JP6114394B2 - ネットワークアクセスを必要とせずに電子的アクセスクライアントの制御された切り替えを行う装置及び方法 - Google Patents

Description

本開示は全般的に通信システムの分野に関し、例示的な一実施形態においてはより詳細には、制御された方法でのアクセス制御クライアント間の切り替えに関する。

［関連技術の説明］
殆どの従来技術の無線通信システムでは、セキュア通信のためにアクセス制御が要求されている。一例として、１つの単純なアクセス制御方式は、（ｉ）通信者のアイデンティティを確認すること、及び（ｉｉ）その確認されたアイデンティティに対応するアクセスレベルを与えること、を含み得る。例示的なセルラーシステム（例えば、ユニバーサル移動体通信システム（ＵＭＴＳ））のコンテキストの範囲内では、アクセス制御は、ユニバーサル加入者アイデンティティモジュール（ＵＳＩＭ）と称され、物理的ユニバーサル集積回路カード（ＵＩＣＣ）上で実行される、アクセス制御クライアントによって統御される。ＵＳＩＭアクセス制御クライアントは、ＵＭＴＳセルラーネットワークに対する加入者を認証する。認証に成功した後、加入者はセルラーネットワークへのアクセスが許可される。本明細書で以下に使用される用語「アクセス制御クライアント」は一般に、ネットワークに対する第１の装置のアクセスを制御するのに適した、ハードウェア又はソフトウェア内のいずれかで実現された論理エンティティを指す。アクセス制御クライアントの一般的な例としては、上述のＵＳＩＭ、ＣＤＭＡ加入者アイデンティティモジュール（ＣＳＩＭ）、インターネットプロトコル（ＩＰ）マルチメディアサービスアイデンティティモジュール（ＩＳＩＭ）、加入者アイデンティティモジュール（ＳＩＭ）、除去可能ユーザアイデンティティモジュール（ＲＵＩＭ）などが挙げられる。

初期の研究は、アクセス制御クライアントの仮想化を目指している。例えば、電子加入者アイデンティティモジュール（ｅＳＩＭ）は、クライアントデバイス内のセキュアエレメントから実行された、仮想化されたアクセス制御クライアントである。仮想化されたアクセス制御クライアントは、ユーザ及びネットワークオペレータに対して大きな利益を提供し得る。例えば、ユーザは、装置間で自由にｅＳＩＭを転送することができ、その上に、各ｅＳＩＭは柔軟に保存、バックアップ等することができる。ネットワークオペレータは、ソフトウェア配布ネットワークを介して各ｅＳＩＭを配布及び／又はパッチ処理することができる。一方、ネットワークアクセスに使用されるデータ（例えば、暗号情報）及びユーザ情報（例えば、アカウント情報）の機密性により、セキュアエレメント及びｅＳＩＭは、例えば窃盗、悪用、悪意のある行為等を防止するために厳重に管理されなければならない。

残念ながら、本明細書に詳しく記述される理由により、様々なセキュリティ上の懸念が認識されることから、ネットワークオペレータは、ｅＳＩＭの導入に消極的であった。例えば、ネットワークオペレータは、ｅＳＩＭの監視されていない状態での切り替えは悪用されるおそれがあることについて、ある程度の不安を示していた。これらの不安を解消するため、ネットワークオペレータは、ネットワークの監視の下でのみｅＳＩＭをトランザクション可能とすることを求めていた。監視されたソリューションがセキュリティの懸念を軽減し得る一方で、そのような厳密な管理は、ｅＳＩＭ技術により提供される多くの利点を実際において無効にする。

その結果、ｅＳＩＭ切り替えに対する方法及び装置を改良することが必要となっている。より一般的には、そのようなソリューションはネットワークオペレータに対して理想的には、仮想化されたアクセス制御クライアントの自由度を損なうことなく、合理的な管理能力を提示すべきである。

本開示は、とりわけ、ネットワークアクセスを必要とせずに電子的アクセス制御クライアントの制御された切り替えを行うための装置及び方法を提供することで、前述のニーズに対処する。

ネットワークアクセスを伴わない、電子的アクセス制御クライアントの制御された切り替えを提供する方法が開示される。一実施形態では、この方法は、アクティブなアクセス制御クライアントを非アクティブなアクセス制御クライアントと交換することができるかを、１つ又はそれ以上のクレジットに基づいて判定することと、交換を行うことができる場合に、アクティブなアクセス制御クライアントを非アクティブにし、非アクティブなアクセス制御クライアントをアクティブにし、ネットワーク接続が回復したことに応じて、１つ又はそれ以上のログ情報を監視ネットワークエンティティと同期させることと、を含む。

ネットワークアクセスを伴うことなく電子的アクセス制御クライアントを切り替えるよう構成された、無線ハンドセット機器も開示される。

プロセッサ上にて実行された場合に、プロセッサに、ネットワークアクセスを伴うことなく、電子的アクセス制御クライアントを切り替えさせるよう構成された少なくとも１つのコンピュータプログラムを記憶する非一時的なコンピュータ可読媒体が更に開示される。

監視ネットワークエンティティが加えて開示される。

本明細書に説明する様々な原理の更なる特徴、その本質及び様々な利点は、添付の図面及び下掲の詳細な説明からより明らかになろう。

ネットワークアクセスを必要とせずに、電子的アクセス制御クライアントの制御された切り替えを行う方法の一実施形態の論理フロー図である。 ネットワークアクセスを必要とせずに、ｅＳＩＭの切り替えを制御するためのクレジットベースシステムの一例示的実施形態の論理フロー図である。 ネットワークアクセスを必要とせずに、ｅＳＩＭの切り替えを制御するための速度制限システムの一例示的実施形態の論理フロー図である。 モバイル機器が信頼されていない場合の、ネットワークアクセスを必要とせずに、ｅＳＩＭの切り替えを制御するためのヒューマンインタラクションシステムの一例示的実施形態の論理フロー図である。 少なくともモバイル機器の一部が信頼されている場合の、ネットワークアクセスを必要とせずに、ｅＳＩＭの切り替えを制御するためのヒューマンインタラクションシステムの一例示的実施形態の論理フロー図である。 本明細書に説明する原理の様々なものに係わって構成されたモバイル機器の一例示的実施形態の論理ブロック図である。 ｅＳＩＭ切り替えの制御及びネットワークとの同期のためのクレジットベースシステムに対する方法の一例示的実施形態の論理フロー図である。

例示的実施形態の詳細な説明

これより、例示的実施形態が詳細に説明される。これらの実施形態は、ＧＳＭ（登録商標）、ＧＰＲＳ／ＥＤＧＥ、ＵＭＴＳ、又はロングタームエボリューション（ＬＴＥ）セルラーネットワークの電子的加入者アイデンティティモジュール（ｅＳＩＭ）のコンテキストで主に論じられるが、当業者には、本開示がそのように限定されるものではないことが、認識されるであろう。実際に、本明細書に説明する様々な原理は、ネットワークアクセスを必要とせずに、電子的アクセス制御クライアントの制御された切り替えからの利益を受け得る任意のネットワークにて（無線セルラーであってもそうでなくても）有用である。

