, das im FLASH 128 gespeichert ist. Der Prozessor 120, FLASH 28, ASIC 150 und PAL 160 sind über einen modulinternen Systembus miteinander verbunden, der Leitungen 110,111,126,119 für Daten-, Adreß- und Steuersignale enthält.
  • Der Prozessor 120 des Sicherheitsmoduls 100 ist über einen modulinternen Datenbus 126 mit einem FLASH 128 und mit dem ASIC 150 verbunden. Der FLASH 128 wird mit Systemspannung Us+ versorgt. Er ist beispielsweise ein 128 Kbyte- FLASH-Speicher vom Typ AM29F010-45EC. Der ASIC 150 des postalischen Sicherheitsmoduls 100 liefert über einen modulinternen Adreßbus 110 die Adressen 0 bis 7 an die entsprechenden Adreßeingänge des FLASH 128. Der Prozessor 120 des Sicherheitsmoduls 100 liefert über einen internen Adreßbus 111 die Adressen 8 bis 15 an die entsprechenden Adresseingänge des FLASH 128. Der ASIC 150 des Sicherheitsmoduls 100 steht über die Kontaktgruppe 101 des Interfaces 8 mit dem Datenbus 118, mit dem Adreßbus 117 und dem Steuerbus 115 der Hauptplatine 9 in Kommunikationsverbindung.
  • Es ist vorgesehen, daß der Prozessor 120 Speicher 122, 124 aufweist, an welche über die Leitung 138 eine Betriebsspannung Ub+ von einer Spannungsüberwachungseinheit 12 zugeführt wird. Insbesondere eine Echtzeituhr RTC 122 und der Speicher RAM 124 werden von einer Betriebsspannung über die Leitung 138 versorgt. Die Spannungsüberwachungseinheit (Battery Observer) 12 liefert außerdem ein Statussignal 164 und reagiert auf ein Steuersignal 135. Der Spannungsumschalter 180 gibt als Ausgangsspannung auf der Leitung 136 für den Battery Observer 12 und Speicher 116 diejenige seiner Eingangsspannungen als Versorgungsspannung weiter, die größer als die andere ist. Durch die Möglichkeit, die beschriebene Schaltung in Abhängigkeit von der Höhe der Spannungen Us+ und Ub+ automatisch mit der größeren von beiden zu speisen, kann während des Normalbetriebs die Batterie 134 ohne Datenverlust gewechselt werden.
  • Die Batterie 134 des Sicherheitsmoduls 100 speist in den Ruhezeiten außerhalb des Normalbetriebes in vorerwähnter Weise die Echtzeituhr (RTC) 122 mit Datums und/oder Uhrzeitregistern und/oder den statischen RAM (SRAM) 124, der sicherheitsrelevante Daten hält. Sinkt die Spannung der Batterie während des Batteriebetriebs unter eine bestimmte Grenze, so wird von der Spannungsüberwachungseinheit 12 der Speisepunkt für die RTC und SRAM bis zum Rücksetzen mit Masse verbunden. Die Spannung an der RTC und am SRAM liegt dann bei 0V. Das führt dazu, daß der SRAM 124, der z.B. wichtige kryptografische Schlüssel enthält, sehr schnell gelöscht wird. Gleichzeitig werden auch die Register der RTC 122 gelöscht und die aktuelle Uhrzeit und das aktuelle Datum gehen verloren. Durch diese Aktion wird verhindert, daß ein möglicher Angreifer durch Manipulation der Batteriespannung die frankiermaschineninterne Uhr 122 anhält, ohne daß sicherheitsrelevante Daten verloren gehen. Somit wird verhindert, daß der Angreifer Sicherheitsmaßnahmen, wie beispielsweise Long Time Watchdogs umgeht.
  • Die RESET-Einheit 130 ist über die Leitung 131 mit dem Pin 3 des Prozessors 120 und mit einem Pin des ASIC's 150 verbunden. Der Prozessor 120 und das ASIC 150 werden bei Absinken der Versorgungsspannung durch eine Resetgenerierung in der RESET-Einheit 130 zurückgesetzt.
  • Gleichzeitig mit der Indikation der Unterspannung der Batterie wechselt die beschriebene Schaltung in einen Selbsthaltezustand, in dem sie auch bei nachträglicher Erhöhung der Spannung bleibt. Beim nächsten Einschalten des Moduls kann der Prozessor den Zustand der Schaltung abfragen (Statussignal) und damit und/oder über die Auswertung der Inhalte des gelöschten Speichers darauf schließen, daß die Batteriespannung zwischenzeitlich einen bestimmten Wert unterschritten hat. Der Prozessor kann die Überwachungsschaltung zurücksetzen, d.h. "scharf" machen.
  • Die Ungestecktsein-Detektionseinheit 13 hat zur Messung der Eingangsspannung eine Leitung 192, die über den Stecker des Sicherheitsmoduls und Interface 8, vorzugsweise über einen Sockel auf der Mutterplatine 9 der Frankiermaschine mit Masse verbunden ist. Diese Messung dient zur statischen Überwachung des Gesteckseins und bildet die Grundlage für eine Überwachung auf einer ersten Stufe. Es ist vorgesehen, daß die Ungestecktsein-Detektionseinheit 13 Schaltungsmittel für eine rücksetzbare Selbsthaltung aufweist, wobei die Selbsthaltung ausgelöst wird, wenn der Spannungspegel auf einer Meßspannungsleitung 192 von einem vorbestimmten Potential abweicht. Zugleich umfaßt die Auswerte-Logik den mit den anderen Funktionseinheiten verbundenen Prozessor 120, welcher programmiert ist, den jeweiligen Zustand des Sicherheitsmoduls 100 festzustellen und zu verändern. Der Zustand der Selbsthaltung ist über die Leitung 139 vom Prozessor 120 des Sicherheitsmoduls 100 abfragbar. Das Meßspannungspotential auf der Leitung 192 entspricht Massepotential, wenn der Sicherheitsmodul 100 ordnungsgemäß gesteckt ist. Auf der Leitung 139 liegt Betriebsspannungspotential. Massespannungspotential liegt auf der Leitung 139 an, wenn der Sicherheitsmodul 100 ungesteckt ist. Der Prozessor 120 weist einen fünften Pin5 auf, an welchem die Leitung 139 angeschlossen ist, um den Zustand der Ungestecktsein-Detektionseinheit 13 abzufragen, ob sie auf Massepotential mit Selbsthaltung geschaltet ist. Um den Zustand der Selbsthaltung der Ungestecktsein-Detektionseinheit 13 über die Leitung 137 zurückzusetzen, weist der Prozessor 120 einen vierten Pin 4 auf.
