DE3700663A1 - System fuer integrierte schaltungen tragende karten - Google Patents

Description

Die Erfindung bezieht sich auf ein System für integrierte Schaltungen tragende Karten mit einer Karte, auf der sich mindestens eine integrierte Schaltung befindet und die eine Vielzahl von Anschlüssen für den Austausch von Signalen mit einer externen Einrichtung enthält.

Insbesondere bezieht sich die Erfindung auf ein System für integrierte Schaltungen tragende Karten, bei dem die Sicherheit in bezug auf die Vertraulichkeit von auf der Karte gespeicherten Daten verbessert werden kann, wenn ein Testprogramm, das in einer integrierten Schaltung auf der Karte gespeichert ist, gestartet wird.

Unser gegenwärtiges Zeitalter wird ein "bargeldloses" Zeitalter genannt, und Kunden benutzen häufig Kreditkarten, die von Kreditgesellschaften ausgegeben werden, um bargeldlos gewünschte Gegenstände zu kaufen.

Herkömmliche Karten dieser Art sind Plastikkarten, Reliefkarten und eine Karte mit magnetischem Streifen. Diese Karten können aufgrund ihrer strukturellen Probleme leicht gefälscht werden, und die ungesetzliche Benutzung dieser Karten stellt ein Delikt dar.

Eine Informationskarte, die eine integrierte Schaltung zur Speicherung einer Identifiziernummer oder dergleichen enthält, d. h. eine Karte für integrierte Schaltungen, wird zur Lösung des vorstehend erwähnten Problems vorgeschlagen.

Verschiedene Arten von Großintegrationsschaltungen, z. B. ein Datenspeicher und ein Systemprogramm-Nur-Lese-Speicher sind auf einer solchen Karte angeordnet. In diesem Falle müssen die Adressierung und der Lese/Schreib-Zugang zum Datenspeicher sowie der Bitmuster-Status des Systemprogramm-Nur-Lese-Speichers auf Richtigkeit geprüft werden. Deshalb müssen Karten mit integrierten Schaltungen geprüft werden, um ihren Zustand am Ende der Kartenmontage und während der Benutzung festzustellen.

Bei einer herkömmlichen Karte mit integrierten Schaltungen ist ein Prüfprogramm in einem integrierten Schaltungs-Chip gespeichert, und eine vorbestimmte Prüfung kann extern über Prüfanschlüsse aus der Karte ausgeführt werden.

Die einfache externe Prüfung über die Prüfanschlüsse ermöglicht jedoch auch die leichte Entnahme vertraulicher Informationen, z. B. des Bitmusters, des Systemprogramm-Nur-Lese-Speichers und des Datenspeichers. Dies bedeutet, daß eine Karte auf der Basis der entnommenen Information gefälscht werden kann und daß, im schlimmsten Falle die Techniken, die in einem System mit Karten für integrierte Schaltungen benutzt werden, analysiert werden können und ungesetzlich in großem Maßstab ausgenutzt werden können.

Selbst wenn ein Testprogramm in der Karte mit den integrierten Schaltungen legal ausgelöst und ausgeführt wird, werden Fehler in den Großintegrationsschaltungen während verschiedener Tests als Kartenfehler festgestellt. In diesem Falle ist es schwierig, die Lage des Fehlers anzugeben, so daß eine geeignete Gegenmaßnahme gegen den Fehler nicht unternommen werden kann. Infolgedessen muß, wenn ein einfacher Fehler auftritt, die gesamte Karte mit integrierten Schaltungen aus dem Betrieb genommen werden.

Die vorliegende Erfindung wurde mit Rücksicht auf die oben beschriebene Situation gemacht.

Der Erfindung liegt die Aufgabe zugrunde, ein System für integrierte Schaltungen tragende Karten zu entwickeln, das die ungesetzliche Auslösung eines Testprogramms in einer Karte und die Entnahme vertraulicher Informationen aus der Karte während eines Tests verhindern kann und das die Feststellung der Lage eines Testfehlers ermöglicht, um den Fehler unverzüglich zu beseitigen.

Die Aufgabe wird erfindungsgemäß für ein System der eingangs beschriebenen Gattung dadurch gelöst, daß die integrierte Schaltung einen Testprogrammspeicher für die Speicherung eines Testprogramms zur Durchführung eines Test der integrierten Schaltung und eine Prüfeinrichtung für die Prüfung der Richtigkeit bzw. Unrichtigkeit eines von der externen Einrichtung ausgesandten Teststartsignals und zur Ausführung eines Testprogramms gemäß einem Testergebnis enthält und daß ein Terminal für die Aufnahme der Karte zur Durchführung der Prüfung der integrierten Schaltung auf der Karte vorgesehen ist, wobei das Terminal Teststarteinrichtungen für das Aussenden des Teststartsignals zur Karte enthält.

Vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung sind in den Ansprüchen 2 bis 16 beschrieben.

Die Erfindung wird im folgenden anhand von in einer Zeichnung dargestellten Ausführungsbeispielen näher beschrieben, aus denen sich weitere Einzelheiten, Merkmale und Vorteile ergeben.

Es zeigen:

Fig. 1 ein Blockdiagramm einer integrierte Schaltungen tragenden Karte gemäß einem ersten Ausführungsbeispiel der Erfindung,

Fig. 2 ein ausführliches Blockdiagramm einer Prüfschaltung in der Karte gemäß Fig. 1,

Fig. 3 ein Zeitdiagramm eines dreiwertigen Signals, das in der Karte gemäß Fig. 1 benutzt wird,

Fig. 4A und 4B in Kombination ein Blockdiagramm eines Test- Terminals für die Karte gemäß Fig. 1,

Fig. 5 ein Flußdiagramm zur Erklärung des Betriebs des Test- Terminals gemäß Fig. 4,

Fig. 6 ein Blockdiagramm einer integrierte Schaltungen tragenden Karte gemäß einem zweiten Ausführungsbeispiel der vorliegenden Erfindung,

Fig. 7 ein ausführliches Blockdiagramm einer Prüfschaltung in der Karte gemäß Fig. 6,

Fig. 8 ein Zeitdiagramm zur Erklärung eines dreiwertigen Signals, das in der Karte gemäß Fig. 6 benutzt wird,

Fig. 9 ein Blockdiagramm einer integrierte Schaltungen tragenden Karte gemäß einer dritten Ausführungsform der vorliegenden Erfindung,

Fig. 10 ein ausführliches Blockdiagramm einer Prüfschaltung in der Karte gemäß Fig. 9,

Fig. 11 ein Zeitdiagramm zur Erklärung eines dreiwertigen Signals, das in der Karte gemäß Fig. 9 benutzt wird,

Fig. 12 ein Flußdiagramm zur Erklärung des Betriebs der in Fig. 9 dargestellten Karte,

Fig. 13 ein Blockdiagramm einer integrierte Schaltung tragenden Karte gemäß einer vierten Ausführungsform der vorliegenden Erfindung,

Fig. 14 ein Datenformat von Fehlerdaten (ED), die in einem Arbeitsspeicher in der Karte gemäß Fig. 13 gespeichert sind,

Fig. 15 eine Speicherkarte eines internen Bereichs eines Datenspeichers, der in der Karte gemäß Fig. 13 benutzt wird,

Fig. 16 eine Speicherkarte zur Erklärung von Testbereichen im Datenspeicher in der Karte gemäß Fig. 13 und

Fig. 17A, 17B und 18 Flußdiagramme zur Erklärung des Betriebs der Karte gemäß Fig. 13.

Ein erstes Ausführungsbeispiel der vorliegenden Erfindung wird nachstehend unter Bezug auf die beigefügten Zeichnungen beschrieben.

Die Fig. 1 zeigt für diese Ausführungsform eine Schaltungsanordnung einer Karte 1 für integrierte Schaltungen. Die Bezugsziffer 11 kennzeichnet einen Systembus, mit dem ein Daten-Nur-Lese- Speicher 12, ein Anwenderdaten-Nur-Lese-Speicher 13, ein Arbeitsspeicher 14 mit wahlfreiem Zugriff, ein Systemprogramm- Nur-Lese-Speicher 15, ein Testprogramm-Nur-Lese-Speicher 16, eine Hauptsteuereinrichtung 17, eine Datenspeichersteuereinrichtung 18, eine Entschlüsselungs/Vergleichs-Schaltung 19 und eine USART (Universal-Synchron-Asynchron-Empfänger-Sender)-Schaltung 20 verbunden sind.

Anstelle des Ausdrucks Nur-Lese-Speicher wird im folgenden die Abkürzung ROM benutzt.

Das Daten-ROM 12 speichert alle Betriebsbedingungen für die Karte 1. Die Bedingungsdaten werden zu einem Test-Terminal 2 und einem Terminal für normale Vorgänge als Antwort- Zurücksetz-Daten gesendet, wenn die interne Initialisierung der Karte selbst vollendet ist. Die Antwort-Zurücksetz-Daten werden gemäß einem vorgegebenen Format erzeugt.

Das Anwender-Daten-ROM 13 speichert kartentypische Daten "APN", die den Typ der Karte angeben. Diese Daten werden in einem vorgegebenen Format zu einem Terminal gesendet, wenn Attribut-Merkmale zwischen dem Terminal und der Karte nach der Einstellung der Initialisierungsparameter auf der Basis der Antwort-Zurücksetz-Daten ausgetauscht werden sollen.

Der Arbeitsspeicher 14 speichert arithmetische Daten in der Karte 1, die im folgenden auch als IC-Karte 1 bezeichnet wird.

Das Systemprogramm-ROM 15 speichert vorab ein Codesignal "ACK" und "NAC" die angeben, ob ein Signal, das zusammen mit verschiedenen Systemprogrammen vom Terminal 2 gesendet wird, richtig ist. Das Systemprogramm-ROM 15 speichert auch einen spezifischen Code zur endgültigen Prüfung einer Testprogramm- Initialisierung oder eines Startbefehls vom Terminal 2.

Das Testprogramm-ROM 16 speichert ein Testprogramm für die Prüfung eines Bitmusters im Systemprogramm-ROM 15 oder für die Ausführungen eines Zugriffs zum Datenspeicher 21.

Die Hauptsteuereinrichtung 17 gibt gemäß den vom Terminal 2 gesendeten Datensignalen und den Betriebszuständen einen Betriebsbefehl an die jeweiligen Schaltungen aus.

Die Datenspeichersteuereinrichtung 18 steuert die Adressierung und den Lese/Schreib-Zugang zum Datenspeicher 21 in Reaktion auf einen Befehl von der Hauptsteuereinrichtung 17 und sperrt auch die Adressierung und den Lese/Schreib-Zugang.

Der Datenspeicher 21 enthält z. B. ein EEP-ROM (elektrisch löschbares programmierbares Read-Only-Memory). In diesem Fall speichert der Datenspeicher 21 die Codes "CA" (Kartenauthentisierer), "IPIN" (Initialisierung Personalidentifiziernummer), "PAN" (Bankkontonummer), "CHN" (Kartenbesitzername), "EPD" (Ablaufdatum) und "PRK" (Privatschlüssel) ebenso wie die Statusdaten "ST". Der Code "CA" ist ein beliebiger Code und wird benutzt, eine Nachricht zu verschlüsseln oder zu entschlüsseln. Der Code "IPIN" ist ein 6-Bit beliebiger Code und gibt eine Zahl an, bis die eigene Nummer des Besitzers "PIN" benutzt wird. Der Code "PAN" stellt eine Bankkontonummer dar. Der Code "CHN" gibt den Namen des Kartenbesitzers an. Der Code "EPD" gibt das Ablaufdatum der Karte an. Der Code "PRK" ist ein Entschlüsselungscode. Der Code "ST" gibt den laufenden Kartenstatus an und wird zum Terminal 2 in einem Datenformat gesendet.

