CN1462392A - 数据存储装置 - Google Patents

Abstract

一种信息处理装置，在其中可以单独生成不同用途的区域。当在范围定义区域#0000h之下生成范围定义区域#0100h时，利用针对事先生成的区域注册存储在服务定义区域#0020h中的服务密匙，将范围定义区域#0100h的信息加密并且将经解密的信息提供给IC卡。接收了该信息的IC卡使用针对范围注册存储在服务定义区域#0020h中的服务密匙，以便解密经加密的信息。并且根据解密的结果，生成范围定义区域#0100h。本发明可以应用于以非接触模式传输信息的IC卡，和使用这种IC卡传输数据的装置。

Description

数据存储装置

技术领域

本发明涉及一种数据存储器件，更具体地说，涉及这样一种数据存储器件，该数据存储器件在不收回IC卡的条件下，允许添加或者更改例如用于管理IC卡内存的管理信息时防止篡改。

背景技术

期望在例如电子货币系统和安全系统中使用的IC卡(集成电路)卡(智能卡)正在被开发。

IC卡包括用于执行不同处理的CPU和用于存储程序所需的数据等的存储器，并且IC卡以电接触的方式，或者以采用电磁波的非接触的方式与预定的读/写器(R/W)交换数据。通常，以采用电磁波的非接触的方式与(R/W)交换数据的IC卡所需电能由该电磁波来提供。

例如，当在电子货币或安全系统中使用IC卡时，诸如数据保密和防止伪造IC卡这样的安全问题是重要的，通常，这使得使用由系统管理员(操作者)指定的密匙才允许访问IC卡。即，禁止没有这种密匙的人访问IC卡。

此外，例如，在为接触型IC卡作出了定义的ISO(国际标准化组织)7816中规定了安全性。根据该标准，通过施加一密匙到相应于目录或者文件夹的DF(专用文件)，对相应于文件的DFs和EFs(元文件)的访问被禁止，该访问属于DF的层(layer)。

通常，在IC卡的管理员或者制造者收回了发行给用户的或者在市场上的IC卡之后，在具有足够的安全性的设施上，执行称为订卡(ticketing)的行为，执行该行为用于向IC卡重新加入用于存储数据的文件，以便提供新的服务或者更改访问数据所需的密匙。

即，例如，发行商(issuing agent)通常执行IC卡的初步发行，向完成订卡的订卡商(ticketing agent)发行没有功能的IC卡(不允许读或写的IC卡)，如图1所示。订卡商执行订卡(第二次发行)，以使得允许期望通过使用IC卡来提供服务的管理员#1使用该IC卡。

即，订卡商分配在IC卡中的由管理员#1所使用的存储区域(管理员#1的区域)，并且写入管理员#1访问存储区域所需的密匙和其他信息。在有足够安全管理的场所(假如适当，下面称安全场所)订卡，如订卡商的设施。参照图1，订卡商和管理员#1典型地是一个整体。

已购买的IC卡被运到市场并被分发给用户。然后，管理员#1使用该IC卡提供服务。即，例如，这允许用户使用IC卡作为电子交换器的通行证或钱夹。

例如，假如在市场上的IC卡支持多种功能并且加入除了管理员#1之外的管理员#2期望使用该多功能IC卡来提供服务，则订卡商暂时地收回市场上的IC卡，如图2所示。

然后，订卡商执行订卡以使允许管理员#2使用该IC卡。即，订卡商分配在IC卡中的由管理员#2使用的存储区域(管理员#2区域)，并且写入管理员#2访问存储区域所需的密匙和其他信息。然后，已购买的IC卡被再次运到市场。

通过订卡而写入IC卡的密匙等是保证IC卡安全的基本信息。不期望将该信息发布到如市场这样的缺乏安全管理的场所(假如适当，下面称安全场所)，因为在这种场所和可能发生诸如偷听和篡改这样的不诚实的行为。这样，如上所述，从市场收回IC卡之后，在安全场所执行订卡。

这样，每次执行订卡时必须收回IC卡，这是费力的。为了克服上述缺点，申请人以前、在日本未审查的公开号为10-201497的专利申请中提出一种订卡方法，在该方法中包括访问存储区域所需密匙的管理信息被加密，以防止向第三方泄漏管理信息的内容。

现在，将参照图3说明存储区域。存储区域主要地包括范围区域(arearegion)和服务区域。范围区域被分配给每个管理员，而服务区域被分配给由管理范围区域的管理员所提供的服务。

根据日本未审查的公开号为10-201497的专利申请，存储区域的分配是指定范围区域和服务区域，以使允许向被授权的管理员提供多个范围区域和服务区域。这样，允许被指定了预定的存储区域的管理员使另一个管理员在其自己的管理下提供在存储区域中的范围区域和服务区域。

这表示已存在问题，该问题是不可能区分用于注册范围区域和服务区域的权限，即，不可能分别地指定注册服务区域的权限和注册范围区域的权限。

发明内容

考虑到上述情况，设计了本发明，其目的为：通过分别提供范围区域注册所需的区域和服务区域注册所需的区域，来允许分离范围区域和服务区域的注册。

根据本发明的数据存储装置包括：存储装置，其中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域；接收装置，用于接收形成第一到第四区域的请求，以及与和该形成请求相联系的区域相关的信息，该信息中的至少一部分被加密；读取装置，基于由接收装置所接收的信息，从存储装置中读取存储在区域中的密匙，在第一到第四区域中，该区域作为与形成的请求相联系的区域的父层；解密装置，通过使用由读取装置所读取的密匙来解密经加密的信息；和形成装置，基于由解密装置所解密的信息，在存储装置中，形成与形成该请求相联系的区域。

根据本发明的数据存储方法，包括：接收控制步骤，用于控制对数据存储介质的请求的接收，在该介质中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，形成第一到第四区域的请求，以及与和该形成请求相联系的区域相关的信息，该信息中的至少一部分被加密；读取步骤，基于在接收控制步骤的处理控制下所接收的信息，从存储介质中读取存储在区域中的密匙，在第一到第四区域中，该区域作为与形成的请求相联系的区域的父层；解密步骤，通过使用由读取步骤的处理所读取的密匙来解密经加密的信息；和形成步骤，基于由解密步骤的处理所解密的信息，在数据存储介质中，形成与形成请求相联系的区域。

根据本发明的第一存储介质上的程序，包括：接收控制步骤，用于控制对数据存储介质的请求的接收，在该介质中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，形成第一到第四区域的请求，以及与和该形成请求相联系的区域相关的信息，该信息中的至少一部分被加密；读取步骤，基于在接收控制步骤的处理控制下所接收的信息，从存储介质中读取存储在区域中的密匙，在第一到第四区域中，该区域作为与形成的请求相联系的区域的父层；解密步骤，通过使用由读取步骤的处理所读取的密匙来解密经加密的信息；和形成步骤，基于由解密步骤的处理所解密的信息，在数据存储介质中，形成与形成请求相联系的区域。

根据本发明的第一程序，用于允许计算机控制执行：接收控制步骤，该步骤用于控制向数据存储介质的请求的接收，在该介质中至少形成如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，以及与和该形成请求相联系的区域相关的信息，该信息中的至少一部分被加密；读取步骤，基于在接收控制步骤的处理控制下所接收的信息，从存储介质中读取存储在区域中的密匙，在第一到第四区域中，该区域作为与形成的请求相联系的区域的父层；解密步骤，通过使用由读取步骤的处理所读取的密匙来解密经加密的信息；和形成步骤，基于由解密步骤的处理所解密的信息，在数据存储介质中，形成与形成请求相联系的区域。

根据本发明的信息处理装置，包括加密装置，用于当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域的形成时，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息；和提供装置，用于将由加密装置所加密的信息提供给数据存储介质。

