DE3704814A1 - Karte mit integrierter schaltung - Google Patents

Description

Die Erfindung befaßt sich mit dem Einkaufen auf elektroni­ schem Wege, mit elektronischen Scheckbüchern, Kreditkarten u.ä. und betrifft insbesondere eine IC-Karte, die eine Da­ tenänderung, -fälschung u.ä. unter den Händlern verhindern kann.

Eine IC-Karte, die aus einer Kunststoffkarte besteht, in die ein IC, d.h. eine integrierte Schaltung eingebettet ist, soll eine einzelne Person identifizieren, eine Fälschung erschweren und eine große Speicherkapazität haben und findet ihre Anwendung bei der elektronischen Abrechnung, bei Per­ sonalinformationskarteien, der Sicherheitskontrolle u.ä.

Wenn eine Person in Supermärkten oder Warenhäusern unter Ver­ wendung einer einzelnen IC-Karte einkauft, ist es vom Stand­ punkt der Beibehaltung der Vertraulichkeit wünschenswert, daß eine Liste von Käufen in einem Geschäft nicht in anderen Geschäften gelesen werden kann, in denen der Kunde andere Käufe tätigt. Zu diesem Zweck sollte die IC-Karte mit Trans­ aktionsbereichen versehen sein, die in Abhängigkeit von den Geschäften verschieden sind, so daß ein Geschäft keinen Be­ zug auf die Transaktionen von anderen Geschäften nehmen kann.

Bisher besteht eine erste Schwierigkeit darin, daß es weder ein Verfahren zum Schützen einer Vielzahl von Transaktions­ bereichen in derselben IC-Karte über verschiedene Verschlüs­ selungsbegriffe noch ein dazu geeignetes Schlüsselsteuerver­ fahren gibt. Unter den öffentlichen Verschlüsselungssystemen gibt es andererseits beim RAS-Verfahren und beim Rabin-Ver­ fahren einen Hauptschlüssel. Unter Verwendung des Haupt­ schlüssels kann die oben erwähnte Schlüsselsteuerung wirksam ausgeführt werden.

Eine zweite Schwierigkeit besteht bisher darin, daß die Fälschung der IC-Karte und die Änderung oder Fälschung von Daten in der Karte nicht berücksichtigt wurden.

Eine dritte Schwierigkeit besteht darin, daß die herkömm­ liche IC-Karte unter der Voraussetzung hergestellt wurde, daß sie von einer einzelnen Person benutzt wird (siehe Nikkei Computer "Will the Age of IC Card will Come?", 8. Juli 1985). Gesundheitsdaten, Vermögensdaten und ähnli­ che Daten können der IC-Karte eingegeben werden, um diese zu benutzen. Zusätzlich zu dem Fall, in dem der Benutzer selbst die Personenidentifizierungsnummer eingibt, um die gewünschten Daten zu erhalten, kommt es jedoch auch oft vor, daß ein Arzt oder ein Bankangestellter eine andere Personen­ identifizierungsnummer eingibt, um alle gewünschten Daten oder einen Teil der gewünschten Daten, beispielsweise in einem Notfall, zu entnehmen.

Durch die Erfindung soll eine IC-Karte geschaffen werden, die die Daten der Transaktionsbereiche in der IC-Karte schützen kann.

Die erfindungsgemäße IC-Karte soll es insbesondere möglich machen, eine Fälschung der Karte oder eine Fälschung oder Änderung der Daten in der Karte, beispielsweise einer bargeld­ losen Einkaufskreditkarte festzustellen.

Die erfindungsgemäße IC-Karte soll es schließlich dem Be­ nutzer der Karte erlauben, die Daten zu entnehmen und es gleichfalls nur einem begrenzten Personenkreis möglich ma­ chen, im Notfall Daten zu entnehmen.

Dazu wird gemäß der Erfindung beim Einschreiben der Daten an den Transaktionsbereichen der IC-Karte oder beim Lesen der Daten von diesen Transaktionsbereichen der folgende Ar­ beitsablauf ausgeführt.

(i) Der IC-Karten-Herausgeber oder -Verwalter bereitet vor­ her Gruppen von Verschlüsselungs- und Entschlüsselungsbe­ griffen in der Anzahl der Transaktionsbereiche vor, die ge­ heimgehalten werden, und bildet einen Hauptentschlüsselungs­ begriff für alle Entschlüsselungsbegriffe.

(ii) Der Kartenverwalter- oder -herausgeber ordnet einen Verschlüsselungsbegriff und einen Entschlüsselungsbegriff jedem Transaktionsbereich zu, schreibt einen oberen ver­ fügbaren Geldbetrag und den Verschlüsselungsbegriff oder den Entschlüsselungsbegriff an einem Teil des Transaktionsberei­ ches ein und verschlüsselt den obigen Transaktionsbereich unter Verwendung des Verschlüsselungsbegriffes.

