DE3316414A1

DE3316414A1 - DEVICE AND METHOD FOR ENSURE THE INTEGRITY OF A PLAYING DEVICE

Info

Publication number: DE3316414A1
Application number: DE19833316414
Authority: DE
Inventors: Anthony 60005 Arlington Heights Ill. Keane
Original assignee: Bally Manufacturing Corp
Current assignee: Bally Manufacturing Corp
Priority date: 1982-05-12
Filing date: 1983-05-05
Publication date: 1983-12-22
Also published as: IT1168870B; NL8301708A; DK211683A; SE8302671D0; SE8302671L; NO831648L; FR2533722A1; BE896722A; ES8405185A1; GB2121569B; GB2121569A; PT76671A; FR2527359A1; GB8312834D0; ES522284A0; AU1432583A; DK211683D0; BR8302453A; IT8348275A0; PT76671B

Description

BALLY MANUFACTURING CORPORATIONBALLY MANUFACTURING CORPORATION

Device and procedure for ensuring integrity

eines Spielgerätsof a game device

Die Erfindung befaßt sich mit der Sicherung eines Geräts, z.B. eines Spielgeräts, insbesondere mit einem Gerät"zur Sicherstellung der Unversertheit des Informationsinhalts in dem gesicherten Gerät, z.B. dem Steuerprogramm eines Spielgeräts.The invention is concerned with securing a device, for example a gaming machine, in particular a Device "to ensure the integrity of the information content in the secured device, e.g. the control program of a game device.

Elektronische Spielgeräte, die einen Mikroprozessor aufweisen, können häufig für die verschiedensten Spiele verwendet werden, indem eine Speichervorrichtung, z.B.Electronic gaming devices that have a microprocessor can often be used for a wide variety of games can be used by a storage device, e.g.

ein EPROM (= löschbarer programmierbarer Festwertspeicher) ausgewechselt oder der Inhalt der Speichervorrichtung geändert wird, z.B. durch Fernübertragung von Daten in einen Schreib-Lese-Speicher (RAM = Direktzugriffspeicher oder EPROM). Derzeit ist es jedoch üblich, daß staatliche Spielgeräte-Zulassungsstellen die Anbringung eines Siegels an allen Schaltungen auf jeder Schaltungsplatte (einschließlich dem EPROM oder RAM) als Teil des Zulassungsverfahrens fordern. Daher müssen für eine Vielzahl der verschiedensten Geräte versiegelte Schaltungsplatten, sowohl für die Herstellung als auch für Reparaturzwecke, auf Lager gehalten werden. Dies ist kostspielig und ineffizient, zumal viele Geräte denan EPROM (= erasable programmable read-only memory) replaced or the content of the memory device is changed, e.g. by remote transfer of data to a read / write memory (RAM = direct access memory or EPROM). However, it is currently common practice for government gaming device licensing agencies to do the mounting as part of a seal on all circuits on each circuit board (including the EPROM or RAM) of the approval process. Therefore need for a Variety of different devices sealed circuit boards, for both manufacturing and repair purposes. This is expensive and inefficient, especially since many devices den

33154143315414

gleichen Hauptbestandteil (Kern) aufweisen und die gleiche Schaltungsplatte benutzen, wobei für jedes einer Vielzahl von Spielen ein anderes in einem Speicher gespeichertes Steuerprogramm gewählt wird, indem der Speieher oder sein Inhalt ausgetauscht wird.have the same main component (core) and use the same circuit board, one for each Variety of games a different control program stored in a memory is selected by the memory or its content is exchanged.

Obwohl diese Lösung kostspielig und aufwendig ist, gibt es bisher keine Alternative, um die Unversertheit (Integrität) der Spielgeräte sicherzustellen.Although this solution is costly and time-consuming, there is currently no alternative to the integrity (integrity) of the playground equipment.

Gemäß einem Merkmal der Er indung wird ein Gerät vorgeschlagen, bei dem Daten und eine zugehörige Echtheitsinformation, die an einem ungesicherten Platz gespeichert sind, durch Verschlüsselungsverfahren auf ihre Unversertheit überprüft werden. Das Prüfungsergebnis "gut" stellt das Gerät auf eine erste Betriebsart und das Prüfungsergebnis "schlecht" auf eine zweite Betriebsart ein. Bei einer bevorzugten Auführung ist das Gerät ein Spielgerät, bei dem die erste Betriebsart einem benutzerabhängigen Betrieb und die zweite Betriebsart einer AlarmBetriebsart entspricht. Andere Geräte, bei denen die Erfindung angewandt werden kann, sind postalische Meß-, elektronische Post-, elektronische Geldüberweisungs- und andere gesicherte Datenverarbeitungsgeräte.According to one feature of the invention, a device is proposed in which data and associated authenticity information are stored in an unsecured location are checked for their integrity using encryption methods. The exam result "good" sets the device to a first operating mode and the test result "bad" to a second operating mode a. In a preferred embodiment, the device is a game device in which the first mode of operation is one user-dependent operation and the second operating mode corresponds to an alarm operating mode. Other devices, at to which the invention can be applied are postal measuring, electronic mail, electronic money transfer and other secure data processing equipment.

Gemäß einem weiteren Merkmal der Erfindung enthält das Gerät ein Schnittstellentor (interface port) zur Kommunikation mit einer externen Vorrichtung, z.B. einem zentralen Steuerrechner. Die Daten und zugehörige Echtheitsinformation werden in den ungesicherten Bereich des Speichers geladen, wobei das Gerät die Unversertheit der Daten und zugehörigen Echtheitsinformation, so wie sie im Speicher gespeichert sind, anhand einer Verschlüsselung überprüft, indem es die Daten rechnerisch mit dem zugehörigen Echtheitswort (Schlüsselwort) verknüpft bzw. in Beziehung setzt. Das Gerät wird in Abhängigkeit von einem Prüfungsergebnis, das die UnversertheitAccording to a further feature of the invention, the device includes an interface port for Communication with an external device, e.g. a central control computer. The data and associated authenticity information are loaded into the unsecured area of memory, leaving the device intact the data and associated authenticity information, as they are stored in the memory, based on a Encryption checks by arithmetically linking the data with the associated authenticity word (keyword) or relates. The device is dependent on a test result that the integrity

als "gut" oder "schlecht" kennzeichnet, auf eine erste oder eine zweite Betriebsart eingestellt.as "good" or "bad", set to a first or a second mode of operation.

So könnte ein zentraler Rechner Informationen in ein oder mehrere entfernt angeordnete Geräte übertragen, die jeweils die Unversertheit (Echtheit) der empfangenen und in einem eigenen Speicher gespeicherten Informationen überprüfen. Wenn es sich bei den entfernt angeordneten Geräten um Spielgeräte handelt, können die übertragenen Informationen Gewinnchancen, Steuerprogramme, beliebige Gewinnzahlen und dergleichen sein.A central computer could transfer information to one or more remote devices, each the integrity (authenticity) of the received and review information stored in its own memory. When it comes to the remotely located Devices are gaming devices, the information transmitted may include odds, control programs, any winning numbers and the like.

