CN105719391A - 支持多个支付卡的移动装置和方法 - Google Patents

Abstract

本发明公开了一种支持多个支付卡的移动装置及其方法，所述移动装置包括：已经被个人化的安全元件：安装于所述安全元件之内并被个人化的卡代理模块，其能够通过所述近场通信接口与外部读卡器进行数据交换；多个支付卡，其注册于所述卡代理模块中以在所述卡代理模块中形成支付卡列表；其中所述卡代理模块根据应用交互模块的指令从支付卡列表中选中一个支付卡作为有效支付卡，所述卡代理模块与所述有效支付卡进行数据交换，并代表所述有效支付卡与所述外部读卡器的数据交换。这样，用户可以通过应用交互模块选定合适的支付卡作为卡代理模块的有效支付卡，以便所述外部读卡器能够读取到合适的支付卡。

Description

支持多个支付卡的移动装置和方法

【技术领域】

本发明通常涉及电子商务领域，特别地，本发明涉及一种支持多张支付卡或类似类型的应用的移动装置。

【背景技术】

随着各个城市间的联系越来越紧密，将多城市的公交卡应用整合到一部移动装置中的需求也就显得越来越迫切。然而，基于现有的方案，即便将多城市的公交卡应用整合到一部移动装置中，如果用于从一个城市旅行至另一个城市，那么该移动装置上的公交卡仍然还会是原来的城市的公交卡，新城市的公交上的POS(pointofsale)机并不能从所述移动装置的多个公交卡中选择正确的那个公交卡，因此导致刷卡失败，影响使用。并且各个城市的公交卡的识别码并不标准，有时不同城市的公交卡的识别码甚至会相同，这样就会出现识别码冲突。

因此，有必要提出能够解决上述问题的支持多个支付卡的移动装置。

【发明内容】

本部分的目的在于概述本发明的实施例的一些方面以及简要介绍一些较佳实施例。在本部分以及本申请的说明书摘要和发明名称中可能会做些简化或省略以避免使本部分、说明书摘要和发明名称的目的模糊，而这种简化或省略不能用于限制本发明的范围。

本发明的目的之一在于提供一种移动装置及基于该移动装置的方法，其能够支持多个支付卡，并且可以通过卡代理模块将其中的一个支付卡作为有效支付卡，由所述卡代理模块代表所述有效支付卡实现外部读卡器的数据交换。

根据本发明的一个方面，本发明提供一种支持多个支付卡的移动装置，其包括：已经被个人化的安全元件：安装于所述安全元件之内并被个人化的卡代理模块，其能够通过所述近场通信接口与外部读卡器进行数据交换；多个支付卡，其注册于所述卡代理模块中以在所述卡代理模块中形成支付卡列表；其中所述卡代理模块根据应用交互模块的指令从支付卡列表中选中一个支付卡作为有效支付卡，所述卡代理模块与所述有效支付卡进行数据交换，并代表所述有效支付卡与所述外部读卡器的数据交换。

进一步的，移动装置还包括有应用交互模块，用户通过所述应用交互模块向所述卡代理模块发送指令以指示所述卡代理模块从支付卡列表中选中一个支付卡作为有效支付卡。

进一步的，移动装置包括有无线通讯接口，所述卡代理模块通过所述无线通讯接口接收来自所述应用交互模块的指令。

进一步的，所述卡代理模块从支付卡列表中选中一个支付卡作为有效支付卡的过程包括：接收到所述应用交互模块的激活一个支付卡的指令；所述卡代理模块从支付卡列表中选中该支付卡的列表项；执行激活应用的操作以将选中的列表项对应的支付卡作为有效支付卡；向所述应用交互模块反馈激活成功的消息。

进一步的，所述卡代理模块能够撤销有效支付卡，其过程包括：接收到所述应用交互模块的撤销有效支付卡的指令；所述卡代理模块从支付卡列表中选中该有效支付卡的列表项；执行反激活应用的操作以撤销该有效支付卡；向所述应用交互模块反馈撤销成功的消息。

根据本发明的另一个方面，本发明提供一种用于支持多个支付卡的移动装置的方法，所述方法包括：个人化安全元件：在安全元件之内安装并个人化卡代理模块，所述卡代理模块能够与外部读卡器进行数据交换；注册多个支付卡于所述卡代理模块中以在所述卡代理模块中形成支付卡列表；所述卡代理模块接收应用交互模块的指令从支付卡列表中选中一个支付卡作为有效支付卡；和所述卡代理模块与所述有效支付卡进行数据交换，并代表所述有效支付卡与所述外部读卡器的数据交换。

进一步的，所述支付卡列表记录有每个支付卡的访问标识，所述卡代理模块包括有主卡代理单元和从卡代理单元，所述外部读卡器包括第一类外部读卡器和第二类外部读卡器，其中第一类外部读卡器不能提供其需要访问的支付卡的访问标识，第二类外部读卡器能够提供其需要访问的支付卡的访问标识，所述主卡代理单元根据应用交互模块的指令从支付卡列表中选中一个支付卡作为主有效支付卡，所述主卡代理单元能够与其对应的主有效支付卡进行数据交换，所述主卡代理单元代表主有效支付卡与第一类外部读卡器的数据交换，如果所述主卡代理单元选中的主有效支付卡的访问标识与支付卡列表中的另一个支付卡的访问标识相同，那么所述从代理单元也会选中该同一个支付卡作为从有效支付卡，所述从代理模块能够与其对应的从有效支付卡进行数据交换，所述从卡代理单元代表所述从有效支付卡与第二类外部读卡器的数据交换。

进一步的，如果第二类外部读卡器提供的其需要访问的支付卡的访问标识对应所述支付卡列表中的唯一的一个支付卡，则第二类外部读卡器能够跳过所述卡代理模块直接与需要访问的支付卡的访问标识对应的支付卡进行数据交换；如果第二类外部读卡器提供的其需要访问的支付卡的访问标识对应所述支付卡列表中的多个支付卡，则第二类外部读卡器需要经过所述从卡代理单元与需要访问的支付卡的访问标识对应的多个支付卡中的一个进行数据交换。

进一步的，在所述主卡代理单元与第一类外部读卡器不能正常进行数据交换时，所述卡代理模块通知所述应用交互模块进行支付卡切换，所述主卡代理单元根据应用交互模块的指令在从支付卡列表中选中另一个支付卡作为主有效支付卡。在所述从卡代理单元与第二类外部读卡器不能正常进行数据交换时，所述卡代理模块通知所述应用交互模块进行支付卡切换，所述从卡代理单元根据应用交互模块的指令在从支付卡列表中选中另一个支付卡作为从有效支付卡，所述主代理单元也根据应用交互模块的指令在从支付卡列表中选中该另一个支付卡作为主有效支付卡。

与现有技术相比，本发明中通过应用交互模块可以向卡代理模块发送指令，以指示卡代理模块从多个支付卡中选择一个作为有效支付卡，由所述卡代理模块代表所述有效支付卡实现外部读卡器的数据交换。这样，在不同的城市可以激活不同的交通卡作为有效交通卡，从而实现了在不同城市中应用不同的有效交通卡进行公交刷卡的应用。

