CN101523417A - 电子金融事务处理卡和方法 - Google Patents

Abstract

在示例性实施例中，提供了伙伴处理器系统，它使安全处理器与通用处理器配对。安全处理器例如可包括信号端口、电源端口和接地端口。通用处理器例如当它希望经由信号端口与安全处理器通信时，通过把至少一个电源和接地分别直接或间接施加到安全处理器的电源端口和接地端口而给安全处理器供电。在另一个示例性实施例中，公开了一种用于提供安全事务处理的方法，包括：利用通用处理器检测所需要的事务处理启动的输入；在通用处理器的指示下给安全处理器供电；以及在通用处理器与安全处理器之间进行通信，以提供至少一项安全事务处理。

Description

电子金融事务处理卡和方法

技术领域

本发明总的涉及电子安全性，更具体地，涉及安全的电子事务处理卡，诸如智能卡。

背景技术

有许多用于电子安全性的应用。例如，对于金融事务处理或对于提供对各种物理和非物理资源的访问，希望或需要安全性。对于电子安全性的很关心的一个领域是例如信用卡和借记卡的金融事务处理卡领域。

传统的信用卡、借记卡和其它金融事务处理卡(此后称为“事务处理卡”)具有典型的塑料卡体，在其上压纹印刷16位数字帐号和其它数据。在卡的背面附着有磁条，通常称为“带条”，它也包括帐号和其它数据。带条允许事务处理卡由此后称为“传统读卡器”的读卡器读出。

传统的事务处理卡有许多安全性问题。其一，带条是静态的，以及没有被加密，允许事务处理卡窃贼在虚拟的意义上从带条中“偷盗”数据，并把该数据用于未授权的事务处理。另外，被偷窃的传统的卡可以被窃贼自由使用，直到它被注销为止。

除了缺乏安全性以外，传统的事务处理卡在存储容量方面也是相当有限的。为了解决这个问题，开发了“智能卡”，即，包括卡上处理器和数字存储器的事务处理卡。通过提供卡上处理器和数字存储器，事务处理卡可以实施诸如加密的安全协议、存储用户信息等等。

用于智能卡的通用标准被称为ISO 7816标准，由于这个协议，智能卡配备有电接口，该电接口包括多个被耦合到嵌入的安全处理器的导电的和外部可接近的接触片。智能卡被插入到智能卡读卡器，后者与接触片产生电接触，以便给安全处理器提供电源，并与安全处理器进行通信。智能卡也可包括一个以任何方式与安全处理器互动的传统的带条。

智能卡虽然在国外被广泛采用，但在美国没有被广泛采用。其主要原因是数百万商人在传统读卡器上进行了投资，这些读卡器不能与智能卡的安全处理器通信。另外，遵从ISO 7816标准的智能卡受到它们本身的限制，包括严重地受限制的IO、不具备给传统读卡器提供智能事务处理的能力，等等。

第三种方案尚未投入使用，该方案使用与传统读卡器一起工作的通用处理器和带条仿真器。正如这里使用的，术语“带条仿真器”涉及到一种其中被发送到传统读卡器的数据可以在通用处理器的控制下改变的事务处理卡。第三种方案在这里将被称为“仿真器卡”。

仿真器卡比起传统的信用卡潜在地具有多种卓越的优点。其一，单个卡可以仿真多个不同的事务处理卡，从而大大地减小它在人们钱包中的笨重性。例如，仿真卡可以仿真Visa卡、Master卡、和ATM卡。另外，由于仿真器卡包括处理器，因而有可能实现附加的功能，诸如安全功能。

然而，仿真器卡也具有它们的局限性。其一，由于使用通用处理器，卡的安全度被降低。例如，黑客可以潜在地得到被存储在非安全的电子存储器中的数据。另外，仿真器卡没有遵从智能卡协议，因为它们被设计成与传统读卡器一起工作。例如，对于传统的信用卡，数据从仿真器卡流到传统读卡器，以及反之亦然。再者，可以由仿真器卡提供的信息限于传统的带条可以保存的和传统读卡器可以读的信息总量。

通过阅读以下的说明和研究附图中的一些图，现有技术的这些和其它局限对于本领域技术人员将变得很明显。

发明公开内容

本发明的目的是通过提供安全处理器和伙伴处理器的组合，从而提供增强的电子安全性。一个更特定的目的是使用这种新颖的组合来解决现有技术金融事务处理卡的局限性。再一个更特定的目的是提供具有增强的IO能力的智能卡。又一个更特定的目的是为仿真器卡提供增强的安全性能力。

在一个实施例中，增强的智能卡包括卡体、安全处理器和通用处理器。卡体可以配备外部可接近的卡接口，卡接口包括信号端口、电源端口、和接地端口。安全处理器由卡体承载，以及被耦合到信号端口、电源端口、和接地端口。通用处理器也由卡体承载，通用处理器被耦合到电源、用来给安全处理器提供电源以及当安全处理器被使用在增强的智能卡模式时与安全处理器通信。

在示例性实施例中，安全处理器是遵从ISO 7816标准的智能芯片处理器。在其它实施例中，安全处理器遵从其它标准，或在特性上是专用的。在另一个示例性实施例中，通用处理器具有多个IT端口。这些端口可以提供用于诸如显示器、开关和带条仿真器那样的设备的I/O。

在另一个实施例中，安全事务处理卡包括一个承载安全处理器、带条仿真器和通用处理器的卡体。通用处理器被插入在安全处理器与带条仿真器之间，以使得在带条仿真器与安全处理器之间没有直接连接。

在一个实施例中，通用处理器有选择地给安全处理器供电。例如，通用处理器可以直接给安全处理器供电，或可以使源处理器被供电。在替换实施例中，安全处理器是遵从ISO 7816的。在另一个替换实施例中，安全事务处理卡可以配备诸如开关或键板的输入端以及诸如LED和平板显示器的输出端。

在除了事务处理卡安全应用以外的通常适合电子安全应用的另一个实施例中，提供了伙伴处理器系统。伙伴处理器系统把安全处理器与通用处理器配对。安全处理器例如可包括信号端口、电源端口、和接地端口。在本例中，当通用处理器希望经由信号端口与安全处理器通信时，它被用来通过把至少一个电源和接地分别直接或间接地施加到电源端口和接地端口从而给安全处理器供电。

在除了事务处理卡安全应用以外的通常适合电子安全应用的另一个实施例中，公开了用于提供安全事务处理的方法。作为例子而不是限制的该方法包括：利用通用处理器检测所需要的事务处理启动的输入；在通用处理器的指示下给安全处理器供电；以及在通用处理器与安全处理器之间进行通信，以提供至少一项安全事务处理。