Bei einem der dargestellten Ausfuhrungsbeispiele der Erfindung handelt es sich um ein Spielgerät mit einem gesicherten Teil, der durch eine Spielgeräte-Zulassungsstelle zugelassen und versiegelt ist, und mit einem ungesicherten Teil, der nicht durch die Zulassungsstelle versiegelt ist, dessen Unversertheit durch den gesicherten Teil überprüft wird. Der gesicherte Teil des Spielgeräts enthält eine Schaltungsplatte mit einem zentralen Prozessor und einem ersten Speicher. Der ungesicherte Teil des Spielgeräts enthält einen zweiten Teil der Schaltungsplatte, oder eine unabhängige Schaltungsplatte, mit einem zweiten Speicher, z.B. einem ungesicherten ROM, EPROM oder einem Lese-Schreib-Speicher (RAM). Durch Anwendung eines Verschlüsselungsverfahrens wird die Unversertheit des ungesicherten Teils des Geräts durch den gesicherten Teil des Geräts überprüft.In one of the illustrated exemplary embodiments of the invention, it is a game device with a secured part, which is approved and sealed by a playground equipment approval agency, and with a unsecured part that is not sealed by the licensing office, its unsecuredness by the secured Part is checked. The secured part of the game device contains a circuit board with a central Processor and a first memory. The unsecured part of the gaming device contains a second part of the Circuit board, or an independent circuit board, with a second memory, e.g., an unsecured one ROM, EPROM or a read-write memory (RAM). Using an encryption process, the The integrity of the unsecured part of the device is checked by the secured part of the device.

Das Spielgerät ist in drei Betriebsarten betreibbar und arbeitet in einer PrUfbetrlebsart zur Verifizierung bzw. Prüfung der Unversertheit bzw. Integrität des Spielgeräts. Wenn die Prüfung positiv ausfällt, das heißt, die Unversertheit des ungesicherten Speichers (z.B.The game device can be operated in three modes and works in a test mode for verification or checking the integrity or integrity of the gaming device. If the test is positive, that is, the integrity of the unsecured memory (e.g.

ROM) bestätitgt wird, wird das Gerät auf eine Betriebsart eingestellt, bei der es durch den Spieler über Steuereingänge betätigbar ist. Wenn das Ergebnis der PrüfungROM) is confirmed, the device is set to an operating mode in which it is controlled by the player via control inputs is actuatable. If the result of the test

dagegen negativ ausfällt, das heißt, der ungesicherte Speicher nicht unversert ist, wird das Spielgerät zwangsläufig auf eine unbetätigbare Betriebsart eingestellt, in der es nicht Über die Steuereingänge durch den Spieler betätigbar ist, wobei dann ein Alarmsignal ausgelöst wird.on the other hand, turns out negative, that is, the unsecured one Memory is not unversed, the game device is inevitably set to an inoperable operating mode, in which it is not via the control inputs through the player can be actuated, in which case an alarm signal is triggered.

Der ungesicherte Teil der Schaltungsplatte, dessen Unversertheit anhand einer Verschlüsselung feststellbar ist, hat einen ersten permanenten Speicher (z.B. einen ROM, PROM, EPROM oder EEPROM = elektrisch löschbarer programmierbarer Festwertspeicher) oder einen nicht permanenten Lese-Schreib-Speicher (RAM) mit einem darin gespeicherten Echtheitswort, das aus dem Inhalt des ersten Gpeichers nach einer ersten Beziehung abgeleitet wird. Das Echtheitswort wird durch Ableitung eines ersten Wertes aus dem Inhalt des ersten Speichers gebildet. Dann wird das Echtheitswort aus dem ersten Wert mittels einer nicht öffentlichen Ableitung, die eine Umkehrfunktion aufweist, abgeleitet. Das Echtheitswort wird dann kombiniert, so daß es einen Teil des Inhalts des ersten Speichers bildet.The unsecured part of the circuit board, the integrity of which can be determined using encryption, has a first permanent memory (e.g. a ROM, PROM, EPROM or EEPROM = electrically erasable programmable Read-only memory) or a non-permanent read-write memory (RAM) with one stored in it Authenticity word that is derived from the content of the first memory according to a first relationship. That Authenticity word is formed by deriving a first value from the content of the first memory. Then it will be the authenticity word from the first value using a non-public derivation that has an inverse function has derived. The authenticity word is then combined so that it is part of the contents of the first memory forms.

Der gesicherte Teil der Schaltungsplatte weist einen Prozessor und einen zweiten permanenten Speicher auf. Die Unversertheit des gesicherten Teils ist visuell feststellbar, z.B. anhand eines physikalischen Riogels (Verschlusses o.dgl.). Der gesicherte Teil der Platte enthält eine Einrichtung zur Ableitung eines zweiten Wertes aus dem Echtheitswort des ersten Speichers mittels der Umkehrfunktion. Der gesicherte Teil enthält ferner· eine Einrichtung zum Vergleichen des ersten und zweiten Wertes und eine Einrichtung zum Überprüfen der Unversertheit des zweiten Speichers. Die Prüfeinrichtung stellt das Spielgerät auf eine spielerabhängige Spielbetriebsart in Abhängigkeit von dem Vergleichsergebnis "gleich" oder auf eine nicht vom Spieler abhän-The secured part of the circuit board has a processor and a second permanent memory. The integrity of the secured part can be determined visually, e.g. using a physical Riogel (Closure or the like). The secured part of the plate contains a device for deriving a second value from the authenticity word of the first memory by means of the inverse function. The secured part also contains means for comparing the first and second value and a device for checking the integrity of the second memory. The test facility sets the game device to a player-dependent game mode as a function of the comparison result "equal" or on one not dependent on the player

gige (Alarm-)Betriebsart in Abhängigkeit vom Vergleichsergebnis "ungleich" ein. Die Beziehung zur Ableitung des ersten Wertes, die nicht öffentliche Beziehung und die umgekehrte Beziehung der nicht öffentlichen Beziehung sind so gewählt, daß ihre gegenseitige Verknüpfung oder Kreuzableitung sehr kompliziert und äußerst schwierig und zeitaufwendig ist. Bei einem bevorzugten Ausführungsbeispiel ist die Verschlüsselungsfunktin geheim und die Umkehrfunktion öffentlich (offenkundig).different (alarm) operating mode depending on the comparison result "not equal to". The relationship to the derivative of the first value, the non-public relationship and the inverse relationship of the non-public relationship are chosen so that their mutual connection or cross-derivation is very complicated and extremely difficult and is time consuming. In a preferred embodiment, the encryption function is secret and the inverse public (overt).

Die Erfindung und ihre Weiterbildungen werden nachstehend anhand der Zeichnung eines bevorzugten Ausführungsbeispiels näher beschrieben. Es zeigen: The invention and its developments are described in more detail below with reference to the drawing of a preferred exemplary embodiment. Show it:

Fig. 1 eine perspektivische Ansicht eines Spielgeräts, z.B. eines münzbetätigten Video-Spielgeräts, bei dem die Erfindung angewandt werden kann,Figure 1 is a perspective view of a gaming machine such as a coin operated video game machine. in which the invention can be applied,

Fig. 2 eine Draufsicht auf ein Ausführungsbeispiel einer Schaltungsplatte, die in dem Spielgerät nach Fig. 1 enthalten ist und einen gesicherten sowie einen ungesicherten Teil aufweist,Fig. 2 is a plan view of an embodiment of a circuit board used in the gaming machine according to Fig. 1 is included and has a secured and an unsecured part,

Fig. 3 ein Flußdiagramm zur Erläuterung eines Ausführungsbeispiels des bei dem einen Ausführungsbeispiel der Erfindung angewandten Verschlüsselungsverfahrens , 3 shows a flow chart for explaining an exemplary embodiment the encryption method used in one embodiment of the invention,