【附图说明】

接下来的具体实施方式、后面的权利要求以及附图将有助于了解本发明的具体特征，各实施例以及优点，其中：

图1A示出了具有安全元件的支持NFC的移动装置的简单结构架构；

图1B示出了根据本发明的一个实施例的个人化安全元件的流程或过程；

图2A示出了一个移动支付生态系统，其中移动支付生态系统中的相关方(parties)依次被列出；

图2B示出了根据本发明的一个实施例的配置一个或多个应用的流程或过程；

图3A示出了有关模块相互作用，以完成前述电子钱包由授权人进行个人化处理的结构图；

图3B示出了有关模块相互作用，以完成前述电子钱包由其用户进行个人化处理的结构图；

图3C根据本发明的一个具体实施例，示出了个人化电子钱包的流程或过程图；

图4A为本发明的支持多个支付卡的移动装置在一个实施例中的框架示意图；

图4B为本发明的支持多个支付卡的移动装置在一个实施例中的框架示意图；

图5示意出了所述卡代理模块的安装及个性化过程的一个实施例；

图6A示意出了一个支付卡的注册过程示例；

图6B示意出了一个支付卡的注销过程示例；

图7A示意出了激活一个支付卡的过程示例；

图7B示意出了撤销有效支付卡的过程示例；和

图8为本发明的支持多个支付卡的移动装置在另一个实施例中的框架示意图。

【具体实施方式】

此处所称的“一个实施例”或“实施例”是指可包含于本发明至少一个实现方式中的特定特征、结构或特性。在本说明书中不同地方出现的“在一个实施例中”并非均指同一个实施例，也不是单独的或选择性的与其他实施例互相排斥的实施例。此外，表示一个或多个实施例的方法、流程图或功能框图中的模块顺序并非固定的指代任何特定顺序，也不构成对本发明的限制。本文中的密钥集是指一组密钥。本发明中“卡”也可以称之为卡片。

下面参考图1A-图8来介绍本发明的各个实施例。然而，所属领域内的普通技术人员容易理解的是这里根据这些附图列出的细节描述仅仅是解释性的，本发明并不仅限于这些实施例。

图1A示出了计算(移动)装置130的简单架构。所述计算装置130包括NFC控制器131，该NFC控制器131使得所述计算装置130能够与其它装置无线通信以交换数据。比如，用户可以将所述移动装置130用作电子钱包(e-purse)进行购买支付。在操作时，所述电子钱包由安全元件132来控制。所述安全元件132可以使得这样的一个移动装置130以一种安全的方式来执行金融交易、交通票务、信用服务、物理访问控制和其他令人兴奋的服务。为了提供这样的服务，所述安全元件132可以支持各种Javaapplet程序、应用或模块(图1A中仅示出了两个实例134和136)。在实现时，这些模块可以是嵌入或插入其内的硬件模块，也可以是通过数据网络从一个或多个服务器上下载的软件模块。

当最早购买移动装置或最早将移动装置交付给客户时，在所述移动装置的安全元件132上安装一组默认密钥(asetofdefaultkeys，或称为默认密钥集)，比如由安全元件制造者(manufacter)设置的发行者安全域(IssuerSecurityDomain，简称ISD)密钥集(Keyset)。在一个实施例中，所述安全元件132是防篡改芯片，根据需求的安全级别，该芯片可以嵌入智能卡级应用(比如支付、传输)。如图1A所示，所述安全元件132嵌入或配合非接触式NFC相关的应用，并与所述NFC控制器131连接以作为非接触式前端。典型的，符合标准的安全元件与一个发行者安全域(issuersecuritydomain，简称ISD)和一个或多个补充安全域(supplementalsecuritydomains，简称SSD)的选择一起供给。每个域中包括一组密钥(asetofkey，或称密钥集)。在一个实施例中，所述安全元件132是嵌入所述移动装置130内的或通过卡接口139插入移动装置130的小型卡内的芯片。在另一个实施例中，所述安全元件132是或包括装载入所述移动装置内的安全存储空间137内的软件模组。可以通过所述移动装置130内的网络接口133(比如3G网络或LTE(LongTermEvolution)网络)从指定服务器下载更新组件以更新所述软件模组。

所述安全元件132在使用前需要经过个人化(Personalization或Personalizing)过程。在一个实施例中，所述个人化过程是根据选择的卡发行者(比如所谓的安全元件发行者)的派生个人化密钥集(derivedpersonalizedkeyset)为所述安全元件132装载或更新一密钥集。根据情况，安全元件发行者(SEissuer)和安全元件制造者(SEmanufacturer)可以是两个分离的实体，也可以是一个单独的实体。为了方便本发明的描述，安全元件发行者和安全元件制造者在这里被描述为两个分离的实体。进一步的，个人化过程(personalizationprocess)也可以称为配置过程(provisioningprocess)。根据一个实施例，在安装应用或使能服务(比如应用安装和个人化)时以无线方式(Overtheair)执行SE配置过程以个人化所述安全元件。当将所述安全元件关联到一个安全元件发行者时，才执行所述安全元件的个人化。当用户订购或安装应用时，需要为每个应用执行应用安装和配置。

在一个实施例中，在更新或升级所述安全元件132时，为避免从头开始个人化所述安全元件132，只用新的更新替换所述安全元件132中的一个或一些组件。在实现时，可以自动地或手动获取这些新的更新，并将它们装载至所述移动装置130。在一个实施例中，根据相应的安全元件发行者和TSM，具有NFC功能的移动装置可以从服务器或TSM入口或门户(TSMportal)下载应用。

TSM是指可信服务管理(TrustedServiceManagement)，是一种服务集合。所述TSM的一个主要角色是帮助服务提供者(serviceprovider)为他们的使用移动网络的客户安全的发布和管理非接触式服务。所述TSM或它的服务器不必需要参与使用NFC装置的实际非接触式交易(transaction)。这些交易通常由服务提供者和他们的商业合作伙伴提供的系统处理。所述TSM的另一个角色是通过作为商业中间人加速移动NFC应用的成功部署和提升，其有利于合同安排和不同各方之间的商业关系的其它方面，这样使得移动网络商务成为可能。

可以到服务中心执行所述个人化过程，也可以通过TSM服务器的网页入口(webportal)远程执行所述个人化过程。在第一种场景下，客户可以到服务中心，让服务代表个人化移动装置内的安全元件。在位于指定地方(比如服务中心)的连接有NFC读卡器的电脑中，配置管理器(provisioningmanager)可以是安装的应用或连接至后端TSM的基于网页的应用。所述配置管理器用来与移动装置的安全元件进行通讯(比如通过读卡器)。这样的个人化过程也可以被称为基于网络(OvertheInternet)的过程。

