DE3782328T2

DE3782328T2 - Chipkarte mit externer programmiermoeglichkeit und verfahren zu ihrer herstellung.

Info

Publication number: DE3782328T2
Application number: DE8787118815T
Authority: DE
Inventors: Dennis George Abraham; Glen Paul Double; Steven William Neckyfarow; William Stanley Rohland; Min-Hsiung George Tung
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 1987-01-20
Filing date: 1987-12-18
Publication date: 1993-04-22
Anticipated expiration: 2007-12-19
Also published as: EP0275510B1; EP0275510A3; KR880009319A; KR910007037B1; JPS63182795A; EP0275510A2; DE3782328D1; CN87108157A; CN1010059B

Description

Hintergrund der Erfindung

Technisches Umfeld

Die vorliegende Erfindung bezieht sich auf Verbesserungen in tragbaren Karten, die Prozessoren und Speicher beinhalten. Diese werden in der Industrie als "intelligente Karten" oder "integrierte Schaltkreiskarten" oder "Chipkarten" bezeichnet. Die vorliegende Erfindung bezieht sich insbesondere auf verbesserte Karten und den verbesserten Kartenherstellungsprozeß, wobei die Karten wenigstens teilweise leer oder ohne geladenes Anwendungsprogramm hergestellt und später der Verwendung angepaßt oder mit den entsprechenden Anwendungsprogrammen geladen werden.

Stand der Technik

Zahlreiche Beschreibungen von intelligenten Karten und Systemen, in denen sie eingesetzt werden können, sind in der Technik bekannt. Diese intelligenten Karten werden zum Beispiel in den US- Patentschriften 3.702.464, Erfinder Castrucci, und 4.007.355, Erfinder Moreno, beschrieben. In solchen intelligenten Karten werden die Anwendungsprogramme bei der Herstellung komplett und nicht veränderbar im Festspeicher auf der Karte abgespeichert. Solch ein Festspeicher ist durch die Limitierung charakterisiert, daß das Anwendungsprogramm zum Zeitpunkt der Herstellung festgelegt und bereits während des Herstellungsprozesses in die intelligente Karte geladen werden muß. Nachdem das Programm geladen wurde, erfordert selbst die kleinste Programmänderung die Zerstörung zumindest des Chips, wenn nicht sogar der ganzen Karte.
Diese Technik der Herstellung von intelligenten Karten, die die Anwendungsprogramme in nicht veränderbaren Festspeichern gespeichert haben, bedeutet, daß die Entwicklung des gesamten Anwendungsprogramms der Herstellung einer jeden intelligenten Karte vorangehen muß. Das führt dazu, daß die Entwicklung und die Herstellung nacheinander erfolgen, was die Zeitspanne vom Entwurf eines Anwendungsprogramms bis zur Verfügbarkeit in der fertigen intelligenten Karte verlängert. Als Folge davon ist es notwendig, das Anwendungsprogramm außerhalb der intelligenten Karte zu erproben, wozu ein anderes Instrument oder Gerät als das fertige Produkt notwendig sein kann, was einen weiteren Schritt in der Entwicklung des Programms bedeutet. Weiterhin kann die Simulation des Anwendungsprogramms zusätzliche Software erforderlich machen, um eine Simulation beispielsweise einer Datenstation zu ermöglichen, um mit dem außerhalb der intelligenten Karte befindlichen Anwendungsprogramm zu kommunizieren.
Eine Karte mit einem feststehenden, nicht veränderbaren Programm hat jedoch den Vorteil, bestimmte andere Einschränkungen und Nachteile zu vermeiden. Zum Beispiel kann es, wenn das Programm veränderbar ist und in einem Speicher gespeichert ist, der sich ursprünglich in einem variablen Zustand befand, schwierig sein festzustellen, ob in dem Speicher bereits ein Anwendungsprogramm geladen ist. Ein zweites Beispiel für die Vermeidung einer Einschränkung oder eines Nachteils bei einer Karte mit festem, unveränderlichem Programm ist, daß Absicherungen gegen unberechtigten Zugriff oder Änderung der Daten nicht notwendig ist, da diese Karten einen festen, nicht veränderbaren Speicher besitzen.
