FR 2493564 A1 19820507 FR 8120410 A 19811030 L'invention concerne un élément d'identifica- tion, en particulier pour des cartes d'identification et des supports d'informations semblables, contenant en plus des informations générales un code d'identification qui est comparé à un code qui est, par exemple, introduit ma- nuellement pour fournir une information de"oui"ou de"non" pour chaque utilisation du support d'informations. Les éléments d'identification du type mention- né plus haut sont incorporés sous forme de circuits in- tégrés dans les cartes d'identification et les supports d'informations semblables, ce qui a conduit récemment à les utiliser de plus en plus dans les opérations moné- taires et de service automatiques. Afin que seul le pro- priétaire de la carte d'identification puisse l'utiliser, l'élément d'identification contient un code confidentiel connu seulement de lui et ayant, par exemple, la forme d'un numéro à quatre chiffres, qui est comparé à un nu- méro introduit par un terminal approprié par l'utilisa- teur à chaque utilisation de la carte. La carte d'iden- tification ne peut être effectivement utilisée, par exem- ple, pour retirer de l'argent d'un compte, que lorsque les suites de caractères des deux numéros sont identi- ques. Si une carte prévue avec ce type d'élément d'i- dentification est volée ou perdue, un fraudeur habitué à ce matériel a fondamentalement la possibilité de véri- -fier le code confidentiel en essayant toutes les possi- bilités de code en peu de temps à l'aide d'un programme approprié et conformément à des fréquences de cycle éle- vées, et d'évaluer la réaction de la carte d'identifica- tion au code correct. Le fraudeur profite du fait que le code n'est constitué habituellement que de quelques caractères, comme il doit être facile à retenir par l'u- tilisateur. Pour cette raison, on a déjà proposé que la possibilité de fraude mentionnée plus haut soit éliminée par ce qu'on appelle un compteur d'erreurs ( voir les brevets US-PS 3 906 460 et DE-OS 26 21 271). Le compteur d'erreurs enregistre chaque code qui est incorrectement introduit et empêche une communication et/ou détruit l'arrangement dès qu'un certain nombre prédéterminé d'erreurs est atteint. En comparaison du nombre de pos- sibilités de code le nombre d'erreurs permises est pour cela établi si bas que le fraudeur n'a pratiquement au- cune chance de trouver le code exact, tandis que par ailleurs le propriétaire légitime est autorisé à commet- tre quelques erreurs par inadvertance pendant toute la durée utile de la carte. Les erreurs doivent être enre- gistrées de telle sorte que chaque valeur soit retenue même dans un état non à jour et ne puisse être manipu- lée. Conformément au brevet DE-OS 26 21 271 des mémoires dites permanentes sont ainsi proposées comme compteurs d'erreurs, celles-ci ayant la forme la plus sûre de mé- moire irréversible possible au moyen de mémoires dites mémoires mortes programmables PROM, pour lesquelles des conducteurs plats sont brûlés pendant la mémorisation du programme. Cependant, les mémoires permanentes connues jusqu'à maintenant ont la caractéristique que, pendant l'opération de mémorisation consistant par exemple, com- me on l'a mentionné, à brûler des conducteurs plats,une consommation d'énergie accrue se produit nécessairement pendant une période de quelques millisecondes,ce qui of- fre de nouvelles possibilités de manipulation de ce ty- pe d'élément d'identification. En observant la comsom- mation de courant de l'élément d'identification, un fraudeur pourrait empêcher l'opération de mémorisation quand une valeur supérieure est enregistrée en coupant le courant d'alimentation. Aussi on a déjà proposé dans le cadre du brevet DE-OS 26 21 271 de prévoir un cir- cuit de simulation qui simule une consommation d'éner- gie accrue chaque fois que le code est testé. Si un co- de incorrect est détecté, un circuit logique approprié bloque le circuit de simulation et déclenche l'opéra- tion de mémorisation avec une consommation de courant pratiquement constante. Cependant, il est apparu que dans la réalisa- tion de ce type de dispositif de protection les compteurs d'erreurs et tous les accessoires auxiliaires nécessai- rement connectés à ceux-ci impliquaient une complexité de circuits considérable qui s'opposait spécialement à l'effort de maintenir l'arrangement et/ou les tranches de semiconducteur pour l'arrangement mentionné plus haut aussi petit que