DE2224937C2 - Einrichtung zur Prüfung der Gültigkeit von einer Mehrzahl von Benutzern der Einrichtung zugeordneten Datenträgern - Google Patents

Description

Die vorliegende Erfindung betrifft eine Einrichtung gemäß dem Oberbegriff von Patentanspruch 1. Bei den bekanntesten Einrichtungen dieser Art sind die Datenträger Karten, Schlüssel oder Scheiben, auf denen die dem berechtigten Benutzer zugeordnete Information, wenn auch nicht entzifferbar, so doch klar erkennbar eingelocht, -gestanzt, -geprägt oder aufgedruckt ist Diese Datenträger der bekannten Einrichtungen sind daher mit geringem technischem Aufwand duplizierbar, selbst wenn die Information nicht von bloßem Auge sichtbar ist, z. B. durch unsichtbare Magnetisierung eines Teiles des Datenträgers. Man hat die unbefugte Duplizierung solcher Datenträger versucht dadurch sinnlos

• zu machen, daß an der Prüfstation vor oder während des Identifizierungsvorganges zusätzlich zur Ankopplung des Datenträgers auch die Eingabe einer sogenannten Memo-Zahl vorgenommen werden muß, damit die Prüfstation überhaupt die Identifizierung vornimmt. Dies hat aber einen größeren Zeitaufwand zur Identifizierung zur Folge und darüber hinaus ist es schwierig, die Memo-Zahl geheim zu halten.

Aus der DE-OS 20 31 085 ist ein Personenidentifizierungssystem bekannt, welches mit elektronischen Datenträgern arbeitet, in bzw. auf denen eine je einer Person zugeordnete Information gespeichert ist bzw. sich ein Generator zur Erzeugung dieser Information befindet. Bei der Prüfung der Datenträger wird die auf ihnen enthaltene spezifische Information in eine Prüfstation übertragen und dort auf Richtigkeit geprüft. Wenngleich bei diesem System die Duplizierung der Datenträger etwas aufwendiger ist, ist sie doch grundsätzlich machbar, so daß also auch dieses System im Grunde mit denselben Mangeln behaftet ist wie die weiter oben beschriebenen Systeme.

Aufgabe der Erfindung ist es nun, eine Einrichtung der im Oberbegriff des Patentanspruchs 1 definierten Art bezüglich Duplizierungssicherheit der Datenträger zu verbessern.

Die erfindungsgemäße Einrichtung, die diesen Anforderungen genügt, ist durch das Kennzeichen des Patentanspruchs 1 charakterisiert. Bevorzugte Ausführungsvarianten ergeben sich aus den abhängigen Ansprüchen.

Ausführungsbeispiele des Erfindungsgegenstandes sind nachstehend anhand der Zeichnung näher erläutert. Es zeigt

F i g. 1 ein Blockschaltbild einer ersten Ausführungsform, die besonders zur Identifizierung von Bankkunden geeignet ist,

F i g. 2 ein Blockschaltbild einer Ausführungsvariante, F i g. 3 ein Impulsdiagramm, aus welchem der zeitliche Verlauf der Impulse auf den verschiedenen Leitungen ersichtlich ist,

F i g. 4 eine Ausführungsvariante der F i g. 2, bei welcher die Ankoppelung zwischen Datenträger und Prüfstation drahtlos erfolgt,

F i g. 5 Blockschaltbild verschiedener Ausführungsvarianten einer Schaltgruppe der Datenträger bzw. der Prüfstation,

Fi g. 9-11 einige äußere Gestaltungsformen für den Datenträger,

Fig. 12-15 verschiedene Gestaltungsformen des Datenträgers im Schnitt und Fig. 16-17 vereinfachte Blockschaltschemata weiterer Ausführungsformen.

Einleitend zu der Beschreibung sei festgehalten, daß einander entsprechende Schaltelemente b?w. Schaltgruppen in allen Ausführungsformen mit denselben Bezugsziffern, allenfalls ergänzt durch unterscheidende Buchstabenindices, bezeichnet sind.

Außerdem ist zu beachten, daß in den Blockschematas »Verbindungsleitungen« mit ausgezogener Linie angegeben sind. Im vorliegenden Fall braucht indessen der Begriff »Verbindungsleitung« nicht mit dem Begriff »Verbindungsleiter« identisch zu sein, sondern bedeutet vielmehr einen Kanal, auf welchem elektrische impulse oder Spannungen zwischen Schaltelementen oder Schaltgruppen zugeführt oder ausgetauscht werden. Daß ein solcher Übertragungskanal zumindest teilweise an einen elektrischen »Leiter« gebunden ist versteht sich von selbst, doch kann, wo die Zuführung oder der Austausch von Spannungen und Impulsen in zeitlicher Folge geschieht ein und derselbe »Leiter« für mehrere »Verbindungsleitungen« oder »Kanäle« dienen. Die Darstellung der »Verbindungsleitungen« als voneinander getrennte, ausgezogenen Linien erfolgt zumindest in F i g. 1 um das Verständnis zu erleichtern.
In F i g. 1 ist ein Datenträger 10 (gestrichelte Umrandung links) in angekoppelter Lage an eine Prüfstation (gestrichelte Umrandung rechts) 11 dargestellt.

Im Datenträger 10 sind folgende wesentlichen Schaltgruppen eingebaut: ein Primärspeicher 12, der über eine

ίο Verbindungsleitung 14 von einer Programmsteuerung 16 angesteuert ist, die ihrerseits über eine zu der Prüfstation 11 führende Verbindungsleitung 18 mit einem in der Prüfstation angeordnetem Taktgeber 19 angesteuert ist. Der Primärspeicher 12 ist zweckmäßigerweise ein aus elektronischen Schaltelementen aufgebauter Speicher, z. B. ein in MOS-IC-Technik (integrierte Schaltkreise) aufgebauter ROM-(Read-only-memory)-Speicher, in welchem z. B. eine individuelle Personalnummer mit zehn Dezimalstellen als Binärzahl mit vierzig Binärstellen beliebig oft abrufbar gespeichert ist. Die in diesem Primärspeicher 12 gespeicherte Information ist ein Teil der dem Datenträger 10 bzw. dessen Schalter zugeordneten Information und braucht normalerweise nicht geheim zu sein.

Im weiteren ist im Datenträger 10 eine Geheimschaltung 20 vorhanden, die u. a. dazu dient, die trägerseitigen Informationsfolgen zu erzeugen. Während detaillierte Blockschaltbilder dieser Geheimschaltung 20 noch zu beschreiben sein werden, genüge zunächst die Feststellung, daß diese einerseits vom Ausgang des Primärspeichers über die Verbindungsleitung 22 und andererseits von der Programmsteuerung 16 über die Verbindungsleitung 24 angesteuert ist. Ein Bestandteil dieser Geheimschaltung 20 ist ein Speicher 26, in welchem eine Geheiminformation gespeichert ist, die wiederum von Datenträger zu Datenträger verschieden ist, die aber zum Unterschied der im Primärspeicher 12 gespeicherten Information auch dem rechtmäßigen Besitzer des Datenträgers 10 nicht bekannt und durch diesen auch nicht ermittelbar ist. Die Geheimschaltung 20 und die Programmsteuerung 16 bilden dabei den trägerseitigen Informationsgenerator.

Ausgangsseitig ist die Geheimschaltung 20 über eine Verbindungsleitung 28 mit einer trägerseitigen Vergleicherschaltung 30 und über eine Verbindungsleitung 32 mit einer Torschaltung 34 verbunden. Die Vergleicherschaltung 30 ist über eine Verbindungsleitung 36, die eine Abzweigung 38 zur Geheimschaltung 20 besitzt, von der Programmsteuerung 16 aus angesteuert. Der zweite Eingang zur Vergleicherschaltung 30 wird im Zusammenhang mit der Prüfstation 11 beschrieben und der Ausgang der Vergleicherschaltung ist über eine Verbindungsleitung 40 mit der Torschaltung 34 verbunden. Die Vergleicherschaltung 30 dient dazu, die trägerseitige und — wie noch darzulegen sein wird — stationsseitige erste Informationsfolge sequentiell, d. h. Bit um Bit

zu vergleichen, und, im Falle der Übereinstimmung, ein Binärsignal»1« an die Torschaltung 34 weiterzuleiten.

Bisher ist der wesentliche Aufbau des Datenträgers 10 beschrieben worden. Ein Bestandteil der Geheimschaltung 20 kann ein noch zu beschreibender Chiffrierrechner sein, der zur Erzeugung der Informationsfolgen dient Im vorliegenden Falle ist dem Chiffrierrechner eine elektronische Uhr 42 zugeordnet welche dem Chiffrierrechner über eine Verbindungsleitung 44 und eine Torschaltung 46 eine binär-digitale Zeitinformation zuführt soweit die Torschaltung 46 über die von der Verbindungsleitung 14 abgezweigte Leitung 48 durch die

Programmsteuerung 16 in Offenstellung gesteuert ist.

Alternativ oder zusätzlich kann dem Chiffrierrechner in der Geheimschaltung 20 auch die Zufallsinformation eines in der Prüfstation 11 angeordneten Zufallsgenerator 51 zugeführt werden, was (bei angekoppeltem Datenträger 10) über eine Verbindungsleitung 50 und über eine weitere, ebenfalls durch die Leitung 48 bzw. die Programmsteuerung 16 in offene Zustandslage gesteuerte Torschaltung 54 erfolgt.

