JP5468182B2 - 保全電子トークンの動作の分析方法 - Google Patents

Description

本発明は、保全電子トークンの動作の分析方法に関する。特に、保全電子トークンの受信及び発信データの監査方法に関する。

電子トークンは、限られた資源を備える携帯電子装置である。一般的に、電子トークンは異なるタイプの複数のメモリを備える。例えば、電子トークンはＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、もしくはフラッシュタイプのメモリを備える。スマートカード、とりわけ汎用ＩＣカード（ＵＩＣＣ）は、保全電子トークンである。保全電子トークンは通常、電力及びグラフィカルユーザインターフェイスを提供するホスト装置に接続される。

一般的に、保全電子トークンは、トークンが最初に一つ又はいくつかのステップを通して物理的に形成される通常のライフサイクルに従う。次に、トークンの不揮発性メモリ内に特定のオペレーティングシステムが書き込まれる。トークンの使用種別が判明すると、個人化データの第１のセットがトークンにダウンロードされる。

エンドユーザが判明すると、個人化データの第２のセットがトークンにダウンロードされる。この第２のセットは、エンドユーザの要求に基づいてカスタマイズされる。次に、トークンが発行される。この発行のステップの後、トークンは、新たなアプリケーション、新たなアプリケーションバージョン又は応用データ等の追加データによってアップグレードされる。

ますます複雑なアプリケーションが開発され、そして保全電子トークンに内蔵される。そのようなアプリケーションは、銀行業務、アクセスサービス、ゲーム、もしくはあらゆるサービスに使用される。このようなアプリケーションは一般的に、遠隔アプリケーションサーバと通信するために考案されている。アプリケーションは頻繁に、タイプが大きく異なるいくつかの構成要素を含む。

例えば、アプリケーションは、異なるタイプの遠隔サーバ、これらの遠隔サーバにアクセスするための異なるネットワーク、トークンが接続される異なる通信プロトコル及び異なるホスト装置を要求する。例えば、ＳＩＭカードは多くのタイプの携帯電話に使用され、また支払カードはたくさんの異なる支払装置に使用される。

配置段階の前に、これらのアプリケーションは検査され認証を受ける。残念なことに、フィールドにおいてアプリケーションの予期しない動作が起こることがある。そのような予期しない動作はアプリケーションに入り込んだバグによるもの、トークンのオペレーティングシステムに入り込んだバグによるもの、関連するハードウェア要素の不適合によるもの、サーバに入り込んだバグによるもの、もしくはエンドユーザによる不合理な動作によるものである。

保全電子トークンがフィールドに配置されると、このトークンの動作を監視することは困難である。
監視データを提供するために保全電子トークン内のコマンドカウンタを監視することは周知である。コマンドカウンタ値を取得することにより、トークンの使用の分析が実行される。それにもかかわらず、そのようなカウンタは、不十分なデータを提供し、分析は問題の根本的原因の検出に失敗し得る。コマンドカウンタ管理のメカニズムは、トークンの個人化段階の前もしくはその間に初期化される。このメカニズムは凍結され、特定の問題に適用することはできない。

フィールド上のトークンに問題が検出されると、分析は全ての関連する構成要素に関する情報を有する必要がある。多くの場合、これらの構成要素に関して推測することしかできない：サーバアプリケーション、トークンアプリケーション、トークンオペレーティングシステム、ユーザの動作、ホスト装置の動作及びネットワーク動作。従って、調査は極めて達成困難で、費用と時間のかかるものとなり易い。

結果として、保全電子トークンによって提供される監視データをカスタマイズ可能にする必要がある。特に、トークンが発行されフィールド上に配置された後にもカスタマイズされた監視データを取得可能にすることが重要である。

本発明の目的は、上記の技術的問題を解決することである。

本発明の目的は、外部実体とのデータ交換のための通信インターフェイスを備える保全電子トークンの動作の分析方法である。前記保全電子トークンは、作成されてから発行されるものとするライフサイクルを有する。前記方法は：
ａ）専用アプリケーションを前記保全電子トークンにロード及びインストールし、
ｂ）バッファを生成し、
ｃ）外部装置に前記バッファを送信するステップを備える。

前記ロード及びインストールするステップは、前記保全電子トークンが発行された後に実行される。前記方法は：
ｄ）前記通信インターフェイスを通して交換されたデータを監視し、前記専用アプリケーションに前記交換されたデータを提供するステップを備える。前記バッファは、前記専用アプリケーションによって前記交換されたデータから生成される。

有利には、前記方法は、前記保全電子トークンがどのように使用されているか判定するために、外部装置において前記バッファを分析するステップを備える。
好ましい実施形態において、前記バッファは、前記通信インターフェイスを通して交換されたデータのサブセットを備える。