Fig. 4 ein Flußdiagramm des Verschlüsselungs/Prüf-Verfahrens, das gemäß einem Ausführungsbeispiel der Erfindung angewandt wird, und4 is a flow chart of the encryption / verification process, which is applied according to an embodiment of the invention, and

Fig. 5A bis D eine Rechenprogrammliste für ein Ausführungsbeispiel der Erfindung. 35FIGS. 5A to D show a calculation program list for an exemplary embodiment the invention. 35

Das Spielgerät nach Fig. 1 hat ein Gehäuse 100, das die durch den Spieler manuell zu betätigenden Steuerschnittstelleneinrichtungen sowie elektronische und mechanische Schaltungsanordnungen aufweist. Manuell durch den Spieler zu betätigende Steuereingabeeinrichtungen, wie Schalttasten 110 und Steuerhebel 120, sind ebenfalls vorgesehen. An der Vorderseite des Gehäuses 100 ist eine Anzeigefläche 130, z.B. ein Bildschirm, vorgesehen, um dem Spieler zu ermöglichen, die Reaktion des Spielgeräts auf seine Eingaben zu betrachten. Ferner sind Münzschachte 140 zur / ifnahme von Spieler-Münzen und Rückgabe verbogener Münzen vorgesehen. Die Anzahl der "Kredite" des Spielers sowie der Spielverlauf wird ebenfalls auf der Sichtanzeige 130 dargestellt. E^ispielsweise kann das in Fig. 1 dargestellte Spielgerät ein münzbetätigtes Spielgerät mit drei, vier oder irgendeiner Anzahl von Rädern oder irgend ein anderes Spielgerät sein. Gegebenenfalls kann ein Gewinnausgabeschacht 145 zur Ausgabe von Münzen bei einem Gewinn des Spielers vorgesehen sein.The gaming machine according to FIG. 1 has a housing 100 which contains the control interface devices to be operated manually by the player as well as electronic and mechanical circuit arrangements. Control input devices to be operated manually by the player, such as switch buttons 110 and control levers 120 are also provided. At the front of the case 100 is a display area 130, e.g. a screen, provided to enable the player to view the response of the gaming device to his inputs. Further are coin chutes 140 for taking player coins and return of bent coins is planned. The number of "credits" the player has as well as the gameplay will be also shown on display 130. For example For example, the game machine illustrated in Figure 1 may be a coin operated game machine having three, four, or any one Number of wheels or any other play equipment. If necessary, a profit distribution chute 145 can be provided for issuing coins when the player wins.

Sodann enthält das Gehäuse 100 eine elektronische Schaltungsplatte 200, wie sie in Fig. 2 dargestellt ist, die die Steuerschaltung für das Spielgerät aufweist und zusammen mit der Sichtanzeige 130 sowie den manuell zu betätigenden Steuereinrichtungen 110 und 120 den Spielablauf steuert. Außerdem enthält das Gehäuse noch die übrigen bei einem Spielgerät erforderlichen Einrichtungen, wie Stromversorgungsteil, Grenzwertschalter u.dgl. mehr.The housing 100 then contains an electronic circuit board 200, as shown in Fig. 2, which has the control circuit for the gaming machine and together with the visual display 130 and the manually operated control devices 110 and 120 den Controls the course of the game. In addition, the housing also contains the rest of the items required for a game machine Devices such as the power supply unit, limit value switch and the like. More.

In Fig. 2 ist die Schaltungsplatte 2 als Blockschaltbild dargestellt. Sie kann aus einer einzigen oder aus mehreren miteinander verbundenen Schaltungsplatten bestehen. Die Schaltungsplatte 200 weist zwei funktionell getrennte Einheiten, einen versiegelten gesichertenIn Fig. 2, the circuit board 2 is a block diagram shown. It can consist of a single circuit board or several interconnected circuit boards. The circuit board 200 comprises two functionally separate units, one sealed and secured

: 33164U: 33164U

Teil 210 und einen unversiegelten, ungesicherten Schaltungsteil 220 auf. Der versiegelte Schaltungsplattenteil 210 weist einen Mikroprozessor ?20, einen Festwertspeicher (ROM, PROM oder EPROM) und verschiedene elektronische und elektromechanische Schaltungen 240 auf. Der versiegelte Teil 210 der Schaltungsplatte 200 ist entsprechend den Forderungen einer staatlichen Spielgeräte-Zulassungsstelle physikalisch versiegelt.Part 210 and an unsealed, unsecured circuit part 220. The sealed circuit board part 210 has a microprocessor? 20, a read-only memory (ROM, PROM or EPROM) and various electronic and electromechanical circuits 240. The sealed part 210 of the circuit board 200 is Physically sealed in accordance with the requirements of a state playground equipment approval office.

Der unversiegelte Teil 250 der Schaltungsplatte 200 hat eine Anschlußfassung 260 für eine Speichervorrichtung, z.B. einen RAM, ROM, PROM oder EPROM. Wenn die Fassung 260 einen Anschluß für einen Lese-Schreib-Speicher, RAM oder EPROM bildet, kann der Dateninhalt des Lese-Schreib-Speichers in den Lese-Schreib-Speicher geladen werden. Beispielsweise kann das Steuerprogramm von einer entfernten Stelle in den Lese-Schreib-Speicher eines örtlichen Spielgeräts über ein Schnittstellentor 270 (Fig. 2) des örtlichen Spielgeräts geladen und das eingeladene Programm durch den gesicherten Teil der Schaltungsplatte nach dem erfindungsgemäßen Verfahren überprüft werden. Durch entsprechende Wahl des örtlichen oder von entfernter Stelle eingegebenen Steuerprogramms lassen sich auf einer Vielzahl von Spielgeräten eine Vielzahl verschiedenster Spiele spielen. Sodann können die Spielgeräte auch durch entsprechend gewählte Steuerprogramme auf Wunsch ausschaltbar sein. Dieser Teil der Schaltungsplatte ist nicht physikalisch versiegelt bzw. abgeschlossen, so daß der in die Speicher-Fassung 260 eingeführte Speicher leicht ausgewechselt werden kann. Dies ist zwar im Hinblick auf einen möglichst geringen Lagerhaltungsaufwand und die Erzielung einer hohen Flexibilität bei der Herstellung vorteilhaft, doch führt die unversiegelte Fassung zu einem Sicherheitsrisiko und anderen Schwierigkeiten. Erfindungsgemäß wird jedoch ein Verschlüsselungsverfahren angewandt,The unsealed portion 250 of the circuit board 200 has a connector socket 260 for a memory device, e.g. a RAM, ROM, PROM or EPROM. If the socket 260 has a connection for a read-write memory, RAM or EPROM forms the data content of the read-write memory in the read-write memory Loading. For example, the control program can be written to read-write memory from a remote location a local game device is loaded via an interface gate 270 (FIG. 2) of the local game device and the loaded program through the secured part of the circuit board according to the method according to the invention to be checked. By appropriate selection of the local or remote control program a variety of different games can be played on a variety of play equipment. Then can the playground equipment can also be switched off if desired by means of appropriately selected control programs. this part the circuit board is not physically sealed so that the inside of the memory socket 260 introduced memory can be easily exchanged. While this is possible with a view to one low storage costs and the achievement of high flexibility in production advantageous, however, the unsealed socket creates a security risk and other difficulties. According to the invention however, if an encryption method is used,

