JP2001502094A - 通信網を介しての確実なデータ転送のための方法 - Google Patents

Abstract

(57)【要約】 本発明は、通信網を介して実行されるデータ転送に係る。特に、チップカードから成る第一の物体と第二の物体との間での通信網を介しての安全なデータ転送のための方法に係る。この方法は、転送の開始を証明するための電子サインを前もって生成することで構成される。サインは、チップカード内の少なくとも一つの記憶領域に格納される。データ転送が終了すると、サインは消去される。本発明は電子財布に適用可能である。

Description

【発明の詳細な説明】 通信網を介しての確実なデータ転送のための方法 本発明は、通信網を介して実行されるデータ転送に係る。ネットワークは、例 えば、交換電話網か、GSM欧州規格のネットワークなどのセルラ一通信網か、イ ンターネットかである。 従来の二つの物体間のデータ交換の場合、交換されるデータの真偽のほどは、 電子サインによって保証される。この電子サインは、暗号化機構や確認機構ある いは適切な意味でサインにかかわる機構などの様々な暗号化機構を用いて作成さ れる。対応する計算アルゴリズムが左右対称である場合、秘密のサインの鍵は、 二つの物体によって共有される。非左右対称である場合、秘密のサインの鍵は、 署名する側の物体によってのみ知られる。交換されるデータの確認が可能なデー タ転送法は、特に、特許出願第EP-A-0 683582号および特許出願米国第5,534,683 号に記載されている。 今日、チップカードの使用が可能な通信網上での大量販売を意図した製品の開 発の激化には目を見張るものがある。しかし、ネットワークを介してのデータの 転送処理は、多数の物体とチップカードとの間の交換で構成されるため、実現す るのは難しい。しかも、ネットワークを介してのデータ交換は、例えば、通信の 途切れとかチップカードの引き出しとか物体によるチップカードとのデータ交換 の失敗といった数々の理由から中断されることがある。この中断は、二つの物体 を非同期にさせ二つのどちらか一方に損害を与えることになる。周知の機構では 、データ転送中に中断が生じた場合にはこの非同期の問題を回避できない。 本発明は、中断時に発生しがちな二つの物体の非同期という問題 を解決できる。また、チップカードによって構成される第一の物体と第二の物体 との間での通信網を介しての確実なデータ転送法であって、取引中に中断が発生 した場合などあらゆる状況においてチップカードの使用を保証できるデータ転送 法を提案する。この方法は、最初に転送の開始を証明できる電子サインを生成す ることと、チップカードの少なくともひとつの記憶領域に電子サインを格納する ことと、転送終了時にサインを消去することとで構成される。 本発明の別の特徴によれば、転送法は請求手順で構成される。この手順は、チ ップカードの記憶領域にサインがあるかないかを調べて、データ転送が失敗した か成功したかを知ることで構成される。 本発明の別の特徴によれば、データ転送が中断された場合、請求手順は、更に 、 ‐新しい電子サインを生成することと、 ‐失敗した転送のサインを前記の新しいサインに置き換えることと、 ‐実行されていない転送段階を実行することと、 ‐転送が終了したときに新しいサインを消去することと、 で構成される。 本発明の別の特徴によれば、サインは、読み取りのためであろうと書き込みの ためであろうと外界からアクセスできないように、記憶領域に確実に格納される 。 優位には、この記憶領域は、EEPROM型の電気的にプログラム可能なメモリ内の 一つの領域である。 本発明の別の特徴によれば、サインは、第二の物体によって生成されてチップ カード電子機器によって消去される。 本発明の別の特徴によれば、サインは、暗号化アルゴリズムによって生成され る。 本発明の別の特徴によれば、転送されるデータは数値単位である。この場合、 チップカードは電子財布である。 