JP2005196409A

JP2005196409A - データ通信装置及びデータ通信装置のメモリ管理方法

Info

Publication number: JP2005196409A
Application number: JP2004001357A
Authority: JP
Inventors: Taro Kurita; 太郎栗田
Original assignee: Sony Corp
Current assignee: Sony Corp
Priority date: 2004-01-06
Filing date: 2004-01-06
Publication date: 2005-07-21

Abstract

【課題】メモリ領域上にサービス提供元事業者毎の複数のファイル・システムを格納した状態で、メモリ領域の利用の停止並びに利用の再開を好適に行なう。
【解決手段】プロトコル・インターフェース部は、カード発行者からの利用停止コマンドによる利用停止依頼を受け取ったことに応答して、メモリ領域上の停止フラグを真に設定する。利用停止フラグが真になった以降は、次に利用開始コマンドにより利用が再開されるまでの間は、プロトコル・インターフェース部は、外部機器又はプログラムからのアクセス時にこの停止フラグの値が真であることを判定し、オペレーティング・システムへのアクセスを一切受け付けなくなる。
【選択図】図１４

Description

本発明は、比較的大容量のメモリ領域を備えたデータ通信装置及びデータ通信装置のメモリ管理方法に係り、特に、メモリ領域上に電子的な価値情報を格納して電子決済を始めとするセキュアな情報のやり取りを行なうデータ通信装置及びデータ通信装置のメモリ管理方法に関する。

さらに詳しくは、本発明は、メモリ領域上にサービス提供元事業者用のファイル・システムを割り当て、ファイル・システム内で当該事業者によるサービス運用のための情報を管理するデータ通信装置及びデータ通信装置のメモリ管理方法に係り、特に、メモリ領域上にサービス提供元事業者毎の複数のファイル・システムを格納した状態で、メモリ領域の利用の停止並びに利用の再開を行なうデータ通信装置及びデータ通信装置のメモリ管理方法に関する。

局所でのみ適用可能な無線通信手段の一例として、非接触ＩＣカードを挙げることができる。

この種の無線通信には、一般に、電磁誘導の原理に基づいて実現される。すなわち、メモリ機能を有するＩＣカードと、ＩＣカードのメモリに対して読み書きアクセスをするカード・リーダ／ライタで構成され、１次コイルとしてのＩＣカード側のループ・コイルと２次コイルとしてのカード・リーダ／ライタ側のアンテナが系として１個のトランスを形成している。そして、カード・リーダ／ライタ側からＩＣカードに対して、電力と情報を同じく電磁誘導作用により伝送し、ＩＣカード側では供給された電力によって駆動してカード・リーダ／ライタ側からの質問信号に対して応答することができる。

カード・リーダ／ライタ側では、アンテナに流す電流を変調することで、ＩＣカード上のループ・コイルの誘起電圧が変調を受けるという作用により、カード・リーダ／ライタからＩＣカードへのデータ送信を行なうことができる。また、ＩＣカードは、ループ・コイルの端子間の負荷変動により、ＩＣカード・リーダ／ライタ側のアンテナ端子間のインピーダンスが変化してアンテナの通過電流や電圧が変動するという作用により、カード・リーダ／ライタへの返信を行なう。

ＩＣカードに代表される非接触・近接通信システムは、操作上の手軽さから、広範に普及している。例えば、暗証コードやその他の個人認証情報、電子チケットなどの価値情報などをＩＣカードに格納しておく一方、キャッシュ・ディスペンサやコンサート会場の出入口、駅の改札口などにカード・リーダ／ライタを設置しておく。そして、利用者がＩＣカードをカード・リーダ／ライタにかざすことで、非接触でアクセスし、認証処理を行なうことができる。

最近では、微細化技術の向上とも相俟って、比較的大容量のメモリ空間を持つＩＣカードが出現している。大容量メモリ付きのＩＣカードによれば、複数のアプリケーションを同時に格納しておくことができるので、１枚のＩＣカードを複数の用途に利用することができる。例えば、１枚のＩＣカード上に、電子決済を行なうための電子マネーや、特定のコンサート会場に入場するための電子チケットなど、多数のアプリケーションを格納しておくことにより、１枚のＩＣカードをさまざまな用途に適用させることができる。ここで言う電子マネーや電子チケットは、利用者が提供する資金に応じて発行される電子データを通じて決済（電子決済）される仕組み、又はこのような電子データ自体を指す。

ＩＣカードの一般的な使用方法は、利用者がＩＣカードをカード・リーダ／ライタをかざすことによって行なわれる。カード・リーダ／ライタ側では常にＩＣカードをポーリングしており外部のＩＣカードを発見することにより、両者間の通信動作が開始する。

このとき、利用者が暗証番号をＩＣカード・リーダ側に入力して、入力された暗証番号をＩＣカード上に格納された暗証番号と照合することで、ＩＣカードとＩＣカード・リーダ／ライタ間で本人確認又は認証処理が行なわれる。（ＩＣカード・アクセス時に使用する暗証番号のことを、特にＰＩＮ（ＰｅｒｓｏｎａｌＩｄｅｎｔｉｆｉｃａｔｉｏｎＮｕｍｂｅｒ）と呼ぶ。）そして、本人確認又は認証処理に成功した場合には、例えば、ＩＣカード内に保存されているアプリケーションの利用、すなわち、アプリケーションに割り当てられているサービス・メモリ領域へのアクセスが可能となる（本明細書中では、アプリケーションに割り当てられているメモリ領域を「サービス・メモリ領域」と呼ぶ）。サービス・メモリ領域へのアクセスは、アプリケーションのセキュリティ・レベルなどに応じて、適宜暗号化通信が行なわれる。

さらに、ＩＣカードやカード用リーダ／ライタ（カード読み書き装置）が無線・非接触インターフェースの他に、外部機器と接続するための有線インターフェース（図示しない）を備えることにより、ＩＣカードやリーダ／ライタの機能を携帯電話機、ＰＤＡ（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌＡｓｓｉｓｔａｎｃｅ）やＣＥ（ＣｏｎｓｕｍｅｒＥｌｅｃｔｒｏｎｉｃｓ）機器、パーソナル・コンピュータなどの各デバイスにＩＣカード及びカード・リーダ／ライタのいずれか一方又は双方の機能を装備することができる。このような場合、ＩＣカード技術を汎用性のある双方向の近接通信インターフェースとして利用することができる。

例えば、コンピュータや情報家電機器のような機器同士で近接通信システムが構成される場合には、ＩＣカードを利用した非接触通信は一対一で行なわれる。また、ある機器が非接触ＩＣカードのような機器以外の相手デバイスと通信することも可能であり、この場合においては、１つの機器と複数のカードにおける一対多の通信を行なうアプリケーションも考えられる。

また、電子決済を始めとする外部との電子的な価値情報のやり取りなど、ＩＣカードを利用したさまざまなアプリケーションを、情報処理端末上で実行することができる。例えば、情報処理端末上のキーボードやディスプレイなどのユーザ・インターフェースを用いてＩＣカードに対するユーザ・インタラクションを情報処理端末上で行なうことができる。また、ＩＣカードが携帯電話機と接続されていることにより、ＩＣカード内に記憶された内容を電話網経由でやり取りすることもできる。さらに、携帯電話機からインターネット接続して利用代金をＩＣカードで支払うことができる。

このように、あるサービス提供元事業者用のファイル・システムをＩＣカードの内蔵メモリに割り当てて、このファイル・システム内で当該事業者によるサービス運用のための情報（例えば、ユーザの識別・認証情報や残りの価値情報、使用履歴（ログ）など）を管理することにより、従来のプリペイド・カードや店舗毎のサービス・カードに置き換わる、非接触・近接通信を基調とした有用なサービスを実現することができる。

