DE69717475T2

DE69717475T2 - Mehrfachtickets auf chipkarten

Info

Publication number: DE69717475T2
Application number: DE69717475T
Authority: DE
Inventors: Marco Drupsteen
Original assignee: Koninklijke KPN NV
Current assignee: Koninklijke KPN NV
Priority date: 1996-09-13
Filing date: 1997-09-04
Publication date: 2003-06-26
Anticipated expiration: 2017-09-05
Also published as: EP0929878B1; NZ334056A; US6003776A; AU715191B2; CA2263331A1; EP0829828A1; CA2263331C; AU4382997A; ATE228692T1; WO1998011517A1; ES2185996T3; DE69717475D1; EP0929878A1

Description

Technischer Hintergrund der Erfindung

Die vorliegende Erfindung bezieht sich auf ein Verfahren zum Einsatz von Tickets in Chipkarten und auf Chipkarten, auf denen Tickets gespeichert sind. Insbesondere bezieht sich die vorliegende Erfindung auf das sichere Speichern, Validieren und Überprüfen von Mehrfachtickets auf Chipkarten, wobei Mehrfachtickets Tickets sind, die mehr als einmal benutzt werden können. Solche Mehrfachtickets können beispielsweise Bus- oder Zugtickets sein, die für mehr als eine Fahrt eingesetzt werden können, oder Theatertickets, die für mehr als eine Vorstellung oder für mehr als eine Person eingesetzt werden können.
Es besteht ein wachsender Bedarf zum Speichern von Tickets auf Chipkarten wie der Einsatz von Chipkarten und die Anzahl der Anwendungen, für die diese einsetzbar sind, ansteigt. Chipkarten vom heutigen Tage haben jedoch eine begrenzte Speichergrösse. Das Speichern einer Mehrzahl von Tickets auf einer einzelnen Karte ist daher nur möglich, falls ein effizienter Weg zum Speichern zu solchen Tickets eingesetzt wird. Insbesondere nehmen Mehrfachtickets, die dem Karteninhaber einen mehrfachen Zugriff auf eine Dienstleistung geben, einen relativ grossen Speicherplatz ein. Verschiedene Schemata zum Einsatz von Tickets sind in dem Stand der Technik vorgeschlagen worden, aber keines von diesen erscheint einen effizienten Weg der Speicherung von Mehrfachtickets zu liefern.
Die holländische Patentanmeldung enthält 93 01 902 beschreibt ein Verfahren zum Erhalten eines Rechtes für eine Dienstleistung durch den Einsatz einer Chipkarte (IC-Karte). Bei diesem Verfahren nach dem Stand der Technik dient die Karte sowohl als Zahlungsmittel als auch als Registrierungsmittel. Dies bedeutet, dass die Karte eingesetzt wird, um den Beweis der Zahlung für die bezahlte Dienstleistung zu speichern und um so Papiertickets zu ersetzen. Der Einsatz von Mehrfachtickets, d. h. Tickets, die mehr als einmal eingesetzt werden können, wird auch in der besagten Patentanmeldung erwähnt.
Bei dem Verfahren gemäss der obengenannten Patentanmeldung wird ein Ticket auf einer Karte durch Registrierung eines Zugriffscodes auf der Karte registriert, optional in Kombination mit einem Kartenidentifikationscode. Am Endgerät, von beispielsweise einem Theater, wird der Zugangscode und (optional) der Identifikationscode überprüft, woraufhin der Zugangscode von der Karte gelöscht wird. Die Art und Weise, wie Mehrfachtickets implementiert sind, wird nicht beschrieben. Die genannte Patentanmeldung liefert daher ein Verfahren zum sicheren Speichern von Tickets auf Chipkarten aber insbesondere nicht eines für Mehrfachtickets.
Die europäische Patentanmeldung EP 0 658 862 beschreibt ein Verfahren und ein System zum Benutzen von multifunktionalen Chipkarten durch das Mittel eines Kommunikationssystems. Dieses Verfahren nach dem Stand der Technik und das System gestatten es, dass Flugscheine auf Chipkarten gespeichert werden. Die spezifische Art und Weise, in denen die Tickets gespeichert werden, wird jedoch nicht beschrieben.
Die internationale Patentanmeldung PCT/EP97/04333 (als WO 98 07120 am 19. Februar 1998 veröffentlicht) beschreibt den Einsatz von Tickets auf Chipkarten und insbesondere den Einsatz von Validierungs- und Überprüfungsfeldern, um Tickets auszugeben, zur Validierung und zur Überprüfung an verschiedenen Orten und zu verschiedenen Zeitpunkten. Die besagte europäische Patentanmeldung beschreibt nicht den Einsatz von Mehrfachtickets.
Das Dokument EP-A-0 713 198 beschreibt eine Chipkarte mit einem integrierten Schaltkreis mit einem Prozessor und einen Speicher, wobei der Speicher die Tickets umfasst, wobei ein Ticket ein Berechtigungsfeld, um Daten zu speichern, die sich auf die Berechtigung des Tickets beziehen, und ein Validierungsfeld umfasst, um Daten in Bezug auf die Gültigkeit des Tickets zu speichern.
Der Stand der Technik liefert daher keine effiziente Art und Weise, um Mehrfachtickets auf Chipkarten zu speichern.

