JP6305284B2 - 携帯可能電子装置 - Google Patents

Description

本発明の実施形態は、携帯可能電子装置に関する。

スマートフォンを含む携帯電話などの携帯端末では、電話番号などの個人情報を記憶したＵＩＭ（User Identity Module）のカードが当該携帯端末に接続されて使用される。
一例として、携帯端末のアプリケーション（アプリ）が通信回線を使用するまでの処理の流れを説明する。まず、携帯端末では、当該携帯端末が起動した後に、当該携帯端末から供給される電源により、当該携帯端末に接続されたＵＩＭの活性化を行う。その後、当該ＵＩＭを管理しているキャリアは、当該ＵＩＭのセキュア領域に保存されている共有秘密情報を用いて、内部認証（ＵＩＭの正当性の確認）を行う。そして、この内部認証を正常に通過したＵＩＭと、当該ＵＩＭが接続されている携帯端末と、当該携帯端末が搭載しているアプリケーションにより、当該ＵＩＭを管理しているキャリアの通信回線を使用する。

また、一部の携帯端末用のオペレーティングシステム（ＯＳ：Operating System）では、ＵＩＭなどのセキュアエレメント（ＳＥ：Secure Element）を使用せずに、ＮＦＣ（Near Field Communication）決済を行う仕組みであるＨＣＥ（Host Card Emulation）が提案されている。ＨＣＥの仕組みでは、決済などのように高いセキュリティが要求される処理を、通常のＯＳ（例えば、ＡＮＤＲＯＩＤ（登録商標）のＯＳ）とは別に準備されたセキュアＯＳを用いて行う。セキュアＯＳは、個人情報あるいはクレジットカード情報などのセンシティブデータをセキュアエレメントから取得する代わりに、クラウドのサーバ装置から取得することで、決済取引などを遂行する。

ＨＣＥの仕組みでは、通信回線の契約者情報（例えば、携帯端末の契約者情報）はＵＩＭに保存され、センシティブデータはクラウド上に保存されるというように、両情報が分離され、独立に使用される。
両情報は、通常は同一人物のものである。しかし、携帯端末においてUIMを任意に入れ替えるとき、あるいは、親である契約者が子供に携帯端末を使用させるときには、両情報が異なる場合もあり、従来の技術では、このような状況を認めている。この状況では、例えば、盗難されたＵＩＭで不正処理が行われた場合に、犯人の追跡が困難である。これに鑑みると、送受信する情報の種類によっては、分離された両情報が、同一人物のものであること（ユーザの同一性が確保されること）が望ましい場合も考えられ、特に高額決済あるいは医療などの情報を扱う場合には望ましい。ＨＣＥにおいて、このようなユーザの同一性の確保を実現するためには、通信回線の使用が通常のＯＳによるものであるか、あるいはセキュアＯＳによるものであるかを、ＵＩＭのアプリケーションが識別することができなくてはならない。

しかし、ＵＩＭのアプリケーションでは、携帯端末のＯＳの違いを識別することができない場合があった。このため、ＵＩＭのアプリケーションでは、例えば、セキュアＯＳからのコマンドであったときにおいても、後続の処理により、携帯端末の契約者と当該ＵＩＭの契約者との同一性を確認して、通信回線の使用の可否などを判定することができない場合があった。

特開２００４−２６５０２６号公報

本発明が解決しようとする課題は、ネットワークを介して通信可能な装置の情報を用いる処理を、安全に行うことができる携帯可能電子装置を提供することである。

実施形態の携帯可能電子装置は、携帯端末に接続される。実施形態の携帯可能電子装置は、識別部と、判定部と、許可制御部とを持つ。前記識別部は、前記携帯端末のオペレーティングシステムを識別する。前記判定部は、前記識別部により所定のオペレーティングシステムが識別された場合に、自装置が保持する契約者に関する情報としての認証用データと、ネットワークを介して通信可能な認証用データ保持装置が保持する契約者に関する情報としての認証用データとが合致するか否かを判定するための処理を行う。前記許可制御部は、前記判定部により行われた処理により合致が判定された場合に、前記ネットワークを介して通信可能な処理用データ保持装置が保持する処理用データを用いる所定の処理を許可する。

