BRPI0011932B1 - método para operar um portador de dados projetado para executar programas de função recarregáveis - Google Patents

Abstract

patente de invenção "método para operar um portador de dados projetado para executar programas de função recarregáveis". a invenção diz respeito a um método para operar um portador de dados configurado para executar programas de função recarregáveis. de acordo com a invenção uma interface de carregador é, inicialmente, instalada no portador de dados, que permite o recarregamento de aplicações de carga, que, por sua vez, permite a carga de programas de função. cada aplicação de carga tem alocada para esse fim um espaço de endereço atribuído invariável. para suportar o gerenciamento de um espaço de endereço atribuído, identificações são atribuídas para os programas de aplicação a serem recarregados, as ditas identificações contendo informações sobre o tamanho do espaço de memória necessário para os programas de aplicação. os programas de aplicação, que serão recarregados, são atribuídos ao espaço de endereço no dispositivo de memória de acordo com as informações de espaço contido nas identificações. a invenção diz respeito, ainda a um portador de dados adequado para implementar o dito método inventivo descrito.

Description

"MÉTODO PARA OPERAR UM PORTADOR DE DADOS E PORTADOR DE DADOS".

Esta invenção se refere a um método para operar um portador de dados equipado com um dispositivo de comunicação, um dispositivo de memória e uma unidade de execução de programa para executar os programas de função contidos no dispositivo de memória.

Os portadores de dados na forma de cartões inteligentes são usados em uma variedade crescente de áreas de aplicação. Os cartões especialmente muito difundidos são aqueles de acordo com a norma ISO 7810, que consiste de um portador plástico incorporando um circuito semicondutor e um meio de contato integrados para fazer conexões elétricas com uma leitora correspondente. Foi também proposto produzir o portador de cartão menor ou omiti-lo completamente e, em lugar dele, instalar, por exemplo, um microcontrolador de chip único em relógios, jóias, peças de roupa ou outros artigos de uso diário. O termo "cartão inteligente" é, portanto, intencionado para incluir todos os objetos (pequenos) transportáveis atuais e futuros, nos quais um microcontrolador é embutido, para permitir que o seu proprietário ou portador realize interações típicas de cartão inteligente com estações de interação especialmente proporcionadas correspondentes. As aplicações de cartões inteligentes típicas são o cartão de crédito, o cartão moeda, o cartão de seguro saúde ou o cartão telefônico. 0 termo "aplicação" se refere aqui à totalidade de todos os dados, comandos, operações, estados, mecanismos e algoritmos dentro de um cartão inteligente, que são necessários para operar um cartão inteligente dentro de um sistema, por exemplo, um sistema de pagamento de cartão de crédito.

Cada aplicação tem, usualmente, o seu próprio cartão inteligente correspondente, e cada nova aplicação e atualização de uma aplicação existente produz igualmente um novo cartão inteligente. É, portanto, fundamentalmente desejável ter um cartão inteligente que possa ser usado em várias aplicações de diferentes provedores de serviço e operadores de sistemas de cartão, tais como organizações de cartões de crédito, bancos, companhias de seguro, companhias telefônicas, etc.