従来、サービス提供元事業者毎にＩＣカードが個別に発行され、ユーザの利用に供されていた。このため、ユーザは、利用したいサーヒス毎にＩＣカードを取り揃え、携帯しなければならなかった。これに対し、比較的大容量のメモリ空間を持つＩＣカードによれば、単一のＩＣカードの内蔵メモリに複数のサービスに関する情報を記録するだけの十分な容量を確保することができる。

ここで、プリペイド・カードなどの前払式証票に関しては、その発行などの業務の適正な運営を確保して、前払式証票の購入者らの利益保護と前払式証票の信用維持を図ることを主な目的として、前払式証票の発行者に対して登録やその他の必要な規制を行うための「前払式証票の規制等に関する法律」（通称、「プリカ法」）が制定されており、利用者の便宜や流通秩序維持などの目的で、ロゴや問い合わせ先などの所定事項をプリペイド・カード上（券面）に表示することが義務付けられている（同法第１２条を参照のこと）。

ＩＣカードのメモリ機能に前払情報を格納することによってプリペイド・カードを実現する場合、法で規制される必要な情報を媒体上に印刷しておくことにより、単一のサービスしか提供できなくなる。これに対し、ＩＣカード機能を携帯電話機のような表示機能を持つ携帯端末上で利用する場合には、希望する価値情報に関連する情報を画面表示させることにより（例えば、特許文献１を参照のこと）、上記の法規制を満たすことができ、複数のサービス提供元事業者による共有が可能となる。したがって、サービス提供元事業者においてはカード発行の負担が軽減するとともに、ユーザにとっては携帯して管理するＩＣカードの枚数を削減することができる。

特開２００３−１４１４３４号公報

ここで、ＩＣカードの利用停止並びに利用の再開について考察してみる。

従来のＩＣカードには、内部のメモリ領域に関する利用停止や利用再開の機能はない。このため、メモリ領域にサービス提供事業者毎の１以上のファイル・システムを設けた場合、ファイル・システム上の相互認証が必要なディレクトリやファイルのアクセス鍵を変更するなど（あるいは、相互認証ロック機構を利用）して、ディレクトリやファイルの利用を停止させる他ない。

しかしながら、このような利用停止方法では、そもそも相互認証を要求しないディレクトリやファイルへの利用を制限することができない。また、分割されたファイル・システム毎に利用停止をしなければならず、処理が煩雑となってしまう。

例えば、ＩＣカードの利用を完全且つ永久に停止してしまいたい場合には、ＩＣカードそのものを物理的に破棄してしまえば、内部のメモリ・データの悪用を回避することができる。しかしながら、例えばＩＣカード機能が携帯電話機やその他の携帯機器、ＣＥ機器に内蔵して用いられる場合、機器本体の故障修理やメンテナンス時に一時的にＩＣカードの利用を停止する必要がある。

本発明は上述したような技術的課題を勘案したものであり、その主な目的は、メモリ領域上に電子的な価値情報を格納して電子決済を始めとするセキュアな情報のやり取りを好適に行なうことができる、優れたデータ通信装置及びデータ通信装置のメモリ管理方法を提供することにある。

本発明のさらなる目的は、メモリ領域上にサービス提供元事業者用のファイル・システムを割り当て、ファイル・システム内で当該事業者によるサービス運用のための情報を管理することができる、優れたデータ通信装置及びデータ通信装置のメモリ管理方法を提供することにある。

本発明のさらなる目的は、メモリ領域上にサービス提供元事業者毎の複数のファイル・システムを格納した状態で、メモリ領域の利用停止並びに利用の再開を好適に行なうことができる、優れたデータ通信装置及びデータ通信装置のメモリ管理方法を提供することにある。

本発明は、上記課題を参酌してなされたものであり、メモリ空間を備え、１以上のファイル・システムに分割して管理するデータ通信装置であって、
外部機器又はプログラムから前記メモリ空間へのアクセスを処理するプロトコル・インターフェース手段と、
前記メモリ空間に割り当てられた、前記メモリ空間が利用停止の状態か否かを示す停止フラグとを備え、
前記プロトコル・インターフェース手段は、外部機器又はプログラムからのアクセスを受け付けたときに前記停止フラグを確認し、値が真のときはアクセスを許可するが値が真のときにはアクセスを拒否する、
ことを特徴とするデータ通信装置である。

ここで言うデータ通信装置は、無線通信部および、データ送受信機能とデータ処理部を有するＩＣチップを内蔵する非接触ＩＣカード、表面に端子を有する接触ＩＣカード、接触／非接触ＩＣカードと同様の機能を有するＩＣチップを携帯電話機、ＰＨＳ（ＰｅｒｓｏｎａｌＨａｎｄｙｐｈｏｎｅＳｙｓｔｅｍ）、ＰＤＡ（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌＡｓｓｉｓｔａｎｃｅ）などの情報通信端末装置に内蔵した装置である。このデータ通信装置は、ＥＥＰＲＯＭなどのデータ蓄積メモリを含むメモリ領域とデータ処理部を有するとともに、データ通信機能を有するものである。携帯電話機などの場合は、ＩＣチップを内蔵するＩＣカードなどの外部記憶媒体を着脱可能に構成してもよい。また、携帯電話会社が発行する契約者情報を記録したＳＩＭ（ＳｕｂｓｃｒｉｂｅｒＩｄｅｎｔｉｔｙＭｏｄｕｌｅ）機能をＩＣチップに搭載してもよい。データ通信装置は、インターネット等の情報通信ネットワークを介してデータ通信を行なっても、外部端末装置と有線あるいは無線で直接データ通信を行なってもよい。

本発明は、ＩＣカードが持つ耐タンパ性と認証機能を利用して、価値情報のやり取りなどを含んだセキュリティが要求されるサービスを提供するものである。より具体的には、ＩＣカード内の単一のメモリ領域を複数のサービス提供元事業者間で共有し、サービス提供元事業者においてはカード発行の負担が軽減するとともに、ユーザにとっては携帯して管理するＩＣカードの枚数を削減するものである。

複数のサービス提供元事業者間で単一のメモリ領域を共有した場合、あるサービス提供元事業者が使用するメモリ領域を、メモリを共用する別の事業者から自由にアクセスできるようにすると、事業者毎に設定される価値情報が他の事業者によって不正利用を許してしまう、という問題がある。

これに対し、本発明では、単一のメモリ領域上にサービス提供元事業者毎のファイル・システムを割り当て、単一のデータ通信装置を複数の事業者で共有し、単一のデータ通信装置により複数のサービスを提供するようにした。メモリ領域をファイル・システムに分割することにより、ファイル・システム間の境界がファイヤ・ウォールとして機能し、他のファイル・システム（すなわち他のサービス提供元事業者）からのアクセス（不正侵入）を好適に排除することができる。

ＩＣカード内のメモリ領域は、初期状態では、元のＩＣカード発行者がメモリ領域全体を管理している。ＩＣカード発行者以外のサービス提供元事業者がメモリ領域から新たなファイル・システムを分割するに際しては、メモリ領域の分割権限と、元のＩＣカード発行者に対する認証の双方を要求するようになっている。

このような分割操作を繰り返すことにより、ＩＣカード内のメモリ領域は複数のファイル・システムが共存する構造となる。ファイル・システムの分割は、仮想的なＩＣカードの発行である。一旦分割されると、ファイル・システムへのアクセスは、元のＩＣカードの発行者ではなく、ファイル・システム自体のサービス提供元事業者への認証が要求される。

ここで、ＩＣカードの利用停止並びに利用の再開について考察してみる。ＩＣカードの利用を完全且つ永久に停止する場合の他に、ＩＣカード機能を内蔵した携帯電話機などの機器本体の故障修理やメンテナンス時にＩＣカードの利用を一時的に停止する必要がある。特に後者の場合、修理やメンテナンスが終了した際には、停止状態を解除し、利用を再開しなければならない。

