FR 2550364 A1 19850208 FR 8312994 A 19830805 La présente invention concerne les systèmes permettant d'apporter la sécurité exceptionnelle requise pour les transports de fonds ou d'effets bancaires comme: billets de banque,chèques,cartes de crédit,etc,et particulièrement ceux aboutissant à la destruction, ou à la mise hors d'usage,de la marchandise transportée en cas de tentative de détournement. Les systèmes connus se caractérisent généralement par l'emploi de moyens physiques lourds: camions blindés ou transport de coffresforts,et des moyens humains importants: plusieurs convoyeurs armés. 10 La destruction, ou la mise hors d'usage,est provoquée par l'un ou l'autre des convoyeurs par des moyens souvent mécaniques,ou par des dispositifs électroniques chargés de la détection d'événements environnants (radars,etc). Ces systèmes sont rarement à l'abri des complicités,volontaires 15 ou sous contrainte,des convoyeurs ou des responsables du chargement ou du déchargement de la marchandise,ni à l'abri d'agressions puissamment organisées. Le système suivant l'invention permet,avec des moyens moins importants,de réduire considérablement ces risques. En particulier,il exige le concours obligatoire d'informations codées détenues secrètement et de manière indépendante par plusieurs utilisateurs responsables résidant en des endroits différents,pour accéder légalement à la marchandise Ces informations sont notamment ignorées du convoyeur,ou des convoyeurs si des règlements,horaires 25 par exemple,imposent leur pluralité. Aucun de ces responsables ne peut donc,seul,volontairement ou sous contrainte,déjouer le système. Ce système se caractérise en ce qu'il ne se consacre aucunement à détecter des événements environnants,mais se consacre exclusivement 30 à exécuter un processus codé rigoureux. Ainsi,la marchandise chargée n'est pas destinée à être livrée intacte sauf s'il advient une anomalie,mais est destinée à être détruite, ou mise hors d'usage,sauf si un processus rigoureux,qu'elle est seule à connaître par intelligence artificielle,est intégrale35 ment exécuté. Le système met en oeuvre,en effet,des boîtiers électroniques dont certains,associés à la marchandise,vont lui attribuer cette intelligence artificielle. 2 2550564 Ces boîtiers sont reliables à des cordons,fils électriques ou de préférence fibres optiques,dans lesquels peuvent circuler des informations. Ces cordons de liaison jouent le rôle essentiel d'amarres dont 5 l'efficacité ne réside pas dans leur solidité physique,mais dans le dialogue secret et permanent qui y circule. Parmi les événements prévus au programme du processus imposé figurent des tests d'états du système qui doivent donc être conformes aux prévisions Cela concerne des états physiques comme: états de systèmes de verrouillage,par exemple: condamnés-décondamnés, ouverts-fermés, états de contenants,par exemple: état de leur milieu,état de leurs parois, et des états logiciels comme: état des programmes affectés aux boîtiers électroniques, état du déroulement des événements inscrits dans ces programmes, état des communications,par les cordons,entre les boîtiers électroniques. On décrira maintenant,à titre d'exemple pour une bonne compréhen20 sion de l'invention,un moyen de réaliser ces dispositions. Le véhicule est d'un modèle industriel courant,comportant un fourgon et une cabine de pilotage séparés,dont les seules modifications se limitent à: d'une part,équiper le fourgon d'un boîtier électronique,logé à l'inté25 rieur,et relié,entre autres liaisons,à son système de verrouillage ainsi qu'à un dispositif spécial permettant sa connection de l'extérieur, et,d'autre part,fixer dans le fourgon un container,d'un modèle courant parmi les robustes,de préférence de la manière la plus difficilement 30 démontable possible,par exemple par soudure au plancher du fourgon. Ce container est également équipé d'un boîtier électronique,logé à l'intérieur,et relié,entre autres liaisons,à son système de verrouil-lage ainsi qu'à un dispositif spécial permettant sa connection de l'extérieur. Les parois du container sont traitées de manière à rendre testable leur état par ce boîtier,par d'autres liaisons adaptées Divers traitements sont possibles: on peut,par exemple,tapisser leur face interne d'un matériau dont les