JP2008535097A - 電子ファイナンシャルトランザクションカードおよび方法 - Google Patents

Abstract

セキュアプロセッサにゼネラルプロセッサを伴ってペアとなる随伴的なプロセッサのシステムが提供される。セキュアプロセッサは、例えば、信号ポート、電源ポート、および接地ポートを備える。ゼネラルプロセッサは、例えば、信号ポートを経由してセキュアプロセッサと通信しようとするときに、電源ポート、接地ポート、セキュアプロセッサのそれぞれの少なくとも１つに、電力と接地のうちの少なくとも１つをセキュアプロセッサのそれぞれ電源ポートとグランドポートとに直接的または間接的に適用することにより、セキュアプロセッサの電源を入れるように動作する。
【選択図】図３

Description

本発明は、一般に、電子セキュリティに関し、特に、スマートカードのようなセキュア電子トランザクションカードに関する。

電子セキュリティについては、非常の多くのアプリケーションが存在する。例えば、セキュリティは、ファイナンシャルトランザクション、あるいは種々の物理的および非物理的なリソースへのアクセスを提供することに対して要望され、求められる。電子セキュリティに大きく関係する分野は、例えばクレジットカードやデビットカードのように、ファイナンシャルトランザクションの領域である。

標準的なクレジットカード、デビットカードや他のファイナンシャルトランザクションカード（以下「トランザクションカード」という）は、典型的に、１６桁のアカウントナンバや他のデータがエンボス加工されたプラスチックボディを有する。磁気ストライプは、通常「ストライプ」として参照され、カードの背面に固定され、そしてまた、アカウントナンバや他のデータを含んでいる。ストライプは、トランザクションカードが、以下「レガシーカードリーダ」として参照されるカードリーダによって読み取られることを可能にする。

標準的なトランザクションカードには、多くのセキュリティ問題が存在する。１つには、ストライプは静的であり、暗号化されておらず、泥棒にトランザクションカードを「盗む」ことを許してしまう。また、盗まれた標準的なカードは、カードが取り消されるまで泥棒によって自由に使用され得る。

セキュリティの欠如に加えて、標準的なトランザクションカードはまた、記憶容量が極めて限られている。この問題に当たるため、スマートカード、すなわちオンボードプロセッサとデジタルメモリを含むトランザクションカードが開発されている。オンボードプロセッサおよびデジタルメモリを提供することにより、トランザクションカードは、暗号化、ユーザ情報の保存等のようなセキュリティプロトコルを実行可能にする。

スマートカードに対する共通規格は、ＩＳＯ７８１６規格として参照される。このプロトコルに従い、スマートカードは、組み込まれたセキュアプロセッサにつながれた、導電性があり、かつ外部からアクセス可能な多くのコンタクトパッドを含む電子インターフェースとともに提供される。スマートカードは、電力とセキュアプロセッサとの通信を供給するために、コンタクトパッドとの電気的な接触をなすスマートカードリーダに挿入される。スマートカードはまた、セキュアプロセッサといかなる情報のやり取りをも行わない標準的なストライプを含むことができる。

海外で広く採用される間、スマートカードは、アメリカ合衆国においては大々的に採用されてはいなかった。この大きな理由は、スマートカードのセキュアプロセッサと通信をすることができないレガシーカードリーダについて何百万の業者によってなされた投資にある。また、ＩＳＯ７８１６規格に従うスマートカードは、厳しく制限されたＩ／Ｏ、レガシーカードリーダを伴う「スマートな」トランザクションの提供不能等を含むことで、自らの制限に悩まされている。

第３のアプローチは、今はまだ使われていないが、ゼネラルプロセッサやレガシーカードリーダとともに動作するストライプエミュレータを用いる。ここで用いられる「ストライプエミュレータ」という用語は、レガシーカードリーダに送信されたデータがゼネラルプロセッサの制御の下で、変化可能となるトランザクションカードを参照するであろう。この第３のアプローチは、ここでは「エミュレータカード」として参照されるであろう。

エミュレータカードは、標準的なクレジットカードを超える多くの独特な有利性を潜在的に備える。一例として、単体のカードは、多くの異なるトランザクションカードをエミュレートでき、利用者の財布の嵩を大きく減らすことができるものである。例えば、エミュレータカードは、ＶＩＳＡカード、マスターカード、およびＡＴＭカードをエミュレートできる。また、エミュレータカードはプロセッサを含んでいるので、セキュリティ機能のような付加的な機能を実行することができるようになる。

しかしながら、エミュレータカードは、また、自らの限界を有する。一例として、ゼネラルプロセッサが使用されるので、カードのセキュリティレベルが低下する。例えば、ハッカーは、潜在的にセキュリティがかけられていない電子メモリに記憶されたデータを得ることができるようになる。また、エミュレータカードは、レガシーカードリーダとともに作動するよう設計されているので、スマートカードプロトコルを取り扱うことがない。例えば、標準的なクレジットカードと同様に、データはエミュレータカードからレガシーカードリーダへと流れ、その逆はない。さらに、エミュレータカードによって供給され得る情報は、標準的なストライプが保持でき、レガシーカードリーダが読み込みできる多くの情報によって制限される。

これらと先行技術の他の制限は、以下の記載を読み、図面を検討することで当業者にとって明白なものになるであろう。

本発明の目的は、セキュアプロセッサと、これと随伴するプロセッサとの結合を提供することによる改良された電子セキュリティを提供することである。より具体的な目的は、ファイナンシャルトランザクションカードの先行技術の制限を解決するために、この新規な結合を用いることである。さらに、より具体的な目的は、改良されたＩ／Ｏ性能を伴うスマートカードを提供することである。さらに、もう１つのより具体的な目的は、改良されたセキュリティ性能を伴うエミュレータカードを提供することである。

一例において、改良されたスマートカードは、カードボディ、セキュアプロセッサ、ゼネラルプロセッサを含む。カードボディは、信号ポート、電源ポート、および接地ポートを含むとともに外部からアクセス可能なカードインターフェースにより提供され得る。セキュアプロセッサは、カードボディにより運ばれ、そして、信号ポート、電源ポート、および接地ポートに接続される。ゼネラルプロセッサもまた、カードボディによって運ばれ、電源に接続され、セキュアプロセッサが改良されたスマートカードモードにおいて使用されるときに、電力をセキュアプロセッサに供給しかつセキュアプロセッサと通信するよう動作する。

ある例において、セキュアプロセッサはＩＳＯ７８１６規格に従うスマートチッププロセッサである。他の例において、セキュアプロセッサは、他の規格に従うものであり、または事実上専有的である。もう１つの例において、ゼネラルプロセッサは、複数のＩ／Ｏポートを有する。これらのポートは、ディスプレイ、スイッチ、およびストライプエミュレータのような装置のためのＩ／Ｏを提供できる。

もう１つの例において、セキュアトランザクションカードは、セキュアプロセッサを運ぶカードボディ、ストライプエミュレータおよびゼネラルプロセッサを含む。ゼネラルプロセッサはストライプエミュレータとセキュアプロセッサとの間に直接的な接続がないようにするために、セキュアプロセッサとストライプエミュレータとの間に介入させられる。

ある例において、ゼネラルプロセッサは、セキュアプロセッサに選択的に電力を与える。例えば、ゼネラルプロセッサは、セキュアプロセッサに直接的に電力を与えることができ、あるいは、セキュアプロセッサに電力が与えられるようにさせる。もう１つの例において、セキュアプロセッサは、ＩＳＯ７８１６に従う。もう１つの例において、セキュアトランザクションカードには、スイッチやキーボードのような入力装置や、ＬＥＤやフラットパネルディスプレイのような出力装置が提供される。

トランザクションカードのセキュリティアプリケーションに加え、一般的に適用可能な電子セキュリティアプリケーションであるもう１つの例において、随伴的なプロセッサシステムが提供される。随伴的なプロセッサシステムは、セキュアプロセッサをゼネラルプロセッサに組み合わせる。セキュアプロセッサは、例えば、信号ポート、電源ポート、および接地ポートを含み得る。ゼネラルプロセッサは、この例において、信号ポートを経由してセキュアプロセッサと通信しようとしたときに、電力と接地のうちの少なくとも１つをセキュアプロセッサのそれぞれ電源ポートとグランドポートとに直接的または間接的に適用することにより、セキュアプロセッサの電源を入れるように動作するものである。

トランザクションカードのセキュリティアプリケーションに加え、一般に適用可能な電子セキュリティアプリケーションのもう１つの例において、セキュアトランザクションを提供するための方法が開示される。この方法は、限定されない例として、所望のトランザクションの始動におけるゼネラルプロセッサを伴うインプットを検索すること、ゼネラルプロセッサの指示を受けてセキュアプロセッサに電源を入れること、および、すくなくとも１つのセキュアトランザクションを提供するセキュアプロセッサ、を含む。これらと他の目的および有利性は、以下の記載を読み、そしていくつかの描かれた図面を検討することにより、当業者にとって明らかとなるであろう。

既述のように、電子セキュリティについては、非常に多くのアプリケーションが存在する。多くのアプリケーションのうちの１つは、ファイナンシャルトランザクション、すなわち、クレジットカードやデビットカードのようなトランザクションカードを使用するファイナンシャルトランザクションについてのセキュリティを提供するためのものである。以下の実施例において、改良された電子セキュリティのための他の使用が本発明の本質および範囲内にあるという理解を伴って、重要点がトランザクションカードセキュリティに置かれるであろう。

