專利名稱：燃料分配器用戶接口的制作方法
技術領域：
本發(fā)明通常涉及用戶接口，且更 具體地涉及燃料分配器的接口。
背景技術：
燃料分配器在全世界范圍內零售商服務站和便利店經營處分配石油和替換的燃料產品。燃料分配器具有用戶接口，包括顯示器和鍵盤，用于實施消費者支付交易。這些用戶接口包括信用磁卡/借記磁卡讀卡器，用于從消費者提取賬戶信息。其他銷售點("P0S")終端還包括類似的用戶接口。這些用戶接口且具體地公眾可公開接入的燃料分配器接口變得被期望從已經使用了分配器的消費者獲取賬戶信息的個人襲擊?？紤]，可能破壞顯示接口，以便該接口向試圖獲取該賬戶信息的消費者呈現錯誤提示。當消費者響應于這些錯誤提示時，可能掌握且不適當地和欺詐地使用其賬戶信息。這種篡改的潛在可能已經導致對燃料分配器用戶接口采用特定物理安全措施。這些安全措施包括用顯示控制器在安全圍欄內安裝顯示器?；蛘?，該顯示器已經安裝到安全圍欄，且顯示控制器已經被放置在安全圍欄中。在任一情況下，顯示器的數據和控制線不被暴露，且不能容易地破壞。但是，這種安排不防止整個用戶接口的移除?！N用于燃料分配器的傳統(tǒng)用戶接口通常需要用戶在支付交易期間完成若干步驟。用戶可以提供敏感性信息或數據，諸如個人標識號("PIN")或賬戶信息，來完成支付交易。已經增加了截取或另外獲得在到達其目的地之前被提供給諸如主機處理系統(tǒng)的支付終端的敏感性數據。例如，針對燃料分配器，已經試圖連接設備在支付終端和處理系統(tǒng)之間，以便在傳輸時截取敏感性數據。因此，支付終端并入各種機制來保護和保證敏感性數據。例如，包括通過處理敏感性數據來分派的組件的支付終端的電路板可以被包裹在可操作地連接到這些組件的保護性網狀外蓋中。如果以任何方式損壞網狀外蓋的整體性，則禁用這些組件。在現有技術中存在另外的空間用于進一步的安全技術。

發(fā)明內容
本發(fā)明識別且解決現有技術構造和方法的前述考慮、和其他。關于此，本發(fā)明的一個方面提供適用于處理敏感性信息的燃料分配器的用戶接口。所述用戶接口包括顯示板、可操作地連接到顯示板的顯示器、和控制電路?？刂齐娐钒ㄌ幚砥?、存儲器和第一觸發(fā)器。顯示板和控制電路在通常彼此平行的各個平面中。顯示板的部分物理地覆蓋控制電路的部分，以便第一觸發(fā)器連接到顯示板部分。本發(fā)明的另一方面提供以上闡述的用戶接口，其被配置以在激活觸發(fā)器時擦除在存儲器中存儲的任何敏感性信息。本發(fā)明的另一方面提供燃料分配器，包括控制電路、顯示器和框?？刂齐娐钒ㄌ幚砥?、存儲器和觸發(fā)器。顯示器可操作地連接到所述處理器。該框被配置以支持控制電路和顯不器。該觸發(fā)器的激活使得擦除在存儲器中存儲的敏感性信息。并入并組成本說明書的附示了本發(fā)明的一個或多個實施例。


在說明書中闡述了本領域技術人員指導的包括最佳方式的本發(fā)明的完整和使能的公開，其參考附圖，在附圖中圖I是示出使用根據本發(fā)明的實施例的燃料分配器的正視圖；以及圖2和3是可以在圖I的燃料分配器中使用的優(yōu)選用戶接口的側視和后視圖。在本說明書和附圖中的參考特征的重復使用意圖表示本發(fā)明的相同或不同特征或元件。
具體實施例方式將詳細參考本發(fā)明的當前優(yōu)選的實施例，在附圖中圖示其一個或多個例子。通過本發(fā)明的說明來提供每個例子，而不是本發(fā)明的限制實際上，本領域技術人員理解，可以在本發(fā)明中進行修改和變化，而不脫離其范圍或精神。例如，可以在另一實施例上使用作為一個實施例的部分所示或描述的特征，來產生另一實施例。因此，意圖本發(fā)明覆蓋這種修改和變化，也在所附和其等同物的范圍內。圖I圖示了包括基底12和頂部14的燃料分配器10、以及由兩側面板18支持的蓋16。