JPH09508733A - ポータブルデータ処理ユニットを備えたデータ交換システム - Google Patents

Abstract

(57)【要約】 データ通信手段（１４）、処理手段（１５）及びメモリ手段（１６）を備えた少なくとも１つのポータブルデータ処理ユニット（５）を有し、メモリ手段（１６）が実行プログラム（１７）及び１つ以上のアプリケーション記述(18(1)・・・１８（ｎ））を備え、各アプリケーション記述が少なくとも１つのインタラクション文脈条件（１９（１）・・・）を有し、該インタラクション文脈条件が、コマンドと、データ要素と、データ基準と、手順と、アクセス条件と、外的基準とを有している。データ要素、データ基準並びに他の基準の構造は、限定されたメモリスペース例えばスマートカードの非常に効率的な使用が得られるように選択される。

Description

【発明の詳細な説明】 ポータブルデータ処理ユニットを備えたデータ交換システム 本発明は、データ通信手段、処理手段及び実行プログラムを備えたメモリ手段 からなる少なくとも１つのポータブルデータ処理ユニットを有するデータ交換シ ステムに関する。 このようなシステムは、多くのアプリケーションファイルをもつポータブルデ ータキャリヤのためのシステムが記載された国際特許出願(WO-A-87/07063)から 知られている。このようなポータブルデータキャリヤの最も重要な用途の１つと して、多くのアプリケーションに適したスマートカードがある。既知のデータキ ャリヤは、同じデータキャリヤに多くのアプリケーションをサポートするという セキュリティの特徴をもつ階層的に構成されたデータのキャリヤとして説明され ている。上記特許出願には、アクセス許容の階層セットと組み合わせて変更可能 データを記憶するため、データキャリヤに階層的ファイルシステムを導入するこ とが記載されている。データキャリヤは、１セットの共通コマンドに応答する。 ファイルアクセス許可は、異なる演算について別個のものであり且つパスワード 検証に基づいて承諾される。パスワード検証試みカウンタ（password verificat ion attempt counter）が導入され且つ非常に多いアクセスの試みに対する認可 （sanction）として、記憶データの破壊が行なわれる。既知のデータキャリヤは 、主として記憶デバイスとして（プロセッサとしてではなく）与えられる。非常 に簡単な機能のみが、２進論理演算のような実行プログラムにより遂行される。 データキャリヤに通じる端末のリクエストがあったときに、不特定セットの演算 を遂行することはできない。セキュリティオプションのみに、パスワード検証が 導入される。既知のシステム内では、他のいかなるアクセス条件の検証も不可能 である。その上、データキャリヤの各アプリケーションは、データキャリヤのメ モリ手段内にそれ自身のファイルを有している。利用可能なメモリスペース（特 にスマートカードの場合、該メモリスペースは非常に制限されており、従って可 能なアプリケーション数に対する制限をセットする）の効率を高めるためにいか な る特殊測度も行なわれない。 EP-A-0,479,655は、は、スマートカードでのアクセス条件のチェックの実施に 関するものである。これについての１つの仕様技術（specification technique ）が開示されているけれども、測度（measures）に、他のアクセス条件の検証が できるようにするのが好ましい。 EP-A-0,361,491は、カードの保護（再）プログラミングを可能にするチップカ ードプログラミングシステムに関する。この特許出願は、プログラムされる書込 み可能メモリの部分のアクセスを制御する追記アクセス条件(write-once-access conditions)の使用を記載している。この方法で、単一カードでのアプリケーシ ョン数が拡大される。暗号プロトコルを含む種々の技術によるアクセス条件も記 載されている。 EP-A-0,292,248は、変更不可能なオペレーティングシステムプログラムを用い てスマートカードにアプリケーションをローディングする技術に関する。このロ ーディング技術は、割当てアクセス属性（assigned access attributes）をもつ メモリゾーンを用いてデータアクセス条件施行法の実施を有している。特別なア クセス条件は、「追記(write-once)」（これは、暗示的に記載されているに過ぎ ない）及び「実行オンリー(execute-only)」である。 米国特許第4,874,935号は、データ辞書（このデータ辞書には、カードのメモ リに記憶されたデータ要素のレイアウトが記載されている）を用いたカードプロ グラミングに関する。データ辞書には、実際に記憶されているデータだけでなく 、後で記憶されたデータもが記載されている点で、データ辞書はディレクトリと は異なっていると一般的に理解されている。また、通常、データ辞書はデータフ ォーマットの記載を有している。コンパイルドフォーマットデータでは、辞書は 、データベースの一部としてハードディスクに記憶されるデータベース管理シス テムに使用される。辞書はまた、ソフトウェア開発環境におけるプログラムコン パイルから得られる目的ロードファイルにおいても見られる。しかしながら、こ の特許は、スマートカードに特に適したデータ辞書の表現を特許請求していない 。 本発明の主目的は、ポータブルデータ処理ユニット（より詳しくはスマートカ ード）の利用可能なメモリスペースの制限された物理的寸法により賦課される制 限に最適に適合できる手段を提供することにある。 本発明の他の目的は、プログラムコードの保護ローディングを行なうより一般 的な機構を提供し且つ各ポータブルデータ処理ユニットの各一アプリケーション に対して多プログラムをローディングできるようにすることにある。 また、本発明は、ポータブルデータ処理ユニットの製造業者により規定される ものではなく、アプリケーションデザイナが彼らの特定目的に適合するように選 択されるアクセス条件検証の使用をすることに関する。 従って、本発明によるシステムは、メモリ手段が更に、少なくとも１つのイン タラクション文脈条件(interaction context)を有し、該インタラクション文脈 条件が次のコヒーレントデータ構造、すなわち、 ａ．１セットの基本的な通信の原始的部分（communication primitives）を有 し、該原始的部分は、データ処理ユニットが同様なユニットと通信するときには いつでも受け入れられ、前記原始的部分は、少なくとも、前記インタラクション 文脈条件の１つを選択的に入力するのに使用される原始的部分を含んでおり、 ｂ．１セットの手順記述を有し、該手順記述は、受け入れられた通信の各原始 的部分に応答して遂行されるアクションを定め、少なくとも、インタラクション 文脈条件を付勢するときに遂行される第１手順記述と、文脈条件を除勢する直前 に遂行される少なくとも手順記述とからなり、 ｃ．空のこともある１セットのデータ要素を有し、該データ要素は永久的に記 憶されるか又は計算され、このデータ要素は、手順記述で定められた手順が遂行 されるときに、使用のために利用され、 ｄ．空のこともある１セットのデータ要素を有し、この基準は手順記述に関連 し、前記データ要素はまた、別のインタラクション文脈条件にもアクセスでき且 つ手順記述に定められた手順が遂行されるときに、使用のために利用され、 ｅ．空のこともあるデータリストを有し、該データリストは、通信の原始的部 分に関連する手順記述により使用すべき通信の原始的部分の一部としての明確な 基準として利用できるデータ要素に関する基準のリストからなり、 ｆ．手順記述に関連するデータリストに関連する基準をもつ１セットのアクセ ス条件と、 ｇ．データリストにおけるデータ基準のリストに関連する１セットのアクセス 条件とを更に有することを特徴とする。 処理ユニットがプロセッサとして実際に組織されるように、（すなわち、処理 ユニットが、論理的演算ができるだけでなく、操作を許容されている人（例えば 銀行のスタッフ）により処理ユニットに負荷された処理を遂行できるように、ポ ータブルデータ処理ユニットのメモリ手段内にデータを形成する。受けたコマン ドに応答して、任意の複雑な演算を行なう手順を与えることにより且つこのよう なコマンドの一部としてアドレスできる記憶データ要素の明確なリストを与える ことにより通信のバンド幅が最適に使用され、少数のコマンドが交換される。本 発明のシステムによれば、システムの多くの実際の使用は２つのコマンドの交換 を必要とする。唯一の確実なことは、メモリ手段内の構造、すなわち、ユニット の幾つかのアプリケーションが非常に効率的に（すなわち、できる限り小さい付 加メモリスペースを使用して）付加されるように形成された構造である。これは 、ユニットが、利用可能なメモリスペースが厳しく制限されたスマートカードで ある場合に特に重要である。その上、本発明の構造は、正当な権限のない人がプ ロセス又はデータを使用することを防止するためのセキュリティ測度（security measure）を与えるあらゆる可能性を与える。 第１の好ましい実施例では、上記データ交換システムは、メモリ手段が更に、 少なくとも２つのインタラクション文脈条件と、少なくとも１つのアプリケーシ ョン記述と、現在実行中のインタラクション文脈条件についての基準を記憶する メモリ要素とを有し、各アプリケーション記述が更に、 ａ．