DE2858829C2 - Verfahren zum Betreiben eines mit einem Mikroprozessor und wenigstens einem programmierbaren ROM-Speicher versehenen Informationsträgers - Google Patents

Description

Die vorliegende Erfindung bezieht sich auf ein Verfahren zum Betreiben eines mit einem Mikroprozessor und wenigstens einem programmierbaren ROM-Speicher versehenen Informations­ trägers.

Transportable Informationsträger für vertrauliche und nicht manipulierbare Informationen werden als Kreditkarten, Bank­ karten, Zugangsausweise usw. verwendet.

Es ist schon eine Reihe von Informationsträgern zur Aufnahme vertraulicher Informationen bekannt geworden, sei es in Form von Magnetkarten, sei es in Form von integrierte Schaltkreise aufweisenden Karten.

Nachteilig bei diesen Informationsträgern ist im besonderen, daß spezifische elektrische Schaltkreise mit bestimmter Struktur nur in der Funktion verwendet werden können, für welche sie ausgelegt sind.

Der Zugriff zu der Information ist grundsätzlich möglich mit Hilfe von einem auf dem Informationsträger angebrachten Schlüssel, welchen allein sein Inhaber kennt. Innerhalb des Informationsträgers sind des halb Sicherheitsvorkehrungen vorgesehen, welche den Zugriff zum Informationsträger unter­ binden, wenn mit Hilfe eines falschen Schlüssels ein Versuch des Zugriffes durchgeführt wird. Jedoch ist die Wirkung die­ ser Sicherungen im Inneren der bekannten Informationsträger für vertrauliche Nachrichten begrenzt, weil es möglich ist, mit verschiedenen Dialogen zwischen dem Informationsträger und dem Eingabegerät, mit welchem er verbunden wird, in Ver­ bindung mit guten und schlechten Schlüsseln, den richtigen Schlüssel zu ermitteln, nämlich immer dann, wenn ein fach­ kundiger Betrüger alle Möglichkeiten hat mit Testen auf den Informationsleitungen, welche mit dem Arbeitsgerät verbunden sind, alle Kombinationen durchzuspielen, um die Zugriff­ schlüssel auf dem Informationsträger auf zudecken.

Aus der DE-OS 26 21 269 sind eine Anordnung zur Speicherung und Übertragung von vertraulichen Daten sowie ein entspre­ chendes Verfahren zum Betreiben der Anordnung bekannt. Diese bekannte Anordnung umfaßt einen Informationsträger, der einen reprogrammierbaren Speicher enthält, in dem ein Iden­ tifikationscode gespeichert ist. Im Betrieb wird ein von außen in den Informationsträger eingegebener Code mittels eines ebenfalls auf dem Informationsträger vorgesehenen Kom­ parators mit dem Identifikationscode verglichen. Entspre­ chend dem Vergleich werden weitere Operationen ausgeführt. Die auf diesem Informationsträger vorgesehene Steuerlogik ist allerdings fest verdrahtet und daher ist die gesamte Anordnung unflexibel und leicht ausspähbar.

Aufgabe der vorliegenden Erfindung ist es daher, ein Ver­ fahren zum Betreiben eines mit einem Mikroprozessor und wenigstens einem programmierbaren ROM-Speicher versehenen Informationsträgers anzugeben, das flexibel und betrugsge­ schützt ist.

Diese Aufgabe wird erfindungsgemäß durch Anspruch 1 gelöst.

Bevorzugte Weiterbildungen finden sich in den Unteransprü­ chen.

Dabei kann der Informationsträger für persönliche Daten oder auch andere Daten so aufgebaut sein, daß nicht Informationen von allgemeiner Ordnung und Informationen von vertraulichem Inhalt gleichmäßig abgerufen werden können. Weiter können die Verarbeitungsvorgänge im Inneren des Informationsträgers für bekannte Informationen in dem Informationsträger in Ver­ bindung mit einer externen Anfrage des Informationsaustau­ sches von der Bearbeitungseinrichtung, welche mit dem Träger verbunden ist, gleich sein im Fall von Unregelmäßigkeiten oder Betrug, gleichgültig ob der Schlüssel gut oder schlecht ist.

Im einzelnen ist der Informationsträger zur Ausführung der Erfindung aufgebaut als tragbarer Gegenstand geeigneter Dimensionen, welcher mit einer elektronischen Einrichtung ausgerüstet ist, die einen Mikroprozessor mit einem programmierbaren elek­ trischen Speicher enthält, wobei der Speicher dadurch gekenn­ zeichnet ist, daß er drei unterscheidliche Zonen aufweist.

Eine Geheimzone, wo allein ein Lesen und Schreiben innerhalb des Informationsträgers zugelassen ist.

Eine Arbeitszone, in welcher alle Schreib- und Leseoperationen möglich sind, und eine Lesezone, wo allein durch die internen oder externen elektronischen Einrichtungen gesteuerten Lese- Operationen auf dem Informationsträger zugelassen sind.

