DE3704814C3 - Karte mit integrierter Schaltung - Google Patents

Description

Die Erfindung betrifft eine IC-Karte gemäß dem Oberbegriff des Patentanspruchs. Eine solche IC-Karte zum bidirektionalen Datentransfer mit Terminals ist aus der EP 0 152 024 A2 bekannt. Eine IC-Karte, auf der ein Berechtigungscode für die Benutzung der Ter­ minals durch eine Person gespeichert ist, ist auch aus der DE 29 17 965 A1 bekannt.

Eine IC-Karte, die aus eine Kunststoffkartenkörper, in den ein IC, d. h. eine integrierte Schaltung eingebettet ist, soll eine einzelne Person identifizieren, eine Fäl­ schung erschweren und eine große Speicherkapazität haben und findet ihre Anwendung bei der elektroni­ schen Abrechnung, bei Personalinformationskarteien, der Sicherheitskontrolle u. ä.

Wenn eine Person in Supermärkten oder Warenhäu­ sern unter Verwendung einer einzelnen IC-Karte ein­ kauft, ist es vom Standpunkt der Beibehaltung der Ver­ traulichkeit wünschenswert, daß eine Liste von Käufen in einem Geschäft nicht in anderen Geschäften gelesen werden kann, in denen der Kunde andere Käufe tätigt. Zu diesem Zweck sollte die IC-Karte mit Transaktions­ bereichen versehen sein, die in Abhängigkeit von den Geschäften verschieden sind, so daß ein Geschäft kei­ nen Bezug auf die Transaktionen von anderen Geschäf­ ten nehmen kann.

Bisher besteht eine erste Schwierigkeit darin, daß es weder ein Verfahren zum Schützen einer Vielzahl von Transaktionsbereichen in derselben IC-Karte über ver­ schiedene Verschlüsselungsbegriffe noch ein dazu ge­ eignetes Schlüsselsteuerverfahren gibt. Unter den öf­ fentlichen Verschlüsselungssystemen gibt es anderer­ seits beim RAS-Verfahren und beim Rabin-Verfahren einen Hauptschlüssel. Unter Verwendung des Haupt­ schlüssels kann die oben erwähnte Schlüsselsteuerung wirksam ausgeführt werden.

Eine zweite Schwierigkeit besteht bisher darin, daß die Fälschung der IC-Karte und die Änderung oder Fäl­ schung von Daten in der Karte nicht berücksichtigt wurden.

Eine dritte Schwierigkeit besteht darin, daß die her­ kömmliche IC-Karte unter der Voraussetzung herge­ stellt wurde, daß sie von einer einzelnen Person benutzt wird (siehe Nikkei Computer "Will the Age of IC Card will Come?", 8. Juli 1985). Gesundheitsdaten, Vermö­ gensdaten und ähnliche Daten können der IC-Karte ein­ gegeben werden, um diese zu benutzen. Zusätzlich zu dem Fall, in dem der Benutzer selbst die Personenidenti­ fizierungsnummer eingibt, um die gewünschten Daten zu erhalten, kommt es jedoch auch oft vor, daß ein Arzt oder ein Bankangestellter eine andere Personenidentifi­ zierungsnummer eingibt, um alle gewünschten Daten oder einen Teil der gewünschten Daten, beispielsweise in einem Notfall, zu entnehmen.

Aufgabe der Erfindung ist es, die bekannte IC-Karte so aus zubilden, daß sie für eine Anzahl von Personen verwendbar ist, aber jede Person nur auf bestimmte Bereiche des Speichers der IC-Karte Zugriff hat.

Diese Aufgabe wird bei einer gattungsgemäßen IC- Karte durch die im kennzeichnenden Teil des Patentan­ spruchs angegebenen Maßnahmen gelöst.

Die erfindungsgemäße IC-Karte soll es insbesondere möglich machen, eine Fälschung der. Karte oder eine Fälschung oder Änderung der Daten in der Karte, bei­ spielsweise einer bargeldlosen Einkaufskreditkarte fest­ zustellen.

Die erfindungsgemäße IC-Karte soll es schließlich dem Benutzer der Karte erlauben, die Daten zu entneh­ men und gleichfalls nur einem begrenzten Personen­ kreis möglich machen im Notfall Daten zu entnehmen.

Dazu wird gemäß der Erfindung beim Einschreiben der Daten an den Transaktionsbereichen der IC-Karte oder beim Lesen der Daten von diesen Transaktionsbe­ reichen der folgende Arbeitsablauf ausgeführt.

