CN100392589C - 执行交易的系统和方法以及用于操作终端的方法 - Google Patents

Abstract

本发明涉及用于使用基本上能够执行多个不同交易的终端实现交易的系统。为此，终端(10、11)由终端网络(30)连接于至少一个节点计算机(40、41)，各终端可以被设置用于实现交易。执行至今还没有准备的另一个交易可以随后在任何时候建立，而不需要任何特殊的设置措施。终端(10、11)从响应于表征其它交易特性的触发信号的节点计算机(40、41)请求数据，所述数据提供实现其它功能所需要的功能性。然后，由终端(10、11)和节点计算机(40、41)之间的相互作用实现该交易的执行。

Description

执行交易的系统和方法以及用于操作终端的方法

本发明始自于根据主权利要求的前序部分的系统。

这个系统可从EP-B-0 305 004得知。执行这里所描述的金融交易的系统提供了用户侧的各终端，多个终端与所谓的集中器并行排列地连接。各集中器以并行排列的方式经由银行网络与后台银行系统顺序地连接。各系统部件间的连接相互独立地得到保护，以避免其间经过的业务被监视。各终端和集中器之间的连接使用最好是以智能卡的形式设计的安全盒(security boxes)在终端得到保护。系统结构的决定元件是执行与后台系统通信并具有其需要的所有装置的集中器。与集中器连接的各终端仅能与各自在先的集中器通信。因此可以将各终端的结构保持得简单。

具有前述的多用户系统的难点是新系统特征的建立或现存系统特征的改变。当进行例如引进新软件安全特征的系统改变涉及至少两个系统用户并且后者在技术上不相同时，所涉及的问题变得尤其明显。然后必须正常地为每种类型的用户独立地执行系统改进。如果后来不能改变终端的功能性，终端必须被完全地替换。

另外，DE-A1-38 15 071公开了以智能用户电报(teletex)终端或电视接收机的形式通过再装载程序包调整通信终端使之适应站点上的给定使用环境。该器件具有微处理器单元、存储器件、到外部程序源的接口和由微处理器控制的多个装置。各装置的控制和激励在该器件的第一次使用之前从外部程序源传送至存储器件的应用程序包的辅助下实现。建议的概念通过装载相应的应用程序包允许生产被调整到站点的使用位置的技术上一致的器件。

当在工厂准备用于执行无论如何是有可能的所有功能的通信器件，并且该通信器件具有全部的必要装置及相应的巨大存储器件时，DE-A1-38 15 071中描述的概念提供了最大的利益。这种类型的通信器件可以通过大规模生产比较合理地生产，但是对许多应用来讲尺寸过大。各器件的日常使用进一步预示已经制备了特别的器件，用于当通过装载相应的应用程序包设置时执行期望的功能。换句话说，仅可以使用预先在分开的设置步骤中设置的功能性。每个新的功能性或现有功能性的改变必须在分开的操作步骤中设置。

本发明基于提供具有非常简单结构终端的灵活交易系统的问题，该系统简化了新系统特征或现存系统特征的改变的引入。

具有主权利要求的特征的系统解决了这个问题。根据独立权利要求9的终端和根据独立权利要求19的方法也解决了这个问题。

本发明的系统的特征在于：终端的功能性不是由它的技术设计或设置永久地限定的，而是可变的，并且仅由它从在先节点计算机接收的软件确定。就各终端的技术设计来说，仅有他们能接受节点计算机馈送的软件并执行它的规范。在这个规范的限制之内，各终端可以自由地设计并具体地独立于他们的后续功能性。对于非常不同的交易，各终端可以有利地进行技术上统一的设计。将可能的功能性的基本部件到节点计算机的传递许可各终端的简单设计。这还有利地许可对终端节点计算机独立于终端的功能性、因此独立于终端的类型、和因此对所有类型的终端统一地进行限定。在与终端节点计算机接口的统一设计相连的固定限制内的终端的自由设计性充分地促进了新系统软件特征的建立和/或现存系统软件特征的改变。特别有利的实施例提供了系统改变事实上没有延迟地对各终端生效。由于它的功能性根本上是在任何时间可自由配置的，所以每个终端可以用来执行几个不同的交易。由于没有接口、网络或终端特性需要被注意，还可以在任何时候新设置终端功能性并充分地促进用于新功能性的软件的开发。另外，极大地方便了维修和维护的日常事务。

