JPH01500378A - 複数のアプリケーションファイルをもつポータブルデータキャリヤのための装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 複数のアプリケーションファイルをもつポータブルデータキャリヤのための装置 発明の背景 １、技術分野 本発明はポータプル　データ　キャリヤ、例えば、データを格納するための電気 メモリをもつスマート　カード、より詳細には、ポータプル　データ　キャリヤ 内に含まれるデータを複数のアプリケーションのために格納するための装置に関 する。

２、先行技術の説明 買い物、バンキング及び他のトランザクションにクレジット　カードを使用する ことがますます盛んとなり、今日の旅行者は現金はあまり持ち歩がない０通常、 浮き彫りされた口座番号及び口座名をもつプラスチック製のカードは単に銀行あ るいはクレジット会社にあるトランザクションの請求光となるべき許可された口 座を同定する機能のみをもつ、幾つかのカードの裏面の磁気ストリップはこれと 同じ情報をもつが、トランザクションをスピード化できるように機械的に読出し ができるようになっている。全ての勘定情報は銀行あるいはクレジット会社に格 納され、個々の口座に対して別個のカードが必要とされる。

多くの消費者は店頭での日常の取り引きを簡単にすませるために複数のカードを 持ち歩く、クレジット　カードはそれ自体は゛軽く、コンパクトで、便利である 。ただし、これも６枚、７枚と複数になると、結構かさばり、ポケットや財布等 に入れるにしても不便である。顧客が１枚のカードのみですまされるように、各 種の複数会社クレジット　カード　システムが提案され使用されている。このよ うなカードの１つにおいては、財布に入れるのに適当なサイズの主カードが個々 のクレジット　カード　ユーザに発行される。この主カードは許可されたユーザ を同定するためのディスプレイあるいは他の手段、及びどの会社がユーザ　クレ ジットを提供したかを決定するためのディスプレイ手段あるいはマイクロ回路を 含む。

このような装置（カード）は潜在的なりレジット提供者の数が少なく、従って、 主カード上に十分なスペースが確保できるうちは満足できるが、この複数会社ク レジット　カード上に保持及び更新されるべきクレジット提供者の数及び口座数 が非常に多くなるような用途においては不十分なものとなる。顧客のクレジット 提供者の全てを単一のカードに結合することが可能であることを平均的なユーザ でも知るようになった現在、ユーザが１枚のカード上に全ての口座のバランス、 全ての口座のクレジット限度、及びその他の個人的なデータ、例えば、洋服を買 うときのための家族のサイズ、電話番号などを含むことを要求するであろうこと は容易に想像できる０個々の口座に対してカード上に専用の同定指櫻を与える必 要性、あるいは個々の口座に対して専用の回路あるいは顧客ソフトウェアを提供 する必要性からこのタイプのカードに含むことができる口座の数が極端に制約さ れる。

発明の要約 本発明によると、標準のプラスチック製クレジットカードと同一サイズのポータ プル　データ　キャリヤあるいはスマート　カードが顧客レパートリ−ダイアリ イブから個人的な医療及び／あるいはバンキング　レコードの記録に至るまでの さまざな用途に使用される。このカードは、外観は従来のクレジット　カードの ように見えるが、コンピュータ、電気的に消去が可能な読出し専用メモリ（ＥＥ ＰＲＯＭ）　、及び関連するステーションの所に設置されるカード読出し／書込 み装置からのパワー及びタイミング信号の組合せを受信するための回路を含む、 これら回路要素及び回路はまたカードと関連するステーションとの間で読出し／ 書込み装置を介してデータを送信する。

顧客の個人的な情報がカード上のＥＥＰＲＯＭ内の複数のファイル内に存在する 。ステーション内に常駐する適当なアプリケーション　ソフトウェアが適当なパ スワードを与えられると、これらファイルの検索及び修正を行なう、カードに対 する保安がカードと関連するステーションとの間の相互作用の個々の指定レベル に対するアクセスを得るために別個のパスワードを要求することによって確保さ れる。保安はカードがある指定のファイルにアクセスする場合はオプションのパ スワードによってユーザ自身を同定することを要求することからさらに強化され る。また、不正ログインの試みが所定の回数に制限され、これを超えた場合は、 カードがロックされ、そのログイン　レベルでのそれ以上のカードとステーショ ン間の相互作用が阻止される。

複数のファイルの個々は、カード上にそれ自体の資格（ファイル保安）をもつた め、これらファイル内に衝突あるいは混乱を起こすことなく、複数のアプリケー ションあるいは別個の口座が存在する。ユーザは全て同一カード上に、１０個を 超える別個の貸方あるいは借方勘定。

電子チェックブック、さらにはユーザのアパートあるいは家にアクセスするため の保安パスを記録することができる。カード上に許されるファイルの最大数はカ ード上で使用できるメモリ容量によってのみ制約される。

カードはセットのオペレーティング　システム命令プリミティブを介してアクセ スされる管理オペレーティング　システムを実行する。これら命令プリミティブ はカードの保安を確保するために課せられた規則に従ってカード　ファイル　シ ステムを操作する。管理オペレーティング　システムの使用は侵入者が本発明の カード内のデータベースにアクセスすることを阻止する。これに加え、特に機密 性の高い用途に対しては、データがカードに供給されると同時にこれを暗号化す ることができる。

カード上のファイル　システムは、２つの領域、つまり、管理部分である見出し 及びアプリケーション　ファイルを含むデータ部分にセグメント化される。

高い保安度をもつこの見出しはカード番号、異なるログイン　レベルに対するパ スワード、個々のレベルに対して連続的に試みられた不成功ログイン回数、及び カード内の記憶のために使用されているメモリのサイズなどに関する情報を含む ０通常のユーザが見出しセクションに直接アクセスすることはできない。

カードのデータ　セグメントは固定レコードに分割される。データを含む個々の レコードは特定のファイルに指定される。特定のファイルの同定はそのファイル 同定番号に指定された個々のレコードの最初のバイトによって行なわれる。

カード　オペレーティング　システムによってファイルが走査される場合、ファ イル同定番号とともに位置される最初のレコードがそのファイル内の第１のレコ ードであり、そのファイル同定番号とともに最後に位置されるレコードがそのフ ァイル内の最後のレコードである。

