JP4457240B2 - データ管理システム、管理サーバ、データ管理方法、およびプログラム - Google Patents

Description

本発明は、データ管理システム、管理サーバ、データ管理方法、およびプログラムに関する。

近年、非接触式ＩＣ（Integrated Circuit）カードや、非接触式ＩＣチップを搭載した携帯電話など、リーダ／ライタと非接触式に通信可能な情報処理端末が普及している。

上記のようなリーダ／ライタと非接触式に通信可能な情報処理端末は、耐タンパ性を有するＩＣチップを備えることにより、例えば、電子マネーなどデータの改竄が問題となるデータの送受信や更新を安全に行うことができる。したがって、上記のようなリーダ／ライタと非接触式に通信可能な非接触式ＩＣチップを搭載した情報処理端末を利用した様々なサービスの提供が社会的に広がっている。そして、サービスの提供の広がりに伴い、非接触式ＩＣチップを搭載した携帯電話などの情報処理端末の普及がさらに進んでいる。

このような中、例えば、携帯電話の機種変更時に変更前の携帯電話に搭載されたＩＣチップ（移動元ＩＣチップ）のデータを、変更後の携帯電話に搭載されたＩＣチップ（移動先ＩＣチップ）へとデータ移動させるサービスの提供などが登場している。移動元のＩＣチップから移動先のＩＣチップへのデータの移動に係る技術としては、例えば、特許文献１が挙げられる。

ここで、従来のＩＣチップが有するメモリは、図１に示すような少なくとも１以上の領域（サービス領域Ａ、Ｂ、…）を含む階層構造を持つ１のメモリ領域（サービス領域Ｚ）を有する（例えば、特許文献１を参照。）。ここで、領域とは、階層構造においていわゆるフォルダに相当するものである。リーダ／ライタが、例えば、各領域（サービス領域Ａ、Ｂ、…）に付与された識別コードを指定することにより、ＩＣチップでは各領域（サービス領域Ａ、Ｂ、…）に保持されるデータ（サービスデータａ、ｂ、…）の読み込み、または、書き込みが行われる。

また、移動元のＩＣチップから移動先のＩＣチップへのデータの移動は、移動元のＩＣチップに保持される全てのデータが移動先のＩＣチップへと移動される場合に限られず、移動元のＩＣチップに保持される一部のデータが移動先のＩＣチップへと移動されない場合もある。ここで、移動元のＩＣチップに保持される一部のデータが移動先のＩＣチップへと移動されない場合としては、例えば、移動元のＩＣチップに保持されるデータに対して、データの移動を許可しない旨の付加情報が付されている場合が挙げられる。

上記のように、従来の移動元のＩＣチップから移動先のＩＣチップへのデータの移動に係る技術では、移動元のＩＣチップに保持される一部のデータが移動先のＩＣチップへと移動されない場合も起こり得る。従来のＩＣチップは、図１に示すような少なくとも１以上の領域を含む階層構造を持つ１のメモリ領域からなるため、移動元のＩＣチップに保持される一部のデータが移動先のＩＣチップへと移動されない場合が生じたとしても特段問題は生じていなかった。

特開２００６−３３８４２３号公報

しかしながら、ＩＣチップが有するメモリの構成は、少なくとも１以上の領域を含む階層構造を持つ１のメモリ領域に限られず、互いに関連する２のメモリ領域を有することもある。ここで、互いに関連する２のメモリ領域を有するＩＣチップでは、移動元のＩＣチップに保持される一部のデータが移動先のＩＣチップへと移動されない場合、データの移動先のＩＣチップにおいて一の領域と他の領域との間で不整合な状態が生じることがある。しかしながら、従来の移動元のＩＣチップから移動先のＩＣチップへのデータの移動に係る技術は、互いに関連する２のメモリ領域を有するＩＣチップを対象としていないため、データの移動後に一の領域と他の領域との間で生じ得る不整合な状態を整合性がとれた正常な状態に回復させることはできなかった。

本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、移動元のＩＣチップから移動先のＩＣチップへとデータの移動が行われた場合において、互いに関連する２のメモリ領域を有する、リーダ／ライタと非接触通信可能な移動先のＩＣチップ内のメモリ領域の整合性を回復させることが可能な、新規かつ改良されたデータ管理システム、管理サーバ、データ管理方法、およびプログラムを提供することにある。

上記目的を達成するために、本発明の第１の観点によれば、リーダ／ライタと非接触通信可能なＩＣチップを搭載した情報処理端末と、上記情報処理端末と通信可能な管理サーバとからなるデータ管理システムであって、上記情報処理端末は、上記リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持する１または２以上のサービス領域と、各サービス領域にアクセスするための上記サービス領域ごとのリンク情報を保持するインデックス領域とを有する、上記ＩＣチップの内部に設けられる内部メモリと、上記ＩＣチップとは異なる移動元ＩＣチップから上記ＩＣチップへとデータの移動が行われた後に、上記インデックス領域と上記サービス領域との整合性を確認する整合性確認要求を上記管理サーバへ送信する整合性確認要求部とを備え、上記管理サーバは、上記情報処理端末からの上記整合性確認要求に応じて、上記情報処理端末の上記インデックス領域から少なくとも１以上の上記リンク情報を取得するデータ取得部と、上記データ取得部において取得される上記リンク情報に基づいて、上記リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定する領域判定部と、上記領域判定部において、上記リンク情報がアクセス可能なサービス領域を示していると判定された場合に、上記リンク情報が示すサービス領域を読み出す読み出し部と、上記読み出し部において上記リンク情報が示すサービス領域が読み出せない場合には、上記リンク情報をアクセス先が指定されない情報へと更新させるデータ更新部とを備えるデータ管理システムが提供される。

データ管理システムを構成するＩＣチップを搭載した情報処理端末は、例えば、ＩＣチップの内部に設けられる内部メモリと、整合性確認要求部とを備える。内部メモリは、１または２以上のサービス領域と、インデックス領域とを有することができる。サービス領域それぞれは、リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持することができ、また、インデックス領域は、各サービス領域にアクセスするためのサービス領域ごとのリンク情報を保持することができる。また、整合性確認要求部は、情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）とは異なる移動元ＩＣチップから、情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）へとデータの移動が行われた後に、情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）のインデックス領域に保持されるリンク情報とサービス領域との整合性を確認する整合性確認要求を管理サーバへ送信することができる。

データ管理システムを構成する管理サーバは、例えば、データ取得部と、領域判定部と、読み出し部と、データ更新部とを備える。データ取得部は、情報処理端末からの上記整合性確認要求に応じて、情報処理端末の上記インデックス領域から少なくとも１以上の上記リンク情報を取得することができる。領域判定部は、データ取得部において取得される少なくとも１以上のリンク情報に基づいて、リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定することができる。読み出し部は、領域判定部において、リンク情報がアクセス可能なサービス領域を示していると判定された場合に、リンク情報が示すサービス領域を読み出してサービス領域の実在を確認することができる。データ更新部は、読み出し部においてリンク情報が示すサービス領域が読み出せない場合には、リンク情報をアクセス先が指定されない情報へと更新させることができる。

かかる構成により、移動元のＩＣチップから移動先のＩＣチップへとデータの移動が行われた場合において、互いに関連する２のメモリ領域を有する、リーダ／ライタと非接触通信可能な移動先のＩＣチップ内のメモリ領域の整合性を回復させることが可能なデータ管理システムが実現される。

また、上記目的を達成するために、本発明の第２の観点によれば、リーダ／ライタと非接触通信可能なＩＣチップ内に、上記リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持する１または２以上のサービス領域と、各サービス領域にアクセスするための上記サービス領域ごとのリンク情報を保持するインデックス領域とを有する内部メモリを備え、上記ＩＣチップとは異なる移動元ＩＣチップから上記ＩＣチップへとデータの移動が行われた後に、上記インデックス領域と上記サービス領域との整合性を確認する整合性確認要求を送信可能な情報処理端末と通信可能な管理サーバであって、上記情報処理端末からの上記整合性確認要求に応じて、上記情報処理端末の上記インデックス領域から少なくとも１以上の上記リンク情報を取得するデータ取得部と、上記データ取得部において取得される上記リンク情報に基づいて、上記リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定する領域判定部と、上記領域判定部において、上記リンク情報がアクセス可能なサービス領域を示していると判定された場合に、上記リンク情報が示すサービス領域を読み出す読み出し部と、上記読み出し部において上記リンク情報が示すサービス領域が読み出せない場合には、上記リンク情報をアクセス先が指定されない情報へと更新させるデータ更新部とを備える管理サーバが提供される。

