PT744060E

PT744060E - Portador de dados com modulo electronico

Info

Publication number: PT744060E
Application number: PT95941695T
Authority: PT
Inventors: Michael Lamla; Franz Weikmann; Jurgen Moll
Original assignee: Giesecke & Devrient Gmbh
Priority date: 1994-12-08
Filing date: 1995-12-07
Publication date: 2002-01-30
Also published as: WO1996018172A1; DE59509562D1; JPH09508996A; EP0744060B1; DK0744060T3; ES2160725T3; JP3741317B2; ATE204998T1; US5763869A; DE4443766A1; EP0744060A1

Description

, / . <-ν. -1 - i/AiJ *"

DESCRIÇÃO

PORTADOR DE DADOS COM MÓDULO ELECTRÓNICO

Esta invenção diz respeito a um módulo electrónico compreendendo um circuito integrado com uma unidade de controlo e pelo menos uma memória para armazenar dados e meios de comunicação de circuitos integrados com aparelhos exteriores.

Portadores de dados equipados com módulos electrónicos do tipo acima descrito são conhecidos desde algum tempo, por exemplo, da patente EP 0 426 163 Al. Portadores de dados deste tipo são cada vez mais utilizados para aplicações de equivalência de dinheiro, como por exemplo, cartões de telefone, cartões de portagens, e porta-moedas electrónicos, etc. Neste caso a memória do circuito integrado do módulo electrónico é utilizado para, entre outras coisas, gravar os dados da transacção e armazenar o actual balanço de crédito após a transacção. O portador de dados conhecido em EP-A-0 426 163 contém não só o módulo electrónico com uma memória utilizada desta forma como também um ecrã não volátil ligado ao módulo electrónico e localizado na superfície do portador de dados. O balanço de crédito é indicado neste ecrã e actualizado em cada transacção sob o controlo dos dispositivos de controlo do módulo electrónico do portador de dados. Se o módulo electrónico for mecanicamente destruído e os dados deixarem consequentemente de ser legíveis a partir da memória do módulo, pelo menos o actual balanço de crédito do portador de dados é ainda visível no ecrã e pode ser pago ao proprietário do portador de dados inoperacional. A patente EP-A-0 292 658 apresenta um portador de dados com um

1 módulo clcctrónico tendo um circuito integrado, meios de comunicação com um dispositivo externo e pelo menos duas memórias não voláteis separadas com uma unidade de verificação a si associada. Informação essencial para a operação é escrita de forma idêntica em cada memória. Quando o portador de dados é utilizado a unidade de verificação verifica se a informação presente em cada memória combina, sendo os desvios interpretados como tentativas de manipulação. O documento EP-A-292 658 apresenta as características do preâmbulo da reivindicação 1.

Portadores de dados conhecidos do tipo acima referido envolvem fundamentalmente o problema de que se o circuito integrado for destruído ou impedido o seu funcionamento inadvertidamente ou com intuito de defraudar, não existe a possibilidade de determinar o actual inventário de dados do circuito integrado e assim por exemplo, o actual balanço de crédito. A entidade emissora dos cartões têm de depender daquilo que o utilizador do cartão disser.

Assim, a sugestão conhecida na patente EP-A-0 426 163 é insuficiente para prevenir a manipulação fraudulenta, uma vez que é comparativamente fácil, neste caso, interromper a ligação entre o módulo e o ecrã sem destruir o circuito integrado ou o módulo, para que o balanço de crédito não possa mais ser actualizado no ecrã via o módulo electrónico embora o módulo electrónico propriamente dito permaneça operacional. O portador de dados pode então ser utilizado com o intuito de defraudar, conforme acima explicado. A utilização fraudulenta é, na prática, ainda facilitada até um certo ponto, uma vez que o ecrã pode ser utilizado para simular um balanço de crédito que não esteja já na realidade presente. A solução proposta na patente EP-A-0 292 658 contra-ataca directamente a efectiva manipulação do circuito integrado, mas não previne

-3 - -3 -

contra tentativas de fraude do módulo electrónico através de, em primeiro lugar por exemplo, mecanicamente danificado para impedir o acesso normal aos dados armazenados e em segundo lugar a apresentação de dados supostamente presentes no portador de dados. É assim o problema da invenção propor um módulo electrónico adequado a portadores de dados dos quais ainda podem ser lidos dados quando o módulo não funcionar.

