CN103617440A - 实现多方独立管控的多应用智能卡及其发行方法 - Google Patents

Abstract

本发明公开了一种实现多方独立管控的多应用智能卡及其发行方法，涉及智能卡领域，该多应用智能卡包括智能卡统一管理平台、虚拟机、智能卡操作系统、智能卡芯片和智能卡物理资源管理映射系统，智能卡物理资源管理映射系统用于：提供一种智能卡物理资源映射到逻辑资源区域的安全实现方式，保证逻辑资源区域的所属者独立管控其占用的物理资源：通过静态方式、动态方式或者综合静态与动态这两种形态特征的混合方式，将智能卡的物理资源映射为多个独立的逻辑资源区域。本发明能实现多个发行方相互独立地共存于一张物理卡上，并且具有相互平等的地位，满足各发行方独立控制自身资源的发行需求。

Description

实现多方独立管控的多应用智能卡及其发行方法

技术领域

本发明涉及智能卡领域，具体是涉及一种实现多方独立管控的多应用智能卡及其发行方法。

背景技术

随着智能卡普及，推广一卡多应用多功能已经成为智能卡的发展趋势，例如银行与其他行业包括交通、政企、教育、医疗、公安等联名发卡，不仅避免了有限资源的浪费，同时也为持卡人带来了便利。在现有的Java智能卡技术中，虽然实现了一卡多应用的技术，但其技术特点同时带来了一个弊端，即卡片发行方与应用提供商存在一种主从关系，即卡片发行方是卡片所有资源的独立控制者，应用提供商必须在卡片发行方的授权下才能获得相应资源的管理权限。从安全角度的出发，应用提供商希望自己能够独立控制已方的资源，与卡内的其他供应商拥有平等独立的权利，淡化或消除卡片发行方与应用提供商的区别。在这种情况下，现有的Java智能卡技术已经无法满足这种发行要求。

发明内容

本发明的目的是为了克服上述背景技术的不足，提供一种实现多方独立管控的多应用智能卡及其发行方法，智能卡的物理资源在逻辑层面上被映射为多个相互安全独立的逻辑资源区域，每个应用发行方基于相互安全独立的逻辑资源，在平等独立、互不受控的情况下管理所属逻辑资源区域的数据元素，能够实现多个发行方相互独立地共存于一张物理卡上，并且具有相互平等的地位，满足各发行方独立控制自身资源的发行需求。

本发明提供一种实现多方独立管控的多应用智能卡，包括智能卡统一管理平台、虚拟机、智能卡操作系统和智能卡芯片，其中：

所述智能卡统一管理平台，用于：提供智能卡内容管理的安全策略、安全机制以及具体的管理行为；

所述虚拟机，用于：解释执行应用的字节码；

所述智能卡操作系统，用于：提供与智能卡芯片无关的抽象层功能，包括存储资源的管理、通讯接口以及算法；

所述智能卡芯片，用于：提供物理层面的通讯接口、定时接口、硬件算法接口以及存储介质访问接口；

所述多应用智能卡还包括智能卡物理资源管理映射系统，所述智能卡物理资源管理映射系统，用于：提供一种智能卡物理资源映射到逻辑资源区域的安全实现方式，保证逻辑资源区域的所属者独立管控其占用的物理资源：所述智能卡物理资源管理映射系统通过静态方式、动态方式或者综合静态与动态这两种形态特征的混合方式，将智能卡的物理资源映射为多个独立的逻辑资源区域，不同的应用提供商在智能卡上拥有不同的逻辑资源区域，并且占用每个逻辑资源区域定义的物理资源，每个逻辑资源区域定义自身管控的数据元素，数据元素集合是全球平台组织GP规范定义的所有数据元素或者部分数据元素，每个应用提供商通过激活自身的逻辑资源区域，实现对该逻辑资源区域的数据元素管理操作；多应用智能卡支持存在两个或两个以上的管理密钥，管理密钥包括逻辑通道密钥、主控密钥、智能卡生命周期管理密钥以及安全域管理密钥；多应用智能卡中是否含有共享逻辑资源区域取决于各发行方的发行策略，如果各个发行方只要求密钥独立管控，其他数据元素共享，则存在共享逻辑资源区域；所述共享逻辑资源区域的划分方式为：智能卡的物理资源映射完所有的逻辑资源区域以后，剩下的物理资源全部映射为共享逻辑资源区域；如果各发行方要求所有数据元素都要独立管控，则不存在共享逻辑资源区域；应用提供商只能对自身逻辑资源区域或共享逻辑资源区域的数据元素进行修改、添加、删除管理操作，在上述管理操作过程中所需的物理资源只能从被分配的物理资源中申请，在管理操作过程中释放的物理资源也同样回收到被分配的物理资源中。

在上述技术方案的基础上，所述逻辑资源区域的数据结构定义了以下变量：

isdefaultcard：是否为默认的逻辑资源区域；

isactivate：逻辑资源区域是否被激活；

num：逻辑资源区域编号；

totalsize：逻辑资源区域所占用的EEPROM空间大小；

usesize：逻辑资源区域已经使用的EEPROM空间大小；

RAM totalsize：逻辑资源区域所占用的RAM空间大小；

RAM usesize：逻辑资源区域已经使用的RAM空间大小；

element：逻辑资源区域包含的数据元素集合；

pnext：下一个逻辑资源区域入口地址。

在上述技术方案的基础上，每个逻辑资源区域中的totalsize属性决定了该逻辑资源区域占用的EEPROM大小，usesize属性记录了本逻辑资源区域使用的EEPROM大小；当发行方在进行数据元素的修改、添加以及删除时，如果涉及到EEPROM的申请，申请的EEPROM空间大小为size，则判断usesize+size是否小于等于totalsize，如果是，则申请操作继续，否则申请操作拒绝；如果涉及到EEPROM的释放，释放的EEPROM空间大小为size，则判断usesize是否大于等于size，如果是，则释放操作继续，否则释放操作拒绝；在释放完成之后更新usesize=usesize-size。

