JP2661930B2 - 複数のアプリケーションファイルをもつポータブルデータキャリヤのための装置 - Google Patents
複数のアプリケーションファイルをもつポータブルデータキャリヤのための装置Info
- Publication number
- JP2661930B2 JP2661930B2 JP62502751A JP50275187A JP2661930B2 JP 2661930 B2 JP2661930 B2 JP 2661930B2 JP 62502751 A JP62502751 A JP 62502751A JP 50275187 A JP50275187 A JP 50275187A JP 2661930 B2 JP2661930 B2 JP 2661930B2
- Authority
- JP
- Japan
- Prior art keywords
- data carrier
- file
- portable data
- data
- card
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Classifications
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07F—COIN-FREED OR LIKE APPARATUS
- G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
- G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07F—COIN-FREED OR LIKE APPARATUS
- G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
- G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
- G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
- G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06K—GRAPHICAL DATA READING; PRESENTATION OF DATA; RECORD CARRIERS; HANDLING RECORD CARRIERS
- G06K19/00—Record carriers for use with machines and with at least a part designed to carry digital markings
- G06K19/06—Record carriers for use with machines and with at least a part designed to carry digital markings characterised by the kind of the digital marking, e.g. shape, nature, code
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
- G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
- G06Q20/341—Active cards, i.e. cards including their own processing means, e.g. including an IC or chip
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
- G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
- G06Q20/355—Personalisation of cards for use
- G06Q20/3555—Personalisation of two or more cards
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
- G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
- G06Q20/357—Cards having a plurality of specified features
- G06Q20/3576—Multiple memory zones on card
- G06Q20/35765—Access rights to memory zones
Description
【発明の詳細な説明】
発明の背景
1.技術分野
本発明はポータブル データ キャリヤ、例えば、デ
ータを格納するための電気メモリをもつスマート カー
ド、より詳細には、ポータブル データ キャリヤ内に
含まれるデータを複数のアプリケーションのために格納
するための装置に関する。 2.先行技術の説明 買い物、バンキング及び他のトランザクションにクレ
ジット カードを使用することがますます盛んとなり、
今日の旅行者は現金はあまり持ち歩かない。通常、浮き
彫りされた口座番号及び口座名をもつプラスチック製の
カードは単に銀行あるいはクレジット会社にあるトラン
ザクションの請求先となるべき許可された口座を同定す
る機能のみをもつ。幾つかのカードの裏面の磁気ストリ
ップはこれと同じ情報をもつが、トランザクションをス
ピード化できるように機械的に読出しができるようにな
っている。全ての勘定情報は銀行あるいはクレジット会
社に格納され、個々の口座に対して別個のカードが必要
とされる。 多くの消費者は店頭での日常の取り引きを簡単にすま
せるために複数のカードを持ち歩く。クレジット カー
ドはそれ自体は軽く、コンパクトで、便利である。ただ
し、これも６枚、７枚と複数になると、結構かさばり、
ポケットや財布等に入れるにしても不便である。顧客が
１枚のカードのみですまされるように、各種の複数会社
クレジット カード システムが堤案され使用されてい
る。このようなカードの１つにおいては、財布に入れる
のに適当なサイズの主カードが個々のクレジット カー
ド ユーザに発行される。この主カードは許可されたユ
ーザを同定するためのディスプレイあるいは他の手段、
及びどの会社がユーザ クレジットを提供したかを決定
するためのディスプレイ手段あるいはマイクロ回路を含
む。 このような装置（カード）は潜在的なクレジット提供
者の数が少なく、従って、主カード上に十分なスペース
が確保できるうちは満足できるが、この複数会社クレジ
ット カード上に保持及び更新されるべきクレジット提
供者の数及び口座数が非常に多くなるような用途におい
ては不十分なものとなる。顧客のクレジット提供者の全
てを単一のカードに結合することが可能であることを平
均的なユーザでも知るようになった現在、ユーザが１枚
のカード上に全ての口座のバランス、全ての口座のクレ
ジット限度、及びその他の個人的なデータ、例えば、洋
服を買うときのための家族のサイズ、電話番号などを含
むことを要求するであろうことは容易に想像できる。個
々の口座に対してカード用に専用の同定指標を与える必
要性、あるいは個々の口座に対して専用の回路あるいは
顧客ソフトウェアを提供する必要性からこのタイプのカ
ードに含むことができる口座の数が極端に制約される。 発明の要約 本発明によると、標準のプラスチック製クレジットカ
ードと同一サイズのポータブル データ キャリヤある
いはスマート カードが顧客レパートリー ダイアリイ
グから個人的な医療及び／あるいはバンキング レコー
ドの記録に至るまでのさまざまな用途に使用される。こ
のカードは、外観は従来のクレジット カードのように
見えるが、コンピュータ、電気的に消去が可能な読出し
専用メモリ（EEPROM）、及び関連するステーションの所
に設置されるカード読出し／書込み装置からのパワー及
びタイミング信号の組合せを受信するための回路を含
む。これら回路要素及び回路はまたカードと関連するス
テーションとの間で読出し／書込み装置を介してデータ
を送信する。 顧客の個人的な情報がカード上のEEPROM内の複数のフ
ァイル内に存在する。ステーション内に常駐する適当な
アプリケーション ソフトウェアが適当なパスワードを
与えられると、これらファイルの検索及び修正を行な
う。カードに対する保安がカードと関連するステーショ
ンとの間の相互作用の個々の指定レベルに対するアクセ
スを得るために別個のパスワードを要求することによっ
て確保される。保安はカードがある指定のファイルにア
クセスする場合はオプションのパスワードによってユー
ザ自身を同定することを要求することからさらに強化さ
れる。また、不正ログインの試みが所定の回数に制限さ
れ、これを超えた場合は、カードがロックされ、そのロ
グイン レベルでのそれ以上のカードとステーション間
の相互作用が阻止される。 複数のファイルの個々は、カード上にそれ自体の資格
（ファイル保安）をもつため、これらファイル内に衝突
あるいは混乱を起こすことなく、複数のアプリケーショ
ンあるいは別個の口座が存在する。ユーザは全て同一の
カード上に、10個を超える別個の貸方あるいは借方勘
定、電子チェックブック、さらにはユーザのアパートあ
るいは家にアクセスするための保安パスを記録すること
ができる。カード上に許されるファイルの最大数はカー
ド上で使用できるメモリ容量によってのみ制約される。 カードはセットのオペレーティング システム命令プ
リミティブを介してアクセスされる管理オペレーティン
グ システムを実行する。これら命令プリミティブはカ
ードの保安を確保するために課せられた規則に従ってカ
ード ファイル システムを操作する。管理オペレーテ
ィング システムの使用は侵入者が本発明のカード内の
データベースにアクセスすることを阻止する。これに加
え、特に機密性の高い用途に対しては、データがカード
に供給されると同時にこれを暗号化することができる。 カード上のファイル システムは、２つの領域、つま
り、管理部分である見出し及びアプリケーション ファ
イルを含むデータ部分にセグメント化される。 高い保安度をもつこの見出しはカード番号、異なるロ
グイン レベルに対するパスワード、個々のレベルに対
して連続的に試みられた不成功ログイン回数、及びカー
ド内の記憶ために使用されているメモリのサイズなどに
関する情報を含む。通常のユーザが見出しセクションに
直接アクセスすることはできない。 カードのデータ セグメントは固定レコードに分割さ
れる。データを含む個々のレコードは特定のファイルに
指定される。特定のファイルの同定はそのファイル同定
番号に指定された個々のレコードの最初のバイトによっ
て行なわれる。 カード オペレーティング システムによってファイ
ルが走査される場合、ファイル同定番号とともに位置さ
せる最初のレコードがそのファイル内の第１のレコード
であり、そのファイル同定番号とともに最後に位置され
るレコードがそのファイル内の最後のレコードである。
カード オペレーティング システムはファイルのこれ
らレコードを特定のファイル内でそれが遭遇されたとき
に読む。ファイルからのデータを受信及び翻訳するステ
ーション アプリケーション ソフトウェアはアクセス
されているアプリケーションと関連するバイトの一連の
流れのみを見る。従って、特定の用途のユーザにカード
内の他のアプリケーションに関する、あるいはカード内
部のファイル構造に関する情報が漏れることはない。 本発明及び本発明の動作モードは以下の詳細な説明を
付随の図面とともに読むことによって一層明白となるも
のである。 図面の簡単な説明 第１図はポータブル データ キャリヤ システムの
主な機能要素及びこれらの相互接続を示す機能ブロック
図であり； 第２図は第１図のシステム内に使用されるポータブル
データ キャリヤのアクセス可能な６つの保安レベル
を示すテーブルであり； 第３図はポータブル データ キャリヤ内に含まれる
データのための２つの領域、つまり、見出し領域及びデ
ータ領域にセグメント化されたファイル システムを示
し； 第４図はポータブル データ キャリヤ システムの
データ セグメント領域内に位置する個々のファイルの
３つのセクションを示し； 第５図はオプションのファイルごとのパスワード及び
追加専用機能を採用する通常保安クラス レベル（Norm
al Security Class Levels）の階層構造を示し； 第６図はポータブル データ キャリヤ上のオペレー
ティング システムと通信するために使用される命令プ
リミティブを示すテーブルであり； 第７図はポータブル データ キャリヤへの許可され
ないアクセスの防止を助けるログイン シーケンスを図
解する流れ図であり； 第８図はこのシステムに使用されるプロトコールにて
動作するように設計されたポータブルデータ キャリヤ
システムのソフトウェア階層を示し； 第９図はポータブル キャリヤ システムの主なサブ
システム間の通信に使用するのに適するメッセージ フ
ォーマットを示し； 第10図はアプリケーション ステーションの半二重プ
ロトコールでの動作に対するリンク層意志決定プロセス
を図解する流れ図であり；そして 第11図は読出し／書込み装置及びポータブル データ
キャリヤの両方の半二重プロトコールでの動作に対す
るリンク層意志決定プロセスを図解する流れ図である。 全図面を通じて、同一要素は同一番号にて示される。 詳細な説明 第１図にはポータブル データ キャリヤ（Portable
data carrier,PDC）システムがわかり易くするために
