(57)【要約】  アプリケーションＡｐｐを初期化または拡張する、すなわち、或るアプリケーションＡｐｐに割当てられた情報Ｉｅｘをシステム内の端末ＷＲへ転送する方法であって、上記システムは移動データキャリアＩＭ、端末ＷＲおよび階層的認可システムＡを含み、上記方法で用いられるアプリケーション情報Ｉｅｘは、選択された被認可端末ＷＲＺから移動データキャリアＩＭｅｘへロードされる。この後、上記データキャリアＩＭｅｘを他の端末ＷＲに呈示した際、アプリケーション情報Ｉｅｘを、このアプリケーションに割当てられた端末ＷＲへ転送し、こうしてこの後、アプリケーションＡｐｐは上記端末ＷＲにおいて、権限のあるデータキャリアＩＭにとって実行可能となる。また、上記端末ＷＲを他の被認可端末ＷＲＺへ転換して、アプリケーション情報Ｉｅｘを制御しながらさらに伝播または消去することもある（「ウイルス」原理）。
2005513635.tif 000002
【特許請求の範囲】
【請求項１】
アプリケーションＡｐｐを初期化または拡張する、すなわち、或るアプリケーションＡｐｐに割当てられたアプリケーション情報Ｉｅｘを、移動データキャリアＩＭと、端末ＷＲと、階層的認可システムＡとを含むシステム内の端末すなわち書込／読出ステーションＷＲへ転送するための方法であって、
特定の端末ＷＲＺを選択および認可するステップと、
アプリケーション情報Ｉｅｘを被認可端末ＷＲＺから移動データキャリアＩＭｅｘへロードするステップと、
その後、前記データキャリアＩＭｅｘを他の端末ＷＲに呈示した際に、前記アプリケーション情報Ｉｅｘを、前記アプリケーションに割当てられた前記他の端末ＷＲに転送するステップとを備え、
こうしてこの後、前記アプリケーションＡｐｐが前記端末ＷＲにおいて、権限のあるデータキャリアＩＭおよびＩＭｅｘにとって実行可能となることを特徴とする、方法。
【請求項２】
端末ＷＲが、認可情報Ｉａを用いて、被認可端末ＷＲＺへ転換させられることを特徴とする、請求項１に記載の方法。
【請求項３】
前記アプリケーション情報Ｉｅｘを被認可端末ＷＲＺからデータキャリアＩＭｅｘへロードするステップが、開放情報Ｉｆを用いて前記被認可端末ＷＲＺを開放した後に行なわれることを特徴とする、請求項１に記載の方法。
【請求項４】
前記システムが、端末ＷＲ，ＷＲＺとデータキャリアＩＭ，ＩＭｅｘとの間に非接触通信（Ｒｆ−Ｋ）を含むことを特徴とする、請求項１に記載の方法。
【請求項５】
前記アプリケーション情報Ｉｅｘが、アプリケーションデータＩｄａｔ、アプリケーションパラメータＩｐａｒおよびプログラムデータＩｃｏｄを含むことが可能であることを特徴とする、請求項１に記載の方法。
【請求項６】
前記アプリケーション情報Ｉｅｘの転送と、対応するアプリケーションの実行とに関する前記端末ＷＲでのイベントについての状態情報Ｉｓｔが、前記移動データキャリアＩＭｅｘから前記被認可端末ＷＲＺへ報告されることを特徴とする、請求項１に記載の方法。
【請求項７】
端末ＷＲが、データキャリアＩＭｅｘによるアプリケーション情報Ｉｅｘの転送により他の被認可端末ＷＲＺへ転換され、その後、前記アプリケーション情報Ｉｅｘが、前記他の被認可端末ＷＲＺから他のデータキャリアＩＭｅｘへロードされ、前記他のデータキャリアＩＭｅｘにより前記アプリケーション情報Ｉｅｘがさらに他の端末ＷＲへ転送されることを特徴とする、請求項１に記載の方法。
【請求項８】
端末ＷＲが、被認可端末ＷＲＺへ単に一時的に変換されることを特徴とする、請求項７に記載の方法。
【請求項９】
端末ＷＲが、単に状態情報Ｉｓｔを転送するために、被認可端末ＷＲＺへ変換されることを特徴とする、請求項７に記載の方法。
【請求項１０】
前記アプリケーション情報Ｉｅｘが、前記データキャリアＩＭｅｘ、前記端末ＷＲおよび／または前記被認可端末ＷＲＺにおいて単に一時的に存在し、この後消去されることを特徴とする、請求項１に記載の方法。
【請求項１１】
前記アプリケーション情報Ｉｅｘが、所定の期間だけ、または特定の数もしくは特定の
種類のプロセスの間一時的に存在することを特徴とする、請求項１０に記載の方法。
【請求項１２】
端末ＷＲにある新しいアプリケーションＡｐｐｂが、後で他のデータキャリアＩＭｅｘにより呈示される古いアプリケーションＡｐｐａによって消去あるいは上書きされ得ないことを確実にするための制御機構が設けられることを特徴とする、請求項１に記載の方法。
【請求項１３】
前記制御機構が時間制御（ｔｂ＞ｔａ）またはバージョン制御（ｖｂ＞ｖａ）を含むことを特徴とする、請求項１２に記載の方法。
【請求項１４】
前記データキャリアＩＭがセキュリティレベルＳＬ−ＩＭを含み、前記端末ＷＲがセキュリティレベルＳＬ−ＷＲを含み、前記セキュリティレベルＳＬ−ＩＭおよび前記セキュリティレベルＳＬ−ＷＲが、前記データキャリアＩＭｅｘおよび前記端末ＷＲへの新しいアプリケーションＡｐｐの転送またはその後の実行を制御することを特徴とする、請求項１に記載の方法。
【請求項１５】
前記セキュリティレベルＳＬが前記認可システムＡの機能的構成要素であり、データキャリアＩＭにおけるセキュリティレベルＳＬ−ＩＭまたは端末ＷＲにおけるセキュリティレベルＳＬ−ＷＲが上昇し得ることを前記認可システムＡの規則が防ぐことを特徴とする、請求項１４に記載の方法。
【請求項１６】
前記アプリケーション情報Ｉｅｘが、被認可端末ＷＲＺから端末ＷＲへの転送のために別個の暗号化cryp２により暗号化され、前記アプリケーション情報Ｉｅｘに対応するアプリケーションに割当てられたデータキャリアＩＭｅｘによってまたは端末ＷＲにおいてのみ復号可能であることを特徴とする、請求項１に記載の方法。
【請求項１７】
前記データキャリアＩＭｅｘが、識別データＩＤ−ＩＭにより、特定のアプリケーション情報Ｉｅｘを転送するように定められることを特徴とする、請求項１に記載の方法。
【請求項１８】
前記端末ＷＲが、識別データＩＤ−ＷＲにより、特定のアプリケーション情報Ｉｅｘを受入れるように定められることを特徴とする、請求項１に記載の方法。
【請求項１９】
新しいアプリケーションＡｐｐをデータキャリアＩＭｅｘへ、または前記データキャリアから端末ＷＲへ転送するために、追加のセキュリティ要件としてカード所有者または前記端末の所有者の個人識別情報pers（ＰＩＮコードまたは生物測定法コードなど）が必要とされることを特徴とする、請求項１に記載の方法。
【請求項２０】
前記データキャリアＩＭｅｘおよび／または前記端末ＷＲが、前記アプリケーション情報Ｉｅｘまたは状態情報Ｉｓｔを転送するようアクティブに（すなわち自分から情報Ｉｅｘ，Ｉｓｔを利用可能にするように）動作することが可能であることを特徴とする、請求項１に記載の方法。
【請求項２１】
アプリケーション情報Ｉｅｘの転送とともに前記データキャリアＩＭｅｘにフラグ／ポインタＦ／Ｐがセットされることを特徴とする、請求項１に記載の方法。
【請求項２２】
前記データキャリアＩＭｅｘがアプリケーションマイクロプロセッサ（ｕＰ−ＩＭ）を含み、前記アプリケーションマイクロプロセッサが、前記端末のアプリケーションマイクロプロセッサ（ｕＰ−ＷＲ）と協働してアプリケーション情報Ｉｅｘを処理可能であることを特徴とする、請求項１に記載の方法。
【請求項２３】
前記データキャリアＩＭｅｘが、個別的なアプリケーションプロファイルｉｎｄを有するアプリケーション情報Ｉｅｘを含むことを特徴とする、請求項１に記載の方法。