Zusammenfassung der Erfindung

Es ist ein Ziel der vorliegenden Erfindung, die obengenannten und andere Nachteile des Standes der Technik zu überwinden und eine Chipkarte zu liefern, auf der Tickets in effizienter Weise gespeichert werden können. Es ist ein weiteres Ziel der vorliegenden Erfindung, eine Chipkarte zu liefern, die eine Begrenzung gestattet, die auf die Anzahl der Tickets gesetzt wird, die ausgegeben und eingesetzt werden können. Es ein weiteres Ziel der vorliegenden Erfindung, ein Verfahren zur Registrierung von Mehrfachtickets auf Chipkarten zu liefern.
Demgemäss liefert die vorliegende Erfindung eine Chipkarte mit einem integrierten Schaltkreis mit einem Prozessor und einen Speicher, wobei der Speichertickets umfasst, wobei ein Ticket ein Berechtigungsfeld zum Speichern von Daten umfasst, die sich auf die Berechtigung des Tickets beziehen, und ein Validierungsfeld, um Daten zu speichern, die sich auf die Gültigkeit des Tickets beziehen, wobei die Chipkarte dadurch gekennzeichnet ist, dass ein Ticket weiterhin ein Gültigkeitszählerfeld umfasst, um die Anzahl der Male zu registrieren, die das Ticket validiert werden kann.
Durch Liefern eines Validierungszählerfeldes ist es möglich, das Ticket mehr als einmal zu validieren, während die genaue Anzahl von Malen strikt kontrolliert wird, die das Ticket eingesetzt werden kann. Da ein Mehrfachticket dieser Art wenig mehr Speicherplatz als ein übliches Ticket erfordert, wird eine sehr effiziente Nutzung des Speichers erreicht.
Die vorliegende Erfindung liefert auch ein Verfahren zum Registrieren von Tickets auf einer Chipkarte mit einem Speicher, wobei das Verfahren die Schritte umfasst: Erzeugen eines Tickets in dem Speicher, wobei das Ticket mindestens ein Feld umfasst, Ausgabe des Tickets durch Speichern in dem Feld von Daten, die das Recht identifizieren, welches von dem Ticket getragen wird, Validierung des Tickets durch Speichern in einem Gültigkeitsfeld von Daten, die sich auf die Gültigkeit des Tickets beziehen, wobei das Verfahren dadurch gekennzeichnet ist, dass der Schritt der Ausgabe des Tickets das Speichern eines Gültigkeitszählers in einem Gültigkeitszählerfeld umfasst, der die Anzahl von Male darstellt, die das Ticket validiert werden kann, und dass der Schritt der Validierung des Tickets das Einstellen des Gültigkeitszählers umfasst, der in dem Gültigkeitszählerfeld gespeichert ist, wobei das besagte Einstellen als auch der Schritt der Validierung des Tickets verhindert wird, falls der Gültigkeitszähler einen vorbestimmten Wert erreicht.

Kurze Beschreibung der Zeichnung

Die Erfindung wird nun unter Bezugnahme auf die beigefügten Zeichnungen näher beschrieben. Es zeigen:
Fig. 1 eine schematische Darstellung einer Chipkarte, wie sie in dem Verfahren gemäss der vorliegenden Erfindung eingesetzt werden kann,
Fig. 2 eine schematische Darstellung des integrierten Schaltkreises der Chipkarte von Fig. 1,
Fig. 3 eine schematische Darstellung der Struktur eines Tikkets, wie es auf einer Chipkarte gespeichert ist,
Fig. 5 eine schematische Darstellung eines Endgerätes, bei dem das Verfahren gemäss der vorliegenden Erfindung eingesetzt werden kann, und
Fig. 6 ein Diagramm, welches den Austausch von Daten zwischen einer Karte, einem Kartenleser und einem Sicherheitsmodul darstellt, und
Fig. 7 eine schematische Darstellung eines Sicherheitsmoduls eines Endgerätes, bei dem die Ausgabegrenzen beibehalten werden.