33^541433 ^ 5414

um die Unversertheit des ungesicherten Teils 250 der Schaltungsplatte 200 mittels entsprechender Verarbeitung durch den gesicherten Teil 210 der Schaltungsplatte zu überprüfen. Der Mikroprozessor 220 ist so ausgewählt, daß er die gewünschte Betriebsgeschwindigkeit und Befehlsverarbeitungsfähigkeit bei niedrigen Kosten aufweist. Außerdem kann der Mikroprozessor 220 mehrere Schaltungen aufweisen, wie einen Allzweck-Mikroprozessor (mit einer Registerlänge von 4, 8, 16, 32 usw. Bits) in Verbindung mit Spezialzweck-Peripherieprozessoren und Schnittstellenchips, w e ZahlenverschlUssler, schnelle Fourier- Prozessoren, schnelle Multiplizierer u.dgl. mehr.the integrity of the unsecured part 250 of the Circuit board 200 by means of appropriate processing by the secured part 210 of the circuit board to check. The microprocessor 220 is selected to have the desired speed of operation and instruction processing capability at a low cost. In addition, the microprocessor 220 may include a variety of circuits, such as a general purpose microprocessor (with a register length of 4, 8, 16, 32 etc. bits) in connection with special purpose peripheral processors and interface chips, w e numeric encoders, fast Fourier processors, fast multipliers, and the like.

Das erfindungsgemäße Verfahren wird nachstehend hinsichtlich der Verschlüsselung anhand von Fig. 3 und hinsichtlich der Entschlüsselung anhand von Fig. 4 beschrieben.The method according to the invention is described below with regard to the encryption with reference to FIG. 3 and with regard to the decryption is described with reference to FIG.

Fig. 3 stellt in Form eines Flußdiagramms das Verschlüsselungsverfahren dar, das zur Herstellung eines überprüfbaren gesicherten Speichers, der in die ungesicherte Fassung 260 (nach Fig. 2) eingefügt werden kann, angewandt wird. Das Verfahren beginnt mit dem Schritt 300. Im folgenden Schritt 310 werden die letzten N Bits des ungesicherten Speichers für ein Echtheitswort (Echtheits-, Prüf- oder Richtigkeitswort) reserviert und der restliche Inhalt des ungesicherten Speicher= als Vektor R bezeichnet. In den Verschlüsselun^sspeicher wird ein Steuerprogramm geladen und als Inhalt des unversiegelten und ungesicherten Speichers (des Vektors R) gekennzeichnet. Das Echtheitswort W ist noch unbestimmt, stellt jedoch den Schlüssel zur Sicherstellung der Unversertheit des restlichen Inhalts des Speichers dar. Im nächsten Schritt 320 wird ein ganzzahliger Wert F(R) aus dem Vektor H nach einer öffentlichen (offenkundigen) Einweg- Funktion F berechnet. F ist eine Einweg-Funktion, die K in eine ganze Zahl abbildet, deren Größe mit der3 illustrates the encryption process in the form of a flow chart that is used to create a verifiable secure memory that is inserted into the unsecured Version 260 (after Fig. 2) can be inserted is applied. The procedure begins with the step 300. In the following step 310, the last N bits of the unsecured memory for an authenticity word (authenticity, Check or correctness word) and the remaining content of the unsecured memory = as Vector R denotes. In the encryption memory a control program is loaded and stored as the content of the unsealed and unsecured memory (the vector R) marked. The authenticity word W is still undetermined, but it is the key to ensuring integrity of the remaining contents of the memory. In the next step 320 an integer value F (R) calculated from the vector H according to a public (obvious) one-way function F. F is a one-way function, which maps K into an integer, the size of which corresponds to the

33164U33164U

eines Elements von R vergleichbar ist. F braucht nicht eins zu eins zu sein, sollte jedoch so gewählt sein, daß eine Änderung von R, ohne F(R) zu ändern, eine schwierige Aufgabe ist. Die Funktion F ist insofern eine öffentliche Funktion, als sie auch bei der Verschlüsselung benutzt wird und durch Mitglieder der Öffentlichkeit oder staatliche Organe festgestellt werden oder diesen bekannt sein kann.of an element of R. F does not need to be one to one, but it should be chosen so that that changing R without changing F (R) is a difficult task. The function F is so far a public function than that used in encryption and by members of the public or state organs can be determined or known to them.

im nächsten Schritt 330 wird ein Echtheitswort W aus dem Wert F(R) anhand einer geheimen Funktion D errechnet, die Wörter in Wörter mit einer inversen bzw. umgekehrten Funktion E, bei der es sich um eine öffentliche Verschlüsselungsfunktion handelt, abbildet. Es gilt daher W = D(F(R)) und E(D) = 1. Wenn daher die Funktion E zur Verschlüsselung verwendet wird, sollte E(W) nur dann gleich F(R) sein, wenn der Inhalt des Speichers (der Vektor R und das Echtheitswort W) nicht manipuliert bzw. gefälscht worden ist. Auf diese Weise kann die Unversertheit des Inhalts des unversiegelten ungesicherten Speichers überprüft werden.in the next step 330 an authenticity word W is selected the value F (R) is calculated using a secret function D, the words into words with an inverse or reverse Function E, which is a public encryption function, maps. It applies hence W = D (F (R)) and E (D) = 1. Therefore, when using function E for encryption, E (W) should only then be equal to F (R) if the contents of the memory (the vector R and the authenticity word W) are not manipulated or has been counterfeited. In this way the unsecured contents of the unsealed unsecured one can remain unsecured Memory to be checked.

Im nächsten Schritt 340 wird das Echtheitswort W in die Speicherplätze übertragen, die als die letzten N Bytes des unversiegelten Speichers reserviert worden sind. Danach ist der Verschlüsselungsvorgang beendet, wie es durch den Schritt 350 angedeutet ist. Der Inhalt des unversiegelten Speichers (Vektor R) einschließlich des Echtheitswortes (das in den letzten N Bytes angeordnet ist) kann in den ungesicherten und unversiegelten Speicher (z.B. ROM, EPROM, RAM) übertragen werden.In the next step 340 the authenticity word W in transfer the memory locations that were reserved as the last N bytes of unsealed memory are. The encryption process is then ended, as indicated by step 350. The content of unsealed memory (vector R) including the authenticity word (which is placed in the last N bytes is) can be transferred to the unsecured and unsealed memory (e.g. ROM, EPROM, RAM).

Hinsichtlich weiterer Einzelheiten von Einweg-Abbildungsfunktionen und Verschliisselungsverfahren mit öffentlichem Schlüssel wird auf die Druckschrift "Communications of the ACM", Februar 1978, Heft 21, Seiten bis 126 sowie auf "Scientific American", Seiten 146For more details on one-way imaging functions and public key encryption methods are referred to in the publication "Communications of the ACM ", February 1978, issue 21, pages to 126 and" Scientific American ", pages 146

bis 157, 19, verwiesen. Diese Druckschriften befassen sich beide allgemein mit dem Problem der Sicherung elektronischer Kommunikationssysteme, entweder zur Informationsübertragung oder für den Rechnungs- bzw. bargeldlosen Verkehr. Diese Druckschriften nennen Verfahren zur Sicherung neuerer elektronischer Kommunika-'tionssysteme und Geldverkehrssysteme, sowie Mittel zum Schutz großer Mengen privater Informationen, wie Bankkonten und Krankheitsgeschichten, die in rechnergesteuerten Datenbanken gespeichert sind. Die Ent- und Verschlüsselung werden angewandt, um Informationen so umzusetzen, daß sie unverständlich und daher für Unbefugte nicht brauchbar sind. Ferner werden Verschlüsselungsverfahren angewandt, um sicherzustellen, daß übertragene Nachrichten mit wichtigem Inhalt, z.B. irn elektronischen Geldverkehr, nicht verfälscht werden.to 157, 19. Deal with these pamphlets both generally deal with the problem of securing electronic communication systems, either for the transmission of information or for billing or cashless transactions. These publications call processes to secure newer electronic communication systems and money transfer systems, as well as means for Protection of large amounts of private information, such as bank accounts and medical histories, stored in computer-controlled Databases are stored. The decryption and encryption are used to convert information in such a way that that they are incomprehensible and therefore not usable by unauthorized persons. Encryption methods are also used used to ensure that transmitted messages with important content, e.g. in electronic money transactions, not be adulterated.