本明細書では用語「加入者アイデンティティモジュール」が使用されているが（例えば、ｅＳＩＭ）、この用語は、（ｉ）加入者自身による使用（つまり、開示の実施形態は加入者又は非加入者により実施し得る）、（ｉｉ）単一個人のアイデンティティ（つまり、開示の実施形態は、家族などの個人のグループ、又は企業などの無形の又は架空のエンティティを代表して実施し得る）、又は（ｉｉｉ）任意の有形の「モジュール」装置又はハードウェアを、必ずしも含意又は要求していない。
加入者アイデンティティモジュール（ＳＩＭ）の動作

例示的な従来技術のＵＭＴＳセルラーネットワークのコンテキストの範囲内では、ユーザ機器（ＵＥ）は、モバイル機器及びユニバーサル加入者アイデンティティモジュール（ＵＳＩＭ）を含む。ＵＳＩＭは、物理的ユニバーサル集積回路カード（ＵＩＣＣ）に記憶され、そこから実行される論理ソフトウェアエンティティである。加入者情報、並びに無線ネットワークサービスを取得するためにネットワークオペレータとの認証に使用されるキー及びアルゴリズムなどの、様々な情報が、ＵＳＩＭ内に記憶される。一実施形態では、ＵＳＩＭソフトウェアは、Ｊａｖａ Ｃａｒｄ（商標）プログラミング言語に基づく。Ｊａｖａ Ｃａｒｄは、（上述のＵＩＣＣなどの）内蔵型「カード」タイプの装置用に修正されたＪａｖａ（商標）プログラミング言語のサブセットである。他の実現形態は、「ネイティブ」ソフトウェアと呼ばれる実現形態、及び／又は、専有の実現形態等を含んでもよい。

一般的に、ＵＩＣＣは、加入者配布の前にＵＳＩＭでプログラムされ、この事前プログラミング又は「個人化」は、各ネットワークオペレータに特有のものである。例えば、配備の前に、ＵＳＩＭは、国際移動電話加入者識別番号（ＩＭＳＩ）、固有の集積回路カード識別子（ＩＣＣ−ＩＤ）、及び特定の認証キー（Ｋ）に関連付けられる。ネットワークオペレータは、この対応付けをネットワークの認証センター（ＡｕＣ）内のレジストリに記憶する。個人化の後、加入者にそのＵＩＣＣを配布することができる。

少し離れるが、通常の認証手順の間に、ＵＥは、ＵＳＩＭからＩＭＳＩを取得する。ＵＥは、ネットワークオペレータのサービス提供ネットワーク（ＳＮ）又は訪問先コアネットワークにこのＩＭＳＩを渡す。ＳＮは、ホームネットワーク（ＨＮ）のＡｕＣにその認証リクエストを転送する。ＨＮは、受信したＩＭＳＩをＡｕＣのレジストリと比較し、適切なキーＫを獲得する。ＨＮは、乱数（ＲＡＮＤ）を生成し、アルゴリズムを使ってキーＫで署名して、期待される応答（ＸＲＥＳ）を作成する。ＨＮは、更に、暗号保護及び完全性保護に使用する暗号キー（ＣＫ）と完全性キー（ＩＫ）並びに様々なアルゴリズムを使用する認証トークン（ＡＵＴＮ）を生成する。ＨＮは、ＲＡＮＤ、ＸＲＥＳ、ＣＫ、及びＡＵＴＮからなる認証ベクトルをＳＮに送信する。ＳＮは、ワンタイム認証プロセスのみに使用する認証ベクトルを記憶する。ＳＮは、ＲＡＮＤ及びＡＵＴＮをＵＥに渡す。

ＵＥが、ＲＡＮＤ及びＡＵＴＮを受信すると、ＵＳＩＭは、受信されたＡＵＴＮが正当であるか否かを検証する。正当である場合には、ＵＥは、受信されたＲＡＮＤを使用して、記憶されているキーＫ、及びＸＲＥＳを生成した同じアルゴリズムを使用することで、それ自体の応答（ＲＥＳ）を計算する。ＵＥは、そのＲＥＳをＳＮに返送する。ＳＮは、ＸＲＥＳと受信されたＲＥＳとを比較して、それらが一致する場合には、ＳＮは、そのＵＥがオペレータの無線ネットワークサービスを利用することを許可する。

一般的に、認証及びキー合意（ＡＫＡ）手順は、ＳＩＭカード内にパッケージ化されているセキュアプロセッサによって行われる。従来技術のＳＩＭカードは、少なくとも２つの明確かつ望ましい特性を有するものであり、すなわち、（ｉ）ＳＩＭカードは、ＳＩＭデータ（例えば、アカウント情報、暗号化キーなど）に関する、暗号によってセキュリティ保護された記憶を提供し、（ｉｉ）ＳＩＭカードは、容易に複製することができない。

従来技術のＳＩＭカードは、ユニバーサル集積回路カード（ＵＩＣＣ）内に形成された、プロセッサ及びメモリを含む。ＳＩＭカードは、ＵＩＣＣ上のデータ信号の外部からのプロービングを防止するために、エポキシ樹脂で充填することができる。所望に応じて、他の改竄防止構造（例えば、シールド層、マスキング層など）をＵＩＣＣ内に含めることができる。ＳＩＭカードは、プロセッサへのセキュアなインタフェースを有し、プロセッサは、メモリへの内部インタフェースを有する。ＵＩＣＣは、外部装置から電力を受け取り、これによりプロセッサは、メモリに記憶されたコードを実行することが可能となる。メモリ自体には、直接アクセス可能ではなく（すなわち、内部ファイルシステムは、ユーザから隠されている）、プロセッサを介してアクセスしなければならない。

通常動作中、プロセッサは限定された数のコマンドのみを受け付ける。それぞれのコマンドは、条件付きでのみアクセス可能である。無許可のアクセスを防止するために、コマンドの実行に対してアクセス条件が制約される。アクセス条件は、階層的な場合もあれば、そうではない場合もあり、例えば、１つのレベルに関する許可が、別のレベルに関する許可を自動的に認可しない場合がある。例えば、アクセス条件の１つのセットは、（ｉ）常にアクセス可能、（ｉｉ）常にアクセス不能、（ｉｉｉ）第１のアカウントにアクセス可能、（ｉｖ）第２のアカウントにアクセス可能、などを含み得る。条件付きアクセスは、適切なセキュリティプロトコルの完了が成功した後にのみ認可される。アイデンティティを検証するための一般的な方法としては、パスワード又は個人識別番号（personal identification number）（ＰＩＮ）、共有シークレットのチャレンジなどを挙げることができる。

条件付きアクセス、限定されたコマンドのセット、及び保護されたメモリ空間は、ＳＩＭカード内部に記憶された情報が、外部アクセスからセキュアであることを保証する。ＳＩＭカードを複製することは、物理的カードの構築、同様に内部ファイルシステム及びデータの構築を必然的に伴うものである。そのため、これらの特徴の組み合わせにより、物理的ＳＩＭカードは、実際的な偽造の試みに耐え得るものとなる。
電子加入者アイデンティティモジュール（ｅＳＩＭ）の動作