• a) Der IC-Karten-Herausgeber oder -Verwalter bereitet vorher Gruppen von Verschlüsselungs- und Entschlüsselungsbegriffen in der Anzahl der Transaktionsbereiche vor, die geheimgehalten wer­ den, und bildet einen Hauptentschlüsselungsbegriff für alle Entschlüsselungsbegriffe.
• b) Der Kartenverwalter- oder -herausgeber ord­ net einen Verschlüsselungsbegriff und einen Ent­ schlüsselungsbegriff jedem Transaktionsbereich zu, schreibt einen oberen verfügbaren Geldbetrag und den Verschlüsselungsbegriff oder den Entschlüssel­ ungsbegriff an einem Teil des Transaktionsberei­ ches ein und verschlüsselt den obigen Transak­ tionsbereich unter Verwendung des Verschlüssel­ ungsbegriffes.
• c) Der IC-Kartenverwalter oder -herausgeber übergibt die IC-Karte dem Benutzer. Er händigt weiterhin den Verschlüsselungsbegriff und den Entschlüsselungsbegriff den einzelnen Geschäften aus, so daß diese die Transaktionsbereiche ver- und entschlüsseln können.

Aufgrund der oben beschriebenen Arbeitsvorgänge (i) bis (iii) haben die verschiedenen Geschäfte verschie­ dene Verschlüsselungs- und Entschlüsselungsbegriffe. Ein gegebenes Geschäft kann daher nur die Transak­ tionsbereiche, die dem Entschlüsselungs- und Verschlüs­ selungsbegriff entsprechen, die das Geschäft hat, aus ei­ ner Vielzahl von Transaktionsbereichen verarbeiten, die in der IC-Karte enthalten sind. Das macht es möglich, die Vertraulichkeit für den Benutzer zu schützen. Der IC-Karten-Herausgeber hält den Hauptentschlüssel­ ungsbegriff, der willkürlich alle Transaktionsbereiche der IC-Karte entschlüsseln kann, um deren Inhalt ken­ nenzulernen. Der Hauptentschlüsselungsbegriff kann daher dann benutzt werden, wenn die einzelnen Ent­ schlüsselungsbegriffe verlorengegangen sind. Der Hauptentschlüsselungsbegriff muß weiterhin nicht für die Transaktionen verwandt werden, er kann sicher auf­ bewahrt werden.

Gemäß der Erfindung werden weiterhin die Daten in der Karte dadurch erfaßt, daß der Saldo und eine Da­ tenänderungscodierung geprüft werden, um mit Ände­ rungen der Daten fertigzuwerden. Die Datenänderung in der Geschäftstransaktionsdatei oder in der Bank­ transaktionsdatei wird weiterhin dadurch geprüft, daß die Datenänderungscodierung und die IC-Kartendaten gemischt und sortiert werden.

Eine Datenänderungsdetektorschaltung ähnelt im Prinzip dem Algorithmus einer Codefehlerdetektor­ schaltung und kann dadurch verwirklicht werden, daß eine Verschlüsselungsvorrichtung verwandt wird und deren Ausgangsdaten zum Eingang rückgekoppelt wer­ den.

Schließlich kann ein Mikroprozessor der IC-Karte auf der Grundlage der eingegebenen Personenidentifi­ zierungsnummer (zusätzlich zu Nummern sind auch Co­ dierungen akzeptabel) die Zulässigkeitsstufe festlegen, und kann ein zugreifbarer Datenbereich bestimmt wer­ den, um die erlaubten Daten zu liefern.

Im folgenden werden anhand der zugehörigen Zeich­ nung besonders bevorzugte Ausführungsbeispiele der Erfindung näher beschrieben. Es zeigen

Fig. 1A und 1B in Blockschaltbildern den Aufbau ei­ nes ersten Ausführungsbeispiels der erfindungsgemä­ ßen IC-Karte,

Fig. 2 das Flußdiagramm eines Arbeitsablaufes, wenn der Benutzer einen Kauf in einem Geschäft unter Ver­ wendung der IC-Karte tätigt,

Fig. 3 in einem Blockschaltbild den Aufbau eines zweiten Ausführungsbeispiels der erfindungsgemäßen IC-Karte während des Einkaufs,

Fig. 4 in einem Blockschaltbild den Aufbau der Da­ tenänderungsdetektorschaltung in der IC-Karte,

Fig. 5 in einem Blockschaltbild den Aufbau eines drit­ ten Ausführungsbeispiels der erfindungsgemäßen IC- Karte bei einem IC-Kartensystem für Gesundheitsda­ ten,

Fig. 6 in einem Diagramm den Datenaufbau in einem Festspeicher ROM und

Fig. 7 in einem Diagramm den Datenaufbau in einem EEROM.

Die Fig. 1A und 1B zeigen den Aufbau eines ersten Ausführungsbeispiels der erfindungsgemäßen IC-Karte.

Eine derartige IC-Karte wird zunächst in der folgen­ den Weise vorbereitet.

