CN1169089C

CN1169089C - 控制便携式物体特别是智能卡的寿命周期的方法和装置

Info

Publication number: CN1169089C
Application number: CNB998155942A
Authority: CN
Inventors: M・比尔克纳; M·比尔克纳; 吉劳德; J·L·吉劳德; 瓦德; L·塔尔瓦德
Original assignee: Gemplus SA
Current assignee: Jin Yatuo; Gemalto Oy
Priority date: 1998-11-13
Filing date: 1999-11-03
Publication date: 2004-09-29
Anticipated expiration: 2019-11-03
Also published as: CN1333900A; US7681029B1; ES2176035T5; DE69901318T3; EP1129430A1; AU1050500A; EP1129430B2; DE69901318T2; ES2176035T3; WO2000030030A1; FR2786008A1; DE69901318D1; EP1129430B1; FR2786008B1

Abstract

本发明涉及一种控制便携式电子物体尤其是智能卡(1)的寿命周期的装置和方法，该寿命周期由连续的状态过渡确定，所说的状态确定了由该物体所提供的服务，所说的物体包括处理单元(2)、程序存储单元(4)和数据存储单元(5)，所说的存储单元中的每个存储单元都具有确定许多配置的内容。该装置的特征在于它包括控制从所说的物体的一个第一状态到第二状态的过渡的控制装置(9，11，12)，以及可取的是，还包括在产生从一个状态到另一个状态的过渡交叉时或在这种过渡交叉请求被拒绝时触发动作的装置。该方法的特征在于它包括取决于在请求在该物体中所应用的状态过渡交叉中所包含的过渡的类型的许多步骤。

Description

控制便携式物体特别是智能卡的寿命周期的方法和装置

本发明涉及便携式物体比如电子微电路卡(公知的智能卡)，这种连接到电子设备能够使电子设备在一种或多种应用中执行特定的功能的电子微电路卡要求它们的寿命阶段可控制。所说的卡实际上通常应用在安全性程度要求较高以防止防欺诈性使用的应用场合中(银行业、通信、身份识别、健康保健等)。例如，文献US 5473690给出了一种包括几种应用的智能卡，通过密码保护这几种应用的实施。如果知道了密码就可以选择一种应用或另外的应用。然而，这种智能卡并不能使某一种应用无效或在任何情况下限制卡的用户的使用作为所说的卡的寿命阶段的功能。

本发明更普通地应用在具有处理单元和程序和数据存储器的任何独立的机载系统中。

在智能卡领域中公知的是，后者是通过组装一个部件(通常包括通过通信总线与存储器进行通信的微处理器)、一个模块(通过导电金属形成的)和一个卡壳体或更普遍的是在其上集成了模块/部件组件的支架而形成，所说的部件连接(在所谓的触点型智能卡的情况下)到该模块以使所说的部件连接到电子读和/或写装置(或耦合器)。在所谓的无触点的智能卡的情况下，所说的模块由天线和通过该部件所形成的组件替代，并且所说的天线集成在所说的支架内。

智能卡的寿命通常可以分为分别对应于所说的卡的制造和使用的前后两个阶段组。这两个阶段组一起形成了所说的卡的使用寿命。智能卡(有或没有触点)的制造由几个阶段组成。

这是因为首先需要有一个电子部件，对该电子部件进行初始化、隔离然后连接到一个模块。所说的电子部件和它所连接的模块随后集成在本身为识别或做广告的目的而印制的支架上或其内。随后对所获得的智能卡进行初始化并进行编程以使其符合在所应用的场合中的使用要求。

