JP2007305144A

JP2007305144A - 条件付きアクセス装置

Info

Publication number: JP2007305144A
Application number: JP2007160283A
Authority: JP
Inventors: Cornel Sirbu; シルブ，コルネル
Original assignee: Individual
Current assignee: Individual
Priority date: 1995-08-21
Filing date: 2007-06-18
Publication date: 2007-11-22
Also published as: KR100472403B1; AR003316A1; PL325164A1; WO1997007448A3; BG63764B1; DE69621042D1; CN1154902C; BG102336A; WO1997007448A2; EA001415B1; SK285147B6; HUP9900499A2; US6070796A; AU720839B2; CZ40898A3; CN1194043A; HUP9900499A3; PL184741B1; EP0870222B1; NO317497B1

Abstract

【課題】第三者がホスト機器に接続して、後者によって処理されている情報を知ることは可能であり、簡単でさえあり、外部の第三者がアクセスできる情報を選別するための技術的解決法は多数存在するが、これらの解決法は開放志向と、大半の使用者の通信レベルの引き上げという方針とは矛盾するものであり、最適に動作するためには、複雑で、平均的な使用者には一般的に理解できない調停を強いるので、これらの不都合を解消する。
【解決手段】使用者に関する個人情報取得手段を備え、前記個人情報がホスト機器を経由することなしに集積回路カード（５）内に記憶された情報と局所的に比較され、該認証または非認証の情報がホスト機器に伝送される。
【選択図】図1

Description

本発明は集積回路カードのための一つまたは複数個のカプラーを具備するポインティングデバイスによって形成される条件付きアクセス装置に関するものである。

当該装置は集積回路カードによって機密保護された取引実行、カード所持者の識別、および／または取引過程の管理のためのものである。

主たる用途分野としては、ホスト機器の資源への条件付きアクセス、ホスト機器がリンクまたは接続されている外部機器で利用可能な資源への条件付きアクセス、ホスト機器またはホスト機器がリンクまたは接続されている外部機器に記憶されているソフトウェアの利用許可の管理、電子支払い、などが挙げられる。

「集積回路カード」は、一般的に「チップカード」と呼ばれているメモリカードまたはマイクロプロセッサカード、無接点カードあるいはＰＣＭＣＩＡカードなどの、処理および／または記憶機能を実行する一つまたは複数個の集積回路を具備した、一般的にカード形の媒体を意味するものとする。

「集積回路カードカプラー」は、標準または特殊通信プロトコルに従って、ハードウェアと集積回路カードの間の信号交換のためのインターフェイスの役割を果たす一切の手段を意味するものとする。信号の交換は電気的接続、あるいは電磁的または光などによって無線で実現することができる。

「ホスト機器」は、電算機端末、ワークステーション、パソコン、マルチメディア端末、などを意味し、またとくに、構内あるいは公衆通信回線網に一時的あるいは常時双方向接続する手段を備えた上記一切の機器を意味するが、それらに限らないものとする。

「ポインティングデバイス」はボール形光学機械式マウス、特殊マットを必要とする光学式マウス、トラックボール、ペンまたはカーソル式デジタイザ、タッチ式ポインター、ジョイスティック、ＣＤ−Ｉ用のレバー式リモコンなどの、視覚オブジェクトを含む、画面とグラフィックユーザーインターフェイスを備えた対話型ホスト機器とともに使用するための、視覚オブジェクト上で移動するために使用者が手で動かす装置を意味するものとする。

これらのデバイスはそれが制御し、ＲＳ２３２、ＵＳＢまたは同等のポートなどの通信ポートを介して接続された、あるいは赤外線や電磁波などのリンクによる、無線通信手段によってリンクされた機器と共同して動作する。場合によっては、特にホスト機器が携帯用電算機の場合、これらのデバイスは後者に組み込まれているが、その場合でも独立した機器を構成している。

一般的には、共通標準ホスト機器のメーカーの大半が採用しているので装置は容易に交換することができる。さらにこれらのデバイスはホスト機器の価格に比較して比較的安価な装置である。したがって、ホスト機器とは無関係に、同様な装置によって問題なしに交換することができる。

先行技術、例えば、欧州特許ＥＰ４８５２７５またはドイツ特許ＤＥ４３２６７３５において、一部のポインティングデバイスに集積回路カードコネクタを組み込むことが提案された。一番最近の技術に当たる欧州特許出願ＥＰ４８５２７５に記載のデバイスはポインティング機能に関する信号交換と、集積回路カードに組み合わされた機密保護機能の利用のための信号交換を同時に可能にするために、電算機とデバイスの間の共通の導線に直結された集積回路カードコネクタを備えている。デバイスは集積回路カードと接続されている電算機の間で透明に振る舞う。デバイスでは何の処理も行われず、集積回路カードと電算機の間の電気的連絡を確保するだけである。個人識別コードの捕捉プロセス全体はホスト機器内で行われるので、それは不十分であり、インターネットなどの公衆回線網の商業的開発の大きな障害になっている。
欧州特許出願公開第４８５２７５号明細書

事実、ホスト機器は今日ほとんど必ず少なくとも一つの、組織内のネットワーク、あるいはインターネットなどの公衆ネットワークにリンクされている。したがって、第三者がホスト機器に接続して、後者によって処理されている情報を知ることは可能であり、簡単でさえある。外部の第三者がアクセスできる情報を選別するための技術的解決法は多数存在するが、これらの解決法は開放志向と、大半の使用者の通信レベルの引き上げという方針とは矛盾するものであり、最適に動作するためには、複雑で、平均的な使用者には一般的に理解できない調停を強いるものである。

