JP2000036014A - 情報処理装置および情報処理方法 - Google Patents

Abstract

(57)【要約】 【課題】 ＩＣカードによるサービスの提供を開始する
のに、ＩＣカードに記憶させることが必要な発券情報の
改竄や盗聴等を防止する。 【解決手段】 発券情報提供装置１３１では、発券情報
が暗号化され、その結果得られる暗号化発券情報が、伝
送媒体１２１を介して、発券機１０１に送信される。発
券機１０１では、発券情報提供装置１３１からの暗号化
発券情報が受信されて登録される。そして、発券機１０
１は、ＩＣカード２と通信可能な状態となると、登録さ
れている暗号化発券情報を、ＩＣカード２に送信する。
ＩＣカード２では、発券機１０１からの暗号化発券情報
が復号され、その結果得られる発券情報が記憶される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報処理装置およ
び情報処理方法に関し、例えば、ＩＣ（Integrated Cir
cuit）カードを回収しなくても、その内蔵するメモリを
管理するための管理情報を、安全に、追加したり変更し
たりすることができるようにする情報処理装置および情
報処理方法に関する。

【０００２】

【従来の技術】例えば、電子マネーシステムやセキュリ
ティシステムなどでの利用が期待されているＩＣカード
（スマートカード）が開発されている。

【０００３】ＩＣカードは、各種処理を行うＣＰＵや、
処理に必要なデータなどを記憶するメモリを内蔵してお
り、所定のリーダ／ライタ（Ｒ／Ｗ）に電気的に接触さ
せた状態で、または電磁波を利用して非接触で、データ
の送受信が行われる。なお、Ｒ／Ｗとの間で、電磁波を
利用して非接触でデータの送受信を行うＩＣカードに
は、一般に、その電磁波により、必要な電力が供給され
る。

【０００４】

【発明が解決しようとする課題】ＩＣカードを、例え
ば、電子マネーシステムやセキュリティシステムなどで
利用する場合においては、データの隠匿性や、ＩＣカー
ドの偽造を防止すること等のセキュリティが重要であ
り、一般には、システムの管理者（運用者）によって与
えられるキーによって、ＩＣカードに対するアクセスが
可能となる。即ち、キーを有しない者のＩＣカードへの
アクセスは制限される。

【０００５】また、例えば、接触式のＩＣカードの標準
を規定するＩＳＯ（InternationalOrganization for St
andardizaion）７８１６などでも、セキュリティについ
て規定されており、これによれば、ディレクトリまたは
フォルダに相当するＤＦ（Dedicated File）に鍵をかけ
ることで、そのＤＦの階層に属するＤＦや、ファイルに
相当するＥＦ（Elementary File）へのアクセスが制限
される。

【０００６】ところで、ＩＣカードに対して、新サービ
スを提供するためのデータを保持するファイルを新たに
追加したり、また、データのアクセスに必要なキーを変
更したりするための、いわゆる発券作業は、一般に、ユ
ーザに発行し、市場に出回っているＩＣカードを、その
ＩＣカードの管理者や製造メーカなどが回収し、セキュ
リティ管理の整備された施設等で行われる。

【０００７】即ち、一般に、ＩＣカードは、例えば、図
３１に示すように、ＩＣカードの発行者が、１次発行作
業を行い、ファンクションのないＩＣカード（データの
読み書きのできない状態のＩＣカード）を、発券作業を
行う発券業者に発行する。発券業者は、そのＩＣカード
によってサービスを提供しようとする管理者＃１がＩＣ
カードを利用することができるように発券作業（２次発
行作業）を行う。即ち、発券業者は、ＩＣカードの中
に、管理者＃１が利用する記憶領域（管理者＃１の領
域）を確保し、さらに、管理者＃１が、その記憶領域に
アクセスするのに必要なキーその他の情報を書き込む。
ここで、発券作業は、例えば、発券業者の施設などの、
セキュリティ管理の整備された場所（以下、適宜、安全
な場所という）で行われる。また、図３１において、発
券業者および管理者＃１は、同一人である場合が多い。

【０００８】発券作業の行われたＩＣカードは、市場に
出荷され、ユーザに配布等される。そして、管理者＃１
がサービスを提供するのに利用される。即ち、これによ
り、ユーザは、ＩＣカードを、例えば、電子的な定期券
や財布として利用することができる。

【０００９】以上のようにして市場に出回ったＩＣカー
ドが、例えば、マルチファンクションのものであり、管
理者＃１以外の管理者＃２が、そのマルチファンクショ
ンのＩＣカードによってサービスの提供を行おうとする
場合には、発券業者は、図３２に示すように、市場に出
回っているＩＣカードを、一旦回収する。そして、発券
業者は、管理者＃２がＩＣカードを利用することができ
るように発券作業を行う。即ち、ＩＣカードの中に、管
理者＃２が利用する記憶領域（管理者＃２の領域）を確
保し、さらに、管理者＃２が、その記憶領域にアクセス
するのに必要なキーその他の情報を書き込む。その後、
発券作業の行われたＩＣカードは、再び、市場に出荷さ
れる。

【００１０】発券作業によってＩＣカードに書き込まれ
る、例えば、キーなどは、ＩＣカードのセキュリティ上
重要な情報であり、このような情報を、市場などの、盗
聴や改竄等の不正行為が行われる蓋然性の高い、セキュ
リティ管理のなされていない場所（以下、適宜、安全で
ない場所という）に流通させることは好ましくない。こ
のため、発券作業は、上述のように、ＩＣカードを、市
場から回収し、安全な場所で行われる。

【００１１】従って、発券作業を行うごとに、ＩＣカー
ドを回収しなければならず、面倒であった。

【００１２】本発明は、このような状況に鑑みてなされ
たものであり、記憶領域にアクセスするのに必要なキー
その他の情報を、セキュリティ上安全でない場所におい
ても、安全に書き込むことができるようにするものであ
る。

【００１３】

【課題を解決するための手段】請求項１に記載の情報処
理装置は、データ記憶手段の記憶領域を管理するため
の、その記憶領域にアクセスするのに必要なキーを含む
管理情報を暗号化する暗号化手段を備えることを特徴と
する。

【００１４】請求項５に記載の情報処理方法は、データ
記憶手段の記憶領域を管理するための、その記憶領域に
アクセスするのに必要なキーを含む管理情報を暗号化す
る暗号化ステップを備えることを特徴とする。

【００１５】請求項６に記載の情報処理装置は、データ
記憶手段の記憶領域を管理するための、その記憶領域に
アクセスするのに必要なキーを含む管理情報であって、
暗号化されたものを復号する復号手段を備えることを特
徴とする。

【００１６】請求項１０に記載の情報処理方法は、デー
タ記憶手段の記憶領域を管理するための、その記憶領域
にアクセスするのに必要なキーを含む管理情報であっ
て、暗号化されたものを復号する復号ステップを備える
ことを特徴とする。

【００１７】請求項１に記載の情報処理装置において
は、暗号化手段が、データ記憶手段の記憶領域を管理す
るための、その記憶領域にアクセスするのに必要なキー
を含む管理情報を暗号化するようになされている。

【００１８】請求項５に記載の情報処理方法において
は、データ記憶手段の記憶領域を管理するための、その
記憶領域にアクセスするのに必要なキーを含む管理情報
を暗号化するようになされている。

【００１９】請求項６に記載の情報処理装置において
は、復号手段が、データ記憶手段の記憶領域を管理する
ための、その記憶領域にアクセスするのに必要なキーを
含む管理情報であって、暗号化されたものを復号するよ
うになされている。

【００２０】請求項１０に記載の情報処理方法において
は、データ記憶手段の記憶領域を管理するための、その
記憶領域にアクセスするのに必要なキーを含む管理情報
であって、暗号化されたものを復号するようになされて
いる。

【００２１】

【発明の実施の形態】以下に、本発明の実施の形態を説
明するが、その前に、特許請求の範囲に記載の発明の各
手段と以下の実施の形態との対応関係を明らかにするた
めに、各手段の後の括弧内に、対応する実施の形態（但
し、一例）を付加して、本発明の特徴を記述すると、次
のようになる。

【００２２】即ち、請求項１に記載の情報処理装置は、
データを記憶するデータ記憶手段（例えば、図３に示す
ＥＥＰＲＯＭ６６など）と、データ記憶手段の記憶領域
を管理するための、その記憶領域にアクセスするのに必
要なキーを含む管理情報を記憶する管理情報記憶手段
（例えば、図３に示すＥＥＰＲＯＭ６６など）と、管理
情報に基づいて、データ記憶手段を管理する管理手段
（例えば、図３に示すシーケンサ９１など）とを備える
データ記憶装置に対して、管理情報を提供するための処
理を行う情報処理装置であって、管理情報を作成する作
成手段（例えば、図２８に示すプログラムの処理ステッ
プＳ２１など）と、管理情報を暗号化する暗号化手段
（例えば、図２８に示すプログラムの処理ステップＳ２
３など）とを備えることを特徴とする。

【００２３】請求項２に記載の情報処理装置は、管理情
報が改竄されたか否かをチェックするためのチェックコ
ードを演算する演算手段（例えば、図２８に示すプログ
ラムの処理ステップＳ２２など）をさらに備え、暗号化
手段が、管理情報とともに、チェックコードも暗号化す
ることを特徴とする。

【００２４】請求項３に記載の情報処理装置は、暗号化
された管理情報を、所定の伝送媒体を介して、データ記
憶装置に送信する送信手段（例えば、図２８に示すプロ
グラムの処理ステップＳ２４など）をさらに備えること
を特徴とする。

【００２５】請求項６に記載の情報処理装置は、データ
を記憶するデータ記憶手段（例えば、図３に示すＥＥＰ
ＲＯＭ６６など）と、データ記憶手段の記憶領域を管理
するための、その記憶領域にアクセスするのに必要なキ
ーを含む管理情報を記憶する管理情報記憶手段（例え
ば、図３に示すＥＥＰＲＯＭ６６など）と、管理情報に
基づいて、データ記憶手段を管理する管理手段（例え
ば、図３に示すシーケンサ９１など）とを備える情報処
理装置であって、暗号化された管理情報を受信する受信
手段（例えば、図３に示すインターフェイス部６１な
ど）と、暗号化された管理情報を復号する復号手段（例
えば、図３０に示すプログラムの処理ステップＳ３２な
ど）と、管理情報を、管理情報記憶手段に記憶させる記
憶制御手段（例えば、図７に示すプログラムの処理ステ
ップＳ４や、図８に示すプログラムの処理ステップＳ１
４など）とを備えることを特徴とする。

【００２６】請求項７に記載の情報処理装置は、管理情
報が改竄されたか否かをチェックするチェック手段（例
えば、図３０に示すプログラムの処理ステップＳ３３な
ど）をさらに備えることを特徴とする。

【００２７】なお、勿論この記載は、各手段を上記した
ものに限定することを意味するものではない。

【００２８】図１は、本発明を適用したＩＣカードを用
いた非接触カードシステム（システムとは、複数の装置
が論理的に集合した物をいい、各構成の装置が同一筐体
中にあるか否かは問わない）の一実施の形態の構成例を
示している。

【００２９】この非接触カードシステムは、Ｒ／Ｗ１，
ＩＣカード２、およびコントローラ３で構成され、Ｒ／
Ｗ１とＩＣカード２との間では、電磁波を利用して非接
触で、データの送受信が行われるようになされている。

【００３０】即ち、Ｒ／Ｗ１が、所定のコマンドをＩＣ
カード２に送信し、ＩＣカード２は、そのコマンドを受
信し、そのコマンドに対応する処理を行う。そして、Ｉ
Ｃカード２は、その処理結果に対応する応答データをＲ
／Ｗ１に送信する。

【００３１】Ｒ／Ｗ１は、所定のインタフェース（例え
ば、ＲＳ−４８５Ａの規格などに準拠したもの）を介し
てコントローラ３に接続されており、コントローラ３
は、Ｒ／Ｗ１に対して所定の制御信号を供給すること
で、所定の処理を行わせる。

【００３２】図２は、図１のＲ／Ｗ１の構成例を示して
いる。

【００３３】ＩＣ２１においては、データの処理を行う
ＤＰＵ（Data Processing Unit）３１、ＩＣカード２に
送信するデータおよびＩＣカード２から受信したデータ
の処理を行うＳＰＵ（Signal Processing Unit）３２、
コントローラ３との通信を行うＳＣＣ（Serial Communi
cation Controller）３３、およびデータの処理に必要
な情報を予め記憶しているＲＯＭ部４１と処理途中のデ
ータを一時的に記憶するＲＡＭ部４２とで構成されるメ
モリ部３４が、バスを介して接続されている。

【００３４】また、このバスには、所定のデータを記憶
するフラッシュメモリ２２も接続されている。

【００３５】ＤＰＵ３１は、ＩＣカード２に送信するコ
マンドをＳＰＵ３２に出力するとともに、ＩＣカード２
から受信した応答データをＳＰＵ３２から受け取るよう
になされている。

【００３６】ＳＰＵ３２は、ＩＣカード２に送信するコ
マンドに対して所定の処理（例えば、ＢＰＳＫ（BiPhas
e Shift Keying）変調（ワンチェスタコードへのコーデ
ィング）など）を行った後、変調回路２３に出力すると
ともに、ＩＣカード２により送信されてきた応答データ
を復調回路２５から受け取り、そのデータに対して所定
の処理を施すようになされている。

【００３７】変調回路２３は、発振器（ＯＳＣ）２６よ
り供給される所定の周波数（例えば１３．５６ＭＨｚ）
の搬送波を、ＳＰＵ３２より供給されるデータで、ＡＳ
Ｋ（Amplitude Shift Keying）変調し、生成された変調
波をアンテナ２７を介して、電磁波としてＩＣカード２
に出力するようになされている。なお、このとき、変調
回路２３は、変調度を１未満にして、ＡＳＫ変調を行う
ようになされており、これにより、データがローレベル
のときにおいても、変調波の最大振幅がゼロにならない
ようになされている。

【００３８】復調回路２５は、アンテナ２７を介して受
信した変調波（ＡＳＫ変調波）を復調し、復調されたデ
ータをＳＰＵ３２に出力するようになされている。

【００３９】図３は、図１のＩＣカード２の構成例を示
している。

【００４０】このＩＣカード２においては、ＩＣ５１
が、アンテナ５３を介して、Ｒ／Ｗ１により送信された
変調波を受信するようになされている。なお、コンデン
サ５２は、アンテナ５３とともにＬＣ回路を構成し、所
定の周波数（キャリア周波数）の電磁波に同調（共振）
するようになされている。

【００４１】ＩＣ５１において、ＲＦインタフェース部
６１は、ＡＳＫ復調部８１で、アンテナ５３を介して受
信した変調波（ＡＳＫ変調波）を検波して復調し、復調
後のデータを、ＢＰＳＫ復調回路６２およびＰＬＬ（Ph
ase Locked Loop）部６３に出力するとともに、電圧レ
ギュレータ８２で、ＡＳＫ復調部８１が検波した信号を
安定化し、各回路に直流電源として供給するようになさ
れている。

【００４２】また、ＲＦインタフェース部６１は、発振
回路８３でデータのクロック周波数と同一の周波数の信
号を発振し、その信号をＰＬＬ部６３に出力するように
なされている。

【００４３】さらに、ＲＦインタフェース部６１では、
ＡＳＫ変調部８１において、演算部６４より、ＢＰＳＫ
変調回路６８を介して供給されるデータに対応して、Ｉ
Ｃカード２の電源としてのアンテナ５３の負荷を変動さ
せる（例えば、データに対応して所定のスイッチング素
子をオン／オフさせ、スイッチング素子がオン状態であ
るときだけ所定の負荷をアンテナ５３に並列に接続させ
る）ことにより、アンテナ５３を介して受信している変
調波をＡＳＫ変調し（ＩＣカード２からデータを送信す
るときは（ＩＣカード２にデータを送信させるとき
は）、Ｒ／Ｗ１は、その出力する変調波の最大振幅を一
定にしており、この変調波が、アンテナ５３の負荷の変
動により、ＡＳＫ変調される）、その変調成分を、アン
テナ５３を介してＲ／Ｗ１に送信する（Ｒ／Ｗ１のアン
テナ２７の端子電圧を変動させる）ようになされてい
る。

【００４４】ＰＬＬ部６３は、ＡＳＫ復調部８１より供
給されるデータから、そのデータに同期したクロック信
号を生成し、そのクロック信号をＢＰＳＫ復調回路６２
およびＢＰＳＫ変調回路６８に出力するようになされて
いる。

【００４５】ＢＰＳＫ復調回路６２は、ＡＳＫ復調部８
１で復調されたデータが、ＢＰＳＫ変調されている場
合、ＰＬＬ部６３より供給されたクロック信号に従っ
て、そのデータの復調（ワンチェスタコードのデコー
ド）を行い、復調したデータを演算部６４に出力するよ
うになされている。

【００４６】演算部６４は、ＢＰＳＫ復調回路６２より
供給されたデータが暗号化されている場合、そのデータ
を暗号／復号部９２で復号化した後、そのデータを、シ
ーケンサ９１で処理するようになされている。なお、デ
ータが暗号化されていない場合、ＢＰＳＫ復調回路６２
より供給されたデータは、暗号／復号部９２を介さず、
シーケンサ９１に、直接供給される。

【００４７】シーケンサ９１は、そこに供給されるコマ
ンドとしてのデータに対応する処理を行うようになされ
ている。即ち、例えば、シーケンサ９１は、ＥＥＰＲＯ
Ｍ６６に対するデータの書き込みや読み出し、その他デ
ータに対する必要な演算処理などを行う。さらに、シー
ケンサ９１は、認証を行うことによるＥＥＰＲＯＭ６６
へのアクセス制御や、ＥＥＰＲＯＭ６６の管理などをも
行うようになされている。

