JP4698323B2 - 情報処理装置および方法、並びにプログラム - Google Patents

Description

本発明は、情報処理装置および方法、記録媒体、並びにプログラムに関し、特に、ICチップに提供する暗号鍵またはパッケージの変更を容易にすることができるようにする情報処理装置および方法、記録媒体、並びにプログラムに関する。

近年、クレジットカードや携帯電話機に埋め込まれたFeliCa（登録商標）などの非接触ICチップに電子マネーをチャージ（入金）し、そのチャージされた電子マネーを用いて、商品購入時の代金の支払いをしたりすることが普及しつつある。特許文献１には、そのような電子マネーシステムを構築するためのサーバクライアントシステムが開示されている。

代金の支払い時には、自分のクレジットカードや携帯電話機を店舗に設置された端末（リーダライタ）にかざすだけであるから、ユーザは、代金の支払いを迅速に行うことができる。

非接触ICチップが埋め込まれているクレジットカードや携帯電話機が端末にかざされた場合、非接触ICチップは、端末、および、インターネットなどのネットワークを介して、非接触ICチップ（に記憶されているデータ）を管理するサーバ装置と、暗号化された情報をやりとりする。

図１は、暗号化された情報をやりとりするために、非接触ICチップが保持している暗号鍵の例を示している。

非接触ICチップ（のメモリ）に形成される領域には、例えば、システム、エリア、サービスの３つの概念の領域があり、それぞれの領域がその順番で階層的に形成される。すなわち、システムの中に１つまたは複数のエリアが形成され、それぞれのエリアの中に１つまたは複数のサービスが形成される。図１では、１つのシステムの下に１つのエリアであるエリア１が形成され、エリア１の下に１つのサービスであるサービス１が形成されている。

さらに、システム、エリア、およびサービスのそれぞれの領域に暗号鍵が設定される。図１の例では、システム、エリア１、またはサービス１のそれぞれに暗号鍵１，２、または３が設定されている。

このような暗号鍵を保持する非接触ICチップに対しては、非接触ICチップが保持している鍵と共通の鍵（対応する鍵）を有するサーバ装置だけが、非接触ICチップのそれぞれの領域にアクセスすることができる（コマンドを実行させて、それぞれの領域に情報を書き込んだりすることができる）。

図２は、サーバ装置の鍵格納DBの例を示している。

鍵格納DBは、図２に示すように、サーバ装置と情報をやりとりする非接触ICチップごとに、非接触ICチップが記憶しているのと同一の暗号鍵を記憶している。

例えば、鍵格納DBは、図１に示した非接触ICチップに対して、パッケージ種別としての発行パッケージ、システムの領域に記憶されているのと同一の暗号鍵１、エリア１の領域に記憶されているのと同一の暗号鍵２、サービス１の領域に記憶されているのと同一の暗号鍵３、および生成されたパッケージとしての発行パッケージAを記憶している。また、鍵格納DBは、図示しないその他の非接触ICチップに対して、パッケージ種別としての発行パッケージ、システムの領域に記憶されているのと同一の暗号鍵１、エリア２の領域に記憶されているのと同一の暗号鍵４、サービス２の領域に記憶されているのと同一の暗号鍵５、および生成されたパッケージとしての発行パッケージBを記憶している。

ここで、パッケージとは、例えば、暗号鍵自身を供給（非接触ICチップに暗号鍵を登録）する場合に、より高い秘匿性を担保するために暗号鍵登録のコマンドに付加される暗号鍵に関する情報（暗号情報）である。従って、暗号鍵が変更された場合、それに対応するパッケージも異なるものとなる。また、システム、エリア、サービスのどの領域の暗号鍵についてのパッケージかにより、複数のパッケージ種別が存在する。例えば、図２に示すように、パッケージ種別が「発行パッケージ」である場合、その種別で生成されたパッケージである発行パッケージAには、システムおよびエリア１の領域に対応する暗号鍵１および２に関する情報が含まれる。また、例えば、パッケージ種別が「サービス登録パッケージ」である場合、その種別で生成されるパッケージ（サービス登録パッケージ）には、サービスの領域の暗号鍵のみに関する情報が含まれる。

このように、従来のサーバ装置の鍵格納DBでは、情報をやりとりする非接触ICチップそれぞれに対して、システム、エリア、サービスのそれぞれの領域に対する暗号鍵、生成されたパッケージ、および、生成されたパッケージの種別を表すパッケージ種別が、セットで管理（記憶）されている。

特開２００３−１４１０６３号公報

ところで、例えば、図１の非接触ICチップのサービス１に対する暗号鍵（暗号鍵３）に変更が生じた場合、従来の鍵格納DBでは、上述したように、図１の非接触ICチップに対して、システム、エリア１、サービス１のそれぞれの領域に対する暗号鍵としての「暗号鍵１，２，３」と、生成されたパッケージである「発行パッケージA」と、「発行パッケージA」のパッケージ種別を表す「発行パッケージ」とがセットで管理（記憶）されているため、暗号鍵３のみを削除することができなかった。

即ち、従来、サーバ装置の鍵格納DBにおいて、ある非接触ICチップのシステム、エリア、サービスそれぞれの領域の暗号鍵のいずれか１つに変更が生じた場合、その非接触ICチップに対して管理している全ての情報を一括で削除し、同一の情報も含めて再度登録（更新）し直す必要があった。

本発明はこのような状況に鑑みてなされたものであり、ICチップに提供する暗号鍵またはパッケージの変更を容易に行うことができるようにするものである。

本発明の一側面の情報処理装置には、IC(Integrated Circuit)チップと暗号化された情報をやり取りするための暗号鍵の種別を表す設定項目である暗号鍵設定情報とその設定値、前記暗号鍵を登録する際に用いられる暗号情報であるパッケージの種別を表す設定項目であるパッケージ設定情報とその設定値、および、前記暗号鍵または前記パッケージの少なくとも一方の利用の可否を表す設定項目である利用可能状態とその設定値を記憶する第１の記憶手段と、前記第１の記憶手段の前記暗号鍵設定情報の設定値を暗号鍵識別情報として有することで、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられた前記暗号鍵を記憶する第２の記憶手段と、前記第１の記憶手段の前記パッケージ設定情報の設定値をパッケージ識別情報として有することで、前記第１の記憶手段の前記パッケージ設定情報と紐付けられた前記パッケージを記憶する第３の記憶手段とを備える記憶装置を制御する情報処理装置であって、前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記パッケージ設定情報と紐付けられている削除された前記暗号鍵に対応する前記パッケージを、前記第３の記憶手段から削除する削除手段と、削除された前記暗号鍵に対応する前記パッケージが前記第３の記憶手段から削除され、削除された前記暗号鍵に代えて新たな暗号鍵が前記第２の記憶手段に記憶された場合、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記新たな暗号鍵に対応する新たなパッケージを他の装置に生成させ、生成された前記新たなパッケージを前記第１の記憶手段の前記パッケージ設定情報と紐付けて前記第３の記憶手段に記憶させる生成手段と、前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用不可」に設定し、前記新たな暗号鍵に対応する前記新たなパッケージが前記第３の記憶手段に記憶された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用停止」に設定し、前記利用可能状態の設定値を「利用可能」に変更する変更指示があった場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用可能」に変更する変更手段と、前記ICチップと暗号化された情報をやりとりするサーバからの前記暗号鍵の利用要求に対して、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」である場合、生成された前記新たなパッケージを前記サーバに供給し、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」または「利用停止」である場合、「利用不可」を前記サーバに返答する応答手段とが設けられている。

前記記憶装置をさらに設けることができる。

本発明の一側面の情報処理方法は、IC(Integrated Circuit)チップと暗号化された情報をやり取りするための暗号鍵の種別を表す設定項目である暗号鍵設定情報とその設定値、前記暗号鍵を登録する際に用いられる暗号情報であるパッケージの種別を表す設定項目であるパッケージ設定情報とその設定値、および、前記暗号鍵または前記パッケージの少なくとも一方の利用の可否を表す設定項目である利用可能状態とその設定値を記憶する第１の記憶手段と、前記第１の記憶手段の前記暗号鍵設定情報の設定値を暗号鍵識別情報として有することで、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられた前記暗号鍵を記憶する第２の記憶手段と、前記第１の記憶手段の前記パッケージ設定情報の設定値をパッケージ識別情報として有することで、前記第１の記憶手段の前記パッケージ設定情報と紐付けられた前記パッケージを記憶する第３の記憶手段とを備える記憶装置を制御する情報処理を行う情報処理方法であって、前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記パッケージ設定情報と紐付けられている削除された前記暗号鍵に対応する前記パッケージを、前記第３の記憶手段から削除する削除ステップと、削除された前記暗号鍵に対応する前記パッケージが前記第３の記憶手段から削除され、削除された前記暗号鍵に代えて新たな暗号鍵が前記第２の記憶手段に記憶された場合、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記新たな暗号鍵に対応する新たなパッケージを他の装置に生成させ、生成された前記新たなパッケージを前記第１の記憶手段の前記パッケージ設定情報と紐付けて前記第３の記憶手段に記憶させる生成ステップと、前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用不可」に設定し、前記新たな暗号鍵に対応する前記新たなパッケージが前記第３の記憶手段に記憶された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用停止」に設定し、前記利用可能状態の設定値を「利用可能」に変更する変更指示があった場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用可能」に変更する変更ステップと、前記ICチップと暗号化された情報をやりとりするサーバからの前記暗号鍵の利用要求に対して、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」である場合、生成された前記新たなパッケージを前記サーバに供給し、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」または「利用停止」である場合、「利用不可」を前記サーバに返答する応答ステップとを含む。

