CN1329807C

CN1329807C - 存储装置

Info

Publication number: CN1329807C
Application number: CNB2004100312090A
Authority: CN
Inventors: 高木佳彦; 菊地隆文
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 2003-02-20
Filing date: 2004-02-20
Publication date: 2007-08-01
Anticipated expiration: 2024-02-20
Also published as: JP2004252707A; CN1523483A; EP1450235B1; US20040165413A1; JP4338989B2; US7797553B2; EP1450235A2; EP1450235A3; DE602004032076D1

Abstract

本发明提供了一种存储装置，该装置能够安全地存储在其中应用的AP所需要的大量数据。在本发明中，存储装置包括一个不能被一个电子设备直接访问的第一防篡改存储器41和一个不能被所述电子设备直接访问的第二非防篡改存储器。该第二存储器用于存储存储在所述第一存储器41中的数据。在这个存储装置中，由于可以将应用许多AP所需要的数据安全地存储在该装置中，因此任何满足许可条件的终端设备均可以使用存储在其中的数据。

Description

存储装置

技术领域

本发明涉及一种诸如半导体存储卡这样的存储装置，具体来说，涉及一种能够有效地利用一个具有保密能力的区域的存储装置。

背景技术

近年来，已经广泛地应用于电子商务或其它类似应用场合中的IC卡都具有一个被置于防篡改模块中的存储区域。因此，这种IC卡能够安全地存储数据并且具有防复制和伪造的可靠能力。不过，由于这种IC卡的存储区只有几十k字节的很小的存储量，因此无法存储大量的数据。

在后面将要描述的专利文献1中已经公开了这样一种技术：将存储在IC卡中的应用程序(下文中称其为“AP”)暂时存储在一个终端设备中并对该IC卡进行有效利用。这种IC卡生成并管理一个加密密钥对所要存储的AP进行编码，然后再将该经编码的AP存储在终端设备中。为了恢复已存储的AP，使用所管理的密钥对从终端设备中接收到的AP解码以将该AP重新存储到IC卡的存储区中。例如，在专利文件1(JP-A-2000-11101)中所公开的技术方案。

不过，当存储在IC卡中的AP存储在一个终端设备A中时，如果该AP除了终端设备A之外还将由一个终端设备B使用的话，该终端设备A必须被连接到所述IC卡上。所存储的AP必须被重新存储到所述IC卡的存储区中去。此后，需要将IC卡与终端设备B连接。否则，就需要通过网络等途径将存储在终端设备A中的AP转移到终端设备B中去。然后，需要将IC卡与终端设备B相连接。就是说，当AP存储在IC卡之外时，如果除了存储有该AP的终端设备A之外，还有一个终端设备B要使用该AP的话，就需要进行一套极其麻烦的处理。

发明内容

本发明解决了上述的问题并且目的是提供一种能够通过有效地利用一个具有保密能力的区域来安全地存储应用AP所需的大量数据的存储装置。

根据本发明的存储装置包括一个不能被一个电子设备直接访问的第一防篡改存储器41和一个不能被所述电子设备直接访问的第二非防篡改存储器。存储在所述第一存储器中的数据被存储到所述第二存储器中。