データ要素に関する基準からなるデータリストを備え、前記基準は、２つ 以上のインタラクション文脈条件にアクセスでき且つ賦課データ要素により拡大 され、 ｂ．前記基準又は前記付加データ要素に関連し且つ使用の制限を定めるアクセ ス条件の他のセットを備えている。 これらの測度により、異なるインタラクション文脈条件に共通のデータ要素に ついての全ての基準は、これらの全てのインタラクション文脈条件にアクセスで きるため、これらは一回記憶させる必要があるに過ぎず、メモリスペースを節約 できる。また、前記データ基準への共通アクセス条件は、所定のインタラクショ ン文脈条件にアクセスできる。従って、これらの共通アクセス条件は一回記憶す ればよく、これによりメモリスペースを節約でき且つ効率を高めることができる 。 各アプリケーション記述は更に、該アプリケーション記述の各々に関連する各 インタラクション文脈条件の手順記述により使用される実行可能コードのユニッ トを備えた手順ライブラリを有している。 処理ユニットは、付加メモリスペースを使用することなく、少なくとも２つの アプリケーションに適合できることが好ましい。この目的を達成するため、本発 明のデータ交換システムは、メモリ手段が、少なくとも２つのアプリケーション 記述と、各アプリケーション記述内の各インタラクション文脈条件の手順記述に より、又は各アプリケーション記述内の各手順ライブラリの実行可能コードの各 ユニットにより使用される実行可能コードのユニットとを備えていることを特徴 とする。 手順ライブラリの実行可能コードのユニットが、計算の実際値としてパスされ るデータ要素に関する属性についてのクラスに、演算パラメータの使用の仕様を 含めることにより増強されることが好ましい。これは、非常に効率的な実施が存 在するデータレベル及び関数レベルの両者に関するアクセス条件を検証する有効 な方法である。 実行プログラムが、現在実行中のインタラクション文脈条件についての基準を 記憶するメモリ要素の初期化に使用される省略時のインタラクション文脈条件に ついての基準を有し、通常の作動状態への回復時の内的矛盾の検出後に、又は実 行プログラムが作動しており且つ明確なインタラクション文脈条件が、反対のデ ータ処理ユニットから受けた通信の原始的部分により特定されないときはいつで も最終作動を実行する特徴をもつならば、本発明のデータ交換システムは、シス テムの信頼性をより高めることができるであろう。 処理ユニット内のデータ及び機能のセキュリティを高めるため、本発明のデー タ交換システムは、メモリ手段が、暗唱番号を構成することを専用化されたイン タラクション文脈条件を有し、実行プログラムが、データ交換システムのユーザ により与えられる暗唱番号を検証すべく配置されていることを特徴とする。 同じデバイスホルダアプリケーションの一部として、暗唱番号（ＰＩＮ）管理 のインタラクション文脈条件及び省略時の文脈条件(default context)を実施で きるのが有効である。本発明のデバイスが通信する殆どのデバイスによるこのア プリケーションのサポートは、デバイスの所有者（例えばスマートカードの所有 者）に、デバイスのメモリに記憶された彼のパーソナルデータを吟味する機会を 与えるであろう。スマートカードの所有者は、適当なユーザインターフェースを 与える任意のスマートカード端末で、彼のＰＩＮを修正できるであろう。 各アプリケーション記述は、全てのインタラクション文脈条件についての識別 子を与えるように構成された数値のリストと、少なくとも、アプリケーションの 種類を表示する第１数値と、アプリケーションを構成するエンティティのユニー クな識別を表示する第２数値と、アプリケーション記述の本質（nature）を表示 する第３数値と、他の数値とを有し、該他の数値の各々が、アプリケーション記 述に関する１つのインタラクション文脈条件とユニークに関連する。 インタラクション文脈条件にユニークに関連する数値のストリングは、２つの 通信デバイス間の相互運用性（interoperability）を確立する手段を構成する。 この手段は、現在考えられているもの（例えばスマートカード）より効率的であ る。エンティティを与えるアプリケーションは、実施バージョン及び秘密鍵発生 情報を組み込むユニークな文脈数を割り当てることができる。 データ通信手段は、データ交換を、少なくとも２つの部分からなるデータのブ ロックを構成するように配置され、第１部分は、通信の原始的部分又は実行され る演算から得られるデータにより表示されるコマンドにより遂行される演算の本 質に影響を与えるように使用される点で演算的に修飾されるデータであり、第２ 部分は、演算の遂行の適当性(appropriateness)又は演算部分内でのデータの受 容性を決定するのに使用され又は演算の完了又は結果データの訂正を行なうのに 使用される点でセキュリティとして修飾される。 このような適当性、受容性、証明及び訂正は、データに、関連暗号演算を行な うことにより得られる。かくして、認証及びデータ保護が、コマンド実行の一体 部分を形成し、現在のシステム（例えばスマートカード）で得られるよりも優れ たセキュリティがえられる。 実行プログラムは、現在のインタラクション文脈条件に特定された演算を遂行 するための通信の原始的部分を受け入れると、作動の所定の固定シーケンスの一 部としての各演算を遂行するように配置されており、前記作動の各々は、受け入 れられた通信の原始的部分に関連する手順記述の一部として別々に特定され、前 記作動は少なくとも次の作動、すなわち、 ａ．通信の原始的部分の使用の許可、 ｂ．演算データ又はその任意部分の復号、 ｃ．任意の入力データによるコマンドの遂行、 ｄ．遂行される任意の演算から得られる任意の演算データの暗号化、 ｅ．任意の遂行作動の完了の証明の計算又はセキュリティ計算に使用される結 果データの訂正の計算、 を有する。 データ処理ユニットが、データ転送を初期化するとランダムなトランザクショ ン番号を発生し、該トランザクション番号が暗号計算のベースとして機能するな らば、セキュリティは更に高められる。 新しいインタラクション文脈条件を入力できるようにするため、必要ならば、 １つの通信の原始的部分には、新しいインタラクション文脈条件を入力するリク エストとして常に解釈される特定値を割り当てることができる。 更に好ましい実施例では、本発明のデータ交換システムは、別のデータ処理ユ ニットを有し、該データ処理ユニットはこれと同じ要素を有し、データ処理ユニ ットのメモリには、任意であるが、アプリケーションプログラムインターフェー スを含めることができ、アプリケーションプログラムインターフェースは、付加 コンピュータプログラムが、交換した通信の原始的部分のシーケンスについてユ ーザの制御実施でき、又は通信の原始的部分に転送されたデータに影響を与える ことができ、又は交換時に受け入れたデータを学習し又は更に処理することがで きるように設計されたプログラムコードからなることを特徴とする。本発明のシ ステムのためのソフトウェアの開発は、アプリケーションプログラマのインター フェースを利用できる利点を有する。 本発明のこのような好ましい実施例では、特定のインタラクション文脈条件を 入力するのに使用される原始的部分は、次の通信でのセキュリティの計算に使用 する数値と、処理ユニットの１つにより発生される第１ランダム値と、前記１つ の処理ユニットを識別する機能をもつ第２値とを有する。 本発明の長所を更に高めるため、各通信の原始的部分は、実行プログラムによ る解釈のための通信の原始的部分の表現能力（expressive power）を高める２つ 以上の数値からなるように構成される。 第１の変更例として、各通信の原始的部分が２つ以上の数値からなり、第１の 値は、通信の原始的部分に関連する作動の手順記述について使用され、第２の値 は、一定数の２進値からなり、各２進値は、実行プログラムにより、単一のデー タ要素についての基準として解釈される。 第２の変更例として、各通信の原始的部分が２つ以上の数値からなり、第１の 値は、通信の原始的部分に関連する作動の手順記述について使用され、第２の値 は、任意のデータ要素が前記第２の値に一致する値を含んでいる場合に任意のデ ータ要素が選択されるような態様で応答作動を遂行する間に、アクティブなイン タラクション文脈条件の外的基準にどのデータ要素を利用できるかを決定するの に使用される。 第３の変更例として、各通信の原始的部分が２つ以上の数値からなり、第１の 値は、通信の原始的部分に関連する作動の手順記述について使用され、第２の値 は多数の２進値からなり、該２進値は、通信の原始的部分におけるデータフォー マットの解釈及び応答作動の遂行に使用される実行プログラムにより、特定の意 味に割り当てられる。 上記文脈条件機構及び技術によれば、より広範囲のスマートカードの使用がで き且つ従来のものに比べて多くの長所をもつスマートカードのアプリケーション 開発が可能になる。 先ず、他のアプリケーションのために記憶されたデータのセキュリティに対す る潜在的脅威があるコードを完全に試験する必要なく、スマートカードのアプリ ケーションの特定プログラムコードの実行を可能にする。カードにデータが記憶 されたアクセス条件が、アプリケーションコードの実行中に外的干渉の可能性な く、カードオペレーティングシステムにより実施されるので、マルチアプリケー ションカード方式は、プログラムコードの調査権限を必要としない。