通过阅读以下的说明和研究附图中的一些图，这些和其它目的与优点对于本领域技术人员将变得很明显。

附图说明

现在参照附图描述一些示例性实施例，其中相同的部件被提供以相同的标号。这些示例性实施例是打算用来说明而不是限制本发明。附图包括以下的图：

图1是示例性事务处理卡的俯视图；

图2是图1的示例性事务处理卡的底视图；

图3是用于图1和2所示的事务处理卡的示例性电路的框图；

图4是图3的示例性安全处理器的框图；

图5是运行在图3的安全处理器上的示例性主处理的流程图；

图6是图5的示例性操作116“操控智能卡终端”的流程图；

图7是图6的示例性操作128“处理命令”的流程图；

图8是图7的示例性操作132“得到数据-序列号”的流程图；

图9是图7的示例性操作134“得到数据-密钥ID”的流程图；

图10是图7的示例性操作136“得到质询”的流程图；

图11是图7的示例性操作138“外部鉴权”的流程图；

图12是图7的示例性操作140“得到数据-个性化”的流程图；

图13是图7的示例性操作142“安置数据-EEPROM固件”的流程图；

图14是图7的示例性操作144“安置数据-激活的EEPROM固件”的流程图；

图15是图7的示例性操作146“安置数据-把固件复位到ROM版本”的流程图；

图16是图7的示例性操作148“得到数据-ROM固件”的流程图；

图17是图7的示例性操作150“得到数据-EEPROM固件版本”的流程图；

图18是图7的示例性操作152“安置数据-初始化不同的密钥”的流程图；

图19是图7的示例性操作154的“安置数据-个性化”的流程图；

图20是图7的示例性操作156“安置数据-使能”的流程图；

图21是图5的示例性操作118“操控M2”的流程图；

图22是图3的通用处理器的示例性和高度简化的框图；

图23是显示图3的通用处理器的主处理的例子的流程图；

图24是图23的示例性操作372“初始化助手芯片状态”的流程图；

图25是图24的示例性操作384“菜单状态”的流程图；

图26是图25的示例性操作410“初始化智能芯片状态”的流程图；

图27是图26的示例性操作476“数据状态”的流程图；

图28是图27的示例性操作516“激活状态”的流程图；

图29是图28的示例性操作540“关闭状态”以及图28的操作490的流程图；

图30是也称为图27操作490“错误状态”的图26的示例性操作420“错误状态”的流程图；

图31是图26的示例性操作438“BIST状态”的流程图；

图32是用于信号变换的示例性处理的框图；

图33是图3的示例性广播器68的图；

图34是示例性广播器68接口的图；

图35是显示示例性信号变换的的各种波形的图；

图36是示例性ASIC实施例的框图；

图37是缓存电路66的示例性RC网络的示意图；

图38是由示例性缓存电路66生成的波形的曲线图；以及

图39A-39D是由示例性缓存电路66生成的双轨迹波形的曲线图。

实现本发明的最佳模式

正如指出的，有许多用于增强的电子安全性的应用。这许多应用之一是为金融事务处理提供安全性，这些金融事务处理例如是使用诸如信用卡和借记卡那样的事务处理卡的金融事务处理。在以下的示例性实施例中，特别强调事务处理卡安全性，而理解对于增强的电子安全性其它使用也在本发明的真实精神和范围内。

图1是事务处理卡10的示例性实施例，事务处理卡10包括卡体11，后者在示例性实施例中典型地包括热塑材料；也可以预期为其它材料。这种非限制性例子的事务处理卡10具有配备了电子接口16的正面12。所显示的电子接口包括优选地按遵循国际标准组织“智能卡”标准ISO 7816的结构而形成的多个接触片，该标准在此引用以供参考。在这个示例性实施例中，事务处理卡可用作为传统模式智能卡。在替换的示例性实施例中，接口16可以省略。在正面12上还显示机构标识符18、机构号20、帐号22和客户名字24。帐号优选地压纹刻印在事务处理卡10上，以便提供用于信用卡压印机的凸起的数字。

图2显示示例性事务处理卡10的背面14。在本示例性实施例中，磁条仿真器26被提供在背面14上，它可以与现有技术的传统磁条阅读器通信。卡背面14也可以具有一个接通/关断按钮28、“接通”指示器30和“关断”指示器32。在本示例性实施例中，“接通”指示器30可以是绿色LED和“关断”指示器32可以是红色LED。设置在卡背面14上的还有多个记帐接口34。每个记帐接口34优选地具有记帐指示器LED 36和记帐选择器开关38。每个记帐接口34还可以具有例如用于标识记帐和到期日期的打印出的信息。在本例中，背面14还具有指令40、机构标识符41、签名框42、和各种其它任选的打印出的信息。

图3是作为例子而不是限制而给出的事务处理卡10的示例性电路的实施例的框图。在本例中，事务处理卡10包括安全处理器44、通用处理器52和磁条仿真器64。在本实施例中，安全处理器44和通用处理器52通过总线48被耦合到ISO 7816接口16。

安全处理器44优选地是市面上可以购买的智能卡芯片，它具有各种防篡改特性，诸如安全加密功能和防篡改存储装置46。作为例子给出而不是限制的安全处理器44的示例性实施例是由德国的Philips制造的P8WE6032处理器。类似的器件是由Hitachi，Infineon，Toshiba，ST等制造的。正如以前指出，在本例中，安全处理器44经由总线48被电连接到接口16。所以这个总线优选地是遵循ISO 7816的。

在本例中，通用处理器52也被连接到总线48，并且从而连接到安全处理器44和接口16。另外，在本例中，通用处理器52通过I/O2线50被耦合到安全处理器44。在当前的示例性实施例中，存储器54被耦合到通用处理器52。在本例中，通用处理器52还被耦合到电源56、显示器58、开关60和其它I/O 62。电源56优选地是设置在卡体10内的电池。替换的示例性实施例包括可作为主电池(非可充电的)工作的电池和作为辅助电池(可充电的)工作的电池。示例性可充电电池例如可以通过电接口16或通过磁感应、太阳能电池、另外的电连接器或其它装置进行充电。这些示例性实施例是作为例子而不是限制而给出的。其它替换的电源对于本领域技术人员将是明显的。

通用处理器52例如可以是PIC微控制器。在替换实施例中，通用处理器52可包括ASIC芯片。在又一个实施例中，通用处理器可以是任何执行所需要的功能的逻辑(例如，状态机)的形式。