Schließlich ist im dargestellten Datenträger ein weiterer Speicher in Form eines Kontospeichers 56 angeordnet. In diesem Kontospeicher 56 sind in binärdigitaler Form Betragsinformationen gespeichert, d. h. eine bestimmte Menge, welche den rechtmäßigen Inhaber des Datenträgers 10 betreffen. Diese Betragsinformationen können in Währungseinheiten sein und z. B. den momentanen Stand des Bankkontos, das der Inhaber bei einer Bank führt angeben. Die Einspeicherung und/oder Veränderung der Betragsinformation im Kontospeicher 56 ist nur möglich bei an die Prüfstation 11 angekoppeltem Datenträger 10 und positiv verlaufendem Identifikationsvorgang, weil die dem Kontospeicher zugeordnete Eingabestelle 57 in der Prüfstation 11 angeordnet ist und, wie noch darzulegen sein wird, nur bei positivem Identifikationsvorgang aktiviert wird. Außerdem ist sowohl die zum Kontospeicher 56 führende Einleseleitung 58 als auch die von diesem weg führende Ableseleitung 60 über je ein Tor 62 bzw. 64 geführt, wobei diese Tore 62, 64 nur dann in Offenstellung sind, wenn auf der Verbindungsleitung 40 von der Vergleicherschaltung 30 her ein auf positive Identifikation hinweisendes Signal ansteht

Mit einer gestrichelten Linie 66' ist in F i g. 1 angedeutet, daß die Schaltungsgruppen 20, 30,34,56,62 und 64 sowie die Verbindungsleitungen 28,32 und 40 im Datenträger 10 nicht nur körperlich sondern auch elektrisch durch Unbefugte unzugänglich angeordnet sind, wobei in diesem Zusammenhang die »Unzugänglichkeit« auch die Unmöglichkeit für Unbefugte verstanden werden soll, die elektrische Zustandslage und/oder den Informationsgehalt der Speicher 26,56 unmittelbar oder mittelbar festzustellen. Dies kann, wie noch zu erläutern sein wird, auf verschiedene Art erreicht werden.

In der Prüfstation 11 ist, wie aus Fig. 1 ersichtlich, eine ebenfalls vom Taktgeber 19 über eine Verbindungsleitung 21 getriebene Programmsteuerung 23 angeordnet, die ihrerseits den Ablauf sämtlicher Teilvorgänge in der Prüfstation 11 steuert.

Insbesondere steuert die Programmsteuerung 23 über Verbindungsleitungen 25,27,29 eine stationsseitige Geheimschaltung 31, welche einen stationsseitigen Speicher 33 enthält Programmsteuerung 23 und Geheimschahup.g 31 bilden zusammen den stationsseitigen Informationsgenerator. Ausführungsformen dieser Geheimschaltung 31, deren Funktion in grundsätzlicher Hinsicht etwa jener der Geheimschaltung 20 entspricht, und im wesentlichen darin besteht, zusammen mit der Programmsteuerung 23 die stationsseitigen Informationsfolgen zu erzeugen, werden noch zu beschreiben sein.

Die Geheimschaltung 31 ist über eine Verbindungsleitung 35 auch vom trägerseitigen Primärspeicher 12 angesteuert und ausgangsseitig über eine Verbindungsleitung 37 mit der trägerseitigen Vergleicherschaltung 30 verbunden (in welcher die Korrespondenz der ersten Informationsfolgen festgestellt wird). Außerdem ist der Ausgang der Geheimschaltung 31 über eine Verbindungsleitung 39 mit einer stationsseitigen Vergleicherschaltung 41 verbunden, die, über eine Verbindungsleitung 43 von der Programmsteuerung 23 aus aktiviert, die zweite, stationsseitige Informationsfolge mit der zweiten durch die Torschaltung 34 auf eine Verbindungsleitung 45 freigegebenen trägerseitigen Informationsfolge vergleicht.

Von der Vergleicherschaltung 41 gehen zwei Ausgangsleitungen 47, 49 aus, wobei auf der ersten ein die Gültigkeit des betreffenden Datenträgers kennzeichnendes »Richtig«-Signal ansteht, wenn die Vergleicherschaltung 41 Korrespondenz der zweiten Informationsfolgen festgestellt hat, während im gegenteiligen Fall ein »Falsch«-Signal auf der Leitung 49 ansteht. Die das »Richtig«-Signal führende Leitung 47 ist auch mit der Eingabestelle 57 für den trägerseitigen Kontospeicher 56 verbunden, um diese Eingabestelle 57 nur, solange das »Richtig«-Signal ansteht, einzuschalten.

Der Geheimschaltung 31 kann wie bei der trägerseitigen Geheimschaltung 20 eine Uhr 53 und/oder der Zufallsgenerator 51 zugeordnet sein. Die Uhr 53 führt der Geheimschaltung 31 bzw. den darin befindlichen Chiffrierrechner über Leitung 61 und ein über Leitung 55 von der Programmsteuerung 23 angesteuertes Tor 59 Zeitinformation, und der Zufallsgenerator 51 über ein ebenfalls über Leitung 55 von der Programmsteuerung angesteuertes Tor 63 Zufallsinformation zu.

Der Vollständigkeit halber sei auch noch die mit 164 bezeichnete Energiequelle erwähnt, die sowohl die trägerseitigen als auch die stationsseitigen Schaltgruppen speist. Diese kann nur in der Prüfstation 11 angeordnet sein, und bei Ankoppelung des Datenträgers 10 auch diesen über galvanische Kontakte oder durch Induktion mit Energie beliefern. Es kann aber auch der Datenträger 10 mit einer auswechselbaren Batterie oder einem von der Prüfstation 11 aus aufladbaren Akkumulator versehen sein.

Es wurde bereits erwähnt, daß in dieser Beschreibung der Begriff »Verbindungsleitung« eher im Sinne von Übertragungskanal zu verstehen sei, und daß verschiedene »Verbindungsleitungen« wegen der zeitlichen Folge des Informationsaustausches auf ein und denselben körperlichen »Leiter« fallen können. Voraussetzung hierfür sind besondere Schaltmittel, welche im Zusammenhang mit F i g. 2 beschrieben werden sollen.

In Fig.2 ist im Prinzip die Ausführungsform der F i g. 1, jedoch unter Weglassung der die Zeitinformation liefernden Uhren, des Zufallsgenerators und des Kontospeichers sowie der zugehörigen Schaltgruppen dargestellt. Es versteht sich jedoch, daß diese Bestandteile auch in der Ausführungsform der F i g. 2 vorhanden sein können.

Bei der in F i g. 2 dargestellten Ausführungsform erfolgt der gesamte Informationsaustausch zwischen Datenträger 10 und Prüf station 11 über zwei trägerseitige Kopplungsstellen 264,66 und zwei stationsseitige Kopplungsstellen 65,67. Diese können galvanische Kontakte, induktive Geber oder auch Sende- bzw. Empfangsantennen sein (vgl. hierzu Fig.4). In der vorliegenden Ausführungsform dienen die Kopplungsstellen 264, 65 zum Austausch einer Bezugsspannung (z. B. Erde) zwischen Datenträger 10 und Prüf station 11, während die Kopplungsstellen 66,67 je mit einer Weichenschaltung 63 bzw. 69 verbunden sind.
Diese Weichenschaltungen 68,69 dienen dazu, unabhängig von der Durchflußrichtung, die aus der Energiequelle 164 stammende Speisegleichspannung von den den Weichenschaltungen 68, 69 zugeführten Impulsen zu trennen, und die Impulse ihrerseits in positive Impuls-

information und negative Taktimpulse aufzuteilen. Die Stammleiter 70, 71 sind je mit drei elektronischen Zeit-Multiplex-Schaltern 72,74,76 bzw. 73,75,77 verbunden, die trägerseitig von den aus der Programmsteuerung 16 stammenden Leitungen 14,36 bzw. 24 und stationsseitig von den aus der Programmsteuerung 23 stammenden Leitungen 27, 29 bzw. 25 angesteuert sind. Es versteht sich, daß jeweils ein trägerseitiger und ein stationsseitiger Zeit-Multiplex-Schalter gleichzeitig geschlossen sind, während die übrigen offen sind. Die Paarung der jeweils gleichzeitig geschlossenen Schalter ist im vorliegenden Falle in zeitlicher Reihenfolge die folgende: 72 - 73,74 - 75 und 76 - 77.

In Fig.3 ist schematisch der zeitliche Ablauf von Identifikationsvorgängen anhand von Impulsdiagrammen dargestellt. Jedes Impulsdiagramm nimmt eine links mit a bis q bezeichnete Zeile in Anspruch. Am rechten Ende der Impulsdiagramme sind drei Kolonnen angefügt. In der ersten Kolonne links ist mit der Bezugsziffer die Schaltgruppe angegeben, welche den auf der zugehörigen Zeile dargestellten Impulszug erzeugt, in der mittleren Kolonne mit der Bezugsziffer die Verbindungsleitung, die den Impulszug führt und in der rechten dritten Kolonne die Bezugsziffer des Teiles, der vom Impulszug angesteuert wird, bzw. diesen auswertet.

In der Zeile a sind die negativen Taktimpulse dargeteilt, die der Taktgeber 19 erzeugt. Diese Impulse können eine verhältnismäßig niedrige Frequenz von z. B. 10 000 Impulse/sec. aufweisen. Wie bereits beschrieben steuert der Taktgeber 19 über Verbindungsleitungen 18, 21 die Programmsteuerungen 16, 23. In Zeile b ist ein erstes, positives Ausgangssignal der Programmsteuerung 16 zu erkennen, welches den trägerseitigen Primärspeicher 12 dazu veranlaßt eine erste Erkennungsinformation als positive Impulsfolge (Zeile c) abzugeben, die an die stationsseitige Geheimschaltung 31 gelangt und dort die erste stationsseitige Informationsfolge mitbestimmt (Zeile e), welche ihrerseits durch ein von der Programmsteuerung 23 erzeugtes Signal (Zeile d) freigegeben wird. Die Programmsteuerung 16 gibt gleichzeitig ein identisches Signal (Zeile trüber Verbindungsleitung 36, 38 an die trägerseitige Geheimschaltung 20 ab, die ihrerseits die erste trägerseitige Informationsfolge (Zeile f) abgibt Diese beiden Informationsfolgen (Zeilen e und f) gelangen an die trägerseitige Vergleicherschaltung 30, die bei Korrespondenz ein entsprechendes Signal (Zeile g) an die Torschaltung 34 abgibt und diese in Offenstellung ansteuert.

