DE69522998T2

DE69522998T2 - Gesicherte anwendungskarte zur aufteilung von anwendungsdaten und prozeduren zwischen mehreren mikroprozessoren

Info

Publication number: DE69522998T2
Application number: DE69522998T
Authority: DE
Inventors: O Holtey
Original assignee: Bull CP8 SA
Current assignee: CP8 Technologies SA
Priority date: 1994-01-14
Filing date: 1995-01-13
Publication date: 2002-06-13
Anticipated expiration: 2015-01-14
Also published as: KR960701414A; JPH08506915A; NO953614D0; NO311545B1; FI954299A0; ATE206543T1; JP2755828B2; DK0689702T3; CA2158265C; KR100205740B1; CN1053509C; TW432283B; ES2164144T3; CN1122164A; EP0689702B1; SG49773A1; FI954299A; CA2158265A1; PT689702E; DE69522998D1

Description

HINTERGRUND DER ERFINDUNG

Gebiet der Erfindung

Diese Erfindung bezieht sich auf das Gebiet tragbarer Personal Computer und insbesondere auf Systeme zur Erhaltung der Datensicherheit in einer tragbaren digitalen Informationsumgebung.

Stand der Technik

Die Sicherheit persönlicher Informationen ist immer von Bedeutung. In der Vergangenheit wurde sie mit Unterschriften, Zeugnissen und Photographien sichergestellt. Elektronische Vorrichtungen wie etwa automatische Bankmaschinen haben zu dem Repertoire der Sicherheits-Hilfsmittel codierte Karten und persönliche Identifizierungsnummern (PINs) hinzugefügt. Computer verwenden weiterhin Kennwörter.
Neuerdings wird die "Chipkarte" als Sicherheitshilfsmittel verwendet. Die "Chipkarte" ist ein kleiner Mikrocomputer mit einem beschreibbaren nichtflüchtigen Speicher und einer einfachen Eingabe/Ausgabe-Schnittstelle, der als einzelner Chip hergestellt und in eine Kunststoff-"Kreditkarte" eingebettet ist. Er besitzt äußere Pins, die ermöglichen, daß er an ein besonders beschaffenes Gerät angeschlossen wird. Das im Mikrocomputer der Karte enthaltene Programm wechselwirkt mit diesem Gerät und ermöglicht das Lesen oder Modifizieren seiner nichtflüchtigen Speicherdaten gemäß einem gewünschten Algorithmus, der optional einen Kennwortaustausch einschließen kann. Es wurden spezielle Techniken realisiert, um die Speicherdaten zu schützen und Genehmigungsänderungen entsprechend der Situation zu ermöglichen. Beispielsweise offenbart das US-Patent Nr. 4.382.279 mit dem Titel "Single Chip Microprocessor with On-Chip Modifiable Memory" eine Architektur, die die automatische Programmierung eines auf dem gleichen Chip als Verarbeitungs- und Steuereinheit enthaltenen nichtflüchtigen Speichers ermöglicht. Wie in anderen Systemen schützt der Mikroprozessor nur den Speicher auf dem gleichen Chip.
Die "Chipkarte" wird sowohl zum Erleichtern des Prozesses der Identifizierung als auch als tatsächlicher Ort der wertvollen Informationen verwendet. Wie in den meisten herkömmlichen Situationen wird in dieser Situation die physikalische Anwesenheit eines "Schlüssels" sowie eine gewisse Spezialkenntnis als Teil des Verifizierungs- oder Authentifizierungsprozesses verwendet. In diesen Fällen umfaßt die Identifizierung einen Dialog zwischen der Person, die den Zugriff wünscht, und einem festen Agenten wie etwa einem Sicherheitswächter und einem Geldautomaten.
Der momentane Zustand der Tragbarkeit von Einzelcomputervorrichtungen ermöglicht, daß sowohl der physikalische Schlüssel als auch der Authentifizierungsagent klein, tragbar und somit anfälliger gegenüber Verlust oder Diebstahl sind. Außerdem ermöglichen Computervorrichtungen die Ausführung wiederholter Schritte zur Vermutung oder Ableitung des mit dem Identifiziemngsprozeß verknüpften Spezialwissens oder der mit ihm verknüpften Kennwörter. Dies trifft insbesondere dann zu, wenn der Authentifizierungsagent oder die Authentifizierungsvorrichtung ebenfalls unter Kontrolle des Diebs ist. Was die Situation noch schlimmer macht, ist, daß die Technologie jetzt ermöglicht und dazu ermutigt, gewaltige Mengen sensitiver Informationen über eine Person dort umherzutragen, wo sie einem Unglück unterliegen können.
Außerdem schaffen die heutigen Notebook- und Sub-Notebook-Computer eine Einzelumgebung mit einer signifikanten Rechenleistung, die Bedarf an einer zusätzlichen Datenspeicherfähigkeit erzeugt hat. Diesem Bedarf wurde anfangs mit Kleinfestplattenvorrichtungen entsprochen, die sowohl Programme als auch Daten halten können. Obgleich in diesen Systemen häufig ein Kennwortschutz verwendet wird, schützt er die sensitiven Daten nicht vollständig, da zunächst der Authentifizierungsagent verletzbar ist. Bedeutender ist aber, daß die Plattenvorrichtung, die die Daten enthält, physikalisch entfernt werden kann, so daß in einer Umgebung, die einer Analyse förderlicher ist, auf sie zugegriffen werden kann. In diesem Fall werden die Daten mit einer gewissen Form der Verschlüsselung geschützt. Das Wesen des Plattenzugriffs ermöglicht dies, ohne daß übermäßige Kosten- oder Leistungsbarrieren feststellbar sind. Ein Beispiel eines derartigen Systems ist im US-Patent Nr. 4.985.920 mit dem Titel "Integrated Circuit Card" beschrieben.
Das kürzliche Aufkommen des Flash-Speichers und entnehmbarer "Speicherkarten" ermöglicht bedeutende Verringerungen in bezug auf die Größen- und Leistungsanforderungen der tragbaren Computer. Der Flash-Speicher verbindet die Flexibilität von Speichern mit wahlfreiem Zugriff (RAMs) mit der Permanenz von Platten. Heute ermöglicht die Kombination dieser Technologien das Speichern von bis zu 20 Millionen Datenbytes ohne Strom in einer entnehmbaren Packung von der Größe einer Kreditkarte. Diese Daten können auf einem Host-System entweder so, als ob sie auf einer herkömmlichen Plattenvorrichtung gespeichert wären, oder so, als ob sie in einer Erweiterung des Host-Systemspeichers gespeichert wären, zum Erscheinen gebracht werden.
Diese technologischen Entwicklungen haben weitere Verringerungen in bezug auf die Systemgröße bis zu dem Umfang ermöglicht, daß das System und die Datenbehandlungsprogramme von einer Person getragen werden können. Dies hat die Daten, die Programme und ihr Host-System anfälliger gegenüber Verlust oder Diebstahl gemacht, während gleichzeitig der Schutz der Speicherdaten durch Verschlüsselung erschwert wird, da dies große Kosten- und Leistungsbarrieren darstellt.
Das Dokument EP-A-0 479 655 lehrt sowohl die Speicherung von Code als auch von Daten in einem Mikroprozessor, der zur Verwendung in einer "Anwendungskarte" oder Chipkarte bestimmt ist. Das Dokument FR-A-2 645 303 betrifft das allgemeine Problem der Sicherheit in tragbaren Speicherkarten und offenbart eine Speichereinheit, die verschiedene Blöcke von nichtflüchtigem Speicher sowie Zugriffsunterscheidungsmittel umfaßt. Die europäische Patentanmeldung EP-A-689701 betrifft das gleiche technische Gebiet wie die vorliegende Erfindung.
Das Dokument EP-A-0 596 276, das unter den Artikel 54(3) EPC fällt, offenbart eine Anwendungskarte zur Verwendung mit einem über eine Busschnittstelle angeschlossenen Host-Mikroprozessor, wobei die Anwendungskarte umfaßt:
Schnittstellen-Logikschaltungsmittel, die mit der Busschnittstelle funktional gekoppelt sind, wobei die Schnittstellen-Logikschaltungsmittel so angeschlossen sind, daß sie Anforderungen einschließlich Adressen-, Daten- und Steuerinformationen zum Host-Mikroprozessor senden und von diesem empfangen;
einen internen Bus, der an die Schnittstellen-Logikschaltungsmittel angeschlossen ist, wobei der interne Bus Adressen-, Daten- und Steuerabschnitte besitzt, um die Anforderungen, die Signale von den Schnittstellen-Logikschaltungsmitteln für jede Speicheranforderung enthalten, zu übertragen;
einen Zugriffssteuerungs-Mikroprozessor, der an den internen Bus angeschlossen ist und einen adressierbaren nichtflüchtigen ersten Speicher zum Speichern von Konfigurationsinformationen enthält;
wenigstens einen nichtflüchtigen adressierbaren zweiten Speicher enthält, der an den internen Bus zum Empfangen der Adressen-, Daten- und Steuerinformationen angeschlossen ist, wobei der zweite Speicher in einer Anzahl von Blöcken organisiert ist, um verschiedene Informationen zu speichern, wobei der erste Speicher Konfigurationsinformationen speichert.
Dementsprechend besteht eine Hauptaufgabe der vorliegenden Erfindung in der Schaffung eines tragbaren digitalen Systems mit einem Sicherheitsspeicher-Teilsystem.
Eine weitere Aufgabe der vorliegenden Erfindung besteht in der Schaffung einer Speicherkarte, deren Inhalt geschützt werden kann, wenn sie aus einem tragbaren digitalen System entnommen wird.
Eine besondere Aufgabe der vorliegenden Erfindung besteht in der Schaffung eines Sicherheitsspeicher-Teilsystems, das zum Schutz der vollständigen für den Lauf einer Anwendung benötigten Betriebsumgebung verwendet werden kann.