燃料分配器10被劃分為多個隔間，包括液壓區(qū)20和電子區(qū)22，該液壓區(qū)20被配置以包裹液壓組件，且電子區(qū)22被配置以包裹電子組件。蒸汽屏障可以用來分離液壓區(qū)20和電子區(qū)22。在液壓區(qū)20內包裹用于控制燃料流的若干組件。通過管道網絡向諸如入口管道(inlet pipe) 24的燃料分配器10內的流導管中泵抽來自下層儲存區(qū)的燃料。當分配燃料時，燃料通過計量器26傳輸，如本領域技術人員應該理解的，該計量器26響應于通過計量器的燃料的流速或流量。脈沖器28生成指示通過計量器26的燃料的流速或流量的信號。隨著對燃料的分配，燃料通過噴嘴36被分發(fā)到軟管34且到消費者的車輛中。在空閑時，噴嘴36保持在適當的支架38中。燃料分配器10還包括用戶接口 40來允許用戶/消費者交互和參與燃料分配器處的分配器交易。用戶接口 40可以包括各種輸入和輸出設備。例如，用戶接口 40可以包括交易總價顯示器42，來向消費者呈現消費者要為所接收的燃料付的總價。用戶接口 40還可以包括交易總量顯示器44，來向消費者呈現以加侖或公升為單位的從燃料分配器10分配的燃料的測量量。在圖I所示的實施例中，燃料分配器10是多產品分配器，其能夠分配不同等級的燃料。在顯示器46上呈現每種等級的燃料的每單元價格。提供辛烷(Octane)選擇按鈕48來允許消費者在開始分配之前選擇要分配的那種等級的燃料。用戶接口 40包括顯示器50和鍵盤接口 54。顯示器50被配置以向消費者提供指令、提示、廣告和/或其他信息。消費者使用鍵盤接口 54提供對指令或提示的響應或選擇。例如，顯示器50可以指示消費者輸入PIN，這通過消費者按壓鍵盤接口 54的適當鍵來實現。燃料分配器10還可以包括讀卡器56，其適用于接收磁條卡，諸如信用卡或借記卡，來支付所分配的任何燃料。燃料分配器10可以另外包括其他支付或交易類型設備，來接收與諸如預付費分配器交易的交易相關的交易處理的支付信息。這種設備的例子包括賬單接受器58、光讀取器60、智能讀卡器62和生物讀取器64。燃料分配器10優(yōu)選地包括收條打印機66，被配置以打印證明在燃料分配器10處進行的交易的信息。本領域技術人員將理解，上述組件可以按各種配置來安排，而不脫離本發(fā)明的范圍。圖2和3是根據本發(fā)明的一個方面的用戶接口 40的示意圖。用戶接口 40包括顯
示器50、鍵盤接口 54、顯示器控制器200、框202、和控制器印刷電路板("PCB" )204。(在圖3中，以虛線示出顯示器控制器200以便允許檢查用戶接口 40的其他組件。)應該理解，顯示器控制器200可以是任何適當的顯示器控制器或被配置以控制、通信或另外向顯示器50提供表示要由顯示器成像的物質的數據的適當的顯示板，并且可以提供連接以便與外部源通信。鍵盤接口 54包括鍵盤PCB 206和連接到鍵盤PCB的多個單獨的鍵(在208處示出)。鍵盤接口 54 (且具體地鍵盤PCB 206)和控制器PCB 204可操作地彼此連接，且被安裝到框202。顯示器50還可以被安裝到框202的上表面212。如圖3所示，控制器PCB 204還可以包括類似的連接，諸如客戶端連接304、顯示板連接306和讀卡器模塊連接308?？刂破鱌CB 204包括處理設備210、存儲器300和圖形控制器302。處理設備210可以是處理器、微處理器、控制器、微控制器或其他電路。在示例的實施例中，處理設備210是安全32位微控制器，諸如由Austin，Texas的MAXM INTEGRATED PRODUCTS提供的USIP芯片。