DE3850553T2

DE3850553T2 - Tragbarer elektronischer Apparat.

Info

Publication number: DE3850553T2
Application number: DE3850553T
Authority: DE
Inventors: Hideo C O Patent Divi Matsuoka; Masuo C O Patent Divisi Tamada; Tsutomu C O Patent Divi Tanaka
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1987-11-13
Filing date: 1988-11-04
Publication date: 1994-10-27
Anticipated expiration: 2008-11-05
Also published as: US5017766A; EP0316689A2; JP2698588B2; EP0316689A3; JPH01129379A; KR910007758B1; DE3850553D1; KR890008727A; EP0316689B1

Description

Die vorliegende Erfindung betrifft eine IC-Karte, die z. B. als Kreditkarte, Bargeldkarte u.ä. verwendet wird.
Die Magnetkarte nach dem Stand der Technik mit einem Magnetstreifen zu Speicherung der Daten findet breite Verwendung als Kreditkarte oder als Bargeldkarte. Seit kurzer Zeit findet jedoch eine IC-Karte mit einem nichtlöschbaren nichtflüchtigen Speicher, der von einer CPU verwaltet wird, die in einen IC-Chip integriert ist, große Beachtung als Ersatz für die Magnetkarte, da die im Vergleich zur Magnetkarte wesentlich höhere Speicherkapazität der IC-Karte den Einsatz der IC-Karte für einen weit größeren Anwendungsbereich zuläßt, als dies mit der Magnetkarte möglich ist. Vor kurzem wurde eine multifunktionale IC-Karte entwickelt, die zusätzlich eine eigene Batterie sowie eine Tastatur und eine Anzeigeeinheit enthält. Diese spezielle IC-Karte kann darüber hinaus im Offline-Betrieb arbeiten, d. h. ohne Verbindung mit einem Terminalgerät oder ähnlichem.
Wenn diese IC-Karte als Kreditkarte oder Bargeldkarte verwendet wird, können ein Gültigkeitsdatum für Transaktionen, das einen Zeitraum repräsentiert, in dem Transaktionen vorgenommen werden können, und ein Betragslimit für den maximalen Betrag der möglichen Transaktionen eingetragen und vor jeder Transaktion abgeprüft werden. Dieses Gültigkeitsdatum für Transaktionen sowie das Betragslimit werden in einem Speicher auf der IC-Karte gespeichert und können bei Bedarf von außen her aktualisiert werden.
Beim dem Stand der Technik entsprechenden Fall gibt es bei der Aktualisierung des Gültigkeitsdatums für Transaktionen und des Betragslimits kein Mittel zur Überprüfung der Gültigkeit der extern eingegebenen Daten. Damit besteht die Möglichkeit der unzulässigen Aktualisierung der intern gespeicherten Daten mit betrügerischen Zielen. Beim Gültigkeitsdatum für Transaktionen und beim Betragslimit handelt es sich um besonders wichtige Daten, die nicht in unzulässiger Weise geändert werden dürfen.
Es ist anzumerken, daß ein dem Stand der Technik zugehöriges Verfahren zur Generierung einer Geldgeschäftsabwicklungsnummer auf Basis einer eingegebenen PIN-Kennung und des Gesamtbetrags in USP Nr. 4,69,072 (Erfinder: Shigeyuki Kawana, Titel: "IDENTIFICATION CARD AND AUTHENTICATION SYSTEM THERE- FOR") beschrieben wird.
Das dem Stand der Technik zugehörige Dokument Wo-A-86/03040 beschreibt einen tragbaren elektronischen Apparat, der eine Datenspeicherungseinrichtung zur Speicherung von Transaktionsdaten, Einlesemittel zum Einlesen der Transaktionsdaten für die Speicherung in der Datenspeicherungseinrichtung, und Steuereinrichtungen zur Steuerung der Datenspeichereinrichtung für die Transaktionsdaten und der Einlesemittel umfaßt. Dieser Apparat nach dem Stand der Technik beinhaltet weiter Einrichtungen zur Generierung zusätzlicher Daten in Form vom Transaktions-Schlüsselkennzahlen, die sich mit jedem weiteren Generierungsschritt voneinander unterscheiden. Diese zusätzlichen Daten werden zusammen mit den über das Einlesemittel eingelesenen Transaktionsdaten zur Generierung eines Transaktions-Kennungscodes herangezogen, der nach Art einer Paritätsprüfung abgefragt werden kann, um die Gültigkeit des Transaktions-Kennungscodes zu bestätigen, z. B. durch Übermittlung in ein automatisches Bankenterminal.