３つのサブシステムに分割して示される。第１のサブシ
ステムはデータ キャリヤあるいはカード10であり、こ
れはユーザのために情報を格納及び更新する能力をもつ
メモリを含む。第２のサブシステムはカード読出／書込
み装置15であり、これはカードを第３のサブシステムで
あるステーション18にリンクする。この最後のサブシス
テムは適当に構成されたアプリケーション ステーショ
ンであり、これはカード内のメモリにアクセスするため
に必要なアプリケーション ソフトウェアを実行するコ
ンピュータあるいは専用ワークステーションから成る。
アプリケーション ソフトウェアはこのステーション内
に常駐し、カード10のメモリ内に格納された情報の検索
及び修正を遂行する。 カード10はセットのオペレーティング システム命令
プリミティブを介してアクセスされる監視オペレーティ
ング システムを実行する。これら命令プリミティブは
カード保全に要求される規則に従ってカード上のファイ
ル システムを操作する。 カード10内に位置する主要な要素には、マイクロコン
ピュータ110、電気的に消去可能なプログラマブルメモ
リ（electrical erasable programmable read−only me
mory EEPROM）115、アナログ インタフェース回路13
0、トランスフォーマ120の二次巻線121、及び容量性プ
レート125から128が含まれる。 マイクロコンピュータ110は中央処理ユニット及びラ
ンダム アクセス メモリ及び読出し専用メモリの形式
のメモリ ユニットを含む。その内部読出し専用メモリ
によって提供されるファームウェアの制御下にて動作
し、マイクロコンピュータ110はEEPROM115に直接に送ら
れ、また読出し／書込み装置15を介してステーション18
に送られるデータをフォーマット化する。EEPROMの全体
あるいはこの一部はコンピュータの一部として統合する
ことも、あるいは別個の要素とすることもできる。マイ
クロコンピュータ110はまた読出し／書込みユニット15
を通じてステーション18から受信される命令プリミティ
ブを翻訳する。 カード10内にEEPROM115を使用することによって、許
可されたユーザは必要であればカードのメモリ セクシ
ョン内の幾つかのアプリケーション ファイルを新たな
異なるデータにて再プログラムする能力をもつ。データ
は動作パワーが加えられている間にEEPROMに書き込むあ
るいはこれから読出しないし消化することが可能であ
る。動作パワーが除去されると、EEPROM内のデータに加
えられた全ての修正はそのままとなり、カード10に再び
パワーが加えられるたびに検索が可能である。 アナログ インタフェース回路130はメモリ カード1
0を読出し／書込み装置15にインタフェースするための
手段を提供する。このインタフェースは読出し／書込み
装置15から結合された磁気エネルギーからの動作パワー
のカード10への供給、及び読出し／書込み装置15とカー
ド10内のマイクロコンピュータ110の間のデータの結合
を含む複数の機能を遂行する。カード10を動作するため
のパワーはアナログ インタフェース回路130にトラン
スフォーマ120の二次巻線121によって提供される誘導性
インタフェースを介して提供される。このトランスフォ
ーマはカード10内のこの二次巻線が読出し／書込み装置
15内の一次巻線122にはめ込まれたとき形成される。ス
テーション18は読出し／書込み装置15及びカード10の両
方の動作のためのパワー源を提供する。 トランスフォーマ120はトランスフォーマの一次巻線1
22と二次巻線121の間の結合を増加させるために読出し
／書込み装置内にフェライト コア123を含む。さらに
結合効率を向上させるためにトランスフォーマ120内に
第２のフェライト コア120を含め、カード内の二次巻
線121と関連させることもできる。豊富なパワーがあ
り、効率も問題とならないようなケースでは、これらコ
アの片方あるいは両方を省くことができる。 カード10へのデータの受信あるいはこれからの伝送は
アナログ インタフェース130に接続された容量性イン
タフェースによって提供される。この容量性インタフェ
ースはカード10上の電極あるいはプレート125から128が
読出し／書込み装置15内の対応する電極あるいはプレー
ト155にはめ込まれたとき形成される４つのコンデンサ
から成る。これらコンデンサの中の２つは読出し／書込
み装置15からカード10にデータを伝送するために使用さ
れ、残りの２つはカード10から読出し／書込み装置15に
データを伝送するために使用される。誘導性インタフェ
ースと容量性インタフェースの組合せは読出し／書込み
装置15とメモリ カード10との間に完全な通信インタフ
ェースを提供する。 読出し／書込み装置15内の幾つかの要素の編成はカー
ド10内の要素と機能的にミラー関係にある。これら要素
には、例えば、アナログ インタフェース回路140とマ
イクロコンピュータ150がある。これに加えて、読出し
／書込み装置15はパワー源162及び入力／出力インタフ
ェース160を含む。パワー源162はカード10にパワーを提
供するため、及び読出し／書込み装置15からのクロック
信号をトランスフォーマ120を通じてカード10に結合す
るために使用される。入力／出力インタフェース160は
原理的には普遍非同期受信機送信機（universal asynch
ronous receiver transmitter,UART）であり、マイクロ
コンピュータ150内に含まれる。このUARTはアプリケー
ション ステーション18と通信する。このアプリケーシ
ョン ステーション18はオフィス編集ステーション、工
場編集ステーション、発行人編集ステーション、公衆電
話ステーション、あるいは他の適当に構成されたステー
ションであり得る。 PDCシステムに対する保安問題は２つの大きな領域に
分けられる。第１の領域は同定及び認証の問題であり、
ステーションが（１）認証されたカードと通信すること
及び（２）カード上の認証されたアプリケーション フ
ァイルと通信することの両方を保証することに関する。
第２の領域はカード上のファイルへのアクセスの制御及
びステーションの所のアプリケーションによるカード命
令の実行の制限に関する。ここで、アプリケーションと
は、カード上の特定のファイル内の特定のデータにアク
セスする勘定等である。 適当な認証手順なしには、システム詐欺の意図をもつ
者がステーションの所のプロトコールをシュミレート
し、PDCシステムに関する情報を得る恐れがある。 ステーションが認証カード上の認証ファイルと通信す
ることを保証することは、個々のカードに一意の番号を
割り当て、この番号あるいは番号のサブセットをステー
ション内に常駐する隠されたアプリケーション パスワ
ードとともに使用することによって達成される。これら
番号がアルゴリズム的に操作され、認証コードが生成さ
れ、これが生成時にカード上のアプリケーション ファ
イル内に格納される。その後のトランザクションの際
に、このコードがステーションによって独自に生成され
た類似のコードと比較される。 カード ファイル システム及びカード命令に対する
保安を提供し、しかも異なるタイプのアプリケーション
を扱うためのフレキシビリティを確保するために、カー
ドは６つの異なる保安レベルを採用する。これら保安レ
ベルはカードが２つのタイプの資源、つまり、カード
ファイル システム及びカード命令を保護する。これら
資源へのアクセスは認可されたログイン レベル、要求
された命令、アクセスされるべきファイル、及びカード
のオーナによって課せられる追加の制約の関数である。 第２図にはこれら６つのログイン保安レベルが示され
る。最初の４つの低いレベルは通常保安クラス（Normal
Security Class）のカテゴリーにおかれ、公衆環境内
の使用に供せられる。この階層的保安レベルの最初の最
も低いレベルは一般情報のためのPUBLIC（公衆）ログイ
ン レベルであり、アクセスのためのパスワードを必要
としない。医療情報及び保険番号あるいは図書カード情
報などがこのレベルに含まれる公衆データの例である。
カードがパワーアップにおいて初期化あるいはステーシ
ョンの所でリセットされると、これはPUBLICログイン
レベルとなる。 第２のレベルはUSER（ユーザ）レベルであり、アクセ
スのためにユーザ パスワードを必要とする。ユーザは
このレベルに貸借勘定を含めることができる。第３のレ
ベルはSUB ISSUER（下位発行人）レベルである。この
レベルもアクセスに対するパスワードを必要とし、これ
は通常、MASTER ISSUER（上位発行人）あるいはカード
の所有者によって許可されたアプリケーションで使用さ
れる。 保安の第４のレベルは、MASTER ISSUERによって維持
されるレベルである。カードはこのレベルでフォーマッ
ト化され、ここから発行される。これらレベルがいかに
使用されるかの例として、銀行は貸し方あるいは借り方
勘定を含むカードを発行する。この銀行はこのカードの
使用を小売り業者に許可し、小売り業者はこのカード上
に小売り業者自身の貸し方あるいは借り方勘定を作成す
る。この例では銀行がMASTER ISSUER（上位発行人）で
あり、小売り業者がSUB ISSUERS（下位発行人）であ
る。カード保有者は、勿論、USER（ユーザ）である。こ
の例では、個々の勘定はカード上の別個のファイルによ
って扱われ、特定のファイルに対して正規の資格をもつ
者あるいはプログラムのみが適当なアプリケーション
ステーションにてそのファイルにアクセスすることがで
きる。 ２つの上層保安レベル、DEVELOPER（開発者）及びSUP
ER USER（スーパー ユーザ）は延長保安クラス（Exte
nded Security Class）カテゴリーにおかれるが、この
カテゴリーは通常保安クラス（Normal Security Clas
s）カテゴリー内のレベルには供されない命令の使用を
可能とする。 第５のレベル、つまり、SUPER USER（スーパー ユ
ーザ）レベルはブランク カードの製造、テスト、初期
化を行ない、この保安が確保され、不正カードが使用で
きないようにするための製造レベルである。 最後に、第６番目の最も高いレベルは、カードの開発
者レベルである。SUPER USER及びDEVELOPER保安レベル
は両方とも後に詳細に説明されるカード システム見出
しを含むカード ファイル システムの全内容にアクセ
スする能力をもつレベルである。 個々が固有の資格をもつ複数のファイルがカード上に
存在するため、複数のアプリケーションがこれら別個の
ファイル内に衝突あるいは混乱することなく別個に存在
できう。全て同一カード上に10個あるいはそれ以上の別
個の貸し方あるいは借り方勘定、電子チェックブック、
及びユーザのアパートにアクセスするための保安パスを
もつユーザを容易に想像することができる。発行者並び
にユーザは、カードが公衆レベル以外で許される以外の
ファイルにアクセスするためにはパスワードによってユ
ーザ自身を同定することを必要とするため、カードが不
正に使用される不安をもつ心配はない。 第３図には２つの領域、つまり、管理部分である見出
し、及びアプリケーション ファイルを含むデータ部分
にセグメント化されたカード ファイル システムが示
される。 保安見出し35はカード番号、個々のログイン レベル
に対するパスワード、個々のレベルに対する不成功パス
ワード試行の回数、ログイン レベルがブロックされて
いることを示すロック バイト、データベース内の固定
レコードのサイズ、EEPROM115のキロバイト単位のメモ
リ サイズ等の情報が含まれる。見出しセクションへの
直接アクセスは２つの最も高い保安レベルでのみ可能で
ある。 カードのデータ セグメント30は、MASTER ISSUERに
よってセットされるｎバイトの長さの固定レコードに分
割される。個々の使用レコード31,32,33が特定のファイ
ルに割り当てられる。特定のファイルの同定はそのファ
イルの同定番号に割り当てられた個々のレコードの最初
のバイトによって行なわれる。 カードはファイル ダイレクトリー（Directory）を
持たず、同一ファイルの異なるレコード間にポインタは
存在しない。ファイル データの順番は一連（contiquo
us）のレコードによるのでなく、線形順序によって示さ
れる。カードのオペレーティング システムはEEPROM内
のアドレスを最低から最高アドレスに向けて走査する。
特定のファイル同定番号とともに位置された第１のレコ
ードがそのファイル内の第１のレコードであり、そのフ
ァイルの同定番号とともに位置される最後のレコードが
そのファイル内の最後のレコードである。カード オペ
レーティング システムはファイルのレコードを特定の
ファイル内の個々のレコードに出会ったとき読み出す。
カード上に許されるファイルの最大サイズ及び数はEEPR
OMのメモリのサイズによってのみ制限される。ファイル
を読むステーション アプケーション ソフトウェアは
カードの内部ファイル構造とは独立した一連のバイト流
のみを見る。 第４図にはカード ファイル システムのデータ セ
グメント領域内の個々のファイルの３つのセクションが
より詳細に示される。個々のファイルの第１のレコード
内に位置する接頭セクション41は、ファイル同定番号42
及び保護バイト43,44及び45を含む。ファイル同定番号
は１と16進FEの間の番号である。16進番号00と16進番号
FFはそれぞれ未使用のレコード及びEEPROM内の使用可能
なメモリの終端を示すために予約される。 保護バイト43から45はファイル許可を指定する。第１
