FR 2580842 A1 19861024 FR 8605588 A 19860418 ] "Transport d'information de sécurité entre stations électroniques" L'invention concerne le transport de sécurité, par exemple par poste, d'une information constituée par exemple par les crédits et les données associées d'une machine d'affranchissement, ce transport étant effectué entre des stations électroniques, telles qu'un compteur d'affranchissement à une extrémité et un équipement postal à l'autre extrémité. Bien que le système soit décrit plus. particulièrement ci-après dans le cas d'un système de comp- teur d'affranchissement, il est évident que ce système peut facilement s'adapter à d'autres applications du com- merce, de la banque ou autres. L'une des limitations des machines d'affranchis- sement classiques, à la fois du point de vue du client et du point de vue de l'Administration des Postes est la nécessité d'amener la machine à un Bureau de Poste pour inscrire le crédit. L'introduction de l'électronique a contribué à réduire le poids des machines, mais le temps nécessaire pour obtenir un nouveau crédit est resté prati- quement le mime. De plus. les procédures d'enregistrement de l'Administration des Postes sont manuelles et doivent être reprises à la main pour l'introduction dans un système de traitement de données. A l'heure actuelle, les deux systèmes pouvant être utilisés en Grande Bretagne sont le système de remise à l'état initial d'un compteur téléphonique, et le système des cartes de valeurs. Le premier système utilise le systè- me téléphonique national pour établir la communication entre l'utilisateur de la machine d'affranchissement et un centre de calcul de données. En ce qui concerne l'utilisateur, cela présente les différents inconvénients que les compteurs d'affranchissement mécaniques du commerce nécessitent le montage d'accessoires spéciaux, que cela entraîne des coûts supplémentaires, que le crédit ne peut être mis à jour que pour des montants prédéterminés, qu'il est néces- saire d'ouvrir un compte en banque spécial correspondant au fournisseur du système, et qu'il n'est pas possible, en alternative, d'aller directement au Bureau de Poste pour renouveller le crédit. Jusqu'à ce que l'Administation des Postes soit concernée, le premier système présente l'in- convénient que l'Administration reçoit l'argent du fournis- seur de l'appareil au lieu de le recevoir de l'utilisateur, sans avoir de contrôle direct de la procédure compliquée d'enregistrement des informations. Le système nécessite des investissements importants et entraîne des coûts d'exploitation élevés nécessitant une grande population d'utilisateurs de machines d'affranchissement pour équili- brer le budget. Jusqu'à ce que le système des cartes de valeurs soit concerné, il présente pour l'utilisateur les incon- vénients d'une mise à jour du crédit pour des montants prédéterminés, et la nécessité de rendre les cartes de valeurs utilisées avant d'acheter de nouvelles cartes. Du point de vue de l'Administration des Postes, le système présente un manque dans le domaine de l'amélioration de sécurité, fournit une information disponible limitée, et n'est pas compatible avec un système complètement numérisé. Du point de vue du fabricant, le système entraîne des coûts supplémenaires du fait qu'il faut imprimer une information de commande sur la carte de valeurs, et du fait que le système n'est pas universellement accepté. Le principal but de l'invention est de créer un système de machine d'affranchissement présentant beaucoup moins d'inconvénients que les deux systèmes indiqués ci- dessus. A cet effet, l'invention concerne un système de transport d'information comprenant une première et une seconde station ainsi qu'un bloc transportable, système caractérisé en ce que le bloc transportable comporte un circuit électronique comprenant une mémoire non volatile destinée à stocker un code de transaction et d'autres informations destinées à être transmises entre la premiere et la seconde station; en ce que la première station reçoit le bloc avec une première valeur de code de transac- tion, vérifie la première valeur de code de transaction par comparaison avec une valeur de code de transaction enregistrée par la première station, pour produire et enre- gistrer une seconde valeur de code de transaction; et en ce que la seconde station reçoit le bloc revenant de la première station avec la première valeur de code de transaction, produit indépendamment la seconde valeur de code de transaction, et inscrit la seconde valeur de code de transaction dans la mémoire du bloc. Selon l'invention, le système de transport d'in- formation comprend une première et une seconde station destinées chacune à effectuer une écriture