カード　オペレーティング　システムはファイルのこれらレコードを特定のファ イル内でそれが遭遇されたときに読む、ファイルからのデータを受信及び翻訳す るステーション　アプリケーション　ソフトウェアはアクセスされているアプリ ケーションと関連するバイトの一連の流れのみを見る。従って、特定の用途のユ ーザにカード内の他のアプリケーションに関する、あるいはカード内部のファイ ル構造に関する情報が漏れることはない。

本発明及び本発明の動作モードは以下の詳細な説明を付随の図面とともに読むこ とによって一層明白となるものである。

図面の簡単な説明 第１図はポータプル　データ　キャリヤ　システムの主な機能要素及びこれらの 相互接続を示す機能ブロック図であり； 第２図は第１図のシステム内に使用されるポータプルデータ　キャリヤのアクセ ス可能な６つの保安レベルを示すテーブルであり； 第３図はポータプル　データ　キャリヤ内に含まれるデータのための２つの領域 、つまり、見出し領域及びデータ領域にセグメント化されたファイル　システム を示し； 第４図はポータプル　データ　キャリヤ　システムのデータ　セグメント領域内 に位置する個々のファイルの３つのセクションを示し、； 第５図はオプションのファイルごとのパスワード及び追加専用機能を採用する通 常保安クラス　レベル（Ｎｏｒ＋＋ａｌＳｅｃｕｒｉｔｙ　Ｃ１ａｓｓ　Ｌｅｖ ｅｌｇ）の階層構造を示し；第６図はポータプル　データ　キャリヤ上のオペレ ーティング　システムと通信するために使用される命令プリミティブを示すテー ブルであり； 第７図はポータプル　データ　キャリヤへの許可されないアクセスの防止を助け るログイン　シーケンスを図解する流れ図であり； 第８図はこのシステムに使用されるプロトコールにて動作するように設計された ポータプルデータ　キャリヤシステムのソフトウェア階層を示し； 第９図はポータプル　キャリヤ　システムの主なサブシステム間の通信に使用す るのに適するメツセージ　フォーマットを示し； 第１０図はアプリケーション　ステーションの半二重プロトコールでの動作に対 するリンク層意志決定プロセスを図解する流れ図であり；そして 第１１図は読出し／書込み装置及びポータプル　データ　キャリヤの両方の半二 重プロトコールでの動作に対するリンク層意志決定プロセスを図解する流れ図で ある。

全図面を通じて、同一要素は同一番号にて示される。

■藍髪腹見 第１図にはポータプル　データ　キャリヤ（Ｆｏｒｔａｂｌｅｄａｔａ　ｃａｒ ｒｉｅｒ、　Ｐ　Ｄ　Ｃ）システムがわかり易くするために３つのサブシステム に分割して示される。第１のサブシステムはデータ　キャリヤあるいはカード１ ０であり。

これはユーザのために情報を格納及び更新する能力をもつメモリを含む、第２の サブシステムはカード読出し／書込み装！１５であり、これはカードを第３のサ ブシステムであるステーション１８にリンクする。この最後のサブシステムは適 当に構成されたアプリケーション　ステーションであり、これはカード内のメモ リにアクセスするために必要なアプリケーション　ソフトウェアを実行するコン ピュータあるいは専用ワークステーションから成る。アプリケーション　ソフト ウェアはこのステーション内に常駐し、カード１０のメモリ内に格納された情報 の検索及び修正を遂行する。

カード１０はセットのオペレーティング　システム命令プリミティブを介してア クセスされる監視オペレーティング　システムを実行する。これら命令プリミテ ィブはカード保全に要求される規則に従ってカード上のファイル　システムを操 作する。

カード１０内に位置する主要な要素には、マイクロコンピュータ１１０、電気的 に消去可能なプログラマブルメモリ（ｅｌｅｃｔｒｉｃａｌ　ｅｒａｓａｂｌｅ 　ｐｒｏｇｒａｍｍａｂｌｅ　ｒｅａｄ−ｏｎｌｙ＋ｍａ＋＋５ｏｒｙ　ＥＥＰ ＲＯＭ）１１Ｅ５．アナログインタフェース回路１３０、トランスフォーマ１２ ０の二次巻線１２１、及び容量性プレート１２５から１２８が含まれる。

マイクロコンピュータ１１０は中央処理ユニット及びランダム　アクセス　メモ リ及び読出し専用メモリの形式のメモリ　ユニットを含む、その内部読出し専用 メモリによって提供されるファームウェアの制御下にて動作し、マイクロコンピ ュータ１１０はＥＥＰＲＯＭ１１５に直接に送られ、また読出し／書込み装置１ ５を介してステーション１８に送られるデータをフォーマット化する。Ｅ　Ｅ　 Ｆ　ＲＯＭの全体あるいはこの一部はコンピュータの一部として統合することも 、あるいは別個の要素とすることもできる。マイクロコンピュータ１１０はまた 読出し／書込みユニット１５を通じてステーション１８から受信される命令プリ ミティブを翻訳する。

カード１０内にＥＥＰＲＯＭＩ　１５を使用することによって、許可されたユー ザは必要であればカードのメモリ　セクション内の幾つかのアプリケーション　 ファイルを新たな異なるデータにて再プログラムする能力をもつ、データは動作 パワーが加えられている間にＥＥＰＲＯＭに書き込むあるいはこれから読出しな いし消去することが可能である。動作パワーが除去されると、ＥＥＰＲＯＭ内の データに加えられた全ての修正はそ０ままとなり、カード１０に再びパワーが加 えられるたびに検索が可能である。

アナログ　インタフェース回路１３０はメモリ　ヵ一ド１０を読出し／書込み装 置１５にインタフェースするための手段を提供する。このインタフェースは読出 し／書込み装［１５から結合された磁気エネルギーからの動作パワーのカード１ ０への供給、及び読出し／書込み装置１５とカード１０内のマイクロコンピュー タ１１０の間のデータの結合を含む複数の機能を遂行する。カード１０を動作す るためのパワーはアナログ　インタフェース回路１３０にトランスフォーマ１２ ０の二次巻線１２１によって提供される誘導性インタフェースを介して提供され る。このトランスフォーマはカード１０内のこの二次巻線が読出し／書込み装置 １５内の一次巻線１２２にはめ込まれたとき形成される。ステーション１８は読 出し／書込み装置１１５及びカード１０の両方の動作のためのパワー源を提供す る。