一种信息处理方法，包括加密步骤，用于当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域的形成时，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息；和提供步骤，用于将由加密步骤的处理所加密的信息提供给数据存储介质。

根据本发明的第二记录介质的程序，包括加密步骤，用于当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域的形成时，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息；和提供步骤，用于将由加密步骤的处理所加密的信息提供给数据存储介质。

根据本发明的第二程序，允许计算机控制信息处理装置，以便执行：加密步骤，用于当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域的形成时，在第一管理员所管理的区域中，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息；和提供步骤，用于将由加密步骤的处理所加密的信息提供给数据存储介质。

根据本发明的数据存储装置和方法和第一程序，形成由第一管理员所管理的第一区域，并且至少形成如下之一：用于管理与服务相联系的信息的第二区域，用于管理用于形成由第二管理员管理的区域所需信息的第三区域，该第三区域的父层为第一区域，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域；读取存储在第一到第四区域中的作为与形成的请求相联系的区域的父层的区域中密匙，和通过使用已经读取的密匙来解密所接收的经加密的信息。

根据本发明的信息处理装置和方法和第二程序，当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域到由第一管理员所管理的区域的形成时，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息，以及将所加密的信息提供给数据存储介质。

附图说明

图1是用于解释传统IC卡2的分发的图。

图2是用于解释分发传统IC卡2的图。

图3是用于解释区域的图。

图4是示出根据本发明的实施例的、使用IC卡的卡系统的范例构造的方框图。

图5是示出图4所示的读/写器1的示例构造的方框图。

图6是示出图4所示的IC卡2的示例构造的方框图。

图7是示出图6所示的EEPROM66的逻辑格式的图。

图8是示出图6所示的EEPROM66的目录结构的图。

图9是解释形成图8所示的目录构造的过程的图。

图10是解释范围形成过程的流程图。

图11是解释本发明的原理的图。

图12是示出根据本发明的实施例、订卡处理系统的示例构造方框图。

图13是说明订卡信息提供过程的流程图。

图14A是用于解释范围注册服务定义区域形成的图。

图14B是用于解释范围注册服务定义区域形成的图。

图15A是用于解释服务注册服务定义区域形成的图。

图15B是用于解释服务注册服务定义区域形成的图。

图16A是用于解释范围定义区域形成的图。

图16B是用于解释范围定义区域形成的图。

图17A是用于解释服务定义区域形成的图。

图17B是用于解释服务定义区域形成的图。

图18是用于解释解密处理的流程图。

图19是用于解释介质的图。

具体实施方式

现将参照附图说明本发明的实施例。图4示出根据本发明的实施例，使用IC卡的非接触卡系统(系统指多个装置的逻辑组合，而无论组成装置是否在相同的外壳中)的示例构造。

非接触卡系统包括R/W(读/写器)1、IC卡2、和控制器3，并且在采用电磁波的非接触模式的情况下数据在R/W1和IC卡2之间交换。更具体地说，R/W1向IC卡2发送预定的命令，并且IC卡2接收该命令并且执行相应于该命令的处理。然后，IC卡2生成相应于处理结果的响应数据，并将该响应数据发送至R/W1。

通过预定的接口(例如与RS-485A标准相兼容的接口)将R/W1连接到控制器3，并且控制器3向R/W1提供预定的控制信号，以便执行预定的处理。

图5示出图4中所示的R/W1的示例构造。在IC21中，用于处理数据的DPU(数据处理单元)31，用于处理要发送到IC卡2的数据和从IC卡2接收的数据的SPU(信号处理单元)32，用于执行与控制器3通信的SCC(串行通信控制器)33和包括ROM(只读存储器)41和RAM(随机存取存储器)42的存储器34通过总线相连接，该ROM预存储处理数据所需的信息，该RAM在用于暂时存储在处理过程中的数据。

此外，将用于存储预定数据的闪存22连接到总线。DPU31向SPU32输出要发送至IC卡2的命令，并且从SPU32接收从IC卡2接收的响应数据。SPU32根据发送至IC卡2的命令执行预定的处理(例如BPSK(二进制移相键控)调制(编码为Manchester码))，向调制电路23输出结果，并且从解调电路25接收从IC卡2发送的响应数据，对该数据执行预定的处理。

调制电路23用从SPU32提供的数据来ASK(振幅移位键控)调制具有预定频率(例如13.56MHz)的、由振荡器(OSC)26提供的载波，并且输出经调制的波，该这样产生的已调制的波以电磁波的形式通过天线27输出到IC卡2。此时，调制电路23以调制深度低于1执行ASK调制。所以，即使数据处于低电平，已调制的波的最大振幅也不会变成零。

解调电路25解调通过天线27所接收的已调制的波(经ASK调制的波)，并向SPU32输出经解调的数据。

图6示出图4所示的IC卡2的示例性构造。在IC卡2中，IC51通过天线53接收发送自R/W1的经调制的波。电容52与天线53一起构成LC电路，并且调谐(谐振)成具有预定频率(载波频率)的电磁波。

在IC51中，ASK解调单元81中的RF接口单元61检测并且解调通过天线53所接收的经调制的波(经ASK调制的波)，并且输出经解调的数据到BPSK解调电路62和PLL(锁相环)单元63；并且稳压器82中的RF接口单元61稳定由ASK解调单元81所检测的信号，并且将结果作为DC电源提供给每个电路。

此外，RF接口单元61通过震荡电路83生成具有与数据的时钟频率相同的频率的信号，并且将该信号向PLL单元63输出。

而且，在作为IC卡2的电源的ASK解调单元81中的RF接口单元61，根据经BPSK调制电路68从计算单元64所提供的数据，变化天线53的负载(例如根据该数据导通/断开预定的开关元件，以便仅当该开关元件导通时将预定负载并联到天线53)，从而ASK调制通过天线53接收的经调制的波(当从IC卡2发射数据时(当使IC卡2发射数据)，R/W1输出经调制的波的恒定最大振幅，并且通过改变天线53的负载来对经调制的波进行ASK调制)，并且通过天线53发射经调制的成分到R/W1(改变R/W1的天线27的端电压)。

PLL单元63按照由ASK解调单元81所提供的数据生成与该数据同步的时钟信号，并输出该时钟信号到BPSK解调电路62和BPSK调制电路68。

假如由ASK解调单元81解调的数据是经BPSK调制，则BPSK解调电路62基于由PLL单元63所提供的时钟信号解调该数据(解码Manchestor码)，并且输出经解调的数据到计算单元64。

假如由BPSK解调电路62所提供的数据被加密，则在加密/解密单元92中解密该数据，并且在定序器91中处理该数据。假如该数据没有被加密，则将由BPSK解调电路62所提供的数据直接提供到定序器91，而无需通过加密/解密单元92。

定序器91执行一过程，该过程相应于作为命令提供到这里的数据。更具体地说，例如，定序器91向EEPROM(电可擦除只读存储器)写入和从中读取数据，和对数据所需的操作等。此外，定序器91通过鉴别来控制对EEPROM66的访问和管理EEPROM66等。

计算单元64的奇偶计算单元93计算要在EEPROM66中存储的数据，并且，例如，来自在EEPROM66中存储的数据的、作为奇偶性的Reed-Solomon码。

此外，计算单元64执行在定序器91中的预定的过程，然后向BPSK调制电路68输出相应于该过程的响应数据(要向R/W1发送的数据)。BPSK调制电路68对从计算单元64提供的数据进行BPSK调制，并向RF接口单元61的ASK调制单元84输出经调制的数据。

ROM65存储由定序器91处理所需的程序和其他数据。RAM67暂时地存储在定序器91的处理过程中的数据。EEPROM66是非易失存储器，并且在IC卡2退出与R/W1的通信并且停止提供电能之后，EEPROM66仍然保持存储的数据。