et une lecture électronique dans un bloc utilisant un circuit électroni- que comprenant une mémoire de lecture/écriture non volatile et des moyens de liaison, de manière à pouvoir écrire et lire en mémoire. dans chacune des stations, une information codée en binaire, cette information comprenant une identité de transaction (TID) codée, et le bloc étant conçu pour se monter dans chaque station de façon que les moyens de liaison soient connectés aux moyens de liaison correspon- dants de la station, la première station étant disposée de manière à recevoir le bloc avec un premier TID codé et une autre information provenant de la seconde station dans laquelle un nouveau code TID de la transaction sui- vante a déjà été produit dans la seconde station et enre- gistré en toute sécurité dans celle-ci, la premiere station étant en outre munie de moyens permettant de décoder le premier code TID et l'autre information, et de produire indépendamment un nouveau code TID identique à celui déjà enregistré dans la seconde station, pour réviser l'autre information codée dans le bloc, de sorte que lorsque le bloc est ramené dans la seconde station, les moyens contenus dans celle-ci permettent de vérifier le nouveau code TID par comparaison avec le code déjà.enregistré dans la seconde station, cette seconde-station étant en outre munie de moyens permettant de réviser cette nouvelle information avant de ramener le bloc dans la première station. De préférence, les moyens utilisés dans chaque station pour produire le code TID suivant, peuvent être constitués par un registre à décalage à alimentation liné- aire (LFSR). De plus, chaque station peut être équipée de moyens permettant de décrypter l'information reçue par le bloc, et de crypter l'information émise par ce bloc, le décryptage et le cryptage étant effectués par des codes numériques identiques dans les deux stations. Des moyens permettant d'ajouter et de retrancher une parité, peuvent être prévus dans chaque station pour détecter les erreurs éventuelles. Pour mieux comprendre le système selon l'inven- tion et la mise en oeuvre de celui-ci, on décrira maintenant un système de remise à l'état initial du crédit d'un compteur postal, en se référant à un exemple représenté sur les dessins ci-joints dans lesquels: - la figure 1 est une vue en perspective d'un bloc de transfert de crédit enfichable destiné à être utilisé dans un système d'affranchissement postal; - la figure 2 est un schéma du circuit électri- que de base comprenant le bloc de la figure 1: - la figure 3 est une vue en perspective d'un compteur d'affranchissement sur lequel se monte le bloc de la figure 1; - la figure 4 est un schéma du circuit d'inter- face utilisé dans le compteur d'affranchissement de la figure 3 pour recevoir le bloc de la figure 1; - la figure 5 est un schéma par blocs d'un pro- tocole d'équipement postal destiné à accepter le bloc de la figure 1 pour lire et écrire dans celui-ci le crédit et les données associées - la figure 6 est une vue en plan du panneau avant d'un équipement postal tel que celui de la figure ; et - la figure 7 est un schéma représentant l'orga- nisation du logiciel utilisé dans le compteur d'affranchis- sement de la figure 3 et dans l'équipement postal de la figure 5. Le bloc enfichable 18 de la figure 1, lorsqu'il est prêt à être utilisé par un abonné, est envoyé, par exemple par la poste, par l'Administration des Postes, avec une mise à jour de crédit enregistrée et autres infor- mations décrites ci-après, enregistrées dans une mémoire programmable effaçable électriquement se présentant sous la forme d'une mémoire de lecture/écriture non volatile. Le bloc 18 est enfiché dans un compteur d'affranchissement 19 (figure 3)pour transférer dans ce compteur d'affranchis- sement la mise a jour de crédit et les autres données enregistrées. Ce compteur d'affranchissement est sensible- ment le même que celui décrit dans le brevet britannique 2 079 223, mais modifié comme décrit ci-après pour recevoir le bloc enfichable. Ensuite, le bloc enfichable peut être renvoyé à un moment convenable pour être introduit dans l'équipement d'un bureau de poste, de manière à enregistrer dans cet équipement les différentes données provenant des enregistrements effectués dans le compteur d'affranchisse- ement. Le crédit et les autres données contenues dans le bloc peuvent ensuite être mises à jour de façon qu'on puisse renvoyer le bloc pour l'introduire de nouveau dans le compteur d'affranchissement. Comme indiqué sur les figures 1 et 2, les éléments électroniques associés à la mémoire sont montés sur une plaquette de circuit imprimé 3, les signaux électroniques étant envoyés à un connecteur d'enfichage 4. Les