Die Entschlüsselungs/Vergleichsschaltung 19 entschlüsselt die vom Terminal 2 gesendeten Daten auf der Basis eines "RSA"- Algorithmus und vergleicht den entschlüsselten Code mit einem spezifischen Code, der bedarfsweise aus dem Systemprogramm-ROM 15 ausgelesen wird. Ein Ausgangssignal der Schaltung 19 wird zur Hauptsteuereinrichtung 17 übertragen.

Die USART-Schaltung 20 steuert die Datenübertragung zwischen der IC-Karte und der Terminal 2.

Die Bezugsziffer 22 kennzeichnet eine Prüfschaltung zur Prüfung, ob ein Testprogramm begonnen werden kann. Die Prüfschaltung 22 enthält einen Eingabe/Ausgabe-Anschluß für den Datenaustausch mit dem Terminal 2, während sich die Karte 1 in dem Terminal 2 befindet, einen Zurücksetz-Anschluß für den Empfang eines Zurücksetz-Signals und einen Taktanschluß für den Empfang eines Taktsignals. Die Eingabe/Ausgabe-, Zurücksetz- und Takt-Anschlüsse sind jeweils mit Pegeldetektoren 23, 24 und 25 verbunden. Die Eingabe/Ausgabe-, Zurücksetz- und Takt- Anschlüsse sind mit einem Terminal für normale Vorgänge zum Empfang normaler Signale und auch mit dem Test-Terminal 2 verbunden, um ein mehrwertiges Signal zu empfangen, das während der Prüfung verschiedene Pegel aufweist. Wie genauer in Fig. 3 dargestellt ist, beinhaltet das mehrwertige Signal drei verschiedene Spannungen Vcc, V 1 und V 2. Bei normaler Kombination beaufschlagt die Spannung Vcc den Eingabe/Ausgabe- Anschluß, die Spannung V 1 den Takt-Anschluß und die Spannung V 2 den Zurücksetz-Anschluß. In diesem Zustand erzeugt der Pegeldetektor 23 den Pegel "0", der Detektor 24 den Pegel "2" und der Detektor 25 den Pegel "1".

Die Ausgangssignale der Pegeldetektoren 23, 24 und 25 werden einem Komparator 26 zugeführt. Der Komparator 26 empfängt auch Ausgangssignale einer Pegelmatrix 27. Die Matrix 27 gibt eine Kombination paralleler Pegelinformation aus, die der Karte in Übereinstimmung mit einer Kombination von parallelen Pegelinformationen der Detektoren 23, 24 und 25 zugeordnet sind. In diesem Fall empfängt die Matrix 27 ein Taktsignal Φ.

Das Vergleichsergebnis des Komparators 26 wird der Hauptsteuereinrichtung 17 zugeführt.

Sollen über den Eingabe/Ausgabe-Anschluß gewöhnliche Daten, die sich von den mehrwertigen Signalen zum Testen unterscheiden, eingegeben oder ausgegeben werden, dann kann dies mit einer Eingabe-Steuerung, einem Eingabe-Puffer, einer Ausgabe- Steuerung und einem Ausgabe-Puffer (nicht dargestellt) erfolgen.

Die Prüfschaltung 22 wird im folgenden ausführlich unter Bezug auf Fig. 2 beschrieben. Jeder Pegeldetektor 23, 24 und 25 hat Anschlüsse 01 und 02 und Ausgabedaten "00" für den Pegel "0", Daten "01" für den Pegel "1" und Daten "10" für den den Pegel "2". Der Komparator 26, der die Ausgangssignale von der Pegelmatrix 27 empfängt, weist drei Koinzidenzschaltungen 261, 262 und 263 auf, die jeweils die Ausgangssignale der Detektoren 23, 24 und 25 empfangen, und eine logische Schaltung 264 auf, die eine "1" auf den Empfang Koinzidenzsignalen von allen Koinzidenzschaltungen 261, 262 und 263 hin ausgibt.

Die Matrix 27 enthält ein ROM 271 für die Speicherung dreier Arten von Daten, d. h. "00", "01" und "10", als die parallele Pegelinformation, die jeder Karte zugeordnet ist. Die Daten "00" werden der Koinzidenzschaltung 261 durch eine Übertragungsschaltung 272 zugeführt. Die Daten "01" gelangen zur Koinzidenzschaltung 263 über die Übertragungsschaltung 273. Die Daten "10" werden der Koinzidenzschaltung 262 durch die Übertragungsschaltung 274 zugeführt. Die Übertragungsschaltungen 272, 273 und 274 werden auf ein Ausgangssignal eines Zählers 275 aktiviert. Der Zähler 275 zählt das Taktsignal Φ und erzeugt ein Ausgangssignal, wenn sein Zählstand einen vorbestimmten Wert " n " erreicht.

Wie aus Fig. 1 ersichtlich ist, beaufschlagt eine Kartentreiberspannung aus dem Terminal 2 den Vcc-Anschluß, und eine Schreibspannung für den Datenspeicher 21 wird an den Vpp- Anschluß gelegt. Zu dieser Zeit wird die Spannung der Energiequelle durch das Terminal 2 auf der Grundlage von Antwort-Zurücksetz-Daten eingestellt, die im ROM 12 gespeichert sind. Eine GND (Erde)-Leitung des Terminals 2 ist mit dem GND- Anschluß verbunden. Ein Karten-Betriebssignal wird als Taktsignal Φ′ durch einen Frequenzteiler 28 erzeugt.

Die Schaltungsanordnung des Test-Terminals 2 für die Aufnahme der IC-Karte 1 ist in Fig. 4 dargestellt.

Wie aus Fig. 4 hervorgeht, kennzeichnet die Bezugsziffer 31 einen Systembus, mit dem eine Tonsteuereinrichtung 32, ein Arbeitsspeicher 33 (RAM), ein Systemprogramm-ROM 34, ein Anschluß-Merkmal-ROM 35, ein Initialisierungsparameter- Arbeitsspeicher 36, eine Hauptsteuereinrichtung 37, eine Anzeigetreiber-Steuereinrichtung 38, eine Tastensteuereinrichtung 39, eine Lese/Schreib-Steuereinrichtung 40, ein Komparator 41, eine Eingabe/Ausgabe-Steuereinrichtung 42, ein Ausgabe-Puffer 44 über eine Ausgabe-Steuereinrichtung 43 und eine Eingabe- Steuereinrichtung 46 über einen Eingabe-Puffer 45 verbunden sind.

Ein Lautsprecher 47 ist mit der Tonsteuereinrichtung 32 verbunden, um bedarfsweise einen Alarmton zu erzeugen.

Der Arbeitsspeicher 33 speichert die Codes "PAN", "CHN" und "EPD" zusätzlich zu Fehlerdaten "ED", die von der Karte 1, die im folgenden IC-Karte 1 genannt wird, gesendet werden. Der Arbeitsspeicher 33 speichert auch verschiedene im Terminal 2 verarbeitete Daten.

Das Systemprogramm-ROM 34 speichert verschiedene Systemprogramme und den ENQ-Code, der veranlaßt, das sich das Terminal 2 an die IC-Karte 1 anpaßt.

Das Anschluß-Merkmal-ROM 35 speichert einen Anschlußcode TC (d. h. den Code des Herstellers, den Code des Ausgebers oder den Code des Geschäfts) gemäß der Verwendung der IC-Karte 1.

Der Initialisierungsparameter-Arbeitsspeicher 36 speichert gleichzeitig die Antwort-Zurücksetz-Daten von der IC-Karte 1. Der Arbeitsspeicher 36 ist mit der Ausgabe-Steuereinrichtung 43, der Eingabe-Steuereinrichtung 46, einer Vpp-Pegel-Verriegelungsschaltung 48, einer Vpp-Zeit-Verriegelungsschaltung 49 und einer Ipp-Pegel-Verriegelungsschaltung 50 durch eine Übertragungsleitung 36 a verbunden. Eine Vpp-Energiequelle 51, ein Vpp- Zeitgeber 52 und ein Ipp-Begrenzer 53 sind jeweils mit den Verriegelungsschaltungen 48, 49 und 50 verbunden.

Die Vpp-Energiequelle 51 ist so angeordnet, daß sie die Spannung Vpp, die für das Einschreiben von Daten in den Datenspeicher 21 in der IC-Karte 1 benutzt wird, gewährleistet. Der Vpp-Zeitgeber 52 ist so angeordnet, daß er eine maximale Vpp-Spannungsanlegezeit, die von der IC-Karte 1 bestimmt wird, gewährleistet. Der Ipp-Begrenzer 53 ist so angeordnet, daß er einen maximal zulässigen Wert eines Datenschreibstroms bestimmt.

Die maximale Datenschreibspannung aus der Vpp-Energiequelle 51, die Vpp-Anlegezeit, die durch den Vpp-Zeitgeber 52 eingestellt wird, und der maximal zulässige Datenschreibstrom, der durch den Ipp-Begrenzer 53 begrenzt wird, werden auf der Basis der Antwort-Zurücksetz-Daten bestimmt, die im Initialisierungs- Parameter-Arbeitsspeicher 36 gespeichert sind.

Ein IC-Karten-Betriebsfrequenzselektor 54 ist mit der Übertragungsleitung 36 a verbunden. Der Selektor 54 empfängt ein Oszillatorsignal aus einem Oszillator 55 durch einen Frequenzteiler 56, wobei das sich ergebende Signal am Taktanschluß als Signal mit einer vorgegebenen Arbeitsfrequenz ausgegeben wird.

Der Komparator 41 und die Eingabe/Ausgabe-Steuereinrichtung 42 sind mit einer Systemsteuerleitung 37 a der Hauptsteuereinrichtung 37 verbunden.

Ein Steuerbefehl wird von der Steuereinrichtung 37 zu den jeweiligen Schaltungen 41 und 42 gesendet.

Die Anzeigetreiber-Steuereinrichtung 38 steuert eine Anzeigeeinheit 3 im Terminal 2.

Die Tastensteuereinrichtung 39 speist ein Tastenfeld 4 im Terminal 2 mit einem Tastenabtastsignal, um ein Tasteneingabesignal festzustellen.

Die Lese/Schreibsteuereinrichtung 40 steuert und treibt einen Lese/Schreib-Mechanismus 58. Der Mechanismus 58 enthält einen Kartentransportmotor, um die IC-Karte 1 von einem Karteneinlaßschlitz zu einer vorgegebenen Position zu transportieren, und verbindet die IC-Karte 1 elektrisch mit dem Terminal 2. Wenn eine vorgegebene Verarbeitung abgeschlossen ist, wird die IC- Karte 1 zum Karteneingabeschlitz zurückbewegt.

