JPH0378054A - ライト・ワンス・リード・ワンス型トークン並びにこれを用いたセキユリテイ・システム及びデバイス - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 Ａ、産業上の利用分野 本発明は、〜般にはトークンまたはキーカードのｊＥう
をとる物理的に安全な偽造に対して強い（ｆｏｒｇｅｒ
ｙ−ｒｅｓｉｓｔａｎｔ）　型認可（ａｕｔｈｏｒｉｚ
ａｔ　ｉｏｎ　）デバイスに関する。トークンまたはキ
ーカードは、情報や現実の場所へのアクセスなど、何ら
かのアクションあるいはトランザクションの３１丁を表
す６本発明は、特に、ハードウェア・ベースのセキュリ
ティ（機密保護）システムに適したライト・ワンス・リ
ード・ワンス型バッテリレス（！！バッテリ）認証（ａ
ｕＬｈｅｎＬｉｃａＬｉｏｎｌ　トークンに関する。

Ｂ、従来技術 セキュリティ・システムの説明は、５ｔｅｖｅ　Ｒ。

ＷｈｉｔｅとＬｉａ＊　Ｃｏ＋ｍｅｒＦｏｒｄのｒＡＢ
ＹＳＳ−一信頼性の高いソフトウェア保護アーキテクチ
ャ（ＡＢ　Ｙ　Ｓ　Ｓ　：　Ａ　Ｔｒｕｓｔｅｄ　Ａｒ
ｃｈｉｔｅｃＬｕｒｅ　ｆｏｒＳｏｒＬｗａｒｅ　Ｐｒ
ｎｔ、ｅｃｔ、１ｏｎ）　Ｊ　、セキュリティとブライ
バシに関するＩ　ＥＥＥコンピュータ協会会議（１９８
７年４月２７−２９日）の記録（Ｐｒｏｃｅｅｄｉｎｇ
ｓ　ｏｆ　ｔｈｅ　［ＥＥＥ　Ｃｏｍｐｕｔ、ｅｒ　５
ｏｃｉｅｔｙｃｏｎｆｅｒｅｎｃｅ　ｏｎ　５ｅｃｕｒ
ｊＬｙ　ａｎｄ　Ｐｒ１ｖａｃｙ）　、　Ｐ　Ｐ　。

：３８−５１．にみられる、このシステムでは。

回しか使用されない認証機構（トークンと呼ばれる）に
より、ユーザがソフトウェアのソースとの間に両方向通
信を６Ｉｉｎする必要なく、あるコンピュータで保護対
象となっているソフトウェアの実行を認可するという問
題が解決されている。このシステムは多（のセキュリテ
ィ・アプリケジョンを備えるが、特に強調されているの
は、ソフトウェアの販売条件をどのように適用するがで
ある。

トークンは、小さなハードウェア・デバイスであり、劇
場のチケットに似ている。トークンの有効性は、エレク
トロニック・トランザクションにおいて検査され、それ
と同時にトークンが無効にされる。無効にするのは検査
プロセスに固有のものであることから、トークンは、リ
ード・ワンス・デバイスとなっている。トークンの有効
性を検査する方法は直接的である。トークンには２つの
形式のデータが含まれる。第１の形式は、読み取られて
、トークンに想定されている内容と比較される。符合す
れば、そのトークンは有効になる。第２の形式は、第１
の形式を暗号化したものである。検査を行うハードウェ
アは、第２の形式のデータをデコードする暗号キーを持
ち、これにより第１の形式のデータとの比較が行われる
。

トークンが独特な性質を持ち、認Ｊを代行するデバイス
として実用的であるのは、そのアーキテクチャが偽造防
止に都合がよいからである。すなわら、トークンにデー
タを要求する照会及びトークンの応答が２超されたとし
ても、この情報は、第２の照会に正しく応えようとする
際には役に立たない。

トークンの検査プロセスは、トークンに対するｌビット
の照会のランダムに並べたものとトークンからの応答で
あり、その間にトークンのデータの一部が要求され提示
される。提示されたデータのδビットについて、ｌビッ
トのデータが破壊される。このプロセスの終わりには、
トークンに含まれたデータの半数が提示され、残りの半
数が破壊されることになり、後の処理には使えなくなる
。この処理をシミュレートする。すなわちトークンを偽
造するためには、照会のシーケンスがどのようなもので
も、それに正しく応答できなければならない、つまり、
トークンの内容をすべて杷握していなければならない、
一般に、どのようなトークンでも、そのほぼ４６分が検
ｎされる６　トークンが有効かどうかを判定するのには
、この程度の晴で充分であるが、最初の検査とは異なる
シーケンスの照会を受けながらｃ１°効なトークンをシ
ミュレートするのに必要な情報を与えるのには充分では
ない。