  • Weiterhin ist eine Stromschleife 18 vorgesehen, die die Pins 6 und 7 des Prozessors 120 ebenfalls über den Stecker des Sicherheitsmoduls und über den Sockel auf der Hauptplatine 9 der Frankiermaschine miteinander verbindet. Die Leitungen an den Pins 6 und 7 des Prozessors 120 sind nur bei einem an die Hauptplatine 9 gesteckten PSM 100 zu einer Stromschleife 18 geschlossen. Diese Schleife bildet die Grundlage für eine dynamische Überwachung des Angestecktseins des Sicherheitsmoduls auf einer zweiten Stufe.
  • Der Prozessor 120 weist intern eine Verarbeitungseinheit CPU 121, eine Echtzeituhr RTC 122 eine RAM-Einheit 124 und eine Ein/Ausgabe-Einheit 125 auf. Der Prozessor 120 ist mit Pin's 8, 9 zur Ausgabe mindestens eines Signals zur Signalisierung des Zustandes des Sicherheitsmoduls 100 ausgestattet. An den Pins 8 und 9 liegen I/O-Ports der Ein/Ausgabe-Einheit 125, an welchen modulinterne Signalmittel angeschlossen sind, beispielsweise farbige Lichtemitterdioden LED's 107, 108, welche den Zustand des Sicherheitsmoduls 100 signalisieren. Die Sicherheitsmodule können in ihrem Lebenszyklus verschiedene Zustände einnehmen. So muß z.B. detektiert werden, ob das Modul gültige kryptografische Schlüssel enthält. Weiterhin ist es auch wichtig zu unterscheiden, ob das Modul funktioniert oder defekt ist. Die genaue Art und Anzahl der Modulzustände ist von den realisierten Funktionen im Modul und von der Implementierung abhängig.
  • Anhand der Figur 5 wird das Schaltbild der Detektionseinheit 13 erläutert. Es ist vorgesehen, daß die Ungestecktsein-Detektionseinheit 13 einen Spannungsteiler aufweist, der aus einer Reihenschaltung von Widerständen 1310, 1312, 1314 besteht und zwischen einem von einem Kondensator 1371 abgreifbaren Versorgungsspannungspotential und einem Meßspannungspotential auf der Leitung 192 gelegt ist. Die Schaltung wird über die Leitung 136 mit der System- oder Batteriespannung versorgt. Die jeweilige Versorgungsspannung von der Leitung 136 gelangt über eine Diode 1369 auf den Kondensator 1371 der Schaltung. Ausgangsseitig der Schaltung liegt ein Negator 1320, 1398. Im Normalzustand ist der Transistor 1320 des Negators gesperrt und die Versorgungsspannung wird über den Widerstand 1398 auf der Leitung 139 wirksam, welche deshalb logisch '1', d.h. H-Pegel im Normalzustand führt. Ein L-Pegel auf der Leitung 139 ist vorteilhaft als Statussignal für ein Ungestecktsein, weil dann in den Pin 5 des Prozessors 120 kein Strom hineinfließt, was die Batterielebensdauer erhöht. Die Diode 1369 sorgt vorzugsweise in Zusammenhang mit einem Elektrolytkondensator 1371 dafür, daß die dem Negator vorgeschaltete Schaltung über einen relativ langen Zeitraum (>2 s) mit einer Spannung versorgt wird, bei der deren Funktion gewährleistet ist, obwohl die Spannung auf der Leitung 136 bereits abgeschaltet wurde.
    Der Spannungsteiler 1310, 1312, 1314 weist einen Abgriff 1304 auf, an welchem ein Kondensator 1306 und der nichtinvertierende Eingang eines Komparators 1300 angeschlossen sind. Der invertierende Eingang des Komparators 1300 ist mit einer Referenzspannungsquelle 1302 verbunden. Der Ausgang des Komparators 1300 ist einerseits über den Negator 1324,1398 mit der Leitung 139 und andererseits mit dem Steuereingang eines Schaltmittels 1322 für die Selbsthaltung verbunden. Das Schaltmittel 1322 ist zum Widerstand 1310 des Spannungsteilers parallel geschaltet und das Schaltmittel 1316 für eine Rücksetzung der Selbsthaltung ist zwischen dem Abgriff 1304 und Masse geschaltet. Der Abgriff 1304 des Spannungsteilers liegt am Verbindungspunkt der Widerstande 1312 und 1314. Der zwischen dem Abgriff 1304 und Masse geschaltete Kondensator 1306 verhindert Schwingungen. Die Spannung am Abgriff 1304 des Spannungsteilers wird im Komparator 1300 mit der Referenzspannung der Quelle 1302 verglichen. Ist die zu vergleichende Spannung am Abgriff 1304 kleiner als die Referenzspannung der Quelle 1302, so bleibt der Komparatorausgang auf L-Pegel geschaltet und der Transistor 1320 des Negators ist gesperrt. Dadurch erhält die Leitung 139 nun Betriebsspannungspotential und das Statussignal führt logisch '1'. Der Spannungsteiler ist so dimensioniert, daß bei Massepotential auf der Leitung 192 der Abgriff 1304 eine Spannung führt, welche sicher unterhalb der Schaltschwelle des Komparators 1300 liegt. Wird die Verbindung unterbrochen und die Leitung 192 ist nicht mehr mit Masse verbunden, weil das Sicherheitsmodul 100 vom Sockel auf der Hauptplatine 9 bzw. Interfaceeinheit 8 der Frankiermaschine gelöst wurde, so wird die Spannung am Abgriff 1304 über die Spannung der Referenzspannungsquelle 1302 gezogen und der Komparator 1300 schaltet um. Der Komparatorausgang wird auf H-Pegel geschaltet und folglich ist der Transistor 1320 durchgeschaltet. Dadurch wird die Leitung 139 mit Massepotential verbunden und das Statussignal führt logisch '0.