Este problema é resolvido de acordo com as características da principal reivindicação. A ideia de base da invenção é que o módulo electrónico contém adicionalmente pelo menos uma unidade electrónica de verificação cuja superfície é pequena em relação à superfície do circuito integrado do módulo e que contém uma memória não volátil na qual dados são escritos e todos os meios que permitam à memória não volátil ser lida via um interface separado. A unidade electrónica de verificação é de preferência uma parte integral do circuito do módulo e é colocada de forma a estar fora das linhas de danificação preferidas aquando da danificação do circuito integrado. Mais, podem ser providenciados elementos de protecção, por exemplo, díodos ou fusíveis de protecção, para proteger a unidade de verificação contra excessos de voltagem e/ou excessos de carga.

As vantagens obtidas com a invenção devem ser vistas em particular na medida em que um portador de dados equipado com um módulo electrónico inventivo não pode ser facilmente utilizado de forma fraudulenta uma vez que a unidade de verificação electrónica é parte do módulo electrónico e assim a ligação do circuito para a unidade electrónica de verificação não pode ser

propositadamente interrompida. Não obstante ainda podem ser lidos dados da unidade electrónica de verificação se o circuito integrado do módulo se partir. Finalmente não há a necessidade de proporcionar espaço adicional para a unidade electrónica de verificação na superfície do cartão. Uma outra vantagem é que existe uma elevada probabilidade de que a unidade electrónica de verificação ainda estará operacional e possa ser lida se o circuito for destruído, por exemplo, por acção mecânica ou eléctrica vinda de fora ou em geral se a função do circuito for impedida devido a um erro de Hardware ou de lógica.

De acordo com a primeira execução desta invenção a unidade electrónica de verificação contém memória não volátil que pode ser lida em modo de contacto via superfícies de contacto também localizadas na unidade electrónica de verificação. Nesta e nas outras personificações a memória não volátil pode ser formada por exemplo, como um EEPROM.

De acordo com a outra execução a unidade electrónica de verificação contém memória não volátil e um conversor digital-analógico para a conversão e determinação dos dados digitais armazenados num sinal analógico.

Finalmente é também possível dar à memória não volátil da unidade electrónica de verificação um desenho sem contactos por exemplo, através de uma bobina, ou de proporcionar outros dispositivos na unidade de verificação para tomar o conteúdo da memória não volátil acessível ao exterior. A unidade electrónica de verificação pode também ser formada como um unidade separada que é de preferência parte do módulo electrónico a par do circuito integrado.

Outras vantagens e personificações da invenção serão explicadas

-5-

cm relação aos seguintes desenhos, em que:

Fig. 1 mostra um portador de dados na vista de planta;

Fig. 2 mostra o circuito integrado do módulo electrónico;

Fig. 3 mostra uma unidade electrónica de verificação;

Fig. 4 mostra uma unidade electrónica de verificação;

Fig. 5 mostra uma unidade electrónica de verificação;

Fig. 6 mostra uma unidade electrónica de verificação.

Fig. 1 mostra um portador de dados 1 na forma de um cartão IC com módulo electrónico 3 para contactos com a troca de dados numa vista de planta. Tanto as dimensões exteriores do cartão IC como a posição do módulo electrónico são fixadas num padrão. Na superfície do cartão IC 1 dados alfanuméricos 5 designando por exemplo, o nome do proprietário do cartão, etc., podem estar presentes dependendo da aplicação do cartão. O módulo electrónico 3 contém um circuito integrado que é electronicamente ligado com os meios de comunicação, isto é com as superfícies de contacto 7 no exemplo apresentado. O circuito e as ligações condutoras do circuito para as superfícies de contacto são normalmente fixadas com um composto de fixação para a protecção contra cargas mecânicas. O âmbito da aplicação da invenção não está restrito ao cartão IC com superfícies de contacto mostrado na Fig. 1. A invenção pode também ser utilizada da mesma maneira para cartões IC tendo acoplamento sem contactos, em que a troca de dados se efectua por exemplo, via uma bobina disposta no cartão IC.

Fig. 2 mostra o circuito integrado 9 do módulo electrónico que contém o interface 11 de input / output de dados em série, a unidade de controlo 13 e a memória 15. A unidade de controlo 13 pode estar presente tanto como uma unidade fisicamente ligada ou como um microprocessador. Os elementos referidos e a sua cooperação são conhecidas no estado da arte e por isso não

t&i.

