(57)【特許請求の範囲】
【請求項１】
ボールトサブシステム及び印刷サブシステムを有する郵便料金メータにおいて、各郵便料金取引毎に、郵便料金別納証印を印刷する前に支払いを保証する方法であって、
上記郵便料金取引が有効であることを認証する段階と、
上記ボールトサブシステムの内部で支払いを遂行する段階と、
暗号化された支払い済証明書を上記ボールトサブシステムから上記印刷サブシステムへ送る段階と、
上記印刷サブシステムにおいて上記暗号化された支払い済証明書を独自に再作成する段階と、
上記暗号化された支払い済証明書と、上記再作成された暗号化された支払い済証明書とを比較し、それらの間に所定の関係が存在するか否かを確かめる段階と、
上記所定の関係が存在することが決定された場合に限って上記郵便料金別納証印の印刷を開始する段階と、
を備えていることを特徴とする方法。
【請求項２】
上記暗号化された支払い済証明書は、上記郵便料金取引に関連する郵便料金値に暗号化アルゴリズムを適用することによって作成される請求項１に記載の方法。
【請求項３】
ボールトサブシステム及び印刷サブシステムを有する郵便料金メータにおいて、郵便料金別納証印を印刷する前に支払いを保証する方法であって、
上記ボールト及び印刷両サブシステムにおいて別々に相互セッションキーを生成する段階と、
上記ボールト及び印刷両サブシステムにおいて生成された上記相互セッションキーを使用して上記ボールトサブシステムを認証する段階と、
上記ボールト及び印刷両サブシステムにおいて生成された上記相互セッションキーを使用して上記印刷サブシステムを認証する段階と、
上記ボールトサブシステムの内部で支払いを遂行する段階と、
暗号化された支払い済証明書を上記ボールトサブシステムから上記印刷サブシステムへ送る段階と、
上記印刷サブシステムにおいて上記暗号化された支払い済証明書を独自に再作成する段階と、
上記暗号化された支払い済証明書と、上記再作成された暗号化された支払い済証明書とを比較し、それらの間に所定の関係が存在するか否かを確かめる段階と、
上記所定の関係が存在することが決定された場合に限って上記郵便料金別納証印の印刷を開始する段階と、
を備えていることを特徴とする方法。
【請求項４】
上記暗号化された支払い済証明書は、上記郵便料金取引に関連する可変データ片に暗号化アルゴリズムを適用することによって作成される請求項３に記載の方法。
【請求項５】
上記ボールトサブシステムと上記印刷サブシステムとの間に上記相互セッションキーを伝送することなく、上記ボールトサブシステム及び印刷サブシステムを認証する段階をも備えている請求項３に記載の方法。
【請求項６】
上記ボールトサブシステム及び印刷サブシステム内の複数の認証キーの共通する１つを別々に選択する段階と、上記ボールトサブシステム及び印刷サブシステムの各々の内部で選択された上記複数の認証キーの共通する１つをそれぞれ使用して上記ボールトサブシステム及び印刷サブシステム内で相互セッションキーを生成する段階とを更に備えている請求項５に記載の方法。
【請求項７】
上記ボールトサブシステム及び印刷サブシステムの内部での上記相互セッションキーの生成は、上記ボールトサブシステムと上記印刷サブシステムとの間に上記複数の認証キーの共通する１つを伝送することなく達成される請求項６に記載の方法。
【請求項８】
ある数をランダムに選択する段階と、上記ボールトサブシステム及び印刷サブシステムの各々の内部で、上記ランダムに選択された数に変換関数を適用して認証キー指標を生成する段階と、上記ボールトサブシステム及び印刷サブシステムの各々の内部で、上記認証キー指標を使用して上記複数の認証キーの共通する１つを選択する段階とを更に備えている請求項７に記載の方法。