possible. En outre, le compteur d'erreurs peut fortement réduire la durée de validité prévue de la carte d'identification, car des informa--- tions d'entrée incorrectes sont inévitables mêmie dans une utilisation légitime. Cela-est d'autant plus vrai quand l'utilisateur fait usage d'un automate distribu- teur d'argent très fréquenté et qu'il doit le faire fonc- tionner à la hâte et éventuellement observé par d'autres personnes. Le problème de la présente invention consiste donc à créer un élément d'identification du type mention- né qui empêche les possibilités de fraude mentionnées avec une complexité de circuits réduite de façon impor- tante et qui permette une utilisation plaisante par le propriétaire de la carte d'identification. Le problème est résolu selon l'invention avec un élément d'identification contenant au moins une hor- loge déclenchée par laquelle une communication avec l'é- lément peut être influencée pendant une période de temps prédéterminée suivant une entrée de code. L'idée de base de l'invention est de prévoir un élément fonction du temps isolé du reste du circuit de l'élément d'identification (horloge), selon laquelle l'élément d'identification est mis hors de fonctionne- ment pendant une certaine période de temps après une en- trée incorrecte, par exemple en bloquant la ligne d'en- trée d'informations. Cependant, il est également possi- ble d'utiliser une horloge en plus de ou indépendamment de la fonction définie en premier qui permet l'utilisa- tion de l'élément d'identification pendant un certain temps après une entrée de code sans une autre entrée de code. Quand l'horloge est utilisée comme un élément de blocage, il est sans importance pour son- fonctionnement que l'élément d'identification soit séparé de la source de courant après la détection d'une entrée incor- recte ou non. L'horloge est cependant construite en tout cas à l'intérieur de l'élément d'identification et elle est électroniquement isolée de manière à ce que la fonc- tion de blocage.ne puisse être ni retardée ni changée par un moyen extérieur. Une autre entrée de code et ain- si une autre communication ne sont possibles que lors- que les lignes d'.entrée d'informations sont ouvertes de nouveau après la fin de la pfriode de non-: fonctionnement. La période de nonfonctionnement est déterminée comme une fonction des permutations de code possibles du code sélectionné, de manière à ce qu'il soit pratique- ment impossible pour un fraudeur de trouser le code exact pendant la période prédéterminée de validité de la carte, ce qui élimine les possibilités de fraude mentionnées plus haut par une simple phase de technique de circuit, tandis que par ailleurs la période de validité prévue de la carte peut être exploitée sur toute son étendue. L'horloge selon l'invention peut également être utilisée avantageusement de manière à ce qu'un code qui est correctement introduit permette le fonctionnement de l'élément d'identification pendant une période prédéter- minée. Ainsi l'utilisateur est en mesure d'introduire un code, par exemple, au moyen d'un terminal de poche. même avant l'opération ellemême, sans être dérangé par d'autres personnes. Pour l'opération propre- ment dite faite, par exemple, par un distributeur auto- matique d'argent, l'entrée de code est ensuite superflue, de sorte que l'opération est déclenchée pendant la pé- riode prédéterminée par la simple intrdduction de d5élé- ment d'identification dans l'automate approprié. Cela rend impossible l'espionnage du code par des étrangers. Les fonctions mentionnées plus haut peuvent être utilisées autrement ou ensemble, quand deux horlo- ges sont prévues dans l'élément d'identification. D'autres caractéristiques et avantages de la présente invention seront mis en évidence dans la des- cription suivante, donnée à titre d'exemple non limita- tif, en référence aux dessins annexés dans lesquels: - La figure 1 est un schéma fonctionnel d'un élément d'identification avec une horloge selon la présente invention, - Les figures 2, 3, 4 sont des schémas d'exemples de réalisation de l'horloge de la figure 1, - La figure 5 est un schéma fonctionnel d'une disposition avecdeux horloges fonctionnant selon un mode d'opération complémentaire, et - La figure 6 est un schéma d'un exemple de réalisation modifiée de l'invention. La figure 1 représente à titre d'exemple la structure d'une horloge selon l'invention sous forme de schéma fonctionnel,telle qu'elle peut être contenue