従来のＩＣカードには、内部のメモリ領域に関する利用停止や利用再開の機能はない。このため、メモリ領域にサービス提供事業者毎の１以上のファイル・システムを設けた場合、ファイル・システム上の相互認証が必要なディレクトリやファイルのアクセス鍵を変更するなど（あるいは、相互認証ロック機構を利用）して、ディレクトリやファイルの利用を停止させる他ない。しかしながら、このような利用停止方法では、そもそも相互認証を要求しないディレクトリやファイルへの利用を制限することができない。また、分割されたファイル・システム毎に利用停止をしなければならず、処理が煩雑となってしまう。

そこで、本発明では、ＩＣカード内のメモリ領域に関する利用停止及び利用再開機能を付加することで、メモリ領域を搭載したＩＣカード機能、あるいはＩＣカード機能を内蔵した機器から、メモリ領域へのあらゆる利用を停止させることができるようにした。

例えばＩＣカード機能が携帯電話機やその他の携帯機器、ＣＥ機器に内蔵して用いられる場合、機器本体の故障修理やメンテナンス時に一時的にＩＣカードの利用を停止し、メモリ・データへのアクセスを禁止することができ、さらに機器がユーザの手元に戻る際に簡単な手続きによりＩＣカードの利用を再開することができる。

本発明によれば、メモリ領域上に電子的な価値情報を格納して電子決済を始めとするセキュアな情報のやり取りを好適に行なうことができる、優れたデータ通信装置及びデータ通信装置のメモリ管理方法を提供することができる。

また、本発明によれば、メモリ領域上にサービス提供元事業者用のファイル・システムを割り当て、ファイル・システム内で当該事業者によるサービス運用のための情報を管理することができる、優れたデータ通信装置及びデータ通信装置のメモリ管理方法を提供することができる。

また、本発明によれば、メモリ領域上にサービス提供元事業者毎の複数のファイル・システムを格納した状態で、メモリ領域の利用の停止並びに利用の再開を好適に行なうことができる、優れたデータ通信装置及びデータ通信装置のメモリ管理方法を提供することができる。

本発明によれば、ＩＣカード内のメモリ領域に関する利用停止及び利用再開機能を付加することで、メモリ領域を搭載したＩＣカード機能、あるいはＩＣカード機能を内蔵した機器から、メモリ領域へのあらゆる利用を停止させることができる。したがって、例えばＩＣカード機能が携帯電話機やその他の携帯機器、ＣＥ機器に内蔵して用いられる場合、機器本体の故障修理やメンテナンス時に一時的にＩＣカードの利用を停止し、メモリ・データへのアクセスを禁止することができ、さらに機器がユーザの手元に戻る際に簡単な手続きによりＩＣカードの利用を再開することができる。

本発明のさらに他の目的、特徴や利点は、後述する本発明の実施形態や添付する図面に基づくより詳細な説明によって明らかになるであろう。

以下、図面を参照しながら本発明の実施形態について詳解する。

本発明は、ＩＣカードが持つ耐タンパ性と認証機能を利用して、価値情報のやり取りなどを含んだセキュリティが要求されるサービスを提供するものであり、より具体的には、ＩＣカード内の単一のメモリ領域を複数のサービス提供元事業者間で共有し、サービス提供元事業者においてはカード発行の負担が軽減するとともに、ユーザにとっては携帯して管理するＩＣカードの枚数を削減するものである。

ここで、複数のサービス提供元事業者間で単一のメモリ領域を共有した場合、あるサービス提供元事業者が使用するメモリ領域を、メモリを共用する別の事業者から自由にアクセスできるようにすると、事業者毎に設定される価値情報が他の事業者によって不正利用を許してしまう、という問題がある。

本発明では、単一のメモリ領域上にサービス提供元事業者毎のファイル・システムを割り当て、単一のデータ通信装置を複数の事業者で共有し、単一のデータ通信装置により複数のサービスを提供するようにした。メモリ領域をファイル・システムに分割することにより、ファイル・システム間の境界がファイヤ・ウォールとして機能し、他のファイル・システム（すなわち他のサービス提供元事業者）からのアクセス（不正侵入）を好適に排除することができる。

ＩＣカード内のメモリ領域は、初期状態では、元のＩＣカード発行者がメモリ領域全体を管理している。ＩＣカード発行者以外のサービス提供元事業者がメモリ領域から新たなファイル・システムを分割するに際しては、メモリ領域の分割権限と、元のＩＣカード発行者に対する認証の双方が要求される。

そして、一旦分割されると、ファイル・システムへのアクセスは、元のＩＣカードの発行者ではなく、ファイル・システム自体のサービス提供元事業者への認証が要求される。したがって、ユーザにとっては、各サービス利用時において事業者自らが発行したＩＣカードであるかのような使い勝手を確保することができる。

ここで、まず、ＩＣカード及びカード読み書き装置間の非接触データ通信の仕組みについて、図１及び図２を参照しながら説明する。

カード読み書き装置とＩＣカード間の無線通信は、例えば電磁誘導の原理に基づいて実現される。図１には、電磁誘導に基づくカード読み書き装置とＩＣカードとの無線通信の仕組みを概念的に図解している。カード読み書き装置は、ループ・コイルで構成されたアンテナＬ_RWを備え、このアンテナＬ_RWに電流Ｉ_RWを流すことでその周辺に磁界を発生させる。一方、ＩＣカード側では、電気的にはＩＣカードの周辺にループ・コイルＬ_cが形設されている。ＩＣカード側のループ・コイルＬ_c端にはカード読み書き装置側のループ・アンテナＬ_cが発する磁界による誘導電圧が生じて、ループ・コイルＬ_c端に接続されたＩＣカードの端子に入力される。

カード読み書き装置側のアンテナＬ_RWとＩＣカード側のループ・コイルＬ_cは、その結合度は互いの位置関係によって変わるが、系としては１個のトランスを形成していると捉えることができ、ＩＣカードの読み書き動作を図２に示すようにモデル化することができる。

カード読み書き装置側では、アンテナＬ_RWに流す電流Ｉ_RWを変調することによって、ＩＣチップ上のループ・コイルＬ_cに誘起される電圧Ｖ_Oは変調を受け、そのことを利用してカード読み書き装置はＩＣカードへのデータ送信を行なうことができる。

また、ＩＣカードは、カード読み書き装置へ返送するためのデータに応じてループ・コイルＬ_cの端子間の負荷を変動させる機能（ＬｏａｄＳｗｉｔｃｈｉｎｇ）を持つ。ループ・コイルＬ_cの端子間の負荷が変動すると、カード読み書き装置側ではアンテナ端子間のインピーダンスが変化して、アンテナＬ_RWの通過電流Ｉ_RWや電圧Ｖ_RWの変動となって現れる。この変動分を復調することで、カード読み書き装置はＩＣカードの返送データを受信することができる。

すなわち、ＩＣカードは、カード読み書き装置からの質問信号に対する応答信号に応じて自身のアンテナ間の負荷を変化させることによって、カード読み書き装置側の受信回路に現れる信号に振幅変調をかけて通信を行なうことができる訳である。

ＩＣカードは、カード型のデータ通信装置であってもよいし、いわゆるＩＣカード機能を有する集積回路チップを携帯電話機等の情報通信端末機器に内蔵してもよい（ＩＣカードが機器に内蔵される場合であっても、機器に着脱可能に構成される場合であっても、本明細書中では便宜上「ＩＣカード」と呼ぶ場合がある。）また、ＩＣカード機能を有する集積回路チップは、例えば携帯電話機やＰＤＡなどの携帯端末、あるいはパーソナルコンピュータ（ＰＣ）などの情報処理端末に搭載されて外部機器とデータ通信を行なう。この場合、リーダ／ライタ装置と有線あるいは無線で接続するためのインターフェース以外に、外部機器接続用のインターフェースを備えている。

