JP2003141460A - 通信方法、データ処理装置およびプログラム - Google Patents

Abstract

(57)【要約】 【課題】 複数のＳＡＭ（データ処理装置）間で連携し
たサービスを迅速に提供することを可能にする通信方法
を提供する。 【解決手段】 ＳＡＭユニット９ａと９ｂとの間でアプ
リケーションプログラムを構成するエレメントＡＰＥを
転送する場合に、各エレメント毎に当該エメレメントの
参照可能元の識別データ、相互認証の有無、参照（利
用）形態、並びに相互認証鍵を規定した管理データを用
意し、当該管理データに基づいて、ＳＡＭユニット９ａ
と９ｂ間でエレメントの転送を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＩＣなどの集積回
路を用いたサービス提供に用いられるデータ処理装置お
よびその方法とプログラムに関する。

【０００２】

【従来の技術】現在、ＩＣカードを用いてインターネッ
トなどのネットワークを介した取り引きを行う通信シス
テムが開発されている。このような通信システムでは、
ＩＣカードを用いたサービスを提供するサービス提供者
からの依頼を受けて当該サービス提供者が規定した手続
き処理を実行するアプリケーションプログラムをサーバ
装置が実行する。サーバ装置は、例えばＩＣカードのリ
ーダ・ライタやＰＣ(Personal Computer) から処理要求
に応じて、上記アプリケーションプログラムに基づい
て、ユーザ認証やデータの暗号化及び復号などの処理を
行う。

【０００３】

【発明が解決しようとする課題】ところで、上述したよ
うなＩＣカードを用いたサービスは、ＳＡＭ(Secure Ap
plication Module) を用いて行われるが、複数のＳＡＭ
が連携して単体のＩＣカードを用いたサービスを提供す
る場合に、複数のＳＡＭ間で連携したサービスを迅速に
提供したいという要請がある。また、この場合に、異な
るサービス事業者のサービス提供に係わるデータやプロ
グラムを格納したＳＡＭ相互間で、相手方に秘匿したい
データと、公開するデータとを適切に管理したいという
要請がある。

【０００４】本発明はかかる事情に鑑みてなされたもの
であり、複数のＳＡＭ（データ処理装置）間で連携した
サービスを迅速に提供することを可能にする通信方法、
データ処理装置およびプログラムを提供することを目的
とする。また、本発明は、異なるサービス事業者のサー
ビス提供に係わるデータやプログラムを格納したＳＡＭ
（データ処理装置）相互間で、相手方に秘匿したいデー
タと、公開するデータとを適切に管理できる通信方法、
データ処理装置およびプログラムを提供することを目的
とする。

【０００５】

【課題を解決するための手段】上記の目的を達成するた
め、第１の発明の通信方法は、第１のアプリケーション
プログラムを実行する第１のデータ処理装置と、第２の
アプリケーションプログラムを実行する第２のデータ処
理装置との間でデータ授受を行うデータ処理方法であっ
て、前記第２のアプリケーションプログラムを構成する
複数のデータモジュールのうち前記第１のアプリケーシ
ョンプログラムが利用する前記データモジュールを示す
第１の管理データを前記第１のデータ処理装置が保持
し、前記第１のアプリケーションプログラムに利用させ
ることを許可するデータモジュールを示す第２の管理デ
ータを前記第２のデータ処理装置が保持する場合に、前
記第１のデータ処理装置が、前記第１の管理データを参
照して、利用しようとする前記データモジュールを指定
した要求を前記第２のデータ処理装置に送信し、前記第
２のデータ処理装置が、前記要求に応じて、前記第２の
管理データを参照し、前記要求で指定された前記データ
モジュールを前記第１のアプリケーションプログラムが
利用することを許可すると判断した場合に、前記要求で
指定されたデータモジュールを前記第１のデータ処理装
置に送信する。

【０００６】また、第１の発明の通信方法は、好ましく
は、前記第１のデータ処理装置が第１のサーバ装置に接
続され、前記第２のデータ処理装置が第２のサーバ装置
に接続され、前記第１のサーバ装置および前記第２のサ
ーバ装置を介して、前記第１のデータ処理装置と前記第
２のデータ処理装置とが通信を行う場合に、前記第１の
サーバ装置が、前記第１のデータ処理装置に第１の要求
を送信し、前記第１のサーバ装置が、前記第１の要求に
応じて、前記第１の管理データを参照して、利用しよう
とする前記データモジュールを指定した第２の要求を前
記第２のデータ処理装置に送信する。また、第１の発明
の通信方法は、好ましくは、前記第２のサーバ装置が、
前記第１のアプリケーションプログラムが利用する前記
データモジュールが前記第２のデータ処理装置内で利用
可能な状態になっているか否かを確認し、当該確認の結
果を前記第１のサーバ装置に通知し、前記第１のサーバ
装置は、前記通知に応じて、前記第１の要求を前記第１
のデータ処理装置に送信する。

【０００７】まあ、第２の発明のデータ処理装置は、第
１のアプリケーションプログラムを実行する他のデータ
処理装置との間でデータ授受を行い、第２のアプリケー
ションプログラムを実行するデータ処理装置であって、
前記他のデータ処理装置とデータ授受を行うインタフェ
ースと、前記第２のアプリケーションプログラムを構成
する複数のデータモジュールと、前記第１のアプリケー
ションプログラムに利用させることを許可するデータモ
ジュールを示す管理データとを記憶する記憶手段と、前
記他のデータ処理装置からの要求に応じて、前記管理デ
ータを参照し、当該要求に係わるデータモジュールを前
記第１のアプリケーションプログラムが利用することを
許可すると判断した場合に、前記要求に係わるデータモ
ジュールを前記記憶手段から読み出して前記他のデータ
処理装置に送信する処理手段とを有する。

【０００８】また、第３の発明のプログラムは、第１の
アプリケーションプログラムを実行する他のデータ処理
装置との間でデータ授受を行い、第２のアプリケーショ
ンプログラムを実行するデータ処理装置によって実行さ
れるプログラムであって、前記他のデータ処理装置か
ら、データモジュールの利用の要求を受信する手順と、
前記要求に応じて、前記第１のアプリケーションプログ
ラムに利用させることを許可するデータモジュールを示
す管理データを参照し、当該要求に係わるデータモジュ
ールを前記第１のアプリケーションプログラムが利用す
ることを許可するか否かを判断する手順と、許可すると
判断した場合に、前記要求に係わるデータモジュールを
前記他のデータ処理装置に送信する手順とを有する。

【０００９】また、第４の発明の情報処理システムは、
複数のデータを有する記録手段（記録媒体）と、上記記
録手段内のデータをアクセスするアクセス装置から成る
情報処理システムであって、上記記録手段は、上記複数
のデータのそれぞれに、対応付けられた記録手段用鍵情
報を有し、上記アクセス装置は、上記記録手段用鍵情報
と同一または特定のアルゴリズムに従って対応付けられ
たアクセス鍵情報を有し、上記アクセス鍵情報は、それ
を所有するアクセス装置を特定するアクセス装置特定情
報を含み、上記アクセス装置は、他の複数のアクセス装
置と通信な連携通信手段を有し、上記アクセス装置で上
記記録手段内のデータにアクセスする際に、上記アクセ
ス装置特定情報内のアクセス装置が他の複数のアクセス
装置となっている場合には、上記連携通信手段から上記
データに該当する上記アクセス鍵情報を取得し、上記ア
クセス鍵情報を特定のアクセスアルゴリズムに従って演
算したアクセス演算情報を上記アクセス装置から上記記
録手段へ伝達し、上記記録手段は、上記アクセス演算情
報を特定のアクセスアルゴリズムに従って演算し、その
結果が、上記記録手段内の該当するデータの記録手段用
鍵情報と対応付けられた結果が得られた場合にのみ、以
降の上記アクセス装置からのアクセスを可能とする。

【００１０】また、第４の発明の情報処理システムは、
好ましくは、上記アクセス装置内において、上記アクセ
ス鍵情報と、上記アクセスアルゴリズムが同一の半導体
チップ内に搭載され、解析、改竄が外部から困難であ
る。また、第４の発明の情報処理システムは、好ましく
は、上記特定のアクセスアルゴリズムは、ＤＥＳ、ＲＳ
Ａ、ＡＥＳ、楕円暗号のうちに一つまたは、二以上の復
号アルゴリズムに従う。また、第４の発明の情報処理シ
ステムは、好ましくは、上記連携通信手段によるアクセ
ス装置間の通信経路は、特定のアルゴリズムで暗号化さ
れている。また、第４の発明の情報処理システムは、上
記特定のアルゴリズムは、ＤＥＳ、ＲＳＡ、ＡＥＳ、楕
円暗号のうちに一つまたは、二以上の復号アルゴリズム
に従う。また、第４の発明の情報処理システムは、好ま
しくは、上記アクセス装置内において、他の複数のアク
セス装置から取得した上記アクセス鍵情報は永続的に保
持するか、一時的に保持するかを選択可能である。ま
た、第４の発明の情報処理システムは、好ましくは、上
記記録手段と上記アクセス装置間の通信は、電波による
無線接続、電気的有線接続、光学的接続の一つまたは二
以上の複合接続方式である。また、第４の発明の情報処
理システムは、好ましくは、上記アクセス装置と他の複
数のアクセス装置間の通信は、電波による無線接続、電
気的有線接続、光学的接続の一つまたは二以上の複合接
続方式である。また、第４の発明の情報処理システム
は、好ましくは、上記アクセス装置を特定のプロトコル
に従って制御する制御部と、上記アクセス装置と、上記
記録手段から成るセキュア情報処理システムである。

【００１１】

【発明の実施の形態】以下、本発明の実施の形態を添付
図面を参照して説明する。図１は、本実施形態の通信シ
ステム１の全体構成図である。図１に示すように、通信
システム１は、店舗などに設置されたサーバ装置２、Ｉ
Ｃカード３、カードリーダ・ライタ４、パーソナルコン
ピュータ５、ＡＳＰ(Application Service Provider)サ
ーバ装置１９、ＳＡＭ(Secure Application Module) ユ
ニット９ａ，９ｂ、ＩＣモジュール４２（本発明の集積
回路）が内蔵された携帯通信装置４１を用いて、インタ
ーネット１０を介して通信を行ってＩＣカード３あるい
は携帯通信装置４１を用いた決済処理などの手続き処理
を行う。ＳＡＭユニット９ａ（本発明の第１のデータ処
理装置）は、外部メモリ７（本発明の記憶手段）および
ＳＡＭモジュール８（本発明の処理手段）を有する。ま
た、ＳＡＭユニット９ｂ（本発明の第２のデータ処理装
置）も、同様に、外部メモリ７およびＳＡＭモジュール
８を有する。ＳＡＭモジュール８は、必要に応じて、図
示しない他のＳＡＭモジュールとデータの授受を行う。

【００１２】〔通信システム１の特徴〕本実施形態で
は、図１に示すＳＡＭユニット９ａが、ＳＡＭユニット
９ｂの外部メモリ７に格納されたアプリケーションエレ
メントデータＡＰＥを利用する場合のＳＡＭユニット９
ａとＳＡＭユニット９ｂとの間の通信に特徴を有してい
る。例えば、ＳＡＭユニット９ａ，９ｂを用いて異なる
サービス事業者間でサービスを連携して運用するために
は、ＩＣカード（ＩＣモジュール）操作に必要なカード
用アクセス鍵、カード用発行鍵パッケージを秘密にした
状態で他のサービス事業者に渡すことが必要となる。