Beispielhafte Ausführungsbeispiele

Die Chipkarte oder IC-Karte 1, die beispielhaft und in schematischer Weise in der Fig. 1 dargestellt sind, umfasst ein Substrat, bei dem ein integrierter Schaltkreis eingelassen ist. Der integrierte Schaltkreis ist mit Kontakten 3 versehen, um einen Kartenleser oder Ähnliches zu verbinden. Es ist festzuhalten, dass die vorliegende Erfindung auch im Falle von so genannten kontaktlosen Chipkarten eingesetzt werden kann.
Der integrierte Schaltkreis 10, der in schematischer Weise und beispielhaft in der Fig. 2 dargestellt ist, umfasst einen Prozessor 11, einen Speicher 12 und einen Eingangs/Ausgangsschaltkreis 3. Der Speicher kann einen flüchtigen (RAM) Speicherteil zum temporären Speichern von Daten und einen nicht- flüchtigen (ROM) Speicherteil umfassen, um in permanenter Weise oder in semi-permanenter Weise Daten zu speichern. Letzterer Teil ist vorzugsweise ein EEPROM-Speicher. Die in dem nichtflüchtigen Teil gespeicherten Daten können sowohl Programmdaten (Instruktion, Programme) als auch Zahlungsdaten umfassen, beispielsweise Daten in Bezug auf Geldtransaktionen. Es ist wohlverstanden, dass ein (in den Zeichnungen nicht dargestellter) getrennter Speicher vorgesehen sein kann, um den Befehlssatz des Prozessors 11 zu speichern.
Ein bevorzugtes Ausführungsbeispiel eines Tickets gemäss der vorliegenden Erfindung ist beispielsweise schematisch in der Fig. 3 dargestellt. Das Ticket 20 umfasst verschiedene Felder, zum Beispiel ein Berechtigungsfeld 21, ein Gültigkeitsfeld 22, ein Überprüfungsfeld 23, ein Preisfeld 24, ein Abfolgenummernfeld 25, und ein Validierungszählerfeld 26. In der Praxis kann ein Ticket zusätzliche Felder enthalten, die nicht in der Fig. 3 dargestellt sind. Auch kann ein Ticket gemäss der vorliegenden Erfindung weniger Felder aufweisen, oder nur mehr Felder desselben Typs, beispielsweise zwei Überprüfungsfelder. Zum Zwecke der vorliegenden Erfindung sind das Berechtigungsfeld 21, das Gültigkeitsfeld 22 und das Validierungszählerfeld 26 von wesentlichster Bedeutung.
Das Berechtigungsfeld 21 enthält die Beschreibung des Tickets, was beispielsweise die Identität des Ticketausgebers, den Gültigkeitsbereich (beispielsweise ein Verfalldatum, die maximale Länge der Reise), die Anzahl der Personen, für die das Ticket gültig ist, und/oder den Startpunkt und das Ziel einer Reise angeht.
Das Gültigkeitsfeld 22 ist für Informationen reserviert, die später hinzugefügt werden können, wie Startzeit und/oder Gültigkeitszeit.
Das Überprüfungsfeld 23 ist für Informationen reserviert, die sich während des Einsatzes des Tickets hinzufügen lassen, wie das Datum, die Zeit und eine Geräteidentifizierung. Diese Informationen liefern eine "Markierung" des Tickets, was Hinweise darauf gibt, dass eine Überprüfung des Tickets in Bezug auf die Gültigkeit stattgefunden hat. Ein Code, der insbesondere Mittel des Transports (beispielsweise einen Zugcode) identifiziert, kann auch in der Informationen, die in dem Überprüfungsfeld gespeichert wird, eingeschlossen sein.
Das Preisfeld 24 kann den Preis des Tickets enthalten. Im Falle von Mehrfachtickets kann dies der Preis für das gesamte Ticket (Mehrfacheinsatz) oder der Preis für eine einzelne Benutzung des Tickets sein.
Das Abfolgenummernfeld 25 umfasst die Abfolgenummer des Tickets 20. Diese Abfolge kann zur Überprüfung und zur Begrenzung von Zwecken eingesetzt werden, wie dies später erläutert werden wird.
Das Gültigkeitszählerfeld 26 umfasst einen Gültigkeitszähler, der eingesetzt wird, um einen mehrfachen Einsatz des Tickets 20 zu ermöglichen. Dies bedeutet, dass das Ticket eine gewisse Anzahl von Malen eingesetzt werden kann, wobei diese Zahl durch den Gültigkeitswert dargestellt ist. Vorzugsweise wird der Gültigkeitszähler bei jeder Validierung des Tickets um Eins herab gezählt, wobei ein Zählerwert Null ein Ticket darstellt, welches vollständig aufgebraucht ist, das heisst welches nicht wieder validiert werden kann. In diesem Falle ist der Zählerwert gleich zur Anzahl von Malen, die ein Ticket (immer noch) eingesetzt werden kann, unter der Annahme, dass der Zähler bei jeder Validierung herabgezählt wird. Alternativ dazu kann der Zähler verkleinert oder vergrössert werden, bis er seinen vorbestimmten Wert (Nullwert) erreicht hat, welcher nicht Null zu sein braucht. Im Prinzip ist dieser vorbestimmte Wert für jedes Ticket unterschiedlich. Der Einsatz eines festen Wertes, der ein aufgebrauchtes Ticket darstellt, beinhaltet die Notwendigkeit zur Speicherung des Nullwertes und spart daher Speicherplatz.
