FR2779850A1 - Procede et systeme d'utilisation d'une carte a microcircuit dans une pluralite d'applications - Google Patents

Abstract

Ce procédé comprend les étapes de : couplage de la carte (24), initialement configurée pour l'application par défaut, avec un terminal (14) de l'application par défaut; exécution d'une transaction particulière, opérant une reconfiguration logicielle de la carte pour l'application-cible de manière que la carte ainsi reconfigurée émule une carte spécifique de l'application-cible; couplage de la carte, ainsi reconfigurée, avec un terminal (18) de l'application-cible; et exécution d'une transaction de l'application-cible. Ultérieurement, on prévoit le couplage de la carte, reconfigurée pour l'application-cible, avec un terminal de l'application par défaut, et l'exécution d'une autre transaction particulière, opérant le retour à la configuration logicielle de l'application par défaut. L'application par défaut peut notamment être une application de carte SIM pour radiotéléphonie GSM, et l'application-cible une application du type porte-jetons.

Description

L'invention concerne les cartes à microcircuit.

Ces cartes sont aujourd'hui utilisées dans de nombreuses applicati-

ons telles que paiement au point de vente (application dite "carte ban-

caire"), téléphone public, stationnement payant, télévision à péage, té-

léphonie mobile (GSM), prestations de santé, transports publics ou por-

te-monnaie électronique.

On assiste à la multiplication de ces applications, et à leur généra-

lisation de plus en plus grande.

À chacune de ces applications est associée une carte spécifique carte bancaire, télécarte, carte de stationnement, carte ou clé à puce de décodeur de télévision, carte SIM pour téléphone GSM, etc. L'un des problèmes rencontrés lors de l'utilisation quotidienne de ces différentes cartes est lié à l'indisponibilité accidentelle de tel ou tel

type de carte exigé par l'une des ces utilisations, qu'il s'agisse d'un ou-

bli, d'une carte vide ou épuisée, ou d'une carte invalide ou expirée.

Ce problème est aggravé par le fait que certains types de cartes sont parfois mal distribués, ou d'usage trop occasionnel pour offrir la certitude d'être à tout instant dans la poche de l'usager. Le cas typique

est celui des cartes de stationnement, qui ne sont distribuées et utilisa-

bles que dans une municipalité donnée, et dont le besoin peut se faire

sentir alors que l'usager se trouve éloigné d'un point de vente ouvert.

Pour remédier à cet inconvénient, il a été proposé de réaliser des cartes dites "multi-application", permettant par exemple d'utiliser un

téléphone public au moyen d'une carte bancaire.

De telles cartes multi-application sont techniquement concevables, mais en pratique leur mise en oeuvre administrative et très difficile, ainsi que l'ont démontré de nombreuses tentatives pionnières depuis

l'invention de la carte à puce elle-même.

L'un des buts de la présente invention est de remédier à cette diffi-

culté, en exploitant une double caractéristique des techniques micro-

électroniques contemporaines, dès aujourd'hui mises en oeuvre dans les

cartes à microcircuit modernes, à savoir la présence d'une mémoire re-

programmable du type EEPROM et d'un microprocesseur.

Plus précisément, le procédé selon l'invention, qui vise à permettre l'utilisation d'une carte à microcircuit dans une pluralité d'applications

comprenant une application par défaut et au moins une application-

cible, comporte les étapes suivantes: couplage de la carte, initialement

configurée pour l'application par défaut, avec un terminal de l'applica-

tion par défaut; exécution d'une transaction particulière, opérant une reconfiguration logicielle de la carte pour l'application-cible de manière

que la carte ainsi reconfigurée émule une carte spécifique de l'applica-

tion-cible,; couplage de la carte, ainsi reconfigurée, avec un terminal de

l'application-cible; et exécution d'une transaction de l'applicationcible.

Ultérieurement, on prévoit des étapes de couplage de la carte, re-

configurée pour l'application-cible, avec un terminal de l'application par défaut, et d'exécution d'une autre transaction particulière, opérant le

retour à la configuration logicielle de l'application par défaut.

En d'autres termes, sous le contrôle de son programme principal, et sur ordre d'un terminal en ordre de marche convenablement adapté à cette multi-fonctionnalité, la carte peut se "reconfigurer" de façon à

émuler le fonctionnement de la carte manquante.

Désormais équivalente (physiquement, bien sûr, mais surtout logi-

quement) à la carte du type manquant, c'est-à-dire celle de l'applica-

tion-cible, la carte originelle peut être utilisée pour effectuer la transac-

tion désirée (application-cible).

Après avoir été utilisée dans le terminal-cible, et dès son retour

dans le terminal d'origine, la carte recevra de celui-ci l'ordre de se "con-

figurer" à nouveau dans son type originel.

Très avantageusement, l'application par défaut est une application de carte SIM pour radiotéléphonie GSM, et l'application-cible est une

application du type porte-jetons.

En effet, compte tenu du très grand nombre de téléphones GSM en circulation, il est irritant (car paradoxal) pour un utilisateur d'avoir à constater qu'il ne dispose pas d'une carte de stationnement lorsqu'il en a précisément besoin, alors qu'une autre carte à microcircuit, celle qui commande le fonctionnement de son radiotéléphone, est belle et bien disponible entre ses mains, cette carte étant le plus souvent insérée

dans le radiotéléphone, généralement sous tension.

L'invention permet dans ce cas de fournir à l'usager une solution de

dépannage, en exploitant la disponibilité d'un puissant réseau de télé-

communications (celui des radiotéléphones), lui-même relié au vaste

circuit d'échanges que constitue le réseau téléphonique commuté (RTC).

Dans une autre mise en oeuvre, l'application par défaut est une ap-

plication de carte bancaire, l'application cible pouvant être non seule-

ment une application du type porte-jetons, mais également une applica-

tion de carte SIM pour radiotéléphonie GSM.

Ou encore, l'application par défaut peut être une application de ty-

pe porte-monnaie électronique, l'application-cible étant une application de type carte bancaire permettant le rechargement de ce porte-monnaie

électronique.

Très avantageusement, pour éviter toute interférence entre appli-

cations, on prévoit en outre une remise à zéro générale de la zone RAM de la carte à chaque changement de configuration logicielle. Lorsque la carte comporte une mémoire vive, cette remise à zéro générale inclut

l'effacement de la mémoire vive.

Cette remise à zéro générale peut être opérée de diverses maniè-

res: par application d'un signal sur une ligne de commande spécifique; par fermeture d'une porte d'adressage de la mémoire; ou encore par

exécution d'une séquence spécifique d'instructions, notamment d'ins-

tructions du système d'exploitation de la carte, d'instructions d'un logi-

ciel applicatif mémorisé dans la carte, ou encore d'instructions de mi-

crocode du processeur de la carte.

Avantageusement, la carte comporte une mémoire non volatile par-

tagée en zones distinctes utilisables respectivement et exclusivement par chacune des applications, et la configuration de la carte pour l'une

des applications force l'adressage sur la zone correspondant à l'appli-

cation configurée jusqu'à remise à zéro de la carte. De plus, la mémoire

non volatile peut comporter en outre une unique zone commune, adres-

sable dans plusieurs configurations de la carte, et recevant les paramè-

tres à transférer entre applications successives correspondant à ces configurations.

L'invention a également pour objet un système pour la mise en oeu-

vre du procédé ci-dessus, et comprenant: des cartes à microcircuit,

comportant des moyens permettant l'exécution de l'application par dé-

faut, des moyens permettant l'exécution de l'application-cible, et des moyens de commutation, permettant de configurer sur commande la

carte soit en carte d'application par défaut soit en carte d'application-

cible; des terminaux de l'application par défaut, aptes à exécuter les

transactions de l'application par défaut ainsi qu'une transaction parti-

culière propre à appliquer à la carte une commande de reconfiguration pour l'application-cible; et des terminaux de l'application-cible, aptes à

exécuter les transactions de l'application-cible.

Avantageusement, les terminaux de l'application par défaut sont en outre aptes à exécuter une autre transaction particulière propre à

appliquer à la carte une commande de retour à la configuration de l'ap-

plication par défaut.

Ils peuvent également comporter des moyens de commande à la disposition du porteur de la carte, permettant à celui-ci d'initier ladite

transaction particulière ou ladite autre transaction particulière.

Avantageusement, la carte comporte un élément mémoire non vo-

latil, notamment une bascule D non volatile conservant de manière permanente une donnée d'identification de la configuration logicielle courante (numéro de fonction) de la carte, et/ou un élément mémoire, notamment une bascule D, mémorisant cette donnée pendant la durée

de la session.