本発明の一側面のプログラムは、IC(Integrated Circuit)チップと暗号化された情報をやり取りするための暗号鍵の種別を表す設定項目である暗号鍵設定情報とその設定値、前記暗号鍵を登録する際に用いられる暗号情報であるパッケージの種別を表す設定項目であるパッケージ設定情報とその設定値、および、前記暗号鍵または前記パッケージの少なくとも一方の利用の可否を表す設定項目である利用可能状態とその設定値を記憶する第１の記憶手段と、前記第１の記憶手段の前記暗号鍵設定情報の設定値を暗号鍵識別情報として有することで、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられた前記暗号鍵を記憶する第２の記憶手段と、前記第１の記憶手段の前記パッケージ設定情報の設定値をパッケージ識別情報として有することで、前記第１の記憶手段の前記パッケージ設定情報と紐付けられた前記パッケージを記憶する第３の記憶手段とを備える記憶装置を制御する情報処理を、コンピュータに実行させるためのプログラムであって、前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記パッケージ設定情報と紐付けられている削除された前記暗号鍵に対応する前記パッケージを、前記第３の記憶手段から削除する削除ステップと、削除された前記暗号鍵に対応する前記パッケージが前記第３の記憶手段から削除され、削除された前記暗号鍵に代えて新たな暗号鍵が前記第２の記憶手段に記憶された場合、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記新たな暗号鍵に対応する新たなパッケージを他の装置に生成させ、生成された前記新たなパッケージを前記第１の記憶手段の前記パッケージ設定情報と紐付けて前記第３の記憶手段に記憶させる生成ステップと、前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用不可」に設定し、前記新たな暗号鍵に対応する前記新たなパッケージが前記第３の記憶手段に記憶された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用停止」に設定し、前記利用可能状態の設定値を「利用可能」に変更する変更指示があった場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用可能」に変更する変更ステップと、前記ICチップと暗号化された情報をやりとりするサーバからの前記暗号鍵の利用要求に対して、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」である場合、生成された前記新たなパッケージを前記サーバに供給し、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」または「利用停止」である場合、「利用不可」を前記サーバに返答する応答ステップとをコンピュータに実行させる。

本発明の一側面においては、IC(Integrated Circuit)チップと暗号化された情報をやり取りするための暗号鍵の種別を表す設定項目である暗号鍵設定情報とその設定値、前記暗号鍵を登録する際に用いられる暗号情報であるパッケージの種別を表す設定項目であるパッケージ設定情報とその設定値、および、前記暗号鍵または前記パッケージの少なくとも一方の利用の可否を表す設定項目である利用可能状態とその設定値を記憶する第１の記憶手段と、前記第１の記憶手段の前記暗号鍵設定情報の設定値を暗号鍵識別情報として有することで、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられた前記暗号鍵を記憶する第２の記憶手段と、前記第１の記憶手段の前記パッケージ設定情報の設定値をパッケージ識別情報として有することで、前記第１の記憶手段の前記パッケージ設定情報と紐付けられた前記パッケージを記憶する第３の記憶手段とを備える記憶装置が制御される。即ち、前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記パッケージ設定情報と紐付けられている削除された前記暗号鍵に対応する前記パッケージが、前記第３の記憶手段から削除される。さらに、削除された前記暗号鍵に対応する前記パッケージが前記第３の記憶手段から削除され、削除された前記暗号鍵に代えて新たな暗号鍵が前記第２の記憶手段に記憶された場合、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記新たな暗号鍵に対応する新たなパッケージが他の装置により生成され、生成された前記新たなパッケージが、前記第１の記憶手段の前記パッケージ設定情報と紐付けられて前記第３の記憶手段に記憶される。また、前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」に設定され、前記新たな暗号鍵に対応する前記新たなパッケージが前記第３の記憶手段に記憶された場合、前記第１の記憶手段の前記利用可能状態の設定値が「利用停止」に設定され、前記利用可能状態の設定値を「利用可能」に変更する変更指示があった場合、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」に変更される。そして、前記ICチップと暗号化された情報をやりとりするサーバからの前記暗号鍵の利用要求に対して、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」である場合、生成された前記新たなパッケージが前記サーバに供給され、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」または「利用停止」である場合、「利用不可」が前記サーバに返答される。

本発明の一側面によれば、ICチップに提供する暗号鍵またはパッケージを記憶装置に記憶させることができる。

また、本発明の一側面によれば、ICチップに提供する暗号鍵またはパッケージの変更を容易に行うことができる。

以下に本発明の実施の形態を説明するが、本発明の構成要件と、発明の詳細な説明に記載の実施の形態との対応関係を例示すると、次のようになる。この記載は、本発明をサポートする実施の形態が、発明の詳細な説明に記載されていることを確認するためのものである。従って、発明の詳細な説明中には記載されているが、本発明の構成要件に対応する実施の形態として、ここには記載されていない実施の形態があったとしても、そのことは、その実施の形態が、その構成要件に対応するものではないことを意味するものではない。逆に、実施の形態が構成要件に対応するものとしてここに記載されていたとしても、そのことは、その実施の形態が、その構成要件以外の構成要件には対応しないものであることを意味するものでもない。

本発明の一側面は、
IC(Integrated Circuit)チップと暗号化された情報をやり取りするための暗号鍵の種別を表す設定項目である暗号鍵設定情報とその設定値、前記暗号鍵を登録する際に用いられる暗号情報であるパッケージの種別を表す設定項目であるパッケージ設定情報とその設定値、および、前記暗号鍵または前記パッケージの少なくとも一方の利用の可否を表す設定項目である利用可能状態とその設定値を記憶する第１の記憶手段（例えば、図５の暗号鍵パッケージ設定情報DB）と、前記第１の記憶手段の前記暗号鍵設定情報の設定値を暗号鍵識別情報として有することで、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられた前記暗号鍵を記憶する第２の記憶手段（例えば、図５の暗号鍵情報DB）と、前記第１の記憶手段の前記パッケージ設定情報の設定値をパッケージ識別情報として有することで、前記第１の記憶手段の前記パッケージ設定情報と紐付けられた前記パッケージを記憶する第３の記憶手段（例えば、図５のパッケージ情報DB）とを備える記憶装置（例えば、図３の鍵格納DB７）を制御する情報処理装置（例えば、図３のサーバ装置１）を制御する情報処理装置であって、
前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記パッケージ設定情報と紐付けられている削除された前記暗号鍵に対応する前記パッケージを、前記第３の記憶手段から削除する削除手段（例えば、図７の入力制御部６１）と、
削除された前記暗号鍵に対応する前記パッケージが前記第３の記憶手段から削除され、削除された前記暗号鍵に代えて新たな暗号鍵が前記第２の記憶手段に記憶された場合、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記新たな暗号鍵に対応する新たなパッケージを他の装置に生成させ、生成された前記新たなパッケージを前記第１の記憶手段の前記パッケージ設定情報と紐付けて前記第３の記憶手段に記憶させる生成手段（例えば、図７のパッケージ生成部６２）と、
前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用不可」に設定し、前記新たな暗号鍵に対応する前記新たなパッケージが前記第３の記憶手段に記憶された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用停止」に設定し、前記利用可能状態の設定値を「利用可能」に変更する変更指示があった場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用可能」に変更する変更手段（例えば、図３の状態変更アプリケーション５２）と、
前記ICチップと暗号化された情報をやりとりするサーバからの前記暗号鍵の利用要求に対して、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」である場合、生成された前記新たなパッケージを前記サーバに供給し、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」または「利用停止」である場合、「利用不可」を前記サーバに返答する応答手段（例えば、図７の要求応答部６５）と
を備える情報処理装置である。

本発明の一側面の情報処理方法またはプログラムは、
IC(Integrated Circuit)チップと暗号化された情報をやり取りするための暗号鍵の種別を表す設定項目である暗号鍵設定情報とその設定値、前記暗号鍵を登録する際に用いられる暗号情報であるパッケージの種別を表す設定項目であるパッケージ設定情報とその設定値、および、前記暗号鍵または前記パッケージの少なくとも一方の利用の可否を表す設定項目である利用可能状態とその設定値を記憶する第１の記憶手段と、前記第１の記憶手段の前記暗号鍵設定情報の設定値を暗号鍵識別情報として有することで、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられた前記暗号鍵を記憶する第２の記憶手段と、前記第１の記憶手段の前記パッケージ設定情報の設定値をパッケージ識別情報として有することで、前記第１の記憶手段の前記パッケージ設定情報と紐付けられた前記パッケージを記憶する第３の記憶手段とを備える記憶装置を制御する情報処理を行う情報処理方法または前記情報処理をコンピュータに実行させるプログラムであって、
前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記パッケージ設定情報と紐付けられている削除された前記暗号鍵に対応する前記パッケージを、前記第３の記憶手段から削除する削除ステップ（例えば、図１３のステップＳ１４）と、
削除された前記暗号鍵に対応する前記パッケージが前記第３の記憶手段から削除され、削除された前記暗号鍵に代えて新たな暗号鍵が前記第２の記憶手段に記憶された場合、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記新たな暗号鍵に対応する新たなパッケージを他の装置に生成させ、生成された前記新たなパッケージを前記第１の記憶手段の前記パッケージ設定情報と紐付けて前記第３の記憶手段に記憶させる生成ステップ（例えば、図１３のステップＳ１６）と、前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用不可」に設定し、前記新たな暗号鍵に対応する前記新たなパッケージが前記第３の記憶手段に記憶された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用停止」に設定し、前記利用可能状態の設定値を「利用可能」に変更する変更指示があった場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用可能」に変更する変更ステップ（例えば、図１３のステップＳ１３、ステップＳ１８、ステップＳ１０４）と、
前記ICチップと暗号化された情報をやりとりするサーバからの前記暗号鍵の利用要求に対して、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」である場合、生成された前記新たなパッケージを前記サーバに供給し、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」または「利用停止」である場合、「利用不可」を前記サーバに返答する応答ステップ（例えば、図１９のステップＳ１１４、ステップＳ１１３）とを含む。