【請求項２４】
特定のアプリケーションが含まれておらず、前記アプリケーションはデータキャリアＩＭｅｘにより一時的にロードされる汎用端末ｇ−ＷＲに、アプリケーションマイクロプロセッサ（ｕＰ−ＷＲ）が設けられることを特徴とする、請求項１に記載の方法。
【請求項２５】
前記端末ＷＲが論理通信−アプリケーションインターフェイスＬＣＡＩを含み、前記論理通信−アプリケーションインターフェイスＬＣＡＩを介してアプリケーション情報Ｉｅｘが前記端末へロードおよび読出可能であることを特徴とする、請求項１に記載の方法。
【請求項２６】
前記論理通信−アプリケーションインターフェイスＬＣＡＩを介したロードおよび読出の後にのみアプリケーションＡｐｐが実行可能であることを特徴とする、請求項２５に記載の方法。
【請求項２７】
前記論理通信−アプリケーションインターフェイスＬＣＡＩが前記認可システムＡの規則の順守を確実にすることを特徴とする、請求項２５に記載の方法。
【請求項２８】
前記セキュリティレベルＳＬの検査が前記論理通信−アプリケーションインターフェイスＬＣＡＩにおいて行なわれることを特徴とする、請求項２５に記載の方法。
【請求項２９】
前記論理通信−アプリケーションインターフェイスＬＣＡＩがインタープリタまたはＡＰＩ（Application Programming Interface）を含むことを特徴とする、請求項２５に記載の方法。
【請求項３０】
割当てられた端末（ＷＲ１，ＷＲ２）についての、独立した使用者に各々属する複数の独立したアプリケーション（Ａｐｐ１，Ａｐｐ２）の各々が、割当てられた被認可端末（ＷＲＺ１，ＷＲＺ２）で移動データキャリアＩＭｅｘへロードされて対応する割当てられた端末（ＷＲ１，ＷＲ２）へ転送されることを特徴とする、請求項１に記載の方法。
【請求項３１】
データキャリアＩＭと、割当てられた端末ＷＲと、階層的認可システムとを含むシステムにおける移動データキャリアであって、データキャリアＩＭｅｘが、選択された被認可端末ＷＲＺによりロードされたアプリケーション情報Ｉｅｘを有する新しいまたは拡張されたアプリケーションＡｐｐをメモリ内に含み、前記アプリケーションが、前記データキャリアを前記アプリケーションに割当てられた他の端末ＷＲに呈示した際に書込まれ、その後前記端末により実行可能であることを特徴とする、移動データキャリア。
【請求項３２】
前記データキャリアＩＭｅｘが、割当てられた異なる端末（ＷＲ１，ＷＲ２）に転送可能な異なる独立したアプリケーション（Ａｐｐ１，Ａｐｐ２）のアプリケーション情報Ｉｅｘ１，Ｉｅｘ２を含むことを特徴とする、請求項３１に記載の移動データキャリア。
【請求項３３】
移動データキャリアＩＭと、端末ＷＲと、階層的認可システムＡとを含むシステムであって、少なくとも１つの選択された被認可端末ＷＲＺを有し、前記選択された被認可端末において、アプリケーション情報Ｉｅｘを有する新しいまたは拡張されたアプリケーションＡｐｐがデータキャリアＩＭｅｘにロードされ、前記情報Ｉｅｘが、前記アプリケーションＡｐｐに割当てられた他の端末ＷＲにおいて、これに書込まれ、そして前記端末により実行されることを特徴とする、システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、請求項１のプリアンブルに従い、アプリケーションを初期化または拡張する、すなわち、階層的認可システムの枠内にある移動データキャリアを含むシステム内の端末すなわち書込／読出ステーションへ、或るアプリケーションに割当てられた情報を転送するための方法と、請求項２８のプリアンブルに従う移動データキャリアとに関するものである。移動データキャリア（たとえば接触が必要な識別媒体、好ましくは接触が必要でないもの、チップカードまたはバリューカードなど）を含むシステムにより、ユーザは割当てられた書込／読出ステーションにおいて対応するアプリケーションを実行して、各種サービス（ＰＣアクセスや商品）にアクセスしたり、あるいは保護された領域、建物、行事などに立ち入ることが可能となる。
【背景技術】
【０００２】
上記のような、非接触型の識別媒体すなわち移動データキャリアと階層的認可システムとを含むシステムの一例がＷＯ９７／３４２６５に記載されている。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
特に大型のシステムにおいては、これらアプリケーションはさまざまな端末において頻繁に拡張、補完および変更される、すなわち新しいまたは拡張されたアプリケーションＡｐｐを特定の端末にセットアップする必要がある。このように端末においてアプリケーションプログラムの更新および適合を行なうやり方は今まで２つしかなかった。
【０００４】
１．データ回線経由でアプリケーション中央計算機たとえばホストと結合された端末に、そこから新しいアプリケーションすなわち対応するアプリケーションプログラムおよび情報を供給することができる。しかしこれは、端末とのオンライン接続を準備し稼動するための多額の経費を伴なう。また分散型（スタンドアロンやオフラインの意味での）端末は、このやり方で更新または再プログラムすることができない。
【０００５】
２．サービス技術者がプログラムメモリを交換したり、またはインターフェイスを介して接続されるサービス機器を用いて新しいアプリケーションプログラムをロードすることにより端末の再プログラムを個々に行なう。しかしこれでは、このようにソフトウェアを置き換えるための多額の経費が必要となる。
【課題を解決するための手段】
【０００６】
この発明の目的は、端末、特に分散型端末においてアプリケーションを変更およびセットアップするための新規の簡単な方法を提供することである。この目的は、この発明によると、請求項１に記載の方法および請求項２８に記載の移動データキャリアにより達成される。
【０００７】
ここでは、新しいアプリケーションＡｐｐが、システム内の選択された被認可端末ＷＲＺにロードされる。データキャリアＩＭが上記被認可端末に対して呈示され、これによって検査され、場合により新しいアプリケーション情報Ｉｅｘがこのデータキャリアにロードされる。このロードがなされたデータキャリアＩＭｅｘがシステム内の別の端末ＷＲに呈示されると、このデータキャリアは再び端末によって検査され、そして上記新しいアプリケーションＡｐｐがこの端末に割当てられていれば、アプリケーションＡｐｐすなわち対応するアプリケーション情報Ｉｅｘがこの端末にロードされ、続いてこの端末によって実行される。
【０００８】
各従属請求項は、応用、セキュリティ、および他の条件への適合性に関し特別の利点を有する有利な発明の変形例に関する。以下に図面および例によってこの発明をより詳細に説明する。
【発明を実施するための最良の形態】
【０００９】
図１ａ，１ｂ，１ｃ，２，３は、アプリケーションＡｐｐを初期化または拡張する、すなわち、アプリケーションＡｐｐに割当てられたアプリケーション情報Ｉｅｘをシステム内の端末すなわち書込／読出ステーションＷＲへ転送するためのこの発明に従う方法を例示する。このシステムは移動データキャリアＩＭ、端末ＷＲおよび階層的認可システムＡを含む。アプリケーション情報Ｉｅｘは、或る選択された被認可端末ＷＲＺから移動データキャリアＩＭｅｘへロードされ、続いて別の端末ＷＲでこれらデータキャリアＩＭｅｘを呈示した際、アプリケーションに割当てられたこの別の端末ＷＲにこのアプリケーション情報Ｉｅｘが転送され、こうしてこの後アプリケーションＡｐｐはこれら端末ＷＲにおいて、権限のあるデータキャリアＩＭおよびＩＭｅｘにとって実行可能となる。
