JP2003337749A - セキュアデバイス - Google Patents

Abstract

(57)【要約】 【課題】ＴＲＭ内に実装する記憶領域の容量を越えるプ
ログラムを、各プログラムの管理者が必要とする安全性
を確保しつつ、ダウンロードすることができるセキュア
デバイスを提供する。 【解決手段】プログラムを格納して利用に供するセキュ
アデバイス１００であって、低保護レベル記憶部１０２
と、高保護レベル記憶部１１８と、格納先を特定するた
めの付加情報を含むプログラムを入手するプログラム入
手部１０１と、入手された付加情報により特定される記
憶部に当該付加情報に対応するプログラムを格納する付
加情報解析部１１１、領域検索部１１２、保護レベル判
定部１１３、及びプログラム格納部１１５とを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、コンテンツの不正
な使用を防止するための技術、及び、電子商取引（モバ
イルＥＣ）における不正を防止する技術を備えるセキュ
アデバイスに関する。

【０００２】

【従来の技術】近年、インターネット等のネットワーク
を介して、音楽コンテンツや動画像コンテンツの配信を
受けるコンテンツ配信サービス、及び、モバイルＥＣサ
ービス等の様々な電子情報サービスが普及している。こ
れらの電子情報サービスにおいては、コンテンツの不正
な使用を防止するコンテンツ保護技術、及び、モバイル
ＥＣにおける認証技術や課金技術等のＥＣ保護技術が不
可欠であり、これら技術を備えるセキュアデバイスが開
発され利用されている。

【０００３】例えば、利用者はこのようなセキュアデバ
イスを自分の携帯電話に装着して、外出先からコンテン
ツ配信サービスやモバイルＥＣサービス等を安全に行う
ことができる。セキュアデバイスについては、「コンテ
ンツ配信・モバイルコマース用のセキュアマルチメディ
アカード」日立評論２００１年１０月号、三宅順、石原
晴次、常広隆司に、コンテンツ保護技術とＥＣ保護技術
とを備えるセキュアマルチメディアカード（以下「ＳＭ
ＭＣ」）が記載されている。

【０００４】ＳＭＭＣには、ＪＡＶＡ（登録商標） Ｃ
ａｒｄのようにプログラムのダウンロード機能を備える
タイプがある。ここでダウンロードされるプログラム
は、新規アプリケーションプログラムや、カード内に記
録されているプログラムのバージョンアップ版等であ
る。プログラムのダウンロード機能を備えるＳＭＭＣ
は、ＴＲＭ（ＴａｍｐｅｒＲｅｓｉｓｔａｎｔ Ｍｏｄ
ｕｌｅ：耐タンパモジュール）内に暗号処理エンジン、
セキュリティ鍵情報、ＣＰＵ、ＲＡＭ、ＲＯＭ、ＥＥＰ
ＲＯＭを備え、また、ＴＲＭ外に大容量のフラッシュメ
モリ（例えば８ＭＢから２５６ＭＢ程度）を備え、ＣＰ
Ｕが暗号処理エンジンやセキュリティ鍵情報を用いて認
証処理や暗号処理等を制御し、また、外部よりダウンロ
ードすべきプログラムを取得してＴＲＭ内に実装するＥ
ＥＰＲＯＭに記録して実行する。

【０００５】ここでＴＲＭとは、外部から本モジュール
内に記録されているデータの不正な参照や改竄などを困
難にする施策が施されたモジュールである。また、フラ
ッシュメモリには、配信対象である音楽コンテンツや動
画像コンテンツ等のデジタルデータが記録される。ＴＲ
Ｍ内に実装するＥＥＰＲＯＭは、他のメモリと比較して
記憶容量あたりのコストが高く高価なデバイスなので、
ＥＥＰＲＯＭの容量を増やすとＳＭＭＣのコストに与え
る影響が大きい。またデバイスの特性上、ＴＲＭ内に実
装するＥＥＰＲＯＭの容量には限界があり、現状ではＥ
ＥＰＲＯＭの容量が６４ＫＢ程度の構成が一般的であ
る。

【０００６】

【非特許文献１】「コンテンツ配信・モバイルコマース
用のセキュアマルチメディアカード」日立評論２００１
年１０月号、三宅順、石原晴次、常広隆司。

【０００７】

【発明が解決しようとする課題】しかしながら、ＳＭＭ
Ｃにダウンロードされるアプリケーションプログラムは
今後益々増加するものと予想されるので、現状の構成で
はアプリケーションプログラムを、ＴＲＭ内に実装する
ＥＥＰＲＯＭに格納しきれなくなるのは明らかである。

【０００８】また、ＴＲＭ内に実装するＥＥＰＲＯＭの
容量を超えるために記録できないアプリケーションプロ
グラムを、ＴＲＭ外に実装するフラッシュメモリに記録
する方法も考えられるが、安全面を考慮すると無秩序に
このような方法を実施することはできず、少なくとも各
プログラムの管理者の承認が必要であり、安全性を確保
するための新たな技術の確立が望まれる。

【０００９】本発明は、ＴＲＭ内に実装する記憶領域の
容量を越えるプログラムを、各プログラムの管理者が必
要とする安全性を確保しつつ、ダウンロードすることが
できるセキュアデバイスを提供することを目的とする。

【００１０】

【課題を解決するための手段】上記目的を達成するため
に、本発明に係るセキュアデバイスは、デジタルデータ
を格納して利用に供するセキュアデバイスであって、そ
れぞれが記憶領域を備える複数の記憶手段と、格納先と
なる記憶手段を特定するための格納先情報が付加された
デジタルデータを入手する入手手段と、前記格納先情報
により特定される記憶手段に前記デジタルデータを格納
する処理手段とを備えることを特徴とする。

【００１１】上記目的を達成するために、本発明に係る
格納方法は、デジタルデータを格納して利用に供するセ
キュアデバイスにおける格納方法であって、前記セキュ
アデバイスはそれぞれが記憶領域を備え、当該格納方法
は、格納先となる記憶手段を特定するための格納先情報
が付加されたデジタルデータを入手する入手ステップ
と、前記格納先情報により特定される記憶手段に前記デ
ジタルデータを格納する処理ステップとを含むことを特
徴とする。

【００１２】これらによって、デジタルデータの管理者
がデジタルデータ毎に格納先を設定しておき、ＴＲＭ内
に実装するＥＥＰＲＯＭのような保護レベルが高い記憶
手段の容量が足らない場合に、各デジタルデータの管理
者によって設定された格納先情報に基づいて、管理者に
よって許可されているデジタルデータであればＴＲＭ外
に実装するフラッシュメモリのような保護レベルが低い
記憶手段に記録することができるので、デジタルデータ
を価値に応じて効率よく記録することができる。

【００１３】従って、ＴＲＭ内に実装する記憶領域の容
量を越えるプログラムを、プログラムの管理者が必要と
する安全性を確保しつつ、ダウンロードすることができ
る。

【００１４】

【発明の実施の形態】＜概要＞本発明は、保護レベルの
異なる複数種類の記憶領域を有するセキュアデバイス
が、記憶領域を指定する付加情報を含むデジタルデータ
を入手して、付加情報に基づいて記憶領域の種類を特定
してデジタルデータを記憶するものである。

【００１５】より具体的には、保護レベルが高いＥＥＰ
ＲＯＭと保護レベルが低いフラッシュメモリとの２種類
の記憶素子を有するＳＭＭＣにおいて、対応するプログ
ラムを記憶すべき記憶素子がＥＥＰＲＯＭであるかフラ
ッシュメモリであるかを指定する付加情報を含むプログ
ラムを、携帯電話を介してサーバから受信して、付加情
報によりＥＥＰＲＯＭ及びフラッシュメモリの何れかを
特定し、特定した記憶素子に対応するプログラムをダウ
ンロードするものである。

【００１６】＜システム構成＞図１は、本発明の実施の
形態１に係るセキュアシステムの構成を示す図である。
図１に示すようにセキュアシステムは、サーバ１、携帯
電話２、及び、セキュアデバイス１０から構成される。

【００１７】サーバ１は、予めプログラム毎に付加情報
を記録しておき、サーバ１の操作者による指示操作、又
は、携帯電話２の利用者による要求操作に応じて、付加
情報を含むプログラムを電話回線を介して携帯電話２に
送信する。ここで付加情報は、例えばＴＲＭ１２内に実
装するＥＥＰＲＯＭ１９であるかＴＲＭ１２外に実装す
るフラッシュメモリ１８であるかを指定するフラグや、
記憶素子毎に設定されている保護レベルを示す数値であ
る。

【００１８】携帯電話２は、電話回線を介してサーバ１
から、付加情報を含むプログラムを受信する。セキュア
デバイス１０は、例えばＪＡＶＡ（登録商標） Ｃａｒ
ｄ等のダウンロード機能を備えるＳＭＭＣであり、利用
者等によって携帯電話２に装着され、携帯電話２から受
信された付加情報を含むプログラムを受取り、付加情報
を用いてＥＥＰＲＯＭ１９及びフラッシュメモリ１８の
何れかを特定して、特定した記憶素子にプログラムをダ
ウンロードする。