以下、図を参照して、本発明の実施の形態について説明する。

図３は、本発明を適用したサーバクライアントシステムの一実施の形態の構成例を示している。

図３のサーバクライアントシステムにおいて、サーバ側は、サーバ装置１、HSM(Hardware Security Module)２、および鍵格納DB(Data Base)７からなり、クライアント側はクライアント装置３とR/W（リーダ／ライタ）４からなる。サーバ装置１とクライアント装置３は、ネットワーク５を介して接続されている。

クライアント側のR/W４には非接触IC(Integrated Circuit)チップ１３−１が内蔵された携帯電話機６−１と、非接触ICチップ１３−２が内蔵されたカード６−２（例えば、Suica（登録商標）などのカード）が近接されており、電磁誘導を用いた近距離通信を介してクライアント装置３に接続されている。なお、以下において、非接触ICチップ１３−１または１３−２を特に区別する必要がない場合、単に非接触ICチップ１３と称する。

サーバ装置１には、サーバアプリケーション１１、DB管理アプリケーション５１、および状態変更アプリケーション５２が実装されている。

サーバアプリケーション１１は、クライアントアプリケーション１２との間で、コマンドのやり取り（通信）を行う。ここで、サーバアプリケーション１１とクライアントアプリケーション１２との間でやりとりされるコマンドは、互いが共通に有するトランザクション鍵で暗号化される。即ち、サーバアプリケーション１１は、クライアントアプリケーション１２と通信する場合、非接触ICチップ１３が有している暗号鍵と共通の鍵（または対応する鍵）を鍵格納DB７から取得し、HSM２に供給するとともに、クライアントアプリケーション１２と通信するためのトランザクション鍵の生成をHSM２に依頼する。その結果得られるトランザクション鍵を用いて、サーバアプリケーション１１は、非接触ICチップ１３に送信するコマンドを暗号化したり、非接触ICチップ１３から受信した暗号化されたコマンドを復号する。

HSM２から供給されたトランザクション鍵を用いて、非接触ICチップ１３とやりとりするコマンドの暗号化および復号化をサーバアプリケーション１１が行うことにより、HSM２にコマンドの暗号化や復号化を依頼する場合と比較して、HSM２の負荷を軽減させ、HSM２を有効に利用することができる。

DB管理アプリケーション５１は、鍵格納DB７に記憶されている暗号鍵パッケージ設定情報DB、暗号鍵情報DB、およびパッケージ情報DB（図５で後述）を管理する。

状態変更アプリケーション５２は、鍵格納DB７に記憶されている非接触ICチップ１３のパッケージ（暗号鍵）の利用の可否を表す情報であるパッケージ状態を変更する。

例えば、DB管理アプリケーション５１は、非接触ICチップ１３−１の暗号鍵を鍵格納DB７に登録したり、更新したりする。また、状態変更アプリケーション５２は、非接触ICチップ１３−１のパッケージの利用の可否を表すパッケージ状態を変更する。サーバアプリケーション１１は、非接触ICチップ１３−１のパッケージ状態が利用可能な状態である場合に、非接触ICチップ１３−１のパッケージ（または暗号鍵）を鍵格納DB７から取得することができる。

鍵格納DB７は、例えば、ハードディスクなどの記録媒体を有する記憶装置であり、図５を参照して後述する暗号鍵パッケージ設定情報DB、暗号鍵情報DB、およびパッケージ情報DBを記憶する。なお、鍵格納DB７に記憶されている情報は、HSM２と共通に有する鍵で暗号化されている。

HSM２は、耐タンパ性を有する装置であり、サーバアプリケーション１１からのトランザクション鍵の生成依頼に基づき、非接触ICチップ１３との間で相互認証を行い、その結果得られるトランザクション鍵をサーバアプリケーション１１に供給する。また、HSM２は、非接触ICチップ１３ごとのパッケージ（図２を参照して上述した発行パッケージやサービス登録パッケージ）を生成する。

クライアント装置３のクライアントアプリケーション１２は、所定の要求をサーバ装置１のサーバアプリケーション１１に送信するとともに、サーバアプリケーション１１からコマンドが送信されてきたとき、それをR/W４を介して非接触ICチップ１３に送信し、実行させる。

非接触ICチップ１３は、R/W４を介してクライアントアプリケーション１２から送信されてきたコマンドに施されている暗号化をHSM２との相互認証で得たトランザクション鍵で復号し、それを実行する。

このような構成を有する電子マネーシステムにおいて、例えば、非接触ICチップ１３に記憶されている電子マネーを用いて携帯電話機６−１またはカード６−２の所有者であるユーザが購入した商品の代金を支払う場合、クライアント装置３のクライアントアプリケーション１２により、サーバ装置１のサーバアプリケーション１１に対して、商品の代金の支払い要求が送信され、その要求を受信したサーバアプリケーション１１により、電子マネーの残高の読み出しを非接触ICチップ１３に要求するコマンド（Readコマンド）が生成される。

サーバアプリケーション１１により生成されたReadコマンドは、トランザクション鍵による暗号化が施された後、ネットワーク５、クライアント装置３のクライアントアプリケーション１２、およびR/W４を介して非接触ICチップ１３に送信され、非接触ICチップ１３において復号され、実行される。Readコマンドが実行されることによって読み出された残高は、非接触ICチップ１３によりトランザクション鍵で暗号化が施された後、サーバアプリケーション１１に対するレスポンスとして、R/W４、クライアント装置３のクライアントアプリケーション１２、ネットワーク５、およびサーバ装置１のサーバアプリケーション１１に送信される。サーバアプリケーション１１は、非接触ICチップ１３から送信されてきた暗号化された残高を復号し、その結果得られる残高を取得する。

これにより、サーバアプリケーション１１は、非接触ICチップ１３に記憶されている現在の電子マネーの残高を確認することができる。

そして、残高の確認後、サーバアプリケーション１１により、電子マネーの残高の書き換え（商品の代金の分だけ減額した残高への書き換え）を非接触ICチップ１３に要求するコマンド（Writeコマンド）が生成される。

サーバアプリケーション１１により生成されたWriteコマンドは、先に送信されたReadコマンドと同様に、トランザクション鍵による暗号化が施された後、ネットワーク５、クライアント装置３のクライアントアプリケーション１２、およびR/W４を介して非接触ICチップ１３に送信され、復号され、実行される。このWriteコマンドには、残高をいくらにするのかを表す情報なども含まれている。これにより、非接触ICチップ１３に記憶されている電子マネーの残高が商品の代金の分だけ減額された状態になる。

例えば、残高の減額が完了したことを通知するメッセージが非接触ICチップ１３からサーバアプリケーション１１に送信されるなどの処理が行われた後、一連の処理が終了される。このような一連の処理により、商品の代金の支払いが実現される。

このような構成からなるサーバ−クライアントシステムにより、以上のような商品の代金の支払いの他に、例えば、店舗が発行するポイントの管理や、電車の駅の改札機としてクライアント装置３が設けられている場合の乗車料金の支払いなどが実現される。ポイントの管理や乗車料金の支払いの場合も、基本的には、上述した代金の支払いの場合と同様の処理が図３の各装置により行われる。

図４は、サーバ装置１のハードウエア構成例を示すブロック図である。

CPU（Central Processing Unit）１０１は、ROM（Read Only Memory）１０２、または記憶部１０８に記憶されているプログラムに従って各種の処理を実行する。RAM（Random Access Memory）１０３には、CPU１０１が実行するプログラムやデータなどが適宜記憶される。これらのCPU１０１、ROM１０２、およびRAM１０３は、バス１０４により相互に接続されている。

CPU１０１にはまた、バス１０４を介して入出力インタフェース１０５が接続されている。入出力インタフェース１０５には、キーボード、マウス、マイクロホンなどよりなる入力部１０６、ディスプレイ、スピーカなどよりなる出力部１０７が接続されている。CPU１０１は、入力部１０６から入力される指令に対応して各種の処理を実行する。そして、CPU１０１は、処理の結果を出力部１０７に出力する。

入出力インタフェース１０５に接続されている記憶部１０８は、例えばハードディスクからなり、CPU１０１が実行するプログラムや各種のデータを記憶する。通信部１０９は、インターネットやローカルエリアネットワークなどのネットワークを介して、または直接に接続された外部の装置と通信する。

なお、通信部１０９は、無線または有線による通信を行うものでもよいし、無線と有線の両方の通信が可能なものでもよい。さらに、その通信方式も特に限定されず、例えば、無線の場合、IEEE(The Institute of Electrical and Electronic Engineers)802.11a，802.11b、および802.11gなどの無線LAN（Local Area Network）、またはBluetooth等様々な無線通信方式が利用可能である。同様に、有線の場合も、IEEE1394，Ethernet（登録商標）やUSB（Universal Serial Bus）等様々な有線通信方式が利用可能である。

入出力インタフェース１０５に接続されているドライブ１１０は、磁気ディスク、光ディスク、光磁気ディスク、或いは半導体メモリなどのリムーバブルメディア１２１が装着されたとき、それらを駆動し、そこに記録されているプログラムやデータなどを取得する。取得されたプログラムやデータは、必要に応じて記憶部１０８に転送され、記憶される。また、プログラムやデータは、通信部１０９を介して取得され、記憶部１０８に記憶されてもよい。

以上のように構成されるサーバ装置１では、例えば、記憶部１０８に記憶されているサーバアプリケーション１１、DB管理アプリケーション５１、および状態変更アプリケーション５２のプログラムが、RAM１０３に一旦ロード（記憶）され、CPU１０１により実行される。