本発明の目的は、公衆回線網またはＬＡＮなどによってホスト機器に接続して集積回路カードに組み合わされたアクセスコードまたは鍵を取得しようとする第三者による悪意の侵入に対する安全性レベルを大幅に引き上げる条件付きアクセス装置を提案しこれらの障害を改善することである。いかなる場合にも、電算機のメモリに侵入しても、使用者認証に関するデータにはアクセスできなくなる。

このため、本発明は集積回路カードの利用が局所的に行われる、すなわちホスト機器ではなくポインティングデバイス内で行われることをもって成る。この特徴はきわめて重要である。これによって一方の使用者識別手段と、他方の電算機とそれが接続され得る通信ネットワークの間に障壁が築かれる。

使用者識別手段は、使用者だけがアクセスできるポインティングデバイスに集約されている。後者は、例えば、暗証コードなどによって、秘密の原則で個人データを捕捉する。このデータは局所の小型計算機によってカードに記録された情報で確認される。この小型計算機は一般的にカード内に組み込まれているが、デバイス内に組み込むこともできる。本発明による装置と方法では、この確認によって秘密データが電算機に伝送されることは全くない。比較は、電算機に伝送される唯一の情報である、使用者を認証するかしないかの情報によって行われる。これはＬＡＮまたは電話回線を介して電算機にリンクされた第三者がコードなどの秘密情報にアクセスすることを防止するためにきわめて重要である。

本発明のさらに別の特徴

本発明は有利にはさらに下記の様々な特徴を備えている：
・指紋画像検出器および／または眼底画像検出器および／または音声認識検出器などの、生物測定識別信号を捕捉するための検出器を備える；
・音声取引制御手段を備える；
・キーボードおよび／または画面がマウスの上部前面に配置され、チップカードカプラーが使用されないときに、閉じた位置で、前記キーボードおよび／または前記画面を保護するためにカバーがマウスケースの上に連接されている；
・操作ボタンとその上に前記操作ボタンが取り付けられているマウスのケース本体の間の空間の延長部内においてマウスがその周囲に備えている溝の高さに供えられたチップカード挿入スロット；
・デバイスが指紋画像検出器を備えている場合、そのケースは、親指などの、操作者の指を受納するための案内装置を備えている；
・装置は金融取引を始めとする、取引の日付を記録することを可能にする恒久的電源の時計を備えている；
・少なくとも二つのチップカード入力を備えている；
・ホスト機器のアプリケーションソフトウェアと組み合わされた少なくとも一つの機密保持アプリケーションの管理と実行のための手段を備えている；
・機密保持アプリケーションの保存、管理と実行のための手段と、これらの機密保持アプリケーションの配布アプリケーションを含む集積回路カードの間で機密保持アプリケーションの転送を可能にする手段を備えている；
・ペン型でチップカード二重カプラー型のクリップボードを構成し、手書き情報を捕捉、圧縮、記録し、それを後にホスト機器に送るための手段を備えている；
・マルチメディア個人アシスタントを構成し、および／または電卓、メモ帳、時計、などの一つまたは複数個のオフィスアプリケーションを利用する手段を内蔵している；
・常時動作する時計を備え、集積回路カードに記憶されたデータと使用者によって捕捉されたデータから計算した承認に関する連続したデータを含む日付のあるデジタルデータ、および時計から提供された一連のデータをデバイスに伝送する手段を備えている。

本発明はさらに、デバイスが個人データ取得手段と少なくとも一つの集積回路カードコネクタを内蔵して、個人データをホスト機器に伝送することなしに、個人データと集積回路カード内に記録されたデータをホスト機器にリンクされたデバイス内で比較することから成るホスト機器内の機密保持アプリケーション管理と実行方法にも関するものである。

有利な実施態様によれば、該方法はデバイスのポインティング手段に固有の通信プロトコルの拡張通信プロトコルを含んでいる。このプロトコルはアプリケーションソフトウェアと本発明による装置内にまとめられたポインティング手段と機密保護された手段の間の通信のためにシリアルポートを一つだけ使用することを可能にする。

したがって、このプロトコルの一つの有利な形態によれば、データとコマンドはそれぞれが所定のビット数から成る符号化されたシーケンスで構成されるフィールドの集合を含むフレームの形で伝送され、それぞれのフレームは識別フィールドと、
・ポインティング情報フィールドと、
・機密保護された手段に関する情報フィールド：
の少なくとも一つのフィールドを含んでいる。
機密保護手段に関する情報フィールドには情報の種類を明確にする制御フィールドと、それに続く機密保持アプリケーションのメッセージ長を与えるオプションのフィールド、ならびに前記メッセージの完全性制御フィールドが必ず含まれている。

有利には、当該方法はポインティング情報をアプリケーションソフトウェアに提供するだけでなく、同時に起動している同一または他のアプリケーションソフトウェアと、その機密保護アプリケーションへのメッセージの伝送を保証する。
好適には、装置は機密保護手段から発生したメッセージを、その第一のフィールドが変更されたポインティング固有のフレームであって、それに完全な、あるいは同一のタイプの複数のフレームにわたって配分された前記メッセージが続くフレームであるフレームの形で伝送する。したがって、ポインティングフレームと拡張フレームは交互になることがある。

