-
GEBIET DER
ERFINDUNG
-
Die
vorliegende Erfindung betrifft allgemein Verkaufsstellensysteme
(Kassensysteme) und insbesondere Journale für solche transaktionsbasierten Geräte. Die
vorliegende Erfindung betrifft ferner Verfahren zur Verwendung von
Kassensystemen.
-
HINTERGRUND
DER ERFINDUNG
-
Einzelhandelstransaktionen
im Geschäft
erfolgen am Zahlschalter bzw. der Kasse. Dort bezahlt der Kunde üblicherweise
bar, mit Scheck oder Geldkarte die gekauften Waren. Zur Durchführung des Verkaufsvorgangs
verwenden zahlreiche Einzelhändler
elektronische Geräte,
um die Transaktionen registrieren. Ein solches Kassensystem kann
aus einem Scanner zum Einlesen codierter Produktdaten, einem Kassenterminal
zur manuellen Eingabe von Transaktionsdaten und zum Aufbewahren
von Geld, einem Bildschirm zum Anzeigen von Transaktionsdaten und
einem Drucker zum Erstellen eines Journals für die Geschäftsunterlagen und einer gedruckten Quittung
für den
Kunden bestehen.
-
Unter
anderem wird während
der Abfertigung normalerweise der Kaufpreis jedes gekauften Einzelpostens
in das Kassenterminal eingegeben. Alle Einzelpreise sowie der Gesamtpreis
werden durch den Kassendrucker als Quittung für den Kunden ausgedruckt und
können
durch denselben Kassendrucker auch als separates Journal ausgedruckt werden.
Außerdem
wird normalerweise eine abzuführende
Steuer ermittelt und auf der Kundenquittung ausgedruckt. Die Kundenquittung
wird dann durch den Drucker dem Kunden ausgehändigt.
-
Bei
einem Kassendrucker mit zwei Druckstationen erstellt die zweite
Druckstation ein Journal über
alle Verkaufstransaktionen. Dadurch steht eine schriftliche Aufzeichnung
zur Überprüfung der
Verkaufsaktivitäten
wie beispielsweise des während
einer durch das Journal erfassten Journalperiode getätigten Gesamtumsatzes
und der eingenommenen Steuern zu Verfügung. Anhand dieser Daten kann zum
Beispiel die Steuerbehörde überprüfen, ob
ein Einzelhändler
alle von den Kunden eingenommenen Steuern an die Steuerbehörde abgeführt hat.
-
Wenn
staatliche Stellen an den Daten der Einzelhandelsjournale interessiert
sind, etwa aufgrund von Gesetzen zur Mehrwertsteuer bzw. Verkaufssteuer,
schreiben diese Gesetze oft Form und Inhalt der ausgedruckten Quittungen
vor und verlangen sichere Verfahren zur Erfassung der Verkaufsdaten.
Bekanntlich wird solchen „fiskalischen" Forderungen durch
Bereitstellen eines Sonderdruckers (Abrechnungsdruckers) wie zum
Beispiel des Druckers 3F von International Business Machines Inc., Armonk,
New York, Rechnung getragen. Bei einem solchen Abrechnungsdrucker
kann eine sichere (d. h. vor unerlaubten Eingriffen geschützte) Logikschaltkarte
mit einem speziellen nicht flüchtigen
Arbeitsspeicher (non-volatile random access memory, NVRAM) und einem
elektronisch programmierbaren Nur-Lese-Speicher (EPROM) sowohl physisch
als auch logisch zwischen einem Kassenterminal und einem Kassendrucker
angeordnet werden, der Kundenquittungen und Journalausdrucke erzeugt.
-
Bei
einem Abrechnungsdrucker wie dem Modell 3F kann das Kassenterminal
an eine Abrechnungsbasiseinheit angeschlossen werden, die über eine
sichere Leitung mit dem Kassendrucker verbunden ist und über eine
Kommunikationsleitung wie zum Beispiel eine serielle Kommunikationsleitung alle
Druckfunktionen steuert. 1 zeigt
ein Beispiel für
eine solche Abrechnungsbasiseinheit. Das Kassenterminal 10 ist über die
Kommunikationsleitung 22 mit der Abrechnungsbasiseinheit 24 verbunden. Der
Abrechnungsdrucker 20 wiederum enthält sowohl eine Abrechnungsbasiseinheit 24 und
einen Drucker 26 mit zwei Druckerstationen. Die Abrechnungsbasiseinheit 24 enthält einen
Abrechnungsprozessor 28 oder ein anderes Steuermittel zur
Steuerung der Journal- und Druckoperationen. Die Abrechnungsbasiseinheit 24 enthält ferner
einen (nicht flüchtigen)
batteriegepufferten Arbeitsspeicher 30 zur Speicherung
der während
einer Journalperiode anfallenden laufenden Umsätze und Steuersummen. In 1 ist gezeigt, dass die
Abrechnungsbasiseinheit 24 ferner einen zusätzlichen
Programm-EPROM 32 und einen Abrechnungsspeicher-EPROM 34 enthält. Es wird
ein zusätzlicher
Abrechnungsspeicher-EPROM 34 zur dauerhaften Datenspeicherung bereitgestellt,
der in Epoxidharz versiegelt ist und normalerweise die Tagesumsätze und
Steuergesamtbeträge
entsprechend der Speicherkapazität des
Abrechnungsspeicher-EPROMs 34 für eine bestimmte Anzahl Tages-Journalperioden speichert. Der
Programm-EPROM 32 kann dann für Programmdaten oder Datenwerte
dienen, die durch den Abrechnungsprozessor 28 verwendet
werden. In 1 ist auch eine
Uhr 36 für
die Tageszeit gezeigt, die zum Nachverfolgen von Transaktionen und
Journalperioden verwendet werden kann.
