JPH11505355A - ポータブルデータ処理ユニットを含むデータ交換システム - Google Patents

Abstract

(57)【要約】 データ通信手段（１４）、処理手段（１５）及びメモリ手段（１６）を備えた少なくとも１つのポータブルデータ処理ユニット（５）を有し、メモリ手段（１６）が実行ブログラム（１７）及び１つ以上のアプリケーション記述(18(1)・・・１８（ｎ）)を備え、各アプリケーション記述が少なくとも１つのインタラクション文脈条件（１９（１）・・・）を有し、該インタラクション文脈条件が、コマンドと、データ要素と、データ参照と、手順と、アクセス条件と、外的参照とを有している。データ要素、データ参照並びに他の参照の構造は、限定されたメモリスペース例えばスマートカードの非常に効率的な使用が得られるように選択される。

Description

【発明の詳細な説明】 ポータブルデータ処理ユニットを含むデータ交換システム 本発明は、複数のデータ処理ユニットを含むデータ交換システムにおいて、こ のユニットのうちのポータブル式であるいくつかのものが一時的通信リンクを樹 立し、そのうちの移動式でないユニットが常設通信リンクを有することができる 、データ交換システムに関する。処理ユニットは、データ通信手段、処理手段及 びメモリ手段を含み、後者は実行プログラムを含む。 このようなシステムは、多くのアプリケーションファイルをもつポータブルデ ータキャリヤのためのシステムが記載された国際特許出願(WO-A-87/07063)から 知られている。このようなポータブルデータキャリヤの最も重要な用途の１つと して、多くのアプリケーションに適したスマートカードがある。既知のデータキ ャリヤは、同じデータキャリヤに多くのアプリケーションをサポートするという セキュリティの特徴をもつ階層的に構成されたデータのキャリヤとして説明され ている。上記特許出願には、アクセス許容の階層セットと組み合わせて変更可能 データを記憶するため、データキャリヤに階層的ファイルシステムを導入するこ とが記載されている。データキャリヤは、１セットの共通コマンドに応答する。 ファイルアクセス許可は、異なる演算について別個のものであり且つパスワード 検証に基づいて承諾される。パスワード検証試みカウンタ（password verifica- tion attempt counter）が導入され且つ非常に多いアクセスの試みに対する認可 （sanction）として、記憶データの破壊が行なわれる。既知のデータキャリヤは 、主として記憶デバイスとして（プロセッサとしてではなく）与えられる。非常 に簡単な機能のみが、２進論理演算のような実行プログラムにより遂行される。 データキャリヤに通じる端末のリクエストがあったときに、不特定セットの演算 を遂行することはできない。セキュリティオプションのみに、パスワード検証が 導入される。既知のシステム内では、他のいかなるアクセス条件の検証も不可能 である。その上、データキャリヤの各アプリケーションは、データキャリヤのメ モリ手段内にそれ自身のファイルを有している。利用可能なメモリスペース（特 にスマートカードの場合、該メモリスペースは非常に制限されており、従って可 能 なアプリケーション数に対する制限をセットする）の効率を高めるためにいかな る特殊測度も行なわれない。 EP-A-0,479,655は、は、スマートカードでのアクセス条件のチェックの実施に 関するものである。これについての１つの仕様技術（specification technique ）が開示されているけれども、測度（measures）に、他のアクセス条件の検証が できるようにするのが好ましい。 EP-A-0,361,491は、カードの保護（再）プログラミングを可能にするチップカ ードプログラミングシステムに関する。この特許出願は、プログラムされる書込 み可能メモリの部分のアクセスを制御する追記アクセス条件(write-once-acce-s s conditions)の使用を記載している。この方法で、単一カードでのアプリケー ション数が拡大される。暗号プロトコルを含む種々の技術によるアクセス条件も 記載されている。 EP-A-0,292,248は、変更不可能なオペレーティングシステムプログラムを用い てスマートカードにアプリケーションをローディングする技術に関する。このロ ーディング技術は、割当てアクセス属性（assigned access attributes）をもつ メモリゾーンを用いてデータアクセス条件施行法の実施を有している。特別なア クセス条件は、「追記(write-once)」（これは、暗示的に記載されているに過ぎ ない）及び「実行オンリー(execute-only)」である。 米国特許第4,874,935号は、データ辞書（このデータ辞書には、カードのメモ リに記憶されたデータ要素のレイアウトが記載されている）を用いたカードプロ グラミングに関する。データ辞書には、実際に記憶されているデータだけでなく 、後で記憶されたデータもが記載されている点で、データ辞書はディレクトリと は異なっていると一般的に理解されている。また、通常、データ辞書はデータフ ォーマットの記載を有している。コンパイルドフォーマットデータでは、辞書は 、データベースの一部としてハードディスクに記憶されるデータベース管理シス テムに使用される。辞書はまた、ソフトウェア開発環境におけるプログラムコン パイルから得られる目的ロードファイルにおいても見られる。しかしながら、こ の特許は、スマートカードに特に適したデータ辞書の表現を特許請求していない 。 ＥＰ０４６６９６７Ａ１は、スマートカードと端末装置の間のメッセージシー ケンスの正しい伝達を支援するために、状態情報の記憶としてカードのメモリの 一部分を充当することによって、スマートカード実行プログラム内に複数の機能 を提供すること及び状態遷移を制御する状態エンジンを実現するための特定な手 段を提供することに関するものである。このような状態情報は、メッセージの受 理時点で実行すべき動作を決定する上で非常に重要である。可変的メッセージシ ーケンスを受け入れる状態エンジンは、コンピュータ言語コンパイラ設計及び計 算複雑性理論から周知のものである。この特許は、スマートカード内に同時に常 駐できる複数のアプリケーションに特定の動作の種々のセット（組合せ）を実施 することができるかについてはとり扱っていない。 本発明の主たる目的は、複数の処理ユニットからなるシステムを、これら処理 ユニットが、値又はその他の信頼された情報の転送を目的としてそれらの間での 通信に利用された時に、それら処理ユニットがどの様に作動するかということを 、精確にかつ一意的に記述するための手段を提示することにある。データ処理ユ ニット間で可能な通信モードについてのこのような広範な記述は、システム全体 と個々の処理デバイスの詳細な演算の両方に適用可能である。かかる形式的記述 は、世界的な展開を意図されたシステムを受け入れるために必要とされることに なる、実施の正当性確認の形式的推論のベースを提供している。 本発明のもう１つの目的は、ポータブルデータ処理ユニット特にスマートカー ド上の利用可能なメモリースペースの制限された物理的寸法によって課せられる 制約条件を最適な形で対処することにある。 本発明の他の目的は、プログラムコードの保護ローディングを行なうより一般 的な機構を提供し且つ各ポータブルデータ処理ユニットの各一アプリケーション に対して多プログラムをローディングできるようにすることにある。 また、本発明は、ポータブルデータ処理ユニットの製造業者により規定される ものではなく、アプリケーションデザイナが彼らの特定目的に適合するように選 択されるアクセス条件検証の使用をすることに関する。 さらに、本発明は、任意の介入又は媒介デバイスによって中味及び順序シーケ ンスが分断され得ないように、処理ユニットの間での通信を保護するためのメカ ニズムを提供することに向けられている。 従って、本発明に従ったシステムは、処理ユニット全体のメモリ手段には、 ａ． データ処理ユニットのうちの１つがその他のユニットのうちの単数又は 複数のものと通信する場合つねに受け入れられる基本的な互いに異なる複数の通 信の基礎的部分(communication primitive)の１セット（組）； ｂ． 受け入れられた通信の基礎的部分に応答して実行すべき動作を定義する １セットの手順記述； ｃ． 手順記述の中で定義された通りの手順が実行される時点で利用可能な、 常設記憶されているか又は計算される１セットのデータ要素； ｄ． 生じうる更なるインタラクション文脈条件に対しアクセス可能でしかも 手順記述の中に定義されているような手順が実行される時点で利用可能であるデ ータ要素に対する参照の１セットであり、手順記述に結びつけられた１セットの 参照； ｅ． 通信の基礎的部分の一部として明示的参照のために利用可能であり、通 信の基礎的部分と関連付けられた手順記述により使用されるべきデータ要素に対 する順序づけ可能な１セットの参照を含む、空のこともあるデータリスト； ｆ． 手順記述に関連して参照されるデータ要素に関連して照会されるデータ 要素に関連させられた１セットのアクセス条件； ｇ． データリスト内のデータ参照リストに関連付けられた１セットのアクセ ス条件、といったデータ構造に従って構造化された記述的データを含む「インタ ラクション文脈条件」としてのデータ処理ユニット間の考えられる通信モードの 記述がさらに含まれていることを特徴とする。 この厳密な枠組の中で、通信する信任された処理ユニットのシステムの記述を 組織することによって、デバイス間の考えられる通信の条件及び効果に関するそ のオペレーションは完全かつ網羅的に記述される。構造要素の形式的に精確な意 味的定義で増大させられて、データは形式的推論を受けやすくすることになり、 従ってシステムの実施は、正当性の形式的見直しに対してより受けやすくするこ とになる。この目的で、全てのデータが、個々の処理ユニットの全てのメモリ手 段内に常駐することは必要でない。このようなデータが使用に先立ち処理ユニッ ト内にロードされるだけで充分である。当該発明には、かかるデータの完全なロ ーディングも含まれている。 第１の好ましい実施形態においては、上述のように記述したデータ交換システ ム内の個々の処理ユニットは、そのメモリ手段に、 ａ． データ処理ユニットのうちの１つがその他のユニットのうちの単数又は 複数のものと通信する場合につねに受け入れられる１セットの基本的な互いに異 なる複数の通信の基礎的部分の１セット； ｂ． 受け入れられた通信の基礎的部分に応えて実行すべき動作を定義する１ セットの手順記述； ｃ． 手順記述の中で定義された通りの手順が実行される時点で利用可能な、 常設記憶されているか又は計算されている空のこともある１セットのデータ要素 ； ｄ． 生じうる更なるインタラクション文脈条件に対しアクセス可能でしかも 手順記述の中に定義されているような手順が実行される時点で利用可能であるデ ータ要素に対する参照の１セットであり、手順記述に関連させられる空のことも ある１セットの参照； ｅ． 通信の基礎的部分の一部として明示的参照のために利用可能であり、通 信の基礎的部分と関連付けられた手順記述により使用されるべきデータ要素に対 する順序づけ可能な１セットの参照を含む、空のこともあるデータリスト； ｆ． 手順記述に関連されて参照されるデータ要素に関連されて照会されるデ ータ要素に関連付けられた１セットのアクセス条件； ｇ． データリスト内のデータ参照リストに結びつけられた１セットのアクセ ス条件、といったコヒーレントデータ構造を内含する少なくとも１つのインタラ クション文脈条件がさらに含まれており、 ｈ． データユニットが１つ以上のインタラクション文脈条件を内含し、それ が受け入れられる通信の基礎的部分のうち少なくとも１つは、その通信の基礎的 部分を受容する処理ユニット内のさらなる参照のため前記インタラクション文脈 条件のうちの１つを選択的に表示することとなることを特徴とする。 このような形でポータブル処理ユニットのメモリ手段内でデータを定義づけす ることによって、処理ユニットは真に１つのプロセッサとして組織される。すな わちこれは、加算及び減算のみを可能にするだけでなく、例えば銀行の職員とい ったそれを行なう許可を得た人物によって処理ユニット内にロードされ得るプロ セスを実行する。受理されたコマンドに応えて任意の複雑な演算を提供すること のできる手順を提供し、かつこのようなコマンドの一部としてアドレス可能な記 憶されたデータ要素の明示リストを提供することによって、通信帯域幅を最適な 形で使用することができ、その結果、交換されるコマンドの数は減少する。本発 明に従ったシステムを用いると、システムの数多くの実際の使用には、２つのコ マンドの交換しか必要とされない。固定されている唯一のものは、例えばできる かぎりわずかな付加的メモリースペースを用いることなどによる非常に効率の良 い方法でユニットのいくつかのアプリケーションを付加できるような形で定義づ けされるメモリ手段内の構造である。これは特に、ユニットが利用可能なメモリ スペースに関して著しく制限されているスマートカードである場合、きわめて重 要なことである。その上、本発明に従った構造は、無許可の人間が、自ら使用権 をもたないプロセス又はデータにアクセスするのを禁止するためのセキュリティ 措置を含み入れる可能性を全て提供している。 手順記述のセットには少なくとも、その通信の基礎的部分を受容する処理ユニ ット内のさらなる参照のためインタラクション文脈条件のうちの１つを表示する 単数又は複数の通信の基礎的部分に応えて実行すべき第１の手順記述が含まれて おり、かかる実行の結果、表示されたインタラクション文脈条件が適切に活動化 されることになることを、多数のインタラクション文脈条件を内含する処理ユニ ットがそのさらなる特徴としている場合に、本発明の有利な実施形態を実現する ことができる。この文脈活動化手順の記述は、文脈を選択することと結びつけら れたセキュリティ必要条件を定義づけし、メモリ手段の揮発性部分の中の任意の セキュリティ及び演算データの初期化を実行するために使用すると有利でありう る。 手順記述のセットに少なくとも、その通信の基礎的部分を受容する処理ユニッ ト内のさらなる参照のためインタラクション文脈条件のうちの１つを表示する単 数又は複数の通信の基礎的部分に応えて実行すべき最後の手順記述が含まれてお り、かかる実行の結果、通信の基礎的部分が受理された間に表示されたインタラ クション文脈条件が適切に非活動化されることになることを特徴とするような、 多数のインタラクション文脈条件を内含する処理ユニットにより、さらなる利点 を得ることができる。この非活動化手順は、通信の基礎的部分の受理によって取 って替わられようとしているアプリケーションに対する制御を提供する。こうし てアプリケーション設計者には、予想外のものでありうるアプリケーションの中 止の時点で、メモリ内容の消去及び四捨五入演算を実行する機会が与えられるこ とになる。 