(57)【特許請求の範囲】
【請求項１】
マイクロプロセッサ式ユーザーカード（ＳＩＭモジュール；５）と連動する１つの端末（ＭＥ；４）で各々構成されている複数の端末機器（ＭＳ；１）を含んで成るタイプの通信システムにおいて、
各々のユーザーカードは、複数のオブジェクト（ＭＦ，ＤＦ，ＥＦ）を含むデータ記憶手段（８）を内含し、このデータ記憶手段が少なくとも２つの全く異なるアプリケーション（appli.ＧＳＭ, appli. dint.1〜appli, dist.1”；特典、支払い、ＧＳＭ；「ＤＦ１」、「ＭＦ」）に対する媒体として役立ち、前記ユーザーカードには前記アプリケーションに属する指令の実行手段（６，７）が含まれており、
ユーザーカードのデータ記憶手段内に含まれた各オブジェクトが、１セットの第１のアクセス条件（cond. d'acc. std１〜cond. d'acc, stdＫ）により定義された第１のアクセス制御則（ＰＣＡ Standard)に結びつけられており、前記第１のアクセス条件の各々が前記オブジェクトについて、前記第１のアクセス制御則を利用する単数又は複数のアプリケーションに属する少なくとも１つの指令の一群に適用される、通信システムであって、
各オブジェクトが同様に少なくとも１つのその他のアクセス制御則（ＰＣＡ a distance n0１, ＰＣＡ a distance n0２）に結びつけられており、各々のその他のアクセス制御則は、少なくとも１つの代替的アクセス条件のセット（cond. d'acc. a dist, １, cond. dacc. a dist. ２）により定義づけされ、与えられたもう１つのアクセス制御則の代替的アクセス条件の各々が、前記オブジェクトについて、前記与えられたもう１つのアクセス制御則を利用する単数又は複数のアプリケーションに属する少なくとも１つの指令の一群に対し適用されること、
及び各々のオブジェクトは同様に複数のアクセス制御則インジケータに結びつけられ、各々のアクセス制御則インジケータは、前記アプリケーションの１つについて、このアプリケーションと共にどのアクセス制御則つまり第１の又はその他のいずれを利用すべきかを指示し、前記アクセス制御則インジケータは、前記データ記憶手段（８）の中に記憶されていること、
を特徴とする通信システム。
【請求項２】
各オブジェクトについて、少なくとも１つのその他のアクセス制御則が１つのアプリケーションに特定的であり、この特定的なその他のアクセス制御則の各々の代替的アクセス条件は、前記オブジェクトについて、この特定的なその他のアクセス制御則を利用する唯一のアプリケーションに属する少なくとも１つの指令の一群に適用されること、を特徴とする請求項１に記載のシステム。
【請求項３】
各オブジェクトについて、少なくとも１つのその他のアクセス制御則が少なくとも２つのアプリケーションに対し完全に共通であり、この完全に共通なもう１つのアクセス制御則の各々の代替的アクセス条件は、前記オブジェクトについて、この完全に共通なその他のアクセス制御則を利用する前記少なくとも２つのアプリケーションに属する少なくとも１つの指令の１群に適用されること、を特徴とする請求項１又は２のいずれか１項に記載のシステム。
【請求項４】
各オブジェクトについて、少なくとも１つのその他のアクセス制御則が、少なくとも２つのアプリケーションに部分的に共通であり、
−  この部分的に共通なその他のアクセス制御則の代替的アクセス条件のいくつかが、前記オブジェクトについて、この共通なその他のアクセス制御則を利用する前記少なくとも２つのアプリケーションに属する少なくとも１つの指令の１群に対し適用され、
−  この部分的に共通なその他のアクセス制御則の代替的アクセス条件のうちその他の条件は、前記オブジェクトについて、この共通なその他のアクセス制御則を利用する前記少なくとも２つのアプリケーションのうちの１方のみに属する少なくとも１つの制御の１群に対し適用されること、を特徴とする請求項１から３のいずれか１項に記載のシステム。
【請求項５】
前記複数の端末機器が複数の移動局（ＭＳ：１）であり、前記ユーザーカードが、加入者識別モジュール（ＳＩＭモジュール；５）であること、を特徴とするセルラー無線通信を可能にするタイプの請求項１から４のいずれか１項に記載のシステム。
【請求項６】
さらにメッセージサービスセンタ（Ｃ−ＳＭＳ）を少なくとも１つ含むタイプのもので、
ユーザーカードの前記データ記憶手段が、前記ユーザーカードの少なくとも１つの遠隔アプリケーション及び少なくとも１つの局所アプリケーションに対する媒体として役立ち、指令は、それが前記局所アプリケーションに属する場合局所指令と呼ばれ、前記遠隔アプリケーションに属する場合に遠隔指令と呼ばれ、
各端末（４）は、前記メッセージサービスセンタにより発信された標準型（ＳＭＳ）又は改良型（ＥＳＭＳ）のメッセージを受信することができ、各々のユーザーカード（５）は、それが連動する端末が受信したメッセージの記憶及び処理手段（９）を含んでおり、
標準メッセージは、特に端末の表示スクリーンを介して加入者に対し供給されるための情報を構成する未処理データを含み、改良メッセージ（２０）は、遠隔指令(cmd１, cmd２...)を含み、
各ユーザーカードの前記データ記憶手段（８）が同様に、許可された遠隔アプリケーションのリスト（ＴＰ−ＯＡ１〜ＴＰ...ＯＡｎ）も記憶していること、及び
各ユーザーカードが同様に改良メッセージ弁別手段をも含んで成り、これが、前記許可された遠隔アプリケーションの１つに属さない遠隔指令を含む各改良メッセージをブロックできるようにすること、
を特徴とする請求項１から５のいずれか１項に記載のシステム。
【請求項７】
前記各ユーザーカードのデータ記憶手段が同様に、前記許可された遠隔アプリケーションの各々について、結びつけられた１つの秘密リファレンス（Kappli）と１つのメッセージ認証モード（algo-id)も記憶すること、及び各ユーザーカード（ＳＩＭモジュールが同様に、前記データ記憶手段の中で前記弁別された改良メッセージ内に含まれた指令が属する許可された遠隔アプリケーションに結びつけられた秘密リファレンスとメッセージ認証モードを利用することによって、弁別された改良メッセージを認証できるようにする弁別済み改良メッセージ認証手段をも含んで成ること、を特徴とする請求項６に記載のシステム。
【請求項８】
各オブジェクトについて、第２のアクセス制御則と呼ばれる単数のその他のアクセス制御則又は複数のもののうちの１つが、少なくとも１つの特別な代替アクセス条件の１セットによって定義され、各々の特別な代替的アクセス条件は、特に、
−  前記オブジェクトが、前記特別な代替的アクセス条件が適用される少なくとも１つの指令の前記群のうちのいずれの指令によってもアクセス可能でない場合、「アクセス無し」（「ＪＡＭＡＩＳ」）、
−  前記オブジェクトが、前記特別な代替的アクセス条件が適用される少なくとも１つの指令の前記群の中で、予め定められた唯一のアプリケーションに属する指令によってのみアクセス可能である場合、「専用アクセス」（「ＰＲＩＶＥ」）、
−  前記オブジェクトが、前記特別な代替的アクセス条件が適用される少なくとも１つの指令の前記群の中で、予め定められた少なくとも２つのアプリケーションに属する指令によってアクセス可能である場合、「共有アクセス」（「ＰＡＲＴＡＧＥ」）という値を取りうること、
を特徴とする請求項１から７のいずれか１項に記載のシステム。
【請求項９】
各オブジェクトについて、遠隔アクセス制御則と呼ばれる少なくとも１つのその他のアクセス制御則が、少なくとも１つの遠隔アクセス条件の１セット（cond, d'acc, a dist. １, cond, d'acc, a dist.２）により定義づけられ、各々の遠隔アクセス条件が、前記オブジェクトについて、前記遠隔アクセス制御則を利用する単数又は複数の遠隔アプリケーションに属する少なくとも１つの遠隔指令の１群に対し適用されること、及び、各オブジェクトについて、各々遠隔アプリケーションの１つに結びつけられたアクセス制御則インジケータのみが前記遠隔アクセス制御則を指示できること、を特徴とする請求項６から８のいずれか１項に記載のシステム。
【請求項１０】
各オブジェクトについて、各々の遠隔アクセス条件は、前記特別な代替的アクセス条件と同じ値（「ＪＡＭＡＩＳ」，「ＰＲＩＶＥ」，「ＰＡＲＴＡＧＥ」）をとることができること、を特徴とする請求項８又は９のいずれか１項に記載のシステム。
【請求項１１】
各ユーザーカードの前記データ記憶手段は、少なくとも３レベルの階層構造を有し、
−  マスターファイル（ＭＦ）又は主レパートリ
−  前記マスターファイルの下に置かれた専門ファイル（ＤＦ）又は二次ファイル
−  親専門ファイルと呼ばれる前記専門ファイルのうちの１つの下に置かれるか又は親マスタファイルと呼ばれる前記マスタファイルの下に直接置かれた基本ファイル（ＥＦ）
という３つのタイプのファイルを少なくとも含んで成り、
各ユーザーカードの前記データ記憶手段が少なくとも１つのシステム基本ファイル（ＥＦＳＭＳ System)を含み、各々のシステム基本ファイルは許可された１つの遠隔アプリケーションに関連づけされ、関連づけられたこの許可された遠隔アプリケーションに結びつけられたメッセージ認証モード及び秘密リファレンスの第１のローカライゼーション情報を記憶すること、
及び各々の改良メッセージは、このメッセージの中に含まれた指令が属する許可済み遠隔アプリケーションが関連づけされたシステム基本ファイルの第２のローカライゼーション情報（「入力ＤＦ」）を含んで成り、
前記認証手段は、各々の弁別された改良メッセージの中に、システム基本ファイルの前記第２のローカライゼーション情報を読取り、かくしてシステム基本ファイルの中に、前記弁別された改良メッセージを認証するために利用すべきメッセージ認証モード及び秘密リファレンスの前記第１のローカライゼーション情報を読取るようになっていること、
を特徴とする請求項７から１０のいずれか１項に記載のシステム。
【請求項１２】
各々のシステム基本ファイル（ＥＦＳＭＳ System)が、専門ファイル（ＤＦ）下に置かれるか又は直接マスターファイル（ＭＦ）の下に置かれ、各専門ファイルの下に最大で１つのシステム基本ファイルを置くことができ、最大で１つのシステム基本ファイルを直接マスタファイルの下に置くことができることを特徴とする請求項１１に記載のシステム。