Ein IC-Kartenherausgeber 101 bereitet Gruppen 102, 103, 106, 107 von Verschlüsselungsbegriffen und Ent­ schlüsselungsbegriffen sowie einen Hauptentschlüssel­ ungsbegriff 108 für die Entschlüsselungsbegriffe 103 . . . 107 vor und hält den Hauptentschlüsselungsbegriff ge­ heim. Danach übergibt der IC-Kartenherausgeber 101 die Gruppen 102, 103 . . . 106, 107 von Verschlüsselungs- und Entschlüsselungsbegriffen den Geschäften 9 . . . 11. Der IC-Kartenherausgeber schreibt weiterhin ei­ nen verfügbaren oberen Geldbetrag in die Transak­ tionsbereiche 22 . . . 24. Der IC-Kartenherausgeber verschlüsselt dann die Gruppen 102, 103, 106, 107 der Verschlüsselungs- und Entschlüsselungsbegriffe mit dem Verschlüsselungsbegriff, der jeder der Karten ent­ spricht, und schreibt jeweils eine Schlüsselbegriffsgrup­ pe in jeden Schlüsselspeicher 13 . . . 15 der IC-Karte 25. Dann verschlüsselt er die Berechtigungscodierun­ gen entsprechend den an jedem Transaktionsbereich eingeschriebenen Daten mit dem Verschlüsselungsbe­ griff, der jeder der Karten entspricht, und schreibt diese Codierungen nieder. Der IC-Karten-Herausgeber über­ gibt dann die IC-Karte 25 einem Benutzer 16.

Die Berechtigungscodierung bezieht sich dabei auf die Daten, die an den Transaktionsbereichen einge­ schrieben sind, die komprimiert sind.

Über einen Eingabe/Ausgabeteil 12 werden Daten in einen Speicher 19 eingeschrieben und vom Speicher 19 gelesen, indem ein Prozessor 17 unter der Steue­ rung einer Software oder eines Programmpaketes be­ trieben wird, das in einem Festspeicher 18 enthalten ist.

Fig. 2 zeigt ein Flußdiagramm für den Arbeitsablauf der IC-Karte, wenn der Benutzer 16 einen Kauf in einem Geschäft 9 tätigt.

201 Der Benutzer gibt seine Personenidentifikations­ nummer über den Eingabe/Ausgabeteil in den Prozes­ sor 17 ein.
202 Der Prozessor 17 entnimmt die Personenidenti­ fikationsnummer von einem geheimen Bereich un­ ter der Steuerung der Software.
203 Der Prozessor 17 erzeugt über den Eingabe/­ Ausgabeteil ein zustimmendes Signal "in Ordnung", wenn die Personenidentifizierungsnummer, die vom Be­ nutzer 16 eingegeben wurde, mit der Personenidentifi­ zierungsnummer übereinstimmt, die im geheimen Be­ reich enthalten ist, erzeugt ein negatives Signal "nein", wenn das nicht der Fall ist.
204 Wenn das negative Signal erzeugt wird schreibt der Prozessor 17 keine Daten oder liest der Prozessor 17 keine Daten mehr, bis das positive Signal das näch­ stemal erzeugt wird.
205 Wenn das positive Signal erzeugt wird, erneuert das Geschäft 9 den Inhalt des Transaktionsbereiches 22 unter Verwendung des Verschlüsselungsbegriffes 102 und des Entschlüsselungsbegriffes 103 in Abhängig­ keit von dem was der Benutzer 16 gekauft hat.

Im folgenden wird im einzelnen beschrieben, wie der Inhalt des Transaktionsbereiches neu geschrieben wird. Der Entschlüsselungsbegriff 103 wird nämlich in die IC- Karte 25 durch das Geschäft 9 eingegeben und die Daten im Schlüsselspeicher 13 werden mit dem Ent­ schlüsselungsbegriff 103 entschlüsselt. Dann wird bestä­ tigt, ob die Berechtigungscodierung, die in den ent­ schlüsselten Daten enthalten ist, mit einer Berechti­ gungscodierung in Übereinstimmung steht, die aus den Daten des Transaktionsbereiches 22 berechnet wird. Nachdem diese Übereinstimmung bestätigt worden ist, werden der Transaktionsbereich 22 und die Berechti­ gungscodierung in Abhängigkeit von dem Wert des Kaufes neu geschrieben, woraufhin die Daten im Schlüsselspeicher 13 mit dem obigen Verschlüssel­ ungsbegriff verschlüsselt werden.

Wenn sich jedoch herausstellt, daß die Berechtigungs­ codierungen nicht miteinander übereinstimmen, erzeugt die IC-Karte ein Signal, um das Geschäft 9 über diese Tatsache zu informieren, so daß das Geschäft 9 die notwendigen Maßnahmen ergreifen kann, um den Kauf zu unterbinden.

Im folgenden wird ein Beispiel eines Einkaufs unter Verwendung eines zweiten Ausführungsbeispiels der erfindungsgemäßen IC-Karte beschrieben.