ZUSAMMENFASSUNG DER ERFINDUNG

Die obenstehenden und weitere Aufgaben der vorliegenden Erfindung werden gelöst durch den Inhalt des Anspruchs 1, der gegenüber dem Dokument EP-A-0 479 655 abgegrenzt ist. Besondere Ausführungsformen sind in den abhängigen Ansprüchen dargelegt.
In der bevorzugten Ausführungsform besitzt der Anwendungsprozessor sowie jeder der anderen funktional mit der Karte verbundenen Mikroprozessoren eine zusätzliche, in dem Steuerabschnitt ihrer Busschnittstelle enthaltene Signalleitung, die bis zu dem Steuerabschnitt des internen Busses durchgeführt ist und zur Angabe eines "Execute"- Zugriffs auf den Speicher im Gegensatz zu einem einfachen Lesezugriff verwendet wird.
Das Auswahlmittel in dem Zugriff-nach-Typ-Speicher wird als Antwort an die Signale, die an die "Execute"-Signalleitung und an eine "Off-Board"-Signalleitung, die angibt, ob sich die Mikroprozessorquelle außerhalb der Anwendungskarte (z. B. Host- Mikroprozessor) oder in der Karte befindet, an den Steuerabschnitt des internen Busses angelegt. Das Auswahlmittel wählt den dem angeforderten Zugriffstyp entsprechenden Bitplatz aus und verwendet den Bitinhalt des angegebenen Zugriffsbitplatzes, um die Übertragung eines Freigabe-Steuersignals an die nichtflüchtigen Speicherchips zu ermöglichen oder zu sperren. In der vorliegenden Ausführungsform definieren die Zustände der "Execute"- und der "Off-Board"-Signalleitung mehrere verschiedene Speicherzugriffstypen. Diese sind: Datenlesezugriff von dem Host-Mikroprozessor, Datenlesezugriff von dem Anwendungskarten-Mikroprozessor, Ausführungszugriff von dem Host-Mikroprozessor und Ausführungszugriff von dem Anwendungskarten- Mikroprozessor.
Der Zugriffssteuerungs-Mikroprozessor schreibt den Inhalt des Zugriffstyp-RAMs in herkömmlicher Weise während des Einschaltens. Wie angegeben wurde, darf der Host- oder Anwendungsprozessor den Inhalt dieses RAMs nur unter der Steuerung des ACPs modifizieren, wodurch die Sicherheit erhalten wird.
In der bevorzugten Ausführungsform ist jeder Host-Mikroprozessor über eine Standardschnittstelle wie etwa eine der Schnittstellen, die den Normen der Personal Computer Memory Card International Association (PCMCIA-Normen) entsprechen, an die Anwendungskarte angeschlossen. Genauer ist die ausgewählte besondere PCMCIA- Schnittstelle eine Schnittstelle mit einer sogenannten "Execute-in-Place"-Funktionalität (XIP-Funktionalität), die mit Kartenprozessoren verwendet werden kann, die Bus- Mastering und Schnittstellen-Kommunikationsfähigkeiten bieten.
Die vorliegende Erfindung erweitert durch die Schaffung der Sicherheit für Programme die Fähigkeiten der sicheren Speicherkarte der verwandten Patentanmeldungen, wodurch es möglich wird, Anwendungs-Software zusammen mit ihrem benötigten Mikroprozessor in einer in sich abgeschlossenen Karte zu verpacken, die mit wohldefinierten Nachrichten oder Protokollen dem/den zusammenarbeitenden Mikroprozessor(en) bzw. Host-Mikroprozessor(en) über den gemeinsam genutzten Standardbus antwortet, während sie ihren internen Betrieb gegenüber diesem/diesen Mikroprozessor(en) abschirmt. Diese Betriebsart entspricht dem Grundprinzip des objektorientierten Software-Entwurfs, dessen Aufgaben darin bestehen, durch eine solche Segmentierung der Funktionen eine überlegene Entwicklungsumgebung zu schaffen.
Somit löst die vorliegende Erfindung die gleichen Aufgaben in bezug auf die Schaffung einer sicheren Betriebsumgebung für Anwendungen.
Wie im Fall der verwandten Patentanmeldung erklärt die vorliegende Erfindung die "Chipkarten"- und "Speicherkarten"-Technologien als Schlüssel, um den Schutz großer Mengen von Daten zu ermöglichen, die durch die Flash-Speicher-Technolgie in den durch die elektronische Miniaturisierung erzeugten "sicherheitsrauhen" Umgebungen möglicht gemacht werden. Außerdem erhält die vorliegende Erfindung die Merkmale der sicheren Karte der relevanten Patentanmeldung in bezug auf die Fähigkeit zum Betrieb in sicheren und unsicheren Betriebsarten, auf die Beseitigung der Notwendigkeit zum Verschlüsseln und Entschlüsseln der Daten und auf den Schutz des Speicherinhalts, wenn die Karte oder ihr Host-Prozessor verloren, gestohlen, ausgeschaltet oder unbeaufsichtigt gelassen werden. Im Fall des Diebstahls ist der Speicherinhalt gegenüber einem Zugriff selbst dann geschützt, wenn die Speicherkarte geöffnet und elektronisch untersucht wird oder wenn die Speicherchips entfernt und in einer anderen Vorrichtung angeordnet werden.
Die obenstehenden Aufgaben und Vorteile der vorliegenden Erfindung werden besser verständlich anhand der folgenden Beschreibung in Verbindung mit der beigefügten Zeichnung.

KURZBESCHREIBUNG DER ZEICHNUNG

Fig. 1 ist ein Blockschaltplan eines Systems, das eine gemäß der vorliegenden Erfindung konstruierte Anwendungskarte enthält.
Fig. 2 zeigt den Flash-Speicher aus Fig. 1 ausführlicher.
Fig. 3 zeigt den gemäß der Lehre der vorliegenden Erfindung konstruierten Zugriffnach-Typ-Speicher aus Fig. 1 ausführlicher.
Fig. 4 ist eine zur Erläuterung des Betriebs der Anwendungskarte der vorliegenden Erfindung verwendete Systemanordnung.

BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORM

Fig. 1 ist ein Blockschaltplan eines sicheren tragbaren Handcomputersystems, das als Personal Computer oder als Transaktionsprozessor verwendbar ist. Das System enthält eine gemäß der vorliegenden Erfindung konstruierte Anwendungskarte 3, die über einen externen Bus 102 an einen Host-Prozessor 5 angeschlossen ist. Der Host-Prozessor 5 kann die Form eines Palm Top-Personal Computers wie etwa des von der Hewlett- Packard Company hergestellten HP 95LX annehmen. Der Host-Prozessor 5 enthält einen Mikroprozessor 5-6, der über einen internen Bus 106 an den Bus 102 angeschlossen ist (siehe Fig. 4), und die Schnittstellen-Logikschaltungen aus Block 5-10. Der Host- Prozessor 5 kann außerdem weitere an den internen Bus 106 angeschlossene Einheiten wie etwa eine Flüssigkristallanzeige (LCD) 5-2, eine Tastatur 5-4 und einen Speicher enthalten. Der Speicher umfaßt einen Ein-Megabyte-Nur-Lese-Speicher (ROM) und einen 512 Kilobytes-Speicher mit wahlfreiem Zugriff (RAM).
Die Verbindung zwischen der Anwendungskarte 3 und dem Host-Mikroprozessor 5 wird über eine Standard-Busschnittstelle hergestellt. In der bevorzugten Ausführungsform entspricht der Bus 102 der Norm der Personal Computer Memory Card International Association (PCMCIA-Norm), die eine "Execute-in-Place-Fähigkeit" (XIP- Fähigkeit) umfaßt. Die Schnittstelle 102 schafft einen Pfad zum Übertragen von Adressen-, Steuer- und Dateninformationen zwischen dem Host-Prozessor 5 und dem Anwendungskartensystem 3 über einen Standard-Schnittstellen-Chip 104 und einen internen Bus 105. Jeder der Busse 102, 105 und 106 enthält einen Datenbus, einen Steuerbus und einen Adressenbus und schafft über sämtliche gleiche Busse zusammenhängende Signalpfade. Beispielsweise umfaßt der Bus 105 den Adressenbus 105a, den Datenbus 105b und den Steuerbus 105c.
Wie in Fig. 1 gezeigt ist, enthält die Anwendungskarte 3 der vorliegenden Erfindung einen Zugriffssteuerungs-Mikroprozessor (ACP) 10, der an den Bus 105 angeschlossen ist, mehrere mit 103a bis 103n bezeichnete CMOS-Flash-Speicherchips, die an den internen Bus 105 angeschlossen sind, einen Anwendungsmikroprozessor A1, der an den Bus 105 angeschlossen ist, und die Zugriffsunterscheidungs-Logikeinheit A3, die wie gezeigt an den Bus 105 und an die Flash-Speicher 103a bis 103n angeschlossen ist. Der ACP 10 ist typischerweise der gleiche Typ eines Verarbeitungselements, wie es in der "Chipkarte" verwendet wird. Die CMOS-Flash-Speicher 103a bis 103n können die Form von durch die Intel Corporation hergestellten Flash-Speicher-Chips annehmen. Beispielsweise können sie die Form der als Intel 28F001BX 1M bezeichneten Intel- Flash-Speicher-Chips annehmen, die acht 128 Kilobyte · 8 Bits-CMOS-Flash-Speicher enthalten. Somit kann eine 4 Megabytes-Flash-Speicherkarte 32 dieser Flash-Speicher enthalten (d. h. n = 32).
Der Zugriffssteuerungs-Mikroprozessor 10 und die Flash-Speicher 103a bis 103n können wie in den obengenannten verwandten Patentanmeldungen offenbart konstruiert sein. Der Vollständigkeit halber werden hier sowohl der ACP 10 als auch der nichtflüchtige Speicher 103i kurz beschrieben.
Wie aus Fig. 1 zu sehen ist, enthält der Steuerabschnitt des internern Busses 105 sowie des externen Busses 102 gemäß der vorliegenden Erfindung mehrere Steuersignalleitungen, die die durch einen der Mikroprozessoren 5-6, 10 oder A1 erzeugten Steuersignale Ausführen, Lesen und Schreiben anlegen. Genauer enthält jeder der Mikroprozessoren Mittel, die über die unterschiedlichen Zustände der verschiedenen Steuerleitungen Ausführungs-, Lese- und Schreib-Operationszyklen auslösen. Beispielsweise können die Mikroprozessoren bezüglich der in ihnen enthaltenen Fähigkeit, durch Ändern der Zustände spezifischer Steuerleitungen Code-Lese-, Speicher-Lese- und Speicher-Schreib-Busoperationszyklen auszulösen, in ähnlicher Weise wie die Mikroprozessoren Intel 486 DX konstruiert sein. Wegen weiterer Informationen in bezug auf diese Buszyklen kann auf die Veröffentlichung mit dem Titel "Microprocessors Vol. I", Bezugszeichen CG 110392, von der Intel Corporation Bezug genommen werden.
Die ausführlicher in Verbindung mit Fig. 3 diskutierte Zugriffsunterscheidungs- Logikeinheit A3 enthält eine Zugriff-nach-Typ-Speichermatrix mit wahlfreiem Zugriff (Zugriff-nach-Typ-RAM-Matrix), mit mehreren Wortplätzen, einem Platz für jeden Block der Speicher-Chips 103a bis 103n, sowie Eingangsauswahlschaltungen, die an die "Execute"- und "Off-Board"-Steuersignalleitungen angeschlossen sind, welche das Wesen und die Quelle des Speicherzugriffs angeben. Gemäß der vorliegenden Erfindung definieren diese Signale vier verschiedene Typen von Speicherzugriffen. Diese sind: Datenlesezugriff vom Host-Mikroprozessor 5-6, Datenlesezugriff vom Anwendungsmikroprozessor A1, Ausführungszugriff vom Host-Mikroprozessor 5-6 und Ausführungszugriff von Anwendungsmikroprozessor A1. Die Zugriffsunterscheidungs- Logikeinheit A3 führt die Aufgabe des Anlegens der Ausgabefreigabesteuerung an die Speicherchips 103a bis 103n aus. Das heißt, sie bestimmt je nach Zustand der ausgewählten vorgespeicherten Zugriffssteuerbits des dem adressierten Block zugeordneten Platzes, welcher Typ des Freigabesteuersignals an die Speicherchips 103a bis 103n angelegt werden soll.

ZUGRIFFSSTEUERUNGS-MIKROPROZESSOR 10

Der Zugriffssteuerungs-Mikroprozessor (ACP) 10 der vorliegenden Ausführungsform enthält einen geschützten nichtflüchtigen Speicher 10-2, einen Speicher mit wahlfreiem Zugriff (RAM) 10-4 und einen Intervallzähler 10-6, die sämtlich in Fig. 1 graphisch dargestellt sind. Der nichtflüchtige Speicher 10&supmin;² ist für eine Anzahl adressierter Plätze vorgesehen, in denen die Authentifizierungsinformationen und -programme gespeichert werden sollen. Genauer werden in einer Gruppe von Speicherplätzen zusätzlich zu einem für die erneute Authentifizierung verwendeten Zeitintervallwert eine oder mehrere persönliche Identifizierungsnummern (PINs), Protolcollsequenzen oder andere Identifizierungsinformationen zum Überprüfen, daß der Anwender Zugriff auf das System hat, sowie Konfigurationsinformationen zum Identifizieren der Blöcke in den Flash-Speichern 103a bis 103n, auf die der Anwender zugreifen kann, gespeichert.
Außerdem werden in einer weiteren Gruppe von Speicherplätzen Informationen für eine gegebene Anwendung gespeichert, die zur Angabe der Art des Zugriffs (d. h. es ist eine Karte oder ein Bild des Inhalts des Zugriffs-RAMs) in den Zugriffsunterscheidungslogik- RAM geladen werden können.
Eine weitere Gruppe von Speicherplätzen speichert die zum Schutz jedes der Flash- Speicher 103a bis 103n verwendeten Schlüsselwerte oder die zum Schutz der einzelnen Blöcke jedes der Flash-Speicher 103a bis 103n verwendeten Codes. Eine weitere Gruppe von Speicherplätzen speichert die Programmbefehlsfolgen zum Ausführen der erforderlichen Authentifizierungsoperationen und zum Löschen des Systems, falls die voreingestellten Bedingungen für einen Fehler erfüllt sind. Für bestimmte Anwendungen können Programmbefehle enthalten sein, die ermöglichen, daß der Anwender das Setzen des Intervallzählers 10-6 steuert, der festsetzt, wann die erneute Authentifizierung des · Anwenders stattfindet.

