Heutzutage sind beliebig viele Anwendungsgebiete bekannt, bei denen eine Ereigniszählung stattfinden soll. Diese Ereignisse kann die Häufigkeit der Benutzung eines Gerätes, das Passie- ren von Personen oder Fahrzeugen oder Gegenständen, die Er- fassung eines Telefonzähltaktes, aber auch die Erfassung ei- ner Fahrleistung, sprich Kilometerzähler bei einem PKW oder Betriebsstundenzähler eines beliebigen Gerätes und nicht zu- letzt die erfaßte Arbeitszeit bzw. Anwesentheitszeit eines Arbeitnehmers an seinem Arbeitsplatz sein. All diese Fälle sind dadurch gekennzeichnet, daß sie mit möglichst hoher Ge- nauigkeit erfaßt werden, d. h. das in der Regel ein hoher Wertebereich von Zählwerten abgedeckt wird. Weiterhin ist bei den genannten Fällen in der Regel der Wunsch vorhanden, daß das Zählergebnis nicht manipulierbar, d. h. nicht rücksetzbar ist. Eine derartige Forderung läßt sich sicher mit einem ein- stufigen Zähler realisieren, der nur von seinem bisherigen Zählerstand aus aufwärts oder abwärts zählen kann. Dies läßt sich einfach beispielsweise mittels eines EEPROM realisieren, wobei dann für jeden Zählwert eine EEPROM-Zelle vorzusehen ist, und daß EEPROM entweder nur beschreibbar oder nur lösch- bar ist, je nachdem ob eine Aufwärts-oder Abwärtszählung vorgesehen ist.

Für die zuerst genannte Forderung, daß nämlich ein möglichst großer Wertebereich vom Zähler zu erfassen ist, führt dann zu dem Ergebnis, daß bei einer solchen Realisierung ein EEPROM- Speicher mit entsprechend vielen Speicherzellen vorzusehen ist. In Zahlen ausgedrückt heißt dies, daß zum Beispiel zum

Erreichen eines maximalen Zählerstandes von 255 genau 255 Zählerzellen benötigt werden. Nunmehr ist es jedoch heutzuta- ge üblich, derartige Anordnungen möglichst klein aufzubauen.

Die Verwendung eines mehrstufigen Zählers mit 8 Bit, d. h. 8 Zählerzellen führt ebenfalls zu einem maximalen Zählerstand von 255. Ein derartiger mehrstufiger Zähler (8-Bit- Binärzähler) weist jedoch den Nachteil auf, daß bei einer Veränderung der nächsten Zählerstelle die vorangegangene Zäh- lerstelle zurückgesetzt wird. Dies führt dazu, daß die Reali- sierung eines mehrstufigen Zählers, der nur in einer Richtung zählt und gleichzeitig nicht manipulierbar ist, nur sehr schwer realisierbar ist.

Aus der EP 0 321 727 ist eine Schaltungsanordnung beschrie- ben, bei der mehrere EEPROM-Zellen in einer Reihe angeordnet sind. Dabei sind wiederum mehrere Reihen zusammengeschaltet sind. Die Speicherzellen jeweils einer Reihe stellen ein ein- heitliches Wertigkeitsniveau dar, wobei die Speicherinhalte einer Reihe, mittels einer logischen Überwachung nur dann löschbar sind, wenn ein Übertrag in die nächst höhere Reihe erfolgt ist. Die in dieser Druckschrift offenbarte Anordnung weist genau die zuvor erläuterten Nachteile der Manipulier- barkeit auf, indem durch Einflußnahme auf die logische Schal- tung das unidirektionale Zählen nicht mit Sicherheit gewähr- leistet ist. Eine ähnliche nur etwas aufwendiger gestaltete Anordnung ist in der EP 0 618 591 ausgeführt, wobei für jede nächst höhere Reihe zum Umschreiben eine Hilfsspeicherzelle vorgesehen ist, die programmierbar und auch wieder löschbar ist, wobei auch diese Anordnung leicht manipulierbar ist, da die Hilfsspeicherzellen sowohl schreib-als auch löschbar sind.

