JP2000514215A

JP2000514215A - プログラム可能でインテリジェントなデバイスのための、移植可能な安全なトランザクションシステム

Info

Publication number: JP2000514215A
Application number: JP10502361A
Authority: JP
Inventors: ハインズ，ギードウ; ヨハネス、ピーター
Original assignee: ユーロペイ・インターナショナル・ナムローゼ・フエンノートシャップ
Priority date: 1996-06-27
Filing date: 1997-06-26
Publication date: 2000-10-24
Also published as: HUP0001822A3; SI9720049A; TR199802675T2; AU3263097A; EA199900060A1; BR9710009A; PL330930A1; GB9613450D0; EP0907936A2; CZ423598A3; TW355776B; HRP970354A2; ZA975748B; IL127533A0; NZ333384A; NO985803D0; WO1997050063A3; AU716558B2; SK176698A3; CA2257641A1

Abstract

(57)【要約】この発明は、第１の装置（１）と第２の装置との間でのトランザクションを実行するためのトランザクション管理システムを提供する。第１および第２の装置は、相互間での通信に適合され、その少なくとも１つは集積回路カードである。このシステムは、少なくとも１つの入出力装置（２５）と、第１の装置上のコンピュータプログラムを解釈するるための移植可能な仮想マシン（２０）とを含み、仮想マシンは少なくとも１つの入出力装置（２５）用のドライバと仮想マイクロプロセッサとを含む。このシステムはさらに、プログラムを実行するための、解釈されたプログラムに応答する実行手段を含む。この発明の基礎となる一般的リンク技術の着想は、コンパイル時のチェックが成功裡に行なわれれば、ターゲットの実装に依存しない、トランザクションシステムにおける実行時間の保証およびデータのセキュリティと移植性とを組合せることである。アプリケーションプログラムは入出力装置と共通のインターフェイスを有ししたがって広範に異なった環境において移植可能な仮想マシン内に入出力装置用ドライバを含む仮想マシンをインタープリタとして使用し、メモリを割当て、解除し、そしてアプリケーションプログラム内にメモリの量の表示を含み、これはずなわち、プログラムが常にうまく実行されるかまたは全く実行されないということ、そしてセキュリティ管理機能が最小限に抑えられそれによって動作速度が向上するということを意味するのだが、そして、アプリケーションプログラムおよびデータベースにデータをインポートしデータをエクスポートする安全な方策を提供することにより、この着想が達成される。

Description

【発明の詳細な説明】プログラム可能でインテリジェントなデバイスのための、移植可能な安全なトランザクションシステム本発明は、端末および集積回路カード等のプログラム可能な、インテリジェントなデバイスを含むシステムに関し、また、現金自動預け払い機、パーソナルコンピュータ、有料テレビユニット、販売時点情報管理端末、ヘルスカード等を含むそうしたカードおよび端末の操作の方法に関する。本発明は、金銭取引きを行なう際に使用するのに特に好適である。技術背景代価の転送または交換を含む金銭取引き、もしくは、ヘルスケアカードを用いた取引き等の商用の取引きを行なうのに、または、ＧＳＭ移動電話のＳＩＭカード等の、一般にデータにアクセスするのに、種々の端末が知られており、販売時点情報管理（ＰＯＳ）装置、現金自動預け払い機（ＡＴＭ）またはＧＳＭ移動電話等の端末が公知である。実際の製品は、米国、インテル社（Intel Corp.）によって提供されるIntel ８０３１／８０５１シリーズ、または、集積回路カード（ＩＣＣ）等の簡単な８ビットマイクロプロセッサを有する小さなハンドヘルド装置から、ＵＮＩＸ（商標）または米国、マイクロソフト社（Microsoft Corp. ）によって提供されるWindows NT等のオペレーティングシステムを実行する、３２ビットのコンピュータという範囲に広がっている。これらの機械のいくつかは、磁気ストライプカード、スマートカード、または、ユーザと端末との間で通信を開始する前に必要な特定のユーザ識別および検証情報を記憶するＩＣＣ等の、個人ユーザカードとの間で交信する。ユーザがそのカードを端末に取付けられたカードリーダ内に配置すると、端末内の端末常駐プログラムが実行される。このプログラムは、カードを調べてユーザ情報の有効性をチェックし、必要であれば、パスワードまたはＰＩＮ（個人識別番号）等の個人番号を要求する。検証が済むと、プログラムは通常、ユーザが、現金の引出し、現時点の残高の照合等の、実行されるべき所望のサービスを選択することができるようにする。端末は独立（スタンドアローン）型であってもよく、または、ローカルにもしくは電気通信ネットワークを介してより大きなコンピュータに接続されていてもよい。このような端末はしばしば、２４時間いつでも利用可能とされ、最小のメンテナンスでかつ高い保全レベルで稼動せねばならない。このような端末はハードウェアに巨額の投資がなされていることを示し、通常は頻繁に置換されることはない。このような端末上で実行されるソフトウェアおよびプログラムは、新しいサービスが提供されると変更が必要となり、しかも、安全に実行されなければならない。通常、銀行等の端末を操作している組織は、各変更が保証されることを求める。このような変更は手による作業でも行なわれるしまたは私有のもしくは公共の通信ネットワークを通じて遠隔作業でも行なわれる。このことは米国特許番号第５，４３４，９９９号から知られている。このような公知の方法では、端末の種類および型が新しい開発に際してわかっていなければならない。これは、各端末のソフトウェアがその種類の端末のために特に作られなければならず、したがってコスト集約的であるためである。さらに、たとえばすべての銀行またはクレジット会社等の、同様のサービスを提供する可能性のあるすべての組織からのサービスを提供することができるように、端末はすべての組織のすべてのプログラムを処理することができなければならない。私用および商用のいずれの人々も非常によく移動するので、１つの国の中で提供されるすべてのサービスが各端末で利用可能であれば有利である。このことはしかし、各端末が不必要に大きな処理能力およびメモサイズを要する結果につながる。さらに、これらのプログラムの各々は必要に応じて更新されなければならない。１つの解決策として、各端末に、電気通信システムに接続可能な、小さいワークステーションを使用する方法がある。このようなシステムはオフライン処理が可能であり、かつ、通常とは異なる取引きの場合または常駐プログラムを自動的に変更する場合にはオンライン処理に切換えることが可能であろう。こうしたワークステーションはたとえば、公衆電話ネットワークを介した攻撃を受ける可能性のあるシステム上でのセキュリティを維持するのに必要な、複雑な検証および暗号化方式を実行しなければならないであろう。サイズおよび複雑さが増すにつれて、セキュリティを維持する問題もまた増大することになる。このようなシステムにおいても、バージョンの管理に関する問題が生じ得る。同じ組織のサービスを受けるすべてのユーザがそのサービスの最新バージョンに適したカードを持っているわけではない。このような事態は、多国籍の組織が異なる国で異なる時間にサービスを導入または変更する際に生じ得る。ＷＯ９６／１８９７９号には、ユーザのパーソナルＩＣＣから、関連するセッションについてのみ端末を更新する方法が提案されている。サブルーチンを表わすプログラム命令がそのカードに記憶されており、それらが端末にエクスポートされて解釈されるようにすることができる。端末内でインタープリタを使用することによって、インタープリタを備えるどの端末でも同じカードを使用することが可能となり、したがって、トランザクションを端末上のホストプロセッサとは独立して行なうことができるようになる。しかし、危険なサブルーチンという危険性を排除するためのセキュリティコントロールの方法は記載されていない。上述の種類の端末はまた、何らかの形のメモリを含むプロセッサを有する。メモリは通常、プログラムを実行するための何らかのランダムアクセスメモリ（ＲＡＭ）、端末のオペレーティングシステムのためのプログラムを含み得る、読出のみが必要なデータを記憶するための何らかの読出専用メモリ（ＲＯＭ）、および、変更され得る一般的なデータを記憶するための不揮発性読出／書込メモリを含む。ユーザの個人データの秘密は保たれなければならず、したがって、あるユーザが、偶然にでもまたは悪意を持って故意にでも、他の人のデータにアクセスできる可能性があってはならない。さらに、端末の種々の書込可能メモリは、時間の経過とともに断片化することがあってはならない。メモリの断片化が進むと、連続したメモリのブロックのサイズが減じられて何らかのプログラムを実行することができなくなるおそれがある。この問題を防ぐために、Java（商標）等のプログラム言語はガーベッジコレクションを利用する。ガーベッジコレクションとは、メモリ内のもはや必要とされないデータを識別するよう試みてその割当を解除するルーチンである。現時点における経験からは、プログラムが自身の記憶したデータの割当を明示的に解除するようにするよりも、ガーベッジコレクションの方が、メモリを管理するのにより信頼できる方法である、ということが知られている。明示的なメモリの割当および割当の解除が、ＣまたはＣ＋＋等の一般的な高級プログラム言語におけるプログラミングエラーの、単一の原因としては最大のものである、という意見もある。ガーベッジコレクションにはいくつかの欠点がある。第１に、ガーベッジコレクションはアプリケーションに特有の機能ではなく、オペレーティングシステムの機能である。したがって、ガーベッジコレクションは各アプリケーションのデータがアプリケーションの最後で割当を解除されることを保証できない。むしろ、そのようなデータはアクセスがないためにガーベッジコレクションがトリガされるまで、ある程度の時間期間存在し得る。金銭取引きにおいては、個人ユーザデータがアクセスされる危険性を排除する、より安全な方法が求められる。第２に、ガーベッジコレクションはオペレーティングシステムのために要求されるメモリ空間のサイズを増す。ＩＣＣおよびある種の端末上では、メモリは制限される場合があり、ガーベッジコレクションの使用は深刻な欠点となり得る。上述のように、端末はあまり頻繁に置換されることはなく、したがって、異なるプロセッサ能力およびメモリサイズを含む多種多様な端末が通常、システム内で並行に運用される。古い端末においてはその能力がしばしば非常に制限される。非常に古い種類の端末は置換されるかもしれないが、より精巧で複雑なサービスへの要求のため、比較的古い端末が置換されていくとしても、それらのいくつかがその能力において後れをとることのないほど頻繁に置換されることは、おそらくは決してないであろう。したがって、多種多様なプロセッサ上で動作することが可能な、小型のオペレーティングシステムへの要求は、おそらくは要求として残るであろう。最後に、ガーベッジコレクションでは、メモリが明示的な割当の解除によって自由にされるときと異なり、すぐにそのメモリを解放するということがない。メモリが解放可能なときでも実際には拘束されているので、必要とされるメモリの量がやはり増大することになる。実行時メモリ管理のための安全な方法の１つが、米国特許番号第５，４３４，９９９号に記載されている。たとえば、この公知の方法に従えば、端末内のインタープリタがメモリアドレスを操作するいかなる命令に対しても、組織的な検査を行なって、アクセスが要求されているメモリの領域へのアクセスが許可されているかどうかを確認する。このシステムは、すべての命令をこの方法でチェックしなければならず、それによって処理速度が大いに低減される、という欠点を有する。プログラム実行時検査は、それを実行するのにコストが高くつく。アプリケーションプログラマが移植可能であって異種の端末にわたって中立な、すなわち、端末で使用されるプロセッサとは独立した、かつ、端末の種類または構造ごとにその種類を承認する必要のないソフトウェアを生成することができるようにする、プログラム可能な端末を提供するシステムが必要とされている。端末常駐オペレーティングシステムおよびアプリケーションプログラムは、小型であり高速で実行し、かつ、保全の要件を満たすものであることが好ましい。さらに、そのアプリケーションプログラムは、容易に更新することが可能であり、少なくとも、各ユーザが端末の地理的な位置に関係なく、期待されるサービスを得ることが可能であることが望ましい。本発明の１つの目的は、取引きのための安全なトランザクション管理システムおよびそのようなシステムを操作する方法を提供することである。本発明のさらなる目的は、トランザクションのための安全な端末およびＩＣＣ、ならびにそのような装置を操作する方法を提供することである。本発明のさらに別の目的は、ＩＣＣ等の小さなハンドヘルドの装置上に実装することが可能な、トランザクションにおいて使用可能な装置を提供することである。本発明のまた別の目的は、端末またはＩＣＣをその端末またはＩＣＣを変更情報のソースとして使用して更新することが可能である、トランザクションシステムを提供することである。本発明のさらなる目的は、トランザクション管理システムおよび、高速動作で高い保全性を提供するそのシステムを操作する方法を提供することである。発明の概要本発明は、第１の装置と第２の装置との間でトランザクションを実行するためのトランザクション管理システムに関する。ここで、上記第１および第２の装置は互いとの通信に適合され、かつ上記第１および第２の装置のうち少なくとも１つの装置は集積回路カードである。上記システムは、少なくとも１つの入出力装置と、上記第１の装置上のコンピュータプログラムを解釈するための移植可能な仮想マシンとを含み、上記仮想マシンは仮想マイクロプロセッサおよび上記少なくとも１つの入出力装置のためのドライバとを含み、上記システムはさらに、上記解釈されたプログラムに応答して上記プログラムを実行するための実行手段を含む。上述の移植可能な仮想マシンは、スタックマシンであることが好ましい。これは、それによって動作速度および小型化が促進されるためである。本発明はまた、第２の装置とのトランザクションを実行するための第１の装置を含む、端末を提供する。ここで、上記第１および第２の装置のうち少なくとも１つの装置は集積回路カードである。上記端末は、上記第１の装置上のコンピュータプログラムを解釈する移植可能な仮想マシンを含み、上記移植可能な仮想マシンは仮想マイクロプロセッサと少なくとも１つの入出力装置のためのドライバとを含む。上記端末はさらに、上記解釈されたプログラムに応答して上記プログラムを実行するための実行手段を含む。本発明はさらに、第２の装置とのトランザクションを実行するための第１の装置を含む、自立型の移植可能なインテリジェントカードを提供する。上記インテリジェントカードは、仮想マイクロプロセッサおよび少なくとも１つの入出力装置のためのドライバを含む、移植可能な仮想マシンを含む。本発明はさらに、トランザクション管理システムを提供する。上記トランザクション管理システムは、第１の装置および第２の装置を含み、上記第１および第２の装置は互いと通信するよう適合され、上記第１および第２の装置のうち少なくとも１つの装置は集積回路カードである。上記第２の装置は、上記第１の装置上のコンピュータプログラムの実行時間動作を少なくとも修正することが可能な少なくとも１つのプログラム命令を提供するための手段を含む。上記第１の装置は仮想マシンを含み、上記仮想マシンは上記コンピュータプログラムをロードし解釈するための手段を含み、上記ロードし解釈するための手段はさらに、上記ロードし解釈するための手段が上記コンピュータプログラムをロードし終わり上記コンピュータプログラムが実行している間に、予め規定されたセキュリティ条件に従って、上記少なくとも１つのプログラム命令をロードし解釈するよう適合される。上記トランザクション管理システムはさらに、上記ロードされ解釈されたプログラム命令に応答して上記ロードされ解釈されたコンピュータプログラムを上記修正された動作で実行するための実行手段を含む。本発明はさらに、第２の装置とのトランザクションを実行するための第１の装置を含む、端末を提供する。ここで、上記第１および第２の装置のうち少なくとも１つの装置は集積回路カードであり、上記第２の装置は上記第１の装置上のコンピュータプログラムの実行時間動作を少なくとも修正することが可能である少なくとも１つのプログラム命令を提供するための手段を含む。上記端末は、仮想マシンを含む上記第１の装置を含み、上記仮想マシンは上記コンピュータプログラムをロードし解釈するための手段を含み、上記ロードしかつ解釈するための手段は、上記ロードし解釈するための手段が上記コンピュータプログラムをロードし終わった後に上記コンピュータプログラムが実行中に、予め規定されたセキュリティ条件に従って上記少なくとも１つのプログラム命令をロードし解釈するようさらに適合される。上記端末はさらに、上記ロードされ解釈されたプログラム命令に応答して上記修正された動作で上記ロードされ解釈されたコンピュータプログラムを実行するための実行手段を含む。本発明は、第２の装置とのトランザクションを実行するための第１の装置を含む、自立型の移植可能なインテリジェントカードを提供する。ここで、上記第２の装置は、上記第１の装置上のコンピュータプログラムの実行時間動作を少なくとも修正することの可能な少なくとも１つのプログラム命令を提供するための手段を含む。上記インテリジェントカードは、仮想マシンを含む上記第１の装置を含み、上記仮想マシンは上記コンピュータプログラムをロードし解釈するための手段を含み、上記ロードし解釈するための手段はさらに、上記ロードし解釈するための手段が上記コンピュータプログラムをロードし終わった後に上記コンピュータプログラムが実行している間に、予め規定されたセキュリティ条件に従って上記少なくとも１つのプログラム命令をロードし解釈するように適合される。上記インテリジェントカードはさらに、上記ロードされ解釈されたプログラム命令に応答して上記ロードされ解釈されたコンピュータプログラムを上記修正された動作で実行するための実行手段を含む。本発明はまた、第１の装置と第２の装置との間でトランザクションを実行するためのトランザクションシステムを提供する。上記システムは、自身に提供されるカスタマイズされたバイトコードトークンの組を解釈するための仮想マシンを含み、上記仮想マシンは仮想処理ユニットおよび読出／書込可能な論理アドレス空間を含む。上記システムはさらに、自身の実行のために必要な読出／書込可能な論理アドレス空間の量の表示を含む少なくとも１つの第１のアプリケーションプログラムを含み、上記少なくとも１つの第１のアプリケーションプログラムは上記トークンの組から選択されたトークンのストリームおよび対応するインラインデータとして書かれ、上記仮想マシンはまた、上記少なくとも１つの第１のアプリケーションプログラムをロードするためのローダと、上記少なくとも１つの第１のアプリケーションプログラムに対して第１の量の読出／書込可能な論理アドレス空間を上記表示に従って割当てるための手段とを含み、上記割当てられた読出／書込可能な論理アドレス空間は規定されかつ保護された境界を有する。本発明に従った第１の装置は、インターネットに接続されてブラウザを実行するパーソナルコンピュータであってもよく、ブラウザによって受取られる各モジュールがそのメモリの要件の表示を含まなければならないという要件は、そのブラウザのセキュリティを向上させ、インポートしたモジュール内に含まれるウイルスによって受けるおそれのあるダメージを制限する。本発明は、第２の装置とのトランザクションを実行するための第１の装置を含む、端末を提供する。上記第１の端末は、それに提供されるカスタマイズされたバイトコードトークンの組を解釈するための仮想マシンを含み、上記仮想マシンは仮想処理ユニットおよび読出／書込可能な論理アドレス空間を含む。上記端末はさらに、自身の実行のために必要とされる読出／書込可能な論理アドレス空間の量の表示を含む少なくとも１つの第１のアプリケーションプログラムと、他のアプリケーションプログラムにエクスポートすることが可能な少なくとも１つの関数の第１の排他的リストとを含み、上記少なくと１つの第１のアプリケーションプログラムは上記トークンの組から選択されたトークンのストリームおよび対応するインラインデータとして書かれ、上記仮想マシンはまた、上記少なくとも１つの第１のアプリケーションプログラムをロードするためのローダと、第１の量の読出／書込可能な論理アドレス空間を特に上記少なくとも１つの第１のアプリケーションプログラムに上記表示に従って割当てるための手段とを含み、上記割当てられた読出／書込可能な論理アドレス空間は規定されかつ保護された境界を有する。本発明はまた、第２の装置とのトランザクションを実行するための第１の装置を含む、自立型の移植可能なインテリジェントカードを提供することが可能である。上記第１の装置は、それに提供されるカスタマイズされたバイトコードトークンの組を解釈するための仮想マシンを含み、上記仮想マシンは仮想処理ユニットと読出／書込可能な論理アドレス空間とを含み、上記インテリジェントカードはさらに、自身の実行のために必要とされる読出／書込可能な論理アドレス空間の量の表示を含む少なくとも１つの第１のアプリケーションプログラムを含み、上記少なくとも１つの第１のアプリケーションプログラムは上記トークンの組から選択されたトークンのストリームおよび対応するインラインデータとして書かれ、上記仮想マシンはまた、上記少なくとも１つの第１のアプリケーションプログラムをロードするためのローダと、第１の量の読出／書込可能な論理アドレス空間を特に上記少なくとも１つの第１のアプリケーションプログラムに対して上記表示に従って割当てるための手段とを含み、上記割当てられた読出／書込可能な論理アドレス空間は規定されかつ保護された境界を有する。本発明はまた、第１の装置と第２の装置との間でトランザクションを実行するためのトランザクションシステムを提供することが可能である。ここで、上記第１および第２の装置のうち少なくとも１つの装置は集積回路カードである。上記システムは、それに提供されるカスタマイズされたバイトコードトークンの組を解釈するための仮想マシンを含み、上記仮想マシンは仮想処理ユニットおよび読出／書込可能な論理アドレス空間を含む。上記システムはさらに、少なくとも１つのレコードおよび上記仮想マシンによって実行するための少なくとも１つのコンピュータプログラムを含む少なくとも１つのデータベースを含み、上記コンピュータプログラムは上記組から選択された上記トークンのストリームで書かれたモジュールであり、かつ上記モジュールの実行のために必要である初期化されていない読出／書込可能な論理アドレス空間の量の表示を含み、上記システムはさらに、上記モジュールをロードし上記表示に従って必要量の初期化されていない論理アドレス空間を割当てるためのローダと、上記データベース内のレコードにアクセスするための手段とを含み、上記データベース内のレコードは上記モジュールを介してのみアクセス可能であり、上記アクセスするための手段は上記データベースの現時点のレコード上へのウィンドウを提供し上記レコードを上記アプリケーションプログラムによってアドレス指定可能な上記初期化されていない読出／書込可能な論理アドレス空間のある位置にコピーする。本発明はさらに、第２の装置とのトランザクションを実行するための第１の装置を含む、端末を提供することもまた可能である。ここで、上記第１および第２の装置のうち少なくとも１つの装置は集積回路カードである。上記第１の装置は、それに提供されるカスタマイズされたバイトコードトークンの組を解釈するための仮想マシンを含み、上記仮想マシンは仮想処理ユニットおよび読出／書込可能な論理アドレス空間を含む。上記端末はさらに、少なくとも１つのレコードおよび上記仮想マシンによって実行するための少なくとも１つのコンピュータプログラムを含む少なくとも１つのデータベースを含み、上記コンピュータプログラムは上記組から選択されたトークンのストリームで書かれたモジュールでありかつ上記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量の表示を含み、上記端末はさらに、上記モジュールをロードし上記表示に従って必要量の初期化されていない論理アドレス空間を割当てるためのローダと、上記データベース内のレコードにアクセスするための手段とを含み、上記データベース内のレコードは上記モジュールを介してのみアクセス可能であり、上記アクセスするための手段は上記データベースの現時点におけるレコード上へのウィンドウを提供し上記レコードを上記初期化されていない読出／書込可能論理アドレス空間の、上記アプリケーションプログラムによってアドレス指定可能な位置にコピーする。本発明は、第２の装置とのトランザクションを実行するための第１の装置を含む、自立型の移植可能なインテリジェントカードを提供することが可能である。上記第１の装置は、それに提供されるカスタマイズされたバイトコードトークンの組を解釈するための仮想マシンを含み、上記仮想マシンは仮想処理ユニットおよび読出／書込可能な論理アドレス空間を含む。