Der Lese/Schreib-Mechanismus 58 ist mit dem Ausgabe-Puffer 44, einer Zurücksetz-Steuereinrichtung 59, der Ipp-Pegel-Verriegelungsschaltung 50, dem Betriebsfrequenzselektor 54 und einer Energiequelle 60 verbunden. Das Terminal 2 ist mit den Eingabe/Ausgabe-, Zurücksetz-, Vpp-, Takt und Vcc-Anschlüssen an die IC-Karte 1 gelegt, die jeweils dem Puffer 44, der Zurücksetz- Steuereinrichtung 59, der Verriegelungsschaltung 50, dem Selektor 54 und der Energiequelle 60 entsprechen.

Die Eingabe-Steuereinrichtung 46 und die Ausgabe-Steuereinrichtung 43 steuern den Datenaustausch mit der IC-Karte 1 in Reaktion auf einen Befehl, der unter der Hauptsteuereinrichtung 37 über den Initialisierungs-Parameter-Arbeitsspeicher 36 eingespeist wird. Die Eingabe-Steuereinrichtung 46 sendet Daten von der IC-Karte 1 zum Arbeitsspeicher 33 und Komparator 41 über den Eingabe-Puffer 45. Ein Vergleichsausgangssignal wird der Hauptsteuereinrichtung 37 zugeführt. Die Ausgabe- Steuereinrichtung 43 sendet Daten vom Anschluß-Merkmal-ROM 35 oder dergleichen durch den Puffer 44 zur IC-Karte 1.

Die Eingabe/Ausgabe-Steuereinrichtung 42 dient als Interface für verschlüsselte Daten, wenn eine Datenbasis, d. h. ein Host- Computer, on-line angeschlossen ist.

Die Energiequelle 60 gibt eine Spannung Vcc an den Vcc- Anschluß ab und ist mit Pegelverstelleinrichtungen 61, 62 und 63 verbunden, um Spannungen GND, V 1 und V 2 auszugeben. Die Pegelverstelleinrichtungen 61, 62 und 63 geben ein mehrwertiges Signal für den Start des Test-Programms gemäß Fig. 3 aus. Zur Startzeit des Tests werden die Spannungspegel der GND-, Vcc-, V1- und V2-Ausgänge der Energiequelle 60, wie in Fig. 3 dargestellt, auf der Basis der in einem Teststart-ROM 64 gespeicherten Daten ausgewählt. In einem Zeitablauf, der die Teststartzeit ausschließt, verbindet die Pegelverstelleinrichtung 61 elektrisch den Puffer 44 mit dem Eingabe/Ausgabe-Anschluß, die Pegelverstelleinrichtung 62 verbindet elektrisch die Zurücksetz-Steuereinrichtung 59 mit dem Zurücksetz-Anschluß und die Pegelverstelleinrichtung 63 verbindet elektrisch den Selektor 54 mit dem Takt-Anschluß.

Die Wechselwirkung zwischen der IC-Karte 1 und dem Terminal 2 für die Aufnahme der IC-Karte 1 wird kurz im folgenden beschrieben. Wenn die IC-Karte 1 in das Terminal 2 eingegeben ist, wird ein Ursprungseinstellsignal, das vom Terminal 2 vorgegeben wird, zur IC-Karte 1 gesendet. Die IC-Karte 1 wird unter den Arbeitsbedingungen, die von diesem Signal angegeben werden, betrieben. Genauer gesagt, werden die Antwort- Zurücksetzdaten, die in einem Daten-ROM 12 gespeichert sind, unter Kontrolle der Hauptsteuereinrichtung 17 ausgelesen und zum Terminal 2 gesendet. Wenn der Terminal 2 feststellt, daß die Anforderungsdaten gültig sind, werden Datenbetriebsbedingungen eingestellt, gleichzeitig wird ein "ENQ" (Anfrage) Code zurückgesendet. Dieser Code wird in den Arbeitsspeicher 14 eingeschrieben. In diesem Zustand bestimmt die Hauptsteuereinrichtung 17, ob der "ENQ" Code normal empfangen worden ist. Wenn ja, wird der "ACK" Code aus dem Systemprogramm-ROM 15 ausgelesen und zum Terminal 2 gesendet. Wenn aber nein, wird der "NAC" Code aus dem ROM 15 ausgelesen und zum Terminal 2 gesendet. Wenn das Terminal 2 das "ACK"-Signal feststellt, wird der Terminalcode "TC" vom Terminal 2 zurückgesendet. Die "TC" Codes sind je nach der Art des Terminals verschieden. Wenn jedoch das Terminal 2 das "NAC"-Signal feststellt, wird die Verbindung zwischen der IC-Karte 1 und dem Terminal 2 unterbrochen. Wenn der "TC" Code vom Terminal 2 zur IC-Karte 1 gesendet wird, liest die IC-Karte 1 aus dem Anwenderdaten-ROM 13 unter der Kontrolle der Hauptsteuereinrichtung 17 entsprechend dem Typ der IC-Karte den "APN" Code. Der ausgelesene "APN" Code wird zum Terminal 2 gesendet. Danach bestimmt das Terminal 2 auf der Basis des "APN" Code, ob die angeforderte Anwendung mit der Anwendung, die durch den "APN" Code dargestellt wird, übereinstimmt. Wenn keine Übereinstimmung erreicht wird, wird die IC-Karte 1 vom Terminal 2 getrennt. Wenn auf diese Weise ein Befehlscode erzeugt wird, wird die persönliche Identifiziernummer "PIN" mit derjenigen, die in der IC-Karte 1 gespeichert ist, verglichen. Wenn die Eingabe "PIN" mit der vorgegebenen ID (Identifizier)-Nummer übereinstimmt, wird der Austausch von Informationen, z. B. Geschäftsvorgängen, zwischen der IC-Karte 1 und einem Terminal 5 durchgeführt.

Die Ausführungsform der Erfindung, die die oben beschriebene Anordnung aufweist, wird unter Bezug auf das Flußdiagramm der Fig. 5 erläutert.

Ein Benutzer steckt die IC-Karte 1 in das Test-Terminal 2, um die IC-Karte zu prüfen. Die Eingabe/Ausgabe-, Zurücksetz-, Takt-, Vcc-, Vpp- und GND-Anschlüsse der IC-Karte 1 sind mit den entsprechenden Anschlüssen des Terminals 2 verbunden.

Nach Beendigung dieser Maßnahmen wird die im Schritt A1 angegebene Operation ausgeführt. Im Schritt A1 bestimmt die Hauptsteuereinrichtung 37, ob eine gültige Testprogramm- Startanforderung erzeugt wird. Mehrwertige Signale, die verschiedene Werte haben, werden vom Terminal 2 zu den Eingabe/Ausgabe-, Zurücksetz- und Takt-Anschlüssen der IC- Karte 1 gesendet. Genauer gesagt, wenn vom Terminal 2 ein Testbefehl erzeugt wird, werden drei verschiedene Spannungen Vcc, V 1 und V 2, die verschiedene Pegel haben, wie in Fig. 3, zugleich ausgegeben, wenn n Taktimpulse gezählt werden. In diesem Fall wird die Spannung V 2 an den Zurücksetzanschluß gelegt; die Spannung Vcc wird an den Eingabe/Ausgabe-Anschluß gelegt; und die Spannung V 1 wird an den Takt-Anschluß gelegt. Die Bit-Daten "00", d. h. die Pegelinformation "0", erscheint an den Ausgangs-Anschlüssen 01 und 02 des Pegeldetektors 23. Die Bit-Daten "10", d. h. die Pegelinformation "2" erscheint an den Ausgangsanschlüssen 01 und 02 des Pegeldetektors 24. Gleichzeitig erscheinen die Bit-Daten "01", d. h. die Pegelinformation "1" an den Ausgangs-Anschlüssen 01 und 02 des Pegeldetektors 25. Diese Teile der Pegelinformation werden jeweils den Koinzidenzschaltungen 261, 262 und 263 im Komparator 26 zugeführt. Genauer gesagt wird das Ausgangssignal des Pegeldetektors 23 der Koinzidenzschaltung 261 zugeführt; das Ausgangssignal des Detektors 24 wird der Koinzidenzschaltung 262 zugeführt und das Ausgangssignal des Detektors 25 wird der Koinzidenzschaltung 263 zugeführt.

In der Matrix 27 zählt der Zähler 275 die Impulse des Taktsignals Φ des Terminals 2. Wenn der Inhalt des Zählers 275 n erreicht, erzeugt der Zähler 275 ein Ausgangssignal mit der gleichen zeitlichen Einteilung, bei der das mehrwertige Signal zu der IC-Karte 1 gesendet wird. Die Übertragungsschaltungen 272, 273 und 274 werden gleichzeitig wirksam gemacht, wodurch die Daten "00", die Daten "01" und die Daten "10", die in dem ROM 271 gespeichert sind, als Pegelinformation zu den Koinzidenzschaltungen 261, 262 und 263 im Komparator 26 übertragen werden. In diesem Fall werden die Daten "00" zur Koinzidenzschaltung 261; die Daten "01" zur Koinzidenzschaltung 263, und die Daten "10" zur Koinzidenzschaltung 262 gesendet.

Die Koinzidenzschaltungen 261, 262 und 263 prüfen die Übereinstimmungen zwischen den Einheiten der Pegelinformationen der Pegeldetektoren 23, 24 und 25 und den entsprechenden Einheiten der Informationen der Pegelmatrix 27. Wenn in diesem Fall Übereinstimmung in allen Koinzidenzschaltungen 261, 262 und 263 erreicht wird, erzeugt die logische Schaltung 264 ein logisches "1"-Ausgangssignal. Wenn jedoch eine ungültige Programmstartanforderung durchgeführt wird und eine Kombination von dreiwertigen Signalwerten des Terminals 2 falsch ist, erzeugt wenigstens einer der Koinzidenzschaltungen 261, 262 und 263 kein Koinzidenzsignal, wodurch die logische Schaltung 264 unwirksam gehalten wird. In diesem Fall wird die logische Schaltung 264 durch eine Und-Schaltung gebildet und das Koinzidenzsignal ist "1".

In diesem Zustand wird das Ausgangssignal der logischen Schaltung 264 zur Hauptsteuereinrichtung 17 gesendet.

Wenn in diesem Falle das dreiwertige Signal gemäß Fig. 3 den jeweiligen Anschlüssen zugeführt wird, erzeugen alle Koinzidenzschaltungen 261, 262 und 263 Koinzidenzsignale; und die logische Schaltung 264 gibt ein logisches "1"-Signal am Ausgang ab. In diesem Falle bestimmt die Hauptsteuereinrichtung 17, daß die gültige Programmstartanforderung erzeugt worden ist. Der Ablauf schreitet dann zum Schritt A2 fort.

Im Schritt A2 sendet die Hauptsteuereinrichtung 17 zum Terminal 2 einen Befehl, der angibt, daß eine gültige Programmstartanforderung zum Terminal 2 gesendet wird. In diesem Falle sendet das Terminal 2 einen spezifischen Code für den Programmstart. Der spezifische Code wird von der Entschlüsselungs/Vergleichs- Schaltung 19 empfangen.