【００１３】例えば、異なるサービス事業者間で、ＩＣ
カードとの相互認証鍵を計算するためには、カード用ア
クセス鍵またはカード用縮退鍵などの鍵情報を入手する
必要がある。具体的には、ＳＡＭユニット９ａで金額決
裁をＳＡＭユニット９ｂで商品購入を行い、しかもＩＣ
カードとの１回の相互認証期間中で双方の処理を完結さ
せる場合には、ＳＡＭユニット９ａからＳＡＭユニット
９ｂに金額決裁に必要な鍵情報を転送し、ＳＡＭユニッ
ト９ｂ側でＩＣカードへのアクセスに必要な鍵を合成す
る必要がある。この場合に、ＳＡＭユニット９ａとＳＡ
Ｍユニット９ｂとで個別にＩＣカードアクセスを行うこ
とが可能だが、金額決裁と商品購入の双方の操作および
処理について同時性を保証することが困難となる。例え
ば、金額決裁が完了したが、商品の入手が完結しないな
どの事態が生じる。

【００１４】また、ＩＣカードの共有メモリ領域を借り
て、独自にサービスを展開する事業者は、例えば共有メ
モリ領域の管理者（メモリ運用機構）から、ＩＣカード
上にサービスを登録するための鍵情報（エリア登録用鍵
パッケージ等）を入手する必要がある。また、ＩＣカー
ドを論理的に分割して共有メモリ領域を生成するために
必要なカード分割用鍵パッケージを、メモリ運用機構と
共有領域提供者（例えばサービス事業者）間で授受する
必要がある。通信システム１は、上述したような複数の
事業者によるサービスを連携して提供したり、鍵パッケ
ージなどのアプリケーションエレメントデータＡＰＥを
授受する際に、ＳＡＭユニット９ａと９ｂなどのＳＡＭ
ユニット相互間でセキュアな通信路を簡単に確立できる
手法を提供する。

【００１５】以下、図１に示す構成要素について説明す
る。 〔ＩＣカード３および携帯通信装置４１〕図２は、ＩＣ
カード３の機能ブロック図である。図２に示すように、
ＩＣカード３は、メモリ５０およびＣＰＵ５１を備えた
ＩＣ(Integrated Circuit)モジュール３ａを有する。メ
モリ５０は、図３に示すように、クレジットカード会社
などのサービス事業者１５＿１が使用する記憶領域５５
＿１、サービス事業者１５＿２が使用する記憶領域５５
＿２、並びにサービス事業者１５＿３が使用する記憶領
域５５＿３を有する。また、メモリ５０は、記憶領域５
５＿１へのアクセス権限を判断するために用いられる鍵
データ、記憶領域５５＿２へのアクセス権限を判断する
ために用いられる鍵データ、並びに記憶領域５５＿３へ
のアクセス権限を判断するために用いられる鍵データを
記憶している。当該鍵データは、相互認証や、データの
暗号化および復号などに用いられる。また、メモリ５０
は、ＩＣカード３あるいはＩＣカード３のユーザの識別
データを記憶している。

【００１６】携帯通信装置４１は、携帯電話網およびイ
ンターネット１０を介してＡＳＰサーバ装置と通信を行
う通信処理部４３と、通信処理部４３との間でデータ授
受可能なＩＣモジュール４２とを有し、アンテナからイ
ンターネット１０を介してＳＡＭユニット９ａと通信を
行う。ＩＣモジュール４２は、携帯通信装置４１の通信
処理部４３とデータ授受を行う点を除いて、前述したＩ
Ｃカード３のＩＣモジュール３ａと同じ機能を有してい
る。なお、携帯通信装置４１を用いた処理は、ＩＣカー
ド３を用いた処理と同様に行われ、ＩＣモジュール４２
を用いた処理はＩＣモジュール３ａを用いた処理と同様
に行われるため、以下の説明では、ＩＣカード３および
ＩＣモジュール３ａを用いた処理について例示する。

【００１７】以下、ＳＡＭユニット９ａ，９ｂについて
詳細に説明する。ＳＡＭユニット９ａ，９ｂは、前述し
たように、外部メモリ７（本発明の記憶手段）とＳＡＭ
モジュール８（本発明の処理手段）とを有する。ここ
で、ＳＡＭモジュール８は、半導体回路として実現して
もよいし、筐体内に複数の回路を収容した装置として実
現してもよい。

【００１８】〔ＳＡＭモジュール８のソフトウェア構
成〕ＳＡＭモジュール８は、図４に示すようなソフトウ
ェア構成を有している。図４に示すように、ＳＡＭモジ
ュール８は、下層から上層に向けて、ハードウェアＨＷ
層、周辺ＨＷに対応したＲＴＯＳカーネルなどを含めた
ドライバ層（ＯＳ層）、論理的にまとまった単位の処理
を行う下位ハンドラ層、アプリケーション固有のライブ
ラリなどをまとめた上位ハンドラ層およびＡＰ層を順に
有している。ここで、ＡＰ層では、図１に示すクレジッ
トカード会社などのサービス事業者１５＿１，１５＿
２，１５＿３によるＩＣカード３を用いた手続きを規定
したアプリケーションプログラムＡＰ＿１，ＡＰ＿２，
ＡＰ＿３（本発明のアプリケーションプログラム）が、
外部メモリ７から読み出されて動作している。各アプリ
ケーションプログラムには、１つ以上のマクロスクリプ
トが設定可能である。ＡＰ層では、アプリケーションプ
ログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿３相互間、並びに
上位ハンドラ層との間にファイアウォールＦＷが設けら
れている。

【００１９】〔外部メモリ２０７〕図５は、外部メモリ
７の記憶領域を説明するための図である。図５に示すよ
うに、外部メモリ２０７の記憶領域には、サービス事業
者１５＿１のアプリケーションプログラムＡＰ＿１が記
憶されるＡＰ記憶領域２２０＿１、サービス事業者１５
＿２のアプリケーションプログラムＡＰ＿２が記憶され
るＡＰ記憶領域２２０＿２、サービス事業者１５＿３の
アプリケーションプログラムＡＰ＿３が記憶されるＡＰ
記憶領域２２０＿３、並びにＳＡＭモジュール２０８の
管理者が使用するＡＰ管理用記憶領域２２１がある。こ
こで、ＳＡＭユニット９ａの外部メモリ２０７に記憶さ
れるアプリケーションプログラムが本発明の第１のアプ
リケーションプログラムに対応し、ＳＡＭユニット９ｂ
の外部メモリ２０７に記憶されるアプリケーションプロ
グラムが本発明の第２のアプリケーションプログラムに
対応している。

【００２０】ＡＰ記憶領域２２０＿１に記憶されている
アプリケーションプログラムＡＰ＿１は、後述する複数
のアプリケーションエレメントデータＡＰＥ（本発明の
データモジュール）によって構成されている。ＡＰ記憶
領域２２０＿１へのアクセスは、ファイアウォールＦＷ
＿１によって制限されている。ＡＰ記憶領域２２０＿２
に記憶されているアプリケーションプログラムＡＰ＿２
は、複数のアプリケーションエレメントデータＡＰＥに
よって構成されている。ＡＰ記憶領域２２０＿２へのア
クセスは、ファイアウォールＦＷ＿２によって制限され
ている。ＡＰ記憶領域２２０＿３に記憶されているアプ
リケーションプログラムＡＰ＿３は、複数のアプリケー
ションエレメントデータＡＰＥによって構成されてい
る。ＡＰ記憶領域２２０＿３へのアクセスは、ファイア
ウォールＦＷ＿３によって制限されている。本実施形態
では、上記アプリケーションエレメントデータＡＰＥ
は、例えば、ＳＡＭユニット９ａの外部から外部メモリ
７にダウンロードされる最小単位である。各アプリケー
ションプログラムを構成するアプリケーションエレメン
トデータＡＰＥの数は、対応するサービス事業者が任意
に決定できる。

【００２１】また、外部メモリ７に記憶されたアプリケ
ーションプログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿３は、
スクランブルされており、ＳＡＭモジュール８に読み込
まれたときに、デスクランブルされる。また、アプリケ
ーションプログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿３は、
例えば、それぞれ図１に示すパーソナルコンピュータ１
６＿１，１６＿２，１６＿３を用いて、サービス事業者
１５＿１，１５＿２，１５＿３によって作成され、ＳＡ
Ｍモジュール８を介して外部メモリ７にダウンロードさ
れる。

【００２２】以下、アプリケーションプログラムＡＰ＿
１，ＡＰ＿２，ＡＰ＿３について詳細に説明する。アプ
リケーションプログラムは、サービス事業者毎に、ＳＡ
Ｍ内に単数または複数個存在する。

【００２３】先ず、図１に示すＳＡＭユニット９ａ（Ｓ
ＡＭ＿Ａ）の外部メモリ７に格納されたアプリケーショ
ンプログラムＡＰについて説明する。図６は、図１に示
すＳＡＭユニット９ａ（ＳＡＭ＿Ａ）の外部メモリ７に
格納されたアプリケーションプログラムＡＰを説明する
ための図である。図６に示すように、当該アプリケーシ
ョンプログラムＡＰは、当該アプリケーションプログラ
ムＡＰを識別するための識別データＡＰ＿ＩＤと、当該
アプリケーションプログラム（あるいはそのパッケー
ジ）のバージョン（世代情報）を示すデータＡＰＰ＿Ｖ
ＥＲと、当該アプリケーションプログラムに含まれるア
プリケーションエレメントデータＡＰＥの数を示すデー
タＡＰＥ＿ＮＵＭと、当該アプリケーションプログラム
を構成する単数または複数のアプリケーションエレメン
トデータＡＰＥの識別データＡＰＥ＿ＩＤと、タグデー
タＡＰＥ＿ＴＡＧと、利用許可データＰＴと、オプショ
ンデータＯＰＴと、アプリケーションエレメントデータ
ＡＰＥの実体ＡＰＥ＿ＰＬとを有する。なお、図６およ
び図７に示すタグデータＡＰＥ＿ＴＡＧ、利用許可デー
タＰＴおよびオプションデータＯＰＴが本発明の第１の
管理データに対応している。

【００２４】識別データＡＰ＿ＩＤは、サービス事業者
毎に異なるように決められている。また、タグデータＡ
ＰＥ＿ＴＡＧは、サービス事業者が設定可能なアプリケ
ーションエレメントデータＡＰＥの識別用タグであり、
アプリケーションプログラムＡＰ内で一意に特定可能に
決定される。また、図６において、アプリケーションプ
ログラムＡＰに格納された４つの識別データＡＰＥ＿Ｉ
Ｄのうち、斜線で示した３つのＡＰＥ＿ＩＤに対応する
アプリケーションエレメントデータＡＰＥの実体は、図
１に示すＳＡＭユニット９ｂ（ＳＡＭ＿Ｂ）からＳＡＭ
ユニット９ａ（ＳＡＭ＿Ａ）に後述するように転送され
る。すなわち、これら３つのアプリケーションエレメン
トデータＡＰＥの実体は、ＳＡＭユニット９ａの外部メ
モリ７には存在しない。

【００２５】図７（Ａ）は、図６に示す利用許可データ
ＰＴを説明するための図である。図７（Ａ）に示すよう
に、利用許可データＰＴは、相互認証鍵数、相互認証の
有無、ＳＡＭ＿Ａの相互認証鍵のインスタンス、ＳＡＭ
＿Ａの相互認証鍵のアプリケーションエレメントデータ
ＡＰＥ、ＳＡＭ＿Ｂの相互認証のインスタンス、ＳＡＭ
＿Ｂの相互認証鍵のアプリケーションエレメントデータ
ＡＰＥと、アクセス権限データＰＭＳＤとを有する。こ
こで、図７（Ａ）で斜線を付した相互認証の有無と、Ｓ
ＡＭ＿Ｂの相互認証のインスタンスと、ＳＡＭ＿Ｂの相
互認証鍵のアプリケーションエレメントデータＡＰＥと
は、ＳＡＭユニット９ｂに存在し、ＳＡＭユニット９ｂ
から転送して取得される。