智能卡的第二组寿命阶段对应于它的使用。这组阶段本身可以划分为几个阶段，例如，每个阶段对应于例如依据用户的特征智能卡提供给他的服务的取消或加入。

此外不同的参与者(部件制造商、智能卡制造商、智能卡个人服务中心、卡发行商或卡运输商)在智能卡的制造和使用的不同阶段中起作用。因此通过电子部件制造商在硅晶片上输送并有时部分地初始化该部件。这个阶段对应于制造该部件的步骤。随后的步骤是通过智能卡制造商所实施的嵌入步骤。它包括将部件与硅晶片进行隔离、将所说的部件连接到模块(或天线)以及将该组件集成在该支架或卡壳体上。随后的步骤是制备在部件的电子可编程的存储器中所出现的应用结构。这就是电子个人化阶段，它由智能卡的制造商或由个人服务中心或专门从事智能卡的个人化的第三方或由负责最终在市场上发行该卡的发行商本身实施。因此，存在多少参与者或中间商，这种电子个人化阶段因此就可以分解为多少个阶段。随后在使用智能卡的过程中，如我们先前所看到的那样，比较有利的是例如根据卡的用户的特征的变化分为几个阶段。总之，重要的是严格地监测卡的寿命阶段以在任何时候都能够知道所说的卡在它的寿命周期中所处于的当前的寿命阶段。此外，所必需的是，例如通过启动或停止服务，在一方面，在不同的参与商的手中在所说的卡(或部件)的交换的过程中要能够保护对处于写或读模式中的卡的部件的电子编程存储器的访问，而在另一方面，要将对所说的存储器的访问限制为如上文所述的彼此前后的卡的寿命阶段。最后，在卡的运输商在市场上使用它之前有时还需要使智能卡的应用环境生效。例如，个人发行电子钱包型的智能卡必需确保在发行该卡之前所说的卡的余额必需为零。

为了满足这些要求，当前使用了不同的方案。某些方案纯粹是在智能卡的外部实施(制造所说的卡的地方的物理安全性、本身安全制造的运输工具的使用等)。通常还使用其它的方案，这些其它的方案与第一种方案相反，它们涉及卡的内部或植入在该卡中。为保护在读/写模式中对部件存储器的访问以及不可逆地监测卡的不同寿命阶段的逻辑指示器，因此进行保密。为此，在智能卡的不同的寿命阶段的终点上将在智能卡的部件的不可擦的存储器内的位设置为有效状态(所说的部件的制造商制造和初始化部件，智能卡制造商嵌入和初始化智能卡的存储器，个人化中心或卡的发行商制备智能卡存储器的应用结构等)。根据这些指示器，通过智能卡部件的微处理器所执行的植入在所说的卡部件的一个存储器内的程序(或操作系统)使它的特性符合所说的卡彼此前后的寿命阶段。因此可以修改、增加或删除功能。

不管目前使用什么方案，它们都是基于与卡的制造过程相关的不同的参与者相信第三方的事实。只有在两个不同的参与者之间传递的过程中有窃取部件或卡的人被认为是“可能的诈骗者”，上文所述的方案能够使它们不能得逞。根据不可逆的指示器卡的操作系统的改进提供了一种并非不重要的优点。因此如果部件或卡的制造商记录系统数据或秘密数据，例如卡的发行商不能随便地分配所说的秘密数据或修改所说的系统数据。然而，这个方案并不能解决由某一个参与者所造成的卡的欺诈性的初始化或在所说的初始化的过程中不适当的过失的问题。

本发明试图解决本领域的当前技术状态中所存在的缺陷。具体地说，本发明包括：给智能卡的操作系统提供软件装置，该软件装置使所说的操作系统能够根据对在这个相同的智能卡的存储器中的内容的一组校验来控制在所说的卡的寿命阶段中的不可逆的改变。此外本发明还能够在寿命阶段的改变过程中使卡的操作系统能够自动地触发动作以适应由所说的卡的所说的操作系统所提供的服务。

最后，本发明涉及一种控制便携式电子物体的寿命周期的装置，该寿命周期由连续的状态过渡确定，所说的状态确定了由该物体所提供的服务，所说的物体包括处理单元、易失存储器、程序存储器和数据存储器，这些存储器中的每个存储器都具有确定许多配置的内容，其特征在于它具有控制从便携式电子物体的第一状态到第二状态的过渡的装置。