Bei diesem Beispiel eines Einkaufs könnte ein unlau­ teres Geschäft dadurch zustandekommen, daß die Da­ ten in der Karte geändert werden, beispielsweise die Daten des Bargeldempfangs von einer Bank und die Daten über den Verkauf und den Kauf geändert wer­ den.

Fig. 3 zeigt das Blockschaltbild einer IC-Karte, die diese Art eines unlauteren Geschäftes verhindert.

Die IC-Karte kann nicht auf den nächsten Arbeitsvor­ gang übergehen, es sei denn, daß der Benutzer der IC- Karte durch eine Mischschaltung auf der Grundlage eines Kennwortes oder ähnlichem bestätigt wird. Eine Sicherheitscodierung 2 ist in einen Festspeicher einge­ schrieben, der nicht direkt von außen gelesen werden kann. Eine Kontonummer 3 ist gleichfalls in den Fest­ speicher eingeschrieben. Eine Datenänderungsdetek­ torschaltung 4 bildet eine verschlüsselte Berechtigungs­ codierung, indem sie das Ausgangssignal einer Ver­ schlüsselungsvorrichtung zu deren Eingangsseite rück­ koppelt, wie es in Fig. 4 dargestellt ist. Wenn somit die Daten 61 . . . 64, die zu autorisieren sind, geändert und als Daten 6 in Fig. 4 eingegeben werden, pflanzen sich die Auswirkungen der Bits der geänderten Daten der Reihe nach nach vorne fort und wird eine Codierung 65 gebil­ det, die sich von der ursprünglichen Codierung unter­ scheidet. Die Tatsache einer Datenänderung wird daher festgestellt.

Eine Eingabe/Ausgabesteuerschaltung 5 ist eine Schnittstellenschaltung zwischen der IC-Karte und den Terminals 30, 31 für die Karte. Eine Datei 6 betrifft die Eingabezeiten, die Terminal-Nummern, den Bargeld­ empfang und die Zahlungen, den Kontostand, die Da­ tenänderungsfeststellungscodierung u. ä.

Um den Bargeldempfang auf die Karte zu schreiben, wird die Karte zunächst in ein Bankterminal 30 einge­ führt und wird von der Tastatur aus ein Kennwort ein­ gegeben. Das Kennwort wird über die Eingabesteuer­ schaltung 5 eingegeben und mit der Codierung in der Schaltung durch die Mischschaltung gemischt, um si­ cherzustellen, daß es sich bei der eingebenden Person um eine Person handelt, die Besitzer der Karte ist. Wenn das Mischergebnis positiv ist, wird die Konto-Nummer der Eingabe/Ausgabesteuerschaltung 5 auf ein Signal von der Mischschaltung 1 ansprechend zugeführt. Eine Konto-Datei wird dann am Bankterminal geöffnet. Wenn Bargeldempfangsdaten von der Tastatur der Kar­ te eingegeben werden, wird eine Sicherheitscodierung am Terminal zusammen mit dem Bargeldempfang, der Zeit- dem Kontostand und der Terminalnummer einge­ geben. In der Karte werden die Daten, die durch die Eingabesteuerschaltung hindurchgegangen sind, der Datenänderungsfeststellungsschaltung 4 zugeführt, die eine Datenänderungsfeststellungscodierung dadurch bildet, daß sie die Zeit, die Terminalnummer und den Bargeldempfang als Eingangswerte der Verschlüssel­ ungsvorrichtung mit der Sicherheitscodierung der Kar­ te und der Sicherheitscodierung des Terminals als Kennbegriffe liefert. Diese Daten werden in die Datei 6 geschrieben und gleichzeitig in die Konto-Datei ge­ schrieben. Die Sicherheitscodierung 2 des Terminals wird am Sicherheitscodierungsbereich der Karte aufge­ zeichnet. Der Sicherheitscodierungsbereich ist dabei ein Speicherbereich, der mit einer Einrichtung zum Schüt­ zen der Daten in Form einer Hardware und einer Soft­ ware versehen ist, so daß die Daten durch eine außen­ stehende Person nicht entnommen werden können und keine Daten von einer außenstehenden Person einge­ schrieben werden können.

Um in einem Geschäft einzukaufen, wird die Karte mit einem Einkaufsterminal 31 verbunden und wird ein Kennwort durch die Tastatur am Einkaufsterminal 31 eingegeben. Wenn das richtige Kennwort eingegeben wird, liest das Einkaufsterminal den Kontostand von der Karte. Nachdem der Kontostand geprüft ist, werden die Preise für die gekauften Waren über die Tastatur am Terminal 31 eingegeben. Wenn die Bargeldzahlung, die Zeit, der Kontostand, die Einkaufsterminalnummer und die Sicherheitscodierung am Terminal eingegeben wer­ den, wie es oben beschrieben wurde, empfängt die Da­ tenänderungsfeststellungsschaltung 4 in der Karte die Zeit 61, die Terminalnummer 62, den Bargeldempfang und die Zahlung 63 und den Kontostand 64 als Ein­ gangsdaten, um eine Datenänderungsfeststellungsco­ dierung 65 zusammen mit den Sicherheitscodierungen der Karte und des Terminals als Schlüsselbegriffe zu bilden. Diese Daten werden in die Datei 6 geschrieben und gleichzeitig über das Einkaufsterminal 31 zusam­ men mit der im Kontonummernfeld aufgezeichneten Kontonummer in die Geschäftstransaktionsdatei 32 ge­ schrieben.