【００１９】セキュアデバイスの外形は、例えば従来の
ＳＭＭＣと同様に切手大程度のサイズや、従来のＩＣカ
ードのサイズであり、他の形状であってもよい。図１に
示すようにセキュアデバイス１０は、ＴＲＭ１２外にカ
ードインタフェース回路１１、及び、フラッシュメモリ
１８を備え、ＴＲＭ１２内に、暗号処理エンジン１３、
セキュリティ鍵情報１４、ＣＰＵ１５、ＲＯＭ１６、Ｒ
ＡＭ１７、ＥＥＰＲＯＭ１９、付加情報処理部２０を備
える。

【００２０】ここでダウンロードするプログラムは、例
えば、有料のアプリケーションプログラム、課金に関わ
るプログラム、及び、カード内に記録されているプログ
ラムのバージョンアップ版等であり、セキュアデバイス
１０において相応の安全性を確保しつつ利用しなければ
ならない。また、ＴＲＭ１２内に実装するＥＥＰＲＯＭ
１９は、格納しているプログラムに対して外部から不正
なアクセスが出来ず改竄が困難であるので、本明細書に
おいて保護レベルが高いと表現する。

【００２１】一方、ＴＲＭ１２外に実装するフラッシュ
メモリ１８は、格納しているプログラムに対して外部か
ら不正なアクセスが比較的容易にできるので、本明細書
において保護レベルが低いと表現する。カードインタフ
ェース回路１１は、携帯電話２とデータのやり取りを行
うもであり、携帯電話２から付加情報を含むプログラム
を受け取る。

【００２２】ＴＲＭ１２は、耐タンパモジュール（Ｔａ
ｍｐｅｒ Ｒｅｓｉｓｔａｎｔ Ｍｏｄｕｌｅ）であ
り、内部に記録されているデータに対する外部からの不
正なアクセスや改竄を困難にする対策が施された部分で
ある。暗号処理エンジン１３は、プログラムをフラッシ
ュメモリに格納する際に暗号化したり、プログラムの安
全性を確認する為に施されたＭＡＣ情報（Ｍｅｓｓａｇ
ｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）やデジ
タル署名の認証等を行う。

【００２３】セキュリティ鍵情報１４は、暗号処理エン
ジン１３による暗号処理や認証処理等に用いられる。付
加情報処理部２０は、カードインタフェース回路１１が
受け取ったプログラムに含まれる付加情報の意味を解析
して、対応するプログラムの格納すべき記憶素子がＥＥ
ＰＲＯＭ１９及びフラッシュメモリ１８の何れであるか
を特定する。

【００２４】ＣＰＵ１５は、予めＲＯＭ１６に格納され
たプログラムを実行し、ＲＡＭ１７、フラッシュメモリ
１８、及び、ＥＥＰＲＯＭ１９を用いて、暗号処理エン
ジン１３、及び、付加情報処理部２０の制御を行い、付
加情報処理部２０により特定された記憶素子に、カード
インタフェース回路１１が受け取ったプログラムをダウ
ンロードする。

【００２５】なお、暗号処理エンジン１３、及び、付加
情報処理部２０は、ＲＯＭ１６に格納されたプログラム
をＣＰＵ１５が実行することにより実現されるものであ
ってもよい。 （実施の形態１) ＜セキュアデバイスの構成＞図２は、本発明の実施の形
態１に係るセキュアデバイス１００の構成を示す図であ
る。

【００２６】図２に示すセキュアデバイス１００は、Ｔ
ＲＭ１１０外にプログラム入手部１０１、及び、低保護
レベル記憶部１０２を備え、ＴＲＭ１１０内に、高保護
レベル記憶部１１８、付加情報解析部１１１、領域検索
部１１２、保護レベル判定部１１３、移動部１１４、プ
ログラム格納部１１５、エラー出力部１１６、暗号処理
部１１７を備える。

【００２７】プログラム入手部１０１は、図１に示した
カードインタフェース回路１１に相当し、携帯電話から
付加情報を含むプログラムを入手する。低保護レベル記
憶部１０２は、例えばＴＲＭ外に実装するフラッシュメ
モリ等の、保護レベルが低い記憶素子である。高保護レ
ベル記憶部１１８は、例えばＴＲＭ内に実装するＥＥＰ
ＲＯＭ等の、保護レベルが高い記憶素子である。

【００２８】付加情報解析部１１１は、プログラム入手
部１０１により入手されたプログラムに含まれる付加情
報を解析して、領域検索部１１２、及び、暗号処理部１
１７に動作指示を出す。領域検索部１１２は、プログラ
ム入手部１０１により入手されたプログラムを格納でき
るだけの空いている記憶領域を、付加情報解析部１１１
の指示に従って、高保護レベル記憶部１１８、及び、低
保護レベル記憶部１０２から検索して、当該記憶領域が
存在するか否かを判断する。

【００２９】保護レベル判定部１１３は、領域検索部１
１２により検索された記憶領域が、付加情報の意味に適
合するかを判定することによって、プログラム入手部１
０１により入手されたプログラムの格納場所を決定し、
必要に応じてエラー情報を出力するようにエラー出力部
１１６に指示する。図３は、本実施の形態１における付
加情報を示す図である。

【００３０】図３に示すように本実施の形態１において
は、付加情報は５ビットとする。付加情報の下位２ビッ
トは、“００”“０１”“１０”“１１”の４段階の保
護レベルのうちの何れかを示す。下位２ビット“００”
は、対応するプログラムを高保護レベル記憶部１１８中
の空いている記憶領域に格納すべき旨、及び、対応する
プログラムを格納できるだけの空いている記憶領域が高
保護レベル記憶部１１８中に存在しない場合には格納せ
ずにエラー情報を携帯電話に返すべき旨を意味する。

【００３１】下位２ビット“０１”は、対応するプログ
ラムを高保護レベル記憶部１１８中の空いている記憶領
域に格納すべき旨、及び、対応するプログラムを格納で
きるだけの空いている記憶領域が高保護レベル記憶部１
１８中に存在しない場合には、高保護レベル記憶部１１
８中の記憶領域を空けて格納する旨を意味する。なお、
下位２ビット“０１”は、他のプログラムが格納されて
いる高保護レベル記憶部１１８中の記憶領域に上書きす
べき旨を意味することにしてもよい。

【００３２】下位２ビット“１０”は、対応するプログ
ラムを低保護レベル記憶部１０２に格納すべき旨、及
び、対応するプログラムを格納できるだけの空いている
記憶領域が低保護レベル記憶部１０２中に存在しない場
合には格納せずにエラー情報を携帯電話に返すべき旨を
意味する。下位２ビット“１１”は、対応するプログラ
ムを格納できるだけの空いている記憶領域が高保護レベ
ル記憶部１１８中に存在する場合には高保護レベル記憶
部１１８に格納すべき旨、存在しない場合には低保護レ
ベル記憶部１０２に格納すべき旨、及び、対応するプロ
グラムを格納できるだけの空いている記憶領域が低保護
レベル記憶部１０２中に存在しない場合には格納せずに
エラー情報を携帯電話に返すべき旨を意味する。

【００３３】付加情報の下位から３ビット目は、対応す
るプログラムを低保護レベル記憶部１０２に格納する際
に、暗号化するか否かを示す。ここでは下位から３ビッ
ト目“０”は、暗号化しない旨を意味し、下位から３ビ
ット目“１”は、暗号化する旨を意味することとする。
付加情報の下位から４ビット目は、対応するプログラム
を低保護レベル記憶部１０２に格納する際に、ＭＡＣ情
報の付加やデジタル署名等を施すか否かを示す。

【００３４】ここでは下位から４ビット目“０”は、Ｍ
ＡＣ情報を付加せずデジタル署名を施さない旨を意味
し、下位から４ビット目“１”は、ＭＡＣ情報を付加し
デジタル署名を施す旨を意味することとする。付加情報
の最上位ビット（下位から５ビット目）は、セキュアデ
バイス１００の利用者が、対応するプログラムの格納場
所を自由に決めてよいか否かを示す。

【００３５】ここでは最上位ビット“０”は、格納場所
を自由に決めてはならない旨を意味し、最上位ビット
“１”は、下位２ビットが示す保護レベルに依存するこ
となく格納場所を自由に決めてよい旨を意味することと
する。ここで保護レベル判定部１１３は、高保護レベル
記憶部１１８から記憶領域が検索された場合であって、
最上位ビットが“０”かつ下位２ビットが“００”、
“０１”、“１１”の時には、検索された高保護レベル
記憶部１１８中の記憶領域を格納場所に決定する。

【００３６】また保護レベル判定部１１３は、低保護レ
ベル記憶部１０２から記憶領域が検索された場合であっ
て、最上位ビットが“０”かつ下位２ビットが“１０”
の時、及び、高保護レベル記憶部１１８から記憶領域が
検索されずかつ低保護レベル記憶部１０２から記憶領域
が検索された場合であって、最上位ビットが“０”かつ
下位２ビットが“１１”の時には、検索された低保護レ
ベル記憶部１０２中の記憶領域を格納場所に決定する。