    Mit Hilfe eines Transistors 1322, welcher dem Widerstand 1310 des Spannungsteilers parallelgeschaltet ist, wird eine Selbsthalteschaltung der Ungestecktsein-Detektionseinheit 13 realisiert. Der Steuereingang des Transistors 1322 wird vom Komparatorausgang auf H-Pegel geschaltet. Dadurch schaltet der Transistor 1322 durch und überbrückt den Widerstand 1310. Infolgedessen wird der Spannungsteiler nur noch durch die Widerstände 1312 und 1314 gebildet. Dadurch wird die Umschaltschwelle so weit erhöht, daß der Komparator auch im geschalteten Zustand bleibt, wenn die Leitung 192 wieder Massepotential führt, weil das Sicherheitsmodul wieder gesteckt wurde.
    Der Zustand der Schaltung kann über das Signal auf der Leitung 139 vom Prozessor 120 abgefragt werden.
    Es ist vorgesehen, daß die Ungestecktsein-Detektionseinheit 13 als Schaltungsmittel eine Leitung 137 und ein Schaltmittel 1316 für eine Rücksetzung der Selbsthaltung aufweist, wobei die Rücksetzung vom Prozessor 120 über ein Signal auf der Leitung 137 auslösbar ist.
    Der Prozessor 120 kann jederzeit über einen Anwenderschaltkreis ASIC 150, über eine erste Kontaktgruppe 101, über einen Systembus der Steuereinrichtung 1 und beispielsweise über den Mikroprozessor 91 per Modem 83 den Kontakt zu einer entfernten Datenzentrale aufnehmen, welche die Abrechnungsdaten überprüft und gegebenenfalls weitere Daten an den Prozessor 120 übermittelt. Der Anwenderschaltkreis ASIC 150 des Sicherheitsmoduls 100 ist mit dem Prozessor 120 über einen modulinternen Datenbus 126 verbunden.
    Der Prozessor 120 kann die Ungestecktsein-Detektionseinheit zurücksetzen, wenn mittels der übermittelten Daten eine Reinitialisation erfolgreich abgeschlossen werden konnte. Dazu wird über das Rücksetzsignal auf der Leitung 137 der Transistor 1316 durchgeschaltet und somit die Spannung am Abgriff 1304 unter die Referenzspannung der Quelle 1302 gezogen und die Transistoren 1320 und 1322 sperren. Ist der Transistor 1322 im Normalzustand gesperrt, so bilden die Widerstände 1310 und 1312 in Serie den oberen Teil des oben genannten Spannungsteilers und die Umschaltschwelle wird wieder auf den Ursprungszustand abgesenkt.
  • Die Figur 6 zeigt zeigt den mechanischen Aufbau des Sicherheitsmoduls in Seitenansicht. Das Sicherheitsmodul ist als Multi-Chip-Modul ausgebildet, d.h. mehrere Funktionseinheiten sind auf einer Leiterplatte 106 verschaltet. Das Sicherheitsmodul 100 ist mit einer harten Vergußmasse 105 vergossen, wobei die Batterie 134 des Sicherheitsmoduls 100 außerhalb der Vergußmasse 105 auf einer Leiterplatte 106 auswechselbar angeordnet ist. Beispielsweise ist es so mit einem Vergußmaterial 105 vergossen, daß Signalmittel 107, 108 aus dem Vergußmaterial an einer ersten Stelle herausragen und daß die Leiterplatte 106 mit der gesteckten Batterie 134 seitlich einer zweiten Stelle herausragt. Die Leiterplatte 106 hat außerdem Batteriekontaktklemmen 103 und 104 für den Anschluß der Pole der Batterie 134, vorzugsweise auf der Bestückungsseite oberhalb der Leiterplatte 106. Es ist vorgesehen, daß zum Anstecken des postalischen Sicherheitsmoduls PSM 100 auf die Hauptplatine des Meters 1 die Kontaktgruppen 101 und 102 unterhalb der Leiterplatte 106 (Leiterbahnseite) des Sicherheitsmoduls 100 angeordnet sind. Der Anwenderschaltkreis ASIC 150 steht über die erste Kontaktgruppe 101 - in nicht gezeigter Weise - mit dem Systembus einer Steuereinrichtung 1 in Kommunikationsverbindung und die zweite Kontaktgruppe 102 dient der Versorgung des Sicherheitsmoduls 100 mit der Systemspannung. Wird das Sicherheitsmodul auf die Hauptplatine gesteckt, dann ist es vorzugsweise innerhalb des Metergehäuses dergestalt angeordnet, so daß das Signalmittel 107, 108 nahe einer Öffnung 109 ist oder in diese hineinragt. Das Metergehäuse ist damit vorteilhaft so konstruiert, daß der Benutzer die Statusanzeige des Sicherheitsmoduls trotzdem von außen sehen kann. Die beiden Leuchtdioden 107 und 108 des Signalmittels werden über zwei Ausgangssignale der I/O-Ports an den Pin 8, 9 des Prozessors 120 gesteuert. Beide Leuchtdioden sind in einem gemeinsamen Bauelementegehäuse untergebracht (Bicolorleuchtdiode), weshalb die Abmaße bzw. der Durchmesser der Öffnung relativ klein bleiben kann und in der Größenordnung des Signalmittels liegt. Prinzipiell sind drei unterschiedliche Farben darstellbar (rot, grün, orange), von denen aber nur zwei benutzt werden (rot und grün). Zur Zustandsunterscheidung werden die LED's auch blinkend benutzt, so daß 5 verschiedene Zustandsgruppen unterschieden werden können, die durch folgende LED-Zustände charakterisiert werden: LED aus, LED rot blinkend, LED rot, LED grün blinkend, LED grün.
  • In der Figur 7 ist eine Draufsicht auf das postalische Sicherheitsmodul dargestellt.
  • Die Figuren 8a bzw. 8b zeigen eine Ansicht des Sicherheitsmoduls jeweils von rechts bzw. von links. Die Lage der Kontaktgruppen 101 und 102 unterhalb der Leiterplatte 106 wird aus den Figuren 8a und 8b in Verbindung mit Figur 6 deutlich.
  • Erfindungsgemäß ist das postalische Gerät, insbesondere eine Frankiermaschine, jedoch kann das Sicherheitsmodul auch eine andere Bauform aufweisen, die es ermöglicht, daß es beispielsweise auf das Motherbord eines Personalcomputers gesteckt werden kann, der als PC-Frankierer einen handelsüblichen Drucker ansteuert.

