JP4804471B2 - Ｉｃモジュール、携帯通信端末及びデータ受信方法 - Google Patents

Description

本発明は、ＩＣモジュールおよびＩＣモジュールを搭載した通信端末に関する。

近年、ワイヤレスＬＡＮ（WLAN）、ブルートゥース（Bluetooth）、非接触型ＩＣカードシステム、赤外線通信などの近距離無線通信機能を搭載された携帯電話端末が注目されており、各種通信機能を利用した様々なデータ交換が可能となっている。

これらのうちの、非接触型ＩＣカードシステムでは、ＣＰＵとメモリから構成されるＩＣカードチップにより制御された無線通信であり、リーダ／ライタ（Ｒ／Ｗ）が電磁波を発生することにより、いわゆるＲＦ (Radio Frequency)フィールド（磁界）を形成し、そして、そのＲＦフィールドにターゲットであるＩＣカードが入ると、ＩＣカードは電磁誘導によって電力の供給を受けるとともに、リーダ／ライタ（Ｒ／Ｗ）との間でデータ伝送を行うものである。

ＩＣカードシステムの特徴は、ＩＣカードチップ内にＣＰＵを備えることにより、認証や暗号化などのセキュリティ処理が可能となっている点である（例えば、特許文献１、特許文献２、特許文献３参照）。

また、ＩＣカードチップの外部に大容量の不揮発メモリを備え、そのメモリへのアクセス情報をＩＣカードチップの内部メモリ（ＥＥＰＲＯＭ）に記憶させることにより、大容量のデータも相応のセキュリティレベルで格納することが可能となる（特許文献４参照）。

また、赤外線通信を行う通信端末では、データ通信に伴うウィルス感染を防ぐために、通信端末にウィルス検出機能を搭載し、データ通信毎にウィルスチェックを実施し、安全性を確認してからデータを保存する技術が提案されている（特許文献５参照）。
特開２００２−２１５４６４号公報 特開２００３−９１７０４号公報 特開２００４−４６８７８号公報 特開２００４−２５２９６８号公報 特開平１１−２２４１９０号公報

前掲の特許文献に記載される技術では、ＩＣカードチップを搭載した携帯電話端末を用いて、事前に認証が成立した相手とセキュア（安全）に通信することは可能である。

しかし、近年、携帯電話端末の多機能化、高機能化の進展に伴い、携帯電話端末の利用形態の多様性が増しており、例えば、名刺交換の代わりに、携帯電話端末同士を近接させて、お互いの自己紹介のためのデータを交換するといった利用法も検討されている。

また、携帯電話端末を用いて、アドレス帳データの入力、スケジュールデータの入力、会議資料の送受信、写真や壁紙等のデータの送受信を行ったり、あるいは、美術館等において展示してあるＩＣチップを組み込んだポスターから絵画の説明データを受け取るといった利用形態も考えられる。

このような利用形態に共通しているのは、事前に認証されていない送信側の端末から、一方的にデータが送られてきて、受信側の端末では、受動的にデータを受け取るという受動モード（パッシブモード）でのデータ受信が行われる、という点である。

受動モードのデータ受信では、識別コード以外のデータは、送信側の端末から一方的に送信されてくるものであり、潜在的には、常に、インポートに伴う危険性、あるいは、ウィルス感染等の危険性が存在するといえる。

例えば、これまで未通信の２つの携帯通信端末の一方がリーダ／ライタ（送信側端末）となり、他方がターゲット（受信側端末）となり、この２端末間でアドレスなどの個人情報を初めて交換する際には、従来の方法ではセキュリティを確保することができない。

また、従来の携帯通信端末に搭載の赤外線通信機能と同様に、認証が不成立な相手とデータ交換するアプリケーションをＩＣカードチップに設けて通信を行なった場合、悪意のあるユーザの端末が接触することによるデータの改竄、流出や不正プログラムの実行等を導くウィルス感染を防ぐ必要があるが、ＩＣカードチップに従来のウィルス検出機能（特許文献５に記載の技術）を搭載してウィルスチェックを行い、安全性が確認してからデータ保存をすると、大容量のデータを受信した場合、データ保存までに時間がかかってしまう。

非接触型ＩＣカードシステムのように至近距離でのみ確立する通信においては、端末がウィルスチェックを行っている間、送信側および受信側の双方の端末を至近距離に保持する必要がある。つまり、ウィルスチェックを行ってからデータを保存するため、その分、データの受信処理に長い時間を要することになる。したがって、その受信処理中に、一方の端末が動いてしまうと（ウィルスチェックが完了しないうちに）データ通信が遮断されてしまう、というような不都合が生じ得る。このような問題は、特に、大容量のデータを受信するときに生じ易い。

本発明は、このような考察に基づいてなされたものであり、認証が不成立な相手側端末とも安全にデータ通信を行うことを可能とし、かつ、データ受信処理に要する時間を短縮して大容量のデータの効率的な受信も可能とすることを目的とする。

本発明のＩＣモジュールは、近接非接触通信を用いてデータを受動的に受信する近接非接触通信制御部と、複数のアプリケーションを実行する処理部と、前記処理部が実行する複数のアプリケーションのうちのデータの入出力を管理するアプリケーションのみが利用可能である、安全性の高いメモリ領域を含む不揮発メモリと、を有するＩＣモジュールであって、前記データの入出力を管理するアプリケーションは、前記近接非接触通信制御部によって受信した受信データを、前記安全性の高いメモリ領域に一旦格納し、前記近接非接触通信が終了してオフライン状態となったか否かを受信レベルに基づいて判断し、前記受信データについて、前記近接非接触通信が終了してオフライン状態となった後に移動を許可するための条件を満足するか否かのチェックを行い、前記受信データのうち前記条件を満足することが確認されたデータのみが、前記安全性の高いメモリ領域から他のメモリ領域に移動される。また、本発明のＩＣモジュールは、前記データの入出力を管理するアプリケーションは、前記近接非接触通信が終了してオフライン状態となったか否かを判断する受信レベルとして、受信電磁界強度を用いる。