第１図は、トークン１２と検査（ｖａｔ　ｉｄａＬｉｎ
ｇ）プロセッサｌＯの論理／物理接続を示す、検査プロ
セッサは、有効なトークンを調べるために、ランダムな
ビット・シーケンス（照会）を生成する。最初のビット
をトークンの照会ライン１４に送り出し、トークンのク
ロック・ライン１６にパルスを送る。トークンは、ｉｉ
ｉ択されたレジスタの内容をその出力ライン１８に送り
出す、プロセッサ１０は、この値を読み取って格納する
。このプロセスは、照会の次のビットについて繰り返さ
れる。照会と応答のシーケンスが終ｒすると、プロセッ
サは、応答のシーケンスを、所定の照会に対して？！定
された応答シーケンスと比較する。この想定Ｌ６答シー
ケンスを見つけるために、他のチャネル（代表的なもの
は暗号チャネル）によって検査ブロセウサに供給される
データにより、トークンの照会がシミュレートされる。

符合すれば、トークンはイｉ効とみなされる。

第２ＡＬ！！Ｉと第２Ｂ図は、トークン・アーヤテクチ
ャの略図とトークン検査シーケンスの一部の両方を示す
、トークンのデータはｎビットのシフト・レジスタ２０
．２２に格納される。シフト・レジスタはマルチプレク
サ２３につながり、マルチプレクサ２３は、照会ライン
２４に応じて１選択されたレジスタから応答ライン２８
へデータを送る６レジスタのシフトが起こるたびに、各
レジスタが１ビツトのデータをシフトアウトし、ゼロを
シフトインする。これにより、トークンは、ｎ回の照会
の後で消去され、トークンが使えなくなる１図のシーケ
ンス例では、プロセスはｒ　Ｕ　Ｐレジスタの内容は？
Ｊから始まり、これの応答は１ゼロ」となる、ＤＯＷＮ
レジスタ２２のデータもシフトアウトされるが（第２Ｂ
図）、このデータは、当該デバイスの外部端子には供給
されない、このプロセスは、ｎ回繰り返され、ランダム
に選択されたｎ＠の照会を伴う、その間、ｎビットのデ
ータが提１、され、ｎビットか簗却される。

現在のＡＢＹＳＳシステムでは、システムのアクセスを
許可するトークンは、バッテリによって動作するので、
これがトークンのＸ、　ｌｙを制限し。

生産コストを大きくしている。

Ｃ９発明が解決しようとする課題 本発明の目的は、安価に生産でき、在庫有効期間に制限
のないトークンを提供することにある。

本発明の目的には、現在のバッテリ駆動方式のトークン
・インタフェース・アーキテクチャに準拠し、偶発的な
りロックの影響を受＆Ｊにくくすることによって信頼性
を高めたバッテリレス・トークンを提供することも含ま
れる。

０１課題を解決するための手段 本発明によるライト・ワンス・リード・ワンスをのバッ
テリレス・トークンは、プログラマブル・、ヒューズ・
リンク・デバイスに見られるものと同様のヒユーズを用
いて必要なアクセス・ブタを格納する。このヒユーズは
、２つのメモリ・アレイのいずれかの特定のビットのス
テータスを示す０本発明の実施例に採用された５式では
、　ｒＨ断していないヒユーズによって、ビットが論理
Ｏであることが示され、溶断したヒユーズによって、ビ
ットが論理！であることが示される。ただし当業者には
明らかなように、、ヒューズ・リンクの論理的な意味を
逆にしてトークンを構成することも５本発明の主旨から
逸脱することなく可能である。このようなトークンの設
計は、第２Ａ図と第２Ｂ図に示したものなど、従来のト
ークンとは異なり、記憶域に電力を継続的に供給する必
要がない。

