DE2858819C2 - Tragbarer Informationsträger für die Speicherung und Verarbeitung von Informationen - Google Patents

Description

Die Erfindung betrifft einen tragbaren Informationsträger nach dem Oberbegriff des Patentanspruchs 1.

Ein Informationsträger dieser Gattung ist aus der DE 26 21 271 A1 bekannt. Der Informationsträger ist als flache Karte nach Art einer Scheck- oder Kreditkarte ausgebildet. Sein Spei­ cher enthält geschützte Zonen, in denen vertrauliche Infor­ mationen wie insbesondere der Inhaberschlüssel abgespeichert sind. Im Gebrauch dieses Informationsträgers wird der Be­ nutzer aufgefordert, seinen Inhaberschlüssel über eine Ta­ statur von außen einzugeben. Die gewünschte Transaktion wird nur freigegeben, wenn der eingegebene Inhaberschlüssel mit dem auf dem Informationsträger gespeicherten Inhaberschlüs­ sel übereinstimmt. Bei Nichtübereinstimmung wird eine Feh­ lerinformation gespeichert, indem z. B. eine zugeordnete Si­ cherung zerstört wird. Demgegenüber wird bei einer Überein­ stimmung eine speziell für diesen Fall vorgesehene Simula­ tionsschaltung aktiviert, in der über einen Transistor le­ diglich ein zugeordneter Widerstand zugeschaltet wird, um in diesem einen entsprechenden Strom zu erzeugen. Aufgrund der unterschiedlichen Schaltungsfunktionen im Fall einer Nicht­ übereinstimmung einerseits und einer Übereinstimmung ande­ rerseits kann somit nicht ausgeschlossen werden, daß sich insbesondere auch eine unterschiedliche Energieaufnahme er­ gibt, was die Gefahr eines betrügerischen Ausspähens des In­ haberschlüssels mit sich bringt. Der Mißbrauchsschutz ist demnach begrenzt. So kann beispielsweise ein Betrüger ver­ schiedene Kombinationen des Inhaberschlüssels durch einen entsprechenden Dialog zwischen dem Informationsträger und dem betreffenden Eingabegerät durchspielen und anhand eines unterschiedlichen Verhaltens des Informationsträgers mög­ licherweise den zutreffenden Inhaberschlüssel aufdecken.

Der Erfindung liegt die Aufgabe zugrunde, einen tragbaren Informationsträger für die Speicherung und Verarbeitung von Informationen zu schaffen, bei dem die Gefahr eines betrü­ gerischen Ausspähens anhand des jeweiligen Verhaltens des Informationsträgers bei fehlender Übereinstimmung der Inha­ berschlüssel einerseits und festgestellter Übereinstimmung andererseits auf ein Minimum herabgesetzt ist.

Diese Aufgabe wird durch den im Patentanspruch 1 angegebenen Informationsträger gelöst.

Der erfindungsgemäße Informationsträger ist mit Mitteln ver­ sehen, durch die bei einer Übereinstimmung der Inhaberschlüs­ sel eine Zugriffsinformation in den Speicher eingeschrieben wird, so daß für eine Nichtübereinstimmung und eine Überein­ stimmung der Inhaberschlüssel nach außen ein vollständig symmetrisches Verhalten des Informationsträgers sicherge­ stellt ist. Damit ist ausgeschlossen, daß beispielsweise aus der jeweiligen Stromaufnahme des Informationsträgers Rück­ schlüsse über die Nichtübereinstimmung oder Übereinstimmung der Inhaberschlüssel gezogen werden können, wodurch ein er­ höhter Schutz gegen Mißbrauch erzielt wird.

Der Informationsträger kann einen Mikroprozessor mit zuge­ ordnetem Speicher enthalten. Mikroprozessoren, ihre Funk­ tionsweise und verschiedene Anwendungsgebiete von Mikropro­ zessoren sind beispielsweise in "Elektronik" 1974, Heft 10, Seiten 379 bis 382, beschrieben.

Vorteilhafte Weiterbildungen der Erfindung sind in den Unter­ ansprüchen angegeben.

Zu den bevorzugten Anwendungsgebieten des Informationsträgers gehören:

• - die Speicherung und Verarbeitung von fortzuschreibenden Finanzierungsdaten (Konten, Kredite usw.),
• - die Steuerung des Zugriffs auf geheime oder vertrauliche Parameter,
• - die Speicherung von vertraulichen und von offenen Informa­ tionen mit der Möglichkeit einer internen Auswahl sowie ei­ ner unterschiedlichen Verarbeitung.