(iii) Der IC-Kartenverwalter oder -herausgeber übergibt die IC- Karte dem Benutzer. Er händigt weiterhin den Verschlüsse­ lungsbegriff und den Entschlüsselungsbegriff den einzelnen Geschäften aus, so daß diese die Transaktionsbereiche ver­ und entschlüsseln können.

Aufgrund der oben beschriebenen Arbeitsvorgänge (i) bis (iii) haben die verschiedenen Geschäfte verschiedene Verschlüsse­ lungs- und Entschlüsselungsbegriffe. Ein gegebenes Geschäft kann daher nur die Transaktionsbereiche, die dem Entschlüsse­ lungs- und Verschlüsselungsbegriff entsprechen, die das Ge­ schäft hat, aus einer Vielzahl von Transaktionsbereichen ver­ arbeiten, die in der IC-Karte enthalten sind. Das macht es möglich, die Vertraulichkeit für den Benutzer zu schützen. Der IC-Karten-Herausgeber oder -Verwalter hält den Haupt­ entschlüsselungsbegriff, der willkürlich alle Transaktions­ bereiche der IC-Karte entschlüsseln kann, um deren Inhalt kennenzulernen. Der Hauptentschlüsselungsbegriff kann daher dann benutzt werden, wenn die einzelnen Entschlüsselungsbe­ griffe verlorengegangen sind. Der Hauptentschlüsselungsbe­ griff muß weiterhin nicht für die Transaktionen verwandt wer­ den, er kann sicher aufbewahrt werden.

Gemäß der Erfindung werden weiterhin die Daten in der Karte dadurch erfaßt, daß der Saldo und eine Datenänderungscodierung geprüft werden, um mit Änderungen oder Fälschungen der Daten fertigzuwerden. Die Datenänderung oder-fälschung in der Ge­ schäftstransaktionsdatei oder in der Banktransaktionsdatei wird weiterhin dadurch geprüft, daß die Datenänderungscodierung und die IC-Kartendaten gemischt und sortiert werden.

Eine Datenänderungsdetektorschaltung ähnelt im Prinzip dem Algorithmus einer Codefehlerdetektorschaltung und kann da­ durch verwirklicht werden, daß eine Verschlüsselungsvorrich­ tung verwandt wird und deren Ausgangsdaten zum Eingang rückgekoppelt werden.

Schließlich kann ein Mikroprozessor der IC-Karte auf der Grundlage der eingegebenen Personenidentifizierungsnummer (zusätzlich zu Nummern sind auch Codierungen akzeptabel) die Zulässigkeitsstufe festlegen und kann ein zugreifbarer Da­ tenbereich bestimmt werden, um die erlaubten Daten zu lie­ fern.

Im folgenden werden anhand der zugehörigen Zeichnung besonders bevorzugte Ausführungsbeispiele der Erfindung näher beschrie­ ben. Es zeigen

Fig. 1A und 1B in Blockschaltbildern den Aufbau eines ersten Ausführungsbeispiels der erfindungsgemäßen IC-Karte,

Fig. 2 das Flußdiagramm eines Arbeitsablaufes, wenn der Benutzer einen Kauf in einem Geschäft unter Verwen­ dung der IC-Karte tätigt,

Fig. 3 in einem Blockschaltbild den Aufbau eines zweiten Ausführungsbeispiels der erfindungsgemäßen IC-Karte während des Einkaufs,

Fig. 4 in einem Blockschaltbild den Aufbau der Datenände­ rungsdetektorschaltung in der IC-Karte,

Fig. 5 in einem Blockschaltbild den Aufbau eines dritten Ausführungsbeispiels der erfindungsgemäßen IC-Karte bei einem IC-Kartensystem für Gesundheitsdaten,

Fig. 6 in einem Diagramm den Datenaufbau in einem Festspei­ cher ROM und

Fig. 7 in einem Diagramm den Datenaufbau in einem EEROM.

Die Fig. 1A und 1B zeigen den Aufbau eines ersten Ausfüh­ rungsbeispiels der erfindungsgemäßen IC-Karte.

Eine derartige IC-Karte wird zunächst in der folgenden Weise vorbereitet.

Ein IC-Kartenherausgeber 101 bereitet Gruppen 102, 103, ... 106, 107 von Verschlüsselungsbegriffen und Entschlüsselungs­ begriffen sowie einen Hauptschlüssel 108 für die Entschlüsse­ lungsbegriffe 103 ... 107 vor und hält den Hauptschlüssel 108 geheim. Danach übergibt der IC-Kartenherausgeber 101 die Gruppen 102, 103 ... 106, 107 von Verschlüsselungs- und Ent­ schlüsselungsbegriffen den Geschäften 109 ... 111. Der IC- Kartenherausgeber schreibt weiterhin einen verfügbaren oberen Geldbetrag in die Transaktionsbereiche 122 ... 124. Der IC- Kartenherausgeber verschlüsselt dann die Gruppen 102, 103 ... 106, 107 der Verschlüsselungs- und Entschlüsselungsbegriffe mit dem Verschlüsselungsbegriff, der jeder der Karten ent­ spricht,/und schreibt jeweils eine Schlüsselbegriffgruppe in jeden Schlüsselbegriffspeicher 113 ... 115 der IC-Karte 125. Dann verschlüsselt er die Berechtigungscodierungen entspre­ chend den an jedem Transaktionsbereich eingeschriebenen Daten mit dem Verschlüsselungsbegriff, der jeder der Karten ent­ spricht, und schreibt diese Codierungen nieder. Der IC-Karten­ Herausgeber übergibt dann die IC-Karte 125 einem Benutzer 116.

