Die vorliegende Erfindung betrifft eine Einrichtung zum individuellen Identifizieren einer Mehrzahl von Individuen, mit wenigstens einer Prüfstation und einer der Anzahl Individuen entsprechenden Anzahl von Datenträgern, in denen eine je einem der Individuen zugeordnete Informationsmenge gespeichert ist, welche durch Ankoppelung der Datenträger an die Prüfstation durch diese abrufbar ist.
Bei den bekanntesten Einrichtungen dieser Art sind die Datenträger Karten, Schlüssel oder Scheiben, auf denen die dem berechtigten Individuum zugeordnete Information, wenn auch nicht entzifferbar, so doch klar erkennbar eingelocht, gestanzt, geprägt oder aufgedruckt ist. Diese Datenträger der bekannten Einrichtungen sind daher mit geringem technischem Aufwand duplizierbar, selbst wenn die Information nicht von hlossem Auge sichtbar ist, z. B. durch unsichtbare Magnetisierung eines Teiles des Datenträgers. Man hat die unbefugte Duplizerung solcher Datenträger versucht dadurch sinnlos zu machen, dass an der Prüfstation vor oder während des Identifizierungsvorganges zusätzlich zur Ankoppelung des Datenträgers auch die Eingabe einer sogenannten Memo-Zahl vorgenommen werden muss, damit die Prüfstation überhaupt die Identifizierung vornimmt.
Dies hat aber einen grösseren Zeitaufwand zur Identifizierung zur Folge und darüberhinaus ist es schwierig, die Memo-Zahl geheim zu halten.
Die Erfindung bezweckt nun die Schaffung einer Einrichtung der genannten Art, bei der eine Duplizierung der Datenträger praktisch ausgeschlossen ist und bei der der Versuch zur Duplizierung den Datenträger selbst insofern unbrauchbar macht, als die Identifikation danach zwangsläufig als gefälscht angezeigt wird. Ausserdem soll bei der bevorzugten Ausführungsform die im Datenträger gespeicherte, dem Individuum zugeordnete Informationsmenge wenigstens zum Teil weder dem Inhaber des Datenträgers noch Unbefugten zugänglich sein.
Dementsprechend ist die vorgeschlagene Einrichtung erfindungsgemäss dadurch gekennzeichnet, dass die Datenträger als am Handgelenk der berechtigten Person zu tragendes Armband ausgebildet sind und zur Speicherung der genannten Informationsmenge wenigstens einen Speicher enthalten, der mit einer durch ein Lösen des Armbandes aktivierbaren Löschvorrichtung zur Löschung mindestens eines Teils der Informationsmenge versehen ist.
Ausführungsbeispiele des Erfindungsgegenstandes sind nachstehend anhand der Zeichnungen näher erläutert. Es zeigt:
Fig. 1 eine Ausführungsform eines Datenträgers als Armband,
Fig. 2-5 verschiedene Formen des Datenträgeraufbaues im Schnitt,
Fig. 6 je ein Blockschaltbild für einen Datenträger und eine Prüfstation,
Fig. 7 je ein Blockschaltbild für Datenträger und Prüfstation in anderer Variante,
Fig. 8 ein Impulsdiagramm, aus welchem der zeitliche Verlauf der Impulse auf den verschiedenen Leitungen ersichtlich ist,
Fig. 9 eine andere Variante nach Fig. 7, bei welcher die Ankoppelung zwischen Datenträger und Prüfstation drahtlos erfolgt,
Fig. 10-13 Blockschaltbilder von Ausführungsvarianten der Schaltgruppen für Datenträger bzw. Prüfstation, und
Fig. 14 + 15 weitere, vereinfachte Blockschaltbilder anderer Ausführungsvarianten.
Fig. 1 zeigt einen Datenträger in Form eines Armbandes, welches gleichzeitig Träger der trägerseitigen elektronischen Uhr 42 sein kann, die ihrerseits die digitale Zeitinformation für Chiffrierrechner liefert. Geheime Schaltelemente 20, 30, 34, 56, 62, 64 sind unzugänglich, z. B. in Kunststoff eingebettet.
Die Informationsübertragung erfolgt über zwei galvanische Kontakte 264 und 66, welche als links und rechts des Armbandes verlaufende Kontaktschienen ausgebildet sind. Für den Identifizierungsvorgang braucht das Handgelenk mit dem Armband nur gegen die V-förmig ausgebildeten Gegenkontakte 65 und 67 der Prüfstation 11 abgesenkt zu werden. Ein solches Armband als Identitätsträger hat deshalb in bezug auf Bedienungseinfachheit grosse Vorteile.
In Fig. 1 sind weiterhin Drucktasten 112', 112" und 112"' eingezeichnet, welche zur Eingabe der Memo-Zahl dienen. Ein Blockschaltbild hiefür ist in Fig. 14 ersichtlich und die Wirkungsweise ist wie folgt:
Zur Eingabe einer Memo-Zahl, z. B. der Zahl 3748, wird vorerst die Drucktaste 112' entsprechend der ersten Ziffer 3 der Zahl dreimal gedrückt, wobei diese erste Zahl im Stellenspeicherelement 114' gespeichert wird. Alsdann wird Drucktaste 112" einmal gedrückt, was die Stellenverschiebung auf die zweite Stelle bewirkt, wonach durch siebenmaliges Drücken der Drucktaste 112' die zweite Ziffer 7 der Zahl im Stellenspeicherelement 114" gespeichert wird usw. Am Schluss steht die Memo-Zahl an der Ausgangsleitung 116 für den Abruf während des ldentifizierungsvorganges zur Verfügung.
Mit Drucktaste 112"' kann die Memo-Zahl gelöscht werden.
Die Löschung kann jedoch auch über einen Schalter 122 durchgeführt werden, welcher durch den Verschluss 124 des Armbandes (Fig. 1) betätigt wird. Solange das Armband am Handgelenk getragen wird, bleibt die Memo-Zahl für die Identizierungsvorgänge erhalten und verschwindet bei Abnahme des Armbandes automatisch.
Die oben erläuterten Massnahmen gestatten, eine elektrischer Zugänglicheit zu den Geheiminformationen im Datenträ ger 10 zu verhindern. Um aber eine unbefugte Duplizierung und Missbräuchliche Verwendung der Datenträger 10 zu verhindern, kann zusätzlich die materielle Zugänglichkeit zu den gespeicherten Geheiminformationen im Datenträger 10 verhindert werden. Dies kann, wie bereits erwähnt, z.B. durch Einbetten bzw. Vergiessen der entsprechenden Schaltgruppen in eine Kunststoffmasse geschehen, so dass die Schaltgruppen nur unter Zerstörung des Datenträgers 10 und damit ihrer selbst zugänglich werden. Es können aber noch weitere Massnahmen getroffen werden, um bei solcher missbräuchlicher Zerstörung, welche die materielle Zugänglichkeit zu den Geheimschaltungen ermöglichen könnte, auch deren Informationsgehalt verschwindet.
Ein Beispiel solcher Massnahmen ist anhand der Fig. 2 erläutert. Der Geheimspeicher 26 des Datenträgers ist hier eine, mit einer im Datenträger befindlichen Batterie 126 gespiesene integrierte Schaltung, z. B. ein RAM (Random Access Memory) oder ein Schieberegister in MOS oder C MOS-Technik. Damit die gespeicherte Information erhalten bleibt, brauchen diese Elemente eine permanente, wenn auch äusserst geringe, Speisung aus der Batterie. Wird die Speisung auch nur kurzzeitig unterbrochen, so verschwindet die gespeicherte Information. Die Speisestrom-Zufuhr zum Geheimspeicher 26 erfolgt in Fig. 2 über eine negative Speiseleitung 128 und eine positive Speiseleitung 129. Diese Leitungen bestehen z. B. aus lackisoliertem Kupferdraht mit 0,1 bis 0,2 mm Durchmesser und mehreren Metern Länge.
