DE68915300T3

DE68915300T3 - Chipkarte und Verfahren zum Einschreiben seines Arbeitsprogramms.

Info

Publication number: DE68915300T3
Application number: DE68915300T
Authority: DE
Inventors: Toru Shinagawa
Original assignee: Hitachi Maxell Ltd
Current assignee: Maxell Ltd
Priority date: 1988-02-03
Filing date: 1989-01-31
Publication date: 1998-07-23
Anticipated expiration: 2009-02-01
Also published as: DE68915300D1; KR890013585A; JPH021090A; EP0328289A3; KR970004106B1; EP0328289B1; EP0328289B2; EP0328289A2; JP2623332B2; DE68915300T2

Description

HINTERGRUND DER ERFINDUNG

Diese Erfindung bezieht sich auf eine Chipkarte und auf ein Verfahren zum Schreiben von deren Betriebsprogramm. Insbesondere bezieht sich diese Erfindung auf eine Chipkarte, deren Betriebsprogramm nicht von jeder beliebigen Person oder jedem Teilnehmer, sondern nur von berechtigten Personen geändert werden kann, außerdem bezieht sie sich auf ein Verfahren zum Schreiben des Betriebsprogramms in die Chipkarte.
Chipkarten gelangen nun in verschiedenen Systemen in praktischen Gebrauch, die Kreditkartensysteme für den Verkauf und den Erwerb von Gebrauchsgegenständen, Bargeldauszahlungs- und -einzahlungssysteme in Banken sowie Schuldenzahlungssysteme in Krankenhäusern, Betriebskantinen und dergleichen umfassen. In solchen Systemen ist eine unberechtigte Verwendung der Chipkarte ein ernsthaftes Problem.
Üblicherweise enthält die Chipkarte einen Mikroprozessor und einen Speicher, die in sie eingebaut sind. Außerdem enthält die Chipkarte eine eingebaute Schnittstelle für die Übertragung und den Empfang von Daten zwischen ihr und einer externen Einrichtung wie etwa einem Host- Computer oder einer Chipkarten-Leseeinrichtung/Schreibeinrichtung. Die Chipkarte wird in einem Zustand verwendet, in der sie mit dem Host-Computer verbunden ist oder in die Chipkarten-Leseeinrichtung/Schreibeinrichtung eingeschoben ist. Der Betriebsablauf für die Übertragung und den Empfang von Daten zwischen der Chipkarte und der externen Einrichtung enthält die Schritte des Decodierens eines von der externen Einrichtung übertragenen Befehlssatzes mittels eines internen Steuerprogramms der Chipkarte, des Ausführens eines notwendigen Speicherzugriffs, beispielsweise des Schreibens, des Lesens oder des Löschens von Daten gemäß einem im Speicher der Chipkarte gespeicherten Betriebsprogramm, sowie die Übertragung des Ergebnisses des Speicherzugriffs zur externen Einrichtung als Antwort auf den Befehlssatz.
Die in der Chipkarte gespeicherten Programme enthalten ein auf den Steuerbetrieb des eingebauten Mikroprozessors selbst bezogenes Programm und ein Programm zur Steuerung der fundamentalen internen Schaltung der Chipkarte. Außer diesen Programmen sind Betriebsprogramme vorhanden, wovon ein geeignetes Programm ausgewählt wird, so daß der Mikroprozessor eine bestimmte Verarbeitungsprozedur, die einer bestimmten Funktion entspricht, abarbeiten kann. Solche Betriebsprogramme enthalten Prüfprogramme und verschiedene Anwendungsprogramme
Im allgemeinen sind die an erster Stelle genannten Programme meist in Verbindung mit dem eingebauten Mikroprozessor vorbereitet und beispielsweise in einem Masken- ROM gespeichert. Daher können diese Programme nicht einfach neu geschrieben oder verändert werden. Andererseits werden die an letzter Stelle genannten Programme oder Betriebsprogramme später beispielsweise vom Host- Computer in den Speicher heruntergeladen. Daher sind diese Betriebsprogramme veränderbar.
Eine Chipkarte, deren Betriebsprogramm später heruntergeladen wird, ist beispielsweise in der JP-A-61-211788 offenbart. In der offenbarten Chipkarte wird ein elektrisch löschbarer, nichtflüchtiger Speicher oder dergleichen als Programmspeicherteil verwendet, der ein Betriebsprogramm speichert, so daß das Betriebsprogramm veränderbar ist. In einer solchen Chipkarte kann jedoch das in der Chipkarte gespeicherte Betriebsprogramm durch Neuschreiben unberechtigt verändert werden, so daß die Gefahr eines unberechtigten Gebrauchs der geänderten Chipkarte besteht.

Zusammenfassung der Erfindung

Im Hinblick auf die Beseitigung des Mangels der Chipkarte des Standes der Technik, d.h. der einfachen Veränderbarkeit des Betriebsprogramms, ist es eine Aufgabe der vorliegenden Erfindung, eine Chipkarte zu schaffen, deren Betriebsprogramm nicht einfach verändert werden kann, um so deren unberechtigten Gebrauch zu verhindern, und bei der die Geheimhaltung ihres Betriebsprogramms sichergestellt werden kann.
Eine weitere Aufgabe der vorliegenden Erfindung ist, eine Chipkarte zu schaffen, bei der ein durch Hinterunterladen geschriebenes Betriebsprogramm nicht von jeder beliebigen Person oder jedem beliebigen Teilnehmer mit Ausnahme einer berechtigten Person geändert werden kann.
Eine weitere Aufgabe der vorliegenden Erfindung ist, ein Verfahren zum Schreiben eines Betriebsprogramms in eine Chipkarte zu schaffen, um so die anderen Aufgaben zu erfüllen.
Die FR-A-2.591.008 und die US-A-4.887.234 offenbaren eine Chipkarte, die eine Speichereinrichtung zum Speichern von veränderbaren Daten sowie eine Prozessoreinrichtung zum Ausführen einer vorgegebenen Folge von Verarbeitungsschritten entsprechend einem Steuerprogramm enthält, wobei die Speichereinrichtung Veränderbarkeits/Nichtveränderbarkeits-Information speichert, die angibt, ob entsprechende Datendateien veränderbar oder nicht veränderbar sind, und wobei die Chipkarte eine Einrichtung enthält, die eine Änderung der Betriebsprogramme ausführt, wenn die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme angibt, daß eine entsprechende Datendatei veränderbar ist.
Die WO-A-87/05420 offenbart eine Chipkarte mit einer Speichereinrichtung zum Speichern von veränderbaren Daten und eine Prozessoreinrichtung zum Ausführen einer vorgegebenen Folge von Verarbeitungsschritten entsprechend einem Steuerprogramm, wobei die Speichereinrichtung Veränderbarkeits-/Nichtveränderbarkeits-Information speichert, die angibt, ob entsprechende Datenfelder veränderbar oder nicht veränderbar sind, und wobei die Chipkarte eine Einrichtung enthält, die eine Änderung der Betriebsprogramme vornimmt, wenn die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme angibt, daß ein entsprechendes Datenfeld veränderbar ist.
Die WO-A-87/07063 offenbart eine Chipkarte mit einer Speichereinrichtung zum Speichern von veränderbaren Daten sowie eine Prozessoreinrichtung zum Ausführen einer vorgegebenen Folge von Verarbeitungsschritten entsprechend einem ausführenden Betriebssystem, wobei die Speichereinrichtung Veränderbarkeits-/Nichtveränderbarkeits- Information speichert, die angibt, ob entsprechende Datendateien veränderbar oder nicht veränderbar sind, wobei die Chipkarte eine Einrichtung enthält, die die Betriebsprogramme ändert, wenn die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms angibt, daß eine entsprechende Datendatei veränderbar ist, und wobei die Karte ein optionales Kennwort verwendet, das der Benutzer eingeben muß, bevor er Zugang zu einer Datei erlangt und sie verändern kann.
Die vorliegende Erfindung, wie sie im Anspruch 1 definiert ist, sieht eine Einrichtung vor, die ein Umschalten einer im Chipkarten-Speicher gespeicherten Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms zwischen der veränderbaren und der nichtveränderbaren Form erlaubt, indem zwischen der Vergleichsinformation und einer von außen eingegebenen Eingabeinformation Übereinstimmung festgestellt wird.
Ein Verfahren zur Verwendung der Chipkarte unter Ausnutzung der Erfindung ist im Anspruch 10 definiert.
Die vorliegende Erfindung besitzt das Merkmal, daß im Zeitpunkt des Schreibens eines Betriebsprogramms in eine Chipkarte Identifizierungsinformation und Attributinformation des Betriebsprogramms in die Chipkarte geschrieben werden, während im Zeitpunkt der Veränderung des Betriebsprogramms auf die Attributinformation Bezug genommen wird, um eine Veränderung nur dann zu erlauben, wenn das Betriebsprogramm veränderbar ist, wodurch die Sicherheit der Geheimhaltung während des Schreibens des Betriebsprogramms in die Chipkarte verbessert wird. Ferner wird im Zeitpunkt der Veränderung der Attributinformation die Identifizierungsinformation mit einer von außen eingegebenen Eingabeinformation verglichen, um so Übereinstimmung zwischen beiden festzustellen, wobei dann, wenn Übereinstimmung erfaßt wird und die Attributinformation verändert werden soll, nicht jede beliebige Person oder jeder beliebige Teilnehmer mit Ausnahme eines speziell eingeschränkten oder berechtigten Personenkreises die Veränderung der Attributinformation vornehmen kann.
Die Chipkarte der vorliegenden Erfindung, die die obigen Aufgaben löst, umfaßt einen Speicher zum Speichern einer Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms, die angibt, ob das Betriebsprogramm veränderbar ist oder nicht, sowie zum Speichern von Vergleichsinformation, auf die Bezug genommen wird, um ein Umschalten der Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms zwischen einer Form der Veränderbarkeit und einer Form der Nichtveränderbarkeit zu erlauben, eine Einrichtung zum Umschalten der Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms entweder in die Form der Veränderbarkeit oder der Nichtveränderbarkeit durch Erfassung der Übereinstimmung zwischen der Vergleichsinformation und der von außen eingegebenen Eingabeinformation, sowie Einrichtungen für die Ausführung der Veränderung des Betriebsprogramms, wenn die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms die Form der Veränderbarkeit hat.
Somit werden bei der Chipkarte gemäß der vorliegenden Erfindung die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms und die Vergleichsinformation in der Chipkarte gespeichert. In der Chipkarte wird auf die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms Bezug genommen, um zu entscheiden, ob ein Betriebsprogramm veränderbar ist oder nicht, wobei dann, wenn die Vergleichsinformation mit einer von außen eingegebenen Eingabeinformation übereinstimmt, eine Veränderung des Betriebsprogramms durch eine berechtigte Person oder einen berechtigten Teilnehmer zugelassen wird. Daher können die Sicherheit der Geheimhaltung des Betriebsprogramms der Chipkarte oder der Veränderung des Betriebsprogramms verbessert werden, ferner kann eine unberechtigte Veränderung des Betriebsprogramms verhindert werden.