Die Geschäftstransaktionsdatei 32 wird auf die Bank übertragen, für jede Kontonummer umgeordnet und in die Kontodatei 33 geschrieben.

Wenn das Guthaben kleiner wird und der Benutzer erneut einen Bargeldempfang auf die Karte schreiben will, führt er die Karte in das Bankterminal 30 ein und gibt das Kennwort ein. Wenn das Kennwort annehmbar ist, kann die Datei der Karte vom Bankterminal 30 aus­ gelesen werden. Das Bankterminal liest die Kontonum­ mer von der Karte und öffnet eine Kontodatei, in die bereits Daten vom Geschäft geschrieben worden sind. Eine lautere oder unlautere Behandlung wird daher da­ durch unterschieden, daß die Datei der Karte mit der Kontodatei zusammen geführt und der Kontostand ge­ prüft wird.

Wenn beide Aufzeichnungen richtig sind, werden die Aufzeichnungen von der Kartendatei gelöscht.

Wenn alle Aufzeichnungen annehmbar sind, über­ trägt die Bank die Geldmenge, die der Verbraucher im Geschäft ausgegeben hat. Der Kontostand wird in der Bank berechnet.

Um den Kontostand zu prüfen, werden Barauszah­ lungen 63 infolge jedes Einkaufs von dem Anfangskon­ tostand der Kartendatei abgezogen, und wird das Er­ gebnis dieser Subtraktion mit dem Kontostand 64 zu­ sammengezählt.

Wenn die Aufzeichnungen nicht übereinstimmen, wird die Sicherheitscodierung am Terminal für jede der Aufzeichnungen von der Bankdatei auf der Grundlage der Terminalnummer 62 der Aufzeichnungen ausgele­ sen. Die Sicherheitscodierung und die Aufzeichnung werden dann der Karte eingegeben, um eine Datenän­ derungsfeststellungscodierung von der Karte zu erhal­ ten. Um diese Codierung mit der Datenänderungsfest­ stellungscodierung der vorhergehenden Aufzeichnung der Karte oder der Bankdatei zusammen zu führen, wird darauf während der Prüfung der Feststellungscodierung Bezug genommen.

Es sei im folgenden angenommen, daß die Aufzeich­ nung nicht in Übereinstimmung steht, wobei der Inhalt der Aufzeichnung, der nicht in Übereinstimmung steht, die Zeit ist. In diesem Fall wird die Aufzeichnung der Zeit, die in Übereinstimmung mit irgendeiner der Auf­ zeichnungen steht, gefunden.

• a) Die IC-Karte enthält keine entsprechende Auf­ zeichnung und die Feststellungscodierungsprüfung der Bankaufzeichnung und die Prüfung des Konto­ standes sind in Ordnung. In diesem Fall enthält die Karte keine Aufzeichnung und es wird davon aus­ gegangen, daß die Aufzeichnung von der IC-Karte gelöscht ist.
• b) Die IC-Karte enthält keine entsprechende Auf­ zeichnung und die Prüfung der Feststellungscodie­ rung der Bankaufzeichnung ist nicht annehmbar. In diesem Fall wurde die Aufzeichnung auf der Seite der Bank zugegeben und es wird davon ausgegan­ gen, daß die Aufzeichnung unberechtigt in die Bankdatei gegeben wurde.

Dieselben Feststellungen können auch dann getroffen werden, wenn auf der Seite der Bank keine entsprechen­ den Aufzeichnungen vorhanden sind.

Wenn die Aufzeichnung nicht in Übereinstimmung steht, wobei der Inhalt der Aufzeichnung, der nicht in Übereinstimmung steht die Terminalnummer und der Bargeldempfang und die Zahlungen sind, wird eine ein­ wandfreie oder nicht einwandfreie Behandlung dadurch festgestellt, daß jede Feststellungscodierung geprüft wird.

Wenn weiterhin die Aufzeichnung nicht in Überein­ stimmung steht und der Inhalt der Kontostand ist wird eine einwandfreie oder nicht einwandfreie Behandlung dadurch festgestellt, daß jeder Kontostand geprüft wird.

Es ist auch erlaubt, statt der Zeitdaten Nummern wie beispielsweise Seriennummern zu verwenden.

