DE3801699C2

DE3801699C2 -

Info

Publication number: DE3801699C2
Application number: DE3801699A
Authority: DE
Inventors: Yasuo Yokohama Jp Iijima
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1987-01-22
Filing date: 1988-01-21
Publication date: 1990-11-22
Also published as: KR910007035B1; KR880009497A; FR2610121A1; DE3801699A1; US4939353A; FR2610121B1

Description

Die Erfindung betrifft eine IC-Karte mit einer Programmsteuerung nach dem Oberbegriff des Patentanspruches 1.

In der US-PS 45 75 621 ist eine IC-Karte beschrieben, die über eine Zentraleinheit, einen Festwertspeicher, einen Speicher mit wahlfreiem Zugriff und eine Optik zum Übertragen und Empfangen von Information von einem Terminal verfügt und als Energiequelle eine Batterie hat. Abgegebene Informationen werden entschlüsselt. Während eines Bereitschaftsbetriebes überwacht sich die IC-Karte selbst. Im Betriebszustand steht sie aber in Verbindung mit dem Terminal.

In der Zeitschrift "Elektronik", 19. September 1986, Seiten 99 bis 101, ist ein Überblick über IC-Karten gegeben, wobei u. a. auch die Übertragung von Rücksetzsignalen zwischen einem Schreib/Lesesystem und einer Karte erwähnt wird.

Weiterhin ist aus der Zeitschrift IBM-TDB, Januar 1986, Seite 3568, die Selbstprüfung von Kommunikationsschnittstellen bekannt, wobei hier aber nicht auf die Prüfung eines in einem Speicher gespeicherten Programmes eingegangen wird.

Schließlich ist in DE 35 35 577 A1 eine elektronische Datenübergabestation beschrieben, bei der geprüft wird, ob ein Programm geladen ist oder nicht. Damit kann aber nicht festgestellt werden, ob das Programm zerstört ist oder nicht.

In neuerer Zeit ist eine IC-Karte entwickelt worden, bei der Übermittlungs- oder Übertragungsprotokolle abhängig von der Art der IC-Karte variieren. Zum Melden eines Übertragungsprotokolls zu einer Karten-Lese/ Schreibeinheit erfaßt die IC-Karte die Freigabe des Rücksetzens der Karten-Lese/Schreibeinheit durch ein Rücksetzsignal, und sie liefert Anfangsantwortdaten, die als Antwort-auf-Rücksetzen-Daten bezeichnet werden können. Die IC-Karte wartet sodann Anweisungsdaten von der Lese/Schreibeinheit ab. Letztere beginnt ihren Betrieb bei Empfang der Anfangsantwortdaten von der IC- Karte.

Wenn dabei die IC-Karte nicht normal betrieben wird oder arbeitet, z. B. wenn die Operation nach Freigabe des Rücksetzens nicht normal ausgeführt wird, und zwar aufgrund eines Ausfalls eines Randomspeichers (RAM) oder Registers in einem Steuerelement, veranlaßt die Rücksetzfreigabe die Übertragung der Anfangsantwortdaten. Da hierbei jedoch die IC-Karte in einem abnormalen Zustand verbleibt, ist die System-Zuverlässigkeit beeinträchtigt.

Die Erfindung bezweckt also die Lösung des beim Stand der Technik gegebenen Problems, d. h. die Beeinträchtigung der System-Zuverlässigkeit, wobei eine IC-Karte Anfangsantwortdaten zu einer Lese/Schreibeinheit bei Initialisierung der IC-Karte sendet, auch wenn letztere nicht normal betrieben werden bzw. arbeiten kann, so daß die Operation der Lese/Schreibeinheit Abhängigkeit von den Anfangsantwortdaten in unerwünschter Weise eingeleitet wird.

Es ist also Aufgabe der vorliegenden Erfindung, eine IC-Karte zu schaffen, bei der durch eine Selbstdiagnose der Datenaustausch mit einer Lese/Schreibeinheit möglichst wenig gestört wird.

Diese Aufgabe wird bei einer IC-Karte mit einer Programmsteuerung nach dem Oberbegriff des Patentanspruches 1 erfindungsgemäß durch die in dessen kennzeichnendem Teil enthaltenen Merkmale gelöst.

Vorteilhafte Merkmale der Erfindung ergeben sich aus dem Patentanspruch 2.