KURZBESCHREIBUNG DER ZEICHNUNGEN

Fig. 1 ist ein Blockschaltbild einer Chipkarte, die keine Ausführungsform der vorliegenden Erfindung ist, jedoch für das Verständnis nützlich ist.
Fig. 2 ist ein Flußdiagramm, das eine Folge von Schritten zum Schreiben eines Betriebsprogramms in die in Fig. 1 gezeigte Chipkarte zeigt.
Fig. 3 ist ein Flußdiagramm, das eine Folge von Schritten zum Schreiben von Identifizierungsinformation und Attributinformation in die in Fig. 1 gezeigte Chipkarte zeigt.
Fig. 4A und 4B zeigen Beispiele von Kombinationen der Identifizierungsinformation und der Attributinformation, die in der in Fig. 1 gezeigten Chipkarte gespeichert sind.
Fig. 5 ist ein Blockschaltbild einer Ausführungsform der Chipkarte gemäß der vorliegenden Erfindung.
Fig. 6 ist ein Flußdiagramm, das eine Folge von Schritten zum Schreiben von mehreren Betriebsprogrammen in die in Fig. 5 gezeigte Chipkarte zeigt.
Fig. 7 ist ein Flußdiagramm, das eine Folge von Schritten zum Schreiben von Identifizierungsinformation und Attributinformation in die in Fig. 5 gezeigte Chipkarte zeigt.
Fig. 8A bis 8M zeigen Beispiele von Kombinationen der Identifizierungsinformation, der Attributinformation und verschiedener Programme, die im Programmspeicherteil der in Fig. 5 gezeigten Chipkarte gespeichert sind.
Nun wird mit Bezug auf die Fig. 1, 5 und 9 der Zeichnungen eine Chipkarte im einzelnen beschrieben. Wie in jeder der Fig. 1, 5 und 9 gezeigt, enthält die allgemein mit dem Bezugszeichen 1 bezeichnete Chipkarte einen Programmspeicherteil 4, einen Informationsspeicherbereich 5, eine Zentraleinheit (CPU) 6 und einen Eingabe/Ausgabebereich 7. Die Chipkarte 1 ist an einer externen Einrichtung 8 (die beispielsweise eine Chipkarten-Leseeinrichtung/Schreibeinrichtung oder ein Host-Computer ist) angebracht oder mit dieser verbunden und beginnt aufgrund eines von der externen Einrichtung 8 eingegebenen Signals zu arbeiten. Der Betrieb der Chipkarte 1 wird durch ein intern gespeichertes Betriebsprogramm oder durch ein heruntergeladenes und im Programmspeicherteil 4 gespeichertes Betriebsprogramm bestimmt, wobei die CPU 6 ein solches Betriebsprogramm aktiviert. Die CPU 6 führt über den Information-Eingabe-/Ausgabebereich 7 das Senden und Empfangen von Information zwischen der Chipkarte 1 und der externen Einrichtung 8 (beispielsweise der Chipkarten-Leseeinrichtung/Schreibeinrichtung oder dem Host-Computer) aus, indem sie Information in den Informationsspeicherbereich 5 und den Programmspeicherteil 4 schreibt und aus dem Informationsspeicherbereich 5 und dem Programmspeicherteil 4 Information ausliest.
Der Programmspeicherteil 4 und der Informationsspeicherbereich 5 der Chipkarte 1 besitzen jeweils die Form eines veränderbaren, nichtflüchtigen Speichers wie etwa eines EEPROM (eines elektrisch löschbaren und programmierbaren ROM). Der Programmspeicherteil 4 enthält einen Attributinformation-Speicherbereich 2, in dem Attributinformation eines Betriebsprogramms gespeichert ist, einen Identifizierungsinformation-Speicherbereich 3, der Identifizierungsinformation des Betriebsprogramms speichert, sowie einen Betriebsprogramm-Speicherbereich 9.
Zunächst werden die Inhalte der in Fig. 1 gezeigten Chipkarte beschrieben.
In den Attributinformation-Speicherbereich 2 ist für die Veränderung des Betriebsprogramms relevante Attributinformation aufgezeichnet. Beispielsweise sind in den Attributinformation-Speicherbereich 2 eine Attributinformation "W (Schreiben)", die bedeutet, daß das Betriebsprogramm veränderbar ist, sowie eine Attributinformation "R (nur Lesen)", die bedeutet, daß das Betriebsprogramm nicht veränderbar ist, aufgezeichnet. Im Identifizierungsinformation-Speicherbereich 3 sind die Identifizierungsinformation des Betriebsprogramms oder der Name des Schreibers des Betriebsprogramms aufgezeichnet. Beispielsweise sind in den Identifizierungsinformation- Speicherbereich 3 das Paßwort und der Name des Betriebsprogramms aufgezeichnet. Das Betriebsprogramm ist in dem Betriebsprogramm-Speicherbereich 9 aufgezeichnet.
Die Attributinformation ist eine Information, die angibt, ob das im Betriebsprogramm-Speicherbereich 9 gespeicherte Betriebsprogramm veränderbar ist, während die Identifizierungsinformation eine Vergleichsinformation (Veränderbarkeits-Bedingungsinformation) ist, die im Zeitpunkt des Umschaltens der Form der Attributinformation verglichen wird. Sowohl die Attributinformation als auch die Identifizierungsinformation können im Zeitpunkt des Schreibens des Betriebsprogramms geschrieben werden oder können unabhängig vom Betriebsprogramm-Schreibvorgang geschrieben werden.
Das Schreiben oder Verändern des Betriebsprogramms wird als Antwort auf die Eingabe eines Befehls von der externen Einrichtung 8 in die einen Mikroprozessor enthaltende CPU 6 ausgeführt. Wenn die CPU 6 den Befehl decodiert und ermittelt, daß ein Betriebsprogramm geschrieben werden soll, wird entsprechend einem in der CPU 6 gespeicherten Betriebsprogramm-Schreibsteuerprogramm 6a eine Folge von Verarbeitungs schritten ausgeführt. Dieses Betriebsprogramm-Schreibsteuerprogramm 6a ist in Fig. 2 gezeigt.
In einem Schritt 101 in Fig. 2 wird entschieden, ob in den Attributinformation-Speicherbereich 2 bereits Attributinformation geschrieben ist. Wenn das Ergebnis der Entscheidung im Schritt 101 "ja" lautet, wird anschließend im nächsten Schritt 102 entschieden, ob die Attributinformation die Veränderbarkeit eines Betriebsprogramms angibt. Wenn das Ergebnis der Entscheidung im Schritt 102 "ja" lautet, führt die CPU 6 im nächsten Schritt 103 die Verarbeitung aus, die zum Schreiben eines von außen gelieferten Betriebsprogramms in die Chipkarte 1 notwendig ist.
Auf die obenbeschriebene Weise der Verarbeitung kann ein von außen geliefertes Betriebsprogramm in den Betriebsprogramm-Speicherbereich 9 unter der Voraussetzung geschrieben werden, daß bereits Attributinformation geschrieben worden ist, während ein solches Betriebsprogramm nicht geschrieben werden kann, solange die Attributinformation nicht in der veränderbaren Form ist. Daher kann das Schreiben eines Betriebsprogramms verhindert werden, indem die Attributinformation in ihrer nichtveränderbaren Form gehalten wird.
Das Schreiben der Attributinformation selbst sowie das Schreiben von Identifizierungsinformation und die Veränderung dieser Informationen wird durch Aktivieren eines in der CPU 6 gespeicherten Verwaltungsinformation- Schreibsteuerprogramms 6b ausgeführt. Fig. 3 ist ein Flußdiagramm der Steuerfolge gemäß dem Verwaltungsinformation-Schreibsteuerprogramm 6b.
In einem Schritt 111 in Fig. 3 wird entschieden, ob im Identifizierungsinformation-Speicherbereich 3 bereits Identifizierungsinformation gespeichert ist. Wenn das Ergebnis der Entscheidung im Schritt 111 "nein" lautet, folgt dem Schritt 111 ein Schritt 112a. Im Schritt 112a decodiert die CPU 6 die an einer vorgegebenen Position der Eingabeinformation enthaltene Information, um festzustellen, ob das Schreiben von Identifizierungsinformation befohlen ist. Wenn das Ergebnis der Entscheidung im Schritt 112a "ja" lautet, wird im nächsten Schritt 113a die Identifizierungsinformation geschrieben. Wenn andererseits das Ergebnis der Entscheidung im Schritt 112a "nein" lautet, ist die Steuerfolge gemäß diesem Programm 6b beendet.
