嵌入芯片发行后事务处理中针对性市场营销的方法和设备.pdf

一种在涉及持卡者的发行后操作中，使应用程序服务提供者和持卡者连接的方法和设备。所述方法和设备由把推销内容和应用程序内容信息传送给智能卡系统中的持卡者的一组可扩展置标语言结构实现。智能卡系统包括芯片管理系统(CMS)、分配服务器、安全服务器、应用程序提供者(AP)和通过网络连接的计算机系统。可扩展置标语言(SML)被用于发行后数据事务处理。具体的XML结构被用于把应用程序推销数据(APD)和应用程序内容数据(ACD)传送给CMS，以便在发行后事务处理中，打包寄给持卡者。APD和ACD由应用程序提供者准备，并保存在营销文件中。响应AP从CMS收到请求事务处理，确定应用程序标识符是否和营销文件中的APD和/或ACD相符。如果相符，则把APD和/或ACD包括在给CMS的响应消息中。当收到响应消息时，CMS对数据打包，以便通过分配服务器，传送给持卡者。

1、  一种在发行后数据事务处理中，在分配服务器和芯片之间传送营销数据的设备，包括：
插入读卡机中的智能卡；
与读卡机连接，并通过网络与分配服务器连接的计算机；
计算机的存储器中的浏览器中的芯片中继模块；
其中芯片嵌入智能卡中，并与读卡机电连接；
其中芯片中继模块建立芯片和分配服务器之间的安全通信；并且
其中营销数据包含在从分配服务器到芯片的发行后数据传输中。