【００４８】演算部６４のパリティ演算部９３は、ＥＥ
ＰＲＯＭ６６に記憶されるデータや、ＥＥＰＲＯＭ６６
に記憶されているデータから、パリティとして、例え
ば、リードソロモン符号を算出するようになされてい
る。

【００４９】さらに、演算部６４は、シーケンサ９１で
所定の処理を行った後、その処理に対応する応答データ
（Ｒ／Ｗ１に送信するデータ）をＢＰＳＫ変調回路６８
に出力するようになされている。

【００５０】ＢＰＳＫ変調回路６８は、演算部６４より
供給されたデータをＢＰＳＫ変調し、変調後のデータを
ＲＦインタフェース部６１のＡＳＫ変調部８４に出力す
るようになされている。

【００５１】ＲＯＭ（Read Only Memory）６５は、シー
ケンサ９１が処理を行うためのプログラムその他の必要
なデータを記憶している。ＲＡＭ６７は、シーケンサ９
１が処理を行うとき、その処理の途中のデータなどを、
一時的に記憶するようになされている。

【００５２】ＥＥＰＲＯＭ（Electrically Erasable an
d Programmable ROM）６６は、不揮発性のメモリであ
り、ＩＣカード２がＲ／Ｗ１との通信を終了し、電力供
給が停止した後も、データを記憶し続けるようになされ
ている。

【００５３】次に、Ｒ／Ｗ１とＩＣカード２との間のデ
ータの送受信処理について説明する。

【００５４】Ｒ／Ｗ１（図２）は、アンテナ２７から所
定の電磁波を放射して、アンテナ２７の負荷状態を監視
し、ＩＣカード２が接近することによる負荷状態の変化
が検出されるまで待機する。なお、Ｒ／Ｗ１には、所定
の短いパターンのデータでＡＳＫ変調した電磁波を放射
して、ＩＣカード２への呼びかけを、ＩＣカード２から
の応答が一定時間内に得られるまで繰り返す処理（ポー
リング）を行わせるようにしてもよい。

【００５５】Ｒ／Ｗ１において、ＩＣカード２の接近が
検出されると、Ｒ／Ｗ１のＳＰＵ３２は、所定の周波数
（例えば、データのクロック周波数の２倍の周波数）の
矩形波を搬送波として、ＩＣカード２に送信するデータ
（ＩＣカード２に実行させる処理に対応するコマンド
や、ＩＣカード２に書き込むデータなど）で、ＢＰＳＫ
変調を行い、生成した変調波（ＢＰＳＫ変調信号）（ワ
ンチェスタコード）を変調回路２３に出力する。

【００５６】なお、ＢＰＳＫ変調時においては、差動変
換を利用して、変調波の位相の変化に、データを対応さ
せることができ、このようにした場合、ＢＰＳＫ変調信
号が反転しても、元のデータに復調されるので、復調す
るとき変調波の極性を配慮する必要が無くなる。

【００５７】変調回路２３は、入力されたＢＰＳＫ変調
信号で、所定の搬送波を１未満（例えば０．１）の変調
度（＝データ信号の最大振幅／搬送波の最大振幅）でＡ
ＳＫ変調し、生成された変調波（ＡＳＫ変調波）を、ア
ンテナ２７を介してＩＣカード２に送信する。

【００５８】なお、送信を行わないとき、変調回路２３
は、ディジタル信号の２つのレベル（ハイレベルとロー
レベル）のうちの、例えばハイレベルで変調波を生成す
るようになされている。

【００５９】ＩＣカード２（図３）では、アンテナ５３
およびコンデンサ５２で構成されるＬＣ回路において、
Ｒ／Ｗ１のアンテナ２７が放射した電磁波の一部が電気
信号に変換され、その電気信号（変調波）が、ＩＣ５１
のＲＦインタフェース６１に出力される。そして、ＲＦ
インタフェース６１のＡＳＫ復調部８１は、その変調波
を整流平滑化することで、包絡線検波を行い、これによ
り生成される信号を電圧レギュレータ８２に供給すると
ともに、その信号の直流成分を抑制してデータ信号を抽
出し、そのデータ信号をＢＰＳＫ復調回路６２およびＰ
ＬＬ部６３に出力する。

【００６０】なお、このとき、アンテナ５３の端子電圧
Ｖ₀は、例えば次のようになる。 Ｖ₀＝Ｖ₁₀（１＋ｋ×Ｖｓ（ｔ））ｃｏｓ（ωｔ） 但し、Ｖ₁₀ｃｏｓ（ωｔ）は、搬送波を、ｋは変調度
を、Ｖｓ（ｔ）はＳＰＵ３２が出力するデータを、それ
ぞれ表す。

【００６１】また、ＡＳＫ復調部８１による整流後の電
圧Ｖ₁におけるローレベルの値Ｖ_LRは、例えば次のよう
になる。 Ｖ_LR＝Ｖ₁₀（１＋ｋ×（−１））−Ｖｆ

【００６２】ここで、Ｖｆは、ＡＳＫ復調部８１におい
て、整流平滑化を行うための整流回路を構成するダイオ
ード（図示せず）における電圧降下を示しており、一般
に０．７ボルト程度である。

【００６３】電圧レギュレータ８２は、ＡＳＫ復調部８
１により整流平滑化された信号を受信すると、その信号
を安定化し、直流電源として、演算部６４を始めとする
各回路に供給する。なお、ここでは、上述したように、
変調波の変調度ｋは１未満であるので、整流後の電圧変
動（ハイレベルとローレベルの差）が小さい。従って、
電圧レギュレータ８２において、直流電源を容易に生成
することができる。

【００６４】ここで、例えば、変調度ｋが５％の変調波
を、Ｖ₁₀が３ボルト以上になるように受信した場合、整
流後のローレベル電圧Ｖ_LRは、２．１５（＝３×（１−
０．０５）−０．７）ボルト以上となり、電圧レギュレ
ータ８２は、電源として充分な電圧を各回路に供給する
ことができる。さらに、この場合、整流後の電圧Ｖ₁の
交流成分（データ成分）の振幅２×ｋ×Ｖ₁₀（Peak-to-
Peak値）は、０．３（＝２×０．０５×３）ボルト以上
になり、ＡＳＫ復調部８１は、十分高いＳ／Ｎ比でデー
タの復調を行うことができる。

【００６５】このように、変調度ｋが１未満のＡＳＫ変
調波を利用することにより、エラーレートの低い（Ｓ／
Ｎ比の高い状態で）通信を行うとともに、電源として充
分な直流電圧がＩＣカード２に供給される。

【００６６】ＢＰＳＫ復調回路６２は、ＡＳＫ復調部８
１からデータ信号（ＢＰＳＫ変調信号）を受信すると、
そのデータ信号を、ＰＬＬ部６３より供給されるクロッ
ク信号に従って復調し、復調したデータを演算部６４に
出力する。

【００６７】演算部６４は、ＢＰＳＫ復調回路６２より
供給されたデータが暗号化されている場合は、暗号／復
号部９２で復号化した後、そのデータ（コマンド）をシ
ーケンサ９１に供給して処理する。なお、この期間、即
ち、ＩＣカード２にデータを送信後、それに対する返答
を受信するまでの間、Ｒ／Ｗ１は、値が１のデータを送
信したまま待機している。従って、この期間において
は、ＩＣカード２は、最大振幅が一定である変調波を受
信している。

【００６８】シーケンサ９１は、処理が終了すると、そ
の処理結果などについてのデータ（Ｒ／Ｗ１に送信する
データ）を、ＢＰＳＫ変調回路６８に出力する。ＢＰＳ
Ｋ変調回路６８は、Ｒ／Ｗ１のＳＰＵ３２と同様に、そ
のデータをＢＰＳＫ変調（ワンチェスタコードにコーデ
ィング）した後、ＲＦインタフェース部６１のＡＳＫ変
調部８４に出力する。

【００６９】そして、ＡＳＫ変調部８４は、アンテナ５
３の両端に接続される負荷を、スイッチング素子などを
利用し、ＢＰＳＫ変調回路６８からのデータに応じて変
動させることにより、受信している変調波（ＩＣカード
２によるデータの送信時においては、上述したように、
Ｒ／Ｗ１が出力する変調波の最大振幅は一定になってい
る）を、送信するデータに応じてＡＳＫ変調し、これに
よりＲ／Ｗ１のアンテナ２７の端子電圧を変動させて、
そのデータをＲ／Ｗ１に送信する。

【００７０】一方、Ｒ／Ｗ１の変調回路２３は、ＩＣカ
ード２からのデータの受信時においては、値が１（ハイ
レベル）のデータの送信を継続している。そして、復調
回路２５において、ＩＣカード２のアンテナ５３と電磁
気的に結合しているアンテナ２７の端子電圧の微小な変
動（例えば、数十マイクロボルト）から、ＩＣカード２
により送信されてきたデータが検出される。

【００７１】さらに、復調回路２５では、検出した信号
（ＡＳＫ変調波）が高利得の増幅器（図示せず）で増幅
されて復調され、その結果得られるディジタルデータが
ＳＰＵ３２に出力される。ＳＰＵ３２は、そのデータ
（ＢＰＳＫ変調信号）を復調し、ＤＰＵ３１に出力す
る。ＤＰＵ３１は、ＳＰＵ３２からのデータを処理し、
その処理結果に応じて、通信を終了するか否かを判断す
る。そして、再度、通信を行うと判断した場合、上述し
た場合と同様にして、Ｒ／Ｗ１とＩＣカード２との間で
通信が行われる。一方、通信を終了すると判断した場
合、Ｒ／Ｗ１は、ＩＣカード２との通信処理を終了す
る。

【００７２】以上のように、Ｒ／Ｗ１は、変調度ｋが１
未満であるＡＳＫ変調を利用して、ＩＣカード２にデー
タを送信し、ＩＣカード２は、そのデータを受け取り、
そのデータに対応する処理を行って、その処理の結果に
対応するデータを、Ｒ／Ｗ１に返送する。

【００７３】次に、図４は、図３のＥＥＰＲＯＭ６６の
論理フォーマットを示している。

【００７４】ＥＥＰＲＯＭ６６は、ブロックを単位とし
て構成され、図４の実施の形態では、１ブロックは、例
えば、１６バイトで構成されている。

【００７５】さらに、図４の実施の形態では、最も上の
ブロックの論理アドレスを＃００００ｈ（ｈは、１６進
数を表す）として、昇順に、論理アドレスが付されてい
る。なお、図４では、論理アドレスとして、＃００００
ｈ乃至＃ＦＦＦＦｈが付されており、従って、６５５３
６（＝２¹⁶）個のブロックが構成されている。

【００７６】ブロックは、ユーザブロックまたはシステ
ムブロックとして使用されるようになされている。ＥＥ
ＰＲＯＭ６６のブロックは、論理アドレスの昇順に、ユ
ーザブロックに割り当てられていき、また、論理アドレ
スの降順に、システムブロックに割り当てられていくよ
うになされている。即ち、図４において、ユーザブロッ
クは下方向に、システムブロックは上方向に、それぞれ
増えていき、空きブロックがなくなった時点で、ユーザ
ブロックおよびシステムブロックをつくることはできな
くなる。従って、ユーザブロックとシステムブロックと
の境界は固定ではなく、また、ユーザブロックの数、ま
たはシステムブロックの数それぞれには、特に制限がな
い（但し、図４の実施の形態では、ユーザブロックとシ
ステムブロックとの合計は、６５５３６個以下に制限さ
れる）。

【００７７】システムブロックには、製造ＩＤ（Identi
fication）ブロック、発行ＩＤブロック、システム定義
ブロック、エリア定義ブロック、サービス定義ブロック
の５種類がある。なお、図４の実施の形態では、エリア
定義ブロックまたはサービス定義ブロックとなっている
ブロックを、エリア／サービス定義ブロックと示してあ
る。

【００７８】システムブロックのうち、製造ＩＤブロッ
ク、発行ＩＤブロック、システム定義ブロックの３つ
は、基本的に、ＩＣカード２の発行時には、既に配置さ
れているもので、論理アドレス＃ＦＦＦＦｈ，＃ＦＦＦ
Ｅｈ，＃ＦＦＦＤｈにそれぞれ配置される。そして、エ
リア／サービス定義ブロックは、論理アドレス＃ＦＦＦ
Ｃｈより上に、作成順に配置されていく。

【００７９】製造ＩＤブロックには、ＩＣカード２の製
造に関する情報が配置される。即ち、製造ＩＤブロック
には、例えば、ユニークな製造ＩＤや、製造年月日、製
造者のコードなどが配置される。

【００８０】発行ＩＤブロックには、ＩＣカード２の発
行に関する情報が配置される。即ち、発行ＩＤブロック
には、例えば、ＩＣカード２が発行された日付や、ＩＣ
カードを発行した順番を表すコードなどが配置される。

【００８１】システム定義ブロックには、例えば、ＥＥ
ＰＲＯＭ６６が有するシステムブロックまたはユーザブ
ロックの数や、システムキーなどが配置される。なお、
システムキーは、ＩＣカード２と、Ｒ／Ｗ１およびコン
トローラ３との間で、相互認証を行うときに用いられ
る。

【００８２】エリア定義ブロックは、例えば、ＥＥＰＲ
ＯＭ６６の記憶領域（エリア）が、管理者に割り当てら
れることにより作成され、そこには、管理者が、自身に
割り当てられた記憶領域を管理するための情報などが配
置される。即ち、エリア定義ブロックには、例えば、後
述するコード範囲、空き容量、およびエリアキーなどが
配置される。

【００８３】サービス定義ブロックには、後述するサー
ビス領域を管理するための情報（サービス領域の容量や
サービスキーなど）などが配置される。

【００８４】次に、シーケンサ９１では、ＥＥＰＲＯＭ
６６の記憶領域が階層化されて管理されるようになされ
ている。

【００８５】即ち、図５は、ＥＥＰＲＯＭ６６のディレ
クトリ構造を示している。

【００８６】ＥＥＰＲＯＭ６６の記憶領域は、エリア定
義領域を階層とする階層構造をなしており、エリア定義
領域は、エリア定義領域およびサービス定義領域を有す
ることができるようになされている。

【００８７】エリア定義領域は、管理者に割り当てら
れ、そこには、管理者が、エリア定義領域やサービス定
義領域を識別するための名前として使用可能な識別コー
ドの範囲を表すコード範囲、使用可能な空きブロック数
を表す空き容量、認証に用いる、後述するアクセスキー
を生成するためのエリアキーなどが配置される。ここ
で、１のエリア定義領域は、図４で説明した１のエリア
定義ブロックに対応する。

【００８８】図５の実施の形態では、管理者Ａに割り当
てられたエリア定義領域が最上位階層を構成しており、
これを親の階層として、管理者Ｂ１およびＢ２のエリア
定義領域が作成されている。さらに、管理者Ｂ１のエリ
ア定義領域を、親の階層として、管理者Ｃのエリア定義
領域が作成されている。

【００８９】サービス定義領域は、管理者が提供するサ
ービスに割り当てられ、そこには、そのサービスの提供
に必要なデータを記憶するサービス領域の容量や、アク
セスキーを生成するためのサービスキーなどが配置され
る。ここで、１のサービス定義領域は、図４で説明した
１のサービス定義ブロックに対応する。

【００９０】サービス領域は、サービスの提供に必要な
データが記憶される記憶領域で、図４のユーザブロック
に対応する。即ち、サービス領域は、０以上のユーザブ
ロックで構成され、サービス領域を構成するユーザブロ
ック数が、そのサービス領域を管理するサービス定義領
域の容量として配置される。

【００９１】また、エリア定義領域およびサービス定義
領域には、それらを識別するための識別コードも配置さ
れる。ここで、エリア定義領域またはサービス定義領域
を識別するための識別コードそれぞれを、以下、適宜、
エリアコードまたはサービスコードという。なお、サー
ビスコードは、あるサービス領域を管理するサービス定
義領域を識別するものであるから、そのサービス領域を
識別する識別コード（サービス領域識別コード）である
ということもできる。

【００９２】図５の実施の形態では、管理者Ａに、最上
位階層のエリア定義領域が割り当てられている。そし
て、使用可能な識別コードの範囲（コード範囲）とし
て、００００ｈ乃至ＦＦＦＦｈが、エリアキーとして、
0123456789abcdefが、それぞれ定義されている。ここ
で、エリア定義領域におけるコード範囲内の識別コード
であれば、いずれの識別コードも、そのエリア定義領域
のエリアコードとして使用可能であるが、本実施の形態
では、例えば、エリア定義領域のコード範囲の最小値
が、そのエリアコードとして使用されるようになされて
いる。従って、コード範囲が、００００ｈ乃至ＦＦＦＦ
ｈとなっているエリア定義領域、即ち、管理者Ａに割り
当てられているエリア定義領域のエリアコードは、００
００ｈとなっている。ここで、エリアコード＃ｘｘｘｘ
ｈのエリア定義領域を、以下、適宜、エリア定義領域＃
ｘｘｘｘｈと記載する。

【００９３】管理者Ａのエリア定義領域＃００００ｈの
階層には、管理者Ａがサービスを提供するためのサービ
ス定義領域が設けられている。このサービス定義領域に
は、エリア定義領域＃００００ｈのコード範囲である０
０００ｈ乃至ＦＦＦＦｈのうち、０００８ｈが、サービ
スコードとして割り当てられている。ここで、サービス
コード＃ｘｘｘｘｈのサービス定義領域を、以下、適
宜、サービス定義領域＃ｘｘｘｘｈと記載する。