Dans un mode particulier de mise en oeuvre, les moyens de commu-

tation comprennent des moyens produisant des signaux de synchroni-

sation pour le séquencement des opérations de gestion de la remise à

zéro de la carte et de changement de fonction.

De même, il est possible de prévoir des moyens pour paginer con-

jointement l'ensemble des matrices mémoire, volatiles ou non, pro-

grammables ou non, de la carte.

o D'autres caractéristiques et avantages de l'invention ressortiront

de la description détaillée ci-dessous de divers exemples de mise en oeu-

vre, en référence aux dessins annexés, sur lesquels les mêmes référen-

ces numériques désignent des éléments fonctionnellement semblables.

La figure 1 illustre schématiquement les différents moyens et in-

tervenants du procédé de l'invention.

La figure 2 est un schéma par blocs illustrant la structure d'un cir-

cuit du type porte-jetons à microprocesseur.

La figure 3 est un schéma par blocs illustrant l'organisation typi-

que des circuits d'un radiotéléphone GSM.

La figure 4 est un schéma par blocs du microcircuit d'une carte se-

lon l'invention.

La figure 5 montre un exemple de réalisation du sous-ensemble du

microcircuit de la figure 4 dédié à l'application porte-jetons.

La figure 6 illustre une variante de mise en oeuvre du circuit de la

figure 4.

La figure 7 illustre une variante de réalisation du circuit des figu-

res 4 et 6.

Les figures 8 et 9 illustrent deux variantes possibles d'un circuit

rassemblant en un même composant les différentes fonctions de com-

mutation. La figure 10 illustre un exemple de circuit mettant en oeuvre le

composant commutateur de la figure 9.

La figure 11 illustre une forme de réalisation permettant de réa-

liser une sélection entre un nombre indéterminé de fonctions différen-

tes. La figure 12 représente une autre forme de circuit permettant de

réaliser une sélection entre un nombre indéterminé de fonctions diffé-

rentes.

La figure 13 illustre la structure d'un circuit de commutation.

La figure 14 illustre le circuit de commutation de la figure 13,

associé à un circuit processeur propre à une application.

La figure 15 montre un exemple dans lequel six circuits tel que celui de la figure 14 sont associés de manière à créer une carte à puce

hexafonctionnelle.

La figure 16 illustre une variante de la figure 12, comportant en

outre un registre de transfert inter-applications.

Les figures 17 et 18 illustrent des configurations de mémoire avec passage de paramètre, respectivement pour un système bi-application

et quadri-application.

La figure 19 illustre un circuit incorporant la mémoire configurée

de la manière illustrée figure 17.

La figure 20 est une représentation schématique par blocs fonction-

nels des circuits d'une carte mettant en oeuvre les enseignements de l'invention. La figure 21 montre de manière plus détaillée l'interconnexion et la

structure des différents blocs fonctionnels de la figure 20.

La figure 22 illustre une variante du circuit de la figure 21.

La figure 23 est un chronogramme comparatif des trois phases de

séquencement du circuit de la figure 22.

La figure 24 est une variante de la représentation schématique par

blocs fonctionnels de la figure 20.

La figure 25 est homologue de la figure 24, en représentation liné-

aire. La figure 26 montre plus en détail l'interconnexion entre l'unité centrale de traitement et le circuit de gestion mémoire de la figure 24,

dans le cas d'une mise en oeuvre matérielle.

La figure 27 montre la manière dont l'interconnexion de la figure

26 peut être modifiée, dans le cas d'une mise en oeuvre logicielle.

La figure 28 est un organigramme illustrant la manière dont sont

gérés les accès mémoire en écriture ou en lecture dans le cadre de l'in-

vention. La figure 29 est un organigramme illustrant le principe fonctionnel

d'un lecteur.

0

La figure 1 illustre l'organisation et la séquence générale d'exploi-

tation du procédé selon l'invention.

On décrira l'exemple d'une carte de radiotéléphone GSM (carte

SIM) pouvant être utilisée, grâce au procédé de l'invention, dans le ca-

dre d'une transaction de type porte-jetons telle qu'une transaction de stationnement payant o le paiement est opéré par débit d'unités dans

une carte à microcircuit.

L'usager 10 souscrit, auprès de la compagnie 12 opératrice de son radiotéléphone 14, un abonnement non seulement au service général de radiotéléphonie, mais également à un service spécifique, par exemple de stationnement payant, dont le montant sera détaillé et inclus sur le

relevé mensuel de consommation téléphonique qu'il recevra de l'opéra-

teur 12 (facturation symbolisée en 16).

Ayant garé sa voiture près d'un horodateur électronique 18 pro- grammé pour accepter en paiement des cartes prépayées émises par la ville 20 (par exemple des cartes du type "Paris Carte"), l'automobiliste

constate qu'il a négligé de se munir d'une carte de stationnement utili-

sable, ou que sa carte est épuisée ou invalide.

Pour effectuer le paiement exigé par l'horodateur, l'usager enclen-

che alors sur son radiotéléphone une commande "stationnement", par exemple par appui sur un bouton 22 ou par sélection d'une rubrique dans un menu détaillant les services optionnels offerts par l'opérateur téléphonique. Cette commande provoque la "reconfiguration" (voir plus bas) de la carte SIM 24 du radiotéléphone en carte de stationnement de

type "Paris Carte".

L'usager extrait alors la carte 24 de son radiotéléphone et l'intro-

duit (flèche 26) dans l'horodateur 18, qui voit la carte comme une carte

de stationnement, qui est alors exploitée, puis débitée comme telle.

L'usager réintroduit alors (flèche 28) la carte 24 dans son radiotélé-

phone 14, o elle est lue par celui-ci qui la reconfigure automatique-

ment en fonction GSM.

Lorsque le totalisateur de stationnement 32 atteint un montant prédéterminé (suffisamment élevé, de façon à optimiser les coûts de facturation), le radiotéléphone 14 saisit l'occasion d'une communication téléphonique normale pour communiquer (flèche 30) à l'opérateur 12,

outre les paramètres de la communication qui vient d'avoir lieu, la val-

eur du totalisateur 32 à cet instant.

Le même montant, crédité (flèche 34), par l'opérateur 12 en faveur de la ville 20, pourra être éventuellement chargé d'une commission

compensant pour la ville l'économie du prix de fabrication et de distri-

bution d'une carte spécifique de stationnement.

La figure 2 est un schéma fonctionnel par blocs présentant la struc-

ture générale d'un composant de type porte-jetons à microprocesseur: un composant mémoire EEPROM 36 est implanté sur le bus de sortie PS 38 du microprocesseur 40, tandis que le bus d'entrée PE 42 recueille

les données en provenance de la mémoire 36 et du fusible 44.

La figure 3 est un schéma fonctionnel par blocs illustrant l'organi-

sation générale d'un radiotéléphone GSM. Celui-ci comprend un micro-

processeur 46 relié à un bus bidirectionnel 48 communiquant avec un certain nombre d'organes: convertisseurs analogique-numérique 50 et

numérique-analogique 52 exploitant le combiné 54, clavier 56, conver-

tisseurs HF analogique-numérique 58 et numérique-analogique 60 ex-

ploitant l'antenne 62, et enfin connecteur permettant d'assurer une liaison bidirectionnel avec la plage de contacts 64 de la carte à puce du

radiotéléphone (carte SIM).

La figure 4 est un schéma par blocs illustrant la structure générale d'une carte selon l'invention, c'est-à-dire d'une carte pouvant assurer sélectivement la double fonction de carte SIM pour GSM et de carte

porte-jetons.

Cette carte communique avec le monde extérieur par une plage de

contacts 64. Un premier bloc fonctionnel 66 permet l'exécution de l'ap-

plication porte-jetons et un second bloc fonctionnel 68, l'exécution de

l'application GSM. Un décodeur général 70 communique avec les con-

tacts 64 via les trois lignes I/O 72, CLK 74 et RST 76, outre bien enten-

du les lignes d'alimentation VCC et de masse GND. Un bus commun 71

interface le décodeur avec les deux blocs fonctionnels 66 et 68.

L'ensemble est piloté par une variable CF (consigne de fonction),

qui peut prendre deux valeurs: 0 (fonction GSM) ou 1 (fonction porte-

jetons). Cette consigne est mémorisée en une position mémoire illustrée

pour la clarté du dessin sous forme d'une mémoire EEPROM 1 bit réfé-

rencée 80 mais qui, en pratique, peut être constituée d'une position de

la mémoire principale à une adresse arbitraire.