Der spezifische Code, der im Systemprogramm-ROM 15 eingeschrieben ist, wird in Reaktion auf einen Befehl aus der Hauptsteuereinrichtung 17 ausgelesen und zur Entschlüsselungs- /Vergleichs-Schaltung 19 gesendet. In einem Schritt A3 wird der spezifische Code des Terminals 2 mit dem vorgegebenen spezifischen Code in der IC-Karte 1 verglichen. Wenn das Vergleichsergebnis der Entschlüsselungs/Vergleichs-Schaltung 19 eine Nichtübereinstimmung angibt, schreitet der Arbeitsablauf zu einem Schritt A5 fort und eine Karten-Ungültig-Verarbeitung wird durchgeführt. Die Karten-Ungültig-Erklärung unterbindet die Adressierung und den Daten-Lese/Schreib-Zugang zum Datenspeicher 21 unter Kontrolle der Datenspeichersteuereinrichtung 18 in Reaktion auf den Befehl der Hauptsteuereinrichtung 17. Wenn eine Koinzidenz festgestellt wird, schreitet der Arbeitsablauf zu einem Schritt A4 fort; und der Inhalt des Testprogramms-ROM 16 wird ausgelesen. Das Bitmuster im Systemprogramm-ROM 15 oder der Datenspeicher 21 in der IC-Karte 1 kann vom Terminal 2 geprüft werden.

Wenn jedoch die Kombination der dreiwertigen Signalwerte des Terminals 2 aufgrund einer ungültigen Programmstartanforderung falsch ist, erzeugt wenigstens eine der Koinzidenzschaltungen 261 bis 263 ein Nichtübereinstimmungssignal, wodurch die logische Schaltung 264 unwirksam gehalten wird. Die Hauptsteuereinrichtung 17 bestimmt, daß die Anforderung eine ungültige ist. In diesem Fall schreitet der Arbeitsablauf zum Schritt A 5 fort. In gleicher Weise wie oben beschrieben werden unter Kontrolle der Datenspeichersteuereinrichtung 18 die Adressierung und der Datenlese/Schreib-Zugang zum Speicher 21 unterbunden und die IC-Karte 1 wird als eine ungültige Karte verarbeitet.

Die Zurücksetz-, Eingabe/Ausgabe- und Takt-Anschlüsse der IC- Karte 1 werden verwendet und empfangen das dreiwertige Signal des Terminal 2. Nur wenn die Kombination der parallelen Einheiten der Pegelinformationen, die auf dem dreiwertigen Signal beruhen, mit der Kombination der parallelen Einheiten der Pegelinformationen, die in der IC-Karte 1 vorab gespeichert sind, übereinstimmen, wird das Testprogramm mit der IC-Karte 1 gestartet oder initialisiert. Im Vergleich mit der herkömmlichen Anordnung, bei der ein Test durch die Benutzung eines Test- Terminals extern ausgeführt werden kann, kann das Testprogramm nicht ungültig gestartet werden, wodurch ein Versuch zur Entnahme hoch vertraulicher Informationen verhindert werden kann. Die technische Analyse des gesamten Systems, ganz zu schweigen von einer Fälschung der Karte, kann auf geeigneter Weise verhindert werden, um den Sicherheitspegel der Karte beträchtlich zu verbessern.

In der ersten Ausführungsform werden drei Anschlüsse der IC- Karte 1, z. B. ein Zurücksetz-Anschluß, ein Eingabe/Ausgabe- Anschluß und ein Takt-Anschluß, verwendet, an die ein dreiwertiges Signal geführt ist, wodurch das Testprogramm gestartet wird. Es kann jedoch auch ein mehrwertiges Signal, das eine Vielzahl von Pegeln hat, seriell zu einem Eingabe- Anschluß der IC-Karte 1 geführt werden, um das Testprogramm zu starten.

Eine zweite Ausführungsform der Erfindung wird im folgenden beschrieben:

In dieser Ausführungsform wird der Zurücksetz-Anschluß benutzt, um den Start des Testprogrammes anzufordern.

Die Fig. 6 zeigt eine Schaltungsanordnung dieser Ausführungsform. Die gleichen Bezugsziffern wie in der ersten Ausführungsform bezeichnen die gleichen Teile in der Ausführungsform gemäß Fig. 6 und eine ausführliche Beschreibung dieser Ausführungsform wird weggelassen.

Die USART-Schaltung 20 ist mit dem Terminal 2 direkt über die Eingabe/Ausgabe-Anschlüsse verbunden, um die Datenübertragung über den Anschluß 12 zu steuern.

Eine Bezugsziffer 221 kennzeichnet eine Prüfschaltung zur Prüfung, ob die gültige Prüfprogrammstartanforderung erzeugt wird. Die Prüfschaltung 221 hat einen Zurücksetz-Anschluß für den Empfang eines Zurücksetzsignals, während die IC-Karte 1 in das Terminal 2 eingegeben wird. Der Pegeldetektor 24 ist mit diesem Zurücksetz-Anschluß verbunden. In diesem Falle werden zusätzlich zu dem Zurücksetz-Signal eine Vielzahl von mehrwertigen Signalen, die verschiedene Pegel haben, seriell zum Zurücksetz-Anschluß in Synchronismus mit einem Taktsignal Φ, das den Takt-Anschluß beaufschlagt, zugeführt. Genauer gesagt, stellen, wie in Fig. 8 dargestellt ist, mehrwertige Signale, die verschiedene Pegel haben, jeweils die Spannungen Vcc, V 1 und V 2 dar. Diese dreiwertigen Signale werden dem Zurücksetz- Anschluß in einer vorgegebenen Reihenfolge im Synchronismus mit dem Taktsignal Φ zugeführt. In diesem Zustand erzeugt der Detektor 24 die Regelinformation "0" für Vcc, "1" für V 1 und "2" für V 1. Das Ausgangssignal des Pegeldetektors 24 beaufschlag den Komparator 26. Der Komparator 26 erhält weiterhin ein Ausgangssignal von der Pegelmatrix 27. Die Matrix 27 speichert Pegelinformationen, die zu jeder Karte gehören, so daß sie den Pegelinformationen vom Detektor 24 entsprechen. Die Matrix 27 empfängt das Taktsignal Φ.

Das Vergleichsergebnis wird vom Komparator 26 zur Hauptsteuereinrichtung 17 gesendet.

Die Prüfschaltung 221 wird unter Bezug auf die Fig. 7 ausführlich beschrieben. Der Pegeldetektor 24 hat Ausgangsanschlüsse 01 und 02 und gibt die Ausgangssignale "00" als Pegelinformation "0", "01" als "1" und "10" als "2" ab.

Die Pegelmatrix 27 enthält einen Zähler 276 zum Zählen der Impulse des Taktsignals Φ, einen Matrixabschnitt 277 zur selektiven Erzeugung der Leseadressen 1 bis 10 gemäß dem Inhalt des Zählers 276 und einen Speicher 278 zur Ausgabe von Pegelinformationen "0", "1" oder "2" in Reaktion auf die Adressdaten aus dem Matrixabschnitt 277. In diesem Fall werden die Pegelinformationen "0" als Codedaten "00", die Pegelinformationen "1" als "01" und die Pegelinformationen "2" als "10" ausgegeben.

Ein Ausgangssignal des Speichers 278 wird dem Komparator 26 zugeführt.

Die Arbeitsweise der oben angegebenen Ausführungsform, die den beschriebenen Aufbau hat, wird unter Bezug auf das Flußdiagramm gemäß Fig. 5 erläutert.

Ein Benutzer führt eine IC-Kart 1 in das Testterminal 2 ein. Die Eingabe/Ausgabe-, Zurücksetz-, Takt-, Vcc-, Vpp- und GND- Anschlüsse der IC-Karte 1 sind mit den entsprechenden Anschlüssen des Terminals 2 verbunden.

Der Schritt A1 wird ausgeführt. Im Schritt A1 bestimmt die Hauptsteuereinrichtung, ob eine gültige Startprogrammanforderung erzeugt wird. Analoge Signale, die verschiedene Pegel haben, werden vom Terminal 2 zum Zurücksetz-Anschluß der IC-Karte 1 geleitet. Genauer gesagt, werden Spannungen Vcc, V 1 und V 2, die verschiedene Pegel haben, seriell in den Zurücksetz- Anschluß, wie dies in Fig. 8 gezeigt ist, synchron mit dem Taktsignal Φ eingespeist. In diesem Falle werden zehn dreiwertige Signale in den Zurücksetz-Anschluß in der Reihenfolge von V 2, Vcc, V 1, Vcc, . . . V 2 eingespeist. Die Einheiten der seriellen Pegelinformationen, die diesen dreiwertigen Signalen entsprechen, erscheinen seriell an den Ausgangsanschlüssen 01 und 02 des Pegeldetetors 24 und werden dem Komparator 26 zugeführt.

In der Pegelmatrix 27 werden die Impulse des Taktsignals Φ des Terminals 2 durch den Zähler 276 gezählt. Der Matrixabschnitt 277 gibt in Übereinstimmung mit dem Stand der Zählung des Zählers 276 die Leseadressen 1 bis 10 aus. Die Einheiten der seriellen Pegelinformation, die unter den Adressen 1 bis 10 des Speichers 278 gespeichert sind, werden aus diesem sequentiell ausgelesen. In diesem Falle werden die Einheiten der Informationen aus dem Speicher 278 in einer Reihenfolge von "2", "0", "1", . . . "2" ausgelesen. Die Ausgangssignale des Speichers 278 werden dem Komparator 26 zugeführt.

Der Komparator 26 prüft die Übereinstimmung zwischen den Einheiten der Pegelinformationen des Pegeldetektors 24 und den Einheiten der Pegelinformationen aus der Matrix 27.

Wenn sich Übereinstimmung ergibt, erzeugt der Komparator 26 ein logisches "1"-Signal. Wenn jedoch die Kombination der dreiwertigen Signale des Anschlusses nicht mit den entsprechenden im Speicher 278 gespeicherten Daten aufgrund einer ungültigen Programmstartanforderung übereinstimmt, wird der Ausgang des Komparators 26 auf einer logischen "0" für die Nichtübereinstimmung gehalten.

In dieser Lage wird das Ausgangssignal des Komparators 26 zur Hauptsteuereinrichtung 17 gesendet.

Für den Fall, daß die in Fig. 8 gezeigten dreiwertigen Signale seriell dem Zurücksetz-Anschluß zugeführt werden, erzeugt der Komparator 26 ein Übereinstimmungssignal und sein Ausgang wird auf eine logische "1" gesetzt. Die Hauptsteuereinrichtung bestimmt für diesen Fall, daß die Anforderung eine gültige Anforderung ist, wodurch der Arbeitsablauf zum Schritt A2 fortschreitet.

Im Schritt A2 sendet die Hauptsteuereinrichtung 17 zum Terminal 2 den Befehl, daß die Programmstartanforderungen der IC-Karte 1 als gültige vom Terminal 2 empfangen worden ist. Praktisch wird dieser Befehl zur Entschlüsselungs/Vergleichs-Schaltung 19 gesendet.