図３には、本発明の実施形態にかかるデータ通信装置のハードウェア構成を示している。このデータ通信装置は、通信用のアンテナを追加して内部の不揮発性メモリにアクセスすることができるＩＣカード機能と、ＩＣカード機能を有する外部装置に電力を供給するとともにデータ交換を実現するリーダ／ライタ機能を有し、カード機能アナログ回路部３０、データ処理部４０と、リーダ／ライタ機能アナログ回路部５０を有するＩＣチップを内蔵している。同図に示した例では、ＩＣカードはカード読み書き機能も併せて備えているが、カード読み書き機能は本発明の必須の構成要素ではない。

カード機能アナログ回路部３０では、アンテナ３２で受信された搬送波は、整流器３１で整流された後、データ処理部４０内の信号処理部４４に供給されるとともに、シリアル・レギュレータ３３を介して論理回路３８に供給されている。

論理回路３８は、シリアル・レギュレータ３３からの電圧を制御して、ＩＣカードで使用するための適正な電源電圧Ｖ_DDを供給するようになっている。

シリアル・レギュレータ３３は、入力電圧の如何に拘わらず、出力電圧をほぼ一定に保つようになっている。すなわち、入力電圧が高いときには、内部インピーダンスを高くして、逆に入力電圧が低いときには内部インピーダンスを低くすることによって、電圧を保つ動作を可能とする。

電圧検出器３９は、論理回路３８に接続された外部電源（バッテリなど）の出力端子電圧を監視して、外部電源の電圧が所定電圧を下回った場合には外部電源の使用を禁止する信号を論理回路３８に出力するようになっている。

また、カード機能アナログ回路部３０において、アンテナ３２から入力された電波は、搬送波検出器３４で受信電波中に搬送波が含まれているか否かが判断され、含まれている場合には、搬送波検出信号ＶＲが論理回路３８に出力される。論理回路３８は、さらに、データ処理部４０に対して搬送波が検出された旨の信号を出力することができる。

クロック抽出器３５は、アンテナ３２から入力された電波からクロックを抽出して、これをクロック選択器３６に供給する。また、クロック発振器３７は、例えばＩＣカード外に配設された水晶振動子で構成され、ＩＣカード上で使用される駆動周波数のクロックを発生して、クロック選択器３６に供給する。クロック選択器３６は、クロック抽出器３５から供給されたクロック、又は、クロック発振器３７から供給されたクロックのいずれか一方を選択して、ＩＣカード内の各部に供給する。

リーダ／ライタ機能アナログ回路部５０は、送信アンプ５１と、受信信号検出器５３と、受信アンプ・フィルタ５４と、送受信用のアンテナ５２及び５５で構成される。

データを送信するときは、データ処理部４０の信号処理部４４によって変調並びにＤ／Ａ変換されて、アナログ・ベースバンドにアップコンバートされた送信信号が送信アンプを介してアンテナ５１から送出される。また、アンテナ５２から受信された信号は、受信信号検出器５３によって検出され、受信アンプ５４で増幅されてから、信号処理部４４に供給される。信号処理部４４は、アナログ・ベースバンド信号にダウンコンバートし、Ｄ／Ａ変換並びに復調処理して、ディジタル・データを再現する。

なお、ＩＣカードとカード読み書き装置の間のカード読み書き動作は、図１及び図２を参照しながら既に説明した通りである。

データ処理部４０は、先述の信号処理部４４の他、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）４５と、ＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）などを利用したデータ暗号化エンジン４６と、ＣＲＣ（ＣｙｃｌｉｃＲｅｄｕｎｄａｎｃｙＣｈｅｃｋ）などを利用したエラー訂正部４７と、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）４１と、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）４２と、ＥＥＰＲＯＭ（ＥｌｅｃｔｒｉｃａｌｌｙＥｒａｓａｂｌｅａｎｄＰｒｏｇｒａｍｍａｂｌｅＲＯＭ）４３と、ＵＡＲＴインターフェース４８と、Ｉ²Ｃインターフェース４９とを備えており、各部は内部バスによって相互接続されている。

ＣＰＵ４５は、ＩＣカード内の動作を統括的に制御するメイン・コントローラであり、ＩＣカード用オペレーティング・システム（ＯＳ）によって提供される実行環境（後述）下で、例えばＲＯＭ４２（あるいはＥＥＰＲＯＭ４３）に格納されたプログラム・コードを実行するようになっている。例えば、ＣＰＵ４５は、カード機能アナログ回路部３０やリーダ／ライタ機能アナログ回路部４０を介して送受信されるデータに関するアプリケーションを実行するようになっている。

信号処理部４４は、カード機能アナログ回路部３０やリーダ／ライタ機能アナログ回路部４０を介して送信されるデータの変調、Ｄ／Ａ変換、アップコンバートなどの処理や、受信したデータのダウンコンバート、Ａ／Ｄ変換、復調などの処理を行う。

ＤＥＳエンジン４６は、カード機能アナログ回路部３０やリーダ／ライタ機能アナログ回路部４０を介して送受信されるデータを手順公開型の秘密鍵暗号により暗号化及び復号化処理する。

ＣＲＣ４７は、カード機能アナログ回路部３０やリーダ／ライタ機能アナログ回路部４０を介して受信したデータの巡回冗長検査を行なう。

ＵＡＲＴ４８並びにＩ²Ｃインターフェースは、ＩＣカードを携帯電話器やＰＤＡ、パーソナル・コンピュータなどの外部機器（図１１には図示しない）に接続するための外部有線インターフェースを構成する。このうちＵＡＲＴ（Ｕｎｉｖｅｒｓａｌａｓｙｎｃｈｒｏｎｏｕｓｒｅｃｅｉｖｅｒｔｒａｎｓｍｉｔｔｅｒ）４８は、コンピュータ内のパラレル信号をシリアル信号に変換したり、シリアル信号をパラレル信号に変換したりする機能を持つ。

ＲＡＭ４１は書き込み可能なメモリ装置であり、ＣＰＵ４１はＲＡＭ４１を作業領域としてプログラムを実行する。ＲＡＭ４１が提供するメモリ空間はアドレス可能であり、ＣＰＵ４１や内部バス上の各装置はこのメモリ空間にアクセスすることができる。

ＥＥＰＲＯＭ４３は、消去動作とともに新規のデータの書き込みを行なう不揮発性のメモリ装置である。本明細書で言うＩＣカード内蔵のメモリ領域は、基本的にはＥＥＰＲＯＭ４３内の書き込み可能領域を指すものとする。

このメモリ領域は、１以上のファイル・システムで構成される。初期状態では、元のＩＣカード発行者が管理する単一のファイル・システムによってメモリ領域が管理され、その後、ＩＣカード発行者以外のサービス提供元事業者がメモリ領域から新たなファイル・システムを分割する。

図４には、本実施形態に係るＩＣカードにおけるメモリ領域の制御システム構成を模式的に示している。同図に示すように、この制御システムは、基本的には、オペレーティング・システム内のサブシステムとして実装され、プロトコル・インターフェース部と、ＯＳ中枢部と、ファイル・システムで構成される。

プロトコル・インターフェース部は、ＵＡＲＴ４８などの外部機器インターフェースを介した外部機器からのファイル・システムへのアクセス要求、あるいは非接触ＩＣカード・インターフェースを介したカード読み書き装置からファイル・システムへのアクセス要求のハンドリングを行なう。

ＯＳ中枢部では、ファイル・システムとやり取りするデータのデコード／エンコード、ＣＲＣなどによるエラー訂正、ＥＥＰＲＯＭ４３のブロック毎の書き換え回数管理、ＰＩＮ照合、相互認証などを行なう。