In einem dritten Zeitabschnitt werden die trägerseitige und die stationsseitige Geheimschaltung 20 bzw. 31 durch ein entsprechendes Signal (Zeile h) der zugeordneten Programmsteuerungen 16 bzw. 23 veranlaßt, die zweiten informationsfoigen (Zeilen /, j) abzugeben, die beide an die statiotisseitige Vergleicherschaltung 41 gelangen. Wenn die beiden zweiten Informationsfolgen wie in Zeilen i, j dargestellt, übereinstimmen, entsteht auf Leitung 47 am Ende dieses dritten Zeitabschnittes ein Richtig-Signal (Zeile k) und auf Leitung 49 kein Signal (Zeile/Jl

In den Zeilen m—q sind die Vorgänge der Zeilen f. g, i, k und /wiederholt, wobei jedoch die erste trägerseitige Informationsfolge (Zeile m) nicht mit der ersten stationsseitigen Informationsfolge (Zeile e) übereinstimmt, so daß kein die Torschaltung 34 öffnendes Signal (Zeile n) entsteht, und an deren Ausgang dementsprechend die zweite trägerseitige Informationsfolge ausbleibt (Zeile oX worauf auf Leitung 47 kein Richtig-Signal (Zeile p), auf Leitung 49 aber ein Falschsignal entsteht.

Der Fachmann wird aus der bisherigen Beschreibung entnehmen können, daß praktisch alle Schaltelemente sowohl im Datenträger als auch in der Prüfstation als integrierte Schaltkreise ausgeführt werden können, da der gesamte Informationsaustausch in binär-digitaler Form und vorteilhafterweise sequentiell erfolgt.

In Fig.4 sind Einzelteile einer Ausführungsvariante dargestellt, bei der die Übertragung sowohl der Betriebsenergie als auch der Informationsfolgen sowie der Taktimpulse zwischen Datenträger 10 und Prüfstation 11 auf drahtlosem Wege erfolgt.

Man erkennt sowohl auf der Seite des Datenträgers tO als auch auf der Seite der Prüfstation 11 die Weichenschaltungen 68 bzw. 69 mit den zugehörigen Verbindungsleitungen 18 zu der Programmsteuerung 16 bzw. zum stationsseitigen Taktgeber 19 (vgl. F i g. 2) sowie die zu den Weichcnschaitungen führenden Stammleiter 70 bzw. 71. Den Weichenschaltungen 68, 69 ist je eine drahtlose Duplex-Übertragungseinrichtung 80,81 nachgeschaltet mit je einem Sendekanal 82 bzw. 83 und einem Empfangskanal 84 bzw. 85. Jeder der Sendekanäle 82 bzw. 83 ist mit einem von einem Oszillator 86 bzw. 87 getriebenen Modulator 88 bzw. 89 versehen, an den sich ein Sendeverstärker 90 bzw. 91 mit einer Sendeantenne 96 bzw. 97 anschließt. Jeder der Empfangskanäle 84, 85 ist mit einer Empfangsantenne 98 bzw. 99, einem daran anschließenden Empfangsverstärker 94 bzw. 95 sowie einem Demodulator 92 bzw. 93 versehen.

Die Duplex-Übertragung kann mit zwei verschiedenen Übertragungsfrequenzen in Abhängigkeit der Übertragungsrichtung arbeiten, so daß die Übertragung in beiden Richtungen simultan erfolgen kann.

Da die Übertragung praktisch nur geringe Distanzen überbrücken muß, kann die Sendeleistung sehr gering gewählt und überdies die Sende- und Empfangsantennen als Drahtschlaufen für induktive Übertragung ausgebildet sein, vorausgesetzt, daß deren Anordnung, wie in F i g. 4 dargestellt, derart gewählt wird, daß sich bei angekoppeltem Datenträger 10 jeweils eine Sende- und

eine Empfangsantenne im Übertragungskanal gegenüberliegen.

Die Übertragung der Speiseenergie erfolgt in F i g. 4 ebenfalls drahtlos, und zwar von der Prüfstation 11 aus, in der von einer nicht näher dargestellten Gleichspannungsquelle aus ein Wechselrichter 101 gespiesen wird, der die Primärspule 103 eines Übertragers speist, dessen Sekundärespule 102 im Datenträger 10 angeordnet ist und an einen Gleichrichter 100 angeschlossen ist.

Anhand der F i g. 5 ist nachstehend eine erste Ausführungsform von Geheimschaltungen erläutert. In der Geheimschaltung 31 der Prüfstation 11 ist im wesentlichen ein elektronischer digitaler Chiffrierrechner 105 und der Speicher 33 enthalten.
Es soll hier kurz auf die prinzipiellen Eigenschaften eines solchen Chiffrierrechners eingegangen werden.

Ein Chiffrierrechner arbeitet mit einer Taktfrequenz, welche in unserem Beispiel über die Leitungen 29, 27 und 25 von der Programmsteuerung 23 (Fig. 2) zugeführt wird. Auf den Chiffrierrechner wirken Eingangsinformation, in unserem Beispiel die Information aus dem Speicher und die aus dem Primärspeicher 12 über Verbindungsleitung 35 anfallende Information. Aus diesen Eingangsinformationen errechnet der Chiffrierrechner mit Hilfe einer inneren Rechenschaltung, welche unter anderem auch eine größere Anzahl von Speicherstellen sowie auch Rückkopplungsschaltungen enthält, eine Ausgangsinformation_: im vorliegenden Beispiel ein Chiffrierprogramm, das auf der Verbindungsleitung 107

anfällt.

Nachstehend sollen einige bekannte Eigenschaften eines Chiffrierrechners aufgezählt werden, die dem Spezialisten ohnehin geläufig sind, und dem Durchschnittfachmann Hinweise zum inneren Aufbau geben:

Ein Chiffrierprogramm hat »pseudostatistische« Eigenschaften und ist von einem richtigen Zufallsprogramm nicht zu unterscheiden, und zwar ungeachtet der Art der Eingangsinformation.

Auch bei kurzer Periodendauer der Eingangsinformation kann die allfällige Wiederholungsperiode des Chiffrierprogramms sehr lang sein.

Ein Programmabschitt des Chiffrierprogramms hat mit einem späteren Programmabschnitt daher keine erkennbare Korrelation, und aus der Kenntnis des einen Programmabschnittes kann der andere Programmabschnitt nicht errechnet werden. Dies gilt auch, wenn für beide Programmabschnitte die gleiche, zu einem früheren Zeitpunkt eingegebene Eingangsinformation wirksam war.

Für gleiche Eingangsinformationen ist das Chiffrierprogramm ebenfalls gleich und für verschiedene Eingangsinformationen verschieden (Reproduzierbarkeit).

Aus dem Chiffrierprogramm kann, selbst bei genauer Kenntnis der Schaltung des Chiffrierrechners, die Eingangsinformation nicht errechnet werden. So kann also aus der Kenntnis des Chiffrierprogramms z. B. die Geheiminformation des Speichers 33 nicht ermittelt werden. Wenn bekannt ist, daß einer bestimmten Eingangsinformation ein bestimmtes Chiffrierprogramm ent- spricht, so kann von einem anderen Chiffrierprogramm die zugehörige andere Eingangsinformation nicht errechnet werden.

Auch bei Verwendung einer einzigen Information aus dem Speicher 33 als Eingangsinformation können durch Hinzufügen von nicht geheimen zusätzlichen Eingangsinfonnationen wie z. B.

— die Information aus dem trägerseitigen Primärspeicher 12 (F ig. 1)

— Information des Zufallsgenerators 51 (F i g. 1)

— Digitale Zeitinformation aus der Uhr 53 (F i g. 1)

praktisch beliebig viele verschiedene Chiffrierprogramme erhalten werden, welcne eindeutig den Eingangsinformationen zugeordnet sind, aus welchen allen sich aber die Information aus dem Speicher 33 nicht ermitteln läßt.

Bei Kenntnis eines Teiles der Eingangsinformation und Kenntnis des Chiffrierprogramms und Kenntnis der Chiffrierrechnerschahung kann der Rest der Eingangsinformation, z. B. die aus dem Speicher 33 stammende Information nicht errechnet werden.

Mit einem bestimmten Informationsumfang der Eingangsinformation läßt sich ein viel größerer Informationsumfang des Chiffrierprogramms erzielen. Man kann z. B. mit 10² Bit Eingangsinformation ohne weiteres 10⁵ Bit Chiffrierprogramm erzielen.

Alle diese Eigenschaften machen den Chiffrierrechner hervorragend geeignet für die Verwendung in der vorliegenden Identifikationseinrichtung. Beispiele von Chiffrierrechnern sind in den Schweizer Patenten 4 08 109 und 4 11 983 beschrieben.

Die Wirkungsweise der Geheimschaltung 31 der Prüfstation 11 in F i g. 5 ist wie folgt:

In einem ersten Zeitabschnitt wird durch Steuerungen über die von den Programmsteuerungen 16, 23 stammenden Leitungen 14 (F i g. 1), bzw. 27 sowohl die Information des Primärspeichers 12 über Leitung 35 als auch die Information des Speichers 33 in den Chiffrierrechner 105 eingespiesen. Dabei wird gleichzeitig ein gewisses Chiffrierprogramm produziert, welches zunächst nicht verwendet wird.

Über eine Leitung 109 kann die Information aus dem Primärspeicher 12 auch auf den Speicher 33 geführt sein und einen selektiven Abruf von gespeicherter Information gestatten.

In einem zweiten Zeitabschnitt wird durch Steuerung über Verbindungsleitung 29 die Ausgabe des Chiffrierprogramms bewirkt, welches als erste stationsseitige Informationsfolge über Verbindungsleitung 107 zu der Leitung 37 und zur Vergleicherschaltung 30 (Fig. 1, 2) des Datenträgers 10 gelangt.

In einem dritten Zeitabschnitt wird durch Steuerung über Programmleitung 25 die weitere Ausgabe des Chiffrierprogramms bewirkt, welches nun als zweite stationsseitige Informationsfolge über Leitung 107 der Leitung 39 zur stationsseitigen Vergleicherschaltung 41 gelangt.

Sowohl für die Erzeugung der ersten als auch der zweiten stationsseitigen Informationsfolge ist, außer dem Ablaufgesetz des Chiffrierrechners, die in dem ersten Zeitabschnitt in den Chiffrierrechner eingegebene Eingangsinformation, d. h. die Information des Primärspeichers 12 und die Information des Speichers 26 bestimmend.

