JP4799058B2 - Ｉｃカード、並びにコンピュータ・プログラム - Google Patents

Description

本発明は、比較的大容量のメモリ領域に格納された情報へのアクセスを管理する情報管理装置及び情報管理方法、並びにコンピュータ・プログラムに係り、特に、ＩＣカードのようにメモリ領域上に電子的な価値情報を格納して電子決済を始めとするセキュアな情報のやり取りを行なう情報管理装置及び情報管理方法、並びにコンピュータ・プログラムに関する。

さらに詳しくは、本発明は、ＩＣカード製品のライフサイクルに応じたアクセス動作によりメモリ内の格納されている利用者データを適正に保護する情報管理装置及び情報管理方法、並びにコンピュータ・プログラムに係り、特に、ＩＣカード製品の修理時や廃棄時においてメモリ内の格納されている利用者データを適正に保護する情報管理装置及び情報管理方法、並びにコンピュータ・プログラムに関する。

ＩＣカードに代表される非接触・近接通信システムは、操作上の手軽さから、広範に普及している。ＩＣカードの一般的な使用方法は、利用者がＩＣカードをカード読み書き装置にかざすことによって行なわれる。カード読み書き装置側では常にＩＣカードをポーリングしており外部のＩＣカードを発見することにより、両者間の通信動作が開始する。例えば、暗証コードやその他の個人認証情報、電子チケットなどの価値情報などをＩＣカードに格納しておくことにより、キャッシュ・ディスペンサやコンサート会場の出入口、駅の改札口などにおいて、入場者や乗車者の認証処理を行なうことができる。

最近では、微細化技術の向上とも相俟って、比較的大容量のメモリを持つＩＣカードが出現している。大容量メモリ付きのＩＣカードによれば、メモリ空間上にファイル・システムを展開し、複数のアプリケーションを同時に格納しておくことにより、１枚のＩＣカードを複数の用途に利用することができる。例えば、１枚のＩＣカード上に、電子決済を行なうための電子マネーや、特定のコンサート会場に入場するための電子チケットなど、複数のアプリケーションを格納しておくことにより、１枚のＩＣカードをさまざまな用途に適用させることができる（例えば、非特許文献１を参照のこと）。ここで言う電子マネーや電子チケットは、利用者が提供する資金に応じて発行される電子データを通じて決済（電子決済）される仕組み、又はこのような電子データ自体を指す。

また、ＩＣカードやカード用リーダ／ライタ（カード読み書き装置）が無線・非接触インターフェースの他に、外部機器と接続するための有線インターフェースを備えることにより、携帯電話機、ＰＤＡ（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）やＣＥ（Ｃｏｎｓｕｍｅｒ Ｅｌｅｃｔｒｏｎｉｃｓ）機器、パーソナル・コンピュータなどの各機器にこれら非接触通信機能を内蔵して用いることができる（例えば、非特許文献１を参照のこと）。すなわち、これらの情報処理端末にＩＣカード及びカード読み書き装置のいずれか一方又は双方の機能を装備して、ＩＣカードを利用した非接触通信技術を汎用性のある双方向の近接データ通信を行なうことができる。ＩＣカード技術は、内部の情報の複製や改竄が困難で、耐タンパ性を備えており、この種の近接データ通信は、高いレベルでセキュリティを実現することができる。

ところで、ＩＣカード製品は、他の機器と同様に、製品出荷、使用、修理、廃棄やリサイクルといったライフサイクルがある。

例えば、カード仕様として、１）最低限の機能が活性化された状態（ＯＰ ＲＥＡＤＹ）、２）初期化された状態（ＩＮＩＴＩＡＬＩＺＥＤ）、３）安全に使用できる状態（ＳＥＣＵＲＥＤ）、４）ロック状態（ＣＡＲＤ ＬＯＣＫＥＤ）、５）機能が終了した状態（ＴＥＲＭＩＮＡＴＥＤ）、の５つのライフサイクル・ステータス及び遷移条件を定義し、ライフサイクル・ステータスをＩＣカードに書き込むことによるライフサイクル管理について、提案がなされている（例えば、非特許文献２を参照のこと）。

また、利用者に対して、ＩＣカードのライフサイクル・ステータスを可視的な手段で明示し、ＩＣカードの不正利用の抑制が可能な、ＩＣカード、ＩＣカード用リーダ・ライタ及びＩＣカードの状態管理方法について提案がなされている（例えば、特許文献１を参照のこと）。

上述したように、ＩＣカード内には、価値情報など不正利用や改竄が行なわれると利用者の利益が著しく損なわれる利用者データが格納されている。このため、例えばＩＣチップを搭載した機器が故障した場合の修理は、利用者データが含まれたままの状態のため取り扱いが難しい、という問題がある。修理などのためにＩＣカードが利用者の手元から離れている期間中に、利用者データの不正利用を回避するためには、利用者データを初期化して修理を行なう他ない。

このような場合、利用者は、ＩＣカードの搭載機器を修理に出す前に、一旦ＩＣカードのサービス事業者まで出向いて利用者データの初期化を行なってから修理業者に搭載機器を渡し、この搭載機器が修理から戻ってくると再びＩＣカードのサービス事業者のところまで出向いて利用者データの再書き込みを行なわなければならず、煩わしい。また、１つのＩＣカードで複数のサービス事業者のサービスを利用している場合には（前述）、このような作業をサービス利用個数分だけ繰り返し行なわなければならない。