Uma organização de arquivo para tal cartão inteligente adequada para várias aplicações é mostrada por Rankl/Effing, "Handbuch der Chipkarten", Carl Hauser Verlag, 1996, capitulo 5.6. A estrutura organizacional descrita nela é baseada na norma ISO/IEC 7816-4. No topo da estrutura de arquivo está um arquivo mestre contendo os diretórios de todos os outros arquivos presentes no cartão inteligente. Subordinados ao arquivo mestre estão um ou mais arquivos dedicados contendo os nomes dos arquivos combinados em grupos, em particular, pertencendo a uma aplicação. Subordinado a cada arquivo dedicado estão, finalmente, um ou mais arquivos elementares contendo os dados úteis de uma aplicação. Essa publicação descreve ademais o carregamento subseqüente do código do programa como tecnicamente possível, mas inconveniente por razões de segurança. Como a medida mais promissora para superar os problemas de segurança, ela refere-se ao estabelecimento de uma unidade de gerenciamento de memória, que monitora o código do programa a ser executado, caso se mantivesse nos limites alocados. 0 documento WO-A1-98/09257 descreve um sistema e um método para carregar aplicações em um cartão inteligente, que tornam possível colocar dados de programa e aplicação de outras aplicações em um cartão inteligente, além dos dados das aplicações já carregados. Precauções são tomadas com base nas tecnologias criptográficas adequadas, para permitir a verificação da autorização da agência executando o carregamento subsequente de dados. Após os dados de uma aplicação adicional terem sido introduzidos na memória do cartão inteligente, a autenticidade dos dados do programa correspondente é verificada. Então, os dados do programa são checados em relação às limitações de tipos válidos e sintaxes. Se uma incongruência é determinada em uma dessas etapas de verificação, os dados carregados adicionalmente são descartados e deletados na memória. 0 sistema conhecido permite o carregamento subsequente controlado de aplicações, após o cartão ter sido emitido para o usuário final. No entanto, significa que um emissor de cartão emitindo um cartão inteligente com espaço de memória livre disponível para um provedor de serviço, por exemplo, deve já conhecer a identidade de todas as agências do provedor de serviço que vão ser depois habilitadas a oferecer aplicações para um usuário final para carregamento subsequente. Isso pode ser feito pelo emissor do cartão certificando certas chaves de assinatura públicas de provedores de serviços, para que sejam capazes de fazer uma verificação da autenticidade dos dados recarregados por depósito da sua própria chave de assinatura pública, por exemplo, na máscara ROM do cartão inteligente. No entanto, no sistema conhecido, um emissor de cartão não tem qualquer possibilidade de verificar o volume de memória ocupado pelos provedores de serviço em um único cartão inteligente, além da autenticidade e sintaxe correta. A patente DE 197 18 115 Al descreve ainda um cartão inteligente, e um método para carregar dados em um cartão inteligente que torne possível colocar aplicações de cartão em um cartão inteligente, após o final do processo de produção do cartão. No cartão inteligente é proporcionado um espaço de armazenamento recipiente, no qual os provedores de serviços podem carregar aplicações por sua conta. No espaço de armazenamento recipiente, a estrutura do programa básico de aplicações recarregáveis é predefinida, apenas chaves e dados dedicados são carregados subsequentemente. A predefinição das estruturas de aplicações recarregáveis obtém uma separação confiável de dados de diferentes provedores de serviços em um cartão. Esse documento não aborda o carregamento subsequente de aplicações com estruturas de dados desconhecidas. Não descreve, em geral, alternativas de estruturas de aplicação predefinidas para administrar o espaço de armazenamento recipiente. 0 conceito de predefinição de estruturas de aplicação não pode ser usado, se o código do programa de âmbito indefinido vai ser carregado em um cartão posteriormente. A solução encontrada na patente DE 197 18 115 Al é, portanto, inadequada para aplicar os códigos de programa completos de aplicações posteriores. A invenção é baseada no problema de proporcionar um método para colocar uma aplicação adicional em um cartão inteligente, bem como um cartão inteligente que evite as desvantagens mencionadas da técnica anterior.

Esse problema é solucionado de acordo com a invenção por um método com as características mencionadas na reivindicação 1 e por um cartão inteligente com as características da reivindicação independente 4. 0 problema é igualmente solucionado por um método com as características mencionadas na reivindicação 8 e por um cartão inteligente com as características da reivindicação independente 12. Cada um dos objetos das reivindicações 1 e 4, por um lado, e 8 e 12, por outro lado, tem uma importância inventiva independente. Os métodos de acordo com as reivindicações 1 e 8 e os objetos das reivindicações 4 e 12 também podem ser combinados. 0 método inventivo de acordo com a reivindicação 1, bem como o método de acordo com a reivindicação 8, permitem que um emissor de cartão de forma vantajosa propicie a um usuário colocar programas de função em um cartão por sua autoridade mais tarde. 0 emissor de cartão não precisa mais predefinir que usuários ou provedores de serviço vão receber permissão para carregar subsequentemente aplicações adicionais em certos cartões inteligentes. É em vez disso possível carregar subsequentemente uma aplicação, mesmo quando o cartão inteligente já foi emitido e está em poder do usuário. 0 método é, portanto, adequado, em particular, para realizar uma transferência contratual de direitos definíveis precisamente para recursos de memória de cartões inteligentes para terceiras partes por um emissor de cartão inteligente. 0 método garante um padrão de alta segurança. De acordo com a reivindicação 1, isso é obtido pelo fato de que as aplicações de carga permitindo o carregamento subsequente dos programas de função de aplicação só podem ser colocados no cartão via uma interface do carregador principal estabelecida no cartão pelo emissor de cartão. A interface do carregador principal permite, vantajosamente, em particular, que a posição física e a faixa de ação lógica de um programa de função recarregado sejam definidas exatamente. A criação de uma possibilidade de carregar subsequentemente programas de função simplifica, além do mais, a produção dos cartões correspondentes de forma vantajosa. 0 sistema de cartão de identificação de acordo com a reivindicação 8 oferece a vantagem de que o emissor de cartão possa checar o volume do espaço de memória a ficar disponível para usuários individuais para as aplicações recarregáveis. 0 sistema de cartão de identificação oferece, além disso, a possibilidade de estabelecer um sistema de custo relacionado com a aplicação. Por exemplo, pode ser proporcionado para que se tenha um usuário ou um provedor de serviço pagando uma parte dos custos totais de um cartão inteligente, dependendo de quanto do dispositivo de memória do cartão inteligente o usuário ou o provedor ocupa.

