具有一個終端及一個可攜帶數據載體的數據傳送系統及藉助終端對可攜帶數據載體重加...的製作方法
2023-12-06 12:25:56 2
專利名稱：具有一個終端及一個可攜帶數據載體的數據傳送系統及藉助終端對可攜帶數據載體重加 ...的製作方法
技術領域：
本發明涉及具有至少一個終端及具有至少一個可攜帶數據載體的數據傳送系統，該數據載體具有一個非易失性半導體存儲器，該存儲器具有一個第一起計數器作用的代表可刪除錢數的數值區域及對可攜帶數據載體的數值區域重加載的方法。
這樣一種可攜帶數據載體例如是現今慣用的晶片卡上，譬如用作電話卡。在此情況下其固定的終端是一個適用於卡的電話機。這種作成簡單存儲卡的晶片卡包括一個非易失性半導體存儲器，例如一個EEPROM，它實質上作為預先付款的並被刪除的電話費單位的計數器使用。該EEPROM在此情況下譬如可根據EP-B0321727或US-A5001332進行電路連接，以便作為多級類似算盤的計數器工作。卡的價值及由此計數器的計數範圍將通過寫入及為此計數器中不允許使用範圍的封鎖來確定。在該確定前計數器總是具有最大的計數範圍。現今通常的電話卡僅是一次性使用並在使用後丟棄。但也出現將這種晶片卡作為電子錢包的使用。為此目的使用的晶片卡僅當它能重新加載錢值即當一定款額被扣除後能重新增大計數值時才有意義。這種計數值的增大在一個專用的加載終端上進行，在其中或是通過現金交付、藉助信用卡或是輸入一個存款帳戶號可將所需款額登入到其卡上。在一個晶片卡重加載時可根據EEPROMS的結構必需作到首先清除一個較大的計數範圍或整個計數器，這就是說暫時將其設置到一個過大的計數範圍上。此後才能通過編程過程重新限定計數範圍來設置新的計數值。
當使用者在計數器清除及重新編碼程序之間的時間上從終端抽出該卡時，會得到登入過高的錢額，由此可能出現該使用操作。此外可以想像，使用者操縱終端和卡之間的數據交換，以此方式使得可登入過高的錢額。
在傳送路徑上數據的操縱可通過所謂的電子籤名來避免。此外待傳送的數據可藉助於一個加密碼來編碼，並僅能用一個確定的、唯一的對數據發送者賦予的密碼來解碼，由此發送者可唯一地被識別及數據不能被操縱，因為加密的密碼是保密的。然而這種編碼及解碼需要昂貴的及十分快速的計算機，這僅能使用昂貴的微處理機才可能作到，正如對已公開的加密卡所使用的。
因此本發明的任務在於，給出上述類型的一種數據傳送系統及一種方法，其中可用簡單的方式實現對可攜帶數據載體中計數器操作上保險的重加載。
這個任務將這樣地解決在非易失性半導體存儲器中設置第二數值區域，其中總是這兩個數值區域中的一個是可非易失地啟動的，及另一個區域總是僅可暫時被啟動。
可非易失地啟動的在這裡意味著，在這兩個數值區域中最終確定為從其中扣除數值的數值區域的並在關斷工作電壓或中斷加載過程時仍被保存的信息。這也意味著，僅是一個可暫時啟動的數值區域在關斷工作電壓或中止加載過程和重合閘工作電壓或重新開始加載過程後被關斷並必須再次暫時仍被保存的信息。這也意味著，僅是一個可暫時啟動的數值區域在關斷工作電壓或中止加載過程和重合閘工作電壓或重新開始加載過程後被關斷並必須再次暫時地被啟動。僅在晶片卡有效及正確的重加載後，即僅在根據剩餘值及在終端上輸入的登入值的和使僅暫時啟動的數值區域的計數範圍被正確限定後，該僅暫時啟動的數值區域可轉換成可非易失地啟動的數值區域，由此使在先有非易失地啟動數值區域關斷並對於一個新的加載過程首先僅可暫時地被啟動。
當一個欺騙者嘗試了在僅暫時啟動的數值範圍的加載過程中在清除記數器後及根據付入的值量重新限定其計數範圍前從終端上拔出了卡，則在下次使用時，即在下次再加上工作電壓時非易失地啟動的數值區域被啟動，而在先僅暫時啟動的數值區域被關斷。