Falls der Nullwert Null entspricht und falls der Gültigkeitszähler ursprünglich auf Eins eingestellt worden ist, ist das Mehrfachticket im wesentlichen auf ein einzelnes Ticket reduziert. Dieses gestattet es der Struktur der Mehrfachtickets der Fig. 3 für alle Daten und Tickets eingesetzt werden, sowohl für einzelne als auch für Mehrfachtickets, was die Chipkarten im Hinblick auf Hardware und Software vereinfacht.
Es ist wohlverstanden, dass die Felder des Tickets 20 in dem Speicher 12 der Karte 1 gespeichert werden können, wie dies die Figuren der Fig. 1 und 2 darstellen.
In dem Flussdiagramm der Fig. 4 ist ein Beispiel für eine Validierung eines Tickets gemäss der vorliegenden Erfindung dargestellt. Es wird angenommen, dass der Nullwert tatsächlich Null ist.
Im Schritt 40 wird der Validierungsschritt gestartet, beispielsweise durch Einführung einer betreffenden Chipkarte in ein Validierungsendgerät.
Im Schritt 41 überprüft das Endgerät die Karte auf das Vorhandensein von Tickets. Daten zur Ticketidentifizierung werden an das Endgerät übermittelt.
In Schritt 42 stellt das Endgerät die Tickets an die Benutzer aus, beispielsweise durch Anzeige einer Liste von Tickets auf einem Schirm. Die Inhalte der Validierungszähler 20 sind auch bekannt. Der Benutzer wählt das Ticket, welches zu validieren ist, beispielsweise durch Eingabe der Zahl des Tickets in die Liste.
In Schritt 43 wird das Sicherheitsmodul (SM) des Endgerätes den Validierungszähler (der in dem Validierungszählerfeld 26 angeordnet ist) des ausgewählten Tickets prüfen. Ein Wertzähler grösser als Null weist darauf hin, dass das Ticket noch immer eingesetzt werden kann, in welchem Falle das Verfahren mit dem Schritt 44 weitergeht. Falls der Zählerwert gleich Null ist (der vorbestimmte Nullwert), geht das Verfahren mit Schritt 46 weiter.
In dem Schritt 44 werden neue Validierungsdaten in das Gültigkeitsfeld 22 des ausgewählten Tickets geschrieben. Alte Validierungsdaten können überschrieben werden. Vorzugsweise wird, bevor neue Daten geschrieben werden, eine Prüfung der alten Validierungsdaten stattfinden, um sich zu vergewissern, dass die alten Daten sich auf ein abgelaufenes oder anders unerwünschtes Ticket beziehen. Falls die Validierung fehlschlägt, könnte eine Fehlermeldung erzeugt werden und das Verfahren könnte beendet werden.
Im Schritt 45 wird das Verfahren durch Anzeige des Ergebnisses ("Ticket validiert") an den Benutzer abgeschlossen. Die Karte kann aus dem Endgerät entfernt werden oder das Verfahren kann zurück zu Schritt 42 gehen.
Im Falle, dass das Verfahren mit Schritt 46 nach Schritt 43 weiterfährt, wird eine Fehlermeldung auf dem Bildschirm des Endgerätes angezeigt und das Verfahren kehrt zurück zu Schritt 42 und gestattet es dem Benutzer, ein anderes Ticket auszuwählen.
Es ist wohlverstanden, dass im Falle von so genannten kontaktlosen Karten die Einführung der Karte in das Endgerät weggelassen werden kann.
Das Verfahren kann weiterhin eine Prüfung für abgelaufene Tickets umfassen. Solche Tickets können ungültig erklärt werden durch setzen des Validierungszählers auf den Nullwert (beispielsweise auf den Wert Null).
Der Preis und die Abfolgenummer, wie sie in dem Preisfeld 24 und dem Abfolgenummernfeld 25 gespeichert sind, könnten benutzt werden, um die Anzahl der ausgegebenen Tickets zu begrenzen und so das Ausmass von einem möglichen Betrug zu begrenzen. Das Ausgabeendgerät könnte beispielsweise kumulativ die Preise der Tickets speichern und die so erzeugte Summe der Preise mit einem vorbestimmten maximalen Wert vergleichen. Auch könnte die Abfolgenummer des auszugebenden Tickets durch das Endgerät mit einem vorbestimmten Maximalwert verglichen werden. In beiden Fällen könnte die Ausgabe des Tickets verhindert werden, falls der maximale Wert (d. h. dass Ausgabelimit) erreicht worden ist. Dies wird weiter unten unter Bezugnahme auf die Fig. 7 beschrieben.
