JPH01500379A - ポータブルデータキャリヤのためのシステム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 ポータプル　データ　キャリヤのためのシステム／発明の背景 １、技術分野 本発明はポータプル　データ　キャリヤ、例えば、スマート　カードの動作のた めのシステム、より詳細には、キャリヤと関連するステーションとの間でデータ を伝送及び交換するためのシステムに関する。

２、先行技術の説明 買い物、バンキング及び他のトランザクションにクレジット　カードを使用する ことがますます盛んとなり。

今日の旅行者の多くは現金はあまり持ち歩かない０通常。

浮き彫りされた口座番号及び口座名をもつプラスチック製のカードは単に銀行あ るいはクレジット会社にあるトランザクションの請求光となるべき許可された口 座を同定する機能のみをもつ。幾つかのカードの裏面の磁気ストリップはこれと 同じ情報をもつが、トランザクションをスピード化できるように機械的に読出し ができるようになっている。全ての勘定情報は銀行あるいはクレジット会社に格 納される。

トランザクションが、通常、銀行あるいはクレジット会社から離れたところで行 なわれるため、不正カードが使用されたり、あるいは正当な所有者でもうつがり 限度額を超えるような場合がある。殆んどの販売業者は、従って、比較的高額１ 例えば、＄　５０．００　以上の買い物の場合は、銀行あるいはクレジット会社 に確認を行なうことが必要となる。自動ダイアルであってもこの手続きは手間が かかる仕事である。さらに、個々の口座に別個のカードが必要とされる。

しかし、マイクロエレクトロニクスの最近の進歩によって、今日では、多量の計 算パワー及びメモリをカードに直接に組み込んで“スマート　カード（ｓｍａｒ ｔ　ｃａｒｄ）”あるいは“ポータプル　データ　キャリヤ（ｐｏｒｔａｂｌｅ ｄａｔａ　ｃａｒｒｉｅｒ）”を作成することが可能となっている。

このカードは所有者の掛は売り勘定の全ての勘定番号、全ての勘定のバランス、 全ての勘定のクレジット限度を含み、個々のトランザクションに伴って部分的に 更新することができる。このカードはまたその他の個人的なデータ、例えば、洋 服を買うときのための家族のサイズ、電話番号などを含むこともできる。これら 個人的なデータとしては想像できるあらゆるタイプのデータが考えられる。

これら全てを標準サイズのカードに格納する技術は既に存在する。ただし、カー ド上のデータの保安をいかに確保するかという問題が残されている。この保安規 則にはカードの内側のファイル構造へのアクセスを制御する一方で、許可された ユーザがカード内に含まれるデータに簡単にアクセスできることが要求される。

見吋段髪豊 本発明によると、高保安度のポータプル　データ　キャリヤ　システムが顧客レ パートリ−ダイアリイブから個人的な医療及び／あるいはバンキング　レコード の記録に至るまでのさまざまな用途に使用される。このシステムには通常のクレ ジット　カードと同じような外観をもつポータプル　データ　キャリヤ、つまり 、スマート　カード（ｓｍａｒｔ　ｃａｒｄ）が含まれる。ただし、このカード は、コンピュータ、電気的に消去が可能な読出し専用メモリ（ＥＥＦＲＯＭ）、 及び関連するステーションとともにオプション的に位置されるカード読出し／書 込み装置からのパワー及びタイミング信号の組合せを受信するための回路を含む 、これら回路要素及び回路はまたカードと関連するステーションとの間で読出し ／書込み装置を介してデータ信号を送受信する。

カードはセラ１−の通常の命令プリミティブを介してステーションからアクセス される管理オペレーティングシステムを実行する。これら命令プリミティブはカ ードの保安を確保するために課せられた規則に従ってカードファイル　システム を操作する。この管理オペレーティング　システムの使用によって侵入者による カード内のデータ　ベースへのアクセスが阻止される。これに加えて、特に高い 機密の用途に対しては、データがカードに加えられると同時に暗号化される。

顧客の個人的な情報がカード上のＥＥＦＲＯＭ内の複数のファイル内に存在する 。ステーション内に常駐する適当なアプリケーション　ソフトウェアが適当なパ スワードを与えられると、これらファイルの検索及び修正を行なう、カードに対 する保安カードと関連するステーションとの間の相互作用の個々の指定レベルに 対するアクセスを得るために別個のパスワードを要求することによって確保され る。不正ログインの試みが個々の保安レベルに対して所定の回数に制限される。

これを超えた場合は、この保安レベルでロックされるか、あるいはカード全部の データ　ベースが消去されるかのいずれかにカードが構成される。カードがロッ クされるように構成された場合は、ロックされたレベル以上の任意のレベルでこ れをアンロックすることができる。これによって、カードの保守をロックされた レベルより上位の最低レベルに任すことが可能である。また、幾つかの指定のフ ァイルにアクセスするためには、カードはユーザにオプションのパスワードを入 力するように要求するため、カードの保安がさらに向上される。

複数のファイルの個々はカード上にそれ自体のファイル保安をもつため、これら ファイル内に衝突あるいは混乱を起こすことなく、複数のアプリケーションある いは別個の口座が存在できる。カード上に許されるファイルの最大数はカード上 で使用できるメモリ容量によってのみ制約される。

ある特定の保安レベルにてログオンしたユーザは、そのレベルあるいはそれ以下 の任意のレベルでパスワードを変更することを許される。従って、パスワードが 損失、あるいは忘れられた場合、これはより高い保安レベルにてカードにログイ ンし、パスワード命令にアクセスすることによって再書込みすることができる。

このため、損失したパスワードを回復する必要はない。

高レベル　ソフトウェア　ライブラリがステーションと読出し／書込み装置ある いはカードの間の全ての相互作用を支援するために提供される。結果として、ア プリケーション　プログラマはめんどうなカード内部あるいは通信プロトコール の詳細にかかわる必要はない、プログラマのコードはライブラリと直接にインタ フェースし、ライブラリがカードとインタフェースする。　゛ライブラリは４つ のセクション、つまり、カード命令の直接マツピングを提供するためのカード　 ライブラリセクション、読出し／書込み命令の直接マツピングを提供するための 読出し／書込みライブラリ　セクション。