図１は、一実施例における熱可塑性材料（他の材料も意図される）を典型的に含んでいるカードボディ１１を含むトランザクションカード１０の一実施例である。この限定されない例におけるトランザクションカード１０は、電子インターフェース１６が提供される前面１２を有する。図示される電子インターフェースは、多くのコンタクトパッドを含み、好ましくは、参照によって本明細書に組み込まれる国際標準化機構の「スマートカード」規格ＩＳＯ７８１６に従う形態に構成される。この実施例において、トランザクションカードは、レガシーモードのスマートカードに利用可能である。他の実施例において、インターフェース１６は、省略されてもよい。また、示される前面１２は、インスティチューションアイデンティファ１８、インスティチューションナンバ２０、アカウントナンバ２２、クライアントネーム２４である。アカウントナンバは、好ましくは、クレジットカードの刷込機械のために浮き出た数字を提供するように、トランザクションカード１０上にエンボス加工されている。

図２はトランザクションカード１０の例の背面１４を示している。この実施例において、磁気ストライプエミュレータ２６は先行技術のレガシー磁気ストライプリーダと通信可能な背面１４上に備えられる。カードの後ろ１４はまた、オン／オフボタン２８、「オン」インジケータ３０、および「オフ」インジケータ３２を備え得る。この実施例においては、「オン」インジケータ３０は緑色ＬＥＤであってもよく、そして「オフ」インジケータ３２は赤色ＬＥＤであってもよい。また、置かれるカードの後ろ１４は、多数のインターフェース３４であり得る。それぞれのアカウントインターフェース３４は、好ましくはアカウントインジケータＬＥＤ３６とアカウントセレクタスイッチ３８を備える。それぞれのアカウントインターフェース３４はまた、例えば、アカウントを証明する印刷された情報と暗号化されたデータを有する。背面１４はまた、この例において、インスティチューション４０、インスティチューションアイデンティファ４１、署名ボックス４２、様々な他の任意の印刷された情報を有する。

図３は、回路構成の一例のブロック図であり、限定されないトランザクションカード１０の例として表される。この例において、トランザクションカード１０は、セキュアプロセッサ４４、ゼネラルプロセッサ５２、および磁気ストライプエミュレータ６４を備える。この実施例では、セキュアプロセッサ４４とゼネラルプロセッサ５２はいずれもＩＳＯ７８１６のバス４８によるインターフェース１６に結合されている。

セキュアプロセッサ４４には、好ましくは、セキュア暗号機能および不正変更防止ストレージ４６のような様々な不正変更防止特性を有する市販のスマートカードチップである。セキュアプロセッサ４４の実施例は、限定されない例として与えられ、ドイツ共和国のフィリップスにより製造されたＰ８ＷＥ６０３２プロセッサである。類似のデバイスは、日立、インフィニオン、東芝、ＳＴその他によって製造されている。先に述べたように、この例のセキュアプロセッサ４４は、バス４６を介してインターフェース１６に電気的に接続されている。このバスはそれ故、好ましくはＩＳＯ７８１６に従うものである。

ゼネラルプロセッサ５２はまた、この例において、バス４８に接続され、それ故、セキュアプロセッサ４４とインターフェース１６の両方に接続されている。加えて、この例では、ゼネラルプロセッサ５２はＩ／Ｏ２ライン５０によってセキュアプロセッサ４４に接続されている。本実施例において、メモリ５４はＩ／Ｏ２ライン５０によってゼネラルプロセッサ５２に接続されている。ゼネラルプロセッサ５２はまた、この例において、電源５６、ディスプレイ５８、スイッチ６０、および他のＩ／Ｏ６２に接続されている。電源５６は、好ましくは、カードボディ１０内に配置されたバッテリである。他の好ましい実施例は動作可能な第１（充電不能な）のバッテリ、および動作可能な第２（充電可能な）のバッテリを含む。好ましい充電可能なバッテリは、例えば、電子インターフェース１６を通じて、または電磁誘導、太陽電池、他の電子コネクタ、あるいは他の手段を通じて充電され得る。これらの実施例は限定されない例として与えられる。その他の電源についても当業者にとって明白である。

ゼネラルプロセッサ５２は、例えば、ＰＩＣ１６マイクロコントローラであってもよい。もう１つの例において、ゼネラルプロセッサ５２はＡＳＩＣチップを含む。さらなる実施例において、ゼネラルプロセッサは、所望の機能を実行するロジック（すなわち、状態機械）であり得る。

ディスプレイ５８は、例えば、先に開示されたＬＥＤ装置であり得る。もう１つの限定されない例として、ディスプレイ５８は、フレキシブルＬＣＤディスプレイを含み得る。スイッチ６０は、ゼネラルプロセッサ５２と、関係するＩ／Ｏ装置の動作を構成することを許容するための、いかなる形態の電子スイッチであってもよい。プロセッサ５２は、そのようなスイッチに係るアルゴリズムをデバウンスするソフトウェアを提供し得る。他のＩ／Ｏ６２は多くの他のＩ／Ｏサブシステムを含み得る。これらは、限定されない例として、オーディオ、タクタイル、ＲＦ、ＩＲ、光学、キーボード、バイオメトリックＩ／Ｏあるいは他のＩ／Ｏを含み得る。

また、ゼネラルプロセッサ５２に接続されているのは、磁気ストライプエミュレータ６４であり、これは、カードボディ１０に、先行技術の磁気ストライプカードをエミュレートするモードにおいて使用され得る。磁気ストライプエミュレータ６４は、この限定されない例において、ゼネラルプロセッサ５２からのデジタル出力を磁気ストライプエミュレーションに適した波形に変換するバッファリング回路６６により構成される。この好ましい実施例において、バッファリング回路６６は、典型的にＲＣネットワークとして実行されるＲＣ信号変換回路を含む。ＲＣネットワークは当業者によく知られるものである。

この例において、磁気ストライプエミュレータ６４は、さらに、ブロードキャスタ６８により構成される。ブロードキャスタ６８は、バッファリング回路６６に電気的に接続され、そして、好ましくは、ブロードキャスタ６８によって、磁気ストライプエミュレーションのために磁気インパルスに変換される２トラックの信号を受ける。他の例では、単一のトラックの例を含み、そして３またはそれより多くのトラックを含む。ブロードキャスタ６８は、電気信号を磁気インパルスに変換するための１またはこれより多くの電気コイルを含み得る。この例におけるブロードキャスタ６８は、さらに、ゼネラルプロセッサ５２に電気的に接続される１またはこれより多くのセンサ７０を含み得る。これらのセンサはレガシーカードシステムにカードボディ１０が挿入されるという物理的動作が始まったということをゼネラルプロセッサに送信するために使用される。センサ７０はまた、ブロードキャスタからの磁気フラックスインパルスの受け取り、読み取りを行う磁気ストライプリーダ７２との接触がなくなったときに、ゼネラルプロセッサ５２との通信を行う。

先に述べたように、この例におけるトランザクションカード１０は、電子インターフェース１６を含む。この例では、電子コネクタ１６はＩＳＯ７８１６のリーダ装置７４と通信するためのＩＳＯ７８１６に従って使用される。

レガシースマートカードモードで使用されるとき、セキュアプロセッサ４４は、スマートカードリーダ装置７４からのバス４８によって電力が与えられる。リーダ装置７４は、限定されない例として、ファームウェアコード、アカウントナンバ、暗号キー、ＰＩＮナンバ等を含む様々な情報を伴うセキュアプロセッサ４４をプログラムし、パーソナライズするために使用され得る。この情報は、一度セキュアプロセッサ４４にロードされるとリーダ装置７４の使用をもはや要求しないオペレーショナルモードのためのセキュアプロセッサ４４を準備する。

この「独立」モードにおいて、セキュアプロセッサ４４は、ゼネラルプロセッサ５２と通信し、暗号化機能、ゼネラルプロセッサ５２および磁気ストライプリーダ７２を伴う磁気ストライプエミュレータ６４を経由して通信するために使用される認証情報の動的生成のようなサービスを提供する。この例においてもまた、認証コードは単一のトランザクションのために一度だけ使用され得る。後に続くトランザクションは、生成されるべき新たな認証コードを要求する。

もう１つの例において、カードボディ１０は、リーダ装置７４および磁気ストライプリーダ装置７２とともに使用され続ける。この例において、カードは、使用されるモードを検索し、オペレーションの検索モードに適したバス４８の使用にスイッチを自動的に切り替える。これは、任意のバスアトリビュータ７６により達成される。電子コネクタ１６からバス４８を経由してリーダ装置７４によって電力が供給されることから、任意のバスアトリビュータ７６は、リーダ装置７４とともに使用されているときに検索をすることができる。同様に、任意のバスアトリビュータ７６は、電力がゼネラルプロセッサ５２によって提供されていることを検索し、ゼネラルプロセッサ５２、およびそこに接続されている様々なＩ／Ｏ装置にサービスを提供するオペレーションの対応するモードにスイッチを切り替える。他の実施例でもまだ、任意のバスアトリビュータ７６はゼネラルプロセッサ５２とセキュアプロセッサ４４の両方におけるそれぞれ互いの動的通信、およびリーダ装置７４を伴う動的な通信を許容する。これは、当業者によく知られるバスアトリビューションロジックを要求する。さらに他の実施例において、ゼネラルプロセッサ５２は、セキュアプロセッサ４４と電子コネクタ１６との間に割り込む。この他の実施例において、ゼネラルプロセッサ５２は、セキュアプロセッサ４４に対して「仲介者」あるいは「フロントエンド」として作動する。

