JP2005352962A - 情報管理装置及び情報管理方法 - Google Patents

Abstract

【課題】 ＩＣカード発行者と個々のメモリ領域が割り当てられたサービス提供元事業者が、それぞれ個別に各領域の利用を停止できるようにすることで、メモリ領域を柔軟に運用する。
【解決手段】 個々のサービス提供元事業者も、個別キーを変更することにより、メモリ領域の分割により自分自身の領域の利用を停止することができる。一方、個別キーを元に戻しただけでは、該当するメモリ領域の利用を再開することはできず、ＩＣカード発行者の承認若しくは承諾を得て、集合キーとともに更新し、新たな認証キーを得なければ利用を再開することはできない。
【選択図】 図１６

Description

本発明は、比較的大容量のメモリ領域に格納された情報へのアクセスを管理する情報管理装置及び情報管理方法に係り、特に、メモリ領域上に電子的な価値情報を格納して電子決済を始めとするセキュアな情報のやり取りを行なう情報管理装置及び情報管理方法に関する。

さらに詳しくは、本発明は、メモリ領域上に個別のサービス提供元事業者用のファイル・システムを割り当てて、ファイル・システム内で当該事業者によるサービス運用のための情報を管理する情報管理装置及び情報管理方法に係り、特に、単一のメモリ領域上にサービス提供元事業者毎のファイル・システムを割り当て、単一の記憶媒体を複数の事業者で共有し、単一の記憶媒体により複数のサービスを提供する情報管理装置及び情報管理方法に関する。

ＩＣカードに代表される非接触・近接通信システムは、操作上の手軽さから、広範に普及している。例えば、暗証コードやその他の個人認証情報、電子チケットなどの価値情報などをＩＣカードに格納しておくことにより、キャッシュ・ディスペンサやコンサート会場の出入口、駅の改札口などにおいて、入場者や乗車者の認証処理を行なうことができる。

この種の無線通信には、一般に、電磁誘導の原理に基づいて実現される。すなわち、メモリ機能を有するＩＣカードと、ＩＣカードのメモリに対して読み書きアクセスをするカード・リーダ／ライタで構成され、１次コイルとしてのＩＣカード側のループ・コイルと２次コイルとしてのカード・リーダ／ライタ側のアンテナが系として１個のトランスを形成している。そして、カード・リーダ／ライタ側からＩＣカードに対して、電力と情報を同じく電磁誘導作用により伝送し、ＩＣカード側では供給された電力によって駆動してカード・リーダ／ライタ側からの質問信号に対して応答することができる。したがって、ＩＣカード自体は、バッテリなどの駆動電源を持つ必要がない。

ＩＣカードの一般的な使用方法は、利用者がＩＣカードをカード・リーダ／ライタをかざすことによって行なわれる。カード・リーダ／ライタ側では常にＩＣカードをポーリングしており外部のＩＣカードを発見することにより、両者間の通信動作が開始する。

最近では、微細化技術の向上とも相俟って、比較的大容量のメモリを持つＩＣカードが出現している。大容量メモリ付きのＩＣカードによれば、メモリ空間上にファイル・システムを展開し、複数のアプリケーションを同時に格納しておくことにより、１枚のＩＣカードを複数の用途に利用することができる。例えば、１枚のＩＣカード上に、電子決済を行なうための電子マネーや、特定のコンサート会場に入場するための電子チケットなど、複数のアプリケーションを格納しておくことにより、１枚のＩＣカードをさまざまな用途に適用させることができる。ここで言う電子マネーや電子チケットは、利用者が提供する資金に応じて発行される電子データを通じて決済（電子決済）される仕組み、又はこのような電子データ自体を指す。

ＩＣカードの一般的な使用方法は、利用者がＩＣカードをカード・リーダ／ライタをかざすことによって行なわれる。カード・リーダ／ライタ側では常にＩＣカードをポーリングしており外部のＩＣカードを発見することにより、両者間の通信動作が開始する。

このとき、利用者が暗証番号をＩＣカード・リーダ側に入力して、入力された暗証番号をＩＣカード上に格納された暗証番号と照合することで、ＩＣカードとＩＣカード・リーダ／ライタ間で本人確認又は認証処理が行なわれる。（ＩＣカード・アクセス時に使用する暗証番号のことを、特にＰＩＮ（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）と呼ぶ。）そして、本人確認又は認証処理に成功した場合には、例えば、ＩＣカード内に保存されているアプリケーションの利用、すなわち、アプリケーションに割り当てられているサービス・メモリ領域へのアクセスが可能となる（本明細書中では、アプリケーションに割り当てられているメモリ領域を「サービス・メモリ領域」と呼ぶ）。サービス・メモリ領域へのアクセスは、アプリケーションのセキュリティ・レベルなどに応じて、適宜暗号化通信が行なわれる。

さらに、ＩＣカードやカード用リーダ／ライタ（カード読み書き装置）が無線・非接触インターフェースの他に、外部機器と接続するための有線インターフェース（図示しない）を備え、携帯電話機、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）やＣＥ（Ｃｏｎｓｕｍｅｒ Ｅｌｅｃｔｒｏｎｉｃｓ）機器、パーソナル・コンピュータなどの各機器に内蔵して用いることにより，これらの機器にＩＣカード及びカード・リーダ／ライタのいずれか一方又は双方の機能を装備することができる。このような場合、ＩＣカード技術を汎用性のある双方向の近接通信インターフェースとして利用することができる。

例えば、コンピュータや情報家電機器のような機器同士で近接通信システムが構成される場合には、ＩＣカードを利用した非接触通信は一対一で行なわれる。また、ある機器が非接触ＩＣカードのような機器以外の相手デバイスと通信することも可能であり、この場合においては、１つの機器と複数のカードにおける一対多の通信を行なうアプリケーションも考えられる。

また、電子決済を始めとする外部との電子的な価値情報のやり取りなど、ＩＣカードを利用したさまざまなアプリケーションを、情報処理端末上で実行することができる。例えば、情報処理端末上のキーボードやディスプレイなどのユーザ・インターフェースを用いてＩＣカードに対するユーザ・インタラクションを情報処理端末上で行なうことができる。また、ＩＣカードが携帯電話機と接続されていることにより、ＩＣカード内に記憶された内容を電話網経由でやり取りすることもできる。さらに、携帯電話機からインターネット接続して利用代金をＩＣカードで支払うことができる。

このように、あるサービス提供元事業者用のファイル・システムをＩＣカードの内蔵メモリに割り当てて、このファイル・システム内で当該事業者によるサービス運用のための情報（例えば、ユーザの識別・認証情報や残りの価値情報、使用履歴（ログ）など）を管理することにより、従来のプリペイド・カードや店舗毎のサービス・カードに置き換わる、非接触・近接通信を基調とした有用なサービスを実現することができる。

従来、サービス提供元事業者毎にＩＣカードが個別に発行され、ユーザの利用に供されていた。このため、ユーザは、利用したいサーヒス毎にＩＣカードを取り揃え、携帯しなければならなかった。これに対し、比較的大容量のメモリ空間を持つＩＣカードによれば、単一のＩＣカードの内蔵メモリに複数のサービスに関する情報を記録するだけの十分な容量を確保することができる（例えば、非特許文献１を参照のこと）。

ところが、複数のサービス提供元事業者間で単一のメモリ領域を共有した場合、あるサービス提供元事業者が使用するメモリ領域を、メモリを共用する別の事業者から自由にアクセスできるようにすると、事業者毎に設定される価値情報が他の事業者によって不正利用を許してしまうことになりかねない。この結果、事業者側では健全なサービス提供を行なえなくなり、また、ユーザにとっては換金性の高い価値情報が流出の危機にさらされ、経済的な損害を被る。

したがって、ＩＣカードを複数のサービス提供元事業者間で共用する場合には、ユーザにとっては各サービス利用時において事業者自らが発行したＩＣカードであるかのような使い勝手を確保する一方、メモリ領域上の事業者毎の情報をセキュアに管理する機構を備えている必要がある。

また、ＩＣカードの柔軟な運用を図るためには、サービス提供元事業者毎に自分のメモリ領域の利用を停止することができるような仕組みを取り入れる必要がある。

ところが、各サービス提供元事業者が、ＩＣカード発行者の承認・承諾とは無関係に、一旦利用を停止したメモリ領域を、サービス提供元事業者が勝手に利用を再開できるようにした場合には、ＩＣカード発行者にとってかえって柔軟な運用が妨げられることになりかねない。

「無線ＩＣタグのすべて ゴマ粒チップでビジネスが変わる」（１０６〜１０７頁、ＲＦＩＤテクノロジ編集部、日経ＢＰ社、２００４年４月２０日発行）

本発明の目的は、メモリ領域上に電子的な価値情報を格納して電子決済を始めとするセキュアな情報のやり取りを好適に行なうことができる、優れた情報管理装置及び情報管理方法を提供することにある。

本発明のさらなる目的は、メモリ領域上にサービス提供元事業者用のファイル・システムを割り当てて、ファイル・システム内で当該事業者によるサービス運用のための情報を好適に管理することができる、優れた情報管理装置及び情報管理方法を提供することにある。

