JP2009048414A - 携帯可能電子装置、携帯可能電子装置の検査装置、及び携帯可能電子装置の検査方法 - Google Patents

Abstract

【課題】 不正アクセスを防止することができる携帯可能電子装置、携帯可能電子装置の検査装置、及び携帯可能電子装置の検査方法を提供する。
【解決手段】 外部機器から与えられるコマンドに応じて動作する携帯可能電子装置であって、外部機器と通信を行なう通信手段と、前記通信手段による外部機器との通信を所定の負荷が与えられるまで不能にする通信遮断手段とを備える。
【選択図】 図２

Description

本発明は、例えば、非接触式ＩＣカード、またはＩＣタグなどに関し、よりセキュリティ性の高い携帯可能電子装置、携帯可能電子装置の検査装置、及び携帯可能電子装置の検査方法に関する。

一般的に、非接触式ＩＣカードは、プラスチックなどで形成されたカード状の本体と本体に埋め込まれたアンテナとＩＣチップとを備えている。また、ＩＣタグは、フィルムなどで形成された基板にアンテナとＩＣチップとを備えている。上記した非接触式ＩＣカード、またはＩＣタグなどの携帯可能電子装置は、ＩＣリーダライタと、無線によるデータの送受信が可能である。

たとえば、携帯可能電子装置は、エレクトリック・パース（電子貨幣、電子マネー）、電子商取引（エレクトリック・コマース）、及び企業内部のプライベートセキュリティシステム（ドアセキュリティシステム、ネットワーク上のアクセス管理など）に用いられている。このような用途に用いられる場合、携帯可能電子装置は、セキュリティが極めて重要となる。

通常、携帯可能電子装置は、生産工程において、複数の中間処理工場を経由した後に流通される。しかし、従来、複数の中間処理工場間において、携帯可能電子装置に対して処理を行なう場合、複数工場間で共通の暗号鍵が用いられている。そのため、携帯可能電子装置を工場間で輸送する際に、携帯可能電子装置が不正にアクセスされるという問題がある。そこで、工場毎に暗号鍵を発行するようにしたＩＣカード輸送安全性確保方法が提示されている（たとえば、特許文献１参照）。

しかし、上記した従来のＩＣカード輸送安全性確保方法は、輸送後に不正アクセス、即ち、携帯可能電子装置のプログラム書き換え、若しくはデータの読み出しが行なわれたか否かを検出することができない。この為、不正アクセスが行なわれた携帯可能電子装置が流通する可能性がある。
特開２００６−１２７２０９号公報

そこで、本発明の目的は、不正アクセスを防止することができる携帯可能電子装置、携帯可能電子装置の検査装置、及び携帯可能電子装置の検査方法を提供することにある。

上記目的を達成する為、本発明の態様に係る携帯可能電子装置は、外部機器から与えられるコマンドに応じえ動作する慶や以下携帯可能電子装置において、外部機器と通信を行なう通信手段と、前記通信手段による外部機器との通信を所定の負荷が与えられるまで不能にする通信遮断手段とを備える。

また、本発明の態様に係る携帯可能電子装置の検査装置は、携帯可能電子装置と通信を行う通信手段と、前記通信手段により前記携帯可能電子装置に第１のコマンドを送信する第１のコマンド送信手段と、前記通信手段により前記第１のコマンドに対するレスポンスを受信なかった場合、前記携帯可能電子装置は不正なアクセスは受けていないと判定し、前記通信手段により前記第１のコマンドに対するレスポンスを受信した場合、前記携帯可能電子装置は不正アクセスを受けた可能性があると判定する検査手段とを備える。

また、本発明の態様に係る携帯可能電子装置の検査方法は、携帯可能電子装置の検査方法であって、前記携帯可能電子装置に第１のコマンドを送信し、前記第１のコマンドに対するレスポンスを受信しなかった場合、前記携帯可能電子装置は不正アクセスを受けていないと判定し、前記第１のコマンドに対するレスポンスを受信した場合、前記携帯可能電子装置は不正なアクセスを受けた可能性があると判定する。