トランスフォーマ１２０はトランスフォーマの一次巻線１２２と二次巻４８１２ １の間の結合を増加させるために読出し／書込み装置内にフェライト　コア１２ ３を含む、さらに結合効率を向上させるためにトランスフォーマ１２０内に第２ のフェライト　コア１２０を含め、カード内の二次巻線１２１と関連させること もできる。豊富なパワーがあり、効率も問題とならないようなケースでは、これ らコアの片方あるいは両方を省くことができる。

カード１０へのデータの受信あるいはこれからの伝送はアナログ　インタフェー ス１３０に接続された容量性インタフェースによって提供される。この容量性イ ンタフェースはカード１０上の電極あるいはプレート１２５から１２８が読出し ／書込み装置１５内の対応する電極あるいはプレート１５５にはめ込まれたとき 形成される４つのコンデンサから成る。これらコンデンサの中の２つは読出し／ 書込み装置１５がらカード１ｏにデータを伝送するために使用され、残りの２つ はカード１ｏがら読出し／書込み装Ｗ１５にデータを伝送するために使用される 。誘導性インタフェースと容量性インタフェースの組合せは読出し／書込み装置 １５とメモリ　カード１゜との間に完全な通信インタフェースを提供する。

読出し／書込み装置１５内の幾つかの要素の編成はカード１０内の要素と機能的 にミラー関係にある。これら要素には、例えば、アナログインタフェース回路１ ４０とマイクロコンピュータ１５０がある。これに加えて。

読出し／書込み装置１５はパワー源１６２及び入力／出力インタフェース１６０ を含む、パワー源１６２はカード１０にパワーを提供するため、及び読出し／書 込み装置１５からのクロック信号をトランスフォーマ１２０を通じてカード１０ に結合するために使用される。入力／出力インタフェース１６０は原理的には普 遍非同期受信機送信機（ｕｎｉｖｅｒｓａｌ　ａｓｙｎｃｈｒｏｎｏｕ多ｒｅｃ ｅｉｖｅｒ　ｔｒａｎｓｍｉｔｔｅｒ。

ＵＡＲＴ）であり、マイクロコンピュータ１５０内に含まれる。このＵＡＲＴは アプリケーション　ステーション１８と通信する。このアプリケーション　ステ ーション１８はオフィス編集ステーション、工場編集ステーション、発行人編集 ステーション、公衆電話ステーション、あるいは他の適当に構成されたステーシ ョンであり得る。

ＰＤＣシステムに対する保安問題は２つの大きな領域に分けられる。第１の領域 は同定及び認証の問題であり、ステーションが（１）認証されたカードと通信す ること及び（２）カード上の認証されたアプリケーション　ファイルと通信する ことの両方を保証することに関する。

第２の領域はカード上のファイルへのアクセスの制御及びステーションの所のア プリケーションによるカード命令の実行の制限に関する。ここで、アプリケーシ ョンとは、カード上の特定のファイル内の特定のデータにアクセスする勘定等で ある。

適当な認証手順なしには、システム詐欺の意図をもつ者がステーションの所のプ ロトコールをシュミレートし、ＰＤＣシステムに関する情報を得る恐れがある。

ステーションが認証カード上の認証ファイルと通信することを保証することは１ 個々のカードに一意の番号を割り当て、この番号あるいは番号のサブセットをス テーション内に常駐する隠されたアプリケーション　パスワードとともに使用す ることによって達成される。これら番号がアルゴリズム的に操作され、認証コー ドが生成され、これが生成時にカード上のアプリケーション　ファイル内に格納 される。その後のトランザクションの際に、このコードがステーションによって 独自に生成された類似のコードと比較される。

カード　ファイル　システム及びカード命令に対する保安を提供し、しかも異な るタイプのアプリケーションを扱うためのフレキシビリティを確保するために、 カードは６つの異なる保安レベルを採用する。これら保安レベルはカードが２つ のタイプの資源、つまり、カードファイル　システム及びカード命令を保護する 。これら資源へのアクセスは認可されたログイン　レベル、要求された命令、ア クセスされるべきファイル、及びカードのオーナによって課せられる追加の制約 の関数である。

第２図にはこれら６つのログイン保安レベルが示される。最初の４つの低いレベ ルは通常保安クラス（ＮｏｒｍａｌＳｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）のカテゴリ ーにおかれ、公衆環境内の使用に供せられる。この階層的保安レベル内の最初の 最モ低イレベルは一般情報のためのＰＵＢＬＩＣ（公衆）。

ゲイン　レベルであり、アクセスのためのパスワードを必要としない、医療情報 及び保険番号あるいは図書カード情報などがこのレベルに含まれる公衆データの 例である。カードがパワーアップにおいて初期化あるいはステーションの所でリ セットされると、これはＰＵＢＬＩＣログイン　レベルとなる。

第２のレベルはＵＳＥＲ（ユーザ）レベルであり、アクセスのためにユーザ　パ スワードを必要とする。ユーザはこのレベルに貸借勘定を含めることができる。

第３のレベルはＳＵＢ　ｌ５ＳＵＲＥ　（下位発行人）レベルである。このレベ ルもアクセスに対するパスワードを必要とし、これは通常、ＭＡＳＴＥＲｌ５Ｓ ＵＥＲ（上位発行人）あるいはカードの所有者によって許可されたアプリケーシ ョンで使用される。

保安の第４のレベルは、ＭＡ、５ＴＥＲｌ５ＳＵＥＲによって維持されるレベル である。カードはこのレベルでフォーマット化され、　ここから発行される。こ れらレベルがいかに使用されるかの例として、銀行は貸し方あるいは借り方勘定 を含むカードを発行する。この銀行はこのカードの使用を小売り業者に許可し、 小売り業者はこのカード上に小売り業者自身の貸し方あるいは借り方勘定を作成 する。この例では銀行がＭＡＳＴＥＲＩＳＳＵＥＲ（上位発行人）であり、小売 り業者が５ＵＢＩＳＳＵＲＥＳ（下位発行人）である。カード保有者は、勿論、 ＵＳＥＲ（ユーザ）である、この例では、個々の勘定はカード上の別個のファイ ルによって扱われ、特定のファイルに対して正規の資格をもつ者あるいはプログ ラムのみが適当なアプリケーション　ステーションにてそのファイルにアクセス することができる。