【請求項９】
上記相互セッションキーは、上記複数の認証キーの共通する１つと、上記各郵便料金別納証印の印刷と共に変化する第１のデータ要素とに暗号化アルゴリズムを適用することによって、上記ボールトサブシステム及び印刷サブシステムの内部で生成される請求項８に記載の方法。
【請求項１０】
印刷サブシステムと、
その内部で支払いを遂行し、暗号化された支払い済証明書を上記印刷サブシステムへ送る手段を有するボールトサブシステムと、
各郵便料金取引が有効であることを認証する手段と、
を備え、
上記印刷サブシステムは、上記印刷サブシステムの内部で上記暗号化された支払い済証明書を独自に再作成し、上記暗号化された支払い済証明書と上記再作成された暗号化された支払い済証明書とを比較し、それらの間に所定の関係が存在するか否かを確かめ、上記所定の関係が存在することが決定された場合に限って上記郵便料金別納証印の印刷を開始する、
ことを特徴とする郵便料金メータ。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、分布郵便料金メータシステムにおける印刷の動作を安全に許可する方法及び装置に関し、より詳しくは、証印を印刷する前に郵便料金メータにおける郵便料金の支払いを（借方に記入する）保証する方法及び装置に関する。
【０００２】
【従来の技術】
古典的な郵便料金メータは、郵便料金が支払われたことの証明として、郵便物の上に証印を印刷していた。これらの古典的な郵便料金メータは、郵便物に接触して証印をその上に印刷するように移動するプラテンまたは回転ドラムを使用して証印を作成する。これらの古典的な郵便料金メータは長期にわたって十分に動作してきたが、もし証印画像を大きく変化させようとすれば、新しいプラテンまたは回転ドラムを作成して各メータ内に配置しなければならないという限界があった。従って、より新しい郵便料金メータは、近代的なディジタル印刷技術の長所を取り入れて、これらの古典的なメータの欠点を打破している。ディジタル印刷技術の長所は、ディジタルプリントヘッドがソフトウェアによって駆動されるために、証印画像を変更するために必要なことは、新しいソフトウェアに変えるだけでよいことである。従って、証印画像を変更する、またはカストマイズされた公告スローガンを付加する際の柔軟性が大幅に増す。
【０００３】
近代的なディジタル印刷技術は、熱インクジェット（バブルジェット（登録商標））、圧電インクジェット、感熱印刷技術、及びＬＥＤ及びレーザゼログラフィック印刷を含み、これらは全てドットマトリクス印刷によって画像を発生させるように動作する。ドットマトリクスインクジェット印刷では、プリントヘッド内の個々の印刷要素（例えば、抵抗または圧電要素）が、インクの小滴をインク溜めから下地に向けて発射させるように電子的に刺激されるか、または発射させないように電子的に刺激されないかの何れかである。従って、個々の各印刷要素の付勢のタイミングを、プリントヘッドと郵便物との相対運動と共に制御することによって、所望の証印のドットマトリクスパターンが目で見える形状で発生する。
ディジタル印刷技術は上述した長所を提供するだけではなく、ディジタルプリントヘッドの大きさが極めて小さいために、メータの大きさ及び重量も劇的に減少させる。更に、エレクトロニクスアーキテクチャの観点から、現在ではメータ全体はそのいろいろな機能を、ボールト( vault ) サブシステム及びプリンタサブシステムのような多くのサブシステムの間に分割した分布システムにされている。各サブシステムは互いに連絡することもできるが、情報の並行処理を可能にし、また動作効率を向上させることができるように独立した処理能力も有している。