在所述存储装置中，由于应用许多AP所需的大量数据可以安全地存储在该装置中，因此任何满足许可条件的终端均可以使用存储在该装置中的数据。

附图简述

图1是表示根据本发明的第一实施例的安全存储卡的内部非易失性存储器的结构的示意图；

图2是根据本发明的第一实施例的安全存储卡的示意图；

图3是表示根据本发明的第一实施例的安全存储卡的结构的框图；

图4是表示根据本发明的第一实施例的安全存储卡的AP管理表的结构的示意图；

图5是表示根据本发明的第一实施例的安全存储卡的已存储AP管理表的结构的示意图；

图6是表示根据本发明的第一实施例的安全存储卡的安全区的结构的示意图；

图7是表示本发明的第一实施例中的安全存储卡的存储顺序的示意图(此时终端设备请求存储AP)；

图8是表示本发明的第一实施例中的安全存储卡的存储顺序的示意图(此时卡自己决定存储AP)；

图9A和9B是表示在本发明的第一实施例中用于准备安全存储卡的存储数据的过程的示意图；

图10是表示本发明的第一实施例中的安全存储卡的重新存储顺序的示意图(此时终端设备请求重新存储AP)；

图11是表示本发明的第一实施例中的安全存储卡的重新存储顺序的示意图(此时卡自己自动地重新存储AP)；

图12A和12B是表示本发明的第一实施例中的安全存储卡的重新存储数据的准备过程的示意图；

图13A、1B、13C是表示在本发明的第一实施例中安全存储卡的AP管理表的变化过程的示意图；

图14A和14B是表示在本发明的第一实施例中安全存储卡的AP管理表的变化过程的示意图；

图15A、15B和15C是表示在本发明的第一实施例中安全存储卡的AP管理表的变化过程的示意图；

图16A、16B、16C和16D是表示在本发明的第一实施例中安全存储卡的已存储AP管理表的变化过程的示意图；

图17A和17B是表示在本发明的第一实施例中安全存储卡的内部非易失性存储器和安全区的变化过程的示意图；

图18A和18B是表示在本发明的第一实施例中安全存储卡的内部非易失性存储器和安全区的变化过程的示意图；

图19A和19B是表示在本发明的第一实施例中安全存储卡的内部非易失性存储器和安全区的变化过程的示意图；

图20A和20B是表示在本发明的第一实施例中安全存储卡的内部非易失性存储器和安全区的变化过程的示意图；

图21A和21B是表示在本发明的第一实施例中安全存储卡的内部非易失性存储器和安全区的变化过程的示意图；

图22A和22B是表示在本发明的第一实施例中安全存储卡的内部非易失性存储器和安全区的变化过程的示意图；

图23A和23B是表示在本发明的第一实施例中安全存储卡的内部非易失性存储器和安全区的变化过程的示意图；

图24是表示根据本发明的第二实施例的安全存储卡的安全区的结构的示意图；

图25是表示根据本发明的第二实施例的安全存储卡的AP管理表的结构的示意图；

图26A和26B是表示根据本发明的第三实施例的安全存储卡的数据引用权限分配表的示意图；和

图27A和27B是表示本发明的第三实施例中的安全存储卡的代码使用权限分配表的示意图。

在这些图中，图标记10指的是安全存储卡；11指IC部分；12指I/F部分；13指IC命令处理部分；14指文件管理部分；15指IC许可部分；16指存储器管理部分；17指编码和解码电路；18指内部非易失性存储器I/F部分；20指控制部分；21指数据I/F部分；22指命令I/F部分；23指控制许可部分；24指命令处理部分；25指访问控制部分；26指大容量非易失性存储器I/F部分；40指TRM；41指内部非易失性存储器；50指大容量非易失性存储器；51指安全区；52指许可区；53指非许可区；60指外部CPU；411指AP存储区；412指数据存储区；413指AP管理表；414指已存储AP管理表；415指密钥管理区；416指安全区已下载AP管理表；511指数据存储区；和512指AP存储区。

具体实施方式

如图2所示，本发明的一个实施例中的一种半导体存储卡(这里，称其为“安全存储卡”)包括一个具有一个内部CPU 30和一个内部非易失性存储器41的防篡改模块(TRM)40、一个具有一个非许可区域53、一个许可区域52和一个安全区51的大容量非易失性存储器50。该安全存储卡还包括一个用于与一个终端设备(读/写(R/W)设备)的外部CPU 60进行通信以控制由该终端设备所进行的对存储区域的访问的控制部分20。

该内部CPU 30仅仅是一个能够访问内部非易失性存储器41和安全区51的部分。终端设备不能直接访问该内部非易失性存储器41和该安全区51。此外，控制部分20执行终端设备的许可处理，以允许经许可的外部CPU 60访问许可区52。相反，终端设备可以无条件地访问非许可区53。

TRM 40的非易失性存储器41由一个EEPROM组成，该EEPROM能够擦除和写入例如与每个16字节单元相关的数据。所述大容量非易失性存储器50由一个闪存组成，该闪存能够擦除例如与512字节的每个块单元等相关的数据并能够写入例如与每一个字节单元相关的数据。

所述外部CPU60能够无条件地访问所述非许可区53。而且，当该外部CPU在控制部分20中得到了许可时，该外部CPU 60可以访问许可区52。不过，该外部CPU 60无法获知安全区51和内部非易失性存储器41的存在，并且不能直接访问它们。

只有所述内部CPU 30能够访问该安全区51和内部非易失性存储器41。该安全区51和该内部非易失性存储器41的区别在于：在将该内部非易失性存储器41设置在所述TRM 40中的时候，该安全区51是设置在无防篡改能力的所述大容量非易失性存储器50中。因此，该安全区51可以具有比该内部非易失性存储器41大的存储量。相反，该安全区51的安全级别比设置在所述TRM 40中的内部非易失性存储器41低。所述非许可区53的安全级别在这四个区中是最低的。按照许可区52、安全区51和内部非易失性存储器41的顺序，所述安全级别逐次升高。

图3是表示一个安全存储卡10的结构框图。该安全存储卡10通常包括：控制部分20、大容量非易失性存储器50和一个相当于图2中的TRM 40的IC部分11。大容量非易失性存储器50包括非许可区53、许可区52、安全区51和一个地址信息管理区54，在该地址信息管理区54中存储着这些区域的地址信息。

控制部分20包括：数据I/F部分21，用于在R/W设备69和该数据I/F部分之间发送和接收数据；命令I/F部分22，用于在R/W设备69和该命令I/F部分之间发送和接收命令；控制许可部分23，用于许可R/W设备69；控制命令处理部分24，用于解释所接收到的命令并依照该命令执行处理；访问控制部分25，用于对大容量非易失性存储器50的访问进行控制并在IC部分11和控制部分之间起到一个接收和发送数据的窗口的作用；一个大容量非易失性存储器I/F部分26，用于在大容量非易失性存储器50和该大容量非易失性存储器I/F部分之间发送和接收数据。

此外，所述防篡改IC部分11包括：内部非易失性存储器41；I/F部分12，用于在控制部分20和该I/F部分12之间发送和接收数据或命令；IC命令处理部分13，用于解释所述命令并依照该命令进行处理；文件管理部分14，用于对以文件形式存储在内部非易失性存储器41和安全区51中的数据进行管理；IC许可部分15，用于许可R/W设备69并允许经许可之后的R/W设备69访问内部非易失性存储器41和安全区51中的数据；编码/解码电路17，用于使用存储在内部非易失性存储器51中的密钥对写入到内部非易失性存储器41和安全区51中或从中读出的数据进行编码/解码；存储器管理部分16，用于对内部非易失性存储器41和安全区51进行管理；以及内部非易失性存储器I/F部分18，用于向内部非失性存储器41发送数据或从该内部非易失性存储器41中接收数据。