Wenn andererseits das Ergebnis der Entscheidung im Schritt 111 "ja" lautet, wird im nächsten Schritt 112 die bereits gespeicherte Identifizierungsinformation aus dem Identifizierungsinformation-Speicherbereich 3 ausgelesen und mit der neuen Identifizierungsinformation verglichen, die in die Chipkarte 1 als Teil der Eingabeinformation eingegeben wird. Dann wird im nächsten Schritt 113 die Übereinstimmung zwischen der ersteren und der letzteren Identifizierungsinformation geprüft. Nur dann, wenn das Ergebnis der Prüfung im Schritt 113 "ja" lautet, folgt dem Schritt 113 ein Schritt 114. Im Schritt 114 empfängt die CPU 6 die neue Identifizierungsinformation oder Attributinformation, die in die Chipkarte 1 eingegeben wird, woraufhin nach der Entscheidung, daß die Information gespeichert werden soll, die neue Identifizierungsinformation oder Attributinformation im Identifizierungsinformation-Speicherbereich 3 bzw. im Attributinformation-Speicherbereich 2 gespeichert wird, um eine Veränderung der im Speicherbereich 3 bzw. 2 bereits gespeicherten Information auszuführen. Wenn andererseits das Ergebnis des Vergleichs im Schritt 112 und das Ergebnis der Prüfung im Schritt 113 eine Nichtübereinstimmung zwischen den Identifizierungsinformationen ergeben, ist die Steuerfolge gemäß diesem Programm 6b beendet.
Gewöhnlich stellt ein Chipkarten-Hersteller Chipkarten her während ein Chipkarten-Ausgeber, der die Chipkarten erworben hat, vorgegebene Daten, ein Betriebsprogramm und dergleichen in die Chipkarten schreibt, so daß die Chipkarten in einer gewünschten Form verwendet werden können. Der Chipkarten-Ausgeber gibt die Chipkarten an Chipkarten-Nutzer aus, wobei die Chipkarten-Nutzer (Halter), die die Chipkarten in Empfang genommen haben, entweder die Chipkarten verwenden oder sie weiter an Chipkarten-Verwender ausgeben.
In einem solchen Fall wird das Betriebsprogramm im allgemeinen sowohl durch den Chipkarten-Hersteller als auch durch den Chipkarten-Ausgeber in die Chipkarte 1 geschrieben. Der Chipkarten-Hersteller, der die Chipkarte 1 in Form eines integrierten Schaltungschips herstellt, muß die Chipkarte 1 prüfen, um zu bestätigen, daß die Chipkarte 1 geeignet arbeiten kann. Hierzu ist es notwendig, ein weiteres Betriebsprogramm, d.h. ein Prüfprogramm in die Chipkarte 1 zu schreiben. In diesem Fall wird zunächst gemäß dem Verwaltungsinformation-Schreibsteuerprogramm 6b wie in Fig. 4A gezeigt in den Identifizierungsinformation-Speicherbereich 3 die Identifizierungsinformation "M-ID" des Chipkarten-Herstellers geschrieben, woraufhin unter Verwendung dieser Identifizierungsinformation "M-ID" die Attributinformation "W"-- (veränderbar)" in den Attributinformation-Speicherbereich 2 geschrieben wird. Dann wird das Betriebsprogramm für Prüfzwecke (das Prüfprogramm) in den Betriebsprogramm- Speicherbereich 9 geschrieben, woraufhin die Chipkarte 1 gemäß dem Prüfprogramm geprüft wird. Wenn entschieden wird, daß die Chipkarte 1 richtig arbeitet, wird die Chipkarte 1 vom Chipkarten-Hersteller an einen Chipkarten-Ausgeber A ausgeliefert, wie in Fig. 48 gezeigt ist. In diesem Zeitpunkt wird der die Chipkarte 1 in Empfang nehmende Chipkarten-Ausgeber A über die Identifizierungsinformation "M-ID", die vom Chipkarten-Hersteller in die Chipkarte 1 geschrieben worden ist, informiert.
Der Chipkarten-Ausgeber A schreibt ein notwendiges Betriebsprogramm in den Betriebsprogramm-Speicherbereich 9 der Chipkarte 1. (In diesem Fall wird das vorher vom Chipkarten-Hersteller geschriebene Prüfprogramm automatisch verändert.) Dann wird die vom Chipkarten-Hersteller übermittelte Identifizierungsinformation "M-ID" gemäß dem Betriebsprogramm-Schreibsteuerprogramm 6a beispielsweise in "I-ID" geändert, die die Identifizierungsinformation des Chipkarten-Ausgebers A repräsentiert, außerdem wird die Attributinformation "W" in "R---(nicht veränderbar)" verändert.
In der Chipkarte 1, bei der im Speicherbereich 2 die Attributinformation "R" gespeichert ist, ist eine Veränderung ihres Betriebsprogramms gemäß dem in Fig. 2 gezeigten Betriebsprogramm-Schreibsteuerprogramm 6a nun unmöglich, so daß ein Versuch, das Betriebsprogramm zu ändern, scheitert. Die Veränderung des in die Chipkarte 1 geschriebenen Betriebsprogramms ist nicht möglich, solange die Attributinformation "R---(nicht veränderbar)", die im Attributinformation-Speicherbereich 2 gespeichert ist, nicht gemäß dem in Fig. 3 gezeigten Verwaltungsinformation-Schreibsteuerprogramm 6b in die Attributinformation "W--- (veränderbar)" verändert wird. Somit ist eine Veränderung des Betriebsprogramms für Personen oder Teilnehmer mit Ausnahme des Chipkarten- Ausgebers A, der die Identifizierungsinformation "I-ID" kennt, unmöglich.
Nun werde beispielsweise angenommen, daß ein weiterer Chipkarten-Ausgeber B die Hinzufügung eines weiteren Betriebsprogramms wünscht. In einem solchen Fall verändert der Chipkarten-Ausgeber A die Attributinformation von "R---(nicht veränderbar)" in "W---(veränderbar)", indem er die Identifizierungsinformation "I-ID" verwendet, woraufhin er die Chipkarte 1 an den Chipkarten- Ausgeber B ausliefert. Nachdem der Chipkarten-Ausgeber B ein Betriebsprogramm hinzugefügt hat, verändert der Chipkarten-Ausgeber A die Attributinformation erneut von "W---(veränderbar)" in R---(nicht veränderbar)". In diesem Fall ist der Chipkarten-Ausgeber A berechtigt, das Betriebsprogramm zu verändern. Wenn der Chipkarten- Ausgeber A sein Recht aufgibt, das Betriebsprogramm zu verändern, wird der Chipkarten-Ausgeber B, der die Chipkarte 1 in Empfang nimmt, über die Identifizierungsinformation "I-ID" informiert.
Nun wird mit Bezug auf die Fig. 5, 6 und 7 eine Ausführungsform der Chipkarte gemäß der vorliegenden Erfindung im einzelnen beschrieben.
Wie in Fig. 5 gezeigt, kann die Chipkarte 1 mehrere Betriebsprogramme speichern. Beispielsweise ist der Programmspeicherteil 4 so beschaffen, daß er zwei Betriebsprogramm-Speicherbereiche enthält, d.h. einen ersten und einen zweiten Betriebsprogramm-Speicherbereich 9a bzw. 9b, so daß im Programmspeicherteil 4 zwei Betriebsprogramme gespeichert werden können. Ferner enthält der Programmspeicherteil 4 einen ersten und einen zweiten Attributinformation-Speicherbereich 2a bzw. 2b, die Attributinformation bezüglich des ersten und des zweiten Betriebsprogramms speichern, welche im ersten bzw. im zweiten Betriebsprogramm-Speicherbereich 9a, 9b gespeichert sind, sowie einen ersten und einen zweiten Identifizierungsinformation-Speicherbereich 3a bzw. 3b, in denen Identifizierungsinformation entsprechend dem ersten bzw. dem zweiten Attributinformation-Speicherbereich 2a, 2b gespeichert ist.
Wie im Fall der Chipkarte von Fig. 1 ist die Attributinformation, beispielsweise "W (Schreiben = veränderbar)" oder "R (nur Lesen = nicht veränderbar)", die für die Veränderung des im ersten bzw. im zweiten Betriebsprogramm-Speicherbereich 9a, 9b gespeicherten ersten bzw. zweiten Betriebsprogramms relevant ist, im ersten und im zweiten Attributinformation-Speicherbereich 2a bzw. 2b aufgezeichnet. Ebenfalls wie im Fall der Chipkarte von Fig. 1 ist die Identifizierungsinformation des entsprechenden Betriebsprogramms oder der Name des Schreibers des entsprechenden Betriebsprogramms im ersten und im zweiten Identifizierungsinformation-Speicherbereich 3a bzw. 3b aufgezeichnet. Beispielsweise sind in jedem dieser Speicherbereiche 3a und 3b das Paßwort und der Name des Betriebsprogramms aufgezeichnet.
