FR 2674647 A1 19921002 FR 9103903 A 19910329 L'invention concerne un appareil formant chèque électronique pour réaliser des transactions financières, du type comprenant un bottier portant un clavier notamment alpha-numérique et un dispositif d'affichage ainsi qu'un dispositif connecteur pour le raccordement à un autre appareil ou terminal de transactions financières, et enfermant un dispositif micro-ordinateur comprenant un dispositif logique et arithmétique exécutant sous la commande d'un programme les opérations relatives aux transactions et impliquant un contrôle notamment de l'identité de l'utilisateur et du solde transférable, une mémoire de programmes stockant le programme à exécuter par le dispositif logique et arithmétique et une mémoire de données dans laquelle sont stockées les données relatives notamment au solde transférable et aux transactions financières déjà effectuées et en train d'exécution. L'invention concerne aussi un procédé d'utilisation de l'appareil selon l'invention. Des appareils connus du type précité présentent l'inconvénient majeur que la protection notamment contre leur utilisation frauduleuse est insuffisante. La présente invention a pour but de proposer un appareil formant chèque électronique qui pallie cet inconvénient des appareils connus. Pour atteindre ce but l'appareil formant chèquier électronique selon l'invention et caractérisé en ce qu'il comprend des moyens de désactivation du dispositif logique et arithmétique, à la suite d'un résultat de contrôle négatif, un dispositif de réactivation activable à la suite d'un tel constat et qui comporte un moyen comparateur et des moyens de mémoire associés à ce comparateur, inaccessibles à un utilisateur de l'appareil et adaptés pour stocker une clé de réactivation du dispositif logique et arithmétique, ainsi que des moyens d'interface d'entrée permettant au moyen comparateur de comparer la clé de réactivation stockée à une information externe, les moyens comparateurs produisant un signal de réactivation du dispositif logique et arithmétique lorsque l'information externe est identique à la clé de réactivation. Le procédé d'utilisation de l'appareil selon l'invention est caractérisé en ce que la clé de réactivation de l'appareil est inscrite dans la mémoire de réactivation par un agent initialisateur de l'appareil, qui donne celui-ci après son initialisation au titulaire utilisateur, et que la réactivation de l'appareil est effectuée par l'agent initialisateur qui applique l'information de réactivation externe au dispositif connecteur. L'invention sera mieux comprise, et d'autres buts, caractéristiques, détails et avantages de celle-ci apparatront plus clairement au cours de la description explicative qui va suivre faite en référence aux dessins schématiques annexés donnés uniquement à titre d'exemple illustrant un mode de réalisation de l'invention, et dans lequel - La figure 1 est une vue schématique en perspective d'un appareil formant chèquier électronique selon la présente invention - la figure 2 montre sous forme d'un schéma bloc le schéma électrique de l'appareil selon la figure 1 - la figure 3 donne l'organigramme de la séquence d'initialisation des registres de contrôle d'accès à l'appareil selon l'invention - la figure It donne l'organigramme logique du processus de contrôle d'accès et d'inactivation de l'appareil selon l'invention ; et - la figure 5 donne l'organigramme du processus de réactivation et de réinitialisation de l'appareil selon l'invention. Comme le montre la figure 1, un appareil formant chèquier électronique, selon l'invention se présente sous forme d'un bottier 1 de forme parallélépipèdique, qui porte essentiellement un dispositif d'affichage 2, un clavier par exemple alpha-numérique 3 (seulement la zone du clavier est indiquée) et des moyens connecteurs 4 pour la connexion de l'appareil à un autre appareil du même type ou un terminal compatible, en vu d'une transaction financière par exemple du type s'effectuant dans le cadre de l'achat ou de la vente d'un produit ou du paiement d'un service. L'appareil est portable et est équipé d'une source d'énergie électrique par exemple logée dans un compartiment indiqué en 5, prévu dans le botter.Le dispositif d'affichage, le clavier de commande et le dispositif de raccordement font partie de l'interface d'un dispositif micro-ordinateur disposé à l'intérieur du bottier et dont la structure est montrée sous forme d'un schéma bloc à la figure 2. Selon cette figure, le dispositif micro-ordinateur comprend un premier microprocesseur Mi qui comporte notamment des registres internes Ra à Rx t une mémoire "matricielle" Mm, une mémoire d'algorithmes de criptage et de décriptage Ma, un deuxième microprocesseur M2 auquel sont associés, comme dispositifs d'interface, le