-
Der
Zweistationen-Drucker 26 wird durch den Abrechnungsprozessor 28 gesteuert.
Eine erste Druckstation stellt eine Station zum Drucken der Kundenquittung
bereit und wird durch den Abrechnungsprozessor 28 gesteuert,
um sicherzustellen, dass die dem Kunden ausgehändigte Verkaufsquittung die
zu einer bestimmten Transaktion gehörenden richtigen Daten enthält. Die
zweite Druckstation stellt eine Station zum Drucken des Journals
bereit, welche die Umsatzdaten der einzelnen Transaktionen und Tagesberichte
ausdruckt. Die Journale der Journalstation des Druckers 26 werden üblicherweise
anschließend
für Steuerprüfungen gemäß den Steuergesetzen
der verschiedenen Steuerbehörden
in Papierform aufbewahrt.
-
Verschiedene
Staaten, die Steuergesetze erlassen haben, sind daran interessiert,
das jetzige System der Journalspeicherung in Papierform durch ein
digitales elektronisches Journal zu ersetzen. Durch einen solchen
Wechsel können
die Kosten der Einzelhändler
für Geräte und Verbrauchsmaterialien sowie
für die
Handhabung und Speicherung der Aufzeichnungen verringert werden.
Man könnte
so preiswerte Drucker mit nur einer Druckstation einsetzen und den
Papierverbrauch halbieren. Obwohl sowohl die Einzelhändler als
auch die Finanzbehörden
von den möglichen
Vorteilen eines elektronischen Journals überzeugt sind, bestehen auch
weiterhin Befürchtungen,
dass die Dateien solcher elektronischen Journale durch einen Endbenutzer
leicht verändert werden
können,
um den Staat zu betrügen.
-
Es
ist eine Lösung
vorgeschlagen worden, die auf einem Ansatz mit einer Abrechnungsdruckereinheit
beruht, zugleich aber ein elektronisches Journal verwendet. Bei
diesem Ansatz wird aus allen in dem gesicherten Abrechnungsspeicher
enthaltenen Daten anhand eines außerhalb des Abrechnungsdruckers
unbekannten Schlüssels
eine Prüfsumme
berechnet. Der gesamte Datenblock des Journals kann dann von der
Abrechnungsbasiseinheit 24 zu einem Kassenterminal 10 übertragen
werden und braucht nicht in dem gesicherten Abrechnungsdrucker aufbewahrt
zu werden. Durch diesen Ansatz werden jedoch die Aufgabenstellungen
für ein
solches überprüfbares elektronisches
Journalsystem nicht gelöst. Zum
Beispiel müssen
die im Kassenterminal befindlichen Daten zur Überprüfung zurück zur Abrechnungsbasiseinheit übertragen
werden, in welcher aus dem Abrechnungsspeicher eine zugehörige Prüfsumme gewonnen
und mit einer neuen Prüfsumme
verglichen werden kann, die aus den vom Kassenterminal heruntergeladenen
Daten erzeugt wurde. Weiterhin benötigt die Abrechnungsbasiseinheit je
nach Größe des vom
Kassenterminal und zurück übertragenen
Journals einen großen
nicht flüchtigen Arbeitsspeicher.
Außerdem
kann es erforderlich sein, Daten eines längeren Zeitraums für mögliche Überprüfungen im
Abrechnungsspeicher-EPROM aufzubewahren, sodass ein größerer Abrechnungsspeicher-EPROM
benötigt
wird. Und schließlich
stößt dieser
Ansatz insofern auf Grenzen, als die Journalaufzeichnungen nicht
einfach einer Fernprüfung
unterzogen werden können.
Die britische Patentanmeldung GB-A-2 297 414 beschreibt ein mit
einer Schnittstelle für
Datenfernübertragung
ausgestattetes Kassensystem, bei dem der Speicher durch ein fernes
System (z. B. zur Steuerveranlagung) abgefragt werden kann. In der
PCT-Patentanmeldung WO-96 36948 wird ein Kassensystem zur automatischen
Umsatzsteueranmeldung und -abführung
mit einem Steuerregister beschrieben.
-
Ein
Vorteil der vorliegenden Erfindung besteht in der Bereitstellung
eines Verfahrens, das die oben genannten Nachteile beseitigt.
-
ÜBERBLICK ÜBER DIE
ERFINDUNG
-
Die
vorliegende Erfindung bietet deshalb ein Verfahren zur Bereitstellung
eines überprüfbaren elektronischen
Journalsystems für
eine Kassenvorrichtung zur Verfügung,
welches Folgendes umfasst: Empfangen von Transaktionsdaten, die
sich auf Transaktionen beziehen; Speichern der Transaktionsdaten
in einem Arbeitsspeicher; Erzeugen eines Journalaktualisierungsereignisses
als Reaktion auf den Ablauf einer Journalperiode; Ermitteln einer
Datensignatur auf Basis der im Arbeitsspeicher gespeicherten Transaktionsdaten
als Reaktion auf ein Journalaktualisierungsereignis; Übertragen
der im Arbeitsspeicher gespeicherten Transaktionsdaten als Reaktion
auf ein Journalaktualisierungsereignis in einen ersten Teil eines
vom Arbeitsspeicher getrennten Journalspeichers; und Übertragen
der Datensignatur als Reaktion auf ein Journalaktualisierungsereignis
in einen zweiten Teil des Journalspeichers.