控制部分20的控制命令处理部分24解释从R/W设备69接收到的命令。然后，控制命令处理部分24决定该命令是否请求对大容量非易失性存储器50的许可区52或非许可区53进行访问或者请求一个许可或者请求由IC部分11进行的处理。当该命令请求对大容量非易失性存储器50的许可区52或非许可区53进行访问时，控制命令处理部分24指令访问控制部分25控制对大容量非易失性存储器50的访问。当该命令请求由IC部分11进行的处理时，控制命令处理部分24指令访问控制部分25将该命令传输给该IC部分11。此外，当该命令请求所述许可时，所述控制命令处理部分指令控制许可部分23进行许可处理。

当访问控制部分25对到大容量非易失性存储器50的访问进行控制时，访问控制部分25对记录在大容量非易失性存储器50的地址信息管理区54中的地址信息进行查询。终端设备(R/W设备69)指定大容量非易失性存储器50的逻辑地址，以请求对其进行访问。此时，访问控制部分25根据地址信息管理区54的记录判定所指定的地址属于大容量非易失性存储器50的那个区域。对于访问许可区52的请求来说，访问控制部分25仅允许经许可了的设备访问该许可区52。

此外，IC部分11的IC命令处理部分13解释从控制部分20发送来的命令。然后，IC命令处理部分13决定处理请求是否请求将被向/从内部非易失性存储器41写入/读出的数据，是否请求将被向/从安全区51写入/读出的数据，是否请求许可或是否请求其它处理。

当该命令请求许可时，IC命令处理部分13指示IC许可部分15为该R/W设备69许可。

此外，该命令是一个请求将被向/从内部非易失性存储器41写入/读出的数据或请求将被向/从安全区51写入/读出的数据的命令。此时，IC命令处理部分13确认在IC许可部分15中是否已经完成了许可处理。当许可处理已经完成了时，则IC命令处理部分13允许该请求。当该请求是写入请求时，IC命令处理部分13将所要写入的数据加上该数据所要存储到的目的地的信息一起发送给存储器管理部分16。

用于管理内部非易失性存储器41和安全区51的存储器管理部分16对将被写入到编码和解码电路17中数据进行编码。该存储器管理部分16为所要写入的数据加上一个特征(在这个处理中所使用的密钥或认证密码，它存储在内部非易失性存储器41中)。此后，经过内部非易失性存储器I/F部分18将写入位置信息发送给文件管理部分14，所述存储器管理部分将需要写入到内部非易失性存储器41中的数据写入到内部非易失性存储器41中。此外，经过大容量非易失性存储器I/F部分26将写入位置信息发送给文件管理部分14，存储器管理部分将需要写入到安全区51中的数据写入到安全区51中。所述特征可以与经编码的数据相互独立地存储在非易失性存储器41中。

文件管理部分14根据从存储器管理部分16发来的信息对存储在内部非易失性存储器41和存储在安全区51中的文件进行管理。

此外，当所述请求是一个读取数据请求时，IC命令管理部分13询问文件管理部分14所要读取数据的位置并请求存储器管理部分16读取该文件。

当存储器管理部分16从内部非易失性存储器41或安全区51中读取文件时，存储器管理部分16在编码和解码电路17中对数据的特征进行验证或解码。然后，文件管理部分16将数据发送给IC命令处理部分13。

将经解码的数据提供给控制部分20并从数据I/F部分21发送给R/W设备。

此外，IC命令处理部分13执行一个处理，以便将存储在内部非易失性存储器41中的数据存储到安全区51中，从而有效地利用具有小存储容量的内部非易失性存储器41。现在，将对存储处理进行详细描述。

(第一实施例)

一个终端设备请求下载(下文中称其为DL)一个在安全存储卡中运行并能够被存储的AP。此时，当内部非易失性存储器41中有空间时，IC命令处理部分13完成下述处理：将从该终端设备发送来的AP的程序码(描述程序的程序数据)存储在内部非易失性存储器41中，即，DL处理。根据该终端设备的安装请求，IC命令处理部分13执行所下载的AP的程序码，以为该AP准备数据，并完成一个能够执行该AP的处理，即，安装处理。

当内部非易失性存储器41中没有空间时，IC命令处理部分13完成下述处理：IC命令处理部分13根据来自终端设备的指令(或其自己的决定)，将已经存储在内部非易失性存储器41中并且能够被存储的AP的程序码和数据存储到安全区51中。然后，IC命令处理部分13在具有所形成空间的内部非易失性存储器41中执行由所述终端设备提供的AP的DL处理和安装处理。

此外，终端设备请求启动存储在安全区51中的AP。此时，当内部非易失性存储器41中存在空白区时，IC命令处理部分13将被请求启动的AP的程序码和数据重新存储(转移数据)到内部非易失性存储器41中，以将该AP恢复到其安装状态，并启动该AP。

在这种情况下，当内部非易失性存储器41中没有空白区时，则将能够被存储且储存在内部非易失性存储器41中的AP的程序码和数据存储到安全区51中。而将被请求启动的AP的程序码和数据重新存储到其中形成有空白区的内部非易失性存储器41中。

只有通过AP的安装处理所准备的数据才可以存储到安全区51中。而可以将AP的程序码从内部非易失性存储器41中删除，这是因为程序码本身与所要存储的数据不同，不是在安全存储卡中形成的，并且任何时候都可以从终端设备中下载同样的程序码。通过将存储在安全区51中的AP的数据重新存储到内部非易失性存储器41的空白区中并且将AP的程序码从终端设备中下载到该内部非易失性存储器41中，来将该AP激活。