【００１０】
新しいまたは拡張されたアプリケーションＡｐｐのロード（図１ａのステップ１０）は、選択された被認可端末ＷＲＺ、たとえばセキュリティレベルがＳＬ−ＷＲのセキュリティモジュールＳＭへと行なわれる。被認可端末ＷＲＺとして定められる好ましい端末は、比較的中枢的な端末であって、多くのさまざまなデータキャリアＩＭが頻繁に訪れ、かつそこからデータキャリアがアプリケーション情報Ｉｅｘをシステム内の所望の他の端末ＷＲへ送るものである。データキャリアＩＭｅｘを呈示した際、被認可端末ＷＲＺにより、このアプリケーションＡｐｐについてのデータキャリアＩＭｅｘの権限が検査され（ステップ１１）、またはその逆が行なわれる。権限が存在する場合、図１ａが示すように、アプリケーションあるいはアプリケーション情報ＩｅｘがデータキャリアＩＭｅｘのメモリに書込まれる（１２）。ここでデータキャリアＩＭｅｘにおいてフラグ／ポインタＦ／Ｐをセットすることがあり得る。続いてデータキャリアがシステム内の別の読出ステーションすなわち端末ＷＲへ移され（１３）、そこで呈示されると、端末ＷＲとデータキャリアとの間で再び検査が行なわれる（１４）。ここでやはりデータキャリアＩＭｅｘのフラグ／ポインタＦ／Ｐを検査することがあり得る（１５）。当該の新しいアプリケーションがこの端末ＷＲへと定められているかどうか、およびどの程度特定のセキュリティ要件が満たされているか、たとえば端末ＷＲのセキュリティレベルＳＬ−ＷＲが新しいアプリケーションに対応すなわちデータキャリアのセキュリティレベルＳＬ−ＩＭと対応するものかどうかが、データキャリアまたは端末ＷＲにより検査される。対応するものである場合、端末ＷＲに、たとえばセキュリティモジュールＳＭ（図１ｂ）にアプリケーション情報Ｉｅｘが転送される（１５）。この後、この端末ＷＲに対して他のデータキャリアＩＭ１，ＩＭ２，ＩＭ３などが呈示されて検査され（１７）、それからこの端末によってこの新しいアプリケーションＡｐｐは、権限のある他のデータキャリア（たとえばＩＭ１，ＩＭ３）で、および場合により転送を担ったデータキャリアＩＭｅｘで実行され得る（１８）（図１ｃ）が、権限のないデータキャリア（たとえばＩＭ２）ではアプリケーションを実行することはできない。
【００１１】
アプリケーションをデータキャリアＩＭｅｘにより端末ＷＲに転送した直後にこのアプリケーションを端末ＷＲにより実行することで、個別的なアプリケーションプロファイルｉｎｄを有するアプリケーションの実現が可能となる。
【００１２】
しかしまた、データキャリアＩＭｅｘは単にアプリケーション情報Ｉｅｘを転送するための配達者として用いられるのみであり、自らはこのアプリケーションＡｐｐへと定められてはいない（このアプリケーションを自分で実行することはできない）場合もある。
【００１３】
フラグ／ポインタＦ／Ｐを用いることにより、データキャリアＩＭｅｘにアプリケーション情報Ｉｅｘが存在するかどうかを判定または検査することが可能となる。
【００１４】
特に以下のフラグ／ポインタＦ／Ｐが区別される必要がある。
【００１５】
−データキャリアＩＭｅｘのフラグ／ポインタＦ／Ｐ−ＩＭｅｘ。フラグ／ポインタＩＭｅｘは主にデータキャリアＩＭｅｘに割当てられ、このデータキャリアでアプリケーション情報Ｉｅｘを管理できるようにする。
【００１６】
フラグ／ポインタＦ／Ｐ−ＩＭｅｘは一般的にアプリケーション情報Ｉｅｘ（Ａｐｐ）またはアプリケーションＡｐｐを指示し、これは自分もまた或るアプリケーション情報Ｉｅｘ（Ａｐｐ）およびフラグ／ポインタＦ／Ｐ−Ａｐｐを含む。
【００１７】
−データキャリアＩＭｅｘにおけるアプリケーションＡｐｐのフラグ／ポインタＦ／Ｐ−Ａｐｐ。フラグ／ポインタＦ／Ｐ−Ａｐｐは主に（アプリケーションＡｐｐの一部として）アプリケーションＡｐｐに割当てられ、アプリケーションＡｐｐのアプリケーション情報Ｉｅｘの管理を容易にする。
【００１８】
要素ＷＲ，ＷＲＺ，ＩＭｅｘ間でのアプリケーション情報Ｉｅｘの転送の枠内においては、これらがアクティブ（すなわち転送側として自分からアプリケーション情報Ｉｅｘを利用可能にする）か、またはパッシブ（すなわち受信側としてアプリケーション情報Ｉｅｘを受取る）のいずれとして現れるかが区別され得る。アクティブ要素ＷＲ，ＷＲＺ，ＩＭｅｘの実現には、フラグ／ポインタＦ／Ｐを使用すなわちセットすることが１つのやり方である。すなわち、ステップ１５（アプリケーション情報Ｉｅｘの端末ＷＲへの転送）にて、必要に応じ端末ＷＲ（アクティブ）はデータキャリアに対し、アプリケーション情報Ｉｅｘが存在するかどうかを問合せることがあり得る（これはたとえばフラグ／ポインタＦ／Ｐ−ＩＭｅｘを検査し、場合によりこれを評価することにより行なわれる）、またはデータキャリアＩＭｅｘ（アクティブ）が端末ＷＲに対しアプリケーション情報Ｉｅｘの存在を知らせることもあり得る（これを行なうには、たとえばフラグ／ポインタＦ／Ｐ−ＩＭｅｘを評価され得るよう端末ＷＲへ転送する）。同様のことが状態情報Ｉｓｔの報告にも当てはまる。
【００１９】
アプリケーション情報ＩｅｘをデータキャリアＩＭｅｘに転送する、およびデータキャリアＩＭｅｘから端末ＷＲへ転送を行なうには適当な認可が必要である。すなわち当該のアプリケーションが定められている、権限のあるデータキャリアＩＭｅｘあるいは端末ＷＲへ、あるいはこれによってのみ転送が行なわれ、こうして必要なセキュリティが保証されるようにする。この権限付与は、さまざまなやり方で実行可能であって、アプリケーションの種類および重要性に応じセキュリティ要件に合うように適合すなわち選択され得る。たとえば、システムＡに対応するセキュリティレベルＳＬ−ＩＭの認可規則をデータキャリアＩＭｅｘに割当て、そしてセキュリティレベルＳＬ／ＷＲについてのものを端末ＷＲに割当てて、これらに新しいアプリケーション情報Ｉｅｘの転送および続く実行を制御させる。ここで或るデータキャリアまたは端末においてセキュリティレベルＳＬ−ＩＭまたはＳＬ−ＷＲが上昇または変更され得ることを認可システムＡの規則が防ぐことが重要である。これにより、データキャリアＩＭを用いた端末ＷＲへのアプリケーションＡｐｐの配布およびその使用を制御および制限する。
【００２０】
ここでセキュリティレベルＳＬの特性は、認可システムＡの枠内において、既にある階層構造たとえばＷＯ９７／３４２６５に従う編成レベルＯＬに依拠またはこれを拡張することにより決定され得るが、または新しい、既存の構造から独立のレベル（新しい原理によるもの）により決定してもよい。
【００２１】
しかしまた、認可システムＡの枠内でなく、或る追加の独立したセキュリティ認可システムＳＡの枠内でセキュリティレベルＳＬを決定することも可能である。
【００２２】
さらなるセキュリティ／制御要素は、図２でより詳細に説明するように、識別データＩＤ−ＩＭおよびＩＤ−ＷＲまたは追加の個人コードpersを形成する。これらはセキュリティレベルＳＬと関連付けられ得る。
【００２３】
