JP4530229B2 - カード認証システム - Google Patents

Description

この発明は、プリペイドカードとその決済システム及び電子鍵に関し、特に半導体製造技術でのミクロ的な素子バラツキを適切に利用できるように考慮された識別情報発生回路を効果的に用いたものに利用して有効な技術に関するものである。

半導体チップに識別情報を発生させる代表的な技術として、特開２００２−１８４８７２（特許文献１）と、特開２００３−３３２４５２（特許文献２）がある。特許文献１では、電子線描画法により識別番号を記録するものである。特許文献２では、ゲート回路等のしきい値電圧のミクロ的な素子バラツキを適切に利用できるように考慮されている。
特開２００２−１８４８７２ 特開２００３−３３２４５２

近年のインターネットの普及並びにＩＴ化の進歩で、ビジネス及び一般社会生活でにおいて、ネットワークを介した情報の交換、電子決算、ｅコマースの利用が急速に拡大し、情報のセキュリティや個人認証、情報の秘匿性が益々重要となってきている。このような状況において、さまざまな通信技術、認証技術及び暗号技術の提案や実用化が進んでいる。現在、インターネット上で主流となっている認証・暗号技術は、ＲＳＡを代表とする「公開鍵方式」あるいは「非対称鍵方式」と言われるもので、該技術が無ければ現在のネットワーク社会は存在しないと言っても過言ではない。

しかし、「公開鍵方式」は、高い安全性を有しているものの、実際の処理にかかる計算量の多さと、鍵の正当な所有者の認証における公正な認証機関との手続きの煩雑さという課題が指摘されている。

そこで、本願発明者においては、前記特許文献２に示したような識別情報発生回路の持つ特徴を生して前記認証や暗号技術に係わる「識別子」や「鍵」に関して、簡便で低コストな技術として有益な利用方法を開発するに至った。

したがって、この発明の一つの目的は、簡便で低コストかつ高信頼性のプリペイドカードとその決済システム及び電子キーを提供することにある。この発明の前記ならびにそのほかの目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

本願において開示される発明のうち代表的なものの概要を簡単に説明すれば、下記の通りである。すなわち、互いに同じ製造過程をもって同一の形態として形成された第１と第２ゲート回路を含み、上記第１及び第２のゲート回路の第２の入力には、動作制御信号を供給して動作状態のときに上記第１ゲート回路と第２ゲート回路の論理しきい値の差によって決まる固有の識別情報を取り出すようにした単位識別回路の複数20個を備えて複数ビットからなる識別情報を出力する半導体チップを所定のサービスの提供が約束されたプリペイドカードに搭載し、当該プリペイドカードから上記識別情報が取り出されて上記サービス提供者に伝えられて、登録されている識別情報に基づいて１回限りの当該サービスの提供を受ける。

この発明に係るＩＣプリペイドカード決済システムの一実施例を示す構成図である。 図１の認証子を発生する集積回路の一実施例を示すブロック図である。 図２の集積回路を搭載した集積回路装置の代表的な構成図である。 本願に係るＩＣプリペイドカードに関する代表的な構成図である。 図４のＩＣプリペイドカードにかかる代表的な製造工程の説明図である。 この発明に係るＩＣプリペイドカードの一実施例の使用形態の説明図である。 この発明に係るＩＣプリペイドカード内の集積回路装置に設けられる集積回路の別の実施形態のブロック図である。 この発明に係るＩＣプリペイドカードの認証の処理方法の一実施例を示す構成図である。 この発明に係るＩＣプリペイドカードの認証の処理方法の他の一実施例を示す構成図である。 この発明に係る認証子発生回路の一実施例を示すブロック図である。 この発明に用いられる半導体チップの他の一実施例を示すブロック図である。 この発明に係るＩＣプリペイドカードの製造工程を説明するための概略図である。 図１２のカード検査工程の一例を示す詳細な構成図である。 この発明に係るＩＣプリペイドカード４７０の認証の処理方法を説明するための構成図である。 前記識別情報発生回路を使用した電子鍵を平文の暗号・復号に適用した一実施例を示す構成図である。 本願発明に係る電子鍵を用いた暗号通信方法ないし特定サービス提供方法の一実施例を示す構成図である。 本願発明に係る電子鍵を用いた暗号通信方法ないし特定サービス提供方法の他の一実施例を示す構成図である。 本願発明に係る電子鍵を用いた暗号通信方法ないし特定サービス提供方法の更に他の一実施例を示す構成図である。 この発明に係る電子鍵の利用方法の一実施例を示す構成図である。 図２５又は図２７に示された識別情報発生回路で形成された識別情報８００の一例の説明図である。 本願発明に係る暗号技術に使用する暗号鍵のような電子鍵の一例を示す説明図である。 本願発明に係る暗号技術の原理の基本概念を示す概略図である。 前記複合ブロック鍵を利用した暗号方式にかかる一実施例を示す構成図である。 図２３に示した複合鍵暗号文の復号方法の説明図である。 この発明に使用される識別情報発生回の一実施例を示す論理回路図である。 図２５の識別情報発生回路における基本回路の一実施例を示す具体的回路図である。 この発明に使用される識別情報発生回路の他の一実施例を示すブロック図である。 図２７における回路要素の一実施例を示す具体的回路図である。 図２７におけるクロックドインバータ回路の一実施例を示す回路図である。 図２７の識別情報発生回路の動作の一例を説明するための概略波形図である。

この発明をより詳細に説述するために、添付の図面に従ってこれを説明する。

図２５には、この発明に係るプリペイドカードとその決済システムや電子鍵に使用される識別情報発生回の一実施例の論理回路図が示されている。識別情報発生回路１０００は、０〜ｎ−１で表されるｎ個の複数からなる基本回路１０１０から構成される。１ビットの識別信号（認証子ともいう）Ｄ０を形成する基本回路１０１０は、ナンド（ＮＡＮＤ）ゲート回路Ｇ１〜Ｇ４から構成される。２入力のナンド（ＮＡＮＤ）ゲート回路Ｇ１は、一方の入力と出力とが結合される。このゲート回路Ｇ１の共通化された入出力がゲート回路Ｇ２の一方の入力と接続される。ゲート回路Ｇ２の出力はゲート回路Ｇ３の一方の入力に接続される。ゲート回路Ｇ３の出力はゲート回路Ｇ４の一方の入力に接続される。そして、これらのゲート回路Ｇ１〜Ｇ４の他方の入力には、動作制御信号ＡＣＴが共通に供給される。

上記ゲート回路Ｇ１〜Ｇ４を用いた場合には、各ゲート回路Ｇ１〜Ｇ４は、動作制御信号ＡＣＴをロウレベル（論理０）のような非活性化レベルとしたとき、上記動作制御信号ＡＣＴとは異なる他方の入力信号に無関係に出力信号をハイレベル（論理１）にし、各ゲート回路Ｇ１，Ｇ２においても直流電流が発生しない。すなわち、この実施例回路では、識別情報を必要とするタイミングで上記動作制御信号ＡＣＴをハイレベル（論理１）のような活性化レベルとする。これにより、各ゲート回路Ｇ１〜Ｇ４は、上記動作制御信号ＡＣＴとは異なる他方の入力信号に応答して反転信号を形成するというインバータ回路としての動作を行う。 図２６には、図２５の識別情報発生回路における基本回路の一実施例の具体的回路図が示されている。ゲート回路Ｇ１は、出力ノードＺと回路の接地電位ＶＳＳとの間に直列形態にされたＮチャネルＭＯＳＦＥＴＱ１とＱ３、上記出力ノードＮ１と電源電圧ＶＤＤとの間に並列形態にされたＰチャネルＭＯＳＦＥＴＱ２とＱ４から構成される。上記ＭＯＳＦＥＴＱ１とＱ２のゲートが共通に接続されて第１の入力Ｘとされる。上記ＭＯＳＦＥＴＱ３とＱ４のゲートが共通に接続されて第２の入力Ｙとされる。特に制限されないが、上記入力Ｙと出力Ｚとが共通に接続される。他のゲート回路Ｇ２〜Ｇ４も上記と同様な回路により構成される。

図２５及び図２６において、上記ゲート回路Ｇ１〜Ｇ４は、半導体集積回路の設計及び製造の上では、現実的に制御可能な範囲内において、互いに同じ特性を持つように構成される。複数のゲート回路を互いに同じ特性とする技術について、以下に概略的に説明する。ゲート回路Ｇ１〜Ｇ４において、その特性である論理しきい値は、概略的には、それを構成するＰチャネルＭＯＳＦＥＴとＮチャネルＭＯＳＦＥＴとに決まると理解されているであろう。その観点ではチャネル幅Ｗとチャネル長Ｌとの比Ｗ／Ｌは同じであるがサイズが異なるＭＯＳＦＥＴによっても同じ特性のＣＭＯＳゲート回路を構成できると理解され得る。しかしながら、半導体集積回路装置の製造バラツキによる電気特性への影響は、異なったサイズの素子に対しては異なったものとなる。