La modification de cette variable CF est opérée par l'utilisateur

chaque fois qu'il appuie sur le bouton 22 (figure 1) de son radiotélépho-

ne (ou qu'il active un article approprié d'un menu). La boucle de super-

vision du logiciel du radiotéléphone examine périodiquement l'état de ce bouton et à chaque appui sur le bouton 22 correspond l'envoi à la

carte d'une commande reconnue par le décodeur 70, qui produit un si-

gnal CHANGEFONCTION sur une sortie 82, signal appliqué à la porte OU EXCLUSIF 84 qui inscrit dans la mémoire 80 la nouvelle consigne CF, complément de ladite consigne à l'état antérieur. La consigne CF, disponible sur la sortie 86 de la mémoire 80, autorise alternativement

le mode porte-jetons ou le mode GSM à travers les entrées d'autori-

sation respectives 88 et 90 des circuits 66 et 68, via l'inverseur 92. Ce basculement entre les deux fonctions peut également être mis en oeuvre sous forme logicielle. Ainsi, si les commandes reçues par la

carte sont enregistrées temporairement dans un registre CMD, l'algo-

rithme de basculement peut être résumé par la séquence d'instructions suivante, exprimées en métalangage: while Bouton On/Off wait CMD CF = CF G (CMD = Change_Fonction) On CF Call Action (CF) wend La fonction Action (CF) oriente la séquence vers l'action de type 0 (GSM) ou 1 (porte-jetons), selon la valeur de la consigne CF: if CF = 0 then Fonction 0 (GSM) if CF = i then Fonction_ (porte-jetons) Return

La figure 5 illustre un exemple de structure du bloc 66 pour la ges-

tion d'une fonction porte-jetons. Ce bloc 66 comprend une mémoire 94 adressable cycliquement par un compteur d'adresses 96. Celui-ci est un compteur à 256 étages, doté d'entrées d'horloge UpAdr et de remise à zéro ClAdr contrôlées par le circuit de pilotage 98, lui-même interfacé avec le décodeur général 70 par le bus 71. Un détecteur 100 signale la tranche d'adresses--[0,95], dite "zone fusible", dans laquelle l'écriture

n'est autorisée que si le fusible 102 est encore intact. Le contrôleur d'é-

criture 104 filtre les commandes d'écriture en amont de l'entrée R*/W

106 de la mémoire 94. Via la porte 108, le contrôleur d'écriture 104 au-

torise toute demande d'écriture (ordre WRITE) si le fusible 102 est in-

tact; dans le cas contraire, l'autorisation d'écriture est conditionnée par

la valeur de l'adresse courante, donnée par le détecteur 100.

Ces fonctions peuvent être mises en oeuvre sous forme logicielle par la séquence d'instructions suivante: if Adresse courante > 255 then forcer l'Adresse à zéro Test de la commande: if la commande est de remettre à zéro l'Adresse (ClAdr), then Remettre à Zéro l'Adresse: Return if la Commande est d'incrémenter l'Adresse (UpAdr), then Incrémenter l'Adresse: Return if la commande est de lire la mémoire, then Lire_Mémoire: Return if Fusible Intact, then Écrire i: Return if Adresse Extérieure à Zone Fusible, then Écrirei Return

Le processus d'exploitation de la carte lorsque l'on souhaite l'utili-

ser comme porte-jetons, dans cet exemple pour le péage d'un stationne-

ment, comprend (i) la configuration initiale de la carte GSM en carte porte-jetons en accord avec l'opérateur de radiotéléphone et la ville et (ii) l'utilisation proprement dite de la carte par débit des jetons qui y

ont été chargés.

Ce processus peut être résumé par la séquence d'instructions sui-

vante: while On wait CMD while CMD=ChangeFonction AND CF=0 Radiotéléphone appelle Central (ville) Central (ville) crée CSV ("Carte de Stationnement Virtuelle") [CSV] = n0 de Zone_Fusible, contenu ZoneJetons Central transmet CSV à Radiotéléphone Radiotéléphone copie CSV en zone dédiée

CF=1

1! wend CF = CF d) (CMD = Change_Fonction) On CF Call Action (CF) Radiotéléphone incrémente Totalisateur Totalisateur <- Totalisateur + Jetons débités while Totalisateur > 100 unités Radiotéléphone appelle Central (ville) Radiotéléphone émet Totalisateur Totalisateur <- zéro wend wend De nombreuses variantes de réalisation de l'invention peuvent bien

entendu être envisagées.

Ainsi, sur la figure 6 qui est une variante de la figure 4, on a rame-

né le mécanisme de commutation entre les deux fonctions à une quasi-

bascule D, en supposant cet organe réalisé en une technologie identique à celle de la mémoire principale (EEPROM). Cette bascule 110 est

déclenchée sur son entrée d'horloge 112 par le signal CHANGE_FONC-

TION 82 issu du décodeur général 70. Les deux sorties complémentaires

Q et Q* de la bascule 110 sont reliées aux entrées d'autorisation respec-

tives 88 et 90 des blocs porte-jetons 66 et GSM 68, qui communiquent

avec le décodeur via le bus bidirectionnel 71.

Par ailleurs, le couple d'applications GSM/porte-jetons, notamment

GSM/stationnement payant, n'est bien entendu pas limitatif, et d'au-

tres couples d'applications sont ainsi envisageables.

* Tout particulièrement, la fonction principale de la carte mixte de l'invention (fonction par défaut, pour laquelle elle a été initialement émise et configurée) peut être une fonction de type carte bancaire (CB),

la fonction seconde étant une fonction GSM.

Dans ce cas, après la fabrication proprement dite de la carte mixte selon l'invention et préalablement à la phase dite de "personnalisation",

les cartes sont chargées avec une première application de type CB.

C'est dans cet état que les cartes sont fournies à la banque par l'indus-

triel-encarteur: à ce stade, les cartes sont donc des cartes bancaires,

homologuées comme telles par la banque.

L'étape suivante consiste à personnaliser les cartes en y inscrivant des clés d'habilitation. Le fonctionnement de ces cartes selon les règles propres à l'application bancaire, et à cette banque en particulier, est

donc garantie.

La banque distribue ensuite les cartes auprès de sa clientèle, qui

bénéficie ainsi de la capacité de ces cartes particulières à - éventuelle-

ment - acquérir une double fonctionnalité.

Pour ce faire, les cartes sont chargées par un opérateur de télépho-

nie mobile avec une application GSM aux côtés de l'application CB,

désormais gravée et inaltérable.

Les fonctions mises en oeuvre peuvent être résumées par la séquen-

ce d'instructions suivantes: while Bouton On/Off wait CMD gosub LoadFonctionCB gosub LoadFonctionGSM if CF=0 then GSM if CF=1 then CB if CMD="ChangeFonction" then CF=CF* wend

GSM:

gosub Alarme Fonction GSM proprement dite Alarme=Status (niveau d'alarme) Return

CB:

Fonction CB proprement dite Alarme=Status (niveau d'alarme) Return Alarme: if Alarme=O then Return appel Banque, GSM dialogue Banque <-> GSM Alarme=0 Return LoadFonctionGSM: if GS=1 then Return if "Clé(LoadGSM)=OK" then Return Download ApplicationGSM GS=i (fonction GSM activée)

CF=0

Return LoadFonctionCB: if CB=1 then Return if "Clé(LoadCB)=OK" then Return Download ApplicationCB CB=1 (fonction CB activée) CF=1 Return

De telles cartes peuvent en particulier être émises par des établis-

sements bancaires ou de crédit pour être utilisées, outre le règlement

classique des achats sur les lieux de vente, pour des opérations sécuri-

sées de vente par correspondance ou de commerce électronique (par

vidéotex ou Internet). Dans ce cas, l'utilisateur qui souhaite comman-

der un article, au lieu de taper son numéro de carte bancaire sur son terminal (avec tous les risques de dissémination et de fraude que cela

implique) utilisera alors sa carte bancaire spéciale, reconfigurée en car-

te GSM, pour appeler via un radiotéléphone un serveur vocal chargé d'assurer la gestion de l'autorisation de débit de la carte et la validation

de la commande.

La figure 7 illustre une variante de circuit, adaptée à une hypothè-

se o, par convention, l'ordre de changement de fonction correspond à l'application simultanée d'un '1' sur les trois entrées I/O, CLK, et RST

de la plage de contacts 64.

Le décodeur d'instruction peut être ainsi constitué d'une simple

porte ET 114 dont la sortie 116 opérera le changement d'état de la qua-

si-bascule D 110 (cette dernière étant réalisée en technologie EEPROM,

avec une circuiterie non représentée, à la portée de l'homme de l'art).