従来のＳＩＭソリューションは（「ＳＩＭカード」とも呼ばれる）取り外し可能な集積回路カード（ＩＣＣ）内に具体化されている一方で、本明細書の譲受人による初期の研究は、モバイル機器内で実行されるソフトウェアクライアント内にてＳＩＭ動作を仮想化することを目指している。仮想化されたＳＩＭ動作はデバイスのサイズを削減し、デバイスの機能を増やしてより大きな自由度を提供し得る。

残念なことに、仮想化されたＳＩＭ動作はまた、複数の新たな課題を、ネットワークオペレータ及び機器製造業者に示す。例えば、従来のＳＩＭカードは、信頼されたＳＩＭベンダーによって製造され、保証されている。これらの従来のＳＩＭカードは、ＳＩＭカードに恒久的に「焼かれた」、単一のセキュアなバージョンのソフトウェアを実行する。一度焼かれると、このカードに（ＳＩＭカードを破壊することなく）手を加えることはできない。

反対に、モバイル機器は広範囲の機器製造業者によって製造されており、複数又は知られてもいない第三者ソフトウェアベンダーにより提供されたソフトウェアを実行する場合がある。加えて、モバイル機器は、バグを修正し、新規のものを導入することができるソフトウェアが頻繁に「パッチ」処理される。いずれのソフトウェアは、破壊、妨害、及び／又は悪用に影響を受けやすい。その上に、物理的なＳＩＭカードは複製が難しいが、ソフトウェアは容易にコピー、複製等をすることができる。それぞれのＳＩＭは有限のネットワークリソースへの契約アクセス量を表すため、仮想化されたＳＩＭの不正使用は、ネットワーク運用及びユーザエクスペリエンスに多大な影響を与え得る。

少し離れるが、用語「保全性」、「保全する」、及び「保全された」とは、本明細書で使用するとき、簡単に増加又は減少させることができない、（物理的又は仮想的のいずれかの）要素を指す。例えば、保全されたｅＳＩＭは、通常動作の間にコピー又は複製することができない。

更には、本明細書で使用するとき、（物理的又は仮想的のいずれかの）要素に適用される用語「固有性」とは、それによって、その要素が、特定の特性及び／又は特質を有する唯一無二の要素となる特性を指す。例えば、固有のｅＳＩＭは、複製ｅＳＩＭを有し得ない。

本明細書で使用するとき、用語「セキュリティ」とは、概して、データ及び／又はソフトウェアの保護を指す。例えば、アクセス制御データセキュリティは、アクセス制御クライアントに関連付けられたデータ及び／又はソフトウェアが、無認可のアクティビティ及び／又は悪意の第三者による、窃盗、悪用、破壊、公開、及び／又は改竄から保護されることを保証する。

その上に、本明細書で使用するように、用語「ユーザ認可」とは、概して、リソースに対するユーザのアクセスを指定することを指す。少し離れるが、従来技術の物理的なＳＩＭカードでは、ユーザ認可は物理的なＳＩＭカードの所持によって実行され、この物理的なカードは、ネットワークリソースへのアクセスに対するユーザの認可を表す。例えば、物理的なＳＩＭカードが第１の電話から第２の電話に移された場合、この移動はユーザによって行われた（及び、ユーザによって黙示的に認可された）ものと想定される。ｅＳＩＭ動作のコンテキストの範囲内では、ｅＳＩＭ移動のユーザ認可に対する類似の機能が必要である。特に、ｅＳＩＭの「所有者」（及び、ネットワークも）は、ｅＳＩＭが正当な機器にのみ移されたことを保証する必要がある。

一般的に、ソフトウェアは、ハードウェアよりも柔軟であり、例えば、ソフトウェアは、コピー、修正、及び配布が容易であることが理解されよう。更には、ソフトウェアは、多くの場合、ハードウェアの均等物よりも安価に、電力効率的に、物理的に小さく作製することができる。したがって、従来のＳＩＭ動作は、カード（ＵＩＣＣ）などの物理的フォームファクタを利用するが、現在の研究領域では、ソフトウェア内部にＳＩＭ動作を仮想化することに焦点が当てられている。しかしながら、ＳＩＭデータの機密性（例えば、加入者固有情報など）には、特別な配慮が必要とされる。例えば、ＳＩＭデータの様々な部分は、加入者に固有のものであり、悪意の第三者から、慎重に保護されるべきである。更には、先に記述したように、それぞれのＳＩＭは、有限のネットワークリソースへの契約されたアクセスの量を表し、それゆえ、ネットワークリソースの過剰利用及び／又は過少利用、並びにサービスプロバイダーの料金又は収入の代位弁済を防止するために、ＳＩＭの複製、破壊、及び／又は再利用を管理しなければならない。したがって、仮想化されたＳＩＭは、以下の特性、すなわち、（ｉ）セキュリティ、（ｉｉ）固有性、及び（ｉｉｉ）保全性の特性を満たすべきである。その上に、そのような特性は理想的には、既存のネットワーク基盤のコストと同程度のコストにてまかなわれるべきである。
方法

ネットワークアクセスを必要とせずに、電子的アクセス制御クライアントの制御された切り替えを行う方法の様々な実施形態が、本明細書に更に詳しく記述される。特に、本明細書に詳述する様々な例示的方法は、ネットワーク監視を伴わない、アクセス制御クライアントに対するサブスクリプション及び／又はプロファイルの交換が、高頻度の切り替えを防止しながら可能である。アクセス制御クライアントの高頻度の切り替えは、例えば、サービス拒否タイプの攻撃及び／又は機器／ネットワーク運用の一般的な混乱において使用され得る可能性がある。

図１をここで参照すると、ネットワークアクセスを必要とせずに、電子的アクセス制御クライアントの制御された切り替えを行う方法の一実施形態が提示されている。少なくとも１つのアクセス制御クライアントを選択し、アクティブにし、実行するよう構成された少なくとも１つのセキュアエレメントを含み、このセキュアエレメントが複数の非アクティブなアクセス制御クライアント間の交換をするよう更に構成されている機器を考える。例えば、モバイル機器は、電子的ユニバーサル集積回路カード（ｅＵＩＣＣ）内に保存される複数の電子的加入者アイデンティティモジュール（ｅＳＩＭ）を有してもよい。

ステップ１０２では、非アクティブなアクセス制御クライアント及びアクティブなアクセス制御クライアントが、切り替え動作のために選択される。明確にするため、本明細書で使用するとき、用語「アクティブ」及び「非アクティブ」はアクセス制御クライアントの実行状態を指し、現在の接続状態は指さない（すなわち、アクティブなアクセス制御クライアントは、ネットワークへの接続に関するコンテキストを有してもそうでなくてもよい）。セキュアエレメントによって実行されているアクセス制御クライアントが「アクティブ」であり、実行されていないアクセス制御クライアントが「非アクティブ」であることは、当業者にとって好適となるであろう。