dispositif d'affichage 2, le clavier de commande 3 et les moyens connecteurs 4, une mémoire de programme Mp contenant le programme qu'exécute le microprocesseur M2 et une mémoire de données Md relative aux transactions financières réalisées auparavent et en cours d'exécution. Le microprocesseur M2 est relié par des bus bl et b2 au dispositif connecteur 4 et à la mémoire de données Md. Le dispositif micro-ordinateur comprend encore une mémoire bibliothèque de stockage de sous-programmes ou microprogrammes constituant les éléments qui constituent le menu du dispositif micro-ordinateur et dont les paramètres se trouvent dans la mémoire matricielle Mm. Le dispositif micro-ordinateur comprend en outre un sélecteur Si réalisé sous forme d'un multiplexeur bidirectionnel à trois états qui commute le bus de données et d'adresses b2 du microprocesseur M2 vers le bus b3 de la mémoire de programme Mp ou vers le bus b4 de la mémoire de bibliothèque de microprogrammes ou sous-programmes Mb.On constate en outre la présence de registres de communication B1 et B2 dans les bus bl et b2, par l'intermédiaire desquels le microprocesseur M2 peut communiquer avec le dispositif connecteur 4 et la mémoire de données Md. Un deuxième sélecteur S2 formant office d'un interrupteur et formé par une bascule bistable est prévu pour contrôler l'alimentation en énergie du microprocesseur M2. Le dispositif comprend encore un registre spécifique B3 qui relie le microprocesseur Mi au dispositif connecteur 4. Sur la figure 1, des lignes simples montrent des circuits de commande et de contrôle. On constate que les registres B1, B2 et B3 ainsi que les sélecteurs Si et S2 sont commandés par le microprocesseur M1. On décrira ci-après de façon plus détaillée les différents composants du dispositif micro-ordinateur qui vient d'être décrit. Les registres internes Ra à R x sont adaptés pour stocker des codes clé d'identification, de reconnaissance, de contrôle de codes d'accès, de définition des fonctionnalités et de destination de l'appareil. Certains resgistres tels que les registres Ra, Rb, Rm et R n dont la fonction sera décrite plus loin sont accessibles au titulaire de l'appareil pour l'inscription par exemple d'une clé d'identification A d'un utilisateur tiers auquel le titulaire a donné la permission d'utiliser l'appareil, du code d'accès B du titulaire, du montant et du nombre d'opérations qui définissent les limites des opérations permises à l'utilisateur précité.D'autres registres sont inaccessibles au titulaire de l'appareil et réservés exclusivement à des inscriptions du fabricant ou du distributeur de l'appareil qui est en général une institution bancaire appelée agent initialisateur. Dans le cadre de la présente invention, il est important que parmi les registres inaccessibles au titulaire ou à un utilisateur de l'appareil, figure un registre R. d'inscription d'une clé d'accès de réactivation ou réinitialisation de l'appareil. De façon générale, les registres internes sont utilisés pour les opérations de vérification de l'identité de l'utilisateur de l'appareil et du caractère autorisé des opérations. Le principe de ces opérations est connu en soi.Elles seront décrites plus en détail plus loin seulement dans la mesure où elles présentent certaines particularités dans le cadre de la présente invention ou nécessitent une description plus détaillée pour la compréhension de celle-ci. Les algorithmes de criptage/décriptage contenus dans la mémoire Ma sont partiellement câblés et permettent au microprocesseur Mi d'identifier et de traiter les messages, de contrôler le fonctionnement de l'ensemble et assurer la protection au travers du microprocesseur M2. La mémoire matricielle Mm contient les paramètres de programmation spécifique à la destination du dispositif, qui permettent au microprocesseur Mi de générer dans la mémoire de programmes Mp des programmes virtuels qui seront alors exécutés par le microprocesseur M2. La mémoire matricielle est structurée de façon à constituer une table de vérité. La mémoire de données Md est adaptée pour mémoriser dans l'appareil l'historique des opérations ou transactions déjà effectuées, y compris des données constituant des accusés de réception des transactions effectuées, comparables aux talons des chèquiers habituels, et complétés par les relevés d'identité bancaire des personnes avec lesquelles ces transactions ont été effectuées. Cette mémoire contient le solde, c'est-à-dire le montant dont dispose le titulaire de l'appareil. Le titulaire ou utilisateur de l'appareil a seulement accès à cette mémoire pour demander la visualisation de son contenu sur l'afficheur 2. Il est donc exclu que le titulaire puisse accéder à la mémoire pour modifier son contenu. Cette modification est réservée à des