在上述技术方案的基础上，每个逻辑资源区域中的RAMtotalsize属性决定了该逻辑资源区域占用的RAM大小，RAM usesize属性记录了本逻辑资源区域使用的RAM大小；当发行方在进行智能卡内容管理时，如果涉及到RAM的申请，申请的RAM空间大小为size，则判断RAM usesize+size是否小于等于RAM totalsize，如果是，则申请操作继续，否则申请操作拒绝；如果涉及到RAM的释放，释放的RAM空间大小为size，则判断RAM usesize是否大于等于size，如果是，则申请操作继续，否则申请操作拒绝，在释放完成之后需要更新RAM usesize=RAM usesize-size。

在上述技术方案的基础上，每个逻辑资源区域定义的isdefaultcard属性用来标识此逻辑资源区域是否为默认的逻辑资源区域，智能卡保证任何时候有且仅有一个默认逻辑资源区域。

在上述技术方案的基础上，每个逻辑资源区域定义的isactivate属性用来标识此逻辑资源区域是否处于激活状态，智能卡保证任何时候有且仅有一个激活的逻辑资源区域；如果智能卡在某一时刻没有被激活的逻辑资源区域，则默认逻辑资源区域被自动设置为激活状态；isactivate属性通过设置状态指令和选择指令来设置。

在上述技术方案的基础上，每个逻辑资源区域中的element属性定义了逻辑资源管控的数据元素集合，集合内的具体内容由各个发行方定义，包括主安全域、辅助安全域、包、应用、管理密钥和智能卡状态等数据元素的所有或部分，根据element属性定义了逻辑资源管控的数据元素集合的不同，各发行方具有的独立管控的操作也不同；如果element包含GP规范定义的所有数据元素，则各发行方拥有了包括包的下载删除、应用的安装删除、辅助安全域的建立删除、管理密钥的更新、添加、删除以及智能卡状态的管理的独立管控权限。

在上述技术方案的基础上，当新的发行方B要购买或租用原发行方A的物理资源时，发行方A从其占用的未使用的物理资源部分动态划分出部分物理资源，分配EEPROM的大小为EESIZE，分配ROM的大小为RAMSIZE，首先判断usesize+EESIZE是否小于等于totalsize，RAM usesize+RAMSIZE是否小于等于RAM totalsize，如果是，则操作继续，否则操作拒绝；操作成功之后，更新totalsize=totalsize-EESIZE，RAM totalsize=RAM totalsize-RAMSIZE，pnext指向新的逻辑资源区域，并设置新的逻辑资源区域数据结构的各属性，包括totalsize、RAM totalsize、isdefaultcard、isactivate、element属性。

在上述技术方案的基础上，不存在共享逻辑资源区域时，各个发行方独立管控的逻辑资源区域中的数据元素包括主安全域、管理密钥、智能卡状态，主安全域包括包、应用、辅助安全域、辅助安全域的包和应用，根据发行方独立管控的数据元素，逻辑资源区域独立完成GP规范定义的所有内容管理，包括包的下载删除、应用的安装删除、辅助安全域的建立删除、管理密钥的更新、添加、删除以及智能卡状态的管理。

在上述技术方案的基础上，存在共享逻辑资源区域时，各个发行方独立管控的逻辑资源区域中的数据元素仅包括管理密钥，管理密钥包括逻辑通道密钥、主控密钥、智能卡生命周期管理密钥和安全域管理密钥，各发行方独立控制管理密钥的更新、添加、删除，各逻辑资源区域所属的发行方共同管理共享逻辑资源区域的数据，共同管理的内容包括GP规范定义的所有数据元素，其占用的实际物理资源区域不独立属于任何一个发行方，被多个发行方共同占有。

在上述技术方案的基础上，所述设置状态指令激活逻辑资源区域的流程如下：

步骤101、智能卡接收设置状态指令，设置状态指令包含待激活逻辑资源区域的唯一标识以及具体操作的行为，具体操作的行为包括激活和解除激活两种操作；

步骤102、查找智能卡匹配唯一标识的非共享逻辑资源区域；

步骤103、判断设置状态指令操作为激活某个逻辑资源区域操作，还是解除激活某个逻辑资源区域操作，如果设置状态指令操作为激活某个逻辑资源区域操作，则转到步骤104，否则转到步骤105；

步骤104、设置该逻辑资源区域为激活状态，并且设置原逻辑资源区域为非激活状态，转到步骤106；

步骤105、设置该逻辑资源区域为非激活状态，并且设置默认的逻辑资源区域为激活状态，转到步骤106；

步骤106、智能卡正确反馈设置状态指令。

在上述技术方案的基础上，所述选择指令激活某一逻辑资源区域的流程如下：

步骤201、智能卡接收选择指令，选择指令包含要激活的逻辑资源区域的唯一标识；

步骤202、查找智能卡匹配唯一标识的逻辑资源区域；

步骤203、判断该逻辑资源区域是否为共享逻辑资源区域，如果该逻辑资源区域为共享逻辑资源区域，则转到步骤206；否则转到步骤204；

步骤204、设置该逻辑资源区域为激活状态，转到步骤205；

步骤205、设置原激活的逻辑资源区域为非激活状态，转到步骤206；

步骤206、智能卡正确反馈选择指令。

在上述技术方案的基础上，所述智能卡物理资源管理映射系统采用静态方式划分逻辑资源区域，多应用智能卡在发行之前固定了逻辑资源区域划分的个数、每个逻辑资源区域占用的物理资源大小，多应用智能卡发行之后无法进行任何修改。