２つの上層保安レベル、ＤＥＶＥＬＯＰＥＲ（開発者）及び５ＵＰＥＲＵＳＥＲ （スーパー　ユーザ）は延長保安クラス（Ｅｘｔｅｎｄｓｄ　５ｅｃｕｒｉｔｙ 　Ｃ１ａｓｓ）カテゴリーにおかれるが、　このカテゴリーは通常保安クラス（ Ｎｏｒ＋１ａｌＳｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）カテゴリー内のレベルには供さ れない命令の使用を可能とする。

第５のレベル、つまり、５ＵＰＥＲＵＳＥＲ（スーパー　ユーザ）レベルはブラ ンク　カードの製造、テスト、初期化を行ない、この保安が確保され、不正カー ドが使用できないようにするための製造レベルである。

最後に、第６番目の最も高いレベルは、カードの開発者レベルである。　Ｓ　Ｕ 　Ｐ　Ｅ　ＲＵ　Ｓ　Ｅ　Ｒ及びＤＥ−ＶＥＬＯＰＥＲ保安レベルは両方とも後 に詳細に説明されるカード　システム見出しを含むカードファイルシステムの全 内容にアクセスする能力をもつレベルである。

個々が固有の資格をもつ複数のファイルがカード上に存在するため、複数のアプ リケーションがこれら別個のファイル内に衝突あるいは混乱することなく別個に 存在できる。全て同一カード上に１０個あるいはそれ以上の別個の貸し方あるい は借り方勘定、電子チェックブック、及びユーザのアパートにアクセスするため の保安パスをもつユーザを容易に想像することができる。発行者並びにユーザは 、カードが公衆レベル以外で許される以外のファイルにアクセスするためにはパ スワードによってユーザ自身を同定することを必要とするため、カードが不正に 使用される不安をもつ心配はない。

第３図には２つの領域、つまり、管理部分である見出し、及びアプリケーション 　ファイルを含むデータ部分にセグメント化されたカード　ファイル　システム が示される。

保安見出し３５はカード番号１個々のログイン　レベルに対するパスワード、個 々のレベルに対する不成功パスワード試行の回数、ログイン　レベルがブロック されていることを示すロック　バイト、データベース内の固定レコードのサイズ 、ＥＥＰＲＯＭ１１５のキロバイト単位のメモリ　サイズ等の情報が含まれる。

見出しセクションへの直接アクセスは２つの最も高い保安レベルでのみ可能であ る。

カードのデータ　セグメント３０は、ＭＡＳＴＥＲＩＳＳＵＥＲによってセット されるｎバイトの長さの固定レコードに分割される０個々の使用レコード３１， ３２゜３３が特定のファイルに割り当てられる。特定のファイルの同定はそのフ ァイルの同定番号に割り当てられた個々のレコードの最初のバイトによって行な われる。

カードはファイル　ダイレフトリー（Ｄｉｒｅｃｔｏｒｙ）を持たず、同一ファ イルの異なるレコード間にポインタは存在しない、ファイル　データの順番は一 連（ｃｏｎｔｉｑｕｏｕｓ）のレコードによるのでなく、線形順序によって示さ れる。

カードのオペレーティング　システムはＥＥＦＲＯＭ内のアドレスを最低から最 高アドレスに向けて走査する。

特定のファイル同定番号とともに位置された第１のレコードがそのファイル内の 第１のレコードであり、そのファイルの同定番号とともに位置される最後のレコ ードがそのファイル内の最後のレコードである。カード　オペレーティング　シ ステムはファイルのレコードを特定のファイル内の個々のレコードに出会ったと き読み出す。

カード上に許されるファイルの最大サイズ及び数はＥＥＦＲＯＭのメモリのサイ ズによってのみ制限される。ファイルを読むステーション　アプリケーション　 ソフトウェアはカードの内部ファイル構造とは独立した一連のバイト流のみを見 る。

第４図にはカード　ファイル　システムのデータ　セグメント領域内の個々のフ ァイルの３つのセクションがより詳細に示される９個々のファイルの第１のレコ ード内に位置する接頭セクション４１は、ファイル同定番号４２及び保護バイト ４３．４４及び４５を含む、ファイル同定番号は１と１６進ＦＥの間の番号であ る。１６進番号ＯＯと１６進番号ＦＦはそれぞれ未使用のレコード及びＥ　Ｅ　 Ｐ　ＲＯＭ内の使用可能なメモリの終端を示すために予約される。

保護バイト４３から４５はファイル許可を指定する。

第１のパイ１−４３は読出し許可を表わし、そのファイルの読み出しができる最 低レベルを指定する。第２のバイト４４は読出し／書込み許可を表わしそのファ イルに読出し及び書込みの両方が可能な最低レベルを指定する。

従って、あるファイルに対する読出し許可をあるファイルに対する読出し／書込 み許可から分離することができる。読出しアクセスに対して読出し／書込みアク セスに異なる保安レベルを指定することもできる０例えば、あるファイルに対す る読出し許可をＰＵＢ　Ｌ　Ｉ　Ｃレベルに指定し公衆情報に対する公衆アクセ スを許し、一方で、書込み許可をＵＳＥＲレベルに指定し、ユーザの同意なしに は、ファイルへの書き込みを禁止することができる。

第５図にはオプションのパスワード及び追加専用機能を使用する通常保安クラス （Ｎｏｒｍａｌ　５ｓｃｕｒｉｔｙ　Ｃ１ａｓｓ）レベルの階層構造が示される 。カード使用のフレキシビリティを増加させるために、カード上の個々のファイ ルはその保護バイトの中に特定のファイルにアクセスが許される前にオプション のパスワードを提供すべき要件を含む、これはユーザがあるレベルに保護された ファイルに対するアクセスを得るためにはカードのオペレーティング　システム によって要求される保安レベルでなくてはならないという要件に追加する要件で ある。−例として。