Deux portes 118 et 120 ferment alternativement, selon l'état de la bascule 120, les entrées d'horloge CLK des deux puces 66 et 68, tandis que le reste du bus (les trois lignes I/O, RST et VCC 122, 124) est relié à la

plage de contacts 64.

En variante, au lieu d'opérer la commutation par sélection du si-

gnal CLK, il est possible de commuter l'entrée de remise à zéro RST de

l'une ou l'autre des puces 66, 68, ou encore l'entrée et/ou la sortie I/O.

La figure 8 illustre un circuit rassemblant sur un même composant 126 l'ensemble des fonctions liées à la commutation. Ce composant comporte, outre la borne VCC et la borne GND, trois bornes d'entrée

I/O, RST et CLK, et deux bornes de sortie CM1 (pour "CLK-Micropro-

cesseur-1") et CM2. Ce composant loge une bascule 128 et un circuit

spécifique d'alimentation 130 (PS = Power Supply) qui assure le fonc-

tionnement de la bascule 128 en mode EEPROM, cette dernière

délivrant, selon son état, un signal sur la broche CM1 ou CM2. Le com-

posant 126 comporte également une porte ET 132 à trois entrées, reliée au bus de contacts I/O, CLK et RST, qui détecte l'ordre de changement

de fonction, par convention codé '111'.

La figure 9 illustre un composant, référencé 134, qui est une vari-

ante du composant 126 de la figure 8 permettant, à partir des mêmes entrées, de produire sélectivement un signal RM1 (pour "Reset-Micro-

processeur-1") ou RM2, lorsque l'on souhaite sélectionner l'un ou l'autre

des microprocesseurs par forçage permanent de l'entrée RST du micro-

processeur non sélectionné.

La figure 10 illustre un mode de réalisation mettant en oeuvre le commutateur 134 de la figure 9. Comme on peut le constater, la carte

comporte trois organes standard, à savoir les puces 66 et 68 correspon-

dant à chacune des fonctions que l'on souhaite sélectivement mettre en oeuvre, et la plage de contacts 64. Ces organes sont interconnectés au moyen du composant 134 décrit plus haut en référence à la figure 9 et

par un bus 136 à cinq lignes I/O, CLK, RST, VCC et GND. Bien enten-

du, dans le cas d'un intégration plus poussée il est possible technologi-

quement de réunir sur une même puce les trois organes 66, 68 et 134.

Sur la figure 11 on a illustré un mode de réalisation permettant d'effectuer une commutation entre un nombre quelconque de fonctions, notamment un nombre supérieur à deux, à la différence des exemples

exposés jusqu'à présent.

Le circuit est constitué d'une série de puces 138 identiques inté-

grant, outre les organes propres à chacune des applications (GSM, por-

te-jeton, carte bancaire, etc.) un composant commutateur 134 tel que

celui illustré figure 9, avec notamment la porte chargée de détecter l'or-

dre de changement de fonction.

Chacun des blocs 138 est pourvu de deux entrées FR (pour "Faux Reset") et VR (pour "Vrai Reset"). L'entrée FR du premier bloc 138 est reliée au contact RST de la plage de contacts 34, tandis que pour les étages suivants l'entrée FR est reliée à la sortie RM2 du commutateur

134 de l'étage précédent. L'entrée VR, qui permet de désactiver les élé-

ments fonctionnels du bloc considéré, est quant à elle reliée à la sortie

RM1 du commutateur 134 de son propre étage.

On opère ainsi un chaînage des blocs 138, avec sélection séquenti-

elle de chacun des blocs à chaque application d'un ordre de changement

de fonction.

La figure 12 illustre un circuit comportant deux ensembles fonc-

tionnels 140 semblables dédiés à une application propre, chacun com-

portant un microprocesseur 142 et son circuit de commutation associé

144.

La structure du composant de commutation 144 est illustrée figure 13, et correspond pour l'essentiel au composant que l'on avait décrit en référence à la figure 9, avec une quasi-bascule D 128 et une porte ET

132 pour la détection de l'ordre de changement de fonction.

Sur la figure 14, on a illustré ce composant 144 sous forme d'un

bloc fonctionnel comportant une entrée Din, une sortie Qout et une liai-

son d'une part au bus général 136 et d'autre part au bus 146 du micro-

processeur 142, dont la ligne RST est contrôlée par la porte 146 (figure

13). Les deux blocs fonctionnels 140 (commutateur 144 et microproces-

seur 142) peuvent être intégrés en un seul et même composant, éven-

tuellement réalisé sous la forme d'une puce universelle, simplement

personnalisable en fonction de l'application souhaitée.

Sur la figure 15, on a représentée la structure d'une carte compor-

tant six de ces composants 140, de manière à constituer une carte hexa-

fonctionnelle, d'usage quasi-universel: par exemple carte bancaire + porte-monnaie électronique + GSM + carte d'identité + carte Internet + module cryptographique. Chacun des blocs 140 est raccordé au bus commun 136; l'entrée D de chaque bloc est reliée à la sortie Q du bloc

précédent dans l'ordre du chaînage.

La figure 16 illustre un circuit, dérivé des précédents, dans lequel les diverses applications successivement utilisées peuvent se transférer

des paramètres, via un registre 148. Ce registre est réalisé en techno-

logie non volatile, dans sa configuration la plus simple un registre EEPROM 8 bits (on a isolé à l'intérieur du cadre 150 les éléments en technologie EEPROM dont l'état informationnel ne connaîtra aucune modification entre deux utilisations de la carte, de même que les zones mémoire EEPROM 152 des microprocesseurs 142). La zone 150 inclut en particulier les circuits de commutation 144, qui sont du même type

que ceux décrits plus haut en référence à la figure 13.

Le registre 148 est relié au bus du port 1/0 commun de chaque mi-

croprocesseur, et son entrée d'écriture est constituée par l'ensemble des

sorties du type STO en provenance de chaque microprocesseur, multi-

plexées par la porte 154. De la même façon, chaque microprocesseur

pourra lire le contenu du registre par application d'un ordre RCL, mul-

tiplexé par la porte 156. Du fait que, de façon caractéristique d'une des

variantes de réalisation de l'invention, il n'y a jamais qu'un seul micro-

processeur actif dans la carte, ainsi est-il évité tout risque de conflit ou collision en lecture et en écriture et aucun risque n'existe plus, selon l'invention, qu'un microprocesseur d'ordre N n'inscrive ou ne lise une donnée dans le registre destiné au passage de paramètre, en même

temps qu'un (ou plusieurs) microprocesseur(s) d'ordre N' É N est actif.

Très avantageusement, à chaque changement de fonction les cir-

cuits de la carte sont systématiquement remis à zéro, notamment pour

éviter toute interférence entre les applications ou tout risque de trans-

fert de données autrement que par l'intermédiaire du registre non vola-

til 148.

Les figures 17 et 18 illustrent une organisation particulière de la mémoire non volatile permettant de loger dans la même mémoire à la

fois les zones réservés aux applications et le registre de passage des pa-

ramètres (correspondant au registre 148 de la figure 16). Cette organi-

sation logique particulière évite à avoir à créer un espace non volatile

hors de l'espace EEPROM 158.

Dans le cas d'une carte bi-application, correspondant au cas de la figure 17, la mémoire EEPROM 158 est organisée avec une première zone 160, à l'adresse zéro, servant au passage des paramètres entre les applications (homologue du registre 148 de la figure 16), une zone 162 (adresses 1 à 16 384 dans cet exemple) réservée à l'application n 1, puis une zone 164 (adresses 16 385 à 32 768 dans cet exemple) réservée

à l'application n 2.

Dans la variante de réalisation la plus simple ici décrite, les deux applications sont de dimensions égales, mais l'homme de l'art pourra prévoir le cas échéant des ressources spécifiques de décodage d'adresses en vue d'exploiter des applications de dimensions différentes, voire très

différentes. On notera à cet égard qu'il suffit d'un petit nombre de por-

tes supplémentaires pour gérer la diversité des proportions respectives

entre applications (1/2, 1/16, 1/128, etc.) ainsi que le nombre des appli-

cations coexistant sur la carte (2, 4, 16, etc.).

Le processeur associé à cette mémoire est configuré (voir plus bas) de manière à assurer une étanchéité totale entre les deux applications, c'est-à-dire que les zones 162 et 164 ne pourront jamais être utilisées

simultanément au cours d'une même session. Ceci, de manière à empê-

cher toute interférence possible entre les deux applications.