存儲器300可以是任何存儲器或計算機可讀介質，只要其能夠被處理設備210訪問，包括隨機存取存儲器("RAM")、只讀存儲器("ROM")、可擦除可編程R0M(" EPROM")或電EPR0M(" EEPROM" )、CD-ROM、DVD、或其他光盤存儲器、固態(tài)盤("SSD")、磁盤存儲器、包括軟盤或硬盤、任何類型的非易失性存儲器、諸如安全數字("SD")、閃存、存儲棒、或可以用于以計算機可執(zhí)行程序、指令或數據形式承載或存儲計算機程序代碼的任何其他介質。另外，當在諸如連接304，306，和308的連接上傳輸或提供信息時，處理設備210識別該連接為計算機可讀介質。因此，這種連接應該被包括在"存儲器"的定義中。優(yōu)選地，存儲器300是加密的RAM。處理設備210還可以包括僅對處理設備可訪問的存儲器的一部分。存儲器300包括計算機可執(zhí)行程序代碼或指令，其當由處理設備210執(zhí)行時進行以下詳細描述的處理的一個或多個步驟。存儲器300還可以包括用于存儲信息的數據和一個或多個數據結構或數據庫。在這種情況下，本領域技術人員應該知道，計算機可執(zhí)行程序代碼或指令通常包括一個或多個應用程序、其他程序模塊和程序數據。還可以在處理設備210的存儲器上存儲計算機可執(zhí)行程序代碼或指令。在示例實施例中，存儲器300存儲用于加密保密信息的一個或多個加密算法、密鑰和/或代碼，以下更詳細描述的。
處理設備210包括連接處理設備到顯示器控制器200的第一微型開關(由箭頭214所示)和連接處理設備到框202或到燃料分配器10本身的第二微型開關(由箭頭216所示)。應該理解，這些微型開關可以被并入到控制器PCB204中，而不是處理設備210中。類似地，控制器PCB 204包括連接控制器PCB到鍵盤PCB 206、鍵盤接口 54的另一部分、框202、和/或燃料分配器10本身的一個或多個微型開關(由箭頭218所示)。本領域技術人員應該理解，由微型開關214、216和218提供的連接可以是電的或物理的連接，且因此可以由其他適當的工具、諸如接觸螺釘來實現?？蛻舳诉B接304可操作地連接控制器PCB 204到位于零售燃料環(huán)境內的POS設備(由箭頭220所示)以便向和從POS設備傳輸和接收數據。顯示板連接306連接PCB 204到顯示器控制器200 (如由箭頭222所示)以便傳輸表示要由顯示器50呈現的物質的數據。圖形控制器302管理要傳輸到顯示器控制器200的該信息和數據，如本領域技術人員應該理解的。讀卡器模塊連接308可操作地連接PCB 204到被 配置以從消費者提供的支付工具接收信息的讀卡器(由箭頭224所示)。本領域技術人員應該理解，"讀卡器"通常包括能夠諸如通過"讀取"磁條卡(諸如借記卡和信用卡)、包括芯片(諸如智能卡)的設備、或非接觸卡(諸如那些并入的無線電頻率標識("RFID")標簽)從消費者接收金融信息的任何設備。在當前描述的實施例中，讀卡器與用戶接口 40分離。在另一實施例中，讀卡器是用戶接口 40的組件，且被安裝到和/或在框202內安裝到PCB，類似于鍵盤PCB 206。在這種實施例中，讀卡器PCB以與鍵盤PCB 206相同的方式可操作地連接到控制器PCB204，如在此描述的?；蛘?，讀卡器可操作地連接到鍵盤PCB 206，類似于鍵208可操作地連接到鍵盤PCB的方式。還應該理解，開關、類似于開關214和216可以被包括以連接控制器PCB204到讀卡器或其相關的PCB。以下描述根據本發(fā)明的實施例的、參考圖1、2、3提供燃料分配器10和其組件的使用和操作的例子。本領域技術人員應該理解，可以改變在以下描述中闡述的方法、方式和序列，而不脫離本發(fā)明的范圍。例如，以下描述涉及通過使用借記卡的預處理支付交易，但也應該可應用于涉及使用信用卡的后處理支付交易。消費者將車輛停放得靠近燃料分配器10，且接近用戶接口 40。顯示器50向消費者呈現關于使用借記卡預付費的哪一個選項的支付選項。在該例子中，消費者使用鍵盤接口 54來選擇該選項。