変型によれば、前記機密保護アプリケーションの保存と実行の機密保護手段は取り外しできる小型の集積回路カード内にまとめられている。したがって、機密保護アプリケーションの前記保存、実行手段の管理と利用可能性は装置の保守とは独立させることができる。

本発明は非制限的な例として挙げられ、付属の図面に図示された、下記の詳細な説明を読むことによっていっそうよく理解できるだろう。

図１は「マウス」バージョンの本発明の可能な実施態様による条件付きアクセス装置の底側（ボール側）の図である。
図２ａと２ｂは図１のマウスの可能な二つの変型実施態様を表す斜視図である。
図２ｃは変型実施態様の利用のための画面の図である。
図３は図１のマウスのケース内部の可能な有利な構成を示す概略図である。
図４は本発明の可能な別の変型によるボールマウス型の条件付きアクセス装置の上側の図である。
図５は図４の変型のための可能な実施態様を示す斜視図である。
図６は図４の変型のための可能な実施態様を示す側面概略図である。
図７は生物測定管理を備えた条件付きアクセス装置のブロック図である。
図８は生物測定管理を備えた条件付きアクセス装置の上側の図である。
図９は本発明によるタッチ式ポインティング装置を備えたマイコンのキーボードの一部の概略斜視図である。
図１０は本発明のための可能な実施態様による条件付きアクセス装置内に挿入された収集カードに搭載された機密保護アプリケーションの、アプリケーションソフトウェアによる予想される一連の質問を示すフローチャートである。
図１１と１２は本発明のための可能な実施態様による条件付きアクセス装置内に挿入された収集カード上の機密保護アプリケーションのインストールとアンインストールのシーケンスを示すフローチャートである。
図１３から１８は本発明の可能な実施態様による条件付きアクセス装置で使用される通信フレーム構造を示している。

本発明の実現の非制限的な様々な例の詳細な説明

以下に本発明による装置をボール式マウスの形で説明するが、他のタイプのポインティング装置にも同じプロトコルが適用される。図１はボール（３）がカバー（２）によってそのケージの中に保持された光学機械式マウスから派生した本発明による装置を示している。キーボード（６）はマウスの本体の底部（１）に備えられたくぼみ内に収納されている。このくぼみの深さは、全体がボール（３）を駆動する支え面に触れないようにキーボードの厚みと滑りシュー（４）の厚みに応じて選択される。

図１に示した装置は集積回路カードカプラーを備えている。図１において、例えば、規格ＩＳＯ７８１６に合致する集積回路カード（５）、または無接点カードはこの方向に備えられた側面のスロットから装置内に導入される。装置はカードのタイプを識別し、その正確な挿入を確認するために、二種類の集積回路カードを受け入れるための手段を備えることができる。

したがって、キーボード（６）は、連接されたマスクによって保護されているか否かを問わず、マウスの上部のカバーの上に配置できる。この装置は取引と操作の制御のための液晶表示装置（７）を備えることが可能で、ホスト機器の専用ポートに差し込むためのプラグを備えたリンクコードによってホスト機器に接続されている。装置の電源は独立電源から、またはホスト機器から供給される。電源はデバイスに適した独立電源によって、また大抵の場合は、デバイスがリンクされているポート（ＲＳ２３２，ＵＳＢ、ＧＥＯＰＯＲＴ、・・・）から、または第二のポート（キーボード、．．．）からとれる電圧によって実現できる。

装置は金融取引に日付を付けるのに必要な常時給電される時計を備えることができる。装置はまた電子財布アプリケーションを受容するのに適した機密保護手段を備えることができる。さらに、電子マネーや電子有価証券を受け取り、保管することもできる。前記手段は機密保護バージョンの、電子財布アプリケーションを備えた小型制御装置によって、あるいは電子財布アプリケーションを含む集積回路カードの第二のカプラーを使用して実現することができる。この第二の電子財布カードは好適には接点式小型カード（５ａ）とし装置の内部に収納される（例えば、ＧＳＭ方式、１５×２５ｍｍ）。これによって失効したときまたは故障したときの交換が容易になる。この組み込み金融機能は電子ポートフォリオに相当する。

図２ｃに示した変型は個人データ捕捉キーボードを情報処理的同等物に代えたものである。この同等物は仮想押しボタン（５１，５２）から成る仮想キーボード（５４）のグラフィック表示をホスト機器の画面（５０）に表示させるプログラムによって構成される。このキーボードの仮想押しボタン（５１）はこのプログラムを起動するごとに無作為に異なる仕方で配置される。個人データの捕捉は本発明による条件付きアクセス装置のポインティング機能によって実行される。仮想キーボード（５４）上の矢印（５３）の位置決めと位置決め確定の信号操作はデバイス内でのみ行われるので、確定された位置データがホスト機器に伝送されるのが阻止される。

マウスのケース（１）については人間工学的にいくつかの形状が考えられる。

図２ａと２ｂに考えられる二つの異なる形状を示した。
この二つの場合、スロット（１ｂ）は、この図２ａと２ｂで番号（８）で示した、マウスの操作ボタンからもっとも遠いケース（１）の縁に配置されている。

図２ｂに示した形状は、製造設備を単純化できるので有利である。この場合スロット（１ｂ）はマウスの操作ボタン（８）とケース本体（１）の間の空間の延長部内の周囲にマウスが通常有する溝（１ｃ）の高さに位置づけられている。

