JP6072907B2 - 複数のサービスプロバイダのトラステッドサービスマネジャーとセキュアエレメントとをインターフェース接続するためのシステム、方法、およびコンピュータプログラム製品 - Google Patents

Description

発明の背景
本発明は、サービスプロバイダとセキュアエレメントとをインターフェース接続することに関し、より具体的には、サービスプロバイダのトラステッドサービスマネジャーとセキュアエレメントとをインターフェース接続するためのシステム、方法、およびコンピュータプログラム製品に関する。

サービスプロバイダ（ＳＰ）は、顧客または消費者にサービスを提供する会社、組織、事業体、または同種のものである。サービスプロバイダの例としては、販売業者、カード協会、銀行、マーケティング会社、公共交通機関管理所などのアカウント発行事業体が挙げられる。サービスは、支払サービス、ギフト、オファーまたはロイヤルティサービス、交通パスサービスなどの、サービスプロバイダによって許可または提供される活動、性能、機能、業務、または使用であり得る。

モバイルデバイスとサービスプロバイダとの間の非接触取引を伴うモバイル環境では、サービスプロバイダによって発行されるアカウントおよびアプリケーションに関連する情報が、それらが非接触取引を実施することを可能にするためにモバイルデバイスにダウンロードされなければならない。

トラステッドサービスマネジャー（ＴＳＭ）は、通常、モバイルデバイスにサービスプロバイダに関連付けられた非接触型アプリケーションなどのアプリケーションを提供することによって、モバイルネットワークオペレーター（ＭＮＯ）およびアカウント発行サービスプロバイダにサービスを提供する独立した実体である。典型的なＴＳＭは、近距離無線通信（ＮＦＣ）可能なモバイルデバイス内でセキュアエレメント（ＳＥ）へのアクセス権を持っているので、典型的なＴＳＭは、遠隔操作で非接触型アプリケーションを配布し、管理することができる。

支払いおよびアカウントの資格情報を伴うものなど、セキュリティが不可欠なアプリケーションでは、安全なハードウェア記憶装置および安全な実施環境が必要とされる。モバイルデバイスでは、これは、通常セキュアエレメントによって処理される。

セキュアエレメントは、アプリケーションがインストールされ、個人化され、かつ管理され得るプラットフォームである。それは、資格情報のための安全な記憶装置、ならびに支払い、認証、および他のサービスのためのアプリケーションの実行を可能にするハードウェア、ソフトウェア、インターフェース、およびプロトコルから成る。

セキュアエレメントは、ユニバーサル集積回路カード（ＵＩＣＣ）、埋め込まれたセキュアエレメント、またはモバイルデバイス上のスロットに挿入することができる別個のチップまたはセキュアデバイスといったＮＦＣイネーブラなどの異なるフォームファクタにおいて実装され得る。典型的には、ＵＩＣＣは、ＭＮＯによって制御されている加入者識別モジュール（ＳＩＭ）の形態である。埋め込まれたセキュアエレメントは、サービスプロバイダに電話自体にセキュアエレメントを埋め込むためのオプションを提供する。セキュアエレメントフォームファクタが実装されている１つの方法は、例えば、ＧｌｏｂａｌＰｌａｔｆｏｒｍカード仕様バージョン２．１．１および２．２（以下、「グローバルプラットフォーム」）で定義されている。

セキュアエレメントは、１つ以上のセキュリティドメイン（ＳＤ）を含み得、その各々は、共通実体を信用する（つまり、共通セキュリティキーまたはトークンを使用して認証されるまたは管理される）パッケージ、アプレット、アプリケーションなどのデータの集合を含む。

セキュリティドメインは、サービスプロバイダに関連付けられ得、ロイヤルティ、クーポン、およびクレジットカード、または交通アプリケーションまたはアプレットなどのサービスプロバイダのアプレットまたはアプリケーションを含み得る。

伝統的に、サービスプロバイダシステムは、セキュアエレメント上にセキュリティドメインを作成して、セキュアエレメント上にアプレットおよびアプリケーションをインストールし、提供し、かつ管理するために、モバイルデバイス上でセキュアエレメントと相互接続するためのＴＳＭを含む。サービスプロバイダは、異なるモバイルデバイスを有し、異なるセキュアエレメントを備え、様々なＭＮＯによるサービスを受ける多数の顧客にサービスを提供することができなければならない。上に説明したように、複数のセキュアエレメントは、多数のフォームファクタにおいて実装され得、様々なセキュリティドメイン、アプレット、およびアプリケーションを含み得、すべてが、極めて多数の方法で潜在的に構成される。結果として、サービスプロバイダは、大規模で成長および変化し続けることの多い、モバイルデバイス、ＭＮＯ、ネットワーク、セキュアエレメント、およびセキュリティドメインの組み合わせに対して、適応性のあるサービスおよびソリューションを提供するという解決の難しい課題に直面している。

例えば、サービスプロバイダが、モバイルデバイス上で顧客のセキュアエレメント上へ支払いアプレットを安全にインストールするために、サービスプロバイダはまず、セキュアエレメント上にその要求を送り、それを処理するために大量の情報を判定しなければならない。例えば、従来技術を使用するサービスプロバイダは、セキュアエレメント情報（例えば、識別子、タイプ、プロファイル識別子、認定レベル、および有効期限）、ＭＮＯ情報（例えば、タイプ）、セキュリティドメイン情報（例えば、識別子、特権、マスターキーインデックス）などを取得しなければならない。この情報は、様々な異なるソース（例えば、セキュリティドメイン、セキュアエレメント、モバイルデバイス、ＭＮＯ）内に存在し得、したがって、サービスプロバイダにとって、この情報のすべてを検索してパリティ検査することは、大規模な処理を必要とする骨の折れる作業である。

セキュアエレメント上でのアプリケーションのインストール、管理、および提供における１つの技術的な課題は、典型的なＴＳＭにおける制限によるもの、すなわち、それらが多種多様なサービスプロバイダ、ＭＮＯ、モバイルデバイス、ネットワーク、セキュアエレメント、およびセキュリティドメイン間の通信を処理することができる中央媒介として機能しないことである。したがって、特に、（サービスプロバイダＴＳＭを含む）サービスプロバイダとセキュアエレメントとのインターフェース接続に合わせて調整された中央ＴＳＭなどの改善されたシステムの必要性が存在する。

サービスプロバイダの観点から重要なことは、それらが、顧客のモバイルデバイス、セキュアエレメント、ＭＮＯ、またはモバイルネットワークに関わらず、意図された顧客のセキュアエレメントを用いて容易にかつ安全に通信（すなわち、要求の個人化、サービスの有効化、スクリプトの処理など）できるということである。

顧客の観点から重要なことは、サービスプロバイダのサービスが、顧客のモバイルデバイス、セキュアエレメント、ＭＮＯ、またはモバイルネットワークに関わらず、顧客のセキュアエレメント上で有効化され、それを用いて使用することができることである。

本発明は、複数のサービスプロバイダのトラステッドサービスマネジャーのうちの１つと複数のセキュアエレメントのうちの１つとをインターフェース接続するためのシステム、方法、およびコンピュータプログラム製品を提供する。

一実施形態において、複数のサービスプロバイダのトラステッドサービスマネジャーのうちの１つと複数のセキュアエレメントのうちの１つとをインターフェース接続するためのシステムは、少なくとも１つのメモリおよび少なくとも１つのメモリに通信可能に結合されるプロセッサを含む。プロセッサは、以下を実施するために操作可能である：通信ネットワークを介してサービスプロバイダ（ＳＰ）のトラステッドサービスマネジャー（ＴＳＭ）からサービスを更新する第１の要求を受信する（この第１の要求は、サービスと関連付けられたサービス修飾子を含む）、サービス修飾子に対応するセキュアエレメントを判定する、セキュアエレメントに、このセキュアエレメントからサービス修飾子と関連付けられたデータを削除する第２の要求を送信する、セキュアエレメントに、セキュアエレメント上にアプリケーションをインストールする第３の要求を送信する、セキュアエレメントに、セキュアエレメント上でアプリケーションを有効化する第４の要求を送信する。

別の実施形態において、複数のサービスプロバイダ（ＳＰ）のトラステッドサービスマネジャー（ＴＳＭ）のうちの１つと複数のセキュアエレメント（ＳＥ）のうちの１つとをインターフェース接続するための方法は、以下のステップを含む：ＳＰのＴＳＭから通信ネットワークを介して、サービスを更新する第１の要求を受信する（この第１の要求は、サービスと関連付けられたサービス修飾子を含む）、サービス修飾子に対応するセキュアエレメントを判定する、セキュアエレメントに、セキュアエレメントからのサービス修飾子と関連付けられたデータを削除する第２の要求を送信する、セキュアエレメントに、セキュアエレメント上にアプリケーションをインストールする第３の要求を送信する、セキュアエレメントに、セキュアエレメント上でアプリケーションを有効化する第４の要求を送信する。

別の実施形態において、非一時的なコンピュータ可読媒体は、１つ以上のプロセッサに以下のことをさせる命令のシーケンスを中に記憶する：ＳＰのＴＳＭから通信ネットワークを介して、サービスを更新する第１の要求を受信する（この第１の要求は、サービスと関連付けられたサービス修飾子を含む）、サービス修飾子に対応するセキュアエレメントを判定する、セキュアエレメントに、このセキュアエレメントからサービス修飾子と関連付けられたデータを削除する第２の要求を送信する、セキュアエレメントに、セキュアエレメント上にアプリケーションをインストールする第３の要求を送信する、セキュアエレメントに、セキュアエレメント上でアプリケーションを有効化する第４の要求を送信する。

本発明の更なる特徴および利点は、以下の図面と併せて参照されるとき、以下に説明する詳細な説明からより明らかになるであろう。

本発明の特徴および利点は、以下の図面と併せて参照されるとき、以下に説明する詳細な説明からより明らかになるであろう。
例示的な実施形態に従うサービスプロバイダとセキュアエレメントとをインターフェース接続するためのシステムの図である。 例示的な実施形態に従うサービスプロバイダのトラステッドサービスマネジャーからセキュアエレメントに要求を送るためのシーケンスを示すシーケンス図である。 例示的な実施形態に従うサービスプロバイダのトラステッドサービスマネジャーからセキュアエレメントに複数の要求を送るためのシーケンスを示すシーケンス図である。 例示的な実施形態に従うサービスプロバイダのトラステッドサービスマネジャーからセキュアエレメントに事前個人化要求を送るためのシーケンスを示すシーケンス図である。 例示的な実施形態に従うセキュアエレメントの構成を示す図である。 例示的な実施形態に従うセキュアエレメントの構成を示す図である。 例示的な実施形態に従うセキュアエレメントの構成を示す図である。 例示的な実施形態に従うセキュアエレメントの構成を示す図である。 本発明を実施するために有用な例示的システムのブロック図である。 例示的な実施形態に従うサービスを更新するためのシーケンスを示すシーケンス図である。

概要
本明細書で提示される本発明の例示的な実施形態は、サービスプロバイダとセキュアエレメントとをインターフェース接続するためのシステム、方法、およびコンピュータプログラム製品を対象とする。これは便宜的なものに過ぎず、本発明の用途を限定することを意図していない。実際には、以下の説明を閲読した後、ＴＳＭ、ＭＮＯ、セキュアエレメント、モバイルデバイス、サービスプロバイダ、ネットワークを介して通信することができる他のあらゆるシステムを含む多種多様で膨大な数の実体間でのインターフェース接続などの代替的な実施形態において、以下の発明をどのように実装するかが関連技術分野の当業者には明らかであろう。

一般的に、本明細書で説明される例示的な実施形態は、モバイル加入識別子（ＭＳＩ）を有する１つ以上のサービスプロバイダシステムと１つ以上のセキュアエレメントとをインターフェース接続することを実施する。

サービスプロバイダシステム（すなわち、サービスプロバイダ）は、セキュアエレメント上の対応するセキュリティドメインおよび／またはアプリケーションにアクセスするまたは制御するために中央ＴＳＭと通信し得る。具体的には、中央ＴＳＭと通信することにより、サービスプロバイダは、セキュアエレメントを事前に個人化する、セキュアエレメント内のセキュリティドメイン上でサービスを個人化する、またはセキュアエレメント上でサービスを有効化することができる。例えば、サービスプロバイダは、セキュアエレメントを事前に個人化するために中央ＴＳＭに要求を送信し得る。応答において、中央ＴＳＭは、必要な場合に対応する一時的なセキュリティキーを含む少なくとも１つのサービスプロバイダのセキュリティドメインを作成すること、および／または、セキュアエレメント上のアプリケーションをインスタンス化することを含め、セキュアエレメントを事前に個人化し得る。アプリケーションのインスタンス化は、インスタンス化されていないアプリケーションのインスタンスを作成することを含む。