カード及び／あるいは読出し／書込み命令を含む命令ライブラリ　セクション、 及びステーション上に位置する共通制御機能を含む制御セクションに分割される 。これら機能はボート及び論理デバイスの初期化、終端及び制御の詳細を含む。

従って、このライブラリはソフトウェア　インタフェースとして機能し、典型的 なコンピュータ　プロトコールと非常に類似するデバイス及びファイルにアクセ スする方法を提供し、アプリケーション　プログラマの負担を軽減する。ファイ ルからのデータを受信及び翻訳するステーションのアプリケーション　ソフトウ ェアは、アクセスされているアプリケーションに関連するバイトの一連の流れの みを見るため保安がさらに向上される。従って、特定のアプリケーションのユー ザにカード内の他のアプリケーションに関する、あるいはカードの内部ファイル 構造に関する情報が漏れることはない。

本発明及び本発明の動作モードは以下の詳細な説明を付随の図面とともに読むこ とによって一層明白となるものである。

図面の簡単な説明 第１図はポータプル　データ　キャリヤ　システムの主な機能要素及びこれらの 相互接続を示す機能ブロック図であり； 第２図は第１図のシステム内に使用されるポータプルデータ　キャリヤのアクセ ス可能な６つの保安レベルを示すテーブルであり； 第３図はポータプル　データ　キャリヤ内に含まれるデータのための２つの領域 、つまり、見出し領域及びデータ領域にセグメント化されたファイル　システム を示し； 第４図はポータプル　データ　キャリヤ　システムのデータ　セグメント領域内 に位置する個々のファイルの３つのセクションを示し、； 第５図はオプションのファイルごとのパスワード及び追加専用機能を採用する通 常保安クラス　レベル（Ｎｏｒ＋ｗａｌＳｅｃｕｒｉｔｙ　Ｃ１ａｓｓ　Ｌｅｖ ｅｌｓ）の階層構造を示し；第６図はポータプル　データ　キャリヤ上のオペレ ーティング　システムと通信するために使用される命令プリミティブを示すテー ブルであり； 第７図はポータプル　データ　キャリヤへの許可されないアクセスの防止を助け るログイン　シーケンスを図解する流れ図であり盲 第８図はこのシステムに使用されるプロトコールにて動作するように設計された ポータプルデータ　キャリヤシステムのソフトウェア階層を示し； 第９図はポータプル　キャリヤ　システムの主なサブシステム間の通信に使用す るのに適するメツセージ　フォーマットを示し； 第１０図はアプリケーション　ステーションの半二重プロトコールでの動作に対 するリンク層意志決定プロセスを図解する流れ図であり；そして 第１１図は読出し／書込み装置及びポータプル　データ　キャリヤの両方の半二 重プロトコールでの動作に対するリンク層意志決定プロセスを図解する流れ図で ある。

全図面を通じて、同一要素は同一番号にて示される。

韮豊皇双里 第１図にはポータプル　データ　キャリヤ（Ｐｏｒｔａｂｌｅｄａｔａ　ｃａｒ ｒｉｅｒ、　Ｐ　Ｄ　Ｃ）システムがわかり易くするために３つのサブシステム に分割して示される。第１のサブシステムはデータ　キャリヤあるいはカード１ ｏであり、これはユーザのために情報を格納及び更新する能力をもつメモリを含 む、第２のサブシステムはカード読出し／書込み装置１５であり、これはカード を第３のサブシステムであるステーション１８にリンクする。この最後のサブシ ステムは適当に構成されたアプリケーション　ステーションであり、これはカー ド内のメモリにアクセスするために必要なアプリケーション　ソフトウェアを実 行するコンピュータあるいは専用ワークステーションがら成る。アプリケーショ ン　ソフトウェアはこのステーション内に常駐し、カード１０のメモリ内に格納 された情報の検索及び修正を遂行する。

カード１０はセットのオペレーティング　システム命令プリミティブを介してア クセスされる監視オペレーティング　システムを実行する。これら命令プリミテ ィブはカード保全に要求される規則に従ってカード上のファイル　システムを操 作する。

カード１０内に位置する主要な要）には、マイクロコンピュータ１１０．電気的 に消去可能なプログラマブルメモリ　（ｅｌｅｃｔｒｉｃａｌ　ｅｒａｓａｂｌ ｅ　ｐｒｏｇｒａｍｍａｂｌｅ　ｒｅａｄ−ｏｎｌｙｍｅｍｏｒｙ　ＥＥＰＲＯ Ｍ）１１５、アナログインタフェース回路１３０、トランスフォーマ１２０の二 次巻線１２１、及び容量性プレート１２５から１２８が含まれる。

マイクロコンピュータ１１０は中央処理ユニット及びランダム　アクセス　メモ リ及び読出し専用メモリの形式のメモリ　ユニットを含む。その内部読出し専用 メモリによって提供されるファームウェアの制御下にて動作し、マイクロコンピ ュータ１１０はＥＥＰＲＯＭ１１５に直接に送られ、また読出し／書込み装置１ ５を介してステーション１８に送られるデータをフォーマット化する。ＥＥＰＲ ＯＭの全体あるいはこの一部はコンピュータの一部として統合することも、ある いは別個の要素とすることもできる。マイクロコンピュータ１１０はまた読出し ／書込みユニット１５を通じてステーション１８から受信される命令プリミティ ブを翻訳する。

カード１０内にＥＥＰＲＯＭ１１５を使用することによって、許可されたユーザ は必要であればカードのメモリ　セクション内の幾つかのアプリケーション　フ ァイルを新たな異なるデータにて再プログラムする能力をもつ、データは動作パ ワーが加えられている間にＥＥＦＲＯＭに書き込むあるいはこれから読出しない し消去することが可能である。動作パワーが除去されると、ＥＥＦＲＯＭ内のデ ータに加えられた全ての修正はそのままとなり、カード１０に再びパワーが加え られるたびに検索が可能である。

アナログ　インタフェース回路１３０はメモリ　カード１０を読出し／書込み装 ｗ１５にインタフェースするための手段を提供する。このインタフェースは読出 し／書込み装置１５から結合された磁気エネルギーからの動作パワーのカード１ ０への供給、及び読出し／書込み装置１５とカード１０上のマイクロコンピュー タ１１０の間のデータの結合を含む複数の機能を遂行する。カード１０を動作す るためのパワーはアナログ　インタフェース回路１３０にトランスフォーマ１２ ０の二次巻線１２１によって提供される誘導性インタフェースを介して提供され る。このトランスフォーマはカード１０内のこの二次巻線が読出し／書込み装置 １５内の一次巻８１２２にはめ込まれたとき形成される。ステーション１８は読 出し／書込み装置１５及びカード１０の両方の動作のためのパワー源を提供する 。