FLASH-SPEICHER 103a bis 103n

Fig. 3 zeigt in Form eines Blockschaltplans den Flash-Speicher 103a, der völlig gleich wie die verbleibenden Flash-Speicher 103b bis 103n konstruiert ist. Wie gezeigt ist, enthält der Speicher 103a zwei Abschnitte, einen gemäß der vorliegenden Erfindung organisierten Speicherabschnitt 103M und einen Sicherheitslogikabschnitt 103S, der die Sicherheitszugriffs-Steuerschaltungen der vorliegenden Erfindung enthält.

Speicherabschnitt 103M

Wie aus Fig. 3 ersichtlich ist, enthält der Abschnitt 103M eine wie in Fig. 4 gezeigt in sechzehn Blöcken organisierte Speichermatrix 54, ein Befehlsregister 50, die Eingabe/Ausgabe-Logikschaltungen 60, einen Adressenzähler 56, eine Schreibzustandsmaschine 61, ein Löschspannungssystem 62, einen Ausgangsmultiplexer 53, ein Datenregister 55, einen Eingangspuffer 51, einen Ausgangspuffer 52 und ein Statusregister 58, die wie gezeigt angeordnet sind. Die wie oben diskutierten Grundlogikschaltungen des Flash-Speichers 103a nehmen die Form von Schaltungen an, wie sie in Flash-Speichern enthalten sind, die von der Intel Corporation hergestellt werden. Da diese Schaltungen als herkömmlich konstruiert angesehen werden können, werden sie nur in dem erforderlichen Umfang beschrieben. Wegen weiterer Informationen in bezug auf diese Schaltungen kann auf die Veröffentlichung mit dem Titel "Memory Products", Bestellnummer 210830, veröffentlicht von der Intel Corporation, 1992, Bezug genommen werden.
Wie in Fig. 3 gezeigt ist, empfangen die Flash-Speicherschaltungen mehrere Eingangsadressenbitsignale A0-A16, mehrere Datensignale D00-D07 und mehrere Steuersignale, die das Chipfreigabesignal, das Schreibfreigabesignal, das Ausgabefreigabesignal, das Abschaltsignal und das Lösch/Programm-Stromversorgungssignal CE, WE, OE, PWD bzw. VPP umfassen.
Die Signale CE, WE und OE werden von dem Host-Prozessor 5 über den Bus 102 und über den Steuerbus 105b an das Befehlsregister 50 und an den E/A-Logikblock 60 angelegt und zur Steuerung der angegebenen Logikblöcke verteilt. Genauer wird das Ausgabefreigabesignal (OE-Signal) als ein Eingangssignal an den Ausgangspuffer 52 angelegt und gemäß der vorliegenden Erfindung von der Zugriffsunterscheidungslogik A3 aus Fig. 1 geliefert. Das PWD-Signal wird außerdem an das Befehlsregister 50 angelegt, um zu ermöglichen, daß der Flash-Speicher andere Operation wie etwa das Löschen der flüchtigen Speicherelemente des Abschnitts 103S wie gewünscht durchführt, um dadurch eine erneute Authentifizierung des Anwenders zu erzwingen, wenn der normale Betrieb wieder fortgesetzt wird.
Allgemein arbeiten die Grundlogikelemente des Abschnitts 103M in der folgenden Weise. Die Informationen werden über den Datenbus 105a, den Eingangspuffer 51 und das Datenregister 55 an einem adressierten Platz eines der Speicherblöcke in der Speichermatrix 54 gespeichert, der durch die durch den Adressenzähler 56 von dem Adressenbus 105c empfangene Adresse spezifiziert wird. Die Informationen werden von einem spezifizierten adressierten Platz eines Blocks der Speichermatrix 54 gelesen und über den Ausgangsmultiplexer 53, den Ausgangspuffer 52, den Datenbus 105a und den Bus 102 an den Host-Prozessor 5 gesendet. Zum Speichern des Status der Schreibzustandsmaschine, des Fehlerwartestatus, des Löschstatus, des Programmstatus und des VPP-Status wird ein Statusregister 58 verwendet.
Die Schreibzustandsmaschine 61 steuert die Blocklösch- und Programmalgorithmen. Das Programm/Lösch-Spannungssystem 62 wird zum Löschen von Blöcken der Speichermatrix 54 oder zum Programmieren von Bytes jedes Blocks als Funktion des Spannungspegels von VPP verwendet.

Sicherheitsabschnitt 103S

Wie aus Fig. 3 zu sehen ist, enthält der Abschnitt 1035 eine Sicherheitszugriffs- Steuereinheit 30 und einen nichtflüchtigen Zugriffssteuerungsspeicher 43, die wie gezeigt angeschlossen sind. Der Ausgang des Zugriffssteuerungsspeichers 43 wird während jedes Speicherlesezyklus, wenn der Inhalt eines Byte-Platzes irgendeines Blocks der Speichermatrix 54 ausgelesen wird, an einen Freigabeeingang in den Ausgangspuffer 52 angelegt. Das heißt, es kann ein Lesezyklus stattfinden, wobei aber verhindert wird, daß die ausgelesenen Daten in Abwesenheit des richtigen Block- Zugriffssteuerungs-Speichertorsignals über den Ausgangspuffer 52 geleitet werden.
Genauer enthält der Zugriffssteuerungsspeicher 43 sechzehn einzeln adressierbare Bitspeicherelemente, einen an den Eingang jedes Speicherelements angeschlossenen 4- zu-16 Bits-Eingangsadressendecodierer und eine an den Ausgang jedes Speicherelements angeschlossene 1-zu-16-Ausgangsmultiplexerschaltung. Wie gezeigt ist, werden vier Bits desjenigen Adressenzwischenspeicherzählers 56, der der an den Steuerspeicher 43 angelegten Blockadresse entspricht, decodiert und zur Auswahl des richtigen Speicherelement-Ausgangssignals, das als Freigabeeingangssignal an den Ausgangspuffer 52 angelegt wird, verwendet.
Dieser Abschnitt empfängt Befehlssteuersignale von dem Befehlsregister 50 des Abschnitts 103M. Zur Realisierung der Datensicherheit werden zu den von dem Flash- Speicher verwendeten Befehlssätzen Spezialbefehle hinzugefügt, wie sie etwa in den verwandten Patentanmeldungen beschrieben sind. Die Standard-Flash-Speicher-Befehle nehmen die Form der von den Flash-Speichern der Intel Corporation verwendeten Befehle an.

ANWENDUNGSMIKROPROZESSOR UND HOST-VORRICHTUNG

Der Anwendungsmikroprozessor A1 ist in der Anwendungskarte enthalten und zum Ausführen sämtlicher für den Lauf einer gegebenen Anwendung erforderlichen Operationsfunktionen programmiert. In der bevorzugten Ausführungsform kann der Mikroprozessor mit einem Mikroprozessorchip Intel 80286 konstruiert sein. Außerdem enthält der Anwendungsmikroprozessor A1 einen Speicher mit wahlfreiem Zugriff, der zum Ausführen bestimmter Zwischenrechnungen beim Lauf spezifischer Anwendungen verwendet wird.
Außer der Verwendung mit dem Host-Prozessor 5 aus Fig. 1 arbeitet die Anwendungskarte 3 auch in Verbindung mit dem Hand-Verkaufsstellen-Host-Prozessor aus Fig. 4. Dieser Host-Prozessor enthält eine Anzahl von Peripherievorrichtungen wie etwa eine Anzeige, einen Tastenblock, einen Kartendrucker, einen Kreditkartenleser und eine Kommunikationsverbindung, die gemeinsam an einen internen Bus angeschlossen sind. Der Host-Mikroprozessor ist eine einfache Vorrichtung, die die Peripherievorrichtungen betätigt, selbst aber eine minimale Funktionalität besitzt. Der Mikroprozessor kann beispielsweise mit einem Chip Intel 8051 konstruiert sein. Er besitzt seinen eigenen Nur-Lese-Speicher (ROM), der nur den Start- und den Selbsttest- Code enthält. Somit kann die Host-Vorrichtung als eine "Shell" mit der gesamten in der Anwendungskarte 3 enthaltenen signifikanten Funktionalität betrachtet werden.