在上述技术方案的基础上，所述智能卡物理资源管理映射系统采用动态方式划分逻辑资源区域，多应用智能卡在发行之前将完整的物理资源映射到一个逻辑资源区域，发行之后将原来的逻辑资源区域占用的物理资源划分一小部分形成新的逻辑资源区域。

在上述技术方案的基础上，所述智能卡物理资源管理映射系统采用混合方式划分逻辑资源区域，多应用智能卡首先通过预置的方式实现物理资源的分配，在后期进行已分配物理资源的再次分配。

本发明还提供一种上述实现多方独立管控的多应用智能卡的发行方法，所述多应用智能卡采用静态方式划分逻辑资源区域时，多应用智能卡的发行方法包括以下步骤：

a1、多应用智能卡预个人化阶段：

首先根据业务发行方的数量初始化逻辑资源区域数据结构大小，并预先划分多个逻辑资源区域，然后根据各发行方对于物理资源的分配以及各独立管控的数据元素达成的一致，设置每个逻辑资源区域占用的物理资源以及初始化独立管控的数据元素；

a2、多应用智能卡个人化阶段：

每个发行方根据独立管控的数据元素在自身所属的逻辑资源区域完成应用的下载、安装以及个人化。

本发明还提供一种上述实现多方独立管控的多应用智能卡的发行方法，其特征在于：所述多应用智能卡采用动态方式划分逻辑资源区域时，多应用智能卡的发行方法包括以下步骤：

b1、多应用智能卡预个人化阶段：

多应用智能卡在预个人化阶段建立一个逻辑资源区域数据结构，将所有的物理资源映射到该逻辑资源区域，该逻辑资源区域归属于某个智能卡发行方A，初始化数据结构中的所有属性；

b2、多应用智能卡个人化阶段：

发行方A完成应用的下载、安装以及个人化；

b3、多应用智能卡使用阶段：

根据业务需求，有新的发行方B想从发行方A占用的物理资源中购买或租用部分资源时，首先需要发行方B与发行方A关于物理资源的分配与独立管控的数据元素定义达成一致，然后发行方A从自身占用的物理资源中划分一部分给发行方B的同时初始化一个属于发卡方B的新逻辑资源区域数据结构，并根据发卡方A与发卡方B达成的一致设置新的逻辑资源区域数据结构的属性，同时修改属于发卡方A逻辑资源区域数据结构的属性；最后发行方B在自身管控的逻辑资源区域完成应用的下载、安装以及个人化，此时划分部分的资源不再受发行方所控，完全交由发行方B控制。

在上述技术方案的基础上，步骤b3之后还包括以下步骤：根据业务需求的进一步扩大，发行方B将自身的物理资源再划分部分给更多的发行方。

本发明还提供一种上述实现多方独立管控的多应用智能卡的发行方法，所述多应用智能卡采用混合方式划分逻辑资源区域时，多应用智能卡的发行方法包括以下步骤：

c1、多应用智能卡预个人化阶段：

首先根据业务发行方的数量初始化逻辑资源区域数据结构大小，并预先划分多个逻辑资源区域，然后根据各发行方对于物理资源的分配以及各独立管控的数据元素达成的一致，设置每个逻辑资源区域占用的物理资源以及初始化独立管控的数据元素；

c2、多应用智能卡个人化阶段：

每个发行方根据独立管控的数据元素在自身所属的逻辑资源区域完成应用的下载、安装以及个人化；

c3、多应用智能卡使用阶段：

根据业务需求，有新的发行方B想从发行方A占用的物理资源中购买或租用部分资源时，首先需要发行方B与发行方A关于物理资源的分配与独立管控的数据元素定义达成一致；然后发行方A从自身占用的物理资源中划分一部分给发行方B的同时初始化一个属于发卡方B的新逻辑资源区域数据结构，并根据发卡方A与发卡方B达成的一致设置新的逻辑资源区域数据结构的属性，同时修改属于发卡方A逻辑资源区域数据结构的属性；最后发行方B在自身管控的逻辑资源区域完成应用的下载、安装以及个人化，此时划分部分的资源不再受发行方所控，完全交由发行方B控制。

在上述技术方案的基础上，步骤c3之后还包括以下步骤：根据业务需求的进一步扩大，发行方B将自身的物理资源再划分部分给更多的发行方。

与现有技术相比，本发明的优点如下：

本发明中智能卡的物理资源在逻辑层面上被映射为多个相互安全独立的逻辑资源区域，每个应用发行方基于相互安全独立的逻辑资源，在平等独立、互不受控的情况下管理所属逻辑资源区域的数据元素，能够实现多个发行方相互独立地共存于一张物理卡上，并且具有相互平等的地位，满足各发行方独立控制自身资源的发行需求。