従来のＩＣカードの運用においては、他の製品と同様にライフサイクルに関する規定はあるものの、ライフサイクルの状態に応じた利用者データの保護方法に関する規定はないため、実運用上で問題がある。

本発明者らは、ＩＣカード内の利用者データの円滑な利用を図る一方で、修理時や廃棄時などＩＣカードが利用者の手元から離れた期間に利用者データを適正に保護するためには、ライフサイクルのステージ毎にＩＣカードへのアクセス動作を制御する仕組みが必要である、と思料する。

特開２００４−１１００８７号公報 「無線ＩＣタグのすべて ゴマ粒チップでビジネスが変わる」（１０６〜１０７頁、ＲＦＩＤテクノロジ編集部、日経ＢＰ社、２００４年４月２０日発行） 「オープン・プラットフォーム・カード・スペシフィケーション（Ｏｐｅｎ Ｐｌａｔｆｏｒｍ Ｃａｒｄ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｖｅｒｓｉｏｎ ２．１）」，グローバル・プラットフォーム（Ｇｌｏｂａｌ Ｐｌａｔｆｏｒｍ），２００１年６月４日，ｐ．３８−３９

本発明の目的は、ＩＣカードのようにメモリ領域上に電子的な価値情報を格納して電子決済を始めとするセキュアな情報のやり取りを行なうことができる、優れた情報管理装置及び情報管理方法、並びにコンピュータ・プログラムを提供することにある。

本発明のさらなる目的は、ＩＣカード製品のライフサイクルに応じてメモリ内の格納されている利用者データを適正に保護することができる、優れた情報管理装置及び情報管理方法、並びにコンピュータ・プログラムを提供することにある。

本発明のさらなる目的は、ＩＣカード製品の修理時や廃棄時においてメモリ内の格納されている利用者データを適正に保護することができる、優れた情報管理装置及び情報管理方法、並びにコンピュータ・プログラムを提供することにある。

本発明は、上記課題を参酌してなされたものであり、その第１の側面は、メモリに記憶された利用者データを管理する情報管理装置であって、
通信インターフェース経由で接続される外部機器との通信動作を制御する通信制御機能部と、
前記通信インターフェースを通じて検出される外部イベント又は当該情報管理装置自身の内部状態に基づいて、当該情報管理装置のライフサイクルにおけるステージを設定するステージ管理機能部と、
前記ステージ管理機能部により設定されたステージを記憶するステージ保持機能部と、
前記ステージ保持機能部に保持されているステージに応じて、前記メモリに記憶された利用者データへのアクセス動作を制御するアクセス制御機能部と、
を具備することを特徴とする情報管理装置である。

ここで言う情報管理装置は、非接触ＩＣカード機能を実行するＩＣチップ、無線通信部と非接触ＩＣカード機能実行部としてのＩＣチップを内蔵した非接触ＩＣカード、非接触ＩＣカード機能部を搭載したＳＩＭカードやＵＩＭカードのようなＩＣカード、表面に端子を有する接触ＩＣカード、接触／非接触ＩＣカードと同様の機能を有するＩＣチップを携帯電話機、ＰＨＳ（Ｐｅｒｓｏｎａｌ Ｈａｎｄｙｐｈｏｎｅ Ｓｙｓｔｅｍ）、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）などの情報通信端末装置に内蔵した装置である。なお、非接触ＩＣカード機能実行部としてのＩＣチップは、データ送受信機能とデータ処理部を有するが、ＲＦアナログ・フロントエンドとロジック回路（プロトコル制御、ＲＦ変復調、コマンド処理、暗号処理、メモリ管理）を１チップで構成してもよいし、あるいはこれらを分離した２チップ以上のＩＣで構成するようにしてもよい。以下では、これらを総称して、単に「ＩＣカード機能実行部」と呼ぶこともある。

この情報管理装置は、ＥＥＰＲＯＭなどのデータ蓄積メモリを含むメモリ領域とデータ処理部を有するとともに、データ通信機能を有するものである。携帯電話機などの場合は、ＩＣチップを内蔵するＩＣカードなどの外部記憶媒体を着脱可能に構成してもよい。また、携帯電話会社が発行する契約者情報を記録したＳＩＭ（ＳｕｂｓｃｒｉｂｅｒＩｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）機能をＩＣチップに搭載してもよい。情報管理装置は、インターネットなどの情報通信ネットワークを介してデータ通信を行なってもよいし、外部端末装置と有線又は無線で直接データ通信を行なってもよい。

ＩＣカード技術は、内部の情報の複製や改竄が困難で、耐タンパ性を備えていることから、この種の情報管理装置に依れば、情報の担持及び外部機器との情報通信において高いレベルでセキュリティを実現することができる。

ＩＣカード製品は、他の機器と同様に製品出荷、使用、修理、廃棄やリサイクルといったライフサイクルがある。ＩＣカード内には、価値情報など不正利用や改竄が行なわれると利用者の利益が著しく損なわれる利用者データが格納されている。このため、例えばＩＣチップを搭載機器が故障した場合の修理は、利用者データが含まれたままの状態のため取り扱いが難しく、利用者データを初期化して修理を行なう他ない。

これに対し、本発明では、ライフサイクルのステージ毎にＩＣカードへのアクセス動作を制御する仕組みを導入することによって、ＩＣカード内のデータの円滑利用を図る一方で、修理時や廃棄時などＩＣカードが利用者の手元から離れた期間に利用者データの適正な保護を実現するようにした。

