DE1944134C3

DE1944134C3 - Zugangs- bzw. Zugriff-Kontrollvorrichtung, beispielsweise für die Ausgabe von Banknoten

Info

Publication number: DE1944134C3
Application number: DE1944134A
Authority: DE
Inventors: Geoffrey Ernest Patrick Gotherington Constable; Dennis Arthur Prestbury Lloyd
Original assignee: Chubb Integrated Systems Ltd
Current assignee: Chubb Integrated Systems Ltd
Priority date: 1968-08-30
Filing date: 1969-08-30
Publication date: 1980-08-21
Also published as: DE1944134B2; GB1285445A; HK42777A; JPS501854B1; DE1944134A1; NL6913240A; FR2019390A1; US3611293A; NL167254B; NL167254C; SE372989B

Description

Die Erfindung bezieht sich auf Zugangs- bzw. Zugriff-Kontrollvorrichtungen, bei welchen eine Freigabevorrichtung an einer ersten von zwei entfernt voneinander angeordneten Stationen Zugang oder Zugriff zu einer Bedienungseinrichlung selektiv in Abhängigkeit von einem an der ersten Station gemachten Zugangs- oder Zugriffsersuchen gewährt, bei welchen ferner eine Information bezüglich des Ersuchens zur zweiten Station übermittelt wird, damit diese Information durch eine Nachfrage-Prüfemiichtung an der zweiten Station überprüft wird, und bei welchen eine Signal-Erkennungseinrichtung an der ersten Station die Freigabevorrichtung auf ein Signal hin betätigt, das von der zweiten Station unter der Steuerung der Nachfrage-Prüfeinrichtung übermittelt wird, um die Genehmigung des Zugangs oder Zugriffs anzudeuten.

Eine Zugangs-Kontrollvorrichtung dieser Gattung, die zur Regelung des Zugangs zu einem Sperrgebiet, zur Verwendung einer Dienstleistung oder zum Entnehmen eines Gegenstandes oder Produktes (in vorbestimmter oder ausgewählter Menge) verwendet werden kann, ist bereits bekannt. Insbesondere wurde eine derartige Vorrichtung in der Zeitschrift »Control Engineering«, Seite 66, Mai 1968, für die Verwendung auf dem Gebiet des Bankwesens vorgeschlagen, wo eine Anschlußeinheit oder -station eines Geldausgabesystems zur allzeitigen Benutzung durch Kunden vorgesehen ist, wobei die Kunden mit individuHlen codierten Kennkarten ausgestattet sind, welche dem System bzw. der Anlage darzubieten sind, wenn das Abheben von Geld gewünscht wird. Die Freigabevorrichtung nach diesem Vorschlag gibt Geld (z. B. in Banknotenform) an den Kunden in Ansprecherwiderung auf jedes gültige »Ersuchen« zur Abnahme an der Anschlußeinheit ab. Ein gültiges »Ersuchen« in diesem Zusammenhang bedeutet, daß der Anschlußstation eine autheniischc Kennkarte dargeboten wird, die eine für den Kunden individuelle verschlüsselte Information trägt und dessen Bankkonto identifiziert, und daß eine geheime Personennummer in die Einrichtung unter Verwendung eines

Tastenfeldes manuell eingegeben wird Die verschlüsselte Information wird von der Kennkarte abgelesen, und es wird an der Anschiußstation ein Vergleich durchgeführt, um festzustellen, ob eine vorbestimmte Obereinstimmung zwischen dieser Information und der manuell eingegebenen Nummer vorhanden ist. Nur wenn diese Übereinstimmung vorhanden ist, tritt die entfernt gelegene Daten- bzw. Anschlußstation mit einem zentralen Komputer und einem Steuersystem in Verbindung, um festzustellen, ob die Transaktion auch auf andere Weise frei ist, um vonstatten zu gehen. Ist dies auf diese Weise geklärt, dann wird ein Signal, welches die Genehmigung für den Ausgabevorgang erteilt, zur Freigabevorrichtung von der zentralen Station her übermittelt.

Das Genehmigungssignal für die Ausgabe des Geldes wird von der zentralen Station zur Freigabe- und Λ usgabevorrichtung an der entfernt gelegenen Anschlußstation über eine Femsprechleituntr übermittelt. Eine Erkennung des Genehmigungssignals an der entfernten Station ermöglicht die Betätigung der Freigabevorrichtung, um Geld an den Kunden auszugeben, und der Umstand, daß die Steuerung dieses Vorgangs über eine Fernsprechleitung ausgeführt wird, gefährdet die Sicherheit der Einrichtung und ihres Betriebes. Insbesondere aber können Fernsprechleitungen angezapft oder auf andere Weise ge.uort werden, und selbst wenn die Fernsprechverbindung zur entfernten Station dagegen geschützt wäre, so bestünde immerhin noch die Gefahr, daß Geld auf betrügerische Weise von der Einrichtung nach dem Stand der Technik erhalten werden könnte, und zwar einfach dadurch, daß das genehmigte »Freigabesignal« in die Fernsprechleitung hineingegeben wird. Dies könnte beispielsweise dadurch geschehen, daß eine Aufzeichnung des Genehmigungssignals verwendet wird, die aus der Fernsprechleitung während einer früheren authentischen Transaktion gemacht worden ist.

Ausreichende Schritte zum Schütze der Einrichtung und insbesondere der Fernsprechleitung oder irgendeines anderen Kommunikationskanals zwischen der zentralen und der entfernt gelegenen Station gegen Manipulationen der obigen Art würden normalerweise sehr schwierig und kostspielig sein.