さらに、ＯＳ中枢部は、ファイル・アクセス時におけるＰＩＮ照合や相互認証、ファイルのリード／ライトなどのファイル・システムへの幾つかのＡＰＩ（ＡｐｐｌｉｃａｔｉｏｎＰｒｏｇｒａｍｍｉｎｇＩｎｔｅｒｆａｃｅ）を備えている。

ファイル・システムは、ファイル・システム・エンティティとしてのＥＥＰＲＯＭ４３へ物理アクセスを行なう。ＥＥＰＲＯＭなどのメモリ・デバイスへの物理アクセス動作自体は当業界において周知なので、ここでは説明を省略する。

ＥＥＰＲＯＭ４３上に展開されるメモリ領域は、１以上のファイル・システムで構成される。初期状態では、元のＩＣカード発行者が管理する単一のファイル・システムによってメモリ領域が管理されている。ＩＣカード発行者以外のサービス提供元事業者がメモリ領域から新たなファイル・システムを分割する際には、メモリ領域の分割権限と、元のＩＣカード発行者に対する認証の双方が要求される。そして、一旦分割されると、ファイル・システムへのアクセスは、元のＩＣカードの発行者ではなく、ファイル・システム自体のサービス提供元事業者への認証が要求される。ファイル・システムの分割は、仮想的なＩＣカードの発行である。

ＯＳは、分割を許可するための分割権限鍵Ｋ_dを管理している。また、ファイル・システム毎に、発行者（元のＩＣカード発行者、又はファイル分割した事業者）の発行者鍵Ｋ_Iと、システム・コードと、ファイル領域を識別するエリアＩＤが管理されている。

ファイル・システムへのアクセスは、ポーリングによるエリアＩＤの要求と、相互認証という手続きを経て行なわれる。ファイル・システムの発行者（元のファイル・システムの場合はカード発行者、分割後のファイル・システムを使用するサービス提供元事業者）は、まず、自身が判っているシステム・コードを引数にしてファイル・システムに対するポーリングを行なうことによって、該当するファイル・システムのメモリ領域上でのエリアＩＤを取得することができる。次いで、このエリアＩＤと発行者鍵Ｋ_Iを用いて相互認証を行なう。そして、相互認証が成功裏に終わると、ファイル・システムへのアクセスが許可される。ファイル・システムへのアクセスは、発行者と該当するファイル・システムに固有の発行者鍵Ｋ_Iを用いた暗号化通信により行なわれるので、他のファイル・システムが無関係のデータを取り込んだり、発行者以外がファイル・システムへ無断で読み書きしたりすることはできない。

図５には、比較的大容量のＩＣカードを用いて実現される、電子マネーや電子チケット、その他の価値情報を運用するサービス提供システムの全体的構成を模式的に示している。

図示のシステム１は、例えば、ＩＣカード発行者２１が使用する発行者用通信装置１１と、カード記憶領域運用者２２が使用する運用者用通信装置１２と、装置製造者２３が使用する製造者用通信装置１３と、カード記憶領域使用者２４が使用する記憶領域分割装置１４及び運用ファイル登録装置１５とで構成される。

システム１では、ＩＣカード発行者２１がカード所有者２６にＩＣカード１６を発行した場合に、所定の条件に基づいて、カード記憶領域使用者２４によって提供されるサービスに係わるファイル・データをＩＣカード１６に登録し、カード所有者２６が単体のＩＣカード１６を用いて、ＩＣカード発行者２１及びカード記憶領域使用者２４の双方のサービスを受けることを可能にするものである。

図５に示すように、システム１では、発行者用通信装置１１、運用者用通信装置１２、製造者用通信装置１３、記憶領域分割装置１４及び運用ファイル登録装置１５が、ネットワーク１７を介して接続される。

ＩＣカード発行者２１は、ＩＣカード１６の発行を行なう者であり、ＩＣカード１６を用いて自らのサービスを提供する。

カード記憶領域運用者２２は、ＩＣカード発行者２１からの依頼を受けて、ＩＣカード発行者２１が発行したＩＣカード１６内の記憶部（半導体メモリ）の記憶領域のうち、ＩＣカード発行者２１が使用しない記憶領域をカード記憶領域使用者２４に貸し出すサービスを行なう者である。

装置製造者２３は、カード記憶領域運用者２２から依頼を受けて、記憶領域分割装置１４を製造し、カード記憶領域使用者２４に納品する者である。

カード記憶領域使用者２４は、カード記憶領域運用者２２に依頼を行ない、ＩＣカード１６の記憶領域を使用して自らの独自のサービスを提供する者であり、メモリ領域を分割して新たなファイル・システムを作成するサービス提供元事業者（前述）に相当し、自己のファイル・システムを利用して自身のサービス提供を行なう。

カード所有者２６は、ＩＣカード発行者２１からＩＣカード１６の発行を受け、ＩＣカード発行者２１が提供するサービスを受ける者である。カード所有者２６は、ＩＣカード１６の発行後に、カード記憶領域使用者２４が提供するサービスを受けることを希望する場合には、記憶領域分割装置１４及び運用ファイル登録装置１５を用いて、カード記憶領域使用者２４のサービスに係わるファイル・データをＩＣカード１６に記憶し、その後、カード記憶領域使用者２４のサービスを受けることができるようになる。

システム１は、ＩＣカード発行者２１のサービスと、カード記憶領域使用者２４のサービスとを単体のＩＣカード１６を用いて提供するに当たって、ＩＣカード発行者２１及びカード記憶領域使用者２４のサービスに係わるファイル・データが記憶される記憶領域に、権限を有しない他人によって不正にデータの書き込み及び書き換えなどが行なわれることを困難にする構成を有している。

ＩＣカード１６は、その字義通り、カード型のデータ通信装置であってもよいし、いわゆるＩＣカード機能が実装された半導体チップを内蔵した携帯電話機（あるいはその他の携帯端末やＣＥ機器）として具現化されることもある。

なお、図５では、それぞれ単数のＩＣカード発行者２１、カード記憶領域使用者２４及びカード所有者２６がある場合を例示したが、これらはそれぞれ複数であってもよい。

本実施形態では、ＩＣカードの単一のメモリ領域上にサービス提供元事業者毎のファイル・システムを割り当て、単一のデータ通信装置を複数の事業者で共有し、単一のデータ通信装置により複数のサービスを提供する。このような分割ファイル・システム構成により、元のカード発行者が利用するメモリ領域の他に、元のカード発行者の許可を得て特定のサービス提供元事業者が利用可能となるメモリ領域と、元のカード発行者の許可を得て複数の事業者間で共通に利用可能となるメモリ領域を運用することができる。

特に、元のカード発行者が利用するファイル・システム以外に、各サービス提供元事業者が個別に利用可能となる１以上のファイル・システムを運用する場合、ファイル・システム間の境界がファイヤ・ウォールとして機能し、他のファイル・システム（すなわち他のサービス提供元事業者）からのアクセス（不正侵入）を好適に排除することができる。

ここで、図６〜図９を参照しながら、ＩＣカード内のメモリ領域の運用形態について説明する。

図６には、元のカード発行者が自らのファイル・システムのみを管理しているメモリ領域の状態を示している。元のカード発行者のシステム・コードＳＣ１は、システム・コードの管理機構が付与する。外部機器又はプログラムがカード発行者のファイル・システムにアクセスする場合は、ＳＣ１を識別コード（すなわち、要求コマンドの引数）とする。

図７には、カード発行者が自らのファイル・システムの空き領域の内で、ある範囲のメモリを領域管理者に貸与（又は譲渡）することが許可できることを示している。この段階では，まだメモリ領域上のファイル・システムに対して分割が行なわれている訳ではない。カード発行者は、自らのファイル・システムに空き領域はあるうちは、複数の領域管理者に対して、メモリを貸与することを許可できる。例えば、４ビットのシステム・コードでファイル・システムを識別するという実装では、最大１６分割（１５回まで分割）することができる。