下面，说明在R/W1和IC卡2之间交换数据的过程。R/W1(图5)从天线27发射预定的电磁波，以监视天线27的负载状态，并且在检测到由于IC卡2的接近引起的负载状态改变之前保持等待。另一方面，R/W1可执行重复发射电磁波的处理(轮询)，在预定期间内接收来自IC卡2的响应之前，使用具有预定短模式的数据对该电磁波进行ASK调制。

在R/W1中，当检测到IC卡2的接近(approach)时，R/W1的SPU32使用将要发送至IC卡2的数据(相应于由IC卡2所执行的处理的命令，将写入IC卡2的数据，等)来对具有预定频率(例如数据时钟频率的两倍的频率)矩形波的载波进行BPSK调制，并向调制电路23输出由此生成的经调制的波(BPSK调制信号)(Manchester码)。

当执行BPSK调制时，通过差分调制，数据可与经调制的波的相位变化相关联。在这种情况下，尽管BPSK调制的信号被反相(invert)，解调也能产生原始数据，消除在解调期间考虑调制波的极性的需要。

以低于1(例如，0.1)的调制深度(＝数据信号的最大振幅/载波的最大振幅)，调制电路23使用输入的BPSK调制信号对预定的载波进行ASK调制，并且通过天线27将由此生成的调制波(ASK调制波)向IC卡2发送。当不发生发送时，在数字信号的两级电平(高电平和低电平)中，调制电路23采用例如高电平来生成调制波。

在IC卡2(图6)中，由电容52和天线53构成的LC电路将从R/W1的天线27所发射的电磁波的一部分转换成电信号，并且将该电信号(已调波)向IC51的RF接口单元61输出。然后，RF接口单元61的ASK解调单元81对该调制波进行整流和平滑(smooth)以检测包络，并且向稳压器82提供由此生成的信号，并且ASK解调单元81抑制该信号的DC成分以提取数据信号，并将该数据信号提供到BPSK解调电路62和PLL单元63。

此时，天线53的端电压V0例如表示如下：

V0＝V10(1+k×Vs(t))cos(ωt)

其中V10cos(ωt)表示载波，k表示调制深度，并且Vs(t)表示从SPU32输出的数据。

而且，在通过ASK解调单元81整流之后的电压V1的低电平值VLR例如表示如下：

VLR＝V10(1+k×(-1))-Vf

其中Vf表示在二极管(未示出)两端的电压降，该二极管构成在ASK解调单元81中用于整流和平滑的整流电路，该压降通常在0.7伏级别。

稳压器82接收由ASK解调单元81整流并平滑的信号，并且稳定该信号，并且将结果作为DC电源提供给包括计算单元64的电路。因为如前所述的此处的调制波的调制深度k低于1，在整流之后的电压变化(在高电平和低电平之间的差)小。这样，可通过稳压器82生成DC电源。

现在，例如，假如接收到具有调制深度为5％的已调波使得V10为3伏或更大，则在整流之后低电平电压VLR是2.15(＝3×(1-0.05)-0.7)伏或更大，使得稳压器82将足够的电压作为电源提供给每个电路。而且，在这种情况下，在整流之后，电压V1的AC成分(数据成分)的振幅，即2×k×V10(峰-峰值)，是0.3(＝2×0.05×3)伏或更大，使得在足够高的信噪比的条件下允许ASK解调单元81对数据解调。

通过使用如上所述的调制深度小于1的经ASK调制的波，以低差错率(高信噪比)进行通信，并且将足够的DC电压作为电源提供给IC卡2。

BPSK解调电路62从ASK解调单元81接收数据信号(经BPSK调制的信号)，基于由PLL单元63所提供的时钟信号解调该数据信号，并且输出经解调的数据到计算单元64。

假如由BPSK解调电路62所提供的数据被加密，则计算单元64在加密/解密单元92中解密该数据，并且将该数据(命令)提供给定序器91，在其中处理数据。在该期间，即在当数据被发送至IC卡2和当接收到该数据的响应之间，R/W1等待，同时发送值为1的数据。这样，在该期间，IC卡2接收具有恒定最大振幅的调制波。

当处理完成时，定序器91向BPSK调制电路68输出关于处理结果的数据(要发送到R/W1的数据)等。与R/W1的SPU32类似，BPSK调制电路68对该数据进行BPSK调制(编码成Manchester码)，并且向RF接口单元61的ASK调制单元84输出结果。

根据来自采用开关元件等的BPSK调制电路68的数据，ASK调制单元84改变在天线53端之间的负载，由此根据将要发送的数据对接收的调制波(如上所述，在由IC卡2发送数据期间，由R/W1输出的调制波的最大的振幅是恒定的)进行ASK调制，以改变R/W1的天线27端电压，由此将数据发射到R/W1。

R/W1的调制电路23连续地发送具有值为1(高电平)的数据，同时从IC卡2接收数据。基于天线27的端电压中的轻微变化(例如若干十分之一毫伏)，该天线27与IC卡的天线53电磁耦合，解调电路25检测从IC卡2发送的数据。

而且，解调电路25通过高增益放大器(未示出)对所检测的信号(经ASK调制的波)进行放大并解调该结果，并将由此获得的数据向SPU32输出。SPU32解调该数据(经BPSK调制的信号)，并向DPU31输出结果。DPU31处理来自SPU32的数据，并且根据处理结果确定是否退出通信。假如确定再次执行通信，则与上述情况类似执行在R/W1和IC卡2之间的通信。假如确定退出通信，则R/W1退出与IC卡2的通信。

如上所述，R/W1使用具有调制深度k小于1的ASK调制来向IC卡2发送数据，并且IC卡2接收该数据并且执行更具该数据的处理，向R/W1返回相应于处理结果的数据。

下面，图7示出图6所示的EEPROM66的逻辑格式。EEPROM66由块的单元构成，并且在图7中的实施例中，例如每一个块包括16字节。

此外，在图7的实施例中，将最上面的块的逻辑地址指定为#0000h(h表示十六进制)，并且以升序分配逻辑地址。在图7中，#0000h到#FFFFh被分配为逻辑地址，由此形成65，636(＝2¹⁶)个块。

块用于用户块或者系统块。以逻辑地址的升序将EEPROM66的块指定为用户块，并且以逻辑地址的降序将EEPROM66的块指定为系统块。即，参照图7，用户块向下发展同时系统块向上发展直到没有空块可用，此时不可形成用户块和系统块。这样，用户块和系统块的边界不是固定的，并且对用户块的数量和系统块的数量没有具体的限制(在图7所示的实施例中用户块和系统块的总数最多为65,636)。

系统块有7种类型，即，产品ID(标识)块、发行ID块、系统定义块、范围定义块、服务定义块、范围注册服务定义块和服务注册服务定义块。在图7中的实施例中，将作为服务的范围定义块、服务定义块、范围注册服务块或服务注册定义块指定为范围/服务定义块。

在系统块中，基本上在发行IC卡2时，产品ID块，发行ID块和系统定义块已被分别地分配在逻辑地址#FFFFh，#FFFEh和#FFFDh处。按照形成的顺序，从逻辑地址#FFFCh开始向上分配范围/服务定义块。

在产品ID块中，分配关于IC卡2产品的信息。即，在产品ID块中，例如，分配唯一的产品ID、生产日期、制造号等。

在发行ID块中，分配关于IC卡2发行的信息。即，在发行ID块中，例如，分配IC卡2发行日期，表示IC卡发行次序的编码等。

在系统定义块中，例如，分配在EEPROM66中的系统块和用户块的数目，系统密匙等。该系统密匙用于在R/W1和IC卡2和控制器3之间的相互鉴别。

例如，通过向管理员分配存储区域(范围)来形成范围定义块，并且对管理员来讲，用于管理分配给其自身的存储区域(范围)的信息被分配在该范围定义块中。即，在范围定义块中分配有将在下面所说明的码范围(coderange)、剩余容量、范围密匙等。