本発明に係る情報管理装置は、ＩＣカードのライフサイクルに相当する複数のステージを持ち、前記通信インターフェースを通じて検出される外部イベント又は当該情報管理装置自身の内部状態に基づいて、当該情報管理装置のライフサイクルにおけるステージを設定するようになっている。

前記メモリに記憶されている利用者データの利用が可能、すなわちＩＣカードを一般的な利用形態で利用する第１のステージの他に、前記メモリに記憶されている利用者データの利用が可能でない第２のステージが定義されている。そして、前記アクセス制御機能部は、前記第１のステージでは、前記通信インターフェースを通した外部機器に対し、所定の認証手続きを経て前記メモリに記憶されている利用者データへのアクセスを許可する一方、前記第２のステージでは、前記通信インターフェースを通した外部機器に対して前記メモリに記憶されている利用者データへのすべてのアクセスを許可しないようになっている。

ここで言う、利用者データへのすべてのアクセスが拒否される第２のステージとして、ＩＣカードの内部操作用のファームウェアの修正が可能である「メンテナンス・ステージ」、ＩＣカード自身の修理、又はＩＣカードを搭載する情報処理端末の修理時に前記メモリに記憶されている利用者データの利用を一時停止する「サスペンド・ステージ」、ＩＣカードの利用を終了する「ディスポーズ・ステージ」、異常が発生した際に前記メモリに記憶されている利用者データの利用を停止する「プロテクション・ステージ」など、複数のライフサイクル・ステージを定義することができる。

例えば、ＩＣチップの搭載機器を修理に出すときには、所定の手続きを経てＩＣチップを一般利用ステージとしての第１のステージからサスペンド・ステージに移行させ、機器がユーザの手元から離れている期間中の利用者データを保護することができる。また、ＩＣチップの搭載機器が修理から戻ってきたときには、所定の手続きを経てＩＣチップをサスペンド・ステージから一般利用ステージに復帰させ、ＩＣチップ内の利用者データの使用を円滑に再開することができる。

また、本発明の第２の側面は、ＩＣカード内のメモリに記憶された利用者データを管理するための処理をコンピュータ・システム上で実行するようにコンピュータ可読形式で記述されたコンピュータ・プログラムであって、前記コンピュータ・システムに対し、
通信インターフェース経由で接続される外部機器との通信動作を制御する通信制御手順と、
前記通信インターフェースを通じて検出される外部イベント又は前記ＩＣカードの内部状態に基づいて、前記ＩＣカードのライフサイクルにおけるステージを設定するステージ管理手順と、
前記ステージ管理ステップにおいて設定された現在のステージに応じて、前記メモリに記憶された利用者データへのアクセス動作を制御するアクセス制御手順と、
を実行させることを特徴とするコンピュータ・プログラムである。

本発明の第２の側面に係るコンピュータ・プログラムは、コンピュータ・システム上で所定の処理を実現するようにコンピュータ可読形式で記述されたコンピュータ・プログラムを定義したものである。換言すれば、本発明の第３の側面に係るコンピュータ・プログラムをコンピュータ・システムにインストールすることによって、コンピュータ・システム上では協働的作用が発揮され、本発明の第１の側面に係る情報管理装置と同様の作用効果を得ることができる。

本発明によれば、ＩＣカード製品のライフサイクルに応じてメモリ内の格納されている利用者データを適正に保護することができる、優れた情報管理装置及び情報管理方法、並びにコンピュータ・プログラムを提供することができる。

また、本発明によれば、ＩＣカード製品の修理時や廃棄時においてメモリ内の格納されている利用者データを適正に保護することができる、優れた情報管理装置及び情報管理方法、並びにコンピュータ・プログラムを提供することができる。

本発明のさらに他の目的、特徴や利点は、後述する本発明の実施形態や添付する図面に基づくより詳細な説明によって明らかになるであろう。

以下、図面を参照しながら本発明の実施形態について詳解する。

本発明は、無線通信部、及びデータ送受信機能とデータ処理部を有するＩＣチップを内蔵する非接触ＩＣカード、表面に端子を有する接触ＩＣカード、接触／非接触ＩＣカードと同様の機能を有するＩＣチップを携帯電話機、ＰＨＳ（ＰｅｒｓｏｎａｌＨａｎｄｙｐｈｏｎｅ Ｓｙｓｔｅｍ）、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）などの情報通信端末装置に内蔵して構成される情報管理装置に関する。

非接触ＩＣカード機能を搭載したＩＣチップは、データ送受信機能とデータ処理部を有するが、ＲＦアナログ・フロントエンドとロジック回路（プロトコル制御、ＲＦ変復調、コマンド処理、暗号処理、メモリ管理）を１チップで構成してもよいし、あるいはこれらを分離した２チップ以上のＩＣで構成するようにしてもよい。以下では、これらを総称して、単に「ＩＣカード機能実行部」と呼ぶこともある。まず、ＩＣカードを利用した非接触データ通信の仕組みについて説明する。

カード読み書き装置とＩＣカード間の無線通信は、例えば電磁誘導の原理に基づいて実現される。図１には、電磁誘導に基づくカード読み書き装置とＩＣカードとの無線通信の仕組みを概念的に図解している。カード読み書き装置は、ループ・コイルで構成されたアンテナＬ_RWを備え、このアンテナＬ_RWに電流Ｉ_RWを流すことでその周辺に磁界を発生させる。一方、ＩＣカード側では、電気的にはＩＣカードの周辺にループ・コイルＬ_cが形設されている。ＩＣカード側のループ・コイルＬ_c端にはカード読み書き装置側のループ・アンテナＬ_cが発する磁界による誘導電圧が生じて、ループ・コイルＬ_c端に接続されたＩＣカードの端子に入力される。