管理サーバは、リーダ／ライタと非接触通信可能なＩＣチップを搭載した情報処理端末と通信を行うことができる。ここで、情報処理端末は、リーダ／ライタと非接触通信可能なＩＣチップ内に、リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持する１または２以上のサービス領域と、各サービス領域にアクセスするためのサービス領域ごとのリンク情報を保持するインデックス領域とを有する内部メモリを備えることができる。また、情報処理端末は、情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）とは異なる移動元ＩＣチップから情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）へとデータの移動が行われた後に、情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）のインデックス領域に保持されるリンク情報とサービス領域との整合性を確認する整合性確認要求を送信することができる。

また、管理サーバは、例えば、データ取得部と、領域判定部と、読み出し部と、データ更新部とを備える。データ取得部は、情報処理端末からの整合性確認要求に応じて、情報処理端末のインデックス領域から少なくとも１以上のリンク情報を取得することができる。領域判定部は、データ取得部において取得される少なくとも１以上のリンク情報に基づいて、リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定することができる。読み出し部は、領域判定部において、リンク情報がアクセス可能なサービス領域を示していると判定された場合に、リンク情報が示すサービス領域を読み出してサービス領域の実在を確認することができる。データ更新部は、読み出し部においてリンク情報が示すサービス領域が読み出せない場合には、リンク情報をアクセス先が指定されない情報へと更新させることができる。

かかる構成により、管理サーバは、移動元のＩＣチップから移動先のＩＣチップへとデータの移動が行われた場合において、互いに関連する２のメモリ領域を有する、リーダ／ライタと非接触通信可能な移動先のＩＣチップ内のメモリ領域の整合性を回復させることができる。

また、上記情報処理端末の各サービス領域には、上記サービス領域の読み出しを不能とする属性情報が設定可能であり、上記読み出し部において上記リンク情報が示すサービス領域が読み出せない場合に、上記リンク情報が示すサービス領域に上記属性情報が設定されているか否かを判定する属性判定部をさらに備え、データ更新部は、上記属性判定部において上記属性情報が設定されていると判定された場合には、上記インデックス領域内に保持される上記リンク情報を更新させないとしてもよい。

かかる構成により、情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）内のメモリ領域に、領域の読み出しを不能とする属性情報が設定可能であった場合にも、リンク情報が示すサービス領域の実在を確認してＩＣチップ内のメモリ領域の整合性を回復させることができる。

また、上記目的を達成するために、本発明の第３の観点によれば、リーダ／ライタと非接触通信可能なＩＣチップ内に、上記リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持する１または２以上のサービス領域と、各サービス領域にアクセスするための上記サービス領域ごとのリンク情報を保持するインデックス領域とを有する内部メモリを備え、上記ＩＣチップとは異なる移動元ＩＣチップから上記ＩＣチップへとデータの移動が行われた後に、上記インデックス領域と上記サービス領域との整合性を確認する整合性確認要求を送信可能な情報処理端末と通信可能な管理サーバにおけるデータ管理方法であって、上記情報処理端末からの上記整合性確認要求に応じて、上記情報処理端末の上記インデックス領域から少なくとも１以上の上記リンク情報を取得するステップと、上記取得するステップにおいて取得される上記リンク情報に基づいて、上記リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定するステップと、上記判定するステップにおいて、上記リンク情報がアクセス可能なサービス領域を示していると判定された場合に、上記リンク情報が示すサービス領域を読み出すステップと、上記読み出すステップにおいて上記リンク情報が示すサービス領域が読み出せない場合には、上記リンク情報をアクセス先が指定されない情報へと更新させるステップとを有するデータ管理方法が提供される。

かかる方法を用いることにより、移動元のＩＣチップから移動先のＩＣチップへとデータの移動が行われた場合において、互いに関連する２のメモリ領域を有する、リーダ／ライタと非接触通信可能な移動先のＩＣチップ内のメモリ領域の整合性を回復させることができる。

また、上記目的を達成するために、本発明の第４の観点によれば、リーダ／ライタと非接触通信可能なＩＣチップ内に、上記リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持する１または２以上のサービス領域と、各サービス領域にアクセスするための上記サービス領域ごとのリンク情報を保持するインデックス領域とを有する内部メモリを備え、上記ＩＣチップとは異なる移動元ＩＣチップから上記ＩＣチップへとデータの移動が行われた後に、上記インデックス領域と上記サービス領域との整合性を確認する整合性確認要求を送信可能な情報処理端末と通信可能な管理サーバに係るプログラムであって、上記情報処理端末からの上記整合性確認要求に応じて、上記情報処理端末の上記インデックス領域から少なくとも１以上の上記リンク情報を取得する手段、上記取得するステップにおいて取得される上記リンク情報に基づいて、上記リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定する手段、上記判定するステップにおいて、上記リンク情報がアクセス可能なサービス領域を示していると判定された場合に、上記リンク情報が示すサービス領域を読み出す手段、上記読み出すステップにおいて上記リンク情報が示すサービス領域が読み出せない場合には、上記リンク情報をアクセス先が指定されない情報へと更新させる手段としてコンピュータを機能させるためのプログラムが提供される。

かかるプログラムによって、移動元のＩＣチップから移動先のＩＣチップへとデータの移動が行われた場合において、互いに関連する２のメモリ領域を有する、リーダ／ライタと非接触通信可能な移動先のＩＣチップ内のメモリ領域の整合性を回復させることができる。

本発明によれば、移動元のＩＣチップから移動先のＩＣチップへとデータの移動が行われた場合において、互いに関連する２のメモリ領域を有する、リーダ／ライタと非接触通信可能な移動先のＩＣチップ内のメモリ領域の整合性を回復させることができる。

以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書および図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

（本発明の実施形態に係るメモリ領域の構成の一例）
まず、本発明の実施形態に係るＩＣチップ内のメモリ領域の構成について説明する。図２は、本発明の実施形態に係るＩＣチップ内のメモリ領域の構成の一例を示す説明図である。

図２を参照すると、本発明の実施形態に係るＩＣチップ内のメモリ領域は、サービス領域Ａ、Ｂと、サービス領域Ａ、Ｂそれぞれと互いに関連するインデックス領域Ｘとを有する。サービス領域Ａ、Ｂそれぞれは、図１に示す従来のメモリ領域の構成と同様に、階層構造をとることができる。ここで、領域とは、階層構造においていわゆるフォルダに相当するものである。以下では、サービス領域として、サービス領域Ａについて説明するが、サービス領域Ｂも同様である。

サービス領域Ａは、情報処理端末が有する機能を有効とするためのデータ、または、情報処理端末が備えるＩＣチップを用いてサービスを受けるためのデータ（以下、「サービスデータ」という。）が保持される、各種サービスに対応する領域である。ここで、サービスデータとしては、例えば、電子マネーバリューのデータ、個人認証のためのデータ、チケットのデータ、割引券に相当するデータなどが挙げられるが、上記に限られない。

また、サービス領域Ａは、例えば、サービス領域に保持されるサービスデータに対する処理が途中の状態であるのか（あるいは、トランザクションが未完の状態であるのか）、または、サービスデータに対する処理が完了した状態であるのか（あるいは、トランザクションが完了した状態であるのか）を示す管理情報を保持することもできる。ここで、サービスデータに対する処理としては、例えば、サービスデータの書き込み処理などが挙げられるが、上記に限られない。なお、図２では、管理情報ａがサービス領域Ａに保持されているが、本発明の実施形態に係るサービス領域には、管理情報が保持されていなくてもよい。