Der genannte Speicher ist dadurch gekennzeichnet, daß er darüberhinaus in der geheimen Zone eine Fehlerzone und eine Zugriffszone für den Zugriff zu den absolut geheimen Informa­ tionen enthält, zu welchen die Verwendung von einem Schlüssel notwendig ist. In diese Zonen speichert das Mikroprogramm je­ weils dann ein Bit, wenn ein Zugriff zum Informationsträger erfolgt.

Damit ist es mit der Einrichtung nach der Erfindung möglich, Schreibfunktionen und Lesefunktionen in den vorbestimmten Zonen des Speichers in einem solchen Umfang durchzuführen, wie im Inneren der Einrichtung ein Geheimcode eingeführt ist, welchen die Einrichtung selbst wiedererkennt.

Die durchzuführenden Operationen werden dadurch überwacht und mit Hilfe eines in den Speicher des Mikroprozessors ein­ geschriebenen Mikroprogramms entsprechend verarbeitet und an jede Anwendung angepaßt. Die Verarbeitung im Inneren ent­ zieht einem Betrüger jede Möglichkeit sich zu informieren über die Natur der notwendigen Informationen zur Verwendung des Informationsträgers.

Die Vorteile der tragbaren Einheit können vorzugsweise ange­ wendet werden für:

• - die Speicherung und die Verarbeitung von fortzuschreibenden Finanzierungsdaten (Konten, Krediten usw.),
• - die Steuerung des Zugriffes zu geheimen oder vertraulichen Parametern,
• - den Aufbau einer tragbaren Karte mit geheimen oder offenen Informationen mit der Möglichkeit interner Auswahl oder unterschiedlicher Verarbeitung.

Einzelne Merkmale und Vorteile der Erfindung werden in der folgenden Beschreibung in Verbindung mit den anliegenden Zeichnungen im einzelnen erläutert. In diesen Zeichnungen zeigen:

Fig. 1 und 2 jeweils ein Ausführungsbeispiel der elektronischen Schaltkreise eines Informationsträgers gemäß der Erfindung,

Fig. 3 eine vergrößerte Schnittansicht eines Informations­ trägers nach der Erfindung,

Fig. 4a und 4b die Organisation des Informationsinhaltes des Informationsträgers nach der Erfindung,

Fig. 5 eine detaillierte Darstellung der in den Fig. 1 und 2 dargestellten Schaltkreise,

Fig. 6 und 7 die Arbeitsweise des Trägers bei einem Lesevorgang und

Fig. 8 und 9 die Arbeitsweise bei dem Schreibvorgang.

Die Fig. 1 zeigt ein erstes Realisierungsbeispiel der elektro­ nischen Schaltkreise.

Der Mikroprozessor 1 erhält seine Stromversorgung von außen zwischen dem Masseanschluß 9 und dem Anschluß 7 mittels einer geregelten Spannung.

Ein programmierbarer elektrischer Festwertspeicher (Permanent­ speicher) 2 vom Typ PROM liegt zwischen dem Masseanschluß 9 und der Versorgungsklemme 8.

Dieser Aufbau erlaubt die Anwendung der Schreibspannung an der Klemme 8 immer dann, wenn die Klemme 7 auf einem konstanten Po­ tential bleibt,um den Mikroprozessor zu versorgen. Die Kapazität des Speichers 2 kann zwischen 4096 und 8192 binären Positionen festgelegt werden, was ausreichend für die betrachteten Anwen­ dungen ist. Diese Kapazitäten sind jedoch nicht begrenzt.

Über einen Anschluß 5 werden die verschiedenen internen Abläufe der Einrichtung hinsichtlich einer äußeren Anlage synchronisiert. Die entsprechende Synchronisierspannung wird als Impulsfolge zugeführt und kann eine Frequenz in einer Größenordnung von 0,5 bis 5 MHz aufweisen.

Die Klemme 6 bildet den einzigen Zugang zu der Einrichtung für einzugebende und abzurufende Informationen für einen seriellen oder nicht seriellen Dialog der Informationen entsprechend der Richtung der Übertragung.

Der Mikroprozessor 1 steuert den Speicher 2 vollständig unter Zwischenschaltung

• - von Adressenleitungen 3 und
• - einer Informationsleitung 4.

Wenn die Einrichtung über die Klemme 6 einen Lesebefehl er­ hält, wird der Zugriff nach einer Kontrolle zugelassen. Die Adresse wird auf den Leitungen 3 wiedergegeben und die Daten über die Leitung 4 übertragen. Ein Schreibbefehl wird zum Speicher 2 über die Leitung 10 gleichzeitig mit der Schreib­ spannung an der Klemme 8 übertragen.

Die Fig. 2 gibt ein zweites Ausführungsbeispiel zum Aufbau der elektronischen Schaltkreise.

Der Mikroprozessor 1 enthält einen internen nichtflüchtigen Festwertspeicher 2. Dieser Speicher ist in zwei Zonen 20 und 21 unterteilt.