-
Gemäß der vorliegende
Erfindung wird auch eine Kassenvorrichtung mit einem überprüfbaren elektronischen
Journalspeicher bereitgestellt, welches Folgendes umfasst: ein Mittel
zum Empfangen von Transaktionsdaten; ein Mittel zur Feststellung
eines Journalaktualisierungsereignisses; gekennzeichnet durch einen
mit dem Empfangsmittel verbundenen Arbeitsspeicher, der zum Speichern
der Transaktionsdaten konfiguriert ist; ein Mittel zur Ermittlung
einer Datensignatur auf Basis des Inhalts des Arbeitsspeichers als
Reaktion auf das Journalaktualisierungsereignis; einen Journalspeicher
mit einem zum Speichern der Transaktionsdaten konfigurierten ersten
Teil, und einem zum Speichern der Datensignatur konfigurierten zweiten
Teil sowie durch ein Mittel zum Übertragen
der Transaktionsdaten vom Arbeitsspeicher in den ersten Teil des
Journalspeichers und zum Übertragen
der Datensignatur von dem Mittel zur Ermittlung einer Datensignatur
in den zweiten Teil des Journalspeichers als Reaktion auf das Journalaktualisierungsereignis.
-
Bei
einer bevorzugten Ausführungsart
der vorliegende Erfindung wird ein überprüfbares elektronisches Journalsystem
für eine
Kassenvorrichtung bereitgestellt, welches anstelle einer Journaldruckstation
in einem Kassendrucker mit zwei Druckstationen eine elektronische
Journaldatei verwaltet. Die Transaktionsdaten werden in einem nicht
flüchtigen Arbeitsspeicher
gespeichert. Auf Basis des Inhalts des Arbeitsspeichers wird für ein Journal
eine Datensignatur ermittelt. Sowohl die Transaktionsdaten als auch
die Datensignatur werden in den separaten Journalspeicher übertragen.
Der Journalspeicher kann sich zum Beispiel in der Kassenvorrichtung
befinden, und ein unerlaubter Eingriff in die Transaktionsdaten
des Journals kann durch Vergleich mit der Datensignatur erkannt
werden, die ebenfalls in die elektronische Journaldatei übergenommen
und dort gespeichert bleibt. Vorzugsweise wird die Datensignatur
nach einem Verschlüsselungsschema
mit gemeinsam benutzten Schlüssel
verschlüsselt
und der zugehörige öffentliche
Schlüssel ebenfalls
von der Einheit, wie etwa der Abrechnungsbasiseinheit, die die Transaktionsdaten
ab ihrer Entstehung verfolgt, in die elektronische Journaldatei übernommen
und bleibt dort gespeichert. Vorzugsweise wird dazu ein Hash-Verfahren
verwendet, sodass ein relativ kleiner NVRAM eingesetzt werden kann,
um die Erzeugung eines Satzes von Transaktionsdaten für eine elektronische
Journaldatei für
eine bestimmte Journalperiode zu unterstützen. Demzufolge ist die Datensignatur eine
verschlüsselte
Version eines Nachrichtenauszugs, die als laufender Wert die gesamten
während einer
Journalperiode der elektronischen Journaldatei übergebenen Transaktionsdaten
widerspiegelt.
-
Bei
einer Ausführungsart
der vorliegenden Erfindung wird ein Verfahren zum Bereitstellen
eines überprüfbaren elektronischen
Journalsystems für eine
Kassenvorrichtung bereitgestellt. Die zu den Transaktionen gehörenden Transaktionsdaten
wie beispielsweise die Einzelumsätze
und die auf diese Umsätze
erhobenen Steuern werden empfangen. Die Transaktionsdaten werden
im Arbeitsspeicher gespeichert, der sich im Kassenterminal befindet.
Auf Basis der im Arbeitsspeicher enthaltenen Transaktionsdaten wird
als Reaktion auf ein Journalaktualisierungsereignis eine Datensignatur
ermittelt. Dann werden als Reaktion auf das Journalaktualisierungsereignis
die im Arbeitsspeicher enthaltenen Transaktionsdaten in einen ersten
Teil eines Journalspeichers übertragen,
der vom Arbeitsspeicher getrennt ist. Der Journalspeicher wird vorzugsweise
in einem Kassenterminal gespeichert, das zum Beispiel über ein
Kommunikationsnetz mit dem Kassensystem verbunden ist. Die Datensignatur
wird als Reaktion auf das Journalaktualisierungsereignis in einen
zweiten Teil des Journalspeichers übertragen.
-
Bei
weiteren Ausführungsarten
werden gemäß Aspekten
des Verfahrens der vorliegenden Erfindung die Transaktionsdaten
zum Drucken auch an einen Drucker übertragen, zum Beispiel zum
Drucken einer Verkaufsquittung für
den Kunden. Bei dem Drucker kann es sich um einen Abrechnungsdrucker und
bei der Kasseneinheit um einen in den Abrechnungsdrucker eingebauten
Abrechnungsprozessor handeln. Die Transaktionsdaten können Umsatzdaten
der Transaktionen enthalten, und nach dem Empfang der Transaktionsdaten
kann auf Basis der Umsatzdaten ein zu entrichtender Steuerbetrag
berechnet werden. Alternativ können
die Transaktionsdaten einen zu entrichtenden Steuerbetrag beinhalten.