Nach Fig. 4 beginnt das Verschlüsselungsverfahren im Schritt 400, wenn das Spielgerät nach Fig. 1 eingeschaltet wird. Im nächsten Schritt 410 wird das Gerät auf ■ Prüfbetrieb eingestellt, in dem es nicht auf Steuereingaben des Spielers anspricht. Der Inhalt des unversiegelten Teils der Schaltungsplatte wird durch den gesicherten versiegelten Teil der Schaltungsplatte überprüft, indem die letzten N Bytes des unversiegelten Speicherinhalts als Echtheitswort W und der restliche Speicherinhalt des unversiegelten Speichers als Vektor R behandelt wird, dessen Elemente die einzelnen Wörter des unversiegelten Speichers sind.According to FIG. 4, the encryption process begins in step 400 when the gaming device according to FIG. 1 is switched on will. In the next step 410 the device is set to test mode in which it does not respond to control inputs of the player. The contents of the unsealed part of the circuit board are secured by the Sealed part of the circuit board checked by removing the last N bytes of unsealed memory treated as authenticity word W and the remaining memory content of the unsealed memory as vector R. becomes, the elements of which are the individual words of the unsealed Memory are.

Im nächsten Schritt 430 wird der ganzzahlige Wert F(R) aus dem Inhalt., dem Vektor H, des unversiegelten Speichers nach der öffentlichen Funktion F berechnet. Sodann wird ein ganzzahliger Wert E(W) aus dem EchtheitswortIn the next step 430 the integer value F (R) from the content., the vector H, of the unsealed memory calculated according to the public function F. The authenticity word then becomes an integer value E (W)

3b W auf der Basis der öffentlichen Verschlüsselungsfunktion E berechnet. Es wird daran erinnert, daß die Funktion E die Umkehrung der Funktion D ist. Somit gilt3b W based on the public encryption function E calculated. Recall that function E is the inverse of function D. Thus

E(W) = E(D(F(R))) = F(R) nur dann, wenn der Inhalt des unversiegelten Speichers nicht verfälscht worden ist.E (W) = E (D (F (R))) = F (R) only if the content of the unsealed memory has not been corrupted.

Im nächsten Schritt 450 des Entschlüsselungsvorgangs wird der errechnete Wert F(R) mit dem errechneten Wert E(W) verglichen. Wenn F(R) = E(W) ist, dann ist die Unversertheit des unversiegelten Speichers bestätigt i worden, so daß auf den Schritt 480 weitergeschaltet wird. Dabei wird das Spielgerät auf eine Betriebsart eingestellt, bei der es durch den Spieler betätigbar ist, wobei der Münzschacht und andere Steuereinrichtungen freigegeben und das Spielgerät bespielbar wird, wie es im Schritt 490 dargestellt ist. Das in dem unversiegelten Speicher enthaltene Steuerprogramm wird durch den Prozessor in dem versiegelten Teil 210 der Schaltungsplatte 200 ausgeführt, wobei der Spielablauf durch das Steuerprogramm gesteuert- wird. An dieser Stelle ist die Entschlüsselung und UnversertheitsprUfung abgeschlossen, wie es im Schritt 500 dargestellt ist.In the next step 450 of the decryption process, the calculated value is F (R) with the calculated value E (W) compared. If F (R) = E (W), then the unsealed memory is confirmed i so that a switch to step 480 is made will. The game device is set to an operating mode in which it can be operated by the player is, whereby the coin slot and other control devices are released and the game device is playable, as shown in step 490. The control program contained in the unsealed memory is through the processor executed in the sealed part 210 of the circuit board 200, with the game flow through the control program is controlled. At this point the decryption and integrity check is complete, as shown in step 500.

Wenn die Entscheidung im Schritt 450 ergibt, daß F(R) und E(W) ungleich sind, wird als nächstes der Schritt 460 ausgelöst. Dabei wird das Spielgerät nach Fig. 1 auf eine Alarm-Betriebsart eingestellt, bei der die durch den Spieler zu betätigenden Steuereinrichtungen ausgeschaltet und ein Alarm-Steuerprogramm eingeschaltet wird, das vorzugsweise in dem gesicherten versiegelten ROM gespeichert ist, wie es im Schritt 470 dargestellt ist. An dieser Stelle wird das Spielgerät gesperrt und die Bedienungsperson über den Fehlerzustand informiert. Der gestörte unversiegelte Speicher wird aus der unversiegelten Fassung entfernt, und die Bedienungsperson kann zwischen Abschaltung des Geräts oder einem erneuten Versuch mit einer anderen unversiegelten integrierten Speicherschaltung wählen. Wenn das Gerät abgeschaltet wird, ist das Verfahren zu Ende, wie es in dem Block 500 dargestellt ist. Wenn eine neueIf the decision in step 450 is that F (R) and E (W) are not equal, step next becomes 460 triggered. The game device according to FIG. 1 is set to an alarm mode in which the switched off by the player-operated control devices and switched on an alarm control program , which is preferably stored in the secured sealed ROM, as illustrated in step 470 is. At this point the game device is blocked and the operator is informed of the error status informed. The disturbed unsealed memory will removed from the unsealed socket, and the operator can switch off the device or between choose another attempt with a different unsealed integrated circuit memory. If that Device is switched off, the method is at an end, as shown in block 500. If a new one

33Ί54Η33Ί54Η

integrierte Schaltung in die ROM-Fassung 460 gesteckt wird, wird der Entschlüsselungsvorgang mit dem Einschalten wiederholt, beginnend mit dem Schritt 400. In beiden Fällen sollte der gefälschte Speicherchip autorisierten Personen zur Überprüfung auf eine Manipulation (Fälschung) oder das Vorliegen eines einfachen Betriebsoder Herstellungsfehlers übergeben werden. integrated circuit is plugged into the ROM socket 460, the decryption process starts when the device is switched on repeated, beginning with step 400. In both cases, the counterfeit memory chip should be authorized Persons are handed over to check for manipulation (forgery) or the existence of a simple operational or manufacturing error.