もう１つの好ましい実施形態においては、上述のデータ交換システムは、メモ リ手段が、さらに少なくとも２つのインタラクション文脈条件、少なくとも１つ のアプリケーション記述及び現在有効状態にあるインタラクション文脈条件に対 する参照を記憶するメモリ要素を含んでおり、各々のアプリケーション記述には 、以下のものが含まれていることを特徴とする。 ａ．データ要素に関する参照からなるデータリストを備え、前記参照は、２つ 以上のインタラクション文脈条件にアクセスでき且つ賦課データ要素により拡大 され、 ｂ．前記参照又は前記付加データ要素に関連し且つ使用の制限を定めるアクセ ス条件の他のセットを備えている。 これらの測度により、異なるインタラクション文脈条件に共通のデータ要素に ついての全ての参照は、これらの全てのインタラクション文脈条件にアクセスで きるため、これらは一回記憶させる必要があるに過ぎず、メモリスペースを節約 できる。また、前記データ参照への共通アクセス条件は、所定のインタラクショ ン文脈条件にアクセスできる。従って、これらの共通アクセス条件は一回記憶す ればよく、これによりメモリスペースを節約でき且つ効率を高めることができる 。 各々のアプリケーション記述は、このアプリケーション記述の各々に結びつけ られた各々のインタラクション文脈条件の手順記述によって使用されうるコード を含む手順ライブラリも含んでいる可能性がある。 処理ユニットは、付加メモリスペースを使用することなく、少なくとも２つの アプリケーションに適合できることが好ましい。この目的を達成するため、本発 明のデータ交換システムは、メモリ手段が、少なくとも２つのアプリケーション 記述と、各アプリケーション記述内の各インタラクション文脈条件の手順記述に より、又は各アプリケーション記述内の各手順ライブラリの実行可能コードの各 ユニットにより使用される実行可能コードのユニットとを備えていることを特徴 とする。 手順ライブラリの実行可能コードのユニットが、計算の実際値としてパスされ るデータ要素に関する属性についてのクラスに、演算パラメータの使用の仕様を 含めることにより増強されることが好ましい。これは、非常に効率的な実施が存 在するデータレベル及び関数レベルの両者に関するアクセス条件を検証する有効 な方法である。 実行プログラムには正常な演算状態への回復中の内部的一貫性欠如の検出後又 は実行プログラムが活動状態にあり類似のデータ処理ユニットから受理された通 信の基礎的部分によっていかなる明示インタラクション文脈条件も規定されてい ない場合にはつねに、最終的動作を行なうように、現在有効状態にあるインタラ クション文脈条件に対する参照を記憶するメモリー要素を初期化するのに使用さ れる省略時解釈インタラクション文脈条件に対する参照が含まれていることを、 本発明に従ったデータ交換システムが特徴としている場合、システムのより高い 信頼性が提供される。 手順記述、手順ライブラリ、コードフラグメント及び実行プログラムの実施の コンパクト性をさらに改善するために、本発明に従ったデータ交換システムは、 実行プログラムが、抽象プロセッサ用としてコード化された命令のためのインタ プリタを構成するルーチンを含んでおり、かくして、手順記述の大部分及び実行 可能コードのユニットのいくつかが前記インタプリタルーチンによる解釈のため 数値にコード化されることをその特徴とすることができる。さらに、実行プログ ラムにより提供される抽象コードインタプリタは、抽象的に設計された命令セッ ト及び少数の小さな実施ルーチンの使用によってこのような確認を形式的な推論 及び証明に対しより敏感に反応するものにすることができることから、実施され た機能の正当性を形式的に確認する上での助けとなる。 インタラクション文脈条件記述及びアプリケーション記述子の記憶のコンパク ト性に関するさらなる利点と共に、本発明に従ったデータ交換システムは、手順 記述が実行可能コードのユニットを含む手順ライブラリの中に内含された手順の サブセットの上のリストの中で索引としてコード化されていることを特徴とする ことができる。特定的に言うと、本発明の文脈においては、手順記述のコード化 が、きわめて小さい値であり、そのため１つ以上の記述をメモリ手段用の基本ア クセスユニットの中に保持することができるか又は記述を同じ基本的メモリアク セスユニット内のその他の関連情報と組合わせることができるようになっている ことを、システムがそのさらなる特徴とすることができるようにデータ構造の本 来の全く異なる手順記述の数が一般にきわめて少ない、例えば１６未満であるた め、これらのタスク指名テーブルを有利に展開することが可能である。単一のイ ンタラクション文脈条件内の手順記述の数がコード化スペースが直接許容するも のより多いといった稀にしか予想されないケースに対処するためには、手順記述 のコード化値の少なくとも１つは、恐らくは特殊な値でコード化された手順記述 と結びつけて記憶された付加的なコード化情報を組込むことによってコード化さ れた手順記述のために実行すべき実際の機能を間接的に選択するように設計され ている実行プログラムの特殊機能を指示するものであることをその特徴とするこ とができるように、本発明に従って実施されたシステムは有利にも間接的な参照 の付加的レベルを使用することができる。実行文脈データ構造の中の記憶のこの ような付加的なコンパクト性は、一般に多大な数の異なるアプリケーション及び 文脈記述を保持するためにメモリー手段が必要とされていることを考慮した場合 、特に有益である。 処理ユニット内のデータ及び機能のセキュリティを高めるため、本発明のデー タ交換システムは、メモリ手段が、暗唱番号を構成することを専用化されたイン タラクション文脈条件を有し、実行プログラムが、データ交換システムのユーザ により与えられる暗唱番号を検証すべく配置されていることを特徴とする。 同じデバイスホルダアプリケーションの一部として、暗唱番号（ＰＩＮ）管理 のインタラクション文脈条件及び省略時の文脈条件(default context)を実施で きるのが有効である。本発明のデバイスが通信する殆どのデバイスによるこのア プリケーションのサポートは、デバイスの所有者（例えばスマートカードの所有 者）に、デバイスのメモリに記憶された彼のパーソナルデータを吟味する機会を 与えるであろう。スマートカードの所有者は、適当なユーザインターフェースを 与える任意のスマートカード端末で、彼のＰＩＮを修正できるであろう。 インタラクション文脈条件及びアプリケーションを記述するデータをメモリ手段 をロードするために使用すべき暗号化保護方法の選択において有利な汎用性は、 同様にそのメモリ手段中に内含されているその他のインタラクション文脈条件の 数及び内容を管理するのに専用とされた少なくとも１つのインタラクション文脈 条件がメモリー手段内に含まれていることを特徴とする本発明に従ったデータ交 換システムにおいて提供されうる。異なるレベルのセキュリティ及び演算上の複 雑性を伴うこのような汎用性をポータブル処理ユニット内に提供することが、同 じカード上に異なるアプリケーションをロードするためならびに本発明によって 提供されているような同じ基本的アプリケーションインフラストラクチャに従っ て全て構築されている発行組織のための全く異なる製品の選択を樹立する目的で 、市場から要求される可能性もある。現在、この問題に対する解決法は稀にしか 存在せず、一般に、均質な方法もオプション範囲も提供しない実行プログラムの 一部として実施された特許で保護された特別な機能に基づくものである。 各々 のアプリケーション記述には、全てのインタラクション文脈条件のための識別子 を提供するべく構築された数値リストが含まれており、さらに、アプリケーショ ンタイプを表わす第１の数値、アプリケーションを提供するエンティティの一意 的識別を表わす第２の数値、アプリケーション記述の性質を表示する第３の数値 そして各々アプリケーション記述と結びつけられた１つのインタラクション文脈 条件を一意的に指示するさらなる数字といった数値のうちの少なくとも１つが含 まれていてもよい。 インタラクション文脈条件にユニークに関連する数値のストリングは、２つの 通信デバイス間の相互運用性（interoperability）を確立する手段を構成する。 この手段は、現在考えられているもの（例えばスマートカード）より効率的であ る。エンティティを与えるアプリケーションは、実施バージョン及び秘密鍵発生 情報を組み込むユニークな文脈数を割り当てることができる。 本発明に従ったデータシステムは、データ通信手段が少なくとも２つの部分を 含むデータブロックの形でデータ交換を構造化するように配置され得、ここで第 １の部分は、それが通信の基礎的部分又は実施された演算の結果得られたデータ によって表示されるような１つのコマンドによって実行される演算の性質に影響 を及ぼすように使用されるという点で演算データとして分類されたデータであり 、第２の部分は、それが、１つの演算を実行することの適切性又は演算内で使用 されるべき演算部分内のデータの受容可能性の適切性を見極めるか又は演算の完 了又は結果として得られたデータの正当性を証明するために使用されるという点 でセキュリティとして分類されることを特徴とするような形で実施可能でもある 。このような適切性、受容可能性、証明及び正当性は、データについて関連する 暗号化演算を実行することによって得られる。 データ交換におけるメッセージのこのような構造及びこれがもたらす正しい演 算定義の実行前後の暗号化計算の順序は、データ交換のプロトコルへの中間攻撃 に対する保護の１つのメカニズムを提供する。特に、これは、セキュリティのた めに指定された部分の中に含まれている各々のメッセージの中で暗号化によりコ ード化された状態情報が交換され得るようにすることから、処理ユニットの各々 のメモリ手段内の明示的に維持されたセキュリティ状態に対するニーズを回避す るために用いることができる。暗号化条件を確認することは、応答メッセージが 送られるまでだけメモリ手段内に記憶されることを必要する状態変数を安全に初 期化し、かくしていたずらの試みにかかる状態情報がさらされる時間を低減させ る。最後に、このメッセージ構造は、通信のセキュリティがいかなる介入又は媒 介デバイスにも依存していない終端間セキュリティのより自由な使用を可能にす る。 かくして認証及びデータ保護は、コマンド実行の一部分となっており、かくし て現在のシステム例えばスマートカードで得ることのできるものよりも優れたセ キュリティを提供している。 実行プログラムは、現行のインタラクション文脈条件の中で規定された演算を 実行するよう通信の基礎的部分を受け入れた時点で、各々受け入れられた通信の 基礎的部分に関連付けられた手順記述の一部として別々に規定されている予め定 められた一定の動作シーケンスの一部として各々の演算を実行するように配置さ れており、この手順記述は少なくとも、 ａ． 通信の基礎的部分の使用許可； ｂ． 演算データ又はその任意の一部分の解読、 ｃ． 入力データを用いたコマンドの実行、 ｄ． 実行されたいずれかの演算の結果として得られる任意の演算データの暗号 化； ｅ． 任意の実行された動作の完了又はセキュリティ計算において使用されるべ き結果として得たデータの正当性の証明計算、 といった動作のために、そのいずれかがボイドであり得る全く異なる記述を含ん で成る。 データ処理ユニットが、データ転送を初期化するとランダムなトランザクショ ン番号を発生し、該トランザクション番号が暗号計算のベースとして機能するな らば、セキュリティは更に高められる。 新しいインタラクション文脈条件を入力できるようにするため、必要ならば、 １つの通信の基礎的部分には、新しいインタラクション文脈条件を入力するリク エストとして常に解釈される特定値を割り当てることができる。 好ましい一実施形態においては、本発明に従ったデータ交換システムは、 交 換された通信の基礎的部分シーケンスに対する制御をユーザーに対して与えるた め、又はそれらの中で転送されたデータに影響を及ぼすため又は交換中に受理し たデータをさらに処理するために付加的なコンピュータプログラムを実施できる ようにするべく設計されたプログラムコードから成るアプリケーションプログラ マーズインタフェースをそのメモリー内に任意に内含していてよいデータ処理ユ ニットと同じ要素を含むさらなるデータ処理ユニットを含んで成ること、を特徴 とする。 本発明のこのような好ましい実施形態においては、特定されたインタラクショ ン文脈条件を入力するのに用いられる基本命令には、その後の通信において、セ キュリティ計算の中で用いられるべき数値、処理ユニットの１つによりランダム に又は同様に一意的に生成された第１の値そして恐らくは前記１つのユニットの 真正性を証明するため又はこの１つの処理ユニットをその他の形で識別するため に役立つ第２の値が含まれている可能性がある。 本発明からの利益をさらに得るためには、各々の通信の基礎的部分はさらに、 命令プログラムによる解釈のための通信の基礎的部分の表現力を増強させる２つ 以上の数値で構成されるように構造化されてもよい。 第１の変形形態としてはリセットを信号送りする第１のものを除いて各々の通 信の基礎的部分は、２つ以上の数値から成り、第１の値は、通信の基礎的部分に 結びつけられた動作の手順記述を指示するのに用いられ、第２の値は、各々単一 のデータ要素に対する参照として実行プログラムによって解釈される一定数の２ 進値で構成される可能性がある。 第２の変形形態としては、リセットを信号送りする第１のものを除いて各々の 通信の基礎的部分は、２つ以上の数値から成り、第１の値は、通信の基礎的部分 に結びつけられた動作の手順記述を指示するのに用いられ、第２の値は、任意の データ要素がこの値に一致する値を含んでいるか又はその他の形でそれを表示す るのに充分であるような値を含んでいる場合にそのデータ要素が選択されるよう な形で応答動作を実行する間、活動状態のインタラクション文脈条件の中の外部 参照のために利用可能なデータ要素のうちのいずれが使用されることになるかを 決定するために使用される可能性がある。 第３の変形形態としては、リセットを信号送りする第１のものを除いて各々の 通信の基礎的部分は、２つ以上の数値から成り、第１の値は、通信の基礎的部分 に結びつけられた動作の手順記述を指示するのに用いられ、第２の値は、通信の 基礎的部分内のデータ書式を解釈する上で及び応答動作を実行する上で使用され るべき実行プログラムにより特定の意味が割当てられた一定数の２進値で構成さ れている。 上述のポータブル処理ユニットはスマートカード又はＰＣＭＣＩＡ カードの形で実施できる。 本発明のさらなる実施形態においては、通信手段は、データリンクを樹立する ために、データ処理ユニット自体が自ら利用できるようにするような外部通信手 段又はデータ処理ユニットを実施する、ＰＣＭＣＩＡ又はスマートカードをホス トする類似のこのような電子デバイスを利用する。 本発明の１変形形態においては、データ処理ユニットは、ポータブルパーソナ ルコンピュータとして実施される。 通信手段は、スマートカード読取り装置又はＰＣＭＣＩＡカードスロットを利 用できる。 さらに、通信手段は、主として又は付加的に、電磁場ｃ．ｑ．粒子での無接点 データ転送を利用する。 