在服务定义块中，分配有将在下面所说明的用于管理服务区域(服务区域的容量，服务密匙的等)的信息。

在范围注册服务定义块和服务注册服务定义块中，分别地分配有用于形成新范围和新服务区域(服务码和服务密匙)的信息。

然后，在定序器91中，以层次结构来管理EEPROM66的存储区域。图8示出EEPROM66的目录结构。

EEPROM66的存储区域形成范围定义区域的层次结构，并且范围定义区域可包括范围定义区域、范围注册服务定义区域、服务定义区域和服务注册服务定义区域。

将范围定义区域分配给管理员，并且在该范围定义区域中分配有：表示标识码范围的码区域，该标识码作为用来辨识范围定义区域和服务定义区域的名称由管理员来使用；表示可用空块数目的剩余容量；用于生成用于鉴别的访问密匙的范围密匙等。一个范围定义区域相应于图7所描述的一个范围定义块。

在图8所示的实施例中，分配给管理员A的范围定义区域在最上层，并且针对管理员B1和B2的范围定义区域以最上层作为该范围定义区域的父层来形成。

在范围注册服务定义区域中，分配有当注册新范围定义区域时所需的服务密匙。同样地，在范围注册服务定义区域中，分配有当注册服务定义区域时所需的服务密匙。这些服务密匙用于对信息的解密，提供该信息用于形成新的范围定义区域或者服务定义区域。

将服务定义区域分配给由管理员所提供的服务，并且在该服务定义区域中提供用于存储提供该服务的数据的服务区域容量。一个服务定义区域相应于图7所描述的一个服务定义块。

服务区域是存储提供服务所需的数据的存储区域，并且其相应于图7中的用户块。更具体地说，服务区域包括零个或更多个的用户块，并且构成服务区域的用户块的数目作为用于管理服务区域的服务定义区域的容量来分配。

此外，在范围定义区域中，服务定义区域、范围注册服务定义区域和服务注册服务定义区域提供有用于辨识这些区域的标识码。下面，当适当时，用于辨识范围定义区域的标识码和服务定义区域、范围注册服务定义区域和服务注册服务定义区域将分别称为范围码和服务码。

在图8所示的实施例中，将最上层的范围定义区域分配给管理员A。此外，分别将0000h到FFFFh定义为可使用的标识码的范围(码范围)并且将0123456789abcdef定义为范围密匙。在范围定义区域的码范围中的标识码可用作该范围定义区域的范围码。在该实施例中，例如，在范围定义区域的码范围中的最小值用于该范围定义区域的范围码。

这样，具有码范围0000h到FFFFh的范围定义区域(分配给管理员A的范围定义区域)的范围码为0000h。当适当时，下面具有范围码#xxxxh的范围定义区域将称为范围定义区域#xxxxh。

在管理员A的范围定义区域#0000h的层中，提供范围注册服务定义区域，当管理员A允许另一个管理员形成新的范围定义区域时需要该范围注册服务定义区域。在该范围注册服务定义区域中，该范围注册服务定义区域属于范围定义区域#0000h的码范围0000h到FFFFh，0020h被指定为服务码。当适当时，下面具有服务码#xxxxh的注册服务定义区域将称为范围服务定义区域#xxxxh。

在管理员A的范围定义区域#0000h的层中，提供服务注册服务定义区域，当管理员A允许另一个管理员形成新的服务定义区域时需要该服务注册服务定义区域。在该服务注册服务定义区域中，该服务注册服务定义区域属于范围定义区域#0000h的码范围0000h到FFFFh，0021h被指定为服务码。当适当时，下面具有服务码#xxxxh的服务注册服务定义区域将称为服务注册服务定义区域#xxxxh。

在管理员A的范围定义区域#0000h的层中，提供服务定义区域，该服务定义区域用于管理员A提供服务。在该服务定义区域中，该服务定义区域属于范围定义区域#0000h的码范围0000h到FFFFh，0008h被指定为服务码。当适当时，下面具有服务码#xxxxh的服务定义区域将称为服务定义区域#xxxxh。

服务定义区域#0008h的容量为8，由此允许使用包括8个用户块的服务区域。此外，服务定义区域#0008h的服务密匙为0101010101010101。

而且，在管理员A的范围定义区域#0000h的层中，将管理员B1的范围定义区域#0100h和管理员B2的范围定义区域#0040h作为管理员A的范围定义区域的子层提供。而且，在范围定义区域#0000h的层中，提供没有示出的其他范围定义区域。这样，范围定义区域#0000h可使用的块数目(剩余容量)为例如37块。

作为管理员B1的范围定义区域#0100h的码范围，分配0100h到03FFh，该码范围属于范围定义区域#0000h的码范围0000h到FFFFh，该范围定义区域#0000h是其父层。因为管理员B1的范围定义区域的码范围是0100h到03FFh，所以将其最小值，即0100h，指定为管理员B1的范围定义区域的范围码。

而且，范围定义区域#0100h的剩余的容量和范围密匙分别是14和a0a0a0a0a0a0a0a0。而且，在管理员B1的范围定义区域#0100h的层中，服务注册服务定义区域#0121h作为其子层来提供。服务注册服务定义区域的服务码是0121h，并且其服务密匙为0101010101010101。

在服务注册服务定义区域#0121h的层中，为了使得管理员B1来提供服务，提供服务定义区域#030Ch。在服务定义区域中，将范围定义区域#0100h的码区域0100h至03FFh，030Ch指定为服务密匙。

具有服务密匙030Ch的服务定义区域#030Ch具有容量16，允许使用包括16个用户块的服务区域。服务定义区域#030Ch的服务密匙是0202020202020202。

因为由服务定义区域#030Ch管理的服务区域的容量是6，并且服务定义区域#030Ch自身使用一个块作为服务定义块，所以由于服务定义区域#030Ch的存在而使用的块数目为17(＝16+1)。

此外，服务注册服务定义区域#0121h自身使用一个块作为服务定义块。这样，在服务注册服务定义区域#0121h的层中，使用的块的数目为18(＝17+1)。这样，可以理解从作为父层(上层)的范围定义区域#0100h所分配的块数目为18。

此外，在范围定义区域#0100h中，在服务注册服务定义区域#0121h和服务定义区域#030Ch中使用18个块，如上所述，它们是其中的子层(下层)。此外，范围定义区域#0100h自身使用一个块作为范围定义块。前面已经说明范围定义区域#0100h的剩余容量为14。这样，在范围定义区域#0100h的层中，使用的块数目为19(＝18+1)，并且可使用的块数量为14。所以，可以理解，从作为父层(上层)的范围定义区域#0100h所分配的块数目为33(＝19+14)。

作为管理员B2的范围定义区域#0400h的码范围，分配0400h到04FFh，该码范围属于范围定义区域#0000h的码范围0000h到FFFFh，该范围定义区域#0000h是其父层。因为管理员B1的范围定义区域的码范围是0400h到04FFh，所以将其最小值，即0400h，指定为管理员B2的范围定义区域的范围码。而且，范围定义区域#0400h的剩余容量和范围密匙分别是10和b0b0b0b0b0b0b0b0。

下面，作为示例，假设被分配了最上层的范围定义区域#0000h的管理员A是IC卡2的发行者，将参照图9来说明形成图8所示的分层结构的处理。例如，为了响应来自用户(1)的请求，管理员A发行IC卡2。例如，在图8所示的分层结构中，在IC卡2中形成范围定义区域#0000h、范围注册服务定义区域#0020h和服务注册服务定义区域#0021h。

尽管在此说明在发行IC卡2的时候形成范围注册服务定义区域#0020h和服务注册服务定义区域#0021h，但可以设置成：在发行IC卡2的时候仅形成范围定义区域#0000h，并且在晚些时候按照与将在后面描述的过程，形成范围注册服务定义区域#0020h和服务注册服务定义区域#0021h。