Der Anmeldung liegt die Aufgabe zugrunde, eine Zugangs- bzw. Zugriff-Kontrollvorrichtung der genannten Gattung so auszubilden, daß die Wahrscheinlichkeit einer betrügerischen Betätigung der Vorrichtung durch mißbräuchliches Anzapfen der Kommunikationskanäle, ζ B. der Fernsprechleitungen, bedeutend reduziert wird.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß das von der zweiten Station übermittelte Genehmigungssignal ein Datenwort ist, das in einer Chiffriereinheit aus einer Zufallssignalfolge nach einem bestimmten Programm abgeleitet wird, daß in einer weiteren, in der ersten Station befindlichen Chiffriereinheit ein zweites Datenwort nach dem gleichen Programm wie in der Chiffriereinheit und unabhängig von dieser abgeleitet wird, daß die beiden Datenwörter verglichen werden und bei Vorhandensein einer bestimmten Beziehung zwischen den Datenwör'τ. a;e Genehmigung des Zugangs oder Zugriffs erfolgt und daß sich die Zufallssignalfolge zwischen zwei aufeinanderfolgenden Zugangsersuchen in nicht vorhersehbarer Weise ändert.

Die Gefahr für die Sicherheit, die bei der oben erwähnten bekannten Einrichtung auftaucht, wird mii der erfindungsgemäßen Einrichtung dadurch überwunden, daß das durch die zweite (oder »zentrale«) Station

gegebene Genehmigungssignai ein chiffriertes Wort ist, das mittels eines speziellen Wortableiteprogramms abgeleitet wird, welches entsprechend sich unvorhersagbar ändernden Daten durchgeführt wird.

Dieses übermittelte Genehmigangswort wird an der ersten (oder »entfernten«) Station gegen ein Wort überprüft, welches dort unabhängig abgeleitet wird, wobei das gleiche Wortableiteprogramm verwendet wird, und nur wenn Übereinstimmung zwischen diesen besteht, kann der Zugang oder Zugriff (z. B. die Ausgabe) stattfinden. Die Tatsache, daß das Genehmigungssignal in der obigen Weise unvorhersagbar chiffriert ist, erhöht die Sicherheit insofern, als dadurch effektiv die Gefahr des betrügerisch erlangten Zugangs unter Verwendung beispielsweise einer Aufzeichnung ein-is authentischen, früher übertragenen Genehmigungssignals vermindert; das Signal wird sich in unvorhersagbarer Weise von der einen Operation zur nächsten so ändern, daß die Verwendung eines früher angewandten Signals im allgemeinen nicht zu einem Ansprechen der Erkennungseinrichtung und zur Betätigung der Freigabevorrichtung führen wird. Eine Einrichtung zum Vorsehen einer Sicherheit für die Übermittlung oder Übertragung von Nachrichten zwischen zwei Stationen ist bereits aus der DE-AS 10 76 733 bekannt, wo eine Einheit an der Sendestation der zu übertragenden Nachricht eine Folge von Binärzeichen zufügt. Eine entsprechende Folge von Binärzeichen w^;rd an der Empfangsstation zur Entschlüsselung der übertragenen Nachricht erzeugt, wobei die Folge an beiden Stationen gestartet und wiedergestartet wird in Ansprecherwiderung auf das Erscheinen einer besonderen Codescrie in der übertragenen Nachricht. Da eine festgelegte Folge von Binärziffern für die Verschlüsselung (und Entschlüsselung) bei der bekannten Einrichtung verwendet wird, ist die Sicherheit der Übertragung zwischen der Sende- and Empfangsstation in sehr kritischer Weise abhängig von der Eigenart der zu übermittelnden Nachricht und der Zufallserscheinung der entsprechenden Codeserie in ihnen. Wenn mit der bekannten Anlage die gleiche Nachricht wiederholt durch die Sendestation zu übermitteln wäre, dann würde auch die Codeserie regelmäßig wiederholt, und zwar entweder während der Nachricht selbst oder nach einer bestimmten Anzahl von Wiederholungen derselben.

Unter diesen Umständen wäre es daher ohne weiteres möglich, durch Beobachtung die präzise Signalform zu bestimmen, die zu irgendeiner Zeit zur Empfangsstation zu übermitteln ist, um die Übertragung der entsprechenden Nachricht von der Sendestation her zu simulieren.

Bei einer Einrichtung derjenigen Art, auf die sich die vorliegende Erfindung bezieht, wo die Genehmigung eines Zugangs oder Zugriffs an einer ersten (oder »entfernten«) Station von einer zweiten (oder »zentralen«) Station her zu kontrollieren ist, ist die Geheimhaltung der Übertragung wesentlich. Insbesondere aber ist, wie oben erläutert, jede Möglichkeit, daß die Übertragung einer Nachricht, welche die Genehmigung zum Zugang erteilt, in irgendeiner Weise simuliert werden könnte, zu vermeiden. Die gleiche Genehmigungsnachricht oder das gleiche Genehmigungssignal ist zur ersten Station in Ansprecherwiderung auf jedes aufeinanderfolgende Ersuchen zum Zugang zu übertragen, doch darf es nicht möglich sein, vom einen Ersuchen zum nächsten vorherzusagen, welches die passende übertragene Form von Genehmigung sein

muß. Die bekannte Anlage ist eindeutig in diesem Zusammenhang ungeeignet und bietet keinen besonderen Vorteil über die direkte Übertragung der Genehmigung hinaus. Bei der erfindungsgemäßen Einrichtung wechselt jedo Ί das Genehmigungssignal in nicht vorhersagbarer Weise zwischen aufeinanderfolgenden Zugangsersuchen; ein derartiger unvorhersagbarer Wechsel ist bei dem früheren bekannten System nicht vorhanden, bei dem die gleiche Serie von Binärzeichen oder eine bestimmte Anzahl von Übertragungen der Genehmigungsnachricht in vorhersehbarer Weise immer wieder bei jeder Übertragung zur Anwendung kommen würde.

