JPH08506915A - 複数のマイクロプロセッサ間でアプリケーション・データおよび手続きを共用するための安全なアプリケーション・カード - Google Patents

Abstract

(57)【要約】 安全なアプリケーション・メモリ・カード（３）は、標準のインタフェースを介してホスト・マイクロプロセッサ（５−６）と機能的に接続することができ、それぞれが複数のブロックに構成された複数の不揮発性アドレス可能メモリ・チップ（１０３ａ、１０３ｎ）に相互接続する単一の半導体チップ上のアクセス制御マイクロプロセッサ（ＡＣＰ１０）を含む。マイクロプロセッサは、複数のキー値およびプログラム命令情報などの情報を格納するアドレス可能な不揮発性メモリ（１０−２）と、不揮発性メモリ・チップのデータ内容を無許可アクセスから保護する安全保護制御装置とを含む。メモリ・カードは、アプリケーション・プロセッサ（Ａ１）と、アクセス判別論理装置（Ａ３）とをさらに含む。アクセス判別論理装置は、安全保護を維持するためにＡＣＰ（１０）の制御下でアプリケーション・プロセッサ（Ａ１）により書込み可能なタイプ別アクセス・メモリを含む。このメモリは複数の記憶位置を有し、それぞれの記憶位置が複数のアクセス制御ビットを有し、このようなブロックに対して許可された各種タイプのアクセスを定義するために不揮発性メモリ・チップの別々のブロックに関連づけられている。

Description

【発明の詳細な説明】複数のマイクロプロセッサ間でアプリケーション・データおよび手続きを共用す るための安全なアプリケーション・カード 発明の背景 技術分野 本発明は、ポータブル・パーソナル・コンピュータの分野に関し、より具体的 にはポータブル・ディジタル情報環境でデータの安全保護を維持するためのシス テムに関する。従来技術 個人情報の安全保護はいつも懸念されていた。歴史的には、署名、信用証明書 、写真の使用によって保護されていた。自動銀行窓口機などの電子装置では、安 全保護ツールのレパートリーにコード化されたカードや個人識別番号（ＰＩＮ） を追加している。また、コンピュータでは引き続きパスワードを使用している。 より最近では、「スマート・カード」が安全保護ツールとして使用されている 。この「スマート・カード」は、書込み可能な不揮発性メモリと単純な入出力イ ンタフェースを単一チップとして作成し、プラスチックの「クレジット・カード 」に埋め 込んだ、小型のマイクロコンピュータである。これには、特別設計の機器への接 続を可能にする外部ピンが付いている。カードのマイクロコンピュータに収容さ れているプログラムがこの機器と対話し、任意選択でパスワード交換を含む可能 性のある所望のアルゴリズムに従って、その不揮発性メモリ・データの読取りま たは修正を可能にする。メモリ・データを保護し、状況に応じて各種の許可を可 能にするための特殊な技法が実現されている。たとえば、“Single Chip Microp rocessor with On-Chip Modifiable Memory”（「チップ上の書き換え可能メモ リを備えた単一チップマイクロプロセッサ」）という名称の米国特許第４３８２ ２７９号では、処理／制御ユニットと同じチップ上に含まれる不揮発性メモリの 自動プログラミングを可能にするアーキテクチャが開示されている。他のシステ ムのように、このマイクロプロセッサは同一チップ上のメモリを保護するだけで ある。 「スマート・カード」の使用目的は、識別プロセスを容易にすることと、貴重 な情報の実際の保管場所にすることの両方であった。この状況では、ほとんどの 従来の状況と同様、「キー」の物理的な存在ならびに何らかの特別な知識が、検 証または認 証プロセスの一部として使用されていた。このような場合、識別には、アクセス を必要とする人と、警備員や自動預金支払機などの一定のエージェントとの間の 対話が必要であった。 自立計算装置の可搬性の現状により、物理キーと認証エージェントの両方を小 型かつ軽便にすることが可能になり、その結果、紛失や盗難にあう可能性が高く なる。さらに、計算装置により、識別プロセスに関連する特別な知識やパスワー ドを推測または推理する試みを繰り返し実行することも可能になる。特に、認証 エージェントまたは装置も窃盗犯の制御下にある場合は、これが当てはまる。さ らに悪いことに、現在では技術により大量の機密情報の携帯が可能になり、しか もそれが奨励されているため、災難に遭いやすい。 また、現在のノート・サイズおよびサブノート・サイズのコンピュータは、相 当な計算能力を有する自立環境を提供し、それがデータ記憶容量の追加の必要性 を生み出している。この必要性はまず、プログラムとデータの両方を保持できる 小型ハード・ディスク装置によって満足された。このようなシステムではパスワ ード保護を使用する場合が多いが、まず認証エージェントが脆弱なので、機密デ ータを完全に保護するわけではない。 しかし、より重要なことには、データを収容したディスク装置は、物理的に除去 しより分析に便利な設定で、アクセスすることができる。この場合、何らかの形 式の暗号化を使用することによって、データが保護されている。ディスク・アク セスの特徴により、コストまたはパフォーマンス上の不当な妨げを受けずにこれ が可能になる。このタイプのシステムの例は、“Integrated Circuit Card”（ 「統合回路カード」）という名称の米国特許第４９８５９２０号に記載されてい る。 最近のフラッシュ・メモリおよび取外し可能「メモリ・カード」の出現により 、ポータブル・コンピュータのサイズおよび電力要件の大幅な低減が可能になっ た。フラッシュ・メモリは、ランダム・アクセス・メモリ（ＲＡＭ）の融通性と ディスクの耐久性とを兼ね備えたものである。現在では、このような技術を組み 合わせることにより、最高２０ＭＢのデータをクレジット・カード・サイズの取 外し可能パッケージに電力なしで格納することができる。このデータは、従来の ディスク・ドライブに格納されているか、またはホスト・システムのメモリの拡 張部分に格納されているものとして、ホスト・システムに認識させることができ る。 このような技術的進化により、システムとプログラムを含むデータとを携帯で きる程度までシステム・サイズのさらなる低減が可能になっている。このため、 コストやパフォーマンス上の重大な障害がもたらされるため、データ、プログラ ム、そのホスト・システムは紛失や盗難に対してさらに無防備になり、暗号化に よるメモリ・データの保護もより難しくなっている。 したがって、本発明の主な目的は、安全なメモリ・サブシステムを備えたポー タブル・ディジタル・システムを提供することにある。 本発明の他の目的は、ポータブル・ディジタル・システムからとりはずした場 合にその内容を保護することができるメモリ・カードを提供することにある。 本発明のより具体的な目的は、アプリケーションの実行に必要な動作環境全体 を保護するために使用することができる安全なメモリ・サブシステムを提供する ことにある。 発明の概要 本発明の上記およびその他の目的は、関連米国特許出願（第０ ９６０ ７４ ８号）に記載されているホスト・システム・マイクロプロセッサなど１つまたは 複数のホスト・システ ムとともに操作される、安全なアプリケーション・カードの好ましい実施例で達 成される。本発明は、データ用の安全保護をプログラムまで拡張し、それにより 、アプリケーションを実行するための安全な動作環境を提供する。好ましい実施 例の安全なアプリケーション・カードは、単一半導体チップ上のアクセス制御マ イクロプロセッサ（ＡＣＰ）と、メイン・メモリとして機能する１つまたは複数 の不揮発性アドレス可能メモリ・チップとを含む。