依据本发明的装置的其它的特征：

-控制装置具有：

-启动状态过渡实施和/或禁止实施该状态过渡的装置；

-根据要实施的状态过渡校验便携式电子物体的易失存储器的内容、数据存储器的内容和程序存储器的内容；

-用于在处理请求的过程中触发动作以实施状态过渡的装置。

此外，本发明涉及一种包含有所说的寿命控制装置的便携式电子物体，这种便携式电子物体特别是智能卡。

此外，本发明涉及一种控制便携式电子物体的寿命周期的方法，在状态过渡请求之后在该物体内实施所说的方法，

其特征在于它包括：

-使所说的请求的启动有效的步骤；

-评价与所请求的过渡相关的校验的步骤；

-如果并且只有在所请求的过渡被启动了以及如果满足对该物体的配置的校验则修改物体的当前状态的步骤。

依据其它的特征，该方法可能还包括：

-执行系统动作的步骤；

-在所请求的过渡被启动了并且如果满足与所请求的过渡相关的校验的情况下执行肯定动作的步骤；

-在与所请求的过渡相关的校验不满足的情况下执行否定动作的步骤。

通过阅读下文的描述以及所附的附图可以更清楚地理解本发明。下文的描述仅是为了说明的目的并不构成对本发明的限制。

附图所示为：

附图1：具有状态过渡校验装置的智能卡的一部分；

附图2a和2b：状态过渡表的详细表示；

附图3：过渡校验表的详细表示；

附图4：动作表的详细表示；

附图5：应用过渡校验装置在该方法中所实施的步骤的说明；

附图6a至6d：在电子钱包型智能卡的实例中所实施的具体细节。

在本发明中，术语参考状态是指位于程序存储器中的这样的状态：从该状态可以切换到与在过渡表中所描述的过渡交叉点之后的另一个状态。如下文所描述，在制造该部件的步骤完成之后可以加入新的状态和新的过渡。在这种情况下，使用附加的状态以便表示与参考状态相对应的这些状态的特征。此外，机载系统所处于的状态称为当前的状态。

附图1所示为依据本发明具有过渡校验装置的智能卡的部件1。该部件具有通过通信总线6与存储器3、4和5连接的处理单元2或微处理器。不可擦的程序存储器4(或ROM)一方面具有程序区7，所说的程序(或单板系统)能够由所说的处理单元执行，另一方面具有预定义的数据区10，该数据区10包含有所说的操作系统所使用的常数。在区域10的所说的常数中，包含有称为校验引擎9的操作系统7应用过渡表11和校验表12，该过渡表11能够指定它可以从当前的状态进行访问的状态，该校验表12能够与涉及存储器3、4和/或5的内容相关的每个状态过渡校验相关联。在一种变型方案中，当过渡相交叉或这个交叉点被拒绝时校验引擎9自动触发动作。为此，程序存储器的区域10包含了动作表13，动作表13能够使要执行的动作与每个可能的状态过渡相关联。

易失存储器3(或RAM，英语表示为“Random Access Memory”)使处理单元2临时地存储从植入在程序存储器4中的程序所描述的计算中得出的结果或秘密数据。在每次部件1通电时或每次请求部件复位时都擦除存储器3的内容。

通常应用EEPROM技术(英语表示为Electrically ErasableProgrammable Read Only Memory)的可电擦除的数据存储器5具有执行程序7所需的数据变量的区域14。这个区域14尤其是包含有称为能够存储便携式电子物体的当前状态的“当前状态”的数据项8。数据存储器5还具有区域15，该区域15可选择地包括在需要将状态加入到参考状态中的情况下表11至13的扩展部分。然后区域15包含有过渡表16的扩展部分和校验表17的扩展部分，并且如果希望将动作与新的附加状态过渡联系起来则还可以包括动作表18的扩展部分，如前文从表13中所看到的那样。在相对于参考状态增加状态的情况下，有时关键是增强操作系统7。为此，存储器5还可能包括区域19，该区域19包含有通过处理单元2依次执行的附加程序。

附图2a所示为过渡表11的可能的使用。如果假设考虑i个参考状态，则可以设想包括i个列和i个行的过渡表。该列对应于在给定的时间上可能是当前状态的参考状态。第一个i行对应于从当前状态可以访问的参考状态。因此，在对应于在所说的表中的行和列的交叉点的过渡表11中的单元中的值能够对没有启动的过渡(例如零值-这就具有过渡20的情况)或启动过渡(非零值-这是具有过渡21的情况)进行编码。在所启动的过渡的情况下，过渡校验引擎在校验表12内搜索要进行的校验以接收或拒绝所请求的过渡的交叉点。