サービスプロバイダはまた、サービスを個人化する要求を中央ＴＳＭに送信し得る。この要求は、データおよびスクリプトを含み得る。このスクリプトは、セキュアエレメント内でサービスプロバイダに対応する、セキュリティドメイン上のアプリケーションによって実行されるコマンドを含み得る。例えば、スクリプトは、インスタンス化されたアプリケーションを個人化するコマンドを含み、対応するセキュリティドメイン内でキーを循環させ、および／またはサービスプロバイダのセキュリティドメインおよび／またはセキュアエレメント内のインスタンス化されたアプリケーションにおいてサービスプロバイダのコマンドを実行し得る。中央ＴＳＭは、要求を受信して、セキュアエレメントに要求内のスクリプトおよび／またはデータを安全に送信する。次に、セキュアエレメントは、スクリプトおよびデータを受信して、実行する。

サービスプロバイダは、セキュアエレメント上でコマンドが実行されるように、中央ＴＳＭと通信する。そうするために、サービスプロバイダ（例えば、ＳＰのＴＳＭ）は、（例えば、セキュアエレメントを事前に個人化するため）ＭＳＩに基づいてセキュアエレメントの情報を取得する要求を中央ＴＳＭに送る。中央ＴＳＭは、要求を受信して、そのメモリを照会し、ＭＳＩに基づいて要求されたセキュアエレメントの情報を取得する。一旦中央ＴＳＭが、ＭＳＩに対応するセキュアエレメントの情報を検索すると、中央ＴＳＭは、検索されたセキュアエレメント情報およびＭＳＩをＳＰのＴＳＭに送信する。

一旦サービスプロバイダが、対象のセキュアエレメントおよびその情報を識別すると、サービスプロバイダ（例えば、ＳＰのＴＳＭ）は、セキュアエレメントとの通信（すなわち、会話）を中央ＴＳＭが確立する要求を中央ＴＳＭに送る。通信を確立する要求は、検索されたセキュアエレメント情報および対応するＭＳＩ、ならびにサービスプロバイダからの後続の要求を処理するために使用されるであろうアプリケーションまたはアプレット、セキュリティドメイン、サービス、およびスクリプトに関する情報を含む。中央ＴＳＭは、要求を受信して、通信識別子および通信の他の属性を含む応答をＳＰのＴＳＭに送信する。

通信が確立された後、サービスプロバイダは、セキュアエレメント内で実行されるように意図された、通信識別子を含む要求（例えば、アプリケーションを個人化する）を送る。サービスプロバイダは、まず、要求を中央ＴＳＭに送る。中央ＴＳＭは、要求を受信して、要求内の情報に基づいてセキュアエレメントとの接続を確立し、処理するためのセキュアエレメントに要求（例えば、アプリケーションを個人化する）を送信する。中央ＴＳＭは、対応するモバイルネットワークを介して要求をセキュアエレメントに送信する。対応するモバイルネットワークは、サービスプロバイダによって生成された要求（例えば、アプリケーションを個人化すること）内の情報に基づく中央ＴＳＭのメモリから検索されたＭＮＯ情報に基づいて判定される。この要求は、要求内の情報および確立された通信に基づいて、サービスプロバイダからの要求に従ってセキュアエレメント内で処理される。

本明細書で説明される例示的な実施形態の機能によって、サービスプロバイダは、最小の必要な処理および情報を用いてセキュアエレメント上で様々な要求が処理されるように、中央ＴＳＭと効率的かつ容易に通信することができる。例示的な実施形態はまた、セキュアエレメント上で要求（例えば、サービスを可能にする）が処理されるようにするためにサービスプロバイダに必要な時間およびコストの要件を大幅に低減する中央ＴＳＭの配置を提供する。

加えて、サービスプロバイダは、単に、単一のソース（すなわち、中央ＴＳＭ）と通信するためにＭＳＩを使用することによって、要求をセキュアエレメントに中央ＴＳＭを介して送ることができる。すなわち、サービスプロバイダは、複数の媒介ソース（例えば、ＭＮＯ、ＴＳＭ）と通信する必要なしに、セキュアエレメントを用いてその要求を処理することが可能である。

加えて、サービスプロバイダの要求は、単一のタイプの要求が、ＭＮＯのタイプ、モバイルデバイスのタイプ、セキュアエレメント、および／またはアプリケーションに関わらず中央ＴＳＭと通信するように標準化される。サービスプロバイダの要求を標準化することによって、複数のサービスプロバイダの要求を処理することと関連付けられたエラーおよび複雑さは、有利に低減される。更に、サービスプロバイダは、インストールのためのアプリケーションを送信するまたは提供する必要がないか、またはセキュアエレメント上で要求が処理されるようにするために、ＭＮＯ、モバイルデバイス、またはセキュアエレメントのインターフェースを提供する。代わりに、サービスプロバイダは、１つ以上の標準化された要求を、コマンドを用いて中央ＴＳＭに送ることができる。結果として、要求を実行するために必要な処理時間および規模は、最小化される。
システム
図１は、モバイルネットワークを介してサービスプロバイダとセキュアエレメントとをインターフェース接続するための例示的なシステム１００の図である。図１に示されるように、システム１００は、ＳＰのＴＳＭ１０３−１、１０３−２、…、１０３−ｎ（総称して「１０３」）を含む。ＳＰのＴＳＭ１０３の各々は、サービスプロバイダ１０７−１、１０７−２、…、１０７−ｎ（総称して「１０７」）に対応する。各ＳＰのＴＳＭは、サービスプロバイダ１０７と、セキュアエレメント、ＭＮＯ、（「中央ＴＳＭ」として本明細書で参照される）別のタイプのＴＳＭを含む他の実体との間の媒介として機能する。

ＳＰのＴＳＭ１０３の各々は、通信ネットワーク１０５を介して中央ＴＳＭ１０２と通信可能に結合される。通信ネットワーク１０５は、仮想プライベートネットワーク（ＶＰＮ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）規格を用いたネットワーク、または同種のものであり得る。

ＳＰのＴＳＭ１０３および中央ＴＳＭ１０２の各々はまた、セキュアソケットレイヤー（ＳＳＬ）、トランスポートレイヤーセキュリティ（ＴＬＳ）、または同種のものなどの、セキュリティプロトコルを用いてこれら通信をセキュリティ保護し得る。ＳＰのＴＳＭ１０３の各々はまた、ウェブサービスＡＰＩなどのアプリケーションプログラミングインターフェース（ＡＰＩ）を用いて、中央ＴＳＭ１０２と通信し得る。

例示的な一実施形態において、中央ＴＳＭ１０２は、ＳＰのＴＳＭ１０３とセキュアエレメント１０６ａ−１、１０６ａ−２、…、１０６ａ−ｎ（総称して「１０６ａ」）との間の媒介として機能するように実装されるハードウェアおよび／またはソフトウェアである。特に、中央ＴＳＭ１０２は、ＳＰのＴＳＭ１０３の各々が、例えば、セキュアエレメント（例えば、セキュアエレメント１０６）の事前個人化を要求する、新規のまたは一時的なセキュリティドメインのキーセットを生成して、インストールする、支払いサービスを個人化する、および／またはサービスを有効化することを許容する。すなわち、中央ＴＳＭ１０２は、ＳＰのＴＳＭ１０３とセキュアエレメント１０６ａとの間の通信を管理する。

したがって、中央ＴＳＭ１０２は、複数のモバイルネットワーク１０４−１、１０４−２、…、１０４−ｎ（総称して「１０４」）を介して、複数のサービスプロバイダ１０７およびＳＰのＴＳＭ１０３、ならびに複数のセキュアエレメント１０６ａと通信することができる。

例示的な一実施形態において、中央ＴＳＭ１０２は、プロセッサ１０２ａおよびメモリ１０２ｂを含む。

中央ＴＳＭ１０２は、エンタープライズサービスバス（ＥＳＢ）を含み得る（示さず）。例示的な一実施形態において、ＥＳＢは、実体（例えば、セキュアエレメント１０６ａ、ＳＰのＴＳＭ１０３、中央ＴＳＭ１０２）間の対話および通信を実装するためのアーキテクチャモデルである。

中央ＴＳＭ１０２は、対応するＭＮＯによって使用されるおよび／または管理される、対応するモバイルネットワーク１０４を介してセキュアエレメント１０６ａに通信可能に結合される。一般に、モバイルネットワーク１０４は、無線通信サービスを提供するようにＭＮＯによって使用される。モバイルネットワーク１０４は、モバイル電話セルラーネットワーク、ラジオネットワーク、または同種のものであり得る。中央ＴＳＭ１０２は、モバイルネットワーク１０４を介して、グローバルプラットフォームのセキュリティ保護されたチャネルプロトコル、ＳＳＬ、ＴＬＳ、または同種のものなどのセキュリティプロトコルを用いて、セキュアエレメント１０６ａと通信し得る。

セキュアエレメント（例えば、セキュアエレメント１０６ａ）は、図５〜８を参照しながら以下に更に詳細に考察される。図１に示されるように、セキュアエレメント１０６ａは、それぞれ、対応するモバイルデバイス１０６−１、１０６−２、および１０６−ｎ（総称して「１０６」）と関連付けられる。セキュアエレメント１０６ａは、１つ以上のプロセッサおよび１つ以上のメモリに通信可能に結合され得る。

セキュアエレメント（例えば、セキュアエレメント１０６ａ−１）の製造中、セキュアエレメントには、例えば、ＭＮＯのＳＤ、中央ＳＤ、ウォレットコンパニオンアプレット、モバイルウォレットコンパニオンアプレット（ＷＣＡｐ）、近接支払いシステム環境（ＰＰＳＥ）、および支払いパッケージを含むコンテンツが事前に読み込まれる。ＭＮＯのＳＤは、ＭＮＯによって管理されるセキュリティドメインであり、セキュリティキーおよびアプリケーションを含む。中央ＳＤは、中央ＴＳＭ１０２によって管理される。ＷＣＡｐは、取引を行うためにモバイルウォレットによって使用され得、ＰＰＳＥは、非接触型支払い取引を生成する処理を支援するアプリケーションである。

セキュアエレメント１０６ａは、セキュリティドメイン、コード、アプレット、アプリケーション、およびパッケージを含み得る。パッケージは、インスタンス化されていないアプレットおよび／またはアプリケーションを含み得、セキュアエレメント、例えば、オーバーザエア（ＯＴＡ）で読み込まれ得る。セキュアエレメント上のアプレットおよび／またはアプリケーションは、インスタンス化されていないまたはインスタンス化された形態であり得、インスタンス化されていないアプレットおよび／またはアプリケーションは、セキュアエレメントの製造中にセキュアエレメント上に事前に読み込まれ得る。代替的に、アプレットおよび／またはアプリケーションは、セキュアエレメントが製造された後（例えば、セキュアエレメントをユーザに配布する際）、例えば、ＯＴＡで読み込まれ得る。アプレットおよび／またはアプリケーションは、汎用または非汎用であり得る。非汎用アプレットおよび／またはアプリケーションは、クーポンおよびロイヤルティアプリケーション、および／または複数のサービスプロバイダに一般的ではない任意のアプリケーションを含み得る。つまり、非汎用アプリケーションは、単一のサービスプロバイダに対応し得る。非汎用アプリケーション（例えば、オファー、クーポン）と共に使用され得る、および／またはそれと関連付けられ得るデータは、セキュアエレメント内、またはセキュアエレメント（例えば、モバイルデバイスの不揮発性メモリ）の外側にあるメモリ内に記憶され得る。

汎用アプレットおよび／またはアプリケーションは、インスタンス化されたとき、複数のサービスプロバイダによって使用することができるアプレットおよび／またはアプリケーションを含み得る。例えば、支払いネットワーク（例えば、ＭａｓｔｅｒＣａｒｄ（登録商標））の汎用アプリケーションは、中央ＴＳＭによって複数のサービスプロバイダのためにインスタンス化され得、したがって、２つ以上のサービスプロバイダによって使用され得る。

インスタンス化されていないアプレットおよび／またはアプリケーションを含むパッケージは、中央ＴＳＭおよび／または中央ＳＤを制御する単一の実体によって所有または制御され得る。インスタンス化されていないアプレットおよび／またはアプリケーションは、中央ＳＤの下で（すなわち、それに直接関連付けられて）、セキュアエレメント上で作成され得、セキュアエレメント上で中央ＴＳＭによって中央ＳＤを用いて独占的に管理され得る。具体的には、中央ＳＤは、ＷＣＡｐ、ＰＰＳＥ、パッケージ、およびＳＰのＳＤへの排他的アクセスを維持する。しかしながら、サービスプロバイダは、例えば、セキュリティキーを循環する（すなわち、交換する）ために要求を中央ＴＳＭに送信し得る。ＳＰのＳＤのセキュリティキーが循環された後、対応するサービスプロバイダは、対応するＳＰのＳＤ上でコマンドを実行するために要求を中央ＴＳＭに送り続けることができる。キーの循環後、中央ＴＳＭは、ＳＰのＳＤに対する限定されたアクセスを有する。具体的には、中央ＴＳＭは、例えば、アプリケーションの実行を停止するか、またはＳＰのＳＤ下でアプリケーションをインスタンス化することができるが、セキュリティキーまたはＳＰのＳＤの個人化されたコンテンツにアクセスすることができない。