Darüber hinaus beschreibt das dem Stand der Technik zugehörige Dokument DE-A-32 22 288 eine Kennkarte, die einen Mikroprozessor, Einlesemittel und Anzeigeeinrichtungen enthält. Der Mikroprozessor ist mit einer Zeitgebereinrichtung verbunden. Die an die Anzeigeeinrichtung gelieferten Daten können auch an eine externe Terminaleinrichtung übermittelt werden; außerdem ist es möglich, Daten über die externe Terminaleinrichtung an den Mikroprozessor zu übermitteln.
Es ist daher Aufgabe der Erfindung, einen tragbaren elektronischen Apparat bereitzustellen, der in der Lage ist, die Gültigkeit extern eingegebener Daten sicherzustellen, und insbesondere einen Apparat bereitzustellen, der die unzulässige Aktualisierung wichtiger Daten und dergleichen verhindern kann.
Zur Lösung dieser Aufgabe stellt die Erfindung einen tragbaren elektronischen Apparat nach Anspruch 1 bereit.
Beim erfindungsgemäßen elektronischen Apparat kann die Gültigkeit aller extern eingegebenen Transaktionsdaten sichergestellt werden, wobei eine Aktualisierung nur erfolgt, wenn das Ergebnis der Gültigkeitsprüfung positiv ist. Auf diese Weise sind im Speicher gehaltene wichtige Daten gegen eine unzulässige Aktualisierung geschützt.
Andere Aufgaben und Merkmale der Erfindung werden anhand der folgenden Beschreibung in Verbindung mit den beigefügten Figuren ersichtlich; es zeigen:
Fig. 1 eine Ansicht der äußeren Gestaltung eines erfindungsgemäßen tragbaren elektronischen Apparats;
Fig. 2 ein Blockdiagramm des detaillierten Aufbaus einer integrierten Schaltung nach Fig. 1; und
Fig. 3 ein Flußdiagramm zur Erläuterung des Aktualisierungsprozesses des Betragslimits und des Gültigkeitsdatums für Transaktionen bei der Ausführung nach Fig. 1 und 2.
Die Fig. 1 zeigt die äußere Gestaltung einer multifunktionalen IC-Karte, die z. B. als Kreditkarte verwendet wird, und die ein Beispiel für einen tragbaren elektronischen Apparat gemäß der Erfindung bildet. Diese IC-Karte ist so ausgeführt, daß sie sowohl im Online- als auch Offline-Modus verwendet werden kann. Die IC-Karte verfügt über eine Transaktionsfunktion, durch die sie Transaktionen mit einer Vielzahl von Konten vornehmen kann (z. B. für eine Vielzahl von Kreditkarten und Bargeldkarten), eine Uhrenfunktion zur Ausgabe zeitbezogener Daten einschließlich Datum und Uhrzeit, eine Rechnerfunktion für mindestens vier Grundrechnungsarten und ein elektronisches Notizbuch zur Speicherung und für das Ab fragen von Adressen, Namen, Telefonnummern und anderem mehr.
Die Fig. 1 zeigt den Hauptkörper 1 der Karte, die z. B. als dünne Kunststoffkarte von rechteckiger Form ausgeführt sein kann. Der Hauptkörper 1 der Karte umfaßt den Kontaktierungsabschnitt 3, der elektrisch mit der integrierten Schaltung (IC) 2 verbunden ist, die in den Hauptkörper 1 der Karte eingebettet ist, um im Online-Modus mit einem Terminalgerät (nicht dargestellt) Daten auszutauschen, ein LCD-Display 4 zur Anzeige der eingegebenen/ausgegebenen Daten, der zeitbezogenen Daten und dergleichen mehr, und die Tastatur 5, wobei alle diese Komponenten an bestimmten Positionen auf der Vorderseite des Hauptkörpers 1 der Karte angeordnet sind. Der Hauptkörper 1 enthält zusätzlich eine Batterie 6 zur Stromversorgung.
Die Tastatur 5 umfaßt die Kontentasten 7, 8, 9 und 10 zur Angabe eines Kontos; die Zifferntasten 11; die Additionstaste 12, die Subtraktionstaste 13, die Divisionstaste 14 und die Multiplikationstaste 15, welche die vier Rechenfunktionstasten bilden; sowie Tasten für den Dezimalpunkt 16, das Gleichheitszeichen 17 und andere mehr.