本発明の別の特徴によれば、データ転送法は、バンキング機関と電子財布との 間の金銭取引であって、財布の中身の貸方に記入することに適用されるか、ある いは、サービス提供者と電子財布との間の金銭取引であって、財布の中身の借方 に記入することに適用される。 本発明の別の特徴によれば、データ転送法は、ゲーム組織とチップカードとの 間の数値単位の取引に適用される。 本発明は、データ転送中の中断によって二つの物体の間に生じる不均衡を回避 させることができる。転送処理後にチップカードの記憶領域に電子サインが存在 することで、不均衡の存在が示され、処理が失敗したこと証明できるからである 。交換機における均衡の回復は、チップカードのユーザの主導で実行される。ま た、転送に対応する電子サインは、一度だけ使用可能である。 本発明の他の特徴と優位性とは、添付の図面を参照して非限定的な例を揚げて 行われる説明を読むことで明らかになるであろう。すなわち、 ‐図1は、本発明による方法を実施するための装置の概略図である。 ‐図2は、本発明によるデータ転送法の流れ図である。 ‐図3は、中断された転送段階を実行することができる請求手順の流れ図であ る。 ‐図4Aは、バンキング機関と電子財布との間の金銭取引に適用される転送法の 流れ図である。 ‐図4Bは、図4Aの取引中に中断された段階を実行できるようにする請求手順の 流れ図である。 ‐図5Aは、電子財布とサービス提供者との間の金銭取引に適用される転送法の 流れ図である。 ‐図5Bは、図5Aの取引中に中断された段階を実行できるようにする請求手順の 流れ図である。 本発明によるデータ転送法は、二つのうちの一方は好適にはチップカードであ る二つの物体の間で実行される。 使用されるチップカードは、周知のとおり、異なるメモリにバスを介して接続 され、カードの入出力ポートに接続されたマイクロプロセッサで構成される。異 なるメモリとは、 ‐マイクロプロセッサ基盤システムにおけるのと同様に、カードの使用中に必 要な中間データを格納するための揮発性RAM作業メモリと、 ‐カードに動作をさせるシステムプログラムであって、カードの使用毎に変化 することのないプログラムが格納されたROM読み取り専用メモリと、 ‐カードの連続使用の間に変更更新対象のデータを記録するためのEEPROM電気 的にプログラム可能で消去可能なメモリと、 である。 図1は、本発明のデータ転送法を実現するための装置の概略図である。チップ カードCは、例えばコンピュータで構成される読み取り／記録装置（以降読取装 置L）のスロットに挿入される。読取装置Lは、ネットワークRを介してチップカ ードCとデータを交換できる多数の物体E1、E2、…ENに接続される。 図2の流れ図は、チップカードなどの第一の物体と第二の物体Eとの間でネット ワークを介して行われるデータ転送に係る本発明によるデータ転送法の異なる段 階を示す。ステップ1で、物体Eは、電子サインを生成して転送の開始を示す。物 体は、ステップ2で、 チップカードの少なくともひとつの記憶領域にサインを書き込むことを命ずる。 電子サインは、記憶領域に確実に記録される。すなわち、読み取りのためであっ ても書き込みのためであっても外界からアクセスされないように格納される。好 適には、格納される記憶領域は、EEPROM型の電気的にプログラム可能なメモリ内 の一つの領域である。 物体Eは、また、サインの機密性を保証するための暗号化アルゴリズムを備え ている。 次のステップ3、4および5はデータ転送を実行することで構成される。このた め、物体は、転送に関する特性データをチップカードEEPROMメモリの別の領域に 書き込むことを命ずる（ステップ3）。チップカードは、転送を認可するための 承認情報を送り返す（ステップ4）。そして、転送が実行される(ステップ5)。デ ータ転送が終了すると、チップカードマイクロプロセッサは、メモリに格納され たサインの消去を命令する（ステップ5）。 通信の途切れによる転送の中断や、チップカードの中途引出しや、物体Eの失 敗などが、ステップ4とステップ5との間に発生した場合、不均衡が起こり二つの 物体の一方に損害を与える。