personnes spécifiquement autorisées comme par exemple l'agent initialisateur. Le microprocesseur M2 est adapté pour gérer l'afficheur 2, le clavier 3 et la mémoire de données Md via le registre B2. Il exécute les programmes générés par le microprocesseur Mi dans la mémoire Mp, le sélecteur Si commutant, sous la commande du microprocesseur M1, le bus de données et d'adresses b2 du microprocesseur M2 vers la mémoire de programme Mp ou vers la bibliothèque des microprogrammes. Le registre d'entrée/sortie B1 est un sérialisateur àsynchrone qui permet, sous le contrôle du microprocesseur M1, au microprocesseur M2 de communiquer avec l'extérieur au moyen du dispositif connecteur pouvant être du type galvanique ou opto-électronique. Le registre B2 est un registre tampon du type "trois états" qui, commandé par le microprocesseur M1, contrôle l'accès du microprocesseur M2 à la mémoire de données Md. Le registre B3 est un registre "série/parallèle" comportant un comparateur programmable, qui, placé en interface entre le connecteur 4 et le microprocesseur Mi n'est actif que pendant la période où le microprocesseur Mi est à l'état de "sommeil" à la suite d'un résultat négatif lors des contrôles ou vérifications de l'identité de l'utilisateur de l'appareil ou d'une transaction financière non autorisée, comme il sera décrit plus loin. En réponse à la constatation d'une anomalie comme celle qui vient d'être invoquée, dans le déroulement d'une transaction ou de façon générale d'une opération qu'effectue l'appareil, entranant la mise en sommeil du chèquier électronique, la clé de réactivation de l'appareil est transfére du registre R. du microprocesseur M1, dans une mémoire auxiliaire du registre comparateur programmable B3. Ce dernier est programmé pour comparer le contenu de cette mémoire auxiliaire aux messages appliqués aux connecteurs 4. La constation par le registre d'une concordance entre les données comparées conditionne le "réveil" du microprocesseur Mi et l'enclenchement de la procédure de réactivation de l'appareil, de la manière qui sera décrite plus loin. En se reportant à la figure 1, on décrira par la suite le principe de fonctionnement de l'appareil formant chèquier électronique selon l'invention. Cette description fait aussi apparatre la programmation sur laquelle est fondée le fonctionnement de l'appareil et la coopération des composants essentiels de ce dernier. Soit une fonction X sélectionnée à l'aide du clavier 3 parmi la multitude de fonctions que l'appareil est en mesure de réaliser. Le microprocesseur M2 identifie la fonction et la transmet par le bus b6 au microprocesseur M1. Ce dernier analyse la fonction et sélectionne les paramètres d'exécution dans la mémoire matricielle Mm. Les paramètres sélectionnés sont transférés dans la mémoire de programmes Mp via le bus b5. Le microprocesseur Mi initialise ensuite le microprocesseur M2 qui va alors exécuter le programme correspondant à la fonction X sous le contrôle dynamique du microprocesseur M1, au travers du sélecteur commutateur S1. Ce dernier commute le bus b2 du microprocesseur M2 entre les bus b3 et b4 respectivement de la mémoire de programme Mp et de la mémoire de bibliothèque Mb, pour permettre au microprocesseur M2 d'accéder aux microprogrammes définis par les paramètres d'instruction contenus dans la mémoire de programme. Le microprocesseur M2 matérialise l'exécution de la fonction par des messages transmis à l'afficheur 2 et visualisés celui-ci. Après l'exécution de la fonction, le programme est effacé de la mémoire de programme Mm par le microprocesseur M1. En se référant aux figures 3 à 5, on décrira plusieurs programmes spécifiques de l'invention, réalisables avec l'appareil proposé. L'organigramme de la figure 3 concerne un cas d'utilisation où le titulaire de l'appareil autorise une autre personne à utiliser cet appareil. A cette fin le titulaire inscrit dans un des registres Ra à R x du microprocesseur M1, à savoir le registre Ra, la clé d'accès A allouée à l'utilisateur, la clé d'accès B du titulaire se trouvant dans un autre registre repéré par Rb On inscrira également dans les registres appropriés tels que des registres Rm et R n les données qui définissent les opérations et les limites de celles-ci, dont l'exécution est autorisée à l'utilisateur. La figure 3 représente l'organigramme du programme d'initialisation des clés d'accès A et B et des limites d'autorisation du dispositif en usage "délégué". Le logiciel spécifique de contrôle d'accès a deux niveaux. A cette fin, le titulaire de l'appareil chèquier électronique inscrit à l'aide du clavier le code du programme moniteur pour lequel il souhaite inscrire les données, à savoir le programme de délégation. Le déroulement des différentes opérations qu'implique cette programmation, se