-6-

necessitam de ser explicadas em mais pormenor. A memória 15 é formada como uma memória não volátil e os dados da transaeção são nela escritos durante uma transaeção com o portador de dados. Se ocorrer uma falha funcional do circuito integrado, jamais serão lidos dados da memória 15. Em particular se o circuito partir, os seus componentes normais, como a unidade de controlo 13 e a memória 15, podem ser destruídas mecanicamente e assim não estarão mais disponíveis. Da mesma forma é consebível que o circuito seja danificado por cargas ou voltagens inadmissivelmente elevadas. O circuito poderia também ser impedido de funcionar devido a falha de um dos seus componentes por exemplo, devido a um defeito de material ou envelhecimento ou por interrupção de uma ligação. Existe fundamentalmente também a possibilidade de um erro lógico, estando o chip num estado lógico em que a operação própria já não seja possível por exemplo, devido a uma tentativa de manipulação. Assim providencia-se no circuito integrado de acordo com a invenção pelo menos uma unidade electrónica de verificação 17 cuja superfície é pequena em comparação com a superfície do circuito 9 e que assim mais provavelmente permanecerá intacta se o circuito integrado partir. O rácio de superfície do circuito integrado 9 para a unidade electrónica de verificação 17 é aproximadamente na gama de 50:1 a 10:1. Dados são lidos para ou de a unidade electrónica de verificação 17 via linhas necessárias 14 sob controlo da unidade de controlo 13 durante a comunicação correcta do portador de dados com um dispositivo externo. Se houver uma falha funcional do circuito integrado os dados podem pelo menos ser lidos via um interface separado. A probabilidade de a unidade electrónica de verificação 17 permanecer intacta quando o circuito se partir pode ser aumentada se esta for colocada fora das preferidas linhas de danificação do circuito integrado.

-7-

Adicionalmente podem também ser proporcionadas uma pluralidade de unidades electrónicas de verificação 17, conforme mostrado na Fig. 2, para que pelo menos uma destas unidades permanecerá provavelmente intacta quando o circuito integrado se partir. Linhas 14 e outras linhas entre a unidade de verificação 17 ou unidades de verificação 17 e componentes do circuito 9 podem ser proporcionadas com elementos adequados de protecção, por exemplo, fusíveis e/ou díodos de protecção, para proteger a unidade ou unidades de verificação 17 de cargas ou voltagens inadmissivelmente elevadas. A Fig. 2 mostra a unidade electrónica de verificação 17 como sendo uma parte integral do circuito 9. Esta é a execução preferida, uma vez que neste caso é praticamente impossível interromper propositadamente as linhas 14 da unidade de controlo 9 para a unidade electrónica de verificação 17, mesmo se o circuito 9 não for protegido por um composto de fixação. Todavia, é também possível formar a unidade electrónica de verificação 17 como um circuito integrado separado com ligação ao circuito 9 via as linhas 14. Neste caso é vantajoso colocar a unidade electrónica de verificação 17 na proximidade do circuito, para que a interrupção propositada da ligação só seja possível depois da remoção do composto de fixação que normalmente se encontra em redor dos componentes sensíveis do módulo. A manipulação fraudulenta seria então evidente. Uma unidade electrónica de verificação 17 separada é obviamente também formada de tamanho tão pequeno que o mais provável é esta ficar em tacto na eventualidade de uma carga mecânica no módulo electrónico que leve à danificação do circuito integrado 9.

As Figuras 3 a 6 mostram personificações da unidade electrónica de verificação 17. A unidade electrónica de verificação contém normalmente uma área de memória não volátil 19 na qual são escritos dados ou da qual são lidos dados durante a operação normal via as linhas 14 não mostradas nas Figs.3

-8-

a 6. De preferência são apenas gravados dados importantes a fim de minimizar as necessidades de espaço da memória e assim as necessidades de espaço da unidade electrónica de verificação. Se por exemplo, forem exclusivamente gravados os dados do último registo ou parte dos dados do último registo (por exemplo o actual balanço de crédito), será necessário apenas poucas células de memória. Mais, a unidade electrónica de verificação 17 dispõe normalmente de meios separados que permitem acesso à memória não volátil mesmo quando já não é possível o normal acesso de leitura e escrita à unidade electrónica de verificação 17 via a unidade de controlo 13 do circuito (ver Fig. 2). A unidade electrónica de verificação 17 é assim uma área auto-suficiente da qual os dados podem ainda ser lidos independentemente da operacionalidade dos outros componentes do circuito integrado 9 (ver Fig. 2). Não é possível escrever dados na área de memória 19 via o interface separado mostrado nos exemplos, porque por exemplo, a voltagem de programação não pode ser aplicada via o interface separado. Isto tem a vantagem de os dados armazenados não poderem ser alterados com a intenção de defraudar. O interface separado pode naturalmente ser desenhado, se desejado, de forma a permitir que dados sejam escritos na memória 19 através deste. A Fig. 3 mostra a unidade electrónica de verificação 17 construída de forma semelhante ao circuito integrado 9. Assim dispensa a área de memória não volátil 19, a lógica de controlo 21 e as superfícies de contactos separados para a ligação à terra “Ground”, à voltagem de alimentação “Vcc”, à ligação do relógio “Clock?\ à leitura de dados “Out”.