caractéristiques électriques sont modifiables par toute agression mécanique,comme celui constitué de deux films mé40 talliques séparés par une couche isolante extrêmement mince,facile à se procurer. La marchandise,généralement à livrer en divers endroits,est répartie dans plusieurs caissettes affectées,chacune,à un destinataire precisé Ces caissettes sont d'un modèle courant de caissettes spéciales de transport de fonds. Chaque caissette est équipée d'un boîtier électronique,logé à l'intérieur, et relié,entre autres liaisons,à son système de verrouillage,à un dispositif spécial permettant sa connection de l'extérieur,et à un dispositif de destruction,ou de mise hors d'usage,de la marchandise contenue Ce dernier dispositif est réalisé selon des moyens connus. Selon d'autres moyens connus,tous les boîtiers électroniques du système peuvent se détruire sur leur propre ordreou éventuellement se limiter à la destruction de leur programme Cela afin de protéger le secret informatique. Le transfert-d'une marchandise déterminée d'un point A, considéré comme un lieu sûr chez l'expéditeur,à un point B,considéré comme un lieu sûr chez le destinataire,s'effectue selon les procédures qui suivent,en admettant que cette marchandise soit contenue dans une seule caissette. Dans le cas contraire,la répétition de certaines phases décrites se comprendra aisément. Le véhicule n'est,dans cet exemple,jamais considéré comme étant en lieu sûr. Aux points A et B se trouve une console,pouvant être un ordinateur ou un périphérique d'ordinateur,dont le logiciel contient une certaine partie des informations régissant le processus à exécuter,et notamment 25 les codes secrets prévus par les responsables Ces codes sont transmis aux consoles de préférence le plus tardivement possible,par des moyens adéquats connus,par exemple par des procédés de télécommunication. Ces deux consoles sont équipées d'un cordon,de même nature que les précédents,pouvant se dérouler jusqu'au lieu de stationnement du véhicu30 le A son extrémité se trouve un organe destiné à se brancher aux dispositifs spéciaux prévus pour la connection des boîtiers électroniques de l'extérieur. Les boîtiers électroniques contiennent également,par exemple par programmes chargés par télétransmissions,une partie des informations 35 régissant le même processus. Ce processus à exécuter est constitué essentiellement en un dialogue permanent entre les boîtiers électroniques pendant le transport,entre les boîtiers et la console du point A pendant le chargement,et entre les boîtiers et la console du point B pendant le déchargement Il est élaboré de 40 manière plus ou moins complexe par des méthodes informatiques connues. 4 2550364 Au point A,le cordon de la console est branché au dispositif spécial de connection de la caissette Durant le déplacement de la caissette jusqu'à l'intérieur du container,celle-ci reste amarrée au point A Si,en effet,le dialogue entre la console et la caisset5 te ne se passe pas comme prévu,et en particulier s'il survient une absence de dialogue,le contenu de la caissette et son boîtier électronique sont mis hors d'usage. La caissette étant chargée dans le container,l'expéditeur 1 ' amarre au container par un autre cordon relié,de préférence de fa10 çon fixe,au boîtier électronique du container,prenant le relais du précédent cordon pouvant alors être débranché Il ferme ensuite le container et procède à son verrouillage informatique à l'aide du cordon de la console appliqué au dispositif spécial prévu. Le contaiher,quant à lui,est amarré en permanence au système 15 de verrouillage du fourgon,par un cordon fixe reliant leur boîtier électronique. L'expéditeur ferme enfin le fourgon,et assure son verrouillage informatique de la même manière. On remarquera ici que l'ouverture légale du container n'est 20 possible qu'après la manoeuvre légale du système de verrouillage du fourgon et qu'une intrusion illégale dans le fourgon,à l'aide d'un chalumeau par exemple,n'élimine pas cet obstacle. Si,durant le transport,le dialogue entre le boîtier de la caissette et celui du container ne se passe pas comme prévu,le con25 tenu de la caissette,y compris son boîtier,est mis hors d'usage. Si le dialogue entre le boîtier du container et celui du système de verrouillage du fourgon ne se passe pas