在第二种场景下，客户通过服务器(TSM网页门户)注册他/她的移动电话。所述TSM服务器可以将配置管理器的通用资源识别码(universalresourceidentifier，简称URI)发送至已注册的移动电话。基于所述移动装置的类型，发送方式可以是短信服务推送(ShortMessageServicePush)或谷歌安卓推送(GoogleAndroidPush)。所述客户可以将所述配置管理器下载至所述移动装置中，并开始所述个人化过程。这样的个人化过程被称为基于无线的过程。

在任一个场景下，所述配置管理器作为移动装置的安全元件和TSM服务器之间的代理。现参考图1B所示，其示出了根据本发明的一个实施例的个人化安全元件的流程或过程150。在实现时，所述过程150可以由软件或软件和硬件的结合来实现。当用户收到一个新的NFC装置(比如移动装置的一部分)，需要个人化其内的所述安全元件。

在操作152中，确定所述新的NFC装置是否是真正的NFC装置。一个例子是检查与所述NFC装置相关的序列号(serialnumber)。所述序列号可以通过与TSM服务器相关的数据库进行认证。在NFC移动装置的例子中，所述移动装置的装置序列号可以用来进行认证。现在假设所述NFC装置是一个真正的NFC装置，即可由移动操作者识别的。所述过程150将进入操作154，使所述NFC装置与专用服务器进行通讯。在一个实施例中，所述专用服务器是TSM系统的一部分，并可通过无线网络、互联网或无线和有线的结合(这里称为数据网络或简称为网络)对其进行访问。

在操作156中，使所述NFC装置向所述服务器注册。一旦所述NFC装置成为所述TSM系统的一部分，各种服务和数据可以通过网络与所述NFC装置进行通讯。作为个人化过程的一部分，在操作158中，所述服务器请求所述安全元件的装置信息。在一个实施例中，所述服务器发送数据请求(比如服务信息，WAPPUSH)到所述NFC装置上。响应所述数据请求，所述NFC装置发回从所述安全元件中提取的卡产品寿命周期(CardProductLifeCycle，简称CPLC)信息。所述CPLC信息包括安全元件产品信息(比如智能卡ID、制造者信息和批次号等)。基于所述CPLC信息，所述服务器能够从其制造者、授权代理者(authorizeddistributor)或服务提供者处提取这个安全元件的对应默认发行者安全域(IssuerSecurityDomain，简称ISD)信息。在实现时，所述服务器与安全元件制造者有两种通讯方式，具体将在下文的合适部分给予详细描述。

在操作160中，由所述制造者确定是否更新所述装置信息。通常，当一个安全元件由其制造者发出时，所述安全元件嵌入有一些默认装置信息。如果确定所述默认装置信息(比如CPLC数据)需要与所述制造者进行更新，所述过程150进入操作162，所述制造者将相应的更新装置信息上传至所述服务器。在操作164中，将所述更新装置信息传输至所述NFC移动装置，并存储于所述安全元件中。如果确定所述安全元件的默认装置信息不需要与所述制造者进行更新，所述过程150进入操作164，将提取的默认装置信息存储入与TSM服务器相关的数据库中。在一个实施例中，所述服务器包括获取派生密钥集(derivedkeyset)的接口。在一个实施例中，根据所述安全元件的装置信息(比如，ISD)产生所述派生密钥集。当所述安全元件中成功安装上派生ISD密钥集时，通知相应的安全元件发行者所述派生ISD密钥集已经使用。

根据本发明的一个实施例，在操作166中，所述装置信息(默认的或更新的)用来产生密钥集(或称一组密钥)。在一个实施例中，所述服务器用来使用默认ISD在他的硬件安全模块(hardwaresecuritymodule,简称HSM)和所述安全元件之间建立安全通道。所述服务器还用来为所述安全元件计算派生密钥集。基于业务协定，安全元件的发行者的主ISD密钥可以设置于与所述服务器相关的硬件安全模块或所述安全元件发行者的本地硬件安全模块中。所述硬件安全模块是一种安全加密处理器，其用于管理数字密钥，加速加密过程，以及对访问服务器应用的关键密钥提供有效的认证。如果设置于所述服务器中的硬件安全模块内，所述服务器用来指令所述硬件安全模块去计算所述派生密钥集。随后，所述服务器提供一种机制(比如PUTKEYAPDU)并使用默认通道，用所述派生密钥集替代在所述安全元件中的默认密钥集。如果所述安全元件发行者(SEissurer)的主ISD密钥在所述安全元件发行者的本地硬件安全模块中，所述服务器还用来与远端的硬件安全模块交互以提取所述主ISD密钥。

在操作168中，将所述密钥集安全的传递至所述安全元件。就这样将密钥集个人化入所述安全元件中，所述密钥集用于利用NFC装置进行的各种安全操作或服务中。在操作170，所述服务器用来将所述安全元件与其发行者或提供者进行同步(比如，将有关安全元件状态的通知发送至所述发行者或提供者)。在个人化后，可以使用所述SE发行者的个人化ISD密钥来访问所述安全元件。基于每个服务提供商的安全需求，所述TSM可以为各个提供者提供额外的SSD以个人化他们的相应应用(比如，图1A中的模块134或136)。

如上文所述，有两种方式可以用来在与所述制造者的交互过程中从所述安全元件中提取相应的默认ISD信息。基于基础架构，制造者可以选择使用实时方式(real-timeapproach)或批量(或称批处理)方式(batchapproach)。

在实时方式中，当所述TSM服务器个人化所述安全元件时，所述服务器被设置用来与制造者(比如它的服务器)进行通讯。这样，所述默认密钥集是经要求从制造者的服务器提取的。在一个实施例中，所述TSM服务器包括与每个制造者进行通讯的插件模组。

现在参考图2A所示，其示出了一个移动生态系统200，其中参与入所述移动生态系统中的相关方依次列出。在一个实施例中，允许一个NFC装置从相应指定服务器202(比如应用管理提供者)中下载或安装一个或多个应用，其中这些应用是由应用开发者204最初开发出来，并由服务提供者210、应用管理提供者202或其他相关方发布。假设有安全元件提供者208提供的安全元件206已经经由TSM或可信赖第三方(比如，金融机构212)个人化。

一旦在所述NFC装置上安装上一个应用，下一步将是通过所述安全元件配置所述应用。应用的配置过程可以以几种方式开始。其中的一种方式是一个安全元件拥有者在移动装置上从TSM入口中选择一个应用，并开始配置过程。另一种方式是所述安全元件拥有者在移动装置上接收来自代表应用提供者的TSM的应用配置通知。

所述TSM或应用提供者可以在TSM入口或门户上发布他们的应用，以供下载到具有安全元件和/或签订用户请求(比如SE拥有者)的移动装置上。在一个实施例中，所述TSM为多个SE发行者提供云服务。这样，来自各个服务提供者的许多应用可以从TSM入口处获取。然而，当登入所述TSM入口时，安全元件拥有者只可以看那些经过他的安全元件提供者认证的应用。基于安全元件和服务提供者之间的协议，使用安全元件的ISD密钥集或服务提供者的指定的SSD密钥集可以实现应用的下载/安装/个人化。如果在所述安全元件中并未安装有SSD密钥集，则可以在一个应用安装的过程中安装它。