実施形態の通信システムを示す図。 実施形態のＵＩＭの外観の一例を示す図である。 実施形態の携帯端末およびＵＩＭの構成の一例を示す図。 実施形態のＵＩＭのハードウェアの構成の一例を示す図。 実施形態のＵＩＭおよび携帯端末において行われる処理の手順の一例を示すフローチャート。 実施形態の通信システムにおいて行われる処理の一例を示すシーケンス図。 実施形態の通信システムにおいて行われる処理の他の一例を示すシーケンス図。

以下、実施形態の携帯可変電子装置を、図面を参照して説明する。

図１は、実施形態の通信システム１を示す図である。
通信システム１は、ＵＩＭ１１と、携帯端末１２と、リーダライタ（Ｒ／Ｗ）である端末１３と、ネットワーク１４と、サーバ装置１５と、事業者装置１６を備える。
携帯端末１２は、例えば、スマートフォンなどの携帯電話の端末である。ＵＩＭ１１は、携帯端末１２に設けられた挿入口に挿入されて、携帯端末１２と電気的に通信可能に接続されている。なお、ＵＩＭ１１と携帯端末１２とは着脱可能（挿入と離脱が可能）である。

端末１３とサーバ装置１５と事業者装置１６は、有線または無線の回線を介してネットワーク１４と接続されている。
携帯端末１２は、ネットワーク１４に接続された基地局装置など（図示せず）と無線により通信することで、ネットワーク１４と接続される。
携帯端末１２と端末１３とは、ＮＦＣの方式で通信する。
本実施形態では、事業者装置１６を提供する事業者が端末１３を設置している。事業者装置１６と端末１３とは、ネットワーク１４を介して通信する。事業者は、様々な業者であってもよく、例えば、端末１３が設置された店の商品などの料金を、当該端末１３と購入者の携帯端末１２との通信により決済する業者である。
サーバ装置１５は、携帯端末１２の利用者の個人情報などのようなセキュリティ性が高い情報（センシティブデータ）をメモリに記憶しており、クラウドの装置となっている。

ここで、本実施形態では、センシティブデータは、ＵＩＭ１１を認証するデータ（認証用データ）と、認証が正常に行われた後の処理で使用されるデータ（処理用データ）を含む。認証が正常に行われた後の処理としては、様々な処理が用いられてもよく、例えば、決済の処理などが用いられる。認証用データと処理用データとは、例えば、異なるデータであるが、同一のデータであってもよい。

図２は、実施形態のＵＩＭ１１の外観の一例を示す図である。図２の例では、カード状（ＩＣカード状）の外観の一例を示してある。
図２に示されるように、ＵＩＭ１１は、ＩＣモジュール５１を備える。ＩＣモジュール５１は、コンタクト部６１を備え、内部にＩＣチップ６２を備える。ＵＩＭ１１は、例えば、プラスチックのカード基材５２（カード本体の一例）に、ＩＣモジュール５１を実装して形成されている。このように、ＵＩＭ１１は、ＩＣモジュール５１と、ＩＣモジュール５１が埋め込まれたカード基材５２を備える。また、ＵＩＭ１１は、コンタクト部６１を介して外部装置８１（例えば、携帯端末１２および端末１３）と通信することが可能である。

ＵＩＭ１１は、例えば、外部装置８１が送信したコマンド（処理要求）を、コンタクト部６１を介して受信し、受信したコマンドに応じた処理（コマンド処理）を実行する。そして、ＵＩＭ１１は、コマンド処理の実行結果であるレスポンス（処理応答）をコンタクト部６１を介して外部装置８１に送信する。
ここで、外部装置８１は、ＵＩＭ１１と通信する上位装置であり、例えば、リーダライタであり、また、他の装置であってもよい。

