JPH09500469A - メモリカード及びその作動方法 - Google Patents

Abstract

(57)【要約】 この発明は、マイクロプロセッサをベースにしたメモリカードに関し、このカードは、読出専用メモリ（ＭＳＹＳ）に格納されたオペレーティングシステムの監視の下、不揮発性ユーザメモリ（ＭＵ）に格納されたアプリケーションプログラムを使用する。特定の固定化された回路を使用することなくを種々のメモリゾーンへのアクセスに柔軟性及び安全性をもたせるために、アプリケーション（ＰＧ１，ＰＧ２，ＰＧ３）のメモリアクセス命令が解釈されそして実行されるようになっている。インタープリタは、読出専用メモリ（ＭＳＹＳ）又はユーザメモリ（ＭＵ）に格納され次のようにアクセス命令を実行する：要求されたアクセス（読出、書込及び実行のためのアクセス）が要求されたアドレスに対して許可されるかどうかを決定するために、ユーザメモリの割当ゾーンを探索する。インタープリタは、許可がある場合にのみ命令を実行する。これらの許可データを格納する割当ゾーン（ＺＲ）は、新しいアプリケーションプログラムのユーザメモリへの書込中に、更新される。この更新はオペレーティングシステムによってのみなされる。

Description

【発明の詳細な説明】 メモリカード及びその作動方法発明の属する技術分野 本発明は、チップカードとして知られている携帯形集積回路カードに関する。 さらに詳細には、本発明は、メモリ及びマイクロプロセッサ両者によってメモリ に格納したアプリケーションプログラムを実行するようにしたカードに関する。従来の技術 カードに収納された集積回路チップの一般的なアーキテクチャは、図１に示さ れるタイプが最も通常的である。参照符号ＣＰＵで示されるマイクロプロセッサ は、リンク用バスに接続され、このバスは、さらにカードのメモリに接続される 。これらのメモリは異なるタイプのものでよく、最も通常的には、異なったタイ プのメモリが、集積回路に同時にみられる。特に、ここでは次のメモリが用いら れている：参照符号ＭＳＹＳで示され、カードの全般的オペレーティングシステ ムを構成する固定プログラムを特に格納するための読出専用メモリ（ＲＯＭ）； 参照符号ＭＵで示され、電気的にプログラム可能なメモリ（ＥＰＲＯＭ）、又は 、可能ならば、電気的にプログラム可能で消去可能なメモリ（ＥＥＰＲＯＭ）で あり、例えば、１つの使用セッションから別のセッションに保持するためにアプ リケーションプログラム及びデータを格納するための不揮発性メモリ；そして最 後に、参照符号ＭＴで示され、アプリケーションプログラムを実行している間に 利用されるがカード不使用時には保 存されないデータ及びプログラム部を格納するための揮発性作業メモリ（ＳＡＭ ）。 この集積回路には、また、マイクロプロセッサと集積回路の入出力端子Ｉ／Ｏ との間の通信（一般に直列通信）のために、通信回路ＣＯＭが備えられ、この入 出力端子はチップカードの外部装置と交換する目的をもっている。集積回路の他 の端子には、標準的手法に従って、電源端子ＶＣＣ，ＧＮＤ、クロック端子ＣＬ Ｋ、リセット端子ＲＳＴ、等々がある。これらの端子は、利用される通信プロト コルに依存した機能を呈する。 この集積回路の一般的なアーキテクチャでは、安全装置ＤＳも備えられる。 これらの異なるメモリは、以下に示される所定条件の下で、マイクロプロセッ サＣＰＵを介して次のような操作を実行するようになっている： 所定アドレスの内容の読出、 所定アドレスでの書込、及び、 カードのマイクロプロセッサによる所定アドレスに格納された命令の実行。 読出専用メモリＭＳＹＳは、格納している基本操作プログラムの故に「システ ムメモリ（memoire de systeme）」と呼ぶことができ、これらの基本操作プログ ラムは、すべて、アプリケーションプログラムであり、カードが機能を果たすよ うに利用される。これは、カードの中心的なソフトウェアの核芯である。このメ モリは不変的であるが、その理由は、このメモリが不揮発性の読出専用メモリで 作られているからである。このメモリに格納された情報及びプログラムは、秘密 性タイプのものである（通常、チップは、カードのオペレーティングシステムの プ ログラムが知られることがないように製造される）。従って、このメモリは、書 込モードでは全くアクセス可能ではないものであり、また、望ましくは読出モー ドでもアクセス可能でない方がよい。勿論、このメモリは、命令の「実行」に対 してはアクセス可能である。 不揮発性メモリＭＵに格納されたデータ及びプログラムは、変更可能である。 