安全性の高いメモリ領域（セキュアなメモリ領域：データの入出力を管理するアプリケーションのみがアクセス可能であり、かつ、ウィルスプログラムの実行が不可能なメモリ領域）を用意しておき、受信したデータをまず、そのセキュアなメモリ領域に閉じこめて蓄積してしまい、その後、例えばオフライン（通信終了状態）となってから、所定のチェックを実施し、チェックをパスした受信データのみを、他のメモリ領域（例えば、他のアプリケーションが汎用的に利用可能なＥＥＰＲＯＭのメモリ領域）への移し替えの対象とするものである。所定のチェックをパスしなかった受信データは破棄されて利用されることがないため、認証が不成立な相手側端末とも安全にデータ通信を行うことが可能となる。これにより、ＩＣモジュールならびにそのＩＣモジュールが搭載されるシステム全体をウィルス感染等から保護することができる。また、所定のチェックをしながらデータを受信するのではなく、先にデータを受信してその後に所定のチェックを行うため、データ受信処理自体に要する時間を短縮することができ、したがって、大容量のデータの効率的な受信も可能となる。また、本発明は、処理部に、データの入出力を管理するアプリケーションをインストールするだけで実行できるため、実現が容易である。

また、本発明のＩＣモジュールの一態様では、前記受信データの移動を許可するための条件を満足するか否かのチェックは、特定のデータ名、送信元、受信時刻、関連するアプリケーション、データ容量の少なくとも一つのチェック項目を含むインポート適合チェック、または、ウィルスプログラムの有無を検出するためのウィルスチェックを含む。

受信したデータのインポート適合性を、特定のデータ名、送信元、受信時刻、関連するアプリケーション、データ容量の少なくとも一つのチェック項目によって検討し（例えば、データ容量が大きすぎるものや、データ名、送信元や関連するアプリケーション等から見て危険性が疑われるものは、システムにおける利用対象としないようにし）、また、ウィルスパターンファイルを用いたウィルスチェックを行うことによって、システムに甚大な被害をもたらすウィルスを含むデータを検出し、これによって、問題のあるデータのシステムへの侵入を確実に防止するものである。

また、本発明のＩＣモジュールの他の態様では、前記データの移動を許可するための条件を満足するか否かのチェックは、オフライン状態にて行う。

オフライン状態にて受信データのチェックを行うため、受信処理自体が長くなることがなく、また、オンライン状態で受信データのチェックを行う場合に比べて、データの移動やデータへのアクセスを効果的に制限することが可能であることから、セキュリティ面で有利となる。

また、本発明のＩＣモジュールの他の態様では、上位装置から前記ＩＣモジュールに、所定条件に合致するデータの利用の要求があると、前記受信データの入出力を管理するアプリケーションが、前記データの移動を許可するための条件を満足するか否かのチェックをパスしたデータの中から前記所定条件に適合するものを検索して抽出し、前記上位装置に送る。

所定のチェックが済んだ受信データ（安全性等が確認された受信データ）の中から、上位装置から要求された条件に適合するデータを、受信データの入出力を管理するアプリケーションが検索、抽出して上位装置に渡すようにしたものである。これにより、上位装置は、自己が要求した条件に合致する受信データ（かつ安全性等が保証された受信データ）のみを受け取ることができ、その上位装置は安心してデータを使うことができる。つまり、システム全体のセキュリティが保証されることになる。

また、本発明のＩＣモジュールの他の態様では、上位装置から前記ＩＣモジュールに、所定条件に合致する受信データの利用の要求があると、前記受信データの入出力を管理するアプリケーションが、前記受信データの移動を許可するための条件を満足するか否かのチェックをパスした受信データの中から前記所定条件に適合するものを検索して抽出し、その抽出された受信データへのアクセス情報を前記上位装置に送り、前記上位装置がそのアクセス情報を利用して前記安全性の高いメモリ領域にアクセスしてその受信データを読み出し、これによってデータの移動が行われる。

受信データの取得要求を発出した上位装置には、条件に該当する受信データへのアクセス情報を返信し、そのアクセス情報を用いて、上位装置みずからがメモリ領域にアクセスして受信データを読み出すようにしたものである。特に、大容量のデータを効率的に移動させることができるという利点がある。

また、本発明のＩＣモジュールの他の態様では、前記データの入出力を管理するアプリケーションは、前記安全性の高いメモリ領域に一旦格納した受信データについての、特定のデータ名、送信元、受信時刻、関連するアプリケーション、データ容量の少なくとも一つの情報、または、ウィルスプログラムの有無のチェックが完了したか否かのフラグ情報、あるいは、ウィルスプログラムが未検出であるかのフラグ情報を前記処理部内のメモリに保持しており、上位装置から前記ＩＣモジュールに、所定条件に合致する受信データの利用の要求があると、前記処理部内のメモリに保持されている前記情報に基づいて、前記受信データの移動を許可するための条件を満足するか否かのチェックをパスした受信データの中から前記所定条件に適合するものを検索して抽出し、その抽出された受信データへのアクセス情報を前記上位装置に送る。

受信データの取得要求を発出した上位装置に、条件に該当する受信データへのアクセス情報を返信する方式を採用する場合に、受信データの入出力を管理するアプリケーションが、どのようにして上位装置からの条件に適合する受信データを見つけだすかを規定したものである。つまり、セキュアなメモリ領域に格納された受信データの検索に必要な情報を処理部内のメモリに保持しておき、上位装置からデータ取得要求があったときに、そのメモリに保持されている検索情報を利用して検索を実施し、該当するデータを見つけ出すようにしたものである。これにより、効率的な検索が可能となる。

また、本発明のＩＣモジュールの他の態様では、前記通信制御部は、近接非接触通信を実現する。

これにより、認証が不成立な相手側端末とも安全にデータ通信を行うことが可能であり、かつ、データ受信処理に要する時間を短縮して大容量のデータの効率的な受信も可能な、非接触通信方式のＩＣモジュールを実現することができる。

また、本発明の携帯通信端末は、本発明のＩＣモジュールを搭載した携帯通信端末である。

これにより、事前に認証されていない送信側の携帯通信端末から一方的にデータが送られてきて、受信側の携帯通信端末では、受動的にデータを受け取るという受動モード（パッシブモード）でのデータ受信が行われる場合であっても、必要なレベルのセキュリティを確保し、システムをウィルス等から保護することが可能となる。また、大容量のデータも短時間で受け取ることができるようになる。したがって、携帯通信端末を用いて、例えば、名刺交換の代わりに、携帯電話端末同士を近接させて、お互いの自己紹介のためのデータを交換するというような利用形態が可能となり、また、携帯通信端末を用いて、アドレス帳データの入力、スケジュールデータの入力、会議資料の送受信、写真や壁紙等のデータの送受信を行ったり、あるいは、美術館等において展示してあるＩＣチップを組み込んだポスターから絵画の説明データを受け取るといった利用形態も可能となる。したがって、携帯通信端末（携帯電話端末やＰＤＡ等）の利便性が向上する。