Intelligente Karten mit gespeicherten Anwendungsprogrammen, die überschreibbare Speicher zum Speichern von Transaktionsdaten verwenden, wie zum Beispiel der Anzahl der vergeblichen Identifizierungsversuche, oder eines Kontostandes, sind bekannt. Diese Werte müssen regelmäßig aktualisiert werden und wurden bisher vorteilhaft in älteren Systemen verwendet. Jedoch erlaubt es keines dieser Systeme, das Anwendungsprogramm zu ändern, nachdem es auf der intelligenten Karte installiert wurde.
In einer Karte, in deren Speicher ursprünglich kein spezielles Programm geladen war, kann der Speicher zu Beginn ein Zufallsmuster aufweisen. Das macht es schwierig, wenn nicht gänzlich unmöglich, festzustellen, ob etwas Spezifisches in den Speicher geladen wurde, wie zum Beispiel ein gewünschtes Anwendungsprogramm, oder ob das Muster des Speichers nach der Initialisierung nur rein zufällig als Teil eines geladenen Anwendungsprogramms erscheint.
Einige intelligente Karten, die es gegenwärtig gibt, sind insofern nicht wünschenswert, als sie aus mehreren integrierten Schaltkreiselementen bestehen, die einzeln bearbeitet, dann zusammengebaut und untereinander verbunden werden müssen. Entsprechend sind intelligente Karten nach dem Stand der Technik nicht wünschenswert, weil sie einen festen, nicht veränderbaren Speicher besitzen. Das bloße Bereitstellen eines veränderbaren Speichers zum Abspeichern eines Anwendungsprogramms verschiebt überdies lediglich die Problematik. Dementsprechend haben intelligente Karten nach dem Stand der Technik Einschränkungen und Nachteile und entsprechen nicht den Bedürfnissen der Gesellschaft, die diese Karten benutzen, ausstellen und damit arbeiten kann.
Das Dokument EP-A-0 217 281 beschreibt eine intelligente Karte, die aus einer Systemsteuereinheit, einigen Festspeichern - ROM - und einem veränderbaren Speicher - EEPROM, elektrisch löschbaren, programmierbaren ROM - besteht. Die Karte kann mit einem externen Datengerät Daten über eine Ein-/Ausgabe(E/A)-Datenstation austauschen. Die Anwendungssoftware ist teilweise in den ROM-Speichern und teilweise in dem veränderbaren Speicher gespeichert. Genauer ausgedrückt, enthält der veränderbare Speicher Geheimcodes, die für den Betrieb der Karte notwendig sind, und Statusdaten, die anzeigen, ob die Karte vollständig hergestellt, ordnungsgemäß ausgestellt oder durch Eingabe einer persönlichen Identifizierungsnummer - PIN - nutzbar gemacht wurde. Eine feste Einheitsadresse speichert eine spezifische Adresse des nicht verwendeten veränderbaren Speichers. Wird versucht, an einer bestimmten Speicheradresse zu lesen, generiert ein Komparator ein Ausgangssignal, das den Inhalt des veränderbaren Speichers löscht und dadurch einen unbefugten Zugriff auf die dort abgespeicherten Daten verhindert. Dieses Dokument EP-A-0 217 281 fällt unter die Bestimmungen der Artikel 54(3) und (4) EPC.
Der Inhalt dieses Dokumentes greift der Neuheit des im Titel beanspruchten Gegenstandes nicht vor. Dieses Dokument beschreibt eine intelligente Karte mit einem veränderbaren Speicher, welcher Daten als Teil eines Anwendungsprogramms speichert, welche als Reaktion auf einen unbefugten Versuch, sie zu lesen, gelöscht werden. Der veränderbare Speicher speichert ferner Statusdaten, die anzeigen, ob die Daten des Anwendungsprogramms darin geladen wurden.
Es ist die Aufgabe der vorliegenden Erfindung, die Beschränkungen und Nachteile der intelligenten Karten nach dem Stand der Technik zu überwinden.