上記構成により、不正アクセスを防止することができる携帯可能電子装置、携帯可能電子装置の検査装置、及び携帯可能電子装置の検査方法を提供することができる。

以下、図面を参照しながら、本発明の一実施形態に係る携帯可能電子装置、携帯可能電子装置の検査装置、及び携帯可能電子装置の検査方法について詳細に説明する。

始めに、携帯可能電子装置（以下ＩＣカードと称する）について詳細に説明する。
図１は、本実施形態において製造されたＩＣカード１０の一例を示す図である。ＩＣカード１０は、矩形カ−ド状のカード本体２０を有している。カード本体２０には、ＩＣモジュール３０、およびアンテナ４０が設けられている。ＩＣモジュール３０、およびアンテナ４０は、カード本体２０内部に埋め込まれている。

ＩＣモジュール３０は、トランジスタ、ダイオード、抵抗器、コンデンサ、およびＩＣチップなどの素子が組み込まれた集積回路であり、種々の演算処理、およびアンテナ４０の制御などを行なう。アンテナ４０は、外部のＩＣリーダライタと無線通信によりデータの送受信を行なう。

アンテナ４０はループ状に形成され、カード本体２０の内部に埋め込まれているとともにカード本体２０の周縁部に沿って延びている。アンテナ４０は、ＩＣモジュール３０内の整流回路に接続されている。

図２は、図１に示すＩＣモジュール３０、およびアンテナ４０の内部の構成例を示す図である。
ＩＣカード１０は、そのカード本体２０内部にＩＣモジュール３０とアンテナ４０とを備えている。
アンテナ４０は、電気回路として示すと、コンデンサとコイルとが並列に接続されている。コイルは、カード本体２０にループ状に形成されている配線であり、電界を受けると誘導電流を発生させる。コンデンサは、リアクタンスの配線間に生じる静電容量を蓄える機能を電気回路として見立てたものである。

ＩＣモジュール３０は、整流用ブリッジ（整流器）、電界コンデンサＣ、ヒューズＦ１、レギュレータ３１、及び制御ユニット３２を備えている。整流用ブリッジは、４つのダイオードＤ１乃至Ｄ４を備えている。各ダイオードＤ１乃至Ｄ４は、電流をそれぞれの入力端子から出力端子への一方向のみに流す整流性を備えている。

ダイオードＤ１及びＤ２の入力端子は、整流用ブリッジの入力端子に接続されている。ダイオードＤ１及びＤ２の出力端子は、ダイオードＤ３及びＤ４の入力端子にそれぞれ接続されている。

また、整流用ブリッジの交流端子が、ダイオードＤ１とダイオードＤ３の間と、ダイオードＤ２とダイオードＤ４の間とに設けられている。両交流端子は、アンテナ４０のコイルの両端子にそれぞれ接続されている。

ダイオードＤ３及びＤ４の出力端子は、整流用ブリッジの出力端子に接続されている。電界コンデンサＣが、整流用ブリッジの入力端子と出力端子の間に接続されている。また、ヒューズＦ１が、図２に示す接続点であるＡ点とＢ点の間、即ち、整流用ブリッジの入力端子と出力端子の間に接続されている。

整流用ブリッジの出力端子は、レギュレータ３１の入力端子に接続されている。レギュレータ３１の接地端子は、整流用ブリッジの入力端子に接続されている。レギュレータ３１の出力端子は、制御ユニット３２の入力端子に接続されている。制御ユニット３２の出力端子は、整流用ブリッジの入力端子に接続されている。

整流用ブリッジは、入力された交流電流の極性を１方向に揃える。即ち、交流電流を直流電流に変換する。電界コンデンサＣは、電気を蓄え、接続されている区間の電圧を一定に保つ。

ヒューズＦ１は、定常以上の電流を受電するとその電流路を切断する。ヒューズＦ１は、その電流路の一部に、ある温度で溶断される可溶体を有している。即ち、ヒューズＦ１に電流が流れると、流れる電流により発生したジュール熱によりヒューズＦ１の可溶体の温度が上昇する。定常以上の電流により可溶体の温度が融点に達すると、可溶体が溶断され、ヒューズＦ１の電流路が切断される。なお、ヒューズＦ１の抵抗値は、レギュレータ３１及び制御ユニット３２に比較して極めて小さく、一般的に、０．０３Ω程度である。