この実施例では、かかる複数のゲート回路Ｇ１〜Ｇ４のそれぞれは、好適には、それぞれを構成する素子の相互、すなわちＰチャネル型ＭＯＳＦＥＴの相互、及びＮチャネル型ＭＯＳＦＥＴの相互が互いに同じ構造、同じサイズを持って構成される。言うまでもなくそれら素子は、同じ素子は同じプロセスの元で一括製造されると言う半導体集積回路の特徴に従って製造される。これによって複数のゲート回路Ｇ１〜Ｇ４は、半導体集積回路の製造上の加工寸法のバラツキ、各種層の厚さバラツキ、不純物濃度バラツキ等々の製造バラツキによる影響を均等に受けるようにされる。

図２５に示した実施例では、２つのゲート回路Ｇ１とＧ２の論理しきい値の大きさの判定出力がゲート回路Ｇ２から出力される。かかる判定信号は、後段のゲート回路Ｇ３、Ｇ４により増幅されてＣＭＯＳレベルの２値信号を得るものである。この２値信号を１ビット分の識別情報又は後述するような認証子１０２０として利用する。したがって、厳密にはゲート回路Ｇ３とＧ４は、単に増幅動作を行うものであるからゲート回路Ｇ１とＧ２のようにＰチャネル型ＭＯＳＦＥＴの相互、及びＮチャネル型ＭＯＳＦＥＴの相互が互いに同じ構造、同じサイズを持って構成される必要は無いが、この実施例では主に回路設計の観点から同じ構造、同じサイズを持って構成される。

上記ゲート回路の論理しきい値のバラツキの要因としては、ＭＯＳトランジスタ特性のバラツキが支配的であると捉えてよい。そして、ＭＯＳトランジスタ特性のバラツキの原因としては、ＭＯＳトランジスタのゲート幅や、ゲート絶縁膜膜厚、導電決定不純物濃度とその分布などを挙げることができる。これらのバラツキはマクロ的な部分とミクロ的とに分けることができる。マクロ的な部分としては、同一ロット内の複数のウェハ間のゲート幅バラツキなどである。

本願発明においては、主としてミクロ的な部分のバラツキを考慮するものであり、比較的に近接した位置に配置された素子問におけるバラツキについて検討した。このようなミクロ的なバラツキは、比較的に近接した素子間にランダムに発生するものとして観測される。

すなわち、図２５のゲート回路Ｇ１，Ｇ２の論理しきい値のバラツキもランダムであると考えられる。このような半導体素子の持つ特徴的な特性のバラツキは固有の識別情報として利用するものである。つまり、ＣＭＯＳゲート回路を用いた場合には、論理しきい値に生じるバラツキがＮチャンネル型ＭＯＳトランジスタの持つバラツキにＰチャンネル型ＭＯＳトランジスタの持つバラツキが加えられたものと見做すことができ、バラツキ範囲が広くなり識別番号ないし識別情報の発生を効果的に行うようにすることができる。これにより、図２５の識別情報発生回路においては、動作制御信号ＡＣＴをハイレベルにすることにより、上記基本回路１０１０の複数個からＤ０〜Ｄｎ−１のようなｎビットからなる識別情報（識別子又は認証子）を得ることができる。

この実施例では、回路が停止状態すなわち動作制御信号ＡＣＴがロウレベルであるとき、図２６のＮチャネルＭＯＳＦＥＴＱ１がオフ状態となり、入力Ｙと出力ノードＸとを接続することで生じる貫通電流が抑制される。また、ゲート回路としてナンド（ＮＡＮＤ）回路を用いた利点は、ＣＭＯＳ論理ＬＳＩの標準素子であるため、適用する製品を限定しないことである。つまり、完全論理記述型回路で構成されるため、回路設計が容易になるものである。

図２５では、動作制御信号ＡＣＴは直列のＮチャネルＭＯＳＦＥＴのＱ１のゲートに供給されているが、これに代えて上記動作制御信号ＡＣＴはＮチャネルＭＯＳＦＥＴＱ３のゲートに供給され、出力ノードＺはＮチャネルＭＯＳＦＥＴのＱ３のゲートに接続されてもよい。

トランジスタレベル回路記述において重要なのは、個々のナンド（ＮＡＮＤ）素子中のＭＯＳＦＥＴの信号接続位置である。前記図２５の実施例では、動作制御信号ＡＣＴがロウレベルにされる上記の停止状態では各ゲート回路Ｇ１〜Ｇ４の出力すなわちノードＮ１、Ｎ２、Ｎ３の電位が自動的に電源電圧となるため、それら信号の接続先のＰチャネルＭＯＳＦＥＴのＮＢＴＩによる特性の変動を防止できる効果がある。

ＭＯＳトランジスタは、そのしきい値電圧が電界強度と温度とに依存するような電界ストレスによって不所望に変動することが有る。特にＮＢＴＩ（Negative Bias Temperature Instability)と称される現象は、Ｐチャネル型ＭＯＳＦＥＴで顕著に現われる現象である。この防御策として、目的外の時間においてＰＭＯＳのゲートに印加される電圧を高い電圧にする方法がよく用いられる。この実施例では、上記動作制御信号ＡＣＴのハイレベルにより論理しきい値判定動作を行わせ、かかる論理しきい値判定動作以外の時には、動作制御信号ＡＣＴをロウレベルにしてＰチャネル型ＭＯＳＦＥＴのゲートには、電源電圧を供給するようにゲート電圧を固定電圧にするものである。これにより、Ｐチャネル型ＭＯＳＦＥＴは、ゲート、ドレイン及びソースと基板（チャネル）の全てが電源電圧に等しい同電位となり、上記ＭＯＳＦＥＴの経時変化による論理しきい値の変動が極力抑えられる。このことは、前記のように各基本回路の出力信号を組み合わせによって識別情報を得る上で特に有効なものとなる。

なお、停止状態のときに動作制御信号ＡＣＴのロウレベルが供給されるＰチャネルＭＯＳＦＥＴＱ２等は、動作制御信号ＡＣＴがハイレベルにされる識別情報発生時にはオフ状態にされるものであり、識別情報発生動作には関与しない。このため、停止状態が長くなり、ＭＯＳＦＥＴの経時変化による論理しきい値の変動があっても実質的には問題になることはない。

増幅回路として動作するゲート回路Ｇ３及びＧ４は、上記のように設定することは必要ないが、回路設計上あるいは素子レイアウト上はゲート回路Ｇ１とＧ２と同様のものを用いるのが簡単となるし、後述するような識別情報発生回路１０００の存在を隠す上で有利なものとなる。

前記図２５ではナンド（ＮＡＮＤ）ゲートを用いて基本回路を構成したが、ナンドの代わりにノア（ＮＯＲ）ゲートであっても構わない。ただし、その場合にはかかる基本回路は、動作制御信号ＡＣＴがロウレベル（論理０）で活性化するものとなる。前記のように、ＮＢＴＩと称される電界ストレスに起因する劣化現象は特にＰチャネルＭＯＳＦＥＴで顕著である。しかし他の素子、例えばポリシリコンＦＥＴや有機トランジスタ等において、かかる劣化現象がＰチャネル型ではなくＮチャネル型で顕著である場合は、ノア（ＮＯＲ）ゲートを用いることが望ましい。

図２５に示される実施例において、各基本回路内のナンドゲートＧ２，Ｇ３，Ｇ４については、それぞれに接続された共通制御信号ＡＣＴを電源ＶＤＤに接続して常にハイレベル（論理１）としてもよく、それによって本実施例の持つ基本的機能は変らない。

図２７には、この発明に使用される識別情報発生回路の他の一実施例のブロック図が示されている。第２８に示される基本回路（要素回路）１０２０がＭ×Ｎ個のようにマトリックス配置される。

１つの行は図２８に示す基本回路１０２０が直列形態に接続され、その出力部に行選択信号Ｒ０等により選択されるナンドゲート回路Ｇ０とクロックドインバータ回路ＣＮ０からなる行選択回路１０２１が設けられる。Ｍ個からなる各行を構成する基本回路１０２０は、対応するもの同士が列デコーダにより形成された列選択信号Ｃ０〜ＣＭ−１により共通に選択される。上記Ｎ個の行方向に配置された基本回路は、行デコーダ１０２３により形成された行選択信号Ｒ０〜ＲＮ−１により１つが選択される。かかる行選択信号Ｒ０〜ＲＮ−１は、上記ナンドゲート回路Ｇ０とクロックドインバータ回路ＣＮ０からなる行選択回路１０２１の選択信号としても用いられる。行選択回路１０２１を構成するクロックドインバータ回路ＣＮ０は、それが非動作状態のときに出力ハイインピーダンス状態になるので、上記Ｎ個のクロックドインバータ回路の出力信号が共通に接続され、選択された１つの行に対応したクロックドインバータ回路の出力信号がナンドゲート回路Ｇ１１に伝達される。

動作制御信号ＡＣＴによりゲートが制御されるナンドゲート回路Ｇ１０とインバータ回路ＩＮＶ１０を通してクロックＣＬＫがＭ進カウンタ１０２４に供給される。これにより、Ｍ進カウンタ１０２４では動作制御信号ＡＣＴが活性状態のときにクロックＣＬＫに対応して０〜Ｍ−１の計数動作を行い、かかる計数出力を受ける列デコーダ１０２２によりＣ０〜ＣＭ−１の選択信号が形成されて基本回路１０２０の出力信号がシリアルに出力される。