Desenvolvimentos vantajosos e modalidades convenientes do método proposto e do cartão inteligente podem ser encontrados nas reivindicações dependentes. A invenção vai ser explicada a seguir em mais detalhes por uma modalidade, por meio de exemplo e de um modo não-limitante, com referência aos desenhos, em que: A figura 1 mostra a estrutura de um cartão inteligente microprocessador; A figura 2 mostra, esquematicamente, a ocupação do dispositivo de memória de um cartão inteligente com um carregador principal; A figura 3 mostra a ocupação do dispositivo de memória após carregamento de um carregador especial; e A figura 4 mostra uma vista esquemática da estrutura hierárquica compreendendo um carregador principal e vários carregadores especiais. A figura 1 mostra a estrutura típica do cartão inteligente 10 equipado com um microprocessador. O elemento principal é a unidade processadora central (CPU) 20, que confere ao cartão inteligente 10 a sua funcionalidade por execução de programas de função. A unidade processadora 20 tem atribuído a ela um dispositivo de memória 110, construído de três circuitos de memória 30, 40, 50. O circuito de memória 30 representa uma memória exclusiva de leitura (ROM) programada por máscara contendo, em particular, o sistema operacional da unidade processadora central 20, um circuito de memória 50 representa memória exclusiva de leitura rasurável eletricamente 50 (EEPROM) para receber os códigos de programa dos programas de função e os dados usados pela unidade processadora central 20; um circuito de memória 40 representa, normalmente, uma memória de acesso randômico volátil (RAM) 40, para uso como uma memória de trabalho na execução de um programa de função. A funcionalidade do cartão resulta da totalidade dos códigos de programa ou dos dados contidos nos circuitos de memória 30, 40, 50. Se isso é tecnicamente necessário ou conveniente, os circuitos de memória 30, 40, 50 podem ser usados de forma de sobreposição, por exemplo, se certas áreas de endereço de memória na EEPROM são usadas para dados de programa do sistema operacional, ou as áreas de endereço de memória na ROM são ocupadas com dados de aplicação. Por essa razão, os circuitos de memória 30, 40, 50 vão ser entendidos a seguir como uma totalidade do dispositivo de memória 110. Para trocar dados com dispositivos externos, o cartão 10 tem, além do mais, um dispositivo de comunicação 60 ligado similarmente com a unidade processadora central 20. Uma aplicação típica do cartão 10 mostrado é executar operações de pagamento eletrônico. Uma descrição detalhada do cartão inteligente mostrado na figura 1 pode ser encontrada, por exemplo, no "Handbuch der Chipkarten", de Rankl/Effing, Carl Hauser Verlag, 1996, capítulo 2.3.