上記インテリジェントカードはさらに、少なくとも１つのレコードおよび上記仮想マシンによって実行するための少なくとも１つのコンピュータプログラムを含む少なくとも１つのデータベースを含み、上記コンピュータプログラムは上記組から選択されたトークンのストリームで書かれた文字でありかつ上記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量の表示を含み、上記インテリジェントカードはさらに、上記モジュールをロードしかつ上記表示に従って必要量の初期化されていない論理アドレス空間を割当てるためのローダと、上記データベース内のレコードにアクセスするための手段とを含み、上記データベース内のレコードは上記モジュールを介してのみアクセス可能であり、上記アクセスするための手段は上記データベースの現時点におけるレコード上にウィンドウを提供しかつ上記レコードを上記初期化されていない読出／書込可能な論理アドレス空間の上記アプリケーションプログラムによってアドレス指定可能な位置内にコピーする。本発明はまた、第１の装置と第２の装置との間でトランザクションを実行するための方法を提供する。ここで、上記第１および第２の装置のうち少なくとも１つは集積回路カードである。上記方法は、上記第２の装置上に上記第１の装置上のコンピュータプログラムの実行時間動作を少なくとも修正することが可能な少なくとも１つのプログラム命令を提供するステップと、上記コンピュータプログラムをロードし解釈し、さらに、上記コンピュータプログラムが実行している間に予め規定されたセキュリティ条件に従って上記少なくとも１つのプログラム命令をロードし解釈するステップと、上記ロードされ解釈されたプログラム命令に応答して上記ロードされ解釈されたコンピュータプログラムを上記修正された動作で実行するステップとを含む。本発明はまた、第１の装置と第２の装置との間でトランザクションを実行するための方法を提供する。上記方法は、トークンの組から選択されたバイトコードトークンのストリームおよび対応するインラインデータとして書かれた少なくとも１つのアプリケーションプログラムを解釈するステップと、上記少なくとも１つのアプリケーションプログラムをロードするステップと、上記アプリケーションプログラム内に含まれるその実行のために必要な読出／書込可能な論理アドレス空間の量に関する表示に従って上記少なくとも１つのアプリケーションプログラムに対して具体的に第１の量の読出／書込可能な論理アドレス空間を割当てるステップと、上記割当てられた読出／書込可能な論理アドレス空間の境界を規定しかつ保護するステップとを含む。この方法は、インタープリタの使用をメモリの割当および選択的な明示的割当解除と組合せる。これにより、コンパイルの段階でアプリケーションプログラムが完全にチェックされた後に実行時の保証を提供しながら、柔軟性と移植性とを併せて提供することが可能となる。これにより、インポートされたアプリケーションモジュールに含まれるウイルスによって引き起こされるおそれのあるダメージが低減される。本発明はまた、第１の装置と第２の装置との間でトランザクションシステムを実行するための方法を含む。ここで、上記第１および第２の装置のうち少なくとも１つの装置は集積回路カードである。上記方法は、トークンの組から選択された上記トークンのストリームで書かれたモジュール内のトークンを解釈するステップと、上記モジュール内の上記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量に関する表示に従ってある量の初期化されていない論理アドレス空間を割当てるステップと、上記データベースの現時点におけるレコード上にウィンドウを提供することによってデータベース内のレコードにアクセスするステップとを含み、データベース内のレコードは上記モジュールを介してのみアクセス可能であり、上記方法はさらに、上記レコードを上記初期化されていない読出／書込可能な論理アドレス空間の上記モジュールによってアドレス指定可能な位置内にコピーするステップを含む。本発明はまた、第１の装置と第２の装置との間でトランザクションを実行するための方法を含み、上記第１および第２の装置のうち少なくとも１つは集積回路カードである。上記方法は、仮想マイクロプロセッサおよび少なくとも１つの入出力装置のためのドライバを含む移植可能な仮想マシンを提供するステップと、上記移植可能な仮想マシンを使用して上記第１の装置上のコンピュータプログラムを解釈するステップと、上記解釈されたプログラムに応答して上記プログラムを実行するステップとを含む。本発明に従えば、好ましくは移植可能な仮想マイクロプロセッサを含む、安全なトランザクション管理システムが提供される。好ましくは、各モジュールは他のいかなる仮想アドレス空間からも区別されていることが保証された、仮想アドレス空間の組を所有する。移植可能な仮想マイクロプロセッサはまた、好ましくは、種々のスタックまたはデータベース等の共有資源へのアクセスを保護する。最小限の保護としては、好ましくは、読出および書込のためのデータ空間へのアクセスの境界をメモリがチェックすること、および、コード空間への書込を絶対的に禁止することが挙げられる。さらに、データスタックおよびリターンスタック上のアンダーフローおよびオーバーフローに対して検査がなされることが好ましい。好ましくは、モジュールは他の何らかのモジュールが明示的にエクスポートするものにのみアクセスすることが可能である。好ましくは、モジュールによって提供される関数を通じて以外は、エクスポートされていないデータにアクセスする方法はない（仮想マイクロプロセッサはリークしない）。モジュールは好ましくは通常の意味でデータをエクスポートすることはできない。すなわち、モジュールは好ましくは関数のエクスポートのみを行なうことができる。論理的境界は好ましくは、データ空間のリーケッジを禁止する。換言すれば、モジュールによって所有されるすべてのデータは好ましくは厳密に秘密にされる。このような制限は好ましくはコンパイル時および実行時の双方で行使される。これは、モジュールが別個のアドレス空間を有するためである。このことは、何らかのモジュール内の何らかのデータのアドレスがその所有するモジュールの外部では全く無意味であることを意味する。モジュールは好ましくは、特定の動作の開始または終了をトリガするハンドルの組のみをエクスポートすることが可能である。好ましくは、うまく動作するモジュールは欠陥なく実行され、一方、あまりうまく動作しないモジュールは、違法な操作が試みられた際に移植可能な仮想マイクロプロセッサによって直接発生される例外によって中断される。従属項は、本発明の個々の実施例を規定する。本発明、その実施例および利点を、以下の図面を参照して次に記載する。図面の簡単な説明図１は、本発明に従った端末を概略的に示す図である。図２は、本発明に従ったＩＣＣを概略的に示す図である。図３は、本発明に従ったモジュールを開発しかつ実行するプロセスを示す概略的なフロー図である。図４は、端末上に実装された、本発明に従った移植可能な仮想マイクロプロセッサを概略的に示す図である。図５は、本発明に従った移植可能な仮想マイクロプロセッサを概略的に示す図である。図６は、本発明に従ったメモリ内にロードされたモジュールを概略的に示す図である。図７は、本発明に従ったデータベースレコードへのアクセスを得るための方法を概略的に示す図である。図８は、本発明に従ったプラグおよびソケット手順を概略的に示す図である。図９は、本発明のモジュールのローディング手順を示すフロー図である。図１０は、本発明のモジュールの実行手順を示すフロー図である。図１１は、本発明のソケットのプラギング手順を示すフロー図である。図１２は、本発明に従ったカードモジュールのローディング手順を示すフロー図である。補遺は、トークンコードおよび標準的な例外の例を示す。実施例の説明本発明を、特定の図およびある実施例を参照して以下に説明するが、本発明はそれらによって限定されるものではなく、請求の範囲によってのみ限定されるものである。図面は概略的なものであって限定を加えるものではない。本発明は金銭取引きに関連して説明されるが、それに限定されるものではない。さらに、本発明は主に端末に関連して説明されるが、本発明はまた、ＷＯ９４／１０６５７号に記載されたような、パーソナルコンピュータ（ＰＣ）、ＩＣＣ、またはＩＣＣとインターフェイスとの組み合わせ等の、好適な装置上に本発明に従った移植可能な仮想マイクロプロセッサを提供することをも包含する。ＷＯ９４／１０６５７号は、ここに引用により援用される。本発明の背景となっている一般的なリンキング技術の概念は、コンパイル時でのチェックをパスしたことを条件として、ターゲットの実装とは独立した、データのセキュリティおよびトランザクションシステム内の実行時保証と、移植性とを組合せたものである。この概念は、以下の特徴のうち１または複数の特徴によって達成される。すなわち：インタープリタとして仮想マシンを使用すること、アプリケーションプログラムがＩ／Ｏ装置と共通のインターフェイスを有するようにしたＩ／Ｏ装置のためのドライバを仮想マシン内に含ませること、したがって非常に多岐にわたる環境にわたって移植可能であるようにすること、アプリケーションプログラム内にメモリの量の指示を含ませてその指示に従ってメモリを割当てること、明示的にメモリの割当を解除すること、ならびに、アプリケーションプログラムおよび／またはデータベース内にデータをインポートしそれらからデータをエクスポートする安全な方法を提供すること、という特徴である。図１は、本発明に従った端末１を概略的に表わす。典型的に、端末１は中央処理装置（ＣＰＵ）２を含み、これはメモリ４および入出力（Ｉ／Ｏ）装置６と、双方向通信のためのバス３を介して接続されている。Ｉ／Ｏ装置６はデータを入力するためのキーボード、および、トランザクションの進捗状況を表示しおよび／またはメッセージもしくはプロンプトを表示するための、液晶（ＬＣＤ）もしくは発光ダイオード（ＬＥＤ）ディスプレイ等の、視覚表示装置などのスクリーンであり得る。Ｉ／Ｏ装置６のうちの１つは、カードリーダ７であってもよく、ＩＣＣ５はそのリーダ７の受入スロット内に導入されるとそのカードリーダ７によって読出可能となる。端末の実際の形は多岐にわたり得る。たとえば、それは販売時点情報管理（ＰＯＳ）端末であってもよく、Intel８０５１からPentium（商標）までのプロセッサを含んでもよい。さらに、端末１がすべて１カ所に配置されている必要はなく、カードリーダ７等の端末の種々の部品、キーボードおよびディスプレイ等のＩ／Ｏ装置、ならびにプロセッサが異なる位置に配置されてケーブル、無線伝送等によって接続されてもよく、または、ローカルエリアネットワークの一部であるか、または、電気通信ネットワークで相互接続されていてもよい。図２は、本発明に従ったＩＣＣ５を概略的に表わす。本発明はしかし、これに限定されるものではない。ＩＣＣ５は、少なくとも１つの入出力（Ｉ／Ｏ）ポート１０と、不揮発性メモリ等の何らかの永久記憶装置とを含む。この永久記憶装置は、たとえば、バス１７を介してＩ／Ｏポート１０に接続されたＥＥＰＲＯＭ１５によって、または、バッテリバックアップ付きのランダムアクセスメモリ（ＲＡＭ）によって、提供され得る。Ｉ／Ｏポート１０は、カードリーダ７を介して端末１との通信に使用することが可能である。集積回路カードは、少なくともメモリファンクションを実行するよう１または複数の集積回路がその中に挿入されているカードである。選択的に、ＩＣＣ５は自立型の移植可能なインテリジェントなカードであってもよく、たとえばＲＡＭ１４によって提供される揮発メモリ等の読出／書込可能作業用メモリと、中央処理装置１２と、カードＩＣＣ５がマイクロプロセッサとして動作できるようにするのに必要なすべての回路、たとえば、コードを記憶するための読出し専用メモリ１３、シーケンサ１６、ならびに、電源ＶｓｓおよびＶＤＤ、プロセッサ１２のためのリセット、およびシーケンサ１６へのクロックＣＬＫを受取るための、カードリーダ７との接続、を含んでもよい。本発明に従えば、ＩＣＣ５はバンクカード、クレジットカード、デビットカード、電子財布、ヘルスカード、ＳＩＭカード等として使用することが可能である。本発明は、ＩＣＣ５と中央装置に接続されるかまたは接続されていない端末１との間で、以下のシーケンスのうち少なくとも１つを実行することを含むトランザクションを実行するように意図された、集積回路で制御されたトランザクション管理システムを提供する：１．ＩＣＣ５と端末１との間に通信リンクを作成する；２．ＩＣＣ５と端末１とが機械的にかつ電気的に互換可能であることを確認するために、互換性の検査を行なう；３．対象となる特定のＩＣＣ５と端末１との組合せによってトランザクションを規定する、コンピュータプログラムおよび関連するデータの組の選択を含む、アプリケーションの選択；４．アプリケーションの実行；５．トランザクションの終了、これはさらに、ＩＣＣ５と端末１との間の通信リンクの切断を含んでもよい；ここで、インタープリタが、ＩＣＣ５上もしくは端末上のいずれか、またはその双方上で、アプリケーションを実行するのに使用される。トランザクションとは２以上の装置間で少なくともデータを交換することを意味し、本発明に従えば、商用の金銭取引きに特定されるものではない。このようなシステムがＰＣＴ／ＢＥ９５／０００１７から公知である。ＩＣＣ５は単なるメモリＩＣＣ、すなわちプロセッサ１２を含んでいなくてもよく、このＩＣＣ５は端末１によって決定されたトランザクションを行なう。代替的にＩＣＣ５は、自立型の移植可能なインテリジェントカードであってもよく、この場合のトランザクションは、端末１によって、ＩＣＣ５によって、またはそれら双方によって決定することも可能である。本発明に従えば、ＩＣＣ５は端末の処理を安全に強化するためのプログラムコードを含んでもよい。具体的には、ＩＣＣ５は、端末１内に記憶されるアプリケーションを更新するのに使用することが可能な、１または複数のメンテナンスカードであってもよい。本発明に従えば、ソフトウェアは「仮想マシン」として端末１で実行され、さらに、ＩＣＣ５内で実行されてもよい。本発明に従った仮想マシン（ＶＭ）は、アドレス指定モード、スタックの使用、レジスタの使用、アドレス空間、Ｉ／Ｏ装置のアドレス指定等を総称的に規定するという標準的な特性を有する、理論的すなわち仮想のマイクロプロセッサを、明示的に利用可能とする。端末１またはＩＣＣ５で使用される各特定のＣＰＵに対するカーネルを、それぞれのプロセッサ２、１２がＶＭをエミュレートするように書く。このＶＭのためのカーネルがＩ／Ｏ装置のためのドライバならびにすべてのローレベルのＣＰＵ論理算術演算機能、フロー制御、時間管理を提供するということが、本発明に特有の局面である。ＶＭ内にＩ／Ｏドライバを備えることで、本発明に従ったＶＭのために書いたプログラムであれば標準的な仮想Ｉ／Ｏ装置をアドレス指定するという利点が得られる。この場合、特定のＣＰＵ上にＶＭを実装することで、端末１またはＩＣＣ５に接続された物理的なＩ／Ｏ装置がアドレス指定された仮想Ｉ／Ｏ装置のように動作することが可能となる。本発明に従ったＶＭは非常に小型であって、ＩＣＣ５上に含まれ得るSiemens ＳＬＣ０４４ＣＲチップ（INTEL８０５１ファミリから派生したものである）上に実装することができた。本発明に従ったＶＭは、多種多様のＣＰＵおよびＩ／Ｏにわたって、高度の標準化を可能にし、かつ、プログラムの移植性、検査および保証を簡素化する。本願では、このようなＶＭは移植可能な仮想マシン２０として記載する。この移植可能ＶＭ２０は、仮想マイクロプロセッサおよびＩ／Ｏ装置のためのドライバを含む。ＶＭ２０は、論理算術演算機能と、メモリのアドレス指定と、少なくとも１つの入出力装置とを提供する。本発明に従った移植可能ＶＭ２０は、端末および／またはカードのプログラムをコンパイラの中間コードとして取扱うことにより、異種の端末１およびカード５にわたるプログラムの移植性を提供する。このコードは、トークンと呼ばれるバイトコードのストリームからなる。端末１またはＩＣＣ５がこのコードを処理するが、この処理は、このコードを解釈するかまたはネイティブコードコンパイル等の他の手段によって行なわれる。トークンの仮想マシンによる解釈は、好ましくは、以下の３つの方法のうち１つの方法によって達成され得る。すなわち：仮想マシン命令を直接解釈するか、仮想マシン言語を直接実行可能な中間形式に翻訳するか、または、それをターゲットＣＰＵのための実際のコードに、実行時直前にコンパイルするか、のいずれかの方法である。後者２つの方法は、複雑さをそれほど要求せずに、改善された性能を提供する。トークンはセットとして提供され、これは、ＶＭ２０のための機械命令セットとみなすことができる。本発明に従ったアプリケーションプログラムは、実行可能なコードとしてのトークンのリストを含み得るモジュールとして実現される。本発明に従えば、２種類の基本的なモジュールの種類がある。すなわち、実行可能なモジュール、これはモジュールがロードされたときにＶＭ２０によって直接呼出されるエントリポイントを有し、ライブラリモジュール、これはモジュール間呼出しによって個別に実行され得るエクスポート可能な手順を提供することによって、他のモジュールへの資源としての役割を果たす。本発明に従ったトークンの組は、第１に、ＶＭ２０の命令セットを含む。これは、一般的な処理言語に期待される命令を提供しプログラムの効率的な実行のために必要とされる。本発明に従ったトークンの組は第２に、通常「オペレーティングシステム機能」と称されるものを提供するトークンを含む。端末１またはカード５において、オペレーティングシステム機能は本発明に従えば、ディスプレイおよびキーボードのため等のＩ／Ｏドライバ等の特定の機能を含み、端末１およびカード５において、システム機能はまた、データオブジェクトの通信およびＩ／Ｏポートを介した伝送の管理、ならびに、モジュール間のアクセスおよびアクセス制御メカニズムもまた含み得る。トークンは、ＶＭのオペレーティングシステムのために、スタックの操作のために、ソケットの処理のために、例外処理等の制御のために、ソケットのアクセス権を含むソケット自身のために、Ｉ／Ｏ装置のアクセスのために、時間管理のために、言語およびメッセージの処理のために、ＩＣＣ、磁気ストライプカードおよびモデムの処理等のＩ／Ｏリーダの処理のために、ブラックリストの管理のために、セキュリティアルゴリズムのために、端末のサービスのために、データベースのサービスのために、ＴＬＶ処理等のデータオブジェクトの処理のために、モジュールの処理のために、ならびに、拡張可能なメモリの処理のために、提供されることが好ましい。単一バイトのトークンは、一次（primary）トークンと称される。これらは、いかなる命令セットにおいても通常あるような、基本命令に関する。複数バイトトークンは、二次（secondary）トークンと称され、使用頻度の低いサービスに使用される。ＶＭ２０のための完全なトークンセットを補遺に示す。図３に概略的に示すように、アプリケーションプログラムはＰＣホストの開発システム７０上でForth、Ｃ、Pascal等の適切な高級言語で書かれ、デバッグされて、型承認される。その後、プログラムのソースコードはトークンコンパイラ７１上でトークンのストリームへとコンパイルされる。このトークンのストリームはプログラムおよびヘッダによって必要とされる他のデータ（対応するインラインデータ）と別個に結合されて、モジュールデリバリファイル内にカプセル化されて、好ましくは標準化モジュールデリバリフォーマットでモジュール７２が作成される。もしこのモジュールが実行可能なトークンを含んでいる場合には、これは実行可能プログラムフォーマットとして提供される。実行可能なモジュールがトークンのストリームばかりではなくすべての対応するインラインデータをも含むこと（カプセル化）は、本発明の特別な局面である。本発明に従ったモジュールがそのモジュールを実行するためにＶＭ２０によってどの程度の量の読出／書込可能メモリを割当てられるべきかを示す指示を含むことは、本発明に特定の、さらなる別個の局面である。モジュール７２は、好適な手段によって、たとえば、ＩＣＣ５においては電気通信ネットワークを介して、端末１に配信される。モジュールはダウンロードされた後に、「モジュールリポジトリ」内に記憶される。その機能が必要になると、端末１またはカード５はトークンローダ／インタープリタ７３を使用して、端末のＣＰＵ２上での実行のためにトークンを処理する。この処理は、各トークンに関連する機能を実行するプロセスからなる。本発明に従えば、トークンローダ／インタープリタ７３は、ＶＭ２０によって提供される。端末１上のＶＭに関連したソフトウェアは、以下の４つの主要なカテゴリに分類することが可能である：・カーネル、これはＩ／ＯドライバおよびＶＭ２０をサポートするのにこの仕様において必要とされるすべての関数の、端末に依存する実装を含む。ＶＭ２０に関連する他のソフトウェアは全て、機械とは独立したトークンで書かれる。・端末常駐サービス（ＴＲＳ）は、アプリケーションマネージャーとしてＶＭ２０上で実行される少なくとも１つのモジュールであって、これは、すべての非アプリケーション機能、これらの機能をサポートするライブラリ、モジュールローディング機能、ならびに、端末の動作を規定するメインループを含む。（たとえばＤＩＯＣＴＬ等の）特別なトークンによって、Ｉ／Ｏ装置の端末に依存する局面をインラインファンクションとして規定できる。・端末選択サービス（ＴＳＳ）は、支払いサービス機能等のアプリケーションと、それらの機能をサポートするライブラリとを含む。ＴＳＳは、端末とは独立なトークンのみを含み、端末１上に常駐する。ＴＲＳメインプログラムループは、特定のトランザクションに必要とされるＴＳＳファンクションを選択し呼出す。・カード選択サービス（ＣＳＳ）は、ＴＳＳアプリケーションの一部として使用される支払いサービス機能等の、端末のトランザクションをサポートする機能を含む。ＣＳＳはＩＣＣ５上に常駐しており、必要に応じて端末１にダウンロードされる。（たとえば通常のトランザクションのために１つおよびメンテナンスのために１つ等の）２つのＩＣＣリーダ８を有する端末１においては、ＣＳＳの２つの別個の組（ＣＳＳ１およびＣＳＳ２）が存在し得る。カーネルより上位の、本発明に従った端末１上のすべてのソフトウェアは、別個のモジュールの組として構成される。モジュールの基本的特性は、それが端末１またはＩＣＣ５等のターゲット環境に提供するために、単一のパッケージにカプセル化された、トークンコンパイラ７１を介して渡された定義またはプログラム機能の集まりであることである。主たる端末プログラム（ＴＲＳ）、各アプリケーション、各ライブラリ、および各ＣＳＳダウンロードは、モジュールの例である。好ましくは、すべてのモジュールは標準フォーマットを使用する。本発明に従ったシステム内のカーネルは、ＶＭ２０を規定し、これは、これらのモジュールに対して以下のような種々のハイレベルのサービスを提供する：・トークンによって表わされる、汎用ＣＰＵおよび命令セット；・追加される可能性のある新たな装置をサポートするよう包括的Ｉ／Ｏを備えた、共通の装置のための汎用Ｉ／Ｏサポート；・データベース管理機能；・フォーマット変換および他の機能を含む、データオブジェクト伝送管理；・トークンモジュールの管理、これは、それらを記憶装置内に維持し、（必要に応じて更新し、）およびオンデマンドでそれらを実行するプロセスを含む。本発明の好ましい実施例においては、モジュールの実行は常に、ＶＭ２０の制御下に置かれる。したがって、モジュールはホストプロセッサの制御をとることは決してなく、ＶＭ２０に対しては単に受動的である。好ましくは、ＶＭ２０は常に、スーパーバイザモードで動作し、そのトークンセットで規定された命令のみを実行することが可能であって、どのモジュールもユーザモードで動作することはできない、すなわち、ＶＭ２０の制御をとることはない。したがって、メモリマップを使用したＶＭ２０の実装においては、１つのメモリマップのみが、すなわちスーパーバイザマップのみが作成される。いずれのモジュールも、ＶＭ２０によって規定されるオペレーティングシステムを変更することはできない。このことは、モジュールがＶＭのトークンセットからのトークンのみを含むことが可能であってそれらトークンがいずれもカーネルが記憶されているコード空間にはアクセスすることができないことから、保証されている。もし規定されたセット以外のトークンがＶＭ２０によって発見された場合には、例外が出力される（ＩＬＬＯＰ）。図４に概略的に示すように、端末１はＶＭ２０のＴＲＳモジュールをロードする役割を有する、端末に特有のオペレーティングシステム８を含む（ローディング手順は後に説明する）。ＶＭ２０のためのコードは、端末の読出専用不揮発性メモリ１１内に記憶される。ＴＲＳがロードされるまでは、端末１の端末用揮発性メモリ１９にはトランザクションに関連するデータは全く含まれておらず、端末の読出／書込不揮発性メモリ１８がＶＭ２０によって実行されるべきアプリケーションを、モジュール７２の形でモジュールリポジトリ内に所持している。この不揮発性データベースは、ユーザ特有のデータ、および、後に説明するプラグライブラリ等のライブラリを含む。ＶＭ２０がＩＣＣ５上にも実装される場合には、上述の原理と同じ原理がＩＣＣ５の読出専用不揮発性メモリ１３、揮発性メモリ１４および読出／書込不揮発性メモリ１５に当てはまる。ＶＭ２０は仮想マシンであるため、これはすべての形の端末またはＩＣＣのメモリ１１、１８、１９；１３、１４、１５を仮想メモリとしてアドレス指定する。すなわち、それらはすべて、ＶＭ２０から見た論理アドレス空間内でアドレス指定される。ＶＭ２０の実際の実装においては、これらの論理アドレス空間はメモリマップ等によって端末１またはＩＣＣ５のメモリ内の実際のアドレス空間内にマッピングされる。以下に、ＶＭ２０の一部分としての、揮発性、読出／書込不揮発性、および読出専用不揮発性メモリを参照する。ここで、端末１またはＩＣＣ５上のＶＭ２０の実装において実際のアドレスに関する記載が特になされない限り、論理的にアドレス指定されるメモリ空間が参照されるものと理解されたい。