dans le circuit intégré d'un élément d'identification. L'horloge 1 de la figure 1 est constituée d'un élément de charge 3 sous la forme d'une unité de mémorisation de charge, et d'un élément de commande 4. L'élément de char- ge 3 est un condensateur dans le cas le plus simple, qui est chargé chaque fois qu'un signal lui est envoyé à partir d'un comparateur 5. Le comparateur 5 compare, par exemple, le code d'identification réel introduit par un clavier au code nominal d'identification mémorisé dans l'élément d'identification et produit un signal d'erreur quand les suites de caractères comparéesne sont pas iden- tiques. L'élément de commande 4 connecté à l'élément de charge 3 produit un signal de sortie quand le condensa- teur est chargé, la communication avec l'élément d'iden- tification pouvant être influencée par ce signal pendant une période prédéterminée. Cette influence peut se produire, par exemple, de manièr A A an " - signal de sortie,la ligne d'entrée d'informations de l'élément d'identification soit bloquée,de sorte qu'elle ne fonctionne pas pendant la période prédéterminée. L'horloge 1 qui est constituée des éléments 3 et 4 peut être réalisée par la technologie des circuits intégrés, par exemple, la technique des circuits à métal- oxyde-semiconducteur MOS. Cependant, on peut également utiliser la technique dite à "grille flottante", utilise pour la production de mémoires permanentes qui sont ef- façables en lumière ultraviolette ou bien électriquement. L'élément de charge 3 se compose dans ce cas d'une cel- lule de transistor à effet de champ FET à l'entrée de commande duquel est intégrée une "île" de charge isolée (grille flottante), par laquelle le seuil de commutation du transistor est modifié selon l'état de charge de "l'i- le". De cette manière, un élément de charge (cellule de mémoire) qui est chargé et programmé,peut être conçu pour conserver la charge et donc l'état logique pendant plusieurs années. Puisque le temps de décharge est es- sentiellement déterminé par le type et l'épaisseur de la couche isolante entourant l'île, on peut faire varier le temps de décharge en modifiant les paramètres de manière à ce qu'il soit adapté aux besoins sur lesquels l'inven- tion est basée. Des dispositions appropriées doivent être prises afin d'empêcher un effacement interdit de ce type d'élément de charge. Une cellule de mémoire qui est effaçable en lumière ultraviolette peut ainsi être re- couverte, par exemple, d'une substance qui absorbe les rayons ultraviolets. La substance recouvrant la cellule de mémoire est disposée de manière à ce que si elle est retirée,la cellule soit nécessairement détruite. La Figure 2 représente en détail un exemple de réalisation de l'invention. Dans ce-cas, l'impulsion d'erreur du comparateur 5 déclenche une porte 6 dont le signal de sortie atteint presque la tension d'alimenta- tion et permet de recharger un condensateur 7 par l'in- termédiaire d'une diode 8. Ce condensateur 7 est connecté à un amplificateur opérationnel 9 fonctionnant comme un adaptateur d'impédance, ayant une résistance d'entrée très élevée. Le'signal de sortie de l'amplifi- cateur opérationnel 9 est utilisé après inversion pour bloquer une porte d'entrée d'informations 10. Pour pouvoir trouver le code correct, un frau- deur doit attendre pendant toute la période de non-fonc- tionnement jusqu'à ce que l'élément d'identification puisse prendre de nouvelles informations pour effectuer une autre comparaison de codes. La période de non-fonc- tiornement est établie en fonction des permutations de code possibles de manière à ce qu'un fraudeur n'ait pra- tiquement aucune chance de trouver le code correct pen- dant la période de validité de l'élément d'identifica- tion. Pour cela, on peut établir l'équation suivante: Te = N. Ts ( années) 60. 24. 360 o Te est le temps de décodage (en années), Ts la pério- de de non-fonctionnement (en minutes) et N les-permuta- tions de code. Ces paramètres sont choisis conformément aux besoins de sécurité de manière à ce-que le temps de décodage soit, par exemple, un multiple plus ou moins grand de la période de validité de l'élément d'identifi- cation. La période de non-fonctionnement Ts est déter- minée principalement par la constante de décharge de l'horloge. Puisque les résistances de décharge concer.