JP2779092B2 - Ｉｃカードとそのデータ記憶用メモリの消去方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、アプリケーションプロ
グラムを実行可能とし、特に、有料放送システム等特定
のユーザを対象とした、システムに用いて好適なＩＣカ
ードとそのデータ記憶用メモリの消去方法に関する。

【０００２】

【従来の技術】近年、ＩＣカードとリーダライタとから
なるＩＣカードシステムの種々の分野への応用が注目さ
れている。従来のＩＣカードでは、Ｅ²ＰＲＯＭ などの
記憶容量が大きいデータ記憶用メモリやデータ処理機能
を有するＣＰＵが内蔵されており、データの保存や処理
が可能であったが、さらに、データ記憶メモリに所望の
アプリケーションプログラムを格納し、これを実行可能
とすることにより、応用範囲がさらに拡張できる。

【０００３】かかるアプリケーションプログラムを用い
てＩＣカードシステムを応用する分野の１つとして、有
料放送システムが考えられる。かかるシステムでは、送
信側からスクランブルがかけられた放送信号が送信さ
れ、受信側でこのスクランブルを解いて放送信号を受信
可能とするものであるが、ＩＣカードシステムを受信側
に設け、スクランブルされた受信信号をディスクランブ
ル可能とする装置として用いるものである。

【０００４】この場合、送信側からはスクランブルされ
た放送信号とともに、これをディスクランブルするため
のキー情報が送られるが、このディスクランブルキー情
報も暗号化されている。ＩＣカードには、この受信した
ディスクランブルキー情報を復号化するためのキー情報
と、復号化処理のためのアプリケーションプログラムが
格納されており、これらによって復号化されたディスク
ランブルキー情報により、受信装置が受信信号をディス
クランブルすることができる。このようにしてかかるＩ
Ｃカードシステムを具備した受信装置のみが、有料放送
を聴取できることになる。

【０００５】なお、かかるＩＣカードには、課金情報も
格納することができ、これによってプリペイドシステム
またはアフターペイドシステムを実現できる。

【０００６】ところで、ＩＣカードシステムをこのよう
に所定システムに応用する場合、応用するシステム等に
応じてアプリケーションプログラムが異なる。上記の有
料放送システムの場合、放送形態によって復号化や課金
のためのアプリケーションプログラムが異なる。このた
め、ＩＣカードに格納されるアプリケーションプログラ
ムはダウンロード（書込み）可能としている。

【０００７】そこで、ＩＣカードシステムでは、アプリ
ケーションプログラムを実行可能とする「通常ＡＰ（ア
プリケーションプログラム）実行モード」とアプリケー
ションプログラムのダウンロードや読出し、消去を可能
とする「ＲＯＭコマンド実行モード」とを設け、通常は
「通常ＡＰ実行モード」にしておき、アプリケーション
プログラムのダウンロードや読出し、消去を防止するた
めに、「ＲＯＭコマンド実行モード」への移行は、チェ
ンジモードキーを含むチェンジモードコマンドを与える
ことにより、行なうことができる。

【０００８】即ち、図１４に示すように、ＩＣカードに
も、例えばＥ²ＰＲＯＭにリーダライタもしくはホスト
（以下、端末／ホストという）と同じチェンジモードキ
ーが格納されており、端末／ホストからチェンジモード
キーを含むチェンジモードコマンドが送られてくると、
ＩＣカードでは、このチェンジモードコマンド中のチェ
ンジモードキーと自己のチェンジモードキーと比較し、
これらが一致したときのみ「通常ＡＰ実行モード」から
「ＲＯＭコマンド実行モード」へ移行して、その結果を
端末／ホストに知らせる。

【０００９】

【発明が解決しようとする課題】ところで、上記のよう
なＩＣカードシステムによると、チェンジモードキーが
分かると、少なくとも発行元が同じＩＣカードでは、全
てチェンジモードキーが同じであるから、これを用いて
ＩＣカードのモードを「ＲＯＭコマンド実行モード」に
移行させることができて、上記の有料放送システムの場
合、ＩＣカード内の復号化するためのキー情報やアプリ
ケーションプログラムを読み取ることができ、ディスク
ランブルの方法や課金方法を知得されるおそれがある。
また、ＩＣカード内に記憶されている課金情報が改ざん
されるおそれもある。

【００１０】例えば、ＩＣカードにアプリケーションプ
ログラムをダウンロードする場合、ＩＣカードシステム
をホストに接続し、ホストからＩＣカードシステムにチ
ェンジモードキーを送ってＩＣカードを「ＲＯＭコマン
ド実行モード」とし、しかる後、アプリケーションプロ
グラムのダウンロード等を行なうが、図１４で説明した
ように、端末／ホスト、ＩＣカード間の回線を通してチ
ェンジモードキーを含むチェンジモードコマンドが送ら
れるから、端末／ホスト、ＩＣカード間の回線をモニタ
することにより、チェンジモードキーを知ることも不可
能ではない。また、チェンジモードキーを知っている例
えばＩＣカード発行元関係のものが不正使用することも
考えられる。