Das bei der erfindungsgemäßen Vorrichtung verwendete Wortableiteprogramm kann die Verwendung einer Chiffre oder eines Schlüsselwortes mit sich bringen, und eine neue Chiffre wird vorzugsweise für die Verwendung in bezug auf jedes neue Zugangsersuchen ausgewählt. Auch kann in dieser Hinsicht die Anordnung so getroffen werden, daß das an beiden Stationen auszuführende Wortableiteprogramm eine zufallsmäßig abgeleitete Zahl einschließt, die von der einen Station zur anderen übertragen wird. Zusätzlich oder alternativ kann das an beiden Stationen auszuführende Programm einen Teil zumindest der von der ersten zur zweiten Station zu übertragenden Information umfassen.

Wo das Zugangsersuchen die Darbietung einer Information tragenden Kennkarte an die Einrichtung bedingt, kann die erste Station eine Einrichtung zur Ableitung eines Mehrzeichenwortes aus der von der Kennkarte stammenden Information sowie zum Übertragen dieses von der Kennkarte abgeleiteten Wortes zur zweiten Station einschließen. Die Zugangs-Prüfeinrichtung an der zweiten Station kann in diesen Fällen prüfen, ob eine vorbestimmte Übereinstimmung zwischen dem von der Kennkarte abgeleiteten Wort und einer manuell eingegebenen Zahl oder eines manuell eingegebenen anderen Wortes besteht, beispielsweise unter Verwendung eines Satzes von zehn Drucktasten an der zweiten Station, wobei dann das Genehmigungssignal zur ersten Station nur dann übertragen wird, wenn diese Übereinstimmung gegeben ist.

Die Chiffriervorrichtung an der zweiten Station und die Erkennungseinrichtung an der ersten Station können je ein Mehrstufen-Schieberegister sowie eine Rückkopplungseinrichtung aufweisen, die so steuerbar ist, daß sie bei jeder ausgewählten aus einer Vielzahl von unterschiedlichen Konfigurationen in Tätigkeit tritt, um eine Rückkopplung zum Schieberegister in Abhängigkeit von der ausgewählten Konfiguration herzustellen, so daß das Schieberegister in Ansprecherwiderung auf die vorgesehene Rückkopplung eine numerische Codefolge in Abhängigkeit von der ausgewählten Konfiguration der Rückkopplungseinrichtung erzeugt Die Wortableitung, die in diesen Fällen durch die individuelle Chiffriervorrichtung und Erkennungseinrichtung bewirkt wird, kann einfach eine entsprechende Auswahl einer Nummer aus der Codefolge einschließen, welche durch ihr jeweiliges Schieberegister erzeugt wird.

Die Zugangs- bzw. Zugriff-Kontrollvorrichtung kann einen Teil einer Gegenstand- bzw. Postenausgabeanlage sein und in dieser dazu verwendet werden, die Betätigung eines Gegenstands- oder Postenausgebers zu regeln, der sich an der ersten Station befindet und so eingerichtet ist, daß er Gegenstände oder Posten (z. B. Banknoten) aus einem Vorrat bei einer jeden solchen Betätigung abgibt

Die Erfindung wird nunmehr an Hand der sie beispielsweise wiedergebenden Zeichnung ausführlicher beschrieben und zwar zeigt

F i g. 1 eine Ausführungsform einer mit Information versehenen Ausweiskarte die in Verbindung mit der Gegenstands- bzw. Postenausgabeanlage verwendet wird,

F i g. 2 eine schematische Darstellung eines Teils der Postenausgabeanlage, der für den Empfang und die selektive Zulassung von verschlüsselten Ausweiskarten

ίο zur Anlage verwendet wird,

F i g. 3 eine verallgemeinerte schematische Darstellung elektronischer Schaltungen, die einen Teil der Postenausgabeanlage bilden und in Verbindung mit der Anordnung nach F i g. 2 verwendet werden, die

π Fig.4 und 5 zum Zwecke der Erläuterung der Betriebsweise einer Chiffriereinrichtung, welche einen Teil der Anlage bildet alternative Schaltverbindungen eines Schieberegisters, während

Fig.6 eine schematische Darstellung der Chiffriereinrichtung wiedergibt, wie sie in der Anordnung nach F i g. 2 verwendet wird.

Die nachstehend beschriebene Anlage dient zur Einzelabgabe von Banknotenpaketen oder -bündeln an Kunden einer Bank und ist zur Benutzung sowohl nach den als auch während der normalen Schalterstunden bestimmt. Die zur Benutzung der Anlage ermächtigten Kunden werden jeweils mit einem verschlüsselten Ausweis (Fig. 1) in Form einer Plastikkarte ausgestattet, die allgemein als Kreditkarte verwendet werden kann. Jede Karte weist in einem ferromagnetischen Überzug 2 magnetische Impulsaufzeichnungen auf und trägt weiterhin ein Ablaufdatum sowie eine numerische Information, welche das Konto des Kunden, dem die Karte ausgehändigt wurde, identifiziert, und diese

j; Information ist nicht nur unmittelbar auf der Karte eingeprägt, sondern auch in verschlüsselter Form 3. Ar einem Ende 5 sind zudem Markierungen 4 vorgesehen Der Kunde ist über eine geheime Personen-Kennzahl ir Kenntnis gesetzt, die seinem Konto individuell züge-

-"> hört, aber der Karte selbst nicht entnommen werder kann.

