JPH09512368A - ターミナルおよび携帯可能なデータキャリア装置を有するデータ伝送システムおよびターミナルにより携帯可能なデータキャリア装置の再チャージ方法 - Google Patents

Abstract

(57)【要約】 少なくとも１つのターミナルと、カウンタとして機能し減額可能な金額（ＷＢＡ）を表す少なくとも１つの第１の金額範囲を有する不揮発性の半導体メモリ（ＮＶＭ）を設けられている少なくとも１つの携帯可能なデータキャリア装置とを有するデータ伝送システムにおいて、不揮発性の半導体メモリ（ＮＶＭ）がカウンタとして機能する第２の金額範囲（ＷＢＢ）を有し、その際に両金額範囲のそれぞれ一方（ＷＢＡまたはＷＢＢ）のみが不揮発性に能動化可能であり、またそわぞれ他方の金額範囲（ＷＢＢまたはＷＢＡ）が一時的にのみ能動化され得る。カードの再チャージの際に新しいカウンタ状態が最初に一時的にのみ能動化された金額範囲（ＷＢＢ）に書込まれ、またこの金額範囲（ＷＢＢ）の正しい書込みの検査後に初めて不揮発性に能動化可能に切換えられる。

Description

【発明の詳細な説明】 ターミナルおよび携帯可能なデータキャリア装置を有するデータ 伝送システムおよびターミナルにより携帯可能なデータキャリア 装置の再チャージ方法 本発明は、少なくとも１つのターミナルと、カウンタとして機能し減額可能な 金額を表す少なくとも１つの第１の金額範囲を有する不揮発性の半導体メモリを 設けられている少なくとも１つの携帯可能なデータキャリア装置とを有するデー タ伝送システムと、携帯可能なデータキャリア装置の金額範囲を再チャージする ための方法とに関する。 このようなデータキャリア装置は、たとえばテレホンカードとして現在一般に 用いられているチップカードである。この場合の固定ターミナルはカード適格電 話装置である。簡単なメモリカードとして構成されているこのようなチップカー ドは、主として支払済みの減額すべき電話単位に対するカウンタとして機能する 不揮発性の半導体メモリ、たとえばＥＥＰＲＯＭを含んでいる。ＥＥＰＲＯＭは その際に、多段のそろばんに類似のカウンタとして動作するように、たとえばヨ ーロッパ特許第0321727 号明細書または米国特許第5,991,332 号明細書に従って 接続することができる。カードの金額、従ってまたカウンタのカウント範囲はカ ウンタの範囲の書込みおよびブロッキングにより決定され、その変更はもはや許 されない。この決定前にはカウンタは常に最大のカウント範囲を有する。現在通 常のテレホンカードは一回しか使用できず、使用後は廃却される。しかし電子財 布としてのこのようなチップカードの使用も話題にのぼっている。この目的で使 用されるチップカードは、カードがある額の減額の後に再チャージ可能であると き、すなわちカウンタ状態が再び高められるときにのみ有意義である。このカウ ンタ状態を高めることは、利用者が現金支払いにより、、クレジットカードによ り、もしくは口座番号の告知によりそのカード上で所望の額を増額し得る特別な チャージターミナルにおいて行われる。チップカードのカウンタを再チャージす る際には、ＥＥＰＲＯＭの構成に基づいて、先ず大きいほうのカウント範囲また はす ベてのカウンタを消去すること、すなわち一時的に過度に高いカウント範囲が設 定されることが必要である。その後に初めて新しいカウンタ状態がプログラミン グ過程によるカウント範囲の更新された制限により設定され得る。 もし利用者がカウンタの消去とカードの更新されたプログラミングとの間の時 間中にカードをターミナルから引き抜くならば、その利用者は過度に高い額を増 額され、それによって不法操作が可能にされる。さらに、、利用者がこのように して過度に高い額が増額され得るようにターミナルとカードとの間のデータトラ フィックを操作することも考えられる。 