なお、本実施の形態では、サーバアプリケーション１１、DB管理アプリケーション５１、および状態変更アプリケーション５２のすべてが１台のサーバ装置１で実行されることとするが、サーバアプリケーション１１、DB管理アプリケーション５１、および状態変更アプリケーション５２のそれぞれは、異なる装置（コンピュータなど）で別々に実行されてもよい。

図５は、鍵格納DB７が記憶する暗号鍵パッケージ設定情報DB、暗号鍵情報DB、およびパッケージ情報DBの例を示している。

暗号鍵パッケージ設定情報DBには、サーバアプリケーション１１が通信する非接触ICチップ１３ごとに、暗号鍵パッケージ設定情報が記憶される。即ち、暗号鍵パッケージ設定情報DBには、「パッケージ種別」、「関連エリア」、「関連サービス」、「パッケージ状態」、および「パッケージ」のそれぞれの設定項目と、それに対する設定値が、非接触ICチップ１３ごとに記憶される。なお、設定項目「パッケージ種別」、「関連エリア」、および「関連サービス」は、パッケージを生成するために必要な情報であり、それらをパッケージ生成情報と称する。また、設定項目「関連エリア」および「関連サービス」は、非接触ICチップ１３の暗号鍵を表す暗号鍵設定情報であり、設定項目「パッケージ」は、パッケージを表すパッケージ設定情報である。

設定項目「パッケージ種別」の設定値には、上述した「発行パッケージ」や「サービス登録パッケージ」などの、パッケージ生成情報により生成されるパッケージの種別を表す情報が入力される。

設定項目「関連エリア」の設定値には、非接触ICチップ１３のエリアの領域に記憶される暗号鍵であって、暗号鍵情報DB内に記憶されている暗号鍵を示す情報が入力される。設定項目「関連サービス」の設定値には、非接触ICチップ１３のサービスの領域に記憶される暗号鍵であって、暗号鍵情報DB内に記憶されている暗号鍵を示す情報が入力される。

設定項目「状態」の設定値には、非接触ICチップ１３のパッケージの利用の可否を表す利用可能状態が入力される。なお、パッケージの利用可能状態としては、「利用停止」、「利用可能」、および「利用不可」（図６を参照して後述）がある。

設定項目「パッケージ」の設定値には、パッケージ生成情報に基づいて生成され、パッケージ情報DB内に記憶されているパッケージを示す情報が入力される。

図５の例では、暗号鍵パッケージ設定情報DBは、非接触ICチップ１３−１に対する情報として、設定項目「パッケージ種別」、「関連エリア」、「関連サービス」、「状態」、および「パッケージ」のそれぞれに対して、設定値「発行パッケージ」、「エリア１」、「サービス１」、「利用停止」、および「パッケージ１」を記憶している。

また、暗号鍵パッケージ設定情報DBは、非接触ICチップ１３−２に対する情報として、設定項目「パッケージ種別」、「関連エリア」、「関連サービス」、「状態」、および「パッケージ」のそれぞれに対して、設定値「発行パッケージ」、「エリア２」、「サービス２」、「利用停止」、および「パッケージ２」を記憶している。

暗号鍵情報DBには、非接触ICチップ１３の暗号鍵情報が記憶される。即ち、暗号鍵情報DBには、非接触ICチップ１３の暗号鍵と、それを識別する暗号鍵識別情報が対応付けて記憶される。

図５の例では、暗号鍵情報DBには、「システム」の暗号鍵識別情報に対応して「暗号鍵１」が記憶されている。また、「エリア１」の暗号鍵識別情報に対応して「暗号鍵２」が記憶され、「サービス１」の暗号鍵識別情報に対応して「暗号鍵３」が記憶されている。さらに「エリア２」の暗号鍵識別情報に対応して「暗号鍵４」が記憶され、「サービス２」の暗号鍵識別情報に対応して「暗号鍵５」が記憶されている。

また、暗号鍵情報DBに記憶されている暗号鍵は、その暗号鍵識別情報を暗号鍵パッケージ設定情報DBの設定項目「関連エリア」の設定値と同一名とすることにより、暗号鍵パッケージ設定情報DB内の所定の非接触ICチップ１３の設定項目「関連エリア」と紐付けられている。

即ち、暗号鍵情報DBにおいて「エリア１」の暗号鍵識別情報を有する「暗号鍵２」は、暗号鍵パッケージ設定情報DBにおいて「エリア１」とされている非接触ICチップ１３−１の設定項目「関連エリア」と紐付けられている。また、暗号鍵情報DBにおいて「サービス１」の暗号識別情報を有する「暗号鍵３」は、暗号鍵パッケージ設定情報DBにおいて「サービス１」とされている非接触ICチップ１３−１の設定項目「関連サービス」と紐付けられている。同様に、暗号鍵情報DBにおいて「エリア２」の暗号鍵識別情報を有する「暗号鍵４」は、暗号鍵パッケージ設定情報DBにおいて「エリア２」とされている非接触ICチップ１３−２の設定項目「関連エリア」と紐付けられ、暗号鍵情報DBにおいて「サービス２」の暗号識別情報を有する「暗号鍵５」は、暗号鍵パッケージ設定情報DBにおいて「サービス２」とされている非接触ICチップ１３−２の設定項目「関連サービス」と紐付けられている。

これにより、暗号鍵パッケージ設定情報DBにおいて、非接触ICチップ１３−１に対する設定項目「関連エリア」の設定値として、「暗号鍵２」が入力（設定）されていることと等しいことになる。また、非接触ICチップ１３−１に対する設定項目「関連サービス」の設定値として、「暗号鍵３」が入力されていることと等しいことになる。非接触ICチップ１３−２の「関連エリア」および「関連サービス」に対応する暗号鍵についても同様である。

一方、パッケージ情報DBには、非接触ICチップ１３のパッケージ情報が記憶される。即ち、パッケージ情報DBには、非接触ICチップ１３のパッケージと、それを識別するパッケージ識別情報が対応付けて記憶される。

図５の例では、パッケージ情報DBには、「パッケージ１」のパッケージ識別情報に対応して「発行パッケージA」が記憶されている。また、「パッケージ２」のパッケージ識別情報に対応して「発行パッケージB」が記憶されている。

また、パッケージ情報DBに記憶されているパッケージは、そのパッケージ識別情報を暗号鍵パッケージ設定情報DBの設定項目「パッケージ」の設定値と同一名とすることにより、暗号鍵パッケージ設定情報DB内の所定の非接触ICチップ１３の設定項目「パッケージ」と紐付けられている。

即ち、パッケージ情報DBにおいて「パッケージ１」のパッケージ識別情報を有する「発行パッケージA」は、暗号鍵パッケージ設定情報DBにおいて「パッケージ１」とされている非接触ICチップ１３−１の設定項目「パッケージ」と紐付けられている。また、パッケージ情報DBにおいて「パッケージ２」のパッケージ識別情報を有する「発行パッケージB」は、暗号鍵パッケージ設定情報DBにおいて「パッケージ２」とされている非接触ICチップ１３−２の設定項目「パッケージ」と紐付けられている。

これにより、暗号鍵パッケージ設定情報DBにおいて、非接触ICチップ１３−１に対する設定項目「パッケージ」の設定値として、「発行パッケージA」が入力されていることと等しいことになる。また、非接触ICチップ１３−２に対する設定項目「パッケージ」の設定値として、「発行パッケージB」が入力されていることと等しいことになる。

なお、非接触ICチップ１３−１の設定項目「パッケージ」と紐付けられている「発行パッケージA」は、DB管理アプリケーション５１がパッケージ種別「発行パッケージ」、システムおよびエリアの領域の暗号鍵「暗号鍵１」および「暗号鍵２」をHSM２に供給して依頼することにより、生成されたパッケージ（以下、生成パッケージともいう）である。

以上のように、鍵格納DB７において、暗号鍵パッケージ設定情報DBは、サーバ装置１が通信する非接触ICチップ１３ごとに、設定項目「パッケージ種別」、「関連エリア」、「関連サービス」、「状態」、および「パッケージ」と、その設定値を記憶する。

暗号鍵情報DBは、非接触ICチップ１３の設定項目「関連エリア」および「関連サービス」と紐付けられた暗号鍵を記憶する。パッケージ情報DBは、非接触ICチップ１３の設定項目「パッケージ」と紐付けられた生成パッケージを記憶する。

なお、本実施の形態では、システムの種類を１つに限定し、各非接触ICチップ１３が同一の「システム」の「暗号鍵１」を使用するものとして、暗号鍵パッケージ設定情報DBにおいて非接触ICチップ１３ごとに「システム」の暗号鍵を設定する設定項目を持たなくても、非接触ICチップ１３のシステムの領域に記憶される暗号鍵として暗号情報DBの「暗号鍵１」が用いられるものとするが、複数のシステムが存在し、サーバアプリケーション１１が複数の「システム」に対応する場合には、暗号鍵パッケージ設定情報DBにおいて、非接触ICチップ１３の設定項目「関連エリア」や「関連システム」の他に、例えば、「関連システム」という設定項目を設け、その設定項目を、暗号鍵情報DBに記憶された「システム」の「暗号鍵１」と紐付けるようにすることができる。

また、本実施の形態では、暗号鍵情報DBに記憶されている暗号鍵は、その暗号鍵識別情報を暗号鍵パッケージ設定情報DBの設定値と同一名とすることにより、暗号鍵パッケージ設定情報DBの設定項目と紐付けられるようにしたが、暗号鍵パッケージ設定情報DBの設定値と暗号鍵情報DBの暗号鍵識別情報は必ずしも同一名である必要はなく、別々の名前であってもよい。その場合、暗号鍵パッケージ設定情報DBの設定項目と紐付けられる暗号鍵情報DBの暗号鍵識別情報を表す紐付け情報が新たに設けられる。