【請求項１３】
専門ファイル（ＤＦ）の下及びマスタファイル（ＭＦ）の下に、いかなるシステム基本ファイル（ＥＦＳＭＳ System)も存在しない場合に、前記専門ファイル下に置かれた各々の基本ファイル（ＥＦ）は、この基本ファイルに結びつけられた遠隔アクセス条件の値の如何に関わらず、いかなる遠隔指令によってもアクセス可能でないこと、
及び、マスタファイル（ＭＦ）の下に直接いかなるシステム基本ファイル（ＥＦＳＭＳ System)も存在しない場合には、マスタファイルの下に直接置かれた各々の基本ファイル（ＥＦ）は、この基本ファイルに結びつけられた遠隔アクセス条件値の如何に関わらず、いかなる遠隔指令によってもアクセス可能でないこと、
を特徴とする請求項１２に記載のシステム。
【請求項１４】
システム基本ファイル（ＥＦＳＭＳ System)の前記第２のローカライゼーション情報が、データ記憶手段内の予め定められたサーチ戦略に従って前記システム基本ファイルが関係するマスタファイル（ＭＦ）又は専門ファイル（ＤＦ）の識別子（「入力ＤＦ」）であることを特徴とする請求項１１から１３のいずれか１項に記載のシステム。
【請求項１５】
データ記憶手段内の予め定められた前記サーチ戦略は、前記識別子により指示されたマスタファイル（ＭＦ）又は専門ファイル（ＤＦ）の下にシステム基本ファイル（ＥＦＳＭＳ System)が存在するか否かをサーチし、存在しない場合又は識別子がマスタファイルを指示しない場合には、システム基本ファイルが直接マスタファイルの下に存在するか否かをサーチすることから成る（「バックトラッキング」タイプの）上流サーチ機構であること、を特徴とする請求項１４に記載のシステム。
【請求項１６】
「専用アクセス」値を有する遠隔アクセス条件の１つをもつファイルの場合、その遠隔指令が前記ファイルにアクセスできる予め定められた前記唯一の遠隔アプリケーションは、その認証が成功したことを条件として、前記ファイルの許可済み親遠隔アプリケーション、つまり前記ファイルの親マスタファイル（ＭＦ）又は親専門ファイル（ＤＦ）が関係するものと同じシステム基本ファイル（ＥＦＳＭＳ System)に関連づけられた許可済み遠隔アプリケーションであること、
及び、その遠隔アクセス条件が、「共有アクセス」値を有するファイルの場合、このファイルにアクセスできる遠隔指令をもつ予め定められた前記少なくとも２つの遠隔アプリケーションは、その認証が成功したことを条件として、その各々が関連づけされたシステム基本ファイル（ＥＦＳＭＳ system)に如何に関わらず、全ての許可済み遠隔アプリケーションであること、を特徴とする請求項１０及び請求項１１から１５のいずれか１項に記載のシステム。
【請求項１７】
各々のシステム基本ファイル（ＥＦＳＭＳ System)が、アクセス制御則インジケータの全く異なる集合を含み、各アクセス制御則インジケータは、前記アプリケーションのうちの１つについて、どのアクセス制御則（つまり第１のものかその他のものか）をこのアプリケーションと共に利用すべきかを指示し、
前記アクセス制御則インジケータの全く異なる集合は、前記システム基本ファイル（ＥＦＳＭＳ System)に関係する親マスタファイル（ＭＦ）及び親専門ファイル（ＤＦ）をもつ全てのファイル（ＥＦ，ＤＦ，ＭＦ）に結びつけられていること、
を特徴とする請求項１１から１６のいずれか１項に記載のシステム。
【請求項１８】
請求項１から１７のいずれか１項に記載の通信システムの端末機器（ＭＳ；１）を構成するような形で、端末（ＭＥ；４）と連動する目的をもつタイプのマイクロプロセッサ式ユーザーカード（ＳＩＭモジュール）において、
前記ユーザーカードのデータ記憶手段の各オブジェクトが同様に少なくとも１つのその他のアクセス制御則(PCA a distance n0１, PCA a distance n0２）に結びつけられており、各々のその他のアクセス制御則は、少なくとも１つの代替的アクセス条件のセット（cond. d'acc. a dist.１, cond. d'acc. a dist.２）により定義づけされ、与えられたもう１つのアクセス制御則の代替的アクセス条件の各々が、前記オブジェクトについて、前記与えられたもう１つのアクセス制御則を利用する単数又は複数のアプリケーションに属する少なくとも１つの指令の一群に対し適用されること、
及び各々のオブジェクトは同様に複数のアクセス制御則インジケータに結びつけられ、各々のアクセス制御則インジケータは、前記アプリケーションの１つについて、このアプリケーションと共にどのアクセス制御則つまり第１の又はその他のいずれを利用すべきかを指示し、前記アクセス制御則インジケータは、前記ユーザーカードのデータ記憶手段（８）の中に記憶されていること、
を特徴とするユーザーカード。
【請求項１９】
請求項６から１７のいずれか１項に記載の通信システムの端末機器（ＭＳ；１）を構成するような形で、端末（ＭＥ；４）と連動することを目的とするタイプのマイクロプロセッサ式ユーザーカード（ＳＩＭモジュール；５）による、少なくとも２つの遠隔アプリケーションの機密保護され独立した管理方法において、
受信した各々の改良メッセージについて、前記ユーザーカード（ＳＩＭモジュール）は特に、この改良メッセージの中に含まれた各々の遠隔指令について、対象となるオブジェクトに対するこの遠隔指令のアクセス可能性を確認する段階（５１１）を行ない、ここでこのアクセス可能性の確認は、前記現遠隔アプリケーションと共に前記対象オブジェクトについて利用すべき、第１の又は遠隔のアクセス制御則に基づくものであること、を特徴とする管理方法。
【請求項２０】
受信した各改良メッセージについて、前記ユーザーカード（ＳＩＭモジュール）は同様に、この改良メッセージを弁別する予備段階（５４）をも行ない、かくしてそれが含んでいる遠隔指令が属する現遠隔アプリケーションと呼ばれる遠隔アプリケーションが許可された１つの遠隔アプリケーションである場合にのみその処理を続行するようになっていることを特徴とする請求項１９に記載の方法。
【請求項２１】
受理した各々の改良メッセージについて、前記ユーザーカード（ＳＩＭモジュール）は、前記現遠隔アプリケーションに結びつけられたメッセージ認証モード及び秘密リファレンスを利用することによって、前記改良メッセージの認証の予備段階（５７）をも行なうこと、を特徴とする請求項１９又は２０のいずれか１項に記載の方法。
【請求項２２】
−  各オブジェクトに結びつけられたアクセス制御則の特に第１の又は遠隔のアクセス条件値；
−  各オブジェクトについて各アプリケーションと共に利用すべき、特に第１の又は遠隔のアクセス制御則のインジケータ；
−  許可された遠隔アプリケーションのリスト；
−  前記リストの許可された遠隔アプリケーションの各々について、結びつけられたメッセージ認証モードと秘密リファレンス；
−  全く異なる許可された遠隔アプリケーションに各々関連づけられた単数又は複数の前記システム基本ファイル（ＥＦＳＭＳ System)；
−  基本ファイル（ＥＦ）、専門ファイル（ＤＦ）及びマスターファイル（ＭＦ）；
という群に属する要素の少なくともいくつかを、遠隔指令を介し新規作成及び／又は更新及び／又は削除できること、を特徴とする請求項１９から２１のいずれか１項に記載の方法。
【発明の詳細な説明】
本発明の分野は、各々マイクロプロセッサ式ユーザーカードと連動する端末から成る端末機器を用いた通信システムの分野である。
本発明は特に、各々加入者識別モジュールと呼ばれるユーザーカード(英語の「Subscriber Identity Module」を略してＳＩＭモジュールと呼ばれる）と連動する端末から成る移動局を用いたセルラー無線システムの場合に適用されるが、これに制限されるわけではない。
本発明は同様に、ここでも制限的意味なく、各々支払いカードと連動する銀行端末で構成された支払いステーションとの通信システムの場合にも適用される。
より厳密に言うと、本発明は、各ユーザーカードによる複数のアプリケーションの機密保護された独立管理を可能にする通信システムに関する。本発明は同様に、対応するユーザーカード及び管理方法にも関する。
既知の通信システムの欠点は、セルラー無線通信システムの例を通して以下で紹介されている。しかしながら、本発明がこのタイプのシステムに制限されず、より一般的に、端末と連動する目的をもつユーザーカードが複数のアプリケーションをサポートするようなあらゆる通信システムに関するものであることは明白である。
セルラー無線通信の分野においては、特に主としてヨーロッパで、ＧＳＭ規格（「９００Ｍhzの帯域で機能する公衆移動無線通信システム専門部会）が知られている。
本発明は、特にこのＧＳＭ規格に従ったシステムに適用されるが、これに限られるわけではない。より一般的に言うと、本発明は、各々のユーザーカードが少なくとも２つの全く異なるアプリケーションを生成できるようなあらゆるシステムに適用可能である。
セルラー無線通信システムの場合、端末というのは、ネットワークのユーザーが提供されている遠隔通信システムにアクセスするのに使用する物理的機器のことである。端末には、携帯用機器さらには車両上に取りつける移動式機器といったようなさまざまなタイプがある。
１つの端末がユーザーにより利用される場合、ユーザーは、一般にチップカードの形をした自らのユーザーカード（ＳＩＭモジュール）を端末に接続しなければならない。
ユーザーカードは、セルラー無線通信システムにおいて、自らの機能ならびに自らが接続されている端末の機能を可能にする主要電話アプリケーション（例えばＧＳＭアプリケーション）をサポートする。特にユーザーカードは、それが接続されている端末に対し、唯一の加入者識別子（英語の「International Mobile Subscriber Identity」を略してＩＭＳＩ識別子」）を与える。そのために、ユーザーカードは、指令実行手段（例えばマイクロプロセッサ及びプログラムメモリ）及びデータ記憶手段（例えばデータメモリ）を内含している。