Zusammenfassung der Erfindung

Diese und andere Aufgaben werden grundsätzlich gelöst, indem die Möglichkeiten angewandt werden, die in den unabhängigen Ansprüchen dargelegt sind. In vorteilhafter Art und Weise stellt die Erfindung eine verbesserte intelligente Karte und ein Verfahren zur ihrer Herstellung und Verwendung dar, wobei die Karte ein veränderbares Speicherelement zum Speichern von Anwendungsprogrammen beinhaltet. Die Karte enthält nach ihrer Herstellung ein Urladeprogramm, welches die notwendigen Anweisungen zum Empfangen und Speichern eines Anwendungsprogramms enthält. Nachdem das Anwendungsprogramm geladen ist, kann es erneut in den veränderbaren Speicher geladen werden. Auf diese Weise kann das Anwendungsprogramm nach dem Herstellungsprozeß geladen und nach Wunsch erneut geladen oder verändert werden.
Im bevorzugten Ausführungsbeispiel der vorliegenden Erfindung wird das Einlesen eines Programms in den Speicher der intelligenten Karte vom Einlesen einer Marke begleitet, die anzeigt, daß das Anwendungsprogramm tatsächlich geladen wurde. Danach kann man nur auf die Marke prüfen, um festzustellen, ob in der intelligenten Karte ein Anwendungsprogramm geladen ist. Dadurch werden die Beschränkungen der Speicher nach dem Stand der Technik ausgeräumt, bei denen während der Herstellung vorkommende Zufallsdaten die Feststellung erschwert, ob in der Karte ein Anwendungsprogramm geladen ist.
Die intelligente Karte dieser Erfindung weist eine Sicherheitsfunktion auf, welche unerlaubte Eingriffe in das darin befindliche Programm verhindert. Diese verhindert das Lesen eines bestimmten Teils des Speichers, um unauthorisierte Programmänderungen zu unterbinden. Das wird erreicht, indem ein Teil des Speichers, zum Beispiel die ersten zwei Seiten, vor der Ausführung des Hauptprogramms, gelöscht wird. Auf diese Art und Weise bleibt die Karte für das erneute Programmieren zugänglich, aber ein unbefugter Benutzer, der herausfinden möchte, wie das Originalprogramm sowie die geheimen Codes aussehen, die sich im Speicher befinden, geht leer aus, denn die Seiten verschwinden (permanent) beim Versuch, sie zu lesen. Die Karte ist danach so lange als intelligente Karte wertlos, bis ein Besitzer des kompletten Programms es erneut lädt. Wäre das nicht so, würde das einer Person mit unlauteren Absichten erlauben, das Programm geringfügig zu ändern (zum Beispiel das Ändern der Identität oder das Verhindern, daß Transaktionen verbucht werden), um die Protokollierung, die in das System hineinkonstruiert wurde, zu unterlaufen.
Die hier vorgestellte intelligente Karte samt des Verfahrens ihrer Herstellung und Verwendung hat den Vorteil, daß die Kartenherstellung (nämlich die Herstellung von Karten, die noch kein Anwendungsprogramm geladen haben) erfolgen kann, während die Anwendungsprogramme noch entwickelt werden. So kann der ziemlich lange Entwicklungsprozeß einer intelligenten Karte mit einem geladenen Anwendungsprogramm in einer kürzeren Zeitspanne erzielt werden, indem das Anwendungsprogramm parallel dazu entwickelt wird. Ferner wird vom Hersteller einer intelligenten Karte nicht mehr verlangt werden vorherzusagen, welche Quantität eines bestimmten Anwendungsprogramms erforderlich sein wird, denn das Anwendungsprogramm ist auf Wunsch nachladbar oder veränderbar. Eine große Menge an "leeren" Karten kann so im voraus hergestellt werden und dann mit dem gewünschten Anwendungsprogramm geladen werden.
Die Tatsache, daß das Anwendungsprogramm entwickelt und nach dem Herstellungsprozeß der intelligenten Karte geladen wird, hat mehrere andere Vorteile. Der Aussteller einer intelligenten Karte, zum Beispiel eine Bank, muß nicht mehr dem Hersteller der intelligenten Karten keine Details seines Sicherheitsplanes oder Untergrenzen für Kredite oder andere vertrauliche Einzelheiten bekanntgeben. All diese Funktionen können später von der Bank selbst in eine leere intelligente Karte geladen werden. Weiterhin kann eine Bank, die eine Zusatzfunktion nicht in ihre intelligente Karte eingegeben hat, weil sie entweder übersehen oder aufgrund sich ändernder Markterfordernisse notwendig wurde, das Anwendungsprogramm einfach abändern und laden und so über eine intelligente Karte mit einem verbesserten Programm verfügen.
Während in dem einen Ausführungsbeispiel der vorliegenden Erfindung die intelligente Karte unter Verwendung herkömmlicher integrierter Schaltkreise hergestellt werden kann, sieht das andere Ausführungsbeispiel der vorliegenden Erfindung die Verwendung eines einzelnen angepaßten integrierten Schaltkreises vor. Dadurch lassen sich die Zwischenverbindungen zwischen den verschiedenen integrierten Schaltkreisen sowie die separaten Befestigungen auf der Kreditkarte selbst vermeiden. Während es die Verwendung von herkömmlichen integrierten Schaltkreisen erlaubt, kleine Mengen intelligente Karten schnell und nicht teuer herzustellen, liegen die Ersparnisse beim Zusammenbau in der Verwendung eines einzigen integrierten Schaltkreises.
Andere Aufgaben und Vorteile der vorliegenden Erfindung werden dem Fachmann anhand der folgenden Beschreibung des eingereichten Ausführungsbeispiels der Erfindung, zusammen mit den angefügten Ansprüchen und den begleitenden Zeichnungen, klar.

Kurze Beschreibung der Zeichnungen

Figur 1 stellt ein Blockdiagramm einer intelligenten Karte der vorliegenden Erfindung dar.
Figur 2 stellt ein Blockdiagramm des Verfahrens dar, bei dem das Anwendungsprogramm in die intelligente Karte geladen wird.