Aus der US 5,264,689 ist eine aufladbare Telefonkarte be- kannt, die einen Kreditoren-Zähler und einen Debitoren-Zähler aufweist. Im Kreditoren-Zähler wird beim Aufladen der Karte ein maximaler Zählwert eingestellt. Mit jeder verbrauchten

Einheit wird eine Speicherzelle umprogrammiert und der Debi- torenzähler erhöht. Sobald der Zählstand vom Debitoren-und Kreditoren-Zähler gleich ist, gilt die Karte als"leer". Es muß nun zum Aufladen der Karte erst der Kreditoren-Zähler er- höht werden. Zum Verhindern einer mißbräuchlichen Benutzung sind beide Zähler nicht rücksetzbar. Dies hat zur Folge, daß beim Erreichen des Maximalwertes der Zähler die Karte nicht weiter benutzbar ist.

Der Erfindung liegt somit die Aufgabe zugrunde, ein Verfahren bzw. eine Schaltungsanordnung zum Betreiben eines mehrstufi- gen Zählers vorzusehen, bei dem auf einfache Weise die Mani- pulationssicherheit erhöht ist.

Diese Aufgabe wird erfindungsgemäß mit den in Patentanspruch 1 bzw. 5 angegebenen Maßnahmen gelöst.

Durch das gleichzeitige Betreiben eines einstufigen Zählers, der nur entweder aufwärts oder abwärts zählt neben dem mehr- stufigen Zähler, der das eigentliche Ereignis zählt, ist über einen Vergleich sichergestellt, daß der Zählwert des mehrstu- figen Zählers zumindest in der Größenordnung, mit dem Zähl- wert des einstufigen Zählers übereinstimmt. Durch das Ver- knüpfen des Zählwertes des einstufigen Zählers mit Zusatzda- ten zu ersten Autentitätssdaten wird beim Auswerten der wei- tergeleiteten Autentitätsdaten der Zählwert des einstufigen Zählers für die Öffentlichkeit unbemerkt zur Verfügung ge- stellt und steht zur Ermittlung der Autentität zur Verfügung.

Damit ist mit einfachen Mitteln die Möglichkeit zur Manipula- tion beseitigt, da nicht nur ein feststehendes Schlüsselwort, und/oder eine zuvor von der Überprüfungsvorrichtung übermit- telte Zufallszahl, sondern auch der sich entsprechend der Granularität des Hilfszählers verändernde Zählwert dieses Hilfszählers zur Autentitätsüberprüfung zur Verfügung steht.

Weiter wird dies dadurch verbessert, daß eine zusätzliche Verknüpfung mit dem Zählwert des mehrstufigen Zählers er- folgt.

Eine weitere Verbesserung ergibt sich dadurch, daß ein Teil der Zusatzdaten eine zuvor von der Überprüfungsvorrich- tung übermittelte Zufallszahl ist.

Nachfolgend wird die Erfindung unter Bezugnahme auf die Figur beschrieben, wobei ein Ausführungsbeispiel in Form eines Blockschaltbildes dargestellt ist.

Das in der Figur dargestellte Ausführungsbeispiel weist einen m-stufigen Zähler 11 mit m = 8 auf. Dieser ist in der Dar- stellung als 8-Bit-Binärzähler zu verstehen. Der Zähler 11 kann somit von 0 bis 255 zählen, d. h. 256 Zählstellen. Der Zähler 11 ist mit einer Steuereinheit 3 verbunden, die dem Zähler 11 ein Zählsignal S11 zuführt. Mit jedem Zuführen des Zählsignals S11 wird der Zähler 11 um 1 verändert, wobei die Veränderung in gleicher Richtung wie eine vorangegangene Än- derung erfolgt. Das bedeutet, daß der in der Figur symbolisch dargestellte Zähler 11 derart gestaltet ist, daß er entweder aufwärts oder nur abwärts zählt. Der jeweilige Zählerstand des mehrstufigen Zählers 11 wird als Zählwertsignal Z11 einer Prüflogik 4 zugeführt. Weiterhin ist ein einstufiger Zähler 1 vorgesehen, der bei diesem Ausführungsbeispiel n-Zellen mit n = 16 aufweist. Dieser in der Figur symbolisch dargestellte Zähler ist so aufgebaut, daß er ebenfalls nur in einer Zähl- richtung zählt, nämlich von 0 bis 15, d. h. 16 Zählstellen.