ユーザに対するオプションの書込みパスワードを含む書込み／読出し許可をもつ ファイルは、（１）ユーザ　レベルでカードにログインすること、及び（２）そ のファイルを読み出すためにファイルを開くことを要求する。ただし、このファ イルに書き込むためには、ユーザは（１）ユーザ　レベルにてカードにログイン すること、及び（２）オプションのパスワードを提供して“書込み”のためにフ ァイルを開くことを要求される。これはファイルのアクセス許可が要求するより 高いレベルでログインする者には適用しない。この高いレベルにてログインする 者は指定の保安レベルにてオプションのパスワードが要求される場合でもそのフ ァイルに対するアクセスを得ることができる。

通常保安クラス（Ｎｏｒｗ＋ａｌ　５ｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）レベルの階 層構造は、ＭＡＳＴＥＲｌ５ＳＵＥＲがそのレベル及びそのレベル以下の全てで ファイルを読出し及び書込みでき；ＳＵＢ　ｌ５ＳＵＥＲがそのレベル及びその レベル以下の全てでファイルを読出し及び書込みできるような構造をもつ、同様 に、カード保有者はそのレベルあるいは公衆レベルにて全てのファイルを読出し 及び書込みできる。

それが適当であるアプリケーションにおいては、第４図の保護バイト４５をセッ トし、ユーザがファイルにデータを追加することのみを許し、現存するデータの 消去は許さない“追加専用（ａｐｐｅｎｄ−ｏｎｌｙ）”モードを実現すること ができる。適当なアプリケーション　ファイルを反映するレコードがこのデータ が入力されしだい格納されるように生成される。つまり、あるファイルを読出し ／追加許可として、あるいは読出し／書込み許可として指定することができる。

ファイルの情報セクション４６はそのファイルの個々のレコード内に位置する実 際のデータを含む、そして最後のレコードＮの最後のバイト４８内の番号Ｍをも つ接頭セクション４７はその最後のレコード内のアプリケーション　データ　バ イトの数を示す。

カード上の管理オペレーティング　システムは第６図に示される一般的に理解さ れている命令プリミティブの使用を通じて通常保安クラス（Ｎｏｒｍａｌ　５ｅ ｃｕｒｉｔｙ　Ｃ１ａｓｓ）レベルによってアクセスされる。これら命令プリミ ティブはカードに対する保安アクセス、ファイルの生成及びアクセスを制御し、 また、管理及びテスト動作を制御する。５ＵＰＥＲＵＳＥＲあるいはＤＥＶＥＬ ＯＰＥＲログイン　レベルに対して追加の命令プリミティブが使用できる。

これら命令プリミティブの動作は“ログイン”命令の動作の説明を通じて解説で きる。カードにログインするためには、ユーザはログイン　レベル及びパスワー ドを指定することが要求される。このパスワードは内部的にカードによってその カード見出し内の同一ログイン　レベルの対応するパスワードに対してアルゴリ ズム的にチェックされる。カードユーザがそのファイルによって要求されるより も低いログイン　レベルをもつファイルにアクセスを得ることを試みている場合 は、読出しあるいは読出し／書込みのいずれかのためにファイルを開く許可は拒 否される。

個々の保安レベルに対するパスワードはカードが製造されるときにカードの見出 し内におかれる。パスワード命令はロック　オンされた保安レベルのユーザがそ のレベルあるいはそれ以下のレベルのパスワードを変更することを許す、従って 、パスワードが損失あるいは忘れた場合は、これはより高い保安レベルにてカー ドにログインし、パスワード命令を使用して書き換えることができる。このため 、失われたパスワードを回復する必要はない。

１つの保安レベルで許される連続の不成功の“ログイン”試行回数は所定の回数 に制限される。この回数を超えると、カードそほの保安レベルをロックする、あ るいはカードの全てのデータベースを消去するように構成される・カードがロッ クするように構成された場合は、ロックされたレベル以上のレベルはこれをアン ロックすることができる。これによりカードの保守をロックされたレベルより上 の最低レベルに任すことが可能となる。失敗の回数はＥ　Ｅ　Ｐ　ＲＯＭの見出 し部分内の適当な“パスワード失敗カウンタ（ｐａｓｓｔｌＩｏｒｄ　ｆａｉｌ 、ｕｒｅ　ｃｏｕｎｔｅｒ）”　内に記録される。

オプションのパスワードを要求するファイルを保護することも可能である。ファ イルはカードと同一の方法で必要であればそのファイルの保護バイト内にそのフ ァイルを消去するためのビットをセットすることによって個別に保護することも できる。こうして、オプションのパスワードを要求するファイルを開くことを試 みている者は、所定の回数の試みのみが許され、これを超えた場合は、カードの ロックされたそのファイル内のデータの消去が起こる。

第７図にはカード上のオペレーティング　システムのカードへの許可されないロ グインを防止するための部分の流れ図が示される。ログイン命令がアクセスされ るたびに、パスワード失敗カウンタがパスワード失敗を反映するように更新され る１次に、与えられたパスワードがカード見出し内のパスワードに対してチェッ クされる。

正しいパスワードが与えられた場合は、パスワード　カウンタが消去される。こ の機能は不成功のログイン試行の後に失敗カウンタが失敗を反映するように更新 される前にカードからパワーを除去する装置を使用してのパスワードに対する巧 妙な挑戦に対する保護を提供する。

アプリケーション　ソフトウェアの開発を助けるために、高レベル　ソフトウェ ア　ライブラリがステーションと読出し／書込み装置並びにステーションとカー ドの間の全ての相互作用を支援するために生成される。結果として、アプリケー ション　プログラマはめんどうなカード内部あるいは通信プロトコールの詳細に ががわる必要はない、プログラマのコードはライブラリと直接にインタフェース し、ライブラリがカードとインタフェースする。

ライブラリは４つのセクション、つまり、第６図に示されるようなカード命令の 直接マツピングを提供するためのカード　ライブラリ　セクション、読出し／書 込み命令の直接マツピングを提供するための読出し／書込みライブラリ　セクシ ョン、カード及び／あるいは読出し／書込み命令を含む命令ライブラリ　セクシ ョン、及びステーション上に位置する共通制御機能を含む制御セクションに分割 される。これら機能はボート及び論理デバイスの初期化、終端及び制御の詳細を 含む。従って、このライブラリはソフトウェア　インタフェースとして機能し、 典型的なコンピュータ　プロトコールと非常に類似するデバイス及びファイルに アクセスする方法を提供し、アプリケーション　プログラマの負担を軽減する。