在其它事物中，建议的交易系统适用于银行或付款交易应用中的使用，发布电子票据或用于健康保险卡。

根据独立权利要求9的本发明的终端的特征在于它许可根据主权利要求的交易系统的结构。

根据独立权利要求19的本发明的方法具有它的实现导致了根据主权利要求的系统的优点。

根据主权利要求的系统、独立权利要求9的终端、和根据独立权利要求19的方法的进一步有利的实施例和有利的开发可以在各自的从属权利要求中看到。

下面将参照附图详细描述本发明的例子，其中：

图1显示了交易系统的结构，

图2显示了图1所示的结构的细节，

图3显示了说明交易系统的操作的流程图，

图4显示了操作变量的流程，

图5显示了终端和节点计算机之间数据交换的例子，

图6显示了使用发布电子票据的终端的数据交换，

图7显示了使用处理健康保险卡的终端的数据交换，

图1显示了用于执行交易的终端11，该终端经由终端网络30与节点计算机40连接。节点计算机40经由后台网络50与中央处理单元60顺序地连接。终端网络30可以并行地连接到终端11和更多的各终端10，各终端10具有与终端11相同的基本结构，但不需要相同地设计。后台网络50可以并行地与节点计算机41和更多的各节点计算机40相连，其中的每个可以再次是终端网络30的开始点，该终端网络30连接了一个或多个终端10。后台网络50可以并行地与中央处理单元60和更多的各中央处理单元61相连。终端网络30和后台网络50可以全部或部分地设计为固定或无线网络；特别是终端网络30可以经由因特网实现。各终端10、11，各节点计算机40、41，和各中央处理单元60、61到各自网络30、50的连接也可以相应地是线缆和/或非接触类型。

图1所示的网络结构许可执行多个不同的交易，包括直接记帐或资金(purse)形式的付款功能、信用卡功能、收费卡功能、终端用户的应用、健康保险功能、维修或维护功能或诊断功能。

图2更细致地显示了图1所示的、具有终端11、节点计算机41和中央处理单元61的网络结构的细节。终端11的主单元是经由器件内部总线16与存储器件20、操作设备13、画面显示单元14、用户数据接口15、与终端网络30非接触或接触类型的接口18、和安全盒17连接的微处理器12。以公知的现有技术将存储器件20分为易失性部分21和非易失性部分22，易失性部分通常以RAM的形式具体用作处理器12的的工作存储器，非易失性部分22又被分为常常是ROM形式的只读区域23和常常是EEPROM形式的读写区域24。只读区域23具体地包括对提供终端11的基本操作至关重要并不必在后面改变的初始操作数据，和用于装载定义终端功能性的程序包的引导程序。读写区域24最好包括提供与只读区域23中的初始操作程序数据有关的终端的功能性的所有数据。

操作设备13使用户能够触发和/或继续交易。因此它具有用户可以用其生成经由总线16馈送到处理器12的控制信号的激励装置。控制信号的输入通过画面显示单元14上的显示得到支持。在一普通的实施例中，操作设备被设计为可以软键的形式方便地集成到画面显示单元14的小键盘。为了增加系统的安全性，操作设备13可以具有用于识别用户的装置，例如评价诸如指纹识别器的生物测定数据的装置。

用户数据接口15最好设计为用于与便携数据载体80通信的读/写单元，该便携数据载体80形成下列描述的终端11的一部分。数据载体80具有微计算机81，微计算机81也具有微处理器和存储器，而后者基本上可以如存储器件20一样地构建。用户数据接口15和微计算机81之间的通信可以是接触类型或非接触类型的。便携数据载体80方便地设计为智能卡或磁条卡，但是也可以具有其它形式的外观，例如钟表的形式。

为了防止未授权的人侦测通过终端网络30的通信，安全盒17支持系统安全性，并含有用于加密和解密经由接口16输出到终端网络30和来自那里的信息的信息。

便携数据载体80包含在终端11的协助下执行交易所需要的信息。这个信息可以是例如用于执行银行交易的帐号、用于执行付款操作的价值存储器内容、用于准备医学治疗帐单的保险名称、或用于记录奖金信息的求和存储器内容。便携数据载体80的微计算机81还可以包含用于提供终端功能性的数据。它还可以操作地包含终端侧处理器12、终端侧存储器件20或安全盒17的必要元件，以便终端11的操作在仅与便携数据载体80在一起的情况下是可能的。如果它们被设计为数据载体80的元件，则在终端侧可以相应地全部或部分地忽略处理器12、存储器件20和/或安全盒17。其它的终端部件也可以相应地在数据载体80上部分或全部地实现；从方便的观点来看，基本上可以自由地设计它们的选择和分布的类型。