インスタンス化されていないアプレットまたはアプリケーションの排他的所有権、制御、および／または管理は、単一の実体が効率的かつ費用効果的にアプレットおよび／またはアプリケーションを監督することを許容する。更に、排他的所有権、制御、および／または管理は、セキュリティを増大させ、セキュアエレメント上で異なるアプレットおよび／またはアプリケーションを読み込み、制御する複数のサービスプロバイダによって引き起こされる複雑さを最小化する。例えば、サービスプロバイダは、セキュアエレメント上で独立したアプレットおよび／またはアプリケーションを認証してインストールする代わりに、インスタンス化されていないアプレットおよび／またはアプリケーションのインスタンスを利用し得る。

加えて、インスタンス化されていないアプレットおよび／またはアプリケーションがインスタンス化され得、次いで、各インスタンスは対応するセキュリティドメインに引き渡され得る。インスタンス化は、インスタンスがその実体のために作成される実体に対応するデータを使用してアプレットおよび／またはアプリケーションを個人化することを含み得る。

例えば、インスタンス化されていないアプレットまたはアプリケーションの複数のインスタンスは、異なる実体（例えば、サービスプロバイダ）のために作成され得、各インスタンスは、異なる実体による使用のために異なるセキュリティドメインに引き渡され得る。

セキュアエレメント上のアプレットまたはアプリケーションは、グローバルプラットフォーム、Ｅｕｒｏｐａｙ、ＭａｓｔｅｒＣａｒｄ（登録商標）、Ｖｉｓａ（登録商標）（ＥＭＶＣｏ．）、ＭＮＯ、および支払いネットワーク（例えば、ＭａｓｔｅｒＣａｒｄ（登録商標）、Ｖｉｓａ（登録商標）、Ｄｉｓｃｏｖｅｒ（登録商標）、Ａｍｅｒｉｃａｎ Ｅｘｐｒｅｓｓ（登録商標））によって確立された要件に従って機能し得る。アプレットまたはアプリケーションは、例えば、ｅｘｐｒｅｓｓｐａｙ（商標）、ｐａｙＷａｖｅ（商標）、ＰａｙＰａｓｓ（商標）、Ｚｉｐ（商標）、および同種のものであり得る。

例えば、ＳＰのＴＳＭ１０３−１は、要求を中央ＴＳＭ１０２に通信ネットワーク１０５を介して送り、中央ＴＳＭ１０２は、ＳＰのＴＳＭ１０３−１に通信ネットワーク１０５を介して応答を返送する。ＳＰのＴＳＭ１０３−１は、セキュアエレメント１０６ａ−１を対象として、中央ＴＳＭ１０２に通信ネットワーク１０５を介して要求を送る。次に、中央ＴＳＭ１０２は、セキュアエレメント１０６ａ−１にそれぞれのモバイルネットワーク１０４−１を介して要求を送る。

代替的な実施形態において、中央ＴＳＭ１０２はＥＳＢを含み、それを利用して操作を実施する。

代替的な実施形態において、複数のサービスプロバイダは、ＳＰのＴＳＭ１０３のうちの１つを共有する。

更なる代替的な実施形態において、メモリ１０２ｂはデータベースであり得る。

代替的な実施形態において、複数のモバイルネットワークは、複数のＳＰのＴＳＭと通信する。
処理
Ａ．サービスプロバイダＴＳＭからセキュアエレメントに要求を通信する
図２は、例示的な実施形態に従うＳＰのＴＳＭ２０３（例えば、図１、ＳＰのＴＳＭ１０３−１）からセキュアエレメント２０１（例えば、図１、ＳＥの１０６ａ−１）に要求を送るためのシーケンス図面２００を示す。要求は、例えば、スクリプトを処理する、通信を管理する、またはサービスを有効化する、セキュアエレメント２０１への要求であり得る。これらのタイプの要求は、図２および３を参照しながら以下に更に詳細に考察される。

図２に示されるように、ステップ２５０において、ＳＰのＴＳＭ２０３は、要求（要求ｘ）を中央ＴＳＭ２０２に通信ネットワーク（例えば、図１、通信ネットワーク１０５）を介して送信する。この要求は、要求に含まれるモバイル加入識別子（ＭＳＩ）に基づいて、セキュアエレメント識別子を含むセキュアエレメントデータを検索する要求であり得る。

セキュアエレメント識別子は、セキュアエレメント２０１に書き込まれる一意の番号または文字の集まりであり、セキュアエレメント２０１を識別するために使用され得る。セキュアエレメント識別子はまた、セキュアエレメントを識別する一意の番号であり、その個人化中にセキュアエレメントに書き込まれるカードイメージ番号（ＣＩＮ）などのセキュアエレメントを識別するために使用される識別子のタイプを含み得る。

セキュアエレメントデータは、セキュアエレメント２０１の属性である。セキュアエレメントデータは、セキュアエレメント２０１に関連する以下の情報を含み得る：セキュアエレメント識別子、セキュアエレメント２０１と関連付けられたＭＮＯの名称、ＳＰのＴＳＭ２０３と関連付けられたサービスプロバイダについてのサービスプロバイダのデータ、セキュアエレメント２０１内のサービスプロバイダのセキュリティドメイン用のキーを含むマスターキーインデックス、プロファイル識別子、セキュアエレメントのタイプ、スタンダードバージョン（例えば、グローバルプラットフォーム、ジャバカード（ＪａｖａＣａｒｄ））、認証レベル、および失効日。

ＭＳＩは、ＭＮＯと関連付けられたモバイルデバイスのモバイル加入を識別するために使用される一意の番号である。ＭＳＩはまた、モバイル加入と関連付けられたＭＮＯの名称と、一般に、特定のサービスラインと関連付けられた電話番号であるモバイルデバイス番号（ＭＤＮ）などの、モバイルデバイスのモバイル加入を識別するために使用される識別子のタイプとを含む。

中央ＴＳＭ２０２は、ステップ２５２において、ＭＳＩを含む要求（要求ｘ）を受信して、そのメモリを照会する（メモリを照会）。メモリは、１つ以上のＭＳＩ、１つ以上の対応するセキュアエレメント識別子、およびセキュアエレメントデータを含むデータベースであり得る。メモリはまた、セキュアエレメント識別子の各々に対応するＭＮＯデータを含み得る。ＭＮＯデータは、セキュアエレメントが関連付けられたＭＮＯを識別するために使用される情報であり得、セキュアエレメントと通信するために使用される適切なモバイルネットワークを選択するために使用され得る。照会は、メモリから、ＭＳＩに対応するセキュアエレメント識別子を含むセキュアエレメントデータを検索する要求である。

ＭＳＩに対応するセキュアエレメントデータを検索する際に、中央ＴＳＭ２０２は、ステップ２５４において、ＳＰのＴＳＭ２０３に通信ネットワークを介して、セキュアエレメント識別子を含むそのデータベースを記憶する検索されたセキュアエレメントデータを送信する（応答）。中央ＴＳＭの２０２はまた、ＳＰのＴＳＭ２０７に要求内に含まれる対応するＭＳＩを送信する（応答）。このようにして、ＳＰのＴＳＭ２０３は、それが要求を送るであろうセキュアエレメント２０１のアイデンティティを判定する。

ＳＰのＴＳＭ２０３は、中央ＴＳＭ２０２から受信したセキュアエレメントデータを使用して、ステップ２５６において、要求（要求ｙ）を中央ＴＳＭ２０２に送信する。中央ＴＳＭ２０２は、ＳＰのＴＳＭ２０３が要求の宛先としたセキュアエレメント２０１のセキュアエレメント識別子を含むこの要求（要求ｙ）を受信する。

この要求（要求ｙ）は、セキュアエレメント２０１が以下のことをする１つ以上の要求含み得る：通信を管理する、１つ以上のスクリプトを処理する、またはサービスを有効化する。例えば、要求を使用して、セキュアエレメントに、例えば、個人化、キー循環、および図３および４を参照しながら以下に考察される他の処理を実施するように命令し得る。

中央ＴＳＭ２０２は、モバイルネットワーク（例えば、図１、モバイルネットワーク１０４−１）を、要求（要求ｙ）内のセキュアエレメントデータに対応するメモリ内のＭＮＯデータに基づいて、複数のモバイルネットワークから判定する。モバイルネットワークの判定時に、中央ＴＳＭ２０２は、ステップ２５８において、以前の要求（要求ｙ）に基づいた要求（要求ｚ）を、セキュアエレメント２０１にモバイルネットワークを介して送信する。このようにして、セキュアエレメント２０１は、ステップ２６０において、要求を処理し得る（要求を処理）。

代替的な実施形態において、セキュアエレメント２０１は、ＳＰのＴＳＭ２０３からの要求を完了したか、または処理した後、中央ＴＳＭ２０２にモバイルネットワークを介して応答を送信し得る。この応答は、例えば、要求の処理が成功したか失敗したかを示す情報を含み得る。

代替的な実施形態において、セキュアエレメントデータは、セキュアエレメント識別子を含み得ない。このような場合、ＳＰのＴＳＭ２０３は、（ＭＳＩに基づく）セキュアエレメント識別子およびセキュアエレメントデータを別途要求し得、中央ＴＳＭ２０２は、ＳＰのＴＳＭ２０３への別個の応答内のセキュアエレメント識別子およびセキュアエレメントデータを提供し得る。

代替的な実施形態において、ＳＰのＴＳＭ２０３は、必要な場合（すなわち、もしＳＰのＴＳＭ２０３に対応する１つ以上のセキュリティドメインが作成されていない場合）、セキュアエレメント２０１上で１つ以上のセキュリティドメインを作成することを含めて、セキュアエレメント２０１を事前に提供するように中央ＴＳＭ２０２に要求をまず送信し得る。一旦１つ以上のセキュリティドメインが作成されると、ＳＰのＴＳＭ２０３は、例えば、インスタンス化されていないアプリケーションをインスタンス化する要求を含めて、中央ＴＳＭ２０２に後続の要求を送信することができる。次に、中央ＴＳＭ２０２は、インスタンス化されたアプリケーション（すなわち、インスタンス）を対応するセキュリティドメイン（例えば、中央ＳＤ、ＳＰのＳＤ）に引き渡す。

代替的な実施形態において、中央ＴＳＭ２０２はＥＳＢを含み、ＥＳＢを利用して要求を処理する（例えば、スクリプトを処理すること、通信を管理すること、またはサービスを有効化することを含む）。
Ｂ．セキュアエレメントに対する複数のサービスプロバイダＴＳＭの要求通信
図３は、例示的な実施形態に従うＳＰのＴＳＭ３０３（例えば、図１、ＳＰのＴＳＭ１０３−１）からセキュアエレメント３０１（例えば、図１、ＳＥの１０６ａ−１）に複数の要求を送るためのシーケンス図面３００を示す。

図３において、ステップ３５２において、ＳＰのＴＳＭ３０３は、通信ネットワーク（例えば、図１、通信ネットワーク１０５）を介して中央ＴＳＭ３０２に、セキュアエレメント識別子を取得する要求を含めて、要求（ＳＥ識別子を要求）を送信する。要求（ＳＥ識別子を要求）は、セキュアエレメント３０１と関連付けられたＭＳＩを含み、該セキュアエレメントに対して、ＳＰのＴＳＭ３０３が要求を送ることを望む。ＭＳＩを用いて、ステップ３５４において、中央ＴＳＭ３０２は、照会（メモリを照会）を実施し、要求に含まれるＭＳＩに対応するセキュアエレメント識別子を検索する。ステップ３５６において、中央ＴＳＭ３０２は、検索されたセキュアエレメント識別子をＳＰのＴＳＭ３０３に通信ネットワークを介して送信する（ＳＥ識別子要求に応答）。

一旦ＳＰのＴＳＭ３０３が、セキュアエレメント識別子を受信すると、ＳＰのＴＳＭ３０３は、ステップ３５８において、セキュアエレメント３０１と関連付けられた（図２を参照しながら上に更に詳細に考察される）セキュアエレメントデータを取得する要求を含む要求（ＳＥデータを要求）を、通信ネットワークを介して中央ＴＳＭ３０２に送信する。この要求（ＳＥデータを要求）は、（中央ＴＳＭ３０２から受信した）セキュアエレメント識別子および対応するＭＳＩを含む。セキュアエレメント識別子および対応するＭＳＩを用いて、ステップ３６０において、中央ＴＳＭ３０２は、照会（メモリを照会）を実施し、セキュアエレメント識別子に対応するセキュアエレメントデータを検索する。ステップ３６２において、中央ＴＳＭ３０２は、検索されたセキュアエレメントデータを通信ネットワーク上のＳＰのＴＳＭ３０３に送信する（ＳＥデータ要求に応答する）。