Claims (12)

  1. Verfahren zum Schutz eines Sicherheitsmoduls, mit den folgenden Schritten:
    ● Überwachung des sachgemäßen Einsatzes des Sicherheitsmoduls (100) mittels einer ersten (120), zweiten (12) und dritten Funktionseinheit (13),
    ● Löschen von sensitiven Daten im Sicherheitsmodul aufgrund eines unsachgemäßen Gebrauchs oder Austausches des Sicherheitsmoduls (100) mindestens mittels der zweiten Funktionseinheit (12),
    ● Sperren der Funktionalität des Sicherheitsmoduls (100) mittels der dritten Funktionseinheit (13) während eines Austausches des icherheitsmoduls (100) ,
    ● Reinitialisieren des Sicherheitsmoduls (100) mittels der ersten Funktionseinheit (120) von zuvor gelöschten sensitiven Daten nach sachgemäßem Austausch des Sicherheitsmoduls (100),
    ● Wiederinbetriebnahme des Sicherheitsmoduls (100) durch Freischalten der zweiten (12) und dritten Funktionseinheit (13) des Sicherheitsmoduls (100).
  2. Verfahren, nach Anspruch 1, gekennzeichnet dadurch, daß das Reinitialisieren in Verbindung mit einer Kommunikation mittels einer entfernten Datenzentrale von der ersten Funktionseinheit vorgenommen wird, nachdem eine dynamische Detektion erfolgreich ob das Sicherheitsmodul (100) gesteckt ist, durchgeführt wurde wobei während der Detektion über eine zwischen der ersten Funktionseinheit (120) und einer Stromschleife (18) einer Interfaceeinheit (8) hergestellten operativen Verbindung Informationen ausgetauscht werden, deren fehlerfreie Übermittlung den Beweis für den sachgemäßen Einbau des Sicherheitsmoduls (100) erbringt und daß das Freischalten von der zweiten (12) Funktionseinheit und dritten (13) des Sicherheitsmoduls durch deren Rücksetzen erfolgt, wobei die erste Funktionseinheit ein Prozessor (120), die zweite Funktionseinheit eine Spannungsüberwachungseinheit (12) mit rücksetzbarer Selbsthaltung und die dritte Funktionseinheit eine Ungestecktsein-Detektionsschaltung (13) mit rücksetzbarer Selbsthaltung ist.
  3. Anordnung zur Durchführung des Verfahrens nach Anspruch 1, mit einem Sicherheitsmodul, das mit einer Logik (120, 150, 160) mit Sensoren, mit einer Batterie (134) und mit Mitteln zur Versorgung mit einer Systemspannung und mit einem Spannungsumschalter (180) ausgestattet ist, der über eine erste Leitung (136) mit einer als Spannungsüberwachungseinheit ausgeführten zweiten Funktionseinheit (12) verbunden ist, welche über eine zweite Leitung (138) eine Betriebsspannung an einen Speicher (122, 124) abgibt, gekennzeichnet dadurch, daß eine als Ungestecktsein-Detektionseinheit ausgefühste dritte Funktionseinheit (13) Schaltungsmittel (1310, 1316, 1322, 1324) für eine rücksetzbare Selbsthaltung aufweist, wobei die Selbsthaltung ausgelöst wird, wenn der Spannungspegel auf einer vierten Messspannungsleitung (192) von einem vorbestimmten Potential abweicht und daß die Logik eine als Prozessor ausgeführte ersteFunktionsheit (120) umfaßt, welche mit den anderen Funktionseinheiten verbunden ist und welche programmiert ist, den jeweiligen Zustand des Sicherheitsmoduls (100) festzustellen und zu verändern.
  4. Anordnung, nach Anspruch 3, gekennzeichnet dadurch, daß die Ungestecktsein-Detektionseinheit (13) als Schaltungsmittel eine dritte Leitung (137) und ein Schaltmittel (1316) für eine Rücksetzung der Selbsthaltung aufweist, wobei die Rücksetzung vom Prozessor (120) über ein Signal auf der dritten Leitung (137) auslösbar ist.