【００３７】また保護レベル判定部１１３は、高保護レ
ベル記憶部１１８と低保護レベル記憶部１０２との少な
くとも一方から記憶領域が検索された場合であって、最
上位ビット“１”の時には、検索された何れかの記憶部
中の記憶領域を格納場所に決定する。また保護レベル判
定部１１３は、高保護レベル記憶部１１８から記憶領域
が検索されない場合であって、最上位ビットが“０”か
つ下位２ビットが“０１”の時には、移動部１１４に高
保護レベル記憶部１１８中の記憶領域を空ける処理を実
施するよう指示する。なお、下位２ビット“０１”が、
他のプログラムが格納されている高保護レベル記憶部１
１８中の記憶領域に上書きすべき旨を意味することにし
た場合には、他のプログラムが格納されている高保護レ
ベル記憶部１１８中の記憶領域を格納場所に決定する。

【００３８】また保護レベル判定部１１３は、高保護レ
ベル記憶部１１８から記憶領域が検索されない場合であ
って、最上位ビットが“０”かつ下位２ビットが“０
０”の時、低保護レベル記憶部１０２から記憶領域が検
索されない場合であって、最上位ビットが“０”かつ下
位２ビットが“１０”の時、高保護レベル記憶部１１８
と低保護レベル記憶部１０２との両方から記憶領域が検
索されない場合であって、最上位ビットが“１”の時、
又は、最上位ビットが“０”かつ下位２ビットが“１
１”の時には、エラー情報を出力するようにエラー出力
部１１６に指示する。

【００３９】移動部１１４は、高保護レベル記憶部１１
８から記憶領域が検索されず、付加情報の最上位ビット
“０”、下位２ビットが“０１”の場合に、高保護レベ
ル記憶部１１８に格納されているプログラムのそれぞれ
に付加されている付加情報を読み出し、これら付加情報
のうち、最上位ビット“０”、又は、下位２ビットが
“１１”である付加情報を抽出し、抽出した付加情報に
対応するプログラムを低保護レベル記憶部１０２に移動
し、プログラム入手部１０１により入手されたプログラ
ムを格納するための記憶領域を高保護レベル記憶部１１
８中に確保する。

【００４０】ここで、必要な容量の記憶領域を確保でき
ない場合には、エラー情報を出力するようにエラー出力
部１１６に指示する。なお、必要な容量の記憶領域を確
保できない場合に、他のプログラムが格納されている高
保護レベル記憶部１１８中の記憶領域を格納場所に決定
することにしてもよい。プログラム格納部１１５は、保
護レベル判定部１１３により決定又は移動部１１４によ
り確保された格納場所に、プログラム入手部１０１によ
り入手されたプログラムを格納する。

【００４１】エラー出力部１１６は、保護レベル判定部
１１３によりエラー情報を出力すると決定された場合
に、その旨の指示を受けてエラー情報を携帯電話に返
し、携帯電話の表示部にデジタルデータを格納できない
旨を提示させる。暗号処理部１１７は、セキュアデバイ
ス毎に異なるＩＤ情報を保持し、プログラム入手部１０
１により入手されたプログラムを低保護レベル記憶部１
０２に格納する際、及び、プログラムを高保護レベル記
憶部１１８から低保護レベル記憶部１０２に移動する際
に、付加情報の下位から４ビット目が“１”の場合に
は、ＭＡＣ情報を付加しデジタル署名を施し、付加情報
の下位から３ビット目が“１”の場合には、保持してい
るＩＤ情報を用いてプログラムを暗号化する。

【００４２】ここで、暗号処理部１１７は、プログラム
を高保護レベル記憶部１１８に格納する際にも、付加情
報の下位から４ビット目が“１”の場合には、ＭＡＣ情
報を付加しデジタル署名を施し、付加情報の下位から３
ビット目が“１”の場合には、保持しているＩＤ情報を
用いてプログラムを暗号化してもよい。 ＜動作＞図４は、本発明の実施の形態１に係るセキュア
デバイス１００における、プログラムのダウンロード処
理の動作を示す図である。

【００４３】以下に、プログラムのダウンロード処理の
動作について説明する。 （１）プログラム入手部１０１が、携帯電話から付加情
報を含むプログラムを受け取る（Ｓ１）。 （２）付加情報解析部１１１が、付加情報の最上位ビッ
トが“０”であるか“１”であるかを解析する（Ｓ
２）。

【００４４】（３）最上位ビットが“１”である場合
は、領域検索部１１２が、プログラム入手部１０１によ
り入手されたプログラムを格納できるだけの空いている
記憶領域を、高保護レベル記憶部１１８、及び、低保護
レベル記憶部１０２から検索して、当該記憶領域が少な
くとも一方の記憶部に存在するか否かを判断する（Ｓ
３）。存在しない場合は、エラー処理を行う。

【００４５】（４）存在する場合は、利用者の直接指示
や利用者により予め設定されている指示等に基づいて、
検索された何れかの記憶部中の記憶領域を格納場所に決
定する（Ｓ４）。 （５）最上位ビットが“０”である場合は、保護レベル
判定部１１３が、付加情報の下位２ビットが“１０”で
あるか否かを判定する（Ｓ５）。

【００４６】（６）下位２ビットが“１０”である場合
は、領域検索部１１２が、プログラム入手部１０１によ
り入手されたプログラムを格納できるだけの空いている
記憶領域が、低保護レベル記憶部１０２に存在するか否
かを検索して、当該記憶領域が存在するか否かを判断す
る（Ｓ６）。存在しない場合は、エラー処理を行う。 （７）存在する場合には、保護レベル判定部１１３が、
検索された低保護レベル記憶部１０２中の記憶領域を格
納場所に決定する（Ｓ７）。

【００４７】（８）下位２ビットが“１０”でない場合
は、領域検索部１１２が、プログラム入手部１０１によ
り入手されたプログラムを格納できるだけの空いている
記憶領域が、高保護レベル記憶部１１８に存在するか否
かを検索して、当該記憶領域が存在するか否かを判断す
る（Ｓ８）。 （９）存在する場合には、保護レベル判定部１１３が、
検索された高保護レベル記憶部１１８中の記憶領域を格
納場所に決定する（Ｓ９）。

【００４８】（１０）存在しない場合には、保護レベル
判定部１１３が、付加情報の下位２ビットが“００”で
あるか否かを判定する（Ｓ１０）。下位２ビットが“０
０”である場合は、エラー処理を行う。 （１１）下位２ビットが“００”でない場合は、保護レ
ベル判定部１１３が、付加情報の下位２ビットが“０
１”であるか否かを判定する（Ｓ１１）。

【００４９】（１２）下位２ビットが“０１”である場
合は、移動部１１４が、高保護レベル記憶部１１８に格
納されているプログラムを、それぞれに付加されている
付加情報に基づいて低保護レベル記憶部１０２に移動
し、記憶領域を高保護レベル記憶部１１８中に確保する
（Ｓ１２）。確保出来ない場合にはエラー処理を行う。
ここで、高保護レベル記憶部１１８に格納されている移
動対象のプログラムに、暗号処理部１１７による各処理
が施されていない場合には、当該プログラムの移動に際
して、付加情報の下位から４ビット目に応じてＭＡＣ情
報を付加しデジタル署名を施し、３ビット目に応じてプ
ログラムを暗号化する。

【００５０】（１３）下位２ビットが“０１”でない場
合は“１１”であるので、領域検索部１１２が、プログ
ラム入手部１０１により入手されたプログラムを格納で
きるだけの空いている記憶領域が、低保護レベル記憶部
１０２に存在するか否かを検索して、当該記憶領域が存
在するか否かを判断する（Ｓ１３）。存在しない場合
は、エラー処理を行う。

【００５１】（１４）存在する場合には、保護レベル判
定部１１３が、検索された低保護レベル記憶部１０２中
の記憶領域を格納場所に決定する（Ｓ１４）。 （１５）プログラム格納部１１５が、決定又は確保され
た格納場所にプログラムを格納する（Ｓ１９）。ここ
で、当該プログラムを低保護レベル記憶部１０２に格納
する際には、付加情報解析部１１１が付加情報の下位か
ら４ビット目及び３ビット目を解析し、暗号処理部１１
７が、解析結果に応じてＭＡＣ情報を付加しデジタル署
名を施し、またプログラムを暗号化する。

【００５２】（１６）格納場所を検索又は確保できない
場合には、エラー出力部１１６が、エラー情報を携帯電
話に返す（Ｓ２０）。 （実施の形態２) ＜セキュアデバイスの構成＞図５は、本発明の実施の形
態２に係るセキュアデバイス２００の構成を示す図であ
る。