Uma primeira modalidade da invenção é baseada no conceito de permitir que as aplicações de carga, que podem carregar, por sua vez, programas de função de aplicação, sejam colocadas em um cartão, mas permitindo que as próprias aplicações de carga sejam estabelecidas apenas por uma interface do carregador especial. A figura 2 ilustra, esquematicamente, a ocupação do dispositivo de memória 110 de um cartão inteligente, que inclui, primeiramente, apenas o código de programa de programa de função única 120 definindo uma primeira interface do carregador 120. A interface do carregador 120 é projetada, especialmente, para recarregar no dispositivo de memória 110 programas de função, que executam aplicações de carga, isto é, que têm, por sua vez, funcionalidade de carga e permitam o carregamento subsequente de programas de função de aplicação. Δ interface do carregador 120 é, convenientemente, parte do equipamento básico de um cartão inteligente e é colocada no cartão pelo emissor do cartão ou produtor do cartão. A interface do carregador 120, designada carregador principal (ML) a seguir, ocupa parte da área de memória total disponível no dispositivo de memória 110. 0 carregador principal 120 executando o programa de função pode ser, em particular, parte do sistema operacional do cartão inteligente e é, conseqüentemente, executado como parte da memória exclusiva de leitura (ROM) programada por máscara 30. A outra parte da área de memória total não é, inicialmente, ocupada com dados e é disponível como memória livre 130 para outros programas de função que vão ser ainda carregados. 0 gerenciamento da memória livre total 130 é feito primeiro pelo carregador principal 120. Nessa função como um dispositivo de gerenciamento, o carregador principal 120 controla, em particular, a carga do código do programa do primeiro programa de função a ser recarregado na memória livre 130 e a alocação dos espaços de endereço. O código de byte do primeiro, bem como dos outros programas de função recarregados, é transmitido via a interface de dados 60, na forma de sinais elétricos adequados. O carregador principal 120 carrega preferivelmente apenas aqueles programas de função no dispositivo de memória 110, que satisfazem condições de segurança definidas. Durante a carga, esse dispositivo verifica, desse modo, preferivelmente a integridade e autenticidade de uma aplicação de carga a ser carregada por verificação se o código do programa esperando ser carregado presente está inalterado, em uma forma aprovada pelo produtor, ou se o produtor de uma aplicação de carga está efetivamente autorizado a colocar na aplicação principal por, por exemplo, ter adquirido um direito para utilizar recursos do cartão inteligente do emissor do cartão. A figura 3 mostra o arranjo de memória da figura 2, por meio do qual o carregador principal 120 carregou então o primeiro programa de função 210, realizando uma aplicação de carga na memória livre 130. A aplicação de carga 210 define uma segunda interface, designada carregador especial 210 (DL) descrita a seguir. Permite que outros programas de função sejam colocados, subseqüentemente, no dispositivo de memória 110. No entanto, apenas definiu o espaço de endereço atribuído 220 inexpansível disponível para isso. O espaço de endereço atribuído 220 é alocado no carregador especial 210 pelo carregador principal 120, durante a carga do carregador especial 210. A dita distribuição transfere, completamente, o gerenciamento do espaço de endereço atribuído 220 para o carregador especial 210, que tem a funcionalidade necessária como um dispositivo de gerenciamento para essa finalidade, como o carregador principal 120. 0 carregador principal 120 não tem qualquer influência na, ou acesso à utilização posterior do espaço de endereço 220 atribuído ao carregador especial 210. 0 carregador principal 120 tem ainda o gerenciamento da parte do espaço de endereço de memória livre não ocupado por ser assumido pelos carregadores especiais 210, e o gerenciamento dos espaços de endereço 220 e fragmentados em seções separadas 130a, 130b. O carregador especial 210 pode ser carregado pelo usuário de um cartão, diferentemente do carregador principal 120. O carregador especial 210 permite, e é pré-condição para que o usuário carregue programas de função realizando aplicações no espaço de endereço atribuído 220, subseqüentemente, como seleciona. 0 termo "aplicação" se refere aqui à totalidade de todos os dados, comandos, operações, estados, mecanismos e algoritmos para operar um cartão inteligente, que são necessários para operar o cartão inteligente dentro de uma aplicação. Quando novos programas de função realizando aplicações são transferidos para o espaço de endereço atribuído 220, o carregador especial 210 garante que o código de programa de um programa de função carregado não pode, de forma alguma, acessar o código dos dados localizado fora do espaço de endereço atribuído 220. O espaço de endereço atribuído 220 atribuído ao carregador especial 210 pode já ter sido proporcionado durante a carga pelo carregador principal 120 com o meio de proteção, que impede acesso físico ou lógico de áreas parciais do dispositivo de memória 110 localizado fora do espaço de endereço atribuído 220. O espaço de endereço atribuído 220 é dividido entre os programas de função recarregados pelo carregador especial 210. O programa de função 230, para realizar uma nova aplicação de cartão, pode ter tido a área parcial atribuída 231 do espaço de endereço atribuído 220, por exemplo.