Der ROM 230 in dem versiegelten Teil 210 der Schaltungsplatte 200 enthält mithin ein Prüfprogramm zur Überwachung der Sicherheit des u; versiegelten Teils 250 der Schaltungsplatte 200, der den eingesteckten unversiegelten Speicher 260 aufweist. Die Funktion F ist eine öffentlich zugängliche Funktion, so daß sie eine öffentlieh verfügbare Signatur des unversiegelten Speicherinhalts ohne das Echtheitsprüfwort W darstellt, während die Verschlüsselungsfunktion E öffentlich verfügbar ist, um für ein öffentlich verfügbares Schlüsselwort E(W) zur Überprüfung durch eine Entschlüsselung zu sorgen. Durch Berechnung des Echtheitsprüfwortes W unter Verwendung eines geheimen Entschlüsselungs-Schlüssels, der Funktion D, die die Umkehrfunktion der öffentlichen Entschlüsselungsfunktion E ist, kann die Integrität des gesamten Inhalts des unversiegelten Speichers (sowohl des Echtheitswortes W als auch des restlichen Inhalts) geschützt und nach dem erfindungsgemäßen Vorschlag überprüft werden.The ROM 230 in the sealed part 210 of the circuit board 200 thus contains a test program for monitoring the security of u; sealed part 250 of the circuit board 200, which is the inserted unsealed Has memory 260. The function F is a public function, so it is a public one represents available signature of the unsealed memory content without the authenticity check word W, while The encryption function E is publicly available in order for a publicly available keyword E (W) to ensure verification by decryption. By calculating the authenticity check word W under Use of a secret decryption key, the function D, which is the reverse of the public one If the decryption function is E, the integrity of the entire contents of unsealed storage (both the authenticity word W and the rest of the content) protected and according to the proposal according to the invention to be checked.

Zur Erläuterung Lie i ein Beispiel angeführt. Es sei angeviO nuiiiiiicri, daIi der zu schützende unversiegelte Speicher ein El¹ROM mit. einem Fassungsvermögen von 2048 Bytes ist. Die letzten ü Bytes werden für das Echtheitswort. W reserviert, und der Rest wird in 408 5-Byte-Wörter I'q, ^|ji » · · · «^l)4Q7 unterteilt. Dann werden 408 vorbestimmte 3b ganze Zahlen P₁, P₂ P₄₀₇ und eine zusätzliche vorbestimmte ganze Zahl P₄₀₈ definiert. Zusätzlich wird eineAn example is given to explain Lie i. It is angeviO nuiiiiiicri, Daii the unsealed to be protected memory, a ¹ El ROM. a capacity of 2048 bytes. The last ü bytes are for the authenticity word. W is reserved and the remainder is divided into 408 5-byte words I'q, ^{| j} i »· · ·« ^l) 4Q7. Then 408 predetermined 3b integers P ₁ , P ₂ P ₄₀₇ and an additional predetermined integer P _{408 are} defined. In addition, a

große zusammengesetzte ganze Zahl XN-Basis vorbest i mmt.. F(R) und E(W) lassen sich dann wie folgt berechnen:large composite integer XN base predetermined i mmt .. F (R) and E (W) can then be calculated as follows:

i = 407i = 407

W.^Pi(Modulo-XNBasis)W. ^P i (modulo XN basis)

E(V/) = W^P408 (Modulo-XN-Basis).E (V /) = W ^P 408 (modulo XN basis).

Der EchtheitsprüfVorgang kann leicht geändert werden, und zwar so, daß, wenn F(R) + E(W) (Modulo-XNBasis) nicht gleich Null ist, die Unversertheit des EPROM fraglich ist und das Gerät auf Alarm-Betrieb übergeht, in dieser abgewandelten Form ist dieses Beispiel in der Programmiersprache BASIC verwirklicht und erfolgreich an einem EPROM in einem elektronischen münzbetätigten Gerät geprüft worden. Das Programm in der Programmiersprache BASIC und das aus dem EPROM in hexadezimaler Form ausgedruckte Objektprogramm sind in den Fig. 5A bis 5D dargestellt. Anstelle der Programmiersprache BASIC, die in dem in Fig. 5 dargestellten Programm benutzt wird, kann auch irgendeine andere geeignete Rechner-Programmiersprache benutzt werden. Bei dem in den Fig. 1 bis 5 dargestellten Gerät und Verfahren sind zwar alle Rechenoperationen genau auf Modulo-XNBasis mit genau 16stelligen Zahlen doppelter Länge (doppelter Genauigkeit) ausgeführt. Es ist jedoch auch möglich, andere mathematische Verschlüsselungsverfahren anzuwenden. The authentication process can easily be changed in such a way that if F (R) + E (W) (modulo-XN basis) is not equal to zero, the integrity of the EPROM is questionable and the device switches to alarm mode, this example is in this modified form in BASIC programming language implemented and successfully on an EPROM in an electronic coin-operated Device has been tested. The program in the BASIC programming language and that from the EPROM in hexadecimal Object programs printed out in form are shown in Figures 5A to 5D. Instead of the programming language BASIC, which is used in the program shown in FIG. 5, can also be any other suitable computer programming language to be used. In the apparatus and method shown in FIGS all arithmetic operations on a modulo-XN basis with exactly 16-digit numbers of double length (double precision). However, it is also possible to use other mathematical encryption methods.

So können andere Funktions- und Operations- bzw. rechnerische Beziehungen zwisc'hen den Daten und der Echtheitsinformation verwendet werden. Ferner können bei der Durchführung der Echtheitsprüfung zusätzlich zu oder anstelle der Vergleichsoperation andere Verknüpfungs- oder rechnerische Beziehungen angewandt werden.So can other functional and operational or computational Relationships between the data and the authenticity information can be used. Furthermore, at the implementation of the authenticity check in addition to or instead of the comparison operation other linkage or arithmetic relationships are used.

OO I O *♦ OO IO * ♦

Abwandlungen von den beschriebenen Ausführungsbeispielen des Geräts und Verfahrens zur Sicherstellung der Unversertheit des Steuerprogramrns eines Spielgeräts mit versiegelten und unversiegelten Teilen liegen ebenfalls im Rahmen der Erfindung.Modifications of the described embodiments of the device and method to ensure the The integrity of the control program of a game device with sealed and unsealed parts is also due within the scope of the invention.

Claims

Device which can be operated in one of several operating modes depending on the verification of the integrity of the device, characterized by: a) an unsecured part of the device, which has data and authenticity information in a part thereof, b) a secured part of the Device with

1) a device for deriving a first value from the data for a first relationship;

2) a device for deriving a second value from the authenticity information after a second Relationship,

3) a device for arithmetically linking the first and second value to determine the Integrity of the device and

4) a device for setting the device to a selected operating mode as a function of the facility for computational linkage.

2. Apparatus according to claim 1, characterized in that the unsecured part has a memory.

3. Apparatus according to claim 1, characterized in that the integrity of the unsecured part is based on an encryption and that of the secured part can be checked differently than by encryption.

4. Apparatus according to claim 1, characterized in that the authenticity information according to a first and third Relationship is derived from the data.

5. Apparatus according to claim 4, characterized in that the second relationship is the reverse of the third relationship is.

6. Apparatus according to claim 1, characterized in that the device for arithmetic linking the Integrity or the magnitude of the device representing "good" - "bad" output signals are generated.

7. Apparatus according to claim 6, characterized in that the facility for setting the device this

to a first operating mode as a function of a “good” signal to the first operating mode and as a function of a “bad” signal to the second operating mode.
20th

8. Apparatus according to claim 1, characterized in that the device to a first operating mode depending on the determination of the integrity of the device and can be set to a second operating mode as a function of the detection of an insecurity of the device is.

9. Apparatus according to claim 7 or 8, characterized in that that the first mode is a normal mode and the second mode is an alarm mode is.

10. Apparatus according to claim 4 or 5, characterized in that the first and second relationships are public and that the third relationship is secret.

33164U

11. Apparatus according to claim 4 or 5, characterized in that that the first, second and third relationships are one-way functions.

12. Apparatus according to claim 1, characterized in that the first relationship is chosen so that a change the data changes the first value.