Beste Ausführungsform

Figur 1 zeigt eine intelligente Karte 10, die einen Instruktionsprozessor 12, einen Festspeicher 14 und einen veränderbaren Speicher 16 enthält. Für den Datenaustausch von der Karte 10 mit der Umgebung (externe Übertragung) sind Ein-/Ausgabeleitungen 18 mit dem Instruktionsprozessor 12 verbunden. Die Datenübertragungsleitungen 20 verbinden den Instruktionsprozessor 12, den Festspeicher 14 und den veränderbaren Speicher 16 für die interne Datenübertragung zwischen den Bereichen der Karte 10. Ein Teil des veränderbaren Speichers 16 ist als Markierung 22 bezeichnet.
Die intelligente Karte 10 ist im bevorzugten Ausführungsbeispiel der Erfindung von der Größe einer Standardkreditkarte und entspricht den anerkannten ISO-Standards für Kreditkarten. Obwohl in der Abbildung nicht gezeigt, kann die Karte einen Magnetstreifen haben, der ebenfalls dem entsprechenden kommerziellen Standard über das Speichern von Informationen in den bekannten Magnetstreifenübertragungseinrichtungen entspricht. Andere Daten können nach Wunsch hinzugefügt werden, wie zum Beispiel Sicherheitsmarkierungen, Bezeichnung des Ausstellers, Name des Kunden und Kontonummer, wie es von der jeweiligen Anwendung gefordert werden kann, solange die wesentlichen Funktionen der intelligenten Karte nicht beeinträchtigt werden.
Der Instruktionsprozessor 12 ist ein herkömmlicher Mikroprozessor eines Typs, der weithin bekannt und im Handel erhältlich ist. Für diese Anwendung ist das Modell 8051 von Intel gut geeignet, obwohl auch andere Prozessoren verwendet werden könnten.
Der Festspeicher 14 enthält ein Urladeprogramm, welches beim Herstellungsprozeß implementiert wird. Dieses Urladeprogramm enthält den Basisinstruktionssatz und Instruktionen zum Laden eines Anwendungsprogramms in den veränderbaren Speicher 16. Obwohl irgendeiner der vielen möglichen Festspeichereinrichtungen vorteilhaft für dieses Design verwendet werden könnte, wurde ein Mikroprozessor 8051 von Intel ausgewählt, der einen Festspeicher enthält und damit die Notwendigkeit eines separaten Festspeichers erübrigt.
Der veränderbare Speicher 16 dient der Speicherung des Anwendungsprogramms. In seinem bevorzugten Ausführungsbeispiel ist er ein elektrisch löschbarer programmierbarer ROM (EEPROM), obwohl auch andere Permanentspeicher vorteilhaft verwendet werden könnten. Die vorliegende Erfindung verwendet einen EEPROM 9864A von American Micro Devices, obwohl statt dessen ähnliche Vorrichtungen verwendet werden könnten.
Der veränderbare Speicher 16 enthält das Anwendungsprogramm sowie andere Informationen, die, obwohl nicht öffentlich, veränderbar sind, wie zum Beispiel Chiffrierschlüssel oder persönliche Erkennungsdaten. Diese Anwendungsprogramme sind die Algorithmen oder andere Verfahren, die die intelligente Karte während ihrer Anwendung ausführt und die bei jedem Anwendungsprogramm verschieden sein können. Diese Anwendungsprogramme enthalten Verfahren zum Datenaustausch zwischen der intelligenten Karte und der Außenwelt, zum Beispiel mit einem Bankautomaten, um einen Bankvorgang durchzuführen. Andere Anwendungsprogramme könnten notwendige Sicherheits- und Identifizierungsprozesse und den gewünschten Vorgang durchführen und/oder eine Aufzeichnung in Form eines Protokolls auf der intelligenten Karte herstellen.
In der Natur von Sicherheits- oder Identifizierungsprogrammen liegt die Notwendigkeit für die intelligente Karte und die Datenstation, daß eine gegenseitige Indentifizierungsüberprüfung durchgeführt wird. Das heißt, beide müssen sicherstellen, daß das jeweils andere Gerät rechtmäßig ist und nicht nur eine Fälschung, deren Zweck es ist, Informationen zu erhalten, um dann in das gesamte System einzudringen. Im Hinblick darauf ist in einer gleichzeitig anhängigen Patentanmeldung EP-86114963.1 (EP- A-0 223 122) beschrieben, wie durch ein System von Hindernissen und Kennwörtern die Herausgabe von signifikanten Informationen an eine Fälschung vermieden werden kann. Dieses Patent wird hier durch Zitat einbezogen, da es ein solches Anwendungsprogramm beschreibt, welches in den veränderbaren Speicher 16 geladen werden kann. Im allgemeinen kann man sagen, daß andere Anwendungsprogramme, die in einer intelligenten Karte mit einem nichtveränderbaren Speicher installiert waren, auch für intelligente Karten der vorliegenden Erfindung geeignet sind, in der das Anwendungsprogramm erst nach der Herstellung der Karte geladen werden kann oder nachladbar ist, falls eine Änderung des Anwendungsprogramms gewünscht wird.