Bei dem oben beschriebenen Ausführungsbeispiel der Erfindung ist es möglich, Änderungen der Daten in der IC-Karte oder in der Bankdatei festzustellen.

Im folgenden wird ein drittes Ausführungsbeispiel der erfindungsgemäßen IC-Karte anhand der Fig. 5 bis 7 beschrieben.

Fig. 5 zeigt in einem Diagramm schematisch den Auf­ bau eines IC-Kartensystems für Gesundheitsdaten, bei dem die IC-Karte 100 mit einem dafür vorgesehenen Terminal 200 über eine Schnittstelle 290 verbunden ist, um die Funktionen der IC-Karte darzustellen.

Die IC-Karte 100 besteht aus einem Mikroprozessor 120, einem Festspeicher ROM 110, einem programmier­ baren Festspeicher PROM 130 und einem elektrisch löschbaren programmierbaren Festspeicher EEPROM 140, die über Signalleitungen 150 miteinander verbun­ den sind. Wenn die IC-Karte 100 über eine Signalleitung 160 mit dem Terminal 200 für die IC-Karte verbunden ist, wird das Programm im PROM 130 in den Mikropro­ zessor 120 geladen, so daß es benutzt werden kann.

Das Terminal 200 für die IC-Karte besteht aus einem Mikrocomputer 240, einer Tastatur 210 und einer An­ zeige 220, die über Signalleitungen 170 miteinander ver­ bunden sind. Der Mikrocomputer 240 ist weiterhin über eine Signalleitung 180, einen Modem 310, eine öffentli­ che Telefonleitung 320 und einen weiteren Modem 330 mit einem Datenverarbeitungszentrum 400 verbunden. Das Datenverarbeitungszentrum 400 besteht aus einem Computer 410 und einer Datenbank 420.

Der Besitzer der IC-Karte 100 kann einen Arzt aufsu­ chen, der nicht sein Hausarzt ist, und seine Personeni­ dentifizierungsnummer über die Tastatur 210 eingeben. Das Signal wird dann über den Mikrocomputer 240 auf der Seite des Terminals 200 dem Mikroprozessor 120 in der IC-Karte zugeführt. Der Mikroprozessor 120 führt aber den Speicher ROM 110 einen Suchvorgang durch.

Der ROM 110 hat dabei den in Fig. 6 dargestellten Datenaufbau. Der Datenaufbau besteht somit aus einer Personenidentifizierungsnummer 111 des Besitzers der IC-Karte 100, einer Zulässigkeitsstufe 112 des Informa­ tionsbezuges des Besitzers, Zulassungscodierungen 113 der praktizierenden zugelassenen Ärzte, deren Persone­ nidentifizierungsnummern 114, deren Zulässigkeitsstufe 115 des Informationsbezuges, Berechtigungscodierun­ gen 117 der Daten der zugelassenen Ärzte und einer Zulässigkeitsstufe 116 des Informationsbezugs für nicht zugelassene Ärzte.

Wenn der Mikrocomputer 120, der einen Suchvor­ gang durch den Speicher ROM 110 ausführt, die Perso­ nenidentifizierungsnummer, die eingegeben wird, als übereinstimmend mit der Personenidentifizierungsnum­ mer 111 des Besitzers anzeigt, wird die Zulässigkeitsstu­ fe 112 des Informationsbezuges ausgelesen. Es sei ange­ nommen, daß es nur eine Stufe 1 gibt. Auf der Grundla­ ge dieser Stufe liest der Mikroprozessor 120 die Datei im EEPROM 140.

Fig. 7 zeigt den Datenaufbau im EEPROM 140. Dabei sei angenommen, daß die Daten A 141, die mit der Stufe 1 und der Stufe 2 zugreifbar sind, die Daten B 142, die nur mit der Stufe 1 zugreifbar sind, im EEROM 140 enthalten sind. Beispielsweise enthalten die Daten A 141 die für die Diagnose und Therapie notwendigen Infor­ mationen wie die Blutgruppe, das Diagnoseergebnis ei­ ner medizinischen Untersuchung, die Krankengeschich­ te u. ä. - Die Daten B 142 enthalten Daten wie die familiären Verhältnisse u. a. die keinen direkten Bezug auf die Diagnose und die Therapie haben, sowie diejeni­ gen Daten, von denen der Besitzer der Karte nicht wünscht, daß andere Personen ohne seine Erlaubnis da­ von Kenntnis erhalten.

In diesem Fall wird die Stufe 1 durch den Mikropro­ zessor 120 gegeben, um einen Zugriff zu den Daten A 141 und zu den Daten B 142 zu ermöglichen. Die Daten werden nämlich vom Mikroprozessor 120 dem Mikro­ computer 240 für das Terminal zugeführt, einer Verar­ beitung zur Anzeige unterworfen und an der Anzeige­ einheit 220 angezeigt. Die Daten werden auch für den Arzt angezeigt, um für die Diagnose und Therapie her­ angezogen zu werden. Ein Teil der Ergebnisse wird auch über die Tastatur 210 eingegeben und in den Da­ tenbereich A 141 oder den Datenbereich B 142 im EEPROM 140 über den Mikroprozessor 240 den Mikro­ prozessor 120 u. ä. geschrieben.