附图说明

图1为本发明实施例中实现多方独立管控的多应用智能卡的结构框图。

图2为发行方独立管控的无共享逻辑资源区域的数据元素集合实例。

图3为发行方独立管控的有共享逻辑资源区域的数据元素集合实例。

图4为设置状态指令激活某个逻辑资源区域的流程图。

图5为选择指令激活某个逻辑资源区域的流程图。

图6为多应用智能卡的静态发行流程图。

图7为多应用智能卡的动态发行流程图。

图8为多应用智能卡的混合发行流程图。

具体实施方式

下面结合附图及具体实施例对本发明作进一步的详细描述。

参见图1所示，本发明实施例提供一种实现多方独立管控的多应用智能卡，包括智能卡统一管理平台、虚拟机、智能卡操作系统、智能卡芯片和智能卡物理资源管理映射系统，其中：

智能卡统一管理平台，用于：提供智能卡内容管理的安全策略、安全机制以及具体的管理行为；

虚拟机，用于：解释执行应用的字节码，虚拟机包括但不局限于Java虚拟机、Multos虚拟机以及N3虚拟机；

智能卡操作系统，用于：提供与智能卡芯片无关的抽象层功能，包括存储资源的管理、通讯接口以及算法等；

智能卡芯片，用于：提供物理层面的通讯接口、定时接口、硬件算法接口以及存储介质访问接口；

智能卡物理资源管理映射系统，用于：提供一种智能卡物理资源映射到逻辑资源区域的安全实现方式，保证逻辑资源区域的所属者独立管控其占用的物理资源。

智能卡物理资源管理映射系统通过静态方式、动态方式或者综合静态与动态这两种形态特征的混合方式，将智能卡的物理资源映射为多个独立的逻辑资源区域，不同的应用提供商在智能卡上拥有不同的逻辑资源区域，并且占用每个逻辑资源区域定义的物理资源，每个逻辑资源区域定义自身所需管控的数据元素，可以包含部分或所有的智能卡数据元素。每个应用提供商通过激活自身的逻辑资源区域，实现对该逻辑资源区域的数据元素管理操作。多应用智能卡支持存在两个或两个以上的管理密钥，管理密钥包括但不局限于逻辑通道密钥、KMC（Key of Main Control，主控密钥）、智能卡生命周期管理密钥和安全域管理密钥。

智能卡中是否含有共享逻辑资源区域取决于各发行方的发行策略，如果各个发行方只要求密钥独立管控，其他数据元素共享，则存在共享逻辑资源区域；共享逻辑资源区域的划分方式为：智能卡的物理资源映射完所有的逻辑资源区域以后，剩下的物理资源全部映射为共享逻辑资源区域；如果各发行方要求所有数据元素都要独立管控，则不存在共享逻辑资源区域。应用提供商只能对自身逻辑资源区域或共享逻辑资源区域的数据元素进行修改、添加、删除等管理操作。在上述管理操作过程中所需的物理资源只能从被分配的物理资源中申请，同样在管理操作过程中释放的物理资源也同样回收到被分配的物理资源中。

逻辑资源区域独立管控的数据元素集合，依赖于各个发行方的发行策略，该元素的集合可以是GP（Global Platform，全球平台组织）规范定义的所有数据元素，也可以是部分数据元素。

参见表1所示，每个逻辑资源区域的数据结构定义了以下变量：

isdefaultcard：是否为默认的逻辑资源区域；

isactivate：逻辑资源区域是否被激活；

num：逻辑资源区域编号；

totalsize：逻辑资源区域所占用的EEPROM（Electrically-ErasableProgrammable Read-Only Memory，电子抹除式可复写只读存储器）空间大小；

usesize：逻辑资源区域已经使用的EEPROM空间大小；

RAM totalsize：逻辑资源区域所占用的RAM（Random AccessMemory，随机存储器）空间大小；

RAM usesize：逻辑资源区域已经使用的RAM空间大小；

element：逻辑资源区域包含的数据元素集合；

pnext：下一个逻辑资源区域入口地址。

表1、逻辑资源区域的数据结构

名称	含义
		isdefaultcard	是否是默认的逻辑资源区域
isactivate	逻辑资源区域是否被激活
		num	逻辑资源区域编号
totalsize	逻辑资源区域所占用的EEPROM空间大小
		usesize	逻辑资源区域已经使用的EEPROM空间大小
RAM totalsize	逻辑资源区域所占用的RAM空间大小
		RAM usesize	逻辑资源区域已经使用的RAM空间大小

element	逻辑资源区域包含的数据元素集合
		pnext	下一个逻辑资源区域入口地址

每个逻辑资源区域中的totalsize属性决定了该逻辑资源区域占用的EEPROM大小，usesize属性记录了本逻辑资源区域使用的EEPROM大小。当发行方在进行数据元素的修改、添加以及删除时，如果涉及到EEPROM的申请，申请的EEPROM空间大小为size，则判断usesize+size是否小于等于totalsize，如果是，则申请操作继续，否则申请操作拒绝；如果涉及到EEPROM的释放，释放的EEPROM空间大小为size，则判断usesize是否大于等于size，如果是，则释放操作继续，否则释放操作拒绝；在释放完成之后需要更新usesize=usesize-size。

每个逻辑资源区域中的RAM totalsize属性决定了该逻辑资源区域占用的RAM大小，RAM usesize属性记录了本逻辑资源区域使用的RAM大小。当发行方在进行智能卡内容管理时，如果涉及到RAM的申请，申请的RAM空间大小为size，则判断RAM usesize+size是否小于等于RAM totalsize，如果是，则申请操作继续，否则申请操作拒绝；如果涉及到RAM的释放，释放的RAM空间大小为size，则判断RAM usesize是否大于等于size，如果是，则申请操作继续，否则申请操作拒绝，在释放完成之后需要更新RAM usesize=RAMusesize-size。

每个逻辑资源区域定义的isdefaultcard属性用来标识此逻辑资源区域是否为默认的逻辑资源区域。智能卡保证任何时候有且仅有一个默认逻辑资源区域。

每个逻辑资源区域定义的isactivate属性用来标识此逻辑资源区域是否处于激活状态。智能卡保证任何时候有且仅有一个激活的逻辑资源区域。如果智能卡在某一时刻没有被激活的逻辑资源区域，则默认逻辑资源区域被自动设置为激活状态。isactivate属性通过设置状态指令和选择指令来设置。

每个逻辑资源区域中的element属性定义了逻辑资源管控的数据元素集合。集合内的具体内容由各个发行方定义，可以包括主安全域、辅助安全域、包、应用、管理密钥和智能卡状态等数据元素的所有或部分。根据element属性定义了逻辑资源管控的数据元素集合的不同，各发行方具有的独立管控的操作也不同。如果element包含GP规范定义的所有数据元素，则各发行方拥有了包括包的下载删除、应用的安装删除、辅助安全域的建立删除、管理密钥的更新、添加、删除以及智能卡状态的管理的独立管控权限。