上記Ｍ進カウンタ１０２４のキャリー信号がＮ進カウンタ１０２５に供給されるので、Ｎ進カウンタ１０２５はＭ進カウンタ１０２４の１回りに対応して計数動作を行う。これにより、上記行方向に配置されたＭ個の基本回路１０２０の読み出しが行われると、行選択の切替が行われて０行目からＲＮ−１行目まで、それぞれＮ個の基本回路１０２０の読み出しが実施される。

本実施例において、Ｍ×Ｎサイクルで全ての基本回路の読み出しが行われるから、Ｍ×ＮサイクルによりＭ×Ｎビットの識別情報Ｄをゲート回路Ｇ１１及びインバータ回路ＩＮＶ１１を通して出力させることができる。

図２８には、前記図２７における回路要素の一実施例の具体的回路図が示されている。基本回路は、前記図２５に示したゲート回路Ｇ１〜Ｇ４に、行／列選択機能を設けるためのゲート回路Ｇ５とインバータ回路として動作するゲート回路Ｇ６が追加される。上記ナンドゲート回路Ｇ５の２つの入力には、列選択信号Ｃｉと、行選択信号Ｒｉが供給される。ゲート回路Ｇ３には、その行における１段前の基本回路の出力信号Ｄｉが供給される。非選択の基本回路は、ゲート回路Ｇ３とＧ４を通して入力された前段からの信号Ｄｉをそのまま出力信号Ｄｉ＋１として伝送するという動作を行う。これにより、行及び列が選択状態にされた１つの基本回路のみが前記のような動作状態にされて出力される。

図２７におけるクロックドインバータ回路ＣＮは、図２９に示すように、電源電圧ＶＤＤと回路の接地電位ＶＳＳとの間に直列接続されたＰチャネルＭＯＳＦＥＴＱ１１、Ｑ１２とＮチャネルＭＯＳＦＥＴＱ１４、Ｑ１３から構成される。ＰチャネルＭＯＳＦＥＴＱ１１とＮチャネルＭＯＳＦＥＴＱ１３のゲートが共通に接続されて入力端子Ａとされる。ＰチャネルＭＯＳＦＥＴＱ１２とＮチャネルＭＯＳＦＥＴＱ１４のドレインが共通に接続されて出力端子Ｂとされる。そして、端子Ｃから供給される制御信号は、ＮチャネルＭＯＳＦＥＴＱ１４のゲートに供給され、上記制御信号がインバータ回路ＩＮＶ１２によって反転されてＰチャネルＭＯＳＦＥＴＱ１２のゲートに供給される。

端子Ｃから供給される行選択信号のような選択信号がハイレベルのときにＮチャネルＭＯＳＦＥＴＱ１４とＰチャネルＭＯＳＦＥＴＱ１２がオン状態となり、入力端子Ａからの入力信号を受けるＮチャネルＭＯＳＦＥＴＱ１３とＰチャネルＭＯＳＦＥＴＱ１１のオン／オフに対応した出力信号が出力端子Ｂから出力される。また、端子Ｃから供給される行選択信号のような選択信号がロウレベルのときにＮチャネルＭＯＳＦＥＴＱ１４とＰチャネルＭＯＳＦＥＴＱ１２が同時にオフ状態となり、入力端子Ａからの入力信号に無関係に出力端子Ｂは出力ハイインピーダンス状態にされる。図２９におけるクロックドインバータ回路ＣＮは、ＣＭＯＳインバータ回路の出力部にトランスファゲートを設ける構成とするものであってもよい。

図３０には、図２７の識別情報発生回路の動作の一例を説明するための概略波形図が示されている。動作制御信号ＡＣＴがハイレベルの活性化レベルにされた状態で、クロックＣＬＫを入力すると、それに対応して列選択信号Ｃ０〜ＣＭ−１が列デコーダから出力される。このとき、Ｎ進カウンタは計数値がゼロであるから０行目の行選択信号Ｒ０を選択レベルにするので、第０行目の基本回路の出力信号が列選択信号Ｃ０〜ＣＭ−１に対応してシリアルに出力される。０行目の基本回路の読み出しが行われると、そのキャリー信号によりＮ進カウンタが＋１の計数動作を行い、上記第０行目Ｒ０を非選択にして代わって第１行目Ｒ１を選択状態にする。このようにして、Ｎ−１行目までの基本回路の読み出しが順次に行われる。Ｍ×Ｎ個の基本回路（単位識別回路）を全て選択するために必要なサイクルがＭ×Ｎ回となる。

以上のような識別情報発生回路１０００では、ゲート回路等を半導体集積回路に組み込んで通常のプロセスで製造するだけで、自動的にランダムな識別情報を得ることができる。これにより、前記先行技術１のように逐一識別番号を書き込むための工程が不要であり、極めて安価に製造できるという１つ目の特徴を持っている。

上記識別情報発生回路１０００では、実質的に解読が不可能であるという２つ目の特徴を持っている。つまり、前記のようなゲート回路等のしきい値電圧のミクロ的な素子バラツキを適切に利用するものであり、先行技術１のように識別番号に対応したような特徴的な回路パターンが存在しないから解読が不可能である。そして、その存在箇所もゲート回路で構成されているから、通常の論理回路に紛らせることにより存在位置の解読も難しい。そして、回路パターンを解読するためにチップのみを取り出そうとすると、その過程での機械的なストレス及び化学薬品並びにプラズマによるダメージが半導体チップに加わり、素子特性そのものも変化させるので、識別情報そのものが変動してしまい、出力させても無意味な情報となるものである。

上記のような特徴を生して、かかる識別情報発生回路１０００を以下のプリペイドカードとその決済システム及び電子鍵に使用することにより、低コトスで安全な取引等の実現を可能にしたプリペイドカードとその決済システムや電子鍵を得ることができる。

図１には、この発明に係るＩＣプリペイドカード決済システムの一実施例の構成図が示されている。この実施例は、ＩＣプリペイドカードとその決済システムに関する代表的な利用形態が示されている。例えば、イベントの入場や商品の購入などの特定のサービスの提供を受けようとする利用者１２６は、この発明に係るＩＣプリペイドカード１２０をＩＣカードリーダ１２１に挿入することで、インターネット１２２等の通信手段を用いて、ＩＣプリペイドカード管理会社１２３の認証を受けて、前記サービスの提供を受ける。該カード管理会社１２３は、図示しないクレジット会社等と連携し、かかる認証が成立した段階で、クレジットの引き落としや現金の決済などをおこなうことができる。

前記ＩＣプリペイドカード１２０にかかる認証の手順の概略を説明すれば、以下の通りである。利用者１２６は、ＩＣカードリーダ１２１にＩＣプリペイドカード１２０を挿入すると、インターネット１２２を介して、カード管理会社１２３に認証の要求が請求される。ＩＣプリペイドカード管理会社１２３は、ＩＣカードリーダ１２１に対してＩＣプリペイドカード１２０に搭載されている前記識別情報発生回路１０００を備えた集積回路装置（半導体チップ）に記録されている識別情報（認証子）１２４を要求する。カードリーダ１２１は、かかる認証子１２４をインターネット１２２を介してカード管理会社１２３に回答する。カード管理会社１２３は認証子１２４があらかじめ登録されている識別情報１２５と照合し照合が成立した場合、カードリーダ１２１に対して認証の回答を行う。その結果、前記利用者１２６は前記サービスの提供を受けることができる。上記認証子１２４一つにつきサービス一回が対応しており、一度認証並びにサービスの提供がなされると、かかる認証以後、該認証子１２４は前記サービスの提供を受けるという権利の効力を失う。

図２には、図１の認証子を発生する集積回路の一実施例のブロック図が示されている。集積回路０１内の制御回路１００に入力された制御入力１０の要求により、制御信号２０が発生し、該制御信号２０により前記認証子発生回路１０１から認証子３０が発生し、出力回路１０２を通して該認証子３０が出力される。上記認証子発生回路１０１は、前記図２５又は図２７に示したような識別情報発生回路１０００により構成される。

なお、以下の本願明細書では、前記認証子と呼んでいるものを、その目的に応じて「認証子」として、または「識別子」として呼び分けている。「認証子」と「識別子」はともに前記認証子発生回路（識別情報発生回路１０００）１０１から発生する情報であって、基本的には性質や特性は同じである。「識別子」とは、集積回路やそれを搭載した装置を他と区別するために該装置等に付与された情報という意味で用いている。一方、「認証子」とは、特定のサービスを受ける資格又は権利を、該認証子を備えた装置の所有者が有していることを、前記サービスを提供する者との間で事前に合意していることを証明するための情報という意味で用いている。

図３には、前記集積回路０１を搭載した集積回路装置の代表的な構成図が示されている。集積回路０１は、単独又は他の集積回路０２とともに集積回路装置１１０を構成する。入出力及び制御回路１３０は、該集積回路装置１１０の外部接続電極１３２から与えられる信号により、該集積回路０１への制御信号１０を生成し、該集積回路０１の出力５０を外部又は他の集積回路０２へ伝える。

図４には、本願で開示される発明のうち、ＩＣプリペイドカードに関する代表的な構成図が示されている。本発明にかかる前記集積回路装置１１０は、ＩＣプリペイドカード１２０のベース材（樹脂等）上に実装され、電極１１２によって外部と電気的信号を交換する。なお、該ＩＣプリペイドカード１２０では、前記電気的接点１１２を介した通信方式が示されているが、特に該方式にこだわるものではなく、例えば前記ベース材上にアンテナを形成した非接触方式であってもよい。