附图2b也示出了在可能将状态(附加状态)加入到参考状态中的情况下可能实施的过渡表。过渡表包括与附图2a相比较的附加行。第(i+1)行指示能否实现从当前的参考状态到附加状态的过渡。因此单元22的值表示从参考状态到附加状态的过渡。单元23表示它将能够从参考状态Ei切换到附加状态。然后需要过渡表的扩展部分16。后者具有对应于j个附加状态的j个行，可以从由过渡表的扩展部分16的(i+j)个列所表示的可能的(i+j)个当前状态到该附加状态的访问。因此在过渡表中的单元23和过渡表的扩展部分16的单元24的组合指示了能够从参考状态Ei切换到附加状态E(i+1)的校验引擎。

附图3所示为校验表的使用。校验表12位于存储器4的预定数据区10内。每个所启动的过渡在所说的表中具有入口。入口包括识别过渡的字段30和包含有操作系统7的程序32的坐标(或地址)的字段31。校验引擎9因此能够使处理单元2执行所请求的控制以接收过渡的交叉点。附图3还示出了校验表的扩展部分17的结构。在与表12相同的方式中，校验表17的扩展部分对于每个可能的过渡都具有一个入口。每个入口包括两个字段，即用于识别过渡的字段33和包含操作系统的程序35或位于在数据存储器5(在区域19中)中的附加程序的坐标(或地址)的字段34，如附图3所示。

附图4所示为位于在程序区域4中的预定义数据的区域10中的动作表13。在过渡交叉请求时，可以触发动作。这些动作有三种类型：系统动作、肯定动作(即取决于满足该校验的事实)或否定动作(即取决于不满足该校验的事实)。附图4所示为在每个启动的过渡中在动作表13中具有一个入口。这个入口包括四个字段。第一个字段400识别过渡。另外三个字段401、402和403每个都包含有操作的系统的程序404、405或406的坐标或地址。字段401专用于系统动作，字段402专用于肯定动作，而字段403专用于否定动作。附图4还示出了动作表的扩展部分。这个表18位于部件1的数据存储器5的区域15中。与动作表13的方式相同，动作表18的扩展部分包括每个可能的过渡的一个入口。一个入口包括四个字段。第一个字段407识别过渡。如附图4所示，另外三个字段408、409和410每个都包含有操作的系统的程序411、412或413或位于部件1的数据存储器5的区域19中的程序的坐标或地址。字段408专用于系统动作，字段409专用于肯定动作，而字段410专用于否定动作。

附图5a描述了从第一参考状态到另一个参考状态使状态过渡的交叉点有效或拒绝它的方法。过渡交叉请求可以根据卡的制造商指令形成或由在智能卡的寿命周期中的其它任何参与者形成。所说的请求还直接由卡本身形成，例如通过与过渡相关的动作形成。在附图5a所示的情况中，当前的参考状态是状态Ei。形成了从状态Ei切换到状态Ej的指令50。步骤51由在过渡表11内校验从状态Ei到状态Ej的过渡是否启动的步骤组成。在这种过渡被禁止的情况下，过渡交叉点请求50被拒绝。当前状态仍然保持状态Ei。在另一方面，如果过渡被启动了，则校验引擎9执行与所说的过渡相关的校验。为此校验引擎估计在专用于过渡T(Ei→Ej)的校验表12中的入口。所说的校验的执行对应于该方法的步骤52。校验引擎9根据专用于所说的过渡的动作表13中的入口执行与过渡T(Ei→Ej)相关的系统动作(步骤53)。如果在过渡交叉点请求50时所要求的校验54并不满足，则当前的状态仍然保持不变。依据在与过渡T(Ei→Ej)相关的动作表13中的入口，校验引擎执行否定动作(该方法的步骤55)。然后终止执行该方法。另一方面，如果校验54满足，然后当前的状态变为状态Ej(该方法的步骤56)。然后依据在与过渡T(Ei→Ej)相关的动作表13中的入口的状态执行肯定动作(该方法的步骤57)。然后终止执行该方法。