图1示出了内部非易失性存储器41的结构。在内部非易失性存储器41的内部，设置了如下所述的区域。它们包括：一个AP存储区411，其中存储AP的程序码；一个数据存储区412，其中存储AP所使用的数据；一个AP管理表413，用于对具有存储在该内部非易失性存储器41中的程序码和数据的AP进行管理；一个已存储AP管理表414，用于对存储在安全区51中的AP进行管理；以及一个密钥管理区415，其中存储了一个用于对所要存储的代码和数据进行编码和解码的密钥及一个用于形成和验证特征的密钥。

在所述AP管理表413中，如图4所示，描述了用于完整地表示该AP是什么的AP识别符。描述了用于表示是否执行AP的安装处理的安装标记。描述了用于表示其中存储有程序码的AP存储区411的地址的代码地址。描述了用于表示其中存储数据的数据存储区412的地址的数据地址。描述了表示是否可以存储AP的存储肯定或否定。该存储肯定或否定是在下载AP的时候从终端设备发送过来的。

此外，在所述已存储AP管理表414中，如图5所示，描述了AP识别符、用于完全地确定已存储数据等的存储位置的已存储数据识别符以及与已存储数据相关的特征数据。可以将已存储数据识别符设置为各种形式。例如，可以将(存储了数据的位置的地址+数据大小)设置为一个已存储数据的识别符。

此外，图6示出了具有用于存储已存储数据的数据存储区511的安全区51的结构。

现在，将对在下载、安装、存储和重新存储AP的时候AP管理表413或已存储AP管理表414的变化过程进行描述。

图13A示出了处于初始状态(没有下载/安装/存储/重新存储过任何AP)的AP管理表413。此外，图16A示出了处于初始状态的已存储AP管理表414。当从终端设备中下载了存储肯定或否定的肯定AP1作为AP时，则将AP管理表413描述成如图13B所示的样子，“代码1”指定了AP1的程序码在AP存储区411中的存储地址。此外，当下载了存储肯定或否定的肯定AP2时，则将AP管理表413描述为图13C所示的那样。在AP1和AP2都以完成安装的时候，AP管理表413的表述变为如图14A所示的样子。将存储在数据存储区412中的AP1的数据的地址描述为“数据1”。将存储在数据存储区412中的AP2的数据的地址描述为“数据2”。

此外，图14B示出了从终端设备中下载并安装了存储肯定或否定的否定AP3以及存储肯定或否定的肯定AP4和AP5的状态。此外，图17A示出了此时内部非易失性存储器41中的AP存储区411和数据存储区412的状态。图17B示出了安全区51中的数据存储区511的状态。此时在AP存储区411中没有空间。

然后，当终端设备在如上所述的AP存储区411中没有空间的状态下请求下载某一个AP(此处为AP6)的时候，则在终端设备和IC命令处理部分13之间进行如图7所示的处理。

当终端设备请求下载AP6(1)时，IC命令处理部分13向终端设备通报一个没有空白区的错误信息，因为内部非易失性存储器41中已经没有空间了(2)。该终端设备申请能够存储的AP的列表(3)以从卡中获得该能够存储的AP的列表(4)。该终端设备从该列表中选择一个能够存储的AP(这里为AP2)并请求存储该AP2(5)。IC命令处理部分13完成AP2的存储处理(6)并通知终端设备存储处理已完成(7)。图15A示出了在执行AP2的存储处理的状态下的AP管理表413。图16B示出了已存储AP管理表414。而且，图18A示出了内部非易失性存储器41中的AP存储区411和数据存储区412的状态。图18B示出了安全区51的数据存储区511的状态。

终端设备请求下载AP6(8)。IC命令处理部分13进行AP6的下载处理(9)并通知终端设备下载处理的完成(10)。图15B示出了在进行AP6的下载处理的状态下的AP管理表413(地址代码6可以相同于或不同于由AP2的存储处理得到的空白区中的代码2或数据2)。此外，图20(a)示出了内部非易失性存储器41中的AP存储区411和数据存储区412的状态。

在本说明书中，描述了IC命令处理部分13等待存储来自所述终端设备的AP的一个请求以便执行所述存储处理的一个例子。但是，当AP存储区411中没有空间的时候，IC命令处理部分13可以自己决定进行AP的存储处理。在这种情况下，如图8所示，如下文所述，将会进行下述的过程。当终端设备请求下载AP6(1)时，IC命令处理部分13存储从能够被存储的AP中选择的AP2(2)，以确保在AP存储区411中存在一个空白区。然后，IC命令处理部分13完成AP6的下载处理(3)并通知终端设备已经完成了下载处理(4)。

如上所述，在没有终端设备参与的情况下，可以自动地对AP2进行存储。此外，在这种情况下，在完成了AP6的下载之后，终端设备可以收到AP2自动存储的通知。

此外，图7中的(6)中或图8中的(2)中的AP存储处理是根据图9A或图9B中所示的过程进行的。图9A示出了一种用于在安全区51中存储特征数据的方法。首先，使用特征密钥来准备存储数据的特征数据(如前面所述，有两种方案，一种采用程序码和所安装的AP的已准备好的数据作为存储数据，另一种仅仅将已准备好的数据用作存储数据)(1)。将存储数据和特征数据组合在一起(2)。通过一个存储密钥对经组合的数据进行编码(3)。将经编码的数据存储在安全区51的数据存储区511中(4)。然后，将AP识别符和已存储数据识别符添加到已存储AP管理表414中(如果使用这种方法，则不将特征数据添加到已存储AP管理表414中)。当仅采用在安装处理中准备好的数据作为存储数据的时候，则将所要存储的AP的程序码从AP存储区411中删除并且将与所要存储的AP相关的数据从AP管理表413中删除。