comme prévu,tous les boîtiers électroniques du système et la marchandise de toutes les caissettes sont mis hors d'usage. Au moment du déchargement,la caissette est acheminée au point B par une procédure analogue à celle du chargement,mais effectuée en ordre inverse Le maintien en bon état de la marchandise dépend pareillement du dialogue entre le boîtier de la caissette et celui de la console du point B. Dans cet exemple,un moyen particulièrement sûr de gérer la circulation des caissettes vides consiste à les considérer comme contenant de la marchandise à préserver. Il peut arriver,exceptionnellement,qu'il y ait impossibilité de relier le point A ou B au véhicule par un lien matériel,même aussi souple et léger que le cordon prévu On s'expose alors, exceptionnellement,aux risques habituels. 2550364 La conception du système décrit permet diverses solutions pour réduire largement ces risques. A titre d'exemple,appliqué au déchargement,on peut utiliser un boîtier électronique mobile,sans cordon,mais muni du même orga5 ne de connection que le cordon supprimé. Ce boîtier spécial,prévu à cet effet,est branché sur la console du point B qui lui transmet les instructions nécessaires à l'ouverture légale du fourgon et du container,et au débranchage légal de la caissette du container,mais le charge aussi de consi10 gnes de minutage de toutes ces opérations,et en particulier assigne le délai de transfert de la caissette du véhicule au point B. Dès que ce boîtier est branché sur le système de verrouillage du fourgon,le boîtier de la caissette à décharger est informé de toutes ces consignes Si l'une d'elles n'est pas respectée, le contenu 15 et le boîtier de la caissette,qui ne peut être ouverte qu'au point B par une liaison adéquate avec la console,sont mis hors d'usage. Ce boîtier spécial mobile est utilisé de manière analogue pour les fermetures. A titre d'autre exemple,une carte magnétique peut aussi bien 20 être utilisée de façon identique,mais nécessite un équipement plus onéreux du système en lecteurs de cartes. On observera maintenant que le système décrit peut fonctionner de manière satisfaisante en supprimant le container et en reliant directement les boîtiers électroniques des caissettes à celui du système de verrouillage du fourgon Le rôle intermédiaire joué par le container est cependant important en cas d'action illégale violente employant des moyens puissants,tels des explosifs. En effet,un détournement possible du véhicule pourrait le conduire à un endroit propice o l'on pourrait,après intrusion illéga30 le dans le fourgon,mettre les caissettes au contact direct d'explosifs Les systèmes d'auto-destruction n'agiraient alors pas plus vite que l'explosion,et de la marchandise épargnée pourrait se disséminer. La présence du container, qu'il faut d'abord violer pour at35 teindre les caissettes,cela entraînant la mise hors d'usage de leur contenu,empêche cette démarche Des explosifs appliqués directement contre le container provoqueraient la dissémination des caissettes, éventuellement détériorées,mais dont le système de destruction aurait néanmoins le temps d'agir. On observera également que des mises en oeuvre plus complexes du système peuvent être élaborées. 6 2550364 Par exemple,d'autres autorités que les expéditeurs et les destinataires peuvent aussi intervenir au niveau des procédures secrètes, comme le transporteur quand il n'est ni expéditeur ni destinataire et dont la responsabilité entre en jeu dans l'exécution des livraisons. 5 On observera enfin que l'introduction d'intelligence électronique dans le système peut être mise à profit pour réaliser des options évoluées,comme par exemple la mise en panne du véhicule,éventuellement différée,dès que le processus engagé connaît une anomalie. L'utilisation d'ondes hertziennes pour la transmission des in10 formations évoquées est possible,mais présente certains inconvénients d'indiscrétion puisque ces ondes sont facilement captables. Le système objet de l'invention peut être utilisé pour la plupart des transports de marchandises dont le détournement peut avoir des conséquences incalculables,au point que leur destruction ou leur 15 mise hors d'usage est préférable. 