上記文脈条件機構及び技術によれば、より広範囲のスマートカードの使用がで き且つ従来のものに比べて多くの長所をもつスマートカードのアプリケーション 開発が可能になる。 先ず、他のアプリケーションのために記憶されたデータのセキュリティに対す る潜在的脅威があるコードを完全に試験する必要なく、スマートカードのアプリ ケーションの特定プログラムコードの実行を可能にする。カードにデータが記憶 されたアクセス条件が、アプリケーションコードの実行中に外的干渉の可能性な く、カードオペレーティングシステムにより実施されるので、マルチアプリケー ションカード方式は、プログラムコードの調査権限を必要としない。伝統的なス マートカードでは、このような権限は、プライベートコードの実行ファシリティ が許容する唯一の方法である。実行コードをカードに認証することにより、調査 権限はシステム全体のセキュリティに関して責任を課せられる。すなわち、これ は、マルチアプリケーションスマートカードの形式の管理を非常に複雑にする。 付随する複雑さ及びコストは、伝統的なカード形式のアプリケーション特定コー ドを殆ど実行不能にする。新しい技術によれば、スマートカードアプリケーショ ンプロバイダからのこのファシリティに対する要望に適合できる。 第２に、カード内の保護されたアプリケーション特定的プログラムの直接的結 果として、カード内にその他のアプリケーションをロードするため専用の１つの 特定的アプリケーションを実施することが可能である。この要領で、アプリケー ションはひとたびカード内にロードされた時点で、それらをロードしたアプリケ ーション自体から保護され得る。この保護により、マルチアプリケーションカー ドスキームに関与する当事者、特にカード発行エンティティ及びアプリケーショ ン提供エンティティに対し、その事業契約のためのベースが与えられることにな る。「信頼」及び「適正管理」といったような抽象的な概念ではなく、各カード 上に必要とされる記憶量、装備されるべきカード数及びカード上のアプリケーシ ョンの持続時間といった有形事物に基づいていることから、アプリケーションプ ロバイダーの契約は、従来実施されてきたスマートカードの場合よりも公式化し やすい。その上、カード発行者とアプリケーションプロバイダーは、秘密キーを 共用する必要がなく、又契約による義務及び相互に承認されたキー輸送機能を用 いてこの共用を保護する必要もない。 第３に、アプリケーションソフトウェアは、新しい技術に基づいて実施された 場合、先行技術のスマートカードオペレーティングシステムと比べいくつかの利 点を有する： ＊カードと端末装置の間の相互運用性を確立するため、端末装置とカードの間 には最小限のデータ交換しか必要とされない。例えばこれらは同じアプリケーシ ョンを支援する。交換すべきデータの値は、ＩＳＯ国際規格草案７８１６−５の 中で提案されているとおりに構造化できる。 ＊カードと端末との間のトランザクションを完了するため、理論的に推論され るような最小のデータ交換数を実際に使用できる。なぜならば、標準コマンドの 長いシーケンスを使用する代わりに、トランザクションがプライベート計算とし て完了するからである。 ＊ディレクトリにより規定された内包アクセス経路及び現在使用され且つ標準 化のため提案されているように全てのアプリケーションにより共用されるファイ ル階層を必要とすることなく、データへの制御されたアクセスが可能である。 ＊タンデムな形態の端末及びスマートカードアプリケーション開発が可能であ り、この開発プロセスは、コンパイラ及びエミュレータのようなコンピュータソ フトウェアツールによりサポートされる。かくして、カード及び端末ソフトウェ アの設計及び実施が、現在必要とされている長ったらしく且つエラーの多いアセ ンブリ言語コーディングより向上される。 ＊カード製造業者又は端末製造業者により提案されている新しい特徴のように 、将来の開発に向かってフレキシビリティを与える装置の能力を述べる抽象的形 式主義を用いて、カード及び端末の両機器の標準化が可能になる。標準化された 端末能力としてＡＰＩを含めることができる。これに対し、スマートカードにお ける現在の標準化努力は、規格により決定されている方法で識別値を解釈できる ように、メッセージの固定データ内容を規定することに集中しており、これでは 、 新たな開発を行なう余地がなくなってしまう。 最後に、本発明の新たな技術によれば、スマートカードオペレーティングシス テムの実施者には、カードオペレーティングシステムのカーネル及び端末オペレ ーティングシステムの最適実施を設計する最大自由度が与えられる。スマートカ ードのハードウェア設計業者には、システムのカーネルに包含されるベーシック オペレーションのためのハードウェアサポートを用いて、チップシリコンの使用 を最適化するための幾つかのオプションが与えられる。上記特殊設計により得ら れるハードウェアのコスト低減は、汎用の単チップコンピュータでの改良に基づ く場合より大きくできる。 以下、本発明の一般的原理を実施する一例を示す幾つかの図面を参照して本発 明を説明する。 第１図は、データ要素の階層的に組織されたコレクションに基づく、スマート カードの従来のアプリケーション設計を示すものである。 第２図は、ポータブルデータ処理ユニットと、現在標準として受け入れられて いるフォーマットでの同様な処理ユニットとの間の通信フロー図である。 図３は、スマートカード又はＰＣＭＣＩＡカードといったようなポータブル処 理ユニット及びカード端末装置又はポータブルパーソナルコンピュータといった ようなより静止型の処理ユニットの中でインタラクション文脈条件を用いた本発 明の基本的実施を提示している。 第４図は、手順の遂行の間に使用される、インタラクション文脈条件と、デー タ要素と、ライブラリ関数との間の種々の関係を強調する実行文脈条件（execu- tion context）の実用組織の一例を示すものである。 第５図は、通信の基礎的部分により呼び出される設定手順（procedural descr iption）の遂行に含まれるプログラム実行制御及びセキュリティ文脈条件スイッ チ(security context switches)の一例を示すフローチャートである。 先行技術システム内のデータ及びファイル構造は図１に描かれている。基本的 に、複数の基本ファイル３及び単数又は複数の専用ファイル２が存在する。各々 の専用ファイルは、単数又は複数のさらなる専用ファイル２に又は単数又は複数 の基本ファイル３に接続することができる。先行技術では、ディレクトリ及びフ ァイルの樹状階層が用いられていた。先行技術の構造における下位レベルの数は 、原則的に制限されていない。図１で使用されている用語は、ＩＳＯ国際規格７ ８１６−４から採用されたものである。図２に示されてているようなポータブル データ処理ユニット５と類似のデータ処理ユニット４の間の通信フローのための 標準フォーマットに従うと、通信は１セットのブロック対を含んで成る。通信は データ処理ユニット４からのリセット信号ｍφで開始する。このようなリセット 信号は、データ処理ユニット５内のパワー・オン・ロジックにより生成されるよ うな通信帯域幅の外にあってよいが、概念上はメッセージの順序立った交換の一 部を成す、ポータブルデータ処理ユニット５は、アンサーツーリセット（ＡＴＲ ）ｍ１と恐らくはそれに続く内容でもって応答する。その後に続く全てのブロッ ク対ｍ２，ｍ３，…，ｍ（ｎ−１），ｍｎは、識別用の値を見出しとしてそれに 内容が続くブロックから成り、互いに異なる基礎的命令を構成する。 図３は、データを送受信することによって互いに通信している本発明に従った ２つのデータ処理ユニットの内部構造を示す。左側のデータ処理ユニット４はな かでも１つの端末装置であってよく、右側のデータ処理ユニットは、なかでも例 えはスマートカードなどのポータブルデータ処理ユニットであってよい。しかし ながら、本発明は同様に、適切な通信手段又は適切な接続技術によって互いに通 信することのできる２つ以上のポータブルデータ処理ユニットに対しても応用で きる。 データ処理ユニット４，５の各々は、データ通信手段７，１４を含み、これを 通して、構造化されたデータブロックを交換することが可能である。データ処理 ユニットの各々は、処理手段８，１５とメモリ手段９，１６を含んで成る。メモ リ手段９，１６は、読取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（Ｒ ＡＭ）及びプログラマブル読取り専用メモリ例えば電気的に消去可能なプログラ マブル読取り専用メモリ（ＥＥＰＲＯＭ）のいずれの構成のものであってもよい 。 メモリ手段９，１６は、ここでは「ＭＡＸＯＳ」で表わされている実行プログ ラム１２，１７を有する。ポータブルデータ処理ユニット５が２つ以上のアプリ ケーションに適している場合、メモリ手段９，１６はアプリケーション記述１３ （１）…１３（ｎ），１８（１）…１８（ｎ）を含む。関連するデータ処理ユニ ットのアプリケーションと同数のアプリケーション記述が存在する。各々のアプ リケーション記述は「ＣＳＡ」で示されている。第２のアプリケーション記述１ ３（２），１８（２）は、各アプリケーション記述の内容の表示を可能にするた め図３に拡大して示されている。各アプリケーション記述１３（ｉ），１８（ｉ ）は少なくとも１つの「インタラクション文脈条件」１１（１）…１１（ｍ）， １９（１）…１９（ｍ）を含んで成る。各々のインタラクション文脈条件は「Ｃ ＴＡ」で示されている。これらのインタラクション文脈条件のうちの最初のもの １１（１），１９（１）は、その内容の表示を可能にするべく拡大して示されて いる。各々のインタラクション文脈条件には、次のものが含まれる： ・インタラクション文脈条件により認識された通信の基礎的部分を特定し且つ １セットの手順に特定された適当な手順に関する１セットのコマンド、 ・１セットのデータ、 ・もしも何かあるならば、他のインタラクション文脈条件にあるデータに関す る１セットのデータ、 ・実行プログラム１２、１７により遂行される１セットの手順、 ・データ要素への１セットのアクセス条件、 ・他のデータ処理ユニットにより発せられるコマンドに使用すべきデータ要素 に関する１セットの外的参照、 ・任意的事項であるが、開発者が特定した他のリスト、 である。 最後に、メモリ手段９、１６は、「現在のＣＴＡ」すなわち現在実施されてい るインタラクション文脈条件に関する参照を保有している。 １つのアプリケーション記述内の幾つかのインタラクション文脈条件の意図す るところは、処理ユニット４、５間の可能インタラクションに機能的分離を与え ることである。これは、機能的分離がセキュリティ条件の分離でもあるときに、 特に関係がある。一例は、スマートカードと例えばドアを開くための端末との間 の第１インタラクションと、開くことを許容されたドアをプログラミングすると きの第２インタラクションとで構成できる。第２インタラクションは第１インタ ラクションより良いセキュリティを必要とし且つそれ自身のインタラクション文 脈条件が割り当てられる。インタラクション文脈条件へのアクセスを得ることは 、インタラクション文脈条件内で実行される演算のセキュリティを確保する第１ ステップである。 第４図は、データ要素アクセス条件と手順との間の関係を示すメモリ組織モデ ルとして示した文脈条件の機構の実施への実際的アプローチを示す。第４図の構 造は、ポータブルデータ処理ユニット５の２つ以上のアプリケーションがあるあ らゆる場合に適用される。アプリケーションが１つのみであるときは、後で説明 するように、構造は極めて簡単化される。第４図には、データ処理ユニット５の 参照番号が示されているけれども、第４図の構造はデータ処理ユニット４のメモ リ手段９にも同様に適用できる。第４図では、データ要素の記述及び手順の記述 は、１つのアプリケーション（ＣＳＡ）を構成する異なるインタラクション文脈 条件（ＣＴＡのもの）間のプログラムコードのシェアリング及びデータのシェア リングを反映するように最適に組織化される。 メモリ手段１６は、データ要素Ｈ（１）・・・Ｈ（７）と、実行可能コード要 素Ｇ（１）・・・Ｇ（５）（これらは、オペレーティングシステムの一部である ）と、アプリケーション記述１８（１）、１８（２）（ＣＳＡ１、ＣＳＡ２）と を有している。第４図では、オペレーティングシステムと同一のデータ及びコー ドは省略されている。第４図に示すように、データ要素、実行可能コード要素及 びアプリケーション記述の数は一例として示したに過ぎず、その数は実際の必要 に応じて変えることができる。 各アプリケーション記述１８（１）、１８（２）は、メモリ手段内に物理的に プリセットされている。これらは、メモリの使用を反映する第１の抽象化底部層 を与える。各アプリケーション記述１８（１）、１８（２）は、次のものからな る。すなわち、 ・矢印Ｐ（１）…Ｐ（５）で示されているように、この目的で利用可能にされ ているオペレーティングシステムのコード要素を指示することのできる実行可能 コードユニットＦ（１）…Ｆ（４）で構成された手順ライブラリ； ・現在のアプリケーション記述１８内のインタラクション文脈条件１９（１） ・・・１９（２）内の手順により使用すべきデータ要素Ｅ（１）・・・Ｅ（７） のリスト（このデータリストは、データアクセス条件と、データ要素を保持する 記憶領域へのポインタｑ（１）・・・ｑ（７）からなる）、 ・多数のインタラクション文脈条件の記述１９（１）、１９（２）からなるイ ンタラクション文脈条件リスト、 である。 第４図に示す手順ライブラリ内の要素、データ要素、及びアプリケーション記 述１８（１）内のインタラクション文脈条件の数は、単に例示の目的に過ぎず、 要素の数は所望のアプリケーションに基づいて変化する。 データ交換に参加する処理ユニット４，５内のアプリケーション記述１８（１ ）データ構造及びインタラクション文脈条件１９（１），１９（２）の内容は、 １つのユニットからの応答がもう１つのユニットによるコマンドとして解釈され るという点で相補的である。この相補性を通して、データ構造の恐らくはコンパ クトにコード化された内容を単一のテキスト記述から生成することができる。一 般にデータ交換システムは，システムの演算中に、その目的を達成するためのデ ータ交換のための通信に入ることができる、異なる目的をもつ処理ユニットの数 多くの実施で構成されている。各々の処理ユニットはそのメモリ手段の中に、シ ステム内のその意図された目的に関係するようなデータ構造の一部分のみを含ん でいるだけでよい。システム全体は、インタラクション文脈条件の異なる内容全 ての収集によって記述される。同様に、インタラクション文脈条件のいくつか又 はその内容の一部分は必要に応じていつでもロードされ得る。このようなローデ ィングは、例えば、以上で示唆した管理アプリケーションによって保護されると いったように、安全な形で行なうことができる。 インタラクション文脈条件１９（１）、１９（２）は、アプリケーション記述 １８（１）を記憶するメモリ手段内に物理的に存在する。論理的に、インタラク ション文脈条件は、メモリを用いた制御の第２層を形成する。