消費者跟隨顯示器50提供的指令來使用讀卡器56插入和移除消費者的借記卡。讀卡器56向處理設備210傳輸在借記卡上存儲的賬戶選項，該處理設備210加密并將該選項存儲在存儲器300中。顯示器50提示消費者通過選擇鍵盤接口 54的適當鍵208來提供PIN。本領域技術人員應該理解，鍵盤PCB 206向處理設備210發(fā)送表示由用戶選擇的每個鍵208的數據。處理設備210加密從鍵盤PCB 206接收的表示消費者的PIN的數據，并將該數據存儲在存儲器300中。處理設備210然后向金融機構的主機處理系統(tǒng)發(fā)送消費者的賬戶選項和表示消費者的PIN的數據，該金融機構響應于消費者的賬戶以便驗證支付信息?；蛘?，處理設備210向零售燃料環(huán)境內的POS設備傳輸該信息和數據來進行支付信息的處理。在另一實施例中，讀卡器56直接向POS設備發(fā)送賬戶信息，而處理設備210直接向POS設備發(fā)送PIN數據，該POS設備然后進行交易處理。
本領域技術人員將理解，通常通過使用加密算法和密鑰加密要傳輸的數據來實現這種信息和數據的接收和發(fā)送，然后由接收設備使用相同的加密算法和密鑰來解密。還應該理解,可以使用本領域技術人員公知的任何多個加密技術。本領域技術人員應該理解支付交易處理，且因此在此不詳細討論。具體參考圖2和3，涉及用戶接口 40來防止篡改或獲取對諸如賬戶信息或PIN的保密消費者信息的訪問。顯示器控制器200與控制器PCB 204的分離，或反之的分離觸發(fā)微型開關214。另外，控制器PCB 204與框202或與燃料分配器10的移除觸發(fā)微型開關216。類似地，PCB 204與鍵盤PCB 206的移除或反之的移除觸發(fā)一個或多個微型開關218。在微型開關214、216或218中的任一被觸發(fā)的情況下，擦除在存儲器300中存儲的加密算法和/或密鑰。這可以通過由于加密信息的破壞而分派的處理設備210或控制器PCB 204的另一組件來實現。在另一實施例中，觸發(fā)微型開關214、216、218中的一個或多個導致在存儲器300中存儲的所有信息的擦除或破壞。因此，通過當接收已經分離或移除了用戶接口 40的一個或多個組件的指示時刪除信息來防止對敏感性消費者信息的訪問。在一個實施例中，即使當已經經由在PCB中包括且可操作地連接到處理設備210和/或存儲器300的電池來
將控制器PCB 204斷電時這也可以實現。應該理解，對電池的訪問需要PCB與顯示器控制器200分離，由此導致激活開關中的一個或多個。例如，處理設備210、諸如上述USIP芯片，包括電池供電密鑰區(qū)域，其在篡改時擦除敏感性數據或加密信息。也就是說，處理設備210和/或存儲器300可以被配置以即使當控制器PCB 204斷電時、當激活微型開關之一時也擦除任何敏感性信息。在另一實施例中，處理設備210和/或存儲器300被配置以在控制器PCB 204斷電的情況下擦除在其中存儲的任何敏感性信息。在另一實施例中，用戶接口 40另外包括包裹彼此面對的PCB 204和206的表面的網狀物226的內部層。網狀物226以允許控制器PCB識別已經破壞了網狀物226的整體性的方式被連接到控制器PCB 204。如果這發(fā)生了，則擦除在存儲器300或處理設備210的存儲器中存儲的任何敏感性信息。在另一實施例中，外蓋226僅包裹控制器PCB 204面向鍵盤接口 54的表面，但另外以類似于上述的方式運作。在另一實施例中，其中讀卡器如上述是用戶接口 40的一部分，則移除讀卡器或其相關的PCB觸發(fā)可操作地連接控制器PCB 204到讀卡器或其相關的PCB的開關。在以類似于上述方式而激活該開關時，可以擦除在存儲器300中存儲的加密算法和/或密鑰。另外，還可以以類似于針對網狀物226和PCB204和206上述的方式，使用網狀物來包裹讀卡器的相關PCB的整體或僅表面。