Die Kontentaste 7 bezeichnet eine erste Operation (Bearbeitung) für ein erstes Konto (z. B. Kontendaten eines ersten Kreditinstituts), Kontentaste 8 bezeichnet eine zweite Operation für ein zweites Konto (z. B. Kontendaten eines zweiten Kreditinstituts), Kontentaste 9 bezeichnet eine dritte Operation für ein drittes Konto (z. B. Kontendaten einer ersten Bank), und Kontentaste 10 bezeichnet eine vierte Operation für ein viertes Konto (z. B. Kontendaten für eine zweite Bank).
Die Additionstaste 12 wird als "Vorwärts"-Taste ("Next") zur Weiterschaltung dem Anzeige des LCD-Display 4 und zur Moduswahl benutzt; die Subtraktionstaste 13 wird als "Rückwärts"- Taste ("Back") zur Wiederherstellung des vorherigen Zustands der Anzeige des LCD-Display 4 benutzt; und das mit zwei Funktionen belegte Gleichheitszeichen 17 dient als Bestätigungstaste ("Yes") und als Starttaste (Einschalttaste).
Auf der Rückseite des Hauptkörpers 1 der Karte sind an einer bestimmten Stelle die Daten des Karteninhabers eingeprägt (nicht dargestellt).
Die Fig. 2 zeigt den Schaltungsaufbau der integrierten Schaltung nach Fig. 1. Kommunikationssteuerung 21, Rücksetzschaltung 22 und Versorgungssteuerung 23 sind mit dem Kontaktierungsabschnitt 3 verbunden. Zusätzlich ist die Batteriekontrolle 24 für die Prüfung, ob die Spannung der Batterie 6 über einem festgelegten Wert liegt oder nicht, mit der Versorgungssteuerung 23 verbunden. Der interne Bus 38 ist mit einem Programmspeicher 28 zur Speicherung eines Steuerprogramms, einem Arbeitsspeicher 29 für die arithmetischen Operationen, einem Datenspeicher 30 bestehend aus einem nichtflüchtigem Speicher wie z. B. einem EEPROM zur Speicherung der Transaktionsdaten, einem Zeitgeber 31 für Zeitvorgaben während der Programmbearbeitung und einem Zeitbasisabschnitt 32 zur Generierung von Zeitangaben einschließlich Uhrzeit und Datum verbunden. Dieser Zeitbasisabschnitt 32 umfaßt die Zeitbasisschaltungen 322 und 323 und den Frequenzteiler 311. Der Oszillator 33 mit einer Frequenz von 32.768 kHz ist mit dem Zeitbasisabschnitt 32 verbunden.
Die Anzeigeeinheit 4 ist über die Anzeigeansteuerung 34 und den Anzeigentreiber 35 mit dem internen Bus 38 verbunden. Die Tastatur 5 ist über die Tastaturschnittstelle 36 ebenfalls mit dem internen Bus 38 verbunden. Weiter sind die Generierungsschaltung 37 zur Generierung der Bestätigungsdaten aus den eingegebenen Transaktionsdaten unter Verwendung von Schlüsseldaten auf Basis von DES (Data Encryption Standard) und die CPU (Zentraleinheit) 27 zur Steuerung der gesamten Schaltung nach Fig. 2 mit dem internen Bus 38 verbunden.
Die Kommunikationssteuerung 21 wird im Online-Modus aktiviert. Genauer gesagt, die von der Terminaleinrichtung (nicht dargestellt) über den Kontaktierungsabschnitt 3 übergebenen seriellen Daten werden in parallele Daten gewandelt und auf den Datenbus 38 gelegt. Umgekehrt werden parallele Daten vom Datenbus 38 in serielle Daten gewandelt und über den Kontaktierungsabschnitt 3 an die Terminaleinrichtung übermittelt.
Die Rücksetzschaltung 22 wird im Online-Modus aktiviert. Diese Schaltung 22 erhält über den Kontaktierungsabschnitt 3 ein Rücksetzsignal von der Terminaleinrichtung, um die CPU 27 zu initialisieren.