附图5b描述了从第一附加状态到另一个附加状态使状态过渡的交叉点有效或拒绝它的方法。当前的附加状态是状态Ei。形成了从附加状态Ei切换到附加状态(或参考状态)Ej的指令510。该方法的步骤511由在过渡表16的扩展部分内校验从状态Ei到状态Ej的过渡是否启动的步骤组成。在这种过渡被禁止的情况下，过渡交叉请求510被拒绝。当前状态仍然保持状态Ei。在另一方面，如果过渡被启动了，则校验引擎9执行与所说的过渡相关的校验。为此校验引擎估计在专用于过渡T(Ei→Ej)的校验表17的扩展部分中的入口。所说的校验的执行构成了该方法的步骤512。校验引擎9根据专用于所说的过渡的动作表18的扩展部分中的入口执行与过渡T(Ei→Ej)相关的系统动作(步骤513)。如果在过渡交叉请求510时所要求的校验514并不满足，则当前的状态仍然保持不变。依据在与过渡T(Ei→Ej)相关的动作表18的扩展部分中的入口，校验引擎执行否定动作(该方法的步骤515)。然后终止执行该方法。另一方面，如果校验514满足，然后当前的状态变为状态Ej(该方法的步骤516)。然后依据在与过渡T(Ei→Ej)相关的动作表18的扩展部分中的入口的状态执行肯定动作(该方法的步骤517)。然后终止执行该方法。

附图5c描述了从一个参考状态到一个附加状态使状态过渡的交叉点有效或拒绝它的方法。当前的参考状态是状态Ei。形成了从参考状态Ei切换到附加状态Ej的指令520。该方法的步骤528由在过渡表11内校验从当前参考状态Ei到附加状态Ej的过渡是否启动的步骤组成。在这种过渡被禁止，则该方法终止。当前的状态仍然保持不变。另一方面，如果从所说的参考状态到附加的状态的过渡被启动了，则校验引擎运行该方法的步骤521至527，这些步骤分别与在相关的附图5b中所示的步骤511至517相同。

在附图6a至6d中给出了在电子钱包领域中的应用实例。所说的应用能够通过存储在智能卡中的“电子货币”进行购买支付，而不是现金支付。这种技术的使用要求卡的管理与使用现金一样的安全管理。例如必需避免生成纸币。电子钱包智能卡的安全性通常基于存储在智能卡中的密码，应用加密技术使这种智能卡能够安全地进行交易。这种卡具有提供一组指令和支付货币的服务的操作系统。在电子钱包智能卡的寿命周期开始时，所说的智能卡并没有被初始化。它没有包含信息。附图6所示为预定义的参考状态：

-状态E1“银行卡”(参考标号为80)：只有用于使数据存储器5的工作状态有效的测试指令可以使用(确认EEPROM技术存储器单元能够正确地写入和擦除)；

-状态E2“测试卡”(参考标号82)：测试指令不再有效。在这时可以使用通常称为“物理指令”(例如借助于文件类型的任何逻辑结构的独立物理寻址在写模式中允许访问)的指令。它们使得它能够初始化该卡(在实施该应用所需的逻辑组成的数据存储器的区域14中进行写，即文件、余额等)；

状态E3“初始化卡”(标号84表示)：物理指令不再有效。可以使用使该卡个人化的逻辑指令(在所说的结构中增加新的逻辑结构和初始化数据)。此外，启动恢复机构以使在执行一条所说的逻辑指令的过程中当智能卡断电时智能卡并不失去这些数据的连贯性；

-状态E4“个人卡”(参考标号86)：启动专用于电子钱包应用(借方/贷方)中的逻辑指令。

一组可用的指令依据智能卡所处于的寿命阶段变化。存储在数据存储器中的信息使操作系统能够得知该智能卡所处于的状态。附图6a还示出了在电子钱包型的卡中在参考状态之间的所有的过渡都必需连续地交叉(从状态E1到状态E4)，并且这是不可逆的。任何其它的过渡都被禁止。只可能是在随后应用附加的状态88。这种可能的过渡以标号87表示。依据当前的状态操作系统仅允许专用于每个参考状态的一组指令。