のバイト43は読出し許可を表わし、そのファイルの読み
出しができる最低レベルを指定する。第２のバイト44は
読出し／書込み許可を表わしそのファイルに読出し及び
書込みの両方が可能な最低レベルを指定する。 従って、あるファイルに対する読出し許可をあるファ
イルに対する読出し／書込み許可から分離することがで
きる。読出しアクセスに対して読出し／書込みアクセス
に異なる保安レベルを指定することもできる。例えば、
あるファイルに対する読出し許可をPUBLICレベルに指定
し公衆情報に対する公衆アクセスを許し、一方で、書込
み許可をUSERレベルに指定し、ユーザの同意なしには、
ファイルへの書き込みを禁止することができる。 第５図にはオプションのパスワード及び追加専用機能
を使用する通常保安クラス（Normal Security Class）
レベルの階層構造が示される。カード使用のフレキシビ
リティを増加させるために、カード上の個々のファイル
はその保護バイトの中に特定のファイルにアクセスが許
される前にオプションのパスワードを提供すべき要件を
含む。これはユーザがあるレベルに保護されたファイル
に対するアクセスを得るためにはカードのオペレーティ
ング システムによって要求される保安レベルでなくて
はならないという要件に追加する要件である。一例とし
て、ユーザに対するオプションの書込みパスワードを含
む書込み／読出し許可をもつファイルは、（１）ユーザ
レベルでカードにログインすること、及び（２）その
ファイルを読み出すためにファイルを開くことを要求す
る。ただし、このファイルに書き込むためには、ユーザ
は（１）ユーザ レベルにてカードにログインするこ
と、及び（２）オプションのパスワードを提供して“書
込み”のためにファイルを開くことを要求される。これ
はファイルのアクセス許可が要求するより高いレベルで
ログインする者には適用しない。この高いレベルにてロ
グインする者は指定の保安レベルにてオプションのパス
ワードが要求される場合でもそのファイルに対するアク
セスを得ることができる。 通常保安クラス（Normal Security Class）レベルの
階層構造は、MASTER ISSUERがそのレベル及びそのレベ
ル以下の全てでファイルを読出し及び書込みでき;SUB
ISSUERがそのレベル及びそのレベル以下の全てでファイ
ルを読出し及び書込みできるような構造をもつ。同様
に、カード保有者はそのレベルであるいは公衆レベルに
て全てのファイルを読出し及び書込みできる。 それが適当であるアプリケーションにおいては、第４
図の保護バイト45をセットし、ユーザがファイルにデー
タを追加することのみを許し、現存するデータの消去は
許さない“追加専用（append−only）”モードを実現す
ることができる。適当なアプリケーション ファイルを
反映するレコードがこのデータが入力されしだい格納さ
れるように生成される。つまり、あるファイルを読出し
／追加許可として、あるいは読出し／書込み許可として
指定することができる。 ファイルの情報セクション46はそのファイルの個々の
レコード内に位置する実際のデータを含む。そして最後
のレコードＮの最後のバイト48内の番号Ｍを有する接尾
セクション47はその最後のレコード内のアプリケーショ
ン データ バイトの数を示す。 カード上の管理オペレーティング システムは第６図
に示される一般的に理解されている命令プリミティブの
使用を通じて通常保安クラス（Normal Security Clas
s）レベルによってアクセスされる。これら命令プリミ
ティブはカードに対する保安アクセス、ファイルの生成
及びアクセスを制御し、また、管理及びテスト動作を制
御する。SUPER USERあるいはDEVELOPERログイン レベ
ルに対して追加の命令プリミティブが使用できる。 これら命令プリミティブの動作は“ログイン”命令の
動作の説明を通じて解説できる。カードにログインする
ためには、ユーザはログイン レベル及びパスワードを
指定することが要求される。このパスワードは内部的に
カードによってそのカード見出し内の同一ログイン レ
ベルの対応するパスワードに対してアルゴリズム的にチ
ェックされる。もし、カードユーザがアクセスを得よう
とするファイルによって要求されるログイン レベルよ
り低いログイン レベルでアクセスを試みている場合、
読出しあるいは読出し／書込みのいずれかのためにその
ファイルを開く許可は拒否される。 個々の保安レベルに対するパスワードはカードが製造
されるときにカードの見出し内におかれる。パスワード
命令はロッグ オンされた保安レベルのユーザがそのレ
ベルあるいはそれ以下のレベルのパスワードを変更する
ことを許す。従って、パスワードが損失あるいは忘れた
場合は、これはより高い保安レベルにてカードにログイ
ンし、パスワード命令を使用して書き換えることができ
る。このため、失われたパスワードを回復する必要はな
い。 １つの保安レベルで許される連続の不成功“ログイ
ン”試行回数は所定の回数に制限される。この回数を超
えると、カードそはの保安レベルをロックする、あるい
はカードの全てのデータベースを消去するように構成さ
れる。カードがロックするように構成された場合は、ロ
ックされたレベル以上のレベルはこれをアンロックする
ことができる。これによりカードの保守をロックされた
レベルより上の最低レベルに任すことが可能となる。失
敗の回数はEEPROMの見出し部分内の適当な“パスワード
失敗カウンタ（password failure counter）”内に記録
される。 オプションのパスワードを要求するファイルを保護す
ることも可能である。ファイルはカードと同一の方法で
必要であればそのファイルの保護バイト内にそのファイ
ルを消去するためのビットをセットすることによって個
別に保護することもできる。こうして、オプションのパ
スワードを要求するファイルを開くことを試みている者
は、所定の回数の試みのみが許され、これを超えた場合
は、カードのロックされたそのファイル内のデータの消
去が起こる。 第７図にはカード上のオペレーティング システムの
カードへの許可されないログインを防止するための部分
の流れ図が示される。ログイン命令がアクセスされるた
びに、パスワード失敗カウンタがパスワード失敗を反映
するように更新される。次に、与えられたパスワードが
カード見出し内のパスワードに対してチェックされる。
正しいパスワードが与えられた場合は、パスワード カ
ウンタが消去される。この機能は不成功のログイン試行
の後に失敗カウンタが失敗を反映するように更新される
前にカードからパワーを除去する装置を使用してのパス
ワードに対する巧妙な挑戦に対する保護を提供する。 アプリケーション ソフトウェアの関係を助けるため
に、高レベル ソフトウェア ライブラリがステーショ
ンと読出し／書込み装置並びにステーションとカードの
間の全ての相互作用を支援するために生成される。結果
として、アプリケーション プログラマはめんどうなカ
ード内部あるいは通信プロトコールの詳細にかかわる必
要はない。プログラマのコードはライブラリと直接にイ
ンタフェースし、ライブラリがカードとインタフェース
する。 ライブラリは４つのセクション、つまり、第６図に示
されるようなカード命令の直接マッピングを提供するた
めのカード ライブラリ セクション、読出し／書込み
命令の直接マッピングを提供するための読出し／書込み
ライブラリ セクション、カード及び／あるいは読出し
／書込み命令を含む命令ライブラリ セクション、及び
ステーション上に位置する共通制御機能を含む制御セク
ションに分割される。これら機能はポート及び論理デバ
イスの初期化、終端及び制御の詳細を含む。従って、こ
のライブラリはソウトウェア インタフェースとして機
能し、典型的なコンピュータ プロトコールと非常に類
似するデバイス及びファイルにアクセスする方法を提供
し、アプリケーション プログラマの負担を軽減する。 カードのオペレーティング システムは、レコードの
割り当て、レコードの解放及び不用部分の整理機能が提
供される。情報がファイルから削除されると、カードは
解放されたレコードを使用可能なレコードのプールに戻
し、不用部分の整理を遂行することによって使用レコー
ドを線形順序に並べる。この不用部分の整理を通じて、
カード上の全ての未使用のレコードがカード メモリの
終端に集められる。必要に応じて、追加レコードの割り
当てが、書込みがファイルの最後のレコードを越えたと
き自動的に遂行される。使用可能なレコードを常にカー
ドの端に維持することによって、ファイルに対する新た
なレコードが常にファイルの前に端を過ぎて割り当てら
れ、これにより個々のファイルのレコードの線形順序が
保持される。 レコードの割り当て及び解放に関する情報はステーシ
ョンの所のアプリケーションには提供されない。アプリ
ケーションは実現の詳細を認識することなく単に一連の
データをみるだけであるため保安が向上される。また、
原始フォーマットのアプリケーション ファイルへの直
接アクセスも通常保安クラス（Normal Security Clas
s）レベル内に発見される命令へのアクセスをもつユー
ザに許されない。全カードへのアクセスは、延長保安ク
ラス（Extended Security Class）レベル内に発見され
る命令へのアクセスを持つユーザにのみ許され、これに
よりカードの製造及びテストの時の厳密が保持される。 第８図にはPDCシステムの通信プロトコール内での動
作のために配列されたソフトウェア階層が示される。ス
テーション18内のアプリケーション層181はカード10と
インタフェースし、また端末187の所のユーザと端末イ
ンタフェース182を通じてインタフェースし、さらにデ
ータベース インタフェース184を通じてオプションの
データベースとインタフェースする。カード10へのアク
セスを簡素化するために、アプリケーション層180は上
に説明のライブラリ層185とインタフェースする。一
方、ライブラリ層は読出し／書込み装置15とカード10と
の実際のトランザクションを扱うリンク層186とインタ
フェースする。 ステーション18は直列ポートを通じて読出し／書込み
装置15に接続されるが、これはカード10並びに読出し／
書込み装置15と直接に通信する。カードに向けられた全
てのメッセージは、従って、透明的に読出し／書込み装
置15を通じてカード10に送られる。宛先アドレスはメッ
セージのプリアンブル セクション内に発見される。本
発明に使用が適当なメッセージ フォーマットが第９図
に示されるが、これに関しては後に詳細に説明される。 読出し／書込み装置15及びカード10は両方ともデータ
リンク層186のステーションとの交信に同一の半二重
通信プロトコールを用いる。カード10は完全で受動であ
り、ステーション18との間のトランザクションを先導す
ることはできない。読出し／書込み装置15は、ステーシ
ョンにこれらの間を直列ポート内のキャリヤ検出リード
を介して“アテンション”信号を送ることができる点で
のみカード10と異なる。ステーション18はそのとき処理
している現在のトランザクションが完了した後にこの
“アテンション”信号に応答する。ステーションは次に
読出し／書込み装置15を尋問して、“アテンション”信
号の理由を決定する。読出し／書込み装置15がこのアテ
ンション信号を送る状況の一例として、カード10が読出
し／書込み装置15上の収容スロット（図示なし）内に挿
入され、ステーション18と通信できる位置にあるときこ
の信号が送られる。第２の例としては、カード10が読出
し／書込み装置15内のスロットから外されたときこの信
号が送られる。 読出し／書込みは２つの層、つまり、リンク層151及
び命令層152をもつ。リンク層151はステーション18とカ
ード10との間の透明媒体であり、この間で命令あるいは
応答を運ぶ。読出し／書込み装置15内のリンク層151
は、必要であれば、緩衝動作及びボー速度変換を提供す
る。カード10と読出し／書込み装置15の間の伝送速度は
19200ボーに保持される。ステーション18と読出し／書
込み装置15の間のボー速度が読出し／書込み装置15とカ
ード10の間のボー速度より遅い場合は、読出し／書込み
装置15はボー速度変換を行ない、メッセージをブロック
の一連のデータとして送ることができるように緩衝す
る。読出し／書込み装置内の第２のの層は命令層であ
る。この層は読出し／書込み装置内にあり、ステーショ
ン18から読出し／書込み装置に特にアドレスされた命令
に応答する。 プロトコール内のデータは通信リンクを通じてシリア
ルに１文字ずつ送られる。文字が１つの開始ビット及び
１つの停止ビットにてフレーム化される。文字の一連の
ブロックのメッセージが半二重プロトコールの制約内で
任意の時間に送られる。ステーション18と読出し／書込
み装置15あるいはカード10は所定のメッセージ パケッ
トにて情報を交換する。パケットは、パケット内のどこ
でデータが開始及び終端するかに関する制御情報及びメ
ッセージ データの保全性をチェックする情報を含む。 第９図には第８図との関連でより詳細に本発明の使用
に適当なメッセージ フォーマットが示される。ここ
で、ステーション18は読出し／書込み装置15あるいはカ
ード10にアドレスする。メッセージ フォーマットは読
出し／書込み装置15あるいはカード10をアドレスするた
めのプリアンブル91及びメッセージの開始をマークする
ためのフレーム開始制御シーケンス92（DLESTX）を含
む。メッセージ フォーマット内の次の欄はリンク状態
93であるが、これはメッセージの肯定応答（ACK）が送
信されたか否定応答（NAK）が送信されたかを示す情