Die Speiseleitungen 128, 129 sowie der Speicher 26 sind in eine Kunststoffmasse 130 fest eingepackt bzw. vergossen, wobei der Speicher 26 zuinnerst im Vergusskörper angeordnet ist und die Speiseleitungen 128, 129 den Speicher 26 auf allen
Seiten umschliessen. Die positiven und negativen Speiseleitun gen 128, 129 sind kreuz und quer und unregelmässig durchein ander verlegt mit einem durchschnittlichen Abstand von z. B.
unter 0,5 mm von Leitung zu Leitung. Bei einem Versuch, an den Speicher 26 zu gelangen, ist die Zerstörung des Vergusskörpers und damit ein Unterbruch oder Kurzschluss zwischen den Speiseleitungen unvermeidlich, wodurch die gespeicherte Information verschwindet. Die unbefugte Zugänglichkeit zur Geheiminformation ist somit vermieden.
Die Verlegung der Speiseleitungen 128, 129 kann mit durch Zufallsinformation gesteuerten Maschinen derart erfolgen, dass die Leitungsführung von Datenträger zu Datenträger verschieden ist.
Gemäss Figur 3 sind drei parallelgeschaltete positive und negative Leitungen und Speicherteile 26 vorhanden, was die unbefugte Zugänglichmachung der Geheiminformation noch weiter erschwert. In diesem Ausführungsbeispiel sind die übrigen, Geheiminformation enthaltenden, Schaltelemente 20, 30, 34, 56, 62, 64 samt ihren gegenseitigen Verbindungen ebenfalls von den Speiseleitungen 128 und 129 dicht umschlossen, so dass sie nur nach zwangsläufiger Löschung der Geheiminformation materiell zugänglich werden.
In die langen Speiseleitungen könnten Stör-Spannungen oder Ströme induziert werden und den zuverlässigen Betrieb beeinträchtigen. Bei den Ausführungsformen der Fig. 4 und 5 ist dies dadurch vermieden, dass ein spezielles, mit Zerstörungsdetektor 132 bezeichnetes integriertes Schaltelement vorgesehen ist, dessen Speiseleitungen 134 und 136 (Fig. 5) sich selbst sowie die geheimen Schaltungen 20, 26, 30, 34, 56, 62, 64 umschliessen. Die Leitungen haben ihren Anfang in einem Schaltelement 138, welches eine Batterie sein kann. Das Schaltelement 138 kann aber auch eine logische Schaltung, und die Leitungen 134, 136 können elektrische Schutzzuleitungen sein. Bei Unterbruch und/oder Kurzschluss der Leitungen 134,
136 wird dem Geheimspeicher 26 über die Verbindungsleitung
140 eine Löschinformation zugeführt, welche die gespeicherte Information irreversibel löscht.
Die Speiseleitungen zum Speicher 26 können in diesem Falle kurz und gegen Störeinflüsse wenig anfällig sein.
Figur 4 zeigt wiederum einen als Armband ausgebildeten Datenträger 10 in schematisierter Darstellung. Die Geheiminformation führenden Schaltelemente 20, 26, 30, 34, 56, 62, 64 und deren Verbindungen untereinander sind als ein Block integrierter Schaltungen ausgebildet und in der oben beschriebenen Art durch Einbetten in Kunststoffmasse und durch die sie umgebenden Leitungen 128,129 gegen Zugänglichkeit geschützt. Die Leitungen sind hier die Speiseleitungen des Zerstörungsdetektors 132. Dieser Detektor gibt z.B. solange er unter Spannung steht, eine Binär- 1 -Information über
Leitung 140 an Geheimspeicher 26 ab. Sobald die Speisespannung fehlt, erscheint Binär- O auf Leitung 140 und dient als Löschimpuls für die irreversible Löschung der Information im Speicher 26.
Die Leitungsdrähte sind im ganzen Armband verlegt, so dass eine Auftrennung des Armbandes an irgendeiner Stelle ohne Unterbruch (bzw. Kurzschluss) der Leitungsdrähte nicht möglich ist.
Die Leitungsdrähte sind ferner mehrmals über eine
Steckverbindung 142 mit Steckerstiften im Armbandverschluss geführt, derart, dass bei Auftrennen des Steckers und Abnehmen des Armbandes die Leitungen unterbrochen werden.
Der als Armband ständig am Arm getragene Datenträger ist deshalb ein sicheres Personenidentifizierungsmittel, weder duplizierbar und im vorliegenden Fall auch nicht an andere
Personen übertragbar. Dazu muss das Armband nur das Handgelenk so eng umschlingen, dass ein Überschieben über die Hand ohne Auftrennung unmöglich ist. Zur Vermeidung der Möglichkeit der Überbrückung der Steckkontakte beim
Auftrennen der Steckverbindung 142 hat der versenkte Steckerteil eine grössere Länge als die Steckerstifte.
Die nicht geheimen Schaltungsteile 12, 16, 68 (vgl. auch Fig. 7) können irgendwo im Armband angeordnet sein, da sie ebenfalls zu einem Block integrierter Schaltungen zusammen gefasst sein können.
Beim Ausführungsbeispiel von Fig. 4 kann der Identifizie rungsvorgang durch blosse Annäherung des Handgelenks an die Prüfstation 11 erfolgen, da die Informationsübertragung drahtlos erfolgt, was mit den entsprechenden Sende- und Empfangsantennen 96, 97 bzw. 98, 99 angedeutet ist.
Einleitend zur Beschreibung beispielsweiser Schaltanordnungen sei festgehalten, dass einander entsprechende Schaltelemente bzw. Schaltgruppen in allen Ausführungsformen mit denselben Bezugsziffern, allenfalls ergänzt durch unterscheidende Buchstabenindices, bezeichnet sind.
Ausserdem ist zu beachten, dass in den Blockschematas Verbindungsleitungen mit ausgezogenen Linien angegeben sind. Im vorliegenden Fall braucht indessen der Begriff Verbindungsleitung nicht mit dem Begriff Verbindungsleiter identisch zu sein, sondern bedeutet vielmehr ein Kanal, auf welchem elektrische Impulse oder Spannungen zwischen Schaltelementen oder Schaltgruppen zugeführt oder ausgetauscht werden. Dass ein solcher Übertragungskanal zumindest teilweise an einen elektrischen Leiter gebunden ist versteht sich von selbst, doch kann, wo die Zuführung oder der Austausch von Spannungen und Impulsen in zeitlicher Folge geschieht, ein und derselbe Leiter für mehrere Verbindungsleitungen oder Kanäle dienen. Die Darstellung der Verbindungsleitungen als voneinander getrennte, ausgezogene Linien erfolgt zumindest in Figur 6 um das Verständnis zu erleichtern.
In Figur 6 ist ein Datenträger 10 (gestrichelte Umrandung links) in angekoppelter Lage an eine Prüfstation (gestrichelte Umrandung rechts) 11 dargestellt.
Im Datenträger 10 sind folgende wesentlichen Schaltgruppen eingebaut: ein Primärspeicher 12, der über eine Verbindungsleitung 14 von einer Programmsteuerung 16 angesteuert ist, die ihrerseits über eine zu der Prüfstation 11 führende Verbindungsleitung 18 mit einem in der Prüfstation angeordnetem Taktgeber 19 angesteuert ist.
Der Primärspeicher 12 ist zweckmässigerweise ein aus elektronischen Schaltelementen aufgebauter Speicher, z. B. ein in MOS-IC-Technik (intergrierte Schaltkreise) aufgebauter ROM-(Read-only-memory)-Speicher, in welchem z. B. eine individuelle Personalnummer mit zehn Dezimalstellen als Binärzahl mit vierzig Binärstellen beliebig oft abrufbar gespeichert ist. Die in diesem Primärspeicher 12 gespeicherte Information ist ein Teil der dem Datenträger 10 bzw. dessen Schalter zugeordneten Information und braucht normalerweise nicht geheim zu sein.
Im weiteren ist im Datenträger 10 eine Geheimschaltung 20 vorhanden, die u. a. dazu dient, die trägerseitigen Informations folgen zu erzeugen. Während detaillierte Blockschaltbilder dieser Geheimschaltung 20 noch zu beschreiben sein werden, genüge zunächst die Feststellung, dass diese einerseits vom
Ausgang des Primärspeichers über die Verbindungsleitung 22 und anderseits von der Programmsteuerung 16 über die Verbindungsleitung 24 angesteuert ist. Ein Bestandteil dieser
Geheimschaltung 20 ist ein Geheimspeicher 26, in welchem eine Geheiminformation gespeichert ist, die wiederum von
Datenträger zu Datenträger verschieden ist, die aber zum
Unterschied der im Primärspeicher 12 gespeicherten Informa tion auch dem rechtmässigen Besitzer des Datenträgers 10 nicht bekannt und durch diesen auch nicht ermittelbar ist.