レギュレータ３１は、制御ユニット３２に印加される電圧の調整を行なう変圧器である。レギュレータ３１は、入力、接地、及び出力の３つの端子を備え、入力された直流電流を一定の電圧で出力する。

制御ユニット３２は、ＩＣカード１０全体の制御を司るものである。制御ユニット３２は、ＣＰＵ３３、ＲＯＭ３４、ＲＡＭ３５、不揮発性メモリ３６、及び、通信制御部３７を備えている。ＣＰＵ３３は、ＲＯＭ３４に記憶された制御プログラムに基づいて動作することにより種々の機能を実現する。

ＲＯＭ３４は、製造段階で制御用のプログラム、および制御データなどが記憶された状態でＩＣモジュール３０に組み込まれる。このＲＯＭ３４に記憶されている制御プログラムや制御データは、予めＩＣカード１０の仕様に応じて組み込まれる。ＲＡＭ３５は、ワーキングメモリとして機能し、ＣＰＵ３３が処理中のデータなどを一時保管する。不揮発性メモリ３６は、データの書き込み及び書換えが可能なメモリ、例えば、ＥＥＰＲＯＭあるいはフラッシュＲＯＭなどにより構成される。

通信制御部３７は、アンテナ４０により受信した信号を復調する。また、通信制御部３７は、アンテナ４０により送信する信号を変調する。

例えば、ＣＰＵ３３は、アンテナ４０により外部のリーダライタから受信した信号を通信制御部３７により復調し、復調した信号に含まれるコマンドに基づいて種々の処理を行なう。また、ＣＰＵ３３は、受信したコマンドに応じた処理の結果を通信制御部３７により変調し、アンテナ４０により外部のリーダライタに送信する。即ち、制御ユニット３２は、外部機器と通信を行なう通信手段を含んでいる。

次に、図２に示すＩＣカード１０の動作について説明する。
まず、アンテナ４０は、外部のＩＣリーダライタから電波を受信すると、コイルにより受信した電波に応じた周期的な誘導電流（交流電流）を発生させる。即ち、アンテナ４０は、電波を受信することにより交流電源として機能する。発生した交流電流は、ＩＣモジュール３０の整流ブリッジに入力される。

アンテナ４０より入力された交流電流は、整流ブリッジにより整流され、直流電流に変換される。変換された直流電流は、電界コンデンサＣにより平滑され、後段の回路に供給される。

ヒューズＦ１が整流ブリッジの入力端子と出力端子の間に接続されている為、電流は、抵抗値の高いレギュレータ３１、及び制御ユニット３２にほとんど流れず、レギュレータ３１、及び制御ユニット３２に比べて抵抗値の低いヒューズＦ１に流れる。即ち、ヒューズＦ１が制御ユニット３２への電流を遮断する為、制御ユニット３２のＣＰＵ３３は動作しない。この状態では、ＩＣカード１０は非接触通信が機能しない。この為、ＩＣカード１０に対する、非接触通信によるアクセスを防ぐことができる。即ち、ヒューズＦ１は、非接触通信を不能にする通信遮断手段として機能する。

図３は、強い電界が印加された後のＩＣカード１０の内部の構成例を示す図である。なお、図２に示したものと同じ構成には、同じ参照符号を付し、その詳細な説明を省略する。

上記したＩＣカード１０に、強い電界を印加されると、ヒューズＦ１を定常以上の電流が流れ、ヒューズＦ１が溶断される。ヒューズＦ１は、溶断されると、Ａ点とＢ点とを電気的に切断する被溶断ヒューズＦ２となる。

次に、図３に示すＩＣカード１０の動作について説明する。
まず、アンテナ４０は、外部のＩＣリーダライタから電波を受信すると、コイルにより受信した電波に応じた周期的な誘導電流（交流電流）を発生させる。発生した交流電流は、ＩＣモジュール３０の整流ブリッジに入力される。

アンテナ４０より入力された交流電流は、整流ブリッジにより整流され、直流電流に変換される。変換された直流電流は、電界コンデンサＣにより平滑され、後段のレギュレータ３１の入力端子に供給される。