Die Zone 20 trägt das Funktionsprogramm des Mikroprozessors. Die Zone 21 wird für die Speicherung von Informationen verwendet.

Bei der Ausführungsform werden die Versorgungsspannungen dem Mikroprozessor ebenso wie die Taktspannung am Anschluß 5 zugeführt.

Die im vorbeschriebenen Beispiel erwähnten Leitungen 3 und 4 sind intern angeordnet.

In der Fig. 3 wird eine Ausführungsform eines Informations­ trägers gemäß der Erfindung in einer Schnittdarstellung gezeigt. In einer vorgesehenen Ausnehmung innerhalb einer Scheibe C2 aus Polyvinylchlorid und auf einem Vorsprung am Rand dieser Ausnehmung ruhend sind zwei weitere Scheiben C1 und aus Polyvinyl­ chlorid vorgesehen, welche die gesamte Oberfläche der Ausnehmung abdecken.

In dem zwischen den Scheiben C1 und C3 durch den Vorsprung freigelassenen Zwischenraum ist eine Epoxydharzschicht C4 eingesetzt, in welcher zwei Ausnehmungen zur Aufnahme von zwei Halbleiterkörpern angeordnet sind, von denen der eine den Mikroprozessorkörper C7 und der andere den programmier­ baren Festwertspeicher C8 darstellt.

Verbindungsleitungen L1 bis L4 stellen die Verbindungen zwi­ schen den beiden Halbleiterkörpern und den Leitern C9, C10 und C11 auf den Epoxydharzplatten dar. Sie werden an einem Ende durch die Polyvinylscheibe C1 auf der den Halbleiterkörpern ab­ gewandten Seiten gehalten. Eine Ausführungsmöglichkeit der Ver­ bindungsleitungen des Informationsträgers mit einer externen Bearbeitungseinrichtung ist in der französischen Patentanmel­ dung Nr. 75 40 361 beschrieben.

Die Fig. 4A zeigt ein Organisationsschema des Informations­ inhaltes eines Informationsträgers gemäß der Erfindung. Um den Informationsträger für alle Anwendungen geeignet zu machen, sind zwei Typen der Organisation des Speichers des Mikropro­ zessors vorgesehen.

Die erste Organisation entspricht der räumlichen (physischen) Organisation des Speichers. Sie ist allein dem Mikroprozessor bekannt.

Die zweite Organisation entspricht der logischen Organisation des Speichers und stimmt mit den Erfordernissen des Betriebs­ ablaufes des Informationsträgers überein.

Der Mikroprozessor übernimmt die Durchführung der Entsprechungen zwischen den beiden Organisationstypen.

Der physische Speicher umfaßt im Betrieb normal drei Teile.

Der Teil 0 beginnt mit der Adresse ADO und endet mit der Adresse ADT-1. Er entspricht dem Geheimteil des Speichers für welchen alle Schreib- und alle externen Leseoperationen verboten sind und wo allein ein internes Lesen/Schreiben zugelassen ist.

Der Teil 1 beginnt mit der Adresse ADT und endet mit der Adresse ADL-1. Er umfaßt den Arbeitsspeicher für den Mikroprozessor und alle internen oder externe Schreib- und Leseoperationen sind zugelassen.

Der Teil 2 beginnt mit der Adresse ADL und endet mit der Adresse ADF. In diesem Teil des Speichers ist ein externes und internes Schreiben verboten, ein externes oder internes Lesen aber zu­ gelassen.

Der logische Speicher ist in einen Ausführungs- und einen Be­ dienungsspeicher unterteilt.

Im Gebrauch soll der Informationsträger bei seiner Ausgabe Informationen enthalten, die eine Identifizierung erlauben. Diese Informationen sind in dem Ausführungsspeicher enthal­ ten. Sie werden in mehreren Zonen organisiert, die bei der Adresse ADF beginnen und den Hersteller des Informations­ trägers zu identifizieren erlauben. Die Zonen enthalten seine Seriennummer und eine Zone LOCKF für die Gültigkeit des Inhaltes des Ausführungsspeichers, um das Schreiben im Inneren freizugeben. Die Zone LOCKF kann z. B. auf zwei Bits ausgelegt werden. Hierbei kann der folgende Code verwendet werden. Wenn LOCKF = 11, ist alles Schreiben und Lesen im Inneren der Zone des Ausführungsspeichers möglich. Wenn dage­ gen LOCK ≠ 11 ist, wird der Inhalt der Ausführungszone für gültig erklärt, und alle Schreiboperationen werden untersagt.