ZUGRIFFSUNTERSCHEIDUNGSLOGIK

Die wie in Fig. 3 gezeigte Zugriffsunterscheidungs-Logikeinheit A3 enthält einen Speicher mit wahlfreiem Zugriff B1 mit n Gruppen von Plätzen, die der Anzahl der Flash-Speicher entsprechen. Jede Gruppe enthält 16 Mehrbit- oder Wortplätze, einen für jeden in dem Flash-Speicher 103a enthaltenen Block. Die Anzahl der Bitstellen für jedes Wort entspricht der Anzahl der für die laufende Anwendung benötigten verschiedenen Zugriffstypen. Beispielsweise gibt es in der oben diskutierten Anwendungskarte der bevorzugten Ausführungsform vier verschiedene Zugriffstypen. Diese Zugriffe sind mit den Bitstellen 0 bis 3 jedes Worts bezeichnet. Wie angegeben ist, werden die Bitstellen 0 und 1 zum Steuern des Zugriffs des Anwendungsmikroprozessors auf Daten bzw. Programme verwendet. Die Bitstellen 2 und 3 jedes Worts werden zum Steuern des Zugriffs des Host-Mikroprozessors auf Daten bzw. Programme verwendet. Wenn irgendeine Bitstelle auf einen Binärzustand EINS voreingestellt ist, gibt dies an, daß der Zugriff zulässig ist. Wenn eine Bitstelle auf einen Binärzustand NULL voreingestellt ist, gibt dies an, daß der Zugriff unzulässig ist.
Wie gezeigt ist, ist die RAM-Matrix B1 zum Laden durch einen autorisierten Mikroprozessor an den Datenbusabschnitt 105b des internen Busses 105 angeschlossen. Außerdem ist sie an den Adressenabschnitt 105a des internen Busses 105 angeschlossen, der die höchstwertigen Bits der Speicheradresse liefert, die als Adresse für diese Matrix wirken. Die Ausgangssignale eines adressierten Platzes werden an den Dateneingang eines Multiplexers B2 angelegt. Die Auswahleingänge des Multiplexers B2 sind wie gezeigt an die Steuerleitungen "Execute" und "Off Board" des Steuerabschnitts 105c des internen Busses 105 angeschlossen. Das Ausgangssignal des Multiplexers B2 ist als Eingangssignal an das UND-Gatter B3 angelegt, dessen anderer Eingang an die Ausgabefreigabe-Steuerleitung des Steuerabschnitts 105c des internen Busses 105 angeschlossen ist. Der Ausgang des UND-Gatters B3 ist an die Ausgabefreigabe-Steuerleitung angeschlossen, die als Eingang an jeden der Speicherchips 103a bis 103n angelegt ist.