Em uma forma da estrutura descrita acima particularmente favorável para transferir área de memória para terceiras partes, a ocupação do dispositivo de memória 110 é estrutura hierarquicamente, como mostrado na figura 4, e os programas de função recarregados podem receber a possibilidade de acessar em uma forma definida outros programas de função já presentes no dispositivo de memória 110. A estrutura de árvore indicada ilustra a seqüência cronológica na qual os diferentes programas de função são adicionados. No estado mínimo, o cartão é equipado apenas com o carregador principal 120; é inicialmente o único acesso ao dispositivo de memória 110 do cartão. O carregador principal 120 permite a carga dos carregadores especiais 210a, 210b, 210c e de funções gerais ou programas de função 240 realizando funções de cartão básicas. Se o carregador principal 120 for localizado em um cartão, os carregadores especiais 120 e os programas de função 240 podem ser carregados via o carregador principal 210 a qualquer momento; são, portanto, mostrados na estrutura de árvore da figura 4 como caminhos paralelos partindo do carregador principal.

Todos os programas de função recentemente carregados 210, 240 são checados para permissividade e segurança durante a carga pelo carregador principal 120. Apenas os programas de função checados positivamente são carregados. Cada carregador especial carregado 210 a, b, c recebe pelo carregador principal 120 no dispositivo de memória 110 um espaço de endereço definido por posição inalterável 220, que não pode ser expandido pelo carregador especial 210 associado. O programa de função executando o carregador especial 210 pode conter informações do tamanho do espaço de endereço atribuído 220 necessário. Se o carregador principal 120 não recebe quaisquer informações de tamanho, ele atribui um espaço de endereço padrão.

Quando os programas de função 210, 240 estão sendo carregados, o carregador principal 120 garante que os espaços de endereço atribuído 220 dos diferentes carregadores especiais 210 são separados, estritamente, lógica e fisicamente, e um carregador especial 210 não pode, de forma alguma, acessar o espaço de endereço atribuído 220 do outro carregador especial 210. Após carga e atribuição do espaço de endereço, o controle em relação ao espaço de endereço atribuído 220 particular passa completa e exclusivamente para o carregador especial 210a, 210b, 210c associado. Cada carregador especial 210 pode então carregar no espaço de endereço atribuído 220 particular outros programas de função, em particular, programas de função executando aplicações de cartão, por exemplo, chaves criptográficas ou métodos para conduzir com segurança transações financeiras. Durante a carga, o carregador especial 210 submete o código de byte, pertencente a um programa de função a ser carregado, a um teste de segurança e permissividade. O carregador especial 210 é ainda capaz de ligar programas de função a serem recentemente carregados com aqueles já presentes em uma forma definida. Durante carga de um programa de função, o carregador especial 210 define os seus possíveis direitos de acesso e as possibilidades de ligação com relação aos outros programas de função já presentes no dispositivo de memória 110. Pode, do mesmo modo, estabelecer limitações que impedem, expressamente, o acesso ou ligação de um programa de função recentemente carregado a um programa de função já presente ou que vai ser ainda recarregado. As ligações ou as limitações de acesso podem ser estabelecidas dentro do espaço de endereço atribuído de um carregador especial, mas são também válidas em sobreposição com os espaços de endereços atribuídos de outros carregadores especiais .

No exemplo da figura 4, o carregador especial 210a checou, permitiu e carregou no espaço de endereço atribuído 220 dois programas de função 310, 311, o carregador especial 210b três programas de função 320, 321, 322, e o carregador especial 210c outro programa de função 330. O carregamento subsequente dos programas de função 310, 311, 320, 321, 322, 330 pode, se o carregador especial 210 requerido estiver presente no cartão, ser feito pelo carregador especial 210 a qualquer momento e em qualquer ordem. Na figura 4, cada programa de função recarregado 310, 311, 320, 321, 322, 330 é conseqüentemente atribuído a uma carga particular do carregador especial 210a, 210b, 210c. Os programas de função 310, 311, 320, 321, 322, 330 podem ter acesso entre si ou serem conjuntamente ligados, considerando que isso foi permitido durante a carga pelos carregadores especiais 210 ativos particulares. No exemplo da figura 4, o programa de função 330 pode, por exemplo, acessar os programas de função 321 ou 310, para, por exemplo, usar os próprios procedimentos proporcionados nele. Por outro lado, o programa de função 330 não tem qualquer possibilidade de acessar ou ligar-se com relação aos programas de função 311; esse é bloqueado, devido à falta de permissão de acesso ou ligação correspondente para o programa de função 330, ou 320, esse é bloqueado para todo acesso externo.