Einzelheiten vorteilhafter Ausführungsformen des Informations­ trägers ergeben sich aus der folgenden Beschreibung und aus der Zeichnung, auf die Bezug genommen wird. In der Zeichnung zeigt

Fig. 1 und 2 jeweils ein Ausführungsbeispiel der elektronischen Schaltkreise eines Informationsträgers,

Fig. 3 eine vergrößerte Schnittansicht eines Informations­ trägers,

Fig. 4a und 4b die Organisation des Informationsinhaltes des Informationsträgers,

Fig. 5 eine detaillierte Darstellung der in den Fig. 1 und 2 dargestellten Schaltkreise,

Fig. 6 und 7 die Arbeitsweise des Trägers bei einem Lesevorgang und

Fig. 8 und 9 die Arbeitsweise bei dem Schreibvorgang.

Die Fig. 1 zeigt ein erstes Realisierungsbeispiel der elektro­ nischen Schaltkreise.

Der Mikroprozessor 1 erhält seine Stromversorgung von außen zwischen dem Masseanschluß 9 und dem Anschluß 7 mittels einer geregelten Spannung.

Ein programmierbarer elektrischer Festwertspeicher (Permanent­ speicher) 2 vom Typ PROM liegt zwischen dem Masseanschluß 9 und der Versorgungsklemme 8.

Dieser Aufbau erlaubt die Anwendung der Schreibspannung an der Klemme 8 immer dann, wenn die Klemme 7 auf einem konstanten Po­ tential bleibt, um den Mikroprozessor zu versorgen. Die Kapazität des Speichers 2 kann zwischen 4096 und 8192 binären Positionen festgelegt werden, was ausreichend für die betrachteten Anwen­ dungen ist. Diese Kapazitäten sind jedoch nicht begrenzt.

Über einen Anschluß 5 werden die verschiedenen internen Abläufe der Einrichtung hinsichtlich einer äußeren Anlage synchronisiert. Die entsprechende Synchronisierspannung wird als Impulsfolge zugeführt und kann eine Frequenz in einer Größenordnung von 0,5 bis 5 MHz aufweisen.

Die Klemme 6 bildet den einzigen Zugang zu der Einrichtung für einzugebende und abzurufende Informationen für einen seriellen oder nicht seriellen Dialog der Informationen entsprechend der Richtung der Übertragung.

Der Mikroprozessor 1 steuert den Speicher 2 vollständig unter Zwischenschaltung

• - von Adressenleitungen 3 und
• - einer Informationsleitung 4.

Wenn die Einrichtung über die Klemme 6 einen Lesebefehl er­ hält, wird der Zugriff nach einer Kontrolle zugelassen. Die Adresse wird auf den Leitungen 3 wiedergegeben und die Daten über die Leitung 4 übertragen. Ein Schreibbefehl wird zum Speicher 2 über die Leitung 10 gleichzeitig mit der Schreib­ spannung an der Klemme 8 übertragen.

Die Fig. 2 gibt ein zweites Ausführungsbeispiel zum Aufbau der elektronischen Schaltkreise.

Der Mikroprozessor 1 enthält einen internen nichtflüchtigen Fest­ wertspeicher 2. Dieser Speicher ist in zwei Zonen 20 und 21 unterteilt.

Die Zone 20 trägt das Funktionsprogramm des Mikroprozessors. Die Zone 21 wird für die Speicherung von Informationen ver­ wendet.

Bei der Ausführungsform werden die Versorgungsspannungen dem Mikroprozessor ebenso wie die Taktspannung 5 zugeführt.

Die im vorbeschriebenen Beispiel erwähnten Leitungen 3 und 4 sind intern angeordnet.

In der Fig. 3 wird eine Ausführungsform eines Informations­ trägers gemäß der Erfindung in einer Schnittdarstellung gezeigt. In einer vorgesehenen Ausnehmung innerhalb einer Scheibe C2 aus Polyvinylchlorid und auf einem Vorsprung am Rand dieser Ausnehmung ruhend sind zwei weitere Scheiben aus Polyvinyl­ chlorid C1 und C3 vorgesehen, welche die gesamte Oberfläche der Ausnehmung abdecken.

In dem zwischen den Scheiben C1 und C3 durch den Vorsprung frei­ gelassenen Zwischenraum ist eine Epoxydharzschicht C4 ein­ gesetzt, in welcher zwei Ausnehmungen zur Aufnahme von zwei Halbleiterkörpern angeordnet sind, von denen der eine den Mikroprozessorkörper C7 und der andere den programmierbaren Festwertspeicher C8 darstellt.