【００１１】本発明の目的は、かかる問題を解消し、チ
ェンジモードキーが知られても、それに応答しないよう
にしたＩＣカードとそのデータ記憶用メモリの消去方法
を提供することにある。

【００１２】

【課題を解決するための手段】上記目的を達成するため
に、本発明によるＩＣカードは、アプリケーションプロ
グラムを実行可能とする第１のモード、データ記憶用メ
モリでの書込み、読出し、消去を可能とする第２のモー
ド、該データ記憶用メモリでの消去のみを実行可能とす
る第３のモードとを有し、チェンジモードキーによって
該第３のモードに移行すると「イレーズのみフラグ」が
立ち、該「イレーズのみフラグ」が立っているときに
は、チェンジモードキーによって該第１のモードから移
行するモードを該第３モードとする。

【００１３】また、本発明によるデータ記憶用メモリの
消去方法は、該データ記憶用メモリにはアプリケーショ
ンプログラム、該アプリケーションプログラムを管理す
るテーブル、該テーブルを有効とし該アプリケーション
プログラムを実行可能とするテーブル有効フラグ、チェ
ンジモードキー及び「イレーズのみフラグ」が格納さ
れ、最初に該テーブル有効フラグを消去し、最後に該チ
ェンジモードと該「イレーズのみフラグ」を消去するよ
うにする。

【００１４】

【作用】本発明によるＩＣカードでは、これにアプリケ
ーションプログラムが格納されていて使用可能であると
きには、「イレーズのみフラグ」が立っており、このた
め、チェンジモードキーを知ってこれを使用しても、第
３のモードが設定されてしまい、アプリケーションプロ
グラム等の消去以外の操作はできなくなってしまう。

【００１５】また、本発明によるデータ記憶用メモリの
消去方法では、まず、テーブル有効フラグが消去される
から、テーブルが無効となり、アプリケーションプログ
ラムは実行不能となって消去されたのと同等となる。ア
プリケーションプログラムの消去が電源のオフ等によっ
て途中で終ってしまう場合もあるが、このようなばあい
でも、途中からのアプリケーションプログラムが実行し
て暴走するようなことはない。また、チェンジモードキ
ーや「イレーズのみフラグ」が最後に消去されるから、
消去が完了するまでこれらのセキュリティ強度が変化す
ることはない。

【００１６】

【実施例】以下、本発明の実施例を図面により説明す
る。図１は本発明によるＩＣカードシステムの一実施例
を示すブロック構成図であって、１はＩＣカード、２は
ＭＰＵ（マイクロプロセサユニット）、３はＲＡＭ（ラ
ンダムアクセスメモリ）、４はＥ²ＰＲＯＭ （電気的に
消去可能なプログラマブルＲＯＭ）、５はＲＯＭ（リー
ドオンリメモリ）、６はＩ／Ｏインターフェースであ
る。

【００１７】同図において、ＩＣカード１内には、ＭＰ
Ｕ２、ＲＡＭ３、Ｅ²ＰＲＯＭ４ 、ＲＯＭ５及びＩ／Ｏ
インターフェース６が内蔵されている。ＲＯＭ５には、
ＭＰＵ２を制御動作させるための制御プログラムが格納
されている。Ｅ²ＰＲＯＭ４は、通常、データを格納す
るものであるが、アプリケーションプログラムやアプリ
ケーションプログラムによって処理されるデータも、通
常のデータと同様に、格納可能である。また、このＥ²
ＰＲＯＭ４ には、その機能を後述する「イレーズのみ
フラグ」も格納されている。ＭＰＵ２のデータ処理のた
めのＲＡＭ３には「モードフラグ」が格納されている。
この「モードフラグ」は、その機能を後述するが、ＩＣ
カード１のモードを設定するものであって、これによっ
て設定される特定のモードのとき、ＭＰＵ２はＥ²ＰＲ
ＯＭ４ に格納されているアプリケーションプログラム
を実行可能である。さらに、Ｅ²ＰＲＯＭ４ やＲＯＭ５
には、端末／ホストと同一のチェンジモードキーが格納
されるようにする。

【００１８】図２は図１に示したＩＣカード１でのモー
ドとその移行を示す図である。同図において、ＩＣカー
ド１では、アプリケーションプログラムの実行を可能と
する「通常ＡＰ実行モード」とアプリケーションプログ
ラムのダウンロード、読出し、消去、チェンジモードキ
ーの書替え等を可能とする「ＲＯＭコマンド実行モー
ド」とデータ記憶用メモリとしてのＥ²ＰＲＯＭ４ （図
１）の消去（チップイレーズ）のみを実行可能とする
「イレーズのみ実行可能なモード」の３つのモードが設
定可能であり、これらモードは図１に示したＩＣカード
１のＲＡＭ３に格納されている「モードフラグ」によっ
て管理される。