【００５３】なお、実施の形態１と同様の構成要素には
同一番号を付し、その説明を省略する。図５に示すセキ
ュアデバイス２００は、ＴＲＭ２１０外にプログラム入
手部１０１、及び、低保護レベル記憶部１０２を備え、
ＴＲＭ２１０内に、高保護レベル記憶部１１８、付加情
報解析部１１１、領域検索部１１２、保護レベル判定部
２１３、移動部２１４、プログラム格納部１１５、エラ
ー出力部１１６、暗号処理部１１７を備える。

【００５４】保護レベル判定部２１３は、保護レベル判
定部２１３は、優先度が高いプログラムから順に高保護
レベル記憶部１１８に格納し、高保護レベル記憶部１１
８に空き領域が足らなくなったら、低保護レベル記憶部
１０２に格納し、必要に応じてエラー情報を出力するよ
うにエラー出力部１１６に指示する。図６は、本実施の
形態２における付加情報を示す図である。

【００５５】図６に示すように本実施の形態２において
は、付加情報は５ビットとする。付加情報の下位２ビッ
トは、“００”“０１”“１０”“１１”の４段階のプ
ログラムの優先度のうちの何れかを示す。下位２ビット
“００”はプログラムの優先度が最も高い事を意味す
る。下位２ビット“０１”はプログラムの優先度が２番
目に高い事を意味する。

【００５６】下位２ビット“１０”はプログラムの優先
度が３番目に高い事を意味する。下位２ビット“１１”
はプログラムの優先度が４番目に高い事を意味する。付
加情報の下位から３ビット目、４ビット目及び最上位ビ
ットは、実施の形態１と同様である。ここで保護レベル
判定部２１３は、高保護レベル記憶部１１８から記憶領
域が検索された場合には、検索された高保護レベル記憶
部１１８中の記憶領域を格納場所に決定する。

【００５７】また保護レベル判定部２１３は、高保護レ
ベル記憶部１１８から記憶領域が検索されなかった場合
であって、付加情報の最上位ビット“０”かつ下位２ビ
ットが“００”“０１”“１０”の時には、移動部２１
４に高保護レベル記憶部１１８中の記憶領域を空ける処
理を実施するよう指示する。また保護レベル判定部２１
３は、高保護レベル記憶部１１８から記憶領域が検索さ
れず、低保護レベル記憶部１０２から記憶領域が検索さ
れた場合であって、付加情報の最上位ビット“０”かつ
下位２ビットが“１１”の時には、検索された低保護レ
ベル記憶部１０２中の記憶領域を格納場所に決定する。

【００５８】移動部２１４は、高保護レベル記憶部１１
８から記憶領域が検索されず、付加情報の最上位ビット
“０”、下位２ビットが“００”“０１”“１０”の場
合に、高保護レベル記憶部１１８に格納されているプロ
グラムのそれぞれに付加されている付加情報を読み出
し、これら付加情報のうち、元の付加情報よりも優先度
が低い付加情報を抽出し、抽出した付加情報に対応する
プログラムを低保護レベル記憶部１０２に移動し、プロ
グラム入手部１０１により入手されたプログラムを格納
するための記憶領域を高保護レベル記憶部１１８中に確
保する。

【００５９】ここで、記憶領域を高保護レベル記憶部１
１８中に確保できなかった場合には、記憶領域を低保護
レベル記憶部１０２中に確保する。また、記憶領域を低
保護レベル記憶部１０２中にも確保できなかった場合に
は、保護レベル判定部２１３がエラー情報を出力するよ
うにエラー出力部１１６に指示する。

【００６０】また、例えば、付加情報の下位から２ビッ
ト目が“０”の場合には、高保護レベル記憶部１１８に
のみ格納を許可するように予め取り決めていたとする
と、移動部２１４は下位から２ビット目が“０”の付加
情報に対応するプログラムの移動は行わず、また、保護
レベル判定部２１３は高保護レベル記憶部１１８中に記
憶領域が検索されなかった場合であって、付加情報の下
位から２ビット目が“０”の時には、低保護レベル記憶
部１０２に記憶領域が検索されたとしても低保護レベル
記憶部１０２中の記憶領域を格納場所に決定はせずに、
エラー情報を出力するようにエラー出力部１１６に指示
する。

【００６１】＜動作＞図７は、本発明の実施の形態２に
係るセキュアデバイス２００における、プログラムのダ
ウンロード処理の動作を示す図である。以下に、プログ
ラムのダウンロード処理の動作について説明する。な
お、実施の形態１と同様のステップには同一番号を付し
その説明を省略する。

【００６２】（１）実施の形態１の（１）と同じ。 （２）実施の形態１の（２）と同じ。 （３）実施の形態１の（３）と同じ。 （４）実施の形態１の（４）と同じ。 （５）最上位ビットが“０”である場合は、領域検索部
１１２が、プログラム入手部１０１により入手されたプ
ログラムを格納できるだけの空いている記憶領域が、高
保護レベル記憶部１１８に存在するか否かを検索して、
当該記憶領域が存在するか否かを判断する（Ｓ２１）。

【００６３】（６）存在する場合には、保護レベル判定
部１１３が、検索された高保護レベル記憶部１１８中の
記憶領域を格納場所に決定する（Ｓ２２）。 （７）存在しない場合には、保護レベル判定部１１３
が、付加情報の下位２ビットが“１１”であるか否かを
判定する（Ｓ２３）。 （８）下位２ビットが“１１”である場合は、領域検索
部１１２が、プログラム入手部１０１により入手された
プログラムを格納できるだけの空いている記憶領域が、
低保護レベル記憶部１０２に存在するか否かを検索し
て、当該記憶領域が存在するか否かを判断する（Ｓ２
４）。存在しない場合は、エラー処理を行う。

【００６４】（９）存在する場合には、保護レベル判定
部１１３が、検索された低保護レベル記憶部１０２中の
記憶領域を格納場所に決定する（Ｓ２５）。 （１０）下位２ビットが“１１”でない場合は、移動部
２１４が、高保護レベル記憶部１１８に格納されている
プログラムのそれぞれに付加されている付加情報を読み
出し、これら付加情報のうち、元の付加情報よりも優先
度が低い付加情報を抽出し、抽出した付加情報に対応す
るプログラムを低保護レベル記憶部１０２に移動し、プ
ログラム入手部１０１により入手されたプログラムを格
納するための記憶領域を高保護レベル記憶部１１８中に
確保する（Ｓ２６）。

【００６５】ここで、高保護レベル記憶部１１８に格納
されている移動対象のプログラムに、暗号処理部１１７
による各処理が施されていない場合には、当該プログラ
ムの移動に際して、付加情報の下位から４ビット目に応
じてＭＡＣ情報を付加しデジタル署名を施し、３ビット
目に応じてプログラムを暗号化する。 （１１）記憶領域を高保護レベル記憶部１１８中に確保
できない場合には、記憶領域を低保護レベル記憶部１０
２中に確保する（Ｓ２７）。記憶領域を低保護レベル記
憶部１０２中にも確保できない場合には、エラー処理を
行う。

【００６６】（１２）実施の形態１の（１５）と同じ
（Ｓ１５）。 （１３）実施の形態１の（１６）と同じ（Ｓ１６）。 （変形例）なお、付加情報は対応するプログラムと切り
離しができないように、プログラムファイルのヘッダに
付加情報をプログラムＩＤと共に記録し、ヘッダを含む
プログラムファイル全体に対して、ＭＡＣ情報を付加し
たりデジタル署名を施し、本発明のセキュアデバイスが
プログラムのダウンロードの条件として、ＭＡＣ情報や
デジタル署名の認証を行なってもよいし、また、プログ
ラムを実行することにより付加情報を出力するものであ
ってもよい。

【００６７】また、本発明の実施の形態１及び２では、
付加情報をプログラムと共に格納し、格納したプログラ
ムを移動する際に用いているが、移動等を行なわず格納
後に付加情報を使わない場合には付加情報を格納しなく
てもよいので、付加情報を除いてプログラムのみを格納
しても構わない。また、本発明の実施の形態１及び２で
は、プログラムを格納する記憶素子として、保護レベル
が異なる２種類の記憶素子を用いて説明したが、保護レ
ベルが異なる３種類以上の記憶素子を用いても同様に実
施できる。

【００６８】また、本発明の実施の形態１及び２では、
プログラム毎に付加情報を対応付けているが、１つのプ
ログラムに複数の付加情報を対応付けてもよい。例え
ば、１つのプログラムを複数のサブプログラムに分割し
てサブプログラム毎に付加情報を対応付けることによっ
て、決算プログラムの中で料金を直接処理しているよう
な秘匿性の高いサブプログラムだけを保護レベルの高い
記憶素子に格納することができる。また例えば、プログ
ラム中のメインルーチンと各サブルーチンを分離して各
ルーチン毎に付加情報を対応付け、メインルーチンを保
護レベルの高い記憶素子に格納することによってプログ
ラムを難読化することができ、あるいは、各サブルーチ
ンのうち秘匿性の高いサブルーチンだけを保護レベルの
高い記憶素子に格納することができる。