Die IC-Karte führt also eine Selbstdiagnose dahingehend durch, ob auf ihre Initialisierung, aber vor der Übertragung von Anfangsantwortdaten, eine Normaloperation ausgeführt werden kann. Wenn die IC-Karte feststellt, daß die Normaloperation ausgeführt werden kann, werden die Anfangsantwortdaten zur Karten-Lese/Schreibeinheit geliefert. Anderenfalls werden der Lese/Schreibeinheit die Anfangsantwortdaten nicht zugeführt und ein Steuerelement im Haltezustand gehalten. Mit anderen Worten: Die IC-Karte führt die Selbstdiagnose auf die Initialisierung hin, aber vor der Übertragung der Anfangsantwortdaten, durch und steuert die Übermittlung der Anfangsantwortdaten. Auf diese Weise kann die Übermittlung der Anfangsantwortdaten unabhängig vom normalen Zustand der IC-Karte und das Inbetriebsetzen der Karten- Lese/Schreibeinheit in Abhängigkeit von den Anfangsantwortdaten unter wesentlicher Verbesserung der Zuverlässigkeit erzielt werden.

Im folgenden sind bevorzugte Ausführungsformen der Erfindung anhand der Zeichnung näher erläutert. Es zeigt

Fig. 1 ein Blockschaltbild einer IC-Karten- Handhabungsvorrichtung,

Fig. 2 ein Funktions-Blockschaltbild einer IC-Karte,

Fig. 3 ein Blockschaltbild einer IC-Karte,

Fig. 4 ein Speicherplan des Formats eines Programmspeichers in der IC-Karte,

Fig. 5 eine Darstellung zur Verdeutlichung eines Programmdatenaufbaus,

Fig. 6 ein Blockschaltbild einer Karten- Lese/Schreibeinheit,

Fig. 7 ein Ablaufdiagramm zur Erläuterung eines ersten Ausführungsbeispiels der Operation der IC-Karte,

Fig. 8 ein Ablaufdiagramm zur Erläuterung eines zweiten Ausführungsbeispiels der Operation der IC-Karte,

Fig. 9 ein Ablaufdiagramm zur Erläuterung eines dritten Ausführungsbeispiels der Operation der IC-Karte,

Fig. 10 ein Ablaufdiagramm zur Erläuterung eines vierten Ausführungsbeispiels der Operation der IC-Karte,

Fig. 11 ein Blockschaltbild einer anderen Ausführungsform einer IC-Karte und

Fig. 12A und 12B Ablaufdiagramme zur Erläuterung der Operation der IC-Karte nach Fig. 11.

Die IC-Karte wird z. B. bei einem Heim-Bankverbindungs- oder -Einkaufssystem benutzt. Fig. 1 veranschaulicht die Anordnung der IC-Karten-Prozessorvorrichtung. Dabei ist eine IC-Karte 1 über eine Karten-Lese/Schreibeinheit 2 als Karten-Handhabungsvorrichtung mit der Steuereinheit 3 einer Zentraleinheit (CPU) und dgl. verbunden. An die Steuereinheit 3 sind ein Tastenfeld 4, eine Kathodenstrahlröhren- oder CRT-Anzeigeeinheit 5, ein Drucker 6 und ein(e) Floppyplatte(ngerät) 7 angeschlossen.

Die IC-Karte 1 dient zur Bestimmung einer nur ihrem Anwen der bekannten Personenkennziffer (PIN) und zum Speichern der erforderlichen Daten, so oft der Anwender einen Ein kauf tätigt. Fig. 2 ist ein Funktionsblockschaltbild der IC-Karte 1. Gemäß Fig. 2 umfaßt die IC-Karte 1 grundsätz liche Funktionsblöcke, wie Lese/Einschreibteil 11, Perso nenkennziffer- bzw. PIN-Eingabe/Identifizierteil 12 und Verschlüsselungs/Entschlüssungsteil 13. Außerdem enthält die IC-Karte 1 einen Überwacher (Supervisor) 14 für die Steuerung der genannten Funktionsblöcke.