Ein spezifischer in das Systemprogramm ROM 15 geschriebener Code wird in Reaktion auf einen Befehl der Hauptsteuereinrichtung 17 ausgelesen. Dieser spezifische Code wird zur Entschlüsselungs/ Vergleichs-Schaltung 19 gesendet. Im Schritt A 3 wird der spezifische Code des Terminals 2 mit dem spezifischen Code der Karte selbst verglichen. Wenn das Vergleichsergebnis eine Nichtübereinstimmung angibt, schreitet der Arbeitsablauf zum Schritt A5 fort, in dem eine Karten-Ungültigkeits- Verarbeitung ausgeführt wird. Eine Karten-Ungültigkeit verhindert die Adressierung und den Datenlese/Schreib-Zugang zum Datenspeicher 21 als Reaktion auf einen Befehl der Hauptsteuereinrichtung 17. Wenn jedoch das Vergleichsergebnis eine Übereinstimmung angibt, dann schreitet der Arbeitsablauf zum Schritt A4 fort. Der Inhalt des Testprogramm-ROM 16 wird ausgelesen, um das Terminal 2 zu veranlassen, das Bitmuster des Systemprogramm-ROM 15 in der IC-Karte 1 zu prüfen oder mit dem Datenspeicher 21 in Verbindung zu treten.

Wenn die Kombination der dreiwertigen Signale aus dem Terminal 2 nicht mit der vorab gespeicherten Information aufgrund einer ungültigen Programmstartanforderung übereinstimmt, erzeugt der Komparator 26 ein logisches "0"-Signal als Nichtübereinstimmungs- Signal und der Arbeitsablauf schreitet zum Schritt A5 fort. In gleicher Weise wie oben beschrieben werden unter Kontrolle der Datenspeichersteuereinrichtung 18 die Adressierung und der Datenlese/Schreib-Zugang zum Datenspeicher 21 verhindert, und eine Karten-Ungültigkeits-Verarbeitung wird ausgeführt.

Mit der oben beschriebenen Anordnung und Betriebsweise werden die dreiwertigen Signale seriell vom Terminal 2 zum Zurücksetz- Anschluß der IC-Karte 1 geleitet. Nur wenn die Kombination der Einheiten der seriellen Pegelinformationen auf der Basis der dreiwertigen Signale mit der Kombination der Einheiten der seriellen Pegelinformationen, die in der Karte vorab gespeichert sind, übereinstimmt, kann in diesem Fall das Prüfprogramm in der Karte initialisiert werden. Im Unterschied zu der herkömmlichen Anordnung, bei der ein Test-Terminal zur externen Initialisierung des Prüfprogramms benutzt wird, kann ein Versuch der Entnahme hoch vertraulicher Informationen verhindert werden.

Gemäß der zweiten oben beschriebenen Ausführungsform wird nur ein Anschluß der IC-Karte, z. B. der Zurücksetzanschluß, verwendet, um seriell mehrwertige Signale einzugeben, wodurch das Testprogramm gestartet wird. Es kann jedoch auch eine Vielzahl von Anschlüssen verwendet werden und serielle mehrwertige Signale können als parallele Eingaben die Vielzahl der Anschlüsse beaufschlagen, um das Testprogramm zu initialisieren, was ausführlich zu der folgenden dritten Ausführungsform beschrieben wird.

In dieser Ausführungsform werden die Eingabe/Ausgabe- und Zurücksetz-Anschlüsse benutzt, um eine Testprogrammstartanforderung durchzuführen.

Die Fig. 9 zeigt die Schaltungsanordnung dieser Ausführungsform. Die gleichen Bezugsziffern wie in der ersten Ausführungsform bezeichnen die gleichen Teile in der dritten Ausführungsform, und eine ausführliche Beschreibung dieser Teile wird weggelassen.

Die Bezugsziffer 222 bezeichnet eine Prüfschaltung für die Prüfung, ob von der IC-Karte 1 eine gültige Testprogrammstartanforderung zum Terminal 2 gesendet wird. Die Prüfschaltung 222 hat einen Eingabe/Ausgabe-Anschluß. Zum Austausch von Daten mit dem Terminal 2 und einen Zurücksetz-Anschluß für den Empfang eines Zurücksetzsignals, während die IC-Karte 1 in das Terminal 2 eingeführt wird. Die Pegeldetektoren 23 und 24 werden jeweils mit dem Eingabe/Ausgabe- und Zurücksetz- Anschluß verbunden. In diesem Falle werden zusätzlich zum Zurücksetzsignal eine Vielzahl analoger Signale, die unterschiedliche Pegel haben, seriell dem Eingabe/Ausgabe- und Zurücksetz-Anschluß in Synchronismus mit dem Taktsignal Φ zugeführt. Genauer gesagt, sind die mehrwertigen Signale, die jeweils, wie in Fig. 11 gezeigt, unterschiedliche Signalwerte haben, die Spannungen Vcc, V 1 und V 2. Die Spannungen Vcc, V 1 und V 2 werden den Eingabe/Ausgabe- und Zurücksetz-Anschlüssen in vorgegebener Reihenfolge in Synchronismus mit dem Taktsingal Φ zugeführt. In diesem Zustand werden die Pegelinformationen "0" für Vcc, "1" für V 1 und "2" für V 2 in Übereinstimmung mit den dreiwertigen Signalen der Pegeldetektoren 23 und 24 erhalten.

Die Ausführungssignale der Pegeldetektoren 23 und 24 werden dem Komparator 26 zugeführt. Ein Ausgangssignal der Pegelmatrix 27 wird dem Komparator 26 zugeführt. Die Matrix 27 speichert Pegelinformationen, die zu jeder Karte gehören, so daß sie mit den Pegelinformationen der Pegeldetektoren 23 und 24 übereinstimmen. Die Matrix 27 empfängt das Taktsignal Φ. Ein Vergleichsergebnis des Komparators 26 wird der Hauptsteuereinrichtung 17 zugeführt.

Die Prüfschaltung 222 wird ausführlich unter Bezug auf Fig. 10 beschrieben. Jeder Pegeldetektor 23 und 24 hat Anschlüsse 01 und 02 und gibt bit-Daten "00" für die Pegelinformation "0", "01" für "1" und "10" für "2" aus. Der Komparator 26 enthält für den Empfang der Ausgangssignale der Detektoren 23 und 24 zwei Koinzidenzschaltungen 265 und 266, um jeweils die Ausgangssignale der Detektoren 23 und 24 aufzunehmen, und eine logische Schaltung 267. Wenn gleichzeitig Koinzidenzsignale von Koinzidenzschaltungen 265 und 266 ausgegeben werden, dann erzeugt die logische Schaltung 267 ein logisches "1"-Ausgangssignal.

Die Pegelmatrix 27 enthält einen Zähler 279 zur Zählung der Impulse des Taktsingals Φ, einen Matrixabschnitt 280 für die Ausgabe der Leseadressen 1 bis 10 gemäß dem Zählinhalt des Zählers 279 und Speicher 281 und 282 zur Erzeugung vorab gespeicherter Pegelinformationen "0", "1" oder "2" in Reaktion auf eine Adresse, die vom Matrixabschnitt 280 bestimmt wird.

In diesem Falle werden die Pegelinformationen "0" als "00", "1" als "01" und "2" als "10" ausgegeben.

Ein Ausgangssignal des Speichers 281 wird der Koinzidenzschaltung 265 zugeführt, und ein Ausgangssignal des Speichers 282 wird der Koinzidenzschaltung 267 zugeführt.

Ein Ausgangssignal der Prüfschaltung 222 gemäß Fig. 9 wird in Reaktion auf das Vergleichsergebnis des Komparators 26 einer Speicherlöschschaltung 29 zugeführt. Wenn das Vergleichsergebnis des Komparators 26 eine gültige Programmstartanforderung angibt, erhält die Speicherlöschschaltung 29 das Ausgangssignal der Prüfschaltung als Speicherlöschstartsignal und gibt, z. B. einen Chip-Lösch-Befehl an den Datenspeicher 21, wodurch der gesamte Inhalt des Datenspeichers 21 gelöscht wird. Nach der Vollendung der Löschung des Datenspeichers 21 wird ein Speicherlösch-Ende-Signal zur Hauptsteuereinrichtung 17 von der Schaltung 29 ausgesendet.

Die Arbeitsweise der oben beschriebenen Ausführungsform wird unter Bezug auf das Flußdiagramm gemäß Fig. 12 beschrieben. Die gleichen Bezugsziffern wie im Flußdiagramm gemäß Fig. 5 bezeichnen in Fig. 12 die gleichen Schritte.

Der Benutzer führt die IC-Karte 1 in das Test-Terminal 2 ein. Die Eingabe/Ausgabe-, Zurücksetz-, Takt-, Vcc- Vpp- und GND- Anschlüsse der IC-Karte 1 sind mit den entsprechenden Anschlüssen des Terminals 2 verbunden.

Dann wird der Schritt A1 ausgeführt. Im Schritt A1 bestimmt die Hauptsteuereinrichtung 17, ob eine gültige Testprogrammstartanforderung erzeugt wird. Verschiedene mehrwertige Signale werden vom Terminal 2 zu den Eingabe/Ausgabe- und Zurücksetz- Anschlüssen übertragen. Genauer gesagt werden jeweils, wie in Fig. 11 gezeigt, zwei parallele Sätze serieller Spannungen Vcc, V 1 und V 2, die verschiedene Pegel haben, in Reaktion auf einen Testbefehl vom Terminal 2 zu den Eingabe/Ausgabe- und Zurücksetz-Anschlüssen übertragen. In diesem Falle werden zehn dreiwertige Signale zu den Eingabe/Ausgabe-Anschlüssen in einer Reihenfolge von V 2, Vcc, V 1, Vcc, . . . V 2, wie dies in Fig. 11 gezeigt ist, zugeführt. Die Einheiten dieser seriellen Pegelinformationen, die diesen dreiwertigen Signalen entsprechen, erscheinen sequentiell an den Ausgangsanschlüssen der Pegeldetektoren 23 und 24 und werden in die Koinzidenzschaltungen 265 und 266 im Komparator 26 eingespeist.

In der Pegelmatrix 27 zählt der Zähler 279 die Impulse des Taktsignals Φ des Terminals 2. Der Matrixabschnitt 280 gibt Leseadressen 1 bis 10 in Reaktion auf den Zählinhalt des Zählers 279 aus. Die Einheiten der seriellen Pegelinformationen, die unter den Adressen 1 bis 10 in den Speichern 281 und 282 gespeichert sind, werden sequentiell ausgelesen. In diesem Falle werden die Einheiten der Informationen aus dem Speicher 281 in einer Reihenfolge von "2", "0", "1", . . . "2" und die Einheiten der Informationen aus dem Speicher 282 in einer Reihenfolge von "1", "2", "0", . . . "1" ausgelesen. Diese Ausgangssignale werden den Koinzidenzschaltungen 265 und 266 im Komparator 26 zugeführt.

Die Koinzidenzschaltungen 265 und 266 prüfen die Übereinstimmung zwischen den Einheiten der Pegelinformationen der Pegeldetektoren 23 und 24 und der Matrix 27. Wenn sich Koinzidenz ergibt, erzeugt die logische Schaltung 267 ein logisches "1"-Ausgangssignal. Wenn jedoch die Kombination der dreiwertigen Signale am Anschluß sich von derjenigen der in den Speichern 281 und 282 gespeicherten Signale infolge einer ungültigen Testprogrammstartanforderung unterscheidet, wird das Ausgangssignal der logischen Schaltung 267 auf einer logischen "0" gehalten.

Das Ausgangssignal der logischen Schaltung 267 wird zur Hauptsteuereinrichtung 17 gesendet.