Die
Geheimschaltung 20 und die Programmsteuerung 16 bilden dabei den trägerseitigen Informationsgenerator.
Ausgangsseitig ist die Geheimschaltung 20 über eine
Verbindungsleitung 28 mit einer trägerseitigen Vergleicher schaltung 30 und über eine Verbindungsleitung 32 mit einer
Torschaltung 34 verbunden. Die Vergleicherschaltung 30 ist über eine Verbindungsleitung 36, die eine Abzweigung 38 zur
Geheimschaltung 20 besitzt, von der Programmsteuerung 16 aus angesteuert. Der zweite Eingang zur Vergleicherschaltung
30 wird im Zusammenhang mit der Prüfstation 11 beschrieben und der Ausgang der Vergleicherschaltung ist über eine Verbindungsleitung 40 mit der Torschaltung 34 verbunden.
Die Vergleicherschaltung 30 dient dazu, die trägerseitige und - wie noch darzulegen sein wird - stationsseitige erste Informationsfolge sequentiell, d. h. Bit um Bit zu vergleichen, und, im Falle der Übereinstimmung, ein Binärsignal 1 an die Torschaltung 34 weiterzuleiten.
Bisher ist der wesentliche Aufbau des Datenträgers 10 beschrieben worden. Ein Bestandteil der Geheimschaltung 20 kann ein noch zu beschreibender Chiffrierrechner sein, der zur Erzeugung der Informationsfolgen dient. Im vorliegenden Falle ist dem Chiffrierrechner eine elektronische Uhr 42 zugeordnet, welche dem Chiffrierrechner über eine Verbindungsleitung 44 und eine Torschaltung 46 eine binär-digitale Zeitinformation zuführt, soweit die Torschaltung 46 über die von der Verbindungsleitung 14 abgezweigte Leitung 48 durch die Programmsteuerung 16 in Offenstellung gesteuert ist.
Alternativ oder zusätzlich kann dem Chiffrierrechner in der Geheimschaltung 20 auch die Zufallsinformation eines in der Prüfstation 11 angeordneten Zufallsgenerator 51 zugeführt werden, was (bei angekoppeltem Datenträger 10) über eine Verbindungsleitung 50 und über eine weitere, ebenfalls durch die Leitung 48 bzw. die Programmsteuerung 16 in offene Zustandslage gesteuerte Torschaltung 54 erfolgt.
Schliesslich ist im dargestellten Datenträger ein weiterer Speicher in Form eines Kontospeichers 56 angeordnet. In diesem Kontospeicher 56 sind in binär-digitaler Form Betragsinformationen gespeichert, d. h. eine bestimmte Menge, welche den rechtmässigen Inhaber des Datenträgers 10 betreffen.
Diese Betragsinformationen können in Währungseinheiten sein und z. B. den momentanen Stand des Bankkontos, das der Inhaber bei einer Bank führt angeben. Die Einspeicherung und/oder Veränderung der Betragsinformation im Kontospeicher 56 ist nur möglich bei an die Station 11 angekoppeltem Träger 10 und positiv verlaufendem Identifikationsvorgang, weil die dem Kontospeicher zugeordnete Eingabestelle 57 in der Prüfstation 11 angeordnet ist und, wie noch darzulegen sein wird, nur bei positivem Identifikationsvorgang aktiviert wird.
Ausserdem ist sowohl die zum Kontospeicher 56 führende Einleseleitung 58 als auch die von diesem weg führende Ableseleitung 60 über je ein Tor 62 bzw. 64 geführt, wobei diese Tore 62, 64 nur dann in Offenstellung sind, wenn auf der Verbindungsleitung 40 vom Vergleicher 30 her ein auf positive Identifikation hinweisendes Signal ansteht.
Mit einer gestrichtelten Linie 66 ist in Fig. 6 angedeutet, dass die Schaltungsgruppen 20, 30, 34, 56, 62 und 64 sowie die Verbindungsleitungen 28, 32 und 40 im Datenträger 10 nicht nur körperlich sondern auch elektrisch durch Unbefugte unzugänglich angeordnet sind, wobei in diesem Zusammenhang die Unzugänglichkeit auch die Unmöglichkeit für Unbefugte verstanden werden soll, die elektrische Zustandlage und/oder den Informationsgehalt der Speicher 26, 56 unmittelbar oder mittelbar festzustellen. Dies kann, wie noch zu erläutern sein wird, auf verschiedene Arten erreicht werden.
In der Prüfstation 11 ist, wie aus Fig. 6 ersichtlich, eine ebenfalls vom Taktgeber 19 über eine Verbindungsleitung 20 getriebene Programmsteuerung 23 angeordnet, die ihrerseits den Ablauf sämtlicher Teilvorgänge in der Prüfstation 11 steuert.
Insbesondere steuert die Programmsteuerung 23 über
Verbindungsleitungen 25-29 eine stationsseitige Geheimschal tung 31, welche einen stationsseitigen Geheimspeicher 33 enthält. Ausführungsformen dieser Geheimschaltung 31, deren
Funktion in grundsätzlicher Hinsicht etwa jener der Geheimschaltung 20 entspricht, und im wesentlichen darin besteht, die stationsseitigen Informationsfolgen zu erzeugen, werden noch zu beschreiben sein.
Die Geheimschaltung 31 ist über eine Verbindungsleitung 35 auch vom trägerseitigen Primärspeicher 12 angesteuert und ausgangsseitig über eine Verbindungsleitung 37 mit dem trägerseitigen Vergleicher 30 verbunden (in welchem die Korrespondenz der ersten Informationsfolgen festgestellt wird). Ausserdem ist der Ausgang der Geheimschaltung 31 über eine Verbindungsleitung 39 mit einem stationsseitigen Vergleicher 41 verbunden, der, über eine Verbindungsleitung 43 von der Programmsteuerung 23 aus aktiviert, die zweite, stationsseitige Informationsfolge mit der zweiten durch die Torschaltung 34 auf eine Verbindungsleitung 45 freigegebenen Trägerseitigen Informationsfolge vergleicht. Die Geheimschaltung 31 und die Programmsteuerung 23 bilden dabei den stationsseitigen Informationsgenerator.
Vom Vergleicher 41 gehen zwei Ausgangsleitungen 47, 49 aus, wobei auf der ersten ein Richtig -Signal ansteht, wenn der Vergleicher 41 Korrespondenz der zweiten Informationsfolgen festgestellt hat, während im gegenteiligen Fall ein Falsch -Signal auf der Leitung 49 ansteht. Die das Richtig Signal führende Leitung 47 ist auch mit der Eingabestelle 57 für den trägerseitigen Kontospeicher 56 verbunden, um diese Eingabestelle 57 nur solange das Richtig -Signal ansteht einzuschalten.
Der Geheimschaltung 31 kann wie bei der trägerseitigen Geheimschaltung 20 eine Uhr 53 und/oder der Zufallsgenerator 51 zugeordnet sein. Die Uhr 53 führt der Geheimschaltung 31 bzw. dem darin befindlichen Chiffrierrechner über Leitung 61 und ein über Leitung 55 von der Programmsteuerung 23 angesteuertes Tor 59 Zeitinformation, und der Zufallsgenerator 51 über ein ebenfalls über Leitung 55 von der Programmsteuerung angesteuertes Tor 63, Zufallsinformation zu.
Der Vollständigkeit halber sei auch noch die mit 164 bezeichnete Energiequelle erwähnt, die sowohl die trägerseitigen als auch die stationsseitigen Schaltgruppen speist. Diese kann nur in der Station 11 angeordnet sein, und bei Ankoppelung des Trägers 12 auch diesen über galvanische Kontakte oder durch Induktion mit Energie beliefern. Es kann aber auch der Träger 10 mit einer auswechselbaren Batterie oder einem von der Prüfstation 11 aus aufladbaren Akkumulator versehen sein.