Nun wird mit Bezug auf Fig. 6 der Betrieb der in Fig. 5 gezeigten Chipkarte 1 beschrieben. In einem Schritt 121 in Fig. 6 decodiert die CPU 6 die Information, die an einer vorgegebenen Position in der von der externen Einrichtung 8 gesendeten Eingabeinformation enthalten ist, wobei die CPU 6 dann, wenn sie die Eingabe eines Befehls zum Schreiben eines Betriebsprogramms erfaßt, entscheidet, ob ein solches Betriebsprogramm in den ersten Betriebsprogramm-Speicherbereich 9a geschrieben werden soll.
Wenn das Ergebnis der Entscheidung im Schritt 121 "ja" lautet, was bedeutet, daß das Betriebsprogramm in den ersten Betriebsprogramm-Speicherbereich 9a geschrieben werden soll, wird im nächsten Schritt 122a entschieden, ob in den ersten Attributinformation-Speicherbereich 2a bereits Attributinformation geschrieben ist. Wenn das Ergebnis der Entscheidung im Schritt 122a "ja" lautet, wird im nächsten Schritt 123a entschieden, ob die Attributinformation in der veränderbaren Form ist. Wenn das Ergebnis der Entscheidung im Schritt 123a "ja" lautet, erlaubt die CPU 6 im nächsten Schritt 124a die Veränderung des Betriebsprogrammsc Daher kann das erste Betriebsprogramm in den ersten Betriebsprogramm-Speicherbereich 9a in der Chipkarte 1 geschrieben werden, wobei nach der Ausführung des Schreibens des von der externen Einrichtung 8 gesendeten Betriebsprogramms die Verarbeitung gemäß dem Verarbeitungsprogramm beendet ist.
Die Verarbeitung durch die CPU 6, mit der die Veränderung des Betriebsprogramms ermöglicht wird, ist von der Art, daß in dem Programmspeicherteil 4, der beispielsweise durch einen EEPROM gebildet ist, der Adressenraum des ersten und des zweiten Betriebsprogramm-Speicherbereichs 9a bzw. 9b, in die ein Schreiben normalerweise verhindert wird, so verwaltet wird, daß ein Schreiben des Betriebsprogramms erlaubt ist.
Wenn das Ergebnis der Entscheidung im Schritt 121 "nein" lautet, was bedeutet, daß das Schreiben des Betriebsprogramms in den ersten Betriebsprogramm-Speicherbereich 9a nicht befohlen ist, wird im nächsten Schritt 122b entschieden, ob in den zweiten Attributinformation-Speicherbereich 2b bereits Attributinformation geschrieben ist. Wenn das Ergebnis der Entscheidung im Schritt 122b "ja" lautet, wird anschließend im nächsten Schritt 123b entschieden, ob die Attributinformation in ihrer veränderbaren Form ist. Wenn das Ergebnis der Entscheidung im Schritt 123b "ja" lautet, führt die CPU 6 im nächsten Schritt 124b die Verarbeitung aus, die notwendig ist, um eine Veränderung des Betriebsprogramms zu erlauben. Im Ergebnis kann das Betriebsprogramm in den zweiten Betriebsprogramm-Speicherbereich 9b der Chipkarte 1 geschrieben werden, wobei nach dem Schreiben des von der externen Einrichtung 8 gesandten Betriebsprogramms die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet ist.
Wenn das Ergebnis der Entscheidung im Schritt 122a oder 122b "nein" lautet oder wenn das Ergebnis der Entscheidung im Schritt 123a oder 123b "nein" lautet, ist die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet, ohne daß das Betriebsprogramm geschrieben wird.
Daher kann lediglich durch Halten der Attributinformation in ihrer nichtveränderbaren Form ein Schreiben des Betriebsprogramms in die Chipkarte 1 verhindert werden.
Im Zeitpunkt des Schreibens der Attributinformation selbst, im Zeitpunkt des Schreibens der Identifizierungsinformation und im Zeitpunkt der Veränderung dieser Informationen auf die obenbeschriebene Weise sendet die externe Ausrichtung 8 einen Befehl aus, der das Schreiben der Verwaltungsinformation (der Attributinformation und der Identifizierungsinformation) angibt. Wenn die CPU 6 den Befehl empfängt und decodiert und feststellt, daß ein Schreiben der Verwaltungsinformation befohlen ist, aktiviert sie das in ihr gespeicherte Verwaltungsinformation-Schreibsteuerprogramm 6b. Im Ergebnis wird eine Verwaltungsinformation-Schreibfolge wie in Fig. 7 gezeigt abgearbeitet.
In einem Schritt 131 in Fig. 7 decodiert die CPU 6 einen an einer vorgegebenen Position einer Eingabeinformation enthaltenen Befehl, wobei dann, wenn die CPU 6 feststellt, daß ein Schreiben der Verwaltungsinformation befohlen ist, entschieden wird, ob ein Schreiben der für das erste Betriebsprogramm relevanten Verwaltungsinformation befohlen ist. Wenn das Ergebnis der Entscheidung im Schritt 131 "ja" lautet, bedeutet dies, daß das Schreiben der für das erste Betriebsprogramm relevanten Verwaltungsinformation befohlen ist. Dann wird im nächsten Schritt 132a entschieden, ob in den ersten Identifizierungsinformation-Speicherbereich 3a bereits Identifizierungsinformation geschrieben ist. Wenn das Ergebnis der Entscheidung im Schritt 132a "nein" lautet, folgt dem Schritt 132a ein Schritt 134a. Wenn die CPU 6, die die an der vorgegebenen Position der Eingabeinformation enthaltene Information decodiert, im Schritt 134a feststellt, daß ein Schreiben der Identifizierungsinformation befohlen ist, wird die Identifizierungsinformation in einem Schritt 136a in den ersten Identifizierungsinformation- Speicherbereich 3a geschrieben, wobei nach dem Schreiben die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet ist. Wenn andererseits das Ergebnis der Entscheidung im Schritt 134a "nein" lautet, ist die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet, woraufhin eine weitere Verarbeitungsfolge stattfindet.
Wenn andererseits das Ergebnis der Entscheidung im Schritt 132a "ja" lautet, wird die geschriebene Identifizierungsinformation in einem Schritt 133a aus dem ersten Identifizierungsinformation-Speicherbereich 3a ausgelesen und mit der Identifizierungsinformation verglichen, die für das erste Betriebsprogramm relevant ist und in der von der externen Einrichtung 8 gesandten Eingabeinformation enthalten ist. In einem vorgegebenen Speicherbereich des Speichers wird ein Übereinstimmungs-/Nichtübereinstimmungs-Merker, der das Vergleichsergebnis wiedergibt, gespeichert. In einem Schritt 135a wird auf den Übereinstimmungs-/Nichtübereinstimmungs-Merker Bezug genommen, um zu entscheiden, ob zwischen der Identifizierungsinformation eine Übereinstimmung erfaßt worden ist. Nur wenn die Übereinstimmung erfaßt worden ist, folgt dem Schritt 135a ein Schritt 137a. Im Schritt 137a empfängt die CPU 6 die Identifizierungsinformation oder Attributinformation, die für das eingegebene, neue erste Betriebsprogramm relevant ist, wobei sie entscheidet, daß entweder die Identifizierungsinformation oder die Attributinformation in der Eingabeinformation enthalten ist. Gemäß dem Entscheidungsergebnis speichert die CPU 6 entweder die Identifizierungsinformation oder die Attributinformation im entsprechenden Speicherbereich, welcher der erste Attributinformation-Speicherbereich 2a oder der erste Identifizierungsinformation-Speicherbereich 3a ist. Dies bewirkt eine Veränderung der Identifizierungsinformation oder der Attributinformation. Nach der Veränderung ist die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet. Wenn das Ergebnis der Entscheidung im Schritt 135a "nein" lautet, bedeutet dies, daß eine Nichtübereinstimmung erfaßt worden ist, woraufhin die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet ist.