【００２６】図７（Ｂ）は、図６に示すオプションデー
タＯＰＴを説明するための図である。図７（Ｂ）に示す
ように、オプションデータＯＰＴは、ＳＡＭ＿ＢのＳＡ
Ｍ＿ＩＤと、ＳＡＭ＿Ｂに格納されたアプリケーション
プログラムの識別データＡＰ＿ＩＤ（Ｂ）と、フラグデ
ータＰＣＦとを格納している。フラグデータＰＣＦは、
アプリケーションエレメントデータＡＰＥがＳＡＭユニ
ット９ａの外部および内部の何れに存在するかを示す第
１のフラグと、当該アプリケーションプログラムのアプ
リケーションエレメントデータＡＰＥを外部に公開する
か非公開にするかを示す第２のフラグと、外部に公開し
た場合にそれを一時的に利用させるかあるいは保存（永
久利用）させるかを示す第３のフラグとを有する。図７
（Ｂ）に示す例では、第１のフラグは外部を示し、第２
および第３のフラグは未設定になっている。

【００２７】また、利用許可データＰＴあるいはオプシ
ョンデータＯＰＴには、例えば、アプリケーションプロ
グラムＡＰ内の各設定データを設定可能な主体の正当性
を認証するためのデータが格納されており、ＳＡＭモジ
ュール８ａは、当該データに基づいて、当該設定データ
の設置を許可するか否かを判断する。また、本実施形態
では、各アプリケーションプログラムが使用するポート
が規定されており、当該アプリケーションプログラムに
規定されたポートを利用する、権限や用途などが管理デ
ータとして規定されている。ＳＡＭユニット９ａ，９ｂ
は、当該管理データに基づいて、各アプリケーションプ
ログラムに規定されたポートの利用形態を決定する。

【００２８】次に、図１に示すＳＡＭユニット９ｂ（Ｓ
ＡＭ＿Ｂ）の外部メモリ７に格納されたアプリケーショ
ンプログラムＡＰについて説明する。図８は、図１に示
すＳＡＭユニット９ｂ（ＳＡＭ＿Ｂ）の外部メモリ７に
格納されたアプリケーションプログラムＡＰを説明する
ための図である。図８に示すように、当該アプリケーシ
ョンプログラムＡＰは、当該アプリケーションプログラ
ムＡＰを識別するための識別データＡＰ＿ＩＤと、当該
アプリケーションプログラム（あるいはそのパッケー
ジ）のバージョン（世代情報）を示すデータＡＰＰ＿Ｖ
ＥＲと、当該アプリケーションプログラムに含まれるア
プリケーションエレメントデータＡＰＥの数を示すデー
タＡＰＥ＿ＮＵＭと、当該アプリケーションプログラム
を構成する単数または複数のアプリケーションエレメン
トデータＡＰＥの識別データＡＰＥ＿ＩＤと、タグデー
タＡＰＥ＿ＴＡＧと、利用許可データＰＴと、オプショ
ンデータＯＰＴと、アプリケーションエレメントデータ
ＡＰＥの実体ＡＰＥ＿ＰＬとを有する。なお、図８およ
び図９に示すタグデータＡＰＥ＿ＴＡＧ、利用許可デー
タＰＴおよびオプションデータＯＰＴが本発明の第２の
管理データに対応している。

【００２９】また、図８において、アプリケーションプ
ログラムＡＰに格納された４つの識別データＡＰＥ＿Ｉ
Ｄのうち、括弧で示した３つのＡＰＥ＿ＩＤに対応する
アプリケーションエレメントデータＡＰＥの実体は、図
１に示すＳＡＭユニット９ａ（ＳＡＭ＿Ａ）から利用さ
れる。これら３つのアプリケーションエレメントデータ
ＡＰＥの実体は、ＳＡＭユニット９ｂの外部メモリ７に
は存在する。

【００３０】図９（Ａ）は、図６に示す利用許可データ
ＰＴを説明するための図である。図９（Ａ）に示すよう
に、利用許可データＰＴは、相互認証鍵数、相互認証の
有無、ＳＡＭ＿Ｂの相互認証鍵のインスタンス、ＳＡＭ
＿Ｂの相互認証鍵のアプリケーションエレメントデータ
ＡＰＥ、ＳＡＭ＿Ａの相互認証のインスタンス、ＳＡＭ
＿Ａの相互認証鍵のアプリケーションエレメントデータ
ＡＰＥと、アクセス権限データＰＭＳＤとを有する。こ
こで、図９（Ａ）で斜線を付した相互認証の有無と、Ｓ
ＡＭ＿Ａの相互認証のインスタンスと、ＳＡＭ＿Ａの相
互認証鍵のアプリケーションエレメントデータＡＰＥと
は、ＳＡＭユニット９ａから転送して取得される。ま
た、アクセス権限データＰＭＳＤは、当該アプリケーシ
ョンプログラムＡＰに格納されたアプリケーションエレ
メントデータＡＰＥ毎に、当該ＡＰＥの外部からのアク
セス（利用）を許可する形態（読み出し、書き込み、あ
るいは実行）を指定している。当該指定は、予め指定
は、予め規定された権限を特定して行われてもよい。

【００３１】図９（Ｂ）は、図８に示すオプションデー
タＯＰＴを説明するための図である。図９（Ｂ）に示す
ように、オプションデータＯＰＴは、ＳＡＭ＿ＡのＳＡ
Ｍ＿ＩＤと、ＳＡＭ＿Ａに格納されたアプリケーション
プログラムの識別データＡＰ＿ＩＤ（Ａ）と、フラグデ
ータＰＣＦとを格納している。フラグデータＰＣＦは、
図９（Ｂ）の例では、第１のフラグは内部を示し、第２
のフラグは公開を示し、第３のフラグは一時利用を示し
ている。

【００３２】なお、アプリケーションエレメントデータ
ＡＰＥは、暗号化されたパッケージを各領域別に設定す
ることで、外部メモリ７に格納される。

【００３３】以下、アプリケーションエレメントデータ
ＡＰＥの種別（ＡＰＥ＿ＴＹＰＥ）について説明する。
図１０は、アプリケーションエレメントデータＡＰＥの
種別を説明するための図である。図１０に示すように、
アプリケーションエレメントデータＡＰＥの種別（ＡＰ
Ｅ＿ＴＹＰＥ）としては、ＡＰリソース鍵データＫ＿Ａ
ＰＲ、カードアクセス鍵データ（ＩＣエリア鍵データ、
ＩＣ縮退鍵データなど）、ファイルシステムコンフィグ
レーションデータ、ＳＡＭ相互認証用鍵データ、ＳＡＭ
間鍵パッケージ鍵データ、ＩＣカード操作用マクロコマ
ンドスクリプトプログラム、メモリ分割用鍵パッケー
ジ、メモリ分割用素鍵パッケージ、拡張発行用鍵パッケ
ージ、発行用鍵パッケージ、エリア登録鍵パッケージ、
エリア削除用鍵パッケージ、サービス登録用鍵データ、
サービス削除用鍵パッケージ、が、アプリケーションエ
レメントデータＡＰＥとして記憶されている。

【００３４】以下、図１０に示すアプリケーションエレ
メントデータＡＰＥの種別のうち一部を詳細に説明す
る。 ・ＡＰリソース鍵データＫ＿ＡＰＲ ＡＰリソース鍵データＫ＿ＡＰＲは、アプリケーション
エレメントデータＡＰＥを設定する際の暗号用鍵として
使用され、ＡＰ領域毎に、アプリケーションエレメント
データＡＰＥを設定するために異なる鍵データＫ＿ＡＰ
Ｒが割り当てられている。 ・カードアクセス鍵データ カードアクセス鍵データは、ＩＣカード３およびＩＣモ
ジュール４２のメモリ５０に対してのデータの読み書き
操作に用いられる鍵データである。カードアクセス鍵デ
ータには、例えば、ＩＣカードシステム鍵データ、ＩＣ
カードエリア鍵データ、ＩＣカードサービス鍵データお
よびＩＣカード縮退鍵データなどがある。ここで、ＩＣ
カード縮退鍵データは、ＩＣカードシステム鍵データ
と、メモリ５０の記憶領域管理用鍵データとを用いて暗
号化して生成され、相互認証に用いられる鍵データであ
る。また、ＩＣカード操作用マクロコマンドスクリプト
プログラムで参照される鍵データも、カードアクセス鍵
データと同じ種別のアプリケーションエレメントデータ
ＡＰＥに含まれる

【００３５】・ファイルシステムコンフィグレーション
データ ファイルシステムコンフィグレーションデータとして
は、例えば、ログデータ、ネガデータ、ジャーナルデー
タがある。ログデータは例えばアプリケーションエレメ
ントデータＡＰＥの利用履歴データであり、ネガデータ
は例えばＩＣカードの失効情報であり、ジャーナルデー
タは例えばＳＡＭでの実行履歴である。例えば、ファイ
ルシステムコンフィグレーションでは、ファイルアクセ
スの種別（レコードキー指定・ソート・リング）の選択
を行い、レコードキーの場合であれば、レコードサイ
ズ、レコード全体件数・レコード署名バージョン・レコ
ード署名メソッドタイプ、レコードデータサイズ、レコ
ード署名鍵を設定する。さらに、外部から本ファイルシ
ステムにデータを書き込む際に署名検証を実施するかの
有無の指定などを行う。ここでレコードとは、ファイル
データへの書き込み／読み出しの最小単位である。

【００３６】・ＳＡＭ相互認証用鍵データ 同一ＳＡＭ内にあるＡＰ間相互認証にも使用される。Ｓ
ＡＭ相互認証用鍵データとは、対応するアプリケーショ
ンエレメントデータＡＰＥを同一ＳＡＭ内の他のＡＰま
たは他のＳＡＭからアクセスする際に用いられる鍵デー
タである。 ・ＳＡＭ間鍵パッケージ鍵 ＳＡＭ間鍵パッケージ鍵とは、ＳＡＭ間での相互認証
後、カードアクセス鍵データなどのデータを交換する際
に用いられる暗号化用鍵データである。 ・ＩＣカード操作用マクロコマンドスクリプトプログラ
ム ＩＣカード操作用マクロコマンドスクリプトプログラム
は、サービス事業者自身によって生成され、ＩＣカード
３に係わる処理の順番やＡＳＰサーバ装置１９とのやり
取りを記述している。ＩＣカード操作用マクロコマンド
スクリプトプログラムは、ＳＡＭユニット９ａに設定さ
れた後に、ＳＡＭモジュール８内で解釈され、対応する
ＩＣカードエンティティデータが生成される。

【００３７】・メモリ分割用鍵パッケージ メモリ分割用鍵パッケージは、サービス事業者がＩＣカ
ード３を用いたサービスの運用開始前に、外部メモリ７
やＩＣカード３のメモリの記憶領域を分割するために使
用するデータである。 ・エリア登録鍵パッケージ エリア登録鍵パッケージは、サービス事業者がＩＣカー
ド３を用いたサービスの運用開始前に、ＩＣカード３の
メモリの記憶領域にエリア登録を行う場合に使用するデ
ータである。 ・エリア削除用鍵パッケージ（内部生成） エリア削除用鍵パッケージは、カードアクセス鍵データ
からＳＡＭ内部で自動生成が可能なパッケージである。

【００３８】・サービス登録用鍵（内部生成） サービス登録用鍵パッケージは、サービス事業者がＩＣ
カード３を用いたサービスの運用開始前に、外部メモリ
７のアプリケーションエレメントデータＡＰＥを登録す
るために用いられる。サービス登録用鍵パッケージは、
カードアクセス鍵データからＳＡＭ内部で自動生成が可
能なパッケージである。 ・サービス削除用鍵パッケージ（内部生成） サービス削除用鍵パッケージは、外部メモリ７に登録さ
れているアプリケーションエレメントデータＡＰＥを削
除するために用いられる。サービス削除用鍵パッケージ
は、カードアクセス鍵データからＳＡＭ内部で自動生成
が可能なパッケージである。