2、  按照权利要求1所述的设备，其中营销数据是应用程序推销数据。

3、  按照权利要求1所述的设备，其中营销数据是应用程序内容数据。

4、  按照权利要求1所述的设备，其中营销数据包括应用程序推销数据和应用程序内容数据。

5、  按照权利要求1所述的设备，还包括与网络连接的芯片管理系统。

6、  按照权利要求5所述的设备，还包括芯片管理系统营销程序。

7、  按照权利要求6所述的设备，其中芯片管理系统营销程序还包括建立与分配服务器的安全会话，并确定是否存在发行后数据传输的指令。

8、  按照权利要求6所述的设备，其中芯片管理系统营销程序还包括获得CIN和CRN的指令。

9、  按照权利要求6所述的设备，其中芯片管理系统营销程序还包括获得卡简档的指令。

10、  按照权利要求6所述的设备，其中芯片管理系统营销程序还包括向应用程序提供者发送请求的指令。

11、  按照权利要求6所述的设备，其中芯片管理系统营销程序还包括接收来自应用程序提供者的响应，并对来自所述响应的要发送给分配服务器的数据打包的指令。

12、  按照权利要求11所述的设备，其中芯片管理系统营销程序还包括把打包数据传送给分配服务器的指令。

13、  按照权利要求1所述的设备，还包括与网络连接的应用程序提供者。

14、  按照权利要求13所述的设备，其中应用程序提供者还包括应用程序提供者营销程序。

15、  按照权利要求14所述的设备，其中应用程序提供者营销程序包括准备应用程序推销数据的指令。

16、  按照权利要求14所述的设备，其中应用程序提供者营销程序包括准备应用程序内容数据的指令。

17、  按照权利要求14所述的设备，其中应用程序提供者营销程序包括把应用程序推销数据保存在营销文件中的指令。

18、  按照权利要求14所述的设备，其中应用程序提供者营销程序包括把应用程序内容数据保存在营销文件中的指令。

19、  按照权利要求13所述的设备，其中应用程序提供者还包括应用程序提供者营销响应程序。

20、  按照权利要求19所述的设备，其中应用程序提供者响应程序包括建立安全芯片管理系统会话的指令。

21、  按照权利要求19所述的设备，其中应用程序提供者响应程序包括接收来自芯片管理系统的请求的指令。

22、  按照权利要求20所述的设备，其中应用程序提供者响应程序包括比较请求与营销文件的指令。

23、  按照权利要求22所述的设备，其中应用程序提供者响应程序包括响应针对应用程序推销数据的匹配，把应用程序推销数据加入响应消息中的指令。

24、  按照权利要求22所述的设备，其中应用程序提供者响应程序包括响应针对应用程序内容数据的匹配，把应用程序内容数据加入响应消息中的指令。

25、  按照权利要求1所述的设备，还包括具有显示应用程序内容数据的区域的图形用户界面。

26、  按照权利要求1所述的设备，还包括具有显示应用程序推销数据的区域的图形用户界面。

27、  按照权利要求1所述的设备，其中分配服务器还包括分配服务器营销程序。

28、  按照权利要求27所述的设备，其中分配服务器营销程序包括建立安全芯片中继模块会话的指令。

29、  按照权利要求27所述的设备，其中分配服务器营销程序包括确定是否已收到发行后数据事务处理的指令。

30、  按照权利要求29所述的设备，其中分配服务器营销程序包括响应确定已收到发行后数据事务处理，把CIN发送给CMS的指令。

31、  按照权利要求29所述的设备，其中分配服务器营销程序包括响应确定已收到发行后数据事务处理，把CRN发送给芯片管理系统的指令。

32、  按照权利要求26所述的设备，其中分配服务器营销程序包括接收数据包的指令。

33、  按照权利要求26所述的设备，其中分配服务器营销程序包括在授权页显示营销数据包的指令。

34、  按照权利要求1所述的设备，还包括计算机的存储器中的芯片营销程序。

35、  按照权利要求34所述的设备，其中芯片营销程序还包括确定是否已建立芯片中继模块会话的指令。

36、  按照权利要求34所述的设备，其中芯片营销程序还包括获得芯片信息编号和客户参考编号，并把芯片信息编号和客户参考编号传送给分配服务器的指令。

37、  按照权利要求34所述的设备，其中芯片营销程序还包括在授权页上显示应用程序推销数据区的指令。

38、  按照权利要求34所述的设备，其中芯片营销程序还包括在授权页上显示应用程序内容数据区的指令。

39、  一种在发行后数据事务处理中，在分配服务器和芯片之间传送营销数据的方法，包括：
确定与应用程序相关的应用程序内容数据；和
确定与应用程序相关的应用程序推销数据。

