CN1010059B - 具有外编程能力的灵巧插板 - Google Patents

Abstract

一个具有可变存储器和存有应用程序的指令处理器的灵巧插板。这个插板被制成是部分空白的，即没有应用程序存储在里面，以后再把应用程序装入可变存储器，即把主计算机送来的应用程序下装。用这个方法，一个灵巧插板里的应用程序可以被一个合法者改变。并且，有一个标志位用来指示一个程序是否已经装入插板。还包括一个防止该程序被非法者窜改的方法，做为对某一指令的响应，钥匙部分在执行之前已被清除。

Description

本发明涉及了在含有处理器和存储器的轻便插板中所做的各种改进，这种类型的插板在工业上叫做“灵巧插板”，“集成电路插板”或“单片插板”。具体说，本发明涉及了这种插板及其合成插板在制造过程中的各种改进，因此这种插板至少在部分上被做成是“空白的”，即不装入任何应用程序，以后再定做，装入适当的应用程序。

有关灵巧插板和使用这种插板系统的大量技术都已经公开了。具有代表性的是美国专利3702464和4007355，专利权人分别为Castrucci和Moren。所说明的例子。在这种灵巧插板里，应用程序存储在插板上的只读存储器里，在一开始制造时，就全部、不可变地固定在插板里了。这种只读存储器有这样一个局限性，就是在一开始制造时（在生产过程中），就必须把应用程序确定下来，并装入到灵巧插板中去。一旦该程序被装入，程序上的稍许改变，即使不要求报废整个插板，至少也要废掉这个片子。

制造具有应用程序固定在不可变的只读存储器里的灵巧插板的这种技术，还意味着整个的应用程序开发过程必须先于任何灵巧插板的制造。这就使得开发和制造要依次进行，它意味着从一个灵巧插板应用程序的概念的建立，直至以完整的灵巧插板供应市场，需要一个相对长的周期。因此，必须以一种不是灵巧插板本身的某种形式，把一个应用程序“实验板”化，而且这种实验板可能会在开发过程中要求另外一个步骤，使之做为一个不同于最终产品的仪器或工具。并且，应用程序的模拟可能会需要附加的软件来允许这种模拟，例如一个与该试验板应用程序进行通讯的终端。

然而，一个具有固定程序和不可变的插板，在避免某些其他局限性和缺点方面，却有着它自己的优越性。例如，如果程序是可变的，并且被固定到一个开始处于不定状态的存储器里，那末要确定该存储器是否已装进了一个应用程序，这可能是困难的。具有固定、不可变程序的插板可以避免的局限性和不足的第二个例子，是在具有固定、不可变存储器的插板里不需要有防止非法存取和修改这些数据的安全措施。

人们现已知道了这样一些灵巧插板，在它们里面存储了应用程序，使用可重写的存储器来存储如身份识别或帐目结算中的失效数这样的业务信息。在过去的系统里，这些值需要定期地更新，并且这些值已经被很好地使用过了。但是，一旦应用程序被固定到了灵巧插板中去，这些系统没有一个再能允许改变应用程序本身。

在一个具有起初没有装入任何特定程序的存储器的插板里，这个存储器起初可能会有一个随机模型在里面。这就变得难于（如果并非不可能）确定是否有一个特定的内容，如所要求的应用程序，已经装入了这个存储器，或者，这个从存储器初始化得到的随机模型是否碰巧可被认为是装在里面的应用程序的一部分。

某些现存的灵巧插板是不合乎要求的，因为它们通常包含多个集成电路元件，又必须分别地处理、组装和对接。

因此，原有技术的灵巧插板在具有固定、不可变存储器这一点上是不合乎要求的。并且，单单提供一个可变的存储器来存储应用程序，也仅仅是改变这些关系而已。所以，这些原有技术的灵巧插板是有局限性和不足的，它们不能满足本应使用，发 行和操作这些灵巧插板的社会集团的需要。