当新的发行方（发行方B）需要购买或租用原发行方（发行方A）的物理资源时，根据表1所示，发行方A需要从其占用的未使用的物理资源部分动态划分出部分物理资源，假如分配EEPROM的大小为EESIZE，分配ROM的大小为RAMSIZE，首先需要判断usesize+EESIZE是否小于等于totalsize，RAM usesize+RAMSIZE是否小于等于RAM totalsize，如果是，则操作继续，否则操作拒绝。操作成功之后更新totalsize=totalsize-EESIZE，RAM totalsize=RAMtotalsize-RAMSIZE，并且pnext指向新的逻辑资源区域，并设置新的逻辑资源区域数据结构的各属性，包括totalsize、RAM totalsize、isdefaultcard、isactivate、element等属性。

图2为发行方独立管控的无共享逻辑资源区域的数据元素集合的一个实例，不存在共享逻辑资源区域时，各个发行方独立管控的逻辑资源区域中的数据元素包括主安全域、管理密钥、智能卡状态，主安全域包括包、应用、辅助安全域、辅助安全域的包和应用，根据发行方独立管控的数据元素，其可以独立完成GP规范定义的所有内容管理，包括包的下载删除、应用的安装删除、辅助安全域的建立删除、管理密钥的更新、添加、删除以及智能卡状态的管理。图2中逻辑资源区域1所属的发行方只能管理自身，不能管理逻辑资源区域2的数据。

图3为发行方独立管控的有共享逻辑资源区域的数据元素集合的一个实例，存在共享逻辑资源区域时，各个发行方独立管控的逻辑资源区域中的数据元素仅包括管理密钥，管理密钥包括但不局限于逻辑通道密钥、主控密钥、智能卡生命周期管理密钥和安全域管理密钥。各发行方独立控制管理密钥的更新、添加、删除。图3中各逻辑资源区域所属的发行方共同管理共享逻辑资源区域的数据，共同管理的内容包括GP规范定义的所有数据元素，其占用的实际物理资源区域不在任何一个发行方占用的物理资源之内，也就是说不独立属于任何一个发行方，被多个发行方共同占有。

无论智能卡中存在多少个独立逻辑资源区域，始终存在一个默认逻辑资源区域，当智能卡中没有被激活的逻辑资源区域，则此区域被自动激活。每个发行方拥有的逻辑资源区域各有一个属性标志，用于标识该逻辑资源区域是否被激活，任何时候智能卡内有且只有一个逻辑资源区域的该属性标志被设置为激活，此属性标志可以被Set status（设置状态）指令设置，也可以通过选择指令选中其所属的应用来设置该逻辑资源区域的属性标志。

参见图4所示，设置状态指令激活逻辑资源区域的流程如下：

步骤101、智能卡接收设置状态指令，设置状态指令包含待激活逻辑资源区域的唯一标识以及具体操作的行为，具体操作的行为包括激活和解除激活两种操作；

步骤102、查找智能卡匹配唯一标识的非共享逻辑资源区域；

步骤103、判断设置状态指令操作为激活某个逻辑资源区域操作，还是解除激活某个逻辑资源区域操作，如果设置状态指令操作为激活某个逻辑资源区域操作，则转到步骤104，否则转到步骤105；

步骤104、设置该逻辑资源区域为激活状态，并且设置原逻辑资源区域为非激活状态，转到步骤106；

步骤105、设置该逻辑资源区域为非激活状态，并且设置默认的逻辑资源区域为激活状态，转到步骤106；

步骤106、智能卡正确反馈设置状态指令。

参见图5所示，选择指令激活某一逻辑资源区域的流程如下：

步骤201、智能卡接收选择指令，选择指令包含要激活的逻辑资源区域的唯一标识；

步骤202、查找智能卡匹配唯一标识的逻辑资源区域；

步骤203、判断该逻辑资源区域是否为共享逻辑资源区域，如果该逻辑资源区域为共享逻辑资源区域，则转到步骤206；否则转到步骤204；

步骤204、设置该逻辑资源区域为激活状态，转到步骤205；

步骤205、设置原激活的逻辑资源区域为非激活状态，转到步骤206；

步骤206、智能卡正确反馈选择指令。

智能卡物理资源管理映射系统可以通过静态方式、动态方式以及综合这两种形态特征的混合方式来划分逻辑资源区域，采用静态方式划分逻辑资源区域时，智能卡在发行之前固定了逻辑资源区域划分的个数、每个逻辑资源区域占用的物理资源大小，智能卡发行之后无法进行任何修改；采用动态方式划分逻辑资源区域时，智能卡在发行之前将完整的物理资源映射到一个逻辑资源区域，发行之后可以将原来的逻辑资源区域占用的物理资源划分一小部分形成新的逻辑资源区域。混合方式集成静态与动态两种特征，即首先通过预置的方式实现物理资源的分配，在后期又可以进行已分配物理资源的再次分配。