図８には、他のサービス提供元事業者が、カード発行者から許可された領域においてメモリ領域を分割し、新たなファイル・システムを生成した状態を示している。この新規ファイル・システムには、システム・コードの管理機構からシステム・コードＳＣ２が付与されている。外部機器又はプログラムが、当該メモリ領域管理者（サービス提供元事業者）の運用するファイル・システムにアクセスする場合は、ＳＣ２を識別コード（要求コマンドの引数）とする。

図９には、共通領域管理者が、カード発行者から許可された領域において、共通領域のシステム・コードＳＣ０でメモリを分割した状態を示している。外部機器又はプログラムがこの共通領域管理者の運用領域であるファイル・システムにアクセスする場合には、そのシステム・コードＳＣ０を識別コード（要求コマンドの引数）とする。

図１０に示すように、本実施形態では、ＩＣカード上のメモリ領域は、複数のファイル・システムに分割されている。そして、ファイル・システム毎にシステム・コードＳＣとエリアＩＤが設定されるとともに、当該領域を使用するサービス提供元事業者（元のカード発行者を含む）の発行者鍵Ｋ_Iで相互認証を行なうことができる。これによって、ファイル・システムが割り振られたサービス提供元事業者は、元のカード発行者や分割技術者とは独立して、自己のファイル・システムのセキュリティに関する脅威を分析、管理、並びに運用することができる。

また、サービス提供元事業者が自己のファイル・システムへアクセスする際には、基本的には、エリアＩＤの要求と、相互認証という手続きを経て行なわれる。まず、自身が判っているシステム・コードを引数にしてファイル・システムに対するポーリングを行なうことによって、該当するファイル・システムのメモリ領域上でのエリアＩＤを取得することができる。次いで、このエリアＩＤと発行者鍵Ｋ_Iを用いて相互認証を行なう。そして、相互認証が成功裏に終わると、ファイル・システムへのアクセスが許可される。

また、各サービス提供元事業者（元のカード発行者を含む）は、要求コマンド（例えばリード要求やライト要求、データ消去要求、エリア／サービス登録など）を、事業者自身と該当するファイル・システムに固有の発行者鍵Ｋ_Iを用いてパッケージ化して暗号化通信により行なわれるので（図１１を参照のこと）、他のファイル・システムが無関係のデータを取り込んだり、第３者がファイル・システムへ無断で読み書きしたりすることはできない。

ＩＣカードのメモリ領域は、分割操作を繰り返すことにより、図１０に示すように複数のファイル・システムが共存する構造となる。元のカード発行者、並びにカード発行者の許可によりＩＣカード上で自己のファイル・システムを取得したサービス提供元事業者は、それぞれ自己のファイル・システムを利用して、エリアやサービスを配設し（後述）、自身の事業展開に利用することができる。

図１２には、サービス提供元事業者（元のカード発行者を含む）が自己のファイル・システム内にコマンド実行を要求する手続きを示している。但し、サービス提供元事業者とＩＣカード間の通信は、電磁誘導作用に基づく非接触近距離通信インターフェースを利用しても、あるいはＵＡＲＴ４８やＩ²Ｃ４９などの有線インターフェースを利用して行なう。

サービス提供元事業者は、ＩＣカードの実行環境であるオペレーティング・システムに対しポーリングして、ファイル・システムのシステム・コードＳＣを引数にしたファイル・システムのエリアＩＤ要求を行なう。

この要求メッセージをトリガにして、サービス提供元事業者と、ＩＣカードの実行環境であるオペレーティング・システムの間で、複数往復にまたがる通信動作で構成される相互認証手続きを経て、要求に対する戻り値として、エリアＩＤがサービス提供元事業者へ返される。なお、相互認証手続きの構成についてはＩＣカードの仕様毎に相違し、本発明の要旨には直接関連しないので、ここでは詳細な説明を省略する。

この認証手続きに続いて、サービス提供元事業者は、ＩＣカードのオペレーティング・システムに対して、ファイル・システム内への要求コマンドの転送を行なう。この要求コマンドは、エリアＩＤと、要求パッケージを引数として行なわれる。要求パッケージは当該サービス提供元事業者の発行者鍵Ｋ_Iで暗号化されているので、第３者からは改竄されない。

要求コマンドがＩＣカードのオペレーティング・システムに届くと、引数に含まれるエリアＩＤに基づいて、要求パッケージが当該サービス提供元事業者のファイル・システムへ渡され、その発行者鍵Ｋ_Iで解読され、要求パッケージの中身が取り出される。そして、パッケージ内で要求されている処理がファイル・システム内で実行されると、そのステータスが要求元であるサービス提供元事業者に返される。

ここで、１つのファイル・システム内での運用形態について説明する。基本的には、どのファイル・システムにおいても同様の動作が実現されるものとする。また、ファイル・システムの操作を行なうためには、ポーリングによるエリアＩＤの要求と、相互認証という手続き（前述）を経ていることを前提とする。

ファイル・システム内には、電子決済を始めとする外部との電子的な価値情報のやり取りなど、１以上のアプリケーションが割り当てられている。アプリケーションに割り当てられているメモリ領域を「サービス・メモリ領域」と呼ぶ。また、アプリケーションの利用、すなわち該当するサービス・メモリ領域へアクセスする処理動作のことを「サービス」と呼ぶ。サービスには、メモリへの読み出しアクセス、書き込みアクセス、あるいは電子マネーなどの価値情報に対する価値の加算や減算などが挙げられる。

ユーザがアクセス権を持つかどうかに応じてアプリケーションの利用すなわちサービスの起動を制限するために、アプリケーションに対して暗証コードを割り当て、サービス実行時に暗証コードの照合処理を行なうようになっている。また、サービス・メモリ領域へのアクセスは、アプリケーションのセキュリティ・レベルなどに応じて、適宜暗号化通信が行なわれる。

ユーザがアクセス権を持つかどうかに応じてアプリケーションの利用すなわちサービスの起動を制限するために、アプリケーションに対して暗証コードすなわちＰＩＮを割り当て、サービス実行時にＰＩＮの照合処理を行なうようになっている。また、サービス・メモリ領域へのアクセスは、アプリケーションのセキュリティ・レベルなどに応じて、適宜暗号化通信が行なわれる。

本実施形態では、ＩＣカード内のメモリ領域に設定されているそれぞれのファイル・システムに対して、「ディレクトリ」に類似する階層構造を導入する。そして、メモリ領域に割り当てられた各アプリケーションを、所望の階層の「エリア」に登録することができる。例えば、一連のトランザクションに使用される複数のアプリケーション、あるいは関連性の深いアプリケーション同士を同じエリア内のサービス・メモリ領域として登録する（さらには、関連性の深いエリア同士を同じ親エリアに登録する）ことによって、メモリ領域のアプリケーションやエリアの配置が整然とし、ユーザにとってはアプリケーションの分類・整理が効率化する。

また、ファイル・システムへのアクセス権を階層的に制御するために、アプリケーション毎にＰＩＮを設定できる以外に、各エリアに対してもＰＩＮを設定することができるようにしている。例えば、あるエリアに該当するＰＩＮを入力することにより、照合処理並びに相互認証処理を経て、エリア内のすべてのアプリケーション（並びにサブエリア）へのアクセス権を与えるようにすることもできる。したがって、例えば、該当するエリアに対するＰＩＮの入力を１回行なうだけで、一連のトランザクションで使用されるすべてのアプリケーションのアクセス権を得ることができるので、アクセス制御が効率化するとともに、機器の使い勝手が向上する。

さらに、あるサービス・メモリ領域に対するアクセス権限が単一でないことを許容し、それぞれのアクセス権限毎、すなわちサービス・メモリ領域において実行するサービスの内容毎に、暗証コードを設定することができる。例えば、同じサービス・メモリ領域に対して起動するサービスが「読み出し」と「読み出し及び書き込み」とでは、別々のＰＩＮが設定される。また、電子マネーやその他の価値情報に対する「増額」と「減額」とでは、別々のＰＩＮが設定される。また、あるメモリ領域に対する読み出しについてはＰＩＮの入力が必要でないが、書き込む場合にはＰＩＮの入力を必須とさせることが可能である。