トランスフォーマ１２０はトランスフォーマの一次巻線１２２と二次巻線１２１ の間の結合を増加させるために読出し／書込み装置内にフェライト　コア１２３ を含む、さらに結合効率を向上させるためにトランスフォーマ１２０内に第２の フェライト　コア１２０を含め、カード内の二次巻線１２１と関連させることも できる。豊富なパワーがあり、効率も問題とならないようなケースでは、これら コアの片方あるいは両方を省くことができる。

カード１０へのデータの受信あるいはこれからの伝送はアナログ　インタフェー ス１３０に接続された容量性インタフェースによって提供される。この容量性イ ンタフェースはカード１０上の電極あるいはプレート１２５から１２８が読出し ／書込み装置１５内の対応する電極あるいはプレート１５５にはめ込まれたとき 形成される４つのコンデンサから成る。これらコンデンサの中の２つは読出し／ 書込み装置１５からカード１ｏにデータを伝送するために使用され、残りの２つ はカード１０から読出し／書込み装置１５にデータを伝送するために使用される 。誘導性インタフェースと容量性インタフェースの組合せは読出し／書込み装置 １５とメモリ　カード１０との間に完全な通信インタフェースを提供する。

読出し／書込み装置１５内の幾つかの要素の編成はカード１０内の要素と機能的 にミラー関係にある。これら要素には、例えば、アナログインタフェース回路１ ４０とマイクロコンピュータ１５０がある。これに加えて、読出し／書込み装［ １５はパワー源１６２及び入力／出力インタフェース１６０を含む、パワー源１ ６２はカード１０にパワーを提供するため、及び読出し／書込み装置１５からの クロック信号をトランスフォーマ１２０を通じてカード１０に結合するために使 用される。入力／出力インタフェース１６０は原理的には普遍非同期受信機送信 機（ｕｎｉｖｅｒｓａｌ　ａｓｙｎｃｈｒｏｎｏｕｓ　ｒｅｃａｉｖｅｒ　ｔｒ ａｎｓｍｉｔｔｅｒ。

ＵＡＲＴ）であり、マイクロコンピュータ１５０内に含まれる。このＵＡＲＴは アプリケーション　ステーション１８と通信する。このアプリケーション　ステ ーション１８はオフィス編集ステーション、工場編集ステーション、発行人編集 ステーション、公衆電話ステーション、あるいは他の適当に構成されたステーシ ョンであり得る。

ＰＤＣシステムに対する保安問題は２つの大きな領域に分けられる。第１の領域 は同定及び認証の問題であり、ステーションが（１）認証されたカードと通信す ること及び（２）カード上の認証されたアプリケーション　ファイルと通信する ことの両方を保証することに関する。

第２の領域はカード上のファイルへのアクセスの制御及びステーションの所のア プリケーションによるカード命令の実行の制限に関する。ここで、アプリケーシ ョンとは、カード上の特定のファイル内の特定のデータにアクセスする勘定等で ある。

適当な認証手順なしには、システム詐欺の意図をもつ者がステーションの所のプ ロトコールをシュミレートし、ＰＤＣシステムに関する情報を得る恐れがある。

ステーションが認証カード上の認証ファイルと通信することを保証することは、 個々のカードに一意の番号を割り当て、この番号あるいは番号のサブセットをス テーション内に常駐する隠されたアプリケーション　パスワードとともに使用す ることによって達成される。これら番号がアルゴリズム的に操作され、認証コー ドが生成され、これが生成時にカード上のアプリケーション　ファイル内に格納 される。その後のトランザクションの際に、このコードがステーションによって 独自に生成された類似のコードと比較される。

カード　ファイル　システム及びカード命令に対する保安を提供し、しかも異な るタイプのアプリケーションを扱うためのフレキシビリティを確保するために、 カードは６つの異なる保安レベルを採用する。　これら保安レベルはカードが２ つのタイプの資源、つまり、カードファイル　システム及びカード命令を保護す る。これら資源へのアクセスは認可されたログイン　レベル、要求された命令、 アクセスされるべきファイル、及びカードのオーナによって課せられる追加の制 約の関数である。

第２図にはこれら６つのログイン保安レベルが示される。最初の４つの低いレベ ルは通常保安クラス（ＮｏｒｍａｌＳｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）のカテゴリ ーにおかれ、公衆環境内の使用に供せられる。この階層的保安レベル内の最初の 最も低いレベルは一般情報のためのＰＵＢＬＩＣ（公衆）ログイン　レベルであ り、アクセスのためのパスワードを必要としない、医療情報及び保険番号あるい は図書カード情報などがこのレベルに含まれる公衆データの例である。カードが パワーアップにおいて初期化あるいはステーションの所でリセットされると、こ れはＰＵＢＬＩＣログイン　レベルとなる。

第２のレベルはＵＳＥＲ（ユーザ）レベルであり、アクセスのためにユーザ　パ スワードを必要とする。ユーザはこのレベルに貸借勘定を含めることができる。

第３のレベルは５ＴＪＢ　ｌ５ＳＵＲＥ（下位発行人）レベルである。このレベ ルもアクセスに対するパスワードを必要とし、これは通常、ＭＡＳＴＥＲｌ５Ｓ ＵＥＲ（上位発行人）あるいはカードの所有者によって許可されたアプリケーシ ョンで使用される。

保安の第４のレベルは、ＭＡＳＴＥＲｌ５ＳＵＥＲによって維持されるレベルで ある。カードはこのレベルでフォーマット化され、　ここから発行される。　こ れらレベルがいかに使用されるかの例として、銀行は貸し方あるいは借り方勘定 を含むカードを発行する。この銀行はこのカードの使用を小売り業者に許可し、 小売り業者はこのカード上に小売り業者自身の貸し方あるいは借り方勘定を作成 する。　この例では銀行がＭＡＳＴＥＲＩＳＳ、ＵＥＲ（上位発行人）であり、 小売り業者が５ＵＢＩＳＳＵＲＥＳ　（下位発行人）である、カード保有者は、 勿論、ＵＳＥＲ（ユーザ）である、この例では、個々の勘定はカード上の別個の ファイルによって扱われ、特定のファイルに対して正規の資格をもつ者あるいは プログラムのみが適当なアプリケーション　ステーションにてそのファイルにア クセスすることができる。