-
Gemäß einem
weiteren Aspekt der vorliegenden Erfindung kann das Journalaktualisierungsereignis
als Reaktion auf den Ablauf einer Journalperiode ausgelöst werden.
Alternativ kann das Journalaktualisierungsereignis mittels eines
Verfahrens wie einer Hash-Funktion ausgelöst werden, wenn im Arbeitsspeicher
eine vorgegebene Menge an Transaktionsdaten gespeichert ist, sodass
der Arbeitsspeicher durch Überschreiben
der darin gespeicherten Transaktionsdaten zum Speichern weiterer
Transaktionsdaten wiederverwendet wird. Während einer Journalperiode
können
eine Vielzahl von Journalaktualisierungsereignissen ausgelöst werden;
dann werden gemäß der Hash-Funktion
für jedes
der Journalaktualisierungsereignisse während der Journalperiode die
Operationen Speichern der Transaktionsdaten, Ermitteln einer Datensignatur, Übertragen
der Transaktionsdaten, Übertragen
der Datensignatur und Wiederverwenden des Arbeitsspeichers wiederholt,
wobei ein Block der im Arbeitsspeicher gespeicherten Transaktionsdaten
in den Journalspeicher übertragen
wird, während
die Datensignatur als laufender Wert für die während der Journalperiode empfangenen
Transaktionsdaten ermittelt wird.
-
Gemäß einem
weiteren Aspekt der vorliegenden Erfindung kann durch Verschlüsselung
der Datensignatur mittels eines gemeinsam benutzten Schlüssels die
Sicherheit gewährleistet
werden. Der gemeinsam benutzte Schlüssel wird dann als Reaktion
auf mindestens eines aus der Vielzahl von Journalaktualisierungsereignissen
in einen dritten Teil des Journalspeichers übertragen. Das überprüfbare elektronische
Journalsystem kann dann überprüft werden.
Zu den Prüfoperationen
bei den Ausführungsarten
der vorliegenden Erfindung auf Basis einer verschlüsselten
Datensignatur gehört
das Entschlüsseln
der Datensignatur im zweiten Teil des Journalspeichers mittels des
im dritten Teil des Journalspeichers befindlichen gemeinsam benutzten Schlüssels. Außerdem wird
mittels des Hash-Verfahrens aus den im ersten Teil des Journalspeichers
enthaltenen Transaktionsdaten eine Prüf-Datensignatur ermittelt.
Die Prüf-Datensignatur
wird mit der entschlüsselten
Datensignatur verglichen, um festzustellen, ob die im ersten Teil
des Journalspeichers befindlichen Transaktionsdaten gegenüber den
während
der Journalperiode vom Arbeitsspeicher übertragenen Transaktionsdaten
verändert
worden sind.
-
Obwohl
die Erfindung vor allem in Bezug auf die Verfahrensaspekte der Erfindung
beschrieben wurde, werden außerdem
sowohl Systeme als auch Computerprogrammprodukte bereitgestellt.
Zum Beispiel wird eine Kassenvorrichtung mit einem überprüfbaren elektronischen
Journalsystem bereitgestellt, welche ein Mittel zum Empfangen von
Transaktionsdaten und ein Mittel zum Ermitteln eines Journalaktualisierungsereignisses
beinhaltet. Mit dem Empfangsmittel ist ein zum Speichern der Transaktionsdaten
konfigurierter Arbeitsspeicher verbunden. Ein auf das Journalaktualisierungsereignis
reagierendes Mittel ermittelt auf Basis des Inhalts des Arbeitsspeichers
eine Datensignatur. Desgleichen wird ein Journalspeicher bereitgestellt,
der einen zum Speichern der Transaktionsdaten konfigurierten ersten
Teil und einen zum Speichern der Datensignatur konfigurierten zweiten
Teil aufweist. Der Journalspeicher ist vom Arbeitsspeicher getrennt
und befindet sich vorzugsweise von der Kassenvorrichtung entfernt,
mit der er beispielsweise über
ein Kommunikationsnetz verbunden ist. Ein auf das Journalaktualisierungsereignis
ansprechendes Mittel wird bereitgestellt, welches die Transaktionsdaten
vom Arbeitsspeicher in den ersten Teil des Journalspeichers und die
Datensignatur vom Mittel für
die Ermittlung einer Datensignatur zum zweiten Teil des Journalspeichers überträgt.
-
Deshalb
stellt eine bevorzugte Ausführungsart
der vorliegenden Erfindung ein überprüfbares elektronisches
Journalsystem bereit, das anstelle eines gedruckten Journals eingesetzt
werden kann. Dies führt
zu geringeren Kosten und zur Möglichkeit der
Fernabfrage zur Journalprüfung über ein
Computer-Kommunikationsnetz zum Beispiel durch die Steuerbehörden, wobei
unerlaubte Eingriffe erkannt werden können. Die vorliegende Erfindung
kann vorteilhaft eingesetzt werden, wobei vorhandene Hardware Verwendung
findet, wie zum Beispiel die vorhandenen Abrechnungsdrucker.