本発明による方法によれば、このような不均衡は、 チップカードメモリから消去されないサインの存在によって知らされる。このサ インの存在は、従ってエラー状況を示唆する。均衡の回復は、ネットワークを介 して二つの物体の間を新たに接続させることによってカードのユーザの主導で実 行される。 次に、チップカードは、請求手順の実行を命令する。この手順の流れ図が図3 である。 まず最初に、ステップ4aで、物体Eは、確保しておいたチップカードの記憶領 域にサインがあるかないかを調べて、データ転送が失 敗したか成功したかを調べる。 サインがある場合、すなわち、転送が失敗した場合、物体Eは、ステップ4bで 、新しい電子サインを生成して、失敗した転送に対応する第一のサインを新しい サインに置き換えるよう命ずる。 サインを確実に更新するために用いられる方法は、例えば、特許出願第FR95 0 1791号に記載された方法である。 次のステップ4cは、中断されたデータ転送段階の実行で構成される。最後に、 データ転送が完全に正確に実行されたら、新しいサインが消去される（ステップ 4d）。 転送されたデータは、数値単位である。 優位には、チップカードは、電子財布の形態で実現される。 本発明による方法の具体的な用途は、電子財布（カードC）とバンキング機関 （物体E）との間あるいは電子財布とサービス提供組織（物体E2）との間の金銭 取引に関するものである。 この場合、数値単位は、優位には、通貨単位に対応する。 財布とバンキング機関との間の取引は、より具体的には、財布の中身の貸方に 記入することで構成される。一方、財布とサービス提供組織との間の取引は、財 布の中身の借方に記入することで構成される。 電子財布のEEPROMメモリに対するサインの格納や消去の管理は、実行される処 理の種類によって異なる。電子財布の中身の貸方に記入するか借方に記入するか によって処理が異なるからである。次にこの管理について詳細に述べる。 図4Aの流れ図は、バンキング機関との金銭取引中の電子財布のロードを図解す る。 この図に示す例では、取引の開始前、財布の中身は5数値単位VUであり、財布 のユーザの銀行預金口座は500VUである。 ユーザが、例えば、100数値単位VUの値を自分の財布にロードすることを要求 すると（ステップ10）、銀行は、ユーザの預金口座の収支を調べる。その後、銀 行は、取引の証拠を生成し、すなわち、電子サインを演算し財布へ送信する（ス テップ20）。 財布は、電子サインと取引に関する特性データとをEEPROMメモリのひとつの領 域に格納し、取引の実行を認可する承認情報を銀行へ送り返す（ステップ30）。 銀行は、ユーザの口座の借方に記入して財布のロードを命ずる（ステップ40） 。貸方に記入することが実行されると同時に、財布は、特許出願第FR 95 01791 号に記載のEEPROMメモリの確実な更新のための方法を用いてサインを消去する。 取引処理が終了した時点では、電子財布の中身は105VUに等しい。一方、財布 のユーザの銀行の預金口座は400VUに等しい。 ステップ30と40との間の中断は、財布と銀行との間に不均衡を生じさせ、ユー ザに損害を与える。ユーザの銀行預金口座は、借方に記入がなされるが、ユーザ の財布は、貸方に記入がなされるからである。 しかし、このような中断が生じた場合、財布のロードは成功しないから、サイ ンは財布のEEPROMメモリから消去されない。このサインの存在によって、取引が 失敗したことを証明できる。ユーザは、自分の財布をバンキング機関にネットワ ークを介して再度接続して、均衡を回復させる。 再接続の際に、電子財布マイクロプロセッサは、請求手順の実行を開始する。 この手順の流れ図が図4Bである。 図4Bの例では、ユーザの銀行口座は、借方に100VUだけ記入されたので400VUと なる。一方、財布の中身は、貸方に何も記入されなかったので依然として5VUで ある。 請求時には、財布は、取引に関する特性データと取引が中断されたことの証拠 すなわち電子サインとを銀行に提示する（ステップ31）。