また、本発明の携帯通信端末は、本発明のＩＣモジュールを搭載する携帯通信端末であって、前記上位装置は、携帯通信端末の制御装置である。

上位装置としての携帯通信端末の制御装置は、ＩＣモジュールから、所望の条件を満たし、かつ、安全性が保証されたデータのみを受けとることができ、安心してそのデータを利用することができる。したがって、携帯通信端末のセキュリティを保証しつつ、その利用形態を多様化することができる。

また、本発明のデータ受信方法は、近接非接触通信を用いて、データを受動的に、かつ、安全性を確保しつつ受信するＩＣモジュールのデータ受信方法であって、前記近接非接触通信を用いて受信した受信データを一旦、特定のアプリケーションのみがアクセス可能である、安全性が確保された特定のメモリ領域に格納する第１のステップと、前記近接非接触通信が終了してオフライン状態となったか否かを受信レベルに基づいて判断する第２のステップと、前記近接非接触通信が終了してオフライン状態となった後に、前記特定のメモリ領域に格納された前記受信データのインポート適合性、ウィルスに関する安全性の少なくとも一つのチェックを行う第３のステップと、前記第３のステップにおけるチェックを通過した前記受信データが、自発的にあるいは上位装置からの要求に応じて、前記特定のメモリ領域から、前記特定のアプリケーション以外の他のアプリケーションや前記上位装置が利用可能な他のメモリ領域に移動される第４のステップと、を含む。また、本発明のデータ受信方法は、前記第２のステップにおいて、前記近接非接触通信が終了してオフライン状態となったか否かを判断する受信レベルとして、受信電磁界強度を用いる。

この方法によって、特別なハードウエアを用いることなく、認証されていない相手からの受動的なデータ受信を行う際に、セキュリティレベルを保持した上で迅速なデータ受信処理を可能とすることが可能となる。

本発明によって、ＩＣモジュールを用いて、認証が不成立な相手とも安全に通信することが可能となる。

また、ウィルスチェックにより受信時間が長くなることがなく、非接触型ＩＣカードシステムのように至近距離通信の場合、ウィルスチェックに要する時間だけ、端末を至近距離に保持する必要がなくなる。大容量のデータの受信も効率的に行えるようになる。

また、本発明を利用することにより、携帯通信端末のシステム自体のセキュリティレベルを高レベルに保つことができる。

また、本発明は、ＩＣモジュール内の処理部のアプリケーションのインストールのみで実行でき、実現が容易である。

また、本発明によって、携帯通信端末の利用態様を多様化することができる。すなわち、携帯通信端末を用いて、例えば、名刺交換の代わりに、携帯電話端末同士を近接させて、お互いの自己紹介のためのデータを交換するというような利用形態が可能となり、また、携帯通信端末を用いて、アドレス帳データの入力、スケジュールデータの入力、会議資料の送受信、写真や壁紙等のデータの送受信を行ったり、あるいは、美術館等において展示してあるＩＣチップを組み込んだポスターから絵画の説明データを受け取るといった利用形態も可能となる。

したがって、携帯通信端末（携帯電話端末、ＰＤＡ、通信機能をもつ超小型のコンピュータを含む）の利便性を向上させることができる。

次に、本発明の実施形態について、図面を参照して説明する。
（第１の実施形態）
図１は、本発明のＩＣモジュールを搭載した半導体メモリカードの一例の基本的な構成を示すブロック図である。図１では、半導体メモリカードのみを描いているが、ここでは、半導体メモリカードは携帯電話端末（不図示）に搭載されているものとする（ただし、これに限定されるものではなく、半導体メモリカード単独の使用であってもよいのは言うまでもない）。

図１の半導体メモリカード２０は、事前に認証されていない送信側の半導体メモリカード（Ｒ／Ｗ）１０から一方的に送られてくるデータを受動的に受け取る、という受動モード（パッシブモード）でのデータ受信を行う。

このような事態が生じる状況としては、例えば、名刺交換の代わりに、半導体メモリカード（１０、２０）を内蔵する携帯電話端末同士を近接させて、各ユーザの自己紹介のためのデータ（住所情報、電話番号、メールアドレス等）を交換する場合や、また、携帯電話端末を用いて、アドレス帳データの入力、スケジュールデータの入力、会議資料の送受信、写真や壁紙等のデータの送受信を行ったり、あるいは、美術館等において展示してあるＩＣチップを組み込んだポスターからＵＲＬ情報や絵画の説明データを受け取ったりする場合が想定される。

受動モードのデータ受信では、識別コード以外のデータは、送信側の端末から一方的に送信されてくるものであり、潜在的には、常にウィルス感染の危険性が存在するといえる。

また、携帯電話端末等では取り扱うことのできない大容量のデータが一方的に送られてくることも想定され、また、その携帯電話端末等の機能では対応できない種類のデータが一方的に送られてくる場合や、その携帯電話端末等のユーザが、何らかの理由で通信を拒絶したいと考えている者や対象からのデータが一方的に送られてくるような場合も想定される。

したがって、何らかのチェックを行って、一方的に送られてくるデータの、自機への取り込み（インポート）の可否判定、あるいは、ウィルスの有無の判定を行う必要があるが、このチェックを通信と併行して行うと、その分だけ通信処理が遅延してしまう。

そこで、図１の半導体メモリカードでは、受信データを、特定のアプリケーションのみがアクセス可能であり、かつ、ウィルスプログラムの実行が不可能な閉じたメモリ領域であるセキュアなメモリ領域に一旦蓄積し、オフライン状態でウィルス等のチェックを行い、そのチェックをパスした受信データのみを、半導体メモリカード内部の汎用性のあるメモリ領域（他のアプリケーションが利用可能なメモリ領域）に移し替える、という新規なセキュリティチェック方式を採用する。