一実施形態では、この選択は、ユーザによって実行される。ユーザ選択は、ユーザインタフェースを介して生じてもよい。他の変形例では、ユーザ選択は、カート゛の差し込み（例えば、この物理的なカードは、ＳＩＭ、又はＳＩＭカードフォームファクタ上のｅＳＩＭを含んでもよい）といった、物理的な操作を介して生じてもよい。更に他の変形例では、ユーザ選択は、物理的なスイッチ等に基づいて生じてもよい。

他の実施形態では、選択はソフトウェアエンティティによって開始され得る。ソフトウェアエンティティの通常の例は、例えば、オペレーティングシステム（ＯＳ）、セキュアエレメントＯＳ、ソフトウェアアプリケーション、第三者ソフトウェアアプリケーション、ネットワークアプリケーション等、を含む。いくつかの実施形態では、ソフトウェアの実施形態は、例えば、地理的位置、時刻、用途等に基づいて交換を自動で実施してもよい。例えば、ＯＳは、ビジネスアカウントに関連付けられた第１のｅＳＩＭを、個人アカウントに関連付けられた第２のｅＳＩＭに、一日の指定時間帯に自動で交換してもよい。他の実施形態では、ＯＳは、第１のｅＳＩＭを第２のｅＳＩＭと自動で交換し、ローミングによる課金等を防止及び／又は低減してもよい。

その上に、当業者に認識されるように、以下の各例は純粋に例示的なものである。例えば、他のスキームでは、この交換は、異なる数のアクセス制御クライアントと共に行われてもよい。１つのそのようなスキームでは、セキュアエレメントは、２つのｅＳＩＭを、１つの以前にアクティブであったｅＳＩＭと交換して動作させるよう試みてもよい。すなわち、「交換」されるｅＳＩＭの数は１対１の関係である必要はない。

更に、以下の各例が、利用可能なネットワークアクセスが存在しないコンテキストにて提示されているが、本開示の様々な原理が、存在するネットワークアクセスを使用せずに切り替えが実行可能であるシナリオに等しく適用可能である。例えば、いくつかの状況では、ネットワーク接続は、例えば、電力消費、ネットワーク輻輳等に基づいて好ましくないこともあり得る。その上に、この切り替えは、ネットワークエンティティ又はプロセスの命令にて実行されてもよい。

そして更には、様々な開示の実施形態では、アクティブ又は非アクティブのいずれかのアクセス制御クライアントの選択は、黙示的とされてもよい。例えば、いくつかの実現形態では、ユーザはアクティブなアクセス制御クライアントを非アクティブにしてもよく、これは結果として、このアクティブなアクセス制御クライアントが、以前に非アクティブであったデフォルトのアクセス制御クライアントと置き換えられる。ユーザが、現在アクティブなアクセス制御クライアントの機能と重複する１つのアクセス制御クライアントをアクティブにするよう選択を行った同様の例では、（双方のアクセス制御クライアントをアクティブに維持するのではなく）この現在アクティブなアクセス制御クライアントが置き換えられてもよい。

方法１００のステップ１０４にて、セキュアエレメントは、交換が実行できるか否かを判定する。特に、セキュアエレメントは、過度及び／又は高頻度の切り替えを検証し、防止する。

例示的な一実施形態では、セキュアエレメントは、１つ又はそれ以上の基準を適用して、前述の判定を行う。例えば、セキュアエレメントは、監視を伴うことなく実行できるトランザクションの合計数を制限する。このようにして、切り替えの速度に関わらず、セキュアエレメントは過度の交換動作を実行することができない。例えば、１つの変形例では、セキュアエレメント及びネットワークは「クレジット」システム上で動作し、ここではセキュアエレメントは、ネットワークの監視を伴うことなく、クレジットされた数のトランザクションに対して機能を実行することができる。後に、セキュアエレメントはネットワークに接続し、そのトランザクションをネットワークと同期させる（及び、新規クレジットを受信する）ことができる。このようにして、ユーザは、合理的な量の自律性を許可され得、一方で、そのような自由度が悪用される度合を制限している。

いくつかの変形例では、クレジットシステムは、動作の部分集合に制限されてもよい。例えば、ユーザは、動作プロファイル又はｅＳＩＭを自由に選択解除することが許可されてもよいが、動作プロファイルの選択のためには限られた数量のクレジットのみを有する。

いくつかの実施形態では、クレジットシステムは、監視ネットワークエレメントによって更に監視されてもよい。一実施形態によると、この監視ネットワークエレメントは、クレジットシステム内にて行われるトランザクションを監視するよう構成されている、任意のハードウェア機器（例えば、サーバー機器）又はサービス（例えば、ソフトウェア構成要素）を表す。例えば、セキュアエレメントが、最高レベルのクレジットをあまりに頻繁に要求しているものと思われる（異常に高頻度の交換動作を示す）場合、ネットワークエンティティは、セキュアエレメント／モバイル機器を悪意のある又は不正アクセスされている可能性があるものとして、フラグを立ててもよい。他の例では、ネットワークエンティティは、交換行為量を制御するためにクレジットのリフレッシュを調整（増加又は減少）してもよい（例えば、クレジットの増加は、交換動作に対するネットワークオーバーヘッドを減らすことができ、クレジットの減少は、ネットワーク監視責任を増やす）。

他の実施形態では、セキュアエレメントは、交換速度を直接的又は間接的のいずれかにて制限する。例えば、セキュアエレメントは、例えば、内部時間ベース及びログ情報に基づいて、最後の交換から経過した時間量を判定可能としてもよい。前の交換から早過ぎる交換要求は拒否されてもよい。同様の実施形態では、セキュアエレメントは、アクセス制御クライアントが、交換前に少なくとも最小時間間隔の間、アクティブであることを必要としてもよい。本開示の内容を前提として、時間ベースでの速度制限に対する様々な他のスキームが、当業者によって認識されるであろう。

別の例では、速度制限は、間接的に実行されてもよい。例えば、１つの変形例では、セキュアエレメントは、交換を実行するためのヒューマンインタラクションを必要としてもよい。ヒューマンインタラクションエレメントは、例えば、ＰＩＮ、コンピュータと人間を区別する完全に自動化された公開チューリングテスト（ＣＡＰＴＣＨＡ）と呼ばれる種類のチャレンジ−レスポンステスト（例えば、人には容易に理解できるものの、コンピュータが処理するには難しい歪んだ画像）、物理的なスイッチ及び／又はボタンプレス等、を含んでもよい。当業者に認識されるように、ヒューマンインタラクションはソフトウェア（数ミリ秒）より大幅に遅く（数秒）、したがって合理的に低頻度であり、これにより所望する速度制限をもたらす。

その上に、更に好適なことに、ヒューマンインタラクションエレメントはまた、モバイル機器のユーザ（悪意のあるソフトウェアではなく）が転送を開始していることを確認することにも役立ち得る。いくつかの実施形態では、モバイル機器は、アクセスすることができない、又は他の方法で、ソフトウェア内でなりすますことができないという点を特徴とする、物理的に存在するピン（ＰＰＰ）を有して製造され得る。そのようなＰＰＰは、手順を完了するために、交換中（交換を開始する又は確定する等）に、人によって操作されなければならない外部ボタン（又は、スイッチ、ダイヤル等）に接続され得る。