【００１９】「モードフラグ」の値は、ここでは、「通
常ＡＰ実行モード」のとき“０”、「ＲＯＭコマンド実
行モード」のとき“１”、「イレーズのみ実行可能なモ
ード」のとき“２”とする。なお、この「モードフラ
グ」はＭＰＵ２（図１）がリセットされると“０”にリ
セットされる。従って、「モードフラグ」はリセットさ
れると、ＩＣカード１は「通常ＡＰ実行モード」にあ
る。

【００２０】端末／ホストからチェンジモードキーとモ
ード情報とを含むチェンジモードコマンドが送られてく
ると、ＩＣカード１においては、このチェンジモードコ
マンドがＩ／Ｏインターフェース６（図１）を介してＭ
ＰＵ２に供給され、制御プログラム（図１）によって動
作するこのＭＰＵ２がこのチェンジモードコマンドに応
答して「モードフラグ」をこのモード情報に応じて変更
し、これによってＩＣカード１のモードが上記のいずれ
かのモードに変更される。

【００２１】ここで、ＩＣカード１のモードを「通常Ａ
Ｐ実行モード」から「ＲＯＭコマンド実行モード」に移
行させるためには、チェンジモードキーとモード情報
“０１”が必要であり、「ＲＯＭコマンド実行モード」
から「イレーズのみ実行可能モード」に移行させるため
には、チェンジモードキーとモード情報“０２”が必要
である。なお、図１、図２における「イレーズのみフラ
グ」は「イレーズのみ実行可能モード」への移行を制御
するためのフラグであり、ＩＣカード１が未発行の場合
には、未セット状態“０”にあって、モード情報“０
２”のチェンジモードコマンドによって“１”にセット
される。

【００２２】図３は端末／ホストからのチェンジモード
コマンドによる制御プログラムのモード設定動作を示す
フローチャートである。

【００２３】同図において、端末／ホストからチェンジ
モードコマンドが送られてきて、このチェンジモードコ
マンドに含まれるモード情報が“０１”のときには（ス
テップ３００）、「イレーズのみフラグ」が“１”にセ
ットされているか否かが判定される（ステップ３０
１）。「イレーズのみフラグ」が“１”にセットされて
いなければ、「モードフラグ」は“１”にセットされ、
ＩＣカード１のモードは「ＲＯＭコマンド実行モード」
になる（ステップ３０２）が、「イレーズのみフラグ」
が“１”にセットされているときには（ステップ３０
１）、「モードフラグ」は“２”にセットされ、ＩＣカ
ード１のモードは「イレーズのみ実行可能モード」にな
る（ステップ３０３）。また、端末／ホストから送られ
てきたチェンジモードコマンドに含まれるモード情報が
“０２”であるときには（ステップ３００）、「モード
フラグ」は“２”にセットされてＩＣカード１のモード
は「イレーズのみ実行可能モード」になり（ステップ３
０４）、これとともに、「イレーズのみフラグ」が
“１”にセットされる（ステップ３０５）。

【００２４】次に、この実施例の実際の使用形態につい
て説明する。先ず、ＩＣカード発行者がＩＣカードを発
行する場合には、端末／ホストからチェンジモードキー
とモード情報“０１”を含むチェンジモードコマンドを
ＩＣカード１に送出する。すると、図１におけるＥ²Ｐ
ＲＯＭ４内の「イレーズのみフラグ」が初期状態ではセ
ットされていないため、図１におけるＲＡＭ３内の「モ
ードフラグ」が“１”となり、ＩＣカード１のモードは
「ＲＯＭコマンド実行モード」に移行する。これによ
り、端末／ホストから所望のアプリケーションプログラ
ムを送ってＩＣカード１のＥ²ＰＲＯＭ４ にダウンロー
ドすることができる。

【００２５】ダウンロードが終ってＩＣカード１をエン
ドユーザに引き渡す場合、端末／ホストからＩＣカード
１にチェンジモードキーとモード情報“０２”を含むチ
ェンジモードコマンドを送る。これにより、ＩＣカード
１のモードは「イレーズのみ実行可能モード」に移り、
「イレーズのみフラグ」が“１”にセツトされる。しか
る後、ＩＣカード１をリセットすると、「モードフラ
グ」が“０”となってＩＣカード１のモードは「通常Ａ
Ｐ実行モード」となり、ＩＣカード１内のＥ²ＰＲＯＭ
４に格納されているアプリケーションプログラムの実行
が可能となる。

【００２６】このような状態でエンドユーザに引き渡さ
れるＩＣカード１は、「イレーズのみフラグ」が“１”
にセットされている。従って、その後、チェンジモード
キーとモード情報“０１”をＩＣカード１に送っても、
ＩＣカード１のモードは「ＲＯＭコマンド実行モード」
とはならず、「イレーズのみ実行可能モード」に移行し
てしまい、チップイレーズしか行なえない状態となる。