【００３９】また、図５に示す外部メモリ７内のＡＰ管
理用記憶領域２２１には、上述したアプリケーションプ
ログラムＡＰ＿１〜ＡＰ＿３を管理するためのＡＰ管理
用データが記憶されている。ＡＰ管理用記憶領域２２１
へのアクセスは、ファイアウォールＦＷ＿４によって制
限されている。

【００４０】〔ＳＡＭモジュール８〕ＳＡＭモジュール
８は、ＳＣＳＩまたはＥｔｈｅｒｎｅｔなどを介してＡ
ＳＰサーバ装置１９ａ，１９ｂに接続される。ＡＳＰサ
ーバ装置１９は、インターネット１０を介して、エンド
ユーザのパーソナルコンピュータ５、サービス事業者１
５＿１，１５＿２，１５＿３のパーソナルコンピュータ
１６＿１，１６＿２，１６＿３を含む複数の端末装置に
接続される。パーソナルコンピュータ５は、例えば、シ
リアルまたはＵＳＢを介してＤｕｍｂ型のカードリーダ
・ライタ４に接続されている。カードリーダ・ライタ４
が、ＩＣカード３（ＩＣモジュール４２）との間で物理
レベルに相当する例えば無線通信を実現する。ＩＣカー
ド３（ＩＣモジュール４２）への操作コマンドおよびＩ
Ｃカード３（ＩＣモジュール４２）からのリスポンスパ
ケットは、ＳＡＭユニット９ａ，９ｂ側で生成および解
読される。よって、その中間に介在するカードリーダ・
ライタ４、パーソナルコンピュータ５およびＡＳＰサー
バ装置１９は、コマンドやリスポンス内容をデータペイ
ロード部分に格納して中継する役割を果たすのみで、Ｉ
Ｃカード３内のデータの暗号化や復号および認証などの
実操作には関与しない。

【００４１】パーソナルコンピュータ１６＿１，１６＿
２，１６＿３は、後述するスクリプトプログラムをＳＡ
Ｍモジュール８にダウンロードすることで、それぞれア
プリケーションプログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿
３をカスタマイズできる。

【００４２】図１１は、図１に示すＳＡＭモジュール８
の機能ブロック図である。図１１に示すように、ＳＡＭ
モジュール８は、ＡＳＰＳ通信インタフェース部６０、
外部メモリ通信インタフェース部６１、バススクランブ
ル部６２、乱数発生部６３、暗号・復号部６４、メモリ
６５およびＣＰＵ６６を有する。ＳＡＭモジュール８
は、耐タンパ性のモジュールである。ＡＳＰＳ通信イン
タフェース部６０が本発明のインタフェースに対応し、
メモリ６５が本発明の記憶手段に対応し、ＣＰＵ６６が
本発明の処理手段に対応している。

【００４３】ＡＳＰＳ通信インタフェース部６０は、図
１に示すＡＳＰサーバ装置１９ａ，１９ｂとの間のデー
タ入出力に用いられるインタフェースである。外部メモ
リ通信インタフェース部６１は、外部メモリ７との間の
データ入出力に用いられるインタフェースである。バス
スクランブル部６２は、外部メモリ通信インタフェース
部６１を介してデータを入出力する際に、出力するデー
タをスクランブルし、入力したデータをデスクランブル
する。乱数発生部６３は、認証処理を行う際に用いられ
る乱数を発生する。暗号・復号部６４は、データの暗号
化、並びに暗号化されたデータの復号を行う。メモリ６
５は、後述するように、ＣＰＵ６６によって用いられる
タスク、プログラム、並びにデータを記憶する。ＣＰＵ
６６は、ＩＣカード手続管理タスク（ジョブ管理用デー
タ管理タスク）などのタスクを実行する。ＣＰＵ６６
は、ＳＡＭユニット９ａ，９ｂ内での操作コマンドに基
づいてＳＡＭユニット９ａ，９ｂ内で規定された処理を
行い、ＩＣカード３のＩＣモジュール３ａおよび携帯通
信装置４１のＩＣモジュール４２の操作コマンドとに基
づいて、ＩＣモジュール３ａおよびＩＣモジュール４２
の処理を制御する。ＳＡＭユニット９ａのＣＰＵ６６と
ＳＡＭユニット９ｂのＣＰＵ６６は、後述するように、
ＳＡＭユニット９ａ，９ｂ間でのデータ授受（通信）を
制御する。

【００４４】〔ＳＡＭ間通信〕以下、図１２に示すよう
に、ＳＡＭユニット９ａと９ｂとの間で、アプリケーシ
ョンエレメントデータＡＰＥの転送を行う場合の通信方
法について説明する。通信システム１では、前述したよ
うに、ＳＡＭユニット９ａとＳＡＭユニット９ｂとが連
携してＩＣカード３およびＩＣモジュール４２を用いた
サービスを提供する場合に、ＳＡＭユニット９ａと９ｂ
との間で、アプリケーションエレメントデータＡＰＥの
転送を行う。この場合に、ＳＡＭユニット９ａ，９ｂの
図１１に示すＡＳＰＳ通信インタフェース部６０を用い
て、ＳＡＭユニット９ａと、サーバ装置１９ａと、サー
バ装置１９ｂと、ＳＡＭユニット９ｂとの間で通信が行
われる。例えば、図１３に示すように、ＳＡＭユニット
９ｂの外部メモリ７に格納されあアプリケーションプロ
グラムＡＰ（Ｂ）内に縮退鍵データ（ＡＰＥ）の実体が
格納され、ＳＡＭユニット９ａの外部メモリ７に格納さ
れたアプリケーションプログラムＡＰ（Ａ）から、当該
縮退鍵データを参照する場合に、ＳＡＭユニット９ｂが
公開元となり、ＳＡＭユニット９ａが参照元となる。そ
して、ＳＡＭユニット９ｂからＳＡＭユニット９ａに、
当該縮退鍵データをのアプリケーションエレメントデー
タＡＰＥが転送される。当該転送は、ＳＡＭユニット９
ａおよび９ｂのアプリケーションプログラムＡＰ
（Ａ），（Ｂ）内にあるオプションデータＯＰＴ、フラ
グデータＰＣＦ、並びにアクセス権限データＰＭＳＤの
設定内容に基づいて、ＳＡＭユニット９ａから９ｂにＳ
ＡＭ間エレメント転送コマンドを送信し、それに応じ
て、ＳＡＭユニット９ｂから９ａにＳＡＭ間エレメント
転送レスポンスを送信して行われる。

【００４５】図１４は、ＳＡＭ間エレメント転送コマン
ドＳＡＭＡＰＥＴＣを説明するための図である。図１４
に示すように、ＳＡＭ間エレメント転送コマンドＳＡＭ
ＡＰＥＴＣは、自分（コマンドの転送元）のアプリケー
ションプログラムの識別データＡＰ＿ＩＤ、相手（コマ
ンドの転送先）のアプリケーションプログラムの識別デ
ータＡＰ＿ＩＤ、転送先（相手側）の相互認証鍵のイン
スタンス番号、転送を要求するアプリケーションエレメ
ントデータＡＰＥの数（エレメント属性数）、転送先と
の間で行う相互認証の管理ＩＤ（相互認証管理ＩＤ）、
並びにアプリケーションエレメントデータＡＰＥの属性
リスト（エレメント属性リスト）を有する。ここで、エ
レメント属性リストは、アプリケーションエレメントデ
ータＡＰＥの種別（ＡＰＥ＿ＴＹＰＥ）と、エレメント
属性とを有する。当該エレメント属性は、図１５に示す
ように、転送を要求するアプリケーションエレメントデ
ータＡＰＥの種別（ＡＰＥ＿ＴＹＥＰ）により、設定す
る項目が異なる。例えば、図１５に示すように、転送す
るアプリケーションエレメントデータＡＰＥがエリア・
サービス鍵データの場合には、システムコード、エリア
／サービスコード、エレメントバージョンをエレメント
属性として設定する。

【００４６】図１６は、ＳＡＭ間エレメント転送レスポ
ンスＳＡＭＡＰＥＴＲを説明するための図である。図１
６に示すように、ＳＡＭ間エレメント転送レスポンスＳ
ＡＭＡＰＥＴＲは、自分（レスポンスの転送元）のアプ
リケーションプログラムの識別データＡＰ＿ＩＤ、相手
（レスポンスの転送先）のアプリケーションプログラム
の識別データＡＰ＿ＩＤ、転送先（相手側）の相互認証
鍵のインスタンス番号、転送するアプリケーションエレ
メントデータＡＰＥの数（エレメント属性数）、レスポ
ンスの転送先との間で行う相互認証の管理ＩＤ（相互認
証管理ＩＤ）、フラグデータＰＣＦ、並びにエレメント
リストを有する。ここで、エレメントリストは、アプリ
ケーションエレメントデータＡＰＥの種別（ＡＰＥ＿Ｔ
ＹＰＥ）と、エレメント属性サイズと、エレメント属性
と、アプリケーションエレメントデータＡＰＥの実体と
をを有する。当該エレメント属性は、図１５に示すよう
に、返却するアプリケーションエレメントデータＡＰＥ
の種別（ＡＰＥ＿ＴＹＥＰ）により、設定する項目が異
なる。例えば、図１５に示すように、返却するアプリケ
ーションエレメントデータＡＰＥがエリア・サービス鍵
データの場合には、エリア鍵データとサービス鍵データ
とをエレメント属性として設定する。

【００４７】上述したＳＡＭ間エレメント転送コマンド
／レスポンスを用いた、ＳＡＭユニット９ａと９ｂとの
間の転送は、ＳＡＭユニット９ａと９ｂとの間で相互認
証を行った後に行われる。

【００４８】図１７は、ＳＡＭユニット９ａと９ｂとの
間の相互認証の手順を説明するための図である。 ステップＳＴ２０１：参照元のＳＡＭユニット９ａのＳ
ＡＭモジュール８のＣＰＵ６６が、ＳＡＭユニット９ｂ
のＳＡＭ＿ＩＤ、参照を行うアプリケーションプログラ
ムＡＰのＡＰ＿ＩＤ、使用するＡＰのポートＩＤ、ＳＡ
Ｍユニット９の相互認証鍵のアプリケーションエレメン
トデータＡＰＥのＡＰＥ＿ＩＤ、暗号方式、ＳＡＭユニ
ット９ａが生成した乱数値ＲＡとを、ＳＡＭユニット９
ｂの相互認証鍵データＡＫ＿Ｂを用いて暗号化して格納
した認証コマンドＡＵＴＨ＿Ｃ１を生成する。ＣＰＵ６
６は、認証コマンドＡＵＴＨ＿Ｃ１を、サーバ装置１９
ａ，１９ｂを介してＳＡＭユニット９ｂに送信する。

【００４９】ステップＳＴ２０２：ＡＰＥの提供側であ
るＳＡＭユニット９ｂのＳＡＭモジュール８のＣＰＵ６
６が、ステップＳＴ２０１で受信した認証コマンドＡＵ
ＴＨ＿Ｃ１を、相互認証鍵データＡＫ＿Ｂを用いて復号
し、当該復号によって得たデータと、ＳＡＭユニット９
ｂが生成した乱数値ＲＢとを、ＳＡＭユニット９ａの相
互認証鍵データＡＫ＿Ａを用いて暗号化して格納した認
証レスポンスＡＵＴＨ＿Ｒ１を生成する。ＣＰＵ６６
は、認証レスポンスＡＵＴＨ＿Ｒ１を、サーバ装置１９
ｂ，１９ａを介してＳＡＭユニット９ａに送信する。