図４は、図３のセキュアプロセッサ４４の他の例をさらに詳しく示している。この例におけるセキュアプロセッサ４４は、ＩＳＯ７８１６に従い、電源装置７８、セキュリティセンサ８０、リセットジェネレータ８２、クロック入力フィルタ８４、ＣＰＵ８６、インタラプトシステム７８、および内部バス９０を含むマイクロコントローラである。内部バス９０に接続されるのは、ＲＡＭ９１、ＥＥＰＲＯＭ９３またはその両方から構成される不正変更防止ストレージ４６である。ＲＡＭ９１およびＥＥＰＲＯＭ９３の両方は、好ましい実施例において内部バス９０に接続される。また、バス９０に接続されるのは、暗号化と暗号解除を行うクリプトプロセッサ９２である。また、バス９０に接続されるのは、リーダ装置７４とともにバス４８および電子コネクタ１６を経由してシリアル通信のために使用されるＵＡＲＴ９８を作動させるために、セキュアプロセッサ４４に必要なファームウェアを記憶するために使用される、ＲＯＭ９６とタイマー９４である。また、バス９０に接続されるのは、Ｉ／Ｏシステム１００とランダムナンバジェネレータ１０２である。上記されたセキュアプロセッサ４４は、フィリップス、日立、インフィリオン、東芝、ＳＴその他の様々な製造元から市販されている。開示された他の実施例における使用に適したセキュアプロセッサ４４は、ドイツ共和国のフィリップスにより製造されたモデルＰ８ＷＥ６０３２プロセッサである。

図５は、限定されない例として、セキュアプロセッサ４４によって実行されるメインプロセスを示している。このメインプロセスは、例えば、セキュアプロセッサ４４のＲＯＭ９６またはＥＥＰＲＯＭ９３のいずれか一方にエンコードされ得る。プロセスは、セキュアプロセッサ４４への電源がゼネラルプロセッサ５２またはリーダ装置７４によってオンになるオペレーション１１２に制御を渡すオペレーション１１０から始まる。ここで使用される、「オペレーション」は、プロセッサによって実行される特定の動作である。その後、オペレーション１１４において、セキュアプロセッサ４４は、そのオペレーションのモードを検索し、検索されたモードに適したハンドラに分かれる。オペレーションのモードの１つは、リーダ装置７４とともにオペレーションを実行する。オペレーション１１６は、このオペレーションのモードを実行するハンドラに制御を渡す。オペレーション１１８は、ゼネラルプロセッサ５２とともに通信を実行するハンドラに制御を渡す。オペレーション１２０は、オペレーションの他のモードを実行する。例えば、このハンドラは、リーダ装置７４とともに、協同してそれぞれ互いに通信するセキュアプロセッサ４４とゼネラルプロセッサ５２の両方を含むオペレーションのモードを実行できる。この他の例は、限定されない例として与えられる。一度通信が実行されると、プロセスを完了するオペレーション１２２において電源がＯＦＦとされる。

図６は、例として、図５のオペレーション１１６についての一例を、より詳しく示している。プロセスは、オペレーション１２３で始まり、好ましくはＵＡＲＴ９８を利用する非同期シリアル通信を経由して、セキュアプロセッサ４４がオンラインであり、いつでも通信できるということを示す「リセットへの応答」と呼ばれる信号を送るセキュアプロセッサ４４とともにオペレーション１２４に続く。その後、オペレーション１２６において、セキュアプロセッサ４４は受けるべきコマンドを待つ。もし、コマンドが受け取られなければ、セキュアプロセッサ４４は待機し続ける。他の実施例において、この待機の期間は、見せかけのランダムシーケンス上に基づく認証コードの生成のような、バックグラウンドにおける計算タスクを実行するために使用される。コマンドが受け取られると、制御は、コマンドを処理するオペレーション１２８に渡される。コマンドは、上記のように処理され、電源がオフにされてプロセスが中断されるまで処理される。

図７は、図６のオペレーションの例をより詳しく示している。プロセスは、分岐オペレーション１３０に制御を渡すオペレーション１２９で始まる。オペレーション１３０は、受け取った様々なメッセージについて、いくつかのハンドラのうちの１つに制御を送る。オペレーション１３０は、図７に示されるハンドラの１つのみに制御を渡す。

どのハンドラに分岐するかの選択は、受け取られたメッセージの検査によって決定される。好ましい実施例において、受け取られたメッセージは、使用されるべきハンドラを認定するセレクタコードを含む。オペレーション１３２は、メッセージ「データ取得−シリアルナンバ」を処理するハンドラである。オペレーション１３４は、「データ取得−キーＩＤ」と呼ばれるコマンドを実行する。オペレーション１３６は、「チャレンジ取得」を実行するハンドラである。オペレーション１３８は、「外部認証」のためのハンドラである。オペレーション１４０は、「データ取得−パーソナライゼーション」のためのハンドラである。オペレーション１４２は、「プットデータ−ＥＥＰＲＯＭファームウェアバージョン」のためのハンドラである。オペレーション１５２は、「プットデータ−ディバースキーの初期化」のためのハンドラである。オペレーション１５４は、「プットデータ−パーソナライズ」のためのハンドラである。オペレーション１５６は、「プットデータ−有効化」のためのハンドラである。オペレーション１５８は、「その他」のためのハンドラである。

オペレーション１５８は、セキュアプロセッサとの改良された通信またはセキュアプロセッサ４４の内部処理を導入することをだれかが望むであろうどんな付加的なハンドラをも表すために示されている。そのようなコマンドの一例は、バックグラウンドにおいて認証コードの生成を実行するためのバックグランドタスクを起動することである。そのようなコマンドのもう１つの例は、カードを使用不可能な状態にする自己破壊コマンドであろう。この実施例は、詐欺が起こったことがはっきりしたイベント中で使用されるだろう。これらの実施例は、限定されない例として与えられる。

図８は、図７のオペレーション１３２の例をより詳しく示している。このプロセスの目的は、セキュアプロセッサ４４からの固有のシリアルナンバの検索を許容することである。プロセスは、オペレーション１６２で始まり、制御は、セキュアプロセッサ４４および関係するストレージ内に保存されている固有のシリアルナンバを検索するオペレーション１６４に渡される。ある実施例において、このシリアルナンバはＥＥＰＲＯＭ９３にエンコードされる。もう１つの例では、シリアルナンバは、ＲＯＭ９６にエンコードされる。固有のシリアルナンバが一度検索されると、制御は、要求されたソースに、メッセージを送り戻すオペレーション１６６に渡される。この情報は、暗号化されているか、または暗号化されていないかのどちらかであり、そして両方の実施例が意図されていることに注意すべきである。プロセスは、オペレーション１７０で完了する。

図９は、図７のオペレーション１３４の例を、より詳しく示している。プロセスは、オペレーション１７２で始まり、制御は、セキュアプロセッサ４４および関係するストレージからキーＩＤを検索するオペレーション１７４に渡される。制御は、キーＩＤを含むメッセージをフォーマットするオペレーション１７６に渡される。メッセージは、その後オペレーション１７８に送られる。全てのメッセージあるいはメッセージの部分は、暗号化される。プロセスは、オペレーション１８０で完了する。

図１０は、図７のオペレーション１３６の例をより詳しく示している。プロセスは、オペレーション１８２で始まり、制御は、ランダムナンバジェネレータ１１０を使用してランダムナンバを生成するオペレーション１８４に渡される。このランダムナンバは、セキュアプロセッサ４４および関係するストレージ内、好ましくはＲＡＭ９１に保存される。その後、認証中に、このナンバは呼び戻され、外部で生成されたメッセージと比較される。ランダムナンバがオペレーション１８６で保存された後で、制御は、ランダムナンバを含むメッセージをフォーマットするオペレーション１８８に渡される。オペレーション１９０において、このランダムナンバは、それを要求したクライアントに送り戻される。このプロセスはオペレーション１９２で完了する。

図１１は、図７のオペレーション１３８の例をより詳しく示している。プロセスは、オペレーション１９４で始まる。オペレーション１９６は、クライアントから入ってくるメッセージにおけるチャレンジレスポンスパラメータにアクセスする。チャレンジレスポンスパラメータは、以前に受け取られたランダムナンバの暗号形式を複製しようとするクライアントの試みを表わす。制御は、その後、チャレンジレスポンスパラメータを以前に保存されたランダムナンバと比較するオペレーション１９８に渡される。もし、これらの２つのナンバが合致すると、クライアントは首尾良く暗号化された形式のナンバを複製し、セキュアプロセッサ４４でそれ自体認証するために、それをセキュアプロセッサ４４に戻したことを意味する。もし、チャレンジレスポンスが正しい場合、制御は、セキュアプロセッサ４４、好ましくは、ＲＡＭ９１において、ロックされていない状態にセットするオペレーション２００に渡される。一度このロックされていない状態にセットされると、認証を要求するその後のコマンドは、認証が起こったことを検索できるようになる。いかなる後のリセットまたはセキュアプロセッサ４４のパワーサイクルも、クライアントに再び認証を要求するロックされた状態にチップをリセットする。ロックされていない状態がオペレーション２００でセットされた後、制御は、現在のプロセスの状態と同じくセキュアプロセッサ４４の状態を示すメッセージをフォーマットするオペレーション２０２に渡される。このメッセージは、その後オペレーション２０４に送られ、そしてプロセスはオペレーション２０６で完了する。もし、オペレーション１９８において、チャレンジレスポンスが正しくない場合、制御は、失敗を表示するメッセージをフォーマットするオペレーション２０８に渡される。このメッセージは後にオペレーション２０４でクライアントに送られ、プロセスはオペレーション２０６で終了する。