破壞或損壞連接到讀卡器的PCB的網狀物的整體性也可以導致刪除在存儲器300中存儲的任何敏感性信息或數據。在另一實施例中，顯示器50是觸摸屏。在該實施例中，觸摸屏可以被配置以提供由在上述實施例中的鍵盤接口 54提供的功能。因此，在這種實施例中，鍵盤接口 54 (包括鍵盤PCB 206)可以從用戶接口 40中省略。控制器PCB 204與顯示器控制器200的分離激活微型開關214，由此以類似于上述的方式使得由處理設備210和/或存儲器300存儲的任何敏感性數據被擦除和/或損毀。應該理解，在該情況下，顯示器50、控制器PCB 204和顯示器控制器200可以被重新布置，而不脫離本發(fā)明的范圍，以便補償鍵盤接口 54的省略和/或顯示器50尺寸的增加。例如，控制器PCB 204可以位于顯示器50和顯示器控制器200之間。在這種實施例中，微型開關216或218可以可操作地理解控制器PCB 204到顯示器50。微型開關之一的激活將具有類似于上述的效果。也就是說，微型開關216或216由于控制器PCB 204與顯示器50的分離而導致的激活將使得擦除在存儲器300中存儲的任何敏感性信息。應該理解，上述描述提供了被配置以向用戶呈現指令并接收響應的保密信息的用戶接口。該用戶接口以安全方式接收并保持信息，且包括適用于指示用戶接口的組件中的至少一個何時被移除或篡改的一個或多個設備。在這種指示下，用戶的保密性信息被擦除，或解密該保密性信息所需的加密算法和/或密鑰被擦除?；蛘撸脸捎脩艚涌诖鎯Φ乃行畔?。因此，提供被配置以保護每個用戶的保密性信息的用戶接口。也就是說，該用戶接口移除或損毀在其中存儲的所有數據或足夠防止任何敏感性信息的不適當使用的數據量。還應該理解，上述的用戶接口 40的配置提供制造、選擇和布置接口的組件的靈活性。例如，顯示器50的類型、尺寸和放置可以取決 于接口或分配器的需求而變化，只要對應的顯示器控制器能夠覆蓋或連接到位于處理設備210上或控制器PCB 204上的微型開關。因此，可以使用更大的顯示器，而不必須修改用戶接口 40的其他組件的配置。另外，可以取決于燃料分配器10的配置來調整或傾斜顯示器50來獲得消費者的更好視覺，只要在顯示器控制器200和處理設備210或控制器PCB 204之間的連接保持安全。其他安全措施可以并入本發(fā)明以便更加安全。例如，本發(fā)明可以包括在美國公開專利申請?zhí)朜o. 11/562，150中公開的遠程顯示器安全措施，其通過引用并于此，而不阻礙上述安全措施。在并入了申請no. 11/562，150中公開的遠程顯示器安全措施的本發(fā)明的實施例中，顯示器50可以位于遠離顯示器控制器200，而最小化用戶接口 40對另外的篡改或安全風險的暴露。或者，顯示器50和顯示器控制器200可以位于遠離控制器PCB 204。通過另一例子，本發(fā)明還可以包括在2003年10月9日公開的歐洲專利申請序列號No. 1408459Al中公開的安全措施，其全部公開被引用附于此。雖然已經描述了本發(fā)明的一個或多個優(yōu)選實施例，但是應該理解本發(fā)明的任何和所有等同實現都被包括在其范圍和精神內。通過僅例子表示上述實施例，且不意圖限制本發(fā)明。但是，本領域技術人員應該理解本發(fā)明不限于這些實施例，因為可以進行修改。因此，構想，任何和所有這種實施例都被包括在本發(fā)明中，且可以落入其范圍和精神內。
權利要求
1.一種用戶接口，用于適用于處理敏感性信息的燃料分配器，所述用戶接口包括 顯示板； 顯示器，可操作地連接到所述顯示板；以及 控制電路，包括處理器、存儲器和第一觸發(fā)器，其中，所述顯示板和控制電路處于通常彼此平行的各個平面中，且顯示板的部分物理地重疊控制電路的部分，以便第一觸發(fā)器連接到顯示板部分。