显示器58例如可以是LED器件，正如以前公开的。作为另一个非限制性例子，显示器58可以包括柔性的LSD显示器。开关60可以是任何形式的电子开关，以便允许去设定通用处理器52和相关的I/O设备的操作。处理器52可以提供有关这样的开关的软件去抖动算法。其它I/O62可包括任何数目的替换的I/O子系统。作为例子而不是限制，这些I/O子系统可包括音频、触觉、RF、IR、光学、键盘、生物计量I/O或其它I/O。

还被耦合到通用处理器52的是磁条仿真器64，它允许卡体10在一个用于仿真现有技术的磁条卡的模式下使用。在这个非限制例子中，磁条仿真器64包括缓存电路66，它把来自通用处理器52的数字输出变换成适合于磁条仿真的波形。在本示例性实施例中，缓存电路66包括RC信号变换电路，它典型地被实现为RC网络。RC网络对于本领域技术人员是熟知的。

在本例中，磁条仿真器64还包括广播器68。广播器68可以被电耦合到缓存电路66，并且优选地接收二个轨迹信号，这些信号被广播器68变换成用于磁条仿真的磁脉冲。替换实施例包括单轨迹实施例，以及三条或多条轨迹。广播器68可包括用于把电信号变换成磁脉冲的一个或多个电线圈。本例的广播器68还可包括被电耦合到通用处理器52的一个或多个传感器70。这些传感器被使用来通知通用处理器52：通过传统的读卡器击打卡体10的物理动作已经开始。传感器70当与磁条读出器72失去联系时也通知通用处理器72，磁条读出器72接收和解译来自广播器的磁通脉冲。

正如前面指出的，本例的事务处理卡10包括电接口16。在本例中，电连接器16以遵循ISO 7816的方式用来与ISO 7816读出器设备74通信。

当在传统智能卡模式下被使用时，安全处理器44由智能卡读出器设备74通过总线48进行供电。读出器设备74可利用包括(作为例子而不是限制的)固件代码、帐号、加密密钥、PIN号等的各种信息来对安全处理器44进行编程和个性化处理。这个信息一旦被装载到安全处理器44，就使得安全处理器44准备好用于一种不再需要使用读出器设备74的工作模式。

在这种“独立的”模式下，安全处理器44与通用处理器52通信，并且提供诸如加密功能那样的服务以及鉴权信息的动态生成，该鉴权信息被使用来经由通用处理器52和磁条仿真器64与磁通读出器72通信。另外，在本例中，对于单次事务处理鉴权代码仅可被使用一次。后面的事务处理需要生成新的鉴权代码。

在替换实施例中，卡体10继续与读出器设备74一起使用，以及也与磁条读出器设备72一起使用。在这个替换实施例中，卡检测它正在被使用时的模式以及自动切换总线48的用途以适合于所检测到的工作模式。这是在任选的总线仲裁器76中实现的。任选的总线仲裁器76可以检测它在何时由于电源由读出器设备74经由电连接器16提供到总线48从而能与读出器设备74一起使用。同样地，任选的总线仲裁器76可以检测到电源正在由通用处理器52提供，并且切换到一个对通用处理器52和被连接到它的各种I/O设备进行管理的相应的工作模式。在再一个替换实施例中，任选的总线仲裁器76允许通用处理器52和安全处理器44互相动态通信以及分别与读出器设备74动态通信。这需要总线仲裁逻辑，它是对于本领域技术人员熟知的。在另一个替换实施例中，通用处理器52被插入在安全处理器44与电连接器16之间。在这个替换实施例中，通用处理器52被用作为安全处理器44的“中间人”或“前端”。

图4更详细地显示图3的示例性安全处理器44。这个例子的安全处理器44是遵循ISO 7816的微控制器，它包括电源设备78、安全传感器80、复位生成器82、时钟输入滤波器84、CPU 86、中断系统88、和内部总线90。被耦合到内部总线90的是防篡改存储装置46，它可包括RAM91、EEPROM 93或这二者。在优选实施例中，RAM 91和EEPROM 93被耦合到内部总线90。被耦合到总线90的还有用于操控加密和解密的密码处理器92。被耦合到总线90的还有：定时器94和ROM 96，后者被使用来存储对于安全处理器44运行所必须的固件；以及UART 98，它被使用来经由总线48和电连接器16与读出器设备102进行串行通信。被连接到总线90的还有I/O子系统100和随机数生成器102。如上所述的安全处理器是可以从包括Philips、Hitachi、Infineon、Toshiba、ST等的各种源购买到的。在所公开的示例性实施例中使用的适合的安全处理器44是由德国的Philips制造的型号P8WE6032处理器。

作为例子而不是限制，图5显示由安全处理器44实施的主处理过程。这个主处理过程例如可被编码到ROM 96或安全处理器441的EEPROM 93。处理过程从操作110开始，该操作把控制传送到操作112，在其中安全处理器44的电源被通用处理器52或读出器设备74接通。正如这里使用的，“操作”是由处理器执行的规定的动作。然后，在操作114，安全处理器44检测它的工作模式，并转移到用于被检测的模式的适当的处理程序。一个工作模式操控读出器设备74的操作。操作116把控制传递到操控这个工作模式的处理程序。操作118把控制传送到用于操控与通用处理器52通信的处理程序。操作120操控其它工作模式。例如，这个处理程序可以操控一个涉及安全处理器44和通用处理器52互相合作地通信以及分别与读出器设备74通信的工作模式。这个替换实施例作为例子而不是限制地被给出。一旦通信被操控，就在操作122关断电源以完成处理过程。

图6作为例子更详细地显示图5的操作116的一个实施例。处理过程从操作123开始，并且在操作124继续下去，在这里安全处理器44发送被称为“对复位的回答”的信号，它表明安全处理器44正处于在线和准备好优选地经由利用UART 98的异步串行通信来进行通信。然后，在操作126，安全处理器44等待接收命令。如果没有接收到命令，则它将继续等待。在一个替换的实施例，这个等待时期可用来执行后台中的某些计算任务，诸如基于伪随机序列的鉴权码生成。当接收到命令时，则控制被传递到用于处理该命令的操作128。一旦命令被处理，控制就传回到操作126，在此等待另一个命令。命令以上述的方式被处理，直至通过关断电源来使这个处理过程中断为止。

图7更详细地显示图6的示例性操作128。处理过程从操作129开始，它把控制传送到转移操作130。操作130把控制传递到用于可被接收到的各种消息的几个处理程序之一。操作130把控制传送到图7所示的唯一的处理程序。