有利には、前記バッファがプリセットされた閾値に達すると、前記バッファを送信するステップが自動的に開始される。
好ましい実施形態において、前記監視するステップは、前記専用アプリケーションが前記保全電子トークンにロード又はインストールされると自動的に起動される特定の手段によって実行される。

一つの実施形態において、前記監視するステップは、前記専用アプリケーションが前記保全電子トークンから除去されると自動的に停止する特定の手段によって実行される。
一つの実施形態において、前記監視するステップは、前記通信インターフェイスに受信される第一の指令によって起動され、及び／又は、前記通信インターフェイスに受信される第二の指令によって停止される特定の手段によって実行される。

本発明のもう一つの目的は、外部実体とのデータ交換のための通信インターフェイスを備える保全電子トークンである。前記保全電子トークンは、作成されてから発行されるものとするライフサイクルを有する。前記保全電子トークンは、専用アプリケーションをロード及びインストール可能であり、前記通信インターフェイスを通して交換されたデータを監視するための特定の手段を備える。前記特定の手段は、前記専用アプリケーションが前記電子トークンにインストールされている場合にのみ、前記専用アプリケーションに前記交換されたデータを提供するように構成されている。

有利には、前記保全電子トークンはオペレーティングシステムを備え、このオペレーティングシステムは前記特定の手段を備える。
一つの実施形態において、バッファは前記専用アプリケーションによって前記通信インターフェイスを通して交換された前記データから生成され、前記専用アプリケーションは外部装置への前記バッファの送信を要請可能なエクスポート手段を備える。

有利には、前記専用アプリケーションは、前記バッファがプリセットされた閾値に達したことを検出可能な検査手段を備える。
一つの実施形態において、前記特定の手段は、前記専用アプリケーションが前記保全電子トークンにロード又はインストールされると自動的に起動される。
一つの実施形態において、前記特定の手段は、前記専用アプリケーションが前記保全電子トークンから除去されると自動的に停止される。

有利には、前記特定の手段は、前記専用アプリケーションのプリセットされた識別子を備える。
一つの実施形態において、前記保全電子トークンはＵＩＣＣもしくはＳＩＭ機能を備えるトークンである。

本発明に記載の保全電子トークンを備えるホスト装置と遠隔装置とを備えるシステムの一例。 本発明に記載の保全電子トークンの構造を描く概略図。 本発明に記載の、保全電子トークンに受信される対の指令／応答、及び対応して生成されるログのリストの一例。

本発明のその他の特性や利点は、添付の図面を参照しながら、本発明の数々の好ましい実施形態の詳細な説明によってより明確に明らかにされる。

本発明は、通信チャネルを使用して遠隔装置とデータ交換可能な、あらゆるタイプの保全電子トークンに適用される。特に、保全電子トークンは、遠隔装置と保全電子トークンとの間に通信チャネルを確立する手段を提供する無線装置に接続された、汎用ＩＣカード（ＵＩＣＣ）、ＳＩＭカード、もしくは装置同士（Ｍ２Ｍ）のトークンである。

本明細書の例において、保全電子トークンはＳＩＭカードであるが、不揮発性メモリ及び遠隔装置とのデータ交換手段の両方を備える、他のいかなる種類の保全電子トークンでもあり得る。トークンはまた、パーソナルコンピュータに接続された、ＵＩＣＣカードもしくはＵＳＢトークンでもある。

本発明は、トークンによって受信／送信されるデータを監視可能な監視手段及びカスタマイズされたアプリケーションの組み合わせに依拠する。監視手段は、トークンに受信される全てのデータをカスタマイズされたアプリケーションに提供することができる。カスタマイズされたアプリケーションは、特定の問題を対象とする特定のタイプの分析によって開発される。カスタマイズされたアプリケーションは、第１の手段によって提供されたデータのサブセットを選択するように構成されている。従って、分析に関連するデータのみがトークンに記憶され、さらなる分析のために外部装置に送信される。

本発明は、テレコムドメイン及びＭ２Ｍドメインで使用されることを目的とする保全電子トークンに特に適している。本発明の利点は、接続されたホスト装置からのトークンの抽出を必要とせずにトークンの分析を可能にする点である。本発明により、トークンへの物理的なアクセスは必要とされない。

本発明は、フィールドに配置されたトークンにおいて問題が発生した際に、根本的欠陥を判定することを可能にする。特に、本発明は、主要な問題がトークン自体によるものであるか、配置されたインフラストラクチャ及びアプリケーションの使用によるものであるかを検査する方法を提供する。

図１は、遠隔装置ＥＭと、本発明に記載の保全電子トークンＳＣを備えるホスト装置ＨＭとを備えるシステムの一例を示す。
遠隔装置ＥＭは、外部装置もしくは遠隔装置とも呼ばれる。遠隔装置ＥＭは、ホスト装置ＨＭを通して保全電子トークンＳＣとデータを交換可能なサーバである。ホスト装置ＨＭは、携帯電話、もしくは保全電子トークンを接続可能かつ遠隔装置ＥＭと通信可能なあらゆる装置である。この例において、保全電子トークンＳＣはＳＩＭカードである。

