FR 2685113 A1 19930618 FR 9115659 A 19911217 PROCEDE D'INTERVENTION SUR UNE BORNE DE DELIVRANCE D'UN BIEN OU D'UN SERVICE L'invention a pour objet un procédé d'intervention sur une borne de délivrance d'un bien ou d'un service. Dans un exemple préféré, la borne est un parcmètre ou un horodateur, Elle peut cependant être tout distributeur automatique de biens ou de services. Les bornes concernées par l'invention comportent au moins un dispositif de paiement par carte, magnétique ou à puce, et, dans certain cas, un dispositif mixte de paiement par carte et de paiement direct en argent liquide, monnaies ou billets. Le paiement par carte est soit un décompte d'unités prépayées et enregistrées dans une mémoire de la carte, dans ce cas la carte est une carte à puce avec au moins une mémoire. Soit le paiement est un paiement par prélèvement sur un compte en banque. Dans ce dernier cas la carte est une carte de type bancaire, magnétique ou à puce. Les problèmes rencontrés avec ce type d'appareil à paiement mixte concernent la surveillance des agents qui interviennent régulièrement sur les bornes, par exemple pour en retirer l'argent liquide injecté par les utilisateurs. En effet, les paiement sont faits par les usagers plus ou moins en argent liquide. La borne délivre donc normalement trois types de soldes dans trois compteurs. Un premier type de solde dans un premier compteur mesure la quantité de services délivrés, un second type de solde dans un deuxième compteur représente les paiements par carte (monnaie dite électronique), et le troisième type de solde dans un troisième compteur, quand il est présent, indique la somme en liquide que l'agent doit ramasser, et bien entendu remettre aux autorités qui gèrent la borne. Le total des deux derniers compteurs doit être égal au total du premier compteur.On soupçonne que des agents indélicats vont être amenés à trafiquer le deuxième compteur, de façon à augmenter sa valeur, afin de garder pour eux-mêmes l'argent liquide correspondant à la différence créée. On craint aussi par ailleurs que d'autres intervenants ne tirent parti de la complexité d'un tel système pour voler des autorités qui gèrent un grand parc de bornes. En effet, dans une grande ville, on peut admettre qu'il y ait plusieurs milliers de bornes d'un tel type, même pour ne délivrer qu'un seul bien: par exemple des tickets de stationnement. Ces bornes sont sujettes à tomber en panne ou à recevoir un entretien préventif. Une entreprise étrangère à ces autorités de gestion peut donc être chargée de ces opérations. Cette entreprise peut faire des rapports d'intervention dans lesquels des opération coûteuses ont été déclarés, par exemple changement d'une imprimante qui imprime les tickets de stationnement, alors qu'il n'en a rien été. Dans l'invention on résout ces problèmes de fraude en demandant aux intervenants d'introduire un support sécurisé d'intervention du type et de format carte à puce dans un lecteur de la borne, par exemple le lecteur de carte de la borne. Cette borne comporte donc nécessairement un lecteur de carte à puce. Le support sécurisé comporte donc une extremité au format carte à puce. Cette extremité est celle introduite dans le lecteur de carte à puce. Le support sécurisé est alors reconnu comme une carte à puce d'intervention par la borne. Cette reconnaissance peut être provoquée par l'intervenant qui agit par ailleurs sur des boutons de commande de la borne.Cette reconnaissance peut aussi être automatique, dès l'introduction du support sécurisé, à l'initiative de la borne ou d'un microprocesseur contenu dans le support sécurisé d'intervention. Ces vérifications d'un type connu amènent naturellement un déverrouillage d'un verrou logique ou d'un verrou physique du type porte d'accès dans la borne pour que l'intervenant puisse y faire ce qu'il a à y faire. Dans l'invention, après la reconnaissance, et avant le déverrouillage on injecte dans le support sécurisé de l'intervenant des informations relatives à l'état de la borne, notamment les valeurs de soldes quand il s'agit de relevés habituels, ou notamment les valeurs de registres d'états représentant les états de fonctionnement des différents organes de cette borne quand il