伝統的なス マートカードでは、このような権限は、プライベートコードの実行ファシリティ が許容する唯一の方法である。実行コードをカードに認証することにより、調査 権限はシステム全体のセキュリティに関して責任を課せられる。すなわち、これ は、マルチアプリケーションスマートカードの形式の管理を非常に複雑にする。 付随する複雑さ及びコストは、伝統的なカード形式のアプリケーション特定コー ドを殆ど実行不能にする。新しい技術によれば、スマートカードアプリケーショ ンプロバイダからのこのファシリティに対する要望に適合できる。 第２に、カードの特定プログラムの保護形アプリケーションの直接的成果によ り、カードの他のアプリケーションのローディングに専用化された特別なアプリ ケーションを実施できる。このようにして、カードにひとたびローディングされ たアプリケーションは、これらをローディングしたまさしくそのアプリケーショ ンから保護される。この保護により、マルチアプリケーションカード組織(schem e)に包含される団体（特に、カード発行エンティティ及びアプリケーション提供 エンティティ）に、彼らのビジネス合意のベースを与える。各カードに必要な記 憶量のような実体的事柄、装備すべきカード数、及び「信頼」及び「良い管理」 の抽象的概念の代わるカードへのアプリケーション期間に基づいて、アプリケー ションプロバイダの契約は、伝統的に使用されているスマートカードよりも容易 に組織化できる。また、カード発行者及びアプリケーションプロバイダは、秘密 鍵を共用する必要はなく且つ契約上の義務及び相互合意した鍵輸送ファシリティ により、この共用を保護する。 第３に、本発明の新しい技術に基づいて実施するならば、アプリケーションソ フトウェアは、従来技術のスマートカードオペレーティングシステムに比べ幾つ かの利益が得られる。 ＊カードと端末との間の相互運用性を確立するのに、端末とカードとの間のデ ータ交換は最小で済む。例えば、カード及び端末は同じアプリケーションをサポ ートする。この目的のために交換すべきデータの値は、草案国際規格ＩＳＯ 781 6-5に提案されているように構成される。 ＊カードと端末との間のトランザクションを完了するため、理論的に推論され るような最小のデータ交換数を実際に使用できる。なぜならば、標準コマンドの 長いシーケンスを使用する代わりに、トランザクションがプライベート計算とし て完了するからである。 ＊ディレクトリにより規定された内包アクセス経路及び現在使用され且つ標準 化のため提案されているように全てのアプリケーションにより共用されるファイ ル階層を必要とすることなく、データへの制御されたアクセスが可能である。 ＊タンデムな形態の端末及びスマートカードアプリケーション開発が可能であ り、この開発プロセスは、コンパイラ及びエミュレータのようなコンピュータソ フトウェアツールによりサポートされる。かくして、カード及び端末ソフトウェ アの設計及び実施が、現在必要とされている長ったらしく且つエラーの多いアセ ンブリ言語コーディングより向上される。 ＊カード製造業者又は端末製造業者により提案されている新しい特徴のように 、将来の開発に向かってフレキシビリティを与える装置の能力を述べる抽象的形 式主義を用いて、カード及び端末の両機器の標準化が可能になる。標準化された 端末能力としてＡＰＩを含めることができる。これに対し、スマートカードにお ける現在の標準化努力は、規格により決定されている方法で識別値を解釈できる ように、メッセージの固定データ内容を規定することに集中しており、これでは 、新たな開発を行なう余地がなくなってしまう。 最後に、本発明の新たな技術によれば、スマートカードオペレーティングシス テムの実施者には、カードオペレーティングシステムのカーネル及び端末オペレ ーティングシステムの最適実施を設計する最大自由度が与えられる。スマートカ ードのハードウェア設計業者には、システムのカーネルに包含されるベーシック オペレーションのためのハードウェアサポートを用いて、チップシリコンの使用 を最適化するための幾つかのオプションが与えられる。上記特殊設計により得ら れるハードウェアのコスト低減は、汎用の単チップコンピュータでの改良に基づ く場合より大きくできる。 以下、本発明の一般的原理を実施する一例を示す幾つかの図面を参照して本発 明を説明する。 第１図は、データ要素の階層的に組織されたコレクションに基づく、スマート カードの従来のアプリケーション設計を示すものである。 第２図は、ポータブルデータ処理ユニットと、現在標準として受け入れられて いるフォーマットでの同様な構造の処理ユニットとの間の通信フロー図である。 第３図は、スマートカード及びカード端末等のポータブルデータ処理ユニット におけるインタラクション文脈条件の概念を用いた本発明の基本的実施を示すも のである。 第４図は、手順の遂行の間に使用される、インタラクション文脈条件と、デー タ要素と、ライブラリ関数との間の種々の関係を強調する実行文脈条件（execut ion context）の実用組織の一例を示すものである。 第５図は、通信の原始的部分により呼び出される設定手順（procedural descr iption）の遂行に含まれるプログラム実行制御及びセキュリティ文脈条件スイッ チ(security context switches)の一例を示すフローチャートである。 第１図には、従来技術のシステムにおけるデータ及びファイルの構造が示され ている。基本的に、幾つかの基本ファイル３及び１つ以上の専用ファイル２に接 続されたマスタファイル１を有する。各専用ファイル２は、１つ以上の他の専用 ファイル２及び１つ以上の基本ファイル３に接続できる。従来技術は、ディレク トリ及びファイルの樹のような階層を使用している。従来技術の構造における下 位レベルの数は、原理的に制限されない。第１図に使用されるターミノロジーは 、国際的に提案されているＩＳＯ規格７８１６−４を使用する。第２図に示すよ うに、ポータブルデータ処理ユニット５と、同様な構造をもつデータ処理ユニッ ト４との間の通信フローの標準フォーマットによれば、通信は、１セットのブロ ック対からなる。通信は、データ処理ユニット４からのリセット信号ｍφでスタ ートする。このようなリセット信号ｍφは、データ処理ユニット５のパワー・オ ン・ロジック（power-on-logic）により発生されるような通信バンド幅の外にあ ってもよい。ポータブルデータ処理ユニット５は、アンサー・ツー・リセット信 号（ＡＴＲ）ｍｌに応答する（該信号には係因数(contents)が続くこともある） 。これに続く全てのブロック対ｍ２、ｍ３・・・ｍ（ｎ−１）、ｍｎは、係因数 続く通信の原始的部分（例えば、コマンド）が先頭に記されるブロックからなる 。 第３図は、本発明による２つのデータ処理ユニットの内部構造を示し、これら の内部構造はデータの送受信を行なって互いに通信する。数ある中で、左方のデ ータ処理ユニット４は端末であり、数ある中で、右方のデータ処理ユニット５は ポータブルデータ処理ユニット（例えばスマートカード）である。しかしながら 、本発明は、適当な通信手段により互いに通信できる２つのポータブルデータ処 理ユニットに適用することもできる。 各データ処理ユニット４、５はデータ通信手段７、１４を有し、該データ通信 手段７、１４を介して、データのストラクチャードブロックが交換される。各デ ータ処理ユニット４、５は、処理手段（ＣＰＵ）８、１５及びメモリ手段９、１ ６を有している。メモリ手段９、１６は、リードオンリメモリ（ＲＯＭ）、ラン ダムアクセスメモリ（ＲＡＭ）、及び電気的に書込み及び消去可能なリードオン リメモリ（ＥＥＰＲＯＭ）のような書込み可能なリードオンリメモリの任意の形 態に構成できる。 メモリ手段９、１６は、実行プログラム１２、１７（第３図には「ＭＡＸＯＳ 」で示されている）を有する。ポータブルデータ処理ユニット５が２つ以上のア プリケーションに適している場合には、メモリ手段９、１６は２つ以上のアプリ ケーション記述１３（１）・・・１３（ｎ）；１８（１）・・・１８（ｎ）から なる。データ処理ユニットのアプリケーションが関連するように、多くのアプリ ケーション記述がある。各アプリケーション記述が「ＣＳＡ」で示されている。 第３図では、第２アプリケーション記述１３（２）、１８（２）が拡大して示さ れており、各アプリケーション記述の内容を表示できるようにしている。各アプ リケーション記述１３（ｉ）、１８（ｉ）は、少なくとも１つの「インタラクシ ョン文脈条件」１１（１）・・・１１（ｍ）、１９（１）・・・１９（ｍ）を有 している。各インタラクション文脈条件は「ＣＴＡ」で示されている。これらの インタラクション文脈条件のうちの第１のもの（１１（１）、１９（１）は、拡 大して示されており、これらの内容を表示できるようにしている。各インタラク ション文脈条件には、次のものが含まれている。すなわち、 ・インタラクション文脈条件により認識された通信の原始的部分を特定し且つ １セットの手順に特定された適当な手順に関する１セットのコマンド、 ・１セットのデータ、 ・もしも何かあるならば、他のインタラクション文脈条件にあるデータに関す る１セットのデータ、 ・実行プログラム１２、１７により遂行される１セットの手順、 ・データ要素への１セットのアクセス条件、 ・他のデータ処理ユニットにより発せられるコマンドに使用すべきデータ要素 に関する１セットの外的基準、 ・任意的事項であるが、開発者が特定した他のリスト、 である。 