Verbindungsleitungen L1 bis L4 stellen die Verbindungen zwi­ schen den beiden Halbleiterkörpern und den Leitern C9, C10 und C11 auf den Epoxydharzplatten dar. Sie werden an einem Ende durch die Polyvinylscheibe C1 auf der den Halbleiterkörpern ab­ gewandten Seite gehalten.

Die Fig. 4A zeigt ein Organisationsschema des Informations­ inhaltes eines Informationsträgers. Um den Informationsträger für alle Anwendungen geeignet zu machen, sind zwei Typen der Organisation des Speichers des Mikropro­ zessors vorgesehen.

Die erste Organisation entspricht der räumlichen (physikalischen oder physischen) Organisation des Speichers. Sie ist allein dem Mikroprozessor bekannt.

Die zweite Organisation entspricht der logischen Organisation des Speichers und stimmt mit den Erfordernissen des Betriebs­ ablaufes des Informationsträgers überein.

Der Mikroprozessor übernimmt die Durchführung der Entsprechungen zwischen den beiden Organisationstypen.

Der physische Speicher umfaßt im Betrieb normal drei Teile.

Der Teil 0 beginnt mit der Adresse ADO und endet mit der Adresse ADT-1. Er entspricht dem Geheimteil des Speichers, für welchen alle Schreib- und alle externen Leseoperationen verboten sind und wo allein ein internes Lesen/Schreiben zugelassen ist.

Der Teil 1 beginnt mit der Adresse ADT und endet mit der Adresse ADL-1. Er umfaßt den Arbeitsspeicher für den Mikroprozessor und alle internen oder externen Schreib- und Leseoperationen sind zugelassen.

Der Teil 2 beginnt mit der Adresse ADL und endet mit der Adresse ADF. In diesem Teil des Speichers ist ein externes und internes Schreiben verboten, ein externes oder internes Lesen aber zu­ gelassen.

Der logische Speicher ist in einen Ausführungs- und Be­ dienungsspeicher unterteilt.

Im Gebrauch soll der Informationsträger bei seiner Ausgabe Informationen erhalten, die eine Identifizierung erlauben. Die­ se Informationen sind in dem Ausführungsspeicher enthalten, wel­ cher in mehreren Zonen anfangend mit der Adresse ADF organisiert werden und die den Hersteller des Informationsträgers zu identi­ fizieren erlauben, seine Seriennummer, eine Zone LOCKF für die Gültigkeit des Inhaltes des Ausführungsspeichers und welche das Schreiben im Inneren freigibt. Die Zone LOCKF kann z. B. auf zwei Bits ausgelegt werden. Hierbei kann der folgende Code verwendet werden. Wenn LOCKF = 11, ist alles Schreiben und Lesen im Inneren der Zone des Ausführungsspeichers möglich. Wenn dagegen LOCK ≠ 11 ist, wird der Inhalt der Ausführungs­ zone für gültig erklärt, und alle Schreiboperationen werden untersagt.

Der Ausführungsspeicher ist ausgelegt für die Verwendung, die ein Anwender des Informationsträgers bezweckt. Jedoch ist un­ abhängig von der vorgesehenen Anwendung dieser Speicher selbst in zwei Teile unterteilt, von denen der eine als Definitionsspeicher und der andere als Anwendungsspeicher verwendet wird. Die Größen dieser Zonen hängen natürlich von der betrachteten Verwendung ab. Der Definitionsspeicher beginnt mit der Adresse AD0. Er umfaßt

• - eine Zone LOCK mit mehreren Bits, welche externe Zugänge zu dem Definitionsspeicher untersagen und seinen Inhalt für gültig erklären,
• - eine Zone PARAM, deren Länge von dem Typ des Informations­ trägers abhängt und welche die notwendigen Parameter zum Betrieb des Informationsträgers enthält, sowie
• - eine Zone TYPE zum Bestimmen der Funktion des Informations­ trägers, z. B. eine Restaurantrechnung, ein elektro­ nischer Stempel, ein Zugangsschlüssel für Hotels, ein Spei­ cherfiche usw.

Der Anwendungsspeicher wird durch die übrigen Zonen gebildet. Er ist verwendbar als üblicher Speicher, jedoch die Zugriffs­ bedingungen zu Teilen des physischen Speichers müssen respek­ tiert werden. Folglich können bei irgendeinem Gebrauch zum Empfang des Informationsträgers gemäß der Erfindung geheime In­ formationen immer nur im Teil 0 die Informationen, welche gelesen werden dürfen, allein im Teil 2 und die zu speichern­ den Informationen im Verlauf der normalen Bearbeitung des Informationsträgers nur im Teil 1 lokalisiert werden. Das verwendete Format für die zu speichernden logischen In­ formationen in dem Anwendungsspeicher kann natürlich beliebig gewählt werden.