Trotzdem haben die beiden Informationsfolgen miteinander keine erkennbare Korrelation und aus Kenntnis des einen Programms kann das andere nicht errechnet werden, wie bereits erwähnt wurde.

Der Aufbau und die Wirkungsweise der Datenträger-Geheimschaltung 20 ist folgende:

In der Schaltung sind enthalten:

— Der trägerseitige Speicher 26 mit zwei Speicherteilen 104 und 106.

— Eine Memo-Zahl-Eingabevorrichtung 108.

In vielen Fällen kann zwar auf eine Memo-Zahl-Eingabevorrichtung verzichtet werden. In diesen Fällen würde dann die Ausgangsleitung 110 aus dem Speicherteil 104 direkt mit der Leitung 28 verbunden, und dieser Fall soll vorerst beschrieben werden:

Im Speicherteil 104 ist als Geheiminformation die erste trägerseitige Informationsfolge beliebig oft abrufbar gespeichert, welche mit der ersten stationsseitigen Informationsfolge identisch ist.

Im Speicherteil 106 ist als Geheiminformation die zweite trägerseitige Informationsfolge gespeichert, welche mit der zweiten stationsseitigen Informationsfolge iucnuSCil iSu

Während des zweiten Zeitabschnittes, der im Zusammenhang mit den Vorgängen der Prüfstation erwähnt wurde, wird durch Steuerung über die Leitung 38 die erste trägerseitige Informationsfolge aus dem Speicherteil 104 abgerufen und an die Leitung 28 und damit an die trägerseitige Vergleicherschaltung 30 abgegeben, und zwar synchron mit der Abgabe der ersten stationsseitigen Informationsfolge aus dem Chiffrierrechner 105 auf Leitung 38 an die Vergleicherschaltung 30.

Wie bereits beschrieben, wird die Leitung 40 der Vergleicherschaltung 30 (F i g. 1) bei übereinstimmenden ersten Informationsfolgen auf Binär-»1« geschaltet und die Torschaltung 34 (F i g. 1) geöffnet

In dem dritten Zeitabschnitt wird, durch Steuerung über Verbindungsleitung 24, die zweite trägerseitige in-

formationsfolge aus dem Speicherteil 106 abgerufen und an Leitung 32 an die (nun geöffnete) Torschaltung 34 und über diese weiter an die Vergleicherschaltung 41 (F i g. 1) abgegeben und zwar gleichzeitig und synchron mit der zweiten stationsseitigen Informationsfolge aus dem Chiffrierrechner 105 über Leitung 39, wobei an der Aissgangsleitung 47 der Vergleicherschaltung 41 bei übereinstimmenden Informationsfolgen die Richtig-Signal »1« als Kriterium für »Identität erkannt und richtig« erscheint, wie in F i g. 3, Zeile k dargestellt.

Da als Eingangsinformation des Chiffrierrechners 105, außer der für sämtliche Datenträger gemeinsamen Information des Speichers 33 auch die für jeden Datenträger individuelle Information des Primärspeichers 12 (welche z.B. eine Personal-Nummer ist) wirksam ist, sind erste und zweite Informationsfolgen und damit der Inhalt des Speichers 26 mit den Speicherteilen 104 und 106 für jeden einzelnen Datenträger 10 verschieden von jedem anderen. Als. Speicherteile 104 und 106 können z. B. programmierbare ROM-Speicher verwendet werden, welche vor der Ausgabe der Identitätsdatenträger mit Hilfe der Prüfstation mit den vom Chiffrierrechner 105 ausgegebenen ersten und zweiten Informationsfolgen programmiert werden, unter Verwendung der Information des Primärspeichers 12 des betreffenden Datenträgers 10.

In F i g. 5 ist noch eine Memo-Zahl-Eingabevorrichtung 108 eingezeichnet. Diese Vorrichtung hat den bekannten Zweck, eine im Gedächtnis des Inhabers eines Datenträgers eingeprägte Zahl, die sogenannte Memo-Zahl, als Identifizierungsinformation mitzuverwenden. Die Memo-Zahl wird beispielsweise vor jedem Identifizierungsvorgang durch den Benutzer eingegeben und nach jedem Identifizierungsvorgang (automatisch) gelöscht.

Die Memo-Zahl soll z. B. verhindern, daß ein durch Verlust in unbefugte Hände gelangter Datenträger noch sinnvoll verwendbar bleibt. Allerdings ist die Memo-Zahl für die Personenidentifizierung nur solange wertvoll, als sie nicht verraten wird.

Die Memo-Zahl, z. B. eine vierstellige Dezimalzahl, wird mit einer Tasteinrichtung 112 manuell eingegeben und in einem elektronischen Speicher 114 in binär codierter Form gespeichert. Während der Abgabe der in Speicherteil 104 gespeicherten Geheiminformation über Leitung 110 wird, durch Steuerung über Verbindungsleitung 38, die Memo-Zahl über eine Leitung 116 abgegeben und in einem Modulo-2-Mischer 118 mit der Information des Speicherteiles 104 gemischt, und das Gemisch gelangt als erste trägersseitige Informationsfolge auf die Leitung 28.

Die Einrichtung kann so funktionieren, daß nach Ausgabe der Memo-Zahl diese im Speicher 114 automatisch gelöscht wird oder daß sie gespeichert bleibt.

Die im Speicherteil 104 gespeicherte Information wäre an sich in diesem Falle um die Memo-Zahl abweichend von der ersten stationsseitigen Informationsfolge, was aber bei der Erstellung des Datenträgers 10 berücksichtigt und korrigiert werden kann. Bei nicht oder falsch eingegebener Memo-Zahl wird bei der Identifikation des Datenträgers auf falsch erkannt (Fig.3, Zeile q).

Eine Memo-Zahl-Eingabevorrichtung wird im einzelnen später anhand der F i g. 16 erläutert.

Die Fig.6 zeigt eine weitere Ausführungsvariante der Geheimschaltung 31 der Prüfstation, die z. B. mit der trägerseitigen Geheimschaltung 20 der F i g. 5 zusammenarbeiten kann.

Bei dieser Ausführungsform ist kein Chiffrierrechner vorhanden. Für jeden der verschiedenen, individuellen, mit der Prüfstation prüfbaren Datenträger ist in der Geheimschaltung ein separater, zugeordneter Speicherteil 113 vorhanden, welcher in F i g. 6 z. B. für einen Datenträger Nummer (1) mit 113'. für einen Datenträger Nummer (2) mit 113² und für einen Datenträger Nummer (n) mit 113" bezeichnet ist Der Speicherinhalt eines jeden solchen Speicherteils 113 entspricht dem Speicherinhalt des Speichers 26 des zugeordneten Datenträgers. So entspricht z. B. die linke Hälfte jedes der Speicherteile 113 dem Speicherteil 104 und die rechte Hälfte dem Speicherteil 106 in F i g. 5 des zugeordneten Datenträgers, gegebenenfalls unter Berücksichtigung der Memo-Zahl, wie oben beschrieben.

Ein elektronischer Wählschalter 115, welcher in Fig.6 zur klareren Darstellung wie ein Wählschalter mit Schaltarm gezeichnet ist, aber in Wirklichkeit z. B. aus einem elektronischen Binärzähler-Multiplexer besteht, wird durch die vom Datenträger 10 stammende Information aus dem Primärspeicher 12, z. B. einer Personalnummer, auf den dem entsprechenden Datenträger zugeordneten Speicherteil 113 gestellt, wonach dann, zeltlich durch die Verbindungsleitungen 29 und 25 gesteuert, die erste stationsseitige Informationsfolge über Leitung 37 und die zweite stationsseitige Informationsfolge über Leitung 39 ausgegeben wird, welche mit den entsprechenden Informationsfolgen des zugeordneten Datenträgers in der Vergleicherschaltung 30 bzw. 41 verglichen werden.

Diese Ausführungsform hat den Vorteil, daß ein beliebiger, ausgewählter Datenträger markierbar und von der Prüfstation aus sperrbar ist, von welcher Möglichkeit z. B. bei Verlust eines Datenträgers Gebrauch gemacht werden kann.

Dieser Vorteil bedingt aber die Notwendigkeit, daß in der Prüfstation 11 für jeden der vorgesehenen π Datenträger ein zugeordneter Speicherteil 113'... 113" vorhanden sein muß.

Sowohl die Geheimschaltung 31 der F i g. 5 als auch jene der F i g. 6 haben die Eigenschaft, daß deren erzeugte Informationsfolge (d. h. erste und zweite stationsseitige Informationsfolge) wohl von Datenträger zu Datenträger verschieden (verschiedene Inhalte der Primärspeicher 12), jedoch für ein und denselben Datenträger 10 bei jedem neuen Identifizierungsvorgang gleich und konstant bleiben.

Würde es also Unbefugten gelingen, z. B. unter Ausnutzung der elektromagnetischen Abstrahlung während des Identifizierungsvorganges, die geheimen ersten und zweiten Informationsfolgen zu ermitteln, so wäre es theoretisch denkbar, diesen speziellen Datenträger, wenn auch mit großem Aufwand, zu duplizieren. Bei gleichbleibenden Informationsfolgen ist also darauf zu achten, daß die Abstrahlung während des Identifizierungsvorganges auf ein Mindestmaß herabgesetzt wird, z. B. mit einem mit galvanischen Kontakten arbeitenden Übertragungskanal an Stelle der drahtlosen Übertragung der F i g. 4.

Es ist aber zu beachten, daß auch bei gleichbleibenden Informationsfolgen eine eventuelle Zugänglichkeit zu diesen Informationsfolgen nur während des Identifikationsvorgangs (z. B. durch Abstrahlungs-Detektion), also örtlich in der Nähe der Prüfstation und nur während einer sehr kurzen Zeit möglich ist. Aus dem Datenträger allein ist nichts herauszubekommen, da dieser seine zweite Informationsfolge nur herausgibt, wenn vorgängig von der Prüfstation her die richtige erste Informati-

onsfolge eingegeben wurde.