プリペイドカードは、例えば公衆電話利用カード（以下、「テレホンカード」という）のように、一般利用者が該テレホンカードを購入した時点で電話通信会社に一定の利用額が支払われ、利用者は該購入額までの公衆電話の利用ができるものである。テレホンカードと類似のものには、バスや電車等の乗車利用カード、コンビニエンス・ストア・プリペイドカードがある。現在、国内で普及しているテレホンカードは、樹脂製のシートに磁性材料を塗布し、該磁性材料に利用額等のデータを磁気記録している。しかし、このような磁気記録方式では、該磁気データの改竄やカード自体の偽造が比較的容易で安全性が高いとはいえず、利用上限額が高額なカードを発行することは難しい。そのため、改竄や偽造の危険性が低い集積回路装置（ＩＣ）を利用したいわゆるＩＣプリペイドカードも普及している。ただし、ＩＣプリペイドカードは、磁気カードに比べて製造コストが高いという課題がある。

本願発明は、前記プリペイドカード及びＩＣプリペイドカードいずれの課題の解決にも有効なものである。以下に示される安価で且つ安全性の高いＩＣプリペイドカードに関する実施例をもとに、前記集積回路０１にかかる本発明の目的と効果が理解されるであろう。

図５には、前記ＩＣプリペイドカード１２０にかかる代表的な製造工程の説明図が示されている。半導体製造工程を完了したウェハ１５０上の前記集積回路装置１１０は、ＩＣ検査工程１５１で電気的機能等が検査されると同時に、該集積回路１１０内の前記認証子発生回路１０１から認証子３０が読み出される。

該認証子３０は該ＩＣ検査工程１５１における図示しないＩＣ検査装置から登録認証子１５４として情報記憶装置１５５に格納される。前記ＩＣ検査工程１５１を経た前記集積回路１１０は、組立工程１５２により前記ＩＣプリペイドカード１２０に加工される。該ＩＣプリペイドカード１２０はその後、カード検査工程１５３において最終検査が行われると同時に、前記認証子１０１は図示しないカード検査装置から認証情報格納装置１５５に格納される。

同図では、該登録認証子１５４は、前記ＩＣ検査工程又はカード検査工程と前記カード検査工程１５３から収集されているが、いずれか一方による取得及び前記認証情報格納装置１５５への格納でよい。該カード検査工程１５３を合格した該ＩＣプリペイドカード１２０が良品として出荷される。

図６には、この発明に係るＩＣプリペイドカードの一実施例の使用形態の説明図が示されている。同図には、前記のように製造されたＩＣプリペイドカード１２０を使用した前記カード管理会社との認証にかかる処理方法がより詳しく示されている。

前記カードリーダ１２１に挿入されたＩＣプリペイドカード１２０内の認証子３０は、前記カード管理会社１２３の認証処理システム１６３に送られ、該認証処理システム１６３内で管理されている認証情報データベース１６０に照会される。該認証情報データベース１６０は、認証登録情報フィールド１６１と消尽フラグフィールド１６２からなる複数の認証情報レコード１６３からなり、該認証登録情報フィールド１６１の情報は前記図５の登録認証子１５４であって、該認証情報レコード１５３の総数は、前記ＩＣプリペイドカード１２０の出荷総数に一致する。

認証処理システム１６３で行われる前記照合とは、前記認証子３０の符号に合致する前記認証情報データベース１６０内の認証情報レコード１６３を「照合する工程」と、該照合された認証情報レコード１６３内の消尽フィールド１６２の状態を「更新する工程」とからなる。該「照合する工程」とは、前記認証子３０と、前記認証情報データベース１６０に登録された全ての認証登録情報フィールド１６１の認証登録情報１５４の符号とのハミング距離を計算し、該ハミング距離が最も小さい認証登録情報１５４を含む認証情報レコード１６３を選び出すことであり、該「更新する工程」とは、前記照合された認証情報レコード１６３の消尽フィールド１６２が、論理０の時論理１には更新し、論理１の時には論理１のままとすることである。

該消尽フラグフィールド１６２は、その登録時点では全て論理０であり、論理０は「照合未」すなわち前記ＩＣプリペイドカード１１０を所有する利用者１２６は特定のサービスの提供を受ける権利があり、論理１は「照合済」すなわち該利用者１２６が前記権利を使い切ったことを意味する。また、該消尽フラグフィールドが論理１となった前記認証情報レコード１６３は、次回の照合からその対象とならない。該照会において、消尽フィールドが「照合未」であった場合、前記認証処理システム１６３からカードリーダ１２１に対し認証の通知がなされる。

上記ハミング距離とは、二つの記号系列（ｘ１，ｘ２，ｘ３…ｘｎ）と（ｙ１，ｙ２，ｙ３…ｙｎ）に注目したとき、これらの間で互いに記号が異なっている場所の総数をいう。前記図２に示した認証子発生回路１０１が生成する前記認証子３０は完全に無秩序（ランダム）であり、各認証子発生回路１０１間に全く相関がないという性質を持っている。このようなランダムな性質を持つ認証子３０の場合、認証子３０のビット長が与えられたとき、無数の識別子３０間のハミング距離の確率分布を推定することができる。さらに、前記確率分布から、複数の認証子３０間の最小ハミング距離などを推定することができる。

ところで、認証子３０はその動作原理の上から構成するビットの一部に変動が生じることがある。つまり、図２５のゲート回路Ｇ１とＧ２のしきい値電圧が極めて近接していて、熱雑音や電源電圧の変動の影響により、同一の前記集積回路装置１１０において、第１の時点で取得される第１の認証子３０と、別の第２の時点で取得される第２の認証子３０の間に異なるビット（以下、「変動ビット」という）が存在する可能性を有するため、前記二つの認証子の同一性を両認証子のビットの完全な一致によって照合することは困難である。しかし、認証子３０に含まれる変動ビットの合計数が、前記最小ハミング距離より小さい場合、同一の認証子３０と異なる認証子３０を区別することが可能である。

図７には、前記ＩＣプリペイドカード１１０内の集積回路装置に関する図２に示す集積回路０１とは別の実施形態のブロック図が示されている。前記集積回路０１は、一つの認証子３０を発生するものであったが、集積回路０３は複数の認証子を発生するものである。該集積回路０３内の制御回路１６５に入力された制御入力１６４の要求により制御信号１６６が発生し、該制御信号１６６により選択された複数の認証子発生回路１０１のうち一つから認証子１６７が発生し、出力回路１６８を通して該認証子１６９が出力される。

該集積回路０３において、複数の認証子発生回路１０１の代わりに一つの認証子発生回路１０１の認証子を分割してあたかも複数の認証子発生回路のようにしてもよい。該集積回路０３を前記図３に示すような集積回路装置１１０に搭載し、前記図４に示すようなＩＣプリペイドカード１２０に実装することで、該ＩＣプリペイドカード１２０を回数券のように使うことができる。次に示される前記集積回路０３を搭載したＩＣプリペイドカード１７０に関する認証の処理方法により、前記集積回路０３にかかる発明の目的と効果が理解されるであろう。

図８には、前記集積回路０３を搭載した前記ＩＣプリペイドカード１７０の認証の処理方法の一実施例の構成図が示されている。前記カードリーダ１２１に挿入されたＩＣプリペイドカード１７０内の認証子１７１の先頭の認証子（イ）は、カード管理会社１２３の認証処理システム１７２に送られ、該認証処理システム１７２内で管理されている認証情報データベース１７４内の認証登録情報フィールド１７６の登録認証子１５４と照合される。該認証情報データベース１７４は、認証登録情報フィールド１７６と消尽フラグフィールド１７７からなる複数の認証情報レコード１７５から構成される。

該認証登録情報フィールド１７６の情報は前記図５と同様の工程並びに方法により取得された認証登録情報１５４であって、該認証情報レコード１７６の総数は、前記ＩＣプリペイドカード１７０の出荷総数に、該ＩＣプリペイドカード１７０それぞれに含まれる認証子１７１の数を乗じた数に一致する。

前記認証処理システム１７２での照合とは、前記認証子（イ）の符号に合致する前記認証情報データベース１７４内の認証情報レコード１７５を「照合する工程」と、該照合された認証情報レコード１７５内の消尽フィールド１７７の状態を「更新する工程」からなる。該「照合する工程」とは、前記認証子（イ）と、前記認証情報データベース１７４に登録された全ての認証登録情報フィールド１７６の認証登録情報１５４の符号とのハミング距離を計算し、該ハミング距離が最も小さい認証登録情報１５４を含む認証情報レコード１７６を選び出すことであり、該「更新する工程」とは、前記照合された認証情報レコード１７５の消尽フィールド１７７が、論理０の時論理１には更新し、論理１の時には論理１のままとすることである。

該消尽フラグフィールド１７７は、その登録時点では全て論理０であり、論理０は「照合未」すなわち前記ＩＣプリペイドカード１１０を所有する利用者１２６は特定のサービスを受ける権利があり、論理１は「照合済」すなわち該利用者１２６が前記権利を使い切ったことを意味する。また、該消尽フラグフィールドが１となった前記認証情報レコード１７５は、次回の照合からその対象とならない。