Im folgenden wird ein Beispiel eines Ausschnitts des logischen Speichers im Rahmen einer Anwendung mit Geldverrechnung in Ver­ bindung mit der Fig. 4B gegeben.

In diesem Fall wird zum Zugriff des Informationsträgers die Anwesenheit von mindestens zwei Schlüsseln benötigt. Wenn es sich um Bankgeschäfte handelt, muß ein Schlüssel Nr. 1 die Bank und ein Schlüssel Nr. 2 den Kunden identifizieren. Der Definitionsspeicher enthält dann eine Zone mit einem Code zur Bezeichnung des Geldgeschäftes des Informationsträgers. Eine Zone PARAM enthält:
die Zone LOCK mit 2 Bits; wenn LOCK = 11, ist der Zugriff zum Schreiben in allen Teilen des Speichers nur erlaubt, wenn der Schlüssel 1 anwesend ist. Wenn LOCK verschieden von 11 ist, ist der Inhalt der Teile 0 und 2 des physischen Speichers gültig, der Zugriff zum Teil 0 und das Schreiben im Teil 2 des physischen Speichers ohne den Schlüssel Nr. 2 sind verboten. Um die Karte zu kreditieren ist der Schlüssel Nr. 1 notwendig, wenn LOCK unterschiedlich ist von 11, und der Inhalt des De­ finitionsspeichers ist gültig.

Die Zone LP enthält zwei Bits.

Wenn LP = 11, ist das Lesen nicht geschützt. Es ist erlaubt in den Teilen 1 und 2 ohne Schlüssel (Zugriffspeicher nicht existent).

Wenn LP ≠ 11, dann ist das Lesen geschützt und ein Schlüssel ist obligatorisch zum Lesen der Teile 1 und 2. Dies ist der Fall bei den meisten Bankoperationen. (Alle Lesevorgänge werden notwendigerweise von einem Zugriffsbit entsprechend einem Fehler­ bit begleitet, um eine symmetrische Funktion im Betrieb des Informationsträgers zu erhalten).

Die Zone EP enthält 2 Bits.

Wenn EP = 11, ist das Schreiben nicht gesichert. In diesem Fall wird der Speicher wie Speichermittel ohne Sicherung ver­ wendet. Dieser Fall ist z. B. dann gegeben, wenn der Speicher leer ist vor der Ausgabe des Informationsträgers.

Wenn EP verschieden von 11 ist, ist ein Schlüssel notwendig zum Schreiben in dem Teil 1 des physischen Speichers.

Der Anwendungsspeicher ist zusammengesetzt aus dem Identifi­ kationsspeicher und dem Finanzspeicher. Die Informationen des Identifikationsspeichers setzen sich zusammen aus den Teilen 0 und 2. Der Identifikationsspeicher im Teil 0 setzt sich im wesentlichen zusammen aus einem Fehlerspeicher und einem Zu­ griffsspeicher. Der Fehlerspeicher speichert ein Fehlerbit jedesmal aufgrund einer Funktion im Informationsträger, wel­ che durch einen falschen Schlüssel ausgelöst wird. Die Fehlerspeicher werden mit steigenden Adressen von der Adresse ADE eingeschrieben. Wenn die Überlaufzone DEBE beschrieben wird, wird der Informationsträger ungültig.

Der Zugriffsspeicher existiert nur, wenn das Lesen des Informa­ tionsträgers gesichert wird (LP ≠ 11), was in vielen Bankanwendungsfällen der Fall ist. Mit jedem Lesen, welches von einem richtigen Schlüssel begleitet wird, schreibt der Mikroprozessor ein Zugriffsbit wie erwähnt. Zugriffsbits wer­ den von der Adresse ADA angeschrieben. Wenn die Zone DEBA angefüllt ist, wird der Informationsträger ungültig und kein Lesevorgang kann mehr erfolgen.

Der Identifikationsspeicher kann darüberhinaus folgende Zonen enthalten.

Eine Zone "gefüllt", welche anzeigt, daß die Karte voll ist und keinerlei Schreiben möglich ist.

Eine Zone "Schlüssel", welche den Code des Bankschlüssels und denjenigen des Kunden aufweist. Der Schlüssel Nr. 1 ist z. B. der Bank zugeordnet, während der Schlüssel Nr. 2 Kunden zuge­ ordnet ist.