最後に、メモリ手段９、１６は、「現在のＣＴＡ」すなわち現在実施されてい るインタラクション文脈条件に関する基準を保有している。 １つのアプリケーション記述内の幾つかのインタラクション文脈条件の意図す るところは、処理ユニット4、５間の可能インタラクションに機能的分離を与え ることである。これは、機能的分離がセキュリティ条件の分離でもあるときに、 特に関係がある。一例は、スマートカードと例えばドアを開くための端末との間 の第１インタラクションと、開くことを許容されたドアをプログラミングすると きの第２インタラクションとで構成できる。第２インタラクションは第１インタ ラクションより良いセキュリティを必要とし且つそれ自身のインタラクション文 脈条件が割り当てられる。インタラクション文脈条件へのアクセスを得ることは 、インタラクション文脈条件内で実行される演算のセキュリティを確保する第１ ステップである。 第４図は、データ要素アクセス条件と手順との間の関係を示すメモリ組織モデ ルとして示した文脈条件の機構の実施への実際的アプローチを示す。第４図の構 造は、ポータブルデータ処理ユニット５の２つ以上のアプリケーションがあるあ らゆる場合に適用される。アプリケーションが１つのみであるときは、後で説明 するように、構造は極めて簡単化される。第４図には、データ処理ユニット５の 参照番号が示されているけれども、第４図の構造はデータ処理ユニット４のメモ リ手段９にも同様に適用できる。第４図では、データ要素の記述及び手順の記述 は、１つのアプリケーション（ＣＳＡ）を構成する異なるインタラクション文脈 条件（ＣＴＡのもの）間のプログラムコードのシェアリング及びデータのシェア リングを反映するように最適に組織化される。 メモリ手段１６は、データ要素Ｈ（１）・・・Ｈ（７）と、実行可能コード要 素Ｇ（１）・・・Ｇ（５）（これらは、オペレーティングシステムの一部である ）と、アプリケーション記述１８（１）、１８（２）（ＣＳＡＩ、ＣＳＡ２）と を有している。第４図では、オペレーティングシステムと同一のデータ及びコー ドは省略されている。第４図に示すように、データ要素、実行可能コード要素及 びアプリケーション記述の数は一例として示したに過ぎず、その数は実際の必要 に応じて変えることができる。 各アプリケーション記述１８（１）、１８（２）は、次のものからなる。すな わち、 ・矢印ｐ（１）・・・ｐ（５）で示すように、この目的のために利用できるよ うになされたオペレーティングシステムの実行可能コードのユニットに関する実 行可能コードＦ（１）・・・Ｆ（４）のユニットからなる手順ライブラリ、 ・現在のアプリケーション記述１８内のインタラクション文脈条件１９（１） ・・・１９（２）内の手順により使用すべきデータ要素Ｅ（１）・・・Ｅ（７） のリスト（このデータリストは、データアクセス条件と、データ要素を保持する 記憶領域へのポインタｑ（１）・・・ｑ（７）からなる）、 ・多数のインタラクション文脈条件の記述１９（１）、１９（２）からなるイ ンタラクション文脈条件リスト、 である。 第４図に示す手順ライブラリ内の要素、データ要素、及びアプリケーション記 述１８（１）内のインタラクション文脈条件の数は、単に例示の目的に過ぎず、 要素の数は所望のアプリケーションに基づいて変化する。 インタラクション文脈条件１９（１）、１９（２）は、アプリケーション記述 １８（１）を記憶するメモリ手段内に物理的に存在する。論理的に、インタラク ション文脈条件は、メモリを用いた制御の第２層を形成する。この第２層及びア プリケーション記述層により与えられる組合せ制御は、スマートカードのような ポータブルデータ処理ユニットのための実行文脈条件機構（execution context mechanism)の有効実施を与える。各インタラクション文脈条件19(1)、19(2)は、 次のものからなる。すなわち、 ・手順記述Ｃ（１）・・・Ｃ（５）のリスト。これらの手順記述は、例示矢印 ｓ（１）、ｓ（２）により示されるアプリケーション記述１８内の手順ライブラ リの手順記述に関する。或いは、これらの手順記述は、例示矢印Ｔ（１）により 示されるように、オペレーティングシステムにより与えられる実行可能なコード 要素Ｇ（１）・・・Ｇ（５）に関するものでもよい。更に別の構成として、これ らの手順記述には、実行中の手順により使用され且つ矢印ｒ（１）・・・ｒ（６ ）で示すように、関連するアプリケーション記述のデータリストに存在するあら ゆるデータ要素に関する明確な基準を含めることができる。 ・関連するインタラクション文脈条件での手順による使用に専ら利用できるデ ータ要素Ｂ（１）・・・Ｂ（５）を含むデータリスト。データ要素は、矢印u(1) ・・・ｕ（５）により示すように、実際のデータにアクセスするときの関連アク セス条件についてのアプリケーション記述１８のデータ要素に関して表される。 ・インタラクション文脈条件１９（１）、１９（２）によりコマンドとして受 け入れられる通信の原始的部分Ａ（１）・・・Ａ（４）からなる外的インターフ ェースリスト。通信の原始的部分内の各コマンドは、矢印ｖ（１）・・・ｖ（４ ）で示すように、関連するインタラクション文脈条件内の手順リストの手順記述 Ｃ（１）・・・Ｃ（５）の数に関するものである。通信デバイス４により発せら れるとき、コマンドは、該コマンドに続く１つ以上のアドレスによるアプリケー ション記述のデータリストにおける要素に関するものでもよい。各コマンドは、 コマンド処理への入力としてデータ要素により達成される。ここに与えられるよ うなアドレスの数は例示したに過ぎず、実際上の必要に応じて各コマンドについ て決定される。 データ要素の保護は、アクセス条件を設けることにより与えられる。通信の原 始的部分Ａ（１）・・・Ａ（４）内の外的コマンドは、関連するインタラクショ ン文脈条件１９のデータリストに基準をもつデータ要素をアドレスするに過ぎな い。これらのアクセス条件は、コマンドを許容するアクセスの形式を特定する。 すなわち、このようなアクセス条件は、ノーアクセス、リードオンリアクセス、 読取り／書込みアクセス及び秘密鍵の使用であってもよい。他のアクセス条件を 加えることもできる。例えば、通信の原始的部分Ａ（１）のコマンドは参照矢印 ｗ（２）を通るデータ要素Ｂ（２）へのリードオンリアクセスにし、一方、通信 の原始的部分Ａ（２）は参照矢印ｗ（３）を通る同じデータ要素Ｂ（２）への読 取り／書込みアクセスにすることができる。 手順記述Ｃ（１）・・・Ｃ（５）は、関連するアプリケーション記述１８のデ ータリストのデータ要素に関するものにすることができる。ここでも、アクセス 条件が適合するものであれば、アクセスがなされるに過ぎない。これらのアクセ スはまた、例えば、ノーアクセス、リードオンリアクセス、読取り／書込みアク セス及び秘密鍵を許容できるアクセスの形式を特定する。同じインタラクション 文脈条件１９内の異なる手順記述についてのアクセス条件は、同じアプリケーシ ョン記述データリスト要素Ｅ（１）・・・Ｅ（７）について異ならせることがで きる。例えば、参照矢印ｒ（１）はリードオンリアクセス条件を表し、一方、参 照矢印ｒ（２）は読取り／書込みアクセス条件を表すことができる。 アクセス条件は、関連レベル、すなわちアプリケーション記述レベル又はイン タラクション文脈条件レベルに関し、一回だけチェックされる。インタラクショ ン文脈条件１９（１）、１９（２）内のデータリストのＢ（１）・・・Ｂ（５） は、矢印ｕ（１）・・・ｕ（５）により、アプリケーション記述１８（１）のデ ータリスト内のデータ要素のポインタに直接関連付けられている。なぜならば、 アクセス条件は、既に、アプリケーション記述１８（１）のデータリスト要素Ｅ （１）・・・Ｅ（７）に合致しているからである。しかしながら、アプリケーシ ョン記述１８（１）内のデータリスト要素に関するインタラクション文脈条件１ ９（１）、１９（２）内の手順記述Ｃ（１）・・・Ｃ（５）は、アプリケーショ ン記述１８（１）内のデータリスト要素Ｅ（１）・・・Ｅ（７）に関連するアク セス条件に先ず合致しなければならない。アプリケーション記述１８（１）及び その関連インタラクション文脈条件１９（１）、１９（２）のデータリスト内の 任意のデータ要素又は手順記述要素は、メモリ手段１６内の任意の他のアプリケ ーション記述とは関連付けられない。手順記述を構成する実行コードは、各手順 記述Ｃ（１）・・・Ｃ（５）と関連する一定セットのデータ基準を介して、間接 的にデータをアドレスするに過ぎない。Ｂ（１）・・・Ｂ（５）により記述さ れるデータを使用し、基準のリストは、手順記述と関連するコマンドとして受け 入れられる通信メッセージに実際に特定されたアドレスを評価することにより得 られたものとして、データ要素に関する実行プログラムにより一時的に拡大され る。かくして、明確に特定されたもの以外のものにアクセスされることはなく、 特定の使用条件が観察されるに過ぎない。換言すれば、その関連するインタラク ション文脈条件をもつアプリケーション記述に関しては、第４図の好ましいメモ リ基準モデルが、データ処理ユニット５の一回のみの適用内での演算についての 専用文脈条件を与える。データ要素Ｈ（１）・・・Ｈ（７）はあらゆるアプリケ ーションに共通なメモリ手段１６に記憶されるけれども、アプリケーション記述 １８（１）の文脈条件内に、専用使用のためのデータを収容している。