この第２層及びア プリケーション記述層により与えられる組合せ制御は、スマートカードのような ポータブルデータ処理ユニットのための実行文脈条件機構(execution context m echanism)の有効実施を与える。各インタラクション文脈条件19(1)、19(2)は、 次のものからなる。すなわち、 ・手順記述Ｃ（１）・・・Ｃ（５）のリスト。これらの手順記述は、例示矢印 ｓ（１）により示されるアプリケーション記述１８内の手順ライブラリの手順記 述に関する。或いは、これらの手順記述は、例示矢印Ｔ（１）により示されるよ うに、オペレーティングシステムにより与えられる実行可能なコード要素Ｇ（１ ）・・・Ｇ（５）に関するものでもよい。更に別の構成として、これらの手順記 述には、実行中の手順により使用され且つ矢印ｒ（１）・・・ｒ（６）で示すよ うに、関連するアプリケーション記述のデータリストに存在するあらゆるデータ 要素に関する明確な参照を含めることができる。 ・関連するインタラクション文脈条件での手順による使用に専ら利用できるデ ータ要素Ｂ（１）・・・Ｂ（５）を含むデータリスト。データ要素は、矢印u(1) ・・・ｕ（５）により示すように、実際のデータにアクセスするときの関連アク セス条件についてのアプリケーション記述１８のデータ要素に関して表される。 ・インタラクション文脈条件１９（１）、１９（２）によりコマンドとして受 け入れられる通信の基礎的部分Ａ（１）・・・Ａ（４）からなる外的インターフ ェースリスト。通信の基礎的部分内の各コマンドは、矢印ｖ（１）・・・ｖ（４ ）で示すように、関連するインタラクション文脈条件内の手順リストの複数の手 順記述 Ｃ（１）・・・Ｃ（５）を参照する。通信デバイス４により発せられる とき、コマンドは、該コマンドに続く１つ以上のアドレスによるアプリケーショ ン記述のデータリストにおける要素に関するものでもよい。各コマンドは、コマ ンド処理への入力としてデータ要素により達成される。ここに与えられるような アドレスの数は例示したに過ぎず、実際上の必要に応じて各コマンドについて決 定される。 データ要素の保護は、アクセス条件を設けることにより与えられる。通信の基 礎的部分Ａ（１）・・・Ａ（４）内の外的コマンドは、関連するインタラクショ ン文脈条件１９のデータリストに参照をもつデータ要素をアドレスするに過ぎな い。これらのアクセス条件は、コマンドを許容するアクセスの形式を特定する。 すなわち、このようなアクセス条件は、ノーアクセス、リードオンリアクセス、 読取り／書込みアクセス及び秘密鍵の使用であってもよい。他のアクセス条件を 加えることもできる。例えば、通信の基礎的部分Ａ（１）のコマンドは参照矢印 ｗ（２）を通るデータ要素Ｂ（２）へのリードオンリアクセスにし、一方、通信 の基礎的部分Ａ（２）は参照矢印ｗ（３）を通る同じデータ要素Ｂ（２）への読 取り／書込みアクセスにすることができる。 手順記述Ｃ（１）・・・Ｃ（５）は、関連するアプリケーション記述１８のデ ータリストのデータ要素に関するものにすることができる。ここでも、アクセス 条件が適合するものであれば、アクセスがなされるに過ぎない。これらのアクセ スはまた、例えば、ノーアクセス、リードオンリアクセス、読取り／書込みアク セス及び秘密鍵を許容できるアクセスの形式を特定する。同じインタラクション 文脈条件１９内の異なる手順記述についてのアクセス条件は、同じアプリケーシ ョン記述データリスト要素Ｅ（１）・・・Ｅ（７）について異ならせることがで きる。例えば、参照矢印ｒ（１）はリードオンリアクセス条件を表し、一方、参 照矢印ｒ（２）は読取り／書込みアクセス条件を表すことができる。 アクセス条件は、関連レベル、すなわちアプリケーション記述レベル又はイン タラクション文脈条件レベルに関し、一回だけチェックされる。インタラクショ ン文脈条件１９（１）、１９（２）内のデータリストのＢ（１）・・・Ｂ（５） は、矢印ｕ（１）・・・ｕ（５）により、アプリケーション記述１８（１）のデ ータリスト内のデータ要素のポインタに直接関連付けられている。なぜならば、 アクセス条件は、既に、アプリケーション記述１８（１）のデータリスト要素Ｅ （１）・・・Ｅ（７）に合致しているからである。しかしながら、アプリケーシ ョン記述１８（１）内のデータリスト要素に関するインタラクション文脈条件１ ９（１）、１９（２）内の手順記述Ｃ（１）・・・Ｃ（５）は、アプリケーショ ン記述１８（１）内のデータリスト要素Ｅ（１）・・・Ｅ（７）に関連するアク セス条件に先ず合致しなければならない。アプリケーション記述１８（１）及び その関連インタラクション文脈条件１９（１）、１９（２）のデータリスト内の 任意のデータ要素又は手順記述要素は、メモリ手段１６内の任意の他のアプリケ ーション記述とは関連付けられない。手順記述を構成する実行コードは、各手順 記述Ｃ（１）・・・Ｃ（５）と関連する一定セットのデータ参照を介して、間接 的にデータをアドレスするに過ぎない。Ｂ（１）・・・Ｂ（５）により記述され るデータを使用し、参照のリストは、手順記述と関連するコマンドとして受け 入れられる通信メッセージに実際に特定されたアドレスを評価することにより得 られたものとして、データ要素に関する実行プログラムにより一時的に拡大され る。かくして、明確に特定されたもの以外のものにアクセスされることはなく、 特定の使用条件が観察されるに過ぎない。換言すれば、その関連するインタラク ション文脈条件をもつアプリケーション記述に関しては、第４図の好ましいメモ リ参照モデルが、データ処理ユニット５の一回のみの適用内での演算についての 専用文脈条件を与える。データ要素Ｈ（１）・・・Ｈ（７）はあらゆるアプリケ ーションに共通なメモリ手段１６に記憶されるけれども、アプリケーション記述 １８（１）の文脈条件内に、専用使用のためのデータを収容している。この専用 性(exclusivity)は、Ｅ（１）からＨ（２）までのｑ（１）のような各記憶位置 への単一ポインタの存在を許容する実行プログラムにより保証される。コード要 素Ｇ（１）・・・Ｇ（５）のみが、メモリ手段１６内に記憶された任意のアプリ ケーション記述１８（１）に関係付けられる。共通コードＧ（１）・・・Ｇ（５ ）についてのアプリケーション記述１８（１）以外のアプリケーション記述のこ れらの最後の参照は、第４図には明確に示されていない。しかしながら、当業者 ならば、第４図の構造を、２つ以上のアプリケーション記述１８（１）、１８（ ２）・・・に容易に拡大できるであろう。 異なる種類のアクセス条件の使用により、いかなるデータ要素が保護されるか を説明した後、ここで、メモリ管理規定（memory management provisions）を説 明する。メモリ管理の場合には、変更可能データ（データ要素）及び変更不可能 データ（オペレーティングシステムコード）は、オペレーティングシステムによ り別々に管理される。第４図に示すメモリ参照モデルは、関連するアプリケーシ ョン記述１８内のデータリスト及び手順ライブラリから、それぞれ、ポインタｑ （１）・・・ｑ（７）；ｐ（１）・・・ｐ（５）により関連付けられるメモリ手 段１６内でのコードとデータ要素との分離を与える。各インタラクション文脈条 件１９（１）、１９（２）内のデータリスト要素は、これらのポインタに関する 参照のみを含んでおり、メモリ手段１６内のコードＧ（１）・・・Ｇ（５）及び データ要素Ｈ（１）・・・Ｈ（７）に直接関連する参照は含んでいない。関連す るアプリケーション記述１８のデータリストは、オペレーティングシステムが 必要とする間接(indirection)のレベルを与え、メモリ管理を遂行する。 コード複製は、異なるインタラクション文脈条件の間に共通コードを共有させ るため、２つのレベルに、共通のコードライブラリすなわちアプリケーション記 述１８（１）の手順ライブラリのコード要素Ｆ（２）に関する手順記述Ｃ（３） のような「コマンドボディ」を与えることにより回避される。しかしながら、手 順記述Ｃ（３）のボディはまた、メモリ手段１６内に記憶され且つオペレーティ ングシステムにより与えられるコードＧ（３）にも直接関連する。オペレーティ ングシステムにより与えられる要素コードＧ（１）・・・Ｇ（５）のあらゆるも のは、効率的実行のために実施される。 コード要素Ｆ（１），Ｆ（２）に対する参照は、メモリーアドレスを用いてか 、又は付加的な間接的レベルで適切に構築されたテーブル内の索引を用いて、行 なうことができる。ここで提供される参照の階層的構造化は、索引を用いたこの ような実施にはきわめて適している。 根本的に、図４に従ったメモリ構造は、データ処理ユニット５のわずか１つの アプリケーションしか提供されていない状況下でも適用可能である。この場合、 その唯一のアプリケーション記述１８（１）は１つのインタラクション文脈条件 １９（１）と一致する可能さえあり、このときこのインタラクション文脈条件は 次のようなコヒーレントな定義セットを含んでいる： ａ．データ処理ユニット５が類似のユニット４と通信するときにつねに受容さ れる１セットの基本的な通信の基礎的部分Ａ（１）…。この基本的部分は少なく とも前記少なくとも１つのインタラクション文脈条件を入力するために用いられ る基本的部分を内含している。 ｂ．１セットの手順記述Ｃ（１）・・・。これは、受け入れられた通信の各基 礎的部分 Ａ（１）・・・に応答して遂行されるアクションを定め、少なくとも 、インタラクション文脈条件を付勢するときに遂行される第１手順記述と、文脈 条件を除勢する直前に遂行される少なくとも手順記述とからなる。 ｃ．空のこともある１セットのデータ要素Ｈ（１）・・・。これは、永久的に 記憶されるか又は計算され、このデータ要素は、手順記述Ｃ（１）・・・で定め られた手順が遂行されるときに、使用のために利用される。 ｄ．空のこともある１セットのデータ要素。この参照は手順記述Ｃ（１）・・ ・に関連する。前記データ要素はまた、別のインタラクション文脈条件にもアク セスでき且つ手順記述Ｃ（１）・・・に定められた手順が遂行されるときに、使 用のために利用される。 ｅ．通信の基礎的部分の一部としての明確な参照として利用でき、空のことも あるデータリスト。該データリストは、通信の基礎的部分に関連する手順記述に より使用すべきデータ要素に関するデータ参照のリストからなる。 ｆ．手順記述に関連するデータリストに関連する参照をもつ１セットのアクセ ス条件。 ｇ．データリストにおけるデータ参照Ｂ（１）・・・のリストに関連する１セ ットのアクセス条件。 データ処理ユニット５に１つのみのアプリケーションがあり且つ少なくとも２ つのインタラクション文脈条件１９（１）、１９（２）がある場合には、各アプ リケーション記述は次のものからなる。 ａ．データ要素に関する参照Ｅ（１）・・・からなるデータリスト。前記参照 は、２つ以上のインタラクション文脈条件１９（１）・・・にアクセスでき且つ 賦課データ要素により拡大される。 ｂ．前記参照Ｅ（１）・・・又は前記付加データ要素に関連し且つ使用の制限 を定めるアクセス条件の他のセット。 ２つ以上のインタラクション文脈条件の各々における手順記述のセットはまた 、文脈条件の除勢の直前に遂行すべき付加的な最終手順記述をも含んでいる。 第５図は、上記「ＭＡＸＯＳ」により定められる実行プログラム（１２、１７ ）での制御のフローチャートを示す。 システムにスイッチを入れた後、ソフトウェアは、ステップ３０でのリセット コードを処理することからスタートする。ステップ３１では、データ処理ユニッ トのカーネル演算セキュリティレベル(Kernel operations security levels)が 入力される。このレベルを記述するアクセス条件は、例えばＲＯＭ又はハードウ ェアロジック等のメモリの修正不可能部分に記憶される。ステップ３２では、無 矛盾性について不揮発性メモリがチェックされ、且つ例えばスマートカードの引 出しによる突然のスイッチ遮断により未完のまま残されることのあるあらゆる修 正がキャンセルされる。不揮発性メモリの無矛盾性のチェックは、メモリに記憶 され且つ検査合計を計算する試験状態の情報を含んでいるに過ぎない。いくらか でもアクセスがなされた場合には、メモリの内容は検査合計の計算にのみ使用さ れる。かくして、無矛盾性のチェックは安全演算（safe operation）である。無 矛盾性チェックファシリティの正確な性質は、データ処理ユニット内のハードウ ェアの細部及び特定セキュリティのアーキテクチャとは無関係な広範囲の不揮発 性メモリの修正ルーチンに基づいている。一般的なメモリの無矛盾性チェックの 後、メモリに記憶された安全性の文脈条件の予め計算されたレベルが検証される 。最後に、データ処理ユニットのランダムアクセスメモリが始動される。 ステップ３３では、実行環境が安全であるとこのように宣言されたならば、デ ータ処理ユニットの安全なアプリケーションのセキュリティレベルが入力される 。このレベルでは、カーネル演算に関するメモリへのあらゆるアクセスが阻止さ れる。このレベルからのアプリケーションデータ及び記述へのアクセスは、進行 中の演算に関する状態情報を維持するカーネルのルーチンを通して専ら与えられ る。 ステップ３４では、リセット後の最初の入力時に、アプリケーションのデータ 要素の記述子を使用して、記憶されたデータと記述子との無矛盾性がチェックさ れ且つ前述の属性と矛盾する状態にあれば、メモリが変化される。アプリケーシ ョン記述子に記憶されたアプリケーション識別子から、リセットメッセージに対 するアンサー（answer to reset message、ＡＴＲ）が構成され且つ他のデータ 処理ユニット４の受信により予測できないものとして計算されるトランザクショ ン数により完成される。データ処理ユニットの内部では、端末コマンドが発生さ れ、省略時のインタラクション文脈条件を付勢する。ＡＴＲメッセージがデータ 処理ユニット４に送られた直後に、このインタラクション文脈条件の付勢コマン ドが実行されて、次のコマンドのためのインタラクション文脈条件が与えられる 。ＡＴＲメッセージは、データ処理ユニットの読みを明瞭に表示して、他のコマ ンドを受け入れる。省略時のインタラクション文脈条件は、「スマートカードホ ルダアプリケーション」（これは、あらゆるマルチアプリケーションスマートカ ードにおける１つの標準アプリケーションとして存在する）の一部として設計で き る。この特定のアプリケーション文脈条件では、ユーザすなわちスマートカード の所有者は、彼のパーソナルデータを調査するか、カードの他の何らかのアプリ ケーションを開くことができる。 ステップ３５では、文脈条件の付勢コマンドの結果として、標準スマートカー ドホルダＣＴＡにインタラクション文脈条件（ＣＴＡ）のセキュリティレベルが 入力される。 アプリケーションが完全に付勢された後は、他のデータ処理ユニットからのコ マンドを受ける用意が整ったことになる。他の処理は受け入れたコマンドに基づ いて行なわれる。アプリケーションを付勢するコマンドは、実行すべきコマンド とは異なる方法で取り扱われる。従って、ステップ３８では、通信の基礎的部分 がステップ３６で受け入れられ且つステップ３７で受け入れられることが確立さ れた後、新しいアプリケーションを付勢すべきか否かが試験される。