Der Ausführungsspeicher, ist ausgelegt für die Verwendung, die ein Anwender des Informationsträgers bezweckt. Jedoch ist un­ abhängig von der vorgesehenen Anwendung dieser Speicher selbst in zwei Teile unterteilt, von denen der eine als Definitions­ speicher und der andere als Anwendungsspeicher verwendet wird. Die Größen dieser Zonen hängen natürlich von der betrachteten Verwendung ab. Der Definitionsspeicher beginnt mit der Adresse ADO. Er umfaßt:

• - eine Zone LOCK mit mehreren Bits, welche externe Zugänge zu dem Definitionsspeicher untersagen und seinen Inhalt für gültig erklären,
• - eine Zone PARAM, deren Länge von dem Typ des Informations­ trägers abhängt und welche die notwendigen Parameter zum Betrieb des Informationsträgers enthält, sowie
• - eine Zone TYPE zum Bestimmen der Funktion des Informations­ trägers, z. B. eine Restaurantrechnung, ein elektronischer Stempel, ein Zugangsschlüssel für Hotels, eine Speicherfiche usw.

Der Anwendungsspeicher wird durch die übrigen Zonen gebildet. Er ist verwendbar als üblicher Speicher, jedoch die Zugriffs­ bedingungen zu Teilen des physischen Speichers müssen respek­ tiert werden. Folglich können bei irgendeinem Gebrauch zum Empfang des Informationsträgers gemäß der Erfindung geheime In­ formationen immer nur im Teil 0 die Informationen, welche gelesen werden dürfen, allein im Teil 2 und die zu speichern­ den Informationen im Verlauf der normalen Bearbeitung des Informationsträgers nur im Teil 1 lokalisiert werden. Das verwendete Format für die zu speichernden logischen In­ formationen in dem Anwendungsspeicher kann natürlich beliebig gewählt werden.

Im folgenden wird ein Beispiel eines Ausschnitts des logischen Speichers im Rahmen einer Anwendung mit Geldverrechnung in Ver­ bindung mit der Fig. 4B gegeben.

In diesem Fall wird zum Zugriff des Informationsträgers die Anwesenheit von mindestens zwei Schlüsseln benötigt. Wenn es sich um Bankgeschäfte handelt, muß ein Schlüssel Nr. 1 die Bank und ein Schlüssel Nr. 2 den Kunden identifizieren. Der Definitionsspeicher enthält darin eine Zone mit einem Code zur Bezeichnung des Geldgeschäftes des Informationsträgers. Eine Zone PARAM enthält:
die Zone LOCK mit 2 Bits; wenn LOCK = 11 ist der Zugriff zum Schreiben in allen Teilen des Speichers nur erlaubt, wenn der Schlüssel 1 anwesend ist. Wenn LOCK verschieden von 11 ist, ist der Inhalt der Teile 0 und 2 des physischen Speichers gültig, der Zugriff zum Teil 0 und das Schreiben im Teil 2 des physischen Speichers ohne den Schlüssel Nr. 2 sind verboten. Um die Karte zu kreditieren,ist der Schlüssel Nr. 1 notwendig, wenn LOCK verschieden ist von 11, und der Inhalt des De­ finitionsspeichers ist gültig.

Die Zone LP enthält zwei Bits.

Wenn LP = 11, ist das Lesen nicht geschützt. Es ist erlaubt in den Teilen 1 und 2 ohne Schlüssel (Zugriffspeicher nicht existent).

Wenn LP ≠ 11, dann ist das Lesen geschützt und ein Schlüssel ist obligatorisch zum Lesen der Teile 1 und 2. Dies ist der Fall bei den meisten Bankoperationen. (Alle Lesevorgänge werden notwendigerweise von einem Zugriffsbit entsprechend einem Fehler­ bit begleitet, um eine symmetrische Funktion im Betrieb des Informationsträgers zu erhalten).

Die Zone EP enthält 2 Bits.

Wenn EP = 11 ist das Schreiben nicht gesichert. In diesem Fall wird der Speicher wie Speichermittel ohne Sicherung ver­ wendet. Dieser Fall ist z. B. dann gegeben, wenn der Speicher leer ist vor der Ausgabe des Informationsträgers.

Wenn EP verschieden von 11 ist, ist ein Schlüssel notwendig zum Schreiben in dem Teil 1 des physischen Speichers.

Der Anwendungsspeicher ist zusammengesetzt aus dem Identifi­ kationsspeicher und dem Finanzspeicher. Die Informationen des Identifikationsspeichers setzen sich zusammen aus den Teilen 0 und 2. Der Identifikationsspeicher im Teil 0 setzt sich im wesentlichen zusammen aus einem Fehlerspeicher und einem Zu­ griffsspeicher. Der Fehlerspeicher speichert ein Fehlerbit jedesmal aufgrund einer Funktion im Informationsträger, wel­ che durch einen falschen Schlüssel ausgelöst wird. Die Fehlerspeicher werden mit steigenden Adressen von der Adresse ADE eingeschrieben. Wenn die Überlaufzone DEBE beschrieben wird, wird der Informationsträger ungültig.

Der Zugriffsspeicher exitiert nur,wenn das Lesen des Informa­ tionsträgers gesichert wird ist (LP ≠ 11), was in vielen Bankanwendungsfällen der Fall ist. Mit jedem Lesen, welches von einem richtigen Schlüssel begleitet wird, schreibt der Mikroprozessor ein Zugriffsbit wie erwähnt. Zugriffsbits wer­ den von der Adresse ADA angeschrieben. Wenn die Zone DEBA angefüllt ist, wird der Informationsträger ungültig und kein Lesevorgang kann mehr erfolgen.