従来のトークンをメモリ・アレイにおいて実現すること
は可能であるが１本発明の場合、いずれかのアレイの特
定のビットを読み取るプロセスでは、データが消去され
るとともに、読み取るデバイスに対してデータが有効に
なる前に、メモリセルがＭ２Ｓされる。メモリ・ビット
のセルに格納されたデータは、リード・サイクルでビッ
トのヒユーズを溶断することによって破壊される。

Ｅ、実施例 以下１本発明によるライト・ワンス・リード・ワンス型
バッテリレス認証トークンについて。

、ヒューズ・リンク技術に照らして説明する。ただし、
ヒ上−ズ・リンクのメモリ・セルは、新しい技術の登場
により、電気的に消去可能なメモリ・セルに取って代わ
ると考えられる。また、以下の説明では、デバイスを１
個の集積回路として実現することを想定している。この
実現方法では１回路を電子的に調べ尽くすことがきわめ
て困難になるという意味で、デバイスの物理的な機密性
が保たれる。

ヒユーズの製造技術は、はとんどが、ヒューズ・リンク
・デバイスで構成されるＰＡＬ（プログラマブル・アレ
イ・ロジック）デバイスに用いられている一般的なもの
である。形成されたヒユーズは、一定時間に一定限の電
流しか受容せず、その後は、非常に抵抗率の高いリンク
になる。この回路では、このリンクによって論理レベル
の違いが検出される。この性質を利用することで、トー
クン内のプログラムされたデータが破壊される。

以下、凸図、特に第３図を参照する。第３図は、、ヒュ
ーズ・リンク技術を用いた本発明によるライト・ワンス
・リード・ワンス型トークンを示す、トークンは、ｎ個
のアレイ３０とｍｌＷのアレイ４０から成り、この実施
例ではそれぞれ１２８ビツトであるが、ビット数はアプ
リケーションやプロトコルに応じて増減できる。アレイ
３０．４０の３段は、ＮＰＮバイポーラ・トランジスタ
３２．４２などから構成され、各トランジスタは、コレ
クタ・フォロワとして、各エミッタ回路内のヒユーズ３
４．４４などに接続される。データは、３トランジスタ
に共通のコレクタから、出力端ｉ’　３６．４６におい
て取り込まれる。

トランジスタのベース回路は、デマルチプレクサ：３Ｂ
、４Ｂによってアドレス指定される。デマルチプレクサ
はそれぞれ、１２８本の選択出力ライン（０ないし１２
７１を持つ、ｒマルチプレクサ３８．４８に入るシリア
ル・データはＮＡＮＤゲート５０．５２から供給される
。ＮＡＮＤゲ−ト５０．５２はフリップフロップ５４．
５６からデータを受ける。フリップフロップ５４．５６
には、入力端子５８のトークン・クロックがかかる。ｎ
個のアレイ３０とｍ個のアレイ４０がトークン・データ
を受けるのは、ライト・會ナイクルのときだけである。

ライト・サイクルは、トークン・クロックが１２８サイ
クルである。ライト・サイクルの後、デバイスの読み取
りは１２８クロツク・サイクルの間に可能であるが、＋
ＥＬい読み取りはできない、ライト・サイクルで溶断し
なかったヒユーズはすべて、このリード・サイクルで溶
断される。そのため、リード・サイクルの後、デバイス
を読み取ろうとした場合、結果は。

デバイスの前の内容とは無関係にｌ″の並びだけとなる
。

トークン・クロックは、２５６カウント・カウンタ６０
にも入力される。カウンタ６０は、バイナリ・カウント
・データの７本のラインをデマルチプレクサ３８．４８
に与える、このカウンタは、電源投入時にＯにセットさ
れるカウンタである。このデータは、ｎ個のアレイ３０
．ｍＭのアレイ４０のそれぞれの各トランジスタをアド
レス指定するのに用いられる。ライト・サイクルのとき
にデータが各アレイに書き込まれると、論理１にプログ
ラムされるヒユーズは、対応するトランジスタによって
流れる電流で溶断され、論理Ｏにプログラムされるヒユ
ーズは、溶断されずに残る。