図６は、暗号鍵パッケージ設定情報DB内の非接触ICチップ１３の設定項目「状態」の設定値として取り得るパッケージの利用可能状態（以下、パッケージ状態ともいう）を示している。

暗号鍵パッケージ設定情報DBの設定項目「状態」の設定値として取り得るパッケージ状態としては、図６に示すように、「利用停止」、「利用不可」、および「利用可能」の３種類がある。

ある非接触ICチップ１３の暗号鍵パッケージ設定情報を、暗号鍵パッケージ設定情報DBに初めて登録したとき、DB管理アプリケーション５１は、その非接触ICチップ１３の設定項目「状態」の設定値を「利用停止」にする。「利用停止」のパッケージ状態は、非接触ICチップ１３と通信するために必要な情報（システム、エリア、サービスの領域の暗号鍵、およびパッケージ）が鍵格納DB７には登録されているが非接触ICチップ１３との通信を許可しない状態を表す。このパッケージ状態は、例えば、サーバアプリケーション１１が実際に非接触ICチップ１３と通信を行う前に、暗号鍵やパッケージの登録状態を確認する場合や、暗号鍵の利用開始後に、その暗号鍵の利用（サービスの利用）を一旦停止させたい場合などに設定される。

「利用停止」のパッケージ状態から、暗号鍵の利用（サービスの利用）を開始させる場合、即ち、非接触ICチップ１３とサーバアプリケーション１１との通信を許可する場合、状態変更アプリケーション５２により、非接触ICチップ１３の設定項目「状態」が「利用可能」に設定（変更）される。状態変更アプリケーション５２は、非接触ICチップ１３の設定項目「状態」を、「利用停止」から「利用可能」に変更することができ、また、「利用可能」から「利用停止」に変更することもできる。

非接触ICチップ１３のパッケージ状態が「利用可能」または「利用停止」である場合に、非接触ICチップ１３の設定項目「パッケージ」と紐付けられていたパッケージ情報DB内の生成パッケージが削除された場合、その非接触ICチップ１３のパッケージ状態が「利用不可」に変更される。そして、非接触ICチップ１３の生成パッケージがパッケージ情報DB内に登録（記憶）され、かつ、暗号鍵パッケージ設定情報DB内の非接触ICチップ１３の設定項目「パッケージ」と紐付けられた場合、非接触ICチップ１３のパッケージ状態が「利用不可」から「利用停止」に変更される。そして、必要に応じて上述の登録状態の確認などが行われた後、非接触ICチップ１３のパッケージ状態が「利用停止」から「利用可能」に変更される。

図７は、DB管理アプリケーション５１の機能的な構成例を示すブロック図である。

DB管理アプリケーション５１は、入力制御部６１、パッケージ生成部６２、判定部６３、要求応答部６４、および状態設定部６５により構成される。

入力制御部６１は、ユーザの操作に基づいて、暗号鍵パッケージ設定情報DBまたは暗号鍵情報DBへの非接触ICチップ１３の暗号鍵パッケージ設定情報または暗号鍵情報それぞれの登録（記憶）を行う。

即ち、入力制御部６１は、ユーザの操作により入力された、新たな非接触ICチップ１３に対するパッケージ生成情報を暗号鍵パッケージ設定情報DBに登録する。また、入力制御部７１は、その新たな非接触ICチップ１３のエリアの領域またはサービスの領域それぞれに記憶される暗号鍵を暗号鍵情報DBに登録し、登録した暗号鍵を識別する暗号鍵識別情報を、暗号鍵パッケージ設定情報DBの設定項目「関連エリア」または「関連サービス」の設定値と同一名とすることにより、暗号鍵パッケージ設定情報DBの設定項目「関連エリア」または「関連サービス」と紐付ける。なお、入力制御部６１は、ユーザの操作に基づいて、暗号鍵情報DBに登録されている非接触ICチップ１３の暗号鍵を更新することもできる。

パッケージ生成部６２は、暗号鍵パッケージ設定情報DB内の各非接触ICチップ１３の設定項目「パッケージ」と紐付けられる生成パッケージがパッケージ情報DBに登録されていない場合に、パッケージ（生成パッケージ）を生成し、パッケージ情報DBに登録する。なお、実際には、HSM２がパッケージ生成情報に基づいてパッケージを生成するので、パッケージ生成部６２は、必要なパッケージ生成情報（それと紐付けられている暗号鍵を含む）を取得してHSM２にパッケージの生成を依頼し、HSM２で生成されたパッケージ（生成パッケージ）を受け取り、パッケージ情報DBに登録する。そして、パッケージ生成部６２は、パッケージ情報DBに登録した生成パッケージを、暗号鍵パッケージ設定情報DB内の設定項目「パッケージ」と紐付ける。

判定部６３は、暗号鍵情報DBに記憶されている暗号鍵が削除された場合、現在パッケージ情報DBに登録されている生成パッケージに影響があるか否かを判定する。即ち、生成パッケージは、上述したように、システム、エリア、またはサービスの領域に対応する暗号鍵に基づいて生成されるため、パッケージの生成に使用した暗号鍵が削除された場合、生成パッケージにも影響を及ぼす。従って、暗号鍵の削除が現在パッケージ情報DBに登録されている生成パッケージに影響を及ぼす場合には、判定部６３は、生成パッケージに影響のある暗号鍵が削除された旨を入力制御部６１および状態設定部６４に供給する。

これにより、入力制御部６１は、暗号鍵が削除された非接触ICチップ１３の設定項目「パッケージ」と紐付けられている生成パッケージをパッケージ情報DBから削除し、状態設定部６４は、非接触ICチップ１３の設定項目「状態」の設定値を「利用不可」に設定する。

状態設定部６４は、暗号鍵パッケージ設定情報DB内の各非接触ICチップ１３の設定項目「状態」の設定値（パッケージ状態）を設定する。例えば、状態設定部６４は、新たな非接触ICチップ１３の暗号鍵パッケージ設定情報が登録された場合に、その新たな非接触ICチップ１３の設定項目「状態」の設定値を「利用停止」に設定する。また例えば、状態設定部６４は、非接触ICチップ１３の生成パッケージに影響のある暗号鍵が削除された旨が判定部６３から供給された場合、その非接触ICチップ１３の設定項目「状態」の設定値を「利用不可」に設定する。

要求応答部６５は、サーバアプリケーション１１から所定の非接触ICチップ１３のパッケージ（生成パッケージ）の利用要求が供給された場合、その非接触ICチップ１３のパッケージ状態に応じて応答する。即ち、利用要求があった非接触ICチップ１３の設定項目「状態」の設定値が「利用停止」または「利用不可」である場合には、要求応答部６５は、サーバアプリケーション１１からのパッケージの利用要求に対して「利用不可」（の返答）を供給する。一方、パッケージの利用要求があった非接触ICチップ１３の設定項目「状態」の設定値が「利用可能」である場合には、要求応答部６５は、サーバアプリケーション１１からのパッケージの利用要求に対して、利用要求があった非接触ICチップ１３のパッケージを供給する（返答する）。

次に、非接触ICチップ１３の各種の情報を鍵格納DB７に登録する場合の動作を、図５の非接触ICチップ１３−１のデータ例で説明する。

初めに、入力制御部６１は、非接触ICチップ１３−１の暗号鍵パッケージ設定情報を、暗号鍵パッケージ設定情報DBに登録する。即ち、入力制御部６１は、非接触ICチップ１３−１の設定項目「パッケージ種別」、「関連エリア」、および「関連サービス」の設定値を、それぞれ、「発行パッケージ」、「エリア１」、および「サービス１」に設定する。次に、入力制御部６１は、非接触ICチップ１３−１のエリアの領域およびサービスの領域それぞれに記憶される暗号鍵２および暗号鍵３を暗号鍵情報DBに登録し、暗号鍵２の暗号鍵識別情報を、非接触ICチップ１３−１の設定項目「関連エリア」の設定値と同一名の「エリア１」に設定するとともに、暗号鍵３の暗号鍵識別情報を、非接触ICチップ１３−１の設定項目「関連サービス」の設定値と同一名の「サービス１」に設定し、それぞれ紐付ける。

そして、パッケージ生成部６２は、「システム」の「暗号鍵１」と、非接触ICチップ１３−１のエリアの領域に対応する「暗号鍵２」とを取得し、パッケージ種別「発行パッケージ」のパッケージの生成をHSM２に依頼する。そして、パッケージ生成部６２は、パッケージ生成の依頼に応じて、HSM２から供給された生成パッケージである「発行パッケージA」を、パッケージ情報DBに登録し、そのパッケージ識別情報を、非接触ICチップ１３−１の設定項目「パッケージ」の設定値と同一名の「パッケージ１」に設定し、紐付ける。

そして、状態設定部６４は、非接触ICチップ１３−１の設定項目「状態」の設定値を「利用停止」に設定する。

以上のようにして、非接触ICチップ１３−１と通信するために必要な情報が、鍵格納DB７の暗号鍵パッケージ設定情報DB、暗号鍵情報DB、およびパッケージ情報DBに登録（記憶）される。

次に、図８乃至図１２を参照して、非接触ICチップ１３−１のエリアおよびサービスの領域に記憶されている暗号鍵２および３が暗号鍵８および９にそれぞれ更新（変更）されるときに、DB管理アプリケーション５１が生成パッケージを更新するパッケージ更新処理について説明する。