該照会において、消尽フィールドが「照合未」であった場合、前記認証処理システム１７２からカードリーダ１２１に対し認証の通知がなされる。しかし、同図に示されるように該フラグフィールドが既に消尽されているような場合、前記認証処理システム１７２からカードリーダ１２１に対し、認証拒否の通知がなされ、かかる通知を受けた前記ＩＣプリペイドカード１７０は、認証子１７１内の認証子イの次の認証子（ロ）を認証処理システム１７２送り、該認証処理システム１７２は、該認証子（ロ）と該認証処理システム１７２内で管理されている認証情報データベース１７４内の、消尽フィールドが論理０である認証情報レコード１７５の認証登録情報フィールド１７６のデータを対象に再び照合される。前記照合により前記認証情報レコード１７５が照合された場合、該認証情報レコード１７５内の消尽フラグフィールド１７７を論理１とする。前記照合が成立した後、前記認証処理システム１７２からカードリーダ１２１に対し、認証の通知がなされる。また、一枚の前記ＩＣプリペイドカードに含まれる認証子１７１及び集積回路０３の数に制限は無く、また一回の認証作業で複数の認証子１７１の認証を行い、利用者１２６が高額なサービスの提供を受けることも可能である。

図９には、前記集積回路０３を搭載したＩＣプリペイドカード１７０の認証の処理方法の他の一実施例の構成図が示されている。カードリーダ１２１に挿入されたＩＣプリペイドカード１７０内の認証子１７１の先頭の認証子（ａ）は該ＩＣプリペイドカード１７０を特定するための識別子として使われ、カード管理会社１２３の認証処理システム１８３に送られ、該認証処理システム１８３内で管理されている認証情報データベース１８４内の、カード識別登録情報レコード１８５の識別情報フィールド１８６の情報と照合される。

該カード識別レコード１８５は、登録識別子フィールド１８６と利用可能認証数フィールド１８７からなる複数のカード識別レコード１８５から構成される。該カード識別レコード１８５のそれぞれにはさらに、複数の登録認証子フィールド１９０が従属している。前記登録識別子フィールド１８６と前記登録認証子フィールド１９０は、前記図５と同様の工程並びに方法により取得された認証登録情報１５４であって、前記カード識別レコード１８５の総数は出荷された前記ＩＣプリペイドカード１７０の総数であって、前記登録認証子フィールド１９０の総数は前記出荷されたＩＣプリペイドカード１７０に含まれる認証子１７１の総数から前記出荷されたＩＣプリペイドカード１７０の総数を減じた数に一致する。そして、前記照合とは、従前の実施例の内容と同じであるため説明は省略する。

ここで照合が成立した場合、前記カード識別レコード１８５内の前記利用可能認証数フィールド１８７の数値を確認する。利用可能認証数フィールド１８７は、その登録時点では前記ＩＣプリペイドカード１７０内の認証子１７１の総数−１の数であり、０以上は前記ＩＣプリペイドカード１７０を所有する利用者１２６は、該利用可能認証数フィールド１８７の回数の前記特定のサービスを受ける権利があり、０は前記利用者１２６が前記権利を使い切ったことを意味する。ただし、該利用可能認証数フィールド１８７が既に０である場合、前記認証子１７１は消尽されており、該利用可能認証数フィールド１８７が０となった前記カード識別レコード１８５は照合の対象とならない。

前記カード識別レコード１８５の照合が成立した場合、認証処理システム１８３は、カード識別登録情報レコード１８５の前記利用可認証数フィールド１８７の値(indx)を前記ＩＣプリペイドカード１７０へ転送する。前記(indx)を受け取ったＩＣプリペイドカード１７０は、前記認証子１７１の先頭から(indx)−１番目の位置の認証子（ニ）を取り出し前記認証処理システム１８３へ送る。前記認証子（ニ）を受け取った前記認証処理システム１８３は、前記カード識別レコード１８５に従属する認証子１８９と前記認証子（ニ）を照合する。前記照合の結果、同じく(indx)番目の認証子１８９と一致した場合、前記カード識別レコード１８５内の前記利用可認証数フィールド１８７の数値を−１し、前記ＩＣプリペイドカード１７０に対して認証の通知をする。

図１０には、この発明に係る認証子発生回路の一実施例のブロック図が示されている。この実施例は、前記図２５や図２７のような識別情報発生回路１０００で構成された前記認証子発生回路１０１に係る認証子３０の変動の影響を排除し、さらに改竄が困難な認証子発生回路に向けられている。

かかる認証子発生回路の概要を説明すれば、前記認証子発生回路１０１が出力するある時点の第１の認証子を一旦不揮発性メモリ（ＰＲＯＭ）４０１に記憶し、該メモリの記憶値を第２の認証子とし、認証子を使用する際には、該第２の認証子を常に使用し、さらに該第１の認証子と第２の認証子を比較し改竄のあったことを自ら検知する方法とを備えることである。

該集積回路０４内の制御回路４００に入力された制御入力４１０の要求により、制御信号４１１が発生し、該制御信号４１１により認証子発生回路１０１から認証子４１２が発生し、ＰＲＯＭ（不揮発性メモリ：電気的に一括書き込みが可能な読み出し専用メモリ）４０１に認証子４１２が記憶される。制御回路４００に入力された制御入力４１０の要求により、該認証子４１２が記憶された前記ＰＲＯＭ４０１の出力４１３は出力回路４０３を通して出力端子５０に出力される。しかしながら、書き込みが可能なメモリに認証子を記録することができるということは、裏を返せば該メモリの内容の書き換え等による該認証子の改竄の可能性を自ら呼び戻し、悪意を持った攻撃者（以下、「アタッカー」という）の標的となり、そもそもの改竄が不可能という該認証子発生回路の利点を喪失してしまう。

そこで、アタッカーによる前記ＰＲＯＭ４０１の認証子４１３の改竄の検出及び防御を行う以下の手段が設けられる。比較回路４０２は、前記認証子４１２と前記認証子４１２が記憶された該ＰＲＯＭ４０１の出力４１３のハミング距離を算出し、該ハミング距離が規定値以上であった場合その検出結果４１４により出力回路４０３の出力５０を強制的に無効にするものである。

該集積回路０４に対するアタッカーによる改竄攻撃の方法を示せば、次のような１）〜３が想定される。すなわち、１）前記ＰＲＯＭ４０１を攻撃し、その値を改竄する。２）前記認証子発生回路を攻撃し、その値を改竄する。３）前記ＰＲＯＭ４０１及び前記認証子１０１の両方を攻撃し、それらの内容を改竄する。

前記１）の攻撃方法において、考えられる最悪な危険な状況とは、攻撃者が該ＰＲＯＭ４０１の値を選択的に自由に変更することのできる方法を得ていることである。しかし、かかる変更の方法を得ていたとしてもアタッカーは前記比較回路４０２の作用により、該ＰＲＯＭ４０１の値を前記規定値以内で変更することしかできない。本願発明にかかる認証子において、有意な認証子の値の互いのハミング距離は大きく離れており、認証子の値を少し変化させたくらいでは、該認証子の値が他の有意な認証子に該当させることは困難である。

前記２）の攻撃方法において、アタッカーは前記比較回路の作用により、前記１）の攻撃と同様に、前記認証子発生回路の値を前記規定値以内で変更することしかできない。しかも、該認証子発生回路は、その動作原理がＭＯＳトランジスタ素子の微妙な特性バラツキを利用しているため、該認証子発生回路の値を変更するためには、例えば光や熱、イオンなどのエネルギーを与えるという方法をとらなくてはならず、前記１）のＰＲＯＭ４０１に対する攻撃に比べると困難であり、まして任意の値に変更することはさらに困難である。すなわち、前記２）の攻撃方法は、改竄の選択性が低く、改竄の行為自体に相当なエネルギーを要するものである。

３）の攻撃方法は、前記１）と２）を組み合わせたもので、おそらくアタッカーは前記２）によって、前記認証子発生回路の認証子の値を変更し、続いて前記１）によって比較回路の検出を逃れるという方法をとるものと思われる。しかし、前記３）の攻撃方法においても、前記認証子発生回路の値を任意に変更する困難さにおいて前記２）と変るものではない。すなわち該該集積回路０４は、前記想定しうる前記１）から３）のアタッカーによる改竄の攻撃に対して、安全性の高いシステムを構築するための認証子を発生することができる。該集積回路０４にかかる発明の目的と効果は、本明細書に記載の他の実施例においてより理解されるであろう。

図１１には、この発明に用いられる半導体チップの他の一実施例のブロック図が示されている。この実施例は、前記集積回路０４を搭載した別の集積回路に向けられている。集積回路０５には、集積回路０４にＲＡＭ５０４、演算器５０５とハッシュ関数５０６（特に断わらないが、ハッシュ値から元の値を逆算できない、いわゆる一方向ハッシュ関数のことをいう）が追加されている。該集積回路０５にかかる発明の目的と効果の概略を説明すれば、該集積回路０４内の前記認証子発生回路１０１の認証値３０そのものを該集積回路０５の外部に出すことなしに、該集積回路０５を搭載した集積回路等の認証等を可能にするということである。