ＩＣモジュール５１は、コンタクト部６１と、ＩＣチップ６２を備え、例えば、テープ上にＩＣモジュール５１が複数配置されたＣＯＴ（Chip On Tape）などの形態で取引されるモジュールである。
コンタクト部６１は、ＵＩＭ１１が動作するために必要な各種信号の端子を有する。ここで、各種信号の端子は、例えば、電源電圧、クロック信号、リセット信号などの供給を外部装置８１から受ける端子、および、外部装置８１と通信するためのシリアルデータ入出力端子（ＳＩＯ端子）を有する。外部装置８１から供給を受ける端子には、電源端子（ＶＤＤ端子、ＧＮＤ端子）、クロック信号端子（ＣＬＫ端子）、およびリセット信号端子（ＲＳＴ端子）が含まれる。
ＩＣチップ６２は、例えば、１チップのマイクロプロセッサなどのＬＳＩ（Large Scale Integration）である。

なお、図２では、コンタクト部６１を用いて接触方式で外部装置８１と通信するＵＩＭ１１の外観を示した。他の構成例として、接触方式の通信機能および非接触方式の通信機能を有するＵＩＭ１１では、図２の構成にさらに、非接触方式の通信を行うためのアンテナ（および、必要な場合には、その他の必要な回路）を備える。また、他の構成例として、接触方式の通信機能を有しておらず非接触方式の通信機能を有するＵＩＭ１１では、非接触方式の通信を行うためのアンテナ（および、必要な場合には、その他の必要な回路）を備える。

図３は、実施形態の携帯端末１２およびＵＩＭ１１の構成の一例を示す図である。図３は、携帯端末１２にＵＩＭ１１が挿入されて接続されている状態を示す。
ＵＩＭ１１は、記憶部１０１と、インターフェース部１０２と、制御部１０３を備える。制御部１０３は、ＯＳ識別部１２１と、判定部１２２と、許可制御部１２３を備える。
携帯端末１２は、記憶部２０１と、インターフェース部２０２と、通信部２０３と、制御部２０４を備える。

ＵＩＭ１１について説明する。
記憶部１０１は、その領域に、プログラムおよび各種のデータを記憶する。記憶部１０１は、例えば、記憶内容が書き換え可能な不揮発性のＥＥＰＲＯＭ（Electrically Erasable Programmable ＲＯＭ）、制御部１０３が処理を行う際の処理データを一時的に保持するＲＡＭ（Random Access Memory）、制御部１０３により実行されるプログラムを記憶するＲＯＭ（Read Only Memory）などを備える。本実施形態では、記憶部１０１は、その領域に、認証用データ、外部認証用データおよび内部認証用データを記憶する。認証用データと外部認証用データと内部認証用データとは、それぞれ、例えば、異なるデータであるが、同一のデータであってもよい。
インターフェース部１０２は、接触方式または非接触方式で、携帯端末１２のインターフェース部２０２と通信する。
制御部１０３は、ＵＩＭ１１における各種の処理および制御を行う。制御部１０３は、ＣＰＵ（Central Processing Unit）を有し、記憶部１０１の領域に記憶されたプログラムを実行して、各種の処理および制御を行う。

ＯＳ識別部１２１は、携帯端末１２で起動されているＯＳを識別する。本実施形態では、ＯＳ識別部１２１は、携帯端末１２からアクセスしてきたＯＳを、起動されているＯＳであると識別する。
ここで、ＯＳ識別部１２１によりＯＳを識別する手法としては、様々な手法が用いられてもよい。一例として、ＵＩＭ１１において、ＯＳ識別部１２１により、共有秘密情報を用いた外部認証を行うことで、ＯＳを識別する手法が用いられてもよい。この手法では、携帯端末１２に搭載されたＯＳとＵＩＭ１１との間であらかじめ共有された秘密情報を用いて認証を行う。他の一例として、ＵＩＭ１１において、ＯＳ識別部１２１により、認証局からＯＳに付与された証明書の検証を行うことで、ＯＳを識別する手法が用いられてもよい。この手法では、携帯端末１２に搭載されたＯＳに対して認証局から付与された証明書の検証を行う。