Wenn das Ergebnis der Entscheidung im Schritt 131 "nein" lautet, was bedeutet, daß das Schreiben der für das erste Betriebsprogramm relevanten Verwaltungsinformation nicht befohlen ist, folgt dem Schritt 131 ein Schritt 132b. Im Schritt 132b wird entschieden, ob in den zweiten Identifizierungsinformation-Speicherbereich 3b bereits Identifizierungsinformation geschrieben ist. Wenn das Ergebnis der Entscheidung im Schritt 132b "nein" lautet, folgt dem Schritt 132b ein Schritt 134b. Wenn die CPU 6, die die an der vorgegebenen Position der Eingabeinformation enthaltene Information decodiert, im Schritt 134b feststellt, daß das Schreiben der Identifizierungsinformation befohlen ist, wird die Identifizierungsinformation in einem Schritt 136b in den zweiten Identifizierungsinformation- Speicherbereich 3b geschrieben, wobei nach dem Schreiben die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet ist. Wenn andererseits das Ergebnis der Entscheidung im Schritt 134b "nein" lautet, ist die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet, woraufhin eine weitere Verarbeitungsfolge stattfindet.
Wenn andererseits das Ergebnis der Entscheidung im Schritt 132b "ja" lautet, wird die geschriebene Identifizierungsinformation in einem Schritt 133b aus dem zweiten Identifizierungsinformation-Speicherbereich 3b ausgelesen und mit der für das zweite Betriebsprogramm relevanten und in der Eingabeinformation enthaltenen Identifizierungsinformation verglichen. In einem Schritt 135b wird entschieden, ob zwischen diesen Identifizierungsinformationen Übereinstimmung oder Nichtübereinstimmung vorhanden ist. Nur wenn Übereinstimmung erfaßt wird, folgt dem Schritt 135b ein Schritt 137b. Im Schritt 137b empfängt die CPU 6 die Identifizierungsinformation oder die Attributinformation, die für das eingegebene, neue zweite Betriebsprogramm relevant ist, wobei sie entscheidet, daß entweder die Identifizierungsinformation oder die Attributinformation in der Eingabeinformation enthalten ist. Gemäß diesem Entscheidungsergebnis speichert die CPU 6 die Identifizierungsinformation oder die Attributinformation im entsprechenden Speicherbereich, der entweder der zweite Attributinformation-Speicherbereich 2b oder der zweite Identifizierungsinformation-Speicherbereich 3b ist. Nach dem Speichern ist die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet. Wenn das Ergebnis der Entscheidung im Schritt 135b "nein" lautet, was bedeutet, daß als Ergebnis des Vergleichs zwischen den Identifizierungsinformationen eine Nichtübereinstimmung erfaßt worden ist, ist die Verarbeitung gemäß diesem Verarbeitungsprogramm beendet, woraufhin eine weitere Verarbeitungsfolge stattfindet.
Nun wird mit Bezug auf die Fig. 8A bis 8M die Prozedur zur Ausgabe der Chipkarte, die wie oben beschrieben arbeitet, erläutert.
Fig. 8A zeigt die Chipkarte 1 in einem Zustand, in dem in ihren Programmspeicherteil 4 nichts geschrieben ist. Der Chipkarten-Hersteller lädt die Chipkarte 1 in die externe Einrichtung 8, woraufhin von der externen Einrichtung 8 zur Chipkarte 1 ein Befehl zum Schreiben der für das erste Betriebsprogramm relevanten Identifizierungsinformation "M-ID" gesandt wird. Die CPU 6 in der Chipkarte 1 decodiert den von der externen Einrichtung 8 gesandten Befehl und stellt fest, daß ein Schreiben der Verwaltungsinformation befohlen ist. Gemäß diesem Ergebnis der Befehlsdecodierung wird das Verwaltungsinformation- Schreibsteuerprogramm 6b aktiviert. Dann decodiert die CPU 6 die an der vorgegebenen Position der Eingabeinformation enthaltene Information und stellt fest, daß das Schreiben der für das erste Betriebsprogramm relevanten Verwaltungsinformation befohlen ist. Die CPU 6 prüft, ob die Identifizierungsinformation bereits in den ersten Identifizierungsinformation-Speicherbereich 3a geschrieben ist. Wenn die CPU 6 feststellt, daß die Identifizierungsinformation nicht in den Identifizierungsinformation-Speicherbereich 3a geschrieben ist, decodiert sie die an einer weiteren vorgegebenen Position der Eingabeinformation enthaltene Information und stellt fest, daß das Schreiben der Identifizierungsinformation befohlen ist. Nachdem die Identifizierungsinformation "M-ID" in den ersten Identifizierungsinformation-Speicherbereich 3a geschrieben worden ist, bewirkt die CPU 6 das Ende der Verarbeitung gemäß diesem Verarbeitungsprogramm und sendet gleichzeitig an die externe Einrichtung 8 eine Antwort aus, um sie über die Beendigung der Verarbeitung gemäß dem Verwaltungsinformation-Schreibsteuerprogramm 6b zu informieren. Die externe Einrichtung 8, die die Antwort empfangen hat, informiert den Chipkarten-Hersteller über die Tatsache, daß der Verwaltungsinformation- Schreibprozeß beendet worden ist. Hierzu ist eine Anzeige oder dergleichen vorgesehen.
In dem obenbeschriebenen Verarbeitungsprogramm decodiert die CPU 6 die an der vorgegebenen Position der Eingabeinformation enthaltene Information, um festzustellen, daß das Schreiben der Verwaltungsinformation oder das Schreiben der Identifizierungsinformation befohlen ist. Zu diesem Zweck kann die externe Einrichtung 8 eine elektrische Nachricht aussenden, die einen Verwaltungsinformation-Schreibbefehl und an einer vorgegebenen Position Information enthält, wobei die CPU 6 diese Information decodieren kann. Alternativ kann die externe Einrichtung 8 immer dann eine elektrische Nachricht aussenden, wenn in der Chipkarte 1 eine Verarbeitung ausgeführt wird, wobei die CPU 6 die an einer Befehlsposition einer jeden elektrischen Nachricht enthaltene Information decodieren kann. Dasselbe gilt für die spätere Beschreibung und außerdem für die in Fig. 1 gezeigte Ausführungsform.
Durch die obenbeschriebene Verarbeitung wird die Chipkarte 1 von dem in Fig. 8A gezeigten Zustand in den in Fig. 8B gezeigten Zustand geändert.
Dann betätigt der Chipkarten-Hersteller die externe Einrichtung 8, damit sie einen Befehl zum Schreiben der für das erste Betriebsprogramm relevanten Verwaltungsinformation in die Chipkarte 1, deren Zustand in Fig. 88 gezeigt ist, aussendet. Die CPU 6 in der Chipkarte 1 decodiert den von der externen Einrichtung 8 gesandten Befehl und stellt fest, daß das Schreiben der Verwaltungsinformation befohlen ist. Die CPU 6 aktiviert das Verwaltungsinformation-Schreibsteuerprogramm 6b. Die CPU 6 decodiert die an der vorgegebenen Position der Eingabeinformation enthaltene Information und stellt fest, daß das Schreiben der für das erste Betriebsprogramm relevanten Verwaltungsinformation befohlen ist. Dann prüft die CPU 6, ob die Identifizierungsinformation bereits in den ersten Identifizierungsinformation-Speicherbereich 3a geschrieben ist. Wenn die CPU 6 entscheidet, daß die Identifizierungsinformation bereits geschrieben ist, liest sie die Identifizierungsinformation "M-ID" aus dem ersten Identifizierungsinformation-Speicherbereich 3a aus, während sie gleichzeitig an die externe Einrichtung 8 eine Antwort aussendet, um sie darüber zu informieren, daß die Chipkarte 1 bereit ist, Identifizierungsinformation zu empfangen.
Die externe Einrichtung 8, die diese Antwort empfangen hat, sendet eine Nachricht aus, die den Chipkarten- Hersteller darüber informiert, daß die Chipkarte 1 bereit ist, Identifizierungsinformation zu empfangen, und die Eingabe der Identifizierungsinformation anfordert.