このメモリは、ユーザに関係するアプリケーションについての特定のデータ及び 特定のプログラムを格納するとの理由で、「ユーザメモリ（memoire de utilisa teur）」と呼ぶことができる。しかしながら、そこに格納されたデータは本来多 かれ少なかれ秘密性があるので、大抵の場合はこのメモリを特別に割当てたアク セスを多少とも伴ってゾーンに分割するのが望ましく、これらのゾーンは、書込 モードではアクセス可能であるが読出モードではそうではないか、又は、読出モ ードではアクセス可能であるが書込モードではそうではないゾーンとするか、或 いは、更に、完全にアクセス可能であるか、又は、完全にアクセス不能であるゾ ーンとすることができる。その上、所定のゾーンは、カードのマイクロプロセッ サによって実行されるプログラム命令を格納することができなければならないが 、その他のゾーンは、このような命令を格納することができる必要はない。 作業メモリ（memoire de travail）ＭＴは、オペレーティングシステムのプロ グラム又はアプリケーションプログラムの実行の結果生じる一時的なデータを格 納する。概して、作業メモリのゾーンは、すべて、読出モード、読出モード又は 実行中においてアクセス可能である。 従って、このチップカードの異なるメモリには、互いに異な ったアクセス許可が必要である。 異なったアクセス許可を監視するために、あるチップカードには、「安全マト リクス（matrice de securite）」が装備される：つまり、これは、要求される 操作（読出、書込、命令の実行）に応じてメモリの或るゾーンへのアクセスを監 視する保護回路である。この回路は、操作が実行されなければならない所のアド レスを受け、要求された操作の実行を許可又は禁止するための信号を与える。 一般に、この安全マトリクスは、考慮されるメモリのすべてにわたる（要求さ れた操作についての）アクセスを禁止するものであるが、このマトリクスが、よ り複雑であり、考慮されるメモリの限定されたゾーンに対する操作を禁止又は許 可する場合を想定することができる。これは、ユーザメモリのサイズの拡張に伴 ってますます現実的になりつつある。 このような装置の利点は、ユーザメモリＭＵ〔アプリケーションの管理者（例 えば、銀行カードの場合では銀行）により開発されたプログラム〕にて実行中の アプリケーションプログラムを用いて、（カード製造者により開発された）オペ レーティングシステムの読出を禁止することにある。同様に、この読出は、アプ リケーションの管理者により開発されたプログラムのユーザによる読出を禁止す ることができる。 安全マトリクスには、それが存在するとき、決定的に固定されているという欠 点がある。もし、そうでなければ、このマトリクスが設定するアクセス禁止が迂 回されるという危険が生じることになる。 作業メモリＭＴには、オペレーティングシステムの要求に対し特別に割当てら れるゾーン、及び、アプリケーションプログ ラムの要求に対して特別に割当てられるゾーンがないこと、つまり、作業メモリ は、両タイプのプログラムからくる混合されたデータを格納するということに注 意すべきであり、これは、オペレーティングシステムのデータの安全性にとって 欠点となる。 さらに、安全マトリクスを装備していない回路は、悪意のある攻撃に対しても ろい。読出専用メモリの内容（オペレーティングシステム）の読出は、重大な警 戒を行う場合には、個人のアプリケーションデータを伴うカードのカストマイズ のステップの前に行うことができる。この段階では、実際には、読出専用メモリ の内容を体系的に読出すプログラムをユーザメモリに置き、回路から外部にこの 内容を転送すれば、十分である。 現在、オペレーティングシステムは、あるアプリケーション（例えば、銀行カ ード又は無線電話）に専用であり、特定のアプリケーションプログラムの開発並 びに実行を容易にする機能をもつ一組の処理プログラムで構成される。このよう なアプリケーションプログラムの設計者（ますます多数になっている）には、次 第に、カードの機能性について切迫した要求がなされている。そして、固定した オペレーティングシステムに関しては、望ましい機能性を開発することが必要で あり、この機能性はユーザメモリの中に置かれる。このような機能性をもつプロ グラムは、基本システムに対する機能的な付加であり、オペレーティングシステ ムによって管理される情報構造とインターフェイスする必要はない。 将来の特定の開発では、おそらく、オペレーティングシステムの柔軟性がます ます大きくなり、オペレーティングシステムとアプリケーションプログラムとの 間の区別を明瞭にし、プロ グラム及び各プログラムに固有のデータを適合的且つ効率的に保護することが要 求される。