图9B示出了一种用于在已存储AP管理表414中存储特征数据的方法。通过密钥对存储数据进行编码(1)。使用特征密钥准备已编码数据的特征数据并且将该特征数据存储在已存储AP管理表414中(2)。将已编码数据存储在安全区51的数据存储区511中(3)。然后，将AP识别符和已存储数据识别符添加到已存储AP管理表414中。当仅采用通过安装处理准备好的数据作为存储数据时，则将所要存储的AP的程序码从AP存储区411中删除并且将与所要存储的AP相关的信息从AP管理表413中删除。

现在，将描述当终端设备请求处于将被启动的存储状态的所述AP2时安全存储卡10的工作过程。在这种情况下，有两种方法，一种为：终端设备识别AP2已存储并请求重新存储AP2，另一种为：IC命令处理部分13识别被请求启动的AP2已被存储并且该IC命令处理部分13自己执行AP2的重新存储处理。

图10示出了终端设备请求重新存储AP2时的处理。该终端设备请求安全存储卡10启动AP2(1)。IC命令处理部分13对AP管理表413进行查询，以确认AP2不存在于内部非易失性存储器41中(2)，并且通知终端设备AP2不存在于内部非易失性存储器41中(3)。终端设备请求安全存储卡10以获得“已存储AP管理表”414(4)。IC命令处理部分13将该已存储AP管理表414发送给终端设备(5)。终端设备根据该已存储AP管理表414确认AP2已存储并请求安全存储卡10存储所要存储的一个任意AP(这里是AP4)(6)。IC命令处理部分13进行AP4的存储处理(7)并通知终端设备已经完成了该存储处理(8)。

图19A和19B示出了当从图20A和20B所示的状态存储了AP4时AP存储区411、数据存储区412和数据存储区511的状态。此外，图16C示出了此时的AP管理表414。〕

然后，终端设备请求安全存储卡10重新存储AP2(9)。IC命令处理部分13完成AP2的重新存储处理(10)并通知终端设备该重新存储处理已完成(11)。图15C示出了在AP2已重新存储的状态下的AP管理表413(地址代码7和数据7可以相同于或不同于由存储AP4所得到的空白区的代码4和数据4)。图16D示出了此时的已存储AP管理表414。图21A和21B示出了此时的AP存储区411、数据存储区412和数据存储区511的状态。

然后，终端设备再次请求安全存储卡10启动AP2(12)。IC命令处理部分13启动AP2(13)并通知终端设备该启动处理已完成(14)。

在(3)的通知信息中，同时通知了该终端设备所述AP2已经存储了，所以(4)和(5)的处理可以省略掉。此外，当终端设备确认了AP2已存储时，执行(4)之后的过程。在AP2的存储处理中，只对由安装处理所准备出来的数据进行了存储并且删除了AP2的程序码，而终端设备依照(9)的过程下载AP2的程序码。

另一方面，图11示出了当IC命令处理部分13确认被请求启动的AP2已存储并且该IC命令处理部分13自己重新存储该AP2时的过程。终端设备请求安全存储卡10启动AP2(1)。IC命令处理部分13对AP管理表413进行查询以确认AP2不存在于内部非易失性存储器41中。然后，IC命令处理部分13对已存储AP管理表414进行查询以确认AP2已存储，选择某一个AP作为所要存储的对象(这里是AP4)并存储该AP。然后，IC命令处理部分13将AP2重新存储到空白区中(2)以启动该AP2(3)并通知终端设备AP2的启动已经完成(4)。

在这种情况下，即使当终端设备没有发现AP2已经存储了而输出了一个启动AP2的指令时，IC命令处理部分13也能完成启动AP2的处理。因此，终端设备不需要知道是否所请求启动的AP已经存储了。

这种方法适用于仅针对由安装处理所准备出来的数据对AP2进行存储的情况。这种方法不适用于删除了AP2的程序码的情况。

图10的(10)或图11的(2)中的重新存储处理是根据图12A所示的过程而进行的，此时存储处理是由图9A中所示的过程完成的。当存储处理是由图9B中所示的过程进行的时，重新存储处理是根据图12B中所示的过程完成的。在图12A中，通过已存储AP管理表414的AP识别符对已存储数据(已编码数据)进行确认，以通过一个解码密钥在内部非易失性存储器41上对该已编码数据进行解码(1)。然后，从已解码数据中辨认出已存储数据主体和特征数据，以通过使用验证密码对特征数据的属性进行验证。当特征是可调整的时，则将包含在已存储数据主体中的程序码重新存储到内部非易失性存储器41的AP存储区411中并将数据重新存储到数据存储区412中(2)。此外，将AP识别符描述到AP管理表413中，以将安装标记设置为ON。将存储在AP存储区411中和数据存储区412中的重新存储数据的地址分别描述为代码地址和数据地址。最后，删除安全区51中已存储并编码的数据和已存储AP管理表414中与所讨论的AP相关的部分。

在图12A中所示的过程中，通过已存储AP管理表414中的AP识别符对已存储数据(已编码数据)进行识别并且根据描述在已存储AP管理表414中的特征数据通过使用验证密码对该已存储数据进行验证(1)。当验证结果正确时，通过使用解码密钥在内部非易失性存储器41上对已编码数据进行解码(2)。将程序码重新存储到内部非易失性存储器41的AP存储区411中并且将数据重新存储到数据存储区412中(3)。接下来的处理与图12A中所示的相同。