Der Identifikationsspeicher kann darüberhinaus folgende Zonen enthalten.

Eine Zone "Schlüssel", welche anzeigt, daß die Karte voll ist und keinerlei Schreiben möglich ist.

Eine Zone "Schlüssel", welche den Code des Bankschlüssels und denjenigen des Kunden aufweist. Der Schlüssel Nr. 1 ist z. B. der Bank zugeordnet, während der Schlüssel Nr. 2 Kunden zuge­ ordnet ist.

Eine Zone VALC 1 erlaubt die Gültigkeit des Schlüssels Nr. 1 zu definieren; wenn VALC 1 ≠ 11 ist, ist der Schlüssel gültig.

Eine Zone VALC 2 erlaubt die Gültigkeit des Schlüssels Nr. 2 zu definieren; wenn VALC 2 ≠ 11 ist, ist dieser Schlüssel gültig.

In dem Fall, wo LOCK verschieden ist von 11, erlaubt der Schlüssel Nr. 1 allein das Schreiben von allen Informationen, wodurch allein die Kaufkapazität des Informationsträgers ver­ mehrt wird, vorzugsweise in Form eines Kredites. Dagegen wird der Schlüssel Nr. 2 durch den Eigentümer des Informations­ trägers zum Gültigmachen der Debitoperationen (Lesen und zugelassenes Schreiben) verwendet.

Der Identifikationsspeicher im Teil 2 des physischen Speichers beginnt unmittelbar vor dem Definitionsspeicher (Zone Type) im Sinne abnehmender Adressen. Diese Zone von variabler Länge erlaubt das Speichern von Informationen in dauerhafter Weise. Sie enthält:

• - eine Adressenzone enthaltend den Punkt ADT, welcher die Anfangsadresse der Arbeitszone darstellt, und den Punkt ADL, mit der Adresse der Lesezone,
• - eine Zone RIB entsprechend der Aufnahme der Bankidentität und der ausgesendeten Daten des Informationsträgers,
• - eine Zone NOM entsprechend dem Namen des Inhabers der Speicherkarte,
• - eine Zone "Betrag" mit n Bits,
• - eine Einheitszone "U₁", welche in Verbindung mit der Betragszone den Ausgangsbetrag der Speicherkarte zu erkennen erlaubt.

Beispielsweise, wenn die Einheitszone für 500 Francs gilt, kann der Ausgangswert, welcher auf dem Informationsträger enthalten ist dem Betrag von (2ⁿ-1) × 500 Francs betragen.

Der Finanzspeicher ist in eine Arbeitszone im Teil 1 des physischen Speichers zwischen den Adressen ADT und ADL einge­ fügt. Die Belastungen werden direkt eingeschrieben vom An­ fang der Adresse ADT an mit steigenden Adressen. Die Kredite werden von der Adresse ADL an eingeschrieben mit fallenden Adressen, so daß die Belastungen und Kredite den Speicher in entgegengesetzter Richtung auffüllen.

Die Fig. 5 zeigt in ausführlicherer Darstellung die in den Fig. 1 und 2 angedeuteten Schaltkreise. Die ankommenden und abgehenden Informationen in Form von Binärinformationen erscheinen an der Klemme 6 des Informationsträgers. Sie gelangen in den Informationsträger über die Torschaltung 25 und werden in dem Schieberegister T 24 gespeichert. Die Torschaltung 25 wird durch ein Signal über die Leitung 36 gesteuert, welche diese Torschaltung mit der Steuerlogik 16 verbindet. Die In­ formationen verlassen den Informationsträger über die Torschal­ tung 26, welche ebenfalls von der Steuerlogik 16 über die Lei­ tung 36 gesteuert wird. Die in dem Register T 24 enthaltene Information dient unmittelbar danach als erster Operand für die eine arithmetische/logische Operation, welche in der Arithmetik- Logik-Einheit 23 durchgeführt wird, welche durch das von der Steuerlogik 16 über die Verbindung 37 ausgesendete Steuersignal gesteuert wird. Der zweite Operand wird einem der Register A, B, C, D der Bankenregister 19 entnommen, welches durch den Adressenauswahlkreis 22 adressiert wird, welcher seinerseits durch die Steuerlogik 16 über die Leitung 29 gesteuert ist. Das Ergebnis der durch die Arithmetik-Logik-Einheit durchgeführten Operation wird einerseits zum Register A des Bankenregisters 19 und andererseits der Klemme 6 des Informationsträgers über die Torschaltung 26 zugeführt. Die Register A, B, C, D können bei Beginn von den Daten- und Adressenbusleitungen 34 über die Ver­ bindung 41 unter der Steuerung der Logikeinheit 16 über die Ver­ bindung 46 geladen werden. Die Busleitungen 34 sind außerdem über eine Hin- und Rückverbindung 33 mit dem Schieberegister 24 ver­ bunden, welches dadurch auf seinen parallelen Eingangs-/Ausgangs­ leitungen geladen oder gelesen werden kann. Die Logiksteuerung 16 gibt die adressierten Mikroinstruktionen über den Adressense­ lektor PC13 in den Steuerspeicher 20 vom Typ eines ROM-Speichers und die gelesenen in das Register RM14 über die Verbindung 48.