アクセス制御マイクロプロセ ッサ・チップと不揮発性メモリ・チップは、このような不揮発性メモリ・チップ にアドレス、データ、制御情報を伝送するための各種部分を有する内部バスに共 通に接続する。アクセス制御マイクロプロセッサは、複数のキー値と、内部バス 上でのアドレス、データ・制御情報の転送を制御するためのプログラム命令情報 とを含む、構成情報を格納するためのアドレス可能不揮発性メモリを含む。好ま しい実施例では、構成情報の一部がタイプ別アクセス・メモリ用の内容として機 能し、それが電源投入時にロードされる。このデータは、ＡＣＰによって保護さ れ、（パスワードの変更により）適正な許可がある場合のみホスト・プロセッサ によって修正することができる。 本発明の教示により、安全なアプリケーション・カードは、同じく内部バスに 接続するアプリケーション・マイクロプロセッサをさらに含む。好ましい実施例 では、そのカードに機能的に接続する他のマイクロプロセッサのそれぞれと同様 にアプリケーション・プロセッサは、単純な読取りアクセスとは対照的なメモリ への「実行」アクセスを示すのに使用される内部バスの制御部分まで実行される そのバス・インタフェースの制御部分に含まれる追加の信号線を有している。ま た、アプリケーション・プロセッサには、不揮発性メモリ・チップへのアクセス を制御するアクセス制御マイクロプロセッサと同じチップ上に含まれるアクセス 判別論理装置が関連づけられている。このアクセス判別論理装置は、複数のワー ド位置を有するタイプ別アクセス・ランダム・アクセス・メモリ（ＲＡＭ）を含 み、それぞれの位置がアドレス可能メモリ・チップの異なるブロックに関連づけ られ、実行される特定のアプリケーションの１つの機能として各種タイプのアク セスを定義するためにコード化された複数のアクセス制御ビットを有する。 タイプ別アクセス・メモリ内のセレクタ手段は、マイクロプロセッサ・ソース がアプリケーション・カード外（たとえば、 ホスト・マイクロプロセッサ）に位置するかまたはカード内に位置するかを指定 するために「実行」信号線および「オフ・ボード」信号線に印加される信号に応 答して、内部バスの制御部分に接続する。セレクタ手段は、要求されたアクセス のタイプに対応するビット位置を選択し、指定のアクセス・ビット位置のビット 内容を使用して不揮発性メモリ・チップへの許可制御信号の転送を許可または禁 止する。好ましい実施例では、「実行」信号線と「オフ・ボード」信号線の状態 が各種タイプのメモリ・アクセスを定義する。このようなアクセスとしては、ホ スト・マイクロプロセッサからのデータ読取りアクセス、アプリケーション・カ ードのマイクロプロセッサからのデータ読取りアクセス、ホスト・マイクロプロ セッサからの実行アクセス、アプリケーション・カードのマイクロプロセッサか らの実行アクセスがある。 アクセス制御マイクロプロセッサは、電源投入時に従来の方法でタイプ別アク セスＲＡＭの内容を書き込む。前述のように、ホストまたはアプリケーション・ プロセッサは、ＡＣＰの制御下でのみこのＲＡＭの内容を修正することができ、 これにより、安全保護が維持される。 好ましい実施例では、パーソナル・コンピュータ・メモリ・カード国際協会（ ＰＣＭＣＩＡ）規格に準拠するインタフェースの１つなどの標準のインタフェー スを介して、それぞれのホスト・マイクロプロセッサがアプリケーション・カー ドに結合する。より具体的には、選択された特定のＰＣＭＣＩＡインタフェース は、バス・マスタ機能およびカード間通信機能を提供するカード・プロセッサと ともに使用可能な、いわゆる「定位置での実行」（ＸＩＰ）という機能性を有す る。 本発明は、プログラムに安全保護を提供することにより、関連特許出願の安全 なメモリ・カードの諸機能を拡張し、それにより、十分定義されたメッセージま たはプロトコルの使用によって標準の共用バス上で協調／ホスト・マイクロプロ セッサ（複数も可）に応答するがその内部動作をこのようなマイクロプロセッサ （複数も可）からシールドする自己完結型カードにそれが必要とするマイクロプ ロセッサとともにアプリケーション・ソフトウェアをパッケージ化することがで きる。この動作モードは、オブジェクト指向ソフトウェア設計の基本原理に適合 するもので、その目標は諸機能をこのようにセグメント化することによってより 優れた開発環境を提供することである。し たがって、本発明は、アプリケーションに安全な動作環境を提供することに関し ては、同じ目標を達成するものである。 関連特許出願の場合のように、本発明は、電子機器の小型化によって生み出さ れた「安全保護が過酷な」環境でフラッシュ・メモリ技術によって可能になった 大量のデータの保護を可能にするために重要な「スマート・カード」技術と「メ モリ・カード」技術とを融合させる。また、本発明は、安全モードと非安全モー ドで動作することができ、データの暗号化および暗号解読の必要性を除去し、カ ードまたはそのホスト・プロセッサが紛失、盗難、電源切断、または不在放置に 遭遇してもメモリ内容を保護することに関しては、関連特許出願の安全なカード の諸特徴を保持している。盗難にあった場合、メモリ・カードが開けられ、電子 的に調査されるか、またはメモリ・チップが取り外され、他の装置に取り付けら れても、メモリ内容はアクセスから保護される。 本発明の上記の目的および利点は、添付図面とともに以下の説明を読めば、さ らによく理解されるだろう。 図面の簡単な説明 第１図は、本発明により構築されたアプリケーション・カー ドを取り入れたシステムのブロック図である。 第２図は、第１図のフラッシュ・メモリをさらに詳細に示す図である。 第３図は、本発明の教示により構築された第１図のタイプ別アクセス・メモリ をさらに詳細に示す図である。 第４図は、本発明のアプリケーション・カードの動作を説明するために使用す るシステム配置図である。 好ましい実施例の説明 第１図は、パーソナル・コンピュータまたはトランザクション・プロセッサと して使用可能な安全なポータブル・ハンドヘルド・計算システムのブロック図で ある。システム１は、本発明により構築され、外部バス１０２によってホスト・ プロセッサ５に接続する、アプリケーション・カード３を含む。ホスト・プロセ ッサ５は、ヒューレット・パッカード社製のＨＰ９５ＬＸなどのパームトップ・ パーソナル・コンピュータの形態をとる場合もある。ホスト・プロセッサ５は、 内部バス１０６とブロック５−１０のインタフェース論理回路とを介してバス１ ０２に接続するマイクロプロセッサ５−６を含む。また、ホスト・プロセッサ５ は、液晶表示装置（ＬＣＤ）５−２、 キーボード５−４、メモリなど、内部バス１０６に接続する他の装置を含む場合 もある。メモリは、１メガバイトの読取り専用メモリ（ＲＯＭ）と５１２キロバ イトのランダム・アクセス・メモリ（ＲＡＭ）とを含む。 アプリケーション・カード３とホスト・マイクロプロセッサ５との間の接続は 、標準のバス・インタフェースにより確立される。好ましい実施例では、バス１ ０２は、「所定位置での実行」（ＸＩＰ）機能を含む、パーソナル・コンピュー タ・メモリ・カード国際協会（ＰＣＭＣＩＡ）規格に準拠する。インタフェース １０２は、標準のインタフェース・チップ１０４と内部バス１０５とを介してホ スト・プロセッサ５とアプリケーション・カード・システム３との間でアドレス 、制御、データの各情報を転送するための経路を提供する。バス１０２、１０５ 、１０６のそれぞれは、データ・バスと、制御バスと、アドレス・バスとを含み 、同様のすべてのバスを介して連続した信号経路を提供する。たとえば、バス１ ０５は、アドレス・バス１０５ａ、データ・バス１０５ｂ、制御バス１０５ｃと を含む。 