Comme indiqué plus haut, on peut très avantageusement prévoir une remise à zéro de la carte (arrêt automatique, séquence spécifique

d'instructions, ou déconnexion) à chaque exécution d'un ordre de chan-

gement de fonction. Cette déconnexion obligatoire efface la RAM de la carte et élimine tout risque de passage de paramètres d'une application

à l'autre via cette RAM, garantissant ainsi l'étanchéité entre les ap-

plications. Il est à noter que cette garantie est par nature illimitée, et que la puce ainsi conçue résisterait indéfiniment à toute tentative de violation logique. La présente invention enseigne donc une combinaison de moyens certaine d'atteindre l'objectif poursuivi. La figure 18 est homologue de la figure 17, dans le cas d'une carte quadri- application. Dans cet exemple, outre la zone 160 (adresse zéro) de passage des paramètres, on a attribué quatre zones distinctes 162,

164, 168 et 170 de 8 Koctets, à chacune des quatre applications.

Sur la figure 19, on a illustré un circuit permettant de gérer la mé-

moire illustrée figure 18 avec toutes les garanties souhaitées d'étan-

chéité entre les applications. La sécurité de chaque fonction sera de cet-

te manière strictement celle de son logiciel, sans que la bifonctionnali-

té n'ajoute un risque quelconque, et ce malgré la possibilité d'un passa-

ge de paramètres entre les applications.

Ce circuit est organisé autour d'une puce standard 172 comportant un microprocesseur 174 associé à un circuit de contrôle des entrées/ sorties 176, un générateur d'adresses 178 et une RAM 180. Ce circuit exploite les données présentes dans la mémoire non volatile 158 par l'intermédiaire d'un bus de données 182. Les trois lignes (RST, CLK et

I/O) provenant de la plage de contacts 64 communiquent avec le micro-

processeur par le bus spécifique bidirectionnel 184.

Le générateur d'adresses 178 fournit les adresses nécessaires à la mémoire 158 sous le contrôle d'une porte 186 chargée de forcer à zéro le

bus 188 (véhiculant les treize bits A0-A12 de poids le plus faible d'a-

dressage de la mémoire) en cas d'application d'une commande RST sur

le contact correspondant de la plage de contacts 64.

La ligne 190 commande les opérations de lecture/écriture aussi

bien en RAM qu'en EEPROM, tandis que le registre 192 (registre para-

mètre/fonction) ne peut être modifié que via le signal 194 délivré par la porte 196. Ce signal 194 représente la détection d'une adresse nulle sur le bus 188, ce qui a pour effet de forcer à zéro, via les portes 198 et 200, les deux bits d'adresse de poids le plus fort A14 et A15. Le registre 192 (qui en pratique est constitué d'un fragment de la RAM 180 propre au microprocesseur) est chargé à partir du bus bidirectionnel de données

182 chaque fois que l'adresse zéro est imposée.

Les données alors disponibles sur le bus 182 en sortie de la mémoi-

re 158 représentent le contenu de l'adresse physique "zéro", c'est-à- dire le contenu du registre affecté au passage de paramètres en mémoire non volatile. Ce registre 158 mémorise deux bits 202 codant l'application active (n0 0, 1, 2 ou 3), et six bits 204 pour le passage d'un

paramètre (ce format n'est bien entendu pas limitatif).

Le fait de garantir une étanchéité totale entre les applications tout en pouvant passer un paramètre en entrée et en sortie d'application rend particulièrement avantageuse l'utilisation de l'invention dans le cas o l'une des applications est une application cryptographique, car on peut ainsi garantir une exécution en toute sécurité du traitement

cryptographique sans aucune altération possible du processus crypto-

graphique du fait d'instructions malignes enregistrées dans le masque

applicatif principal.

Cette application cryptographique peut par exemple correspondre,

dans le cas d'une application bancaire, à une fonction qui chiffre le nu-

méro de certificat ainsi que d'autres paramètres éventuels, le résultat

étant stocké à une adresse de la mémoire non volatile (par exemple l'a-

dresse zéro) o ces paramètres seront récupérés par l'application ban-

caire. La séquence pourra être ainsi:

a) traitement carte bancaire classique (vérifications de l'identité ban-

caire, de la péremption, d'éventuelles oppositions, de la solvabilité), b) inscription à l'adresse zéro des paramètres non volatils (identité bancaire, montant, date, certificat); c) changement de fonction: remise à zéro des matrices RAM de la carte, et activation du module cryptographique; d) lecture du contenu de la mémoire à l'adresse zéro, chiffrement et

télétransmission du tout par le module cryptographique.

Le logiciel cryptographique peut par exemple être livré sous forme d'un masque graphique qui recouvrira la moitié (laissée vierge apres l'initialisation bancaire) de l'espace physique correspondant au plan

mémoire EEPROM.

En résumé, le système que l'on vient de décrire présente, selon l'in-

vention, quatre caractéristiques distinctives majeures: 1 ) Traitement alternatif de deux applications (ou, plus généralement, de N applications): ce traitement est "alternatif' en ce sens qu'il n'y a jamais imbrication des deux applications, mais que celles-ci

sont exécutées séparément, avec remise à zéro générale des élé-

ments "vifs" (c'est-à-dire perdant toute information une fois hors

tension) de la carte chaque fois que le système passe d'une applica-

tion à l'autre. De plus, lorsque les applications utilisent une mé-

moire commune, celle-ci est partitionnée en deux zones distinctes

(zone haute et zone basse) qui, du fait de la structure du circuit d'a-

dressage, ne peuvent jamais être adressées successivement au

cours d'une même session, le passage d'une zone à l'autre de la mé-

moire impliquant nécessairement un changement de fonction, donc

une remise à zéro générale des éléments vifs de la carte, ce qui évi-

te tout risque d'interférence entre les applications successivement appelées. 2 ) Effacement de la RAM: à chaque changement de fonction, la RAM ainsi que toutes les fonctions vives (bascules, registres, pile(s), etc.)

sont effacées (y compris par déconnexion de la carte d'avec le lec-

teur) de manière à garantir une "étanchéité" totale entre applica-

tions. 3 ) passage de paramètres: la communication entre applications est strictement limitée à l'échange de données via un espace commun non volatil (la RAM étant effacée, aucun paramètre ne peut être

passé par ce biais).

4 ) prise en compte du numéro de fonction active: soit automatique-

ment lors de la mise sous tension, soit sous le contrôle de comman-

des reçues au niveau des contacts de la carte ou générées par le mi-

croprocesseur lui-même.

La figure 20 est une représentation schématique par blocs fonction-

nels des circuits 300 d'une carte mettant en oeuvre les enseignements

de l'invention.

Essentiellement, une unité centrale de traitement CPU 302, reliée aux contacts RST, CLK et I/O de la plage de contacts 64, communique avec les autres circuits par un bus d'adresses ADR 304 (typiquement sur 14 bits) et par un bus de données DATA 306 (typiquement sur 8 bits). L'unité CPU 302 génère également sur un bus 308 quatre signaux de commande particuliers POR, ChgF, R*/W et N F, qui seront décrits

plus en détail en référence à la figure 21.

Il est également prévu, de manière en elle-même classique, une

mémoire morte (ROM) 310, une mémoire vive (RAM) 312 et une mé-

moire non volatile (EEPROM) 314.

La ROM 310 et la RAM 312 sont reliées au circuit CPU 302 et gé-

rées de manière classique via les bus d'adresses 304 et de données 306.

En revanche, l'EEPROM 314 a son accès géré par un circuit M3U

(Modest Memnory Management Unit) 316 spécifique de l'invention.

Ce circuit M3U 316 est relié l'EEPROM 314 par un bus d'adresses 318 sur 14 bits et par une ligne de commande d'écriture R*/W 320. Il

est également relié à la ligne de poids inférieur (bit 0) du bus de don-

nées 306 par une ligne 322 qui lui permet de forcer la valeur de ce bit.

La figure 21 montre plus en détail la structure de ces différents

éléments et des signaux qui sont échangés.

Le circuit CPU 302 remplit trois fonctions essentielles: 1 ) générateur d'adresses, directement pour la ROM 310 et la RAM 312 et via le circuit M3U 316 pour l'EEPROM 314, 2 ) générateur des quatre signaux spécifiques POR, ChgF, R*/W et N F sur le bus 308 en direction du circuit M3U 316, et

3 ) processeur, pour l'exécution des divers calculs et traitements.

Les différentes abréviations utilisées sur cette figure sont les sui-

vantes.