Nach Ablauf der festgelegten Zeit im Online-Modus wird die Versorgungssteuerung 23 auf den Betrieb mit einer externen Stromquelle (von der Terminaleinrichtung über den Kontaktierungsabschnitt 3 geliefert) anstelle der Batterie 6 umgeschaltet. Im Offline-Modus, d. h. wenn die Spannung der externen Stromquelle abnimmt, wird die Versorgungssteuerung 23 auf den Betrieb aus der Batterie 6 anstelle der externen Stromquelle umgeschaltet. Wenn im Offline-Modus keine Tastatureingabe erfolgt (in einem Bereitschaftszustand), so hält die Taktsignal-Steuerung 25 den Oszillator 26 zur Generierung eines Taktes mit einer Frequenz von 1 MHz an. Zusätzlich wird kein Taktsignal an die CPU 27 geliefert, so daß die gesamte Schaltung angehalten ist. In diesem Zustand kann durch Betätigung der Starttaste 17 der Oszillator 26 aktiviert werden. Zusätzlich wird ein Uhrentakt von 32.768 kHz vom Zeitbasisabschnitt 32 an die CPU 27 geliefert. Mit der nächsten Tastenbetätigung nach der Starttaste 17 wird der 1 MHz-Taktausgang vom Oszillator 26 an die CPU 27 geliefert. Im Online-Modus wird durch Übermittlung eines Rücksetzsignals von der Rücksetzschaltung 22 das von der Terminaleinrichtung über den Kontaktierungsabschnitt 3 gelieferte Taktsignal an die CPU 27 gelegt.
Im Programmspeicher 28 sind ein Transaktionsfunktionsprogramm, ein Uhrenfunktionsprogramm, ein Programm für Rechnerfunktionen, ein Programm für die Funktionen eines elektronischen Notizbuchs und andere mehr gespeichert. Die CPU 27 arbeitet diese Programme im Programmspeicher 28 in selektiver Weise ab, so daß selektiv die Transaktionsfunktion, die Uhrenfunktion, die Rechnerfunktion, das elektronische Notizbuch etc. aktiv sind.
Die Kontendaten (einschließlich Gültigkeitsdatum für Transaktionen, PIN-Kennung, Aktualisierungsnummer des Gültigkeitsdatums für Transaktionen und des Betragslimits) der oben beschriebenen Konten eins bis vier werden im Datenspeicher 30 abgelegt. Wenn eine der obigen Kontentasten 7 bis 10 betätigt wird, werden die zugehörigen Kontendaten angewählt und die zugehörige Bearbeitung der Kontendaten wird ausgeführt. In einem Speicherbereich für ein elektronisches Notizbuch im Datenspeicher 30 werden Adressen, Namen und Telefonnummern gespeichert.
Der Zeitbasisabschnitt 32 umfaßt den Frequenzteiler 321, der einen vom Oszillator 33 ausgegebenen Takt von 32.768 kHz teilt und einen Takt von einer Sekunde generiert, sowie den ersten und den zweiten Zeitgeber, die durch Zählung des vom Frequenzteiler 321 erzeugten Takts Uhrendaten bestehend aus Jahr, Monat, Tag und Uhrzeit generieren. Der erste Zeitgeber 322 ist ein Zeitgeber für eine Anzeige, dessen Uhrendaten vom Karteninhaber über die Tastatur 5 beliebig eingestellt und geändert werden können. Der zweite Zeitgeber 323 ist z. B. ein Zeitgeber, dessen Uhrendaten bei der Ausgabe der Karte gesetzt werden, und die nur geändert werden können, wenn die Gültigkeit der Operation durch die festgelegten Prüfverfahren bestätigt wird.
Die Anzeigeansteuerung 34 wandelt die von der CPU 27 gelieferten Anzeigedaten mittels eines Zeichengenerators (nicht dargestellt) mit internem ROM in Zeichenmuster, und bringt die gewandelten Zeichenmuster über den Anzeigentreiber 35 im LCD-Display 4 zur Anzeige.
Die Generierungsschaltung 37 zur Generierung von Bestätigungsdaten generiert Referenzbestätigungsdaten zur Bestätigung der Gültigkeit der Eingabedaten. Wie in der Fig. 3 gezeigt, generiert die Generierungsschaltung 37 zur Generierung von Bestätigungsdaten z. B. durch festgelegte Schlüsseldaten verschlüsselte Bestätigungsdaten auf Basis der Eingabedaten,. etwa eines Kontentyps, eines ergänzenden Betrags zum Betragslimit und des Gültigkeitsdatums für Transaktionen (Jahr, Monat und Tag) sowie der im Datenspeicher 30 in der Karte gespeicherten Verschlüsselungsgenerierungsdaten (inhärente Daten), etwa einer Aktualisierungsnummer für das Betragslimit und eines Gültigkeitsdatums für Transaktionen.