参见图6所示，多应用智能卡采用静态方式划分逻辑资源区域时，多应用智能卡的发行方法包括以下步骤：

a1、多应用智能卡预个人化阶段：

首先根据业务发行方的数量初始化逻辑资源区域数据结构大小，并预先划分多个逻辑资源区域，然后根据各发行方对于物理资源的分配以及各独立管控的数据元素达成的一致，设置每个逻辑资源区域占用的物理资源以及初始化独立管控的数据元素。

a2、多应用智能卡个人化阶段：

每个发行方根据独立管控的数据元素在自身所属的逻辑资源区域完成应用的下载、安装以及个人化。

参见图7所示，多应用智能卡采用动态方式划分逻辑资源区域时，多应用智能卡的发行方法包括以下步骤：

b1、多应用智能卡预个人化阶段：

智能卡在预个人化阶段建立一个逻辑资源区域数据结构，将所有的物理资源映射到该逻辑资源区域，该逻辑资源区域归属于某个智能卡发行方（简称发行方A），初始化数据结构中的所有属性。

b2、多应用智能卡个人化阶段：

发行方A完成应用的下载、安装以及个人化。

b3、多应用智能卡使用阶段：

根据业务需求，有新的发行方（简称发行方B）想从发行方A占用的物理资源中购买或租用部分资源，则首先需要发行方B与发行方A关于物理资源的分配与独立管控的数据元素定义达成一致。然后发行方A从自身占用的物理资源中划分一部分给发行方B的同时初始化一个属于发卡方B的新逻辑资源区域数据结构，并根据发卡方A与发卡方B达成的一致设置新的逻辑资源区域数据结构的属性，同时修改属于发卡方A逻辑资源区域数据结构的属性。最后发行方B在自身管控的逻辑资源区域完成应用的下载、安装以及个人化。此时划分部分的资源不再受发行方所控，完全交由发行方B控制。

根据业务需求的进一步扩大，甚至于发行方B还能将自身的物理资源再划分部分给更多的发行方。

参见图8所示，多应用智能卡采用混合方式划分逻辑资源区域时，多应用智能卡的发行方法包括以下步骤：

c1、多应用智能卡预个人化阶段：

首先根据业务发行方的数量初始化逻辑资源区域数据结构大小，并预先划分多个逻辑资源区域，然后根据各发行方对于物理资源的分配以及各独立管控的数据元素达成的一致，设置每个逻辑资源区域占用的物理资源以及初始化独立管控的数据元素。

c2、多应用智能卡个人化阶段：

每个发行方根据独立管控的数据元素在自身所属的逻辑资源区域完成应用的下载、安装以及个人化。

c3、多应用智能卡使用阶段：

根据业务需求，有新的发行方（简称发行方B）想从发行方A占用的物理资源中购买或租用部分资源，则首先需要发行方B与发行方A关于物理资源的分配与独立管控的数据元素定义达成一致。然后发行方A从自身占用的物理资源中划分一部分给发行方B的同时初始化一个属于发卡方B的新逻辑资源区域数据结构，并根据发卡方A与发卡方B达成的一致设置新的逻辑资源区域数据结构的属性，同时修改属于发卡方A逻辑资源区域数据结构的属性。最后发行方B在自身管控的逻辑资源区域完成应用的下载、安装以及个人化。此时划分部分的资源不再受发行方所控，完全交由发行方B控制。

根据业务需求的进一步扩大，甚至于发行方B还能将自身的物理资源再划分部分给更多的发行方。

本领域的技术人员可以对本发明实施例进行各种修改和变型，倘若这些修改和变型在本发明权利要求及其等同技术的范围之内，则这些修改和变型也在本发明的保护范围之内。

说明书中未详细描述的内容为本领域技术人员公知的现有技术。

Claims (20)

1.一种实现多方独立管控的多应用智能卡，包括智能卡统一管理平台、虚拟机、智能卡操作系统和智能卡芯片，其中：

所述智能卡统一管理平台，用于：提供智能卡内容管理的安全策略、安全机制以及具体的管理行为；

所述虚拟机，用于：解释执行应用的字节码；

所述智能卡操作系统，用于：提供与智能卡芯片无关的抽象层功能，包括存储资源的管理、通讯接口以及算法；

所述智能卡芯片，用于：提供物理层面的通讯接口、定时接口、硬件算法接口以及存储介质访问接口；

其特征在于：所述多应用智能卡还包括智能卡物理资源管理映射系统，所述智能卡物理资源管理映射系统，用于：提供一种智能卡物理资源映射到逻辑资源区域的安全实现方式，保证逻辑资源区域的所属者独立管控其占用的物理资源：所述智能卡物理资源管理映射系统通过静态方式、动态方式或者综合静态与动态这两种形态特征的混合方式，将智能卡的物理资源映射为多个独立的逻辑资源区域，不同的应用提供商在智能卡上拥有不同的逻辑资源区域，并且占用每个逻辑资源区域定义的物理资源，每个逻辑资源区域定义自身管控的数据元素，数据元素集合是全球平台组织GP规范定义的所有数据元素或者部分数据元素，每个应用提供商通过激活自身的逻辑资源区域，实现对该逻辑资源区域的数据元素管理操作；多应用智能卡支持存在两个或两个以上的管理密钥，管理密钥包括逻辑通道密钥、主控密钥、智能卡生命周期管理密钥以及安全域管理密钥；多应用智能卡中是否含有共享逻辑资源区域取决于各发行方的发行策略，如果各个发行方只要求密钥独立管控，其他数据元素共享，则存在共享逻辑资源区域；所述共享逻辑资源区域的划分方式为：智能卡的物理资源映射完所有的逻辑资源区域以后，剩下的物理资源全部映射为共享逻辑资源区域；如果各发行方要求所有数据元素都要独立管控，则不存在共享逻辑资源区域；应用提供商只能对自身逻辑资源区域或共享逻辑资源区域的数据元素进行修改、添加、删除管理操作，在上述管理操作过程中所需的物理资源只能从被分配的物理资源中申请，在管理操作过程中释放的物理资源也同样回收到被分配的物理资源中。