-
KURZBESCHREIBUNG
DER ZEICHNUNGEN
-
1 ist ein Blockschaltbild
eines herkömmlichen
Abrechnungsdruckers;
-
2 ist ein Blockschaltbild
eines überprüfbaren elektronischen
Journals gemäß einer
Ausführungsart
der vorliegenden Erfindung;
-
3 ist ein Ablaufdiagramm,
in dem die Operationen zur Erzeugung einer überprüfbaren elektronischen Journaldatei
gemäß einer
Ausführungsart
der vorliegenden Erfindung dargestellt sind;
-
4 ist ein Blockschaltbild
eines überprüfbaren elektronischen
Journals unter Einschluss des Hash-Verfahrens gemäß einer
Ausführungsart
der vorliegenden Erfindung;
-
5 ist ein Blockschaltbild
einer Kassenvorrichtung mit einem überprüfbaren elektronischen Journal
gemäß einer
Ausführungsart
der vorliegenden Erfindung; und
-
6 ist ein Flussdiagramm,
das die Prüfschritte
gemäß einer
Ausführungsart
der vorliegenden Erfindung zeigt.
-
DETAILLIERTE
BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSARTEN
-
Im
Folgenden wird die vorliegende Erfindung ausführlich unter Bezug auf die
beiliegenden Zeichnungen beschrieben, in welchen bevorzugte Ausführungsarten
der Erfindung gezeigt werden. Die vorliegende Erfindung kann jedoch
in vielen unterschiedlichen Formen realisiert werden und ist nicht
auf die hier dargelegten Ausführungsarten
beschränkt;
diese Ausführungsarten
werden vielmehr so dargeboten, dass die vorliegende Beschreibung
umfassend und vollständig
ist und dem Fachmann den Geltungsbereich der Erfindung ganz verdeutlicht.
Dem Fachmann ist klar, dass die vorliegende Erfindung durch Verfahren,
Systeme oder Computerprogrammprodukte realisiert werden kann. Deshalb
kann die vorliegende Erfindung die Form einer Hardwareausführung, einer
Softwareausführung
oder einer Ausführung
annehmen, bei der die Software- und Hardwareaspekte kombiniert werden.
-
Die
vorliegende Erfindung stellt Verfahren und Systeme zur Führung elektronischer
Journale bereit, welche gedruckte und als Journal gespeicherte Transaktionsdaten
wie zum Beispiel Umsätze
und Steuerdaten verwalten. Vorzugsweise wird durch Verwendung von
Standardalgorithmen zur Datensicherheit die Sicherheit gewährleistet.
Insbesondere wird ein Verfahren mit einem gemeinsam benutzten Schlüssel verwendet,
wie es beispielsweise von RSA Data Security Inc. bereitgestellt
wird. Für
jede Kassenvorrichtung werden ein öffentlicher (gemeinsam benutzter)
und ein privater Schlüssel
erzeugt und in ihrem gesicherten Speicher gespeichert. Es wird eine elektronische
Journaldatei erzeugt, beispielsweise an dem zur Kassenvorrichtung
gehörenden
Kassenterminal, wobei der Inhalt des Journals durch die Kassenvorrichtung
(wie beispielsweise eine Abrechnungs-Logikschaltung) kontrolliert
wird.
-
Die
verschiedenen Teile der elektronischen Journaldatei bzw. des Journalspeichers
einer bestimmten Ausführungsart
der vorliegenden Erfindung sind in 2 dargestellt.
In der elektronischen Journaldatei 50 gibt es einen ersten
Teil 52, der eine unverschlüsselte Liste von Transaktionsdaten
enthält, zum
Beispiel die auf der Papierrolle und/oder der Journalstation eines
bestimmten Abrechnungsdruckers ausgedruckt werden sollen. Im zweiten
Teil 54 der elektronischen Journaldatei 50 ist
eine Datensignatur gespeichert. Die Datensignatur ist vorzugsweise
ein verschlüsselter
Wert, mit dem geprüft
wird, ob die ausgedruckten Daten aus dem Teil 52 verändert wurden.
Im Teil 56 ist ein öffentlicher
oder gemeinsam benutzter Schlüssel
des Druckers gespeichert, der zur Verschlüsselung der Datensignatur dient,
um die Datenintegrität
zu prüfen.
Bei der dargestellten Ausführungsart
ist schließlich
auch noch eine Seriennummer des Druckers im Teil 58 des
elektronischen Journalspeichers 50 gespeichert, um prüfen, ob
dieser öffentliche
(gemeinsam benutzte) Schlüssel
des Druckers im Teil 56 für die betreffende Einheit gültig ist.
Da die Verwendung von Verschlüsselungsalgorithmen
mit öffentlichen/privaten
Schlüsseln
allgemein bekannt ist, wird deren Arbeitsweise hier mit Ausnahme
der speziellen Verwendung der gemeinsam benutzten Schlüssel bei
den Verfahren und Systemen der vorliegenden Erfindung nicht näher beschrieben.
-
Im
Folgenden wird weiter beschrieben, dass durch die Verwendung eines
elektronischen Journalspeichers 50 gemäß den Verfahren und Systemen der
vorliegenden Erfindung ein elektronisches Journal bereitgestellt
wird, bei dem unerlaubte Eingriffe erkannt werden können. Diese
Journaldaten werden so bereitgestellt, dass sie sowohl vom Einzelhändler zur
Erstellung seiner Berichte als auch von der Steuerbehörde zur Überprüfung verwendet
werden können.