本发明通过提供一个改善的灵巧插板及其制造方法，克服了原有技术的灵巧插板系统的局限性和不足，该插板包含一个可变的或可重装的应用程序存储单元。在制造时，该插板包含一个引导程序，它包含着为接收和存储应用程序所必须的各种指令。应用程序一旦被装入，就可以被重新装入这个可重装的存储单元里。用这种方式，就可以在制造以后再装入应用程序，并可按要求重装和修改。

在本发明优选的实施例中，把程序装入灵巧插板的存储器，要伴随着装入一个标志位，此标志位表示该应用程序确实已被装入。然后，人们只须测试这个标志位就能确定该灵巧插板是否已装入了一个应用程序。这就克服了原有技术的存储器在初始制造时的随机数据使得难以确定应用程序是否已经装入插板这样一个局限性。

本发明的灵巧插板包含一个安全措施，以防止非法窜改已经装入的程序。这个措施（它可取各种形式）用防止读出存储器某些部分的方法来防止删改。在优选实施里，实现的方法是在执行存储器转储之前，擦去该存储器的最初两页。用这个方法，该存储器就会维持原状而不会被重新编程。一个想要知道存储器里初始程序及任何秘密钥匙的删改者就会受到挫败，因为在读这些页之前，这些页（永久性地）消失了。此后，这个插板作为一个灵巧插板就失去了任何价值，直到由一个总程序的处理器给它重新装入为止。不这样的话，存取那些数据就会允许有不正直动机的人去稍许修改这个程序（如改变他的身份或他的业务履历），以逃避设计到该系统里的义务。

这种灵巧插板及其制造方法还有一个优点，即硬件制造（即制造没有装入应用程序的插板）可以与软件的开发同时进行。因此，装有应用程序的灵巧插板的相对长的开发过程，就会因为能并行开发软件而在较短的时间内完成。并且，应用程序可按要求来重装和改变，意味着灵巧插板的制造者无需再预计将会有多少个特定的应用程序要求装入插板。大量的“空白”插板可以预先制造出来，以后再装入所需要的应用程序。

制造以后再开发和装入应用程序还具有另外几个优点。一个灵巧插板的发行者（如一个银行）不必再把其安全计划的细节、信贷的最低限额及其他敏感的细节泄漏给灵巧插板的制造者。所有这些特性都可以由银行自己以后再装入空白的灵巧插板里去。而还未在其插板里包含某一特性的银行，或者通过观察，或者通过变化的市场要求，都能够简便地修改正在装入的应用程序，使这个插板具有一改善过的应用程序。

在本发明的一个实施例中，灵巧插板可以使用普通设计的集成电路来制造，在其他的实施例中，预期能使用专门定做的集成电路，这就避免了各集成电路之间的对接，及不得不分别装配到信用卡的基片上。使用普通设计的集成电路能允许既快又省地制造低容量的灵巧插板，而使用一个专门的集成电路在装配上是很省事的。

按照对优选具体装置的下述说明和附加要求及附图，对于技术上精通的人来说，本发明的其他目标和优越性将是很明显的。

图1是本发明灵巧插板的方框图。

图2的方框图示出了把灵巧插板的应用程序装入该灵巧插板的装置。

图1是一个灵巧插板10，它包括一个指令处理器12，一个ROM14和可变存储器16。输入/输出（I/O）线18连到指令处理器12，ROM14和可变存储器16用于插板10各部分的内部通讯。可变存储器16的一部分做为标志位22。在优选实施例中，灵巧插板10的尺寸与一个标准的信用卡相同，它满足ISO（国际标准化组织）对信用卡规定的识别标准。虽然图中未表示出来，它也可以包括一个磁条，它满足用磁条通讯应用中存储信息所相应的商业标准，所有这些都是众所周知的。其他的标记，如安全标志，发行者，顾客的名字及帐号等，均可按要求加到插板上，只要是不损害灵巧插板的基本功能。