伝送路上でのデータの操作はいわゆる電子的署名により阻止できよう。伝送す べきデータはさらに秘密キーによりロックされ、また一義的にデータの送信者に 対応付けられている特定のキーによってのみアンロックできる。それによって送 信者が一義的に識別可能になり、また、ロックキーが秘密であるので、データは 操作できなくなる。しかしこのようなロッキングおよびアンロッキングはたとえ ば既知の暗号カードに利用されるもののような高価なマイクロプロセッサによっ てのみ可能な高価で非常に高速の計算機構を必要とする。 従って、本発明の課題は、冒頭に記載した種類のデータ伝送システムおよび方 法であって、、簡単な仕方で携帯可能なデータキャリア装置のカウンタの操作に 対して安全な再チャージが可能であるシステムおよび方法を提供することにある 。 この課題は、不揮発性の半導体メモリに第２の金額範囲が存在しており、その 際に両金額範囲のそれぞれ一方のみが不揮発性に能動化可能であり、またそれぞ れ他方の金額範囲が一時的にのみ能動化され得ることにより解決される。 ここで不揮発性に能動化可能とは、、両金額範囲のどちらが減額され得た金額 範囲として最後に定められたかの情報が作動電圧の遮断後またはチャージ過程の 中断の際にも持続していることを意味する。そのことは、一時的にのみ能動化さ れた金額範囲は作動電圧の遮断後またはチャージ過程の申断および作動電圧の再 投入またはチャージ過程の新たな開始後に再び不能動化され、またもう一度一時 的に能動化されなければならないことを意味する。チップカードの成功裡のかつ 正しい再チャージ後に初めて、すなわち一時的にのみ能動化された金額範囲のカ ウント範囲を残額とターミナルに入力された増額すべき金額との和に相応して正 し く制限した後に初めて、一時的にのみ能動化された金額範囲が不揮発性に能動化 可能に切換えられ、それによって先に不揮発性に能動化された金額範囲が不能動 化され、また新たなチャージ過程に対して先ず一時的にのみ能動化され得る。 すなわち、詐取者が一時的にのみ能動化された金額範囲のチャージ過程の際に カウンタの消去後かつ入力すべき金額に相応するそのカウント範囲の新たな制限 前にカードをターミナルから離すことを試みるとすると、すぐ次の利用の際に、 すなわちすぐ次の作動電圧の印加の際に、さらに不揮発性に能動化可能な金額範 囲が能動化され、また先に一時的にのみ能動化された金額範囲は不能動化される ことになる。 本発明の有利な実施態様では、不揮発性メモリの金額範囲は、請求項２により 、選択論理回路を介して不揮発性フラグメモリと接続されており、その状態によ り不揮発性に能動化される金額範囲が決定される。作動電圧の遮断の際に不揮発 性フラグメモリの状態は持続しており、その際に特定の状態は常に同一の金額範 囲に対応付けられている。 それぞれ他の金額範囲を一時的に能動化するため、本発明によれば、選択論理 回路にチャージ制御信号を与えることができる。このチャージ制御信号はその中 性状態で、すなわち作動電圧の印加後の状態でたとえば論理“０”レベルを有し 、また新たにチャージすべき金額範囲を一時的に能動化するため相応に論理“１ ”レベルに切換えられる。 出力信号は、金額範囲をプログラミング論理回路および検証論理回路と接続す るスイッチング装置を駆動する。金額範囲は、それがプログラミング論理回路お よび検証論理回路と接続されることにより能動化される。 本発明によるデータ伝送システムの携帯可能なデータキャリア装置またはチッ プカードおよびこのシステムの有利な実施態様は請求項５による方法により再チ ャージされる。本方法の有利な実施態様は従属請求項に記載されている。 以下、図面に示されている実施例により本発明を一層詳細に説明する。図面は チャージターミナルならびにそのなかに入れられた携帯可能なデータキャリア装 置の概要図である。