しかしながら、上述した分布システムの弱点は、物理的に保護されていないデータラインを使用してデータを転送する場合、盗聴及び例えば論理アナライザを使用する分析を受け易いことである。もしこのような盗聴及び分析が発生すれば、データ信号は再現できることになる。郵便料金メータの場合には、典型的にはボールトは、プリンタが証印の印刷を開始する前に郵便料金取引を計算する。従って、もしボールト印刷命令信号を再現することができれば、そのための計算を行わずに証印を生成できるようになり、郵政当局の収益が減少することになりかねない。
【０００４】
【発明の概要】
本発明の目的は、支払いが行われたことを認証した場合に限って郵便料金メータ内での印刷動作を安全に許可する方法及び装置を提供することである。
この目的は、ボールトサブシステム及び印刷サブシステムを有する郵便料金メータにおいて、各郵便料金取引毎に、郵便料金別納証印を印刷する前に支払いを保証する方法によって達成され、この方法は、郵便料金取引が有効であることを認証する段階と、ボールトサブシステムの内部で支払いを遂行する段階と、ボールトサブシステムから印刷サブシステムへ暗号化支払い済証明書を送る段階と、暗号化支払い済証明書を印刷サブシステムの内部で独自に再作成する段階と、暗号化支払い済証明書と再作成された暗号化支払い済証明書とを比較してそれらの間に所定の関係が存在するか否かを確かめる段階と、所定の関係が存在することが決定された場合に限って郵便料金別納証印の印刷を開始する段階とを含んでいる。
【０００５】
上述した目的を達成する郵便料金メータは、印刷サブシステムと、ボールトサブシステムとを含む。上記ボールトサブシステムは、ボールトサブシステムの内部で支払いを遂行してボールトサブシステムから印刷サブシステムへ暗号化された支払い済証明書を送る構造を有している。上記郵便料金メータは、各郵便料金取引が有効であることを認証する構造をも含んでいる。上記郵便料金メータは更に、印刷サブシステムの内部において暗号化された支払い済証明書を独自に再作成し、暗号化支払い済証明書と再作成された暗号化支払い済証明書とを比較してそれらの間に所定の関係が存在するか否かを確かめ、所定の関係が存在することが決定された場合に限って郵便料金別納証印の印刷を開始する手段をも含んでいる。
【０００６】
以下に添付図面を参照して本発明の現在では好ましい実施例を説明するが、この実施例は本発明の原理を理解するのに役立つであろう。
【０００７】
【実施例】
図１は、本発明のプロセスを実現した郵便料金メータ１をブロック線図で示すものである。郵便料金メータ１は、ベース３及びプリントヘッドモジュール５を含む。ベース３は、ボールトマイクロプロセッサ７と呼ぶ第１の機能サブシステムと、ベースマイクロプロセッサ９と呼ぶ第２の機能サブシステムとを含んでいる。ボールトマイクロプロセッサ７は、郵便料金メータ１の勘定機能を遂行するソフトウェア及び関連メモリを有している。即ち、ボールトマイクロプロセッサ７は、普通の手法で所定の金額の郵便料金資金をその中へダウンロードする能力を有している。各郵便料金取引中に、ボールトマイクロプロセッサ７は十分な資金が使用可能であるか否かを調べる。もし十分な資金を使用できれば、ボールトマイクロプロセッサ７は減額レジスタからその金額を差し引き、増額レジスタへその金額を加え、そしてベースマイクロプロセッサ９を介して郵便料金金額をプリントヘッドモジュール５へ送る。ベースマイクロプロセッサ９は、ライン６を介して依頼データの日付もプリントヘッドモジュール５へ送るので、完成した証印画像を印刷することができる。
【０００８】