本発明のさらなる目的は、単一のメモリ領域上にサービス提供元事業者毎のファイル・システムを割り当て、単一の記憶媒体を複数の事業者で共有し、単一の記憶媒体により複数のサービスを提供することができる、優れた情報管理装置及び情報管理方法を提供することにある。

本発明のさらなる目的は、ＩＣカード若しくはＩＣチップ内のメモリ領域を複数のサービス提供元事業者間で共用する場合において、ＩＣカード発行者と個々のメモリ領域が割り当てられたサービス提供元事業者が、それぞれ個別に各領域の利用を停止できるようにすることで、メモリ領域を柔軟に運用することができる、優れた情報管理装置及び情報管理方法を提供することにある。

本発明は、上記課題を参酌してなされたものであり、メモリ空間を備え、前記メモリ空間を１以上のファイル・システムに分割して管理する情報管理装置であって、
全ファイル・システムについての集合鍵の登録及び変更と、ファイル・システム毎の個別鍵の登録及び変更を行なうとともに、集合鍵及び各個別鍵の変更履歴を管理する鍵管理部と、
集合鍵とファイル・システムの個別鍵の組み合わせに基づいてファイル・システムについての認証鍵を生成する認証鍵生成部と、
ファイル・システムの認証鍵による認証と、集合鍵及びファイル・システムの個別鍵の変更履歴に基づいて、該当するファイル・システムへのアクセスを制御するアクセス制御部と、
を具備することを特徴とする情報管理装置である。

ここで言う情報管理装置は、無線通信部及び、データ送受信機能とデータ処理部を有するＩＣチップを内蔵する非接触ＩＣカード、表面に端子を有する接触ＩＣカード、接触／非接触ＩＣカードと同様の機能を有するＩＣチップを携帯電話機、ＰＨＳ（Ｐｅｒｓｏｎａｌ Ｈａｎｄｙｐｈｏｎｅ Ｓｙｓｔｅｍ）、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）などの情報通信端末装置に内蔵した装置である。以下では、これらを総称して、単に「ＩＣカード」と呼ぶこともある。

この情報管理装置は、ＥＥＰＲＯＭなどのデータ蓄積メモリを含むメモリ領域とデータ処理部を有するとともに、データ通信機能を有するものである。携帯電話機などの場合は、ＩＣチップを内蔵するＩＣカードなどの外部記憶媒体を着脱可能に構成してもよい。また、携帯電話会社が発行する契約者情報を記録したＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）機能をＩＣチップに搭載してもよい。情報管理装置は、インターネットなどの情報通信ネットワークを介してデータ通信を行なってもよいし、外部端末装置と有線又は無線で直接データ通信を行なってもよい。

本発明は、ＩＣカードが持つ耐タンパ性と認証機能を利用した、価値情報のやり取りなどを含んだセキュリティが要求されるサービスの提供に関するするものである。具体的には、単一のメモリ領域上にサービス提供元事業者毎のファイル・システムを割り当て、単一の情報管理装置を複数の事業者で共有し、単一のデータ通信装置により複数のサービスを提供するようにした。メモリ領域をファイル・システムに分割することにより、ファイル・システム間の境界がファイヤ・ウォールとして機能し、他のファイル・システム（すなわち他のサービス提供元事業者）からのアクセスを好適に排除する。

メモリ領域が一旦分割されると、ファイル・システムへのアクセスは、元のＩＣカードの発行者ではなく、ファイル・システム自体のサービス提供元事業者への認証が要求される。したがって、ユーザにとっては、各サービス利用時において事業者自らが発行したＩＣカードであるかのような使い勝手を確保することができる。

ここで、ＩＣカードの柔軟な運用を実現するためには、サービス提供元事業者毎にファイル・システムの利用を停止することができるような仕組みを取り入れる必要がある。一方、サービス提供元事業者が自分に割り当てられたメモリ領域の利用の停止及び再開を勝手に行なえるようにすると、ＩＣカード発行者にとっては、全ファイル・システムの柔軟な運用の妨げになる。

本発明では、ＩＣカード発行者は、集合鍵を変更することにより、自分自身のメモリ領域、並びにメモリ領域の分割により一旦は他のサービス提供元事業者に利用を認めた領域を停止することができるとともに、変更した集合鍵を元に戻すことにより、ＩＣカード発行者自身のメモリ領域並びに各サービス提供元事業者に割り当てられた領域の利用が再開されるようにした。

一方、個々のサービス提供元事業者も、個別鍵を変更することにより、メモリ領域の分割により自分自身の領域の利用を停止することができる。ここで、個別鍵を元に戻しただけでは、該当するメモリ領域の利用を再開することはできず、ＩＣカード発行者の承認若しくは承諾を得て、集合鍵とともに更新し、新たな認証キーを得なければ利用を再開することはできないようにした。

したがって、サービス提供元事業者毎に区々にメモリ領域の利用停止及び再開をコントロールするという事態を回避しながら、全ファイル・システムのより柔軟なＩＣカードの運用を図ることができる。

本発明によれば、単一のメモリ領域上にサービス提供元事業者毎のファイル・システムを割り当て、単一の記憶媒体を複数の事業者で共有し、単一の記憶媒体により複数のサービスを提供することができる、優れた情報管理装置及び情報管理方法を提供することができる。

また、本発明によれば、ＩＣカード若しくはＩＣチップ内のメモリ領域を複数のサービス提供元事業者間で共用する場合において、ＩＣカード発行者と個々のメモリ領域が割り当てられたサービス提供元事業者が、それぞれ個別に各領域の利用を停止できるようにすることで、メモリ領域を柔軟に運用することができる、優れた情報管理装置及び情報管理方法を提供することができる。

本発明によれば、元のＩＣカードの発行者と、ＩＣカード内のメモリ領域を分割して利用する各サービス提供元事業者は、それぞれ個別にメモリ領域の利用を停止することにより、ＩＣカードの柔軟な運用を実現することができる。

ここで、ＩＣカード発行者は、集合鍵を変更することにより、自分自身のメモリ領域、並びにメモリ領域の分割により一旦は他のサービス提供元事業者に利用を認めた領域を停止することができるとともに、変更した集合鍵を元に戻すことにより、ＩＣカード発行者自身のメモリ領域並びに各サービス提供元事業者に割り当てられた領域の利用が再開される。

また、個々のサービス提供元事業者も、個別鍵を変更することにより、メモリ領域の分割により自分自身の領域の利用を停止することができる。一方、個別鍵を元に戻しただけでは、該当するメモリ領域の利用を再開することはできず、ＩＣカード発行者の承認若しくは承諾を得て、集合鍵とともに更新し、新たな認証キーを得なければ利用を再開することはできない。したがって、サービス提供元事業者毎に区々にメモリ領域の利用停止及び再開するという事態を回避しながら、より柔軟なＩＣカードの運用を図ることができる。

本発明のさらに他の目的、特徴や利点は、後述する本発明の実施形態や添付する図面に基づくより詳細な説明によって明らかになるであろう。

以下、図面を参照しながら本発明の実施形態について詳解する。

Ａ．ＩＣカードによる非接触データ通信システム
図１には、本発明を適用可能な非接触ＩＣカード通信システムの構成を模式的に示している。

この非接触カードシステムは、カード・リーダ／ライタ１と、ＩＣカード２と、コントローラ３で構成され、カード・リーダ／ライタ１とＩＣカード２との間では、電磁波を利用して非接触で、データの送受信が行なわれる。すなわち、カード・リーダ／ライタ１がＩＣカード２に所定のコマンドを送信し、ＩＣカード２は受信したコマンドに対応する処理を行なう。そして、ＩＣカード２は、その処理結果に対応する応答データをカード・リーダ／ライタ１に送信する。

カード・リーダ／ライタ１は、所定のインターフェース（例えば、ＲＳ−４８５Ａの規格などに準拠したもの）を介してコントローラ３に接続されている。コントローラ３は、カード・リーダ／ライタ１に対し制御信号を供給することで、所定の処理を行なわせる。

図２には、図１に示したカード・リーダ／ライタ１の構成例を示している。

ＩＣチップ・モジュール２１は、データの処理を行なうＤＰＵ（Ｄａｔａ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３１と、ＩＣカード２への送信信号及びＩＣカード２からの受信信号の処理を行なうＳＰＵ（Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３２と、コントローラ３との通信を行なうＳＣＣ（Ｓｅｒｉａｌ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｃｏｎｔｒｏｌｌｅｒ）３３と、データの処理に必要な情報をあらかじめ記憶しているＲＯＭ部４１並びに処理中の作業データを一時的に記憶するＲＡＭ部４２を含んだメモリ部３４で構成され、これらの機能モジュールがバスを介して相互接続されている。また、このバスには、所定のデータを記憶するフラッシュ・メモリ２２も接続されている。