図１に示すように、半導体メモリカード２０は、電磁誘導による非接触通信機能をもつＳＤカード（ＩＣカードの一種）であり、内蔵アンテナ２２と、ＮＦＣ（ニアフィールドコミュニケーション：近接非接触通信）制御部２４と、ＳＤカードコントローラ２６と、カードアプリケーション３０を含む複数のアプリケーションを実行するＩＣカード部２８と、フラッシュメモリ部３２と、セキュアフラッシュ領域（カードアプリケーション３０のみがアクセス可能であり、かつ、ウィルスプログラムの実行が不可能な閉じたフラッシュメモリ領域）３４と、を有する。

半導体メモリカード２０では、ＮＦＣ制御部２４により受動モードで受信された受信データは、その受信データ（所定のチェックを行っていない受信データ）のフラッシュメモリ部３２へのアクセス権限をもつカードアプリケーション３０が、セキュアフラッシュ領域３４に一次的に保存する。なお、このセキュアフラッシュ領域３４には、他のアプリケーション（不図示）はアクセスできない。

セキュアフラッシュ領域３４に保存された受信データについては、取り込み条件（インポート条件：例えば、通信相手が信頼できる人であるか、予め作成されている受信可能リストにあるデータ名であるか、受信時間帯が適切であるか、関係するアプリケーションが適切であるか、データ容量が適切であるか、自機が取り扱うことができる種類のデータであるか、といった条件）を満たすか否かのインポート適合チェックや、あるいは、ウィルスパターンとの照合によるウィルスチェックを実行する。

インポート条件は、例えば、半導体メモリカード２０が搭載される携帯電話端末のユーザが、予め、ＩＣカード部２８に与えておく。

また、インポート適合チェックやウィルスチェックを行うタイミングは限定されるものではないが、オフライン状態（つまり、半導体メモリカード２０が非接触通信を行っていない状態、かつ、携帯電話端末が通話中ではない状態）において行うのが望ましい。非接触データ通信中にチェックを行うと、その通信処理自体が遅延し、また、通信処理のためにデータが活発に移動する状態下でのチェックの実施は、それだけウィルス感染の危険性を伴うからである。

インポート適合チェックやウィルスチェックにパスした受信データは、フラッシュメモリ部３２のセキュアフラッシュ領域３４以外の汎用メモリ領域に（自動的に）移し替えられる。

また、携帯電話端末のＣＰＵ等から利用要求があった場合には、そのＣＰＵの要求があった受信データがＣＰＵに向けて送信されることになる。

インポート適合チェックやウィルスチェックをパスできなかった受信データは、破棄される。また、パスした受信データであっても、携帯電話端末のＣＰＵ等から一定時間内に利用要求が無かった受信データも、もはや利用価値無しと判断して破棄され、これにより無駄なメモリ消費が回避される。

このように、安全性の高いメモリ領域（セキュアなメモリ領域：データの入出力を管理するアプリケーションのみがアクセス可能であり、かつ、ウィルスプログラムの実行が不可能なメモリ領域）３４を用意しておき、受信したデータをまず、そのセキュアなメモリ領域３４に閉じこめて蓄積してしまい、その後、例えばオフライン（通信終了状態）となってから、インポート適合チェックやウィルスチェックを実施し、それらのチェックをパスした受信データのみを、他のメモリ領域（例えば、他のアプリケーションが汎用的に利用可能なフラッシュメモリ領域）への移し替えの対象とすることによって、不適切な受信データのインポートを阻止することができ、また、半導体メモリカードならびにその半導体メモリカードが搭載されるシステム全体をウィルス感染から保護することができる。したがって、認証が不成立な相手側端末とも安全に受動的なデータ通信を行うことを可能となる。

また、所定のチェックをしながらデータを受信するのではなく、先にデータを受信してオフライン状態にて所定のチェックを行うため、データ受信処理自体に要する時間を短縮することができ、したがって、大容量のデータの効率的な受信も可能となる。

また、本発明は、ＩＣカード部に、データの入出力を管理するカードアプリケーションをインストールするだけで実行でき、特別なハードウエアや特別な暗号処理等が不要であり、実現が容易である。このことは、半導体メモリカードの小型化、軽量化ならびに低コスト化に資するものである。

（第２の実施形態）
図２は、本発明のＩＣモジュールを搭載した携帯電話端末の主要な構成を示すブロック図である。図２では、本発明に関わる部分のみを記述しており、汎用的な通信回路等は省略している。

携帯電話端末１００は、ホストコントローラチップ１１０と、本体メモリ（メモリ領域Ｃ）１２０と、メモリカードインタフェース（Ｉ／Ｆ）１３０と、メモリカード（例えば、ＳＤカード）２００と、を有する。

図２中、参照符号２１０は、非接触型ＩＣカードシステムのアンテナであり、２２０は非接触通信制御部（図１のＮＦＣ制御部に相当する）である。非接触型ＩＣカードシステムの通信制御については、ＮＦＣ(Near Field Communication)規格として、ＩＳＯなどで国際的に標準化されている（ＩＳＯ14443、ＩＳＯ18092など）。

なお、図１において、アンテナ２１０および非接触通信制御部２２０はメモリカード内に実装されている形態の図となっているが、メモリカードの外部つまり携帯電話端末１００の本体側に実装されていてもよい。参照符号２２２は、入出力制御部である。

参照符号２３０はＩＣカードチップでありＣＰＵ２３４と、ＲＡＭ２３１と、ＲＯＭ２３２と、ＥＥＰＲＯＭ２３３と、外部メモリ制御回路２３５と、バス２３６を内蔵している。

このＩＣカードチップ２３０は、耐タンパモジュールと呼ばれ、分解や解析等のリバース行為に対して耐性を持つもので、内部メモリに対して高いセキュリティレベルを確保できる。

参照符号２４０はフラッシュメモリ（メモリ領域Ｂ）であり、このフラッシュメモリへのアクセスはＩＣカードチップ２３０内に設けられている外部メモリ制御回路２３５を経由して行われる。

また、特定アプリ管理領域２４１（メモリ領域Ａ）は、ＩＣカードチップ２３０の内部メモリ（２３２あるいは２３３）内に格納される特定のアプリケーション（カードアプリケーション）によってのみアクセス可能であり、ウィルスプログラムを実行できない閉じたメモリ領域（セキュアなメモリ領域）である。フラッシュメモリのアクセス情報管理について、図３により説明する。

図３は、図２のＩＣカードチップ内のＣＰＵと内部メモリからなる部分（点線で囲まれるＰ部分）をソフトウェア構成に置き換えて描いた、半導体メモリカードの内部構成を示すブロック図である。