以上のように、ボールトマイクロプロセッサ７は、使用した郵便料金資金の累計金額を増額レジスタを用いて表し、現在使用できる資金の金額を減額レジスタを用いて表し、そして制御合計( control sum ) レジスタがボールトマイクロプロセッサ７に掛け売りされた資金のランニング合計金額を示すようにして、郵便料金資金を管理する。ボールトマイクロプロセッサ７の（含ませることが可能な）付加的な特色は、片カウンタレジスタ、販売者トークン及び郵便トークンを生成する暗号化アルゴリズム、及びユーザに個人識別番号ＰＩＮ（郵便料金取引のための何等かのボールト機能を許可する前に、ボールトマイクロプロセッサ７によって認証されなければならない）を入力することを要求するソフトウェアである。代替として、ベースマイクロプロセッサ９または印刷モジュールマイクロプロセッサ４１（後述）の何れかによって、ＰＩＮを認証することができる。
【０００９】
ベースマイクロプロセッサ９は交通巡査のように動作し、ボールトマイクロプロセッサ７とプリントヘッドモジュール５との間のデータライン１０に沿う情報の転送を調整して援助し、またメータリング機能を完了させるのに必要ないろいろな支援機能を調整する。ベースマイクロプロセッサ９はキーボード１１と対話し、キーボードキー１１ａを通してユーザ情報入力（例えば郵便料金金額または依頼の日付）をボールトマイクロプロセッサ７へ転送する。更に、ベースマイクロプロセッサ９は、ドライバ／コントローラ１５を介してデータを液晶表示装置１３へ送ってユーザ入力を表示させるか、またはユーザに別の入力を催促する。更に、ベースマイクロプロセッサ９は、ライン１７、１９を介してボールトマイクロプロセッサ７へ電力及びリセット信号をそれぞれ供給する。クロック２０は、日付及び時刻情報をベースマイクロプロセッサ９へ供給する。代替として、クロック２０は使用しないことができ、クロック機能はベースマイクロプロセッサ９によって達成することができる。ベースマイクロプロセッサ９は、クロック信号をボールトマイクロプロセッサ７へも供給する。
【００１０】
郵便料金メータ１は、壁取付け式変圧器２３からの生の交流電圧を変換し、郵便料金メータ１に必要な安定化及び非安定化直流電圧を供給する普通の電源２１をも含む。これらの電圧はライン２５、２７、及び２９を介してプリントヘッド電動機３１、プリントヘッド３３、及び全ての論理回路へ出力される。電動機３１は、証印画像が印刷される郵便物に対するプリントヘッド３３の運動を制御するのに使用される。ベースマイクロプロセッサ９は、電動機３１への電力供給を制御し、ボールトマイクロプロセッサ７が郵便料金取引を許可した後のプリントヘッド３３の運動を適切に開始及び停止させる。
ベース３は、運動エンコーダ３５をも含み、エンコーダ３５はプリントヘッド電動機３１の運動を感知し、プリントヘッド３３の正確な位置を決定することができる。運動エンコーダ３５からの信号はプリントヘッドモジュール５へ送られ、プリントヘッド３３内の個々のプリントヘッド要素３３ａの付勢を、プリントヘッド３３の位置決めと共に調整する。代替として、運動エンコーダ３５を使用しないことができ、ステッパ電動機３１に印加されるパルスを計数してプリントヘッド３３の位置を決定し、プリントヘッド要素３３ａの付勢を調整することができる。１つの電動機３１だけを図示したが、ベースマイクロプロセッサ９は、プリントヘッド３３を第２の方向に運動させる電動機、及びクランピング機構（図示してない）を郵便物に係合させるように運動させる電動機のような他のいろいろな電動機を制御することができる。
【００１１】