【００６９】また、本発明の実施の形態１及び２では、
ダウンロードの対象をプログラムとして説明したが、デ
ジタルコンテンツであってもよいし、他のデジタルデー
タであってもよい。 （まとめ）以上のように、本発明のセキュアデバイスに
よれば、プログラムに含まれる付加情報に基づいてプロ
グラムの格納場所を決定する事ができるので、プログラ
ムの管理者が付加情報を予め設定しておくことによっ
て、ＴＲＭ内に実装する記憶領域の容量を越えるプログ
ラムを、各プログラムの管理者が必要とする安全性を確
保しつつ、ダウンロードすることができる。

【００７０】ここで、産業上の利用の可能性という観点
で考えると、本発明は、インターネット等のネットワー
クを介して、音楽コンテンツや動画像コンテンツの配信
を受けるコンテンツ配信サービス、及び、モバイルＥＣ
サービス等の様々な電子情報サービスに適用することが
できる。本発明のセキュアデバイスにより、ＴＲＭ内に
実装する記憶領域の容量を越えるプログラムを、各プロ
グラムの管理者が必要とする安全性を確保しつつダウン
ロードすることができ、利用者は本発明のセキュアデバ
イスを自分の携帯電話に装着して、外出先からコンテン
ツ配信サービスやモバイルＥＣサービス等を安全に行う
ことができる。

【００７１】

【発明の効果】本発明に係るセキュアデバイスは、デジ
タルデータを格納して利用に供するセキュアデバイスで
あって、それぞれが記憶領域を備える複数の記憶手段
と、格納先となる記憶手段を特定するための格納先情報
が付加されたデジタルデータを入手する入手手段と、前
記格納先情報により特定される記憶手段に前記デジタル
データを格納する処理手段とを備えることを特徴とす
る。

【００７２】本発明に係る格納方法は、デジタルデータ
を格納して利用に供するセキュアデバイスにおける格納
方法であって、前記セキュアデバイスはそれぞれが記憶
領域を備え、当該格納方法は、格納先となる記憶手段を
特定するための格納先情報が付加されたデジタルデータ
を入手する入手ステップと、前記格納先情報により特定
される記憶手段に前記デジタルデータを格納する処理ス
テップとを含むことを特徴とする。

【００７３】これらによって、デジタルデータの管理者
がデジタルデータ毎に格納先を設定しておき、ＴＲＭ内
に実装するＥＥＰＲＯＭのような保護レベルが高い記憶
手段の容量が足らない場合に、各デジタルデータの管理
者によって設定された格納先情報に基づいて、管理者に
よって許可されているデジタルデータであればＴＲＭ外
に実装するフラッシュメモリのような保護レベルが低い
記憶手段に記録することができるので、デジタルデータ
を価値に応じて効率よく記録することができる。

【００７４】従って、ＴＲＭ内に実装する記憶領域の容
量を越えるプログラムを、プログラムの管理者が必要と
する安全性を確保しつつ、ダウンロードすることができ
る。また、セキュアデバイスにおいて、前記複数の記憶
手段にはそれぞれ保護レベルが設定されており、前記格
納先情報は保護レベルを示し、前記処理手段は、前記格
納先情報が示す保護レベルと同じ保護レベルが設定され
ている記憶手段を前記デジタルデータの格納先として特
定することを特徴とすることもできる。

【００７５】これによって、デジタルデータの管理者が
デジタルデータ毎に保護レベルを設定しておき、保護レ
ベルが一致する記憶手段を格納先として特定することが
できるので、デジタルデータを価値に応じて効率よく記
録することができる。また、セキュアデバイスにおい
て、前記複数の記憶手段にはそれぞれ保護レベルが設定
されており、前記格納先情報は保護レベルを示し、前記
処理手段は、前記格納先情報が示す保護レベル以上の保
護レベルが設定されている記憶手段のうちの１つを前記
デジタルデータの格納先として特定することを特徴 と
することもできる。

【００７６】これによって、デジタルデータの管理者が
デジタルデータ毎に保護レベルを設定しておき、保護レ
ベルが同等以上の記憶手段を格納先として特定すること
ができるので、デジタルデータを価値に応じて効率よく
記録することができる。また、セキュアデバイスにおい
て、前記処理手段は、前記入手手段により入手された格
納先情報が示す保護レベル以上の保護レベルが設定され
た記憶手段のうち前記デジタルデータを格納するための
空いている記憶領域を確保できる記憶手段を全て検索す
る検索手段と、検索手段により検索された記憶手段のう
ち一番高い保護レベルが設定されている記憶手段を前記
デジタルデータの格納場所として決定する決定手段と、
前記デジタルデータを決定手段により決定された記憶手
段に格納する格納手段とを含むことを特徴とすることも
できる。

【００７７】これによって、空いている記憶領域を確保
できる記憶手段のうち、一番高い保護レベルが設定され
ている記憶手段を格納先として特定することができるの
で、それぞれのデジタルデータをできるだけ安全に記録
することができる。また、セキュアデバイスにおいて、
前記処理手段は、さらに、前記検索手段により何れの記
憶手段も検索されなかった場合に利用者にデジタルデー
タを格納できない旨を提示するためのエラー情報を出力
する出力手段を含むことを特徴とすることもできる。

【００７８】これによって、空いている記憶領域が無い
場合に、利用者にデジタルデータを格納できない旨を提
示することができる。また、セキュアデバイスにおい
て、前記処理手段は、さらに、前記検索手段により何れ
の記憶手段も検索されなかった場合に、（１）前記入手
手段により入手された格納先情報が示す第１保護レベル
以上の保護レベルが設定されている記憶手段に格納され
ているデジタルデータのそれぞれに付加された格納先情
報を読み出し、（２）読み出した格納先情報のうち、そ
れぞれの格納先情報が示す保護レベルが、当該第１保護
レベルよりも低い格納先情報を抽出し、（３）抽出した
格納先情報に対応するデジタルデータを、当該第１保護
レベルよりも低く、且つ、それぞれの格納先情報が示す
保護レベル以上の保護レベルが設定されている記憶手段
に移動することにより、前記入手手段により入手された
デジタルデータを格納するための記憶領域を確保する移
動手段を含み、前記格納手段は、移動手段により確保さ
れた記憶領域に前記入手手段により入手されたデジタル
データを格納することを特徴とすることもできる。

【００７９】これによって、先に格納されているデジタ
ルデータを格納先情報に基づいて移動して、新しいデジ
タルデータを格納するための記憶領域を確保することが
できるので、それぞれのデジタルデータを価値に応じて
効率よく記録することができる。また、セキュアデバイ
スにおいて、記処理手段は、さらに、前記移動手段によ
り記憶領域を確保できない場合に利用者にデジタルデー
タを格納できない旨を提示するためのエラー情報を出力
する出力手段を含むことを特徴とすることもできる。

【００８０】これによって、先に格納されているデジタ
ルデータを移動しても記憶領域を確保できない場合に、
利用者にデジタルデータを格納できない旨を提示するこ
とができる。また、セキュアデバイスにおいて、前記複
数の記憶手段にはそれぞれ保護レベルが設定されてお
り、前記格納先情報は保護レベルを示し、さらに、前記
対応するデジタルデータの格納先として当該保護レベル
が設定されている記憶手段のみを格納先として特定する
か、及び、当該保護レベルが設定されている記憶手段以
上の保護レベルが設定された記憶手段を格納先として特
定するかのどちらかを指定し、前記処理手段は、前記格
納先情報に従い前記格納先情報が示す保護レベルが設定
されている記憶手段を、又は、前記格納先情報が示す保
護レベル以上の保護レベルが設定されている記憶手段の
うちの１つを前記デジタルデータの格納先として特定す
ることを特徴とすることもできる。

【００８１】これによって、保護レベルが一致する記憶
手段を格納先として特定するか、保護レベルが同等以上
の記憶手段を格納先として特定するかを、デジタルデー
タの管理者がデジタルデータ毎に設定することができる
ので、設定の柔軟性が高い。また、セキュアデバイスに
おいて、前記格納先情報は前記対応するデジタルデータ
の格納先を当該セキュアデバイスにおいて格納する際に
任意に決定してもよいか否かを指定し、前記処理手段
は、前記格納先情報に従い任意に決定する記憶手段に、
又は、前記格納先情報により特定される記憶手段に前記
デジタルデータを格納することを特徴とすることもでき
る。

【００８２】これによって、格納先を当該セキュアデバ
イスにおいて格納する際に任意に決定してもよいか否か
を、デジタルデータの管理者がデジタルデータ毎に設定
することができるので、設定の柔軟性が高い。また、セ
キュアデバイスにおいて、前記複数の記憶手段にはそれ
ぞれ保護レベルが設定されており、前記格納先情報はデ
ジタルデータを所定の保護レベル以下の記憶手段に格納
する際に暗号化するか否かを指定し、前記処理手段は、
デジタルデータを前記所定の保護レベル以下の記憶手段
に格納する際に前記格納先情報に従い当該デジタルデー
タを暗号化して格納するか、又は、そのまま格納するこ
とを特徴とすることもできる。