Der einstufige Zähler 1 erhält von der Steuereinheit 3 ein Zählsignal Sl, worauf er um einen Zählwert weitergesetzt wird. Der Zählstand des einstufigen Zählers 1 wird in der Steuereinheit 3 als Kontrollzählwertsignal Zl der Prüflogik 4 zugeführt. Die Prüflogik 4 vergleicht das Zählwertsignal Z11 mit dem Kontrollzählwertsignal Zl und gibt aber einen An-

schluß P ein in Abhängigkeit vom Vergleich bestimmtes Signal an eine Zählersteuerung 5 ab.

Die beiden Zähler 11 und 1 sind als EEPROM-Zellen ausgebil- det. Hierbei ist vorgesehen, daß entsprechend dem bekannten Betreiben eines Binärzählers die einzelnen Speicherzellen ge- mäß den Regeln des Aufwärts-oder Abwärtszählen beschrieben oder gelöscht werden. Genauso ist auch der einstufige Kon- trollzähler 1 aus EEPROM-Zellen zusammengesetzt, wobei die einzelnen Zellen 1 bis n nacheinanderfolged, nur beschrieben oder nur gelöscht werden.

Die Prüflogik 4 ist mit einem Datenspeicher D verbunden, in dem Zusatzdaten abgespeichert sind. Beim Autentifizieren der Anordnung verknüpft die Prüflogik 4 die Zusatzdaten mit dem Zählwert des einstufigen Zählers 1 und erzeugt damit erste Autentitätsdaten. Die Zusatzdaten setzen sich idealerweise aus einem Schlüsselwort und einer zuvor von einer nicht dar- gestellten Überprüfungsvorrichtung übermittelten Zufallszahl zusammen.

Wird die Anordnung aber den Eingang E von der Überprüfungs- vorrichtung aufgefordert, sich zu autentifizieren, so werden die Autentitätsdaten durch Verknüpfung des Zählwertes des Hilfszählers 1 mit den Zusatzdaten erzeugt und aber einen Ausgang A von der Steuereinheit 3 abgegeben. Gleichzeitig er- mittelt die Steuereinheit 3 den Zählwert des mehrstufigen Zählers 11 und überträgt diesen ebenfalls aber den Ausgang A zur Überprüfungsvorrichtung. Zur Autentitätsüberprüfung wird der Zählwert des Hilfszählers in der nicht dargestellten Überprüfungsvorrichtung, die die Autentität überprüfen will, ermittelt bzw. rückgewonnen und daraus zweite Autentitätsda- ten erzeugt. Die Autentität liegt vor, wenn die zweiten Autentitätsdaten mit den ersten Autentitätsdaten übereinstim- men. Liegt keine Autentität vor, wir der Datenaustausch mit der Anordnung abgebrochen. Die Zeiten Autentitätsdaten erge-

ben sich durch die Verknüpfung des rückgewonnen Zählwertes des Hilfszählers 1 mit den Zusatzdaten, die soweit sie der Überprüfungsvorrichtung nicht bekannt sind ebenfalls aber den Ausgang A übertragen werden.

Als Abwandlung ist es auch denkbar, wenn die Zufallszahl nicht von der Überprüfungsvorrichtung vorgegeben wird sondern von derzu überprüfenden Anordnung. In diesem Fall muß aber die Zuafallszahl ein Teil der Übermittelten Zusatzdaten sein, was im vorrangegangenen Beispiel nicht der Fall war, da hier die zweiten Autentitätsdaten mit der vorher vorgegebenen Zu- fallszahl und den übertragenen Zusatzdaten erzeugt wurden, sofern diese nicht von der Überprüfungsvorrichtung bekannt waren.

Als weitere Ausgestaltung ist es möglich, auch den Zählwert des mehrstufigen Zählers 11 mit den ersten Autentitätsdaten zu verknüpfen. Analog zu dem zuvor Beschriebenen muß dies dann auch in der Überprüfungsvorrichtung zur Erzeugung der zweiten Autentitätsdaten erfolgen, wobei der Zählwert des mehrstufigen Zählers nicht rückgewonnen werden, da er öffent- lich bekannt, der Überprüfungsvorrichtung übermittelt wird.