Um zu vermeiden, daß Unbefugte durch Eingabe eines sehr langen Zufallsprogramms an Stelle der ersten Informationsfolge irgendeinmal »zufällig« die richtige (welche die zweite Informationsfolge auslösen würde) finden, können entweder mit Leichtigkeit Sperren eingebaut werden (welche z. B. den Datenträger nach der Eingabe einer falschen ersten Informationsfolge von lOfacher Länge irreversibel blockieren) oder die erste Informationsfoige kann so lange gewählt werden, daß ein zufälliges Absuchen praktisch ausgeschlossen ist (Schon eine Länge von 64 Bits gibt eine Mannigfaltigkeit von gegen 10²⁰.)

In F i g. 7 ist eine weitere Ausführungsform der stationsseitigen und trägerseitigen Geheimschaltungen 31 bzw. 20 dargestellt, in welcher in beiden Geheimschaltungen je ein identischer Chiffrierrechner 117 bzw. 120 enthalten ist

Zum Unterschied von F i g. 6 führt hier der elektronische Wählschalter 115 nicht direkt die ersten und zweiten Informationsfolgen, sondern ist als Eingang auf den Chiffrierrechner 117 geführt und erst der Chiffrierrechner-Ausgang liefert als Chiffrierprogramme die erste Informationsfolge auf Leitung 37 und die zweite Informationsfolge auf Leitung 39.

Zum Unterschied von F i g. 5 führt bei der Geheimschaltung 20 des Datenträgers der Speicher 26 mit den Speicherteilen 104 und 106 nicht direkt zu der ersten und zweiten Informationsfolge, sondern dient als Eingang des Chiffrierrechners 120, an dessen Ausgang als Chiffrierprogramme die erste Informationsfolge auf Leitung 28 und die zweite Informationsfolge auf Leitung 32 abnehmbar sind.

Die Zuordnung der einzelnen Speicherteile 113' bis 113" in Geheimschaltung 31 zu den Speicherteilen 104, 106 der einzelnen Datenträger 10 ist, wie oben an Hand der Fi g. 5 und 6 beschrieben wurde. Integrierende Bestandteile des Stationsseiligen Speichers 33 sind Speicherteile 212' bis 121", in denen die individuellen Memo-Zahlen gespeichert sind, während in dem Datenträger mittels Tasteinrichtung 112 in den Speicher 114 eingebbar sind, der hier integrierender Bestandteil des trägerseitigen Speichers 26 ist.

Als Eingangsinformation der Chiffrierrechner 117 bzw. 120 dient hier der Inhalt des Primärspeichers 12, welcher über eine Leitung 123 ab der Leitung 35 auf den Chiffrierrechner 117 und über die Leitung 22 (vgl. Fig. 1) auf den Chiffrierrechner 120 geführt ist.

Als weitere Eingangsinformation der beiden Chiffrierrechner 117, 120 dient die im Zufallsgenerator 51 erzeugte und über die Torschaltungen 63 bzw. 54 zugeführte Zufallsinformation.

Diese als Binär-Impulsprogramm vom Zufallsgenerator 51 ausgegebene und z. B. mittels Rauschquelle erzeugte Zufallsinformation wird zu Beginn des Identifizierungsvorgangs im ersten Zeitabschnitt durch die Verbindungsleitungen 48 und 55 die die Torschaltungen 54 und 63 ausselektioniert und gelangt simultan und in identischer Form über die Torschaltung 54 an den Chiffrierrechner 120 und über die Torschaltung 63 an den Chiffrierrechner 117. Bei jedem neuen Identifizierungsvorgang wird im Zufallsgenerator 51 eine neue Zufallsinformation erzeugt, wodurch bewirkt wird, da3 die ersten und zweiten Informationsfolgen auch bei vielmaliger Identifizierung des gleichen Datenträgers praktisch jedesmal verschieden sind. (Theoretisch könnten sich die Zufallsinformationen zufällig einmal wiederholen. Bei einer Länge dieser Informationen von 100 Bit tritt dies indessen frühestens nach ca. 10³⁰ Taktimpulsen auf.) Auf diese Art kann ein Unbefugter durch Auswertung der Abstrahlungs-Information während des Identifizierungsvorgangs nichts erreichen, und eine Duplizierung der Datenträger ist verunmöglicht. Die allfällig durch Abstrahlung während eines Identifikationsvorgangs ermittelten Informationsfolgen nützen dem Unbefugten gar nichts, da sie das nächste Mal vollständig verschieden sind.

ίο Damit wird eine drahtlose Übertragung zwischen Datenträger und Prüfstation auch ohne weitere Sicherheitsmaßnahmen unbedenklich.

An Stelle der Zufallsinformation könnte auch eine mittels einer elektronischen Uhr (42, 53, vgl. Fig. 1) erzeugte digitale Zeitinformation als zusätzliche Eingangsinformation für die Chiffrierrechner 120 bzw. 117 verwendet werden, was nachstehend an Hand von F i g. 8 beschrieben wird.
An Hand der F i g. 8 ist nachstehend eine weitere Ausführungsform der Geheimschaltungen 20, 31 beschrieben.

Der obere Teil dieser Geheimschaltungen entspricht weitgehend den Ausführungsformen der F i g. 5, wobei allerdings die Ausgangsleitung des Speicherteils 106 und des ModuIo-2-Mischers 118 sowie die beiden identische Information führenden Ausgangsleitungen des Chiffrierrechners 105 nicht die Ausgabeleitungen für erste und zweite Informationsfolgen sind. Sie sind bei diesem Beispiel Eingabeleitungen für die unter sich identischen Chiffrierrechner 120 bzw. 117, und erst am Ausgang dieser Chiffrierrechner sind die die ersten und zweiten Informationsfolgen führenden Leitungen 32 und 28 bzw. 37 und 39 angeschlossen.

In der Geheimschaltung 31 der Prüfstation 11 sind also Chiffrierrechner vorhanden, nämlich der Chiffrierrechner 105 und der Chiffrierrechner 117, während in der Geheimschaltung 20 des Datenträgers 10 nur der Chiffrierrechner 120 vorgesehen ist.
Die Chiffrierrechner 117 und 120 haben den Hauptzweck, zusammen mit Zufallsinformation oder im vorliegenden Fall mit digitaler Zeitinformation die Variabilität der abgegebenen Informationsfolgen zu bewirken. Das erforderliche Geheimhaltungsniveau dieser Chiffrierrechner ist relativ klein und sie können deshalb einfach und billig aufgebaut werden. Dagegen ist der Chiffrierrechner 115 für großen Geheimhaltungsgrad ausgebaut und weist eine komplexere Schaltung auf, was jedoch wirtschaftlich kaum ins Gewicht fällt, da er nur in der Prüfstation vorkommt.

Zur Erzielung der Variabilität der ersten und zweiten Informationsfolgen werden in Fig.8, wie bereits angetönt, digitale Zeitinformation aus den elektronischen Uhren 53 und 42 verwendet.
Die Zeitinformation kann von der Prüfstation 11 auf den Datenträger 10 übertragen, oder aber in diesen beiden Teilen selbst erzeugt werden. Das letztere ist dann vorteilhaft, wenn der Datenträger 10 als Armband ausgebildet ist und die Uhr zugleich als Armbanduhr für den Inhaber dienen kann.

Die Zeitinformation wird durch die Verbindungsleitungen 48 und 55 ausselektioniert und gelangt über die Torschaltungen 46 bzw. 59 als Eingangsinformation auf die Chiffrierrechner 120 und 117.
Die Zeitinformation kann auch zur Bildung von sogenannten »Zeitfenstern« dienen, d. h. zur Bildung von Zeitintervallen, während welchen allein die Identifizierung möglich ist. An der Prüfstation wird die Zeit fest eingestellt, z. B. auf 14 Uhr 20 Min. Wenn angenommen

wiid, daß nur die Stundenangabe sowie die Zehnerstelle der Minutenangabe für die Information signifikant ist, kann ein Datenträger dann nur zwischen 14 Uhr 20 und 14 Uhr 30 identifiziert werden, so daß die Einrichtung auch als zeitabhängiges Sicherheitsschloß verwendet werden kann.

Die generellen Aspekte der Verwendung von Zeitinformation zu Chiffrierzwecken können aus dem Schweizer Patent 4 11 983 ersehen werden.

Die in den beschriebenen Beispielen getrennt gezeichneten Speicherteile 104 und 106 können natürlich auch aus einer einzigen integrierten Schaltung bestehen.

Nach jedem Identifizierungsvorgang werden die Chiffrierrechner 120 und 117 durch eine nicht gezeichnete Rückstelleinrichtung bekannter Art in den Anfangszustand zurückgestellt, d. h. auf »Nullstellung« gebracht

In der Ausführungsform von Fig.8 könnte ein Teil des stationsseitigen Speichers 33, ähnlich wie bei F i g. 7, den einzelnen Datenträgern zugeordnet, und ein weiterer Teil, ähnlich wie bei F i g. 5, für alle gemeinsam sein, wodurch ein großer Geheimhaltungsgrad erzielbar wäre.

Für die Sicherung der Informationsübertragung muß nur minimaler Aufwand getrieben werden (z. B. 1 Parity-bit pro Informationsfolge), da einerseits die zu erwartenden Störungen gering sind und andererseits bei einem Identifizierungsvorgang dieser in Sekundenschnelle wiederholbar ist

Im Datenträger sind die geheimzuhaltenden und auch für die Besitzerperson unzugänglich zu bleibenden Elemente die Geheimschaltung 20 samt Speicher 26, die Vergleicherschaltung 30, die Torschaltung 34 und, sowie vorhanden der Kontospeicher 56, die Torschaltungen 62, 64 sowie deren gegenseitige Verbindungen, wie in F i g. 1 mit der gestrichelten Linie 66' angegeben.

Zu diesem Zweck können diese Elemente in eine geeignete Masse, vorzugsweise eine schwer zerstörbare Kunststoffmasse eingebettet sein. Es werden hierfür unten einige Beispiele beschrieben:

F i g. 9 zeigt einen Datenträger 10 in Form einer Karte, mit zwei galvanischen Kopplungsstellen 264 und 66. Für den Identifizierungsvorgang ist der Datenträger nur für Bruchteile einer Sekunde in die Kopplungsstellen 65 und 67 der Prüfstation 11 zu stecken (vgl. hierzu z. B. das Schema der F i g. 2). Der Datenträger 10 kann aus einer z. B. 2 bis 3 mm dicken und z. B. 3 cm langen und 3 cm breiten Kunststoffplatte bestehen, in welcher sämtliche Schaltungselemente und insbesondere die Elemente 20, 30,34,56,62 und 64 wie oben angegeben, unzugänglich eingebettet (eingegossen) sind.