当管理员A通过使用由服务定义区域#0008h所管理的服务区域来开始提供预定的服务时，管理员A在订卡机器101(2)中注册用于形成服务定义区域#0008h所需的信息。订卡机器101包括例如如图1所示的R/W1和控制器3。例如，在车站、零售店或者其它设施中可以安放订卡机器101。

当用户将IC卡2装入订卡机器101(使IC卡2成为如下状态，其中允许与包括在订卡机器101中的R/W1进行通信)时，订卡机器101执行订卡，即，订卡机器101基于注册的信息向IC卡2发送命令和所需的数据，由此形成服务定义区域#0008h。

假如管理员B1和B2希望通过使用IC卡2来提供服务，则与管理员A制定协议，请求管理员A在订卡机器101(3)、(4)中形成范围定义区域#0100h和#0400h所需的注册信息。当用户将IC卡2装入在订卡机器101时，订卡机器101执行订卡，即，订卡机器101基于注册的信息向IC卡2发送命令和所需的数据，由此形成范围定义区域#0100h和#0400h。

这样，允许管理员B1和B2使用在由范围定义区域#0100h和#0400h所定义的区域内的IC卡2的资源。此时，对管理员B1和B2来讲，管理员A是订卡商。

当管理员B1期望通过使用由范围定义区域#0100h所管理的范围来开始提供预定的服务时，管理员B1请求管理员A在订卡机器101(5)中注册用于形成服务注册服务定义区域#0121h所需的信息。当用户将IC卡2装入订卡机器101时，订卡机器101执行订卡，即，订卡机器101基于注册的信息向IC卡2发送命令和所需的数据，由此形成服务注册服务定义区域#0121h。

如上所述，当由管理员B1所管理的范围定义区域#0100h中已经注册服务注册了服务定义区域#0121h时，管理员B1完成对通过使用由服务定义区域#030Ch所管理的服务区域来提供预定服务的准备。

当已经注册服务注册服务定义区域#0121h时，管理员B1在订卡机器101(5)中注册用于形成服务定义区域#030Ch所需的信息。当用户将IC卡2装入订卡机器101时，订卡机器101执行订卡，订卡机器101基于注册的信息向IC卡2发送命令和所需的数据，由此形成服务定义区域#030Ch。这样，允许用户接收由管理员B1通过使用由服务定义区域#030Ch所管理的服务区域来提供的服务。

尽管在参照图9所说明的实施例中，管理员A(第一管理员A，(IC卡的发行者)、管理员B1(第二管理员(非IC卡的发行者的管理员))和管理员B2(第二管理员，即，与管理员B2具有相同地位的管理员)被表述成为不同的管理员，但是第一管理员和第二管理员可以是相同的管理员。

在IC卡2中，形成范围定义区域、服务定义区域、范围注册服务定义区域、或者服务注册服务定义区域。例如，通过序器91执行如下处理：用于形成范围定义区域的范围形成处理，用于形成服务定义区域的服务形成处理，用于形成范围注册服务定义区域的范围注册服务形成处理，或者用于形成服务注册服务定义区域的服务注册服务形成处理。将参照图10所示的流程图说明范围形成处理，服务形成处理，范围注册服务形成处理，和服务注册服务形成处理。

因为范围形成处理、服务形成处理、范围注册服务形成处理和服务注册服务形成处理是基本相同的处理，所以这里以范围形成处理的上下文作为示例来说明。

例如，当将IC卡2装入订卡机器101时，订卡机器101向IC卡2发送应用于形成范围定义区域的命令(当适当时，下面称为范围形成命令)和形成范围定义区域所需的信息，例如，将要形成的范围定义区域的码范围、分配给范围定义区域的块数目(当适当时，下面称为经分配的块数目)，范围密匙等。

当接收范围形成命令时，IC卡2(定序器91)识别将要形成的范围定义区域的码范围、分配的块数目、范围密匙等，并与该命令一同发送。而且，IC卡2识别将形成的范围定义区域的范围码。即，把将要形成的范围定义区域的码范围的最小值识别为该范围定义区域的范围码。而且，IC卡2把具有包括将要形成的范围定义区域的码范围的范围定义区域，识别为将要形成的范围定义区域父层的范围定义区域。

在IC卡2中，在步骤S1中判定是否在EEPROM66中已经形成范围定义区域。即，在步骤S1中，判定是否范围定义区域与已经形成的范围定义区域具有相同的范围码。

假如在步骤S1中，确定将要形成的范围定义区域已经被形成，则退出范围形成处理。即，假如范围定义区域已经被形成，则不需要再次形成相同的范围定义区域，于是不执行随后的处理。

假如在步骤S1中，确定将要形成的范围定义区域没有被形成，则程序进入步骤S2，其中判定将要形成的范围定义区域的码范围和分配的块数目(容量)是否是合适的。即，在步骤S2中，判定将要形成的范围定义区域的码范围是否位于码范围之中，该码范围存储于父层的范围定义区域中，并且判定将要形成的范围定义区域的经分配的块数目是否位于剩余容量之中，该剩余容量存储于父层的范围定义区域中。

在步骤S2中，假如判定将要形成的范围定义区域的码范围和分配的块的数目不合适，即，假如确定将要形成的范围定义区域的码范围不是位于码范围之中，该码范围存储于父层的范围定义区域中，或者假如判定将要形成的范围定义区域的经分配的块数目超过剩余容量之中，该剩余容量存储于父层的范围定义区域中，则程序进入步骤S3，其中执行差错处理，然后退出范围形成处理。

即，在步骤S3中，例如，将一个消息发送到订卡机器101，该消息的职能是范围定义区域不能作为父层的范围定义区域的子层来形成。这样，在这种情况下，不形成范围定义区域(没有执行购票)。

另一方面，在步骤S2中，假如判定将要形成的范围定义区域的码范围和分配的块的数目是合适的，即，假如确定将要形成的范围定义区域的码范围位于码范围之中，该码范围存储于父层的范围定义区域中，或者假如判定将要形成的范围定义区域的经分配的块数目位于剩余容量之中，该剩余容量存储于父层的范围定义区域中，则程序进入步骤S4，在其中将要形成的范围定义区域作为父层的范围定义区域的子层形成。

即，在步骤S4中，在EEPROM66的空块(图7)中，将最下侧的块(具有最高逻辑地址的空块)作为相应于将要形成的范围定义区域的范围定义块来分配。此外，将码范围、剩余容量、范围密匙等写入(存储)在范围定义块中。

在步骤S4中，对码范围和范围密匙，将从订卡机器101发送的码范围和范围密匙按照其自身写入。将从订卡机器101发送的分配的块数目减一所获得的值作为剩余容量写入。从分配的块数目减一来获得该值的原因是：已经形成的范围定义区域使用一个块。

然后，程序进入步骤S5，在其中重新写入父层的范围定义区域的剩余容量，并且退出范围形成处理。即，在步骤S5中，将通过从父层的范围定义区域的剩余容量减去分配的块数目，而获得的值作为父层的范围定义区域的剩余容量重新新入。

如图8所示，管理员B1和B2各自的范围定义区域#0100h和#0400h是通过执行上述的范围形成处理来形成。即，在发行IC卡2时，作为该IC卡2的发行者的管理员A拥有全部的IC卡2的资源。例如，在发行IC卡2时，可以使用的IC卡2的标识码和容量是0000h到FFFFh并且是65,533个块，存在的唯一的范围定义区域是在最上层的范围定义区域#0000h处，该最上层具有码范围0000h到FFFFh，并且剩余容量65,532。

在该实施例中，如图7所示，EEPROM66具有65,536个块。紧接在IC卡2发行之后，IC卡2的可用的容量是65,533个块，比65,536少了3个块的原因是：如图7所示，存在产品ID块，发行ID块和系统定义块。