所述TSM知晓安全元件针对各个SSD的存储状态。基于SSD的存储分配策略和所述安全元件的存储状态，对于在应用商店中的针对各种SSD的可用应用可以标记为不同的指示，比如“可以安装”或“安装存储不足”。这样可以防止用户不必要的失败。

一旦在一个NFC装置上安装一个应用，所述应用自己启动配置过程，或TSM服务器通过蜂窝网络或无线数据网络给所述NFC装置发送配置通知。根据所述NFC装置的类型，有很多种发送消息(PUSHmessage，或称为推广消息)的方式以使得所述NFC装置开始所述配置过程。发送方法的一个例子包括短信发送或安卓谷歌发送。一旦用户收到所述通知，所述配置过程开始。在认为合适的时候，将详细描述配置过程。

作为所述应用配置的一个部分，TSM服务器执行一些保护性机制。一个是防止安全元件意外锁定。另一个是如果在安全元件中没有足够存储空间时阻止应用的下载。在一些实例中，在安全通道建立期间如果有太多的相互认证失败，则安全元件可能永久性锁定自己。为了防止所述安全元件意外锁定，当在两方(entities)之间建立安全通道时，所述TSM持续跟踪安全元件和TSM之间的认证失败的数目。在一个实施例中，如果达到预定极限，所述TSM将拒绝任何进一步的请求。如果在服务中心手动的重启所述安全元件，所述TSM可以继续处理SE请求。

所述TSM也持续跟踪每个安全元件的存储使用。所述TSM基于由所述SE发行者分配给每个服务提供者的存储分配决定一个应用是否可以安装于一个安全元件上。根据一个实施例，有三种类型的策略：

●预分配一个固定存储空间，这是保证空间；

●预分配一个最小存储空间，这是保证最小空间(暗示所述容量在一些情况下可以被扩展)；

●最大努力(比如，合同规定，需要安全元件发行者使用他最大的努力执行他的责任，以使得用户得到的利益最大化)。

在一个实施例中，所述安全元件发行者使用所述TSM网页入口完成这项工作。

1.对于一批安全元件，所述安全元件发行者可以为服务提供者预分配一个存储策略以通过TSM网页入口安装它的应用；

2.当移动装置请求安装一个应用时，TSM服务器认证相应的服务提供者的空间是否符合它的存储策略；如果不符合，则拒绝这个请求；否则，所述TSM服务器将处理所述配置请求；

3.如果配置成功，所述TSM将积累这个应用服务的存储大小。

当一个移动用户订阅一个移动应用(假如它已经安装)，在所述应用使用之前该应用需要经由移动装置上的安全元件配置。在一个实施例中，所述配置过程包括四个主要阶段；

●如果需要，在所述安全元件上创建补充安全域(SSD)；

●在所述安全元件上下载并安装一个应用；

●在所述安全元件个人化所述应用；

●下载UI(用户界面)组件至移动装置上。

图2B示出了根据本发明的一个实施例的配置一个或多个应用的流程或过程220。所述过程220可以实现为软件或软件和硬件的组合。在一个实施例中，所述应用配置过程220需要进入在移动装置上的配置管理器(比如代理)以与其内的安全元件交互。

如图2B所示，在操作222处，所述应用配置过程220可以是自动或手动开始。比如，假设它还未被配置，用户可以通过选择一个已安装应用去订购相关服务以启动所述配置过程，或在激活所述已安装应用时启动所述配置过程。在另一个实施例中，应用提供者发送一个信息(比如短信)至所述移动电话以开始所述配置过程。

在任何情况下，所述程序220进入操作224，从移动装置的安全元件中提取所述装置信息(比如，CPLC)后，与专用服务器(比如TSM服务器或由应用发行者运营的服务器)建立通信。在操作226处，所述装置信息与识别应用的标识符一起被传送至所述服务器。在操作228，所述服务器首先基于所述装置信息识别所述安全元件的发行者，以在230操作中确定是所述安全元件是否已经被个人化。如果所述安全元件还未被个人化，所述过程220进入操作232，以个人化所述安全元件，所述操作232的一个实施例可以根据图1B中的过程110来实现。

现假设移动装置中的安全元件已经被个人化。所述过程220进入操作234，在这里使用派生ISD与所述安全元件建立安全通道。根据谁为ISD提供硬件安全模块HSM(比如TSM或SE发行者)，所述服务器将联系所述硬件安全模块去为所述安全元件计算派生ISD，并使用该派生ISD与所述安全元件建立安全通道。随后，在操作中236，所述服务器检查是否有与该应用相关的一个SSD。如果该应用没有一个对应的SSD，所述服务器将检查数据库看它是否已经安装于所述安全元件上。如果需要SSD安装，所述流程220进入240去安装所述SSD。在一个实施例中，提醒所述用户所述SSD(密钥)的安装。在操作238，假设用户拒绝安装所述SSD，所述过程220停止并进入操作222，重新开始所述配置过程220。

现假设在操作240中执行安装SSD过程。安装所述SSD与安装ISD类似。所述TSM服务器联系其内有主SSD密钥的硬件安全模块HSM，为所述安全元件计算派生SSD密钥集。所述主SSD密钥可以在TSM、服务提供者、或安全元件发行者中，这主要取决于各方是如何协定的。

为了在安全元件中下载/安装应用，在操作242，所述服务器用来使用派生SSD与所述安全元件建立安全通道。在一个实施例中，这类似于如何基于派生ISD建立安全通道。在操作244，准备所述应用的数据，它的细节将在下文详细描述。根据一个实施例，所述服务器联系所述服务提供者，以准备存储数据应用协议数据单元APDUs。根据安装于移动装置中一个应用，所述服务器可以重复发布存储数据以个人化所述应用。假如成功执行了所述配置程序，包括一个适当接口(比如，每个移动装置的应用的用户接口)的额外数据可以被下载。在操作246，所述服务器向一个应用提供者通知已经配置的应用的状态。

如图2B中的操作244，配置应用的一个重要应用在于为目标安全元件准备定制应用数据。比如，对于电子钱包应用，该应用的个人化数据包括基于安全元件的装置信息(比如CPLC信息)产生的各种个人化交易密钥。为了搬运电子钱包，个人化数据的部分包括源自Mifare卡片的标识符的Mifare访问密钥，所述服务器既可以个人化Java卡片应用，也可以个人化Mifare4Mobile服务对象。通常，至少有两种不同的准备数据的方式，以方便随后的交易。

为了数据准备，本发明的一个实施例支持与所述服务提供者交互的两种模式以计算个人化应用数据。对于第一种模式，所述TSM服务器不直接访问与服务提供者关联的硬件安全模块。所述服务提供者可以使与它的硬件安全模块交互的服务器产生应用密钥(比如，传输、电子钱包或Mifare密钥)。所述TSM数据准备实现是使用应用程序接口(API)或服务器提供的协议去请求派生应用密钥(derivedapplicationkey)。第二种模式是数据准备实现可以直接访问与服务提供者相关的硬件安全模块以产生应用密钥。