図１３には、ファイル・システム内のデータ構造例を模式的に示している。図示の例では、ファイル・システムが持つ記憶空間には、「ディレクトリ」に類似する階層構造が導入されている。すなわち、メモリ領域に割り当てられた各アプリケーションを、所望の階層エリアにサービス・メモリ領域として登録することができる。例えば、一連のトランザクションに使用されるアプリケーションなど、関連性の深いアプリケーション同士を同じエリアに登録する（さらには、関連性の深いエリア同士を同じ親エリアに登録する）ことができる。

また、ファイル・システム内に割り当てられたアプリケーション（すなわちサービス・メモリ領域）並びにエリアは暗証コード定義ブロックを備えている。したがって、アプリケーション毎に、あるいはエリア毎にＰＩＮを設定することができる。また、ファイル・システムに対するアクセス権は、アプリケーション単位で行なうとともに、並びにエリア単位で行なうことができる。

さらに、あるサービス・メモリ領域に対するアクセス権限が単一でなく、実行するサービスの内容毎に、ＰＩＮを設定することができる。例えば、同じサービス・メモリ領域に対して起動するサービスが「読み出し」と「読み出し及び書き込み」とでは、別々のＰＩＮが設定され、また、電子マネーやその他の価値情報に対する「増額」と「減額」とでは、別々のＰＩＮが設定される。

照合部は、例えば電磁誘導作用に基づく非接触近距離通信又はＵＡＲＴ４８やＩ²Ｃ４９などのプロトコル・インターフェースを介して送られてくるＰＩＮを、各アプリケーション又はディレクトリに割り当てられたエリア又はサービス・メモリ領域に設定されている暗証コードと照合して、一致するメモリ領域に対するアクセスを許可する。アクセスが許可されたメモリ領域は、プロトコル・インターフェースを介して読み書きが可能となる。

このようにファイル・システム内には、アプリケーションに割り当てられたさまざまなサービス・メモリ領域が割り当てられており、各サービス・メモリ領域に対して適用可能な１以上のサービスが設けられている。本実施形態では、エリア単位、並びにアプリケーション単位でアクセス制限を行なう以外に、アプリケーションに適用されるサービスの種類毎にＰＩＮを設定して、サービス単位でアクセス制限を行なうことができる。

そこで、本実施形態では、ＩＣカード内のメモリ領域に関する利用停止及び利用再開機能を付加することで、メモリ領域を搭載したＩＣカード機能、あるいはＩＣカード機能を内蔵した機器から、メモリ領域へのあらゆる利用を停止させることができるようにした。

図１４には、ＩＣカードにおけるメモリ領域の利用停止及び利用再開機能を付加した制御システム構成を模式的に示している。同図に示すように、この制御システムは、オペレーティング・システム内のサブシステムとして実装され、プロトコル・インターフェース部と、ＯＳ中枢部と、ファイル・システムで構成される。

ファイル・システムは、ファイル・システム・エンティティとしてのＥＥＰＲＯＭ４３へ物理アクセスを行なう。ＥＥＰＲＯＭ４３上に展開されるメモリ領域は、１以上のファイル・システムで構成される。

ここで、メモリ領域には「停止フラグ」が設けられている。そして、プロトコル・インターフェース部は、外部機器又はプログラムからのアクセスを受け付ける前に、メモリ領域上の停止フラグを判定し、停止フラグが偽（Ｆａｌｓｅ）の場合は当該オペレーティング・システムへのアクセスを受け付ける。

さらに、プロトコル・インターフェース部は、カード発行者からの利用停止コマンドによる利用停止依頼を受け取ったことに応答して、メモリ領域上の停止フラグを真（Ｔｒｕｅ）に設定する。利用停止フラグが真になった以降は、次に利用開始コマンドにより利用が再開されるまでの間は、プロトコル・インターフェース部は、外部機器又はプログラムからのアクセス時にこの停止フラグの値が真であることを判定し、オペレーティング・システムへのアクセスを一切受け付けなくなる。

図１５には、上述したような利用停止機能を利用してＩＣカードの利用を停止した場合の様子を概念的に示している。

プロトコル・インターフェース部は、外部機器又はプログラムからのアクセスを受け付ける前に、メモリ領域上の停止フラグを判定する。そして、停止フラグの値が真（Ｔｒｕｅ）になっていることを確認すると、オペレーティング・システムへのアクセスを拒絶する。

このように、本実施形態では、ＩＣカード内のメモリ領域のみをセキュアに利用停止することが可能となり、メモリ領域を搭載した危機を安全に管理・運用することができる。したがって、例えばＩＣカード機能が携帯電話機やその他の携帯機器、ＣＥ機器に内蔵して用いられる場合、機器本体の故障修理やメンテナンス時に一時的にＩＣカードの利用を停止し、メモリ・データへのアクセスを禁止することができる。

本実施形態では、元のカード発行者がメモリ領域に停止フラグを設定する権限を有しているものとする。したがって、ＩＣカードのユーザは、ＩＣカードの利用を停止したい場合には、カード発行者にその旨をリクエストする。

また、本実施形態では、ＩＣカードの利用を停止した後、さらに機器がユーザの手元に戻る際には、メモリ領域の停止フラグの値を偽（＝Ｆａｌｓｅ）に書き換えるという簡単な手続きによりＩＣカードの利用を再開することができる。

図１６には、上述したような利用再開機能を利用して、利用停止中のＩＣカードの利用を再開した場合の様子を概念的に示している。

ＩＣカードのオペレーティング・システムが利用再開を受け付けるためには、利用停止時にプロトコル・インターフェース部にて活性化される、利用再開受付インターフェースを利用する。利用再開機能を利用するためには、カード発行者が運用コントロールすることができる発行者鍵Ｋ_Iを知っていなければならない。また、利用を再開した場合は、利用再開受付インターフェースは非活性化される。

本実施形態では、元のカード発行者がメモリ領域に停止フラグを設定し解除する権限を有しているものとする。したがって、ＩＣカードのユーザは、ＩＣカードの利用を停止したい場合や利用を再開したい場合には、カード発行者にその旨をリクエストする。

図１７には、カード発行者がメモリ領域に停止フラグを設定するためのコマンド実行を要求する手続きを示している。但し、カード発行者とＩＣカードとの通信は、電磁誘導作用に基づく非接触近距離通信インターフェースを利用しても、あるいはＵＡＲＴ４８やＩ²Ｃ４９などの有線インターフェースを利用して行なう。

カード発行者は、ＩＣカードの実行環境であるオペレーティング・システムに対しポーリングして、ファイル・システムのシステム・コードＳＣを引数にしたファイル・システムのエリアＩＤ要求を行なう。

この要求メッセージをトリガにして、カード発行者と、ＩＣカードの実行環境であるオペレーティング・システムの間で、複数往復にまたがる通信動作で構成される相互認証手続きを経て、要求に対する戻り値として、エリアＩＤがサービス提供元事業者へ返される。なお、相互認証手続きの構成についてはＩＣカードの仕様毎に相違し、本発明の要旨には直接関連しないので、ここでは詳細な説明を省略する。

この認証手続きに続いて、カード発行者は、ＩＣカードのオペレーティング・システムに対して、ファイル・システム内への停止フラグ設定要求コマンドの転送を行なう。この停止要求設定要求コマンドは、エリアＩＤと、要求パッケージを引数として行なわれる。要求パッケージは当該サービス提供元事業者の発行者鍵Ｋ_Iで暗号化されているので、第３者からは改竄されない。