Der Chipkarten-Hersteller, der die obige Nachricht empfangen hat, gibt in die externe Einrichtung 8 eine Eingabe, die die für das erste Betriebsprogramm relevante Identifizierungsinformation "M-ID" repräsentiert, sowie einen Befehl ein, der das Schreiben der für das erste Betriebsprogramm relevanten Attributinformation befiehlt. Die externe Einrichtung 8, die eine solche Eingabe empfangen hat, sendet an die Chipkarte 1 eine elektrische Nachricht aus, die die Identifizierungsinformation und den Attributinformation-Schreibbefehl enthält.
In der Chipkarte 1, die die obige elektrische Nachricht empfangen hat, wird die aus dem ersten Identifizierungsinformation-Speicherbereich 3a ausgelesene Identifizierungsinformation durch die CPU 6 mit der von der externen Einrichtung 8 ausgesandten Identifizierungsinformation des ersten Betriebsprogramms verglichen. Nach der Bestätigung der Übereinstimmung zwischen diesen Identifizierungsinformationen decodiert die CPU 6 die an einer weiteren vorgegebenen Position der Eingabeinformation enthaltene Information und stellt fest, daß das Schreiben der Attributinformation "W", die für das erste Betriebsprogramm relevant ist, befohlen ist, wobei diese Attributinformation "W" in den ersten Attributinformation- Speicherbereich 2a geschrieben wird. Dann bewirkt die CPU 6 die Beendigung der Verarbeitung gemäß diesem Verarbeitungsprogramm und schickt an die externe Einrichtung 8 eine Antwort, um sie darüber zu informieren, daß das Verwaltungsinformation-Schreibsteuerprogramm 6b beendet ist. Im Ergebnis wird der Chipkarten-Hersteller von der externen Einrichtung 8 darüber informiert, daß die Verwaltungsinformation-Schreibfolge beendet ist. Als Ergebnis der obigen Verarbeitung wird der in Fig. 8B gezeigte Zustand der Chipkarte 1 in den in Fig. 8C gezeigten Zustand geändert.
Anschließend betätigt der Chipkarten-Hersteller die externe Einrichtung 8, um in den ersten Betriebsprogramm- Speicherbereich 9a der Chipkarte 1 einen Befehl zum Schreiben eines Prüfprogramms zu senden. Dieses Prüfprogramm ist eines der Betriebsprogramme, das dazu verwendet wird, die Funktion der Chipkarte 1 zu prüfen.
Wenn die CPU 6 den Befehl empfängt, decodiert sie diesen Befehl und stellt fest, daß das Schreiben des Betriebsprogramms (des Prüfprogramms) befohlen ist. Die CPU 6 aktiviert das Betriebsprogramm-Schreibsteuerprogramm 6a. Dann decodiert die CPU 6 die an einer vorgegebenen Position der Eingabeinformation enthaltene Information und stellt fest, daß das Schreiben des Betriebsprogramms in den ersten Betriebsprogramm-Speicherbereich 9a befohlen ist. Dann prüft die CPU 6, ob in den ersten Attributinformation-Speicherbereich 2a bereits Information geschrieben ist. Da in den ersten Attributinformation- Speicherbereich 2a bereits die Attributinformation "W" geschrieben ist, entscheidet die CPU 6, daß die Attributinformation "W" bereits in den ersten Attributinformation-Speicherbereich 2a geschrieben ist. Die CPU 6 sendet an die externe Einrichtung 8 eine Antwort aus, um sie darüber zu informieren, daß das Betriebsprogramm geschrieben werden kann. Nun ist die Chipkarte 1 bereit, Programmdaten zu empfangen, die dann von der externen Einrichtung 8 ausgesandt werden müssen. Wenn das auszusendende Programm bereits bestimmt ist, sendet die externe Einrichtung 8 das bestimmte Programm aus. Wenn jedoch das auszusendende Programm noch nicht bestimmt ist, gibt die externe Einrichtung 8 an den Chipkarten- Hersteller eine Nachricht aus, um den Hersteller dazu aufzufordern, das Programm auszusenden. Schließlich wird das Prüfprogramm von der externen Einrichtung 8 ausgesandt.
Wenn die CPU 6 die Daten des von der externen Einrichtung 8 ausgesandten Programms empfängt, führt die CPU 6 das Verarbeitungsprogramm zum Schreiben des Betriebsprogramms (das nun das Prüfprogramm ist) in den ersten Betriebsprogramm-Speicherbereich 9a aus. Nach dem Schreiben beendet die CPU 6 die Verarbeitung gemäß diesem Verarbeitungsprogramm und sendet gleichzeitig an die externe Einrichtung 8 eine Antwort aus, um sie über die Beendigung des Programmschreibvorgangs gemäß dem Betriebsprogramm- Schreibsteuerprogramm 6a zu informieren. Der Chipkarten- Hersteller wird über die externe Einrichtung 8 darüber informiert, daß der Schreibvorgang des Betriebsprogramms geendet hat. Als Ergebnis der obigen Verarbeitungsweise wird die Chipkarte 1 von dem in Fig. 8C gezeigten Zustand in den in Fig. 8D gezeigten Zustand geändert.
Anschließend prüft der Chipkarten-Hersteller unter Verwendung des im ersten Betriebsprogramm-Speicherbereich 9a gespeicherten Prüfprogramms die Funktion der Chipkarte 1. Nachdem der Chipkarten-Rersteller bestätigt (entscheidet), daß die Chipkarte richtig arbeitet, gibt der Chipkarten-Hersteller die Chipkarte mit dem in Fig. 8D gezeigten Zustand an einen Chipkarten-Ausgeber A aus, ferner teilt der Chipkarten-Hersteller dem Chipkarten- Ausgeber A die für das Prüfprogramm relevante Identifizierungsinformation "M-ID" mit.
Der Chipkarten-Ausgeber A gibt dann ein Signal, das die Identifizierungsinformation "M-ID" repräsentiert, als Eingang in die externe Einrichtung 8 ein, um sie mit der Identifizierungsinformation "M-ID" zu vergleichen, die in der Chipkarte 1 gespeichert ist, die sich in dem in Fig. 8D gezeigten Zustand befindet. Nach dem Vergleich ändert der Chipkarten-Ausgeber A die Identifizierungsinformation "M-ID" in eine persönlich gewählte Identifizierungsinformation, beispielsweise "I-ID". Die Chipkarte 1 in diesem Zustand ist in Fig. 8E gezeigt. Dann schreibt der Chipkarten-Ausgeber A beispielsweise in den ersten Betriebsprogramm-Speicherbereich 9a ein Betriebsprogramm P, indem er eine Verarbeitung ähnlich der obenbeschriebenen Verarbeitung ausführt.
Im Ergebnis wird, wie in Fig. 8F gezeigt, das bereits im ersten Betriebsprogramm-Speicherbereich 9a gespeicherte Prüfprogramm in das Betriebsprogramm P geändert. Daher verbleibt das Prüfprogramm nicht in der Chipkarte 1.
Die Chipkarte 1 wird auf die obenbeschriebene Weise ausgegeben. Wenn der Chipkarten-Ausgeber A wünscht, eine Änderung des Betriebsprogramms P durch eine weitere Person oder einen weiteren Teilnehmer zu verhindern, wird die CPU 6 aktiviert, um das Verwaltungsinformation- Schreibsteuerprogramm 6b auszuführen, um die im ersten Identifizierungsinformation-Speicherbereich 3a gespeicherte Identifizierungsinformation zu vergleichen und die Attributinformation "R" in den ersten Attributinformation-Speicherbereich 2a zu schreiben. Durch Ausführen des Programms 6b kann die im ersten Attributinformation- Speicherbereich 2a gespeicherte Attributinformation von "W" nach "R" geändert werden. Solange daher die Identifizierungsinformation "I-ID" nicht für eine spätere Änderung der Attributinformation des Betriebsprogramms P von "R" nach "W" verwendet wird, kann das Betriebsprogramm P nicht geändert werden. Die in diesem Zustand befindliche Chipkarte 1 ist in Fig. 8G gezeigt, wobei durch die obenbeschriebene Sperrung einer Änderung die Sicherheit der Chipkarte 1 in hohem Maß verbessert werden kann.