当个人化便携式电话282时，图3A中的(结构图)300展示了相关模块互相作用，以完成电子钱包由授权人进行个人化的过程。图3B中的(结构图)320展示了相关模块互相作用，以完成电子钱包由其用户进行个人化的过程。

图3C中的流程或(过程图)350展示了根据本发明的一个具体实施例，个人化电子钱包applet程序的过程。图3C建议与图3A和图3B结合起来一同理解。（过程图）350可以通过软件、硬件或软硬件结合的方式实现。

如前所述，电子钱包管理器建立于已经个人化的安全元件之上，以提供个人化电子钱包applet程序时所需的安全机制。在实际操作中，安全域被用来建立连接个人化应用服务器与所述电子钱包applet程序的安全通道。根据一个具体实施例，经过个人化并被存入所述电子钱包applet程序的关键数据包括一个或多个操作密钥(例如载入或充值密钥和购买密钥)，预设的个人识别号码，管理密钥(例如阻塞解除PIN密钥和重新载入PIN密钥)，以及密码〔例如来自Mifare的密码〕。

假定用户想要个人化内嵌在便携设备(例如一台便携式电话)中的电子钱包applet程序。在图3C的步骤352中，个人化过程被启动。根据具体实现的不同，个人化过程可能在便携设备内的模块中实现，并由手动或自动方式激活，也可能实现为由授权人(通常是与卡片发行商有联系的人员)启动的一个物理过程。如图3A所示，授权人启动个人化过程304，以个人化用户的电子钱包applet程序，所述个人化过程304在现有的(existing)新电子钱包安全识别模块306和现有的安全识别模块308上，通过作为界面的非接触读取器310来进行。卡片管理器311执行至少两项功能：(1)通过安全域建立安全通道，以在卡片个人化过程中，安装和个人化外部应用程序〔例如电子钱包applet程序〕；以及〔2〕创建安全措施(例如个人识别号码)，以在后续的操作中保护所述应用程序。作为所述个人化过程使用个人化应用服务器304的结果，所述电子钱包applet程序312和模拟器314被个人化。

相似地，如图3B所示，电子钱包用户希望启动个人化过程，以通过无线方式(例如通过图2中的移动商务路径)个人化电子钱包applet程序。与图3A不同，图3B允许所述个人化过程由手动或自动方式激活。例如，便携式电话上装有一个装置，如果该装置被按下，则激活所述个人化过程。在另一种方案中，“未个人化”的状态提示可被提交给用户以启动所述个人化过程。如前所述，便携设备中的MIDlet程序322〔即一个服务管理器〕充当代理以协助支付服务器324与电子钱包applet程序312以及模拟器314之间的通信，其中支付服务器324拥有访问现有的新电子钱包安全识别模块306和现有的安全识别模块308的权限。经过所述个人化过程，电子钱包applet程序312和模拟器314被个人化。

现在转回参见图3C，在图3A中所示的个人化过程被启动以后，非接触读取器310被激活并在步骤354中从设备内的智能卡中读取标签标识符(ID)(即RFID标签ID)和关键数据。通过应用安全域(例如卡片发行商的默认安全设置)，在步骤356中建立连接新电子钱包安全识别模块(例如图3A中的安全识别模块306)与便携设备中电子钱包applet程序(例如图3A中的电子钱包applet程序312)的安全通道。

全球平台的每个应用安全域都包括三个DES密钥。例如：

密钥1：255/1/DES-ECB/404142434445464748494a4b4c4d4e4f

密钥2：255/2/DES-ECB/404142434445464748494a4b4c4d4e4f

密钥3：255/3/DES-ECB/404142434445464748494a4b4c4d4e4f

安全域被用来为两个实体之间的安全会话生成会话密钥，所述两个实体可以是卡片管理器applet程序和主应用程序(hostapplication)，其中所述主应用程序可能是桌面机中的个人化应用程序，也可能是由后端服务器提供的网络化的个人化服务。

默认的应用域可由卡片发行商安装，并分配给不同的应用/服务提供商。各应用程序所有者可在个人化过程之前(或在所述过程的最初阶段)变更各自密钥组的数值。之后应用程序可以使用所述的新密钥组来创建用于执行个人化过程的安全通道。

通过由应用提供商的应用安全域建立的所述安全通道，第一组数据可被个人化并存入电子钱包applet程序。第二组数椐同样可以通过同一条通道进行个人化。但是，如果所述数据保存在不同的安全识别模块中，则一条使用相同密钥组(或不同密钥组)的新的安全通道可被用于个人化所述第二组数据。

在步骤358中，通过新电子钱包安全识别模块306生成一组电子钱包操作密钥和个人识别号码，以用于新电子钱包安全识别模块与电子钱包applet程序之间的数据交换，并在实质上个人化所述电子钱包applet程序。

在步骤360中第二条安全通道在现有安全识别模块(例如图3A中的安全识别模块308)与便携设备中的电子钱包applet程序(例如图3A中的电子钱包applet程序312〕之间被建立。步骤362中使用所述现有安全识别模块和标签ID生成一组转换后的密钥。所述转换后的密钥保存在所述模拟器中以用于之后的数据访问认证。步骤358中使用所述现有安全识别模块和标签ID生成一组MF密码，并将所述密码存入电子钱包applet程序以用于之后的数据访问认证。上述操作全部完成后，所述电子钱包，包括所述电子钱包applet程序和对应的模拟器，将被设置为“已个人化”状态。

图4A为本发明的支持多个支付卡的移动装置410在一个实施例中的框架示意图。所述移动装置可以是移动电话、平板电脑等便携式电子设备。对于智能手机来说，可通过WiFi或移动网路(4G/3G/GPRS)，与后台TSM服务器通讯。如图4A所示的，所述移动装置410包括：已经被个人化的安全元件411：安装于所述安全元件411内并被个人化的卡代理模块414；注册于所述卡代理模块414中的多个支付卡415，比如支付卡1,2，……，n，n大于等于1；近场通信接口413；运行于所述移动装置中的应用交互模块412。所述卡代理模块414能够通过所述近场通信接口413与外部读卡器420进行数据交换。所述多个支付卡415注册于所述卡代理模块414中以在所述卡代理模块414中形成支付卡列表，所示支付卡列表记录有各个支付卡的访问标识。所述卡代理模块414根据应用交互模块412的指令从支付卡列表中选中一个支付卡作为有效支付卡，所述卡代理模块414与所述有效支付卡进行数据交换，并代表所述有效支付卡与所述外部读卡器420的数据交换。这样所述外部读卡器420就能够经过近场通讯接口413、卡代理模块414与所述有效支付卡进行数据通讯。