揮発性メモリの内容は、プログラムローディングまたはパワーダウンおよび／またはリブートにより消滅する。揮発性メモリの内容がパワーダウンにより消滅することは、安全の理由から好ましい。不揮発性メモリの内容は、プログラムローディングまたはパワーダウンおよびリブートの後にも残る。仮想マシンの説明本発明に従ったＶＭ２０の概略的表現を図５に示す。好ましくは、ＶＭ２０はスタックマシンであって、好ましくはオンチップメモリ内のプッシュダウンデータスタック２７を指す、（データスタックポインタレジスタ３２内に記憶された）データスタックポインタを有する。すべての演算はこのスタック２７上で実行される。データスタック２７は、手順のパラメータおよび数式評価の一時的な結果を保持するのに使用される。データはこのデータスタック２７へとプッシュされたりそれからポップされる。ＶＭ２０はまた、リターンスタック２８を含む。リターンスタック２８は、ＶＭ２０によって、リターンアドレスを含むのに使用されてもよく、また、一時記憶のために使用されてもよい。この複数のスタックを有するアーキテクチャは、Forthプログラム言語（ＡＮＳＩＸ３．２１５− １９９４）から知られている。このアーキテクチャは、移植性、コードの密度、セキュリティ、コンパイルの簡易性、および他のプログラム言語とともに使用するために、さらに修正されている。たとえば、このアーキテクチャは、Ｃ等の高級プログラム言語で使用される局所変数フレームにも対応する。したがって、本発明に従ったトークンコンパイラ７１は、Forthのためばかりではなく、Ｃおよび他のプログラム言語のためにも書くことが可能である。本発明に従えば、ＶＭ２０に関連したデータスタック２７およびリターンスタック２８は各々１つのみ存在する。データスタック２７およびリターンスタック２８は、処理用の各スレッドごとに作成されるのではない。本発明に従えば、アプリケーションプログラムは、現時点における手順中にリターンスタック２８上に明示的においたもののみを、リターンスタック２８から取出すことが可能であって、現時点の手順を終了する前に、その手順中にリターンスタック２８上に置いたデータを取除かなくてはならない。場合によっては、ＶＭ２０は実行時の完全性を提供するためのセキュリティマネージャーを含んでもよく、これは、リターンスタックに対するすべての動作を監視して、現時点における手順中にすべてのデータが取除かれるかどうかをチェックする。ＶＭ２０は、リターンスタック２８上に、一時的な記憶のために明示的にそこに置かれたデータに加えて、例外実行状態情報、局所変数のためのフレーム、ループ制御パラメータ、およびデータベースコンテクストを保持することができる。本発明に従えば、ＶＭ２０は複数のスタックを含み得る。たとえば、リターンスタック２８のみを使用するのではなく、さらに加えて、例外およびフレームスタック等の、さらなるスタック２９が提供されてもよい。例外スタックは、例外処理中の実行状態を記憶するのに使用される。フレームスタックは、局所変数情報、および、Ｃ言語的起動レコードを維持するのに使用される。上述のように、例外およびフレームスタック２９は、リターンスタック２８上に実装され得る。データスタック２７、リターンスタック２８、および例外スタック等の他のスタック２９は、いずれかのアプリケーションプログラムによって直接にアクセス可能なメモリ空間内には存在しない。データスタック２７またはリターンスタック２８は、直接アドレス指定することができず、それらはスタックオペレーションを介してのみアクセスが可能である。セキュリティの理由のために、データが実際の実装においてどのように記憶されるかについては何ら限定はない。これは、悪意を持つ人がデータが物理的にどのように記憶されているかについて仮定することができないようにするためである。ＶＭ２０は、仮想中央処理装置２２を含み、これは仮想算術論理演算ユニット２３を含む。ＶＭ２０は、仮想または論理的データ空間２４をアドレス指定し、これは、ＶＭ２０によってランダムアクセスメモリ（ＲＡＭ）として取扱われ、かつ、通常は、実際の端末１またはカード５内のＲＡＭ内等の、揮発性メモリ１９の一部として実装される。論理的データ空間２４は、データの記憶のためにのみアクセスが可能である。モジュールのトークンのストリームは、ＶＭ２０によって読出専用メモリ（ＲＯＭ）として取扱われるコードメモリ２６内に、ＶＭ２０によって記憶される。ＶＭ２０のみがトークンを読出すことが可能である。コードメモリ２６は、アプリケーションプログラムのためにも、いかなるトークンによっても、アクセスが不可能である。ＶＭ２０は、仮想レジスタ３０を含んでもよい。ＶＭ２０のレジスタ３０は、以下のレジスタを含み得る。すなわち、実行されるべき次のトークンを指し示すポインタを保持するトークンポインタレジスタ３１、データスタック２７の現時点における最上部（ＴＯＳ）の位置を指し示すポインタを保持するデータスタックポインタレジスタ３２、リターンスタックの現時点における最上部の位置を指し示すポインタを保持するリターンスタックポインタレジスタ３３、データ空間２４内のフレームの開始点を指し示すポインタを保持するフレームポインタレジスタ３４、および、データ空間２４内のフレームの最終点を指し示すポインタを保持するフレームエンドポインタレジスタ３５、である。レジスタ３１から３６へのアクセスは、トークンの組によって直接行なわれることはなく、レジスタアクセストークンを介してのみ行なわれる。最後に、仮想Ｉ／Ｏ装置２５は仮想バスシステム２１によってＣＰＵ２２にリンクされている。仮想バスシステム２１はスタック２７〜２９、ＡＬＵ２３、レジスタ３０、コードメモリ２６、およびデータ空間２４もまたリンクする。本発明に従ったＶＭ２０は、好ましくは、３２ビットレジスタおよびスタックエレメントを有する、バイトでアドレス指定される、２の補数の、３２ビットマシンとして定義されているが、本発明はこれに限定されるものではない。レジスタ／スタックのサイズはＶＭ２０のセルサイズと呼ばれる。セルはスタック上での、ＶＭレジスタ３１〜３６による、操作の基本単位である。ＶＭ２０によって使用されるセルのサイズは、本発明に実質的な影響をもたらすとは考えられない。モジュールから実行されるすべてのプログラムは、以下の規則を遵守しなくてはならない。・プログラムは、上のカテゴリのいずれのデータもリターンスタック２８内に保持されているものと保証されていると仮定してはならず、したがって、セキュリティマネージャーがそのようなデータのいずれをも削除するおそれがあるため、所与のカテゴリに対して明示的に特定された取出機構のみ、使用できる。・これらカテゴリの１つのカテゴリ内のデータをＶＭ２０に渡すプログラムは、データがその中で送られた手順を終了する前に、ＶＭ２０からデータ記憶領域を回復するための適切な動作を行なわなければならない。さもなければ、ＶＭ２０は関連するメモリの部分の割当を解除してしまうであろう。・プログラムは、リターンスタック２８上に先に置かれていたいかなるデータも、それらカテゴリの１つのカテゴリ内のデータをＶＭ２０に渡すことによって、アクセスが不可能となると仮定しなくてはならない。・プログラムは、ＶＭ２０に渡されたこれらカテゴリの１つのカテゴリ内のいかなるデータも、リターンスタック２８上に値を置くコードを実行することによって、それらの値が取除かれるまではアクセス不可能となると仮定しなくてはならない。なぜなら、リターンスタックは特定のトークン手順によってのみアクセスが可能であるためである。本発明に従えば、ＶＭ２０のオペレーティングシステムは、各モジュールにつき利用可能な単一のアドレス空間２４を規定する。このアドレス空間２４は、データ記憶のためにのみアクセスが可能であって、「データ空間」２４と称される。データ空間２４は、３つの論理領域および１つのオプションの論理領域に分割され、その各々は個々に連続している：１．初期化されたデータ空間４１、これは、コンパイル時に特定され、ＶＭカーネルが起動された際およびその後初期化されたデータを含むモジュールがロードされた際に設定される、初期値を含む；２．初期化されていないデータ空間４２、これは、プログラムのコンパイル中に割当てられた変数および静的なバッファを含む。このデータ空間４２はＶＭ２０によってゼロに初期化される；３．フレームメモリ４６、これはフレームトークンによって管理される；４．オプションとして：拡張可能メモリ４５、これは、プログラムの実行中に動的に割当てられる１または複数のバッファを含む。以下のような付加的な２つのデータ領域があるが、これらは直接アドレス指定することはできない：５．典型的には大容量記憶装置である、拡張可能メモリ４３、これは、データオブジェクトおよび揮発性データベースを所持するのに使用される；６．不揮発性メモリ４４は、モジュールローディングまたはパワーダウンおよびリブートの後にも（端末のハードウェアの制限内で）消滅しないことがＶＭ２０によって保証されているデータを所持するのに使用され、これは、モジュールリポジトリおよび不揮発性データベースを含む。これは、バッテリバックアップ付きＲＡＭ、ディスク、または他の恒久的な記億装置内に実装され得る。不揮発性メモリ４４は、読出／書込永久記憶装置１８の一部として実装されてもよい。データのセキュリティを向上するために、拡張されたメモリ４３および不揮発性メモリ４４は、初期化されていないデータ空間４２内のバッファの形式で選択されたデータへの「ウィンドウ」を提供するトークンを通じてのみアクセスされる。したがって、プログラマはレコードを要求することのみができ、データにアクセスするためにそのデータの厳密な位置を知ることはできない。プログラマが個人的ファイルまたはデータベースの位置をつきとめることを可能にするファイルまたはツリー構造はどのようなものであれ存在しないことが好ましい。モジュールによって使用される各データ空間２４内において、メモリは相対アドレス指定によって、実行時にのみ割当てられる。このことは、アドレスが、各モジュール内で、それがロードされた際にのみ意味を持つことを意味する。絶対アドレス指定が使用されないため、モジュールが別のモジュールのデータに対するアクセスを獲得することは、後に示す安全なモジュールアクセス機構によって以外には、不可能である。フレーム（frame）機構は、局所変数が実行時に定義されることを可能とするＣ等の言語の要件を、ＶＭ２０が満たすことができるようにする。フレームはデータスタック２７上で渡される手順パラメータ、および、「局所」変数（フレームが解放された際に、通常は手順の実行の最後に、自動的に自由にされる一時的なデータ記憶）を保持する。フレームの開始および終了ポインタは、ＶＭ２０によって自動的にフレーム内に維持される。フレームポインタレジスタ３４は、フレームの論理的ベースを指し示し、フレームエンドポインタ３５は、データ空間２４内のフレームの論理的終点を指し示す。パラメータは、フレームアクセストークンを使用して、フレームから取出すことが可能である。ＶＭ２０はオプションとして、ＶＭ２０によって管理される単一の拡張可能なバッファとして、拡張可能メモリ４５の動的に割当てられるプールを提供してもよい。これは、プログラムの初期化されていないデータ空間４２の外部に現われる。プログラムは、拡張可能メモリ４５の特定量の割当を要求することができ、そのメモリ４５のためのベースアドレスへのポインタを戻される。その後プログラムはたとえばプログラムの終了時に、所与のアドレスからメモリ４５を解放することができ、それにより、そのアドレスを超えるすべての割当てが解放されるようにする。モジュールは単一のスレッド内で実行されることが好ましいが、本発明はそれに限定されるものではない。このことは、１つのモジュールが第２のモジュールを呼出した場合、その第２のモジュールが終了してＶＭ２０が第１のモジュールに戻る前にその第２のモジュールのすべての資源が割当解除され、処理が続けられることを意味する。図６は、ＶＭ２０によって見られる論理メモリを概略的に示す。図６に概略的に示すように、初期化されたメモリ４１、初期化されていないメモリ４２およびフレームメモリ４６ならびにトークンコード空間２６を有する（左側の）第１のモジュールが、読出／書込可能メモリ内の、アドレス１で開始している位置にロードされている。この第１のモジュールはまた、拡張可能バッファの位置４５を要求しそれを割当てられている。（右側の）第２のモジュールが（たとえば、モジュール１のヘッダ内の、インポート可能な関数の限定的リスト内に存在する関数ｆｇｈをインポートするために）第１のモジュールによって呼出されると、初期化されたメモリ４１’、初期化されていないメモリ４２’ およびフレームメモリ４６’を含むデータ空間２４’が、アドレス２から始まって必要に応じて割当てられる。モジュール２のトークンは、本発明に従って可能であるオプションであるモジュールリポジトリから、ＶＭ２０によって直接読出される。モジュール２から呼出されると、第２のモジュールのための拡張可能メモリ４５’はＶＭ２０によって、メモリ内の第１のモジュールのための拡張可能メモリ４５よりも上位に、割当てられる。第２のモジュールが完了すると、メモリのアドレスよりも上位のすべてが割当てを解除される（「ゴムバンド効果」）。好ましくは、一時記憶されたすべてのデータは、割当解除時に消去される。必要であれば、より多くの拡張可能メモリ４５を第１のモジュールに戻った際に要求することが可能である。第２のモジュールがその後再び呼出された場合、それには、拡張可能メモリ４５’に対する開始アドレスとして、最初にそれが呼出された際とは異なるアドレスが割当てられる。拡張可能メモリ管理トークンＥＸＴＥＮＤ、ＣＥＸＴＥＮＤ、およびＲＥＬＥＡＳＥ、ならびに例外処理トークンＴＨＲＯＷおよびＱＴＨＲＯＷを除くすべてのトークンには、拡張可能メモリポインタに対して正味の影響を何ら有さないことが要求される。トークンが拡張可能メモリ４５を割当てる場合、トークンはそれを、セルの位置合わせの影響も含めて、解放することもまたせねばならない。拡張可能メモリ４５の順番の割当ては、１モジュール内では連続的であることが好ましいが、複数のモジュール間では連続である必要はない。ただし、ＩＭＣＡＬＬまたはＤＯＳＯＣＫＥＴトークンを使用するモジュール間の呼出しは連続性を保つ。モジュールの実行が完了すると、動的に割当てられた拡張可能メモリ４５が自動的に解放される。これは、プログラムがメモリをきれいに解放しないときの影響を限定的なものとする。さらに、もしＴＨＲＯＷ例外が生じた場合、動的に割当てられた拡張可能メモリ４５の割当てが、統御するＣＡＴＣＨ例外の際の条件に復元され得る。ユーザ変数は、ＭＶ２０がクライアントプログラムのためのコンテキスト情報をその中に保持する、セルサイズの変数である。ユーザ変数のための記憶は、ＶＭ２０によって予め割当てられる。たとえば１６個の変数（０から１５で参照される）等の、有限数の変数が提供され得る。マルチタスクを支持するＶＭ２０の実装の場合、各タスクにつき１組のユーザ変数が提供されてもよい。ＶＭ２０は、ＣＡＴＣＨ、ＴＨＲＯＷおよびＱＴＨＲＯＷのトークンを介して、単一の例外処理機構を提供する。これらのトークンは、Lispの例外処理機構から派生したものであり、ＡＮＳ ForthにおいてはＣＡＴＣＨおよびＴＨＲＯＷとして表わされる。この機構の目的は、ソフトウェアの種々のレベルにおいて、プログラム制御の下での例外の局所的な処理を可能にすることである。この概念は、プログラムが関数の実行ポインタをトークンＣＡＴＣＨに渡して、これが、その関数を実行して、もしその実行中に生じた例外があれば、それを示すコードを戻す、というものである。ＣＡＴＣＨは、ＴＨＲＯＷが実行のためにＣＡＴＣＨに渡された関数内で生じた場合に、その現時点における実行状態を復元するのに十分な、実装に依存する情報を記録する。これは、データおよびリターンスタックの深さ、フレームポインタ、ならびに、場合によっては拡張可能メモリポインタを含む（が、これらに限定されるものではない）。実行状態を表わす情報の集まりは、「例外フレーム」と称される。例外フレームは、例外スタック上に保持される。ＣＡＴＣＨの後に、プログラムは戻されたいかなる例外コードをも調べることが可能であり、かつ、それを局所的に処理するかまたはより上位レベルに処理のためＴＨＲＯＷするかを決定することができる。ＶＭ２０は、例外がトラップされるであろうデフォルトの最も外側のレベルを提供する。この最も外側のレベルは、ＣＡＴＣＨの内側のレベルが何ら確立されなかった際に起動される。デフォルトの例外ハンドラは、現時点のいかなる端末トランザクションも中止して、ＴＲＳモジュールを再びロードするよう、また、ＴＲＳのメインループに再度入るよう試みる。ＶＭ２０は、そのような条件が発生した場合には、ＡＮＳ Forth例外−１０（ゼロ除算）を出力する。ＶＭ２０は、たとえば添付の補遺に示すように、ＡＮＳ Forthによってサポートされる他の一般的な例外を出力することもまた可能である。装置および入出力（Ｉ／Ｏ）サービスの処理に関して、低レベルのオペレーションが装置に特有の機能の背後にＶＭ２０によって隠されている装置を含み、各装置には、（結果コードを分類するのに使用される）装置の種類および、一意の装置番号が割当てられる。装置番号は任意であるが、装置番号−１から１５（４ビット）の参照は単一のトークンでのみ行なわれることが可能であって、したがって、それらは、キーボード、ＩＣＣリーダ、磁気ストライプカードリーダ、ディスプレイ、プリンタ、電力管理装置または自動販売機等の、最も一般的な装置に割当てられる。通常のＩ／Ｏの機能は、装置番号を入力パラメータとしてとる関数によって提供される。本発明に従った端末１は、好ましくは、少なくとも３つの主要な不揮発性データベースを含む。すなわち：アプリケーション特有のトランザクションログと、１または複数の言語によるメッセージのデータベースと、モジュールのデータベースとである。ＶＭ２０は、データベースが個人的な情報を含み得るためそれらを可能な限り保護する。データベースへのアクセスは制限される。ＶＭ２０は、アプリケーションソフトウェア（「クライアント」してのアプリケーション）から実装の詳細を隠す、データベース（「サーバ」としてのＶＭ２０）を処理するためのメカニズムを提供する。ＶＭ２０上で実行されるモジュールからデータベースへの、直接のアクセスは決して許されない。サービスは、図７を参照して説明される以下の特徴を実現する：・いかなる時にも、クライアントすなわちモジュール内で実行されるプログラムは、現時点で選択されている１つのデータベース（ＤＢＣＵＲＲＥＮＴ）へのアクセスを有し、かつ、規定されたすべてのデータベースを通じて共有される、現時点で選択されている１つのレコード番号（ＤＢＲＥＣＮＵＭ）を有する。・各データベースに関する情報は、クライアントとサーバとの間で、データベースパラメータブロック（ＤＰＢ）５１を介して転送される。ＤＰＢ５１には、サーバが読出および書込のためにアクセスすることが可能である。クライアントは、ＤＰＢ５１がクライアントのデータ空間２４内にあるという意味で、ＤＰＢ５１を「所有する」が、クライアントはそれに直接アクセスすることは許されない。代わりに、データベースサービストークンのみがそのデータにアクセスするのに使用され得る。ＤＰＢ５１は、少なくともＤＰＢリンク、データベースポインタ、データベースの種類およびレコードサイズの表示、ならびに、次に利用可能なレコード番号のためのフィールドを含む、標準的な構造を有する。データベースを特定するすべての情報は、ＤＰＢ５１内に予めセットされなければならない。クライアントのソフトウェアは、ＤＰＢ５１に対してその後いかなる直接のアクセスも行なうことはできず、また、そのＤＰＢ５１を規定するモジュールが実行のためにロードされた後に、ＤＰＢ５１内に直接保持されている値に関して何ら仮定を行なってはならない。データベースパラメータブロック５１は、モジュールの初期化されたデータ部内のリンクトリストへのポインタ（ＤＰＢリンク）の形で、トークンローダ／インタープリタへと渡される。このフィールドには、リスト内の、次のＤＰＢ５１の初期化されたデータのアドレスまたはもしこのＤＰＢ５１がそのリストにおける最後のまたは唯一のＤＰＢ５１である場合には、ゼロが予め設定されなければならない。クライアントの初期化されたデータ空間内に存在するコンパイルされたデータベースに関しては、ＤＢポインタは初期化されたデータ内の「原点」アドレスに予め設定されなければならない。その記憶がサーバによって制御されているデータベースについては、このフィールドはゼロに予め設定されなければならない。ＤＢの種類は、データベースの詳細をコード化された形で提供する。データベースには少なくとも以下の３つの種類が存在する：「揮発性」データベース、この内容は、モジュールのロードとロードとの間、または、それが常駐する端末１のパワーダウンの前後を通じて、保存される必要はない。「不揮発性」データベース、この内容は、モジュールのロード間、またはパワーダウンを通じて、保存されなければならない。もし不揮発性データベースを規定するモジュールが置換される場合、そのデータベースは古いモジュールがアンロードされる際に破壊される。「コンパイルされたデータベース」、これはトークンコンパイラ７１によって、初期化されたデータの連続する領域内に、固定長のレコードとして構築される。レコードは、コンパイルされたデータベースには付加も削除もされてはならず、また、このデータベースは、実行時に初期化されてはならないが、他の点においては、十分な読出−書込能力がサポートされる。次に利用可能なレコード番号フィールドは、コンパイルされたデータベースに対しては、データベース内で最後に割当てられたレコード番号に１を加えた値に設定されなければならない。他のデータベースにおいては、このフィールドはゼロに設定される。・現時点のレコード（レコードバッファ５３）上へのウィンドウのアドレスが、各クライアントデータベースにつき、サーバによってクライアントへと提供される。あるデータベースオペレーションにおいては、クライアントは文字列およびキーバッファ５２のアドレスをサーバに渡すことが可能である。クライアントモジュールによってサーバに対して知られるようになった各データベースについては、レコードバッファ５３がＶＭ２０によって提供される。このバッファ５３は、位置合わせされたアドレスで開始する。特定のデータベースに関連するレコードバッファ５３の内容は、レコード選択の後、クライアントがそのデータベースから別のレコードを選択するまで利用可能である。これらレコードバッファ５３、コンパイルされたデータベース、および特定のデータベース関数によってデータスタック２７上で渡されるパラメータを除いて、他のいかなるデータ空間５４もクライアントとサーバとの間で共有されることはない。プログラムは、データベース内のレコードがメモリ内で連続していると仮定することはできない。・データベースは、そのＤＰＢが規定されているモジュールのためのローディングプロセスによってインスタンス生成される。アプリケーションモジュールによってインストールされた揮発性データベースは、アプリケーションが端末常駐サービスによって終了されたときに、それらのデータベースに関連するサーバによって割当てられたすべてのデータ記憶が解放されると、サーバによって自動的にかつトランスペアレントにインスタンス消去される。・サーバは、データベースを規定したモジュールが置換される際に、不揮発性データベースを削除する。もしこのモジュールが、たとえばＴＲＳモジュールの場合のように、置換されるときにロードされる場合、サーバは、そのモジュールがアンロードされるときにそのモジュールの不揮発性データベースを削除しなくてはならない。データベースがモジュールロード時にインスタンス生成されるときにＶＭ２０によって取られる動作は、ＤＰＢ５１内のＤＢタイプおよびＤＢポインタの値と、データベースが揮発性または不揮発性のいずれであるかとに依存する。データベースが不揮発性タイプである場合、ＤＰＢアドレスは、データベースに属する任意の前のデータを識別するために、モジュール識別（モジュールＩＤ）と共に用いられる。前のデータが存在する場合には、次に利用可能なレコード番号はそれの以前の値に復元される。そうでない場合には、サーバ（ＶＭ２０）が新しい不揮発性記憶空間のインスタンス生成を行なって、次に利用可能なレコード番号をゼロに設定する。これらの例では、両方とも、バッファ５３がデータベースにおける現在のレコードに対して設けられる。ＤＢポインタがゼロでありかつＤＢタイプがコンパイルされたタイプでない場合、サーバは、データベースに必要とされる記憶部に対してインスタンス生成を行なう、すなわちそれを利用可能な状態にし、その記憶部をすべてゼロに初期化し、バッファ５３をデータベースの「現在のレコード」に対して与えて、次に利用可能なレコード番号（ＤＢＡＶＡＩＬ）をゼロに設定する。ＤＢポインタがゼロでなくかつＤＢタイプがコンパイルされたタイプである場合には、サーバは、、ＤＢポインタで原点アドレスが渡されたクライアントデータ構造を利用するために内部構造をセットアップし、次に利用可能なレコード番号（ＤＢＡＶＡＩＬ）を、ＤＢＰ５１の次に利用可能なレコード番号フィールドにおいて渡された値に設定する。サーバは、実際のデータベースレコード５５と、アドレス位置とデータベース制御ブロック５６におけるレコードとの間の関係と、モジュールが現在どのデータベースにアクセスしているかというレコードとを文脈情報ブロック５７に維持する。この発明に従う保全モジュール処理手順を、図６を参照してここで説明する。図６において、論理読出／書込メモリの或る領域が示される。左側モジュール（第１のモジュール）によってアクセスされてもよいメモリの或る領域は点線を有する。第１のモジュールによってはアクセスされ得ないメモリの或る領域は連続線からなる境界線を有する。１つ以上のモジュールによってアクセスされ得るメモリの或る領域は一点鎖線で示される。