レギュレータ３１は、出力端子と接地端子間の電圧の調整を行なう。即ち、レギュレータ３１は、一定の電圧で、直流電流を制御ユニット３２の入力側に供給する。制御ユニット３２のＣＰＵ３３は、入力された電流により動作し、種々の処理を行なう。

即ち、ヒューズＦ１が溶断されて抵抗値の高い被溶断ヒューズＦ２になることにより、被溶断ヒューズＦ２に比べ抵抗値の低い制御ユニット３２に電流が流れ、ＣＰＵ３３が動作する。この状態で、ＩＣカード１０は非接触通信が機能する。つまり、ＩＣカード１０に強い電界を印加し、ヒューズＦ１が溶断されることにより、非接触通信によるアクセスが可能となる。

次に、検査方法について説明する。
図４は、本実施形態に関わる携帯可能電子装置の検査装置の構成例を示すブロック図である。
検査装置５０は、コントロール回路５１、記憶部５２、操作部５３、表示部５４、復変調回路５５、および、アンテナ５６などを備えている。

コントロール回路５１は、検査装置５０全体の制御を司るものである。コントロール回路５１は、記憶部５２に記憶された制御プログラムに基づいて動作することにより種々の機能を実現している。また、コントロール回路５１は、操作キー５３により入力された操作を検査装置５０の各部に反映させ、アンテナ５６によりデータ、およびコマンドの送受信、および、表示部５４に各種の表示を行なう。即ち、コントロール回路５１は、ＩＣカード１０と通信を行なう通信手段、及び、ＩＣカード１０にコマンドを送信するコマンド送信手段を含んでいる。

記憶部５２は、予め制御用のプログラムや制御データなどが記憶されている不揮発性メモリと、ワーキングメモリとして機能する揮発性メモリとを備えている。揮発性メモリは、コントロール回路５１の処理中のデータなどを一時保管するバッファメモリとして機能する。

操作キー５３は、検査装置５０の操作者が入力操作を入力するための複数のボタンである。表示部５４は、コントロール回路５１による制御に応じて、各種の操作案内画面を表示する
復変調回路５５は、アンテナ５６により送信するデータの変調を行なう。即ち、復変調回路５５は、コントロール回路５１から受け取ったデータを、例えば、ａｍｐｌｉｔｕｄｅ ｓｈｉｆｔ ｋｅｙｉｎｇ（ＡＳＫ）変調してアンテナ５６に供給する。また、復変調回路５５は、アンテナ５６により受信したデータの復調を行なう。

アンテナ５６は、コントロール回路５１による制御に応じて、ＩＣカード１０に対してデータの送受信を行なう。また、アンテナ５６は、ＩＣカード１０に対して、図２に示すヒューズＦ１を溶断させる程度の電流を流すための強い電界を印加することができる。

なお、検査装置５０によりＩＣカード１０に強電界を印加するとしたが、別に装置を用意し、ＩＣカード１０に強電界を印加するようにしてもよい。

図５は、携帯可能電子装置（ＩＣカード１０）に対して不正アクセスが行なわれたか否かを検査する際の手順を示すフローチャートである。

まず、検査装置５０のコントロール回路５１は、アンテナ５６により、流通前の製品であるＩＣカード１０に対して、応答（レスポンス）を要求する処理コマンドを送信する（ステップＳ１１）。次に、コントロール回路５１は、送信した処理コマンドに対するレスポンスを受信したか否かを判断する（ステップＳ１２）。

ＩＣカード１０からレスポンスを受信したと判断した場合（ステップＳ１２、ＹＥＳ）、コントロール回路５１は、このＩＣカード１０は非接触通信が可能な状態である為、不正アクセスが行なわれた可能性があると判定する（ステップＳ１３）。即ち、コントロール回路５１は、図２に示すＩＣカード１０のヒューズＦ１が溶断され、非接触通信により不揮発性メモリ３６に記憶されているデータ、若しくはプログラムなどが書き換えられている可能性があると判断することができる。即ち、コントロール回路５１は、ＩＣカード１０からのレスポンスを受信したか否かの判断に基づいて、ＩＣカード１０に不正アクセスが行なわれた可能性があるか否かを検査する検査手段を含む。