Se requerido, os dados podem ser lidos da área de memória 19 via as superfícies de contactos separados se se remover o composto de fixação do módulo electrónico e se aplicar os correspondentes sinais ou voltagens às

I 1 superfícies de contacto. A leitura de dados da área de memória 19 é então controlada pela lógica de controlo 21 que endereça a área de memória, armazenando temporariamente os dados lidos da memória e passando estes para o interface de série de output “Ouf. A Fig. 4 mostra uma unidade electrónica de verificação 17 com área de memória 19 cujo conteúdo é determinável com a ajuda de um conversor digital-analógico. No exemplo mostrado o conversor digital-analógico é construído como uma ligação paralela de resistências. O percurso da carga pelas resistências individuais é ligado de acordo com o conteúdo das células de memória. Para esta finalidade a voltagem necessária para a leitura é aplicada à área de memória 19 via as superfícies de contacto 23 e 25 mostradas, e o sinal presente na linha de leitura de uma célula de memória é utilizado para ligar um percurso da carga, isto é, numa célula de memória com conteúdo de um “1” lógico o correspondente percurso da carga é fechado enquanto que numa célula de memória com conteúdo de um “0” lógico este permanece aberto. A função de comutação das células de memória é indicada na Figura pelos interruptores 27. Se as resistências Ro a Rj têm diferentes valores (por exemplo, Rq; Ri = 2Ro; R2 = 4Ro; Rj = 2'Ro; onde “i” é o número de células de memória), a ligação paralela das resistências tem, de acordo com os percursos fechados da carga, uma resistência global diferente que é definitivamente determinada pelo conteúdo da memória da área de memória 19. Assim se se também aplicar uma dada voltagem às superfícies de contacto 29 e 31, fluirá uma carga que é uma função do conteúdo da memória de acordo com os percursos fechados da carga. Uma medição das cargas permite assim uma definitiva determinação do conteúdo de memória da área de memória 19.

As resistências associadas às células de memória podem ser realizadas por tecnologia de semicondutores, conforme é do conhecimento dos

10- / lΑ/Μ peritos, a pode assim já ser facilmente proporcionada no circuito integrado 9 ou na unidade electrónica de verificação 17 durante a sua produção. A Fig. 5 mostra uma unidade electrónica de verificação 17 em que a área de memória 19 é legível de uma forma sem contacto. Isto pode ser realizado por exemplo, proporcionando a bobina 33 e lógica de controlo 34 na unidade electrónica de verificação 17 para a leitura dos dados na área de memória 19 via um aparelho externo, conforme conhecido no estado da arte. A área de memória 19 legível via um aparelho externo em forma sem contacto tem a vantagem de não ser necessário remover qualquer composto de fixação envolvendo o circuito integrado do módulo electrónico antes de fazer a leitura. A Fig. 6 mostra uma unidade electrónica de verificação 17 cujo conteúdo de memória é determinável por meio de um dispositivo auxiliar 35. O dispositivo auxiliar 35 pode ter por exemplo, uma matriz de díodos emissores de luz (.LEDs), sendo cada LED associado a uma célula de memória de memória não volátil 19 e iluminando-se ou não dependendo do conteúdo da célula de memória. A requerida voltagem de alimentação pode ser aplicada às superfícies de contacto 23 e 25.

Noutra execução o dispositivo auxiliar 35 tem RAM 35 contendo exactamente tantas células de memória como as áreas de memória 19. Aquando da aplicação da necessária voltagem de alimentação às superfícies de contacto 23 e 25 o conteúdo da área de memória 19 é copiada para a RAM 35. Para esta finalidade é aplicado um sinal de relógio a cada célula de memória da RAM via a superfície de contacto 37, assim transferindo o conteúdo dos dados presentes no output de dados da célula de memória não volátil para a célula RAM. Os dados transferidos para a RAM 25 podem agora ser facilmente determinados utilizando um microscópio de electrões e convertidos em informação óptica, uma vez que a

-11 - quantidade de carga nas células de memória que determina o conteúdo dos dados é relativamente grande na célula da RAM.