ＩＭＳＩ識別子ならびに端末が利用するための加入者に関する全ての個別情報は、ＳＩＭモジュールのデータ記憶手段の中に記憶されている。このため各々の端末は、どんなＳＩＭモジュールとでも利用できるようになっている。
或る種の既知のシステム、特にＧＳＭシステムにおいては、移動局に対して短かいメッセージの通信を可能にする短メッセージサービス（又は英語の「Short Message Service」を略してＳＭＳ）が存在する。これらのメッセージは、短メッセージサービスセンター（英語の「ＳＭＳセンター」を略してＳＭＳ−Ｃ）により発信される。
１つの移動局が短メッセージを受信した場合、この移動局は、これをそのＳＩＭモジュールのデータ記憶手段の中に記憶する。各々のＳＩＭモジュールの主要電話アプリケーションは、受信した各々の短メッセージを処理できるようにする。
当初、短メッセージの唯一の機能は、一般に端末の表示スクリーンを介して加入者の情報を提供することにあった。従って、この唯一の機能を満たす標準短メッセージと呼ばれる短メッセージは、未処理データしか含んでいない。
その後、２つのタイプの短メッセージ、すなわち前述の標準短メッセージと指令を含みうる改良短メッセージを送ることのできる改良短メッセージサービス（英語の「EnhancedＳＭＳ」を略してＥＳＭＳ）が考案された。
かくして、例えば特許明細書ＥＰ５６２８９０では、改良短メッセージを介して、ＳＬＭモジュールに対し、このＳＩＭモジュールを遠隔から更新し再構成できるようにする指令を伝送することが提案されている。換言すると、この改良短メッセージ内に包埋された指令はＳＩＭモジュールの主要電話アプリケーションを修正できるようにする。
同様に、ＳＩＭモジュールが、特にカーレンタル、支払いさらには特典アプリケーションなどの主要電話アプリケーション以外のアプリケーションに対する媒体として役立つようにすることも提案された。
これらのその他のアプリケーションに属する指令は、改良短メッセージつまりＳＩＭモジュールの外部のメッセージの中に含まれていることから、これらのその他のアプリケーションは遠隔アプリケーションつまりＯＴＡ（英語の「Over The Air」の略）と呼ばれている。これに対して、その指令がＳＩＭモジュールのデータ記憶手段の中に含まれている主要電話アプリケーションは、局所アプリケーションと呼ばれる。指令は同様に、それが属するアプリケーションがそれ自体局所的であるか遠隔であるかに応じて、局所指令又は遠隔指令と呼ばれる。
特許明細書ＰＣＴ/ＧＢ/９４０１２９５は、例えば、遠隔電話番号更新、レンタル（特に車又はホテル）及び支払いといった遠隔アプリケーションをサポートするＳＩＭモジュールについて記述している。各々のメッセージは、１つの指令とそれに続くデータを含んでいる。一例として、以下の４つのタイプの遠隔指令（考えられる２５５のうちの）を紹介する。
−  特定した記憶場所からＳＩＭモジュール内に、受信メッセージ内に含まれているデータを記憶できるようにする書込み指令
−  特定した記憶場所からＳＩＭモジュール内のデータを読取ることを可能にする読取り指令。ここで読みとられたデータは外部発呼者に向けたメッセージの中に入れられる。
−  ＳＩＭモジュールの特定の記憶場所の書込み及び読取りを許可するか又は禁止することを可能にするロック／ロック解除指令。
−  ＳＩＭモジュール内に記憶されたプログラムを実行できるようにするプログラム実行指令。
従って、遠隔指令を用いて、遠隔アプリケーション（レンタル、支払い、主要電話アプリケーションの再構成……）を実行することができる。同様に、ＳＩＭモジュールに新しい機能性を付加することもできる。かくして、ＳＩＭモジュールは、クレジットカード、パスポート、運転免許証、メンバーカードなどの機能性をもつマルチサービスカードとなることができる。
この最近のＳＩＭモジュールのマルチアプリケーションという概念が、加入者にとって極めて有利なものであることは明らかである。実際、加入者は、今や、自らのＳＩＭモジュールが挿入される１つの端末だけを用いて、きわめて単純な方法で、例えばカーレンタル、又は或るサービスの支払いといった数多くのオペレーションを実行することができるのである。
逆に、現在使用されている通りのこのＳＩＭモジュールのマルチアプリケーションという最近の概念には、局所又は遠隔の各々のアプリケーションの独立した管理を確保しないという大きな欠点がある。実際、これまでに知られている全てのシステムにおいて、ＳＩＭモジュールのデータ記憶手段のファイルは、全てのアプリケーションにより同じ要領でアクセス可能である。
従って、前述の特許明細書ＰＣＴ/ＧＢ/９４０１２９５においては、１つの指令によるいくつかの記憶場所へのアクセスが常に許可されている一方で、１つの指令によるその他の記憶場所へのアクセスは許可される場合もあれば拒絶される場合もある。しかし、対象となっている記憶場所の如何に関わらず、１つの指令によるアクセス可能性は、いかなる形であれ、この指令が属するアプリケーションによって左右されない。
同様に、現在のＧＳＭ仕様（特に  ＧＳＭ１１．１１仕様）においては、ＳＩＭモジュールのデータ記憶手段のファイルに対するアクセス条件に関して、アプリケーション間の差別は全くなされていない。実際、各ファイルは、規準のアクセス条件セットにより定義づけられる唯一で独自の規準アクセス制御則を有しており、これらの規準アクセス条件の各々が、このファイルのための全く異なる１つの指令に対し適用される。各々の規準アクセス条件は、例えば「ＡＬＷＡＹＳ」（常時アクセス許可）、「ＣＨＶ１」又は「ＣＨＶ２」（ＳＩＭモジュールのプロセッサの確認後にアクセス許可）又は「ＮＥＶＥＲ」（アクセスは決して許可されず）といったような異なる値をとり得る。しかしながら、これらの値のいずれも、このアクセスを要求する指令が属するアプリケーションのアイデンティティとファイルへのアクセスを関連づけすることを目的とするものではない。
このようにアプリケーションに応じてのファイルへのアクセス制御が存在しないことは、機密保持の観点から見て満足のいくことではない。実際、このことは、同じＳＩＭモジュールのデータ記憶手段によりサポートされる全てのアプリケーションがこれらのデータ記憶手段のファイル全体にアクセスできる、ということを意味している。従って、これらの遠隔アプリケーションの１つに関するデータがこれらの遠隔アプリケーションのうちのもう１つのものにより読取られ、ひいては修正さえされるのを妨げるものは何もない。上述のことから、各々の遠隔アプリケーションが、ＳＩＭモジュール内に記憶されたその独自のデータについて充分な特典及び機密保持度を有していないということは明白である。
本発明は、特に、技術的現状のこの主要な欠点を補正することも目的とする。
より厳密に言うと、本発明の目的の１つは、各ユーザーカードが機密保持され独立した形で複数のアプリケーションを管理することのできる通信システム（特にセルラー無線通信システムであるが、これに限られるわけではない）を提供することにある。
換言すると、本発明の目的の１つは、各々のアプリケーションサプライヤが、自らのもの以外のアプリケーションが自らのアプリケーションをサポートするユーザーカードのオブジェクト（例えばファイル）のうちの少なくともいくかにアクセスできることがないようにすることを可能にすることにある。
本発明のもう１つの目的は、異なるアプリケーションが機密保持され独立した形で管理され続けることを保証しながら、これらのアプリケーションをサポートするユーザーカードのオブジェクトの更新（又は再構成）を可能にすることにある。
本発明の補足的目的は、すでに存在するアプリケーションと同様に、そのアプリケーションのみがアクセスできるものを含むオブジェクトによりサポートされている新しいアプリケーションの遠隔での新規作成を可能にすることにある。
これらの異なる目的ならびに以下で明らかになるその他の目的は、本発明に従って、マイクロプロセッサ式ユーザーカードと連動する１つの端末で各々構成されている複数の端末機器を含んで成るタイプの通信システムにおいて、
各々のユーザーカードは、複数のオブジェクトを含むデータ記憶手段（８）を内含し、このデータ記憶手段が少なくとも２つの全く異なるアプリケーションに対する媒体として役立ち、前記ユーザーカードには前記アプリケーションに属する指令の実行手段が含まれており、
ユーザーカードのデータ記憶手段内に含まれた各オブジェクトが、１セットの第１のアクセス条件により定義された第１のアクセス制御則に結びつけられており、前記第１のアクセス条件の各々が、前記オブジェクトについて、前記第１のアクセス制御則を利用する単数又は複数のアプリケーションに属する少なくとも１つの指令の一群に適用される通信システムであって、
各オブジェクトが同様に少なくとも１つのその他のアクセス制御則に結びつけられており、各々のその他のアクセス制御則は、少なくとも１つの代替的アクセス条件のセットにより定義づけされ、与えられたもう１つのアクセス制御則の代替的アクセス条件の各々が、前記オブジェクトについて、前記与えられたもう１つのアクセス制御則を利用する単数又は複数のアプリケーションに属する少なくとも１つの指令の一群に対し適用されること、
及び各々のオブジェクトは同様に複数のアクセス制御則インジケータに結びつけられ、各々のアクセス制御則インジケータは、前記アプリケーションの１つについて、このアプリケーションと共にどのアクセス制御則つまり第１の又はその他のいずれの則を利用すべきかを指示し、前記アクセス制御則インジケータは、前記データ記憶手段の中に記憶されていること、
を特徴とする通信システムを用いて達成される。
従って、本発明の一般的原理は、
（例えば１つのファイルである）各オブジェクトに対して、第１のアクセス制御則（或る種のケースでは「規準」アクセス制御則と呼ばれる）に加えて、単数又は複数のその他のアクセス制御則を結びつけること、及び
各オブジェクトについて、各アプリケーションと共に利用すべきアクセス制御則（第１のもの又はその他のもの）を指示すること、から成る。
かくして、オブジェクトへの（１つの指令による）アクセスは、すべてのアプリケーションについて同一ではあり得ない。各々のアプリケーションは、そのために自らに結びつけられたアクセス制御則により定義づけされる１つのオブジェクトに対するその異なる指令のアクセスを体験する。