ＤＰＵ３１は、ＩＣカード２への送信コマンドをＳＰＵ３２に出力するとともに、ＩＣカード２から受信した応答データをＳＰＵ３２から受け取り、所定のデータ処理を行なう。

ＳＰＵ３２は、ＩＣカード２への送信コマンドに対し、例えばＢＰＳＫ（ＢｉＰｈａｓｅ Ｓｈｉｆｔ Ｋｅｙｉｎｇ）などの変調処理を行なった後、変調回路２３に出力するとともに、ＩＣカード２からの応答データを復調回路２５から受け取り、そのデータに対し、ＢＰＳＫなどの所定の復調処理を行なう。

変調回路２３は、発振器２６より供給された所定の周波数（例えば１３．５６ＭＨｚ）の搬送波を、ＳＰＵ３２より供給されたデータでＡＳＫ（Ａｍｐｌｉｔｕｄｅ Ｓｈｉｆｔ Ｋｅｙｉｎｇ）変調し、生成された変調波をアンテナ２７から電磁波としてＩＣカード２に出力する。このとき、変調回路２３は、変調度を１未満にして、ＡＳＫ変調を行なう。すなわち、データがロー・レベルのときにおいても、変調波の最大振幅がゼロにならないようにする。

復調回路２５は、アンテナ２７を介して受信した変調波（ＡＳＫ変調波）を復調し、復調されたデータをＳＰＵ３２に出力するようになされている。

図３には、図１に示したＩＣカード２の構成例を示している。このＩＣカードは、ＩＣチップ・モジュール５１と、ループ上のアンテナ５３とで構成される。

ＩＣチップ・モジュール５１は、カード・リーダ／ライタ１から送信された変調波を、アンテナ５３を介して受信する。なお、コンデンサ５２は、アンテナ５３とともにＬＣ回路を構成し、所定の周波数（キャリア周波数）の電磁波に同調（共振）するようになされている。

ＩＣチップ・モジュール５１は、ＲＦインターフェース部６１や演算部６４などで構成される。ＲＦインターフェース部６１で、ＡＳＫ復調部８１と、電圧レギュレータ８２と、発振回路８３と、ＡＳＫ変調部８４で構成される。ＡＳＫ復調部８１は、アンテナ５３を介して受信した変調波（ＡＳＫ変調波）を検波して復調し、復調後のデータをＢＰＳＫ復調回路６２及びＰＬＬ（Ｐｈａｓｅ Ｌｏｃｋｅｄ Ｌｏｏｐ）部６３に出力する。電圧レギュレータ８２は、ＡＳＫ復調部８１が検波した信号を安定化し、各回路に直流電力として供給する。

また、ＲＦインターフェース部６１は、発振回路８３でデータのクロック周波数と同一の周波数の信号を発振し、その信号をＰＬＬ部６３に出力する。そして、ＡＳＫ変調部８４は、演算部６４より供給されたデータに対応し、ＩＣカード２の電源としてのアンテナ５３の負荷を変動させる（例えば、データに対応して所定のスイッチング素子をオン／オフさせ、スイッチング素子がオン状態であるときだけ所定の負荷をアンテナ５３に並列に接続する）ことにより、アンテナ５３を介して受信している変調波をＡＳＫ変調し、その変調成分をアンテナ５３を介してカード・リーダ／ライタ１に送信する。ＩＣカード２からデータを送信するときは、カード・リーダ／ライタ１は、その出力する変調波の最大振幅を一定にしており、この変調波が、アンテナ５３の負荷の変動により、ＡＳＫ変調される。また、このデータ送信に伴い、カード・リーダ／ライタ１のアンテナ２７の端子電圧が変動する。

ＰＬＬ部６３は、ＡＳＫ復調部８１より供給されたデータより、そのデータに同期したクロック信号を生成し、そのクロック信号をＢＰＳＫ復調回路６２及びＢＰＳＫ変調回路６８に出力する。

ＢＰＳＫ復調回路６２は、ＡＳＫ復調部８１で復調されたデータがＢＰＳＫ変調されている場合、ＰＬＬ部６３より供給されたクロック信号に従って、そのデータの復調を行ない、復調したデータを演算部６４に出力する。

演算部６４は、ＢＰＳＫ復調回路６２より供給されたデータが暗号化されている場合、そのデータを暗号／復号部９２で復号化した後、そのデータをシーケンサ９１で処理する。また、データが暗号化されていない場合、ＢＰＳＫ復調回路６２より供給されたデータは、暗号／復号部９２を介さず、シーケンサ９１に直接供給される。

シーケンサ９１は、そこに供給されるコマンドとしてのデータに対応する処理を行なう。例えば、シーケンサ９１は、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ＆Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）６６に対するデータの書き込みや読み出しなどの処理を行なう。

演算部６４のパリティ演算部９３は、ＥＥＰＲＯＭ６６に記憶されるデータや、ＥＥＰＲＯＭ６６に記憶されているデータから、パリティとしてリードソロモン符号を算出する。さらに、演算部６４は、シーケンサ９１で所定の処理を行なった後、その処理に対応する応答データ（カード・リーダ／ライタ１に送信するデータ）をＢＰＳＫ変調回路６８に出力する。

ＢＰＳＫ変調回路６８は、演算部６４より供給されたデータをＢＰＳＫ変調し、変調後のデータをＲＦインターフェース部６１のＡＳＫ変調部８４に出力する。

ＲＯＭ６５は、シーケンサ９１が行なうべき処理プログラムやその他の必要なデータを恒久的に記憶している。ＲＡＭ６７は、シーケンサ９１が処理を行なうときの作業データなどを一時的に記憶する。

ＥＥＰＲＯＭ６６は、不揮発性のメモリであり、例えば、ＩＣカード２上に電子決済を行なうための電子マネーや、特定のコンサート会場に入場するための電子チケットなど、多数のアプリケーションを格納しておくために利用される。ＩＣカード２自体は基本的にはバッテリなど駆動電源を持たないため、ＩＣカード２がカード・リーダ／ライタ１との通信を終了し、電力供給が停止した後も無電源状態でもデータを保持し続けることができるＥＥＰＲＯＭ６６のような不揮発性メモリが使用される。

次に、カード・リーダ／ライタ１とＩＣカード２間におけるデータの送受信処理について説明する。

カード・リーダ／ライタ１は、アンテナ２７から所定の電磁波を放射して、アンテナ２７の負荷状態を監視し、ＩＣカード２が接近することによる負荷状態の変化が検出されるまで待機する。なお、カード・リーダ／ライタ１は、所定の短いパターンのデータでＡＳＫ変調した電磁波を放射して、ＩＣカード２への呼びかけを、ＩＣカード２からの応答が一定時間内において得られるまで繰り返す処理（ポーリング）を行なうようにしてもよい。

カード・リーダ／ライタ１においてＩＣカード２の接近が検出されると、Ｒ／Ｗ１のＳＰＵ３２は、所定の周波数（例えば、データのクロック周波数の２倍の周波数）の矩形波を搬送波として、ＩＣカード２に送信するデータ（ＩＣカード２に実行させる処理に対応するコマンドやＩＣカード２に書き込むデータなど）でＢＰＳＫ変調を行ない、生成した変調波（ＢＰＳＫ変調信号）を変調回路２３に出力する。

なお、ＢＰＳＫ変調時においては、差動変換を利用して、変調波の位相の変化に、データを対応させることができる。このようにした場合、ＢＰＳＫ変調信号が反転しても、元のデータに復調されるので、復調するとき変調波の極性を配慮する必要が無くなる。

変調回路２３は、入力されたＢＰＳＫ変調信号で、所定の搬送波を１未満（例えば０．１）の変調度（＝データ信号の最大振幅／搬送波の最大振幅）でＡＳＫ変調し、生成された変調波（ＡＳＫ変調波）を、アンテナ２７を介してＩＣカード２に送信する。

なお、送信を行なわないとき、変調回路２３は、ディジタル信号の２つのレベル（ハイレベルとローレベル）のうちの、例えばハイレベルで変調波を生成する。

ＩＣカード２では、アンテナ５３及びコンデンサ５２で構成されるＬＣ回路において、カード・リーダ／ライタ１のアンテナ２７が放射した電磁波の一部が電気信号に変換され、その電気信号（変調波）がＩＣチップ・モジュール５１のＲＦインターフェース６１に出力される。そして、ＲＦインターフェース６１のＡＳＫ復調部８１は、その変調波を整流平滑化することで包絡線検波を行ない、これにより生成される信号を電圧レギュレータ８２に供給するとともに、その信号の直流成分を抑制してデータ信号を抽出し、そのデータ信号をＢＰＳＫ復調回路６２及びＰＬＬ部６３に出力する。