２つの上層保安レベル、ＤＥＶＥＬＯＰＥＲ（開発者）及び５ＵＰＥＲＵＳＥＲ （スーパー　ユーザ）は延長保安クラス（Ｅｘｔｅｎｄｅｄ　５ｅｃｕｒｉｔｙ 　Ｃ１ａｓｓ）カテゴリーにおかれるが、　このカテゴリーは通常保安クラス（ ＮｏｒｍａｌＳｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）カテゴリー内のレベルには供され ない命令の使用を可能とする。

第５のレベル、つまり、５ＵＰＥＲＵＳＥＲ（スーパー　ユーザ）レベルはブラ ンク　カードの製造、テスト、初期化を行ない、この保安が確保され、不正カー ドが使用できないようにするための製造レベルである。

最後に、第６番目の最も高いレベルは、　カードの開発者レベルである。　５Ｕ ＰＥＲＵＳＥＲ及びＤＥ−ＶＥＬＯＰＥＲ保安レベルは両方とも後に詳細に説明 されるカード　システム見出しを含むカード　ファイルシステムの全内容にアク セスする能力をもつレベルである。

個々が固有の資格をもつ複数のファイルがカード上に存在するため、複数のアプ リケーションがこれら別個のファイル内に衝突あるいは混乱することなく別個に 存在できる。全て同一カード上に１０個あるいはそれ以上の別個の貸し方あるい は借り方勘定、電子チェックブック、及びユーザのアパートにアクセスするため の保安パスをもつユーザを容易に想像することができる９発行者並びにユーザは 、カードが公衆レベル以外で許される以外のファイルにアクセスするためにはパ スワードによってユーザ自身を同定することを必要とするため、カードが不正に 使用される不安をもつ心配はない。

第３図には２つの領域、つまり、管理部分である見出し、及びアプリケーション 　ファイルを含むデータ部分にセグメン１−化されたカード　ファイル　システ ムが示される。

保安見出し３５はカード番号、個々のログイン　レベルに対するパスワード、個 々のレベルに対する不成功パスワード試行の回数、ログイン　レベルがブロック されていることを示すロック　バイト、データベース内の固定レコードのサイズ 、ＥＥＰＲＯＭ１１５のキロバイト単位のメモリ　サイズ等の情報が含まれる。

見出しセクションへの直接アクセスは２つの最も高い保安レベルでのみ可能であ る。

カードのデータ　セグメント３０は、ＭＡＳＴＥＲＩＳＳＵＥＲによってセット されるｎバイトの長さの固定レコードに分割される０個々の使用レコード３１． ．３２゜３３が特定のファイルに割り当てられる。特定のファイルの同定はその ファイルの同定番号に割り当てられた個々のレコードの最初のバイトによって行 なわれる。

カードはファイル　ダイレフトリー（Ｄｉｒｅｃｔｏｒｙ）を持たず、同一ファ イルの異なるレコード間にポインタは存在しない、ファイル　データの順番は一 連（ｃｏｎｔｉｑｕｏｕｓ）のレコードによるのでなく、線形順序によって示さ れる。

カードのオペレーティング　システムはＥ　Ｅ　Ｐ　ＲＯＭ内のアドレスを最低 から最高アドレスに向けて走査する。

特定のファイル同定番号とともに位置された第１のレコードがそのファイル内の 第１のレコードであり、そのファイルの同定番号とともに位置される最後のレコ ードがそのファイル内の最後のレコードである。カード　オペレーティング　シ ステムはファイルのレコードを特定のファイル内の個々のレコードに出会ったと き読み出す。

カード上に許されるファイルの最大サイズ及び数はＥＥＦＲＯＭのメモリのサイ ズによってのみ制限される。ファイルを読むステーション　アプリケージ１ン　 ソフトウェアはカードの内部ファイル構造とは独立した一連のバイト流のみを見 る。

第４図にはカード　ファイル　システムのデータ　セグメント領域内の個々のフ ァイルの３つのセクションがより詳細に示される０個々のファイルの第１のレコ ード内に位置する接頭セクション４１は、ファイル同定番号４２及び保護バイト ４３，４４及び４５を含む、ファイル同定番号は１と１６進ＦＨの間の番号であ る。１６進番号ＯＯと１６進番号ＦＦはそれぞれ未使用のレコード及びＥＥＦＲ ＯＭ内の使用可能なメモリの終端を示すために予約される。

保護バイト４３から４５はファイル許可を指定する。

第１のバイト４３は読出し許可を表わし、そのファイルの読み出しができる最低 レベルを指定する。第２のバイト４４は読出し／書込み許可を表わしそのファイ ルに読出し及び書込みの両方が可能な最低レベルを指定する６従って、あるファ イルに対する読出し許可をあるファイルに対する読出し／書込み許可から分離す ることができる。読出しアクセスに対して読出し／書込みアクセスに異なる保安 レベルを指定することもできる０例えば、あるファイルに対する読出し許可をＰ ＵＢ　Ｌ　Ｉ　Ｃレベルに指定し公衆情報に対する公衆アクセスを許し、一方で 、書込み許可をＵＳＥＲレベルに指定し、ユーザの同意なしには、ファイルへの 書き込みを禁止することができる。

第５図にはオプションのパスワード及び追加専用機能を使用する通常保安クラス （Ｎｏｒｍａｌ　５ｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）レベルの階層構造が示される 。カード使用のフレキシビリティを増加させるために、カード上の個々のファイ ルはその保護バイトの中に特定のファイルにアクセスが許される前にオプション のパスワードを提供すべき要件を含む、これはユーザがあるレベルに保護された ファイルに対するアクセスを得るためにはカードのオペレーティング　システム によって要求される保安レベルでなくてはならないという要件に追加する要件で ある。−例として、ユーザに対するオプションの書込みパスワードを含む書込み ／続出し許可をもつファイルは、（１）ユーザ　レベルでカードにログインする こと、及び（２）そのファイルを読み出すためにファイルを開くことを要求する 。ただし、このファイルに書き込むためには、ユーザは（１）ユーザ　レベルに てカードにログインすること、及び（２）オプションのパスワードを提供して“ 書込み”のためにファイルを開くことを要求される。これはファイルのアクセス 許可が要求するより高いレベルでログインする者には適用しない、この高いレベ ルにてログインする者は指定の保安レベルにてオプションのパスワードが要求さ れる場合でもそのファイルに対するアクセスを得ることができる。