【００２７】従って、一旦アプリケーションプログラム
やチェンジモードキー等がダウンロードされたＩＣカー
ド１に対しては、第三者がこのチェンジモードキーを知
ってこれを使用したとしても、このＩＣカード１のチッ
プイレーズのみが可能であり、Ｅ²ＰＲＯＭ４ に格納さ
れているアプリケーションプログラムを読み出すことが
できない。このようにして、アプリケーションプログラ
ムの秘密保持が確実なものとなる。

【００２８】なお、ＩＣカード１のモードが「ＲＯＭコ
マンド実行モード」にあるときにリセットをかけると、
Ｅ²ＰＲＯＭ４ の記憶状態をそのままとして「通常ＡＰ
実行モード」に移る。この際、「イレーズのみフラグ」
は未セットの状態のままであるから、再度「通常ＡＰ実
行モード」から「ＲＯＭコマンド実行モード」に移すこ
とができ、再び書込み、読出し等の動作を行なうことが
できる。

【００２９】以上のようにしてチェンジモードキーがＩ
Ｃカード１の発行者以外の第三者にわかっても、ＩＣカ
ード１に格納されたアプリケーションプログラムの秘密
保持が可能であり、また、カード発行後は発行者による
データ改ざん等の不正行為も防止できるが、さらに、チ
ェンジモードキーの秘密保持を確実にするための方策が
講じられており、以下、これについて説明する。

【００３０】この方法は、ＩＣカード１で擬似乱数を発
生させ、端末／ホストはこの擬似乱数をモードチェンジ
キーで暗号化してＩＣカード１に送るものであり、図４
において、ＩＣカード１のモードをチェンジする場合、
まず、端末／ホストは、擬似乱数発生を要求するＧ．
Ｒ．Ｎ（Ｇｅｔ Ｒａｎｄｏｍ Ｎｕｍｂｅｒ）コマン
ドをＩＣカード１に送出する。これにより、ＩＣカード
１は例えば７バイトの擬似乱数を発生し、端末／ホスト
に送る。端末／ホストに送出される擬似乱数はＩＣカー
ド１内にも保持される。端末／ホストでは、暗号化関数
にもとづいて擬似乱数をチェンジモードキーで暗号化
し、暗号文としてのチェンジモードコマンドを生成して
ＩＣカード１に送る。このチェンジモードコマンドは、
モード情報とデータとしての７バイトの擬似乱数とを含
み、これらモード情報と擬似乱数とがチェンジモードキ
ーによって暗号化されている。

【００３１】ＩＣカード１では、Ｅ²ＰＲＯＭ４ に上記
のチェンジモードキーと等しいチェンジモードキーが格
納可能であり、また、ＣＰＵの制御プログラムを格納し
たＲＯＭにも同じチェンジモードキーが格納されてい
る。

【００３２】そこで、ＩＣカード１は、端末／ホストか
らチェンジモードコマンドを受けると、Ｅ²ＰＲＯＭ４
のチェンジモードキー、これがなければ、ＲＯＭ中のチ
ェンジモードキーを使用し、復号化関数にもとづいてチ
ェンジモードコマンドを復号化し、７バイトの擬似乱数
を含むコマンドを得る。このコマンドの擬似乱数は先に
説明したように保持されている擬似乱数と比較され、こ
れらが一致したとき、モード情報によってモードを切り
換える。これとともに、モードチェンジしたか否かの結
果を端末／ホストに送る。

【００３３】このようにして、チェンジモードキーは確
実にＩＣカード１に送られたと判定でき、しかも、チェ
ンジモードキーの伝送途中で不当にモニタされても、伝
送情報はチェンジモードキーで擬似乱数が暗号化された
ものであるから、チェンジモードキーを解読することが
できないし、また、繰り返しモニタしても、その都度伝
送される暗号文は異なり、順次モニタされる暗号文間に
は何らの関連性がないから、チェンジモードキーを解読
することは不可能である。

【００３４】このようにして、チェンジモードキーの秘
密保持も確実なものとなる。従って、ＩＣカード１のモ
ードを上記の「ＲＯＭコマンド実行モード」にも設定す
ることはできず、図１で説明したようなＩＣカード１に
格納された情報を破壊するような事態にも至らない。ま
た、何らかの方法でチェンジモードキーが不当に知られ
たとしても、この実施例では、図１で説明したように、
アプリケーションプログラムの秘密が保持される。

【００３５】なお、以上の方法はチェンジモードコマン
ドにモード情報を含むものであったが、モード情報を含
まない場合には、図５に示す方法により、処理速度を速
めることができる。

【００３６】即ち、図５において、端末／ホストでは、
ＩＣカード１から送られた擬似乱数のみをチェンジモー
ドキーで暗号化し、チェンジモードコマンドを生成して
ＩＣカード１に送る。この間、ＩＣカード１では、端末
／ホストに送った同じ擬似乱数をＥ²ＰＲＯＭ４ もしく
はＲＯＭのチェンジモードキーで暗号化し、暗号文とし
て保持しておく。