ステップ３６４において、ＳＰのＴＳＭ３０３は、その後、要求（通信を管理する要求（開始））を、受信したセキュアエレメント識別子およびデータに基づいて、通信を管理するために中央ＴＳＭ３０２に送信する。
１．通信を管理する
一般に、通信を管理する要求は、通信を開始する要求または通信を終了する要求を含み得る。例示的な一実施形態において、通信は、第１のデバイス（例えば、ＳＰのＴＳＭ３０３、中央ＴＳＭ３０２）から第２のデバイス（例えば、セキュアエレメント３０１）への通知であり、これは、第１のデバイスが第２のデバイスと共にオーバーザエア（ＯＴＡ）通信または操作を実施することを意図している。

図３に示されるように、ステップ３６４において、ＳＰのＴＳＭ３０３は、通信パラメータおよび識別子を確立することができるように、通信ネットワークを介して中央ＴＳＭ３０２に、通信を確立する要求（通信を管理する要求（開始））を送信する。そうすることで、ＳＰのＴＳＭ３０３がセキュアエレメント３０１上での操作の実行を要求するであろうことを中央ＴＳＭ３０２に通知する。この操作は、例えば、ＳＰのＴＳＭ３０３によって要求されるスクリプトの実行、またはセキュアエレメント３０１上でのサービスの有効化であり得る。

ステップ３６４において、ＳＰのＴＳＭ３０３によって、中央ＴＳＭ３０２に送信される通信要求（通信を管理する要求（開始））は、以下の属性を含み得る：セキュアエレメント識別子、ＭＳＩ、サービス識別子、サービス修飾子、対象のアプリケーション識別子、ＯＴＡ通信中に実行されるべきスクリプトの形式およびサイズ、ならびに要求された操作（例えば、キー循環、個人化）。「要求された操作」属性は、中央ＴＳＭ３０２によって使用され、その操作の進捗状況を追跡する。

サービス識別子は、サービスの一般的な定義を識別するために使用されるサービス識別子番号およびバージョンを含み得る。サービス修飾子は、サービスプロバイダ名および支払いアカウント参照番号（ＰＲＮ）を含む。

このサービス修飾子は、通信中にコマンドを含めた要求を用いて動作を行う（例えば、インストールされる、ロックされる、ロック解除される、削除される）対象のサービス（すなわち、サービス識別子に対応するサービス）の特定のインスタンスを識別するために使用される。

このＰＲＮは、サービスと関連付けられた資格情報またはカード（例えば、支払いカード）を識別するための一意の番号である。

図３に示されるように、要求（通信を管理する要求（開始））を受信した後、中央ＴＳＭ３０２は、ステップ３６６において、応答（通信を管理する要求への応答（開始））をＳＰのＴＳＭ３０３に通信ネットワークを介して送信する。この応答は、以下の属性を含み得る：通信識別子、ＯＴＡベアラ（すなわち、要求の送信を担う実体）、操作において要求されるスクリプトの最大数およびサイズ、スクリプト形式、許可される通信の長さ。

図３に更に示されるように、ステップ３７４および３８８において、１つ以上のスクリプトが処理された後（以下に更に詳細に考察される）、ＳＰのＴＳＭ３０３は、通信（すなわち、通信識別子に対応する通信）を終了するために、要求（通信を管理する要求（終了））を中央ＴＳＭ３０２に通信ネットワークを介して送信する。この要求は、ＳＰのＴＳＭ３０３によって以前受信した通信識別子および操作の状態（例えば、失敗または成功）を含み得る。そうすることで、ＳＰのＴＳＭ３０３は、通信識別子に対応する通信が使用されることはもはや意図されず、この通信がもはや使用され得ないことを示す。ステップ３７６および３９０において、中央ＴＳＭ３０２は、操作の状態（例えば、失敗または成功）を含めて、応答（通信を管理する要求への応答（終了））をＳＰのＴＳＭ３０３に通信ネットワークを介して送信する。

図３に示されるように、通信が開放されている（すなわち、通信が開始されて終了していない）間に、ＳＰのＴＳＭ３０３は、１つ以上のスクリプトを処理するために要求を中央ＴＳＭ３０２に送る。
２．１つ以上のスクリプトを処理する
一般に、１つ以上のスクリプトを処理する要求は、ＳＰのＴＳＭ３０３が、中央ＴＳＭ３０２を使用してセキュアエレメント３０１を対象とする１組のコマンドアプリケーションプロトコルデータユニット（ＡＰＤＵ）を送ることを要求し、セキュアエレメント３０１上で実行されることを可能にする。この要求は、例えば、グローバルプラットフォームメッセージング規格に基づいたものであり得、例えば、以下のことを要求するために使用され得る：アプリケーションの個人化、キーの循環、および／または事後の個人化。処理のためにセキュアエレメントに送信することができるコマンドの一覧は、図５〜８を参照しながら以下に詳細に考察される。

各スクリプトまたはコマンドＡＰＤＵは、セキュアエレメント上で事前に記憶された（すなわち、製造中に読み込まれた）データに基づいてまたそれを使用した操作を実行するために使用され得る。このデータは、例えば、コード、アプレット、またはアプリケーションを含み得る。スクリプトおよび／またはＡＰＤＵコマンドを用いて、ＳＰのＴＳＭ３０３は、中央ＴＳＭ３０２が、例えば、セキュアエレメント３０１上のインスタンス化されていないアプリケーションをインスタンス化して、このインスタンスをセキュアエレメント３０１上の対応するセキュリティドメインに引き渡すことを要求し得る。

例示的な一実施形態において、アプリケーションの個人化は、セキュアエレメント内のセキュリティドメイン上のアプリケーションへのデータの挿入またはアップロードである。つまり、サービスプロバイダは、アカウントおよび顧客データを含む機密データを顧客のモバイルデバイス内のセキュアエレメント上のアプリケーションへ挿入またはアップロードし得る。より具体的には、ＳＰのＴＳＭは、コマンドおよびデータを含むアプリケーションを個人化する要求を中央ＴＳＭに送信し得る。次いで、中央ＴＳＭは、ＳＰのＴＳＭから受信した要求に基づいて、顧客と関連付けられたセキュアエレメント上のアプリケーションを個人化するためにセキュアエレメントに要求を送り得る。

例示的な一実施形態において、キー循環は、サービスプロバイダによってセキュアエレメント内のセキュリティドメインへ提供される、デジタルキーを設定するまたは挿入する概念（すなわち、暗号化アルゴリズムの作業を元に戻すアルゴリズム）である。

例示的な一実施形態において、事後の個人化は、中央ＴＳＭを介してセキュアエレメントへのコマンドＡＰＤＵを含む要求を送る概念である。具体的には、事後の個人化要求は、個人化が実施された後、未解決のコマンドを実行するためにサービスプロバイダによって送信される。

１つ以上のスクリプトを処理する要求は、セキュリティドメインを参照しながら、（上で説明されるように）通信識別子、およびセキュアエレメント３０１に送信されてセキュアエレメント３０１で実行されるコマンドＡＰＤＵの一覧を含み得る。つまり、ＳＰのＴＳＭ３０３は、確立された通信（およびその中で定義される属性）を使用して、特定の対応するアプリケーションまたはインスタンス化されていないアプリケーションに関して実行されるようにセキュアエレメント３０１にコマンドの一覧を送る。

コマンドＡＰＤＵの例としては、以下が挙げられる：「キー削除」、「データ取得」、「状態取得」、「キー入力」、「選択」、「状態設定」、「データ記憶」、および「インストール」。これらのコマンドＡＰＤＵを使用して、アプリケーションおよびアプリケーションデータを検索し、アプリケーションを選択し、アプリケーションをロックおよびロック解除し、アプリケーションを個人化し、インスタンス化されていないアプリケーションをインスタンス化し、インスタンス化されたアプリケーションを対応するＳＰのＳＤに引き渡し、セキュリティドメインキーを最新化および削除し得る。コマンドＡＰＤＵは、図５〜８を参照しながら以下に更に詳細に考察される。

図３に示されるように、ステップ３６８において、ＳＰのＴＳＭ３０３は、要求（（キー循環のために）スクリプトを処理する要求）を、スクリプトを処理するために中央ＴＳＭ３０２に通信ネットワークを介して送信する。具体的には、この要求は、要求を送信するために使用される確立された通信である通信識別子を含む。この要求はまた、セキュアエレメント３０１内のセキュリティドメイン上でキー循環を実施するためのコマンド（すなわち、コマンドＡＰＤＵ）を含む。応答では、ステップ３７２において、中央ＴＳＭ３０２は、応答ＡＰＤＵの一覧および実行に失敗したコマンドＡＰＤＵの一覧を含めて、応答（（キー循環のために）スクリプトを処理する要求への応答）をＳＰのＴＳＭ３０３に送信する。

図３に更に示されるように、ステップ３７０において、キー循環を実施する要求が処理された後、ＳＰのＴＳＭ３０３は、要求（通信を管理する要求（終了））をステップ３７４において、中央ＴＳＭ３０２に送信することによって以前に開始された通信を終了することを要求する。ステップ３７６において、中央ＴＳＭは、応答（通信を管理する要求への応答（終了））をＳＰのＴＳＭ３０３に送信する。次に、ＳＰのＴＳＭ３０３は、ステップ３７８において要求（通信を管理する要求（開始））を送信することによって後続の通信の始動（すなわち、開始）を要求し、ステップ３８０において中央ＴＳＭ３０２からの応答（通信を管理する要求への応答（開始））内の対応する通信識別子を取得する。ステップ３８０で取得される通信および通信識別子を使用して、ＳＰのＴＳＭ３０３は、ステップ３８２において、スクリプトを処理するための追加の要求（スクリプトを処理する要求（アプリケーションを個人化））を、通信ネットワークを介して中央ＴＳＭ３０２に送信する。具体的には、この要求は、要求を送信するために使用されるであろう開放された通信である通信識別子と、セキュアエレメント３０１内のセキュリティドメイン上でアプリケーションの個人化を実施するためのコマンド（すなわち、コマンドＡＰＤＵ）の一覧を含む。ステップ３８４において、この要求が処理される（アプリケーションを個人化）。応答では、ステップ３８６において、中央ＴＳＭ３０２は、応答ＡＰＤＵの一覧および実行に失敗したコマンドＡＰＤＵの一覧を含めて、応答（スクリプトを処理する要求への応答（アプリケーションを個人化））をＳＰのＴＳＭ３０３に送信する。ステップ３８８において、ＳＰのＴＳＭ３０３は、通信を終了する要求（通信を管理する要求（終了））を中央ＴＳＭ３０２に送信する。ステップ３９０において、中央ＴＳＭ３０２は、応答（通信を管理する要求への応答（終了））を送信する。

代替的な実施形態において、キー循環を実施する要求およびアプリケーションの個人化を実施する要求は、ＳＰのＴＳＭ３０３から中央ＴＳＭ３０２に単一の要求において送信される。

別の代替的な実施形態において、複数の操作が単一の通信中に実施される。
３．サービスを有効化する
図３に示されるように、ステップ３９２において、ＳＰのＴＳＭ３０３は、通信ネットワークを介してサービス（例えば、支払いサービス）を有効化するために要求（サービスを有効化する要求）を中央ＴＳＭ３０２に送信する。

一般に、サービスを有効化する要求は、サービスプロバイダのサービスを有効化して、そのサービスと関連付けられるアプリケーションを特定のセキュアエレメント上で選択可能にするために使用される。この要求は、以下の属性を含み得る：セキュアエレメント識別子、ＭＳＩ、サービス識別子、およびサービス修飾子。このサービス識別子およびサービス修飾子を使用して、セキュアエレメント３０１上で有効化されるべきサービスの一般的および特定のインスタンスを識別し得る。

この中央ＴＳＭ３０２は、サービスを有効化する要求を受信して、ステップ３９４において、要求内で提供される情報を用いて要求を処理する。この中央ＴＳＭ３０２は、ステップ３９６において、要求の実行状態（すなわち、実行が失敗したか成功したか）を示す情報を含めて、ＳＰのＴＳＭ３０３へ、要求への応答（サービスを有効化する要求への応答）を送信する。

代替的な実施形態において、サービスを有効化する要求、およびキー循環、ならびに／またはアプリケーションの個人化を実施する要求は、単一の要求においてＳＰのＴＳＭ３０３から中央ＴＳＭ３０２に送信される。

代替的な実施形態において、中央ＴＳＭ３０２はＥＳＢを含み、ＥＳＢを利用して要求を処理する（例えば、スクリプトを処理すること、通信を管理すること、またはサービスを有効化することを含む）。
Ｃ．ＳＰのＴＳＭからセキュアエレメントに事前個人化要求を送信する
図４は、ＳＰのＴＳＭ４０３（例えば、図１、ＳＰのＴＳＭ１０３−１）からセキュアエレメント４０１（例えば、図１、ＳＥ１０６ａ−１）に事前個人化の要求を送る例示的なシーケンス図面４００を示す。