Die Berechtigungscodierung bezieht sich dabei auf die Daten, die an den Transaktionsbereichen eingeschrieben sind, die komprimiert sind. Es wird beispielsweise von der Nachrich­ tenberechtigungscodierung MAC der US ANSI Bank Association Nachrichtenberechtigungsnorm (FIMAS) Gebrauch gemacht.

Über einen Eingabe/Ausgabeteil 112 werden Daten in einen Speicher 119 eingeschrieben und vom Speicher 119 gelesen, indem ein Prozessor 117 unter der Steuerung einer Software oder eines Programmpaketes 120 betrieben wird, das in einem Festspeicher 118 enthalten ist.

Fig. 2 zeigt ein Flußdiagramm für den Arbeitsablauf der IC-Karte, wenn der Benutzer 116 einen Kauf in einem Geschäft 109 tätigt.

201: Der Benutzer gibt seine Personenidentifikationsnummer über den Eingabe/Ausgabeteil in den Prozessor 117 ein.

202: Der Prozessor 117 entnimmt die Personenidentifikations­ nummer von einem geheimen Bereich 121 unter der Steuerung der Software 120.

203: Der Prozessor 117 erzeugt über den Eingabe/Ausgabe­ teil ein zustimmendes Signal "in Ordnung", wenn die Perso­ nenidentifizierungsnummer, die vom Benutzer 116 eingegeben wurde, mit der Personenidentifizierungsnummer übereinstimmt, die im geheimen Bereich enthalten ist, und erzeugt ein nega­ tives Signal "nein", wenn das nicht der Fall ist.

204: Wenn das negative Signal erzeugt wird, schreibt der Prozessor 117 keine Daten oder liest der Prozessor 117 keine Daten mehr, bis das positive Signal das nächstemal erzeugt wird.

205: Wenn das positive Signal erzeugt wird, erneuert das Geschäft 109 den Inhalt des Transaktionsbereiches 122 unter Verwendung des Verschlüsselungsbegriffes 102 und des Ent­ schlüsselungsbegriffes 103 in Abhängigkeit von dem was der Benutzer 116 gekauft hat.

Im folgenden wird im einzelnen beschrieben, wie der Inhalt des Transaktionsbereiches neu geschrieben wird. Der Ent­ schlüsselungsbegriff 103 wird nämlich in die IC-Karte 112 durch das Geschäft 109 eingegeben und die Daten im Schlüssel­ speicher 113 werden mit dem Entschlüsselungsbegriff 103 entschlüsselt. Dann wird bestätigt, ob die Berechtigungsco­ dierung, die in den entschlüsselten Daten enthalten ist, mit einer Berechtigungscodierung in Übereinstimmung steht, die aus den Daten des Transaktionsbereiches 122 berechnet wird. Nachdem diese Übereinstimmung bestätigt worden ist, werden der Transaktionsbereich 122 und die Berechtigungsco­ dierung in Abhängigkeit von dem Wert des Kaufes neu geschrie­ ben, woraufhin der Schlüsselspeicher 113 mit dem obigen Ver­ schlüsselungsbegriff verschlüsselt wird.

Wenn sich jedoch herausstellt, daß die Berechtigungscodie­ rungen nicht miteinander übereinstimmen, erzeugt die IC- Karte ein Signal, um das Geschäft 109 über diese Tatsache zu informieren, so daß das Geschäft 109 die notwendigen Maßnahmen ergreifen kann, um den Kauf zu unterbinden.

Im folgenden wird ein Beispiel eines Einkaufs unter Verwen­ dung eines zweiten Ausführungsbeispiels der erfindungsgemäßen IC-Karte beschrieben.

Bei diesem Beispiel eines Einkaufs könnte ein unlauteres Geschäft dadurch zustandekommen, daß die Daten in der Karte geändert werden, beispielsweise die Daten des Bargeld­ empfangs von einer Bank und die Daten über den Verkauf und den Kauf geändert werden.

Fig. 3 zeigt das Blockschaltbild einer IC-Karte, die diese Art eines unlauteren Geschäftes verhindert.