まず、ＩＣカードチップ内のレイヤ構造について説明する。最下位層（物理層）にＥＥＰＲＯＭ２３６があり、このＥＥＰＲＯＭ２３６の上位層にＯＳ２３７があり（ＯＳには、領域拡張部２３８が含まれる）、さらに上位層にＪＡＶＡ仮想マシン（ＪＡＶＡ Ｃａｒｄ ＶＭ）２３９があり、最上位層にクライアントアプリ（アプリ１〜アプリｎ）がある。

外部メモリ制御部２３５も、ＥＥＰＲＯＭ２３６と同じ物理層にある。携帯電話端末１００のホストコントローラチップ１１０からフラッシュメモリ２４０へのアクセスパスとしては、ＩＣカードチップ２３０内のＣＰＵ２３４を介さずに、入出力制御部２２２から直接に外部メモリ制御部２３５に入力されるパスも存在する。

クライアントアプリ（アプリ１〜アプリｎ）は、ＪＡＶＡ言語で記述されたプログラムであり、複数種類のものが存在する。

図３において、アプリ２が非接触通信データの受け渡しを制御するものであり、かつ、フラッシュメモリ内のアプリ２管理領域（メモリ領域Ａのことである）のアクセス情報を管理している。つまり、アプリ２は、非接触通信により受信されるデータ（送信データも同じ）に関し、外部メモリ制御回路２３５を経由したアプリ２管理領域（メモリ領域Ａ）へのアクセスを管理するプログラムである。

ここで、このアプリ２管理領域のアクセス情報はアプリ２のみが管理しているため、他のアプリ（アプリ１やアプリｎ等）から読み書きすることができない。

つまり、アプリ２が、フラッシュメモリ２４０内のアプリ２管理領域（メモリ領域Ａ）に対してセキュリティゲートの役割を担っていると言える。また、このアプリ２管理領域（メモリ領域Ａ）は、受信データの一時的な保存のためだけに使用され、他の用途には使用されない閉じた領域であるため、仮に受信データにウィルスプログラムが含まれていても、ウィルスプログラムを実行することができない。

また、アプリ２によって受信データを暗号化して、アプリ２管理領域（メモリ領域Ａ）に保存することも可能であり、これにより、アプリ２管理領域（メモリ領域Ａ）についてのセキュリティレベルを、さらに向上させることもできる。

次に、携帯通信端末の使用形態について図４を参照しつつ説明する。図４は、図２、図３に示される携帯電話端末の使用形態を説明するための図である。図４において、図２、図３と共通する部分には同じ参照符号を付してある。

図４において、参照符号５０は携帯電話端末１００に対して、送受信用の電力を供給すると共にデータの送受信を行うリーダ／ライタ（Ｒ／Ｗ）としての携帯電話端末である。なお、リーダ／ライタは情報提供用のポスターのような据え置き型のものでもよい。参照符号５１は、内蔵アンテナである。

以下の説明では、リーダ／ライタ機能を備えた携帯電話端末の場合について説明する。

リーダ／ライタ（Ｒ／Ｗ）としての携帯電話端末５０は、携帯電話端末１００に対して送信すべきアプリケーションデータが存在する場合に、高周波数の電磁波（例えば、ＩＳＯ１４４４３のＮＦＣのＲ／Ｗに関する規格に準拠した１３．５６ＭＨｚの周波数の電磁波）を出力する。つまり、リーダ／ライタ（Ｒ／Ｗ）５０は、電磁波をデータ信号で変調し、変調波を携帯電話１００に対して送信する。

ここで、送信すべきアプリケーションデータとしては、例えば、アドレス帳アプリに対する、携帯電話端末５０の所有者名、電話番号、メールアドレス、またはスケジューラアプリに対する、携帯電話端末１００の所有者に参加依頼するためのイベント情報などがあげられる。

携帯電話端末１００と携帯電話端末５０間の距離がある一定値以下（例えは１０ｃｍ以下）に接近した時、携帯電話１００のアンテナ部２１０において、携帯電話端末５０から出力される電磁波による電磁誘導が生じ、通信制御やＣＰＵでのデータ処理に利用する電力を得る。なお、電力は携帯電話本体より得ても良いが、その場合、携帯電話端末５０が出力する電磁波は、受信処理やデータ処理を開始するトリガとして機能する。

ここで、携帯電話５０、１００によるデータの送受信が、互いに信頼できるユーザ間の信頼できるデータの送受信であれば何ら問題ないが、初対面のユーザ間の情報交換や他のユーザからのセキュリティチェック未処理の転送データなど、セキュリティ上問題があるか否か不明であるデータを受信する際、自分のアドレス帳やスケジューラのデータ保存領域に直接保存するのは、他のデータ領域にウィルス感染などの悪影響を及ぼさないか不安がある。また、従来の赤外線通信のように、ユーザに保存するか否かの判断を促し、その都度ボタン操作するのは面倒であるし、時間がかかる。

そこで、本実施形態では、ＩＣカードチップ２３０に搭載されるクライアントアプリ２により、受信データをアプリ２管理領域（メモリ領域Ａ）に一時的に保存する（図３参照）。そして、非接触通信が切断された後に、保存データについて、インポート適合チェックならびにウィルスチェック（これらのチェックは、データの移動を許可するか否かを判定するためのチェックであり、以下の説明では、これらを総称してセキュリティチェックという）を行なう。

インポート適合チェックは、受信データを特定の条件によりフィルタリングするものであり、例えば、通信相手が信頼できる人であるか、予め作成されている受信可能リストにあるデータ名であるか、受信時間帯が適切であるか、関係するアプリケーションが適切であるか、データ容量が適切であるか、自機が取り扱うことができる種類のデータであるか、といった条件を満たすか否かのチェックを実施する。インポート条件は、予め、携帯電話端末１００のユーザが、ＩＣカードチップ２３０のＥＥＰＲＯＭ２３３等に与えておく。

また、ウィルスチェックは、ウィルスパターンとの照合によるチェックである。

つまり、予めウィルスパターンファイルをＩＣカードチップ２３０内のＥＥＰＲＯＭ２３３に格納しておき、セキュリティチェックを担当するアプリが、メモリ領域Ａに一時的に保存された受信データについて、ウィルスパターンが存在するか否かを検証する。