Der Speicher 21 ist ein nichtflüchtiger programmierbarer Spei­ cher. Er wird adressiert über das Adressenregister 11, das seine Informationen über die Busleitungen 34 und die Verbindung 3 er­ hält. Das Adressenregister 11 markiert die Informationsworte in dem Speicher 21.

Das Adressenregister wird durch das auf der Leitung 38 von der Steuerlogik 16 ausgesendete Steuersignal gesteuert. Die in dem Register 11 enthaltene Adresse kann automatisch durch dem Informationsträger über die Klemme 5 zugeführte Taktimpulse unter der Kontrolle der Steuerlogik 16 weiter- oder zurückge­ schaltet werden. Die im Speicher 21 gelesenen Informationen werden über die Busleitungen 34 unter Zwischenschaltung des Datenregisters 12 und unter Steuerung durch die Steuerlogik 16 über die Verbindungsleitung 42 übertragen. Alle diese einzelnen getrennt in der Fig. 5 aufgeführten Elemente sind für den Fachmann ganz allgemein bekannt und es erübrigt sich daher sie in weiteren Details zu beschreiben.

Unter Berücksichtigung der vorgesehenen Anwendungsmöglichkeiten können die Funktionen der in der Fig. 5 dargestellten Einrich­ tung wie folgt zusammengefaßt werden:

• - Lesen und sequentielles Schreiben im Speicher 21 in frei­ gegebene Zonen von einer gegebenen Adresse an,
• - Ermittlung und Kontrolle eines Inhaberschlüssels durch Ver­ gleich mit einem von außen unzugänglichen Wort auf dem Informationsträger und Einschreiben in eine geheime Zone des Anwendungsspeichers,
• - Freigabe oder Untersagen von Lesen und Schreiben,
• - systematische Selbstkontrolle des Schreibens in dem Speicher,
• - Steuerung der internen Speicherung der Fehler und/oder der Zugriffserfolge,
• - Außer-Funktion-Setzen der vorerwähnten Funktionen durch eine feste Fehleranzahl im Teil 0.

Die Fig. 6 und 7 zeigen die Arbeitsweise des Lesespeichers. In dem Diagramm nach Fig. 5 löst das Signal RAZ die Steuerlogik 16 aus, welche die Übertragung der über die Leitung 1/0 anliegen­ den Mitteilung in das Register T auslöst.

Der Lesebefehl bildet sich in Form eines Signals SYNC, welches der Codeoperation CODOP und den Adressenbits AD vorangeht. Die verwendeten Codes sind natürlich für jede einzelne Anwendung zu definieren.

Der Befehl CODOP und die Adresse werden über die Verarbeitungs­ einheit empfangen, welche durch einen Test auf das Wort CODOP und die Bits LP hin erkennen soll, ob es sich um eine Lese­ operation handelt und ob das Lesen gesichert oder einfach erlaubt ist. In dem Diagramm nach Fig. 6 ist die Erfassung der Mitteilung CODOP + AD dargestellt als Schritt 501 und der Test durch die Schritte 503 und 504. Wenn es sich um eine nicht geschützte Leseoperation handelt, wird das Register 11 in Fig. 5 mit dem Schritt 510 durch das Adressenwort geladen, welches die Übertragung von CODOP über die Leitung 1/0 beglei­ tet. Dann werden mit dem Schritt 511 Teste durchgeführt zum Erkennen, ob die Leseadresse richtig für die angesprochene Speicherzone ist. Im einzelnen wird das in dem Programmspeicher 20 eingeschriebene Mikroprogramm darauf geprüft, ob das emp­ fangene Adressenwort größer als die Adresse AD ist, da nur dann ein externes Lesen in den Teilen 1 und 2 des physischen Speichers zugelassen ist. Wenn die Adresse größer, ist als die Adresse ADT, werden die Daten dann in dem Speicher 21 gelesen und in das Register 12 eingegeben zur weiteren Übertragung über die Busleitungen 34 auf die Leitung 1/0 des Ausgangs. Das Adressenregister wird dann um eine Einheit erhöht oder erniedrigt gemäß dem Inhalt des Codes CODOP über eine Rück­ schleife des Mikroprogramms F mit dem Schritt 510. Wenn die Adresse AD kleiner ist als die Adresse ADT (Adresse im Teil 0) wird das Adressenregister 11 um eine Einheit erhöht, bis sein Inhalt den Wert ADT erreicht. Auf diese Weise kann der ganze Speicher mit Ausnahme des Teiles 0 durch einen mit dem Infor­ mationsträger verbundenen Apparat mit wachsenden oder abneh­ menden Adressen gelesen werden.