  5. Anordnung, nach den Ansprüchen 3 bis 4, gekennzeichnet dadurch, daß die Ungestecktsein-Detektionseinheit (13) einen Spannungsteiler aufweist, der aus einer Reihenschaltung von Widerständen (1310, 1312, 1314) besteht und zwischen einem von einem Kondensator (1371) abgreifbaren Versorgungsspannungspotential und einem Meßspannungspotential auf einer vierten Leitung (192) gelegt ist, wobei die Versorgungsspannung von der ersten Leitung (136) über eine Diode (1369) auf den Kondensator (1371) gelangt, daß der Spannungsteiler (1310, 1312, 1314) einen Abgriff (1304) aufweist, an welchem ein Kondensator (1306) und der nichtinvertierende Eingang eines Komparators (1300) angeschlossen sind, daß der invertierende Eingang des Komparators (1300) mit einer Referenzspannungsquelle (1302) verbunden ist, daß der Ausgang des Komparators (1300) einerseits über einen Negator (1324,1398) mit einer fünften Leitung (139) und andererseits mit dem Steuereingang eines Schaltmittels (1322) für die Selbsthaltung verbunden ist, wobei das Schaltmittel (1322) zum Widerstand (1310) des Spannungsteilers parallel geschaltet ist und daß das Schaltmittel (1316) für eine Rücksetzung der Selbsthaltung zwischen dem Abgriff (1304) und Masse geschaltet ist.
  6. Anordnung, nach Anspruch 5, gekennzeichnet dadurch, daß der Zustand der Selbsthaltung über die fünfte Leitung (139) vom Prozessor (120) des Sicherheitsmoduls (100) abfragbar ist.
  7. Anordnung, nach Anspruch 6, gekennzeichnet dadurch, daß Meßspannungspotential auf der vierten Leitung (192) Massepotential und das Spannungspotential auf der fünften Leitung (139) Betriebsspannungspotential entspricht, wenn der Sicherheitsmodul (100) ordnungsgemäß gesteckt ist und daß anderenfalls auf der fünften Leitung (139) Massepotential anliegt, wenn der Sicherheitsmodul (100) ungesteckt ist.
  8. Anordnung, nach den Ansprüchen 3 bis 7, gekennzeichnet dadurch, daß der Prozessor (120) Speicher (122, 124) aufweist, an welche über die zweite Leitung (138) eine Betriebsspannung Ub+ von einer Spannungsüberwachungseinheit (12) geführt wird, daß der Prozessor (120) mit Systemspannung Us+ versorgt wird und einen vierten Anschluß (Pin 4) aufweist, um den Zustand der Selbsthaltung der Ungestecktsein-Detektionseinheit (13) über die dritte Leitung (137) zurückzu-setzen und einen fünften Anschluß (Pin 5) aufweist, an welchem die fünfte Leitung (139) angeschlossen ist, um den Zustand der Ungestecktsein-Detektionseinheit (13) abzufragen.
  9. Anordnung, nach Anspruch 8, gekennzeichnet dadurch, daß das Sicherheitsmodul (100) einen Anwenderschaltkreis ASIC (150) aufweist und daß der Prozessor (120) über einen modulinternen Datenbus (126) mit dem Anwenderschaltkreis ASIC (150) verbunden ist, wobei letzterer über eine erste Kontaktgruppe (101) mit dem Systembus einer Steuereinrichtung (1) in Kommunikationsverbindung steht.
  10. Anordnung, nach einem der Ansprüche 3 bis 9, gekennzeichnet dadurch, daß das Sicherheitsmodul (100) mit einer harten Vergußmasse (105) vergossen ist, daß die Batterie (134) des Sicherheitsmoduls (100) außerhalb der Vergußmasse (105) auf einer Leiterplatte (106) auswechselbar angeordnet ist, daß die Leiterplatte (106) die Batteriekontaktklemmen (103 und 104) für den Anschluß der Pole der Batterie (134) und eine zweite Kontaktgruppe (102) zur Versorgung des Sicherheitsmoduls (100) mit der Systemspannung aufweist und daß mindestens eine der Kontaktgruppen (101, 102) zur statischen und dynamischen Überwachung des Angestecktseins des Sicherheitsmoduls (100) ausgebildet ist.
  11. Anordnung, nach Anspruch 10, gekennzeichnet da-durch, daß der Prozessor (120) Anschlüsse (Pin's 6, 7) zur dynamischen Überwachung des Angestecktseins des Sicherheitsmoduls aufweist, an welche Leitungen angeschlossen sind, welche zu einer Stromschleife (18) verbunden sind, wenn das Sicherheitsmodul (100) gesteckt ist.
  12. Anordnung, nach einem der Ansprüche 3 bis 11, gekennzeichnet dadurch, daß der Prozessor (120) des Sicherheitsmoduls (100) mit Anschlüssen (Pin's 8, 9) zur Ausgabe mindestens eines Signals zur Signalisierung des Zustandes des Sicherheitsmoduls (100) ausgestattet ist.
EP00250064A 1999-03-12 2000-02-25 Verfahren zum Schutz eines Sicherheitsmoduls und Anordnung zur Durchführung des Verfahrens Expired - Lifetime EP1035517B1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE19912781 1999-03-12
DE19912781A DE19912781A1 (de) 1999-03-12 1999-03-12 Verfahren zum Schutz eines Sicherheitsmoduls und Anordnung zur Durchführung des Verfahrens