ＶＭ２０は、データベースＤＢ１およびＤＢ２と、データベースリポジトリと、モジュールリポジトリにあるモジュールとをプロテクトし、それらがいかなるモジュールによってもアクセス可能ではないようにする。第１のモジュールがロードされた後、メモリ４２内の初期化されていないデータは第１のモジュールによってアクセスされ得るが、ＶＭ２０は、このモジュール外の領域がそのモジュールによって直接アクセスされることは許さない。レジスタ、スタック、またはフレームメモリ４６へのアクセスは、関連のトークンを介してしかなされ得ない。データベースは、上述したウインドウ手順を介してのみアクセスされ得る。特に、第１のモジュールは、トークンが存在するそれ自身のプログラムメモリ２６にアクセスすることもできなければ、他のいかなるモジュールにアクセスすることもできない。このことは、ウイルスに対する保護にとって重要なことである。この発明に従うと、第１のモジュールに割当てられるメモリが規定され保護される。それは、そのモジュール内に含まれる、割当てられるべきメモリの量の表示に従うメモリの割当てによって規定される。それが保護されるのは、他のモジュールがその割当てられた空間にアクセスしないようにするためであり、他のいずれのロード機構もモジュール以外のプログラムに対しては与えられない。モジュールを実行する好ましい方法は、単一スレッドしか持たないので、拡張可能バッファ４５内で割当てられたメモリは他の任意のモジュールが活性状態になる前に割当て解除される。割当て解除されたメモリは、好ましくは、消去される。第１のモジュールの排他的インポートリストは、それのヘッダ内にあり、第１のモジュールがそれに直接アクセスすることはできない。ＶＭ２０は、ヘッダを読出して、インポートリスト内で言及される第２のモジュール（第２のモジュールからの関数ｆｇｈ）を呼出す。ＶＭ２０は、第２のモジュールをロードして、初期化されていないデータ４２’、フレームメモリ４６’、および初期化されたデータ４１’に対してメモリを割当てる。第１のモジュールは第２のモジュールのいずれの部分にもアクセスすることはできず、その逆も行なわれ得ない。第２のモジュールのヘッダにおいて、関数ｆｇｈは、エクスポートされ得る関数の排他的リストにおかれている。これにより、関数ｆｇｈは他のモジュールにとって利用可能なものとなる。ＶＭ２０は、第２のモジュールのコードメモリ空間２６ ’において関数ｆｇｈを求めてサーチを行い、対応するインラインデータを伴うトークンストリーム（ストリームＴＩＴＴＩＴＴで表現される）を実行する。この例では、この部分のコードはデータベースＤＢ２へのアクセスを必要とする。この発明に従うデータベースはモジュールによって「所有」され、換言すれば、データベースは、それについて最初のロードでインスタンス生成を行なうモジュールによってしかアクセスされ得ない。コード空間２６’から読出されたデータベースアクセストークンは、ロード時に第２のモジュールの未初期化データ空間４２’内にバッファ５３’を割当てたＶＭ２０によって実行される。この関数ｆｇｈは、ＤＢ２の第３のレコードへのアクセスを必要とする。次いで、ＶＭ２０は、その参照されたレコードを第２のモジュールにあるウインドウ５３’に転送し、そこからそれが第１のモジュールの未初期化空間４２にエクスポートされる。この同じデータベースウインドウ手順を用いて、第１のモジュールがそれ自身のデータベースＤＢ１からレコードを得、それが未初期化データ空間４２のバッファ５３に転送されてもよい。ここで、第１のモジュールは２つの手順の結果で動作してもよい。ＶＭ２０は、好ましくは、ＩＳＯ／ＩＥＣ８８２５（１９９０）に記載されるように、タグ、長さ、値のためのベーシック・エンコーディング規則（ＢＥＲ −ＴＬＶ（本願ではＴＬＶと短縮される））によってデータオブジェクトを取扱う。ＴＬＶデータオブジェクトは２つまたは３つの連続するフィールド、つまり、そのクラス、タイプ、および番号を特定するタグフィールドと、データのサイズを特定する長さフィールドと、その長さがゼロでない場合には、そのデータを含む値フィールドとからなる。ＩＣＣカード応答は一般にはサイズがたとえば２５５バイト以下に制限されるため、この発明に従うＴＬＶオブジェクトには最大サイズが存在する。タグフィールドは好ましくは１バイトまたは２バイトであり、長さフィールドは好ましくは１バイトまたは２バイトであり、したがって、値フィールドの最大サイズは好ましくは２５２バイトである（この長さのフィールドは、以下に説明されるように、２つの長さバイトを必要とする）。タグフィールドの最初のバイトは３つのフィールドに分けられる。ビット７およびビット８はオブジェクトのクラスを特定する。ビット６は、値フィールドが「原始」データを含むかどうか、またはそれが他のＴＬＶエンコードされたフィールドからなる「コンストラクトされた」オブジェクトであるかどうかを決定する。コンストラクトされたオブジェクトはテンプレートとも呼ばれる。コンストラクトされたオブジェクトに遭遇すると、それらテンプレートの値フィールドはパージング処理されＴＬＶシーケンスが得られる。ビット１〜５はオブジェクトの番号を特定し、または、これらビットすべてがセットされている場合には、それらは付加的なタグバイトが続くことを示す。これらの付加的なタグバイトは、さらに別のバイトが続く場合、それらの第８番目のビットがセットされている。２バイトまでにおけるすべてのビットはタグネームを決定するのに用いられる。長さフィールドは、１つから３つまでの、典型的には２つの連続ずるバイトからなる。最初のバイトのビット８が０である場合、ビット１〜ビット７は値フィールドのサイズを示す。最初のバイトのビット８が１である場合、ビット１〜ビット７は後続するバイトの数を示す。後続するバイトがある場合、それらは値フィールドのサイズを示し、最上位バイトが先頭となっている。値フィールドは、「原始」データからなるか、または付加的なＴＬＶエンコードされたシーケンスで「コンストラクトされ」ている。タグフィールドの先頭バイトのビット６がセットされている場合、値フィールドは付加的なＴＬＶシーケンスを含む。原始オブジェクトはいくつかの異なったフォーマットつまり、先行するゼロ列または後続する全ビットがセットされたニブル列を伴う二進化十進ニブル列、二進数またはバイト列、アルファニューメリックもしくはＡＳＣＩＩバイトの文字列、または定義されていないフォーマットにてエンコードできる。各々は、それが用いられる態様に応じて、異なる態様で処理される。ＩＣＣ５は、データオブジェクトリスト（ＤＯＬ）を用いることによって、特定されたタグネームの値を要求してもよい。カード５は、タグフィールドおよび長さフィールドのリストからなるＤＯＬを送り、端末１は、デリミタなしに対応の値フィールドを戻す。使用されるべき各ＴＬＶは、端末プログラムまたはアブリケーションプログラムによって、そのデータ型およびデータ名を確立するよう定義されなければならない。端末プログラムとアプリケーシヨンプログラムとは別々に開発されるので、この発明に従うＶＭ２０は、リンクされた構造（バランス二進木）を用いて、タグネームをグローバルタグネームリストに対し高速追加および除去する。このことは、各ＴＬＶに対して、ＴＬＶを定義するモジュール内の初期化されたデータ空間４１内、以下の構造がコンパイルされることを必要とする：Ｌｉｎｋ（リンク）バランス二進木の要素へのリンクを与える「左」（上位２バイト）および「右」（下位２バイト）成分を持つセル。Ｌｉｎｋｌｅｆｔ（リンク左）このＴＬＶのアクセスパラメータから、このレコードのタグよりも数値的に小さいタグを持つＴＬＶレコードのアクセスパラメータへの、１６ビットの符号付オフセット。ゼロの値は、このＴＬＶが、このＧＬＶのタグよりも数値的に小さいタグを持つＴＬＶにリンクされていないことを示す。Ｌｉｎｋｒｉｇｈｔ（リンク右）このＴＬＶのアクセスパラメータから、このレコードのタグよりも数値的に大きいタグを持つＴＬＶレコードのアクセスパラメータへの、１６ビットの符号付オフセット。ゼロの値は、このＴＬＶが、このＴＬＶのタグよりも数値的に大きいタグを持つＴＬＶにリンクされていないことを示す。Ｔａｇ（タグ）ビッグエンディアンの数値がＴＬＶタグである２バイト列。Ｔｙｐｅ（タイプ）制御情報を特定する１つのバイト。Ｒｅｓｅｒｖｅｄ（保留）コンパイラ７１によってゼロに初期化されなければならないバイト。Ｄａｔａ（データ）このＴＬＶの長さフィールドおよび値フィールドへのアクセスを含むＶＭ特有情報を保持するセル。このフィールドはコンパイラ７１によってゼロに初期化されなければならない。このシステムは、さらに、各ＴＬＶに対してステータスバイトを維持する。これは、上述の構造における保留バイトであってもよい。このバイトの下位ビットは、トークンＴＬＶＰＡＲＳＥまたはＴＬＶＳＴＯＲＥによって処理されたシーケンス内に有る結果としてＴＬＶに或る値が割当てられている場合、セットされる。割当てられたステータスを維持する目的は、有効データ（ゼロであってもよい）を含むＴＬＶ値を識別し、１度もセットされたことがなくしたがって無効であるＴＬＶ値からそれらを区別することである。ＶＭカーネルは、上述のとおりのＴＬＶの実際の定義を含む初期化されたデータ空間４１へのポインタのリストを維持することによって、ＴＬＶタグのグローバルリストを管理する。モジュールがロードされると、それのＴＬＶ定義がこのリストに対しそれの初期設定の一部として付加され、それがロード解除されると、それのＴＬＶ定義はＶＭ２０によってそのリストから自動的に取除かれる。既に存在するＴＬＶ定義をそのモジュールが含む場合、例外が出力されるだろう。上述のＬｉｎｋフィールドのアドレスは、ＴＬＶ参照のための「アクセスパラメータ」として戻される。ＶＭ２０がＴＬＶ定義に対してインスタンス生成を行なった後は、プログラマはこれらフィールドに直接アクセスしてはならず、それらの内容についていかなる仮定をしてもならない。ソースコードにおけるＴＬＶ定義への参照は、上に定義された定義構造への直接参照として、または数値表現されたタグ値としてコンパイルされる。或る二進ＴＬＶ定義内では、個々のビットまたはビット群は成る意味を有するよう定義される。これらは「ＴＬＶビット」と称される。ＴＬＶビットへの参照は、ＴＬＶの値フィールド内のビットを指すリテラルでコンパイルされてもよい。ビット０は最初のバイトの最下位ビットであり、ビット７はその同じバイトの最上位ビットであり、ビット８は２番目のバイトの最下位ビットであり、以下同様である。ＴＬＶ定義に割当てられたデータは、データベースウインドウの形でＶＭ２０によって維持される２５２バイトのスクラッチパッド領域を介してアプリケーションに公開される（図７参照）。アプリケーションブログラムにはこのスクラッチパッド領域の内容を変更することが許可されている。変更が保持されることになる場合、そのスクラッチパッド領域内のアドレスおよび長さはＴＬＶＳＴＯＲＥトークンに送り返されなければならない。この後に任意のＴＬＶトークンが実行された場合、スクラッチパッド領域のアドレスおよびコンテンツは無効になってもよい。リーダ７に導入されるカード５のセキュリティ管理の一部として、紛失されたかまたは無効であることがわかっているカード５に対するチェックが行なわれる。このようなカード５のリストは、ブラックまたはホットカードリストとして知られている。ブラックまたはホットカードリスト管理は、大きなホットカードリストの管理に特有の専用の関数の組によって与えられる。典型的なリストの場合、各々１０バイトまたは２０の二進コード化十進（ＢＣＤ）桁までからなる１０，０００の一次アカウント番号（ＰＡＮ）を含むだろう。ＰＡＮエントリは、圧縮された数値（ｃｎ）フォーマットで記憶され、右側には十六進のＦ（ＦＨ）がパディングされる。ＰＡＮは最大１９のＢＣＤ桁であるので、リストにおけるエントリは常に少なくとも１つのＦＨでパディングされる。ホットカードリスト内のサーチ時、リストエントリ内のＦＨはワイルドカードまたは「ドントケア」桁とみなされるが、入力として用いられるＰＡＮ内のＦＨはワイルドカードではない。フイルドカードは、エントリの右側端にしか現れ得ない。ＰＡＮは、エントリ内の最初のＦＨまでが同一であるリストエントリが存在する場合に、ホットカードリスト内にあったと判定される。セキュリティ管理の別の部分として、データを暗号化しデコードするための暗号サービスの提供がある。好適な暗号化法であれば、どのようなものを用いてもよい。３つの暗号アルゴリズム、つまりＲＳＡアルゴリズムにおいて用いられるモジュロ乗算およびモジュロ幕乗と、保全ハッシングアルゴリズムＳＨＡ−１とが、ＶＭ２０に対して特に提供されるが、本発明はそれらに限定されるものではない。モジュロ乗算は、符号なしの２つの値ｘおよびｙの乗算を行ない、その積はｚを法として変換される。その式は：結果＝ｍｏｄ（ｘ^*ｙ，ｚ）である。入力値（ｘ，ｙ，ｚ）はすべて同じ長さである。それらはバイト列によって表現され、１０２４ビット以下の８ビットの任意の倍数であり得る。これらの値はビッグエンディアンのバイト順でなければならない。保全ハッシュアルゴリズム（ＳＨＡ−１アルゴリズム）はＦＩＰＳ１８０− １として標準化されている。ＳＨＡ−１は任意の流さのメッセージを入力として受取って２０バイトのハッシュ値を発生させる。モジュロ冪乗は、符号なしの値ｘの、符号なしの指数ｙにより与えられる累乗を計算し、その積をＺを法として変換する。その公式は：結果＝ｍｏｄ（ｘ＾ｙ，ｚ）である。入力値ｘおよびモジュロｚはバイト列で表現され、１０２４ビット以下の８ビットのどのような倍数であってもよい。それらの値はビッグエンディアンのバイト順でなければならない。サービスおよびしたがってソフトウェアならびにＩ／Ｏデバイスさえも、時間とともに、市場の要件に依って変化するかもしれない。大きな変化が必要とされる場合、端末１におけるソフトウェアの変更が、手動が、または通信ネットワークを介して遠隔地から実行されるだろう。しかしながら、ユーザに依存するサービスの場合には、端末１によって与えられるサービスにわずかなまたはユーザ特有のアップグレードをなす、動的ではあるが安全な方法を有することが好ましい。この発明に従う「プラグおよびソケット」ソフトウェア機構は、端末プログラムおよびアプリケーションを構成するさまざまなモジュールのオンラインでの組織化の柔軟かつ安全な方法を提供する。図８に概略的に示されるように、この発明に従うトランザクションシステムでは、トランザクション処理中におけるさらなる拡張用コード（「プラグ」６６と称される）の追加のための場所ホルダとして働くよう、アプリケーションプログラマがアプリケーション６１、６２に挿入できる（したがって、保持者の制御下および支払システム監視下にあるため安全である）多数の手順（「ソケット」６０と称される）を定義してもよい。ソケット６０に差込まれる付加的なコードは、すべて、ＶＭ２０のトークンセットで書かれなければならない。ソケット６０は、好ましくは、既に存在する端末アプリケーション６１、６２内の、または端末プログラムそのものにおけるさまざまな好適なポイントにも配される。それらは、ライブラリ関数を参照するために用いられ、ライブラリ関数が動作する方法を変更する必要性が支払システムによって予測される場合には、それらはライブラリ関数内にさえ発生するだろう。ソケット６０はＶＭ２０によってデフォルト動作に初期設定される。端末プログラムによってさらなる動作が行なわれない場合、ソケット６０のデフォルト動作は、それらが実行されても何も行なわないことである（つまりノーオペレーション）。プラグ６６は、端末１によってサポートされるトークン内に書かれる、デフォルトの端末論理を強化するようソケット６０によって規定されるポイントに挿入されてもよい実行可能コードを含む。ブラグ６６は、ＩＣＣ５によって、たとえばＩＣＣ５内のソケット／プラグ識別子６７、および端末１内の論理から起動されるよう、端末１内のプラグライブラリ６３内に既に存在していてもよい。ソケット／プラグ識別子６７はプラグとプラグが差込まれるソケットとの両方への参照を含み、それにより、プラグはＩＣＣ５上ではなくライブラリ６３内にある。プラグ６６は入力装置６５（たとえば、ＩＣＣ５、または端末１に接続されるホストシステムなど）からきてもよいが、ただし、それは、たとえば、発行者、保持者、および商人など、支払システムの会員が同意する場合のみである。トランザクションの完了で、ソケット６０はそれらの元のアプリケーションデフォルト動作に復元される。この発明に従えば、ＩＣＣ５には、アプリケーション全体ではなく、現在有る端末アプリケーションを強化するプラグ６６のみが含まれることが好ましい。なぜならばそれらはより少ないメモリしか必要としないからである。ソケット６０は、手順ポインタとしても知られる、実行時に動作が変更できる手順の創出を可能にする実行ポインタを保持する。ソケット６０は、ソケット番号をインラインバイトとしてとるＤＯＳＯＣＫＥＴトークンを介するか、またはソケット番号をデータスタック２７からとるＩＤＯＳＯＣＫＥＴトークンによってアクセスされる手順の列として見られ（実現され）てもよい。ソケット６０は、端末プログラムまたはアプリケーションの再構成によりトランザクション処理フローの変形または強化を可能にする。代替的に、ＩＣＣ’５内のソケットが、端末１からのＩＣＣ’５のアップグレードを可能にしてもよい。ソケット６０によって、ソフトウェアモジュールと、いくつかの異なるソース（保持者、発行者など）からくるかもしれない手順との間のインタフェースが与えられる。保持者と発行者とは契約関係を有するため、両者は、端末において保持者のプログラムにより与えられる特定のソケット６０を用いることに同意することにより、発行者がそのプログラムの動作を拡張して、たとえば、ロイヤルティ機能（飛行マイル、クーポンなど）を与えてもよい。モジュールは、それが実行のためにロードされるとソケット６０が自動的に再構成されることを特定してもよいし、またはクライアントプログラムが実行時に新しい手順をソケットにプログラムにより割当ててもよい。セキュリティ条件がそれを許すと仮定して、アプリケーション内のソケット６０には、デフォルト動作が割当てられ、次いで後のモジュールによって新しい手順が再びプラグにさされることにより、特殊な動作を与えてもよい。不明瞭な状況を回避するため、特定のソケット６０を用いるようなベクターを有する手順は、すべて、データスタック効果を持たないことが好ましい（後に説明するように、ソケット０は除く）。これにより、手順のどのベクター化されたバージョンが実行されようとも、プログラムの継続性が保証される。修正前におけるすべてのソケット６０のデフォルト動作は少なくともノーオペレーションのそれとされる。保持者は、上で言及されたＣＳＳの一部として、ＩＣＣ５上におけるコードによるトランザクション強化を可能にしてもよい。その場合、それらはソケット６０で実現されてもよい。ライブラリまたは実行可能モジュールは、ＩＣＣ５からくる後のプラグ６６のための新しいソケット６０の定義を含んでもよい。この場合、そのモジュールは、ソケット６０を定義し、次いで、ＳＥＴＳＯＣＫＥＴトークンを用いてデフォルト動作をそれに割当てる（ヌル動作であることが多い）。アクセス制御が許す場合には、ＩＣＣ５は、新しい動作を定義するトークンを含むプラグ６６を後にダウンロードし、次いでＳＥＴＳＯＣＫＥＴトークンを用いてそれをこの同じソケット６０に記憶させて、デフォルト動作をオーバライドすることもできる。動作を修正することは便利でありかつ柔軟性をもたらすものではあるが、それは悪意の人間が動作を彼らにとって有利になるように修正する機会を与え得る。カード認証を成功させる前に、ＩＣＣ５からのブラグ６６がソケットの動作を修正し得るかどうか、またはそれらがプログラムフロー内に配されるかどうかについて、特に注意を要するだろう。安全のため、端末ソフトウェアは、この発明に従うと、各個々のソケット６０が修正され得るか否かを制御するソケット制御手順を特定できる。したがって、たとえば、ＩＣＣ５からダウンロードされたコードの実行は、たとえば電子署名の検査など、すべての妥当性ルーチンがそのカードにおいて実行されてしまうまでいずれのソケットもＩＣＣ５からプラグを差込まれないよう、保持者によって厳しく制御できる。この発明に従うと、ソケットのセキュリティは、後でソケット６０にプラグをを差込もうとする際に適用されるべきソケット制御手順を特定化することを含む（ＳＥＴＰＬＵＧＣＯＮＴＲＯＬトークン）。手順ＰＬＵＧＣＯＮＴＲＯＬは、所与のソケット番号に対し、そのソケット６０がその時修正されてもよいかどうかを返すよう書かれなければならない。次いでモジュールのソケットリストがモジュールロード時に処理されるか、またはソケット６０にプログラムによりプラグが差込まれると、ＶＭ２０は、まず、ユーザによって書かれたＰＬＵＧＣＯＮＴＲＯＬ手順を実行することにより、ソケット６０が本当にプラグが差込まれ得るかどうかを判断し、差込まれ得ない場合には、ソケット６０の既存の動作を続ける。別のモジュールが実行のためにロードされる前はいかなるソケット６０へのアクセスも制限することを望むようなモジュールは、そのモジュールがロードされる前に、選択された関数ＰＬＵＧＣＯＮＴＲＯＬ関数をパラメータとして、差込可能なソケット（ソケット０）上において、ＳＥＴＰＬＵＧＣＯＮＴＲＯＬトークンにより定義される手順を、実行してもよい。次のモジュール、および実行のためロードされる他の任意のモジュールは、それらのソケットリストが処理されると、ユーザにより定義されたＰＬＵＧＣＯＮＴＲＯＬ手順によりアクセスが拒否されたソケット６０はそれらの既存の動作を保つことになる。この状態はエラーであるとはみなされない。さらなるコードが実行される前はいかなるソケット６０へのアクセスも制限することを望むようなコードは、選択されたＰＬＵＧＣＯＮＴＲＯＬ手順をパラメータとしてＳＥＴＰＬＵＧＣＯＮＴＲＯＬトークンにより定義される手順を、プログラムフロー内の適当なポイントにおいて実行してもよい。６０にプラグするというプログラムによる要求は、ＳＥＴＳＯＣＫＥＴへの呼び出しによってその要求が受入れられたかまたは拒否されたかを判断することができる。ソケット６０でその振舞が、モジュールロード処理によって、またはプログラムされたコマンドによって動的に修正されたソケット６０は、いずれも、最後に実行可能なモジュールが実行のためにロードされたときにそれが有した動作に、そのモジュール実行トークン（ＥＸＥＣＵＴＥＭＯＤＵＬＥ）によって定義された手順内にパッケージされた終了手順の一部として復元される。保持者に特有の関数の一例として、ＬＯＹＡＬＴＹを規定し、それを後の実行に対して利用可能にするフレーズ２７のＳＯＣＫＥＴＬＯＹＡＬＴＹが基本トランザクションコードに含まれる場合を考える。保持者のトランザクションプログラムコードは、さらに、発行者が保持者と同じでありかつトランザクション量が或る最低値を超える場合にのみ、このソケットに対する許可フラグをセットするコードをさらに定義する。このトランザクション中、ＩＣＣ５から任意のコードを読込むコマンドが存在する。ＩＣＣコードの一部は、ユーザの頻繁な飛行者の飛行マイル数を更新するＲＥＷＡＲＤルーチンを定義し、次いで、フレーズＰＬＵＧＲＥＷＡＲＤＩＮＴＯＬＯＹＡＬＴＹの実行を試みることもできる。このフレーズは、ＲＥＷＡＲＤの実行をＬＯＹＡＬＴＹの実行に接続する。ＬＯＹＡＬＴＹソケット許可フラグが上記の論理に従ってセットされている場合、ＳＥＴＳＯＣＫＥＴが生じ、そうでない場合には、ＬＯＹＡＬＴＹはそのデフォルト動作、おそらくはノップを維持する。次いで、アブリケーションコードがそのＬＯＹＡＬＴＹ関数を後に実行すると、それは、ＩＣＣにより定義されるＲＥＷＡＲＤを、獲得者によって定義された規則に従ってのみ可能にする。典型的には、端末１上にて動作するＶＭ２０は限られた数のソケット６０、たとえば番号０〜６３の６４個のソケットを有する。そのもっとも基本的な形式においては、端末プログラムの骨格は、ソケット６０と、ソケットからソケットへの基本プログラムフローとでほとんど全体が構成され得る。ソケット６０には、次いで、端末１またはＩＣＣ５のいずれかから、アプリケーション選択時にロードされる他のモジュールによってトランザクション処理手順が差込まれる。アプリケーション選択前にそのプログラムの骨格において生ずるソケット６０は、ＴＲＳによってデフォルトのヌル動作を割当てられる。所与のソケット６０に２つ以上のモジュールによって手順が差込まれる場合には、一番新しい動作が以前の動作と置き換わるだけである。モジュールのロード、処理および実行ＶＭ２０上にて実行するよう書かれたコード（トークンモジュールとしてコンパイルされた端末常駐サービスを含む）は、パワーアップの後、ＶＭ２０をサポートする端末固有のカーネルソフトウェアによって、任意の必要な、端末に特有のパワーアップ初期設定が行なわれており、かつ下に記載されるモジュールロード処理を介して端末常駐サービス（ＴＲＳ）のメイン処理ループの実行が開始されている、と仮定してもよい。ＴＲＳのメイン処理ループを終了するとき、制御は、ＴＲＳの再ロードおよびそのメインループへの再入を行なうこととなっているソフトウェアの、端末固有の層に戻る。不揮発性データベース内のデータを除いて、ＴＲＳが終了するときには、必ずすべてのＶＭ資源が解放される。資源解放は、端末がパワーダウンされるとき、ＴＲＳが終了するとき、または端末のオペレーティングシステム（もしあれば）がＴＲＳをリスタートするときに生ずる。最後にＴＲＳメインループに入ってから後に、いずれかのＴＲＳモジュールの更新版が取得された場合には、その不揮発性データベースのデータを含むすべてのＴＲＳ資源は、それが終了するときに解放される。