【００５０】ステップＳＴ２０３：ＳＡＭユニット９ａ
のＳＡＭモジュール８のＣＰＵ６６が、ステップＳＴ２
０２で受信した認証レスポンスＡＵＴＨ＿Ｒ１を、相互
認証鍵データＡＫ＿Ａを用いて復号し、当該復号によっ
て得た乱数値ＲＡと、ステップＳＴ２０１で生成した乱
数値ＲＡとが一致しているか否かを判断し、一致してい
ると判断した場合に、乱数値ＲＢを相互認証鍵データＡ
Ｋ＿Ｂを用いて暗号化して格納した認証コマンドＡＵＴ
Ｈ＿Ｃ２を生成する。ＣＰＵ６６は、認証コマンドＡＵ
ＴＨ＿Ｃ２を、サーバ装置１９ａ，１９ｂを介してＳＡ
Ｍユニット９ｂに送信する。

【００５１】ステップＳＴ２０４：ＳＡＭユニット９ｂ
のＳＡＭモジュール８のＣＰＵ６６が、ステップＳＴ２
０３で受信した認証コマンドＡＵＴＨ＿Ｃ２を、相互認
証鍵データＡＫ＿Ｂを用いて復号し、当該復号によって
得た乱数値ＲＢと、ステップＳＴ２０２で生成した乱数
値ＲＢとが一致しているか否かを判断し、一致している
と判断した場合に、相互認証管理ＩＤを格納しあ認証レ
スポンスＡＵＴＨ＿Ｒ２を生成する。ＣＰＵ６６は、認
証レスポンスＡＵＴＨ＿Ｒ２を、サーバ装置１９ｂ，１
９ａを介してＳＡＭユニット９ａに送信する。これによ
り、ＳＡＭユニット９ａと９ｂとの間の相互認証が完了
する。

【００５２】なお、ＳＡＭユニット９ａと９ｂとの間で
既に相互認証が終了してセッションが確立されている場
合には、ステップＳＴ２０１の認証コマンドＡＵＴＨ＿
Ｃ１の送信に続いて、ステップＳＴ２０２，ＳＴ２０３
を省略して、ステップＳＴ２０４の認証レスポンスＡＵ
ＴＨ＿Ｒ２の送信を行ってもよい。すなわち、ＳＡＭユ
ニット９ａ，９ｂでは、相互認証鍵データを単位として
相互認証の管理を行い、既に確立したセッションであれ
ば、相互認証手続きを省略できる。ここで、要求された
処理について、対応する相互認証鍵データを用いた既に
セッションが確立されているか否かの判断は、要求先
（図１７の場合にはＳＡＭユニット９ｂ）において行わ
れる。

【００５３】以下、図１３を用いて前述したＳＡＭユニ
ット９ａと９ｂとの間の縮退鍵データの転送の動作例を
説明する。図１８は、当該動作例を説明するための図で
ある。 ステップＳＴ２２１：サーバ装置１９ｂが、ＳＡＭユニ
ット９ｂに、縮退鍵データが既に設定（更新）されてい
るか否かを確認する。 ステップＳＴ２２２：サーバ装置１９ｂが、サーバ装置
１９ａに、縮退鍵データがＳＡＭユニット９ｂに既に設
定されていることを通知する。すなわち、転送対象とな
るアプリケーションエレメントデータＡＰＥが、既にＳ
ＡＭユニット９ｂに準備できていることを参照元に通知
する。 ステップＳＴ２２３：サーバ装置１９ａが、ＳＡＭユニ
ット９ａのＣＰＵ６６の内部状態（モード）を、ＳＡＭ
間連携が可能なモードに変更する。 ステップＳＴ２２４：サーバ装置１９ａが、ＳＡＭユニ
ット９ａに、ＩＣカード３（ＩＣモジュール４２）を用
いた処理を依頼する。 ステップＳＴ２２５：ＳＡＭユニット９ａのＣＰＵ６６
は、当該依頼に基づいて処理を行い、その処理中に, Ｓ
ＡＭユニット９ｂに存在するアプリケーションエレメン
トデータＡＰＥである縮退鍵データが必要となり、か
つ、当該縮退鍵がＳＡＭユニット９ａに存在していない
場合に、ＳＡＭユニット９ｂとの間で図１７を用いて説
明した相互認証を行い、セッションを確立する。

【００５４】ステップＳＴ２２６：ＳＡＭユニット９ａ
のＣＰＵ６６は、ＳＡＭユニット９ｂに縮退鍵データの
転送要求（図１４に示すＳＡＭＡＰＥＴＣ）を送信す
る。 ステップＳＴ２２７：ＳＡＭユニット９ｂのＣＰＵ６６
は、当該転送要求に応じて、指定された縮退鍵データの
アプリケーションエレメントデータＡＰＥを格納した図
１６に示すＳＡＭ間エレメント転送レスポンス（ＳＡＭ
ＡＰＥＴＲ）を生成し、これをＳＡＭユニット９ａに送
信する。 ステップＳＴ２２８：ＳＡＭユニット９ａのＣＰＵ６６
は、ステップＳＴ２２５で確立したセッションを遮断
し、受信したＳＡＭ間エレメント転送レスポンスに格納
された縮退鍵データを用いてＩＣカード３（ＩＣモジュ
ール４２）に係わる処理を行う。

【００５５】次に、図１０に示すメモリ分割用鍵パッケ
ージの生成および分割操作を、ＳＡＭユニット９ａと９
ｂとの間の通信で実現する例を説明する 本例では、例えば、ＩＣカード３およびＩＣモジュール
４２のメモリの記憶領域の貸し出しなどの運用を行うメ
モリ運用者がＳＡＭユニット９ｂを使用し、メモリ領域
提供者がＳＡＭユニット９ａを使用する。ここで、メモ
リ分割用パッケージはメモリ分割用素パッケージを素に
して生成される。メモリ分割用素パッケージは運用者側
のＳＡＭユニット９ａで生成され、メモリ分割用パッケ
ージはメモリ領域提供者側のＳＡＭユニット９ｂで生成
される。従って、ＳＡＭユニット９ｂが、メモリ分割用
パッケージを生成する場合に、ＳＡＭ間通信により，Ｓ
ＡＭユニット９ａからメモリ分割用素パッケージを取得
する必要がある。図１９は、メモリ分割用パッケージの
生成および転送処理を説明するための図である。 ステップＳＴ２４１：メモリ運用者のサーバ装置１９ａ
が、ＳＡＭユニット９ａに、メモリ分割用素パッケージ
の生成コマンドを発行する。ＳＡＭユニット９ａは、当
該コマンドに応じて、メモリ分割用素パッケージを生成
する。 ステップＳＴ２４２：サーバ装置１９ａが、サーバ装置
１９ｂに、メモリ分割用素パッケージがＳＡＭユニット
９ａにおいて生成されたことを通知する。 ステップＳＴ２４３：サーバ装置１９ｂが、ＳＡＭユニ
ット９ｂに、メモリ分割用パケットデータの生成コマン
ドを発行する。

【００５６】ステップＳＴ２４４：ＳＡＭユニット９ｂ
と９ａとの間で、図１７を用いて説明した相互認証処理
を行った後に、ＳＡＭユニット９ｂが、メモリ分割素パ
ケットデータを指定した図１４に示すフォーマットのＳ
ＡＭ間エレメント転送コマンドをＳＡＭユニット９ａに
送信する。 ステップＳＴ２４５：ＳＡＭユニット９ａが、ＳＡＭ間
エレメント転送コマンドに応じて、ステップＳＴ２４１
で生成したメモリ分割用素パッケージを格納した図１６
に示すＳＡＭ間エレメント転送レスポンスをＳＡＭユニ
ット９ｂに送信する。ＳＡＭユニット９ｂが、受信した
メモリ分割用素パッケージを用いて、メモリ分割用パッ
ケージを生成する。 ステップＳＴ２４６：ＳＡＭユニット９ｂが、メモリ分
割用パッケージが生成されたことをサーバ装置１９ｂに
通知する。 ステップＳＴ２４７：サーバ装置１９ｂが、メモリ分割
用パッケージが生成されたことをサーバ装置１９ａに通
知。

【００５７】ステップＳＴ２４８：サーバ装置１９ａ
が、ＩＣカード３およびＩＣモジュール４２のメモリを
分割することを指示するメモリ分割コマンドをサーバ装
置１９ａに発行する。 ステップＳＴ２４９：ＳＡＭユニット９ｂと９ａとの間
で、図１７を用いて説明した相互認証処理を行った後
に、ＳＡＭユニット９ａが、メモリ分割パケットデータ
を指定した図１４に示すフォーマットのＳＡＭ間エレメ
ント転送コマンドをＳＡＭユニット９ｂに送信する。 ステップＳＴ２５０：ＳＡＭユニット９ｂが、ＳＡＭ間
エレメント転送コマンドに応じて、ステップＳＴ２４５
で生成したメモリ分割用パッケージを格納した図１６に
示すＳＡＭ間エレメント転送レスポンスをＳＡＭユニッ
ト９ａに送信する。 ステップＳＴ２５１：ＳＡＭユニット９ｂが、受信した
メモリ分割用パッケージを用いて、例えば、サーバ装置
１９ｂおよびインターネット１０を介して、携帯通信装
置４１に格納されたＩＣモジュール４２にアクセスを行
い、ＩＣモジュール４２のメモリの記憶領域を分割して
所定のサービス事業者に使用させる。

【００５８】なお、上述したＳＡＭユニット９ａと９ｂ
との間の通信は、アプリケーションエレメントデータＡ
ＰＥを転送する通信路を複数同時に設定して行ってもよ
い。

【００５９】以下、上述したメモリ分割用パッケージ
（ＡＰＥ）に対しての図８に示すタグデータＡＰＥ＿Ｔ
ＡＧの設定方法について説明する。ＩＣカード３および
ＩＣモジュール４２のメモリ内の記憶領域を多分割する
場合には、タグデータＡＰＥ＿ＴＡＧとして、分割した
メモリ領域の利用が想定される名前を設定する。具体的
には、図２０に示すように、ＩＣカード３のＩＣモジュ
ール３ａあるいはＩＣモジュール４２のメモリ５０の記
憶領域（プライベート）内を、サービス事業者Ｂが使用
する領域（Ｐｒｉｖａｔｅ Ｂ）と、他のサービス事業
者Ａが使用する領域（Ｐｕｂｌｉｃ Ａ）に分割した後
に、領域（Ｐｒｉｖａｔｅ Ｂ）を、サービス事業者Ｂ
１が使用する領域（Ｐｒｉｖａｔｅ Ｂ１）と、サービ
ス事業者Ｂ２が使用する領域（Ｐｒｉｖａｔｅ Ｂ２）
とに分割して使用する場合がある。この場合に、Ｐｕｂ
ｌｉｃ領域であればタグ名を“Ｐｕｂｌｉｃ”を使用
し、Ｐｒｉｖａｔｅ領域であれば、“ＰｒｉｖａｔｅＢ
１”、“ＰｒｉｖａｔｅＢ２”にする。この場合に、Ｓ
ＡＭユニット９ａ，９ｂを管理する運用者側で、上述し
たタグデータＡＰＥ＿ＴＡＧと、メモリ分割用パッケー
ジの内容についての合意がとれれば、タグデータＡＰＥ
＿ＴＡＧを指定したメモリ分割操作が実現可能である。

【００６０】多分割を想定したメモリ分割用パッケージ
のタグデータＡＰＥ＿ＴＡＧの命名規則として、発行用
パッケージまたはメモリ分割用パッケージまたはその他
のパッケージの種別、メモリ分割エリア名、エリアコー
ドまたはサービスコードを連結した文字列を使用する。
図２０に示す場合でのパッケージのエレメントタグ命令
例を下記に列挙する。メモリ分割領域Ｂ２のメモリ分割
用パッケージのタグデータＡＰＥ＿ＴＡＧとして "Ｄ：
\\ＰｒｉｖａｔｅＢ２" を使用し、メモリ分割領域Ｂ1
の発行用パッケージのタグデータＡＰＥ＿ＴＡＧとして
"Ｉ:\\ ＰｒｉｖａｔｅＢ１“を使用し、Ｐｕｂｌｉｃ
領域のサービス「１００Ｃ」のタグデータＡＰＥ＿ＴＡ
Ｇとして“Ｓ：\\Ｐｕｂｌｉｃ￥１００Ｃ”を使用す
る。