通常保安クラス（Ｎｏｒｍａｌ　５ｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）　レベルの階 層構造は、ＭＡＳＴＥＲｌ５ＳＵＥＲがそのレベル及びそのレベル以下の全てで ファイルを読出し及び書込みでき；ＳＵＢ　ｌ５ＳＵＥＲがそのレベル及びその レベル以下の全てでファイルを読出し及び書込みできるような構造をもつ、同様 に、カード保有者はそのレベルあるいは公衆レベルにて全てのファイルを読出し 及び書込みできる。

それが適当であるアプリケーションにおいては、第４図の保護バイト４５をセッ トし、ユーザがファイルにデータを追加することのみを許し、現存するデータの 消去は許さない“追加専用（ａｐｐｅｎｄ−ｏｎｌｙ）　”モードを実現するこ とができる。適当なアプリケーション　ファイルを反映するレコードがこのデー タが入力されしだい格納されるように生成される。つまり、あるファイルを読出 し／追加許可として、あるいは読出し／書込み許可として指定することができる 。

ファイルの情報セクション４６はそのファイルの個々のレコード内に位置する実 際のデータを含む、そして最後のレコードＮの最後のバイト４８内の番号Ｍをも つ接頭セクション４７はその最後のレコード内のアプリケーション　データ　バ イトの数を示す。

カード上の管理オペレーティング　システムは第６図に示される一般的に理解さ れている命令プリミティブの使用を通じて通常保安クラス（Ｎｏｒｍａｌ　５ｅ ｃｕｒｆｔｙ　Ｃ１ａｓｓ）レベルによってアクセスされる。これら命令プリミ ティブはカードに対する保安アクセス、ファイルの生成及びアクセスを制御し、 また、管理及びテスト動作を制御する。５ＵＰＥＲＵＳＥＲあるいはＤＥＶＥＬ ＯＰＥＲログイン　レベルに対して追加の命令プリミティブが使用できる。

これら命令プリミティブの動作は“ログイン”命令の動作の説明を通じて解説で きる。カードにログインするためには、ユーザはログイン　レベル及びパスワー ドを指定することが要求される。このパスワードは内部的にカードによってその カード見出し内の同一ログイン　レベルの対応するパスワードに対してアルゴリ ズム的にチェックされる。カードユーザがそのファイルによって要求されるより も低いログイン　レベルをもつファイルにアクセスを得ることを試みている場合 は、読出しあるいは読出し／書込みのいずれかのためにファイルを開く許可は拒 否される。

個々の保安レベルに対するパスワードはカードが製造されるときにカードの見出 し内におかれる。パスワード命令はロック　オンされた保安レベルのユーザがそ のレベルあるいはそれ以下のレベルのパスワードを変更することを許す、従って 、パスワードが損失あるいは忘れた場合は、これはより高い保安レベルにてカー ドにログインし、パスワード命令を使用して書き換えることができる。このため 、失われたパスワードを回復する必要はない。

１つの保安レベルで許される連続の不成功の“ログイン”試行回数は所定の回数 に制限される。この回数を超えると、カードそはの保安レベルをロックする、あ るいはカードの全てのデータベースを消去するように構成さツクされたレベル以 上のレベルはこれをアンロックすることができる。これによりカードの保守をロ ックされたレベルより上の最低レベルに任すことが可能となる。失敗の回数はＥ ＥＦＲＯＭの見出し部分内の適当な“パスワード失敗カウンタ（ｐａｓｓｗｏｒ ｄ　ｆａｉｌｕｒｅ　ｃｏｕｎｔｅｒ）”　内に記録される。

オプションのパスワードを要求するファイルを保護することも可能である。ファ イルはカードと同一の方法で必要であればそのファイルの保護バイト内にそのフ ァイルを消去するためのビットをセットすることによって個別に保護することも できる。こうして、オプションのパスワードを要求するファイルを開くことを試 みている者は、所定の回数の試みのみが許され、これを超えた場合は、カードの ロックされたそのファイル内のデータの消去が起こる。

第７図にはカード上のオペレーティング　システムのカードへの許可されないロ グインを防止するための部分の流れ図が示される。ログイン命令がアクセスされ るたびに、パスワード失敗カウンタがパスワード失敗を反映するように更新され る０次に、与えられたパスワードがカード見出し内のパスワードに対してチェッ クされる。

正しいパスワードが与えられた場合は、パスワード　カウンタが消去される。こ の機能は不成功のログイン試行の後に失敗カウンタが失敗を反映するように更新 される前にカードからパワーを除去する装置を使用してのパスワードに対する巧 妙な挑戦に対する保護を提供する。

アプリケーション　ソフトウェアの開発を助けるために、高レベル　ソフトウェ ア　ライブラリがステーションと読出し／書込み装置並びにステーションとカー ドの間の全ての相互作用を支援するために生成される。結果として、アプリケー ション　プログラマはめんどうなカード内部あるいは通信プロトコールの詳細に かかわる必要はない、プログラマのコードはライブラリと直接にインタフェース し、ライブラリがカードとインタフェースする。

ライブラリは４つのセクション、つまり、第６図に示されるようなカード命令の 直接マツピングを提供するためのカード　ライブラリ　セクション、読出し／書 込み命令の直接マツピングを提供するための読出し／書込みライブラリ　セクシ ョン、カード及び／あるいは読出し／書込み命令を含む命令ライブラリ　セクシ ョン、及びステーション上に位置する共通制御機能を含む制御セクションに分割 される。これら機能はポート及び論理デバイスの初期化、終端及び制御の詳細を 含む、従って、このライブラリはソフトウェア　インタフェースとして機能し、 典型的なコンピュータ　プロトコールと非常に類似するデバイス及びファイルに アクセスする方法を提供し、アプリケーション　プログラマの負担を軽減する。