40、  按照权利要求39所述的方法，还包括：
建立应用程序提供者和芯片管理系统之间的通信会话。

41、  按照权利要求39所述的方法，还包括：
把应用程序内容数据置于位于应用程序提供者处的营销文件中。

42、  按照权利要求39所述的方法，还包括：
把应用程序推销数据置于位于应用程序提供者处的营销文件中。

43、  按照权利要求39所述的方法，还包括：
响应从芯片管理系统收到请求事务处理消息，传送响应消息。

44、  按照权利要求39所述的方法，还包括：
把请求事务处理消息发送给应用程序提供者。

45、  按照权利要求39所述的方法，还包括：
把具有芯片的智能卡插入与计算机和网络连接的读卡机中。

46、  按照权利要求45所述的方法，还包括：
建立芯片和分配服务器之间的安全通信。

47、  按照权利要求45所述的方法，还包括：
把芯片信息编号和客户参考编号传送给芯片管理系统。

嵌入芯片发行后事务处理中 针对性市场营销的方法和设备
技术领域
本发明一般涉及智能卡，更具体地说，涉及把针对性市场营销(targeted marketing)引入智能卡事务处理中的系统。
背景技术
目前使用的多数智能卡是其中嵌入电子电路的扁平的矩形塑料信用卡。典型的智能卡包括与存储器耦接的微处理器，微处理器执行指令，并对保存在存储器中的至少一个应用软件的数据进行操作。智能卡提供一种小巧的便携式计算资源，以便完成诸如银行业、销售或安全之类领域中的事务处理。智能卡通常以信用卡、钥匙形信物和在某些类型的蜂窝电话机中使用的用户身份识别模块(SIM)的形式出现。
许多智能卡具有排列在上表面上的一组导电触点。与这种智能卡通信的智能卡读卡机/写卡机具有类似排列的一组导电触点。当智能卡被插入智能卡读卡机/写卡机中时，这两组触点的对应部分相互物理接触。智能卡和读卡机/写卡机互操作方面的主要标准是关于具有触点的集成电路卡的国际标准化组织(ISO)7816标准。ISO 7816标准规定物理、电气和数据链路协议层的互操作性。其它类型的智能卡是“不接触的”。这种情况下，智能卡和智能卡读卡机/写卡机都包括用于无线通信的无线通信接口(即不具有电触点)。
目前使用的多数智能卡是其中嵌入电子电路的扁平的矩形塑料信用卡。典型的智能卡包括与存储器耦接的微处理器，微处理器执行指令，并对保存在存储器中的至少一个应用软件的数据进行操作。智能卡提供一种小巧的便携式计算资源，以便完成诸如银行业、销售或安全之类领域中的事务处理。智能卡通常以信用卡、钥匙形信物和在某些类型的蜂窝电话机中使用的用户身份识别模块(SIM)的形式出现。
许多智能卡具有排列在上表面上的一组导电触点。与这种智能卡通信的智能卡读卡机/写卡机具有类似排列的一组导电触点。当智能卡被插入智能卡读卡机/写卡机中时，这两组触点的对应部分相互物理接触。智能卡和读卡机/写卡机互操作方面的主要标准是关于具有触点的集成电路卡的国际标准化组织(ISO)7816标准。ISO 7816标准规定物理、电气和数据链路协议层的互操作性。其它类型的智能卡是“不接触的”。这种情况下，智能卡和智能卡读卡机/写卡机都包括用于无线通信的无线通信接口(即不具有电触点)。
目前，广告业具有确定投放广告的最佳方式的许多复杂策略。广告可以成功概率较低的大规模邮寄为基础。另一方面，通过利用增大成功概率的和目标受众相关的信息，可使一些广告集中于所述目标受众。针对性广告更复杂，因为必须获得和/或收集人口统计学数据，以便提供和目标受众相关的信息。
美国专利6220510公开通过一种体系结构实施多个智能卡操作的方法，所述体系结构每次只允许执行一个应用程序，并且通过对第二应用程序执行委托功能，为两个应用程序之间的共享处理创造条件。
美国专利6216014公开一种智能卡的每个用户安全独立地管理多个应用程序的系统。借助确定某一操作要访问的数据文件是否可访问的访问控制策略，实现安全性。
美国专利6131090公开一种控制对智能卡上的信息的访问的方法和系统，所述智能卡包括由可信第三方维持的数据处理中心，所述数据处理中心保存各个服务提供者访问关于个人的信息的授权的数据库，并应答服务提供者从终端访问的请求，所述终端与数据处理中心和保存个人信息的智能卡通信。
美国专利申请＿＿＿＿＿，代理人文档号AUS920030090US1公开一种利用芯片中继模块，许多硬件安全模块，具有两个安全层的第一通信系统和具有四个安全层的第二通信系统，向嵌入芯片安全传送发行后数据(post issuance data)的智能卡系统。
第一通信系统可被看作服务器方系统，包括芯片管理系统，具有第一硬件安全模块的安全服务器，具有第二硬件安全模块的分配服务器和通过网络连接的计算机系统。第一通信系统具有第一安全层和第二安全层。第一安全层包括通过客户机相互认证，使第一通信系统的每个组件成为其它组件的可信节点的相互认证。第二安全层包括用于硬件安全模块之间的安全通信地系统密钥。
第二通信系统可被看作客户机方系统，包括通过网络与分配服务器连接的计算机系统，PC/SC读卡机驱动器，Web浏览器应用程序，和芯片中继模块，用于分配服务器和插入读卡机/写卡机中的智能卡的芯片之间的安全通信。第二通信系统具有第三、第四、第五和第六安全层。第三安全层包括通过利用相互认证，分配服务器和web浏览器应用程序之间的安全通信。第四安全层包括利用在分配服务器和芯片中继模块之间产生的会话密钥的会话环境安全性。第五安全层包括分配服务器和芯片之间的安全传输所必需的数据标记或标志。第六安全层包括分配服务器和芯片之间的消息认证代码或消息认证代码加密的消息。