図４では、ステップ４５２において、ＳＰのＴＳＭ４０３は、セキュアエレメント識別子を含めてセキュアエレメントデータを取得する要求（ＳＥデータを要求）を通信ネットワーク（例えば、図１、通信ネットワーク１０５）を介して中央ＴＳＭ４０２に送信する。この要求は、ＭＳＩを含む。

要求を受信すると、中央ＴＳＭ４０２は、ステップ４５４において、要求（ＳＥデータを要求）内に含まれるＭＳＩに基づいて、セキュアエレメント識別子を含めたセキュアエレメントデータについてメモリを照会する（メモリを照会）。一旦セキュアエレメントデータが検索されると、中央ＴＳＭ４０２は、ステップ４５６において、セキュアエレメントデータを含む応答（ＳＥデータ要求への応答）をＳＰのＴＳＭ４０３に送信する。

図４に示されるように、ステップ４５８において、ＳＰのＴＳＭ４０３は、事前個人化要求（事前個人化を要求）を中央ＴＳＭ４０２に通信ネットワークを介して送信する。この要求は、事前個人化がそのために要求されるサービス（およびその対応するアプリケーション）を識別するための属性、ならびに事前個人化要求を実行するためのコマンドを含み得る。とりわけ、要求は、セキュアエレメント上でインスタンス化されるサービスのアプリケーションを含まない。

例示的な一実施形態において、事前個人化は、セキュリティドメインを作成すること、１つ以上のインスタンス化されていないアプリケーションをインスタンス化すること、インスタンスをセキュリティドメインに引き渡すことを含む。事前個人化はまた、セキュリティドメインおよびアプリケーションが既にセキュアエレメント上に存在するかを判定する、技術的適格性の確認を実施する、アプリケーションを読み込んでインスタンス化することを含み得る。

この中央ＴＳＭ４０２は、事前個人化要求を受信して、この要求に基づいて、ステップ４６０において、要求（セキュリティドメイン作成を要求）をセキュアエレメント４０１に送信して、セキュリティドメインを作成する（図５〜８を参照しながら以下に更に詳細に考察される）。セキュリティドメインがセキュアエレメント４０１上に作成された後、中央ＴＳＭ４０２は、ステップ４６２において、サービスプロバイダのサービスと関連付けられた１つ以上のアプリケーションをインスタンス化する要求（アプリケーションのインストールを要求）をセキュアエレメント４０１に送信する。

中央ＴＳＭ４０２は、要求をセキュアエレメント４０１に送信した後、ステップ４６４において、事前個人化応答（事前個人化要求への応答）をＳＰのＴＳＭ４０３に送信して、ＳＰのＴＳＭ４０３によって要求された事前個人化が失敗したか成功したかを示す。

セキュアエレメント４０１はまた、各要求が処理された後、各要求への応答を送信し得る。

中央ＴＳＭ４０２はまた、アプリケーションがインスタンス化されたかおよび／またはセキュリティドメインがセキュアエレメント上に作成されたかを判定し得る。

中央ＴＳＭ４０２へのＳＰのＴＳＭ４０３の要求は、エンタープライズサービスバス（ＥＳＢ）を介して送信される。

代替的な実施形態において、中央ＴＳＭ４０２はＥＳＢを含み、ＥＳＢを利用して要求を処理する（例えば、スクリプトを処理すること、通信を管理すること、またはサービスを有効化することを含む）。
Ｄ．埋め込まれたセキュアエレメントの構成
図５は、例示的な実施形態に従うセキュアエレメント構成５００を示す。図５に示されるように、セキュアエレメント構成５００は、セキュアエレメント５０１、中央ＴＳＭ５０２、およびＳＰのＴＳＭ５０３を含む。セキュアエレメント５０１は、中央セキュリティドメイン（ＳＤ）５０４、ＳＰのＳＤ５０５、およびＳＰのＳＤ５０６を含む。セキュアエレメント５０１は、埋め込まれたセキュアエレメントとして、または別個のチップまたはセキュアデバイスなどのＮＦＣイネーブラとして実装される。

中央ＳＤ５０４は、インスタンス化されたアプレット（例えば、アプレット５０５−１および５０６−１）を含めて、セキュアエレメント５０１上のコンテンツ管理操作を実施し得る。つまり、アプレット５０５−１および５０６−１は、アプリケーション（すなわち、インスタンス化されていないアプリケーション）のインスタンスである。具体的には、中央ＳＤ５０４は、アプリケーション（例えば、アプレット５０５−１および５０６−１）を安全に管理して、ＳＰのＳＤを作成して、セキュアエレメント内のアプレットまたはアプリケーションで管理操作を実施する。

ＳＰのＳＤ５０５および５０６の各々は、それぞれアプレットインスタンス５０５−１および５０６−１と関連付けられ、ＳＰのＳＤ５０５および５０６は、セキュアチャネルの確立においておよびアプレット個人化処理において、それらのそれぞれのアプレットを支援する。アプレットインスタンス５０５−１および５０６−１は、インスタンス化されていないアプレットまたはアプリケーションをインスタンス化することによって、作成され得る。アプレットインスタンス（例えば、アプレット５０５−１および５０６−１）は、中央ＳＤ５０４下で（すなわち、それと関連付けられて）作成され、適切な場合には、アプレットインスタンスは、それらのそれぞれのＳＰのＳＤに引き渡される（すなわち、配布される）（例えば、アプレット５０５−１は、そのそれぞれのＳＤ、ＳＰのＳＤ５０５に引き渡される）。インスタンスが引き渡されない場合、それは、中央ＳＤ５０４下に残り得る。

図５に示されるように、中央ＴＳＭ５０２は、中央ＳＤ５０４を管理する。つまり、中央ＴＳＭ５０２は、中央ＳＤ５０４のキー（およびその関連付けられたアプリケーション）を制御することによって、セキュアエレメントマネジャーとして動作し、したがって、その関連付けられた特権のいずれかを使用することができる（表−１を参照しながら以下に更に詳細に考察される）。中央ＳＤ５０４を介して、中央ＴＳＭ５０２は、セキュアエレメント５０１上の任意のアプレットまたはアプリケーションを読み込む、インストールする、引き渡す、ロックする、または削除することができる。加えて、中央ＴＳＭ５０２は、ＳＰのＳＤを作成および管理し得、セキュアエレメント５０１をロックし得る。

図５に示されるように、ＳＰのＴＳＭ５０３は、ＳＰのＳＤ５０６およびアプレット５０６−１と関連付けられ、それらを管理する。つまり、ＳＰのＴＳＭ５０３は、ＳＰのＳＤ５０６およびアプレット５０６−１へのキーを保持し、ＳＰのＳＤ５０６と関連付けられた特権のいずれかを使用することができる（表−１を参照しながら以下に更に詳細に考察される）。

ＳＰのＳＤ５０５および５０６は、中央ＴＳＭ５０２によって管理され取り扱われるバイナリファイルの整合性を検証するために、データ認証パターン（ＤＡＰ）検証特権を有する（表−１を参照しながら以下に更に詳細に考察される）。ＤＡＰ検証を必要としないデータパッケージは、中央ＳＤ５０４下に（すなわち、それと関連付けられて）読み込まれ（例えば、支払いパッケージ５０８）、ＤＡＰ検証が必要なデータパッケージは、それらのそれぞれのＳＰのＳＤ下に読み込まれる。

表−１は、セキュアエレメント構成５００に従って、中央ＳＤ（例えば、中央ＳＤ５０４）に割り当てられる特権（例えば、グローバルプラットフォーム特権）、およびＳＰのＳＤ（例えば、ＳＰのＳＤ５０５および５０６）を示す。

表−２は、セキュアエレメント構成５００に従って、中央ＳＤ（例えば、中央ＳＤ５０４）によってサポートされる特権（例えば、グローバルプラットフォーム特権）コマンドを示す。

表−３は、セキュアエレメント構成５００に従って、ＳＰのＳＤ（例えば、ＳＰのＳＤ５０５および５０６）によってサポートされるコマンド（例えば、グローバルプラットフォームコマンド）を示す。

代替的な実施形態において、ＳＰのＳＤ５０５および５０６の一方または両方が、ＤＡＰ検証特権を有さない。

代替的な実施形態において、セキュアエレメント５０１が、複数の中央ＳＤを含む。

別の代替的な実施形態において、各ＳＰのＳＤは、対応するＳＰのＴＳＭと関連付けられる。
Ｅ．ＵＩＣＣのセキュアエレメント構成
図６は、例示的な実施形態に従うセキュアエレメント構成６００を示す。図６に示されるように、セキュアエレメント構成６００は、セキュアエレメント６０１、中央ＴＳＭ６０２、ＳＰのＴＳＭ６０３、およびＭＮＯ６０７を含む。

セキュアエレメント６０１は、ＵＩＣＣとして実装され、中央ＳＤ６０４、セキュアエレメント発行者ＳＤ（ＩＳＤ）６０５、ＭＮＯのＳＤ６０６、ＳＰのＳＤ６０８、およびＳＰのＳＤ６０９を含む。ＭＮＯのＳＤ６０６は、電気通信アプレット６１２と関連付けられる。中央ＳＤ６０４は、パッケージ６１０およびウォレットコンパニオンアプレット６１１と関連付けられる。中央ＳＤ６０４と関連付けられたＳＰのＳＤ６０８および６０９は、それぞれアプレット６０８−１および６０９−１と関連付けられる。

ＩＳＤ６０５は、中央ＳＤ６０４およびＭＮＯのＳＤ６０６を作成するが、任意の他のコンテンツ管理機能を実施しない。

ＭＮＯのＳＤ６０６は、（表−２を参照しながら以下に更に詳細に考察される）認証された管理特権を有し、ＭＮＯ６０７によって命令されるようにコンテンツを管理する。

中央ＳＤ６０４は、（表−２を参照しながら以下に更に詳細に考察される）認証された管理特権を有し、中央ＴＳＭ６０２によって命令されるようにコンテンツを管理する。具体的には、中央ＳＤ６０４は、アプリケーションを安全に管理し、ＳＰのＳＤを作成し、セキュアエレメント内のアプレットまたはアプリケーション上で管理操作を実施し得る。

ＳＰのＳＤ６０８および６０９は、セキュアチャネルの確立においておよびアプレット個人化処理において、それらのそれぞれのアプレットを支援する。アプレットインスタンス６０８−１および６０９−１は、インスタンス化されていないアプレットまたはアプリケーションをインスタンス化することによって作成され得る。アプレットインスタンス（例えば、アプレット６０８−１および６０９−１）は、中央ＳＤ６０４下で（すなわち、それと関連付けられて）作成される。インスタンス化の後、適切な場合には、アプレットインスタンスは、それらのそれぞれのＳＰのＳＤに引き渡される（すなわち、配布される）（例えば、アプレット６０８−１は、そのそれぞれのＳＤ、ＳＰのＳＤ６０８に引き渡される）。代替的に、アプレットインスタンスが引き渡されない場合、それは、中央ＳＤ６０４下に残り得る。

ＳＰのＳＤ６０８および６０９は、中央ＴＳＭ６０２によって管理され取り扱われるバイナリファイルの整合性を検証するために、ＤＡＰ検証特権を有する。ＤＡＰ検証を必要としないデータパッケージは、中央ＳＤ６０４下に（すなわち、それと関連付けられて）読み込まれ（例えば、パッケージ６１０）、ＤＡＰ検証が必要なデータパッケージは、それらのそれぞれのＳＰのＳＤ下に読み込まれる。

図６に示されるように、中央ＴＳＭ６０２は、中央ＳＤ６０４を管理する。つまり、中央ＴＳＭ６０２は、中央ＳＤ６０４のキー（およびその関連付けられたアプリケーション）を制御することによって、セキュアエレメントマネジャーとして動作し、したがって、その関連付けられた特権のいずれかを使用することができる（表−４を参照しながら以下に更に詳細に考察される）。中央ＳＤ６０４を介して、中央ＴＳＭ６０２は、セキュアエレメント６０１上の任意のアプレットまたはアプリケーションを読み込む、インストールする、引き渡す、ロックする、または削除することができる。加えて、中央ＴＳＭ６０２は、ＳＰのＳＤを作成および管理し得る。

図６に更に示されるように、ＭＮＯ６０７は、ＭＮＯのＳＤ６０６および電気通信アプレット６１２と関連付けられ、それらを管理する。したがって、ＭＮＯ６０７は、ＭＮＯのＳＤ６０６の特権のいずれかを使用することができる。ＭＮＯのＳＤ６０６を介して、ＭＮＯ６０７は、セキュアエレメント６０１上の任意の関連付けられたアプレットまたはアプリケーションを読み込む、インストールする、引き渡す、ロックする、または削除することができる。加えて、ＭＮＯパッケージおよびアプレットのインスタンスは、ＭＮＯのＳＤ６０６下で（すなわち、それと関連付けられて）読み込まれるおよび／または作成される。