遠隔装置ＥＭは、ＧＳＭ（登録商標）０３．４０、ＧＳＭ０３．４８、及び／又は、ＥＴＳＩ／ＳＣＰ−３ＧＰＰ−３ＧＰＰ２基準によって規定される、ＯＴＡとして知られる無線メカニズムである無線チャネルによってトークンＳＣとデータを交換可能である。遠隔装置ＥＭとトークンＳＣとの間の遠隔接続は、ショートメッセージサービス（ＳＭＳ）もしくはベアラインディペンデントプロトコル（ＢＩＰ）を伝達手段として使用する。

遠隔装置ＥＭは、携帯電話ネットワークオペレータ（ＭＮＯ）のマテリアルインフラストラクチャに属する。マテリアルインフラストラクチャは、ＭＮＯの携帯電話ネットワークである。このインフラストラクチャは、フィールド上のＳＩＭスマートカードとのデータ交換を可能にする。

また、遠隔装置ＥＭは、ネットワークチャネルによって、特にインターネット又はあらゆる有線リンクを通して、データを交換可能なサーバである。このような場合には、ホスト装置ＨＭは、有線リンクを可能にする通信手段を有する。
また、ホスト装置ＨＭは、Ｍ２Ｍ装置ボックス、パーソナルコンピュータ、支払端末、又は遠隔装置ＥＭとの通信チャネルを確立可能なあらゆる装置である。

ホスト装置ＨＭは、接続されたトークンＳＣと通信可能にする通信インターフェイスＩＮ２を備える。トークンＳＣは、ホスト装置ＨＭを接続するための通信インターフェイスＩＮＴを備える。トークンＳＣは、オペレーティングシステムＯＳを備える。このオペレーティングシステムＯＳは、通信インターフェイスＩＮＴを通して交換されたデータを監視するように構成されている特定の手段Ｍ１を備える。

トークンＳＣは、トークンの発行時には存在しない専用アプリケーションＤＲを備えることを目的としている。専用アプリケーションＤＲは、トークンＳＣに記憶されるバッファＬＯを生成することができる。専用アプリケーションＤＲは、外部装置ＥＭへのバッファＬＯの内容の送信を要請可能なエクスポート手段Ｍ２を備える。専用アプリケーションＤＲは、バッファＬＯの内容量がプリセットされた閾値に達したことを検出可能な検査手段Ｍ３を備える。

好ましい実施例において、エクスポート手段Ｍ２は検査手段Ｍ３によって起動される。また、エクスポート手段Ｍ２は、あらゆるプリセットされたイベントによって起動される。そのようなプリセットされたイベントは、プリセットされた継続時間、バッファに記憶された多数の指令、インターフェイスＩＮＴ上で監視された指令の所定の組み合わせ、又はあらゆる関連する特定のイベントである。

特定の手段Ｍ１は、専用アプリケーションＤＲが電子トークンＳＣ内でアクティブな場合にのみ、専用アプリケーションＤＲに通信インターフェイスＩＮＴを通して交換された全てのデータを提供するように構成されている。特定の手段Ｍ１は、通信インターフェイスそのものを通して直接、又はトークンのオペレーティングシステムを介して、交換されたデータを監視する。

特定の手段Ｍ１は、専用アプリケーションＤＲに未加工の監視されたデータを送信する。特定の手段Ｍ１は監視されたデータを選別しない。
図１及び図２は、点線で描かれたいくつかの構成要素を含む。これらの構成要素は、トークンＳＣの発行の後に作成される。

図２は、本発明の好ましい実施形態による保全電子トークンの一例として、ＳＩＭカードの構造の一例を示す。ＳＩＭカードＳＣは、マイクロプロセッサＭＰ、通信インターフェイスＩＮＴ、不揮発性メモリＭＥＭ、及び作業メモリＷＭを備える。作業メモリはＲＡＭである。通信インターフェイスＩＮＴは、ホスト装置を接続することを目的とし、接続されたホスト装置とデータを交換することを可能にする。
好ましい実施形態において、接続されたホスト装置は携帯電話である。

メモリＭＥＭは、ＥＥＰＲＯＭ又はフラッシュメモリである。メモリＭＥＭは、オペレーティングシステムＯＳ及び閾値ＴＨを備える。オペレーティングシステムは、専用アプリケーションＤＲがＳＩＭカードＳＣ内でアクティブな場合にのみ専用アプリケーションＤＲに通信インターフェイスＩＮＴを通して交換された全てのデータを提供するように構成された特定の手段Ｍ１を備える。特定の手段Ｍ１は、識別子ＩＤ１を備える。識別子ＩＤ１は、トークンＳＣ内にインストールされることを目的とする専用アプリケーションＤＲに達することを可能にする。