Wenn das Lesen gesichert ist, müssen die in "CODOP" und den Bits LP durchgeführten Teste übereinstimmen und in diesem Fall ist die Erfassung von einem Schlüssel im Schritt 506 notwendig. Im Fall einer Anwendung, wo zwei Schlüssel notwendig sind, spezifiziert der Inhalt des Codes CODOP die Art des Schlüssels, welcher verwendet werden soll und für den die Leseoperation realisiert werden kann. Der auf der Leitung 1/0 empfangene Schlüssel wird dann verglichen mit einem der beiden in dem Identifikationsspeicher enthaltenen Schlüssel. Sofern eine Koinzidenz vorhanden ist, wird der Schlüssel als gut übertragen und ein Bit wird in dem Zugriffspeicher (Schritt 507) einge­ schrieben, eine Steuerung zum Schreiben dieses Bits wird dann abgegeben von dem Schritt 508. Eine Rückmeldung an den Schritt 507 ist notwendig, wenn das Bit nicht geschrieben wird. Sobald das Schreiben erfolgt ist, werden Tests im Bereich DEBAC auf Fehler und Füllgrad in dem Schritt 509 durchgeführt, um zu erkennen, ob der Informationsträger weiterhin gültig ist. In dem Fall, wo der Informationsträger nicht gültig war, wird eine Aussendung eines Codes 000 über die Leitung 1/0 durch­ geführt. Wenn der Träger durch das Mikroprogramm erkannt wird, wird die Adresse AD in das Adressenregister 1 einge­ geben, und die Schritte 510 bis 513 werden durchgeführt.

Im Fall, wo mit dem Schritt 506 der empfangene Schlüssel auf der Leitung 1/0 sich als falsch erweist, wird ein Fehlerbit in dem Fehlerspeicher gespeichert (Schritt 514). Wenn das Fehlerbit eingeschrieben ist, findet ein Test mit dem Schritt 515 zum Erkennen statt, ob die Zahl der registrierten Fehler nicht über der Zahl N der zugelassenen Fehler liegt. Wenn die Zahl unterhalb liegt, wird die Information FFF über die Leitung 1/0 gesendet. Wenn sie darüber liegt, wird die Infor­ mation 000 über die Leitung 1/0 gesendet, und der Informa­ tionsträger wird ungültig.

Durch den beschriebenen Leseprozeß im Informationsträger er­ sieht man, daß der Anwender immer die gleiche Funktion des Informationsträgers auslöst, und zwar gleichgültig, ob die Eingabe des Zugriffsschlüssels richtig oder falsch ist. An­ dererseits wirkt sich das Schreiben von einem Zugriffsbit oder von einem Fehlerbit in dem Speicher in beiden Fällen der Eingabe eines richtigen oder falschen Schlüssels durch den gleichen Stromverbrauch im Informationsträger gleich aus, mit der Folge, daß ein Betrüger, welcher die Stromstärke an der Karte kontrollieren würde, immer denselben konstanten Stromverbrauch feststellen müßte, gleichgültig, ob der ver­ wendete Schlüssel richtig oder falsch war.

Die Fig. 8 und 9 zeigen die Arbeitsweise des Informationsträ­ gers beim Einschreiben in den Speicher. In dem Diagramm nach Fig. 8 löst das Signal RAZ die Steuerlogik 16 und die Über­ tragung in das Register 24 der auf der Leitung 1/0 anliegenden Informationen aus. Der Schreibbefehl wird dargestellt in der Form eines Signals SYNC, welches einem Arbeitscode "CODOP" vorangeht, welchem Adressen-Daten-Bits und ein Schlüssel folgen, wenn das Schreiben gesichert ist. Das Signal VP wird dann über­ tragen, um das Schreiben von Daten in dem Speicher 21 des In­ formationsträgers zu erlauben. Damit der Verwender die Sicher­ heit hat, daß die auf der Leitung 1/0 übertragene Information richtig in den Informationsträger eingeschrieben wurde, werden die in dem Speicher eingeschriebenen Daten auf der Leitung 1/0 zurückübertragen und wiedergegeben zur Überprüfung durch den Anwen­ der. Der Code "CODOP" ist natürlich spezifisch für die jeweilige Anwendung. Im Ablaufdiagramm nach Fig. 9 werden die Befehle CODOP und die Adresse AD, welche von einem Schlüssel ergänzt werden kann oder nicht, durch den Informationsträger durch einen Test erkannt, welcher in den Schritt 702 und 703 durchge­ führt wird. Mit dem Schritt 704 wird ein Gültigkeitstest des Informationsträgers durchgeführt in den Zonen DEBE, DEBAC und PLEIN. Wenn der Informationsträger als gültig erkannt wird, erfolgt die Eingabe der Daten mit dem Schritt 70,5.