報、伝送の際にエラーが発生したか否かを示す情報、及
び現在のメッセージの番号（タグ）を含む。個々のメッ
セージには番号が割り当てられる。メッセージ フォー
マットにはリンク状態バイト内の３つの最下位ビットを
使用するモジュラス８スキーム（modulus 8 scheme）が
使用される。 命令の次の欄はデータ欄94であり、これは伝送された
データ及びこれに続くメッセージの終端をマークするフ
レーム終端制御シーケンス95（DLE ETX）を含む。最後
に、２バイト チェックサムが96がJ.G.フレッチャー
（J.G.Fletcher）によってIEEEトランザクション オン
コミュニケーション（IEEE Transactions on Communi
cations）、Vol.Com−30、1982年１月、ページ247−252
に掲載の論文［シリアル伝送のための算術チェックサム
（An Arithmetic Checsum for Serial Transmission
s）］において説明のアルゴリズムを使用して生成され
る。 読出し／書込み装置15あるいはカード10からステーシ
ョン18に戻されるメッセージ パケット応答はステーシ
ョンによって生成されるメッセージ パケットと同一で
ある。第９図に示されるメッセージ フォーマットは、
従って、全てのサブシステム間の通信に適用する。ステ
ーション18から送信されるメッセージのプリアンブルは
８バイトから成る。メッセージはこれら連続プリアンブ
ル文字の少なくとも３つがそれとの通信を試しているサ
ブシステムによって検出されたときステーション18によ
って正しく受信されたものとみなされる。 読出し／書込み装置15あるいはカード10との通信を実
現するためには、ステーション18は“リンク リセット
（link reset）”メッセージを送る。通信はステーショ
ンがNAKを受信したとき、あるいは応答が受信される前
に所定の時間が経過したとき失敗する。 読出し／書込み装置15との通信がいったん確立される
と、読出し／書込み装置はステーション18にカード10が
挿入されたこと、あるいは既に挿入されていることを通
知する。カード10が挿入されると、読出し／書込み装置
15はステーション18に“アテンション”信号を送る。ス
テーションが挿入されたカードが、例えば、磁気ストラ
イプのみをもつカードではなく、スマート カードであ
ることを決定すると、ステーションはカードを初期化す
るためにカードにリンク リセット メッセージを送
る。いったん初期化されると、カードはステーション18
内のアプリケーション層181からの命令をまつ。要求が
受信されると、これはカード10内の命令層101によって
処理され、応答がステーション18に戻される。この間、
カード10は次の命令を待つ。ステーション18はどのサブ
システムにアドレスし、どのメッセージを送るべきか、
つまり、リンク リセット メッセージを送るべきか、
命令を送るべきかを任意に選択できる。 第10図はステーション18に対するリンク層意志決定プ
ロセスを図解する流れ図である。通常のトランザクショ
ンの際の読出し／書込み装置15あるいはカード10との通
信において、ステーション18はメッセージを送信し、タ
イマをセットする。次に、ステーションがそれが通信を
試みているサブシステムからの応答を受信するか、所定
の時間がきれる。ステーションへのメッセージ応答内の
リンク状態バイトがACKを含む場合は、これはトランザ
クションが成功のうちに完了したことを示し、タグ値が
モジュラス８に増分される。この応答が次にステーショ
ン18内のアプリケーション層181に提供される。 否定応答、つまりNAKが受信された場合は、少なくと
ももう２回のリンク再試行が行なわれ、タグ値はそのま
まとされる。ステーションは再送信を要求せず、最後の
命令を送信する。肯定応答、つまりACKが３回の試行の
後に受信されない場合は、リンク レベル エラー回復
が始動される。 第11図は読出し／書込み装置15及びカード10の両方に
対するリンク層意志決定プロセスを図解する流れ図であ
る。第８図及び第10図の両方を参照することによって理
解できるように、通常のトランザクションの際のステー
ションへの通信において、読出し／書込み装置15あるい
はカード10は、個々のメッセージが受信されるたびに現
在の要求が新たなトランザクションであるか、あるいは
前のトランザクションに対する再送信要求であるかを決
定するためにタグを調べる。現在のタグ値が前のトラン
ザクションのタグ値と異なる場合は、その入りメッセー
ジは新たなトランザクションとして扱われる。現在のタ
グ値が前のタグ値に等しい場合は、ステーション18によ
って再送信が要求されていることを示す。読出し／書込
み装置15あるいはカード10は必ずそれが最後に処理した
妥当命令と関連するタグにて応答する。従って、現在の
送信が失敗すると、つまり、“不当メッセージ”の場合
は、リンク層は否定応答（NAK）及び最後の妥当タグに
て応答する。“零”命令は読出し／書込み装置15あるい
はカード10にその順番タグをそれが受信するタグにリセ
ットするよう命令する。リセット時に、読出し／書込み
装置15あるいはカード10は、入りメッセージが新たなメ
ッセージとして扱われることを保証するためにそのタグ
を不当値にする。 カード10とのセクションの終結は、ステーション18が
読出し／書込み装置15にド10へのパワーを切るように命
令する、あるいはユーザがカード10を取り出すことによ
って行なわれる。後者の場合は、読出し／書込み装置15
が自動的に空のカード スロットへのパワーの供給を中
止し、ステーション18に“アテンション”信号を送る。
すると、ステーションは読出し／書込み装置15に“状態
要求”命令を送る。これに応答して、読出し／書込み装
置15はステーション18にカード10が取り出されたことを
報告し、リンク層はカード10との通信が３回失敗した後
にアプリケーション層に通信エラーを報告する。これは
アプリケーション層のみが読出し／書込み装置が動作し
てないことを宣言できることから必要である。
ータを格納するための電気メモリをもつスマート カー
ド、より詳細には、ポータブル データ キャリヤ内に
含まれるデータを複数のアプリケーションのために格納
するための装置に関する。 2.先行技術の説明 買い物、バンキング及び他のトランザクションにクレ
ジット カードを使用することがますます盛んとなり、
今日の旅行者は現金はあまり持ち歩かない。通常、浮き
彫りされた口座番号及び口座名をもつプラスチック製の
カードは単に銀行あるいはクレジット会社にあるトラン
ザクションの請求先となるべき許可された口座を同定す
る機能のみをもつ。幾つかのカードの裏面の磁気ストリ
ップはこれと同じ情報をもつが、トランザクションをス
ピード化できるように機械的に読出しができるようにな
っている。全ての勘定情報は銀行あるいはクレジット会
社に格納され、個々の口座に対して別個のカードが必要
とされる。 多くの消費者は店頭での日常の取り引きを簡単にすま
せるために複数のカードを持ち歩く。クレジット カー
ドはそれ自体は軽く、コンパクトで、便利である。ただ
し、これも６枚、７枚と複数になると、結構かさばり、
ポケットや財布等に入れるにしても不便である。顧客が
１枚のカードのみですまされるように、各種の複数会社
クレジット カード システムが堤案され使用されてい
る。このようなカードの１つにおいては、財布に入れる
のに適当なサイズの主カードが個々のクレジット カー
ド ユーザに発行される。この主カードは許可されたユ
ーザを同定するためのディスプレイあるいは他の手段、
及びどの会社がユーザ クレジットを提供したかを決定
するためのディスプレイ手段あるいはマイクロ回路を含
む。 このような装置（カード）は潜在的なクレジット提供
者の数が少なく、従って、主カード上に十分なスペース
が確保できるうちは満足できるが、この複数会社クレジ
ット カード上に保持及び更新されるべきクレジット提
供者の数及び口座数が非常に多くなるような用途におい
ては不十分なものとなる。顧客のクレジット提供者の全
てを単一のカードに結合することが可能であることを平
均的なユーザでも知るようになった現在、ユーザが１枚
のカード上に全ての口座のバランス、全ての口座のクレ
ジット限度、及びその他の個人的なデータ、例えば、洋
服を買うときのための家族のサイズ、電話番号などを含
むことを要求するであろうことは容易に想像できる。個
々の口座に対してカード用に専用の同定指標を与える必
要性、あるいは個々の口座に対して専用の回路あるいは
顧客ソフトウェアを提供する必要性からこのタイプのカ
ードに含むことができる口座の数が極端に制約される。 発明の要約 本発明によると、標準のプラスチック製クレジットカ
ードと同一サイズのポータブル データ キャリヤある
いはスマート カードが顧客レパートリー ダイアリイ
グから個人的な医療及び／あるいはバンキング レコー
ドの記録に至るまでのさまざまな用途に使用される。こ
のカードは、外観は従来のクレジット カードのように
見えるが、コンピュータ、電気的に消去が可能な読出し
専用メモリ（EEPROM）、及び関連するステーションの所
に設置されるカード読出し／書込み装置からのパワー及
びタイミング信号の組合せを受信するための回路を含
む。これら回路要素及び回路はまたカードと関連するス
テーションとの間で読出し／書込み装置を介してデータ
を送信する。 顧客の個人的な情報がカード上のEEPROM内の複数のフ
ァイル内に存在する。ステーション内に常駐する適当な
アプリケーション ソフトウェアが適当なパスワードを
与えられると、これらファイルの検索及び修正を行な
う。カードに対する保安がカードと関連するステーショ
ンとの間の相互作用の個々の指定レベルに対するアクセ
スを得るために別個のパスワードを要求することによっ
て確保される。保安はカードがある指定のファイルにア
クセスする場合はオプションのパスワードによってユー
ザ自身を同定することを要求することからさらに強化さ
れる。また、不正ログインの試みが所定の回数に制限さ
れ、これを超えた場合は、カードがロックされ、そのロ
グイン レベルでのそれ以上のカードとステーション間
の相互作用が阻止される。 複数のファイルの個々は、カード上にそれ自体の資格
（ファイル保安）をもつため、これらファイル内に衝突
あるいは混乱を起こすことなく、複数のアプリケーショ
ンあるいは別個の口座が存在する。ユーザは全て同一の
カード上に、10個を超える別個の貸方あるいは借方勘
定、電子チェックブック、さらにはユーザのアパートあ
るいは家にアクセスするための保安パスを記録すること
ができる。カード上に許されるファイルの最大数はカー
ド上で使用できるメモリ容量によってのみ制約される。 カードはセットのオペレーティング システム命令プ
リミティブを介してアクセスされる管理オペレーティン
グ システムを実行する。これら命令プリミティブはカ
ードの保安を確保するために課せられた規則に従ってカ
ード ファイル システムを操作する。管理オペレーテ
ィング システムの使用は侵入者が本発明のカード内の
データベースにアクセスすることを阻止する。これに加
え、特に機密性の高い用途に対しては、データがカード
に供給されると同時にこれを暗号化することができる。 カード上のファイル システムは、２つの領域、つま
り、管理部分である見出し及びアプリケーション ファ
イルを含むデータ部分にセグメント化される。 高い保安度をもつこの見出しはカード番号、異なるロ
グイン レベルに対するパスワード、個々のレベルに対
して連続的に試みられた不成功ログイン回数、及びカー
ド内の記憶ために使用されているメモリのサイズなどに
関する情報を含む。通常のユーザが見出しセクションに
直接アクセスすることはできない。 カードのデータ セグメントは固定レコードに分割さ
れる。データを含む個々のレコードは特定のファイルに
指定される。特定のファイルの同定はそのファイル同定
番号に指定された個々のレコードの最初のバイトによっ
て行なわれる。 カード オペレーティング システムによってファイ
ルが走査される場合、ファイル同定番号とともに位置さ
せる最初のレコードがそのファイル内の第１のレコード
であり、そのファイル同定番号とともに最後に位置され
るレコードがそのファイル内の最後のレコードである。
カード オペレーティング システムはファイルのこれ
らレコードを特定のファイル内でそれが遭遇されたとき
に読む。ファイルからのデータを受信及び翻訳するステ
ーション アプリケーション ソフトウェアはアクセス
されているアプリケーションと関連するバイトの一連の
流れのみを見る。従って、特定の用途のユーザにカード
内の他のアプリケーションに関する、あるいはカード内
部のファイル構造に関する情報が漏れることはない。 本発明及び本発明の動作モードは以下の詳細な説明を
付随の図面とともに読むことによって一層明白となるも
のである。 図面の簡単な説明 第１図はポータブル データ キャリヤ システムの
主な機能要素及びこれらの相互接続を示す機能ブロック
図であり； 第２図は第１図のシステム内に使用されるポータブル
データ キャリヤのアクセス可能な６つの保安レベル
を示すテーブルであり； 第３図はポータブル データ キャリヤ内に含まれる
データのための２つの領域、つまり、見出し領域及びデ
ータ領域にセグメント化されたファイル システムを示
し； 第４図はポータブル データ キャリヤ システムの
データ セグメント領域内に位置する個々のファイルの
３つのセクションを示し； 第５図はオプションのファイルごとのパスワード及び
追加専用機能を採用する通常保安クラス レベル（Norm