s'agit d'intervention d'entretien. Au moment de la reconnaissance, un protocole de reconnaissance peut même d'une manière connue déterminer quel type d'intervention va être engagée, ne transférer que les informations qui sont sensibles eu égard à cette intervention, et bien entendu n'ouvrir que la porte de la borne qui correspond à cette intervention. l'invention a donc pour objet un procédé d'intervention sur une borne de délivrance d'un service comportant - l'introduction d'un support sécurisé au format carte à puce dans la borne, ce support sécurisé comportant une mémoire, un microprocesseur microprogramme, et des moyens d'échange d'informations avec la borne - l'autorisation de l'intervention par comparaison d'un code secret relatif à la borne avec un code secret relatif au support, et - une action physique d'intervention sur la borne, caractérisé en ce qu'il comporte - une étape, ultérieure à l'introduction du support sécurisé et antérieure à l'action physique d'intervention, au cours de laquelle la borne transfère dans une mémoire de relèvement du support sécurisé des informations relatives à l'état de cette borne avant l'intervention. l'invention sera mieux comprise à la lecture de la description qui suit et à l'examen des figures qui l'accompagnent. Celles ci ne sont données qu'à titre indicatif et nullement limitatif de l'invention. Les figures montrent: - figure 1: une représentation dlun dispositif utile pour mettre en oeuvre l'invention; - figure 2: un organigramme des opérations de l'invention. La figure 1 montre un dispositif utile pour mettre en oeuvre l'invention. I1 comporte une borne 1 munie d'un lecteur 2 de carte à puce, et, dans certains cas, d'une fente 3 ou d'un dispositif similaire pour introduire de l'argent liquide dans la borne. La borne comporte également un certain nombre de boutons de commandes tels que 4 pour choisir un bien ou un service parmi plusieurs ou pour annuler l'opération. La borne est donc en relation avec un distributeur de ces biens ou services. Ici, dans une application de paiement de place de stationnement, la borne délivre un ticket 5 de stationnement correspondant à une durée choisie par un utilisateur. Celui-ci place ce ticket en évidence derrière le pare brise de son véhicule, pour que des surveillants puissent vérifier que le véhicule est autorisé à stationner. Lors d'interventions sur la borne, des intervenants introduisent dans un lecteur de carte à puce de la borne, par exemple le lecteur 2, un support sécurisé d'intervention 6 possèdant une extremité du format carte à puce. Ce support sécurisé 6 comporte un microprocesseur 7 en relation avec une mémoire programmée 8, avec une mémoire de données 11, et avec des plots de contact tels que 12 nécessaires pour entrer en relation avec le lecteur 2. Dans certains cas les plots sont absents: la mise en relation est réalisée par des ondes électromagnétiques. La mémoire programmée 8 comporte deux programmes. Selon l'organigramme de la figure 2 un premier programme 9 est un programme de reconnaissance, par exemple un programme de réponse à une reconnaissance de type classique. Dans une telle reconnaissance la borne interroge le support.Le support répond en transmettant son identification et ou son code secret, stocké dans une partie 16 de sa mémoire 11. Le microprocesseur 7 peut au besoin chiffrer le code secret du support avant de l'envoyer au lecteur 2. Dans ce cas le lecteur 2 doit être pourvu de moyens de déchiffrement. Un tel programme est par exemple décrit dans une demande de brevet européen EP-A-0 284 133. Un deuxième programme 10 contenu dans la mémoire 8 est plus particulièrement le programme de l'invention: il a pour but de provoquer le transfert des informations contenues dans les compteurs ou les registres d'états de la borne 1 vers la mémoire 11 du support sécurisé du préférence, dès son introduction dans le lecteur 2, le microprocesseur 7 se met en attente de réponse. Dès que le protocole de reconnaissance est terminé, le microprocesseur 7 du support 6 prend la main sur la borne. Cette prise de main est tout simplement réalisée par le fait qu'après la reconnaissance le lecteur 2 se met en attente d'ordre. Le programme 9 de la carte peut