有利には、各オブジェクトについて、少なくとも１つのその他のアクセス制御則が１つのアプリケーションに特定的であり、この特定的なその他のアクセス制御則の各々の代替的アクセス条件は、前記オブジェクトについて、この特定的なその他のアクセス制御則を利用する唯一のアプリケーションに属する少なくとも１つの指令の一群に適用される。
有利なことに各オブジェクトについて、少なくとも１つのその他のアクセス制御則が少なくとも２つのアプリケーションに対し完全に共通であり、この完全に共通なもう１つのアクセス制御則の各々の代替的アクセス条件は、前記オブジェクトについて、この完全に共通なその他のアクセス制御則を利用する前記少なくとも２つのアプリケーションに属する少なくとも１つの指令の１群に適用される。
有利には、各オブジェクトについて、少なくとも１つのその他のアクセス制御則が、少なくとも２つのアプリケーションに部分的に共通であり、
この部分的に共通なその他のアクセス制御則の代替的アクセス条件のいくつかは、前記オブジェクトについて、この共通なその他のアクセス制御則を利用する前記少なくとも２つのアプリケーションに属する少なくとも１つの指令の１群に対し適用され、
この部分的に共通なその他のアクセス制御則の代替的アクセス条件のうちその他の条件は、前記オブジェクトについて、この共通なその他のアクセス制御則を利用する前記少なくとも２つのアプリケーションのうちの１方のみに属する少なくとも１つの制御の１群に対し適用される。
かくして、各オブジェクトについて、各アプリケーションは、
−  独自の代替的アクセス条件セットを有することができる、又は
−  単数又は複数のその他のアプリケーションと、その代替的アクセス条件セットを共有することができる、又は
−  単数又は複数のその他のアプリケーションと、その代替的アクセス条件セットの一部のみを共有することができる。
最も単純なケースでは、各オブジェクトは一方では第１のアクセス制御則に、又他方では唯一のその他のアクセス制御則に結びつけられている。この後者のものは、それを利用するアプリケーションの全ての指令に共通に適用される単一のアクセス条件によって定義づけされる。
最も複雑なケースでは、各オブジェクトは一方では、第１のアクセス制御則に、又他方では、存在するアプリケーションと同数の全く異なるその他のアクセス制御則に結びつけられる。これらのその他のアクセス制御則の各々は、各々このその他のアクセス制御則に属する単一の又は複数の指令に適用される全く異なる複数のアクセス条件により定義づけされる。
セルラー無線通信を可能にするタイプの本発明の特定の一実施形態においては、前記複数の端末機器は複数の移動局であり、前記ユーザーカードは、加入者識別モジュールである。
このセルラー無線通信システムの特殊なケースにおいては、ユーザーカードの記憶手段によりサポートされる複数のアプリケーションは、例えば主要電話アプリケーション（例えばＧＳＭアプリケーション）、及び
−  （例えば改良短メッセージを介して）ユーザーカードの指令実行手段の外部から指令が供給される少なくとも１つの遠隔アプリケーション（例えばカーレンタル、支払いさらには特典アプリケーション）、及び
−  （例えばこのユーザーカードのＲＯＭプログラムメモリから）ユーザーカードの指令実行手段の内部で指令が供給される、少なくとも１つのその他の局所アプリケーションを含んでいる。
ここで、ユーザーカードが一般に１つの局所アプリケーションつまり主要電話アプリケーションしかサポートしないことから、第１の状況が第２の状況よりも頻繁に現われるものであることに留意されたい。ただし、第２の状況も同様に考慮の対象となりうる。
かくして、本発明に従うと、セルラー無線通信システムという特殊なケースにおいては、各々のユーザーカードは、機密保持された独立した形で、自らサポートするアプリケーションの全て又は一部を管理することができる。
本発明の有利な一実施形態においては、前記システムはさらにメッセージサービスセンタを少なくとも１つ含むタイプのものであり、
ユーザーカードの前記データ記憶手段は、前記ユーザーカードの少なくとも１つの遠隔アプリケーション及び少なくとも１つの局所アプリケーションに対する媒体として役立ち、指令は、それが前記局所アプリケーションに属する場合は局所指令と呼ばれ、前記遠隔アプリケーションに属する場合は遠隔指令と呼ばれ、
各端末は、前記メッセージサービスセンタにより発信された標準型又は改良型のメッセージを受信することができ、各々のユーザーカードは、それが連動する端末が受信したメッセージの記憶及び処理手段を含んでおり、
標準メッセージは、特に端末の表示スクリーンを介して加入者に対し供給されるための情報を構成する未処理データを含み、改良メッセージは、遠隔指令を含み、
前記システムは各ユーザーカードの前記データ記憶手段が同様に、許可された遠隔アプリケーションのリストも記憶していること、及び
各ユーザーカードが同様に改良メッセージ弁別手段をも含んで成り、これが、前記許可された遠隔アプリケーションの１つに属さない遠隔指令を含む各改良メッセージをブロックできるようにすること、を特徴とする。
かくして、ユーザーカードは、改良メッセージを発信する遠隔アプリケーションがこのユーザーカードにアクセスすることを許可されているか否かを検出する。この弁別作業は、ユーザーカードのデータメモリへの指令のアクセスのための補足的機密保持レベルを構成する。
標準又は改良メッセージは例えば、ＧＳＭの語彙による短メッセージである。
好ましくは、前記各ユーザーカードのデータ記憶手段は同様に、前記許可された遠隔アプリケーションの各々について、結びつけられた１つの秘密リファレンスと１つのメッセージ認証モードも記憶し、各ユーザーカードは同様に、前記データ記憶手段の中で前記弁別された改良メッセージ内に含まれた指令が属する許可された遠隔アプリケーションに結びつけられた秘密リファレンスとメッセージ認証モードを利用することによって、弁別された改良メッセージを認証できるようにする弁別済み改良メッセージ認証手段をも含んで成る。
換言すると、ユーザーカードは、そのメッセージを発信したアプリケーションに結びつけられた認証モード及び秘密リファレンスに従って弁別された各々の改良メッセージを認証する。この認証作業はさらに、ユーザーカードのデータメモリに対する指令のアクセスのためのもう１つの補足的な機密保持レベルを構成する。
有利には各オブジェクトについて、第２のアクセス制御則と呼ばれる単数のその他のアクセス制御則又は複数のもののうちの１つが、少なくとも１つの特別な代替アクセス条件の１セットによって定義され、各々の特別な代替的アクセス条件は、特に、
−  前記オブジェクトが、前記特別な代替的アクセス条件が適用される少なくとも１つの指令の前記群のうちのいずれの指令によってもアクセス可能でない場合、「アクセス無し」
−  前記オブジェクトが、前記特別な代替的アクセス条件が適用される少なくとも１つの指令の前記群の中で、予め定められた唯一のアプリケーションに属する指令によってのみアクセス可能である場合、「専用アクセス」
−  前記オブジェクトが、前記特別な代替的アクセス条件が適用される少なくとも１つの指令の前記群の中で、予め定められた少なくとも２つのアプリケーションに属する指令によってアクセス可能である場合、「共有アクセス」という値を取りうる。
各オブジェクトについて、遠隔アクセス制御則と呼ばれる少なくとも１つのその他のアクセス制御則が、少なくとも１つの遠隔アクセス条件の１セットにより定義づけられ、各々の遠隔アクセス条件は、前記オブジェクトについて、前記遠隔アクセス制御則を利用する単数又は複数の遠隔アプリケーションに属する少なくとも１つの遠隔指令の１群に対し適用され、
各オブジェクトについて、各々遠隔アプリケーションの１つに結びつけられたアクセス制御則インジケータのみが前記遠隔アクセス制御則を指示することができる。
この特定の実施形態においては、当然遠隔アクセス制御則が実際にこの遠隔アプリケーションと共に利用されなくてはならないものであることを条件として、各オブジェクトは、各々の遠隔アプリケーションに対するそのアクセスを許可される又は禁止されるのを経験する可能性がある。
各オブジェクトについて、
−  各遠隔アプリケーションのための全く異なる遠隔アクセス制御則、又は、
−  遠隔アプリケーションの少なくともいくつかについて（或いは全てについて）同じ遠隔アクセス制御則、
を備えることができる。
第１のアクセス制御則は別にして、唯一の又は全てのその他のアクセス制御則が遠隔アクセス制御則である場合には、第１のアクセス制御則は、必ず単数又は複数の局所アプリケーションと共に利用されなくてはならない、ということに留意されたい。
有利にも、各オブジェクトについて、各々の遠隔アクセス条件は、前記特別な代替的アクセス条件と同じ値をとることができる。
かくして、異なる遠隔アプリケーションの間で、ユーザーカードのデータメモリの分割を実施することが可能である。実際、いくつかのオブジェクトは、
−  遠隔指令が属している遠隔アプリケーションの如何に関わらず、いかなる指令によってもアクセス可能とされない場合（「アクセス無し」）もあるし、
−  又、このオブジェクトの親遠隔アプリケーションと呼ばれる唯一の遠隔アプリケーションに属する指令の全て又は一部によってのみアクセス可能となる場合（「専用アクセス」）もあり、さらには
−  明確ないくつかの遠隔アプリケーションに属する全ての又は一部の指令によってアクセス可能となる場合（「共有アクセス」）もある。
この要領で、同じ親遠隔アプリケーションに関連づけられた専用アクセスオブジェクトは全て、その他のアプリケーションにはアクセス不能であることの親アプリケーション独自の機密保持された密閉ゾーンを構成する。一定の与えられた遠隔アプリケーションのサプライヤは、かくして自分のもの以外の遠隔アプリケーションが、自らに割当てられた機密保持ゾーンにアクセスできないことを保証されている。
各ユーザーカードの前記データ記憶手段が、少なくとも３レベルの階層構造を有し、
−  マスターファイル又は主レパートリ、
−  前記マスターファイルの下に置かれた専門ファイル又は二次ファイル、