Eine Zone VALC 1 erlaubt, die Gültigkeit des Schlüssels Nr. 1 zu definieren; wenn VALC 1 ≠ 11 ist, ist der Schlüssel gültig.

Eine Zone VALC 2 erlaubt, die Gültigkeit des Schlüssels Nr. 2 zu definieren; wenn VALC 2 ≠ 11 ist, ist dieser Schlüssel gültig.

In dem Fall, wo LOCK verschieden ist von 11, erlaubt der Schlüssel Nr. 1 allein das Schreiben von allen Informationen, wodurch allein die Kaufkapazität des Informationsträgers ver­ mehrt wird, vorzugsweise in Form eines Kredites. Dagegen wird der Schlüssel Nr. 2 durch den Eigentümer des Informa­ tionsträgers zum Gültigmachen der Debitoperationen (Lesen und zugelassenes Schreiben) verwendet.

Der Identifikationsspeicher im Teil 2 des physischen Speichers beginnt unmittelbar vor dem Definitionsspeicher (Zone Type) im Sinne abnehmender Adressen. Diese Zone von variabler Länge erlaubt das Speichern von Informationen in dauerhafter Weise. Sie enthält:

• - eine Adressenzone enthaltend den Punkt ADT, welcher die Anfangsadresse der Arbeitszone darstellt, und den Punkt ADL, mit der Adresse der Lesezone,
• - eine Zone RIB entsprechend der Aufnahme der Bankidentität und der ausgesendeten Daten des Informationsträgers,
• - eine Zone NOM entsprechend dem Namen des Inhabers der Speicherkarte,
• - eine Zone "Betrag" mit n Bits,
• - eine Einheitszone "U₁", welche in Verbindung mit der Betragszone den Ausgangsbetrag der Speicherkarte zu erkennen erlaubt.

Beispielsweise, wenn die Einheitszone für 500 Francs gilt, kann der Ausgangswert, welcher auf dem Informationsträger enthalten ist, den Betrag von (2ⁿ-1)×500 Francs betragen.

Der Finanzspeicher ist in eine Arbeitszone im Teil 1 des physischen Speichers zwischen den Adressen ADT und ADL einge­ fügt. Die Belastungen werden direkt eingeschrieben vom Anfang der Adresse ADT an mit steigenden Adressen. Die Kredite werden von der Adresse ADL an eingeschrieben mit fallenden Adressen, so daß die Belastungen und Kredite den Speicher in entgegenge­ setzter Richtung auffüllen.

Die Fig. 5 zeigt in ausführlicherer Darstellung die in den Fig. 1 und 2 angedeuteten Schaltkreise. Die ankommenden bzw. abgehenden Informationen in Form von Binärinformationen erscheinen an der Klemme 6 des Informationsträgers. Sie gelangen in den Informationsträger über die Torschaltung 25 und werden in dem Schieberegister T 24 gespeichert. Die Torschaltung 25 wird durch ein Signal über die Leitung 36 gesteuert, welche diese Torschaltung mit der Steuerlogik 16 verbindet. Die In­ formationen verlassen den Informationsträger über die Torschal­ tung 26, welche ebenfalls von der Steuerlogik 16 über die Lei­ tung 36 gesteuert wird. Die in dem Register T 24 enthaltene Information dient unmittelbar danach als erster Operand für die eine arithmetische/logische Operation, welche in der Arithmetik- Logik-Einheit 23 durchgeführt wird, welche durch das von der Steuerlogik 16 über die Verbindung 37 ausgesendete Steuersignal gesteuert wird. Der zweite Operand wird einem der Register A, B, C, D der Bankenregister 19 entnommen, welches durch den Adressenauswahlkreis 22 adressiert wird, welcher seinerseits durch die Steuerlogik 16 über die Leitung 29 gesteuert ist. Das Ergebnis der durch die Arithmetik-Logik-Einheit durchgeführten Operation wird einerseits zum Register A des Bankenregisters 19 und andererseits der Klemme 6 des Informationsträgers über die Torschaltung 26 zugeführt. Die Register A, B, C, D können bei Beginn von den Daten- und Adressenbusleitungen 34 über die Verbindung 41 unter der Steuerung der Logikeinheit 16 über die Verbindung 46 geladen werden. Die Busleitungen 34 sind außerdem über eine Hin- und Rückverbindung 33 mit dem Schieberegister 24 verbunden, welches dadurch auf seinen parallelen Eingangs-/Ausgangsleitungen geladen oder gelesen werden kann. Die Logiksteuerung 16 gibt die adressierten Mikroinstruktionen über den Adressen­ selektor PC13 in den Steuerspeicher 20 vom Typ eines ROM-Spei­ chers und die gelesenen in das Register RM14 über die Verbindung 48.