différents éléments électroniques sont logés dans un bottier 5 en matière plastique ou en métal monté de manière invisible. Les dimensions du bottier (longueur x largeur x hauteur) sont typiquement de 70 x 45 x 15 mm. Des surfaces 6 sont prévues sur le dessus et sur le fond du boîtier pour pouvoir coller des étiquettes destinées à adresser le boîtier au bureau de poste et à le renvoyer à l'abonné. Comme indiqué sur la figure 2, la mémoire non volatile 1 est constituée par une EEPROM (mémoire à lecture seule programmable effaçable électriquement) National à 16 x 16 bits du type NMC 9306 N permettant de transférer les données en série. Bien que le nombre de données pouvant être inscrites dans une EEPROM soit limité à environ dix mille, si le bloc enfichable est utilisé à la fréquence d' une fois par semaine, et si l'on suppose qu'une transaction ne correspond qu'à une seule écriture en chaque point de mémoire, cela dépasse largement la durée de vie du bloc enfichable. De plus, les données sont conservées en mémoire sans alimentation de puissance pendant plus de dix ans. Des mémoires présentant une densité supérieure à 16 x 16 bits pourront facilement être utilisées, si cela est nécessaire, lorsque ces mémoires seront disponibles dans le commerce. La nature série de la EEPROM choisie permet au compteur d'affranchissement d'être muni d'un interface de branchement du bloc enfichable utilisé, cet interface 25808.42 comprenant un nombre minimum de connexions. Cela réduit l'importance des circuits du compteur d'affranchissement et augmente la sécurité des données dans le bloc enficha- ble du fait qu'aucune ligne d'adresse ou de données rMest directement accessible au connecteur. Les signaux (ficure 2) nécessaires pour faire fonctionner la mémoire, en pIu;s d'un branchement d'alimentation de 5 volts et d'un branrf- chement de masse, sont constitués par un signal de sélec-- tion de microplaquette CS destiné à sélectionner la mémoire. un signal d'horloge série SK. un signal d'intro-.. duction de données DI, les données étant synchronisées avec l'horloge série et contenant l'adresse, le mode de fonctionnement et les données à emmagasiner, et enfin un signal de sortie de données DO. Lorsque l'adresse est synchronisée dans le branchement d'introduction: de données, les données à lire sont désynchronisées par l'horloge série. Bien que ce type de mémoire ne nécessite seule- ment que six connexions, un connecteur à I4 broches est utilisé pour simplifier la conception du compteur d'affran- chissement compte tenu des accessoires ultérieurs. Le connecteur choisi peut être utilisé pour effectuer plus d'un millier d'introductions avant que ses performances se dégradent notablement. Cela convient au compteur d'af- franchissement et au bloc enfichable lui-même. Cependant, comme l'équipement du bureau de poste peut accepter plusieurs blocs enfichables par jour. le nombre d'introductions peut devoir être beaucoup plus important, de sorte qu'on peut avantageusement utiliser en variante d'autres connecteurs tels que par exemple des connecteurs de type à force d'introduction nulle. On remarquera que le bloc enfichable est condi- tionné par l'équipement de bureau de poste toujours associé à un seul compteur d'affranchissement. Le bloc enfichable est alimenté lorsqu'il est branché au compteur d'affranchis- sement ou à l'équipement de bureau de poste. Ce bloc enfichable est conditionné de façon qu'il ne puisse Utre utilisé avec n'importe quel autre compteur d'affranchisse- ment tant qu'il est en service avec son propre compteur, et lorsque le compteur d'affranchissement a été mis à jour par un crédit, le bloc enfichable ne peut être réutiiisé sans avoir été remis dans l'état initial par un nouveau crédit, le conditionnement étant également mis à jour par l'équipement de bureau de poste. Ainsi, une simple duplica- tion du bloc enfichable et de son contenu ne présente aucun intérêt pour une tentative de fraude éventuelle. De plus, on utilise un code suffisamment secret, comme décrit ci- après,pour empêcher une modification ou une réutilisation du crédit, lorsque la machine d'affranchissement a été mise à jour. La machine d'affranchissement et l'équipement de bureau de poste sont conçus de façon qu'une perte ou une falsification des données puissent être détectées soit au niveau du compteur d'affranchissement soit au niveau de l'équipement de bureau de poste. En se référant à la figure 3, lorsque le bloc enfichable 18 est retiré du compteur d'affranchissement 19, une porte articulée 20 se rabat pour recouvrir le connee- teur du compteur-d'affranchissement, de manière à la protéger mécaniquement. Le connecteur du compteur d'affran- chissement est soudé directement