Publications (3)

Publication Number Publication Date
EP1035517A2 EP1035517A2 (de) 2000-09-13
EP1035517A3 EP1035517A3 (de) 2000-12-20
EP1035517B1 true EP1035517B1 (de) 2008-08-20

Family

ID=7901896

Family Applications (1)

Application Number Title Priority Date Filing Date
EP00250064A Expired - Lifetime EP1035517B1 (de) 1999-03-12 2000-02-25 Verfahren zum Schutz eines Sicherheitsmoduls und Anordnung zur Durchführung des Verfahrens

Country Status (5)

Country Link
US (1) US6952777B1 (de)
EP (1) EP1035517B1 (de)
CN (1) CN1156801C (de)
AU (1) AU2081100A (de)
DE (2) DE19912781A1 (de)

Families Citing this family (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19928057B4 (de) 1999-06-15 2005-11-10 Francotyp-Postalia Ag & Co. Kg Sicherheitsmodul und Verfahren zur Sicherung der Postregister vor Manipulation
DE19928058B4 (de) 1999-06-15 2005-10-20 Francotyp Postalia Ag Anordnung und Verfahren zur Generierung eines Sicherheitsabdruckes
DE19928061C2 (de) 1999-06-15 2003-08-28 Francotyp Postalia Ag Sicherheitsmodul zur Überwachung der Systemsicherheit und Verfahren
DE10061665A1 (de) 2000-12-11 2002-06-20 Francotyp Postalia Gmbh Verfahren zur Ermittlung eines Erfordernis zum Austausch eines Bauteils und Anordnung zur Durchführung des Verfahrens
DE10116703A1 (de) * 2001-03-29 2002-10-10 Francotyp Postalia Ag Verfahren zur Aufzeichnung eines Verbrauchswertes und Verbrauchszähler mit einem Meßwertgeber
DE10136608B4 (de) * 2001-07-16 2005-12-08 Francotyp-Postalia Ag & Co. Kg Verfahren und System zur Echtzeitaufzeichnung mit Sicherheitsmodul
DE10312654B4 (de) * 2003-03-21 2005-06-09 Thales E-Transactions Gmbh Elektronische Schutzeinrichtung für Teile von Baugruppen
DE10337567B3 (de) * 2003-08-14 2005-01-13 Thales E-Transactions Gmbh Schutzstruktur für Hardware mit hochauflösenden Elastomeren
DE102004028338A1 (de) * 2004-06-11 2006-01-12 Siemens Ag Tachograph
FR2872947B1 (fr) * 2004-07-08 2007-04-20 Neopost Ind Sa Tampon a affranchir electronique
DE102007011309B4 (de) 2007-03-06 2008-11-20 Francotyp-Postalia Gmbh Verfahren zur authentisierten Übermittlung eines personalisierten Datensatzes oder Programms an ein Hardware-Sicherheitsmodul, insbesondere einer Frankiermaschine
US9355277B2 (en) * 2012-08-31 2016-05-31 Ncr Corporation Installable secret functions for a peripheral
US10008104B2 (en) * 2014-04-25 2018-06-26 Tyco Safety Products Canada Ltd. Security system output interface with overload detection and protection
RU2628142C1 (ru) * 2016-06-16 2017-08-15 Валерий Аркадьевич Конявский Способ защиты компьютера
DE102016114805A1 (de) * 2016-08-10 2018-02-15 Kriwan Industrie-Elektronik Gmbh Verfahren sowie eingebettetes System zur Überwachung, Steuerung oder Regelung einer Maschine
RU2630890C1 (ru) * 2016-12-29 2017-09-13 Владимир Дмитриевич Новиков Способ обеспечения защищённой работы вычислительного средства и прибор для его осуществления
RU175189U1 (ru) * 2017-04-07 2017-11-27 Валерий Аркадьевич Конявский Компьютер для работы в доверенной вычислительной среде
RU182701U1 (ru) * 2017-12-18 2018-08-28 Валерий Аркадьевич Конявский Доверенный компьютер