図１２は、図７のオペレーション１４０の例を、より詳しく示している。プロセスはオペレーション２１０で始まり、制御は、セキュアプロセッサ４４がロックされるかどうかを決定するオペレーション２１２に渡される。セキュアプロセッサ４４は、現在の通信セッションの間における前の認証がうまくいったときにのみロックされない状態になり得る。もし、セキュアプロセッサ４４がロックされていなければ、制御は、アクセスされたアカウントを特定する、入ってきたメッセージ中のパラメータにアクセスするオペレーション２１４に渡される。制御は、特定されたアカウントについてのパーソナライゼーションデータを送るオペレーション２１６に渡される。このデータは、セキュアプロセッサ４４に関連づけられたストレージから送られる。オペレーション２１８において、メッセージは要求され暗号化されたアカウントを含めてフォーマットされる。このアカウントデータは、メッセージにおいて特定されたアカウントと関係する。この暗号化されたアカウントデータは、その後、オペレーション２２０でクライアントに送られる。このプロセスは、オペレーション２２２で完了する。もし、オペレーション２１２において、セキュアプロセッサ４４がロックされていることが判明した場合、制御は、セキュアプロセッサ４４がロックされていることを特定するメッセージをフォーマットし、送り、そして、それ故、要求された情報の提供を拒絶するオペレーション２２４に渡される。制御は、その後、プロセスを完了するオペレーション２２２に渡される。

図１３は、図７のオペレーション１４２の例を、より詳しく示している。このプロセスは、オペレーション２２６で始まり、制御は、その後、セキュアプロセッサ４４がロックされるかどうかを決定するオペレーション２２８に渡される。もし、セキュアプロセッサ４４がロックされていなければ、制御は、セキュアプロセッサ４４がアップデートされたファームウェアに適した状態であるかどうかを決定するオペレーション２３０に渡される。もし、セキュアプロセッサ４４がアップデートされたファームウェアに適した状態になっていれば、制御は、入ってくるファームウェアのアップデートのデータ長が有効であることを証明する。もし、データ長が有効であることがオペレーション２３２において決定された場合には、制御は、ＥＥＰＲＯＭ９１のファームウェアにおいてアップデートされたアドレスを証明するメッセージ中のパラメータを検査するオペレーション２３４に渡される。もし、アドレスが、ファームウェアのアップデートを保存するのに適したアドレスの範囲中で発見された場合には、制御は、メッセージからのデータを伴うＥＥＰＲＯＭ９１中で特定されたアドレスで、ファームウェアをアップデートするオペレーション２３６に渡される。制御は、その後、現在のプロセスと、セキュアプロセッサ４４の状態を示すメッセージをフォーマットし、クライアントに送るオペレーション２３８に渡される。制御は、その後、プロセスを完了するオペレーション２４０に渡される。もし、オペレーション２２８において、セキュアプロセッサ４４がロックされることが決定された場合、制御は、失敗と失敗の理由を示すメッセージをフォーマットしてクライアントに送るオペレーション２４２に渡される。同様に、もし、オペレーション２３０において、セキュアプロセッサ４４がアップデートされたファームウェアに適した状態になっていないことが判明した場合、制御は、エラーの信号を送るオペレーション２４２に渡される。同様に、もし、オペレーション２３２において、データ長が有効でないことが判明した場合には、制御は、エラー状態の情報を含むメッセージをフォーマットし、それを送ることでエラーの信号を送るオペレーション２４２に渡される。最後に、もし、オペレーション２３４において、ファームウェアのアップデートについてのアドレスが適当なものでないことが判明した場合、制御は、エラーの信号を送るオペレーション２４２に渡される。一度オペレーション２４２でエラーの信号が送られると、制御は、オペレーション２４０に渡され、プロセスは完了する。

図１４は、図７のオペレーション１４４の例を、より詳しく示している。プロセスはオペレーション２４４で始まり、制御は、セキュアプロセッサ４４がロックされた状態であるかどうかを決定するオペレーション２４６に渡される。もし、セキュアプロセッサ４４がロックされていないことが決定される場合、制御は、ＥＥＰＲＯＭ９３にロードされたソフトウェアが次のリセットの後で実行されるべきであることを示すために、セキュアプロセッサ４４の内部状態をセットするオペレーション２４８に渡される。 これは、ＲＯＭ９６中で保存されているファームウェアを自動的に実行する状態から、ＥＥＰＲＯＭ９３にロードされたファームウェアを実行する状態へのセキュアプロセッサ４４の移行を許容する。オペレーション２５０において、セキュアプロセッサ４４と現在のプロセスの状態を示すメッセージは、フォーマットされ、クライアントに送られる。プロセスは、その後、オペレーション２５２で完了する。もし、オペレーション２４６において、セキュアプロセッサ４４がロックされた状態であったと決定された場合、制御は、現在のプロセスの失敗と失敗の理由を示しているメッセージをフォーマットしてクライアントに送るオペレーション２５４に渡される。制御は、その後、プロセスを終了するオペレーション２５２に渡される。

図１５は、図７のオペレーション１４６の例を、より詳しく示している。プロセスはオペレーション２５６で始まり、制御は、セキュアプロセッサ４４がロックされた状態であるかどうかを決定するオペレーション２５８に渡される。もし、オペレーション２５８において、セキュアプロセッサ４４がロックされた状態でないと決定された場合、制御は、ＲＯＭ９６中のファームウェアが次のリセットの後で実行されるべきであること示すためにセキュアプロセッサ４４の内部状態をセットするオペレーション２６０に渡される。これは、セキュアプロセッサ４４のオリジナルファームウェアを保存しているものとして知られるＲＯＭ９６に保存されたファームウェアを実行する状態へのセキュアプロセッサ４４の移行を許容する。制御は、その後、現在のプロセスの状態と同じくセキュアプロセッサ４４の状態を送信するオペレーション２６２に渡される。この状態メッセージは、フォーマットされ、クライアントに送られる。プロセスは、その後、オペレーション２６４で終了する。もし、オペレーション２５８において、セキュアプロセッサ４４がロックされた状態であると決定された場合、制御は、失敗と失敗の理由を示しているメッセージをフォーマットし、クライアントに送るオペレーション２６６に渡される。

図１６は、図７のオペレーション１４８の例を、より詳しく示している。プロセスは、オペレーション２６８で始まり、制御は、ＲＯＭ９６に保存された情報のバージョンナンバをＲＯＭ９６から送るオペレーション２７０に渡される。制御は、その後、ＲＯＭ９６のバージョンナンバを含んでいるメッセージをフォーマットするオペレーション２７２に渡される。好ましくは、この情報は、暗号化されていない形式のものである。オペレーション２７４は、その後、メッセージをクライアントに送り、プロセスは、オペレーション２７６で完了する。

図１７は、図７のオペレーション１５０の例を、より詳しく示している。プロセスは、オペレーション２７８で始まり、制御は、ＥＥＰＲＯＭ９３のファームウェアバージョンを送るオペレーション２８０に渡される。この情報は、好ましくは、ＥＥＰＲＯＭ９３に保存される。制御は、その後、ＥＥＰＲＯＭ９３ファームウェアバージョンを含んでいるメッセージをフォーマットするオペレーション２８２に渡される。好ましくは、このバージョン情報は、暗号化されていない形式のものである。制御は、その後、メッセージをクライアントに送るオペレーション２８４に渡される。プロセスは、その後、オペレーション２８６で終了する。他の例では、この情報は暗号化される。

図１８において、図７のオペレーション１５２の例がより詳しく説明される。プロセスは、オペレーション２８８で始まり、そして、決定オペレーション２９０において、セキュアプロセッサがロックされているかどうかが決定される。もし、ロックされていれば、オペレーション２９２は、エラー状態の情報を含んでいるメッセージをフォーマットし、このメッセージをクライアントに送ることによって、エラーの信号を送信し、そして、プロセスはオペレーション２９４で完了する。もし、決定オペレーション２９０でセキュアプロセッサがロックされていないと決定した場合には、カードディバース移送キーセキュアプロセッサ４４の移送キーを使用する暗号化形式でクライアントにより移送されることから、オペレーション２９６は、解読されるべきＣＤＴＫを含むパラメータにアクセスする。次に、オペレーション２９８において、プロセスは、特定された値を伴う内部ＣＤＴＫをアップデートする。次に、オペレーション３００において、セキュアプロセッサ４４と現在のプロセスの状態を示すために、メッセージがフォーマットされる。メッセージは、その後、オペレーション３０２において送られ、プロセス１５２は、オペレーション２９４で完了する。