第１図に示すように、本発明のアプリケーション・カード３は、バス１０５に 結合するアクセス制御マイクロプロセッサ （ＡＣＰ）１０と、内部バス１０５に結合する複数のＣＭＯＳフラッシュ・メモ リ・チップ１０３ａ〜１０３ｎと、バス１０５に結合するアプリケーション・マ イクロプロセッサＡ１と、バス１０５および図示のフラッシュ・メモリ１０３ａ 〜１０３ｎに結合するアクセス判別論理装置Ａ３とを含む。通常、ＡＣＰ１０は 、「スマート・カード」に使用されるものと同じタイプの処理素子である。ＣＭ ＯＳフラッシュ・メモリ１０３ａ〜１０３ｎは、インテル社製のフラッシュ・メ モリ・チップの形態をとる場合もある。たとえば、フラッシュ・メモリは、１２ ８キロバイトｘ８ビットのＣＭＯＳフラッシュ・メモリ８個を含む、インテル２ ８Ｆ００１ＢＸ １Ｍというインテルのフラッシュ・メモリ・チップの形態をと る場合もある。したがって、４メガバイトのフラッシュ・メモリ・カードであれ ば、このようなフラッシュ・メモリを３２個（すなわち、ｎ＝３２）含むはずで ある。 アクセス制御マイクロプロセッサ１０とフラッシュ・メモリ１０３ａ〜１０３ ｎは、前述の関連特許出願に開示されているように構築することができる。完全 を期すために、ＡＣＰ１０と不揮発性メモリ１０３ｉについて、ここで簡単に説 明する。 本発明によれば、第１図に示すように、内部バス１０５ならびに外部バス１０ ２の制御部分は、マイクロプロセッサ５−６、１０、またはＡ１のいずれかによ って生成された実行、読取り、書込みの各制御信号を印加する複数の制御信号線 を含んでいる。より具体的には、それぞれのマイクロプロセッサは、各種の制御 線の様々な状態により、実行、読取り、書込みの各動作サイクルを開始するため の手段を含んでいる。たとえば、上記のマイクロプロセッサは、特定の制御線の 状態を変更することにより、コード読取り、メモリ読取り、メモリ書込みの各動 作バス・サイクルを開始する機能を含むことに関しては、インテル４８６ＤＸマ イクロプロセッサと同様に構築することができる。このようなバス・サイクルの 詳細については、インテル社発行の“Microprocessors Vol．I”（「マイクロプ ロセッサVol．Ｉ」）（参照番号CG-110392）という資料を参照することができる 。 第３図に関連して詳述するアクセス判別論理装置Ａ３は、メモリ・チップ１０ ３ａ〜１０３ｎの各ブロックに１つずつ対応する複数のワード位置を含むタイプ 別アクセス・ランダム・アクセス・メモリ（ＲＡＭ）アレイと、メモリ・アクセ スの特徴 およびソースを示す「実行」および「オフ・ボード」制御信号線に接続された入 力セレクタ回路とを含む。本発明によれば、これらの信号は、４通りのタイプの メモリ・アクセス、すなわち、ホスト・マイクロプロセッサ５−６からのデータ 読取りアクセス、アプリケーション・マイクロプロセッサＡ１からのデータ読取 りアクセス、ホスト・マイクロプロセッサ５−６からの実行アクセス、アプリケ ーション・マイクロプロセッサＡ１からの実行アクセスを定義する。アクセス判 別論理装置Ａ３は、メモリ・チップ１０３ａ〜１０３ｎに出力許可制御を印加す るタスクを実行する。すなわち、この論理装置は、アドレス指定されたブロック に関連する位置について選択され事前格納されたアクセス制御ビットの状態の関 数として、どのタイプの許可制御信号がメモリ・チップ１０３ａ〜１０３ｎに印 加されるかを判定する。 アクセス制御マイクロプロセッサ１０ 好ましい実施例のアクセス制御マイクロプロセッサ（ＡＣＰ）１０は、保護付 きの不揮発性メモリ１０−２と、ランダム・アクセス・メモリ（ＲＡＭ）１０− ４と、間隔カウンタ１０−６とを含み、これらはすべて第１図に概略が示されて いる。不揮 発性メモリ１０−２は、認証情報およびプログラムを格納するための複数のアド レス位置専用である。より具体的には、１群のメモリ位置では、１つまたは複数 の個人識別番号（ＰＩＮ）と、ユーザがシステムにアクセスできることを確認す るためのプロトコル・シーケンスまたはその他の識別情報と、再認証に使用する 時間間隔値に加え、ユーザがアクセス可能なフラッシュ・メモリ１０３ａ〜１０ ３ｎ内のブロックを識別するための構成情報とを格納する。さらに、別の１群の メモリ位置では、アクセスのタイプを指定するためにアクセス判別論理ＲＡＭに ロード可能な所与のアプリケーション用の情報（すなわち、タイプ別アクセスＲ ＡＭの内容のマップまたはイメージ）を格納する。 別の１群のメモリ位置では、それぞれのフラッシュ・メモリ１０３ａ〜１０３ ｎを保護するために使用するキー値またはそれぞれのフラッシュ・メモリ１０３ ａ〜１０３ｎの個々のブロックを保護するために使用するコードを格納する。さ らに別の１群のメモリ位置では、必要な認証動作を実行し、障害のための事前設 定条件を満足した場合にシステムをクリアするためのプログラム命令シーケンス を格納する。所与のアプリケーショ ンでは、ユーザ再認証が行われる時期を確立するための間隔カウンタ１０−６の 設定をユーザが制御できるようにするために、プログラム命令が含まれる場合も ある。 フラッシュ・メモリ１０３ａ〜１０３ｎ 第２図は、残りのフラッシュ・メモリ１０３ｂ〜１０３ｎと構成が同一のフラ ッシュ・メモリ１０３ａをブロック図形式で示している。図示の通り、メモリ１ ０３ａは、本発明により構成されたメモリ・セクション１０３Ｍと、本発明の安 全保護アクセス制御回路を含む安全保護論理セクション１０３Ｓという２つのセ クションを含んでいる。メモリ・セクション１０３Ｍ 第２図に示すように、セクション１０３Ｍは、第４図に示すように１６個のブ ロックに構成されたメモリ・アレイ５４と、コマンド・レジスタ５０と、入出力 論理回路６０と、アドレス・カウンタ５６と、書込み状態マシン６１と、消去電 圧システム６２と、出力マルチプレクサ５３と、データ・レジスタ５５と、入力 バッファ５１と、出力バッファ５２と、状況レジスタ５８とを図示の配置で含ん でいる。前述のように、フラッシュ・メモリ１０３ａの基本論理回路は、インテ ル社製のフラッシ ュ・メモリに含まれるタイプの回路の形態をとる。このような回路は設計上、従 来のものと見なすことができるので、必要な程度に限定して説明する。このよう な回路に関する詳細については、１９９２年インテル社発行の“Memory Product s”（「メモリ製品」）（注文番号210830）という資料を参照することができる 。 第２図に示すように、フラッシュ・メモリ回路は、複数の入力アドレス信号Ａ ０−Ａ１６と、データ信号Ｄ００−Ｄ０７と、チップ許可信号ＣＥ、書込み許可 信号ＷＥ、出力許可信号ＯＥ、電源切断信号ＰＷＤ、消去／プログラム電源信号 ＶＰＰから構成される制御信号とを受け取る。 ＣＥ、ＷＥ、ＯＥの各信号は、バス１０２および制御バス１０５ｂを介してホ スト・プロセッサ５からコマンド・レジスタ５０および入出力論理ブロック６０ に印加され、指定の論理ブロックを制御するために分散される。より具体的には 、出力許可（ＯＥ）信号は、出力バッファ５２への入力として印加され、本発明 により、第１図のアクセス判別論理装置Ａ３によって供給される。ＰＷＤ信号は 、フラッシュ・メモリが必要に応じてセクション１０３Ｓの揮発性記憶素子をク リアするなどの 他の動作を実行できるようにするために、コマンド・レジスタ５０に印加され、 それにより、通常動作をもう一度再開したときにユーザ再認証が実施される。 一般に、セクション１０３Ｍの基本論理素子は次のように動作する。アドレス ・バス１０５ｃからアドレス・カウンタ５６が受け取ったアドレスによって指定 されたメモリ・ブロックの１つのアドレス位置に、データ・バス１０５ａ、入力 バッファ５１、データ・レジスタ５５を介して情報がメモリ・アレイ５４内に格 納される。