Während der Preis und die Abfolgenummer benutzt werden können, um die Anzahl der ausgegebenen Tickets zu begrenzen, kann der Validierungszähler wie oben beschrieben eingesetzt werden, um die Anzahl der zu validierenden Tickets zu begrenzen. Der Zählerwert, der bei Ausgabe des Tickets auf die Karte geschrieben worden ist, könnte auch in dem Endgerät registriert werden. Die Summe der registrierten Zählerwerte kann auf eine vorbestimmte Zahl begrenzt werden, wobei der Grenzwert für jedes Endgerät anders sein kann. Der besagte Grenzwert könnte für eine gewisse Zeitdauer gültig sein, beispielsweise einen Tag oder eine Woche, und gestattet es dem Endgerät, eine maximale Anzahl von Tickets in einem Tag oder während einer Woche auszugeben.
Das Ausgeben eines Tickets des in der Fig. 3 dargestellten Typs umfasst die folgenden Schritte:
a. Liefern von Zahlungsdaten,
b. Prüfen des Ausgabelimits,
c. Erzeugen eines Tickets (20) im Speicher der Chipkarte, wobei das Ticket verschiedene Felder umfasst (21 bis 26),
d. Schreiben von Berechtigungsdaten in das Berechtigungsfeld (21),
e. Schreiben eines Validierungszählers in das Validierungszählerfeld (26), und optional:
f. Schreiben von Preisdaten in das Preisfeld (24), und
g. Schreiben einer Abfolgenummer in das Abfolgenummernfeld (25).
In dem Schritt a wird das Endgerät mit Zahlungsdaten versehen, die die Bezahlung des Tickets garantieren. Diese Zahlungsdaten können das Ergebnis eines Abzuges von einem Geldguthaben in der Chipkarte sein oder können aus einem elektronischen Scheck oder elektronischem Bargeld bestehen.
In dem Schritt b wird die Ausgabelimite geprüft, d. h. es wird durch Mittel eines Endgerätevalidierungszählers überprüft, ob die maximale Anzahl von Tickets bereits ausgegeben worden ist. Falls dies der Fall ist, wird das Verfahren beendet. Möglicherweise kann ein Ticket mit einem geringeren Wert des Validierungszählers ausgegeben werden, als derjenige, der von dem Benutzer angefragt worden ist. Dies kann in einer teilweisen Rückzahlung resultieren.
In dem Schritt c werden den Feldern des Tickets vorzugsweise jeweils ein anfänglicher Wert gegeben, der die Ungültigkeit darstellt, beispielsweise Null. Dies gewährleistet, dass keine gültigen Tickets ausgegeben werden können, wenn das Verfahren vorab beendet wird.
In dem Schritt d werden die Daten, die den Benutzer für einen bestimmten Dienst berechtigen, für den Zugang etc., auf das Ticket geschrieben. Diese Berechtigungsdaten spezifizieren das Ticket.
In dem Schritt e wird der Validierungszähler auf einen Wert gesetzt, der den empfangenen Zahlungsdaten entspricht.
In dem Schritt g wird die Abfolgenummer auf das Ticket geschrieben. Im wesentlichen gleichzeitig wird ein Abfolgenummernzähler in dem Endgerät erhöht, um die Anzahl der ausgegebenen Tickets zu registrieren. Wie bei dem Validierungszähler kann der Abfolgenummernzähler dazu benutzt werden, die Anzahl der ausgegebenen Tickets zu begrenzen, beispielsweise je Tag oder je Woche. Dies liefert zuverlässig einen Schutz gegen Betrug im Falle, dass das Ausgabeendgerät gestohlen oder missbraucht wird.
In der Fig. 5 ist in schematischer Weise ein Endgerät zum Einsatz mit der Chipkarte und dem Verfahren gemäss der vorliegenden Erfindung dargestellt. Das Endgerät 50 umfasst eine Tastatur 51, einen Bildschirm 52 und einen Kartenleser 53, in den eine Karte 1 eingeführt werden kann, um Daten auszutauschen. Das Endgerät umfasst ferner einen Prozessor 54 zum Bearbeiten von Daten unter der Steuerung eines geeigneten Programms, einen Speicher 55 zum Speichern von Daten oder Programmen und ein Sicherheitsmodul 56 zum geschützten Speichern von Benutzungsdaten des Endgerätes, wie Geldguthaben. In dem Sicherheitsmodul 56 oder alternativ im Speicher 55 werden auch der Endgerätevalidierungszähler und Abfolgenummernzähler gespeichert, die eingesetzt werden können, die Anzahl der ausgegebenen oder validierten Tickets zu begrenzen. Zusätzlich kann ein Validierungszählerlimit und ein Abfolgenummernlimit in dem Sicherheitsmodul 56 oder dem Speicher 55 gespeichert werden, mit denen der Endgerätevalidierungszähler und der Abfolgenummernzähler verglichen werden können. Das Endgerät 50 kann eingesetzt werden als Ausgabe- und/oder als Validierungsendgerät.