銀行は、電子サインを 調べて請求手順の妥当性を検査する。そして、銀行は、新しい取引の証拠を生成 して財布へ送信する（ステップ32）。 財布は、失敗した貸方記入処理に対応するサインに置き換える新しい電子サイ ンと新しい取引に関する特性データとを格納する。そして、取引を認可する承認 情報を銀行へ送る（ステップ33）。中断された取引に対応する第一の電子サイン を新しい電子サインに置き換えることは、特許出願第FR 95 01791号に記載のEEP ROMメモリの確実な更新法に従って実行される。 ユーザの銀行口座は、最初の取引の際に借り方に何も記入がなされなかった場 合、銀行は借方記入を実行する。そして、いかなる場合でも、ステップ34で財布 のロードを命令する。 図4Bの例では、銀行口座は、最初の取引の中断の前に借方に記入がなされた。 この場合、銀行は、取引を認可する承認情報を受信したら直ちに財布の中身のロ ードを命ずる。 財布は、貸方記入処理と同時に取引の新しいサインを消去する（ステップ35） 。 同様に、金銭取引が、電子財布とサービス提供者との間で行われる。この場合 、サービス提供者は、サービスを提供する代わりに、財布の中身の借方に一定の 値を記入することを命令する。この財布とサービス提供者との間の取引を図5Aに 示す。 ユーザがサービスを要求すると(ステップ100)、サービス提供者は、その命令 の証拠すなわち実行される取引に対応する電子サインを生成する。 財布は、次に、サービスに対応する値、図5Aの例では5VU、が借 方に記入される。そして、サインと取引に関する特性データとが、同時に、ステ ップ200で、財布のEEPROMメモリに記録される。 財布は、次に、借方記入証明を発行し提供者へ送信する（ステップ300）。提 供者は、証明を調べ記録して支払いを承認する（ステップ400）。支払いが承認 されると、当該命令に対応する電子サインが、電子財布のEEPROMメモリから消去 される(ステップ500)。 ステップ300と400との間に途切れがある場合、財布のEEPROMメモリにおけるサ インの存在でエラー状況が示唆される。エラー状況は、例えば、支払いが提供者 によって集金されていないのに、財布の中身の借方に記入がなされた場合に生じ る。しかし、提供者は、支払われない限り、対応する要求されたサービスを提供 することはない。支払ったサービスを得るためには、ユーザは、命令の証拠すな わち要望する取引に対応する電子サインを提示しなければならない。そして、提 供者に受領されていなければ支払い証明をも再送しなければならない。 図5Bの流れ図に、サービス提供者の支払いを終了させることができる請求手順 の実行について記載する。 図5Bの例では、財布の中身は、図5Aに対応する最初の取引の時点で5VUが借方 に記入されているが、支払いは提供者によって集金されていない。金銭登録器の 中身は500VUのままである。財布は、まず最初に、請求情報すなわち失敗した取 引に関する特性データとサインとを提供者に送信する。 一つかそれ以上の証明が提供者に受信されると、後者は支払いを承認し、取引 の証拠は消去される（ステップ340-350）。 一方、証明が提供者に受信されていない場合、後者は、請求の妥当性すなわち 電子サインの存在を調べる。更に、提供者は、支払い要求すなわち証明に対する 要求を付随し財布へ送信される新しい電 子サインを生成する（ステップ320）。 財布は、EEPROMメモリ内の取引に関する特性データおよび以前のサインに置き 換えられ新しい電子サインを記録して、失敗した借方記入についての証明を再度 演算する（ステップ330）。 証明が受信され記録され調査されると、提供者は当該支払いを承認する（ステ ップ340）。最後に、財布は、取引の証拠を消去する（ステップ350）。 請求手順の終了時点で、財布の中身の借方に記入がなされている。提供者は、 支払いを集金したので、電子財布のユーザから要求されていたサービスを提供す る。 上記の例から、サインの格納や消去の管理が、実行される処理の種類によって どのように異なるかがわかる。 