Außerdem
können
diese Prüfungen
durch die staatliche Behörde
entweder durch Fernabfrage mittels eines speziellen Dienstprogramms
oder vor Ort mittels der Vorrichtung wie zum Beispiel eines Kassenterminals
durchgeführt
werden, welche die zu überprüfende elektronische
Journaldatei enthält.
-
Im
Folgenden wird die Arbeitsweise der vorliegenden Erfindung anhand
der Flussdiagramme von 3 und
anschließend
von 6 beschrieben. Es
ist klar, dass jeder Block der Ablaufdiagramme sowie Kombinationen
von Blöcken
der Ablaufdiagramme durch Befehle von Computerprogrammen realisiert
werden kann. Diese Programminstruktionen können durch einen Prozessor
bereitgestellt und so eine Maschine erzeugt werden, mittels welcher
die im Prozessor ausgeführten
Instruktionen ein Mittel zur Realisierung der in den Blöcken der
Ablaufdiagramme angegebenen Funktionen erzeugen. Die Instruktionen
der Computerprogramme können
durch einen Prozessor so ausgeführt
werden, dass dieser Prozessor im Computer einen Prozess mit einer
Reihe von Arbeitsschritten durchführt, die zur Realisierung der
in den Blöcken
der Ablaufdiagramme angegebenen Funktionen führen.
-
Demzufolge
unterstützen
Blöcke
der dargestellten Ablaufdiagramme Kombinationen von Mitteln, Kombinationen
von Schritten sowie Programminstruktionsmittel zur Ausführung der
angegebenen Funktionen. Es ist klar, dass jeder Block sowie Kombinationen
von Blöcken
der Ablaufdiagramme durch spezielle Hardwaresysteme oder durch Kombinationen
von spezieller Hardware mit Computerinstruktionen realisiert werden
können,
welche die angegebenen Funktionen oder Schritte ausführen.
-
Während der
Kassenoperationen im Ablaufdiagramm von 3 erzeugt die Kassenvorrichtung der vorliegenden
Erfindung wie beispielsweise eine Abrechnungsprozessorkarte durch
die bekannten Prozeduren (Block 100) Druck- und Journaldaten.
-
Diese
Transaktionsdaten werden zum Teil nach bekannten Prozeduren verarbeitet,
indem Daten für
Kundenquittungen zu einem Kassendrucker geschickt werden (Block 102).
Die Journaldaten werden jedoch in einem NVRAM der Kasseneinrichtung gepuffert
und gespeichert und nicht wie bisher zur Journaldruckstation eines
Druckers mit zwei Druckstationen übertragen (Block 102).
-
Es
ist jedoch wünschenswert,
die im NVRAM einer Kassenvorrichtung wie beispielsweise einer Abrechnungsbasiseinheit
gespeicherte Datenmenge zu begrenzen. Durch Begrenzung der Größe des für das elektronische
Journalsystem benötigten
Puffers werden nicht nur die Kosten für den NVRAM verringert, sondern
auch die Zeit für
die einzelnen Datenübertragungen
zum Kassenterminal oder einer anderen übergeordneten Vorrichtung verkürzt, in
der das elektronisch Journal gespeichert wird. Deshalb werden zum
periodischen Löschen
des den aktuellen Pufferspeicher für die Transaktionsdaten des
Journals enthaltenden NVRAMs Hash-Verfahren verwendet. Mit bekannten Hash-Verfahren
für die
Speicherverwaltung ist es möglich,
gepufferte Speicherinhalte nacheinander blockweise zu übertragen
und dabei einen kleinen laufenden Wert aufrechtzuerhalten, der mitunter
als Nachrichtenauszug (message digest) bezeichnet wird, welcher
mathematisch eindeutig den gesamten übertragenen Dateninhalten entspricht.
Die Anwendung eines solchen Hash-Verfahrens gemäß der vorliegenden Erfindung
ist ferner in 4 dargestellt.
-
In
Block 104 von 3 prüft die Kassenvorrichtung,
ob ein Hash-Block voll ist. Wenn der Hash-Block noch nicht voll
ist, kehrt die Bearbeitung zu Block 100 zurück, wo weitere
Transaktionsdaten empfangen werden. Wenn ein Hash-Block voll ist oder
bei einem teilweise gefüllten
Hash-Block eine Journalperiode abgelaufen ist, bestimmt in Block 106 der
Prozessor der Kasseneinrichtung wie zum Beispiel der Abrechnungsprozessor
oder eine Abrechnungsbasiseinheit den Hash-Wert des Datenblocks, um
einen laufenden Nachrichtenauszug zu erzeugen. Dann sendet der Abrechnungsprozessor
die Originaldaten des Hash-Blocks zum Kassenterminal oder einer
anderen Vorrichtung, in welcher die elektronische Journaldatei gespeichert
ist, und löscht
den Block aus dem lokalen NVRAM (Block 108).
-
Das
Kassenterminal oder eine andere Journal führende Vorrichtung hängt den
zuletzt empfangenen Datenblock an den Druckdatenteil 52 der
elektronischen Journaldatei 50 an (Block 110).
In Block 112 prüft
das System, ob die Journalperiode abgelaufen ist, was zum Schließen der
gegenwärtig
verwendeten elektronischen Journaldatei 50 führen würde. Wenn
dies nicht der Fall ist, kehrt die Bearbeitung wieder zu den Blöcken 100 bis 112 zurück, in denen das
Empfangen und Ermitteln von Hash-Werten
der Transaktionsdaten fortgeführt
wird.