Die Fig. 6 zeigt in schematischer Weise den Austausch von Daten zwischen einer Chipkarte und einem Endgerät während der Validierung eines Tickets, wobei das Endgerät einen Chipkartenleser/Schreiber (als Leser bezeichnet) und ein Sicherheitsmodul (SM) umfasst.
Im Schritt 60 wird das Verfahren gestartet, indem der Leser eine Anfrage an das Sicherheitsmodul ausgibt. Diese Anfrage kann durch den Benutzer der Karte ausgelöst werden, der das Endgerät beispielsweise durch Einführung der Karte in das Endgerät aktiviert, durch Drücken eines Knopfes oder durch Senden eines Signals an das Endgerät (beispielsweise über Infrarotlicht).
Im Schritt 61 erzeugt das Sicherheitsmodul und speichert eine erste Zufallszahl R1 in Antwort auf die besagte Anfrage. Diese Zufallszahl R1, die das Wiederholen des Datenaustausches verhindern soll, wird an die Karte gesandt. Im Schritt 62 speichert die Karte die Zahl R1.
Im Schritt 63 sendet das Endgerät über den Leser einen Lesebefehl an die Karte, um ein Ticket zu lesen. Dieser Lesebefehl kann sich oder kann sich nicht auf ein bestimmtes Ticket beziehen. In Antwort auf den Lesebefehl erzeugt die Karte im Schritt 64 einen ersten Nachrichtenauthentifizierungscode MAC1. Dieser Code kann berechnet werden mit Hilfe einer kryptographischen Funktion mit den Ticketdaten und der Zufallszahl R1 als ein Parameter. Solche Funktionen sind im Stand der Technik gut bekannt. Der sich ergebende Code MAC1 kann an das Ticket angehängt werden, woraufhin das Ticket (als Ticket1 bezeichnet) und der Code MAC1 an das Sicherheitsmodul über den Leser gesandt werden.
Im Schritt 65 werden sowohl der Code MAC1 als auch der Validierungszähler des empfangenen Tickets geprüft. Die Prüfung des Codes MAC1 kann bewirkt werden durch erneute Berechnung des Codes unter Einsatz der Zufallszahl R1, die in dem Sicherheitsmodul gespeichert ist. Der Validierungszähler kann geprüft werden durch Vergleich der Inhalte des Validierungszählerfeldes (26 in der Fig. 3) des Tickets mit einem bestimmten vorbestimmten Wert (beispielsweise Null). Falls der Validierungszähler gleich dem Nullwert ist oder falls der Nachrichtenauthentifizierungscode inkorrekt ist, kann das Verfahren entweder beendet werden oder zum Schritt 60 zurückkehren.
Im Schritt 66 akzeptiert das Endgerät Validierungsdaten (als VD bezeichnet) von dem Benutzer, beispielsweise durch das Mittel einer Tastatur, über die Daten an das Sicherheitsmodul übergeben werden. Der Leser fragt dann die Karte nach einer (neuen) Zufallszahl. In Antwort darauf erzeugt die Karte im Schritt 67 eine zweite Zufallszahl R2 und sendet die Zahl R2 an das (Sicherheitsmodul des) Endgerät(es).
In Schritt 68 führt das Sicherheitsmodul drei Aktionen durch: der Validierungszähler wird vermindert, das validierte Ticket (Ticket2) wird erzeugt und ein neuer Nachrichtenauthentifizierungscode (MAC2) wird erzeugt. Dies bedeutet, dass der Validierungszähler des Tickets vermindert worden ist, dass Validierungsdaten in das Validierungsfeld (22 in der Fig. 3) geschrieben worden sind und dass ein neuer Code MAC2 unter Einsatz einer Funktion mit dem validierten Ticket (Ticket2) und der zweiten Zufallszahl (R2) als ein Parameter berechnet worden sind. Das validierte Ticket (Ticket2) und der neue Code (MAC2) werden an die Karte gesandt.
Es ist festzustellen, dass der Validierungszähler eines Registers in dem Sicherheitsmodul (beispielsweise das Register von der Fig. 7) im Schritt 68 erhöht werden kann, um die Anzahl der validierten Tickets in dem Endgerät festzuhalten.
Es sollte ferner festgestellt werden, dass der Schritt 68 vorzugsweise untrennbare Aktionen umfasst, so dass der Schritt 68 nicht unterbrochen werden kann. Dies erhöht weiterhin die Sicherheit des Verfahrens.