インデックス領域Ｘは、リーダ／ライタが各サービス領域へとアクセスするために参照する領域である。インデックス領域Ｘには、サービス領域にアクセスするためにサービス領域の場所を指し示す情報（以下、「リンク情報」という。）がサービス領域ごとに保持される。ここで、リンク情報としては、例えば、サービス領域を特定するアドレスやコード、サービス領域へアクセスするための暗号鍵（（Encryption Key））などが挙げられるが、上記に限られない。図２では、サービス領域Ａへアクセスするためのリンク情報ａと、サービス領域Ｂへアクセスするためのリンク情報ｂとがインデックス領域Ｘに保持されている。

また、リンク情報は、例えば、以下の（１）、（２）に示す２つの状態をとることができる。
（１）リンク情報が「サービス領域のアドレス」を示す場合
（２）リンク情報が「Ｎｕｌｌ」を示す場合：どのサービス領域も示していない状態（以下、「初期化された状態」という。）
なお、上記（２）では、リンク情報の値を「Ｎｕｌｌ」とした例を示しているが、本発明の実施形態に係る初期化された状態において設定されるリンク情報の値が、「Ｎｕｌｌ」に限らないことは、言うまでもない。

（データの移動の概要）
次に、本発明の実施形態に係るデータの移動の概要について説明する。図３は、本発明の実施形態に係るデータの移動の概要を示す説明図である。ここで、図３（ａ）は、移動元ＩＣチップから移動先ＩＣチップへとデータの移動が行われる前の状態を示した図であり、図３（ｂ）は、移動元ＩＣチップから移動先ＩＣチップへとデータの移動が行われた後の一の状態を示した図である。また、図３（ｃ）は、移動元ＩＣチップから移動先ＩＣチップへとデータの移動が行われた後の他の状態を示した図である。なお、図３では、データの移動の概要を説明するために、図２に示す本発明の実施形態に係るメモリ領域の構成は省略し、サービス領域のみを示している。

[データの移動前の状態：図３（ａ）]
データの移動前において移動元ＩＣチップは、データの移動が可能な移動可能領域Ｃ（サービス領域）と、データの移動が許可されていない移動不能領域Ｄ（サービス領域）を有している。また移動先ＩＣチップには、何らの領域も設けられていない。

[データの移動後の第１の状態：図３（ｂ）]
移動元ＩＣチップから移動先ＩＣチップへとデータの移動が行われると、移動可能な移動可能領域Ｃ（サービス領域）のみが移動元ＩＣチップから移動先ＩＣチップへ移動され、データの移動が許可されていない移動不能領域Ｄ（サービス領域）は、移動元ＩＣチップから削除される。したがって、データの移動後において移動先ＩＣチップは、移動可能領域Ｃ（サービス領域）を有し、移動元ＩＣチップには、何らの領域も残らない。

[データの移動後の第２の状態：図３（ｃ）]
移動元ＩＣチップから移動先ＩＣチップへとデータの移動が行われると、移動可能な移動可能領域Ｃ（サービス領域）のみが移動元ＩＣチップから移動先ＩＣチップへ移動され、データの移動が許可されていない移動不能領域Ｄ（サービス領域）は、移動元ＩＣチップから削除される。

このとき、移動元ＩＣチップから移動先ＩＣチップへと移動された移動可能領域Ｃ（サービス領域）には、領域の属性を示す属性情報として、領域の読み出しを不能とする旨の属性情報が付加されてもよい。ここで、本発明の実施形態に係る“領域の読み出しを不能とする”とは、領域の読み出しが不可能という意味ではなく、特殊な読み出し手段（例えば、特定の読み出し命令が発せられた場合のみ読み出し可能となる。）により読み出されることを指す。したがって、図３（ｃ）に示すデータの移動後の第２の状態は、移動先ＩＣチップ内に移動可能領域Ｃ（サービス領域）が存在するにも関わらず、通常の手段では読み出せない状態を示している。

以下では、図３（ｃ）に示すような領域に対して領域の読み出しを不能とする旨の属性情報が付加されている状態を、「プライバシ状態」という。

（本発明の実施形態が対象とする整合性に係る問題の一例）
本発明の実施形態では、図３に示すようなデータの移動が行われる。次に、本発明の実施形態が対象とする整合性に係る問題について、一例を挙げて説明する。

図４は、本発明の実施形態に係るデータの移動前と移動後のＩＣチップの状態の一例を示す説明図である。ここで、図４（ａ）は、移動元ＩＣチップから移動先ＩＣチップへとデータの移動が行われる前の状態を示した図であり、図４（ｂ）は、移動元ＩＣチップから移動先ＩＣチップへとデータの移動が行われた後の状態を示した図である。

[データの移動前の状態：図４（ａ）]
データの移動前において移動元ＩＣチップは、サービス領域Ａ、Ｂと、サービス領域Ａ、Ｂそれぞれと互いに関連するインデックス領域Ｘとを有する。インデックス領域Ｘは、データの移動が可能な移動可能領域として設定され、サービス領域Ａを示すリンク情報ａおよびサービス領域Ｂを示すリンク情報ｂが保持されている。

サービス領域Ａは、データの移動が可能な移動可能領域として設定され、管理情報ａとサービスデータａとが保持されている。また、サービス領域Ｂは、データの移動が許可されていない移動不能領域として設定され、管理情報ｂとサービスデータｂとが保持されている。

また、データの移動前において移動先ＩＣチップには、何らの領域も設けられていない。

[データの移動後の状態：図４（ｂ）]
移動元ＩＣチップから移動先ＩＣチップへとデータの移動が行われると、移動可能領域であるインデックス領域Ｘとサービス領域Ａとが移動され、また、移動が許可されていない移動不能領域であるサービス領域Ｂは移動されずに移動元ＩＣチップから削除される。

しかしながら、図４（ｂ）に示すように、移動先のＩＣチップでは、サービス領域Ｂを示すリンク情報ｂが移動されているにも関わらず、サービス領域Ｂは、移動されていない。したがって、図４（ｂ）は、リンク情報ｂが存在しないサービス領域を指し示している状態、すなわち、インデックス領域とサービス領域との間における整合性が不正な状態である。上記の場合、例えば、リーダ／ライタがリンク情報ｂを読み込んだ場合、存在しないサービス領域Ｂへアクセスを行ってしまうなど、望ましくない動作が起こってしまう。

（第１の実施形態）
そこで次に、図４（ｂ）に示すようなインデックス領域とサービス領域との間における整合性が不正な状態を、整合性が正常な状態へと回復させることが可能な本発明の第１の実施形態に係るデータ管理システムについて説明する。

図５は、本発明の第１の実施形態に係るデータ管理システムを示すブロック図である。

図５を参照すると、第１の実施形態に係るデータ管理システムは、情報処理端末１００と、リーダ／ライタ１５０と、管理サーバ２００と、セキュリティモジュール２５０とを有する。なお、図５では、情報処理端末として、情報処理端末１００しか図示していないが、第１の実施形態に係るデータ管理システムは、２以上の情報処理端末を有してもよい。

情報処理端末１００とリーダ／ライタ１５０とは、例えば１３．５６ＭＨｚなど特定の周波数の磁界（搬送波）を用いて非接触式に通信を行うことができる。リーダ／ライタ１５０は、搬送波を用いることにより、非接触式に情報処理端末１００が備えるＩＣチップ１０２（後述する）内のデータの読み込み、または書き込みを行うことができる。

また、情報処理端末１００と管理サーバ２００とは、ネットワーク回線３００で接続される。ここで、ネットワーク回線３００は、例えば、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）など有線ネットワークであってもよいし、もしくは、ＭＩＭＯ（Multiple-Input Multiple-Output）を用いたＷＬＡＮ（Wireless Local Area Network）などの無線ネットワーク、あるいは、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）などの通信プロトコルを用いたインターネット（Internet）であってもよい。また、ネットワーク回線３００は、例えば、いわゆる無線ＬＡＮアクセスポイント（Wireless LAN Access Point）としての役割を果たす基地局（図示せず）などを介すものや、赤外線、ＩＥＥＥ８０２．１１（「Ｗｉ−Ｆｉ」とも呼ばれる。）、ＩＥＥＥ８０２．１５．１などのいわゆる近距離無線通信に係るものであってもよいが、上記に限られない。