プリントヘッドモジュール５は、プリントヘッド３３、プリントヘッドドライバ３７、描画エンジン３９（マイクロプロセッサであることも、または応用特定集積回路（ＡＳＩＣ）であることもできる）、マイクロプロセッサ４１、及び非揮発性メモリ（ＮＶＭ）４３を含む。ＮＶＭ  ４３はその中に、郵便物上に印刷することができる証印画像データを格納している。マイクロプロセッサ４１は、ベースマイクロプロセッサ９を介して印刷命令、郵便料金金額、及び依頼日付を受ける。郵便料金金額及び依頼日付はマイクロプロセッサ４１から描画エンジン３９へ送られ、描画エンジン３９はＮＶＭ  ４３へアクセスして所要の証印画像データを入手し、レジスタ４４乃至４４ｎ内に格納する。格納された画像データは描画エンジン３９によって、列バッファ４５、４７を介して列毎にプリントヘッドドライバ３７へダウンロードされ、個々のプリントヘッド要素３３ａを付勢して証印画像を郵便物上に印刷する。証印画像の個々の列毎の生成は、全証印が発生するまでプリントヘッド３３の運動と同期される。証印画像の生成の詳細に関しては 1997 年７月22日発行の米国特許第5,651,103号を参照されたい。
【００１２】
図２に、米国内で使用するために郵便料金メータ１によって印刷することができる典型的な郵便料金別納証印の例を拡大して示す。郵便料金別納証印５１は、左上隅の３つ星と、文字“ UNITED STATES POSTAGE " と、鷲の画像とを含む図形画像５３、証印識別番号５５、依頼の日付５７、発信郵便番号（ジップコード）５９、簡略化のために語 “ SPECIMEN SPECIMEN "で示してある「郵便番号・・・から郵送された」という語６１、郵便料金金額６３、片カウント６５、検査ディジット数６７、販売者識別番号６９、販売者トークン７１、郵便トークン７３、及びマルチパス検査ディジット７５を含んでいる。証印画像５１の殆どの部分は文字通りであるが、若干の部分を簡単に説明すると、販売者識別番号はそのメータを製造したのは誰かを識別するものであり、販売者トークン及び郵便トークンはそれぞれ製造者及び郵便局が使用して有効証印が発生したか否かを認証するためのものである。
【００１３】
図２の証印は単なる代表例であり、その中に含ませる情報は国によって異なるであろう。この応用に関する限りにおいては、証印及び証印画像という語は、如何なる国の如何なる特定要求をも含むものとする。
上述した分布郵便料金メータの利点は、機能性を分割してあるために高価なマイクロプロセッサを少なくすることができ、そのために郵便料金メータの価格を低くできることである。更に、システムがモジュールで構成されているので、ボールトモジュール及び印刷モジュールの何れかが故障した場合に、これらのモジュールを交換することは容易である。しかしながら前述したように、データが物理的に保護されていないデータライン（例えば、データライン１０、６）を通して転送するような分布ディジタルシステムを使用した場合、システムはそのデータが盗聴され、再現され易い。もしこのような盗聴及び再現が行われれば、必要な勘定を行わずに印刷モジュール５を駆動して証印画像を印刷することが可能になる。
【００１４】
上述した安全保護問題を解消するために、ボールトマイクロプロセッサ７と印刷モジュールマイクロプロセッサ４１との間に安全保護電子リンクが設けられている。安全保護電子リンクは、証印画像の印刷の許可及び郵便料金の支払の前にプリントヘッドモジュール５とボールトマイクロプロセッサ７との間に相互認証を与え、ＰＩＮ位置及び勘定番号のような若干のボールトデータ領域を更新する暗号化プロセスによって達成される。本発明の暗号化プロセスは、データ盗聴及び再現の可能性を大幅に減少させる。好ましい実施例では、ベースマイクロプロセス９は、ボールトマイクロプロセッサ７と印刷モジュールマイクロプロセッサ４１との間の安全保護されていない通信チャネルとして働く。しかしながら、上述した、そして以下に詳細に説明する安全保護リンクは、郵便料金メータ１内のどのサブシステム間にも適用することができる。