さらにまた、アプリケーションに対して別個の暗号化cryp２を導入することも可能である。ここでは、被認可端末ＷＲＺにおいてアプリケーション情報をcryp２により暗号化し、暗号化された形でデータキャリアＩＭｅｘで転送し、この転送されたアプリケーション情報Ｉｅｘを端末ＷＲで初めてcryp２により復号する（図１ａ，１ｂ，２）。ここでデータキャリアＩＭｅｘ自身はほとんどの場合において鍵cryp２を利用できないようにすべきである。このアプリケーション情報Ｉｅｘの復号は、或る対応するアプリケーションが割当てられたデータキャリアＩＭｅｘによりまたは端末ＷＲにおいてのみ行なわれ得る。
【００２４】
また、独立した使用者に属するさまざまな独立したアプリケーションＡｐｐ１，Ａｐｐ２および割当てられた端末ＷＲについて、さまざまな互いに独立した暗号化cryp２が選択され得る。アプリケーションのこの暗号化cryp２は、図４で例示する非接触システムにおける非接触通信Ｒｆ−Ｋの暗号化cryp１とは独立である。
【００２５】
この発明に従い転送された新しいアプリケーションすなわち対応するアプリケーション情報Ｉｅｘは、端末ＷＲにある既存のアプリケーションのアプリケーション拡張Ａｐｐｕ（更新）として、または新しい、まだ存在しないアプリケーションＡｐｐｎとして理解されるものとする。
【００２６】
図２は、図１に示したこの発明に従う方法の手順を、状態報告Ｉｓｔを伴なって示す。新しいアプリケーションＡｐｐ（ＡｐｐｎまたはＡｐｐｕ）は、ホスト（中央ステーション）Ｈまたは転送認可媒体ＡＭから、被認可端末ＷＲＺへロードされる（ステップ１０）。ここで呈示されたデータキャリアＩＭｅｘが検査され（ステップ１１）、もしこれがその権限を有しそれへと定められていれば、アプリケーション情報Ｉｅｘはデータキャリアに書込まれ（１２）、これは続いてシステム内のさらなる端末ＷＲへ移される（１３）。ここで、端末ＷＲがこの新しいアプリケーションに（すなわちデータキャリアＩＭｅｘが端末ＷＲに）割当てられているか、および、すべての権限が存在しているかについて検査し、これのためにたとえばセキュリティレベルＳＬの相互の割当および参照／通し番号を検査する（ステップ１４）。この後情報Ｉｅｘは端末ＷＲに書込すなわち転送される（１５）。
【００２７】
被認可端末ＷＲＺにおいて、またはアプリケーションに割当てられた端末ＷＲにおいて認可および権限を検査するために、データキャリアＩＭｅｘは特別の識別データＩＤ−ＩＭを含み得る。すなわち、識別データＩＤ−ＩＭにより、特定のアプリケーション情報Ｉｅｘを転送するようにデータキャリアＩＭｅｘを定めることができる。
【００２８】
そして、端末ＷＲでの認可および権限の検査のために、端末の特別な識別データＩＤ−ＷＲが用いられ、この識別データにより、特定のアプリケーション情報Ｉｅｘを受入れるように端末ＷＲを定めることができる。
【００２９】
新しいアプリケーション情報ＩｅｘをデータキャリアＩＭｅｘに転送しデータキャリアから端末ＷＲへ転送する際、追加のセキュリティ要件として、データキャリアの所有者または端末の所有者の、個人コードpersによる個人識別情報（たとえばＰＩＮコードまたは
生物測定法コード）を定めることもある。
【００３０】
古いアプリケーションを新しいアプリケーションに誤って上書きすることを防ぐために、制御機構たとえば時間的なものまたはバージョン番号によるものを設けることができる。データキャリアＩＭｅｘにより以前に初期化されたアプリケーションバージョンＡｐｐ１ａを、以後の新しい変更されたバージョンＡｐｐ１ｂと交換した場合、この新たにインストールされたバージョンが後で再び古いバージョンＡｐｐ１ａと交換され得ることを防ぐ必要がある。これが生じるのはたとえば、この古いバージョンが後になって、この古いバージョンをいまだに含んでいる別のデータキャリアＩＭｅｘにより端末ＷＲに呈示されるときなどである。上記のことを遂行するためには、たとえばアプリケーションの時間的な日付を用いて、時点ｔｂのより新しいアプリケーションＡｐｐ１ｂが時点ｔａのより古いバージョンＡｐｐ１ｂと交換されることがないという条件、すなわちｔｂ＞ｔａという条件を用いた時間的制御を採用することができる。別のやり方としては、バージョン番号ｖｎを用いて、バージョンｖｂのより新しいアプリケーションＡｐｐ１ｂがバージョンｖａのより古いアプリケーションＡｐｐ１によって消去される、すなわちこれと交換されることがないという条件、すなわちｖｂ＞ｖａという条件を用いて制御する。
【００３１】
図２はまた、アプリケーション情報Ｉｅｘの転送に関する端末ＷＲでのイベントについての状態情報Ｉｓｔの報告（ステップ２０）を示し、この情報、たとえばどのアプリケーションがいつどの端末ＷＲで適正にインストールされたかについてが、データキャリアＩＭｅｘ（すなわち当該のアプリケーションを転送したデータキャリアまたはその他のデータキャリア）により、被認可端末ＷＲＺへ報告され得る。また、端末ＷＲでの初期化されたアプリケーションの実行についての状態通知Ｉｓｔもこのように報告され得る。ここで報告は、好ましくは端末ＷＲによってさまざまな時に初期化され得る。これはたとえばアプリケーション情報Ｉｅｘの転送直後、後における或る定められた時点、またはデータキャリアＩＭによるこのアプリケーションの初めての実行直後などである。状態報告はまたアプリケーション情報Ｉｅｘの伝播を制御するのにも使用され得る。すなわちデータキャリアＩＭｅｘによる端末ＷＲへのアプリケーション情報Ｉｅｘの転送全体を、端末ＷＲによるデータキャリアＩＭｅｘへの状態情報Ｉｓｔの転送に依存させることができる。これはたとえばＷＯ９７／３４２６５に記載されたシャドウメモリを用いて行なうことができる。
【００３２】
さらに、図２および図４には、アプリケーションの物理的な実行のための、端末ＷＲに割当てられたアプリケーションハードウェア／ソフトウェアＡｐｐＨＷ／ＳＷ、すなわち端末の物理的構成（たとえば扉出入り口の制御）を示してある。このＡｐｐＨＷ／ＳＷには、機能機器（モータや中継器など）、入力機器、表示機器、生物測定センサなどが含まれ得る。図２はまた、データキャリアＩＭｅｘまたは後に呈示されるさらなるデータキャリアＩＭについての、割当てられた機能設備ＡｐｐＨＷ／ＳＷによる端末ＷＲにおける初期化されたアプリケーションの実行（ステップ１８）を示している。新たに初期化されたアプリケーションによって、端末は自分の本来意図されていない機能も実行することができるが、これはそれに必要なＡｐｐＨＷ／ＳＷが存在し、かつこれがアプリケーション情報Ｉｅｘにより新しいアプリケーションの要件に従って構成され得る限りにおいて可能である。
【００３３】
図３は、端末ＷＲの被認可端末ＷＲＺへの変換によるこの発明に従う方法の反復的手順を示し、これは複数の被認可端末ＷＲＺにわたって新しいアプリケーションを制御しながら伝播あるいは消去するという意味におけるものである（ウイルス原理）。ここでは、一般には認可システムＡの枠内で最初の被認可端末ＷＲＺｊが選択され、これは場合により、端末ＷＲｉを被認可端末ＷＲＺｉへと転換することによって行なわれる（ステップ９）。この後、これら最初の被認可端末ＷＲＺｊを介してアプリケーション情報Ｉｅｘがデー