表−４は、セキュアエレメント構成６００に従って、ＩＳＤ（例えば、ＩＳＤ６０５）に割り当てられる特権（例えば、グローバルプラットフォーム特権）、中央ＳＤ（例えば、中央ＳＤ６０４）、ＭＮＯのＳＤ（例えば、ＭＮＯのＳＤ６０６）、およびＳＰのＳＤ（例えば、ＳＰのＳＤ６０８および６０９）を示す。

表−５は、セキュアエレメント構成６００に従って、ＩＳＤ（例えば、ＩＳＤ６０５）によってサポートされるコマンド（例えば、グローバルプラットフォームコマンド）を示す。

表−６は、セキュアエレメント構成６００に従って、中央ＳＤ（例えば、中央ＳＤ６０４）によってサポートされるコマンド（例えば、グローバルプラットフォームコマンド）を示す。

表−７は、セキュアエレメント構成６００に従って、ＭＮＯのＳＤ（例えば、ＭＮＯのＳＤ６０６）によってサポートされるコマンド（例えば、グローバルプラットフォームコマンド）を示す。

代替的な実施形態において、ＳＰのＳＤ６０８および６０９のうちの一方または両方が、ＤＡＰ検証特権を有さない。
Ｆ．第三者セキュリティドメインを有する埋め込まれたセキュアエレメント構成
図７は、例示的な実施形態に従うセキュアエレメント構成７００を示す。図７に示すように、セキュアエレメント構成７００は、セキュアエレメント７０１、中央ＴＳＭ７０２、ＭＮＯ７０７、（認証された管理を伴う）第三者ＴＳＭ７０８、および（委任された管理を伴う）第三者ＴＳＭ７０３を含む。

セキュアエレメント７０１は、埋め込まれたセキュアエレメントとしてまたは別個のチップまたはセキュアデバイスなどのＮＦＣイネーブラとして実装され、中央ＳＤ７０４、ＩＳＤ７０５、第三者ＳＤ７０６、義務付けられたＤＡＰ特権ホルダーセキュリティドメイン（ＭＤＰＨのＳＤ）７１６、制御権限セキュリティドメイン（ＣＡのＳＤ）７１７、ＳＰのＳＤ７０９、（委任された管理を伴う）ＳＰのＳＤ７１０、およびＳＰのＳＤ７１１を含む。

ＭＤＰＨのＳＤ７１６は、セキュアエレメント７０１上に読み込まれたまたはインストールされたアプレットおよびアプリケーションの署名（すなわち、ＤＡＰ）を検証する。（以下の）表−１０は、ＭＤＰＨのＳＤによってサポートされるコマンドを示す。

ＣＡのＳＤ７１７は、機密の読み込みを保証するために、新しく作成されたセキュリティドメインのためのキーの生成を行う。（以下の）表−９は、ＣＡのＳＤによってサポートされるコマンドを示す。

第三者ＳＤ７０６は、認証された管理特権を有し、第三者ＴＳＭ７０８によって命令されるようにコンテンツを管理する。第三者ＳＤ７０６は、パッケージ７１４と関連付けられる。ＳＰのＳＤ７１１は、第三者ＳＤ７０６下にあり（すなわち、それと関連付けられ）、アプリケーション７１１−１と関連付けられる。（上の）表−６は、第三者ＳＤ（例えば、第三者ＳＤ７０６）によってサポートされるコマンドを示す。

ＩＳＤ７０５は、中央ＳＤ７０４および第三者ＳＤ７０６を含むセキュリティドメインを作成するが、任意の他のコンテンツ管理機能を実施しない。（上の）表−５は、更に詳細にＩＳＤ（例えば、ＩＳＤ７０５）によってサポートされるコマンドを示す。

中央ＳＤ７０４は、（表−８．１および８．２を参照しながら以下に更に詳細に考察される）認証された管理特権を有し、中央ＴＳＭ７０２によって命令されるようにコンテンツを管理する。具体的には、中央ＳＤ７０４は、アプリケーションを安全に管理し、ＳＰのＳＤを作成し、セキュアエレメント内のアプレットまたはアプリケーション上で管理操作を実施し得る。中央ＳＤ７０４は、パッケージ７１３、ＳＰのＳＤ７０９、およびＳＰのＳＤ７１０と関連付けられる。ＳＰのＳＤ７０９および７１０は、アプレット７０９−１および７１０−１と関連付けられる。上の表−６は、中央ＳＤによってサポートされているコマンドを示す。

ＳＰのＳＤ７０９、７１０、および７１１は、セキュアチャネルの確立においておよびアプレット個人化処理において、それらのそれぞれのアプレットを支援する。アプレットインスタンス７０９−１および７１０−１は、インスタンス化されていないアプレットまたはアプリケーションをインスタンス化することによって作成され得る。アプレットインスタンス（例えば、アプレット７０９−１および７１０−１）は、中央ＳＤ７０４下で（すなわち、それと関連付けられて）作成される。インスタンス化の後、適切な場合には、アプレットインスタンスは、それらのそれぞれのＳＰのＳＤに引き渡される（すなわち、配布される）。（上の）表−３は、ＳＰのＳＤによってサポートされるコマンドを示し、（以下の）表−１１は、委任された管理特権を伴うＳＰのＳＤ（例えば、ＳＰのＳＤ７１０）によってサポートされるコマンドを示す。

ＳＰのＳＤ７０９および７１０は、中央ＴＳＭ７０２によって管理され取り扱われるバイナリファイルの整合性を検証するために、ＤＡＰ検証特権を有する。ＤＡＰ検証を必要としないデータパッケージ（例えば、パッケージ７１３）は、中央ＳＤ７０４下に（すなわち、それと関連付けられて）読み込まれ、ＤＡＰ検証が必要なデータパッケージは、それらのそれぞれのＳＰのＳＤ下に読み込まれる。加えて、委任された管理特権を伴うＳＰのＳＤ（例えば、７１０）は、認証されたコンテンツ管理操作を実施し得る。

図７に示されるように、中央ＴＳＭ７０２は、中央ＳＤ７０４を管理する。つまり、中央ＴＳＭ７０２は、中央ＳＤ７０４のキー（およびその関連付けられたアプリケーション）を制御することによって、セキュアエレメントマネジャーとして動作し、したがって、その関連付けられた特権のいずれかを使用することができる（表−８．１および８．２を参照しながら以下に更に詳細に考察される）。中央ＳＤ７０４を介して、中央ＴＳＭ７０２は、セキュアエレメント７０１上の任意の関連付けられたアプレットまたはアプリケーションを読み込む、インストールする、引き渡す、ロックする、または削除することができる。加えて、中央ＴＳＭは、ＳＰのＳＤを作成および管理し得、ＩＳＤ７０５を介してセキュアエレメント７０１をロックおよびロック解除し得る。

図７に更に示されるように、第三者ＴＳＭ７０８は、第三者ＳＤ７０６のキー（およびその関連付けられたアプリケーション）を制御し、したがって、その関連付けられた特権のいずれかを使用することができる（表−８．１および８．２を参照しながら以下に更に詳細に考察される）。第三者ＳＤ７０６を介して、第三者ＴＳＭ７０８は、任意のアプレットまたはアプリケーションを読み込む、インストールする、引き渡す、ロックする、または削除することができる。第三者ＴＳＭ７０８はまた、そのそれぞれの第三者ＳＤ（すなわち、第三者ＳＤ７０６）と関連付けられたＳＰのＳＤを作成および管理することができる。第三者ＴＳＭ７０８は、その第三者ＳＤ７０６を介して、セキュアエレメント７０１上のその関連付けられた任意のアプレットまたはアプリケーションをロックまたは削除することができる。第三者ＴＳＭ（例えば、パッケージ７１４）と関連付けられたパッケージは、第三者ＳＤ７０６下に（すなわち、それと関連付けられて）読み込まれる。第三者ＴＳＭ７０８（例えば、アプリケーション７１１−１）と関連付けられたアプレットまたはアプリケーションは、インスタンス化され、インスタンスは、第三者ＳＤ７０６下に（すなわち、それと関連付けられて）作成される。インスタンス化の後、適切な場合には、アプレットまたはアプリケーションは、それらのそれぞれのＳＰのＳＤに引き渡される（すなわち、配布される）（例えば、アプリケーション７１１−１は、そのそれぞれのＳＤ、ＳＰのＳＤ７１１に引き渡される）。

表−８．１および８．２は、ＩＳＤ（例えば、ＩＳＤ７０５）に割り当てられる特権（例えば、グローバルプラットフォーム特権）、中央ＳＤ（例えば、中央ＳＤ７０４）、ＭＤＰＨのＳＤ（例えば、ＭＤＰＨのＳＤ７１６）、ＣＡのＳＤ（例えば、ＣＡのＳＤ７１７）、第三者ＳＤ（例えば、第三者ＳＤ７０６）、ＳＰのＳＤ（例えば、ＳＰのＳＤ７０９）、および委任された管理（例えば、ＳＰのＳＤ７１０）を伴うＳＰのＳＤを示す。

表−９は、セキュアエレメント構成７００に従って、ＣＡのＳＤ（例えば、ＣＡのＳＤ７１７）によってサポートされるコマンド（例えば、グローバルプラットフォームコマンド）を示す。

表−１０は、セキュアエレメント構成７００に従って、ＭＤＰＨのＳＤ（例えば、ＭＤＰＨのＳＤ７１６）によってサポートされるコマンド（例えば、グローバルプラットフォームコマンド）を示す。

表−１１は、セキュアエレメント構成７００に従って、委任された管理を伴うＳＰのＳＤ（例えば、ＳＰのＳＤ７１０）によってサポートされるコマンド（例えば、グローバルプラットフォームコマンド）を示す。

代替的な実施形態において、第三者ＴＳＭ７０３は、委任された管理特権を有するが、コンテンツ管理操作は、最初に中央ＴＳＭ７０２によって承認される。中央ＴＳＭ７０２は、トークンを検証して、第三者ＴＳＭ（例えば、ＳＰのＳＤ７０９）とも関連付けられない、関連付けられた各ＳＰのＳＤのための領収書を生成する。第三者ＴＳＭ７０３は、その関連付けられたＳＰのＳＤ（例えば、ＳＰのＳＤ７１０）のキーを制御し、任意の関連付けられたアプリケーションまたはアプレット（例えば、アプレット７１０−１）をその関連付けられたＳＰのＳＤを介して読み込む、インストールする、引き渡す、または削除することができる。

代替的な実施形態において、ＳＰのＳＤ７０９および７１０のうちの一方または両方が、ＤＡＰ検証特権を有さない。

代替的な実施形態において、ＭＤＰＨのＳＤ７１６およびＣＡのＳＤ７１７のうちの一方または両方が、セキュアエレメント７０１に含まれない。

別の代替的な実施形態において、セキュアエレメント７０１が、全く第三者ＳＤを有さないか、または１つ以上の第三者ＳＤを有する。
Ｇ．第三者セキュリティドメインを伴うＵＩＣＣセキュアエレメント構成
図８は、例示的な実施形態に従うセキュアエレメント構成８００を示す。図８に示すように、セキュアエレメント構成８００は、セキュアエレメント８０１、中央ＴＳＭ８０２、およびＭＮＯ８０７、（認証された管理を伴う）第三者ＴＳＭ８０８、および（委任された管理を伴う）第三者ＴＳＭ８０３を含む。

セキュアエレメント８０１は、ＵＩＣＣとして実装され、中央ＳＤ８０４、ＩＳＤ８０５、第三者ＳＤ８０６、ＭＮＯのＳＤ８１５、ＭＤＰＨのＳＤ８１７、およびＣＡのＳＤ８１８を含む。セキュアエレメント８０１はまた、ＳＰのＳＤ８０９、および（委任された管理を伴う）ＳＰのＳＤ８１０、およびＳＰのＳＤ８１１を含む。

ＭＮＯのＳＤ８１５は、認証された管理特権を有し、ＭＮＯ８０７によって命令されるようにコンテンツを管理することができる。

ＭＤＰＨのＳＤ８１７は、セキュアエレメント８０１上に読み込まれたまたはインストールされたアプレットおよびアプリケーションの署名（すなわち、ＤＡＰ）を検証する。（上の）表−１０は、ＭＤＰＨのＳＤによってサポートされるコマンドを示す。

ＣＡのＳＤ８１８は、機密の読み込みを保証するために、新しく作成されるセキュリティドメインのためのキーの生成を実施する。（上の）表−９は、ＣＡのＳＤにサポートされるコマンドを示す。

第三者ＳＤ８０６は、認証された管理特権を有し、第三者ＴＳＭ８０８によって命令されるようにコンテンツを管理する。第三者ＳＤ８０６は、パッケージ８１４と関連付けられた。ＳＰのＳＤ８１１は、第三者ＳＤ８０６の下にあり（すなわち、それは、第三者ＳＤ８０６と関連付けられ）、アプリケーション８１１−１と関連付けられる。第三者ＳＤ８０６は、（上の）表−６に示される同じコマンドをサポートする。