Die IC-Karte kann nicht auf den nächsten Arbeitsvorgang übergehen, es sei denn, daß der Benutzer der IC-Karte durch eine Misch- oder Sortierschaltung auf der Grundlage eines Kennwortes oder ähnlichem bestätigt wird. Eine Sicherheits­ codierung 2 ist in einen Festspeicher eingeschrieben, der nicht direkt von außen gelesen werden kann. Eine Kontonum­ mer 3 ist gleichfalls in den Festspeicher eingeschrieben. Eine Datenänderungsdetektorschaltung 4 bildet eine verschlüs­ selte Berechtigungscodierung, indem sie das Ausgangssignal einer Verschlüsselungsvorrichtung zu deren Eingangsseite rückkoppelt, wie es in Fig. 4 dargestellt ist. Wenn somit die Daten 61 ... 64, die zu authorisieren sind, geändert und als Daten 6 in Fig.4 eingegeben werden, pflanzen sich die Auswirkungen der Bits der geänderten Daten der Reihe nach nach vorne fort und wird eine Codierung 65 gebildet, die sich von der ursprünglichen Codierung unterscheidet. Die Tatsache einer Datenänderung wird daher festgestellt.

Eine Eingabe/Ausgabesteuerschaltung 5 ist eine Schnittstel­ lenschaltung zwischen der IC-Karte und den Terminals 30, 31 für die Karte. Eine Datei 6 betrifft die Eingabezeiten, die Terminal-Nummern, den Bargeldempfang und die Zahlungen, den Kontostand, die Datenänderungsfeststellungscodierung u.ä.

Um den Bargeldempfang auf die Karte zu schreiben,wird die Karte zunächst in ein Bankterminal 30 eingeführt und wird von der Tastatur aus ein Kennwort eingegeben. Das Kennwort wird über die Eingabesteuerschaltung 5 eingegeben und mit der Codierung in der Schaltung durch die Mischschaltung 1 gemischt, um sicherzustellen, daß es sich bei der eingeben­ den Person um eine Person handelt, die Besitzer der Karte ist. Wenn das Mischergebnis positiv ist, wird die Konto- Nummer der Eingabe/Ausgabesteuerschaltung 5 auf ein Signal von der Mischschaltung 1 ansprechend zugeführt. Eine Konto- Datei wird dann am Bankterminal geöffnet. Wenn Bargeldem­ pfangsdaten von der Tastatur der Karte eingegeben werden, wird eine Sicherheitscodierung am Terminal zusammen mit dem Bargeldempfang, der Zeit, dem Kontostand und der Terminal­ nummer eingegeben. In der Karte werden die Daten, die durch die Eingabesteuerschaltung hindurchgegangen sind, der Daten­ änderungsfeststellungsschaltung 4 zugeführt, die eine Daten­ änderungsfeststellungscodierung dadurch bildet, daß sie die Zeit, die Terminalnummer und den Bargeldempfang als Eingangs­ werte der Verschlüsselungsvorrichtung mit der Sicherheits­ codierung der Karte und der Sicherheitscodierung des Termi­ nals als Kennbegriffe liefert. Diese Daten werden in die Da­ tei 6 geschrieben und gleichzeitig in die Konto-Datei ge­ schrieben. Die Sicherheitscodierung des Terminals wird am Sicherheitscodierungsbereich 2 der Karte aufgezeichnet. Der Sicherheitscodierungsbereich ist dabei ein Speicherbereich, der mit einer Einrichtung zum Schützen der Daten in Form einer Hardware und einer Software versehen ist, so daß die Daten durch eine außenstehende Person nicht entnommen werden können und keine Daten von einer außenstehenden Person eingeschrie­ ben werden können.

Um in einem Geschäft einzukaufen, wird die Karte mit einem Einkaufsterminal 31 verbunden und wird ein Kennwort durch die Tastatur am Einkaufsterminal 31 eingegeben. Wenn das richtige Kennwort eingegeben wird, liest das Einkaufsterminal den Kontostand von der Karte. Nachdem der Kontostand geprüft ist, werden die Preise für die gekauften Waren über die Tasta­ tur am Terminal 31 eingegeben.Wenn die Bargeldzahlung, die Zeit, der Kontostand, die Einkaufsterminalnummer und die Sicherheitscodierung am Terminal eingegeben werden, wie es oben beschrieben wurde, empfängt die Datenänderungsfeststel­ lungsschaltung 4 in der Karte die Zeit 61, die Terminalnum­ mer 62, den Bargeldempfang und die Zahlung 63 und den Konto­ stand 64 als Eingangsdaten, um eine Datenänderungsfeststel­ lungscodierung 65 zusammen mit den Sicherheitscodierungen der Karte und des Terminals als Schlüsselbegriffe zu bilden. Diese Daten werden in die Datei 6 geschrieben und gleichzei­ tig über das Einkaufsterminal 31 zusammen mit der im Konto­ nummernfeld aufgezeichneten Kontonummer in die Geschäftstrans­ aktionsdatei 32 geschrieben.

Die Geschäftstransaktionsdatei 32 wird auf die Bank über­ tragen, für jede Kontonummer umgeordnet und in die Konto­ datei 33 geschrieben.