BESCHREIBUNG DES BETRIEBS

In bezug auf eine besondere in der Systemkonfiguration von Fig. 4 gezeigte Anwendung wird nun der Betrieb der Anwendungskarte der vorliegenden Erfindung beschrieben. Es gibt eine Anzahl von Anwendungskarten, die jeweils zur Verwendung in einer Restaurantumgebung programmiert sind. In dem Restaurant wird der Mainframe- Personal Computer für die gesamte Restaurantverarbeitung verwendet, wobei dieser als der Host-Personal Computer 5 aus Fig. 1 konstruiert sein kann. Außer den sämtlichen normalen Einrichtungen enthält der Host-Personal Computer 5 eine Vorrichtung zur Aufnahme von PCMCIA-Karten, die einen Disketten-Steckplatz belegt.
Jede Anwendungskarte kann in diese Schnittstelle sowie in irgendeine der Anzahl der Hand-Vorrichtungen wie etwa in die Vorrichtung aus Fig. 4 gesteckt werden. Wie gezeigt ist, enthält jede Handvorrichtung außer dem anderen benötigten Zubehör ein Tastenfeld, eine kleine Anzeige und einen Kreditkartenleser. In dem Restaurant kann es je nach Anzahl des Bedienungspersonals (z. B. Kellner, Barmixer usw.) bis zu 50 solche Vorrichtungen geben.
Jeden Morgen, bevor das Restaurant für das Geschäft öffnet, prüft der Datenverarbeitungsmanager für das Restaurant die Gruppe der Handvorrichtungen, eine für jeden Kellner, die in einem Regal aufbewahrt werden, wobei ihre Batterien aufgeladen werden und wobei diese ohne Karten sind. An einem anderen Platz bewahrt der Manager einen Stapel Anwendungskarten auf, die in der vergangenen Nacht verwendet wurden. Das heißt, die normale Prozedur besteht darin, daß ein Kellner, wenn er sich abmeldet, die Karte aus der Handvorrichtung entnimmt, die Vorrichtung in dem Aufladeregal anordnet und die Karte in einen Steckplatz an einer sicheren Stelle in einer Tür anordnet, auf die nur der Manager zugreifen kann.
Jede Anwendungskarte hat die Fähigkeit zum Erkennen zweier Hosts, d. h., der Zugriffssteuerungs-Mikroprozessor 10 jeder Karte wurde zum Erkennen zweier PINs programmiert. Eine ist die PIN des Computersystems, die nur der Manager und der Mainframe-Personal Computer 5 kennt. Die andere ist die durch jeden Kellner zu Beginn jeder Schicht zugewiesene PIN, die aus einer von dem Manager gelieferten Liste generischer PINs ausgewählt wird.
Der Manager nimmt jede Anwendungskarte und setzt sie in den PCMCIA-Steckplatz des Mainframe-Personal Computers 5 ein, der die PIN der höheren Ebene übergibt. Die wichtigsten in jeder Anwendungskarte gespeicherten Informationen sind ein Datensatz der Transaktionen des Vortags für einen bestimmten Kellner für eine gegebene Schicht. Dies schafft einen Revisionsweg, der die Notwendigkeit zur Verarbeitung großer Mengen von Papierquittungen beseitigt.
Wie in Fig. 4 und in der folgenden Tabelle angegeben ist, wird in der Zugriffsunterscheidungslogik A3 eine Unterscheidung in bezug auf die Zugriffstypen und die Datentypen getroffen. RAM-CODIERUNGSTABELLE
Dabei ist AD = Anwendungsdaten, AP = Anwendungsprogramm, HD = Host-Daten und HP = Host-Programm.
Aus den oben diskutierten Gründen sind die täglichen Transaktionsgeschichtsdaten wie oben angegeben als Daten gezeigt, auf die nur der Anwendungsmikroprozessor A1 in der Handvorrichtung, nicht aber die Handvorrichtung selbst, zugreifen kann. Zum Speichern dieser Informationen wurde ein zwei Blöcken entsprechender Speicherbereich 103a zugeordnet. Die ersten Bits jedes der mit den zugeordneten Blöcken verknüpften Wörter W14 und W15 werden zur Angabe des Lesezugriff nur durch den Anwendungsmikroprozessor A1 auf binäre EINSEN gesetzt.
In dieser Situation werden die Transaktionsgeschichtsdaten später unter der Steuerung des ACP10 für den Mainframe-Personal Computer 5 zugreifbar gemacht. Während die Handvorrichtung in den Händen des Kellners ist, wird eine abgeschlossene Transaktion in der Anwendungskarte gespeichert, wobei auf sie nur der Anwendungsmikroprozessor A1 auf der Karte zugreifen kann. Dies verhindert, daß irgend jemand diese Daten manipuliert.
Wenn eine Anwendungskarte in dem Mainframe-Personal Computer 5 angeordnet wird, übergibt sie jetzt eine PIN oder ein Kennwort, das von dem ACP 10 verwendet wird, um zu prüfen, daß der Host-Computer 5 die richtigen Berechtigungen besitzt. Nur wenn die richtigen Berechtigungen übergeben wurden, modifiziert der ACP 10 den Inhalt der RAM-Matrix, um den richtigen Zugriff zu gewähren (d. h. setzt die dritten Bits jedes der Wörter W14 und W15 auf binäre EINSEN). Wenn die flüchtige RAM-Matrix der Zugriffsunterscheidungslogik aufgeladen wird, darf der Mainframe-Computer 5 nun diese Daten lesen, die in der Handvorrichtung für ihn nicht verfügbar waren. Der flüchtige RAM-Speicher der Zugriffsunterscheidungslogik A3 wird durch den ACP 10 in der Weise eingestellt, daß der Mainframe-Computer 5 freien Zugriff auf sämtliche Informationen der Anwendungskarte hat. Um die Sicherheit zu aufrechtzuerhalten, erfolgt diese Einstellung unter der Steuerung des ACPs.
Das erste, was der Manager tut, ist das Erfassen sämtlicher Transaktionen der vorausgegangenen Nacht und das Speichern dieser Transaktionen in dem Mainframe- Computer 5 zur späteren geeigneten Verarbeitung (z. B. Zahlungsberechnungen usw). Wie zuvor angegeben wurde, kann der Mainframe-Computer 5, wenn er die richtige PIN liefert, bewirken, daß der ACP 10 den RAM B3 der Zugriffsunterscheidungslogik A3 und die Verriegelungen in den Flash-Speichern 103a bis 103n einstellt, um zu ermöglichen, daß der Mainframe-Computer 5 sämtliche in diesen Speichern gespeicherten Daten liest. Nachdem die Daten gespeichert wurden, werden diese Speicherblöcke geleert/gelöscht und zum späteren Gebrauch neu beschrieben.
Wie in Fig. 4 und in der Tabelle angegeben ist, wurde ein weiterer Speicherbereich 103a zum Halten der richtigen Menüs und Preise/Sonderangebote zugeordnet, der jeden Morgen durch den Manager neu beschrieben wird. Dieser Bereich entspricht einem einzelnen Block, dem das Wort W5 zugeordnet ist. Wie in der Tabelle angegeben ist, können auf diese Informationen sowohl der Anwendungsmikroprozessor A1 als auch der Hand-Host-Mikroprozessor aus Fig. 4 zugreifen. Somit werden sowohl das erste Bit als auch das dritte Bit auf binäre EINSEN gesetzt, um diesen Zugriff zu ermöglichen.
Das Datenstück, das nicht geändert wird, ist der Programmcode für den Anwendungsmikroprozessor selbst. Ein wichtiger Teil dieses Codes sind die Algorithmen und Verschlüsselungen, die ermöglichen, Nachrichten über die Kommunikationsverbindung aus Fig. 4 über das Kreditnetz zu senden, wobei diese die Informationen enthalten, die beschreiben, wie die Handvorrichtung auf das Netz zugreifen soll. Das heißt, er enthält die Informationen, die den Anforderer richtig identifizieren, und die verwendet werden, um festzustellen, daß die Transaktion eine berechtigte Transaktion ist, um eine Zählung zu Lasten eines gegebenen Kontos vorzunehmen. Dies sind hochsichere Informationen, die in der Anwendungskarte gehalten werden. Falls es irgendeine Änderung an diesen Informationen wie etwa eine Kennwortänderung oder eine Aktualisierung in bezug auf die Identifizierung des Restaurants als Quelle im Netz gibt, werden diese Informationen ebenfalls durch den Manager in die Karte geschrieben und daraufhin geschützt, so daß die Angestellten des Restaurants nicht auf sie zugreifen können. Wie in der Tabelle gezeigt ist, wurde ein 8 Blöcken entsprechender Speicherbereich 103a zum Speichern des Programmcodes für den Anwendungsmikroprozessor A1 zugeordnet. Den Blöcken sind die Wörter W6 bis W13 zugeordnet, deren Bitstelle 2 zur Angabe eines "Execute"-Zugriff durch den Anwendungsmikroprozessor A1 jeweils auf einen binären Zustand EINS gesetzt wird.
Eine weiterer Typ von im Speicher 103a der Anwendungskarte gespeicherten Informationen sind die Treiber für die Vorrichtungen in der Handvorrichtung. Der 5 Blöcken entsprechende Speicherbereich wurde zur Speicherung dieser Informationen zugeordnet. Den Blöcken sind die Wörter WO bis W4 zugeordnet, deren Bitstelle 4 zur Angabe lediglich des Zugriffs durch den Hand-Host aus Fig. 4 jeweils auf einen Binärzustand EINS gesetzt wird.
Falls das Kreditkarten-Leserprogramm einen Programmfehler enthält, wird die Aktualisierung zu diesem Zeitpunkt durch den Manager in den Flash-Speicher geschrieben. Dadurch, daß sich der Mainframe-Host-Prozessor 5 selbst identifizieren muß, wobei verschiedene Hosts verschiedene Berechtigungsebenen haben können, kann die gesamte Anwendungskarte, deren Speicher gelöscht wurde, aktualisiert werden, so daß sie für den nächsten Tag gebrauchsfertig ist, wobei sie für bestimmte Leute in dem Bedienungspersonal personalisiert werden kann oder in sämtliche Karten die gleichen Informationen geschrieben werden können.