Außer dem Chipkarten-Ausgeber A kann eine Person vorhanden sein, die die Chipkarte direkt verwendet. Außerdem kann ein Chipkarten-Nutzer B vorhanden sein, der die Chipkarte nutzt und sie dem Chipkarten-Verwender anbietet. In diesem Fall kann der Chipkarten-Ausgeber A ein beliebiges Schreiben eines Betriebsprogramms Q, das vom Chipkarten-Nutzer B selbst erstellt worden ist, erlauben, außerdem kann er eine Veränderung des Betriebsprogramms Q verhindern.
Dies wird durch ein Verfahren erzielt, in dem der Chipkarten-Ausgeber A das Schreiben des vom Chipkarten-Nutzer B erstellten Betriebsprogramms Q in den zweiten Betriebsprogramm-Speicherbereich 9b der Chipkarte 1 erlaubt. D.h., daß die CPU 6 der Chipkarte 1 das Verwaltungsinformation-Schreibsteuerprogramm 6b ausführt, um die Identifizierungsinformation "I-ID" in den zweiten Identifizierungsinformation-Speicherbereich 3b zu schreiben. Die in diesem Zustand befindliche Chipkarte 1 ist in Fig. 8H gezeigt. Dann wird die Attributinformation "W" in den zweiten Attributinformation-Speicherbereich 2b geschrieben. Die in diesem Zustand befindliche Chipkarte 1 ist in Fig. 8I gezeigt. Der Chipkarten-Ausgeber A gibt die in Fig. 8I gezeigte Chipkarte 1 an den Chipkarten-Nutzer B aus.
Der Chipkarten-Nutzer B schreibt das Betriebsprogramm Q in den zweiten Betriebsprogramm-Speicherbereich 9b der Chipkarte 1, die sich zunächst in dem in Fig. 8I gezeigten Zustand befindet, wodurch der Zustand der Chipkarte 1 in den in Fig. 8J gezeigten Zustand geändert wird. In der Chipkarte 1, die sich in dem in Fig. 8J gezeigten Zustand befindet, kann die Attributinformation des Betriebsprogramms Q nicht von "W" nach "R" geändert werden. Daher kann eine Veränderung des Betriebsprogramms Q nicht verhindert werden.
Wenn der Chipkarten-Nutzer B eine Sperrung der Änderung des Betriebsprogramms Q wünscht, bringt er die Chipkarte 1, die sich in dem in Fig. 8J gezeigten Zustand befindet, zum Chipkarten-Ausgeber A. Der Chipkarten-Ausgeber A schreibt eine vorläufige Identifizierungsinformation "C- ID", die für das vom Chipkarten-Nutzer B bestimmte Betriebsprogramm Q relevant ist, in den zweiten Identifizierungsinformation-Speicherbereich 3b, um die Chipkarte 1 zu erhalten, die sich in dem in Fig. 8K gezeigten Zustand befindet. Somit kann die Sperrung der Veränderung des Betriebsprogramms Q einfach ausgeführt werden.
Danach ändert der Chipkarten-Nutzer B unter Verwendung der für das Betriebsprogramm Q relevanten vorläufigen Identifizierungsinformation "C-ID" die im zweiten Identifizierungsinformation-Speicherbereich 3b gespeicherte Identifizierungsinformation "C-ID" in die für das Betriebsprogramm Q relevante Identifizierungsinformation "B-ID" gemäß dem Verwaltungsinformation-Schreibsteuerprogramm 6b. Dann wird die im zweiten Attributinformation- Speicherbereich 2b gespeicherte Attributinformation von "W" nach "R" geändert, um dadurch die Chipkarte 1 zu erhalten, die sich in dem in Fig. 8L gezeigten Zustand befindet.
Wenn andererseits der Chipkarten-Ausgeber A ein Schreiben des Betriebsprogramms in den zweiten Betriebsprogramm- Speicherbereich 9b der Chipkarte 1 durch eine weitere Person oder einen weiteren Teilnehmer nicht erlaubt, wird die Identifizierungsinformation "I-ID" in den zweiten Identifizierungsinformation-Speicherbereich 3b der Chipkarte 1 geschrieben, die sich in dem in Fig. 8G gezeigten Zustand befindet, wodurch die Chipkarte 1 erhalten wird, die sich in dem in Fig. 8H gezeigten Zustand befindet. Dann wird die Attributinformation "R" in den zweiten Attributinformation-Speicherbereich 2b geschrieben, wodurch die Chipkarte 1 erhalten wird, die sich in dem in Fig. 8M gezeigten Zustand befindet.
Nun werde ferner ein Fall angenommen, in dem der Chipkarten-Ausgeber A ursprünglich ein Schreiben des Betriebsprogramms Q in den zweiten Betriebsprogramm-Speicherbereich 9b der Chipkarte 1 durch den Chipkarten-Nutzer B erlaubt und außerdem eine Sperrung der Veränderung des Betriebsprogramms Q zuläßt. In einem solchen Fall wird vorn Chipkarten-Ausgeber A an den Chipkarten-Nutzer B die Chipkarte 1 ausgegeben, bei der weder in den zweiten Identifizierungsinformation-Speicherbereich 3b noch in den zweiten Attributinformation-Speicherbereich 2b der Chipkarte 1 Daten geschrieben worden sind, d.h. es wird die Chipkarte 1 ausgegeben, die sich in dem in Fig. 8G gezeigten Zustand befindet.
In der in Fig. 5 gezeigten Ausführungsform sind im Programmspeicherteil 4 der Chipkarte 1 beispielsweise zwei Betriebsprogramme gespeichert. Es ist jedoch offensichtlich, daß im Programmspeicherteil 4 der Chipkarte 1 drei oder mehr Betriebsprogramme gespeichert sein können. Ferner muß für die Erhöhung der Anzahl der Betriebsprogramme die Anzahl der Identifizierungsinformation-Speicherbereiche oder der Attributinformation-Speicherbereiche entsprechend erhöht werden, so daß eine Chipkarte 1 ausgegeben werden kann, die mehr Bedingungen erfüllt.
In den obenbeschriebenen Ausführungsformen sind der Attributinformation-Speicherbereich 2 und der Identifizierungsinformation-Speicherbereich 3 im Programmspeicherteil 4 vorgesehen. Diese Bereiche 2 und 3 können jedoch im Informationsspeicherbereich 5 vorgesehen sein. D.h., daß diese Bereiche 2 und 3 an jeder beliebigen Stelle im veränderbaren Speicherbereich vorgesehen sein können. Ferner können der Attributinformation-Speicherbereich 2 und der Identifizierungsinformation-Speicherbereich 3 miteinander kombiniert sein, um einen Teil eines einzigen Informationsspeichers zu bilden. In diesem Fall werden diese Informationen, die aus dem Einzelspeicher ausgelesen worden sind, als Attributinformation bzw. als Identifizierungsinformation verwendet. Ferner können die Attributinformation und die Identifizierungsinformation an vorgegebenen Positionen des Betriebsprogramms angeordnet sein.
Das Betriebsprogramm-Schreibsteuerprogramm 6a und das Verwaltungsinformation-Schreibsteuerprogramm 6b sind vorzugsweise in einem ROM, einem Masken-ROM oder dergleichen gespeichert, die in die CPU 6 eingebaut sind. Diese Programme 6a und 6b müssen jedoch nicht notwendig in der CPU 6 gespeichert sein und können im Programmspeicherteil 4 gespeichert sein. Ferner kann dieser Programmspeicherteil 4 anstatt eines EEPROM ein RAM sein.
Es ist offensichtlich, daß in jeder der obigen Ausführungsformen der Informationseingabe-/-ausgabebereich 7 mit der Zentraleinheit (CPU) 6 zu einer Einheit kombiniert sein kann und daß die CPU 6 die verschiedenen obenbeschriebenen Programme als Antwort auf Befehle abarbeitet, die durch den Informationseingabe-/-ausgabebereich 7 geschickt werden.
Aus der obigen genauen Beschreibung der vorliegenden Erfindung geht hervor, daß ein Bereich zum Speichern von Information bezüglich der Veränderbarkeit oder Nichtveränderbarkeit eines Betriebsprogramms in einer Chipkarte zusammen mit einem Bereich zum Speichern von Vergleichs- Information vorgesehen ist. Auf die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms wird Bezug genommen, um die Veränderung oder Nichtveränderung des Betriebsprogramms zu steuern, wobei bei Feststellung einer Übereinstimmung zwischen der internen Vergleichsinformation und der externen Vergleichsinformation die Veränderung des Betriebsprogramms erlaubt wird. Daher können die Sicherheit der Geheimhaltung des Betriebsprogramms der Chipkarte oder der Veränderung des Betriebsprogramms in hohem Maß verbessert werden, um eine unberechtigte Veränderung des Betriebsprogramms der Chipkarte zu verhindern.