更には、前述のスキームの特定のものは、要求の合法性を検証する更なる利点を提供することができることを、当業者は容易に認識するであろう。例えば、ＰＩＮコードは、要求者が合法のユーザであることを確認する。同様に、バイオメトリックデータ（例えば、網膜スキャン画像、指紋、声紋、顔認識ソフトウェア画像等）を使用して、ユーザのアイデンティティを確認してもよい。いくつかの変形例では、交換は、アクセス制御クライアントの１つに特有の情報に基づいて更に制限されてもよい。例えば、ユーザは、アクティブなアクセス制御クライアント（又は、代わりに、アクティブなアクセス制御クライアントと置き換えるために交換される非アクティブなアクセス制御クライアント）のＰＩＮコードの入力を要求されてもよい。

加えて、ソフトウェアにより開始された交換については、この要求しているアプリケーションは、合法性についていくつかの証明を提供することを必要とされてもよいことが認識される。一般例は、デジタル証明書、暗号チャレンジ等を含む。

前述のスキームが提示されているが、本開示の内容を前提として、広く多数の速度制限及び／又は検証スキームは、本明細書に開示する方法と併せて可能であることを、当業者は容易に認識するであろう。

図１に戻ってここで参照すると、交換が実行可能であることをステップ１０４の判定が示す場合は、セキュアエレメントはその現在アクティブなアクセス制御クライアントを非アクティブにし（ステップ１０６）、交換が実行可能でない場合は、セキュアエレメントは要求を無視する（ステップ１０８）。ステップ１１０では、セキュアエレメントは、以前に非アクティブであったアクセス制御クライアントをアクティブにする。

概して、セキュアエレメントは、既存のプロトコル及びシーケンスを介してアクセス制御クライアントを非アクティブ／アクティブにする。いくつかの実施形態では、これらは、アクセス制御クライアントに特有の独自プロトコルとしてもよい。他の実施形態では、このプロトコルは、幅広い異なるアクセス制御クライアントに対して標準化されてもよい。そのように標準化されたプロトコルの一般例は、例えば、スマートカード通信に対するメッセージング用のアクセスプロトコル及びセキュリティメカニズムを指定する、ＩＳＯ／ＩＥＣ ７８１６−４を含む。

一実施形態では、このセキュアエレメントは、利用可能な合計クレジット数から１つ又はそれ以上のクレジットを減少させる。いくつかの実施形態では、減少されるクレジット数は、様々なネットワークプレファレンスに基づいて調整されてもよい。例えば、ネットワークオペレータは、交換行為の種類、又はアクセス制御クライアントの種類を考慮してもよい。これらの交換中に減少されるクレジット数を増やすことで、モバイル機器は、リフレッシュを必要とする前と同数の交換を行うことはできなくなる。

一実施形態では、セキュアエレメントは、内部ロギングデータベース内のトランザクションのログを取る。このデータベースは、トランザクション時間、経過使用量、アクセス制御クライアント、（例えば、失敗した試行に対する）試行数等、を含むがこれに限定されない、情報を追跡してもよい。一実施形態では、この内部ロギングデータベースは、セキュアエレメント内に保存される。他の実施形態では、このロギングデータベースは、モバイル機器内に保存されてもよい。いくつかの変形例では、このロギングデータベースは、例えば暗号を介して更に安全なものとされてもよい。

ステップ１１２では、セキュアエレメントは、ネットワーク接続が回復した後に、監視ネットワークエンティティ（「ネットワークエンティティ」、「ネットワークセキュリティエンティティ」、「ネットワークサーバエンティティ」、及び「監視ネットワークエレメント」としても本明細書内で呼ばれる）とのトランザクションを同期させる。いくつかの実施形態では、この同期は再接続中に開始される。他の実施形態では、同期は残りのクレジット量に基づいてもよい。例えば、セキュアエレメントに十分なクレジット供給を持っている場合は、同期を延期してもよい。更に他の実施形態では、同期は必要に応じて、又は、代わりに、ユーザ又はアプリケーションによって指示された場合に開始されてもよい。

同期中、セキュアエレメントは、ログとして記録されたトランザクション履歴をネットワークに転送する。このネットワークは、このログとして記録されたトランザクション履歴を使用して、例えば、悪意のあるアクティビティの検出、アクセス制御クライアントの使用の判定、請求の調整等を行うことができる。いくつかの実施形態では、セキュアエレメントは、同期の正常な完了後に、そのクレジットの残高を補充することができる。他の実施形態では、ネットワークが、セキュアエレメントが補充するべきクレジット量を決定する。例えば、ネットワークが悪意のある高頻度の交換を特定した場合、ネットワークは、クレジットを補充することをセキュアエレメントに一切許可せずともよい。
例示的動作

図１に提示する方法の実施形態の様々な例示的実現形態について、ここで説明する。

はじめに、複数の電子的加入者アイデンティティモジュール（ｅＳＩＭ）を有する、安全な電子的ユニバーサル集積回路カード（ｅＵＩＣＣ）を含むセルラーユーザ機器（ＵＥ）デバイスを考える。ｅＳＩＭは、関連付けられたセルラーネットワーク技術を有する、１つ又はそれ以上のセルラーネットワークに関連付けられてもよい。例えば、１つの例示的なシナリオでは、ＵＥは、ＵＭＴＳネットワーク（音声及びデータ）を運用する通信事業者Ａ、符号分割多元接続（ＣＤＭＡ）２０００（音声及びデータ）を運用する通信事業者Ｂ、及びＬＴＥネットワーク（データのみ）を運用する通信事業者ＣのためのｅＳＩＭを有する。
クレジットシステム

図２は、ネットワークアクセスを必要とせずにｅＳＩＭ切り替えを制御する、１つの例示的なクレジットベースシステム２００を示す。

図２のシステム内では、ｅＵＩＣＣは、事前設定された最大数の認可されていない（ローカル）交換コマンドを「オフライン」モードで許可し、ここでｅＵＩＣＣは、その事前設定された最大数に等しいクレジット数を有する。

ステップ２０２では、モバイル機器は「オフライン」モードになり、この間にはモバイル機器はネットワーク接続を有さない。１つの例示的なシナリオでは、モバイル機器は、ネットワーク接続のないエリア（例えば、飛行機）内に移動する。他のシナリオでは、モバイル機器は、例えば電力消費を減らすために動作を無効にしてもよい。

ステップ２０４では、オフライン交換が要求される。例えば、ユーザは、フライトの行先に基づいて、飛行機内にて新たなｅＳＩＭを意図的に選択してもよい。

ステップ２０６では、クレジットが利用可能な場合、続いてクレジットが減らされて交換が行われる。一方、利用可能なクレジットがない（又は、クレジットが不十分の）場合は、更なるオフライン交換の要求が拒否される。

モバイル機器がオンラインでの動作に戻ると（すなわち、モバイル機器のネットワーク接続が回復すると）、クレジットの残高は、認可ネットワークサーバエンティティからの認可コマンドを介して増加又はリセットされる（ステップ２０８）。ネットワークサーバエンティティは要求を監視し、疑わしい行為の可能性を特定することができる。