réalisant sous forme d'un dialogue entre l'appareil et le titulaire, ressort clairement de la figure 3. D'abord, les registres Ra Rm Rn destinés à l'inscription respectivement de la clé A de l'utilisateur, du montant de la somme que ce dernier est autorisé à prélever et du nombre d'opérations autorisé à cette fin sont remis à zéro. Puis le titulaire inscrit la clé A sur le clavier, après avoir été invité par l'appareil. Cette clé est visualisée.Ensuite le titulaire inscrit le montant autorisé et le nombre d'opérations à effectuer, après avoir été invité chaque fois par l'appareil par l'intermédiaire de l'afficheur 2. Ces données seront chargées dans le registre Rm et R n Puis l'appareil demande l'inscription de la clé B qui est celle du titulaire. Après l'inscription de la clé B et ensuite la visualisation des clés A et B celles-ci sont chargées dans les registres Ra et Rb la programmation de l'appareil pour l'usage "délégué" prend fin avec renvoi la au programme moniteur. La figure 4 illustre sous forme d'un organigramme la désactivation de l'appareil, c'est-à-dire son verrouillage à la suite de la constatation d'une anomalie, lors des opérations de vérification qu'effectue l'appareil au cours de l'exécution d'une fonction ou d'un programme. L'organigramme de la figure 4 montre cette désactivation de l'appareil pour le cas où une des clés A ou B que l'utilisateur ou le titulaire de l'appareil a inscrites à l'aide du clavier dans le cadre de l'exécution par exemple d'une transaction financière n'est pas identique à la clé correspondante qui a été inscrite dans le registre Ra ou Rb auparavent. La première partie 1 de l'organigramme illustre la comparaison du code d'accès, c'est-à-dire de la clé A ou de la clé B à la clé mémorisée dans le registre du microprocesseur M1. Si l'appareil fonctionne en mode "délégué "la reconnaissance de la clé A entrante le transfert vers le programme usage contrôlé tel qu'il a été établi par exemple lors de l'initialisation du programme selon la figure 3. Si l'utlisateur est le titulaire de l'appareil, la reconnaissance de la clé B provoque le transfert vers le programme moniteur permettant l'accès à toutes les fonctions, pour la sélection de la fonction souhaitée. Lorsque la clé A ou B inscrite n'est pas identique à la clé mémorisée correspondante, l'appareil permet un certain nombre d'essais prédéterminés, par exemple trois.S'il n'y a pas de reconnaissance de clé après le troisième essai, l'appareil est désactivé ou verrouillé de la manière illustré en 2 sur la figure 4. Le sélecteur interrupteur Si est mis au repos, ce qui entraîne la coupure du circuit d'alimentation en énergie électrique du microprocesseur M2, de l'afficheur 2 et du clavier 3. Le microprocesseur M2 est isolé par la mise à l'état "haute impédance" des registres Bi et B2 et du sélecteur commutateur S1. Les mémoires sont mises en position "sommeil". Le registre comparateur programmable B3 est activé et la clé de réactivation est transférée du registre approprié du microprocesseur Mi dans la mémoire auxiliaire du comparateur programmable B3. Le programme moniteur du microprocesseur Mi est mis en statut HALT. La figure 5 illustre la réactivation de l'appareil. Celui-ci ne peut être remis en service que par un agent initialisateur qui est en général le distributeur l'appareil et qui est le seul à possèder la clé de réactivation. Le registre comparateur compare la clé reçu du dispositif de l'agent initialisateur au code clé de réactivation que par exemple cet agent avait inscrit initialement dans le registre R. et qui a été transféré dans la mémoire auxiliaire du comparateur lors de la mise en sommeil du microprocesseur M1. Si le comparateur ne constate pas d'identité entre la clé reçue et la clé mémorisée, l'appareil est maintenu à l'état de désactivation au moins pendant un certain temps par exemple pour une journée.S'il y a concordance, le registre P3 émet une impulsion "redémarrage" qui réactive ou réveille le microprocesseur Mi qui réactive à son tour l'interrupteur S2, ce qui rétablit le circuit d'alimentation en énergie électrique du microprocesseur M2, du clavier 3 et de l'afficheur 2. Le microprocesseur Mi désactive le registre B3 et réactive le registre B1. Le microprocesseur M2 demande l'envoi du code d'identification de l'agent initialisateur et le microprocesseur Mi compare ce code reçu à celui précédemment mémorisé dans le registre approprié lors de l'initialisation de l'appareil. Si les codes ne sont pas identiques, l'appareil reste désactivé pendant un délai de temps plus long, de par exemple 1 mois. S'il y a identité, le microprocesseur Mi remet à zéro tous ces registres internes et repositionne le programme moniteur du microprocesseur M2 en position initiale, c'est-à-dire dans la