à une plaquette de circuit imprimé d'interface décrite ci-après. Cette plaquette est à son tour placée entre le c6té connecteur du compteur d'af- franchissement et une plaquette de circuit imprimé de commande interne destinée à commander le compteur d'affran- chissement. Un câble assure la transmission des signaux entre la plaquette de circuit imprimé d'interface et un connecteur placé sur une plaquette de circuit imprimé d'affichage du compteur d'affranchissement. Un microcalcu- lateur monté sur la plaquette de circuit imprimé de commande, est branché directemenr au connecteur de la plaquette de circuit imprimé d'affichage. La disposition de la plaquette de circuit imprimé d'interface est représentée sur la figure 4, le connecteur du bloc enfichable étant représenté du c6té droit de cette fiaure. Le role principal de l'interface est d'assurer une isolation électrique entre le circuit de compteur d'affran- chissement et la memoire du bloc enfichable. Ce résultat est obtenu au moyen d'isolateurs optiques 15 (du type 4N25), placé dans les quatre chemins principaux des signaux: sélection de microplaquette (CS), horloge serie (SK), don- nées d'entrée (Dl), et données de sortie (DO), de manière à assurer ainsi une protection contre les hautes tensions électriques appliquées de l'extérieur sur le connecteur 2 logé dans le compteur d'affranchissement. Chaque chemin comporte également un circuit tampon à Déclencheur de Schmitt à trois états de sortie 16 (du type 74 LS 244), pour former un tampon entre les sorties du microcalculateur du compteur d'affranchissement et les isolateurs optiques, et un signal d'habilitation (EN) est utilisé pour habiliter ces circuits tampon lorsqu'on doit accéder à la mémoire du bloc enfichable. Les quatre signaux et le signal d'habilitation sont appliqués directement à un groupe 17 d'entrée P27, P26, P25, TO et P04 du micro- calculateur comme indiqué sur la figure 4, la protection contre un accès erroné aux mémoires contenues dans le compteur d'affranchissement, étant assurée par la commande logique de sécurité du microcalculateur, comme décrit ci-apres. Les quatre signaux sont sous la commande d'un logiciel, et autorisent l'entrée et la sortie des donrnées dans la mémoire du bloc enfichable, grâce aux signaux DI et DO. Ces signaux série sont synchronisés par les flans de descente des impulsions d'horloge SK, et la mémoire du bloc enfichable est habilitée lorsque CS est dans l'état haut. Avant une lecture ou une écriture, il faut envoyer au moins une instruction dans la mémoire, par DI, cette instruction contenant 9 bits (synchronisés à SK). Ces ins- tructions sont: Lecture, Ecriture, Registre d'Effacement, Effacement/Habilitation-Ecriture, Effacement/Invalidation- Ecriture et Effacement de Tous les Registres, les trois premières instructions utilisant 4 des 9 bits pour adresser l'un des mots à 16 bits. Pour effectuer une lecture dans la mémoire du bloc enfichable, une instruction de Lecture est tout d'abord envoyée sur la ligne DI, (spécifiant un registre à 16 bits) et les 16 impulsions SK suivantes désynchroni- sent les données de la ligne DO. Pour effectuer une écriture dans la mémoire, il est tout d'abord nécessaire d'envoyer une instruction Effacement/Ecriture Habilitation sur la ligne DI, suivie d'une instruction d'Effacement-Registre (spécifiant un registre à 16 bits), suivie d'une instruc- tion d'Ecriture (spécifiant le même registre). Pendant les 16 impulsions SK suivantes, les données sont introduites sur la ligne DI, et cette opération peut être suivie par une instruction d'Effacement/InvalidationEcriture pour se protéger contre des effacements ou des écritures ultérieurs. La mémoire complète peut être effacée par une instruction d'Effacement de Tous les Registres à condition que cette instruction soit précédée d'une instruction d'Effacement/ Habilitation Ecriture. Comme la mémoire de bloc enfichable est alimentée par une tension de 5 volts lorsqu'elle est enfichée dans le compteur d'affranchissement, cela implique qu'un signal de 6 volts doit être appliqué au connecteur du compteur pour alimenter le bloc enfichable. Tous les signaux de ce connecteur sont à la disposition de l'utilisateur, de sorte que si cette tension de 5 volts est la même que la tension d'alimentation interne, il existe un risque d'endom- mager le matériel existant dans le compteur d'affranchisse- ment en appliquant des hautes tensions au connecteur soit accidentellement soit délibrérément (dans le cas d'une tentative de fraude). Bien que les chemins de signaux soient protégés par les isolateurs optiques. l'alimentation ne peut être protégée par ce moyen. Par suite, en se référant à la figure 4 qui représente le circuit