ＩＳＤ８０５は、中央ＳＤ８０４および第三者ＳＤ８０６を含むセキュリティドメインを作成するが、任意の他のコンテンツ管理機能を実施しない。（上の）表−５は、ＩＳＤにサポートされるコマンドを示す。

中央ＳＤ８０４は、（表−２を参照しながら上に更に詳細に考察される）認証された管理特権を有し、中央ＴＳＭ８０２によって命令されるようにコンテンツを管理する。具体的には、中央ＳＤ８０４は、アプリケーションを安全に管理し、ＳＰのＳＤを作成し、セキュアエレメント内のアプレットまたはアプリケーション上で管理操作を実施し得る。中央ＳＤ８０４は、パッケージ８１３、ＳＰのＳＤ８０９、およびＳＰのＳＤ８１０と関連付けられている。ＳＰのＳＤ８０９および８１０は、アプレット８０９−１および８１０−１と関連付けられている。上の表−６は、中央ＳＤによってサポートされているコマンドを示す。

図８に示されるように、中央ＴＳＭ８０２は、中央ＳＤ８０４を管理する。つまり、中央ＴＳＭ８０２は、中央ＳＤ８０４のキー（およびその関連付けられたアプリケーション）を制御することによって、セキュアエレメントマネジャーとして動作し、したがって、その関連付けられた特権のいずれかを使用することができる（表−１２．１および１２．２を参照しながら以下に更に詳細に考察される）。中央ＳＤ８０４を介して、中央ＴＳＭ８０２は、セキュアエレメント８０１上の任意の関連付けられたアプレットまたはアプリケーションを読み込む、インストールする、引き渡す、ロックする、または削除することができる。加えて、中央ＴＳＭ８０２は、ＳＰのＳＤを作成および管理し得る。

図８に更に示されるように、ＭＮＯ８０７は、ＭＮＯのＳＤ８１５および電気通信アプレット８１６と関連付けられ、それらを管理する。したがって、ＭＮＯ８０７は、ＭＮＯのＳＤ８１５の特権のいずれかを使用することができる。ＭＮＯのＳＤ８１５を介して、ＭＮＯ８０７は、セキュアエレメント８０１上の任意の関連付けられたアプレットまたはアプリケーションを読み込む、インストールする、引き渡す、ロックする、または削除することができる。加えて、ＭＮＯパッケージおよびアプリケーションまたはアプレットのインスタンスは、ＭＮＯのＳＤ８１５下で（すなわち、それと関連付けられて）読み込まれるおよび／または作成される。ＭＮＯ８０７は、セキュアエレメント８０１上でＭＮＯのＳＤ８１５を介してＭＮＯに関連付けられた任意のアプリケーションをロックまたは削除することができる。

図８に更に示されるように、第三者ＴＳＭ８０８は、第三者ＳＤ８０６（およびその関連付けられたアプリケーション）のキーを制御する、したがって、その関連付けられた特権のいずれかを使用することができる（表−１２．１および１２．２を参照しながら以下に更に詳細に考察される）。第三者ＳＤ８０６を介して、第三者ＴＳＭ８０８は、任意の関連付けられたアプレットまたはアプリケーションを読み込む、インストールする、引き渡す、ロックする、または削除することができる。第三者ＴＳＭ８０８はまた、そのそれぞれの第三者ＳＤと関連付けられたＳＰのＳＤを作成するおよび管理することができる。第三者ＴＳＭ（例えば、パッケージ８１４）と関連付けられたパッケージは、第三者ＳＤ８０６下に（すなわち、それと関連付けられて）読み込まれる。第三者ＴＳＭ８０８（例えば、アプリケーション８１１−１）と関連付けられたアプレットまたはアプリケーションは、インスタンス化され、インスタンスは、第三者ＳＤ８０６下に（すなわち、それと関連付けられて）作成される。インスタンス化の後、適切な場合には、アプレットまたはアプリケーションは、それらのそれぞれのＳＰのＳＤに引き渡される（すなわち、配布される）（例えば、アプリケーション８１１−１は、ＳＰのＳＤ８１１に引き渡される）。

表−１２．１および１２．２は、ＩＳＤ（例えば、ＩＳＤ８０５）、中央ＳＤ（例えば、中央ＳＤ８０４）、ＭＤＰＨのＳＤ（例えば、ＭＤＰＨのＳＤ８１７）、ＣＡのＳＤ（例えば、ＣＡのＳＤ８１８）、第三者ＳＤ（例えば、第三者ＳＤ８０６）、ＭＮＯのＳＤ（例えば、ＭＮＯのＳＤ８１５）、ＳＰのＳＤ（例えば、ＳＰのＳＤ８０９）、および委任された管理を伴うＳＰのＳＤ（例えば、ＳＰのＳＤ８１０）に割り当てられた特権（例えば、グローバルプラットフォーム特権）を示す。

代替的な実施形態において、ＳＰのＳＤ８０９および８１０うちの一方または両方が、ＤＡＰ検証特権を有さない。

別の代替的な実施形態において、ＭＤＰＨのＳＤ８１７およびＣＡのＳＤ８１８のうちの一方または両方が、セキュアエレメント８０１に含まれない。
Ｈ．コンピュータ可読媒体の実装
本発明（例えば、システム１００、シーケンス２００〜４００、構成５００〜８００、またはその任意の部分（複数可）または機能（複数可））は、ハードウェア、ソフトウェア、またはそれらの組み合わせを使用して実装することができ、１つ以上のモバイルデバイスまたは他の処理システム内で実装することができる。本発明によって実施される操作が人間の操作に関して言及される範囲で、人間の操作者のこのような能力は、本発明の一部を形成する本明細書で説明される操作のいずれにおいても、ほとんどの場合、必要とされないまたは所望されない。むしろ、本明細書で説明される操作は、機械操作である。本発明の操作を実施するために有用な機械としては、携帯電話、スマートフォン、携帯情報端末（ＰＤＡ）、または類似のデバイスを含む。

一実施形態において、本発明は、本明細書で説明される機能性を実施することが可能な１つ以上のシステムを対象としている。システム９００の実施例は、図９に示される。

システム９００は、プロセッサ９０１などの１つ以上のプロセッサを含む。プロセッサ９０１は、通信基盤９０２（例えば、通信バス、ネットワーク）に接続される。様々な実施形態が、この例示的なシステムに関して説明される。本説明を閲読した後、他のシステムおよび／またはアーキテクチャを使用して、本発明をどのように実装するかが関連技術分野の当業者には明らかとなろう。

システム９００はまた、データベースであり得るメインメモリ９０３または同種のものを含む。

システム９００はまた、メインメモリ９０３を照会するために照会モジュール９０４を含み得る。メモリ（例えば、メインメモリ９０３）の照会は、図２〜４を参照しながら上に更に詳細に考察される。

システム９００はまた、要求などのデータを他の実体からネットワークを介して受信するためのモジュール９０５を受信する。要求などのデータの受信は、図２〜４を参照しながら上に更に詳細に考察される。

システム９００はまた、要求および応答などのデータを他の実体にネットワークを介して送信するための送信モジュール９０６を含む。要求および応答などのデータを送信することは、図２〜４を参照しながら上に更に詳細に考察される。

モジュール９０４〜９０６の各々は、ハードウェア、ソフトウェア、またはこの２者の組み合わせを使用して実装され得る。

例えば、図１〜８に示したまたはこれらに関連して考察したシステムおよび手順などの上に説明した例示的な実施形態またはそれらの任意の部分もしくは機能は、ハードウェア、ソフトウェア、またはこれら２者の組み合わせを用いることによって実装され得る。それは、１つ以上のコンピュータまたは他の処理システム内で実装され得る。これらの例示的な実施形態によって実施される操作は、人間の操作者によって実施される知的操作と一般的に関連付けられた用語で呼ばれ得たが、本明細書で説明される操作のうちのいずれを実施するにも人間の操作者は必要とされない。言い換えれば、これらの操作は、機械操作で完全に実装され得る。本明細書に提示する例示的な実施形態の操作を実施するのに有用な機械は、汎用のデジタルコンピュータまたは類似のデバイスを含む。

本発明の例示的な実施形態の部分は、コンピュータ技術分野の当業者には明らかなように、本開示の教示に従ってプログラムされた従来の汎用コンピュータ、特殊目的デジタルコンピュータ、および／またはマイクロプロセッサを用いることによって好都合に実装され得る。適切なソフトウェアコーディングは、本開示の教示に基づいて、熟練したプログラマによって容易に準備され得る。

いくつかの実施形態はまた、特定用途向け集積回路、フィールドプログラム可能なゲートアレイを準備することによって、または、従来の構成要素回路の適切なネットワークを相互接続することによって実施され得る。

いくつかの実施形態は、コンピュータプログラム製品を含む。コンピュータプログラム製品は、コンピュータを制御または、それに、本発明の例示的な実施形態の手順の任意のものを実施させるために用いることが可能な命令をその上にまたはその中に記憶する非一時的な記憶媒体または媒体であり得る。記憶媒体としては、フロッピディスク、ミニディスク、光ディスク、Ｂｌｕ−Ｒａｙ Ｄｉｓｃ、ＤＶＤ、ＣＤまたはＣＤ−ＲＯＭ、マイクロドライブ、磁気光ディスク、ＲＯＭ、ＲＡＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、ＤＲＡＭ、ＶＲＡＭ、フラッシュメモリ、フラッシュカード、磁気カード、光カード、ナノシステム、分子メモリ集積回路、ＲＡＩＤ、遠隔データストレージ／アーカイブ／貯蔵所、および／または命令および／またはデータを記憶するために好適な任意のタイプのデバイスを挙げることができるが、これらに限定されない。

非一時的なコンピュータ可読媒体または媒体のうちの任意の１つに記憶される一部の実装では、汎用および／もしくは特殊コンピュータのハードウェアまたはマイクロプロセッサの両方を制御するための、かつコンピュータまたはマイクロプロセッサが本発明の例示的な実施形態の結果を利用する人間のユーザまたは他の機構と対話することを可能にするためのソフトウェアを含む。このようなソフトウェアは、デバイスドライバ、オペレーティングシステム、およびユーザアプリケーションを含み得るが、これらに限定されない。究極には、このようなコンピュータ可読媒体は、上に説明したように、本発明の例示的な態様を実施するためのソフトウェアを更に含む。

汎用および／もしくは特殊目的コンピュータまたはマイクロプロセッサのプログラミングおよび／またはソフトウェアに含まれるものには、上に説明した手順を実装するためのソフトウェアモジュールがある。

本発明の様々な例示的な実施形態を上述したが、それらは例として提示されたものであり、制限するためのものではないことを理解すべきである。形態および詳細の様々な変更が可能であることが関連技術分野の当業者には明らかである。したがって、本発明は、上に説明した例示的な実施形態のいずれによっても制限されるべきではなく、以下の特許請求の範囲およびその均等物によってのみ定義されるべきである。

加えて、図面は例示目的のみで提示されていることを理解すべきである。本明細書に提示される例示的な実施形態の構造は、それが添付図面で示されるもの以外の方法で利用されて誘導され得るように、十分に柔軟であって構成可能である。

更に、要約の目的は、一般的には、米国特許商標庁および公衆、とりわけ、科学者、技術者、および特許用語もしくは法律用語または言い回しに精通していない当該技術分野の実践者が、本出願の技法的開示の性質および本質を一瞥して迅速に判断することを可能にすることである。要約は、いかなる方法でも本明細書に提示される例示的な実施形態の範囲について制限することを意図するものではない。特許請求の範囲において述べられた手順は、提示された順序で実施される必要がないこともまた理解すべきである。
Ｉ．サービスを更新する
図１０は、例示的な実施形態に従うサービスを更新するためのシーケンス１０００を示す。

図１０に示されるように、ステップ１０５０において、ＳＰシステム１００１（例えば、図１、ＳＰのＴＳＭ１０３−１）は、要求をＥＳＢ１００２に送信して、セキュアエレメント１００４（例えば、図１、ＳＥ１０６ａ−１）上のサービスを更新する（要求：サービスを更新）。ＥＳＢを使用して、ＳＰシステム、中央ＴＳＭ、および／またはセキュアエレメントを含む実体間の対話を容易にする。

例示的な一実施形態において、ＳＰシステムは、１つまたは複数の構成要素を含む基盤であり得る。これらの構成要素の例としては、ＴＳＭ（例えば、ＳＰのＴＳＭ）およびミドルウェアが挙げられる。つまり、ＳＰシステムへのおよびそれからの通信は、ＳＰシステムによって構成された１つ以上の構成要素によって処理され得る。

サービスを更新する要求（要求：サービスを更新）は、例えば、サービスが失効した（すなわち、サービスが、サービスと関連付けられた事前に決定された失効日を過ぎた）場合、ＳＰシステムによって送られ得る。サービスを更新する要求（要求：サービスを更新）は、サービス修飾子を含む。任意に、サービスを更新する要求（要求：サービスを更新）は、サービス識別子を含み得る。