判定部１２２は、記憶部１０１に記憶された認証用データと、ネットワーク１４を介して通信可能なサーバ装置１５が保持する認証用データとを比較して、これらの認証用データが合致するか否かを判定する処理を行う。
ここで、２つの認証用データが合致するか否かを判定する態様としては、例えば、２つの認証用データが一致する場合に合致すると判定する態様が用いられてもよく、または、２つの認証用データが一致はしないが互いに同じ内容を表わして対応する場合に合致すると判定する態様が用いられてもよい。
認証用データとしては、様々なデータが用いられてもよく、本実施形態では、携帯端末１２の契約者に関するデータが用いられる。本実施形態では、携帯端末１２を所有する同一の契約者（同一の人物）に関する情報（認証用データを含むセンシティブデータ）が、ＵＩＭ１１とクラウド（本実施形態では、サーバ装置１５）とに分離して保持される。

一例として、ＵＩＭ１１に記憶される認証用データと、サーバ装置１５に記憶される認証用データとの一方または両方は、所定のデータのハッシュ値（例えば、携帯端末１２の契約時に記憶されるハッシュ値）であってもよい。他の例として、ＵＩＭ１１に記憶される認証用データと、サーバ装置１５に記憶される認証用データとの一方または両方は、前記した所定のデータ（ハッシュ値を計算するのに使用するデータ）であってもよい。
具体例として、携帯端末１２のセキュアＯＳは、クラウドのセンシティブデータを参照するために、何らかの情報を送ることから、その情報に関するデータ（一例として、ハッシュ値）をＵＩＭ１１の記憶部１０１に記憶して保持しておく。そして、ＵＩＭ１１は、所定のトランザクションの前において、クラウドにデータを送信するとき、あるいは、クラウドからデータを受信するときに、そのデータを用いて認証を行う構成が用いられてもよい。

本実施形態では、ＵＩＭ１１が、判定部１２２により、携帯端末１２を介して、サーバ装置１５から認証用データ（または、それが加工されたデータでもよい）を受信し、受信した認証用データと、自装置に記憶された認証用データとが合致するか否かを判定する。この際、例えば、ＵＩＭ１１は、判定部１２２により、受信した認証用データと自装置に記憶された認証用データとの一方または両方が前記した所定のデータ（ハッシュ値を計算するのに使用するデータ）である場合には、当該所定のデータを用いてハッシュ値を算出し、これらの認証用データをハッシュ値の形式で比較してもよい。
他の構成例として、ＵＩＭ１１が、判定部１２２により、携帯端末１２を介して、自装置に記憶された認証用データ（または、それが加工されたデータでもよい）をサーバ装置１５に送信し、そして、サーバ装置１５が、受信した認証用データと、自装置に記憶された認証用データとが合致するか否かを判定し、その結果の情報を、携帯端末１２を介して、ＵＩＭ１１に送信（通知）する、構成が用いられてもよい。

許可制御部１２３は、判定部１２２により２つの認証用データが合致すると判定された場合に、所定の処理を許可するように制御する。所定の処理としては、様々な処理が用いられてもよく、本実施形態では、ネットワーク１４を介して通信可能なサーバ装置１５が保持する情報（本実施形態では、センシティブデータ）を使用する処理である。
他の構成例として、ＵＩＭ１１が、サーバ装置１５において認証用データの合致の有無を判定した結果の情報を受信する場合には、受信した当該情報に基づいて、認証用データの合致があったと判定したときには、許可制御部１２３により、所定の処理を許可するように制御する。

このように、本実施形態では、携帯端末１２に搭載されたＯＳから指示される命令を解釈して実行するＵＩＭ１１において、ＯＳ識別部１２１により、アクセスを行うＯＳを識別し、当該識別の結果、携帯端末１２の所有者（契約者）とＵＩＭ１１の契約者との同一性の確認が必要とされるＯＳであると判定した場合には、判定部１２２により、携帯端末１２の所有者とＵＩＭ１１の契約者との同一性の判定（確認）を行うための処理を行い、この結果、当該確認に合格した場合のみ、許可制御部により、携帯端末１２のＯＳ（または、アプリケーションなど）により行われる後続する所定の処理（例えば、通信回線の確立を試みる処理）を許可するように制御する。