Es wurde bereits erwähnt, dass in dieser Beschreibung der Begriff Verbindungsleitung eher im Sinne von Übertragungskanal zu verstehen sei, und dass verschiedene Verbindungsleitungen wegen der zeitlichen Folge des Informationsaustausches auf ein und denselben körperlichen Leiter fallen können. Voraussetzung hiefür sind besondere Schaltmittel, welche im Zusammenhang mit Figur 2 beschrieben werden sollen.
In Figur 7 ist im Prinzip die Ausführungsform der Figur 6, jedoch unter Weglassung der die Zeitinformation liefernden Uhren, des Zufallsgenerators und des Kontospeichers sowie der zugehörigen Schaltgruppen dargestellt. Es versteht sich jedoch, dass diese Bestandteile auch in der Ausführungsform der Fig. 7 vorhanden sein können.
Bei der in Figur 7 dargestellten Ausführungsform erfolgt der gesamte Informationsaustausch zwischen Träger 10 und Prüfstation 11 über zwei trägerseitige Kopplungsstellen 264, 66 und zwei stationsseitigen Kopplungsstellen 65, 67. Diese können galvanische Kontakte, induktive Geber oder auch Sende- bzw. Empfangsantennen sein (vgl. hiezu Fig. 9). In der vorliegenden Ausführungsform dienen die Kopplungsstellen 264, 65 zum Austausch einer Bezugsspannung (z. B. Erde) zwischen Träger 10 und Prüfstation 11, während die Kopplungsstellen 66, 67 je mit einer Weichenschaltung 68 bzw. 69 verbunden sind.
Diese Weichenschaltungen 68, 69 dienen dazu, unabhängig von der Durchflussrichtung, die aus der Stromquelle 164 stammende Speisegleichspannung von den den Weichenschal tungen 68, 69 zugeführten Impulsen zu trennen, und die Impulse ihrerseits in positive Impulsinformation und negative Taktimpulse aufzuteilen. Die Stammleiter 70, 71 sind je mit drei elektronischen Zeit-Multiplex-Schaltern 72, 74, 76 bzw.
73, 75, 77 verbunden, die trägerseitig von den aus der Programmsteuerung 16 stammenden Leitungen 14, 36 bzw. 24 und stationsseitig von den aus der Programmsteuerung 23 stammenden Leitungen 27, 29 bzw. 25 angesteuert sind. Es versteht sich, dass jeweils ein trägerseitiger und ein stationsseitiger Zeit Multiplex-Schalter gleichzeitig geschlossen sind, während die übrigen offen sind. Die Paarung der jeweils gleichzeitig geschlossenen Schalter ist im vorliegenden Falle in zeitlicher Reihenfolge die folgende: 72-73, 74-75 und 76-77.
In Fig. 8 ist schematisch der zeitliche Ablauf von Identifikationsvorgängen anhand von Impulsdiagrammen dargestellt.
Jedes Impulsdiagramm nimmt eine links mit a bis q bezeichnete Zeile in Anspruch. Am rechten Ende der Impulsdiagramme sind drei Kolonnen angefügt. In der ersten Kolonne links ist mit der Bezugsziffer die Schaltgruppe angegeben, welche den auf der zugehörigen Zeile dargestellten Impulszug erzeugt, in der mittleren Kolonne mit der Bezugsziffer die Verbindungsleitung, die den Impulszug führt und in der rechten dritten Kolonne die Bezugsziffer des Teiles, der vom Impulszug angesteuert wird, bzw. diesen auswertet.
In der Zeile a sind die negativen Taktimpulse dargestellt, die der Taktgeber 19 erzeugt. Diese Impulse können eine verhältnismässig niedrige Frequenz von z. B. 10 000 Impulse/ sec. aufweisen. Wie bereits beschrieben steuert der Taktgeber 19 über Verbindungsleitungen 18, 21 die Programmsteuerungen 16, 23. In Zeile bist ein erstes, positives Ausgangssignal der Programmsteuerung 16 zu erkennen, welches den trägerseitigen Primärspeicher 12 dazu veranlasst eine erste Erkennungsinformation als positive Impulsfolge (Zeile c) abzugeben, die an die stationsseitige Geheimschaltung 31 gelangt und dort die erste stationsseitige Informationsfolge mitbestimmt (Zeile e) welche ihrerseits durch ein von der Programmsteuerung 23 erzeugtes Signal (Zeile d) freigegeben wird.
Die Programmsteuerung 16 gibt gleichzeitig ein identisches Signal (Zeile d) über Verbindungsleitung 36, 38 an die trägerseitige Geheimschaltung 20, 26 ab, die ihrerseits die erste trägerseitige Informationsfolge (Zeile f) abgibt. Diese beiden Informationsfolgen (Zeilen e und f) gelangen an den trägerseitigen Vergleicher 30, der bei Korrespondenz ein entsprechendes Signal (Zeile g) an die Torschaltung 34 abgibt und diese in Offenstellung ansteuert.
In einem dritten Zeitabschnitt werden die trägerseitige und die stationsseitige Geheimschaltung 20, 26 bzw. 31, 33 durch ein entsprechendes Signal (Zeile h) der zugeordneten Programmsteuerungen 16 bzw. 23 veranlasst, die zweiten Informationsfolgen (Zeilen i, j) abzugeben, die beide an den stationsseitigen Vergleicher 41 gelangen. Wenn die beiden zweiten Informationsfolgen wie in Zeilen i, j dargestellt, übereinstimmen, entsteht auf Leitung 47 am Ende dieses dritten Zeitabschnittes ein Gutsignal (Zeile k) und auf Leitung 49 kein Signal (Zeile 1).
In den Zeilen m-q sind die Vorgänge der Zeilen f, g, i, k und 1 wiederholt, wobei jedoch die erste trägerseitige Informationsfolge (Zeile m) nicht mit der ersten stationsseitigen Informationsfolge (Zeile e) übereinstimmt, so dass kein die Torschaltung 34 öffnendes Signal (Zeile n) entsteht, und an deren Ausgang dementsprechend die zweite trägerseitige Informationsfolge ausbleibt (Zeile o), worauf auf Leitung 49 kein Gutsignal (Zeile p), auf Leitung 47 aber ein Falschsignal entsteht.
Der Fachmann wird aus der bisherigen Beschreibung entnehmen können, dass praktisch alle Schaltelemente sowohl im Datenträger als auch in der Prüfstation als integrierte Schaltkreise ausgeführt werden können, da der gesamte Informationsaustausch in binär-digitaler Form und vorteilhafterweise sequentiell erfolgt.
In Figur 9 sind Einzelteile einer Ausführungsvariante dargestellt, bei der die Übertragung sowohl der Betriebsenergie als auch der Informationsfolgen sowie der Taktimpulse zwischen Datenträger 10 und Prüfstelle 11 auf drahtlosem Wege erfolgt.
Man erkennt sowohl auf der Seite des Datenträgers 10 als auch auf der Seite der Prüfstation 11 die Weichenschaltungen 68 bzw. 69 mit den zugehörigen Verbind,ungsleitungen 18 zu der Programmsteuerung 16 bzw. zum stationsseitigen Taktgeber 19 (vgl. Fig. 7) sowie die zu den Weichenschaltungen führenden Stammleiter 70 bzw. 71. Den Weichenschaltungen 68, 69 ist je eine drahtlose Duplex-Übertragungseinrichtung 80, 81 nachgeschaltet mit je einem Sendekanal 82 bzw. 83 und einem Empfangskanal 84 bzw. 85. Jeder der Sendekanäle 82 bzw. 83 ist mit einem von einem Oszillator 86 bzw. 87 getriebenen Modulator 88 bzw. 89 versehen, an den sich ein Sendeverstärker 90 bzw. 91 mit einer Sendeantenne 96 bzw. 97 anschliesst.
Jeder der Empfangskanäle 84, 85 ist mit einer Empfangsantenne 98 bzw. 99, einem daran anschliessenden Empfangsverstärker 94 bzw. 95 sowie einem Demodulator 92 bzw. 93 versehen.
Die Duplex-Übertragung kann mit zwei verschiedenen Übertragungsfrequenzen in Abhängigkeit der Übertragungsrichtung arbeiten, so dass die Übertragung in beiden Richtungen simultan erfolgen kann.