発明が解決しようとする課題 本発明は、一般に、メモリの所定部分にアクセスする不所望の試みに対して良 好な安全性を保障し、この安全性を管理するのに高い柔軟性をもつマイクロプロ セッサをベースにしたメモリカードを提供することを目的とする。 本発明では、さらに、回路の変更は莫大な製造コストをもたらすので、現用の マイクロ回路を物理的に変更せずにこれらのマイクロ回路を用いることができる ようにしている。発明を解決するための手段 本発明によれば、マイクロプロセッサをベースにしたメモリカードであって、 オペレーティングシステムのプログラムを格納した少なくとも１つの読出専用メ モリ、並びに、このメモリカードの少なくとも１つのアプリケーションに関係す るデータ及びプログラムを格納した不揮発性ユーザメモリを具備したメモリカー ドにおいて、読出専用メモリ又はユーザメモリは、アプリケーションプログラム のメモリアクセス命令を実行するためのインタープリタプログラムを格納してお り、そのために、このカードのメモリの１つの任意のアドレスにアクセスするた めの命令であって、ユーザメモリのアプリケーションプログラムに存在する命令 が、解釈可能で直接には実行不能なタイプの命令であり、そして、ユーザメモリ の中の監視ゾーンの調査であって、このゾーンは異なるメモリへのアクセスの許 可を定義するものである調査、所定のアドレスに対して要求されるアク セス命令と監視ゾーンの中の対応する所定の許可との比較、並びに、要求された アクセスのタイプ及び要求されたアドレスに対して許可が存在する場合にのみ行 うアクセス命令の実行を含む解釈サブプログラムの解釈を、インタープリタプロ グラムによって実行するように作動することができる命令であることを特徴とす るメモリカードが提供される。 オペレーティングシステムの所定のプログラム自体は、インタープリタプログ ラムによって解釈される。 従って、要約すれば、好ましくは読出専用メモリの中、しかし、可能ならばユ ーザメモリの中の「インタープリタ」と呼ばれるプログラムは、強制的に、任意 のメモリ（システム、ユーザ、作業メモリ）へのアクセス命令を解釈させて、イ ンタープリタプログラムによって監視を実行することなくしてはアプリケーショ ンプログラムがこれらのアドレスにアクセスすることができないようにしている のである。 その結果、プログラムへの読出アクセスが非常に容易に保護される：つまり、 インタープリタによって、システムメモリゾーンへのアクセスに対する許可を監 視ゾーンに書込むのを容易に禁止することができる。 そのうえ、これらのアプリケーションプログラムは、それ自体で、自身の操作 を保護することができ、それによって、いくつかのアプリケーションプログラム が存在する場合、メモリゾーンをそれらのために割当ることができないようにし て、読出モード、書込モード、或いは、実行中の何れであろうと、異なるプログ ラム間で妨害がなくなるようにする。 従って、本発明は、また、マイクロプロセッサをベースにしたメモリカードの 作動方法であって、ユーザメモリに格納され たアプリケーションプログラムを、読出専用のシステムメモリに格納されたオペ レーティングシステムプログラムを用いることによって実行するための方法にお いて、このカードのメモリにアクセスするためのすべての命令であって、ユーザ メモリの中のアプリケーションプログラムに含まれている命令が、前記読出専用 のシステムメモリ（或いは、可能ならば、ユーザメモリ）に格納された解釈サブ プログラムによって解釈され、この解釈サブプログラムは、ユーザメモリの割当 ゾーンに少なくとも部分的に格納されたアクセス許可データをもとにして、要求 された命令に従ってアクセスの監視を遂行するものであることを特徴とするメモ リカードの作動方法を提供する。 本発明の利点には、（１つの同一セッションにおいて実行される）いくつかの メモリ常駐プログラムの間でメモリ資源を共用することができるという可能性が あり、この共用はインタープリタプログラムによって完全に管制される。図面の簡単な説明 本発明の他の特徴及び利点は、添付した次の図面を参照してなされる以下の説 明から明らかになろう： 図１は、既に説明したもので、マイクロプロセッサをベースにしたメモリカー ドの集積回路の一般的構成を示し、 図２は、本発明の実施例におけるメモリの全般的な構成を示し、そして、 図３は、ユーザメモリの割当ゾーンに格納されるアクセス許可テーブルを示す 。発明の実施の形態 実行可能な命令と解釈可能な命令との相違を再述すると、実行可能な命令は、 マイクロプロセッサに与えられる論理的コーのであり、種々の回路及びマイクロ プロセッサのレジスタを直接制御するものである。