此外，仅针对由安装处理准备出来的数据对AP进行存储。在这种情况下，当终端设备下载AP的程序码时，数据的重新存储处理是根据下述的过程进行的。

从终端设备下载所要重新存储的AP。IC命令处理部分13将AP识别符和代码地址描述在AP管理表413中并从已存储AP管理表414中查找与所下载的AP相同的AP识别符。当存在相应的AP识别符时，从安全区51的数据存储区511中读出已编码数据并进行解码。从已解码数据中识别出已存储数据主体和特征数据，以验证该特征数据的属性。当验证结果是正确的时，将已存储数据主体存储到内部非易失性存储器的数据存储区412中并将AP管理表中的相应的AP的安装标记设置为ON。将存储了重新存储数据的数据存储区412的地址设置为数据地址。最后，将安全区中的已存储已编码数据和已存储AP管理表中与所讨论的AP相关的部分删除。

这里，上面描述了对AP的程序码和由安装处理所准备的数据都进行存储的情况和仅存储数据而删除了程序码的情况。不过，当数据量极度大于程序码数量时，仅有数据可以存储到安全区51中，而将程序码留在内部非易失性存储器41中的AP存储区411中。当使用上面的系统时，图18A和18B中所示的AP存储区411、数据存储区412和数据存储区511的状态变为图22A和2 2B所示的那样。此外，图20A和20B中所示的状态变为图23A和23B中所述的那样。

当对AP的程序码和数据都进行了存储时，和当对数据进行了存储而将程序码留在内部非易失性存储器中时，可以实现由图11所示的IC命令处理部分执行的自动重新存储过程。

此外，当终端设备请求启动存储在安全区51中的AP时，可以根据下面所描述的过程执行该AP，而同时将该AP的程序码或数据留在安全区51中。

例如，在图18A和18B、图15A以及图16B所示的状态下，当终端设备请求安全存储卡10执行AP2时，IC命令处理部分13根据AP管理表(图15识别AP2尚未安装并且根据已存储AP管理表(图16B)中识别AP2已被存储。IC命令处理部分13根据已存储数据识别符读取evac 2以进行解码处理和特征验证。当特征验证正常地完成时，IC命令处理部分从已解码数据中得到AP2的程序码以执行AP2。

在这种情况下，不需要将已存储的AP重新存储到内部非易失性存储器41中。

如上所述，在根据第一实施例的安全存储卡中，在被下载并安装在内部非易失性存储器内的AP中，仅对能够进行存储的AP进行存储。因此，可以将需要最高安全状态的AP设置为“存储否定”。这样，可以避免该AP成为存储的对象。此外，可以将需要能够容忍丢失的风险的安全状态的AP设置为“存储肯定”。因此，可以有效的利用安全存储卡中的安全区。

(第二实施例)

本发明的第二实施例中的安全存储卡的结构与第一实施例相同(图2和3)。

在第一实施例中，描述了这样一种方案：将AP下载到安全存储卡10的内部非易失性存储器41中，并且当该非易失性存储器41中没有用于下载新的AP的空间时，则将能够进行存储的已安装的AP从该内部非易失性存储器41中存储到安全区51中。然而，在第二实施例中，将会把安全区51用作下载AP的目的地。在这种方案中，下载到安全区51中的AP的安装处理是在内部非易失性存储器41中进行的。

根据下面所描述的系统确定所述AP下载的目的地是被设置给了内部非易失性存储器41还是被设置给了安全区51。

根据第一实施例，在下载AP的基础上，从所述终端设备发送一个专用于将AP下载到内部非易失性存储器中的标记以及所述AP的程序码。安全存储卡10的IC命令处理部分13查询该标记。当该内部非易失性存储器被指定下载所述AP时，IC命令处理部分13必须将AP下载到该内部非易失性存储器41中。当没有指定该内部非易失性存储器下载AP时，如果内部非易失性存储器41中还有空间，则IC命令处理部分13将AP下载到内部非易失性存储器41中。当内部非易失性存储器41中已经没有空间时，IC命令处理部分13将AP下载到安全区51中。

此外，根据第二实施例，只有当终端设备允许将AP下载到安全区51中时，在下载AP的过程中，发送一个允许将AP下载到该安全区中的标记与AP的程序码。当加上了用于允许将AP下载到安全区中的标记时，如果在内部非易失性存储器41中有空间，则安全存储卡10的IC命令处理部分13将该AP下载到该内部非易失性存储器41中。当内部非易失性存储器41中没有空间时，IC命令处理部分13将该AP下载到安全区51中。当没有加上该用于允许将AP下载到安全区中的标记时，IC命令处理部分13必须将该AP下载到内部非易失性存储器41中。

在安全存储卡10的安全区51中，如图24所示，提供了一个用于存储所下载的AP的程序码的AP存储区512以及一个数据存储区511。

此外，内部非易失性存储器41具有与图1所示相同的结构。在这种情况下，如图25所示，AP管理表包括一个用于管理下载或安装到内部非易失性存储器41中的AP的AP管理表413和一个用于管理下载到安全区51中的AP的安全区已下载AP管理表416。在安全区已下载AP管理表416中，描述了在内部非易失性存储器41上安装AP的所需的项目，即：指出在存储有所述AP的安全区51上的位置的“存储地址”、用于识别是否变更了AP的“特征数据”、指出在安装完AP后是否可以对AP进行存储的“存储肯定或否定标记”以及AP识别符。

AP管理表413的各项目与第一实施例相同(图4)。其中描述了指出存储在内部非易失性存储器41中的AP是否处于已安装状态的“安装标记”、指出该AP是否可以被存储的“存储肯定或否定标记”、指出安装所述AP时数据的位置的“数据地址”、指出程序码被读出位置的“代码地址”以及AP识别符。

AP管理表413的特殊数字，例如，#4和#5用于确保将所下载的AP(安全区下载的AP)安装到安全区51中。因此，这些数字不能用于在内部非易失性存储器41中下载AP。因此，将要下载到内部非易失性存储器41中的AP的下载和安装处理是通过使用AP管理表413中的#1到#3以与第一实施例相同的方式而进行的。