Der Lese/Einschreibteil 11 dient zum Auslesen, Einschrei ben oder Löschen von Daten im Zusammenwirken mit einem in Fig. 3 gezeigten Datenspeicher 16. Der PIN-Eingabe/ Identifizierteil 12 speichert eine durch den Anwender eingegebene Personenkennzahl bzw. PIN unter Verhinderung eines Auslesezugriffs dazu, und er identifiziert gleich zeitig die Personenkennzahl nach deren Eingabe, um die Durchführung der anschließenden Operationen zu erlauben. Der Verschlüsselungs/Entschlüsselungsteil 13 verschlüsselt Übertragungsdaten und entschlüsselt die verschlüsselten Daten, um eine Abstrahlung und eine Fälschung zu verhindern, wenn Daten von der Steuereinheit 3 über eine Übertragungsleitung zu einem anderen Endgerät gesandt werden. Der Verschlüsselungs/ Entschlüsselungsteil 13 bewirkt eine Datenverarbeitung nach einem Verschlüsselungsalgorithmus, wie DES (Data Encryption Standard), mit ausreichend hoher Verschlüsselungszuverlässig keit. Der Überwacher 14 decodiert einen Funktionscode oder einen Funktionscode mit an der Karten-Lese/Schreibein heit 2 eingegebenen Daten und wählt die jeweils erforder liche Grundfunktion zur Ausführung der gewählten Funktion.

Um die obengenannten Funktionen ausführen zu können, um faßt die IC-Karte 1 ein Steuerelement (z.B. eine Zentral einheit) 15, einen programmierbaren nichtflüchtigen Daten speicher 16, einen Programmspeicher 17 und einen elek trisch mit der Lese/Schreibeinheit 2 verbindbaren Kontaktblock 18 (vgl. Fig. 3). Die im gestrichelten Rechteck enthaltenen Elemente (d. h. Steuerelement 15, Datenspeicher 16 und Programmspeicher 17) sind auf einem einzigen IC-Chip zusammengefaßt. Der Datenspeicher 16 wird für eine Vielfalt von Datenspeicherzwecken heran gezogen und besteht aus z. B. einem EEPROM.

Der Programmspeicher 17 besteht aus z. B. einem Masken- Festwertspeicher bzw. -ROM. Der Masken-ROM speichert Steuerprogramme für das Steuerelement 15 einschließ lich Unterprogrammen für die Realisierung oder Ausfüh rung der Grundfunktionen sowie Anfangsantwortdaten (einschließlich einer Sende- oder Übertragungsprotokoll information für die IC-Karte 1 in Form von zwei oder mehr Bytes) (vgl. Fig. 4). Die im Programmspeicher 17 gespeicher ten Steuerprogramme weisen den in Fig. 5 gezeigten Datenauf bau auf. Das Steuerprogramm enthält eine Anzahl von Prüf codes und ein Unterprogramm für die Prüfung der Gültig keit der Programmdaten auf der Grundlage des Prüfcodes. Bei Ausführung des Unterprogramms werden Programmdaten ausgelesen, und deren Gültigkeit wird innerhalb des Lesebereichs entsprechend dem Prüfcode geprüft. Insbesondere dient ein Prüfcode a zum Prüfen der Programmdaten innerhalb des Be reichs A, ein Prüfcode b für die Prüfung derselben inner halb des Bereichs B und ein Prüfcode c für ihre Prüfung innerhalb des Bereichs C. Der Prüfcode ist eine Prüfsummen dateneinheit der Programmdaten innerhalb des betreffenden Bereichs. Die Programmdaten innerhalb des Bereichs A ent halten mindestens ein Anfangsantwortdaten-Sendeprogramm und ein Selbstdiagnoseprogramm.

Die Karten-Lese/Schreibeinheit 2 führt einen Austausch von Funktionscodes und Daten zwischen der IC-Karte 1 und der Steuereinheit 3 durch. Die Steuereinheit 2 umfaßt gemäß Fig. 6 insbesondere einen Transportmechanismus 21, einen Kontaktblock 22, eine Steuereinheit 23, eine Ein/Ausgabe schnittstelle 24 und einen Datenspeicher 25. Der Transport mechanismus 21 transportiert eine in einen nicht darge stellten Kartenschlitz eingegebene IC-Karte 1 zu einer vorbestimmten Stelle. Der Kontaktblock 22 ist elektrisch mit dem Kontaktblock 18 der zur vorbestimmten Stelle verbrachten IC-Karte 1 verbunden. Die Steuerein heit 23 enthält eine Zentraleinheit (CPU) für die Steue rung der Gesamtoperationen. Die Ein/Ausgabeschnittstelle 24 stellt eine Schnittstelle für Anweisungsdaten und Ant wortdaten zwischen den Steuereinheiten 23 und 3 dar. Der Datenspeicher 25 speichert Daten.