Finalmente dever ser mencionado que a unidade electrónica de verificação 17 também pode ser realizada em formas diferentes. Todavia, de acordo com a invenção a unidade electrónica de verificação 17 é sempre parte do módulo electrónico 3 e tem meios separados para pelo menos ler o conteúdo da memória localizada na unidade electrónica de verificação.

Lisboa, 7 de Novembro de 2001

LUIS SILVA CARVALHO Agente Oficial da Propriedade Industria RUA VICTOR CORDON, 14 1200 USBOA

Claims

-1 -

RE1V1JND1CACÕES 1. Um módulo electrónico compreendendo um circuito integrado com uma unidade de controlo e pelo menos uma memória para armazenamento de dados, meios para efectuar comunicação entre o circuito integrado e um aparelho externo, e uma unidade electrónica de verificação que é pequena em comparação com a superfície do circuito integrado e que contém pelo menos uma memória não volátil, caracterizado por: - a memória não volátil (19) da unidade electrónica de verificação (17) é legível independentemente da memória (15) do circuito integrado (9), - dados importantes são adicionalmente armazenados na memória não volátil (19) da unidade electrónica de verificação (17) durante o funcionamento normal, e - a unidade electrónica de verificação (17) tem todos os meios (21 a 35) para permitir a leitura dos dados contidos na memória não volátil (19).
2. Um módulo electrónico de acordo com a reivindicação 1 caracterizado por a unidade electrónica de verificação (17) ser parte do circuito integrado (9) do módulo electrónico (3).
-3- reivindicações 1 a 7 caracterizado por os meios (33, 34) serem localizados dentro da unidade electrónica de verificação (17) que permitem a leitura sem contactos dos dados armazenados na memória não volátil.

3. Um módulo electrónico de acordo com a reivindicação 2 caracterizado por a unidade electrónica de verificação (17) ser colocada no circuito (9) de forma a permanecer intacta com uma elevada probabilidade na eventualidade de danificação do circuito integrado (9).
4. Um módulo electrónico de acordo com qualquer das reivindicações 1 a 3 caracterizado por a unidade electrónica de verificação (17) ser protegida por elementos de protecção contra cargas e/ou voltagens

im -2- -2-

inadmissivelmente elevadas.
5. Um módulo electrónico de acordo com qualquer das reivindicações 1 a 4 caracterizado por serem proporcionadas uma pluralidade de unidades electrónicas de verificação (17).
6. Um módulo electrónico de acordo com qualquer das reivindicações 1 a 5 caracterizado por o mais recente registo de dados ou partes do mais recente registo de dados que suijam no decorrer da comunicação do circuito integrado (9) com um aparelho externo serem gravados na memória não volátil (19) da unidade electrónica de verificação (17).
7. Um módulo electrónico de acordo com qualquer das reivindicações 1 a 6 caracterizado por os dados apenas serem legíveis da memória não volátil (19) via os meios (21 a 35) localizados na unidade electrónica de verificação (17) que permitem a leitura dos dados armazenados na memória não volátil (19).
8. Um módulo electrónico de acordo com qualquer das reivindicações 1 a 7 caracterizado por uma lógica de controlo (21) e ligações à terra, à voltagem de alimentação, a um sinal de relógio e para output de dados estarem presentes no interior da unidade electrónica de verificação (17).
9. Um módulo electrónico de acordo com qualquer das reivindicações 1 a 7 caracterizado por um conversor digital-analógico (23 a 31) estar localizado dentro da unidade electrónica de verificação (17) para converter num sinal analógico os dados armazenados na memória não volátil (19).
10. Um módulo electrónico de acordo com qualquer das
11. Um módulo electrónico de acordo com qualquer das reivindicações 1 a 7 caracterizado por a unidade electrónica de verificação (17) ter díodos emissores de luz (35) para a leitura dos dados armazenados na memória não volátil (19).
12. Um módulo electrónico de acordo com qualquer das reivindicações 1 a 7 caracterizado por os dados armazenados na memória não volátil (19) da unidade electrónica de verificação (17) serem transferíveis para uma outra memória (35) da unidade electrónica de verificação (17) e serem legíveis a partir da dita outra memória (35) através de um microscópio electrónico.
13. Um portador de dados caracterizado por um módulo electrónico (3) de acordo com qualquer das reivindicações 1 a 12. Lisboa, 7 de Novembro de 2001 1*1*. (ΛΑ****- UJ1S SILVA CARVALHO / Agente Oficial da Propriedade Industrial RUA VtCTOR CORDON, 14 1200 USBOA