初めに、入力制御部６１は、ユーザの操作に従い、非接触ICチップ１３−１のエリアおよびサービスの領域に記憶されているのと共通の暗号鍵２および３を、暗号鍵情報DBから削除する（図８）。

判定部６３は、暗号鍵情報DBにおける暗号鍵２および３の削除が、現在パッケージ情報DBに登録されている生成パッケージに影響があるか否かを判定する。暗号鍵２および３の削除により、暗号鍵２に基づいて生成された発行パッケージAも変更する必要があるので、判定部６３は、生成パッケージに影響のある暗号鍵が削除された旨を入力制御部６１および状態設定部６４に供給する。

状態設定部６４は、非接触ICチップ１３−１の設定項目「状態」の設定値を「利用不可」（のパッケージ状態）に設定（変更）する（図９）。

入力制御部６１は、パッケージ情報DBの「発行パッケージA」を削除する（図１０）。

そして、入力制御部６１は、新たに入力された暗号鍵８および９を、それぞれ、非接触ICチップ１３−１のエリアおよびサービスの領域に記憶させる暗号鍵として、暗号鍵情報DBに登録する（図１１）。

また、入力制御部６１は、暗号鍵８の暗号鍵識別情報を、非接触ICチップ１３−１の設定項目「関連エリア」の設定値と同一名の「エリア１」に設定するとともに、暗号鍵９の暗号鍵識別情報を、非接触ICチップ１３−１の設定項目「関連サービス」の設定値と同一名の「サービス１」に設定し、それぞれ紐付ける（図１１）。

パッケージ生成部６２は、暗号鍵パッケージ設定情報DBにおいて非接触ICチップ１３−１の設定項目「パッケージ」と紐付けられた生成パッケージがパッケージ情報DBにないことを検出し、パッケージを生成して、パッケージ情報DBに登録する。

即ち、パッケージ生成部６２は、非接触ICチップ１３−１のパッケージ種別「発行パッケージ」と、システムおよびエリアの領域の暗号鍵「暗号鍵１」および「暗号鍵８」とをHSM２に供給して依頼することにより生成されたパッケージである「発行パッケージY」を取得し、パッケージ情報DBに登録する。パッケージ生成部６２は、パッケージ情報DBに登録した「発行パッケージY」のパッケージ識別情報を、暗号鍵パッケージ設定情報DB内の非接触ICチップ１３−１の設定項目「パッケージ」の設定値「パッケージ１」と同一名に設定し、紐付ける（図１２）。

以上のように、非接触ICチップ１３−１の暗号鍵２および３が暗号鍵８および９に更新された場合、鍵格納DB７内の非接触ICチップ１３−１の生成パッケージが発行パッケージAから発行パッケージYに更新される。

図１３のフローチャートを参照して、DB管理アプリケーション５１のパッケージ更新処理についてさらに説明する。なお、図１３においても、非接触ICチップ１３−１のエリアおよびサービスの領域に記憶されている暗号鍵２および３が暗号鍵８および９にそれぞれ更新（変更）される場合を例とする。

非接触ICチップ１３−１のエリアおよびサービスの領域に記憶されているのと共通の暗号鍵２および３を暗号鍵情報DBから削除するユーザの操作（入力）が行われると、ステップＳ１１において、入力制御部６１は、非接触ICチップ１３−１の暗号鍵情報を暗号鍵情報DBから削除する。即ち、入力制御部６１は、暗号鍵パッケージ設定情報DBの非接触ICチップ１３−１の暗号鍵２および３を暗号鍵情報DBから削除して、ステップＳ１２に進む。

ステップＳ１２において、判定部６３は、暗号鍵情報DBにおける暗号鍵２および３の削除が、パッケージ情報DBに登録されている非接触ICチップ１３の現在の生成パッケージに影響があるか否かを判定する。ステップＳ１２で、現在の生成パッケージに影響がないと判定された場合、処理が終了される。

一方、ステップＳ１２で、現在の生成パッケージに影響があると判定された場合、ステップＳ１３に進み、判定部６３は、生成パッケージに影響のある暗号鍵が削除された旨を入力制御部６１および状態設定部６４に供給する。また、ステップＳ１３において、状態設定部６４は、非接触ICチップ１３−１の設定項目「状態」の設定値を「利用不可」（のパッケージ状態）に設定（変更）して、ステップＳ１４に進む。

ステップＳ１４において、入力制御部６１は、パッケージ情報DB内の該当する生成パッケージを削除する。即ち、ステップＳ１４において、入力制御部６１は、非接触ICチップ１３−１の設定項目「パッケージ」と紐付けられているパッケージ情報DBの「発行パッケージA」を削除して、ステップＳ１５に進む。

ステップＳ１５において、入力制御部６１は、新たな暗号鍵情報を暗号鍵情報DBに登録して、ステップＳ１６に進む。即ち、入力制御部６１は、ユーザの操作により新たに入力された非接触ICチップ１３−１のエリアおよびサービスの領域にそれぞれ記憶される暗号鍵８および暗号鍵９を暗号鍵情報DBに記憶させ、それらの暗号鍵識別情報を、暗号鍵パッケージ設定情報DBにおける非接触ICチップ１３−１の設定項目「関連エリア」および「関連サービス」の設定値と同一名の「エリア１」および「サービス１」にそれぞれ設定し、紐付ける。

ステップＳ１６において、パッケージ生成部６２は、暗号鍵パッケージ設定情報DBにおいて非接触ICチップ１３−１の設定項目「パッケージ」と紐付けられた生成パッケージがパッケージ情報DBにないことを検出し、パッケージ生成処理を実行する。このパッケージ生成処理の詳細は、図１４を参照して説明するが、この処理により、非接触ICチップ１３−１の新たな生成パッケージである「発行パッケージY」がパッケージ情報DBに登録される。

ステップＳ１７において、パッケージ生成部６２は、パッケージ情報DBに登録した「発行パッケージY」のパッケージ識別情報を、暗号鍵パッケージ設定情報DB内の非接触ICチップ１３−１の設定項目「パッケージ」の設定値「パッケージ１」と同一名に設定することにより、パッケージ情報DBの「発行パッケージY」を、暗号鍵パッケージ設定情報DBの設定項目「パッケージ」と紐付けて、ステップＳ１８に進む。

ステップＳ１８において、状態設定部６４は、非接触ICチップ１３−１のパッケージ状態を「利用停止」に設定し、処理を終了する。即ち、状態設定部６４は、暗号鍵パッケージ設定情報DBにおける非接触ICチップ１３−１の設定項目「状態」の設定値を「利用停止」に設定して、処理を終了する。

次に、図１４のフローチャートを参照して、図１３のステップＳ１５のパッケージ生成処理について説明する。

初めに、ステップＳ３１において、パッケージ生成部６２は、非接触ICチップ１３−１のパッケージ生成情報、即ち、非接触ICチップ１３−１の設定項目「パッケージ種別」、設定項目「関連エリア」、および設定項目「関連サービス」の設定値を取得して、ステップＳ３２に進む。

ステップＳ３２において、パッケージ生成部６２は、非接触ICチップ１３−１の設定項目「関連エリア」と紐付けられている暗号鍵８を暗号鍵情報DBから取得する。また、パッケージ生成部６２は、非接触ICチップ１３−１のシステムの領域に記憶されている暗号鍵１も暗号鍵情報DBから取得する。

ステップＳ３２の処理後、ステップＳ３３に進み、パッケージ生成部６２は、パッケージ種別を表す「発行パッケージ」と、システムおよびエリアの領域それぞれの暗号鍵である「暗号鍵１」および「暗号鍵８」をHSM２に供給し、パッケージの生成をHSM２に依頼する。

ステップＳ３４において、パッケージ生成部６２は、生成された「発行パッケージY」をHSM２から受け取り、パッケージ情報DBに登録して、図１３のステップＳ１７に進む。

以上のように、暗号鍵情報DBにおいて非接触ICチップ１３−１の設定項目「関連エリア」および「関連サービス」と紐付けられている暗号鍵２および３が削除された場合、判定部６３は、暗号鍵２および３の削除が非接触ICチップ１３−１の生成パッケージに影響があるか否かを判定する。

そして、非接触ICチップ１３−１の生成パッケージに影響があると判定された場合、入力制御部６１は、削除された暗号鍵２および暗号鍵３に対応する生成パッケージである発行パッケージAを、パッケージ情報DBから削除する。また、状態設定部６４は、非接触ICチップ１３−１の設定項目「状態」の設定値を「利用不可」（のパッケージ状態）に設定（変更）する。

削除された暗号鍵２および３に対応する発行パッケージAがパッケージ情報DBから削除され、削除された暗号鍵２および３に代わる新たな暗号鍵８および９が、非接触ICチップ１３−１のエリアまたはサービスの暗号鍵として暗号鍵情報DBに記憶された場合、パッケージ生成部６２は、非接触ICチップ１３−１の新たな生成パッケージである発行パッケージYを生成し、暗号鍵パッケージ設定情報DBの設定項目「パッケージ」と紐付けて、パッケージ情報DBに登録する（記憶させる）。

従って、鍵格納DB７では、非接触ICチップ１３−１の暗号鍵または生成パッケージ（の実体）を、非接触ICチップ１３−１に対する設定情報を格納した暗号鍵パッケージ設定情報DBとは独立した暗号鍵情報DBまたはパッケージ情報DBに記憶させたので、暗号鍵が変更された場合でも、暗号鍵パッケージ設定情報DBに記憶させた情報は、そのまま残しておくことができ、暗号鍵の変更によって変更が生じる情報だけを更新し、変更が生じない情報を再登録する作業を省略することができる。

以上から、図３のサーバクライアントシステムによれば、非接触ICチップ１３に提供する暗号鍵または生成パッケージを鍵格納DB７に記憶させることができる。また、鍵格納DB７に記憶された、非接触ICチップ１３に提供する暗号鍵または生成パッケージの変更を容易に行うことができる。