- POR: Power-On Reset (ordre de remise à zéro à la mise sous ten-

sion, n'intervenant qu'une seule fois au cours d'une session); - ChgF: changement de fonction, commandé soit en interne par la

CPU 302, soit de l'extérieur, par exemple par application simulta-

née de signaux sur les trois contacts RST, CLK et I/O; - R*/W: ordre d'écriture en mémoire; - N F: numéro de fonction (0 ou 1); - CSR: Chip Select de la mémoire permanente ROM; - CSV: Chip Select de la mémoire Vive; - CSP: Chip Select de la mémoire permanente Programmable; - R*/W.V: écriture en mémoire Vive; - R*/W.P: écriture en mémoire permanente Programmable; - A0A13: les 14 bits d'adresse de poids les plus faibles de 'EEPROM 314; - A14: le bit d'adresse de poids le plus fort de l'EEPROM 314; - I/O: les 8 bits de données lus ou à écrire dans les différentes mémoires; - bit0O: bit de poids le plus faible du bus de données DATA; ADR0: signal indiquant que la CPU 302 pointe sur l'adresse zéro

de V'EEPROM 314 (c'est-à-dire sur la zone de passage de paramè-

tres);

- BLOC: blocage de l'adresse, pour figer la position du pointeur d'a-

dresse de l'EEPROM 314;

- HiZ: validation du numéro de fonction (valeur 'FAUX'), pour per-

mettre son écriture à la position de bit de plus poids le plus fort de l'adresse zéro de l'EEPROM 314 (zone de passage de paramètres); Le circuit M3U 316 est constitué d'un nombre très réduit de portes 324 à 338 permettant de gérer l'accès à l'EEPROM 314 par la CPU 302 en toute sécurité en ce qui concerne l'étanchéité entre les différentes

applications concernées, celles-ci ne pouvant communiquer que par l'in-

termédiaire de la zone de passage de paramètres, située à l'adresse zéro

de cette mémoire.

Les portes 324 et 326, qui commandent le bit de poids le plus fort

A14, permettent le forçage à zéro de l'adresse de V'EEPROM 314 de ma-

nière à adresser la zone de passage de paramètres, la porte 326 forçant le bit A14 de l'adresse mémoire à une valeur (0 ou 1) correspondant au

numéro de fonction N F.

Les portes 328 et 330, en combinaison avec la bascule 332, 334 pour

la mémorisation de l'état, opèrent au moment de la remise à zéro géné-

rale (POR) qui intervient, comme on l'a expliqué plus haut, à chaque changement de fonction. A ce moment, les adresses A0A13 ainsi que A14 sont forcées à zéro, réalisant le pointage sur la zone de passage de paramètres et permettant ainsi la récupération des paramètres laissés

dans cette zone par l'application précédemment utilisée.

L'interrupteur 336 et la porte 338 ont pour rôle de contrôler l'écri-

ture des paramètres à transférer dans la zone de passage de paramètre

de l'EEPROM 314.

Les figures 22 et 23 illustrent une variante de mise en oeuvre du

circuit de la figure 21.

Dans cette variante de réalisation, la synchronisation des étapes

successives est assurée par une horloge triphasée produisant trois ryth-

mes $1, $2 et $3 représentés ensemble figure 23 et présentant sur la

durée d'un cycle d'horloge C des rythmes avec des facteurs de forme dé-

croissants, par exemple de 80 à 20 %. Ainsi, pour une durée de cycle C= 1 s: - le signal $1 est à '0' pendant 0,2 gs puis à '1' pendant 0,8 ps, - le signal $2 est à '0' pendant 0,4 ps puis à '1' pendant 0,6 ps,

- le signal $3 est à '0' pendant 0,6 gs puis à '1' pendant 0,4 ps.

Ces phases $1, $2 et $3 sont produites par un circuit de commande

temporelle 340, qui génère également le signal POR à détection des si-

gnaux correspondants sur la plage de contacts 64.

* Les signaux $1, $2 et $3 assurent le séquencement par l'intermédi-

aire de portes 342, 344, 346 et 348 rendues passantes sélectivement et successivement par les différents signaux $1, X2 et X3 (tout d'abord la porte 342 par $1, puis les portes 346 et 348 par)2, enfin la porte 344

par $3).

Lors de la remise à zéro automatique à la mise sous tension de la

carte, les adresses A0A13 ainsi que le bit A14 sont forcés à zéro pen-

dant $1, par la porte 342: le signal POR se propage à travers les portes 328, 342, 330, 324 et 326 (forçage de A14), le forçage des adresses

A0A13 se faisant par la seule porte 330.

Pendant la phase suivante 42, la bascule D 350 mémorise de façon volatile le bit B7 du bus de données en provenance de la mémoire non

volatile 314, celui-ci représentant l'inverse du numéro de fonction N F.

Pendant la suite des opérations, c'est-à-dire après la retombée du signal POR, l'adresse de poids fort A14 prend la valeur inverse de N F, c'est-à-dire la valeur du bit B7 tel qu'il a été échantillonné, lors la mise sous tension, à l'adresse zéro de la mémoire non volatile, les opérations

de lecture/écriture étant synchronisées sur X3.

Dans le cas d'une demande de changement de fonction, détectée

par la porte 132, le déroulement des opérations est le suivant.

Pendant 01, les adresses sont forcées à zéro.

Pendant p2, le numéro de fonction actuelle est rééchantillonné dans la bascule 350, puis inscrit (inversé) dans le bit 7 de l'adresse zéro de la mémoire non volatile 314, via l'interrupteur 336. Après quoi (X3), la bascule 332, 334 se bloque en position de fermeture du bus d'adresses, indéfiniment et inconditionnellement jusqu'à la prochaine mise hors

tension.

La figure 24 est une variante de la représentation schématique par

blocs fonctionnels de la figure 20.

On retrouve sur cette figure les éléments 300 à 322 déjà décrits à propos de la figure 20. La seule différence fonctionnelle entre les figures et 24 tient au fait que, dans la figure 24, le bus 318 d'adressage de l'EEPROM, c'est-à-dire le bus d'adresses 304 après traitement par le circuit de gestion mémoire M3U 316, adresse également la ROM 310 et la RAM 312, tandis que sur la figure 20 ces deux dernières mémoires

étaient adressées par le bus 304 directement relié à la CPU 302; toute-

fois cette différence est sans conséquence sur le fonctionnement du sys-

tème, le fonctionnement du circuit M3U 316 étant neutre le cas éché-

ant, dans l'hypothèse o ce circuit n'opérerait aucun filtrage pour ce qui

concerne l'adressage de la ROM 310 et de la RAM 312.

L'intérêt de cette représentation réside dans la possibilité de faire apparaître de nombreux axes de symétrie qui aident à comprendre le

fonctionnement du système selon l'invention.

- sous l'axe horizontal AA sont disposés: (i) les données permanentes propres à une carte (EEPROM 314) ou à toutes les cartes (ROM 310) et (ii) les moyens et données communs à toutes les cartes (EEPROM 314-et ROM 310);

- au-dessus de cet axe horizontal AA apparaît la combinaison spécifi-

que des deux moyens principaux selon l'invention: * le circuit M3U 316, qui sert au calcul des adresses, au contrôle d'écriture, à la validation d'un éventuel changement de fonction, ainsi que les contacts 64 permettant d'assurer la communication de la carte avec le terminal extérieur, et * les quatre indicateurs 308 (POR, ChgF, N F et R*/W) dont l'état instantané permet la commande du circuit M3U 316; au-dessus de cet axe vertical AA apparaissent également les res- sources ne contenant, hors tension, aucune information;

- à droite de l'axe vertical BB sont disposées les ressources et fonc-

tions (traitement général, notamment fonctions de calcul, etc.) pour la CPU, ainsi que les ressources nécessaires à leur mise en oeuvre (ROM 310 et RAM 312);

- à gauche de cet axe vertical BB se situe l'espace utilisable non vola-

til (EEPROM 314) ainsi que les moyens (circuit M3U 316) propres àson contrôle; - entre le CPU 302 et les autres composants s'étendent des lignes d'adressage (vers les trois mémoires) et de communication (avec la plage de contacts 64);

- selon une première diagonale XX, on trouve les mémoires inscripti-

bles (RAM 312 et EEPROM 314); - selon une seconde diagonale YY, on trouve les moyens nécessaires à l'exploitation de ces mémoires inscriptibles, à savoir: * la ROM 310 gouvernant les fonctions du microprocesseur du circuit CPU 302, et * la circuiterie logique (organe M3U 316) supervisant l'adressage et l'écriture spécifiques à la mémoire programmable (évolutive)

EEPROM 314, tous deux émettant des données vers le bus péri-

phérique (bus de données 306);

- sur l'axe vertical BB, les deux moyens qui caractérisent classique-

ment une carte à puce à microprocesseur, à savoir contacts 64 selon ISO 7816-3 et CPU 302; - au centre du montage, le CPU 302; - plus généralement, la couronne entourant le CPU (avec les quatre

circuits 310, 312, 314 et 316) est entièrement constituée de semi-

conducteurs; - en ne considérant que les seuls semi-conducteurs, dont la surface

est organisée en cinq blocs 302, 310, 312, 314 et 316, il est remar-

quable que: * le centre et le quadrant supérieur gauche soient occupés par la "logique sauvage", et

* les trois autres quadrants soient constitués de matrices mé-

moire. La représentation de la figure 24 n'est bien entendu pas exclusive, et l'on peut par exemple envisager une représentation "linéaire" telle que celle de la figure 25, fonctionnellement équivalente à celle de la figure 24, et qui peut éventuellement constituer un sous-ensemble

d'une architecture plus complexe.