−  親専門ファイルと呼ばれる前記専門ファイルのうちの１つの下に置かれるか又は親マスタファイルと呼ばれる前記マスタファイルの下に直接置かれた基本ファイル、
という３つのタイプのファイルを少なくとも含んで成るタイプのものである、本発明の有利な一実施形態においては、
前記システムは、各ユーザーカードの前記データ記憶手段が少なくとも１つのシステム基本ファイルを含み、各々のシステム基本ファイルは許可された１つの遠隔アプリケーションに関連づけされ、関連づけられたこの許可された遠隔アプリケーションに結びつけられたメッセージ認証モード及び秘密リファレンスの第１のローカライゼーション情報を記憶すること、
及び各々の改良メッセージは、このメッセージの中に含まれた指令が属する許可済み遠隔アプリケーションが関連づけされたシステム基本ファイルの第２のローカライゼーション情報を含んで成り、
前記認証手段は、各々の弁別された改良メッセージの中に、システム基本ファイルの前記第２のローカライゼーセョン情報を読取り、かくしてシステム基本ファイルの中に、前記弁別された改良メッセージを認証するために利用すべきメッセージ認証モード及び秘密リファレンスの前記第１のローカライゼーション情報を読取るようになっていること、を特徴とする。
かくして、各システム基本ファイルは、このファイルが関連づけされた遠隔アプリケーションによって発信されたメッセージの認証作業に必要な要素を再度見い出すことができるようにする情報を内含している。一方各メッセージの方は（そのヘッダーの中に）、その認証が行なわれうるような形で、その発信アプリケーションが関連づけられたシステム基本ファイルを再発見できるようにする情報を有している。
有利には、各々のシステム基本ファイルは、専門ファイル下に置かれるか又は直接マスターファイルの下に置かれ、最大で１つのシステム基本ファイルを、各専門ファイルの下に置くことができ、最大で１つのシステム基本ファイルを直接マスタファイルの下に置くことができる。
専門ファイルの下及びマスタファイルの下にいかなるシステム基本ファイルも存在しない場合、前記専門ファイル下に置かれた各々の基本ファイルは、この基本ファイルに結びつけられた遠隔アクセス条件の値の如何に関わらず、いかなる遠隔指令によってもアクセス可能でなく、
又、マスタファイルの下に直接いかなるシステム基本ファイルも存在しない場合、マスタファイルの下に直接置かれた各々の基本ファイルは、この基本ファイルに結びつけられた遠隔アクセス条件値の如何に関わらず、いかなる遠隔指令によってもアクセス可能でない。
このことはすなわち、１つの遠隔指令によりアクセス可能となるためには、ファイルは専門ファイルの下に置かれるか、又は、システム基本ファイルが関係するマスターファイルの下に直接置かれなくてはならないということを意味している。ここで「関係する」という語については、以下で明示する。
好ましくは、システム基本ファイルの前記第２のローカライゼーション情報は、データ記憶手段内の予め定められたサーチ戦略に従って前記システム基本ファイルが関係するマスタファイル又は専門ファイルの識別子である。
有利には、データ記憶手段内の予め定められた前記サーチ戦略は、前記識別子により指示されたマスタファイル、又は専門ファイルの下にシステム基本ファイルが存在するか否かをサーチし、存在しない場合又は識別子がマスタファイルを指示しない場合には、システム基本ファイルが直接マスタファイルの下に存在するか否かをサーチすることから成る（「バックトラッキング」タイプの）上流サーチ機構である。
かくして、以上で利用されている「関係する」という表現は、例えば「バックトラッキング」タイプのサーチに対応する。
本発明の有利な一実施形態においては、「専用アクセス」値を有する遠隔アクセス条件の１つをもつファイルの場合、その遠隔指令が前記ファイルにアクセスできる予め定められた前記唯一の遠隔アプリケーションは、その認証が成功したことを条件として、前記ファイルの許可済み親遠隔アプリケーション、つまり前記ファイルの親マスタファイル又は親専門ファイルが関係するものと同じシステム基本ファイルに関連づけられた許可済み遠隔アプリケーションであり、
その遠隔アクセス条件が、「共有アクセス」値を有するファイルの場合、このファイルにアクセスできる遠隔指令をもつ予め定められた前記少なくとも２つの遠隔アプリケーションは、その認証が成功したことを条件として、その各々が関連づけされたシステム基本ファイルの如何に関わらず、全ての許可済み遠隔アプリケーションである。
かくして、一定の与えられたシステム基本ファイルに関連づけされた１つの親アプリケーションは、その親専門ファイル又は親マスターファイル（すなわちそれらのファイルがその下に直接置かれている専門ファイル又はマスターファイル）がこの一定の与えられたシステム基本ファイルに関係しているような全てのファイルを、子ファイルとして有している。
１つの親アプリケーションの子ファイル全体は、このアプリケーションに独自の機密保持ドメインとも呼ばれる、ファイル論理グループ化を構成する。「専用」タイプの許可された遠隔アクセスの場合、この専用権の恩恵を受けるアプリケーションに特定的な機密保持されたゾーンを限定するのは、この機密保持ドメインである。
換言すると、機密保持ドメインは、一部には、１つのアプリケーションとのそれらの親/子従属関係に応じてファイルを論理的にグループ化することから成る。各アプリケーションはその機密保持ドメインを有する。これは実際には、アプリケーションの機密保持ドメインのオブジェクトの定義を与えることから成る。従って、ファイルの論理的グループ化は、アプリケーションの機密保持ドメインさらにはアプリケーションの機密保持スキーマの妥当性ドメインとも呼ばれる。
有利には各々のシステム基本ファイルは、アクセス制御則インジケータの全く異なる集合を含み、各アクセス制御則インジケータは、前記アプリケーションのうちの１つについて、どのアクセス制御則（つまり第１のものかその他のものか）をこのアプリケーションと共に利用すべきかを指示し、
前記アクセス制御則インジケータの全く異なる集合は、前記システム基本ファイルに関係する親マスタファイル及び親専門ファイルをもつ全てのファイルに結びつけられている。
本発明は同様に、上述のような通信システムの端末機器を構成するような形で、端末と連動する目的をもつタイプのマイクロプロセッサ式ユーザーカードにおいて、
前記ユーザーカードのデータ記憶手段の各オブジェクトが同様に少なくとも１つのその他のアクセス制御則に結びつけられており、各々のその他のアクセス制御則は、少なくとも１つの代替的アクセス条件のセットにより定義づけされ、与えられたもう１つのアクセス制御則の代替的アクセス条件の各々が、前記オブジェクトについて、前記与えられたもう１つのアクセス制御則を利用する単数又は複数のアプリケーションに属する少なくとも１つの指令の一群に対し適用されること、
及び各々のオブジェクトは同様に複数のアクセス制御則インジケータに結びつけられ、各々のアクセス制御則インジケータは、前記アプリケーションの１つについて、このアプリケーションと共にどのアクセス制御則つまり第１の又はその他のいずれを利用すべきかを指示し、前記アクセス制御則インジケータは、前記ユーザーカードのデータ記憶手段の中に記憶されていること、
を特徴とするユーザーカードにも関する。
本発明は同様に、上述のような通信システムの端末機器を構成するような形で、端末と連動することを目的とするタイプのマイクロプロセッサ式ユーザーカードによる、少なくとも２つの遠隔アプリケーションの機密保護された独立した管理方法において、
受信した各々の改良メッセージについて、前記ユーザーカードは特に、この改良メッセージの中に含まれた各々の遠隔指令について、対象となるオブジェクトに対するこの遠隔指令のアクセス可能性を確認する段階を行ない、ここでこのアクセス可能性の確認は、前記現遠隔アプリケーションと共に前記対象オブジェクトについて利用すべき、第１の又は遠隔のアクセス制御則に基づくものであることを特徴とする管理方法にも関する。
有利には、受信した各改良メッセージについて、前記ユーザーカードは同様に、この改良メッセージを弁別する予備段階をも行ない、かくしてそれが含んでいる遠隔指令が属する現遠隔アプリケーションと呼ばれる遠隔アプリケーションが許可された１つの遠隔アプリケーションである場合にのみその処理を続行するようになっている。
有利には、受理した各々の改良メッセージについて、前記ユーザーカードは、前記現遠隔アプリケーションに結びつけられたメッセージ認証モード及び秘密リファレンスを利用することによって、前記改良メッセージの認証の予備段階をも行なう。
有利には、
−  各オブジェクトに結びつけられたアクセス制御則の特に第１の又は遠隔のアクセス条件値
−  各オブジェクトについて各アプリケーションと共に利用すべき、特に第１の又は遠隔のアクセス制御則のインジケータ
−  許可された遠隔アプリケーションのリスト
−  前記リストの許可された遠隔アプリケーションの各々について、結びつけられたメッセージ認証モードと秘密リファレンス
−  全く異なる許可された遠隔アプリケーションに各々関連づけられた単数又は複数の前記システム基本ファイル
−  基本ファイル、専門ファイル及びマスターファイル
という群に属する要素の少なくともいくつかを、遠隔指令を介し新規作成及び／又は更新及び／又は削除することができる。
かくして、本発明に従ったオブジェクトに対するアクセスの機密保持は、各アプリケーションのニーズの推移に従って、更新又は再構成によって適合させることができる。
その上、完全に新しい（例えば遠隔）アプリケーションを付加し、メモリカードのデータメモリによりサポートさせることが可能である。これらの新しい（遠隔）アプリケーションは、当初備えられた（遠隔）アプリケーションと同じ要領で、（例えば認証モード、秘密リファレンス及び特定の機密保持スキーマを用いた）独自のアクセス機密保持の恩恵を受けることができる。
本発明のその他の特徴及び利点は、制限的意味のない一例として与えられている本発明の好ましい実施形態の以下の記述及び添付図面を参照することによって、明らかとなるが、図面中、
−  図１は、本発明に従ったセルラ無線通信システムの特定の一実施形態の簡略化された系統図を示し、