指令处理器12是一个规范的微处理器，在市场上可以买到。在本应用中，IntelBO51型是合适的，当然其他处理器同样可以使用。

ROM14是一个固定的只读存储器，它包含一个在制造时就固定在里面的引导程序。这个引导程序含有基本的指令清单和引导应用程序进入可变存储器16的各种指令。虽然任一ROM器件均可用于本设计中，但Intel8051微处理器里包含一个ROM，所以就避免另外再使用一个ROM。

可变存储器16做为应用程序的存储器。在优 选实施例中，这是一个电可擦只读存储器（EEPROM），也可使用其他的非易失性存储器。本发明用的是美国Micro-Devices的9864AEEPROM，也可使用类似的器件。

存储器16包含应用程序及其他不公开的可变信息，如密码钥匙及个人证件数据等。这些应用程序是灵巧插板在运算期间所采用的算法和规程，它们可以从插板的一个应用变到下一个应用。这些应用程序具有使灵巧插板与外界通讯的各种技能，例如用一个自动出纳机来处理金融业务。其他应用程序可用来进行必要的安全及识别过程，进行所要求的实际业务和（或）以一个业务日记的形式记录在灵巧插板中。

对于安全和识别应用程序，自然有必要使灵巧插板与终端互相鉴定。就是说，每一方必须肯定对方是合法的器具，而不仅仅是一个想要得到引导到洞察整个系统的信息的诱饵。通常，其他的已经固定在具有固定存储器的灵巧插板上的应用程序也适用于本发明的灵巧插板上，在这个插板里，应用程序可在制造以后装入，如果要求改变该应用程序，也可重装。

应用程序也可用于用户识别。这与上述的器具鉴定不同，用户识别通常应在器具鉴定之后进行。用户识别的目的是要保证正在灵巧插板进行业务处理或其他商务的人能被识别出来。在自动出纳业务的情况下，如象目前银行所使用的，用户鉴定可以通过把个人识别码（PIN）送到自动出纳机键盘上去的办法来实现。然后，这个插板把输入的码与储存在里面的或经过计算的值进行比较，以确定用户是否输入了一个正确的PIN码。

在应用程序中也可使用其他形式的用户识别方法，例如，可能更精确和更不易被欺骗的纯碎个人证明，如指纹分析或鉴字动态等。这种纯粹个人证明的改良形式在当前是已经知道的，可以用适当的应用程序加以实现。

自然，那些用于通过I/O线与外界进行通讯的格式化数据的应用程序也是必须的应用程序。数据必须以一种接受器（如上面提到的自动出纳机）能认识数据和使用数据的格式出现。其他应用程序应包括进行为之设计了该灵巧插板的那些业务和其他商务-正是该灵巧插板存在的全部理由的那些有用商务-的细节。它可能是一次在自动出纳机上的现金提取（用于经费过户）或是商业网点上的一个电子经费过户器具，在那里，把钱从一个顾客的户头上，做为消费者购物的一个结果，转到了一个商人的户头上，这是在这个商人的商店里的一个机器上进行的，并且通过电连到了一个银行或一个票据交换所中去。最后，因为这个灵巧插板包含一个可变并可写的存储器，所以已写入的业务记录就可经过应用程序记到该灵巧插板中去-因此用户不会忘记这次业务，也不能声称曾发生了一次错误。

I/O线18把指令处理器与外界相连。这个外界可以是一个已经插上了这种插板的自动出纳机，或其他适当的通讯器具。在目前存在的典型灵巧插板系统里，这些I/O线终止在一个复杂电接触点上，这些触点在预定的位置和间隔上，以一个四分之一圆形组的形式，排在灵巧插板的表面上。然后，这些末端具有附加的触点与I/O线18实际相连，以使数据按预定的标准在它们之间传输。其他的连接形式同样可以采用，只要插板能正常通讯。一般都是采用串行通讯，数据序贯传输。