节点计算机40、41形成终端10、11的服务器，执行经由连接的终端10、11触发的、与终端10、11相互作用的交易，并经由后台网络50在终端10、11和中央处理单元60、61之间进行连接。为了执行这些功能，节点计算机40、41因此装备有有效的处理器单元44和大型的存储器件45。处理器单元44经由非接触或接触类型的第一接口42与终端网络30连接，经由非接触或接触类型的第二接口43与后台网络50连接。为了保护到终端10、11的通信量和到后台网络50的通信量，节点计算机具有密码箱46。它管理和处理用于加密和解密具体的终端10、11或中央处理单元60、61实现的数据交换的信息。加密和解密是基于现有技术中的公知机制。

节点计算机41的一个重要功能是提供在终端10、11上触发交易后执行交易所需要的终端功能性。因此存储器件45通常包含用于提供连接的终端10、11上的可能的功能性的多个数据。

中央处理单元60、61一般地具有普通的计算中心的形式，这些计算中心可以在网络运营商、银行、信用卡机构、装载中心、授权中心、服务中心等地方见到。由于中央处理单元60、61在这个意义上是公知的，并且对本发明的系统来说，它们也仅用于公知的功能，这里就不在详细地说明它们的结构了。

图1所示的交易系统的典型特征是终端10、11的特定功能性并非稳固地与其关联，而是由它们从节点计算机41接收的软件定义的。这个定义可以是永久的或依据情况而变化的。功能性的基本部分可以有利地传输给节点计算机40、41。图2参照执行交易的步骤顺序说明了这个特征。

在步骤100，用户首先经由操作设备13触发交易。接着触发信号，终端处理器12检查用于提供想进行的交易所需要的功能性的数据是否在存储器件20中可用。如果可用，处理器12在步骤102直接用可用的数据执行可能的第一交易步骤。例如，对于利用智能卡80执行的交易，处理器12使得用户数据接口15(然后被设计为读取单元)将卡数据从卡微计算机81的存储器中读出，并请求用户经由操作设备13输入进一步的控制信号，例如用户识别信息。接下来，在步骤106，处理器12生成启动(start)序列，该序列表明交易被触发包含识别特定终端10、11的信息。

如果在步骤102中，得出用于提供执行交易所需要的功能性的数据不存在于存储器件20中，则处理器12仅形成启动序列。如果可用，由于首先执行的交易步骤而出现的数据和启动序列由处理器12利用安全盒17中包含的保护信息进行加密，并经由终端网络30发送给相关的节点计算机41。

处理器单元44经由接口42接收数据并在利用包含于密码箱46中的解密信息将它们解密。于是在步骤110，处理器单元44检查解密的数据，它们是否仅包括启动序列或已经包括了第一交易步骤的结果数据。在前一种情况中，处理器单元44从启动序列确定执行触发的交易所需的终端功能性，并检查对应的数据是否出现在节点计算机41的存储器件45中。如果没有，处理器单元44经由后台网络50从中央处理单元60、61请求它们。当需要的数据出现时，在步骤116，处理器单元44使它们用于传输到终端11。

如果步骤110的检查得出从终端10、11接收的第一数据已经包括了首先执行的交易步骤的结果，则处理器单元44处理它们并生成第一响应数据。通常是经由后台网络50与中央处理单元60、61执行数据交换。

接着第一数据的处理，在步骤114，处理器单元44检查终端11是否被馈送用于提供执行下一个交易步骤的所需数据的进一步的数据。如果是这种情况，它继续执行步骤116，并检查所需的数据是否出现在存储器件45中。如果它断定所需的数据没有出现在存储器件45中，则它经由后台网络50从相应的中央处理单元60、61请求它们。如果需要，节点计算机40、41将该数据和第一响应数据经由终端网络30发送给终端11。

如果由节点计算机41发送回来的响应数据仅仅是用于提供功能性的数据，即当触发交易时，终端11的存储器件20中没有可利用的必要的数据时，则终端处理器12接受存储器件20中的数据。然后它使得第一交易步骤被执行。它将得出的第一数据发送回节点计算机41，该节点计算机41因此顺序地执行步骤顺序102。

如果由节点计算机41发送回终端11的数据包括更大量的响应数据，则终端处理器12使得执行下一个交易步骤。如果用于提供执行交易所需的功能性的进一步的数据与大量的响应数据一起被传输时，则它在存储器件20中接受它们，并直接用它们执行下一个交易步骤。

用于提供执行交易的功能性的数据可以在交易结束后保留在存储器件中。当下一次执行交易时，终端处理器12则可以在触发交易后直接执行第一交易步骤，而不用预先从节点计算机41请求用于提供所需的功能性的数据。终端11可以在任何时间再次执行由于功能性而可能的交易，而不用任何从节点计算机40、41请求数据的需要。