--t nées peuvent être choisies très élevées, on peut obtenir des périodes de décharge relativement longues même dans le cas de condensateurs ayant une capacité très petite. La période de non-fonctionnement effective après l'appa- rition d'un signal d'erreur peut donc être considérable- ment prolongée quand le seuil de commutation courant pour des modules logiques,est établi en conséquence à un niveau bas à l'aide d'un comparateur (non représenté) connecté à l'adaptateur d'impédance. D'autre part, la période de recharge est si courte,-en raison de la faible capacité du condensateur et de la basse résistance de recharge qui est essentiel- lement déterminée par la résistance transversale de la diode 8, qu'un fraudeur n'a pratiquement aucune chance d'interrompre l'opération dont il doit d'abord reconnai- tre le déclenchement. La détection de cette opération est aussi difficile car le courant de charge doit être isolé du courant d'alimentation générale, ce qui est du reste pratiquement impossible car le courant d'alimen- tation est aussi constamment sujet à des fluctuations de degré variable en raison des opérations qui sont con- tinuellement effectuées dans le circuit intégré. La Figure 3 représente un développement de l'hor- loge représentée sur la Figure 2. La ligne d'alimenta- tion du circuit de la Figure 3 est connectée à la masse du circuit par l'intermédiaire d'un autre condensateur 12 et d'une diode 13 connectée dans le sens non-conduc- teur. Ce condensateur 12 compense l'impulsion de courant se produisant dans la phase initiale de la recharge du condensateur 7, qui doit être théoriquement détestable en conséquence avec difficulté dans le circuit représen- té sur la Figure 2. D'autre part, la diode 13 empêche qu'un courant d'alimentation négatif influe sur le com- portement du circuit, c'est pourquoi la tension rési- duelle laissée pour la diode est compensée au moyen d'une diode 14. Un autre exemple de réalisation de l'horloge selon l'invention est représenté sur la Figure 4. Dans ce circuit une opération de recharge interne est déclen- chée dans le cas d'une erreur, ce qui n'a pas d'effet sur les conducteurs de connexion accessibles extérieure- ment de l'élément d'identification. Dans ce cas, un au- tre condensateur 15 est prévu en parallèle au condensa- teur 7 qui est rechargé par l'intermédiaire d'un commu- tateur 16 fermé à ce moment, quand le courant d'alimen- tation est appliqué à l'élément d'identification. Quand l'impulsion d'erreur se produit, elle met une bascule 17 à un, les-signaux de sortie de celle-ci ouvrant et fer- mant respectivement le commutateur 16 et un commutateur 18, de sorte qu'à partir de ce moment le condensateur 7 est chargé en déclenchant la période de non-fonctionne- ment. Pendant la recharge et pendant la durée de la pé- riode de non-fonctionnement, les condensateurs 7 et 15 sont isolés de la ligne d'alimentation, de sorte que ni l'opération de charge ni la durée de la période de non- fonctionnement ne peuvent être affectées. Quand la pé- riode de non-fonctionnement est passée, la bascule 17 est remise à zéro, de sorte que l'état précédent est ré- tabli. L'horloge selon l'invention telle que dans les exemples de réalisation représentés sur les Figures 2-4 peut aussi être utilisée pour maintenir la capacité de fonctionnement de l'élément d'identification pendant une période prédéterminée après qu'un signal de sortie de comparateur a été engendré. Un problème dans le traite- ment des 'éléments d'identification mentionnésplus haut est que l'entrée de code est exécutéepar l'automate dis- tributeur d'argent et peut donc être espionnée en prin- cipe par des étrangers. Cela est spécialement vrai quand les automates sont placés à des endroits très fréquentés. Pour cela, on a déjà proposé d'équiper l'élé- ment d'identification proprement dit d'un moyen d'entrée de code mécanique qui permet à l'utilisateur d'établir son code personnel indépendamment des automates. Cette mesure remplit sa fonction en principe, mais nécessite des moyens techniques relativement importants et ne peut pas bien être mise en oeuvre dans le cas d'éléments d'i- dentification sous forme de cartes d'identification ayant des dimensions prédéterminées. En outre, il s'est avéré un inconvénient que le code une fois établi puis- se être lu sur l'élément d'identification et être ainsi accessible à tout le monde. Ces difficultés peuvent être résolues dans le cadre de l'invention en utilisant l'horloge qui vient d'être décrite de manière à ce qu'un code correctement introduit permette le fonctionnement de l'élément d'iden- tification