al Security Class Levels）の階層構造を示し； 第６図はポータブル データ キャリヤ上のオペレー
ティング システムと通信するために使用される命令プ
リミティブを示すテーブルであり； 第７図はポータブル データ キャリヤへの許可され
ないアクセスの防止を助けるログイン シーケンスを図
解する流れ図であり； 第８図はこのシステムに使用されるプロトコールにて
動作するように設計されたポータブルデータ キャリヤ
システムのソフトウェア階層を示し； 第９図はポータブル キャリヤ システムの主なサブ
システム間の通信に使用するのに適するメッセージ フ
ォーマットを示し； 第10図はアプリケーション ステーションの半二重プ
ロトコールでの動作に対するリンク層意志決定プロセス
を図解する流れ図であり；そして 第11図は読出し／書込み装置及びポータブル データ
キャリヤの両方の半二重プロトコールでの動作に対す
るリンク層意志決定プロセスを図解する流れ図である。 全図面を通じて、同一要素は同一番号にて示される。 詳細な説明 第１図にはポータブル データ キャリヤ（Portable
data carrier,PDC）システムがわかり易くするために
３つのサブシステムに分割して示される。第１のサブシ
ステムはデータ キャリヤあるいはカード10であり、こ
れはユーザのために情報を格納及び更新する能力をもつ
メモリを含む。第２のサブシステムはカード読出／書込
み装置15であり、これはカードを第３のサブシステムで
あるステーション18にリンクする。この最後のサブシス
テムは適当に構成されたアプリケーション ステーショ
ンであり、これはカード内のメモリにアクセスするため
に必要なアプリケーション ソフトウェアを実行するコ
ンピュータあるいは専用ワークステーションから成る。
アプリケーション ソフトウェアはこのステーション内
に常駐し、カード10のメモリ内に格納された情報の検索
及び修正を遂行する。 カード10はセットのオペレーティング システム命令
プリミティブを介してアクセスされる監視オペレーティ
ング システムを実行する。これら命令プリミティブは
カード保全に要求される規則に従ってカード上のファイ
ル システムを操作する。 カード10内に位置する主要な要素には、マイクロコン
ピュータ110、電気的に消去可能なプログラマブルメモ
リ（electrical erasable programmable read−only me
mory EEPROM）115、アナログ インタフェース回路13
0、トランスフォーマ120の二次巻線121、及び容量性プ
レート125から128が含まれる。 マイクロコンピュータ110は中央処理ユニット及びラ
ンダム アクセス メモリ及び読出し専用メモリの形式
のメモリ ユニットを含む。その内部読出し専用メモリ
によって提供されるファームウェアの制御下にて動作
し、マイクロコンピュータ110はEEPROM115に直接に送ら
れ、また読出し／書込み装置15を介してステーション18
に送られるデータをフォーマット化する。EEPROMの全体
あるいはこの一部はコンピュータの一部として統合する
ことも、あるいは別個の要素とすることもできる。マイ
クロコンピュータ110はまた読出し／書込みユニット15
を通じてステーション18から受信される命令プリミティ
ブを翻訳する。 カード10内にEEPROM115を使用することによって、許
可されたユーザは必要であればカードのメモリ セクシ
ョン内の幾つかのアプリケーション ファイルを新たな
異なるデータにて再プログラムする能力をもつ。データ
は動作パワーが加えられている間にEEPROMに書き込むあ
るいはこれから読出しないし消化することが可能であ
る。動作パワーが除去されると、EEPROM内のデータに加
えられた全ての修正はそのままとなり、カード10に再び
パワーが加えられるたびに検索が可能である。 アナログ インタフェース回路130はメモリ カード1
0を読出し／書込み装置15にインタフェースするための
手段を提供する。このインタフェースは読出し／書込み
装置15から結合された磁気エネルギーからの動作パワー
のカード10への供給、及び読出し／書込み装置15とカー
ド10内のマイクロコンピュータ110の間のデータの結合
を含む複数の機能を遂行する。カード10を動作するため
のパワーはアナログ インタフェース回路130にトラン
スフォーマ120の二次巻線121によって提供される誘導性
インタフェースを介して提供される。このトランスフォ
ーマはカード10内のこの二次巻線が読出し／書込み装置
15内の一次巻線122にはめ込まれたとき形成される。ス
テーション18は読出し／書込み装置15及びカード10の両
方の動作のためのパワー源を提供する。 トランスフォーマ120はトランスフォーマの一次巻線1
22と二次巻線121の間の結合を増加させるために読出し
／書込み装置内にフェライト コア123を含む。さらに
結合効率を向上させるためにトランスフォーマ120内に
第２のフェライト コア120を含め、カード内の二次巻
線121と関連させることもできる。豊富なパワーがあ
り、効率も問題とならないようなケースでは、これらコ
アの片方あるいは両方を省くことができる。 カード10へのデータの受信あるいはこれからの伝送は
アナログ インタフェース130に接続された容量性イン
タフェースによって提供される。この容量性インタフェ
ースはカード10上の電極あるいはプレート125から128が
読出し／書込み装置15内の対応する電極あるいはプレー
ト155にはめ込まれたとき形成される４つのコンデンサ
から成る。これらコンデンサの中の２つは読出し／書込
み装置15からカード10にデータを伝送するために使用さ
れ、残りの２つはカード10から読出し／書込み装置15に
データを伝送するために使用される。誘導性インタフェ
ースと容量性インタフェースの組合せは読出し／書込み
装置15とメモリ カード10との間に完全な通信インタフ
ェースを提供する。 読出し／書込み装置15内の幾つかの要素の編成はカー
ド10内の要素と機能的にミラー関係にある。これら要素
には、例えば、アナログ インタフェース回路140とマ
イクロコンピュータ150がある。これに加えて、読出し
／書込み装置15はパワー源162及び入力／出力インタフ
ェース160を含む。パワー源162はカード10にパワーを提
供するため、及び読出し／書込み装置15からのクロック
信号をトランスフォーマ120を通じてカード10に結合す
るために使用される。入力／出力インタフェース160は
原理的には普遍非同期受信機送信機（universal asynch
ronous receiver transmitter,UART）であり、マイクロ
コンピュータ150内に含まれる。このUARTはアプリケー
ション ステーション18と通信する。このアプリケーシ
ョン ステーション18はオフィス編集ステーション、工
場編集ステーション、発行人編集ステーション、公衆電
話ステーション、あるいは他の適当に構成されたステー
ションであり得る。 PDCシステムに対する保安問題は２つの大きな領域に
分けられる。第１の領域は同定及び認証の問題であり、
ステーションが（１）認証されたカードと通信すること
及び（２）カード上の認証されたアプリケーション フ
ァイルと通信することの両方を保証することに関する。
第２の領域はカード上のファイルへのアクセスの制御及
びステーションの所のアプリケーションによるカード命
令の実行の制限に関する。ここで、アプリケーションと
は、カード上の特定のファイル内の特定のデータにアク
セスする勘定等である。 適当な認証手順なしには、システム詐欺の意図をもつ
者がステーションの所のプロトコールをシュミレート
し、PDCシステムに関する情報を得る恐れがある。 ステーションが認証カード上の認証ファイルと通信す
ることを保証することは、個々のカードに一意の番号を
割り当て、この番号あるいは番号のサブセットをステー
ション内に常駐する隠されたアプリケーション パスワ
ードとともに使用することによって達成される。これら
番号がアルゴリズム的に操作され、認証コードが生成さ
れ、これが生成時にカード上のアプリケーション ファ
イル内に格納される。その後のトランザクションの際
に、このコードがステーションによって独自に生成され
た類似のコードと比較される。 カード ファイル システム及びカード命令に対する
保安を提供し、しかも異なるタイプのアプリケーション
を扱うためのフレキシビリティを確保するために、カー
ドは６つの異なる保安レベルを採用する。これら保安レ
ベルはカードが２つのタイプの資源、つまり、カード
ファイル システム及びカード命令を保護する。これら
資源へのアクセスは認可されたログイン レベル、要求
された命令、アクセスされるべきファイル、及びカード
のオーナによって課せられる追加の制約の関数である。 第２図にはこれら６つのログイン保安レベルが示され
る。最初の４つの低いレベルは通常保安クラス（Normal
Security Class）のカテゴリーにおかれ、公衆環境内
の使用に供せられる。この階層的保安レベルの最初の最
も低いレベルは一般情報のためのPUBLIC（公衆）ログイ
ン レベルであり、アクセスのためのパスワードを必要
としない。医療情報及び保険番号あるいは図書カード情
報などがこのレベルに含まれる公衆データの例である。
カードがパワーアップにおいて初期化あるいはステーシ
ョンの所でリセットされると、これはPUBLICログイン
レベルとなる。 第２のレベルはUSER（ユーザ）レベルであり、アクセ
スのためにユーザ パスワードを必要とする。ユーザは
このレベルに貸借勘定を含めることができる。第３のレ
ベルはSUB ISSUER（下位発行人）レベルである。この
レベルもアクセスに対するパスワードを必要とし、これ
は通常、MASTER ISSUER（上位発行人）あるいはカード
の所有者によって許可されたアプリケーションで使用さ
れる。 保安の第４のレベルは、MASTER ISSUERによって維持
されるレベルである。カードはこのレベルでフォーマッ
ト化され、ここから発行される。これらレベルがいかに
使用されるかの例として、銀行は貸し方あるいは借り方
勘定を含むカードを発行する。この銀行はこのカードの
使用を小売り業者に許可し、小売り業者はこのカード上
に小売り業者自身の貸し方あるいは借り方勘定を作成す
る。この例では銀行がMASTER ISSUER（上位発行人）で
あり、小売り業者がSUB ISSUERS（下位発行人）であ
る。カード保有者は、勿論、USER（ユーザ）である。こ
の例では、個々の勘定はカード上の別個のファイルによ
って扱われ、特定のファイルに対して正規の資格をもつ
者あるいはプログラムのみが適当なアプリケーション
ステーションにてそのファイルにアクセスすることがで
きる。 ２つの上層保安レベル、DEVELOPER（開発者）及びSUP
ER USER（スーパー ユーザ）は延長保安クラス（Exte
nded Security Class）カテゴリーにおかれるが、この
カテゴリーは通常保安クラス（Normal Security Clas
s）カテゴリー内のレベルには供されない命令の使用を
可能とする。 第５のレベル、つまり、SUPER USER（スーパー ユ
ーザ）レベルはブランク カードの製造、テスト、初期
化を行ない、この保安が確保され、不正カードが使用で
きないようにするための製造レベルである。 最後に、第６番目の最も高いレベルは、カードの開発
者レベルである。SUPER USER及びDEVELOPER保安レベル
は両方とも後に詳細に説明されるカード システム見出
しを含むカード ファイル システムの全内容にアクセ
スする能力をもつレベルである。 個々が固有の資格をもつ複数のファイルがカード上に
存在するため、複数のアプリケーションがこれら別個の
ファイル内に衝突あるいは混乱することなく別個に存在
できう。全て同一カード上に10個あるいはそれ以上の別
個の貸し方あるいは借り方勘定、電子チェックブック、
及びユーザのアパートにアクセスするための保安パスを
もつユーザを容易に想像することができる。発行者並び
にユーザは、カードが公衆レベル以外で許される以外の
ファイルにアクセスするためにはパスワードによってユ
ーザ自身を同定することを必要とするため、カードが不
正に使用される不安をもつ心配はない。 第３図には２つの領域、つまり、管理部分である見出
し、及びアプリケーション ファイルを含むデータ部分
にセグメント化されたカード ファイル システムが示
される。 保安見出し35はカード番号、個々のログイン レベル
に対するパスワード、個々のレベルに対する不成功パス
ワード試行の回数、ログイン レベルがブロックされて
いることを示すロック バイト、データベース内の固定
レコードのサイズ、EEPROM115のキロバイト単位のメモ
リ サイズ等の情報が含まれる。見出しセクションへの
直接アクセスは２つの最も高い保安レベルでのみ可能で
ある。 カードのデータ セグメント30は、MASTER ISSUERに
よってセットされるｎバイトの長さの固定レコードに分
割される。個々の使用レコード31,32,33が特定のファイ
ルに割り当てられる。特定のファイルの同定はそのファ
イルの同定番号に割り当てられた個々のレコードの最初
のバイトによって行なわれる。 カードはファイル ダイレクトリー（Directory）を
持たず、同一ファイルの異なるレコード間にポインタは
存在しない。ファイル データの順番は一連（contiquo
us）のレコードによるのでなく、線形順序によって示さ
れる。カードのオペレーティング システムはEEPROM内