【００９４】サービス定義領域＃０００８ｈの容量は８
とされており、従って、８のユーザブロックで構成され
るサービス領域の使用が可能となっている。また、サー
ビス定義領域＃０００８ｈのサービスキーは、01010101
01010101となっている。

【００９５】さらに、管理者Ａのエリア定義領域＃００
００ｈの階層には、管理者Ｂ１のエリア定義領域＃０１
００ｈ、および管理者Ｂ２のエリア定義領域＃１０００
ｈが、その子の階層として設けられている。また、エリ
ア定義領域＃００００ｈの階層には、図示せぬその他の
エリア定義領域も設けられており、これにより、エリア
定義領域＃００００ｈが使用可能なブロック数（空き容
量）は、例えば、３７ブロックとなっている。

【００９６】管理者Ｂ１のエリア定義領域＃０１００ｈ
のコード範囲としては、その親の階層であるエリア定義
領域＃００００ｈのコード範囲である００００ｈ乃至Ｆ
ＦＦＦｈのうちの、０１００ｈ乃至０３ＦＦｈが割り当
てられている。ここで、管理者Ｂ１のエリア定義領域の
コード範囲が０１００ｈ乃至０３ＦＦｈであるため、そ
の最小値である０１００ｈが、管理者Ｂ１のエリア定義
領域のエリアコードとなっている。

【００９７】また、エリア定義領域＃０１００ｈの空き
容量またはエリアキーは、それぞれ、１４またはa0a0a0
a0a0a0a0a0になっている。

【００９８】さらに、管理者Ｂ１のエリア定義領域＃０
１００ｈの階層には、管理者Ｃのエリア定義領域＃０３
００ｈが、その子の階層として設けられている。そし
て、管理者Ｃのエリア定義領域＃０３００ｈのコード範
囲としては、その親の階層であるエリア定義領域＃０１
００ｈのコード範囲である０１００ｈ乃至０３ＦＦｈの
うちの、０３００ｈ乃至０３ＦＦｈが割り当てられてい
る。ここで、管理者Ｃのエリア定義領域のコード範囲が
０３００ｈ乃至０３ＦＦｈであるため、その最小値であ
る０３００ｈが、管理者Ｃのエリア定義領域のエリアコ
ードとなっている。

【００９９】また、エリア定義領域＃０３００ｈの空き
容量またはエリアキーは、それぞれ、０またはb0b0b0b0
b0b0b0b0になっている。

【０１００】管理者Ｃのエリア定義領域＃０３００ｈの
階層には、管理者Ｃがサービスを提供するためのサービ
ス定義領域が設けられている。このサービス定義領域に
は、エリア定義領域＃０３００ｈのコード範囲である０
３００ｈ乃至０３ＦＦｈのうちの、０３０Ｃｈが、サー
ビスコードとして割り当てられている。

【０１０１】このサービスコード０３０Ｃｈが割り当て
られているサービス定義領域、即ち、サービス定義領域
＃０３０Ｃｈの容量は１６とされており、従って、１６
のユーザブロックで構成されるサービス領域の使用が可
能となっている。また、サービス定義領域＃０３０Ｃｈ
のサービスキーは、0202020202020202となっている。

【０１０２】ここで、サービス定義領域＃０３０Ｃｈが
管理するサービス領域の容量が１６であり、そのサービ
ス定義領域＃０３０Ｃｈ自体が、１のブロックを、サー
ビス定義ブロックとして使用することから、サービス定
義領域＃０３０Ｃｈが存在することによって使用される
ブロック数は１７（＝１６＋１）ブロックとなる。ま
た、サービス定義領域＃０３０Ｃｈが属する階層のエリ
ア定義領域＃０３００ｈが使用可能なブロック数は、そ
の空き容量が０であるから、０ブロックである。さら
に、エリア定義領域＃０３００ｈ自体が、１のブロック
を、エリア定義ブロックとして使用する。従って、エリ
ア定義領域＃０３００ｈの階層においては、使用されて
いるブロックが１８（＝１７＋１）ブロックで、使用可
能なブロックが０ブロックであるから、その親の階層
（上位階層）であるエリア定義領域＃０１００ｈから割
り当てられたブロック数が、１８（＝１８＋０）ブロッ
クであることが分かる。

【０１０３】さらに、エリア定義領域＃０１００ｈの階
層については、その子の階層（下位階層）であるエリア
定義領域＃０３００ｈで、上述のように、１８ブロック
が使用されている。また、エリア定義領域＃０１００ｈ
自体が１のブロックを、エリア定義ブロックとして使用
している。そして、エリア定義領域＃０１００ｈの空き
容量は、上述したように１４となっている。従って、エ
リア定義領域＃０１００ｈの階層においては、使用され
ているブロックが１９（＝１８＋１）ブロックで、使用
可能なブロックが１４であるから、その親の階層である
エリア定義領域＃００００ｈから割り当てられたブロッ
クは、３３（＝１９＋１４）ブロックであることが分か
る。

【０１０４】一方、管理者Ｂ２のエリア定義領域＃１０
００ｈのコード範囲としては、その親の階層であるエリ
ア定義領域＃００００ｈのコード範囲である００００ｈ
乃至ＦＦＦＦｈのうちの、１０００ｈ乃至１ＦＦＦｈが
割り当てられている。ここで、管理者Ｂ２のエリア定義
領域のコード範囲が１０００ｈ乃至１ＦＦＦｈであるた
め、その最小値である１０００ｈが、管理者Ｂ２のエリ
ア定義領域のエリアコードとなっている。

【０１０５】また、エリア定義領域＃１０００ｈの空き
容量またはエリアキーは、それぞれ、４３またはc0c0c0
c0c0c0c0c0になっている。

【０１０６】管理者Ｂ２のエリア定義領域＃１０００ｈ
の階層には、管理者Ｂ２がサービスを提供するためのサ
ービス定義領域が設けられている。このサービス定義領
域には、エリア定義領域＃１０００ｈのコード範囲であ
る１０００ｈ乃至１ＦＦＦｈのうちの、１０２２ｈが、
サービスコードとして割り当てられている。

【０１０７】このサービスコード１０２２ｈが割り当て
られているサービス定義領域、即ち、サービス定義領域
＃１０２２ｈの容量は４とされており、従って、４のユ
ーザブロックで構成されるサービス領域の使用が可能と
なっている。また、サービス定義領域＃１０２２ｈのサ
ービスキーは、0303030303030303となっている。

【０１０８】ここで、サービス定義領域＃１０２２ｈが
管理するサービス領域の容量が４であり、そのサービス
定義領域＃１０２２ｈ自体が、１のブロックを、サービ
ス定義ブロックとして使用することから、サービス定義
領域＃１０２２ｈが存在することによって使用されるブ
ロック数は５（＝４＋１）ブロックとなる。また、サー
ビス定義領域＃１０２２ｈが属する階層のエリア定義領
域＃１０００ｈが使用可能なブロック数は、その空き容
量が４３であるから、４３ブロックである。さらに、エ
リア定義領域＃１０００ｈ自体が１のブロックを、エリ
ア定義ブロックとして使用している。従って、エリア定
義領域＃１０００ｈの階層においては、使用されている
ブロックが６（＝５＋１）ブロックで、使用可能なブロ
ックが４３ブロックであるから、エリア定義領域＃１０
００ｈに割り当てられたブロックは、４９（＝６＋４
３）ブロックであることが分かる。

【０１０９】以上のように、管理対象のエリア定義領域
に割り当て可能な識別コードの範囲であるコード範囲を
エリア定義領域に記憶させるようにしたので、そのコー
ド範囲に基づき、管理対象のエリア定義領域を子の階層
とし、そのエリア定義領域を管理するエリア定義領域を
親の階層とする、図５に示したような階層構造を規定す
ることができる。

【０１１０】次に、図６を参照して、最上位階層のエリ
ア定義領域＃００００ｈが割り当てられた管理者Ａが、
例えば、ＩＣカード２の発行者であるとして、図５に示
した階層構造が構成されていく過程について説明する。

【０１１１】管理者Ａは、例えば、ユーザの要求に応じ
て、ＩＣカード２を発行する（１）。このＩＣカード２
には、図５の階層構造のうち、例えば、エリア定義領域
＃００００ｈだけが作成されている。

【０１１２】そして、管理者Ａは、サービス定義領域＃
０００８ｈによって管理されるサービス領域を利用し
て、所定のサービスの提供を開始する場合、そのサービ
ス定義領域＃０００８ｈの作成を行うのに必要な情報
を、発券機１０１に登録する（２）。

【０１１３】ここで、発券機１０１は、例えば、図１の
Ｒ／Ｗ１とコントローラ３から構成される。また、発券
機１０１は、例えば、駅や、小売店、その他の施設など
に設置することができる。

【０１１４】その後、ユーザが、ＩＣカード２を、発券
機１０１に装着すると（ＩＣカード２を、発券機１０１
が内蔵するＲ／Ｗ１との間で通信を行うことが可能な状
態にすると）、発券機１０１は、発券作業を行い、即
ち、登録された情報に基づいて、ＩＣカード２にコマン
ドおよび必要なデータを送信し、サービス定義領域＃０
００８ｈを作成させる。これにより、ユーザは、サービ
ス定義領域＃０００８ｈによって管理されるサービス領
域を利用した、管理者Ａによるサービスの提供を受ける
ことが可能となる。

【０１１５】一方、管理者Ｂ１，Ｂ２それぞれは、ＩＣ
カード２を利用したサービスの提供を行いたい場合、管
理者Ａとの間で契約を結び、管理者Ａに、エリア定義領
域＃０１００ｈおよび＃１０００ｈの作成を行うのに必
要な情報を、発券機１０１に登録してもらう（３），
（４）。そして、ユーザが、ＩＣカード２を、発券機１
０１に装着すると、発券機１０１は、発券作業を行い、
即ち、登録された情報に基づいて、ＩＣカード２にコマ
ンドおよび必要なデータを送信し、エリア定義領域＃０
１００ｈおよび＃１０００ｈを作成させる。これによ
り、管理者Ｂ１またはＢ２は、エリア定義領域＃０１０
０ｈまたは＃１０００ｈにおいて定義されている範囲内
において、ＩＣカード２のリソースを使用することが可
能となる。なお、この場合、管理者Ｂ１，Ｂ２に対する
発券業者は、管理者Ａということになる。

【０１１６】その後、管理者Ｂ２が、サービス定義領域
＃１０２２ｈによって管理されるサービス領域を利用し
て、所定のサービスの提供を開始する場合、そのサービ
ス定義領域＃１０２２ｈの作成を行うのに必要な情報
を、発券機１０１に登録する（５）。そして、ユーザ
が、ＩＣカード２を、発券機１０１に装着すると、発券
機１０１は、登録された情報に基づいて、ＩＣカード２
にコマンドおよび必要なデータを送信し、サービス定義
領域＃１０２２ｈを作成させる。これにより、ユーザ
は、サービス定義領域＃１０２２ｈによって管理される
サービス領域を利用した、管理者Ｂ２によるサービスの
提供を受けることが可能となる。

【０１１７】また、管理者Ｃは、管理者Ｂ１の管理下に
おいて、ＩＣカード２を利用したサービスの提供を行い
たい場合、管理者Ｂ１との間で契約を結び、管理者Ｂ１
に、エリア定義領域＃０３００ｈの作成を行うのに必要
な情報を、発券機１０１に登録してもらう（６）。そし
て、ユーザが、ＩＣカード２を、発券機１０１に装着す
ると、発券機１０１は、登録された情報に基づいて、Ｉ
Ｃカード２にコマンドおよび必要なデータを送信し、エ
リア定義領域＃０３００ｈを作成させる。これにより、
管理者Ｃは、エリア定義領域＃０３００ｈにおいて定義
されている範囲内において、ＩＣカード２のリソースを
使用することが可能となる。なお、この場合、管理者Ｃ
に対する発券業者は、管理者Ｂ１ということになる。

【０１１８】その後、管理者Ｃが、サービス定義領域＃
０３０Ｃｈによって管理されるサービス領域を利用し
て、所定のサービスの提供を開始する場合、そのサービ
ス定義領域＃０３０Ｃｈの作成を行うのに必要な情報
を、発券機１０１に登録する（７）。そして、ユーザ
が、ＩＣカード２を、発券機１０１に装着すると、発券
機１０１は、登録された情報に基づいて、ＩＣカード２
にコマンドおよび必要なデータを送信し、サービス定義
領域＃０３０Ｃｈを作成させる。これにより、ユーザ
は、サービス定義領域＃０３０Ｃｈによって管理される
サービス領域を利用した、管理者Ｃによるサービスの提
供を受けることが可能となる。

【０１１９】ＩＣカード２では、以上のように、発券機
１０１からのコマンドにしたがって、エリア定義領域や
サービス定義領域が作成される。このエリア定義領域を
作成するエリア作成処理、およびサービス定義領域を作
成するサービス作成処理は、例えば、シーケンサ９１に
よって行われるが、このエリア作成処理およびサービス
作成処理について、図７および図８を参照して説明す
る。

【０１２０】まず最初に、図７のフローチャートを参照
して、エリア作成処理について説明する。

【０１２１】ＩＣカード２が発券機１０１に装着される
と、発券機１０１は、例えば、ＩＣカード２に対して、
エリア定義領域を作成することを指令するコマンド（以
下、定義、エリア作成コマンドという）と、そのエリア
定義領域を作成するために必要な情報、即ち、例えば、
作成するエリア定義領域のコード範囲、そのエリア定義
領域に割り当てられたブロック数（以下、適宜、割り当
てブロック数という）、およびエリアキーなどを送信す
る。

【０１２２】ＩＣカード２（シーケンサ９１）は、エリ
ア作成コマンドを受信すると、それとともに送信されて
くる作成対象のエリア定義領域のコード範囲、割り当て
ブロック数、およびエリアキーなどを認識する。さら
に、ＩＣカード２では、作成対象のエリア定義領域のエ
リアコードを認識する。即ち、ここでは、作成対象のエ
リア定義領域のコード範囲の最小値が、そのエリアコー
ドとして認識される。また、ＩＣカード２では、作成対
象のエリア定義領域のコード範囲を含むコード範囲を有
するエリア定義領域が、作成対象のエリア定義領域の親
の階層のエリア定義領域として認識される。

【０１２３】そして、ＩＣカード２では、ステップＳ１
において、作成対象のエリア定義領域が、ＥＥＰＲＯＭ
６６の中に既に作成されているかどうかが判定される。
即ち、ステップＳ１では、作成対象のエリア定義領域の
エリアコードと同一のエリアコードを有するエリア定義
領域が、既に作成されているかどうかが判定される。

【０１２４】ステップＳ１において、作成対象のエリア
定義領域が既に作成されていると判定された場合、エリ
ア作成処理を終了する。即ち、作成対象のエリア定義領
域が既に作成されている場合は、同一のエリア定義領域
を重複して作成する必要はないから、以降の処理は行わ
れない。

【０１２５】また、ステップＳ１において、作成対象の
エリア定義領域が作成されていないと判定された場合、
ステップＳ２に進み、作成対象のエリア定義領域のコー
ド範囲および割り当てブロック数（容量）が適正かどう
かが判定される。即ち、ステップＳ２では、作成対象の
エリア定義領域のコード範囲が、親の階層のエリア定義
領域に記憶されているコード範囲に含まれており、かつ
作成対象のエリア定義領域の割り当てブロック数が、親
の階層のエリア定義領域に記憶されている空き容量以下
であるかどうかが判定される。

【０１２６】ステップＳ２において、作成対象のエリア
定義領域のコード範囲および割り当てブロック数が適正
でないと判定された場合、即ち、作成対象のエリア定義
領域のコード範囲が、親の階層のエリア定義領域に記憶
されているコード範囲に含まれていないか、または作成
対象のエリア定義領域の割り当てブロック数が、親の階
層のエリア定義領域に記憶されている空き容量を越えて
いる場合、ステップＳ３に進み、エラー処理が行われ、
エリア作成処理を終了する。即ち、ステップＳ３では、
例えば、親の階層のエリア定義領域の子の階層として、
エリア定義領域を作成することができない旨のメッセー
ジが、発券機１０１に送信される。従って、この場合、
エリア定義領域は作成されない（発券作業は行われな
い）。

【０１２７】一方、ステップＳ２において、作成対象の
エリア定義領域のコード範囲および割り当てブロック数
が適正であると判定された場合、即ち、作成対象のエリ
ア定義領域のコード範囲が、親の階層のエリア定義領域
に記憶されているコード範囲に含まれおり、かつ作成対
象のエリア定義領域の割り当てブロック数が、親の階層
のエリア定義領域に記憶されている空き容量以下である
場合、ステップＳ４に進み、作成対象のエリア定義領域
が、親の階層のエリア定義領域の子の階層として作成さ
れる。

【０１２８】即ち、ステップＳ４では、ＥＥＰＲＯＭ６
６（図４）の中の空きブロックのうち、最も下のブロッ
ク（論理アドレスの最も大きい空きブロック）が、作成
対象のエリア定義領域に対応するエリア定義ブロックと
して確保される。さらに、そのエリア定義ブロックに、
コード範囲、空き容量、エリアキーなどが書き込まれる
（記憶される）。ここで、ステップＳ４では、コード範
囲およびエリアキーとしては、発券機１０１から送信さ
れてきたものが、そのまま書き込まれる。また、空き容
量としては、発券機１０１から送信されてきた割り当て
ブロック数から１を減算した値が書き込まれる。なお、
空き容量として、割り当てブロック数から１を減算した
値を書き込むのは、作成されたエリア定義領域が、１の
ブロックを使用するためである。