Nachstehend wird für diese Anordnung der Fall beschrieben, daß der Inhaber einer IC-Karte einen Artikel einkauft, wobei er diese IC-Karte z. B. im Offline-Modus benutzt. Zunächst gibt der Karteninhaber die IC-Karte an einen Verkäufer des Geschäfts. Der Verkäufer überträgt die eingeprägten Daten auf der IC-Karte mittels eines Prägungsdruckers in das Prägedruckfeld eines Belegformulars. Anschließend gibt der Verkäufer die IC-Karte an den Karteninhaber zurück und trägt die Transaktionsdaten wie Betrag und Datum in die betreffenden Felder des Belegformulars ein.
Der Karteninhaber wählt über die Kontentasten 7 bis 10 der Tastatur 5 einen Kontentyp. Die CPU 27 liest die Kontendaten entsprechend dem gewählten Kontentyp aus dem Datenspeicher 30 aus. Die CPU 27 bringt den Kontentyp auf dem LCD-Display 4 zur Anzeige und gibt gleichzeitig eine Meldung aus, die den Karteninhaber zur Eingabe einer PIN-Kennung auffordert. Der Karteninhaber gibt die PIN-Kennung über die zehn Tasten 11 der Tastatur 5 ein. Danach vergleicht und verifiziert die CPU 27 die eingegebene PIN-Kennung mit der PIN-Kennung der Kontendaten, die aus dem Speicher 30 ausgelesen wurden, um die Berechtigung des Karteninhabers zu prüfen. Wird als Ergebnis dieser Prüfung festgestellt, daß der Karteninhaber ungültig ist, so wird eine dementsprechende Meldung auf dem LCD-Display 4 ausgegeben, und die Transaktion wird beendet. Ist der Karteninhaber jedoch gültig, so gibt die CPU 27 die Meldung "Shopping?", aus. Betätigt der Karteninhaber die Taste 17 "Yes" (Ja) der Tastatur 5, so stellt die CPU einen "Shopping"-Modus (Einkäufe) ein. Zusätzlich vergleicht und verifiziert die CPU 27 das Gültigkeitsdatum für die Transaktionen der aus dem Datenspeicher 30 ausgelesenen Kontendaten anhand der von der zweiten Zeitgeberschaltung 323 generierten Daten, um die Gültigkeit des Datums zu bestätigen. Als Ergebnis der Abprüfung wird, wenn das Transaktionsdatum nicht innerhalb des Gültigkeitsbereichs der IC-Karte liegt, im LCD-Display 4 eine Meldung ausgegeben, daß das Gültigkeitsdatum überschritten ist, und die Transaktion wird abgebrochen. Bei einem Ergebnis der Abprüfung dahingehend, daß das Transaktionsdatum innerhalb des Gültigkeitszeitraums liegt, bringt die CPU 27 eine Meldung zur Ausgabe, die den Karteninhaber zur Eingabe des Betrags für die Transaktion auffordert.
Wenn daher der Karteninhaber den Betrag für die Transaktion über die zehn Tasten 11 der Tastatur 5 eingibt, vergleicht und verifiziert die CPU 27 den eingegebenen Betrag für die Transaktion anhand der Daten für das Betragslimit in den aus dem Datenspeicher 30 ausgelesenen Kontendaten und stellt fest, ob die Transaktion möglich ist oder nicht. Als ein Ergebnis dieser Prüfung erscheint im Fall, daß die Transaktion nicht möglich ist, die Meldung mit dem Hinweis auf die Zurückweisung der Transaktion in der LCD-Anzeige, und die betreffende Transaktion wird abgebrochen. Im Gegensatz dazu, wenn die Transaktion möglich ist, subtrahiert die CPU 27 den eingegebenen Betrag für die Transaktion vom Betragslimit für die Transaktionen in den aus dem Datenspeicher 30 ausgelesenen Daten und aktualisiert das Betragslimit für die Transaktionen im Datenspeicher 30 mit dem Ergebnis der Subtraktion als neues Betragslimit für die Transaktionen.
Danach gibt der Karteninhaber die IC-Karte dem Verkäufer. Der Verkäufer nimmt die IC-Karte entgegen, trägt den angezeigten Kontentyp in das betreffende Feld des Belegformulars ein und gibt das Belegformular an den Karteninhaber. Der/Die Karteninhaber(in) unterzeichnet im Unterschriftfeld und gibt das Belegformular an den Verkäufer zurück. Damit ist der Einkaufsvorgang abgeschlossen.
Die Aktualisierung des Betragslimits für Transaktionen und des Gültigkeitsdatums für Transaktionen des angegebenen Kontentyps als ein Beispiel für die Gültigkeit der Eingabedaten werden nachstehend unter Bezug auf die Fig. 3 beschrieben.