La figure 26 montre plus précisément l'interconnexion entre la CPU 302, le circuit M3U 316 et les bus d'adresses 318 et de données

306 (la structure interne du circuit M3U 316 correspondant à celle il-

lustrée figure 21 et décrite plus haut).

La CPU 302 produit les signaux d'adressage A0A13 et les quatre indicateurs POR, ChgF, N F et R*/W, l'ensemble de ces signaux étant

appliqué en entrée du circuit M3U 316 par le bus 304 et les quatre li-

gnes 308.

Le circuit M3U 316 restitue en sortie le signal d'adresse A0A13 qui est appliqué sur le bus d'adressage général 318, conjointement avec le

bit d'adresse A14 généré de la manière décrite plus haut.

Le circuit M3U restitue également le signal de lecture/écriture R*/W, filtré pour permettre l'écriture conditionnelle dans l'EEPROM conformément aux règles décrites plus haut. Il produit également un

bit de données, appliqué sous la forme d'un signal 322 sur la ligne cor-

respondant au bit zéro du bus de données 306.

La structure que l'on vient de décrire correspond à une mise en oeu-

vre matérielle de l'invention.

Il est possible de substituer à cette mise en oeuvre matérielle une

mise en oeuvre logicielle, par une programmation appropriée du micro-

code de l'unité CPU 302 ou bien du système d'exploitation du micropro-

cesseur de la carte.

Dans le cas o l'on procède à une telle substitution, il est possible de conserver l'architecture générale précédente, illustrée figure 24, en remplaçant seulement la logique câblée du circuit 316 de la figure 26

par de simples lignes d'interconnexion (en aluminium sur le semicon- ducteur), comme illustré figure 27.

Dans ce dernier cas, l'interconnexion réalisée par le circuit 316 res-

titue en sortie les bits A0A13 du signal d'adressage et la commande de lecture/écriture R*/W, et force à zéro le bit d'adressage A14, par exemple en mettant à zéro les entrées POR, ChgF et N F du circuit M3U 316

et en reliant l'entrée N F et la sortie A14 de ce même circuit.

Sous cet aspect particulier, le circuit M3U selon l'invention peut

être considéré comme un composant additionnel qui améliore les per-

formances fonctionnelles (ergonomie, sécurité) et l'adressabilité de la mémoire, et en enrichit les fonctions d'écriture. Ce composant peut être intégré de façon évolutive dans différentes générations de cartes, par

exemple:

- première génération: l'architecture générale des cartes est celle de la figure 24, avec un circuit M3U en logique câblée, comme illustré figure 26; les fonctionnalités spécifiques de l'invention sont codées

pour partie en ROM, pour partie en EEPROM.

- deuxième génération: une évolution de la CPU permet d'incorporer un microcode spécifique autorisant le codage des fonctionnalités de

l'invention.

On notera que les cartes de ces deux premières générations conti-

nuent d'exécuter strictement les mêmes fonctions que précédem-

ment sans affaiblissement significatif de leur performance physi-

que (vitesse et/ou consommation), la mise en oeuvre de l'invention

n'impliquant, typiquement, que quelques cycles d'horloge élémen-

taire (dans le cas d'une implémentation en microcode), ou bien la

traversée de trois couches logiques (dans le cas d'une implémenta-

tion en logique câblée).

- troisième génération: les circuits embarqués sur les cartes incorpo-

rent progressivement au coeur de leur système d'exploitation des séquences propres à exploiter les fonctionnalités selon l'invention (alternance des applications et sélection des fonctions voulues), le système d'exploitation venant ainsi remplacer le microcode. Une caractéristique particulièrement avantageuses de l'invention est qu'aucune nécessité ne s'impose en vue du bénéfice, même partiel,

de ses propriétés: les nouvelles cartes peuvent sans difficulté coha-

biter avec une très importante population de cartes monofonction-

nelles. Quant à l'adaptation du dialogue utilisateur et de l'interface carte/ terminal concernant le changement de fonction, il pourra être téléchar-

gé dans le terminal.

La figure 28 est un organigramme montrant la séquence 400 des

différentes opérations exécutées dans un cas d'accès mémoire généra-

lisé à une EEPROM partagée en deux applications.

Cet organigramme peut, en pratique, être mis en oeuvre de diffé-

rentes manières: - soit par programmation d'un logiciel classique du processeur de la carte, celui-ci restant géré par son propre système d'exploitation, - soit sous forme de microcode pilotant directement ce processeur (couche logicielle non programmable de l'extérieur du CPU), soit sous forme partiellement ou totalement câblée, l'organigramme

représentant alors les différentes étapes du déroulement d'un pro-

cessus séquentiel mis en oeuvre par la circuiterie de la carte.

Sur cet organigramme, les paramètres POR, ChgF, A0A13, A14,

N F et R*/W ont la même signification que dans le cadre des deux figu-

res précédentes, et les ordres tels que "lda", "cma", "sta", etc. ont la si-

gnification habituelle qu'ils ont en microcode, c'est-à-dire respective-

ment chargement de l'accumulateur du processeur avec la valeur lue en mémoire à l'emplacement adressé, complémentation de l'accumulateur,

et écriture en mémoire de la valeur présente dans l'accumulateur.

La séquence 400, après les opérations initiales de remise à zéro 402, prévoit une étape 404 de calcul du bit A14 d'adressage de poids le plus fort, auquel on donne une valeur égale au numéro de fonction (0 ou 1 dans le cas d'un système bifonction) si le reste du champ d'adresse

A0A13 est non nul:-

L'étape suivante 406 vérifie si l'indicateur POR a été positionné à 0 ou à 1 à la fin de la séquence 400 (on verra plus loin pourquoi et de

quelle manière).

Si l'indicateur POR est à 1, la séquence exécute une série 408 d'éta-

pes correspondant à une remise à zéro à la mise sous tension (power-

on reset, avec sauvegarde du numéro de fonction N F). A la fin de cette étape 408, l'indicateur POR est mis à zéro et la séquence prend fin par

l'étape 410 (forçage à zéro de la commande d'écriture R*/W).

Si, à l'étape 406, l'indicateur POR est reconnu comme ayant été positionné à zéro, le processus examine le paramètre de changement de fonction ChgF (étape 412); si ce paramètre est à 1, ceci indique que l'on

est dans le cas, géré de façon particulière par l'invention, d'un change-

ment de fonction avec passage de paramètres: le processus exécute alors la séquence d'étapes 414 du changement de fonction avec passage de paramètres via une zone non volatile et, surtout, effacement de la RAM (étape 416) de manière à garantir l'étanchéité entre l'application

que l'on ferme et celle que l'on va ouvrir.

L'écriture du paramètre à transférer est alors opérée à l'étape 418 (envoi d'une commande d'écriture R*/W à 1 pendant la durée nécessaire à cette écriture), puis le processus s'achève, comme précédemment, par remise à zéro de la commande R*/W et retour au programme principal

(étape 410).

La séquence 414 s'achève par la mise à 1 de l'indicateur POR, ce

qui permettra, à la prochaine exécution de la séquence 400, d'aller di-

rectement exécuter la remise à zéro 408, réalisant ainsi une "extinction

virtuelle" de la carte, sans qu'il soit nécessaire de procéder physique-

ment à une déconnexion de celle-ci.

Dans le cas o l'ordre de lecture ou écriture ne correspond ni à une remise à zéro ni à un changement de fonction, c'est-à-dire o l'on a POR = 0 et ChgF = 0, et selon qu'il s'agit d'une lecture ou une écriture (étape 420), on exécute les fonctions correspondantes d'un bloc 422 qui intègre des fonctions de lecture ou écriture contrôlées intégrant des sécurités

propres, en elles-mêmes classiques, de carte à puce. Ces fonction com-

prennent: test de priorité d'écriture (étape 424, par exemple pour l'é-

criture directe d'un- bit de ratification), inhibition éventuelle en écriture de la zone adressée (étape 426), inhibition éventuelle en lecture de la zone adressée (étape 428). Une fois exécutées ces fonctions de sécurité 422, et si l'opération est autorisée, on procède alors à la lecture (étape 432) ou à l'écriture (étapes 430 et 418, ou étape 418 directement), et le

processus s'achève, comme précédemment, par l'étape 410.