メモリＭＥＭは、専用アプリケーションＤＲ及びバッファＬＯを備えることを目的としている。
専用アプリケーションＤＲは、バッファＬＯ内にデータを記憶可能である。好ましい実施形態において、バッファＬＯは逐次的方法で書き込まれる。従って、イベントの時系列はバッファＬＯ内に保持される。

図２の例において、専用アプリケーションＤＲはエクスポート手段Ｍ２及び検査手段Ｍ３を備える。
エクスポート手段Ｍ２は、バッファＬＯの内容を遠隔装置ＥＭに送信可能である。
検査手段Ｍ３は、バッファＬＯに記憶されたデータ量がプリセットされた閾値ＴＨに達したことを検出可能である。例えば、手段Ｍ３は、バッファＬＯが満杯であることを検出可能である。

図２の例において、トークンは、特定の手段Ｍ１を起動及び／又は停止可能な手段Ｍ４を備える。好ましい実施形態において、オペレーティングシステムＯＳは手段Ｍ４を備える。
図２の例において、メモリＭＥＭは固有の不揮発性メモリとして実行される。メモリＭＥＭはまた、異なるタイプのいくつかの不揮発性メモリのあらゆる組み合わせとして実行される。

また、バッファＬＯは揮発性メモリに記憶される。例えば、バッファＬＯはＲＡＭ内に記憶される。この場合、バッファの内容が失われる前に、その送信を処理しなければならない。
オペレーティングシステムＯＳはバーチャルマシン、特にＪａｖａ（登録商標）バーチャルマシンもしくは．Ｎｅｔ（登録商標）バーチャルマシンを備える。

マイクロプロセッサＭＰは作業メモリＷＭと協働し、オペレーティングシステムＯＳを起動させることを目的としている。二つの手段Ｍ１及びＭ４は、マイクロプロセッサＭＰによって実行されるソフトウェアアプリケーション、もしくは設計されたハードウェアのいずれかである。これらの二つの手段は、二つの異なる構成要素として実行され、もしくは混合して一つ又はいくつかの構成要素となる。

本発明の記載によると、保全トークンＳＣの動作の分析方法の実施形態の例は、いくつかのステップを備える。
最初に、保全電子トークンＳＣが形成される。次に、トークンＳＣが発行される。次に、トークンＳＣがホスト装置（例えば、ＳＩＭカードの場合においては携帯電話機）に接続される。このとき、トークンＳＣは、起動されていない特定の手段Ｍ１を備える。トークンＳＣは正常に使用される。

トークンＳＣの使用中に特定の障害が発生すると、専用アプリケーションＤＲが開発されなければならない。専用アプリケーションＤＲは、ターゲットとされた特定の障害に基づいて作成されなければならない。専用アプリケーションＤＲは、バッファＬＯに記憶された選択的なログを作り出すように設計されなければならない。

例えば、専用アプリケーションＤＲは端末プロファイル指令のみを記憶する。別の例において、専用アプリケーションＤＲは支払取引に関する指令のみを記憶する。別の例において、専用アプリケーションＤＲはトークンに内蔵された既定のアプリケーションに関する指令のみを記録する（トークンが複数の異なるアプリケーションを内蔵していると仮定する）。

次に、専用アプリケーションＤＲはトークンＳＣ内にダウンロードされる。専用アプリケーションＤＲは次にインストールされる。この段階で、専用アプリケーションＤＲは起動状態にある。好ましい実施形態において、専用アプリケーションＤＲがインストールされると、ホスト装置ＨＭの手段Ｍ４は手段Ｍ１を自動的に起動する。

通信インターフェイスＩＮＴを通してトークンＳＣとホスト装置ＨＭとの間で交換された全てのデータは、手段Ｍ１によって専用アプリケーションＤＲに転送される。これらの転送されたデータは、監視されたデータとも呼ばれる。専用アプリケーションＤＲは、ターゲットとされる監視されたデータを選択し、ターゲットとされる監視されたデータのサブセットを生成する。ターゲットとされる監視されたデータは、追跡されたデータとも呼ばれる。専用アプリケーションＤＲは、バッファＬＯ内にこのサブセットを記憶する。

監視されたデータのサブセットは、監視されたデータ全体の一部を保持することによって生成される。サブセットは、データのタイプ、データの価値、データの受信者又は発行者に基づいてデータを選択することによって生成される。有利には、サブセットは、日付／時間もしくはトークン内で起動されたアプリケーションタイプに基づいてデータを選択することによって生成される。一つの例において、専用アプリケーションＤＲは、既定のリストに属する指令のみを保持する。別の例において、専用アプリケーションＤＲは、発信データのみを保持する（もしくは受信データのみ）。