携帯端末１２について説明する。
記憶部２０１は、その領域に、プログラムおよび各種のデータを記憶する。記憶部２０１は、例えば、記憶内容が書き換え可能な不揮発性のＥＥＰＲＯＭ、制御部２０４が処理を行う際の処理データを一時的に保持するＲＡＭ、制御部２０４により実行されるプログラムを記憶するＲＯＭなどを備える。本実施形態では、記憶部２０１は、その領域に、ＵＩＭ１１を認証（内部認証）する内部認証用データを記憶する。
インターフェース部２０２は、接触方式または非接触方式で、ＵＩＭ１１のインターフェース部１０２と通信する。
通信部２０３は、外部の装置と通信する。本実施形態では、通信部２０３は、端末１３（外部の装置の一例）とＮＦＣの方式で通信する機能と、ネットワーク１４に接続された基地局装置など（外部の装置の他の例）と無線により通信する機能を有する。
制御部２０４は、携帯端末１２における各種の処理および制御を行う。制御部２０４は、ＣＰＵを有し、記憶部２０１の領域に記憶されたプログラムを実行して、各種の処理および制御を行う。

ここで、本実施形態では、制御部２０４は、２つのＯＳを備える。この２つのＯＳとして、例えばＡＮＤＲＯＩＤ（登録商標）である通常のＯＳと、通常のＯＳと比べてセキュリティ性が高いセキュアＯＳが用いられている。また、制御部２０４は、携帯端末１２にインストールされているアプリケーションを実行する。
本実施形態では、携帯端末１２において、２つのＯＳは、ユーザにより行われる操作に応じて切り替えらえる。携帯端末１２では、切り替えられた１個のＯＳ（のみ）が起動させられている。一例として、ユーザは、通常時には通常のＯＳが起動させられるように切り替え、ＨＣＥなどのようにセキュリティ性を高める必要があるときにはセキュアＯＳが起動させられるように切り替える。なお、他の構成例として、携帯端末１２が３つ以上のＯＳを備える構成が用いられてもよい。

図４は、実施形態のＵＩＭ１１のハードウェアの構成の一例を示す図である。
ＵＩＭ１１は、記憶装置であるＥＥＰＲＯＭ３０１とＲＡＭ３０２とＲＯＭ３０３と、外部（例えば、携帯端末１２）と情報の通信（入力、出力）を行うラインであるインプット／アウトプットライン（Ｉ／Ｏライン）３０４と、コプロセッサ３０５と、演算装置であるＣＰＵ３０６と、これらの装置（モジュール）を相互に接続するシステムバス３０７を備える。
ここで、図４の例では、ＵＩＭ１１に、ＣＰＵ３０６を補助するために特定の処理（本実施形態では、データを暗号化する処理および暗号化データを復号化する処理）を実行するコプロセッサ３０５を搭載して備えている。他の構成例として、ＵＩＭ１１にコプロセッサ３０５を備えずに、全ての処理をＣＰＵ３０６により実行してもよい。
なお、図３および図４の例では、ＥＥＰＲＯＭ３０１とＲＡＭ３０２とＲＯＭ３０３の機能により記憶部１０１が実現され、Ｉ／Ｏライン３０４の機能によりインターフェース部１０２が実現され、ＣＰＵ３０６およびコプロセッサ３０５の機能により制御部１０３が実現される。

図５は、実施形態のＵＩＭ１１および携帯端末１２において行われる処理の手順の一例を示すフローチャートである。

（ステップＳ１）
ＵＩＭ１１が携帯端末１２に挿入されて接続されている。まず、ユーザにより携帯端末１２の電源が投入される。すると、携帯端末１２では、制御部２０４により、あらかじめ定められたＯＳが起動させられる。このＯＳは、本実施形態では、通常のＯＳである。そして、携帯端末１２に投入された電源がＵＩＭ１１に供給されて、当該ＵＩＭ１１が活性化させられる。