ＩＣカード１０からレスポンスを受信しなかったと判断した場合（ステップＳ１２、ＮＯ）、コントロール回路５１は、アンテナ５６により、ＩＣカード１０に対して、ヒューズＦ１が溶断される程度の電流を流すための所定の強電界を印加する（ステップＳ１４）。次いで、コントロール回路５１は、アンテナ５６により、ＩＣカード１０に対して、応答（レスポンス）を要求する処理コマンドを送信する（ステップＳ１５）。次に、コントロール回路５１は、送信した処理コマンドに対するレスポンスを受信したか否かを判断する（ステップＳ１６）。

強電界を印加したＩＣカード１０からのレスポンスを受信したと判断した場合（ステップＳ１６、ＹＥＳ）、コントロール回路５１は、このＩＣカード１０は非接触通信が可能になった正当なＩＣカードであると判定する（ステップＳ１７）。これは、ヒューズＦ１が適切に溶断され、通信機能が正常に機能したことを確認したことを意味する。このように、通信機能が正常動作するようになったＩＣカード１０に対しては、例えば、発行処理などが施され、利用可能な状態となる。

また、強電界を印加したＩＣカード１０からのレスポンスを受信しなかったと判断した場合（ステップＳ１６、ＮＯ）、コントロール回路５１は、このＩＣカード１０は非接触通信が正常に機能しておらず、欠陥のある不良品であると判定する（ステップＳ１８）。これは、ＩＣカード１０内で不具合が発生し、通信機能が正常動作していないことを確認したことを意味する。即ち、コントロール回路５１は、強電界を印加したＩＣカード１０からのレスポンスを受信したか否かの判断に基づいて、ＩＣカード１０正常に動作するＩＣカードであるか否かを判定する判定手段を含む。

上記したように、本実施形態に関わるＩＣカード１０は、図２に示すように、整流ブリッジの入出力間、即ち、ＣＰＵ３３などを含む制御ユニット３２と並列に接続されているヒューズＦ１を備えている。これにより、制御ユニット３２に電流が供給されず、非接触通信によるアクセスを防ぐことができる。強電界が印加されると、ヒューズＦ１は溶断され、電流を通さない被溶断ヒューズＦ２となる。これにより、制御ユニット３２に電流が供給され、非接触通信によるアクセスが可能となる。

即ち、上記したような流通前のＩＣカード１０に、まず処理コマンドを送信し、レスポンスが返ってきた場合、不正アクセスが行なわれた可能性があると判断することができる。これにより、不正アクセスが行なわれた可能性があることを検出することができる携帯可能電子装置、携帯可能電子装置の検査装置、及び携帯可能電子装置の検査方法を提供することができる。

また、例えば、ＩＣに用いられる不揮発性メモリには、１度のみ書き込みが許可される領域を設定できる。このようなメモリを組み込んだＩＣカードを製品として出荷する場合、出荷先で書き込み処理（例えば、発行処理）を行なう前に上記した検査方法でＩＣカードの検査を行い、正当なＩＣカードにのみ書き込みを行なう。これにより、よりセキュリティ性の高い携帯可能電子装置、携帯可能電子装置の検査装置、及び携帯可能電子装置の検査方法を提供することができる。

なお、この発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具現化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組み合わせてもよい。

本実施形態では携帯可能電子装置はＩＣカードとして説明した。しかし、携帯可能電子装置はこれに限らず、例えば、ＩＣタグ、パスポート、クレジットカード、キャッシュカード、ＩＤカード、及び携帯電話など、ＩＣと該ＩＣに接続されているアンテナとを備えるものであれば、本発明は適用され得る。

また、本実施形態の携帯可能電子装置の通信手段はアンテナによる非接触通信として説明したがこれに限定されない。例えば、外部機器と接触することにより通信を行なうことができる携帯可能電子装置の場合、外部機器との接触部の入出力端子間に通信遮断手段としてのヒューズを設けることにより、本実施形態と同様の効果を得ることができる。この場合、外部機器との接触部からヒューズを溶断させる為の所定の電流を流すことにより、接触式通信が可能になる。また、非接触式通信と接触式通信の両方の機能を有する携帯可能電子装置であっても、それぞれの通信手段の入出力端子間に通信遮断手段としてのヒューズを設けることにより、本実施形態と同様の効果を得ることができる。