図３はケース（１）内部の有利な配置を示している。周知のごとく従来ボール式マウスのケースの内部には二本のエンコーダ軸（４１，４２）と、ボール（３）と常時接触している押さえローラー（４３）が備えられている。これらのエンコーダ軸（４１，４２）は続いてボールが移動するのを可能にする。ローラー（４３）を常時ボール（３）と接触させているバネは弦巻バネ（４４）であり、それによって内部の押さえ機構が占める空間を減らし、チップカード（５）の導入位置に空間をあけることができる。

図４から６に示した本発明によるボール式マウスの別の変型において、キーボード（６）はマウスの上面の上に、すなわち底面（１ｂ）と反対の面に配置されている。連接したカバー（９）はチップカードのカプラー機能を使用しないときにキーボードを保護することができる。このカバー（９）は図４では取り外した状態が示されている。カバーは閉じたときにケースの形状にぴったり沿って上面が延長するような形であるので、デバイスは従来のマウスのような体裁になる。

このカバー（９）はそれに対して旋回自在に取り付けられるアーム（１０）を介してケース（１）に連接し、前記アーム（１０）自体も、前記アーム（１０）上でのカバー（９）の旋回軸に平行な軸の回りでケース（１）に対して旋回自在に取り付けられている。

カバー（９）の回転を制限するためにケース（１）上に当たり止め（１０ａ）が備えられている。このようにして、デバイスの小型の外観を損なうことなく、キーボードへのアクセスを可能にするために、キーボード（６）が占める区域に対してカバー（９）を完全に開けることを操作者に可能にする連接機構が利用できる。

オンラインネットワークおよび／またはローカルネットワークでの金融取引に応用する場合、操作者がデバイス上のキーボードを操作することによって、下記の様々な動作が可能になる：
・確定
・訂正、最後に入力した数字の消去
・ログ、最近の取引一覧の参照
・残高、電子財布カード内の収支または残高の参照
・選択、部門間電子ポートフォリオのための通貨の選択
・取り消し、現在の取引を中止
・ローカル、ホスト機器との通信停止
・ロック、チップカード
・ＥＷ／カード、該当する場合電子ポートフォリオ（ＥＷ）と挿入されたカードの選択
・送金、送金操作開始

適切なソフトウェア手段を備え、情報通信ネットワークに接続されたホスト機器に取り付けられた装置は、銀行チップカード及び電子財布カードによる商品と役務のオンラインでの機密保護された決済を可能にするだけでなく、二つの遠隔金融オブジェクトの間の機密保護された送金も可能にする。

例えば、異なる場所にいる二人の人が、それぞれ本発明によるモデムを備えたパソコンを有する場合、下記の機密保護取引を実行することができる：
・一方の人の銀行カードから他方の人の電子財布カードへのある金額の送金、
・送金対象通貨の選択、
・一方の電子財布カードから他方のカードへのある金額の送金。
・さらに、二人の人のそれぞれは、取引銀行によって電子財布カードに提供されるオンライン金融サービスを利用することができる：
・電子財布カード上の自己の当座預金から、また相互に送金、
・ある金額を通貨に、また相互に両替。
カードの所持者の識別が要求されるつど、個人コードまたは識別子の役割を果たす署名が装置のレベルで捕捉されるので、情報の不正利用に対する障壁が形成される。

さらに、電子財布カードの利用手段を備えた装置は下記の動作を可能にする：
・残高または収支の確認、
・取引記録の参照、
・電子財布カードのロック。

チップカード５は一つのＣＢと少なくとも一つの電子財布などの複数の金融アプリケーションを備えることができる。本発明による全ての基本装置は、機密保護条件がカード自体によって暗黙のうちに確保されるので、同一のチップカード上に常駐している金融アプリケーションの間の取引を実施する手段を備えている。

内部電子ポートフォリオ（ＥＷ）、あるいは一つが仲介の役割を果たす電子財布カードを備えた二つの同一のカプラーを具備する装置は、カードを利用できるコネクタに順次挿入して、カード間取引のためにローカル動作モードで使用することができる：
・銀行カードから引出し、電子財布に入金、
・一方の電子財布から他方に送金、
・ＥＷポートフォリオにお金を保管、
・前回の取引の取り消し。

ここで、カード所持者識別実施手段（個人コードまたは署名の捕捉）、チップカードのカプラー手段とポインティング手段（選択、確定、変更）が上述のそれぞれのタイプの装置の基本的形状を決めることがわかる。上述のそれぞれの基本形状から出発して、ホスト機器との各種のシリアル通信手段、キーボード、ディスプレイ、電源、時計、電子ポートフォリオを組み合わせて、本発明による装置のグループが得られる。

上述の種類のようなデバイスはパソコンまたは対話型テレビに金融、アクセス管理、識別および支払い用途に使用可能なチップカードのための端末機能を付与する。

それは銀行チップカード（ＣＢ）または電子財布によるオンラインでの商品と役務の支払いならびにホームバンキング機能を可能にする。電子ポートフォリオ（ＥＷ）バージョンでは装置自体がオンラインネットワークでの、あるいはローカルネットワークでの支払いのための積立金の役割を果たすことができる。

装置は個人名（ＣＢ、電子財布、ＷＥ）または匿名（電子財布、ＷＥ）支払い手段の使用を可能にする。したがって、装置は有形の金銭に直接代わるものとしての電子マネーの操作を可能にし、操作者間の物理的距離の壁を解消する。

装置は企業のＬＡＮの管理、電算機への機密保護アクセス、ソフトウェア保護にも利用できる。

装置は通常のマウスあるいはその他一切のシリアルポインティング装置に代わるもので、それぞれの種類のホスト機器に適したソフトウェアパイロットを伴っている。一般的に装置は、それをポインティング装置として認識するマルチメディア端末（パソコン、対話型マルチメディアテレビ、など）用のリモコン装置である。それはまた金融用電卓、クリップボード、メモ帳、などの追加アプリケーションを備えることもできる。