对于程序的初始装入，I/O线18接收从主机处理器来的应用程序，在那里，指令顺序下装（downloading），并按照接收的顺序串行储存到可变存储器16中去。另外，这些指令也可以由其他的处理器下装（downloading），这时要在可变存储器里把每个指令将要装入的地址进行分类。这两个技术中的任何一个均可使用，这取决于数据量和存储器形式，以及这个存储器是否正在被完全重写和置换，还是仅仅有选择地重写，其中的一个技术可能会比另一个更合乎要求。

虽然我们是按照一个实施例里的指令处理器12，ROM14和可变存储器16和使用普通的、在市场上可以买到的元器件说明了现在这个实施例，而把所有元器件设计到一个单片上在商业上也是可行的。虽然它预料会被很多设计者选为优选的实施例，但它毕竞要定做一个芯片。虽然很明显，这个设计是今天的电路设计者的技术所允许的，但在很多场合下，使用多个市场有售的元器件仍认为是满足要求的。

图2说明了对一个制作具有可重装或可变的应用程序的灵巧插板的系统下装应用程序的方法。如图所示，插板10与主机处理器50里应用程序的开发是分开的。在主机处理器50里进行写、编辑 （如果需要的话）、调试和测试。作为结果，产生了应用程序52。然后，应用服务程序52服务于装入操作和验证应用程序52是否被装入了灵巧插板10。

插板10，它含有为完成图2叙述的功能所必须的软件（做为引导程序的一部分），在线60上对装入信号（本质上是一个双复位信号）做出响应。这个信号首先被鉴别器处理，鉴别器区分开装入指令和执行指令。执行指令到方块64（它们在那里被执行），而装入指令到方块66。在方块66里，装入指令受安全存储器管理程序支配，它保证各安全页已预先被清除，并使程序维持在装入状态。从方块66，控制作用进入方块68，它是一个状态报告功能。在每一步都已正确完成、且插板已准备好了附加数据时，状态报告功能在线70上发出一个信号给应用服务程序54。作为对线70上信号的回答，应用服务程序在线72上发出一个附加指令或应用程序的一部分到命令解释器74。所有的命令在通过时都具有一个长度和“检验和”值，以保证数据在传输时没有丢失。检验和计算是正在被传输的数据的“异”，它与长度信息一起共同保证被传输的数据在传输期间没有变化，这是数字数据传输中众所周知的技术。然后，命令解释器开始实行5个方块74a，74b，74c，74d，74e中的一个功能，它们表示的功能分别是测试该页，装入初始化，装入数据，验证一页和装入结束，而执行哪一个功能要取决于应用服务程序来的指令。方块74a里测试该页的功能，是通过对某页上数据的每一字节进行写数据和读数据，来检查EEPROM存储器16里该页的数据，本质上是一个存储器检验。方块74b里的装入初始化的功能，是在下一个装入初始化之前建立EEPROM的类型、数据第一字节的地址和字节数。方块74c里装入数据的功能是把一个字节的数据从应用服务程序54转移到插板的可变存储器16中去。方块74d里验证一页的功能是对指定页内部生成一个检验和，然后把这个检验和传到应用服务程序54中去，做为整页已经正确传输完毕的证明。方块74e里装入结束这一步是在插板里建立一个锁定开关位，以禁止进一步的装入命令（这一步的装入命令可能是表示窜改或者是不适当地调节这个程序或其数据）。正如下面将要说明的，在建立了锁定开关位之后，为了更进一步的装入应用程序，就必须紧跟着一个双复位的装入命令。

插板上的“装入”功能是由复位线60上的一个定时双复位序列引起的。在新近生产的插板里，即不带应用程序存储在所制备出来的插板，是不可能预计应用程序存储器16或标志位22里任一位的状态的。因此，在某些场合下需要知道应用程序是否已被装入插板，或者这是否是一个不带应用程序、而因此需要一个应用程序的新插板。这个定时的双复位序列就可完成这一功能，解决了是否已装入了应用程序这样的任何不定性和模糊性。