13. Apparatus according to claim 1, characterized in that it is a game device.

14. Apparatus according to any one of claims 1 to 8 or 12, characterized in that it is a game machine.

15. Apparatus according to claim 10, characterized in that it is a game device.

16. Apparatus according to claim 11, characterized in that it is a game device.

17. Apparatus according to claim 9, characterized in that it is a game device.

18. Apparatus according to claim 17, characterized in that the normal operating mode is a player-dependent Operating mode is.

. Apparatus according to Claim 13, characterized in that the secured part is physically sealed is.

20. Apparatus according to claim 1 or 13, characterized in that the data and the authenticity information be loaded into the unsecured part from a device located remotely from the device.

21. Apparatus according to claim 1 or 13, characterized in that the unsecured part has a memory and the secured part has a processor and a memory.

22. Apparatus according to claim 1 or 13, characterized by: an interface device for communication with a device arranged outside the device and a device for charging the unsecured Partly with received information depending on the interface menu facility.

23. Apparatus according to claim 22, characterized in that the information received is the aforementioned Data and the authenticity information are.

24. Apparatus according to claim 22, characterized by a device for transmitting the ascertained device integrity to a device arranged outside the device.

25. Apparatus according to claim 1 or 13, characterized in that that the secured part of the device is relative

is arranged remotely to the unsecured part. 25th

26. Apparatus according to claim 1 or 3, characterized in that that the secured part has a processor and a memory and that the processor commands from backed up memory to derive the first and second values.

27. Apparatus according to claim 8, characterized in that the first operating mode is a player-dependent operating mode and the second mode of operation is a non-player mode of operation.

33164U

28. Apparatus according to claim 27, characterized in that the second operating mode triggers an alarm.

29. Device for ensuring the integrity of a

remotely located charged memory characterized by

a) a control unit with an encryption circuit for deriving authenticity information from data according to a first relationship and a second relationship that has an inverse,

b) a device with a memory, which is arranged remotely from the control unit,

c) a device for transmitting data and authenticity information from the control unit in the remotely located device for storage in the memory and

d) a test facility with:

1) a device for deriving a first value from the data content of the memory according to the first relationship;

2) means for deriving a second value from the authenticity information after the inverse relationship;

3) a device for arithmetically linking the first and second values to form a Output signal indicating the integrity of the device, and

4) means for setting a process in response to the integrity output signal.

30. Apparatus according to claim 29, characterized in that the testing device is relative to the control unit

is located away.
35

JJ IOHJJ IOH

31. Apparatus according to claim 30, characterized in that the first relationship and the reverse second Relationship are public and the second relationship is secret.

32. Apparatus according to claim 30, characterized in that the remotely arranged device is a game machine is.

33. Apparatus according to claim 30, characterized in that the first, second nid inverse relationship is one-way mapping functions are.

34. Apparatus according to claim 30, characterized in that

that the process involves setting the device to a normal mode of operation in response to a "good" output signal the testing device and an alarm mode depending on a "Schlechf output signal of the testing device includes.

35. Apparatus according to claim 30, characterized in that the remotely arranged device is a data processing device having.

36. Apparatus according to claim 30, characterized in that

that the control unit is operatively connected to a plurality of remotely located devices for selectable message transmission.
30th

37. Apparatus according to claim 36, characterized in that

that at least one of the remotely located devices is a game device.

3b

38. Apparatus according to claim 37, characterized in that that all remotely located devices are removed from transmissions from the control unit to the respective one

33164U

arranged device are operationally dependent.

39. Play equipment, characterized by:

a) a circuit board;

b) an unsecured part of the circuit board, its integrity by means of an encryption can be determined with a memory in which data and authenticity information are stored, wherein the authenticity information from the data information according to a public first relationship and derived from a secret second relationship with a public inverse relationship; c) a secured part of the circuit board with processing electronics arranged on it, wherein the integrity of the secured part can be determined and the secured part of the circuit board comprises:

1) a device for deriving a first value from the data content of the memory as a function from the public first relationship,

2) a device for deriving a second value from the authenticity word by means of the public reverse Relationship,

3) means for processing the first and second values to generate an integrity signal,

4) means for setting the device to a first operating mode in dependence on one first integrity signal that the device indicates as "good" and

5) means for setting the device to a second operating mode in dependence on one second integrity signal, which the device indicates as "bad".

40. Apparatus according to claim 39, characterized in that the secured part has a processor and a having second memory.

41. Apparatus according to claim 39, characterized in that the first, the second and the inverted second Relationship functions are one-way.

42. Apparatus according to claim 39, characterized in that the first relationship has the property that a change in the contents of the memory is the first Value changes.

43. Apparatus according to claim 39, characterized in that

that the second relationship is a one-way trap door function.

44. Play equipment, characterized by:

a) a housing with a display surface and a user control;

b) a circuit board disposed in the housing;

c) an unsecured part of the circuit board, its integrity by means of an encryption is verifiable, with a memory in which data and authenticity information are stored, wherein the authenticity information is based on a second relationship that has an inverse relationship, is derived from a first value which, according to a first relationship, is dependent on Data content has been derived and modified;

d) a secured part of the circuit board, which in terms of its integrity to "good" is verifiable with:

1) a device for deriving a second value from the data content of the first memory after the first relationship,

3316AH

2) a device for deriving a third value from the authenticity information according to the reverse relationship

3) means for generating an integrity output signal depending on the processing of the second and third value,

4) a device for setting the device

on a first mode of operation depending on one first integrity output signal and

5) a device for setting the device to a second operating mode as a function of one second integrity output signal.

45. Apparatus according to claim 44, characterized in that the first versatility output signal indicates that the device is "good" and that the second integrity output indicates that the device "bad is.

46. Apparatus according to claim 45, characterized in that the first operating mode is a setting of the device includes controllability by the user.

47. Apparatus according to claim 45 or 46, characterized in that the second operating mode is an alarm operating mode is.

48. Game device operating in a player-dependent mode of operation and is operable in an alarm mode, characterized by

a first memory with a data and an authenticity information content, the authenticity information the remaining content of the unsecured Memory is arithmetically assigned a secured memory;

• · · ■

a device for checking the integrity of the first memory with:

a device for executing commands which are fed to it from the secure memory, so that it derives a first value which is mathematically assigned to the data content of the first memory is;

a device for executing commands which are fed to it from the secure memory so that it derives a second value which is mathematically assigned to the authenticity information; a device for generating a "good" / "bad" signal relating to the integrity of the device as a function of a combination of the first and the second value; a device for setting the game device to the alarm operating mode depending on the " Schlechf 'signal and
a device for setting the game device to the player-dependent operating mode as a function of the "good" signal.

49. Apparatus according to claim 48, characterized in that the first relationship has the property that a change in the content of the first memory changes the first value.

50. Game device according to claim 48 or 49, characterized in that the authenticity information from the first Value is derived.

51. Apparatus according to claim 48, characterized in that the first, second and inverse second relationships Disposable functions are.

52. Device for ensuring the integrity of information loaded into the device, marked by

a) a memory with initially undefined content;

b) a device for loading data and authenticity information into the content of the memory, wherein the data according to a public first and a secret second relationship with the authenticity information being related;

c) a device for checking the integrity of the invited content comprising:

1) means for deriving a first value according to the first relationship as a function of Data content of the memory,

2) means for deriving a second value after a public reversal of a second Relationship depending on the authenticity information;

3) a device for arithmetically combining the first and second values to generate a integrity output signal identifying the memory content as "good" or "bad",

d) a device for controlling the operating status of the device with:

1) means for setting the device to a normal operating mode depending on the "Good" output signal and

2) means for setting the device to an alarm mode in response to the "Bad output signal.