【０１２９】その後、ステップＳ５に進み、親の階層の
エリア定義領域の空き容量が書き換えられ、エリア作成
処理を終了する。即ち、ステップＳ５では、親の階層の
エリア定義領域の空き容量から、割り当てブロック数を
減算した値が、その親の階層のエリア定義領域の空き容
量として、新たに書き込まれる。

【０１３０】図５に示した管理者Ｂ１，Ｂ２，Ｃそれぞ
れのエリア定義領域＃０１００ｈ，＃１０００ｈ，＃０
３００ｈは、以上のエリア作成処理が行われることで作
成される。

【０１３１】即ち、ＩＣカード２の発行時において、そ
の発行者でもある管理者Ａが、ＩＣカード２のリソース
すべてを有しており、ＩＣカード２の使用可能な識別コ
ードまたは容量が、例えば、００００ｈ乃至ＦＦＦＦｈ
または６５５３３ブロックであるとすると、ＩＣカード
２の発行時においては、エリア定義領域としては、コー
ド範囲が００００ｈ乃至ＦＦＦＦｈで、空き容量が６５
５３２となっている、最上位階層のエリア定義領域＃０
０００ｈだけが存在している。

【０１３２】なお、本実施の形態では、図４に示したよ
うに、ＥＥＰＲＯＭ６６は、６５５３６のブロックを有
しているが、発行直後のＩＣカード２において、使用可
能な容量が、それより３ブロック少ない６５５３３ブロ
ックであるのは、図４に示したように、製造ＩＤブロッ
ク、発行ＩＤブロック、システム定義ブロックが存在す
るためである。

【０１３３】また、最上位階層のエリア定義領域＃００
００ｈの空き容量が、使用可能な容量である６５５３３
ブロックより１ブロック少ない６５５３２ブロックとな
るのは、エリア定義領域＃００００ｈ自体が、１ブロッ
クを使用するためである。

【０１３４】管理者Ａが、自身のリソースのうち、例え
ば、０１００ｈ乃至０３ＦＦｈの範囲の識別コードと、
３３ブロックを、管理者Ｂ１に分け与える場合には、エ
リア作成処理が行われることにより、エリア定義領域＃
０１００ｈが作成される。即ち、この場合、０１００ｈ
乃至０３ＦＦｈがコード範囲として、また、３２ブロッ
クが空き容量として、エリア定義領域＃０１００ｈに書
き込まれる。なお、空き容量が、管理者Ａから分け与え
られる３３ブロックより１ブロック少ないのは、エリア
定義領域＃０１００ｈ自体が、１ブロックを使用するか
らである。

【０１３５】エリア定義領域＃０１００ｈが作成される
と、管理者Ａのエリア定義領域＃００００ｈの空き容量
は、管理者Ｂ１に分け与えた３３ブロックだけ減らされ
る。

【０１３６】また、管理者Ａが、自身のリソースのう
ち、例えば、１０００ｈ乃至１ＦＦＦｈの範囲の識別コ
ードと、４９ブロックを、管理者Ｂ２に分け与える場合
には、エリア作成処理が行われることにより、エリア定
義領域＃１０００ｈが作成される。即ち、この場合、１
０００ｈ乃至１ＦＦＦｈがコード範囲として、また、４
８ブロックが空き容量として、エリア定義領域＃１００
０ｈに書き込まれる。なお、空き容量が、管理者Ａから
分け与えられる４９ブロックより１ブロック少ないの
は、エリア定義領域＃１０００ｈ自体が、１ブロックを
使用するからである。

【０１３７】エリア定義領域＃１０００ｈが作成される
と、管理者Ａのエリア定義領域＃００００ｈの空き容量
は、管理者Ｂ２に分け与えた３３ブロックだけ減らされ
る。

【０１３８】管理者Ｂ１またはＢ２それぞれは、以上の
ようにして、エリア定義領域＃０１００ｈまたは＃１０
００ｈが作成されると、そのエリア定義領域＃０１００
ｈまたは＃１０００ｈの階層に、その子の階層としての
エリア定義領域や、サービス定義領域を作成することが
可能となる。

【０１３９】例えば、いま、管理者Ｂ１が、自身のリソ
ースのうち、例えば、０３００ｈ乃至０３ＦＦｈの範囲
の識別コードと、１８ブロックを、管理者Ｃに分け与え
る場合には、エリア作成処理が行われることにより、エ
リア定義領域＃０３００ｈが作成される。即ち、この場
合、０３００ｈ乃至０３ＦＦｈがコード範囲として、ま
た、１７ブロックが空き容量として、エリア定義領域＃
０３００ｈに書き込まれる。なお、空き容量が、管理者
Ｂ１から分け与えられる１８ブロックより１ブロック少
ないのは、エリア定義領域＃０３００ｈ自体が、１ブロ
ックを使用するからである。

【０１４０】エリア定義領域＃０３００ｈが作成される
と、管理者Ｂ１エリア定義領域＃０１００ｈの空き容量
は、管理者Ｃに分け与えた１８ブロックだけ減らされ
る。即ち、上述したように、エリア定義領域＃０１００
ｈが作成された時点では、その空き領域は、３２ブロッ
クであったが、１８ブロックだけ減らされて、図５に示
したように、１４ブロックとなる。

【０１４１】次に、図８のフローチャートを参照して、
サービス作成処理について説明する。

【０１４２】ＩＣカード２が発券機１０１に装着される
と、発券機１０１は、ＩＣカード２に対して、サービス
定義領域を作成することを指令するコマンド（以下、定
義、サービス作成コマンドという）と、そのサービス定
義領域を作成するために必要な情報、即ち、例えば、作
成するサービス定義領域のサービスコード、そのサービ
ス定義領域に割り当てられたブロック数（これも、以
下、適宜、割り当てブロック数という）、およびサービ
スキーなどを送信する。

【０１４３】ＩＣカード２（シーケンサ９１）は、サー
ビス作成コマンドを受信すると、それとともに送信され
てくる作成対象のサービス定義領域のサービスコード、
割り当てブロック数、およびサービスキーなどを認識す
る。さらに、ＩＣカード２では、作成対象のサービス定
義領域のサービスコードを含むコード範囲を有するエリ
ア定義領域が、作成対象のサービス定義領域の親の階層
のエリア定義領域として認識される。

【０１４４】そして、ＩＣカード２では、ステップＳ１
１において、作成対象のサービス定義領域が、ＥＥＰＲ
ＯＭ６６の中に既に作成されているかどうかが判定され
る。即ち、ステップＳ１１では、作成対象のサービス定
義領域のサービスコードと同一のサービスコードを有す
るサービス定義領域が、既に作成されているかどうかが
判定される。

【０１４５】ステップＳ１１において、作成対象のサー
ビス定義領域が既に作成されていると判定された場合、
サービス作成処理を終了する。即ち、作成対象のサービ
ス定義領域が既に作成されている場合は、同一のサービ
ス定義領域を重複して作成する必要はないから、以降の
処理は行われない。

【０１４６】また、ステップＳ１１において、作成対象
のサービス定義領域が作成されていないと判定された場
合、ステップＳ１２に進み、作成対象のサービス定義領
域のサービスコードおよび割り当てブロック数（容量）
が適正かどうかが判定される。即ち、ステップＳ１２で
は、作成対象のサービス定義領域のサービスコードが、
親の階層のエリア定義領域に記憶されているコード範囲
に含まれており、かつ作成対象のサービス定義領域の割
り当てブロック数が、親の階層のエリア定義領域に記憶
されている空き容量以下であるかどうかが判定される。

【０１４７】ステップＳ１２において、作成対象のサー
ビス定義領域のサービスコードおよび割り当てブロック
数が適正でないと判定された場合、即ち、作成対象のサ
ービス定義領域のサービスコードが、親の階層のエリア
定義領域に記憶されているコード範囲に含まれていない
か、または作成対象のサービス定義領域の割り当てブロ
ック数が、親の階層のエリア定義領域に記憶されている
空き容量を越えている場合、ステップＳ１３に進み、エ
ラー処理が行われ、エリア作成処理を終了する。即ち、
ステップＳ３では、例えば、親の階層のエリア定義領域
の階層に、サービス定義領域を作成することができない
旨のメッセージが、発券機１０１に送信される。従っ
て、この場合、サービス定義領域は作成されない。

【０１４８】一方、ステップＳ１２において、作成対象
のサービス定義領域のサービスコードおよび割り当てブ
ロック数が適正であると判定された場合、即ち、作成対
象のサービス定義領域のサービスコードが、親の階層の
エリア定義領域に記憶されているコード範囲に含まれお
り、かつ作成対象のサービス定義領域の割り当てブロッ
ク数が、親の階層のエリア定義領域に記憶されている空
き容量以下である場合、ステップＳ１４に進み、作成対
象のサービス定義領域が、親の階層のエリア定義領域の
階層に作成される。

【０１４９】即ち、ステップＳ１４では、ＥＥＰＲＯＭ
６６（図４）の中の空きブロックのうち、最も下のブロ
ック（論理アドレスの最も大きい空きブロック）が、作
成対象のサービス定義領域に対応するサービス定義ブロ
ックとして確保される。さらに、そのサービス定義ブロ
ックに、サービスコード、容量、サービスキーなどが書
き込まれる。ここで、ステップＳ１４では、サービスコ
ードおよびサービスキーとしては、発券機１０１から送
信されてきたものが、そのまま書き込まれる。また、容
量としては、発券機１０１から送信されてきた割り当て
ブロック数から１を減算した値が書き込まれる。なお、
容量として、割り当てブロック数から１を減算した値を
書き込むのは、作成されたサービス定義領域が、１のブ
ロックを使用するためである。

【０１５０】また、ステップＳ１４では、作成されたサ
ービス定義領域に書き込まれた容量に対応する数の空き
ブロックが、論理アドレスの小さい順に選択され、その
サービス定義領域が管理するサービス領域を構成するユ
ーザブロックとして確保され、ステップＳ１５に進む。

【０１５１】ステップＳ１５では、親の階層のエリア定
義領域の空き容量が書き換えられ、サービス作成処理を
終了する。即ち、ステップＳ１５では、親の階層のエリ
ア定義領域の空き容量から、割り当てブロック数を減算
した値が、そのエリア定義領域の空き容量として、新た
に書き込まれる。

【０１５２】図５に示した管理者Ａ，Ｂ２，Ｃそれぞれ
のサービス定義領域＃０００８ｈ，＃１０２２ｈ，＃０
３０Ｃｈは、以上のサービス作成処理が行われることで
作成される。

【０１５３】即ち、管理者Ａが、自身のリソースのう
ち、例えば、０００８ｈの識別コードと、９ブロックの
容量を用いてサービスの提供を行う場合には、サービス
作成処理が行われることにより、サービス定義領域＃０
００８ｈが作成され、そこに、容量として、８ブロック
が書き込まれる。さらに、８個の空きブロックがユーザ
ブロックとして確保され、エリア定義領域＃０００８ｈ
によって管理されるサービス領域とされる。なお、サー
ビス定義領域＃０００８ｈに書き込まれる容量が、９ブ
ロックより１ブロック少ないのは、サービス定義領域＃
０００８ｈ自体が、１ブロックを使用するからである。

【０１５４】サービス定義領域＃０００８ｈが作成され
ると、管理者Ａのエリア定義領域＃００００ｈの空き容
量は、サービス定義領域＃０００８ｈに分け与えた９ブ
ロックだけ減らされる。

【０１５５】以上により、管理者Ａは、サービス定義領
域＃０００８ｈで管理される８ブロックのサービス領域
を用いて、サービスを提供することが可能となる。

【０１５６】また、管理者Ｂ２が、自身のリソースのう
ち、例えば、１０２２ｈの識別コードと、５ブロックの
容量を用いてサービスの提供を行う場合には、サービス
作成処理が行われることにより、サービス定義領域＃１
０２２ｈが作成され、そこに、容量として、４ブロック
が書き込まれる。さらに、４個の空きブロックがユーザ
ブロックとして確保され、エリア定義領域＃１０２２ｈ
によって管理されるサービス領域とされる。なお、サー
ビス定義領域＃１０２２ｈに書き込まれる容量が、５ブ
ロックより１ブロック少ないのは、サービス定義領域＃
１０２２ｈ自体が、１ブロックを使用するからである。

【０１５７】サービス定義領域＃１０２２ｈが作成され
ると、管理者Ｂ２のエリア定義領域＃１０００ｈの空き
容量は、サービス定義領域＃１０２２ｈに分け与えた５
ブロックだけ減らされる。即ち、上述したように、エリ
ア定義領域＃１０００ｈが作成された時点では、その空
き容量は、４８ブロックであったが、５ブロックだけ減
らされて、図５に示したように、４３ブロックとなる。

【０１５８】以上により、管理者Ｂ２は、サービス定義
領域＃１０２２ｈで管理される４ブロックのサービス領
域を用いて、サービスを提供することが可能となる。

【０１５９】さらに、管理者Ｃが、自身のリソースのう
ち、例えば、０３０Ｃｈの識別コードと、１７ブロック
の容量を用いてサービスの提供を行う場合には、サービ
ス作成処理が行われることにより、サービス定義領域＃
０３０Ｃｈが作成され、そこに、容量として、１６ブロ
ックが書き込まれる。さらに、１６個の空きブロックが
ユーザブロックとして確保され、エリア定義領域＃０３
０Ｃｈによって管理されるサービス領域とされる。な
お、サービス定義領域＃０３０Ｃｈに書き込まれる容量
が、１７ブロックより１ブロック少ないのは、サービス
定義領域＃０３０Ｃｈ自体が、１ブロックを使用するか
らである。

【０１６０】サービス定義領域＃０３０Ｃｈが作成され
ると、管理者Ｃのエリア定義領域＃０３００ｈの空き容
量は、サービス定義領域＃０３０Ｃｈに分け与えた１７
ブロックだけ減らされる。即ち、上述したように、エリ
ア定義領域＃０３００ｈが作成された時点では、その空
き容量は、１７ブロックであったが、１７ブロックだけ
減らされて、図５に示したように、０ブロックとなる。

【０１６１】以上により、管理者Ｃは、サービス定義領
域＃０３０Ｃｈで管理される１６ブロックのサービス領
域を用いて、サービスを提供することが可能となる。

【０１６２】以上のように、コード範囲および空き容量
を記憶しているエリア定義領域に基づいて、ＥＥＰＲＯ
Ｍ６６を管理するようにしたので、ＩＣカード２のリソ
ース管理を行うことが可能となる。即ち、あるエリア定
義領域の階層の中で使用可能な容量および識別コードを
制限することができる。その結果、例えば、ある管理者
が、自身に割り当てられたリソース（ここでは、使用可
能な容量および識別コード）の一部を、他の管理者に分
け与えて、ＩＣカード２を共有したとしても、識別コー
ドが、異なる管理者の間で重複することや、管理者が、
あらかじめ、契約等で定められた容量を超えてＥＥＰＲ
ＯＭ６６を使用することなどを防止することができる。

【０１６３】次に、ＩＣカード２では、図５で説明した
ように、ＥＥＰＲＯＭ６６の記憶領域が、エリア定義領
域を階層とする階層構造をなしており、さらに、各エリ
ア定義領域およびサービス定義領域に、認証のためのキ
ー（本実施の形態では、エリア定義領域またはサービス
定義領域のキーを、それぞれエリアキーまたはサービス
キーと呼んでいる）が記憶されている結果、ＩＣカード
２に対するフレキシブルでセキュリティの高いアクセス
制御を行うことが可能となっている。

【０１６４】即ち、管理者どうしの間において、例え
ば、図９に示すような情報のやりとりを行うことで、Ｉ
Ｃカード２に対するフレキシブルでセキュリティの高い
アクセス制御を実現することができる。

【０１６５】具体的には、ＩＣカード２の発行者でもあ
る管理者Ａは、ＥＥＰＲＯＭ６６（図４）のシステム定
義ブロックに記憶させるシステムキーと、自身のエリア
定義領域＃００００ｈのエリアキーを決定し、システム
キーをシステム定義ブロックに、エリアキー＃００００
ｈをエリア定義領域＃００００ｈに、それぞれ記憶させ
ておく。ここで、エリア定義領域＃ｘｘｘｘｈのエリア
キーを、以下、適宜、エリアキー＃ｘｘｘｘｈと記載す
る。

【０１６６】さらに、管理者Ａは、システムキーを、エ
リアキー＃００００ｈで暗号化し、エリア中間キーＫ_A
を生成しておく。なお、暗号化の手法としては、例え
ば、ＤＥＳ（Data Encryption Standard）や、ＦＥＡＬ
（Fast Data Encipherment Algolithm）などを採用する
ことができる。

【０１６７】そして、管理者Ａは、自身のリソースを、
管理者Ｂ１に分け与えるとき、エリア中間キーＫ_Aを、
管理者Ｂ１に与える。さらに、管理者Ａは、管理者Ｂ１
のエリアキー＃０１００ｈを決定し、自身のエリアコー
ド＃００００ｈとともに、管理者Ｂ１に与える（配布す
る）。

【０１６８】従って、管理者Ｂ１は、エリア中間キーＫ
_Aおよび自身のエリアキー＃０１００ｈを認識すること
ができるが、システムキー、および、いわば親である管
理者Ａのエリアキー＃００００ｈは認識することができ
ない。但し、管理者Ｂ１のエリアキー＃０１００ｈは、
親である管理者Ａが、いわば子である管理者Ｂ１に与え
たものであるから、親である管理者Ａは、子である管理
者Ｂ１のエリアキー＃０１００ｈを認識している。