別の例において、専用アプリケーションＤＲは、トークンに内蔵されたターゲットとされるアプリケーションに関するデータを保持する。別の例において、専用アプリケーションＤＲは、特定のアプリケーションサーバから受信される、もしくは特定のアプリケーションサーバに発信されるデータのみを保持する。別の例において、専用アプリケーションＤＲは、トークンに接続されたホスト装置から出ないデータを保持する。言い換えれば、専用アプリケーションＤＲは、ホスト装置における内部使用のためにホスト装置で生成されたデータもしくはホスト装置によって受信されたデータのみを保持する。

図３は、手段Ｍ１によって監視されている７つの指令／応答のセットＥＤの一例を示す。図３に示されるように、専用アプリケーションＤＲは、バッファＬＯ内に記録される四つの指令／応答のサブセットＳＵを生成する。より正確には、手段Ｍ１は、第１の指令ＣＤ１及び対応する応答ＲＥ１、第２の指令ＣＤ２及び対応する応答ＲＥ２、ＣＤ３／ＲＥ３、ＣＤ４／ＲＥ４、ＣＤ５／ＲＥ５、ＣＤ６／ＲＥ６、そして第７の指令ＣＤ７及び対応する応答ＲＥ７を専用アプリケーションＤＲに送信する。

専用アプリケーションＤＲは、その内部基準に基づき、指令／応答ＣＤ２／ＲＥ２、ＣＤ３／ＲＥ３、ＣＤ５／ＲＥ５、及びＣＤ７／ＲＥ７のサブセットＳＵを選択する。専用アプリケーションＤＲは、このサブセットＳＵをバッファＬＯ内に記憶する。
例えば、選択された指令は、ＲｕｎＧＳＭＡｌｇｏ、Ａｕｔｈｅｎｔｉｃａｔｅ、ＵｐｄａｔｅＦｉｌｅ、もしくはＥｎｖｅｌｏｐｅのようなＳＩＭツールキット（ＳＴＫ）指令である。

別の例において、選択されたデータは、ＳＩＭから携帯電話機に送信される、“Ｄｉｓｐｌａｙ Ｔｅｘｔ（テキストを表示する）”及び“Ｓｅｎｄ ＳＭＳ（ＳＭＳを送信する）”のような先行指令である。選択されたデータはまた、携帯電話機からＳＩＭに送信される、“ｃａｌｌ ｃｏｎｎｅｃｔｅｄ（接続完了）”及び“Ｌｏｃａｔｉｏｎ ｃｈａｎｇｅ（位置変更）”のようなイベントである。
さらなる例において、選択されたデータは、銀行業務のドメインにおいて使用される指令のセットである。例えば、選択されたデータは、“ＧｅｎｅｒａｔｅＡＣ（ＡＣ作成）”、“ＧｅｔＰｒｏｃｅｓｓｉｎｇＯｐｔｉｏｎｓ（処理オプション取得）”、“ＣｈａｎｇｅＰＩＮ（暗証番号変更）”、及び“ＵｎｂｌｏｃｋＰＩＮ（暗証番号解除）”のようなＥＭＶ指令である。

定期的に、専用アプリケーションＤＲの検査手段Ｍ３は、バッファＬＯの内容量を検証する。バッファＬＯに記憶されたデータ量がプリセットされた閾値ＴＨに達すると、エクスポート手段Ｍ２が起動される。エクスポート手段Ｍ２は、バッファＬＯの内容の所定の遠隔装置ＥＭへの送信を開始する。

例えば、エクスポート手段Ｍ２は、外部装置ＥＭにバッファＬＯの内容を送信するようオペレーティングシステムＯＳに要求する。バッファの送信は、トークンがＵＩＣＣもしくはＳＩＭカードである場合、ＳＭＳメカニズムを通して実行される。専用アプリケーションＤＲによって開始されるこの送信は、当業者に周知である。バッファＬＯの内容は、接続されたホスト装置ＨＭを通して遠隔装置ＥＭに送信される。
有利には、遠隔装置ＥＭは、バッファ送信の管理に使用される閾値ＴＨのアップデートを要求する。

一つの例において、バッファＬＯは、バッファに記憶されたデータ量が少なくとも１０００バイトであると送信される。この閾値は、トークン内の利用可能な空き容量によって決まる。有利には、閾値は専用の指令によって設定可能である。別の例によると、バッファが８０％満たされると、バッファＬＯは送信される。また、バッファＬＯ内に記録された指令の数がプリセットされた閾値に達すると、バッファの送信が自動的に開始される。例えば、バッファが少なくとも１００もしくは５００の追跡されたデータを備えると、バッファの内容が送信される。