集積回路０５内の制御回路５００に入力された制御入力５１０の要求により、制御信号５１１が発生し、該制御信号５１１により集積回路０４から認証子５１３が発生する。該認証子５１３は前記集積回路０４内のＰＲＯＭ４０１に一旦記憶された値であり、読み出し動作の度に同じ値を示す。ＲＡＭ５０４は一時的記憶可能な書き込み読出しメモリであって、制御信号５１０から制御回路５００に与えられた外部参照値５１５を一時的に記憶するものである。演算器５０５は、前記集積回路０４の出力の値５１３と前記ＲＡＭ５０４の出力の値５１６の排他的論理和算を演算し、ハッシュ関数５０６は前記演算器５０５の出力の値５１７のハッシュ値を計算し、出力回路５０３は前記ハッシュ関数の出力の値５１８を出力端子５２０へ出力する。

図１２には、前記集積回路０５を前図３に示すような集積回路装置に搭載し、前図４に示すようなＩＣプリペイドカードと同様に実装したＩＣプリペイドカード４７０の製造工程の概略図が示されている。半導体製造の前工程を完了したウェハ４５０上の前記集積回路０５を搭載する集積回路装置４６０は、ＩＣ検査工程４６１で電気的性能が検査され、組立工程４６２により前記ＩＣプリペイドカード４７０に加工される。その後、該ＩＣプリペイドカード４７０は、カード検査工程４６３において最終検査が行われる。該カード検査工程４６３では、参照値発生器４７４の出力値４６５及び、該出力値４６５を素に前記ＩＣプリペイドカード４７０に搭載された前記集積回路０５内のハッシュ関数によって求められたハッシュ値４６６を、図示しないカード検査装置により取得し、認証情報格納装置４６７に登録する。該カード検査工程４６３を合格した該ＩＣプリペイドカード４７０は良品として出荷される。

前記カード検査工程４６３では、一つのＩＣプリペイドカード４７０の検査において、複数の種値４７２とそれに対応するハッシュ値４７３を取得し、前記認証情報格納装置４６７に格納する。前記複数の種値４７２とハッシュ値４７３のうち、特定の順番（例えば、先頭）の種値４７２は、該種鍵によって生成されるハッシュ値４７３を該ＩＣプリペイドカード４７０の識別子として利用するため、ＩＣプリペイドカード４７０によらず同一とする。

図１３には、前記カード検査工程４６３の詳細な構成図が示されている。該検査工程４６３では、前記ＩＣプリペイドカード４７０（当図において、該ＩＣプリペイドカード４７０には、前記集積回路０５を搭載した集積回路装置が実装されており、ここで説明しようとする発明にかかる目的と効果の理解に必要十分な構成のみが抜き出して示されている）へ参照値発生器４７４で生成された種値４７２を入力する。

一方、秘匿値は集積回路０４によって自動的に生成されるもので、外部からその値を知ることはできない。演算器４７８は、該種値４７２と秘匿値４７７の排他的論理和算を演算するものである。該演算結果を、ハッシュ関数４７１を通してハッシュ値４７３を生成するが、種値４７２が同じでも、ＩＣプリペイドカード４７０が違えば、秘匿値４７７が異なるため全く値の違うハッシュ値４７３が生成される。一方向ハッシュ関数の特徴により、ハッシュ値４７３から、該種値４７２及び秘匿値４７７を逆算することは例えＩＣプリペイドカード４７０を入手することができても不可能である。

図１４には、前記集積回路０５を搭載した前記ＩＣプリペイドカード４７０の認証の処理方法の構成図が示されている。前記カードリーダ１２１に挿入された該ＩＣプリペイドカード４７０は、カード管理会社１２３内の認証システム６６０にサービス認証の要求を申請する。該カード管理会社１２３は、前記ＩＣプリペイドカード４７０に対して、該ＩＣプリペイドカード４７０を特定するために認証子番号（indx0)と識別用参照値Ｒ０を送る。かかる認証子番号（indx0)は、認証子６５２のうち該ＩＣプリペイドカード４７０を特定するために認証子を指定する番号であって、参照値Ｒ０は他の全てのＩＣプリペイドカード４７０に共通の値である。

前記認証子番号（indx0)と識別用参照値Ｒ０を受け取った前記ＩＣプリペイドカード４７０は、該認証子番号（indx0)が指定する番号の認証値６５１と該参照値Ｒ０を演算器６５６で演算した結果６５７をハッシュ関数にかけてハッシュ値Ｈ０を求め、前記システム６６０へ回答する。該ハッシュ値Ｈ０を受け取った前記認証システム６６０は、認証情報データベース６６４内のカード識別子レコード６６１と該ハッシュ値Ｈ０を照合する。なお、該照合とは、従前の実施例の内容と同じであるため説明は省略する。

該認証情報データベース６６４は、登録識別子フィールド６６２と利用可認証数フィールド６６６からなる複数のカード識別子レコード６６１から構成される。該カード識別レコード６６１のそれぞれには、さらに参照値フィールド６６９とハッシュ値フィールド６７０からなる複数の登録認証子レコード６６７が従属している。

前記参照値フィールド６６９とハッシュ値フィールド６７０は、前記図１２のカード検査工程４６３で取得された参照値４６５と登録ハッシュ値４６６であって、前記カード識別レコード６６１の総数は出荷された前記ＩＣプリペイドカード４７０の総数であって、前記登録認証子レコード６６７の総数は前記出荷されたＩＣプリペイドカード４７０に含まれる認証子６５１の総数から前記出荷されたＩＣプリペイドカード４７０の総数を減じた数に一致する。

ここで前記照合が成立した場合、前記カード識別レコード６６１内の前記利用可能認証数フィールド６６６の数値を確認する。利用可能認証数フィールド６６６は、その登録時点では前記ＩＣプリペイドカード４７０内の認証子６５２の総数−１の数であり、０以上は該ＩＣプリペイドカード４７０を所有する利用者１２６には、該利用可認証数フィールド６６６が持つ値の回数分の前記特定のサービスを受ける権利があり、０は前記利用者１２６が前記権利を使い切ったことを意味する。また、該利用可認証数フィールド６６６が既に０である場合、前記認証子６５２は消尽されており、該利用可認証数フィールド６６６が０となった前記カード識別レコード６６１はその対象とならない。

前記利用可認証数フィールド６６６が１以上である場合、認証処理システム６６０は、前記カード識別子レコード６６１の前記利用可能認証数フィールド６６６の値(indx)と、該(indx)−１番目の前記登録認証子レコード６６７内の前記参照値フィールド６６９の値Ｒを前記ＩＣプリペイドカード４７０へ転送する。

前記（indx）と参照値Ｒを受け取った前記ＩＣプリペイドカード４７０は、前記認証子６５２の先頭から（indx）−１番目の位置の認証子を読み出し、演算器６５６による該認証値と前記参照値Ｒとの排他的論理和算結果のハッシュ関数６５８を掛けたハッシュ値Ｈを、前記認証処理システム６６０へ送る。該ハッシュ値Ｈを受け取った前記認証処理システム６６０は、該ハッシュ値Ｈが、先に送った登録認証子レコード６６７内の前記参照値フィールド６６９の参照値Ｒに対応した前記登録認証子レコード６６７内の前記ハッシュ値フィールド６７０の値に合致するか確認する。前記ハッシュ値同士の照合の結果が合致した場合、前記カード識別レコード６６６内の前記利用可能認証数フィールド６６６の数値を−１し、前記ＩＣプリペイドカード４７０に対して認証の通知をする。

前記該ＩＣプリペイドカード４７０の認証にかかる処理方法から解るるように、該ＩＣプリペイドカード４７０と前記認証処理システム６６０との間では、認証子そのものの情報交換はおこなわれておらず、偽造や改竄に対して安全性が高い認証システムを実現することができる。本認証システムは、前記登録認証子レコード６６７内の前記参照値フィールド６６９の値と前記ハッシュ値フィールド６７０の値を更新することで、同じ該ＩＣプリペイドカード４７０を再使用することができる。例えば、該ＩＣプリペイドカード４７０を専用のＩＣカード更新端末に挿入し、新たに料金チャージし、新しい参照値とハッシュ値を前記カード管理会社１２３の持つ前記認証処理システム６６０のデータベース６６４に登録するようにすれば、同じＩＣプリペイドカードを使用しても、該ＩＣプリペイドカードの偽造や、第三者による利用者のなりすましを防ぐことができる。

図１５には、前記識別情報発生回路を使用した電子鍵を平文の暗号・復号に適用した一実施例の構成図が示されている。該暗号・復号回路に関する本願発明にかかる目的とその効果の概要を説明すれば、以下の通りである。ある元情報（平文）を暗号化するにおいて、該暗号・複号回路で該元情報を暗号化して暗号文を作成した場合、その暗号文の復号においては、暗号化に使用した秘匿鍵（電子鍵）を有する該暗号・複号回路を用いなければ復号できないというものである。該暗号・復号回路に用いられる暗号鍵の値は該暗号・復号回路の外から付与したり、書き込みが可能な記憶素子等にプログラミングしたりする必要はなく、さらにその値を読み出すことができないことを特徴とし、極めて安全性の高い暗号システムを構築することができるというものである。

集積回路７００は、暗号回路７０１と復号回路７０２を搭載し、平文７０４を秘匿鍵７０３により暗号文７０６へ暗号化し、該暗号文７０６を前記秘匿鍵７０３で元の平文７０４と同じ平文７０５へ復号するものである。前記暗号回路７０１及び復号回路７０２は、ＤＥＳやＡＥＳを代表とする共通鍵方式の方式を採用する。またＤＥＳは、暗号化と復号化に同じ装置が使えるので、集積回路の規模を小さくできる。秘匿鍵７０３は、主として前記集積回路０４で生成される。そのため、秘匿鍵の改竄や漏洩の危険がなく、前記のような安全性の効果が得られる。