トークンが書き込まれた時点では、カウンタ６０のカウ
ントはｌ０１ＮＲの１２７である。トークンが丙び９き
込まれないようにするために、カウンタ６０には、もつ
−ｔｆクロックがかけられ、７個の１．ｓ［３（ｉ下位
ビットＪがすべてＯにリセットされ、ＭＳＢ　（最上位
ビットンは論理１にセットされる。この動作が起ζると
、リード動作がスタートするが、４通時のこの動作の時
間は非常に短い、ＭＳｔ３位置（６０）は、ダーリント
ン（Ｏａｒｌｉｎｇｔｏｎ１回路を変Ｈヨシた一対のト
ランジス６１につながる。第２トランジスタＱ２のエミ
フタはヒ１−ズ化され、ＭＳＩＪか１になると、トラン
ジスりＱｌによって大きい電流がトランジスタＱ２のベ
ースに流れる。これによりトランジスタＱ２のエミッタ
・ヒユーズに大きい電流が流れ。

エミッタ・ヒユーズが直ちに溶断される。このヒユーズ
が溶断したとき、電力を直ちに遮断しなければ、リード
・サイクルがスタートする。

ヒユーズの溶断により、ＮＡＮＤゲート５０．５２の入
力に論理ルベルが与えられるので、デマルチプレクサ３
８．４８にはクロック入力が人らな（なる、その結果、
トークンの再Ｊ）き込みができなくなる１次に電源が入
るとリード動作がスタートする。

リード動作のとき、ｎ個のデータとｍ個のデータがライ
ン３６．４６に送られる。このデータは、インバータ６
６．６８を介してラッチ７０．７２のクロック入力に供
給される。、このデータ入力は、−ｆ！１！　０に相当
するグランドに接地される。インバータ６６．６８は、
１０ないし２０ナノ秒（ｎｓ）の遅れを５える。トーク
ン・クロックはＮ　Ａ　Ｎ　Ｄゲート７４．７６の反転
入力にも供給される。このは・か、ＮＡＮＤゲートへの
入力は、ライン３６．４６からのｎｆｌｉのデータ・ピ
ットとｍ個のデータ・ピットである。ＮＡＮＤゲート７
４．７６もＩＯないし２０ｎｓの遅れを与え、その出力
は、それぞれラッチＴｏ、７２の入力をプリセットする
ように接続される。

第１のＡＮＤゲート７８と第２のＡＮＤゲート８０はそ
れぞれ、入力としてｎ＠のデータ・ピットとｍ個のデー
タ・ピットを大カライン３６，４６から、トークン・ク
ロックを入力端子５８から受ける。これらＡＮＤゲート
の出力は、フリップフロップ８２．８４のクロック入力
につながる。

フリップフロップ８２．８４のデータ入力は。

ラッチ７０．７２によって供給される。ラッチされた（
フリップフロップ８２．８４からの）データｎ、ｍは、
マルチプレクサ８６の入力に供給される。マルチプレク
サ８６は、トランジスタＱ２のコレクタに接続されるの
で、Ｑ□のエミッタ回路のヒユーズが溶断したとき、マ
ルチプレクサは出力が可能な状態になる。これにより、
リード・サイクルでのみトークン応答が可能になる。マ
ルチプレクサ８６からのトークン応答は、ラッチされた
（フリップフロップ８２からの）データｎか、またはラ
ッチされた（フリップフロップ８４からの）データｍで
あり、いずれが選択されるかは、クロックがかかった（
フリップフロップ９０からの）トークン照会による。照
会自体は、入力端子８８からフリップフロップ９０のデ
ータ入力へ供給される。フリップフロップ９０には、イ
ンバータ９２を介してトークン・クロックがかけられる
。

第４図のタイミングは、、ヒューズ・リンク（ｎ＋また
はｍｔｌにより、リード・サイクルのｉ番目のトークン
・クロックがかかる間、データは既知の時間だけ有効に
なる様子を示す、ｉ番目のトークン・クロックの立ら下
がりエツジにおいて、内部カウンタがｉに増分される。

これにより、各アレイからのビットｎ、とｍ、が選択さ
れる０選択の後、ｎ、とｍ、のメモリ・セルのそれぞれ
に、そのヒユーズのステータスとは無関係にＨＩ　Ｇ　
Ｈレベル（論理ｌ）が与えられる。溶断していないヒユ
ーズの場合、ヒユーズが溶断するまでの間、ｎデータ・
ライン３６またはｎデータ・ライン４２がＬＯＷ　（論
理０）になり、溶断後に再びＨＩ　Ｇ　Ｈになる。これ
によってヒユーズの寿命が定まる。これは、デユーティ
・サイクルが５０％で、クロック期間の半分を超えない
ようにする必要がある。