Complementar à carga dos novos programas de função pelo carregador principal 120 ou carregador especial 210, é fundamentalmente também possível deletar os programas de função 210, 240, 310, 330 presentes no dispositivo de memória 110. A habilitação para a anulação é estabelecida durante a carga de um programa de função pelo carregador 120, 210. A anulação do carregador especial 210 só é possível, se o espaço de endereço 220 atribuído a ele não contém mais qualquer programa de função. O carregador principal 120 não pode ser deletado.

Uma medida que suporta vantajosamente a transferência de baixo risco de espaço de memória de cartão inteligente para terceiras partes é o uso de um sistema de cartão de identificação para conduzir a alocação do espaço de armazenamento pelos carregadores principais 120 e/ou carregadores especiais 210a, 210b, 210c. Os cartões de identificação têm a forma de informações digitais. São adicionados ao carregador especial 210 ou a um programa de função a ser carregado, e compreende, em particular, uma declaração sobre o tamanho do espaço de endereço atribuído 220 desejado ou o tamanho do espaço de endereço 230 necessário para o programa de função nele. O carregador 120, 210, a ser usado para carga em um carregador especial ou programa de função 230 proporcionado com um cartão de identificação, deve ser capaz de avaliar o cartão de identificação. Um sistema de cartão de identificação pode ser estabelecido para todos os carregadores 120, 210 de um cartão ou apenas para aqueles individuais; uma estrutura de carregador hierárquica, como mostrada na figura 3, não é uma pré-condição para estabelecimento dela. Os cartões de identificação são gerados pelo emissor do cartão inteligente ou pelo produtor do carregador 120, 210. Devem ser também adquiridos de antemão do dito emissor ou produtor para o carregador especial 210 para serem recentemente carregados, ou um programa de função para ser recentemente carregado no dispositivo de memória 110. O produtor do carregador / emissor do cartão é desse modo sempre informado da ocupação do espaço de endereço atribuído para o seu carregador 120 / 210. Atribuindo apenas o espaço de endereço absolutamente necessário aos carregados especiais ou programas de função a serem recentemente carregados, pode-se garantir, particularmente, utilização econômica de espaço de memória de um espaço de endereço atribuído das informações correspondentes no cartão de identificação.

Além de meras informações de tamanho, um cartão de identificação pode conter ainda informações, por exemplo, informações que permitem checar a autenticidade de um cartão de identificação. A autenticidade e o fato de ser à prova de falsificação de um cartão de identificação são ainda preferivelmente garantidos por métodos criptográficos. As informações em um cartão de identificação são nesse caso criptografadas, o cartão de identificação contendo, conseqüentemente, por exemplo, uma chave de inicialização que permite que um carregador autorizado deduza uma chave para leitura do cartão de identificação. Conveníentemente, um cartão de identificação contém ainda uma assinatura digital executada criptograficamente. Para facilitar o gerenciamento, um cartão de identificação pode ser proporcionado adicionalmente com, por exemplo, a designação de um programa de função, um identificador de aplicação, uma data ou assemelhados. Além do mais, é possível estabelecer informações que limitam a utilidade de um programa de função, limitando, por exemplo, o tempo no qual uma aplicação pode ser usada, ou expondo identificadores dos cartões que são apenas habilitados para usar um programa de função.

Claims (12)

1. Método para operar um portador de dados equipado com um dispositivo de comunicação, um dispositivo de memória e uma unidade de execução de programa para executar os programas de função contidos no dispositivo de memória, caracterizado pelo fato de compreender as seguintes etapas: instalação de um programa de função no dispositivo de memória (110) do portador de dados para executar uma interface do carregador (120) , o que, por sua vez, torna possível adicionar subsequentemente os programas de função, cada um deles realizando uma aplicação de carga (210) , a aplicação de carga tornando possível adicionar subsequentemente pelo menos um programa de aplicação (230); - proporcionar um espaço de memória livre (130) disponível para a interface do carregador (120) no dispositivo de memória (110) ; e adicionar subsequentemente pelo menos uma aplicação de carga (210), via o dispositivo de comunicação (60) no dispositivo de memória (110), o dito recarregamento sendo controlado pela interface do carregador (120), e a aplicação de carga (210) sendo alocada em uma parte do espaço de memória livre (130), como um espaço de endereço atribuído (220) ; adicionar subsequentemente pelo menos um programa de aplicação (230), via o dispositivo de comunicação (60) pela unidade de execução de programa, sob o controle da aplicação de carga (210) no espaço de endereço atribuído (220) alocado para esse fim.