−  図２は、図１のＳＩＭモジュールが受信した本発明に従った改良短メッセージの特定の実施形態の構造を示し、
−  図３Ａは、結びつけられたそのアクセス制御則及びインジケータを伴って、図１のデータメモリの１ファイルの特別な一実施形態を概略的に示し、
−  図３Ｂは、図３Ａに示されている通りのファイルに結びつけられている状態の複数のインジケータの一例を示し、
−  図４は、複数のアプリケーションの間での、図１のデータメモリーの分割の第１の例を示し、
−  図５は、改良短メッセージの図１のＳＩＭモジュールによる処理の特別な実施形態の簡略化されたフローチャートを示し、
−  図６及び７は、図５に現われるアプリケーションのろ過及びメッセージの認証の段階を明確化する図であり、
−  図８及び９は、図５に現われる指令の実行の機密保持段階を明確化する図であり、
−  図１０は、複数のアプリケーションの間の図１のデータメモリの分割の第２の例を示す。
単に一例として以下で記述する特別な実施形態においては、通信システムは、ＧＳＭタイプのセルラー無線通信システムである。ただし、本発明がこの特定のタイプの通信システムに制限されるものではなく、より一般的に、各々マイクロプロセッサ式ユーザーカードと連動する１つの端末から成る複数の端末機器を含む全ての通信システムに関するものであることは明らかである。
簡略化を目的として図１では、ネットワーク２を介して短メッセージサービスセンタ（ＳＭＳ−Ｃ）３に連結された移動局（ＭＳ）１のみを表示した。実際には、このシステムは、各々加入者識別モジュール（ＳＩＭモジュール）５と連動する端末（ＭＥ）４から成る複数の移動局１を含んで成る。
各々のモジュールＳＩＭ５は特に、従来通り、以下のものを含んで成る。
−  一般に１つのマイクロプロセッサから成る指令実行手段６。
−  ＧＳＭアプリケーション（又はより一般的には主要電話アプリケーション）そして場合によってはその他の局所アプリケーションを記憶するプログラムメモリ７。このプログラムメモリ７は、例えばＲＯＭメモリである。
−  ＳＩＭモジュールが実行できる局所又は遠隔アプリケーションの全てに媒体として役立つデータメモリ８。換言すると、このメモリは、サポートされたアプリケーションがその実行に際しアクセスできなければならない全てのデータを記憶する。例えば、このメモリは、ＧＳＭアプリケーションの実行に必要な加入者の全ての個別情報（例えば、特にその加入者国際番号（ＩＭＳＩ識別子、その個別認証キー（Ｋｉ）及び認証アルゴリズム（Ａ３）など）を記憶する。このデータメモリ８は例えば、ＥＥＰＲＯＭメモリである。
−  受信された短メッセージ記憶及び処理手段９。実際、端末４により受理された各々の短メッセージは、ＧＳＭアプリケーションによる処理のため、ＳＩＭモジュールに伝送される。
ＳＭＳ−Ｃ３は、移動局１全体に対して２つのタイプの短メッセージ、すなわち
−  未処理データのみを輸送する「標準」短メッセージ。例えば加入者に一定の与えられた番号を呼出すように促すため端末４のスクリーン上に表示すべき情報に対応する標準短メッセージの未処理データ
−  構成する指令（同じく遠隔指令と呼ばれる）がＳＩＭモジュールのプログラムメモリ７内に記憶されていないことから、遠隔アプリケーション（又はＯＴＡ）と呼ばれるアプリケーションに属する指令を輸送する「改良」短メッセージ
を送ることができるようにする改良短メッセージサービス（ＥＳＭＳ）を使用する。
図２は、ＳＩＭモジュール５により受理された本発明に従った改良短メッセージの特別の実施形態の構造を示す。この改良短メッセージ２０は、ＳＭＳヘッダ２１（英語ではＳＭＳ Header）及び本文２２（英語では「Transfer layer Protocol-User Dataを略してＴＰ−ＵＳ）を含んで成る。つまり、ＳＥＬＥＣＴ，ＵＰＤＡＴＥ  ＢＩＮＡＲＹ，ＵＰＤＡＴＥ  ＲＥＣＯＲＤ，ＳＥＥＫ，ＣＲＥＡＴＥ  ＦＩＬＥ，ＣＲＥＡＴＥ  ＲＥＣＯＲＤ，ＥＸＴＥＮＤなどといったＧＳＭ１１．１１規格，ＩＳＯ７８，１６−４規格、さらにはＥＮ７２６−３規格の中で規定されている従来の指令（演算又は管理上の）である。本発明が関わるその他のフィールドについては、以下の記述の中で詳しく示されている。
データメモリ８は、複数のファイルを含む。従来、ＧＳＭ１１．１１規格内で規定されているように、これらのファイルの各々は、規準アクセス制御則に結びつけられる。この制御則は、各々このファイルにアクセス可能な全く異なる指令に適用される複数の規準アクセス条件（StandardＡＣ）によって定義づけられる。各々規準アクセス条件は、異なる値（例えば「AL Ways」，「ＣＨＶ１」，「ＣＨＶ２」さらには「ＮＥＶer」をとることができる。これらの値のいずれも、ファイルにアクセスすることを望む指令が属しているアプリケーションにより左右されない。
本発明の基本原理は、各々のデータメモリファイル８に、同様に以下のものをも結びつけることから成る。
−  少なくとも１つのその他のアクセス制御則。なお各々のアクセス制御則は、少なくとも１つの代替的アクセス条件のセットにより定義づけられ、一定の与えられたその他のアクセス制御則の各々の代替的アクセス条件は、このファイルについて、このその他のアクセス制御則を利用する単数又は複数のアプリケーションに属する少なくとも１つの指令の１群に対し適用される。
−  サポートされた各アプリケーションについて、規準又はその他のどのアクセス制御則をこのアプリケーションと共に利用すべきかを指示するアクセス制御則インジケータ。
簡略化を目的として、以下の記述において示されている例では、アプリケーションは、各々、各ファイルについて、（その独自の代替的アクセス条件セットを伴って）それらに独自のものであるその他のアクセス制御則を有しておらず、全てが完全な形で（つまりその全ての指令について区別なく）、（各々全ての指令に適用される唯一のアクセス条件を伴う）２つのその他の共通アクセス制御則を共有している。
図３Ａは、そのアクセス制御則３１及びその結びつけられたインジケータ３２と共に、データメモリ８のファイル３０の特別の実施形態を概略的に示す。補遺１の表は、このファイル３０に結びつけられたような複数のアクセス制御則の一例を示している。図３Ｂは、ファイル３０に結びつけられた通りの複数のインジケータ３２の一例を示す。
図３Ｂ及び補遺１の表と関連づけて記述されている、ファイル３０に結びつけられた特徴の以下の例においては、
−  ＳＩＭモジュールは、ＧＳＭアプリケーション（唯一の局所アプリケーション）及び３つの遠隔アプリケーション（appli．dist.１，appli．dist.１’及びappli．dist.１”）をサポートする。
−  １つの規準アクセス制御則（ＰＣＡ standard）及び２つの遠隔アクセス制御則（ＰＣＡ a distance n0１及びＰＣＡ a distance n0２）が存在する。
ものと考える。
補遺１の表に示されているように、規準アクセス制御則においては、各々の指令（遠隔又は局所）は、それが属するアプリケーションの如何に関わらず（ＧＳＭアプリケーション又は遠隔アプリケーションの１つ）、１つの特定の規準アクセス条件（cond d'acces std１，cond d'acces std２．．．）に結びつけられる。従来、各々の規準アクセス条件は、「ＡＬＷＡＹＳ」（つねにアクセス許可）、「ＣＨＶ１」又は「ＣＨＶ２」（ＳＩＭモジュールのプロセッサの確認後にアクセスが許可）及び「ＮＥＶＥＲ」（アクセスは決して許可されず）を含む群に属する１つの値を有する。
遠隔アクセス制御則ｎ0１においては、全ての遠隔指令は（簡略化を目的として）、それらが属するアプリケーションの如何に関わらず、同じ遠隔アクセス条件（同様に簡略化を目的として）（cond，d'acces a dist.１）に結びつけられている。この遠隔アクセス条件は、例えば、「ＰＡＲＴＡＧＥ」，「ＰＲＩＶＥ」及び「ＪＡＭＡＩＳ」という３つの値のうちの１つをとることができる。かくして、この例においては、この条件は「ＰＡＲＴＡＧＥ」という値を有する。
ここで、これら３つの値の各々の意味を説明する。
−  「ＪＡＭＡＩＳ」（又は「アクセス無し」）は、指令が属するアプリケーションの如何に関わらず、ファイル３０がいかなる指令によってもアクセス不能であることを意味する。
−  「ＰＲＩＶＥ」（又は「専用アクセス」）は、ファイル３０が、予め定められた唯一のアプリケーションに属する指令によってのみアクセス可能であることを意味している。
−  「ＰＡＲＴＡＧＥ」（又は「共有アクセス」）は、ファイル３０が、予め定められた少なくとも２つのアプリケーションに属する指令によりアクセス可能であることを意味する。
これら３つの値「ＰＡＲＴＡＧＥ」，「ＰＲＩＶＥ」及び「ＪＡＭＡＩＳ」については以下の記述でさらに図９−１１との関係において論述する。
遠隔アクセス制御則ｎ0２においては、全ての遠隔指令は、それが属するアプリケーションの如何に関わらず、同じ遠隔アクセス条件（cond．d'acces a dist.２）に結びつけられる。この遠隔アクセス条件は、（「ＰＡＲＴＡＧＥ」，「ＰＲＩＶＥ」及び「ＪＡＭＡＩＳ」という値を含む）上述のもの以外の一群の値（Ｘ，Ｙ，Ｚ，．．．）の中から、例えばＸという値をとることができる。
図３Ｂに示されているように、サポートされている各々のアプリケーション（appli.ＧＳＭ，appli．dist.１，appli．dist.１’及びappli．dist.１”について）、アクセス制御則インジケータが、このアプリケーションと共にどのアクセス制御則を利用すべきか（つまり，ＰＣＡ standard，ＰＣＡ a distance ｎ0１又はＰＣＡ a distance n0２）を明示する。
かくして、このデータメモリによりサポートされている異なる遠隔アプリケーションに応じて、データメモリ８（より厳密には、同じ遠隔アクセス制御則を利用するファイル全体の）分割を得ることができる。
図４に示されている例においては、データメモリの全てのファイルは、遠距離アクセス制御則n0１を利用する。かくして、外から見た場合（すなわち遠隔アプリケーションについて）、データメモリは局所アプリケーションと３つの遠隔アプリケーション（特典、支払い及びＧＳＭ）の間で共有されているように見える。この例では、ＧＳＭと呼ばれるアプリケーションが局所ではなく遠隔であることに留意されたい。