解釈可能な命令は、ちょうど プロセッサのように、現在の命令を読取り、それを解読し、それから、それを実 行するインタープリタによって、案内される命令である。これら３つの動作は、 解釈可能な言語による命令すべてにわたってインタープリタプログラムによって 遂行することができる。 本発明によれば、不揮発性ユーザメモリに存在するアプリケーションプログラ ムは解釈可能な言語によって書かれており、インタープリタは、好ましくは、読 出専用のシステムメモリに存在する。 本発明の実施の第１ステップは、各ユーザプログラムに対して、監視されるべ きアクセスゾーンを定義することにある。例えば、このプログラムは、読出モー ドでは所定のメモリゾーンを、書込モードでは他の所定メモリゾーンを、そして 、実行モードでは更に他の所定メモリゾーンをアクセスすることについての可能 性とすることができる。このようにして、このプログラムのために、一種の「安 全マトリクス」が設定されるが、このマトリクスは、全く固定したものではなく 、しかも、物理的に存在するには、ユーザメモリに割当てられた１つのメモリゾ ーンの形をとるしかすべはない。このゾーンの内容は修正可能であるが、このゾ ーンは、原則として、固定された記憶位置にある。 従って、ユーザメモリは、一方では、アプリケーションプログラムのゾーンを 備え、他方では、アクセス監視用に割当てら れたゾーン（以下において、「割当ゾーン」或いは「監視ゾーン」ということが ある。）を備える。 アプリケーションプログラムをユーザメモリにローディングする（ＥＰＲＯＭ 又はＥＥＰＲＯＭタイプの不揮発性メモリへの書込による）際、このローディン グは、もちろん、オペレーティングシステムを介してなされる。 従って、ローディングプログラムはオペレーティングシステムに備えられる。 このプログラムは、実際には、もはや有用でない古いプログラムを削除する（例 えば、或るアプリケーションの１バージョンを更新されたバージョンに置換する ）必要もあるので、ローディング及びアンローディングプログラムになる。 ローディングプログラムは次のような機能をもつ： ユーザメモリゾーンにアプリケーションプログラムを書込むこと、及び、 ロードされたアプリケーションプログラムを実行する間、アクセスの監視に割 当てられたゾーンに、異なる所望のアクセス許可に関する情報を書込むこと。 このアクセスゾーンの内容は、ロードされたアプリケーションプログラムに部 分的に依存する：つまり、このプログラムの必要性に応じて、種々のアクセス許 可が設定される。しかしながら、この内容はオペレーティングシステムにも依存 するものである：つまり、この内容がシステムメモリに読出或いは書込を行うこ とを必要とすることをアプリケーションプログラムが示すことには問題がない。 ローディングプログラムは読出専用メモリオペレーティングシステムの一部を 形成するので、このプログラム自体によって 次のような最高レベルの禁止が設定される：オペレーティングシステムメモリの 内容の読出に対する絶対的禁止、及び、ローディング又はアンローディングプロ グラムの間以外の割当ゾーン自体への書込に対する禁止（このような展開はオペ レーティングシステムの順序計算状態によって標定され、この状態は、可能なら ば、アクセス許可の構成要素の一つを形成する）。 ローディング及びアンローディングプログラムは、好ましくは、その遂行を許 可する秘密資格コードの呈示を条件にして作動される。このコードは、読出専用 メモリの中のオペレーティングシステムのルーチンによってチェックされる。 従って、ローディングプログラムは、アプリケーションプログラムをユーザメ モリのプログラムゾーンに、そして、アクセス許可をこの同じメモリの割当ゾー ンに書込む。アンローディングプログラムは、このプログラムゾーンを消去し、 割当ゾーンの内容を修正する。 割当ゾーンは、ユーザメモリの常に同一の特定の記憶位置であるのが好ましい が、その理由は、使用中にこのゾーンを探索するためにその場所及び長さを知る 義務があるのが、カードの不変のオペレーティングシステムであるからである。 この割当ゾーンにインストールされるアクセス許可は、アクセス監視を要求す るプログラム機能に応じてグループ化することができる。例えば、割当ゾーンに 、順次、オペレーティングシステムに関係する許可、それから、第１アプリケー ションプログラムＰＧ１に関する許可、そしてそれから、第２アプリケーション プログラムＰＧ２に関する許可、等々というように、許可を見出すようにするこ とができる。 図２には、カードのメモリの全般的な構成が示されている。 