Für den Fall, daß die in Fig. 11 gezeigten dreiwertigen Signale den Eingabe/Ausgabe- und Zurücksetz-Anschlüssen zugeführt werden, erzeugen beide Koinzidenzschaltungen 265 und 266 als Koinzidenzsignale logische "1"-Ausgangssignale. Die Hauptsteuereinrichtung 17 stellt fest, daß die laufende Anforderung eine gültige Testprogrammstartanforderung ist, so daß der Arbeitsablauf zum Schritt A2 fortschreitet.

Im Schritt A2 sendet die Hauptsteuereinrichtung 17 an das Termianl 2 einen Befehl, daß die Anforderung eine gültige Anforderung ist. In diesem Zustand wird ein spezieller Code vom Terminal 2 zur IC-IC-Karte 1 gesendet, um das Testprogramm zu starten. Dieser spezielle Code wird praktisch der Entschlüsselungs/ Vergleichs-Schaltung 19 geführt.

Ein spezifischer, in das Systemprogramm-ROM 15 eingeschriebener Code wird in Reaktion auf einen Lesebefehl der Hauptsteuereinrichtung 17 aufgelesen und der Entschlüsselungs/Vergleichsschaltung 19 zugeführt. Im Schritt A3 wird der spezifische Code des Terminals 2 mit demjenigen der IC-Karte 1 selbst verglichen. Wenn das Vergleichsergebnis eine Nichtübereinstimmung ergibt, schreitet der Arbeitsablauf zu dem Schritt A 5 fort und eine Karten-Ungültigkeits-Verarbeitung wird ausgeführt. In diesem Falle verhindert die Karten-Ungültigkeit die Adressierung und den Datenlese/Schreib-Zugang zum Datenspeicher 21 unter Kontrolle der Datenspeichersteuereinrichtung 18 als Reaktion auf einen Befehl der Hauptsteuereinrichtung 17. Wenn jedoch das Vergleichsergebnis eine Übereinstimmung zwischen den spezifischen Codes des Terminals 2 und der IC-Karte 1 ergibt, schreitet der Arbeitsablauf zu einem Schritt B1 fort.

Da das Vergleichsergebnis (Schritt A1) des Komparators 26 eine Übereinstimmung entsprechend einer gültigen Testprogrammstartanforderung ergibt, wird im Schritt B1 das Ergebnis in der Speicherlöschschaltung 29 als Löschstartsignal gespeichert. Ein Chip-Lösch-Befehl wird von der Speicherlöschschaltung 29 zum Datenspeicher 21 übertragen, und die gesamten Inhalte des Speichers 21 werden vollständig gelöscht. Nach Vollendung der Löschung wird ein Speicherlösch-Ende-Signal zur Hauptsteuereinrichtung 17 gesendet. In diesem Falle schreitet der Arbeitsablauf zum Schritt A4 fort. Der Inhalt des Testprogramm-ROM 16 wird auf einen Befehl der Hauptsteuereinrichtung 17 hin ausgelesen, um das Bitmuster des Systemprogramm-ROM 15 zu prüfen und den Zugang zum Datenspeicher 21 zu erlauben.

Wenn die Hauptsteuereinrichtung 17 jedoch feststellt, daß die Kombination der dreiwertigen Signale aufgrund einer ungültigen Testprogrammstartanforderung sich von der gültigen Kombination unterscheidet wird von einer der Koinzidenzschaltungen 265 und 266 ein Nichtübereinstimmungssignal erzeugt. Das Ausgangssignal der logischen Schaltung 267 wird auf einer logischen "0" gehalten und die Hauptsteuereinrichtung 17 stellt fest, daß die vorliegende Anforderung eine ungültige Anforderung ist. In diesem Falle schreitet der Arbeitsablauf zum Schritt A5 fort. In gleicher Weise wie oben beschrieben werden unter Kontrolle der Datenspeichersteuereinrichtung 18 die Adressierung und der Datenlese/Schreib-Zugang zum Datenspeicher 21 unterbrochen. Die IC-Karte wird als ungültig angesehen.

Wie sich aus der obigen Beschreibung ergibt, werden die Eingabe/Ausgabe- und Zurücksetz-Anschlüsse der IC-Karte 1 benutzt, in die jeweils zwei parallele Sätze serieller dreiwertiger Signale eingespeist werden. Wenn die Kombinationen paralleler Sätze jeweils mit denjenigen, die aus den Speichern ausgelesen werden, übereinstimmen, wird das Testprogramm in der IC-Karte 1 gestartet. Im Gegensatz zum herkömmlichen Fall, bei dem ein Test-Terminal zur externen Ausführung des Testprogramms verwendet wird, kann das ungültige Starten des Testprogramms verhindert werden. Ein Versuch, extern sehr vertrauliche Informationen herauszuziehen, kann verhindert werden.

Darüberhinaus kann dann, wenn die Testprogrammstartanforderung der IC-Karte 1 zugeführt wird, der gesamte Inhalt des Datenspeichers vor der Testbetriebsweise gelöscht werden. Selbst wenn die Vertraulichkeit des Karteninhaltes nicht vollständig sichergestellt ist, werden die Inhalte des Datenspeichers 21 überhaupt nicht ausgelesen. Daher wird, selbst wenn das Testprogramm in der IC-Karte 1 ungültig gestartet wird, die Sicherheit der IC-Karte 1 zufriedenstellend gewährleistet. Da jeder Versuch zur externen Entnahme sehr vertraulicher Informationen verhindert werden kann, kann darüberhinaus die technische Analyse des gesamten Systems, ganz zu schweigen von einer Fälschung der IC-Karte 1, vollständig verhindert werden, um den Sicherheitspegel des gesamten Kartensystems zu erhöhen.

Bei der ersten bis dritten Ausführungsform der vorliegenden Erfindung werden dreiwertige Signale benutzt, um das Testprogramm zu starten. Es können jedoch auch binäre Signale oder Signale, die vier oder mehrere Werte haben, benutzt werden. Außerdem können analoge Signale benutzt werden, und die Anzahl und die Art der Anschlüsse sind nicht auf die oben beschriebenen beschränkt.

Bei der ersten bis dritten Ausführungsform konzentriert sich die Beschreibung auf den Start des Testprogramms. Die Ausführung des Testprogramms wird in bezug auf die nachstehend erläuterte vierte Ausführungsform beschrieben.

Die Fig. 13 zeigt eine Schaltungsanordnung einer IC-Karte 7. Gemäß Fig. 13 bezeichnet die Bezugziffer 71 einen Systembus, an den ein Antwort-Rücksetz-Daten-ROM 72, eine Anwender-ROM 73, ein Testprogramm-ROM 74, ein Systemprogramm-ROM 75, ein Arbeitsspeicher 76 (RAM), der ein ED-Register 76 a aufweist, eine zentrale Steuerung 77, eine Datenspeicherlese/Schreib-Steuerung 78, ein Entschlüsseler 79, über einen Eingabe-PUFFER 80, eine Eingabesteuerung 81 und über einen Ausgabe-PUFFER 82, eine Ausgabesteuerung 83 angeschlossen sind. Die Steuerungen 81 und 83 sind mit einem Dateneingabe/Ausgabe-Anschluß I/O verbunden.

Das Antwort- und Rücksetz-Daten-ROM 72 speichert alle Bedingungen (d. h. die anzuwendende Datenschreibspannung und den Strom, eine maximal anzuwendende Spannung, ein maximales Datenübertragungsmaß und eine maximale Zeit für den Eingang der Rückantwort), die für die IC-Karte 7 benötigt werden. Diese Bedingungsdatensignale werden als Antwort-Rücksetz-Daten zum Terminal 2 gemäß Fig. 14 nach Vollendung der internen Initialisierung der IC-Karte 7 selbst nach einem vorgegebenen Format übertragen.

Das Anwender-ROM 73 speichert "APN"-Daten, die den Typ der IC-Karte 7 angeben. Diese Daten werden in einem vorgegebenen Format zum Terminal 2 gesendet, wenn Merkmale zwischen dem Terminal 2 und der IC-Karte 7 ausgetauscht werden, nachdem die ursprünglichen Parameter auf der Basis der Antwort-Rücksetz- Daten eingestellt worden sind.

Das Testprogramm-ROM 74 speichert Programme für verschiedene Kartentests.

Das Systemprogramm-ROM 75 speichert das "ACK" oder "NAC"- Codesignal, das angibt, ob ein zusammen mit verschiedenen Systemprogrammen vom Terminal 2 gesendetes Signal richtig ist. Das ROM 75 speichert auch Daten (N + 1), die für einen Schreibtest eines Speichers 84 verwendet werden.

Der Arbeitsspeicher 76 speichert verschiedene Arten von in der IC-Karte 7 verarbeiteten Daten. Wie in Fig. 14 dargestellt, speichert das im Arbeitsspeicher 76 vorgesehene Register 76 a verschiedene Fehlerdaten ED, die aus einem 8-Bit-Code bestehen. Ein Bit b 1 der Fehlerdaten ED stellt einen Datenfehler im Systemprogramm-ROM 75 dar, ein Bit b 2 stelle einen Datenfehler im Testprogramm-ROM 74 dar, ein Bit b 3 stellt einen Datenlesefehler im Datenspeicher 84 dar. ein Bit b 4 stellt einen Datenschreibfehler im Datenspeicher 84 dar, ein Bit b 5 stellt einen Kartenfunktionsfehler dar und Bits b 6 bis b 8 sind nicht zugeordnete bits.

Die zentrale Steuerung 77 gibt Arbeitsbefehle an die jeweiligen Schaltungen gemäß dem Betriebszustand eines Datenempfangssignals aus, das über den Eingabe-Puffer 80 gesendet wird.

Die Datenspeicher-Lese-/Schreib-Steuerung 78 steuert den Datenlese/Schreib-Zugang zum Datenspeicher 84 in Reaktion auf eine Befehl der zentralen Steuerung 77.

Wie in Fig. 15 dargestellt, enthält der Datenspeicher 84 eine Bereichsadressentabelle 841 einen öffentlichen Bereich 842, einen geheimen Bereich 843, einen Vorgangsbereich 844 und einen Kreditbereich 845. Die Tabelle 841 speichert Adressdaten eine vorgegebenen Bereichs als Testdaten, die z. B. für die Kartenverifizierung oder Authentisierung benutzt werden. Die Verifizierungsdaten werden aus dem vorgegebenen Bereich über Adressdaten ausgelesen. Die Daten des vorgegebenen Bereichs werden mit Testdaten verglichen, um IC-Karte 7 zu verifizieren. Der öffentliche Bereich 842 hat einen Testbereich 842 a für die Ausführung eines Schreib/Lese-Tests des Speichers 84. Der Bereich 842 a speichert Datensignale "1", "2", . . . "N" für die Ausführung eines Lesetests, wie dies in Fig. 16 dargestellt ist. (N + 1)-Bereiche im Testbereich 842 a werden für einen Schreibtest benutzt. Der Bereich 843 speichert den "PIN" (Personenidentifizierungsnummer) -Code, den "RTN" (Zahl der nochmaligen Versuche) -Code, der die Zahl der nochmals versuchten Eingaben darstellt, den "IPIN" (Initialisierungs-Personenidentifiziernummer) -Code, der die Zahl angibt, bevor der "PIN"-Code benutzt wird, den "PAN" (Bankkontonummer) -Code, der ein Bankkonto oder dergleichen angibt, und den "PRK" (Privatschlüssel) -Code, der einen verschlüsselten Code angibt. Der Bereich 844 speichert verschiedene Arten von Daten, die Barabwicklungen zugeordnet sind. Der Bereich 845 speichert Daten, die Kreditabwicklungen zugeordnet sind.