カードのオペレーティング　システムは、レコードの割り当て、レコードの解放 及び不用部分の整理機能が提供される。情報がファイルから削除されると、カー ドは解放されたレコードを使用可能なレコードのプールに戻し、不用部分の整理 を遂行することによって使用レコードを線形順序に並べる。この不用部分の整理 を通じて、カード上の全ての未使用のレコードがカード　メモリの終端に集めら れる。必要に応じて、追加レコードの割り当てが、書込みがファイルの最後のレ コードを越えたとき自動的に遂行される。使用可能なレコードを常にカードの端 に維持することによって、ファイルに対する新たなレコードが常にファイルの前 に端を過ぎて割り当てられ、これにより個々のファイルのレコードの線形順序が 保持される。

レコードの割り当て及び解放に関する情報はステーションの所のアプリケーショ ンには提供されない、アプリケージ１ンは実現の詳細を認識することなく単に一 連のデータをみるだけであるため保安が向上される。また、原始フォーマットの アプリケーション　ファイルへの直接アクセスも通常保安クラス（Ｎｏｒ＋ｓａ ｌ　５ｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）レベル内に発見される命令へのアクセスを もつユーザに許されない、全カードへのアクセスは、延長保安クラス（Ｅｘｔｅ ｎｄｅｄ　５ｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）レベル内に発見される命令へのアク セスを持つユーザにのみ許され、これによりカ−ドの製造及びテストの時の機密 が保持される。

第８図にはＰＤＣシステムの通信プロトコール内での動作のために配列されたソ フトウェア階層が示される。

ステーション１８内のアプリケーション層１８１はカード１０とインタフェース し、また端末１８７の所のユーザと端末インタフェース１８２を通じてインタフ ェースし、さらにデータベース　インタフェース１８４を通じてオプションのデ ータベースとインタフェースする。カード１０へのアクセスを簡素化するために 、アプリケーション層１８０は上に説明のライブラリ層１８５とインタフェース する。一方、ライブラリ層は読出し／書込み装置１５とカード１０との実際のト ランザクションを扱うリンク層１８６とインタフェースする。

ステーション１８は直列ボートを通じて読出し／書込み装［１５に接続されるが 、これはカード１０並びに読出し／書込み装！１５と直接に通信する。カードに 向けられた全てのメツセージは、従って、透明的に読出し／書込み装置１５を通 じてカード１０に送られる。宛先アドレスはメツセージのプリアンプル　セクシ ョン内に発見される０本発明に使用が適当なメツセージ　フォーマットが第９図 に示されるが、これに関しては後に詳細に説明される。

読出し／書込み装置１５及びカード１０は両方ともデータ　リンク層１８６のス テーションとの交信に同一の半二重通信プロトコールを用いる。カード１０は完 全で受動であり、ステーション１８との間のトランザクションを先導することは できない、読出し／書込み装置１５は、ステーションにこれらの間を直列ポート 内のキャリヤ検出リードを介して“アテンション”信号を送ることができる点で のみカード１０と異なる。ステーション１８はそのとき処理している現在のトラ ンザクションが完了した後にこの“アテンション”信号に応答する。ステーショ ンは次に読出し／書込み装置１５を尋問して、′アテンション”信号の理由を決 定する。読出し／書込み装ｗ１５がこのアテンション信号を送る状況の一例とし て、カード１０が読出し／書込み装置１５上の収容スロット（図示なし）内に挿 入され、ステーション１８と通信できる位置にあるときこの信号が送られる。第 ２の例としては、カード１０が読出し／書込み装置１５内のスロットから外され たときこの信号が送られる。

読出し／書込みは２つの層、つまり、リンク層１５１及び命令層１５２をもつ、 リンク層１５１はステーション１８とカード１０との間の透明媒体であり、この 間で命令あるいは応答を運ぶ、読出し／書込み装置１５内のリンク層１５１は、 必要であれば、緩衝動作及びボー速度変換を提供する。カード１０と読出し／書 込み装置１５の間の伝送速度は１９２００ボーに保持される。ステーション１８ と読出し／書込み装置１５の間のボー速度が読出し／書込み装置１５とカード１ ０の間のボー速度より遅い場合は、読出し／書込み装置１５はボー速度変換を行 ない、メツセージをブロックの一連のデータとして送ることができるように緩衝 する。読出し／書込み装置内の第２のの層は命令層である。この層は読出し／書 込み装置内にあり、ステーション１８から読出し／書込み装置に特にアドレスさ れた命令に応答する。

プロトコール内のデータは通信リンクを通じてシリアルに１文字ずつ送られる。

文字が１つの開始ビット及び１つの停止ビットにてフレーム化される０文字の一 連のブロックのメツセージが半二重プロトコールの制約内で任意の時間に送られ る。ステーション１８と読出し／書込み装置１５あるいはカード１０は所定のメ ツセージ　パケットにて情報を交換する。パケットは、パケット内のどこでデー タが開始及び終端するかに関する制御情報及びメッセー・ジ　データの保全性を チェックする情報を含む。

第９図には、第８図との関連でより詳細に本発明の使用に適当なメツセージ　フ ォーマットが示される。ここで、ステーション１８は読出し／書込み装Ｗ１１５ あるいはカード１０にアドレスする６メツセージ　フォーマットは読出し／書込 み装置１５あるいはカード１０をアドレスするためのプリアンプル９１およびメ ツセージの開始をマークするためのフレーム開始制御シーケンス９２（ＤＬＥ　 ５ＴＸ）を含む、メツセージ　フォーマット内の次の欄はリンク状態９３である が、これはメツセージの肯定応答（ＡＣＫ）が送信されたか否定応答（ＮＡＫ） が送信されたかを示す情報、伝送の際にエラーが発生したか否かを示す情報、及 び現在のメツセージの番号（タグ）を含む。個々のメツセージには番号が割り当 てられる。