选择转移到哪个处理程序，是通过检查所接收的消息而确定的。在优选实施例中，所接收的消息包含一个用于识别要被使用的处理程序的选择器代码。操作132是一个用于处理消息“得到数据-序列号”的处理程序。操作134操控被一个称为“得到数据-密钥ID”的命令。操作136是一个用于处理消息“得到质询”的处理程序。操作138是用于“外部鉴权”的处理程序。操作140是用于“得到数据-个性化”的处理程序。操作142是用于“安置数据-EEPROM固件”的处理程序。操作144是用于“安置数据-启动EEPROM固件”的处理程序。操作146是用于“安置数据-把固件复位到ROM版本”的处理程序。操作148是用于“得到数据-ROM固件版本”的处理程序。操作150是用于“得到数据-EEPROM固件版本”的处理程序。操作152是用于“安置数据-初始化不同的密钥”的处理程序。操作154是用于“安置数据-个性化”的处理程序。操作156是用于“安置数据-使能”的处理程序。操作158是用于“其他”的处理程序。

操作158被显示为表示人们希望引入任何附加处理程序以便增强与安全处理器44的通信或增强安全处理器44的内部处理过程。这样的命令的一个例子是启动后台任务来执行在后台中的鉴权码生成。这样的命令的另一个例子是自破坏命令，它使得卡成为不能使用。本实施例被使用于显然已发生欺诈行为的情形。给出这些实施例是作为例子而不是作为限制。

图8更详细地显示图7的示例性操作132。这个处理过程的目的是允许从安全处理器44检索唯一的序列号。处理过程从操作162开始，控制传送到操作164，它检索被存储在安全处理器44和它的相关联的存储装置内的唯一的序列号。在一个实施例中，这个序列号被编码到EEPROM 93中。在另一个实施例中，序列号被编码到ROM 96中。一旦唯一的序列号被检索，控制就传送到操作166，它对包含序列号的消息进行格式化。控制然后传送到操作168，它把消息返送回请求它的源。应当指出，这个信息可被加密或不被加密，这两种实施例都是预期的。处理过程在操作170完成。

图9更详细地显示图7的示例性操作134。处理过程从操作172开始，控制传送到操作174，它从安全处理器44和它的相关联的存储装置检索密钥ID。控制传送到操作176，它对包含密钥ID的消息进行格式化。该消息然后在操作178发送。整个消息或部分消息被加密。处理过程在操作180完成。

图10更详细地显示图7的示例性操作136。处理过程从操作182开始；控制传送到操作184，它通过使用随机数生成器110来生成随机数。这个随机数被用作为与图7的操作138相关的鉴权序列的一部分。随机数被存储在安全处理器44和它的相关联的存储装置中，优选地存储在RAM 91中。此后，在鉴权期间，这个数被调用，并且与外部生成的消息相比较。当随机数在操作186被存储后，控制传送到操作188，它对包含随机数的消息进行格式化。在操作190，这个随机数被发回到请求它的客户。处理过程在操作192完成。

图11更详细地显示图7的示例性操作138。处理过程从操作194开始。操作196访问在来自客户的进入的消息中的询问响应参数。质询响应参数表示客户以加密形式复制它以前接收的随机数的试图。控制然后进到操作198，它比较质询响应参数与以前存储的随机数。如果这两个数一致，它意味着，客户以加密形式成功地复制这个数，并在向安全处理器44鉴权其自身的过程中，把它返回到安全处理器44。如果质询消息是正确的，控制传送到操作200，它在安全处理器44(优选地在RAM94)中设置一个解锁状态。一旦解锁状态被设置，需要鉴权的随后的命令就能够检测到鉴权已发生。安全处理器44的任何以后的复位或电源循环把芯片复位到锁定状态，从而需要客户重新鉴权。在操作200设置解锁状态后，控制进到操作202，它对一个指示安全处理器44的状态以及本处理过程的状态的消息进行格式化。这个消息然后在操作204被发送，以及处理过程在操作206完成。如果在操作198中质询响应是错误的，则控制进到操作208，它对指示故障的消息进行格式化。这个消息随后在操作204被发送到客户，以及处理过程在操作206结束。

图12更详细地显示图7的示例性操作140。处理过程从操作210开始；控制传送到操作212，它确定安全处理器44是否被锁定。安全处理器44仅当以前的鉴权在现在的通信对话期间是成功的时候才被解锁。如果安全处理器44被解锁，控制进到操作214，它访问在进入的消息中规定要访问的帐户的参数。控制传送到操作216，它检索用于规定的帐户的个性化数据。从与安全处理器44相关联的存储器中检索该数据。在操作218，包含被请求的加密的帐户数据的的消息被格式化。这个帐户数据与在该消息中规定的帐户有关。这个加密的帐户数据然后在操作220被发送到客户。处理过程于是在操作222完成。如果在操作212发现安全处理器44被锁定，则控制传送到操作224，它对规定安全处理器44被锁定的消息进行格式化，并发送该消息，并且因此拒绝提供请求的信息。控制然后进到操作222，它完成处理过程。

图13更详细地显示图7的示例性操作142。处理过程从操作226开始，控制然后传送到操作228，它确定安全处理器44是否被锁定。如果安全处理器44没有被锁定，则控制传送到操作230，它确定安全处理器44对于要被更新的固件是否处在适当的状态。如果安全处理器44对于要被更新的固件是处在适当的状态，则控制传送到操作232，它验证进入的固件更新的数据长度是否正确的。如果在操作232确定该数据长度是正确的，则控制传送到操作234，它检查在消息中用于识别在EEPROM91的固件中要被更新的地址的参数。如果在一个适合于存储固件更新的地址的范围中找到该地址，则控制传送到操作236，它用来自该消息的数据去更新EEPROM 91中规定的地址处的固件。然后控制传送到操作238，它对一个指示安全处理器44和现在的处理过程的状态的消息进行格式化，并发送到客户。然后控制传送到操作240，它完成处理过程。如果在操作228确定安全处理器44被锁定，则控制传送到操作242，它对一个指示故障和故障原因的消息进行格式化并且发送到客户。类似地，如果在操作230发现，对于要被更新的固件，安全处理器44不是处在适当的状态，则控制传送到操作242，它通知出错。类似地，如果在操作232发现数据长度是不正确的，则控制传送到操作242，它通过对一个包含错误状态信息的消息进行格式化和发送该消息而通知出错。最后，如果在操作234发现用于固件更新的地址是不适当的，则控制传送到操作242，它通知出错。一旦在操作242通知出错，控制就传送到操作240，并且处理过程被完成。