端末１またはＩＣＣ５において動作するソフトウェアは、ＶＭ２０によって、１つ以上のモジュールの形式で管理され、各モジュールは以下の情報カテゴリのうち任意のものを含んでもよい：・トークン化されたコード・初期化されたデータ・未初期化データ割当て・データベース定義・ＴＬＶ定義・ソケットリスト・モジュール間依存性各モジュールは、好ましくは、端末１に、モジュール配信フォーマット（ＭＤＦ）で配信される。ＶＭ２０は、配信されて端末１にインストールされたモジュールの読出／書込不揮発性メモリ１８に不揮発性リポジトリを維持する。このリポジトリ内の各モジュールは、モジュール識別子またはモジュールＩＤによって識別されることになる。このモジュールリポジトリへの登録の後、モジュール情報が、ＶＭ２０によって維持され不揮発性メモリ１８内において記憶される不揮発性モジュールデータベースを介して利用可能となる。この発明に従うと、ＶＭ２０は、他の任意のモジュールによる修正からリポジトリ内のモジュールを保護するが、それは、そのようなアクセスに対するトークンがないという理由による。さらに、ＶＭ２０は、ある所与のモジュールＩＤのモジュールが実行目的のために存在する間に、同じＩＤのモジュールの新しいバージョンをリポジトリに置くことができる。モジュールの処理においては、概念上２つの段階がある。：第１に、モジュールを「ロード」するが、これは、それがアクセス可能にされ、そのデータ、データベースなどに対してインスタンス生成が行なわれることを意味し、第２に、それが実行可能なモジュールである場合には、ＶＭ２０がそのエントリポイントからそのトークンを処理し始める。この実行手順を、図９のフローチャートを参照して説明する。まず、ステップ１００において、資源に印付けを行なってセーブする。モジュールの実行前に、ＶＭ２０は、その状態に印をつけ、後でこの状態が復元されるのに必要とされる資源をセーブする。この状態が含むのは：・拡張可能メモリポインタ、フレームポインタおよびフレーム終了ポインタの位置。・現在のソケットリスト全体の内容。・ＴＬＶタグネームリストに登録されたＴＬＶ。・モジュールの活性化および実行を管理するためにＶＭの実装が必要とする他の内部データ。次に、モジュールがステップ１０２においてロードされる。実行すべきモジュールのモジュールＩＤが、後で説するロードモジュールサブルーチンに送られる。モジュールがステップ１０４においてエラーなくロードされたとえば判断される場合には、それを実行することができ、プログラムはステップ１０８に進む。ステップ１０４にてエラーが判断される場合には、そのモジュールの実行は放棄されて、そのモジュールの実行に必要なすべての資源はステップ１０５にて解放される。これは、ＶＭ２０が以下の動作を実行することを必要とする：・そのモジュールおよび当該モジュールがロードを必要としたモジュールの全てをロードするのに必要とされるすべての揮発性メモリは、解放されてゼロクリアされなければならない。これは以下を含むが、それらに限定されるものではない：・全モジュールの初期化および未初期化データに対し必要とされる空間。・これらモジュールによって定義される全ての内部ＴＬＶバッファおよび管理データ構造に対し必要とされる空間。・これらモジュールによって定義されるデータベースにより必要とされる全ての内部バッファおよび管理データ構造に対し必要とされる空間。・タグ検索用にＶＭによって維持されるＴＬＶネームリストは、モジュール実行直前のそれの状態に復元されなければならない。・ＶＭによって維持されるソケットリストの内容は、モジュール実行直前の状態に復元されなければならない。・フレームポインタ、フレーム終了ポインタ、および拡張可能メモリポインタの内容は、モジュール実行直前の値に復元される。モジュールのロードが成功すると、ステップ１０６において、そのモジュールが実行可能モジュールであるかまたはライブラリモジュールであるかが判断される。後者である場合には、モジュールの実行は起こらず、ＶＭ２０は、ステップ１０５に対して記載されたように、ステップ１１０においてすべての資源を解放する。モジュールが実行可能である場合には、そのモジュールのエントリポイントを特定するフィールドを判断する。ＶＭ２０は、エントリポイントフィールドで特定されるトークンを呼出すことによって、そのモジュールを開始する。次いで、各トークンが順番にステップ１０８にて実行される。このモジュールはＲＥＴＵＲＮトークンを用いて終了し、その後すべての資源がステップ１１０にて解放される。モジュールをロードするのに必要な処理である「ロードモジュール（Load Mod ule）」サブルーチンを、図１０に示されるフロー図を参照して説明する。モジュールのロード中に誤りが検出される場合、Load Moduleサブルーチンは直ちに偽を返す。一般的なエラーは、初期化されたデータ、初期化されていないデータ、データベース、またはＴＬＶに対する空間を与えるのに不十分な資源しかない場合の「メモリ不足」、重複ＴＬＶタグが発見されたとき、などのエラーである。データベースおよびＴＬＶセクションの処理前に初期化されたデータをセットアップしなければならない。なぜならば、これらは初期化されたデータセクションの一部であるからである。ステップ１２０において、モジュールが既にメモリにロードされているかどうかが判断される。それが既にロードされている場合には、それは２回目はロードされず、Load Moduleは直ちに成功したことになり、真を返す。次に、ステップ１２２において、そのモジュールがリポジトリ内にあるかどうかが判断される。そうでない場合には、それはロードされ得ず、したがってロードモジュールサブルーチンは失敗して、偽が返される。ステップ１２４において、モジュールの未初期化データ領域４１に対しデータの何バイトが必要かが判断されて、必要とされる量が予約される。この領域４１はＶＭ２０によってオールゼロに設定される。同様に、ステップ１２６において、そのモジュールの初期化されたデータ領域４２に対するデータのバイトの必要数が予約される。次いで、その初期化されたデータがこのエリアにコピーされる。ステップ１８において、ロードされるべきモジュールで定義されるＴＬＶを、ＶＭ２０によって、ＴＬＶ検索のために用いられるそれの内部ネームリストに追加する。ＴＬＶデータ構造のルートが記憶される。次に、ステップ１３０において、ロードされるべきモジュール内で定義されたデータベースに対し、ＶＭ２０がインスタンス生成を行なう。ステップ１２８および１３０はどのような順で実行されてもよい。ステップ１３２において、現在のモジュールに対し、インポートされるモジュールが選択される。ステップ１３４において、インポートされたモジュールのリストが順に調べられ、各モジュールを順に、再帰的にロードする。インポートされたモジュールが、ステップ１３６で何らかの理由でロードされ得ないと判断された場合、そのモジュールをインポートしたモジュールもロードに失敗したとされる。なぜなら、そのインポートされたモジュールのサービスにアクセスできないためである。この場合、Load Moduleは偽を返す。ステッブ１３８において、さらなるモジュールがインポートされるかどうかが判断される。さらなるモジュールがインポートされる場合には、手順はステップ１３２に戻る。最後のインポートされたモジュールが再帰的にロードされたとステップ１３８にて判断された後には、現在のモジュールはその資源が割当てられ、ロードされ、エラーなくインスタンス生成が行なわれているので、Load Moduleはステップ１３９でそのリスト内のソケット６０にプラグを差込み、次いで、真を返して、そのモジュールのロードが成功したことを示す。ソケット０にプラグを差込もうとする試みは全てＶＭ２０によって無視されなければならない。ソケット０にプラグが差込まれる必要がある場合、それはＳＥＴＳＯＣＫＥＴトークンを用いて行なえる。ステップ１４０においてソケット６０にプラグを差込むための手順を、図１１を参照して説明する。ステップ１４０において、ロードされたモジュール内の各ソケットに対するデフォルト動作のインスタンス生成が行なわれる。ステップ１４１において、プラグがあるがどうかが判断される。プラグがない場合には、はステップ１４９でそのモジュールが実行される。プラグがある場合には、最初のプラグがステップ１４２にて選択される。ステップ１４３で、関連のソケットのセキュリティフラグがセットされているか否かが判断される。セットされていない場合には、そのソケットはステップ１４６にてプラグを差込まれる。セキュリティフラグがセットされている場合には、そのソケットに対して特定されたセキュリティ関数が実行される。セキュリティ評価が肯定的である場合、そのソケットにはステップ１４６にてプラグが差込まれる。ステップ１４８において、そのプラグが最後のプラグであるかどうかが判断される。そうでない場合には、次のプラグを評価のために選択する。セキュリティチェックが否定的である場合には、そのプラグが最後のプラグであるかどうかをステップ１４７にて判断する。ステップ１４７または１４８において、そのプラグが最後のプラグであると判断される場合には、そのモジュールは、プラグを差込まれなかったすべてのソケットに対してはデフォルト動作で、プラグを差込まれたソケットに対してはプラグを差込まれた動作で、実行される。このようにして、安全な動作修正が達成される。ＬＯＡＤＣＡＲＤＭＯＤＵＬＥトークンによつてＩＣＣ５からロードされるモジュールは、ＥＸＥＣＵＴＥＭＯＤＵＬＥトークンを用いて端末１にあるリポジトリからロードされるモジュールとは異なる態様で処理されなければならない。ＬＯＡＤＣＡＲＤＭＯＤＵＬＥに対するフローチャートを図１２に示す。カードモジュールの実行前に、ＶＭ２０は、ステップ１５０において、その状態に印をつけ、必要とされる資源をセーブすることにより、この状態が後で復元され得るようにする。その状態は以下を含む：・拡張可能なメモリポインタ、フレームポインタ、およびフレーム終了ポインタの位置。・現在のソケットリスト全体の内容。・ＴＬＶタグネームリストに登録されたＴＬＶ。・カードモジュールの活性化を管理するためにＶＭ実装が必要とする他の内部データ。モジュールは、ステップ１５２において、図９を参照して上に記載されたロードモジュールルーチンを用いてロードされるが、その違いは、モジュールがＩＣＣ５上にあり、リポジトリにはなく、まだロードされていない、という点である。ステップ１５４において、カードモジュールのロードが成功しなかったと判断された場合には、すべての資源が、ステップ１５５において、それらがＬＯＡＤＣＡＲＤＭＯＤＵＬＥトークンの実行直前に有していた状態に戻される。これには以下が必要である：・そのモジュールおよび当該モジュールによりロードが必要とされるモジュールをロードするのに必要とされるすべての揮発性メモリは、解放されゼロクリアされなければならない。このことは、以下を含むことになるが、それらに限定されるものではない：・全モジュールの初期化および未初期化データに対し必要とされる空間。・これらモジュールによって定義される全ての内部ＴＬＶバッファおよび管理データ構造に対し必要とされる空間。・これらモジュールにより定義されるデータベースが必要とする全ての内部バッファおよび管理データ構造に対し必要とされる空間。・タグ検索用にＶＭによって維持されるＴＬＶネームリストは、モジュール実行直前の状態に復元されなければならない。・ＶＭによって維持されるソケットリストの内容は、モジュール実行直前の状態に復元されなければならない。フレームポインタ、フレーム終了ポインタ、および拡張可能メモリポインタの内容は、モジュール実行直前におけるそれらの値に復元されなければならない。カードモジュールのロードが成功すると、「資源に印をつけセーブする」ステップ１５０にてセーブされた状態はステップ１５６にて単に破棄される。こうして、カードモジュールが動作中のシステムに移植される。実用上は、カードモジュールはソケットにプラグを差込まなければならない。さもなければ、カードモジュールにあるコードを実行する方法はない。この後、ステップ１５８において、そのモジュールが実行可能モジュールであるかどうかが判断され、そうである場合には、それを、ステップ１６０において、図９のステップ１０６および１０８を参照して説明したように実行する。上記のこの発明の特定の実施例は例示的にすぎないものとして意図されるものであり、この発明の原理に従って他の数多くの変形および修正がそれらになされてもよい。この発明のそのような実施例ならびに変形および修正は、すべて、請求の範囲に規定されるとおりの本発明の範囲内にあるものと考えられる。１．１概観ＥＰＩＣｏｄｅトークンは、付加的なフレームポインタを持つ２スタック仮想マシンの命令セットである。これらのトークンは、コンパイラの中間言語としてさらに取扱われてもよい。プログラムトランスレータのいくつかの実装では実際にＥＰＩＣｏｄｅトークンを機械コードにコンパイルするだろう。ＥＰＩＣｏｄｅはバイトトークンであり、最大数で２５６のトークンが可能である。１バイトの前置トークンにより、各前置トークンが２５６トークンのページを定義するものとして、トークンの範囲は、理論上、最大数で６５５３６のトークンにまで拡張される。実際には、限られた範囲の前置トークンが定義される。各トークン値を、２桁の１６進コードとして、その対応の名前とともに１６進数表示で示してある。前置を伴わないトークン（１バイトトークン）は、一次トークンと称され、前置を伴うトークン（２バイトトークン）は、二次トークンと称される。下のリスト内に定義されていない一次トークンまたは二次トークンの実行は、ＩＬＬＯＰ例外を全生させる。１．１．１ＥＰＩＣｏｄｅトークンに対するＦｏｒｔｈ関数この節は、ＥＰＩＣｏｄｅトークンとして用いられるＦｏｒｔｈ語のアルファベット用語索引リストを示す。各行は、左から右に向かって以下のものを含む：・定義名（大文字で、等幅のボールド体で示される）；・英語とは異なる場合の、自然言語での発音；・適用可能な特別な指示子：ＡＡＮＳＦｏｒｔｈ語（すべてのオプションのワードセットを含む）Ｃコンパイラ指示語；定義内で用いられなければならない。Ｇ包括的Ｆｏｒｔｈ語（たとえば、Forth Interest Groupなど、共通の使用法。ただしＡＮＳＦｏｒｔｈにおいてではない。）Ｈホスト（コンパイラ）語（トークンをターゲットに与えろもの、与えないものにかかわらない）。・等価なＥＰＩＣｏｄｅトークン。１．２規約１．２．１数のフォーマット１バイトより大きい数はトークンプログラムにおいては「ビッグエンディアン」の２の補数形式で最上位バイトが最初になる状態で送信される。ＥＰＩＣｏｄｅプログラム内では、プログラムが、数を、基礎となっているアーキテクチャに最も適した形式で記憶できるよう、数は常に正しいフォーマットの演算子によってアクセスされなければならない。多倍精度データ型は最上位セルが先頭になる状態でスタック上に保持される。メモリ内では、これらのデータ型は、最上位セルが、マルチセル型内の最下位アドレスのセルにある状態で保持される。１．２．２制御構造およびオフセット制御構造は、制御トークン（ＢＲＡ、ＲＬＯＯＰなど）に符号付４バイト、２バイトまたは１バイトオフセットが続いたものによって形成される。制御トークンに続くこのオフセットは、そのオフセットがフェッチされた後にトークンポインタ（ＴＰ）に加算される。したがって、分岐トークンがａｄｄｒにある場合、行先アドレスは、１バイトオフセット（ＳＢＲＡ）に対してはａｄｄｒ＋２＋ｏｆｆｓｅｔ、２バイトオフセット（ＢＲＡ）に対してはｎｄｄｒ＋３＋ｏｆｆｓｅｔ、４バイトオフセット（ＥＢＲＡ）に対してはａｄｄｒ＋５＋ｏｆｆｓｅｔである。４バイトオフセットをとるトークンは、コードのための３２ビット線形アドレス空間をサポートする仮想マシンの実装上の端末特有のコードにのみ利用可能である。１．２．３アドレスユーザにより定義される手順は、ＥＰＩＣｏｄｅブログラム内におけるそれらのアドレスによって定義される。トークンがより大きなプロセッサのために翻訳またはネイティブコードにコンパイルされる場合、トークン空間アドレスはそのコードの実際のアドレスには対応しない。１．３データ型ほとんどのトークンは、そのトークンによって決定されるデータサイズおよび符号付または符号なしにしたがって解釈された量に対して作用するが、フレーム記憶にあるメモリにアクセスする命令は前置トークンによって決定されるデータ型オーバライドを行ない得る。バイトコードの組（表１に示される）がそのような前置トークンのために予約されているが、現在はＳＢＹＴＥおよびＵＢＹＴＥのみが用いられている。必要とするセルが１つ（１バイト）未満であるデータ型は、バイト演算子、またはオーバライド前置を伴う演算子を用いることによって、メモリからフェッチされる。符号付データ型が暗黙値とされる場合または明示される場合には、そのデータはセル幅まで符号拡張される。符号なしデータ型が暗黙値とされる場合または明示される場合には、そのデータはゼロ拡張される。表１：データ型前置１．４算術返された結果に対して定められたサイズからオーバフローする加算演算および減算演算は、その結果の［そのサイズに適応し最大符号なし値］を法とする値＋１を返す。送られた値のサイズよりも行先記憶が小さいストア動作は、その行先の幅に切捨てられた値を記憶する。除算演算は対称である。つまり、丸め演算は符号にかかわらず常にゼロへの方向である。１．５一次トークントークンは、便宜上いくつかの論理的な組に分割され、下にあるように別個のセクションに示される。トークン値はすべて１６進数である。トークンに適用可能なデータ型前置を、表１に与えられた短縮形を用いて明示的にリストしてある。一次トークンのうち、前置リストにないトークンが前に置かれている一次トークンは無効であり、そのようなトークンが実行されると、ＩＬＬＯＰ例外が出力される。そのトークンに対するデフォルトの型をイタリック体で示し、常にリストの最初に挙げてある。デフォルトデータ型前置は冗長であり、上にあるように、トークンに前置して用いられる場合には無効である。１．５．１動作の組 00 NOOP （−）いかなる動作も行なわれない。 04 BFETCHS （addr-num）与えられたアドレスから８ビットのバイトをフェッチし、それを符号拡張する。 08 LIT （−x）インラインで後に続くセルをデータとして返す。 09 LITC （−addr）インラインで後に続くセルを、コードイメージにおけるアドレスであるリテラルとして返す。このリテラルの値は、そのイメージ内で、プログラムローダにより再配置されてもよい。 0A LITD （−addr）インラインで後に続くセルを、初期化されたデータ空間におけるアドレスであるリテラルとして返す。このリテラルの値は、そのイメージ内でプログラムローダにより再配置されてもよい。 0B LITU （−addr）インラインで後に続くセルを、初期化されていないデータ空間におけるアドレスであるリテラルとして返す。このリテラルの値は、そのイメージ内で、プログラムローダにより再配置されてもよい。 0C PLIT （−u）インラインで後に続くバイトを返す。このバイトは３２ビットにゼロ拡張される。 0D NLIT （−num）インラインで後に続くバイトを戻し、３２ビットにゼロ拡張し、次いで否定する。 0E HLIT （−u）インラインで後に続く２バイト値を返す。この値は３２ビットにゼロ拡張される。 10 HLITC （−addr）インラインで後に続く符号なし２バイト値をコードイメージのベースアドレスに加算した結果生ずるアドレスを返す。この値は３２ビットにゼロ拡張される。 11 SLITD （−a-addr）インラインで後に続き、初期化されたデータのベースアドレスに、セル数で示した正のオフセットとして解釈された符号なしバイトを加算した結果のアドレスを返す。このバイトは、３２ビットにゼロ拡張され、４で乗算されて、オフセットをバイトで与える。 12 HLITD （−addr）初期化されたデータのベースアドレスに、インラインで後に続く２バイト値を加算した結果のアドレスを返す。この値は３２ビットに符号拡張される。 13 SLITU （−addr）インラインで後に続き、未初期化データのベースアドレスに、セル数で示した正のオフセットとして解釈された符号なしバイトを加算した結果のアドレスを返す。このバイトは、３２ビットにゼロ拡張され、４で乗算されて、オフセットをバイトで与える。 14 HLITU （−addr）未初期化データのベースに、インラインで後に続く２バイト値を加算した結果のアドレスを返す。この値は３２ビットに符号拡張される。 15 ADDLIT （ｘ₁−ｘ₂）インラインで後に続くセル内のデータをｘ₁に加算して、ｘ₂を生じさせる。 16 SADDLIT （ｘ₁−ｘ₂）符号付１バイトインライン値からのリテラルをｘ₁に加算して、ｘ₂を生じさせる。 19 SUBLIT （ｘ₁−ｘ₂）インラインで後に続くセル内のデータをｘ₁から減算して、ｘ₂を生じさせる。 1A SSUBLIT （ｘ₁−ｘ₂-t）符号付１バイトインライン値をｘ₁から減算して、ｘ₂を生じさせる。 1C VSUBLIT （d−d-Iit）符号付８バイトインライン値を倍長語数ｄから減算する。 1D SMULLIT （num−num^*lit）ｎｕｍを、インラインで後に続く符号付１バイトリテラルで乗算する。 1E SDIVLIT （num-num/lit）ｎｕｍを、インラインで後に続く符号付１バイトリテラルで除算する。 21 DIVU （u₁u−u₃）ｕ₁をｕ₂（符号なし）で除算して、ｕ₃を与える。 3A SHRU （u−u>>１）ｕを右に１ビット論理シフトして０ビットを挿入する。注意。ＳＥＴｘｘ演算子は０との比較を行ない、そのフラグがこの比較の結果に従ってセットされる。 42 SETGE （num-flag）ｎｕｍ≧０（符号付）ならＴＲＵＥを返す。 45 SETLE （num−flag）ｎｕｍ≦０（符号付）ならＴＲＵＥを返す。 48 CMPGEU （u₁u₂−flag）符号なしの値ｕ₁とｕ₂とを比較し、ｕ₁≧ｕ₂ならＴＲＵＥを返す。 4C CMPGE （num₁num₂−flag）符号付の値ｎｕｍ₁とｎｕｍ₂とを比較し、ｎｕｍ₁≧ｎｕｍ₂ならＴＲＵＥを返す。 4F CMPLE （num₁num₂−flag）符号付の値ｎｕｍ₁とｎｕｍ₂とを比較し、ｎｕｍ₁≦ｎｕｍ₂ならＴＲＵＥを返す。以下のトークンはフレーム記憶へのアクセスを与える。 50..53 PFRFETCH2...PFRFETCH5 （−num）ｎを２..５として、ＳＦＲＦＥＴＣＨｎ（ｑ．ｖ．）に対する短縮形式の同義語。考えられ得るデータ型オーバライドはＳＬ，ＳＢ，ＵＢを含む。 54..5F TFRFETCH12...TFRFETCH1 （−num）ｎを−１２..−１として、ＳＦＲＦＥＴＣＨｎ（ｑ．ｖ．）に対する短縮形式の同義語。考えられ得るデータ型オーバライドはＳＬ，ＳＢ，ＵＢを含む。 60..63 PFRSTORE2...PFRSTORE5 （num−）ｎを２..５として、ＳＦＲＳＴＯＲＥｎ（ｑ．ｖ．）に対する短縮形式の同義語。考えられ得るデータ型オーバライドはＳＬ，ＳＢを含む。 64..6F TFRSTORE12...TFRSTORE1 （num−）ｎを−１２..−１として、ＳＦＲＳＴＯＲＥｎ（ｑ．ｖ．）に対する短縮形式の同義語。考えられ得るデータ型オーバライドはＳＬ，ＳＢを含む。 70 SFRFETCH （−num）フレームポインタからの符号付インライン１バイトオフセットでの値（デフォルトにではセル）ｎｕｍをフェッチする。このオフセットは、デフォルトデータ型に対してはセル指標（つまり、バイトアドレス指定オフセットを得るためにはそれに４を乗算する。）として、およびバイトサイズのデータ無効に対してはバイト指標として解釈される。ＳＦＲＦＥＴＣＨ０およびSＦＲＦＥＴＣＨ１は、意味のない内部フレーム管理データを呼出プログラムに返し、したがって、フレーム内への有効な参照を構成するわけではない。したがって、パラメータはＳＦＲＦＥＴＣＨ２から開始し、一時変数はＳＦＲＦＥＴＣＨ −１から開始する。これは、フレームスタックがメモリ内で下方に向かって伸びるからである。考えられえるデータ型オーバライドは：ＳＬ，ＳＢ，ＵＢを含む。 71 SFRSTORE （num−）引数内の値（デフォルトではセル）ｎｕｍをフレームポインタから符号付のインラインの１バイトオフセットした位置にストアする。このオフセットは、デフォルトデータ型に対してはセル指標（つまり、バイトアドレス指定されるオフセットを与えるためには４を乗算する）として、およびバイトサイズのデータオーバライドに対しては、バイト指標として処理されるインライン値として供給される。詳細についてはＳＦＲＦＥＴＣＨを参照されたい。考えられ得るデータ型オーバライドは：ＳＬ，ＳＢを含む。 72 FRFETCH （−num）フレームポインタからの符号付のオフセットの位置の値ｎｕｍをフェッチする。このオフセットは２バイトインライン値によって与えられる。詳細についてはＳＦＲＦＥＴＣＨの説明を参照されたい。考えられ得るデータ型オーバライドは：ＳＬ，ＳＢ，ＵＢを含む。 73 FRSTORE （num−）引数内の値をフレームポインタから符号付のオフセットの位置に、ストアする。このオフセットは２バイトインライン値によって与えられる。さらなる詳細についてはＳＦＲＳＴＯＲＥを参照されたい。考えられ得るデータ型オーバライドは：ＳＬ，ＳＢを含む。 74 SFRADDR （−addr）フレームポインタからの符号付オフセットの位置のフレーム内アドレスを返す。このオフセットは、デフォルトデータ型に対しては４で乗算されてバイトオフセットを与え、バイトサイズのデータオーバライドに対してはバイト指標として直接用いられる１バイトインライン値によって与えられる。考えられ得るデータ型オーバライドは：ＳＬ，ＳＢを含む。 75 FRADDR （−addr）フレームポインタからの符号付セルオフセット位置のフレーム内アドレスを返す。このオフセットは、デフォルトデータ型に対しては４で乗算されてバイトオフセットを与え、バイトサイズのデータオーライドに対してはバイト指標として直接用いられる２バイトインライン値によって与えられる。