カード読み書き装置側のアンテナＬ_RWとＩＣカード側のループ・コイルＬ_cは、その結合度は互いの位置関係によって変わるが、系としては１個のトランスを形成していると捉えることができ、ＩＣカードの読み書き動作を図２に示すようにモデル化することができる。

カード読み書き装置側では、アンテナＬ_RWに流す電流Ｉ_RWを変調することによって、ＩＣチップ上のループ・コイルＬ_cに誘起される電圧Ｖ_Oは変調を受け、そのことを利用してカード読み書き装置はＩＣカードへのデータ送信を行なうことができる。

また、ＩＣカードは、カード読み書き装置へ返送するためのデータに応じてループ・コイルＬ_cの端子間の負荷を変動させる機能（ＬｏａｄＳｗｉｔｃｈｉｎｇ）を持つ。ループ・コイルＬ_cの端子間の負荷が変動すると、カード読み書き装置側ではアンテナ端子間のインピーダンスが変化して、アンテナＬ_RWの通過電流Ｉ_RWや電圧Ｖ_RWの変動となって現れる。この変動分を復調することで、カード読み書き装置はＩＣカードの返送データを受信することができる。

すなわち、ＩＣカードは、カード読み書き装置からの質問信号に対する応答信号に応じて自身のアンテナ間の負荷を変化させることによって、カード読み書き装置側の受信回路に現れる信号に振幅変調をかけて通信を行なうことができる訳である。

非接触カード通信システムは、図３に示すように、カード読み書き装置１と、ＩＣカード機能実行部２と、コントローラ３で構成され、カード読み書き装置１とＩＣカード２との間では、電磁波を利用して非接触で、データの送受信が行なわれる。すなわち、カード読み書き装置１がＩＣカード機能実行部２に所定のコマンドを送信し、ＩＣカード機能実行部２は受信したコマンドに対応する処理を行なう。そして、ＩＣカード機能実行部２は、その処理結果に対応する応答データをカード読み書き装置１に送信する。

カード読み書き装置１は、所定のインターフェース（例えば、ＲＳ−４８５Ａの規格などに準拠したもの）を介してコントローラ３に接続されている。コントローラ３は、カード読み書き装置１に対し制御信号を供給することで、ＩＣカード機能実行部２に対する所定の処理を行なわせる。

また、ＩＣカード機能実行部に、無線・非接触インターフェースの他に、外部機器と接続するための有線インターフェースを装備することによって、携帯電話機、ＰＤＡ（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）やＣＥ（Ｃｏｎｓｕｍｅｒ Ｅｌｅｃｔｒｏｎｉｃｓ）機器、パーソナル・コンピュータなどの情報処理端末に内蔵若しくはケーブル接続して用いることができる。

図４には、この種のＩＣカード機能実行部のハードウェア構成を模式的に示している。同図に示すように、ＩＣカード機能実行部は、アンテナ部１０１に接続されたアナログ部１０２と、ディジタル制御部１０３と、メモリ１０４と、外部インターフェース１０５とで構成され、携帯端末１１０に内蔵されている。このＩＣカード機能実行部は、１チップの半導体集積回路で構成してもよいし、ＲＦアナログ・フロントエンドとロジック回路部を分離して２チップの半導体集積回路で構成してもよい。

アンテナ部１０１は、図示しないカード読み書き装置との間で非接触データの送受信を行なう。アナログ部１０２は、検波、変復調、クロック抽出など、アンテナ部１０１から送受信されるアナログ信号の処理を行なう。これらは、ＩＣカード機能実行部とカード読み書き装置間の非接触インターフェースを構成する。

ディジタル制御部１０３は、送受信データの処理やその他のＩＣカード機能実行部内の動作を統括的にコントロールする。ディジタル制御部１０３は、アドレス可能なメモリ１０４をローカルに接続している。メモリ１０４は、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）などの不揮発性記憶装置で構成され、電子マネーや電子チケットなどの利用者データを格納したり、ディジタル制御部１０３が実行するプログラム・コードを書き込んだり、実行中の作業データを保存するために使用することができる。

本実施形態では、ＩＣカード機能実行部には、製造ステージ、メンテナンス・ステージ、サスペンド・ステージ、ディスポーズ・ステージ、プロテクション・ステージという、ＩＣカード機能実行部のライフサイクルに相当する複数のステージが定義されている。ディジタル制御部１０３は、各ステージに応じてメモリ１０４に対するアクセス動作を制御するが、この点の詳細については後述に譲る。

外部インターフェース１０５は、カード読み書き装置（図示しない）と結ぶ非接触インターフェースとは相違するインターフェース・プロトコルにより、ディジタル制御部１０３が携帯端末１１０などの装置とを有線接続するための機能モジュールである。メモリ１０４に書き込まれたデータは、外部インターフェース１０５を経由して、携帯端末１１０に転送することができる。