この専用 性(exclusivity)は、Ｅ（１）からＨ（２）までのｑ（１）のような各記憶位置 への単一ポインタの存在を許容する実行プログラムにより保証される。コード要 素Ｇ（１）・・・Ｇ（５）のみが、メモリ手段１６内に記憶された任意のアプリ ケーション記述１８（１）に関係付けられる。共通コードＧ（１）・・・Ｇ（５ ）についてのアプリケーション記述１８（１）以外のアプリケーション記述のこ れらの最後の基準は、第４図には明確に示されていない。しかしながら、当業者 ならば、第４図の構造を、２つ以上のアプリケーション記述１８（１）、１８（ ２）・・・に容易に拡大できるであろう。 異なる種類のアクセス条件の使用により、いかなるデータ要素が保護されるか を説明した後、ここで、メモリ管理規定（memory management provisions）を説 明する。メモリ管理の場合には、変更可能データ（データ要素）及び変更不可能 データ（オペレーティングシステムコード）は、オペレーティングシステムによ り別々に管理される。第４図に示すメモリ基準モデルは、関連するアプリケーシ ョン記述１８内のデータリスト及び手順ライブラリから、それぞれ、ポインタｑ （１）・・・ｑ（７）；ｐ（１）・・・ｐ（５）により関連付けられるメモリ手 段１６内でのコードとデータ要素との分離を与える。各インタラクション文脈条 件１９（１）、１９（２）内のデータリスト要素は、これらのポインタに関する 基準のみを含んでおり、メモリ手段１６内のコードＧ（１）・・・Ｇ（５）及び データ要素Ｈ（１）・・・Ｈ（７）に直接関連する基準は含んでいない。関連 するアプリケーション記述１８のデータリストは、オペレーティングシステムが 必要とする間接(indirection)のレベルを与え、メモリ管理を遂行する。 コード複製は、異なるインタラクション文脈条件の間に共通コードを共有させ るため、２つのレベルに、共通のコードライブラリすなわちアプリケーション記 述１８（１）の手順ライブラリのコード要素Ｆ（２）に関する手順記述Ｃ（３） のような「コマンドボディ」を与えることにより回避される。しかしながら、手 順記述Ｃ（３）のボディはまた、メモリ手段１６内に記憶され且つオペレーティ ングシステムにより与えられるコードＧ（３）にも直接関連する。オペレーティ ングシステムにより与えられる実行可能コードＧ（１）・・・Ｇ（５）のあらゆ るユニットは、効率的実行のために実施される。 基本的に、第４図によるメモリ構造はまた、データ処理ユニット５の１つのみ のアプリケーションが与えられている状況においても適用できる。この場合には 、アプリケーション記述１８（１）のみが１つのインタラクション文脈条件19(1 )と一致し、この場合、そのインタラクション文脈条件は少なくとも次のコヒー レントデータ構造を含んでいる。 ａ．１セットの基本的な通信の原始的部分Ａ（１）・・・。これは、データ処 理ユニット５が同様なユニット４と通信するときにはいつでも受け入れられる。 前記原始的部分は、少なくとも、前記少なくとも１つのインタラクション文脈条 件の１つを選択的に入力するのに使用される原始的部分を含んでいる。 ｂ．１セットの手順記述Ｃ（１）・・・。これは、受け入れられた通信の各原 始的部分 Ａ（１）・・・に応答して遂行されるアクションを定め、少なくとも 、インタラクション文脈条件を付勢するときに遂行される第１手順記述と、文脈 条件を除勢する直前に遂行される少なくとも手順記述とからなる。 ｃ．空のこともある１セットのデータ要素Ｈ（１）・・・。これは、永久的に 記憶されるか又は計算され、このデータ要素は、手順記述Ｃ（１）・・・で定め られた手順が遂行されるときに、使用のために利用される。 ｄ．空のこともある１セットのデータ要素。この基準は手順記述Ｃ（１）・・ ・に関連する。前記データ要素はまた、別のインタラクション文脈条件にもアク セスでき且つ手順記述Ｃ（１）・・・に定められた手順が遂行されるときに、使 用のために利用される。 ｅ．空のこともあるデータリスト。該データリストは、通信の原始的部分に関 連する手順記述により使用すべき通信の原始的部分の一部としての明確な基準と して利用できるデータ要素に関する基準のリストからなる。 ｆ．手順記述に関連するデータリストに関連する基準をもつ１セットのアクセ ス条件。 ｇ．データリストにおけるデータ基準Ｂ（１）・・・のリストに関連する１セ ットのアクセス条件。 データ処理ユニット５に１つのみのアプリケーションがあり且つ少なくとも２ つのインタラクション文脈条件１９（１）、１９（２）がある場合には、各アプ リケーション記述は次のものからなる。 ａ．データ要素に関する基準Ｅ（１）・・・からなるデータリスト。前記基準 は、２つ以上のインタラクション文脈条件１９（１）・・・にアクセスでき且つ 賦課データ要素により拡大される。 ｂ．前記基準Ｅ（１）・・・又は前記付加データ要素に関連し且つ使用の制限 を定めるアクセス条件の他のセット。 ２つ以上のインタラクション文脈条件の各々における手順記述のセットはまた 、文脈条件の除勢の直前に遂行すべき付加的な最終手順記述をも含んでいる。 第５図は、上記「ＭＡＸＯＳ」により定められる実行プログラム（１２、１７ ）での制御のフローチャートを示す。 システムにスイッチを入れた後、ソフトウェアは、ステップ３０でのリセット コードを処理することからスタートする。ステップ３１では、データ処理ユニッ トのカーネル演算セキュリテイレベル(kernel operations security levels)が 入力される。このレベルを記述するアクセス条件は、例えばＲＯＭ又はハードウ ェアロジック等のメモリの修正不可能部分に記憶される。ステップ３２では、無 矛盾性について不揮発性メモリがチェックされ、且つ例えばスマートカードの引 出しによる突然のスイッチ遮断により未完のまま残されることのあるあらゆる修 正がキャンセルされる。不揮発性メモリの無矛盾性のチェックは、メモリに記憶 され且つ検査合計を計算する試験状態の情報を含んでいるに過ぎない。いくらか でもアクセスがなされた場合には、メモリの内容は検査合計の計算にのみ使用さ れる。かくして、無矛盾性のチェックは安全演算（safe operation）である。無 矛盾性チェックファシリティの正確な性質は、データ処理ユニット内のハードウ ェアの細部及び特定セキュリティのアーキテクチャとは無関係な広範囲の不揮発 性メモリの修正ルーチンに基づいている。一般的なメモリの無矛盾性チェックの 後、メモリに記憶された安全性の文脈条件の予め計算されたレベルが検証される 。最後に、データ処理ユニットのランダムアクセスメモリが始動される。 ステップ３３では、実行環境が安全であるとこのように宣言されたならば、デ ータ処理ユニットの安全なアプリケーションのセキュリティレベルが入力される 。このレベルでは、カーネル演算に関するメモリへのあらゆるアクセスが阻止さ れる。このレベルからのアプリケーションデータ及び記述へのアクセスは、進行 中の演算に関する状態情報を維持するカーネルのルーチンを通して専ら与えられ る。 ステップ３４では、リセット後の最初の入力時に、アプリケーションのデータ 要素の記述子を使用して、記憶されたデータと記述子との無矛盾性がチェックさ れ且つ前述の属性と矛盾する状態にあれば、メモリが変化される。アプリケーシ ョン記述子に記憶されたアプリケーション識別子から、リセットメッセージに対 するアンサー（answer to reset message、ＡＴＲ）が構成され且つ他のデータ 処理ユニット４の受信により予測できないものとして計算されるトランザクショ ン数により完成される。データ処理ユニットの内部では、端末コマンドが発生さ れ、省略時のインタラクション文脈条件を付勢する。ＡＴＲメッセージがデータ 処理ユニット４に送られた直後に、このインタラクション文脈条件の付勢コマン ドが実行されて、次のコマンドのためのインタラクション文脈条件が与えられる 。ＡＴＲメッセージは、データ処理ユニット５の読みを明瞭に表示して、他のコ マンドを受け入れる。省略時のインタラクション文脈条件は、「スマートカード ホルダアプリケーション」（これは、あらゆるマルチアプリケーションスマート カードにおける１つの標準アプリケーションとして存在する）の一部として設計 できる。この特定のアプリケーション文脈条件では、ユーザすなわちスマートカ ードの所有者は、彼のパーソナルデータを調査するか、カードの他の何らかのア プリケーションを開くことができる。 ステップ３５では、文脈条件の付勢コマンドの結果として、標準スマートカー ドホルダＣＴＡにインタラクション文脈条件（ＣＴＡ）のセキュリティレベルが 入力される。 アプリケーションが完全に付勢された後は、他のデータ処理ユニット４からの コマンドを受ける用意が整ったことになる。他の処理は受け入れたコマンドに基 づいて行なわれる。アプリケーションを付勢するコマンドは、実行すべきコマン ドとは異なる方法で取り扱われる。従って、ステップ３８では、通信の原始的部 分がステップ３６で受け入れられ且つステップ３７で受け入れられることが確立 された後、新しいアプリケーションを付勢すべきか否かが試験される。これらの チェックは、アプリケーション記述子に特定化された場合にのみ遂行される。ま た、ステップ３９で、入力データの復号（decryption）を行なうことができる。 