Ｆｏｒｔｈの標準の数変換関数に対するサポートを提供するトークンに対して：トークン名のＮＭＢＲは“ｎｕｍｂｅｒ（ナンバー）”と発音される。トークンＬＴＮＭＢＲＮ、ＮＭＢＲＳおよびＴＯＮＵＭＢＥＲはユーザ変数ＢＡＳＥを変換数基底として用いる。 8C UNDER （ｘ₁ｘ₂−ｘ₁ｘ₁ｘ₂）スタック上の２番目の項目を複写する。 9C ZERO （−０）値０をスタック上に残す。 9D ONE （−1）値１をスタック上に残す。 9E MINUS0NE （−-1）値−１をスタック上に残す。 AO INDEX （addr₁num−addr₂）ｎｕｍに４を乗算し、ａｄｄｒ₁を加えて、ａｄｄｒ₂を得る。 A2 EDOCREATE （−a-addr）インラインセル内においてこのトークンの直後に続くオフセットのデータ空間内のアドレスを返して、サブルーチンリターンを実行する。このトークンを用いて、それに対応する手順を呼出すことによりデータ領域を識別して、位置に依存しないデータテーブルの創出を可能にする。 A3 EDOCLASS （−a-addr）セル内において次にインラインで後に続く符号なしオフセットを（つまりコードオフセトの後）、初期化されたデータ空間のベースアドレスに加算した結果生するアドレスをデータスタックにプッシュした後、後に続くインラインセルにオフセットが保持されたコード空間アドレスに分岐する。このトークンを用いることにより、プログラムメモリ内のデータ構造を識別し、それを処理するルーチンに制御を渡して、単純なクラス機構の基礎を提供する。 A4 DOCREATE （−a-addr）インライン２バイト値でこのトークンの直後に続くオフセットのデータ空間内のアドレスを返して、サブルーチンリターンを実行する。このトークンを用いて、それに対応する手順を呼出すことにより、データオフセットを識別して、位置に依存しないデータテーブルの創出を可能にする。 A5 DOCLASS （−a-addr）２バイトで次にインラインで続く符号なしオフセット（つまり、コードオフセットの後）を、初期化されたデータ空間のベースアドレスに加算した結果生ずるアドレスをデータスタックにプッシュした後、後に続くインラインセルにオフセットが保持されたコード空間アドレスに分岐する。このトークンを用いることにより、プログラムメモリ内においてデータ構造を識別し、それを処理するルーチンに制御を渡して、単純なクラス機構の基礎を与える。 A6 ECALL （−）インラインセルが後に続いて、このセルをコード空間内への符号付バイトオフセットとして用いて手順を呼出す。 A7 SCALL （−）１つのインラインバイトが後に続き、このバイトをコード空間内への符号付バイトオフセットとして用いて手順を呼出す。 A8 CALL （−）インラインの２バイトオフセットが後に続き、この値をコード空間内への符号付バイトオフセットとして用いて手順を呼出す。 AB SMAKEFRAME （x_params…ｘ₁−）手順パラメータを形成するセルの数である第１のｐａｒａｍｓと、次いで、一時変数のセルの数であるｔｅｍｐｓとを含む、２つの符号なし１バイトリテラルが後に続く。ｐａｒａｍｓ＋ｔｅｍｐｓ＋２セルを割当て、次いで、新しいフレームを指すよう現在のフレームポインタをセットする。このトークンにより、手順パラメータおよび一時変数はＦＲＦＥＴＣＨおよびＦＲＳＴＯＲＥによってアクセスされることが可能となる。仮想マシンがリターンスタック上にフレームを構築することが許可され、したがって、フレームの使用はリターンスタック使用法に一般的にあてはまる規則によって制限を受ける。手順パラメータは、それらがＦＲＦＥＴＣＨおよびＦＲＳＴＯＲＥによってアクセスされ得るよう、ＳＭＡＫＥＦＲＡＭＥによってデータスタックからフレーム内に移動させられる。要求されるサイズのフレームを構築することが可能でない場合、ＦＲＡＭＥＳＴＡＣＫＥＲＲＯＲが出力される。 AC MAKEFRAME （ｘ_params…ｘ₁−−）手順パラメータを形成するセルの数である第１のｐａｒａｍｓと、次いで、一時変数のセルの数であるｔｅｍｐｓとを含む、２つの符号なし２バイトリテラルが後に続く。さらなる詳細に関してはＳＭＡＫＥＦＲＡＭＥを参照されたい。 AD RELFRAME （−）フレームポインタをそれの以前の値に復元し、現在のフレームを解放する。１．５．２分岐の組これらのトークンは、通常のスタックマシン分岐演算子に加えて、Ｆｏｒｔｈ語ＤＯ？ＤＯＬＯＯＰ＋ＬＯＯＰＬＥＡＶＥＩおよびＪに対するランダム片を含む。 AF EBRA （−）常に分岐する。４バイトインラインオフセット。 BO EBZ （num−）ｎｕｍ＝０であれば分岐する。４バイトインラインオフセット。 B1 EBNZ （num−）ｎｕｍ≠０であれば分岐する。４バイトインラインオフセット。 B2 SBRA （−）ショート分岐。符号付バイトインラインオフセット。 B3 SBZ （num−）ｎｕｍ＝０であればショート分岐する。符号付バイトインラインオフセット。 B4 SBNZ （num−）ｎｕｍ≠０であればショート分岐する。符号付バイトインラインオフセット。 B5 BRA （−）無条件分岐。符号付２バイトインラインオフセット。 B7 BNZ （num−）ｎｕｍ≠０であれば分岐する。符号付２バイトインラインオフセット。１．５．３データ型およびコードページオーバライドこの群は、８ビットトークンの制限が克服されることを可能にする。なお、それらのスタック動作は以下のトークンに依存する。トークンの対は二次トークンと称される。データ型に対する拡張トークンはトークンＣ０〜ＣＦを占める。この範囲にある使われていないトークンは将来新たなデータ型前置が必要となったときに用いられるよう予約される。 C1 SBYTE （−）符号付バイト。 C2 UBYTE （−）符号なしバイト。 C5 SLONG （−）符号付ロング、３２ビット。 C6 ULONG （−）符号なしロング、３２ビット。１．５．４ソケット処理トークン D2 DOSOCKET （−）必要とされる関数番号を特定するインラインバイト（０..６３）が後に続く。スタック効果は、そのソケットに結びつけられる関数によって定義される。 D3 IDOSOCKET （u−）ｕによりソケット番号（０..６３）が特定されるソケット関数を実行する。下位レベルスタック効果は、そのソケットに結びつけられる関数により定義される。ｕが６３より大きい場合、ＡＮＳＦｏｒｔｈ例外２４（無効数値引数）が出力される。１．５．５制御の組 E6 IMCALL （−）モジュール番号（０−２５５）が次のインラインのバイトにより与えられ、かつ関数番号（０−２５５）が後続のインラインのバイトで与えられるモジュールからの関数を実行する。スタック効果は、呼出された関数に依存する。 E7 CLASSPROC （−）ロード中、ＣＬＡＳＳＰＲＯＣはクラス処理コードへのエントリをマークする。コンパイルの捕助のため使用され、ＮＯＯＰとして実施されてもよい。 F9 SYSFUNC （−）二次トークンの最初のバイトとして扱われるページ拡張トークン。後に続くインラインバイトによって特定されるルーチンを呼出す。サポートされた二次トークンの組は１．７項にて定義される。スタック効果はその特定されるルーチンにより定義される。１．６ソケット最初の８つの二次ソケットトークンはソケット管理関数のために予約され、定義される管理関数を以下に示す。残りのソケット（Ｄ２０８〜Ｄ２３Ｆ）はアプリケーション使用のためのものである。 F9 91 SETSOCKET （xp u−flag）実行ポインタｘｐをソケット関数ｕのハンドラにセットし、ＤＯＳＯＣＫＥＴ＜ｕ＞の後の実行によりｘｐが実行されるようにする。実行ポインタがセットされる前に、ＳＥＴＰＬＵＧＣＯＮＴＲＯＬによってインストールされた手順を実行することにより、そのソケットにこの新しいｘｐが差込まれるか否かを判断する。ｆｌａｇがこの手順によって返される値である。ＳＥＴＳＯＣＫＥＴはｆｌａｇがＦＡＬＳＥである場合にポインタをセットするにすぎず、そうでない場合にはこのポインタは破棄される。ｕが６３より大きい場合、例外−２４（無効数値引数）が発生される。 D2 00 SETPLUGCONTROL （xp−）ソケットにプラグが差込まれ得るか否かを判断すべく、ＳＥＴＳＯＣＫＥＴによって実行される、ユーザによって書かれた手順の実行ポインタｘｐを記憶する。この手順の動作（ここでは、説明のため、ＰＬＵＧＣＯＮＴＲＯＬと称される）は以下のようでなければならない：（u−flag）ｕはソケット番号であり、ｆｌａｇは、ソケットにプラグが差込まれ得る場合にはＦＬＡＳＥを返され、差込まれ得ない場合にはＴＲＵＥを返される。さらに、ＰＬＵＧＣＯＮＴＲＯＬ手順は、範囲０〜６３外のｕの値に対しては、例外−２４（無効数値引数）を生じさせなければならない。ＰＬＵＧＣＯＮＴＲＯＬのデフォルト動作は仮想マシンによってインストールされ、ｕのすべての値に対してＦＡＬＳＥを返すものであり、すべてのソケットにプラグが差込まれることを可能にする。 D2 03 OSCALLBACK （dev fn num₁ num₂−ｉor）以下のパラメータでオペレーティングシステムルーチンを呼出す：ｄｅｖは、配列ｎｕｍ₂に含まれるｎｕｍ₁の３２ビットパラメータで、関数ｆｎに対する要求されたＩ／Ｏ装置を選択して、実装に依存するｉｏｒを返す。なおｎｕｍ₂はスタックの一番上にある。ｎｕｍ₁およびｎｕｍ ₂はＣでの用法においてはそれぞれａｒｖｃおよびａｒｇｖに対応する。このソケットは実装に依存するものであり、ＥＰＩＣｏｄｅを用いて書かれた端末固有プログラム（ＴＲＳ）が端末に依存するＩ／Ｏを持つことができるよう提供される。特定された関数がサポートされていない場合、例外−２１（サポートされない動作）が発生される。 D2 04 EPICALLBACK （dev fn num₁ num₂−ior）背景となるオペレーティングシステムによって呼出されてもよいＥＰＩＣｏｄｅルーチンに対するソケット。４つのパラメータは以下のとおりの使用が意図された３２ビット値である：ｄｅｖは、配列ｎｕｍ₂に含まれるｎｕｍ₁の３２ビットパラメータで、関数ｆｎに対し、要求されたＩ／Ｏ装置を選択して、意味が実装に依存するｉｏｒを返す。ｎｕｍ ₁およびｎｕｍ₂は、Ｃ使用法においては、それぞれ、ａｒｖｃおよびａｒｇvに対応する。このソケットは実装に依存するものであり、ＥＰＩＣｏｄｅを用いて書かれた端末固有プログラム（ＴＲＳ）がオペレーティングシステムに対するコールバックルーチンを与え与えられるように提供される。特定された関数がサポートされていない場合、例外−２１（サポートされていない動作）が出力される。１．７ＳＹＳＦＵＮＣＩ／Ｏセットこのセットは、基本オペレーティングシステムのルーチンに対する汎用インターフェイスとして作用するＳＹＳＦＵＮＣトークンを通じて利用可能な関数を定義する。１．７．１装置へのアクセス各装置には、一意の装置番号が割当てられる。状態ｉｏｒコードは、常に成功を示すｉｏｒコード０を除いては、装置に依存する。 F9 00 DKEY （dev−echar）入力装置ｄｅｖから文字を読出す。 F9 01 DKEYTEST （dev−flag）もし、文字が、入力装置ｄｅｖから読出すことができる状態であれば、ＴＲＵＥを返す。 F9 02 DEMIT （char dev-）出力装置ｄｅｖにｃｈａｒを送信する。 F9 03 BEEP （u dev-）出力装置ｄｅｖに対し、ｕミリ秒の持続期間にわたり音を発生するよう要求する。この関数は、特定の持続期間にわたり処理を中断できる。 F9 04 DREAD （addr len dev-ior）入力装置ｄｅｖから列を読出し、装置依存性のｉｏｒを返す。返される列は、キーボード装置から読出される文字の下位バイトのみを含む。 F9 05 DWRITE （addr len dev-ior）出力装置ｄｅｖに列を書込み、装置依存性のｉｏｒを返す。 F9 06 DSTATUS （dev-ior）装置ｄｅｖに関連付けられたリソースの状態ｉｏｒを返す。ただし、一般的な場合には、「レディ」および「使用可能」は、０で表わされ、「ノットレディ」は他の任意の値で表わされる。特定の装置がその装置においては意味を有する非ゼロの値を返してもよい。もし、その装置が、ＯＵＴＰＵＴトークンの前回の実行により選択されていれば、ＯＵＴＰＵＴに渡された関数の実行が完了するまでは、ＤＳＴＡＴＵＳは「ノットレディ」を返さなければならない。 F9 07 DIOCTL （dev fn num a-addr-ior）ａ−ａｄｄｒの配列内のｎｕｍのセルサイズの引数でチャネルｄｅｖに対するＩＯＣＴＬ関数ｆｎを実行する。 F9 08 OUTPUT （xp dev-ior）その実行ポインタがｘｐで与えられる手続を実行し、その出力は装置ｄｅｖに向けられる。ＯＵＴＰＵＴからのリターンにおいては、現在の出力装置（ＧＥＴＯＰを参照）は影響されない。もしこの手続が実行可能であれば、ｉｏｒはゼロとして返される。ｘｐの実行から生じるすべての例外は、仮想マシンにより捉えられ、ＯＵＴＰＵＴを即座に終了させる。 F9 09 DWRITESTRING （dev-）このトークンは後に文字列が続くもので、これら多くのバイトが後に続くカウントバイトとしてトークンストリーム内にストアされる。ＤＷＲＩＴＥＳＴＲＩＮＧトークンは、選択された装置ｄｅｖに文字を書込む。実行は、最後の文字の直後に行なわれる。 F9 OA GETOP （-dev）ＳＥＴＯＰによって、または、ＯＵＴＰＵＴに渡された関数の実行の間に選択された最後の装置ｄｅｖを返す。装置指向の入出力操作用のデフォルト装置を発見するため使用される。この関数は、現在の装置に依存する関数の容易な実現を可能にする。 F9 OB SETOP （dev-）装置向けの入出力操作用にＧＥＴＯＰにより返されたデフォルト装置ｄｅｖをセットするため使用される。この関数は、現在の装置に依存する関数の容易な実現を可能にする。 F9 OC FORMFEED （ｄev-）装置ｄｅｖにおける、「クリア・スクリーン」（端末のディスプレイ）または「改ページ」（プリンタ）などの、装置に依存する「新たなフォーム」に関する動作を実行する。 F9 OD CR （ｄev-）装置ｄｅｖにおける装置依存性の「改行（ｎｅｗｌｉｎｅ）」動作を実行する。 F9 OE SETXY （num₁num₂dev-）ｘ座標としてｎｕｍ₁を、ｙ座標としてｎｕｍ₂を使用して、装置ｄｅｖにおける装置依存性の「絶対位置設定」動作を実行する。１．７．２時間の処理標準Ｆｏｒｔｈ語。１．７．３言語およびメッセージ処理このグループのトークンは、言語およびメッセージの選択および表示を扱うための機構を提供する。 F9 20 CHOOSELANG （addr-flag）ａｄｄｒにある２文字によってＩＳＯ６３９言語コードが与えられる言語を選択する。もしｆｌａｇがＴＲＵＥであれば、その言語は既に発見されておりその時点における現在の言語である。そうでなければ、呼出プログラムは他の言語を選択せねばならない。常に少なくとも１つの言語（端末のネイティブ言語）が利用可能である。 F9 21 CODEPAGE （num-f1ag）常駐コードページｎｕｍを選択しようと試みる。コードページは、ＩＳＯ８８５９に従い番号を付けられる（０＝共通文字セット、１＝Ｌａｔｉｎ１など）。もしコードページが既に選択されていれば、ｆｌａｇはＴＲＵＥである。 F9 22 LOADPAGE （addr-flag）端末内のａｄｄｒにコードページをインストールする（このページは一般にカード内で発見されるであろう）。フラグはページのアップロードの成功を示す。端末において利用可能でないコードページを必要とする新しいメッセージテーブルがＩＣＣからロードされると、ページインストールが行なわれるであろう。 F9 23 INITMESSAGES （-）この関数は、ＣＯからＦＦ（ｈｅｘ）までの番号がふられる個人発行者のメッセージおよびＬＯＡＤＭＥＳＳＡＧＥＳによりインストールされた任意のメッセージを消去する。各ユーザセッションの後にこの関数が呼出されなければならない。 F9 24 LOADMESSAGES （c-addr-）一時メッセージデータベース内の適切な場所にメッセージテーブルをインストールする。ｃ−ａｄｄｒは、メッセージ用に使用するためのページコード、ＩＳＯ６３９による２文字言語コードおよびインストールされるべきメッセージを含む、メッセージテーブルの定義のロケーションを表わす。 F9 25 GETMESSAGE （num−c-addr len）メッセージｎｕｍに対する文字列パラメータを返す。文字列の、長さｌｅｎから後続のスペースは取除かれる。 F9 27 UPDATEMESSAGES （addr len-）常駐言語テーブルにメッセージテーブルをインストールする。もし同一コードの言語が既に存在していればそれは置換されるであろう。そうでなければ、新しい言語が追加されるであろう。新しい言語用の十分なスペースがなければ、コード２２（ＴＯＯＭＡＮＹＬＡＮＧＵＡＧＥＳ）でＴＨＲＯＷが発生されるであろう。ａｄｄｒは、メッセージ用に使用するためのページコード、ＩＳＯ６３９による２文字言語コードおよびインストールされるべきメッセージを含む、メッセージテーブルの定義を含むＴＬＶのロケーションを表わす。 F9 28 MESSAGESIZE （-leｎ）この端末に対するメッセージの標準長を返す。 F9 29 TYPEMESSAGE （addr len-）端末のメッセージライン上に所与の列を表示する。１．７．４ＩＣＣカードの処理このグループのトークンは、集積回路カードリーダを扱うための機構を提供する。 F9 30 INITCARD （num-ior）ＩＣＣリーダｎｕｍを選択する。ただしｎｕｍは０または１である。 F9 31 CARD （c-addr₁len₁ c-addr₂len₂-c-addr₂len₃）バッファｃ−ａｄｄｒ₁ｌｅｎ₁内のデータをカードに送り、かつ、ｃ− ａｄｄｒ₂ｌｅｎ₂でデータを受信する。返されるｌｅｎ₃は、受信された列の実際の長さを表わす。バッファｃ−ａｄｄｒ₁ｌｅｎ₁は、４バイトの標準ＩＳＯヘッダ（クラス、命令、Ｐ１、Ｐ２）、任意のデータ（length，その後にlengthバイト，ただしlengthは０から２５５である）を含まねばならない。バッファｃ−ａｄｄｒ₂ｌｅｎ₂は、カードからの応答のため、ならびにＳＷ１およびＳＷ２を含む２つのステータスバイトのための適切なスペースを提供せねばならない。誤り処理はＣＡＲＤの内部で行なわれる。 F9 32 CARDON （c-addrlen₁-c-addrlen₂ ior）ＩＣＣに電力を印加し、カードリセット関数を実行する。ｃ−ａｄｄｒｌｅｎ₁は、リセットに対する応答が置かれるであろうバッファを提供する。ｌｅｎ₂は返された列の実際の長さである。 F9 33 CARDOFF （-）ＩＣＣの電源を切る。すべてのトランザクションが完了したときに実行される。 F9 34 CARDABSENT （-flag）リーダ内にＩＣＣカードが存在しなければ、ＴＲＵＥを返し、それ以外の場合にはＦＡＬＳＥを返す。１．７．５磁気ストライプの処理このグループのトークンは、磁気ストライプ装置を扱うための機構を提供する。 F9 38 FROMMAG （c-addr len₁ num-c-addr len₂ ior）１つまたは２つ以上のＩＳＯ磁気ストライプを読出す。この動作には、ユーザのＣＡＮＣＥＬキーまたはタイムアウトによって割込むことができる。ｎｕｍは、読出すべき磁気ストライプトラックのＩＳＯ識別子であり、ｃ−ａｄｄｒは文字列に対する行先アドレスであり、ｌｅｎ₁はその最大長（ＩＳＯ１については少なくとも７８バイト、ＩＳＯ２については４１バイト、そしてＩＳＯ３については１０８バイトであり、または、複数の磁気ストライプを読出す場合にはこれらの合計）である。リターン時、ｌｅｎ₂は、読出された文字列の実際の長さを表わす。 F9 39 TOMAG （c-addr len num-ior）１つのＩＳＯ磁気ストライプに書込む。データはバッファｃ−ａｄｄｒｌｅｎ内にあり、ストライプｎｕｍ（１−３）に書込まれるであろう。動作には、ユーザのＣＡＮＣＥＬキーまたはタイムアウトにより割込むことができる。１．７．６モデムの処理このグループのトークンは、モデム装置を扱うための機構を提供する。 F9 40 MODEMCALL （num₁ num₂ num₃ num₄ num₅ c-addr len-ior）内部端末モデムを使用して番号を呼出す。ｎｕｍ₁およびｎｕｍ₂は、使用される入出力ラインの速度を示す（７５から１９２００ボー）。実際にサポートされる速度は実装により規定される。ｎｕｍ₃はパリティを示す（０＝なし、１＝奇数、２＝偶数）。ｎｕｍ₄は使用されるビット数を示す（７または８）。ｎｕｍ₅は送信のために使用されるストップビットの数を示す（１または２ビット）。ｃ−ａｄｄｒｌｅｎは呼出される電話番号を含む文字列である。「，」をダイセルトーン待機用に含んでもよい。もしこの文字列の最初の文字が「Ｐ」であれば、デフォルトのトーンダイヤリングの代わりにパルスダイヤリングが使用される。 F9 41 MODEMHANGUP （-ior）この関数は現在のモデムセッションを終了するため使用される。 F9 42 TOMODEM （c-addr len-ior）確立されたモデムセッションにおいてｃ−ａｄｄｒｌｅｎにある文字列を送信する。 F9 43 FROMMODEM （c-addr len₁-c-addr len₂ ior）モデムからの文字列を受信する。ｃ−ａｄｄｒは、文字列に対する行先アドレスであり、ｌｅｎ₁はその最大長である。リターン時、ｌｅｎ₂は読出された文字列の実際の長さを表わす。もし特定の期間にわたり全く文字が受信されなければ、タイムアウトが生じる。 F9 44 MODEMBREAK （-ior）この関数は、接続されたモデムのセッションにブレークを送る。１．７．７ブラックリスト管理このグループのトークンは、ブラックリストファイルを扱うための機構を提供する。 F9 48 INITBLACKLIST （-）この関数は、ブラックリストを空状態に初期化する。 F9 49 BLACKLISTINSERT （c-addr len-flag）この関数は、エントリをリストのｃ−ａｄｄｒｌｅｎに挿入し、リストはソート順に維持される。リストの更新時にはこの関数を使用しなければならない。もし挿入が成功であれば（エントリが既存のリスト内に発見されず、かつリストが一杯でもなければ）、返されるｆｌａｇはＦＡＬＳＥである。 F9 4A INBLACKLIST （c-addr₁len₁ c-addr₂1en₂ flag）この関数は、リスト内のキーc−ａｄｄｒ₁ ｌｅｎ₁を発見しようと試みる。もしキーが発見されれば、ｃ−ａｄｄｒ₂ ｌｅｎ₂は、（選択されたエントリの他のバイトおよびおそらくは皿のいくつかの情報バイトを含む）探索の結果を含む。もし番号が見つかれば、返されるｆｌａｇはＦＡＬＳＥである。 F9 4B BLACKLISTDELETE （c-addr len-flag）この関数はリストからエントリを削除する。ただし、ｃ−ａｄｄｒｌｅｎはエントリを削除するためのキーである。これは最大１８バイト長である。もし削除が成功であれば（エントリが発見されれば）、返されるｆｌａｇはＦＡＬＳＥである。１．７．８セキュリティアルゴリズムに対するサポートこのグループのトークンは、セキュリティサービスを初期化し使用するためのサポートを提供する。 F9 50 INITSECALGO （c-addr len num-flag）ｃ−ａｄｄｒは、初期化バッファのアドレスであり、ｌｅｎはその長さである。各アルゴリズムに対する入力パラメータは異るだろうが、キーが一般にこの初期化にはわたされなければならない。もし初期化が成功裡に行なわれれば、ｆｌａｇはＦＡＬＳＥである。 F9 51 SECALGO （c-addr₁len c-addr₂num-flag）ｃ−ａｄｄｒ₁は計算のための入力データバッファであり、ｌｅｎはその長さである。ｃ−ａｄｄｒ₂はその結果の記憶のための出力バッファである。もし計算が成功裡に行なわれれば、ｆｌａｇはＦＡＬＳＥである。１．７．９端末サービス F9 58 POWERLESS （-flag）もし現在のトランザクションを完了するための十分な電力があれば、ＦＡＬＳＥを返す。１．７．１０データベースサービス以下のトークンは、データベースを扱うための機構を提供する。 F9 61 DBMAKECURRENT （a-addr-）ＤＰＢがａ−ａｄｄｒにあるデータベースをカレントデータベースにする。 F9 62 DBSIZE （-len）カレントデータベースのカレントレコードにウィンドウを与えるための、レコードバッファのサイズを返す。 F9 63 DBFETCHCELL （num₁-num₂）カレントデータベースのカレントレコード内のセル整列したバイトオフセットｎｕｍ₁のセルから３２ビットの値ｎｕｍ₂を返す。 F9 64 DBFETCHBYTE （num-char）カレントデータベースのカレントレコード内のバイトオフセットｎｕｍから１バイトの値ｃｈａｒを返す。 F9 65 DBFETCHSTRING （num len-addr len）カレントデータベースのカレントレコード内のオフセットｎｕｍ、長さｌｅｎのバイトシーケンスの文字列パラメータａｄｄｒおよびｌｅｎを返す。 F9 66 DBSTORECELL （num₁num₂-）カレントデータベースのカレントレコード内のセル整列したオフセットｎｕｍ₂のセルへ３２ビットの値ｎｕｍ₁をストアし、データベースレコードを更新する。 F9 67 DBSTOREBYTE （char num-）カレントデータベースのカレントレコード内のオフセットｎｕｍのバイトに１バイトの値ｃｈａｒ₁をストアし、データベースレコードを更新する。 F9 68 DBSTORESTRING （addr len₁ num len₂-）カレントデータベースのカレントレコード内のオフセットｎｕｍへａｄｄｒのバイトシーケンスの最大でｌｅｎ₂のバイトをストアし、データベースレコードを更新する。