而且，在最上层的范围定义区域#0000h的剩余容量是65,532个块，比可使用的65,533个块少一个块，其原因是范围定义区域#0000h自身使用一个块。

基本上通过与参照图10所示的流程图说明的范围形成处理相似的处理，形成服务定义区域；然而，在步骤S2中，判定服务码，而不是码范围，是否合适。即在步骤S2中，判定将要形成的范围定义区域的服务码是否位于码范围之中，该码范围存储于父层的范围定义区域中，并且判定将要形成的范围定义区域的经分配的块的数目是否位于剩余容量之中，该剩余容量存储于父层的范围定义区域中。

而且，基本上通过与参照图10所示的流程图说明的范围形成处理相似的处理，形成范围注册服务定义区域；然而，在步骤S2中，判定服务码，而非码范围，是否是恰当的。

即，在步骤S2中，判定范围注册服务定义区域的或者将要形成的服务注册服务定义区域的服务码是否位于码范围之中，该码范围存储于父层的范围定义区域中。因为范围注册服务定义区域和服务注册服务定义区域仅占有一个块，所以这对在范围定义区域中存在剩余容量来讲是足够的。

下面，当在订卡机器101中注册诸如码范围、经分配的块的数目、范围密匙、服务密匙这样的管理信息并且如参照图9的说明来执行订卡时，该管理信息用于管理形成范围定义区域所需的用户块(当适当时，以下也称订卡信息)，假如例如在车站、零售店或者其他不安全的地方安放订卡机器101，则从安全管理的角度来看这是不好的，其原因是容易产生如上所述诸如偷听和篡改这样的不公平的行为。

这样，如图11所示，将要形成范围定义区域、服务定义区域等的管理员(如恰当，以下称为订卡商)加密订卡信息，并且通过诸如公众网、因特网、地波(terrestrial wave)、卫星链路、或者CATV(有线电视)网络这样的传输介质121发送经加密的购票信息，并且将该信息注册在订卡机器101中。订卡机器101向IC卡2发射经加密的订卡信息，IC卡2对该经加密的订卡信息进行解密，并且形成范围定义区域或者服务定义区域。

图11示出IC卡2，在其中仅配置对管理员#1来讲用于提供服务的存储区域，并且如上所述，配置对管理员#2来讲用于提供服务的存储区域(已经执行订卡)。

下面，根据一个实施例，图12示出执行上述订卡处理的订卡处理系统的示例性构造。订卡信息提供装置131执行订卡信息提供处理，以便以加密的形式(当恰当，下面称为经加密的订卡信息)向订卡机器101通过传输介质121来发送订卡信息，这将在下面说明。

订卡机器101从订卡信息提供装置131接收经加密的订卡信息并注册该信息。当安装了IC卡2时，订卡机器101向IC卡2发送经加密的订卡信息。IC卡2从订卡机器101接收经加密的订卡信息，并且执行将在后面说明的解密处理，由此将经加密的订卡信息解密为原始的订卡信息。然后，IC卡2执行参照图10的流程图所说明的范围形成处理，服务形成处理等，由此基于经解密的订卡信息形成范围定义区域或者服务定义区域。

下面，参照图13的流程图说明由订卡信息提供装置131执行的订卡信息提供处理。订卡信息提供装置131接收如下的输入：例如，形成范围定义区域所需的码范围、分配块的数目和范围密匙；例如，服务码，分配的块数目和形成服务定义区域所需的服务密匙；例如，服务码和形成范围注册服务定义区域所需的服务密匙；或者，例如，服务码和形成服务注册服务定义区域所需的服务密匙。然后，在步骤S11中，基于输入的信息生成订卡信息。

即，例如，在范围定义区域的情况下，当输入形成范围定义区域所需的码范围、分配的块数目和范围密匙时，通过联系这些项目来生成订卡信息。以相似的方式执行服务定义区域、范围注册服务定义区域或者服务注册服务定义区域的形成。

然后，程序进入步骤S12，在其中生成MAC(消息辨识码)。通过使用散列码等生成MAC，以便禁止生成具有相同MAC的不同的原始数据(例如，在这种情况下，对服务码范围、容量、范围码等的组合)。

然后，在步骤S13中，将订卡信息加密。将在下面说明加密的细节。程序进入步骤S14，在其中将标识码(假如经加密的订卡信息用于形成范围定义区域，则是范围码，或者假如经加密的订卡信息用于形成服务定义区域、范围注册服务定义区域、或者服务注册服务定义区域，则是服务码)作为报头加到经加密的订卡信息中，通过传输介质121向订卡机器101发送信息，并且退出订卡信息提供处理。

在该实施例中，在步骤S11中所生成的订卡信息是如下信息中的一种：用于形成范围定义区域的信息、用于形成服务定义区域的信息、用于形成范围注册服务定义区域的信息和用于形成服务注册服务定义区域的信息。

首先，将说明如下情况：如图14A所示，在步骤S11中，在已经注册的范围定义区域#0000h之下，形成新的范围注册服务定义区域#0020h。因为在步骤S11中形成新的范围注册服务定义区域#0020h，所以通过将服务码(0200h)和服务密匙(0101010101010101)相联系来生成订卡信息。

更具体地说，图14B示出已经生成的和加密的订卡信息。即，在图14B示出的订卡信息的开始处，将服务注册服务定义区域#0020h的服务码#0020h安排在报头。服务码#0020h不加密，以便在IC卡2中可以辨识父层。

继续地跟在作为没有加密的报头的服务码#0020h之后的是服务码#0020h，作为分配块数目的1，作为服务密匙#0020h的0101010101010101，和存储在范围注册服务定义区域#0020h中的MAC。这些项使用0123456789abcdef加密(图14B中的阴影所示)，该0123456789abcdef是作为父层的范围定义区域#0000h的范围密匙#0000h。

其次，将说明如下情况：如图15A所示，在已经注册的范围定义区域#0000h之下，形成新的服务注册服务定义区域#0021h。当形成服务注册服务定义区域#0021h时，图15B示出已经生成的订卡信息。即，在图15B示出的订卡信息的开始处，将服务注册服务定义区域#0021h的服务码#0021h安排在报头。服务码#0021h不加密，以便在IC卡2中可以辨识父层。

顺序地跟在作为没有加密的报头的服务码#0021h之后的是服务码#0021h，作为分配块数目的1，作为服务密匙#0021h的0101010101010101，和存储在服务注册服务定义区域#0021h中的MAC。这些项使用0123456789abcdef通过步骤S13加密(图15B中的阴影所示)，该0123456789abcdef是作为父层的范围定义区域#0000h的范围密匙#0000h。

再次，将说明如下情况：如图16A所示，在已经注册的范围定义区域#0000h之下，形成新的范围定义区域#0100h。图16B示出生成的订卡信息。即，在图16B示出的订卡信息的开始处，将范围定义区域#0100h的范围码#0100h安排为报头。

范围码#0100h不加密，以便在IC卡2中可以辨识父层。在订卡信息提供装置131中，按照在输入信息中的码范围辨识范围码#0100h。其原因为：在如前所述的本实施例中，因为在范围定义区域的码范围中，该范围定义区域的范围码是最小值，所以该范围码可以由该码范围来辨识。

顺序地跟在作为没有加密的报头的范围码#0100h之后的是服务码范围#0100h到03FFh、作为经分配的块数目的14(容量)、作为范围密匙#0100h的a0a0a0a0a0a0a0a0，和存储在范围定义区域#0100h中的MAC。这些项使用0101010101010101通过步骤S13加密(图16B中的阴影所示)，该0101010101010101是作为父层的范围注册服务定义区域#0020h的服务密匙#0020h。