【００１５】
本発明の方法を図３を参照して説明する。段階Ｓ１において、操作者は郵便料金取引のためにキーボード１１から所望の郵便料金金額を入力する。郵便物を郵便料金メータ内に挿入して所定の場所に固定すると、ベースマイクロプロセッサ９は信号をボールトマイクロプロセッサ７及び印刷モジュールマイクロプロセッサ４１へ送ってセッションキー（ＳＫ）を確立するように要求する（段階Ｓ２）。セッションキーを確立するために、ボールトマイクロプロセッサ７及び印刷モジュールマイクロプロセッサ４１はそれぞれ、メモリ内に同一セットの“Ｍ”認証キー（ＡＫ）を格納しており、各認証キーはそれに関連付けられた特定の指標（１−Ｍ）を有している。更に印刷モジュールマイクロプロセッサ４１は、１組の数“０−Ｎ”をも格納しており、これらの数は認証キーの特定の１つを選択するのに使用される。即ち、印刷モジュールマイクロプロセッサ４１は、各郵便料金取引毎に数“０−Ｎ”の組の１つを、順番に、またはランダムにの何れかで選択するようにプログラムされている（段階Ｓ３）。例えば、数“Ｎ”が選択されたものとすれば、印刷モジュールマイクロプロセッサ４１は１−Ｍの範囲内の指標を作成する普通の変換関数を使用して、特定の認証キー指標ＡＫＩを決定する（段階Ｓ４）。認証キーＡＫ１−ＡＫＭは、ボールトマイクロプロセッサ７及び印刷モジュールマイクロプロセッサ４１の両者のルックアップテーブル内に格納されているから、指標ＡＫＩは例えばＡＫ１のような特定のキーに関連付けることができる（段階Ｓ５）。重要なことは、数０−Ｎの組をキーの数１−Ｍに比して遙かに大きくできることである。このように、大きい数の組０−Ｎを使用し、これらの数の１つをランダムに選択するという組合わせでキー指標を決定するので、安全性が増加する。
【００１６】
印刷モジュールマイクロプロセッサ４１が数０−Ｎの１つを選択すると、その数は第１のデータ片ＶＤ１（各郵便料金取引と共に変化し、印刷モジュールマイクロプロセッサ４１のレジスタ７７内に格納されている）と共にボールトマイクロプロセッサ７へ送られる（段階Ｓ６）。印刷モジュールマイクロプロセッサ４１が使用したものと同一の認証キールックアップテーブル及びＡＫＩ変換関数を格納しているボールトマイクロプロセッサ７は、第１のデータ片ＶＤ１を受信すると、選択された数０−Ｎを独自に使用してＡＫＩを生成し、印刷モジュールマイクロプロセッサ４１が使用した同一の認証キーＡＫを識別する（段階Ｓ７）。ボールトマイクロプロセッサ７はレジスタ７９をも有しており、その内容ＶＤ２は各郵便料金取引毎に可変であって、セッションキーＳＫを作成するために認証キーＡＫと共に使用される（段階Ｓ８）。即ち、普通の暗号化アルゴリズムをＶＤ２及び認証キーに適用してセッションキーを発生させる。即ち、
ＳＫ＝暗号化（ＶＤ２，ＡＫ）。
【００１７】
セッションキーを決定したボールトマイクロプロセッサ７は、第１の認証証明書（ＡＵＣ１）を以下のようにして生成する（段階Ｓ９）。即ち、
ＡＵＣ１＝暗号化（ＶＤ１，ＳＫ）、
第１の認証証明書の生成に続いて、ボールトマイクロプロセッサ７は第１の認証証明書及びＶＤ２の全て、または一部を印刷モジュールマイクロプロセッサ４１へ送る（段階Ｓ１０）。即ち、もしＡＵＣＩが、例えば８バイトのデータであれば、それ全体を送ることも、またはそれに打切りアルゴリズムを適用してＡＵＣ１の所定数のバイトだけを送ることもできる。ＡＵＣ１を受信した印刷モジュールマイクロプロセッサ４１は、ボールトマイクロプロセッサ７と同一の手法でＳＫを独自に決定する（段階Ｓ１１）。これは、印刷モジュールマイクロプロセッサ４１がＤＥＳアルゴリズムを格納しており、それ自体でＡＫを生成しており、そしてボールトマイクロプロセッサ７からのＶＤ２を有しているから可能なのである。