另一方面，提供有在交易结束后删除用于提供交易功能性的数据。然后终端处理器12在每次执行交易时重新装载提供所需的功能性所需要的数据。在这种情况下，存储器件20可以仅包括易失性存储器区域21和用于存储初始程序数据的区域23。

用于为某个交易提供功能性所需的数据的传送不需要通过触发交易本身被触发。它也可以独立于某个交易的实际触发而实现。触发可以是任何定义的事件。例如，当首先将终端连接到网络时，将用于最重要的或最频繁执行的交易的数据传送给该终端。在另一种情况下，当第一次触发最重要的或最频繁的交易中的任何一个时，装载用于最重要的或最频繁执行的交易的数据。进一步可能的触发事件是定期或按需求在终端上执行的维修或维护措施。在所有情况下，数据传送一旦被触发则可以用于定期更新已经设置在终端中的功能性，由此用终端的存储器中的当前版本改写过时的版本。

图4说明了从节点计算机到终端的数据传送的可能序列，该序列不直接地约束于交易。

在步骤101，由预定事件的出现启动序列，例如达到维修定时。

然后，终端11在步骤106再次形成启动序列，它表明交易被触发并包含识别特定终端11的信息，并将该信息发送给相关的节点计算机。

在步骤111，节点计算机41检查启动序列是否清楚地定义了要被直接传送的数据。

如果不是这种情况，节点计算机在步骤113产生检测要被传送到终端的数据的询问，并将它发送给终端。

在步骤115，终端执行询问并在对应的响应中规定给节点计算机的期望的数据。

然后，节点计算机检查所要求的数据是否存在于存储器件45中。如果它断定所要求的数据不在存储器件45中，则经由后台网络50从对应的中央处理单元61请求它们。因此在步骤119，它将数据经由终端网络30发送给终端11。

如果基于步骤111的检查，关于要传送的数据的信息直接跟随于启动序列，则节点计算机直接执行步骤119。

它还可以提供，在新状态下已经用功能性的选择装备了各终端。该选择可以方便地包括最重要或最频繁使用的功能性。特别是如果存储容量容许的话，还可以将所有可能的功能性设置于终端上。

图5说明了在节点计算机41和用作付款交易终端的终端11之间的可能的数据交换。对于所示的数据交换，功能性的基本部分在节点计算机41中实现。假设用于提供功能性“付款交易”的数据已经存在于终端11的存储器件20中，并且可由终端11执行的交易以智能卡80的使用为先决条件。该交易是付款操作，涉及一定数量的金钱从对应于在具有中央处理单元61的第一银行的智能卡80的帐户到在具有中央处理单元61的第二银行的帐户的帐面转移。终端11是安装于经销商的终端，对于该终端，在相关的节点计算机41中创建虚拟的经销商卡，即以程序的形式实现的智能卡的方式的数据载体。

通过将智能卡80插入设计为读取器件的用户数据接口15而触发付款交易。当终端11识别到要执行交易时，首先用公知的方式方便地检查使用卡80的用户授权，例如检查PIN。如果所述检查是肯定的，终端11从智能卡的存储器83读出一般的卡数据，例如卡号和/或银行连接。如果该卡允许多种例如资金或借方或信用卡可交替操作的不同的交易，则终端11请求用户通过画面显示单元14上的显示选择交易，即选择付款的模式。然后，它请求用户通过画面显示单元14上的显示输入要传送的金额，终端11提供终端识别和日期信息的数据。在步骤200，终端从一般的卡数据、金额、终端信息数据和日期信息形成它将发送给节点计算机41的启动序列。启动序列的发送和在终端11和节点计算机41之间的总的后续数据交换以现有技术中公知的加密方法的加密方式实现。第一个密钥方便地分配给终端11，根据终端识别在启动序列的框架下形成或可能在前述步骤中形成。在下面它用作用于保护终端11和节点计算机41之间的总的数据交换的叠加输送密钥。另一个密钥方便地分配给智能卡80，用于形成数据保护代码，以便特别是允许检查数据的完整性。

在步骤202，节点计算机41确定对应于在创建了属于智能卡80的帐号的启动序列中指定的银行连接的中央处理单元61。它与确定的中央处理单元61开始数据交换。这首先涉及例如想要进行的付款操作是否被允许的检查。如果想要进行的交易因此基本上是可能的，则在步骤204，节点计算机41将建立用于执行想要进行的交易的终端11、和具体地包括使用户数据接口15进一步访问智能卡80的指令的数据传送给终端11。该数据还包含使得终端11通报谁是付款的接收者或付出者的指令。