タキャリアＩＭｅｘへ、さらにデータキャリアＩＭｅｘを介して他の端末ＷＲへ転送される。アプリケーション情報Ｉｅｘの転送の結果として、これら端末ＷＲのうち１つ以上が別の被認可端末ＷＲＺへ変換され得る。続いてアプリケーション情報はこの別の被認可端末ＷＲＺにより別のデータキャリアＩＭｅｘへロードされ、これによりアプリケーション情報Ｉｅｘはさらにまた別の通常の端末ＷＲへ転送される。端末ＷＲｉから被認可端末ＷＲＺｊへと転換した端末は、いつでも（好ましくはアプリケーション情報がシステム内のすべての端末ＷＲに転送された後に）再び端末ＷＲｉへ転換され得る（ステップ２２）。図３はこのような制御された反復的なアプリケーション情報Ｉｅｘの伝播を示す。この方法では始めに被認可端末ＷＲＺを選択する。これはシステムの枠内で初めから認可されたものとして選択された被認可端末ＷＲＺｊであり得る。しかし端末ＷＲｉを被認可端末ＷＲＺｊへ転換することもあり得る（ステップ９）。被認可端末ＷＲＺｊへの転換は、ホストＨまたは認可媒体（データキャリア）ＡＭを介して行なわれる認可情報Ｉａを用いた認可によることがあり得る。開放情報Ｉｆを用いて被認可端末ＷＲＺとしての機能の開放が（追加の任意のセキュリティ措置として）先立って行なわれない場合、被認可端末ＷＲＺはこの後アプリケーション情報Ｉｅｘをいつでも受入れることができる。後者の場合、アプリケーション情報Ｉｅｘの転送は暗黙的な開放と見なされる。前者の場合、開放は開放情報Ｉｆを用いて、好ましくはやはりホストＨまたは認可媒体ＡＭを介して行なわれる。次に、１つ以上の中央端末ＷＲＺ１，ＷＲＺ２から、アプリケーション情報ＩｅｘがデータキャリアＩＭ１ｅｘ，ＩＭ２ｅｘ経由で複数の端末ＷＲａ，ＷＲｂ，…，ＷＲｄへ転送され、続いてここでこの新しいアプリケーションＡｐｐが実行され得る（ステップ１８）。ここから特定の端末たとえばＷＲｄが選択され、これが被認可端末ＷＲＺｄの状態へ変換される（ステップ２１）。さらに、この新しい被認可端末ＷＲＺｄを介して、アプリケーション情報Ｉｅｘを、データキャリアＩＭｅｘ４，ＩＭｅｘ５を用い、さらなる端末ＷＲｆ，…，ＷＲｈへ制御しながら転送することができ、場合によりこれは開放情報Ｉｆを用いた開放後に行なわれる。この新しい被認可端末ＷＲＺｄについては、開放情報Ｉｆの転送はＩＭｅｘによって行なわれることが好ましい。ここに示されるように、アプリケーション情報ＩｅｘをデータキャリアＩＭｅｘ４およびＩＭｅｘ５へ転送するために、ホストＨに連結された被認可端末（たとえばＷＲＺ１）と直接の接触は必要でない。この反復による原理は任意の回数だけ繰返すことができ、たとえば端末ＷＲｈを被認可端末ＷＲＺｈへ変換することができる。これにより、さまざまな被認可端末ＷＲＺ、さまざまな端末ＷＲおよびデータキャリアＩＭなどにより、システム内でアプリケーション情報Ｉｅｘを制御しながら転送し、こうしてシステム内で新しいアプリケーションをより高速かつ的確に伝播させることが可能となる。
【００３４】
制御された伝播についての重要な局面として、端末ＷＲｄ，ＷＲｈをホストＨと接続せず、かつアプリケーション情報Ｉｅｘを、或る追加の特別の転送認可媒体ＡＭを用いてこの端末へ転送する必要なしに、この端末を被認可端末ＷＲＺｄ，ＷＲＺｈに変換できることがある。これによって新しいアプリケーションの導入あるいは初期化の際の経費をさらに削減できるが、それは個々の端末ＷＲをホストＨに連結したり、または転送認可媒体ＡＭを用いてその場で各々個々の端末ＷＲへ転送したりしなくてもよいからである。システムのユーザ、すなわち識別媒体（データキャリア）ＩＭｅｘを持つ者がシステム内で新しいアプリケーションを配布するには、システムを利用するという極めて簡単なやり方によることになる。
【００３５】
こうしてウイルス原理に従って制御しながら伝播をするのと同様に、アプリケーションＡｐｐを制御しながら消去することもまた、このアプリケーションがどのようにおよびどこから端末ＷＲへロードあるいは転送されたかにかかわらず実行可能である。
【００３６】
ここで端末ＷＲの被認可端末ＷＲＺへの変換は単に一時的なことである場合もある。すなわち、変換された被認可端末ＷＲＺ（たとえばＷＲＺｄ）は、或る特定の時間の経過後
または特定の基準に基づき、再び普通のの端末ＷＲｄへ転換され得る。たとえばこれは、アプリケーション情報Ｉｅｘが或る所定の数だけのデータキャリアＩＭｅｘへ転送された後に行なわれ得るが、または特定の状態情報Ｉｓｔに依存して行なわれることもある。
【００３７】
ここでもまた、被認可端末たとえばＷＲＺｄがアプリケーション情報ＩｅｘをすべてのＩＭｅｘに転送しなければならないのではなく、そのように定められた場合にのみこれを行なうことになる。
【００３８】
さらにまた、端末ＷＲを、状態情報の転送のためだけに被認可端末ＷＲＺへ変換することも可能である。
【００３９】
図４ａ，４ｂは、構成要素ＷＲＺ，ＩＭ，ＷＲの構造およびこの発明に従う方法における通信と情報の流れとを示す。この例では、要素Ｒｆ−ＷＲＺ，Ｒｆ−ＩＭｅｘ，Ｒｆ−ＷＲ間の非接触通信Ｒｆ−Ｋによる非接触システムＲｆを示す。接触システムと比較して非接触システムではさらなる特別の利点および拡張された用途がもたらされる。ここで非接触通信Ｒｆ−Ｋを暗号化するが、これはたとえば情報の論理処理用のユニット、たとえば通信ロジック用のプロセッサを用いて、データキャリアＩＭでも端末ＷＲでも暗号化cryp１によって行なわれる。
【００４０】
被認可端末Ｒｆ−ＷＲＺは、アプリケーション情報Ｉｅｘの格納あるいは処理、さらには通信およびその他のセキュリティ／制御機能のためのデータメモリＭＥＭおよびマイクロプロセッサｕＰ−ＷＲを含む。アプリケーション情報Ｉｅｘ＝Ｉｄａｔ，Ｉｐａｒ，Ｉｃｏｄはここで以下のものを含み得る。
【００４１】
Ｉｄａｔ  アプリケーションデータ。たとえば暗号化（cryp）のためのコード、鍵、識別番号
Ｉｐａｒ  パラメータ。たとえば通信の構成あるいは選択、通信のタイプ、性能、暗号化、通信プロトコル、ＡｐｐＨＷ／ＳＷとのインターフェイスなどのための調整可能パラメータ
Ｉｃｏｄ  プログラムデータあるいはプログラムコード。
【００４２】
この図４では考えられ得る２種類のデータキャリアＲｆ−ＩＭｅｘが示してある。すなわちアプリケーション情報ＩｅｘのためのメモリＭＥＭを有するがアプリケーションマイクロプロセッサｕＰ−ＩＭのないデータキャリアと、追加的にアプリケーションマイクロプロセッサｕＰ−ＩＭを備えたデータキャリアとである。これにより、データキャリアＩＭｅｘ自体がアプリケーションまたはその一部を実行可能にされ得る。この場合、対応するプログラムコードＩｃｏｄは、端末ＷＲへ転送されずにデータキャリアＩＭｅｘに留まり、データキャリアのアプリケーションプロセッサｕＰ−ＩＭにより実行あるいは制御され、したがってこれはアプリケーションプロセッサｕＰ−ＷＲの拡張、場合によってはＡｐｐＨＷ／ＳＷをも形成するものである。しかしこのような拡張の場合においても端末ＷＲによって認可システムＡの規則の順守がなされ、すなわちそれに必要な（一般にアプリケーションＩｃｏｄにより処理された）アプリケーションデータＩｄａｔは、アプリケーションの実行前にデータキャリアＩＭｅｘにより端末ＷＲにとって利用可能にされることになる。
【００４３】
図４ａは、被認可端末Ｒｆ−ＷＲＺによるデータキャリアＲＦ−ＩＭｅｘへのアプリケーション情報Ｉｅｘ＝Ｉｄａｔ，Ｉｐａｒ，Ｉｃｏｄの転送を示し、図４ｂはデータキャリアＲＦ−ＩＭｅｘによる端末Ｒｆ−ＷＲへの転送を示す。