Die Fig. 10 zeigt einen Datenträger in Form eines Schlüssels dessen wahre Größe etwa einem normalen Schlüssel entspricht. Die Prüfstation kann hier die Aufgabe eines äußerst sicheren elektronischen Schlosses erfüllen. In diesem Zusammenhang wird noch zu beschreiben sein, wie mit solchen Schlüsseln auch eine sehr sichere »Passepartout-Organisation« möglich ist.

F i g. 11 zeigt einen Datenträger in Form eines Armbandes, welches gleichzeitig Träger der trägerseitigen elektronischen Uhr 42 sein kann, die ihrer seits die digitale Zeitinformation für die Chiffrierrechner liefert. Die geheimen Schaltelemente 20,30,34,56,62,64 sind wiederum unzugänglich, z. B. in Kunststoff eingebettet. Die Informationsübertragung erfolgt über zwei Kopplungsstellen 264 und 66, welche als links und rechts des Armbandes verlaufende Kontaktschienen ausgebildet sind. Für den Identifizierungsvorgang braucht das Handgelenk mit dem Armband nur gegen die V-förmig ausgebildeten Kopplungsstellen 65 und 67 der Prüfstation 11 abgesenkt zu werden. Ein solches Armband als Identitätsträger hat deshalb in bezug auf die Bedienungseinfachheit große Vorteile.

Die Elemente der Schaltung des Datenträgers könnten auch in einem am Armband befestigten Behälter oder in der Uhr selbst untergebracht sein.

Wie unten gezeigt wird, bieten Armbänder mit darin eingebauten Elementen jedoch noch weitere Vorteile für die Personenidentifikation.

In Fig. 11 sind weiterhin Drucktasten 112', 112" und 112'" eingezeichnet welche zur Eingabe der Memo-Zahl dienen. Ein Blockschaltbild ist in F i g. 16 ersichtlich und die Wirkungsweise ist wie folgt:

Zur Eingabe einer Memo-Zahl, z. B. der Zahl 3748, wird vorerst die Drucktaste 112' entsprechend der ersten Ziffer »3« der Zahl dreimal gedrückt wobei diese erste Zahl im Stellenspeicherelement 114' gespeichert wird. Alsdann wird Drucktaste 112" einmal gedrückt was die Stellenverschiebung auf die zweite Stelle bewirkt, wonach durch siebenmaliges Drücken der Drucktaste 112' die zweite Ziffer »7« der Zahl im Stellenspeicherelement 14" gespeichert wird usw. Am Schluß steht die Memo-Zahl an der Leitung 116 für den Abruf während des Identifizierungsvorganges zur Verfügung. Mit Druckpaste 112" kann die Memo-Zahl gelöscht werden.

Die Löschung kann jedoch auch über einen Schalter 522 durchgeführt werden, welcher durch den Verschluß 124 des Armbandes (F i g. 11) betätigt wird. Solange das Armband am Handgelenk getragen wird, bleibt die Memo-Zahl für die Identifizierungsvorgänge erhalten und verschwindet bei Abnahme des Armbandes automatisch.

Natürlich kann auch die Schaltung der Fig. 16 statt im Armband selbst auch in einem am Armband fixierten Tragkörper, oder in der Uhr selbst untergebracht sein.

Die oben erläuterten Maßnahmen gestatten, eine »elektrische« Zugänglichkeit zu den Geheiminformationen im Datenträger 10 zu verhindern. Um aber eine unbefugte Duplizierung und mißbräuchliche Verwendung der Datenträger 10 zu verhindern, kann zusätzlich die materielle Zugänglichkeit zu den gespeicherten Geheiminformationen im Datenträger 10 verhindert werden. Die kann, wie bereits erwähnt, z. B. durch Einbetten bzw. Vergießen der entsprechenden Schaltgruppen in eine Kunststoffmasse geschehen, se daß die Schaltgruppen nur unter Zerstörung des Datenträgers 10 und damit ihrer selbst zugänglich werden. Es können aber noch weitere Maßnahmen getroffen werden, um bei solcher mißbräuchlicher Zerstörung, welche die materielle Zugänglichkeit zu den Geheimschaltungen ermöglichen könnte, auch deren Informationsgehalt verschwindet.

Ein Beispiel solcher Maßnahmen ist an Hand der F i g. 12 erläutert. Der Speicher 26 des Datenträgers ist hier eine, mit einer im Datenträger befindlichen Batterie 126 gespiesene integrierte Schaltung, z. B. ein RAM (Random Access Memory) oder ein Schieberegister in MOS oder C-MOS-Technik. Damit die gespeicherte Information erhalten bleibt, brauchen diese Elemente eine permanente, wenn auch äußerst geringe, Speisung aus der Batterie. Wird die Speisung auch nur kurzzeitig unterbrochen, so verschwindet die gespeicherte Information. Die Speisestrom-Zufuhr zum Speicher 26 erfolgt in Fig. 12 über eine negative Speiseleitung 128 und eine positive Speiseleitung 129. Diese Leitungen sind z. B. aus lackisoliertem Kupferdraht mit 0,1 bis 0,2 mm Durchmeser und mehreren Metern Länge. Die Speiseleitungen

128,129 sowie der Speicher 26 sind in eine Kunststoffmasse 130 fest eingepackt bzw. vergossen, wobei der Speicher 26 zuinnerst im Vergußkörper angeordnet ist und die Speiseleitungen 128, 129 den Speicher 26 auf allen Seiten umschließen. Die positiven und negativen Speiseleitungen 128,129 sind kreuz und quer und unregelmäßig durcheinander verlegt mit eine.m durchschnittlichen Abstand von z. B. unter 0,5 ml von Leitung zu Leitung. Bei einem Versuch, an den Speicher 26 zu gelangen, ist die Zerstörung des Vergußkörpers und da^nit ein Unterbrach oder Kurzschluß zwischen den Speiseleitungen unvermeidlich, wodurch die gespeicherte Information verschwindet Die unbefugte Zugänglichkeit zur Geheiminformation ist somit vermieden.

Die Verlegung der Speiseleitungen 128,129 kann mit durch Zufallsinformation gesteuerte Maschinen derart erfolgen, daß die Leitungsführung von Datenträger zu Datenträger verschieden ist

Gemäß Fig. 13 besteht der Speicher 26 aus drei getrennten Teilen und es sind drei parallelgescnaltete positive und negative Leitungen vorhanden, was die unbefugte Zugänglichmachung der Geheiminformation noch weiter erschwert In diesem Ausführungsbeispiel sind die übrigen, Geheiminformation enthaltenden, Schaltelemente 20,30,34,56,62,64 samt ihren gegenseitigen Verbindungen ebenfalls von den Speiseleitungen 128 und 129 dicht umschlossen, so daß sie nur nach zwangsläufiger Löschung der Geheiminformation materiell zugänglich werden.

In die langen Speiseleitungen könnten Stör-Spannungen oder Ströme induziert werden und den zuverlg-^igen Betrieb beeinträchtigen. Bei den Ausführungsformen der F i g. 14 und 15 ist dies dadurch vermieden, daß ein spezielles, mit Zerstörungsdetektor 132 bezeichnetes integriertes Schaltelement vorgesehen ist, dessen Speiseleitung 134 und 136 (F i g. 15) sich selbst sowie die geheimen Schaltungen 20,26,30,34,56,62,64 umschließen. Die Leitungen haben ihren Anfang in einem Schaltelement 138, welches eine Batterie sein kann. Das Schaltelement 138 kann aber auch eine logische Schaltung, und die Leitungen 134, 136 können elektrische Schutzzuleitungen sein. Bei Unterbruch und/oder Kurzschluß der Leitungen 134, 136 wird dem Speicher 26 über die Verbindungsleitung 140 eine Löschinformation zugeführt, welche die gespeicherte Information irreversibel löscht. Die Speiseleitungen zum Speicher 26 können in diesem Falle kurz und gegen Störeinflüsse wenig anfällig sein.

Fig. 14 zeigt wiederum einen als Armband ausgebildeten Datenträger 10 in schematisierter Darstellung. Die Geheiminformation führenden Schaltelemente 20, 26,30,34,56,62,64 und deren Verbindungen untereinander sind als ein Block integrierter Schaltungen ausgebildet und in der oben beschriebenen Art durch Einbetten in Kunststoffmasse und durch die sie umgebenden Leitungen 128,129 gegen Zugänglichkeit geschützt. Die Leitungen sind hier die Speiseleitungen des Zerstörungsdetektors 132. Dieser Detektor gibt z. B. solange er unter Spannung steht, eine Binär-»l«-!nformation über Leitung 140 an Speicher 26 ab. Sobald die Speisespannung fehlt, erscheint Binär-»0« auf Leitung 140 und dient als Löschimpuls für die irreversible Löschung der Information im Speicher 26. Die Leitungsdrähte sind im ganzen Armband verlegt, so daß eine Abtrennung des Armbandes an irgendeiner Stelle ohne Unterbruch (bzw. Kurzschluß) der Leitungsdrähte nicht möglich ist. Die Leitungsdrähte sind ferner mehrmals über eine Steckverbindung 142 mit Steckerstiflen im Armbandverschluß geführt, derart, daß bei Auftrennen des Stekkers und Abnehmen des Armbandes die Leitungen unterbrochen werden.

Der als Armband ständig am Arm getragene Datenträger ist deshalb ein sicheres Personenidentifizierungsmittel, weder duplizierbar und im vorliegenden Fall auch nicht an andere Personen übertragbar. Dazu muß das Armband nur das Handgelenk so eng umschlingen, daß ein Oberschieben über die Hand ohne Auftrennung unmöglich ist Zur Vermeidung der Möglichkeit der Überbrückung der Steckkontakte beim Auftrennen der Steckverbindung 142 hat der versenkte Steckerteil eine größere Länge als die Steckerstifte.