もし、ｌｅｎ₁がｌｅｎ₂より小さければ、データベースレコードバッファ内の行先はｌｅｎ₂までスペースで埋められる。 F9 69 DBINITIALIZE （-）現在のデータベースをオールゼロに初期化し、データベースの「カレント」でかつ「利用可能な」レコード番号を０にセットする（ＤＢＲＥＣＮＵＭおよびＤＢＡＶＡＩＬを参照）。 F9 6A DBRECNUM （-u）カレントレコード番号を返す。 F9 6B DBCAPACITY （-u）カレントデータベースが保持することができるレコードの総数を返す。 F9 6C DBAVAIＬ（-num）カレントファイル内の次に利用可能なレコードのレコード番号を返す。 F9 6D DBADDREC （-）ＤＢＡＶＡＩＬにより与えられたレコード番号で、カレントデータベースの最後にレコードを追加する。 F9 6F DBSELECT （num-）現在選択されているデータベース内のレコードｎｕｍを選択する。 F9 70 DBMATCHBYKEY （addr len-flag）ａｄｄrおよびｌｅｎにより指定された文字列に対し、キーフィールド上で一致するものがあるかカレントデータベースを探索する。この構造についてはｌｅｎは定義されたキーフィールドの長さよりも短くてもよく、残りの文字は空白文字（ＡＳＣII２０ｈ）と比較される。もし照合が成功であれば、一致したレコードがカレントとなりｆｌａｇはＦＡＬＳＥである。このトークンは順序付きデータベースについてのみ使用されるであろう。 F9 71 DBADDBYKEY （addr len-flag) ａｄｄrおよびｌｅｎにより指定された文字列に対しキーフィールド上で一致するものがあるかカレントデータベースを探索する。この構造についてはｌｅｎはキーフィールドの定義された長さよりも短くてよく、残りの文字は空白文字（Λ ＳＣII２０ｈ）と比較される。もし照合が成功であれば、一致したレコードはカレントとなりｆｌａｇはＴＲＵＥである。もし照合が不成功であれば、新しいレコードがデータベース内の正しい位置に挿入されフラグはＦＡＬＳＥとなる。この新しいレコードは、所与のキーを含むそのキーフィールド以外については初期化されるであろう。このトークンは順序付きデータベースにおいてのみ使用されるであろう。 F9 72 DBDELBYKEY （addr len-flag）ａｄｄｒおよびｌｅｎにより指定された文字列に対して、キーフィールド上で一致するものがあるかカレントデータベースを探索する。この構造についてはｌｅｎはキーフィールドの定義された長さよりも短くてもよく、残りの文字は空白文字（ＡＳＣII２０ｈ）と比較される。もし、照合が成功であれば、一致したレコードは削除されｆｌａｇはＦＡＬＳＥである。削除動作は、前もって初期化されたデータベース内のレコードを物理的に再配置または再リンクする適切な動作を取ることによって、物理的実装でのあらゆる潜在的な「穴」を塞ぐ。このトークンは、順序付データベースについてのみ使用されるであろう F9 73 DBSAVECONTEXT （-）カレントデータベース、カレントレコード番号および任意の捕助情報を含む現在のコンテキスト情報をサーバにスタックさせる。サーバは、コンテキスト情報をセーブするため仮想マシンのリターンスタックを使用する権利を持ち、したがって、クライアントのソフトウェアはリターンスタックの使用について適用される一般規則に従わなければならない。 F9 74 DBRESTORECONTEXT （-）最も新しくセーブされたコンテキスト情報（ＤＢＳＡＶＥＣＯＮＴＥＸＴを参照）を、サーバに復元させる。サーバは、コンテキスト情報をセーブするため仮想マシンのリターンスタックを使用する権利を持ち、したがってクライアントのソフトウェアはリターンスタックの使用について適用される一般規則に従わなければならない。１．８ＴＬＶ管理このセクションで説明されるトークンはＴＬＶ管理およびアクセス関数を提供する。１．８．１文字列の処理のサポート F9 78 PLUSSTRING （c-addr₁len₁ c-addr₂1en₂-c-addr₂len₃）ｃ−ａｄｄｒ₁のｌｅｎ₁バイトの文字列をｃ−ａｄｄｒ₂のｌｅｎ₂バイトの文字列の終わりにストアする。行先文字列（ｃ−ａｄｄｒ₂）の先頭と２つの長さの合計（ｌｅｎ₃）とを返す。行先文字列の終わりには両文字列を保持するための空間がなければならない。 F9 79 CPLUSSTRING （char c-addr len-c-addr len+1）ｃ−ａｄｄｒのｌｅｎバイトの文字列の終わりに文字ｃｈａｒをストアする。行先文字列（ｃ−ａｄｄｒ）の先頭と得られた文字列の長さ（ｌｅｎ＋１）とを返す。行先文字列の終わりには追加の文字を保持するための空間がなければならない。 F9 7A MINUSTRAILING （c-addr len₁-c-addr len₂）もしｌｅｎ₁がゼロより大きければ、ｌｅｎ₂は、ｃ−ａｄｄｒｌｅｎ₁により指定される文字列の終わりの空間の数（ＡＳＣII２０_h）の数よりｌｅｎ₁小さいものに等しい。もし、ｌｅｎ₁がゼロであるかまたは文字列全体がスペースからなっていれば、ｌｅｎ₂はゼロである。 F9 7B MINUSZEROS （c-addr len₁-c-addr len₂）もしｌｅｎ₁がゼロよりも大きければ、ｌｅｎ₂は、ｃ−ａｄｄｒｌｅｎ₁により指定される文字列の終わりのヌル（ＡＳＣII０ｈ）の数よりｌｅｎ₁だけ小さいものに等しい。もしｌｅｎ₁がゼロであるかまたは列全体がヌルからなっていれば、ｌｅｎ₂はゼロである。 F9 7C STORECOUNT （char c-addr-）番号ｃｈａｒをｃ−ａｄｄｒのバイトにストアする。もしｃｈａｒが２５５よりも大きければ、ＳＴＲＩＮＧＴ００ＬＡＲＧＥ例外コードを発生する。１．８．２ＴＬＶバッファアクセス F9 80 TLV （num−c-addr len fmt）タグがｎｕｍであるＴＬＶについてのアクセスパラメータを返す。これによってＵＮＤＥＦＩＮＥＤＴＬＶ例外コードが発生するであろう。 F9 81 TLVFETCH （c-addr₁len₁ fmt-num｜c-addr₂len₂）ｆｍｔの下位８ビットであるＴＹＰＥフィールドにしたがって、内部ＴＬＶバッファの内容を返す。タイプコード０および２はスタック上の番号を返し、一方他のものは文字列ポインタを返す。タイプコード３フィールドにより返されるアドレスは一時的なものであり、すぐにより永久的なロケーションに移されなければならない。文字列について返されるｌｅｎ₂はバッファ内に最後にストアされたものと同一である。 F9 82 TLVSTORE （num c-addr₂len₂ fmt｜c-addr₁len₁ c-addr₂len₂ fmt-）ｆｍｔの下位８ビットであるＴＹＰＥフィールドにより内部ＴＬＶバッファの内容を設定する。タイプコード０および２はスタック上の番号を取り、一方他のものは文字列ポインタを取る。この動作は、このＴＬＶに対する構文解析ステータスビットをセットするであろう。 F9 83 TLVBITFETCH （c-addr-flag）ｃ−ａｄｄｒのシーケンスによって参照された内部ＴＬＶバッファの内容をそのロケーションの値フィールドでマスクした結果を返す。これによって、ＵＮＤＥＦＩＮＥＤＴＬＶ例外コードが発生されるであろう。もしマスクにおいて定義されたビットがすべて内部バッファ内でオンであれば、ｆｌａｇはＴＲＵＥが返されるであろう。そうでなければ、ＦＡＬＳＥが返される。２つのロケーションのうち短い方によりカバーされるバイトのみが調べられる。 F9 84 TLVBITSTORE （flag c-addr-）ｃ−ａｄｄｒのシーケンスにより参照される内部ＴＬＶバッファの内容をそのロケーションの値フィールドに基づいて設定する。もしｆｌａｇがＦＡＬＳＥ（０）であれば、そこで定義されるビットはすべてオフされる。そうでなければ、すべてオンされる。１．８．３ＴＬＶ処理 F9 85 PARSETLV （c-addr len-）ＴＬＶシーケンスについてｃ−ａｄｄｒのｌｅｎバイトを処理する。これによってＵＮＤＥＦＩＮＥＤＴＬＶ例外コードが発生されるであろう。見出される各タグフィールドはその値フィールドの長さフィールドバイトをその内部バッファ内に置き、その構文解析ステータスビットをセットするであろう。コンストラクトされたタグフィールドに出会ったときは、それに関連付けされていると定義されている内部ＴＬＶバッファはすべて、ＴＬＶシーケンスに対し値フィールドが構文解析されるまで、クリアされる。ＴＬＶが関連付けされていると定義されていないコンストラクトされたテンプレート内でそのＴＬＶに出会ったのであれば、例外は発生されない。 F9 86 PLUSDOL （c-addr₁len₁ c-addr₂1en₂-c-addr₂len₃）タグフィールドおよび長さフィールドについてのｃ−ａｄｄr₁のｌｅｎ₁バイトを処理する。これによってＵＮＤＥＦＩＮＥＤＴＬＶ例外コードが発生されるであろう。見出される各タグフィールドは、その内部バッファからの長さフィールドバイトを、ｃ−ａｄｄｒ₂のｌｅｎ₂バイトの出力列の終わりの、値フィールド内に置くであろう。行先文字列（ｃ−ａｄｄｒ₂）の先頭と２つの長さの合計（１ｅｎ₃）とを返す。出力文字列の終わりに両文字列を保持するための空間がなければならない。 F9 87 PLUSTLV （c-addr len₁ num-c-addr len₂）そのタグがｎｕｍであるＴＬＶシーケンスをｃ−ａｄｄｒのｌｅｎ₁バイトの出力文字列の終わりに追加する。これによってＵＮＤＥＦＩＮＥＤＴＬＶ例外コードが発生されるであろう。タグフィールド、長さフィールドおよび値フィールドは、ＴＬＶの内部バッファ内のデータに基づいてＴＬＶ規則によりフォーマットされる。行先文字列（ｃ−ａｄｄｒ）の先頭と２つの長さの合計（１ｅｎ₂）とを返す。出力文字列の終わりに両文字列を保持するための空間がなければならない。 F9 89 TLVSTATUS （fmt-num char）ＴＬＶアクセスパラメータの状態ｆｍｔをデコードする。返されるｎｕｍはフォーマットインジケータ０−であり、返されるｃｈａｒ内のビットは以下の意味を有する。ただしビット０は最下位ビットである。１．８．４ＴＬＶシーケンスアクセス F9 8A STOREBCD （u c-addr len-）番号ｕを２進化１０進シーケンスとしてｃ−ａｄｄｒのｌｅｎバイトの文字列内にストアする。この番号は出力文字列において各デジットが４ビットのニブルを表わすようにフォーマットされる。必要であれば初めのニブルを０で埋めてもよい。もしｌｅｎがすべてのデジットを保持するのに十分な長さでなければ、番号の最上位部分が切捨てられるであろう。 F9 8B FETCHBCD （c-addr len-u）ｃ−ａｄｄｒのｌｅｎバイトの２進化１０進シーケンスから番号ｕをフェッチする。この番号は入力文字列において各デジットが４ビットのニブルを表わすようフォーマットされる。もし有効なＢＣＤデジットではないニブルがあれば、ＤＩＧＩＴＴＯＯＬＡＲＧＥ例外が出力される。 F9 8C STOREBN （u c-addr len-）ｃ−ａｄｄｒのｌｅｎバイトの文字列に番号ｕが２進数としてストアされる。この番号の最上位バイトは初めにストアされる。必要であれば最初のバイトは０で埋められるであろう。もしｌｅｎがずべてのバイトを保持するだけの十分な長さでなければ、この番号の最上位部分が切捨てられるであろう。 F9 8D FETCHBN （c-addr len-u）ｃ−ａｄｄｒのｌｅｎバイトの文字列から番号ｕを２進数としてフェッチする。番号の最上位バイトが初めにフェッチされる。もしそのロケーションに４バイトより多くのデータがあれば、最上位バイトは失われるであろう。 F9 8E STORECN （c-addr₁len₁ c-addr₂len₂-）ｃ−ａｄｄｒ₁のｌｅｎ₁バイトの番号をｃ−ａｄｄｒ₂のｌｅｎ₂バイトの列に圧縮番号としてストアする。この番号は出力文字列において各文字が４ビットのニブルを表わすようにフォーマットされる。必要であれば終わりのニブルがＦで埋められるであろう。もし、ｌｅｎ₂がすべての文字を保持ずろのに十分な長さでなければ（ｌｅｎ₂＜［ｌｅｎ₁＋１］／２）、番号は切捨てられる。入力文字列内の文字が番号でなければ、ＤＩＧＩＴＴＯＯＬＡＲＧＥ例外コードが発生されるであろう。 F9 8F FETCHCN （c-addr₁len₁-C-addr₂len₂）ｃ−ａｄｄｒ₁のｌｅｎ₁バイトの列内の圧縮番号を表わすｃ−ａｄｄｒ₂のｌｅｎ₂バイトの一次ロケーションに文字列をフェッチする。番号は、出力文字列の各文字が入力文字列の４ビットニブルを表わすようフォーマットされる。全ビットがセットされたニブルまたは文字列の終わりに遭遇すると、出力文字列は終了されるであろう。もし入力文字列内のニブルが番号でなければ、ＤＩＧＩＴＴＯＯＬＡＲＧＥ例外コードが発生されるであろう。出力文字列はすぐにより永久的なロケーションに移動させられなければならない。 F9 90 TLVFETCHNAME （c-addr₁-c-addr₂ num）タグフィールドについて、ｃ−ａｄｄｒ₁のＴＬＶシーケンスを構文解析する。タグフィールドを渡されたアドレスｃ−ａｄｄｒ₂およびタグフィールドのｎｕｍを返す。 F9 91 TLVFETCHLENGTH （c-addr₁-c-addr₂len）長さフィールドについてｃ−ａｄｄｒ₁のＴＬＶシーケンスを構文解析する。長さフィールドを渡されたアドレスｃ−ａｄｄｒ₂およびそのフィールド内に含まれるｌｅｎを返す。１．９モジュールの処理以下のトークンは、仮想マシン内のＥＰＩコードの記億および実行を扱う。 F9 A0 EXECUTEMODULE （c-addr len-flag）ｃ−ａｄｄｒｌｅｎにより指定されるＡＩＤを使用してモジュールディレクトリからモジュールをロードする。もし誤りが発生したら、例外ＣＡＮＮＯＴＬＯＡＤＭＯＤＵＬＥが発生される。もしモジュールが発見されなければｆｌａｇはＴＲＵＥであり、ＦＡＬＳＥは「ロードの成功」である。 F9 A1 INITMODULEBUFFER （-）新しいモジュールの取得を準備する。 F9 A2 MODULEBUFFERAPPEND （c-addr len-）ｃ−ａｄｄｒおよびｌｅｎにより定義されるバッファの内容をモジュール取得バッファに追加する。もしモジュールバッファがまだ準備されていなければ、またはもしモジュールバッファの容量を超えていれば、例外ＣＡＮＮＯＴＡＤＤＴＯＭＯＤＵＬＥが発生される。 F9 A3 REGISTERMODULE （c-addr len-）ｃ−ａｄｄｒｌｅｎにより指定される所与のＥＰＩコードＡＩＤによりモジュールディレクトリ内にモジュールバッファを登録する。モジュールバッファの管理に関連付けられたリソースは自動的に解放される。 F9 A4 RELEASEMODULEBUFFER （-）内部モジュールバッファにより使用されるリソースを解放する。モジュールのロードが早すぎたときにモジュールディレクトリ内にモジュールを登録せずにアプリケーションによってモジュールのロードを終了しなければならないときこれが必要となる。 F9 A5 DELETEMODULE （c-addr len-flag）そのＡＩＤがモジュールディレクトリからのｃ−ａｄｄｒｌｅｎにより指定されるモジュールを削除する。もし操作が成功であればｆｌａｇはゼロである。 F9 A6 MODULEINFO （c-addr₁len₁-c-addr₂len₂ f1ag）ｃ−ａｄｄｒ₁ｌｅｎ₁により指定されるＡＩＤに基づきモジュールディレクトリ内に登録されるモジュール上の「公開」情報を返す。もし動作が成功でありｃ− ａｄｄｒ₁のデータが有効であればｆｌａｇはゼロである。このトークンにより返されるバッファの構造は、モジュールのヘッダ情報により定義される。この関数によってはエントリＥＰＦＶＥＲからＥＰＦＥＮＴＲＹまでのみが返される。 F9 A7 LOADCARDMODULE （a-addr-）ａ−ａｄｄｒのモジュールをロードする。ａ−ａｄｄｒは、カードから内部記憶装置に送られたＥＰＩコードモジュールのヘッダのアドレスである。もしモジュールがカードモジュールローディングについての何らかの前提条件に違反すると、例外ＢＡＤ＿ＣＡＲＤ＿ＭＯＤＵＬＥが発生される。 F9 A8 MODULESCHANGED （-u）モジュールが変化したか否かを示す値ｕを返す。ビット０から７は、このトークンが最後に実行されてから、モジュールディレクトリの中にどのモジュールクラスが登録されたかを定義する。たとえば、初期ＡＩＤバイトをＦ４として登録されたモジュールはリターンステータスのビット４をセットするであろう。ビット８から３１は将来の拡張のため予約される。１．１０拡張可能なメモリの処理以下のトークンは、仮想マシンに設けられこれによって管理されるデータ空間内の線形メモリの拡張可能な「ゴムバンド」バッファへのアクセスを提供する。 F9 BO EXTEND （len-a-addr）ｌｅｎセルだけ「ゴムバンド」バッファを拡張し、割当られたバッファ内の第１のセルのセル整列されたアドレスａ−ａｄｄｒを返す。ＺＥＲＯＥＸＴＥＮＤは次の割当られていないセルへのポインタを返す。利用可能なメモリが十分にないときには、ＯＵＴ＿ＯＦ＿ＭＥＭＯＲＹ例外が発生される。 F9 B1 BEXTEND （len-c-addr）ｌｅｎバイトだけ「ゴムバンド」バッファを拡張し、割当られたバッファ内の第１のバイトのアドレスｃ−ａｄｄｒを返す。ＺＥＲＯＢＥＸＴＥＮＤは次の割当られていないバイトへのポインタを返す。利用可能なメモリが十分にないときには、ＯＵＴ＿ＯＦ＿ＭＥＭＯＲＹ例外が発生される。 F9 B2 RELEASE （addr-）ＥＸＴＥＮＤまたはＢＥＸＴＥＮＤによって獲得されたストレージを解放し、ａｄｄｒへの「フリーポインタ」をセットする。もしａｄｄｒが無効であれば（ゴムバンドバッファの始まりの前、または現在の「フリーポインタ」を超えていれば）、ＡＮＳ例外−９（無効メモリアドレス）が発生される。さらなるトークンは以下を含む。 F9 B0 DSCHECK （u−flag）データスタック上に少なくともｕ個のデータセルが残っていることを調べる。もしそうであればＦＡＬＳＥを返し、そうでなければＴＲＵＥを返す。 F9 B1 RSCHECK （u−flag）リターンスタック上に少なくともｕ個のデータセルが残っていることを調べる。もしそうであればＦＡＬＳＥを返し、そうでなければＴＲＵＥを返す。１．１１セキュリティコマンドセキュリティアルゴリズムの処理は、いくつかの端末においては数秒間かかるであろう。この発明は、現在の単一のＳＥＣＡＬＧＯコマンドをマルチタスク実装での使用を容易にするため、開始部分および完了部分に分解することを含む。これについては研究中であり、以下の提案がＳＥＣＡＬＧＯの代替案として示される。 F9 56 SECALGOBEGIN （c-addr₁len c-addr₂ num-f1ag）これはｎｕｍ型のアルゴリズムを使用して計算を行なう。ｃ−ａｄｄｒ ₁は計算のための入力データバッファであり、ｌｅｎはその長さである。ｃ−ａｄｄｒ₂は結果の記憶のための出力バッファである。この関数は、もし計算が成功裡に開始されたのであればＦＡＬＳＥを示すｆｌａｇを返す。 F9 57 SECALGOEND （−ior）この関数は、０＝成功裡に完了した計算、−１＝まだ進行中の計算、１＝失敗した計算を示す、ｉｏｒを返す。例外コードこのセクションは、標準的例外処理関数ＴＨＲＯＷへの引数として使用されるすべてのコードを含む。次の表は、ＥＰＩＣカーネルにおいて使用されるＡＮＳＦｏｒｔｈコードを示す。

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＨＵ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＷ【要約の続き】プリタとして使用し、メモリを割当て、解除し、そしてアプリケーションプログラム内にメモリの量の表示を含み、これはずなわち、プログラムが常にうまく実行されるかまたは全く実行されないということ、そしてセキュリティ管理機能が最小限に抑えられそれによって動作速度が向上するということを意味するのだが、そして、アプリケーションプログラムおよびデータベースにデータをインポートしデータをエクスポートする安全な方策を提供することにより、この着想が達成される。

Claims

【特許請求の範囲】１．第１の装置と第２の装置との間でのトランザクションを実行するためのトランザクション管理システムであって、前記第１の装置および前記第２の装置は相互間での通信のために適合され、前記第１および第２の装置の少なくとも１つは集積回路カードであり、前記システムは、少なくとも１つの入出力装置と、前記第１の装置上でコンピュータプログラムを解釈するための移植可能な仮想マシンとを含み、前記仮想マシンは、前記少なくとも１つの入出力装置用のドライバと仮想マイクロプロセッサとを含み、前記システムはさらに、前記解釈されたプログラムに応答する、前記プログラムを実行するための実行手段を含むトランザクション管理システム。２．第１の装置および第２の装置の少なくとも１つが集積回路カードであり、前記第２の装置とのトランザクションを実行するための前記第１の装置を含む端末であって、前記第１の装置上でコンピュータプログラムを解釈する移植可能な仮想マシンを含み、前記移植可能な仮想マシンは、少なくとも１つの入出力装置用のドライバと仮想マイクロプロセッサとを含み、前記端末はさらに、前記プログラムを実行するための、前記解釈されたプログラムに応答する実行手段を含む、端末。３．第１の装置を含む自立型移植可能インテリジェントカードであって、前記第１の装置は第２の装置とのトランザクションを実行するためのものであり、前記インテリジェントカードは、少なくとも１つの入出力装置用のドライバと仮想マイクロプロセッサとを含む移植可能な仮想マシンを含む、インテリジェントカード。４．前記仮想マシンの機械命令は１組のトークンであって、前記トークンはカスタマイズされたバイトコードである、請求項１に記載のシステムまたは請求項２に記載の端末または請求項３に記載のインテリジェントカード。５．前記インテリジェントカード上にストアされるコンピュータプログラムをさらに含み、前記仮想マシンは前記コンピュータプログラムを解釈し、前記プログラムを実行するための前記解釈されたプログラムに応答する実行手段をさらに含む、請求項３または４に記載のインテリジェントカード。６．前記コンピュータプログラムは前記１組のトークンから選択されるトークンのストリームおよび対応するインラインデータとして書かれる、請求項４に記載のシステムもしくは端末または請求項５に記載のインテリジェントカード。７．前記トークンのストリームはモジュールでトランスポートされ、モジュールはモジュールの実行のために必要とされる対応するインラインデータとともにトークンのストリームを含む、請求項６に記載のシステムまたは端末またはインテリジェントカード。８．前記モジュールはまた前記モジュールの実行のためのメモリ要件の表示を含む、請求項７に記載のシステムまたは端末またはインテリジェントカード。９．仮想マシンはまた、前記モジュールをロードしその中のトークンを解釈するための手段を含む、請求項８に記載のシステムまたは端末またはインテリジェントカード。１０．前記トークンをロードし解釈するための手段は、前記モジュール内の前記トークンを読出し、もし前記組に属さないトークンが読出されたのであれば例外が出力される、請求項９に記載のシステムまたは端末またはインテリジェントカード。１１．前記仮想マシンは少なくとも前記モジュールに対するリポジトリを有する読出／書込可能な論理アドレス空間を含み、前記モジュールは、その実行のために必要とされる読出／書込可能な論理アドレス空間の量の表示を含み、前記仮想マシンはまた前記モジュールのロードに際し、前記表示によって読出／書込可能な論理アドレス空間の量を割当てるための手段を含み、前記割当てられた読出／書込可能な論理アドレス空間は定義されかつ保護された境界を有する、請求項７から１０のいずれかに記載のシステムまたは端末またはインテリジェントカード。１２．前記モジュールの終了に際して読出／書込可能な論理アドレス空間の前記割当てられた量の割当てを解除するための手段をさらに含む、請求項１１に記載のシステムまたは端末またはインテリジェントカード。１３．前記第２の装置は、前記コンピュータプログラムの実行時間動作を少なくとも変更することができる少なくとも１つのプログラム命令を与えるための手段を含み、前記ロードおよび解釈のための手段が前記モジュールをロードし終わった後、および、前記モジュールが実行中に、前記ロードおよび解釈のための手段は、予め定義されたセキュリティ条件に依存して前記少なくとも１つのプログラム命令をロードしかつ解釈し、前記命令手段は、前記仮想マシンにより解釈された前記ロードされたプログラム命令に応答しかつ前記変更された動作で前記コンピュータプログラムを実行する、請求項９から１２のいずれかに記載のシステムまたは端末またはインテリジェントカード。１４．前記セキュリティ条件は関数によって与えられる、請求項１３に記載のシステムまたは端末またはインテリジェントカード。１５．少なくとも１つのレコードを含む少なくとも１つのデータベースを含む読出／書込可能な論理アドレス空間をさらに含み、前記モジュールは前記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量の表示を含み、前記ローダは前記表示により、必要とされる初期化されていない論理アドレス空間の量を割当て、さらに、前記データベース内のレコードにアクセスするための手段を含み、前記データベース内の前記レコードは前記モジュールを通じてのみアクセスが可能であり、前記アクセスするための手段は、前記データベースの現在のレコード上にウィンドウを与え、かつ前記アプリケーションプログラムによってアドレス指定可能な前記初期化されていない読出／書込可能な論理アドレス空間の部分に前記レコードをコピーする、請求項９から１４のいずれかに記載のシステムまたは端末またはインテリジェントカード。