【００６１】以下、図１に示す通信システム１の全体動
作について説明する。図２１および図２２は、図１に示
す通信システム１の全体動作を説明するための図であ
る。

【００６２】ステップＳＴ２１：サービス事業者１５＿
１〜１５＿３あるいはこれらサービス事業者の依頼を受
けた者が、当該サービス事業者がＩＣカード３を用いて
行う取り引きについての処理を記述したスクリプトプロ
グラムを、例えば、図１に示すパーソナルコンピュータ
１６＿１，１６＿２，１６＿３上で作成する。また、Ｓ
ＡＭモジュール８の管理者が、サービス事業者１５＿１
〜１５＿３のそれぞれに対応するＡＰ管理用テータを作
成する。

【００６３】ステップＳＴ２２：ＡＰ管理用データが外
部メモリ７に記憶される。また、ステップＳＴ２１で作
成されたスクリプトプログラムが、パーソナルコンピュ
ータ１６＿１，１６＿２，１６＿３から、インターネッ
ト１０、ＡＳＰサーバ装置１９ａ，１９ｂおよびＳＡＭ
モジュール８を介して、ＳＡＭユニット９ａ，９ｂの外
部メモリ７にダウンロードされる。当該ダウンロードの
処理は、図１３に示すように、ＳＡＭモジュール８内の
スクリプトダウンロードタスクによって管理される。

【００６４】ステップＳＴ２３：ＳＡＭモジュール８内
のスクリプト解釈タスクによって、各サービス事業者毎
に、ＡＰ管理用テータおよびスクリプトプログラムを用
いて、ＩＣカードエンティティテンプレートデータ、入
力用データブロック、出力用データブロック、ログ用デ
ータブロックおよび演算定義用データブロックが生成さ
れる。これら生成されたデータは、図１１に示すＳＡＭ
モジュール８のメモリ６５に格納される。

【００６５】ステップＳＴ２４：ユーザにＩＣカード３
（ＩＣモジュール４２）が発行される。図３に示すＩＣ
モジュール３ａおよびＩＣモジュール４２のメモリ５０
には、ユーザが契約を行ったサービス事業者との取り引
きに用いられる鍵データが記憶されている。なお、ユー
ザとサービス事業者との間の契約は、ＩＣカード３の発
行後に、インターネット１０などを介して行ってもよ
い。

【００６６】ステップＳＴ２５：例えば、ユーザがパー
ソナルコンピュータ５を用いてインターネット１０を介
してサーバ装置２にアクセスを行い、商品を購入しよう
とした場合に、サーバ装置２がインターネット１０を介
してＡＳＰサーバ装置１９ａ，１９ｂに処理要求を出
す。ＡＳＰサーバ装置１９ａ，１９ｂは、サーバ装置２
から処理要求を受けると、インターネット１０を介して
パーソナルコンピュータ５にアクセスを行う。そして、
カードリーダ・ライタ４が出したＩＣカード３について
の処理要求が、パーソナルコンピュータ５、インターネ
ット１０およびＡＳＰサーバ装置１９ａ，１９ｂを介し
てＳＡＭユニット９ａ，９ｂのＳＡＭモジュール８に送
信される。

【００６７】ステップＳＴ２６：ＡＳＰサーバ装置１９
ａ，１９ｂからＳＡＭモジュール８にエンティティ作成
要求が出される。当該エンティティ作成要求には、ＩＣ
カード３の発行元を示すデータが格納されている。

【００６８】ステップＳＴ２７：ＳＡＭモジュール８
は、エンティティ作成要求を受けると、ＩＣカード３と
の間でポーリングを行う。

【００６９】ステップＳＴ２８：ＳＡＭモジュール８の
エンティティ生成タスク７１は、ポーリング終了後に、
ＳＡＭモジュール８内に存在するＩＣカードエンティテ
ィデータの数が、スクリプトプログラムのＳＣコマンド
によって規定された最大数以内であるか否かを判断し、
最大数以内であればステップＳＴ２９の処理に進み、そ
うでない場合には処理を終了する。

【００７０】ステップＳＴ２９：エンティティ生成タス
クが、例えば、エンティティ作成要求に格納されたＩＣ
カード３の発行元を示すデータに基づいて、何れのサー
ビス事業者のＩＣカードエンティティテンプレートデー
タを用いるかを特定し、当該特定したＩＣカードエンテ
ィティプレートデータ用いて、ＩＣカードエンティティ
データを生成する。

【００７１】ステップＳＴ３０：ＳＡＭモジュール８か
らＡＳＰサーバ装置１９ａ，１９ｂに、ステップＳＴ２
９で生成したＩＣカードエンティティデータのエンティ
ティＩＤが出力される。

【００７２】ステップＳＴ３１：ＳＡＭモジュール８の
ＩＣカード手続管理用タスクによって、ＩＣカード３で
利用可能なサービスが調べられる。

【００７３】ステップＳＴ３２：ＳＡＭモジュール８の
ＩＣカード手続管理用タスクがＩＣカード３の正当性を
認証する。

【００７４】ステップＳＴ３３：ＩＣカード３がＳＡＭ
モジュール８の正当性を認証する。ステップＳＴ３２，
ＳＴ３３によって、ＩＣカード３とＳＡＭモジュール８
との間の相互認証が行われる。このとき、前述したよう
に、ＳＡＭモジュール８で実行されているアプリケーシ
ョンエレメントデータＡＰＥに応じて、ＡＰ管理用デー
タが参照されて、カードアクセス鍵が取得され、当該鍵
を用いてＳＡＭモジュール８とＩＣカード３のＣＰＵ５
１との間で相互認証が行われる。

【００７５】ステップＳＴ３４：ＳＡＭモジュール８の
ＩＣカード手続管理用タスクが、ＩＣカード３との間
で、手続きに必要なデータの読み書きを行う。また、Ｉ
Ｃカード手続管理用タスク７２は、ＩＣカードエンティ
ティデータに基づいて特定した演算式を用いて、ＩＣカ
ード３から読み出したデータを用いて所定の演算処理を
行う。

【００７６】ステップＳＴ３５：ＳＡＭモジュール８の
ＩＣカード手続管理用タスクが、ステップＳＴ３４の処
理結果をＡＳＰサーバ装置１９ａ，１９ｂに出力する。

【００７７】ステップＳＴ３６：例えば、ＳＡＭモジュ
ール８のＩＣカード手続管理用タスクが、ＩＣカードエ
ンティティデータを消去する。

【００７８】以上説明したように、通信システム１およ
びＳＡＭユニット９ａ，９ｂによれば、ＳＡＭ間通信に
より、カード用アクセス鍵や鍵発行パッケージ等のアプ
リケーションエレメントデータＡＰＥを秘匿した状態で
授受可能となる。また、ＳＡＭ間通信を行うための設定
として、アプリケーションエレメントデータＡＰＥの他
のＳＡＭへの公開範囲を規定できるため、公開側ＳＡＭ
側でアプリケーションエレメントデータＡＰＥの他から
のアクセス範囲を規定できる。また、通信システム１お
よびＳＡＭユニット９ａ，９ｂによれば、ＳＡＭ間通信
を行うための設定として、アプリケーションエレメント
データＡＰＥへのアクセス属性が規定できるため、公開
側ＳＡＭ側で当該アプリケーションエレメントデータＡ
ＰＥへの書込み権、読込み権、実行権を個別に設定する
ことが可能である。

【００７９】また、通信システム１およびＳＡＭユニッ
ト９ａ，９ｂによれば、ＳＡＭ間通信を行うための設定
として、アプリケーションエレメントデータＡＰＥの公
開範囲およびアクセス属性を設定できる権限を規定でき
るため、当該設定が不正に行われることを防止できる。
また、通信システム１およびＳＡＭユニット９ａ，９ｂ
によれば、ＳＡＭ間通信を行うための設定として、アプ
リケーションエレメントデータＡＰＥの公開範囲を相互
認証鍵データ単位に設定するため、アプリケーションエ
レメントデータＡＰＥを公開することに伴う相互認証処
理の負担を軽減できる。

【００８０】また、通信システム１およびＳＡＭユニッ
ト９ａ，９ｂによれば、ＳＡＭ間の相互認証において、
同一の相互認証鍵かつ相互認証範囲である場合には、相
互認証の処理を一部省略可能するため、相互認証に伴う
通信コストの低減とＳＡＭ内の処理を軽減することが可
能となる。また、通信システム１およびＳＡＭユニット
９ａ，９ｂによれば、ＳＡＭ間通信における、転送用の
アプリケーションエレメントデータＡＰＥの指定にタグ
データＡＰＥ＿ＴＡＧを使用することで、サービス事業
者やメモリ運用者による多様なメモリ管理が可能とな
る。また、通信システム１およびＳＡＭユニット９ａ，
９ｂによれば、ＳＡＭ間通信において、転送用のアプリ
ケーションエレメントデータＡＰＥの種別とその内容を
拡張して、カード処理に関わるログ等を転送することに
より、相手先のＳＡＭに処理の開始・終了などを通知す
ることが可能となる。

【００８１】また、通信システム１およびＳＡＭユニッ
ト９ａによれば、アプリケーションプログラムＡＰを複
数のアプリケーションエレメントデータＡＰＥを用いて
構成し、ＡＰ管理用テーブルデータおよびＡＰＰテーブ
ルデータを用いて、各アプリケーションエレメントデー
タＡＰＥの処理内容を規定することで、ＩＣカード３を
用いた多様なサービスを提供できる。また、通信システ
ム１によれば、ＡＰ管理用テーブルデータおよびＡＰＰ
テーブルデータを用いて、同一ＳＡＭ内でのアプリケー
ションエレメントデータＡＰＥの利用、並びに異なるＳ
ＡＭ間でのアプリケーションエレメントデータＡＰＥの
利用を高いセキュリティを保ちながら柔軟に実現でき
る。また、通信システム１によれば、異なるＳＡＭ間で
アプリケーションエレメントデータＡＰＥを利用する場
合に、ＳＡＭ間で相互認証を行うため、アプリケーショ
ンプログラムのセキュリティを高めることができる。

【００８２】〔その他の実施形態〕図２３は、本発明の
その他の実施形態を説明するための図である。図２３に
示すように、ＩＣカード（ＩＣモジュール）５１０内に
は、ＩＣモジュール３ａあるいはＩＣモジュール４２を
用いて所定のサービスを提供するサービス事業者Ａが取
り扱うデータＡ、サービス事業者Ｂが取り扱うデータＢ
の２つのデータ領域が存在する。それぞれに、リーダ・
ライタ５１１によってＩＣカード５１０内をアクセスす
る際に必要となる鍵データＡ、鍵データＢが設定され
る。リーダ・ライタ５１１（Ａ）は、サービス事業者Ａ
が所持するもので、リーダ・ライタ５１３（Ｂ）は、サ
ービス事業者Ｂが所持するものである。サービス事業者
Ａが所持するリーダ・ライタ５１１には、ＩＣカード５
１０内のデータＡのアクセスを可能とするサービス事業
者Ａが生成した鍵Ａが保持され、サービス事業者Ｂが所
持するリーダ・ライタＢには、ＩＣカード内のデータＢ
のアクセスを可能とするサービス事業者Ｂが生成した鍵
データＢが保持される。鍵データの設定は、制御部５１
２を利用して事前に行うものとする。制御部５１２から
鍵データ設定を意味する指令を発すると、リーダ・ライ
タ５１１はその鍵データを保持する。