当过渡交叉时要启动的动作和校验描述如下：

-从状态E1至状态E2的过渡(以T(E1→E2)表示和参考标号81表示)；

-校验：无

-系统动作：

擦除数据存储器以防止诈骗者将可由卡的操作系统翻译的数据留在其中；

-从状态E2至状态E3的过渡(以T(E2→E3)表示和参考标号83表示)；

-校验：

-应用物理指令校验写在数据存储器中的数据的完整性(通过数据验证冗余码)；

-验证与所说的数据无关的存储器的空白状态；

-肯定动作；

启动恢复机构；

-从状态E3至状态E4的过渡(以T(E3→E4)表示和参考标号85表示)；

-验证：

-电子钱包的余额无效

-动作：无

-从状态E4至附加状态的过渡(以T(E4→Eadd)表示和参考标号87表示)；

-验证：无

-动作：无

附图6b至6d分别示出了依据本发明的过渡表11、校验表12和动作表13的实施例。在附图6b中所示的过渡表11能够仅使过渡81、83、85和87启动。为此，仅在所说的表中单元60至63包含非零值。在过渡表中的其它的单元包含零值以指示任何其它的过渡被禁止。附图6c所示出的校验表能够使满足启动过渡81、83、85和87的交叉点的校验、通过过渡表11(附图6b)所启动的所说的过渡关联起来。因此在校验表12中的入口包括识别所说的入口专用于过渡81的事实的字段641。入口64还包括字段642，该字段642包含有零坐标以指示没有校验请求，从而指示允许过渡81的交叉点。在一种变型中，过渡81没有关联的入口。这种变型在后面的动作表中示出。校验表12具有入口65，该入口65分别包括表示该入口与过渡83关联的字段651和包含有位于程序存储器中的程序67的坐标的字段652，以便校验引擎能够进行如上文所描述的校验。同样，校验表12具有入口66，该入口66分别包括表示该入口与过渡83关联的字段661和包含有位于程序存储器中的程序68的坐标的字段662，以便校验引擎能够进行如上文所描述的校验。

附图6d给出了动作表13的实施例。所说的表具有入口71，该入口71包括表示所说的入口与过渡81关联的字段711。相同的入口71包含具有位于程序存储器中的程序75的参考的字段712，以便校验引擎能够执行与过渡81相关的系统动作。入口71也包括包含有零坐标的字段713和字段714以给校验引擎指示没有肯定或否定动作与过渡81的交叉相关。同样，动作表13也具有第二入口72，该入口72包括包字段721至724以给校验引擎指示所说的入口与过渡83相关，当所说的过渡交叉时将要执行程序74作为肯定动作，以及没有系统动作或否定动作要执行。在动作表13中没有与过渡85相关的入口表示在所说的过渡交叉时或拒绝交叉时没有动作(系统动作、肯定动作或否定动作)要执行。

通过上文所描述的装置和方法，控制便携式电子物体的寿命周期。每个状态过渡都是不可逆的，并且在每个过渡请求时所进行的校验确保了物体的相关的存储器配置。此外，系统动作、肯定动作或否定动作都能够适应于所说的物体的特性。最后，在规定使从一个或更多的参考状态到附加状态的一个或更多的过渡有效的情况下，能够很容易地延长物体的寿命周期，例如在市场上发行该物体之后，不会转移预先确定的连续的寿命周期(由从一个参考状态到另一参考状态的连续过渡构成)。

消除了在便携式电子物体的初始化的过程中的欺诈或在所说的初始化过程中的不正确的失误的任何危险，同时保留了对物体寿命周期的非常灵活的控制。

Claims

1.一种控制便携式电子物体的寿命周期的装置，该寿命周期由连续的状态过渡确定，所说的状态确定了由该物体所提供的服务，所说的物体包括处理单元(2)、易失存储器(3)、程序存储器(4)和数据存储器(5)，这些存储器(3，4，5)中的每个存储器都具有确定多个配置的内容，

其特征在于它具有应用启动和/或禁止状态过渡的装置控制从便携式电子物体的第一状态到第二状态的过渡的装置，以便仅允许所有可能过渡中的一些过渡。

2.依据权利要求1所述的装置，其特征在于该控制装置包括校验便携式电子物体的易失存储器(3)、数据存储器(5)和程序存储器(4)的内容作为允许实施的状态过渡的功能的装置。