Wie aus Fig. 13 hervorgeht, entschlüsselt der Entschlüsseler 79 den Code auf der Grundlage eines vorgegebenen Algorithmus. Der Entschlüsseler 79 benutzt den "PRK"-Code des Datenspeichers 84, um Eingabedaten, die vom Terminal 2 durch den Eingabe-Puffer 80 eingespeist werden, zu entschlüsseln.

Die zentrale Steuerung 77 ist mit einem Zeitgeber 85 verbunden. Der Zeitgeber 85 stellt eine vorgegebene Zeitperiode ein, die notwendig ist, um die Gültigkeit bzw. Ungültigkeit der IC-Karte 7 zu überprüfen. Der Zeitgeber 85 wird auf einen Befehl der Steuerung 77 hin vor der Eingabe des PIN-Code eingestellt und durch die Eingabe des PIN-Code angestoßen. Wenn die vorgegebene Zeitperiode vergangen ist, sendet der Zeitgeber 85 ein Interrupt-Signal zur Steuerung 77.

Der Inhalt des Datenspeichers 84, zu dem unter Steuerung der Datenspeicherlese/Schreib-Steuerung 78 zugegriffen wird, wird einem Eingabe-Anschluß eines Komparators 86 zugeführt. Der andere Eingangs-Anschluß des Komparators 86 empfängt die Eingabedaten, die vom Entschlüsseler 79 entschlüsselt worden sind, die Daten, die vom Arbeitsspeicher 76 ausgelesen werden, und den spezifischen Code, der vom Daten-ROM 72 ausgelesen wird. Ein Vergleichsausgangssignal des Komparators 76 wird zur zentralen Steuerung 77 übertragen.

Während die IC-Karte 7 in das Terminal 2 eingegeben wird, werden das Zurücksetz-Signal "RESET" und der Systemtakt "CLOCK" vom Terminal 2 ausgesandt. Zur gleichen Zeit ist die IC-Karte 7 auch mit den Energiequellen Vcc und Vpp verbunden. Die Vcc-Energiequelle ist eine Systembetriebsenergiequelle und die Vpp-Energiequelle ist eine Schreibenergiequelle für den Datenspeicher 84. Die Energiequellenspannungen der Vcc- und Vpp-Energiequellen werden im Terminal 2 auf der Grundlage der Antwort-Zurücksetz-Daten eingestellt, die im Daten-ROM 72 gespeichert sind. Das Systembetriebssignal des Systemtakts "CLOCK" wird den jeweiligen Komponenten über einen Frequenzteiler 87 zugeführt.

Die Arbeitsweise der Ausführungsform mit der oben beschriebenen Anordnung wird unter Bezug auf die Ablaufdiagramme gemäß Fig. 17 und 18 erläutert.

Um einen Test auszuführen, führt der Benutzer die IC-Karte 7 in das Terminal 2 ein. In diesem Zustand wird eine Taste zur Bestimmung der Prüfart der IC-Karte 7 im Tastenfeld 4 (Fig. 4) betätigt. Ein Teststart-Befehl wird dann auf einen Befehl der Hauptsteuereinrichtung 37 hin aus dem Systemprogramm-ROM 34 ausgelesen und durch die Ausgabesteuereinrichtung 43 und den Ausgabe-Puffer 44 zur IC-Karte 7 übertragen. Mit der IC-Karte 7 wird der Teststart-Befehl über den Eingabe-Puffer 80 und die Eingabesteuerung 81 in den Arbeitsspeicher 76 eingeschrieben.

Wenn die zentrale Steuerung 77 feststellt, daß die laufende Eingabe den Teststart-Befehl beinhaltet, werden in einem Schritt C1 gemäß Fig. 17 Antwort-Rücksetz-Daten aus dem Antwort- Rücksetz-Daten-ROM 72 ausgelesen. Diese Daten werden über den Ausgabe-Puffer 82 und die Ausgabesteuerung zum Eingabe-/Ausgabe- Anschluß und zum Terminal 2 übertragen. In diesem Falle stellt das Terminal 2 eine vorgegebene Zeitperiode ein, um das Aussenden der Antwort-Rücksetz-Daten der IC-Karte 7 abzuwarten. Wenn die Daten nicht innerhalb der vorgegebenen Zeitperiode ausgesendet werden, wird erneut ein Teststart-Befehl zur IC- Karte 7 übertragen. Wenn die Antwort-Zurücksetz-Daten nicht nach dem Aussenden des Start-Befehls zum wiederholten male, z. B. dreimal, ausgegeben werden, wird eine Kartenfunktionsfehler- Verarbeitung ausgeführt.

Wie im Schritt C1 gezeigt, wird die IC-Karte 7 in die Prüfarbeitsweise versetzt, wenn die Antwort-Zurücksetz-Daten zum Terminal 2 gesendet werden.

In einem Schritt C2 werden Daten in Einheiten von bytes aus dem Systemprogramm-ROM 75 ausgelesen. Die ausgelesenen Datensignale werden sequentiell verrechnet. Die zentrale Steuerung 77 bestimmt dann in einem Schritt C3, ob die berechneten Daten einen vorbestimmten Wert ergeben. Wenn der Schritt C3 ja ergibt, dann schreitet der Arbeitsablauf zu einem Schritt C4 fort. Wenn der Schritt C3 nein ergibt, stellt die Steuerung 77 fest, daß ein Fehler in den Daten des ROM 75 enthalten ist und der Arbeitsablauf schreitet zu einem Schritt C5 fort. In einem Schritt C5 wird ein logisches "1"-Kennzeichen in Bit b 1 der Fehlerdaten ED im Arbeitsspeicher 76 eingeschrieben. Danach schreitet der Arbeitsablauf zum Schritt C4 fort.

Im Schritt C4 werden vom Testprogramm-ROM 74 Daten in Einheiten von bytes ausgelesen. Die ausgelesenen Signale werden sequentiell verrechnet. Die Steuerung 77 bestimmt dann in einem Schritt C6, ob die berechneten Daten einen vorgegebenen Wert darstellen. Wenn der Schritt C6 ja ergibt, dann schreitet der Arbeitsablauf zu einem Schritt C7 fort. Wenn jedoch der Schritt C6 nein ergibt, dann bestimmt die Steuerung 77, daß ein Fehler in den Daten, die aus dem Testprogramm-ROM 74 ausgelesen wurden, vorhanden ist. In diesem Falle schreitet der Arbeitsablauf zu einem Schritt C8 fort. Im Schritt C8 wird eine logische "1"-Kennzeichnung im Bit b 2 der Fehlerdaten ED des Arbeitsspeichers 76 eingegeben; anschließend schreitet der Arbeitablauf zum Schritt C7 fort.

Im Schritt C7 werden Daten sequentiell aus dem Testbereich 842 a des öffentlichen Bereichs 842 im Datenspeicher 84 ausgelesen. In diesem Falle werden die Signale aus dem Bereich 842 in einer Reihenfolge von "1", "2", "3", . . . "N" ausgelesen. Die Steuerung 77 bestimt in einem Schritt C9, ob alle Datensignale in der richtigen Weise ausgelesen worden sind. Wenn der Schritt C9 ja ergibt, dann schreitet der Arbeitsablauf zu einem Schritt C10 fort. Wenn jedoch der Schritt C9 nein ergibt, dann bestimmt die Steuerung 77, daß ein Fehler in den Daten, die aus dem Datenspeicher 84 ausgelesen worden sind, vorhanden ist. In diesem Falle schreitet der Arbeitsablauf zu einem Schritt C11 fort. Im Schritt C11 wird eine logische "1"-Kennzeichnung in das Bit b 3 der Fehlerdaten ED des Arbeitsspeichers 76 eingegeben; und der Arbeitsablauf schreitet zum Schritt C10 fort.

Im Schritt C10 werden die Daten (N + 1) aus dem Systemprogramm- ROM 75 auf eine Lese-Befehl der zentralen Steuerung 77 hin ausgelesen. Diese ausgelesenen Daten werden im (N + 1)-Bereich des Prüfbereichs 842 a des öffentlichen Bereichs 842 des Datenspeichers 84 abgespeichert. In einem Schritt C12 werden die in dem (N + 1)-Bereich im Prüfbereich 842 a des öffentlichen Bereichs 842 im Datenspeicher 84 eingeschriebenen Daten sofort ausgelesen. Die zentrale Steuerung 77 bestimmt in einem Schritt C13, ob die ausgelesenen Daten mit den eingeschriebenen Daten übereinstimmen. Wenn Übereinstimmung festgestellt wird, dann schreitet der Arbeitsablauf zu einem Schritt C14 fort. Wenn jedoch der Schritt C13 nein ergibt, dann bestimmt die Steuerung 77, daß ein Fehler in den Daten, die in den Datenspeicher 84 eingeschrieben sind, vorhanden ist. In diesem Falle schreitet der Arbeitsablauf zu einem Schritt C15 fort. In diesem Schritt C15 wird eine logische "1"-Kennzeichnung in das Bit b 4 der Fehlerdaten ED in Arbeitsspeicher 76 auf einen Befehl der zentralen Steuereinrichtung 77 hin eingeschrieben; und der Arbeitsablauf schreitet zu einem Schritt C14 fort.

Im Schritt C14 werden verschiedene Befehle aus dem Systemprogramm- ROM 75 in Reaktion auf einen Lese-Befehl der zentralen Steuerung 77 hin ausgelesen. Die Ausführungsergebnisse der Lese-Befehle werden in einem Schritt C16 erfaßt. Wenn die Ausführungsergebnisse richtig sind, schreitet der Arbeitsablauf zu einem Schritt C17 fort. Wenn die Steuerung jedoch feststellt, daß die Ausführungsergebnisse nicht korrekt sind, wird in einem Schritt C18 eine Kartenfunktions-Fehler-Verarbeitung durchgeführt. Im Schritt C18 wird eine logische "1"-Kennzeichnung in das Bit b 5 der Fehlerdaten ED im Arbeitsspeicher 76 auf einen Befehl der zentralen Steuerung 77 hin eingeschrieben; und der Arbeitsablauf schreitet zu einem Schritt C17 fort.

Im Schritt C17 werden die Fehlerdaten ED aus dem Arbeitsspeicher 76 ausgelesen und durch den Ausgabe-Puffer 82 und die Ausgabesteuerung 83 zum Terminal 2 übertragen.

Das Terminal 2 empfängt die Fehlerdaten ED die von der IC- Karte 7 ausgesendet worden sind, über die Eingabesteuereinrichtung 46 und den Eingabe-Puffer 45. In einem Schritt D1 gemäß Fig. 18 wird das Fehler-Byte der IC-Karte 7 im Arbeitsspeicher 33 gespeichert. Der Arbeitsablauf schreitet zum Schritt D2 fort.