のアドレスを最低から最高アドレスに向けて走査する。
特定のファイル同定番号とともに位置された第１のレコ
ードがそのファイル内の第１のレコードであり、そのフ
ァイルの同定番号とともに位置される最後のレコードが
そのファイル内の最後のレコードである。カード オペ
レーティング システムはファイルのレコードを特定の
ファイル内の個々のレコードに出会ったとき読み出す。
カード上に許されるファイルの最大サイズ及び数はEEPR
OMのメモリのサイズによってのみ制限される。ファイル
を読むステーション アプケーション ソフトウェアは
カードの内部ファイル構造とは独立した一連のバイト流
のみを見る。 第４図にはカード ファイル システムのデータ セ
グメント領域内の個々のファイルの３つのセクションが
より詳細に示される。個々のファイルの第１のレコード
内に位置する接頭セクション41は、ファイル同定番号42
及び保護バイト43,44及び45を含む。ファイル同定番号
は１と16進FEの間の番号である。16進番号00と16進番号
FFはそれぞれ未使用のレコード及びEEPROM内の使用可能
なメモリの終端を示すために予約される。 保護バイト43から45はファイル許可を指定する。第１
のバイト43は読出し許可を表わし、そのファイルの読み
出しができる最低レベルを指定する。第２のバイト44は
読出し／書込み許可を表わしそのファイルに読出し及び
書込みの両方が可能な最低レベルを指定する。 従って、あるファイルに対する読出し許可をあるファ
イルに対する読出し／書込み許可から分離することがで
きる。読出しアクセスに対して読出し／書込みアクセス
に異なる保安レベルを指定することもできる。例えば、
あるファイルに対する読出し許可をPUBLICレベルに指定
し公衆情報に対する公衆アクセスを許し、一方で、書込
み許可をUSERレベルに指定し、ユーザの同意なしには、
ファイルへの書き込みを禁止することができる。 第５図にはオプションのパスワード及び追加専用機能
を使用する通常保安クラス（Normal Security Class）
レベルの階層構造が示される。カード使用のフレキシビ
リティを増加させるために、カード上の個々のファイル
はその保護バイトの中に特定のファイルにアクセスが許
される前にオプションのパスワードを提供すべき要件を
含む。これはユーザがあるレベルに保護されたファイル
に対するアクセスを得るためにはカードのオペレーティ
ング システムによって要求される保安レベルでなくて
はならないという要件に追加する要件である。一例とし
て、ユーザに対するオプションの書込みパスワードを含
む書込み／読出し許可をもつファイルは、（１）ユーザ
レベルでカードにログインすること、及び（２）その
ファイルを読み出すためにファイルを開くことを要求す
る。ただし、このファイルに書き込むためには、ユーザ
は（１）ユーザ レベルにてカードにログインするこ
と、及び（２）オプションのパスワードを提供して“書
込み”のためにファイルを開くことを要求される。これ
はファイルのアクセス許可が要求するより高いレベルで
ログインする者には適用しない。この高いレベルにてロ
グインする者は指定の保安レベルにてオプションのパス
ワードが要求される場合でもそのファイルに対するアク
セスを得ることができる。 通常保安クラス（Normal Security Class）レベルの
階層構造は、MASTER ISSUERがそのレベル及びそのレベ
ル以下の全てでファイルを読出し及び書込みでき;SUB
ISSUERがそのレベル及びそのレベル以下の全てでファイ
ルを読出し及び書込みできるような構造をもつ。同様
に、カード保有者はそのレベルであるいは公衆レベルに
て全てのファイルを読出し及び書込みできる。 それが適当であるアプリケーションにおいては、第４
図の保護バイト45をセットし、ユーザがファイルにデー
タを追加することのみを許し、現存するデータの消去は
許さない“追加専用（append−only）”モードを実現す
ることができる。適当なアプリケーション ファイルを
反映するレコードがこのデータが入力されしだい格納さ
れるように生成される。つまり、あるファイルを読出し
／追加許可として、あるいは読出し／書込み許可として
指定することができる。 ファイルの情報セクション46はそのファイルの個々の
レコード内に位置する実際のデータを含む。そして最後
のレコードＮの最後のバイト48内の番号Ｍを有する接尾
セクション47はその最後のレコード内のアプリケーショ
ン データ バイトの数を示す。 カード上の管理オペレーティング システムは第６図
に示される一般的に理解されている命令プリミティブの
使用を通じて通常保安クラス（Normal Security Clas
s）レベルによってアクセスされる。これら命令プリミ
ティブはカードに対する保安アクセス、ファイルの生成
及びアクセスを制御し、また、管理及びテスト動作を制
御する。SUPER USERあるいはDEVELOPERログイン レベ
ルに対して追加の命令プリミティブが使用できる。 これら命令プリミティブの動作は“ログイン”命令の
動作の説明を通じて解説できる。カードにログインする
ためには、ユーザはログイン レベル及びパスワードを
指定することが要求される。このパスワードは内部的に
カードによってそのカード見出し内の同一ログイン レ
ベルの対応するパスワードに対してアルゴリズム的にチ
ェックされる。もし、カードユーザがアクセスを得よう
とするファイルによって要求されるログイン レベルよ
り低いログイン レベルでアクセスを試みている場合、
読出しあるいは読出し／書込みのいずれかのためにその
ファイルを開く許可は拒否される。 個々の保安レベルに対するパスワードはカードが製造
されるときにカードの見出し内におかれる。パスワード
命令はロッグ オンされた保安レベルのユーザがそのレ
ベルあるいはそれ以下のレベルのパスワードを変更する
ことを許す。従って、パスワードが損失あるいは忘れた
場合は、これはより高い保安レベルにてカードにログイ
ンし、パスワード命令を使用して書き換えることができ
る。このため、失われたパスワードを回復する必要はな
い。 １つの保安レベルで許される連続の不成功“ログイ
ン”試行回数は所定の回数に制限される。この回数を超
えると、カードそはの保安レベルをロックする、あるい
はカードの全てのデータベースを消去するように構成さ
れる。カードがロックするように構成された場合は、ロ
ックされたレベル以上のレベルはこれをアンロックする
ことができる。これによりカードの保守をロックされた
レベルより上の最低レベルに任すことが可能となる。失
敗の回数はEEPROMの見出し部分内の適当な“パスワード
失敗カウンタ（password failure counter）”内に記録
される。 オプションのパスワードを要求するファイルを保護す
ることも可能である。ファイルはカードと同一の方法で
必要であればそのファイルの保護バイト内にそのファイ
ルを消去するためのビットをセットすることによって個
別に保護することもできる。こうして、オプションのパ
スワードを要求するファイルを開くことを試みている者
は、所定の回数の試みのみが許され、これを超えた場合
は、カードのロックされたそのファイル内のデータの消
去が起こる。 第７図にはカード上のオペレーティング システムの
カードへの許可されないログインを防止するための部分
の流れ図が示される。ログイン命令がアクセスされるた
びに、パスワード失敗カウンタがパスワード失敗を反映
するように更新される。次に、与えられたパスワードが
カード見出し内のパスワードに対してチェックされる。
正しいパスワードが与えられた場合は、パスワード カ
ウンタが消去される。この機能は不成功のログイン試行
の後に失敗カウンタが失敗を反映するように更新される
前にカードからパワーを除去する装置を使用してのパス
ワードに対する巧妙な挑戦に対する保護を提供する。 アプリケーション ソフトウェアの関係を助けるため
に、高レベル ソフトウェア ライブラリがステーショ
ンと読出し／書込み装置並びにステーションとカードの
間の全ての相互作用を支援するために生成される。結果
として、アプリケーション プログラマはめんどうなカ
ード内部あるいは通信プロトコールの詳細にかかわる必
要はない。プログラマのコードはライブラリと直接にイ
ンタフェースし、ライブラリがカードとインタフェース
する。 ライブラリは４つのセクション、つまり、第６図に示
されるようなカード命令の直接マッピングを提供するた
めのカード ライブラリ セクション、読出し／書込み
命令の直接マッピングを提供するための読出し／書込み
ライブラリ セクション、カード及び／あるいは読出し
／書込み命令を含む命令ライブラリ セクション、及び
ステーション上に位置する共通制御機能を含む制御セク
ションに分割される。これら機能はポート及び論理デバ
イスの初期化、終端及び制御の詳細を含む。従って、こ
のライブラリはソウトウェア インタフェースとして機
能し、典型的なコンピュータ プロトコールと非常に類
似するデバイス及びファイルにアクセスする方法を提供
し、アプリケーション プログラマの負担を軽減する。 カードのオペレーティング システムは、レコードの
割り当て、レコードの解放及び不用部分の整理機能が提
供される。情報がファイルから削除されると、カードは
解放されたレコードを使用可能なレコードのプールに戻
し、不用部分の整理を遂行することによって使用レコー
ドを線形順序に並べる。この不用部分の整理を通じて、
カード上の全ての未使用のレコードがカード メモリの
終端に集められる。必要に応じて、追加レコードの割り
当てが、書込みがファイルの最後のレコードを越えたと
き自動的に遂行される。使用可能なレコードを常にカー
ドの端に維持することによって、ファイルに対する新た
なレコードが常にファイルの前に端を過ぎて割り当てら
れ、これにより個々のファイルのレコードの線形順序が
保持される。 レコードの割り当て及び解放に関する情報はステーシ
ョンの所のアプリケーションには提供されない。アプリ
ケーションは実現の詳細を認識することなく単に一連の
データをみるだけであるため保安が向上される。また、
原始フォーマットのアプリケーション ファイルへの直
接アクセスも通常保安クラス（Normal Security Clas
s）レベル内に発見される命令へのアクセスをもつユー
ザに許されない。全カードへのアクセスは、延長保安ク
ラス（Extended Security Class）レベル内に発見され
る命令へのアクセスを持つユーザにのみ許され、これに
よりカードの製造及びテストの時の厳密が保持される。 第８図にはPDCシステムの通信プロトコール内での動
作のために配列されたソフトウェア階層が示される。ス
テーション18内のアプリケーション層181はカード10と
インタフェースし、また端末187の所のユーザと端末イ
ンタフェース182を通じてインタフェースし、さらにデ
ータベース インタフェース184を通じてオプションの
データベースとインタフェースする。カード10へのアク
セスを簡素化するために、アプリケーション層180は上
に説明のライブラリ層185とインタフェースする。一
方、ライブラリ層は読出し／書込み装置15とカード10と
の実際のトランザクションを扱うリンク層186とインタ
フェースする。 ステーション18は直列ポートを通じて読出し／書込み
装置15に接続されるが、これはカード10並びに読出し／
書込み装置15と直接に通信する。カードに向けられた全
てのメッセージは、従って、透明的に読出し／書込み装
置15を通じてカード10に送られる。宛先アドレスはメッ
セージのプリアンブル セクション内に発見される。本
発明に使用が適当なメッセージ フォーマットが第９図
に示されるが、これに関しては後に詳細に説明される。 読出し／書込み装置15及びカード10は両方ともデータ
リンク層186のステーションとの交信に同一の半二重
通信プロトコールを用いる。カード10は完全で受動であ
り、ステーション18との間のトランザクションを先導す
ることはできない。読出し／書込み装置15は、ステーシ
ョンにこれらの間を直列ポート内のキャリヤ検出リード
を介して“アテンション”信号を送ることができる点で
のみカード10と異なる。ステーション18はそのとき処理
している現在のトランザクションが完了した後にこの
“アテンション”信号に応答する。ステーションは次に
読出し／書込み装置15を尋問して、“アテンション”信
号の理由を決定する。読出し／書込み装置15がこのアテ
ンション信号を送る状況の一例として、カード10が読出
し／書込み装置15上の収容スロット（図示なし）内に挿
入され、ステーション18と通信できる位置にあるときこ
の信号が送られる。第２の例としては、カード10が読出
し／書込み装置15内のスロットから外されたときこの信
号が送られる。 読出し／書込みは２つの層、つまり、リンク層151及
び命令層152をもつ。リンク層151はステーション18とカ
ード10との間の透明媒体であり、この間で命令あるいは
応答を運ぶ。読出し／書込み装置15内のリンク層151
は、必要であれば、緩衝動作及びボー速度変換を提供す
る。カード10と読出し／書込み装置15の間の伝送速度は
19200ボーに保持される。ステーション18と読出し／書
込み装置15の間のボー速度が読出し／書込み装置15とカ
ード10の間のボー速度より遅い場合は、読出し／書込み
装置15はボー速度変換を行ない、メッセージをブロック
の一連のデータとして送ることができるように緩衝す
る。読出し／書込み装置内の第２のの層は命令層であ