在步骤206，终端11执行接收的数据和智能卡指令。当智能卡80准备用于执行借方时，在步骤208，终端11在加密响应后发送节点计算机41，在这个例子中其包含从卡到与该终端关联的虚拟经销商卡进行付款的信息。

在假设的例子中，节点计算机41从借出(debiting)或贷入(crediting)卡80或相关帐号的金额要贷入或借出给谁的响应中确定虚拟经销商卡。参照启动序列中发送的终端信息数据，因此节点计算机41读取虚拟经销商卡的存储器，并确定与该经销商卡相关的中央处理单元60。因此在步骤210，它打开了与后者的数据交换，以建立用于贷入的经销商卡。

当准备智能卡80和经销商卡时，在步骤218，节点计算机41发送终端11交易指令，该指令使得借出被输入到终端侧的智能卡80的存储器中。与此相同，它将相应的贷入记录在虚拟经销商卡的存储器中，并使得交易经由后台网络50在数据交换中的有关中央处理单元60、61之间执行。

在步骤222，终端11在智能卡上输入借出，并在步骤222通过向节点计算机41返回一个确认来确认交易的结束。

当交易的记帐部分结束时，在步骤224，节点计算机41生成控制数据，该控制数据使得终端11在显示单元14上显示所执行交易的凭证显示，即所执行的记帐操作。如果终端11具有与此相关的凭证输出，例如以打印机的形式，节点计算机41还方便地生成打印凭证的控制数据。在步骤226，它将控制数据发送给执行它们的终端11，而不用进一步的处理。

图6作为图2所示的交易系统的进一步可能的使用说明了一个变化，其中终端11被用来发放电子车票。假设电子车票具有输入到智能卡80的存储器中的数据记录的形式。终端11相应地具有智能卡接触单元形式的用户数据接口15。

在步骤300，通过客户将智能卡80插入终端11和/或例如经由操作设备13报告他想执行交易“电子车票”以便获取电子车票而触发车票发放交易。然后，当终端11识别到要执行车票发放交易时，可以首先提供对想要进行的交易使用智能卡80的用户授权的检查，例如以公知的方式通过检查PIN。

当确定要执行交易“电子车票”并且客户被授权执行该交易时，终端11确定智能卡80的卡号，并在步骤302检查是否为进一步执行“电子车票(ticket)”交易进行了设置。如果没有，它进一步断定是否有足够的空闲的存储器空间用于设置功能性。

接下来，终端11生成包括卡号和终端识别的启动序列306。如果执行交易“电子车票”所需要的功能性不存在于终端11的存储器件20中，启动序列306还包括指示终端11需要设置功能性的数据的信息，所述数据在下面称为应用程序。

启动序列306利用与终端11相关的叠加传输密钥进行加密，并使用终端识别在启动序列的框架下生成或由通常的方法在前述的、分离的数据交换中生成。传输密钥保护终端11和节点计算机41之间的总的连续数据交换。密钥的生成和使用基于公知的方式，通信的参与者每个都相互独立地知道不能经由终端网络30在终端11和节点计算机41之间进行交换的秘密。一方面，这个秘密稳固地存储于终端11中，最好是安全盒17中，并且另一方面，在节点计算机41中管理或由中央处理单元60、61经由后台网络50管理。如果生成密钥所需的秘密在节点计算机41中不可用，则后者从管理中央处理单元60、61中获得它。

终端11将加密的启动序列306发送到相关的节点计算机41。其中的处理器单元44在接收并解密启动序列306后，在步骤308检查应用程序“电子车票”是否存在于节点计算机41的存储器件45中。如果没有，节点计算机41例如利用终端信息确定具有实现该应用程序的数据的中央处理单元60、61，并经由后台网络50从那里请求该数据。当应用程序数据准备就绪时，在步骤310，节点计算机41将它们传送给终端11。

其中的处理器12接受存储器件20中的应用程序数据，并在步骤312执行设置功能性。终端11请求客户经由画面显示单元14选择车票。以提示的方式交互地实现选择。当由画面显示单元14请求时，在步骤314，客户使用操作设备13提供确定所需的车票的必要信息，例如起始点和目的地、旅行的时间、人员的数目、旅行的类别等等。当用于确定车票的所有必要信息已经被输入到终端11中时，终端11将选择数据传送给节点计算机41。

在步骤316，根据从终端11接收的关于车票选择的信息，节点计算机41确定代表电子车票的数据记录。方便地设置节点计算机41以执行简单的和特殊频繁请求的车票确定，例如由节点计算机41的处理器单元44直接进行的本地运输服务的车票的确定。可是在很多情况下，车票的确定涉及复杂的程序运行，常常需要中央处理单元60、61经由后台网络50的干涉。得出的车票数据记录可能包括用于确定的信息和可能的车票选择和具体地费用。