Im Schritt D2 werden die Inhalte der Fehlerdaten ED im Arbeitsspeicher 33 durch die Hauptsteuereinrichtung 37 beurteilt. Das Testergebnis wird zur Anzeigetreiber-Steuereinrichtung 38 gesendet und auf der Anzeigeeinheit 3 dargestellt. Die auf der Anzeigeeinheit 3 dargestellten Inhalte werden gemäß den logischen Zuständen der Bits b 1 bis b 5 der Fehlerdaten ED erfaßt, wobei jedes Testergebnis angezeigt wird.

Mit der obigen Anordnung werden bei der Großintegrations- Betriebs-Prüfung in der IC-Karte 7 die Fehlerdaten im System und in den Testprogramm-ROMS, die Datenlese/Schreib-Fehler im Datenspeicher 84, und die Funktionsfehler, die auf den verschiedenen Befehlen beruhen, in Übereinstimmung mit den Bits der Fehlerdaten ED gespeichert und zur gleichen Zeit auf der Anzeigeinheit 3 dargestellt.

Deshalb können Fehlerstellen auf den Großintegrationsschaltungen leicht bestimt werden, und Gegenmaßnahmen können unmittelbar eingeleitet werden. Im Gegensatz zu einer herkömmlichen IC- Karte, die durch einen einfachen Fehler ungültig wird, muß die IC-Karte 7 nicht aufgrund eines einfachen Fehlers ungültig werden.

Wie ausführlich beschrieben worden ist, kann das Testprogramm in der IC-Karte 7 nicht rechtswidrig gestartet werden. Da geheime Informationen im Datenspeicher 84 zugleich vor dem Test gelöscht werden, wird keine sehr geheime Information extern entnommen, so daß eine Fälschung der IC-Karte 7 vollkommen verhindert werden kann. Darüberhinaus kann die Lage des Fehlers, der durch einen Test der IC-Karte 7 erfaßt wird, leicht angegeben werden, so daß unmittelbar Gegenmaßnahmen ergriffen werden können.

Claims (16)

1. System für integrierte Schaltungen tragende Karten mit einer Karte, auf der sich mindestens eine integrierte Schaltung befindet und die eine Vielzahl von Anschlüssen für den Austausch von Signalen mit einer externen Einrichtung enthält, dadurch gekennzeichnet,
daß die integrierte Schaltung einen Testprogrammspeicher (16) für die Speicherung eines Testprogramms zur Durchführung eines Tests der integrierten Schaltung und eine Prüfschaltung (22) für die Prüfung der Richtigkeit bzw. Unrichtigkeit eines von der externen Einrichtung ausgesandten Teststartsignals und zur Ausführung eines Testprogramms gemäß einem Testergebnis enthält und daß ein Terminal (2) für die Aufnahme der Karte zur Durchführung der Prüfung der integrierten Schaltung auf der Karte vorgesehen ist, wobei das Terminal (2) Teststarteinrichtungen (36, 37) für das Aussenden des Teststartsignals zur Karte (1) enthält.

2. System nach Anspruch 1,
dadurch gekennzeichnet,
daß die Teststarteinrichtungen (36, 37) im Terminal (1) Mehrwertsignalausgabeeinrichtungen (61 bis 63) zur Erzeugung mehrwertiger Signale enthalten, die eine Vielzahl verschiedener Spannungspegel aufweisen, und daß die Prüfschaltung (23 bis 27) auf der Karte (1) Spannungsdetektoreinrichtungen (23 bis 25) für die Feststellung der Spannungspegel der von den Mehrwertsignalausgabeeinrichtungen (61 bis 63) ausgesandten mehrwertigen Signale sowie eine Einmaligcodespeichereinrichtung (27) für die Speicherung eines einmaligen Codes und eine Vergleichseinrichtung (26) enthält, mit der ein Detektionsergebnis der Spannungsdetektoreinrichtungen (23 bis 25) mit dem aus der Einmaligcodespeichereinrichtung (27) ausgelesenen einmaligen Code zur Feststellung, ob das Detektionsergebnis mit dem einmaligen Code übereinstimmt, vergleichbar ist.

3. System nach Anspruch 2,
dadurch gekennzeichnet,
daß die Mehrwertsignalausgabeeinrichtung (61 bis 63) im Terminal (2) eine Vielzahl paralleler Teststartsignale durch vorbestimmte Anschlüsse der Vielzahl von Anschlüssen zur Karte (1) sendet, daß die Spannungsdetektoreinrichtung in der Prüfschaltung (22) eine Vielzahl von Spannungsdetektoren (23 bis 25) zur Feststellung der Spannungspegel der vom Terminal (2) gesendeten Teststartsignale enthält, daß die Einmaligcodespeichereinrichtung (27) ein Vielzahl einmaliger Codes speichert und daß die Vergleichseinrichtung (26) Ausgänge der Vielzahl von Spannungsdetektoren (23 bis 25) parallel mit der Vielzahl der einmaligen Codes aus der Einmaligcodespeichereinrichtung (27) vergleicht.

4. System nach Anspruch 3,
dadurch gekennzeichnet,
daß die Prüfschaltung (22) weiterhin eine erste Zähleinrichtung (275) zur Zählung von Taktimpulsen eines vom Terminal (2) gesendeten Taktsignals enthält und daß die Vergleichseinrichtung (26) wirksam gemacht wird, wenn der Zählinhalt der ersten Zähleinrichtung (275) einen vorgegebenen Wert erreicht.

5. System nach Anspruch 3,
dadurch gekennzeichnet,
daß die Einmaligcodespeichereinrichtung (27) einen Nur- Lese-Speicher (271) aufweist und daß die Spannungsdetektoreinrichtungen (23 bis 25) digitale Signale, die jeweils Eingangsspannungspegeln entsprechen, erzeugen.

6. System nach Anspruch 3,
dadurch gekennzeichnet,
daß das Terminal (2) die mehrwertigen Signale über Zurücksetz-, Eingabe/Ausgabe- und Takt-Anschlüsse aus der Vielzahl von Anschlüssen der Karte (1) sendet, wobei das mehrwertige Signal ein Signal aus drei verschiedenen Spannungspegeln ist.

7. System nach Anspruch 2,
dadurch gekennzeichnet,
daß die Mehrwertsignalausgabeeinrichtung (61 bis 63) im Terminal (2) durch einen der Vielzahl von Anschlüssen ein serielles Teststartsignal zur Karte (1) sendet, daß die Spannungsdetektoreinrichtungen (23 bis 25) in der Prüfschaltung (22) einen Spannungsdetektor (24) für die Feststellung von Spannungspegeln der vom Terminal (2) gesendeten Teststartsignale aufweist, daß die Einmaligcodespeichereinrichtung (27) eine Vielzahl einmaliger Codes speichert und daß die Vergleichseinrichtung (26) seriell die Ausgänge des Spannungsdetektors (24) mit der Vielzahl einmaliger Codes der Einmaligcodespeichereinrichtung (27) zur Bestimmung, ob die Ausgangssignale mit der Vielzahl der einmaligen Codes übereinstimmen, vergleicht.

8. System nach Anspruch 7,
dadurch gekennzeichnet,
daß die Einmaligcodespeichereinrichtung (27) einen ersten Speicher (278), der einen Nur-Lese-Speicher aufweist, und Einrichtungen (276) zur seriellen Erzeugung von Speicherinhalten des ersten Speichers (278) enthält und daß der Spannungsdetektor (24) ein digitales Signal erzeugt, das jedesmal dann einem Eingangsspannungspegel entspricht, wenn das Teststartsignal vom Termin (2) gesendet wird.

9. System nach Anspruch 8,
dadurch gekennzeichnet,
daß die Einrichtungen (276) zur seriellen Erzeugung von Speicherinhalten eine zweite Zähleinrichtung (276) aufweisen, wobei die Speicherinhalte des ersten Speichers (278) in Reaktion auf einen Zählinhalt der zweiten Zähleinrichtung (276) seriell ausgegeben werden.

10. System nach Anspruch 7,
dadurch gekennzeichnet,
daß das Terminal (2) die mehrwertigen Signale über einen Zurücksetzanschluß aus der Vielzahl von Anschlüssen sendet, wobei das mehrwertige Signal ein Signal aus drei verschiedenen Spannungspegeln ist.

11. System nach Anspruch 2,
dadurch gekennzeichnet,
daß die Mehrwertsignalausgabeeinrichtung (61 bis 63) im Terminal (2) durch vorbestimmte Anschlüsse der Vielzahl von Anschlüssen parallel eine Vielzahl von seriellen Teststartsignalen zur Karte (1) ausgibt, daß die Spannungsdetektoreinrichtungen (23 bis 25) in der Prüfschaltung (22) eine Vielzahl von Spannungsdetektoren (23 bis 25) für die Feststellung der Spannungspegel der Vielzahl serieller Teststartsignale, die vom Terminal (2) gesendet werden, aufweisen, daß die Einmaligcodespeichereinrichtung (27) eine Vielzahl von Sätzen einmaliger Codes speichert und die seriellen einmaligen Codes in Einheiten von Sätzen ausgibt und daß die Vergleichseinrichtung (26) die zu erfassenden Ausgaben der Vielzahl von Detektoren (23 bis 25) mit der Vielzahl der Sätze der einmaligen Codes vergleicht, um zu bestimmen, ob die Ausgaben mit der Vielzahl der Sätze der einmaligen Codes übereinstimmen.

12. System nach Anspruch 11,
dadurch gekennzeichnet,
daß die Einmaligcodespeichereinrichtung (27) einen zweiten Speicher (281, 282), der einen Nur-Lese-Speicher aufweist, und eine Einrichtung zur seriellen Auslesung von Speicherinhalten des zweiten Speichers (281, 282) in Einheiten von Sätzen der Speicherinhalte enthält und daß die Spannungsdetektoren (23, 24) digitale Signale erzeugen, die jeweils jedesmal dann Eingangsspannungspegeln entsprechen, wenn das Teststartsignal vom Terminal (2) gesendet wird.

13. System nach Anspruch 12,
dadurch gekennzeichnet,
daß die Einrichtung (27) zur seriellen Erzeugung von Speicherinhalten eine dritte Zähleinrichtung (279) aufweist, wobei der Speicherinhalt des zweiten Speichers (281, 282) in Reaktion auf einen Zählinhalt der Zähleinrichtung (279) seriell in Einheiten von Sätzen ausgelesen wird.

14. System nach Anspruch 2,
dadurch gekennzeichnet,
daß die Karte (1) weiterhin einen Speicher (21) für die Speicherung geheimer Informationen und eine Einrichtung (18) zum Löschen des Inhalts des Speichers (21) enthält, wenn die Vergleichseinrichtung (26) eine Übereinstimmung feststellt, wobei der Inhalt des Speichers (21) vor einer Ausführung des Testprogramms gelöscht wird.

15. System nach Anspruch 2,
dadurch gekennzeichnet,
daß die Karte (1) Einrichtungen (17) zur Ausführung eines Tests auf der Grundlage des im Testprogrammspeicher (16) gespeicherten Testprogramms und Einrichtungen (14) zur Speicherung des Ergebnisses des von der Testausführungseinrichtung (17) durchgeführten Tests enthält.

16. System nach Anspruch 15,
dadurch gekennzeichnet,
daß das Terminal (2) eine Einrichtung (3, 38) zum Empfang des Testergebnisses aus der Speichereinrichtung (14) zur Speicherung und Darstellung des Testergebnisses aufweist.