[情報処理端末１００]
情報処理端末１００は、ＩＣチップ１０２と、端末側通信部１０６と、整合性確認要求部１０８と、データ管理部１１０とを備えることができる。また、情報処理端末１００は、ＭＰＵ（Micro Processing Unit）などで構成され情報処理端末１００全体を制御する端末側制御部（図示せず）や、情報処理端末１００が実行可能なアプリケーションやデータを保持する端末側記憶部（図示せず）、ユーザが操作可能な操作部（図示せず）などを備えてもよい。ここで、端末側記憶部（図示せず）としては、例えば、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）などのメモリ、ハードディスク（Hard Disk）などの磁気記録媒体などが挙げられるが、上記に限られない。また、操作部（図示せず）としては、例えば、ボタン、方向キー、ジョグダイヤルなどの回転型セレクター、あるいは、これらの組み合わせなどが挙げられる。

ＩＣチップ１０２は、リーダ／ライタ１５０との通信に係る様々な部を集積回路にて実現したものであり、耐タンパ性を有することができる。ＩＣチップ１０２は、例えば、内部メモリ１０４や内部通信部（図示せず）を備えることができる。

内部メモリ１０４は、ＩＣチップ１０２内に備わる記憶部であり、耐タンパ性を有することができる。また、内部メモリ１０４は、図２に示すように、インデックス領域と、インデックス領域と対応するサービス領域との互いに関連する２つの領域を有する。ここで、図５では、内部メモリ１０４の構成の一例として、インデックス領域Ｘと、サービス領域Ａ、Ｂとが示されている。

内部通信部（図示せず）は、例えば、送受信アンテナとしての所定のインダクタンスをもつコイルと、所定の静電容量をもつキャパシタとからなる共振回路を有し、リーダ／ライタ１５０から送信される搬送波を受信することができる。また、内部通信部（図示せず）は、例えば、負荷変調を行いリーダ／ライタ１５０からみた情報処理端末１００のインピーダンスを変化させることにより、搬送波を介してリーダ／ライタ１５０と通信を行うことができる。

端末側通信部１０６は、ネットワーク回線３００を介して管理サーバ２００などの外部装置と通信を行うための部であり、ネットワーク回線３００の種類（すなわち、外部装置との通信の形態）に応じた形状、機能を有することができる。

整合性確認要求部１０８は、ＩＣチップ１０２とは異なる移動元ＩＣチップからＩＣチップ１０２へとデータの移動が行われた後に、ＩＣチップ１０２（移動先ＩＣチップ）が備える内部メモリ１０４のインデックス領域とサービス領域との整合性を確認する整合性確認要求を生成することができる。そして、整合性確認要求部１０８は、生成した整合性確認要求を管理サーバ２００へ送信させる。

ここで、整合性確認要求部１０８が生成する整合性確認要求は、管理サーバ２００が、情報処理端末１００のＩＣチップ１０２が備える内部メモリ１０４のインデックス領域とサービス領域との整合性を確認するための処理を開始するためのいわゆるトリガとなる情報である。整合性確認要求としては、例えば、予め定められた処理番号が挙げられるが、上記に限られない。

また、整合性確認要求部１０８は、例えば、ユーザ入力に基づいて整合性確認要求を生成することができる。ここで、ユーザ入力とは、例えば、情報処理端末１００を使用する使用者が操作部（図示せず）を用いて所定の操作することであってもよいし、または、情報処理端末１００において実行可能なアプリケーションにより生成命令が発せられることであってもよい。さらに、整合性確認要求部１０８は、例えば、情報処理端末１００以外の外部装置から取得する生成命令に応じて整合性確認要求を生成することもできる。

データ管理部１１０は、内部メモリ１０４内の領域の登録や削除、データの読み出しや書き込みを行うことが可能な部であり、管理サーバ２００の各種指示（後述する）に基づいて、内部メモリ１０４に対する処理を行うことができる。

[管理サーバ２００]
管理サーバ２００は、サーバ側通信部２０２と、データ取得部２０４と、領域判定部２０６と、読み出し部２０８と、属性判定部２１０と、データ更新部２１２とを備えることができる。また、管理サーバ２００は、ＭＰＵなどで構成され管理サーバ２００全体を制御する管理側制御部（図示せず）や、管理サーバ２００が実行可能なアプリケーションやデータを保持する管理側記憶部（図示せず）などを備えてもよい。ここで、管理側記憶部（図示せず）としては、例えば、ＲＡＭやＲＯＭなどのメモリ、ハードディスクなどの磁気記録媒体などが挙げられるが、上記に限られない。

また、管理サーバ２００は、情報処理端末１００の内部メモリ１０４にアクセスするための暗号鍵を保持するセキュリティモジュール２５０を備えることができる。図５では、セキュリティモジュール２５０を管理サーバ２００とは別体として図示しているが、管理サーバ２００内部に備えることもできる。管理サーバ２００は、セキュリティモジュール２５０に保持される情報処理端末１００の内部メモリ１０４にアクセスするための暗号鍵を用いることにより、情報処理端末１００の内部メモリ１０４に（直接的に、または間接的に）アクセスすることができる。

サーバ側通信部２０２は、ネットワーク回線３００を介して情報処理端末１００などの外部装置と通信を行うための部であり、ネットワーク回線３００の種類（すなわち、外部装置との通信の形態）に応じた形状、機能を有する。

データ取得部２０４は、情報処理端末１００から整合性確認要求を取得すると、整合性確認要求に応じて、情報処理端末１００のＩＣチップ１０２が備える内部メモリ１０４のインデックス領域Ｘに保持される少なくとも１以上のリンク情報を取得する。ここで、データ取得部２０４におけるリンク情報を取得手段としては、例えば、データ取得部２０４がリンク情報取得指示を情報処理端末１００へ送信し、情報処理端末１００のデータ管理部１１０が当該リンク情報取得指示に基づいてリンク情報を読み出して管理サーバ２００へ返信することが挙げられるが、上記に限られない。

また、データ取得部２０４は、リンク情報取得指示をまずセキュリティモジュール２５０へ送信し、セキュリティモジュール２５０において暗号化されたリンク情報取得指示を情報処理端末１００へ送信することもできる。セキュリティモジュール２５０と、情報処理端末１００のＩＣチップ１０２において共通の暗号鍵を用いることにより、管理サーバ２００と情報処理端末１００との間の通信を暗号化された暗号通信とすることができる。なお、以下では、特に暗号通信について触れないが、同様に管理サーバ２００と情報処理端末１００との間の通信は、暗号化された通信とすることができる。

領域判定部２０６は、データ取得部２０４により情報処理端末１００から取得された少なくとも１以上のリンク情報を用いて、リンク情報ごとに、リンク情報がサービス領域の場所を指し示しているか（すなわち、リンク情報がアクセス可能なサービス領域を示しているか）否かを判定することができる（第１の領域判定）。ここで、領域判定部２０６におけるリンク情報を用いた判定は、例えば、リンク情報が初期化された状態であるか否かを判定することにより行うことができるが、上記に限られない。また、以下では、リンク情報に「Ｎｕｌｌ」が設定されることを、リンク情報の「初期化」とする。なお、本発明の実施形態に係る初期化が、リンク情報に「Ｎｕｌｌ」が設定されることに限られないことは、言うまでもない。

読み出し部２０８は、領域判定部２０６において、リンク情報がサービス領域の場所を指し示していると判定された場合には、当該リンク情報が示すサービス領域を読み出す。ここで、読み出し部２０８におけるサービス領域の読み出し手段としては、例えば、読み出し部２０８がサービス領域読み出し指示を情報処理端末１００へ送信し、情報処理端末１００のデータ管理部１１０が当該サービス領域読み出し指示に基づいてサービス領域を読み出して管理サーバ２００へ返信することが挙げられる。なお、読み出し部２０８により読み出される読み出し結果は、例えば、サービス領域が読み出せたか否かを示す１ビットのデータ（例えば「０」が読み出し失敗、「１」が読み出し成功）とすることができるが、上記に限られず、サービス領域そのものであってもよい。