Die Anwendungsprogramme könnten dazu verwendet werden, die Benutzeridentifizierung durchzuführen. Das unterscheidet sich von der Geräteidentifikation, die im vorigen Abschnitt diskutiert wurde, und würde sich an die Geräteidentifikation anschließen. Der Zweck einer solchen Benutzeridentifikation ist es sicherzustellen, daß die Person, die eine Transaktion mit der intelligenten Karte durchführt oder einen anderen Geschäftsvorgang tätigt, erkannt wird. Am Beispiel eines Bankautomaten, wie er von Banken derzeit verwendet wird, kann diese Benutzeridentifikation mit Hilfe einer persönlichen Identifizierungsnummer (PIN) über das Tastenfeld des Bankautomaten erfolgen. Die Karte vergleicht dann die eingegebene Nummer mit einer gespeicherten oder einem berechneten Wert, um festzustellen, ob der Benutzer die richtige PIN eingegeben hat.
Auch andere Formen der Benutzeridentifizierung könnten in Anwendungsprogramme eingebaut werden, wie möglicherweise genauere und schwerer fälschbare Formen einer positiven Personenidentifikation, wie zum Beispiel die Fingerabdruckanalyse oder die Dynamik einer Unterschrift. Solche verbesserten Formen der positiven Personenerkennung sind bereits bekannt und könnten durch geeignete Anwendungsprogramme realisiert werden.
Selbstverständlich sind Anwendungsprogramme zum Formatieren von Daten zur Datenübertragung mit der Außenwelt über die Ein-/Ausgabeleitungen 18 notwendig. Die Daten müssen in einem geeigneten Format vorgelegt werden, damit das empfangende Gerät, wie zum Beispiel der vorhin erwähnte Bankautomat, sie erkennen und benutzen kann. Andere Anwendungsprogramme würden Einzelheiten enthalten, um Transaktionen oder andere Geschäftsvorgänge zu tätigen, für die die intelligente Karte entworfen wurde - die Nutzanwendung, auf der die Existenz der intelligenten Karte beruht. So etwas könnte zum Beispiel eine Bargeldabhebung an einem Bankautomaten sein, die Verwendung beim Transfer von Kapital oder beim elektronischen Transfer von Geld in einem Ladengeschäft, wo Geld vom Konto eines Kunden auf das Konto des Händlers überwiesen wird, nachdem der Kunde etwas gekauft hat, wobei der Kauf an einer Maschine im Laden des Händlers durchgeführt wird, die elektronisch mit einer Bank oder einer Girozentrale verbunden ist. Und da die intelligente Karte einen veränderbaren, beschreibbaren Speicher enthält, kann schließlich auch ein schriftliches Protokoll vom Anwendungsprogramm auf der intelligenten Karte selbst abgespeichert werden, damit der Benutzer die Transaktion nicht vergessen und gegebenenfalls behaupten kann, ein Fehler sei passiert.
Die Ein-/Ausgabeleitungen 18 verbinden den Instruktionsprozessor mit der Außenwelt. Diese Außenwelt kann ein Bankautomat, in den die Karte eingeführt wurde, oder eine andere geeignete Datenübertragungseinrichtung sein. In einer typischen intelligenten Karte von heute enden die Ein-/Ausgabeleitungen 18 in einer Vielzahl von elektrischen Kontakten, die kreisförmig an der Oberfläche der intelligenten Karte angeordnet sind und sich nach einem anerkannten Standard an bestimmten Stellen und in bestimmten Abständen voneinander befinden. Die Datenstation besitzt dementsprechende Kontakte, die so angeordnet sind, daß sie die Ein-/Ausgabeleitungen 18 berühren, um eine Datenübertragung nach einem vorbestimmten Standard zu übertragen. Auch andere (selbst kontaktlose) Formen des Kontaktierens können angewandt werden, solange die Karte Daten austauscht. Üblicherweise erfolgt diese Datenübertragung seriell, wobei die Daten sequentiell übertragen werden.
Für das erste Laden von Programmen werden die Ein-/Ausgabeleitungen 18 angeschlossen, um das Anwendungsprogramm von einem Großrechner herunterzuladen, wobei die Instruktionen sequentiell heruntergeladen und in dieser Reihenfolge im veränderbaren Speicher 16 gespeichert werden. Die Instruktionen können aber auch von dem anderen Prozessor heruntergeladen werden, wobei die Adresse im veränderbaren Speicher anzugeben ist, in welche die Instruktionen zu laden sind. Beide Techniken können benutzt werden, und abhängig von der Daten- und Speicherstruktur und davon, ob der Speicher vollständig oder nur teilweise überschrieben werden soll, kann die eine oder andere Methode bevorzugt werden.
Während das vorliegende Ausführungsbeispiel anhand eines Instruktionsprozessors 12, eines Festspeichers 14 und eines veränderbaren Speichers 16 dargestellt wurde, wobei herkömmliche, im Handel erhältliche Komponenten verwendet wurden, ist auch eine Konstruktion, in der alle Komponenten in einem Chip vereint sind, kommerziell machbar. Während man erwartet, daß dieses das bevorzugte, von vielen Entwicklern gewählte Ausführungsbeispiel ist, würde es ein speziell entworfenes Chip miteinschließen. Obwohl dies eindeutig innerhalb der Fähigkeiten der heutigen Schaltkreisentwickler liegt, wird davon ausgegangen, das die Verwendung von mehreren im Handel erhältlichen Komponenten in vielen Fällen der bevorzugte Weg sein wird.