オプションとして記憶装置内に圧縮した手書きファイルを記録するペン型でチップカード二重インターフェイス型のクリップボードの形にした場合、装置は保健関係者にも有利に使用されることができるだろう。

図７に示したのは、生物測定管理、例えば、この図７ではデバイスの小型制御装置（１３）にリンクされた、例えば、指紋スキャナまたは眼底スキャナである画像検出器（１５）を有する、指紋スキャナまたは眼底スキャナによる管理を実施するための構成である。この小型制御装置（１３）は特殊ポインティング手段（１１）、表示画面（７）、ならびにキーボード（６）にもリンクされている。

小型制御装置（１２）には装置全体の、処理、制御、通信手段がまとめられている。したがって、外部のチップカード（５）とはインターフェイス（１３）を介して、内部のチップカード（５）とはインターフェイス（１４）を介して通信し、また他方では前記デバイスが組み合わされているマイコン（１９）と通信している。

さらに変型において、小型制御装置（１２）も同様に音声合成・認識プロセッサ（１６）と有利にリンクされ、後者自体も例えばマイクロフォンＭＩＣとケース（１）内に配置されたスピーカーＨＰにリンクされている。実施の変型はデバイスまたはホスト機器の画面に表示された情報を読んだときの使用者の音声署名を確認することをもって成る。この実施態様はごく少数の単語から音声認識と、集積回路カード（５）内に登録されたデジタル音声署名との比較を実施し、比較の機密保持を大幅に損なうことなしに単純で安価なアルゴリズムと集積回路を利用することができる。

ユニット（１２）から成る処理手段は、カード（５）による処理を可能にするために、検出器（１５）および／または音声認識ユニット（１６）によって採取された生物測定対象を有形化する。カード（５）は生物測定対象を受信してメモリ内にある基準と比較する。変型において、基準と検出器（１５）またはユニット（１６）によって読みとられた生物測定対象の間の比較は小型制御装置（１２）によって実現することができる。

小型制御装置（１２）をもって成る処理手段は信号処理および／または暗号通信計算のために最適化した数値計算コプロセッサとすることができる。したがって、ユニット（１６）の全体または一部は同一のチップまたはモジュール（１２）に有利に統合することができる。

検出器（１５）によって読みとられた画像、またはユニット（１６）が実現する音声認識などの生物測定対象は、キーボード（６）にコード入力する必要がない、使用者識別コードに代わる。

図８は検出器（１５）がマウスのケース（１）の側面縁に位置する配置を示している。この縁は、親指などの使用者の指を受けるための案内装置（１７）を備えている。欧州規格案ＥＮ１５４６は電子財布カードの動作と使用を詳細に示している。欧州規格案ＥＭＶは集積回路カードによる支払い方法の標準ならびにこのようなカードの仕様を詳細に記載している。

デバイスはホスト機器に対する移動性を高めるために無線シリアル通信手段を備えることができる。環境の制約と対象ホスト機器の制約を満たすために無線または赤外線手段を使用することができる。

デバイスはまたはマイコン自体に組み込むことができる。この意味での変型は図９に示した。この変型において、マイコンはタッチポインティング装置（２０）を備えている。電算機のキーボードＣから独立したキーボード（６）が媒体Ｓに組み込まれ、その上にキーボードＣとタッチポインティング装置（２０）が取り付けられている。

有利には、前記キーボードの表示が前記タッチ面の上に重なっているので、装置（２０）のタッチ面も個人情報の捕捉キーボード（６）を実現するのに使用できる。この表示は常時見ることができる。変型において、表示は例えば、発光フィルムを用いて実現したバックライトによって、所持者の識別作業のときにだけ見えるようにすることもできる。

本発明による装置の変型実施態様において、音声合成手段と適切な辞書が利用される。この辞書は認証されたサーバーから機密保持されたプロトコルによってダウンロードおよび／または変更することができる。このサーバーは例えば、条件付きアクセス装置のメーカーのサーバーとすることができる。この装置は、音声認識手段によって、承諾する、取り消す、続けるなどの、取引の展開に必要な最小限のコマンドを学ぶことができる。例えば、１９８．２５

という電算機の画面に表示された価格を検査するための方法は、価格に関する情報をデバイスに伝送することから成り、デバイスは「一」、「九」、「八」、「点」、「二」、「五」と「ドル」の音を発するためにその音声合成・再生手段によってこの情報を変換する。

ついで、例えば、装置に導入された集積回路カードの所持者が発音した「承諾する」というコマンドで装置は取引のためにこの価格を確定する。音声コマンドは録音することができる。

図１０以降の図には本発明の他の側面が図示されている。

デバイスは、以下にＳＡＭと称する、機密保持アプリケーションが含まれている。機密保持アプリケーションまたはＳＡＭは、同じく機密保持利用システムを備えた機密保持集積回路のメモリ内に常駐して実行される、実行可能なコードとその動作に必要な全ての固有資源を含むソフトウェアオブジェクトを意味する。ＳＡＭの典型的な例は、集積回路カードで利用可能な電子財布である。デバイス内に、前記デバイスが通信しているホスト電子機器の少なくとも一つのアプリケーションソフトウェアのために、前記デバイスにインストールした機密保持アプリケーションが備えられている。