Wenn das Guthaben kleiner wird und der Benutzer erneut einen Bargeldempfang auf die Karte schreiben will, führt er die Karte in das Bankterminal 30 ein und gibt er das Kennwort ein. Wenn das Kennwort annehmbar ist, kann die Datei der Karte vom Bankterminal 30 ausgelesen werden. Das Bankterminal liest die Kontonummer von der Karte und öffnet eine Konto­ datei, in die bereits Daten vom Geschäft geschrieben worden sind. Eine lautere oder unlautere Behandlung wird daher da­ durch unterschieden, daß die Datei der Karte mit der Konto­ datei zusammen geführt wird und der Kontostand geprüft wird.

Wenn beide Aufzeichnungen richtig sind, werden die Aufzeich­ nungen von der Kartendatei gelöscht.

Wenn alle Aufzeichnungen annehmbar sind, überträgt die Bank die Geldmenge, die der Verbraucher im Geschäft ausgegeben hat. Der Kontostand wird in der Bank berechnet.

Um den Kontostand zu prüfen, werden Barauszahlungen 63 infolge jedes Einkaufs von dem Anfangskontostand der Kartendatei ab­ gezogen und wird das Ergebnis dieser Subtraktion mit dem Kon­ tostand 64 zusammengezählt.

Wenn die Aufzeichnungen nicht übereinstimmen, wird die Sicher­ heitscodierung am Terminal für jede der Aufzeichnungen von der Bankdatei auf der Grundlage der Terminalnummer 62 der Aufzeichnungen ausgelesen. Die Sicherheitscodierung und die Aufzeichnung werden dann der Karte eingegeben, um eine Daten­ änderungsfeststellungscodierung von der Karte zu erhalten. Um diese Codierung mit der Datenänderungsfeststellungscodie­ rung der vorhergehenden Aufzeichnung der Karte oder der Bank­ datei zusammen zu führen, wird darauf während der Prüfung der Feststellungscodierung Bezug genommen.

Es sei im folgenden angenommen, daß die Aufzeichnung nicht in Übereinstimmung steht, wobei der Inhalt der Aufzeichnung, der nicht in Übereinstimmung steht, die Zeit ist. In diesem Fall wird die Aufzeichnung der Zeit, die in Übereinstimmung mit irgendeiner der Aufzeichnungen steht, gefunden.

• a) Die IC-Karte enthält keine entsprechende Aufzeichnung und die Feststellungscodierungsprüfung der Bankaufzeichnung und die Prüfung des Kontostandes sind in Ordnung. In diesem Fall enthält die Karte keine Aufzeichnung und es wird davon aus­ gegangen, daß die Aufzeichnung von der IC-Karte gelöscht ist.
• b) Die IC-Karte enthält keine entsprechende Aufzeichnung und die Prüfung der Feststellungscodierung der Bankaufzeichnung ist nicht annehmbar. In diesem Fall wurde die Aufzeichnung auf der Seite der Bank zugegeben und es wird davon ausgegangen, daß die Aufzeichnung unberechtigt in die Bankdatei gegeben wurde.

Dieselben Feststellungen können auch dann getroffen werden, wenn auf der Seite der Bank keine entsprechenden Aufzeichnun­ gen vorhanden sind.

Wenn die Aufzeichnung nicht in Übereinstimmung steht, wobei der Inhalt der Aufzeichnung, der nicht in Übereinstimmung steht, die Terminalnummer und der Bargeldempfang und die Zahlungen sind, wird eine einwandfreie oder nicht einwand­ freie Behandlung dadurch bestimmt, daß jede Feststellungs­ codierung geprüft wird.

Wenn weiterhin die Aufzeichnung nicht in Übereinstimmung steht und der Inhalt der Kontostand ist, wird eine einwand­ freie oder nicht einwandfreie Behandlung dadurch bestimmt, daß jeder Kontostand geprüft wird.

Es ist auch erlaubt, statt der Zeitdaten Nummern wie bei­ spielsweise Seriennummern zu verwenden.

Bei dem oben beschriebenen Ausführungsbeispiel der Erfindung ist es möglich, Änderungen der Daten in der IC-Karte oder in der Bankdatei festzustellen.

Im folgenden wird ein drittes Ausführungsbeispiel der erfin­ dungsgemäßen IC-Karte anhand der Fig. 5 bis 7 beschrieben.

Fig. 5 zeigt in einem Diagramm schematisch den Aufbau eines IC-Kartensystems für Gesundheitsdaten, bei dem die IC-Karte 100 mit einem dafür vorgesehenen Terminal 200 über eine Schnitt­ stelle 290 verbunden ist, um die Funktionen der IC-Karte dar­ zustellen.