【００４４】
端末ＷＲは論理通信−アプリケーションインターフェイスＬＣＡＩ（Logical Communic
ation and Application Interface）を含むことができ、これを介してアプリケーション情報Ｉｅｘを各端末へロード・読出することができる。
【００４５】
この例での端末ＷＲが備える論理通信−アプリケーションインターフェイスＬＣＡＩにより、端末ＷＲのマイクロプロセッサはアプリケーション情報Ｉｅｘ、たとえばプログラムコードＩｃｏｄの言語を理解し、これを認可システムＡの規則に準拠しながら処理することが可能となる。論理通信−アプリケーションインターフェイスＬＣＡＩは、本質的には以下の３つの目的を有する。
【００４６】
−第１に、インタープリタまたはバーチャル・マシンとして、特にプログラムデータＩｃｏｄおよびパラメータＩｐａｒを処理するよう働く。
【００４７】
−第２に、ＡＰＩ（Application Programming Interface）として、特にアプリケーションデータＩｄａｔを処理し、さらにはプログラムデータＩｃｏｄおよびパラメータＩｐａｒ、特に当該のアプリケーションと直接結びついた、あるいは当該のアプリケーションにのみ理解されるデータを処理するよう働く。
【００４８】
−第３に、認可システムＡの規則の順守を確実にする。
【００４９】
ＡＰＩは、プログラムの各機能への標準化されたアクセスのためのソフトウェアインターフェイスを表わすものであり、これによりアプリケーションの実行についての論理的規則が順守される。
【００５０】
これに対応して、アプリケーション情報ＩｅｘのデータキャリアＩＭｅｘへの書込（１２）は、論理通信−アプリケーションインターフェイスＬＣＡＩを介して行なわれることになる。同様にまた、データキャリアＩＭｅｘから端末ＷＲへのアプリケーション情報Ｉｅｘの転送（１５）も論理通信−アプリケーションインターフェイスＬＣＡＩを介して行なわれ、ここではさらにセキュリティレベルＳＬの検査もまた行なわれ得る。
【００５１】
図４ａはさらに、認可システムＡの規則を順守しながらアプリケーション情報Ｉｅｘを被認可端末ＷＲＺへ、制御され認可されたやり方で最初に転送する２つの方策を示す。この転送は転送認可媒体ＡＭ（アプリケーション情報Ｉｅｘを含み同時に認可システムＡに従い認可するよう働く）によって行なわれることも、またはホストＨによって行なわれることもある。ホストＨによる転送の場合、認可システムＡの規則の順守は他のやり方によってなされる必要がある。これを行なうには、たとえばホストＨと被認可端末ＷＲＺとの間の通信を、認可媒体ＡＭ２により、好ましくはＷＲＺとの非接触通信Ｒｆ−Ｋを介して明示的に開放する。ここで既に、追加のセキュリティ措置として、アプリケーション情報Ｉｅｘが被認可端末ＷＲＺへ、端末の論理通信−アプリケーションインターフェイスＬＣＡＩ経由で転送され得る（１０）。
【００５２】
論理通信−アプリケーションインターフェイスＬＣＡＩは、すべての段階にわたり、かつシステム内のすべての端末ＷＲ，ＷＲＺおよびデータキャリアＩＭについて、認可システムＡの規則の順守のための重要な要素である。
【００５３】
また、アプリケーションマイクロプロセッサｕＰ−ＷＲを有する、アプリケーションをまだ含んでいない端末、いわゆる汎用端末ｇ−ＷＲを設けることもあり、ここへアプリケーションＩｅｘはデータキャリアＩＭｅｘを介して一時的にロードされて実行される。この後、このアプリケーション情報Ｉｅｘは消去される。すなわち原理的には、各々のデータキャリアＩＭは、たとえば１回限りのアクセスのため、または個別的なアプリケーションプロファイルｉｎｄを有するアプリケーションの実現のための、自分のアプリケーショ
ンを自分で持ってくることができる。
【００５４】
汎用端末ｇ−ＷＲのもう１つの利点は、それが有するアプリケーションプロセッサｕＰ−ＷＲが比較的フレキシブルなものになることである。このｕＰ−ＷＲは、自分ではアプリケーションプロセッサｕＰ−ＩＭを有していないデータキャリアＩＭ，ＩＭｅｘにとって利用可能にされ得る。すなわちｕＰ−ＷＲは、存在しないｕＰ−ＩＭを模倣するのに使用され得る。これにより同一のシステム内において、データキャリアＩＭ，ＩＭｅｘであってアプリケーションプロセッサｕＰ−ＩＭがあるものとないものとを同時に使用することが可能となる。
【００５５】
図５ａ，ｂ，ｃは、アプリケーション情報ＩｅｘすなわちアプリケーションデータＩｄａｔおよびプログラムコードＩｃｏｄを端末ＷＲ，ＷＲＺおよびデータキャリアＩＭ，ＩＭｅｘへ分配するステップと、認可システムＡの規則を順守しながら、割当てられた機能設備ＡｐｐＨＷ／ＳＷでアプリケーションＡｐｐを実行するステップ（１８）とを例示する。アプリケーションデータＩｄａｔおよびプログラムコードＩｃｏｄは端末ＷＲにおいて処理され、認可規則Ａの順守が関数ｆ（Ａ，Ｉｃｏｄ，Ｉｄａｔ）の形成により検査される。この関数の検査（１７）が行なわれた後、アプリケーションＡｐｐが、割当てられた機能設備ＡｐｐＨＷ／ＳＷで実行される（１８）。
【００５６】
図５ａは非接触システムについての公知の先行技術を示す。ここでは、端末ＷＲ内のプログラムコードＩｃｏｄとデータキャリアＩＭ内のアプリケーションデータＩｄａｔとがはっきりと区別される。認可規則Ａの順守は、端末ＷＲにおいて、端末のアプリケーションプロセッサｕＰ−ＷＲにより関数ｆ（Ａ，Ｉｃｏｄ，Ｉｄａｔ）を求めることにより行なわれる。
【００５７】
図５ｂはこの発明に従う方法による新規の方策を示す。端末ＷＲまたはＷＲＺ内のプログラムコードＩｃｏｄ１とデータキャリアＩＭｅｘ内のアプリケーションデータＩｄａｔとの間にあった明確な区別はなくされている。ここではプログラムコードＩｃｏｄ２のうちいくらかの部分（またはプログラムコード全体）はデータキャリアＩＭｅｘ内にある。プログラムコードＩｃｏｄ２は、アプリケーションデータＩｄａｔと同様、端末ＷＲ，ＷＲＺへ転送される。規則の順守は、端末ＷＲにおいて、端末のアプリケーションプロセッサｕＰ−ＷＲによりＩｃｏｄ１，Ｉｃｏｄ２を別個に処理して関数ｆ（Ａ，Ｉｃｏｄ１，Ｉｃｏｄ２，Ｉｄａｔ）を求めるか、またはＩｃｏｄ１およびＩｃｏｄ２を組合せて処理して関数ｆ（Ａ，Ｉｃｏｄ１＋Ｉｃｏｄ２，Ｉｄａｔ）を求めることによってなされる。
【００５８】
図５ｃは、データキャリアＩＭｅｘもまたアプリケーションプロセッサｕＰ−ＩＭを有して利用できる場合の別の新規の方策を示す。この場合には、データキャリアＩＭｅｘにおいてｕＰ−ＩＭにより関数ｆ１（Ｉｃｏｄ２，Ｉｄａｔ）を求めることができ、これを用いて端末において関数ｆ２を求めることができる。この関数ｆ２は、ｆ２（Ａ，ｆ１，Ｉｃｏｄ１，Ｉｃｏｄ２，Ｉｄａｔ）もしくはｆ２（Ａ，ｆ１，Ｉｃｏｄ１）または最も簡単な形ｆ２（Ａ，ｆ１）であり得る。最も簡単な形においては、端末ＷＲ，ＷＲＺでは認可システムＡの規則の順守のみがなされ、端末でＩｄａｔ，Ｉｃｏｄ１，Ｉｃｏｄ２の処理はなく、これはデータキャリアＩＭｅｘにおいてのみとなる。
【００５９】