Will der Kunde ein Paket Banknoten abheben, se bietet er einfach seine Karte mit dem Überzug 2 nach oben und dem Ende 5 nach vorne der Eingabeöffnung 11 einer Kartenaufnahmeeinheit (Fig.2) der Anlage ar eine. Zweigstelle der Bank an und betätigt einen Sat2 von zehn Druckknöpfen 15 mit den Zahlen 0 bis S entsprechend seiner Penonen-Kennzahl. Die Anlag« registriert die Informatirn von der Karte für Verrech nungs- und Revisionszv ecke auf einem Papierstreifer 37 und gibt ihrerseits an den Kunden ein Pake Banknoten ab. Die Karte wird von der Kartenaufnah meeinheit nur dann angenommen, wenn die Richtigkei der Markierungen 4 überprüft wurde. Durch die Roller 27 bis 29 wird sie sodann in Richtung einei Karteniesekassette 17 gefördert, wobei sie unter einen magnetischen Ablesekopf 31 hindurchwandert Wire vom Kopf 31 eine korrekte Zahl von Impulsei abgelesen, gibt die Kode-Erkennungs-Einheit 33 eit Signal an die Leitung 34 ab. In der Kassette 17 wird vor den Einprägungen 3 ein Abdruck auf dem Streifen 3i hergestellt, der von einem photoelektrischen Ableser 4; abgelesen wird, welcher die verschlüsselte Kontonum mer und das Ablaufdatum abliest und entsprechend« Signale einem Speicher 43 übermittelt Das Pake Banknoten wird an den Kunden von einem Ausgeber 2' abgegeben, der individuell der Kartenaufnahmeeinhei zugeordnet ist und einen Vorrat solcher Pakete hall

wobei der Ausgeber zur Abgabe des Paketes nur freigegeben wird, nachdem die Gültigkeit der Transaktion überprüft worden ist. In dieser Hinsicht überprüft die Anlage die Echtheit der Karte und weiterhin, ob die vom Kunden manuell eingegebene Zahl diejenige Zahl ist, die dem durch die Karte identifizierten Konto entspricht, ob die Karte noch gültig ist und ob das Kundenkonto die Abhebung deckt. Diese letzteren Prüfungen werden an einer zentralen Station oder einem »Rechenzentrum« (F i g. 3) durchgeführt, welches einer Reihe von »Anschlüssen« zugehört, die je eine Kartenaufnahmeeinheit und zugeordnete Ausgeber enthalten; die Anschlüsse können ohne weiteres an unterschiedlichen, weitentfernten Zweigstellen der Bank angeordnet sein.

Eine Information bezüglich des Kontostandes eines jeden mit einer Karte ausgestatteten Bankkunden wird im Rechenzentrum gespeichert, und zwar zusammen mit den geheimen Personen-Kennzahlen, die diesen Konten entsprechen. Die Verbindung zwischen dem Rechenzentrum und den Kartenaufnahmeeinheiten an den verschiedenen Anschlüssen erfolgt mittels binärverschlüsselter Signale, die über eine herkömmliche Form von Datenverbindung übermittelt werden. Im allgemeinen ist die Verschlüsselung der Signale, die über die Datenverbindung in bezug auf jede Transaktion übermittelt werden, herkömmlicher Art, wobei es spezielle Schritte gibt, die zu Sicherheitszwecken unternommen werden, um nur ein Signal zu verschlüsseln, nämlich ein Signal, welches vom Rechenzentrum nach dem jeweiligen Anschluß übermittelt wird, um die Genehmigung für das Auslösen des Ausgebers zur Abgabe eines Paketes Banknoten anzuzeigen.

Wenn einem Kunden an irgendeinem Anschluß ein Paket Banknoten ausgehändigt worden ist, wird sein im Rechenzentrum registriertes Konto mit dem abgehobenen Betrag belastet. Die Kartenaufnahmeeinheit an dem Anschluß gibt dann die Karte für gelegentliche weitere Verwendung an den Kunden zurück. Die verwendete Karte wird jedoch dann nicht zurückgegeben (und es erfolgt natürlich auch keine Geldausgabe), wenn sie nicht echt oder abgelaufen oder sonstwie ungültig ist, in allen diesen Fällen wird die Karte innerhalb der Kartenaufnahmeeinheit festgehalten, und sie ist dann nur durch Bankangestellte wieder entnehmbar. Die Information, die im Speicher 43 gespeichert ist und die sich auf die Kunden-Kontonummer sowie das von der Karte über den Streifen 37 abgelesene Karten-Ablaufdatum bezieht, wird nunmehr nach dem in Fig.3 dargestellten Rechenzentrum übermittelt. Weiterhin werden nach dem Rechenzentrum übermittelt Digitaldarstellungen des in der Leitung 34 erscheinenden Signals und der Kennzahl des in Betracht kommenden Geldausgabeanschlusses. Die sich auf das Ablaufdatum beziehende Information wird in einer Prüfeinheit 50 im Rechenzentrum überprüft, um sicherzustellen, daß die Karte noch gültig ist, während die andere übermittelte Information in einer Aufzeichnungseinheit 51 für Verrechnungs- und Sicherheits-Revisionszwecke aufgezeichnet wird. Die Kontonummer wird im Rechenzentrum auch dazu verwendet, zwei Speichereinheiten anzusprechen, und zwar eine Hauptspeichereinheit 52 für wahlfreien Zugang, welche die Personen-Kennzahlen speichert, die den jeweiligen Kontonummern zugeordnet sind, sowie Details des Standes eines jeden Kontos, und die andere, eine sogenannte Speichereinheit 53 für »heiße Karten«, welche die Kontonummern von Kundenkarten speichert, die nicht mehr gültig sind

(z. B. Karten, die verloren gingen oder gestohlen wurden). Das Adressieren der Hauptspeichereinheit 52 durch die Kontonummer offenbart den Kontostand und die sechsstellige Personen-Kennzahl, die von dem die ·> Karte benutzenden Kunden einzugeben ist. Die tatsächlich vom Kunden eingegebene Zahl, wie sie durch den Speicher 43 (F i g. 2) gespeichert wird, wird nach dem Rechenzentrum zusammen mit einer 16-Stellen-Binärchiffre übermittelt, die am Anschluß durch eine

ίο Chiffriereinheit 55 (Fig.2) abgeleitet wird, wobei die eingegebene 2Iahl nach der Speichereinheit 52 und die Chiffre nach einer zentralen Chiffriereinheit 54 übermittelt wird. In der Speichereinheit 52 wird die eingegebene Personenkennzahl auf Übereinstimmung mit der Perso-

i) nenkennzah! verglichen, die durch die Kontonummer offenbart wird, welche von dem Anschluß identifiziert wird. Wenn Übereinstimmung besteht und der Kontostand den abzuhebenden Betrag deckt, dann wird darüber ein Signal von der Speicher-Einheit 52 nach der Chiffrier-Einheit 54 übermittelt. (Es kann nützlich sein, nach dem Anschluß von der Chiffrier-Einheit 54 her Signale zu übertragen, die dafür verwendet werden, dem Kunden eine Anzeige über den Stand seines Kontos zu geben; insbesondere kann es so eingerichtet werden, daß ein Zeichen auf der Bedienungsfläche 10 der Kartenaufnahmeeinheit nach F i g. 2 beleuchtet wird, welches anzeigt KONTOSTAND NIEDRIG, für den Fall, daß der Kontostand nur noch wenige weitere Transaktionen decken kann).