Die IC-Karte 100 besteht aus einem Mikroprozessor 120, einem Festspeicher ROM 110, einem programmierbaren Festspeicher PROM 130 und einem elektrisch löschbaren programmierbaren Fest­ speicher EEPROM 140, die über Signalleitungen 150 miteinander verbunden sind. Wenn die IC-Karte 100 über eine Signalleitung 160 mit dem Terminal 200 für die IC-Karte verbunden ist, wird das Programm im PROM 130 in den Mikroprozessor 120 geladen, so daß es benutzt werden kann.

Das Terminal 200 für die IC-Karte besteht aus einem Mikro­ computer 240, einer Tastatur 210 und einer Anzeige 220, die über Signalleitungen 170 miteinander verbunden sind. Der Mi­ krocomputer 240 ist weiterhin über eine Signalleitung 180, einen Modem 310, eine öffentliche Telefonleitung 320 und einen wei­ teren Modem 330 mit einem Datenverarbeitungszentrum 400 ver­ bunden. Das Datenverarbeitungszentrum 400 besteht aus einem Rechner oder Computer 410 und einer Datenbank 420.

Der Besitzer der IC-Karte 100 kann einen Arzt aufsuchen, der nicht sein Hausarzt ist, und seine Personenidentifizierungs­ nummer über die Tastatur 210 eingeben. Das Signal wird dann über den Mikrocomputer 240 auf der Seite des Terminals 200 dem Mikroprozessor 120 in der IC-Karte zugeführt. Der Mikro­ prozessor 120 führt über den Speicher ROM 110 einen Suchvor­ gang durch.

Der ROM 110 hat dabei den in Fig.6 dargestellten Datenaufbau. Der Datenaufbau besteht somit aus einer Personenidentifizie­ rungsnummer 111 des Besitzers der IC-Karte 100, einer Zuläs­ sigkeitsstufe 112 des Informationsbezuges des Besitzers, Zulassungscodierungen 113 der praktizierenden zugelassenen Ärzte, deren Personenidentifizierungsnummern 114, deren Zu­ lässigkeitsstufe 115 des Informationsbezuges, Berechtigungs­ codierungen 112 der Daten der zugelassenen Ärzte und einer Zulässigkeitsstufe 116 des Informationsbezugs für nicht zuge­ lassene Ärzte.

Wenn der Mikrocomputer 120, der einen Suchvorgang durch den Speicher ROM 110 ausführt, die Personenidentifizierungsnummer, die eingegeben wird, als übereinstimmend mit der Personeniden­ tifizierungsnummer 111 des Besitzers anzeigt, wird die Zuläs­ sigkeitsstufe 112 des Informationsbezuges ausgelesen. Es sei angenommen, daß es nur eine Stufe 1 gibt. Auf der Grundlage dieser Stufe liest der Mikroprozessor 120 die Datei im EEPROM 140.

Fig. 7 zeigt den Datenaufbau im EEPROM 140. Dabei sei an­ genommen, daß die Daten A 141, die mit der Stufe 1 und der Stufe 2 zugreifbar sind, die Daten B 142, die nur mit der Stufe 1 zugreifbar sind, im EEROM 140 enthalten sind. Beispielsweise enthalten die Daten A 141, die für die Diagnose und Therapie notwendigen Informationen wie beispielsweise die Blutgruppe, das Diagnoseergebnis einer medizinischen Unter­ suchung, die Krankengeschichte u.ä. Die Daten B 142 enthal­ ten Daten wie beispielsweise die familiären Verhältnisse u.ä. die keinen direkten Bezug auf die Diagnose und die Therapie haben, sowie diejenigen Daten, von denen der Besitzer der Karte nicht wünscht, daß andere Personen ohne seine Erlaub­ nis davon Kenntnis erhalten.

In diesem Fall wird die Stufe 1 durch den Mikroprozessor 120 gegeben, um einen Zugriff zu den Daten A 141 und zu den Daten B 142 zu ermöglichen. Die Daten werden nämlich vom Mikro­ prozessor 120 dem Mikrocomputer 240 für das Terminal zuge­ führt, einer Verarbeitung zur Anzeige unterworfen und an der Anzeigeeinheit 220 angezeigt. Die Daten werden auch für den Arzt angezeigt, um für die Diagnose und Therapie herangezogen zu werden. Ein Teil der Ergebnisse wird auch über die Tasta­ tur 210 eingegeben und in den Datenbereich A 141 oder den Datenbereich B 142 im EEPROM 140 über den Mikroprozessor 240 den Mikroprozessor 120 u.ä. geschrieben.