图14更详细地显示图7的示例性操作144。处理过程从操作244开始；控制传送到操作246，它确定安全处理器44是否处在锁定条件。如果确定安全处理器44没有被锁定，则控制传送到操作248，它设置安全处理器44的内部状态，以指示已被装载到EEPROM 93的软件应当在下一次复位后被执行。这允许安全处理器44从它自动执行被存储在ROM96中的固件的状态转移到它正在执行已被装载到EEPROM 93中的固件的状态。在操作250，一个指示安全处理器44和现在的处理过程的状态的消息被格式化并且被发送到客户。处理过程于是在操作252完成。如果在操作246确定安全处理器44处在锁定条件，则控制传送到操作254，它对一个指示现在的处理过程的故障和故障原因的消息进行格式化并把它发送到客户。控制然后传送到操作252，它结束处理过程。

图15更详细地显示图7的示例性操作146。处理过程从操作256开始；控制传送到操作258，它确定安全处理器44是否处在锁定条件。如果在操作258确定安全处理器44没有处在锁定条件，则控制传送到操作260，它设置安全处理器44的内部状态，以指示在ROM 96中的固件应当在下一个复位后被执行。这允许安全处理器44转移到一个状态，在该状态中它执行在ROM 96中存储的固件，该ROM 96已知要被用来存储安全处理器44的原先的固件。控制然后传送到操作262，它通知安全处理器44的状态以及现在的处理过程的状态。这个状态消息被格式化和被发送到客户。处理过程然后在操作264终结。如果在操作258，确定安全处理器44处在锁定条件，则控制传送到操作266，它对一个指示故障和故障原因的消息进行格式化并把它发送到客户。

图16更详细地显示图7的示例性操作148。处理过程从操作268开始，控制传送到操作270，它从ROM 96检索被存储在ROM 96中的信息的版本号。控制然后传送到操作272，它对包含ROM 96版本号的消息进行格式化。优选地，这个消息具有未加密的形式。操作274然后把该消息发送到客户，以及处理过程在操作276终结。在替换实施例中，这个信息被加密。

图17更详细地显示图7的示例性操作150。处理过程从操作278开始；控制传送到操作280，它检索EEPROM 93的固件版本。这个信息优选地被存储在EEPROM 93。控制然后传送到操作282，它对包含EEPROM 93固件版本的消息进行格式化。优选地，这个版本信息具有未加密的形式。控制然后传送到操作284，它把消息发送到客户。处理过程然后在操作286终结。在替换实施例中，这个信息被加密。

在图18上，更详细地说明图7的示例性操作152。处理过程152从288开始，在判决操作290，确定它是否被锁定。如果它被锁定，则操作292通过对包含错误状态信息的消息进行格式化并把它发送到客户，从而通知出错，以及处理过程在294完成。如果判决操作290确定它没有被锁定，则操作296访问一个包含卡差异输送密钥(CDTK)的参数，它必须被解密，因为它是由客户使用安全处理器44的输送密钥以加密形式发送的。接着，在操作298，处理过程用特定的数值更新该内部CDTK。接着，在操作300，一个指示安全处理器44和现在的处理过程的状态的消息被格式化。该消息然后在操作302被发送，以及处理过程152在294完成。

在图19上，更详细地说明图7的示例性操作154安置数据-个性化。处理过程154从304开始，在判决操作306，确定它是否被锁定。如果它被锁定，则操作308通过对一个指示错误状态的消息进行格式化并把它发送到客户而通知出错，以及处理过程154在310完成。如果判决操作306确定它没有被锁定，则操作312解密和更新在消息中规定的被存储在EEPROM中的个性化数据。接着，在操作314，一个指示安全处理器44和现在的处理过程的状态的消息被格式化。最后，在操作316，消息被发送，以及处理过程154在310完成。

图20更详细地描述图7的操作156的示例性处理过程。处理过程从操作318开始；控制然后传送到判决操作320，它确定安全处理器44是否处在锁定条件。如果安全处理器44被锁定，则控制传送到操作322，它对一个包含错误信息的消息进行格式化，并把它发送到客户。控制然后进到操作324，它终结处理过程。如果在操作320，确定安全处理器44没有被锁定，则控制传送到操作326，它设置安全处理器44的内部状态，以便指示该卡能启用于正常操作。在优选实施例中，这个内部状态被存储在EEPROM 93。控制然后进到操作328，它对一个指示安全处理器44和现在的处理过程的状态的消息进行格式化。该消息然后在操作340被发送。处理过程然后在操作324结束。

图21更详细地描述图5的操作118的示例性处理过程。处理过程从操作342开始；控制然后传送到操作344，它发送“我在这里”消息到通用处理器52。这时，安全处理器44开始侦听从客户发送到通用处理器52的命令。这是在操作346进行操控的。然后，在判决操作348，确定是否接收到请求。如果没有，则控制被传回到操作346。

如果接收到来自客户的请求，则控制传送到操作350。在操作350，对于一个被使用来传递消息到适当的处理程序的选择器代码，检查进入的请求或命令。一个这样的处理程序是操作352，它检索在命令中规定的帐户数据，以及把它返回到客户。另一个这样的处理程序是操作354，它检索用于安全处理器44的配置数据，以及把它返回到客户。操作356可被使用来操控在通用处理器52与安全处理器44之间的任何其它种类的通信。作为例子而不是限制，这个命令可被使用来允许通用处理器访问在安全处理器44上的随机数生成器102。类似地，这样的处理程序可被设置来提供访问对于保护诸如密码处理器92那样的处理器的独特的其它功能。步骤352，354和356当被完成时使得控制返回到操作346，该操作侦听一个随后的命令。这个处理过程继续进行，直至电源被中断为止。

在替换实施例中，一个不同于电源中断事件的外部事件将会使得现在的处理过程的环路终结。应当指出，在通用处理器52与安全处理器44之间的通信可以任选地使用诸如辅助连接头50那样的附加连接。这种通信的一个示例性实施例与辅助连接器50一致地使用在总线48上的一条通信线路，以建立在通用处理器52与安全处理器44之间的同步串行通信。这在通用处理器52不具有用于异步串行通信的UART时是特别有用的。辅助连接器50和总线48的I/O通信线路可以以各种各样的方式实现异步通信。在一个示例性实施例中，两个处理器52和44之一将发送消息到另一个处理器，后者使用两条通信线路之一通过所述通信线路的状态从1到0或从0到1的过渡而通知每个比特的接收。

图22是图3的通用处理器52的示例性和高度简化的框图。通用处理器52包括CPU 358、总线360、I/O子系统362、ROM 364、SRAM 366、和EEPROM 368。I/O子系统362驱动显示器、开关60、其它I/O 62、和与磁条仿真器64之间的接口，它发送信号数据到广播器和接收来自广播器的传感器数据。开关60包括图2的接通/关断按钮28和帐户选择器38。