par exemple comporter alors à cet effet, in fine, une instruction de temporisation de durée calibrée au bout de laquelle le programme 10 de la carte est déclenché. Sous l'effet des instructions de ce programme 10, le microprocesseur 7 lit alors le contenu des compteurs et ou le contenu de registres d'états de la borne. Puis il enregistre ces informations lues dans la mémoire 1l du support. Quand ces enregistrements sont faits le microprocesseur 7 envoie un ordre au lecteur 2 pour que ce lecteur 2 provoque le déverrouillage d'un verrou logique ou d'un verrou physique qui empêche l'ouverture d'une porte 13 de la borne et donc le déroulement de l'intervention souhaitée. Le programme 10 peut également contenir des instructions de remise à zéro des compteurs ou registres d'état du lecteur 2. Ces instructions sont effectuées avant d'ouvrir la porte. I1 comporte de préférence des instructions pour enregistrer les informations relatives à la borne sous une forme chiffrée dans la mémoire 11. De ce fait ces informations ne sont pas directement compréhensibles par un opérateur qui se contenterait de lire telle quelle la mémoire 11. Le chiffrement est du même type que celui qui est utilisé pour chiffrer le code secret dans le programme 9 avant de l'envoyer. Quand l'intervention est terminée, lorsque la porte de la borne est refermée, la suite du programme 10 peut comporter des instructions visant à enregistrer à nouveau dans la mémoire 11, à des autres endroits que précédemment, les valeurs des registres d'états résultant de l'intervention. Par la suite la carte est éjectée du lecteur 2. Pour simplifier les interventions on peut de préférence faire éxécuter par le microprocesseur 7 toutes les opérations nécessaires. En cas de changement du programme il est alors plus facile de changer les supports 6 que les bornes 1. Pour lire la mémoire 11, au moyen d'un lecteur 14 à la disposition des autorités qui gèrent les bornes 1 et les supports 6, on sollicite dans le support 6 l'exécution d'un troisième programme 15. Dans ce programme 15 le microprocesseur 7 du support 6 vérifie que le lecteur 14 qui l'interroge est un lecteur autorisé. Si c'est le cas le programme 15 comporte des instructions d'écriture dans une mémoire du lecteur 14, au besoin après déchiffrement, des informations enregistrées dans sa mémoire 11. De cette manière les autorités qui gèrent les bornes disposent des rapports exacts sur les opérations menées par les intervenants. REVENDICATIONS 1 - Procédé d'intervention sur une borne (1) de délivrance d'un bien ou d'un service comportant - l'introduction d'un support sécurisé d'intervention au format carte à puce (6) dans la borne, ce support sécurisé comportant une mémoire (11) un microprocesseur (7) microprogrammé (8) et des moyens (12) d'échange d'informations avec la borne - l'autorisation de l'intervention par comparaison d'un code secret relatif à la borne avec un code secret (16) relatif au support et - une action physique d'intervention sur la borne, caractérisé en ce qu'il comporte - une étape, ultérieure à l'introduction du support sécurisé et antérieure à l'action physique d'intervention, au cours de laquelle la borne transfère dans une mémoire de relèvement (11) du support sécurisé des informations relatives à l'état de cette borne avant l'intervention. 2 - Procédé selon la revendication 1, caractérisé en ce que pour lire la mémoire de relèvement après l'intervention, - on place le support sécurisé dans un lecteur (14), - on compose avec un clavier de ce lecteur un code d'accès en lecture, - on compare ce code d'accès à un code d'accès en lecture contenu dans le support sécurisé, et - on autorise la lecture et, éventuellement l'écriture ou l'effacement de la mémoire de relèvement (11) en fonction du résultat de cette comparaison. 3 - Procédé selon l'une quelconque des revendications 1 ou 2, caractérisé en ce qu'on fait exécuter par le microprocesseur (7) microprogrammé (8) du support les opérations de comparaison des codes. 4 - Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce que les opérations d'écriture dans la mémoire de relèvement comportent des opérations de chiffrement ou respectivement de déchiffrement des données mémorisées.