Ist die Autentität sicher festgestellt, erfolgt der weitere typische Betrieb der in der Figur dargestellten. Grundsätz- lich ist vorgesehen, daß mit jedem Eingabesignal am Eingang E von der Steuereinheit 3 ein Zählsignal S11 abgegeben werden soll. Dabei werden zuvor von der Prüflogik 4 die Zählerstände der beiden Zähler 1 und 11 mittels des Zählwertsignals Z11 und des Kontrollzählwertsignal Z1 überprüft. Sind beide bei- spielsweise 0, stellt die Prüflogik 4 fest, daß die Überein- stimmung besteht und läßt über das Prüfsignal P zu, daß aber die Zählersteuerung 5 das Zählsignal 11 ausgegeben wird.

Nunmehr ist vorgesehen, daß beide Zähler von 0 bis 255 zäh- len. Das bedeutet, daß der einstufige Kontrollzähler 1 bei

jedem sechzehnten Zählsignal Sll, das an den mehrstufigen Zähler 11 geht ebenfalls von der Zählersteuerung 5 in der Steuereinheit 3 ein Kontrollzählsignal S1 erhält. Für den un- manipulierten Betrieb ist die Prüflogik nunmehr so ausgelegt, daß sie überwacht, daß der Zählwert des Zählers 11 zu dem ge- rade erreichten Zählwert des Kontrollzählers 1 paßt. D. h. bei dem dargestellten Ausführungsbeispiel darf der Zählwert des Zählers 11 nicht kleiner als (i x 16)-1 sein. Entspre- chendes gilt für eine abwärts zählende Anordnung, auch hier muß der Zähler 11 entsprechend der Zähllogik sich in einem zum Zählwert des Kontrollzählers 1 passenden Bereich befin- den.

Sobald die Prüflogik 4 keine Übereinstimmung feststellt, wird ein Fehlersignal über den Anschluß P abgegeben.

Die Erfindung ist jedoch nicht auf das in der Figur darge- stellte Ausführungsbeispiel beschränkt. Vielmehr ist auch vorstellbar, daß insbesondere bei einem sehr großen zu über- schreitenden Zählwertebereich des Zählers 11 zum Einsparen von Zählerzellen des einstufigen Zählers, dieser nicht linear betrieben wird, sondern beispielsweise dekadisch. D. h. der einstufige Zähler würde beispielsweise beim 10., 100., 1000. usw. ein Zählsignal S11 von der Zählersteuerung 5 ein Kon- trollzählsignal Sl erhalten. Zur Überwachung des unmanipu- lierten Betriebes muß die Prüflogik 4 entsprechend aufgebaut sein, d. h. in einem solchen Fall muß der Zählwert des Zäh- lers 11 der dem jeweiligen Zählwert des Kontrollzählers 1 zu- geordneten Größenordnung entsprechen. Genauso gut ist vor- stellbar, daß der Zusammenhang zwischen dem Zähler des Zäh- lers 11 und dem Zählwert des Kontrollzählers 1 einer log- arithmischen, exponentiellen oder beliebig anderen geeigneten und gewünschten Funktionen entspricht. Dies ist dann sowohl auf aufwärtszählende als auch auf abwärtszählende Zäh- leranordnungen anwendbar.

Abschließend sei darauf hingewiesen, daß der Zähler 11 und der Kontrollzähler 1 nicht zwangsläufig in der gleichen Rich- tung zählen müssen. Vielmehr kann auch vorgesehen sein, daß der eine Zähler aufwärts und der jeweils andere Zähler ab- wärts zählt. Die alleinige Voraussetzung für einen unmanipu- lierten Betrieb ist, daß der Kontrollzähler nur in einer Richtung zählt und die Prüflogik 4 derart aufgebaut ist, daß der Zählwert des Zählers 11 mit dem Zählwert des Kontrollzäh- lers 1 einen logischen Zusammenhang aufweist.