【００８３】これによって、デジタルデータを所定の保
護レベル以下の記憶手段に格納する際に暗号化するか否
かを、デジタルデータの管理者がデジタルデータ毎に設
定することができるので、設定の柔軟が高い。また、セ
キュアデバイス毎に固有の鍵を用いて暗号化して格納す
る場合には、フラッシュメモリのような保護レベルが低
い記憶手段に格納したデジタルデータが、他のセキュア
デバイスに不正にコピーされるといった攻撃を回避でき
る。

【００８４】つまり、他のセキュアデバイスに不正にコ
ピーされたとしても、鍵が異なるので正しく復号するこ
とができないため、正常に利用できない。また、セキュ
アデバイスにおいて、前記複数の記憶手段にはそれぞれ
保護レベルが設定されており、前記格納先情報はデジタ
ルデータを所定の保護レベル以下の記憶手段に格納する
際にデジタルデータに改竄検出用の情報を付加するか否
かを指定し、前記処理手段は、デジタルデータを前記所
定の保護レベル以下の記憶手段に格納する際に前記格納
先情報に従い当該デジタルデータに改竄検出用の情報を
付加して格納するか、又は、そのまま格納することを特
徴とすることもできる。

【００８５】これによって、デジタルデータを所定の保
護レベル以下の記憶手段に格納する際に改竄検出用の情
報を付加するか否かを、デジタルデータの管理者がデジ
タルデータ毎に設定することができるので、設定の柔軟
が高い。また、改竄検出用の情報を付加して格納する場
合には、フラッシュメモリのような保護レベルが低い記
憶手段に格納したデジタルデータや格納先情報が改竄さ
れてデジタルデータが不正に用いられるといった攻撃を
回避できる。

【００８６】つまり、デジタルデータや格納先情報が改
竄されたとしても、認証処理を行うことにより改竄され
ていることが解るので、改竄されている場合にはデジタ
ルデータの使用を禁止すればよい。また、セキュアデバ
イスにおいて、前記複数の記憶手段にはそれぞれ保護レ
ベルが設定されており、前記格納先情報はデジタルデー
タを所定の保護レベル以下の記憶手段に格納する際にデ
ジタルデータにデジタル署名を埋め込むか否かを指定
し、前記処理手段は、デジタルデータを前記所定の保護
レベル以下の記憶手段に格納する際に前記格納先情報に
従い当該デジタルデータにデジタル署名を埋め込んで格
納するか、又は、そのまま格納することを特徴とするこ
ともできる。

【００８７】これによって、デジタルデータを所定の保
護レベル以下の記憶手段に格納する際に、デジタル署名
を施すか否かを、デジタルデータの管理者がデジタルデ
ータ毎に設定することができるので、設定の柔軟が高
い。また、デジタル署名を施して格納する場合には、フ
ラッシュメモリのような保護レベルが低い記憶手段に格
納したデジタルデータや格納先情報が改竄されてデジタ
ルデータが不正に用いられるといった攻撃を回避でき
る。

【００８８】つまり、デジタルデータや格納先情報が改
竄されたとしても、認証処理を行うことにより改竄され
ていることが解るので、改竄されている場合にはデジタ
ルデータの使用を禁止すればよい。また、セキュアデバ
イスにおいて、前記複数の記憶手段にはそれぞれ保護レ
ベルが設定されており、前記格納先情報は前記デジタル
データの優先度を示し、少なくとも１つの記憶手段には
デジタルデータが格納され、記憶手段に格納されている
デジタルデータにはデジタルデータの優先度が設定さ
れ、記憶手段にはより優先度が高いデジタルデータがよ
り保護レベルが高い記憶手段に格納されている状態でデ
ジタルデータが格納されており、前記処理手段は、前記
格納先情報により示される優先度に基づいて前記状態を
維持したまま前記入手手段により入手されたデジタルデ
ータを格納することを特徴とすることもできる。

【００８９】これによって、デジタルデータの管理者が
デジタルデータ毎に優先度を設定しておき、優先度の高
さに応じて格納先を特定することができるので、デジタ
ルデータを効率よく記録することができる。また、セキ
ュアデバイスにおいて、記憶手段に格納されているデジ
タルデータにはデジタルデータの優先度を示す格納先情
報が付加されており、前記処理手段は、一番高い保護レ
ベルが設定されている記憶手段から順に、（１）前記入
手手段により入手されたデジタルデータを格納するため
の空いている記憶領域を確保できるか否かを判定し、
（２）判定が否定的な場合に、判定対象の記憶手段に格
納されているデジタルデータのそれぞれに付加された格
納先情報を読み出し、（３）読み出した格納先情報のう
ち、それぞれの格納先情報が示す優先度が、前記入手手
段により入手された格納先情報が示す優先度よりも低い
格納先情報を抽出し、（４）抽出した格納先情報を含む
デジタルデータを、移動するデジタルデータ対応する保
護レベルより低い保護レベルが設定されている記憶手段
に移動し、（５）前記判定が肯定的となるまで（１）〜
（４）の処理を繰り返すことにより、前記入手手段によ
り入手されたデジタルデータを格納するための記憶領域
を確保する移動手段と、移動手段により確保された記憶
領域に前記入手手段により入手されたデジタルデータを
格納する格納手段とを含むことを特徴とすることもでき
る。

【００９０】これによって、先に格納されているデジタ
ルデータを優先度に基づいて移動して、新しいデジタル
データを格納するための、できるだけ高い保護レベルが
設定されている記憶領域を確保することができるので、
それぞれのデジタルデータをできるだけ安全に記録する
ことができる。また、セキュアデバイスにおいて、前記
移動手段により読み出された格納先情報はデジタルデー
タを移動する場合に暗号化するか否かを指定し、前記移
動手段は、移動すべきデジタルデータに付加された格納
先情報に従い当該デジタルデータを暗号化して移動する
か、又は、そのまま移動することを特徴とすることもで
きる。

【００９１】これによって、デジタルデータを移動する
際に暗号化するか否かを、デジタルデータの管理者がデ
ジタルデータ毎に設定することができるので、設定の柔
軟が高い。また、セキュアデバイス毎に固有の鍵を用い
て暗号化して移動する場合には、フラッシュメモリのよ
うな保護レベルが低い記憶手段に移動したデジタルデー
タが、他のセキュアデバイスに不正にコピーされるとい
った攻撃を回避できる。

【００９２】つまり、他のセキュアデバイスに不正にコ
ピーされたとしても、鍵が異なるので正しく復号するこ
とができないため、正常に利用できない。また、セキュ
アデバイスにおいて、前記移動手段により読み出された
格納先情報はデジタルデータを移動する場合にデジタル
データに改竄検出用の情報を付加するか否かを指定し、
前記移動手段は、移動すべきデジタルデータに付加され
た格納先情報に従い当該デジタルデータに改竄検出用の
情報を付加して移動するか、又は、そのまま移動するこ
とを特徴とすることもできる。

【００９３】これによって、デジタルデータを移動する
際に改竄検出用の情報を付加する否かを、デジタルデー
タの管理者がデジタルデータ毎に設定することができる
ので、設定の柔軟が高い。また、改竄検出用の情報を付
加して移動する場合には、フラッシュメモリのような保
護レベルが低い記憶手段に移動したデジタルデータや格
納先情報が改竄されてデジタルデータが不正に用いられ
るといった攻撃を回避できる。

【００９４】つまり、デジタルデータや格納先情報が改
竄されたとしても、認証処理を行うことにより改竄され
ていることが解るので、改竄されている場合にはデジタ
ルデータの使用を禁止すればよい。また、セキュアデバ
イスにおいて、前記移動手段により読み出された格納先
情報はデジタルデータを移動する際にデジタルデータに
デジタル署名を埋め込むか否かを指定し、前記移動手段
は、移動すべきデジタルデータに付加された格納先情報
に従い当該デジタルデータにデジタル署名を埋め込んで
移動するか、又は、そのまま移動することを特徴とする
こともできる。

【００９５】これによって、デジタルデータを移動する
際にデジタル署名を施すか否かを、デジタルデータの管
理者がデジタルデータ毎に設定することができるので、
設定の柔軟が高い。また、デジタル署名を施して移動す
る場合には、フラッシュメモリのような保護レベルが低
い記憶手段に移動したデジタルデータや格納先情報が改
竄されてデジタルデータが不正に用いられるといった攻
撃を回避できる。

【００９６】つまり、デジタルデータや格納先情報が改
竄されたとしても、認証処理を行うことにより改竄され
ていることが解るので、改竄されている場合にはデジタ
ルデータの使用を禁止すればよい。また、セキュアデバ
イスにおいて、前記格納先情報は、さらに、保護レベル
を示し、前記移動手段は、前記入手手段により入手され
た格納先情報が示す保護レベルより低い保護レベルが設
定されている記憶手段においては前記処理を行わず、前
記処理手段は、さらに、移動手段により記憶領域を確保
できない場合に利用者にデジタルデータを格納できない
旨を提示するためのエラー情報を出力する出力手段を含
むことを特徴とすることもできる。