ここで、カード読み書き装置と通信を行なう際に、カード読み書き装置からの受信データをそのまま、あるいは適当な変換規則で変換し、あるいは別のパケット構造に変換して、外部インターフェース１０５を介して携帯端末１１０に送信する。また逆に、外部インターフェース１０５を介して携帯端末１１０から受信したデータをそのまま、あるいは適当な変換規則で変換し、あるいは別のパケット構造に変換して、非接触インターフェースを介してカード読み書き装置に送信する。

本実施形態では、ＩＣカード機能実行部は、情報処理端末としての携帯端末１１０に内蔵して用いられることを想定しており、外部インターフェース１０５には、ＵＡＲＴ（Ｕｎｉｖｅｒｓａｌ Ａｓｙｎｃｈｒｏｎｏｕｓ Ｒｅｃｅｉｖｅｒ Ｔｒａｎｓｍｉｔｔｅｒ）のような有線インターフェースを使用する。

ＩＣカード機能実行部は、例えば、アンテナ部１０１経由で受信されるカード読み書き装置からの受信信号から得られるエネルギによって駆動することができる。勿論、携帯端末１１０側からの有線インターフェース１０５を介した供給電力によって、一部又は全部が動作するように構成されていてもよい。

携帯端末１１０は、例えば携帯電話機やＰＤＡ、パーソナル・コンピュータ（ＰＣ）などの情報処理端末に相当する。携帯端末１１０は、プログラム制御部１１１と、表示部１１２と、ユーザ入力部１１３とで構成される。

プログラム制御部１１１は、例えばマイクロプロセッサと、ＲＡＭと、ＲＯＭで構成され（いずれも図４には図示しない）、マイクロプロセッサは、ＲＯＭに格納されたプログラム・コードに従って、ＲＡＭを作業領域に用いてさまざまな処理サービスを実行する。処理サービスには、携帯電話機など携帯端末１１００本来の機能の他に、ＩＣカード機能実行部に対する処理も含まれる。勿論、プログラム制御部１１１は、ハード・ディスクなどの外部記憶装置や、その他の周辺装置を備えていてもよい。

なお、図４に示した構成例では、非接触ＩＣカード・インターフェース用のアンテナ部１０１は、ＩＣカード機能実行部としてのＩＣチップ内に搭載されているが、アンテナ構成はこれに限定されない。例えば、ＩＣチップ・モジュールに対しアンテナ部１０１が外付け接続される場合や、ＩＣチップ・モジュールを内蔵する携帯端末１０１側にアンテナ部１０１を配設するという実装形態も考えられる。

既に周知のように、ＩＣカード技術は、内部の情報の複製や改竄が困難で、耐タンパ性を備えていることから、この種の情報管理装置に依れば、情報の担持及び外部機器との情報通信において高いレベルでセキュリティを実現することができる。

ＩＣカード製品は、他の機器と同様に製品出荷、使用、修理、廃棄やリサイクルといったライフサイクルがある。ＩＣカード内には、価値情報など利用者データが格納されている。利用者データが不正に利用されたり、改竄が行なわれると、利用者の利益が著しく損なわれる。このため、例えばＩＣカードを搭載機器が故障した場合の修理は、利用者データが含まれたままの状態のため取り扱いが難しい、という問題がある。そこで、本実施形態では、ＩＣカード内のデータの円滑な利用を図る一方で、修理時や廃棄時などＩＣカードが利用者の手元から離れた期間に利用者データを適正に保護するために、ライフサイクルのステージ毎にＩＣカードへのアクセス動作を制御する仕組みを導入している。

図５には、本実施形態に係るＩＣカードの状態遷移図を示している。同図に示すように、ＩＣカードは、一般利用ステージの他に、製造ステージ、メンテナンス・ステージ、サスペンド・ステージ、ディスポーズ・ステージ、プロテクション・ステージという、ＩＣカードのライフサイクルに相当する複数のステージを持つ。

製造ステージは、ＩＣカードの製造状態である。製造ステージのＩＣカードに対し所定の発行手続きを施すことで、ＩＣカード内に利用者データを書き込み、ＩＣカードとしての通常の利用を行なう一般利用ステージへ移行する。ＩＣカードの発行手続きは、ＩＣカードに認証用のＩＤを割り当てることに相当する。

サスペンド・ステージは、ＩＣカードの利用を停止する状態であり、言い換えればＩＣカード内に記憶されているデータ（利用者データを含む）へのアクセスをすべて拒否する状態である。ＩＣカード搭載機器を修理に出すなど、ユーザの手元から離れる際には、ＩＣカードをサスペンド・ステージにしておくことで、利用者データを残したまま保護することができる。

ディスポーズ・ステージは、ＩＣカードを廃棄する状態であり、言い換えればＩＣカードとしての機能を完全に停止する状態である。このステージは、ＩＣカードを廃棄する場合の他、リサイクルする場合にも利用することができる。ディスポーズ・ステージのＩＣカードの再発行（すなわち、ＩＤの再割当て）を行なうことで、ＩＣカードを初期化し、再利用することが可能である。

メンテナンス・ステージは、ＩＣカードに修正プログラムをダウンロードするための状態である。このステージは、本発明の要旨と直接関連しないので、ここではこれ以上説明しない。

プロテクション・ステージは、ＩＣカード内で異常が発生したときに自己防衛する状態である。例えば、ディジタル制御部１０３で自己防衛プログラムを起動して、異常の発生が検出された場合や、外部からの不正アクセスなどの攻撃されたことを認識した場合に、このプロテクション・ステージに移行して、ＩＣカード内に記憶されているデータ（利用者データを含む）へのアクセスをすべて拒否することにより、利用者データを残したまま保護することができる。プロテクション・ステージへは、他のいずれのステージからも、異常発生の検出に応じて移行することができる。