一実施形態では、ｅＵＩＣＣは、ネットワーク接続を再開するときはいつでも、そのクレジットを最高レベルに到達させるよう常に試みる。このようにして、ネットワークサーバエンティティは、疑わしい交換行為におおよそ直ちに気が付く。ネットワークサーバエンティティが何らかの疑わしい／不正なアクティビティを検出した場合、ネットワークサーバエンティティは、例えば、クレジットの発行数を制限する、クレジットを発行しない、又は、場合によっては、可能な是正アクションのためにその機器にフラグを立てることができる。

いくつかの変形例では、ｅＵＩＣＣは更に、この交換を「選択解除」及び「選択」動作に分割する。特に、ｅＵＩＣＣは、認可なくオフライン選択解除コマンドを自由に許可してもよいが、「選択」コマンドはクレジットに基づくことを必要とする。１つのそのような変形例では、ネットワークサーバエンティティのプロビジョニング及び限定された接触に対して有用であるものの、例えば、ユーザデータアクセス、音声通話等には有用でない、デフォルトの選択可能なプロファイルがあってもよい。動作中、デフォルトのプロビジョニングプロファイルは、他の機能するｅＳＩＭのロード、ネットワークからプッシュされた更新の受信等を行うためのモバイル機器の動作を可能にする。
速度制限システム

図３は、ネットワークアクセスを必要とせずにｅＳＩＭ切り替えを制御する、１つの例示的な速度制限システム３００を示す。

例示的な一実施形態では、ｅＵＩＣＣは、測定できる時間ベースへのアクセスを有する。既存のｅＵＩＣＣが内部クロック（水晶発振器等）を有しない一方で、セキュアエレメントは、クロック信号をモバイル機器から受信する。このクロック信号は正確である必要はないものの（断続的とすることができる）、交換コマンドが頻繁に発行されないようにするために使用され得る増加カウントをサポートするのに十分なタイミングを提供する。

ステップ３０２では、モバイル機器は「オフライン」モードになり、この間にモバイル機器はネットワーク接続を有さず、ステップ３０４にて、オフライン交換が要求される。

ステップ３０６では、ｅＵＩＣＣは、最後の交換から経過した時間量を見積もる。一実施形態では、ｅＵＩＣＣは、最後の交換イベントから経過したクロックの増加カウントを継続する。クロック数が最小しきい値を超えると、ｅＵＩＣＣは交換を実行することができる。そうでなければ、交換は無視されるか、代わりに延期される（ステップ３０８）。

モバイル機器がオンラインでの動作に戻ると、ｅＵＩＣＣは、そのログ情報をネットワークサーバエンティティに提供してもよい（随意的なステップ３１０）。
ヒューマンインタラクションシステム

他の実施形態では、ｅＵＩＣＣは、オフライン交換が人（おそらくはモバイル機器のユーザ）によって要求されたことを確認するよう試みる。図４Ａは、ネットワークアクセスを必要とせずにｅＳＩＭ切り替えを制御するための、１つの例示的なヒューマンインタラクションシステム４００を示し、ここではモバイル機器は信頼されていない（すなわち、唯一の既知のセキュアエレメントはｅＵＩＣＣ自体である）。

ステップ４０２では、モバイル機器は「オフライン」モードになり、この間にモバイル機器はネットワーク接続を有さず、ステップ４０４にて、オフライン交換が要求される。

ステップ４０６では、ｅＵＩＣＣは、例えば、交換されるｅＳＩＭに一意的に関連付けられたパスワード又は個人識別番号（ＰＩＮ）コードを要求することで、人の存在を確認する。場合によっては、このＰＩＮコードは、帯域外のメカニズム（例えば、顧客サービス呼び出し）を介してユーザが取得し得る。ＰＩＮコードを入力することによって更なるセキュリティと時間が得られ、プロセスが速度制限され、検証可能であること両方を確かにする。

このＰＩＮコードエントリが正しい場合は、続いて交換が進められ得、そうでなければ試みが無視される（ステップ４０８）。

代替的な実現形態では、ｅＵＩＣＣは、人には容易に解けるものの、コンピュータには解けない、ＣＡＰＴＣＨＡなどのパズルチャレンジを生成し得る。パズルの正しい回答が時間制限内にあると、コマンドが許可される。

図４Ｂをここで参照すると、モバイル機器が信頼されている、ネットワークアクセスを必要とせずにｅＳＩＭ切り替えを制御するための、１つの例示的なヒューマンインタラクションシステム４５０が示されている。この実施形態では、ヒューマンインタラクションは、ｅＵＩＣＣの外部にあるモバイル機器内の他のコンポーネントの助けを得て構築され得る。そのような場合では、モバイル機器は追加で、信頼されていないソフトウェアには操作され得ない物理的に存在するピン（ＰＰＰ）を提供する方法で構成されてもよい。

ステップ４５２では、モバイル機器は「オフライン」モードになり、この間にモバイル機器はネットワーク接続を有さず、ステップ４５４にて、オフライン交換が要求される。

ステップ４５６では、ｅＵＩＣＣは、ＰＰＰがアサートされるまで待機する。１つのそのような例では、ＰＰＰは、モバイル機器上のハードウェア「イジェクト」スイッチとｅＵＩＣＣとの間に排他的に配線される。

他の実施形態では、ＰＰＰは、モバイル機器内の別の信頼された／認証されたコプロセッサに配線されてもよい。検証プロセス中、信頼されたプロセッサは、セキュアな入力／出力（Ｉ／Ｏ）、バイオメトリックセンサデータ、又はＣＡＰＴＣＨＡ様のメカニズムを更に実施して、ヒューマンインタラクションを証明し、続いて、ＰＰＰ上に適切な信号伝達を提供してもよい。
装置

上述の方法に関連して有用な様々な装置が、ここで詳しく記述される。

図５をここで参照すると、本明細書に説明する様々な原理に係る１つの例示的なモバイル機器５００（例えば、ユーザ機器（ＵＥ））が示されている。

図５の例示的なＵＥ装置は、プロセッササブシステム５０２（例えば、デジタル信号プロセッサ、マイクロプロセッサ、フィールドプログラマブルゲートアレイ、又は１つ又はそれ以上の基板に搭載された複数の処理構成要素）を備えた無線機器である。この処理サブシステムはまた、内部キャッシュメモリも含み得る。この処理サブシステムは、例えば、ＳＲＡＭ、フラッシュ、及び／又はシンクロナスダイナミックランダムアクセスメモリ（ＳＤＲＡＭ）構成要素を含み得るメモリを含むメモリサブシステム５０４と通信する。このメモリサブシステムは、当該技術分野において周知であるように、データアクセスを容易にするために、１つ又はそれ以上のダイレクトメモリアクセス（ＤＭＡ）タイプのハードウェアを実装することができる。メモリサブシステムは、プロセッササブシステムで実行可能なコンピュータ実行可能命令を含む。