因此在步骤318，节点计算机41从卡号和也稳固地存储于智能卡80中的秘密生成智能卡指定密钥，该密钥在后面用于形成数据保护代码。

当节点计算机41已经生成了智能卡指定密钥时，它在步骤320对得出的车票数据记录形成数据保护代码，例如MAC(消息验证代码)，并利用传输密钥将包含车票数据记录和数据保护代码的得出的车票数据块加密。节点计算机41将得出的加密的车票数据块传送给终端11。

终端11利用例如在安全盒17中的所产生的传输密钥，以与节点计算机41相同的方式解密到来的车票数据块。终端11通过例如检查解密的车票数据记录在限定的位置是否具有确定的价值来执行车票数据记录的完整性的预检查。终端11将解密的车票数据记录输送到智能卡80上，该智能卡80通过利用呈现在智能卡80上的智能卡指定密钥检查数据保护代码来检查它的完整性。

如果车票数据记录证明是完整的，在步骤322，终端11请求客户通过画面显示单元14上的相应的显示检查电子车票的正确性并确认购买。如果车票数据记录包括几个可能的电子车票选择，终端11请求客户在所提供的选择中进行选择。在没有选择的简单的情况下，例如本地运输服务车票的购买，不需要由客户进行的购买的选择或确认。

当客户接受发送给终端11的电子车票时，在步骤324，构成所选择的车票的车票数据记录的被确认的部分首先缓冲在终端11的存储器件20中。另外，在步骤326，终端11使得对电子车票进行付款。付款操作可以通过现金或例如通过收取存储于智能卡80上的电子货币而实现，如参照图5所述。

当完成付款操作时，节点计算机41在步骤328生成它发送到节点计算机41的确认信号。

在接收确认信号后，节点计算机41产生使得终端11的处理器12将存储于存储器件20中的车票数据记录传送给智能卡80的控制指令。

在步骤330，终端11执行电子车票到智能卡的传送，并通过在步骤332将确认信号返回到节点计算机41来确认交易的结束。节点计算机41中所述确认的接收可以伴随有例如票证的输出，例如通过与终端11连接的打印机输出。

图7作为图2所示的交易系统的进一步可能的使用说明了一个变化，其中终端11被用于健康保险卡系统。假设健康保险卡也具有智能卡80的形式并且用于处理健康保险卡的功能性已经存在于终端11的存储器件20中。终端11位于例如医生的办公室、医院或用于给医疗服务开帐单的机构例如健康保险公司中，相比于健康保险公司成员，医务人员被分配了对健康保险卡80的不同的访问权。

在步骤400，通过将卡80出示给终端11的用户数据接口15而启动使用健康保险卡80的交易，该卡80是在下面简单指定的卡。然后终端11经由画面显示单元14确认使用健康保险卡请求交易，并在正常操作下，在步骤402请求操作者表明他是否想以只读模式或读写模式访问卡80。另外，它在步骤404请求操作者表明他想访问存储于卡80上的哪个数据。根据它们的客观特性，例如记帐上(accountingwise)或医学上，将保存于卡80的存储器件中的数据方便地分类，这个分类以例如医学专业的方式被进一步地细分。分类的区域被保护，免于由相关领域(field-related)的访问密钥单个或成组的读和写访问。访问密钥最好从卡指定密钥和以操作者例如医生、或以分类区域例如医学专业为特征的信息获得。

当确定操作者期望的对卡80的哪个区域的哪个访问模式时，终端11在步骤406请求操作者经由画面显示单元14识别他自己。这可以例如利用操作设备13通过输入识别医生、医院或健康保险的代码来完成。另外，终端11确定卡80的卡号。

在步骤408，从关于所期望的访问模式、要访问的卡区域、识别代码、出示的卡80的号码的信息和终端识别，终端11形成它传送给相关的节点计算机41的启动序列。传送以使用传输密钥的加密形式发生，该传输密钥可能在前述的数据交换步骤使用终端识别产生，并用于保护终端11和节点计算机1之间的总的连续数据交换。

在启动序列408到达节点计算机41后，后者利用卡号和分配给卡80的秘密形成卡指定密钥。如果该秘密不存在于节点计算机41的本身，它经由后台网络从管理中央处理单元60、61确定它。