電圧レギュレータ８２は、ＡＳＫ復調部８１より供給された信号を安定化し、直流電力を生成し、各回路に供給する。

なお、このとき、アンテナ５３の端子電圧Ｖ₀ は、例えば次のようになる。

Ｖ₀＝Ｖ₁₀（１＋ｋ×Ｖ_s（ｔ））ｃｏｓ（ωｔ）

但し、Ｖ₁₀ｃｏｓ（ωｔ）は搬送波を、ｋは変調度を、Ｖ_s（ｔ）はＳＰＵ３２が出力するデータを、それぞれ表す。

また、ＡＳＫ復調部８１による整流後の電圧Ｖ₁におけるローレベルの値Ｖ_LRは、例えば次のようになる。

Ｖ_LR＝Ｖ₁₀（１＋ｋ×（−１））−Ｖ_f

ここで、Ｖ_fは、ＡＳＫ復調部８１において、整流平滑化を行なうための整流回路を構成するダイオードにおける電圧降下を示しており、一般に０．７ボルト程度である。

電圧レギュレータ８２は、ＡＳＫ復調部８１により整流平滑化された信号を受信すると、その信号を安定化し、直流電力として、演算部６４を始めとする各回路に供給する。なお、変調波の変調度ｋは１未満なので、整流後の電圧変動（ハイレベルとローレベルの差）が小さい。したがって、電圧レギュレータ８２において、直流電力を容易に生成することができる。

例えば、変調度ｋが５％の変調波を、Ｖ₁₀が３ボルト以上になるように受信した場合、整流後のローレベル電圧Ｖ_LRは２．１５（＝３×（１−０．０５）−０．７）ボルト以上となり、電圧レギュレータ８２は電源として充分な電圧を各回路に供給することができる。この場合、整流後における電圧Ｖ₁ の交流成分（データ成分）の振幅２×ｋ×Ｖ₁₀（Ｐｅａｋ−ｔｏ−Ｐｅａｋ値）は０．３（＝２０．０５×３）ボルト以上になり、ＡＳＫ復調部８１は十分高いＳ／Ｎ比でデータの復調を行なうことができる。

このように、変調度ｋが１未満のＡＳＫ変調波を利用することにより、エラーレートの低い（Ｓ／Ｎ比の高い状態で）通信を行なうとともに、電源として十分な直流電圧がＩＣカード２に供給される。

ＢＰＳＫ復調回路６２は、ＡＳＫ復調部８１からデータ信号（ＢＰＳＫ変調信号）を受信すると、そのデータ信号を、ＰＬＬ部６３より供給されるクロック信号に従って復調し、復調したデータを演算部６４に出力する。

演算部６４は、ＢＰＳＫ復調回路６２より供給されたデータが暗号化されている場合は、暗号／復号部９２で復号化した後、そのデータ（コマンド）をシーケンサ９１に供給して処理する。なお、ＩＣカード２にデータを送信後、それに対する返答を受信するまでの間、カード・リーダ／ライタ１は、値が１のデータを送信したまま待機している。したがって、この期間においては、ＩＣカード２は最大振幅が一定である変調波を受信している。

シーケンサ９１は、処理が終了すると、カード・リーダ／ライタ１に送信するデータをＢＰＳＫ変調回路６８に出力する。ＢＰＳＫ変調回路６８は、カード・リーダ／ライタ１側のＳＰＵ３２と同様に、そのデータをＢＰＳＫ変調した後、ＲＦインターフェース部６１のＡＳＫ変調部８４に出力する。

ＡＳＫ変調部８４は、アンテナ５３の両端に接続される負荷を、スイッチング素子を利用して変動させることができる。すなわち、ＢＰＳＫ変調回路６８からのデータに応じて負荷変動させることにより、受信している変調波を送信するデータに応じてＡＳＫ変調し、これによりカード・リーダ／ライタ１のアンテナ２７の端子電圧を変動させて、そのデータをカード・リーダ／ライタ１に送信する。

一方、カード・リーダ／ライタ１側の変調回路２３は、ＩＣカード２からのデータの受信時においては、値が１（ハイレベル）のデータの送信を継続している。そして、復調回路２５において、ＩＣカード２のアンテナ５３と電磁気的に結合しているアンテナ２７の端子電圧の微小な変動（例えば、数十マイクロボルト）から、ＩＣカード２により送信されてきたデータが検出される。

さらに、復調回路２５では、検出した信号（ＡＳＫ変調波）が高利得の増幅器で増幅されて復調され、その結果得られるデジタル・データがＳＰＵ３２に出力される。ＳＰＵ３２は、そのデータ（ＢＰＳＫ変調信号）を復調し、ＤＰＵ３１に出力する。ＤＰＵ３１は、ＳＰＵ３２からのデータを処理し、その処理結果に応じて、通信を終了するか否かを判断する。

そして、再度、通信を行なうと判断した場合、上述した場合と同様にして、カード・リーダ／ライタ１とＩＣカード２との間で通信が行なわれる。一方、通信を終了すると判断した場合、カード・リーダ／ライタ１は、ＩＣカード２との通信処理を終了する。

以上のように、カード・リーダ／ライタ１は、変調度ｋが１未満であるＡＳＫ変調を利用してＩＣカード２にデータを送信する。そして、ＩＣカード２は、そのデータを受け取り、そのデータに対応する処理を行ない、その処理結果に対応するデータをカード・リーダ／ライタ１に返送する。

Ｂ．ファイル・システムの共有
図４には、ＩＣカードを用いて実現される、電子マネーや電子チケット、その他の価値情報を運用するサービス提供システムの全体的構成を模式的に示している。

図示のシステム１００は、例えば、ＩＣカード発行者１２１が使用する発行者用通信装置１１１と、カード記憶領域運用者１２２が使用する運用者用通信装置１１２と、装置製造者１２３が使用する製造者用通信装置１１３と、カード記憶領域使用者１２４が使用する記憶領域分割装置１１４及び運用ファイル登録装置１１５とで構成される。

ＩＣカード発行者１２１がカード所有者１２６にＩＣカード１１６を発行した場合に、所定の条件に基づいて、カード記憶領域使用者１２４によって提供されるサービスに係わるファイル・データをＩＣカード１６に登録し、カード所有者１２６が単体のＩＣカード１１６を用いて、ＩＣカード発行者１２１及びカード記憶領域使用者１２４の双方のサービスを受けることを可能にするものである。

図４に示すように、システム１００では、発行者用通信装置１１１、運用者用通信装置１１２、製造者用通信装置１１３、記憶領域分割装置１１４及び運用ファイル登録装置１１５が、ネットワーク１１７を介して接続される。

ＩＣカード発行者１２１は、ＩＣカード１１６の発行を行なう者であり、ＩＣカード１１６を用いて自らのサービスを提供する。

カード記憶領域運用者１２２は、ＩＣカード発行者１２１からの依頼を受けて、ＩＣカード発行者１２１が発行したＩＣカード１１６内の記憶部（半導体メモリ）に構成される記憶領域のうち、ＩＣカード発行者１２１が使用しない記憶領域をカード記憶領域使用者１２４に貸し出すサービスを行なう者である。

装置製造者１２３は、カード記憶領域運用者１２２から依頼を受けて、記憶領域分割装置１１４を製造し、カード記憶領域使用者１２４に納品する者である。

カード記憶領域使用者１２４は、カード記憶領域運用者１２２に依頼を行ない、ＩＣカード１１６の記憶領域を使用して自らの独自のサービスを提供する者であり、メモリ領域を分割して新たなファイル・システムを作成するサービス提供元事業者（前述）に相当し、自己のファイル・システムを利用して自身のサービス提供を行なう。

カード所有者１２６は、ＩＣカード発行者１２１からＩＣカード１１６の発行を受け、ＩＣカード発行者１２１が提供するサービスを受ける者である。カード所有者１２６は、ＩＣカード１１６の発行後に、カード記憶領域使用者１２４が提供するサービスを受けることを希望する場合には、記憶領域分割装置１１４及び運用ファイル登録装置１１５を用いて、カード記憶領域使用者１２４のサービスに係わるファイル・データをＩＣカード１１６に記憶し、その後、カード記憶領域使用者１２４のサービスを受けることができるようになる。

システム１００は、ＩＣカード発行者１２１のサービスと、カード記憶領域使用者１２４のサービスとを単体のＩＣカード１１６を用いて提供するに当たって、ＩＣカード発行者１２１及びカード記憶領域使用者１２４のサービスに係わるファイル・データが記憶される記憶領域に、権限を有しない他人によって不正にデータの書き込み及び書き換えなどが行なわれることを困難にする構成を有している。

ＩＣカード１１６は、その字義通り、カード型のデータ通信装置であってもよいし、いわゆる１ＩＣカード機能が実装された半導体チップを内蔵した携帯電話機（あるいはその他の携帯端末やＣＥ機器）として具現化されることもある。

なお、図４では、それぞれ単数のＩＣカード発行者１２１、カード記憶領域使用者２４及びカード所有者２６がある場合を例示したが、これらは、それぞれ複数であってもよい。

ＩＣカードが持つ耐タンパ性と認証機能を利用して、価値情報のやり取りなどを含んだセキュリティが要求されるサービスを提供することができる。具体的には、ＩＣカード内の単一のメモリ領域を複数のサービス提供元事業者間で共有し、サービス提供元事業者においてはカード発行の負担が軽減するとともに、ユーザにとっては携帯して管理するＩＣカードの枚数を削減するものである。

ここで、複数のサービス提供元事業者間で単一のメモリ領域を共有した場合、あるサービス提供元事業者が使用するメモリ領域を、メモリを共用する別の事業者から自由にアクセスできるようにすると、事業者毎に設定される価値情報が他の事業者によって不正利用を許してしまう、という問題がある。