ヒユーズが溶断すると、データは読み取り側のデバイス
に解放される。第３図のラッチ回路は。

ビットが選択されたときに動作を開始する。ラッチ回路
ｎを考えると、第１のラッチ７０は、デフォルトとして
プリセット状態に入り、データ・ピットが１であること
を示す、このビットは、■効な場合とそうでない場合が
ある。ヒユーズが溶断すると、第１のラッチはｌを保持
し、ｎビットとｍビットが両方とも論理ｌであれば、ト
ークン・クロックの立ちヒがりエツジでマルチプレクサ
８６にｌのクロックがかけられる。ヒユーズが溶断して
いなければ、ビット・セルはヒユーズ寿命の間はＬＯＷ
レベル（論理０）になる、ビットが１から０に遷移する
と、ラッチ回路の第１のラッチ７０にクロックがかかり
、ラッチ７０は、出力フリップフロップ８２が受は取れ
るまで０をラッチする。出力ラッチ（フリップフロップ
）８２は、ｎビットのヒユーズとｍビットのヒユーズが
両方とも溶断していない場合は、チエツクのために、デ
ータをクロックで出力しない、ここで重要なのは、ＡＮ
Ｄゲート７８の転送遅れが、ＮＡＮ　Ｄゲート７４の転
送遅れに比べて短いので。

ラッチ（フリップフロップ）８２によってクロックのか
かったデータが有効になるということである。ヒユーズ
が両方とも溶断すると、データは。

トークン・クロックの立ち上がりエツジで出力マルチプ
レクサ８６へラッチアウトされる。このときトークン・
クロックは、第４図に示したヒユーズの最大寿命より長
い間ＬＯＷでなければならない。

このラッチ回路の動作は、ラッチ７２と出力フリップフ
ロップ８４について同一である。トークン応答は、トー
クン・クロックの立ち上がりエツジで有効になり、いず
れかのバンクからのデータは、トークン・クロックの立
ち下がりエツジでラッチされるトークン照会ラインの状
態によって選択される。そこでトークン応答は、トーク
ン・クロックがＨＩＧＨの間は有効になる。トークン・
クロックが再びＬＯＷになると１次のリード・サイクル
がスタートし、新たなトークン照会を受けて、アレイの
別のビットが選択される。

このトークンは、ライト・ワンス・リード・ワンス・デ
バイスであり、入力回路かこのデバイスの読み書きをＩ
Ｑ御する。トークンは、設計上、最初がライト・サイク
ルで１次がリード・サイクルである。デバイスの５き込
み時には、オンボード・カウンタがＯないし２５６を計
数し、その間ＳＢ（最上位ビット）によって、プログラ
ムされ読み戻されるメモリ・ビットのデマルチブレクシ
ング（瘤数出力）が＄１１１１される。ライト・サイク
ルが終了すると、ＭＳ口は、カウンタ上で１にセットさ
れ、よって、独立したヒユーズが溶断する、これは内部
的に、デバイスがプログラムされたことを示す、ライト
動作の間、データが０の入力端子とデータが１の入力端
子上の情報は、メモリ・セルに送られるので、ヒユーズ
が溶断され。

トークンがプログラムされる。ライト動作が終了すると
、ＭＳＢがトランジスタＱ、、Ｑ、に出力され、これに
よって各トランジスタがヒユーズを溶断し、入力データ
はメモリ・セルをアクセスできなくなる。アクセスされ
たときは、メモリ・セルにＨＩＧＨ信号が供給されるの
で、リード・アクセスによってヒユーズ・セルが溶断す
る。また、ライト動作のときには、トークンの出力が禁
止される。これが起こるのは、書き込みが終了したとき
である。

このトークンの設計上の意図は、基本的には。

在庫有効期間にｉｌｌ限をなくル、コストを下げ、偶発
的なりロックの影響を受けにくいバッテリレス・トーク
ンを提供することにある。これを実現するために、ヒユ
ーズ溶断のタイミングを制御し、出力データのラッチ動
作を保護することで。