停止フラグ設定要求コマンドがＩＣカードのオペレーティング・システムに届くと、引数に含まれるエリアＩＤに基づいて、停止フラグ設定要求パッケージがカード発行者のファイル・システムへ渡され、その発行者鍵Ｋ_Iで解読され、要求パッケージの中身が取り出される。そして、停止フラグに真（Ｔｒｕｅ）を設定すると、そのステータスが要求元であるカード発行者に返される。

また、図１８には、カード発行者がメモリ領域に設定した停止フラグを解除するためのコマンド実行を要求する手続きを示している。但し、カード発行者とＩＣカード間の通信は、電磁誘導作用に基づく非接触近距離通信インターフェースを利用しても、あるいはＵＡＲＴ４８やＩ²Ｃ４９などの有線インターフェースを利用して行なう。

この認証手続きに続いて、カード発行者は、ＩＣカードのオペレーティング・システムに対して、ファイル・システム内への利用再開要求コマンドの転送を行なう。この利用再開要求コマンドは、エリアＩＤと、要求パッケージを引数として行なわれる。要求パッケージは当該サービス提供元事業者の発行者鍵Ｋ_Iで暗号化されているので、第３者からは改竄されない。

利用再開要求コマンドがＩＣカードのオペレーティング・システムに届くと、引数に含まれるエリアＩＤに基づいて、利用再開要求パッケージがカード発行者のファイル・システムへ渡され、その発行者鍵Ｋ_Iで解読され、要求パッケージの中身が取り出される。そして、停止フラグに偽（Ｆａｌｓｅ）を設定すると、そのステータスが要求元であるカード発行者に返される。

このように、ＩＣカード内のメモリ領域の利用停止及び利用再開機能を付加することで、以下のようなときに、メモリ領域の利用やクラッキングを一時制限することができるようになる。

（１）ユーザがＩＣカードの利用を停止したいとき
（２）カード発行者が一時的にユーザまたは第３者にＩＣカードを利用させたくないとき

後者の例としては、ＩＣカードの運送時、カード印刷時、携帯電話機など危機への組み込み時、故障解析時などが挙げられる。ここで言う故障解析には、ＩＣカード自体の故障と、ＩＣカード機能を組み込んだ機器本体の故障を含む。

以上、特定の実施形態を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施形態の修正や代用を成し得ることは自明である。

本明細書では、ＩＣカードに内蔵されているメモリ領域についての情報管理方法を例にとって本発明の一実施形態について説明してきたが、本発明の要旨はこれに限定されるものではなく、ＩＣカード以外の機器に内蔵されているメモリの管理にも同様に適用することができる。

要するに、例示という形態で本発明を開示してきたのであり、本明細書の記載内容を限定的に解釈するべきではない。本発明の要旨を判断するためには、冒頭に記載した特許請求の範囲の欄を参酌すべきである。

図１は、電磁誘導に基づくカード読み書き装置とＩＣカードとの無線通信の仕組みを概念的に示した図である。図２は、カード読み書き装置とＩＣカードからなる系を１個のトランスとして捉えてモデル化した図である。図３は、本発明の実施形態に係るデータ通信装置のハードウェア構成を示した図である。本発明の一実施形態に係るＩＣカードにおけるメモリ領域の制御システム構成を模式的に示した図である。図５は、ＩＣカードを用いたサービス提供システムの全体的構成を模式的に示した図である。図６は、元のカード発行者が自らのファイル・システムのみを管理しているメモリ領域の状態を示した図である。図７は、カード発行者が自らのファイル・システムの空き領域の内で、ある範囲のメモリを領域管理者に貸与（又は譲渡）することが許可できることを示した図である。図８は、他のサービス提供元事業者が、カード発行者から許可された領域においてメモリ領域を分割し、新たなファイル・システムを生成した状態を示した図である。図９は、共通領域管理者が、カード発行者から許可された領域において、共通領域のシステム・コードＳＣ０でメモリを分割した状態を示した図である。図１０は、分割操作の繰り返しにより、ＩＣカードのメモリ領域上に複数のファイル・システムが共存するメモリ空間の構造を模式的に示した図である。図１１は、発行者鍵でパッケージ化された要求コマンドの構成を模式的に示した図である。図１２は、サービス提供元事業者（元のカード発行者を含む）が自己のファイル・システム内にコマンド実行を要求する手続きを示したシーケンス図である。図１３は、ファイル・システム内のディレクトリ構造例を模式的に示した図である。図１４は、ＩＣカードにおけるメモリ領域の利用停止及び利用再開機能を付加した制御システム構成を模式的に示した図である。図１５は、利用停止機能を利用してＩＣカードの利用を停止した場合の様子を概念的に示した図である。図１６は、利用停止中のＩＣカードの利用を再開した場合の様子を概念的に示した図である。図１７は、カード発行者がメモリ領域に停止フラグを設定するためのコマンド実行を要求する手続きを示した図である。図１８は、カード発行者がメモリ領域に設定した停止フラグを解除するためのコマンド実行を要求する手続きを示した図である。

符号の説明

１１…発行者用通信装置
１２…運用者要通信装置
１３…製造者用通信装置
１４…記憶領域分割装置
１５…運用ファイル登録装置
１６…ＩＣカード
１７…ネットワーク
２１…カード発行者
２２…カード記憶領域運用者
２３…装置製造者
２４…カード記憶領域使用者
２６…カード所有者
３０…カード機能アナログ回路部
３１…整流器
３２…アンテナ
３３…シリアル・レギュレータ
３４…搬送波検出器
３５…クロック抽出器
３６…クロック選択器
３７…クロック発振器
３８…論理回路
３９…電圧検出器
４０…データ処理部
４１…ＲＡＭ
４２…ＲＯＭ
４３…ＥＥＰＲＯＭ
４４…信号処理部
４５…ＣＰＵ
４６…データ暗号化エンジン
４７…エラー訂正部
４８…ＵＡＲＴインターフェース
４９…Ｉ²Ｃインターフェース
５０…リーダ／ライタ機能アナログ回路部
５１…送信アンプ
５２…送信アンテナ
５３…受信信号検出器
５４…受信アンプ・フィルタ
５５…受信アンテナ
１００…データ通信装置

Claims

メモリ空間を備え、１以上のファイル・システムに分割して管理するデータ通信装置であって、
外部機器又はプログラムから前記メモリ空間へのアクセスを処理するプロトコル・インターフェース手段と、
前記メモリ空間に割り当てられた、前記メモリ空間が利用停止の状態か否かを示す停止フラグとを備え、
前記プロトコル・インターフェース手段は、外部機器又はプログラムからのアクセスを受け付けたときに前記停止フラグを確認し、値が真のときはアクセスを許可するが値が真のときにはアクセスを拒否する、
ことを特徴とするデータ通信装置。
前記メモリ空間の利用を停止するときに前記停止フラグの値を真に書き換え、前記メモリ空間の利用を再開するときに前記停止フラグの値を偽に書き換える手段をさらに備える、
ことを特徴とする請求項１に記載のデータ通信装置。
メモリ空間を備え、１以上のファイル・システムに分割して管理するデータ通信装置のメモリ管理方法であって、前記メモリ空間には前記メモリ空間が利用停止の状態か否かを示す停止フラグが割り当てられており、
外部機器又はプログラムからのアクセスを受け付けたときに前記停止フラグを確認するステップと、
前記停止フラグの値が偽のときに外部機器又はプログラムからのアクセスを許可するステップと、
前記停止フラグの値が真のときに外部機器又はプログラムからのアクセスを拒否するステップと、
ことを特徴とするデータ通信装置のメモリ管理方法。
前記メモリ空間の利用を停止するときに前記停止フラグの値を真に書き換えるステップと、
前記メモリ空間の利用を再開するときに前記停止フラグの値を偽に書き換えるステップと、
をさらに備えることを特徴とする請求項３に記載のデータ通信装置のメモリ管理方法。