例示的な一実施形態では、この機器は、１つ又はそれ以上の無線ネットワークに接続するように適合された、１つ又はそれ以上の無線インタフェース５０６を含み得る。これらの複数の無線インタフェースは、適切なアンテナ及びモデムサブシステムを実装することによって、ＧＳＭ（登録商標）、ＣＤＭＡ、ＵＭＴＳ、ＬＴＥ／ＬＴＥ−Ａ、ＷｉＭＡＸ、ＷＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）などの、種々の無線技術に対応することができる。

ユーザインタフェースサブシステム５０８は、任意の数の周知のＩ／Ｏを含み、これには、キーパッド、タッチスクリーン（例えば、マルチタッチインタフェース）、液晶ディスプレイ（ＬＣＤ）、バックライト、スピーカー、及び／又はマイクロホンが挙げられるがこれらに限定されない。しかしながら、特定の適用例では、これらの構成要素のうちの１つ又はそれ以上が不要となり得ることが認識されよう。例えば、ＰＣＭＣＩＡカードタイプクライアントの実施形態は、ユーザインタフェースが欠如する場合がある（それらは、物理的及び／又は電気的に結合されるホスト機器のユーザインタフェースを、便乗して利用することが可能であるため）。

図示の実施形態において、機器には、ｅＵＩＣＣアプリケーションを含み動作させるセキュアエレメント５１０が含まれる。このｅＵＩＣＣは、ネットワークオペレータとの認証に使用するための、複数のアクセス制御クライアントを記憶し、これにアクセスすることができる。このセキュアエレメントは、この実施形態では、セキュアな媒体内に記憶されたソフトウェアを実行する、セキュアなプロセッサを含む。このセキュアな媒体は、他の構成要素（セキュアプロセッサ以外）に対してはアクセス不可である。更には、セキュアエレメントは、前述のように、改竄を防止するために、更に固める（例えば、樹脂内に包み込む）ことができる。

セキュアエレメント５１０は、１つ又はそれ以上のアクセス制御クライアントを受信して記憶することが可能である。一実施形態において、セキュアエレメントは、ユーザに関連付けて（例えば、１つを仕事用、１つを個人用、いくつかをローミングアクセス用、など）、及び／又は他の論理方式又は関係に従って（例えば、１つを家族又は事業エンティティの複数の各メンバー用、１つを家族メンバーの個人と仕事用それぞれに、など）、ｅＳＩＭのアレイ又は複数のｅＳＩＭを記憶する。各ｅＳＩＭには小さなファイルシステムが含まれ、これにはコンピュータ可読命令（ｅＳＩＭプログラム）及び関連データ（例えば、暗号鍵、完全性鍵など）が含まれる。

セキュアエレメントは、モバイル機器内でのｅＳＩＭの切り替えを可能にするよう更に適合される。特に、セキュアエレメントは、１つ又はそれ以上のｅＳＩＭを、「アクティブ」又は「非アクティブ」状態に切り替えることができる。

例示的な一実施形態では、セキュアエレメントは、アクセス制御クライアントのトランザクション履歴を記憶するよう構成された内部データベースを更に含む。１つの変形例では、内部データベースは、１つ又はそれ以上の、トランザクション時間、経過使用量、アクセス制御クライアント、（例えば、失敗した試行に対する）試行数等を追跡する。

他の実施形態では、セキュアエレメントは、物理的に存在するピン（ＰＰＰ）を更に含み、ここでＰＰＰは、信頼されていないソフトウェアには操作され得ない（すなわち、物理的な操作を必要とする、又は、そうでなければ、信頼されたソフトウェアエンティティに接続される）。

更に、この例示的な実施形態の様々な実装は、実行されると、チャレンジ／レスポンスセキュリティプロトコルを起動する命令を含む。チャレンジレスポンスセキュリティプロトコルは、チャレンジ及び／又はレスポンスの適切な生成に基づいて、未知の第三者によって行われた要求を検証するように構成される。代替として、例示的な一実施形態では、セキュアエレメントは、信頼機関によって署名されたデジタル証明書を検証することができる。

更に、図６は、ｅＳＩＭ切り替えの制御及びネットワークとの同期のためのクレジットベースシステムに対する方法６００の一例示的実施形態の論理フロー図である。図６に示すように、方法６００はステップ６０２にて始まり、ここでモバイル機器は、アクティブな第１のアクセス制御クライアントを、非アクティブな第２のアクセス制御クライアントと交換する要求を受信する。ステップ６０４では、モバイル機器は、第１のアクセス制御クライアントを第２のアクセス制御クライアントと交換することが正当であるかを、利用可能なクレジットに基づいて判定する。ステップ６０６では、モバイル機器は第１のアクセス制御クライアントを非アクティブにし、第２のアクセス制御クライアントをアクティブにする。ステップ６０８では、モバイル機器は利用可能なクレジットを更新して交換を反映する。最後に、ステップ６１０では、モバイル機器は、モバイル機器とネットワークとの間にネットワーク接続が確立されたことに応じて、利用可能なクレジットを、監視ネットワークエレメントと同期させる。

特定の機構が、特定の方法の具体的なステップのシーケンスの観点から説明されているが、これらの説明は、本明細書で開示される、より広範な方法の例示に過ぎないものであり、具体的な適用によって、必要に応じて修正することができる点が、認識されるであろう。特定のステップは、特定の状況下では、不必要又は任意選択とすることができる。更には、特定のステップ又は機能性を、開示される実施形態に追加することができ、あるいは２つ以上のステップの実行の順序を、置き換えることもできる。全てのこのような変更形態は、本開示の範囲内に包含され、本明細書において特許請求されると見なされる。

上記の発明を実施するための形態は、様々な実施形態に適用されるような、新規の機構を示し、説明し、指摘しているが、例示された機器若しくはプロセスの形態及び詳細の、様々な省略、置換、並びに変更を、当業者によって実施することができる点が、理解されるであろう。上述の説明は、現時点で想到される最良の実施態様の説明である。本説明は、限定することを決して意図するものではなく、むしろ、本明細書で説明される一般的原理の例示として解釈されるべきである。

Claims (20)