-
Wenn
die Journalperiode abgelaufen ist, erzeugt der Abrechnungsprozessor
einen Datensignaturwert durch Verschlüsselung des Nachrichtenauszugs
(Block 114) und überträgt dann
die Datensignatur und den öffentlichen
oder gemeinsam benutzten Schlüssel
des Druckers zur Speicherung in den entsprechenden Teilen 54 bzw. 56 des
Speichers der elektronischen Journaldatei 50 (Block 115).
Bei denjenigen Ausführungsarten,
die sich nicht der Verschlüsselung
bedienen, wird in Block 115 lediglich der Nachrichtenauszug
selbst als Datensignatur übertragen,
weil kein öffentlicher
oder gemeinsam benutzter Schlüssel
zur Übertragung
bereitsteht.
-
Außerdem kann
auch eine Gerätekennung wie
zum Beispiel eine Seriennummer der erzeugenden Vorrichtung übertragen
werden.
-
In
Block 116 werden durch den Empfangspunkt des Kassenterminals
oder einer anderen übergeordneten
Vorrichtung, in der die elektronische Journaldatei gespeichert ist,
die empfangene Datensignatur und der öffentliche Schlüssel des
Druckers an die Druckdaten der elektronischen Journaldatei 50 angehängt. Dadurch
wird eine Journalperiode beendet und die elektronische Journaldatei 50 geschlossen.
Bei Ausführungsarten,
die eine Gerätekennung übertragen,
wird auch die Kennung angehängt.
-
In 4 sind ferner die Hash-Operationen der
Daten gemäß der vorliegenden
Erfindung schematisch dargestellt. Ein Teil des nicht flüchtigen
Arbeitsspeichers 120 in 4 dient
als Puffer 122 für das
elektronische Journal und ein weiterer Teil 124 zum Speichern
der zur Hash-Funktion 126 gehörenden laufenden Nachrichtenauszüge und der
den Puffer 122 des elektronischen Journals durchlaufenden Datenblöcke. 4 zeigt, dass die Hash-Blöcke #1 bis
#N nacheinander den Puffer 122 des elektronischen Journals
durchlaufen, in die im Kassenterminal befindliche elektronische
Journaldatei 50 übertragen
werden und anschließend
die Hash-Funktion 126 durchlaufen, um den laufenden Nachrichtenauszug 124 zu
aktualisieren. Der NVRAM 120 und die Hash-Funktion 126 sind
Bestandteil der Kassenvorrichtung 118. 4 zeigt, dass die Hash-Funktion 126 den
aktuellen laufenden Nachrichtenauszug 124 und den zuletzt übertragenen
Hash-Block #X dazu verwendet, um einen aktualisierten Nachrichtenauszug
zu erzeugen, der wiederum im Teil 124 des nicht flüchtigen
Arbeitsspeichers 120 als laufender Nachrichtenauszug iterativ
gespeichert wird.
-
Die
in 5 in den Blöcken 114 bis 116 gezeigten
Schritte zum Erzeugen der Signatur und zum Schließen der
Datei nach Ablauf einer Journalperiode werden ferner für eine Ausführungsart
einer Kassenvorrichtung 118 gemäß der vorliegenden Erfindung
gezeigt. Die im Kassenterminal der in 5 dargestellten
Ausführungsart
stattfindenden Operationen zum Schließen der Datei führen zu
einem geschlossenen elektronischen Journalspeicher bzw. einer geschlossenen
elektronischen Journaldatei, sodass keine Änderungen mehr möglich sind,
die nicht mit den hier beschriebenen Authentifizierungsverfahren
erkannt werden könnten.
Bei der in 5 dargestellten
Ausführungsart
sind in den Teilen des elektronisch programmierbaren Nur-Lese-Abrechnungsspeichers 130 der
private Schlüssel 132,
der öffentliche
Schlüssel 134 und
die Seriennummer 136 des Druckers gespeichert. Am Ende
einer Journalperiode werden der private Schlüssel 132 des Druckers
und der Nachrichtenauszug 124 durch den Verschlüsselungsalgorithmus 138 verwendet,
um eine im Datensignaturteil 54 der elektronischen Journaldatei 50 gespeicherte
Datensignatur zu erzeugen. Der öffentliche
Schlüssel 134 und
die Seriennummer 136 des Druckers werden in die Teile 56 bzw. 58 der
elektronischen Journaldatei 50 übertragen und dort gespeichert.
-
Aus
den dargestellten Ausführungsarten
zur Verwendung des Abrechnungsspeichers und des nicht flüchtigen
Arbeitsspeichers 130 bzw. 120 ist zu sehen, dass
die Systeme und Verfahren der vorliegenden Erfindung unter Verwendung
von Hardware wie zum Beispiel der Abrechnungsbasiseinheit 24, die
oben unter Bezug auf 1 erörtert wurde,
realisiert werden können.
In diesem Fall kann im Arbeitsspeicher 30 ein Teil als
NVRAM 120 reserviert werden. Außerdem können im Abrechnungsspeicher-EPROM 34 die
zur Verschlüsselung
des Nachrichtenauszugs verwendeten Verschlüsselungsdaten gespeichert werden,
um eine verschlüsselte
Datensignatur bereitzustellen.