これらのセキュリティチェックを行い、問題がないと判断されたデータはアプリ２によって、アプリ２データ管理領域（メモリ領域Ａ）から、フラッシュメモリ２４０内の他のアプリケーションからもアクセス可能な領域（メモリ領域Ｂ）にデータ移動させる。あるいは、携帯電話端末１００のホストコントローラチップ１１０からのデータ取得要求に応じて、本体メモリ１２０（メモリ領域Ｃ）に、セキュリティチェック済の受信データを移動させてもよい。

この受信データの移動は、図３の太い矢印で示されるように、アプリ２を経由して行われる。なお、携帯電話端末１００本体のアドレス帳やスケジューラ等のアプリケーション、あるいはＩＣカードチップ２３０内の同様のアプリケーションは、ユーザが入力した他のデータと同様に受信データの内容もディスプレイ上に表示させることができる。

以上説明したアプリ２の受信データの処理手順を図５に示す。図５は、図３におけるアプリ２の受信データの処理手順を示すフロー図である。

図示されるように、まず、受信電磁界強度が、非接触通信が開始できるレベルにあるかどうかを確認し（Ｓ１０１）、受信レベルが一定値以上であればデータを受信し（Ｓ１０２）、フラッシュメモリのアプリ２管理領域（メモリ領域Ａ）に一時的に保存する（Ｓ１０３）。

次に、再度、受信レベルを測定し、通信が終了されたと判断されると（Ｓ１０４）、保存データのセキュリティチェックを開始する（Ｓ１０５）。

チェックした結果、ウィルスが検出されなかった、あるいは予め定めておいたインポート条件に適合していたと判断されると（Ｓ１０６、Ｓ１０７）、フラッシュメモリ２４０内のアプリ２管理領域（メモリ領域Ａ）以外のメモリ領域（メモリ領域Ｂ）、または、携帯電話本体メモリ（メモリ領域Ｃ）１２０に、チェック済みデータを移動する（Ｓ１０８）。

また、ウィルスが検出される、あるいは予め定めておいた条件に適合しなかった場合は、データは廃棄される（Ｓ１０９）。

（第３の実施形態）
本実施形態における携帯電話端末の構成、ＩＣカードチップの構成は、前掲の実施形態（図２、図３）と同じである。

非接触通信によって受信したデータの処理についても、フラッシュメモリ２４０内のアプリ２管理領域（メモリ領域Ａ）に一次保存するまでの動作は第１の実施形態と同じである。

本実施形態におけるデータ処理は、一次保存後の処理が異なるため、以下、その相違点について図６のフロー図を用いて説明する。

図６（ａ）、（ｂ）は、第３の実施形態における受信データの処理手順を示すフロー図であり、（ａ）は、フラッシュメモリのメモリ領域Ａに受信データを保存するまでの手順を示し、（ｂ）は、チェック済のデータの移動の手順を示す。

図６（ａ）の手順Ｓ２０１〜Ｓ２０９は、実質的に図５の手順Ｓ１０１〜Ｓ１０９と同じであるため、説明を省略する。

なお、Ｓ２０５において、セキュリティチェックを行なってウィルスが検出されなかった、あるいは予め定めておいたインポート条件に適合した場合は、データヘッダ部分のセキュリティチェック済みを示すフラグをオンする。

図６（ｂ）において、例えば、本体のアドレス帳やスケジューラ等のアプリケーションは、受信したデータも表示させるために、特定の条件のデータを渡すようＩＣカードチップのアプリ２に対して要求する（Ｓ２１１）。ここで、特定の条件とは、送信元、メールアドレス、アプリケーション、容量などに関する条件である。

アプリ２は、本体のアプリケーションからのデータ要求を検出すると（Ｓ２１１）、上記の特定の条件に合致する受信データがあるかを検索し（Ｓ２１２）、条件に適合したデータを抽出すると（Ｓ２１３）、抽出データを本体のアプリケーションに渡す（Ｓ２１４）。なお、本体アプリケーションから一定時間以内に取得要求が発出されなかった受信データは、削除してもよい（Ｓ２１５）。

（第４の実施形態）
本実施形態における携帯電話端末の構成ならびにＩＣカードチップの構成は、前掲の実施形態（図２、図３）と同じである。また、非接触通信によって受信したデータの処理についても、フラッシュメモリ２４０内のアプリ２管理領域（メモリ領域Ａ）に一次保存するまでの動作は第１の実施形態と、基本的には同じである。

本実施形態の特徴は、アプリ２が携帯電話端末１００のホストコントローラチップ１１０（図２参照：ＩＣカードチップ２３０の上位装置に相当する）から受信データの取得要求を受けると、アプリ２は、条件に該当する受信データへのアクセス情報を返信し、そのアクセス情報を用いて、上位装置であるホストコントローラチップ１１０みずからが、フラッシュメモリ２４０上のメモリ領域Ａにアクセスして受信データを読み出すようにした点である。アプリ２が受信データを読み出してホストコントローラチップ１１０に渡す前掲の実施形態の方式に比べて、アプリ２の負担が軽減され、特に、大容量のデータを効率的に移動させることができるという効果を得ることができる。

このような処理を実施するために、アプリ２は、メモリ領域Ａに一旦格納した受信データについての、特定のデータ名、送信元、受信時刻、関連するアプリケーション、データ容量の少なくとも一つの情報、または、ウィルスプログラムの有無のチェックが完了したか否かのフラグ情報、あるいは、ウィルスプログラムが未検出であるかのフラグ情報等をＩＣカードチップ２３０内のメモリ（例えば、ＲＡＭ２３１）に保持しており、上位装置としてのホストコントローラチップ１１０からの所定条件に合致するデータの利用の要求があると、ＩＣカードチップ２３０内のメモリ（例えば、ＲＡＭ２３１）に保持されている情報に基づいて、セキュリティチェックを通過したデータの中から所定条件に適合するものを検索して抽出し、その抽出されたデータへのアクセス情報（メモリ領域Ａ上のアドレス）を、ホストコントローラチップ１１０に送る。

つまり、セキュアなメモリ領域に格納された受信データの検索に必要な情報をＩＣカードチップ内のメモリ（ＲＡＭ２３１等）に保持しておき、上位装置からデータ取得要求があったときに、そのメモリに保持されている検索情報を利用して検索を実施し、該当するデータを見つけ出すようにし（これにより、効率的な検索が可能となる）、その見つけだしたデータのアドレス情報をホストコントローラチップ１１０に返信するようにしたものである。