メツセージ　フォーマットにはリンク状態バイト内の３つの最下位ビットを使用 するモジュラス８スキーム（ｇ。

ｄｕｌｕｓ　８　ｓｃｈｅｍｅ）が使用される。

命令の次の欄はデータＷ９４であり、これは伝送されたデータ及びこれに続くメ ツセージの終端をマークするフレーム終端制御シーケンス９５（ＤＬＥ　ＥＴＸ ）を含む、最後に、２バイト　チェックサム９６がＪ、Ｇ、フレクチャ−（Ｊ、 　Ｇ、　Ｆｌｅｔｃｈｅｒ）によってＩＥＥＥ）−ランザクジョンオンコミュニ ケーション（ＩＥＥＥ　Ｔｒａｒ＋５ａｃｔｉｏｎｓｏｎ　Ｃｏｍｍｕｎｉｃａ ｔｉｏｎｓ）、　Ｖ　ｏ　１．　Ｃｏｍ　−３０，１９８２年１月、ページ２４ ７−２５２に掲載の論文［シリアル伝送のための算術チェックサム（Ａｎ　Ａｒ ｉｔｈｍｅｔｉｃ　Ｃｈｅｃｓｕｍｆｏｒ　５ｅｒｉａｌ　Ｔｒａｎｓｍｉｓｓ ｉｏｎｓ）　］において説明のアルゴリズムを使用して生成される。

読出し／書込み装［１１５あるいはカード１０からステーション１８に戻される メツセージ　パケット応答はステーションによって生成されるメツセージ　パケ ットと同一である。第９図に示されるメツセージ　フォーマットは、従って、全 てのサブシステム間の通信に適用する。

ステーション１８から送信されるメツセージのプリアンプルは８バイトから成る 。メツセージはこれら連続プリアンプル文字の少なくとも３つがそれとの通信を 試しているサブシステムによって検出されたときステーション１８によって正し く受信されたものとみなされる。

読出し／書込み装置１５あるいはカード１０との通信を実現するためには、ステ ーション１８は“リンク　リセット（ｌｉｎｋ　ｒｅｓｅｔ）’メツセージを送 る。通信はステーションがＮＡＫを受信したとき、あるいは応答が受信される前 に所定の時間が経過したとき失敗する。

読出し／書込み装置１５との通信がいったん確立されると、読出し／書込み装置 はステーション１８にカード１０が挿入されたこと、あるいは既に挿入されてい ることを通知する。カード１０が挿入されると、読出し／書込み装置１５はステ ーション１８に“アテンション”信号を送る。ステーションが挿入されたカード が１例えば、磁気ストライプのみをもつカードではなく、スマート　カードであ ることを決定すると、ステーションはカードを初期化するためにカードにリンク 　リセット　メツセージを送る。いったん初期化されると、カードはステーショ ン１８内のアプリケーション層１８１からの命令をまつ、要求が受信されると、 これはカード１０内の命令層１０１によって処理され、応答がステーション１８ に戻される。この間、カード１０は次の命令を待つ、ステーション１８はどのサ ブシステムにアドレスし、どのメツセージを送るべきか、つまり、リンク　リセ ット　メツセージを送るべきか、命令を送るべきかを任意に選択できる。

第１０図はステーション１８に対するリンク層意志決定プロセスを図解する流れ 図である０通常のトランザクションの際の読出し／書込み装置１５あるいはカー ド１０との通信において、ステーション１８はメツセージを送信し、タイマをセ ットする０次に、ステーションがそれが通信を試みているサブシステムからの応 答を受信するか、所定の時間がきれる。ステーションへのメツセージ応答内のリ ンク状態バイトがＡＣＫを含む場合は、これはトランザクションが成功のうちに 完了したことを示し、タグ値がモジュラス８に増分される。この応答が次にステ ーション１８内のアプリケーション層１８１に提供される。

否定応答、つまりＮＡＫが受信された場合は、少なくとももう２回のリンク再試 行が行なわれ、タグ値はそのままとされる。ステーションは再送信を要求せず、 最後の命令を送信する。肯定応答、つまりＡＣＫが３回の試行の後に受信されな い場合は、リンク　レベル　エラー回復が始動される。

第１１図は読出し／書込み装置１５及びカード１０の両方に対するリンク層意志 決定プロセスを図解する流れ図である。第８図及び第１０図の両方を参照するこ とによって理解できるように、通常のトランザクションの際のステーションへの 通信において、読出し／書込み装置１５あるいはカード１ｏは、個々のメツセー ジが受信されるたびに現在の要求が新たなトランザクションであるか、あるいは 前のトランザクションに対する再送信要求であるかを決定するためにタグを調べ る。現在のタグ値が前のトランザクションのタグ値と異なる場合は、その入りメ ツセージは新たなトランザクションとして扱われる。現在のタグ値が前のタグ値 に等しい場合は、ステーション１８によって再送信が要求されていることを示す 。

読出し／書込み装置１５あるいはカード１０は必ずそれが最後に処理した妥当命 令と関連するタグにて応答する。

従って、現在の送信が失敗すると、つまり、′不当メツセージ”の場合は、リン ク層は否定応答（ＮＡＫ）及び最後の妥当タグにて応答する。′零”命令は読出 し／書込み装置１５あるいはカード１０にその順番タグをそれが受信するタグに リセットするよう命令する。リセット時に、読出し／書込み装置１５あるいはカ ード１０は、入りメツセージが新たなメツセージとして扱われることを保証する ためにそのタグを不当値にする。

カード１０とのセツションの終結は、ステーション１８が読出し／書込み装置！ １５にカード１０へのパワーを切るように命令する、あるいはユーザがカード１ ０を取り出すことによって行なわれる。後者の場合は、読出し／書込み装置１５ が自動的に空のカード　スロットへのパワーの供給を中止し、ステーション１８ に“アテンション”信号を送る。すると、ステーションは読出し／書込み装置！ １５に“状態要求”命令を送る。これに応答して、読出し／書込み装［１５はス テーション１８にカード１０が取り出されたことを報告し、リンク層はカード１ ０との通信が３回失敗した後にアプリケーション層に通信エラーを報告する。こ れはアプリケーション層のみが読出し／書込み装置が動作してないことを宣言で きることから必要である。

ＦＩＧ、６ ＦＩＧ、７ ＡＮＮＥＸ　Ｔｏ　ＴＨＥ　ＩＮＴＥＲＮＡＴＩＯＮＡＬ　５ＥＡＲＣＨＲＥＰ ＯＲＴ　ＯＮ

Claims (13)