【０１６９】なお、管理者Ａが管理者Ｂ１に与えたエリ
アキー＃０１００ｈは、管理者Ｂ１のエリア定義領域＃
０１００ｈのエリア作成処理（図７）において、そのエ
リア定義領域＃０１００ｈに書き込まれる。

【０１７０】管理者Ｂ１は、その親である管理者Ａから
得たエリア中間キーＫ_Aを、やはり管理者Ａから得たエ
リアキー＃０１００ｈで暗号化し、エリア中間キーＫ_B1
を生成しておく。

【０１７１】また、管理者Ａは、自身のリソースを、管
理者Ｂ２に分け与えるときも、エリア中間キーＫ_Aを、
管理者Ｂ２に与える。さらに、管理者Ａは、管理者Ｂ２
のエリアキー＃１０００ｈを決定し、自身のエリアコー
ド＃００００ｈとともに、管理者Ｂ２に与える。

【０１７２】従って、管理者Ｂ２は、エリア中間キーＫ
_Aおよび自身のエリアキー＃１０００ｈを認識すること
ができるが、システムキー、および親である管理者Ａの
エリアキー＃００００ｈは認識することができない。但
し、管理者Ｂ２のエリアキー＃１０００ｈは、親である
管理者Ａが、子である管理者Ｂ２に与えたものであるか
ら、親である管理者Ａは、子である管理者Ｂ２のエリア
キー＃１０００ｈを認識している。

【０１７３】なお、管理者Ａが管理者Ｂ２に与えたエリ
アキー＃１０００ｈは、管理者Ｂ２のエリア定義領域＃
１０００ｈのエリア作成処理において、そのエリア定義
領域＃１０００ｈに書き込まれる。

【０１７４】管理者Ｂ２は、その親である管理者Ａから
得たエリア中間キーＫ_Aを、やはり管理者Ａから得たエ
リアキー＃１０００ｈで暗号化し、エリア中間キーＫ_B2
を生成しておく。

【０１７５】一方、管理者Ｂ１は、自身のリソースを、
管理者Ｃに分け与えるとき、エリア中間キーＫ_B1を、管
理者Ｃに与える。さらに、管理者Ｂ１は、管理者Ｃのエ
リアキー＃０３００ｈを決定し、自身のエリアコード＃
０１００ｈおよび親である管理者Ａのエリアコード＃０
０００ｈとともに、管理者Ｃに与える。

【０１７６】従って、管理者Ｃは、エリア中間キーＫ_B1
および自身のエリアキー＃０３０００ｈを認識すること
ができるが、親である管理者Ｂ１のエリアキー＃０１０
０ｈは認識することができない。但し、エリアキー＃０
１００ｈは、親である管理者Ｂ１が、子である管理者Ｃ
に与えたものであるから、親である管理者Ｂ１は、子で
ある管理者Ｃのエリアキー＃０３００ｈを認識してい
る。

【０１７７】なお、管理者Ｂ１が管理者Ｃに与えたエリ
アキー＃０３００ｈは、管理者Ｃのエリア定義領域＃０
３００ｈのエリア作成処理において、そのエリア定義領
域＃０３００ｈに書き込まれる。

【０１７８】管理者Ｃは、その親である管理者Ｂ１から
得たエリア中間キーＫ_B1を、やはり管理者Ｂ１から得た
エリアキー＃０３００ｈで暗号化し、エリア中間キーＫ
_Cを生成しておく。

【０１７９】そして、管理者Ａは、自身のエリア定義領
域＃００００ｈの階層に作成されたサービス定義領域＃
０００８ｈで管理されるサービス領域を利用してサービ
スを提供するとき、図１０に示すように、サービス定義
領域＃０００８ｈに記憶させたサービスキー（サービス
定義領域＃ｘｘｘｘｈに記憶されたサービスキーを、以
下、適宜、サービスキー＃ｘｘｘｘｈと記載する）を、
エリア中間キーＫ_Aで暗号化し、サービス中間キーＫ
_#0008hを生成して、エリア中間キーＫ_Aとともに、サー
ビス提供装置１１１に登録する。さらに、管理者Ａは、
自身のエリア定義領域＃００００ｈのエリアコード＃０
０００ｈと、そのエリア定義領域＃００００ｈの階層に
作成されたサービス定義領域＃０００８ｈのサービスコ
ード＃０００８ｈも、サービス提供装置１１１に登録す
る。

【０１８０】ここで、サービス提供装置１１１は、例え
ば、図１のＲ／Ｗ１とコントローラ３から構成され、所
定のサービス領域に対してデータを読み書きすること
で、所定のサービスを提供するようになされている。

【０１８１】この場合、サービス提供装置１１１に、Ｉ
Ｃカード２が装着されると、サービス提供装置１１１と
ＩＣカード２との間で、次のようにして相互認証が行わ
れる。

【０１８２】即ち、サービス提供装置１１１は、図１１
に示すように、登録されているエリアコード＃００００
ｈと、サービスコード＃０００８ｈとを、ＩＣカード２
に送信する。ＩＣカード２（シーケンサ９１）では、サ
ービス提供装置１１１からのエリアコード＃００００ｈ
およびサービスコード＃０００８ｈが受信される。

【０１８３】そして、ＩＣカード２では、システム定義
ブロック（図４）に記憶されているシステムキーが読み
出されるとともに、サービス提供装置１１１から受信し
たエリアコード＃００００ｈを有するエリア定義領域か
らエリアキー＃００００ｈが読み出される。さらに、シ
ステムキーが、エリアキー＃００００ｈで暗号化され、
その結果、図１０のサービス提供装置１１１に登録され
ているエリア中間キーＫ_Aと同一のキーが生成される。
このエリア中間キーＫ_Aと同一のキーは、認証に用いる
第１アクセスキー（認証キー）Ｋ_bcとされる。

【０１８４】また、ＩＣカード２では、サービス提供装
置１１１から受信したサービスコード＃０００８ｈを有
するサービス定義領域からサービスキー＃０００８ｈが
読み出される。そして、そのサービスキー＃０００８ｈ
で、エリア中間キーＫ_Aが暗号化され、その結果、図１
０のサービス提供装置１１１に登録されているサービス
中間キーＫ_#0008hと同一のキーが生成される。このサー
ビス中間キーＫ_#0008hと同一のキーは、認証に用いる第
２アクセスキーＫ_acとされる。

【０１８５】従って、いまの場合、サービス提供装置１
１１には、第１アクセスキーＫ_bcまたは第２アクセスキ
ーＫ_acであるエリア中間キーＫ_Aまたはサービス中間キ
ーＫ_{# 0008h}が登録されており、ＩＣカード２では、第１
アクセスキーＫ_bcまたは第２アクセスキーＫ_acであるエ
リア中間キーＫ_Aまたはサービス中間キーＫ_#0008hが生
成される。

【０１８６】そして、サービス提供装置１１１は、例え
ば、図１２に示すようにして、ＩＣカード２の認証を行
う。

【０１８７】即ち、サービス提供装置１１１では、乱数
が発生され、その乱数が、アルゴリズムＥ１にしたがっ
て変換される。即ち、乱数が、第２アクセスキーＫ_acで
暗号化（例えば、ＤＥＳ暗号化）され、その暗号化結果
が、第１アクセスキーＫ_bcで復号（例えば、ＤＥＳ復
号）される。さらに、その復号結果が、第２アクセスキ
ーＫ_acで暗号化される。アルゴリズムＥ１による乱数の
変換結果は、ＩＣカード２に送信される。

【０１８８】ＩＣカード２では、サービス提供装置１１
１からのアルゴリズムＥ１による乱数の変換結果が、ア
ルゴルズムＤ１にしたがって変換される。即ち、アルゴ
リズムＥ１による変換結果が、第２アクセスキーＫ_acで
復号され、その復号結果が、第１アクセスキーＫ_bcで暗
号化される。さらに、その暗号化結果が、第２アクセス
キーＫ_acで復号される。

【０１８９】そして、ＩＣカード２では、アルゴリズム
Ｄ１による変換結果が、さらに、アルゴリズムＥ２にし
たがって変換される。即ち、アルゴリズムＤ１による変
換結果が、第１アクセスキーＫ_bcで暗号化される一方、
第１アクセスキーＫ_bcが、第２アクセスキーＫ_acで暗号
化される。そして、アルゴリズムＤ１による変換結果
の、第１アクセスキーＫ_bcでの暗号化結果が、第１アク
セスキーＫ_bcの、第２アクセスキーＫ_acでの暗号化結果
で復号される。さらに、その復号結果が、第１アクセス
キーＫ_bcで暗号化され、サービス提供装置１１１に送信
される。

【０１９０】サービス提供装置１１１では、ＩＣカード
２からのアルゴリズムＥ２による変換結果が、アルゴリ
ズムＤ２にしたがって変換される。即ち、アルゴリズム
Ｅ２による変換結果が、第１アクセスキーＫ_bcで復号さ
れる一方、第１アクセスキーＫ_bcが、第２アクセスキー
Ｋ_acで暗号化される。そして、アルゴリズムＥ２による
変換結果の、第１アクセスキーＫ_bcでの復号結果が、第
１アクセスキーＫ_bcの、第２アクセスキーＫ_acでの暗号
化結果で暗号化される。さらに、その暗号化結果が、第
１アクセスキーＫ_bcで復号される。

【０１９１】そして、サービス提供装置１１１では、元
の乱数と、アルゴリズムＤ２による変換結果とを比較す
ることで、ＩＣカード２の認証を行う。即ち、元の乱数
と、アルゴリズムＤ２による変換結果とが一致している
場合は、ＩＣカード２が適正なものとして認識され、一
致していない場合は、ＩＣカード２が不適正なもの（例
えば、偽造されたもの）として認識される。

【０１９２】ＩＣカード２が適正なものとして認識され
ると、ＩＣカード２において、例えば、図１３に示すよ
うにして、サービス提供装置１１１の認証が行われる。

【０１９３】即ち、ＩＣカード２では、乱数が発生さ
れ、その乱数が、アルゴリズムＥ２にしたがって変換さ
れ、サービス提供装置１１１に送信される。

【０１９４】サービス提供装置１１１では、ＩＣカード
２からのアルゴリズムＥ２による乱数の変換結果が、ア
ルゴルズムＤ２にしたがって変換される。さらに、その
アルゴリズムＤ２による変換結果が、アルゴリズムＥ１
にしたがって変換され、ＩＣカード２に送信される。

【０１９５】ＩＣカード２では、サービス提供装置１１
１からのアルゴリズムＥ１による変換結果が、アルゴリ
ズムＤ１にしたがって変換され、その変換結果と、元の
乱数とを比較することで、サービス提供装置１１１の認
証が行われる。即ち、元の乱数と、アルゴリズムＤ２に
よる変換結果とが一致している場合は、サービス提供装
置１１１が適正なものとして認識され、一致していない
場合は、サービス提供装置１１１が不適正なもの（例え
ば、改造されたもの）として認識される。

【０１９６】ＩＣカード２およびサービス提供装置１１
１のいずれも適正なものと認められた場合、ＩＣカード
２では、サービス提供装置１１１から送信されてきたサ
ービスコードを有するサービス定義領域によって管理さ
れているサービス領域のみへのアクセスが許可される。
従って、図１０および図１１で説明した場合において
は、サービス定義領域＃０００８ｈで管理されているサ
ービス領域のみへのアクセスが可能となる。

【０１９７】即ち、エリア中間キーＫ_A、エリアコード
＃００００ｈ、サービスキー＃０００８ｈ、およびサー
ビスコード＃０００８ｈを知っている管理者Ａは、サー
ビス定義領域＃０００８ｈで管理されているサービス領
域にアクセスすることができる。但し、管理者Ａは、サ
ービスキー＃１０２２ｈや＃０３０Ｃｈを知らないか
ら、基本的に、サービス定義領域＃１０２２ｈや＃０３
０Ｃｈで管理されているサービス領域にアクセスするこ
とはできない。

【０１９８】次に、管理者Ｂ２が、自身のエリア定義領
域＃１０００ｈの階層に作成されたサービス定義領域＃
１０２２ｈで管理されるサービス領域を利用してサービ
スを提供するときは、図１４に示すように、サービス定
義領域＃１０２２ｈに記憶させたサービスキー＃１０２
２ｈを、エリア中間キーＫ_B2で暗号化し、サービス中間
キーＫ_#1022hを生成して、エリア中間キーＫ_B2ととも
に、サービス提供装置１１１に登録する。そして、管理
者Ｂ２は、自身のエリア定義領域＃１０００ｈの階層よ
り上位の階層のエリア定義領域のエリアコード、即ち、
いまの場合、管理者Ａのエリア定義領域＃００００ｈの
エリアコード＃００００ｈ、および自身のエリア定義領
域＃１０００ｈのエリアコード＃１０００ｈと、そのエ
リア定義領域＃１０００ｈの階層に作成されたサービス
定義領域＃１０２２ｈのサービスコード＃１０２２ｈ
も、サービス提供装置１１１に登録する。

【０１９９】この場合、サービス提供装置１１１に、Ｉ
Ｃカード２が装着されると、サービス提供装置１１１と
ＩＣカード２との間で、次のようにして相互認証が行わ
れる。

【０２００】即ち、サービス提供装置１１１は、図１５
に示すように、登録されているエリアコード＃００００
ｈおよび＃１０００ｈと、サービスコード＃１０２２ｈ
とを、ＩＣカード２に送信する。ＩＣカード２（シーケ
ンサ９１）では、サービス提供装置１１１からのエリア
コード＃００００ｈおよび＃１０００ｈ、並びにサービ
スコード＃１０２２ｈが受信される。

【０２０１】そして、ＩＣカード２では、システム定義
ブロック（図４）に記憶されているシステムキーが読み
出されるとともに、サービス提供装置１１１から受信し
たエリアコード＃００００ｈまたは＃１０００ｈを有す
るエリア定義領域それぞれからエリアキー＃００００ｈ
または＃１０００ｈが読み出される。さらに、システム
キーが、エリアキー＃００００ｈで暗号化され、その結
果、エリア中間キーＫ_Aと同一のキーが生成される。そ
して、そのエリア中間キーＫ_Aと同一のキーが、エリア
キー＃１０００ｈで暗号化され、その結果、図１４のサ
ービス提供装置１１１に登録されているエリア中間キー
Ｋ_B2と同一のキーが生成される。このエリア中間キーＫ
_B2と同一のキーは、認証に用いる第１アクセスキーＫ_bc
とされる。

【０２０２】また、ＩＣカード２では、サービス提供装
置１１１から受信したサービスコード＃１０２２ｈを有
するサービス定義領域からサービスキー＃１０２２ｈが
読み出される。そして、そのサービスキー＃１０２２ｈ
で、エリア中間キーＫ_B2と同一のキーが暗号化され、そ
の結果、図１４のサービス提供装置１１１に登録されて
いるサービス中間キーＫ_#1022hと同一のキーが生成され
る。このサービス中間キーＫ_#1022hと同一のキーは、認
証に用いる第２アクセスキーＫ_acとされる。

【０２０３】従って、いまの場合、サービス提供装置１
１１には、第１アクセスキーＫ_bcまたは第２アクセスキ
ーＫ_acであるエリア中間キーＫ_B2またはサービス中間キ
ーＫ_#1022hが登録されており、ＩＣカード２では、第１
アクセスキーＫ_bcまたは第２アクセスキーＫ_acであるエ
リア中間キーＫ_B2またはサービス中間キーＫ_#1022hが生
成される。

【０２０４】そして、ＩＣカード２およびサービス提供
装置１１１の間で、図１２および図１３で説明した場合
と同様にして、相互認証が行われる。

【０２０５】その相互認証の結果、ＩＣカード２および
サービス提供装置１１１のいずれも適正なものと認めら
れた場合、ＩＣカード２では、サービス提供装置１１１
から送信されてきたサービスコードを有するサービス定
義領域によって管理されているサービス領域のみへのア
クセスが許可される。従って、図１４および図１５で説
明した場合においては、サービス定義領域＃１０２２ｈ
で管理されているサービス領域のみへのアクセスが可能
となる。

【０２０６】即ち、エリア中間キーＫ_B2、エリアコード
＃００００ｈ、＃１０００ｈ、サービスキー＃１０２２
ｈ、並びにサービスコード＃１０２２ｈを知っている管
理者Ｂ２は、サービス定義領域＃１０２２ｈで管理され
ているサービス領域にアクセスすることができる。但
し、管理者Ｂ２は、サービスキー＃０００８ｈや＃０３
０Ｃｈを知らないから、基本的に、サービス定義領域＃
０００８ｈや＃０３０Ｃｈで管理されているサービス領
域にアクセスすることはできない。

【０２０７】次に、管理者Ｃが、自身のエリア定義領域
＃０３００ｈの階層に作成されたサービス定義領域＃０
３０Ｃｈで管理されるサービス領域を利用してサービス
を提供するときは、図１６に示すように、サービス定義
領域＃０３０Ｃｈに記憶させたサービスキー＃０３０Ｃ
ｈを、エリア中間キーＫ_Cで暗号化し、サービス中間キ
ーＫ_#030Chを生成して、エリア中間キーＫ_Cとともに、
サービス提供装置１１１に登録する。そして、管理者Ｃ
は、自身のエリア定義領域＃０３００ｈの階層より上位
の階層のエリア定義領域のエリアコード、即ち、いまの
場合、管理者Ａのエリア定義領域＃００００ｈのエリア
コード＃００００ｈおよび管理者Ｂ１のエリア定義領域
＃０１００ｈのエリアコード０１００ｈ、並びに自身の
エリア定義領域＃０３００ｈのエリアコード＃０３００
ｈと、そのエリア定義領域＃０３００ｈの階層に作成さ
れたサービス定義領域＃０３０Ｃｈのサービスコード＃
０３０Ｃｈも、サービス提供装置１１１に登録する。