遠隔装置ＥＭがバッファＬＯから十分なデータを受信すると、専用アプリケーションＤＲを停止するために、特定の指令がトークンＳＣに送信される。この停止ステップは、特定の手段Ｍ１を停止する、もしくは専用アプリケーションＤＲそのものを停止することのいずれかにより実行される。

特定の手段Ｍ１の停止はまた、特定の手段Ｍ１を停止可能な手段Ｍ４によって実行される。
また、この停止ステップは、トークンＳＣから専用アプリケーションＤＲをアンインストールもしくは除去することによって実行される。

一つの実施形態において、特定の手段Ｍ１は、専用アプリケーションＤＲの識別子ＩＤ１を備える。従って、特定の手段Ｍ１は、専用アプリケーションＤＲにアクセスするために識別子ＩＤ１を使用する。有利には、識別子ＩＤ１はプリセットされた値を有する。

初期設定により、交換されたデータの監視は自動的に起動される。言い換えれば、専用アプリケーションＤＲが電子トークンＳＣ内に起動されると、特定の手段Ｍ１による監視されたデータの送信は自動的に開始される。
専用アプリケーションＤＲは、フィールド上にある一つ又はいくつかのトークンにダウンロードされる。

有利には、専用アプリケーションＤＲは、選択ルールを備えるように設計されている。選択ルールは、ターゲットとされた問題の分析に適した監視されたデータを選択する（もしくはしない）。トークンアプリケーションの技術分野の当業者には、このような選択ルールを設計することが可能である。

有利には、専用アプリケーションＤＲは、暗号化ルールを備えるように設計されている。暗号化ルールは、バッファＬＯ内に翻訳されたデータを記憶する前に、特定のシンタックスを使用して選択された監視されたデータを翻訳することを目的とする。このような暗号化ルールはまた、選択された監視されたデータからの情報の特定の部分を抽出する。従って、これらの暗号化ルールは、バッファ内にデータを記憶するのに必要なメモリサイズを減らすことを可能にする。

これらの暗号化コードは、選択された監視されたデータに属する重要な要素のみを保持することを可能にする。例えば、選択された監視されたデータがＡＰＤＵ指令である場合、ヘッダは１バイトの識別子に置換される。従って、ＩＳＯ７８１６標準に規定されるように、ヘッダの４バイトは１バイトに置換される。トークンアプリケーションの技術分野の当業者には、このような暗号化ルールを設計することが可能である。

有利には、バッファＬＯの内容は、データの記憶の前もしくはバッファ内容の送信の前に圧縮される。
有利には、遠隔装置ＥＭは、バッファの送信を管理するために使用される閾値ＴＨのアップデートを要求する。

バッファ内容は、プッシュ又はプルモードのいずれかにおいて遠隔装置ＥＭによって取得される。特定の指令は、バッファ送信を要求するために使用される。言い換えれば、トークンＳＣがバッファ内容を遠隔サーバＥＭに送信する決定を行う、もしくは遠隔サーバＥＭがトークンＳＣにバッファ内容を要求する。この最後の例において、エクスポート手段Ｍ２は、閾値に基づいてバッファ内容を送信する決定を行う。
また、バッファＬＯは、保全トークンのそれぞれの起動フェーズにおいて送信される。

遠隔装置ＥＭがバッファＬＯから十分なデータを受信すると、監視されたデータの分析が実行される。分析は、自動又は手動で実行される。バッファ内容の分析は、トークンＳＣの動作及び使用を判定することを目的とする。例えば、トークンＳＣにストレスを加える一連の動作がバッファＬＯの内容から取得される。
有利には、バッファＬＯの分析は、トークンがエンドユーザによって間違って使用されていると結論付ける。そのような場合、警告メッセージがトークンのエンドユーザもしくは関係当局に送信される。

本発明により、トークンに予期できない組み合わせの応用指令が送信された場合にも、保全トークンを使用するアプリケーションの深い分析に着手することが可能である。一般的に、保全トークンを使用するアプリケーションは、トークンに接続された装置ＨＭに記憶される。この接続された装置ＨＭは、無線装置ボックス、携帯電話、あるいはトークンとデータ交換可能なあらゆるコンピュータである。

有利には、バッファ内容は、キーによってトークン内に暗号化され、遠隔装置ＥＭ内に解読される。秘密キーは、トークン及び装置ＥＭの両方によって共有される。また、トークン及び装置ＥＭは、公開キー／秘密キーの対を使用する。

本発明により、保全電子トークンの問題の根本的原因が回復される。本発明は、トークンの通常稼動に関わるあらゆる装置から発生する障害を検出することを可能にする。特に、本発明は、異常なネットワーク相互作用、接続された装置（例えば、携帯電話又は無線モジュール又はトークンに接続されるあらゆる装置）の異常な動作、アプリケーション（接続されたホスト装置ＨＭもしくはトークンそのもののいずれかの中で稼動している）の異常な動作、エンドユーザの異常な動作、及びトークンのチップ品質から発生する問題を特定することを可能にする。