Family Cites Families (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5880755A (ja) * 1981-11-09 1983-05-14 Sharp Corp 電子式計算機
GB2144081B (en) 1983-07-23 1987-10-28 Pa Consulting Services Postal franking machines
US4575621A (en) * 1984-03-07 1986-03-11 Corpra Research, Inc. Portable electronic transaction device and system therefor
JPS6227843A (ja) * 1985-07-29 1987-02-05 Sharp Corp 電子装置
US4804957A (en) * 1985-11-27 1989-02-14 Triad Communications, Inc. Utility meter and submetering system
GB2183852A (en) * 1985-11-27 1987-06-10 Triad Communications Inc Utility meter
US4903232A (en) * 1987-06-26 1990-02-20 Connell James A O Electronic programmable stamping marking device
US5185717A (en) * 1988-08-05 1993-02-09 Ryoichi Mori Tamper resistant module having logical elements arranged in multiple layers on the outer surface of a substrate to protect stored information
FR2640798B1 (fr) * 1988-12-20 1993-01-08 Bull Cp8 Dispositif de traitement de donnees comportant une memoire non volatile electriquement effacable et reprogrammable
US5097253A (en) * 1989-01-06 1992-03-17 Battelle Memorial Institute Electronic security device
US5027397A (en) * 1989-09-12 1991-06-25 International Business Machines Corporation Data protection by detection of intrusion into electronic assemblies
CA2067331A1 (en) * 1989-10-03 1991-04-04 Joseph Unsworth Electro-active cradle circuits for the detection of access or penetration
JPH0685320B2 (ja) * 1989-10-31 1994-10-26 シャープ株式会社 電子機器の電池収納機構
US5515540A (en) * 1990-08-27 1996-05-07 Dallas Semiconducter Corp. Microprocessor with single pin for memory wipe
DE4213278C2 (de) 1992-04-16 1998-02-19 Francotyp Postalia Gmbh Anordnung zum Frankieren von Postgut
US5490077A (en) 1993-01-20 1996-02-06 Francotyp-Postalia Gmbh Method for data input into a postage meter machine, arrangement for franking postal matter and for producing an advert mark respectively allocated to a cost allocation account
DE4333156C2 (de) * 1993-09-29 1995-08-31 Siemens Ag Schaltungsanordnung zum Anschließen einer elektronischen Baugruppe an eine Betriebsspannung
DE4344471A1 (de) 1993-12-21 1995-08-17 Francotyp Postalia Gmbh Verfahren und Anordnung zur Erzeugung und Überprüfung eines Sicherheitsabdruckes
DE4344476A1 (de) 1993-12-21 1995-06-22 Francotyp Postalia Gmbh Verfahren zur Verbesserung der Sicherheit von Frankiermaschinen
GB9514096D0 (en) * 1995-07-11 1995-09-13 Homewood Clive R Security device
EP0789333B1 (de) 1996-01-31 2003-08-13 Francotyp-Postalia AG & Co. KG Frankiermaschine
DE19605015C1 (de) 1996-01-31 1997-03-06 Francotyp Postalia Gmbh Vorrichtung zum Bedrucken eines auf einer Kante stehenden Druckträgers
DE19610070A1 (de) 1996-03-14 1997-09-18 Siemens Ag Chipkarte
WO1998020461A2 (en) * 1996-11-07 1998-05-14 Ascom Hasler Mailing Systems, Inc. System for protecting cryptographic processing and memory resources for postal franking machines
US6292898B1 (en) * 1998-02-04 2001-09-18 Spyrus, Inc. Active erasure of electronically stored data upon tamper detection
US6105136A (en) * 1998-02-13 2000-08-15 International Business Machines Corporation Computer system which is disabled when it is disconnected from a network
US5969504A (en) * 1998-03-06 1999-10-19 The Johns Hopkins University Automatic battery power switch
US6185645B1 (en) * 1998-06-08 2001-02-06 Micron Electronics, Inc. Method for removing power and signals from an inadvertently swapped bus card
US6088762A (en) * 1998-06-19 2000-07-11 Intel Corporation Power failure mode for a memory controller

Also Published As

Publication number Publication date
US6952777B1 (en) 2005-10-04
EP1035517A3 (de) 2000-12-20
CN1276579A (zh) 2000-12-13
EP1035517A2 (de) 2000-09-13
DE50015314D1 (de) 2008-10-02
DE19912781A1 (de) 2000-11-23
CN1156801C (zh) 2004-07-07
AU2081100A (en) 2000-09-14