試験が成功であれば、ステップ４０で、「データアクセス保護レベル」が入力 される。このレベル（最高のセキュリティレベル）で、ステップ４１では、アプ リケーションプロバイダにより符号化されたルーチンが実行される。このような ルーチンは、アプリケーション記述子に記憶され且つ他のデータ処理ユニット４ により発せられる特定コマンドに対するアプリケーション特定リアクションとし て機能する。このセキュリティレベルは、実行されるコマンドについて特別に定 められる部分集合（subset）にアクセスする。 ステップ４１において、提示された入力データを用いてコマンドを実行した後 、ステップ４２でデータアクセス保護レベルが残される。 ステップ４３では、出力データ及びコマンド完了の（暗号手法による）証明が 発せられる。ステップ４３の後、プログラムは、ステップ３６で、新たな通信の 原始的部分を待機する。 特別なコマンドルーチンが定められておらず且つコマンドが単にオペレーティ ングシステムからなる手順により実行できる場合には、データアクセス保護レベ ル（ステップ４０）が入力されず、オペレーティングシステムのルーチンがいか なるデータ保護も壊さないように設計されているため、コマンドは、直接、イン タラクション文脈条件のセキュリティレベルで遂行されるであろう。 ステップ３８で、いかなる新しいアプリケーションも付勢されないことが確立 された場合には、プログラムはステップ４４に進行し、該ステップ４４で文脈条 件除勢手順が遂行される。ステップ４５では、現在のアプリケーションの特定セ キュリティレベルが残され、且つステップ４６で、実行プログラム「ＭＡＸＯＳ 」のセキュリティレベル内で、コマンドを伴うデータがチェックされる。 コマンドが、適正な認証により、要求アプリケーションに特定されることが許 容される場合には、新たなアプリケーションの特定ＣＴＡセキュリティレベルが 入力される（ステップ４７）。このレベルは、新しく開かれたアプリケーション に関するデータへのアクセスを制限する。 データ処理ユニット５は、手順に定められた初期化情報の実行により、文脈条 件付勢コマンドに応答するデータを作る（ステップ４８）。このようなアプリケ ーションプロバイダ符号化ルーチンが存在する場合には、ステップ４９で、デー タアクセス保護レベルが入力される。ステップ５０では、文脈条件付勢手順が遂 行される。ステップ５１では、データアクセス保護レベルが残され且つこの応答 が他のデータ処理ユニット４に通信される。データ処理ユニット４自体は、ステ ップ４３以降の、上記に特定された新しいコマンドを受け入れる用意が整ったこ とになる。 第１図〜第５図について説明したので、本発明によるデータ交換システムにつ いての新たな幾つかの一般的注意を述べる。 各アプリケーション記述１８（１）、１８（２）内の手順ライブラリのコード は、これらの演算パラメータの使用の仕様を、計算（この計算は、データの属性 とパラメータのクラスとが一致する場合にのみ進行する）における実際値として 通されるデータ要素についての属性に関するクラスに含めることにより増強され る。これは、データ要素及び関数の両者に関するアクセス条件を検証する１つの 方法を与える。データ属性の適正に復号化されたビットマップとパラメータクラ スとをそれぞれ比較することにより、この付加技術についての効率的実施が行な える。 実行プログラム１２、１７には、現在有効なインタラクション文脈条件につい ての基準を記憶するメモリ要素２０における現在のインタラクション文脈条件の 初期化に使用されるインタラクション文脈条件についての基準を設けることがで きる。このため、通常の演算状態への復帰時の内部矛盾の検出後、又は実行プロ グラム１２、１７が付勢されており且つ明確なインタラクション文脈条件が他の データ処理ユニット５から受けた通信の原始的部分により全く特定されていない ときには最終作動を実施できる。この省略時のインタラクション文脈条件は、上 記カードホルダのアプリケーションに含まれるこのような文脈条件となる。 また、メモリ手段９、１６には、暗唱番号（ＰＩＮ）を設けるべく専用化され たインタラクション文脈条件１１、１９を含めることができる。実行プログラム １２、１７は、データ交換システムのユーザにより供給される暗唱番号を検証す るように構成されている。このような幾つかの暗唱番号、パスワードを使用でき る。このような１つのパスワードは、プライバシー感知データが暴露されるトラ ンザクションでのデバイスの使用の保護に使用できる。第２パスワードは、パス ワード所有者により支払い可能な価値を表すデータが通信されるトランザクショ ンを保護するのに使用できる。第３パスワードは、各インタラクション文脈条件 １１、１９内で特定化されることを必要とする保護モードのようなアプリケーシ ョンのセキュリティにとって厳格であると思われる演算が遂行されるトランザク ションを保護するのに使用される。他のパスワードを与えることもできる。この ＰＩＮ管理インタラクション文脈条件は、上記カードホルダのアプリケーション に含まれるこのような文脈条件に都合よいものであろう。 各アプリケーション記述１３、１８は、全てのインタラクション文脈条件１１ 、１９についての識別子を与えるように構成された数値リストで構成でき、各ア プリケーション記述１３、１８は、少なくとも、アプリケーションの種類を表示 する第１数値と、アプリケーションを形成するエンティティのユニークな識別を 表示する第２数値と、アプリケーション記述１３、１８の性質を表示する第３数 値と、各々が１つのインタラクション文脈条件１１、１９にユニークに関係する 他の数値とで構成できる。最初の２つの数字は商業においてうまく確立されてい るルールに従って割り当てられる。一方、残りの数字は、適当と思われるエンテ ィティを形成するアプリケーションにより選択されよう。より詳しくは、異なる 実施バージョンを区別するための数値又は暗唱計算のアプリケーションに用いら れる暗唱キーセットの創成を識別するための数値を割り当てる。インタラクショ ン 文脈条件の識別数字のリストにおける第１要素は、省略時の文脈条件を識別する 。 データ通信手段７、１４は、データブロックでのデータ交換を構成するように 配置するのが好ましい。これらのデータブロックは少なくとも１つの２つの部分 からなり、第１部分は、通信の原始的部分又は実行される演算から得られるデー タにより表示されるコマンドにより遂行される演算の性質に影響を与えるのに使 用される点で、演算的に修飾されたデータである。第２部分は、これが、演算を 遂行する上での適当性又は演算に使用すべき演算部分内でのデータの受容性の適 当性を決定すること又は暴露データの演算又は訂正に完全性を与えることに使用 される点で、セキュリティとして修飾される。 データがこのようにして構成されると、実行プログラム１７は、現在のインタ ラクション文脈条件２０、２１で特定された演算を遂行する通信の原始的部分を 受け入れると、所定の及び固定された作動シーケンスの一部として各演算を遂行 し、各演算は、受け入れられた通信の原始的部分に関連する手順記述ルールの一 部として別々に特定される。第１作動は、通信のシーケンスにおけるこの部分で の通信の原始的部分の使用を許可する機能として特定される。第２作動は、演算 データ又はその任意部分を復号する機能として特定され、これに対し、第３作動 は演算手順の真部分（operational procedure proper）として特定される。第４ 部分は、遂行される演算から得られる任意の演算データを暗号化すべく特定され 、第５作動は、遂行された作動又は結果データの訂正の完了の証明を計算し、又 は受入れデータ処理ユニットでのセキュリティ計算に使用する機能として特定さ れる。これらの作動は、第５図のフローチャートに反映されている。 また、データ処理ユニット５には、リセットメッセージに対するアンサーに、 受入れデータ処理ユニット４による値に予測できないように選択された番号（こ の番号は、暗号計算用のベースとして機能できる）を含めることができる。この ような番号は、「カードトランザクション番号」として指定される。 新しいインタラクション文脈条件１１、１９を入力するリクエストとして常に 解釈される特定値を割り当てた１つの通信の原始的部分が与えられる。この通信 の原始的部分は、「付勢コマンド(activation command)」として指定できる。付 勢コマンドを伴うデータは、リセットメッセージへのアンサーの一部として通 信される識別番号に関係付けることにより付勢されるように、文脈条件を充分に 特定する。付勢コマンドに応答して遂行される作動は、除勢として指定された原 始的部分を受け入れる文脈条件に含まれる手順記述により第１に記述され且つ入 力すべきものとして特定された文脈条件に含まれる付勢として指定された手順記 述に第２に記述される。 好ましくは、特定インタラクション文脈条件１１、１９を入力するのに使用さ れる通信の原始的部分は、次の通信のセキュリティ計算に使用される数値を有す る。第１ランダム値が処理ユニット４、５のうちの一方の処理ユニットにより発 生され、第２の値が当該一方の処理ユニットを識別すべく機能する。この識別は 、結果として得られる値が、計算に必要なデバイス及びそのメモリの状態又は付 勢すべきインタラクション文脈条件１１、１９でのデータの次の交換において行 なわれる他の作動を充分に識別する計算の結果であるともいえる。