Die Chiffriereinheit 54 überträgt nach dem Anschluß hin ein Signal, welches die Genehmigung des Ausgabevorgangs nur in Ansprecherwiderung auf das Signal von der Speichereinheit 52 und auf die Bestätigung von der durch die Prüfeinheit 50 durchgeführten Prüfung her, daß die Karte am Anschluß noch in Kraft bzw. gültig ist, anzeigt. Dieses »Genehmigungs«-Signal wird nach dem Anschluß in einer Form übermittelt, welche durch die von der Chiffrier-Einheit 55 her empfangenen Chiffre bestimmt wird und am Anschluß durch die Chiffrier-Einheit 55 erkannt wird. Wenn das »Genehmigungs«-Signal durch die Chiffrier-Einheit 55 erkannt ist, bringt es die Übermittlung eines »Ausgabe«-Signals nach einer Torschalteinheit 56 (F i g. 2) mit sich, welche das Signal an der Leitung 34 empfängt Das »Ausgabe«-Signal am Anschluß wird von der Torschalt-Einheit 56 an den Ausgeber 21 nur dann weitergegeben, wenn das Signal an der Leitung 34 anzeigt, daß die Karte die unter Verwendung des Kopfes 31 durchgeführte magnetische Prüfung bestanden hat Der Ausgeber 21 gibt ein Paket

so Banknoten an den Kunden bei Empfang des »Abgabe«- Signals ab und übermittelt ein dies anzeigendes Signal nach der Speichereinheit 52 im Rechenzentrum, damit dieses Signal für die Belastung des Kundenkontos verwendet wird. Zur gleichen Zeit liefert der Ausgeber 21 ein Signal, um den Betrieb eines Zeitgebers 46 zu beenden und damit das WARTE-Zeichen zu löschen und die Betätigung eines weiteren Zeitgebers 57 anlaufen zu lassen.

Der Zeitgeber 57 verursacht, nachdem er ein paar

Sekunden gelaufen ist, das öffnen der Sperre 13 und einen Antrieb der Rollen 27 bis 29 im entgegengesetzten Richtungssinn, so daß die Karte längs der Führung 16 zurückgefördert wird, um durch die erneut geöffnete Sperre 13 zum Kunden zu gelangen. Die Kartenaufnahmeeinheit und die Anschlußeinrichtung als Ganzes werden nunmehr rückgestellt, um für die Darbietung der gleichen oder einer anderen Karte an die Eingabeöffnung 11 bereit zu sein.

Es wurde oben davon ausgegangen, daß das »Genehmigungs«-Signal durch den Geldausgabeanschluß empfangen wird. Kein solches Signal wird vom Rechenzentrum her ausgesendet für einen oder mehrere der Fälle, bei welchen (a) eine Übereinstimmung mit der Personenkennzahl, die in Bezug zur Kontonummer in der Speichereinheit 52 gespeichert ist, nicht festgestellt wird, (b) der Kontostand, wie er in der Speichereinheit 52 aufgezeichnet ist, eine Abhebung nicht decken kann und (c) die Prüf-Einheit 50 feststellt, daß die Karte am Anschluß nicht mehr gültig ist. Bei jedem der Fälle (a) und (b) läuft der Zeitgeber 46 über seine volle Periode; am Ende dieser Periode wird das Zeichen WARTE gelöscht, und der Zeitgeber 57 wird betätigt, lim die Karte an den Kunden zurückzugeben i^r> und zwar in der oben beschriebenen Weise. Ein anderes Zeichen auf der Bedienungsfläche 10 wird in diesem Falle beleuchtet, um anzuzeigen: KEIN GUTHABEN, und ein elektromagnetisch betätigter Hammer 58 in der Nähe des fotoelektrischen Ablesers 42 wird betätigt, um 2» einen Aufdruck auf dem Papierband 37 zu machen und dadurch auf der Aufzeichnung der Karte anzuzeigen, daß der Ausgeber 21 nicht betätigt worden ist.

Bei Fall (c), wie bei den Fällen (a) und (b), wird kein »Genehmigungs«-Signal nach dem Anschluß übermit- 2^r> telt, aber in diesem Falle wird ein Signal von der Prüfeinheit 50 nach einem Zeitgeber 59 am Anschluß übermittelt. Das gleiche Signal wird vom Rechenzentrum her geliefert, um den Zeitgeber 59 in dem Fall in Tätigkeit zu setzen, daß die nach dem Rechenzentrum «1 übermittelte Kontonummer einer der in der Speichereinheit 53 für »heiße Karten« gespeicherten Nummern entspricht. Der Zeitgeber 59 wird außerdem vom Anschluß selbst heraus in Tätigkeit gesetzt, wenn das Signalkriterium der Leitung 34 anzeigt, daß die Karte, j> die unter Verwendung des Kopfes 31 durchgeführte magnetische Prüfung nicht bestanden hat.