選択されていないデータが破壊され、データの漏洩が防
止される１本発明は、集積回路の形で容易に実現できる
。

Ｆ８発明の効果 本発明のトークン及びセキュリティ・システムによれば
、従来のバッテリに起因した障害か取り除かれる。

【図面の簡単な説明】

第１図は、トークンと検査プロセッサを示す上位ブロッ
ク図である 第２Ａ図と第２Ｂ図は、シフト・レジスタに基づくバッ
テリ駆動トークンのアーキテクチャと動作の両方を示す
ブロック図である。 第３図は、第３Ａ図と第３Ｂ図の位置関係を示す構成図
である。 第３Ａ図と第３Ｂ図は１本発明によるライト・リンス・
リード・ワンス型バッテリレス・トークンの論理／回路
図である。 第４図は、第３図の実施例の動作を表すタイミング図で
ある。

Claims (1)

1. 【特許請求の範囲】 （１）セキュリティ・システムへのアクセスを制限する
   ライト・ワンス・リード・ワンス型トークン・セキュリ
   ティ・システムであって、 ヒューズ・リンクのアレイを含むトークンと、 上記ヒューズ・リンクのうち選択されたリンクを溶断す
   ることによって上記アレイにデータを書き込む手段と、 上記アレイからデータを読み出す手段とを含み、 上記データ読み出し手段はさらに、上記データ書き込み
   手段によって溶断されなかった上記アレイのヒューズ・
   リンクを溶断する、セキュリティ・システム。 （２）請求項１に記載のトークン・セキュリティ・シス
   テムであって、上記ヒューズ・リンクのアレイが、ヒュ
   ーズ・リンクの第１及び第２のアレイから構成され、上
   記トークンが、該第１及び第２のアレイに接続され、且
   つ上記データ読み出し手段に応答して、該第１及び第２
   のアレイのいずれかからデータを選択的に読み出すマル
   チプレクサ手段を含んでなるシステム。 （３）請求項１に記載のトークン・セキュリティ・シス
   テムであって、上記書き込み手段が、 上記アレイに読み込まれるデータを一時的に格納するデ
   ータ・ラッチ手段と、 上記アレイの個々のヒューズ・リンクをアドレス指定す
   るデマルチプレクサ手段と、 上記デマルチプレクサ手段に接続されて、上記ヒューズ
   ・リンクのそれぞれのアドレスをサイクル・スルーする
   カウンタ手段とを含み、上記デマルチプレクサ手段が、
   上記データ・ラッチ手段を、アドレス指定されたヒュー
   ズ・リンクに接続するシステム。 （４）請求項３に記載のトークン・セキュリティ・シス
   テムであって、ｎを上記アレイのヒューズ・リンクの個
   数としたとき、上記カウンタ手段が、２ｎ個のアドレス
   を計数し、上記カウンタ手段のｎ番目のアドレス出力に
   応答し、上記データ・ラッチ手段とアドレス指定された
   ヒューズ・リンクとの接続を禁止する手段を含み、上記
   読み出し手段が、上記カウンタにクロックをかけて、上
   記アレイからデータを読み出すシステム。 （５）請求頃１に記載のトークン・セキュリティ・シス
   テムであって、上記ヒューズ・リンクのアレイが、ヒュ
   ーズ・リンクの第１及び第２のアレイから構成され、上
   記トークンが、該第１及び第２のアレイに接続され、且
   つ上記データ読み出し手段に応答して、該第１及び第２
   のアレイのいずれかからデータを選択的に読み出すマル
   チプレクサ手段を含み、 上記書き込み手段が、 それぞれ上記第１アレイ及び第２アレイに読み込まれる
   データを一詩的に格納する第１及び第２のデータ・ラッ
   チ手段と、 上記第１及び第２のアレイの個々のヒューズ・リンクを
   それぞれアドレス指定する第１及び第２のデマルチプレ
   クサ手段と、 上記第１及び第２のデマルチプレクサ手段に接続されて
   、上記ヒューズ・リンクのそれぞれのアドレスをサイク
   ル・スルーするカウンタ手段とを含み、 上記第１及び第２のデマルチプレクサ手段が、それぞれ
   、上記第１及び第２のデータ・ラッチ手段を上記第１及
   び第２のアレイのアドレス指定されたヒューズ・リンク
   に接続するシステム。 （６）請求項５に記載のトークン・セキュリティ・シス
   テムであって、ｎを上記第１及び第２のアレイのそれぞ
   れのヒューズ・リンクの個数としたとき、上記カウンタ