Der Speicher 21 ist ein nichtflüchtiger programmierbarer Speicher. Er wird adressiert über das Adressenregister 11, das seine Informationen über die Busleitungen 34 und die Verbindung 3 erhält. Das Adressenre­ gister 11 markiert die Informationsworte in dem Speicher 21.

Das Adressenregister wird durch das auf der Leitung 38 von der Steuerlogik 16 ausgesendete Steuersignal gesteuert. Die in dem Register 11 enthaltene Adresse kann automatisch durch dem Informationsträger über die Klemme 5 zugeführte Taktimpulse unter der Kontrolle der Steuerlogik 16 weiter- oder zurückge­ schaltet werden. Die im Speicher 21 gelesenen Informationen werden über die Busleitungen 34 unter Zwischenschaltung des Datenregisters 12 und unter Steuerung durch die Steuerlogik 16 über die Verbindungsleitung 42 übertragen. Alle diese einzelnen getrennt in der Fig. 5 aufgeführten Elemente sind für den Fachmann ganz allgemein bekannt, und es erübrigt sich daher, sie in weiteren Details zu beschreiben.

Unter Berücksichtigung der vorgesehenen Anwendungsmöglichkeiten können die Funktionen der in der Fig. 5 dargestellten Einrich­ tung wie folgt zusammengefaßt werden:

• - Lesen und sequentielles Schreiben im Speicher 21 in frei­ gegebene Zonen von einer gegebenen Adresse an,
• - Ermittlung und Kontrolle eines Inhaberschlüssels durch Ver­ gleich mit einem von außen unzugänglichen Wort auf dem Informationsträger und Einschreiben in eine geheime Zone des Anwendungsspeichers,
• - Freigabe oder Untersagen von Lesen und Schreiben,
• - systematische Selbstkontrolle des Schreibens in dem Speicher,
• - Steuerung der internen Speicherung der Fehler und/oder der Zugriffserfolge,
• - Außer-Funktion-Setzen der vorerwähnten Funktionen durch eine feste Fehleranzahl im Teil 0.

Die Fig. 6 und 7 zeigen die Arbeitsweise des Lesespeichers. In dem Diagramm nach Fig. 5 löst das Signal RAZ die Steuerlogik 16 aus, welche die Übertragung der über die Leitung 1/0 anliegen­ den Mitteilung in das Register T auslöst.

Der Lesebefehl bildet sich in Form eines Signals SYNC, welches der Codeoperation CODOP und den Adressenbits AD vorangeht. Die verwendeten Codes sind natürlich für jede einzelne Anwendung zu definieren.

Der Befehl CODOP und die Adresse werden über die Verarbeitungs­ einheit empfangen, welche durch einen Test auf das Wort CODOP und die Bits LP hin erkennen soll, ob es sich um eine Lese­ operation handelt und ob das Lesen gesichert oder einfach erlaubt ist. In dem Diagramm nach Fig. 6 ist die Erfassung der Mitteilung CODOP + AD dargestellt als Schritt 501 und der Test durch die Schritte 503 und 504. Wenn es sich um eine nicht geschützte Leseoperation handelt, wird das Register 11 in Fig. 5 mit dem Schritt 510 durch das Adressenwort geladen, welches die Übertragung von CODOP über die Leitung 1/0 beglei­ tet. Dann werden mit dem Schritt 511 Teste durchgeführt zum Erkennen, ob die Leseadresse richtig für die angesprochene Speicherzone ist. Im einzelnen wird das in dem Programmspeicher 20 eingeschriebene Mikroprogramm darauf geprüft, ob das emp­ fangene Adressenwort größer als die Adresse AD ist, da nur dann ein externes Lesen in den Teilen 1 und 2 des physischen Speichers zugelassen ist. Wenn die Adresse größer ist als die Adresse ADT, werden die Daten dann in dem Speicher 21 gelesen und in das Register 12 eingegeben zur weiteren Übertragung über die Busleitungen 34 auf die Leitung 1/0 des Ausgangs. Das Adressenregister wird dann um eine Einheit erhöht oder erniedrigt, gemäß dem Inhalt des Codes CODOP, über eine Rück­ schleife des Mikroprogramms mit dem Schritt 510. Wenn die Adresse AD kleiner ist als die Adresse ADT (Adresse im Teil 0), wird das Adressenregister 11 um eine Einheit erhöht, bis sein Inhalt den Wert ADT erreicht. Auf diese Weise kann der ganze Speicher mit Ausnahme des Teiles 0 durch einen mit dem Informationsträger verbundenen Apparat mit wachsenden oder abnehmenden Adressen gelesen werden.