2.如权利要求1所述的实现多方独立管控的多应用智能卡，其特征在于：所述逻辑资源区域的数据结构定义了以下变量：

isdefaultcard：是否为默认的逻辑资源区域；

isactivate：逻辑资源区域是否被激活；

num：逻辑资源区域编号；

totalsize：逻辑资源区域所占用的EEPROM空间大小；

usesize：逻辑资源区域已经使用的EEPROM空间大小；

RAM totalsize：逻辑资源区域所占用的RAM空间大小；

RAM usesize：逻辑资源区域已经使用的RAM空间大小；

element：逻辑资源区域包含的数据元素集合；

pnext：下一个逻辑资源区域入口地址。

3.如权利要求2所述的实现多方独立管控的多应用智能卡，其特征在于：每个逻辑资源区域中的totalsize属性决定了该逻辑资源区域占用的EEPROM大小，usesize属性记录了本逻辑资源区域使用的EEPROM大小；当发行方在进行数据元素的修改、添加以及删除时，如果涉及到EEPROM的申请，申请的EEPROM空间大小为size，则判断usesize+size是否小于等于totalsize，如果是，则申请操作继续，否则申请操作拒绝；如果涉及到EEPROM的释放，释放的EEPROM空间大小为size，则判断usesize是否大于等于size，如果是，则释放操作继续，否则释放操作拒绝；在释放完成之后更新usesize=usesize-size。

4.如权利要求3所述的实现多方独立管控的多应用智能卡，其特征在于：每个逻辑资源区域中的RAM totalsize属性决定了该逻辑资源区域占用的RAM大小，RAM usesize属性记录了本逻辑资源区域使用的RAM大小；当发行方在进行智能卡内容管理时，如果涉及到RAM的申请，申请的RAM空间大小为size，则判断RAM usesize+size是否小于等于RAM totalsize，如果是，则申请操作继续，否则申请操作拒绝；如果涉及到RAM的释放，释放的RAM空间大小为size，则判断RAM usesize是否大于等于size，如果是，则申请操作继续，否则申请操作拒绝，在释放完成之后需要更新RAM usesize=RAM usesize-size。

5.如权利要求4所述的实现多方独立管控的多应用智能卡，其特征在于：每个逻辑资源区域定义的isdefaultcard属性用来标识此逻辑资源区域是否为默认的逻辑资源区域，智能卡保证任何时候有且仅有一个默认逻辑资源区域。

6.如权利要求5所述的实现多方独立管控的多应用智能卡，其特征在于：每个逻辑资源区域定义的isactivate属性用来标识此逻辑资源区域是否处于激活状态，智能卡保证任何时候有且仅有一个激活的逻辑资源区域；如果智能卡在某一时刻没有被激活的逻辑资源区域，则默认逻辑资源区域被自动设置为激活状态；isactivate属性通过设置状态指令和选择指令来设置。

7.如权利要求6所述的实现多方独立管控的多应用智能卡，其特征在于：每个逻辑资源区域中的element属性定义了逻辑资源管控的数据元素集合，集合内的具体内容由各个发行方定义，包括主安全域、辅助安全域、包、应用、管理密钥和智能卡状态等数据元素的所有或部分，根据element属性定义了逻辑资源管控的数据元素集合的不同，各发行方具有的独立管控的操作也不同；如果element包含GP规范定义的所有数据元素，则各发行方拥有了包括包的下载删除、应用的安装删除、辅助安全域的建立删除、管理密钥的更新、添加、删除以及智能卡状态的管理的独立管控权限。

8.如权利要求7所述的实现多方独立管控的多应用智能卡，其特征在于：当新的发行方B要购买或租用原发行方A的物理资源时，发行方A从其占用的未使用的物理资源部分动态划分出部分物理资源，分配EEPROM的大小为EESIZE，分配ROM的大小为RAMSIZE，首先判断usesize+EESIZE是否小于等于totalsize，RAMusesize+RAMSIZE是否小于等于RAM totalsize，如果是，则操作继续，否则操作拒绝；操作成功之后，更新totalsize=totalsize-EESIZE，RAM totalsize=RAM totalsize-RAMSIZE，pnext指向新的逻辑资源区域，并设置新的逻辑资源区域数据结构的各属性，包括totalsize、RAMtotalsize、isdefaultcard、isactivate、element属性。

9.如权利要求8所述的实现多方独立管控的多应用智能卡，其特征在于：不存在共享逻辑资源区域时，各个发行方独立管控的逻辑资源区域中的数据元素包括主安全域、管理密钥、智能卡状态，主安全域包括包、应用、辅助安全域、辅助安全域的包和应用，根据发行方独立管控的数据元素，逻辑资源区域独立完成GP规范定义的所有内容管理，包括包的下载删除、应用的安装删除、辅助安全域的建立删除、管理密钥的更新、添加、删除以及智能卡状态的管理。

10.如权利要求8所述的实现多方独立管控的多应用智能卡，其特征在于：存在共享逻辑资源区域时，各个发行方独立管控的逻辑资源区域中的数据元素仅包括管理密钥，管理密钥包括逻辑通道密钥、主控密钥、智能卡生命周期管理密钥和安全域管理密钥，各发行方独立控制管理密钥的更新、添加、删除，各逻辑资源区域所属的发行方共同管理共享逻辑资源区域的数据，共同管理的内容包括GP规范定义的所有数据元素，其占用的实际物理资源区域不独立属于任何一个发行方，被多个发行方共同占有。

11.如权利要求2至10中任一项所述的实现多方独立管控的多应用智能卡，其特征在于：所述设置状态指令激活逻辑资源区域的流程如下：

步骤101、智能卡接收设置状态指令，设置状态指令包含待激活逻辑资源区域的唯一标识以及具体操作的行为，具体操作的行为包括激活和解除激活两种操作；

步骤102、查找智能卡匹配唯一标识的非共享逻辑资源区域；

步骤103、判断设置状态指令操作为激活某个逻辑资源区域操作，还是解除激活某个逻辑资源区域操作，如果设置状态指令操作为激活某个逻辑资源区域操作，则转到步骤104，否则转到步骤105；