1. ネットワークへのアクセスを必要とせずにモバイル機器内のアクセス制御クライアントの制御された切り替えを提供する方法であって、
   アクティブな第１のアクセス制御クライアントを非アクティブな第２のアクセス制御クライアントと交換する要求を受信することと、
   前記第１のアクセス制御クライアントの前記第２のアクセス制御クライアントとの交換が正当であると、利用可能なクレジットに基づいて判定することであって、前記交換が、 前記第１のアクセス制御クライアントを非アクティブにすることと、
   前記第２のアクセス制御クライアントをアクティブにすることと、
   を含む、判定することと、
   前記利用可能なクレジットを更新して前記交換を反映することと、
   前記モバイル機器と前記ネットワークとの間にネットワーク接続が確立されたことに応じて、前記利用可能なクレジットを監視ネットワークエレメントと同期させることと、
   を含む、方法。
2. 前記要求が、前記モバイル機器を操作するユーザによって生成される、請求項１に記載の方法。
3. 前記要求が、前記モバイル機器内に含まれるベイにスマートカードが挿入されると生成される、請求項１に記載の方法。
4. 前記要求が、前記モバイル機器上に含まれる物理的スイッチがユーザによって操作されると生成される、請求項１に記載の方法。
5. 前記要求が、前記モバイル機器の地理的位置、前記モバイル機器の使用レベル、及び時間に基づく構成要素のうちの１つ又はそれ以上に基づいて生成される、請求項１に記載の方法。
6. 前記監視ネットワークエレメントから、前記利用可能なクレジットを補充する認可を受信することと、
   前記利用可能なクレジットを、前記認可に基づいて補充することと、を更に含む、請求項１に記載の方法。
7. 前記利用可能なクレジットが、
   アクセスクライアントの制御を非アクティブにすることに関連付けられた非アクティブ化クレジットと、
   アクセスクライアントの制御をアクティブにすることに関連付けられたアクティブ化クレジットと、
   を含む、請求項１に記載の方法。
8. 前記第１のアクセス制御クライアントの前記第２のアクセス制御クライアントとの交換が正当であると判定することが、前記モバイル機器のユーザによって提供されたコンピュータと人間を区別する完全に自動化された公開チューリングテスト（ＣＡＰＴＣＨＡ）チャレンジに対する正しい応答に更に基づいている、請求項１に記載の方法。
9. 前記第１のアクセス制御クライアントの前記第２のアクセス制御クライアントとの交換が正当であると判定することが、前記モバイル機器に結合された物理的に存在するピン（ＰＰＰ）構成要素を介して、前記モバイル機器のユーザにより入力された個人識別番号（ＰＩＮ）に更に基づいている、請求項１に記載の方法。
10. 前記第２のアクセス制御クライアントをアクティブにすることに続いて、前記第２のアクセス制御クライアントを、非アクティブな第３のアクセス制御クライアントと交換する更なる要求を受信することと、
    前記第２のアクセス制御クライアントのアクティブ時間が、時間しきい値レベル未満である場合に、前記第２のアクセス制御クライアントの前記第３のアクセス制御クライアントとの前記交換が実行されることを防止することと、
    を更に含む、請求項１に記載の方法。
11. 前記利用可能なクレジットを更新して前記交換を反映することが、前記第１のアクセス制御クライアントの種類又は前記第２のアクセス制御クライアントの種類に基づいている、請求項１に記載の方法。
12. ネットワークへのアクセスを必要とせずにアクセス制御クライアント間の切り替えが可能なモバイル機器であって、前記モバイル機器が、
    前記ネットワークと共に動作するよう構成された無線インタフェースと、
    少なくとも第１のアクセス制御クライアント、第２のアクセス制御クライアント、及び利用可能なクレジットを記憶するセキュアエレメントと、
    プロセッサであって、
    アクティブな前記第１のアクセス制御クライアントを非アクティブな前記第２のアクセス制御クライアントと交換する第１の要求を受信し、
    前記第１のアクセス制御クライアントの前記第２のアクセス制御クライアントとの交換が正当であると、前記利用可能なクレジットに基づいて判定し、これにおいて前記交換が、
    前記第１のアクセス制御クライアントを非アクティブにすることと、
    前記第２のアクセス制御クライアントをアクティブにすることと、
    を含み、
    前記利用可能なクレジットを更新して前記交換を反映し、
    前記モバイル機器と前記ネットワークとの間に前記無線インタフェースを介してネットワーク接続が確立されたことに応じて、前記セキュアエレメント内に記憶された前記利用可能なクレジットを監視ネットワークエレメントと同期させる
    ように構成されたプロセッサと、
    を含む、モバイル機器。
13. 前記プロセッサが、
    前記監視ネットワークエレメントから、前記利用可能なクレジットを補充する認可を受信し、
    前記利用可能なクレジットを、前記認可に基づいて補充する
    ように更に構成されている、請求項１２に記載のモバイル機器。
14. 前記利用可能なクレジットが、
    アクセスクライアントの制御を非アクティブにすることに関連付けられた非アクティブ化クレジットと、
    アクセスクライアントの制御をアクティブにすることに関連付けられたアクティブ化クレジットと、
    を含む、請求項１２に記載のモバイル機器。
15. 前記プロセッサが、
    前記第２のアクセス制御クライアントをアクティブにすることに続いて、前記第２のアクセス制御クライアントを、同じく前記セキュアエレメント内に記憶された非アクティブな第３のアクセス制御クライアントと交換する第２の要求を受信し、
    前記第２のアクセス制御クライアントのアクティブ時間が、時間しきい値レベル未満である場合に、前記第２のアクセス制御クライアントの前記第３のアクセス制御クライアントとの前記交換が実行されることを防止する
    ように更に構成されている、請求項１２に記載のモバイル機器。
16. 前記プロセッサが、前記第１のアクセス制御クライアントの前記第２のアクセス制御クライアントとの交換が正当であると、前記モバイル機器のユーザによって提供されたコンピュータと人間を区別する完全に自動化された公開チューリングテスト（ＣＡＰＴＣＨＡ）チャレンジに対する正しい応答に基づいて判定する、請求項１２に記載のモバイル機器。
17. 前記プロセッサが、前記第１のアクセス制御クライアントの前記第２のアクセス制御クライアントとの交換が正当であると、前記モバイル機器上に含まれる物理的に存在するピン（ＰＰＰ）構成要素を介して、前記モバイル機器のユーザによって入力された個人識別番号（ＰＩＮ）に基づいて判定する、請求項１２に記載のモバイル機器。
18. モバイル機器が、前記モバイル機器上に記憶されたアクセス制御クライアント間の交換をする際の速度を管理するよう構成された監視ネットワークエレメントであって、前記監視ネットワークエレメントが、
    プロセッサを備え、前記プロセッサが、
    前記モバイル機器から、前記モバイル機器上に記憶されたクレジットの使用レベルを含む同期更新を受信し、前記使用レベルは、前記モバイル機器がアクセス制御クライアント間の交換をした際の前記速度を示し、
    前記モバイル機器に対して、前記モバイル機器が前記クレジットを特定の度合で補充することを許可する、前記受信した同期更新に含まれる前記使用レベルに基づく認可を発行する
    ように構成されている、監視ネットワークエレメント。
19. 前記プロセッサが、
    前記モバイル機器から、前記モバイル機器が前記同期更新を受信した後に、前記モバイル機器上に記憶された前記クレジットの使用レベルを含む後続の同期更新を、受信し、
    前記モバイル機器上に記憶された前記クレジットの使用レベルしきい値を超えたことを前記モバイル機器が判定し、
    前記モバイル機器に、悪意があるものとしてフラグを立て、
    前記モバイル機器が後続のアクセス制御クライアントの交換を一切実行しないようにするために、前記モバイル機器に前記クレジットを補充することを許可する後続の認可を前記モバイル機器に対して発行することを保留する
    ように更に構成されている、請求項１８に記載の監視ネットワークエレメント。
20. 前記クレジットが、
    アクセスクライアントの制御を非アクティブにすることに関連付けられた非アクティブ化クレジットと、
    アクセスクライアントの制御をアクティブにすることに関連付けられたアクティブ化クレジットと、
    を含む、請求項１９に記載の監視ネットワークエレメント。

Images