Sur la figure 29, on a représenté un organigramme montrant un exemple de séquence d'opérations exécutées par un lecteur, qui est ici un lecteur mixte permettant un paiement soit en mode "carte bancaire (CB)" (application "BNK"), soit en mode "porte-monnaie électronique"

(application "PME").

La séquence commence par l'étape 500 de remise à zéro, suivie de

l'analyse 502 de la réponse à cette remis à zéro (ATR, Answer To Re-

set). Cette analyse indique (tests 504 et 506) si la carte testée est actu-

ellement configurée en mode BNK ou en mode PME.

À l'étape suivante (tests 508 et 510), le lecteur examine lui-même

quel est son type, à savoir type TPE (Terminal de Paiement Électroni-

que, apte à exécuter une transaction de type CB de l'application BNK)

ou, au contraire un terminal de type distributeur de boissons, horoda-

teur, parcmètre, etc. opérant en mode "porte-jetons" (application PME).

Si la carte est configurée en mode BNK et que le lecteur est du type porte-jetons, ou si la carte est configurée en mode PME et le lecteur est du type TPE, alors un ordre CF de changement de fonction (blocs 512 et

514, respectivement) est envoyé à la carte de manière à la rendre com-

patible avec le type du terminal.

La transaction peut alors être exécutée, soit en mode transaction

carte bancaire (bloc 516) soit en mode transaction PME (bloc 518).

On peut envisager l'hypothèse o l'utilisateur, titulaire d'une carte

mixte BNK/PME, actuellement configurée en mode BNK, tenterait d'u-

tiliser un appareil tel qu'un distributeur de boisson ou un horodateur, susceptible de fonctionner exclusivement en mode PME et qui n'aurait pas encore été mis à niveau pour permettre le changement de fonction

automatique tel qu'on vient de l'expliquer.

Dans ce cas, il suffit à l'utilisateur de trouver un lecteur de type quelconque comportant le moyen spécifique de changement de fonction

selon l'invention (par exemple le téléphone GSM qu'il a avec lui, un pu-

bliphone voisin, voire un périphérique spécifique d'ordinateur individu-

el, etc.). Après avoir provoqué le changement de fonction avec cet autre lecteur, et donc basculé la carte en mode PME, il pourra retrouver le distributeur d'ancienne génération, pour effectuer le paiement en mode

PME natif.

Un cas particulier de la mise en oeuvre illustrée figure 29 consiste à utiliser le terminal pour le rechargement du PME par une transaction CB, en effectuant d'abord une transaction CB de débit du compte du porteur, puis un chargement du PME à partir du contenu d'un registre

mémorisant la valeur ainsi débitée. Bien entendu, les deux transac-

tions CB et PME sont séparées par un ordre de changement de fonction

provoquant la reconfiguration de la carte d'un mode dans l'autre et l'ef-

facement d'un maximum d'éléments vifs du semiconducteur.

Claims (21)

REVENDICATIONS

1. Un procédé d'utilisation d'une carte à microcircuit dans une plu-

ralité d'applications comprenant une application par défaut et au moins une application-cible, procédé caractérisé par les étapes suivantes: couplage de la carte (24), initialement configurée pour l'application par défaut, avec un terminal (14) de l'application par défaut,

- exécution d'une transaction particulière, opérant une reconfigura-

tion logicielle de la carte pour l'application-cible de manière que la

carte ainsi reconfigurée émule une carte spécifique de l'application-

cible, - couplage de la carte, ainsi reconfigurée, avec un terminal (18) de l'application-cible, et

- exécution d'une transaction de l'application-cible.

2. Le procédé de la revendication 1, comportant les étapes ultérieu-

res suivantes: - couplage de la carte, reconfigurée pour l'applicationcible, avec un terminal de l'application par défaut, et - exécution d'une autre transaction particulière, opérant le retour à

la configuration logicielle de l'application par défaut.

3. Le procédé de la revendication 1, dans lequel l'application par

défaut est une application de carte SIM pour radiotéléphonie GSM.

4. Le procédé de la revendication 3, dans lequel l'application-cible

est une application du type porte-jetons.

5. Le procédé de la revendication 1, dans lequel l'application par

défaut est une application de carte bancaire.

6. Le procédé de la revendication 5, dans lequel l'application-cible est une application de carte SIM pour radiotéléphonie GSM et/ou une

application du type porte-jetons.

7. Le procédé de la revendication 5, dans lequel l'application par

défaut est une application de type porte-monnaie électronique et l'ap-

plication-cible est une application de type carte bancaire permettant le

rechargement du porte-monnaie électronique.

8. Le procédé de la revendication 1, comprenant en outre une remi-

se à zéro générale de la carte à chaque changement de configuration logicielle.

9. Le procédé de la revendication 8, dans lequel, la carte compor-

tant une mémoire vive, la remise à zéro générale inclut l'effacement de

cette mémoire vive.

10. Le procédé de la revendication 8, dans lequel la remise à zéro

générale est opérée par application d'un signal sur une ligne de com-

mande spécifique.

11. Le procédé de la revendication 8, dans lequel la remise à zéro

générale est opérée par fermeture d'une porte d'adressage de la mémoi-

re.

12. Le procédé de la revendication 8, dans lequel la remise à zéro

générale est opérée par exécution d'une séquence spécifique d'instruc-

tions, notamment d'instructions du système d'exploitation de la carte, d'instructions d'un logiciel applicatif mémorisé dans la carte, ou encore

d'instructions de microcode du processeur de la carte.

13. Le procédé de la revendication 8, dans lequel, la carte compor-

tant une mémoire non volatile (158, 314) partagée en zones distinctes

(162, 164; 162, 164, 168, 170) utilisables respectivement et exclusive-

ment par chacune des applications, la configuration de la carte pour

l'une des applications force l'adressage sur la zone correspondant à l'ap-

plication configurée jusqu'à remise à zéro de la carte.

14. Le procédé de la revendication 13, dans lequel la mémoire non volatile comporte en outre une unique zone commune (160), adressable dans plusieurs configurations de la carte, et recevant les paramètres à

transférer entre applications successives correspondant à ces configu-

rations.

15. Un système pour l'utilisation d'une carte à microcircuit dans une pluralité d'applications comprenant une application par défaut et

au moins une application-cible, système caractérisé en ce qu'il com-

prend: - des cartes (14) à microcircuit, comportant:

* des moyens (68) permettant l'exécution de l'application par dé-

faut, * des moyens (66) permettant l'exécution de l'application-cible, et * des moyens de commutation (70-92), permettant de configurer sur commande la carte soit en carte d'application par défaut soit en carte d'application-cible, - des terminaux (14) de l'application par défaut, aptes à exécuter les transactions de l'application par défaut ainsi qu'une transaction

particulière propre à appliquer à la carte une commande de reconfi-

guration pour l'application-cible; et

- des terminaux (18) de l'application-cible, aptes à exécuter les trans-

actions de l'application-cible.

16. Le système de la revendication 15, dans lequel les terminaux de

l'application par défaut sont en outre aptes à exécuter une autre trans-

action particulière propre à appliquer à la carte une commande de re-

tour à la configuration de l'application par défaut.

17. Le système de l'une des revendications 15 et 16, dans lequel les

terminaux de l'application par défaut comportent des moyens de com-

mande (22) à la disposition du porteur de la carte permettant à celui-ci

d'initier ladite transaction particulière ou ladite autre transaction par-

ticulière.

18. Le système de la revendication 15, dans lequel la carte compor-

te un élément mémoire non volatil, notamment une bascule D non vola-

tile (110, 128, 202), conservant de manière permanente une donnée d'i-

dentification de la configuration logicielle courante (N F) de la carte.

19. Le système de la revendication 15, dans lequel la carte compor-

te un élément mémoire, notamment une bascule D (110, 128, 202), mé-

morisant une donnée d'identification de la configuration logicielle cou-

rante (N F) de la carte pendant la durée de la session.

20. Le système de la revendication 15, dans lequel les moyens de

commutation (70-92) comprennent des moyens (340) produisant des si-

gnaux de synchronisation (X1, $2 et X3) pour le séquencement des opé-

rations de gestion de la remise à zéro de la carte et de changement de fonction.

21. Le système de la revendication 15, comprenant des moyens pour paginer conjointement l'ensemble des matrices mémoire, volatiles

ou non, programmables ou non, de la carte.