データメモリ８は、一例として示された実施形態において、３レベルの階層構造を有し、以下の３つのタイプのファイルを含んで成る。
−  マスターファイル（ＭＦ）又は主要レパートリ
−  マスターファイルの下に置かれる２次的レパートリである、複数の専門ファイル（ＤＦ，ＤＦFidelite，ＤＦPaiement，ＤＦGSH，ＤＦTelecom）
−  各々専門ファイルの１つ（このとき親専門ファイルと呼ばれる）の下に置かれるか又はマスタファイル（このとき親マスターファイルと呼ばれる）の下に直接置かれる、複数の基本フイァル（ＥＦ）
８つのファイル群を区別する。すなわち、
−  Ａ群：Fidelite遠隔アプリケーションの指令によってのみアクセス可能なファイル、すなわちその遠隔アクセス条件が、Fideliteアプリケーションについて「ＰＲＩＶＥ」であるようなファイル。
−  Ｂ群：Paiement遠隔アプリケーションの指令によってのみアクセス可能なファイル。
−  Ｃ群：Fidelite及びPaiement遠隔アプリケーションの指令によってアクセス可能なファイル、すなわち、その遠隔アクセス条件が、Fidelite及びPaiementアプリケーションについて「ＰＡＲＴＡＧＥ」であるようなファイル。
−  Ｄ群：Telecom遠隔アプリケーションの指令によってのみアクセス可能なファイル。
−  Ｅ群：Telecom及びFidelite遠隔アプリケーションの指令によりアクセス可能なファイル。
−  Ｆ群：Paiement及びFidelite遠隔アプリケーションの指令によりアクセス可能なファイル。
−  Ｇ群：Telecom，Paiement及びFidelite遠隔アプリケーションの指令によりアクセス可能なファイル。
−  Ｈ群：いかなる遠隔アプリケーションの指令によってもアクセスできないファイル、すなわち、その遠隔アクセス条件が「ＪＡＭＡＩＳ」であるファイル。
Ｈ群のファイルが、（対応する規準アクセス条件が確認されていることを条件として）局所アプリケーションの指令にとってアクセス可能なものであり続けるという点に留意されたい。同様に、Ｈ群のファイルは、（ここでも又対応する規準アクセス条件が確認されていることを条件として）遠隔アクセス制御則ではなく規準アクセス制御則を利用することになる遠隔アプリケーション指令にとってアクセス可能なものとなる。
ここで、図５のフローチャートとの関係において、改良短メッセージのＳＩＭモジュールによる処理プロセスの特別の１実施形態を紹介する。受信された各々の短メッセージについて、ＳＩＭモジュールは特に、以下の段階を行なう。
−  受信した短メッセージ（同様にＯＴＡ信号とも呼ばれる）が改良短メッセージである（従って１つの遠隔アプリケーションに属する指令を含んでいる）か、標準短メッセージであるかを決定（５１）し、
−  改良短メッセージである場合、処理を続行し（５２）、そうでない場合には処理を中断（５３）し、
−  メッセージの発信遠隔アプリケーション（すなわち、その指令がメッセージの中に含まれているアプリケーション）が許可された遠隔アプリケーションであるか決定（５４）（アプリケーション弁別段階５４）し、
−  それが許可された遠隔アプリケーションである場合、処理を続行し（５５）、そうでない場合処理を中断（５６）し、
−  メッセージの発信遠隔アプリケーションに結びつけられたメッセージの認証モード及び秘密リファレンスを利用して、メッセージの真正さを確認（５７）（メッセージ認証段階（５７）し、
−  認証が正しい場合処理を続行（５８）し、そうでない場合処理を中断（５９）し、
−  メッセージの中に含まれた各々の遠隔指令について、
＊  メッセージの中に含まれた各々の遠隔指令（オペレーションとも呼ばれる）を解釈（５１０）し、
＊  メッセージの発信遠隔アプリケーションと共に対象ファイルのために利用すべき規準又は遠隔のアクセス制御則に応じて、対象ファイル（データフィールドとも呼ばれる）に対するこの遠隔指令のアクセス可能性を確認（５１１）（指令の実行の機密保持段階５１１）し、
＊  遠隔指令がファイルにアクセスできる場合、処理を続行し（５１２）、そうでない場合、報告書作成段階５１５へと移行（５１３）し、
＊  指令を実行（５１４）し、そして、
−  実行報告書を作成（５１５）する。
図６、７及び８は、アプリケーション弁別段階５４及びメッセージ認証段階５７を明示している。
図６に示されているように、データメモリ８のファイル６０は、許可された遠隔アプリケーションのリストを記憶する。入力基本ファイル（又はＥＦＳＭＳＬog）と呼ばれるこのファイル６０は、例えば、許可された遠隔アプリケーションサプライヤ各々のアドレス（ＴＰ−ＯＡ１〜ＴＰ−ＯＡｎ）を内含している。これらのアドレスは、英語の「ＴＰ−Originating-Addresses」を略してＴＰ−ＯＡアドレスと呼ばれる。なお、各々の改良短メッセージは、そのヘッダ（図２参照）内に「ＴＰ−ＯＡ」フィールドを含んでいる。
かくしてアプリケーション弁別段階５４の際に、ＳＩＭモジュールは、メッセージのＴＰ−ＯＡアドレスが入力基本ファイル６０のＴＰ−ＯＡアドレスの１つと同一であることを確認しながら、メッセージの発信遠隔アプリケーションを識別する。
図６は同様に、入力基本ファイル６０の各々のＴＰ−ＯＡアドレス（すなわち各々の許可された遠隔アプリケーション）について、ＳＩＭモジュールが、データメモリ８の中で、秘密リファレンス（Kappli），メッセージ認証モード（algo-id)及び機密保護スキーマという３つのパラメータの集合６１〜６３にアクセスできる可能性を有していることを例示している。
かくして、図７に例示されているように、メッセージの認証段階５７を行なうため、ＳＩＭモジュールは、メッセージの発信アプリケーションに結びつけられ、データメモリ８内でそれが予め再発見した秘密リファレンス（Kappli）及びメッセージ認証モード（algo-id)を利用する。これら２つのパラメータ（Kappli及びalgo-id）及びメッセージの本文のデータに基づいて、ＳＩＭモジュールは、例えば、メッセージの認証が成功するためにメッセージの本文（図２参照）の中に含まれている暗号文（ＳＭＳ−Ｃert)と同一でなくてはならない１つの暗号文を計算する。
図８は、指令の実行の機密保持段階５１１を説明している。１つのメッセージの各指令（又はオペレーション）は、ＳＩＭモジュールの現行の機密保持状態ならびにメッセージの発信遠隔アプリケーションに関連づけされる機密保持属性及び情報に従って、この指令が、その作業対象であるファイルにアクセスすることを許可されている場合にのみ、実際に実行される。これは、遠隔アプリケーションの機密保持スキーマに対応する。
以下の記述では、許可された各々の遠隔アプリケーションが、データメモリ８のシステム基本ファイル（ＥＦＳＭＳ System)に結びつけられている。本発明の特別な一実施形態を紹介する。
各システム基本ファイルは、データメモリ８内で、１つの対（秘密リファレンスKappli,メッセージ認証モードalgo-id）を位置設定できるようにする第１の情報を記憶し、この対は、このシステム基本ファイが関連づけされている許可済み遠隔アプリケーションに結びつけられる。
当該実施形態においては、１対（Kappli，algo-id)のこの第１のローカライゼーション情報は、この対を含むファイルＥＦKey-opが下にある専門ファイルの識別子である。ファイルＥＦ Key-opはそれ自体、メッセージ認証モード又はこのメッセージ認証モードの記憶場所を指示するポインタalgo-idのみを記憶することができる。
なお、各々の改良短メッセージは、改良短メッセージを発信する許可済み遠隔アプリケーションが関連づけされているシステム基本ファイルの第２のローカライゼーション情報を含む。
図２に示されているように、当該実施形態においては、システム基本ファイルのこの第２のローカライゼーショ情報は、データ記憶手段内の予め定められたサーチ戦略に従ってこのシステム基本ファイルが関係するマスターファイル又は専門ファイルの「入力ＤＦ」（英語ではLoginＤＦ）識別子である。
ＳＩＭモジュールは、例えば、
−  現行の専門ファイル又はマスターファイル（すなわち「入力ＤＦ」識別子によって指示されたもの）の下でまずシステム基本ファイルをサーチすること、
−  その後、現行の専門ファイル又はマスターファイルの下にいかなるシステム基本ファイルも存在しない場合、及び「入力ＤＦ」識別子がマスターファイルを指示しない場合、マスターファイルの下に直接システム基本ファイルをサーチすること、
から成る（「バックトラッキング」タイプの）上流サーチ機構を使用する。
かくして、ＳＩＭモジュールは、各々のろ過された改良短メッセージの中に、識別子ＤＦＩｄ．を読取る。この「入力ＤＦ」識別子から、ＳＩＭモジュールは、メッセージを発信する許可された遠隔アプリケーションが関連づけされているシステム基本ファイルを再発見する。ＳＩＭモジュールは、このシステム基本ファイル内に、ファイルＥＦKey-opが下にある専門ファイルの識別子を読取る。このファイルＥＦkey-opの中に、ＳＩＭモジュールは、ろ過された改良短メッセージを認証するために利用すべき秘密リファレンス及びメッセージ認証モードを知るような形で、対（Kappli，algo-id)を読取る。
１つの専門ファイルの下に、最大で１つのシステムを置くことができる。同様に、マスタファイルの下に直接、最大で１つのシステム基本ファイルを置くことができる。
専門ファイル下にもマスタファイル下にもシステム基本ファイルが全く存在しない場合、この専門ファイル下に置かれたＥＦには、これらの基本ファイルの各々に結びつけられた遠隔アクセス条件の値の如何に関わらず、いかなる遠隔指令によってもアクセスできない。
同様に、マスターファイルの下にも直接的にもシステム基本ファイルが全く存在しない場合、マスターファイルの下に直接置かれた基本ファイルは、これらの基本ファイルの各々に結びつけられた遠隔アクセス条件の値の如何に関わらず、いかなる遠隔指令によってもアクセスできない。