属性判定部２１０は、読み出し部２０８においてサービス領域が読み出されなかった場合に、当該サービス領域がプライバシ状態であるか否かを判定する。ここで、属性判定部２１０におけるプライバシ状態の判定手段としては、例えば、属性判定部２１０がサービス領域に設定された属性情報を確認するための属性情報確認指示を情報処理端末１００へ送信し、情報処理端末１００のデータ管理部１１０が当該属性情報確認指示に基づいて読み出し部２０８が読み出せなかったサービス領域の属性情報を確認して管理サーバ２００へ返信することが挙げられる。なお、属性判定部２１０により確認される結果は、例えば、サービス領域がプライバシ状態であるか否かを示す１ビットのデータ（例えば「０」がプライバシ状態ではない、「１」がプライバシ状態である）とすることができるが、上記に限られない。

また、属性判定部２１０は、読み出し部２０８においてサービス領域が読み出されなかったサービス領域がプライバシ状態である場合には、サービス領域が存在する、すなわち、整合性が正常であると判定することができる。また、属性判定部２１０は、読み出し部２０８においてサービス領域が読み出されなかったサービス領域がプライバシ状態ではない場合には、サービス領域が存在しない、すなわち、整合性が不正であると判定することができる（第２の領域判定）。

データ更新部２１２は、属性判定部２１０において整合性が不正であると判定された場合には、整合性を回復させるための「整合性回復処理」（後述する）を実行し、情報処理端末１００のＩＣチップ１０２が備える内部メモリ１０４のインデックス領域に保持されるリンク情報を更新させる。また、データ更新部２１２は、属性判定部２１０において整合性が正常であると判定された場合には、「整合性回復処理」を実行しない。

また、データ更新部２１２は、データ取得部２０４において取得された１以上のリンク情報において、整合性が不正であると判定された全てのリンク情報に対して更新が完了すると、更新が完了し整合性が正常な状態となった旨の結果情報を情報処理端末１００へ送信させ、整合性確認要求に基づく処理を完了させることができる。

[データ管理方法]
次に、本発明の実施形態に係るデータ管理方法に係る「整合性回復処理」がどのようにしてインデックス領域とサービス領域との整合性を回復させるのかについて説明する。

図６は、本発明の実施形態に係る整合性回復処理の一例を示す説明図である。なお、本発明の実施形態に係る「整合性回復処理」が図６に限られないことは、言うまでもない。また、図６において、特段示していないが、管理サーバ２００と情報処理端末１００との間の通信は、セキュリティモジュール２５０により暗号化された通信とすることができる。

まず、情報処理端末１００から管理サーバ２００へ処理の要求がなされる（Ｓ１００）。ここで、ステップＳ１００における処理の要求とは、インデックス領域とサービス領域との整合性を確認する整合性確認要求を指す。整合性確認要求の送信は、例えば、情報処理端末１００を使用するユーザの操作により行われてもよいし、または、移動元ＩＣチップから情報処理端末１００のＩＣチップ１０２（移動先ＩＣチップ）へとデータの移動が行われた後に、情報処理端末１００が外部装置から取得する生成命令に応じて行うことできる。

ステップＳ１００において情報処理端末１００から送信された整合性確認要求を受信した管理サーバ２００は、整合性確認要求に基づいて、情報処理端末１００のＩＣチップ１０２が備える内部メモリ１０４のインデックス領域Ｘに保持される少なくとも１以上のリンク情報を取得するためのリンク情報取得指示を情報処理端末１００へ送信する（Ｓ１０２）。ステップＳ１０２におけるリンク情報取得指示の送信は、データ取得部２０４が行うことができる。

ステップＳ１０２において管理サーバ２００から送信されたリンク情報取得指示を受信した情報処理端末１００は、リンク情報取得指示に基づいてインデックス領域Ｘに保持されるリンク情報を読み出す（Ｓ１０４）。そして、ステップＳ１０４において読み出した少なくとも１以上のリンク情報を管理サーバ２００へ送信する（Ｓ１０６）。ここで、ステップＳ１０４における読み出し処理は、例えば、情報処理端末１００のデータ管理部１１０が行うことができる。以下、情報処理端末１００において行われる各処理は、データ管理部１１０が行うものとして説明を省略するが、情報処理端末１００において行われる各処理を行う構成要素がデータ管理部１１０に限られないことは、言うまでもない。

ステップＳ１０６において情報処理端末１００から送信された少なくとも１以上のリンク情報を受信した管理サーバ２００は、受信されたリンク情報ごとに以下に示すステップＳ１０８〜Ｓ１３２の処理を行い、受信されたリンク情報の数だけ処理を繰り返す。

＜処理の概要＞
ここで、図６を用いてステップＳ１０８〜Ｓ１３２の処理について説明する前に、ステップＳ１０８〜Ｓ１３２における処理の概要について図７を参照して説明する。図７は、本発明の実施形態に係る整合性回復処理における処理の概要を示す説明図であり、一のリンク情報に係る処理の概要を示している。

まず、リンク情報が示すサービス領域を読み出す（Ｓ２００）。なお、図７では特に示していないが、初期化されたリンク情報である場合には、当該リンク情報についての処理は終了し、全てのリンク情報についてサービス領域を確認したか否かを判定する（Ｓ２０４）。ステップＳ２０４において、全てのリンク情報についてサービス領域を確認していない場合には、次のリンク情報についてステップＳ２００からの処理を行い、また、全てのリンク情報についてサービス領域を確認した場合は、処理を終了する。

ステップＳ２００において読み出したサービス領域が存在するか否かを判定する（Ｓ２０２）。ステップＳ２０２における判定は、例えば、サービス領域が読み出せたか否かで行うことができる。ステップＳ２０２においてサービス領域が存在すると判定された場合には、リンク情報とサービス領域との整合性は正常であるので、全てのリンク情報についてサービス領域を確認したか否かを判定する（Ｓ２０４）。

また、ステップＳ２０２においてサービス領域が存在しないと判定された場合には、リンク情報が示すサービス領域の属性情報を確認する（Ｓ２０６）。そして、ステップＳ２０６における属性情報の確認結果に基づいて、サービス領域にプライバシ状態が設定されているか否かを判定する（Ｓ２０８）。

ステップＳ２０８においてサービス領域にプライバシ状態が設定されていると判定された場合には、リンク情報とサービス領域との整合性は正常であるので、全てのリンク情報についてサービス領域を確認したか否かを判定する（Ｓ２０４）。

また、ステップＳ２０８においてサービス領域にプライバシ状態が設定されていないと判定された場合には、リンク情報とサービス領域との整合性は不正な状態であるので、リンク情報を初期化する（Ｓ２１０）。ステップＳ２１０において、リンク情報を初期化することにより、当該リンク情報は、どのサービス領域をも指し示さなくなるので、当該リンク情報とサービス領域との整合性を正常な状態へと回復させることができる。そして、全てのリンク情報についてサービス領域を確認したか否かを判定する（Ｓ２０４）。

以上、図７を用いて概要を示したように、本発明の実施形態に係る整合性回復処理は、リンク情報ごとにサービス領域の存在を確認し、サービス領域が存在しない場合には、整合性が不正な状態であるとして、リンク情報の初期化を行うことによって、整合性を正常な状態へと回復させる。

再度、図６を参照して、整合性回復処理に係るステップＳ１０８〜Ｓ１３２の処理について説明する。なお、以下に示すステップＳ１０８〜Ｓ１３２の処理は、ステップＳ１０６において情報処理端末１００から送信されたリンク情報の数分行われ、全てのリンク情報に対して処理が終了するまで繰り返される。