Die programmierten Anwendungskarten werden in einem Stapel angeordnet, wobei eine Einzelperson, die hereinkommt, um mit der Arbeit zu beginnen, eine Handvorrichtung aus dem Aufladeregal entnimmt und, falls sie in dieser Weise (z. B. Barmixer - eine Art, Kellner eine andere Art) spezifiziert wurden, eine personalisierte Karte auswählt, die in die Handvorrichtung eingeführt wird. Während des ersten Anmeldens setzt die Einzelperson eine generische PIN ein, die fordert, daß sich die Einzelperson selbst als der Anwender identifiziert, was ermöglicht, daß die Person für eine zusätzliche Sicherheit eine PIN zur Verwendung für die Schicht dieser Person auswählt.
Falls die Karte oder Vorrichtung verworfen und später wiedergewonnen wurde, kann der Mainframe-Computer 5 die Daten durch die Verwendung seiner Überschreibe-PIN erhalten. Natürlich sind sämtliche Anwendungskartendaten, wie in den angeführten verwandten Patentanmeldungen beschrieben wurde, durch die Sicherheitseinheit der Anwendungskarte gegenüber einem mißbräuchlichen Zugriff geschützt. Das heißt, ein Zugriff kann nur durch die Verwendung einer Master-PIN erhalten werden, die nur dem Mainframe-Computer 5 bekannt ist.
Ein Aspekt dieser Sicherheit besteht darin, daß sie ermöglicht, daß das Restaurant ohne Papierquittungen arbeitet. Somit besteht keine Notwendigkeit, Durchschläge aufzubewahren, wodurch der Schutz der Kreditkartendaten des Verbrauchers sichergestellt ist. Der Drucker in der Handvorrichtung wird verwendet, um für jeden Verbraucher, der eine solche Quittung anfordert, eine einzelne Kopie einer Quittung zu drucken. Wenn es auf der Handvorrichtung eine Stiftfläche gibt, kann diese auch die Unterschrift des Verbrauchers erfassen.
Nach dem Ausführen der obengenannten Operationen sind die vier Speicherbereiche gemäß der Tabelle richtig eingestellt, wobei die Handvorrichtung nun in den Händen des Bedienungspersonals ist. Wie erwähnt wurde, ist der Datenbereich für den Anwendungsmikroprozessor A1 zum Speichern abgeschlossener Transaktionen für den Tag reserviert, die sich sowohl aus Sicherheitsgründen als auch, damit sie richtig aufbewahrt (z. B. nicht zufällig überschrieben werden) werden, in einem geschützten Bereich befinden (d. h. durch die Codierung der Wörter W14 und W15 gesteuert werden). Dies ist ein Vorteil des Flash-Speichers, daß er die Notwendigkeit für Spezial-Batteriesicherungsschaltungen zur Aufbewahrung dieser Informationen beseitigt.
Während des Betriebs des Restaurants gibt das Dienstpersonal abgeschlossene Transaktionen in den geeigneten Speicherbereich 103a ein. Das Schreiben findet in herkömmlicher Weise gemäß der Steuerung geeigneter Schreibschutzalgorithmen statt. Das heißt, der Anwendungsprogrammcode bewirkt, daß der Anwendungsprozessor A1 in die richtigen Speicherbereiche schreibt. Der Hand-Host-Prozessor aus Fig. 4 enthält keine Software, die die Fähigkeit zum Schreiben in den Speicher 103a besitzt. Da das Verfahren zum Schreiben keinen Bestandteil der vorliegenden Erfindung bildet, wird es hier nicht ausführlich beschrieben.
Wie angegeben wurde, gibt es für den Hand-Host-Prozessor einen weiteren als der Datenbereich angegebenen Bereich, der frei verfügbar gemacht wird, da er Menüinformationen sowie Bestellungen, die "im Gange sind", liefert. In Fig. 4 ist ein RAM als Teil der Anwendungskarte gezeigt. Dort gibt es eine normale Abwägung, bei der zur Erleichterung der Realisierung Zwischen- oder Notizberechnungen in dem RAM erfolgen, da das Neuschreiben von Bereichen des Flash-Speichers 103a schwieriger ist. Andererseits kann des wünschenswerter sein, Bestellungen in den Speicher 103a zu schreiben, um sie gegen einen Stromausfall zu schützen. In dieser Situation kann der Anwendungsprozessor A1 einen Datensatz zur Angabe, wenn eine Bestellung geändert wurde, kennzeichnen. Dies ist eine Frage der Entwurfswahl.
Unabhängig von dem Obenstehenden gibt es eine Art von Informationsbereichen in dem RAM, die sowohl für den Anwendungsmikroprozessor A1 als auch für den Hand- Host-Prozessor zugreifbar gemacht werden müssen. Die Pufferbereiche, die zum Auffrischen des Bildschirms in dem Hand-Host-Prozessor verwendet werden, müssen für beide Vorrichtungen zugreifbar gemacht werden. Hier werden dabei keine wirklich sicheren Informationen darin gespeichert. Jede Transaktion fließt über den RAM, wobei es aber keinen Grund gibt, dort Informationen wie Kreditkartennummern zu speichern. Sie werden nur in den sicheren Bereich des RAMs geschrieben.
Wie oben diskutiert wurde, gibt es zwei Abschnitte der Programme im Speicher 103a. Ein Abschnitt ist der Programmbereich, der gegenüber dem Anwendungsprozessor A1 privat ist. Dies ist im Grunde das gesamte Anwendungsprogramm, das teilweise geschützt ist, da es die Verschlüsselungsalgorithmen enthält, und teilweise schützt ist, da es ein proprietäres Produkt des Vorrichtungsherstellers (d. h. BIOS) wie etwa einzigartige Programme, mit denen die Vorrichtung läuft, darstellt. Falls die Anwendungskarte gestohlen wird und jemand das Programm für Rückentwicklungszwecke oder zum Brechen einiger seiner Sicherheitsmerkmale zu kopieren versucht, kann er diese Daten, selbst wenn er die Anwendungskarte in die richtige Host-Vorrichtung steckt, immer noch nicht lesen, da er immer noch die richtigen PINs einschließlich der sehr grundlegenden, die zuerst eingegeben werden muß, wissen muß. Diese Sicherheit wird durch die Sicherheitseinheit geschaffen, die Gegenstand der verwandten Patentanmeldungen ist.
Wie angegeben wurde, hat der Hand-Host-Prozessor aus Robustheitsgründen keinen Zugriff auf derartige Informationen. Falls der Code Programmfehler oder Fehler enthält, die in den falschen Bereich verzweigen, werden sie abgefangen und erhalten keinen Zugriff auf diesen Code.
Der Programmcode des Hand-Host-Prozessors ist aus Robustheitsgründen ähnlich gegenüber dem Zugriff durch den Anwendungsmikroprozessor A1 geschützt. Außerdem ermöglicht er, daß die Handvorrichtung einfacher programmiert wird, und verringert die Menge des benötigten Speichers. Somit führt die vorliegende Erfindung zu einer wirtschaftlicheren Systemrealisierung, da sie ermöglicht, daß zwei Mikroprozessoren den Speicher gemeinsam nutzen.
Während normaler Operationen erzeugen der Hand-Host-Prozessor und der Anwendungsprozessor A1 aus Fig. 4 Speicheradressen, die für den Zugriff auf den Flash- Speicher 103a benötigt werden. Im Fall jedes Zugriffs werden die höchstwertigen Bits der Speicheradresse über den Adressenbus 105a an die Adresseneingänge des RAMs B1 aus Fig. 3 angelegt. Dies bewirkt das Auslesen des Mehrbitinhalts des bezeichneten Wortplatzes. Die Zustände der "Execute"- und der "Off-Board"-Leitung, die als Eingangsleitungen an den Multiplexer B2 angelegt sind, wählen den richtigen Bitplatz aus. Der Zustand dieses Bits steuert seinerseits das Ausgangs-UND-Gatter B3, um die Übertragung des an die Ausgabefreigabe-Steuerleitung angelegten Signals an den Speicherabschnitt 103m aus Fig. 2 zu ermöglichen oder nicht zuzulassen. Das heißt, dadurch, daß verhindert wird, daß der Ausgangspuffer 52 die aus dem Speicher 54 gelesenen Informationen an den Datenabschnitt 105b des internen Busses 105 anlegt, wird der Lesezugriff zugelassen oder nicht zugelassen.
Es ist klar, daß die Leistungsanforderungen des Systems und die Zugriffszeiten der Zugriff-nach-Typ-RAM-Matrix bei der Auswahl der besonderen zu verwendenden Speichersteuerbits wichtig sein können. Ferner kann, falls entweder die verwendeten Host-Mikroprozessoren oder der verwendete externe Bus die "Execute Access"- Steuerfunktion nicht unterstützen, diese Zugriffe bei einem gewissen Verlust an Sicherheit als Lesezugriffe behandelt werden.
Aus dem Obenstehenden ist zu sehen, wie die gemäß den Prinzipien der vorliegenden Erfindung konstruierte Anwendungskarte eine sichere Umgebung sowohl für Daten als auch für Programme schafft. Sie ermöglicht die gemeinsame Nutzung dieser in einem nichtflüchtigen Speicher gespeicherten Informationen unter mehreren Microprozessoren. Außerdem ermöglicht sie, daß die Anwendungssoftware bei ihrem eigenen Anwendungsprozessor untergebracht wird, was die Herstellung und den Gebrauch dieser Systeme wirtschaftlicher macht.
Es ist klar, daß an der bevorzugten Ausführungsform der vorliegenden Erfindung viele Änderungen vorgenommen werden können, ohne von ihrer Lehre abzuweichen. Beispielsweise kann die vorliegende Erfindung mit einer Vielzahl von Anwendungen verwendet werden. Beispielsweise zeigt die untengegebene Tabelle weitere Beispiele des Speichers 103 für Beispielanwendungen.