【０２０８】この場合、サービス提供装置１１１に、Ｉ
Ｃカード２が装着されると、サービス提供装置１１１と
ＩＣカード２との間で、次のようにして相互認証が行わ
れる。

【０２０９】即ち、サービス提供装置１１１は、図１７
に示すように、登録されているエリアコード＃００００
ｈ、＃０１００ｈ、および＃０３００ｈと、サービスコ
ード＃０３０Ｃｈとを、ＩＣカード２に送信する。ＩＣ
カード２（シーケンサ９１）では、サービス提供装置１
１１からのエリアコード＃００００ｈ、＃０１００ｈ、
および＃０３００ｈ、並びにサービスコード＃０３０Ｃ
ｈが受信される。

【０２１０】そして、ＩＣカード２では、システム定義
ブロック（図４）に記憶されているシステムキーが読み
出されるとともに、サービス提供装置１１１から受信し
たエリアコード＃００００ｈ、＃０１００ｈ、または＃
０３００ｈを有するエリア定義領域それぞれからエリア
キー＃００００ｈ、＃０１００ｈ、または＃０３００ｈ
が読み出される。さらに、システムキーが、エリアキー
＃００００ｈで暗号化され、その結果、エリア中間キー
Ｋ_Aと同一のキーが生成される。また、そのエリア中間
キーＫ_Aと同一のキーが、エリアキー＃０１００ｈで暗
号化され、その結果、エリア中間キーＫ_B1と同一のキー
が生成される。そして、そのエリア中間キーＫ_B1と同一
のキーが、エリアキー＃０３００ｈで暗号化され、その
結果、図１６のサービス提供装置１１１に登録されてい
るエリア中間キーＫ_Cと同一のキーが生成される。この
エリア中間キーＫ_Cと同一のキーは、認証に用いる第１
アクセスキーＫ_bcとされる。

【０２１１】また、ＩＣカード２では、サービス提供装
置１１１から受信したサービスコード＃０３０Ｃｈを有
するサービス定義領域からサービスキー＃０３０Ｃｈが
読み出される。そして、そのサービスキー＃０３０Ｃｈ
で、エリア中間キーＫ_Cが暗号化され、その結果、図１
６のサービス提供装置１１１に登録されているサービス
中間キーＫ_#030Chと同一のキーが生成される。このサー
ビス中間キーＫ_#030Chと同一のキーは、認証に用いる第
２アクセスキーＫ_acとされる。

【０２１２】従って、いまの場合、サービス提供装置１
１１には、第１アクセスキーＫ_bcまたは第２アクセスキ
ーＫ_acであるエリア中間キーＫ_Cまたはサービス中間キ
ーＫ_{# 030Ch}がそれぞれ登録されており、ＩＣカード２で
は、第１アクセスキーＫ_bcまたは第２アクセスキーＫ_ac
であるエリア中間キーＫ_Cまたはサービス中間キーＫ_{# 03
0Ch}がそれぞれ生成される。

【０２１３】そして、ＩＣカード２およびサービス提供
装置１１１の間で、図１２および図１３で説明した場合
と同様にして、相互認証が行われる。

【０２１４】その相互認証の結果、ＩＣカード２および
サービス提供装置１１１のいずれも適正なものと認めら
れた場合、ＩＣカード２では、サービス提供装置１１１
から送信されてきたサービスコードを有するサービス定
義領域によって管理されているサービス領域のみへのア
クセスが許可される。従って、図１６および図１７で説
明した場合においては、サービス定義領域＃０３０Ｃｈ
で管理されているサービス領域のみへのアクセスが可能
となる。

【０２１５】即ち、エリア中間キーＫ_C、エリアコード
＃００００ｈ、＃０１００ｈ、＃０３００ｈ、サービス
キー＃０３０Ｃｈ、並びにサービスコード＃０３０Ｃｈ
を知っている管理者Ｃは、サービス定義領域＃０３０Ｃ
ｈで管理されているサービス領域にアクセスすることが
できる。但し、管理者Ｃは、サービスキー＃０００８ｈ
や＃１０２２Ｃｈを知らないから、基本的に、サービス
定義領域＃０００８ｈや＃１０２２Ｃｈで管理されてい
るサービス領域にアクセスすることはできない。

【０２１６】以上のように、上位の階層のエリアキーを
知らなくても、管理者は、自身のサービス領域にアクセ
スすることができる。

【０２１７】ところで、上述のように、各管理者は、サ
ービスキーを知らないサービス定義領域によって管理さ
れるサービス領域にはアクセスすることができないが、
例えば、管理者Ｃが、自身のサービス定義領域＃０３０
Ｃｈによって管理されるサービス領域を利用したサービ
スの他、管理者Ｂ２のサービス定義領域＃１０２２ｈに
よって管理されるサービス領域を利用したサービスも行
いたい場合がある。

【０２１８】この場合、管理者Ｃが、サービス定義領域
＃１０２２ｈによって管理されるサービス領域にアクセ
スするには、図１４および図１５で説明したように、エ
リア中間キーＫ_B2、エリアコード＃００００ｈ、＃１０
００ｈ、サービスキー＃１０２２ｈ、並びにサービスコ
ード＃１０２２ｈを知る必要があり、従って、単純に
は、これらの情報を、管理者Ｂ２から教えてもらう必要
がある。

【０２１９】しかしながら、管理者Ｂ２が知っているサ
ービスキー＃１０２２ｈは、その親である管理者Ａでも
知り得ないものであり、このような管理者Ｂ２しか知り
得ないサービスキー＃１０２２ｈを、管理者Ｃに教えて
しまうのは、セキュリティの観点から好ましくない。

【０２２０】また、この場合、セキュリティの問題を無
視しても、管理者Ｃが、サービス定義領域＃０３０Ｃｈ
または＃１０２２ｈによってそれぞれ管理される２つの
サービス領域の両方にアクセスするには、ＩＣカード２
において、図１５で説明した処理を行うことにより、第
１アクセスキーＫ_bcおよび第２アクセスキーＫ_acを生成
し、サービス定義領域＃０３０Ｃｈによって管理される
サービス領域へのアクセスのための相互認証を行うとと
もに、図１７で説明した処理を行うことにより第１アク
セスキーＫ_bcおよび第２アクセスキーＫ_acを生成し、サ
ービス定義領域＃１０２２ｈによって管理されるサービ
ス領域へのアクセスのための相互認証を行う必要があ
る。

【０２２１】従って、サービス領域ごとに、そのサービ
ス領域へのアクセスのための相互認証を行う場合には、
各サービス領域に、迅速にアクセスすることが困難とな
り、その結果、例えば、図１のカードシステムを駅の改
札に通用した場合には、通勤者が、改札口に設けられて
いるゲートを通過する、比較的に短い時間に、ＩＣカー
ド２の所定のサービス領域にアクセスして、データを書
き込み、または読み出すことが困難となる。

【０２２２】そこで、例えば、管理者Ｃが、自身のサー
ビス定義領域＃０３０Ｃｈによって管理されるサービス
領域を利用したサービスの他、管理者Ｂ２のサービス定
義領域＃１０２２ｈによって管理されるサービス領域を
利用したサービスも行う場合には、セキュリティの問題
を解決し、かつサービス領域への迅速なアクセスを確保
するために、管理者ＣおよびＢ２との間で、例えば、図
１８に示すような、情報のやりとりを行い、サービス提
供装置１１１への登録を行う。

【０２２３】即ち、管理者Ｃは、図１６における場合と
同様に、サービス定義領域＃０３０Ｃｈに記憶させたサ
ービスキー＃０３０Ｃｈを、エリア中間キーＫ_Cで暗号
化し、サービス中間キーＫ_#030Chを生成する。さらに、
管理者Ｃは、このサービス中間キーＫ_#030Chを、管理者
Ｂ２に渡し、サービスキー＃１０２２ｈで暗号化しても
らう。そして、管理者Ｃは、サービス中間キーＫ_#030Ch
の、サービスキー＃１０２２ｈでの暗号化結果であるサ
ービス中間キーＫ_#1022h'を、サービスコード＃１０２
２ｈとともに受け取る。

【０２２４】従って、管理者ＣとＢ２との間でやりとり
されるキーは、サービス中間キーＫ_#030ChおよびＫ
_#1022h'だけであり、管理者Ｃしか知り得ないサービス
キー＃０３０Ｃｈが、管理者Ｂ２に知られたり、また、
管理者Ｂ２しか知り得ないサービスキー＃１０２２ｈ
が、管理者Ｃに知られることはない。即ち、セキュリテ
ィ上の問題はない。

【０２２５】管理者Ｂ２から、サービス中間キーＫ
_#1022h'およびサービスコード＃１０２２ｈを受け取っ
た管理者Ｃは、それらとともに、自身のエリア定義領域
＃０３００ｈの階層より上位の階層のエリア定義領域の
エリアコード、即ち、いまの場合、管理者Ａのエリア定
義領域＃００００ｈのエリアコード＃００００ｈおよび
管理者Ｂ１のエリア定義領域＃０１００ｈのエリアコー
ド０１００ｈ、並びに自身のエリア定義領域＃０３００
ｈのエリアコード＃０３００ｈを、サービス提供装置１
１１に登録する。さらに、管理者Ｃは、エリア中間キー
Ｋ_C、およびエリア定義領域＃０３００ｈの階層に作成
されたサービス定義領域＃０３０Ｃｈのサービスコード
＃０３０Ｃｈも、サービス提供装置１１１に登録する。

【０２２６】この場合、サービス提供装置１１１に、Ｉ
Ｃカード２が装着されると、サービス提供装置１１１と
ＩＣカード２との間で、次のようにして相互認証が行わ
れる。

【０２２７】即ち、サービス提供装置１１１は、図１９
に示すように、登録されているエリアコード＃００００
ｈ、＃０１００ｈ、および＃０３００ｈと、サービスコ
ード＃０３０Ｃｈおよび＃１０２２ｈとを、ＩＣカード
２に送信する。ＩＣカード２（シーケンサ９１）では、
サービス提供装置１１１からのエリアコード＃００００
ｈ、＃０１００ｈ、および＃０３００ｈ、並びにサービ
スコード＃０３０Ｃｈおよび＃１０２２ｈが受信され
る。

【０２２８】そして、ＩＣカード２では、システム定義
ブロック（図４）に記憶されているシステムキーが読み
出されるとともに、サービス提供装置１１１から受信し
たエリアコード＃００００ｈ、＃０１００ｈ、または＃
０３００ｈを有するエリア定義領域それぞれからエリア
キー＃００００ｈ、＃０１００ｈ、または＃０３００ｈ
が読み出され、図１７で説明した場合と同様にして、図
１８のサービス提供装置１１１に登録されているエリア
中間キーＫ_Cと同一のキーが生成される。このエリア中
間キーＫ_Cと同一のキーは、認証に用いる第１アクセス
キーＫ_bcとされる。

【０２２９】また、ＩＣカード２では、サービス提供装
置１１１から受信したサービスコード＃０３０Ｃｈまた
は＃１０２２ｈを有するサービス定義領域それぞれから
サービスキー＃０３０Ｃｈまたは＃１０２２ｈが読み出
される。そして、まず、サービスキー＃０３０Ｃｈで、
エリア中間キーＫ_Cが暗号化され、その結果、サービス
中間キーＫ_#030Chと同一のキーが生成される。さらに、
そのサービス中間キーＫ_#030Chと同一のキーが、サービ
スキー＃１０２２ｈで暗号化され、図１８のサービス提
供装置１１１に登録されているサービス中間キーＫ
_#1022h'と同一のキーが生成される。このサービス中間
キーＫ_#1022h'と同一のキーは、認証に用いる第２アク
セスキーＫ_acとされる。

【０２３０】従って、いまの場合、サービス提供装置１
１１には、第１アクセスキーＫ_bcまたは第２アクセスキ
ーＫ_acであるエリア中間キーＫ_Cまたはサービス中間キ
ーＫ_{# 1022h'}が登録されており、ＩＣカード２では、第
１アクセスキーＫ_bcまたは第２アクセスキーＫ_acである
エリア中間キーＫ_Cまたはサービス中間キーＫ_#1022h'が
生成される。

【０２３１】そして、ＩＣカード２およびサービス提供
装置１１１の間で、図１２および図１３で説明した場合
と同様にして、相互認証が行われる。

【０２３２】その相互認証の結果、ＩＣカード２および
サービス提供装置１１１のいずれも適正なものと認めら
れた場合、ＩＣカード２では、サービス提供装置１１１
から送信されてきたサービスコードを有するサービス定
義領域によって管理されているサービス領域のみへのア
クセスが許可される。従って、図１８および図１９で説
明した場合においては、サービス定義領域＃０３０Ｃｈ
で管理されているサービス領域、およびサービス定義領
域＃１０２２Ｃｈで管理されているサービス領域へのア
クセスが可能となる。

【０２３３】以上のように、システムキーを、２以上の
エリアキーまたはサービスキーで暗号化することによ
り、その２以上のエリアキーまたはサービスキーを、２
つの第１アクセスキーＫ_bcおよび第２アクセスキーＫ_ac
に縮退（合成）し、その第１アクセスキーＫ_bcおよび第
２アクセスキーＫ_acを用いて、サービス提供装置１１１
から送信されてきたサービスコードを有するサービス定
義領域によって管理されているサービス領域へのアクセ
スを許可するための相互認証を行うようにしたので、複
数のサービス定義領域へのアクセスを対象とする場合で
も、短時間で、相互認証を終了することができ、これに
より、サービス領域への迅速なアクセスを確保すること
ができる。

【０２３４】なお、図１２および図１３で説明した場合
には、相互認証処理を、第１アクセスキーＫ_bcおよび第
２アクセスキーＫ_acの２つのキーを用いて行うようにし
たが、例えば、第２アクセスキーＫ_acだけを用いて行う
ようにすることも可能である。この場合、ＩＣカード２
では、システムキーを、２以上のエリアキーまたはサー
ビスキーで暗号化することにより、その２以上のエリア
キーまたはサービスキーが、１の第２アクセスキーＫ_ac
に縮退されることになる。

【０２３５】また、相互認証には、図２０に示すよう
に、第１アクセスキーＫ_bcおよび第２アクセスキーＫ_ac
を、ＩＣカード２に固有の値である、例えば、製造ＩＤ
ブロックに記憶された製造ＩＤなどで暗号化した暗号化
結果を用いることも可能である。ここで、図２０におい
ては、第１アクセスキーＫ_bcについては、製造ＩＤとの
ＥＸＯＲをとられることで暗号化が行われており、第２
アクセスキーＫ_acについては、ＤＥＳ方式による暗号化
が行われている。なお、第２アクセスキーＫ_acについて
は、第１アクセスキーＫ_bcと製造ＩＤとのＥＸＯＲの結
果をキーとして、ＤＥＳ方式による暗号化を行うことも
可能である。

【０２３６】このように、第１アクセスキーＫ_bcおよび
第２アクセスキーＫ_acを暗号化した暗号化結果を相互認
証に用いる場合には、セキュリティを、より向上させる
ことが可能となる。なお、この場合、サービス提供装置
１１１において、製造ＩＤが必要となるが、これは、Ｉ
Ｃカード２から送信するようにすれば良い。

【０２３７】次に、ＥＥＰＲＯＭ６６の記憶領域が、エ
リア定義領域を階層とする階層構造をなしており、さら
に、各エリア定義領域およびサービス定義領域が、認証
のためのエリアキーおよびサービスキーを記憶するよう
になされている結果、例えば、次のような、フレキシビ
リティのあるアクセス制御を行うことができる。

【０２３８】即ち、例えば、ある管理者を、親の管理者
として、そのリソースを分け与えられた子の管理者が、
不正なサービスなどを行っており、そのサービスの提供
を停止させたい場合には、親の管理者が、そのエリア定
義領域に記憶されたエリアキーを変更することで、子の
管理者による、ＩＣカード２へのアクセスを禁止するこ
とができる。

【０２３９】具体的には、例えば、図５において、管理
者Ｂ１が、管理者Ｃによるサービスの提供を停止させる
場合、ＩＣカード２のエリア定義領域＃０１００ｈに記
憶されたエリアキー＃０１００ｈを変更する。この場
合、図１７において、ＩＣカード２において生成される
エリア中間キーＫ_B1、さらには、エリア中間キーＫ_Cも
変更されることとなるから、変更前のエリア中間キーＫ
_Cしか知らない管理者Ｃは、サービス定義領域＃０３０
Ｃｈにアクセスすることはできなくなる。

【０２４０】なお、管理者Ｃの親の管理者である管理者
Ｂ１の、さらに親の管理者である管理者Ａが、そのエリ
ア定義領域＃００００ｈに記憶されたエリアキー＃００
００ｈを変更することによっても、サービス定義領域＃
０３０Ｃｈへのアクセスを禁止することが可能である。
但し、この場合は、管理者Ａの子の管理者Ｂ２が、自身
のサービス定義領域＃１０２２ｈによって管理されるサ
ービス領域にアクセスすることもできなくなる。即ち、
ある管理者が、そのエリアキーを変更した場合には、そ
のエリア定義領域の階層の中にある階層（子の階層、孫
の階層、・・・）のエリア定義領域が管理しているサー
ビス定義領域へのアクセスはできなくなる。