ステップＳ１０６において情報処理端末１００から送信された少なくとも１以上のリンク情報のうちの一のリンク情報について、管理サーバ２００は、当該リンク情報がサービス領域を指し示しているか否かを判定する（Ｓ１０８）。ここで、ステップＳ１０８における判定は、例えば、リンク情報が初期化されているか否かで判定することができる。ステップＳ１０８において、リンク情報がサービス領域を指し示していない場合には、次のリンク情報についてステップＳ１０８の処理を行う。ステップＳ１０８における判定は、領域判定部２０６が行うことができる。

ステップＳ１０８においてリンク情報がサービス領域を指し示していると判定された場合には、管理サーバ２００は、リンク情報が示すサービス領域を読み出す読み出し指示を情報処理端末１００へ送信する（Ｓ１１０）。ステップＳ１１０における読み出し指示の送信は、読み出し部２０８が行うことができる。

ステップＳ１１０においてリンク情報が示すサービス領域を読み出す読み出し指示を受信した情報処理端末１００は、読み出し指示に基づいて読み出し指示が指定するサービス領域を読み出す（Ｓ１１２）。そして、ステップＳ１１２における読み出し処理の結果を管理サーバ２００へ送信する（Ｓ１１４）。ここで、ステップＳ１１２における読み出し処理の結果は、例えば、サービス領域が読み出せたか否かを示す１ビットのデータ（例えば「０」が読み出し失敗、「１」が読み出し成功）とすることができるが、上記に限られない。

ステップＳ１１４において送信された読み出し処理の結果を受信した管理サーバ２００は、当該読み出し処理の結果に基づいて、サービス領域が読み出せたか否かを判定する（Ｓ１１６）。ステップＳ１１６において、サービス領域が読み出せたと判定された場合には、次のリンク情報についてステップＳ１０８の処理を行う。ステップＳ１１６における判定は、例えば、データ更新部２１２が行うことができる。

また、ステップＳ１１６において、サービス領域が読み出せないと判定された場合には、リンク情報が示すサービス領域がプライバシ状態であるか否かを判定するための属性情報確認指示を情報処理端末１００へ送信する（Ｓ１１８）。ステップＳ１１８における属性情報確認指示の送信は、属性判定部２１０が行うことができる。

ステップＳ１１８において送信された属性情報確認指示を受信した情報処理端末１００は、属性情報確認指示に基づいて属性情報確認指示が指定するサービス領域に属性情報が設定されているか否かを確認する（Ｓ１２０）。そして、ステップＳ１２０における属性情報確認処理の結果を管理サーバ２００へ送信する（Ｓ１２２）。ここで、ステップＳ１２２における属性情報確認処理の結果は、例えば、サービス領域がプライバシ状態であるか否かを示す１ビットのデータ（例えば「０」がプライバシ状態ではない、「１」がプライバシ状態である）とすることができるが、上記に限られない。

ステップＳ１２２において送信された属性情報確認処理の結果を受信した管理サーバ２００は、当該属性情報確認処理の結果に基づいて、リンク情報が示すサービス領域がプライバシ状態であるか否かを判定する（Ｓ１２４）。ステップＳ１２４において、リンク情報が示すサービス領域がプライバシ状態であると判定された場合には、次のリンク情報についてステップＳ１０８の処理を行う。ステップＳ１２４における判定は、属性判定部２１０が行うことができる。

また、ステップＳ１２４において、リンク情報が示すサービス領域がプライバシ状態ではないと判定された場合には、リンク情報を初期化するリンク情報初期化指示を情報処理端末１００へ送信する（Ｓ１２６）。ステップＳ１２６におけるリンク情報初期化指示の送信は、データ更新部２１２が行うことができる。

ステップＳ１２６において送信されたリンク情報初期化指示を受信した情報処理端末１００は、リンク情報初期化指示に基づいてリンク情報を初期化する（Ｓ１２８）。そして、ステップＳ１２８における初期化処理の結果を管理サーバ２００へ送信する（Ｓ１３０）。ここで、ステップＳ１３０における初期化処理の結果は、例えば、初期化が成功したか否かを示す１ビットのデータ（例えば「０」が初期化失敗、「１」が初期化成功）とすることができるが、上記に限られない。

ステップＳ１３０において送信された初期化処理の結果を受信した管理サーバ２００は、当該初期化処理の結果に基づいて、リンク情報の初期化が正常に行われたか否かを判定する（Ｓ１３２）。ステップＳ１３２において、リンク情報の初期化が正常に行われなかったと判定された場合には、再度ステップＳ１２６の処理を行うことができ、または、整合性確認要求に基づく処理が失敗した旨のエラー情報を情報処理端末１００へ送信して整合性確認要求に基づく処理を終了させてもよい。ステップＳ１３２における判定は、データ更新部２１２が行うことができる。

また、ステップＳ１３２においてリンク情報の初期化が正常に行われた場合には、次のリンク情報についてステップＳ１０８の処理を行う。

管理サーバ２００は、上記のようなステップＳ１０８〜Ｓ１３２の処理をリンク情報ごとに繰り返す。そして、管理サーバ２００は、ステップＳ１０６において情報処理端末１００から送信された少なくとも１以上のリンク情報のすべてについて処理が行われると、整合性確認要求に基づく処理が完了し整合性が正常な状態となった旨の結果情報を情報処理端末１００へ送信させて、整合性確認要求に基づく処理を完了させる（Ｓ１３４）。ステップＳ１３４における結果情報の送信は、データ更新部２１２が行うことができる。

図６に示す本発明の実施形態に係る整合性回復処理は、管理サーバ２００が主体となって情報処理端末１００のＩＣチップ１０２に保持されるリンク情報ごとにリンク情報が指し示すサービス領域の実在を確認する。そして、リンク情報が指し示すサービス領域が実在しない場合には、管理サーバ２００は、整合性が不正な状態であるとして当該リンク情報を初期化させる。整合性が不正な状態が生じていたリンク情報を初期化することによって、初期化されたリンク情報はいずれのサービス領域をも示さなくなるので、整合性の不正な状態は解消する。

よって、移動元ＩＣチップから情報処理端末１００のＩＣチップ１０２（移動先ＩＣチップ）へとデータの移動が行われた場合において、例えば、情報処理端末１００のＩＣチップ１０２（移動先ＩＣチップ）が図４（ｂ）に示す状態となったとしても、管理サーバ２００は、リンク情報ｂを初期化させることによって、リンク情報ｂへアクセスしたリーダ／ライタ１５０が実在しないサービス領域に対して読み出しなどの各種処理を行うことを防止させることができる。

以上のように、本発明の第１の実施形態に係るデータ管理システムは、情報処理端末１００が管理サーバ２００へ整合性確認要求を送信し、当該整合性確認要求を受信した管理サーバ２００が、情報処理端末１００のＩＣチップ１０２に保持される少なくとも１以上のリンク情報ごとにリンク情報が指し示すサービス領域の実在を確認する。そして、リンク情報が指し示すサービス領域が実在しない場合には、管理サーバ２００は、整合性が不正な状態であるとして当該リンク情報を初期化させて、当該リンク情報に係る整合性の不正な状態を解消させる。したがって、管理サーバ２００が、情報処理端末１００のＩＣチップ１０２に保持される少なくとも１以上のリンク情報それぞれに対して、サービス領域の実在を確認することによりリンク情報に係る整合性の不正な状態を判定し、整合性の不正な状態を解消させることによって、管理サーバ２００は、移動元ＩＣチップからデータの移動が行われた情報処理端末１００が備えるＩＣチップ１０２（移動先ＩＣチップ）のインデックス領域に保持されるリンク情報とサービス領域との整合性を回復させることができる。

また、本発明の第１の実施形態に係るデータ管理システムは、管理サーバ２００が主体となって情報処理端末１００のＩＣチップ１０２におけるインデックス領域とサービス領域との整合性の回復を制御することができる。したがって、情報処理端末１００は、管理サーバ２００からの指示に従って処理しさえすればよいので、情報処理端末１００側における整合性の回復に係る負荷を小さくすることができる。