2.根據權利要求I的用戶接口，其中，所述第一觸發(fā)器的激活使得擦除在存儲器中存儲的敏感性信息。
3.根據權利要求I的用戶接口，還包括框，其中，所述顯示器和控制電路被安裝到該框。
4.根據權利要求I的用戶接口，其中，所述顯示板的部分物理地重疊處理設備的至少一部分。
5.根據權利要求4的用戶接口，其中，所述第一觸發(fā)器物理地連接到控制電路和顯示板。
6.根據權利要求5的用戶接口，其中，所述第一觸發(fā)器物理地連接處理器到顯示板。
7.根據權利要求6的用戶接口，其中，所述處理器包括第一觸發(fā)器。
8.根據權利要求5的用戶接口，其中，所述第一觸發(fā)器是微型開關。
9.根據權利要求I的用戶接口，還包括可操作地連接到控制電路的讀卡器模塊。
10.根據權利要求9的用戶接口，其中，所述讀卡器模塊從借記卡或信用卡接收敏感性信息的至少一部分。
11.根據權利要求I的用戶接口，其中，所述第一觸發(fā)器是從由機械觸發(fā)器、物理觸發(fā)器、電子觸發(fā)器、軟件使能的觸發(fā)器和信號組成的組選擇的觸發(fā)器。
12.根據權利要求I的用戶接口，其中，所述顯示器是觸摸屏。
13.根據權利要求6的用戶接口，其中，所述第一觸發(fā)器是微型開關。
14.根據權利要求9的用戶接口，其中，所述第二觸發(fā)器可操作地連接控制電路到讀卡器模塊，且第二觸發(fā)器的激活使得擦除在存儲器中存儲的敏感性信息。
15.根據權利要求9的用戶接口，其中，所述讀卡器模塊是磁條讀卡器。
16.根據權利要求9的用戶接口，其中，所述讀卡器模塊是無線電頻率標識讀卡器。
17.根據權利要求3的用戶接口，其中，所述第二觸發(fā)器可操作地連接控制電路到所述框，且第二觸發(fā)器的激活使得擦除在存儲器中存儲的敏感性信息。
18.根據權利要求I的用戶接口，還包括 鍵盤接口，可操作地連接到所述處理器；以及 所述第二觸發(fā)器連接到控制電路和鍵盤接口，其中第二觸發(fā)器的激活使得擦除在存儲器中存儲的敏感性信息。
19.根據權利要求18的用戶接口，其中，所述第二觸發(fā)器物理地連接到鍵盤接口和控制電路。
20.根據權利要求I的用戶接口，其中，所述控制電路位于顯示器和顯示板之間，所述控制電路的第二觸發(fā)器連接到顯示器，控制電路與顯示板的分離激活了第一觸發(fā)器，控制電路與顯示器的分離激活了第二觸發(fā)器，且任一觸發(fā)器的激活使得擦除在存儲器中存儲的任何敏感性信息。
21.一種燃料分配器，包括 控制電路，包括處理器、存儲器和觸發(fā)器， 顯示器，可操作地連接到所述處理器；以及 框，被配置以支持控制電路和顯示器，其中觸發(fā)器的激活由于篡改而使得擦除在存儲器中存儲的敏感性信息。
22.根據權利要求21的燃料分配器，其中，所述觸發(fā)器連接到該框，以便控制電路與該框的分離使得觸發(fā)器激活。
23.根據權利要求21的燃料分配器，還包括可操作地連接到處理器和顯示器的顯示控制器，其中，所述觸發(fā)器連接到顯示控制器，以便控制電路與該顯示控制器的分離使得觸發(fā)器激活。
全文摘要
一種用于燃料分配器的用戶界面，包括顯示器、顯示器控制器和控制電路?？刂齐娐钒ㄌ幚碓O備、存儲器和至少一個微型開關。顯示器控制器和控制電路被定位以便微型開關連接控制電路到顯示器控制器。如果控制電路與顯示器控制器分離，則激活微型開關。該微型開關的激活使得擦除由控制電路存儲的任何敏感性信息。在一個方面，顯示器控制器與控制電路的分離僅是處理設備和/或存儲器可以被訪問的方式。
文檔編號G07F19/00GK102804234SQ201080025708
公開日2012年11月28日 申請日期2010年6月9日 優(yōu)先權日2009年6月9日
發(fā)明者G.卡拉佩里 申請人:吉爾巴科公司