情報は、メモリ・アレイ５４の１つのブロックの指定のアドレス位置 から読み取られ、出力マルチプレクサ５３、出力バッファ５２、データ・バス１ ０５ａ、バス１０２を介してホスト・プロセッサ５に送られる。状況レジスタ５ ８は、書込み状態マシンの状況と、エラー中断状況と、消去状況と、プログラム 状況と、ＶＰＰ状況とを格納するために使用される。 書込み状態マシン６１は、ブロック消去アルゴリズムとプログラム・アルゴリ ズムを制御する。プログラム／消去電圧システム６２は、メモリ・アレイ５４の ブロックまたは各ブロックのプログラミング・バイトをＶＰＰの電圧レベルの関 数として 消去するために使用される。安全保護セクション１０３Ｓ 第２図に示すように、セクション１０３Ｓは、図示の通り相互接続された安全 保護アクセス制御装置３０と揮発性アクセス制御メモリ４３とを含んでいる。ア クセス制御メモリ４３の出力は、メモリ・アレイ５３の任意のブロックの１つの バイト位置の内容を読み出している各メモリ読取りサイクル中に、出力バッファ ５２への許可入力として印加される。すなわち、読取りサイクルは行われる可能 性があるが、適切なブロックのアクセス制御メモリ・ゲート信号がない場合、読 み出された信号が出力バッファ５２を通過することは禁止される。 より具体的には、アクセス制御メモリ４３は、１６個の個々にアドレス可能な ビット記憶素子と、各記憶素子の入力に接続された入力アドレス４／１６ビット ・デコーダと、各記憶素子の出力に接続された１／１６出力マルチプレクサ回路 とを含む。図示の通り、制御メモリ４３に印加されたブロック・アドレスに対応 するアドレス・ラッチ・カウンタ５６の４つのビットがデコードされ、出力バッ ファ５２への許可入力として印加される適切な記憶素子出力を選択するために使 用される。 このセクションは、セクション１０３Ｍのコマンド・レジスタ５０からコマン ド制御信号を受け取る。データ安全保護を実現するためにフラッシュ・メモリが 使用する数組のコマンドに、関連特許出願に記載されているような特殊なコマン ドが追加されている。標準のフラッシュ・メモリ・コマンドは、インテル社のフ ラッシュ・メモリが使用するコマンドの形態をとる。 アプリケーション・マイクロプロセッサおよびホスト装置 アプリケーション・マイクロプロセッサＡ１は、アプリケーション・カードに 収容され、所与のアプリケーションを実行するのに必要なすべての操作機能を実 行するようプログラミングされている。好ましい実施例のマイクロプロセッサは 、インテル８０２８６マイクロプロセッサ・チップを使用して構築することがで きる。アプリケーション・マイクロプロセッサＡ１は、特定のアプリケーション を実行する際に所与の中間計算を実行するために使用するランダム・アクセス・ メモリも備えている。 アプリケーション・カード３は、第１図のホスト・プロセッサ５で使用すると ともに、第４図のハンドヘルドＰＯＳホスト・プロセッサとも関連して動作する 。このホスト・プロセッサは、共通して内部バスに接続するディスプレイ、キー パッド・ チケット・プリンタ、クレジット・カード・リーダ、通信リンクなどの複数の周 辺装置を含む。ホスト・マイクロプロセッサは、周辺装置を操作するがそれ自身 の機能性は最小限である単純な装置である。たとえば、このマイクロプロセッサ は、インテル８０５１チップを使用して構築することができる。これは、始動コ ードと自己テスト・コードのみを収容した専用の読取り専用メモリ（ＲＯＭ）を 有する。したがって、ホスト装置は、アプリケーション・カード３内に重要な機 能性のすべてが収容された「シェル」と見なすことができる。 アクセス判別論理装置 第３図に示すアクセス判別論理装置Ａ３は、フラッシュ・メモリの数に対応す るｎ群の位置を有するランダム・アクセス・メモリＢ１を含む。各群は、フラッ シュ・メモリ１０３ａに収容されたブロックごとに１つずつ、１６個のマルチビ ットまたはワード位置を含んでいる。各ワードのビット位置の数は、実行中のア プリケーションに必要な各種タイプのアクセスの数に対応する。たとえば、好ま しい実施例のアプリケーション・カードでは、前述のように、４通りのタイプの アクセスが存在する。これらのアクセスは、各ワードのビット位置０〜３で指定 される。示されているビット位置０と１は、それぞれデータとプログラムへのア プリケーション・マイクロプロセッサ・アクセスを制御するために使用される。 各ワードのビット位置２と３は、それぞれデータとプログラムへのホスト・マイ クロプロセッサ・アクセスを制御するために使用される。いずれかのビット位置 が２進数の１の状態に事前設定されている場合は、アクセスが許可されているこ とを意味する。ビット位置が２進数の０の状態に事前設定されている場合は、ア クセスが許可されていないことを意味する。 図示の通り、ＲＡＭアレイＢ１は、許可されたマイクロプロセッサによるロー ドのために内部バス１０５のデータ・バス部分１０５ｂに接続している。これは 、このアレイへのアドレスとして機能するためにメモリ・アドレスの最上位ビッ トを供給する内部バス１０５のアドレス部分１０５ａにも接続している。アドレ ス位置の出力は、マルチプレクサＢ２のデータ入力に印加される。マルチプレク サＢ１のセレクタ入力は、図示の通り、内部バス１０５の制御部分１０５ｃの「 実行」制御線と「オフ・ボード」制御線に接続している。マルチプレクサＢ１の 出力は、ＡＮＤゲートＢ３への１つの入力として印加され、その ＡＮＤゲートのもう１つの入力は、内部バス１０５の制御部分１０５ｃの出力許 可制御線に接続している。ＡＮＤゲートＢ３の出力は、メモリ・チップ１０３ａ 〜１０３ｎのそれぞれへの入力として印加される出力許可制御線に接続している 。 動作の説明 次に、第４図のシステム構成に示す特定のアプリケーションに関連して、本発 明のアプリケーション・カードの動作を説明する。いくつかのアプリケーション ・カードが存在し、それぞれがレストラン環境で使用するためにプログラミング されている。このレストランでは、メインフレーム・パーソナル・コンピュータ をすべてのレストラン処理に使用し、このコンピュータは第１図のホスト・パー ソナル・コンピュータ５として構築することができる。すべての通常の機能に加 え、ホスト・パーソナル・コンピュータ５は、ディスケット・スロットを占有し 、ＰＣＭＣＩＡカードを受け入れるデバイスを備えている。 それぞれのアプリケーション・カードは、そのインタフェースならびに第４図 の装置のような複数のハンドヘルド装置の１つに挿入することができる。図示の 通り、それぞれのハンドヘルド装置は、他の必要な付属品に加え、キーバッドと 、小型デ ィスプレイと、クレジット・カード・リーダとを備えている。レストランでは、 従業員（たとえば、ウェイター、バーテンダーなど）の数に応じて、最高５０台 までこのような装置を使用することができる。 毎朝、レストランが営業を開始する前に、レストランのデータ処理管理者は、 カードを挿入せずにバッテリが再充電されているラックに格納された、ウェイタ ー１人に１台ずっのハンドヘルド装置群を検査する。別の場所では、管理者が前 夜使用したアプリケーション・カードの山を見つける。すなわち、ウェイターは 、退社時に、ハンドヘルド装置からカードを取り外し、装置を再充電ラックに入 れ、管理者しかアクセスできないドア内の安全な場所に設けたスロットにカード を差し込むというのが、通常の手順である。 それぞれのアプリケーション・カードは２つのホストを認識する機能を持って いる。すなわち、各カードのアクセス制御マイクロプロセッサ１０は２つのＰＩ Ｎを認識するようにプログラミングされていることを意味する。