Der Karteninhaber wählt den Kontentyp über die Kontentasten 7 bis 10 der Tastatur 5. Anschließend liest die CPU 27 die zum angewählten Konto gehörigen Kontendaten aus dem Datenspeicher 30 aus und zeigt die Kontendaten auf dem LCD-Display 4 an; außerdem wird eine Meldung ausgegeben, die den Karteninhaber auffordert, die PIN-Kennung einzugeben. Sobald der Karteninhaber die PIN-Kennung über die numerischen Tasten 11 der Tastatur 5 eingibt, vergleicht und verifiziert die CPU 27 die eingegebene PIN-Kennung mit den Daten der PIN-Kennung in den aus dem Datenspeicher 30 ausgelesenen Kontendaten und prüft die Gültigkeit des Karteninhabers. Wird als Ergebnis dieser Prüfung festgestellt, daß der Karteninhaber ungültig ist, so wird eine dementsprechende Meldung auf dem LCD-Display 4 ausgegeben, und die Abwicklung wird beendet. Ist der Karteninhaber jedoch gültig, so gibt die CPU 27 die Meldung "Shopping?" auf der LCD-Anzeige 4 aus. Nun betätigt der Karteninhaber mehrere Male die Taste 12 "Next" auf der Tastatur 5, um einen Modus anzuwählen. Nachdem die Meldung "Update?" (Aktualisieren) in der LCD- Anzeige 4 erscheint, wird die Betätigung der Taste 12 "Next" beendet. Betätigt nun der Karteninhaber die Taste 17 "Yes" der Tastatur 5, so stellt die CPU 27 den Aktualisierungsmodus ein, wobei die Aufforderung an den Karteninhaber zur Eingabe des Betrages in der LCD-Angabe 4 ausgegeben wird.
Gibt der Karteninhaber darauf über die numerischen Tasten 11 der Tastatur 5 den für die Aktualisierung des Transaktionslimits erforderlichen Betrag ein, so reagiert die CPU 27 über die LCD-Anzeige 4 mit einer Eingabeaufforderung für die Bestätigungsdaten. Der Karteninhaber gibt nun die Bestätigungsdaten über die Tastatur 5 ein. Die über die Tastatur 5 eingegebenen Bestätigungsdaten werden wie folgt generiert. Der Karteninhaber ruft z. B. ein Kreditinstitut an und teilt dem Institut den zu aktualisierenden Kontentyp einschließlich Betragslimit und Gültigkeitsdatum für Transaktionen mit. Daraus stellt das Kreditinstitut einen verschlüsselten Datensatz aus dem zu aktualisierenden Kontentyp, dem Betragslimit und dem Gültigkeitsdatum für Transaktionen sowie aus der Aktualisierungsnummer und mit Schlüsseldaten auf Basis von DES zusammen, wobei auf ein Host-System mit dem gleichen Algorithmus wie in der Generierungsschaltung 37 zur Generierung von Bestätigungsdaten zurückgegriffen wird. Anschließend werden die Bestätigungsdaten generiert. Die generierten Bestätigungsdaten werden über Telefon an den Karteninhaber übermittelt. Der Karteninhaber gibt die Bestätigungsdaten über die Tastatur 5 ein.
Nach der oben beschriebenen Eingabe der Bestätigungsdaten gibt der Karteninhaber den Kontentyp, das Betragslimit und das Gültigkeitsdatum für Transaktionen (Jahr, Monat und Tag) ein, die bei der Aktualisierung der Transaktionsdaten eingetragen werden sollen. Die CPU 27 übernimmt diese Eingabedaten und übermittelt eine Aktualisierungsnummer (laufende Nummer) aus den vom Datenspeicher 30 ausgelesenen Kontendaten an die Generierungsschaltung zur Generierung von Bestätigungsdaten 37. Es ist anzumerken, daß die Aktualisierungsnummer mit jeder Aktualisierung des Betragslimits und des Gültigkeitsdatums für Transaktionen aktualisiert wird. Die Generierungseinrichtung 37 zur Generierung von Bestätigungsdaten verschlüsselt den zu aktualisierenden Datenstring aus angegebenem Kontentyp, Betragslimit und Gültigkeitsdatum für Transaktionen sowie die Aktualisierungsnummer (in einem bestimmten Bereich des Datenspeichers gehalten) unter Verwendung der Schlüsseldaten entsprechend DES, um die