作为例子而不是限制，图23显示通用处理器52的主处理过程。当接通/关断按钮28被按压时，通用处理器52一开始处在关断状态。当接通/关断按钮28被释放时，控制从操作370传送到操作372。如果接通/关断按钮28保持按压的时间段超过某个阈值，则通用处理器52把控制传送到操作374，它使得接通指示器30和关断指示器32同时闪烁两次。控制然后传送到操作370。在接通/关断按钮28被按压的时刻，通用处理器52接收电源，这样，它可以执行这些操作。如果接通/关断按钮28没有被释放，则接通指示器30和关断指示器32继续同时每两秒闪烁两次，直至接通/关断按钮28被释放为止。

图24更详细地显示图23的操作372的示例性处理过程。处理过程从操作376开始，并且继续进到操作378，它使得通用处理器52初始化。然后，在判决操作380，确定在所述初始化期间是否出现错误。如果没有出现错误，则控制进到操作382，它使得接通指示器30闪烁两次，控制然后进到操作384，它进入菜单状态。如果在操作380已确定出现错误，则控制进到操作386，它把错误码设置为1，并使得关断指示器32闪烁三次。在以后的操作388，控制然后进到操作390，它进入错误状态。

图25更详细地显示图24的示例性操作384。处理过程从操作392开始，它区分由外部引发的多个不同的事件。

例如，如果接通/关断按钮28被释放或一个超时阈值已经被超过，则控制传送到操作394，它使得关断指示器32闪烁两次。控制然后传送到操作396，它进入关断状态。另一方面，如果在操作392，已确定帐户按钮1被按压，则控制进到操作398，它使得用于帐户1的指示器36闪烁一次。控制然后进到操作400，它设置内部帐户缓存器为1，以指示用于帐户1的数据以后要被接入。

类似地，如果在操作392已确定用于帐户号2的帐户选择器被按压，则控制传送到操作402，它使得用于帐户2的帐户指示器36闪烁一次。控制然后传送到操作404，它设置内部帐户缓存器为2以指示以后的帐户活动应当是与帐户2有关的。同样地，如果在操作392已确定用于帐户3的帐户选择器38被选择，则控制进到操作406，它使得用于帐户3的帐户指示器36闪烁一次，并且控制然后进到操作408，它设置帐户缓存器为3，以指示用于帐户1的数据以后要被访问。控制然后传送到操作410。步骤400和404在完成后也转移到操作410。

如果在操作392已确定检测到电源按钮超时，则控制传送到操作412，它使得接通指示器30和关断指示器32同时闪烁两次。控制然后传回到操作392，它继续监视外部事件。预期在现在的处理过程中可以增添附加事件和事件处理程序，诸如操作414，它例如可检测通过在卡背面14上的按钮的组合而产生的和谐音。这样的和谐音可被使用来例如指令该卡进入诊断模式、或能闪烁各种LED的演示模式、或游戏模式。在另一个实施例中，操作414可以使得卡在一个时间段内是不能使用的或直至输入特别的代码才能使用。例如如果该卡暂时没有被人拥有，这样的实施例可能是有用的。这些各种各样的替换实施例被给出作为例子而不是限制。

图26更详细地显示图25的示例性操作410。处理过程从操作416开始；控制传送到操作418，它接通安全处理器44的电源和执行信息交换，以便验证安全处理器44在正确地运行。在判决操作420，确定在等待完成信息交换时是否到达超时。如果发生超时，则控制传送到操作414，它关断安全处理器44的电源。控制然后传送到操作416，它使得关断指示器32闪烁三次。控制然后传送到操作418，它把错误码设置为9。一旦这个操作完成，控制传送到错误操作420。如果在操作412确定还没有到达超时，控制传送到操作422，它等待来自安全处理器44的“我在这里”消息。然后，在判决操作424，确定在等待“我在这里”消息时，是否到达超时。如果已到达超时，则控制传送到操作426，它关断安全处理器44的电源。控制然后传送到操作428，它使得关断指示器32闪烁三次。然后在操作430，把错误码设置为2，并且然后控制传送到操作420。如果在操作424确定还没有到达超时，则控制传送到判决操作432，它确定一个模式是否被启用或被启用于自测试。如果不是的话，则控制传送到操作434，它关断安全处理器44的电源。控制然后传送到操作436，它使得关断指示器32闪烁三次。控制然后传送到操作438，它进入BIST状态。如果在操作432确定模式被启用或被启用于测试，则控制传送到操作440，它确定是否出现其它错误。如果是的话，则控制传送到操作442，它关断安全处理器44的电源。这时，控制传送到操作444，它使得关断指示器32闪烁三次。然后，控制传送到操作446，它设置错误码。控制然后传送到操作420，它处理错误。如果在操作440确定没有出现其它错误，则控制传送到操作448，它发送一个请求配置参数的消息到安全处理器44。然后，在判决操作450确定是否出现错误。如果是的话，则控制传送到操作452，它关断安全处理器44的电源。控制然后传送到操作454，它使得关断指示器32闪烁三次。控制然后传送到操作456，它设置错误码，以及控制传送到操作420，它处理错误。

如果在操作450确定在发送对配置参数的请求到安全处理器44时没有出现错误，则控制进到操作458，它等待来自安全处理器44的关于操作448的请求的应答。然后，在判决操作460，确定是否到达超时。如果是的话，则控制传送到操作462，它关断安全处理器44的电源。控制然后传送到操作464，它使得关断指示器32闪烁三次。然后，在操作466，错误码被设置为3，以及控制传送到操作420，它处理错误。

如果在操作460确定没有到达超时，则控制传送到判决操作468，它确定是否出现另外的错误。如果出现错误，则控制传送到操作470，它关断安全处理器44的电源。然后，在操作472，使关断指示器32闪烁三次，以及控制传送到操作474，它设置错误控制，并且控制然后传送到操作420，它处理错误。如果在操作468确定没有出现错误，则控制传送到操作476，它进入数据状态。

图27更详细地显示图26的示例性操作476。处理过程从操作478开始；控制然后传送到操作478，它发送“得到用户数据”请求到安全处理器44。然后，在判决操作482，确定在发送该请求时是否出现错误。如果确定出现错误，则控制传送到操作484，它关断安全处理器44的电源。控制然后传送到操作486，它使关断指示器32闪烁三次。然后在操作488设置错误码，以及在操作490，进入处理错误的错误状态。

如果在操作482确定在发送请求时没有出现错误，则控制传送到操作492，它等待对于操作480的请求的应答。然后，在判决操作494，确定在等待来自安全处理器44的应答时是否到达超时。如果确定到达超时，则控制传送到操作496，它关断安全处理器44的电源。控制然后传送到操作498，它使关断指示器32闪烁三次，以及控制传送到操作500，它设置错误码为5，以及控制传送到操作490，它处理错误。