アプリケーションソフトウェアとその機密保持アプリケーションはそれぞれ一つまたは複数個の鍵の形で同一の秘密情報を認識するので、この鍵の確認を可能にする、同一の暗号解読アルゴリズムを利用する。

このようにして、不正に対するアプリケーションソフトウェアの通常の保護鍵に代わる配布の機密保持アプリケーションを利用することができる。この機密保持アプリケーションは好適には、以下にＳＡＭＣ収集カードと称する、チップカードに搭載されるが、それに限定されるものではない。この収集カードは例えば

、不正利用に対して保護する必要があるアプリケーションソフトウェアとともに例えば、引き渡される配布カードまたはＳＡＭＤと呼ばれる第二のカードから読み込まれる。この背景において、図１０は局所的に実行されるかデバイスと通信しているホスト機器にアクセスするアプリケーションソフトウェアによるデバイスの収集カード内に常駐するＳＡＭ機密保持アプリケーションによる質問の単純化したシーケンスのフローチャートである。ＳＡＭはこのアプリケーションソフトウェアの保護鍵の役割を有する。ＳＡＭの試験の第一段階（ステップ（１０１））はランダムコード（ＲＮＤＣ）を発生し、つぎに記憶することをもって成る。第二段階（１０２）で、このコード（ＲＮＤＣ）がこの技術分野で周知の対称鍵方法によって暗号化される。この暗号鍵はアプリケーションソフトウェアとそのＳＡＭによって認識される。ステップ（１０２）の結果ＳＡＭに伝送される試験（ＣＬＧ）を表す別のコードが発生する。ステップ（１０３）において、アプリケーションソフトウェアはこの試験（ＣＬＧ）を装置のパイロットに伝送できるかを確認する。ステップ（１０４）において、試験メッセージ（ＣＬＧ）はこのパイロットに転送されて、パイロットは前記デバイスのポインティング手段に固有の通信プロトコルの拡張プロトコルに従ってそれを宛先のＳＡＭに伝送する。

ステップ（１０５）において、アプリケーションソフトウェアはあらかじめ定められた時間の間ＳＡＭの応答を待つ。ＳＡＭは試験（ＣＬＧ）を解読するためのアルゴリズムを使用する。ＳＡＭが真正であれば、暗号解読鍵は同一であり、当初のランダムコードを明らかに見つけだす。その応答（ＲＰＬ）は装置のパイロットに伝送されて、ステップ（１０６）でアプリケーションソフトウェアによって読み取られる。つぎのステップ（１０７）は初期コード（ＲＮＤＣ）を応答（ＲＰＬ）と比較することをもって成る。それらが同一であれば不正利用はない。ＳＡＭのこのような試験シーケンスは保護されるアプリケーションソフトウェアに組み込まれる。図１０のシーケンスは成功した場合にはただ一つのリターンメッセージしかないが（１０８）、実際にはエラーメッセージ（１０９）の方が数が多く、その全ての過程において起こりうる失敗の状態を反映している。

本発明による方法に機密保持アプリケーションまたはＳＡＭをインストールする単純化されたシーケンスは図１１に示されている。

機密保持アプリケーションの配布のＳＡＭＤカードは同一の機密保持アプリケーションの複数のインストールに使用できる。前記カードはそれぞれの機密保持アプリケーションごとに、前記アプリケーションに許可されたインストール数に初期化されたライセンスカウンタ（ＬＣＮＴ）を備えている。アプリケーションソフトウェアのインストールプログラムはステップ（１１０）でデバイスのチップカードカプラー内にＳＡＭＤ配布カードを要求する。つぎの場合はプロトコルが中断される：
・試験（１１１）がＳＡＭＤ配布カードを認識しない、あるいはインストールされるライセンス数のカウンタＬＣＮＴがゼロである、
・試験（１１２）がＳＡＭ収集カード内に十分なメモリを見つけられない、またはこのカードがインストールされるＳＡＭをサポートしていない、
・試験（１１４）がコピーを認証できない。

条件（１１１）と（１１２）がともに満たされたとき、ステップ（１１３）はＳＡＭＤ配布カードのＳＡＭをＳＡＭＣ収集カードに転送する。

デバイスのカプラーの小型制御装置はこの転送を引き起こし、それによって機密保持データ転送の何らかの方法に従って二枚のカードの間で転送が行われる。

この転送の間、小型制御装置はＳＡＭＣとＳＡＭＤの二枚のカードの間のリンクチャネルの役割しか果たさない。ＳＡＭＣ収集カードのオペレーティングシステムはＳＡＭを実行可能な形にする。ついで、ＳＡＭＣカードは転送自体の認証と、それにつづくＳＡＭの正確な作動の確認を含む試験（１１４）を実施する。この確認は、ＳＡＭの質問を模倣し、その振る舞いを確認することから成る。ＳＡＭＣ収集カードはそのメモリから無効なＳＡＭを消去する。ＳＡＭのインストールは、電子財布システムに使用されたものと類似の取引機構による送金と等価である。この取引機構はステップ（１１５）でＳＡＭＣ保存、管理、実行の機密保持手段によってＳＡＭが確認されたときにライセンスカウンタ（ＬＣＮＴ）が一単位だけ減ることを保証する。