【０２４１】また、図１８および図１９では、管理者Ｃ
が、管理者Ｂ２のサービス定義領域＃１０２２ｈ（によ
って管理されるサービス領域）を、管理者Ｂ２と共有す
る場合について説明したが、キーの管理によっては、管
理者どうしの間で、より複雑な関係のサービス定義領域
の共有が可能となる。

【０２４２】具体的には、例えば、いま、ＥＥＰＲＯＭ
６６において、図２１に示すような階層構造が構成され
ているとする。即ち、図２１では、ＩＣカード２の発行
者でもある管理者Ａのエリア定義領域＃００００ｈの階
層の子の階層として、管理者Ｅのエリア定義領域＃５０
００ｈ、および管理者Ｇのエリア定義領域＃７０００ｈ
が作成されている。さらに、管理者Ｅのエリア定義領域
＃５０００ｈの階層には、サービス定義領域＃５００８
ｈ、＃５０４８ｈ、＃５０８８ｈ、および＃５０Ｃ８ｈ
が作成されているとともに、管理者Ｆのエリア定義領域
＃６０００ｈが作成されている。

【０２４３】また、管理者Ｆのエリア定義領域＃６００
０ｈの階層には、サービス定義領域＃６００８ｈおよび
＃６０４８ｈが作成されており、管理者Ｇのエリア定義
領域＃７０００ｈの階層には、サービス定義領域＃７０
０８ｈおよび＃７０Ｃ８ｈが作成されている。

【０２４４】以上のような階層構造において、管理者Ａ
は、図２２（Ａ）に示すように、システムキーを、エリ
アキー＃００００ｈで暗号化し、その暗号化結果を、子
の管理者である管理者ＥおよびＧに渡す。

【０２４５】管理者Ｅは、図２２（Ｂ）に示すように、
管理者Ａからの、システムキーの、エリアキー＃０００
０ｈでの暗号化結果を、エリアキー＃５０００ｈで暗号
化し、その暗号化結果を、第１アクセスキーＫ_E1として
用いることとする。さらに、管理者Ｅは、第１アクセス
キーＫ_E1（エリアキー＃５０００ｈによる暗号化結果）
を、サービスキー＃５００８ｈ、＃５０４８ｈ、＃５０
８８ｈ、＃５０Ｃ８ｈで順次暗号化し、その最終的な暗
号化結果を、第２アクセスキーＫ_E2として用いることと
する。

【０２４６】また、管理者Ｆは、図２２（Ｃ）に示すよ
うに、管理者Ｅから第１アクセスキーＫ_E1（エリアキー
＃５０００ｈによる暗号化結果）をもらい、それを、エ
リアキー＃６０００ｈで暗号化し、その暗号化結果を、
第１アクセスキーＫ_F1とする。さらに、管理者Ｆは、第
１アクセスキーＫ_F1（エリアキー＃６０００ｈによる暗
号化結果）を、サービスキー＃６００８ｈ，＃６０４８
ｈで順次暗号化する。そして、その暗号化結果を、管理
者Ｅに渡し、サービスキー＃５０４８ｈ、＃５０８８ｈ
で順次暗号化してもらう。その後、管理者Ｆは、その暗
号化結果を、管理者Ｅからもらい、管理者Ｇに渡し、サ
ービスキー＃７０Ｃ８ｈで暗号化してもらう。そして、
管理者Ｆは、その暗号化結果を、管理者Ｇからもらい、
第２アクセスキーＫ_F2として用いることとする。

【０２４７】一方、管理者Ｇは、図２２（Ｄ）に示すよ
うに、管理者Ａからの、システムキーの、エリアキー＃
００００ｈでの暗号化結果を、エリアキー＃７０００ｈ
で暗号化し、その暗号化結果を、第１アクセスキーＫ_G1
として用いることとする。さらに、管理者Ｇは、第１ア
クセスキーＫ_G1（エリアキー＃７０００ｈによる暗号化
結果）を、サービスキー＃７００８ｈ、＃７０Ｃ８ｈで
順次暗号化し、その最終的な暗号化結果を、管理者Ｆに
渡して、サービスキー＃６０４８ｈで暗号化してもら
う。その後、管理者Ｇは、管理者Ｆによるサービスキー
＃６０４８を用いた暗号化結果を、管理者Ｅに渡し、サ
ービスキー＃５０８８ｈ、＃５０Ｃ８ｈで順次暗号化し
てもらう。そして、管理者Ｇは、その暗号化結果を、管
理者Ｅからもらい、第２アクセスキーＫ_G2として用いる
こととする。

【０２４８】この場合、ＩＣカード２において、図２２
で説明した場合と同様の手順で、ＥＥＰＲＯＭ６６に記
憶されているエリアキー、サービスキーを用いて、シス
テムキーを暗号化し、第１アクセスキーおよび第２アク
セスキーを生成することで、管理者Ｅ，Ｆ，Ｇ相互の間
では、図２３に示すようなサービス定義領域の共有が可
能となる。

【０２４９】即ち、管理者Ｅは、自身のサービス定義領
域＃５００８、＃５０４８ｈ、＃５０８８ｈ、＃５０Ｃ
８ｈのみにアクセスすることができる。管理者Ｆは、自
身のサービス定義領域＃６００８ｈ、＃６０４８ｈにア
クセスする他、管理者Ｅのサービス定義領域＃５０４８
ｈ、＃５０８８ｈ、および管理者Ｇのサービス定義領域
＃７０Ｃ８ｈにアクセスすることが可能となる。管理者
Ｇは、自身のサービス定義領域＃７００８ｈ、＃７０Ｃ
８ｈにアクセスする他、管理者Ｅのサービス定義領域＃
５０８８ｈ、＃５０Ｃ８ｈ、および管理者Ｆのサービス
定義領域＃６０４８ｈにアクセスすることが可能とな
る。

【０２５０】なお、図２２に示したようなキーの受け渡
しにおいて、ある管理者のサービスキー自体が、他の管
理者に知られることはない。即ち、管理者Ｅのサービス
キー＃５００８ｈ、＃５０４８ｈ、＃５０８８ｈ、＃５
０Ｃ８ｈは、親の管理者Ａは勿論、管理者ＦおよびＧに
も知られることはない。同様に、管理者Ｆのサービスキ
ー＃６００８ｈ、＃６０４８ｈは、管理者ＥおよびＧに
知られることはなく、管理者Ｇのサービスキー＃７００
８ｈ、＃７０Ｃ８ｈは、管理者ＥおよびＦに知られるこ
とはない。

【０２５１】また、上述したように、ある管理者が、そ
のエリアキーを変更した場合には、そのエリア定義領域
の階層の中にある階層のエリア定義領域が管理している
サービス定義領域すべてへのアクセスはできなくなる
が、即ち、親の管理者がエリアキーを変更した場合に
は、その子の管理者は、ＩＣカード２へのアクセスをす
ることができなくなるが、キー管理の仕方によっては、
特定の子の管理者だけのアクセスを禁止することが可能
となる。

【０２５２】具体的には、例えば、いま、ＥＥＰＲＯＭ
６６において、図２４に示すような階層構造が構成され
ているとする。即ち、図２４では、ＩＣカード２の発行
者でもある管理者Ａのエリア定義領域＃００００ｈの階
層の子の階層として、管理者Ｈのエリア定義領域＃８０
００ｈ、管理者Ｉのエリア定義領域＃９０００ｈ、およ
び管理者Ｊのエリア定義領域＃Ａ０００ｈが作成されて
いる。さらに、管理者Ｈのエリア定義領域＃８０００ｈ
の階層には、サービス定義領域＃８００８ｈ、＃８１０
４ｈ、および＃８１０５ｈが作成されている。

【０２５３】以上のような階層構造において、管理者Ａ
は、図２５（Ａ）に示すように、システムキーを、エリ
アキー＃００００ｈで暗号化し、その暗号化結果を、子
の管理者である管理者ＩおよびＪに渡す。

【０２５４】管理者Ｉは、図２５（Ｃ）に示すように、
管理者Ａからの、システムキーの、エリアキー＃０００
０ｈでの暗号化結果を、エリアキー＃９０００ｈで暗号
化し、その暗号化結果を、第１アクセスキーＫ_I1として
用いることとする。さらに、管理者Ｉは、第１アクセス
キーＫ_I1（エリアキー＃９０００ｈによる暗号化結果）
を、管理者Ｈに渡し、図２５（Ｂ）に示すように、サー
ビスキー＃８００８ｈ、＃８１０４ｈで順次暗号化して
もらう。そして、管理者Ｉは、その暗号化結果を、図２
５（Ｃ）に示すように、第２アクセスキーＫ_I2として用
いることとする。

【０２５５】また、管理者Ｊは、図２５（Ｄ）に示すよ
うに、管理者Ａからの、システムキーの、エリアキー＃
００００ｈでの暗号化結果を、エリアキー＃Ａ０００ｈ
で暗号化し、その暗号化結果を、第１アクセスキーＫ_J1
として用いることとする。さらに、管理者Ｊは、第１ア
クセスキーＫ_J1（エリアキー＃Ａ０００ｈによる暗号化
結果）を、管理者Ｈに渡し、図２５（Ｂ）に示すよう
に、サービスキー＃８００８ｈ、＃８１０５ｈで順次暗
号化してもらう。そして、管理者Ｊは、その暗号化結果
を、図２５（Ｄ）に示すように、第２アクセスキーＫ_J2
として用いることとする。

【０２５６】この場合、ＩＣカード２において、図２５
で説明した場合と同様の手順で、ＥＥＰＲＯＭ６６に記
憶されているエリアキー、サービスキーを用いて、シス
テムキーを暗号化し、第１アクセスキーおよび第２アク
セスキーを生成することで、管理者Ｉは、管理者Ｈのサ
ービス定義領域＃８００８ｈおよび＃８１０４ｈにアク
セスすることが、管理者Ｊは、管理者Ｈのサービス定義
領域＃８００８ｈおよび＃８１０５ｈにアクセスするこ
とが、それぞれ可能となる。

【０２５７】一方、管理者Ｈは、サービス定義領域＃８
００８ｈを、管理者ＩおよびＪとの間でデータを共有す
るものとして作成しておき、サービス定義領域＃８１０
４ｈまたは＃８１０５ｈを、管理者ＩまたはＪそれぞれ
によるサービス定義領域＃８００８ｈへのアクセスを制
御するための、いわばダミーのサービス定義領域として
作成しておく。従って、サービス定義領域＃８１０４ｈ
および＃８１０５ｈで管理されるサービス領域は必要な
く、その容量は０ブロックで良い。

【０２５８】この場合において、管理者Ｈが、例えば、
サービスキー＃８１０４ｈを変更すると、ＩＣカード２
において、そのサービスキー＃８１０４ｈを用いて、第
２アクセスキーＫ_I2が生成されて認証が行われる管理者
Ｉは、サービス定義領域＃８００８ｈにアクセスするこ
とができなくなる。即ち、管理者Ｉによるサービス定義
領域＃８００８ｈへのアクセスだけが禁止される。一
方、管理者Ｈが、例えば、サービスキー＃８１０５ｈを
変更すると、ＩＣカード２において、そのサービスキー
＃８１０５ｈを用いて、第２アクセスキーＫ_J2が生成さ
れて認証が行われる管理者Ｊは、サービス定義領域＃８
００８ｈにアクセスすることができなくなる。即ち、管
理者Ｊによるサービス定義領域＃８００８ｈへのアクセ
スだけが禁止される。

【０２５９】以上のように、ダミーのサービス定義領域
を利用することで、特定の子の管理者だけのアクセスを
禁止することができる。

【０２６０】次に、図６で説明したように、管理者が、
エリア定義領域やサービス定義領域を作成するのに必要
な、コード範囲や、割り当てブロック数、エリアキー、
サービスキーなどの、ユーザブロックを管理するための
管理情報（以下、適宜、発券情報ともいう）を、発券機
１０１に登録し、発券作業が行われる場合において、発
券機１０１が、例えば、駅や、小売店、その他の安全で
ない場所に設置されているときには、前述したように、
盗聴や改竄等の不正行為が行われる蓋然性の高く、セキ
ュリティ管理上好ましくない。

【０２６１】そこで、ここでは、図２６に示すように、
エリア定義領域やサービス定義領域を作成しようとする
管理者（以下、適宜、発券業者という）が、発券情報を
暗号化し、その暗号化された発券情報を、例えば、公衆
回線やインターネット、地上波、衛星回線、ＣＡＴＶ
（Cable Television）網などの伝送媒体１２１を介し
て、発券機１０１に伝送して登録するようにしている。
そして、発券機１０１では、ＩＣカード２に、暗号化さ
れた発券情報が送信され、さらに、ＩＣカード２では、
その暗号化された発券情報が復号され、エリア定義領域
やサービス定義領域の作成が行われるようになされてい
る。

【０２６２】ここで、図２６は、管理者＃１がサービス
を提供するための記憶領域だけが構成されていたＩＣカ
ード２に、上述のようにして、管理者＃２がサービスを
提供するための記憶領域が構成された状態（発券作業が
行われた状態）を示している。

【０２６３】次に、図２７は、以上のような発券作業を
行う発券処理システムの一実施の形態の構成例を示して
いる。

【０２６４】発券情報提供装置１３１は、後述する発券
情報提供処理を行うことで、暗号化された発券情報（以
下、適宜、暗号化発券情報という）を、伝送媒体１２１
を介して、発券機１０１に送信する。発券機１０１は、
発券情報提供装置１３１からの暗号化発券情報を受信し
て登録する。そして、発券機１０１は、ＩＣカード２が
装着されると、暗号化発券情報を、ＩＣカード２に送信
する。ＩＣカード２は、発券機１０１から暗号化発券情
報を受信し、後述する復号処理を行うことで、暗号化発
券情報を、元の発券情報に復号する。そして、ＩＣカー
ド２は、上述のエリア作成処理（図７）またはサービス
作成処理（図８）を行うことで、復号した発券情報に基
づき、エリア定義領域またはサービス定義領域をそれぞ
れ作成する。

【０２６５】次に、図２８のフローチャートを参照し
て、発券情報提供装置１３１が行う発券情報提供処理に
ついて説明する。

【０２６６】発券情報提供装置１３１には、エリア定義
領域を作成するのに必要な、例えば、コード範囲、割り
当てブロック数、エリアキー、またはサービス定義領域
を作成するのに必要な、例えば、サービスコード、割り
当てブロック数、サービスキーが入力される。そして、
ステップＳ２１において、これらの入力情報に基づい
て、発券情報が作成される。

【０２６７】即ち、エリア定義領域を作成するのに必要
なコード範囲、割り当てブロック数、エリアキーが入力
された場合には、それらを対応付けることで、発券情報
が作成される。また、サービス定義領域を作成するのに
必要なサービスコード、割り当てブロック数、サービス
キーが入力された場合には、それらを対応付けること
で、発券情報が作成される。

【０２６８】そして、ステップＳ２２に進み、ステップ
Ｓ２１で作成された発券情報について、例えば、誤り訂
正符号が演算され、これが、改竄をチェックするための
チェックコードとして、発券情報に含められる。

【０２６９】その後、ステップＳ２３において、発券情
報が暗号化される。即ち、ステップＳ２３では、例え
ば、発券情報によって作成しようとしているエリア定義
領域またはサービス定義領域の親の階層のエリア定義領
域のエリアキーで、その発券情報が暗号化され、暗号化
発券情報とされる。

【０２７０】そして、ステップＳ２４に進み、暗号化発
券情報に対し、そのヘッダとして、識別コード（暗号化
発券情報が、エリア定義領域を作成するためのものであ
る場合には、そのエリアコードであり、サービス定義領
域を作成するためのものである場合には、そのサービス
コード）が付加され、伝送媒体１２１を介して、発券機
１０１に送信されて、発券情報提供処理を終了する。

【０２７１】従って、例えば、図５において、親の管理
者Ａが、子の管理者Ｂ１のエリア定義領域＃０１００ｈ
を作成する場合には、図２９（Ａ）に示すような暗号化
発券情報が、発券情報提供装置１３１から送信される。
即ち、図２９（Ａ）の暗号化発券情報の先頭には、ヘッ
ダとして、エリア定義領域＃０１００ｈのエリアコード
＃０１００ｈが配置されている。なお、このエリアコー
ド＃０１００ｈは、ＩＣカード２において、親の階層を
認識するために、暗号化されていない。また、発券情報
提供装置１３１において、エリアコード＃０１００ｈ
は、入力情報のうちのコード範囲から認識される。これ
は、上述したように、本実施の形態では、エリア定義領
域については、そのコード範囲の最小値が、エリアコー
ドとされるため、エリアコードは、コード範囲から認識
することができるからである。

【０２７２】暗号化されていない、ヘッダとしてのエリ
アコード＃０１００ｈの後には、エリア定義領域＃０１
００ｈに記憶させるべきコード範囲＃０１００ｈ−＃０
３ＦＦｈ、割り当てブロック数３３、エリアキー＃０１
００ｈとしてのa0a0a0a0a0a0a0a0、チェックコードが順
次配置されている。そして、これらは、親の階層である
エリア定義領域＃００００ｈのエリアキー＃００００ｈ
としての0123456789abcdefで暗号化（図２９（Ａ）にお
いて影を付して示す）されている。

【０２７３】また、例えば、図５において、管理者Ｂ２
が、自身のサービス定義領域＃１０２２ｈを作成する場
合には、図２９（Ｂ）に示すような暗号化発券情報が、
発券情報提供装置１３１から送信される。即ち、図２９
（Ｂ）の暗号化発券情報の先頭には、ヘッダとして、サ
ービス定義領域＃１０２２ｈのサービスコード＃１０２
２ｈが配置されている。なお、このサービスコード＃１
０２２ｈは、ＩＣカード２において、親の階層（サービ
ス定義領域が属する階層）を認識するために、暗号化さ
れていない。