【００８３】図２３では、制御部５１２は一つしかな
く、リーダ・ライタ５１１に接続されているが、リーダ
・ライタ５１３も事前にサービス事業者Ｂが制御部５１
２により鍵データを設定しているものとする。これによ
って、サービス事業者Ａが生成した鍵データＡはサービ
ス事業者Ｂには知られず、逆に、サービス事業者Ｂが生
成した鍵データＢはサービス事業者Ａには知られない。
制御部５１２は、制御通信経路を介してリーダ・ライタ
５１１に接続されており、制御部５１２からリーダ・ラ
イタ５１１に対して、ＩＣカード５１０内のデータをア
クセスするための指令を送信する。当該指令は、ＩＣカ
ード５１０内のメモリの指定領域の読み出しや、指定領
域への指定データの書き込み等からなる。読み出しの場
合、読み出したデータを、通信経路を介して制御へ返送
する。書き込みの場合、成否を、通信経路を介して制御
部５１２へ返送する。

【００８４】例えば、データＡ及びデータＢを格納した
ＩＣカード５１０がリーダ・ライタ５１１とＩＣカード
通信経路を介して接続されたとする。尚、ＩＣカード通
信経路は、有線、無線、光等、何らかの情報交換が出来
る手段であれば何を使用してもよい。ここで、制御部が
リーダ・ライタ５１１へ、制御通信経路を介して、ＩＣ
カード５１０内のデータＡを読み出して、データＡをデ
ータＢに書き込む指令を発したとする。このとき、リー
ダ・ライタ５１１は上述したように、ＩＣカード５１０
内のデータＡ及びデータＢの両方をアクセスする必要が
生じる。リーダ・ライタ５１１は、データＡをアクセス
可能な鍵データＡしか保持していないので、連携部Ａに
データＢのアクセスが可能な鍵データＢの取得要求を発
する。連携部Ａは、リーダ・ライタ通信経路を介してリ
ーダ・ライタ５１３内の連携部Ｂと接続し、上記取得要
求を連携部Ｂへ伝達する。尚、リーダ・ライタ通信経路
は、上述のＩＣカード通信経路同様、有線、無線、光
等、何らかの情報交換が出来る手段であれば何を使用し
てもよい。リーダ・ライタ通信経路を流れる情報は、連
携部Ａ及び連携部Ｂが保持する鍵データＣによって暗号
化され、どのような情報が行き交っているか分からない
ようになっている。取得要求を受信したリーダ・ライタ
Ｂ内の連携部Ｂは、ＩＣカード５１０内のデータＢのア
クセスが可能となる鍵データＢを、鍵データＣによって
暗号化されたリーダ・ライタ通信経路を介してリーダ・
ライタ５１１内の連携部Ａへ返送する。以上の動作によ
って、リーダ・ライタ５１１は、ＩＣカード５１０内の
データＡをアクセスするために必要な鍵データＡ及びデ
ータＢをアクセスするために必要な鍵データＢの双方を
入手することができる。これにより、ＩＣカード５１０
内のデータＡを読み出し、データＡをデータＢの領域へ
書き込むことが可能となる。

【００８５】リーダ・ライタ５１１および５１３は、様
々な鍵データ情報を保持するため、容易に解析が行えな
い構成になっている。図２４にリーダ・ライタ５１１，
５１３の構成の一例を示す。ＣＰＵ５３２は全体の制御
を司る演算制御部である。メモリ部５３３は、ＣＰＵ５
３２の演算制御手順が記録されているプログラム部５４
１と、ＣＰＵ５３２による演算制御結果等を保持するデ
ータ部５４２に分かれる。暗号部５３４は、ＣＰＵ５３
２から与えられた鍵データを利用して、ＣＰＵ５３２か
ら与えられたデータの暗号化または複号化を行う。ＣＰ
Ｕ５３２、メモリ部５３３および暗号部５３４は、内部
バス５３１を介して接続されており、秘匿が必要な情報
を多く取り扱うことから、同一チップ５２０上に搭載さ
れ、外部からその動作が解析出来ないようになってい
る。制御ＩＦ５２３は、図２３に示す制御部５１２と通
信を行うインターフェイスであり、ＣＰＵ５３２から与
えられたデータを制御部５１２へ送信するとともに、制
御部５１２から受信したデータがＣＰＵ５３２に取り込
む。カードＩＦ５２１は、ＩＣカード５１０と通信を行
うインターフェイスであり、ＣＰＵ５３２から与えられ
たデータをＩＣカード５１０へ送信するとともに、ＩＣ
カード５１０から受信したデータがＣＰＵ５３２に取り
込まれる。連携ＩＦ５２２は、他のリーダ・ライタと通
信を行うインターフェイスであり、ＣＰＵ５３２から与
えられたデータを他のリーダ・ライタへ送信するととも
に、他のリーダ・ライタから受信したデータをＣＰＵ５
３２に取り込む。

【００８６】図２３のリーダ・ライタ５１１および５１
３には鍵データＣのみが事前に設定されており、そのリ
ーダ・ライタを所有するサービス事業者も知り得ない。
一方、サービス事業者Ａは、利用前に、ＩＣカード５１
０内のデータＡをアクセス可能な鍵データＡを生成し、
メモリ部５３３内のプログラム部５４１に格納された手
順により、ＣＰＵ５３２が制御ＩＦ５２３から鍵データ
データを読み取り、メモリ部５３３内の特定の領域に保
持するように成されている。また、現在リーダ・ライタ
が保持している鍵データがＩＣカード５１０内のどのデ
ータをアクセス可能か管理するための情報管理領域がメ
モリ部５３３内のデータ部５４２に存在する。当該情報
管理領域は、図２５に示すテーブルにより、自身が所持
する鍵データを知ることが出来る。図２５に示す鍵デー
タである８桁の１６進数１２３４５６７８は一例を示し
たものである。

【００８７】データＡ及びデータＢが格納されたＩＣカ
ード５１０がカードＩＦ５２１を介して接続状態とな
り、制御部５１２から制御ＩＦ５２３を介して、データ
Ａの領域をデータＢへ書き込むように指令が送られる
と、リーダ・ライタ５１１は情報管理領域を調べる。メ
モリ部５３３のデータ部５４２内にはデータＡをアクセ
ス可能な鍵データＡしかないため、連携ＩＦ５２２を介
して、リーダ・ライタ５１３へ鍵データＢの取得を要求
する。要求を受けたリーダ・ライタ５１３の情報管理領
域は、図２６に示すテーブルを保持し、鍵データである
例えば８桁の１６進数５６７８９ＡＢＣを格納してい
る。

【００８８】要求を受け取ったリーダ・ライタ５１３
は、情報管理領域を調べると、データＢのアクセスに必
要な鍵データを保持していることがわかるので、そのた
めの鍵データをリーダ・ライタ５１１に連携ＩＦ５２２
を介して返送する。尚、連携ＩＦ５２２は、事前に設定
された鍵データＣによって暗号化されており、リーダ・
ライタ５１３からリーダ・ライタ５１１へ返送された鍵
データＢが漏洩することはない。

【００８９】他のリーダ・ライタから取得した後のリー
ダ・ライタ内での鍵データの寿命は、以下のように取り
扱うことが可能である。 （１）制御部５１２から明示的に消去指令がない限り永
続的に保持する （２）時限付きで、一定時間経過するまで保持し続ける （３）必要な都度逐次該当するリーダ・ライタから取得
する 上述した例では、ＩＣカード５１０内のデータをアクセ
スするために必要な鍵データが他のリーダ・ライタで保
持されている場合に、他のリーダ・ライタから取得する
場合を例として挙げたが、取り扱う情報は、鍵データで
ある必要はなく、様々な種類の情報に適用可能である。
図２７は、鍵データ以外のデータも取り扱うことを考慮
した場合の情報管理領域の例である。図２７において、
ＩＣカードアクセス用鍵データが２つ保持されており、
アクセス可能な領域がデータＡ、データＢであることを
示している。属性欄は、そのオリジナル情報がどこに存
在するかを示している。自身とある場合には、自身の装
置内に存在することを示す。データＢのＩＣカード・ア
クセス用鍵データに関しては、リーダ・ライタＢから取
得したことが分かる。自身以外から取得した情報は、上
述したように、設定された寿命の取り扱いに従い、情報
管理領域が変化する。これまでは、リーダ・ライタ２台
の場合の例を想定したが、３台以上であっても構わな
い。また、リーダ・ライタ間の通信も、より広域なネッ
トワーク環境で利用することも可能である。図２８は、
以上を適用した場合の構成例を示した図である。これま
で連携部は１対１のリーダ・ライタ間接続されていた
が、図２８においては、インターネット網等の公衆ネッ
トワーク網に接続されている。ここで、リーダ・ライタ
６１１とリーダ・ライタＢが連携して通信する場合に必
要となる鍵データを鍵データＡＢ、リーダ・ライタ６１
１とリーダ・ライタ６１４が連携して通信する場合に必
要となる鍵データを鍵データＡＣとして、それぞれ異な
るようにすると、互いの通信間を傍受することが出来な
いだけなく、例えば、リーダ・ライタ６１３がリーダ・
ライタＣから無断で情報を取得するような許可されてい
ないアクセスを防止することが出来る。

【００９０】

【発明の効果】以上説明したように、本発明によれば、
複数のデータ処理装置（ＳＡＭ）間で連携したサービス
を迅速に提供することを可能にする通信方法、データ処
理装置およびプログラムを提供することができる。ま
た、本発明によれば、異なるサービス事業者のサービス
提供に係わるデータやプログラムを格納したデータ処理
装置相互間で、相手方に秘匿したいデータと、公開する
データとを適切に管理できる通信方法、データ処理装置
およびそのプログラムを提供することができる。

【図面の簡単な説明】

【図１】図１は、本実施形態の通信システムの全体構成
図である。

【図２】図２は、図１に示すＩＣカードの機能ブロック
図である。

【図３】図３は、図２に示すメモリを説明するための図
である。

【図４】図４は、図１に示すＳＡＭモジュールのソフト
ウェア構造を説明するための図である。

【図５】図５は、図１に示す外部メモリの記憶領域を説
明するための図である。

【図６】図６は、参照元の図５に示すアプリケーション
プログラムを説明するための図である。

【図７】図７は、図６に示すデータＰＴ，ＯＰＴの詳細
を説明するための図である。

【図８】図８は、公開元の図５に示すアプリケーション
プログラムを説明するための図である。

【図９】図９は、図８に示すデータＰＴ，ＯＰＴの詳細
を説明するための図である。

【図１０】図１０は、アプリケーションエレメントデー
タＡＰＥの種別を説明するための図である。

【図１１】図１１は、図１に示すＳＡＭモジュールの機
能ブロック図である。

【図１２】図１２は、図１に示すＳＡＭユニット間での
通信方法を説明するための図である

【図１３】図１３は、図１２に示すＳＡＭユニット間通
信で、縮退鍵を転送する場合を説明するための図であ
る。

【図１４】図１４は、ＳＡＭ間エレメント転送コマンド
ＳＡＭＡＰＥＴＣを説明するための図である。

【図１５】図１５は、図１４に示すエレメント属性を説
明するための図である。

【図１６】図１６は、ＳＡＭ間エレメント転送レスポン
スＳＡＭＡＰＥＴＲを説明するための図である。

【図１７】図１７は、ＳＡＭ間での相互認証の手順を説
明するための図である。

【図１８】図１８は、図１３を用いて前述したＳＡＭユ
ニット間の縮退鍵データの転送の動作例を説明するため
の図である。

【図１９】図１９は、メモリ分割用パッケージの生成お
よび転送処理を説明するための図である。

【図２０】図２０は、モリ分割用パッケージ（ＡＰＥ）
に対しての図８に示すタグデータＡＰＥ＿ＴＡＧの設定
方法について説明するための図である。

【図２１】図２１は、図１に示す通信システムの全体動
作を説明するための図である。

【図２２】図２２は、図１に示す通信システムの全体動
作を説明するための図である。

【図２３】図２３は、本発明のその他の実施形態を説明
するための図である。

【図２４】図２４は、本発明のその他の実施形態を説明
するための図である。

【図２５】図２５は、本発明のその他の実施形態を説明
するための図である。

【図２６】図２６は、本発明のその他の実施形態を説明
するための図である。

【図２７】図２７は、本発明のその他の実施形態を説明
するための図である。

【図２８】図２８は、本発明のその他の実施形態を説明
するための図である。

【符号の説明】

１…通信システム、２…サーバ装置、３…ＩＣカード、
３ａ…ＩＣモジュール、４…カードリーダ・ライタ、５
…パーソナルコンピュータ、７…外部メモリ、８…ＳＡ
Ｍモジュール、９，９ａ…ＳＡＭユニット、１５＿１〜
１５＿３…サービス事業者、１９…ＡＳＰサーバ装置、
４１…携帯通信装置、４２…ＩＣモジュール、４３…通
信処理部