この図では、作業メモリＭＴの中には、例として、ゾーンＺ１及びゾーンＺ２の ような種々のゾーンが示されている。ユーザメモリＭＵの中には、割当ゾーンＺ Ｒ、アプリケーションプログラムゾーンＺＰＧ１，ＺＰＧ２，ＺＰＧ３、及び、 他の種々のゾーンＺ３，Ｚ４が示されている。そして、読出専用メモリ（ＲＯＭ で示される）ＭＳＹＳには、オペレーティングシステム用ゾーンＺＳＹＳ、及び 、ゾーンＺ５のような他の諸ゾーンがある。 図３には、前の図２の中に定義されたメモリゾーンに関係して、割当ゾーンの 全般的な構造が示されている。行に沿って指示するのは異なる次のメモリである ：読出専用システムメモリＭＳＹＳ、ユーザメモリＭＵ、及び、作業メモリＭＴ 。列に沿って指示するのは関係する次の異なるプログラムである：ローディング 及びアンローディングプログラムを含むオペレーティングシステム“ＳＹＳ＋イ ンタープリタ”、アクセス命令解釈用プログラムＰＧ１，ＰＧ２，ＰＧ３。そし て、行及び列が交叉するテーブルには、許可されたアクセスが、許可アクセスの 種類（読出Ｌ、書込Ｅ、命令実行Ｘ）、及び、定義されたプログラムが展開して いる間この種類のアクセスが許可される１つ（以上）のゾーンの形をとって示さ れる。 例えば、行ＭＵ及び列ＰＧ１が交叉する点での“（Ｌ，Ｅ）／Ｚ３”は、プロ グラムＰＧ１の実行中、ユーザメモリのゾーンＺ３が読出モード及び書込モード でアクセス可能であることを意味している。行ＭＵ及び列ＳＹＳの交点の“（Ｌ ，Ｅ）／ＭＵ”は、システムプログラムの実行に対して、全ユーザメモリＭＵが 読出モード及び書込モードでアクセス可能であることを意味している。この図３ のテーブルは、ここで示した例のも のよりはるかに詳細且つ複雑にすることができることが理解されるべきである。 例えば、列“ＳＹＳ”は、異なるアクセス形式をもついくつかの列に分割するこ とができるが、これは、書込モードでの割当ゾーンＺＲへのアクセスが、メモリ ＲＯＭの一部分にのみ格納されたローディング／アンローディングプログラムの 実行にためにしか許可され得ない場合である。 プログラムＰＧ１は、システムによって実行が開始されるものであるが、例え ば、メモリＲＡＭ及びメモリＭＵの各ゾーンＺ１，Ｚ３にそれぞれ読出及び書込 を行い、メモリＲＯＭのゾーンＺ５に格納された命令を直接実行することができ る。このゾーンＺ５には、例えば、アプリケーションプログラムを自由に使う種 々のルーチン（通信、種々のアルゴリズム、等々のルーチン）が格納される。こ れらのルーチンへのアクセスは、割当ゾーンＺＲに与えられた指示に従ってメモ リＲＯＭに格納されたアクセス命令インタープリタによって監視される。 注意すべきことは、このアクセステーブルが推移的に作動すること、即ち、プ ログラムＰＧ１が、プログラムＰＧ２を実行することについての許可、従って、 インタープリタの監視下におけるプログラムＰＧ２のゾーンに格納された全ての 命令の実行（Ｘ）についての許可を有する場合には、それは、この実行の間、プ ログラムＰＧ２と同じアクセス許可を有するということである。 アクセス命令インタープリタは、オペレーティングシステムの部分をなし割当 ゾーンの内容を使用するものであるが、アプリケーションプログラムとそれに必 須のハードウェアとの間のソフトウェアインターフェイスを構成する。従って、 このインタープリタは、（読出専用、不揮発性、又は、揮発性）メモリ の全部分の読出、書込及び実行モードでの全アクセスを完全に制御することがで きる。 アプリケーションプログラム、及び、特にプログラムメモリアクセス命令であ るプログラム命令は、解釈可能な言語で作成され、この言語の命令はマイクロプ ロセッサの言語に幾分類似している。 読出又は書込モードでの各アクセス命令に対し、インタープリタは割当ゾーン ＺＲに位置している。インタープリタは、このゾーンの値を走査し、実行中の命 令に対する並びに重要なプログラムに対するアクセスの有効性を監視する。アク セスの不許可を試みる場合には、インタープリタがエラー命令を設定するが、こ の命令の機能（エラー指示、メッセージ、作動の阻止、資格の廃止、等々）は、 試みられる違反行為を十分に考慮して変えることができる。 インタープリタは、場合によっては要求されたアクセス命令に関わることがあ るアドレスの間接的指示を考慮に入れることに注意すべきである。さらに、イン タープリタは、実行不能なコードを検出するように設計することが好ましい。イ ンタープリタによりこの実行不能コードが見つけられた場合は、念のため、進行 中のプログラムの実行を停止することができる。 次のような例によって、本発明の実施の基本概念をよりよく理解することがで きよう。