【００３７】端末／ホストからチェンジモードコマンド
が送られてくると、ＩＣカード１は、このチェンジモー
ドコマンドのデータ（即ち、チェンジモードキーで暗号
化された擬似乱数）と保持しておいた上記の暗号文とを
比較し、これらが一致すればチェンジモードキーが送ら
れてきたと判定する。

【００３８】この方法によると、チェンジモードコマン
ドが送られてくると、直ちに比較判定処理を行なうこと
ができるから、その分処理速度が速くなる。

【００３９】なお、図４のようにチェンジモードコマン
ドにモード情報が含まれる場合には、「ＲＯＭコマンド
実行モード」に移ると、直ちにこのモード情報で指定さ
れるモードが実行可能となるが、図５のようにチェンジ
モードコマンドにモード情報が含まれない場合には、チ
ェンジモードキーで「ＲＯＭコマンド実行モード」に移
ると、端末／ホストからＩＣカード１にモード情報が送
られる。但し、モードの移行順序が決められている場合
には、（例えば、「通常ＡＰ実行モード」→「ＲＯＭコ
マンド実行モード」→「イレーズのみ実行可能モード」
→「通常ＡＰ実行モード」）、チェンジモードキーが送
られる毎に順次モードが切り換えられるようにすること
もできる。あるいはまた、実行モードが「通常ＡＰ実行
モード」と「ＲＯＭコマンド実行モード」のみからなる
従来のＩＣカード１においても、かかる実施例を適用し
て、チェンジモードキーが送られてくる毎に「通常ＡＰ
実行モード」と「ＲＯＭコマンド実行モード」とを交互
に切り替えるようにすることもできる。

【００４０】図６は図１に示したＩＣカード１のＥ²Ｐ
ＲＯＭ４ におけるアプリケーションに関する領域を示
すものであって、ここでは、この領域は１６進数でアド
レス“６０００”からアドレス“７ＦＦＦ”までの領域
としている。

【００４１】この領域では、アドレス順にアプリケーシ
ョンプログラム（ＡＰ）、「ＡＰ管理テーブル有効フラ
グ」、ＡＰ管理テーブル、チェンジモードキー、「イレ
ーズのみフラグ」の各エリア及び擬似乱数エリアが設け
られている。擬似乱数エリアには擬似乱数の初期値が記
憶されており、ＩＣカード１を起動させたときの擬似乱
数発生器を初期化するために用いられる。

【００４２】かかる領域には、予めチェンジモードキー
として擬似乱数の初期値が記憶されており、また、「Ａ
Ｐ管理テーブル有効フラグ」と「イレーズのみフラグ」
は“０”となっている。そして、ＩＣカード１をユーザ
に発行するに際しては、この領域にアプリケーションプ
ログラム及びＡＰ管理テーブルが書き込まれ、これらの
書込みが終ると、「ＡＰ管理テーブル有効フラグ」が
“１”に立てられる。アプリケーションプログラムは、
矢印で示すように、アドレス順にダウンロードされる。
このとき、「イレーズのみフラグ」は“０”のままであ
る。「イレーズのみフラグ」が“０”の場合には、Ｅ²
ＰＲＯＭ４ のチップイレーズは行なわない。このフラ
グはＥ²ＰＲＯＭ４ に格納されているので、電源のオ
ン，オフに影響されない。かかる動作は図２の「ＲＯＭ
コマンド実行モード」が設定されて行なわれる。

【００４３】次に、この実施例の具体的な動作をフロー
チャートで説明する。図７はＩＣカード１のメイン処理
を示すフローチャートである。

【００４４】まず、ＩＣカード１は図２の「通常ＡＰ実
行モード」にあり、端末／ホストからのコマンドの待ち
状態にある（ステップ７００）。コマンドを受けると、
その種類を判定して（ステップ７０１）、ＲＯＭに登録
されているＲＯＭコマンドであるか否かを判定する（ス
テップ７０２，７０３）。ここで、ＲＯＭコマンドとし
ては、上記のＧ．Ｒ．Ｎコマンド、チェンジモードコマ
ンドやデータを書き込んだり、読み出すためのコマン
ド、チップイレーズのコマンド、チェンジモードキーを
書き替えるためのコマンド等がある。

【００４５】受信したコマンドがこれらのいずれかのコ
マンドであると、このコマンドを起動して実行する（ス
テップ７０８）。

【００４６】受信コマンドが登録されているＲＯＭコマ
ンドでないときには、ＡＰコマンドテーブルをチェック
し（ステップ７０４）、このテーブルが有効であれば
（ステップ７０５）、受信コマンドがＡＰコマンドであ
るか否か判定する（ステップ７０６，７０７）。ＡＰコ
マンドでなければ、コマンドなしのエラーレスポンスを
端末／ホストに送るが（ステップ７０９）、ＡＰコマン
ドであれば、このコマンドを起動して実行する（ステッ
プ７０８）。これにより、Ｅ²ＰＲＯＭ４ のアプリケー
ションプログラムが実行される。