美国专利申请＿＿＿＿＿＿，代理人文档号AUS920030091公开一种管理安装在智能卡上的应用程序的方法和设备。该发明包括智能卡管理程序(SMP)、用户操作程序(UAP)、用户命令程序(UCP)、应用程序状态更新程序(ASUP)和卡状态更新程序(CSUP)。SMP与智能卡通信系统连接，并接受用户命令。UAP从外部来源获得应用程序，更新用户简档，并把用户简档传送给用户，以便在图形用户界面上查看。UCP把用户命令分成卡操作和应用程序操作，并执行卡操作和应用程序操作。ASUP通过改变应用程序名称列、应用程序状态列、用户操作列和信息列中的条目，更新用户简档。CSUP通过改变卡状态字段中的条目，更新用户简档。
当被发给智能卡的人(持卡者)在涉及增加、修改或删除保存在芯片中的数据的指令和数据的智能卡系统中实施与智能卡的事务处理(发行后数据事务处理)时，持卡者无法获得和正从源于服务器的安全会话传送的特定应用程序相关的额外信息。从而，应用程序提供者(AP)无法通过芯片管理系统延伸其营销渠道。芯片管理系统使持卡者和持卡者的智能卡的嵌入芯片相联系，于是，是一种潜在的营销渠道。此外，芯片管理系统提供应用程序提供者和智能卡系统之间持续连通的机会。持续连通性包括持卡者未把他或她的智能卡置于智能卡系统中的时候。于是，对于AP来说，和以持卡者为目标的数据内容一起发送与市场营销相关的数据是有利的。使用芯片管理系统作为应用程序提供者数据内容到持卡者的管道是有利的。
于是，需要一种芯片管理、应用程序信息和针对性推销广告的中心接口用的设备和方法。此外，需要一种当在任意或所有发行后操作内，呈现授权页(entitlement page)时，向持卡者呈现数据的方法。
发明内容
满足上述需要的本发明是一种在涉及持卡者的任意发行后操作中，使应用程序服务提供者和持卡者连接的方法和设备。所述方法和设备由把推销内容和应用程序内容信息传送给智能卡系统中的持卡者的一组可扩展置标语言结构实现。智能卡系统包括芯片管理系统(CMS)、分配服务器、安全服务器、应用程序提供者(AP)和通过网络连接的计算机系统。CMS保存多个持卡者简档，其中每个持卡者简档对应于一个不同的智能卡，并包括和被发给智能卡的人员相关的信息。分配服务器接收智能卡的芯片识别编号(CIN)，并把包括CIN的请求传送给CMS。分配服务器从CMS接收对应于CIN的持卡者简档，并使用持卡者简档的信息确定被发给智能卡的人员的个人化授权数据和可用选项，从而产生个人化授权数据和可用选项信息。分配服务器传送个人化授权数据和可用选项信息，接收用户输入，根据用户输入修改持卡者简档的信息，并把修改后的持卡者简档传送给CMS。
可扩展的置标语言(XML)被用于发行后数据事务处理。具体的XML结构被用于把应用程序推销数据(APD)和应用程序内容数据(ACD)传送给CMS，以便在发行后事务处理中，打包寄给持卡者。APD和ACD由应用程序提供者准备，并保存在营销文件中。响应AP从CMS收到请求事务处理，确定应用程序标识符是否和营销文件中的APD和/或ACD相符。如果相符，则把APD和/或ACD包括在给CMS的响应消息中。当收到响应消息时，CMS对数据打包，以便通过分配服务器，传送给持卡者。
附图说明
附加的权利要求中陈述了本发明的新特征。但是，结合附图，根据例证实施例的下述详细说明，将更好地理解发明本身，及其优选应用模式、其它目的和优点，其中：
图1A表示了智能卡系统的一个实施例；
图1B描述了智能卡；
图2A表示了图1的计算机系统的一个实施例；
图2B表示了与CRM相互作用的软件栈；
图3表示了图1的读卡机/写卡机的一个实施例；
图4表示了在图1的系统中执行的智能卡事务处理的初始部分；
图5描述了实施智能卡事务处理的方法的一个实施例的流程图；
图6描述了应用程序提供者营销过程的流程图；
图7是应用程序提供者响应过程的流程图；
图8是芯片管理系统过程的流程图；
图9是分配服务器过程的流程图；
图10是持卡者过程的流程图；
图11描述了请求事务处理消息；
图12描述了返回消息；
图13描述了授权页。
具体实施方式
这里将使用下述定义：
“应用程序内容数据”表示关于与特定应用程序的发行后数据事务处理，并且应用程序提供者希望在发行后数据事务处理时，在授权页上显示的与特定应用程序相关的信息消息。
“应用程序推销数据”表示关于与特定应用程序的发行后数据事务处理，并且应用程序提供者希望在发行后数据事务处理时，在授权页上显示的与特定应用程序相关的推销消息。
“应用程序协议数据单元”(APDU)表示和在ISP 78 16-4中定义的标准通信协议相符的消息。
“应用程序提供者”(AP)表示与持卡者具有日常商业关系的人员或实体，包括(但不限于)通过智能卡系统，使持卡者能够获得特定程序的人员或实体。应用程序提供者的例子是Hertz和Club One会员资格。
“卡简档”表示芯片的XML表示，包括芯片的所有属性，芯片的操作系统，芯片的物理特性，芯片的应用程序简档和芯片的密钥简档。