53. Implement according to Claim 52, characterized in that

that the device is a game device. 35

54. Implement according to Claim 53, characterized by:

one interface port for communicating with an external device and one on the interface port responsive facility for loading communication data received from the external device received into memory.

55. Apparatus according to claim 53 or 54, characterized in that the memory is in an unsecured part of the second device is arranged and that the device for testing dt "intactness and the Device for controlling the operating state arranged in a secured part of the second device are.

56. Apparatus according to claim 52 or 53, characterized by an input device that can be operated by the user, wherein the normal operating mode depends on the input device that can be actuated by the user is.

57. A method for controlling the operating mode of a device with a memory in which data and authenticity information are stored, characterized in that, that a first value is derived from the data content according to a first relationship, that a second value is derived from the authenticity information according to a second relationship, that the first and second values are arithmetically linked to ensure the integrity of the device to consider and

that the device switches to a selected operating mode depending on the result of the integrity test of the device is set.

58. The method according to claim 57, characterized in that the device is a game machine.

59. The method according to claim 57, characterized in that the authenticity information from the data content is derived after the first relationship and an inverse of the second relationship.

60. The method according to claim 59, characterized in that the device as a function of a "good" result ~ nis of checking the integrity of the device for a normal operating mode and depending on a "bad" result of testing the device for integrity is set to an alarm mode will.

61. The method according to claim 57 or 58, characterized in that the first and second relationships are public and that the reverse of the second relationship is kept secret.

62. The method according to claim 57 or 58, characterized in that the first value according to a function is derived, which has the property that a change in the content of the unsecured memory changes the first value.

63. The method according to claim 62, characterized in that that the authenticity information is derived from the first value, that the second value from the authenticity information after a reversal of that derivation through which the authenticity information is made derived from the first value.

64. A method for producing a memory with a verifiable secure data content, characterized in that that a first value from the data content

ν »ν? I UM I H

of the memory derived from a first relationship in which a change in the content of the memory changes the first value, that an authenticity value is made the first value is derived according to a second relationship with an inverse relationship, and that the authenticity value is stored in the memory content.

65. Method for checking the integrity of the contents of a memory in which data and an authenticity value are stored, the authenticity value with the data according to a first and second relationship in Is related, characterized in that a first value from the data of the memory after the first relationship is derived; that a second value from the authenticity value after an inverse of the second relationship is derived;

that an integrity output signal is generated that identifies the integrity of the device as "good" or "bad" as a function of a combination of the first value and the second value; and
that a first setting signal depending on the integrity output signal, which characterizes the device as "good", and a second setting signal depending on the integrity output signal, which characterizes the device as "bad" are generated.

66. The method according to claim 64 or 65, characterized in that the first relationship and the reverse the second relationship is public and the second relationship is secret.

67. The method according to claim 64, characterized in that the method is carried out in a gaming machine

33164H

will.

68. Procedure to ensure the integrity of a unsecured part of a device with a sealed secured circuit part, which has a processor and having a first memory, and with an unsecured circuit part having a second Having memory, characterized in that a first value from the data content of the second Memory is derived according to a first relationship in which a change in the content of the second Memory changes the first value; that an authenticity value from the first value after a second relationship with an inverse relationship. is derived and

that the authenticity value is stored in a predetermined memory location of the second memory.

69. The method according to claim 68, characterized in that

a) the integrity of the second memory is checked with the aid of the first part, wherein 1) a first value is derived from the content of the second memory according to the first relationship;

2) a fourth value is derived from the authenticity value of the inverse relationship and 3) the third value and the fourth value are mathematically related and a Relationship output is generated, and

b) the operating state of the device is controlled, wherein

1) the game device depending on whether the relationship output signal the integrity of the device as "good", is set to a normal operating mode and

2) the device depending on whether the relationship output signal the integrity of the device

as "bad" is set to an alarm mode.

70. The method according to claim 68 or 69, characterized in that the first and reverse second relationships are public and the second relationship is secret.

71. The method according to claim 70, characterized in that the second memory is a non-permanent memory is.

72. The method according to claim 68 or 69, characterized in that the device is a game device.

73. The method according to claim 69, characterized in that the normal operating mode is player-dependent Operating mode and the alarm operating mode is not a player-dependent operating mode.

74. The method according to claim 71, characterized in that ' that arithmetic relating comparing the magnitudes of the first and second values and indicating the integrity of the device as "good" if the relationship score is equal, as well indicating the integrity of the device as "bad" if the relationship score is unequal includes.

75. The method according to claim 71, characterized in that the first, second and inverse second relationships Kinweg mapping functions are.

76. Method for the selectable setting of a game device to a predetermined operating mode as a function of from an examination of the integrity of a unsecured memory of the gaming device, the gaming device being set to a player-dependent operating mode and a non-player-dependent alarm operating mode can be set in which the unsecured memory contains data and authenticity information is stored, the authenticity information computationally with the data is related or linked and the device has a secure memory, characterized in that

a) that read out from the first memory commands to derive a first value that the content of the unsecured memory are executed;

b) that commands read out from the secure memory to derive a second value, the represents the authenticity word are executed;

c) that the first and second values are computationally related in order to provide an indication for the Create integrity of the device;

d) that the game device is set to the non-player-dependent alarm operating mode depending on a display, that the device is not unversed, is set and

e) that the game device in response to an indication that the device is unversed, on the player-dependent Operating mode is set.

77. The method according to claim 76, characterized in that the first value is derived by means of a function which has the property that a change in any content of the unsecured memory changes the first value.

3315414

78. The method according to claim 77, characterized in that the authenticity word is derived from the first value and that the second value from the authenticity word by means of an inverse derivation to that, by which the authenticity word is derived from the first value is determined.

79. The method according to claim 76, characterized in that the first value is derived in that the data with a first function mapping in Relationship is set.i; and that the authenticity information arithmetically with the first value after a second function mapping is related, the second value by arithmetically linking the Authenticity information is derived with an inversion of the second function mapping.

80. The method according to any one of claims 57, 58, 76, characterized in that the data and associated Authenticity information from an external source is transmitted into the device and that the transmitted Data and associated authenticity information are stored in the memory.

81. A method for controlling the operating mode of a device which has local and remote devices, the operation of which is dependent on a determination of the integrity of a transmitted information, characterized in that the data information in the remote device according to a first and a second relationship for derivation an authenticity information is processed,
that the data and the authenticity information from the

3ü remote device to be transferred to the local device,

33164U

that the data information in the local device: after the first relationship to derive a first value is processed that the authenticity information in the local device processed to derive a second value after a reversal of the second relationship and

that the operating mode of the device depends on the arithmetic linkage of the first and second value is controlled.

82. The method according to claim 81, wherein a plurality of local devices are provided, characterized in that that controlling the operating mode of the device the selectable setting of the operating mode of all local Devices depending on the arithmetic links of all first and second values includes.

83. The method according to claim 81, characterized in that the first value is derived by means of a function which has the property that any change in the contents of the unsecured memory changes the first value.

84. The method according to claim 81, characterized in that the authenticity information from the first value and the second value from the authenticity information by means of an inverse derivation to that by which the authenticity word is formed from the first value is derived.

85. The method according to claim 81, characterized in that the functional first and reverse second Relationship are public and the second functional relationship is secret.

86. The method according to claim 81 or 85, characterized in that the first, second and reversed second functional relationship are one-way functions.