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｇ０６Ｆ 17/60 ５０６ Ｇ０６Ｆ 17/60 ５０６ ５１０ ５１０ ５１２ ５１２ ＺＥＣ ＺＥＣ Ｇ０６Ｋ 19/07 Ｇ０９Ｃ 1/00 ６４０Ｅ Ｇ０９Ｃ 1/00 ６４０ Ｇ０６Ｋ 19/00 Ｎ (72)発明者 舘野 啓 東京都品川区北品川６丁目７番35号 ソニ ー株式会社内 Ｆターム(参考） 2C005 MA33 MB04 MB05 SA30 5B035 BB09 CA11 5B058 CA25 5B085 AA08 AE06 AE12 AE23 BA07 BG03 BG04 BG07 5J104 AA12 KA01 NA01 NA35

Claims (20)

【特許請求の範囲】
1. 【請求項１】第１のアプリケーションプログラムを実行
   する第１のデータ処理装置と、第２のアプリケーション
   プログラムを実行する第２のデータ処理装置との間でデ
   ータ授受を行うデータ処理方法であって、 前記第２のアプリケーションプログラムを構成する複数
   のデータモジュールのうち前記第１のアプリケーション
   プログラムが利用する前記データモジュールを示す第１
   の管理データを前記第１のデータ処理装置が保持し、前
   記第１のアプリケーションプログラムに利用させること
   を許可するデータモジュールを示す第２の管理データを
   前記第２のデータ処理装置が保持する場合に、 前記第１のデータ処理装置が、前記第１の管理データを
   参照して、利用しようとする前記データモジュールを指
   定した要求を前記第２のデータ処理装置に送信し、 前記第２のデータ処理装置が、前記要求に応じて、前記
   第２の管理データを参照し、前記要求で指定された前記
   データモジュールを前記第１のアプリケーションプログ
   ラムが利用することを許可すると判断した場合に、前記
   要求で指定されたデータモジュールを前記第１のデータ
   処理装置に送信する通信方法。
2. 【請求項２】前記第１のデータ処理装置が第１のサーバ
   装置に接続され、前記第２のデータ処理装置が第２のサ
   ーバ装置に接続され、前記第１のサーバ装置および前記
   第２のサーバ装置を介して、前記第１のデータ処理装置
   と前記第２のデータ処理装置とが通信を行う場合に、 前記第１のサーバ装置が、前記第１のデータ処理装置に
   第１の要求を送信し、 前記第１のサーバ装置が、前記第１の要求に応じて、前
   記第１の管理データを参照して、利用しようとする前記
   データモジュールを指定した第２の要求を前記第２のデ
   ータ処理装置に送信する請求項１に記載の通信方法。
3. 【請求項３】前記第２のサーバ装置が、前記第１のアプ
   リケーションプログラムが利用する前記データモジュー
   ルが前記第２のデータ処理装置内で利用可能な状態にな
   っているか否かを確認し、当該確認の結果を前記第１の
   サーバ装置に通知し、 前記第１のサーバ装置は、前記通知に応じて、前記第１
   の要求を前記第１のデータ処理装置に送信する請求項２
   に記載の通信方法。
4. 【請求項４】前記第１のデータ処理装置と前記第２のデ
   ータ処理装置との間で相互認証を行い、互いに相手の正
   当性を確認した後に、前記第１のデータ処理装置が前記
   第２のデータ処理装置に前記要求を送信する請求項１に
   記載の通信方法。
5. 【請求項５】前記第１のデータ処理装置が、前記データ
   モジュールを利用をするために前記第２のデータ処理装
   置との間で行う相互認証に用いる鍵データを格納した前
   記第１の管理データを保持し、 前記第２のデータ処理装置が、前記データモジュールを
   前記第１のアプリケーションプログラムに利用させるた
   めに前記第１のデータ処理装置との間で行う相互認証に
   用いる鍵データを格納した前記第２の管理データを保持
   し、 前記第１のデータ処理装置と前記第２のデータ処理装置
   とが、それぞれ前記第１の管理データおよび前記第２の
   管理データに格納された鍵データを用いて相互認証を行
   う請求項４に記載の通信方法。
6. 【請求項６】前記第１の管理データおよび前記第２の管
   理データが、前記相互認証を行うか否かを指定する相互
   認証有無指示データを格納しており、 前記第１のデータ処理装置および前記第２のデータ処理
   装置が、相互認証有無指示データを参照して、前記相互
   認証を行うか否かを決定する請求項４に記載の通信方
   法。
7. 【請求項７】前記第１のデータ処理装置は、前記鍵デー
   タを用いた相互認証を終了した後、前記要求を前記第２
   のデータ処理装置に送信し、続いて、再び前記相互認証
   を行わずに、当該鍵データと対応付けられた他のデータ
   モジュールを指定した前記要求を前記第２のデータ処理
   装置に送信する請求項５に記載の通信方法。
8. 【請求項８】前記第２のデータ処理装置が、前記第１の
   アプリケーションプログラムによる前記データモジュー
   ルの利用形態を規定するデータを格納した前記第２の管
   理データを保持し、 前記第２のデータ処理装置が、前記第２の管理データを
   参照して、前記規定された利用形態の範囲で、前記第１
   のアプリケーションプログラムによる前記データモジュ
   ールの利用を許可する請求項１に記載の通信方法。
9. 【請求項９】前記第２のデータ処理装置が、前記第２の
   管理データを設定することを許可する主体をさらに規定
   した前記第２の管理データを保持し、 前記第２のデータ処理装置、前記第２の管理データに規
   定された主体に対してのみ、前記第２の管理データの設
   定を許可する請求項１に記載の通信方法。
10. 【請求項１０】前記第１のデータ処理装置が、前記第１
    のアプリケーションプログラムを構成する前記データモ
    ジュールの内容または使用用途を示すタグデータを含む
    前記第１の管理データを保持し、 前記第２のデータ処理装置が、前記第２のアプリケーシ
    ョンプログラムを構成する前記データモジュールの内容
    または使用用途を示すタグデータを含む前記第２の管理
    データを保持する請求項１に記載の通信方法。
11. 【請求項１１】前記第１のデータ処理装置が、前記第１
    のアプリケーションプログラムに規定したポートの利用
    を権限あるいは用途に応じて管理するためのデータを含
    む前記第１の管理データを保持し、 前記第２のデータ処理装置が、前記第２のアプリケーシ
    ョンプログラムに規定したポートの利用を権限あるいは
    用途に応じて管理するためのデータを含む前記第２の管
    理データを保持し、 前記第１のデータ処理装置が、前記第１のアプリケーシ
    ョンプログラムに規定したポートの利用を、前記第１の
    管理データで規定された権限あるいは用途に応じて管理
    し、 前記第１のデータ処理装置が、前記第２のアプリケーシ
    ョンプログラムに規定したポートの利用を、前記第２の
    管理データで規定された権限あるいは用途に応じて管理
    する請求項１に記載の通信方法。
12. 【請求項１２】前記第１のデータ処理装置が、利用しよ
    うとする前記データモジュールの種類を指定した要求を
    前記第２のデータ処理装置に送信し、 前記第２のデータ処理装置が、前記指定されたデータモ
    ジュールの種類に対応したデータモジュールを前記第１
    のデータ処理装置に送信する請求項１に記載の通信方
    法。
13. 【請求項１３】前記第２のデータ処理装置が、前記要求
    に係わるデータモジュールと共に、前記データ処理装置
    による当該データモジュールの一時的利用あるいは保存
    利用のいずれを許可するかを示すデータを前記第１のデ
    ータ処理装置に送信し、 前記データ処理装置が、当該データに基づいて、前記第
    ２のデータ処理装置から受信したデータモジュールを一
    時利用あるいは保存利用する請求項１に記載の通信方
    法。
14. 【請求項１４】前記第１のデータ処理装置および前記第
    ２のデータ処理装置は、前記サーバ装置を介して集積回
    路と通信を行い、所定のサービスを提供し、 前記データモジュールは、前記集積回路の記憶領域を操
    作するためのデータあるいは手順を示している請求項１
    に記載の通信方法。
15. 【請求項１５】前記第１のデータ処理装置と、前記第２
    のデータ処理装置との間で、前記データモジュールの転
    送用の複数の通信路を同時に設定する請求項１に記載の
    通信方法。
16. 【請求項１６】第１のアプリケーションプログラムを実
    行する他のデータ処理装置との間でデータ授受を行い、
    第２のアプリケーションプログラムを実行するデータ処
    理装置であって、 前記他のデータ処理装置とデータ授受を行うインタフェ
    ースと、 前記第２のアプリケーションプログラムを構成する複数
    のデータモジュールと、前記第１のアプリケーションプ
    ログラムに利用させることを許可するデータモジュール
    を示す管理データとを記憶する記憶手段と、 前記他のデータ処理装置からの要求に応じて、前記管理
    データを参照し、当該要求に係わるデータモジュールを
    前記第１のアプリケーションプログラムが利用すること
    を許可すると判断した場合に、前記要求に係わるデータ
    モジュールを前記記憶手段から読み出して前記他のデー
    タ処理装置に送信する処理手段とを有するデータ処理装
    置。
17. 【請求項１７】前記処理手段は、前記他のデータ処理装
    置との間で相互認証を行い、互いに相手の正当性を確認
    した後に、前記他のデータ処理装置からの要求を受信
    し、当該要求に係わるデータモジュールを前記他のデー
    タ処理装置に送信する請求項１６に記載のデータ処理装
    置。
18. 【請求項１８】前記記憶手段は、前記第１のアプリケー
    ションプログラムによる前記データモジュールの利用形
    態を規定するデータを格納した前記管理データを記憶
    し、 前記処理手段は、前記管理データを参照して、前記規定
    された利用形態の範囲で、前記第１のアプリケーション
    プログラムによる前記データモジュールの利用を許可す
    る請求項１６に記載のデータ処理装置。
19. 【請求項１９】前記処理手段は、集積回路と通信を行っ
    て所定のサービスを提供し、 前記記憶手段は、前記集積回路の記憶領域を操作するた
    めのデータあるいは手順を示す前記データモジュールを
    記憶する請求項１６に記載のデータ処理装置。
20. 【請求項２０】第１のアプリケーションプログラムを実
    行する他のデータ処理装置との間でデータ授受を行い、
    第２のアプリケーションプログラムを実行するデータ処
    理装置によって実行されるプログラムであって、 前記他のデータ処理装置から、データモジュールの利用
    の要求を受信する手順と、 前記要求に応じて、前記第１のアプリケーションプログ
    ラムに利用させることを許可するデータモジュールを示
    す管理データを参照し、当該要求に係わるデータモジュ
    ールを前記第１のアプリケーションプログラムが利用す
    ることを許可するか否かを判断する手順と、 許可すると判断した場合に、前記要求に係わるデータモ
    ジュールを前記他のデータ処理装置に送信する手順とを
    有するプログラム。