データ伝送システムの両部分の本発明にとって重要な回路装 置がブロック図の形で示されている。 携帯可能なデータキャリア装置（以下ではカードと呼ばれ、他の実施例ではキ ーとしても考えられる）は図面中でデータ伝送システムのチャージターミナルに 入れられている。カードは、、有利にはＥＥＰＲＯＭにより実現される不揮発性 メモリＮＶＭを含んでいる。このメモリＮＶＭはその際に多数の範囲に分割され ており、それらのうちの２つが金額範囲ＷＢＡ，ＷＢＢとして機能する。これら の金額範囲ＷＢＡ、ＷＢＢは有利には多段のカウンタとして構成されており、ま たたとえばヨーロッパ特許第0321727 号明細書または米国特許第5,001,332号明 細書に従って接続されている。このようなカウンタは、それらが消去またはロー ドされた状態で論理状態“１”を、従ってまたカウント段の数および段あたりビ ット数により決定される最大カウント範囲を有するならば、ダウンカウンタであ る。適当な数の上段またはいくつかのビットの記述によりカウント範囲が制限さ れ、またこの目標値から最終値“０”までダウンカウントすることができる。 金額範囲ＷＢＡ、ＷＢＢはスイッチング装置ＳＶを介してプログラミング論理 回路ＰＬおよび検証論理回路ＶＬと接続されている。プログラミング論理回路Ｐ Ｌおよび検証論理回路ＶＬはその際に制御装置ＳＴの構成部分である。制御装置 ＳＴの内側に回路部分の接続線が破線で示されており、それによって制御装置Ｓ Ｔへのそのつどの接続線が制御装置ＳＴの内側で制御装置ＳＴの他の図示されて いない部分とも接続できることが示されている。 プログラミング論理回路ＰＬは金額範囲ＷＢＡ、ＷＢＢをプログラミングまた は記述する役割をし、また検証論理回路ＶＬは、記述された範囲が正しく記述さ れたか否かを検証または検査する役割をする。有利には検証論理回路ＶＬは、金 額状態の電子的署名を発生する役割もする。 スイッチング装置ＳＶは選択論理回路ＡＬにより、金額範囲ＷＢＡ、、ＷＢＢ のうち１つだけがプログラミング論理回路ＰＬおよび検証論理回路ＶＬと接続さ れて、またそれにより能動化されるように駆動される。選択論理回路ＡＬはフラ グメモリＦＳにより、またチャージ制御信号ＬＡＤを介して制御装置ＳＴにより 駆動される。選択論理回路ＡＬはたとえば非反転出力端および反転出力端を有す るＥＸＯＲゲートにより形成することができる。フラグメモリＦＳは不揮発性の メモリであり、また制御装置ＳＴからの信号ＰＲＯＧを介して駆動される。フラ グ メモリＦＳは２つの状態をとり得る。その際にこれらの状態の各々が金額範囲Ｗ ＢＡ、ＷＢＢの１つに対応付けられている。フラグメモリＦＳの状態は不揮発性 に記憶されているので、カードへの作動電圧の印加の際に、すなわちチャージタ ーミナルへのカードの挿入により、それぞれ記憶されている状態に相応する金額 範囲ＷＢＡまたはＷＢＢが能動化される。チャージ制御信号ＬＡＤはそのために 作動電圧の印加の際に定められた状態をとる。チャージ制御信号ＬＡＤの状態の 変化後に初めて、選択論理回路ＡＬから相応に駆動されるスイッチング装置ＳＶ によりそれぞれ他方の金額範囲ＷＢＢまたはＷＢＡが一時的に能動化され、また 先に能動化された金額範囲ＷＢＡまたはＷＢＢが不能動化される。チャージ制御 信号の状態は揮発性であり、またたとえばチャージターミナルからカードを離す ことにより行われる作動電圧の遮断の際に再びその定められた不能動的状態をと るので、作動電圧の各遮断後または本発明によりチャージ過程の各中断後に再び フラグメモリＦＳにより定められた金額範囲が能動化可能であり、または能動化 されている。 制御装置ＳＴからフラグメモリＦＳへの信号ＰＲＯＧによりフラグメモリの状 態の変化、従ってまた能動化された金額範囲または不能動化された金額範囲の交 換が不揮発性に行われ得る。 