図５ｂおよび図５ｃは汎用端末ｇ−ＷＲの概念を明らかにしており、これは、端末ＷＲにおいてアプリケーションに割当てられたプログラムコードＩｃｏｄ１がなく、データキャリアにプログラムコードＩｃｏｄ２のみがあることを特徴とする。図５ｂおよび図５ｃはまた、個別的なアプリケーションプロファイルｉｎｄを有するアプリケーションを実現するための基礎を説明するものであり、被認可端末ＷＲＺにおいては、個別化に必要なプログラムコードＩｃｏｄおよび必要なアプリケーションデータＩｄａｔがデータキャリア
ＩＭｅｘへロードされる。
【００６０】
図６は、アプリケーション情報Ｉｅｘを用いてアプリケーションＡｐｐを初期化するためのこの発明に従うシステムを概略的に示し、これは被認可端末ＷＲＺにより、データキャリアＩＭｅｘを介し、アプリケーションＡｐｐに割当てられた端末ＷＲへ送られ、ここに書込まれて実行される。この例では、複数の中央ホストＨ１，Ｈ２、複数の被認可端末ＷＲＺ１，ＷＲＺ２，ＷＲＺ３、および複数の端末ＷＲ４〜ＷＲ８が示されている。原理的には、認可システムＡの枠内において、任意のタイプのさまざまな独立したアプリケーションを、被認可端末ＷＲＺおよびデータキャリアＩＭｅｘを介して、さまざまな割当てられた端末ＷＲへ、任意の組合せによって、存在するメモリ容量が足りる限り初期化することができる（図７）。
【００６１】
図７は図６に従うシステムの一実施例を示し、独立した使用者に属する３つの異なる独立したアプリケーションＡｐｐ１，Ａｐｐ２，Ａｐｐ３を含み、これらは被認可端末ＷＲＺ１，ＷＲＺ２，ＷＲＺ３により移動データキャリアＩＭｅｘへ転送され、ここから割当てられた端末ＷＲ４〜ＷＲ８へ転送される。たとえば、
アプリケーションＡｐｐ２はＷＲＺ１から端末ＷＲ４，５，７へ
アプリケーションＡｐｐ１はＷＲＺ２から端末ＷＲ４，７，８へ
アプリケーションＡｐｐ３は一時的にＷＲＺ３から端末ＷＲ６（ｇ−ＷＲとして）へ
となる。アプリケーションが端末ＷＲにおいてインストールされた後、対応する状態報告ＩｓｔがデータキャリアＩＭｅｘにより被認可端末ＷＲＺへ、そしてここから中央ホストＨへ行なわれる。たとえばアプリケーションＡｐｐ１が端末ＷＲ８にインストールされたことがＷＲＺ３およびＨへ報告される。
【００６２】
実際には、複数のデータキャリアＩＭｅｘが同一のアプリケーションＩｅｘを或る特定の端末ＷＲに呈示することがほとんどであるが、当然のことながらこのアプリケーションがこの端末へ転送されるのは１回だけである。同様に、特定の端末ＷＲへの特定のアプリケーションの書込に関して同じ状態通知Ｉｓｔが、複数のデータキャリアＩＭｅｘから被認可端末ＷＲＺ（およびホストＨ）ヘ報告されることがあり得る。原理的には、所望のアプリケーションすべてが所望の端末ＷＲすべてにインストールされた後、このアプリケーションはデータキャリアＩＭｅｘおよび被認可端末ＷＲＺにおいて消去され得る、あるいはＩＭｅｘへのこれ以上の転送が停止され得る。そしてまた、必要な状態報告Ｉｓｔがすべて行なわれた後、これ以上の状態報告が停止され得る。端末ＷＲにおけるアプリケーションの実行に関する状態報告は、求めに応じ、必要であればかつ必要である限り引続き行なうことができる。
【００６３】
必要に応じて、アプリケーション情報ＩｅｘがデータキャリアＩＭｅｘ、端末ＷＲおよび／または被認可端末ＷＲＺに単に一時的に存在してこの後消去されることがあり得る。ここでアプリケーション情報Ｉｅｘは、或る所与の期間だけ、または或る特定の数もしくは種類のプロセスの間、または或る特定の条件が満たされるまで一時的に存在し得る。
【００６４】
以下に、この発明に従い端末におけるアプリケーションを初期化する例をいくつか述べる。これは新しいアプリケーションＡｐｐｎであることも、または既存のアプリケーションの更新であることもあり、これは変更され拡張されたアプリケーションＡｐｐｕと交換またはこれにより補完される。
【００６５】
更新アプリケーションＡｐｐｕの一例を挙げる。或る場所への立入りについては、データキャリアＩＭ１の参照番号を検査し、このデータキャリアＩＭ１の所有者によりＰＩＮコードが入力されてからとなっている。この既存のアプリケーションを拡張して、短期間（たとえば３０秒）のうちに権限のある２番目のデータキャリアＩＭ２が呈示され、この
２人目の人物のＰＩＮコードが端末に入力されたときにのみ立入りを可能にする。この拡張されたアプリケーションＡｐｐｕは、これに対応して検査プロセスを２回ループして行なうように適合される。このアプリケーションの物理的実行のための機能設備ＡｐｐＨＷ／ＳＷは端末ＷＲに既に存在している必要がある。
【００６６】
アプリケーション拡張Ａｐｐｕの別の例としては、Ａｐｐｕについて立入り条件としての既存の４桁のＰＩＮコードの代わりに６桁のＰＩＮコードを用いることがあり得る。
【００６７】
新しいアプリケーションＡｐｐｎの一例を挙げる。立入りはこれまで、データキャリアＩＭの参照番号を点検してからとなっている。新たにこれに加えてデータキャリアＩＭの所有者のＰＩＮコードの入力および検査を行なう。これのためにデータキャリアＩＭｅｘにより新しいアプリケーションＡｐｐｎが端末ＷＲにインストールされる。ここで必要な機能設備ＡｐｐＨＷ／ＳＷは端末に既に存在するか、または模倣され得る。これにはたとえばＰＳＯＣ（Programmable System on Chip）を用いるが、これはマイクロプロセッサとアナログ部分とからなるモジュールであり、ここでアナログ部分の機能はマイクロプロセッサによって或る範囲内で規定および変更され得る（すなわち広義においてはソフトウェアによりこのモジュールのハードウェアを模倣する）。こうして、新しいアプリケーションＡｐｐｎにより、端末ＷＲにおいて既存の設備すなわち機能設備の新しいまたは拡張された利用形態を確立することができる。
【００６８】
ＡｐｐＨＷ／ＳＷの再構成と組合せたアプリケーションＡｐｐｕの更新を説明する実施例として、或る機能機器の特性値の適合について述べる。アプリケーションは扉を自動的に開けることに関するものとし、たとえば継電器が接触を開にする、安全ピンを機械的に動かす、さらにモータが扉を開けるなどがある。これら構成要素の老化および摩耗を補償するために、或るアプリケーション情報Ｉｅｘにより端末ＷＲを再構成することがあり得る。これのために、ＡｐｐＨＷ／ＳＷに属する機能機器（継電器やモータ）のアプリケーションパラメータＩｐａｒの更新を端末ＷＲへ転送し、これにより継電器およびモータを新しい参照値（たとえば増大した電流）により動作させ、このようにして、古い参照値で動作させた場合に継電器が安全ピンを開にしない、あるいは扉を塞いでしまうことを防ぐ。
【００６９】
データキャリアＩＭｅｘはまた、個別的なアプリケーションプロファイルｉｎｄを有するアプリケーション情報Ｉｅｘを含むこともある。たとえば、各々の人物についての個々の立入り時間が自分のデータキャリアＩＭにのみ格納され、一方で端末ＷＲには一般的な立入り条件のみがアプリケーションとして書込まれることがあり得る。または、データキャリアＩＭｅｘの所有者によって異なる個別的なプロファイルｉｎｄを有するアプリケーションＩｅｘを初期化することもあり得る。たとえば、或る場所への立入りを端末ＷＲにおいて異なったやり方で検査するものとする。特定の集団に属する信頼のおける従業員については彼らのデータキャリアの参照番号を検査するだけでよいが、他の人物については参照番号に加えて彼らのＰＩＮコードの検査も必要とする。
【００７０】