d'interface entre le compteur d'affranchissement et le bloc enfichable (les appellations commerciales et les valeurs électriques de certains des éléments étant indiquées sur cette figure) une cellule indépendante au lithium 64 est utilisée pour alimenter la mémoire du bloc enfichable (dans le cas seulement o le bloc enfichable est enfiché), par l'inter- médiaire d'un régulateur 66. Un transistor 65 permet d'effectuer la commutation de marche/arrêt de la batterie sous la commande du logiciel, c'est-à-dire lorsqu'il faut introduire ou sortir les données du bloc enfichable pour lequel on commute la bat- terie. La batterie est coupée pendant toutes les autres périodes. Cela optimise la durée de vie de la batterie qu' on peut estimer à plus de dix ans.La base du transistor de commutation est branchée au microcalculateur de la même manière que les quatre signaux décrits ci-dessus, c'est-à-dire par l'intermédiaire d'un cinquième isolateur optique 15 ou d'un circuit tampon de Déclencheur de Schmitt 16, pour être finalement reliée à la partie de microcalculateur p24 du groupe 17. Une autre variante du compteur d'affranchissement du brevet britannique 2 079 223 ci-dessus permettant de recevoir le bloc enfichable, consiste à remplacer le micro- caleulateur contenant 2K octets de mémoire à lecture seule et 128 octets de mémoire a accès aléatoire, par un micro- calculateur présentant une densité de mémoire double comme par exemple le microcaleulateur Intel 8050 à 4K octets de mémoire à lecture seule et 256 octets de mémoire à accès aléatoire. - Les plages disponibles pour les différentes fonctions de la mémoire du bloc enfichable sont de 40 bits (miniumum 28) pour le crédit c, 40 bits pour le total t, bits (minimum 26) pour les items i, 32 bits pour le code d'identification de transaction TID (crypté), 32 bits pour la mise à jour de crédit 6C (crypté), 8 bits pour l'état du système (y compris les conditions de défaut). un maximum de 40 bits pour la parité et de 16 bits pour l'identification du bloc enfichable..Un maximum de 246 bits est donc nécessaire. On remarquera que le total t est la valeur totale accumulée par le compteur d'affranchis- sement, et que les items i sont le nombre total d'articles de courrier ayant été affranchis par le compteur d'affran- chissement. L'état du système concerne l'état du bloc enfichable à tout moment de son cycle de fonctionnement. La parité peut être du type décrit dans le Tableau 3 du brevet britannique 2 079 223. On décrira maintenant sur la figure 3 le protocole de l'équipement de bureau de poste. Cet équipement est une variante de celui utilisé dans le compteur d'affranchisse- ment ci-dessus du brevet britannique 2 079 223 lorsqu'il est nécessaire d'accéder directement au registre de mesure. Lorsque le bloc enfichable 18 est monté dans l'é- quipement de bureau de poste, les données de la mémoire du bloc enfichable sont transférées dans l'équipement de bureau de poste o l'on détecte en 60 les bits de parité et o l'on vérifie l'état du système de façon que s'il n'existe pas de défauts, les données 13 de crédit, de total et d'item sont envoyées à une logique de données 61 à des fins d'enregistrement (c'est-à-dire pour un transfert ultérieur vers une imprimante, un terminal ou un disque). Le code TID crypté et la mise à jour de crédit AC, dans lesquels on a supprimé la parité, passent du module d'extraction de parité 60 à un module de codage de décryptage 62 dans lequel le code d'identification de transaction est décrypté en utilisant un code de Bureau de Poste 7 à huit chiffres, spécifique d'un compteur d'affran- chissement donné et fourni par un clavier 63. Ce code TID utilisé. ainsi que la mise à jour de crédit utilisé LC decripté) sont envoyés à l'étalonnage de données 61. Le code TID utilisé passe ensuite dans un registre a décalage d'alimentation linéaire LFSR 8 constitué par un générateur pseudo-aléatoire à 24 bits (16 x 106 états) qui transforme l'identification de transaction en un nouveau code TID 9. Le code est modifié de cette manière au début de chaque transaction, et permet de s'assurer que le bloc enfichable ne peut être réutilisé avant qu'un nouveau crédit ait été ouvert, et que le bloc enfichable ne peut être utilisé dans aucun autre compteur d'affranchissement, du fait que la mémoire à accès aléatoire non volatile du compteur d'affranchissement emmagasine des données parti- culières à ce compteur au moyen du code de Bureau de Poste. La taille du LFSR doit être telle qu'elle permette simple- ment de réduire au minimum la probabilité de fraude par des codes d'écriture aléatoires dans le bloc enfichable, et comme 24 bits donnent une probabilité d'environ 1 pour 16 x 106, cette taille