一方は、管理者 とメインフレーム・パーソナル・コンピュータ５だけが知っているコンピュータ ・システムのＰＩＮである。もう一方は、管理者が提 供した汎用ＰＩＮのリストから選択した各シフトの開始時にそれぞれのウェイタ ーが割り当てるＰＩＮである。 管理者は、それぞれのアプリケーション・カードを取り、レベルが高い方のＰ ＩＮを提示するメインフレーム・パーソナル・コンピュータ５のＰＣＭＣＩＡス ロットにそのカードを挿入する。各アプリケーション・カードに格納されている 最も重要な情報は、所与のシフトの特定のウェイターの前日のトランザクション の記録である。これは、大量の受領書を処理する必要性を除去する監査証跡とな る。 アクセス判別論理装置Ａ３では、第４図および以下の表に示すようにアクセス のタイプおよびデータのタイプに関する区別が行われる。 ただし、ＡＤ＝アプリケーション・データ、ＡＰ＝アプリケーション・プログラ ム、ＨＤ＝ホスト・データ、ＨＰ＝ホスト・プログラムである。 上記のように、毎日のトランザクション履歴データは、本明細書で論じる理由 によりハンドヘルド装置そのものではなく、ハンドヘルド装置のアプリケーショ ン・マイクロプロセッサＡ１のみアクセス可能なデータとして示される。２つの ブロックに対応するメモリ領域１０３ａは、この情報の格納用に割り振られてい る。割り振られたブロックに関連するワードＷ１４とＷ１５それぞれの１ビット 目は、アプリケーション・マイクロプロセッサＡ１による読取りアクセスのみを 示すために、２進数１に設定される。 この状況では、トランザクション履歴データは後でＡＣＰ１０の制御下でメイ ンフレーム・パーソナル・コンピュータ５がアクセス可能なものになる。ハンド ヘルド装置はウェイターが支配しているが、閉じたトランザクションはアプリケ ーション・カード内に格納され、カード上のアプリケーション・マイクロプロセ ッサＡ１のみがアクセス可能である。これにより、誰かがこのデータを操作する ことが防止される。 メインフレーム・パーソナル・コンピュータ５に挿入すると、アプリケーショ ン・カードは、ホスト・コンピュータ５が正しい許可を持っていることを確認す るためにＡＣＰ１０が使用するＰＩＮまたはパスワードを提示する。適切な許可 が提示された場合のみ、ＡＣＰ１０は、ＲＡＭアレイの内容を修正し、適切なア クセス権を提供する（すなわち、ワードＷ１４とＷ１５のそれぞれの３ビット目 が２進数の１に設定される）。アクセス判別論理装置の揮発性ＲＡＭアレイに再 ロードすると、メインフレーム・コンピュータ５は、ハンドヘルド装置内ではそ れが使用できなかったこのデータを読み取ることができるようになる。アクセス 判別論理装置Ａ３の揮発性ＲＡＭメモリは、メインフレーム・コンピュータ５が アプリケーション・カードのすべての情報に自由にアクセスできるように、ＡＣ Ｐ１０によってセットアップされる。このセットアップは、安全保護を維持する ためにＡＣＰの制御下にある。 管理者が最初に行うのは、前夜のトランザクションをすべて捕捉し、後で適宜 処理する（たとえば、支払計算など）ためにメインフレーム・コンピュータ５に それを格納することである。前記のように、メインフレーム・コンピュータ５が 正しいＰＩ Ｎを提供すると、ＡＣＰ１０は、アクセス判別論理装置Ａ３のＲＡＭ Ｂ３とフ ラッシュ・メモリ１０３ａ〜１０３ｎ内のロックをセットアップし、メインフレ ーム・コンピュータ５がこのようなメモリ内に格納されたすべてのデータを読み 取れるようにすることができる。データの格納後、これらのメモリ・ブロックは クリア／消去され、その後の使用のために書き直される。 第４図および表に示すように、別のメモリ領域１０３ａは正しいメニューと価 格／特別料理を保管するために割り当てられており、毎朝、管理者が書き直す。 この領域は、ワードＷ５がそれに関連づけられている単一ブロックに対応する。 表に示すように、この情報は、アプリケーション・マイクロプロセッサＡ１と第 ４図のハンドヘルド・ホスト・マイクロプロセッサのどちらからもアクセス可能 である。したがって、このようなアクセスを可能にするために１ビット目と３ビ ット目の両方が２進数の１に設定される。 アプリケーション・マイクロプロセッサ自体のためのプログラム・コードは、 本来は変更されないデータである。このコードの重要な部分は、第４図の通信リ ンクを介してクレジット・ ネットワーク上でメッセージを送信できるようにするアルゴリズムと暗号化であ り、ハンドヘルド装置がそのネットワークにアクセスする方法を記載した情報を 含む。すなわち、これは、そのトランザクションが所与の口座に代金を請求でき る正当なトランザクションであることを立証するのに使用される、要求側を適切 に識別する情報を含んでいる。これは、アプリケーション・カードに保管されて いる非常に安全な情報である。ネットワーク上の発信源としてそのレストランを 識別することに関連するパスワードの変更または更新など、この情報の変更が行 われた場合は、この情報は管理者によってカードに書き込まれるとともに、レス トランの従業員がアクセスできないように保護されるはずである。表に示すよう に、８つのブロックに対応するメモリ領域１０３ａは、アプリケーション・マイ クロプロセッサＡ３用のプログラム・コードを格納するために割り振られている 。これらのブロックには、ワードＷ６〜Ｗ１３が関連づけられており、それぞれ のワードのビット位置２は、アプリケーション・マイクロプロセッサＡ３による 「実行」タイプのアクセスを示す２進数１の状態に設定されている。 アプリケーション・カードのメモリ１０３ａに格納されてい るもう１つのタイプの情報は、ハンドヘルド装置上の各種装置用のドライバであ る。５つのブロックに対応するメモリ領域がこの情報の格納に割り振られている 。これらのブロックには、ワードＷ０〜Ｗ４が関連づけられており、それぞれの ワードのビット位置４は、第４図のハンドヘルド・ホストによるアクセスのみを 特定するために２進数１の状態に設定されている。 クレジット・カード・リーダ・プログラムにバグがある場合は、この時点で管 理者によって更新がフラッシュ・メモリに書き込まれるはずである。各種のホス トがそれぞれ別々のレベルの特権を持つことができる場合に、メインフレーム・ ホスト・プロセッサ５にそのプロセッサ自体を識別させると、メモリがすでにク リアされているアプリケーション・カード全体を更新して翌日の使用に備えるこ とができ、そのアプリケーション・カードをサービス・スタッフの特定の人用に 個別設定するか、同じ情報をすべてのカードに書き込むことができる。 プログラミングされたアプリケーション・カードは積み重ねされているので、 １人の人が出社して仕事を始める場合、その人は充電ラックから１台のハンドヘ ルド装置を取り、そのように指定されていれば個別設定したカード（たとえば、 １つのタ イプはバーテンダー用で、もう１つのタイプはウェイター用）を選択し、そのカ ードをハンドヘルド装置に挿入する。最初のログオン時にその人は、その人自身 が自分たちをユーザとして識別しなければならない汎用ＰＩＮを挿入し、それに より、その人は、自分のシフト用に使用するＰＩＮを選択して安全保護を強化す ることができる。 カードまたは装置を破棄し、後で回収した場合、メインフレーム・コンピュー タ５は、その指定変更ＰＩＮを使用することによりデータを入手できるはずであ る。当然のことながら、前述の関連特許出願に記載されているようにアプリケー ション・カードの安全保護装置により、アプリケーション・カード・データのす べてが不正アクセスから保護されるはずである。すなわち、メインフレーム・コ ンピュータ５しか把握していないマスタＰＩＮを使用した場合のみ、アクセス権 を獲得できるはずである。 