図１９において、図７のオペレーション１５４であるプットデータ−パーソナライズが、より詳しく記述される。プロセス１５４はオペレーション３０４で始まり、オペレーション３０６の決定において、セキュアプロセッサがロックされているかどうかが決定される。もし、ロックされていれば、オペレーション３０８は、エラー状態を示しているメッセージをフォーマットし、クライアントに送ることによって、エラー信号を送信する。もし、オペレーション３０６がロックされていないと決定すれば、オペレーション３１２は、ＥＥＰＲＯＭに特定されたメッセージとして保存されるパーソナライゼーションデータの解読とアップデートを行う。次に、オペレーション３１４において、セキュアプロセッサ４４と現在のプロセスとの状態を示すために、メッセージがフォーマットされる。最後に、オペレーション３１６において、メッセージが送られ、そして、プロセス１５４はオペレーション３１０で完了する。

図２０は、図７のオペレーション１５６のプロセスの例を、より詳しく記述する。プロセスはオペレーション３１８で始まり、制御は、その後、セキュアプロセッサ４４がロック状態であるかどうかを決定する決定オペレーション３２０に渡される。もし、セキュアプロセッサ４４がロックされていれば、その後、制御は、エラー情報を含んでいるメッセージをフォーマットし、クライアントに送るオペレーション３２２に渡される。制御は、その後、プロセスを終了するオペレーション３２４に渡される。もし、オペレーション３２０において、セキュアプロセッサ４４がロックされていないと決定されれば、制御は、カードがノーマルオペレーションで有効であることを示すために、セキュアプロセッサ４４の内部状態をセットするオペレーション３２６に渡される。好ましい実施例において、この内部状態は、ＥＥＰＲＯＭ９３に保存される。制御は、その後、セキュアプロセッサ４４と現在のプロセスの状態を示しているメッセージをフォーマットするオペレーション３２８に渡される。メッセージは、その後、オペレーション３４０において、送られる。プロセスは、その後、オペレーション３２４において完了する。

図２１は、図５のオペレーション１１８のプロセスの例を、より詳しく示している。プロセスは、オペレーション３４２で始まり、制御は、その後、「私はここです」というメッセージをゼネラルプロセッサ５２に送るオペレーション３４４に渡される。この時点で、セキュアプロセッサ４４は、クライアント、ゼネラルプロセッサ５２から送られるコマンドのリスニングを始める。これは、オペレーション３４６によって行われる。その後、決定オペレーション３４８において、要求が受け取られたかどうかが決定される。そうでなければ、制御は、オペレーション３４６に戻し渡される。

もし、要求がクライアントから受け取られなければ、制御は、オペレーション３５０に渡される。オペレーション３５０において、入ってきた要求またはコマンドは、適当なハンドラにメッセージを送るために使用されるセレクタコードについて検査される。そのような１つのハンドラは、コマンド中で特定されたアカウントデータを送り、そして、それをクライアントに戻すオペレーション３５２である。もう１つのハンドラは、セキュアプロセッサ４４のためのコンフィグレーションデータを送り、そして、それをクライアントに戻すオペレーション３５４である。オペレーション３５６は、ゼネラルプロセッサ５２とセキュアプロセッサ４４との間でいかなる他の通信をも行うために使用される。例として、そして限定なしで、このコマンドは、ゼネラルプロセッサが、セキュアプロセッサ４４におけるランダムナンバジェネレータ１０２にアクセスするのを許容するために使用される。同様に、そのようなハンドラは、クリプトプロセッサ９２のようなセキュアプロセッサ４４に特有の他の機能へのアクセスを提供するために置かれ得る。ステップ３５２，３５４，そして３５６が完了したとき、制御を、その後のコマンドを聞くオペレーション３４６に戻す。このプロセスは、電源が断たれるまで続けられる。もう１つの実施例において、電源の遮断イベント以外の外的イベントは、現在のプロセスのループを終了させる。ゼネラルプロセッサ５２とセキュアプロセッサ４４との間の通信は、補助コネクタ５０のような付加的な結合を任意に使用し得ることに注意すべきである。この通信の一実施例は、ゼネラルプロセッサ５２とセキュアプロセッサ４４との間の同期シリアル通信を構築するために、補助コネクタ５０にバス４８における１つの通信ラインを合わせて使用する。これは、ゼネラルプロセッサ５２が非同期シリアル通信に係るＵＡＲＴを有していないような状況において特に有用である。補助コネクタ５０とバス４８のＩ／Ｏ通信ラインは、同期通信を達成する多種多様な方法で使用され得る。一実施例において、２つのプロセッサ５２と４４のうちの一方は、２つの通信ラインのうちの１つを使用する他方のプロセッサにメッセージを送り、ここで、他方のプロセッサは、１から０、または０から１という前記通信ラインの状態が移行することによるそれぞれのビットの受け取り信号を送るためのものである。

図２２は、図３のゼネラルプロセッサ５２のブロック図の非常に単純化された例である。ゼネラルプロセッサ５２は、ＣＰＵ３５８、バス３６０、Ｉ／Ｏサブシステム３６２、ＲＯＭ３６４、ＳＲＡＭ３６６、ＥＥＰＲＯＭ３６８により構成される。Ｉ／Ｏサブシステム３６２は、ディスプレイ５８と、スイッチ６０と、他のＩ／Ｏ６２と、および、ブロードキャスタ信号データを送り、ブロードキャスタからセンサデータを受け取る磁気ストライプエミュレータ６４を伴うインターフェースと、を駆動する。スイッチ６０は図２の、オン／オフボタン２８、およびアカウントセレクタ３８を含む。

図２３は、限定されない例として、ゼネラルプロセッサ５２のメインプロセスを示す。ゼネラルプロセッサ５２は、オン／オフボタン２８が押されたとき、初めにオフの状態になる。オン／オフボタン２８が解除されたとき、制御は、オペレーション３７０からオペレーション３７２に渡される。もし、オン／オフボタン２８が押されたままの時間が限界を越えた場合、ゼネラルプロセッサ５２は、制御を、オンインジケータ３０とオフインジケータ３２を二回同時に点滅させるオペレーション３７４に渡す。このとき、オン／オフボタン２８が押され、ゼネラルプロセッサ５２は、これらのオペレーションを実行できるように電力を受け取る。もし、オン／オフボタン２８が開放されなければ、オンインジケータ３０とオフインジケータ３２は、オン／オフボタン２８が開放されるまでそれぞれ２秒ずつ、２回の点滅を続ける。

図２４は、図２３のオペレーション２３のプロセスの例を、より詳しく示している。プロセスは、オペレーション３７６で始まり、ゼネラルプロセッサ５２を初期化するオペレーション３７８を続ける。その後、決定オペレーション３８０において、前記初期化オペレーション中にエラーが発生しているかどうかの決定がなされる。もし、エラーが発生していなければ、制御は、オンインジケータ３０を２４点灯させ、かつメニュー状態に入るオペレーション３８４に制御を渡すオペレーション３８２に、制御が渡される。もし、オペレーション３８０において、エラーが発生している場合には、制御は、エラーコードを１にセットし、オフインジケータ３２を３回点灯させるオペレーション３８６に渡される。その後のオペレーション３８８において、制御は、その後、エラー状態に入るオペレーション３９０に渡される。

図２５は、図２４のオペレーション３８４の例を、より詳しく示している。プロセスは、外的に生じた多くの異なるイベントの間で識別を行うオペレーション３９２で始まる。

例えば、もし、オン／オフボタン２８が開放され、または、タイムアウトの限界をこえた場合、制御は、オフインジケータ３２を２回点灯させるオペレーション３９４に渡される。制御は、その後、シャットダウン状態に入るオペレーション３９６に渡される。もし、他方で、オペレーション３９２において、アカウントボタン１が押されたことが決定された場合、制御は、アカウント１のためのアカウントインジケータ３６を１回点灯させるオペレーション３９８に渡される。制御は、その後、アカウント１のためのデータがその後にアクセスされることを示している内部アカウントバッファを１にセットするオペレーション４００に渡される。

同様に、もし、オペレーション３９２においてアカウントナンバ２のためのアカウントセレクタ３８が押された場合、制御は、アカウント２のためのアカウントインジケータ３６を１回点灯させるオペレーション４０２に渡される。制御は、その後、後の出入金がアカウント２に関係すべきであることを示している内部アカウントバッファを２にセットするオペレーション４０４に渡される。同様に、もし、オペレーション３９２において、アカウント３のためのアカウントセレクタ３８が選択された場合、アカウント３のためのアカウントインジケータ３６を１回点灯させ、かつアカウント３のためのアカウントデータがその後にアクセスされることを示しているアカウントバッファを３にセットするオペレーション４０８に制御を渡すオペレーション４０６に、制御が渡される。制御は、その後、オペレーション４１０に渡される。ステップ４００と４０４はまた、完了次第、オペレーション４１０に移送される。

もし、オペレーション３９２において、電源ボタンタイムアウトが検索されたことが決定された場合、制御は、オンインジケータ３０とオフインジケータ３２を２回同時に点灯させるオペレーション４１２に渡される。制御は、その後、外的なイベントを監視するオペレーション３９２に戻し渡される。例えば、ボタンとカードの後ろ１４のボタンの組み合わせにより作り出されるコードを検索できるオペレーション４１４のような、付加的なイベントやイベントハンドラが現在のプロセスに加えられることが考えられる。そのようなコードは、例えば、カードに自己診断モードや、様々なＬＥＤを点灯させるデモンストレーションモードや、ゲームモードに入るように指示するために使用される。もう１つの実施例において、オペレーション４１４は、ある期間またはスペシャルコードが入力されるまで使用できない状態にすることができる。そのような例は、例えば、カードが一時的に誰かの所有とならなくなった場合に有用である。これらの様々な択一的な実施例は、限定されない例として与えられる。