Wenn sich ergibt, daß das Schreiben gesichert ist, ist für die Verwendung ein Schlüssel notwendig und ein Test des Schlüssels wird durchgeführt im Schritt 707. Wenn der Schlüssel falsch ist, wird ein Fehlerbit in den Fehlerspeicher einge­ schrieben (Schritt 708) und dann ein Test durchgeführt mit dem Schritt 709 zum Erkennen, ob ein Überlauf der Fehlerzone er­ folgt ist oder nicht im Falle eines Überlaufes sendet der Informationsträger über die Leitung 1/0 den Code 000 aus, der anzeigt, daß die Karte ungültig ist (Schritt 710). Im Falle, daß kein Überlauf stattfindet, sendet der Informationsträger die Mitteilung FFF auf der Leitung 1/0 (Schritt 711) aus, wo­ mit angezeigt wird, daß die Daten nicht geschrieben werden können. Wenn der Schlüssel in Ordnung ist, wird ein Gültigkeits­ bit gespeichert mit dem Schritt 712 und die Adresse empfangen und in das Adressenregister 11 mit dem Schritt 713 geladen. Anschließend erfolgt eine Kontrolle mit dem Schritt 714 zur Klärung, ob die empfangene Adresse innerhalb des zugelassenen Bereiches des physischen Speichers liegt, d. h. zwischen den Adressen ADL und ADT. Wenn das nicht der Fall ist, wird der Code FFF ausgesendet über die Leitung 1/0 (Schritt 711), um anzuzeigen, daß die Daten nicht in den Speicher eingeschrie­ ben werden können. Wenn die Adresse zugelassen ist, werden die über die Leitung 1/0 empfangenen Daten in das Register 12 zum Einschreiben in den Teil 1 des Speichers 21 übertragen (Schritt 715).

Anschließend findet eine Klärung in den Schritten 716, 717 und 718 statt, um zu überprüfen, ob die in den Speicher ge­ schriebenen Daten richtig sind. Ein Gültigkeitsbit wird im Schritt 719 in dem Speicher einmal eingeschrieben, damit die Daten geschrieben werden, bis die geschriebenen Daten dann im Schritt 720 über die Leitung 1/0 zurückübertragen wer­ den.

Obgleich die Erfindung vorstehend anhand der Zeichnungen nur hinsichtlich einiger notwendigen Charakteristiken beschrieben wurde, wie sie für eine bevorzugte Ausführungsform vorzusehen sind, ist es für den Fachmann offensichtlich, daß er alle Modifi­ kationen entsprechend dem Anwendungsfall durchführen kann, ohne den Rahmen der offenbarten Erfindung zu verlassen.

Claims (7)

1. Verfahren zum Betreiben eines mit einem Mikroprozessor und wenigstens einem programmierbaren ROM-Speicher versehe­ nen Informationsträgers in Verbindung nach außen, mit den Schritten:

• - Empfangen eines von außen gelieferten Operationscodes "Codop" in dem Datenträger;
• - Überprüfen des Wortes "Codop" durch die Datenverarbeitung des Mikroprozessors und anhand einer in einer Zone des programmierbaren ROM-Speichers gespeicherten Information, um festzustellen, ob die betreffende Operation gesichert oder einfach erlaubt ist; und
• - Ausführen der Operation entsprechend dem Ergebnis der Überprüfung.

2. Verfahren nach Anspruch 1, bei dem das Ausführen der Ope­ ration in dem Fall, daß diese gesichert ist, die folgenden Schritte enthält:

• - Empfangen eines Schlüssels von der I/O-Leitung und Ver­ gleichen des empfangenen Schlüssels mit einem in einer geheimen Zone des Speichers enthaltenen Schlüssel;
• - Ausführen der nachgesuchten Operation, wenn der Vergleich zeigt, daß der übermittelte Schlüssel korrekt war.

3. Verfahren nach Anspruch 1 oder 2, bei dem durch den Mi­ kroprozessor beim Feststellen der Art der von außen nach­ gesuchten Operation und beim Ausführen des in einem ROM- Steuerspeicher enthaltenen Programms überprüft wird, ob das empfangene Adreßwort zwischen vorbestimmten Werten (ADT, ADL) liegt.

4. Verfahren nach Anspruch 1 oder 2, bei dem die Operation eine Leseoperation ist und nach dem Ausführen der Leseope­ ration eine zweite Überprüfung erfolgt, bei der überprüft wird, ob der Datenträger noch gültig ist, und bei dem auf der I/O-Leitung eine Nachricht (FFF oder 000) entsprechend dem Ergebnis der zweiten Überprüfung übertragen wird.

5. Verfahren nach einem der Ansprüche 1 bis 3, bei dem die Operation eine Schreiboperation ist und bei dem eine Lese­ operation sowie eine darauffolgende Operation einer Über­ tragung nach außen ausgeführt werden, sobald die Schreib­ operation ausgeführt wurde.

6. Verfahren nach einem der Ansprüche 1 bis 5, mit dem Schritt:

• - Empfangen eines Signals "SYNC" in dem Datenträger.

7. Verfahren nach Anspruch 6, bei dem der Operationscode dem Signal "SYNC" folgt und Adressenbits "AD" enthält.