“芯片”表示包含在智能卡内的处理器和存储器，其中处理器与存储器连接，并且能够与读卡机/写卡机进行有线或无线通信。
“持卡者”表示发行者向其发放智能卡的人员，不包括实际或潜在的未经授权的用户。
“持卡者简档”表示和分配给持卡者的芯片及所有的芯片数据/状态相关的信息，包括(但不限于)持卡者的个人化授权数据和可用选项。术语持卡者简档表示可包含持卡者简档信息，一个或多个卡简档，一个或多个应用程序和/或一个或多个脚本的文件。
“芯片信息编号”(CIN)表示分配给每个芯片的唯一编号。
“芯片管理系统”表示管理芯片的寿命周期的系统，包括(但不限于)与持卡者相关的卡简档的存储和管理。
“芯片中继模块”(CRM)表示通过瞬变过程，与智能卡读卡机通信的Java小程序，具有在浏览器内运行的可信签名代码，从而CRM能够与智能卡读卡机和服务器相互作用。
“客户机卡系统”表示具有与智能卡通信的接口的计算机。
“计算机”表示具有至少一个处理器、存储器和操作系统，能够与用户或其它计算机交互作用的机器，包括(但不限于)桌上型计算机、笔记本计算机、服务器、个人数字助手(PDA)、手持计算机和蜂窝电话机。
“客户参考编号”(CRN)表示分配给每个持卡者的唯一编号。
“分配服务器”(DS)意味着为CMS的可信节点的服务器，它能够从CMS获得持卡者简档，并把来自持卡者简档的信息打包到应用协议数据单元(APDU)中。DS具有智能网关模式，在该模式下，用户直接与服务器或路由器节点连接，在所述服务器或路由器节点，诸如自动取款机(ATM)之类另一设备正在执行与用户的交互作用。
“授权数据”是当前应用程序和芯片状态，最终用户能够增加/删除哪些应用程序，诸如新应用程序更新，或者对芯片或应用程序的状态改变之类可能的管理功能的表示，授权数据包含在持卡者简档中。
“GlobalPaltform^TM规范”表示允许智能卡和应用程序之间的一致行为的准线。
“硬件安全模块”(HSM)表示硬件保护的加密操作和密钥存储。
“输入装置”指的是把信息输入智能卡或计算机的装置，包括(但不限于)键盘、鼠标、跟踪球、触摸板、触摸点装置、铁笔、触摸屏。
“发行者识别号”(IIN)表示分配给发行者的唯一编号。
“发行者主密钥”表示芯片发行者的专用密钥。
“发行者专用数据”表示和GlobalPaltform^TM规范相符的标准标签，包括(但不限于)发行者识别号(IIN)和芯片信息编号(CIN)及加密密钥。
“相互认证”表示智能卡系统的另一部件利用可用协议识别智能卡系统的一个部件，所述可用协议包括(但不限于)加密套接字协议层版本3，浏览器密钥和签名Java小程序。
“输出装置”表示显示数据的装置，包括(但不限于)阴极射线管(CRT)、液晶显示器(LCD)和打印机。
“个人信息编号”(PIN)表示分配给每个智能卡的唯一编号。
“个人化”表示持卡者配置智能卡，包括(但不限于)在卡上设置卡加密密钥。
“个人化授权数据和可用选项信息”表示持卡者信息，包括(但不限于)当前智能卡状态报告，准许持卡者增加和/或删除的应用程序列表，和/或关于芯片或安装的应用程序可执行的管理功能。
“发行后数据”指的是增加、删除或修改保存在芯片中的数据的指令和数据。
“发行后数据事务处理”表示涉及发行后数据的事务处理。
“安全服务器”指的是保存发行者的主密钥的服务器。
“服务器”表示支持智能卡的本地或远程后端系统。
“智能卡”指的是用于个人或企业事务处理的卡，包括至少一个处理器和能够支持操作系统、应用程序，保存芯片持有者个人信息、应用程序数据和智能卡发行者需要的其它数据的存储器。
“智能卡系统”表示包括芯片管理系统，分配服务器，安全服务器和通过网络连接的计算机系统的系统。
“未经授权的用户”表示可占有智能卡，但是智能卡的发行者并不想要其可以获得由与卡中的存储器耦接的微处理器产生的卡的能力的人员。
图1A表示了执行与智能卡102的数据事务处理的智能卡系统100的一个实施例。在图1A的实施例中，系统100包括芯片管理系统(CMS)104、安全服务器(SS)106、分配服务器(DS)108、应用程序提供者(AP)116和与读卡机/写卡机112耦接的计算机系统110。
如图1A中所示，CMS 104、SS 106、DS 108和计算机系统110都与通信网络114耦接。通信网络114包括(但不限于)公共交换电话网(PSTN)和/或因特网。如下详细所述，计算机110、CMS 104、SS 106、AP 116和DS 108通过通信网络114相互通信，通过在通信网络114内建立的安全通信通道，执行与智能卡102的数据事务处理。
图1B表示了智能卡102。智能卡102包括与存储器122耦接的微处理器120，并且能够把至少一个应用程序保存在存储器中。每个应用程序包括指令和数据。微处理器120与接口124耦接，接口124适合于与读卡机/写卡机112耦接。
在图1B的实施例中，智能卡102被表示成部分插入读卡机/写卡机112。一般来说，智能卡102能够与读卡机/写卡机112通信，读卡机/写卡机112能够与智能卡102通信。读卡机/写卡机112能够从智能卡102读取数据，并把数据写入智能卡102。另一方面，读卡机/写卡机112可以只是诸如蜂窝电话机之类的读卡机。一些蜂窝电话机支持双芯片。全球移动通信系统(GSM)电话机只具有一个SIM芯片，从而读卡机是GSM电话机，所有应用程序应通过GSM电话机的无线链路通信。本领域的技术人员知道其它蜂窝电话机具有双插槽，一个插槽用于SIM，另一插槽用于智能卡。