その遠隔アクセス条件が「ＰＲＩＶＥ」（「専用アクセス」）という値を有しているファイルの場合、このファイルにアクセスできる遠隔指令をもつ唯一の遠隔アプリケーションは、その認証が成功していることを条件として、このファイルのマスターファイル又は専門ファイルが関係するものと同じシステム基本ファイルに関連づけされた許可済みの遠隔アプリケーションである。この許可済みの遠隔アプリケーションは、このファイルの親遠隔アプリケーションと呼ばれる。
その遠隔アクセス条件が「ＰＡＲＴＡＧＥ」（「共有アクセス」）という値を有するファイルの場合、このファイルにアクセスできる遠隔指令をもつ予め定められた遠隔アプリケーションは、その認証が成功していることを条件として、その各々が関連づけされているシステム基本ファイルの如何に関わらず、全ての許可済みの遠隔アプリケーションである。
図９は、次の２つの遠隔アプリケーションの間で共有されているデータメモリ８の例を示している。
−  そのＥＦＳＭＳ System ９１が、専門ファイルＤＦ１に関係するアプリケーション「ＤＦ１」、及び
−  そのシステム基本ファイル９２がマスターファイルＭＦに関係するアプリケーション「ＭＦ」。
「ＤＦ１」アプリケーションにより発出されたメッセージがその「入力ＤＦ」フィールド内に、この「ＤＦ１」アプリケーションのシステム基本ファイル９１がその下にある専門ファイルであるＤＦ１値を有している、ということに留意されたい。
これに対し、「ＭＦ」アプリケーションにより発出されたメッセージはその「入力ＤＦ」フィールド内にＭＦ値ではなく、ＭＦ／ＤＦ２値を有している。実際、この専門ファイルＤＦ２の下にはいかなるシステム基本ファイルも存在しないことから、ＳＩＭモジュールがこの「ＭＦ」アプリケーションのシステム基本ファイル９２を探索しに行くのは（「バックトラッキング」機構）まさにマスターファイルの下である。
この例においては、以下の４つのファイル群が区別される。すなわち、
−  Ａ’群：  遠隔アプリケーション「ＤＦ１」の指令によってのみアクセス可能なファイル（ＤＦ１，ＥＦ２）。すなわち、その遠隔アクセス条件が「ＤＦ」アプリケーションについて「ＰＲＩＶＥ」であるファイル。
−  Ｂ’群：  遠隔アプリケーション「ＭＦ」の指令によってのみアクセス可能なファイル（ＭＦ，ＤＦ２，ＥＦ５，ＥＦ７）。
−  Ｃ’群：  遠隔アプリケーション「ＤＦ１」及び「ＭＦ」の指令によってアクセス可能なファイル（ＥＦ３，ＥＦ１，ＥＦ６）、すなわち、アプリケーション「ＤＦ１」及び「ＭＦ」についてその遠隔アクセス条件が「ＰＡＲＴＡＧＥ」であるファイル。
−  Ｄ’群：  いかなる遠隔アプリケーションの指令によってもアクセス可能でないファイル（ＥＦ４）、すなわち、その遠隔アクセス条件が「ＪＡＭＡＩＳ」であるファイル。
本発明が遠隔指令を介して、特に以下のような上述のいくつかの要素を新規作成、更新さらに又削除することを可能にするものであるという点を強調しておくことが重要である。
−  各ファイルに結びつけられたアクセス制御則の、規準又は遠隔の、アクセス条件値。
−  各ファイルについて各アプリケーションと共に利用すべき、規準又は遠隔の、アクセス制御則のインジケータ。
−  許可された遠隔アプリケーションのリスト。
−  各々の許可済み遠隔アプリケーションについて、結びつけられた秘密リファレンス及びメッセージ認証モード。
−  各々全く異なる許可済み遠隔アプリケーションに関連づけられたシステム基本ファイルＥＦＳＭＳ System。
−  基本ファイルＥＦ，専門ファイルＤＦ及びマスターファイルＭＦ。
図１０は、データメモリ８の分割の第２の例を示している。この第２の例においては、データメモリ８は、以下の全く異なる４つのアプリケーションの間で分割される。すなわち、
−  そのシステム基本ファイルＥＦＳＭＳ System ０が活動化された機密保持を呈しマスターファイルに関係する、アプリケーション「ＭＦ」。
−  そのシステム基本ファイルＥＦＳＭＳ System １が非活動化された機密保持を呈し専門ファイルＤＦ１に関係する、アプリケーション「ＤＦ１」。
−  そのシステム基本ファイルＥＦＳＭＳ System ２が活動化された機密保持を呈し専門ファイルＤＦ２に関係する、アプリケーション「ＤＦ２」。
−  そのシステム基本ファイルＥＦＳＭＳ System ４が非活動化された機密保持を呈し専門ファイルＤＦ４に関係する、アプリケーション「ＤＦ４」。
システム基本ファイルについて、活動化された機密保持というのは、このシステム基本ファイル内に含まれたアクセス制御則インジケータが、遠隔アクセス制御則の利用を想定していることを意味する。同様に、システム基本ファイルについて、非活動化された機密保持というのは、このシステム基本ファイル内に含まれたアクセス制御則インジケータが、規準アクセス制御則の利用を想定していることを意味する。
ここで、専門ファイルＤＦ３ならびにこのファイルの下に置かれた全てのファイルは、専門ファイルＤＦ３の下にいかなるシステム基本ファイルも存在しないことから、親アプリケーションとして「ＭＦ」を有するということに留意されたい。
各々の基本ファイルは、１つの遠隔アクセス条件値（「jamais」，「prive」又は「partage」）に結びつけられる。
補遺２の表は、メッセージのヘッダー内に特定された専門ファイル（又はマスターファイル）に応じた、図１０の各基本ファイルについての異なるアクセス状況（許可された又は拒絶されたアクセス）を要約している。
指令によりアクセスすべき各々の基本ファイルについて（第１欄）、次の項目を示した。
−  このファイルに結びつけられた遠隔アクセス条件の値（同じく第１欄）。
−  アクセスすべきファイルが関係するＥＦＥＳＭＳシステム（第２欄）。
−  このＥＦＥＳＭＳシステムの機密保護の状態（活動化又は非活動化）（同じく第２欄）。
メッセージのヘッダー内に特定された各々の専門ファイル（又はマスターファイル）について、メッセージの認証が行なわれているシステム基本ファイルの親専門ファイル（又はマスターファイル）を示した。そのシステム基本ファイル（それぞれ１及び４）が各々非活動化された機密保持を呈する専門ファイルＤＦ１及びＤＦ４について、いかなるメッセージ認証も行なわれないことに留意されたい。
この表は明確に以下のことを示している。
−  専門ファイル内にシステム基本ファイルが存在する場合、その遠隔アクセス条件が「ＰＲＩＶＥ」であるこの専門ファイルの基本ファイルには、その他の専門ファイル内の認証済みメッセージの中に含まれた遠隔指令を通してアクセスできない。
−  専門ファイル内にはいかなるシステム基本ファイルも存在しないが、マスターファイル内には存在する場合、その遠隔アクセス条件が「ＰＲＩＶＥ」であるこの専門ファイルの基本ファイルには、マスターファイルと異なりそれ自体システム基本ファイルを含むもう１つの専門ファイル内の認証済みメッセージの中に含まれている遠隔指令を介してアクセスできない。
−  専門ファイルの中にもマスターファイルの中にもいかなるシステム基本ファイルも存在しない場合、この専門ファイルの下でいかなるメッセージも認証できず、この専門ファイルの基本ファイルは、その遠隔アクセス条件の如何に関わらず、遠隔指令を通してアクセスされ得ない（換言すると、いかなるシステム基本ファイルも１つのファイルにアタッチされていない場合、（遠隔指令を通しての）遠隔アクセスは全て禁止される）。
−  あらゆる場合において、その遠隔アクセス条件が「ＰＡＲＴＡＧＥ」である基本ファイルは、認識されたメッセージ内に含まれた遠隔指令を通してアクセスできる。
以下では、簡略化を目的として、次の略号を用いる。
−  「ＬＡ」（英語の「Login Appli」の略）  メッセージのヘッダー内で特定された専門ファイルＤＦに関係するシステム基本ファイル。
−  「ＰＡ」（英語の「Parent Appli」の略）  アクセスすべきファイルに関係するシステム基本ファイル。このとき、機密保持は、より一般的に、以下の７つの規則を用いて安全かつ正式に記述することができる。
−  Ｒ１．  いかなるＰＡファイルも発見されない場合→遠隔アクセスは禁止される。
−  Ｒ２．  ＰＡファイルが１つ発見されたもののアクセスすべきファイルの遠隔アクセス条件は「ＰＲＩＶＥ」である場合
→遠隔アクセスは禁止される。
−  Ｒ３．  ＰＡファイルが発見され、アクセスすべきファイルの遠隔アクセス条件が「ＰＲＩＶＥ」であり、ＰＡファイルがＬＡファイルと同じでない場合
→遠隔アクセスは禁止される。
−  Ｒ４．  ＰＡファイルが発見され、アクセスすべきファイルの遠隔アクセス条件が「ＰＲＩＶＥ」であり、ＰＡファイルがＬＡファイルと同じであり、ＬＡファイル内で機密保持が非活動化されている場合
→遠隔アクセスはファイルの規準アクセス条件により左右される。
−  Ｒ５．  ＰＡファイルが発見され、アクセスすべきファイルの遠隔アクセス条件が「ＰＲＩＶＥ」であり、ＰＡファイルがＬＡファイルと同じであり、ＬＡファイル内で機密保持が活動化されている場合
→遠隔アクセスは許可される。
−  Ｒ６．  ＰＡファイルが発見され、アクセスすべきファイルの遠隔アクセス条件が「ＰＡＲＴＡＧＥ」であり、ＬＡファイル内で機密保持が非活動化されている場合
→遠隔アクセスは、ファイルに対する規準アクセス条件により左右される。
−  Ｒ７．  ＰＡファイルが発見され、アクセスすべきファイルの遠隔アクセス条件が「ＰＡＲＴＡＧＥ」であり、機密保持がＬＡファイル内で活動化されている場合
→遠隔アクセスは許可される。
0003852482.tif 000002
0003852482.tif 000003
【図１】
0003852482.tif 000004
【図２】
0003852482.tif 000005
【図３Ａ】
0003852482.tif 000006
【図３Ｂ】
0003852482.tif 000007
【図４】
0003852482.tif 000008
【図５】
0003852482.tif 000009
【図６】
0003852482.tif 000010
【図７】
0003852482.tif 000011
【図８】
0003852482.tif 000012
【図９】
0003852482.tif 000013
【図１０】
0003852482.tif 000014