る。この層は読出し／書込み装置内にあり、ステーショ
ン18から読出し／書込み装置に特にアドレスされた命令
に応答する。 プロトコール内のデータは通信リンクを通じてシリア
ルに１文字ずつ送られる。文字が１つの開始ビット及び
１つの停止ビットにてフレーム化される。文字の一連の
ブロックのメッセージが半二重プロトコールの制約内で
任意の時間に送られる。ステーション18と読出し／書込
み装置15あるいはカード10は所定のメッセージ パケッ
トにて情報を交換する。パケットは、パケット内のどこ
でデータが開始及び終端するかに関する制御情報及びメ
ッセージ データの保全性をチェックする情報を含む。 第９図には第８図との関連でより詳細に本発明の使用
に適当なメッセージ フォーマットが示される。ここ
で、ステーション18は読出し／書込み装置15あるいはカ
ード10にアドレスする。メッセージ フォーマットは読
出し／書込み装置15あるいはカード10をアドレスするた
めのプリアンブル91及びメッセージの開始をマークする
ためのフレーム開始制御シーケンス92（DLESTX）を含
む。メッセージ フォーマット内の次の欄はリンク状態
93であるが、これはメッセージの肯定応答（ACK）が送
信されたか否定応答（NAK）が送信されたかを示す情
報、伝送の際にエラーが発生したか否かを示す情報、及
び現在のメッセージの番号（タグ）を含む。個々のメッ
セージには番号が割り当てられる。メッセージ フォー
マットにはリンク状態バイト内の３つの最下位ビットを
使用するモジュラス８スキーム（modulus 8 scheme）が
使用される。 命令の次の欄はデータ欄94であり、これは伝送された
データ及びこれに続くメッセージの終端をマークするフ
レーム終端制御シーケンス95（DLE ETX）を含む。最後
に、２バイト チェックサムが96がJ.G.フレッチャー
（J.G.Fletcher）によってIEEEトランザクション オン
コミュニケーション（IEEE Transactions on Communi
cations）、Vol.Com−30、1982年１月、ページ247−252
に掲載の論文［シリアル伝送のための算術チェックサム
（An Arithmetic Checsum for Serial Transmission
s）］において説明のアルゴリズムを使用して生成され
る。 読出し／書込み装置15あるいはカード10からステーシ
ョン18に戻されるメッセージ パケット応答はステーシ
ョンによって生成されるメッセージ パケットと同一で
ある。第９図に示されるメッセージ フォーマットは、
従って、全てのサブシステム間の通信に適用する。ステ
ーション18から送信されるメッセージのプリアンブルは
８バイトから成る。メッセージはこれら連続プリアンブ
ル文字の少なくとも３つがそれとの通信を試しているサ
ブシステムによって検出されたときステーション18によ
って正しく受信されたものとみなされる。 読出し／書込み装置15あるいはカード10との通信を実
現するためには、ステーション18は“リンク リセット
（link reset）”メッセージを送る。通信はステーショ
ンがNAKを受信したとき、あるいは応答が受信される前
に所定の時間が経過したとき失敗する。 読出し／書込み装置15との通信がいったん確立される
と、読出し／書込み装置はステーション18にカード10が
挿入されたこと、あるいは既に挿入されていることを通
知する。カード10が挿入されると、読出し／書込み装置
15はステーション18に“アテンション”信号を送る。ス
テーションが挿入されたカードが、例えば、磁気ストラ
イプのみをもつカードではなく、スマート カードであ
ることを決定すると、ステーションはカードを初期化す
るためにカードにリンク リセット メッセージを送
る。いったん初期化されると、カードはステーション18
内のアプリケーション層181からの命令をまつ。要求が
受信されると、これはカード10内の命令層101によって
処理され、応答がステーション18に戻される。この間、
カード10は次の命令を待つ。ステーション18はどのサブ
システムにアドレスし、どのメッセージを送るべきか、
つまり、リンク リセット メッセージを送るべきか、
命令を送るべきかを任意に選択できる。 第10図はステーション18に対するリンク層意志決定プ
ロセスを図解する流れ図である。通常のトランザクショ
ンの際の読出し／書込み装置15あるいはカード10との通
信において、ステーション18はメッセージを送信し、タ
イマをセットする。次に、ステーションがそれが通信を
試みているサブシステムからの応答を受信するか、所定
の時間がきれる。ステーションへのメッセージ応答内の
リンク状態バイトがACKを含む場合は、これはトランザ
クションが成功のうちに完了したことを示し、タグ値が
モジュラス８に増分される。この応答が次にステーショ
ン18内のアプリケーション層181に提供される。 否定応答、つまりNAKが受信された場合は、少なくと
ももう２回のリンク再試行が行なわれ、タグ値はそのま
まとされる。ステーションは再送信を要求せず、最後の
命令を送信する。肯定応答、つまりACKが３回の試行の
後に受信されない場合は、リンク レベル エラー回復
が始動される。 第11図は読出し／書込み装置15及びカード10の両方に
対するリンク層意志決定プロセスを図解する流れ図であ
る。第８図及び第10図の両方を参照することによって理
解できるように、通常のトランザクションの際のステー
ションへの通信において、読出し／書込み装置15あるい
はカード10は、個々のメッセージが受信されるたびに現
在の要求が新たなトランザクションであるか、あるいは
前のトランザクションに対する再送信要求であるかを決
定するためにタグを調べる。現在のタグ値が前のトラン
ザクションのタグ値と異なる場合は、その入りメッセー
ジは新たなトランザクションとして扱われる。現在のタ
グ値が前のタグ値に等しい場合は、ステーション18によ
って再送信が要求されていることを示す。読出し／書込
み装置15あるいはカード10は必ずそれが最後に処理した
妥当命令と関連するタグにて応答する。従って、現在の
送信が失敗すると、つまり、“不当メッセージ”の場合
は、リンク層は否定応答（NAK）及び最後の妥当タグに
て応答する。“零”命令は読出し／書込み装置15あるい
はカード10にその順番タグをそれが受信するタグにリセ
ットするよう命令する。リセット時に、読出し／書込み
装置15あるいはカード10は、入りメッセージが新たなメ
ッセージとして扱われることを保証するためにそのタグ
を不当値にする。 カード10とのセクションの終結は、ステーション18が
読出し／書込み装置15にド10へのパワーを切るように命
令する、あるいはユーザがカード10を取り出すことによ
って行なわれる。後者の場合は、読出し／書込み装置15
が自動的に空のカード スロットへのパワーの供給を中
止し、ステーション18に“アテンション”信号を送る。
すると、ステーションは読出し／書込み装置15に“状態
要求”命令を送る。これに応答して、読出し／書込み装
置15はステーション18にカード10が取り出されたことを
報告し、リンク層はカード10との通信が３回失敗した後
にアプリケーション層に通信エラーを報告する。これは
アプリケーション層のみが読出し／書込み装置が動作し
てないことを宣言できることから必要である。
フロントページの続き
(72)発明者 ザヒヴ，アヴィ
アメリカ合衆国 08904 ニュージャー
シイ，ハイランド パーク，ドナルドソ
ン ストリート 120
(56)参考文献 特開 昭60−160491（ＪＰ，Ａ)
Claims (1)
- (57)【特許請求の範囲】 １．多目的ポータブル データ キャリヤ（10）におい
て、該データ キャリヤが可変データを格納するための
複数のファイル（31−33）を含み、該複数のファイルの
個々が所望の可変データにアクセルするために関連する
ステーション（18）から選択的にアドレスでき、さらに
該データ キャリヤは、ポータブル データ キャリヤ
へのアクセス及び関連するステーションのユーザによる
複数のファイルへのアクセスの両方を制御するためのオ
ペレーティングシステムを含み、複数のファイルの各々
はキャリヤ内のメモリの多数の利用可能なデータ位置の
いずれかにおいて記憶するためにファイルに関連する可
変データを有しており、かつ複数のファイルの各々は所
望の可変データにアクセスするための該関連ステーショ
ンによってオペレーティングシステムを介して選択可能
にアドレスでき、該オペレーティングシステムは特定フ
ァイル内のトランザクションを行うことを許可されたユ
ーザだけに、所望のトランザクションのための個々の特
定ファイルへのアクセスを許可しており、そして該ポー
タブル データ キャリヤへのアクセスが該ポータブル
データ キャリヤ内でトランザクションを行うことを
許可されたユーザに指定された第１のパスワードによっ
て制御されており、該ポータブル データ キャリヤ内
の個々のファイルは許可されたアクセスのタイプを規定
するファイル許可情報（41）を含み、該ファイル許可情
報は第１のバイト（43）、第２のバイト（44）及び第３
のバイト（45）を含み、該第１のバイトはその内部のデ
ータのみを読み出すようユーザに許可する読出し許可を
有し、該第２のバイトはその内部のデータを読み出し、
かつそれへ書き込むよう許可する書込み許可を有し、そ
して該第３のバイトはその内部のデータのみを読み出
し、かつそれへデータを追加するようユーザに許可する
読出し追加許可を有することを特徴とする多目的ポータ
ブル データ キャリヤ。 ２．請求の範囲第１項に記載の多目的ホータブル デー
タ キャリヤにおいて、所望のトランザクションのため
の個々の特定のファイルへのアクセスが該特定のファイ
ル内でトランザクションを行うことを許可されたユーザ
に指定された第２のパスワードによって制御されること
を特徴とする多目的ポータブル データ キャリヤ。 ３．請求の範囲第２項に記載の多目的ポータブル デー
タ キャリヤにおいて、さらに最低保安レベル、最高保
安レベル及びこれらの間の複数の保安レベルから成るよ
うに階層的に配列された複数の保安レベルが含まれ、個
々の保安レベルへのアクセスがの保安レベルにてデータ
にアクセスすることを許可されたユーザにのみ指定され
る対応するパスワードによって制御されることを特徴と
する多目的ポータブル データ キャリヤ。 ４．請求の範囲第２項に記載の多目的ポータブル デー
タ キャリヤにおいて、該ファイル許可情報が保安レベ
ルに従って指定可能であり、第１の高い保安レベルが第
２のバイト（44）内のデータを読み出すこと及びこれに
データを書き込むことを許可し、第２の低い保安レベル
が該第２のバイト内のデータを読み出すことのみを許可
することを特徴とする多目的ポータブル データ キャ
リヤ。 ５．請求の範囲第３項に記載の多目的ポータブル デー
タ キャリヤにおいて、該ファイル許可情報が保安レベ
ルに従って指定可能であり、第１の高い保安レベルが該
第２のバイト内のデータを読み出すこと及びこれにデー
タを書き込むことを許可し、第２の低い保安レベルが該
第２のバイト内のデータを読み出すこと及びこれにデー
タを追加することのみを許可することを特徴とする多目
的ポータブル データ キャリヤ。 ６．請求の範囲第１項に記載の多目的ポータブル デー
タ キャリヤにおいて、さらに所望の可変データにアク
セスするために複数の関連するステーションによって選
択的にアドレス可能なファイルが含まれ、個々の特定の
ファイルへのアクセスが個々の関連するステーションの
構成によって制御されることを特徴とする多目的ポータ
ブル データ キャリヤ。 ７．請求の範囲第６項に記載の多目的ポータブル デー
タ キャリヤにおいて、所望のトランザクションのため
の該特定のファイルへのアクセスが該特定のファイル内
でトランザクションを行うことを許可されたステーショ
ンに指定されたパスワードによって制御されることを特
徴とする多目的ポータブル データ キャリヤ。 ８．請求の範囲第７項に記載の多目的ポータブル デー
タ キャリヤにおいて、該ポータブル データ キャリ
ヤへのアクセスが該ポータブル データ キャリヤ内で
トランザクションを行うことを許可されたユーザに指定
されたパスワードによって制御されることを特徴とする
多目的ポータブル データ キャリヤ。 ９．請求の範囲第８項に記載の多目的ポータブル デー
タ キャリヤにおいて、該ポータブル データ キャリ
ヤ内の個々のファイルが該関連するステーションの所の
ユーザによって許されるアクセスのタイプを定義するた
めのファイル許可情報を含むことを特徴とする多目的ポ
ータブル データ キャリヤ。 １０．請求の範囲第９項に記載の多目的ポータブル デ
ータ キャリヤにおいて、該ポータブル データ キャ
リヤ内のファイル許可情報が読出し許可、書込み許可及
び追加許可を含み、読出し許可をもつ第１のバイトが適
当に構成されたステーションの所のユーザがその中のデ
ータを読み出すことのみを許し、書込み許可をもつ第２
のバイトがユーザがその中のデータを読み出すこと及び
その中にデータを書き込むことを許し、そして読出し及
び追加許可をもつ第３のバイトがユーザがその中のデー
タを読み出すことのみ及びその中にデータを追加するこ
とを許すことを特徴とする多目的ポータブル データ
キャリヤ。 １１．請求の範囲第10項に記載の多目的ポータブル デ
ータ キャリヤにおいて、さらに、最低保安レベル、最
高保安レベル及びこれらの間に配置された複数の他の保
安レベルから成るように階層的に配列された複数の保安
レベルが含まれ、個々の保安レベルへのアクセスがその