例如，智能卡102具有排列在上表面上的一组导电触点(未示出)，读卡机/写卡机112具有类似排列的一组导电触点(未示出)。智能卡102和读卡机/写卡机112可遵守关于具有触点的集成电路的国际标准化组织(ISO)7816标准。当智能卡102被插入读卡机/写卡机112时，这两组触点的对应部分相互物理接触。另一方面，读卡机/写卡机112和智能卡102都可包括在无电触点情况下通信的无线通信接口。另外，读卡机/写卡机112和智能卡102最好能够如下所述建立并实现安全通信。
一般来说，计算机系统110和读卡机/写卡机112构成具有智能卡读/写能力的客户机卡系统。计算机系统110和读卡机/写卡机112可构成，例如智能卡更新终端、销售点终端或自动取款机(ATM)。
图2A表示了图1的计算机系统110的一个实施例。在图2A的实施例中，计算机系统110包括处理器200、网络接口卡202和存储器204。存储器204保存网络通信软件206、芯片中继模块(CRM)208、安全软件210、浏览器212、操作系统214和PC/SC读卡机驱动程序216。处理器200与存储器204耦接，通常取出并执行网络通信软件206、CRM 208和安全软件210的指令和数据。
图2B描述了CRM 208、浏览器212、操作系统214和PC/SC读卡机驱动程序216的软件栈200。另一方面，客户程序栈可包括用于无读卡机的无线设备的软件。
在一个实施例中，图1A的通信网络114包括因特网，网络通信软件206是诸如浏览器212之类Web浏览器应用程序。恰当的Web浏览器应用程序包括MicrosoftInternet Explorer(MicrosoftCorporation，Redmond，WA)和Netscape Navigator(NetscapeCommunications Corporation，Mountain View，CA)。图2A中，网络接口卡202耦接在处理器200和图1A的通信网络114之间。一般来说，网络接口卡202适合于连接通信网络114，并构成计算机系统110的第一通信系统的硬件部分。第一通信系统的软件部分包括网络通信软件206。软件部分包括与网络接口卡202相关的PC/SC读卡机驱动程序216。通常，计算机系统110通过第一通信系统，与CMS104、SS 106和/或DS 108(参见图1)通信。通过在智能卡系统100中具有第一安全层的第一通信系统中的相互认证，CMS 104、SS 106、DS 108和计算机系统110彼此是可信节点。如图2A中所示，处理器200与读卡机/写卡机112(参见图1A)耦接。如上所述，读卡机/写卡机112能够从智能卡102读取数据，以及把数据写入智能卡102(参见图1A)。另外，在下面更详细说明的一个实施例中，读卡机/写卡机112还包括接收用户输入的输入装置和向用户呈现数据的输出装置。一般来说，保存在存储器204中的CRM 208包括与读卡机/写卡机112和/或插入读卡机/写卡机112中的智能卡通信的指令和数据。处理器200取出并执行CRM 208的指令和数据，以便与读卡机/写卡机112和/或插入读卡机/写卡机112的智能卡通信。
图1A的读卡机/写卡机112可包括耦接在处理器200和读卡机/写卡机112的其它硬件之间的接口装置。所述接口装置可构成计算机系统110的第二通信系统的硬件部分。第二通信系统的软件部分可包括CRM 208，和诸如与读卡机/写卡机112相关的PC/SC读卡机驱动程序216之类驱动程序。插入读卡机/写卡机112的智能卡102通过第二通信系统可与DS 108通信，如下所述。CRM 208可位于计算机系统110的存储器204中。在优选实施例中，在智能卡102被插入读卡机/写卡机112之后，并在借助相互认证验证了智能卡102的微处理器120之后，CRM 208被下载到浏览器212。恰当的相互认证机构的一个例子是在卡上具有诸如X509证书和专用web密钥之类安全存取应用程序的智能卡。持卡者正在登录的网站是认证机构。DS 108将要求持卡者把芯片插入读卡机，并要求持卡者输入PIN或口令，从而也可向芯片认证持卡者。芯片的专用密钥将在持卡者和服务器之间交换用于相互认证的信息。服务器将向网站认证持卡者。通过利用相互认证在智能卡系统100中建立第三安全层，CRM 208建立智能卡102的微处理器120和DS 108之间的安全通信。第二通信系统中的安全通信允许通过DS 108向第一通信系统传送芯片信息编号(CIN)。
图3表示了图1A的读卡机/写卡机112的一个实施例。在图3的实施例中，读卡机/写卡机112包括智能卡输入/输出(I/O)接口300、输入装置302和输出装置304。一般来说，智能卡输入/输出(I/O)接口300能够从与智能卡输入/输出(I/O)接口300接触(有线)或在其附近(无线)的智能卡读取数据，并且能够把数据写入上述智能卡上。
输入装置302适合于接收用户输入。输入装置302可包括(但不限于)小键盘。读卡机/写卡机112把用户输入提供给计算机系统110(参见图1A和2A)。输出装置304一般适合于向用户提供数据。输出装置304包括(但不限于)液晶显示器(LCD)。读卡机/写卡机112接收来自计算机系统110的输出数据(参见图1A和2A)，并通过输出装置304，把输出数据提供给用户。