これらのチ ェックは、アプリケーション記述子に特定化された場合にのみ遂行される。また 、ステップ３９で、入力データの復号（decryption）を行なうことができる。 試験が成功であれば、ステップ４０で、「データアクセス保護レベル」が入力 される。このレベル（最高のセキュリティレベル）で、ステップ４１では、アプ リケーションプロバイダにより符号化されたルーチンが実行される。このような ルーチンは、アプリケーション記述子に記憶され且つ他のデータ処理ユニット４ により発せられる特定コマンドに対するアプリケーション特定リアクションとし て機能する。このセキュリティレベルは、実行されるコマンドについて特別に定 められる部分集合（subset）にアクセスする。 ステップ４１において、提示された入力データを用いてコマンドを実行した後 、ステップ４２でデータアクセス保護レベルが残される。 出力データ及びコマンド完了の（暗号化）証明がステップ４３で生成される。 このような機能は、定義用合成動作のいずれかについてボイドとなりうる。手順 記述の中でそのように特定されている場合の１つのコマンドについてのみ、実行 される。ステップ４３の後、プログラムは新しい通信の基礎的部分を待機する（ ステップ３６）。 特別なコマンドルーチンが定められておらず且つコマンドが単にオペレーティ ングシステムからなる手順により実行できる場合には、データアクセス保護レベ ル（ステップ４０）が入力されず、オペレーティングシステムのルーチンがいか なるデータ保護も壊さないように設計されているため、コマンドは、直接、イン タラクション文脈条件のセキュリティレベルで遂行されるであろう。 ステップ３８で、いかなる新しいアプリケーションも付勢されないことが確立 された場合には、プログラムはステップ４４に進行し、該ステップ４４で文脈条 件除勢手順が遂行される。ステップ４５では、現在のアプリケーションの特定セ キュリティレベルが残され、且つステップ４６で、実行プログラム「ＭＡＸＯＳ 」のセキュリティレベル内で、コマンドを伴うデータがチェックされる。 コマンドが、適正な認証により、要求アプリケーションに特定されることが許 容される場合には、新たなアプリケーションの特定ＣＴＡセキュリティレベルが 入力される（ステップ４７）。このレベルは、新しく開かれたアプリケーション に関するデータへのアクセスを制限する。 データ処理ユニットは、手順に定められた初期化情報の実行により、文脈条件 付勢コマンドに応答するデータを作る（ステップ４８）。このようなアプリケー ションプロバイダ符号化ルーチンが存在する場合には、ステップ４９で、データ アクセス保護レベルが入力される。ステップ５０では、文脈条件付勢手順が遂行 される。ステップ５１では、データアクセス保護レベルが残され且つこの応答が 他のデータ処理ユニット４に通信される。データ処理ユニット４自体は、ステッ プ４３以降の、上記に特定された新しいコマンドを受け入れる用意が整ったこと になる。 第１図〜第５図について説明したので、本発明によるデータ交換システムにつ いての新たな幾つかの一般的注意を述べる。 各アプリケーション記述１８（１）、１８（２）内の手順ライブラリのコード は、これらの演算パラメータの使用の仕様を、計算（この計算は、データの属性 とパラメータのクラスとが一致する場合にのみ進行する）における実際値として 通されるデータ要素についての属性に関するクラスに含めることにより増強され る。これは、データ要素及び関数の両者に関するアクセス条件を検証する１つの 方法を与える。データ属性の適正に復号化されたビットマップとパラメータクラ スとをそれぞれ比較することにより、この付加技術についての効率的実施が行な える。 実行プログラム１２、１７には、現在有効なインタラクション文脈条件につい ての参照を記憶するメモリ要素２０における現在のインタラクション文脈条件の 初期化に使用されるインタラクション文脈条件についての参照を設けることがで きる。このため、通常の演算状態への復帰時の内部矛盾の検出後、又は実行プロ グラム１２、１７が付勢されており且つ明確なインタラクション文脈条件が他の データ処理ユニット５から受けた通信の基礎的部分により全く特定されていない ときには最終作動を実施できる。この省略時のインタラクション文脈条件は、上 記カードホルダのアプリケーションに含まれるこのような文脈条件となる。 また、メモリ手段９、１６には、暗唱番号（ＰＩＮ）を設けるべく専用化され たインタラクション文脈条件１１、１９を含めることができる。実行プログラム １２、１７は、データ交換システムのユーザにより供給される暗唱番号を検証す るように構成されている。このような幾つかの暗唱番号、パスワードを使用でき る。このような１つのパスワードは、プライバシー感知データが暴露されるトラ ンザクションでのデバイスの使用の保護に使用できる。第２パスワードは、パス ワード所有者により支払い可能な価値を表すデータが通信されるトランザクショ ンを保護するのに使用できる。第３パスワードは、各インタラクション文脈条件 １８内で特定化されることを必要とする保護モードのようなアプリケーションの セキュリティにとって厳格であると思われる演算が遂行されるトランザクション を保護するのに使用される。他のパスワードを与えることもできる。このＰＩＮ 管理インタラクション文脈条件は、上記カードホルダのアプリケーションに含ま れるこのような文脈条件に都合よいものであろう。 各アプリケーション記述１３、１８は、全てのインタラクション文脈条件１１ 、１９についての識別子を与えるように構成された数値リストで構成でき、各ア プリケーション記述１３、１８は、少なくとも、アプリケーションの種類を表示 する第１数値と、アプリケーションを形成するエンティティのユニークな識別を 表示する第２数値と、アプリケーション記述１３、１８の性質を表示する第３数 値と、各々が１つのインタラクション文脈条件１１、１９にユニークに関係する 他 の数値との内の何れかのものの組合せで構成できる。最初の２つの数字は商業に おいてうまく確立されているルールに従って割り当てられる。一方、残りの数字 は、適当と思われるエンティティを形成するアプリケーションにより選択されよ う。より詳しくは、異なる実施バージョンを区別するための数値又は暗唱計算の アプリケーションに用いられる暗唱キーセットの創成を識別するための数値を割 り当てる。インタラクション文脈条件の識別数字のリストにおける第１要素は、 省略時の文脈条件を識別する。 データ通信手段７、１４は、データブロックでのデータ交換を構成するように 配置するのが好ましい。これらのデータブロックは少なくとも１つの２つの部分 からなり、第１部分は、通信の基礎的部分又は実行される演算から得られるデー タにより表示されるコマンドにより遂行される演算の性質に影響を与えるのに使 用される点で、演算的に修飾されたデータである。第２部分は、これが、演算を 遂行する上での適当性又は演算に使用すべき演算部分内でのデータの受容性の適 当性を決定すること又は暴露データの演算又は訂正に完全性を与えることに使用 される点で、セキュリティとして修飾される。 データがこのようにして構成されると、実行プログラム１７は、現在のインタ ラクション文脈条件２０、２１で特定された演算を遂行する通信の基礎的部分を 受け入れると、所定の及び固定された作動シーケンスの一部として各演算を遂行 し、各演算は、受け入れられた通信の基礎的部分に関連する手順記述ルールの一 部として別々に特定される。第１作動は、通信のシーケンスにおけるこの部分で の通信の基礎的部分の使用を許可する機能として特定される。第２作動は、演算 データ又はその任意部分を復号する機能として特定され、これに対し、第３作動 は演算手順の真部分（operational procedure proper）として特定される。第４ 部分は、遂行される演算から得られる任意の演算データを暗号化すべく特定され 、第５作動は、遂行された作動又は結果データの訂正の完了の証明を計算し、又 は受入れデータ処理ユニットでのセキュリティ計算に使用する機能として特定さ れる。これらの作動は、第５図のフローチャートに反映されている。 また、データ処理ユニット５は、リセットメッセージに対するアンサーに、受 入れデータ処理ユニット４による値に予測できないように選択された番号（この 番号は、暗号計算用のベースとして機能できる）を含む。このような番号は、「 カードトランザクション番号」として指定される。 新しいインタラクション文脈条件１１、１９を入力するリクエストとして常に 解釈される特定値を割り当てた１つの通信の基礎的部分が与えられる。この通信 の基礎的部分は、「付勢コマンド(activation command)」として指定できる。付 勢コマンドを伴うデータは、リセットメッセージへのアンサーの一部として通信 される識別番号に関係付けることにより付勢されるように、文脈条件を充分に特 定する。付勢コマンドに応答して遂行される作動は、除勢として指定された基礎 的部分を受け入れる文脈条件に含まれる手順記述により第１に記述され且つ入力 すべきものとして特定された文脈条件に含まれる付勢として指定された手順記述 に第２に記述される。 好ましくは、特定のインタラクション文脈条件１１，１９を入力するのに用い られる通信の基礎的部分は、その後に続く通信におけるセキュリティ計算で使用 されるべき数値である。第１の値は、処理ユニットの１つによりランダムに生成 され得、第２の値は、その１つの処理ユニットを識別するのに役立つことができ る。このような値は、使用された暗号化プロトコルの必要条件に従って異なる形 で計算でき、このような差異は手順記述Ｃ１の一部として特定され得る。この識 別は、結果として得られる値が、活動化すべきインタラクション文脈条件１１， １９の中のその後のデータ交換において行なわれる得る計算又はその他の動作に よって要求されるようなデバイス及びそのメモリの状態を充分に識別するような ものである計算の結果であり得る。この第２の値を「端末識別」と呼ぶことがで きる。 また、付勢コマンドは、丁度付勢されている文脈条件におけるデータの次の交 換において行なわれることがある計算又は他の作動により要求されると、結果デ ータの一部として、特別に応答するデータ処理ユニットを識別すべく機能する番 号を与え、この番号は、「スマートカード識別(smart card identification)」 と指定できる。 更に、スマートカード識別番号は、データ処理ユニット５に記憶されたデータ からの暗号関数又は付勢コマンドの一部として受け入れられるデータからの暗号 関数を用いて、異なる端末識別番号をもつ開始デバイスから受け入れた付勢コマ ンドに応答して計算されるときに数字が予測できない態様で変化するようにして 計算できる。かくして、計算されるスマートカード識別は、「スマートカード筆 名(smart card pseudonym)」として指定できる。また、入力すべき文脈条件の付 勢手順の手順記述に記述された作動を遂行する前に、実行プログラムは、文脈条 件が付勢されているか否かを決定すべく付勢時に遂行されるように指定された文 脈条件での手順記述として特定された暗号計算を遂行できる。この計算には、ス マートカードトランザクション識別、端末トランザクション識別、及び端末識別 及びメモリ手段に記憶された他の値を含めることができる。 コマンドを遂行する特定データによりサポートされたこれらの暗号プロクトコ ルとは別に、参照データ要素のビットフィールド仕様(bitfield specification) 」を備えたコマンドを使用できる。この場合には、各通信の基礎的部分は２つ以 上の数値からなり、第１の数値は、通信の基礎的部分に関連する作動の手順記述 について使用され、第２の数値は、２進数値（各２進数値は、実行プログラム１ ２、１７により単一データ要素についての参照として解釈される）の固定数字か らなる。このデータ要素は、関連するインタラクション文脈条件１１、１９にお ける外的データ参照のリストに特定され、リスト中の各データ要素は、２進数値 のリスト中の対応する位置における２進数字の１つの２進数値の存在により特定 される。この第２の数値は、「オペランドアドレス(operand address)」として 指定することができる。このように特定された各データ要素は、応答作動の手順 記述に記述されたようにして、応答作動に使用される演算実行プログラム１２、 １７により利用できるようにされる。 参照データ要素のビットフィールド仕様をもつ特定データ及びコマンドによる 暗号プロクトコルとは異なり、データ要素のデータマッチ仕様(data match spec ificat-ion)をもつコマンドフォーマットを適用できる。この場合、各通信の基 礎的部分は２つ以上の数値からなる。第１の数値は、通信の基礎的部分に関連す る作動の手順記述に関して使用され、第２の数値は、該第２の数値にマッチする 値を含む場合に任意のデータ要素が選択されるように応答する作動を遂行する間 に、アクティブなインタラクション文脈条件１２、１９の外的参照に利用できる どのデータ要素を使用するかを決定するのに使用される。この第２の数値は、「 オペランドタッグ規制詞(operand tag specifier)」と指定することができる。 また、インタラクション文脈条件１１、１９には、コマンドの一部として与えら れたオペランドタッグ規制詞を、如何にして、文脈条件の外的参照に利用できる いずれかのデータ要素に含まれるデータと比較するかを示す手順記述を含めるこ とができ、この手順記述は、該手順記述が、コマンド作動を適正に特定化して遂 行される前に、意図したデータ要素を選択すべく遂行される。 更に別の態様として、コマンド解釈のビットフィールド仕様をもつコマンドフ ォーマットを使用できる。この場合には、各通信の基礎的部分を２つ以上の数値 で構成できる。第１の数値は、通信の基礎的部分に関する作動の手順記述に関連 して使用され、第２の数値は、通信の基礎的部分のデータフォーマットの解釈及 び対応する作動の遂行に使用される実行プログラム１２、１７により割り当てら れた特別な意味をもつ多数の２進数値からなる。ここで、第２数値は「コマンド 修飾子（command modifier）」と指定することができる。これらの数値は、この 付加技術を備えたあらゆるユニットにより割り当てられる、これらの意味が認識 される。 後者の別の構成が適用される場合には、コマンド修飾子には、コマンドの第３ 部分がオペランドアドレス又はオペランドタッグ規制詞として使用されるか否か を決定する２進数値を含むことができる。しかしながら、別の構成として、コマ ンド修飾子には、コマンドに対する応答として遂行される演算が１つのデータ要 素としてデータを使用するか、データ要素（データ要素は、オペランドアドレス 又はオペランドタッグ規制詞を用いたコマンド値の一部として特定された各デー タ要素と関連して処理される）の連結(concatenation)からなるかを決定する２ 進数値を含めることができる。或いは、コマンド修飾子には、コマンドが設けら れたデータが、連続的に連結されたデータ要素を判断するタグ・長さ・値法（t- ag-length-value method）を用いて符号化されるか否かを決定する２進数値を含 めることができる。 別の任意事項であるが、コマンド修飾子には、コマンドに含まれる作動が、デ ータ処理ユニット５（スマートカード）に記憶されたデータの有効変化に実際に 導くか、データ処理ユニット５により計算されるデータを実際に得るか、コマン ド結果はコマンドの受容性に関するユニットの状態を反映するデータであるかを 決定する２進数値を含めることができる。データはそれを同伴し、データのサイ ズは、計算又は他の種々の属性から定まるであろう。 要するに、スマートカードでの実施においての上記新しい技術は、別の実行環 境の概念である。このアプローチでは、コンピュータの処理手段及び他の構成部 分は、あたかもアプリケーションがコンピュータの単一ユーザであるように、種 々のアプリケーション間で共有される。スマートカードの実施におけるこの新し い技術には、多数の関連アプリケーションにより共有されるデータについて多数 のアクセス条件を作る機構が設けられる。別の実行環境によりサポートされる第 ２の技術は、データ交換システム内の２つの同様なデータ処理ユニット４、５間 の各インタラクションにおける最小数のコマンドを得るため、各環境でのコマン ドの機能的意味を定めることができることである。最後に、新しい技術によれば 、記憶されたデータ要素を各文脈条件内に別々に割り当てることができる。かく して、データ処理ユニット４、５のうちの一方のデータ処理ユニットから受ける コマンドの一部として、記憶されたデータ要素についての参照は非常に効率的な ものとなる。すなわち、非常に少数のデータ要素及び各環境における今日の実際 のスマートカードに使用されている少数の別個の演算のため、名前及び情報スペ ースを符号化するのに、数ビットのみが必要であるに過ぎない。同様な態様にお いて、実際のスマートカードにおいてこの目的のために利用できるアクセス条件 、アクセス条件の検証方法、及び暗号的演算は数が非常に制限されており且つこ れらは、アプリケーション記述１８に含まれるインタラクション文脈条件記述１ ９（１）・・・の２つの階層に非常に効率的に表現できる。