また、本発明の第１の実施形態に係るＩＣチップ内のメモリ領域の構成は、図１に示す従来のメモリ領域の構成とは異なり、インデックス領域と、インデックス領域と対応するサービス領域という互いに関連する２つの領域を有する。本発明の実施形態に係る整合性回復処理が行われることによって、移動元ＩＣチップからデータの移動が行われた情報処理端末１００のＩＣチップ１０２（移動先ＩＣチップ）におけるインデックス領域とサービス領域との整合性が保たれるので、リーダ／ライタ１５０は、インデックス領域に保持されるリンク情報を読み出せば、リンク情報に対応するサービスが情報処理端末において提供されているか否かを判定することができる。したがって、本発明の第１の実施形態に係るデータ管理システムでは、リーダ／ライタ１５０が、データの移動が行われていないサービス領域、すなわち実在しないサービス領域からサービスデータを読み出すなどの各種処理を行うことを防止することもできる。

本発明の第１の実施形態に係るデータ管理システムを構成する構成要素として、情報処理端末１００を挙げて説明したが、本発明の第１の実施形態は、係る形態に限られず、ＩＣチップを搭載した携帯電話などの携帯型通信装置、ＩＣチップを搭載したＵＭＰＣ(Ultra Mobile Personal Computer)などのコンピュータなどに適用することができる。

また、本発明の第１の実施形態に係るデータ管理システムを構成する構成要素として、管理サーバ２００を挙げて説明したが、本発明の第１の実施形態は、係る形態に限られず、例えば、ＰＣ（Personal Computer）やサーバ（Server）などのコンピュータなどに適用することができる。

（第１の実施形態に係るプログラム）
第１の実施形態に係る管理サーバ２００をコンピュータとして機能させるためのプログラムによって、インデックス領域とサービス領域という互いに関連する２つの領域を有するＩＣチップを備える情報処理端末１００から送信される整合性確認要求に応じて、移動元ＩＣチップからデータの移動が行われた情報処理端末１００が備えるＩＣチップ１０２（移動先ＩＣチップ）のインデックス領域に保持されるリンク情報とサービス領域との整合性を回復させることができる。

（第２の実施形態）
上記では、第１の実施形態として、管理サーバ２００が、データの移動が行われた情報処理端末１００のＩＣチップ１０２（移動先ＩＣチップ）に保持される少なくとも１以上のリンク情報それぞれに対して、サービス領域の実在を確認することによりリンク情報に係る整合性の不正な状態を判断し、整合性の不正な状態を解消させる構成について説明した。しかしながら、例えば、正常に更新されていない不完全なサービスデータを保持する移動元ＩＣチップから、情報処理端末１００のＩＣチップ１０２（移動先ＩＣチップ）へとデータの移動が行われた場合には、情報処理端末１００のＩＣチップ１０２（移動先ＩＣチップ）のサービス領域に保持されるサービスデータが、正常に更新されていない不完全なサービスデータとなることもあり得る。上記の場合には、たとえリンク情報が指し示すサービス領域が実在していたとしても、望ましい状態ではない（整合性が不正な状態の一例であるといえる。）。

本発明の実施形態は、上記の望ましくない状態を解消するために、例えば、サービス領域の実在に加えて、さらに当該サービス領域に保持されるサービスデータが正常に更新されたデータであるか否かに基づいて、リンク情報に係る整合性の不正な状態を判断することができる（第２の実施形態）。

ここで、サービス領域に保持されるサービスデータが正常に更新されたデータであるか否かの判断は、例えば、サービス領域に保持されるサービスデータに対する処理が途中の状態であるのか（あるいは、トランザクションが未完の状態であるのか）、または、サービスデータに対する処理が完了した状態であるのか（あるいは、トランザクションが完了した状態であるのか）を示す管理情報（図２参照）を用いて行うことができる。

第２の実施形態に係る管理サーバは、リンク情報が指し示すサービス領域が実在していたとしても、管理情報が、例えば、処理の途中の状態であることを示している場合には、整合性が不正な状態であると判断し、整合性の不正な状態を解消させる。このとき、第２の実施形態に係る管理サーバが、例えば、移動元のＩＣチップから移動されてきたデータが不正であった旨のログ情報を情報処理端末１００へ送信することができることは、言うまでもない。

以上のように、第２の実施形態に係る管理サーバは、情報処理端末のＩＣチップに保持される少なくとも１以上のリンク情報それぞれに対して、サービス領域の実在およびサービスデータが正常なデータであるか否かによりリンク情報に係る整合性の不正な状態を確認する。そして、第２の実施形態に係る管理サーバは、不正な状態が確認された場合には、整合性の不正な状態を解消させる。したがって、第２の実施形態に係る管理サーバは、移動元ＩＣチップからデータの移動が行われた情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）のインデックス領域に保持されるリンク情報とサービス領域との整合性を回復させることができる。

（第２の実施形態に係るプログラム）
第２の実施形態に係る管理サーバをコンピュータとして機能させるためのプログラムによって、インデックス領域とサービス領域という互いに関連する２つの領域を有するＩＣチップを備える情報処理端末１００から送信される整合性確認要求に応じて、移動元ＩＣチップからデータの移動が行われた情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）のインデックス領域に保持されるリンク情報とサービス領域との整合性を回復させることができる。
（第３の実施形態）
上述した第１、第２の実施形態では、管理サーバが情報処理端末のＩＣチップ（移動先ＩＣチップ）におけるインデックス領域とサービス領域との整合性を回復させる構成について説明した。しかしながら、本発明の実施形態は、管理サーバが情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）のインデックス領域に保持されるリンク情報とサービス領域との整合性を回復させる構成に限られず、例えば、情報処理端末のインデックス領域に保持されるリンク情報とサービス領域との整合性を、情報処理端末自身が主体的に回復させることもできる。

情報処理端末自身が、移動元ＩＣチップからデータの移動が行われた情報処理端末が備えるＩＣチップ（移動先ＩＣチップ）のインデックス領域に保持されるリンク情報とサービス領域との整合性を回復させる手段としては、例えば、情報処理端末が、整合性回復処理において処理の経過を示すステータス情報を保持して処理を行うことが挙げられる。

以上、添付図面を参照しながら本発明の好適な実施形態について説明したが、本発明は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

例えば、図５に示す情報処理端末１００は、ＩＣチップ１０２（移動先ＩＣチップ）しか図示されていないが、かかる構成に限られず、移動元ＩＣチップおよびＩＣチップ１０２（移動先ＩＣチップ）の２以上のＩＣチップを備えることもできる。上記の構成であっても、一のＩＣチップ（移動元ＩＣチップ）から他のＩＣチップ（移動先ＩＣチップ）へとデータの移動が行われた場合に、移動先ＩＣチップ内のメモリ領域の整合性を回復させることができる。

また、本発明の実施形態に係るデータ管理方法として、図６、図７に示す「整合性回復処理」を示したが、本発明の実施形態に係るデータ管理方法は、図６、図７に示す方法に限られない。本発明の実施形態に係るデータ管理方法は、例えば、以下の（イ）〜（ニ）のステップに示す方法により、移動先ＩＣチップ内のメモリ領域の整合性を回復させることができる。
（イ）リンク情報を全て読み出し（集合１)、
（ロ）リンク情報に対するサービス領域を全て読み出し（集合２）、
（ハ）読み出せなかったもの（集合１−集合２）に対して属性チェックを行い、
（ニ）属性チェックの結果不整合と判定されたリンク情報に対して更新を行う

上述した構成は、当業者が容易に変更し得る程度のことであり、本発明の等価範囲に属するものと理解すべきである。

従来のＩＣチップ内のメモリ領域の構成の一例を示す説明図である。 本発明の実施形態に係るＩＣチップ内のメモリ領域の構成の一例を示す説明図である。 本発明の実施形態に係るデータの移動の概要を示す説明図である。 本発明の実施形態に係るデータの移動前と移動後のＩＣチップの状態の一例を示す説明図である。 本発明の第１の実施形態に係るデータ管理システムを示すブロック図である。 本発明の実施形態に係る整合性回復処理の一例を示す説明図である。 本発明の実施形態に係る整合性回復処理における処理の概要を示す説明図である。