Es kann dabei vorkommen, daß der Besitzer der IC-Karte 100 bei einem Verkehrsunfall beispielsweise einer Notbehandlung bedarf, ohne in der Lage zu sein, selbst seine Personeniden­ tifizierungsnummer einzugeben. In diesem Fall gibt der Arzt seine Zulassungscodierung als praktizierender Mediziner und seine Personenidentifizierungsnummer über die Tastatur 210 ein. Das Eingabeergebnis liegt am Mikroprozessor 110 in der IC-Karte 100, und zwar über den Mikrocomputer 240. Der Mikro­ prozessor 120 bildet eine Berechtigungscodierung mit der Per­ sonenidentifizierungsnummer 114 als Schlüssel und mit den Daten des zugelassenen Arztes als Eingangsdaten, stellt sicher, ob die in dieser Weise gebildete Zulässigkeitsco­ dierung in Übereinstimmung mit der Zulässigkeitscodierung 117 steht, die in die Datei geschrieben ist, und vergleicht die Zulassungscodierung 113 des niedergelassenen Arztes und die Personenidentifizierungsnummer 114 des zugelassenen Arztes im ROM 110 mit der Zulassungscodierung und der Personeniden­ tifizierungsnummer, die eingegeben sind. Wenn diese Daten übereinstimmen, liest der Mikroprozessor 120 die Zulässig­ keitsstufe 115 des Informationsbezuges und die Daten, die dieser Zulässigkeitsstufe genügen, vom EEPROM 140. Das Er­ gebnis wird über den Mikroprozessor 120 und den Mikrocompu­ ter 240 an der Anzeigeeinheit 220 angezeigt.

Wenn die Zulassungscodierung des Arztes im entsprechenden ROM 110 gefunden wird, die Personenidentifizierungsnummer je­ doch nicht übereinstimmt, wird diese Tatsache an der Anzeige­ einheit 220 angezeigt und wird der Arbeitsvorgang abgeschlos­ sen.

Wenn sogar die Zulassungscodierung des niedergelassenen Arztes im ROM 110 nicht gefunden wird, werden die Zulassungscodie­ rung und die Personenidentifizierungsnummer, die vom Arzt eingegeben werden, dem Datenverarbeitungszentrum 400 zuge­ führt, wo der Computer 410 zusammenstellt, ob die Datenbank Daten enthält, die mit der Zulassungscodierung und der Per­ sonenidentifizierungsnummer übereinstimmen. Wenn das der Fall ist, wird eine geheime Codierung, die die Übereinstimmung an­ zeigt, der IC-Karte 100 über den Mikrocomputer 240 und ähnli­ ches zugeführt. Die IC-Karte 100 entnimmt die Daten in Abhän­ gigkeit von der Zulässigkeitsstufe 116 des Informationsbezu­ ges für nicht registrierte Ärzte und zeigt die Daten an der Anzeigeeinheit 220 an.

Wenn die Zulassungscodierung des Arztes oder die Personen­ identifizierungsnummer des Arztes, die eingegeben wird, nicht übereinstimmt, wird diese Tatsache an der Anzeigeein­ heit 220 angezeigt und wird der Arbeitsvorgang abgeschlossen.

Um eine zufällige Übereinstimmung zu vermeiden, die dann auftreten könnte, wenn Daten mehrfach eingegeben werden, ist es erlaubt, die Gegenmaßnahme vorzusehen, daß ein Zu­ griff nicht mehr möglich ist, wenn eine falsche Personen­ identifizierungsnummer mehr als M-mal eingegeben wird, wobei M eine bestimmte Zahl ist. Wenn ein Zugriff zum Datenverar­ beitungszentrum erfolgt, kann es weiterhin vorgesehen sein, die Zulassungscodierung des Arztes, die Daten und die Zeit und den Besitzer der Karte in der Datenbank des Datenverar­ beitungszentrums zur Datenerfassung zu belassen.

Im vorhergehenden wurden die Fälle beschrieben, bei denen getrennte Inhalte im Speicher ROM 110 und EEPROM 140 ge­ speichert sind. Die Inhalte können jedoch auch gemeinsam im EEPROM 140 gespeichert sein. Weiterhin kann ein Speicher mit direktem Zugriff RAM statt des EEPROM verwandt werden, vorausgesetzt, daß die Daten gespeichert sind, ohne gelöscht zu werden.

Die vorhergehenden Ausführungsbeispiele befaßten sich mit den Fällen, in denen zwei Zulässigkeitsstufen des Informa­ tionsbezuges vorhanden waren. Es versteht sich jedoch, daß auch drei oder mehr Zulässigkeitsstufen des Informations­ bezuges vorgesehen sein können.

Obwohl die obige Beschreibung sich weiterhin auf ein IC- Kartensystem für Gesundheitsdaten bezog, eignet sich die erfindungsgemäße Ausbildung auch bei einem IC-Kartensystem für Besitz- oder Vermögensdaten und bei ähnlichen Systemen, bei denen eine dritte qualifizierte Person gezwungen sein kann, auf die Daten in einem Notfall zuzugreifen.