そこで、本実施形態では、単一のメモリ領域上にサービス提供元事業者毎のファイル・システムを割り当て、単一のＩＣカードを複数の事業者で共有し、単一のＩＣカードにより複数のサービスを提供するようにした。メモリ領域をファイル・システムに分割することにより、ファイル・システム間の境界がファイヤ・ウォールとして機能し、他のファイル・システムからの不正なアクセスを好適に排除することができる。

ＩＣカード内のメモリ領域は、初期状態では、ＩＣカード発行者がメモリ領域全体を管理している。ＩＣカード発行者以外のサービス提供元事業者がメモリ領域から新たなファイル・システムを分割するに際しては、メモリ領域の分割権限と、ＩＣカード発行者に対する認証の双方が要求される。

そして、一旦分割されると、ファイル・システムへのアクセスは、元のＩＣカードの発行者ではなく、ファイル・システム自体のサービス提供元事業者への認証が要求される。したがって、ユーザにとっては、各サービス利用時において事業者自らが発行したＩＣカードであるかのような使い勝手を確保することができる。分割操作を繰り返すことにより、ＩＣカード内のメモリ領域は複数のファイル・システムが共存する構造となる。ファイル・システムの分割は、仮想的なＩＣカードの発行である。

ここで、図５〜図６を参照しながら、ＩＣカード内のメモリ領域の運用形態について説明する。

図５には、元のカード発行者が自らのファイル・システムのみを管理しているメモリ領域の状態を示している。元のカード発行者のシステム・コードＳＣ１は、システム・コードの管理機構が付与する。外部機器又はプログラムがカード発行者のファイル・システムにアクセスする場合は、ＳＣ１を識別コード（すなわち、要求コマンドの引数）とする。

図６には、カード発行者が自らのファイル・システムの空き領域の内で、ある範囲のメモリを領域管理者に貸与（又は譲渡）することが許可できることを示している。この段階では，まだメモリ領域上のファイル・システムに対して分割が行なわれている訳ではない。カード発行者は、自らのファイル・システムに空き領域はあるうちは、複数の領域管理者に対して、メモリを貸与することを許可できる。例えば、４ビットのシステム・コードでファイル・システムを識別するという実装では、最大１６分割（１５回まで分割）することができる。

図７には、他のサービス提供元事業者が、カード発行者から許可された領域においてメモリ領域を分割し、新たなファイル・システムを生成した状態を示している。この新規ファイル・システムには、システム・コードの管理機構からシステム・コードＳＣ２が付与されている。外部機器又はプログラムが、当該メモリ領域管理者（サービス提供元事業者）の運用するファイル・システムにアクセスする場合は、ＳＣ２を識別コード（要求コマンドの引数）とする。

図８には、共通領域管理者が、カード発行者から許可された領域において、共通領域のシステム・コードＳＣ０でメモリを分割した状態を示している。外部機器又はプログラムがこの共通領域管理者の運用領域であるファイル・システムにアクセスする場合には、そのシステム・コードＳＣ０を識別コード（要求コマンドの引数）とする。

ＩＣカードのメモリ領域は、分割操作を繰り返すことにより、図９に示すように複数のファイル・システムが共存する構造となる。元のカード発行者、並びにカード発行者の許可によりＩＣカード上で自己のファイル・システムを取得したサービス提供元事業者は、それぞれ自己のファイル・システムを利用して、エリアやサービスを配設し（後述）、自身の事業展開に利用することができる。

ここで、１つのファイル・システム内での運用形態について説明する。基本的には、どのファイル・システムにおいても同様の動作が実現されるものとする。また、ファイル・システムの操作を行なうためには、ポーリングによるエリアＩＤの要求と、相互認証という手続き（前述）を経ていることを前提とする。

ファイル・システム内には、電子決済を始めとする外部との電子的な価値情報のやり取りなど、１以上のアプリケーションが割り当てられている。アプリケーションに割り当てられているメモリ領域を「サービス・メモリ領域」と呼ぶ。また、アプリケーションの利用、すなわち該当するサービス・メモリ領域へアクセスする処理動作のことを「サービス」と呼ぶ。サービスには、メモリへの読み出しアクセス、書き込みアクセス、あるいは電子マネーなどの価値情報に対する価値の加算や減算などが挙げられる。

ユーザがアクセス権を持つかどうかに応じてアプリケーションの利用すなわちサービスの起動を制限するために、アプリケーションに対して暗証コードすなわちＰＩＮを割り当て、サービス実行時にＰＩＮの照合処理を行なうようになっている。また、サービス・メモリ領域へのアクセスは、アプリケーションのセキュリティ・レベルなどに応じて、適宜暗号化通信が行なわれる。

本実施形態では、ＩＣカード内のメモリ領域に設定されているそれぞれのファイル・システムに対して、「ディレクトリ」に類似する階層構造を導入する。そして、メモリ領域に割り当てられた各アプリケーションを、所望の階層の「エリア」に登録することができる。

例えば、一連のトランザクションに使用される複数のアプリケーション、あるいは関連性の深いアプリケーション同士を同じエリア内のサービス・メモリ領域として登録する（さらには、関連性の深いエリア同士を同じ親エリアに登録する）ことによって、メモリ領域のアプリケーションやエリアの配置が整然とし、ユーザにとってはアプリケーションの分類・整理が効率化する。

また、ファイル・システムへのアクセス権を階層的に制御するために、アプリケーション毎にＰＩＮを設定できる以外に、各エリアに対してもＰＩＮを設定することができるようにしている。例えば、あるエリアに該当するＰＩＮを入力することにより、照合処理並びに相互認証処理を経て、エリア内のすべてのアプリケーション（並びにサブエリア）へのアクセス権を与えるようにすることもできる。したがって、該当するエリアに対するＰＩＮの入力を１回行なうだけで、一連のトランザクションで使用されるすべてのアプリケーションのアクセス権を得ることができるので、アクセス制御が効率化するとともに、機器の使い勝手が向上する。

さらに、あるサービス・メモリ領域に対するアクセス権限が単一でないことを許容し、それぞれのアクセス権限毎、すなわちサービス・メモリ領域において実行するサービスの内容毎に、暗証コードを設定することができる。例えば、同じサービス・メモリ領域に対して起動するサービスが「読み出し」と「読み出し及び書き込み」とでは、別々のＰＩＮが設定される。また、電子マネーやその他の価値情報に対する「増額」と「減額」とでは、別々のＰＩＮが設定される。また、あるメモリ領域に対する読み出しについてはＰＩＮの入力が必要でないが、書き込む場合にはＰＩＮの入力を必須とさせることが可能である。

図１０には、ファイル・システム内のデータ構造例を模式的に示している。図示の例では、ファイル・システムが持つ記憶空間には、「ディレクトリ」に類似する階層構造が導入されている。すなわち、メモリ領域に割り当てられた各アプリケーションを、所望の階層エリアにサービス・メモリ領域として登録することができる。例えば、一連のトランザクションに使用されるアプリケーションなど、関連性の深いアプリケーション同士を同じエリアに登録する（さらには、関連性の深いエリア同士を同じ親エリアに登録する）ことができる。

また、ファイル・システム内に割り当てられたアプリケーション（すなわちサービス・メモリ領域）並びにエリアは暗証コード定義ブロックを備えている。したがって、アプリケーション毎に、あるいはエリア毎にＰＩＮを設定することができる。また、ファイル・システムに対するアクセス権は、アプリケーション単位で行なうとともに、並びにエリア単位で行なうことができる。

さらに、あるサービス・メモリ領域に対するアクセス権限が単一でなく、実行するサービスの内容毎に、ＰＩＮを設定することができる。例えば、同じサービス・メモリ領域に対して起動するサービスが「読み出し」と「読み出し及び書き込み」とでは、別々のＰＩＮが設定され、また、電子マネーやその他の価値情報に対する「増額」と「減額」とでは、別々のＰＩＮが設定される。

照合部は、例えばＩＣカードを利用した非接触データ通信などのプロトコル・インターフェースを介して送られてくるＰＩＮを、各アプリケーション又はディレクトリに割り当てられたエリア又はサービス・メモリ領域に設定されている暗証コードと照合して、一致するメモリ領域に対するアクセスを許可する。アクセスが許可されたメモリ領域は、プロトコル・インターフェースを介して読み書きが可能となる。

このようにファイル・システム内には、アプリケーションに割り当てられたさまざまなサービス・メモリ領域が割り当てられており、各サービス・メモリ領域に対して適用可能な１以上のサービスが設けられている。本実施形態では、エリア単位、並びにアプリケーション単位でアクセス制限を行なう以外に、アプリケーションに適用されるサービスの種類毎にＰＩＮを設定して、サービス単位でアクセス制限を行なうことができる。

図１１には、ファイル・システムの基本構成を示している。図１０を参照しながら既に説明したように、ファイル・システムに対して、「ディレクトリ」に類似する階層構造が導入され、所望の階層のエリアに、アプリケーションに割り当てられたサービス・メモリ領域を登録することができる。図１１に示す例では、エリア００００定義ブロックで定義されるエリア００００内に、１つのサービス・メモリ領域が登録されている。