カードのオペレーティング　システムは、レコードの割り当て、レコードの解放 及び不用部分の整理機能が提供される。情報がファイルから削除されると、カー ドは解放されたレコードを使用可能なレコードのプールに戻し、不用部分の整理 を遂行することによって使用レコードを線形順序に並べる。この不用部分の整理 を通じて、カード上の全ての未使用のレコードがカード　メモリの終端に集めら れる。必要に応じて、追加レコードの割り当てが、書込みがファイルの最後のレ コードを越えたとき自動的に遂行される。使用可能なレコードを常にカードの端 に維持することによって、ファイルに対する新たなレコードが常にファイルの前 に端を過ぎて割り当てられ、これにより個々のファイルのレコードの線形順序が 保持される。

レコー１−の割り当て及び解放に関する情報はステーションの所のアプリケーシ ョンには提供されない、アプリケーションは実現の詳細を認識することなく単に 一連のデータをみるだけであるため保安が向上される。また、原始フォーマット のアプリケーション　ファイルへの直接アクセスも通常保安クラス（Ｎｏｒｍａ ｌ　５ｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）レベル内に発見される命令へのアクセスを もつユーザに許されない、全カードへのアクセスは、延長保安クラス（Ｅｘｔｅ ｎｄｅｄ　５ｅｃｕｒｉｔｙ　Ｃ１ａｓｓ）レベル内に発見される命令へのアク セスを持つユーザにのみ許され、これによりカードの製造及びテストの時の機密 が保持される。

第８図にはＰＤＣシステムの通信プロトコール内での動作のために配列されたソ フトウェア階層が示される。

ステーション１８内のアプリケーション層１８１はカード１０とインタフェース し、また端末１８７の所のユーザと端末インタフェース１８２を通じてインタフ ェースし、さらにデータベース　インタフェース１８４を通じてオプションのデ ータベースとインタフェースする。カード１０へのアクセスを簡素化するために 、アプリケーション層１８０は上に説明のライブラリ層１８５とインタフェース する。一方、ライブラリ層は読出し／書込み装［１１５とカード１０との実際の トランザクションを扱うリンク層１８６とインタフェースする。

ステーション１８は直列ボートを通じて読出し／書込み装置１５に接続されるが 、これはカード１ｏ並びに読出し／書込み装置１５と直接に通信する。カードに 向けられた全てのメツセージは、従って、透明的に読出し／書込み装置１５を通 じてカード１０に送られる。宛先アドレスはメツセージのプリアンプル　セクシ ョン内に発見される０本発明に使用が適当なメツセージ　フォーマットが第９図 に示されるが、これに関しては後に詳細に説明される。

読出し／書込み装置１５及びカード１ｏは両方ともデータ　リンク層１８６のス テーションとの交信に同一の半二重通信プロトコールを用いる。カード１ｏは完 全で受動であり、ステーション１８との間のトランザクションを先導することは できない、読出し／書込み装置１１５は、ステーションにこれらの間を直列ボー ト内のキャリヤ検出リードを介して“アテンション″信号を送ることができる点 でのみカード１０と異なる。ステーション上８はそのとき処理している現在のト ランザクションが完了した後にこの“アテンション”信号に応答する。ステーシ ョンは次に読出し／書込み装置１５を尋問して、′アテンション”信号の理由を 決定する。読出し／書込み装置１５がこのアテンション信号を送る状況の一例と して、カード１０が読出し／書込み装置１５上の収容スロット（図示なし）内に 挿入され、ステーション１８と通信できる位置にあるときこの信号が送られる。

第２の例としては、カード１０が読出し／書込み装置１５内のスロットから外さ れたときこの信号が送られる。

読出し／書込みは２つの層、つまり、リンク層１５１及び命令層１５２をもつ、 リンク層１５１はステーション１８とカード１０との間の透明媒体であり、この 間で命令あるいは応答を運ぶ、読出し／書込み装置１１５内のリンク層１５１は 、必要であれば、緩衝動作及びボー速度変換を提供する。カード１０と読出し／ 書込み装ｗ１５の間の伝送速度は１９２００ボーに保持される。ステーション１ ８と読出し／書込み装ｗ１５の間のボー速度が読出し／書込み装置１５とカード １ｏの間のボー速度より遅い場合は、読出し／書込み装置１５はボー速度変換を 行ない、メツセージをブロックの一連のデータとして送ることができるように緩 衝する。読出し／書込み装置内の第２のの層は命令層である。この層は読出し／ 書込み装置内にあり、ステーション１８から読出し／書込み装置に特にアドレス された命令に応答する。

プロトコール内のデータは通信リンクを通じてシリアルに１文字ずつ送られる。

文字が１つの開始ビット及び１つの停止ビットにてフレーム化される０文字の一 連のブロックのメツセージが半二重プロトコールの制約内で任意の時間に送られ る。ステーション１８と読出し／書込み装置１５あるいはカード１０は所定のメ ツセージ　パケットにて情報を交換する。パケットは、パケット内のどこでデー タが開始及び終端するかに関する制御情報及びメツセージ　データの保全性をチ ェックする情報を含む。

第９図には第８図との関連でより詳細に本発明の使用に適当なメツセージ　フォ ーマットが示される。ここで、ステーション１８は読出し／書込み装［１５ある いはカード１０にアドレスする。メツセージフォーマットは読出し／書込み装置 １５あるいはカード１０をアドレスするためのプリアンプル９１及びメツセージ の開始をマークするためのフレーム開始制御シーケンス９２（ＤＬＥＳＴＸ）を 含む。メツセージ　フォーマット内の次の欄はリンク状態９３であるが、これは メツセージの肯定応答（Ａ　ＣＫ）が送信されたか否定応答（ＮＡＫ）が送信さ れたかを示す情報、伝送の際にエラーが発生したか否かを示す情報、及び現在の メツセージの番号（タグ）を含む。

個々のメツセージには番号が割り当てられる。メツセージ　フォーマットにはリ ンク状態バイト内の３つの最下ビットを使用量るモジュラス８スキーム（ｍｏｄ ｕｌｕｓ　８５ｃ１１ｅ＋＊ｅ）が使用される。