従来のＩＣカードの運用方法では、ＩＣカードを搭載機器が故障した場合の修理は、利用者データが含まれたままの状態のため取り扱いが難しく、利用者データを初期化して修理を行なう他なかった。これに対し、本実施形態では、ＩＣカードをサスペンド・ステージの状態に保持し、この状態においてＩＣカード内の利用者データへのアクセスを拒否することができる。したがって、ＩＣカードの搭載機器を修理に出すときには、所定の手続きを経てＩＣカードを一般利用ステージからサスペンド・ステージに移行させ、機器がユーザの手元から離れている期間中の利用者データを保護することができる。また、ＩＣカードの搭載機器が修理から戻ってきたときには、所定の手続きを経てＩＣカードをサスペンド・ステージから一般利用ステージに復帰させ、ＩＣカード内の利用者データの使用を円滑に再開することができる。

ＩＣカードには、ステージ移行（Ｔｒａｎｓｉｔ Ｓｔａｇｅ）コマンドが用意されている。非接触インターフェース又は有線インターフェース経由でＩＣカードにアクセスする機器は、ＩＣカードとの間で所定の相互認証処理を行なった後、このステージ移行コマンドを使ってＩＣカードの状態を遷移させることができる。

例えば、非接触インターフェース又は有線インターフェース経由でＩＣカードにアクセスする機器は、一般利用ステージにあるＩＣカードに対し、システム操作の暗号鍵とのＩＣカードの相互認証を実施し、続いてステージ移行コマンドを送信することで、サスペンド・ステージへ移行させることができる。

また、非接触インターフェース又は有線インターフェース経由でＩＣカードにアクセスする機器は、サスペンド・ステージにあるＩＣカードに対し、システム操作の暗号鍵とのＩＣカードの相互認証を実施し、続いてステージ移行コマンドを送信することで、一般利用ステージへ復帰させることができる。

図６には、ディジタル制御部１０３において、図５に示したＩＣカードの状態遷移をコントロールするための機能的構成を模式的に示している。

通信制御機能部１０３−１は、有線インターフェースを介した情報処理端末との通信動作の制御、並びに、非接触インターフェースを介したカード読み書き装置との通信動作の制御を行なう。

ステージ管理機能部１０３−２は、通信機能制御部１０３−１を通じて検出される外部イベント又はＩＣカード自身の内部状態に応じて、ＩＣカードのステージ移行のコントロールを行なう。具体的には、有線インターフェース又は非接触インターフェースを通じてデータ転送可能な機器との間で所定の相互認証処理を行なった後、ステージ移行コマンドで指定されるステージへと移行する。あるいは、異常の発生が検出された場合や、外部からの不正アクセスなどの攻撃されたことを認識した場合に、プロテクション・ステージに移行する。

ステージ保持機能部１０３−３は、ステージ管理機能部１０３−２によって設定された現在のステージを不揮発的に保持する。

アクセス制御機能部１０３−４は、ステージ保持機能部１０３−３に保持されている現在のステージに従って、非接触インターフェース並びに有線インターフェース経由でのＩＣカード内のメモリ１０４に記憶されている利用者データに対するアクセス動作を制御する。

サスペンド・ステージでは、ＩＣカードの利用が停止された状態にあり、アクセス制御機能部１０３−４は、ＩＣカード内に記憶されているデータ（利用者データを含む）へのアクセスをすべて拒否する。また、プロテクション・ステージでは、ＩＣカード内で異常が発生したときに自己防衛する状態にあり、アクセス制御機能部１０３−４は、ＩＣカード内に記憶されているデータ（利用者データを含む）へのアクセスをすべて拒否する。

図７には、図６に示した制御構成によりＩＣカードのステージを移行するための動作フローを示している。

非接触インターフェース又は有線インターフェース経由でＩＣカードにステージ移行コマンドが発行されると、通信機能制御部１０３−１を経由してステージ管理機能部１０３−２に渡される。

ステージ管理機能部１０３−２は、ＩＣカードのインターフェース・プロトコルで規定されている所定の相互認証処理を実行する。相互認証処理の手順は、各プロトコルの規定に従うが、相互認証自体は本発明の要旨に直接関連しないので、ここでは説明を省略する。

そして、認証に成功すると、続いてステージ移行コマンドで要求されているステージの移行が許可されたステージの遷移であるかどうかをチェックする。ここで言う許可された遷移とは、ステージ遷移に決められた遷移であるか（図５を参照のこと）、最終ページに規定された遷移であるかどうかということである。

許可された遷移であれば、ステージ移行コマンドの要求通りにステージ移行を行なう。そして、現在のステージをステージ保持機能部１０３−３に記憶し、本処理を終了する。

図８には、図６に示した制御構成により一般利用ステージにあるＩＣカードに対してアクセス動作が行なわれたときのシーケンスを示している。

非接触インターフェース又は有線インターフェース経由でＩＣカードに利用者データ・アクセス要求コマンドが発行されると、通信機能制御部１０３−１を経由してアクセス制御機能部１０３−４に渡される。

アクセス制御機能部１０３−４は、ステージ保持機能部１０３−３に問い合わせ、ＩＣカードの現在のステージを確認する。そして、一般利用ステージにあり、且つ、メモリ１０４内のアクセスが制限されていない場合には、ステージ保持機能部１０３−３からアクセス制御機能部１０３−４に許可通知が行なわれる。