步骤104、设置该逻辑资源区域为激活状态，并且设置原逻辑资源区域为非激活状态，转到步骤106；

步骤105、设置该逻辑资源区域为非激活状态，并且设置默认的逻辑资源区域为激活状态，转到步骤106；

步骤106、智能卡正确反馈设置状态指令。

12.如权利要求2至10中任一项所述的实现多方独立管控的多应用智能卡，其特征在于：所述选择指令激活某一逻辑资源区域的流程如下：

步骤201、智能卡接收选择指令，选择指令包含要激活的逻辑资源区域的唯一标识；

步骤202、查找智能卡匹配唯一标识的逻辑资源区域；

步骤203、判断该逻辑资源区域是否为共享逻辑资源区域，如果该逻辑资源区域为共享逻辑资源区域，则转到步骤206；否则转到步骤204；

步骤204、设置该逻辑资源区域为激活状态，转到步骤205；

步骤205、设置原激活的逻辑资源区域为非激活状态，转到步骤206；

步骤206、智能卡正确反馈选择指令。

13.如权利要求2至10中任一项所述的实现多方独立管控的多应用智能卡，其特征在于：所述智能卡物理资源管理映射系统采用静态方式划分逻辑资源区域，多应用智能卡在发行之前固定了逻辑资源区域划分的个数、每个逻辑资源区域占用的物理资源大小，多应用智能卡发行之后无法进行任何修改。

14.如权利要求2至10中任一项所述的实现多方独立管控的多应用智能卡，其特征在于：所述智能卡物理资源管理映射系统采用动态方式划分逻辑资源区域，多应用智能卡在发行之前将完整的物理资源映射到一个逻辑资源区域，发行之后将原来的逻辑资源区域占用的物理资源划分一小部分形成新的逻辑资源区域。

15.如权利要求2至10中任一项所述的实现多方独立管控的多应用智能卡，其特征在于：所述智能卡物理资源管理映射系统采用混合方式划分逻辑资源区域，多应用智能卡首先通过预置的方式实现物理资源的分配，在后期进行已分配物理资源的再次分配。

16.如权利要求13所述的实现多方独立管控的多应用智能卡的发行方法，其特征在于：所述多应用智能卡采用静态方式划分逻辑资源区域时，多应用智能卡的发行方法包括以下步骤：

a1、多应用智能卡预个人化阶段：

首先根据业务发行方的数量初始化逻辑资源区域数据结构大小，并预先划分多个逻辑资源区域，然后根据各发行方对于物理资源的分配以及各独立管控的数据元素达成的一致，设置每个逻辑资源区域占用的物理资源以及初始化独立管控的数据元素；

a2、多应用智能卡个人化阶段：

每个发行方根据独立管控的数据元素在自身所属的逻辑资源区域完成应用的下载、安装以及个人化。

17.如权利要求14所述的实现多方独立管控的多应用智能卡的发行方法，其特征在于：所述多应用智能卡采用动态方式划分逻辑资源区域时，多应用智能卡的发行方法包括以下步骤：

b1、多应用智能卡预个人化阶段：

多应用智能卡在预个人化阶段建立一个逻辑资源区域数据结构，将所有的物理资源映射到该逻辑资源区域，该逻辑资源区域归属于某个智能卡发行方A，初始化数据结构中的所有属性；

b2、多应用智能卡个人化阶段：

发行方A完成应用的下载、安装以及个人化；

b3、多应用智能卡使用阶段：

根据业务需求，有新的发行方B想从发行方A占用的物理资源中购买或租用部分资源时，首先需要发行方B与发行方A关于物理资源的分配与独立管控的数据元素定义达成一致，然后发行方A从自身占用的物理资源中划分一部分给发行方B的同时初始化一个属于发卡方B的新逻辑资源区域数据结构，并根据发卡方A与发卡方B达成的一致设置新的逻辑资源区域数据结构的属性，同时修改属于发卡方A逻辑资源区域数据结构的属性；最后发行方B在自身管控的逻辑资源区域完成应用的下载、安装以及个人化，此时划分部分的资源不再受发行方所控，完全交由发行方B控制。

18.如权利要求17所述的实现多方独立管控的多应用智能卡的发行方法，其特征在于：步骤b3之后还包括以下步骤：根据业务需求的进一步扩大，发行方B将自身的物理资源再划分部分给更多的发行方。

19.如权利要求15所述的实现多方独立管控的多应用智能卡的发行方法，其特征在于：所述多应用智能卡采用混合方式划分逻辑资源区域时，多应用智能卡的发行方法包括以下步骤：

c1、多应用智能卡预个人化阶段：

首先根据业务发行方的数量初始化逻辑资源区域数据结构大小，并预先划分多个逻辑资源区域，然后根据各发行方对于物理资源的分配以及各独立管控的数据元素达成的一致，设置每个逻辑资源区域占用的物理资源以及初始化独立管控的数据元素；

c2、多应用智能卡个人化阶段：

每个发行方根据独立管控的数据元素在自身所属的逻辑资源区域完成应用的下载、安装以及个人化；

c3、多应用智能卡使用阶段：

根据业务需求，有新的发行方B想从发行方A占用的物理资源中购买或租用部分资源时，首先需要发行方B与发行方A关于物理资源的分配与独立管控的数据元素定义达成一致；然后发行方A从自身占用的物理资源中划分一部分给发行方B的同时初始化一个属于发卡方B的新逻辑资源区域数据结构，并根据发卡方A与发卡方B达成的一致设置新的逻辑资源区域数据结构的属性，同时修改属于发卡方A逻辑资源区域数据结构的属性；最后发行方B在自身管控的逻辑资源区域完成应用的下载、安装以及个人化，此时划分部分的资源不再受发行方所控，完全交由发行方B控制。

20.如权利要求19所述的实现多方独立管控的多应用智能卡的发行方法，其特征在于：步骤c3之后还包括以下步骤：根据业务需求的进一步扩大，发行方B将自身的物理资源再划分部分给更多的发行方。

Images