不揮発性のメモリＮＶＭは別の範囲として、後で説明される署名メモリＳＩＧ ＳＰと、チャージ過程をカウントし得るチャージカウンタＬＺと、カード固有の データが記憶されている範囲ＫＳＤと、、秘密コードが記憶されている範囲ＧＣ とを含んでいる。 制御装置ＳＴにはさらに、検証論理回路ＶＬと作用的に結合されておりまたさ らに不揮発性メモリＮＶＭの署名メモリＳＩＧＳＰ、チャージカウンタＬＺ、範 囲ＫＳＤおよび秘密コード範囲ＧＣと接続されている擬似乱数発生器ＰＺＧが含 まれている。この擬似乱数発生器ＰＺＧは有利にはヨーロッパ特許第 0616429号 明細書に従って構成されている。 またチャージターミナルには、同じく検証論理回路ＶＬＴおよび擬似乱数発生 器ＰＺＧＴを含んでいる制御装置ＳＴＴも含まれており、その際に両擬似乱数発 生器ＰＺＧおよびＰＺＧＴは、カードおよびターミナルが真であれば、同一でな ければならない。カードの制御装置ＳＴおよびターミナルの制御装置ＳＴＴは、 データを交換し得るように、導線ＬＴＩ、ＬＴ２を介して互いに接続されている 。 チャージ過程の開始時にターミナルはカード固有のデータ、能動化された従っ てまた減額可能な金額範囲ＷＢＡまたはＷＢＢの現在の状態ならびにチャージカ ウンタＬＺおよび署名メモリＳＩＧＳＰの状態を読む。カード固有のデータから 真のターミナルがたとえば表によりカードの秘密コードを求める。これらのデー タならびに別の乱数、いわゆるチャレンジはターミナルにおいて擬似乱数発生器 ＰＺＧＴに入力され、この擬似乱数発生器がレスポンスを計算する。チャレンジ もレスポンスもそれに基づいてカードに伝達される。そこで同じくデータにより レスポンスが計算され、またターミナルから伝達されたレスポンスと、同じく制 御装置ＳＴに含まれているコンパレータにより比較される。合致の際にはターミ ナルは真であることが証明される。なぜならば、それは一方では正しい秘密コー ドを求める立場にあったし、またさらに正しい擬似乱数発生器を有するからであ る。 擬似乱数発生器ＰＺＧまたはＰＺＧＴは金額範囲ＷＢＡまたはＷＢＢの内容、 すなわちそのカウンタ状態の電子的署名を発生する役割もする。擬似乱数発生器 の出力信号はカードの秘密コードに関係しており、、またこの秘密コードによっ てのみ検算されるので、擬似乱数発生器ＰＺＧまたはＰＺＧＴの出力信号の合致 の際には同一の秘密コードが使用されていなければならない。こうして擬似乱数 発生器の出力信号は一義的に特定のカードに対応付け可能であり、このことはカ ウンタ状態の下のカードの署名と呼ばれる。 多数の計算過程の解析により擬似乱数発生器の構成および入力されたデータを 求められないように、入力されたデータの１つまたはそれ以上が変更可能であり 、また各計算過程により変化する。これらのデータの１つは、カウント範囲が使 い果たされるときに各々の新しいチャージ過程、、従ってまた各々の新しい計算 過程により１だけ高められまたはリセットされるチャージカウンタＬＺの状態で ある。 他のデータは署名メモリＳＩＧＳＰの内容である。このなかにそれぞれ先行の カウンタ状態の署名である擬似乱数発生器の先行の計算結果が書込まれる。それ によって、擬似乱数発生器の出力信号がごくわずかな確率でのみ繰り返され、ま たこうして解析され得ないことが保証される。 署名メモリＳＩＧＳＰには、本発明の一実施例では、署名としてチャージ過程 がチャージターミナルを介して各チャージ過程の際に新しい値が直接に書込まれ 得る。 本発明によるチャージ過程は最も簡単には、チャージターミナルへのカードの 挿入後、従ってまた作動電圧の印加後に、フラグメモリＦＳの状態により定めら れる金額範囲ＷＢＡまたはＷＢＢが能動化され、またターミナルから読出される ように進行する。チャージ制御信号ＬＡＤの状態の変更により他方の金額範囲Ｗ ＢＢまたはＷＢＡが一時的に能動化され、また先に能動化された金額範囲が一時 的に不能動化される。