【００９７】これによって、デジタルデータの管理者
が、さらに、デジタルデータ毎に保護レベルを設定して
おき、保護レベルが低い記憶手段に対しては移動処理を
行わないので、デジタルデータの安全性を確保すること
ができる。また、記憶領域を確保できない場合に、利用
者にデジタルデータを格納できない旨を提示することが
できる。

【００９８】また、セキュアデバイスにおいて、前記入
手手段により入手されるデジタルデータはコンピュータ
プログラムであり、複数のサブプログラムを含み、サブ
プログラム毎に格納先情報が付加されており、前記処理
手段は、サブプログラム毎にそれぞれに付加された格納
先情報により特定される記憶手段に、対応するサブプロ
グラムを格納することを特徴とすることもできる。

【００９９】これによって、デジタルデータの管理者
が、サブプログラム毎に格納先情報を設定しておき、格
納先情報に基づいて、サブプログラム毎に格納先の記憶
手段を特定することができるので、各サブプログラムの
価値に応じて効率よく記録することができる。また、セ
キュアデバイスにおいて、前記複数の記憶手段にはそれ
ぞれ保護レベルが設定されており、前記入手手段により
入手されるデジタルデータはコンピュータプログラムで
あり１つのメインルーチンと複数のサブルーチンを含
み、各ルーチン毎に格納先情報が付加され特にメインル
ーチンに付加された格納先情報は保護レベルが高い記憶
手段に格納すべき事を示し、前記処理手段は、ルーチン
毎にそれぞれに付加された格納先情報により特定される
記憶手段に、対応するルーチンを格納することを特徴と
することもできる。

【０１００】これによって、デジタルデータの管理者
が、ルーチン毎に格納先情報を設定しておき、格納先情
報に基づいて、ルーチン毎に格納先の記憶手段を特定す
ることができるので、各ルーチンの価値に応じて効率よ
く記録することができる。特に、メインルーチンを保護
レベルの高い記憶素子に格納することによってプログラ
ムを難化することができる。

【０１０１】また、セキュアデバイスにおいて、前記入
手手段により入手されるデジタルデータには、当該デジ
タルデータに付加された格納先情報の正当性を示し、又
は、当該デジタルデータと格納先情報の対応が正しいこ
とを示すデジタル署名が埋め込まれているか、又は、認
証子が付加されており、前記処理手段は、前記デジタル
署名、又は、認証子に応じた認証を実施し、当該認証が
成功した場合に限り前記デジタルデータを格納すること
を特徴とすることもできる。

【０１０２】これによって、格納先情報とデジタルデー
タとが切り離せないので、安全性が高い。

【図面の簡単な説明】

【図１】本発明の実施の形態１に係るセキュアシステム
の構成を示す図である。

【図２】本発明の実施の形態１に係るセキュアデバイス
１００の構成を示す図である。

【図３】本実施の形態１における付加情報を示す図であ
る。

【図４】本発明の実施の形態１に係るセキュアデバイス
１００における、プログラムのダウンロード処理の動作
を示す図である。

【図５】本発明の実施の形態２に係るセキュアデバイス
２００の構成を示す図である。

【図６】本実施の形態２における付加情報を示す図であ
る。

【図７】本発明の実施の形態２に係るセキュアデバイス
２００における、プログラムのダウンロード処理の動作
を示す図である。

【符号の説明】

１０ セキュアデバイス １１ カードインタフェース回路 １２ ＴＲＭ １３ 暗号処理エンジン １４ セキュリティ鍵情報 １５ ＣＰＵ １６ ＲＯＭ １７ ＲＡＭ １８ フラッシュメモリ １９ ＥＥＰＲＯＭ ２０ 付加情報処理部 １００ セキュアデバイス １０１ プログラム入手部 １０２ 低保護レベル記憶部 １１０ ＴＲＭ １１１ 付加情報解析部 １１２ 領域検索部 １１３ 保護レベル判定部 １１４ 移動部 １１５ プログラム格納部 １１６ エラー出力部 １１７ 暗号処理部 １１８ 高保護レベル記憶部 ２００ セキュアデバイス ２１０ ＴＲＭ ２１３ 保護レベル判定部 ２１４ 移動部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 館林 誠 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 Ｆターム(参考） 5B017 AA07 CA14 CA15 5B035 AA00 BB09 CA11 CA29 CA38 5B076 BB06 FB06 5J104 AA08 AA09 AA14 AA16 DA02 PA14

Claims (25)