ＥＳＢ１００２は、ステップ１０５０において送信された要求を受信し、次に、ステップ１０５２において要求（要求：サービスを更新）を中央ＴＳＭ１００３（例えば、図１、中央ＴＳＭ１０２）に送信する。要求（要求：サービスを更新）は、ステップ１０５０において、ＳＰシステム１００１によって提供されるサービス修飾子を含む。任意に、サービスを更新する要求（要求：サービスを更新）は、サービス識別子を含み得る。

次に、ステップ１０５４において、中央ＴＳＭ１００３は、ステップ１０５２において「更新する」ために受信したサービス修飾子に対応するサービス状態を最新化する（サービス状態を最新化：更新）。サービス状態の最新化は、一般に、サービスと関連付けられたサービス状態のパラメータの修正を含む。

ステップ１０５６において、中央ＴＳＭ１００３は、ステップ１０５２において受信したサービス修飾子に対応するサービスを除去する（要求：サービスを除去）。サービスの除去は、除去されたサービスに対応するアプレットインスタンスならびにアプレットインスタンスと関連付けられたデータを、アプレットインスタンスがインストールされたセキュアエレメント１００４から削除することを含み得る。セキュアエレメントからのサービスの削除および／または除去は、図５〜８を参照しながら上により詳細に考察されるように、中央ＴＳＭとセキュアエレメントとの間での１つ以上のコマンド（例えば、「削除する」）の交換を含む。

図１０に更に示されるように、一旦サービスがセキュアエレメント１００４から除去されると、中央ＴＳＭ１００３は、ステップ１０５８において技術的適格性の確認を実施する。技術的適格性の確認は、サービスに対応するアプレットが、セキュアエレメント１００４上でインストールされ（すなわち、インスタンス化され）得るかを判定することを含む。例えば、技術的適格性の確認を用いて、セキュアエレメント１００４がアプレットをそれにインストールする十分なメモリスペースを有するかを判定し得る。

技術的適格性の確認が失敗した場合、通知がＥＳＢ１００２および／またはＳＰシステム１００１に送信され、エラーが発生したことを示す。通知はまた、ステップ１０５８において実施される技術的適格性の確認の失敗の理由を示し得る。

代替的に、ステップ１０５８において実施される技術的適格性の確認が成功した場合、中央ＴＳＭ１００３が、ステップ１０６０においてセキュアエレメント１００４に要求を送信し、（例えば、アプレットのインスタンスを作成することによって）インストールし、ステップ１０５２において受信されたサービス修飾子と関連付けられたサービスを有効化する（要求：インストールして、サービスを有効化）。サービスのインストールおよび有効化が、図５〜８を参照しながら上により詳細に考察されるように、中央ＴＳＭとセキュアエレメントの間での１つ以上のコマンド（例えば、インストールする、有効化する）の交換によって実施される。加えて、サービスをインストールおよび有効化することは、図３（ステップ３９４）および図４（ステップ４６２）を参照しながら上により詳細に考察される。

次に、ステップ１０６２において、中央ＴＳＭ１００３は、アプレットのインスタンスをセキュアエレメント１００４内の対応するＳＰのＳＤに引き渡す要求（要求：アプレットを引き渡す）を送信する。アプレットのインスタンスをＳＰのＳＤに引き渡すことは、図５を参照しながら上により詳細に考察される。（例えば、アプレット５０５−１が、そのそれぞれのＳＰのＳＤ５０５に引き渡される）。アプレットを引き渡すために対応するＳＰのＳＤは、ステップ１０５２において受信されたサービス修飾子および／または、任意に、サービス識別子に基づいて判定される。

次に、中央ＴＳＭ１００３は、ステップ１０６４において「インストールされる」ために、ステップ１０５２において受信したサービス修飾子に対応するサービスの状態を最新化する（サービスの状態を最新化：インストールされる）。ステップ１０６６において、中央ＴＳＭ１００３は、応答（サービスの更新への応答）をＥＳＢ１００２に送信する。ステップ１０６６において送信された応答（サービスの更新への応答）は、ステップ１０５２におけるＥＳＢ１００２による要求の送信が成功したか失敗したかを示す情報を含む。つまり、応答（サービスの更新への応答）は、サービスの更新が成功したかをＥＳＢ１００２に告げる。

図１０に更に示されるように、ＥＳＢ１００２は、ステップ１０６８において、応答（サービスを更新する応答）を、ステップ１０５０においてＳＰシステム１００１によって送信された要求が成功したか失敗したかを示す情報を含むＳＰシステム１００１に送信する。ＥＳＢ１００２によってＳＰシステム１００１に送信されるこの応答は、ステップ１０６６においてＥＳＢ１００２によって中央ＴＳＭ１００３から受信された情報に基づく。

次に、ステップ１０７０において、ＳＰシステム１００１は、要求（要求：アプレットを個人化）を中央ＴＳＭ１００３に送信して、インストールされた（すなわち、インスタンス化された）アプレットをセキュアエレメント１００４上で個人化する。要求（要求：アプレットを個人化する）は、セキュアエレメント１００４に送信するおよび／またはアップロードするコマンドおよびデータを含む。データは、アカウントおよび顧客情報を含む機密データを含む。ステップ１０７２において、中央ＴＳＭ１００３は、要求（要求：アプレットを個人化）を受信して、セキュアエレメント１００４と通信して、アプレットを個人化する（アプレットを個人化）。アプレットの個人化は、図３のステップ３８２、３８４、および３８６を参照しながら上により詳細に考察される。

代替的な実施形態において、サービスを更新する要求（例えば、要求：サービスを更新）は、ＳＰシステム１００１によって中央ＴＳＭ１００３にＥＳＢ１００２と通信せずに送信される。サービスを更新する要求への応答（例えば、サービス更新への応答）はまた、ＳＰシステム１００１に中央ＴＳＭ１００３によってＥＳＢ１００２と通信せずに送信され得る。

Claims (24)

1. 複数のサービスプロバイダ（ＳＰ）システムのうちの１つと、複数のセキュアエレメントのうちの１つとをインターフェース接続するためのシステムであって、前記システムが、
   少なくとも１つのメモリと、
   前記少なくとも１つのメモリに結合されるプロセッサと、を備え、前記プロセッサが、
   通信ネットワークを介してＳＰシステムから、サービスを更新する第１の要求であって、前記サービスに関連付けられたサービス修飾子を含む該第１の要求を受信し、
   前記サービス修飾子に対応するセキュアエレメントを判定し、
   前記セキュアエレメントに、前記セキュアエレメントから前記サービス修飾子に関連付けられたデータを削除する第２の要求を送信し、
   前記サービスに関連付けられたアプリケーションのインスタンスを前記セキュアエレメントにインストールする第３の要求を、前記セキュアエレメントへ送信し、
   前記セキュアエレメントに、前記セキュアエレメント上で前記アプリケーションを有効化する第４の要求を送信するように動作可能である、システム。
2. 前記プロセッサが、前記セキュアエレメントに、前記セキュアエレメント上の対応するＳＰセキュリティドメイン（ＳＤ）に前記アプリケーションを引き渡す第５の要求を送信するように更に動作可能である、請求項１に記載のシステム。
3. 前記プロセッサが、前記ＳＰシステムに、前記第１の要求の処理が成功したかを示す情報を含む応答を送信するように更に動作可能である、請求項１に記載のシステム。
4. 前記プロセッサが、前記少なくとも１つのメモリ内のサービスの状態を更新するように更に動作可能である、請求項１に記載のシステム。
5. 前記第１の要求が、ＥＳＢを介して前記ＳＰシステムから受信される、請求項１に記載のシステム。
6. 前記プロセッサが、前記第１の要求において、サービス識別子を受信するように更に動作可能であり、
   前記セキュアエレメントにインストールされる前記アプリケーションが、前記サービス識別子に基づいて選択される、請求項１に記載のシステム。
7. アプリケーションをインストールする前記第３の要求が、前記サービス識別子に基づいて選択される前記アプリケーションのインスタンスを作成する命令を含む、請求項６に記載のシステム。
8. 複数のサービスプロバイダ（ＳＰ）システムのうちの１つと複数のセキュアエレメントのうちの１つとをインターフェース接続するための方法であって、
   通信ネットワークを介してＳＰシステムから、サービスを更新する第１の要求であって、前記サービスに関連付けられたサービス修飾子を含む該第１の要求を、中央トラステッドサービスマネージャ（ＴＳＭ）が受信するステップと、
   前記サービス修飾子に対応するセキュアエレメントを、前記中央ＴＳＭが判定するステップと、
   前記セキュアエレメントに、前記セキュアエレメントからの前記サービス修飾子に関連付けられたデータを削除する第２の要求を、前記中央ＴＳＭが送信するステップと、
   前記サービスに関連付けられたアプリケーションのインスタンスを前記セキュアエレメントにインストールする第３の要求を、前記中央ＴＳＭが送信するステップと、
   前記セキュアエレメントに、前記セキュアエレメント上でアプリケーションを有効化する第４の要求を、前記中央ＴＳＭが前記セキュアエレメントへ送信するステップと、を含む、方法。
9. 前記セキュアエレメントに、前記セキュアエレメント上の対応するＳＰセキュリティドメイン（ＳＤ）に前記アプリケーションを引き渡す第５の要求を、前記中央ＴＳＭが送信するステップを更に含む、請求項８に記載の方法。
10. 前記ＳＰシステムに、前記第１の要求の処理が成功したかを示す情報を含む応答を、前記中央ＴＳＭが送信するステップを更に含む、請求項８に記載の方法。
11. 少なくとも１つのメモリ内で、前記複数のセキュアエレメントのうちの１つが前記サービスの状態を最新化するステップを更に含む、請求項８に記載の方法。
12. 前記第１の要求がＥＳＢを介して前記ＳＰシステムから受信される、請求項８に記載の方法。
13. 前記第１の要求で、サービス識別子を、前記中央ＴＳＭがＥＳＢを介して受信するステップを更に含み、
    前記セキュアエレメントにインストールされた前記アプリケーションが、前記サービス識別子に基づいて選択される、請求項８に記載の方法。
14. アプリケーションをインストールする前記第３の要求が、前記サービス識別子に基づいて選択された前記アプリケーションのインスタンスを作成する命令を含む、請求項１３に記載の方法。
15. コンピュータ可読媒体であって、１つ以上のプロセッサに、
    通信ネットワークを介してＳＰシステムから、サービスを更新する第１の要求であって、前記サービスに関連付けられたサービス修飾子を含む該第１の要求を受信し、
    前記サービス修飾子に対応するセキュアエレメントを判定し、
    前記セキュアエレメントに、前記セキュアエレメントから前記サービス修飾子に関連付けられたデータを削除する第２の要求を送信し、
    前記サービスに関連付けられたアプリケーションのインスタンスを前記セキュアエレメントにインストールする第３の要求を、前記セキュアエレメントへ送信し、
    前記セキュアエレメントに、前記セキュアエレメント上で前記アプリケーションを有効化する第４の要求を送信するようにさせる命令のシーケンスをその中に記憶する、コンピュータ可読媒体。
16. 前記命令のシーケンスは更に、前記プロセッサに、
    前記セキュアエレメントに、前記セキュアエレメントにおいて前記アプリケーションを対応するＳＰセキュリティドメイン（ＳＤ）に引き渡す第５の要求を送信させる、請求項１５に記載のコンピュータ可読媒体。
17. 前記命令のシーケンスは更に、前記プロセッサに、
    前記第１の要求の処理が成功したかを示す情報を含めた応答を前記ＳＰシステムに送信させる、請求項１５に記載のコンピュータ可読媒体。
18. 前記命令のシーケンスは更に、前記プロセッサに、
    少なくとも１つのメモリ内でサービスの状態を最新化させる、請求項１５に記載のコンピュータ可読媒体。
19. 第１の要求がＥＳＢを介して前記ＳＰシステムから受信される、請求項１５に記載のコンピュータ可読媒体。
20. 前記命令のシーケンスは更に、前記プロセッサに、
    前記第１の要求においてサービス識別子を受信させ、
    前記セキュアエレメントにインストールされた前記アプリケーションが、前記サービス識別子に基づいて選択される、請求項１５に記載のコンピュータ可読媒体。
21. アプリケーションをインストールする前記第３の要求が、前記サービス識別子に基づいて選択される前記アプリケーションのインスタンスを作成する命令を含む、請求項２０に記載のコンピュータ可読媒体。
22. 前記アプリケーションが、前記複数のＳＰシステムによって使用されるものである、請求項１に記載のシステム。
23. 前記アプリケーションが、前記複数のＳＰシステムによって使用されるものである、請求項８に記載の方法。
24. 前記アプリケーションが、前記ＳＰシステムによって使用されるものである、請求項１５に記載のコンピュータ可読媒体。

Images