Die Arbeitsweise oder Operation der beschriebenen Anord nung ist nachstehend anhand des Ablaufdiagramms von Fig. 7 erläutert. Nachdem die IC-Karte 1 durch die Karten-Lese/ Schreibeinheit 2 aktiviert worden ist und von dieser Einheit 2 Taktsignale empfängt, nimmt die IC- Karte 1 ein als Startsteuersignal dienendes Rücksetzsignal ab. Das Rücksetzen der IC-Karte 1 wird dadurch freige geben, und die Operation des Steuerelements 15 wird ein geleitet. Auf der Grundlage des im Programmspeicher 17 abgespeicherten Selbstdiagnoseprogramms bewirkt das Steuerelement 15 eine Selbstdiagnose dahingehend, ob die folgenden Operationen normal ausgeführt werden können (Schritt S 71). Das Selbstdiaganoseprogramm enthält eine Opera tion zur Prüfung, ob Randomspeicher und Register im Steuer element 15 normal betrieben werden bzw. normal arbeiten. Wenn das Ergebnis der Selbstdiagnose anzeigt, daß die Operation normal ausgeführt werden kann (Schritt S 72), übermittelt das Steuerelement 15 die Anfangsantwort daten zur Karten-Lese/Schreibeinheit 2 (Schritt S 73). Die Anfangsantwortdaten werden im Programmspeicher 17 ge speichert, wobei sie den Beginn der Operation angeben. Die Anfangsantwortdaten enthalten die Sendeprotokoll information für die IC-Karte 1.

Nach der Ausgabe der Anfangsantwortdaten wartet das Steuerelement 15 die Übermittlung von Anweisungsdaten von der Lese/Schreibeinheit 2 ab (Schritt S 74). Wenn die Einheit 2 die Anweisungsdaten dem Steuerelement 15 eingibt, führt dieses die durch die Anweisungsdaten re präsentierte Grundfunktion aus (Schritt S 75). Die das Verarbeitungsergebnis angebenden Antwortdaten werden zur Lese/Schreibeinheit 2 ausgegeben (Schritt S 76), und das Steuerelement 15 wartet die nächsten Anweisungsdaten ab (Schritt S 74).

Bei einem negativen Ergebnis (NEIN) in Schritt S 72 sperrt jedoch das Steuerelement 15 die Übermittlung der Anfangsantwortdaten, und es wird in einen Haltzustand versetzt (Schritt S 77).

Die Selbstdiagnose in Schritt S 71 ist auf die Prüfung der Operationen der Randomspeicher und Register im Steuer element 15 beschränkt. Eine Gültigkeitsprüfung der Pro grammdaten zusätzlich zu dieser Selbstdiagnose kann zu einer weiteren Verbesserung der Anlagenzuverlässigkeit beitragen.

Die Gültigkeitsprüfung der Programmdaten erfolgt auf die im Ablaufdiagramm von Fig. 8 gezeigte Weise. Wenn insbe sondere das Steuerelement 15 in der IC-Karte 1 in Betrieb gesetzt wird, führt das Steuerelement 15 ein Unterprogramm im Steuerprogramm aus, um damit die Gültigkeit des Steuer programms zu prüfen (Schritt S 81). Die Programmdaten inner halb des Bereichs A werden ausgelesen und sequentiell addiert, wobei das Steuerelement 15 fest stellt, ob die Summe mit einer durch einen Prüfcode a repräsentierten Größe koinzidiert. Diese Prüfoperation dauert bis zum Ende der Steuerprogramme an, d. h. bis zum Bereich C gemäß Fig. 5. Wenn das Steuerelement 15 während der Prüfung feststellt, daß Gültigkeit nicht gegeben ist (Schritt S 82), liefert es augenblicklich die Ungültigkeit des Programms angebende Antwortdaten zur Lese/Schreib einheit 2 (Schritt S 83), worauf es im Haltzustand gehalten wird.