如果在操作494，确定在等待来自安全处理器44的应答时没有到达超时，则操作关断安全处理器44。然后，在判决操作504，确定是否已使用所有的动态鉴权代码。如果是的话，则控制传送到操作506，它使关断指示器32闪烁三次，以及控制传送到操作508，它设置错误码为6，然后进入处理错误的错误状态490。

如果在操作504确定没有还使用所有的动态鉴权代码，则控制传送到判决操作506，它确定是否出现另外的错误。如果是的话，则控制传送到操作508，它使关断指示器32闪烁三次。控制然后传送到操作510，它设置错误码，控制然后传送到操作490，它处理错误。

如果在操作506确定没有出现错误，则控制传送到操作512，它使接通指示器30闪烁两次。然后在操作514，从安全处理器44接收的帐户数据被安置在轨迹2缓存器。然后，控制传送到操作516，它进入激活状态。

图28更详细地显示图27的示例性操作516。处理过程从操作518开始，它检测各种事件和传递它们。如果确定出现闪烁超时，则控制传送到操作520，它闪烁用于所选择的帐户的帐户指示器36一次。然后，在操作522，复位闪烁超时，以及控制返回到操作518。

如果在操作518确定帐户选择器38已被选择，则控制传送到操作524。在判决操作524，确定用于当前选择的帐户的帐户选择器38是否已被选择。如果不是的话，控制返回到操作518。另一方面，如果用于当前所选择的帐户的帐户选择器38被选择，则控制传送到操作526，它接通接通指示器30。然后在操作528，轨迹2数据缓存器，或替换地，来自多个轨迹的数据缓存器的数据被发送到编码器。然后，在操作530，接通指示器30被关断。然后，在操作532，定时器模式被设置为短。然后，在操作534，激活状态定时器被复位，以及控制返回到操作518。如果在操作518，确定击打传感器已被触发，则控制传送到操作526，它处理如先前在以上的操作526的讨论中描述的事件。

如果在操作518，确定已出现工作状态超时或接通/关断按钮28被释放，则控制传送到操作536，它使得关断指示器32闪烁两次。控制然后传送到操作538，它清除轨迹2数据缓存器，然后控制传送到操作540，它进入关断状态。如果在操作518，已出现电源按钮超时，则控制传送到操作542，它使得接通指示器30和关断指示器32同时闪烁两次。控制然后传送到操作518。

图29显示图28的示例性操作540以及图25的示例性操作396。它也描述在图30和31上标记为“A”的处理过程。处理过程从操作544开始；控制传送到操作546，它使得通用处理器52对关断电源作好准备。然后，在操作548，电源被关断。这时，处理过程进到操作550，其中使得卡失去电源功率，直至功率被重新引入为止。

图30更详细地显示图26的示例性操作420以及图75的操作490。处理过程从操作552开始，在出现错误时进入该操作。操作522等待各种事件的出现，以及适当地传递它们。如果帐户指示器36被按压，则控制传送到操作554，该操作忽略按压，以及控制返回到操作552。如果击打传感器被触发，则控制传送到操作556，它使得在卡背面14的各种LED上闪烁一个二进制的错误码。然后，控制进到操作558，它复位闪烁时间间隔超时。然后，控制返回到操作552。如果在操作552确定接通/关断按钮28被释放，则控制传送到操作560，该操作闪烁关断指示器32两次。这时，控制传送到操作562，该操作进入关断状态。如果在操作552确定出现错误状态闪烁时间间隔超时，则控制传送到操作564，该操作闪烁关断指示器32一次，以及控制传送到操作566。在操作566，错误状态计数器被增量，并且控制传送到判决操作568，该操作确定错误状态计数器是否等于20。如果是的话，控制传送到操作562，该操作进入关断状态。如果在判决操作568，确定错误状态计数器不等于20，则控制传送到操作570，该操作复位闪烁时间间隔超时，以及控制返回到操作552。如果在操作552确定出现电源按钮超时，则控制传送到操作572，它使得接通指示器30和关断指示器32同时闪烁两次。

图31更详细地显示图26的示例性操作438。处理过程从操作574开始，它等待各种事件的出现，以及随之传递它们。如果在状态574确定对应于帐户1的帐户选择器38已被选择，则用于帐户1的帐户指示器36连同用于帐户2的帐户指示器36、接通指示器30、关断指示器32一起同时闪烁。这是在操作576完成的。如果在操作574确定用于帐户2的帐户指示器38已被选择，或左击打传感器或右击打传感器已被驱动，则控制传送到操作578，该操作通在卡背面14上所选择的LED以指示版本号。控制然后传送到操作580，该操作利用测试数据驱动轨迹2。在这时，控制传送到操作582，该操作关断所有的LED。然后，在操作584，一个与BIST状态相关联的定时器被复位，以及控制返回到操作574。类似地，在完成操作576后，进到操作584，该操作复位这个定时器，以及控制类似地以后传送到操作574。

如果在操作574确定选择对应于帐户3的帐户选择器38，则在操作586，用于帐户2的帐户指示器36连同用于帐户3的帐户指示器36、接通指示器30、关断指示器32一起同时闪烁一次。控制传送到操作584，它像以前讨论的那样复位定时器，以及控制传送到操作574。如果在操作574确定已有BIST超时或接通/关断按钮28已被释放，则控制进到操作588，该操作闪烁关断指示器32两次。然后，控制传送到操作590，它进入关断状态。如果在操作574确定已出现与接通/关断按钮28相关联的电源按钮超时，则控制传送到操作592，该操作使接通指示器30和关断指示器32同时闪烁两次。这时，控制传送到操作574。

图32显示用于信号变换的示例性处理过程，该信号变换处理用来把通用处理器52的数字方波输出变换成对于驱动广播器68所需要的定制的波形。通用处理器52的数字方波输出被使用来驱动缓存电路66的RC网络，它产生仿真波形作为输出。该输出进而被使用来驱动广播器68，后者产生要被磁条读出器接收的磁脉冲。

图33更详细地显示图3的示例性广播器68。在本示例性实施例中，广播器动态地产生可以由传统的磁条读出器读出的磁信号。输出波形在这里被变换成在广播器68中的反向广播的顺从的磁通量。广播器68包括一个针对它的导磁率以及其它化学上有关的特性而选择的专用材料的芯子。该芯子被由针对它的电而磁特性选择的另一种类型的专用材料组成的多个波形电路结构包围。在这里显示的抵消系统594用于减小被广播的磁场的串扰。这个示例性实施例的优点是在使用多轨迹的情形下减小串扰。广播器还包括传感器70，后者指示事务处理何时开始和事务处理何时结束。在图33显示的示例性实施例中，各种轨迹被标记为“1”和“2”。这个例子不应当被看作为对可以由广播器68广播的轨迹的数目的限制。这些抵消轨迹被标记为用于分别提供对于轨迹1和2的抵消的“1”和“2”。