Wenn das Lesen gesichert ist, müssen die in "CODOP" und den Bits LP durchgeführten Teste übereinstimmen, und in diesem Fall ist die Erfassung von einem Schlüssel im Schritt 506 notwendig. Im Fall einer Anwendung, wo zwei Schlüssel notwendig sind, spezifiziert der Inhalt des Codes CODOP die Art des Schlüssels, welcher verwendet werden soll und für den die Leseoperation realisiert werden kann. Der auf der Leitung 1/0 empfangene Schlüssel wird dann verglichen mit einem der beiden in dem Identifikationsspeicher enthaltenen Schlüssel. Sofern eine Koinzidenz vorhanden ist, wird der Schlüssel als gut übertragen, und ein Bit wird in dem Zugriffspeicher (Schritt 507) eingeschrieben, eine Steuerung zum Schreiben dieses Bits wird dann ab­ gegeben von dem Schritt 508. Eine Rückmeldung an den Schritt 507 ist notwendig, wenn das Bit nicht geschrieben wird. Sobald das Schreiben erfolgt ist, werden Tests im Bereich DEBAC auf Fehler und Füllgrad in dem Schritt 509 durchgeführt, um zu erkennen, ob der Informationsträger weiterhin gültig ist. Im Fall, wo der Informationsträger nicht gültig war, wird eine Aussendung eines Code 000 über die Leitung 1/0 durchgeführt. Wenn der Träger durch das Mikroprogramm erkannt wird, wird die Adresse AD in das Adressenregister 1 eingegeben, und die Schritte 510 bis 513 werden durchgeführt.

Im Fall, wo mit dem Schritt 506 der empfangene Schlüssel auf der Leitung 1/0 sich als falsch erweist, wird ein Fehlerbit in dem Fehlerspeicher gespeichert (Schritt 514). Wenn das Fehlerbit eingeschrieben ist, findet ein Test mit dem Schritt 515 zum Erkennen statt, ob die Zahl der registrierten Fehler nicht über der Zahl N der zugelassenen Fehler liegt. Wenn die Zahl unterhalb liegt, wird die Information FFF über die Leitung 1/0 gesendet. Wenn sie darüber liegt, wird die Information 000 ausgesendet über die Leitung 1/0 gesendet und der Informationsträger wird ungültig.

Durch den beschriebenen Leseprozeß im Informationsträger ersieht man, daß der Anwender immer die gleiche Funktion des Informationsträgers auslöst, und zwar gleichgültig, ob die Eingabe des Zugriffsschlüssels richtig oder falsch ist. Andererseits wirkt sich das Schreiben von einem Zugriffsbit oder von einem Fehlerbit in dem Speicher in beiden Fällen der Eingabe eines richtigen oder falschen Schlüssels durch den gleichen Stromverbrauch im Informationsträger gleich aus, mit der Folge, daß ein Betrüger, welcher die Stromstärke an der Karte kontrollieren würde, immer denselben konstanten Stromverbrauch feststellen müßte, gleichgültig, ob der verwendete Schlüssel richtig oder falsch war.

Die Fig. 8 und 9 zeigen die Arbeitsweise des Informations­ trägers beim Einschreiben in den Speicher. In dem Diagramm nach Fig. 8 löst das Signal RAZ die Steuerlogik 16 und die Übertragung in das Register 24 der auf der Leitung 1/0 anliegenden Informationen aus. Der Schreibbefehl wird dargestellt in der Form eines Signals SYNC, welches einem Arbeitscode "CODOP" vorangeht, welchem Adressen-Daten-Bits und ein Schlüssel folgen, wenn das Schreiben gesichert ist. Das Signal VP wird dann über­ tragen, um das Schreiben von Daten in dem Speicher 21 des In­ formationsträgers zu erlauben. Damit der Verwender die Sicher­ heit hat, daß die auf der Leitung 1/0 übertragene Information richtig in den Informationsträger eingeschrieben wurde, werden die in dem Speicher eingeschriebenen Daten auf der Leitung 1/0 zurückübertragen und wiedergegeben zur Überprüfung durch den Anwender. Der Code "CODOP" ist natürlich spezifisch für die jeweilige Anwendung. Im Ablaufdiagramm nach Fig. 9 werden die Befehle CODOP und die Adresse AD, welche von einem Schlüssel ergänzt werden kann oder nicht, durch den Informationsträger durch einen Test erkannt, welcher in den Schritten 702 und 703 durchge­ führt wird. Mit dem Schritt 704 wird ein Gültigkeitstest des Informationsträgers durchgeführt in den Zonen DEBE, DEBAC und PLEIN. Wenn der Informationsträger als gültig erkannt wird, erfolgt die Eingabe der Daten mit dem Schritt 705.