アクセス制御機能部１０３−４は、この許可通知に応答して、メモリ１０４に対し、利用者データ・アクセス要求コマンドで要求されている利用者データへのアクセス（読み出しや書き込みなど）を実行する。そして、そのアクセス結果を、通信制御機能部１０３−１を通して要求元の機器へ返す。なお、ＩＣカードの現在のステージを確認することによりアクセスの可否を判断する以外に、アクセス制御機能部１０３−４は、ＰＩＮ（Ｐｅｒｓｏｎａｌ Ｉｎｄｅｎｔｉｆｙ Ｎｕｍｂｅｒ）などの暗証コードの照合など付加的な照合処理を行なうようにしてもよい。

また、図９には、図６に示した制御構成により一般利用ステージ以外の各ステージにあるＩＣカードに対してアクセス動作が行なわれたときのシーケンスを示している。一般利用ステージ以外とは、製造ステージ、サスペンド・ステージ、ディスポーズ・ステージ、プロテクション・ステージの各ステージを指す。

非接触インターフェース又は有線インターフェース経由でＩＣカードに利用者データ・アクセス要求コマンドが発行されると、通信機能制御部１０３−１を経由してアクセス制御機能部１０３−４に渡される。

アクセス制御機能部１０３−４は、ステージ保持機能部１０３−３に問い合わせ、ＩＣカードの現在のステージを確認する。そして、一般利用ステージ以外のステージにあり、且つ、メモリ１０４内のすべてのデータへのアクセスが拒否されている場合には、ステージ保持機能部１０３−３からアクセス制御機能部１０３−４に拒否通知が行なわれる。

アクセス制御機能部１０３−４は、この拒否通知に応答して、メモリ１０４に対するアクセスを行なわず、その代わりに、通信制御機能部１０３−１を通してアクセス拒否通知を要求元の機器へ返す。

このように、本発明によれば、ライフサイクルのステージ毎にＩＣカードへのアクセス動作を制御する仕組みを導入しているので、ＩＣカードを搭載した機器が故障した場合であっても、ＩＣカード内のデータの円滑利用を図る一方で、修理時や廃棄時などＩＣカードが利用者の手元から離れた期間に利用者データを適正に保護することができる。

例えば、ＩＣカードの搭載機器を修理に出すときには、所定の手続きを経てＩＣカードを一般利用ステージからサスペンド・ステージに移行させ、機器がユーザの手元から離れている期間中の利用者データを保護することができる。また、ＩＣカードの搭載機器が修理から戻ってきたときには、所定の手続きを経てＩＣカードをサスペンド・ステージから一般利用ステージに復帰させ、ＩＣカード内の利用者データの使用を円滑に再開することができる。

最後に、非接触インターフェース又は有線インターフェースを介してＩＣカードに外部アクセスがあった場合に、ＩＣカードと外部機器との間で行なわれる認証処理手順の一例について、図１０を参照しながら説明する。但し、同図では、外部機器として、非接触インターフェースからアクセスするカード読み書き装置を想定している。

図示の認証処理手順は、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ１とＡｕｔｈｅｎｔｉｃａｔｏｉｎ２という２段階の認証手続きで構成されている。Ａｕｔｈｅｎｔｉｃａｔｉｏｎ１では、まず、ＩＣカードに非接触インターフェース経由でアクセスするカード読み書き装置が乱数Ａを生成し、この乱数Ａをアクセス暗号鍵で暗号記して、ＩＣカードに送信する。これに対し、ＩＣカード側では、受信データをアクセス暗号鍵で復号化するとともに、乱数Ｂを生成し、復号化した乱数Ａと乱数Ｂを暗号鍵でそれぞれ暗号化して、暗号化乱数Ａ及び暗号化乱数Ｂをカード読み書き装置に返信する。

カード読み書き装置は、ＩＣカードからの返信メッセージを受信すると、受信データ中の暗号化乱数Ａをアクセス暗号鍵で復号化して、生成時の乱数Ａと復号化した乱数Ａを比較して、相手の真正性をチェックする。ここで、ＩＣカードの真正性が証明されると、さらに受信データ中の暗号化乱数Ｂをアクセス暗号鍵で復号化し、この復号化乱数Ｂをアクセス暗号鍵で暗号化する。そして、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ２として、暗号化乱数ＢをＩＣカードに送信する。

ＩＣカードは、受信データ中の暗号化乱数Ｂをアクセス暗号鍵で復号化して、生成時の乱数Ｂと復号化した乱数Ｂを比較して、相手の真正性をチェックする。そして、この判定結果をカード読み書き装置に返信して、認証処理を終了する。

以上、特定の実施形態を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施形態の修正や代用を成し得ることは自明である。

本明細書では、ＩＣカード製品に本発明を適用した実施形態を中心に説明してきたが、本発明の要旨はこれに限定されるものではない。重要な情報をセキュアに保管するとともにライフサイクルを備えた他の形態の情報機器に対しても同様に本発明を適用することができる。

要するに、例示という形態で本発明を開示してきたのであり、本明細書の記載内容を限定的に解釈するべきではない。本発明の要旨を判断するためには、特許請求の範囲を参酌すべきである。