Da die Übertragung praktisch nur geringe Distanzen überbrücken muss, kann die Sendeleistung sehr gering gewählt und überdies können die Sende- und Empfangsantennen als Drahtschlaufen für induktive Übertragung ausgebildet sein, vorausgesetzt, dass deren Anordnung wie in Fig. 9 dargestellt, derart gewählt wird, dass sich bei angekoppeltem Datenträger 10 jeweils eine Sende- und eine Empfangsantenne im Ubertra- gungskanal gegenüberliegen.
Die Übertragung der Speiseenergie erfolgt in Figur 9 ebenfalls drahtlos, und zwar von der Prüfstation 11 aus, in der von einer nicht näher dargestellten Gleichspannungsquelle aus der ein Wechselrichter 101 gespiesen wird, der die Primärspule
103 eines Übertragers speist, dessen Sekundärspule 102 im Datenträger 10 angeordnet ist und an einen Gleichrichter 100 angeschlossen ist.
Anhand der Figur 10 ist nachstehend eine erste Ausführungsform von Geheimschaltungen erläutert. In der Geheimschaltung 31 der Prüfstation 11 ist im wesentlichen ein elektronischer digitaler Chiffrierrechner 105 und der Geheiminformationsspeicher 33 enthalten.
Es soll hier kurz auf die prinzipiellen Eigenschaften eines solchen Chiffrierrechners eingegangen werden:
Ein Chiffrierrechner arbeitet mit einer Taktfrequenz, welche in unserem Beispiel über die Leitungen 29, 27 und 25 von der Programmsteuerung 23 (Fig. 7) zugeführt wird. Auf den Chiffrierrechner wirken Eingangsinformationen, in unserem Beispiel die Information aus dem Geheimspeicher und die aus dem Primärspeicher 12 über Verbindungsleitung 35 anfallende Information. Aus diesen Eingangsinformationen errechnet der Chiffrierrechner mit Hilfe einer inneren Rechenschaltung, welche unter anderem auch eine grössere Anzahl von Speicherstellen sowie auch Rückkopplungsschaltungen enthält, eine Ausgangsinformation, im vorliegenden Beispiel ein Chiffrierprogramm, das auf der Verbindungsleitung 107 anfällt.
Nachstehend sollen einige bekannte Eigenschaften eines Chiffrierrechners aufgezählt werden, die dem Spezialisten ohnehin geläufig sind, und dem Durchschnittsfachmann Hinweise zum inneren Aufbau geben:
Ein Chiffrierprogramm hat pseudostatistische Eigenschaften und ist von einem richtigen Zufallsprogramm nicht zu unterscheiden, und zwar ungeachtet der Art der Eingangsinfor mation.
Auch bei kurzer Periodendauer der Eingangsinformation kann die allfällige Wiederholungsperiode des Chiffrierpro gramms sehr lang sein.
Ein Programmabschnitt des Chiffrierprogramms hat mit einem späteren Programmabschnitt daher keine erkennbare
Korrelation, und aus der Kenntnis des einen Programmab schnittes kann der andere Programmabschnitt nicht errechnet werden. Dies gilt auch, wenn für beide Programmabschnitte die gleiche, zu einem früheren Zeitpunkt eingegebene Eingangsin formation wirksam war.
Für gleiche Eingangsinformationen ist das Chiffrierpro gramm ebenfalls gleich und für verschiedene Eingangsinforma tionen verschieden (Reproduzierbarkeit).
Aus dem Chiffrierprogramm kann, selbst bei genauer
Kenntnis der Schaltung des Chiffrierrechners, die Eingangsin formation nicht errechnet werden. So kann also aus der
Kenntnis des Chiffrierprogramms z. B. die Geheiminformation des Geheimspeichers 33 nicht ermittelt werden.
Wenn bekannt ist, dass einer bestimmten Eingangsinforma tion ein bestimmtes Chiffrierprogramm entspricht, so kann von einem anderen Chiffrierprogramm die zugehörige andere
Eingangsinformation nicht errechnet werden.
Auch bei Verwendung einer einzigen Information aus dem
Geheimspeicher 33 als Eingangsinformation, können durch
Hinzufügen von nicht geheimen zusätzlichen Eingangsinforma tionen wie z.B.
- die Information aus dem trägerseitigen Primärspeicher 12 (Fig. 6) - Information des Zufallsgenerators 51 (Fig. 6) - Digitale Zeitinformation aus der Uhr 53 (Fig. 6) praktisch beliebig viele verschiedene Chiffrierprogramme erhalten werden, welche eindeutig den Eingangsinformationen zugeordnet sind, aus welchen allen sich aber die Information aus dem Geheimspeicher 33 nicht ermitteln lässt.
Bei Kenntnis eines Teiles der Eingangsinformation und
Kenntnis des Chiffrierprogramms und Kenntnis der Chiffrier rechnerschaltung kann der Rest der Eingangsinformation, z.B.
die aus dem Geheimspeicher 33 stammende Information nicht errechnet werden.
Mit einem bestimmten Informationsumfang der Eingangsin formation lässt sich ein viel grösserer Informationsumfang des Chiffrierprogramms erzielen. Man kann z. B. mit 102 Bit
Eingangsinformation ohne weiteres 105 Bit Chiffrierprogramm erzielen.
Alle diese Eigenschaften machen den Chiffrierrechner hervorragend geeignet für die Verwendung in der vorliegenden
Identifikationseinrichtung. Beispiele von Chiffrierrechnern sind in den Schweizer Patenten 408 109 und 411 983 beschrieben.
Die Wirkungsweise der Geheimschaltung 31 der Prüfstation
11 in Figur 10 ist wie folgt:
In einem ersten Zeitabschnitt wird durch Steuerungen über die von den Programmsteuerungen 16, 23 stammenden Leitungen 14 (Fig. 10), bzw. 27 sowohl die Information des Primärspeichers 12 über Leitung 35 als auch die Information des Geheimspeichers 33 in den Chiffrierrechner 105 eingespiesen. Dabei wird gleichzeitig ein gewisses Chiffrierprogramm produziert, welches zunächst nicht verwendet wird.
Über eine Leitung 109 kann die Information aus dem Primärspeicher 12 auch auf den Geheimspeicher 33 geführt sein und einen selektiven Abruf von gespeicherter Information gestatten.
In einem zweiten Zeitabschnitt wird durch Steuerung über Programmleitung 29 die Ausgabe des Chiffrierprogramms bewirkt, welches als erste stationsseitige Informationsfolge über
Verbindungsleitung 107 zu der Leitung 37 und zum Verglei cher 30 (Fig. 6, 7) des Datenträgers 10 gelangt.
In einem dritten Zeitabschnitt wird durch Steuerung über
Programmleitung 25 die weitere Ausgabe des Chiffrierpro gramms bewirkt, welches nun als zweite stationsseitige Infor mationsfolge über Leitung 107 der Leitung 39 zum stationssei tigen Vergleicher 41 gelangt.
Sowohl für die Erzeugung der ersten als auch der zweiten stationsseitigen Infprmationsfolge ist, ausser dem Ablaufgesetz des Chiffrierrechners, die in dem ersten Zeitabschnitt in den
Chiffrierrechner eingegebene Eingangsinformation, d. h. die
Information des Primärspeichers 12 und die Information des
Geheimspeichers bestimmend.
Trotzdem haben die beiden Informationsfolgen miteinander keine erkennbare Korrelation und aus Kenntnis des einen
Programms kann das andere nicht errechnet werden, wie bereits erwähnt wurde.
Der Aufbau und die Wirkungsweise der Datenträger
Geheimschaltung 20 ist folgende:
In der Schaltung sind enthalten: - Der trägerseitige Geheimspeicher 26 mit zwei Speicher teilen 104 und 106.
- Eine Memo-Zahl-Eingabevorrichtung 108.
In vielen Fällen kann zwar auf eine Memo-Zahl-Eingabe vorrichtung verzichtet werden. In diesen Fällen würde dann die
Ausgangsleitung 110 aus dem Speicherteil 104 direkt mit der
Leitung 28 verbunden, und dieser Fall soll vorerst beschrieben werden:
Im Speicherteil 104 ist als Geheiminformation die erste trägerseitige Informationsfolge beliebig oft abrufbar gespei chert, welche mit der ersten stationsseitigen Informationsfolge identisch ist.