【手続補正書】 【提出日】１９９８年９月９日 【補正内容】 (1) 請求の範囲の記載を別紙の通り訂正する。 (2) 明細書第１頁４行“ものが”と“一時的”との間に「システム内の１つ以上 のユニットとの」を挿入する。 (3) 同第１頁５行“ユニットが”と“常設”との間に「システム内の１つ以上の ユニットとの」を挿入する。 (4) 同第１頁７行“後者は”を「このメモリ手段は」に訂正する。 (5) 同第１頁７行と８行との間に「本発明は、欧州特許協力条約の第５４（３） 条の基で先行技術であるＥＰ−Ａ−（欧州特許出願）０.６６６.５５０で特許請 求されるシステムの一般化である。」を挿入する。 (6) 同第１頁８行“このような”を「同様な」に訂正する。 (7) 同第４頁１行“処理ユニット”乃至第４頁２１行“ことを特徴とする。”迄 の文章を削除して、この部分に、「請求の範囲の請求項１の特徴によって規定さ れる。」を挿入する。 (8) 同第５頁３行“そのメモリ手段に、”乃至同頁２６行“ことを特徴とする。 ”迄の文章を削除して、この部分に以下の文章を挿入する。 「上述の様に、本発明は欧州特許協力条約の第５４（３）条の基で先行技術で あるＥＰ−Ａ−０.６６６.５５０で既に特許請求されている概念を一般化するこ とに向けられている。ＥＰ−Ａ−０.６６６.５５０で特許請求されている保護範 囲は以下の様に規定される。 データ通信手段（１４）、処理手段（１５）及びメモリ手段（１６）から成 る少なくとも一つのポータブル処理ユニット（５）から成り、前記メモリ手段が 実行プログラム（１７）を含むデータ交換システムにおいて、前記メモリ手段（ １６）が、少なくとも一つのインタラクション文脈条件を更に含み、前記インタ クラション文脈条件が、 ａ． データ処理ユニット（５）が同様のユニット（４）と通信する時は常に 受け入れられ、前記インタラクション文脈条件（１９（１）…）の一つを選択的 に導入するために使用されるプリミティブを少なくとも含む一組の基本的な通信 の基礎的部分； ｂ． 受け入れられた通信の基礎的部分（Ａ（１）…）の各々に応答して達成 されるべき活動を定義し、インタラクション文脈条件を活動する際に達成される べき第１の手順記述、及び文脈条件を活動停止する直前に達成されるべき最後の 手順記述を少なくとも含む手順基準の１セット； ｃ． 手順記述（Ｃ（１）に規定される手順が達成される時使用することが可 能な、常時記憶されているか又は計算される、空のこともあるデータ要素（Ｈ（ １）…）の１セット； ｄ． 別のインタラクション文脈条件にアクセス可能であり、且つ手順基準（ Ｃ（１）…）で定義される手順が達成される時に利用可能となるデータ要素の、 手順記述（Ｃ（１）…）と関係する、空のこともある参照の１セット； ｅ． 通信の基礎的部分と関係する手順記述（Ｃ（１）…）によって使用され るべき通信の基礎的部分（Ａ（１）…）の一部としての明示参照として利用可能 なデータ要素に対する参照（Ｂ（１）…）のリストから成る、空のこともある参 照の１セット； ｆ． 手順記述（Ｃ（１）…）と関係して参照されるデータ要素と関係するア クセス条件の１セット； ｇ． データリスト内のデータ参照（Ｂ（１）…）のリストと関係するアクセ ス条件の１セットから成るのコヒーレントデータ構造を含む、データ交換システ ム。 この保護範囲は、本願の独立請求項１及び２によって特許請求される保護範 囲から明確に権利放棄される。」 請求の範囲 １．複数のポータブル式データ処理装置及び複数の移動式でないデータ処理ユニ ットを含む複数のデータ処理ユニット（４，５）から成るデータ交換システムに おいて、前記ポータブル式データ処理ユニットが、少なくとも一つの別のデータ 処理ユニットとの一時的通信リンク（６）を樹立するように構成されており、前 記移動式でないデータ処理ユニットが常設通信リンク（６）を樹立するように構 成されており、前記通信リンクに沿っての通信は同期しており、前記データ処理 ユニット（４、５）の各々は、データ通信手段（７、１４）、処理手段（８、１ ５）及びメモリ手段（９、１６）を含み、前記メモリ手段が実行プログラム（１ ２、１７）を含み、 ａ． 互いに異なる値であり、前記データ処理ユニット（５、４）の少なく とも別の一つと通信している間前記データ処理ユニット（４、５）の何れかによ って命令として受け入れられる基本的な互いに異なる複数の通信の基礎的部分（ Ａ(1)…）の１セット； ｂ． 受け入れられた通信の基礎的部分（Ａ(1)…）に応答して、前記デー タ処理ユニット（４、５）の何れかによって実行すべき手順を定義する手順記述 （Ｃ（１）…）の１セット； ｃ． 前記複数の処理ユニット（４、５）に配布され、手順記述（Ｃ（１） …）で定義される手順が実行される時点で利用可能な、常時記憶されているか又 は計算されるデータ要素（Ｈ（１）…）であり、使用及びアクセスが制御される データ要素（Ｈ（１）…）の１セット、 ｄ． 前記データ要素（Ｈ（１）…）に対する参照の第１のセット（ｒ（１ ）、ｒ（２）、ｒ（３））であり、手順記述（Ｃ（１）…）の中に定義される手 順が実行される時点で前記データ要素が利用可能である様に、手順記述（Ｃ（１ ）…）に関連させられた、参照の前記第１のセット（ｒ（１）、ｒ（２）、ｒ（ ３））、 ｅ． 前記データ要素（Ｈ（１）…）に対する参照の第２のセット（ｒ（４ ）、ｒ（５）、ｒ（６））であり、生じうる更なるインタラクション文脈条件の 手順記述（Ｃ（１）…）中に定義される手順が実行される時点で前記データ要素 が利用可能である様に、前記生じうる更なるインタラクション文脈条件の手順記 述（Ｃ（４）…）と関連させられた、参照の前記第２のセット（ｒ（４）、ｒ（ ５）、ｒ（６））、 ｆ． 前記データ要素（Ｈ（１）…）に対する順序付け可能な参照の第３の セット（ｕ（１）…）を含む、空のこともある第１のデータリスト（Ｂ（１）… ）であり、前記参照の第３のセット（ｕ（１）…）は参照の第４のセット（ｗ（ １）…）を参照するためのターゲットとして利用可能であり、前記参照の第４の セット（ｗ（１）…）が前記通信の基礎的部分（Ａ（１）…）の一部であり、こ の一部のデータ要素は前記通信の基礎的部分（Ａ（１）…）と関連する手順記述 （Ｃ（１）…）によって使用されるべきである、第１のデータリスト、 ｇ． 前記データ要素（Ｈ（１）…）と関連するアクセス条件の第１のセッ トであり、前記データ要素に対する参照の前記第１のセット（ｒ（１）、ｒ（２ ）、ｒ（３））及び第２のセット（ｒ（４）、ｒ（５）、ｒ（６））とに結びつ けらたアクセス条件の第１のセット、及び ｈ． 第１のデータリスト（Ｂ（１）…）内の参照の第３のセット（ｕ(1) …）と関係するアクセス条件の第２のセット、から成るデータ構造に従ったイン タラクション文脈条件（１１（１）…１１（ｍ），１９（１）…１９（ｍ））と してのデータ処理ユニット間の考えられる通信モードの記述を、処理ユニット全 体のメモリ手段（９、１６）が更に含む、データ交換システム。 ２．複数のデータ処理ユニット（４、５）を含み、これらの内の少なくとも一つ がポータブル式であり、前記データ処理ユニット（５）がデータ通信手段（１４ ）、処理手段（１５）、及びメモリ手段（１６）を含み、このメモリ手段（１６ ）は実行プログラム（１７）を含み、 ａ． 互いに異なる値の基本的な複数の通信の基礎的部分の１セット（Ａ（ １）…）であり、前記データ処理ユニット（４）の少なくとも一つの他のものと の通信中に前記基礎的部分が前記データ処理ユニット（５）によって受信された 際に命令として受け入れられる通信の基礎的部分の１セット（Ａ（１）…）、 ｂ． 受け入れられた通信の基礎的部分（Ａ（１）…）に応答して、前記デ ータ処理ユニット（５）によって達成されるべき手順を規定する手順記述（Ｃ(1 )…）の１セット、 ｃ． 常設記憶されているか又は計算される空のこともあるデータ要素の１ セット（Ｈ（１）…）であり、手順記述（Ｃ（１）…）で規定された手順が達成 される時点で利用可能であり、前記データ要素の使用又はこれへのアクセスが制 御されるデータ要素の１セット（Ｈ（１）…）、 ｄ． 前記データ要素（Ｈ（１）…）に対する空のこともある参照の第１の セット（ｒ（１）、ｒ（２）、ｒ（３））であり、手順記述（Ｃ（１）…）で定 義される手順が達成される時点で、前記データ要素が利用可能となる様に、手順 記述（Ｃ（１）…）と関係されている、前記参照の第１のセット（ｒ（１）、ｒ （２）、ｒ（３））、 ｅ． 前記データ要素（Ｈ（１）…）に対する空のこともある参照の第２の セット（ｒ（４）、ｒ（５）、ｒ（６））であり、前記第２の組（ｒ（４）、ｒ （５）、ｒ（６））の前記参照が、生じうる別のインタラクション文脈条件の手 順記述（Ｃ（４）…）と関係しており、前記生じうる別のインタラクション文脈 条件の手順記述（Ｃ（１）…）で定義される手順が達成される時点で前記データ 要素が利用可能となる様にされている参照の第２のセット（ｒ（４）、ｒ（５） 、ｒ（６））、 ｆ． 前記データ要素（Ｈ(1)…）に対する参照（ｕ(1)…）の順序づけ可能 な第３のセットから成る空のこともある第１のデータリスト（Ｂ（１）…）であ り、前記参照の第３のセット（ｕ（１）…）が参照の第４のセット（ｗ（１）… ）を参照するためのターゲットとして利用可能であり、前記参照の第４のセット （ｗ（１）…）が前記通信の基礎的部分（Ａ（１）…）の一部であり、この部分 のデータ要素は前記通信の基礎的部分（Ａ（１）…）と関係する手順記述（Ｃ（ １）…）によって使用される、第１のデータリスト（Ｂ（１）…）、 ｇ． 前記データ要素（Ｈ（１）…）に関係し、前記データ要素の前記第１ のセット（ｒ（１）、ｒ（２）、ｒ（３））及び第２のセット（ｒ（４）、ｒ （５）、ｒ（６））と結び付けられるアクセス条件の第１のセット、 ｈ． 第１のデータリスト（Ｂ（１）…）内の参照（ｕ（１）…）の第３の セットと関係するアクセス条件の第２のセット、から成るデータ構造に従うイン タラクタション文脈条件（１９（１）…１９（ｍ））としてのデータ処理ユニッ ト間の考えられる通信モードの記述を、前記メモリ手段が更に含み、 前記データ処理ユニットが２つ以上のインタラクション文脈を含み、前記デ ータ処理ユニットによって受け入れられた少なくとも一つの通信の基礎的部分が 、前記データ処理ユニット内の別の参照に対して前記インタラクション文脈条件 の一つを選択的に示す、請求項１に従うデータ交換システムのデータ処理ユニッ ト。 ３．手順記述（Ｃ（１）…）のセットには少なくとも、その通信の基礎的部分を 受け入れる処理ユニット内のさらなる参照のためインタラクション文脈条件（１ ９（１）…）のうちの１つを表示する単数又は複数の通信の基礎的部分に応えて 実行すべき第１の手順記述が含まれており、かかる実行の結果、表示されたイン タラクション文脈条件が適切に活動化されることになることを特徴とする請求の 範囲第１項又は第２項に記載のデータ交換システム。 ４．メモリー手段にはさらに少なくとも２つのインタラクション文脈条件（１９ （１）…）が含まれていること、又、手順記述（Ｃ（１）…）のセットには少な くとも、その通信の基礎的部分を受け入れる処理ユニット内のさらなる参照のた めインタラクション文脈条件（１９（１）…）のうちの１つを表示する単数又は 複数の通信の基礎的部分に応えて実行すべき最後の手順記述が含まれており、か かる実行の結果、通信の基礎的部分が受理された間に表示されたインタラクショ ン文脈条件が適切に非活動化されることになることを特徴とする請求の範囲第１ 項、２項、又は第３項のいずれか１項に記載のデータ交換システム。 ５．メモリ手段（１６）にはさらに少なくとも２つのインタラクション文脈条件 （１９（１）…１９（ｍ））、少なくとも１つのアプリケーション記述（１８（ １）…）及び現在有効状態にあるインタラクション文脈条件に対する参照を記憶 するメモリ要素（２０）が含まれており、各々のアプリケーション記述に は、 ａ． ２つ以上のインタラクション文脈条件（１９（１）…）に対するアク セスが可能であり得かつ付加的なデータ要素により拡張され得る、データ要素に 対する参照（Ｅ（１）…）を含むデータリスト； ｂ． 前記参照（Ｅ（１）…）又は前記付加的データ要素に結びつけられ、 使用の制約条件を定義づけるさらなるアクセス条件セット、が含まれていること を特徴とする請求の範囲第１項〜第４項のいずれか１項に記載のデータ交換シス テム。 ６．各々のアプリケーション記述（１８（１）…）には同様に、これらの記述の 各々に結びつけられた各々のインタラクション文脈条件の手順記述（Ｃ（１）… ）によって使用され得るコード（Ｆ（１）…）を含む手順ライブラリも含まれて いることを特徴とする請求の範囲第５項に記載のデータ交換システム。 ７．メモリ手段にはさらに、少なくとも２つのアプリケーション記述（１８（１ ）…）及び、各アプリケーション記述（１８（１）…）内の各々のインタラクシ ョン文脈条件（１９（１）…）の手順記述（Ｃ（１）…）又は各アプリケーショ ン記述（１８（１）…）内の各々の手順ライブラリの実行可能コード（Ｆ（１） …）の各ユニットにより使用され得る実行可能コード（Ｇ（１）…）のユニット 、が含まれていることを特徴とする請求の範囲第５項又は６項に記載のデータ交 換システム。 ８．手順ライブラリの中の実行可能コードユニットは、データ属性とパラメータ クラスが一致した場合にのみ進捗する計算の中へ実際値として通すことのできる データ要素に関する属性に関係するクラスの中に、その演算パラメータの使用の 仕様を内含させることによって増強されることを特徴とする請求の範囲第６項又 は７項に記載のデータ交換システム。 ９．実行プログラム（１７）には、正常な演算状態への回復中の内部的一貫性欠 如の検出後、又は実行プログラム（１７）が活動状態にあり類似のデータ処理ユ ニット（４）から受理された通信の基礎的部分によっていかなる明示インタラク ション文脈条件も規定されていない場合にはつねに、最終的動作を行なうように 、現在有効状態にあるインタラクション文脈条件に対する参照を記憶す るメモリー要素（２０）を初期化するのに使用される省略時解釈インタラクショ ン文脈条件に対する参照が含まれていることを特徴とする請求の範囲第５項〜第 ８項のいずれか１項に記載のデータ交換システム。 10．実行プログラム（１７）が、抽象プロセッサのためのコード化された命令の ためのインタプリタを構成するルーチンを含んでおり、かくして、手順記述（Ｃ （１）…）の大部分及び実行可能コードのユニット（Ｆ（１）…，Ｇ（１）…） のいくつかが前記インタプリタルーチンによる解釈のため数値にコード化される ことを特徴とする請求の範囲第１項〜第９項のいずれか１項に記載のデータ交換 システム。 11．手順記述（Ｃ（１）…）は、実行可能コードのユニットを含む手順ライブラ リの中に内含された手順のサブセットの上のリストの中で索引としてコード化さ れていることを特徴とする請求の範囲第６項又は７項に記載のデータ交換システ ム。 12．手順記述（Ｃ（１）…）のコード化は、きわめて小さい値であり、そのため １つ以上の記述をメモリ手段（１６）用の基本アクセスユニットの中に保持する ことができるか又は記述を同じ基本的メモリアクセスユニット内のその他の関連 情報を組合わせることができるようになっていることを特徴とする請求の範囲第 １１項に記載のデータ交換システム。 13．手順記述（Ｃ（１）…）のコード化値の少なくとも１つは、恐らくは特殊な 値でコード化された手順記述と結びつけて記憶された付加的なコード化情報を組 込むことによってコード化された手順記述のために実行すべき実際の機能を間接 的に選択するように設計されている実行プログラム（１７）の特殊機能を指示す るものであることを特徴とする請求の範囲第１２項に記載のデータ交換システム 。 14．メモリ手段には、個人識別番号を構成するよう専用のインタラクション文脈 条件が含まれていること、及び実行プログラム（１７）はデータ交換システムの ユーザーにより適用される個人識別番号を確認するように配置されていること、 を特徴とする請求の範囲第１項〜第１３項のいずれか１項に記載のデータ交換シ ステム。 15．メモリ手段（１６）には、同様にその中に内含されているその他のインタラ クション文脈条件（１９（１）…）の数及び内容を管理するのに専用とされた少 なくとも１つのインタラクション文脈条件が含まれることを特徴とする請求の範 囲第１項〜第１４項のいずれか１項に記載のデータ交換システム。 16．各々のアプリケーション記述（１８（１）…）には、全てのインタラクショ ン文脈条件（１９（１）…）のための識別子を提供するべく構築された数値リス トが含まれており、さらに、アプリケーションタイプを表わす第１の数値、アプ リケーションを提供するエンティティの一意的識別を表わす第２の数値、アプリ ケーション記述（１８（１）…）の性質を表示する第３の数値そして各々アプリ ケーション記述と結びつけられた１つのインタラタション文脈条件（１９（１） …）を一意的に指示するさらなる数字といった数値のうちの少なくとも１つが含 まれていることを特徴とする請求の範囲第５項〜第１５項のいずれか１項に記載 のデータ交換システム。 17．複数のデータ処理ユニット（４，５）を含むデータ交換システムにおいて、 このユニットのうちのポータブル式であるいくつかのものは一時的通信リンク（ ６）を樹立し、そのうちの移動式でないユニットは常設通信リンク（６）を有し 、これらのユニットがデータ通信手段（７，１４）、処理手段（８，１５）及び メモリ手段（９，１６）を含み、後者には実行プログラム（１２，１７）が含ま れている、データ交換システムであって、通信手段（１４）は、少なくとも２つ の部分を含むデータブロックの形でデータ交換を構造化するように配置されてお り、ここで第１の部分は、それが通信の基礎的部分又は実施された演算の結果得 られたデータによって表示されるような１つのコマンドによって実行される演算 の性質に影響を及ぼすように使用されるという点で演算データとして分類された データであり、第２の部分は、それが、１つの演算を実行することの適切性又は 演算内で使用されるべき演算部分内のデータの受容可能性の適切性を見極めるか 又は演算の完了又は結果として得られたデータの正当性を証明するために使用さ れるという点でセキュリティとして分類されることを特徴とする、データ交換シ ステム。 18．実行プログラム（１７）は、現行のインタラクション文脈条件（１９（１） …）の中で規定された演算を実行するよう通信の基礎的部分を受け入れた時点で 、各々受け入れた通信の基礎的部分に結びつけられた手順記述の一部として別々 に規定されている予め定められた一定の動作シーケンスの一部として各々の演算 を実行するように配置されており、この手順記述は少なくとも、 ａ． 通信の基礎的部分に使用許可； ｂ． 演算データ又はその任意の一部分の解読、 ｃ． 入力データを用いたコマンドの実行、 ｄ． 実行されたいずれかの演算の結果として得られる任意の演算データの 暗号化； ｅ． 任意の実行された動作の完了又はセキュリティ計算において使用され るべき結果として得たデータの正当性の証明計算、 といった動作のために、そのいずれかがボイドであり得る全く異なる記述を含 んで成ることを特徴とする請求の範囲第１項〜第１７項のいずれか１項に記載の データ交換システム。 19．データ処理ユニット（５）は、データ転送を初期化した時点で、暗号化計算 のベースとして役立つランダムトランザクション番号を生成することを特徴とす る請求の範囲第１項〜第１８項のいずれか１項に記載のデータ交換システム。 20．１つの通信の基礎的部分には、つねに新しいインタラクション文脈条件（１ ９（１）…）を入力するための要求として解釈されることになる１つの規定値が 割当てられることを特徴とする請求の範囲第１項〜第１９項のいずれか１項に記 載のデータ交換システム。 21．交換された通信の基礎的部分シーケンスに対する制御をユーザーに対して与 えるため、又はそれらの中で転送されたデータに影響を及ぼすため又は交換中に 受理したデータをさらに処理するために付加的なコンピュータプログラムを実施 できるようにするべく設計されたプログラムコードから成るアプリケーションプ ログラマーズインタフェース（１０）をそのメモリー内に任意に内含していてよ いデータ処理ユニット（４）と同じ要素を含むさらなるデータ処理ユニット（４ ）を含んで成ることを特徴とする請求の範囲第１項〜第２０項のいずれか１項に 記載のデータ交換システム。 22．特定されたインタラクション文脈条件（１９（１）…）を入力するのに用い られる基本命令には、その後の通信においてセキュリティ計算の中で用いられる べき数値、処理ユニットの１つによりランダムに又は同様に一意的に生成された 第１の値そして恐らくは前記１つの処理ユニットの真正性を証明するため又はこ の１つの処理ユニットをその他の形で識別するために役立つ第２の値が含まれて いることを特徴とする請求の範囲第２１項に記載のデータ交換システム。 23．リセットを信号送りする第１のものを除いて各々の通信の基礎的部分は、２ つ以上の数値から成り、第１の値は、通信の基礎的部分に結びつけられた動作の 手順記述を指示するのに用いられ、第２の値は、各々単一のデータ要素に対する 参照として実行プログラム（１２，１７）によって解釈される一定数の２進値で 構成されていることを特徴とする請求の範囲第２１項に記載のデータ交換システ ム。 24．リセットを信号送りする第１のものを除いて各々の通信の基礎的部分は、２ つ以上の数値から成り、第１の値は、通信の基礎的部分に結びつけられた動作の 手順記述を指示するのに用いられ、第２の値は、任意のデータ要素がこの値に一 致する値を含んでいるか又はその他の形でそれを表示するのに充分であるような 値を含んでいる場合にそのデータ要素が選択されるような形で応答動作を実行す る間、活動状態のインタラクション文脈条件（１９（１）…）の中の外部参照の ために利用可能なデータ要素のうちのいずれが使用されることになるかを決定す るために使用されることを特徴とする請求の範囲第２１項に記載のデータ交換シ ステム。 25．リセットを信号送りする第１のものを除いて各々の通信の基礎的部分は、２ つ以上の数値から成り、第１の値は、通信の基礎的部分に結びつけられた動作の 手順記述を指示するのに用いられ、第２の値は、通信の基礎的部分内のデータ書 式を解釈する上で及び応答動作を実行する上で使用されるべき実行プログラム（ １２，１７）により特定の意味が割当てられた一定数の２進値で構成されている ことを特徴とする請求の範囲第２１項に記載のデータ交換システム。 26．ポータブル処理ユニットはスマートカードの形で実施されていることを特徴 とする請求の範囲第１項〜第２５項のいずれか１項に記載のデータ交換システム 。 27．ポータブル処理ユニットがＰＣＭＣＩＡカードの形で実施されていることを 特徴とする請求の範囲第１項〜第２５項のいずれか１項に記載のデータ交換シス テム。 28．通信手段（１４）は、データリンク（６）を樹立するために、データ処理ユ ニット自体が自ら利用できるようにするような外部通信手段又はデータ処理ユニ ット（５）を実施するＰＣＭＣＩＡ又はスマートカードをホストする類似のこの ような電子デバイスを利用することを特徴とする請求の範囲第２６項又は２７項 に記載のデータ交換システム。 29．データ処理ユニット（４）はポータブルパーソナルコンピュータであること を特徴とする請求の範囲第１項〜第２５項のいずれか１項に記載のデータ交換シ ステム。 30．通信手段（７）がスマートカード読取り装置を利用することを特徴とする請 求の範囲第２８項又は２９項に記載のデータ交換システム。 31．通信手段（７）がＰＣＭＣＩＡカードスロットを利用することを特徴とする 請求の範囲第２８項又は２９項に記載のテータ交換システム。 32．通信手段（７）が主として又は付加的に、電磁場ｃ．ｑ．粒子での無接点デ ータ転送を利用することを特徴とする請求の範囲第２６項〜第３１項のいずれか １項に記載のデータ交換システム。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ， ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＫＥ，ＬＳ，ＭＷ，ＳＤ，Ｓ Ｚ，ＵＧ)，ＵＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ， ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，Ｈ Ｕ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ， ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，Ｒ Ｏ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＴＪ，ＴＭ ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ

Claims (1)

1. 【特許請求の範囲】 １． 複数のデータ処理ユニット（４，５）を含むデータ交換システムにおいて 、このユニットのうちのポータブル式であるいくつかのものは一時的通信リンク （６）を樹立し、そのうちの移動式でないユニットは常設通信リンク（６）を有 し、これらのユニットがデータ通信手段（７，１４）、処理手段（８，１５）及 びメモリ手段（９，１６）を含み、後者には実行プログラム（１２，１７）が含 まれている、データ交換システムであって、処理ユニット全体のメモリ手段（９ ，１６）には、 ａ． データ処理ユニット（４，５）のうちの１つがその他のユニット（５， ４）のうちの単数又は複数のものと通信する場合につねに受け入れられる基本的 な互いに異なる複数の通信の基礎的部分（Ａ（１）…）の１セット； ｂ． 受け入れられた通信の基礎的部分（Ａ（１）…）に応答して実行すべき 動作を定義する手順記述（Ｃ（１）…）の１セット； ｃ． 手順記述（Ｃ（１）…）の中で定義された通りの手順が実行される時点 で利用可能な、常設記憶されているか又は計算されるデータ要素（Ｈ（１）…） の１セット； ｄ． 生じうるさらなるインタラクション文脈条件に対しアクセス可能でしか も手順記述（Ｃ（１）…）の中に定義されているような手順が実行される時点で 利用可能であるデータ要素に対する、手順記述（Ｃ（１）…）に関連させられた 参照の１セット； ｅ． 通信の基礎的部分（Ａ（１）…）の一部としての明示的参照のために利 用可能であり、通信の基礎的部分と関連付けられた手順記述（Ｃ（１）…）によ り使用されるべきデータ要素に対する順序づけ可能な参照（Ｂ（１）…）の１セ ットを含む、空のこともあるデータリスト； ｆ． 手順記述（Ｃ（１）…）に関連されて参照されるデータ要素に結びつけ て照会されるデータ要素に結びつけられたアクセス条件の１セット； ｇ． データリスト内のデータ参照リスト（Ｂ（１）…）に結びつけられた１ セットのアクセス条件、といったデータ構造に従った、「インタラクション文脈 条件」（１１（１）…１１（ｍ），１９（１）…１９（ｍ））としてのデータ処 理ユニット間の考えられる通信モードの記述がさらに含まれていることを特徴と するデータ交換システム。 ２． 多数のデータ処理ユニット（４，５）を含むデータ交換システムにおいて 、このユニットのうちの少なくとも１つがポータブル式であり、これらのユニッ トの各々がデータ通信手段を（１４）、処理手段（１５）及びメモリ手段（１６ ）を含み、後者には実行プログラム（１７）が含まれているデータ交換システム であって、メモリ手段（１６）には、 ａ． データ処理ユニット（５）のうちの１つがその他のユニット（４）のう ちの単数又は複数のものと通信する場合につねに受け入れられる基本的な互いに 異なる複数の通信の基礎的部分（Ａ（１）…）の１セット； ｂ． 受容された通信の基礎的部分（Ａ（１）…）に応答して実行すべき動作 を定義する手順記述（Ｃ（１）…）の１セット； ｃ． 