図示のサービス・メモリ領域は、１以上のユーザ・ブロックで構成される。ユーザ・ブロックはアクセス動作が保証されているデータ最小単位のことである。このサービス・メモリ領域に対しては、サービス０１０８定義ブロックで定義されている１つのサービスすなわちサービス０１０８が適用可能である。

エリア単位、並びにアプリケーション単位でアクセス制限を行なう以外に、サービスの種類毎に暗証コードを設定して、サービス単位でアクセス制限を行なうことができる。アクセス制限の対象となるサービスに関する暗証コード設定情報は、暗証コード専用のサービス（すなわち「暗証コード・サービス」）として定義される。図１１に示す例では、サービス０１０８に関する暗証コードが暗証コード・サービス０１２８定義ブロックとして定義されている。その暗証コード・サービスの内容は暗証コード・サービス・データ・ブロックに格納されている。

サービス０１０８に対する暗証コード・サービスが有効になっている場合、サービス０１０８を起動してそのユーザ・ブロックに読み出し又は書き込み動作を行なう前に、暗証コード・サービス０１２８を使用した暗証コードの照合が必要となる。具体的には、暗号化あり読み書き（Ｒｅａｄ／Ｗｒｉｔｅ）コマンドを使用する場合は、相互認証前にサービス０１０８に対する暗証コードすなわちＰＩＮの照合を行なう。

また、アプリケーションに割り当てられたサービス・メモリ領域を所望の階層のエリアに登録するとともに、エリアを階層化する（関連性の深いエリア同士を同じ親エリアに登録する）ことができる。この場合、エリア毎にＰＩＮを設定することにより、エリアをアクセス制限の単位とすることができる。図１２には、ＩＣカードのメモリ空間においてエリアが階層化されている様子を示している。同図に示す例では、エリア００００定義ブロックで定義されているエリア００００内に、エリア１０００定義ブロックで定義されている別のエリア１０００が登録されている。

図１２に示す例では、さらにエリア１０００内には、２つのサービス・メモリ領域が登録されている。一方のサービス・メモリ領域に対しては、サービス１１０８定義ブロックで定義されているサービス１１０８と、サービス１１０Ｂ定義ブロックで定義されているサービス１１０Ｂが適用可能である。このように、１つのサービス・メモリ領域に対してサービス内容の異なる複数のサービスを定義することを、本明細書中では「オーバーラップ・サービス」と呼ぶ。オーバーラップ・サービスにおいては、同じサービス・エリアに対して、入力したＰＩＮに応じて異なるサービスが適用されることになる。また、他方のサービス・メモリ領域に対しては、サービス１１０Ｃ定義ブロックで定義されているサービス１１０Ｃが適用可能である。

各サービス・メモリ領域に設定されているサービスを起動してそのユーザ・ブロックに読み出し又は書き込み動作を行なうことができる。勿論、図１１を参照しながら説明したように、サービス毎に暗証コード・サービスを定義することができる。この場合、サービスに対する暗証コード・サービスが有効になっているときには、暗証コード・サービスを使用したＰＩＮの照合を行なってからサービスの起動が許可される。

また、複数のサービスに対して共通のＰＩＮを設定したい場合には、これらサービスを含むエリアを作成し、このエリアに対して共通の暗証コード・サービスを適用することができる。

図１２に示す例では、エリア１０００に関する暗証コードが、暗証コード・サービス１０２０定義ブロックとして定義されている。その暗証コード・サービスの内容は暗証コード・サービス・データ・ブロックに格納されている。

エリア１０００に対する暗証コード・サービスが有効（後述）になっている場合、暗証コード・サービス１０２０を使用した暗証コードの照合を行なった後に、エリア１０００内の各サービスを起動してそのユーザ・ブロックに読み出し又は書き込み動作を行なうことが可能となる。

図１３には、内部メモリに複数のファイル・システムを設けることができるＩＣカード内のファームウェアの機能構成を模式的に示している。

インターフェース制御部は、非接触ＩＣカード・インターフェースによるカード・リーダ／ライタとの通信、カード・リーダ／ライタとしての通信、有線インターフェースを介した通信、その他のＩ／Ｏインターフェースを介した通信などのプロトコル制御を行なう。

コマンド制御部は、インターフェース制御部を介して外部から受け取ったコマンドの処理や、外部に対するコマンド発行、コマンドの検査などを行なう。

セキュリティ制御部は、メモリ領域若しくはメモリ領域内の各ファイル・システムへアクセスする際の認証処理や、ファイル・システム内のディレクトリやサービスを利用する際のＰＩＮ照合などのセキュリティ処理を実現する。

ファイル・システム制御部は、上述したようなメモリ領域からファイル・システムへの分割（並びに分割の解消）などファイル・システム管理や、ファイル・システム内のディレクトリ構造の管理などを行なう。

モード管理部は、全ファイル・システム並びに個別のファイル・システムのモードの管理を行なう。ここで言うモードには、ファイル・システムの利用停止や利用再開などの状態が含まれる。

この他、起動制御やＲＯＭ管理、パラメータ管理、不揮発性メモリ管理、パッチ制御など、ＩＣカード内の各ハードウェア制御用のファームウェアも含まれている。

Ｃ．ファイル・システムの利用停止と利用再開
上述したように、ＩＣカードに内蔵される単一のメモリ領域上にサービス提供元事業者毎のファイル・システムを割り当て、単一のＩＣカードを複数の事業者で共有し、単一のＩＣカードにより複数のサービスを提供することができる。ファイル・システム毎に異なる認証鍵を用いてアクセス制御を行なうことで、ファイル・システム間の境界がファイヤ・ウォールとして機能し、他のファイル・システムからの不正なアクセスを好適に排除することができる。

ここで、ＩＣカードの柔軟な運用を実現するためには、サービス提供元事業者毎にファイル・システムの利用を停止することができるような仕組みを取り入れる必要がある。

ファイル・システムへアクセスするための認証鍵をＩＣカード発行者が管理した場合、分割によりファイル・システムが割り当てられた各サービス提供元事業者は、自らの事業展開に応じてファイル・システムの利用の停止を行なうことができないので、柔軟性に欠ける。一方、各サービス提供元事業者が自分のファイル・システムへのアクセスを制御する認証鍵を個別に生成できるようにした場合、ＩＣカード発行者は、個々のファイル・システムの利用の停止並びに再開を全く把握することができなくなるので、全ファイル・システムの運用という観点からは柔軟性に欠けることになる。

そこで、本実施形態では、ＩＣカード発行者が全ファイル・システムの運用を管理するための集合鍵を保持するとともに、メモリ分割によりファイル・システムを割り当てられたサービス提供元事業者毎にファイル・システムを個別に管理するための個別鍵を保持するという仕組みを導入している。

図１４には、ファイル・システムへアクセスするための認証鍵を生成するための仕組みを図解している。

図示の通り、認証鍵生成部は、ＩＣカード発行者が保持する集合鍵と、当該ファイル・システムを割り当てられたサービス提供元事業者が保持する個別鍵を入力し、これら２つの鍵に所定の演算処理（例えば乗算）を施して、認証鍵を生成し、これをファイル・システムへのアクセス鍵とする。

図１５には、ＩＣカードにおける個別のファイル・システムへのアクセスを制御する仕組みを図解している。

ファイル・システムを割り当てられたサービス提供元事業者には、ＩＣカード発行者が保持する集合鍵、若しくは集合鍵と個別鍵を演算して得られる認証鍵が与えられる。したがって、自分のファイル・システムへアクセスするときには、集合鍵と自身が持つ個別鍵の組み合わせ、又はこれらから得られた認証鍵を用いて認証を行なうことができる。

ＩＣカード内のアクセス制御部は、ＩＣカード発行者が保持する集合鍵と、当該ファイル・システムを割り当てられたサービス提供元事業者が保持する個別鍵を入力し、これら２つの鍵に所定の演算処理（例えば乗算）を施して、認証鍵を生成し、これをアクセス時に入力された認証鍵と照合してアクセスの可否を判断する。あるいは、アクセス時に集合鍵と個別鍵の組み合わせが入力された場合には、これらに同様の演算を施して認証鍵を生成してみて、内部に持つ認証鍵との照合を行なう。

このような認証鍵のメカニズムによれば、ＩＣカード発行者は、集合鍵を変更することにより、全ファイル・システムの利用を停止することができる。また、サービス提供元事業者は、個別鍵を変更することでファイル・システムを個別に利用停止することができ、他のファイル・システムの利用に影響を与えることはない。

例えば、ＩＣカード発行者が持つ集合鍵をＫ_U1とし、ｉ番目のファイル・システムを分割して得たサービス提供元事業者が持つ個別鍵をＫ_P(i)1とし、認証鍵生成部が関数ｆを用いて認証鍵Ｋ_AUTH(i)1＝ｆ（Ｋ_U1，Ｋ_P(i)1）を生成するものとする。