Die nicht geheimen Schaltungsteiie 12, 16, 68 (vgl. auch F i g. 2) können irgendwo im Armband angeordnet sein, da sie ebenfalls zu einem Block integrierter Schaltungen zusammengefaßt sein können.

Beim Ausführungsbeispiel von F i g. 14 kann der Identifizierungsvorgang durch bloße Annäherung des Handgelenks an die Prüfstation 11 erfolgen, da die Informationsübertragung drahtlos erfolgt, was mit den entsprechenden Sende- und Empfangsantennen 96,97 bzw. 98, 99 angedeutet ist.

Oft ist es wünschbar, daß ein Datenträger in verschiedenen Organisationen, z. B. in einem Supermarkt, einer Bank, einem Arbeitsplatz, einer Behörde als Identifizierungsmittel einsetzbar sein soll. Würde man beispielsweise das Ausführungsbeispiel von F i g. 5 wählen, so hätten sich diese Organisationen auf eine gemeinsame, für alle gleiche, im Speicher 33 gespeicherte Geheiminformation sowie auf einen gemeinsamen gleichen Chiffrierrechner 105 zu einigen.

Das Ausführungsbeispiel von Fig. 17 zeigt eine zweckmäßige Anpassung der Vorrichtung gemäß F i g. 5 zur Identifizierungs-Verwendung in z. B. drei Organisationen, wobei die zu den Organisationen gehörenden Schaltungselemente mit ein-, zwei- bzw. dreifach gestrichenen Bezugsziffern bezeichnet sind.

In F i g. 17 sind alle für die Erläuterung nebensächlichen Schaltungsteiie weggelassen. Der Datenträger 10 ist identifizierbar in den Prüfstationen ti' und 11" sowie in einer weiteren nicht dargestellten Prüfstation. Die Prüfstationen enthalten voneinander verschiedene, in den Speichern 33', 33" gespeicherte Geheiminformationen, was durch die verschiedene Schraffierung angedeutet ist. Die drei Prüfstationen weisen auch verschiedenartige Chiffrierrechner 105' und 105" auf. Die ersten Informationsfolgen sind voneinander verschieden, ebenso die zweiten Informationsfolgen. In der Geheimschaltung 20 des Datenträgers sind die Speicherteile 104 und 106 aus je 3 Teilspeichern aufgebaut, welche je folgende Geheiminformationen enthalten:

104' enthält die 1. Informationsfolge .

für die !.Organisation
104" enthält die 1. Informationsfolge

für die 2. Organisation
104'" enthält die 1. Informationsfolge

für die 3. Organisation
106' enthält die 2. Informationsfolge

für die !.Organisation
106" enthält die 2. Informationsfolge

für die 2. Organisation
106'" enthält die 2. Informationsfolge für die 3. Organisation

Diese gespeicherten Informationen sind durch die Chiffrierrechner als Chiffrierprogramme mit den zugeordneten und in Fig. 17 gleich schraffierten Geheim-

informationen als Chiffrierrechner-Eingangsinformationen entstanden. Deshalb lassen sich, auch bei voller Kenntnis der im Datenträger in den Speicherteilen 104 und 106 gespeicherten Geheiminformationen, keine Rückschlüsse auf den Inhalt der einzelnen Speicher 33' und 33" der Prüfstation 11', 11" der verschiedenen Organisationen ziehen.

Während eines Identifizierungsvorganges in einer der drei Prüfstationen gelangen nacheinander die drei ersten Informationsfolgen aus den Speicherteilen 104', 104" und 104'", Die erste stationsseitige Informationsfolge gelangt dreimal nacheinander (da drei Organisationen in Betracht gezogen sind) ebenfalls auf die Vergleicherschaltung 30, damit sie mit allen drei Geheiminformationen des Speicherteiles 104 verglichen werden können. Wenn bei einem der drei Vergleiche Informationsgleichheit festgestellt wird, wird an der Leitung 40 der Vergleicherschaltung 30 ein Binär-»1« erscheinen, und die Torschaltung 34 wird geöffnet.

Danach gelangen die drei Geheiminformationen als zweite trägerseitige Informationsfolgen aus den Speicherteilen 106', 106" und 106'" auf eine der Vergleicherschaltungen 41', 41" wo sie nacheinander mit der dreimal zur Verfügung gestellten zweiten stationsseitigen Informationsfolge verglichen werden. Wenn bei einem der drei Vergleiche Informationsgleichheit festgestellt wird, wird die Ausgangsleitung 47' bzw. 47" der entsprechenden Prüfstation auf Binär-»1« hestellt und die Identifikation als erkannt und richtig bewertet. Um die ersten und zweiten stationsseitigen Informationsfolgen dreimal nacheinander auf die Vergleicherschaltungen 30 bzw. 41', 41" usw. führen zu können, sind mehrfach abrufbare Speicher 131' und 131" bzw. 133' und 133" vorgesehen.

Anstatt bei jedem Identifizierungsvorgang die Datenträger-Informationen nacheinander mit den Informationen der Prüfstation zu vergleichen, könnte von dieser letzteren mittels an den Datenträger übertragener Selektionsinformation nur die der betreffenden Prüfstation zugeordnete Geheiminformation ausselektioniert werden, wonach der Vergleich nur mit der ausselcktionierten Information durchgeführt wird.

Natürlich können mehr als zwei oder drei verschiedene Prüfstationen vorhanden sein.

Werden die Prüfstationen als elektronische Schlösser verwendet, so wirkt ein Datenträger 10 gemäß Fig. 17, welcher beispielsweise die äußere Form nach Fig. 10 haben kann, als Schlüssel-Passepartout, mit welchem alle Schlösser zu öffnen sind. Ein Datenträger-Schlüssel, mit dem nur ein einziges Schloß, z. B. die Prüfstation 11 geöffnet werden kann, würde nur eine einzige Geheiminformation in den Speicherteilen 104 und 106 besitzen, nämlich jene in den Speicherteilen 104' und 106'.

Der Zeitbedarf für einen Identifizierungsvorgang kann leicht unter '/ιο sec gehalten werden. Sogar bei einer relativ niedrigen Taktfrequenz von z.B. 10 000/

is see und einer Übertragungsrate von 10 000 bitscc und bei Verwendung von Datenträgern, welche in fünf verschiedenen Organisationen anwendbar sein sollen, d. h. die mit fünf verschiedenen programmierten Prüfstationen prüfbar sein sollen, beträgt die Zeitdauer des Identifizierungsvorganges:

Information aus Prämierspeicher 1264 bit 6,4 msec 5mal erste Informationsfolge 5 χ 64 bit 32 msec
5mal zweite Informationsfolge 5 χ 64 bit 32 msec
Total ca. 70 msec

Das eine Duplizierung der trägerseitigen Information durch »Ausprobieren« praktisch ausgeschlossen ist, dürfte folgendes Beispiel erklären:

Eine Länge der ersten Informationsfolge von z. B. 128 bit ergibt über i0³⁰ Variationsmöglichkeiten. Das »zufällige« Auffinden der richtigen Informationsfolge, selbst bei einer hohen Taktfrequenz von 10⁸ZSeC würde noch durchschnittliche 10²² see dauern, was mehr als 10¹⁴ Jahren entspricht.

Zumindest in einigen beschriebenen Ausführungsbeispiele können die erste und die zweite Impulsfolge miteinander identisch sein. Dadurch kann trägerseitig und/ oder stationsseitig Speicherkapazität eingespart werden. Die erste und die zweite Impulsfolge können nacheinander demselben Speicher bzw. Speicherteil entnommen werden.

Hierzu 9 Blatt Zeichnungen

Claims (31)

Patentansprüche:

1. Einrichtung zur Prüfung der Gültigkeit von einer Mehrzahl von Benutzern der Einrichtung zugeordneten Datenträgern, die jeweils einen einen Speicher enthaltenden Informationsgenerator zur Erzeugung einer dem jeweiligen Benutzer zugeordneten Informationsfolge aufweisen, welche Einrichtung wenigstens eine Prüfstation mit einem Taktgeber aufweist und bei Ankoppelung des Datenträgers an die Prüfstation die Informationsfolge vom Datenträger abruft, dadurch gekennzeichnet,

- daß der Informationsgenerator des Datenträgers wenigstens zwei trägerseitige Informationsfolgen erzeugt,

- daß in der Prüfstation ein weiterer, wenigstens einen Speicher enthaltender Informationsgenerator zur Erzeugung von mit den trägerseitigen Informationsfolgen korrespondierenden stationsseitigen Informationsfolgen vorgesehen ist, der die erste der stationsseitigen Informationsfolgen an den Datenträger weitergibt,

- daß im Datenträger ein Vergleicher zum Vergleich der ersten trägerseitigen Informationsfolge mit der ersten stalionsseitigen Informationsfolge vorgesehen ist, der bei Übereinstimmung der beiden ersten Informationsfolgen die Abgabe der zweiten trägerseitigen Informationsfolge an die Prüfstation bewirkt,

- daß in der Prüfstation ein Vergleicher zum Vergleich der zweiten trägerseitigen Informationsfolge mit der zweiten stetionsseitigjen Informationsfolge vorgesehen ist, der bei Übereinstimmung der beiden zweiten Informationsfolgen die Abgabe eines die Gültigkeit des Datenträgers kennzeichnenden Signals (Richtig-Signals) bewirkt, und

- daß der Taktgeber beide Informationsgenera toren steuert.

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß im Datenträger ein Primärspeicher (12) angeordnet ist, dessen trägerindividuelle Primärdaten dem stationsseitigen Informationsgenerator (23,31) als Eingangsdaten eingebbar sind, wobei die beiden stationsseitigen Informationsfolgen durch die trägerindividuellen Primärdaten mitbestimmt werden.

3. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß im Datenträger ein Primärspeicher angeordnet ist, dessen trägerindividuelle Primärdaten dem stationsseitigen Informationsgenerator (23, 31) und dem trägerseitigen Informationsgenerator (16, 20) als Eingangsdaten eingebbar sind, wobei die beiden stationsseitigen Informationsfolgen und die beiden trägerseitigen Informationsfolgen durch die trägerindividuellen Primärdaten mitbestimmt werden.

4. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der trägerseitige Speicher aus einem ersten und einem zweiten Speicherteil besteht, wobei im ersten Speicherteil die erste und im zweiten Speicherteil die zweite trägerseitige Informationsfolge gespeichert ist.

5. Einrichtung nach den Ansprüchen 1, 2 und 4, dadurch gekennzeichnet, daß der stationsseitige Speicher (33) eine mindestens der Anzahl der Datenträger (10) entsprechende Anzahl in Abhängigkeit der trägerindividuellen Primärdaten einzeln anstenerbarer Paare von Speicherteilen (113) aufweist, und in den Paaren von Speicherteüen (113) je eine erste und eine zweite der stationsseitigen Informationsfolgen gespeichert sind.

6. Einrichtung nach den Ansprüchen 1, 2 und 4, dadurch gekennzeichnet, daß der stationsseitige Informationsgenerator (23,31) mindestens einen stationsseitigen Chiffrierrechner (105) aufweist, in welchen die Daten des stationsseitigen Speichers (33) eingebbar sind und welcher die ersten und zweiten stationsseitigen Informationsfolgen erzeugt

7. Einrichtung nach den Ansprüchen 1 und 2, dadurch gekennzeichnet, daß der stationsseitige Speicher (31) eine mindestens der Anzahl der Datenträger (10) entsprechende Anzahl in Abhängigkeit der trägerindividuellen Primärdaten einzeln ansteuerbarer Speicherteile (113,121) aufweist, wobei die Daten des angesteuerten Speicherteils (113, 121) auf den Eingang eines stationsseitigen Chiffrierrechners (117) geschaltet sind, welchem die ersten und zweiten stationsseitigen Informationsfolgen entnehmbar sind.

8. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der trägerseitige Informationsgenerator (16, 20) mindestens einen trägerseitigen Chiffrierrechner (120) aufweist, in welchen die Daten des trägerseitigen Speichers (26) eingebbar sind, und weither die trägerseitigen ersten und zweiten Informationsfolgen erzeugt.

9. Einrichtung nach den Ansprüchen 1,3, 6 und 8, dadurch gekennzeichnet, daß der Chiffrierrechner (120) an den Primärspeicher (12) gekoppelt ist und daß der stationsseitige Chiffrierrechner (117) eingangsseitig an diesen ankoppelbar ist.

10. Einrichtung nach den Ansprüchen 1, 6 und 8, dadurch gekennzeichnet, daß sowohl der trägerseitige als auch der stationsseitige Chiffrierrechner (120, 117) eingangsseitig an einen Zufallsgenerator (51) koppclbar sind, welcher binär-digitale Zufallssignale erzeugt.

11. Einrichtung nach den Ansprüchen 1, 6 und 8, dadurch gekennzeichnet, daß sowohl der trägerseitige als auch der stationsseitige Chiffrierrechner (120, 117) eingangsseitig je an eine binär-digitale Zeitinformation erzeugende Uhr (42, 53) angeschlossen sind.

12. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß dem trägerseitigen Informationsgenerator (16, 20) eine von Hand betätigbare und zur Speicherung eingerichtete Memo-Zahl-Eingabevorrichtung (112,114) zugeordnet ist.

13. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß dem trägerseitigen Informationsgenerator (16, 20) und der im Datenträger (10) angeordneten Vergleicherschaltung (30) einerseits, und dem stationsseitigen Informationsgenerator (23, 31) sowie der in der Prüfstation (11) angeordneten Vergleicherschaltung (41) andererseits Zeit-Multiplex-Schalter (72, 74, 76 bzw. 73, 75, 77) zugeordnet sind, welche die Ausgänge der Informationsgeneratoren (16,20 und 23,31) und die Ein- und Ausgänge zu bzw. von den Vergleicherschaltungen (30, 41) nach Maßgabe einer vom Taktgeber (19) angesteuerten Programmsteuerung (16 bzw. 23) in zeitlicher Sequenz an einen einzigen zwischen dem Datenträger und der Prüfstation verlaufenden Übertragungskanal an-

schalten.

14. Einrichtung nach Ansprach 13, dadurch gekennzeichnet, daß in dem Übertragungskanal sowohl stationsseitig als auch trägerseitig je eine elektrische Weiche (68,69) eingeschaltet ist, um über den Übertragungskanal sowohl Taktimpulse als auch Speiseenergie und Impulsinformation zu übertragen.

15. Einrichtung nach Anspruch, 13, dadurch gekennzeichnet, daß der Übertragungskanal zweipolig ist und an der Ankopplungsstelle zwischen Datenträger (10) und Prüfstation (11) Kopplungsstellen (264,65,66,67) aufweist

16. Einrichtung nach Ansprach 13, dadurch gekennzeichnet, daß der Übertragungskanal im Bereich der Ankopplungsstelle zwischen Datenträger (10) und Prüfstation (11) je an eine drahtlose Sende- und Empfangseinrichtung (80,81) geführt ist

17. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß im Datenträger (10) eine Torschaltung (34) vorgesehen ist, deren Eingänge mit dem trägerseitigen Informationsgenerator (16,20) und der trägerseitigen Vergleicherschaltung (30) verbunden sind, während deren Ausgang über eine Verbindungsleitung (45) an die in der Prüfstation (11) angeordneten Vergleicherschaltung (41) geführt ist.

18. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß im Datenträger (10) Mittel vorgesehen sind, welche bei Zerstörung des Datenträgers (10) die im trägerseitigen Speicher gespeicherte Information zumindest teilweise löschen.

19. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß zumindest der trägerseitige Inforiiiationsgenerator (16, 20) und die trägerseitige Vergleicherschaltung (30) als integrierte Schaltungen ausgebildet sind, welche in eine Vergußmasse eingegossen sind.

20. Einrichtung nach Anspruch 19, dadurch gekennzeichnet, daß wenigstens ein Teil der im Datenträger (20) enthaltenen Schaltgruppen von regellos in der Vergußmasse eingegossenen elektrischen Schutzzuleitungen umschlossen sind, wobei Mittel vorgesehen sind, um bei Unterbruch und/oder Kurzschluß dieser Schutzzuleitungen die im trägerseitigen Speicher (26) enthaltene Information mindestens teilweise zu löschen.

21. Einrichtung nach Anspruch 20, dadurch gekennzeichnet, daß die Schutzzuleitungen die Speiseleitungen (128,129) des trägerseitigen Speichers (26) sind, dessen gespeicherte Information bei Unterbrach und/oder Kurzschluß der Speiseleitungen (128,129) gelöscht wird.

22. Einrichtung nach Anspruch 20, dadurch gekennzeichnet, daß die elektrischen Speiseleitungen (134,136) an ein im Datenträger (10) angeordnetes, von diesen umschlossenes Detektorelemem: (132) angeschlossen sind, welches bei Unterbruch und/ oder Kurzschluß der Speiseleitungen die Löschung der im Speicher (26) enthaltenen Information bewirkt.

23. Einrichtung nach Anspruch 1, daiiurch gekennzeichnet daß im Datenträger (10) mindestens ein elektronischer, binär-digitaler Kontospeicher (56) vorgesehen ist, der über eine in der Prüfstation (11) angeordnete Eingabestelle (57) ein- und auslesbar ist, wobei der Kontospeicher (56) für die Ein- und Ausgabe durch die im Datenträger (10) angeordnete Vergleicherschaltung (30) bei vorhandener Korre-SDondenz der ersten Informationsfolgen entsperrbar

ist und wobei die Eingabestelle (57) durch die in der Prüfstation (11) angeordnete Vergleicherschaltung (41) bei vorhandener Korrespondenz der zweiten Informationsfolge durch das die Gültigkeit des Datenträgers kennzeichnende Signal entsperrbar ist

24. Einrichtung nach den Ansprüchen 20 und 23, dadurch gekennzeichnet daß der Kontospeicher (56) von den eingegossenen elektrischen Schutzzuleitungen umschlossen ist (F i g. 13 -15).

25. Einrichtung nach Ansprach 1, dadurch gekennzeichnet daß mindestens zwei Prüfstationen (11', 11") mit voneinander verschiedenen ersten und zweiten stationsseitigen Informationsfolgen erzeugenden Informationsgeneratoren (23, 3Γ, 31") vorhanden sind und die Datenträger (10) mindestens zwei trägerseitige Speicherteile (104', 106'; 104", 106") aufweisen, wobei jeder dieser Speicherteile für die Erzeugung derjenigen ersten und zweiten trägerseitigen Informationsfolgen mitbestimmend ist welche mit den stationsseitigen Informationsfolgen einer der Prüfstationen (1Γ, 11") korrespondieren.

26. Einrichtung nach Anspruch 1 oder 11, dadurch gekennzeichnet daß die Datenträger (10) als am Handgelenk von berechtigten Personen zu tragendes Armband ausgebildet sind, welches die Schaltgruppen des Datenträgers (10) enthäh.

27. Einrichtung nach den Ansprüchen 1 und 26, dadurch gekennzeichnet, daß auf dem als Armband ausgebildeten Datenträger (10) die Uhr (42) frei sichtbar angeordnet ist.

28. Einrichtung nach den Ansprüchen 1,20 und 26, dadurch gekennzeichnet daß mindestens ein Teil der die Schaltgruppen des Datenträgers (10) umschließenden Schutzzuleitungen über eine im Armband befindliche Steckverbindung (142) geführt sind, welche beim Abnehmen des Armbandes zwangsläufig zu lösen ist.

29. Einrichtung nach den Ansprüchen 12, 20 und 26, dadurch gekennzeichnet daß die Schutzzuleitungen die Speiseleitungen des Memo-Zahl-Speichers sind, welche über eine im Armband befindliche Steckverbindung (142) geführt sind, wobei ein Abnehmen des Armbandes das Lösen des Steckers und damit die Löschung der Memo-Zahl zur Folge hat.

30. Einrichtung nach Anspruch 1, dadurch gekennzeichnet daß die Schaltungen des Datenträgers in einer elektronischen Armbanduhr enthalten sind.

31. Einrichtung nach einem oder mehreren der vorangehenden Ansprüche, dadurch gekennzeichnet daß die erste und die zweite Informationsfolge miteinander identisch sind.