Similar Documents

Publication Publication Date Title
EP1035517B1 (de) Verfahren zum Schutz eines Sicherheitsmoduls und Anordnung zur Durchführung des Verfahrens
EP0969422B1 (de) Verfahren und Anordnung zur Verbesserung der Sicherheit von Frankiermaschinen
EP1035516B1 (de) Anordnung für ein Sicherheitsmodul
EP1035518B1 (de) Anordnung zum Schutz eines Sicherheitsmoduls
DE69729409T2 (de) Elektronisches Frankiermaschinensystem mit internem Abrechnungssystem und entfernbarem externem Abrechnungssystem
EP0762337A2 (de) Verfahren und Anordnung zur Erhöhung der Manipulationssicherheit von kritischen Daten
DE69828331T3 (de) Elektronische Frankiermaschine mit mehreren Taktsystemen zur verbesserten Sicherheit
CH675496A5 (de)
DE3626580A1 (de) Fernfrankiermaschinen-inspektionssystem
DE3729342A1 (de) Sicherheitsdrucker fuer ein wertdrucksystem
EP1103924B1 (de) Verfahren zum Schutz eines Gerätes vor einem Betreiben mit unzulässigem Verbrauchsmaterial und Anordnung zur Durchführung des Verfahrens
EP1063619B1 (de) Sicherheitsmodul und Verfahren zur Sicherung der Postregister vor Manipulation
EP1103923B1 (de) Verfahren zum automatischen Bestellen von Verbrauchsmaterial und Anordnung zur Durchführung des Verfahrens
DE19534530A1 (de) Verfahren zur Absicherung von Daten und Programmcode einer elektronischen Frankiermaschine
EP1035513B1 (de) Sicherheitsmodul mit Statussignalisierung
EP0927971A2 (de) Verfahren und postalisches Gerät mit einer Chipkarten-Schreib/Leseeinheit zum Nachladen von Änderungsdaten per Chipkarte
EP1061479A2 (de) Anordnung und Verfahren zur Generierung eines Sicherheitsabdruckes
DE19928061C2 (de) Sicherheitsmodul zur Überwachung der Systemsicherheit und Verfahren
EP0996097B1 (de) Verfahren zur Verbesserung der Sicherheit von Frankiermaschinen bei der Guthabenübertragung
DE19534529C2 (de) Verfahren zur Erhöhung der Manipulationssicherheit von kritischen Daten
DE19534527C2 (de) Verfahren zur Erhöhung der Manipulationssicherheit von kritischen Daten

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

AK Designated contracting states

Kind code of ref document: A2

Designated state(s): CH DE FR GB IT LI

AX Request for extension of the european patent

Free format text: AL;LT;LV;MK;RO;SI

PUAL Search report despatched

Free format text: ORIGINAL CODE: 0009013

AK Designated contracting states

Kind code of ref document: A3

Designated state(s): AT BE CH CY DE DK ES FI FR GB GR IE IT LI LU MC NL PT SE

AX Request for extension of the european patent

Free format text: AL;LT;LV;MK;RO;SI

RIC1 Information provided on ipc code assigned before grant

Free format text: 7G 07B 17/00 A, 7G 07B 17/04 B

17P Request for examination filed

Effective date: 20010417

AKX Designation fees paid

Free format text: CH DE FR GB IT LI

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: FRANCOTYP-POSTALIA AG & CO. KG

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: FRANCOTYP-POSTALIA GMBH

17Q First examination report despatched

Effective date: 20060926

GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): CH DE FR GB IT LI

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: CH

Ref legal event code: EP

REF Corresponds to:

Ref document number: 50015314

Country of ref document: DE

Date of ref document: 20081002

Kind code of ref document: P

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

26N No opposition filed

Effective date: 20090525

REG Reference to a national code

Ref country code: DE

Ref legal event code: R081

Ref document number: 50015314

Country of ref document: DE

Owner name: FRANCOTYP-POSTALIA GMBH, DE

Free format text: FORMER OWNER: FRANCOTYP-POSTALIA GMBH, 16547 BIRKENWERDER, DE

Effective date: 20150330

REG Reference to a national code

Ref country code: FR

Ref legal event code: PLFP

Year of fee payment: 17

REG Reference to a national code

Ref country code: FR

Ref legal event code: PLFP

Year of fee payment: 18

REG Reference to a national code

Ref country code: FR

Ref legal event code: PLFP

Year of fee payment: 19

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: DE

Payment date: 20190110

Year of fee payment: 20

Ref country code: IT

Payment date: 20190225

Year of fee payment: 20

Ref country code: GB

Payment date: 20190218

Year of fee payment: 20

Ref country code: CH

Payment date: 20190218

Year of fee payment: 20

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: FR

Payment date: 20190219

Year of fee payment: 20

REG Reference to a national code

Ref country code: DE

Ref legal event code: R071

Ref document number: 50015314

Country of ref document: DE

REG Reference to a national code

Ref country code: CH

Ref legal event code: PL

REG Reference to a national code

Ref country code: GB

Ref legal event code: PE20

Expiry date: 20200224

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GB

Free format text: LAPSE BECAUSE OF EXPIRATION OF PROTECTION

Effective date: 20200224