   手段が、２ｎ個のアドレスを計数し、上記カウンタ手段
   のｎ番目のアドレス出力に応答して、上記第１及び第２
   のデータ・ラッチ手段とアドレス指定されたヒューズ・
   リンクとの接続を禁止する手段を含み、上記読み出し手
   段が、上記カウンタ手段にクロックをかけて、上記第１
   及び第２のアレイからデータを読み出すシステム。 （７）請求項６に記載のトークン・セキュリティ・シス
   テムであって、第３及び第４のラッチ手段を含み、該ラ
   ッチ手段がそれぞれ上記第１及び第２のアレイと上記マ
   ルチプレクサに手段との間に接続されて、上記第１及び
   第２のアレイから読み出されたデータを一時的に格納す
   るシステム。 （８）セキュリティ・システムへのアクセスを認可する
   ライト・ワンス・リード・ワンス型トークンであって、 ヒューズ・リンクの第１及び第２のアレイと、 上記第１及び第２のアレイに接続されて、上記第１及び
   第２のアレイのいずれかからデータを選択的に読み出す
   マルチプレクサ手段と、 上記第１及び第２のアレイに読み込まれるデータを一時
   的に格納する第１及び第２のデータ・ラッチ手段と、 上記第１及び第２のアレイの個々のヒューズ・リンクを
   アドレス指定する第１及び第２のデマルチプレクサ手段
   と、 上記第１及び第２のデマルチプレクサ手段に接続されて
   、上記ヒューズ・リンクのそれぞれのアドレスをサイク
   ル・スルーするカウンタ手段とを含み、 上記第１及び第２のデマルチプレクサ手段が、それぞれ
   、上記第１及び第２のデータ・ラッチ手段を上記第１及
   び第２のアレイのアドレス指定されたヒューズ・リンク
   に接続するトークン。 （９）請求項８に記載のトークンであって、ｎを上記第
   １及び第２のアレイのそれぞれのヒューズ・リンクの個
   数としたとき、上記カウンタ手段が、２ｎ個のアドレス
   を計数し、上記カウンタ手段のｎ番目のアドレス出力に
   応答して、上記第１及び第２のデータ・ラッチ手段とア
   ドレス指定されたヒューズ・リンクとの接続を禁止する
   手段を含み、上記カウンタ手段にクロックがかけられて
   、上記第１及び第２のアレイからデータが読み出される
   トークン。 （１０）請求項９に記載のトークンであって、上記第１
   及び第２のアレイと上記マルチプレクサ手段との間に接
   続されて、上記第１及び第２のアレイから読み出された
   データを一時的に格納する第３及び第４のラッチ手段を
   含むトークン。 （１１）物理的に安全な偽造に対して強い認可システム
   であって、 出力デバイスと、 情報を電子的に格納し、格納された情報のうち選択され
   た部分を表す信号を上記出力デバイスに接続するための
   少なくとも第１及び第２の個別の記憶エレメントを含み
   、且つ未使用時に保持電力を必要としない記憶手段を含
   むトークンと、照会入力端子、トークン・クロック入力
   端子、及び出力応答端子を含み、上記トークンを上記出
   力デバイスに接続するコネクタと、 上記照会入力端子を上記トークンに接続する手段とを含
   み、 上記トークンがさらに、上記照会入力端子の信号に応答
   して、上記第１及び第２の個別記憶エレメントのいずれ
   かから信号を選択して該信号を上記コネクタに接続する
   選択手段と、上記の接続と同時に、選択されていない情
   報を破壊し、選択された情報が出力された後に、上記第
   １及び第２の個別記憶エレメントのいずれも上記選択さ
   れていない格納情報を保持しない手段とを含む、システ
   ム。 （１２）請求項１１に記載の物理的に安全な認可システ
   ムであって、上記第１及び第２の個別記憶エレメントが
   、第１及び第２のメモリ・アレイと、上記照会端子及び
   上記クロック端子を上記メモリ・アレイに接続し、上記
   メモリ・アレイのエレメントを選択する手段とを含み、
   個数が、上記第１及び第２のメモリ・アレイの容量の２
   倍に等しいクロック・パルスが受信された後に、上記第
   １及び第２のメモリ・アレイの両方が上記格納情報を保
   持しなくなるシステム。 （１３）請求項１２に記載の物理的に安全な認可システ