この安全保護の態様の１つは、それによりレストランが伝票なしで操業可能に なる点である。したがって、伝票の写しを保管する必要がなく、それにより、顧 客のクレジット・カード・データの保護が確保される。受領書を要求する顧客に ついては、 ハンドヘルド装置のプリンタを使用して、その顧客ごとに１枚の受領書を印刷す ればよい。ハンドヘルド装置にペン入力面が付いている場合は、これにより、顧 客の署名を捕捉することも可能である。 上記の動作の実行後、４つのメモリ領域は表通りに正しくセットアップされて いるので、ハンドヘルド装置は従業員に支配される。前述のように、データ域は 、その日の分の閉じたトランザクションを格納するためにアプリケーション・マ イクロプロセッサＡ３が保有し、安全保護のためと、適切に保存するため（たと えば、事故により無効にならないようにするため）の両方の理由から後で保護域 に置かれる（すなわち、ワードＷ１４とＷ１５のコーディングによって制御され る）。これは、このような情報を保持するために特別なバッテリ・バックアップ 回路を設ける必要性がなくなるという点で、フラッシュ・メモリの利点の１つで ある。 レストランの営業中、従業員は閉じたトランザクションを適切なメモリ領域１ ０３ａに入力する。書込みは、適切な書込み保護アルゴリズムの制御下で従来通 りに行われる。すなわち、アプリケーション・プログラム・コードにより、アプ リケーシ ョン・プロセッサＡ１が適切なメモリ領域に書き込むはずである。第４図のハン ドヘルド・ホスト・プロセッサには、メモリ１０３ａへの書込み能力を有するソ フトウェアは存在しない。この書込み方法は本発明の一部ではないので、これに ついては本明細書ではこれ以上説明しない。 上記のように、ハンドヘルド・ホスト・プロセッサ用のデータ域として示され 、メニュー情報ならびに「処理中」の注文を保持するので自由にアクセス可能な 領域がもう１つある。第４図には、アプリケーション・カードの一部としてＲＡ Ｍが示されている。フラッシュ・メモリ１０３ａの諸領域を書き直す方が難しい ので、実現しやすさのため、中間計算または粗計算がＲＡＭで行われるという、 通常のトレードオフが行われる。しかし、電力不足から保護するため、メモリ１ ０３ａに注文を書き込む方が望ましい場合もある。このような場合、アプリケー ション・プロセッサＡ１は、注文が変更された時を示すレコードにタグを付ける ことが可能である。これは、設計上の選択の問題である。 上記にもかかわらず、ＲＡＭ内のある種の情報域は、アプリケーション・マイ クロプロセッサＡ１とハンドヘルド・ホスト ・プロセッサの両方からアクセス可能になっていなければならないはずである。 ハンドヘルド・ホスト・プロセッサ上の画面をリフレッシュするためのバッファ 域は、両方の装置からアクセス可能になっているはずである。したがって、ここ には本当に確かな情報は格納されないはずである。各トランザクションはＲＡＭ を通過するが、クレジット・カード番号のような情報はそこに格納すべき理由が ないはずである。このような情報は、ＲＡＭの安全な領域にのみ書き込まれるは ずである。 前述のように、メモリ１０３ａ内のプログラムには２つのセクションが存在す る。１つのセクションは、アプリケーション・プロセッサＡ１専用のプログラム 域である。基本的にこれは、保護されているアプリケーション・プログラム全体 であるが、それが保護されている理由は、一部には暗号化アルゴリズムを含むた めであり、また一部には装置を動作させる固有のプログラムなど、装置メーカ独 自の製品（すなわち、ＢＩＯＳ）を表しているためである。アプリケーション・ カードが盗まれ、誰かがリバース・エンジニアリングのためにそのプログラムを コピーしたり、その安全保護機能の一部を破壊しようとした場合、その人は、ア プリケーション・カードを正しいホスト装置に挿 入してもそのデータを読み取ることができないはずである。というのは、最初に 入力しなければならない非常に基本的なＰＩＮを含む正しいＰＩＮをすべて把握 していなければならないからである。このような安全保護は、関連特許出願の主 題である安全保護装置によって提供される。 前述のように、ハンドヘルド・ホスト・プロセッサは、粗暴目的でこの種の情 報にアクセスできないはずである。間違った領域にそれるようなバグやエラーが コードに含まれている場合、それはトラップで除去され、このようなコードへの アクセスが許可されないことになる。 同様にハンドヘルド・ホスト・プロセッサのプログラムコードは、粗暴目的の アプリケーション．マイクロプロセッサＡ１によるアクセスから保護される。ま た、これにより、ハンドヘルド装置はより単純なプログラミングが可能になり、 必要なメモリ容量が低減される。したがって、本発明は、２つのマイクロプロセ ッサによるメモリの共用を可能にすることにより、より経済的なシステム実現を 達成する。 通常動作中、第４図のハンドヘルド・ホスト・プロセッサとアプリケーション ・プロセッサＡ１は、フラッシュ・メモリ １０３ａへのアクセスに必要なメモリ・アドレスを生成する。それぞれのアクセ スの場合、メモリ・アドレスの最上位ビットがアドレス・バス１０５ａを介して 第４図のＲＡＭ Ｂ１のアドレス入力に印加される。これにより、指定のワード 位置のマルチビット内容が読み出される。マルチプレクサＢ２への入力として印 加される「実行」線と「オフ・ボード」線の状態により、適切なビット位置が選 択される。次にこのビットの状態により、出力ＡＮＤゲートＢ３が制御され、第 ２図のメモリ・セクション１０３ｍへの出力許可制御線に印加される信号の転送 が許可または禁止される。すなわち、出力バッファ５２がメモリ５４から読み出 した情報を内部バス１０５のデータ部分１０５ｂに印加するのを防止することに より、読取りアクセスが許可または禁止される。 使用する特定のメモリ制御ビットを選択する場合、システムのパフオーマンス 要件とタイプ別アクセスＲＡＭアレイのアクセス時間が重要になる場合があるこ とに留意されたい。また、使用するホスト・マイクロプロセッサまたは使用する 外部バスが「実行アクセス」制御機能をサポートしていない場合には、このよう なアクセスが読取りアクセスとして扱われ、安全保護 が一部損なわれる可能性がある。 上記の説明から、本発明の原理により構築されたアプリケーション・カードが データとプログラムの両方に安全な環境を提供する様子が分かる。これにより、 複数のマイクロプロセッサ間で不揮発性メモリ内に格納されたこのような情報を 共用することができる。さらに、アプリケーション・ソフトウェアをそれ専用の アプリケーション・プロセッサとともにパッケージ化し、このようなシステムを より経済的に生産および使用できるようにする。 その教示から逸脱せずに本発明の好ましい実施例に多くの変更を加えることが 可能であることに留意されたい。たとえば、本発明は様々なアプリケーションと ともに使用することができる。たとえば、以下の表は、サンプル・アプリケーシ ョン用のメモリ１０３ａの追加例を示すものである。 諸規定および法令により、本発明の最良の形態を図示し説明してきたが、特許 請求の範囲に記載した本発明の精神から逸脱せずに、所与の変更を加えることは 可能であり、場合によっては、他の特徴を同等に使用せずに本発明の所与の特徴 を有利に利用することも可能である。

───────────────────────────────────────────────────── 【要約の続き】 るために不揮発性メモリ・チップの別々のブロックに関 連づけられている。

Claims (1)