図１６には、本願発明に係る電子鍵を用いた暗号通信方法ないし特定サービス提供方法の一実施例の構成図が示されている。特に制限されないが、この実施例の電子鍵は前記集積回路７００を搭載したプリペイドカードとして実現される。元情報である平文７１０の送り手７１１側では、前記平文７１０から、プリペイドード等の形態で提供される電子鍵７１３に搭載された前記集積回路７１０の暗号化機能を使い暗号文７１２を作成する。その後、送り手７１１は、前記電子鍵７１３と暗号文７１２を、情報の受け手７１５へ送る。かかる暗号文７１２は例えばフレキシブルディスクやＤＶＤに記録することや、ネットワーク等を介して伝送するなどの手段７１７を用い、電子鍵７１３は、手交、郵送、宅配などの移送手段７１６を用いる。受け手７１５は、前記電子鍵７１３に搭載された集積回路７００の復号化機能を使い、暗号文７１２を復号して平文７１４を得る。

前記暗号文７１２が、前記伝送手段７１７の途中で盗聴されても、前記電子鍵７１３が無ければ平文７１４を得ることができないので安全性が高い。さらに、暗号に用いる共通鍵については、送り手もその値を知らないので、前記電子鍵７１３そのものがなければ、暗号文の復号は不可能である。ここでは情報の送り手と受け手が異なるとしたが、もちろん同一であってもよく、その場合、該電子鍵７１３は、重要な情報を暗号化した電子データの鍵として利用するものである。

図１７には、本願発明に係る電子鍵を用いた暗号通信方法ないし特定サービス提供方法の他の一実施例の構成図が示されている。前図１６に示される実施例の主な目的は送り手７１０が、受け手７１５に重要な情報そのものを暗号化して送り届けることであった。これに対して本実施例では、言わば前図１６における重要情報を、暗号用の鍵に置き換えることである。

すなわち、図１７中の送り手７２０、共通鍵７２１、電子鍵７１３、暗号化共通鍵７２３、共通鍵７２５、受け手７２６、移送手段７２９及び伝送手段７３０は、それぞれ図１６における送り手７１１、平文７１０、電子鍵７１３、暗号文７１２、平文７１４、受け手７１５、移送手段７１６及び伝送手段７１７に対応している。

送り手７２０と受け手７２６は、前記図１６と同様の手順によって、受け手７２６と共通鍵７２１及び７２５の事前共有ができる。かかる共通鍵７２１、７２５の事前共有ができた後は、該共通鍵と共通鍵暗号方式である暗復号装置７２４及び７２７を用いて、互いの平文７２２と７２８を暗号文７３１に変換して交換することができる。

この実施例では、共通鍵７２５が第三者に漏れないようにするために、電子鍵７１３、共通鍵７２５及び暗復号装置７２７を一つの集積回路装置又はプリペイドカードのようにプラスチックケース７３２に内蔵させることで、より高い安全性を得ることができる。また、前記共通鍵７２１と暗号化共通鍵７２３は、一つではなく前記ＩＣプリペイドカードの実施例の認証子のように複数であってもよい。

図１８には、本願発明に係る電子鍵を用いた暗号通信方法ないし特定サービス提供方法の更に他の一実施例の構成図が示されている。この実施例の好適な利用方法の一例は、例えばレコード会社がインターネットを介して、音楽や映像などのソフトコンテンツを正規の利用者へ配信することであり、この実施例によって本発明の目的と効果がより理解されるであろう。

該ＩＣプリペイドカード４７０には、一方向ハッシュ関数が搭載されている。共通鍵７５０は、鍵種７５２から該ハッシュ関数により生成されたハッシュ値である。送り手７５１は事前に鍵種７５２と共通鍵７５０の組み合わせを、図示しないデータベース等に登録する。送り手７５１は、平文７５３を前記共通鍵７５０で暗復号装置７５４を用いて暗号化する。受け手７５６は、該ＩＣプリペイドカード４７０を入手７５９し、同様にインターネット等から鍵種７５２を得、該ＩＣプリペイドカード４７０を用いて該鍵種７５２から共通鍵７５６を生成する。これにより、両者は同じ共通鍵７５０と７５５を事前に共有できる。

その後、該共通鍵を用いて送り手７５１が暗号化した暗号文７６１を、暗復号装置７５７を用いて共通鍵７５５で復号して平文７５８を得る。上記のように共通鍵が共有されたことで、送り手７５１と受け手７５６が交代して情報の交換を双方向で行うことができる。

共通鍵７５５が第三者に漏れないために、集積回路装置７４０、共通鍵７５５及び暗復号装置７５７を一つの集積回路装置（ＩＣプリペイドカード）７６２とすることで、より高い安全性を得ることができる。

図１９には、この発明に係る電子鍵の利用方法の一実施例の構成図が示されている。この実施例は、インターネットを介して、音楽や映像などのソフトコンテンツを配信する場合に向けられている。

種々のコンテンツを配信する配信者は、(1) 事前準備として、前記鍵種７５２と共通鍵７５０を図示しないデータベースに登録する。配信者は、該ＩＣプリペイドカード４７０を一般利用者に(2) 頒布する。(3) 該ＩＣプリペイドカード４７０を(3) 購入した利用者は、(4) 前記カードリーダ１２１等を用いて、配信者へコンテンツの配信を(5) 要求する。(6) 要求を受け取った配信者は、要求した利用者が持つ該ＩＣプリペイドカード４７０を(7) 認証するために(8) 参照値を送信する。該ＩＣプリペイドカード４７０は、受け取った参照値から識別情報であるハッシュ値を(9) 計算し配信者へ(10)回答する。配信者は、受け取った識別情報と先に送った参照値が合致するか確認し、正当な利用者であることが(11)認証されれば、(12)共通鍵の共有を行うために(13)鍵種を送る。鍵種を受け取った利用者は、(14)共通鍵であるハッシュ値を計算する。これより、両者で鍵の共有ができ、暗号による通信が可能となる。利用者は、暗号を用いて(15)コンテンツを要求する。配信者は、要求コンテンツを共通鍵を用いて(16)暗号化し、(17)利用者へ配信する。利用者は、配信されたコンテンツを、共通鍵を用いて(18)復号する。コンテンツが入手できたら、(19)サービス終了要求を送り、一連のサービスの提供が終了する。

いうまでもなく、前記実施例は前記ＩＣプリペイドカード４７０に関する好適な利用分野の一つであって、さまざまな方法により利用が可能である。

暗号技術において暗号化や復号化（解読）に用いられる「暗号鍵」は、暗号化に使う「暗号鍵」と復号化に使う「復号鍵」は、完全に「一致」していなければならない。（「公開鍵方式」あるいは「非対称鍵方式」と呼ばれるものは、正確に言えば「暗号鍵」≠「復号鍵」であるが、両鍵の組み合わせは厳密に定めされているので、その（組み合わせという）意味では「一致」という概念であると考える）これは、暗号技術の鉄則であり常識である。ここでいう「暗号鍵」とはセキュリティ技術や認証技術でいう「特徴を表わす鍵」ではなく、暗号技術における「数学的な意味を持つ鍵」である。つまり、前記のようなゲート回路等のしきい値電圧のミクロ的な素子バラツキを利用した識別情報発生回路で暗号鍵を形成した場合には、常に一定の情報を確実に取り出すようにするために、ＰＲＯＭ等の記憶回路を介在させて識別情報を取り出すことが必要となるものである。

本願発明者は、本願発明にかかる様々な検討や考察から、暗号技術における「暗号鍵」に対する常識を破る新たな暗号技術を考案した。すなわち、前記ゲート回路等のしきい値電圧のミクロ的な素子バラツキを利用した識別情報発生回路で形成されたような「暗号鍵」を構成する文字列あるいは数列の一部が微妙に変化するような不安定な「暗号鍵」であっても、情報の暗号化や暗号文の解読ができるようにするというものである。

図２０には、前記図２５又は図２７に示された識別情報発生回路で形成された識別情報８００の一例の説明図が示されている。該識別情報８００は、かかる識別情報発生回路の原理から、それを構成するビット情報の一部がランダムに変動する。該変動量は、該識別情報発生回路が搭載された集積回路装置の製造プロセスに依存するが、数パーセントである。つまり、識別情報がＫビットで構成されているとするなら、この識別情報の中に平均で『 [Ｋ] × [平均変動量] 』の変動ビットが含まれる。いずれにせよ、該識情報８００そのものを前記のような暗号技術に使用する「暗号鍵」に使用することはできない。

図２１には、本願発明に係る暗号技術に使用する暗号鍵のような電子鍵の一例の説明図が示されている。一般的な「暗号鍵」は、数十から百ビットのものが使われるが、この実施例では、前図２０に示した複数ビット（例えば４００ビット）からなる識別情報８００を、１０ビットずつＮ＝４０個のブロック８０１に分割し、その中から４つのブロックをつなぎ合せて、４０ビットに拡張したものである。該複合ブロック鍵８１０の組み合わせの総数は、４０ブロックから４つを選ぶ組み合わせ（コンビネーション）となり、Ｍ＝９１、３９０通りである。