Der Zeitgeber 59 beendigt, wenn er betätigt wird, die Betätigung des Zeitgebers 46 und läßt nach einer Laufzeit von wenigen Sekunden die Rollen 27 bis 29 in 4» Vorwärtsrichiung drehen, so daß die Karte vom Innern der Kassette 17 in einen Behälter 61 am hinteren Ende der Kartenaufnahmeeinheit gelangt; die Karte im Behälter 61 kann nur von Bankangestellten wieder Fig. entnommen werden, nicht aber vom Kunden. Zu diesem <r> Zeitpunkt erregt der Zeitgeber 59 außerdem den elektromagnetisch betätigten Hammer 58, um einen Aufdruck auf dem Papierband 37 zu machen, welcher anzeigt, daß der Ausgebet nicht betätigt worden ist. Zusätzlich dazu läßt der Zeitgeber 59 das Zeichen KEIN w GUTHABEN zusammen mit einem anderen Zeichen auf der Bedienrngsfläche 10 aufleuchten, welches anzeigt: KARTE ZURÜCKGEHALTEN. Am Ende der vollen Laufzeit des Zeitgebers 59 werden diese beiden Zeichen gelöscht und die ganze Anschlußeinrichtung ist « nunmehr in Bereitschaft für das Anbieten einer anderen Karte an der Eingabeöffnung 11.

Es ist im Rechenzentrum Vorsorge dafür getroffen, eine Warnung über Manipulation mit der Anschlußstelleneinrichtung oder über eine Fehlfunktion derselben zu t>o geben. Insbesondere wird ein Signal von der Speicher-Einheit 52 nach einer Warnvorrichtung 62 im Rechenzentrum für den Fall übermittelt, daß, nachdem ein »Genehmigungs«-Signal von der Chiffrier-Einheit 54 übermittelt worden ist, kein Rücksignal vom Ausgeber b5 21 empfangen wird, um anzuzeigen, daß die Ausgabe stattgefunden hat Zusätzlich übermittelt der Ausgeber 21 ein ähnliches Signal nach der Vorrichtung 62 für den Fall, daß ein Angriff auf die Einrichtung oder eine andere Störung derselben (insbesondere des Ausgebers 21) am Anschluß stattfindet. Es kann auch dafür gesorgt werden, daß eine Warnung dann gegeben wird, wenn die Speicher-Einheit 52 feststellt, daß wiederholte Versuche mit der gleichen Karte gemacht werden, um eine Betätigung des Ausgebers 21 zu erreichen, wobei experimentelle Personenkennzahlen verwendet werden in diesen Fällen kann ein Signal nach dem Zeitgeber 59 übermittelt werden, so daß die Karte dann zurückgehalten wird. Allgemein heißt das, daß eine kontinuierliche Übertragung eines Signalpegels vom Anschluß nach dem Rechenzentrum besteht, so daß jeder Ausfall der Stromversorgung am Anschluß oder in der Verbindung mit dem Zentrum sofort festgestellt wird.

Die Sicherheit des Systems im Hinblick auf das Abgeben von Banknotenpaketen ist abhängig von der Sicherheit des »Genehmigungs«-Signals und der Erkennung desselben am Anschluß. Die Apparatur, die sowohl am Anschluß als auch im Zentrum vorgesehen ist, um die Chiffrierung und Erkennung des Genehmigungssignals zu erzielen, enthält ein Mehrstufen-Schieberegister, welches als ein Kettenkode-Generator verwendet wird. Die Fig. 4 und 5 veranschaulichen die Art und Weise, in welcher ein Schieberegister 65, welches in diesem Falle nur drei bistabile Stufen hat, diesbezüglich verwendet werden kann, um eine entsprechende Kettenverschlüsselung vorzusehen, die sich entsprechend den hergestellten Rückkopplungsverbindungen ändert. Im Falle der Anordnung nach F i g. 4 werden die Ausgänge der zweiten und dritten Stufe, 11 und III, in einem Halb-Addierer 66 addiert (ohne Übertrag), um die Rückkopplung vorzusehen, während im Falle der Anordnung nach F i g. 5 die Ausgänge der ersten und dritten Stufe, I und III, addiert werden. Die Ziffer »0« oder »1«, welche rückübermittelt bzw. rückgekoppelt wird, wird in jedem Falle in die erste Stufe des Registers während des nächsten Impulses der Schiebeimpulsfolge an einer Ader zum Register eingegeben, wobei die Kodefolgen, die in den zwei Stufen erzielt werden, beginnend bei dem Zustand, bei welchem jede Stufe I, Il und III sich in »!«-Zustand befindet, folgende sind:

Fig. 5

I	M	III	I	Il	III
0	1	1	0	1	1
0	0	1	1	0	1
1	0	0	0	1	0
0	1	0	0	0	i
1	0	1	1	0	0
1	1	0	1	1	0
1	1	1	1	1	1

In jedem Falle wird das Register 67 nach sieben Verschiebungen in seinen Ausgangszustand gebracht und wiederholt auf diese Weise die Folge immer wieder. Der Zustand des Registers 67 zu irgendeiner besonderen Zeit während der Betätigung ist abhängig von drei Faktoren, nämlich der Rückkopplungs-Konfiguration, der Anzahl von Schiebeimpulsen seit Beginn des Betriebs und dem besonderen Zustand, der bei Beginn vorherrscht Gerade auf der Basis dieser drei Faktoren findet die Chiffrierung des »Genehmigungs«-Signals statt wobei dieses Signal sowohl in der Chiffrier-Einheit 55 als auch in der Chiffrier-Einheit 54 am Anschluß bzw.

im Rechenzentrum aus der Chiffre erzeugt wird, die durch die Chiffrier-Einheit 55 abgeleitet wird. Die Chiffrier-Einheiten 55 und 54 haben im wesentlichen den gleichen Aufbau, wobei der einzige bedeutende Unterschied darin liegt, daß die Chiffrier-Einheit 55 ·-, !Comparator- und Chiffre-Erzeugungsmittel enthält, die in der Chiffrier-Einheit 54 nicht vorgesehen sind. Der Aufbau der Chiffrier-Einheit 55 ist in Fig.6 veranschaulicht.