图4B为本发明的支持多个支付卡的移动装置430在一个实施例中的框架示意图，所述移动装置430可以是智能手环、智能手表等便携式电子设备。所述移动装置430包括：安全元件431：安装于所述安全元件431内并被个人化的卡代理模块434；注册于所述卡代理模块434中的多个支付卡435；近场通信接口433；以及无线通讯接口432。所述卡代理模块434同样能够通过所述近场通信接口433与外部读卡器450进行数据交换。所述多个支付卡435注册于所述卡代理模块434中以在所述卡代理模块434中形成支付卡列表，所示支付卡列表记录有各个支付卡的访问标识。所述移动装置430通过无线通讯接口432与智能终端440中运行的应用交互模块441进行通讯。所述智能终端440可以是智能手机、平板电脑等设备，所述无线通讯接口432可以是蓝牙通讯接口，该移动装置430通过智能终端440与后端的TSM服务器通讯。同样的，所述卡代理模块434根据应用交互模块441的指令从支付卡列表中选中一个支付卡作为有效支付卡，所述卡代理模块434与所述有效支付卡进行数据交换，并代表所述有效支付卡与所述外部读卡器450的数据交换。这样所述外部读卡器450就能够经过近场通讯接口433、卡代理模块434与所述有效支付卡进行数据通讯。

在一个实施例中，所述卡代理模块414或434为交通卡代理模块，所述支付卡415或435为交通卡，所述应用交互模块412或441为交通应用交互模块，所述读卡器420或450为公交POS机。所述交通应用交互模块412或441发送指令给该交通卡代理模块414或434，以指示所述卡代理模块414或434从支付卡列表中选中一个支付卡作为有效支付卡，这样所述公交POS机420或450就能够经过近场通讯接口413或433、卡代理模块414或434与所述有效支付卡进行数据通讯。

在一个应用中，所述交通卡可以包括杭州交通卡、苏州交通卡和深圳交通卡等多个不同城市的交通卡，所述交通应用交互模块可以是运行于智能手机上的一个应用程序，比如APK程序。由于不同的城市的POS机(即读卡器)不同，其只能与自己城市中的交通卡进行数据交换。为了使得用户可以在不同的城市都可以刷自己的手机实现公交刷卡，用户可以通过所述交通应用交互模块更换所述交通卡代理模块中的有效交通卡，比如到了杭州市，则将杭州市的交通卡激活为有效交通卡，这样就可以利用智能手机400或智能手环430刷卡上杭州的公交车，再比如到了苏州市，则将苏州市的交通卡激活为有效交通卡，这样就可以利用智能手机400或智能手环430刷卡上苏州的公交车。这样，通过交通应用交互模块412或441不需要连线可信服务器就可以实现移动装置上的有效交通卡的切换，简单方便。

在一个实施例中，所述安全元件的个人化过程包括：在所述移动装置400或430和可信服务器(TSM)之间开始数据通信，所述移动装置430需要借助智能终端440才能与所述可信服务器通讯；在所述可信服务器确定所述安全元件已注册于其上后，响应所述可信服务器的请求接收来自所述移动装置的安全元件的装置信息，其中所述装置信息是唯一标识所述安全元件的字符串，所述请求是使得所述移动装置从所述安全元件中提取所述装置信息的命令；和，发送一组指令使得所述移动装置接收来自指定地方的至少一密钥集，并存储于所述安全元件内，其中所述密钥集是根据所述安全元件的装置信息产生的。

图5示意出了所述卡代理模块的安装及个性化过程的一个实施例。当智能手机上的应用交互模块APK第一次运行的时候，会对安全元件做一些检测的工作，判断在安全元件中是否存在卡代理模块，如果不存在，则开始了图5所述的安装及个性化过程。

步骤510，通过网络连接上可信服务器，请求执行下载安装操作，并上传请求数据。

步骤520，可信服务器对上传请求数据执行验证，验证成功后，在所述安全元件和所述可信服务器之间建立安全通道；

步骤530，下载并安装卡代理模块到所述安全元件上。

步骤540，连接上所述可信服务器，请求执行个人化操作，并上传请求数据；

步骤550，可信服务器对上传请求数据执行验证，验证成功后，在卡代理模块和所述可信服务器之间建立安全通道；

步骤560，执行所述卡代理模块的个人化操作；

步骤570，向所述应用交互模块反馈个人化成功的消息。

图6A示意出了一个支付卡的注册过程示例。当用户希望在卡代理模块中注册一个新的支付卡时，可以执行图6A所示的过程。

步骤610，通过网络连接上所述可信服务器，请求执行注册一个支付卡应用操作，并上传请求数据；

步骤620，所述可信服务器对上述请求数据执行验证，验证成功后，建立与所述卡代理模块的安全通道；

步骤630，基于所述安全通道执行注册支付卡应用的操作，在所述卡代理模块的支付卡列表中增加该支付卡的列表项；

步骤640，向所述应用交互模块反馈注册成功的消息。

这样，所述卡代理模块可以为多个支付卡设立对应的列表项。

图6B示意出了一个支付卡的注销过程示例。当用户希望在卡代理模块中注销一个支付卡时，可以执行图6B所示的过程。

步骤650，通过网络连接上可信服务器，请求执行注销支付卡应用操作，并上传请求数据；

步骤660，可信服务器对上传请求数据执行验证，验证成功后，建立与所述述卡代理模块的安全通道；

步骤670，基于安全通道执行注销支付卡应用的操作，在所述卡代理模块的支付卡列表中删除该该支付卡的列表项；

步骤680，向所述应用交互模块反馈注销成功的消息。

图7A示意出了激活一个支付卡的过程示例。当用户将一个支付卡设定为有效支付卡时，可以执行图7A所示的过程。

步骤710，接收到所述应用交互模块的激活一个支付卡的指令；

步骤720，所述卡代理模块从支付卡列表中选中该支付卡的列表项；

步骤730，执行激活应用的操作以将选中的列表项对应的支付卡作为有效支付卡；

步骤740，向所述应用交互模块反馈激活成功的消息。

图7B示意出了撤销有效支付卡的过程示例。当用户希望撤销有效支付卡时，可以执行图7B所示的过程。

步骤750，接收到所述应用交互模块的撤销有效支付卡的指令；

步骤760，所述卡代理模块从支付卡列表中选中该有效支付卡的列表项；

步骤770，执行反激活应用的操作以撤销该有效支付卡；

步骤780，向所述应用交互模块反馈反激活成功的消息。

这样，在不连线TSM服务器的情况下，用户通过应用交互模块就可以实现有效支付卡的切换，简单方便。通过安全元件中的JAVA卡共享对象接口(JavaCardShareObjectInterface)方式和通过移动终端应用让用户选择激活或者默认SE中的应用的方法，解决多张支付卡默认冲突及AID冲突问题。

图8为本发明的支持多个支付卡的移动装置810在一个实施例中的框架示意图。如图8所示的，所述移动装置410包括：已经被个人化的安全元件811：安装于所述安全元件811内并被个人化的卡代理模块814；注册于所述卡代理模块814中的多个支付卡815；近场通信接口813；运行于所述移动装置中的应用交互模块812。所述卡代理模块814能够通过所述近场通信接口813与外部读卡器进行数据交换。所述多个支付卡815注册于所述卡代理模块814中以在所述卡代理模块814中形成支付卡列表，所示支付卡列表记录有各个支付卡的访问标识。