Im Schritt 69 prüft die Karte den Code MAC2, beispielsweise durch erneute Berechnung des Codes unter Einsatz des Tickets und der gespeicherten Zufallszahl R2. Falls der Code MAC2 als inkorrekt gefunden worden ist, kann das Verfahren beendet werden oder zu Schritt 66 zurückkehren. Falls der Code korrekt ist, wird das validierte Ticket in der Karte gespeichert, beispielsweise durch überschreiben des existierenden Tickets (Ticket1). Die Karte bestätigt dann das erfolgreiche Auffrischen des Tickets. Nachfolgend wird das Verfahren in Schritt 70 beendet.
Die Fig. 7 zeigt in schematischer Weise ein Sicherheitsmodul 56 eines Tickets ausgebenden Endgerätes, beispielsweise das Endgerät 50 der Fig. 5. Das Sicherheitsmodul 56 ist ausgestaltet, um Ausgabelimite einzuhalten. Das Sicherheitsmodul 56 umfasst ferner Registereinheiten 561 bis 566, einen Zufallszahlengenerator (RNG) 567, einen Mikroprozessor (uP) 568 und einen Speicher (Speicher) 569. Die Registereinheiten 561 bis 565, der Zufallszahlengenerator 507 und der Speicher 569 sind mit dem Mikroprozessor 568 über Steuerungs- und Datenleitungen verbunden, die zur Klarheit der Zeichnungen in diesen nicht dargestellt sind.
Die Registereinheit 561 umfasst ein erstes Register (R1), welches so angeordnet ist, um die Summe aller Tickets zu speichern, das heisst das sogenannte Ticketniveau. Die Registereinheit 562 umfasst ein zweites Register (R2) zum Speichern eines maximalen Wertes der besagten Summe. Durch Vergleich der Inhalte von R1 und R2 kann sichergestellt werden, dass die Summe aller Tickets (die in R1 gespeichert ist) niemals die maximale Summe überschreitet (die in R2 gespeichert ist).
In ähnlicher Weise umfasst die Registereinheit 563 ein drittes Register (R3), welches so angeordnet ist, um die derzeitige Abfolgenummer zu speichern, dass ist die Abfolgenummer des zuletzt ausgegebenen Tickets. Die Registereinheit 564 umfasst ein viertes Register (R4), welches ausgestaltet ist zum Speichern der maximalen Abfolgenummer. Bevor ein Ticket ausgegeben wird, wird erneut überprüft, ob die derzeitige Abfolgenummer (in R3) nicht die maximale Abfolge Nummer (in R4) überschreitet und begrenzt so die Anzahl der ausgegebenen Tickets.
Optionale Registereinheiten 565 und 566 können eingesetzt werden, um die Summe der Validierungszähler zu speichern: Register 565 umfasst ein fünftes Register (R5) zum Speichern der Summe der Validierungszähler der durch das Endgerät validierten Tickets, während Register 566 ein sechstes Register (R6) umfasst zum Speichern der maximalen Summe des Validierungszählers.
Die Registereinheiten 561, 563 und 565 speichern daher derzeitige Werte, während die Registereinheiten 562, 564 und 566 maximale Werte speichern. Die besagten maximalen Werte werden vorzugsweise vorbestimmt, beispielsweise durch ein festes Speichern in dem Sicherheitsmodul, aber können auch periodisch aufgefrischt werden. Der Einsatz der Register R1 bis R4 gestattet eine effiziente Begrenzung der Anzahl der ausgegebenen Tickets als auch den gesamten Wert solcher Tickets. Der Einsatz der Register R5 und R6 gestattet eine effiziente Begrenzung der Gesamtanzahl validierter Tickets. Das Ausmass des möglichen Betruges und Nutzung sind begrenzt.
Es ist wohlverstanden, dass die Register R1 bis R6 als Orte eines Speichers ausgebildet sein können, beispielsweise als Speicher 569, anstelle von getrennten Registereinheiten 561 bis 565, wie dies in der Fig. 7 dargestellt ist. Auch kann im Endgerät, welches nur Tickets ausgibt, das Register 565 gelassen werden. In ähnlicher Weise können in einem Endgerät, das nur Tickets validiert, die Register R1 bis R4 ausgelassen werden.
Wie oben beschrieben gestattet der Einsatz von Mehrfachtickets gemäss der vorliegenden Erfindung einen effizienten und flexiblen Einsatz des Speicherbereichs einer Chipkarte.
Es ist wohlverstanden für Fachleute auf diesem Fachgebiet, dass die oben beschriebenen Ausführungsbeispiele nur beispielhaft angezogen sind und dass viele Veränderungen und Zusätze möglich sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen, wie dieser in den beigefügten Ansprüchen niedergelegt ist.