【０２７４】暗号化されていない、ヘッダとしてのサー
ビスコード＃１０２２ｈの後には、サービス定義領域＃
１０２２ｈに記憶させるべきサービスコード＃１０２２
ｈ、割り当てブロック数５、エリアキー＃１０２２ｈと
しての0303030303030303、チェックコードが順次配置さ
れている。そして、これらは、親の階層であるエリア定
義領域＃１０００ｈのエリアキー＃１０００ｈとしての
c0c0c0c0c0c0c0c0で暗号化（図２９（Ｂ）において影を
付して示す）されている。

【０２７５】以上のように、発券情報は、親の階層のエ
リアキーで暗号化されるため、そのエリアキーを知らな
い限り、発券情報の内容も知ることができない。従っ
て、そのような暗号化発券情報を、安全でない場所に送
信しても、その内容の漏洩を防止することができる。さ
らに、その結果、例えば、暗号化発券情報を、第三者に
配布して、発券機１０１への登録や、ＩＣカード２への
送信などを依頼することが可能となる。

【０２７６】なお、ここでは、発券情報を、親の階層の
エリアキーで暗号化することとしているため、発券情報
提供処理は、基本的に、その親の管理者の下で行うのが
望ましい。即ち、第三者に、発券情報提供処理を行わせ
る場合には、暗号化に用いる親の階層のエリアキーを、
その第三者に公開しなければならず、セキュリティ上好
ましくないため、発券情報提供処理は、親の管理者の下
で行うのが望ましい。

【０２７７】次に、図３０のフローチャートを参照し
て、ＩＣカード２が行う復号処理について説明する。

【０２７８】上述したように、発券機１０１は、発券情
報提供装置１３１から、暗号化発券情報が送信されてく
ると、それを受信して登録する。そして、発券機１０１
は、ＩＣカード２が装着されると、暗号化発券情報を、
ＩＣカード２に送信する。ＩＣカード２は、発券機１０
１から暗号化発券情報を受信し、ステップＳ３１におい
て、その暗号化発券情報によって作成するエリア定義領
域またはサービス定義領域の親の階層としてのエリア定
義領域を認識する。

【０２７９】即ち、ステップＳ３１では、暗号化発券情
報のヘッダを参照することで、作成対象のエリア定義領
域またはサービス定義領域のエリアコードまたはサービ
スコードが認識される。さらに、ステップＳ３１では、
その認識されたエリアコードまたはサービスコードを、
コード範囲に含むエリア定義領域が、ＥＥＰＲＯＭ６６
から検出され、そのエリア定義領域が、親の階層として
認識される。

【０２８０】そして、ステップＳ３２に進み、ステップ
Ｓ３１で認識された親の階層のエリア定義領域に記憶さ
れているエリアキーで、暗号化発券情報が復号され、ス
テップＳ３３に進む。ステップＳ３３では、復号された
発券情報に含まれるチェックコードに基づいて、その発
券情報の改竄が行われているか否かが判定される。ステ
ップＳ３３において、発券情報の改竄が行われていると
判定された場合、ステップＳ３４に進み、発券情報の改
竄が行われている旨のメッセージを、発券機１０１に送
信し、また、復号された発券情報を破棄するなどのエラ
ー処理が行われ、復号処理を終了する。この場合、復号
処理は異常終了し、エリア定義領域やサービス定義領域
は作成されない。

【０２８１】一方、ステップＳ３３において、発券情報
の改竄が行われていないと判定された場合、復号処理を
終了する。この場合、復号処理は正常終了し、その後、
復号された発券情報をＥＥＰＲＯＭ６６に記憶させる処
理、即ち、エリア定義領域またはサービス定義領域を作
成するエリア作成処理（図７）またはサービス作成処理
（図８）が行われる。

【０２８２】なお、発券情報が改竄されているか否かの
チェックは、チェックコードによる他、暗号化発券情報
のヘッダを用いて行うことも可能である。即ち、暗号化
発券情報が、エリア定義領域を作成するためのものであ
れば、図２９（Ａ）に示したように、そのヘッダには、
エリアコードが配置され、そのエリアコードは、その後
に配置された、暗号化されたコード範囲の最小値に一致
しているはずである。従って、ヘッダに配置されたエリ
アコードと、その後に配置されたコード範囲の最小値と
を比較することで、暗号化発券情報の改竄の有無をチェ
ックすることができる。また、暗号化発券情報が、サー
ビス定義領域を作成するためのものであれば、図２９
（Ｂ）に示したように、そのヘッダには、サービスコー
ドが配置され、そのサービスコードは、その後に配置さ
れた、暗号化されたサービスコードに一致しているはず
である。従って、ヘッダに配置されたサービスコード
と、その後に配置されたサービスコードとを比較するこ
とで、暗号化発券情報の改竄の有無をチェックすること
ができる。

【０２８３】以上のように、発券情報提供装置１３１に
おいて、発券情報を暗号化して、暗号化発券情報とし、
ＩＣカード２において、その暗号化発券情報を復号する
ようにしたので、発券機１０１を安全でない場所に設置
し、伝送媒体１２１を介して伝送しても、盗聴や改竄等
の不正行為が行われることを防止することができる。

【０２８４】その結果、ＩＣカード２を利用して新たな
サービスの提供を開始するために発券作業を行う場合
に、ＩＣカード２を回収する必要がなくなり、従って、
その回収に要するコストの削減を図ることができる。ま
た、ＩＣカード２のユーザからすれば、新たなサービス
の提供が開始された場合に、ＩＣカード２を回収しても
らわなくても、発券機１０１が設定されている場所に、
ＩＣカード２を持っていき、発券作業を行うことで、そ
の新たなサービスの提供を受けることが、即座に可能と
なる。

【０２８５】以上、本発明を、非接触で通信が行われる
非接触カードシステムに適用した場合について説明した
が、本発明は、接触した状態で通信が行われるカードシ
ステムにも適用可能である。また、本発明の適用範囲
は、カードシステムに限定されるものではない。

【０２８６】なお、本実施の形態では、認証を、いわゆ
る秘密鍵方式で行うようにしたが、認証は、いわゆる公
開鍵方式で行うようにすることも可能である。

【０２８７】また、本実施の形態では、あるエリア定義
領域の階層のサービス定義領域にアクセスするときに、
そのエリア定義領域の階層から、最上位階層までのパス
上にあるエリア定義領域のエリアキーを順次用いて、第
１アクセスキーを生成するようにしたが、第１アクセス
キーの生成方法は、これに限定されるものではない。さ
らに、本実施の形態では、アクセス対象のサービス定義
領域のサービスキーを順次用いて、第２アクセスキーを
生成するようにしたが、第２アクセスキーの生成方法
も、これに限定されるものではない。即ち、第１アクセ
スキーおよび第２アクセスキーは、任意の２以上のエリ
アキーまたはサービスキーを順次用いて生成することが
可能である。

【０２８８】さらに、本実施の形態では、ユーザブロッ
クおよびシステムブロックのいずれも、１のメモリであ
るＥＥＰＲＯＭ６６に記憶させるようにしたが、ユーザ
ブロックとシステムブロックとは、物理的に、別々のメ
モリに記憶させるようにすることが可能である。

【０２８９】また、本実施の形態では、データをＥＥＰ
ＲＯＭに記憶させるようにしたが、データは、ＥＥＰＲ
ＯＭ以外の半導体メモリや、磁気ディスクなどに記憶さ
せることも可能である。

【０２９０】さらに、本実施の形態では、発券情報提供
処理において、親の階層のエリア定義領域におけるエリ
アキーで、発券情報を暗号化するようにしたが、発券情
報の暗号化に用いるキーは、そのような親の階層のエリ
アキーに限定されるものではない。但し、ＩＣカード２
において、暗号化発券情報を復号する必要があることか
ら、発券情報の暗号化に用いるキーは、ＩＣカード２に
記憶させておく必要がある。従って、親の階層のエリア
キーを、発券情報の暗号化に用いる場合には、その親の
階層のエリアキーは、既に、ＩＣカード２に記憶されて
いるから、それとは別に、発券情報の復号（暗号化）に
用いるキーを、ＩＣカード２に記憶させる必要はない。

【０２９１】また、本実施の形態では、ＥＥＰＲＯＭ６
６の記憶領域を階層構造にして管理するようにしたが、
本発明は、ＥＥＰＲＯＭ６６の記憶領域が階層構造で管
理されていない場合にも適用可能である。

【０２９２】さらに、本実施の形態では、暗号化発券情
報を、伝送媒体１２１を介して、発券機１０１に送信し
て登録するようにしたが、暗号化発券情報は、例えば、
磁気ディスクや、光磁気ディスク、光ディスク、メモリ
カード、磁気テープなどの記録媒体（記憶媒体）に記憶
させ、それを、直接、発券機１０１に持っていくことで
登録することも可能である。

【０２９３】

【発明の効果】請求項１に記載の情報処理装置および請
求項５に記載の情報処理方法によれば、データ記憶手段
の記憶領域を管理するための、その記憶領域にアクセス
するのに必要なキーを含む管理情報が暗号化される。従
って、管理情報の内容が第三者に知られることを防止す
ることが可能となる。

【０２９４】請求項６に記載の情報処理装置および請求
項１０に記載の情報処理方法によれば、データ記憶手段
の記憶領域を管理するための、その記憶領域にアクセス
するのに必要なキーを含む管理情報であって、暗号化さ
れたものが復号される。従って、管理情報の内容が第三
者に知られることを防止することが可能となる。

【図面の簡単な説明】

【図１】本発明を適用したＩＣカードを用いたカードシ
ステムの一実施の形態の構成例を示すブロック図であ
る。

【図２】図１のリーダ／ライタ１の構成例を示すブロッ
ク図である。

【図３】図１のＩＣカード２の構成例を示すブロック図
である。

【図４】図３のＥＥＰＲＯＭ６６の論理フォーマットを
示す図である。

【図５】図３のＥＥＰＲＯＭ６６のディレクトリ構造を
示す図である。

【図６】図５の階層構造が構成されていく過程を説明す
るための図である。

【図７】エリア作成処理を説明するためのフローチャー
トである。

【図８】サービス作成処理を説明するためのフローチャ
ートである。

【図９】管理者間でのキーの受け渡しを説明するための
図である。

【図１０】管理者Ａがサービスを提供するときに必要な
情報を説明するための図である。

【図１１】管理者Ａがサービスを提供するときのＩＣカ
ード２の処理を説明するための図である。

【図１２】サービス提供装置１１１によるＩＣカード２
の認証方法を説明するための図である。

【図１３】ＩＣカード２によるサービス提供装置１１１
の認証方法を説明するための図である。

【図１４】管理者Ｂ２がサービスを提供するときに必要
な情報を説明するための図である。

【図１５】管理者Ｂ２がサービスを提供するときのＩＣ
カード２の処理を説明するための図である。

【図１６】管理者Ｃがサービスを提供するときに必要な
情報を説明するための図である。

【図１７】管理者Ｃがサービスを提供するときのＩＣカ
ード２の処理を説明するための図である。

【図１８】管理者Ｃがサービスを提供するときに必要な
情報を説明するための図である。

【図１９】管理者Ｃがサービスを提供するときのＩＣカ
ード２の処理を説明するための図である。

【図２０】相互認証に用いる第１アクセスキーおよび第
２アクセスキーの生成方法を説明するための図である。

【図２１】ＥＥＰＲＯＭ６６における階層構造を示す図
である。

【図２２】管理者間でのキーの受け渡しを説明するため
の図である。

【図２３】管理者間でのサービス（データ）の共有を説
明するための図である。

【図２４】ＥＥＰＲＯＭ６６における階層構造を示す図
である。

【図２５】管理者間でのキーの受け渡しを説明するため
の図である。

【図２６】本発明の原理を説明するための図である。

【図２７】本発明を適用した発券処理システムの一実施
の形態の構成例を示すブロック図である。

【図２８】発券情報提供処理を説明するためのフローチ
ャートである。

【図２９】暗号化発券情報のフォーマットを示す図であ
る。

【図３０】復号処理を説明するためのフローチャートで
ある。

【図３１】従来のＩＣカードの流通を説明するための図
である。

【図３２】従来のＩＣカードの流通を説明するための図
である。

【符号の説明】

１ リーダ／ライタ， ２ ＩＣカード， ３ コント
ローラ， ２１ ＩＣ， ２３ 変調回路， ２５ 復
調回路， ２７ アンテナ， ５１ ＩＣ，５２ コン
デンサ， ５３ アンテナ， ６１ ＲＦインタフェー
ス部， ６２ＢＰＳＫ復調回路， ６３ ＰＬＬ部，
６４ 演算部， ６５ ＲＯＭ，６６ ＥＥＰＲＯＭ，
６７ ＲＡＭ， ６８ ＢＰＳＫ変調回路， ８１
ＡＳＫ復調部， ８２ 電圧レギュレータ， ８３ 発
振回路， ８４ ＡＳＫ変調部， ９１ シーケンサ，
９２ 暗号／復号部， ９３ パリティ演算部，１０
１ 発券機， １１１ サービス提供装置， １２１
伝送媒体， １３１ 発券情報提供装置

───────────────────────────────────────────────────── フロントページの続き (72)発明者 佐々木 将央 東京都品川区北品川６丁目７番35号 ソニ ー株式会社内 Ｆターム(参考） 5B017 AA07 BA09 CA14 5B058 CA17 KA35

Claims (10)

【特許請求の範囲】
1. 【請求項１】 データを記憶するデータ記憶手段と、 前記データ記憶手段の記憶領域を管理するための、その
   記憶領域にアクセスするのに必要なキーを含む管理情報
   を記憶する管理情報記憶手段と、 前記管理情報に基づいて、前記データ記憶手段を管理す
   る管理手段とを備えるデータ記憶装置に対して、前記管
   理情報を提供するための処理を行う情報処理装置であっ
   て、 前記管理情報を作成する作成手段と、 前記管理情報を暗号化する暗号化手段とを備えることを
   特徴とする情報処理装置。
2. 【請求項２】 前記管理情報が改竄されたか否かをチェ
   ックするためのチェックコードを演算する演算手段をさ
   らに備え、 前記暗号化手段は、前記管理情報とともに、前記チェッ
   クコードも暗号化することを特徴とする請求項１に記載
   の情報処理装置。
3. 【請求項３】 暗号化された前記管理情報を、所定の伝
   送媒体を介して、前記データ記憶装置に送信する送信手
   段をさらに備えることを特徴とする請求項１に記載の情
   報処理装置。
4. 【請求項４】 前記管理手段が、前記データ記憶手段の
   記憶領域を階層構造にして管理する場合において、 前記暗号化手段は、親の階層の前記管理情報に含まれる
   前記キーを用いて、その子の階層の前記管理情報を暗号
   化することを特徴とする請求項１に記載の情報処理装
   置。
5. 【請求項５】 データを記憶するデータ記憶手段と、 前記データ記憶手段の記憶領域を管理するための、その
   記憶領域にアクセスするのに必要なキーを含む管理情報
   を記憶する管理情報記憶手段と、 前記管理情報に基づいて、前記データ記憶手段を管理す
   る管理手段とを備えるデータ記憶装置に対して、前記管
   理情報を提供するための処理を行う情報処理方法であっ
   て、 前記管理情報を作成する作成ステップと、 前記管理情報を暗号化する暗号化ステップとを備えるこ
   とを特徴とする情報処理方法。
6. 【請求項６】 データを記憶するデータ記憶手段と、 前記データ記憶手段の記憶領域を管理するための、その
   記憶領域にアクセスするのに必要なキーを含む管理情報
   を記憶する管理情報記憶手段と、 前記管理情報に基づいて、前記データ記憶手段を管理す
   る管理手段とを備える情報処理装置であって、 暗号化された前記管理情報を受信する受信手段と、 暗号化された前記管理情報を復号する復号手段と、 前記管理情報を、前記管理情報記憶手段に記憶させる記
   憶制御手段とを備えることを特徴とする情報処理装置。
7. 【請求項７】 前記管理情報が改竄されたか否かをチェ
   ックするチェック手段をさらに備えることを特徴とする
   請求項６に記載の情報処理装置。
8. 【請求項８】 前記受信手段は、暗号化された前記管理
   情報とともに、その管理情報が改竄されたか否かをチェ
   ックするためのチェックコードも受信し、 前記チェック手段は、前記チェックコードに基づいて、
   前記管理情報が改竄されたか否かのチェックを行うこと
   を特徴とする請求項７に記載の情報処理装置。
9. 【請求項９】 前記管理手段が、前記データ記憶手段の
   記憶領域を階層構造にして管理しており、 前記管理情報が、その親の階層の管理情報に含まれる前
   記キーを用いて暗号化されている場合において、 前記復号手段は、暗号化された前記管理情報を、前記管
   理情報記憶手段に記憶されている、その親の階層の管理
   情報に含まれる前記キーを用いて復号することを特徴と
   する請求項６に記載の情報処理装置。
10. 【請求項１０】 データを記憶するデータ記憶手段と、 前記データ記憶手段の記憶領域を管理するための、その
    記憶領域にアクセスするのに必要なキーを含む管理情報
    を記憶する管理情報記憶手段と、 前記管理情報に基づいて、前記データ記憶手段を管理す
    る管理手段と を備える情報処理装置の情報処理方法であって、 暗号化された前記管理情報を受信する受信ステップと、 暗号化された前記管理情報を復号する復号ステップと、 前記管理情報を、前記管理情報記憶手段に記憶させる記
    憶制御ステップとを備えることを特徴とする情報処理方
    法。