図２６は、図２５のオペレーション４１０の例を、より詳しく示している。プロセスは、オペレーション４１６で始まり、制御は、セキュアプロセッサ４４の電源を入れ、そしてセキュアプロセッサ４４が適切に操作されていることを証明するためのハンドシェイクを行うオペレーション４１８に渡される。 決定オペレーション４２０において、完了されるべきハンドシェイクを待っている間にタイムアウトが有効期限切れとなったかどうかが決定される。もし、タイムアウトが発生している場合には、制御は、セキュアプロセッサ４４の電源をオフにするオペレーション４１４に渡される。制御は、その後、オフインジケータ３２を３回点灯させるオペレーション４１６に渡される。制御は、その後、エラーコードを９にセットするオペレーション４１８に渡される。一度これが完了すると、制御は、エラーオペレーション４２０に渡される。もし、オペレーション４１２において、タイムアウトが期限切れでないと決定された場合には、制御は、セキュアプロセッサ４４からの「私はここです」のメッセージを待つオペレーション４２２に渡される。その後、決定オペレーション４２４において、「私はここです」のメッセージを待っている間にタイムアウトが期限切れとなったかどうかが決定される。もし、タイムアウトが期限切れとなっていれば、制御は、セキュアプロセッサ４４の電源をオフにするオペレーション４２６に渡される。制御は、その後、オフインジケータ３２を３回点灯させるオペレーション４２８に渡される。その後、オペレーション４３０において、エラーコードが２にセットされ、そして、その後、制御は、エラーオペレーション４２０に渡される。もし、オペレーション４２４において、タイムアウトが期限切れとなっていない場合には、制御は、モードが有効かまたは自己テストについて有効かどうかを決定する決定オペレーション４３２に渡される。もし、そうでなければ、その後、制御は、セキュアプロセッサ４４の電源をオフにするオペレーション４３４に渡される。制御は、その後、オフインジケータ３２を３回点灯するオペレーション４３６に渡される。制御は、その後、ＢＩＳＴ状態に入るオペレーション４３８に渡される。もし、オペレーション４３２において、モードが有効あるいはテストについて有効であると決定された場合、制御は、いくつかの他のエラーが発生しているかどうかを決定するオペレーション４４０に渡される。もし、そうであれば、制御は、セキュアプロセッサ４４の電源をオフにするオペレーション４４２に渡される。この時点で、制御は、オフインジケータ３２を３回点灯するオペレーション４４４に渡される。その後、制御は、エラーコードをセットするオペレーション４４６に渡される。制御は、その後、エラーを処理するオペレーション４２０に渡される。もし、オペレーション４４０において、他のエラーが発生していないと決定された場合は、制御は、コンフィグレーションパラメータを要求しているセキュアプロセッサ４４にメッセージを送るオペレーション４４８に渡される。その後、決定オペレーション４５０において、エラーが発生しているかどうかが決定される。もし、発生していれば、制御は、セキュアプロセッサ４４の電源をオフにするオペレーション４５２に渡される。制御は、その後、オフインジケータ３２を３回点灯させるオペレーション４５４に渡される。制御は、その後、エラーコードをセットするオペレーション４５６に渡され、そして、エラーを処理するオペレーション４２０に渡される。

もし、オペレーション４５０において、セキュアプロセッサ４４に対するコンフィグレーションパラメータについての要求が送られる中でエラーが発生していないと決定された場合、制御は、オペレーション４４８の要求と見なしているセキュアプロセッサ４４からの応答を待つオペレーション４５８に渡される。その後、決定オペレーション４６０において、タイムアウトが期限切れであるかどうかが決定される。もし、期限切れであれば、制御は、セキュアプロセッサ４４の電源をオフにするオペレーション４６２に渡される。制御は、その後、オフインジケータ３２を３回点灯させるオペレーション４６４に渡される。その後、オペレーション４６６において、エラーコードが３にセットされ、制御は、エラーを処理するオペレーション４２０に渡される。

もし、オペレーション４６０において、タイムアウトが期限切れでないと決定された場合、制御は、もう１つのエラーが発生しているかどうかを決定する決定オペレーション４６８に渡される。もし、エラーが発生していれば、制御は、セキュアプロセッサ４４の電源をオフにするオペレーション４７０に渡される。その後、オペレーション４７２において、オフインジケータ３２が３回点灯させられ、そして制御は、エラー制御をセットし、そしてエラーを処理するオペレーション４２０に制御を渡すオペレーション４７４に渡される。もし、オペレーション４６８において、エラーが発生していないと決定された場合には、制御は、データ状態に入るオペレーション４７６に渡される。

図２７は、図２６のオペレーション４７６の例を、より詳しく示している。プロセスは、オペレーション４７８で始まり、制御は、その後、「ユーザデータ取得」の要求をセキュアプロセッサ４４に送るオペレーション４８０に渡される。その後、決定オペレーション１８２において、要求を送っている間にエラーが発生しているかどうかが決定される。もし、エラーが発生していると決定された場合には、制御は、セキュアプロセッサ４４の電源をオフにするオペレーション４８４に渡される。制御は、その後、オフインジケータ３２を３回点灯させるオペレーション４８６に渡される。その後、オペレーション４８８において、エラーコードがセットされ、そして、オペレーション４９０において、エラーを処理するエラー状態に入る。

もし、オペレーション４８２において、要求を送っている間にエラーが発生していないと決定された場合には、制御は、オペレーション４８０の要求に対する応答を待つオペレーション４９２に渡される。その後、決定オペレーション４９４において、セキュアプロセッサ４４からの応答を待っている間にタイムアウトがあったかどうかが決定される。もし、タイムアウトがあったと決定された場合には、制御は、セキュアプロセッサ４４の電源をオフにするオペレーション４９６に渡される。制御は、その後、オフインジケータ３２を３回点灯させ、そして、エラーコードを５にセットしかつエラー処理を行うオペレーション４９０に制御を渡すオペレーション５００に制御を渡すオペレーション４９８に渡される。

もし、オペレーション４９４において、セキュアプロセッサ４４からの応答を待っている間にタイムアウトが発生していないと決定された場合には、その後、オペレーション５０２がセキュアプロセッサ４４の電源をオフにする。その後、決定オペレーション５０４において、動的認証コードが使用されたかどうかが決定される。もし、動的認証コードが使用されていれば、制御は、オフインジケータ３２を３回点灯させ、エラーコードを６にセットし、その後、エラー処理を行うエラー状態４９０に入るオペレーション５０８に制御を渡すオペレーション５０６に渡される。

もし、オペレーション５０４において、全ての動的認証コードが使用されていないと決定された場合には、制御は、もう１つのエラーが発生したかどうかを決定する決定オペレーション５０６に渡される。もし、もう１つのエラーが発生していれば、制御は、オフインジケータ３２を３回点灯させるオペレーション５０８に渡される。制御は、その後、エラーコードをセットし、そしてエラーを処理するオペレーション４９０に制御を渡すオペレーション５１０に渡される。

もし、オペレーション５０６において、エラーが発生していないと決定された場合には、制御は、オンインジケータ３０を２回点灯させるオペレーション５１２に渡される。その後、オペレーション５１４において、セキュアプロセッサ４４から受け取られたアカウントデータがトラック２バッファに置かれる。制御は、その後、アクティブ状態に入るオペレーション５１６に渡される。

図２８は、図２７のオペレーション５１６の例を、より詳しく示している。プロセスは、様々なイベントを検索し、それらを送るオペレーション５１８で始まる。もし、ブリンクタイムアウトが発生した場合には、制御は、選択されたアカウントに係るアカウントインジケータ３６を１回点灯させるオペレーション５２０に渡される。その後、オペレーション５２２において、ブリンクタイムアウトがリセットされ、制御は、オペレーション５１８に戻し渡される。

もし、オペレーション５１８において、アカウントセレクタ３８が選択されたと決定された場合には、制御は、オペレーション５２４に渡される。決定オペレーション５２４において、現在選択されたアカウントに係るアカウントセレクタ３８が選択されたかどうかが決定される。もし、選択されてなければ、制御は、オペレーション５１８に戻し渡される。一方、もし、現在選択されているアカウントに係るアカウントセレクタ３８が選択されていれば、制御は、オンインジケータ３０の電源をオンにするオペレーション５２６に渡される。その後、オペレーション５２８において、トラック２データバッファ、または、マルチプルトラックのデータバッファからのデータが、エンコーダに送られる。その後、オペレーション５３０において、オンインジケータ３０の電源がオフにされる。その後、オペレーション５３２において、タイマーモードがショートにセットされる。

その後、オペレーション５３４において、アクティブ状態のタイマーがリセットされ、制御がオペレーション５１８に戻し渡される。もし、オペレーション５１８において、スワイプセンサが始動させられたと決定された場合には、制御は、上記オペレーション５２６の議論で前述されたように、イベントを処理するオペレーション５２６に渡される。

もし、オペレーション５１８において、アクティブ状態タイムアウトが発生しているか、または、オン／オフボタン２８が開放されたと決定された場合には、制御は、オフインジケータ３２を２回点灯させるオペレーション５３６に渡される。制御は、その後、トラック２データバッファをクリアし、そしてその後、シャットダウン状態に入るオペレーション５４０に制御を渡すオペレーション５３８に渡される。もし、オペレーション５１８において、電源ボタンタイムアウトが発生したと決定された場合には、制御は、オンインジケータ３０とオフインジケータ３２を２回同時に点灯させるオペレーション５４２に渡される。制御は、その後、オペレーション５１８に渡される。