保安レベルにてデータにアクセスすることを許可された
ユーザにのみ指定される対応するパスワードによって制
御されることを特徴とする多目的ポータブル データ
キャリヤ。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US86397486A | 1986-05-16 | 1986-05-16 | |
| US863,974 | 1986-05-16 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH01500378A JPH01500378A (ja) | 1989-02-09 |
| JP2661930B2 true JP2661930B2 (ja) | 1997-10-08 |
Family
ID=25342238
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP62502751A Expired - Lifetime JP2661930B2 (ja) | 1986-05-16 | 1987-04-20 | 複数のアプリケーションファイルをもつポータブルデータキャリヤのための装置 |
Country Status (7)
| Country | Link |
|---|---|
| EP (1) | EP0270571B1 (ja) |
| JP (1) | JP2661930B2 (ja) |
| KR (1) | KR920008755B1 (ja) |
| AT (1) | ATE77707T1 (ja) |
| CA (1) | CA1287920C (ja) |
| DE (1) | DE3780008T2 (ja) |
| WO (1) | WO1987007063A1 (ja) |
Families Citing this family (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5954583A (en) * | 1992-11-05 | 1999-09-21 | Com21 Limited | Secure access control system |
| CA2148236C (en) * | 1992-11-05 | 1999-07-20 | Graeme Allan Green | Secure access control system |
| AU658111B3 (en) * | 1992-11-05 | 1995-03-30 | Coms21 Pty Ltd | Secure access control system |
| JPH08272924A (ja) * | 1995-03-29 | 1996-10-18 | Mitsubishi Electric Corp | Ｉｃカード |
| ES2153455T3 (es) | 1995-08-04 | 2001-03-01 | Belle Gate Invest B V | Sistema de intercambio de datos que incluye unidades portatiles de procesamiento de datos. |
| US6397330B1 (en) * | 1997-06-30 | 2002-05-28 | Taher Elgamal | Cryptographic policy filters and policy control method and apparatus |
| KR100382181B1 (ko) * | 1997-12-22 | 2003-05-09 | 모토로라 인코포레이티드 | 단일 계좌 휴대용 무선 금융 메시지 유닛 |
| US6148354A (en) | 1999-04-05 | 2000-11-14 | M-Systems Flash Disk Pioneers Ltd. | Architecture for a universal serial bus-based PC flash disk |
| DE19937529A1 (de) | 1999-08-09 | 2001-03-01 | Giesecke & Devrient Gmbh | Tragbarer Datenträger und Verfahren zur Nutzung in einer Mehrzahl von Anwendungen |
| AU6801600A (en) * | 1999-08-26 | 2001-03-19 | Gamut Interactive, Inc. | Smart card database |
| SG152026A1 (en) * | 2000-02-21 | 2009-05-29 | Trek Technology Singapore Pte | A portable data storage device |
| DK1246042T3 (da) * | 2000-02-21 | 2009-03-23 | Trek 2000 Int Ltd | Bærbar datalagringsanordning |
| CN100495420C (zh) | 2000-02-21 | 2009-06-03 | 特科2000国际有限公司 | 便携式数据存储装置 |
| US7508946B2 (en) | 2001-06-27 | 2009-03-24 | Sony Corporation | Integrated circuit device, information processing apparatus, memory management method for information storage device, mobile terminal apparatus, semiconductor integrated circuit device, and communication method using mobile terminal apparatus |
| JP2005011151A (ja) | 2003-06-20 | 2005-01-13 | Renesas Technology Corp | メモリカード |
| US20050167512A1 (en) * | 2003-12-15 | 2005-08-04 | Matsushita Electric Industrial Co., Ltd. | Secure device and information processing apparatus |
| DE102005032542A1 (de) * | 2005-07-12 | 2007-01-18 | Giesecke & Devrient Gmbh | Verwaltung von Applikationen in einem tragbaren Datenträger |
| KR100700484B1 (ko) * | 2005-07-20 | 2007-03-28 | 주식회사 유비닉스 | 비휘발성 메모리용 데이터 기록 관리 시스템 및 그 방법 |
| CN103888248B (zh) * | 2012-12-24 | 2017-12-08 | 中国银联股份有限公司 | 智能卡的密钥管理方法、系统及相应的智能卡 |
Family Cites Families (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB2092353B (en) * | 1981-01-30 | 1984-05-31 | Halpern John Wolfgang | Token |
| FR2539897B1 (fr) * | 1983-01-20 | 1988-12-30 | Cii Honeywell Bull | Procede et dispositif pour habiliter le detenteur d'un objet portatif tel qu'une carte, a acceder par cette carte a au moins un service dispense par au moins un organisme habilitant |
| JPS60160491A (ja) * | 1984-01-31 | 1985-08-22 | Toshiba Corp | Ｉｃカードとｉｃカード発行装置 |
| JPH0614326B2 (ja) * | 1984-03-31 | 1994-02-23 | 株式会社東芝 | Ｉｃカ−ド |
| DE3412663A1 (de) * | 1984-04-04 | 1985-10-17 | Siemens AG, 1000 Berlin und 8000 München | Chipkartensystem |
| ATE71752T1 (de) * | 1985-03-07 | 1992-02-15 | Omron Tateisi Electronics Co | Chipkartensystem. |
| US4742215A (en) * | 1986-05-07 | 1988-05-03 | Personal Computer Card Corporation | IC card system |
-
1987
- 1987-04-20 KR KR1019880700038A patent/KR920008755B1/ko not_active IP Right Cessation
- 1987-04-20 EP EP87903156A patent/EP0270571B1/en not_active Expired - Lifetime
- 1987-04-20 AT AT87903156T patent/ATE77707T1/de not_active IP Right Cessation
- 1987-04-20 JP JP62502751A patent/JP2661930B2/ja not_active Expired - Lifetime
- 1987-04-20 DE DE8787903156T patent/DE3780008T2/de not_active Expired - Fee Related
- 1987-04-20 WO PCT/US1987/000913 patent/WO1987007063A1/en active IP Right Grant
- 1987-04-29 CA CA000535966A patent/CA1287920C/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JPH01500378A (ja) | 1989-02-09 |
| ATE77707T1 (de) | 1992-07-15 |
| EP0270571A1 (en) | 1988-06-15 |
| DE3780008T2 (de) | 1992-12-24 |
| KR920008755B1 (ko) | 1992-10-09 |
| DE3780008D1 (de) | 1992-07-30 |
| KR880701423A (ko) | 1988-07-27 |
| CA1287920C (en) | 1991-08-20 |
| WO1987007063A1 (en) | 1987-11-19 |
| EP0270571B1 (en) | 1992-06-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2795435B2 (ja) | ポータブルデータキャリヤのためのシステム | |
| US4882474A (en) | Security file system and method for securing data in a portable data carrier | |
| JP2661930B2 (ja) | 複数のアプリケーションファイルをもつポータブルデータキャリヤのための装置 | |
| AU681754B2 (en) | Data exchange system comprising portable data processing units | |
| JP4469405B2 (ja) | 半導体メモリカード、プログラム | |
| US4656342A (en) | Method and apparatus for authorizing the holder of a portable object such as a card to gain access to at least one service provided by at least one authorizing entity | |
| JPH08506915A (ja) | 複数のマイクロプロセッサ間でアプリケーション・データおよび手続きを共用するための安全なアプリケーション・カード | |
| JP3720113B2 (ja) | 携帯可能情報記憶媒体、携帯可能情報記憶媒体システム、及び携帯可能情報記憶媒体のデータアクセス方法 | |
| JP4279699B2 (ja) | 半導体メモリカード、制御プログラム。 | |
| JPH09265254A (ja) | 情報記憶媒体の相互認証システム | |
| JP2001143004A (ja) | 取引処理システム | |
| JP2534984B2 (ja) | Ｉｃカ−ド | |
| JP2505003B2 (ja) | 補助記憶を持つｉｃカ―ド | |
| JPH02140892A (ja) | Ｉｃカードシステム | |
| JPS63244192A (ja) | Ｉｃカ−ド装置 |