图4描述了在图1A的系统100中执行的智能卡事务处理的初始部分。这种事务处理可能涉及发行后操作，例如应用程序装入和/或删除。在图4的实施例中，DS 108验证把智能卡102插入读卡机/写卡机112的用户。这种验证可能涉及，例如相互验证和/或通过读卡机/写卡机112的输入装置302(参见图3)输入个人识别号(PIN)的用户。本领域的技术人员会认识到PIN也可以是口令，取决于应用程序。在GlobalPlatform^TM卡中，PIN可以是卡的Global PIN，应用程序可支持Global PIN或者应用程序可具有自己的PIN。
在图4的实施例中，智能卡102包括芯片识别编号(CIN)400。CIN 400可以保存在智能卡102的只读存储器(ROM)中。在验证用户之后，计算机系统110的CRM 208(参见图2A)向智能卡102请求CIN 400，智能卡102通过向计算机系统110提供CIN 400(如图4中所示)作出响应。计算机系统110的CRM 208把CIN 400提供给DS 108。如同下面更详细说明的那样，DS 108把包括CIN 400的请求提供给CMS 104。
在图4的实施例中，CMS 104包括保存多个持卡者简档404A、404B和404C的存储器402。
每个持卡者简档404包括与不同持卡者相关的信息。一般来说，CMS 104保存并维持持卡者简档404。每个持卡者简档404还包括关于对应智能卡的数据。例如，指定的持卡者简档404应包括对应智能卡102的CIN 400，以及和保存在智能卡的存储器系统中的应用程序相关的信息，关于保存的应用程序的授权数据，以及智能卡的发行者需要的其它信息。在一个单独的过程中，在诸如SS 106(参见图1)之类安全服务器测试包括应用程序、脚本和卡简档的持卡者简档，以确保数据中不存在指示安全担扰，例如病毒的任意模式(pattern)，以及确保应用程序不是置于未经发行者批准的卡上的恶作剧应用程序。
图4中由持卡者简档404A、404B和404C表示的每个持卡者简档可包括已发给用户的一个或多个智能卡的卡简档。每个卡简档包括应用程序和密钥简档，取决于应用程序的数目及其它信息。卡简档还包含如果需要，用于从安全服务器获得对应发行者的主密钥的密钥参考。具体的持卡者简档由CIN 400识别。CIN 400通过第三安全层被传送，从而可识别对应的持卡者简档。
响应于来自DS 108的包括CIN 400的请求，CMS 104把标记为404D的对应持卡者简档提供给DS 108。在收到对应于智能卡102的CIN 400的持卡者简档404D之后，DS 108处理持卡者简档404D的信息，确定持卡者的个人化授权数据和可用选项，并把个人化授权数据和可用选项信息发送给计算机系统110。计算机系统110的CRM 208(参见图2A)处理个人化授权数据和可用选项信息，从而产生输出数据，并把输出数据提供给读卡机/写卡机112，以便输出给用户。
响应传送个人化授权数据和可用选项的输出，用户可选择特定的选项。这种情况下，通过计算机系统110，选项被转播给DS 108，并由DS 108处理。选项可包括(但不限于)把发行后数据从CMS 104传送给智能卡102。当会话发生时，DS 108根据需要修改持卡者简档404D的信息。在会话结束时，如果持卡者简档404D已被修改，则DS 108把更新后的持卡者简档404D传送给CMS 104，CMS 104保存修改的持卡者简档404D。通过更新保存的持卡者简档404D的初始版本，修改持卡者简档404D。
图5描述了实施智能卡事务处理的方法(MSCT)500的一个实施例的流程图。MSCT 500包含在DS 108(参见图1和4)内。MSCT500启动(502)。接收已插入读卡机/写卡机112(参见图1和4)的智能卡的芯片识别编号(CIN)(504)。向具有包含许多持卡者简档的存储器的CMS 104(参见图1A和4)提供包括CIN的请求(506)。
从CMS 104(参见图1A和4)接收对应于CIN的持卡者简档(508)。产生个人化授权数据和可用选项信息(510)。个人化授权数据和可用选项信息被提供给计算机系统110(参见图1A和4)(512)。
通过计算机系统110从读卡机/写卡机112接收用户输入(514)。根据用户输入，修改持卡者简档的信息(516)。修改后的持卡者简档被提供给CMS 104(参见图1A和4)(518)，MSCT 500停止(520)。
通过计算机系统110，从读卡机/写卡机112接收用户输入(512)。根据用户输入，修改持卡者简档的信息(514)。修改后的持卡者简档被提供给CMS 104(参见图1A和4)(516)。
图6描述了应用程序提供者营销过程(APMP)600的流程图。APMP 600启动(602)，确定应用程序提供者是否具有当增加或修改应用程序时，希望发送给持卡者的任意营销数据(604)。如果否，则APMP 600停止(620)。如果是，则APMP 600确定营销数据是否是应用程序推销数据(606)。如果是，则准备APD消息(608)，APD消息被保存在营销文件中(610)，APMP进入步骤612。如果否，则确定营销数据是否是应用程序内容数据(612)。如果是，则准备ACD消息(614)，保存在营销文件中(616)，APMP 600进入步骤618。确定是否存在要分析的更多营销数据。如果是，则APMP 600进入步骤606。如果否，则APMP结束(620)。