在本發明的進一步有利構型中，根據權利要求2非易失性存儲器的數值區域通過一個選擇邏輯電路與一個非易失性特徵位存儲器相連接，後者的狀態確定了非易失的啟動數值區域。在關斷工作電壓時仍保存非易失性特徵位存儲器的狀態，其中一個確定的狀態總是分配給同一數值區域。
在根據本發明的方法中為了暫時啟動另外每個數值區域可利用一個加載控制信號來驅動選擇邏輯電路。該加載控制信號在其中間狀態時，即在加上工作電壓後的狀態時例如具有邏輯「0」電平，而在待新加載的數值區域暫時啟動時相應地轉換到「1」電平。
輸出信號控制一個開關裝置，它使數值區域與一個編程邏輯電路及一個校核邏輯電路相連接。一個數值區域也可這樣被啟動，即通過它與編程邏輯電路及校核邏輯電路的連接來啟動。
根據本發明的數據傳送系統及該系統有利的進一步構型的可攜帶數據載體或晶片卡將通過根據權利要求5的方法來加載。該方法的有利進一步構型給在從屬權利要求中。
以下將藉助於一個附圖
所示的一個實施例對本發明作詳細說明。這裡該附圖以概要形式表示了一個加載終端及插入其中的一個可攜帶數據載體。本發明實質性的數據傳送系統的此兩部分電路結構以方框電路圖的形式表示。
一種便攜帶的數據載體--下文中稱做「卡」，可以想像在另外的實施方式中譬如可作成鑰匙，在圖中被插在一個數據傳送系統的加載終端上。該卡包括一個非易失性存儲器NVM，以有利方式它可通過一個EEPROM來實現。在此情況下該存儲器被分成多個區域，其中兩個區域作為數值區域WBA、WBB使用。這些數值區域WBA、WBB可用有利方式作成多級計數器，例如是根據EP-B 0321 727或US-A5,001,332所描述的多級計數器。這些計數器是向下計數的計數器，當它在被清除或被加載狀態時具有邏輯狀態「1」並由此具有一個最大值的由計數器級數及每級的位數確定的計數範圍。通過適當數目的計數器上級或這些上級的最後級的一些位的寫入可以限定計數範圍，並從該給定值起直至向下計數到終值「0」。
這些數值區域WBA、WBB通過一個開關裝置SV與一個編程邏輯電路PL及一個校核邏輯電路VL相連接。該編程邏輯電路PL及校核邏輯電路VL在這裡是一個控制裝置ST的組成部分。在控制裝置ST內部這些電路部分的連接線用虛線表示，由此可以暗示，至控制裝置ST的這些相應的連接線在控制裝置ST內部也可與控制裝置另外的未示出部分相連接。
編程邏輯電路PL用於編程及寫數據區域WBA、WBB，而校核邏輯電路VL用於校核或檢驗所寫的區域是否寫得正確。作為有利的方式，該校核邏輯電路VL也可用於產生一個數值狀態的電子標記。
開關裝置SB由一個選擇邏輯電路AL這樣地控制，即每次僅是數值區域WBA、WBB中的一個與程序邏輯電路PL及校核邏輯電路VL相連接並由此被啟動。選擇邏輯電路AL本身由一個特徵位存儲器FS及通過一個加載控制信號LAD由控制裝置ST控制。該選擇邏輯電路AL例如可由一個具有一非反相輸出端及一反相輸出端的EXOR門構成。特徵位存儲器FS是一個非易失性存儲器並通過信號PROG由控制裝置ST控制。該特徵位存儲器FS可具有兩種狀態，其中每種狀態分配給數值區域WBA、WBB中的一個。因為特徵存儲器FS的狀態是非易失性存儲，故在對卡加上工作電壓，例如通過將卡插入加載終端中時，相應於每個存儲狀態的數值區域WBA或WBB被啟動。對此，當加上工作電壓時加載控制信號LAD佔有一個確定的狀態。僅在加載控制信號LAD狀態改變後，藉助由選擇邏輯電路AL相應控制的開關裝置SV暫時啟動數值區域中的另一個WBB或WBA並使在先啟動的數值區域WBA或WBB關斷。因為加載控制信號的狀態是易失性的並在關斷工作電壓如通過從加載終端中抽出卡時將重新回到其確定的無效狀態，因此這是暫時的，並使得在每次關斷工作電壓後或根據本發明在每次中斷加載過程後使由特徵位存儲器FS確定的數值區域有效或啟動。
通過由控制裝置ST對特徵位存儲器FS施加一個信號PROG可使特徵位存儲器的狀態改變，並由此使有效的或被啟動的數值區域的變換非易失性地執行。