図７は、第４の実施形態の半導体メモリカード２００における処理手順の特徴を説明するためのブロック図である。図７の構成は、基本的には図２と同じであるが、アプリ２管理領域（メモリ領域Ａ）からホストコントローラチップ１１０への受信データの移動が、図中の太線の矢印のルートで行われる点が異なる。つまり、ホストコントローラチップ１１０が、アプリ２から渡されるアクセス情報に基づいて、メモリ領域Ａに保存されている受信データを直接に読み出すものである。

本実施形態におけるデータ処理は、受信データの一次保存後の処理が異なるため、以下、その相違点について、図８（ａ）、（ｂ）のフロー図を用いて説明する。

図８（ａ）、（ｂ）は、第４の実施形態における受信データの処理手順を示すフロー図であり、（ａ）は、フラッシュメモリのメモリ領域Ａに受信データを保存するまでの手順を示し、（ｂ）は、チェック済のデータの移動の手順を示す。

図８（ａ）では、受信したデータをアプリ２管理領域（メモリ領域Ａ）に一時的に保存する（Ｓ３０１〜Ｓ３０３）。アプリ２管理領域（メモリ領域Ａ）へのデータ保存と併行して、保存データの情報や保存位置、容量などのアクセス情報をＩＣカードチップの内部メモリ（ＲＡＭ２３１等）に格納する処理が行われる（Ｓ３０４）。

非接触通信が終了すると（Ｓ３０５）、アプリ２管理領域（メモリ領域Ａ）の保存データについては前掲の実施形態と同様に、セキュリティチェックが実施される（Ｓ３０６）。セキュリティチェックが完了すると（Ｓ３０７）、ウィルスが検出されなかった、あるいは予め定めておいたインポート条件に適合すると判断されたものについて（Ｓ３０８）、データヘッダ部分のセキュリティチェック済みを示すフラグをオンにする（Ｓ３１０）。ウィルスが検出された、あるいは、インポート条件に適合しなかった受信データは、破棄する（Ｓ３０９）。

次に、図８（ｂ）に示すように、本体のアドレス帳やスケジューラ等の本体アプリケーションは、受信したデータも表示させるために、必要とするデータの条件をアプリ２に渡す（Ｓ３１１）。

アプリ２は、Ｓ３０４でＩＣカードチップの内部メモリ（ＲＡＭ２３１等）に格納しておいた保存データ情報やアクセス情報をもとに、本体アプリケーションの要求するデータを検索し（Ｓ３１２）、該当するものがあれば（Ｓ３１３）、データのアクセス情報を本体アプリケーションに送信する（Ｓ３１４）。

そして、本体アプリケーション（ホストコントローラチップ１１０）は、受け取ったアクセス情報を元に、フラッシュメモリから必要とするデータを直接的に入手する。

本実施形態では、本体アプリケーション（ホストコントローラチップ１１０）とＩＣカードチップのアプリ２の間ではアドレス情報のみをやり取りし、データの取得は、本体アプリケーションが直接フラッシュメモリ２４０から取得するため、アプリ２の負担が少なく、大容量のデータなどの移動に適している。

以上説明したように、本発明によって、半導体メモリカードを用いて、認証が不成立な相手とも安全に通信することが可能となる。

また、ウィルスチェックにより受信時間が長くなることがなく、非接触型ＩＣカードシステムのように至近距離通信の場合、ウィルスチェックに要する時間だけ、端末を至近距離に保持する必要がなくなる。大容量のデータの受信も効率的に行えるようになる。

また、本発明を利用することにより、携帯通信端末のシステム自体のセキュリティレベルを高レベルに保つことができる。

また、本発明は、半導体メモリカード内のＩＣカード部のアプリケーションのインストールのみで実行でき、実現が容易である。

また、本発明によって、携帯通信端末の利用態様を多様化することができる。すなわち、携帯通信端末を用いて、例えば、名刺交換の代わりに、携帯電話端末同士を近接させて、お互いの自己紹介のためのデータを交換するというような利用形態が可能となり、また、携帯通信端末を用いて、アドレス帳データの入力、スケジュールデータの入力、会議資料の送受信、写真や壁紙等のデータの送受信を行ったり、あるいは、美術館等において展示してあるＩＣチップを組み込んだポスターから絵画の説明データを受け取るといった利用形態も可能となる。

したがって、携帯通信端末（携帯電話端末、ＰＤＡ、通信機能をもつ超小型のコンピュータを含む）の利便性を向上させることができる。

本発明を詳細にまた特定の実施態様を参照して説明したが、本発明の精神と範囲を逸脱することなく様々な変更や修正を加えることができることは当業者にとって明らかである。

本発明は、半導体メモリカードを用いて、認証が不成立な相手とも安全に通信することを可能とするという効果を奏し、ＳＤカード等の種々の半導体メモリカード、この半導体メモリカードを搭載した携帯通信端末（携帯電話端末、ＰＤＡ、通信機能をもつ超小型のコンピュータを含む）に用いて好適である。

本発明のＩＣモジュールを搭載した半導体メモリカードの一例の基本的な構成を示すブロック図 本発明のＩＣモジュールを搭載した携帯電話端末の一例の主要な構成を示すブロック図 図２のＩＣカードチップ内のＣＰＵと内部メモリからなる部分（点線で囲まれるＰ部分）をソフトウェア構成に置き換えて描いた、半導体メモリカードの内部構成を示すフロック図 図２、図３に示される携帯電話端末の使用形態を説明するための図 図３おけるアプリ２の受信データの処理手順の一例を示すフロー図 （ａ）、（ｂ）は、受信データの処理手順の他の例を示すフロー図であり、（ａ）は、フラッシュメモリのメモリ領域Ａに受信データを保存するまでの手順を示す図、（ｂ）は、チェック済のデータの移動の手順を示す図 本発明の半導体メモリカードにおける処理手順の他の例の特徴を説明するためのブロック図 （ａ）、（ｂ）は、受信データの処理手順の他の例を示すフロー図であり、（ａ）は、フラッシュメモリのメモリ領域Ａに受信データを保存するまでの手順を示す図、（ｂ）は、チェック済のデータの移動の手順を示す図