本発明による方法において、あるＳＡＭアプリケーションをアンイストールする簡略フローチャートが図１２に示されている。

ＳＡＭによって保護されたアプリケーションソフトウェアのアンインストールプログラムはステップ（１１６）でデバイスのカプラー内にＳＡＭＤまたは同等の配布カードを挿入することを要求する。試験（１１７）はアンインストールされるＳＡＭが前記カプラー内に導入されたカードを受諾するかを確認する。ＳＡＭＤカードが真正なカードであるとき、ＳＡＭのコードは必ずそこに存在し、ステップ（１１９）でライセンスカウンタ（ＬＣＮＴ）が一単位増加する。

ＳＡＭＤカードが真正なカードでないとき、ＳＡＭのコードは、上記のインストール過程のステップ（１１３）と同様な条件で、メモリが十分であることを条件として（１２０）ステップ（１２１）でＳＡＭＣ収集カードから転送される。同じくステップ（１２１）において、ＳＡＭＤカードのオペレーティングシステムはゼロに初期化されたライセンスカウンタ（ＬＣＮＴ）を作成する。ＳＡＭのコード転送の場合、ＳＡＭＤカードが、ＳＡＭのインストールフローチャートのステップ（１１４）の場合のように、ステップ（１２２）でコピーの有効性を確認する。ＳＡＭのインストールのそれと同様に取引機構によって、アンインストール作業は、成功した場合にだけＳＡＭＤカードに有効なＳＡＭが含まれ、ライセンスカウンタ（ＬＣＮＴ）が一単位だけ増加し、ＳＡＭＣカードがステップ（１２３）でそのメモリから問題のＳＡＭを消去することを保証する。このようにしてこの方法はアンインストールによって機密保持アプリケーションを受け取った全てのＳＡＭＤカードに対して真正な配布カードの同等物になることを可能にする。機密保持アプリケーションは通信網を介して、そのメッセージの輸送と完全性を保証する介在手段によって相互に通信している二枚の遠隔カードの間で転送される。したがって、通信網を使用してあるホスト機器から他のものへ浮動する仕様ライセンスとしてのＳＡＭの転送プロトコルは上述のＳＡＭのアンインストールプロトコルに類似している。この場合、配布カードは宛先の収集カードに代えられる。

好適には、機密保持アプリケーションの管理と実行に使用される通信プロトコルはポインティング情報と機密保持メッセージを運ぶための同じシリアル通信経路を使用する。したがって、ポインティング機能と集積回路カード端末機能がほぼ同時に、互いに独立して利用可能になる。前記通信プロトコルの一環として、情報とコマンドは、それぞれが図１３に示したごとく、所定のビット数を含むコード化されたシーケンスから成るフィールドの集合を含むフレームの形で伝送される。したがって、一つのフレームは一つの識別フィールド（ＦＩＤ）と、下記のフィールドの少なくとも一つを必ず含んでいる：
・ポインティング情報フィールド、
・機密保持アプリケーションに関する情報フィールド。
識別フィールド（ＦＩＤ）は内容分析のために受信手段を初期化する。ポインティングデバイスと所与の作動モードの場合、それらのフレームは固定長を有する。このようなフレームの場合、上位ビットはその開始の識別に宛てられる。本発明によって使用されるプロトコルは従来のポインティング装置との互換性を保持するために同一の方法を使用し、ポインティング情報を必ず拡張フレームの始めに置く。したがって、ポインティングフレームを、図６に示した拡張フレームの識別フィールド（ＦＩＤ）の一部と見なすことに制約はない。例えば、機密保持アプリケーションに関する情報フィールドの存在は、同じ原則に従って、フレームの最初のバイトのビット群の特定の値によって示すことができる。したがって、機密保持アプリケーションに関する情報フィールドは識別フィールド（ＦＩＤ）のビット群の前記特定の値によって決定された位置から、記載順に下記のフィールドの全体または一部を含んでいる：
・制御フィールド（ＯＰＣ）、
・機密保持アプリケーションのメッセージ長を与えるフィールド（ＤＬＥＮ）、
・機密保持アプリケーションのメッセージ（ＣＬＧ）または（ＲＰＬ）自体の全体または一部を含むフィールド、
・前記メッセージの完全性の制御フィールド（ＣＲＣ）。
拡張フレームは制御フィールド（ＯＰＣ）によって可変長を有する。フレームに機密保持アプリケーションのためのメッセージ（ＣＬＧ）またはアプリケーションソフトウェアのためのメッセージ（ＲＰＬ）を含むとき、フィールド（ＯＰＣ）に前記メッセージ（ＣＬＧ）または（ＲＰＬ）の長さを与えるフィールド（ＤＬＥＮ）が続く。フィールド（ＤＬＥＮ）の長さはメッセージ（ＣＬＧ）または（ＲＰＬ）に許容される最大長に依存する。本発明による装置の制御、処理手段は前記メッセージ（ＣＬＧ）または（ＲＰＬ）の意味を無視する。オプションのフィールド（ＣＲＣ）は必要ならば前記メッセージ（ＣＬＧ）または（ＲＰＬ）完全性の制御を可能にする。
拡張フレームは下記の少なくとも以下の情報を含む制御フィールド（ＯＰＣ）によって完全に定義される（図１４）：
・一つまたは複数の機密保持アプリケーションに関する作業コード（ＯＰＣ．Ｃ）、
・フレームに関する機密保持アプリケーションのアドレス（ＯＰＣ．Ａ）、
・拡張フレームによって伝送された機密保持アプリケーションに関する情報フィールドのバイト数（ＯＰＣ．Ｓ）、このバイト数（ＯＰＣ．Ｓ）は少なくともフィールド長（ＯＰＣ）に等しい。