Figur 2 stellt eine Methode des Herunterladens eines Anwendungsprogramms für das vorliegende System einer intelligenten Karte dar, bei dem das Anwendungsprogramm erneut ladbar oder änderbar ist. Wie in dieser Abbildung gezeigt, ist die Karte 10 getrennt von der Entwicklung des Anwendungsprogramms, die auf einem Großrechner 50 stattfindet. Das Anwendungsprogramm wird auf dem Großrechner 50 geschrieben, kompiliert (falls notwendig), von Fehlern befreit und getestet. Das Anwendungsprogramm 52 ist das Ergebnis davon. Das Anwendungsdienstprogramm 54 dient dem Laden und der Überprüfung, daß das Anwendungsprogramm 52 in die intelligente Karte 10 geladen ist.
Die Karte 10 enthält als Teil ihres Urladeprogramms eine Software, die notwendig ist, die in Figur 2 beschriebenen Funktionen auszuführen. Die Karte reagiert auf ein Ladesignal auf der Leitung 60, welches im Prinzip ein wie im folgenden beschriebenes zweifaches Zurücksetzen darstellt. Dieses Signal auf Leitung 60 wird zuerst vom Diskriminator 62 bearbeitet, der zwischen Ladeund Ausführungsbefehlen unterscheidet. Die Ausführungsbefehle gehen zu Block 64 (wo sie ausgeführt werden) und die Ladebefehle zu Block 66. Ein Ladebefehl wird am Block 66 der Speicherkontrolle unterworfen, die sicherstellt, daß die geheimen Seiten vorher gelöscht wurden und daß das Programm in einem Ladezustand verbleibt. Von Block 66 geht die Steuerung zu Block 68 weiter, der eine Statusberichtfunktion darstellt. Nachdem jeder Schritt korrekt ausgeführt wurde und die Karte für weitere Daten bereit ist, sendet die Statusberichtfunktion ein Signal an das Anwendungsdienstprogramm 54 über die Leitung 70. Als Antwort auf das Signal auf Leitung 70 sendet das Anwendungsdienstprogramm 54 dann einen weiteren Befehl oder einen Teil des Anwendungsprogramms auf Leitung 72 an einen Befehlsinterpreter 74. Alle Befehle werden mit einem Längenwert und einer Kontrollsumme weitergegeben, um sicherzustellen, daß keine Daten während der Datenübertragung verloren gehen. Die Berechnung der Kontrollsumme ist das Zusammenzählen von allen Einsern in den Daten, die übertragen werden, die zusammen mit der Längenangabe sicherstellen, daß sich die Informationen während der Übertragung nicht verändert haben. Der Befehlsinterpreter 74 fährt dann fort, um einen der in den fünf Kästchen 74a, 74b, 74c, 74d, 74e dargestellten Funktionen auszuführen. Diese stellen die Funktionen "Seite prüfen", "Laden initialisieren", "Daten laden", "Seite überprüfen" bzw. "Laden beenden" in Abhängigkeit von den Befehlen des Anwendungsdienstprogramms 54 dar. Die Funktion "Seite prüfen" im Block 74a stellt die Prüfung einer bestimmten Seite von Daten im Speicher des EEPROM 16 dar. Dazu wird jedes Datenbyte der Seite beschrieben und eingelesen, was im Prinzip eine Speicherüberprüfung darstellt. Die Funktion "Laden initialisieren" im Block 74b legt den EEPROM-Typen, die Adresse für das erste Datenbyte und den Bytezähler vor der nächsten Initialisierung eines Ladevorgangs fest. Die Funktion "Daten laden" im Block 74c stellt den Transfer eines Datenbytes vom Anwendungsdienstprogramm 54 zum veränderbaren Speicher 16 der Karte dar. Die Funktion "Seite überprüfen" im Block 74d stellt die interne Generierung einer Prüfsumme für diese bestimmte Seite dar. Diese Prüfsumme wird dann an das Anwendungsdienstprogramm 54 geschickt, wo überprüft wird, ob die gesamte Seite korrekt übertragen wurde. Der Schritt "Laden beenden" in Block 74e setzt ein Sperrbit in der Karte, um weitere Ladebefehle zurückzuhalten. Solch ein weiterer Ladebefehl ist möglicherweise ein Anzeichen für unerlaubte Eingriffe oder nicht ausreichende Anpassung des Programms oder seiner Daten. Die doppelte Zurücksetzabfolge eines Ladebefehls, die unten beschrieben ist, muß dann eingehalten werden, um weitere Anwendungsprogramme laden zu können, nachdem das Sperrbit gesetzt wurde.
Die Funktion "Laden" auf der Karte wird durch eine zeitlich regulierte Doppenrücksetzungsfolge auf Leitung 60 aufgerufen. In einer neu hergestellten Karte, das heißt einer Karte, die ohne Anwendungsprogramm hergestellt wurde, ist es nicht möglich, den Status auch nur eines Bits im Speicher 16 oder der Markierung 22 vorherzusagen. Deswegen ist es manchmal wünschenswert zu wissen, ob sich in der Karte ein Anwendungsprogramm befindet oder ob dies eine neue Karte ist, die noch keines enthält und die deswegen eines benötigt. Diese zeitlich regulierte doppelte Zurücksetzabfolge erreicht genau das, und entfernt dadurch jede Unsicherheit oder Zweideutigkeit, ob ein Anwendungsprogramm geladen wurde oder nicht.