図２２には、本願発明に係る暗号技術の原理の基本概念の概略図が示されている。平文８１２を暗号装置８１１で暗号化する際、前記識別情報８００をもとに作成された複合ブロック鍵８２０を用いると、同じ平文８１２から該複合ブロック鍵８２０の種類と同じ数の暗号文８１３が生成される。その数は、前記例の場合９１，３９０種類である。

次に復号装置８１４で復号ブロック鍵８２１を用いて、該暗号文８１３を復号する場合、該復号ブロック鍵８２１が前記複合ブロック鍵８２０と全く同じものであったとすれば、復号される９１，３９０種類の平文８１５は、全て元の平文８１２と同じである。しかし、前記復号ブロック鍵８２１と前記複合ブロック鍵８２０が同一というのは本発明が想定するものではない。本発明が扱う状況とは、暗号化の時も復号化の時も、「暗号鍵」の素とするのは、あくまで識別情報８００のみであって、前記暗号化並びに復号化の時点で、実質的に用いられた前記復号ブロック鍵８２０及び複合ブロック鍵８２１に関するいかなる知識もないというものである。

さらに、「暗号鍵」の素になる識別情報８００は、前述のとおりその原理から、構成するビット情報が変動するため、暗号化の時点と復号化の時点で前記復号ブロック鍵８２０と複合ブロック鍵８２１は、むしろ同一であることはないという前提に立つ。しかし、前記９１，３９０種類の複合ブロック鍵８２０の中に前記変動の影響を受けない複合ブロック鍵８２０が一つ以上あれば、正しく復号された平分８１５を得ることが可能である。

前記図２０で説明したように、識別情報８００には、ある割合で変動ビットが含まれる。そのため、該識別情報８００を分割したブロック８０１のいくつかは変動ビットを含む。そのため、前記９１，３９０種類の複合ブロック鍵８２１は、その全てが変動の影響を受けるものではなく、確率的に暗号化時の複合ブロック鍵８２０と同じものが存在する。つまり、復号化された平文８１５の中の平文１から平文Ｍに、前記複合ブロック鍵８２０と同じ複合ブロック鍵８２１によって正しく復号されたものが存在する。正しく復号されたものであるか否かは、平文８１２に予め挿入された検証符号やハッシュ値を用いたテキストダイジェスト等で確認することができる。

前記識別情報８００に含まれる変動ビットの割合、すなわち平均変動ビット率が予測できれば、前記４０ブロックのうち何ブロックに前記変動ビットが一個以上含まれることになるか確率的に推定できる。例えば、前記のブロック構成の下で、前記変動ビット率を５％とすると、個々のブロックに変動ビットを１ビット以上含む確率は３９％である。この３９％という数は、全ての識別情報８００に変動ビットを１ビット以上含むブロック８０１が３９％つまり１５個（＝４０×３９％）存在するということや、逆に変動ビットを１ビットも含んでいないブロック８０１の数が６１％つまり２５個（＝４０×６１％）存在するということではない。あくまで無数の前記識別情報８００を対象にした時の平均であって、変動ビットを１ビット以上含むブロック８０１の数が１５以上や１５以下というものも確率的に存在しうる。

前述のように、前記変動ビットの影響を受けない複合ブロック鍵８２０が、１個以上あれば復号が可能であるが、これは前記識別情報８００のブロックに変動ビットの影響を受けないブロック８０１が４個以上存在することと同義である。前記のブロック構成の下で、前記識別情報８００内のブロック８０１に変動ビットの影響を受けないブロックが４個以下となる確率は、約２×１０^-12（＝１／５×１０¹¹＝５，０００億分の一）である。すわわち、確率的には５，０００億個もの該識別情報８００の中にようやく復号ができないものが存在するということであり、実質的に殆どの場合復号が可能と考えてよい。

ただし、これらは前記構成を前提としたもので、前記識別情報発生回路が実施される製造プロセスによって決定する前記変動率や、要求される秘匿鍵の仕様等に依存するものであることはいうまでもない。逆に言えば、前記変動率などから、前記識別情報８００のビット長や、前記復号ブロック鍵の最低な仕様を決定することが可能である。

図２３には、前記複合ブロック鍵を利用した暗号方式にかかる一実施例の構成図が示されている。平文８３４は、乱数発生器８３０で生成される共通鍵８３１を用いて暗号装置８３５で暗号化され暗号文８３９を作成する。複合鍵８３３は、複合鍵発生回路８３２で生成される前記複合ブロック鍵８２０であって、前記共通鍵８３１は、該複合鍵８３３で複合鍵暗号装置８３６を用いて、暗号化共通鍵８４０を生成する。前記暗号文８３９と暗号化共通鍵８４０を合体したものを、複合鍵暗号文８３７とする。該複合鍵暗号文８３７の特徴を言うならば、前記暗号文８３９は、共通鍵８３１で暗号化されたものである。かかる共通鍵８３１の値は乱数発生器８３０により非人為的に生成されたものであり、また、該共通鍵８３１は複合鍵８３３によって暗号化される。かかる共通鍵８３３は前記複合鍵発生回路８３２内の識別情報発生回路によって非人為的に決定したものである。該二つの鍵の真の値は誰も知り得ず、次に説明する方法でなければ前記複合鍵暗号文８３７を復号することができない。

図２４には、前記複合鍵暗号文８３７の復号方法の説明図が示されている。前記複合鍵暗号文８３７に含まれる暗号文８３９の復号に必要な共通鍵８５３を得るためには、暗号化共通鍵８４０を復号することが必要である。さらに、該暗号化共通鍵８４０を復号するためには、複合鍵８５１が必要であるが、該複合鍵８５１は暗号化時に用いた複合鍵発生回路８３２そのものでしか生成することができないため、極めて秘匿性の高い安全な暗号システムを実現できる。

前記のような特徴を有する暗号方式を実現するためには、暗号化において必要な乱数発生回路８３０、複合鍵発生回路８３２、複合鍵暗号装置８３６及び暗号装置８３５と、復号化において必要な複合鍵復号装置８５２、復号装置８５７及び前記共通複合鍵発生回路を一つに化体した集積回路装置やプラスチックカード等に内蔵させて製造することが望ましい。

前記識別情報８００に偏りや周期性があったなら、極めて脆弱な暗号方式となる。しかし、該識別情報８００を発生する前記識別情報発生回路が、無秩序な識別情報を発生するもであることが、本発明にかかる作用や効果の裏付けとなっているものである。さらに、該識別情報発生回路を使用していることの利点は、ＰＲＯＭ等の書き込み可能な回路素子を使用していないので書き換えによる改竄が不可能、同じく人為的な操作が不可能、特殊な半導体プロセスが不要（標準ＣＭＯＳプロセスで実現可能）などがある。

以上本発明者よりなされた発明を実施例に基づき具体的に説明したが、本願発明は前記実施例に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。例えば、図２５において、前記第２の先行技術等に示されているようにゲート回路をインバータ回路に置き換えることができる。ただし、低消費電力化を図る上では、前記のようなＣＭＯＳゲート回路を用いることが望ましい。インバータ回路を用いる場合には、その消費電流を低減させるために前記図２９に示したようなクロックドインバータ回路に置き換え、動作制御信号により活性化を行うようにするものであってもよい。

この発明は、プリペイドカードとその決済システム及び電子鍵として、ネットワーク等のような通信回線を利用してサービスの提供を受けるもの、あるいは入場券や小切手等のように手渡しによって特定のサービスの提供を受けるものに広く利用することができる。

Claims (2)

1. 認証処理システムと前記認証処理システムに通信回線を介して接続された端末とを含むカード認証システムにおいて、
   一つの半導体チップ内に互いに同じ製造過程を経て形成された複数の識別情報発生回路であって、前記識別情報発生回路のそれぞれは同一の形態として形成された複数のゲート回路素子を含み、前記識別情報発生回路のそれぞれが前記製造過程で生じるゲート回路素子の論理しきい値間のバラツキに基づく個別の識別情報を生成するように構成された前記一つの半導体チップから前記個別の識別情報をそれぞれ読み出し、前記認証処理システムのデータベースに格納する処理と、
   前記端末において、利用者によって前記一つの半導体チップが搭載されたカードが前記端末に装着されたとき前記端末のカードリーダが前記複数の識別情報発生回路のいずれかから生成された固有の識別情報を読み出し前記通信回線を介して前記認証処理システムに送信する処理が行われ、
   前記認証処理システムにおいて、
   前記端末から受信した識別情報を前記データベースに格納された識別情報と比較する処理と、
   前記比較処理において、受信した識別情報が使用済みであると判定されたときは、当該識別情報の認証が拒否されたことを前記端末に通知する処理と、
   前記比較処理において、受信した識別情報が未使用のものであると判定されたときは、当該識別情報が認証されたことを前記端末に通知するとともに、当該識別情報が使用済みとなったことを前記データベースに記録する処理と、
   が行われ、
   前記複数の識別情報発生回路の生成する識別情報の全てが使用済みとなるまで前記カードの使用が複数回許可されることを特徴とするカード認証システム。
2. 前記端末における識別情報の読み出しの対象となる識別情報発生回路は、前記認証処理システムから発行されるインデックス情報に基づき指定されることを特徴とする請求項１記載のカード認証システム。

Images