Es kann dabei vorkommen, daß der Besitzer der IC- Karte 100 bei einem Verkehrsunfall einer Notbehand­ lung bedarf, ohne in der Lage zu sein, selbst seine Perso­ nenidentifizierungsnummer einzugeben. In diesem Fall gibt der Arzt seine Zulassungscodierung als praktizie­ render Mediziner und seine Personenidentifizierungs­ nummer über die Tastatur 210 ein. Das Eingabeergebnis liegt am Mikroprozessor 110 in der IC-Karte 100, und zwar über den Mikrocomputer 240. Der Mikroprozes­ sor 120 bildet eine Berechtigungscodierung mit der Per­ sonenidentifizierungsnummer 114 als Schlüssel und mit den Daten des zugelassenen Arztes als Eingangsdaten, stellt sicher, ob die in dieser Weise gebildete Zulässig­ keitscodierung in Übereinstimmung mit der Zulässig­ keitscodierung 117 steht, die in die Datei geschrieben ist, und vergleicht die Zulassungscodierung 113 des nieder­ gelassenen Arztes und die Personenidentifizierungs­ nummer 114 des zugelassenen Arztes im ROM 110 mit der Zulassungscodierung und der Personenidentifizie­ rungsnummer, die eingegeben sind. Wenn diese Daten übereinstimmen, liest der Mikroprozessor 120 die Zu­ lässigkeitsstufe 115 des Informationsbezuges und die Daten, die dieser Zulässigkeitsstufe genügen, vom EEPROM 140. Das Ergebnis wird über den Mikropro­ zessor 120 und den Mikrocomputer 240 an der Anzeige­ einheit 220 angezeigt.

Wenn die Zulassungscodierung des Arztes im ent­ sprechenden ROM 110 gefunden wird, die Personeni­ dentifizierungsnummer jedoch nicht übereinstimmt, wird diese Tatsache an der Anzeigeeinheit 220 ange­ zeigt und wird der Arbeitsvorgang abgeschlossen.

Wenn sogar die Zulassungscodierung des niederge­ lassenen Arztes im ROM 110 nicht gefunden wird, wer­ den die Zulassungscodierung und die Personenidentifi­ zierungsnummer, die vom Arzt eingegeben werden, dem Datenverarbeitungszentrum 400 zugeführt, wo der Computer 410 zusammenstellt, ob die Datenbank Daten enthält, die mit der Zulassungscodierung und der Perso­ nenidentifizierungsnummer übereinstimmen. Wenn das der Fall ist, wird eine geheime Codierung, die die Über­ einstimmung anzeigt, der IC-Karte 100 über den Mikro­ computer 240 zugeführt. Die IC-Karte 100 entnimmt die Daten in Abhängigkeit von der Zulässigkeitsstufe 116 des Informationsbezuges für nicht registrierte Ärzte und zeigt die Daten an der Anzeigeeinheit 220 an.

Wenn die Zulassungscodierung des Arztes oder die Personenidentifizierungsnummer des Arztes, die einge­ geben wird, nicht übereinstimmt, wird diese Tatsache an der Anzeigeeinheit 220 angezeigt und wird der Arbeits­ vorgang abgeschlossen.

Um eine zufällige Übereinstimmung zu vermeiden, die dann auftreten könnte, wenn Daten mehrfach einge­ geben werden, ist es erlaubt, die Gegenmaßnahme vor­ zusehen, daß ein Zugriff nicht mehr möglich ist, wenn eine falsche Personenidentifizierungsnummer mehr als M-mal eingegeben wird, wobei M eine bestimmte Zahl ist. Wenn ein Zugriff zum Datenverarbeitungszentrum erfolgt, kann es weiterhin vorgesehen sein, die Zulas­ sungscodierung des Arztes, die Daten und die Zeit und den Besitzer der Karte in der Datenbank des Datenver­ arbeitungszentrums zur Datenerfassung zu belassen.

Im vorhergehenden wurden die Fälle beschrieben, bei denen getrennte Inhalte im Speicher ROM 110 und EEPROM 140 gespeichert sind. Die Inhalte können je­ doch auch gemeinsam im EEPROM 140 gespeichert sein. Weiterhin kann ein Speicher mit direktem Zugriff RAM statt des EEPROM verwandt werden, vorausge­ setzt, daß die Daten gespeichert sind, ohne gelöscht zu werden.

Die vorhergehenden Ausführungsbeispiele befaßten sich mit den Fällen, in denen zwei Zulässigkeitsstufen des Informationsbezuges vorhanden waren. Es versteht sich jedoch, daß auch drei oder mehr Zulässigkeitsstufen des Informationsbezuges vorgesehen sein können.