【００４７】ＲＯＭコマンドが起動したときには（ステ
ップ７０８）、このコマンドに応じた動作が行なわれる
が、このためには、まず、図２で説明したように、「Ｒ
ＯＭコマンド実行モード」に設定されなければならな
い。従って、所望のＲＯＭコマンドを実行させる前に、
端末／ホストから、まず、チェンジモードキーとモード
情報“０１”が送られて来なければならない。

【００４８】次に、チェンジモードについて説明する。
図８は端末／ホストの図４に示したチェンジモードのた
めの動作を示すものである。

【００４９】同図において、Ｇ．Ｒ．Ｎコマンドを生成
して（ステップ８００）ＩＣカード１に送ると（ステッ
プ８０１）、ＩＣカード１からは、７バイトの擬似乱数
とともに、Ｇ．Ｒ．Ｎコマンドを正常に受信したか否か
を示す情報をレスポンスとして送られてくる（ステップ
８０２）。この情報から正常に受信したことが判明する
と（ステップ８０３）、７バイトの擬似乱数を抽出して
（ステップ８０４）その擬似乱数の先端にモード情報を
付加し、チェンジモードキーによって暗号化して（ステ
ップ８０５）チェンジモードコマンドを生成する（ステ
ップ８０６）。このチェンジモードコマンドをＩＣカー
ド１に送り（ステップ８０７）、その後、ＩＣカード１
からレスポンスがあると（ステップ８０８）、これによ
ってＩＣカード１が正常に応答してモードをチェンジし
たか否かを判定する（ステップ８０９）。そして、正常
に応答したことが判定すると、動作を終了する。

【００５０】ＩＣカード１からのレスポンスでＩＣカー
ド１が正常にモードチェンジしなかったことが判明する
と（ステップ８０９）、所定のエラー処理を行なって
（ステップ８１０）動作を終了する。なお、図５の場合
には、擬似乱数にモード情報を付加しないで暗号化す
る。

【００５１】図９はＩＣカード１の図４に示したチェン
ジモードのための動作を示すものである。同図におい
て、端末／ホストからのコマンドが図７のステップ７０
３でＧ．Ｒ．Ｎコマンドと判明すると、このフォーマッ
トが正しいか否かを判定し（ステップ９０１）、“Ｎ
Ｏ”と判定された場合には、エラーレスポンスを設定し
て（ステップ９１５）端末／ホストに送出する（ステッ
プ９１６）。

【００５２】ステップ９０１の判定が“ＹＥＳ”の場合
には、端末／ホストに擬似乱数を送出して（ステップ９
０２）待機する。次に、図７のステップ７０３によって
端末／ホストからのコマンドがチェンジモードコマンド
と判明すると（ステップ９０３）、Ｅ²ＰＲＯＭ４ にチ
ェンジモードキーが格納されていればこれを選択し（ス
テップ９０４，９０６）、これに格納されていなけれれ
ば、ＲＯＭのチェンジモードキーを選択する（ステップ
９０４，９０５）。そして、このチェンジモードキーで
チェンジモードコマンドを復号化し（ステップ９０
７）、復号化された擬似乱数を自己に保持している擬似
乱数とを比較する（ステップ９０８）。これらが一致し
なければ（ステップ９０９）、エラーレスポンスを設定
して端末／ホストに送出するが（ステップ９１５，９１
６）、一致していれば、復号化されたモード情報を抽出
する（ステップ９１０）。

【００５３】ところで、「通常ＡＰ実行モード」（図
２）にあるときに送られてきるモード情報は“０１”で
あり（ステップ９１１）、これにより、ＲＡＭ３（図
１）内の「モードフラグ」が“１”となって「ＲＯＭコ
マンド実行モード」（図２）が設定される（ステップ９
１２）。また、「ＲＯＭコマンド実行モード」にあると
きに送られるモード情報は“０２”であり（ステップ９
１１）、これにより、「イレーズのみフラグ」が“１”
となる（ステップ９１３）。そして、「モードフラグ」
が“２”となって「イレーズのみ実行可能モード」（図
２）が設定されると（ステップ９１７）、レスポンスが
設定され（ステップ９１４）、端末／ホストに送出され
る（ステップ９１６）。

【００５４】なお、図９に対する以上の説明は、図２の
実線矢印で示す「通常ＡＰ実行モード」→「ＲＯＭコマ
ンド実行モード」→「イレーズのみ実行可能モード」の
移行についてのものである。しかし、図９には図示しな
いが、ステップ９０９，９１０間に「イレーズのみフラ
グ」が“１”か否かの判定ステップと、これが“１”で
あるとき「イレーズのみ実行モード」を設定し、Ｅ²Ｐ
ＲＯＭ４ をチップイレーズするステップが設けられ、
これにより、図１で説明したＩＣカード１の記憶情報の
秘密確保を可能としている。