図２９は、図２８のオペレーション５４０の例を、図２５のオペレーション３９６の例と同様に示している。また、「Ａ」のラベルが付けられたプロセスが図３０、図３１で記されている。プロセスは、オペレーション５４４で始まり、制御は、電源の除去のためにゼネラルプロセッサ５２を準備するオペレーション５４６に渡される。その後、オペレーション５４８において、電源がオフとされる。この時点で、プロセスは、オペレーション５５０に入り、ここで、カードは電源が再度導入されるまで、電源が奪われる。このステージについての図が既に議論されたものとして図２３に示される。

図３０は、図２６のオペレーション４２０の例を、より詳しく示している。プロセスは、エラーが発生したときに入れられるオペレーション５５２で始まる。オペレーション５５２は、様々なイベントが発生するのを待ち、それらを適当に送る。もし、アカウントインジケータ３６が押さえると、制御は、押されたことを無視し、パスをオペレーション５５２に戻すように制御するオペレーション５５４に渡される。もし、スワイプセンサが始動させられると、制御は、カードの後ろ１４の様々なＬＥＤの２進法のエラーコードを点灯させるオペレーション５５６に渡される。その後、制御は、ブリンクインターバルタイムアウトをリセットするオペレーション５５８に渡される。制御は、その後、オペレーション５５２に戻し渡される。もし、オペレーション５５２において、オン／オフボタン２８が開放されたと判断された場合、制御は、オフインジケータ３２を２回点灯させるオペレーション５６０に渡される。この時点で、制御は、シャットダウン状態に入るオペレーション５６２に渡される。もし、オペレーション５５２において、エラー状態インターバルタイムアウトが発生したと決定された場合、制御は、オフインジケータ３２を１回点灯させ、制御をオペレーション５６６に渡すオペレーション５６４に渡される。オペレーション５６６において、エラー状態カウンタがインクリメントされ、制御が、エラー状態カウンタが２０に等しいかどうかを決定する決定オペレーション５６８に渡される。もし、等しければ、制御は、シャットダウン状態に入るオペレーション５６２に渡される。もし、オペレーション５６８において、エラー状態カウンタが２０に等しくないと決定された場合には、制御は、ブリンクインターバルタイムアウトをリセットし、制御をオペレーション５５２に戻し渡すオペレーション５７０に渡される。もし、オペレーション５５２において、電源ボタンタイムアウトが発生したと決定された場合には、制御は、オンインジケータ３０とオフインジケータ３２を２回同時に点灯させるオペレーション５７２に渡される。

図３１は、図２６のオペレーション４３８の例を、より詳しく示している。プロセスは、様々なイベントが発生するのを待ち、そしてそれらを適当に送るオペレーション５７４で始まる。もし、状態５７４において、アカウント１に対応するアカウントセレクタ３８が選択されたと決定された場合、アカウント１についてのアカウントインジケータ３６は、アカウント２についてのアカウントインジケータ３６、オンインジケータ３０、オフインジケータ３２とともに同時に点灯させられる。これは、オペレーション５７６により成し遂げられる。もし、オペレーション５７４において、アカウント２についてのアカウントセレクタ３８が選択されたと決定された場合、または左のスワイプセンサ、また右のスワイプセンサが動作させられたと決定された場合、制御は、バージョンナンバを示すためにカードの後ろ１４上の選択されたＬＥＤの電源をオンにするオペレーション５７８に渡される。制御は、その後、テストデータを伴うトラック２を動作させるオペレーション５８０に渡される。この時点で、制御は、全てのＬＥＤの電源をオフにするオペレーション５８２に渡される。その後、オペレーション５８４において、ＢＩＳＴ状態に関係するタイマーがリセットされ、そして、制御オペレーション５７４に戻し渡される。同様に、オペレーション５７６が完了次第、タイマーをリセットするオペレーション５８４に入り、制御は、同様に、その後オペレーション５７４に渡される。

もし、オペレーション５７４においてアカウント３に対応するアカウントセレクタ３８が選択された場合、アカウント２に係るアカウントインジケータ３６は、アカウント３に係るアカウントインジケータ３６、オンインジケータ３０、およびオフインジケータ３２は、ともに全てオペレーション５８６において同時に１回点灯させられる。制御は、その後、前に議論されたものであるタイマーをリセットし、制御をオペレーション５７４に渡すオペレーション５８４に渡される。もし、オペレーション５７４において、ＢＩＳＴタイムアウトが発生し、または、オン／オフボタン２８が開放されたと決定された場合には、制御は、オフインジケータ３２を２回点灯させるオペレーション５８８に渡される。制御は、その後、シャットダウン状態に入るオペレーション５９０に渡される。もし、オペレーション５７４において、オン／オフボタン２８に関係する電源ボタンタイムアウトがあったと決定された場合、制御は、オンインジケータ３０とオフインジケータ３２を２回同時に点灯させるオペレーション５９２に渡される。この時点で、制御は、オペレーション５７４に渡される。

図３２は、ゼネラルプロセッサ５２のデジタル方形波出力をブロードキャスタ６８を駆動するのに必要とされるカスタム波形に変形するのに使用される信号変換についての処理の例を示している。ゼネラルプロセッサ５２のデジタル方形波出力は、出力としてアナログ波形を作り出すバッファリング回路６６のＲＣネットワークを駆動するのに使用される。これは、同様に、磁気ストライプリーダによって受け取られる磁気インパルスを作り出すブロードキャスタ６８を駆動するために使用される。

図３３は、図３のブロードキャスタ６８の例を、より詳しく示している。この実施例において、ブロードキャスタは、標準的な磁気ストライプリーダによって読み取り可能な磁気信号を動的に作り出す。出力波形は、ここにおいてブロードキャスタ６８中で、適合した磁気フラックスリバーサルブロードキャストに変換される。ブロードキャスタ６８は、他の化学的特性と同様にその透磁率によって選ばれた特殊材料のコアを含む。コアは、その電気的および磁気的特性によって選ばれたもう１つの特殊材料で作られたマルチプル波形回路構造のよって囲まれている。キャンセレーションシステム５９４はブロードキャストである磁場の混信を低減させるものとしてここで示される。この実施例の有利な点は、マルチプルトラックが使用されたときに低減された混信である。図３３に示される実施例において、様々なトラックに「１」と「２」のラベルが付けられる。この例は、ブロードキャスタ６８によるブロードキャストであり得る多くのトラックに対する制限と解釈されるべきではない。キャンせられーショントラックには、トラック１と２のそれぞれについてのキャンセラレーションを提供するために、「１’」と「２’」のラベルが付けられる。

図３４は、ブロードキャスタ６８の例によって作られた、エミュレートされた磁気ストライプ信号を記している。図は、磁気ストライプデータを検索し使用するための磁気ストライプリーダ７２に対するブロードキャスタ６８の時間的・空間的な方向性を示している。

図３５は、作り出された波形の例のサンプルを示している。これらの波形の例は、代表的なだけのものであり、ゼネラルプロセッサ５２の方形波出力と、バッファ回路６６のアナログ出力との関係を明らかにする。この実施例において、ＲＣＣＮは、ゼネラルプロセッサ５２からの出力をとり、標準的な磁気ストライプリーダによって読みやすくする磁気ストライプデータを変換するためのコンデンサおよび抵抗を含む集積回路を使用する。

図３６は、後でＡＳＩＣ５９６として参照する特定用途向け集積回路（ＡＳＩＣ）のもう１つの例を示している。ＡＳＩＣ５９６は、ゼネラルプロセッサ５２で使用される。この実施例において、ＡＳＩＣ５９６は、デジタル・アナログコンバータ５９８を含むものとして考えられる。アナログ信号は、Ｆ２Ｆ信号を出力するバッファリング回路６６に出力され、ＲＣネットワークは必要とされない。ある実施例において、ＡＳＩＣは、近似のブロードキャスタを通じずに、デジタル・アナログコンバータを通じて、あるいは、回路を通じて波形整形を生じ得るプロセッサのどちらかを通じて、ブロードキャストを整形するもう１つの手段を使用する。

図３７は、抵抗やコンデンサを含むＲＣネットワークの例を示している。ＲＣネットワークは、統御者によく知られている。ある実施例において、ＲＣネットワークは、エミュレートされまたは模擬の磁気ストライプメッセージを磁気ストライプリーダの読み取りヘッドに送るための近似のブロードキャスタを有効にする。

図３８は、ブロードキャスタ６８の例の波形を示している。図は、波形が検索されることが可能で、しかもファイナンシャルトランザクションを閉じるために使用され得るように、読み取りヘッドに対して適切な時間的・空間的配置におけるブロードキャストを生じるのに必要なタイミングを作り出すためのセンサの役割を示している。

図３９Ａから図３９Ｄは、一方が他方に重なったトラック１とトラック２の両方による波形の例を示している。この波形を作り出すもう１つの手段は、デジタル・アナログプロセッサか、または、図３６として描かれた回路内のキャンセラレーションのいずれかである。