貸方記入の場合、サインの消去と財布の中身の貸方への記入とは、同時に実行 される。 一方、借方記入の場合、同時に実行されるのは、サインの記録と財布の中身の 借方への記入とである。 別の実施例によれば、本発明に係るデータ転送法は、ネットワークを介しての ゲーム組織とチップカードとの間の数値単位の取引にも適用される。 この場合、転送されるデータは、事前に確定した金額に対応する数値単位とな る。チップカードの中身の再ロードは、ゲーム組織内の銀行によって実行される 。更に、チップカードの中身は、ユーザがゲームに勝ったか負けたかによって貸 方か借方かに記入がなされる。実行される取引は、上記の金銭取引に類似したも のである。 電子サインは、取引が失敗したことを証明するためのものであるが、一度だけ 使用可能である。失敗した取引のサインは、新しい電子請求取引サインによって 置き換えられる。どのような場合にも、 サインは、取引が成功した時点で消去される。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｇ０６Ｋ 17/00 Ｇ０６Ｋ 17/00 Ｄ 19/00 Ｇ０９Ｃ 1/00 ６４０Ｂ 19/07 ６６０Ｂ 19/077 Ｇ０６Ｋ 19/00 Ｗ Ｇ０９Ｃ 1/00 ６４０ Ｎ ６６０ Ｌ

Claims (1)

1. 【特許請求の範囲】 １．チップカードで構成される第一の物体と第二の物体との間での通信網を介 しての確実なデータ転送のための方法であって、 最初に転送の開始を証明できる電子サインを生成することと、チップカード内 の少なくとも一つの記録領域に電子サインを格納することと、データ転送が終了 した時点でサインを消去することと、で構成され、 更に、請求手順を含み、この請求手順は、チップカード内の記憶領域に電子サ インがあるかないかを調べて、データ転送が失敗したか成功したかを知ることで 構成され、 データ転送が中断された場合、請求手順は、更に、 ‐新しい電子サインを生成することと、 ‐失敗した転送のサインを前記新しいサインに置き換えることと、 ‐いまだ実行されていない転送段階を実行することと、 ‐転送が終了した時点で新しいサインを消去することと、 で構成されることを特徴とする方法。 ２．サインは、読み取りのためであろうと書き込みのためであろうと外界から アクセスされないように、記憶領域に確実に格納されることを特徴とする請求の 範囲第1項に記載の方法。 ３．サインが格納されるチップカード内の記憶領域は、EEPROM型の電気的にプ ログラム可能なメモリ内の一つの領域であることを特徴とする請求の範囲第1項 又は第2項に記載の方法。 ４．電子サインは第二の物体によって生成されてチップ電子機器によって消去 されることを特徴とする請求の範囲第1項から第3項までのいずれか1項に記載の 方法。 ５．電子サインは暗号化アルゴリズムにしたがって生成されることを特徴とす る請求の範囲第1項から第4項までのいずれか1項に記載の方法。 ６．転送されるデータは数値単位であることを特徴とする請求の範囲第1項か ら第5項までのいずれか1項に記載の方法。 ７．チップカードは電子財布であることを特徴とする請求の範囲第1項から第6 項までのいずれか1項に記載の方法。 ８．バンキング機関と電子財布との間の金銭取引への請求の範囲第1項から第7 項までのいずれか1項に記載の方法の適用であって、後者の中身の貸方に記入す るための適用又は、サービス提供者と電子財布との間の金銭取引への適用であっ て、後者の中身の借方に記入するための適用。 ９．財布の中身の貸方に記入がなされる場合、貸方記入処理とサインの消去と は同時に実行されることを特徴とする請求の範囲第8項に記載の適用。 10．財布の中身の借方に記入がなされる場合、サインの記憶領域への格納と借 方記入処理とは同時に実行されることを特徴とする請求の範囲第8項に記載の適 用。 11．ゲーム組織とチップカードとの間の数値単位取引への請求の範囲第1項か ら第7項までのいずれか1項に記載の方法の適用。