Im Speicherteil 106 ist als Geheiminformation die zweite trägerseitige Informationsfolge gespeichert, welche mit der zweiten stationsseitigen Informationsfolge identisch ist.
Während des zweiten Zeitabschnittes, der im Zusammen hang mit den Vorgängen der Prüfstation erwähnt wurde, wird durch Steuerung über die Leitung 38 die erste trägerseitige
Informationsfolge aus dem Speicherteil 104 abgerufen und an die Leitung 28 und damit an den trägerseitigen Vergleicher 30 abgegeben, und zwar synchron mit der Abgabe der ersten stationsseitigen Informationsfolge aus dem Chiffrierrechner
105 auf Leitung 37 an den Vergleicher 30.
Wie bereits beschrieben, wird die Ausgangsleitung 40 des
Vergleichers 30 (Fig. 6) bei übereinstimmenden ersten lnformationsfolgen auf Binär- 1 geschaltet und die Torschal tung 34 (Fig. 6) geöffnet.
In dem dritten Zeitabschnitt wird, durch Steuerung über
Programmleitung 24 die zweite Trägerseitige Informationsfolge aus dem Speicherteil 106 abgerufen und an eine Leitung 32 an die (nun geöffnete) Torschaltung 34 und über diese weiter an die
Vergleicherschaltung 41 (Fig. 6) abgegeben und zwar gleichzei tig und synchron mit der zweiten stationsseitigen Informationsfolge aus dem Chiffrierrechner 105 über Leitung 39, wobei an der Ausgangsleitung 47 des Vergleichers 41 bei übereinstim menden Informationsfolgen ein Gutsignal 1 als Kriterium für Identität erkannt und Richtig, erscheint, wie in Figur 3, Zeile k dargestellt.
Da als Eingangsinformation des Chiffrierrechners 105, ausser der für sämtliche Datenträger gemeinsamen Information des Geheimspeichers 33 auch die für jeden Datenträger individuelle Information des Primärspeichers 12 (welche z.B.
eine Personal-Nummer ist) wirksam ist, sind erste und zweite
Informationsfolgen und damit der Inhalt des Geheimspeichers 26 mit den Teilen 104 und 106 für jeden einzelnen Datenträger
10 verschieden von jedem anderen. Als Speicherteile 104 und
106 können z. B. programmierbare ROM-Speicher verwendet werden, welche vor der Ausgabe der Identitätsdatenträger mit Hilfe der Prüfstation mit den vom Chiffrierrechner 105 ausgegebenen ersten und zweiten Informationsfolgen programmiert werden, unter Verwendung der Information des Primärspeichers 12 des betreffenden Datenträgers 10.
In Figur 10 ist noch eine Memo-Zahl-Eingabevorrichtung 108 eingezeichnet. Diese Vorrichtung hat den bekannten Zweck, eine im Gedächtnis des Inhabers eines Datenträgers eingeprägte Zahl, die sogenannte Memo-Zahl, als Identifizierungsinformation mitzuverwenden. Die Memo-Zahl wird beispielsweise vor jedem Identifizierungsvorgang durch den Benützer eingegeben und nach jedem Identifizierungsvorgang (automatisch) gelöscht.
Die Memo-Zahl soll z.B. verhindern, dass ein durch Verlust in unbefugte Hände gelangter Datenträger noch sinnvoll verwendbar bleibt. Allerdings ist die Memo-Zahl für die Personenidentifizierung nur solange wertvoll, als sie nicht verraten wird.
Die Memo-Zahl, z.B. eine vierstellige Dezimalzahl, wird mit einer Tasteinrichtung 112 manuell eingegeben und in einem elektronischen Speicher 114 in binär codierter Form gespeichert. Während der Abgabe der in Speicherteil 104 gespeicherten Geheiminformation über Leitung 110 wird, durch Steuerung über Programmleitung 38 die Memo-Zahl über eine Leitung 116 abgegeben und in einem Modulo-2-Mischer 118 mit der Information des Speicherteiles 104 gemischt, und das Gemisch gelangt als erste trägerseitige Informationsfolge auf die Leitung 28.
Die Einrichtung kann so funktionieren, dass nach Ausgabe der Memo-Zahl diese im Speicher 114 automatisch gelöscht wird, oder dass sie gespeichert bleibt.
Die im Speicherteil 104 gespeicherte Information wäre an sich in diesem Falle um die Memo-Zahl abweichend von der ersten stationsseitigen Informationsfolge, was aber bei der Erstellung des Datenträgers 10 berücksichtigt und korrigiert werden kann. Bei nicht oder falsch eingegebener Memo-Zahl wird bei der Identifikation des Datenträgers auf falsch erkannt.
(Fig. 8, Zeile q)
Eine Memo-Zahl-Eingabevorrichtung wird im einzelnen später anhand der Figur 14 erläutert.
Die Figur 11 zeigt eine weitere Ausführungsvariante der Geheimschaltung 31 der Prüfstation, die z.B. mit der trägerseitigen Geheimschaltung 20 der Figur 10 zusammenarbeiten kann.
Bei dieser Ausführungsform ist kein Chiffrierrechner vorhanden. Für jeden der verschiedenen, individuellen, mit der Prüfstation prüfbaren Datenträger ist in der Geheimschaltung ein separater, zugeordneter Informationsspeicher 113 vorhanden, welcher in Fig. 11 z.B. für einen Datenträger Nummer (1) mit 1131, für einen Datenträger Nummer (2) mit 1132 und für einen Datenträger Nummer (n) mit 11 3kl bezeichnet ist. Der Speicherinhalt eines jeden solchen Speichers 113 entspricht dem Speicherinhalt des Speichers 26 des zugeordneten Datenträgers. So entspricht z. B. die linke Hälfte jedes der Speicher 113 dem Speicherteil 104 und die rechte Hälfte dem Speicherteil 106 in Figur 10 des zugeordneten Datenträgers, gegebenenfalls unter Berücksichtigung der Memo-Zahl, wie oben beschrieben.
Ein elektronischer Wählschalter 115, welcher in Figur 11 zur klareren Darstellung wie ein Wählschalter mit Schlatarm gezeichnet ist, aber in Wirklichkeit z. B. aus einem elektronischen Binärzähler-Multiplexer besteht, wird durch die vom Datenträger 10 stammende Information aus dem Primärspeicher 12, z. B. einer Personalnummer, auf den dem entsprechenden Datenträger zugeordneten Speicher 113 gestellt, wonach dann, zeitlich durch die Progrntnmleitungen 29 und 25 gesteuert, die erste stationsseitige Informationsfolge über Leitung 37 und die zweite stationsseitige Informationsfolge über Leitung 39 ausgegeben wird, welche mit den entsprechenden Informationsfolgen des zugeordneten Datenträgers im Vergleicher 30 bzw. im Vergleicher 41 verglichen werden.
Diese Ausführungsform hat den Vorteil, dass ein beliebiger, ausgewählter Datenträger markierbar und von der Prüfstation aus sperrbar ist, von welcher Möglichkeit z. B. bei Verlust eines Datenträgers Gebrauch gemacht werden kann.
Dieser Vorteil bedingt aber die Notwendigkeit, dass in der Prüfstation 11 für jeden der vorgesehenen n Datenträger ein zugeordneter Speicher 1131... 113" vorhanden sein muss.
Sowohl die Geheimschaltung 31 der Figur 10 als auch jene der Figur 11 haben die Eigenschaft, dass deren erzeugte Informationsfolgen (d. h. erste und zweite stationsseitige Informationsfolge) sowohl von Datenträger zu Datenträger verschieden (verschiedene Inhalte der Primärspeicher 12), jedoch für ein und denselben Datenträger 10 bei jedem neuen Identifizierungsvorgang gleich und konstant bleiben.
Würde es also Unbefugten gelingen, z. B. unter Ausnützung der elektromagnetischen Abstrahlung während des Identifizierungsvorganges, die geheimen ersten und zweiten Informationsfolgen zu ermitteln, so wäre es theoretisch denkbar, diesen speziellen Datenträger wenn auch mit grossem Aufwand, zu duplizieren. Bei gleichbleibenden Informationsfolgen ist also darauf zu achten, dass die Abstrahlung während des Identifizierungsvorganges auf ein Mindestmass herabgesetztwird, z.B. mit einem mit galvanischen Kontakten arbeitenden Übertragungskanal anstelle der drahtlosen Übertragung der Fig. 9.