様々な実施例が、明確な用語および装置を用いて記されたが、そのような記載は、例示的な目的のためだけの理由による。記述において使用された語は、限定というよりはむしろ記述の用語である。特許請求の範囲において設定される本発明の本質および範囲から離れることなく、変更および変化が当業者によってなされることが理解される。加えて、様々な他の実施例の態様が全体的または部分的に入れ替えられ得ることが理解されるべきである。それ故、限定あるいは禁反言を除いた発明の本質および範囲に従って、特許請求の範囲が解釈される。

本発明の産業上の利用性は、暗号化プロトコルを実行するセキュアプロセッサと、改良された機能性およびより大きなインプット／アウトプット能力を提供する随伴プロセッサとの結合である。電子トランザクションカード産業に適用されたとき、このセキュアプロセッサと随伴プロセッサとの結合は、レガシーシステムとの互換性を提供しながらも、例えば改良されたスマートカードおよびエミュレータカードの機能性を提供できる。

トランザクションカードの一例の平面図である。 図１のトランザクションカードの底面図である。 図１および図２に示すトランザクションカード用の回路のブロック図である。 図３のセキュアプロセッサの例のブロック図である。 図３のセキュアプロセッサのメインプロセス動作の例のフロー図である。 図５の「スマートカードターミナルの実行」に係るオペレーション１１６の例のフロー図である。 図６の「コマンド処理」に係るオペレーション１１６の例のフロー図である。 図７の「データ取得−シリアルナンバ」に係るオペレーション１３２の例のフロー図である。 図７の「データ取得−キーＩＤ」に係るオペレーション１３４の例のフロー図である。 図７の「チャレンジ取得」に係るオペレーション１３６の例のフロー図である。 図７の「外部認証」に係るオペレーション１３８の例のフロー図である。 図７の「データ取得−パーソナライゼーション」に係るオペレーションの例のフロー図である。 図７の「プットデータ−アップデートＥＥＰＲＯＭファームウェア」に係るオペレーション１４２の例のフロー図である。 図７の「プットデータ−アクティブＥＥＰＲＯＭファームウェア」に係るオペレーション１４４の例のフロー図である。 図７の「プットデータ−ファームウェアのＲＯＭバージョンへのリセット」に係るオペレーション１４６の例のフロー図である。 図７の「データ取得−ＲＯＭファームウェア」に係るオペレーション１４８の例のフロー図である。 図７の「データ取得−ＥＥＰＲＯＭファームウェアバージョン」に係るオペレーション１５０の例のフロー図である。 図７の「プットデータ−ディバースキーの初期化」に係るオペレーション１５２の例のフロー図である。 図７の「プットデータ−パーソナライズ」に係るオペレーション１５４の例のフロー図である。 図７の「プットデータ−有効化」に係るオペレーション１５６の例のフロー図である。 図５の「Ｍ２の実行」に係るオペレーション１１８の例のフロー図である。 図３のより単純化されたゼネラルプロセッサの例のブロック図である。 図３のゼネラルプロセッサのメインプロセスの例を示すフロー図である。 図２３の「ヘルパーチップ状態の初期化」に係るオペレーション３７２の例のフロー図である。 図２４の「メニュー状態」に係るオペレーション３８４の例のフロー図である。 図２５の「スマートチップ状態の初期化」に係るオペレーション４１０の例のフロー図である。 図２５の「スマートチップ状態の初期化」に係るオペレーション４１０の例のフロー図である。 図２６の「データ状態」に係るオペレーション４７６の例のフロー図である。 図２７の「アクティブ状態」に係るオペレーション５１６の例のフロー図である。 図２５のオペレーション３９６の例と同様に、図２８の「シャットダウン状態」に係るオペレーション５４０の例のフロー図である。 図２７の「エラー状態」に係るオペレーション４９０としても参照される図２６の「エラー状態」に係るオペレーション４２０の例のフロー図である。 図２６の「ＢＩＳＴ状態」に係るオペレーション４３８の例のフロー図である。 信号変換のためのプロセスの例に係るブロック図である。 図３のブロードキャスタ６８の例の図である。 ブロードキャスタ６８インターフェースの例の図である。 信号変換の例の種々の波形を示す図である。 ＡＳＩＣの具体例のブロック図である。 ＲＣネットワークバッファリング回路６６の例に係る回路図である。 ＲＣネットワークバッファリング回路６６の例に係る回路図である。 バッファリング回路６６の例によって作り出される波形のグラフである。 バッファリング回路６６の例によって作り出されるデュアルトラック波形のグラフである。 バッファリング回路６６の例によって作り出されるデュアルトラック波形のグラフである。 バッファリング回路６６の例によって作り出されるデュアルトラック波形のグラフである。 バッファリング回路６６の例によって作り出されるデュアルトラック波形のグラフである。

Claims (23)

1. 信号ポート、電源ポート、および接地ポートを有する外部アクセス可能なカードインターフェースが提供されるカードボディと、カードボディによって運ばれるとともに信号ポート、電源ポート、および接地ポートに接続されるセキュアプロセッサとを備える改良されたスマートカードであって、
   カードボディによって運ばれるゼネラルプロセッサであって、電源に接続され、かつ、セキュアプロセッサがスマートカードモードで使用されるときに、電力をセキュアプロセッサに供給しかつセキュアプロセッサと通信するよう動作するゼネラルプロセッサ
   を備えることを特徴とする改良されたスマートカード。
2. カードボディは、プラスチック材料を含み、外部からアクセス可能なカードインターフェースは、コンタクトパッドを含む請求項１に記載の改良されたスマートカード。
3. 外部からアクセス可能なカードインターフェースは、コマンドポートとクロックポートをさらに含む請求項２に記載の改良されたスマートカード。
4. 外部からアクセス可能なカードインターフェースは、ＩＳＯ７８１６インターフェースである請求項２に記載の改良されたスマートカード。
5. セキュアプロセッサは、ＩＳＯ７８１６に従うプロセッサである請求項４に記載の改良されたスマートカード。
6. ゼネラルプロセッサは、ＩＳＯ７８１６に従うカードリーダをエミュレートする請求項５に記載の改良されたスマートカード。
7. ゼネラルプロセッサは、ＩＳＯ７８１６に従うカードリーダの通信とは全く同じではない方法でセキュアプロセッサと通信する請求項５に記載の改良されたスマートカード。
8. ゼネラルプロセッサは、複数のＩ／Ｏポートを備える請求項１に記載の改良されたスマートカード。
9. カードボディによって運ばれるとともにゼネラルプロセッサのＩ／Ｏポートの少なくとも１つと接続されるディスプレイをさらに含む請求項１に記載の改良されたスマートカード。
10. ディスプレイは、視覚的なディスプレイ、触覚的なディスプレイ、聴覚的なディスプレイの少なくとも１つである請求項９に記載の改良されたスマートカード。
11. ディスプレイは視覚的なディスプレイであり、フラットパネルディスプレイとライトディスプレイの少なくとも１つを含む請求項９に記載の改良されたスマートカード。
12. ボディによって運ばれるとともに、ゼネラルプロセッサの複数のＩ／Ｏポートの少なくとも１つに接続される少なくとも１つのスイッチをさらに含む請求項８に記載の改良されたスマートカード。
13. 複数のスイッチはキーパッドとされる請求項１２に記載の改良されたスマートカード。
14. カードボディに運ばれるとともに、ゼネラルプロセッサのＩ／Ｏポートの少なくとも１つに接続されるストライプエミュレータをさらに含む請求項８に記載の改良されたスマートカード。
15. ストライプエミュレータは、電子磁気ブロードキャスタを含む請求項１４に記載の改良されたスマートカード。
16. ストライプエミュレータは、ゼネラルプロセッサのＩ／Ｏポートの少なくとも１つに電子磁気ブロードキャスタを接続する信号プロセッサをさらに含む請求項１５に記載の改良されたスマートカード。
17. カードボディと、カードボディによって運ばれるセキュアプロセッサとを備えるセキュアトランザクションカードにおいて、
    カードボディによって運ばれるストライプエミュレータと、
    カードボディによって運ばれるとともにセキュアプロセッサとストライプエミュレータとの間に介入するゼネラルプロセッサとを備えること
    を特徴とするセキュアトランザクションカード。
18. ゼネラルプロセッサはそれぞれセキュアトランザクションカードに電力を与える請求項１７に記載のセキュアトランザクションカード。
19. セキュアプロセッサは、ＩＳＯ７８１６に従うプロセッサである請求項１８に記載のセキュアトランザクションカード。
20. ボディによって運ばれるとともにゼネラルプロセッサに接続される視覚的なディスプレイをさらに含む請求項１７に記載のセキュアトランザクションカード。
21. 視覚的なディスプレイは、少なくとも１つのフラットパネルディスプレイと少なくとも１つのＬＥＤを含む請求項２０に記載のセキュアトランザクションカード。
22. 信号ポート、電源ポート、接地ポートを有するセキュアプロセッサと、
    信号ポートを経由してセキュアプロセッサに通信しようとするときに、電力と接地のすくなくとも１つを電源ポートと接地ポートのそれぞれに適用することにより、セキュアプロセッサの電源を入れるように動作するゼネラルプロセッサと
    を含む随伴的なプロセッサシステム
23. 所望のトランザクションの始動のゼネラルプロセッサを伴う入力を検索すること、
    ゼネラルプロセッサの指示によりセキュアプロセッサの電源を入れること、
    少なくとも１つのセキュアトランザクションを提供するために、ゼネラルプロセッサとセキュアプロセッサとの間で通信すること
    を含むセキュアトランザクションを提供する方法。

Images