另一方面，IC命令处理部分13根据下述过程执行将所下载的AP安装到安全区51中的安装处理。

根据安全区已下载AP管理表416的存储地址，IC命令处理部分13从安全区51的AP存储区512中读出AP的程序码，以对该程序码进行解码和验证特征。当验证结果为正确时，IC命令处理部分13将已解码的程序码存储在内部非易失性存储器41的AP存储区411中。此外，IC命令处理部分13为安全区已下载AP将AP管理表413的AP识别符、代码地址和存储肯定或否定标记(与在安全区已下载AP管理表416中所描述的相同)赋予特殊编号。

此时，当在用于安全区已下载AP的特殊编号中没有空间时，IC命令处理部分13将使用着特殊编号的已安装的AP存储到安全区51的数据存储区511中，以形成一个空间。

然后，IC命令处理部分13执行安装处理，以将所准备的数据存储在数据存储区412中、在AP管理表413中记下数据地址并将安装标记设置为ON。

即使是在安装处理之后，已下载在安全区51中的AP的程序码也继续根据其原来的样子存储在安全区51的AP存储区512中。保留下了安全区已下载AP管理表416的描述。因此，即使当在存储已安装AP时删除了程序码的时候，也无需再次从终端设备下载该AP。

指定下载到内部非易失性存储器中的AP(专门下载到内部非易失性存储器中的AP)最好不要存储到安全区中。相反，毫无疑问地可以对可下载到安全区的AP(能够下载到安全区中的AP)进行存储。在这个安全存储卡中，下载到安全区中的AP和下载到内部非易失性存储器中的AP是单独管理的。因此，存储专门下载到内部非易失性存储器中的AP的区域不会被可以下载到安全区中的AP所占用。另一方面，由于为可以下载到安全区中的AP确保了专用区，则另一个可以下载到安全区中AP可以通过对已经安装完了的可以下载到安全区中的AP进行存储来进行安装。

可以将AP管理表413以这样一种形式进行划分：例如，将#1到#3分配给专门下载到内部非易失性存储器中的AP，而将#4到#5分配给可以下载内部非易失性存储器和安全区中的AP。

此外，仅可以对已下载到安全区中的AP进行存储，而不能对已下载到内部非易失性存储器中的AP进行存储。在这种情况下，将不会设置安全区已下载AP管理表的存储肯定或否定标记。

此外，将安装标记和数据存储地址添加到安全区已下载AP管理表中，从而可以将AP安装到安全区中(形成了一个数据存储区)。

对这里所描述的指定下载到内部非易失性存储器中的AP来说，可以应用为具有高安全性的，例如，电子付款AP。这样的需要直接与金钱发生关系的安全程度的AP的程序码和数据是不应当输出到内部非易失性存储器的外部的。因此，可以建议将这些AP设置为存储否定。

此外，作为通常广泛使用的IC卡(包括安全存储卡的IC部分)，任意的玩家可能希望在该卡中安装AP而不用执行一个苛刻的过程。这样，可以将用于在玩家访问任何服务器(或当玩家使用任何终端应用程序时)时对所需的ID和密码进行管理的AP等看作可以下载到安全区中的AP。当服务器是由企业家或个人使用的时候(尤其是在由个人使用服务器的情况下)，并不需要极高的安全等级。如果用户遗失(泄漏)了ID和密码，可以容易地重新发给ID和密码。

出于成本的原因，象电子付费AP这样的总是使用小容量的内部非遗失性存储器的AP是不受欢迎的。更加适当的使用方法是，将AP下载到具有大容量的安全区中，并且当采用其它同样也下载在安全区中的AP时，对前者进行存储。

不过，这样的分级没有必要根据逻辑关系给出，并且可以根据AP提供者所希望的对安全的需求程度和由卡发行者决定的内部非易失性存储器的使用规则来进行各种各样的设置。

在任何情况下，在根据第二实施例的安全存储卡中，由于可以将AP下载到安全区中，因此与第一实施例相比，在AP的下载处理和安装处理中可以选择更多的方案。因此，可以满足对AP的各种安全要求等级并且能够更加有效地利用安全存储卡的私人区域。

此外，当可以将AP下载到安全区中并且安装在安全区中时，在AP的下载处理和安装处理中将会增加更多的方案。可以更加有效地利用安全存储卡的安全区。例如，可以将下载到内部非易失性存储器中并且安装在非易失性存储器中的最高安全性的AP和下载在安全区中并安装在内部非易失性存储器中的具有较高安全性的AP设置为存储否定。可以将安装在安全区中的AP设置为存储肯定。

(第三实施例)

在本发明的第三实施例中，下面将对存储了AP之间共享的数据的状态下的数据的使用进行描述。

具有数据可以在AP间共享的结构的并且AP2允许这种共享的AP(此处为AP1)能够对AP2的数据进行查询。得到允许的该AP(AP1)仅能够查询由给出允许的一方的AP(AP2)进行管理的数据中的特定数据(一部分数据)。可以设置多个对其它AP的一部分数据进行查询的权限。

图26A示出了表述某一AP给出查询权限的数据和接受权限的AP之间的关系的权限分配表。在这种情况下，如图26B所示，将查询数据-a的权限赋予了AP1。此外，如图18、15A和16B所示，AP1处于已安装状态而AP2处于已存储状态。