1. 【特許請求の範囲】 １．バス・インタフェースにより結合されたホスト・マイクロプロセッサととも に使用されるアプリケーション・カードであって、前記アプリケーション・カー ドが、 前記バス・インタフェースに機能的に結合されたインタフェース論理回路手段 であって、アドレス、データ、制御情報を含む要求を前記ホスト・マイクロプロ セッサとの間で送受信するように結合されているインタフェース論理回路手段と 、 前記インタフェース論理回路手段に接続された内部バスであって、どのマイク ロプロセッサが各メモリ要求を行っており、どのタイプのメモリ・アクセスが行 われているかを指定する各メモリ要求に関する前記インタフェース論理回路手段 からの信号を含む前記要求を転送するためのアドレス・セクション、データ・セ クション、および制御セクションを有する内部バスと、 前記内部バスに接続されたアクセス制御マイクロプロセッサであって、 特定のアプリケーションを実行するためにコード化された不揮発性メモリ・マ ッピング情報を含む構成情報を格納するアド レス可能不揮発性メモリを含む、アクセス制御マイクロプロセッサと、 前記アドレス、データ、制御情報を受け取るために前記マイクロプロセッサと 共通して前記内部バスに接続されている少なくとも１つの不揮発性アドレス可能 メモリであって、前記アプリケーションを実行するために必要な各種アクセス・ タイプ情報を格納するために複数のブロックに構成されている少くとも一つの不 揮発性アドレス可能メモリと、 前記内部バスの前記アドレス・セクション、データ・セクション、および制御 セクションと、前記不揮発性メモリとに結合されたアクセス判別論理装置であっ て、前記アプリケーションの実行に関連する各マイクロプロセッサによって各ブ ロックに対して行われる各種タイプのメモリ・アクセスを指定するためにコード 化された前記複数のブロックに関する前記不揮発性メモリ・マッピング情報に対 応するタイプ別アクセス情報を格納し、メモリ要求に応答して、前記メモリ要求 の前記アドレス情報によって指定された前記ブロックの１つに関連する前記タイ プ別アクセス情報を読み出し、前記タイプ別アクセス情報によって指定された通 りに前記マイクロプロセッサが前記メモリ要 求を行うことにより前記ブロックへのアクセスを可能にするアクセス判別論理装 置とを含むことを特徴とする、アプリケーション・カード。 ２．前記アクセス判別論理装置が、 前記内部バスの前記アドレス・セクション、データ・セクション、および制御 セクションにそれぞれ接続されたアドレス入力、データ入力、および制御入力と 、前記不揮発性メモリに接続された出力とを有するランダム・アクセス・メモリ （ＲＡＭ）アレイであって、前記不揮発性メモリ・マッピング情報を格納する前 記複数のブロックと個数が対応する複数の記憶位置を有し、それぞれの記憶位置 が前記アプリケーションを実行するために必要なタイプのメモリ・アクセスを指 定するために前記メモリ・マッピング情報によって指定された通りに所定の状態 に設定された複数のアクセス制御ビット位置を有し、各メモリ要求に応答して、 前記アドレス情報によって指定された前記複数の記憶位置の１つからメモリ・マ ッピング情報を読み出し、前記インタフェース論理回路手段からの前記信号によ って指定された前記アクセス制御ビット位置の１つからの前記所定の状態の１つ に対応する制御信号を前記出力に印加して、前記アクセ スを可能にするＲＡＭアレイを含むことを特徴とする、請求の範囲第１項に記載 のアプリケーション・カード。 ３．前記アクセス制御マイクロプロセッサと前記アクセス判別論理装置とが単一 チップ上に収容されていることを特徴とする、請求の範囲第１項に記載のアプリ ケーション・カード。 ４．前記アクセス判別論理装置が、 データ入力および制御入力と出力回路手段とを有するマルチプレクサ・セレク タ回路手段であって、前記データ入力が前記メモリ・マッピング情報を受け取る ために前記ＲＡＭアレイに結合され、前記制御入力が前記インタフェース論理回 路手段から前記信号を受け取るために前記制御セクションに結合され、前記出力 回路手段が前記不揮発性メモリに結合され、前記制御入力に印加された前記信号 に応答して、前記出力回路手段に前記制御信号を印加するために前記アクセス制 御ビット位置の１つを選択して、前記アクセスを可能にするマルチプレクサ・セ レクタ回路手段をさらに含むことを特徴とする、請求の範囲第２項に記載のアプ リケーション・カード。 ５．前記出力回路手段が、少なくとも第１および第２の入力と１つの出力とを有 する論理回路を含み、前記第１の入力が前記 制御信号を受け取るように接続され、第２の入力が前記制御セクションの所定の バス線に接続され、前記出力が前記不揮発性メモリに接続され、前記信号が、ど のマイクロプロセッサが前記メモリ要求を発生したかを指定するオフ・ボード信 号と、前記メモリ・アクセスのタイプを指定するバス・アクセス制御信号とを含 むことを特徴とする、請求の範囲第３項に記載のアプリケーション・カード。 ６．前記バス・アクセス制御信号が、アクセス中の前記ブロック内の情報の実行 だけがアクセスを要求した前記マイクロプロセッサに許可されることを指定する ためにコード化された実行制御信号であることを特徴とする、請求の範囲第５項 に記載のアプリケーション・カード。 ７．前記バス・アクセス制御信号が、アクセス中の前記ブロック内の情報の読取 りと実行とがアクセスを要求した前記マイクロプロセッサに許可されることを指 定するためにコード化された読取り制御信号であることを特徴とする、請求の範 囲第５項に記載のアプリケーション・カード。 ８．前記不揮発性メモリの前記ブロックの第１のグループが、前記アプリケーシ ョンに関連する第１のタイプのデータを格納 し、前記ブロックの前記第１のグループの１つずつに関連する各記憶位置の第１ のアクセス制御ビット位置が、前記特定のアプリケーションを実行するための動 作を実行するようにプログラミングされたアプリケーション・マイクロプロセッ サによる前記ブロックの前記第１のグループ内の記憶位置へのアクセスを可能に するために第１の状態に設定され、前記各記憶位置の第２のアクセス制御ビット 位置が、前記データへのアクセスが許可されていないホスト・マイクロプロセッ サによる前記第１のグループのブロック内の記憶位置へのアクセスを禁止するた めに第２の状態に設定されることを特徴とする、請求の範囲第３項に記載のアプ リケーション・カード。 ９．前記第１の状態と第２の状態が２進数の１と２進数の０にそれぞれ対応する ことを特徴とする、請求の範囲第８項に記載のアプリケーション・カード。 １０．前記不揮発性メモリの前記ブロックの第２のグループが、前記アプリケー ションに関連する第２のタイプのデータを格納し、前記ブロックの前記第２のグ ループの１つずつに関連する各記憶位置の前記第１のアクセス制御ビット位置が 、前記アプリケーション・マイクロプロセッサによる前記第２のグループ のブロック内の記憶位置へのアクセスを禁止するために前記第２の状態に設定さ れ、各記憶位置の前記第２のアクセス制御ビット位置が、前記ホスト・マイクロ プロセッサによる前記第２のグループの位置内の記憶位置へのアクセスを可能に するために前記第１の状態に設定されることを特徴とする、請求の範囲第８項に 記載のアプリケーション・カード。 １１．前記不揮発性メモリの前記ブロックの第３のグループが、前記アプリケー ションに関連する動作を実行する際に前記アプリケーション・マイクロプロセッ サによって使用される第１のタイプのプログラム情報を格納し、前記ブロックの 前記第３のグループの１つずつに関連する各記憶位置の第３のアクセス制御ビッ ト位置が、前記特定のアプリケーションを実行するための動作を実行するように プログラミングされたアプリケーション・マイクロプロセッサによる前記ブロッ クの前記第１のグループ内の記憶位置へのアクセスを可能にするために前記第１ の状態に設定され、前記各記憶位置の第４のアクセス制御ビット位置が、前記プ ログラム情報へのアクセスが許可されていないホスト・マイクロプロセッサによ る前記第３のグループのブロック内の記憶位置へのアクセスを禁止するために前 記第２の状 態に設定されて、安全保護を維持することを特徴とする、請求の範囲第１０項に 記載のアプリケーション・カード。 １２．前記不揮発性メモリの前記ブロックの第４のグループが、前記アプリケー ションに関連する動作を実行する際に前記ホスト・マイクロプロセッサによって 使用される第２のタイプのプログラム情報を格納し、前記ブロックの前記第４の グループの１つずつに関連する各記憶位置の前記第３のアクセス制御ビット位置 が、前記アプリケーション・マイクロプロセッサによる前記第４のグループのブ ロック内の記憶位置へのアクセスを禁止するために前記第２の状態に設定されて 、システム保全性を維持し、各記憶位置の前記第４のアクセス制御ビット位置が 、前記ホスト・マイクロプロセッサによる前記第４のグループの位置内の記憶位 置へのアクセスを可能にするために前記第１の状態に設定されることを特徴とす る、請求の範囲第１１項に記載のアプリケーション・カード。 １３．前記第１、第２、第３、および第４のグループのブロックが、それぞれ異 なる数のブロックを収容することを特徴とする、請求の範囲第１２項に記載のア プリケーション・カード。 １４．前記カードが、前記特定のアプリケーションを実行する ための動作を実行するようにプログラミングされたアプリケーション・マイクロ プロセッサをさらに含み、前記アプリケーション・マイクロプロセッサが前記内 部バスの前記アドレス・セクション、データ・セクション、および制御セクショ ンに結合され、行われる前記タイプのメモリ・アクセスを指定する信号を生成す ることを特徴とする、請求の範囲第１項に記載のアプリケーション・カード。 １５．電源投入信号に応答して、前記アクセス制御マイクロプロセッサが、前記 特定のアプリケーションを実行する際に使用する前記不揮発性メモリ・マッピン グ情報を前記アクセス判別論理装置にロードすることを特徴とする、請求の範囲 第１項に記載のアプリケーション・カード。 １６．前記特定のアプリケーションの実行中に、前記アクセス制御マイクロプロ セッサが、前記アクセス判別論理装置内に格納されている前記不揮発性メモリ・ マッピング情報を変更するための各要求を前記ホスト・マイクロプロセッサから 受け取った場合のみ、その要求に応答して、前記ホスト・マイクロプロセッサが 正常認証動作を実行した後で前記不揮発性メモリ・マッピング情報を修正するこ とを特徴とする、請求の範囲第１項 に記載のアプリケーション・カード。 １７．前記アクセス制御マイクロプロセッサの不揮発性メモリ構成情報が、前記 認証動作を実行する際に前記アクセス制御マイクロプロセッサが使用する複数の パスワードをさらに含むことを特徴とする、請求の範囲第１６項に記載のアプリ ケーション・カード。 １８．バス・インタフェースにより結合されたホスト・マイクロプロセッサとと もに使用されるアプリケーション・カードにおいて、前記アプリケーション・カ ードが、 前記バス・インタフェースに機能的に結合されたインタフェース論理回路手段 であって、アドレス、データ、制御情報を含む要求を前記ホスト・マイクロプロ セッサとの間で送受信するように結合されているインタフェース論理回路手段と 、 前記インタフェース論理回路手段に接続された内部バスであって、どのマイク ロプロセッサが各メモリ要求を行っており、どのタイプのメモリ・アクセスが行 われているかを指定する各メモリ要求に関する前記インタフェース論理回路手段 からの信号を含む前記要求を転送するためのアドレス・セクション、データ・セ クション、および制御セクションを有する内部バスと、 前記内部バスに接続されたアクセス制御マイクロプロセッサであって、 特定のアプリケーションを実行するためにコード化された不揮発性メモリ・マ ッピング情報を含む構成情報を格納するアドレス可能不揮発性メモリを含む、ア クセス制御マイクロプロセッサと、 前記特定のアプリケーションを実行するための動作を実行するようにプログラ ミングされたアプリケーション・マイクロプロセッサであって、前記内部バスの 前記アドレス・セクション、データ・セクション、および制御セクションに接続 され、行われる前記タイプのメモリ・アクセスを指定する信号を生成するアプリ ケーション・マイクロプロセッサと、 前記アドレス、データ、制御情報を受け取るために前記マイクロプロセッサと 共通して前記内部バスに接続されている少なくとも１つの不揮発性アドレス可能 メモリであって、それぞれが前記アプリケーションを実行するために必要な各種 アクセス・タイプ情報を格納するために複数の記憶位置を有する複数のブロック に構成され、前記複数のブロックが複数のグループのブロックを有し、各グルー プが前記特定のアプリケーションを 実行する際に前記ホストおよびアプリケーション・マイクロプロセッサが使用す る各種データおよびプログラム情報を格納する少くとも一つの不揮発性アドレス 可能メモリと、 前記内部バスの前記アドレス・セクション、データ・セクション、および制御 セクションと、前記不揮発性メモリとに結合されたアクセス判別論理装置であっ て、前記アプリケーションを実行する際に前記アプリケーションおよびホスト・ マイクロプロセッサによって各ブロック内に格納されている前記データまたはプ ログラム情報のいずれかに対して行われる各種タイプのメモリ・アクセスを指定 するためにコード化された前記複数のブロックの前記複数のグループに関する前 記不揮発性メモリ・マッピング情報に対応するタイプ別アクセス情報を格納し、 メモリ要求に応答して、前記メモリ要求の前記アドレス情報によって指定された 前記ブロックの１つの前記タイプ別アクセス情報を読み出し、前記タイプ別アク セス情報によって指定された通りに前記マイクロプロセッサが前記メモリ要求を 行うことにより前記ブロック内に格納されている情報へのアクセスを可能にする アクセス判別論理装置とを含むことを特徴とする、アプリケーション・カード。 １９．前記アクセス判別論理装置が、 前記内部バスの前記アドレス・セクション、データ・セクション、および制御 セクションにそれぞれ接続されたアドレス入力、データ入力、および制御入力と 、前記不揮発性メモリに接続された出力とを有するランダム・アクセス・メモリ （ＲＡＭ）アレイであって、前記不揮発性メモリ・マッピング情報を格納する前 記複数のブロックと個数が対応する複数の記憶位置を有し、それぞれの記憶位置 が前記複数のブロック内の前記複数のグループに対応する複数のアクセス制御ビ ット位置を有し、前記アクセス制御ビット位置が、前記特定のアプリケーション を実行するために前記アプリケーションおよびホスト・マイクロプロセッサが必 要とするタイプのメモリ・アクセスを指定するために前記メモリ・マッピング情 報によって指定された通りに所定の状態に設定され、各メモリ要求に応答して、 前記アドレス情報によって指定された前記複数の記憶位置の１つからメモリ・マ ッピング情報を読み出し、メモリ・アクセスの要求側として前記アプリケーショ ンまたはホスト・マイクロプロセッサを指定し、メモリ・アクセスのタイプを指 定する前記インタフェース論理回路手段からの前記信号によって指定された前記 ア クセス制御ビット位置の１つからの前記所定の状態の１つを表す制御信号を前記 出力に印加して、前記所定の状態の前記１つによって指定された通りに前記アク セスを可能にするＲＡＭアレイを含むことを特徴とする、請求の範囲第１項に記 載のアプリケーション・カード。