その後にいまや能動化された金額範囲ＷＢＢまたはＷＢＡ が消去され、その際にそのカウンタは過度に大きいカウント範囲を受け入れる。 それに基づいてターミナルではその古いカウンタ状態および利用者によりターミ ナルに入力された増額すべき金額から新しいカウンタ状態が求められ、またカー ドに伝達される。利用者がそれ以前にカードをターミナルから離したとすると、 その利用者は、金額範囲のプログラミングが既に最終的かつ不揮発性に行われた ならば、過度に高い金額を増額されて受け取るであろう。しかし、ターミナルへ のカードの新たな挿入により、本発明によれば、フラグメモリＦＳの状態がまだ 変更されていなかったので、再び以前の金額範囲ＷＢＡまたはＷＢＢが能動化さ れる。新しいカウンタ状態が一時的に能動化された金額範囲ＷＢＢまたはＷＢＡ にプログラムされたときに初めて、フラグメモリＦＳの状態が制御装置ＳＴから の信号ＰＲＯＧにより変更され、それによって新しい金額範囲が不揮発性に能動 化可能であり、またたとえば金額を減額するために、作動電圧の各々の新たな印 加の際に、すなわちターミナルへのカードの各々の挿入の際に能動化される。 ターミナルからカードへの伝送の際の新しいカウンタ状態の操作を防止するた め、本発明による方法の実施例では、カードへの新しいカウンタ状態の伝送後に そこで上記の方法によりカウンタ状態が署名される。署名は続いてターミナルに 伝送され、またそこで同じく求められた署名と比較される。合致の際には、正し いカウンタ状態がカードに伝送されたことが保証される。不合致の際には、チャ ージ過程が中断され、それによって誤ったカウンタ状態はその後の減額過程に影 響しない。なぜならば、フラグメモリＦＳの状態がまだ変更されていないからで ある。フラグメモリＦＳの状態は署名の合致の認識およびターミナルからカード への相応の信号の伝達後に初めて変更される。 本発明による方法の実施例では、ターミナルは、チャージ過程を開始できる以 前に、カードに対して真正証明をしなければならない。それにより、誤ったチャ ージ装置がカードの増額のために利用できないことが保証される。この真正証明 のために、ターミナルによりカードから読まれたデータおよびチャレンジからレ スポンスが計算され、このレスポンスがチャレンジと一緒にカードに伝達され、 またそこで同じくチャレンジおよびカードデータにより計算されたレスポンスと 比較される。レスポンスの合致の際にのみチャージ制御信号ＬＡＤおよびプログ ラミング信号ＰＲＯＧが発生され、またそれによってチャージ過程を開始できる 。この目的で携帯可能なデータキャリア装置には、制御装置ＳＴにより適当に駆 動されるレリーズ装置ＦＧＶＩ、ＦＧＶ２が設けられる。このようなチャージ過 程はその際にたとえばチャージカウンタＬＺの状態の上昇により、またはダミー ‐プログラミングパルスにより開始される。ダミー‐プログラミングパルスはそ の際に、カードの制御装置ＳＴにより制御命令として認識される不揮発性メモリ ＮＶＭの非有効なアドレスへのプログラミングパルスである。 チャージ過程の開始後にも、ターミナルがその正当性を証明し、またチャージ 信号ＬＡＤが発生された後に、詐取者はカウンタ状態の値に影響を及ぼし、また カウンタ状態を不揮発性に能動化するためのプログラミング信号ＰＲＯＧをター ミナルに無関係にレリーズすることに成功し得るおそれがある。本発明による方 法の別の実施例ではプログラミング信号ＰＲＯＧの発生前にターミナルがもう一 度その正当性を証明しなければならない。すなわち、もう一度真正証明をしなけ ればならない。レスポンスの発生はその際にチャージ過程の開始時の最小の正当 性検査の際のそれに相当する。 