est considérée comme convenable. Le nouveau code TID 9 ainsi que la nouvelle mise à jour de crédit AC, passent dans un module de codage de cryptage 10 dans lequel le bloc de données obtenu est crypté au moyen du codage de Bureau de Poste 7 à huit chiffres précédemment introduit par le clavier 63. On utilise un codage de cryptage standard tel que le code de cr.ptage de données standard F.IP. S. Le code de données de crptage standard doit être de rang suffisamment élevé pour empêcher les données du bloc enfichable d'être modi- fiées ou extraites par une opération frauduleuse. Une vérification est effectuée pour s'assurer que la nouvelle mise à jour de crédit 6C se trouve dans des limites supérieure et inférieure spécifiques. Le signai de sortie du module de codage de cryptage 10 est envoyé à un module de codage d'erreurs constitué par un sstème de détection d'erreurs à simple parité croisée dans lequel on détecte jusqu'à trois zéros dans un bloc de données. Cela convient pour enregistrer le code TID et le code de crédit cryptés. La probabilité de protection contre les fraudes a déjà été assurée par un nombre adéquat de bits dans LFSR, de sorte qu'un codage à haut niveau d'erreurs n'apporte pas d'amélioration supplémentaire. La sortie 14 du module de codage d'erreur 11 est appliquée au bloc enfichable qu'on envoie ensuite par la poste à l'utilisateur pour qu'il l'introduise dans son compteur d'affranchissement. Le compteur d'affranchisse- ment lit et vérifie à la fois le nouveau code TID et la mise à jour du crédit. Le compteur d'affranchissement décrypte le code TID et le compare à la valeur attendue emmagasinée dans le compteur. Si ces valeurs ne coincident pas, une condition d'erreur est détectée et un nombre limité de tentatives d'entrée répétées sont permises. Si les valeurs coincident, le compteur d'affranchissement inscrit les valeurs courantes du crédit, du total, des items et de l'état du système dans le bloc enfichable, puis vérifie le transfert. Enfin, le crédit mis à jour et le code TID suivant produits par un LFSR fonctionnant de la même façon que dans l'équipement de bureau de poste, sont enregistrés dans la machine d'affranchissement. Ce nouveau code TID n'est pas transmis au bloc enfichable qui reçoit le même nouveau code lorsqu'il passe dans l'équipement de bureau de poste, pour être ensuite comparé au nouveau code déjà enregistré dans la machine d'affranchissement. Le protocole décrit ci-dessus a été conçu pour maintenir un degré élevé de sécurité contreles tentatives de fraude, même en supposant qu'on puisse accéder aux données contenues dans la mémoire du bloc enfichable. Cependant, si une tentative de fraude consistait également à briser les éléments scellés de la machine d'affranchisse- ment pour avoir accès au programme du logiciel stocké dans le microcalculateur? et en supposant qu'on puisse dissocier le code, toute lasécurité des transactions effectuées sur d'autres machines repose sur la connaissance du code du Bureau de Poste, car c'est la seule "inconnue" différente pour tous les compteurs d'affranchissement. En supposant que le code de Bureau de Poste est un nombre à huit chiffres. et en supposant ensuite que l'utilisateur peut effectuer jusqu'à 50 tentatives d'introduction d'un crédit, la probabilité de déterminer le code est de 1 pour 2 x 10. Le Bureau de Poste peut utiliser un code à six chiffres pour rendre le système compatible avec d'autres systèmes disponibles, mais le protocole permet d'aller jusqu'à un code de Bureau de Poste à huit chiffres. La chiffre 6 représente le schéma d'un panneau avant pouvant être utilisé dans une forme de réalisation de l'équipement de Bureau de Poste. La disposition comprend une rangée de 12 afficheurs 22 à sept segments, et un ensemble de boutons-poussoirs 23 à 35 portant les noms indiqués. Lorsqu'on enfiche le bloc enfichable, la sélec- tion des afficheurs "T", "TC", "C" ou "'I" 24 à 27 permet d'enregistrer respectivement soit Total, Total + Crédit, Crédit ou Item, tels qu'on peut les lire dans le bloc - enfichable. La valeur initiale de TID peut être introduite dans le bloc enfichable en choisissant "TID" 35 suivi de la valeur requise sur le clavier numérique 33, suivi de "Entrée" 32. Le code de Bureau de Poste peut être introduit en choisissant "P.0. Code" 34 suivi de la valeur requise, suivi de l'Entrée", et de la même façon la Mise à jour de Crédit peut être introduite en déclenchant la séquence par "AC" 23. De la même façon, s'il est nécessaire de mettre à jour Total, Crédit ou Item dans le bloc enfichable, cette opération peut être effectuée en appuyant respectivement sur T,C. ou T, suivi de "Remise à l'état initial" 2,8. suivi de la valeur requise, suivi