【特許請求の範囲】
1. １．ポータブルデータキャリヤシステムにおいて、該システムが 可変データを格納及び処理するためのポータブルデータキャリヤ（１０）を含み 、該ポータブルデータキャリヤが該ポータブルデータキャリヤ上に置かれた管理 オペレーティングシステムを動作するためのコンピュータ（１１０）及び電気的 に消去可能なプログラマブル読出し専用メモリ（１１５）の両方を含み、該シス テムがさらに 該ポータブルデータキャリヤからのデータを処理するためのアプリケーションス テーション（１８）；及び 該アプリケーションステーションと該ポータブルデータキャリヤとの間の通信を 提供するための通信手段（１５，１０２，１５１，１８６）を含み、該アプリケ ーションステーションが該命令プリミティブに応答して該命令プリミティブを介 して該通信手段を通じて該ポータブルデータキャリヤと通信し、該管理オペレー ティングシステムが該可変データにアクセスして該ポータブルデータキャリヤか らのデータの読出し及びこれへのデータの書込みを行ない、またこのデータを該 通信手段を介して該アプリケーションステーションに送ることを特徴とするポー タプルデータキャリヤシステム。
2. ２．請求の範囲第１項に記載のポータブルデータキャリヤシステムにおいて、該 通信手段がポータブルデータキャリヤ読出し／書込み装置（１５）を含み、該読 出し／書込み装置が該アプリケーションステーションと該ポータブルデータキャ リヤとの間でデータを結合するためのインタフェースを提供することを特徴とす るポータブルデータキャリヤシステム。
3. ３．請求の範囲第１項に記載のポータブルデータキャリヤシステムにおいて、該 ポータブルデータキャリヤ内の該可変データが該電気的に消去可能なプログラマ ブル読出し専用メモリ内の複数のファイル（３１−３３）内に格納されることを 特徴とするポータブルデータキャリヤシステム。
4. ４．請求の範囲第３項に記載のポータブルデータキャリヤシステムにおいて、該 ポータブルデータキャリヤがさらに見出し領域（３５）及びデータセグメント領 域（３０）の両方から成るファイルシステムを含み、該見出し領域が該ポータブ ルデータキャリヤ内のデータにアクセスすることを試みている者の同定を検証す るための第１のパスワードを含み、該データセグメント領域が複数のファイルを 含むことを特徴とするポータブルデータキャリヤシステム。
5. ５．請求の範囲第４項に記載のポータブルデータキャリヤシステムにおいて、所 望のトランザクションのための個々のファイルヘのアクセスが該ポータブルデー タキャリヤ内でトランザクションを行なうことを許可された者に指定される第２ のパスワードによって制御されることを特徴とするポータブルデータキャリヤシ ステム。
6. ６．請求の範囲第５項に記載のポータブルデータキャリヤシステムにおいて、該 ポータブルデータキャリヤ内の個々のファイル（４１）が個人に許可されたアク セスのタイプを定義するためのファイル許可情報を含むことを特徴とするポータ ブルデータキャリヤシステム。
7. ７．請求の範囲第６項に記載のポータブルデータキャリヤシステムにおいて、該 ポータブルデータキャリヤ内の該ファイル許可情報が読出し許可、書込み許可及 び追加許可を含み、読出し許可をもつ第１のファイル（４３）がユーザがその中 のデータを読み出すことのみを許し、書込み許可をもつ第２のファイル（４４） がユーザがその中のデータを読み出すこと及びその中にデータを書き込むことを 許し、そして読出し及び追加許可をもつ第３のファイル（４５）がユーザがその 中のデータを読み出すことのみ及びその中にデータを追加することを許すことを 特徴とするポータブルデータキャリヤシステム。
8. ８．請求の範囲第７項に記載のポータブルデータキャリヤシステムにおいて、さ らに最低保安レベル、最高保安レベル及びこれらの間の複数の他の保安レベルか ら成るように階層的に配列された複数の保安レベルが含まれ、個々の保安レベル ヘのアクセスがその保安レベルにてデータにアクセスすることを許可された個人 にのみ指定される対応するパスワードによって制御されることを特徴とするポー タブルデータキャリヤシステム。
9. ９．請求の範囲第８項に記載のポータブルデータキャリヤシステムにおいて、該 ファイル許可情報が保安レベルに従って指定可能であり、第１の高い保安レベル が該第２のファイル内のデータの読出し及びここれへのデータの書込みを許し、 第２の低い保安レベルが該第２のファイル内のデータの読出しのみを許すことを 特徴とするポータブルデータキャリヤシステム。
10. １０．請求の範囲第８項に記載のポータブルデータキャリヤシステムにおいて、 該ファイル許可情報が保安レベルに従って指定可能であり、第１の高い保安レベ ルが該第２のファイル内のデータの読出し及びこれへのデータの書込みを許し、 第２の低い保安レベルが該第２のファイル内のデータの読出し及びこれへのデー タの追加のみを許すことを特徴とするポータブルデータキャリヤシステム。
11. １１．請求の範囲第１項に記載のポータブルデータキャリヤシステムにおいて、 該ポータブルデータキャリヤがデータ及び該ポータブルデータキャリヤ内のデー タにアクセスすることを試みている個人の同定を検証するための一意のアクセス コードを含み、該ポータブルデータキャリヤが； 該ポータブルデータキャリヤに外部からコードが提供されるたびにカウントを進 める全てのアクセス試行を記録するためのカウンタ手段； 該外部から提供されるコードが該ポータブルデータキャリヤ内に格納されたコー ドと一致したとき指標を提供するための検証手段；及び 該カウンタ手段によって進められたカウントを前のカウントにリセットするため のカウンタリセット手段を含み、該カウンタリセット手段が該検証手段がコード が一致しデータアクセスが許されたことを示したとき起動され、該カウンタリセ ット手段が該検証手段が一致を示さないときは起動されないままとなることを特 徴とするポータブルデータキャリヤシステム。
12. １２．請求の範囲第１１項に記載のポータブルデータキャリヤにおいて、該カウ ンタ手段が所定の数までカウントし、この数に到達する該ポータブルデータキャ リヤから全てのデータを消去することを特徴とするポータブルデータキャリヤ。
13. １３．請求の範囲第１１項に記載のポータブルデータキャリヤにおいて、該カウ ンタ手段が所定の数までカウントし、この数に到達するとロックし、これによっ てそれ以上のアクセス行為を阻止することを特徴とするポータブルデータキャリ ヤ。