なお、DB管理アプリケーション５１は、生成パッケージに影響のある暗号鍵２および３が削除された旨を判定部６３から受け取った場合、図１５に示すように、暗号鍵２および３を有していた非接触ICチップ１３−１の暗号鍵パッケージ設定情報を一旦全て削除するようにさせることもできる。この場合、パッケージ更新処理は、図１６のフローチャートに従って実行される。

図１６のステップＳ６１乃至Ｓ６４の処理は、図１３のステップＳ１１乃至Ｓ１４の処理と同様であるので、その説明を省略する。

ステップＳ６４の処理後、ステップＳ６５において、入力制御部６１は、暗号鍵パッケージ設定情報DB内の非接触ICチップ１３−１の暗号鍵パッケージ設定情報を削除する。

ステップＳ６６において、入力制御部６１は、非接触ICチップ１３−１の暗号鍵パッケージ設定情報を暗号鍵パッケージ設定情報DBに再度登録する。

ステップＳ６７乃至Ｓ７０の処理は、図１３のステップＳ１５乃至Ｓ１８の処理と同様であるので、その説明を省略する。

図１３のパッケージ更新処理と図１６のパッケージ更新処理とは、例えば、モードを切り替えることなどによって選択可能とすることができる。図１３のパッケージ更新処理と図１６のパッケージ更新処理により鍵格納DB７に最終的に記憶される情報は同一であるが、図１６のパッケージ更新処理では、削除した情報と同一の情報を生成し、暗号鍵パッケージ設定情報DBに再度登録する必要があり、図１３のパッケージ更新処理に比べて処理量が多くなるため、より少ない処理で同一の情報を記憶することができる図１３のパッケージ更新処理が望ましい。

ところで、図１３や図１６のパッケージ更新処理では、削除された暗号鍵２および３に代わる新たな暗号鍵８および９が暗号鍵情報DBに登録された場合、非接触ICチップ１３−１の新たな発行パッケージYが即座に生成されるようになされていた。

しかしながら、非接触ICチップ１３−１の新たな暗号鍵８および９が登録されたときに即座に、それに対応するパッケージを生成するのではなく、ユーザに指定されたタイミングで生成するようにすることもできる。

図１７は、生成パッケージを、暗号鍵の変更に応じて即座に更新するのではなく、ユーザが指定（操作）したタイミングで更新するようにしたパッケージ更新処理のフローチャートを示している。

図１７のパッケージ更新処理は、ステップＳ８１乃至Ｓ８９の処理のうち、ステップＳ８６以外は、図１３のステップＳ１１乃至Ｓ１８と同様である。即ち、図１７のステップＳ８１乃至Ｓ８５の処理は、図１３のステップＳ１１乃至Ｓ１５にそれぞれ対応し、図１７のステップＳ８７乃至Ｓ８９の処理は、図１３のステップＳ１６乃至Ｓ１８にそれぞれ対応する。

ステップＳ８１乃至Ｓ８５では、暗号鍵パッケージ設定情報DBの非接触ICチップ１３−１の設定項目「関連エリア」および「関連サービス」と紐付けられている暗号鍵２および３が暗号鍵情報DBから削除され、それに伴い、非接触ICチップ１３−１の削除された暗号鍵２および暗号鍵３に対応する生成パッケージである発行パッケージAも、パッケージ情報DBから削除される。そして、暗号鍵２および３に代わる暗号鍵８および９が暗号鍵情報DBに登録される。

ステップＳ８６において、入力制御部６１は、新たな暗号鍵８および９に対応するパッケージ生成の指示がユーザからあったか否かを、ユーザの操作に基づいて判定し、パッケージ生成の指示があったと判定されるまで待機する。

ステップＳ８６で、新たな暗号鍵８および９に対応するパッケージ生成の指示があったと判定された場合、ステップＳ８７に進む。

そして、ステップＳ８７乃至Ｓ８９では、非接触ICチップ１３−１の暗号鍵８および９に対応する、新たな生成パッケージである「発行パッケージY」がパッケージ情報DBに登録され、暗号鍵パッケージ設定情報DBの設定項目「パッケージ」と紐付けられた後、非接触ICチップ１３−１のパッケージ状態が「利用停止」に設定されて、処理が終了される。

図１７のパッケージ更新処理によれば、非接触ICチップ１３−１用の暗号鍵２および３が暗号鍵８および９にそれぞれ変更されても、ユーザから指示があったタイミングでパッケージを生成することができる。

鍵格納DB７において、以上のパッケージ更新処理により非接触ICチップ１３の生成パッケージが更新された直後のパッケージ状態は、「利用停止」となっている。状態変更アプリケーション５２は、非接触ICチップ１３のパッケージ状態を、「利用可能」に変更することができる。

図１８は、状態変更アプリケーション５２によるパッケージ状態変更処理を示している。

即ち、ステップＳ１０１において、状態変更アプリケーション５２は、ユーザの操作により、パッケージ状態を変更する指示があったか否かを判定し、変更の指示があったと判定されるまで待機する。

ステップＳ１０１で、変更の指示があったと判定された場合、ステップＳ１０２に進み、状態変更アプリケーション５２は、その指示は、非接触ICチップ１３のパッケージ状態を「利用可能」に変更する指示であるか否かを判定する。

ステップＳ１０２で、変更の指示が非接触ICチップ１３のパッケージ状態を「利用可能」に変更する指示ではないと判定された場合、ステップＳ１０３に進み、状態変更アプリケーション５２は、非接触ICチップ１３のパッケージ状態を「利用停止」に設定（変更）する（非接触ICチップ１３の設定項目「状態」の設定値を「利用停止」に設定する）。

一方、ステップＳ１０２で、変更の指示が非接触ICチップ１３のパッケージ状態を「利用可能」に変更する指示であると判定された場合、ステップＳ１０４に進み、状態変更アプリケーション５２は、非接触ICチップ１３のパッケージ状態を「利用可能」に設定（変更）する（非接触ICチップ１３の設定項目「状態」の設定値を「利用可能」に設定する）。

ステップＳ１０３またはＳ１０４の処理後は、ステップＳ１０１に戻り、状態変更アプリケーション５２が終了されるまで、ステップＳ１０１以降の処理が繰り返される。

次に、要求応答部６５が行う、サーバアプリケーション１１からの生成パッケージの利用要求に応答する利用要求応答処理について、図１９のフローチャートを参照して説明する。

初めに、ステップＳ１１１において、要求応答部６５は、サーバアプリケーション１１から、鍵格納DB７に登録されている非接触ICチップ１３の生成パッケージの利用要求があったか否かが判定され、利用要求があったと判定されるまでステップＳ１１１の処理が繰り返される。

ステップＳ１１１で、非接触ICチップ１３の生成パッケージの利用要求があったと判定された場合、ステップＳ１１２に進み、要求応答部６５は、利用要求があった非接触ICチップ１３のパッケージ状態が「利用可能」であるか否かを判定する。

ステップＳ１１２で、利用要求があった非接触ICチップ１３のパッケージ状態が「利用可能」ではないと判定された場合、ステップＳ１１３に進み、要求応答部６５は、サーバアプリケーション１１からの非接触ICチップ１３の生成パッケージの利用要求に対して、「利用不可」を返答する。

一方、ステップＳ１１２で、利用要求があった非接触ICチップ１３のパッケージ状態が「利用可能」であると判定された場合、ステップＳ１１４に進み、要求応答部６５は、サーバアプリケーション１１からの非接触ICチップ１３の生成パッケージの利用要求に対して、要求された生成パッケージを供給する。

ステップＳ１１３またはＳ１１４の処理後は、ステップＳ１１１に戻り、DB管理アプリケーション５１が終了されるまで、ステップＳ１１１以降の処理が繰り返される。

以上のように、鍵格納DB７に新たに登録された非接触ICチップ１３や、生成パッケージ（暗号鍵）が更新された非接触ICチップ１３では、初期状態として、暗号鍵パッケージ設定情報DBのパッケージ状態が「利用停止」に設定されている。そして、図１８のパッケージ状態変更処理により、そのパッケージ状態を「利用可能」に変更したり、「利用停止」に変更したりすることができる。これにより、例えば、鍵格納DB７に登録（更新）した直後などに、非接触ICチップ１３の暗号鍵または生成パッケージの登録状態や動作の確認をしたりすることができる。また、開始されたサービスの利用（暗号鍵の利用）を一時停止させたりすることができる。

従来は、このような生成パッケージのパッケージ状態という設定項目がなかったため、非接触ICカード１３の所有者に正式にサービスを提供する前の試験的な生成パッケージの登録時などにおいて、サービスが利用されるおそれがあった。また、サービスの利用を制限（一時停止）したい場合には、鍵格納DB７に登録してある非接触ICチップ１３の暗号鍵や生成パッケージを一括削除するしか方法がなく、サービスの利用を制限するための処理が面倒であった。

これに対して、DB管理アプリケーション５１は、非接触ICチップ１３のパッケージ状態が「利用停止」である場合には、非接触ICチップ１３の暗号鍵および生成パッケージが鍵格納DB７に登録されている状態であっても、その利用（サービスの利用）を制限することができるので、非接触ICカード１３の所有者に正式にサービスを提供する前の試験的な生成パッケージの登録時などにおいて、サービスが不意に利用されることを防止することができる。また、サービスの利用を一時的に制限したいときにも、非接触ICチップ１３のパッケージ状態を「利用可能」から「利用停止」に変更するだけでよいので、容易にサービスの利用を制限することができる。