この場合、ＩＣカード発行者が集合鍵をＫ_U2に変更した場合、すべてのファイル・システムの認証鍵が変わってしまうため、全ファイル・システムの利用を停止することになる。これに対し、ｊ番目のファイル・システムが割り当てられたサービス提供元事業者が個別鍵をＫ_P(j)1からＫ_P(j)2に変更した場合には、このファイル・システムのみ認証鍵が変更になることから、ファイル・システム毎に個別に利用を停止することができる。

図１５に示す仕組みによれば、ＩＣカード発行者は、集合鍵を変更して自分自身のファイル・システム、並びに分割により一旦は他のサービス提供元事業者に利用を認めたファイル・システムの利用を停止した後、変更した集合鍵を元に戻すことにより、ＩＣカード発行者自身のメモリ領域並びに各サービス提供元事業者に割り当てられた領域の利用が再開される。すなわち、ＩＣカード発行者が集合鍵をＫ_U2に変更した後、元の集合鍵Ｋ_U1に戻した場合には、すべてのファイル・システムについての認証鍵が元通りとなるため、システム全体として利用が再開される。

また、図１５に示した仕組みでは、サービス提供元事業者が個別のファイル・システムの利用の停止及び再開を勝手に行なえることになる。すなわち、ｊ番目のファイル・システムが割り当てられたサービス提供元事業者が個別鍵をＫ_P(j)1からＫ_P(j)2に変更した後、元の個別鍵Ｋ_P(j)1に戻すと、当該ファイル・システムの利用が再開される。

しかしながら、このようにサービス提供元事業者が自由に、ファイル・システム毎の利用の停止及び再開を行なうと、ＩＣカード発行者にとっては、全ファイル・システムを柔軟に運用する際の妨げになる。

そこで、個々のサービス提供元事業者も、個別鍵の変更により自分自身のファイル・システムの利用を停止することができるが、個別鍵を元に戻しただけでは、該当するメモリ領域の利用を再開することはできず、ＩＣカード発行者の承認若しくは承諾を得て、集合鍵とともに更新し、新たな認証鍵を得なければ利用を再開することはできないようにした。

これによって、事業者毎に区々にアクセス権限をコントロールするという事態を回避しながら、全ファイル・システムをより柔軟なＩＣカードの運用を図ることができる。

図１６には、ＩＣカードにおける個別のファイル・システムへのアクセスを制御する仕組みを図解している。図示の構成によれば、図１５に示した場合とは相違し、鍵管理部を備えている。鍵管理部は、ＩＣカード発行者の集合鍵の登録及び変更と、ファイル・システム毎の個別鍵の登録及び変更を行なう。さらに鍵管理部は、個別鍵の変更と集合鍵の変更履歴を管理しており、個別のサービス提供元事業者は、ＩＣカード発行者から認められた場合のみ、一旦利用を停止したファイル・システムの利用を再開することができるようになっている。

認証鍵生成部は、ＩＣカード発行者の集合鍵Ｋ_Uと、ファイル・システムが割り当てられた各サービス提供元事業者ｉの個別鍵Ｋ_P(i)を入力し、所定の関数ｆを用いてこれら２つの鍵に所定の演算処理を施して認証鍵Ｋ_AUTH(i)＝ｆ（Ｋ_U，Ｋ_P(i)）を生成し、これをファイル・システムへの個別のアクセス鍵とする。

アクセス制御部は、外部からＩＣカード内のファイル・システムへアクセスが行なわれたときに、自身が管理する認証鍵Ｋ_AUTHとアクセス要求元から入力された認証鍵Ｋ_AUTH’を照合する。あるいは、アクセス要求元から集合鍵Ｋ_U’と個別鍵Ｋ_P(i) ’が入力された場合には、関数ｆを用いて実際に認証鍵Ｋ_AUTH’を生成してみて照合を行なう。

ここで、ＩＣカード発行者が集合鍵をＫ_U1からＫ_U2に変更した場合、すべてのファイル・システムの認証鍵が変わってしまうため、全ファイル・システムの利用を停止することになる。また、元の集合鍵Ｋ_U1に戻した場合には、すべてのファイル・システムについての認証鍵が元通りとなるため、システム全体として利用が再開される。利用停止や利用再開などのモードはモード管理部（前述）により管理される。

一方、ｊ番目のファイル・システムが割り当てられたサービス提供元事業者が個別鍵をＫ_P(j)1からＫ_P(j)2に変更した場合には、このファイル・システムのみ認証鍵が変更になることから、ファイル・システム毎に個別に利用を停止することができる。利用停止や利用再開などのモードはモード管理部（前述）により管理される。

鍵管理部は、集合鍵とそれぞれの個別鍵の管理を行なっているが、ｊ番目の個別鍵が変更されたという状態を保持する。この状態は、例えばメモリ領域の実体である不揮発性メモリ（フラッシュ・メモリ２２）に記録される。

アクセス制御部は、認証鍵を以ってアクセス要求が行なわれた場合に、集合鍵及び個別鍵の変更履歴を参照する。そして、個別鍵のみが変更したという状態では、ファイル・システムの利用再開がＩＣカード発行者の承認なしに行なわれたことを検出することができる。そこで、アクセス制御部は、該当するファイル・システムへのアクセスを許可しない。すなわち、サービス提供元事業者が個別鍵をＫ_P(j)1からＫ_P(j)2に変更した後、ＩＣカード発行者の承認なしに元の個別鍵Ｋ_P(j)1に戻しても、個別鍵のみが変更した状態に変わりないので、ファイル・システムの利用は再開されない。

ここで、サービス提供元事業者がＩＣカード発行者に対し、個別鍵をＫ_P(j)1からＫ_P(j)2に変更してファイル・システムの利用を停止したが、利用を再開したい旨の届出を行なう。ＩＣカード発行者は、この届出を承認すると、自らも集合鍵をＫ_U1からＫ_U2に変更する。

鍵管理部は、新規の集合鍵Ｋ_U2並びに個別鍵Ｋ_P(j)2を受容するとともに、集合鍵も変更されたという履歴を保持する（あるいは、個別鍵のみが変更されたという状態をリセットする）。

これらの鍵の変更により、ファイル・システムへの新たな認証鍵Ｋ_AUTH(j)2＝ｆ（Ｋ_U2，Ｋ_P(j)2）が生成される。

アクセス制御部は、認証鍵を以ってアクセス要求が行なわれた場合には、集合鍵及び個別鍵の変更履歴を参照し、集合鍵と個別鍵の双方が変更された（若しくは個別鍵のみが変更されたという状態がキャンセルされた）ことを以って、ファイル・システムの利用再開がＩＣカード発行者から承認されたことを検出することができる。そして、ファイル・システムへの新たな認証鍵Ｋ_AUTH(j)2＝ｆ（Ｋ_U2，Ｋ_P(j)2）を以って、ファイル・システムへのアクセスに対し、上述と同様の認証処理を実行する。

なお、上述したような鍵の変更処理は、セキュリティの観点から有線インターフェース経由でのみ実行するように制限してもよい。但し、この場合であっても、個別鍵を変更すると、有線インターフェースだけでなく、無線、非接触ＩＣカードなどいずれのインターフェースからも認証できなくなる。

図１７には、上述したような鍵管理に基づくＩＣカードのファイル・システムの運用手順を示している。図示の例では、サービス提供元事業者がメモリ領域からファイル・システムを分割して得た直後の場面を想定している。

初期状態では、ＩＣカード内のいずれのファイル・システムも利用できない。

サービス提供元事業者はＩＣカードに対し、例えば有線インターフェースを介してアクセスし、鍵管理部に、自己のファイル・システムの個別鍵Ｋ_P1を変更（設定）する。

ＩＣカード発行者は、サービス提供元事業者によるファイル・システムの利用を認証すると、自らも集合鍵Ｋ_U1を変更（設定）する。この結果、ファイル・システムの利用が可能となり、アクセス制御部は当該ファイル・システムに対するアクセスの認証を開始する。

また、図１８には、ＩＣカード発行者が全ファイル・システムの利用を停止する運用手順を示している。

この運用手順の前提として、ＩＣカード内のすべてのファイル・システムは通常利用可能で、アクセス制御部は各ファイル・システムへのアクセスに対し認証を行なう。

ここで、ＩＣカード発行者が集合鍵Ｋ_U1をＫ_U2に変更する。この結果、すべてのファイル・システムの認証鍵が変更されてしまうことになるので、すべてのファイル・システムが通常利用することができない状態、すなわちＩＣカード自体の利用が停止された状態となる。

その後、ＩＣカード発行者が集合鍵を元のＫ_U1に戻す。この結果、すべてのファイル・システムの認証鍵が元通りとなるので、すべてのファイル・システムが通常利用することができる状態、すなわちＩＣカード自体の利用が再開されたことになる。