前記第２の値 は「端末識別(terminal identification)」と指定できる。 また、付勢コマンドは、丁度付勢されている文脈条件におけるデータの次の交 換において行なわれることがある計算又は他の作動により要求されると、結果デ ータの一部として、特別に応答するデータ処理ユニットを識別すべく機能する番 号を与え、この番号は、「スマートカード識別(smart card identification)」 と指定できる。 更に、スマートカード識別番号は、データ処理ユニット５に記憶されたデータ からの暗号関数又は付勢コマンドの一部として受け入れられるデータからの暗号 関数を用いて、異なる端末識別番号をもつ開始デバイスから受け入れた付勢コマ ンドに応答して計算されるときに数字が予測できない態様で変化するようにして 計算できる。かくして、計算されるスマートカード識別は、「スマートカード筆 名(smart card pseudonym)」として指定できる。また、入力すべき文脈条件の付 勢手順の手順記述に記述された作動を遂行する前に、実行プログラムは、文脈条 件が付勢されているか否かを決定すべく付勢時に遂行されるように指定された文 脈条件での手順記述の一部として特定された暗号計算を遂行できる。この計算に は、スマートカードトランザクション識別、端末トランザクション識別、及び端 末識別及びメモリ手段に記憶された他の値を含めることができる。 コマンドを遂行する特定データによりサポートされたこのような特定計算とは 別に、基準データ要素のビットフィールド仕様(bitfield specification)」を備 えたコマンドを使用できる。この場合には、各通信の原始的部分は２つ以上の数 値からなり、第１の数値は、通信の原始的部分に関連する作動の手順記述につい て使用され、第２の数値は、２進数値（各２進数値は、実行プログラム１２、１ ７により単一データ要素についての基準として解釈される）の固定数字からなる 。このデータ要素は、関連するインタラクション文脈条件１１、１９における外 的データ基準のリストに特定され、リスト中の各データ要素は、２進数値のリス ト中の対応する位置における２進数字の１つの２進数値の存在により特定される 。この第２の数値は、「オペランドアドレス(operand address)」として指定す ることができる。このように特定された各データ要素は、応答作動の手順記述に 記述されたようにして、応答作動に使用される演算実行プログラム１２、１７に より利用できるようにされる。 基準データ要素のビットフィールド仕様をもつ特定データ及びコマンドによる 特定計算とは異なり、データ要素のデータマッチ仕様(data match specificatio n)をもつコマンドフォーマットを適用できる。この場合、各通信の原始的部分は ２つ以上の数値からなる。第１の数値は、通信の原始的部分に関連する作動の手 順記述に関して使用され、第２の数値は、該第２の数値にマッチする値を含む場 合に任意のデータ要素が選択されるように応答する作動を遂行する間に、アクテ ィブなインタラクション文脈条件１２、１９の外的基準に利用できるどのデータ 要素を使用するかを決定するのに使用される。この第２の数値は、「オペランド タッグ規制詞(operand tag specifier)」と指定することができる。また、イン タラクション文脈条件１１、１９には、コマンドの一部として与えられたオペラ ンドタッグ規制詞を、如何にして、文脈条件の外的基準に利用できるいずれかの データ要素に含まれるデータと比較するかを示す手順記述を含めることができ、 この手順記述は、該手順記述が、コマンド作動を適正に特定化して遂行される前 に、意図したデータ要素を選択すべく遂行される。 更に別の態様として、コマンド解釈のビットフィールド仕様をもつコマンドフ ォーマットを使用できる。この場合には、各通信の原始的部分を２つ以上の数値 で構成できる。第１の数値は、通信の原始的部分に関する作動の手順記述に関連 して使用され、第２の数値は、通信の原始的部分のデータフォーマットの解釈及 び対応する作動の遂行に使用される実行プログラム１２、１７により割り当てら れた特別な意味をもつ多数の２進数値からなる。ここで、第２数値は「コマンド 修飾子（command modifier）」と指定することができる。これらの数値は、この 付加技術を備えたあらゆるユニットにより割り当てられる、これらの意味が認識 される。 後者の別の構成が適用される場合には、コマンド修飾子には、コマンドの第３ 部分がオペランドアドレス又はオペランドタッグ規制詞として使用されるか否か を決定する２進数値を含むことができる。しかしながら、別の構成として、コマ ンド修飾子には、コマンドに対する応答として遂行される演算が１つのデータ要 素としてデータを使用するか、データ要素（データ要素は、オペランドアドレス 又はオペランドタッグ規制詞を用いたコマンド値の一部として特定された各デー タ要素と関連して処理される）の連結(concatenation)からなるかを決定する２ 進数値を含めることができる。或いは、コマンド修飾子には、コマンドが設けら れたデータが、連続的に連結されたデータ要素を判断するタグ・長さ・値法（ta g-length-valuemethod）を用いて符号化されるか否かを決定する２進数値を含め ることができる。 別の任意事項であるが、コマンド修飾子には、コマンドに含まれる作動が、デ ータ処理ユニット５（スマートカード）に記憶されたデータの有効変化に実際に 導くか、データ処理ユニット５により計算されるデータを実際に得るか、コマン ド結果はコマンドの受容性に関するユニットの状態を反映するデータであるかを 決定する２進数値を含めることができる。データはそれを同伴し、データのサイ ズは、計算又は他の種々の属性から定まるであろう。 要するに、スマートカードでの実施に特に適した上記新しい技術は、別の実行 環境の概念である。このアプローチでは、コンピュータの処理手段及び他の構成 部分は、あたかもアプリケーションがコンピュータの単一ユーザであるように、 種々のアプリケーション間で共有される。スマートカードの実施におけるこの新 しい技術には、多数の関連アプリケーションにより共有されるデータについて多 数のアクセス条件を作る機構が設けられる。別の実行環境によりサポートされる 第２の技術は、データ交換システム内の２つの同様なデータ処理ユニット４、５ 間の各インタラクションにおける最小数のコマンドを得るため、各環境でのコマ ンドの機能的意味を定めることができることである。最後に、新しい技術によれ ば、記憶されたデータ要素を各文脈条件内に別々に割り当てることができる。か くして、データ処理ユニット４、５のうちの一方のデータ処理ユニットから受け るコマンドの一部として、記憶されたデータ要素についての基準は非常に効率的 なものとなる。すなわち、非常に少数のデータ要素及び各環境における今日の実 際のスマートカードに使用されている少数の別個の演算のため、名前及び情報ス ペースを符号化するのに、数ビットのみが必要であるに過ぎない。同様な態様に おいて、実際のスマートカードにおいてこの目的のために利用できるアクセス条 件、アクセス条件の検証方法、及び暗号的演算は数が非常に制限されており且つ これらは、アプリケーション記述１８に含まれるインタラクション文脈条件記述 １９（１）・・・の２つの階層に非常に効率的に表現できる。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，Ｍ Ｃ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ，ＳＮ， ＴＤ，ＴＧ)，ＡＰ(ＫＥ，ＭＷ，ＳＤ，ＳＺ)，ＡＭ， ＡＴ，ＡＵ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，Ｃ Ｎ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ ，ＨＵ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＫ， ＬＲ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＮ，ＭＷ，Ｍ Ｘ，ＮＬ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ ，ＳＥ，ＳＩ，ＳＫ，ＴＪ，ＴＴ，ＵＡ，ＵＳ，ＵＺ， ＶＮ

Claims (1)