要求された命令が擬似レジスタＲ０に向かう２バイト語転送命令であり 、第１バイトがメモリ空間において別の擬似レジスタＲ７によってポイントされ ているものと仮定する。この命令の記憶コードは、例えば、“MOV.W(R7),R0”で あるとする。 レジスタＲ７の内容は“1000”であるとする。転送されるべ き語は、それ故、メモリのアドレス“1000”及び“1001”に格納されたバイトの 組合せによって構成される。これらのアドレスは、例えば、ユーザメモリの一部 に対応する。が、このメモリは読出専用メモリ或いは作業メモリであってもよい 。 解釈可能な命令“MOV ”は、それから、読出専用メモリＭＳＹＳの所定のアド レスにあるインタープリタのルーチンに向かってポイントする。このルーチンは 、実行可能なルーチンであって、アドレス“1000”及び“1001”への読出モード でのアクセスが実行中のプログラムに対して許可されるか否かを確認するために 、割当ゾーンＺＲを探索することによって、開始される。該ルーチンは、肯定（ 許可の確認）の場合、擬似レジスタＲ０から読出した語を置くことによりその作 業を実行するが、否定の場合は、命令の展開を中断する。この中断の事態に続く べき操作は、システムメモリに予めプログラムされている。これらの操作は、エ ラーメッセージ及び他のルーチンへの復帰から成っている。 他の例は次のようなものである：要求されたアクセス命令が擬似レジスタＲ０ によりポイントされたメモリアドレスに向かう２バイト語転送命令であって、そ の第１バイトが擬似レジスタＲ７により指示される。この命令の記憶コードは、 例えば、“MOV.W(R7),(R0)”である。 このレジスタＲ７の内容がアドレス“1000”である場合、転送されるべき語は 、また、メモリのアドレス“1000”及び“1001”に格納されたバイトの組合せに よって構成される。インタープリタは、上述したのと同様に、読出モードでのこ のアクセスがアドレス“1000”及び“1001”に対し実行中のプログラムについて 許可されることを確認する。しかし、レジスタＲ０に 格納されたアドレスが書込モードで許可されることも、確認する。 この方法を効果的に作動するためには、インタープリタが、アプリケーション プログラムを実行しているか、或いは、割当ゾーンの記録にただ一つ存在するロ ーディング／アンローディングプログラムを実行しているかを、絶えず認知して おく（そして、原則として、どれが特に実行中のプログラムであるのかをさえ認 知すべきである）のが望ましいということを理解しておく必要がある。 マイクロプロセッサの順序計算の読出によって、どれが進行中のプログラムで あるのかを決定することができる。例えば、順序計算の状態がローディングプロ グラムの実行に対応している場合、ユーザメモリの全アドレスがアクセス可能に され、このメモリへのプログラムの書込、及び、割当ゾーンＺＲへのアクセスデ ータの書込を可能化する。 割当ゾーンには、「アプリケーションプログラムローディングアドレス」タイ プの情報、即ち、このプログラムの第１命令のアドレスに関する情報を格納する ことができる。この割当ゾーンには、また、プログラムの長さ（命令の数）につ いてのデータを格納することができる。 それから、読出、書込及び実行モードでは、このプログラムにより利用するこ とができるゾーンに関するステートメントがくる。もちろん、ローディングプロ グラムは、これによって割当ゾーンを更新しようとするものであるが、アプリケ ーションプログラムによりアクセス可能であると許可されたゾーンが割当ゾーン 自体ではないことを確認する。さもないと、このゾーンの内容の読出及び修正は 、アプリケーションプログラムをも とにして行われることになる。 割当ゾーンの更新中、種々のアプリケーションプログラムの間での相互作用を 禁止するために、許可により与えられたステートメントの内容の監視を企てるこ と（アプリケーションプログラムのローディングを管理するもの）ができる。 この場合、更新時に割当ゾーンの内容を完全に監視するように動作するのがイ ンタープリタである。インタープリタは、さらに、ローディングに対する許可に よって全アプリケーションプログラムのローディングを管理する。 そして、割当ゾーンには、また、或るメモリ空間へのアクセスに関係するもの とは別の指示が格納される場合を考えることができる。例えば、このゾーンには 、ハードウェアタイプのプログラム割込に関する情報を格納することができる。 こんなわけで、例えば、プログラムＰＧ１は、他のタイプの割込ではなく、ハー ドウェア割込Ｉ１，Ｉ２によって、割込がなされる。アプリケーションプログラ ムの作動の柔軟性がさらに増大することが分かる：つまり、全アプリケーション プログラムに対する同一のハードウェア割込を体系的に（ルーチン的に）備える 必要はない。 インタープリタが低レベルのプログラムルーチンを含んでいる場合には、使用 が許可されたルーチン及び使用が許可されないルーチンに関する情報を割当ゾー ンに格納することが考えられる。 当然ながら、禁止ゾーンの特定によるのとは反対に、或るアクセスに対して許 可されたメモリゾーンを特定することによって、割当ゾーンを満たすことが可能 である。