非易失性存儲器NVM包含另外一些區域一個標記存儲器SIGSP，以後再對其說明；一個加載記數器LE，利用它可對加載過程計數；一個區域KSD，在其中存儲卡專用數據；及一個區域GC，在其中存儲密碼。
在控制裝置ST中此外還包括一個偽隨機發生器PZG，它與校核邏輯電路VL形成功能連接，此外它與非易失性存儲器NVM中的標記存儲器SIGSP，加載計數器LZ，區域KSD及密碼區域GC相連接。該偽隨機發生器PZG是以有利方式根據EP-A 0616429構成的。
在加載終端中還包含一個控制裝置STT，它也包括一個校核邏輯電路VLT及一個偽隨機發生器PZGT，在這裡當卡及終端為真實時，這兩個偽隨機發生器PZG及PZGT必須是一樣的。卡的控制裝置ST與終端的控制裝置STT通過導線LT1，LT2彼此形成連接，以便形成數據交換。
在開始一次加載過程時，終端讀卡專用數據，實際的有效並因而可刪除的數值區域WBA或WBB以及加載計數器LZ有標記存儲器SIGSP的狀態。真實終端根據卡專用數據並藉助譬如一個表可求得卡的密碼。這些數據及另一隨機數即所謂的「口令」被輸入到終端中的偽隨機發生器PZGT，由後者計算出一個應答信息。於是無論是口令還是應答信息被傳送給卡。在卡那裡同樣藉助這些數據計算一個應答信息，並藉助一個也是包括在控制裝置ST中的比較器與由終端求得的響應信息相比較。在比較相一致時該終端本身被證明是真實的，這因為一方面處於求得正確密碼的情況，另一方面具有合適的偽隨機發生器PZGT。
偽隨機發生器PZG或PZGT也用於產生數值區域WBA、WBB內容的電子標記即它們的計數值。因為偽隨機發生器的輸出信號是與卡的密碼有關的，並僅根據該密碼可進行核算，故當與偽隨機發生器PZG或PZGT的輸出信號相一致時必須是使用同一密碼。因此一個偽隨機發生器的輸出信號單一地被分配給一個確定的卡，這就是將卡的標記稱為計數值。
為了不能通過多個計算過程的分析來求得偽隨機發生器的組成及輸入數據，使輸入數據中的一個或多個可改變並隨著每個計算過程改變。一個這樣的數據是計數器LZ的狀態，它隨著每個新的加載過程及由此隨著每個新的記帳過程增加1，或當數值範圍用盡時被復位。
另一數據是標記存儲器SIGSP的內容。在該存儲器中每次寫入偽隨機發生器先前計算的結果，這正是先前計數值的標記。由此可保證，偽隨機發生器PZG的輸出信號僅以極小的概率重複，因此不能被分析出來。
在標記存儲器SIGSP中，根據本發明的一個變型作為加載過程的標記在每個加載過程時通過加載終端直接寫入一個新的值。
根據本發明的加載過程以最簡單的方式這樣地運行在將卡插入到加載終端中後及由此加上工作電壓後，通過特徵位存儲器FS確定的數值範圍WBA或WBB被啟動並由終端讀出。通過加載控制信號LAD狀態的改變使另一數值區域WBB或WBA暫時啟動並使在先啟動的被關斷。然後使現在啟動的數值區域WBB或WBA被清除，這時其計數器取得一個過大的計數範圍。因此在終端中由其舊的計數值及由用戶輸入到終端的登入值求得一個新的計數值並傳送到卡上。如果在這以先從終端中抽出卡，並當數值區域的編程已結束及非易失性地進行的，則會得到一個過高的登入值。但是根據本發明的方法，通過重新插入卡，先前是有舊計數值的數值區域WBA或WBB被啟動，因為特徵位存儲器FS的狀態還未改變。僅當新計數值被編入到暫時啟動的數值區域WBB或WBA中時，通過控制裝置ST的信號PROG使特徵位存儲器FS的狀態改變，由此使新的數值區域可非易失地啟動，並在每次新加上工作電壓時、即在每次將卡插入終端時被啟動，以便例如扣除錢款。