3.依据权利要求1或2所述的装置，其特征在于应用所允许的状态过渡表(11)控制装置启动和/或禁止状态过渡。

4.依据权利要求3所述的装置，其特征在于该控制装置包括：

-在每个允许的状态过渡中要生成的校验表(12)；

-以及应用所说的表的校验引擎(9)。

5.依据权利要求3所述的装置，其特征在于控制从该便携式电子物体的第一状态到第二状态的过渡的装置包括：

-所允许的状态过渡表(11)的扩展部分(16)。

6.依据权利要求4所述的装置，其特征在于控制从该便携式电子物体的第一状态到第二状态的过渡的装置包括：

-所允许的状态过渡表(11)的扩展部分(16)；

-在每个允许的状态过渡中要生成的校验表(12)的扩展部分(17)；

-以及其中该校验引擎(9)应用所说的表的扩展部分(16，17)。

7.依据权利要求1或2所述的装置，其特征在于该控制装置包括在处理请求从便携式电子物体的第一状态到第二状态的过渡的过程中触发动作的装置。

8.依据权利要求7所述的装置，其特征在于在处理请求从便携式电子物体的第一状态到第二状态的过渡交叉的过程中触发动作的装置包括由所说的校验引擎(9)所使用的动作表(13)。

9.依据权利要求8所述的装置，其特征在于在处理请求从便携式电子物体的第一状态到第二状态的过渡交叉的过程中触发动作的装置包括由所说的校验引擎(9)所使用的动作表(13)的扩展部分(18)。

10.一种便携式电子物体，其具有处理单元(2)、易失存储器(3)、程序存储器(4)和数据存储器(5)，其特征在于它包括依据权利要求1至9中任一权利要求控制物体的寿命的装置。

11.一种智能卡，其具有处理单元(2)、易失存储器(3)、程序存储器(4)和数据存储器(5)，其特征在于它包括依据权利要求1至9中任一权利要求控制物体的寿命的装置。

12.一种控制便携式电子物体的寿命周期的方法，该寿命周期由连续的状态过渡确定，所说的状态确定了由该物体所提供的服务，所说的物体包括处理单元(2)、易失存储器(3)、程序存储器(4)和数据存储器(5)，这些存储器(3，4，5)中的每个存储器都具有确定多个配置的内容，

在一状态过渡请求之后在该物体内执行所说的方法，

其特征在于它包括：

-应用启动和/或禁止状态过渡的装置使所说的请求的启动有效的步骤(51，511，528，521)，以便仅允许在所有的可能的过渡中的某些过渡；

-如果所请求的过渡被启动了(51，511，528，521)则进行修改该物体的当前状态的步骤(57，517，527)。

13.依据权利要求12所述的方法，其特征在于它还包括执行系统动作、与所请求的过渡相关的动作的步骤(53，513，523)。

14.依据权利要求12或13所述的方法，其特征在于它包括：

-估计对该物体的配置的校验、与所允许的过渡相关的校验的步骤(52，512，522)；

-以及如果满足对该物体的配置的所说的校验(54，514，524)，执行修改该物体的当前状态的步骤(57，517，527)。

15.依据权利要求14所述的方法，其特征在于如果允许所请求的过渡(51，511，528，521)并且如果满足与所请求的过渡关联的校验(54，514，524)，则它包括执行肯定动作的步骤(56，516，526)。

16.依据权利要求14所述的方法，其特征在于如果不满足与所请求的过渡关联的校验(54，514，524)，则它包括执行否定动作的步骤(55，515，525)。

17.依据权利要求12或13所述的方法，其特征在于如果允许所请求的过渡(51，511，528，521)，则它包括执行肯定动作的步骤(56，516，526)。

18.依据权利要求12或13所述的方法，在请求从第一参考状态到第二参考状态的过渡之后在该物体内执行该方法，其特征在于使所说的请求的启动有效的步骤(51)由分析所允许的过渡表(11)组成。

19.依据权利要求18所述的方法，其特征在于执行系统动作的步骤(53)由如下的步骤组成：

-应用在动作表(13)中与所请求的过渡对应的入口(400，401)，以及

-执行由所说的入口所定义的动作程序(404)。

20.依据权利要求19所述的方法，其特征在于估计与所请求的过渡相关联的校验的步骤(52)由如下的步骤组成：

-应用在校验表(12)中的入口(30)，以及

-执行由所说的入口所定义的校验程序(32)。

21.依据权利要求20所述的方法，其特征在于，如果启动了所请求的过渡(51)以及如果满足与所请求的过渡相关联的校验(54)，则执行由如下步骤组成的肯定动作的步骤(56)：