1. 【特許請求の範囲】 １．データ通信手段（１４）、処理手段（１５）及びメモリ手段（１６）を備え た少なくとも１つのポータブルデータ処理ユニット（５）を有し、メモリ手段（ １６）が実行プログラム（１７）を備えているデータ交換システムにおいて、メ モリ手段（１６）が更に、少なくとも１つのインタラクション文脈条件（１９（ １）・・・１９（ｍ））を有し、該インタラクション文脈条件が次のコヒーレン トデータ構造、すなわち、 ａ．１セットの基本的な通信の原始的部分（Ａ（１）・・・）を有し、該原 始的部分（Ａ（１）・・・）は、データ処理ユニット（５）が同様なユニット（ ４）と通信するときにはいつでも受け入れられ、前記原始的部分は、少なくとも 、前記インタラクション文脈条件（１９（１）・・・）の１つを選択的に入力す るのに使用される原始的部分を含んでおり、 ｂ．１セットの手順記述（Ｃ（１）・・・）を有し、該手順記述（Ｃ（１） ・・・）は、受け入れられた通信の各原始的部分（Ａ（１）・・・）に応答して 遂行されるアクションを定め、少なくとも、インタラクション文脈条件を付勢す るときに遂行される第１手順記述と、文脈条件を除勢する直前に遂行される少な くとも手順記述とからなり、 ｃ．空のこともある１セットのデータ要素（Ｈ（１）・・・）を有し、該デ ータ要素（Ｈ（１）・・・）は永久的に記憶されるか又は計算され、このデータ 要素は、手順記述（Ｃ（１）・・・）で定められた手順が遂行されるときに、使 用のために利用され、 ｄ．空のこともある１セットのデータ要素を有し、この基準は手順記述（Ｃ （１）・・・）に関連し、前記データ要素はまた、別のインタラクション文脈条 件にもアクセスでき且つ手順記述（Ｃ（１）・・・）に定められた手順が遂行さ れるときに、使用のために利用され、 ｅ．空のこともあるデータリストを有し、該データリストは、通信の原始的 部分（Ａ（１）・・・）に関連する手順記述（Ｃ（１）・・・）により使用すべ き通信の原始的部分の一部としての明確な基準（Ｂ（１）・・・）として利 用できるデータ要素に関する基準のリストからなり、 ｆ．手順記述（Ｃ（１）・・・）に関連するデータリストに関連する基準を もつ１セットのアクセス条件と、 ｇ．データリストにおけるデータ基準（Ｂ（１）・・・）のリストに関連す る１セットのアクセス条件とを更に有することを特徴とするデータ交換システム 。 ２．前記メモリ手段（１６）が更に、少なくとも２つのインタラクション文脈条 件（１９（１）・・・１９（ｍ））と、少なくとも１つのアプリケーション記述 （１８（１）・・・）と、現在実行中のインタラクション文脈条件についての基 準を記憶するメモリ要素（２０）とを有し、各アプリケーション記述が更に、 ａ．データ要素に関する基準（Ｅ（１）・・・）からなるデータリストを備 え、前記基準は、２つ以上のインタラクション文脈条件（１９（１）・・・）に アクセスでき且つ賦課データ要素により拡大され、 ｂ．前記基準（Ｅ（１）・・・）又は前記付加データ要素に関連し且つ使用 の制限を定めるアクセス条件の他のセットを備えていることを特徴とする請求の 範囲第１項に記載のデータ交換システム。 ３．前記各アプリケーション記述（１８（１）・・・）が更に、該アプリケーシ ョン記述（１８（１）・・・）の各々に関連する各インタラクション文脈条件の 手順記述（Ｃ（１）・・・）により使用される実行可能コード（Ｆ（１）・・・ ）のユニットを備えた手順ライブラリを有していることを特徴とする請求の範囲 第２項に記載のデータ交換システム。 ４．前記メモリ手段は、少なくとも２つのアプリケーション記述（１８（１）・ ・・）と、各アプリケーション記述（１８（１）・・・）内の各インタラクショ ン文脈条件（１９（１）・・・）の手順記述（Ｃ（１）・・・）により、又は各 アプリケーション記述（１８（１）・・・）内の各手順ライブラリの実行可能コ ード（Ｆ（１）・・・）の各ユニットにより使用される実行可能コード（Ｇ（１ ）・・・）のユニットとを備えていることを特徴とする請求の範囲第２項又は第 ３項に記載のデータ交換システム。 ５．前記手順ライブラリの実行可能コードのユニットは、計算の実際値としてパ スされるデータ要素に関する属性についてのクラスに、演算パラメータの使用の 仕様を含めることにより増強されることを特徴とする請求の範囲第３項又は第４ 項に記載のデータ交換システム。 ６．前記実行プログラム（１７）は、現在実行中のインタラクション文脈条件に ついての基準を記憶するメモリ要素（２０）の初期化に使用される省略時のイン タラクション文脈条件についての基準を有し、通常の作動状態への回復時の内的 矛盾の検出後に、又は実行プログラム（１７）が作動しており且つ明確なインタ ラクション文脈条件が、反対のデータ処理ユニット（４）から受けた通信の原始 的部分により特定されないときはいつでも最終作動を実行することを特徴とする 請求の範囲第２項〜第５項のいずれか１項に記載のデータ交換システム。 ７．前記メモリ手段（１６）は、暗唱番号を構成することを専用化されたインタ ラクション文脈条件を有し、前記実行プログラム（１７）は、データ交換システ ムのユーザにより与えられる暗唱番号を検証すべく配置されていることを特徴と する請求の範囲第１項〜第６項のいずれか１項に記載のデータ交換システム。 ８．前記各アプリケーション記述（１８（１）・・・）は、全てのインタラクシ ョン文脈条件（１９（１）・・・）についての識別子を与えるように構成された 数値のリストと、少なくとも、アプリケーションの種類を表示する第１数値と、 アプリケーションを構成するエンティティのユニークな識別を表示する第２数値 と、アプリケーション記述（１８（１）・・・）の本質を表示する第３数値と、 他の数値とを有し、該他の数値の各々が、アプリケーション記述に関する１つの インタラクション文脈条件（１９（１）・・・）とユニークに関連することを特 徴とする請求の範囲第２項〜第７項のいずれか１項に記載のデータ交換システム 。 ９．前記データ通信手段（１４）は、データ交換を、少なくとも２つの部分から なるデータのブロックを構成するように配置され、第１部分は、通信の原始的部 分又は実行される演算から得られるデータにより表示されるコマンドにより 遂行される演算の本質に影響を与えるように使用される点で演算的に修飾される データであり、第２部分は、演算の遂行の適当性又は演算部分内でのデータの受 容性を決定するのに使用され又は演算の完了又は結果データの訂正を行なうのに 使用される点でセキュリティとして修飾されることを特徴とする請求の囲第１項 〜第８項のいずれか１項に記載のデータ交換システム。 10．前記実行プログラム（１７）は、現在のインタラクション文脈条件(19(1)・ ・・）に特定された演算を遂行するための通信の原始的部分を受け入れると、作 動の所定の固定シーケンスの一部としての各演算を遂行するように配置されてお り、前記作動の各々は、受け入れられた通信の原始的部分に関連する手順記述の 一部として別々に特定され、前記作動は少なくとも次の作動、すなわち、 ａ．通信の原始的部分の使用の許可、 ｂ．演算データ又はその任意部分の復号、 ｃ．任意の入力データによるコマンドの遂行、 ｄ．遂行される任意の演算から得られる任意の演算データの暗号化、 ｅ．任意の遂行作動の完了の証明の計算又はセキュリティ計算に使用される 結果データの訂正の計算、 を有することを特徴とする請求の範囲第９項に記載のデータ交換システム。 11．前記データ処理ユニット（５）は、データ転送を初期化するとランダムなト ランザクション番号を発生し、該トランザクション番号は暗号計算のベースとし て機能することを特徴とする請求の範囲第１項〜第１０項のいずれか１項に記載 のデータ交換システム。 12．１つの通信の原始的部分には、新しいインタラクション文脈条件（１９（１ ）・・・）を入力するリクエストとして常に解釈される特定値が割り当てられる ことを特徴とする請求の範囲第１１〜第１１項のいずれか１項に記載のデータ交 換システム。 13．別のデータ処理ユニット（４）を有し、該データ処理ユニット（４）はこれ と同じ要素を有し、データ処理ユニット（４）のメモリには、任意であるが、ア プリケーションプログラムインターフェース（１０）を含めることができ、アプ リケーションプログラムインターフェース（１０）は、付加コンピュータ プログラムが、交換した通信の原始的部分のシーケンスについてユーザの制御実 施でき、又は通信の原始的部分に転送されたデータに影響を与えることができ、 又は交換時に受け入れたデータを学習し又は更に処理することができるように設 計されたプログラムコードからなることを特徴とする請求の範囲第１項〜第１２ 項のいずれか１項に記載のデータ交換システム。 14．特定のインタラクション文脈条件（１９（１）・・・）を入力するのに使用 される原始的部分は、次の通信でのセキュリティの計算に使用する数値と、処理 ユニットの１つにより発生される第１ランダム値と、前記１つの処理ユニットを 識別する機能をもつ第２値とを有することを特徴とする請求の範囲第１３項に記 載のデータ交換システム。 15．各通信の原始的部分が２つ以上の数値からなり、第１の値は、通信の原始的 部分に関連する作動の手順記述について使用され、第２の値は、一定数の２進値 からなり、各２進値は、実行プログラム（1２、１７）により、単一のデータ要 素についての基準として解釈されることを特徴とする請求の範囲第１３項に記載 のデータ交換システム。 16．各通信の原始的部分が２つ以上の数値からなり、第１の値は、通信の原始的 部分に関連する作動の手順記述について使用され、第２の値は、任意のデータ要 素が前記第２の値に一致する値を含んでいる場合に任意のデータ要素が選択され るような態様で応答作動を遂行する間に、アクティブなインタラクション文脈条 件（１９（１）・・・）の外的基準にどのデータ要素を利用できるかを決定する のに使用されることを特徴とする請求の範囲第１３項に記載のデータ交換システ ム。 17．各通信の原始的部分が２つ以上の数値からなり、第１の値は、通信の原始的 部分に関連する作動の手順記述について使用され、第２の値は多数の２進値から なり、該２進値は、通信の原始的部分におけるデータフォーマットの解釈及び応 答作動の遂行に使用される実行プログラム（１２、１７）により、特定の意味に 割り当てられることを特徴とする請求の範囲第１３項に記載のデータ交換システ ム。