Obwohl die obige Beschreibung sich weiterhin auf ein IC-Kartensystem für Gesundheitsdaten bezog, eignet sich die erfindungsgemäße Ausbildung auch bei einem IC-Kartensystem für Besitz- oder Vermögensdaten und bei ähnlichen Systemen, bei denen eine dritte qualifizier­ te Person gezwungen sein kann, auf die Daten in einem Notfall zuzugreifen.

Das erfindungsgemäße System, bei dem ein Bankin­ stitut die Rolle des IC-Kartenherausgebers spielt und eine IC-Karte für einen Benutzer ausgibt, so daß dieser in einer Vielzahl von Geschäften einkaufen kann, hat die folgenden Vorteile:

• 1. Schutz der Vertraulichkeit: Daten wie beispiels­ weise der Name des Händlers und der Geldbetrag werden mit Verschlüsselungsbegriffen verschlüs­ selt, die für die jeweiligen Geschäfte verschieden sind, und auf die IC-Karte geschrieben. Das heißt, daß die Situation, in der die Karte in einem Ge­ schäft benutzt wurde, für die anderen Geschäfte geheim bleibt und die Vertraulichkeit für den Be­ nutzer geschützt wird.
• 2. Leichte Schlüsselverwaltung: Der IC-Kartenver­ walter, der einen Hauptentschlüsselungsbegriff für einen Benutzer hat, kann alle Daten in der IC-Karte entschlüsselt. Der IC-Kartenverwalter benötigt ei­ nen geringeren Arbeitsaufwand für die Schlüssel­ verwaltung beim Begleichen der ausgegebenen Geldbeträge, die in der IC-Karte aufgezeichnet sind.
• 3. Sicherheit der Schlüsselverwaltung: Der Haupt­ entschlüsselungsbegriff wird nur vom IC-Karten­ verwalter verwaltet und die Zahl der Zugriffe ist relativ klein. Der Hauptentschlüsselungsbegriff kann daher sicher verwaltet werden. Wenn weiter­ hin ein Geschäft den Verschlüsselungsbegriff oder den Entschlüsselungsbegriff unbeabsichtigt verlo­ ren hat, kann der Verschlüsselungsbegriff oder der Entschlüsselungsbegriff in der IC-Karte leicht un­ ter Verwendung des Hauptentschlüsselungsbegrif­ fes der Karte entnommen werde.
• 4. Es ist möglich, eine Änderung oder Fälschung der Daten in der IC-Karte und in der Bankdatei festzu­ stellen.
• 5. Im Notfall kann eine dritte qualifizierte Person zu den Daten zugreifen und die Daten zum Nutzen des Besitzers der IC-Karte verwenden.
• 6. Die Stufe zum Zugriff zu den Daten kann geteilt werden, so daß die Daten innerhalb eines Bereiches einer gegebenen Stufe entnommen werden können. Die Daten, von denen der Besitzer der Karte nicht wünscht, daß andere Personen davon Kenntnis er­ halten, können vor dritten Personen geheim gehal­ ten werden.
• 7. Eine dritte qualifizierte Person klassifiziert die Daten in diejenigen, die in der Karte registriert werden, und diejenigen, die im Verwaltungszen­ trum registriert werden, so daß dann, wenn ein Arzt diese Daten benutzt, der Arbeitsaufwand und die Kosten für einen Zugriff zum Zentrum über eine Datenverbindungsschaltung herabgesetzt werden können.

Claims (1)

1. IC-Karte zum bidirektionalen Datentransfer mit einer Vielzahl von Terminals (9 bis 11), auf der ein Berechtigungs­ code für die Benutzung der Vielzahl von Terminals durch einen Benutzer (16) der IC-Karte gespeichert und auf der ein Spei­ cher (19) vorgesehen ist, der in eine Vielzahl von Bereichen (22 bis 24) aufgeteilt ist, dadurch gekennzeichnet, daß
   jedem der Bereiche ein eigenes Verschlüsselungs- und Entschlüsselungsbegriffspaar (102 bis 107) zugeordnet ist,
   wobei die verschiedenen Verschlüsselungs- und Entschlüs­ selungsbegriffspaare jeweils einer Anzahl von Personen, die die Terminals (9 bis 11) betreiben, bekanntgegeben werden, um die IC-Karte für diese Anzahl von Personen verwendbar zu ge­ stalten,
   wobei die Daten jedes Bereiches bei Eingabe des dem Be­ reich zugeordneten Verschlüsselungsbegriffes an einem der Terminals verschlüsselt werden, und
   wobei die Daten jedes Bereiches bei Eingabe des dem Be­ reich zugeordneten Entschlüsselungsbegriffes an einem der Terminals entschlüsselt werden.