-应用在动作表(13)中与所请求的过渡相对应的入口(400，402)，以及

-执行由所说的入口所定义的动作程序(405)。

22.依据权利要求21所述的方法，其特征在于，如果不满足与所请求的过渡相关联的校验(54)，则执行由如下步骤组成的否定动作的步骤(55)：

-应用在动作表(13)中与所请求的过渡相对应的入口(400，403)，以及

-执行由所说的入口所定义的动作程序(406)。

23.依据权利要求19所述的方法，其特征在于，如果所请求的过渡启动了(51)，则执行由如下步骤组成的肯定动作的步骤(56)：

-执行由所说的入口所定义的动作程序(405)。

24.依据权利要求12或13所述的方法，在请求从第一附加状态到第二附加状态的过渡之后在该物体内执行该方法，其特征在于使所说的请求的启动有效的步骤(511)由分析所允许的过渡表(11)的扩展部分(16)组成。

25.依据权利要求24所述的方法，其特征在于执行系统动作的步骤(513)由如下的步骤组成：

-应用在动作表(13)的扩展部分(18)中与所请求的过渡对应的入口(407，408)，以及

-执行由所说的入口所定义的动作程序(411)。

26.依据权利要求25所述的方法，其特征在于估计与所请求的过渡相关联的校验的步骤(512)由如下的步骤组成：

-应用在校验表(12)的扩展部分(17)中的入口(33)，以及

-执行由所说的入口所定义的校验程序(35)。

27.依据权利要求26所述的方法，其特征在于，如果启动了所请求的过渡(511)以及如果满足与所请求的过渡相关联的校验(514)，则执行由如下步骤细成的肯定动作的步骤(516)：

-应用在动作表(13)的扩展部分(18)中与所请求的过渡相对应的入口(407，409)，以及

-执行由所说的入口所定义的动作程序(412)。

28.依据权利要求27所述的方法，其特征在于，如果不满足与所请求的过渡相关联的校验(514)，则执行由如下步骤组成的否定动作的步骤(515)：

-应用在动作表(13)的扩展部分(18)中与所请求的过渡相对应的入口(407，410)，以及

-执行由所说的入口所定义的动作程序(413)。

29.依据权利要求24所述的方法，其特征在于，如果所请求的过渡启动了(511)，则执行由如下步骤组成的肯定动作的步骤(516)：

-执行由所说的入口所定义的动作程序(412)。

30.依据权利要求12或13所述的方法，在请求从参考状态到附加状态的过渡之后在物体内执行该方法，其特征在于使所说的请求的启动有效的步骤(528，521)由如下的步骤组成：

-使从所说的参考状态到附加状态的过渡启动有效(528)，而同时分析所允许的过渡表(11)；

-使从所说的参考状态到所说的附加状态的过渡启动有效(521)，而同时分析所允许的过渡表(11)的扩展部分(16)。

31.依据权利要求30所述的方法，其特征在于执行系统动作的步骤(513)由如下的步骤组成：

-执行由所说的入口所定义的动作程序(411)。

32.依据权利要求31所述的方法，其特征在于估计与所请求的过渡相关联的校验的步骤(522)由如下的步骤组成：

-应用在校验表(12)的扩展部分(17)中的入口(33)，以及

-执行由所说的入口所定义的校验程序(35)。

33.依据权利要求32所述的方法，其特征在于，如果启动了所请求的过渡(528，521)以及如果满足与所请求的过渡相关联的校验(524)，则执行由如下步骤组成的肯定动作的步骤(516)：

-执行由所说的入口所定义的动作程序(412)。

34.依据权利要求33所述的方法，其特征在于，如果不满足与所请求的过渡相关联的校验(524)，则执行由如下步骤组成的否定动作的步骤(525)：

-执行由所说的入口所定义的动作程序(413)。

35.依据权利要求30所述的方法，其特征在于，如果所请求的过渡启动了(528，521)，则执行由如下步骤组成的肯定动作的步骤(526)：

-执行由所说的入口所定义的动作程序(412)。

36.依据权利要求12或13所述的方法，其特征在于所说的方法并不从附加状态到参考状态启动状态过渡交叉点。