Wenn alle Programme als gültig geprüft worden sind (Schritt S 84), führt das Steuerelement 15 das Selbstdiagnoseprogramm (Programmdaten) im Steuerprogramm aus. Auf oben beschriebene Weise werden die Operationen nach Schritten S 71 bis S 77 durchgeführt.

Aus der vorstehenden Beschreibung geht hervor, daß die Gültigkeit der im Programmspeicher 17 gespeicherten Steuerprogramme bei oder nach Initialisierung der IC- Karte geprüft wird. Wenn eine Ungültigkeit des Steuer programms festgestellt wird, liefert die IC-Karte die Antwortdaten, welche die Ungültigkeit des Programms an geben, zur Karten-Lese/Schreibeinheit 2, worauf sie im Haltzustand gehalten wird. Anderenfalls führt die IC-Karte die Selbstdiagnose durch, um zu prüfen, ob die normale Opera tion durchgeführt werden kann. Da die Gültigkeit der Steuer programme geprüft werden kann, führen Fehler oder Störungen, die durch Steuerprogrammfehler, d. h. Fehler von Daten, welche den Schnittstellenprogrammteil der Programmdaten darstellen, verursacht werden, nicht zu einer weiteren Störung, die einen Datenaustausch mit einer externen Vor richtung verhindert, auch wenn das Selbstdiagnoseergebnis einen betriebsbereiten Zustand der IC-Karte repräsentiert. Mit anderen Worten: Wenn die IC-Karte 1 in einem abnormalen Zustand verbleibt oder Steuerprogramm fehler vorliegen, werden die Anfangsantwortdaten nicht zur Lese/Schreibeinheit 2 übertragen. Letztere bleibt dabei unwirksam, so daß dadurch die Anlagenzuverlässigkeit ver bessert werden kann.

Bei der beschriebenen Datenverarbeitung können die Anfangsantwortdaten nach Maßgabe des Selbstdiagnoseergebnisses übermittelt werden. Der Anfangsantwortdaten-Übermittlungstakt ist gemäß ISO-Norm genormt. Auch wenn die Selbstdiagnosezeit länger ist als die genormte Übermittlungszeit, müssen die Anfangsantwortdaten mit dem genormten Takt über mittelt werden. Eine Operation, welche die erwähnte Über mittlung erlaubt, ist nachstehend anhand von Fig. 9 be schrieben.

Wenn das Steuerelement 15 in Betrieb gesetzt wird, über mittelt es das erste Byte der im Programmspeicher 17 ge speicherten Anfangsantwortdaten zur Karten-Lese/Schreib einheit 2 innerhalb einer ersten vorbestimmten Zeitspanne d. h. einer Zeitspanne, welche die Startzeit des Steuer elements 15 enthält und zwischen der IC-Karte 1 und der Einheit 2 nach der ISO-Norm bestimmt ist (Schritt S 91).

Entsprechend dem im Programmspeicher 17 gespeicherten Selbstdiagnoseprogramm bestimmt das Steuerelement 15, ob die folgenden Operationen normal ausgeführt werden können (Schritt S 71). Wenn das Steuerelement 15 feststellt, daß die normalen Operationen ausgeführt werden können (Schritt S 72), liefert es alle restlichen Daten, mit Ausnahme des ersten Bytes der Anfangsantwortdaten (im Programmspeicher 17 gespeichert), zur Lese/Schreib einheit 2 innerhalb einer zweiten vorbestimmten Zeit spanne, d. h. einer Zeitspanne, welche die Startzeit als Übermittlungstakt für das erste Byte der Anfangsantwort daten enthält und die zwischen der IC-Karte 1 und der Karten-Lese/Schreibeinheit 2 nach der ISO-Norm be stimmt ist (Schritt S 73′). Die folgenden Operationen sind dieselben wie in Schritten S 74 bis S 77.

Nach der Initialisierung liefert die IC-Karte 1 nur das erste Byte der Anfangsantwortdaten zur Lese/Schreib einheit 2, und sie führt die Selbstdiagnose durch, um fest zustellen, ob normale Operationen ausgeführt werden kön nen. Ist dies der Fall, so werden die Anfangsantwortdaten, mit Ausnahme des ersten Bytes, von der IC-Karte zur Lese/ Schreibeinheit 2 geliefert. Der Übermittlungstakt (bzw. die -Zeitsteuerung) der Anfangsantwortdaten kann standardisiert bzw. genormt sein. Auch wenn die Selbstdiagnosezeit länger ist als die Übermittlungszeit, kann die Selbstdiagnose in der IC-Karte 1 einwand frei durchgeführt werden. Wenn die IC-Karte 1 im abnor malen Zustand bleibt, werden die Anfangsantwortdaten nicht zur Einheit 2 geliefert. Die Lese/Schreibein heit 2 bleibt daher unwirksam, und die Anlagenzuver lässigkeit kann dadurch verbessert werden.