【００１８】
ＳＫの生成に続いて印刷モジュールマイクロプロセッサ４１は、第２の認証証明書ＡＵＣ２を生成する。即ち、
ＡＵＣ２＝暗号化（ＶＤ１，ＳＫ）、
これはＡＵＣ１と同一であるべきである（段階Ｓ１２）。印刷モジュールマイクロプロセッサ４１がＡＵＣ１とＡＵＣ２とを比較し、それらが同一でない場合には、印刷モジュールマイクロプロセッサ４１は郵便料金取引の取消しを開始する（段階Ｓ１４）。これに対して、もしＡＵＣ１とＡＵＣ２とが同一であれば、印刷モジュールマイクロプロセッサ４１は、ボールトマイクロプロセッサ７が有効なボールトであることを認証したのである。もしＡＵＣ１の打切られた一部がボールトマイクロプロセッサ７から印刷モジュールマイクロプロセッサ４１へ送られていれば、印刷モジュールマイクロプロセッサ４１は、比較段階の前に同一打切りアルゴリズムをＡＵＣ２に適用しなければならないことに注意されたい。
【００１９】
ボールトマイクロプロセッサ７の認証に続いて、印刷モジュールマイクロプロセッサ４１は、以下のようにして第１の暗号化データ証明書“ＣＤ１”を生成する。即ち、
ＣＤ１＝暗号化（ＶＤ３，ＳＫ）、
ここにＶＤ３は、片カウントまたは依頼の日付のような郵便料金メータ１内の可変データ片を表し、このデータはボールトマイクロプロセッサ７及び印刷モジュールマイクロプロセッサ４１の両者に使用可能にされている（段階Ｓ１５）。ＣＤ１が生成されると、それは全体で、または部分的に（ＡＵＣ１、ＡＫＵＣ２に関して説明したように）ボールトマイクロプロセッサ７へ送られる（段階Ｓ１６）。ボールトマイクロプロセッサ７は、ＶＤ３とボールトマイクロプロセッサ７が生成したセッションキーとに暗号化アルゴリズムを適用することによって、それ自体の暗号化されたデータの証明書“ＣＤ２”を生成する（段階Ｓ１７）。次いでボールトマイクロプロセッサ７はＣＤ１とＣＤ２とを比較し（段階Ｓ１８）、もしそれらが一致しなければボールトマイクロプロセッサ７は郵便料金取引の取消しを開始する（段階Ｓ１９）。ＣＤ１とＣＤ２とが同一である場合には、ボールトマイクロプロセッサ７が印刷モジュールマイクロプロセッサ４１を認証したのであり、ボールトマイクロプロセッサ７と印刷モジュールマイクロプロセッサ４１との間の相互認証が完了する。
【００２０】
相互認証に続いて、ボールトマイクロプロセッサ７において支払いが開始される（段階Ｓ２０）。この支払い手順及びその検証を図４に示す。段階Ｓ２１において、ボールトマイクロプロセッサ７はレジスタが正確であるか否かを、即ち（制御合計レジスタ“ＣＲ”−増額レジスタ“ＡＲ”＝減額レジスタ“ＤＲ”）かどうかを決定する。もしＮＯであればデータが一致しないのであるから、取引は拒絶される（段階Ｓ２２）。もしＹＥＳであればボールトマイクロプロセッサ７は、要求された郵便料金値“ＰＶ”がＤＲよりも少ないか、または等しいか否かを決定する（段階Ｓ２３）。もし答がＮＯであれば十分な資金が欠如しているのであるから、取引は拒絶される（段階Ｓ２４）。もし答がＹＥＳであればボールトマイクロプロセッサ７は、新しい増額レジスタ値ＡＲ’＝ＡＲ＋ＰＶを計算し（段階Ｓ２５）、新しい減額レジスタ値ＤＲ’＝ＤＲ−ＰＶを計算し（段階Ｓ２６）、そして新しい制御合計ＣＳ’＝ＡＲ’＋ＤＲ’を計算する（段階Ｓ２７）。
【００２１】
上述した勘定が完了するとボールトマイクロプロセッサ７は、以下のようにして第１の「カード支払い済証明書」“ＣＤＣ１”を生成する（段階Ｓ２８）。即ち、