即ち、図３のサーバクライアントシステムによれば、非接触ICチップ１３に提供する暗号鍵または生成パッケージの変更を容易に行うことができる。

なお、上述した例では、暗号鍵パッケージ設定情報DBにおいて、非接触ICチップ１３の設定項目「状態」を、非接触ICチップ１３の生成パッケージの利用の可否を表す状態としたが、非接触ICチップ１３の暗号鍵の利用の可否を表す状態としてもよい。この場合、個別の暗号鍵について利用の可否を制限することができる。また、暗号鍵と生成パッケージの両方の利用の可否を表す状態それぞれを設定するようにしてもよい。

また、暗号鍵情報DBに登録される暗号鍵、または、パッケージ情報DBに登録される生成パッケージのいずれかを、複数の暗号鍵を組み合わせて生成される縮退鍵とすることもできる。

暗号鍵パッケージ設定情報DB、暗号鍵情報DB、パッケージ情報DBは、サーバ装置１とは独立した鍵格納DB７に記憶されるようにしたが、サーバ装置１の記憶部１０８に記憶させてもよい。

以上においては、制御対象のICチップが非接触型のICチップである場合の例について説明したが、同様にして、接触型のICチップや、非接触型と接触型の両方の機能を備えたICチップを制御対象とすることができる。

なお、本明細書において、フローチャートに記述されたステップは、記載された順序に沿って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理をも含むものである。

また、本明細書において、システムとは、複数の装置により構成される装置全体を表すものである。

なお、本発明の実施の形態は、上述した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能である。

非接触ICチップに記憶されている暗号鍵の例を示す図である。 従来の鍵格納DBに記憶されている暗号鍵の例を示す図である。 本発明を適用したサーバクライアントシステムの一実施の形態の構成例を示すブロック図である。 サーバ装置１のハードウエア構成例を示すブロック図である。 鍵格納DB７のデータ例を示す図である。 パッケージ状態を説明する図である。 DB管理アプリケーション５１の機能的な構成例を示すブロック図である。 パッケージ更新処理について説明する図である。 パッケージ更新処理について説明する図である。 パッケージ更新処理について説明する図である。 パッケージ更新処理について説明する図である。 パッケージ更新処理について説明する図である。 パッケージ更新処理について説明するフローチャートである。 パッケージ生成処理について説明するフローチャートである。 その他のパッケージ更新処理について説明する図である。 その他のパッケージ更新処理について説明するフローチャートである。 さらにその他のパッケージ更新処理について説明するフローチャートである。 パッケージ状態変更処理について説明するフローチャートである。 利用要求応答処理について説明するフローチャートである。

符号の説明

１ サーバ装置， ２ HSM， ７ 鍵格納DB， １１ サーバアプリケーション， ５１ DB管理アプリケーション， ５２ 状態変更アプリケーション， １０１ CPU， １０３ RAM， １０８ 記憶部， １０９ 通信部， １２１ リムーバブルメディア， ６１ 入力制御部， ６２ パッケージ生成部， ６３ 判定部， ６４ 状態設定部， ６５ 要求応答部

Claims (4)

1. IC(Integrated Circuit)チップと暗号化された情報をやり取りするための暗号鍵の種別を表す設定項目である暗号鍵設定情報とその設定値、前記暗号鍵を登録する際に用いられる暗号情報であるパッケージの種別を表す設定項目であるパッケージ設定情報とその設定値、および、前記暗号鍵または前記パッケージの少なくとも一方の利用の可否を表す設定項目である利用可能状態とその設定値を記憶する第１の記憶手段と、前記第１の記憶手段の前記暗号鍵設定情報の設定値を暗号鍵識別情報として有することで、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられた前記暗号鍵を記憶する第２の記憶手段と、前記第１の記憶手段の前記パッケージ設定情報の設定値をパッケージ識別情報として有することで、前記第１の記憶手段の前記パッケージ設定情報と紐付けられた前記パッケージを記憶する第３の記憶手段とを備える記憶装置を制御する情報処理装置であって、
   前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記パッケージ設定情報と紐付けられている削除された前記暗号鍵に対応する前記パッケージを、前記第３の記憶手段から削除する削除手段と、
   削除された前記暗号鍵に対応する前記パッケージが前記第３の記憶手段から削除され、削除された前記暗号鍵に代えて新たな暗号鍵が前記第２の記憶手段に記憶された場合、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記新たな暗号鍵に対応する新たなパッケージを他の装置に生成させ、生成された前記新たなパッケージを前記第１の記憶手段の前記パッケージ設定情報と紐付けて前記第３の記憶手段に記憶させる生成手段と、
   前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用不可」に設定し、前記新たな暗号鍵に対応する前記新たなパッケージが前記第３の記憶手段に記憶された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用停止」に設定し、前記利用可能状態の設定値を「利用可能」に変更する変更指示があった場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用可能」に変更する変更手段と、
   前記ICチップと暗号化された情報をやりとりするサーバからの前記暗号鍵の利用要求に対して、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」である場合、生成された前記新たなパッケージを前記サーバに供給し、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」または「利用停止」である場合、「利用不可」を前記サーバに返答する応答手段と
   を備える情報処理装置。
2. 前記記憶装置をさらに備える
   請求項１に記載の情報処理装置。
3. IC(Integrated Circuit)チップと暗号化された情報をやり取りするための暗号鍵の種別を表す設定項目である暗号鍵設定情報とその設定値、前記暗号鍵を登録する際に用いられる暗号情報であるパッケージの種別を表す設定項目であるパッケージ設定情報とその設定値、および、前記暗号鍵または前記パッケージの少なくとも一方の利用の可否を表す設定項目である利用可能状態とその設定値を記憶する第１の記憶手段と、前記第１の記憶手段の前記暗号鍵設定情報の設定値を暗号鍵識別情報として有することで、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられた前記暗号鍵を記憶する第２の記憶手段と、前記第１の記憶手段の前記パッケージ設定情報の設定値をパッケージ識別情報として有することで、前記第１の記憶手段の前記パッケージ設定情報と紐付けられた前記パッケージを記憶する第３の記憶手段とを備える記憶装置を制御する情報処理を行う情報処理方法であって、
   前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記パッケージ設定情報と紐付けられている削除された前記暗号鍵に対応する前記パッケージを、前記第３の記憶手段から削除する削除ステップと、
   削除された前記暗号鍵に対応する前記パッケージが前記第３の記憶手段から削除され、削除された前記暗号鍵に代えて新たな暗号鍵が前記第２の記憶手段に記憶された場合、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記新たな暗号鍵に対応する新たなパッケージを他の装置に生成させ、生成された前記新たなパッケージを前記第１の記憶手段の前記パッケージ設定情報と紐付けて前記第３の記憶手段に記憶させる生成ステップと、
   前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用不可」に設定し、前記新たな暗号鍵に対応する前記新たなパッケージが前記第３の記憶手段に記憶された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用停止」に設定し、前記利用可能状態の設定値を「利用可能」に変更する変更指示があった場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用可能」に変更する変更ステップと、
   前記ICチップと暗号化された情報をやりとりするサーバからの前記暗号鍵の利用要求に対して、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」である場合、生成された前記新たなパッケージを前記サーバに供給し、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」または「利用停止」である場合、「利用不可」を前記サーバに返答する応答ステップと
   を含む情報処理方法。
4. IC(Integrated Circuit)チップと暗号化された情報をやり取りするための暗号鍵の種別を表す設定項目である暗号鍵設定情報とその設定値、前記暗号鍵を登録する際に用いられる暗号情報であるパッケージの種別を表す設定項目であるパッケージ設定情報とその設定値、および、前記暗号鍵または前記パッケージの少なくとも一方の利用の可否を表す設定項目である利用可能状態とその設定値を記憶する第１の記憶手段と、前記第１の記憶手段の前記暗号鍵設定情報の設定値を暗号鍵識別情報として有することで、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられた前記暗号鍵を記憶する第２の記憶手段と、前記第１の記憶手段の前記パッケージ設定情報の設定値をパッケージ識別情報として有することで、前記第１の記憶手段の前記パッケージ設定情報と紐付けられた前記パッケージを記憶する第３の記憶手段とを備える記憶装置を制御する情報処理を、コンピュータに実行させるためのプログラムであって、
   前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記パッケージ設定情報と紐付けられている削除された前記暗号鍵に対応する前記パッケージを、前記第３の記憶手段から削除する削除ステップと、
   削除された前記暗号鍵に対応する前記パッケージが前記第３の記憶手段から削除され、削除された前記暗号鍵に代えて新たな暗号鍵が前記第２の記憶手段に記憶された場合、前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記新たな暗号鍵に対応する新たなパッケージを他の装置に生成させ、生成された前記新たなパッケージを前記第１の記憶手段の前記パッケージ設定情報と紐付けて前記第３の記憶手段に記憶させる生成ステップと、
   前記第２の記憶手段において前記第１の記憶手段の前記暗号鍵設定情報と紐付けられている前記暗号鍵が削除された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用不可」に設定し、前記新たな暗号鍵に対応する前記新たなパッケージが前記第３の記憶手段に記憶された場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用停止」に設定し、前記利用可能状態の設定値を「利用可能」に変更する変更指示があった場合、前記第１の記憶手段の前記利用可能状態の設定値を「利用可能」に変更する変更ステップと、
   前記ICチップと暗号化された情報をやりとりするサーバからの前記暗号鍵の利用要求に対して、前記第１の記憶手段の前記利用可能状態の設定値が「利用可能」である場合、生成された前記新たなパッケージを前記サーバに供給し、前記第１の記憶手段の前記利用可能状態の設定値が「利用不可」または「利用停止」である場合、「利用不可」を前記サーバに返答する応答ステップと
   をコンピュータに実行させるためのプログラム。

Images