【手続補正書】特許法第１８４条の８ 【提出日】１９９５年１１月２８日 【補正内容】 請求の範囲 １．マイクロプロセッサをベースにしたメモリカードであって、オペレーティ ングシステムのプログラムを格納した少なくとも１つの読出専用メモリ（ＭＳＹ Ｓ）、並びに、このメモリカードの少なくとも１つのアプリケーションに関係す るデータ及びプログラムを格納した不揮発性ユーザメモリ（ＭＵ）を具備したメ モリカードにおいて、前記読出専用メモリ又はユーザメモリは、前記アプリケー ションプログラムのメモリアクセス命令を実行するためのインタープリタプログ ラムを格納しており、そのために、このカードのメモリの１つの任意のアドレス にアクセスするための命令であって、前記ユーザメモリのアプリケーションプロ グラムに存在する命令が、 解釈可能で直接には実行不能なタイプのものであり、そして、 前記インタープリタプログラムによって、 ユーザメモリ中の監視ゾーン（ＺＲ）の調査であって、このゾーンは、異なる メモリへのアクセスの許可及び許可されるアクセスのタイプを定義するものであ る調査、 特定のアドレスに対して要求されるアクセス命令と前記監視ゾーン（ＺＲ）中 の対応する所定の許可との比較、並びに、 要求されたアクセスのタイプ及び要求されたアドレスに対して許可が存在する 場合にのみ行うアクセス命令の実行 を含む解釈サブプログラムを実行するように作動することができるものである ことを特徴とするメモリカード。 ２．前記監視ゾーンは、各メモリ内部に複数の異なるゾーン に対する別々のアクセス許可を格納することを特徴とする請求項１に記載のメモ リカード。 ３．前記オペレーティングシステムは前記アプリケーションプログラムのロー ディングのためのプログラムを含み、このプログラムは、新しいアプリケーショ ンプログラムをユーザメモリに、前記監視ゾーンを除いて書込むこと、並びに、 前記監視ゾーン（ＺＲ）にアプリケーションプログラムの実行中、異なるメモリ へのアクセス許可を表すデータを書込むことができるものであることを特徴とす る請求項１又は２に記載のメモリカード。 ４．前記アクセス許可は読出、書込及び実行のための許可より成ることを特徴 とする請求項１〜３のいずれか１項に記載のメモリカード。 ５．前記監視ゾーンに格納された許可データは、前記ユーザメモリにあるアプ リケーションプログラムの実行中、割当ゾーンへの書込の禁止を含むことを特徴 とする請求項１〜４のいずれか１項に記載のメモリカード。 ６．マイクロプロセッサをベースにしたメモリカードの作動方法であって、ユ ーザメモリ（ＭＵ）に格納されたアプリケーションプログラム（ＰＧ１，ＰＧ２ ，ＰＧ３）を、読出専用のシステムメモリ（ＭＳＹＳ）に格納されたオペレーテ ィングシステムプログラム（ＳＹＳ）を用いることによって実行するための方法 において、このカードの或るメモリ（ＭＳＹＳ，ＭＵ，ＭＴ）にアクセスするた めのすべての命令であって、ユーザメモリ中のアプリケーションプログラムに含 まれている命令が、前記読出専用システムメモリ（ＭＳＹＳ）又はユーザメモリ に格納された解釈サブプログラムによって解釈され、この解釈サ ブプログラムは、前記ユーザメモリの割当ゾーン（ＺＲ）に少なくとも部分的に 格納されたアクセス許可データをもとにして、要求された命令に従ってアクセス の監視を遂行するものであり、そしてその後、この許可データが、要求されたア クセスのタイプ及び要求されたアドレスに対応するアクセス許可を含む場合にの み、アクセスを遂行するものであることを特徴とするメモリカードの作動方法。 ７．前記読出専用のシステムメモリに格納されたローディングプログラムを用 いることによって、アプリケーションプログラムがユーザメモリに、監視ゾーン を除いて書込まれ、アプリケーションプログラムに関する許可データを格納する ためのローディングプログラムをもとにして、前記監視ゾーンのデータが修正さ れることを特徴とする請求項６に記載の方法。 ８．前記ローディングプログラムは、アプリケーションプログラムの前記ユー ザメモリへの書込の実行中、前記監視ゾーンへの書込を許可するデータをこの割 当ゾーンに記録するのを防止するようになっていることを特徴とする請求項７に 記載の方法。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ゴルドン，エドワール フランス国 13400 オーバーニュ ルー ト ドゥ ボーディナル イムパッス デ イロンデル 59 (72)発明者 グリモンプレ，ジョルジュ フランス国 59650 ヴィルヌーヴ−ダス ク アレ トリスタン ３