Es ist aber zu beachten, dass auch bei gleichbleibenden Informationsfolgen eine eventuelle Zugänglichkeit zu diesen Informationsfolgen nur während des Identifikationsvorgangs (z. B. durch Abstrahlungs-Detektion), also örtlich in der Nähe der Prüfstation und nur während einer sehr kurzen Zeit möglich ist. Aus dem Datenträger allein ist nichts herauszubekommen, da dieser seine zweite Informationsfolge nur herausgibt, wenn vorgängig von der Prüfstation her die richtige erste Informationsfolge eingegeben wurde.
Um zu vermeiden, dass Unbefugte durch Eingabe eines sehr langen Zufallsprogramms anstelle der ersten Informationsfolge, irgendeinmal zufällig die richtige (welche die zweite Informationsfolge auslösen würde) finden, können entweder mit Leichtigkeit Sperren eingebaut werden (welche z. B. den Datenträger nach der Eingabe einer falschen ersten Informationsfolge von 10faches Länge irreversibel blockieren) oder die erste Informationsfolge kann so lange gewählt werden, dass ein zufälliges Absuchen praktisch ausgeschlossen ist. (Schon eine Länge von 64 Bits gibt eine Mannigfaltigkeit von gegen 1020).
In Figur 12 ist eine weitere Ausführungsform der stationsseitigen und trägerseitigen Geheimschaltungen 31 bzw. 20 dargestellt, in welcher in beiden Geheimschaltungen je ein identischer Chiffrierrechner 117 bzw. 120 enthalten ist.
Zum Unterschied von Figur 11 führt hier der elektronische Wählschalter 115 nicht direkt die ersten und zweiten Informationsfolgen, sondern ist als Eingang auf den Chiffrierrechner 117 geführt und erst der Chiffrierrechner-Ausgang liefert als Chiffrierprogramme die erste Informationsfolge auf Leitung 37 und die zweite Informationsfolge auf Leitung 39.
Zum Unterschied von Figur 10 führt bei der Geheimschaltung 20 des Datenträgers der Geheimspeicher 26 mit den Speicherteilep 104 und 106 nicht direkt zu der ersten und zweiten Informationsfolge, sondern dient als Eingang des Chiffrierrechners 120, an dessen Ausgang als Chiffrierprogramme die erste Informationsfolge auf Leitung 28 und die zweite Informationsfolge auf Leitung 32 abnehmbar sind.
Die Zuordnung der einzelnen Speicher 1131 bis 113" in Geheimschaltung 31 zu den Speicherteilen 104, 106 der einzelnen Datenträger 10 ist wie oben anhand der Fig. 10 und Fig. 11 beschrieben wurde. Integrierende Bestandteile des stationsseitigen Geheimspeichers 33 sind Speicherteile 1211 bis 121", in denen die individuellen Memo-Zahlen gespeichert sind, während in dem Datenträger mittels Tasteinrichtung 112 in den Speicherteil 114 eingebbar sind, der hier integrierender Bestandteil des trägerseitigen Speichers 26 ist.
Als Eingangsinformation der Chiffrierrechner 117 bzw. 120 dient hier der Inhalt des Primärspeichers 12, welcher über eine Leitung 123 ab der Leitung 35 auf den Chiffrierrechner 117 und über die Leitung 22 (vgl. Fig. 6) auf den Chiffrierrechner 120 geführt ist.
Als weitere Eingangsinformation der beiden Chiffrierrechner 117, 120 dient die im Zufallsgenerator 51 erzeugte und über die Torschaltungen 63 bzw. 54 zugeführte Zufallsinformation.
Diese als Binär-Impulsprogramm vom Zufallsgenerator 51 ausgegebene und z. B. mittels Rauschquelle erzeugte Zufallsinformation wird zu Beginn des Identifizierungsvorgangs, im ersten Zeitabschnitt durch die Programmleitungen 48 und 55 und die Torschaltungen 54 und 63 ausselektioniert und gelangt simultan und in identischer Form über die Torschaltung 54 an den Chiffrierrechner 120 und über die Torschaltung 63 an den Chiffrierrechner 117. Bei jedem neuen Identifizierungsvorgang wird im Zufallsimpulsgenerator 51 eine neue Zufallsinformation erzeugt, wodurch bewirkt wird, dass die ersten und zweiten Informationsfolgen auch bei vielmaliger Identifizierung des gleichen Datenträgers praktisch jedesmal verschieden sind.
(Theoretisch könnten sich die Zufallsinformationen zufällig einmal wiederholen. Bei einer Länge dieser Informationen von 100 Bit tritt dies indessen frühestens nach ca. 1030 Taktimpulsen auf.)
Auf diese Art kann ein Unbefugter durch Auswertung der Abstrahlungs-Information während des Identifizierungsvorgangs nichts erreichen, und eine Duplizierung der Datenträger ist verunmöglicht. Die allfällig durch Abstrahlung während eines Identifikationsvorgangs ermittelten Informationsfolgen nützen dem Unbefugten gar nichts, da sie das nächste Mal vollständig verschieden sind.
Damit wird eine drahtlose Übertragung zwischen Datenträger und Prüfstation auch ohne weitere Sicherheitsmassnahmen unbedenklich.
Anstelle der Zufallsinformation könnte auch eine mittels einer elektronischen Uhr (42, 53, vgl. Fig. 1) erzeugte, digitale Zeitinformation als zusätzliche Eingangsinformation für die Chiffrierrechner 120 bzw. 117 verwendet werden, was nachstehend anhand von Fig. 13 beschrieben wird.
Anhand der Fig. 13 ist nachstehend eine weitere Ausführungsform der Geheimschaltungen 20, 31 beschrieben.
Der obere Teil dieser Geheimschaltungen entspricht weitgehend den Ausführungsformen der Fig. 10, wobei allerdings die Ausgangsleitung des Speicherteils 106 und des Modulo-2-Mischers 118 sowie die beiden identische Information führenden Ausgangsleitungen des Chiffrierrechners 105 nicht die Ausgabeleitungen für erste und zweite Informationsfolgen sind. Sie sind bei diesem Beispiel Eingabeleitungen für die unter sich identischen Chiffrierrechner 120 bzw. 117, und erst am Ausgang dieser Chiffrierrechner sind die die ersten und zweiten Informationsfolgen führenden Leitungen 32 und 28 bzw. 37 und 39 angeschlossen.
In der Geheimschaltung 31 der Prüfstation 11 sind also zwei Chiffrierrechner vorhanden, nämlich der Hauptchiffrierrechner 105 und der Chiffrierrechner 117, während in der Geheimschaltung 20 des Datenträgers 10 nur der Chiffrierrechner 120 vorgesehen ist.
Die Chiffrierrechner 117 und 120 haben den Hauptzweck, zusammen mit Zufallsinformation oder im vorliegenden Fall mit digitaler Zeitinformation die Variabilität der abgegebenen Informationsfolgen zu bewirken. Das erforderliche Geheimhaltungsniveau dieser Chiffrierrechner ist relativ klein und sie können deshalb einfach und billig aufgebaut werden. Dagegen ist der Hauptchiffrierrechner 115 für grossen Geheimhaltungsgrad ausgebaut und weist eine komplexere Schaltung auf, was jedoch wirtschaftlich kaum in Gewicht fällt, da er nur in der Prüfstation vorkommt.
Zur Erzielung der Variabilität der ersten und zweiten Informationsfolgen werden in Fig. 13, wie bereits angetönt, digitale Zeitinformation aus den elektronischen Uhren 43 und 42 verwendet.
Die Zeitinformation kann von der Prüfstation auf den Datenträger übertragen, oder aber in de'n beiden Teilen 10 und
11 selbst erzeugt werden. Das letztere ist dann vorteilhaft, wenn der Datenträger 10 als Armband ausgebildet ist und die Uhr zugleich als Armbanduhr für den Inhaber dienen kann.
Die Zeitinformation wird durch die Programmleitungen 48 und 55 ausselektioniert und gelangt über die Torschaltungen 46 bzw. 59 als Eingangsinformation auf die Chiffrierrechner 120 und 117.