当范围定义区域如上重新形成时，通过使用已经形成的范围注册服务定义区域的服务密匙来执行解密。这样，例如参照图8，在由管理员B1所管理的范围定义区域#0100h中，不允许不具有范围注册服务定义区域的管理员B1提供由另一个管理员C管理的范围定义区域。

即，在IC卡2中，尽管接收用于重新形成范围定义区域的命令，假如在IC卡2中没有存储作为父层的范围注册服务定义区域的服务密匙，则不允许解密。例如，这说明允许管理员A禁止管理员B1转租由管理员B1管理的区域。

接下来，将说明如下情况：如图17A所示，在已经注册的范围定义区域#0000h之下，形成新的范围定义区域#0008h。图17B示出生成的订卡信息。即，在图17B示出的订卡信息的开始处，将范围定义区域#0008h的服务码#0008h安排在报头。服务码#0008h不加密，以便在IC卡2中可以辨识父层。

顺序地跟在作为没有加密的报头的服务码#0008h之后的是服务码#0008h、作为经分配的块数目的8(容量)、作为服务密匙#0008h的0101010101010101，和存储在服务定义区域#0008h中的MAC。这些项使用0101010101010101通过步骤S13的处理加密(图17B中的阴影所示)，该0101010101010101是作为父层的服务注册服务定义区域#0021h的服务密匙。

当范围定义区域如上重新形成时，通过使用已经形成的范围注册服务定义区域的服务密匙来执行解密。这样，例如参照图8，在由管理员B1所管理的范围定义区域0100h中，允许具有服务注册服务定义区域#0121h的管理员B1提供服务定义区域030Ch，但是，在所管理的范围定义区域中，不允许不具有服务注册服务定义区域的另外的管理员C(未示出)提供服务定义区域。

即，在IC卡2中，尽管接收用于重新形成服务定义区域的命令，假如在IC卡2中没有存储作为父层的服务注册服务定义区域的服务密匙，则不允许解密。例如，这说明允许管理员A允许管理员C提供范围定义区域，而禁止管理员C提供服务定义区域。

如上所述，在该实施例中，允许管理员A(在这种情况下，IC卡2的发行者)在由管理员A管理的范围定义区域#0000h下提供新的范围定义区域，并且向其它商务实体在范围定义区域下，分别地指定用于提供其它范围定义区域的权限和用于提供服务定义区域的权限。

如上所述，因为通过使用父层的范围密匙或者服务密匙对订卡信息进行加密，所以除非已知范围密匙或者服务密匙，知道订卡信息的内容是不可能的。这样，尽管将经加密的订卡信息发送到不安全的场所，仍然防止经加密的订卡信息的内容泄露。此外，例如作为结果，可以将经加密的订卡信息发布到第三方，以要求对订卡机器101的注册、向IC卡2的发送等。

因为在此基本上通过使用父卡的范围密匙或者服务密匙来加密订卡信息，所以期望在父层的管理员的监督之下执行订卡信息提供处理。即，假如由第三方执行订卡信息提供处理，则用于加密的父卡的范围密匙或者服务密匙必须对第三方是已知的，这对从安全的角度来靠可不是优选的；由此，期望在父层的管理员的监督之下执行订卡信息提供处理。

然后，参照图18所示的流程图说明由IC卡2所执行的解密处理。如上所述，当从订卡信息提供装置131处发送经加密的订卡信息时，订卡机器101接收并且注册该信息。当安装IC卡2时，订卡机器101向IC卡2发送经加密的订卡信息。

IC卡2从订卡机器101处接收经加密的订卡信息，并且在步骤S21中判定是否将相应的范围定义区域、范围注册服务定义区域或者服务注册服务定义区域辨识为基于经加密的订卡信息而形成的范围定义区域、服务定义区域或者服务注册服务定义区域的父层。

即，在步骤S21中，通过参照经加密的订卡信息的报头，识别将要形成的范围定义区域的范围码、服务定义区域的服务码、范围注册服务定义区域的服务码、或者服务注册服务定义区域的服务码。

此外，在步骤S21中，假如范围注册服务定义区域如图14A和14B所示的那样将要形成，或者假如服务注册服务定义区域如图15A和15B所示的那样将要形成，则从EEPROM66中检测出包括服务码的范围定义区域，该服务码在该服务码的码范围中被识别，并且将该范围定义区域标识为父。

假如范围定义区域如图16A和16B所示的那样将要形成，则检测出包括范围码的范围定义区域，该范围码在该范围码的码范围中被识别，从EEPROM66中检测出在该范围定义区域之下的范围注册服务定义区域，并且将该范围注册服务定义区域标识为父层。假如服务定义区域如图17A和17B所示的那样将要形成，则检测出包括服务码的范围定义区域，该服务码在该范围码的码范围中被识别，从EEPROM66中检测出在该范围定义区域之下的服务注册服务定义区域，并且将该服务注册服务定义区域标识为父层。

假如已经在步骤S21中通过如上所述的程序识别出将要形成的区域的父层，则程序进入步骤S22，当识别失败时，进入步骤S24。使识别父层失败的可能的原因是：例如，当将要形成范围定义区域时，作为该范围定义区域的父层的范围注册服务定义区域没有被注册。

在步骤S22中，通过使用步骤S21中所识别的父层的范围定义区域中存储的范围密匙、在范围注册服务定义区域中存储的服务密匙、在服务定义区域中存储的服务密匙、或者在服务注册服务定义区域中存储的服务密匙来解密经加密的订卡信息，然后程序进入步骤S23。

在步骤S23中，基于包括在经解密的订卡信息中的MAC，判定订卡信息是否已经被篡改。通过检查经解密的MAC是否与由IC卡2从其它经解码的信息中重新计算的MAC相一致来进行判定。

假如在步骤S23中判定订卡信息已经被篡改，则程序进入步骤S24，其中说明订卡信息已经被篡改的消息被发送到订卡机器101，并且执行如删除经解密的订卡信息这样的差错处理，并且退出解密处理。在这种情况下，解密处理非正常的结束，并且没有形成范围定义区域或者服务定义区域。假如程序从步骤S21进入步骤S24，则说明没有注册范围注册服务定义区域或者服务注册服务定义区域的消息被发送到订卡机器101，并且执行如删除经解密的订卡信息这样的差错处理，并且退出解密处理。

另一方面，假如在步骤S23中判定订卡信息没有被篡改，则退出解密处理。在这种情况下，解密处理正常结束，然后执行将经解密的订卡信息存储在EEPROM66中的程序，即，相应于以下一种处理：范围形成处理，服务形成处理，范围注册服务形成处理，和服务注册服务形成处理等，其用于形成范围定义区域。

如上所述，订卡信息提供装置131加密订卡信息以生成经加密的订卡信息，并且IC卡2解密经加密的订卡信息。相应地，尽管在不安全的地方安放订卡机器101，并且假如通过传输介质121来进行发送，则可防止诸如偷听和篡改这样的不公平的行为。

结果，当执行购票以便开始通过使用IC卡2来提供新的服务时，不需要收回IC卡2，这使得减小了用于收回的花费。此外，通过将IC卡2带到安放订卡机器101的场所并执行订卡，允许IC卡2的用户立即接收新的服务，而无需收回IC卡2。

此外，如上所述，允许预定的管理员从如下做出选择：允许其它管理员仅形成范围定义区域，仅形成服务定义区域，或者范围定义区域和服务定义区域，并且由此允许对如下加以限制：是否也允许经允许形成区域的管理员向其它管理员发送区域。