為了防止從終端到卡傳輸時操縱新的計數值，在根據本發明方法的進一步構型中在新計數值傳送到卡上後，在卡上根據上述的方法形成標記。該標記接著傳送到終端，並在終端中與同樣求得的標記相比較。在相一致時就確保了對卡傳送了正確的計數值。在非一致時則中斷加載過程，由此使錯的計數值對以後的扣款過程沒有任何影響，因為特徵位存儲器FS還未改變狀態。該狀態僅在識別出標記的一致性及由終端向卡傳送一個相應的信號時才會改變。
在根據本發明的方法的進一步構型中，在開始加載過程前，必須相對卡來鑑別終端。由此保證不會使用錯誤的加載裝置對卡登款。為了該鑑別根據由終端從卡上讀出的數據及一個口令計算一個應答信息，它與口令一起被傳送給卡並在卡上與同樣藉助該口令及卡數據計算的應答信息相比較。僅在應答信息相一致時才能產生出加載控制信號LAD及編程信號PROG並由此開始一個加載過程。為此目的，在可攜帶數據載體中設有釋放裝置FGV1，FGV2，它們受控制裝置ST的適當控制。在此情況下例如通過提高加載計數器LZ的計數值或通過一個空編程脈衝來起動。在這裡一個偽編程脈衝是非易失性存儲器NVM的一個非有效地址上的一個編程脈衝，該脈衝由卡的控制裝置ST作為控制指令識別。
同樣在一個加載過程開始後，在終端證實了其正確資格及產生出加載信號LAD後，一個騙子可能會成功地作到對計數值作出影響及使得用於計數值非易失性啟動的編程信號PROG與終端無關地清除。在根據本發明方法的進一步構型中，在產生編程信號PROG前終端必須再次證實它的正確資格，這就是說，必須再一次進行鑑別。在此情況下應答信息的產生相應於開始一個加載過程用的第一次資格鑑別時的應答信息的產生。
為了防止由數據傳送裝置在標記計算範圍內給出的並為了產生編程信號PROG可能使用的應答信息的重複，根據本發明的方法，為了產生一個響應信息使用了一個在每次應答信息計算時更改的數據。該數據通過一個響應信息計數器RZ發送，該計數器在每次應答信息計算前非易失地改變並且它的計數值影響應答信息的計算。該應答信息計數器RZ將以有利方式作為非易失性存儲器的範圍來實現。
通過根據本發明的數據傳送系統及根據本發明的方法可作到一種可攜帶數據載體例如一種晶片卡的安全重加載。
權利要求
1.數據傳送系統，它具有至少一個終端及具有至少一個可攜帶數據載體，該數據載體具有一個非易失性半導體存儲器(NVM)，該存儲器具有一個第一起計數器作用的代表可刪除錢數的數值區域(WBA)，其特徵在於該非易失性半導體存儲器(NVM)具有一個第二起計數器作用的數值區域(WBB)，其中總是這兩個數值區域中的一個(WBA或WBB)是可非易失地啟動的，及總是另一數值區域(WBB或WBA)僅可暫時地被啟動。
2.根據權利要求1所述的數據傳送系統，其特徵在於非易失性存儲器(NVM)的數值區域(WBA，WBB)通過一個選擇邏輯電路(AL)與一個非易失性特徵位存儲器(FS)相連接，該特徵位存儲器的狀態確定了非易失地啟動的數值區域(WBA或WBB)。
3.根據權利要求2所述的數據傳送系統，其特徵在於選擇邏輯電路(AL)可由一個加載控制信號(LAD)驅動，該加載控制信號將引起易失地啟動的數值區域(WBB或WBA)的暫時啟動並使非易失地啟動的數值區域(WBA或WBB)暫時地關斷。
4.根據權利要求2或3所述的數據傳送系統，其特徵在於在選擇邏輯電路(AL)及非易失性存儲器(NVM)之間設置了一個開關裝置(SV)，該開關裝置根據選擇邏輯電路(AL)的輸出信號使一個編程邏輯電路(PL)及一個校核邏輯電路(VL)與總為有效的數值區域(WBA或WBB)相連接。
5.根據權利要求3所述的數據傳送系統，其特徵在於在該數據載體中設有第一釋放裝置(FGV1)，它僅在終端的肯定鑑別後允許產生一個加載信號(LAD)。
6.根據權利要求2至5中的一項所述的數據傳送系統，其特徵在於非易失性特徵位存儲器(FS)由一個編程信號(PROG)驅動，該編程信號引起暫時地啟動的數值區域(WBB或WBA)轉換為可非易失地啟動的數值區域(WBA或WBB)。