2. Método de acordo com a reivindicação 1, caracterizado pelo fato de que a interface do carregador (12 0) propicia controle em relação a um espaço de endereço atribuído (220) alocado para uma aplicação de carga (210) para a aplicação de carga (210).

3. Portador de dados contendo: - um dispositivo de memória (110) para receber programas de função e de aplicação; - uma unidade de execução de programa (20) para executar programas de função contidos no dispositivo de memória (110) ; - um dispositivo de comunicação (60); caracterizado pelo fato de que compreende: uma interface de carregador (120) executada como um programa de função para carga de pelo menos uma aplicação de carga (210), que permite o recarregamento de um outro programa de aplicação, no dispositivo de memória (110) , via o dispositivo de comunicação (60); e - a interface do carregador (120) tendo associada com ela no dispositivo de memória (110) um espaço de memória livre (130), para receber pelo menos uma aplicação de carga e para alocar neste uma parte do espaço de memória livre (130), como um espaço de endereço atribuído (220), no qual um programa de aplicação adicional é recarregado.

4. Portador de dados de acordo com a reivindicação 3, caracterizado pelo fato de que uma aplicação de carga (210) recebida no dispositivo de memória (110) controla uma parte (220) do espaço de memória livre (130) associado à interface do carregador (120), independentemente da interface do carregador.

5. Portador de dados de acordo com a reivindicação 3, caracterizado pelo fato de que as aplicações de carga (210) são projetadas para ligar programas de aplicação (330), a serem recarregados com os programas de aplicação e função já presentes no portador de dados, durante a carga.

6. Portador de dados de acordo com a reivindicação 5, caracterizado pelo fato de que uma aplicação de carga (210) compreende limitações que impedem a ligação de um programa de aplicação (330) a ser recentemente carregado com um já presente (311, 320).

7. Método para operar um portador de dados tendo um dispositivo de memória para receber programas de função e aplicação, uma unidade de execução de programa para executar os programas de função e aplicação contidos no dispositivo de memória, e um dispositivo de comunicação, caracterizado pelas seguintes etapas: - equipar o portador de dados com um programa de função executando uma interface de carregador (120, 210) para adicionar subsequentemente os programas de aplicação no dispositivo de memória; equipar o portador de dados com um dispositivo de gerenciamento para atribuir espaços de memória no dispositivo de memória (110) para os programas de aplicação recarregados; - dotar o programa de aplicação a ser recarregado com cartões de identificação contendo informações sobre o tamanho do espaço de memória necessário para o programa de aplicação; - avaliar o cartão de identificação durante recarregamento de um programa de aplicação; e - atribuir ao programa de aplicação um espaço de endereço no dispositivo de memória (110) coordenado com as informações de tamanho determinadas.

8. Método de acordo com a reivindicação 7, caracterizado pelo fato de que o cartão de identificação contém adicionalmente informações designando o programa de aplicação.

9. Método de acordo com a reivindicação 7, caracterizado pelo fato de que o cartão de identificação contém adicionalmente uma assinatura para provar a autenticidade do programa de aplicação.

10. Método de acordo com a reivindicação 7, caracterizado pelo fato de que os cartões de identificação são emitidos pelo emissor do portador de dados.

11.

Portador de dados tendo um dispositivo de memória (110) para receber programas de função e aplicação, uma unidade de execução de programa (20) para executar os programas de função contidos no dispositivo de memória, e um dispositivo de comunicação (60), caracterizado por uma interface do carregador (120, 210), executada como um programa de função, para adicionar subsequentemente pelo menos um programa de aplicação no dispositivo de memória, via o dispositivo de comunicação (60), a interface do carregador (12 0, 210) tendo um meio para checar um cartão de identificação de um programa de aplicação a ser carregado, e atribuir espaço de memória no dispositivo de memória (110) para um programa de aplicação a ser carregado de acordo com as informações de tamanho contidas no cartão de identificação.