有利には、既定の配置されたトークン上の単一故障をターゲットにするために、いくつかの異なる専用アプリケーションが開発される。従って、いくつかのバッファが遠隔装置ＥＭによって取得され、分析がこれらのバッファを照合する。
本発明の利点は、ターゲットとされた、トークンと接続されたホスト装置との間で交換されたデータのタイプに正確に焦点を当てる、柔軟な解決を提供する点である。
本発明によって、エンドユーザとの相互作用は要求されない。

本発明は、装置同士（Ｍ２Ｍ）のドメイン専用の保全電子トークンにおいて実行される。Ｍ２Ｍドメインは、Ｍ２Ｍ通信サービスを提供するためにシステムに組み込まれている無線モジュールを使用する。無線モジュールは、ＳＩＭカードなどの保全電子トークンを備える。本発明は、自動車、自動販売機、及び飲料販売機に使用されるＭ２Ｍトークンにおいて実行される。

トークンの存続期間は、トークンに内蔵された不揮発性メモリの使用によって決まる。保全電子トークンの今後の存続期間を推定するためには、ミッションプロファイルがトークンに加えられる。そのようなミッションプロファイルは、トークンの今後の使用を示すように構成されている。通常、ミッションプロファイルは、トークンによって実行されるべき応用指令の数を推定することによって形成される。本発明により、トークンに受信される指令のタイプと数がわかる。情報の断片を知ることにより、トークンの推定の存続期間の算出が可能となる。

この算出は、それぞれのタイプの指令の処理によるメモリの消耗を考慮に入れる。例えば、ミッションプロファイルは、３つの“ａｕｔｈｅｎｔｉｃａｔｅ（証明）”指令、２つの“ｓｅｌｅｃｔ ｆｉｌｅ（ファイル選択）”指令、及び４つの“ｕｐｄａｔｅ ｆｉｌｅ（ファイルアップデート）”指令が日常的に実行されるという前提に基づく。評価はまた、月単位もしくは年単位で算出される。トークンの発行者は一定のトークン存続期間を確約しなければならないため、トークンの存続期間の査定は重要である。特に、トークンの存続期間に関する全ての問題は、契約上の保証によって処理される。

本発明は、フィールド上に既に配置されているトークンの使用に関する情報を取得することを可能にする。従って、トークンのミッションプロファイルは形成され、アップデートされ、又は承認される。
有利には、接続されたホスト装置のタイプ又は識別子は、バッファＬＯとともに遠隔装置ＥＭに送信される。

本発明はまた、ホスト装置とのデータ交換のための無線通信インターフェイスを有する保全電子トークンにも適用される。言い換えれば、トークンは、無線通信インターフェイスを通してホスト装置を接続する。
有利には、専用アプリケーションＤＲの実行は、認証、キー、暗号などの通常のセキュリティメカニズムによって保証される。

ＣＤ：指令
ＤＲ：専用アプリケーション
ＥＭ：遠隔装置、外部装置
ＨＭ：ホスト装置、外部実体
ＩＤ１：識別子
ＩＮ２：通信インターフェイス
ＩＮＴ：通信インターフェイス
ＬＯ：バッファ
Ｍ１：特定の手段
Ｍ２：エクスポート手段
Ｍ３：検査手段
Ｍ４：手段
ＭＥＭ：不揮発性メモリ
ＭＰ：マイクロプロセッサ
ＯＳ：オペレーティングシステム
ＲＥ：応答
ＳＣ：保全電子トークン
ＳＵ：サブセット
ＴＨ：閾値
ＷＭ：作業メモリ

Claims (15)