de "Entrée". Les Signra- lisations d'Etat peuvent être affichées en choisissant "Signalisation d'Etat' 31, et peuvent être modifiées en faisant suivre la sélection par "Remise à l'Etat initial", par la nouvelle valeur, puis par "Entrée". La sélection de "Impression" 29 produit le transfert de toutes les données du bloc enfichable dans l'interface d'imprimante. Il est possible de brancher un terminal et un support de stockage de données pour afficher les données sur le bloc d'affichage visuel de terminal VDU, et de les transférer, si on le désire, sur un disque, au moyen de commandes d'entrée utilisant le clavier du terminal. Lors- qu'on enfiche pour la première fois le bloc enfichable dans l'équipement de bureau de poste, le logiciel vérifie la parité et les données pour détecter les erreurs, et si une erreur quelconque s'est produite, l'affichage indique une condition erronée. Il est possible d'effectuer une extraction des données en sélectionnant "Remise à l'Etat initial" suivi de "Défaut" 30, et le résultat est indiqué sur l'affichage. On décrira maintenant le logiciel du système en se référant à la figure 7. La majorité du logiciel existant permettant de faire fonctionner le compteur d'affranchisse- ment décrit dans le brevet britannique 2 079 223 ci-dessus, reste intacte, et l'on ajoute les programmes nécessaires pour faire fonctionner le bloc enfichable l1. Lorsque le bloc enfichable 18 est introduit dans le compteur d'affranchissement, l'utilisateur peut sélec- tionner simultanément les clés "CL" et "C", après quoi l'introduction se détecte en lisant une adresse de mémoire de bloc enfichable déterminée présentant certaines données constantes connues emmagasinées. L'absence de ces données ramène le logiciel au programme de mesure standard, mais lorsque la présence de ces données est détectée, les don- nées restantes sont lues dans le bloc enfichable et la parité est vérifiée pour détecter les erreurs en 37. Si une erreur se présente. le logiciel revient au programme de mesure standard, mais si au contraire des données cor- rectes sont obtenues, ces données sont indiquées par le signe cPAc sur l'affichage, suivi de la mise à jour de crédit AC, à moins que le crédit ai été utilisé, auquel cas un zéro est affiché. Si l'utilisateur souhaite maintenant transférer le crédit dans le compteur d'affranchissement, cet uti- lisateur sélectionne simultanément la clé "fonction supé- rieure" et la clé "C", lorsque les données du bloc enficha- ble sont lues de nouveau, et vérifiées comme précédemment pour détecter les erreurs. Là encore, le logiciel revient au programme de mesure standard si une erreur est détectée, dans le cas contraire, le code TID crypté et AC sont combinés au code de Bureau de Poste stocké dans le compteur d'affranchissement 42 pour former le code TID décrypté et AC en 38. Le TID attendu (stocké dans le compteur d'affranchissement) est comparé au TID qu'on vient d'obtenir, et s'il est différent la transaction est terminée en 39. Cette condition est signalisée sur l'affichage, et si la condition est reproduite lorsqu'on répète la transaction, le bloc enfichable doit être ramené au Bureau de Poste pour être vérifié dans l'équipement de Bureau de Poste. Lorsque la comparaison est effectuée avec succès, il est maintenant possible de: a) Mettre à jour le registre des crédits de la quantité AC 40 et la stocker dans un magasin 42 constitué par une mémoire à accès aléatoire alimentée par batterie. b) Produire un nouveau TID en appliquant un LFSR (registre à décalage d'alimentation linéaire) 41 semblable à celui de l'équipement de bureau de poste, et stocker le nouveau TID dans le magasin 42. c) Transférer dans le bloc enfichable 18 Crédit, Total, Item et Etat codés de manière erronée, en vérifiant que les données ont été correctement écrites en 43. La transaction terminée est maintenant indiquée par l'affichage du nouveau crédit. On peut maintenant retirer le bloc enfichable et ramener le logiciel à la commande de fonctionnement du compteur, lorsque l'utilisa- teur sélectionne "CL". A titre de précaution il est nécessaire d'envoyer une signalisation à la fin de chacune des étapes a). b) et c), de façon que si l'alimentation de puissance tombait en panne pendant une transaction, une tentative ultérieure puisse permettre au logiciel de revenir au démarrage de l'étape ayant été interrompue. L'équipement de bureau de poste détecte la pré- * sence d'un bloc enfichable 18 de la même manière que celle décrite cidessus, c'est-à-dire en détectant la constante connue emmagasinée dans la mémoire du bloc enfichable. Toutes les données sont lues dans le bloc enfichable et la parité est vérifiée pour détecter les erreurs en 44. Une