アドレス（ＯＰＣ．Ａ）はそれによって機密保持アプリケーションにアクセスするカプラーも考慮する。長いメッセージは、もっと短い複数の拡張フレームに配分された、最後のセグメントを例外とする、一定長のセグメント（ＯＰＣ．Ｓ）によって伝送される。この方法は、ポインティング情報取得頻度の均一性を確保することを可能にする。

図１５から１８は図１３と１４を参照して上に説明した拡張フレーム構造の特定の実施を示している。

図１５は従来のマウスから発信されたフレームを表している。このフレームは３つのバイトから成り、その中の上位ビットは使用されない。これらのビットは拡張フレームを示すのに使用される。

このフレームから出発して、図１６は識別フィールド（ＦＩＤ）がポインティングフレームを取り出し、１にその最初のバイトの上位ビットを位置づける拡張フレームの構造を示している。したがって、装置のパイロットは拡張フレームを検出して、機密保持情報の制御フィールド（ＯＰＣ）に対応する第４バイトを解析する。第５バイト（ＤＬＥＮ＝ｍ）は単体、またはバイト２と３の上位ビットなどの、先行バイト内で利用可能の別の２進フィールドと組み合わされた、ＳＡＭアプリケーションの応答（ＲＰＬ）の長さをバイトで示している。制御フィールド（ＣＲＣ）は（ｎ）バイトを有する。

図１７と１８は、パラメータＯＰＣ．Ｓ＝８，３２バイトの一つの応答（ＲＰＬ）と１６ビット上の一つ（ＣＲＣ）について複数の連続するセグメントで機密保持アプリケーションの応答を伝送する拡張フレームのそれぞれ第一と、第五フレームの構造を示している。フィールド（ＯＰＣ．Ｓ）は装置のドライバに、最後のフレームを除いて、ポインティングフレームに加えられた機密保持アプリケーションに関する情報フィールドのバイトの数を示す。したがって、ポインティングフレームと拡張フレームは交代させることができる。

上記において本発明は非制限的な例として説明した。もちろん当業者は様々な変型を実現することができるが、それをもって本発明の範囲を逸脱することはできない。

「マウス」バージョンの本発明の可能な実施態様による条件付きアクセス装置の底側（ボール側）の図図１のマウスの可能な二つの変型実施態様を表す斜視図図１のマウスの可能な二つの変型実施態様を表す斜視図変型実施態様の利用のための画面の図図１のマウスのケース内部の可能な有利な構成を示す概略図本発明の可能な別の変型によるボールマウス型の条件付きアクセス装置の上側の図図４の変型のための可能な実施態様を示す斜視図図４の変型のための可能な実施態様を示す側面概略図生物測定管理を備えた条件付きアクセス装置のブロック図生物測定管理を備えた条件付きアクセス装置の上側の図本発明によるタッチ式ポインティング装置を備えたマイコンのキーボードの一部の概略斜視図本発明のための可能な実施態様による条件付きアクセス装置内に挿入された収集カードに搭載された機密保護アプリケーションの、アプリケーションソフトウェアによる予想される一連の質問を示すフローチャート本発明のための可能な実施態様による条件付きアクセス装置内に挿入された収集カード上の機密保護アプリケーションのインストールとアンインストールのシーケンスを示すフローチャート本発明のための可能な実施態様による条件付きアクセス装置内に挿入された収集カード上の機密保護アプリケーションのインストールとアンインストールのシーケンスを示すフローチャート本発明の可能な実施態様による条件付きアクセス装置で使用される通信フレーム構造を示す図本発明の可能な実施態様による条件付きアクセス装置で使用される通信フレーム構造を示す図本発明の可能な実施態様による条件付きアクセス装置で使用される通信フレーム構造を示す図本発明の可能な実施態様による条件付きアクセス装置で使用される通信フレーム構造を示す図本発明の可能な実施態様による条件付きアクセス装置で使用される通信フレーム構造を示す図本発明の可能な実施態様による条件付きアクセス装置で使用される通信フレーム構造を示す図

符号の説明

２カバー
３ボール
５チップカード
６キーボード
８操作ボタン
９カバー
１０アーム
１１特殊ポインティング手段
１２小型制御装置
１５画像検出器
１６音声合成・認識プロセッサ
１７案内装置
１９マイコン
２０タッチポインティング装置

Claims

ポインティングデバイス用の処理を行う処理手段を有し、カードが挿入されるカードカプラと一体化された、ホスト電子機器に接続して使用される条件付アクセス装置であって、
通信ソフトと、オペレーティングシステムと、セキュリティアプリケーション（ＳＡＭ）、オブジェクトアプリケーション及び実行コードが記憶されたメモリと、
セキュリティアプリケーション（ＳＡＭ）と、オペレーティングシステムとが記憶され、利用許可の管理、カード所持者の識別、取引過程の管理を行い、前記ポインティングデバイスに挿入あるいは内臓される内部チップカードと、
使用時に挿入される、セキュリティアプリケーション（ＳＡＭ）、オペレーティングシステム、ライセンスカウンタが記憶された外部チップカードとを有し、
前記内部チップカードに記憶されたセキュリティアプリケーション（ＳＡＭ）の情報と、前記外部チップカードに記憶されたセキュリティアプリケーション（ＳＡＭ）の情報とをカード間でローカルに比較し、前記情報はホスト装置を通すことなく、各カードに記憶された使用者のセキュリティアプリケーション（ＳＡＭ）の情報によって使用者を認定することを特徴とする、条件付アクセス装置。