pendant une période prédéterminée. Dans ce cas, on peut utiliser pour l'entrée de code un terminal de poche personnel ayant la même conception que les cal- culatrices de poche utilisées actuellement. Ce disposi- tif peut aussi être utilisé pour connaître d'autres in- formations par l'élément d'identification, par exemple, quel est son compte à ce moment. Après avoir introduit le code correct à un endroit éloigné des automates dis- tributeurs d'argent publics, l'élément d'identification peut être conçu de cette façon pour fonctionner pendant une période prédéterminée, son fonctionnement pouvant être rendu détectable visuellement par un signal appro- prié sur le terminal de poche. Il n'y a ainsi plus de danger qu'une entrée de code puisse être espionnée à l'automate distributeur d'argent public. La capacité de fonctionnement de l'élément d'identification est suppri- mée automatiquement après que l'opération effectuée par l'automate distributeur d'argent est terminée. La Figure 5 représente une combinaison avanta- geuse des deux fonctions mentionnées de l'horloge selon l'invention. Chacunedes horloges de la Figure 5 est dé- clenchée de la manière décrite plus en détail quand un signal de oui se produit et quand un signal de non du comparateur se produit. Dans le cas d'un signal de non l'horloge 1 est déclenchée et la fonction de l'élément d'identification est bloquée pendant une période prédé- terminée. Dans le cas d'un signal de oui, une horloge 2 est par ailleurs déclenchée, ce qui maintient la capaci- té de fonctionnement de r1'élément d'identification pen- dant une période prédéterminée. Ainsi les mêmes opérations se produisent à l'in- térieur de l'élément d'identification indépendamment du signal de sortie du comparateur. Le fraudeur n'a donc 1l aucune chance de s'assurer de ou de manipuler la fonction de blocage de l'élément d'identification d'une manière ou d'une autre,car il ne peut pas tirer de conclusions sur l'actuelle décision du comparateur à partir des mo- difications des informations de traitement qui peuvent éventuellement se produire extérieurementaprès l'intro- duction d'un code. D'autre part, le propriétaire légiti- me peut déclencher la fonction voulue de l'automate en insérant simplement la carte après une entrée de code et sans autre entrée de code. Dans les exemples de réalisation de l'invention * mentionnes plus haut, l'élément d'identification est blo- qué après toute entrée de code incorrecte pendant une période prédéterminée. Afin de permettre des corrections à l'automate distributeur d'argent ou au terminal de po- che personnel, on peut prévoir une clé sur chaque dispo- sitif à l'aide de laquelle un code incorrectement intro- duit par erreur est annulé avant d'être définitivement traité dans le dispositif. La Figure 6 représente un exemple de réalisa- tion de l'invention qui offre une autre possibilité pour permettre des entrées de code incorrectes par inadver- tance.Dans ce cas, le blocage de l'élément d'identifica- tion n'a lieu qu'après la deuxième ou la troisième en- trée de code incorrecte qui est détectée par un compteur 20. Un commutateur de seuil 21-est aussi prévu pour blo- quer également l'élément d'identification quand la ten- sion d'alimentation tombe en-dessous d'une valeur prédé- terminée assurant le fonctionnement du compteur 20. De cette manière, un fraudeur ne peut effacer l'information de compteur en coupant la tension d'alimentation avant que l'information de compteur ait atteint le nombre d'er- reurs permises et puisse donc déclencher la fonction de blocage. Enfin, un circuit logique de commande 22 est également prévu pour engendrer un signal de lancement permettant un déclenchement de l'horloge quand le signal de sortie du commutateur de seuil 21 est présent. Ce si- gnal de lancement apparait immédiatement après-que l'é- lément d'identification a été soumis à la tension d'ali- mentation au commencement de l'opération, et disparait dès que le code correct a été introduit. De cette manière on est sûr que l'élément d'identification n'est pas blo- qué après une opération convenable quand la tension d'a- limentation est coupée. 