Wenn die Gültigkeit der im Programmspeicher 17 abge speicherten Steuerprogramme ebenfalls geprüft wird, werden die Operationen gemäß einem Ablaufdiagramm von Fig. 10 ausgeführt. Das Steuerelement 15 in der IC-Karte 1 führt bei Initialisierung das Unterprogramm der Steuerpro gramme durch, um die Gültigkeit der Steuerprogramme zu prü fen. Das Steuerelement 15 bestimmt die Gültigkeit der Pro grammdaten innerhalb des Bereichs A (Schritt S 101) und stellt auch fest, ob die Register und der Randomspeicher (z. B. ein Datenübermittlungs-Ausgabepufferbereich und dergl.) im Steuerelement 15, für die Ausführung des An fangsantwortdaten-Übermittlungsprogramms benutzt, normal betrieben werden bzw. normal arbeiten (Schritt S 102). Die Prüfung der Gültigkeit der Programmdaten im Bereich A geschieht wie folgt: Die innerhalb des Bereichs A liegen den Programmdaten werden sequentiell ausgelesen und addiert, und das Steuerelement 15 stellt sodann fest, ob die Summe mit einer durch den Prüfcode a repräsentierten Größe koinzidiert. Wenn eine Ungültigkeit festgestellt wird (Schritt S 103), gelangt das Steuerelement 15 in den Haltzustand.

Falls dagegen eine Gültigkeit festgestellt wird (Schritt S 103), liefert das Steuerelement 15 nur das erste Byte der Anfangsantwortdaten (im Programmspeicher 17 ge speichert) zur Lese/Schreibeinheit 2 innerhalb einer ersten vorbestimmten Zeitspanne, d. h. einer Zeitspanne, welche die Startzeit des Steuerelements 15 enthält und zwischen der IC-Karte 1 und der Einheit 2 nach ISO-Norm bestimmt ist (Schritt S 91). Das Steuerelement 15 prüft sodann auf dieselbe Weise, wie oben beschrieben, die Gültigkeit der folgenden Programmdaten innerhalb der restlichen Bereiche (z. B. Bereiche B und C in Fig. 5) (Schritt S 105). Das Steuerelement 15 stellt sodann fest, ob die restlichen Register und Randomspeicher im Steuer element 15 normal arbeiten (Schritt S 106). Wenn eine Abnormalität festgestellt wird (Schritt S 107), gelangt das Steuerelement 15 in den Haltzustand.

Anderenfalls übermittelt das Steuerelement 15 alle rest lichen Daten, mit Ausnahme des ersten Bytes der im Pro grammspeicher 17 gespeicherten Anfangsantwortdaten, zur Karten-Lese/Schreibeinheit 2 innerhalb einer zweiten vorbestimmten Zeitspanne, d. h. einer Zeitspanne mit der Startzeit als Übermittlungstakt für das erste Byte der Anfangsantwortdaten, bestimmt zwischen IC-Karte 1 und Karten-Lese/Schreibeinheit 2 nach ISO-Norm (Schritt S 73′).

Nachdem alle Anfangsantwortdaten zur Lese/Schreibein heit 2 übermittelt worden sind, wartet das Steuerelement Anweisungsdaten von dieser Einheit 2 ab (Schritt S 74). Wenn die Anweisungsdaten von der Lese/Schreibeinheit 2 zur IC-Karte eingegeben werden, führt das Steuerelement 15 die durch die eingegebenen Anweisungsdaten repräsentierte Grundfunktion aus (Schritt S 75). Die das Verarbeitungs ergebnis repräsentierenden oder angebenden Antwortdaten werden zur Lese/Schreibeinheit 2 ausgegeben (Schritt S 76). Das Steuerelement 15 wartet sodann die nächsten An weisungsdaten ab (Schritt S 74).