また、図１９には、サービス提供元事業者が個別にファイル・システムの利用を停止する運用手順を示している。

この運用手順の前提として、ＩＣカード内のすべてのファイル・システムは通常利用可能で、アクセス制御部は各ファイル・システムへのアクセスに対し認証を行なう。

ｊ番目のファイル・システムが割り当てられたサービス提供元事業者が個別鍵をＫ_P(j)1からＫ_P(j)2に変更した場合には、このファイル・システムのみ認証鍵が変更になり、個別にファイル・システムの利用が停止される。個別鍵を変更しない他のファイル・システムは通常の利用が可能なままである。

このとき、鍵管理部は、ｊ番目の個別鍵が変更されたという状態を保持する。そして、アクセス制御部は、認証鍵を以ってアクセス要求が行なわれた場合に、集合鍵及び個別鍵の変更履歴を参照し、個別鍵のみが変更したという状態では、認証動作を行なわない。このため、ＩＣカード発行者の承認なしに元の個別鍵Ｋ_P(j)1に戻しても、個別鍵のみが変更した状態に変わりないので、ファイル・システムの利用は再開されない。

ここで、サービス提供元事業者がＩＣカード発行者に対し、個別鍵をＫ_P(j)1からＫ_P(j)2に変更してファイル・システムの利用を停止したが、利用を際司会したい旨の届出を行なう。ＩＣカード発行者は、この届出を承認すると、自らも集合鍵をＫ_U1からＫ_U2に変更する。

鍵管理部は、新規の集合鍵Ｋ_U2並びに個別鍵Ｋ_P(j)2を受容するとともに、集合鍵も変更されたという履歴を保持する。そして、アクセス管理部は、集合鍵と個別鍵の双方が変更されたことを以って、ファイル・システムの利用再開がＩＣカード発行者から承認されたことを検出し、ファイル・システムに対する認証動作を行なうようになる。この結果、各ファイル・システムが通常利用できることになり、利用が再開される。

以上、特定の実施形態を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施形態の修正や代用を成し得ることは自明である。

本明細書では、ＩＣカード若しくはＩＣチップに内蔵されるメモリ上に複数のファイル・システムが展開されているというファイル空間を例にとり、ファイル・システム毎に権限者が異なる場合において、全ファイル・システムの利用停止及び利用再開と、個別のファイル・システムの利用停止及び利用再開を好適に管理する実施形態について説明してきたが、本発明の要旨はこれに限定されるものではない。例えば、ＩＣカードやＩＣチップ以外のメモリ装置上で同種のファイル・システムへのアクセス管理を行なう場合に、本発明を適用し同様の作用効果を得ることができる。

要するに、例示という形態で本発明を開示してきたのであり、本明細書の記載内容を限定的に解釈するべきではない。本発明の要旨を判断するためには、冒頭に記載した特許請求の範囲の欄を参酌すべきである。

図１は、本発明を適用可能な非接触ＩＣカード通信システムの構成を模式的に示した図である。 図２は、カード・リーダ／ライタ１の構成例を示した図である。 図３は、ＩＣカード２の構成例を示した図である。 図４は、ＩＣカードを用いて実現される、電子マネーや電子チケット、その他の価値情報を運用するサービス提供システムの全体的構成を模式的に示した図である。 図５は、元のカード発行者が自らのファイル・システムのみを管理しているメモリ領域の状態を示した図である。 図６は、カード発行者が自らのファイル・システムの空き領域の内で、ある範囲のメモリを領域管理者に貸与（又は譲渡）することが許可できることを示した図である。 図７は、他のサービス提供元事業者が、カード発行者から許可された領域においてメモリ領域を分割し、新たなファイル・システムを生成した状態を示した図である。 図８は、共通領域管理者が、カード発行者から許可された領域において、共通領域のシステム・コードＳＣ０でメモリを分割した状態を示した図である。 図９は、ＩＣカードのメモリ領域の分割操作を繰り返すことにより複数のファイル・システムが共存する構造を示した図である。 図１０は、ファイル・システム内のデータ構造例を模式的に示した図である。 図１１は、ファイル・システムの基本構成を示した図である。 図１２は、ＩＣカードのメモリ空間においてエリアが階層化されている様子を示した図である。 図１３は、内部メモリに複数のファイル・システムを設けることができるＩＣカード内のファームウェアの機能構成を模式的に示した図である。 図１４は、ファイル・システムへのアクセスを制御する認証鍵を生成するための仕組みを説明するための図である。 図１５は、ＩＣカードにおける個別のファイル・システムへのアクセスを制御する仕組みを説明するための図である。 図１６は、ＩＣカードにおける個別のファイル・システムへのアクセスを制御する仕組みを説明するための図である。 図１７は、ＩＣカードのファイル・システムの運用手順を示したシーケンス図である。 図１８は、ＩＣカードのファイル・システムの運用手順を示したシーケンス図である。 図１９は、ＩＣカードのファイル・システムの運用手順を示したシーケンス図である。

符号の説明

１…カード・リーダ／ライタ
２…ＩＣカード
３…コントローラ
２１…ＩＣチップ・モジュール
２３…変調回路
２５…復調回路
２７…アンテナ
５１…ＩＣチップ・モジュール
５２…コンデンサ
５３…アンテナ
６１…ＲＦインターフェース部
６２…ＢＰＳＫ復調回路
６３…ＰＬＬ部
６４…演算部
６５…ＲＯＭ
６６…ＥＥＰＲＯＭ
６７…ＲＡＭ
６８…ＢＰＳＫ変調回路
８１…ＡＳＫ復調部
８２…電圧レギュレータ
８３…発振回路
８４…ＡＳＫ変調部
９１…シーケンサ
９２…暗号／復号部
９３…パリティ演算部
１１１…発行者用通信装置
１１２…運用者用通信装置
１１３…製造者用通信装置
１１４…記憶領域分割登録装置
１１５…運用ファイル登録装置
１１６…ＩＣカード
１１７…ネットワーク
１２１…カード発行者
１２２…カード記憶領域運用者
１２３…装置製造者
１２４…カード記憶領域使用者

Claims (8)

1. メモリ空間を備え、前記メモリ空間を１以上のファイル・システムに分割して管理する情報管理装置であって、
   全ファイル・システムについての集合鍵の登録及び変更と、ファイル・システム毎の個別鍵の登録及び変更を行なうとともに、集合鍵及び各個別鍵の変更履歴を管理する鍵管理部と、
   集合鍵とファイル・システムの個別鍵の組み合わせに基づいてファイル・システムについての認証鍵を生成する認証鍵生成部と、
   ファイル・システムの認証鍵による認証と、集合鍵及びファイル・システムの個別鍵の変更履歴に基づいて、該当するファイル・システムへのアクセスを制御するアクセス制御部と、
   を具備することを特徴とする情報管理装置。
2. 前記アクセス制御部は、ファイル・システムへの認証要求に応答して、集合鍵及び当該ファイル・システムの個別鍵の変更履歴を参照し、集合鍵のみが変更された場合には認証処理を行ない、ファイル・システムを通常利用可能な状態にする、
   ことを特徴とする請求項１に記載の情報管理装置。
3. 前記アクセス制御部は、ファイル・システムへの認証要求に応答して、集合鍵及び当該ファイル・システムの個別鍵の変更履歴を参照し、個別鍵のみが変更された場合には認証処理を停止し、当該ファイル・システムを通常利用不可能な状態にする、
   ことを特徴とする請求項１に記載の情報管理装置。
4. 前記アクセス制御部は、個別鍵及び集合鍵がともに変更された場合には認証処理を再開し、該ファイル・システムを通常利用可能な状態にする、
   ことを特徴とする請求項３に記載の情報管理装置。
5. メモリ空間を備え、前記メモリ空間を１以上のファイル・システムに分割して管理する情報管理方法であって、
   全ファイル・システムについての集合鍵の登録及び変更と、ファイル・システム毎の個別鍵の登録及び変更を行なうとともに、集合鍵及び各個別鍵の変更履歴を管理する鍵管理ステップと、
   集合鍵とファイル・システムの個別鍵の組み合わせに基づいてファイル・システムについての認証鍵を生成する認証鍵生成ステップと、
   ファイル・システムの認証鍵による認証と、集合鍵及びファイル・システムの個別鍵の変更履歴に基づいて、該当するファイル・システムへのアクセスを制御するアクセス制御ステップと、
   を具備することを特徴とする情報管理方法。
6. 前記アクセス制御ステップでは、ファイル・システムへの認証要求に応答して、集合鍵及び当該ファイル・システムの個別鍵の変更履歴を参照し、集合鍵のみが変更された場合には認証処理を行ない、ファイル・システムを通常利用可能な状態にする、
   ことを特徴とする請求項５に記載の情報管理方法。
7. 前記アクセス制御ステップでは、ファイル・システムへの認証要求に応答して、集合鍵及び当該ファイル・システムの個別鍵の変更履歴を参照し、個別鍵のみが変更された場合には認証処理を停止し、当該ファイル・システムを通常利用不可能な状態にする、
   ことを特徴とする請求項５に記載の情報管理方法。
8. 前記アクセス制御ステップでは、個別鍵及び集合鍵がともに変更された場合には認証処理を再開し、該ファイル・システムを通常利用可能な状態にする、
   ことを特徴とする請求項７に記載の情報管理方法。
   

Images