Claims

1. Eine Chipkarte, mit

einer Speichereinrichtung (4) zum Speichern mehrerer veränderbarer Betriebsprogramme (9), und

einer Prozessoreinrichtung (6) zum Ausführen einer vorgegebenen Folge von Verarbeitungsschritten gemäß jedem Betriebsprogramm,

wobei die Speichereinrichtung Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme speichert, die angibt, ob jedes entsprechende Betriebsprogramm veränderbar oder nicht veränderbar ist, und

die Chipkarte eine Einrichtung (6a) enthält, die eine Veränderung jedes Betriebsprogramms ausführt, wenn die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme angibt, daß das jeweilige Betriebsprogramm veränderbar ist,

wobei die Speichereinrichtung Vergleichsinformation speichert, auf die für die entsprechenden Betriebsprogramme Bezug genommen wird, um ein Umschalten der Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme zwischen einem veränderbaren Modus und einem nicht veränderbaren Modus zu ermöglichen, und

die Chipkarte außerdem versehen ist mit einer Einrichtung (6b) zum Umschalten der Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme eines der Betriebsprogramme vom veränderbaren Modus in den nicht veränderbaren Modus oder umgekehrt, wenn eine Übereinstimmung zwischen der Vergleichsinformation des einen Betriebsprogramms und von außen eingegebener Eingangsinformation erfaßt wird.

2. Eine Chipkarte gemäß Anspruch 1, bei der die Chipkarte ein Programm zum Umschalten der Form der Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms bei Erfassung der Übereinstimmung zwischen der Eingabeinformation und der Vergleichsinformation sowie ein Programm für die Ausführung der Veränderung des Betriebsprogramms speichert, wenn die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms in der Form der Veränderbarkeit ist, und bei der die Vergleichsinformation eine Identifizierungsinformation ist, auf die Bezug genommen wird, um einen Kartenbenutzer zu identifizieren.

3. Eine Chipkarte gemäß Anspruch 1 oder 2, bei der die das Betriebsprogramm speichernde Speichereinrichtung (4) ein veränderbarer nichtflüchtiger Speicher ist.

4. Eine Chipkarte gemäß Anspruch 1, 2 oder 3, bei der die Vergleichsinformation eine Identifizierungsinformation ist, auf die Bezug genommen wird, um das Betriebsprogramm zu identifizieren.

5. Eine Chipkarte gemäß einem vorangehenden Anspruch, bei der die Vergleichsinformation eine Identifizierungsinformation, auf die Bezug genommen wird, um eine Kartenbenutzer zu identifizieren, sowie eine Identifizierungsinformation, auf die Bezug genommen wird, um das Betriebsprogramm zu identifizieren, enthält.

6. Eine Chipkarte gemäß irgendeinem vorangehenden Anspruch, bei der die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme und die Vergleichsinformation in Speicherbereichen gespeichert sind, in denen keine Betriebsprogramme gespeichert sind.

7. Eine Chipkarte gemäß irgendeinem vorangehenden Anspruch, bei der die mehreren Betriebsprogramme (9a, 9b) in jeweils unterschiedlichen Speicherbereichen gespeichert sind.

8. Eine Chipkarte gemäß irgendeinem vorangehenden Anspruch, bei der die mehreren Betriebsprogramme ein Systemprogramm enthalten.

9. Ein Verfahren zum Schreiben eines Betriebsprogramms in eine Chipkarte, das die Schritte des Speicherns von Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit von Betriebsprogrammen in einem veränderbaren Modus in einem Attributinformation-Speicherbereich mittels einer Einrichtung zum Schreiben von Veränderbarkeits-/Nichtveränderbarkeits-Information enthält,

wobei die Chipkarte enthält:

eine Speichereinrichtung mit einem Betriebsprogramm-Speicherbereich (9a, 9b) zum Speichern mehrere Betriebsprogramme, einem Attributinformation-Speicherbereich (2a, 2b) zum Speichern von Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme, die angibt, ob jedes entsprechende Betriebsprogramm in den Betriebsprogramm-Speicherbereich geschrieben werden kann,

eine Betriebsprogramm-Schreibeinrichtung (6a) zum Speichern eines von außen gelieferten Betriebsprogramms in den Betriebsprogramm-Speicherbereich, wenn die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme im veränderbaren Modus ist, und eine Ausführungsprozessoreinrichtung (6) zum Ausführen einer vorgegebenen Folge von Verarbeitungsschritten gemäß einem Betriebsprogramm,

wobei die Speichereinrichtung der Chipkarte ferner einen Identifizierungsinformation-Speicherbereich (3a, 3b) zum Speichern von Vergleichsinformation enthält, auf die für entsprechende Betriebsprogramme Bezug genommen wird, um ein Umschalten der im Attributinformation- Speicherbereich gespeicherten Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme zwischen dem veränderbaren Modus und dem nicht veränderbaren Modus zu ermöglichen,

wobei die Chipkarte ferner eine Einrichtung (6b) zum Schreiben der Veränderbarkeits-/Nichtveränderbarkeits-Information enthält, die die Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit der Betriebsprogramme eines der Betriebsprogramme im Attributinformation-Speicherbereich speichert, wenn von außen eingegebene Eingangsinformation mit der Vergleichsinformation des einen Betriebsprogramms, die in dem Identifizierungsinformation-Speicherbereich gespeichert ist, übereinstimmt, und

wobei das Verfahren ferner die Schritte des Speicherns eines von außen eingegebenen Betriebsprogramms in den Betriebsprogramm-Speicherbereich durch die Betriebsprogramm-Schreibeinrichtung und anschließend des Speicherns der Information bezüglich der Veränderbarkeit/Nichtveränderbarkeit des Betriebsprogramms des nicht veränderbaren Modus im Attributinformation-Speicherbereich mittels der Einrichtung zum Schreiben der Veränderbarkeits-/Nichtveränderbarkeits-Information enthält.