Die Zeitinformation kann auch zur Bildung von sogenannten Zeitfenstern dienen, d. h. zu Bildung von Zeitintervallen, während welchen allein die Identifizierung möglich ist. An der Prüfstation wird die Zeit fest eingestellt, z. B. auf 14 Uhr 20 Min. Wenn angenommen wird, dass nur die Stundenangabe sowie die Zehnerstelle der Minutenangabe für die Informationen signifikant ist, kann ein Datenträger dann nur zwischen 14 Uhr 20 und 14 Uhr 30 identifiziert werden, so dass die Einrichtung auch als zeitabhängiges Sicherheitsschloss verwendet werden kann.
Die in den beschriebenen Beispielen getrennt gezeichneten Speicherteile 104 und 106 können natürlich auch aus einer einzigen integrierten Schaltung bestehen.
Nach jedem Identifizierungsvorgang werden die Chiffrierrechner 120 und 112 durch eine nicht gezeichnete Rückstelleinrichtung bekannter Art in den Anfangszustand zurückgestellt, d.h. auf Nullstellung gebracht.
In der Ausführungsform von Fig. 13 könnte ein Teil des stationsseitigen Geheimspeichers 33, ähnlich wie bei Fig. 12 den einzelnen Datenträgern zugeordnet, und ein weiterer Teil, ähnlich wie bei Fig. 10, für alle gemeinsam sein, wodurch ein grosser Geheimhaltungsgrad erzielbar wäre.
Für die Sicherung der Informationsübertragung muss nur minimaler Aufwand getrieben werden (z.B. 1 Parity-bit pro Informationsfolge), da einerseits die zu erwartenden Störungen gering sind und anderseits bei einem gestörten Identifizierungsvorgang dieser in Sekundenschnelle wiederholbar ist.
Im Datenträger sind die geheimzuhaltenden und auch für die Besitzerperson unzugänglich zu bleibenden Elemente die Geheimschaltung 20 samt Geheiminformationsspeicher 26, der Vergleicher 30, die Torschaltung 34 und, soweit vorhanden, der Betragsspeicher 56, die Torschaltungen 62, 64 sowie deren gegenseitige Verbindungen, wie in Fig. 6 mit der gestrichelten Linie 66 angegeben.
Oft ist es wünschbar, dass ein Datenträger in verschiedenen Organisationen, z. B. in einem Supermarkt, einer Bank, einem Arbeitsplatz, einer Behörde als Identifizierungsmittel einsetzbar sein soll. Würde man beispielsweise das Ausführungsbeispiel von Fig. 10 wählen, so hätten sich diese Organisationen auf eine gemeinsame, für alle gleiche, im Speicher 33 gespeicherte Geheiminformation sowie auf einen gemeinsamen gleichen Chiffrierrechner 105 zu einigen.
Das Ausführungsbeispiel von Fig. 15 zeigt eine zweckmässige Anpassung der Vorrichtung gemäss Fig. 10 zur Identifizierungsverwendung in z. B. drei Organisationen, wobei die zu den Organisationen gehörenden Schaltungselemente mit ein-, zweibzw. dreifach gestrichenen Bezugsziffern bezeichnet sind.
In Figur 15 sind alle für die Erläuterung nebensächlichen Schaltungsteile weggelassen. Der Datenträger 10 ist identifizierbar in den Prüfstationen 11' und 11" sowie in einer weiteren nicht dargestellten Prüfstation. Die Prüfstationen enthalten voneinander verschiedene, in den Geheimspeichern 33', 33" gespeicherte Geheiminformationen, was durch die verschiedene Schraffierung angedeutet ist. Die drei Prüfstationen weisen auch verschiedenartige Chiffrierrechner 105' und
105" auf. Die ersten Informationsfolgen sind voneinander verschieden, ebenso die zweiten Informationsfolgen. In der
Geheimschaltung 26 des Datenträgers sind die Geheimspeicherteile 104 und 106 aus je 3 Teilspeichern aufgebaut. Welche je folgende Geheiminformationen enthalten:
104' enthält die 1. Informationsfolge für die 1. Organisation
104" enthält die 1.
Informationsfolge für die 2. Organisation
104"' enthält die 1. Informationsfolge für die 3. Organisation
106' enthält die 2. Informationsfolge für die 1. Organisation
106" enthält die 2. Informationsfolge für die 2. Organisation
106"' enthält die 2. Informationsfolge für die 3. Organisation
Diese gespeicherten Informationen sind durch die Chiffrierrechner als Chiffrierprogramme mit den zugeordneten, und in Fig. 15 gleich schraffierten Geheiminformationen als Chiffrierrechner-Eingangsinformationen entstanden. Deshalb lassen sich, auch bei voller Kenntnis der im Datenträger in den Speicherteilen 104 und 106 gespeicherten Geheiminformationen keine Rückschlüsse auf den Inhalt der einzelnen Geheimspeicher 33' und 33" der Prüfstation 11', 11" der verschiedenen Organisationen ziehen.
Während eines Identifizierungsvorganges in einer der drei
Identitätsprüfeinrichtungen gelangen nacheinander die drei ersten Informationsfolgen aus den Speicherteilen 104', 104" und 104"'. Die erste stationsseitige Informationsfolge gelangt dreimal nacheinander (da drei Organisationen in Betracht gezogen sind) ebenfalls auf den Vergleicher 30, damit sie mit allen drei Geheiminformationen des Speicherteiles 104 verglichen werden können. Wenn bei einem der drei Vergleiche Informationsgleichheit festgestellt wird, wird am Ausgang 40 des Vergleichers 30 ein Binär- 1 erscheinen, und die Torschaltung 34 wird geöffnet.
Danach gelangen die drei Geheiminformationen als zweite trägerseitige Informationsfolgen aus den Teilspeichern 106', 106" und 106"', auf einen der Vergleicher 41 41" wo sie nacheinander mit der dreimal zur Verfügung gestellten zweiten stationsseitigen Informationsfolge verglichen werden. Wenn bei einem der drei Vergleiche Informationsgleichheit festgestellt wird, wird die Gutleitung 47 der entsprechenden Prüfstation auf Binär- 1 gestellt und die Identifikation als erkannt und richtig bewertet. Um die ersten und zweiten stationsseitigen Informationsfolgen dreimal nacheinander auf die Vergleicher 30 bzw.41 41" usw. führen zu können, sind mehrfach abrufbare Speicher 131' und 131" bzw. 133' und 133" vorgesehen.
Anstatt bei jedem Identifizierungsvorgang die Datenträgerinformationen nacheinander mit den Informationen der Prüfstation zu vergleichen, könnte von dieser letzteren mittels an den Datenträger übertragener Selektionsinformation nur die, der betreffenden Prüfstation zugeordnete Geheiminformation ausselektioniert werden, wonach der Vergleich nur mit der ausselektionierten Information durchgeführt wird.
Natürlich können mehr als zwei oder drei verschiedene Prüfstationen vorhanden sein.
Der Zeitbedarf für einen Identifizierungsvorgang kann leicht unter 1/10 sec. gehalten werden. Sogar bei einer relativ niedrigen Taktfrequenz von z. B. 10 000/sec. und einer Übertragungsrate von 10 000 bit/sec. und bei Verwendung von Datenträgern, welche in fünf verschiedenen Organisationen anwendbar sein sollen, d. h. die mit fünf verschieden programmierten Prüfstationen prüfbar sein sollen, beträgt die Zeitdauer des Identifizierungsvorganges: Information aus Primärspeicher 12 x 64 bit 6,4 msec.
5 mal erste Informationsfolge 5 x 64 bit 32 msec.
5 mal zweite Informationsfolge 5 x 64 bit 32 msec.
Total ca. 70 msec.
Dass eine Duplizierung der Trägerseitigen Information durch Ausprobieren praktisch ausgeschlossen ist, dürfte folgendes Beispiel erklären:
Eine Länge der ersten Informationsfolge von z. B. 128 bit ergibt über 1030 Variationsmöglichkeiten. Das zufällige Auffinden der richtigen Informationsfolge, selbst bei einer hohen Taktfrequenz von 108/sec. würde noch durchschnittlich 1022 sec. dauern, was mehr als 1014 Jahren entspricht.