-
Dem
Fachmann ist klar, dass die oben beschriebenen Aspekte der vorliegenden
Erfindung in 2, 4 und 5 durch Hardware, Software oder eine Kombination
der beiden bereitgestellt werden können. Obwohl die verschiedenen
Komponenten der Kassenvorrichtung 118 in 4 und 5 als
diskrete Bauteile beschrieben wurden, können sie durch einen Mikrocontroller
mit Eingängen
und Ausgängen und
einem darin ausgeführten
Softwarecode realisiert werden, der aus kundenspezifischen oder
Hybridschaltungen, aus diskreten Bauteilen oder einer Kombination
der beiden aufgebaut ist. Zum Beispiel kann der Speicher 120 in
einem Prozessor wie zum Beispiel dem Abrechnungsprozessor 28 (1) enthalten sein. Ebenso
können
verschiedene Operationen wie zum Beispiel die Hash-Funktion 126 und
der Verschlüsselungsalgorithmus 138 in
einem Prozessor wie zum Beispiel dem Abrechnungsprozessor 28 (1) realisiert werden. Ganz
allgemein können Operationen
gemäß der vorliegenden
Erfindung in der oben beschriebenen Weise durch die Hardware der
vorhandenen Abrechnungsbasiseinheiten 24 realisiert werden,
die bei entsprechender Konfiguration eine Kassenvorrichtung der
vorliegenden Erfindung darstellen.
-
Die
Operationen zur Prüfung
des überprüfbaren elektronischen
Journalsystems wird nun in Verbindung mit 6 für
eine Ausführungsart
der vorliegenden Erfindung beschrieben. In Block 150 wird
die im Journalspeicher enthaltene Datensignatur mittels des im Journalspeicher
enthaltenen gemeinsam benutzten Schlüssels und durch Anwendung des
ausgewählten Verschlüsselungsalgorithmus 138 (5) entschlüsselt. In
Block 152 wird aus den im Speicherbereich 52 des
elektronischen Journals gespeicherten Transaktionsdaten und unter
Verwendung der ausgewählten
Hash-Funktion 126 eine Prüf-Datensignatur erzeugt. Abschließend wird
die Prüf-Datensignatur in
Block 154 mit der entschlüsselten Datensignatur verglichen,
um festzustellen, ob die im Journalspeicher gespeicherten Transaktionsdaten
gegenüber
den während
der Journalperiode ursprünglich
vom Arbeitsspeicher des Erfassungspunktes der Kassenvorrichtung
wie zum Beispiel der Abrechnungsbasiseinheit übertragenen Transaktionsdaten
verändert
wurden. Wenn die beiden Werte nicht übereinstimmen, werden die Druckdaten
im Teil 52 des elektronischen Journals 50 nicht
bestätigt,
da auf die Daten im Teil 52 ein unberechtigter Zugriff stattgefunden
hat.
-
Mit
den Verfahren und Systemen für
ein überprüfbares elektronisches
Journal der vorliegenden Erfindung kann im Kassenterminal eine sichere Abrechnungs-Journaldatei
erzeugt werden, da man jeden unerlaubten Zugriff auf die Journaldaten
erkennen kann. Die Operationen gemäß der vorliegenden Erfindung
können
allgemein im Rahmen der Hardwarestruktur der gegenwärtig entwickelten
Abrechnungsbasiseinheiten realisiert werden, die zudem noch den
Vorteil aufweisen, dass diese keine Druckereinrichtungen mit zwei
Druckstationen zur Herstellung eines Journals in Papierform benötigen. Außerdem beinhalten
die Operationen gemäß der vorliegenden
Erfindung die Verwendung von Hash-Funktionen und die Weitergabe
der elektronischen Journaldatei an übergeordnete Einheiten, sodass
die üblichen
Größen der
Abrechnungsspeicher beibehalten werden können. Die Transaktionsdaten
brauchen nicht in den elektronisch programmierbaren Nur-Lese-Speicher
der Abrechnungseinheit geschrieben zu werden, da die Journaldatei
unabhängig
von der Abrechnungsbasiseinheit gespeichert wird und durch diese
per Fernabfrage überprüft werden
kann. Der Abrechnungsspeicher kann jedoch auch weiterhin zum Bereitstellen
von Funktionen dienen, wie sie gegenwärtig durch bekannte Abrechnungsdrucker
bereitgestellt werden. Wenn die Verfahren der vorliegenden Erfindung
realisiert werden, während
gleichzeitig ein Abrechnungsspeicher-EPROM wie in 1 verwendet wird, beeinflussen daher
die mit dem elektronischen Journal verbundenen Aktivitäten nicht
die Lebensdauer eines Abrechnungsspeicher-EPROMs 34 einer
bestimmten Größe.
-
Die
Verfahren und Systeme der vorliegenden Erfindung stellen weitere
Verbesserungen bereit, da das elektronische Journal entweder im
Kassenterminal oder in einer anderen Einheit wie zum Beispiel einem
Netzwerkrechner gespeichert werden kann, der vom Kassenterminal
entfernt ist, aber über
einen Netzwerkanschluss mit dem Kassenterminal oder einer Abrechnungsbasiseinheit
verbunden werden kann. Deshalb lassen sich Prüfungen nicht nur ohne Verwendung
der Abrechnungsbasiseinheit oder eines Druckers durchführen, sondern
können
von einer Außenstation
durch Fernabfrage an das Kassenterminal oder eine andere Stelle
erfolgen, in denen das elektronische Journal gespeichert ist.