图7描述了应用程序提供者响应过程(APRP)700的流程图。APRP 700启动(702)，确定是否已建立与CMS的安全会话(704)。如果否，APRP 700停止(722)。如果是，则确定是否已从CMS收到请求(706)。如果否，则APRP 700停止(722)。如果是，则比较请求中的应用程序标识符和营销文件(708)。确定应用程序标识符是否对应于应用程序推销数据消息(810)。如果是，则把APD消息加入请求消息中，产生响应消息(712)，APRP 700进入步骤714。如果否，则APRP 700进入步骤714。确定应用程序标识符是否对应于应用程序内容数据消息。如果是，则如果在步骤710不存在任何APD匹配，那么把ACD消息加入请求消息中，或者如果在步骤710存在APD匹配，那么把ACD消息加入在步骤712产生的响应消息中(716)。APRP 700进入步骤720。响应消息被传送给CMS。
图8是芯片管理系统过程(CMSP)800的流程图。CMSP 800启动(802)，确定是否已与分配服务器建立安全会话(804)。如果否，则建立与DS的安全会话(806)，CMSP 800进入步骤804。如果是，则确定是否已产生发行后数据事务处理(808)。如果否，则CMSP停止(826)。如果是，则CMSP 800获得CIN(810)并获得CRN(812)。利用CRN，CMSP 800获得卡简档实例(814)。CMSP800把请求通知发送给AP(816)。确定是否从AP收到响应(818)。如果否，则请求被重新传送(重新发送)给应用程序提供者(824)。确定请求的这次重发是否是请求的首次重发(820)。如果否，则CMSP800进入步骤830。如果是，则CMSP 800进入步骤818。如果确定收到了响应，则CMSP 800对要发送给DS的数据打包(826)，并把打包数据传送给DS(828)。确定是否存在另一PIDT。如果是，则CMSP800进入步骤810。如果否，则CMSP 800结束(832)。
图9是分配服务器过程(DSP)900的流程图。DSP 900启动(902)，确定是否与芯片中继模块建立了安全会话(910)。如果否，则DSP 900停止(930)。如果是，则确定是否已产生发行后数据事务处理(912)。如果否，则DSP 900结束(930)。如果是，则CIN被发送给CMS(914)，CRN被发送给CMS(916)。确定是否从CMS收到数据包(918)。如果否，则CIN和CRN被重新发送给CMS(920)，确定这次重发是否是首次重发(918)。如果是，则DSP 900进入步骤918。如果已收到数据包，则DSP 900在授权页显示打包数据(922)。确定是否存在另一发行后数据事务处理(926)。如果是，则DSP 900进入步骤914。如果否，则DSP停止(926)。
图10是持卡者过程(CP)1000的流程图。CP 1000启动(1002)，确定智能卡是否已被插入输入装置(1010)。如果否，则CP 1000停止(1030)。如果是，则确定是否已建立与DS的安全CRM会话(1012)。如果否，则CP 1000停止(1030)。如果是，则从卡获得CIN(1014)，从卡获得CRN(1016)。CIN和CRN被传送给DS。CP 1000显示授权页(1020)。CP 1000停止(1030)。
图11描述了请求事务处理消息(RTM)1100。RTM 1100包括产品标识1110、持卡者身份证明1120、CRN 1130和应用程序代码1140。
图12描述了返回消息(RM)1200。RM 1200包括RTM 1100，RTM 1100包括产品标识1110、持卡者身份证明1120、CRN 1130和应用程序代码1140。另外，RM 1200具有APD 1210和ACD 1220。
图13描述了授权页1300。授权页具有卡状态部分1302和应用程序摘要1304。应用程序摘要1304具有应用程序名称列1306、应用程序状态列1308、用户操作列1310和信息列1312。参见应用程序名称列1306，对于名为Activity的应用程序来说，用户操作列1310显示“增加”操作，信息列1312显示Loyalty应用程序。举例来说，如果用户点击名为Activity的应用程序，则APD消息1322和ACD消息1324出现于消息区1320中。例如，名为Activity的应用程序可具有诸如“Appl aid＝003220001”1140之类应用程序id。
根据上述说明，要认识到对本领域的技术人员来说，本发明各个部分的最佳尺寸关系，包括大小、材料、形状、形式、操作功能和操作、装配和应用方面的变化都是显而易见的，并且相对于附图中图解说明的及说明书中描述的内容的所有等同关系都包含在本发明之内。通过对包含于本公开内容中一些步骤重新排序，或者删除包含于本公开内容中的一些步骤，仍能体现本发明的精神。本发明的精神只由下述权利要求限定。