Das erfindungsgemäße System, bei dem ein Bankinstitut die Rolle des IC-Kartenherausgebers spielt und eine IC-Karte für einen Benutzer ausgibt, so daß dieser in einer Vielzahl von Geschäften einkaufen kann, hat die folgenden Vorteile:

• 1) Schutz der Vertraulichkeit: Daten wie beispielsweise der Name des Händlers und der Geldbetrag werden mit Ver­ schlüsselungsbegriffen verschlüsselt, die für die jeweiligen Geschäfte verschieden sind, und auf die IC-Karte geschrieben. Das heißt, daß die Situation, in der die Karte in einem Ge­ schäft benutzt wurde, für die anderen Geschäfte geheim bleibt und die Vertraulichkeit für den Benutzer geschützt wird.
• 2) Leichte Schlüsselverwaltung: Der IC-Kartenverwalter, der einen Hauptentschlüsselungsbegriff für einen Benutzer hat, kann alle Daten in der IC-Karte entschlüsseln. Der IC-Karten­ verwalter benötigt einen geringeren Arbeitsaufwand für die Schlüsselverwaltung beim Begleichen der ausgegebenen Geld­ beträge, die in der IC-Karte aufgezeichnet sind.
• 3) Sicherheit der Schlüsselverwaltung: Der Hauptentschlüsse­ lungsbegriff wird nur vom IC-Kartenverwalter verwaltet und die Zahl der Zugriffe ist relativ klein. Der Hauptentschlüsse­ lungsbegriff kann daher sicher verwaltet werden. Wenn weiter­ hin ein Geschäft den Verschlüsselungsbegriff oder den Ent­ schlüsselungsbegriff unbeabsichtigt verloren hat, kann der Verschlüsselungsbegriff oder der Entschlüsselungsbegriff in der IC-Karte leicht unter Verwendung des Hauptentschlüsse­ lungsbegriffes der Karte entnommen werden.
• 4) Es ist möglich, eine Änderung oder Fälschung der Daten in der IC-Karte und in der Bankdatei festzustellen.
• 5) Im Notfall kann eine dritte qualifizierte Person zu den Daten zugreifen und die Daten zum Nutzen des Besitzers der IC-Karte verwenden.
• 6) Die Stufe zum Zugriff zu den Daten kann geteilt werden, so daß die Daten innerhalb eines Bereiches einer gegebenen Stufe entnommen werden können. Die Daten, von denen der Besitzer der Karte nicht wünscht, daß andere Personen davon Kenntnis erhalten, können vor dritten Personen geheim ge­ halten werden.
• 7) Eine dritte qualifizierte Person klassifiziert die Daten in diejenigen, die in der Karte registriert werden, und die­ jenigen, die im Verwaltungszentrum registriert werden, so daß dann, wenn ein Arzt diese Daten benutzt, der Arbeits­ aufwand und die Kosten für einen Zugriff zum Zentrum über eine Datenverbindungsschaltung herabgesetzt werden können.

Claims (4)

1. IC-Karte mit der Funktion, Daten zu schreiben und zu lesen,und der Funktion, Daten zu verarbeiten, dadurch gekennzeichnet, daß auf die IC-Karte eine ver­ schlüsselte Berechtigungscodierung geschrieben ist, die aus den geschriebenen Daten gebildet wurde.

2. IC-Karte mit der Funktion, Daten zu schreiben und zu lesen und mit der Funktion, Daten zu verarbeiten, dadurch gekennzeichnet, daß die Daten einer Vielzahl von bestimmten Bereichen mit verschiedenen Verschlüsselungsbegrif­ fen verschlüsselt und so aufgezeichnet sind, daß nur die Da­ ten der bestimmten Bereiche entschlüsselt werden können, und daß eine Vielzahl von Entschlüsselungsbegriffen, die den ver­ schiedenen Verschlüsselungsbegriffen entsprechen, verschiede­ nen Personen ausgehändigt ist.

3. IC-Karte nach Anspruch 2, gekennzeichnet durch einen einzigen Hauptentschlüsselungsbegriff, der für alle Entschlüsselungsbegriffe gemeinsam ist, wobei die Daten, die mit den verschiedenen Verschlüsselungsbegriffen verschlüs­ selt und an den bestimmten Bereichen aufgezeichnet sind, unter Verwendung des Hauptentschlüsselungsbegriffes entschlüsselt werden können.

4. IC-Karte mit der Funktion, Daten zu schreiben und zu lesen und der Funktion, Daten zu verarbeiten, dadurch gekennzeichnet, daß eine Identifizierungscodie­ rung und eine Personenidentifizierungscodierung einer drit­ ten Person in der IC-Karte gespeichert sind und daß dann, wenn die dritte Person ihre Identifizierungscodierung und ihre Personenidentifizierungscodierung der IC-Karte einge­ geben hat und die Identifizierungscodierung und die Personen­ identifizierungscodierung, die in dieser Weise eingegeben sind, mit der Identifizierungscodierung und der Personen­ identifizierungscodierung übereinstimmen, die in der IC- Karte gespeichert sind, die in der IC-Karte gespeicherten Daten durch die dritte Person in Abhängigkeit von einer be­ stimmten Zulässigkeitsstufe des Datenbezuges ausgelesen wer­ den.