Claims (1)

1. 【特許請求の範囲】 １．マイクロプロセッサをベースにしたメモリカードであって、オペレーティ ングシステムのプログラムを格納した少なくとも１つの読出専用メモリ（ＭＳＹ Ｓ）、並びに、このメモリカードの少なくとも１つのアプリケーションに関係す るデータ及びプログラムを格納した不揮発性ユーザメモリ（ＭＵ）を具備したメ モリカードにおいて、前記読出専用メモリ又はユーザメモリは、前記アプリケー ションプログラムのメモリアクセス命令を実行するためのインタープリタプログ ラムを格納しており、そのために、このカードのメモリの１つの任意のアドレス にアクセスするための命令であって、前記ユーザメモリのアプリケーションプロ グラムに存在する命令が、解釈可能で直接には実行不能なタイプのものであり、 そして、前記インタープリタプログラムによって、次のものを含む解釈サブプロ グラムを実行するように作動することができるものであることを特徴とするメモ リカード：ユーザメモリ中の監視ゾーン（ＺＲ）の調査であって、このゾーンは 異なるメモリへのアクセスの許可を定義するものである調査、特定のアドレスに 対して要求されるアクセス命令と前記監視ゾーン（ＺＲ）中の対応する所定の許 可との比較、並びに、要求されたアクセスのタイプ及び要求されたアドレスに対 して許可が存在する場合にのみ行うアクセス命令の実行。 ２．前記監視ゾーンは、各メモリ内部に複数の異なるゾーンに対する別々のア クセス許可を格納することを特徴とする請求項１に記載のメモリカード。 ３．前記オペレーティングシステムは前記アプリケーションプログラムのロー ディングのためのプログラムを含み、このプログラムは、新しいアプリケーショ ンプログラムをユーザメモリに、前記監視ゾーンを除いて書込むこと、並びに、 前記監視ゾーン（ＺＲ）にアプリケーションプログラムの実行中、異なるメモリ へのアクセス許可を表すデータを書込むことができるものであることを特徴とす る請求項１又は２に記載のメモリカード。 ４．前記アクセス許可は読出、書込及び実行のための許可より成ることを特徴 とする請求項１〜３のいずれか１項に記載のメモリカード。 ５．前記監視ゾーンに格納された許可データは、前記ユーザメモリにあるアプ リケーションプログラムの実行中、割当ゾーンへの書込の禁止を含むことを特徴 とする請求項１〜４のいずれか１項に記載のメモリカード。 ６．マイクロプロセッサをベースにしたメモリカードの作動方法であって、ユ ーザメモリ（ＭＵ）に格納されたアプリケーションプログラム（ＰＧ１，ＰＧ２ ，ＰＧ３）を、読出専用のシステムメモリ（ＭＳＹＳ）に格納されたオペレーテ ィングシステムプログラム（ＳＹＳ）を用いることによって実行するための方法 において、このカードの或るメモリ（ＭＳＹＳ，ＭＵ，ＭＴ）にアクセスするた めのすべての命令であって、ユーザメモリ中のアプリケーションプログラムに含 まれている命令が、前記読出専用システムメモリ（ＭＳＹＳ）又はユーザメモリ に格納された解釈サブプログラムによって解釈され、この解釈サブプログラムは 、前記ユーザメモリの割当ゾーン（ＺＲ）に少なくとも部分的に格納されたアク セス許可データをもとにして、 要求された命令に従ってアクセスの監視を遂行するものであり、そしてその後、 この許可データが、要求されたアクセスのタイプ及び要求されたアドレスに対応 するアクセス許可を含む場合にのみ、アクセスを遂行するものであることを特徴 とするメモリカードの作動方法。 ７．前記読出専用のシステムメモリに格納されたローディングプログラムを用 いることによって、アプリケーションプログラムがユーザメモリに、監視ゾーン を除いて書込まれ、アプリケーションプログラムに関する許可データを格納する ためのローディングプログラムをもとにして、前記監視ゾーンのデータが修正さ れることを特徴とする請求項６に記載の方法。 ８．前記ローディングプログラムは、アプリケーションプログラムの前記ユー ザメモリへの書込の実行中、前記監視ゾーンへの書込を許可するデータをこの割 当ゾーンに記録するのを防止するようになっていることを特徴とする請求項７に 記載の方法。