選択的な立入りのための一時的証明について以下に述べる。ｂ国にある子会社の生産施設への立入りシステムについて、ａ国から来た本社代理人がｂ国で抜打ちの監査訪問を行なうことができるようにするための証明を新たに発行するものとする。これのためには、本社において、対応するアプリケーション情報Ｉｅｘを被認可端末ＷＲＺでデータキャリアＩＭｅｘへロードすることになる。ｂ国においてデータキャリアＩＭｅｘをそこにある端末に呈示し、アプリケーションを一時的に初期化して実行する。すなわち、計画された監査訪問期間中だけ立入りを許可する。
【００７１】
別の例としては、アプリケーションは計算センターでのアクセス権限付与に関し、カー
ド所有者のデータキャリアが検査されるものとする。この場合、このアクセス権限付与を新しい拡張されたアプリケーションＡｐｐによって厳しくし、これによりアクセス検査ではさらにデータキャリアの所有者の個人コードpers（ＰＩＮコードまたは生物測定法コード）が必要となるようにする。さらにまた或るデータまたは情報が出力または表示されることになる。端末がディスプレイを有していなければ、たとえばデータキャリアと同様に非接触で端末と通信するディスプレイユニットを端末の傍に設備することがあり得る。これによって、ディスプレイユニットを（端末ＷＲまたはホストＨと）ケーブル接続する必要がなくなる。このような拡張の際、端末はディスプレイユニットを操作できる状態にされる必要があり、すなわち端末あるいはその対応するパラメータＩｐａｒは、データキャリアＩＭｅｘとの通信およびディスプレイユニットとの通信が可能となるように再構成される必要がある。これに必要なアプリケーション情報ＩｅｘはデータキャリアＩＭｅｘを介して端末ＷＲへ転送される。個別的な要求プロファイルｉｎｄを伴う応用においては、さらにたとえばデータキャリアＩＭｅｘにおいて、アプリケーション情報Ｉｅｘに基づき、当該のディスプレイユニットがアプリケーションＡｐｐの構成要素であるかどうか、およびどのように端末ＷＲにより操作されるのかについて判断する。
【００７２】
立入りにおけるセキュリティのさらなる増大を初期化するために、たとえば、立入りが２人でのみ許されるようにするためのさらなるアプリケーションＡｐｐ２によるさらなる強化を行なうことができ、すなわちこの拡張されたアプリケーションＡｐｐ２において、端末は第１の人物のデータキャリアおよびその個人コードを検査し、引続き第２の人物のデータキャリアおよびその個人コードを検査し、この後ですべてのデータの一致をみて初めて計算センターへのアクセスが開放される。
【図面の簡単な説明】
【００７３】
【図１】この発明に従う方法を示す図であって、（ａ）では、新しいアプリケーションが被認可端末ＷＲＺからデータキャリアＩＭｅｘへ転送され、（ｂ）ではそれがデータキャリアから別の端末ＷＲへ転送され、（ｃ）ではこのアプリケーションが他のデータキャリアＩＭで実行されている。
【図２】この発明に従う方法の手順を、状態報告を伴って概略的に示す図である。
【図３】端末ＷＲを被認可端末ＷＲＺに変換することによる、この発明に従う方法の反復的手順を示す図である。
【図４】（ａ）および（ｂ）にて、この発明に従う方法を実行するための、被認可端末ＷＲＺ、データキャリアＩＭｅｘおよび端末ＷＲの構造を、転送されるアプリケーション情報Ｉｅｘを伴って示す図である。
【図５】（ａ）、（ｂ）および（ｃ）にて、端末ＷＲおよびデータキャリアＩＭｅｘへのアプリケーション情報の分配とアプリケーションの実行とを示す図である。
【図６】複数の被認可端末ＷＲＺ、データキャリアＩＭｅｘおよび端末ＷＲを含むシステムを概略的に示す図である。
【図７】図６に従うシステムであって、独立した使用者に属する複数の独立したアプリケーションの初期化ならびに情報の流れＩｅｘおよび状態報告を伴う例を示す図である。
【符号の説明】
【００７４】
Ｈ  ホストすなわち中央ステーション、Ａ  認可システム、ＡＭ  認可媒体すなわち転送認可媒体、ＩＭ  移動データキャリアすなわち識別媒体、ＩＭｅｘ  アプリケーション情報Ｉｅｘの転送用ＩＭ、Ｒｆ  非接触、Ｒｆ−Ｋ  非接触通信、ＷＲ  端末すなわち書込／読出ステーション、ＷＲＺ  被認可端末すなわち特定の中央端末、ｇ−ＷＲ  汎用ＷＲ、Ａｐｐ  アプリケーション、Ａｐｐｎ  新しいアプリケーション、Ａｐｐｕ  アプリケーションの拡張すなわち更新、Ａｐｐ１，Ａｐｐ２  独立したアプリケーション、ｉｎｄ  個別的なアプリケーションプロファイル、ＡｐｐＨＷ／ＳＷ  ＷＲへのアプリケーシ
ョンハードウェア／ソフトウェアすなわち機能設備、Ｉｅｘ  アプリケーション情報、Ｉｄａｔ  アプリケーションのデータ、Ｉｐａｒ  パラメータ、Ｉｃｏｄ  プログラムデータすなわちプログラムコード、Ｉｅｘ＝Ｉｄａｔ，Ｉｐａｒ，Ｉｃｏｄ、Ｉｓｔ  状態情報、ｆ  検査データを有する機能、ＳＬ  セキュリティレベル、ＳＬ−ＩＭ，ＳＬ−ＷＲ
ＩＭあるいはＷＲ，ＷＲＺのＳＬ、ＩＤ  識別データ、ＩＤ−ＩＭ，ＩＤ−ＷＲ  ＩＭのＩＤあるいはＷＲ，ＷＲＺのＩＤ、ＳＭ  セキュリティモジュール、ＭＥＭ  メモリすなわちデータ記憶装置、ＡＰＩ  アプリケーション・プログラミング・インターフェイス、cryp１  通信の暗号化、cryp２  アプリケーションの暗号化、pers  個人データまたはコード（ＰＩＮや生物測定法コード）、ｕＰ−ＷＲ  Ａｐｐ用のＷＲ内のマイクロプロセッサ、ｕＰ−ＩＭ  Ａｐｐ用のＩＭ内のマイクロプロセッサ、ｔａ，ｔｂ  時点、ｖａ，ｖｂ  バージョン番号、Ｉａ  認可情報、Ｆ／Ｐ  フラグ／ポインタ、Ｆ／Ｐ−ＩＭｅｘ
ＩＭｅｘのＦ／Ｐ、  Ｆ／Ｐ−Ａｐｐ  Ｉ／ｅｘ（Ａｐｐ）を有するアプリケーションのＦ／Ｐ、Ｉｆ  開放情報、９  ＷＲのＷＲＺへの転換・選択・認可、１０  新しいアプリケーションのＷＲＺへのロード、１１  ＩＭｅｘの検査、１２  Ｉｅｘの書込、Ｆ／Ｐのセット、１３  ＩＭｅｘの転送、１４  ＷＲ，ＩＭｅｘの検査、１５  ＷＲの転送、１７  ＩＭの検査、１８  Ａｐｐの実行、２０  状態報告、２１  ＷＲのＷＲＺへの変換、２２  ＷＲＺのＷＲへの再転換。
【図１ａ】
2005513635.tif 000003
【図１ｂ】
2005513635.tif 000004
【図１ｃ】
2005513635.tif 000005
【図２】
2005513635.tif 000006
【図３】
2005513635.tif 000007
【図４ａ】
2005513635.tif 000008
【図４ｂ】
2005513635.tif 000009
【図５ａ】
2005513635.tif 000010
【図５ｂ】
2005513635.tif 000011
【図５ｃ】
2005513635.tif 000012
【図６】
2005513635.tif 000013
【図７】
2005513635.tif 000014
【国際調査報告】
2005513635.tif 000015
2005513635.tif 000016
2005513635.tif 000017
2005513635.tif 000018
2005513635.tif 000019
2005513635.tif 000020
2005513635.tif 000021
2005513635.tif 000022