符号の説明

１００ 情報処理端末
１０２ ＩＣチップ
１０４ 内部メモリ
１０６ 端末側通信部
１０８ 整合性確認要求部
１１０ データ管理部
１５０ リーダ／ライタ
２００ 管理サーバ
２０２ サーバ側通信部
２０４ データ取得部
２０６ 領域判定部
２０８ 読み出し部
２１０ 属性判定部
２１２ データ更新部

Claims (5)

1. リーダ／ライタと非接触通信可能なＩＣチップを搭載した情報処理端末と、前記情報処理端末と通信可能な管理サーバとからなるデータ管理システムであって：
   前記情報処理端末は、
   前記リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持する１または２以上のサービス領域と、各サービス領域にアクセスするための前記サービス領域ごとのリンク情報を保持するインデックス領域とを有する、前記ＩＣチップの内部に設けられ耐タンパ性を有する内部メモリと；
   前記ＩＣチップとは異なる移動元ＩＣチップから前記ＩＣチップへとデータの移動が行われた後に、前記インデックス領域と前記サービス領域との整合性を確認する整合性確認要求を前記管理サーバへ送信する整合性確認要求部と；
   前記整合性確認要求に応じて前記管理サーバから送信される前記内部メモリに対する処理を規定する指示に基づいて、前記内部メモリに対する前記指示に応じた処理を行うデータ管理部と；
   を備え、
   前記管理サーバは、
   前記情報処理端末からの前記整合性確認要求に応じて、前記内部メモリから前記リンク情報を取得するための取得指示を前記情報処理端末へ送信し、前記情報処理端末の前記インデックス領域から少なくとも１以上の前記リンク情報を取得するデータ取得部と；
   前記データ取得部において取得される前記リンク情報に基づいて、前記リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定する領域判定部と；
   前記領域判定部において、前記リンク情報がアクセス可能なサービス領域を示していると判定された場合に、前記リンク情報が示すサービス領域を読み出す読み出し指示を前記情報処理端末へ送信し、前記リンク情報が示すサービス領域を読み出す読み出し部と；
   前記読み出し部において前記リンク情報が示すサービス領域が読み出せない場合には、前記リンク情報をアクセス先が指定されない情報へと更新させる初期化指示を前記情報処理端末へ送信し、前記リンク情報をアクセス先が指定されない情報へと更新させるデータ更新部と；
   を備えることを特徴とする、データ管理システム。
2. リーダ／ライタと非接触通信可能なＩＣチップ内に、前記リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持する１または２以上のサービス領域と、各サービス領域にアクセスするための前記サービス領域ごとのリンク情報を保持するインデックス領域とを有し、耐タンパ性を有する内部メモリを備え、前記ＩＣチップとは異なる移動元ＩＣチップから前記ＩＣチップへとデータの移動が行われた後に、前記インデックス領域と前記サービス領域との整合性を確認する整合性確認要求を送信可能であり、前記整合性確認要求に応じて外部装置から送信される指示に基づいて前記内部メモリに対する前記指示に応じた処理を行う情報処理端末と通信可能な管理サーバであって：
   前記情報処理端末からの前記整合性確認要求に応じて、前記内部メモリから前記リンク情報を取得するための取得指示を前記情報処理端末へ送信し、前記情報処理端末の前記インデックス領域から少なくとも１以上の前記リンク情報を取得するデータ取得部と；
   前記データ取得部において取得される前記リンク情報に基づいて、前記リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定する領域判定部と；
   前記領域判定部において、前記リンク情報がアクセス可能なサービス領域を示していると判定された場合に、前記リンク情報が示すサービス領域を読み出す読み出し指示を前記情報処理端末へ送信し、前記リンク情報が示すサービス領域を読み出す読み出し部と；
   前記読み出し部において前記リンク情報が示すサービス領域が読み出せない場合には、前記リンク情報をアクセス先が指定されない情報へと更新させる初期化指示を前記情報処理端末へ送信し、前記リンク情報をアクセス先が指定されない情報へと更新させるデータ更新部と；
   を備えることを特徴とする、管理サーバ。
3. 前記情報処理端末の各サービス領域には、前記サービス領域の読み出しを不能とする属性情報が設定可能であり、
   前記読み出し部において前記リンク情報が示すサービス領域が読み出せない場合に、前記リンク情報が示すサービス領域に前記属性情報が設定されているか否かを判定する属性判定部をさらに備え、
   データ更新部は、前記属性判定部において前記属性情報が設定されていると判定された場合には、前記インデックス領域内に保持される前記リンク情報を更新させないことを特徴とする、請求項２に記載の管理サーバ。
4. リーダ／ライタと非接触通信可能なＩＣチップ内に、前記リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持する１または２以上のサービス領域と、各サービス領域にアクセスするための前記サービス領域ごとのリンク情報を保持するインデックス領域とを有し、耐タンパ性を有する内部メモリを備え、前記ＩＣチップとは異なる移動元ＩＣチップから前記ＩＣチップへとデータの移動が行われた後に、前記インデックス領域と前記サービス領域との整合性を確認する整合性確認要求を送信可能であり、前記整合性確認要求に応じて外部装置から送信される指示に基づいて前記内部メモリに対する前記指示に応じた処理を行う情報処理端末と通信可能な管理サーバにおけるデータ管理方法であって：
   前記情報処理端末からの前記整合性確認要求に応じて、前記内部メモリから前記リンク情報を取得するための取得指示を前記情報処理端末へ送信し、前記情報処理端末の前記インデックス領域から少なくとも１以上の前記リンク情報を取得するステップと；
   前記取得するステップにおいて取得される前記リンク情報に基づいて、前記リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定するステップと；
   前記判定するステップにおいて、前記リンク情報がアクセス可能なサービス領域を示していると判定された場合に、前記リンク情報が示すサービス領域を読み出す読み出し指示を前記情報処理端末へ送信し、前記リンク情報が示すサービス領域を読み出すステップと；
   前記読み出すステップにおいて前記リンク情報が示すサービス領域が読み出せない場合には、前記リンク情報をアクセス先が指定されない情報へと更新させる初期化指示を前記情報処理端末へ送信し、前記リンク情報をアクセス先が指定されない情報へと更新させるステップと；
   を有することを特徴とする、データ管理方法。
5. リーダ／ライタと非接触通信可能なＩＣチップ内に、前記リーダ／ライタを介して提供されるサービスに対応するサービスデータを保持する１または２以上のサービス領域と、各サービス領域にアクセスするための前記サービス領域ごとのリンク情報を保持するインデックス領域とを有し、耐タンパ性を有する内部メモリを備え、前記ＩＣチップとは異なる移動元ＩＣチップから前記ＩＣチップへとデータの移動が行われた後に、前記インデックス領域と前記サービス領域との整合性を確認する整合性確認要求を送信可能であり、前記整合性確認要求に応じて外部装置から送信される指示に基づいて前記内部メモリに対する前記指示に応じた処理を行う情報処理端末と通信可能な管理サーバに係るプログラムであって：
   前記情報処理端末からの前記整合性確認要求に応じて、前記内部メモリから前記リンク情報を取得するための取得指示を前記情報処理端末へ送信し、前記情報処理端末の前記インデックス領域から少なくとも１以上の前記リンク情報を取得する手段；
   前記取得するステップにおいて取得される前記リンク情報に基づいて、前記リンク情報ごとにアクセス可能なサービス領域を示しているか否かを判定する手段；
   前記判定するステップにおいて、前記リンク情報がアクセス可能なサービス領域を示していると判定された場合に、前記リンク情報が示すサービス領域を読み出す読み出し指示を前記情報処理端末へ送信し、前記リンク情報が示すサービス領域を読み出す手段；
   前記読み出すステップにおいて前記リンク情報が示すサービス領域が読み出せない場合には、前記リンク情報をアクセス先が指定されない情報へと更新させる初期化指示を前記情報処理端末へ送信し、前記リンク情報をアクセス先が指定されない情報へと更新させる手段；
   としてコンピュータを機能させるためのプログラム。

Images