因此节点计算机41检查评价启动序列408所需的信息是否位于存储器件45。如果没有，它在步骤412确定适于评价启动序列的中央处理单元60，并经由后台网络50启动数据交换。在下列数据交换的过程中，节点计算机41使用与启动序列408传送的操作者识别代码检查操作者期望的对卡80的访问是否是许可的。如果许可，在步骤414，在节点计算机41中提供设置数据，使终端11能够执行对卡80的期望的访问。为了这个目的，设置数据最好包括一个或多个访问密钥，每个密钥都与卡80的单独的区域相关联。

于是在步骤416，节点计算机41利用卡指定密钥对设置数据形成数据保护代码。然后包括设置数据和数据保护代码的数据记录用传输密钥加密，并被发送给终端11。

后者用传输密钥加密接收到的数据记录，同时例如通过检查特定数据项在数据记录的限定位置的存在，执行数据记录完整性的预检查。如果预检查是肯定的，终端11将设置数据传送给卡80。后者利用卡指定密钥，通过检查数据保护代码的正确性来检查设置数据的完整性。如果确定了设置数据的完整性，则卡80可以根据设置数据经由终端11被访问。

除了在正常操作中可能的访问模式，紧急情况下的访问模式也在终端11中进行了设置。象在正常操作中的交易一样触发紧急交易，但是在步骤406中，操作者不是通过单个的个人识别，而是通过紧急识别来识别他自己的。

当在用于形成数据保护代码的密钥和传输密钥生成后，评价启动序列408时，节点计算机41或中央处理单元60、61识别紧急识别时，它参照卡号使一组访问密钥在节点计算机41中可用，以便至少允许对位于健康保险卡80上的所有医疗数据的读访问。为了加快交易的执行，可以省略操作者的授权的附加检查。在步骤416，节点计算机41提供带有数据保护代码的访问密钥数据记录，用传输密钥加密两者并将得出的数据记录传送给终端11。

后者再用传输密钥解密接收到的数据记录，并将它传递给卡80，用于利用卡指定密钥进行完整性检查。如果确定了传送的密钥数据记录的完整性，终端11允许对存在于卡80上的所有医疗数据的读访问。

当保留由交易系统中的前述节点计算机确定用户侧终端的功能性的基本概念时，建议的系统、用于实现它的部件和操作方法可以在很宽的界限内变化。这适用于例如终端10、11的物理机构。如果存储器件20、处理器12、安全盒17和操作设备13形成例如一个单元，则它们的部件可以结合。终端网络30可以连接于多个节点计算机40、41，这些节点计算机用于执行不同的交易。该系统的可能的使用当然不限于所描述的例子。具体地，功能性在终端和节点计算机上的分布，与交易的类型一起，也可以变化。一方面，分配给终端的功能性可以限于将数据传递给数据载体；而另一方面，可以设置由终端直接进行的大量数据处理。在不损害基本的全面的概念的情况下，用传输密钥和数据载体相关密钥的加密概念可以进一步在宽范围内变化，由此，一方面可以全部省略加密，另一方面可以提供附加的加密。

Claims (21)

1.一种用于执行交易的系统，具有

节点计算机(40、41)，经由终端网络(30)与终端(10、11)连接，

多个终端(10、11)，每个具有用于访问由用户呈现的便携数据载体(80)的设备(15)、用于对通过所述终端网络(30)进行的数据交换进行加密或解密的安全盒(17)、以及用于存储设置功能性的数据的存储器件(20)，并适用于执行多个不同的交易，

其特征在于：

用于执行进一步交易的至少一个终端(10、11)可由经终端网络(30)接收设置执行进一步交易所需的功能性的数据的所述终端设置，该数据可用在节点计算机(40、41)中，并且当后者请求它们时，节点计算机(40、41)将它们馈送给终端(10、11)，其中，终端(10、11)在触发交易之后验证，是否用于实施该打算的交易(102、103)所需的数据存在于终端(10、11)中，如果其判定这些数据不存在于终端(10、11)中，则其从节点计算机(40、41)请求这些数据，

其中，用于执行交易的功能性分别部分地在终端(10、11)和节点计算机(40、41)中建立，并且在节点计算机(40、41)和终端(10、11)之间相互作用地执行交易，终端(10、11)和节点计算机(40、41)分别执行该交易的部分步骤。