7.根據權利要求6所述的數據傳送系統，其特徵在於在該數據載體中設有第二釋放裝置(FGV2)，它僅在終端的肯定鑑別後允許產生一個編程信號(PROG)。
8.根據權利要求5或7所述的數據傳送系統，其特徵在於非易失性半導體存儲器(NVM)具有一個作為非易失性計數裝置工作的釋放區域(FGB)，在其中可非易失地寄存每個為達到釋放的嘗試並可區分一個接一個的釋放程序。
9.藉助根據權利要求1至8中一項的數據傳送系統的一個終端對代表錢值的可攜帶數據載體再加載的方法，具有以下步驟a)藉助該終端從可攜帶數據載體讀出非易失地啟動的數值區域(WBA或WBB)的舊計數值，b)由舊的計數值及輸入到終端中的登入數據在終端上計算新的計數值，c)由終端向可攜帶數據載體傳送新的計數值，d)將新的計數值藉助於加載控制信號(LAD)寫入到僅易失性地啟動的非易失性存儲器(NVM)的數值區域(WBA或WBB)，e)通過特徵位存儲器(FS)狀態的改變使具有新的計數值的數值區域(WBB或WBA)非易失性地啟動。
10.根據權利要求9的方法，其特徵在於在步驟d)後面將進行以下的其它步驟d1)在可攜帶數據載體中形成新計數值的標記並將該標記傳送到終端中，d2)在終端中求出新計數值的標記並比較這兩個標記，步驟e)僅在這兩個標記一致時才被執行，及在這兩個標記不一致時中止該方法。
11.根據權利要求9或10所述的方法，其特徵在於在步驟a)後面將進行以下的其它步驟a1)藉助終端從可攜帶數據載體讀出對可攜帶數據載體專設的數據，a2)在終端中產生一個「口令」並根據該口令及至少一部分專用數據及舊計數值求得一個應答信息，a3)從終端向可攜帶數據載體傳送口令及應答信息，a4)在可攜帶數據載體中由口令求得一個應答信息並比較這兩個應答信息。
12.根據權利要求9或10或11所述的方法，其特徵在於，在步驟d)或d2)的後面將進行以下的其它步驟d3)藉助終端從可攜帶數據載體讀出對可攜帶數據載體專設的數據，d4)在終端中產生一個「口令」並根據該口令及至少一部分專用數據及舊計數值求得一個應答信息，d5)從終端向可攜帶數據載體傳送口令及應答信息，d6)在可攜帶數據載體中由口令求得一個應答信息並比較這兩個應答信息，及僅在這兩個應答信息一致時才繼續進行步驟e)，而在不一致時中止該方法。
13.根據權利要求10至12中一項所述的方法，其特徵在於為了形成一個計數值的標記或產生一個應答信息使用了一個隨每次加載過程改變的數據，及藉助一個偽隨機發生器(PZG)產生標記或應答信息。
14.根據權利要求13所述的方法，其特徵在於該數據是一個對每個加載過程計數的加載計數器(LZ)的數值。
15.根據權利要求13所述的方法，其特徵在於該數據是一個標記存儲器(SIGSP)的數值，在該存儲器中寫入了每個非易失性有效數值區域(WBA或WBB)的舊數值的標記。
16.根據權利要求13所述的方法，其特徵在於該數據是一個標記存儲器(SIGSP)的數值，在該存儲器中通過加載終端在每次新加載過程時寫入作為加載過程標記的一個新數值。
17.根據權利要求13所述的方法，其特徵在於在每次應答信息計算前使一個應答信息計數器(RZ)非易失地改變並用作本身改變的數據。
全文摘要
在由至少一個終端及至少一個可攜帶數據載體如一種晶片卡構成的數據傳送系統中，卡中非易失性存儲器(NVM)的代表錢值的區域被分成兩個數值區域(WBA，WBB)，其中僅總是一個數值區域(WBA或WBB)可被非易失性地啟動，而另一個僅可被暫時地啟動。在卡重加載時，將新的計數值寫入到開始僅暫時地啟動的數值區域(WBB)中，及僅在對該數值區域(WBB)的正確寫入的校核後才轉換為可非易失性地啟動的。
文檔編號G07F7/10GK1164290SQ95196343
公開日1997年11月5日 申請日期1995年9月19日 優先權日1994年9月30日
發明者H·施蘭克 申請人:西門子公司