24935C4 REVENDICATIONS 1. Elément d'identification, en particulier pour des cartes d'identification et des supports d'in- formations semblables, contenant avec des informations générales un code d'identification qui est comparé à chaque utilisation du support d'informations à un code qui est introduit, par exemple, manuellement, pour pro- duire une information de oui ou de non, caractérisé en qu'il contient au moins une horloge déclenchable (1,2) au moyen de laquelle la communication avec l'élément peut ètre influencée pendant une période prédéterminée suivant l'entrée de code. 2. Elément d'identification selon la revendica- tion 1, caractérisé en ce que ladite horloge déclencha- ble est un élément de blocage (1) qui empêche la commu- nication avec l'élément d'identification pendant une pé- riode prédéterminée suivant une entrée de code incorrecte. 3. Elément d'identification selon la revendica- tion 1, caractérisé en ce que l'horloge déclenchable est un élément de lancement (2) qui permet la communication avec l'élément d'identification pendant une période pré- déterminée suivant une entrée de code correcte. 4. Elément d'identification selon l'une quel- conque des revendications 2 et 3, caractérisé en ce qu'il contient un élément de blocage (1) ainsi qu'un élément de lancement (2) qui sont conçus pour fonctionner de fa- çon complémentaire. 5. Elément d'identification selon l'une quel- conque des revendications 1 à 4, caractérisé en ce que l'horloge (1,2) est constituée d'un élément de charge (3) et d'un élément de commande (4). - 6. Elément d'identification selon la revendica- tion 5, caractérisé en ce que ledit élément de charge (3) est un condensateur réalisé selon la technologie des cir- cuits intégrés. 7. Elément d'identification selon la revendica- tion 5, caractérisé en ce que l'élément de charge (3) est i4 une cellule de mémoire réalisée par la technique à "grille flottante". 8. Elément d'identification selon la revendica- tion 7, caractérisé en ce que l'élément de charge (3) est recouvert d'une couche absorbant les rayons ultraviolets qui entraîne nécessairement la destruction de l'élément (3) quand elle est retirée. 9. Elément d'identification selon l'une quel- conque des revendications 5 à 8, caractérisé en ce que l'élément de commande (4) est un amplificateur opératicn- nel (9) conçu comme un adaptateur d'impédance qui pro- duitt un signal de commande indépendamment de la charge de l'élément de charge (7). 10. Elément d'identification selon la revendi- cation 9, caractérisé en ce qu'une diode (8) connectée dans le sens conducteur est prévue dans le circuit de charge de l'élément de charge (7),celle-ci isolant l'é- lément de charge (7) dans un état de charge du circuit de déclenchement (5,6). 11. Elément d'identification selon l'une quel- conque des revendications 9 et 10, caractérisé en ce qu'un autre élément de charge (12) est prévu dans la li- gne d'alimentation de l'horloge (1,2), celui-ci compen- sant le courant de charge initial de l'élément de char- ge (7) affectant le signal de commande. 12. Elément d'identification selon llune quel- conque des revendications 9 à 11, caractérisé en ce que des diodes supplémentaires (13,14) sont prévues dans la ligne d'alimentation de l'horloge (1,2), celles-ci com- pensant l'influence d'une inversion de polarité de la tension d'alimentation. 13. Elément d'identification selon l'une quel- conque des revendications 9 et 10, caractérisé en ce qu'un autre élément de charge (15) est prévu en parallèle à l'élément de charge (7) affectant le signal de com- mande, cet élément (15) étant conçu pour être rechargé à chaque opération initiale de l'élément d'identifica- tion et pour perdre sa charge vers l'élément de charge 24935q f4 (7) affectant le signal de commande quand un signal d'erreur est engendré. 14. Elément d'identification selon l'une quel- conque des revendications 1 à 13, caractérisé en ce qu'il comprend en outre un compteur (20) pouvant être remis à zéro et conçu pour déclencher l'horloge (1,2) seulement après qu'un signal d'erreur ait été engendré plusieurs fois. 15. Elément d'identification selon l'une quel- conque des revendications 1 à 14, caractérisé en ce qu'il comprend en outre un commutateur de seuil (21) conçu pour déclencher l'horloge (1,2i quand la tension d'alimenta- tion tombe en-dessous d'une valeur prédéterminée. 16. Elément d'identification selon l'une quel- conque des revendications 1 à 15, caractérisé en ce qu'un terminal de poche est prévu pour exécuter l'entrée de code dans l'élément d'identification. 17. Elément d'identification selon la revendi- cation 16, caractérisé en ce que le terminal de poche permet d'engendrer un signal par lequel le fonctionne- ment de l'élément d'identification peut être rendu vi- sible.