Referenzbestätigungsdaten zu generieren. Die CPU 27 vergleicht die eingegebenen Bestätigungsdaten mit den Referenzdaten. Stimmen diese Daten überein, so stellt die CPU 27 fest, daß die Eingabedaten und die eingegebenen Bestätigungsdaten gültig sind, und aktualisiert die Daten für das Betragslimit und die Daten für das Gültigkeitsdatum für Transaktionen in den angewählten Kontendaten auf Basis der Eingabedaten. Stimmen andererseits die obigen Daten nicht überein, so stellt die CPU 27 fest, daß mindestens die Eingabedaten oder die eingegebenen personenbezogenen Daten ungültig sind, und bricht die Aktualisierung ab.
Wenn das Betragslimit und das Gültigkeitsdatum für die Transaktionen wie oben beschrieben durch Eingabe von Daten (Kontentyp, zu aktualisierender Betrag, Datum) über die Tastatur aktualisiert werden, so werden die anhand der vorgegebenen Schlüsseldaten verschlüsselten Bestätigungsdaten auf Basis der Eingabedaten und der Verschlüsselungsgenerierungsdaten in der Karte, wie z. B. einer im Datenspeicher gespeicherten Aktualisierungsnummer, generiert. Anschließend werden die generierten Bestätigungsdaten anhand der über die Tastatur eingegebenen Bestätigungsdaten verifiziert und die Gültigkeit der obigen Eingabedaten geprüft. Die Gültigkeit der über die Tastatur eingegebenen Daten kann somit geprüft werden. Ist das Ergebnis der Prüfung negativ, wird die Aktualisierung abgebrochen. Die Aktualisierung wird nur ausgeführt, wenn das Ergebnis der Prüfung positiv ist, so daß eine unzulässige Aktualisierung der im Speicher 30 gespeicherten Daten für das Betragslimit und für das Gültigkeitsdatum für Transaktionen verhindert werden kann.
Wenn in der Karte die Aktualisierungsnummer (laufende Nummer) als Verschlüsselungsgenerierungsdatum verwendet wird, ist eine Kontrolle derart möglich, daß ein einmal zur Verschlüsselung herangezogener Wert nicht nochmals verwendet werden kann. Genauer gesagt, die letzte Aktualisierungsnummer wird mit den Bestätigungsdaten bei der nächsten Aktualisierung eingegeben. Durch Vergleich der eingegebenen Aktualisierungsnummer mit der Aktualisierungsnummer im Datenspeicher kann für den Fall, daß die gleiche oder eine kleinere Aktualisierungsnummer eingegeben wird, die Aktualisierung verhindert werden.
Es ist anzumerken, daß obwohl die oben beschriebene Ausführungsform für den Offline-Modus beschrieben wird, die Funktion im Online-Modus in ähnlicher Weise abläuft wie im Offline-Modus. In diesem Fall werden die Daten für die Aktualisierung (Kontentyp, zu aktualisierender Betrag und Datum) sowie die Bestätigungsdaten über die Tastatur des Terminalgeräts eingegeben, in das die IC-Karte für den Online-Betrieb eingeführt ist. Danach werden die betreffenden Daten über den Kontaktierungsabschnitt 3 und die Kommunikationssteuerung 21 der IC-Karte an die CPU 27 übermittelt.
Bei der obigen Ausführungsform werden das Betragslimit und das Gültigkeitsdatum für Transaktionen gleichzeitig aktualisiert. Diese Daten müssen jedoch nicht unbedingt gleichzeitig aktualisiert werden, sondern können auch einzeln aktualisiert werden. Darüber hinaus ist die Aktualisierung nicht auf das Betragslimit und auf das Gültigkeitsdatum für Transaktionen beschränkt, sondern es können auch andere Daten aktualisiert oder modifiziert werden.
Obwohl in der obigen Ausführungsform die Aktualisierungsnummer als Verschlüsselungsgenerierungsdatum innerhalb der Karte verwendet wird, sind die betreffenden Daten nicht auf die Aktualisierungsnummer beschränkt. Es können z. B. Uhrendaten vom zweiten Zeitgeber 323 oder eine Transaktionsnummer (mit jeder Transaktion aktualisiert und anschließend im Datenspeicher 30 gespeichert) herangezogen werden.