在AP2的存储处理中，IC命令处理部分13对包含所允许的数据数据-a的数据进行存储。在执行AP1的时候，当进行对由AP2所掌管的数据数据-a的查询时，IC命令处理部分13从AP管理表(图15A)中确认AP2没有安装并且从已存储AP管理表(图16B)中确认AP2已存储。IC命令处理部分13读出已存储AP2的编码数据evac2以对编码数据进行解码并验证特征。当验证过程正常完成了时，IC命令处理部分13从AP2的已解码数据中查询数据-a。

当在数据-a中进行写入时，IC命令处理部分13完成对AP2的所有数据以及经更新了的数据-a的编码处理和特征的准备。IC命令处理部分13将已编码数据存储在安全区中、更新表示已编码数据所存储的位置的evac 2并且将特征数据sign 2更新为已准备好地特征数据。

此外，其它AP也可以使用所存储的AP的程序码以及数据。图27A和27B示出了表述某一AP给出执行权限的程序码与接受授权的AP之间的关系的权限分配表。AP1能够根据与上面所述的数据相同的过程执行已存储AP2的代码-a。

如第一实施例中所示，要存储AP，有三种方案可供选择：(1)仅存储数据而删除程序，(2)对数据和程序都进行存储，(3)仅存储数据而将程序留在内部非易失性存储器中。在第二实施例中所描述的用于访问服务器的AP是一个能够下载到安全区中的AP的情况下，该AP在使用的时候是与网络相连的，所以可以不用下载程序码，因此，(1)的方案使用于该AP(不过，也没有必要拒绝应用(2)或(3)的方案)。

此外，在用于对使用终端AP时所必需的ID和密码进行管理的AP的情况下，由于该AP并不是总是与网络相连的，因此(2)的方案适用于该AP(不拒绝应用(3)的方案)。(3)的方案可以应用于AP提供者不需要存储程序码的情况。

在本发明的实施例中，描述了在大容量非易失性存储器50中设置了包括非许可区、许可区和安全区3的三个区作为存储区的例子。不过，在本发明中，大容量非易失性存储器50必须具有安全区，而其它区是无关紧要的。

如从上述说明中可以显而易见地看出的，本发明的安全存储卡有效地利用了具有保密能力的区域，从而能够将使用任何AP所需的数据安全地存储在其中。因此，任何满足许可条件的终端设备都可以使用存储在该安全存储卡中的数据。

Claims

1.一种存储装置，用于在不能被电子设备直接访问的第一防篡改存储器上安装应用程序并执行该应用程序，包括：

所述第一防篡改存储器，包括：

其中存储有应用程序码的应用程序存储区域；和

其中存储有当安装该应用程序或执行该应用程序时由该应用程序准备的数据的应用程序数据存储区域；

一个不能被所述电子设备直接访问的第二非防篡改存储器，用于存储由该应用程序准备的应用程序码或数据；

应用程序管理装置，包括：

存储在应用程序存储区域中的每个应用程序的应用程序识别符；

安装识别信息，用于表示所述每个应用程序的安装处理是否被执行；

码存储位置信息，用于执行该应用程序；和

数据存储位置信息，用于使应用程序参考所产生的数据；

已存储应用程序管理装置，包括：

存储在第二非防篡改存储器中的每个应用程序的已存储应用程序识别符；和

已存储数据位置信息，用于指出包括应用程序码或应用程序数据的已存储数据的存储位置，

其中，所述存储装置执行删除处理，以删除在应用程序管理装置中的所述应用程序的信息，所述删除处理包括：

使用应用程序的应用程序识别符和码存储位置信息或数据存储位置信息将该应用程序码或应用程序数据从第一防篡改存储器移到第二非防篡改存储器；和

将该应用程序识别符和存储位置寄存到已存储应用程序管理装置中。

2.根据权利要求1所述的存储装置，其中，所述存储装置执行恢复处理，以便在已存储应用程序管理装置中删除该应用程序的信息，该恢复处理包括：

使用应用程序的已存储应用程序识别符和已存储数据位置信息将已存储数据从第二非防篡改存储器移到所述应用程序存储区域或所述应用程序数据存储区域；

在应用程序管理装置中寄存已存储应用程序识别符作为应用程序识别符，并且在应用程序管理装置中寄存码存储位置信息或应用程序数据存储位置信息；和

当安装时，设置该应用程序信息的安装识别信息。

3.根据权利要求1所述的存储装置，其中，在所述删除处理中，从应用程序存储区域中删除该应用程序，从而不移到所述第二非防篡改存储器。

4.根据权利要求1所述的存储装置

其中，所述应用程序管理装置包括指出每个应用程序是否能够被移动的肯定或否定信息。

5.根据权利要求1所述的存储装置，其中，在删除处理中，所述已存储数据以及用于该已存储数据的一特征信息被编码并存储到所述第二非防篡改存储器中。

6.根据权利要求1所述的存储装置，其中，在删除处理中，所述已存储数据被编码并存储到所述第二非防篡改存储器中，和

其中，编码存储数据的特征信息被存储在已存储应用程序管理装置中。

7.根据权利要求1所述的存储装置，其中，对由一个电子设备指定的应用程序执行删除处理。

8.根据权利要求4所述的存储装置，其中，当从一个电子设备接收到下载或安装所述应用程序的指令时，如果在应用程序存储区域或应用程序数据存储区域中没有下载或安装应用程序的空间区域，则对基于移动肯定或否定信息可以被移动的应用程序执行删除处理。

9.根据权利要求2所述的存储装置，其中，对所述第二非防篡改存储器中由一电子设备指定的存储应用程序执行恢复处理。

10.根据权利要求9所述的存储装置，其中，来自所述电子设备的指定是第二非防篡改存储器中所述存储应用程序的启动指令。