尽管如上所述本发明以非接触卡系统来说明的，其中以非接触的模式执行通信，本发明也可以应用到以接触的模式执行的通信卡系统中。此外，本发明的范围不局限在卡系统中。

尽管用户块和系统块存储在一个存储器中，即，EEPROM66，用户块和系统块也可以存储在物理上分离的存储器中。

此外，尽管在该实施例中，数据存储在EEPROM66中，数据可以存储在除了EEPROM的半导体存储器中，在磁盘上等。

此外，尽管EEPROM66的存储区域在本实施例中以分层结构来管理，本发明也可以应用于以下情况：EEPROM66的存储区域不是以分层结构来管理。

此外，尽管在该实施例中，经加密的订卡信息通过传输介质121发送并且在订卡机器101中注册，经加密的订卡信息也可以存储在诸如磁盘、磁光盘、光盘、存储卡或者磁带这样的记录介质(存储介质)上，并且通过直接地将其带到订卡机器101处来注册。

上述的一系列的处理既可以通过软件也可以通过硬件来执行。当上述的一系列的处理通过软件来执行时，从记录介质上将构成该软件的程序安装到嵌入专用硬件的计算机中，或者安装到通用个人计算机等上，该通用个人计算机等在其上面安装不同的程序时可以执行不同的程序。

图19是示出通用个人计算机的示例构成。个人计算机的CPU(中央处理单元)201根据存储在ROM(只读存储器)202或者RAM(随机存取存储器)203中的程序执行不同的处理。RAM203存储当CPU201执行不同的处理时所需的数据和程序。输入/输出接口205连接到包括键盘和鼠标的输入单元206上，并且该输入单元206向CPU201输出已经输入到输入单元206的信号。输入/输出接口205也连接到包括显示器和扬声器等的输出单元207上。

此外，输入/输出接口205连接到由硬盘实现的存储单元208，和用于通过入因特网这样的网络与其他装置交换数据的通信单元209上。驱动器210用于从记录介质读取数据或者向其写入数据，该记录介质诸如：磁盘221、光盘222、磁光盘223或者半导体存储器224。

如图19所示，记录介质通过其上记录有程序的封装媒介来实现，并且从个人计算机单独地分发以向用户提供程序，该封装媒介诸如磁盘221(包括软盘)、光盘222(包括CD-ROM(压缩盘-制度存储器)和DVD(数字通用盘))、磁光盘223(包括MD(微盘(Mini-Disk)))、或者半导体存储器224或者该记录介质通过ROM202、包括存储单元208的硬盘等存储程序来实现，该程序通过预先内置在计算机中提供给用户。

此外，在该说明书中，不局限于根据所述的次序的时间序列所执行的的处理，通过介质来提供的用于定义程序的步骤包括：不必按照时间序列所执行的处理，而并行或者单独执行。

工业应用性

如上所述，根据本发明的数据存储装置和方法和第一程序，至少形成如下之一：由第一管理员所管理的第一区域、用于管理与服务相联系的信息的第二区域、用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域；读取在作为父层的区域中存储的密匙，该父层与形成的请求相联系；并且通过使用已经读取的密匙来解密所接收的经加密的信息。相应地，允许第一管理员向其它管理员任意分配第一到第四区域。

根据本发明的信息处理装置和方法和第二程序，当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域到由第一管理员所管理的区域的形成时，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息，以及将所加密的信息提供给数据存储介质。

相应地，允许第一管理员人任意地许可第二管理员形成第二到第四区域，并且可防止向第三方的信息泄漏。

Claims (8)

1.一种数据存储装置，用于管理区域以便以分层结构存储数据，该数据存储装置包括：

存储装置，其中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域；

接收装置，用于接收形成第一到第四区域的请求，以及与和该形成请求相联系的区域相关的信息，该信息中的至少一部分被加密；

读取装置，基于由接收装置所接收的信息，从存储装置中读取存储在区域中的密匙，在第一到第四区域中，该区域作为与形成的请求相联系的区域的父层；

解密装置，通过使用由读取装置所读取的密匙来解密经加密的信息；和

形成装置，基于由解密装置所解密的信息，在存储装置中，形成与形成该请求相联系的区域。

2.一种数据存储方法，用于管理区域以便以分层结构存储数据，该数据存储方法包括：

接收控制步骤，用于控制对数据存储介质的请求的接收，在该介质中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，形成第一到第四区域的请求，以及与和该形成请求相联系的区域相关的信息，该信息中的至少一部分被加密；

读取步骤，基于在接收控制步骤的处理控制下所接收的信息，从存储介质中读取存储在区域中的密匙，在第一到第四区域中，该区域作为与形成的请求相联系的区域的父层；

解密步骤，通过使用由读取步骤的处理所读取的密匙来解密经加密的信息；和

形成步骤，基于由解密步骤的处理所解密的信息，在数据存储介质中，形成与形成请求相联系的区域。

3.一种存储介质，在该存储介质上记录有计算机可读程序，该程序用于管理区域以便以分层结构存储数据，该程序包括：

接收控制步骤，用于控制对数据存储介质的请求的接收，在该介质中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，形成第一到第四区域的请求，以及与和该形成请求相联系的区域相关的信息，该信息中的至少一部分被加密；

读取步骤，基于在接收控制步骤的处理控制下所接收的信息，从存储介质中读取存储在区域中的密匙，在第一到第四区域中，该区域作为与形成的请求相联系的区域的父层；

解密步骤，通过使用由读取步骤的处理所读取的密匙来解密经加密的信息；和

形成步骤，基于由解密步骤的处理所解密的信息，在数据存储介质中，形成与形成请求相联系的区域。

4.一种程序，用于允许计算机控制数据存储装置，针对管理区域以便以分层结构存储数据，执行：

接收控制步骤，用于控制请求的接收，在该介质中至少形成如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，以及与和该形成请求相联系的区域相关的信息，该信息中的至少一部分被加密；

读取步骤，基于在接收控制步骤的处理控制下所接收的信息，从存储介质中读取存储在区域中的密匙，在第一到第四区域中，该区域作为与形成的请求相联系的区域的父层；

解密步骤，通过使用由读取步骤的处理所读取的密匙来解密经加密的信息；和

形成步骤，基于由解密步骤的处理所解密的信息，在数据存储介质中，形成与形成请求相联系的区域。

5.一种信息处理装置，用于向数据存储装置提供信息，以管理区域以便以分层结构存储数据，其中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，该信息处理装置包括：

加密装置，用于当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域的形成时，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息；和

提供装置，用于将由加密装置所加密的信息提供给数据存储介质。

6.一种针对信息处理装置的信息处理方法，用于向数据存储装置提供信息，以管理区域以便以分层结构存储数据，其中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，该信息处理方法包括：

加密步骤，用于当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域的形成时，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息；和

提供步骤，用于将由加密步骤的处理所加密的信息提供给数据存储介质。

7.一种存储介质，在该存储介质上记录有对信息处理装置来讲的计算机可读程序，以便向数据存储装置提供信息，以管理区域以便以分层结构存储数据，其中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，该程序包括：

加密步骤，用于当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域的形成时，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息；和

提供步骤，用于将由加密步骤的处理所加密的信息提供给数据存储介质。

8.一种程序，用于允许计算机控制信息处理装置，以便向数据存储装置提供信息，以管理区域以便以分层结构存储数据，其中至少存在如下之一：由第一管理员所管理的第一区域，用于管理与服务相联系的信息的第二区域，用于管理用于形成区域所需的信息的第三区域，该第三区域的父层为第一区域，该第三区域的上层为第一区域，该第三区域由第二管理员来管理，和用于管理形成第二区域所需的信息的第四区域，该第四区域的父层是第一区域，执行：

加密步骤，用于当请求第二区域的形成时，通过使用由第四区域所管理的密匙来加密第二区域的信息，当请求由第二管理员所管理的区域的形成时，通过使用由第三区域所管理的密匙来加密由第二管理员管理的区域的信息，当请求第三区域的形成时，通过使用由第一区域所管理的密匙来加密第三区域的信息，和当请求第四区域的形成时，通过使用由第一区域所管理的密匙来加密第四区域的信息；和

提供步骤，用于将由加密步骤的处理所加密的信息提供给数据存储介质。

Images