Claims

1. Anwendungskarte (3) zur Verwendung zusammen mit einem Host- Mikroprozessor (5), wobei die Anwendungskarte mit dem Host über eine Busschnittstelle (102) gekoppelt ist, wobei die Anwendungskarte umfaßt:

Schnittstellen-Logikschaltungsmittel (104), die mit der Busschnittstelle funktional gekoppelt sind, wobei die Schnittstellen-Logikschaltungsmittel so angeschlossen sind, daß sie Anforderungen einschließlich Adressen-, Daten- und Steuerinformationen zum Host-Mikroprozessor (5) senden und von diesem empfangen;

einen internen Bus (105), der an die Schnittstellen-Logikschaltungsmittel (104) angeschlossen ist, wobei der interne Bus Adressen-, Daten- und Steuerabschnitte besitzt, um die Anforderungen, die Signale von den Schnittstellen-Logikschaltungsmitteln (104) für jede Speicheranforderung enthalten, zu übertragen;

einen Zugriffssteuerungs-Mikroprozessor (10), der an den internen Bus angeschlossen ist;

wenigstens einen nichtflüchtigen, adressierbaren ersten Speicher (103a-n), der an den internen Bus angeschlossen ist, um die Adressen-, Daten- und Steuerinformationen zu empfangen und Daten- oder Programminformationen zu speichern,

dadurch gekennzeichnet, daß:

der Zugriffssteuerungs-Mikroprozessor (10) einen adressierbaren, nichtflüchtigen zweiten Speicher (10-2) enthält, um Konfigurationsinformationen einschließlich der nichtflüchtigen Zugriffsinformationen, die für die Ausführung einer spezifischen Anwendung codiert sind, zu speichern;

die Karte einen Anwendungsmikroprozessor (A1) enthält, der so programmiert ist, daß er Operationen zum Abarbeiten der spezifischen Anwendung ausführt, an die Adressen-, Daten- und Steuerabschnitte des internen Busses (105) angeschlossen ist und Signale erzeugt, die den Typ des ausgeführten Speicherzugriffs spezifizieren;

wobei die Signale der Anforderung von den Schnittstellen- Logikschaltungsmitteln spezifizieren, ob der Host-Mikroprozessor (SA) oder der Anwendungsmikroprozessor (A1) die Speicheranforderung erzeugt, und welcher Typ von Speicherzugriff erfolgt;

der erste Speicher (103a-n) in einer Anzahl von Blöcken organisiert ist, um verschiedene Informationen zu speichern, die zum Ausführen der Anwendung erforderlich sind, wobei der zweite Speicher (10-2) Konfigurationsinformationen zum Identifizieren der Blöcke speichert;

die Karte eine Zugriffsunterscheidungs-Logikeinheit (A3) umfaßt, die mit den Adressen-, Daten- und Steuerabschnitten des internen Busses sowie mit dem wenigstens einen ersten Speicher (103a-n) gekoppelt ist und einen dritten Speicher mit mehreren Speicherplätzen enthält, deren Anzahl der Anzahl der Blöcke entspricht, um die nichtflüchtigen Zugriffsinformationen vom zweiten Speicher (10-2) zu empfangen, wobei jeder Speicherplatz eine Anzahl von Zugriffssteuerungs-Bitplätzen für die Angabe der Typen von durch den Host- oder den Anwendungsmikroprozessor (A1, 5) bei der Ausführung der Anwendung auszuführenden Speicherzugriffen entweder auf die in jedem Block gespeicherten Daten- oder Programminformationen besitzt;

die Zugriffsunterscheidungs-Logikeinheit (A3) Mittel besitzt, die als Antwort auf eine Speicheranforderung die Zugriffsinformationen eines der durch die Adresseninformationen der Speicheranforderung bezeichneten Blöcke auslesen, um den Zugriff auf in dem Block gespeicherte Informationen durch den die Speicheranforderung erzeugenden Mikroprozessor nur wie durch die Zugriffsinformationen spezifiziert freizugeben.

2. Anwendungskarte nach Anspruch 1, wobei die Zugriffsunterscheidungs- Logikeinheit umfaßt:

eine Speichermatrix (RAM-Matrix) (B1) mit wahlfreiem Zugriff, die Adressen-, Daten- und Steuereingänge, die mit den Adressen-, Daten- bzw. Steuerabschnitten des internen Busses (105) verbunden sind, sowie einen Ausgang besitzt, der mit dem wenigstens einen ersten Speicher (103a-n) verbunden ist, wobei die RAM-Matrix mehrere Speicherplätze besitzt, deren Anzahl der Anzahl der Blöcke zum Speichern der nichtflüchtigen Zugriffsinformationen entspricht, wobei jeder Speicherplatz eine Anzahl Zugriffssteuerungs-Bitplätze (ACB&sub0;, ACB&sub1;, ACB&sub2;, ACB&sub3;) besitzt, die auf vorgegebene Zustände gesetzt sind, die durch die Zugriffsinformationen für die Typen von Speicherzugriffen durch den Anwendungs- und den Host-Mikroprozessoren (A1, 5) zum Ausführen der spezifischen Anwendung bezeichnet werden, wobei die RAM-Matrix als Antwort auf jede Speicheranforderung Zugriffsinformationen aus einem der mehreren Speicherplätze, die durch die Adresseninformationen bezeichnet sind, ausliest und an den Ausgang anlegt, wobei ein Steuersignal, das einen der vorgegebenen Zustände von einem der Zugriffssteuerungs-Bitplätze repräsentiert, die durch die Signale von der Schnittstellen-Logikschaltungseinrichtung (104) spezifiziert werden, entweder den Anwendungs- oder den Host-Mikroprozessor als denjenigen bezeichnet, der den Speicherzugriff anfordert, und den Typ des Speicherzugriffs angibt, um den Zugriff nur wie durch den einen der vorgegebenen Zustände spezifiziert freizugeben.

3. Anwendungskarte nach Anspruch 1, bei der der Zugriffssteuerungs- Mikroprozessor (10) und die Zugriffsunterscheidungs-Logikeinheit (A3) auf einem einzigen Chip enthalten sind.

4. Anwendungskarte nach Anspruch 2, bei der die Zugriffsunterscheidungs- Logikeinheit ferner umfaßt:

Multiplexer-Wählschaltungsmittel (B2), die Daten- und Steuereingänge sowie Ausgangsschaltungsmittel besitzen, wobei die Dateneingänge mit der RAM-Matrix (B1) verbunden sind, um die Zugriffsinformationen zu empfangen, die Steuereingänge mit dem Steuerabschnitt verbunden sind, um die Signale von den Schnittstellen- Logikschaltungsmitteln (104) zu empfangen, und die Ausgangsschaltungsmittel mit dem wenigstens einen ersten Speicher (103a-n) verbunden sind, wobei die Multiplexer- Wählschaltungsmittel als Antwort auf die an die Steuereingänge angelegten Signale einen der Zugriffssteuerungs-Bitplätze wählen, um das Steuersignal an die Ausgangsschaltungsmittel anzulegen, um den Zugriff freizugeben.

5. Anwendungskarte nach Anspruch 4, bei der die Ausgangsschaltungsmittel eine Logikschaltung (B3) mit wenigstens einem ersten Eingang und einem zweiten Eingang sowie einem Ausgang umfassen, wobei der erste Eingang so angeschlossen ist, daß er das Steuersignal empfängt, der zweite Eingang an eine vorgegebene Busleitung des Steuerabschnitts angeschlossen ist und der Ausgang an den wenigstens einen ersten Speicher (103a-n) angeschlossen ist und wobei die Signale ein Off-Board-Signal für die Angabe, welcher Mikroprozessor die Speicheranforderung erzeugt hat, sowie ein Buszugriff-Steuersignal für die Spezifizierung des Typs des Speicherzugriffs enthalten.

6. Anwendungskarte nach Anspruch 5, bei der das Buszugriffs-Steuersignal ein Ausführungssteuersignal ist, das codiert ist, um zu spezifizieren, daß der den Zugriff anfordernde Mikroprozessor nur Informationen in dem Block, auf den zugegriffen wird, ausführen darf.

7. Anwendungskarte nach Anspruch 5, bei der das Buszugriffs-Steuersignal ein Lesesteuersignal ist, das so codiert ist, daß spezifziert wird, daß der den Zugriff anfordernde Mikroprozessor Informationen in dem Block, auf den zugegriffen wird, lesen und ausführen darf.

8. Anwendungskarte nach Anspruch 1, wobei der Zugriffssteuerungs- Mikroprozessor (10) Mittel enthält, die als Antwort auf ein Stromversorgungs- Einschaltsignal in die Zugriffsunterscheidungs-Logikeinheit (A3) die nichtflüchtigen Zugriffsinformationen laden, die bei der Ausführung der spezifischen Anwendung verwendet werden sollen.

9. Anwendungskarte nach Anspruch 1, wobei der Zugriffssteuerungs- Mikroprozessor Mittel besitzt, die die nichtflüchtigen Zugriffsinformationen als Antwort auf jegliche vom Host-Mikroprozessor (5) kommende Anforderung zum Ändern der nichtflüchtigen Zugriffsinformationen, die in der Zugriffsunterscheidungs-Logikeinheit (A3) gespeichert sind, erst nur nach erfolgreicher Ausführung einer Authentifizierungsoperation durch den Host-Mikroprozessor während der Ausführung der spezifischen Anwendung modifizieren.