【００５５】図９の処理動作によって「ＲＯＭコマンド
実行モード」が設定されると、データの書込み、読出
し、チップのイレーズ、チェンジモードキーの書換え等
が可能となる。

【００５６】図７で受信されたコマンドがチップイレー
ズコマンドであるときには、同様にステップ７０８に移
って図１０の動作が行なわれる。

【００５７】この動作では、Ｅ²ＰＲＯＭ４ の図６に示
した各データが消去されるのであるが、この消去は次の
ような順序で行なわれる。即ち、まず、「ＡＰ管理テー
ブル有効フラグ」が最初に消去され、チェンジモードキ
ーと「イレーズのみフラグ」が最後に消去される。擬似
乱数の初期値は消去されない。アプリケーションプログ
ラム（ＡＰ）とＡＰ管理テーブルとはアドレス順に消去
される。

【００５８】アプリケーションプログラムの消去動作中
に電源オフ等によって動作が停止すると、アプリケーシ
ョンプログラムの一部がＥ²ＰＲＯＭ４ 中に残ってしま
う。そこで、「ＡＰ管理テーブル有効フラグ」がそのま
ま残っていると、電源オン後ＡＰコマンドを受けると、
この残った分のアプリケーションプログラムが実行さ
れ、ＣＰＵが暴走してしまう。このために、上記のよう
に、まず、ＡＰ管理プログラム有効フラグを消去し、Ａ
Ｐ管理テーブルを無効としてアプリケーションプログラ
ムを消去したのと同等の状態とする。

【００５９】チェンジモードキーや「イレーズのみフラ
グ」を最後に消去するのは、これらのセキュリティ（機
密性）強度を消去動作が終るまで変えないようにするた
めである。即ち、チェンジモードキーが残っても、この
チェンジキーを使用しない限り、第三者はこのＩＣカー
ド１を自由に使用することができない。また、チップイ
レーズが誤って中断しても、チェンジモードキーが残っ
ているので、チップイレーズを再開できる。また、「イ
レーズのみフラグ」が“１”の状態でチップイレーズが
中断した場合、この「イレーズのみフラグ」が消去され
て“０”になってしまうと、第三者がチェンジモードキ
ーを使用可能な場合、ＩＣカード１を自由に使用するこ
とができるようになる。「イレーズのみフラグ」が
“１”のままであれば、チェンジモードキーが知られて
いても、これを使用すれば、チップイレーズが行なわれ
るだけである。

【００６０】図７のステップ７０８に移ると、図１０に
おいて、上記各動作と同様に「ＲＯＭコマンド実行モー
ド」にあるか否か（ステップ１３００）、チップイレー
ズコマンドのフォーマットが正しいか否か（ステップ１
３０１）が判定され、いずれもＹＥＳである場合、前回
実行したコマンドがチップイレーズコマンドであったか
否か判定する（ステップ１３０２）。

【００６１】前回実行のコマンドがチップイレーズコマ
ンドでないときには、まず、Ｅ²ＰＲＯＭ４ 中の「ＡＰ
管理テーブル有効フラグ」（図６）を“０”とし（ステ
ップ１３０３）、アプリケーションプログラムを消去し
たのと同等な状態とする。しかる後、先頭のアドレスか
ら消去を開始する（ステップ１３０４）。この消去は所
定時間行なわれ、これによって全エリアの消去が行なわ
れなかったときには（ステップ１３０６）、消し残りエ
リアの最初のアドレスを記憶しておき（ステップ１３０
８）、レスポンスを設定して（ステップ１３０８）、端
末／ホストに送る（ステップ１３１０）。

【００６２】このようにＥ²ＰＲＯＭ４ に消し残りがあ
る場合には、端末／ホストは再びチップイレーズコマン
ドをＩＣカード１に送る。これにより、ＩＣカード１で
は、再びステップ１３００〜１３０２の処理が行なわれ
るが、このとき前回実行したコマンドはチップイレーズ
コマンドであるから、前の消し残りエリアの最初のアド
レスから上記所定時間消去を行なう。

【００６３】このようにして、Ｅ²ＰＲＯＭ４ の全エリ
アが消去されるまで上記の動作が繰り返えされ、全エリ
アが消去されると（ステップ１３０６）、レスポンスを
設定して（ステップ１３０８）端末／ホストに送り（ス
テップ１３１０）、「チップイレーズ」動作が完了す
る。

【００６４】なお、この場合も、「ＲＯＭコマンド実行
モード」が設定されないとき（ステップ１３００）、チ
ップイレーズコマンドのフォーマットが正しくない（ス
テップ１３０１）のときには、エラーレスポンスが設定
されて（ステップ１３０９）端末／ホストに送られる
（ステップ１３１０）。