   ムであって、上記選択手段が、上記クロック端子のクロ
   ック・パルスに応答して、上記第１及び第２のメモリ・
   アレイの両方をアドレス指定する手段を含むシステム。 （１４）請求項１３に記載の物理的に安全な認可システ
   ムであって、上記選択手段が、上記照会入力端子の照会
   信号に応答し、上記第１及び第２のメモリ・アレイのい
   ずれかから、アドレス指定された出力を選択するマルチ
   プレクサ手段を含み、選択された出力が上記出力応答端
   子に供給されるシステム。 （１５）請求項１２に記載の物理的に安全な認可システ
   ムであって、上記選択手段が、 上記クロック端子のクロック・パルスに応答してアドレ
   スを生成するカウンタ手段と、 上記アドレスに応答して、上記第１及び第２のメモリ・
   アレイからデータ・ピットを読み出す第１及び第２のデ
   マルチプレクサ手段と、 上記照会入力端子の照会信号に応答して、上記第１及び
   第２のメモリ・アレイのいずれかから、アドレス指定さ
   れた出力を選択するマルチプレクサ手段とを含み、選択
   された出力が上記出力応答端子に供給される、システム
   。 （１６）請求項１１に記載の物理的に安全な認可システ
   ムであって、上記記憶手段と上記出力デバイスが集積回
   路として実現されたシステム。 （１７）請求項１１に記載の物理的に安全な認可システ
   ムであって、上記記憶手段と上記出力デバイスが改造防
   止用パッケージに密封されたシステム。 （１８）請求項１１に記載の物理的に安全な認可システ
   ムであって、上記記憶手段がメモリ・アレイで構成され
   、上記第１及び第２の個別記憶エレメントのアドレス可
   能な記憶位置が異なり、上記選択手段がカウンタ手段を
   含み、該カウンタの入力が上記コネクタの上記トークン
   ・クロック入力に接続されて、上記メモリ・アレイがア
   ドレス指定されるシステム。 （１９）請求項１８に記載の物理的に安全な認可システ
   ムであって、上記コネクタが上記個別記憶エレメントの
   少なくとも１個の入力に接続された少なくとも１個のデ
   ータ入力端子を含む、システム。 （２０）請求項１８に記載の物理的に安全な認可システ
   ムであって、上記メモリ・アレイが、電子部品の物理状
   態においてビットを格納するシステム。 （２１）請求項２０に記載の物理的に安全な認可システ
   ムであって、上記電子部品が溶断可能なリンク・デバイ
   スであるシステム。 （２３）物理的に安全な偽造防止型認可デバイスであっ
   て、 格納された情報を保持する記憶手段と、 出力端子と照会入力を持つコネクタと、 上記照会入力によって表される照会情報に応答して、選
   択された永続的格納情報とこれと同量の選択されていな
   い格納情報の両方を破壊した後にのみ、上記格納情報の
   うちの選択された部分を表す信号を選択して該信号を上
   記出力端子に接続する第１の手段とを含み、よって上記
   選択された情報が上記コネクタを介して出力される前に
   、上記同量の選択されていない格納情報が保持されなく
   なる、デバイス。 （２４）請求項２３に記載の物理的に安全な認可デバイ
   スであって、上記第１手段が、上記選択された格納情報
   を破壊する手段を含み、上記選択された格納情報が上記
   出力端子から出力される前に、上記選択された格納情報
   または上記選択されていない格納情報を永続的には保持
   しなくなるデバイス。 （２５）請求項２３に記載の物理的に安全な認可デバイ
   スであって、上記コネクタがクロック端にを含み、上記
   記憶手段がメモリ・アレイで構成され、上記第１手段が
   、 上記クロック端子に接続されて、上記メモリ・アレイに
   格納されたデータのアドレスを生成する手段と、 上記メモリ・アレイのアドレス指定されたデータを選択
   して、該データを上記出力端子に接続するセレクタ手段
   とを含む、デバイス。 （２６）請求項２５に記載の物理的に安全な認可デバイ
   スであって、上記セレクタ手段が、上記アドレス指定さ
   れて選択されたデータを一時的に格納するラッチ手段を
   含むデバイス。