position d'attente du premier code d'accès, par exemple de la clé B. L'agent initialisateur réinitialise l'appareil en introduisant, le cas échéant, notamment de nouveaux messages et codes de contrôle. Le titulaire inscrit à son tour un nouveau code d'accès B. Après ces opérations, l'appareil formant chèquier électronique est à nouveau prêt à fonctionner. REVENDICATIONS 1. Appareil formant chèquier électronique pour réaliser des transactions financières, du type comprenant un boîtier portant un clavier notamment alpha-numérique et un dispositif d'affichage ainsi qu'un dispositif connecteur pour le raccordement à un autre appareil ou terminal de transactions financières, et enfermant un système micro-ordinateur comprenant un dispositif logique et arithmétique exécutant les opérations relatives aux transactions et impliquant un contrôle du caractère licite des transactions, une mémoire de programme stockant le programme à exécuter par le dispositif logique et arithmétique et une mémoire de données dans laquelle sont stockées les données relatives aux transactions financières, caractérisé en ce qu il comprend des moyens de désactivation du dispositif logique et arithmétique (M2), à la suite d'un résultat de contrôle négatif, un dispositif (B3) de réactivation activable à la suite d'un tel constat et qui comporte un moyen comparateur et des moyens de mémoire associés à ce comparateur, inaccessibles à un utilisateur de l'appareil et adaptés pour stocker une clé de réactivation du dispositif logique et arithmétique (M2), ainsi que des moyens d'interface d'entrée permettant au moyen comparateur de comparer la clé de réactivation stockée à une information externe, les moyens comparateurs produisant un signal de réactivation du dispositif logique et arithmétique (M2) lorsque l'information externe est identique à la clé de réactivation. 2. Appareil selon la revendication 1, caractérisé en ce qu'il comprend une source d'alimentation en énergie électrique du système micro-ordinateur et un organe interrupteur (S2) monté dans le circuit d'alimentation en énergie électrique du dispositif logique et arithmétique (M2), et en ce que le système micro-ordinateur comprend des moyens de commande de l'ouverture de l'interrupteur (52) lors d'un résultat de contrôle négatif et de fermeture de cet interrupteur à la suite du signal précité produit par les moyens comparateur du dispositif de réactivation (B3). 3. Appareil selon la revendication 2, caractérisé en ce que le dispositif logique et arithmétique (M2) est formé par un microprocesseur auquel sont associés le dispositif d'affichage (2) précité, le clavier (3) précité et le dispositif connecteur (4) précité, à titre de dispositifs d'interface, et un registre (B1) de communication du microprocesseur (M2) avec le dispositif connecteur (4), et en ce que le système micro-ordinateur comprend un autre microprocesseur (M1) adapté pour commander le registre de communication (B1), l'organe interrupteur (S2) précité et l'activation du dispositif de réactivation (B3) précité. 4. Appareil selon la revendication 3, caractérisé en ce que le microprocesseur (M1) comprend une mémoire matricielle (Mm) stockant l'ensemble des instructions de programme du système micro-ordinateur et est adapté pour générer dans le mémoire de programme (Mp), à partir des paramètres de la mémoire matricielle, des programmes d'exécution des différentes fonctions pouvant être réalisées par l'appareil. 5. Appareil selon la revendication 4, caractérisé en ce qu'il comprend une mémoire de bibliothèque (Mb) de stockage de microprogrammes associés à des paramètres stockés dans la mémoire matricielle (Mm), et en ce qu'un sélecteur commutateur (S1) est prévu pour commuter le bus de données et d'adresse (B2) du microprocesseur (M2) vers la mémoire de programmes (Mp) et la mémoire de bibliothèque (Mb). 6. Appareil selon l'une des revendications 2 à 5, caractérisé en ce que le microprocesseur (Mi) comprend des registres (Ra à Rx) dont certains sont accessibles au titulaire de l'appareil et dont les autres sont inaccessibles à celui-ci, la mémoire de la clé de réactivation constituant un des registres inaccessibles. 7. Procédé d'utilisation de l'appareil selon l'une des revendications 1 à 6, caractérisé en ce que la clé de réactivation de l'appareil est inscrite dans le registre de réactivation (Ri) par un agent initialisateur de l'appareil qui donne celui-ci après son initialisation au titulaire utilisateur, et que la réactivation de l'appareil est effectuée par l'agent initialisateur appliquant l'information de réactivation externe au dispositif connecteur (4). 8. Procédé selon la revendication 6, caractérisé en ce que l'agent initialisateur exécute après une réactivation de l'appareil, une opération de réinitialisation.