在复位线60被起动之后，指令处理器就开始处理用来消除是否已装入了程序这种模糊性的一组指令。回答装入指令的第一步是为了一预定序列去测试应用程序存储器16的一个预定部分，如果没有发现该预定序列该装入指令就把这个预定序列写进应用程序存储器的这个预定部分。还要建立一个定时器，在一固定的时间间隔之后，在把这个预定序列从这个预定部里清除掉。如果一个程序装入将要发生，就必须在写入那个预定序列之后，在那个固定时间间隔结束之前，在复位线60上产生第二个起动信号。现在，在应用程序存储器16的预定部分对预定序列的检查是成功（因为它刚被第一个复位写上，并且还未被清除）。这个序列的存在就表明这是第二个复位，即要求程序装入的信号。做为该程序装入的结果，第一结果是存储器预定部分里的预定序列被清除了，第二结果是重写了存储器的所选各页，如应用程序存储器的第0页和第1页。这个重写有效地清除了从前一个程序来的敏感信息，如密码钥匙或个人识别信息等，而这些信息对打破系统的安全措施都是有用的。

自然，所要写的预定序列必须是足够地大，以保证不让这个序列会意外地出现，而除非它做为第一复位的结果刚刚被写进去。否则，这个双复位就不能做为程序装入的指示而生效。也就是说，如果这个预定序列并非是被第一复位写进去，而出现在存储器的预定部分，那么程序装入就会不适当地企图对第一复位信号做出响应，并且，如果这个预定序列不是由于该复位的功能（在固定的时间间隔之后，它将清除这个序列）而出现的话，这个预定序列就有可能被清除。简言之，为使这个定时双复位对程序装起到应有的作用，这个预定序列只允许由 第一复位产生。

自然，对于实现本发明的优选模式来说，很多其他方案对那些精于灵巧插板的设计和制造技术的人来说是显而易见的，并且可以仅使用本发明的某些特点，而不必同时使用这个说明所叙述的其他特点。例如，使用标志位来指示一个被装入的应用程序存在与否，对于那些处理这种插板的人来说是很方便的，没有它可能会要求做更多的工作来确定应用程序是否已被装入，但是也可以把插板的整个容量与可能的应用程序进行比较，来确定是否匹配，以指示程序是否已被装入。虽然这个优选装置的说明指出该插板包含一个应用程序，但是一个插板能够装入不止一个应用程序，唯一的限制，是这些程序相对于所用存储器的尺寸。因此，一个单个插板能够同时含有多个应用程序，它们由一个外部输入进行选择。这里所说明的装入应用程序的技术是合乎需要的，虽然其他的技术同样可以使用。并且，精通有关技术的人们将会知道，某些特点，如产生和下装应用程序的方法，可以与这里所做的说明有所不同。因此上述说明应该看成仅仅是本发明优选装置的说明，而不是一个限制，本发明的范围完全由附加的权利要求所规定。

Claims (2)

1、一个可选择地连接到一个外部设备的轻便插板，用来在它们之间接收和发送信息，所述插板包括一个用来可选择地将所述插板连接到所述外部设备的接触器基片，包括一个装配在所述基片上并与所述接触器电连接的处理器，及包括一个可变存储器，上述轻便插板其特征在于包括：

用来敏感来自所述外部设备的一个控制信号的装置；

用来根据所述控制信号将一个特定数据序列写入到所述可变存储器的预定部分的装置；

用来当在特定数据序列写入之后的一段预定时间终止时擦去所述的特定数据序列的装置；及

用来根据所述控制信号且仅当所述特定数据序列出现在所述预定部分时允许把一个应用程序装入到所述可变存储器的装置；

因此只有当在所述一段预定时间内接收到两个控制信号时才允许装入所述应用程序。

2、根据权利要求1所述的轻便插板，其特征在于：所述控制信号是一个在预定线上的复位信号。