手順記述（Ｃ（１）…）の中で定義された通りの手順が実行される時点 で利用可能な、常設記憶されているか又は計算される空のこともあるデータ要素 （Ｈ（１）…）の１セット； ｄ． 生じうるさらなるインタラクション文脈条件に対しアクセス可能でしか も手順記述（Ｃ（１）…）の中に定義されているような手順が実行される時点で 利用可能であるデータ要素に対する、手順記述（Ｃ（１）…）に結びつけられた 空のこともある参照の１セット； ｅ． 通信の基礎的部分（Ａ（１）…）の一部としての明示的参照のために利 用可能であり、通信の基礎的部分と結びつけられた手順記述（Ｃ（１）…）によ り使用されるべきデータ要素に対する順序づけ可能な１セットの参照（Ｂ（１） …）を含む、空のこともあるデータリストの１セット； ｆ． 手順記述（Ｃ（１）…）に関連されて参照されるデータ要素に関連され て照会されるデータ要素に関連付けられたアクセス条件の１セット； ｇ． データリスト内のデータ参照リスト（Ｂ（１）…）に結びつけられた１ セットのアクセス条件、といったコヒーレントデータ構造、を内含する少なくと もインタラクション文脈条件（１１（１）…１１（ｍ），１９（１）…１９（ｍ ）），がさらに含まれており、 ｈ． データユニットが１つ以上のインタラクション文脈条件を内含し、それ が受容する通信の基礎的部分のうち少なくとも１つは、その通信の基礎的部分を 受容する処理ユニット内のさらなる参照のため前記インタラクション文脈条件（ １９（１）…）のうちの１つを選択的に表示することとなることを特徴とする、 データ交換システム。 ３． 手順記述（Ｃ（１）…）のセットには少なくとも、その通信の基礎的部分 を受容する処理ユニット内のさらなる参照のためインタラクション文脈条件（１ ９（１）…）のうちの１つを表示する単数又は複数の通信の基礎的部分に応えて 実行すべき第１の手順記述が含まれており、かかる実行の結果、表示されたイン タラクション文脈条件が適切に活動化されることになることを特徴とする請求の 範囲第１項又は第２項に記載のデータ交換システム。 ４． メモリー手段にはさらに少なくとも２つのインタラクション文脈条件（１ ９（１）…）が含まれていること、又、手順記述（Ｃ（１）…）のセットには少 なくとも、その通信の基礎的部分を受け入れる処理ユニット内のさらなる参照の ためインタラクション文脈条件（１９（１）…）のうちの１つを表示する単数又 は複数の通信の基礎的部分に応えて実行すべき最後の手順記述が含まれており、 かかる実行の結果、通信の基礎的部分が受理された間に表示されたインタラクシ ョン文脈条件が適切に非活動化されることになることを特徴とする請求の範囲第 １項、２項、又は第３項のいずれか１項に記載のデータ交換システム。 ５． メモリ手段（１６）にはさらに少なくとも２つのインタラクション文脈条 件（１９（１）…１９（ｍ））、少なくとも１つのアプリケーション記述（１８ （１）…）及び現在有効状態にあるインタラクション文脈条件に対する参照を記 憶するメモリ要素（２０）が含まれており、各々のアプリケーション記述には、 ａ． ２つ以上のインタラクション文脈条件（１９（１）…）に対するアクセ スが可能であり得かつ付加的なデータ要素により拡張され得る、データ要素に対 する参照（Ｅ（１）…）を含むデータリスト； ｂ． 前記参照（Ｅ（１）…）又は前記付加的データ要素に結びつけられ、使 用の制約条件を定義づけるさらなるアクセス条件セット、が含まれていることを 特徴とする請求の範囲第１項〜第４項のいずれか１項に記載のデータ交換システ ム。 ６． 各々のアプリケーション記述（１８（１）…）には同様に、これらの記述 の各々に結びつけられた各々のインタラクション文脈条件の手順記述（Ｃ（１） …）によって使用され得るコード（Ｆ（１）…）を含む手順ライブラリも含まれ ていることを特徴とする請求の範囲第５項に記載のデータ交換システム。 ７． メモリ手段にはさらに、少なくとも２つのアプリケーション記述（１８（ １）…）及び、各アプリケーション記述（１８（１）…）内の各々のインタラク ション文脈条件（１９（１）…）の手順記述（Ｃ（１）…）又は各アプリケーシ ョン記述（１８（１）…）内の各々の手順ライブラリの実行可能コード（Ｆ（１ ）…）の各ユニットにより使用され得る実行可能コード（Ｇ（１）…）のユニッ ト、が含まれていることを特徴とする請求の範囲第５項又は６項に記載のデータ 交換システム。 ８． 手順ライブラリの中の実行可能コードユニットは、データ属性とパラメー タクラスが一致した場合にのみ進捗する計算の中へ実際値として通すことのでき るデータ要素に関する属性に関係するクラスの中に、その演算パラメータの使用 の仕様を内含させることによって増強されることを特徴とする請求の範囲第６項 又は７項に記載のデータ交換システム。 ９． 実行プログラム（１７）には、正常な演算状態への回復中の内部的一貫性 欠如の検出後、又は実行プログラム（１７）が活動状態にあり類似のデータ処理 ユニット（４）から受理された通信の基礎的部分によっていかなる明示インタラ クション文脈条件も規定されていない場合にはつねに、最終的動作を行なうよう に、現在有効状態にあるインタラクション文脈条件に対する参照を記憶するメモ リー要素（２０）を初期化するのに使用される省略時解釈インタラクション文脈 条件に対する参照が含まれていることを特徴とする請求の範囲第５項〜第８項の いずれか１項に記載のデータ交換システム。 １０． 実行プログラム（１７）が、抽象プロセッサのためのコード化された命 令のためのインタプリタを構成するルーチンを含んでおり、かくして、手順記述 （Ｃ（１）…）の大部分及び実行可能コードのユニット（Ｆ（１）…，Ｇ（１） …）のいくつかが前記インタプリタルーチンによる解釈のため数値にコード化さ れることを特徴とする請求の範囲第１項〜第９項のいずれか１項に記載のデータ 交換システム。 １１． 手順記述（Ｃ（１）…）は、実行可能コードのユニットを含む手順ライ ブラリの中に内含された手順のサブセットの上のリストの中で索引としてコード 化されていることを特徴とする請求の範囲第６項又は７項に記載のデータ交換シ ステム。 １２． 手順記述（Ｃ（１）…）のコード化は、きわめて小さい値であり、その ため１つ以上の記述をメモリ手段（１６）用の基本アクセスユニットの中に保持 することができるか又は記述を同じ基本的メモリアクセスユニット内のその他の 関連情報を組合わせることができるようになっていることを特徴とする請求の範 囲第１１項に記載のデータ交換システム。 １３． 手順記述（Ｃ（１）…）のコード化値の少なくとも１つは、恐らくは特 殊な値でコード化された手順記述と結びつけて記憶された付加的なコード化情報 を組込むことによってコード化された手順記述のために実行すべき実際の機能を 間接的に選択するように設計されている実行プログラム（１７）の特殊機能を指 示するものであることを特徴とする請求の範囲第１２項に記載のデータ交換シス テム。 １４． メモリ手段には、個人識別番号を構成するよう専用のインタラクション 文脈条件が含まれていること、及び実行プログラム（１７）はデータ交換システ ムのユーザーにより適用される個人識別番号を確認するように配置されているこ と、を特徴とする請求の範囲第１項〜第１３項のいずれか１項に記載のデータ交 換システム。 １５． メモリ手段（１６）には、同様にその中に内含されているその他のイン タラクション文脈条件（１９（１）…）の数及び内容を管理するのに専用とされ た少なくとも１つのインタラクション文脈条件が含まれることを特徴とする請求 の範囲第１項〜第１４項のいずれか１項に記載のデータ交換システム。 １６． 各々のアプリケーション記述（１８（１）…）には、全てのインタラク ション文脈条件（１９（１）…）のための識別子を提供するべく構築された数値 リストが含まれており、さらに、アプリケーションタイプを表わす第１の数値、 アプリケーションを提供するエンティティの一意的識別を表わす第２の数値、ア プリケーション記述（１８（１）…）の性質を表示する第３の数値そして各々ア プリケーション記述と結びつけられた１つのインタラクション文脈条件（１９（ １）…）を一意的に指示するさらなる数字といった数値のうちの少なくとも１つ が含まれていることを特徴とする請求の範囲第５項〜第１５項のいずれか１項に 記載のデータ交換システム。 １７． 複数のデータ処理ユニット（４，５）を含むデータ交換システムにおい て、このユニットのうちのポータブル式であるいくつかのものは一時的通信リン ク（６）を樹立し、そのうちの移動式でないユニットは常設通信リンク（６）を 有し、これらのユニットがデータ通信手段（７，１４）、処理手段（８，１５） 及びメモリ手段（９，１６）を含み、後者には実行プログラム（１２，１７）が 含まれている、データ交換システムであって、通信手段（１４）は、少なくとも ２つの部分を含むデータブロックの形でデータ交換を構造化するように配置され ており、ここで第１の部分は、それが通信の基礎的部分又は実施された演算の結 果得られたデータによって表示されるような１つのコマンドによって実行される 演算の性質に影響を及ぼすように使用されるという点で演算データとして分類さ れたデータであり、第２の部分は、それが、１つの演算を実行することの適切性 又は演算内で使用されるべき演算部分内のデータの受容可能性の適切性を見極め るか又は演算の完了又は結果として得られたデータの正当性を証明するために使 用されるという点でセキュリティとして分類されることを特徴とする、データ交 換システム。 １８． 実行プログラム（１７）は、現行のインタラクション文脈条件（１９（ １）…）の中で規定された演算を実行するよう通信の基礎的部分を受け入れた時 点で、各々受け入れた通信の基礎的部分に結びつけられた手順記述の一部として 別々に規定されている予め定められた一定の動作シーケンスの一部として各々の 演算を実行するように配置されており、この手順記述は少なくとも、 ａ． 通信の基礎的部分に使用許可； ｂ． 演算データ又はその任意の一部分の解読、 ｃ． 入力データを用いたコマンドの実行、 ｄ． 実行されたいずれかの演算の結果として得られる任意の演算データの暗 号化； ｅ． 任意の実行された動作の完了又はセキュリティ計算において使用される べき結果として得たデータの正当性の証明計算、 といった動作のために、そのいずれかがボイドであり得る全く異なる記述を含ん で成ることを特徴とする請求の範囲第１項〜第１７項のいずれか１項に記載のデ ータ交換システム。 １９． データ処理ユニット（５）は、データ転送を初期化した時点で、暗号化 計算のベースとして役立つランダムトランザクション番号を生成することを特徴 とする請求の範囲第１項〜第１８項のいずれか１項に記載のデータ交換システム 。 ２０． １つの通信の基礎的部分には、つねに新しいインタラクション文脈条件 （１９（１）…）を入力するための要求として解釈されることになる１つの規定 値が割当てられることを特徴とする請求の範囲第１項〜第１９項のいずれか１項 に記載のデータ交換システム。 ２１． 交換された通信の基礎的部分シーケンスに対する制御をユーザーに対し て与えるため、又はそれらの中で転送されたデータに影響を及ぼすため又は交換 中に受理したデータをさらに処理するために付加的なコンピュータプログラムを 実施できるようにするべく設計されたプログラムコードから成るアプリケーショ ンプログラマーズインタフェース（１０）をそのメモリー内に任意に内含してい てよいデータ処理ユニット（４）と同じ要素を含むさらなるデータ処理ユニット （４）を含んで成ることを特徴とする請求の範囲第１項〜第２０項のいずれか１ 項に記載のデータ交換システム。 ２２． 特定されたインタラクション文脈条件（１９（１）…）を入力するのに 用いられる基本命令には、その後の通信においてセキュリティ計算の中で用いら れるべき数値、処理ユニットの１つによりランダムに又は同様に一意的に生成さ れた第１の値そして恐らくは前記１つの処理ユニットの真正性を証明するため又 はこの１つの処理ユニットをその他の形で識別するために役立つ第２の値が含ま れていることを特徴とする請求の範囲第２１項に記載のデータ交換システム。 ２３． リセットを信号送りする第１のものを除いて各々の通信の基礎的部分は 、 ２つ以上の数値から成り、第１の値は、通信の基礎的部分に結びつけられた動作 の手順記述を指示するのに用いられ、第２の値は、各々単一のデータ要素に対す る参照として実行プログラム（１２，１７）によって解釈される一定数の２進値 で構成されていることを特徴とする請求の範囲第２１項に記載のデータ交換シス テム。 ２４． リセットを信号送りする第１のものを除いて各々の通信の基礎的部分は 、２つ以上の数値から成り、第１の値は、通信の基礎的部分に結びつけられた動 作の手順記述を指示するのに用いられ、第２の値は、任意のデータ要素がこの値 に一致する値を含んでいるか又はその他の形でそれを表示するのに充分であるよ うな値を含んでいる場合にそのデータ要素が選択されるような形で応答動作を実 行する間、活動状態のインタラクション文脈条件（１９（１）…）の中の外部参 照のために利用可能なデータ要素のうちのいずれが使用されることになるかを決 定するために使用されることを特徴とする請求の範囲第２１項に記載のデータ交 換システム。 ２５． リセットを信号送りする第１のものを除いて各々の通信の基礎的部分は 、２つ以上の数値から成り、第１の値は、通信の基礎的部分に結びつけられた動 作の手順記述を指示するのに用いられ、第２の値は、通信の基礎的部分内のデー タ書式を解釈する上で及び応答動作を実行する上で使用されるべき実行プログラ ム（１２，１７）により特定の意味が割当てられた一定数の２進値で構成されて いることを特徴とする請求の範囲第２１項に記載のデータ交換システム。 ２６． ポータブル処理ユニットはスマートカードの形で実施されていることを 特徴とする請求の範囲第１項〜第２５項のいずれか１項に記載のデータ交換シス テム。 ２７． ポータブル処理ユニットがＰＣＭＣＩＡカードの形で実施されているこ とを特徴とする請求の範囲第１項〜第２５項のいずれか１項に記載のデータ交換 システム。 ２８． 通信手段（１４）は、データリンク（６）を樹立するために、データ処 理ユニット自体が自ら利用できるようにするような外部通信手段又はデータ処理 ユニット（５）を実施するＰＣＭＣＩＡ又はスマートカードをホストする類似の このような電子デバイスを利用することを特徴とする請求の範囲第２６項又は２ ７項に記載のデータ交換システム。 ２９． データ処理ユニット（４）はポータブルパーソナルコンピュータである ことを特徴とする請求の範囲第１項〜第２５項のいずれか１項に記載のデータ交 換システム。 ３０． 通信手段（７）がスマートカード読取り装置を利用することを特徴とす る請求の範囲第２８項又は２９項に記載のデータ交換システム。 ３１． 通信手段（７）がＰＣＭＣＩＡカードスロットを利用することを特徴と する請求の範囲第２８項又は２９項に記載のテータ交換システム。 ３２． 通信手段（７）が主として又は付加的に、電磁場ｃ．ｑ．粒子での無接 点データ転送を利用することを特徴とする請求の範囲第２６項〜第３１項のいず れか１項に記載のデータ交換システム。