符号の説明

１０ リーダライタ（Ｒ／Ｗ）としての携帯端末装置
２０ 半導体メモリカード
２２ 内部アンテナ
２４ ＮＦＣ制御部
２６ ＳＤカードコントローラ
２８ ＩＣカード部
３０ カードアプリケーション部
３２ フラッシュメモリ部
３４ セキュアフラッシュ領域
５０ リーダライタ（Ｒ／Ｗ）としての携帯通信端末
１００ 携帯通信端末（携帯電話端末）
１１０ ホストコントローラチップ
１２０ 本体メモリ（メモリ領域Ｃ）
１３０ メモリカードインタフェース（Ｉ／Ｆ）。
２００ メモリカード
２１０ アンテナ
２２０ 非接触通信制御部
２２２ 入出力制御部
２３０ ＩＣカードチップ
２３１ ＲＡＭ
２３２ ＲＯＭ
２３３ ＥＥＰＲＯＭ
２３４ ＣＰＵ
２３５ 外部メモリ制御回路
２３６〜２３９ ソフトウエア的に見た場合のＩＣカードチップの階層構造
２４０ フラッシュメモリ（メモリ領域Ｂ）
２４１ 特定アプリ管理領域（メモリ領域Ａ）。
アプリ１〜アプリｎ クライアントアプリケーション

Claims (10)

1. 近接非接触通信を用いてデータを受動的に受信する近接非接触通信制御部と、
   複数のアプリケーションを実行する処理部と、
   前記処理部が実行する複数のアプリケーションのうちのデータの入出力を管理するアプリケーションのみが利用可能である、安全性の高いメモリ領域を含む不揮発メモリと、を有するＩＣモジュールであって、
   前記データの入出力を管理するアプリケーションは、前記近接非接触通信制御部によって受信した受信データを、前記安全性の高いメモリ領域に一旦格納し、前記近接非接触通信が終了してオフライン状態となったか否かを受信レベルに基づいて判断し、前記受信データについて、前記近接非接触通信が終了してオフライン状態となった後に移動を許可するための条件を満足するか否かのチェックを行い、前記受信データのうち前記条件を満足することが確認されたデータのみが、前記安全性の高いメモリ領域から他のメモリ領域に移動されることを特徴とするＩＣモジュール。
2. 請求項１に記載のＩＣモジュールであって、
   前記データの入出力を管理するアプリケーションは、前記近接非接触通信が終了してオフライン状態となったか否かを判断する受信レベルとして、受信電磁界強度を用いることを特徴とするＩＣモジュール。
3. 請求項１又は請求項２に記載のＩＣモジュールであって、
   前記受信データの移動を許可するための条件を満足するか否かのチェックは、特定のデータ名、送信元、受信時刻、関連するアプリケーション、データ容量の少なくとも一つのチェック項目を含むインポート適合チェック、または、ウィルスプログラムの有無を検出するためのウィルスチェックを含むことを特徴とするＩＣモジュール。
4. 請求項１から請求項３のうちいずれか一項に記載のＩＣモジュールであって、
   上位装置から前記ＩＣモジュールに、所定条件に合致するデータの利用の要求があると、前記データの入出力を管理するアプリケーションが、前記受信データの移動を許可するための条件を満足するか否かのチェックをパスしたデータの中から前記所定条件に適合するものを検索して抽出し、前記上位装置に送ることを特徴とするＩＣモジュール。
5. 請求項１から請求項３のうちいずれか一項に記載のＩＣモジュールであって、
   上位装置から前記ＩＣモジュールに、所定条件に合致する受信データの利用の要求があると、前記受信データの入出力を管理するアプリケーションが、前記受信データの移動を許可するための条件を満足するか否かのチェックをパスした受信データの中から前記所定条件に適合するものを検索して抽出し、その抽出された受信データへのアクセス情報を前記上位装置に送り、前記上位装置がそのアクセス情報を利用して前記安全性の高いメモリ領域にアクセスしてその受信データを読み出し、これによってデータの移動が行われることを特徴とするＩＣモジュール。
6. 請求項５に記載のＩＣモジュールであって、
   前記データの入出力を管理するアプリケーションは、前記安全性の高いメモリ領域に一旦格納した受信データについての、特定のデータ名、送信元、受信時刻、関連するアプリケーション、データ容量の少なくとも一つの情報、または、ウィルスプログラムの有無のチェックが完了したか否かのフラグ情報、あるいは、ウィルスプログラムが未検出であるかのフラグ情報を前記処理部内のメモリに保持しており、上位装置から前記ＩＣモジュールに、所定条件に合致する受信データの利用の要求があると、前記処理部内のメモリに保持されている前記情報に基づいて、前記受信データの移動を許可するための条件を満足するか否かのチェックをパスした受信データの中から前記所定条件に適合するものを検索して抽出し、その抽出された受信データへのアクセス情報を前記上位装置に送ることを特徴とするＩＣモジュール。
7. 請求項１から請求項３のうちいずれか一項に記載のＩＣモジュールを搭載した携帯通信端末。
8. 請求項４から請求項６のうちいずれか一項に記載のＩＣモジュールを搭載する携帯通信端末であって、前記上位装置は、携帯通信端末の制御装置であることを特徴とする携帯通信端末。
9. 近接非接触通信を用いて、データを受動的に、かつ、安全性を確保しつつ受信するＩＣモジュールのデータ受信方法であって、
   近接非接触通信を用いて受信した受信データを一旦、特定のアプリケーションのみがアクセス可能である安全性が確保された特定のメモリ領域に格納する第１のステップと、
   前記近接非接触通信が終了してオフライン状態となったか否かを受信レベルに基づいて判断する第２のステップと、
   前記近接非接触通信が終了してオフライン状態となった後に、前記特定のメモリ領域に格納された前記受信データのインポート適合性、ウィルスに関する安全性の少なくとも一つのチェックを行う第３のステップと、
   前記第３のステップにおけるチェックを通過した前記受信データが、自発的にあるいは上位装置からの要求に応じて、前記特定のメモリ領域から、前記特定のアプリケーション以外の他のアプリケーションや前記上位装置が利用可能な他のメモリ領域に移動される第４のステップと、を含むことを特徴とするデータ受信方法。
10. 請求項９に記載のデータ受信方法であって、
    前記第２のステップは、前記近接非接触通信が終了してオフライン状態となったか否かを判断する受信レベルとして、受信電磁界強度を用いることを特徴とするデータ受信方法。

Images