Wenn die Zurücksetzleitung 60 aktiviert wird, begibt sich der Instruktionsprozessor 12 zu einer Gruppe von Instruktionen, die dazu dienen, jede Zweideutigkeit, ob ein Programm geladen wurde oder nicht, auszuschließen. Der erste Schritt als Reaktion auf einen Ladebefehl ist die Überprüfung eines festgelegten Teils des Anwendungsprogramm-Speichers 16 auf eine vorbestimmte Sequenz. Wird diese Sequenz nicht vorgefunden, schreibt der Ladebefehl diese vorbestimmte Sequenz in den entsprechenden Speicher des Anwendungsprogramms. Eine Zeitdauer wird festgelegt, nach der die vorbestimmte Sequenz aus dementsprechenden Teil des Speichers gelöscht wird. Soll das Laden eines Programms erfolgen, muß eine zweite Aktivierung auf der Zurücksetzleitung vor dem Ende der festgelegten Zeitdauer, nach dem Schreiben der vorbestimmten Sequenz erfolgen. Nun ist die Überprüfung der vorbestimmten Sequenz in dem bestimmten Teil des Speichers 16 des Anwendungsprogramms erfolgreich, denn es wurde soeben vom ersten Zurücksetzen dorthin geschrieben und noch nicht gelöscht. Das Vorhandensein der Sequenz zeigt an, daß es sich hierbei um das zweite Zurücksetzen handelt oder daß das Laden eines Programms gewünscht wird. Als Folge des Ladens des Programms wird erstens die vorbestimmte Sequenz in dem entsprechenden Teil des Speichers gelöscht. Eine zweite Folge ist das Überschreiben von ausgewählten Seiten des Speichers, zum Beispiel die Seiten 0 und 1 des Speichers des Anwendungsprogramms. Dieses Überschreiben löscht wirkungsvoll alle sensitiven Daten von einem vorigen Programm, zum Beispiel Chiffrierschlüssel oder persönliche Indentifizierungsinformationen, die die Systemsicherheit zu Fall bringen könnten.
Selbstverständlich muß die vorbestimmte Sequenz, die geschrieben wird, groß genug sein, um sicherzustellen, daß sie nicht versehentlich erscheint, außer wenn sie gerade als Folge des ersten Zurücksetzens geschrieben wurde. Andernfalls wird das doppelte Zurücksetzen nicht als Indikator für das Laden eines Programms wirken. Das heißt, wenn die vorbestimmte Sequenz in dem entsprechenden Teil des Speichers erscheint, ohne daß sie dorthin von einem ersten Zurücksetzen geschrieben wurde, wird das Laden eines Programms unzulässigerweise als Reaktion auf das erste Zurücksetzsignal versucht. Wenn ferner die vorbestimmte Sequenz erscheint, ohne durch die Zurücksetzfunktion hervorgerufen worden zu sein (die die Sequenz nach einem festen Zeitintervall löscht), dann darf die vorbestimmte Sequenz nicht gelöscht werden. Kurz gesagt, darf die vorbestimmte Sequenz nur während des ersten Zurücksetzvorgangs erfolgen, damit der zeitlich gesteuerte doppelte Zurücksetzvorgang ein Laden des Programms darstellt.
Natürlich sind dem im Entwurf von intelligenten Karten und deren Herstellung Erfahrenen viele Alternativen zur besten Ausführungsform der hier beschriebenen Erfindung bekannt. Außerdem können einige Merkmale der vorliegenden Erfindung auch ohne die Verwendung anderer, hier beschriebener Merkmale, verwendet werden. Zum Beispiel ist die Verwendung von Markierungen, die das Vorhandensein oder Fehlen eines Anwendungprogramms anzeigen, eine Erleichterung für die, die mit der Karte umgehen. Das Fehlen einer Markierung kann Mehraufwand bedeuten, wenn man bestimmen will, ob ein Anwendungsprogramm geladen ist. Der komplette Inhalt einer Karte könnte aber mit den möglichen Anwendungsprogrammen verglichen werden, um Identität festzustellen, was bedeuten würde, daß ein Programm geladen ist.
Während die Beschreibung des vorliegenden Ausführungsbeispiels anzeigt, daß die Karte ein Anwendungsprogramm enthält, kann mehr als ein Programm in die Karte geladen werden, wobei das nur von dem Verhältnis von Programmgröße zu verfügbarem Speicher abhängt. So kann eine einzige Karte gleichzeitig mehrere Anwendungsprogramme enthalten, die von außen ausgewählt werden können. Die beschriebene Technik für das Laden eines Anwendungsprogramms ist bevorzugt, jedoch können auch andere Techniken verwendet werden. Ferner wissen diejenigen, die in den entsprechenden Techniken erfahren sind, daß bestimmte Funktionen, wie zum Beispiel Erstellen und Laden von Anwendungsprogrammen, abweichend von dem hier beschriebenen Ausführungsbeispiel geändert werden können.