Das Steuerprogramm und die für die Datenübermittlung be nutzten Register werden vor der Übermittlung des ersten Bytes der Anfangsantwortdaten geprüft. Nur das erste Byte der Anfangsantwortdaten wird zur Karten-Lese/ Schreibeinheit 2 übermittelt. Anschließend werden die restlichen Steuerprogramme und Register geprüft, und die Anfangsantwortdaten, mit Ausnahme des ersten Bytes, wer den zur Einheit 2 übermittelt. Die Gültigkeit der im Pro grammspeicher 17 abgespeicherten Steuerprogramme sowie normale/abnormale Operation oder Arbeitsweise der IC-Karte 1 werden mittels Eigenprüfung geprüft. Der Übermittlungs takt der Anfangsantwortdaten kann in Über einstimmung mit der ISO-Norm eingehalten werden. Wenn die IC-Karte 1 nicht normal betrieben oder betätigt werden kann und Programmfehler vorliegen, werden die Anfangsant wortdaten der Lese/Schreibeinheit 2 nicht zugeführt. Letztere wird dann nicht betätigt, so daß damit die Anlagenzuverlässigkeit verbessert werden kann.

Gemäß den vorstehenden Ausführungsbeispielen werden die Programmdaten mittels Software geprüft, doch kann die Prüfung auch mittels Hardware erfolgen. Gemäß Fig. 11 ist in der IC-Karte 1 eine Programmdaten-Prüfschaltung 19 vorgesehen, die eine Funktion zum sequentiellen Aus lesen von Programmdaten aus dem Programmspeicher 17, eine Funktion zur Bestimmung oder Feststellung der Gültigkeit der ausgelesenen Programmdaten mittels eines Prüfcodes in den Programmdaten und eine Funktion zum Aktivieren/Deaktivieren des Steuerelements 15 aufweist.

Die Operationen der IC-Karte 1 mit dem vorstehend beschrie benen Aufbau sind im folgenden anhand der Ablaufdiagramme gemäß Fig. 12A und 12B erläutert. Im Normalbetrieb werden eine Stromversorgungsspannung sowie Taktsignale von der Karten-Lese/Schreibeinheit 2 zur IC-Karte 1 geliefert, worauf der Rücksetzzustand der IC-Karte aufgehoben wird. Wenn die IC-Karte 1 zum Zeitpunkt des Empfangs der Strom versorgungsspannung und der Taktsignale rückgesetzt ist, wird das Steuerelement 15 nicht betätigt. Das Rücksetzsignal, als Startsteuersignal, von der Lese/ Schreibeinheit 2 ist auf einen vorbestimmten Pegel eingestellt.

Wenn das Rücksetzen aufgehoben wird, wird nur die Programm daten-Prüfschaltung 19 betätigt, um das Steuerelement 15 rückzusetzen (Schritt S 11). Die Prüfschaltung 19 prüft die Gültigkeit der Programmdaten im Bereich A (Schritt S 12). Beispielsweise werden dabei die Programmdaten im Bereich A ausgelesen und die ausgelesenen Daten sequen tiell addiert. Die Prüfschaltung 19 prüft weiter, ob die Summe mit dem Prüfcode a koinzidiert. Wenn eine Abnormali tät festgestellt wird (Schritt S 13), hebt die Prüfschaltung 19 das Rücksetzen des Steuerelements 15 auf (Schritt S 14), und das Steuerelement 15 wird in Betrieb gesetzt bzw. ge startet (Schritt S 15). Das Steuerelement 15 ruft das Selbstdiagnose- Routineprogramm ab. Die Prüfschaltung 19 stellt fest, ob die Register und Randomspeicher (z. B. Datenausgabe- Pufferbereich), die im Anfangsantwortdaten-Übermittlungs routineprogramm benutzt werden, normal betrieben werden bzw. normal arbeiten (Schritt S 102). Wenn eine Abnormali tät festgestellt wird (Schritt S 103), wird die Operation beendet (Schritt S 16). Wenn dagegen die Register und Random speicher als normal arbeitend festgestellt werden (Schritt S 103), werden das Anfangsantwortdaten-Übermittlungsroutine programm ausgeführt und nur das erste Byte der Anfangsant wortdaten im Programmspeicher 17 zur Karten-Lese/Schreib einheit 2 übermittelt (Schritt S 91).