Claims

1. Chipkarte (1) mit einem integrierten Schaltkreis (10) mit einem Prozessor (11) und einem Speicher (12), wobei der Speicher Tickets (20) umfasst, wobei ein Ticket ein Berechtigungsfeld (21) zum Speichern von Daten in Bezug auf die Berechtigung des Tickets und ein Gültigkeitsfeld (22) zum Speichern von Daten in Bezug auf die Gültigkeit des Tickets umfasst, dadurch gekennzeichnet, dass ein Ticket (20) weiterhin ein Gültigkeitszählerfeld (26) umfasst, um einen Gültigkeitszähler zu speichern, der eine Anzahl von Malen darstellt, die das Ticket (20) validiert werden kann.

2. Chipkarte nach Anspruch 1, dadurch gekennzeichnet, dass sie so ausgestaltet ist, dass der Gültigkeitszähler bei jeder Validierung des Tickets (20) abnimmt und dass eine weitere Validierung des Tickets blockiert wird, wenn der Zähler einen vorbestimmten Wert erreicht hat, wobei der vorbestimmte Wert vorzugsweise Null ist.

3. Chipkarte nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass ein Ticket (20) weiterhin ein Preisfeld (24) umfasst, um den Preis des Tickets und/oder den Preis einer einzelnen Benutzung des Tickets zu speichern.

4. Chipkarte nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass ein Ticket (20) weiterhin ein Abfolgenummernfeld (42) umfasst, um die Abfolgenummer zu speichern, die dem Ticket (20) durch ein Ausgabeendgerät (50) gegeben wird.

5. Chipkarte (1) nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass ein Ticket (20) weiterhin mindestens ein Überprüfungsfeld (23; 24) umfasst, um Daten zu speichern, die sich auf eine Prüfung der Gültigkeit des Tickets beziehen.

6. Verfahren zum Registrieren von Tickets (20) auf einer Chipkarte (1) mit einem Speicher (12), wobei das Verfahren die Schritte umfasst:

- Erzeugen eines Tickets (20) in dem Speicher (12), wobei das Ticket mindestens ein Feld (beispielsweise 21) umfasst,

- Ausgeben des Tickets (20) durch Speichern in dem mindestens einen Feld (21) von Daten, die ein Recht identifizieren, welches von dem Ticket getragen wird,

- Validierung des Tickets (20) durch Speichern in einem Gültigkeitsfeld (22) des Tickets von Daten, die sich auf die Gültigkeit des Tickets beziehen,

dadurch gekennzeichnet, dass der Schritt der Ausgabe des Tickets das Speichern einer Gültigkeitszahl in einem Gültigkeitszählerfeld (26) des Tickets umfasst, welches die Anzahl von Malen darstellt, die das Ticket (20) validiert werden kann, und dass der Schritt der Validierung des Tickets das Einstellen des Gültigkeitszählers umfasst, der in dem Gültigkeitszählerfeld (26) gespeichert ist, wobei sowohl das besagte Einstellen als auch der Schritt der Validierung des Tickets verhindert wird, falls der Validierungszähler einen vorbestimmten Wert annimmt.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass der vorbestimmte Wert Null ist, wobei das Einstellen ein Abnehmen des Gültigkeitszählers umfasst.

8. Verfahren nach Anspruch 6 oder 7, dadurch gekennzeichnet, dass der Schritt der Ausgabe des Tickets (20) weiterhin das Speichern einer Abfolgezahl in einem Abfolgezahlfeld (25) umfasst, wobei die Abfolgezahl in einem Ausgabeendgerät (50) registriert ist, vorzugsweise in einem Sicherheitsmodul (56) des Endgerätes.

9. Verfahren nach Anspruch 6, 7 oder 8, dadurch gekennzeichnet, dass der Schritt der Ausgabe des Tickets (20) weiterhin das Speichern des Preises des Tickets und/oder des Preises einer einzelnen Benutzung des Tickets in einem Preisfeld (24) umfasst.

10. Verfahren nach einem der Ansprüche 6 bis 9, dadurch gekennzeichnet, dass der Schritt der Ausgabe des Tickets (20) weiterhin das Addieren des Preises von jedem ausgegebenen Ticket zu einer Summe umfasst, die in dem Ausgabeendgerät (50) gespeichert wird, vorzugsweise in dem Sicherheitsmodul (46) des besagten Endgerätes (50).

11. Verfahren nach einem der vorstehenden Ansprüche 6 bis 10, dadurch gekennzeichnet, dass es weiterhin den Schritt der Identifizierung des Tickets (20) umfasst, indem Daten gespeichert werden, die sich auf eine Prüfung der Gültigkeit des Tickets in mindestens einem Überprüfungsfeld (23; 24) beziehen.