1. 保全電子トークン（ＳＣ）の動作の分析方法であって、前記電子トークン（ＳＣ）は外部実体（ＨＭ）とデータ（ＣＤ１、ＲＥ１）を交換するための通信インターフェイス（ＩＮＴ）を備え、前記電子トークン（ＳＣ）は、作成されてから発行されるものとするライフサイクルを有し、
   ａ）専用アプリケーション（ＤＲ）を前記電子トークン（ＳＣ）にロード及びインストールし、
   ｂ）バッファ（ＬＯ）を生成し、
   ｃ）外部装置（ＥＭ）に前記バッファ（ＬＯ）を送信する
   ステップを備える前記分析方法において、
   前記ロード及びインストールするステップは、前記電子トークン（ＳＣ）が発行された後に実行され、前記分析方法は：
   ｄ）前記電子トークン（ＳＣ）に内蔵された特定の手段（Ｍ１）によって交換されたデータ（ＣＤ１、ＲＥ１）を監視し、前記専用アプリケーション（ＤＲ）に前記交換されたデータ（ＣＤ１、ＲＥ１）を提供し、前記専用アプリケーション（ＤＲ）によって前記交換されたデータ（ＣＤ１、ＲＥ１）から前記バッファ（ＬＯ）が生成されるステップを備えることを特徴とする分析方法。
2. 前記分析方法において、
   ｅ）前記電子トークン（ＳＣ）がどのように使用されているか判定するために、前記外部装置（ＥＭ）において前記バッファ（ＬＯ）を分析するステップを備える、請求項１に記載の分析方法。
3. 前記分析方法において、前記バッファ（ＬＯ）が前記交換されたデータ（ＣＤ１、ＲＥ１）のサブセットを備える、請求項１又は２に記載の分析方法。
4. 前記分析方法において、前記バッファ（ＬＯ）がプリセットされた閾値（ＴＨ）に達すると、前記バッファ（ＬＯ）を送信するステップが自動的に始動する、請求項１乃至３のいずれかに記載の分析方法。
5. 前記分析方法において、前記専用アプリケーション（ＤＲ）が前記電子トークン（ＳＣ）にロードもしくはインストールされると、前記特定の手段（Ｍ１）が自動的に起動する、請求項１乃至４のいずれかに記載の分析方法。
6. 前記分析方法において、前記専用アプリケーション（ＤＲ）が前記電子トークン（ＳＣ）から除去されると、前記特定の手段（Ｍ１）が自動的に停止する、請求項１乃至５のいずれかに記載の分析方法。
7. 前記分析方法において、前記特定の手段（Ｍ１）は、前記通信インターフェイス（ＩＮＴ）に受信される第一の指令によって起動され、及び／又は、前記通信インターフェイス（ＩＮＴ）に受信される第二の指令によって停止される、請求項１乃至４のいずれかに記載の分析方法。
8. 外部実体（ＨＭ）とデータ（ＣＤ１、ＲＥ１）を交換するための通信インターフェイス（ＩＮＴ）を備える保全電子トークン（ＳＣ）であって、前記電子トークン（ＳＣ）は作成されてから発行されるものとするライフサイクルを有し、前記電子トークン（ＳＣ）は専用アプリケーション（ＤＲ）をロード及びインストール可能である、前記保全電子トークン（ＳＣ）において：
   −交換されたデータ（ＣＤ１、ＲＥ１）を監視するための特定の手段（Ｍ１）であり、前記特定の手段（Ｍ１）は、前記専用アプリケーション（ＤＲ）が前記電子トークン（ＳＣ）にインストールされた場合にのみ前記専用アプリケーション（ＤＲ）に前記交換されたデータ（ＣＤ１、ＲＥ１）を提供するように構成され、前記専用アプリケーション（ＤＲ）は前記交換されたデータ（ＣＤ１、ＲＥ１）からバッファ（ＬＯ）を生成するように構成され、前記バッファ（ＬＯ）は外部装置（ＥＭ）に送信されることを目的とする、特定の手段を備えることを特徴とする保全電子トークン。
9. 前記保全電子トークンにおいて、前記電子トークン（ＳＣ）がオペレーティングシステム（ＯＳ）を備え、前記オペレーティングシステム（ＯＳ）が前記特定の手段（Ｍ１）を備える、請求項８に記載の保全電子トークン。
10. 前記保全電子トークンにおいて、前記専用アプリケーション（ＤＲ）が、外部装置（ＥＭ）への前記バッファ（ＬＯ）の送信を要請可能なエクスポート手段（Ｍ２）を備える、請求項８又は９に記載の保全電子トークン。
11. 前記保全電子トークンにおいて、前記専用アプリケーション（ＤＲ）が、前記バッファ（ＬＯ）がプリセットされた閾値に達したことを検出可能な検査手段（Ｍ３）を備える、請求項８又は９に記載の保全電子トークン。
12. 前記保全電子トークンにおいて、前記専用アプリケーション（ＤＲ）が前記電子トークン（ＳＣ）にロードもしくはインストールされると、前記特定の手段（Ｍ１）が自動的に起動する、請求項８乃至１１のいずれかに記載の保全電子トークン。
13. 前記保全電子トークン（ＳＣ）において、前記専用アプリケーション（ＤＲ）が前記電子トークン（ＳＣ）から除去されると、前記特定の手段（Ｍ１）が自動的に停止する、請求項８乃至１２のいずれかに記載の保全電子トークン。
14. 前記保全電子トークン（ＳＣ）において、前記特定の手段（Ｍ１）が、前記専用アプリケーション（ＤＲ）のプリセットされた識別子（ＩＤ１）を備える、請求項８乃至１３のいずれかに記載の保全電子トークン。
15. 前記保全電子トークン（ＳＣ）において、前記保全電子トークン（ＳＣ）はＵＩＣＣもしくはＳＩＭ機能を備えるトークンである、請求項８乃至１４のいずれかに記載の保全電子トークン。

Images