Wie aus Fig. 6 hervorgeht, weist die in der ι ο Chiffrier-Einheit 55 enthaltene Chiffre-Erzeugungseinrichiung einen Generator 70 für beliebige Zahlenfolge /random number generator/ auf, der eine willkürliche Folge von löstelligen Binärzahlen erzeugt, sowie eine Auswahleinheit 71, welche vorübergehend jede beliebi- ιϊ ge, eben erzeugte Zahl auswählt und speichert, wenn die Eingabe der Personenkennzahl in den Speicher 43 beendet ist, gerade die durch die Auswahl-Einheit 71 ausgewählte Zahl wird von der Chiffrier-Einheit 55 nach dem Rechenzentrum als 16stellige Binär-Chiffre über- :o tragen. Die Vergleichseinrichtung in der Chiffrier-Einheit 55, andererseits, ist ein Komparator 72, welcher das »Genehmigungsw-Signal, welches vom Rechenzentrum her empfangen wird, mit einer Darstellung einer 16stelligen Binärzahl vergleicht, die innerhalb der y, Chiffrier-Einheit 55 erzeugt wird, wobei die Chiffre in Verbindung mit einem 16-Stufen-Schieberegister 73 verwendet wird.

Jede Stufe des Schieberegisters 73 ist über ein individuelles Tor 74 mit einem Binär-Addierer 75 «ι verbunden. Der Addierer 75 liefert eine Rückkopplung nach dem Schieberegister 73 entsprechend der am wenigsten bedeutenden Binärziffer der akkumulierten Summe, so daß auf diese Weise über aufeinanderfolgende Verschiebungen des Registers 73 ein Kettenkode j-> erzeugt wird, welcher davon abhängig ist, welches der Tore 74 geöffnet und welches geschlossen ist. Die sechzehn Tore 74 werden individuell durch eine Rückkopplungs-Programmierungseinheit 76 entsprechend den Werten »0« oder »1«, der sechzehn 4i> Binärstellen der duich die Auswahl-Einheit 71 ausgewählten Zufallszahl /random number/ gesteuert. Jedes einzelne Tor 74 wird in Abhängigkeit von dem Wert einer bestimmten Ziffer aus sechzehn Ziffern geöffnet oder geschlossen, wobei diese jeweils abhängig ist von 4-, dem besonderen Sprungsystem, d. h. der Querverbindung, die mittels einer Programmkarte (nicht dargestellt) bewirkt wird, welche in die Rückkopplungs-Programmierungs-Einheit 76 eingeführt wird. Diese Programmkarte und die erzeugte willkürliche Zahl ,0 bestimmen dementsprechend in Verbindung miteinander die besondere verwendete Rückkoppiungs-Konfiguration; die gleiche Rückkopplungs-Konfiguration wird in der Chiffrier-Einheit M im Rechenzentrum dadurch erzielt, daß dort ein Duplikat der Programmkarte in der Rückkopplungs-Programmierungseinheit (76) verwendet und die Betätigung der zugeordneten Rückkopplungstore (74) in Obereinstimmung mit der übermittelten Chiffre bewirkt wird.

Eine Zyklus-Programmeinheit 77 spricht auf die bo Anzahl von Verschiebungen an, die durch das Schieberegister 73 nach der Auswahl einer willkürlichen Zahl durch die Auswahl-Einheit 71 und das sich ergebende Einstellen der Tore 74 ausgeführt werden. Nach einer programmierten Anzahl dieser Verschiebungen (z. B. sechzehn) spricht die Zyklus-Programmeinheit 77 an, umdie sechzehnstellige Binärzahl, die dann durch das Register 73 festgehalten wird, zu speichern. Mit dieser Zahl wird der Vergleich des »Genehmigungs«-Signals, welches vom Rechenzentrum her empfangen wird, im Komparator 72 durchgeführt. Das »Genehmigungs«-Signal wird in Wirklichkeit im Rechenzentrum aus der Zyklus-Programmeinheit (77) der Chiffriereinheit 54 abgeleitet, wobei an dieser Zyklus-Programmeinheit eine Verdopplung des an der Zyklus-Programm-Einheit 77 verwendeten Programms erfolgt, damit die gleiche Anzahl von Verschiebungen dort durch das Schieberegister (73) vor dem Ansprechen der Zyklus-Programmeinheit ausgeführt wird. Die sechzehnstellige Zahl, welche durch diese letztere Einheit ausgewählt und gespeichert wird, liefert das chiffrierte bzw. verschlüsselte »Genehmigungs«-Signal, welches vom Zentrum her übermittelt wird, nachdem die durch die Einheiten 50 und 52 durchgeführten verschiedenen Prüfungen zufriedenstellend verlaufen sind, und dieses Signal wird durch die Chiffriereinheit 55 am Geldausgabeanschluß nur dann erkannt, wenn der durch den Komparator 72 bewirkte Vergleich eine Übereinstimmung dieser Zahl mit der durch die Zyklus-Programmeinheit 77 ausgewählten und gespeicherten Zahl ergibt. Nur im Falle einer solchen Übereinstimmung bzw. Gleichheit bringt das »Genehmigungs«-Signal das »Ausgabe«-Signal mit sich, welches am Anseht' ß nach der Torschalteinheit 56 geliefert wird.