图34描述由示例性广播器68接口生成的仿真的磁条信号。该图上表示广播器68到用于检测和使用磁通数据的磁条读出器72的时间和空间取向。

图35显示所生成的示例性波形的样本。这些示例性波形仅仅是代表，并且表示通用处理器52的方波输出与缓存器电路66的仿真输出之间的关系。在示例性实施例中，RCCN取得来自通用处理器52的输出并且使用包括它的电容器和电阻的集成电路来变换可由传统的磁条读出器读出的磁通数据。

图36显示一个替换实施例，其中的专用集成电路(ASIC)此后被称为ASIC 596。ASIC 596被使用来代替通用处理器52。在本实施例中，预期ASIC 596包括数字-模拟变换器598。仿真信号被输出到缓存电路66，后者输出F2F信号；不需要RC网络。在一个示例性实施例中，ASIC使用一个用于成形广播的替换装置，它不是通过一个贴近的广播器而是通过一个具有数字-仿真变换器的处理器或通过一个可以由该电路来实现这种波形的处理器。

图37显示一个包括电阻和电容的示例性RC网络。RC网络是对于本领域技术人员熟知的。RC网络的一个示例性实施例允许该贴近的广播器能够发送仿真的或仿真的磁条消息给磁条读出器的读出头。

图38显示示例性广播器68的波形。图上表明用于产生定时的传感器的作用，这种定时对于以正确的时间和空间对准来实施对读出头广播从而使它可以被检测和被使用来关闭金融事务处理是必须的。

图39A到39D显示来自轨迹1和轨迹2的互相重叠的示例性波长。生成这种波形的替换的装置是数字-模拟处理器或如图36所示的电路中的抵消。

虽然通过使用特定的术语和设备描述了各种实施例，但这样的描述仅仅用于说明的目的。所使用的单词是说明性而不是限制性的。应当看到，本领域技术人员可以作出改变和变化而不背离由以下的权利要求阐述的本发明的精神或范围。另外，应当看到，各种其它实施例的方面可以整体地或局部地互换。所以，意图是使权利要求按照本发明的真实的精神和范围进行解译而不受限制或禁止。

工业可应用性

本发明的工业可应用性是用于实施加密协议的安全处理器与用于提供增强的功能和更大的输入/输出能力的伙伴的处理器的组合。当被应用到电子事务处理卡工业时，安全处理器与伙伴的处理器的这种组合例如可以在提供与传统系统的兼容性的同时提供增强的智能卡和仿真器卡功能。

Claims (23)

1.一种增强的智能卡，它包括卡体，该卡体配备有外部可访问的卡接口，该卡接口包括信号端口、电源端口、和接地端口；并且该智能卡还包括由卡体承载的安全处理器，该安全处理器被耦合到信号端口、电源端口、和接地端口，该增强的智能卡的特征在于：

一个由卡体承载的通用处理器，该通用处理器被耦合到电源和用来给安全处理器提供电源以及当安全处理器被使用在增强的智能卡模式时与安全处理器通信。

2.如在权利要求1中引述的增强的智能卡，其中卡体包括塑料材料，以及其中外部可访问的卡接口包括接触片。

3.如在权利要求2中引述的增强的智能卡，其中外部可访问的卡接口还包括一个命令部分和一个时钟端口。

4.如在权利要求2中引述的增强的智能卡，其中外部可访问的卡接口是ISO 7816接口。

5.如在权利要求4中引述的增强的智能卡，其中安全处理器是ISO遵从7816的处理器。

6.如在权利要求5中引述的增强的智能卡，其中通用处理器仿真遵从ISO 7816的读卡器。

7.如在权利要求5中引述的增强的智能卡，其中通用处理器用与遵从ISO 7816的读卡器的通信不完全相同的方式与安全处理器进行通信。

8.如在权利要求1中引述的增强的智能卡，其中通用处理器具有多个I/O端口。

9.如在权利要求1中引述的增强的智能卡，还包括一个由卡体承载和被耦合到通用处理器的至少一个I/O端口的显示器。

10.如在权利要求9中引述的增强的智能卡，其中显示器是视觉显示器、触觉显示器、和听觉显示器中的至少一个。

11.如在权利要求9中引述的增强的智能卡，其中显示器是视觉显示器，以及包括平板显示器和光显示器中的至少一个显示器。

12.如在权利要求8中引述的增强的智能卡，还包括由卡体承载和被耦合到通用处理器的多个I/O端口的至少一个I/O端口的至少一个开关。

13.如在权利要求12中引述的增强的智能卡，其中多个开关被安排为一个键板。

14.如在权利要求8中引述的增强的智能卡，还包括由卡体承载和被耦合到通用处理器的至少一个I/O端口的带条仿真器。

15.如在权利要求14中引述的增强的智能卡，其中带条仿真器包括电磁广播器。

16.如在权利要求15中引述的增强的智能卡，其中带条仿真器还包括用于把电磁广播器耦合到通用处理器的至少一个I/O端口的信号处理器。

17.一种安全事务处理卡，包括卡体和由卡体承载的安全处理器，其特征在于：

由卡体承载的带条仿真器；以及

由卡体承载的通用处理器，它被插入在安全处理器与带条仿真器之间。

18.如在权利要求17中引述的安全事务处理卡，其中通用处理器向安全处理器有选择地供电。

19.如在权利要求18中引述的安全事务处理卡，其中安全处理器是遵从ISO 7816的处理器。

20.如在权利要求17中引述的安全事务处理卡，还包括由卡体承载和被耦合到通用处理器的视觉显示器。

21.如在权利要求20中引述的安全事务处理卡，其中视觉显示器包括平板显示器和至少一个LED中的至少一项。

22.一种伙伴处理器系统，包括：

安全处理器，它具有信号端口、电源端口、和接地端口；以及

通用处理器，当该通用处理器希望经由信号端口与安全处理器通信时能通过把至少一个电源和接地分别施加到电源端口和接地端口而向安全处理器供电。

23.一种用于提供安全事务处理的方法，包括：

利用通用处理器检测所需要的事务处理启动的输入，

在通用处理器的指示下向安全处理器供电；以及

在通用处理器与安全处理器之间进行通信，以提供至少一项安全事务处理。

Images