erreur est signalisée sur l'affichage et, comme indiqué ci-dessus, l'opérateur peut tenter de récupérer les données dont on a constaté qu'elles étaient erronées, en sélection- nant "Remise à l'Etat initial" suivi de "Défaut". I1 est possible, à partir de l'affichage, de déterminer si le défaut a été remis à l'état initial. Il est possible à ce stade, qu'un défaut se présente ou non, de classer toutes les données du bloc enfichable sur une imprimante, en sélectionnant "Impression" en 45. Si aucune erreur n'est détectée, le code TID crypté est combiné au code de Bureau de Poste (lorsqu'il est introduit par le clavier 49) pour former le (TID ancien) décrypté -en 46. On peut produire à partir de cela un "TID nouveau" en appliquant le LFSR 43 comme décrit ci-dessus. Si la transaction est la première du bloc enfi- chable de données, le code TID ancien n'existe pas, auquel cas le logiciel attend l'introduction d'une valeur par le clavier 49, ce "TID" initial remplaçant en fait le "TID nouveau". La constante utilisée pour détecter le bloc enfichable dans la machine d'affranchissement ou dans l'équipement de bureau de poste, peut maintenant être écrite dans la mémoire du bloc enfichable. La mise à jour de crédit AC requise est maintenant introduite par le clavier 49, et combinée au nouveau code TID qui vient d'être formé. et au code de Bureau de Poste précédemment introduit, pour mettre en oeuvre l'algorithme de cryptage 48. Enfin, le code TID et AC cryptés sont codés pour vérifier les erreurs en 50, avant d'être trans- férées dans la mémoire 36 du bloc enfichable, puis le transfert est vérifié. La fin de l'opération est indiquée sur l'affichage. En cas de défaut de mise en place du bloc enfi- chable, le code TID courant (pouvant être calculé à partir des enregistrements de Bureau de Poste du code TID ancien) peut être introduit dans un bloc enfichable de remplacement comme s'il était nouveau, c'est-à-dire traité en "TID Initial". On remarquera que la mémoire non volatile du bloc enfichable peut se presenter sous le forme d'une micro- plaquette noyée munie d'un ensemble correspondant de connexions accessibles, et que le bottier peut se présenter sous la forme d'une carte plastique. Z580842 R E V E N D I CATIONS S 1 ) Système de transport d'information comprenant une première et une seconde station, ainsi qu'un bloc trans- portable, système caractérisé en ce que le bloc transpor- table (18) comporte un circuit électronique (3) comprenant une mémoire non volatile destinée à stocker un code de transaction et d'autres informations destinées à être transmises entre la premiere et la seconde station, en ce que la première station reçoit le bloc (18) avec une première valeur de code de transaction, vérifie la premiere valeur de code de transaction par comparaison avec une valeur de code de transaction enregistrée par la première station, pour produire et enregistrer une seconde valeur de code de transaction et en ce que la seconde station reçoit le bloc (18) revenant de la première station avec la première valeur de code de transaction, produit indé- pendamment la seconde valeur de code de transaction et inscrit la seconde valeur de code de transaction dans la mémoire du bloc (18). 2 ) Système de transport d'information selon la revendication 1, caractérisé en outre en ce que la première et seconde station comprennent des registres à décalage d'alimentation linéaire servant à produire les secondes valeurs de code de transaction. 30) Système de transport d'information selon l'une quelconque des revendications 1 et 2, caractérisé en outre en ce que l'information est inscrite dans la mémoire du bloc (18) sous forme cryptée et se trouve décryptée à la lecture dans la mémoire. 4 ) Système de transport d'information selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu'un signal de parité est ajouté à l'information inscrite dans la mémoire (1) et extrait de l'information lorsque celle-ci est lue dans la mémoire. 5 ) Système de transport d'information selon l'une quelconque des revendications i à 4, caractérisé en ce que la mémoire (1) est constituée par une mémoire à lecture seule programmable pouvant être effacée électri- quement. 6 ) Système de transport d'information selon l'une quelconque des revendications 1 à 5, caractérisé en ce que le bloc (18) est alimenté en puissance par la station dans laquelle il est installé. ) Système de transport d'information selon l'une quelconque des revendications 1 à 6, caractérisé en ce que la puissance d'alimentation d'une station est assurée par une batterie (64) et en ce qu'un commutateur (65) est utilisé pour ne brancher la batterie au bloc que lorsqu'une information est lue ou écrite dans ce bloc.