ＣＤＣ１＝暗号化（Ｒ’，ＳＫ）、
ここにＲ’は、郵便料金値または依頼の日付のような可変データ片の関数として決定される。次いでＣＤＣ１は、全体が、または打切られた形状でボールトマイクロプロセッサ７から印刷モジュールマイクロプロセッサ４１へ送られる（段階Ｓ２９）。印刷モジュールマイクロプロセッサ４１は、ボールトマイクロプロセッサ７がＣＤＣ１を生成したのと同じ手法で（但し、印刷モジュールマイクロプロセッサ４１は、それが生成したセッションキーを使用する）、第２の「カード支払い済証明書」“ＣＤＣ２”を生成する（段階Ｓ３０）。印刷モジュールマイクロプロセッサ４１は、ＣＤＣ１とＣＤＣ２とを比較する（段階Ｓ３１）。もしＣＤＣ１とＣＤＣ２とが同一でなければ、取引は取消される（段階Ｓ３２）。敷かしながら、もし両者が同一であれば、印刷モジュールマイクロプロセッサ４１は適切な支払いが行われたことを検証したのである。そこでボールトマイクロプロセッサ７は、明文で販売者トークン及び郵便トークンを印刷モジュールマイクロプロセッサ４１へ送り（段階Ｓ３３）、印刷モジュールマイクロプロセッサ４１はそれらのトークンを含む証印画像の印刷を開始する（段階Ｓ３４）。
【００２２】
上述したプロセスは、サブシステム間で伝送される全てのデータが各郵便料金毎に可変であるので、サブシステム間に極めて安全な電子リンクが提供される。これは、必ずしも使用しなければならないことはないが、転送されるデータを予測し難くするので安全性を増大させる。可変データ（ＶＤ１、ＶＤ２、ＶＤ３）を使用することによって、各郵便料金取引毎の暗号化された値（ＳＫ、ＡＵＣ１、ＡＵＣ２、ＣＤ１、ＣＤ２）の独自性が保証される。更に、全相互認証手順を開始させ、ＡＵＣ１、ＡＵＣ２、ＣＤ１、ＣＤ２を生成するのに必要なセッションキーが個々のサブシステム間に伝送されることはなく、それによってサブシステムの間のセッションキーの安全な知識が保証される。更に、もし何れかの、または全ての生成する証明書に関連して打切りアルゴリズムを使用すれば、郵便料金取引を完了させるためには打切りアルゴリズムを知っていなければならないから、安全性はさらに強調されるようになる。最後に、「カード支払い済証明書」は、印刷の前に支払いが適正に行われたことを保証する。
【図面の簡単な説明】
【図１】本発明を組み込んだ郵便料金メータの概要図である。
【図２】本発明の装置によって発生される証印である。
【図３】本発明の方法の流れ図である。
【図４】支払い手順及びその検証を示す流れ図である。
【符号の説明】
１  郵便料金メータ
３  ベース
５  プリントヘッドモジュール
７  ボールトマイクロプロセッサ
９  ベースマイクロプロセッサ
１１  キーボード
１３  液晶表示装置
１５  ドライバ／コントローラ
２０  クロック
２１  電源
２３  変圧器
３１  プリントヘッド電動機
３３  プリントヘッド
３５  運動エンコーダ
３７  プリントヘッドドライバ
３９  描画エンジン
４１  印刷モジュールマイクロプロセッサ
４３  非揮発性メモリ
５１  郵便料金別納証印
５３  図形画像
５５  証印識別番号
５７  依頼日付
５９  発信郵便番号
６１  発信地
６３  郵便料金金額
６５  片カウント
６７  検査ディジット数
６９  販売者識別番号
７１  販売者トークン
７３  郵便トークン
７５  マルチパス検査ディジット
７７、７９  レジスタ
【図１】
0003988841.tif 000002
【図２】
0003988841.tif 000003
【図３】
0003988841.tif 000004
【図４】
0003988841.tif 000005