命令の次の欄はデータ欄９４であり、これは伝送されたデータ及びこれに続くメ ツセージの終端をマークするフレーム終端制御シーケンス９５（ＤＬＥ　ＥＴＸ ）を含む、最後に、２バイト　チェックサム９６がＪ、Ｇ、フレッチャ−（Ｊ、 　Ｇ、　Ｆｌｅｔｃｈｅｒ）によってＩＥＥＥトラン勢クショりオンコミュニケ ーション（ＩＥＥＥ丁ｒａｎｓａｃｔｊ、ｏｎｓｏｎ　Ｃｏｍｍｕｎｉｃａｔｉ ｏｎｓ）＋Ｖ　ｏｌ、　Ｃｏｍ　−３０，１９８２年１月、ページ２４７−２５ ２に掲載の論文［シリアル伝送のための算術チェックサム（Ａｎ　Ａｒ１ｔｈ＋ ｗｅｔｉｃ　Ｃｈｅｃｓｕｓｆｏｒ　５ｅｒｉａｌ　Ｔｒａｎｓ＋５ｉｓｓｉｏ ｎｓ）　］において説明のアルゴリズムを使用して生成される。

読出し／書込み装！！１５あるいはカード１０からステーション１８に戻される メツセージ　パケット応答はステーションによって生成されるメツセージ　ノく ケラトと同一である。第９図に示されるメツセージ　フォーマットは、従って、 全てのサブシステム間の通信に適用する。

ステーション１８から送信されるメツセージのプリアンプルは８バイトから成る 。メツセージはこれら連続プリアンプル文字の少なくとも３つがそれとの通信を 試しているサブシステムによって検出されたときステーション１８によって正し く受信されたものとみなされる。

読出し／書込み装置１５あるいはカード１０との通信を実現するためには、ステ ーション１８は“リンク　リセット（ｌｉｎｋ　ｒｅｓｅｔ）”メツセージを送 る０通信はステーションがＮＡＫを受信したとき、あるいは応答が受信される前 に所定の時間が経過したとき失敗する。

読出し／書込み装置１５との通信がいったん確立されると、読出し／書込み装置 はステーション１８にカード１０が挿入されたこと、あるいは既に挿入されてい ることを通知する。カード１０が挿入されると、読出し／書込み装［ｉ！１５は ステーション１８に“アテンション”信号を送る。ステーションが挿入されたカ ードが、例えば、磁気ストライプのみをもつカードではなく、スマート　カード であることを決定すると、ステーションはカードを初期化するためにカードにリ ンク　リセット　メツセージを送る。いったん初期化されると、カードはステー ション１８内のアプリケーション層１８１からの命令をまつ、要求が受信される と、これはカード１０内の命令層１０１によって処理され、応答がステーション １８に戻される。この間、カード１ｏは次の命令を待つ、ステーション１８はど のサブシステムにアドレスし、どのメツセージを送るべきか、つまり、リンク　 リセットメツセージを送るべきか、命令を送るべきかを任意に選択できる。

第１０図はステーション１８に対するリンク層意志決定プロセスを図解する流れ 図である１通常のトランザクジョンの際の読出し／書込み装置１５あるいはカー ド１０との通信において、ステーション１８はメツセージを送信し、タイマをセ ットする１次に、ステーションがそれが通信を試みているサブシステムからの応 答を受信するか、所定の時間がきれる。ステーションへのメツセージ応答内のリ ンク状態バイトがＡＣＫを含む場合は、これはトランザクションが成功のうちに 完了したことを示し。

タグ値がモジュラス８に増分される。この応答が次にステーション１８内のアプ リケーション層１８１に提供される。

否定応答、つまりＮＡＫが受信された場合は、少なくとももう２回のリンク再試 行が行なわれ、タグ値はそのままとされる。ステーションは再送信を要求せず、 最後の命令を送信する。肯定応答、つまりＡＣＫが３回の試行の後に受信されな い場合は、リンク　レベル　エラー回復が始動される。

第１１図は読出し／書込み装置１１５及びカード１０の両方に対するリンク層意 志決定プロセスを図解する流れ図である。第８図及び第１０図の両方を参照する ことによって理解できるように、通常のトランザクションの際のステーションへ の通信において、読出し／書込み装置１５あるいはカード１０は１個々のメツセ ージが受信されるたびに現在の要求が新たなトランザクションであるか、あるい は前のトランザクションに対する再送信要求であるかを決定するためにタグを調 べる。現在のタグ値が前のトランザクションのタグ値と異なる場合は、その入り メツセージは新たなトランザクションとして扱われる。現在のタグ値が前のタグ 値に等しい場合は、ステーション１８によって再送信が要求されていることを示 す。

読出し／書込み装置１５あるいはカード１ｏは必ずそれが最後に処理した妥当命 令と関連するタグにて応答する。

従って、現在の送信が失敗すると、つまり、“不当メツセージ“の場合は、リン ク層は否定応答（ＮＡＫ）及び最後の妥当タグにて応答する。′零”命令は読出 し／書込み装置１５あるいはカード１ｏにその順番タグをそれが受信するタグに リセットするよう命令する。リセット時に、読出し／書込み装置１５あるいはカ ード１ｏは。

入りメツセージが新たなメツセージとして扱われることを保証するためにそのタ グを不当値にする。

カードｌＯとのセツションの終結は、ステーション１８が読出し／書込み装置１ ５にカード１ｏへのパワーを切るように命令する、あるいはユーザがカード１ｏ を取り出すことによって行なわれる。後者の場合は、読出し／書込み装置１５が 自動的に空のカード　スロットへのパワーの供給を中止し、ステーション１８に “アテンション”信号を送る。すると、ステーションは読出し／書込み装置１１ ５に“状態要求”命令を送る。これに応答して、読出し／書込み装置１５はステ ーション１８にカード１゜が取り出されたことを報告し、リンク層はカード１０ との通信が３回失敗した後にアプリケーション層に通信エラーを報告する。これ はアプリケーション層のみが読出し／書込み装置が動作してないことを宣言でき ることから必要である。

ＦＩＧ、６ ＦＩＣｉ、７ 国際調査報告 、、、、＋、、、、、、＋、、、、、、、、、、＋、、ＰＣＴ／ＵＳ　８７１０ ０９１３ＡＮＮＥＸ　Ｔｏ　’ＬＨＥ　ＩＮＴＥＲＮＡＴＩＯＮＡＬ　５ＥＡＲ ＣＨＲＥＰＯＲＴ　ＯＮ

Claims (14)