データキャリア装置から署名計算の枠内で出力され、またプログラミング信号 ＰＲＯＧの発生のために利用され得るレスポンスの繰り返しを避けるため、レス ポンスを発生するため、本発明によれば、各レスポンス計算の際に変化するデー タが使用される。このデータは、各レスポンス計算の前に不揮発性に変更され、 またそのカウンタ状態がレスポンス計算に影響するレスポンスカウンタＲＺに供 給される。レスポンスカウンタＲＺは有利には不揮発性のメモリの範囲として実 現される。 本発明によるデータ伝送システムおよび本発明による方法により携帯可能なデ ータキャリア装置、たとえばチップカードの確実な再チャージが達成される。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ Ｇ０７Ｆ 7/08 7259−5Ｊ Ｇ０９Ｃ 1/00 ６６０Ｃ Ｇ０９Ｃ 1/00 ６６０ 0334−3Ｅ Ｇ０７Ｆ 7/08 Ｚ (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，Ｍ Ｃ，ＮＬ，ＰＴ，ＳＥ)，ＣＮ，ＦＩ，ＪＰ，ＫＲ，Ｒ Ｕ，ＵＡ，ＵＳ

Claims (1)

1. 【特許請求の範囲】 １．少なくとも１つのターミナルと、カウンタとして機能し減額可能な金額（Ｗ ＢＡ）を表す少なくとも１つの第１の金額範囲を有する不揮発性の半導体メモリ （ＮＶＭ）を設けられている少なくとも１つの携帯可能なデータキャリア装置と を有するデータ伝送システムにおいて、不揮発性の半導体メモリ（ＮＶＭ）がカ ウンタとして機能する第２の金額範囲（ＷＢＢ）を有し、その際に両金額範囲の それぞれ一方（ＷＢＡまたはＷＢＢ）のみが不揮発性に能動化可能であり、また それぞれ他方の金額範囲（ＷＢＢまたはＷＢＡ）が一時的にのみ能動化されるこ とを特徴とするデータ伝送システム。 ２．不揮発性メモリ（ＮＶＭ）の金額範囲が選択論理回路（ＡＬ）を介して不揮 発性フラグメモリ（ＦＳ）と接続されており、その状態により不揮発性に能動化 される金額範囲（ＷＢＡまたはＷＢＢ）が決定されることを特徴とする請求項１ 記載のデータ伝送システム。 ３．選択論理回路（ＡＬ）が、、不揮発性に能動化されていない金額範囲（ＷＢ ＢまたはＷＢＡ）の一時的な能動化を行い、また不揮発性に能動化されている金 額範囲（ＷＢＢまたはＷＢＡ）を一時的に不能動化するチャージ制御信号を与え られることを特徴とする請求項２記載のデータ伝送システム。 ４．選択論理回路（ＡＬ）と不揮発性メモリ（ＮＶＭ）との間に、選択論理回路 （ＡＬ）の出力信号に関係してプログラミング論理回路（ＰＬ）および検証論理 回路（ＶＬ）をそれぞれ能動的な金額範囲（ＷＢＢまたはＷＢＡ）と接続するス イッチング装置（ＳＶ）が設けられていることを特徴とする請求項２または３記 載のデータ伝送システム。 ５．データキャリア装置に、、チャージ信号（ＬＡＤ）の発生をターミナルの肯 定的な真正証明の後に初めて許す第１のレリーズ装置（ＦＧＶＩ）が設けられて い ることを特徴とする請求項３記載のデータ伝送システム。 ６．不揮発性フラグメモリ（ＦＳ）が、一時的に能動化されている金額範囲（Ｗ ＢＢまたはＷＢＡ）を不揮発性に能動化可能な金額範囲（ＷＢＡまたはＷＢＢ） に変換させるプログラミング信号（ＰＲＯＧ）を与えられることを特徴とする請 求項２ないし５の１つに記載のデータ伝送システム。 ７．データキャリア装置に、プログラミング信号（ＰＲＯＧ）の発生をターミナ ルの肯定的な真正証明の後に初めて許す第２のレリーズ装置（ＦＧＶ２）が設け られていることを特徴とする請求項６記載のデータ伝送システム。 ８．不揮発性の半導体メモリ（ＮＶＭ）が不揮発性のカウント装置として機能す るレリーズ範囲（ＦＧＢ）を有し、そのなかにレリーズに達するための各試みが 不揮発性に記録可能であり、またこのレリーズ範囲が相い続くレリーズ手順を区 別可能にすることを特徴とする請求項５または７記載のデータ伝送システム。 ９．請求項１ないし８の１つによるデータ伝送システムのターミナルを用いて金 額値を表す携帯可能なデータキャリア装置を再チャージするための方法において 、 ａ）ターミナルを用いて携帯可能なデータキャリア装置から不揮発性に能動化さ れた金額範囲（ＷＢＡまたはＷＢＢ）の古いカウンタ状態を読む工程と、 ｂ）ターミナルにおける古いカウンタ状態およびターミナルに入力された増額す ベきデータから新しいカウンタ状態を計算する工程と、 ｃ）ターミナルから携帯可能なデータキャリア装置へ新しいカウンタ状態を伝達 する工程と、 ｄ）チャージ制御信号（ＬＡＤ）を用いて揮発性にのみ能動化された不揮発性メ モリ（ＮＶＭ）の金額範囲（ＷＢＡまたはＷＢＢ）に新しいカウンタ状態を書く 工程と、 ｅ）フラグメモリ（ＦＳ）の状態の変更により新しいカウンタ状態を有する金額 範囲（ＷＢＢまたはＷＢＡ）を不揮発性に能動化する工程と を含んでいることを特徴とする携帯可能なデータキャリア装置の再チャージ方法 。 １０）工程ｄ）の後に、 ｄ１）携帯可能なデータキャリア装置に新しいカウンタ状態を署名する工程と、 ｄ２）ターミナルにおいて新しいカウンタ状態の署名を確認し、また両署名を比 較する工程と が実行され、 工程ｅ）が両署名の合致後にのみ実行され、また 両署名の不合致の際には中断される ことを特徴とする請求項９記載の方法。 １１）工程ａ）の後に、 ａ１）ターミナルを用いて携帯可能なデータキャリア装置から携帯可能なデータ キャリア装置に対して固有のデータを読む工程と、 ａ２）ターミナルにおいてチャレンジを発生し、またチャレンジおよび固有のデ ータの少なくとも１つの部分および古いカウンタ状態からレスポンスを求める工 程と、 ａ３）ターミナルから携帯可能なデータキャリア装置へチャレンジおよびレスポ ンスを伝達する工程と、 ａ４）携帯可能なデータキャリア装置においてチャレンジからレスポンスを求め 、また両レスポンスを比較する工程と が実行されることを特徴とする請求項９または１０記載の方法。 １２．工程ｄ）またはｄ２）の後に、 ｄ３）ターミナルを用いて携帯可能なデータキャリア装置から携帯可能なデータ キャリア装置に対して固有のデータを読む工程と、 ｄ４）ターミナルにおいてチャレンジを発生し、またチャレンジおよび固有のデ ータの少なくとも１つの部分および古いカウンタ状態からレスポンスを求める工 程と、 ｄ５）ターミナルから携帯可能なデータキャリア装置へチャレンジおよびレスポ ンスを伝達する工程と、 ａ６）携帯可能なデータキャリア装置においてチャレンジからレスポンスを求め 、また両レスポンスを比較する工程と が実行され、 また両レスポンスの合致の際にのみ工程ｅ）に進められ、また不合致の際には 中断される ことを特徴とする請求項９、１０または１１記載の方法。 １３．カウンタ状態を署名するため、またはレスポンスを発生するため、各チャ ージ過程により変化するデータが使用され、また署名またはレスポンスの発生が 擬似乱数発生器（ＰＺＧ）を用いて行われることを特徴とする請求項１０ないし １２の１つに記載の方法。 １４．データが、各チャージ過程をカウントするチャージカウンタ（ＬＺ）の値 であることを特徴とする請求項１３記載の方法。 １５．データが、それぞれ不揮発性に能動的な金額範囲（ＷＢＡまたはＷＢＢ） の古い値の署名が書込まれる署名メモリ（ＳＩＧＳＰ）の値であることを特徴と する請求項１３記載の方法。 １６．データが、チャージ過程の署名としてチャージターミナルを介して各々の 新しいチャージ過程の際に新しい値が書込まれる署名メモリ（ＳＩＧＳＰ）の値 であることを特徴とする請求項１３記載の方法。 １７．各レスポンス計算の前にレスポンスカウンタ（ＲＺ）が不揮発性に変更さ れ、また変化するデータとして使用されることを特徴とする請求項１３記載の方 法。