Claims

1. Verfahren zur Herstellung und zum Betrieb einer tragbaren Karte (10) mit einem veränderbaren Speicher (16), einem Prozessor (12) und Mitteln (18) zur Datenübertragung an eine externe Station, folgendes umfassend:

Montage eines veränderbaren Speichers (16), eines Prozessors (12) und Datenübertragungsmitteln (18) auf einer Karte, wobei der Speicher zum Montagezeitpunkt kein Anwendungsprogramm enthält;

Anschluß des Prozessors (12) am Speicher (16) und der Datenübertragungsmittel (18) zur Herstellung einer intelligenten Karte ohne Anwendungsprogramm;

nach Montage der intelligenten Karte und Anschluß des Prozessors (12), des Speichers (16) sowie der Datenübertragungsmittel (18) Laden des Anwendungsprograms im Speicher durch Verbinden der Karte mit einem externen Prozessor (50) und Herunterladen eines Anwendungsprogramms aus dem externen Prozessor (50) in den Speicher (16) der intelligenten Karte sowie

Löschen eines Teils des Speichers (16) der intelligenten Karte bei einem Ausleseversuch dieses Speicherteils.

2. Verfahren nach Anspruch 1, bei dem mindestens Teile des Anwendungsprogramms sequentiell durch den Anweisungsprozessor (12) der Karte geladen werden.

3. Verfahren nach Anspruch 1 oder 2, bei dem im Ladeschritt aufgrund eines Rücksetzsignals der Speicher (16) auf eingestellte Informationen getestet wird und das Anwendungsprogramm nur dann geladen wird, wenn die eingestellten Informationen vorhanden sind, eingestellte Informationen auf der Karte während einem festen Intervall eingeschrieben werden, wenn die eingestellten Informationen nicht vorhanden sind, und die eingestellten Informationen dann entfernt werden, wenn vor Ende des festen Intervalls kein zweites Rücksetzsignal empfangen wird, so daß ein Anwendungsprogramm in den veränderbaren Speicher (16) lediglich aufgrund des Empfangs zweier Rücksetzsignale innerhalb des festen Intervalls geladen werden kann.

4. Verfahren nach einem der Ansprüche 1 bis 3, bei dem das Verfahren außerdem den Schritt umfaßt, daß ein vorhandenes Anwendungsprogramms in einer programmierten intelligenten Karte durch ein zweites Anwendungsprogramm ersetzt wird.

5. Tragbare Karte (10), die selektiv mit einer externen Station (50) zum Empfang und zur Übertragung von Informationen gekoppelt werden kann, folgendes umfassend:

eine Basis mit ungefähr der Abmessung einer Standardkreditkarte und Kontakten (18) zum selektiven Koppeln der Karte mit der externen Station;

einen auf der Basis angeordneten Befehlsprozessor (12), der elektrisch mit den Kontakten gekoppelt ist, wobei der Befehlsprozessor Mittel zum Koppeln des Befehlsprozessors an eine externe Station aufweist;

einen veränderbaren Speicher (16);

einen Festspeicher (14), der mit dem Befehlsprozessor gekoppelt ist und Daten enthält zum Laden eines Anwendungsprogramms aus der externen Station in den veränderbaren Speicher, wobei die tragbare Karte ohne Anwendungsprogramm hergestellt werden und das Anwendungsprogramm außerhalb der intelligenten Karte erzeugt und nach Fertigstellung der Karte in den veränderbaren Speicher geladen werden kann; sowie

Mittel zum Löschen eines Teils des veränderbaren Speichers (16) aufgrund eines externen Leseversuchs eines Teils des Speichers (16), wodurch ein Änderungsversuch des Anwendungsprogramm verhinderbar ist.

6. Karte nach Anspruch 5, die außerdem Mittel (22) enthält, die anzeigen, ob auf derselben ein Anwendungsprogramm geladen ist, wobei besagte Mittel mindestens einen ersten Zustand aufweisen, in dem kein Anwendungsprogramm geladen ist und einen zweiten Zustand, in dem ein Anwendungsprogramm vorhanden ist.

7. Karte nach Anspruch 5 oder 6, bei der der Befehlsprozessor (12) und der Festspeicher (14) in einer einzigen integrierten Schaltkarte auf der Basis der tragbaren Karte enthalten sind.

8. Karte nach einem der Ansprüche 5 bis 7, bei der der veränderbare Speicher (16) ein Speicherteil umfaßt, welcher eine bestimmte Sequenz für eine bestimmte Zeitspanne empfängt und speichert, wenn die Karte mit einem ersten Rücksetzsignal beaufschlagt wird, sowie Mittel zum Laden eines Anwendungsprogramms bei Beaufschlagung der Karte mit einem zweiten Rücksetzsignal, um während der vorbestimmten Sequenz zu testen.