【特許請求の範囲】
1. １．多目的ポータブルデータキャリヤ（１０）において、該データキャリヤが可 変データを格納するための複数のファイル（３１−３３）を含み、該複数のファ イルの個々が所望の可変データにアクセスするために関連するステーション（１ ８）から選択的にアドレスでき、所望のトランザクションのための個々の特定の ファイルヘのアクセスが該特定のファイル内でトランザクションを行なうことを 許可されたユーザによってのみ許されることを特徴とする多目的ポータブルデー タキャリヤ。
2. ２．請求の範囲第１項に記載の多目的ポータブルデータキャリヤにおいて、該ポ ータブルデータキャリヤヘのアクセスが該ポータブルデータキャリヤ内でトラン サクションを行なうことを許可されたユーザに指定された第１のパスワードによ って制御されることを特徴とする多目的ポータブルデータキャリヤ。
3. ３．請求の範囲第２項に記載の多目的ポータブルデータキャリヤにおいて、所望 のトランザクションのための個々の特定のファイルヘのアクセスが該特定のファ イル内でトランザクションを行なうことを許可されたユーザに指定された第２の パスワードによって制御されることを特徴とする多目的ポータブルデータキャリ ヤ。
4. ４．請求の範囲第３項に記載の多目的ポータブルデータキャリヤにおいて、該ポ ータブルデータキャリヤ内の個々のファイルがユーザに許可されたアクセスのタ イプを定義するためのファイル許可情報（４１）を含むことを特徴とする多目的 ポータブルデータキャリヤ。
5. ５．請求の範囲第４項に記載の多目的ポータブルデータキャリヤにおいて、該ポ ータブルデータキャリヤ内のファイル許可情報が読出し許可、書込み許可及び追 加許可を含み、読出し許可をもつ第１のファイル（４３）がユーザがその中のデ ータを読み出すことのみを許し、書込み許可をもつ第２のファイル（４４）がユ ーザがその中のデータを読み出すこと及びその中にデータを書き込むことを許し 、そして読出し及び追加許可をもつ第３のファイル（４５）がユーザがその中の データを読み出すことのみ及びその中にデータを追加することを許すことを特徴 とする多目的ポータブルデータキャリヤ。
6. ６．請求の範囲第５項に記載の多目的ポータブルデータキャリヤにおいて、さら に最低保安レベル、最高保安レベル及びこれらの間の複数の保安レベルから成る ように階層的に配列された複数の保安レベルが含まれ、個々の保安レベルヘのア クセスがその保安レベルにてデータにアクセスすることを許可されたユーザにの み指定される対応するパスワードによって制御されることを特徴とする多目的ポ ータブルデータキャリヤ。
7. ７．請求の範囲第６項に記載の多目的ポータブルデータキャリヤにおいて、該フ ァイル許可情報が保安レベルに従って指定可能であり、第１の高い保安レベルが 第２のファイル（４４）内のデータを読み出すこと及びこれにデータを書き込む ことを許可し、第２の低い保安レベルが該第２のファイル内のデータを読み出す ことのみを許可することを特徴とする多目的ポータブルデータキャリヤ。
8. ８．請求の範囲第６項に記載の多目的ポータブルデータキャリヤにおいて、該フ ァイル許可情報が保安レベルに従って指定可能であり、第１の高い保安レベルが 該第２のファイル内のデータを読み出すこと及びこれにチータを書き込むことを 許可し、第２の低い保安レベルが該第２のファイル内のデータを読み出すこと及 びこれにデータを追加することのみを許可することを特徴とする多目的ポータブ ルデータキャリヤ。
9. ９．請求の範囲第２項に記載の多目的ポータブルデータキャリヤにおいて、さら に所望の可変データにアクセスするために複数の関連するステーションによって 選択的にアドレス可能なファイルが含まれ、個々の特定のファイルヘのアクセス が個々の関連するステーションの構成によって制御されることを特徴とする多目 的ポータブルデータキャリヤ。
10. １０．請求の範囲第９項に記載の多目的ポータブルデータキャリヤにおいて、所 望のトランザクションのための該特定のファイルヘのアクセスが該特定のファイ ル内でトランザクションを行なうことを許可されたステーションに指定されたパ スワードによって制御されることを特徴とする多目的ポータブルデータキャリヤ 。
11. １１．請求の範囲第１０項に記載の多目的ポータブルデータキャリヤにおいて、 該ポータブルデータキャリヤヘのアクセスが該ポータブルデータキャリヤ内でト ランザクションを行なうことを許可されたユーザに指定されたパスワードによっ て制御されることを特徴とする多目的ポータブルチータキャリヤ。
12. １２．請求の範囲第１１項に記載の多目的ポータブルデータキャリヤにおいて、 該ポータブルデータキャリヤ内の個々のファイルが該関連するステーションの所 のユーザによって許されるアクセスのタイプを定義するためのファイル許可情報 を含むことを特徴とする多目的ポータブルデータキャリヤ。
13. １３．請求の範囲第１２項に記載の多目的ポータブルデータキャリヤにおいて、 該ポータブルデータキャリヤ内のファイル許可情報が読出し許可、書込み許可及 び追加許可を含み、読出し許可をもつ第１のファイルが適当に構成されたステー ションの所のユーザがその中のデータを読み出すことのみを許し、書込み許可を もつ第２のファイルがユーザがその中のデータを読み出すこと及びその中にデー タを書き込むことを許し、そして読出し及び追加許可をもつ第３のファイルがユ ーザがその中のデータを読み出すことのみ及びその中にデータを追加することを 許すことを特徴とする多目的ポータブルデータキャリヤ。
14. １４．請求の範囲第１３項に記載の多目的ポータブルチータキャリヤにおいて、 さらに最低保安レベル、最高保安レベル及びこれらの間の複数の他の保安レベル から成るように階層的に配列された複数の保安レベルが含まれ、個々の保安レベ ルヘのアクセスがその保安レベルにてデータにアクセスすることを許可されたユ ーザにのみ指定される対応するパスワードによって制御されることを特徴とする 多目的ポータブルデータキャリヤ。