図１は、電磁誘導に基づくカード読み書き装置とＩＣカードとの無線通信の仕組みを概念的に示した図である。 図２は、カード読み書き装置とＩＣカードからなる系を１個のトランスとして捉えてモデル化した図である。 図３は、非接触ＩＣカード通信システムの構成を模式的に示した図である。 図４は、本発明の一実施形態に係るＩＣカードのハードウェア構成を模式的に示した図である。 図５は、ＩＣカードの状態遷移図を示した図である。 図６は、図５に示した状態遷移をコントロールするための機能的構成を模式的に示した図である。 図７は、図６に示した制御構成によりＩＣカードのステージを移行するための動作フローを示した図である。 図８は、図６に示した制御構成により一般利用ステージにあるＩＣカードに対してアクセス動作が行なわれたときのシーケンスを示した図である。 図９は、図６に示した制御構成により一般利用ステージ以外の各ステージにあるＩＣカードに対してアクセス動作が行なわれたときのシーケンスを示した図である。 図１０は、ＩＣカードと外部機器との間で行なわれる認証処理手順の一例を示したシーケンス図である。

符号の説明

１…カード読み書き装置
２…ＩＣカード
３…コントローラ
１０１…アンテナ部
１０２…アナログ部
１０３…ディジタル制御部
１０４…メモリ
１０５…外部インターフェース

Claims (9)

1. 複数の利用者データを記憶することができるメモリと、
   外部機器と通信する通信インターフェースと、
   前記通信インターフェース経由で接続される外部機器との通信動作を制御する通信制御機能部と、
   前記通信インターフェースを通じて検出される外部イベント又は当該ＩＣカード自身の内部状態に基づいて、当該ＩＣカードのライフサイクルにおけるステージとして前記メモリに記憶されている利用者データの利用が可能な第１のステージ又は前記メモリに記憶されている利用者データの利用が可能でない第２のステージを設定するステージ管理機能部と、
   前記ステージ管理機能部により設定された当該ＩＣカードの現在のステージを記憶するステージ保持機能部と、
   前記ステージ保持機能部に保持されているステージに応じて、前記通信インターフェースを通した外部機器から前記メモリに記憶された利用者データへのアクセス動作を制御するアクセス制御機能部と、
   を具備し、
   前記アクセス制御機能部は、前記第１のステージでは、前記通信インターフェースを通した外部機器に対し、所定の認証手続きを経て前記メモリに記憶されている利用者データへのアクセスを許可するが、前記第２のステージでは、前記通信インターフェースを通した外部機器に対して前記メモリに記憶されている利用者データへのすべてのアクセスを許可しない、
   ことを特徴とするＩＣカード。
2. 前記通信インターフェースとして、前記外部機器としてのカード読み書き装置から非接触ＩＣカード・インターフェース・プロトコルに基づく非接触通信を行なう非接触インターフェースを備え、
   前記ステージ管理機能部は、前記カード読み書き装置からの認証付き要求に応答してステージの移行を行なう、
   ことを特徴とする請求項１に記載のＩＣカード。
3. 前記通信インターフェースとして、当該ＩＣカードを搭載し又は外部接続される前記外部機器としての情報処理端末と有線接続する有線インターフェースを備え、
   前記ステージ管理機能部は、前記情報処理端末からの認証付き要求に応答してステージの移行を行なう、
   ことを特徴とする請求項１に記載のＩＣカード。
4. 前記ステージ管理機能部は、当該ＩＣカード内において故障、又は前記メモリに記憶されている利用者データに対する攻撃を検出したことに応答してステージの移行を行なう、
   ことを特徴とする請求項１に記載のＩＣカード。
5. 前記第２のステージとして、当該ＩＣカードの内部操作用のファームウェアの修正が可能であるメンテナンス・ステージを備える、
   ことを特徴とする請求項１に記載のＩＣカード。
6. 前記第２のステージとして、当該ＩＣカード自身の修理、又は当該ＩＣカードを搭載する情報処理端末の修理時に前記メモリに記憶されている利用者データの利用を一時停止するサスペンド・ステージを備える、
   ことを特徴とする請求項１に記載のＩＣカード。
7. 前記第２のステージとして、当該ＩＣカード自身の利用を終了するディスポーズ・ステージを備える、
   ことを特徴とする請求項１に記載のＩＣカード。
8. ９
   前記第２のステージとして、当該ＩＣカードに異常が発生した際に前記メモリに記憶されている利用者データの利用を停止するプロテクション・ステージを備える、
   ことを特徴とする請求項１に記載のＩＣカード。
9. 複数の利用者データを記憶することができるメモリと外部機器と通信する通信インターフェースを備えたＩＣカード内の前記メモリに記憶された複数の利用者データを管理するための処理をコンピュータ上で実行するようにコンピュータ可読形式で記述されたコンピュータ・プログラムであって、前記コンピュータに対し、
   前記通信インターフェース経由で接続される外部機器との通信動作を制御する通信制御手順と、
   前記通信インターフェースを通じて検出される外部イベント又は前記ＩＣカードの内部状態に基づいて、前記ＩＣカードのライフサイクルにおける現在のステージとして前記メモリに記憶されている利用者データの利用が可能な第１のステージ又は前記メモリに記憶されている利用者データの利用が可能でない第２のステージを管理手順と、
   前記ステージ管理ステップにおいて設定された現在のステージに応じて、前記メモリに記憶された利用者データへのアクセス動作を制御するアクセス制御手順と、
   を実行させることを特徴とするコンピュータ・プログラム。

Images