2.根据权利要求1所述的系统，其特征在于：在终端(10、11)和节点计算机(41)之间相互作用地执行至少一个交易。

3.根据权利要求1所述的系统，其特征在于：终端(10、11)促成用于设置执行交易的功能性的数据的传送。

4.根据权利要求3所述的系统，其特征在于：终端(10、11)接续终端(10、11)中预定事件的发生促成数据传送。

5.根据权利要求3所述的系统，其特征在于：终端(10、11)接续终端(10、11)中特定交易的触发促成数据传送。

6.根据权利要求1所述的系统，其特征在于：节点计算机(40、41)经由后台网络(50)与至少一个中央处理单元(60、61)连接，并且后者可包括在交易中。

7.根据权利要求3所述的系统，其特征在于：节点计算机(40、41)可以从中央处理单元(60、61)调用数据。

8.根据权利要求1所述的系统，其特征在于：节点计算机(40、41)具有处理用于加密和解密与终端(10、11)实现的通信量的信息的密码箱(46)。

9.一种用于执行交易的终端，具有

处理器单元(12)，

用于接收设置处理器单元(12)的功能性的数据所连接的存储器件(20)，

用于触发交易的装置(13、14、15)，和

用于经由终端网络(30)与节点计算机(41)连接的接口(18)，

用于读取由用户呈现的便携数据载体(80)的设备(15)，处理器单元(12)在交易的框架下对该设备进行访问，以便从中取得用于执行该交易所需的信息，

其特征在于：

处理器单元(12)在确定用户想要进行何种交易之后验证，是否用于实施该打算的交易(102、103)所需的数据存在于终端(10、11)中，如果其判定这些数据不存在于终端(10、11)中，则如下促成终端(10、11)用于实施该交易的设置：处理器单元(12)通过从节点计算机(40、41)请求提供在该处理器单元(12)中建立执行交易所需的功能性的数据，

其中，终端(10、11)与节点计算机(40、41)相互作用地执行该交易，终端(10、11)和节点计算机(40、41)分别执行该交易的部分步骤。

10.根据权利要求9所述的终端，其特征在于：它接续特定事件的发生从节点计算机(41)请求设置功能性的数据。

11.根据权利要求9所述的终端，其特征在于：该预定事件是交易的触发，该交易的执行需要在存储器件(20)中不完全存在或根本不存在的功能性。

12.根据权利要求9所述的终端，其特征在于：它具有包含用于加密和解密与节点计算机(40、41)实现的通信量的信息的安全盒(17)。

13.根据权利要求9所述的终端，其特征在于：用于触发交易的装置包括键盘(13)和显示器(14)。

14.根据权利要求9所述的终端，其特征在于：它具有用于读取便携数据载体(80)的设备(15)。

15.根据权利要求9所述的终端，其特征在于：它将包括用于识别终端(10、11)的信息的启动序列(106)发送给节点计算机(40、41)，用于请求设置新的功能性的数据。

16.根据权利要求9所述的终端，其特征在于：至少部分地在便携数据载体(80)上形成存储器件(20)和/或处理器单元(12)。

17.根据权利要求9所述的终端，其特征在于：启动序列(106)包括关于触发的交易类型的信息。

18.根据权利要求9所述的终端，其特征在于：当已经触发了交易时，它执行已经以数据的形式存在并为此目的在存储器件(20)中可执行的所有程序指令，并选择性地将得出的临时结果添加到启动序列(106)中。

19.一种用于使用终端执行交易的方法，该终端经由终端网络(30)与节点计算机(41)相连接，

利用终端(10、11)触发交易，并且在交易的框架下访问由用户呈现的便携数据载体(80)，

在终端(10、11)中的触发之后验证，是否用于实施该交易所需的数据存在于终端(10、11)中，

将指定该交易的启动序列(106)从终端(10、11)传送给节点计算机(40、41)，

如果其判定这些数据不存在于终端(10、11)中，则在终端(10、11)中提供执行该交易所需的功能性的数据由节点计算机(40、41)再传送给终端(10、11)，

其特征在于：节点计算机(41)涉及到执行该交易，在终端(10、11)和节点计算机(40、41)之间相互作用地执行交易，其中，节点计算机和终端(10、11)分别执行该交易的部分步骤。

20.根据权利要求19所述的方法，其特征在于：当已经触发了交易时，终端(10、11)检查许可交易被执行的数据是否已经存在于存储器件(20)中，并且如果可能的话，直接执行该交易。

21.一种用于操作终端(10、11)的方法，该终端适用于执行交易，并经由终端网络(30)与涉及执行该交易的节点计算机(41)相连接，需要至少一个功能性用于执行交易，其特征在于具有下列步骤：

在终端(10、11)上监视预定事件的发生，

验证是否用于实施该交易所需的数据存在于终端(10、11)中，

预定事件发生时，将指定交易的启动序列从终端(10、11)传送给节点计算机(40、41)，

如果判定这些数据不存在于终端(10、11)中，则将在终端(10、11)中提供执行该交易所需的至少一个功能性的数据从节点计算机(40、41)再传送给终端(10、11)，其中，节点计算机和终端(10、11)分别执行该交易的部分步骤。

Images