下面仍以交通应用为例进行介绍，当然很显然也可以扩展到其他支付领域。在此应用中，公交读卡器有两类，第一类公交读卡器是传统读卡器820，传统读卡器820不能提供其需要访问的支付卡的访问标识，只能直接访问接触到的支付卡；第二类公交读卡器是智能读卡器830，智能读卡器830能够提供其需要访问的支付卡的访问标识。此例中，所述卡代理模块814包括有主卡代理单元8141。

在第一应用情形下，所述读卡器为传统读卡器820，此时，所述主卡代理单元8141根据应用交互模块812的指令从支付卡列表中选中一个支付卡作为主有效支付卡，所述主卡代理单元8141能够与其对应的主有效支付卡进行数据交换，所述主卡代理单元8141代表所述主有效支付卡与传统读卡器的数据交换。也就是说，用户可以通过移动装置810在传统读卡器820上刷卡上公交车，此时是所述主卡代理单元8141代表选定的主有效支付卡与传统读卡器820的数据交换。如果用户换到另一个城市中，用户可以切换所述主有效支付卡，从而可以在不同城市刷移动装置810上公交车。

在第二应用情形下，所述读卡器为智能读卡器830，该智能读卡器830向安全元件811提供其需要访问的支付卡的访问标识，此时需要访问的支付卡的访问标识对应支付卡列表中的唯一的一个支付卡，此时智能读卡器830能够跳过所述卡代理模块814直接与需要访问的支付卡的访问标识对应的支付卡进行数据交换。也就是说，用户可以通过移动装置810在智能读卡器830上刷卡上公交车，此时智能读卡器830不通过卡代理模块814与对应的支付卡进行数据交换，而是直接与需要访问的支付卡进行数据交换。在此应用情形下，由于是智能读卡器，因此即便用户从一个城市到另一个城市，也不需要更换支付卡，同样可以完成刷移动装置810上公交车。然而，目前智能读卡器830并不普及，而且为了兼容传统读卡器820，所述卡代理模块814还是必不可少的。

由于支付卡的访问标识管理不规范，可能造成不同的两个城市的支付卡的访问标识会完全相同，比如苏州交通卡和深圳交通卡的访问标识可能相同。而同时访问标识相同的多个支付卡也被安装入了安全元件811和卡代理模块814中，此时即便是智能读卡器830也不能正常的与访问标识相同的多个支付卡中的任何一个进行数据交换。因此在此例中，在所述卡代理模块814中增加了从卡代理单元8142。

在一个实施例中，如果所述主卡代理单元8141选中的主有效支付卡的访问标识与支付卡列表中的另一个支付卡的访问标识相同，那么所述从代理单元8142也会选中该同一个支付卡作为从有效支付卡，所述从代理模块8142能够与其对应的从有效支付卡进行数据交换，所述从卡代理单元8142代表所述从有效支付卡与智能读卡器进行数据交换。

此时就产生了第三应用情形，此时，所述读卡器为智能读卡器830，该智能读卡器830向安全元件811提供其需要访问的支付卡的访问标识，该需要访问的支付卡的访问标识在所述支付卡列表中对应多个支付卡，那么此时由所述从卡代理单元8142代表所述从有效支付卡与智能读卡器830进行数据交换。也就是说，用户可以通过移动装置810在智能读卡器830上刷卡上公交车，此时由于支付列表中具有与需要访问的支付卡的访问标识对应的多个支付卡，因此需要从卡代理单元8142代表所述从有效支付卡与智能读卡器830进行数据交换。这样可以解决多个支付卡的访问标识冲突的问题，同时也能适用于不同类型的读卡器。

在一个优选的实施例中，在所述主卡代理单元8141与传统读卡器不能正常进行数据交换时，所述卡代理模块814通知所述应用交互模块812进行支付卡切换，所述主卡代理单元8141根据应用交互模块的指令在从支付卡列表中选中另一个支付卡作为主有效支付卡。比如刷卡不成功，可以通知应用交互模块812进行支付卡的切换，用户自己决定是否切换有效支付卡，从而可以提高用户体验。

在一个优选的实施例中，在所述从卡代理单元8142与智能读卡器830不能正常进行数据交换时，所述卡代理模块814通知所述应用交互模块812进行支付卡切换，所述从卡代理单元8142根据应用交互模块812的指令在从支付卡列表中选中另一个支付卡作为从有效支付卡，所述主代理单元8141也根据应用交互模块812的指令在从支付卡列表中选中该另一个支付卡作为主有效支付卡。比如刷卡不成功，可以通知应用交互模块812进行支付卡的切换，用户自己决定是否切换有效支付卡，从而可以提高用户体验。

本发明更适合采用软件形式实现，但也可用硬件或软硬件结合的形式实现。本发明也可被实现为计算机可读媒体上的可被计算机读取的代码。所述计算机可读媒体是任何可以保存能够被计算机系统读取的数据的数椐存储装置。计算机可读媒体的实例包括只读存储器，随机存取存储器，CD光盘(CD-ROM)，数字化视频光盘(DVD)，磁带，光学数据存储装置，以及载波。所述计算机可读媒体也可分布在通过网络相连的多台计算机系统中，这样所述可被计算机读取的代码将以分布式的方式存储和运行。

上述说明已经充分揭露了本发明的具体实施方式。需要指出的是，熟悉该领域的技术人员对本发明的具体实施方式所做的任何改动均不脱离本发明的权利要求书的范围。相应地，本发明的权利要求的范围也并不仅仅局限于前述具体实施方式。

Claims (16)

1.一种支持多个支付卡的移动装置，其特征在于，其包括：

已经被个人化的安全元件：

安装于所述安全元件之内并被个人化的卡代理模块，其能够通过所述近场通信接口与外部读卡器进行数据交换；

多个支付卡，其注册于所述卡代理模块中以在所述卡代理模块中形成支付卡列表；

其中所述卡代理模块根据应用交互模块的指令从支付卡列表中选中一个支付卡作为有效支付卡，所述卡代理模块与所述有效支付卡进行数据交换，并代表所述有效支付卡与所述外部读卡器的数据交换。

2.根据权利要求1所述的移动装置，其特征在于：其还包括有应用交互模块，用户通过所述应用交互模块向所述卡代理模块发送指令以指示所述卡代理模块从支付卡列表中选中一个支付卡作为有效支付卡。