Das Steuerelement 15 übermittelt sodann eine Wiederstartanforderung zur Programmdaten-Prüfschaltung 19 (Schritt S 17). Die Prüfschaltung 19 wird wieder in Betrieb gesetzt (Schritt S 18), und die Operation des Steuerele ments 15 wird vorübergehend angehalten. Die Prüfschaltung 19 prüft die Gültigkeit der Programmdaten in den rest lichen Bereichen B und C auf dieselbe Weise wie im Be reich A (Schritt S 19). Wenn eine Abnormalität festgestellt wird (Schritt S 20), bleibt der augenblickliche Zustand er halten, und die Operation wird beendet.

Wenn dagegen der Normalzustand festgestellt wird (Schritt S 20), liefert die Programmdaten-Prüfschaltung 19 eine Wie derstartanforderung zum Steuerelement 15, das vorüber gehend angehalten worden ist (Schritt S 21). Das Steuer element 15 wird wieder gestartet bzw. in Betrieb gesetzt, und das Selbstdiagnose-Routineprogramm wird erneut aufgenommen. Die Prüfschaltung 19 prüft, ob die restlichen Register und Randomspeicher im Steuerelement 15 normal betrieben werden bzw. normal arbeiten (Schritt S 106). Wenn eine Abnormali tät festgestellt wird (Schritt S 107), schaltet sich das Steuerelement 15 selbst ab (Schritt S 16). Wenn andererseits der Normalzustand festgestellt wird (Schritt S 107), ruft das Steuerelement 15 wiederum das Anfangsantwortdaten-Übermittlungsroutineprogramm ab. In diesem Fall werden die restlichen Daten, abgesehen vom ersten Byte im Programmspeicher 17, zur Lese/ Schreibeinheit 2 übermittelt (Schritt S 73′).

Nachdem die Anfangsantwortdaten vollständig zur Lese/ Schreibeinheit 2 übermittelt worden sind, wartet das Steuerelement 15 Anweisungsdaten von dieser Einheit 2 ab. Wenn in diesem Fall Anweisungsdaten von der Lese/ Schreibeinheit 2 eingegeben werden (Schritt S 74), führt das Steuerelement 15 eine Verarbeitung nach Maßgabe der Anweisungsdaten durch (Schritt S 75). Die Antwortdaten, als Verarbeitungsergebnis, werden zur Lese/Schreib einheit 2 übermittelt (Schritt S 76). Das Steuerelement 15 wartet sodann die nächsten Anweisungsdaten ab.

Wie vorstehend beschrieben, ist die Programmdaten-Prüf schaltung 19 vorgesehen, um die Gültigkeit der Steuer programmdaten im Programmspeicher 17 unmittelbar nach Aufhebung der Rücksetzung zu prüfen. Die Aktivierung und Deaktivierung des Steuerelements 15 wird auf der Grundlage des Prüfergebnisses geprüft. Auf diese Weise kann die Gültigkeit aller im Programmspeicher 17 enthal tenen Steuerprogrammdaten genau geprüft werden.

Claims

1. IC-Karte mit einer Programmsteuerung, die eine Betriebszustandsüberwachung abhängig von einem Auslösesignal vornimmt, das von einer Karten-Lese/Schreibeinheit (2) eingespeist ist, und die Antwortdaten auf das Auslösesignal an die Karten-Lese/Schreibeinheit (2) zurücksendet, dadurch gekennzeichnet, daß die Programmsteuerung (15, 16, 17) oder IC-Karte (1)

- abhängig von dem Auslösesignal an die Karten- Lese/Schreibeinheit (2) wenigstens erste Zeichendaten der Antwortdaten sendet,
- nach Senden wenigstens der ersten Zeichendaten zu der Karten-Lese/Schreibeinheit (2) eine Selbstdiagnose der IC-Karte durchführt, und
- zu der Karten-Lese/Schreibeinheit (2) die verbleibenden Zeichendaten der Antwortdaten sendet, wenn durch die Selbstdiagnose der normale Zustand der IC-Karte erkannt wird.

2. IC-Karte nach Anspruch 1, dadurch gekennzeichnet, daß die Programmsteuerung die Übertragung der verbleibenden Zeichendaten der Antwortdaten sperrt, wenn durch die Selbstdiagnose ein abnormaler Zustand der IC-Karte erkannt wird.