Wenn sich ergibt, daß das Schreiben gesichert ist, ist für die Verwendung ein Schlüssel notwendig, und ein Test des Schlüssels wird durchgeführt im Schritt 707. Wenn der Schlüssel falsch ist, wird ein Fehlerbit in den Fehler­ speicher eingeschrieben (Schritt 708) und dann ein Test durchgeführt mit dem Schritt 709, zum Erkennen, ob ein Überlauf der Fehlerzone er­ folgt ist oder nicht. Im Falle eines Überlaufes sendet der Informationsträger über die Leitung 1/0 den Code 000 aus, der anzeigt, daß die Karte ungültig ist (Schritt 710). Im Falle, daß kein Überlauf stattfindet, sendet der Informationsträger die Mitteilung FFF auf der Leitung 1/0 (Schritt 711) aus, wo­ mit angezeigt wird, daß die Daten nicht geschrieben werden können. Wenn der Schlüssel in Ordnung ist, wird ein Gültigkeits­ bit gespeichert mit dem Schritt 712 und die Adresse empfangen und in das Adressenregister 11 mit dem Schritt 713 geladen. Anschließend erfolgt eine Kontrolle mit dem Schritt 714 zur Klärung, ob die empfangene Adresse innerhalb des zugelassenen Bereiches des physischen Speichers liegt, d. h. zwischen den Adressen ADL und ADT. Wenn das nicht der Fall ist, wird der Code FFF ausgesendet über die Leitung 1/0 (Schritt 711), um anzuzeigen, daß die Daten nicht in den Speicher eingeschrieben werden können. Wenn die Adresse zugelassen ist, werden die über die Leitung 1/0 empfangenen Daten in das Register 12 zum Einschreiben in den Teil 1 des Speichers 21 übertragen (Schritt 715).

Anschließend findet eine Klärung in den Schritten 716, 717 und 718 statt, um zu überprüfen, ob die in den Speicher geschriebenen Daten richtig sind. Ein Gültigkeitsbit wird im Schritt 719 in dem Speicher einmal eingeschrieben, damit die Daten geschrieben werden, bis die geschriebenen Daten dann im Schritt 720 über die Leitung 1/0 zurückübertragen werden.

Claims (3)

1. Tragbarer Informationsträger für die Speicherung und Ver­ arbeitung von Informationen, mit einem Speicher, der in meh­ rere Zonen unterteilt ist, von denen eine einen Inhaber­ schlüssel fest eingespeichert aufweist, mit Einrichtungen zum Auslesen aus dem Speicher und Einschreiben in bestimmte Zonen des Speichers, mit Einrichtungen zum Eingeben eines Inhaber­ schlüssels von außen, Mitteln zum Vergleichen des eingegebe­ nen Inhaberschlüssels mit dem eingespeicherten Inhaberschlüs­ sel und Mitteln zum Einschreiben einer Fehlerinformation in den Speicher bei Nichtübereinstimmung, dadurch gekennzeich­ net, daß Mittel (16) zum Einschreiben einer Zugriffsinforma­ tion in den Speicher (21) bei Übereinstimmung der Inhaber­ schlüssel vorgesehen sind.

2. Informationsträger nach Anspruch 1, dadurch gekennzeichnet, daß die Fehlerinformation und die Zugriffsinformation in ver­ schiedenen Speicherzonen gespeichert werden.

3. Informationsträger nach Anspruch 1 oder 2, dadurch gekenn­ zeichnet, daß der Speicher (21) folgende Zonen aufweist:

• - eine erste Zone (ADO bis ADT), die gegen jeden Zugriff von außen gesperrt ist;
• - eine zweite Zone (ADT bis ADL), in der Schreib- und Lese­ operationen sowohl von außen als auch innerhalb des Infor­ mationsträgers zugelassen sind;
• - eine dritte Zone (ADL bis ADS), in der nur Leseoperationen sowohl von außen als auch innerhalb des Informationsträgers zugelassen sind.