Claims

1. Tragbarer elektronischer Apparat, der folgendes umfaßt:

- ein Speicherungsmittel (30) zur Speicherung von Kontenbewegungsdaten einschließlich Daten zum Kreditlimit und zum Ablaufdatum;

- eine Steuereinrichtung (27, 28) zur Steuerung der Speicherungsmittel für die Kontenbewegungsdaten (30);

- eine Generierungseinrichtung (27, 28, 30, 32) für zusätzliche Daten, die sich bei jeder Generierung zusätzlicher Daten voneinander unterscheiden;

- eine Generierungseinrichtung (37) zur Generierung interner Bestätigungsdaten aus Daten, die die zusätzlichen Daten von der Generierungseinrichtung (27, 28, 30, 32) für zusätzliche Daten und die im Speicherungsmittel (30) gespeicherten Kontenbewegungsdaten enthalten, wobei die internen Bestätigungsdaten herangezogen werden, wenn der Dateneintrag zum Kreditlimit oder zum Ablaufdatum aktualisiert werden soll;

- ein Eingangs- oder Einlesemittel (5) zum Einlesen mindestens des Dateneintrags zum Kreditlimit oder zum Ablaufdatum, der im Speicherungsmittel (30) aktualisiert werden soll; und

- eine Vergleichereinrichtung (27, 28) zum Vergleich der internen Bestätigungsdaten mit Referenzbestätigungsdaten;

dadurch gekennzeichnet, daß

- eine Empfangseinrichtung (3, 21) externe Bestätigungsdaten von einem externen Gerät empfängt, wobei die externen Bestätigungsdaten zur Bestätigung der Erneuerung mindestens der Daten zum Kreditlimit oder zum Ablaufdatum, die vom Einlesemittel (5) in das Speicherungsmittel (30) eingegeben wurden, herangezogen werden;

- die Vergleichereinrichtung (27, 28) die internen Bestätigungsdaten, die von der Generierungseinrichtung (37) zur Generierung interner Bestätigungsdaten generiert wurden, mit den externen Bestätigungsdaten von der externen Einrichtung vergleicht, um ein Vergleichsergebnis zu ermitteln; und

- die Steuereinrichtung (27, 28) mindestens die Daten zum Kreditlimit oder zum Ablaufdatum, die im Speicherungsmittel (30) abgelegt sind, mit den vom Einlesemittel (5) eingelesenen Daten aktualisiert, wenn das von der Vergleichereinrichtung (27, 28) erhaltene Vergleichsergebnis eine Übereinstimmung ergibt.

2. Apparat gemäß Anspruch 1, dadurch gekennzeichnet, daß die zusätzlichen Daten eine Aktualisierungsnummer der Kontenbewegungsdaten beinhalten.

3. Apparat gemäß Anspruch 1, dadurch gekennzeichnet, daß die Generierungseinrichtung (37) zur Generierung der internen Bestätigungsdaten die internen Bestätigungsdaten durch Verschlüsselung einer Kombination der zusätzlichen Daten und der Kontenbewegungsdaten generiert, wobei ein binärer Wert auf Basis des Datenverschlüsselungsstandards benutzt wird.

4. Apparat nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Steuereinrichtung (27, 28) eine Aktualisierungseinrichtung (27) zur Aktualisierung mindestens der Daten zum Kreditlimit oder zum Ablaufdatum umfaßt, wobei die Generierungseinrichtung (27, 28, 30, 32) für zusätzliche Daten Einrichtungen zur Änderung einer Aktualisierungsnummer enthält, die damit mit jeder Ausführung der Aktualisierung geändert wird, und wobei die Generierungseinrichtung (37) zur Generierung interner Bestätigungsdaten nach jeder Ausführung der Aktualisierung unterschiedliche interne Bestätigungsdaten generiert.

5. Apparat gemäß Anspruch 1, dadurch gekennzeichnet, daß der Apparat funktional mit einem Hostsystem verbunden wird, wobei die externen Bestätigungsdaten von diesem Hostsystem generiert werden.

6. Apparat gemäß Anspruch 5, wobei die Generierungseinrichtung (37) zur Generierung interner Bestätigungsdaten eine gleiche Datengenerierungseinrichtung enthält, wie die Einrichtung zur Generierung der externen Bestätigungsdaten, die im Hostsystem bereitgestellt ist.

7. Apparat nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß die Generierungseinrichtung (27, 28, 30, 32) für zusätzliche Daten Einrichtungen enthält, welche die Aktualisierungsnummer bei einem externen Zugriff zur Aktualisierung vor einer Änderung schützen.

8. Apparat nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Generierungseinrichtung (27, 28, 30, 32) für zusätzliche Daten ein Zeitgeber zur Generierung von Datumsangaben ist, und wobei die Generierungseinrichtung (37) zur Generierung interner Bestätigungsdaten durch Verwendung der Datumsangaben des Zeitgebers bei jeder Ausführung der Aktualisierung unterschiedliche Referenzbestätigungsdaten generiert.

9. Apparat nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Generierungseinrichtung (27, 28, 30, 32) für zusätzliche Daten ein Zähler für die Zählung der laufenden Kontenbewegungsnummer ist, und daher die Generierungseinrichtung zur Generierung interner Bestätigungsdaten durch Verwendung der laufenden Kontenbewegungsnummer des Zählers bei jeder Ausführung der Aktualisierung unterschiedliche Bestätigungsdaten generiert.

10. Apparat nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, daß es sich bei dem Apparat um eine IC- Karte handelt.