また、本実施形態では電流遮断手段はヒューズとして説明した。しかし、電流遮断手段はこれに限らず、例えば、所定の処理が施されるまでは、非接触通信を不能にし、所定の処理が施されると、それ以後、非接触通信を可能にするような回路であっても、本旨を逸脱しない。

本実施形態に関わる携帯可能電子装置の一例を示す図。 図１に示す携帯可能電子装置の内部の構成例を示す回路図。 強電界印加を印加した場合の、図１に示す携帯可能電子装置の内部の構成例を示す回路図。 本実施形態に関わる携帯可能電子装置を検査する検査装置の構成例を示すブロック図。 本実施形態に関わる携帯可能電子装置を検査する際の手順を示すフローチャート。

符号の説明

１０…ＩＣカード、２０…カード本体、２１…ＩＣモジュール、３０…ＩＣ、３２…制御ユニット、３３…ＣＰＵ、３４…ＲＯＭ、３５…ＲＡＭ、３６…不揮発性メモリ、３７…通信制御部、４０…アンテナ、５０…検査装置、５１…コントロール回路、５６…アンテナ、Ｆ１…ヒューズ、Ｆ２…被溶断ヒューズ、Ｄ１乃至Ｄ４…ダイオード。

Claims (8)

1. 外部機器から与えられるコマンドに応じて動作する携帯可能電子装置において、
   外部機器と通信を行なう通信手段と、
   前記通信手段による外部機器との通信を所定の負荷が与えられるまで不能にする通信遮断手段と、
   を備える携帯可能電子装置。
2. 前記通信遮断手段は、定常以上の電流が流れるとその電流路が切断されるヒューズである請求項１に記載の携帯可能電子装置。
3. 前記各手段を有するモジュールと、前記モジュールが内蔵された本体と、を備える請求項１に記載の携帯可能電子装置。
4. 前記通信手段は、非接触により外部機器と通信を行なう手段である請求項１に記載の携帯可能電子装置。
5. 携帯可能電子装置と通信を行う通信手段と、
   前記通信手段により前記携帯可能電子装置に第１のコマンドを送信する第１のコマンド送信手段と、
   前記通信手段により前記第１のコマンドに対するレスポンスを受信しなかった場合、前記携帯可能電子装置は不正なアクセスは受けていないと判定し、前記通信手段により前記第１のコマンドに対するレスポンスを受信した場合、前記携帯可能電子装置は不正アクセスを受けた可能性があると判定する検査手段と、
   を備える携帯可能電子装置の検査装置。
6. 前通信手段により前記第１のコマンドに対するレスポンスを受信しなかった場合、前記携帯可能電子装置に定常以上の電界を印加する電界印加手段と、
   前記通信手段により前記携帯可能電子装置に第２のコマンドを送信する第２のコマンド送信手段と、
   前記通信手段により前記第２のコマンドに対するレスポンスを受信しなかった場合、前記携帯可能電子装置には不具合が発生していると判定し、前記通信手段により前記第２のコマンドに対するレスポンスを受信した場合、前記携帯可能電子装置は正常に動作していると判定する判定手段と、
   をさらに備える請求項５に記載の携帯可能電子装置の検査装置。
7. 携帯可能電子装置の検査方法であって、
   前記携帯可能電子装置に第１のコマンドを送信し、
   前記第１のコマンドに対するレスポンスを受信しなかった場合、前記携帯可能電子装置は不正アクセスを受けていないと判定し、前記第１のコマンドに対するレスポンスを受信した場合、前記携帯可能電子装置は不正なアクセスを受けた可能性があると判定する携帯可能電子装置の検査方法。
8. 前記第１のコマンドに対するレスポンスを受信しなかった場合、前記携帯可能電子装置に定常以上の電界を印加し、
   前記携帯可能電子装置に第２のコマンドを送信し、
   前記第２のコマンドに対するレスポンスを受信しなかった場合、前記携帯可能電子装置には不具合が発生していると判定し、前記第２のコマンドに対するレスポンスを受信した場合、前記携帯可能電子装置は正常に動作していると判定する、
   請求項７に記載の携帯可能電子装置の検査方法。

Images