7 2550364 REVENDICATIONS 1 Système de sécurité de transport de fonds ou d'effets bancaires voués à la mise hors d'usage en cas de détournement,caractérisé en ce que des éléments électroniques,disposés à l'intérieur des contenants de la marchandise,pouvant contrôler des états de ces contenants dont celui de leur système de verrouillage,et ordonner leur propre mise hors d'usage ainsi que celle de la marchandise, sont reliés entre eux à bord du véhicule assurant le transport et reliables à des sources d'informations situées en lieu sûr chez les expéditeurs et les destinataires par des cordons dans lesquels cir10 culent en permanence des informations codées, et en ce que ces éléments électroniques exécutent des tâches rigoureusement prévues par programmation informatique constituant un processus général obligatoire dont Loute perturbation provoque les mises hors d'usage vou À lues. 2 Système selon la revendication 1 caractérisé en ce que la marchandise est répartie dans des caissettes affectées chacune à un destinataire déterminé et équipées d'un bottier électronique, logé à l'intérieur,et relié: à son système de verrouillage,à un dispositif permettant sa connection de l'extérieur,et à un dispo20 sitif de mise hors d'usage de son contenu. 3 Système selon les revendications 1 et 2 caractérisé en ce que les caissettes sont disposées dans un container équipé d'un boîtier électronique,logé à l'intérieur,et relié: à son système de verrouillage,à un dispositif permettant sa connection de l'ex25 térieur,et aux boîtiers électroniques des caissettes. 4 Système selon les revendications 1 et 3 caractérisé en ce que le container est fixé à l'intérieur d'un fourgon à une issue, verrouillable,comportant un boîtier électronique,logé à l'intérieur et relié: à son système de verrouillage,à un dispositif permettant 30 sa connection de l'extérieur,et au bottier électronique du container. Système selon l'ensemble des revendications 1 à 4 caractérisé en ce que les sources d'informations situées chez les expéditeurs et les destinataires sont des ordinateurs,ou des périphériques d'or35 dinateurs, ou des consoles électroniques spécialement conçues,équipés d'un cordon de transmission d'informations pouvant se dérouler jusqu'au lieu de stationnement du véhicule,et à l'extrémité mobile duquel se trouve un organe permettant sa connection avec les éléments ou boîtiers électroniques. 6 Système selon la revendication 1 caractérisé en ce que les cordons dans lesquels circulent les informations sont des fils électriques ou des fibres optiques. 7 Système selon la revendication 1 caractérisé en ce que,parmi les tâches à exécuter par les éléments électroniques,figurent des tests d'états matériels et logiciels aux fins de contrôler le déroulement du processus engagé. 8 Système selon les revendications 1,2 et 3 caractérisé en ce que l'état des parois des contenants est rendu testable par les élé10 ments ou boîtiers électroniques logés à l'intérieur,par application contre leur face interne d'un matériau aux caractéristiques électriques modifiables par toute agression mécanique. 9 Système selon la revendication 1 caractérisé en ce que les informations cddées échangées-dans l'ensemble du système contiennent 15 des codes secrets introduits par plusieurs utilisateurs responsables résidant en des lieux différents,comme les expéditeurs,les destinataires,le transporteur,etc Système selon les revendications 1 et 9 caractérisé en ce que les codes secrets sont introduits par les utilisateurs 20 responsables en les transmettant aux sources situées chez les expéditeurs et les destinataires par des moyens de télécommunications. il Système selon la revendication 1 caractérisé en ce que les éléments électroniques exécutent leur taches par programmes chargés par télétransmissions. 12 Système selon l'ensemble des revendications 1 à 4 caractérisé en ce que les sources d'informations situées chez les expéditeurs et les destinataires échangent avec les éléments ou boîtiers électroniques leurs informations,alors assorties de consignes de minutage pour les opérations se déroulant entre elles et le véhicule,par l'intermédiaire d'un appareil électronique mobile,sans cordon,prévu pour se connecter d'une part sur ces sources et d'autres part sur ces éléments ou boîtiers électroniques par leur dispositif les rendant reliables au cordon remplacé,dans ce cas,par cet appareil.