3.根据权利要求1所述的移动装置，其特征在于：其包括有无线通讯接口，所述卡代理模块通过所述无线通讯接口接收来自所述应用交互模块的指令。

4.根据权利要求1所述的移动装置，其特征在于：所述卡代理模块的安装及个性化过程包括：

通过网络连接上可信服务器，请求执行下载安装操作，并上传请求数据；

可信服务器对上传请求数据执行验证，验证成功后，在所述安全元件和所述可信服务器之间建立安全通道；

下载并安装卡代理模块到所述安全元件上；

通过网络连接上所述可信服务器，请求执行个人化操作，并上传请求数据；

可信服务器对上传请求数据执行验证，验证成功后，在所述卡代理模块和所述可信服务器之间建立安全通道；

执行所述卡代理模块的个人化操作。

5.根据权利要求1所述的移动装置，其特征在于：在所述卡代理模块中注册一个支付卡的过程包括：

通过网络连接上所述可信服务器，请求执行注册支付卡应用操作，并上传请求数据；

所述可信服务器对上述请求数据执行验证，验证成功后，建立与所述卡代理模块的安全通道；

基于所述安全通道执行注册支付卡应用的操作，在所述卡代理模块的支付卡列表中增加该支付卡的列表项。

6.根据权利要求5所述的移动装置，其特征在于：所述卡代理模块从支付卡列表中选中一个支付卡作为有效支付卡的过程包括：

接收到所述应用交互模块的激活一个支付卡的指令；

所述卡代理模块从支付卡列表中选中该支付卡的列表项；

执行激活应用的操作以将选中的列表项对应的支付卡作为有效支付卡；

向所述应用交互模块反馈激活成功的消息。

7.根据权利要求1-6任一所述的移动装置，其特征在于：

所述卡代理模块为交通卡代理模块，

所述支付卡为交通卡；

所述应用交互模块为交通应用交互模块。

8.根据权利要求1-6任一所述的移动装置，其特征在于：

所述支付卡列表记录有每个支付卡的访问标识，

所述卡代理模块包括有主卡代理单元和从卡代理单元，所述外部读卡器包括第一类外部读卡器和第二类外部读卡器，其中第一类外部读卡器不能提供其需要访问的支付卡的访问标识，第二类外部读卡器能够提供其需要访问的支付卡的访问标识，

所述主卡代理单元根据应用交互模块的指令从支付卡列表中选中一个支付卡作为主有效支付卡，所述主卡代理单元能够与其对应的主有效支付卡进行数据交换，所述主卡代理单元代表主有效支付卡与第一类外部读卡器的数据交换，

如果所述主卡代理单元选中的主有效支付卡的访问标识与支付卡列表中的另一个支付卡的访问标识相同，那么所述从代理单元也会选中该同一个支付卡作为从有效支付卡，所述从代理模块能够与其对应的从有效支付卡进行数据交换，所述从卡代理单元代表所述从有效支付卡与第二类外部读卡器的数据交换。

9.根据权利要求8所述的移动装置，其特征在于：

如果第二类外部读卡器提供的其需要访问的支付卡的访问标识对应所述支付卡列表中的唯一的一个支付卡，则第二类外部读卡器能够跳过所述卡代理模块直接与需要访问的支付卡的访问标识对应的支付卡进行数据交换；

如果第二类外部读卡器提供的其需要访问的支付卡的访问标识对应所述支付卡列表中的多个支付卡，则第二类外部读卡器需要经过所述从卡代理单元与需要访问的支付卡的访问标识对应的多个支付卡中的一个进行数据交换。

10.根据权利要求8所述的移动装置，其特征在于：

在所述主卡代理单元与第一类外部读卡器不能正常进行数据交换时，所述卡代理模块通知所述应用交互模块进行支付卡切换，所述主卡代理单元根据应用交互模块的指令在从支付卡列表中选中另一个支付卡作为主有效支付卡。

11.根据权利要求8所述的移动装置，其特征在于：

在所述从卡代理单元与第二类外部读卡器不能正常进行数据交换时，所述卡代理模块通知所述应用交互模块进行支付卡切换，所述从卡代理单元根据应用交互模块的指令在从支付卡列表中选中另一个支付卡作为从有效支付卡，所述主代理单元也根据应用交互模块的指令在从支付卡列表中选中该另一个支付卡作为主有效支付卡。

12.一种用于支持多个支付卡的移动装置的方法，其特征在于，所述方法包括：

个人化安全元件：

在安全元件之内安装并个人化卡代理模块，所述卡代理模块能够与外部读卡器进行数据交换；

注册多个支付卡于所述卡代理模块中以在所述卡代理模块中形成支付卡列表；

所述卡代理模块接收应用交互模块的指令从支付卡列表中选中一个支付卡作为有效支付卡；和

所述卡代理模块与所述有效支付卡进行数据交换，并代表所述有效支付卡与所述外部读卡器的数据交换。

13.根据权利要求12所述的方法，其特征在于：在所述卡代理模块中注册一个支付卡的过程包括：

通过网络连接上所述可信服务器，请求执行注册支付卡应用操作，并上传请求数据；

所述可信服务器对上述请求数据执行验证，验证成功后，建立与所述卡代理模块的安全通道；

基于所述安全通道执行注册支付卡应用的操作，在所述卡代理模块的支付卡列表中增加该支付卡的列表项。

14.根据权利要求12所述的方法，其特征在于：所述支付卡列表记录有每个支付卡的访问标识，

所述卡代理模块包括有主卡代理单元和从卡代理单元，所述外部读卡器包括第一类外部读卡器和第二类外部读卡器，其中第一类外部读卡器不能提供其需要访问的支付卡的访问标识，第二类外部读卡器能够提供其需要访问的支付卡的访问标识，

所述主卡代理单元根据应用交互模块的指令从支付卡列表中选中一个支付卡作为主有效支付卡，所述主卡代理单元能够与其对应的主有效支付卡进行数据交换，所述主卡代理单元代表主有效支付卡与第一类外部读卡器的数据交换，

如果所述主卡代理单元选中的主有效支付卡的访问标识与支付卡列表中的另一个支付卡的访问标识相同，那么所述从代理单元也会选中该同一个支付卡作为从有效支付卡，所述从代理模块能够与其对应的从有效支付卡进行数据交换，所述从卡代理单元代表所述从有效支付卡与第二类外部读卡器的数据交换。

15.根据权利要求14所述的方法，其特征在于：如果第二类外部读卡器提供的其需要访问的支付卡的访问标识对应所述支付卡列表中的唯一的一个支付卡，则第二类外部读卡器能够跳过所述卡代理模块直接与需要访问的支付卡的访问标识对应的支付卡进行数据交换；

如果第二类外部读卡器提供的其需要访问的支付卡的访问标识对应所述支付卡列表中的多个支付卡，则第二类外部读卡器需要经过所述从卡代理单元与需要访问的支付卡的访问标识对应的多个支付卡中的一个进行数据交换。

16.根据权利要求14所述的方法，其特征在于：

在所述主卡代理单元与第一类外部读卡器不能正常进行数据交换时，所述卡代理模块通知所述应用交互模块进行支付卡切换，所述主卡代理单元根据应用交互模块的指令在从支付卡列表中选中另一个支付卡作为主有效支付卡，

在所述从卡代理单元与第二类外部读卡器不能正常进行数据交换时，所述卡代理模块通知所述应用交互模块进行支付卡切换，所述从卡代理单元根据应用交互模块的指令在从支付卡列表中选中另一个支付卡作为从有效支付卡，所述主代理单元也根据应用交互模块的指令在从支付卡列表中选中该另一个支付卡作为主有效支付卡。