１６．トランザクション管理システムであって、第１の装置および第２の装置を含み、前記第１および第２の装置は相互間での通信のために適合され、前記第１および第２の装置の少なくとも１つは集積回路カードであり、前記第２の装置は、前記第１の装置上のコンピュータプログラムの実行時間動作を少なくとも変更することができる少なくとも１つのプログラム命令を提供するための手段を含み、前記第１の装置は仮想マシンを含み、前記仮想マシンは前記コンピュータプログラムをロードしかつ解釈するための手段を含み、前記ロードしかつ解釈するための手段はさらに、前記ロードしかつ解釈するための手段が前記コンピュータプログラムをロードした後および前記コンピュータプログラムが実行中に、予め定義されたセキュリティ条件に依存して前記少なくとも１つのプログラム命令をロードしかつ解釈するよう適合され、前記システムはさらに、前記ロードされかつ解釈されたプログラム命令に応答して前記変更された動作によって前記ロードされかつ解釈されたコンピュータプログラムを実行するための実行手段を含む、トランザクション管理システム。１７．第１の装置および第２の装置の少なくとも１つが集積回路カードであり、前記第２の装置は前記第１の装置上のコンピュータプログラムの実行時間動作を少なくとも変更することができる少なくとも１つのプログラム命令を提供するための手段を含む、前記第２の装置とのトランザクションを実行するための第１の装置を含む端末であって、前記端末は、仮想マシンを含む前記第１の装置を含み、前記仮想マシンは前記コンピュータプログラムをロードしかつ解釈するための手段を含み、前記ロードしかつ解釈するための手段はさらに、前記ロードしかつ解釈するための手段が前記コンピュータプログラムをロードした後および前記コンピュータプログラムが実行中に、予め定義されたセキュリティ条件に依存して前記少なくとも１つのプログラム命令をロードしかつ解釈するよう適合され、前記端末はさらに、前記ロードされかつ解釈されたプログラム命令に応答して前記変更された動作によって前記ロードされかつ解釈されたコンピュータプログラムを実行するための実行手段を含む、端末。１８．第２の装置とのトランザクションを実行するための第１の装置を含み、前記第２の装置は前記第１の装置上のコンピュータプログラムの実行時間動作を少なくとも変更することができる少なくとも１つのプログラム命令を提供するための手段を含む、自立型移植可能インテリジェントカードであって、前記インテリジェントカードは、仮想マシンを含む前記第１の装置を含み、前記仮想マシンは前記コンピュータプログラムをロードしかつ解釈するための手段を含み、前記ロードしかつ解釈するための手段はさらに、前記ロードしかつ解釈するための手段が前記コンピュータプログラムをロードした後および前記コンピュータプログラムが実行中に、予め定義されたセキュリティ条件に依存して前記少なくとも１つのプログラム命令をロードしかつ解釈するよう適合され、前記インテリジェントカードはさらに、前記ロードされかつ解釈されたプログラム命令に応答して前記変更された動作によって前記ロードされかつ解釈されたコンピュータプログラムを実行するための実行手段を含む、インテリジェントカード。１９．前記セキュリティ条件は関数によって与えられる、請求項１６に記載のシステムまたは請求項１７に記載の端末または請求項１８に記載のインテリジェントカード。２０．前記少なくとも１つのプログラム命令は第１のプログラム命令であり、前記第１の装置は前記コンピュータプログラムの実行時間動作を少なくとも変更することができる第２のプログラム命令を含み、前記第１のプログラム命令は前記第２のプログラム命令への参照を含み、前記ロードしかつ解釈するための手段は、前記参照に応答して、前記第２のプログラム命令をロードし、前記実行手段は前記第２のプログラム命令により決定される前記変更された動作によって前記コンピュータプログラムを実行する、請求項１９に記載のシステムまたは端末またはインテリジェントカード。２１．前記コンピュータプログラムならびに前記第１および第２のプログラム命令は、トークンのストリームおよび対応するインラインデータとして書かれ、各トークンは１組のカスタマイズされたバイトコードから選択されるカスタマイズされたバイトコードである、請求項２０に記載のシステムまたは端末またはインテリジェントカード。２２．前記仮想マシンは、前記第１および第２のプログラム命令の前記トークンのストリームおよび前記インラインデータを、前記コンピュータプログラムの前記トークンのストリームにベクター化する、請求項２１に記載のシステムまたは端末またはインテリジェントカード。２３．前記コンピュータプログラムの少なくともトークンのストリームおよび少なくとも前記第２のプログラム命令は各々モジュールでトランスポートされ、各モジュールは前記モジュールの実行のために必要とされる対応するインラインデータとともに関連するトークンのストリームを含む、請求項２１または２２に記載のシステムまたは端末またはインテリジェントカード。２４．前記モジュールはまた、前記モジュールの実行のために必要とされるメモリの表示を含む、請求項２３に記載のシステムまたは端末またはインテリジェントカード。２５．前記コンピュータプログラムのモジュールはまた、少なくとも１つの変更可能なソケットの排他的リストを含み、前記少なくとも１つのソケットは、前記仮想マシンが前記第１のプログラム命令をそこへ向けてベクター化する、前記コンピュータプログラムのトークンのストリームおよびインラインデータ内の位置を定義する、請求項２３または２４に記載のシステムまたは端末またはインテリジェントカード。２６．前記コンピュータプログラムモジュール内の前記少なくとも１つの変更可能なソケットは、デフォルト動作への実行ベクターを含む、請求項２５に記載のシステムまたは端末またはインテリジェントカード。２７．前記実行手段は、もし前記予め定義されたセキュリティ条件が前記少なくとも１つのプログラム命令のロードを可能にしないならば、前記デフォルト動作で前記コンピュータプログラムを実行する、請求項２６に記載のシステムまたは端末またはインテリジェントカード。２８．前記仮想マシンは、読出／書込可能論理アドレス空間を含み、前記モジュールはその実行のために必要とされる読出／書込可能論理アドレス空間の量の表示を含み、前記仮想マシンはまた、前記コンピュータプログラムモジュールのロードに際して、前記表示により、読出／書込可能な論理アドレス空間の量を割当てるための手段を含み、前記割当てられた読出／書込可能な論理アドレス空間は定義されかつ保護される境界を有し、前記仮想マシンはさらに、前記コンピュータプログラムモジュールの終了の際に前記読出／書込可能な論理アドレス空間の量の割当てを解除するための手段を含む、請求項２３から２７のいずれかに記載のシステムまたは端末またはインテリジェントカード。２９．複数のレコードを含む少なくとも１つのデータベースを含む読出／書込可能な論理アドレス空間をさらに含み、前記モジュールは前記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量の表示を含み、前記ロードするための手段は、前記表示により、初期化されていない論理アドレス空間の必要とされる量を割当て、さらに、前記データベース内のレコードにアクセスするための手段を含み、前記データベース内のレコードは前記モジュールを通じてのみアクセス可能であり、前記アクセスするための手段は、前記データベースのカレントレコードにウィンドウを提供しかつ前記アプリケーションプログラムによってアドレス指定可能な前記初期化されていない読出／書込可能な論理アドレス空間の部分に前記レコードをコピーする、請求項２３から２８のいずれかに記載のシステムまたは端末またはインテリジェントカード。３０．前記セキュリティ条件は前記第２の装置上のデータおよびプログラム命令の少なくとも原点および完全性を確認するための手段を含む、請求項１６から２７のいずれかに記載のシステムまたは端末またはインテリジェントカード。３１．第１の装置と第２の装置との間でのトランザクションを実行するためのトランザクションシステムであって、前記システムは、そこに与えられる１組のカスタマイズされたバイトコードトークンを解釈するための仮想マシンを含み、前記仮想マシンは、仮想プロセシングユニットおよび読出／書込可能な論理アドレス空間を含み、少なくとも１つの第１のアプリケーションプログラムはその実行のために必要とされる読出／書込可能な論理アドレス空間の量の表示を含み、前記少なくとも１つの第１のアプリケーションプログラムは前記１組のトークンから選択されるトークンのストリームおよび対応するインラインデータとして書込まれ、前記仮想マシンはさらに、前記少なくとも１つの第１のアプリケーションプログラムをロードするためのローダと、前記表示により、特に、前記少なくとも１つの第１のアプリケーションプログラムのために読出／書込可能な論理アドレス空間の第１の量を割当てるための手段とを含み、前記割当てられた読出／書込可能な論理アドレス空間は定義されかつ保護された境界を有する、トランザクションシステム。３２．第２の装置とのトランザクションを実行するための第１の装置を含む端末であって、前記第１の装置は、そこに与えられる１組のカスタマイズされたバイトコードトークンを解釈するための仮想マシンを含み、前記仮想マシンは、仮想プロセシングユニットおよび読出／書込可能な論理アドレス空間を含み、少なくとも１つの第１のアプリケーションプログラムはその実行のために必要とされる読出／書込可能な論理アドレス空間の量の表示を含み、前記少なくとも１つの第１のアプリケーションプログラムは前記１組のトークンから選択されるトークンのストリームおよび対応するインラインデータとして書かれ、前記仮想マシンはさらに、前記少なくとも１つの第１のアプリケーションプログラムをロードするためのローダと、前記表示により、特に、前記少なくとも１つの第１のアプリケーションプログラムのために読出／書込可能な論理アドレス空間の第１の量を割当てるための手段とを含み、前記割当てられた読出／書込可能な論理アドレス空間は定義されかつ保護された境界を有する、端末。３３．第２の装置とのトランザクションを実行するための第１の装置を含む自立型移植可能インテリジェントカードであって、前記第１の装置は、そこに与えられる１組のカスタマイズされたバイトコードトークンを解釈するための仮想マシンを含み、前記仮想マシンは、仮想プロセシングユニットおよび読出／書込可能な論理アドレス空間を含み、少なくとも１つの第１のアプリケーションプログラムはその実行のために必要とされる読出／書込可能な論理アドレス空間の量の表示を含み、前記少なくとも１つの第１のアプリケーションプログラムは前記１組のトークンから選択されるトークンのストリームおよび対応するインラインデータとして書かれ、前記仮想マシンはさらに、前記少なくとも１つの第１のアプリケーションプログラムをロードするためのローダと、前記表示により、特に、前記少なくとも１つの第１のアプリケーションプログラムのために読出／書込可能な論理アドレス空間の第１の量を割当てるための手段とを含み、前記割当てられた読出／書込可能な論理アドレス空間は定義されかつ保護された境界を有する、インテリジェントカード。３４．前記少なくとも１つのプログラムの終了に際して読出／書込可能な論理アドレス空間の前記第１の量を明示的に割当てを解除するための手段をさらに含む、請求項３１に記載のシステムまたは請求項３２に記載の端末または請求項３３に記載のインテリジェントカード。３５．第１および第２の装置の少なくとも１つはＩＣＣである、請求項３１から３４のいずれかに記載のシステムまたは端末またはインテリジェントカード。３６．前記第１のアプリケーションプログラムはまた、他のアプリケーションプログラムにエクスポートすることができる少なくとも１つの関数の第１の排他的リストを含み、前記少なくとも１つの関数を他のプログラムに対して利用可能にするための手段をさらに含む、請求項３１から３５のいずれかに記載のシステムまたは端末またはインテリジェントカード。３７．前記第１のアプリケーションプログラムは第１のモジュールであり、前記他のアプリケーションプログラムは他のモジュールであり、各モジュールは、前記１組のトークンから選択されるトークンのストリームと、対応するインラインデータと、エクスポートされるべき少なくとも１つの関数の第１の排他的リストと、モジュールの実行のために必要とされる読出／書込可能な論理アドレス空間の量の表示とを少なくとも含む、請求項３１から３６のいずれかに記載のシステムまたは端末またはインテリジェントカード。３８．前記第１のモジュールは、そこから少なくとも１つの関数がインポートされる少なくとも１つの第２のモジュールを識別する第２の排他的リストを含み、前記ローダは前記第１のモジュールのロードに際して前記第２のリストにより前記少なくとも第２のモジュールをロードする、請求項３７に記載のシステムまたは端末。３９．前記第１のモジュールは、インポートされるべき前記少なくとも１つの第２のモジュールが成功裡にロードしなかったのであれば、終了させられる、請求項３８に記載のシステムまたは端末またはインテリジェントカード。４０．前記割当てるための手段は、前記第１のモジュールのロードに際して、読出／書込可能な論理アドレス空間の前記第１の量を割当て、さらに、単一の拡張可能なバッファ内の第１のアドレスから始まる、読出／書込可能な論理アドレス空間の第２のまたはさらなる量のみを前記第１のモジュールに対して割当て、前記第１のモジュールによる読出／書込可能な論理アドレス空間の前記第２の量の解放に際しては、前記割当てを解除するための手段は読出／書込可能な論理アドレス空間の前記第２の量および前記第１のアドレスを超えるすべてのさらなる割当てを割当て解除する、請求項３７から３９のいずれかに記載のシステムまたは端末またはインテリジェントカード。４１．前記割当てを解除するための手段は、前記第１のモジュールの終了に際して、読出／書込可能な論理アドレスの前記第２の量および前記第１のアドレスを超えるすべてのさらなる割当てを割当て解除する、請求項４０に記載のシステムまたは端末またはインテリジェントカード。４２．前記読出／書込可能な論理アドレス空間は、少なくとも１つのレコードを含む少なくとも１つのデータベースを含み、前記モジュールは、前記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量の表示を含み、前記データベース内のレコードは前記モジュールを通じてのみアクセス可能であり、前記ローダは前記表示により、初期化されていない論理アドレス空間の必要とされる量を割当て、さらに、前記データベース内のレコードにアクセスするための手段を含み、前記アクセスするための手段は、前記データベースのカレントレコードにウィンドウを提供し、前記初期化されていない読出／書込可能な論理アドレス空間の前記アプリケーションプログラムによりアドレス指定可能な部分に前記レコードをコピーする、請求項３７から４１のいずれかに記載のシステムまたは端末またはインテリジェントカード。４３．前記割当てを解除するための手段は、前記第１のモジュールの終了に際して、任意の量の割当てられた読出／書込可能な論理アドレス空間を消去する、請求項３４から４２のいずれかに記載のシステムまたは端末またはインテリジェントカード。４４．第１の装置および第２の装置の少なくとも１つが集積回路カードである、前記第１の装置と前記第２の装置との間でのトランザクションを実行するためのトランザクションシステムであって、前記システムは、そこに与えられる１組のカスタマイズされたバイトコードトークンを解釈するための仮想マシンを含み、前記仮想マシンは、仮想プロセシングユニットと読出／書込可能な論理アドレス空間とを含み、前記仮想マシンによる実行のための少なくとも１つのコンピュータプログラムおよび少なくとも１つのレコードを含む少なくとも１つのデータベースを含み、前記コンピュータプログラムは、前記組から選択される前記トークンのストリームとして書かれるモジュールであり、かつ、前記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量の表示を含み、前記システムはさらに、前記モジュールをロードしかつ前記表示により初期化されていない論理アドレス空間の必要とされる量を割当てるためのローダと、前記データベース内のレコードにアクセスするための手段とを含み、前記データベース内のレコードは前記モジュールを通じてのみアクセス可能であり、前記アクセスするための手段は、前記データベースのカレントレコード上にウィンドウを提供し、前記初期化されていない読出／書込可能な論理アドレス空間内の前記アプリケーションプログラムによりアドレス指定可能な部分に前記レコードをコピーする、トランザクションシステム。４５．第２の装置とのトランザクションを実行するための第１の装置を含む端末であって、前記第１および第２装置の少なくとも１つは集積回路カードであり、前記第１の装置は、そこに与えられる１組のカスタマイズされたバイトコードトークンを解釈するための仮想マシンを含み、前記仮想マシンは、仮想プロセシングユニットと読出／書込可能な論理アドレス空間とを含み、さらに、前記仮想マシンによる実行のための少なくとも１つのコンピュータプログラムおよび少なくとも１つのレコードを含む少なくとも１つのデータベースを含み、前記コンピュータプログラムは、前記組から選択されるトークンのストリームとして書かれるモジュールでありかつ、前記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量の表示を含み、さらに、前記モジュールをロードしかつ、前記表示により初期化されていない論理アドレス空間の必要とされる量を割当てるためのローダと、前記データベース内のレコードにアクセスするための手段とを含み、前記データベース内のレコードは前記モジュールを通じてのみアクセス可能であり、前記アクセスするための手段は、前記データベースのカレントレコードにウィンドウを提供し、前記初期化されていない読出／書込可能な論理アドレス空間内の前記アプリケーションプログラムによりアドレス指定可能な部分に前記レコードをコピーする、端末。４６．第２の装置とのトランザクションを実行するための第１の装置を含む自立型移植可能インテリジェントカードであって、前記第１の装置は、与えられる１組のカスタマイズされたバイトコードトークンを解釈するための仮想マシンを含み、前記仮想マシンは、仮想プロセシングユニットと読出／書込可能な論理アドレス空間とを含み、さらに、前記仮想マシンによる実行のための少なくとも１つのコンピュータプログラムおよび少なくとも１つのレコードを含む少なくとも１つのデータベースを含み、前記コンピュータプログラムは、前記組から選択されるトークンのストリームとして書かれるモジュールでありかつ、前記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量の表示を含み、さらに、前記モジュールをロードしかつ、前記表示により初期化されていない論理アドレス空間の必要とされる量を割当てるためのローダと、前記データベース内のレコードにアクセスするための手段とを含み、前記データベース内のレコードは前記モジュールを通じてのみアクセス可能であり、前記アクセスするための手段は、前記データベースのカレントレコードにウィンドウを提供し、前記初期化されていない読出／書込可能な論理アドレス空間内の前記アプリケーションプログラムによりアドレス指定可能な部分に前記レコードをコピーする、インテリジェントカード。４７．前記データベースは、前記モジュールの第１のロードに際してインスタンス生成される、請求項４４に記載のシステムまたは請求項４５に記載の端末または請求項４６に記載のインテリジェントカード。４８．前記仮想マシンはスタックマシンである、請求項１から４７のいずれかに記載のシステムまたは端末またはインテリジェントカード。４９．前記仮想マシンは少なくとも２スタックマシンであり、第１のスタックがデータスタックであり第２のスタックがリターンスタックである、請求項４８に記載のシステムまたは端末またはインテリジェントカード。５０．前記仮想マシンは、局所変数フレームメモリ、メモリ内のフレーム開始を指すフレームポインタをストアするためのフレームポインタレジスタおよびメモリ内のフレームの終わりを指すフレーム終了ポインタレジスタを含む、請求項１から４９のいずれかに記載のシステムまたは端末またはインテリジェントカード。５１．前記データスタックおよびリターンスタックは、前記コンピュータプログラムにより直接アドレス指定可能なメモリ内にはなく、トークンにより定義され前記仮想マシンにより解釈されるスタック操作を通じてのみアクセス可能である、請求項４９または請求項５０に記載のシステムまたは端末またはインテリジェントカード。５２．前記第１の装置はハンドヘルド装置である、前掲請求項のいずれかに記載のシステムまたは端末。５３．前記ハンドヘルド装置は集積回路カード（ＩＣＣ）を含む、請求項５２に記載のシステムまたは端末。５４．前記第２の装置はＩＣＣを含む、請求項１から５３のいずれかに記載のシステムまたは端末。５５．前記第１の装置は端末である請求項１から５４のいずれかに記載のシステム。５６．前記第１の装置および第２の装置は両方ともＩＣＣを含む、請求項１から５５のいずれかに記載のシステムまたは端末またはインテリジェントカード。５７．トランザクションは、ａ．前記第１の装置と前記第２の装置との間の通信リンクの作成、ｂ．前記コンピュータプログラムおよびトランザクションを定義する関連するデータの組を含むアプリケーションの選択、ｃ．前記アプリケーションの実行、およびｄ．トランザクションの終了、のシーケンスの少なくとも１回の実行を含む、請求項１から５６のいずれかに記載のシステムまたは端末またはインテリジェントカード。５８．トランザクションは金銭取引であり、前記システムは金銭取引管理システムである、請求項１から５７のいずれかに記載のシステムまたは端末またはインテリジェントカード。５９．請求項２から５８のいずれかに記載の端末または請求項３から５８のいずれかに記載のインテリジェントカード内の、請求項１から５８のいずれかに記載のシステム内で実行されるプログラムの動作を変更させることができるプログラム命令を含む集積回路カード。６０．第１の装置および第２の装置の少なくとも１つは集積回路カードである、前記第１の装置と前記第２の装置との間でのトランザクションを実行する方法であって、前記第１の装置上のコンピュータプログラムの実行時間動作を少なくとも変更させることができる、少なくとも１つのプログラム命令を前記第２の装置に提供するステップと、前記コンピュータプログラムをロードし解釈するステップと、前記コンピュータプログラムが実行中に、予め定義されたセキュリティ条件に依存して前記少なくとも１つのプログラム命令をロードし解釈するステップと、前記ロードされ解釈されたプログラム命令に応答して前記変更された動作によって前記ロードされ解釈されたコンピュータプログラムを実行するステップとを含む、トランザクションを実行する方法。６１．第１の装置と第２の装置との間でのトランザクションを実行する方法であって、１組のトークンから選択されたバイトコードトークンのストリームおよび対応するインラインデータとして書かれた少なくとも１つのアプリケーションプログラムを解釈するステップと、前記少なくとも１つのアプリケーションプログラムをロードするステップと、その実行のために必要とされる読出／書込可能な論理アドレス空間の量についての前記アプリケーションプログラム内に含まれる表示により、前記少なくとも１つのアプリケーションプログラムに対して特定的に、読出／書込可能な論理アドレス空間の第１の量を割当てるステップと、前記割当てられた読出／書込可能な論理アドレス空間の境界を定義しかつ保護するステップとを含む、トランザクションを実行する方法。６２．前記少なくとも１つの第１のアプリケーションプログラムの終了に際して、読出／書込可能な論理アドレス空間の前記第１の量を明示的に割当てを解除するステップをさらに含む、請求項６１に記載のトランザクションを実行する方法。６３．第１の装置と第２の装置との少なくとも１つが集積回路カードである、前記第１の装置と前記第２の装置との間でのトランザクションシステムを実行する方法であって、１組のトークンから選択された前記トークンのストリームとして書かれるモジュール内のトークンを解釈するステップと、前記モジュールの実行のために必要な初期化されていない読出／書込可能な論理アドレス空間の量についての前記モジュール内の表示により、初期化されていない論理アドレス空間の量を割当てるステップと、前記データベースのカレントレコードの上へのウィンドウを提供することによってデータベース内のレコードにアクセスするステップとを含み、データベース内のレコードは前記モジュールを通じてのみアクセス可能であり、前記方法はさらに、前記初期化されていない読出／書込可能な論理アドレス空間の前記モジュールによりアドレス指定可能な部分に前記レコードをコピーするステップを含む、トランザクションを実行する方法。６４．第１の装置と第２の装置との少なくとも１つが集積回路カードである、前記第１の装置と前記第２の装置との間でのトランザクションを実行する方法であって、少なくとも１つの入出力装置用のドライバおよび仮想マイクロプロセッサを含む移植可能な仮想マシンを設けるステップと、前記移植可能な仮想マシンを使用して前記第１の装置上のコンピュータプログラムを解釈するステップと、前記解釈されたプログラムに応答して前記プログラムを実行するステップとを含む、トランザクションを実行する方法。