【特許請求の範囲】
1. 【請求項１】 デジタルデータを格納して利用に供する
   セキュアデバイスであって、 それぞれが記憶領域を備える複数の記憶手段と、 格納先となる記憶手段を特定するための格納先情報が付
   加されたデジタルデータを入手する入手手段と、 前記格納先情報により特定される記憶手段に、前記デジ
   タルデータを格納する処理手段とを備えることを特徴と
   するセキュアデバイス。
2. 【請求項２】 前記複数の記憶手段には、それぞれ保護
   レベルが設定されており、 前記格納先情報は、保護レベルを示し、 前記処理手段は、 前記格納先情報が示す保護レベルと同じ保護レベルが設
   定されている記憶手段を、前記デジタルデータの格納先
   として特定することを特徴とする請求項１に記載のセキ
   ュアデバイス。
3. 【請求項３】 前記複数の記憶手段には、それぞれ保護
   レベルが設定されており、 前記格納先情報は、保護レベルを示し、 前記処理手段は、 前記格納先情報が示す保護レベル以上の保護レベルが設
   定されている記憶手段のうちの１つを、前記デジタルデ
   ータの格納先として特定することを特徴とする請求項１
   に記載のセキュアデバイス。
4. 【請求項４】 前記処理手段は、 前記入手手段により入手された格納先情報が示す保護レ
   ベル以上の保護レベルが設定された記憶手段のうち、前
   記デジタルデータを格納するための空いている記憶領域
   を確保できる記憶手段を全て検索する検索手段と、 検索手段により検索された記憶手段のうち、一番高い保
   護レベルが設定されている記憶手段を前記デジタルデー
   タの格納場所として決定する決定手段と、 前記デジタルデータを、決定手段により決定された記憶
   手段に格納する格納手段とを含むことを特徴とする請求
   項３に記載のセキュアデバイス。
5. 【請求項５】 前記処理手段は、さらに、 前記検索手段により何れの記憶手段も検索されなかった
   場合に、利用者にデジタルデータを格納できない旨を提
   示するためのエラー情報を出力する出力手段を含むこと
   を特徴とする請求項４に記載のセキュアデバイス。
6. 【請求項６】 前記処理手段は、さらに、 前記検索手段により何れの記憶手段も検索されなかった
   場合に、（１）前記入手手段により入手された格納先情
   報が示す第１保護レベル以上の保護レベルが設定されて
   いる記憶手段に格納されているデジタルデータのそれぞ
   れに付加された格納先情報を読み出し、（２）読み出し
   た格納先情報のうち、それぞれの格納先情報が示す保護
   レベルが、当該第１保護レベルよりも低い格納先情報を
   抽出し、（３）抽出した格納先情報に対応するデジタル
   データを、当該第１保護レベルよりも低く、且つ、それ
   ぞれの格納先情報が示す保護レベル以上の保護レベルが
   設定されている記憶手段に移動することにより、前記入
   手手段により入手されたデジタルデータを格納するため
   の記憶領域を確保する移動手段を含み、 前記格納手段は、 移動手段により確保された記憶領域に、前記入手手段に
   より入手されたデジタルデータを格納することを特徴と
   する請求項４に記載のセキュアデバイス。
7. 【請求項７】 前記移動手段により読み出された格納先
   情報は、デジタルデータを移動する場合に暗号化するか
   否かを指定し、 前記移動手段は、 移動すべきデジタルデータに付加された格納先情報に従
   い、当該デジタルデータを暗号化して移動するか、又
   は、そのまま移動することを特徴とする請求項６に記載
   のセキュアデバイス。
8. 【請求項８】 前記移動手段により読み出された格納先
   情報は、デジタルデータを移動する場合にデジタルデー
   タに改竄検出用の情報を付加するか否かを指定し、 前記移動手段は、 移動すべきデジタルデータに付加された格納先情報に従
   い、当該デジタルデータに改竄検出用の情報を付加して
   移動するか、又は、そのまま移動することを特徴とする
   請求項６に記載のセキュアデバイス。
9. 【請求項９】 前記移動手段により読み出された格納先
   情報は、デジタルデータを移動する際にデジタルデータ
   にデジタル署名を埋め込むか否かを指定し、 前記移動手段は、 移動すべきデジタルデータに付加された格納先情報に従
   い、当該デジタルデータにデジタル署名を埋め込んで移
   動するか、又は、そのまま移動することを特徴とする請
   求項６に記載のセキュアデバイス。
10. 【請求項１０】 記処理手段は、さらに、 前記移動手段により記憶領域を確保できない場合に、利
    用者にデジタルデータを格納できない旨を提示するため
    のエラー情報を出力する出力手段を含むことを特徴とす
    る請求項６に記載のセキュアデバイス。
11. 【請求項１１】 前記複数の記憶手段には、それぞれ保
    護レベルが設定されており、 前記格納先情報は、保護レベルを示し、さらに、前記対
    応するデジタルデータの格納先として、当該保護レベル
    が設定されている記憶手段のみを格納先として特定する
    か、及び、当該保護レベルが設定されている記憶手段以
    上の保護レベルが設定された記憶手段を格納先として特
    定するかのどちらかを指定し、 前記処理手段は、 前記格納先情報に従い、前記格納先情報が示す保護レベ
    ルが設定されている記憶手段を、又は、前記格納先情報
    が示す保護レベル以上の保護レベルが設定されている記
    憶手段のうちの１つを、前記デジタルデータの格納先と
    して特定することを特徴とする請求項１に記載のセキュ
    アデバイス。
12. 【請求項１２】 前記格納先情報は、前記対応するデジ
    タルデータの格納先を、当該セキュアデバイスにおいて
    格納する際に任意に決定してもよいか否かを指定し、 前記処理手段は、 前記格納先情報に従い、任意に決定する記憶手段に、又
    は、前記格納先情報により特定される記憶手段に、前記
    デジタルデータを格納することを特徴とする請求項１に
    記載のセキュアデバイス。
13. 【請求項１３】 前記複数の記憶手段には、それぞれ保
    護レベルが設定されており、 前記格納先情報は、デジタルデータを所定の保護レベル
    以下の記憶手段に格納する際に暗号化するか否かを指定
    し、 前記処理手段は、 デジタルデータを前記所定の保護レベル以下の記憶手段
    に格納する際に、前記格納先情報に従い、当該デジタル
    データを暗号化して格納するか、又は、そのまま格納す
    ることを特徴とする請求項１に記載のセキュアデバイ
    ス。
14. 【請求項１４】 前記複数の記憶手段には、それぞれ保
    護レベルが設定されており、 前記格納先情報は、デジタルデータを所定の保護レベル
    以下の記憶手段に格納する際にデジタルデータに改竄検
    出用の情報を付加するか否かを指定し、 前記処理手段は、 デジタルデータを前記所定の保護レベル以下の記憶手段
    に格納する際に、前記格納先情報に従い、当該デジタル
    データに改竄検出用の情報を付加して格納するか、又
    は、そのまま格納することを特徴とする請求項１に記載
    のセキュアデバイス。
15. 【請求項１５】 前記複数の記憶手段には、それぞれ保
    護レベルが設定されており、 前記格納先情報は、デジタルデータを所定の保護レベル
    以下の記憶手段に格納する際にデジタルデータにデジタ
    ル署名を埋め込むか否かを指定し、 前記処理手段は、 デジタルデータを前記所定の保護レベル以下の記憶手段
    に格納する際に、前記格納先情報に従い、当該デジタル
    データにデジタル署名を埋め込んで格納するか、又は、
    そのまま格納することを特徴とする請求項１に記載のセ
    キュアデバイス。
16. 【請求項１６】 前記複数の記憶手段には、それぞれ保
    護レベルが設定されており、 前記格納先情報は、前記デジタルデータの優先度を示
    し、 少なくとも１つの記憶手段には、デジタルデータが格納
    され、 記憶手段に格納されているデジタルデータには、デジタ
    ルデータの優先度が設定され、 記憶手段には、より優先度が高いデジタルデータがより
    保護レベルが高い記憶手段に格納されている状態で、デ
    ジタルデータが格納されており、 前記処理手段は、 前記格納先情報により示される優先度に基づいて、前記
    状態を維持したまま、前記入手手段により入手されたデ
    ジタルデータを格納することを特徴とする請求項１に記
    載のセキュアデバイス。
17. 【請求項１７】 記憶手段に格納されているデジタルデ
    ータには、デジタルデータの優先度を示す格納先情報が
    付加されており、 前記処理手段は、 一番高い保護レベルが設定されている記憶手段から順
    に、（１）前記入手手段により入手されたデジタルデー
    タを格納するための空いている記憶領域を確保できるか
    否かを判定し、（２）判定が否定的な場合に、判定対象
    の記憶手段に格納されているデジタルデータのそれぞれ
    に付加された格納先情報を読み出し、（３）読み出した
    格納先情報のうち、それぞれの格納先情報が示す優先度
    が、前記入手手段により入手された格納先情報が示す優
    先度よりも低い格納先情報を抽出し、（４）抽出した格
    納先情報を含むデジタルデータを、移動するデジタルデ
    ータ対応する保護レベルより低い保護レベルが設定され
    ている記憶手段に移動し、（５）前記判定が肯定的とな
    るまで（１）〜（４）の処理を繰り返すことにより、前
    記入手手段により入手されたデジタルデータを格納する
    ための記憶領域を確保する移動手段と、 移動手段により確保された記憶領域に、前記入手手段に
    より入手されたデジタルデータを格納する格納手段とを
    含むことを特徴とする請求項１６に記載のセキュアデバ
    イス。
18. 【請求項１８】 前記移動手段により読み出された格納
    先情報は、デジタルデータを移動する場合に暗号化する
    か否かを指定し、 前記移動手段は、 移動すべきデジタルデータに付加された格納先情報に従
    い、当該デジタルデータを暗号化して移動するか、又
    は、そのまま移動することを特徴とする請求項１７に記
    載のセキュアデバイス。
19. 【請求項１９】 前記移動手段により読み出された格納
    先情報は、デジタルデータを移動する場合にデジタルデ
    ータに改竄検出用の情報を付加するか否かを指定し、 前記移動手段は、 移動すべきデジタルデータに付加された格納先情報に従
    い、当該デジタルデータに改竄検出用の情報を付加して
    移動するか、又は、そのまま移動することを特徴とする
    請求項１７に記載のセキュアデバイス。
20. 【請求項２０】 前記移動手段により読み出された格納
    先情報は、デジタルデータを移動する際にデジタルデー
    タにデジタル署名を埋め込むか否かを指定し、前記移動
    手段は、 移動すべきデジタルデータに付加された格納先情報に従
    い、当該デジタルデータにデジタル署名を埋め込んで移
    動するか、又は、そのまま移動することを特徴とする請
    求項１７に記載のセキュアデバイス。
21. 【請求項２１】 前記格納先情報は、さらに、保護レベ
    ルを示し、 前記移動手段は、 前記入手手段により入手された格納先情報が示す保護レ
    ベルより低い保護レベルが設定されている記憶手段にお
    いては、前記処理を行わず、 前記処理手段は、さらに、 移動手段により記憶領域を確保できない場合に、利用者
    にデジタルデータを格納できない旨を提示するためのエ
    ラー情報を出力する出力手段を含むことを特徴とする請
    求項１７に記載のセキュアデバイス。
22. 【請求項２２】 前記入手手段により入手されるデジタ
    ルデータはコンピュータプログラムであり、複数のサブ
    プログラムを含み、サブプログラム毎に格納先情報が付
    加されており、 前記処理手段は、 サブプログラム毎に、それぞれに付加された格納先情報
    により特定される記憶手段に、対応するサブプログラム
    を格納することを特徴とする請求項１に記載のセキュア
    デバイス。
23. 【請求項２３】 前記複数の記憶手段には、それぞれ保
    護レベルが設定されており、 前記入手手段により入手されるデジタルデータはコンピ
    ュータプログラムであり、１つのメインルーチンと複数
    のサブルーチンを含み、各ルーチン毎に格納先情報が付
    加され、特にメインルーチンに付加された格納先情報は
    保護レベルが高い記憶手段に格納すべき事を示し、 前記処理手段は、 ルーチン毎に、それぞれに付加された格納先情報により
    特定される記憶手段に、対応するルーチンを格納するこ
    とを特徴とする請求項１に記載のセキュアデバイス。
24. 【請求項２４】 前記入手手段により入手されるデジタ
    ルデータには、 当該デジタルデータに付加された格納先情報の正当性を
    示し、又は、当該デジタルデータと格納先情報の対応が
    正しいことを示すデジタル署名が埋め込まれているか、
    又は、認証子が付加されており、 前記処理手段は、 前記デジタル署名、又は、認証子に応じた認証を実施
    し、当該認証が成功した場合に限り、前記デジタルデー
    タを格納することを特徴とする請求項１に記載のセキュ
    アデバイス。
25. 【請求項２５】 デジタルデータを格納して利用に供す
    るセキュアデバイスにおける格納方法であって、 前記セキュアデバイスは、それぞれが記憶領域を備え、 当該格納方法は、 格納先となる記憶手段を特定するための格納先情報が付
    加されたデジタルデータを入手する入手ステップと、 前記格納先情報により特定される記憶手段に、前記デジ
    タルデータを格納する処理ステップとを含むことを特徴
    とする格納方法。