Die »Genehmigungs«-Zahl wird am Rechenzentrum von der gleichen Chiffre-Zahl abgeleitet wie die »Vergleichs«-Zahl, welche durch die Zyklus-Programmeinheit 77 ausgewählt und gespeichert wird, wobei die gleichen Rückkoppiungs- und Zyklusprogramme verwendet werden, und dementsprechend kann eine Gleichheit bzw. Übereinstimmung zwischen den beiden Zahlen nur dann vorliegen, wenn die Schieberegister am Anschluß und im Zentrum beide mit der gleichen Einstellung beginnen. Die Anfangseinstellung des Schieberegisters 73 am Anschluß wird durch eine Eintritts-Programmeinheit 78 bewirkt, die eine sechzehnstellige Binärzahl in das Register anfänglich bei jeder Betätigung der Auswahleinheit 71 eingibt. Die Eintritts-Programmeinheit 78 und die entsprechende Eintritts-Programmeinheit im Rechenzentrum können so eingerichtet werden, daß sie die gleiche programmierte Zahl in ihre entsprechenden Register für jede Transaktion eingeben, aber es wird stattdessen vorgezogen, die eingegebene Zahl von der Konlonummer der besonderen für die Transaktion verwendeten Karte abhängig zu machen. Die Kontonummer, wie sie von dem Aufdruck der Karte durch den fotoelektrischen Ableser 42 abgelesen und iin Speicher 43 am Anschluß gespeichert ist, wird dementsprechend nach der Eintritts-Programmeinheit 78 befördert, um dort zum Ableiten der einzubringenden Zahl verwendet zu werden. Im Zentrum leitet die entsprechende Eintritts-Programnieinheit,die nach dem gleichen Programm wie dem der Eintritts-Programmeinheit 78 arbeitet, die gleiche sechzehnstellige Binärzahl (für das Eingeben in ihr zugeordnetes Register) aus der Kontonummer ab, wie die vom Speicher 43 nach der Speicher-Einheit übermittelt wird.

Hierzu 4 Blatt Zeichnungen

Claims

Patentansprüche:

1. Zugangs- bzw. Zugriff-Kontrollvorrichtung, bei welcher eine Freigabevorrichtung an einer ersten von zwei entfernt voneinander angeordneten Stationen einen Zugang oder Zugriff zu einer Bedienungseinrichtung selektiv in Abhängigkeit von einem an der ersten Station gemachten Zugangsoder Zugriffsersuchen gewährt, bei welcher eine Information bezüglich des Ersuchens zur zweiten Station übermittelt wird, damit diese Information durch eine Nachfrage-Prüfeinrichtung an der zweiten Station überprüft wird, und bei welcher eine Signalerkennungseinrichtung an der ersten Station die Freigabevorrichtung auf ein Genehmigungssignal hin betätigt, das von der z'veiten Station unter de.· Steuerung der Nachfrage-Prüfeinrichtung übermittelt wird, um die Genehmigung des Zugangs oder Zugriffs anzudeuten, dadurch gekennzeichnet, daß das von der zweiten Station (Fig.3) übermittelte Genehmigungssignal ein Datenwort ist, das in einer Chiffriereinheit (54) aus einer Zufallssignalfolge nach einem bestimmten Programm abgeleitet wird, daß in einer weiteren, in der ersten Station (F i g. 2) befindlichen Chiffriereinheit (55) ein zweites Datenwort nach dem gleichen Programm wie in der Chiffriereinheit (54), und unabhängig von dieser, abgeleitet wird, daß diese beiden Datenwöiter verglichen werden, und bei Vorhandensein einer bestimmten Beziehung zwischen den Datenwörtern die Genehmigung des Zugangs oder Zugriffs erfolgt, und daß sich die Zufallssignalfolge zwischen zwei aufeinanderfolgenden Zugangsersuchen in nicht vorhersagbarer Weise ändert.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Durchführung des Wortableiteprogramms die Verwendung einer Chiffre bzw. Verschlüsselung einschließt, und daß eine Chiffre-Auswahleinrichtung (70, 71) auf jedes Zugangsersuchen anspricht, um eine frische Chiffre auszuwählen und diese zu beiden Chiffriereinheiten (54, 55) zu übertragen.

3. Vorrichtung nach Anspruch 2, dadurch gekennzeichnet, daß die Chiffre-Auswahleinri'-htung einen Generator (70) zum Erzeugen willkürlicher Nummern der Reihe nach sowie eine Auswahlvorrichtung (71) zum Auswählen einer Nummer aus der Reihe einschließt, um dadurch die ausgewählte Chiffre in Ansprecherwiderung auf jedes Zugangsersuchen vorzusehen.

4. Vorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Ausführung des Wortableitprogramms auf einem Teil der von der ersten Station her übertragenen Information basiert.

5. Vorrichtung nach einem der Ansprüche 1 bis 4, bei der das Zugangsersuchen die Darbietung einer mit Information Versehenen Ausweiskarte (Fig. 1) an die Einrichtung und den Vergleich dieser Information mit einem in die erste Station manuell eingegebenen Datenwort einschließt, dadurch gekennzeichnet, daß eine Hauptspeichereinheit (52) an der zweiten Station (Fig. 3) überprüft, ob eine vorbestimmte Übereinstimmung zwischen der von der Karte abgelesenen Information und dem manuell eingegebenen Datenwort besteht, und daß das Genehmigungssignal nur danti zur ersten Station (F i g. 2) übertragen wird, wenn die Hauptspeicher-

einheit (52) die vorbestimmte Übereinstimmung feststellte.

6. Vorrichtung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die Chiffriereinheiten (54, 55) je ein Mehrstufen-Schieberegister (73) mit einer Rückkopplungseinrichtung (74, 75) enthalten, die derart steuerbar ist, daß sie in einer aus einer Vielzahl von unterschiedlichen Konfigurationen ausgewählten Konfiguration in Tätigkeit tritt, um eine Rückkopplung zum Schieberegister in Abhängigkeit von der ausgewählten Konfiguration herzustellen, daß das Schieberegister eine numerische Codefolge in Abhängigkeit von der ausgewählten Konfiguration der Rückkopplungseinrichtung erzeugt, und daß das zu vergleichende Datenwort aus der Zyklus-Programmeinheit (77) an den Komparator (72) abgegeben wird.

7. Vorrichtung nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß die Freigabevorrichtung [Torschalteinheit (56)] die Betätigung eines Gegenstands- bzw. Postenausgebers (21) an der ersten Station steuert.