【００６５】かかる「チップイレーズ」動作は図２にお
ける「ＲＯＭコマンド実行モード」が設定されていると
きの動作であった。これに対し、上記のように、「イレ
ーズのみフラグ」が“１”のとき、チェンジモードキー
が送られてくると、この場合でも、「チップイレーズ」
動作が行なわれる。この「チップイレーズ」動作は、図
９のステップ９０９でＹＥＳとの判定があると、「イレ
ーズのみフラグ」が“１”か否かの判定が行なわれ、こ
れが“１”のとき、その旨のレスポンスを設定して端末
／ホストに送る。これに応答して端末／ホストはＩＣカ
ード１に「チップイレーズ」コマンドを送る。

【００６６】そこで、ＩＣカード１では、図１０の動作
を行なうが、この場合、「ＲＯＭコマンド実行モード」
にないが（ステップ１３００）、「イレーズのみフラ
グ」が“１”であるから（ステップ１３１１）、ステッ
プ１３０１から処理が行なわれてＥ²ＰＲＯＭ４ がチッ
プイレーズされる。

【００６７】

【発明の効果】以上説明したように、本発明によれば、
チェンジモードキーを用いてデータ記憶用メモリでの書
込み、読出し、消去を可能とする「ＲＯＭコマンド実行
モード」を設定しようとしても、自動的に「イレーズの
み実行可能モード」が設定されてしまい、データ記憶用
メモリ内はチップイレーズのみしか実行できないので、
データ記憶用メモリ内の情報を不当に読み出したり、細
工してしまうなどの処理を防止することができるし、ま
た、このような不正なチェンジモードキーの再度の使用
も不可能とすることができる。

【００６８】また、本発明によれば、アプリケーション
プログラムの消去前に、該アプリケーションプログラム
の管理テーブルを有効にするフラグが消去されるので、
消去動作が中断して該アプリケーションプログラムの消
し残りが生じても、この消し残り部分は動作することが
なく、処理装置の暴走を防止することができる。

【図面の簡単な説明】

【図１】本発明によるＩＣカードの一実施例を示すブロ
ック構成図である。

【図２】図１に示したＩＣカードでのモードとモード移
行とを示す図である。

【図３】図１に示したＩＣカードでのチェンジモードコ
マンドによる制御動作を示す図である。

【図４】図２でのチェンジモードキーの伝送の一具体例
を示す図である。

【図５】図２でのチェンジモードキーの伝送の他の具体
例を示す図である。

【図６】本発明によるＩＣカードの一実施例でのＥ²Ｐ
ＲＯＭ のメモリ領域を示す図である。

【図７】本発明によるＩＣカードの一実施例でのメイン
処理を示すフローチャートである。

【図８】本発明によるＩＣカードの一実施例に対する端
末／ホストのチェンジモードコマンド生成動作を示すフ
ローチャートである。

【図９】本発明によるＩＣカードの一実施例でのチェン
ジモード処理を示すフローチャートである。

【図１０】本発明によるＩＣカードのデータ記憶用メモ
リの消去方法の一実施例を示すフローチャートである。

【図１１】従来のＩＣカードシステムの一例を示す図で
ある。

【符号の説明】

１ ＩＣカード ２ ＭＰＵ ３ ＲＡＭ ４ Ｅ²ＰＲＯＭ ５ ＲＯＭ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 久保 高志 大阪府茨木市丑寅一丁目１番88号 日立 マクセル株式会社内 (56)参考文献 特開 昭62−103742（ＪＰ，Ａ) 特開 昭61−235994（ＪＰ，Ａ) 特開 平２−59937（ＪＰ，Ａ) 特開 平２−157988（ＪＰ，Ａ) (58)調査した分野(Int.Cl.⁶，ＤＢ名) G06K 19/07 G06K 17/00 G06F 12/14

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 データ記憶用メモリにアプリケーション
   プログラムを記憶可能としたＩＣカードにおいて、 該アプリケーションプログラムを実行可能とする第１の
   モードと、該データ記憶用メモリでの書込み、読出し及
   び消去の各動作を実行可能とする第２のモードと、該デ
   ータ記憶用メモリでの消去のみを実行する第３のモード
   とを有し、 該第１のモードからチェンジモードキーにもとづいて第
   ２のモードに移行して該第２のモードが終了すると、イ
   レーズのみフラグを立たせ該第１のモードに移行し、 該イレーズのみフラグが立っているときには、該チェン
   ジモードキーによって該第１のモードから移行するモー
   ドは該第３のモードのみであることを特徴とするＩＣカ
   ード。
2. 【請求項２】 請求項１記載の前記データ記憶用メモリ
   には、アプリケーションプログラム、該アプリケーショ
   ンプログラムを管理するテーブル、該テーブルを有効に
   し該アプリケーションプログラムを実行可能とするテー
   ブル有効フラグ、前記チェンジモードキー、前記イレー
   ズのみフラグが記憶され、 前記第２のモードもしくは前記第３のモードの消去動作
   では、該テーブル有効フラグを最初に消去し、前記チェ
   ンジモードキー及び前記イレーズのみフラグを最後に消
   去することを特徴とするＩＣカードのデータ記憶用メモ
   リの消去方法。