（ステップＳ２）
携帯端末１２では、制御部２０４により、ユーザにより行われる操作（携帯端末１２のキーなどの操作）を監視して、通常のＯＳからセキュアＯＳへ切り替える指示が受け付けられたか否かを検出する。
この結果、携帯端末１２では、制御部２０４により、通常のＯＳからセキュアＯＳへ切り替える指示が受け付けられたことを検出した場合には、ステップＳ３の処理へ移行する。一方、携帯端末１２では、制御部２０４により、通常のＯＳからセキュアＯＳへ切り替える指示が受け付けられたことを検出しない場合には、ステップＳ４の処理へ移行する。

（ステップＳ３）
携帯端末１２では、制御部２０４により、起動させるＯＳを、通常のＯＳからセキュアへ切り替える。これにより、携帯端末１２では、セキュアＯＳが起動させられる。そして、携帯端末１２では、ステップＳ４の処理へ移行する。

（ステップＳ４）
ここで、ＵＩＭ１１および携帯端末１２において、サーバ装置１５のセンシティブデータを使用する処理が発生したとする。一例として、ユーザが決済をするために携帯端末１２を端末１３にかざしたことにより、サーバ装置１５のセンシティブデータを使用する決済処理が開始する場合を示す。携帯端末１２では制御部２０４によりこのような処理の要求を検出し、ＵＩＭ１１では制御部１０３によりこのような処理の要求を検出する。

（ステップＳ５）
ＵＩＭ１１では、ＯＳ識別部１２１により、携帯端末１２から当該ＵＩＭ１１に対してアクセスしてきたＯＳを、起動されているＯＳであると識別する。そして、ＵＩＭ１１では、ＯＳ識別部１２１により、識別されたＯＳが、ユーザの同一性の確認を行うことが必要なＯＳであるか否かを判定する。
この結果、ＵＩＭ１１では、ＯＳ識別部１２１により、識別されたＯＳが、ユーザの同一性の確認を行うことが必要なＯＳであることを判定した場合には、ステップＳ９の処理へ移行する。一方、ＵＩＭ１１では、ＯＳ識別部１２１により、識別されたＯＳが、ユーザの同一性の確認を行うことが必要なＯＳではないことを判定した場合には、ステップＳ６の処理へ移行する。
具体的には、本実施形態では、通常のＯＳがユーザの同一性の確認を行うことが必要ではないＯＳであり、セキュアＯＳがユーザの同一性の確認を行うことが必要なＯＳである。

（ステップＳ６）
当該ＵＩＭを管理しているキャリアは、ＵＩＭ１１に対して内部認証の処理を行う。具体的には、当該ＵＩＭを管理しているキャリアは、ＵＩＭ１１の記憶部１０１に記憶された内部認証用データと、自身が保有する内部認証用データとを比較して、これらの内部認証用データが合致するか否かを判定する。
ここで、２つの内部認証用データが合致するか否かを判定する態様としては、例えば、２つの内部認証用データが一致する場合に合致すると判定する態様が用いられてもよく、または、２つの内部認証用データが一致はしないが互いに同じ内容を表わして対応する場合に合致すると判定する態様が用いられてもよい。内部認証用データとしては、様々なデータが用いられてもよい。

（ステップＳ７）
ステップＳ６の処理の結果、ＵＩＭ１１では、自装置の記憶部１０１に記憶された内部認証用データと、キャリアが保有する内部認証用データとが合致することを判定した場合には、ステップＳ８の処理へ移行する。一方、ＵＩＭ１１では、自装置の記憶部１０１に記憶された内部認証用データと、キャリアが保有する内部認証用データとが合致しないことを判定した場合には、ステップＳ１１の処理へ移行する。
ここで、この判定は、キャリアが内部認証用データが合致するか否かを判定した結果をＵＩＭ１１に通知し、ＵＩＭ１１が当該通知の内容に基づいて行う。

（ステップＳ８）
ＵＩＭ１１では、許可制御部１２３により、所定のセンシティブデータ使用処理を許可する。これにより、ＵＩＭ１１および携帯端末１２では、許可された処理を実行する。本実施形態では、所定のセンシティブデータ使用処理は、事業者（本実施形態では、事業者装置１６を提供する事業者）のキャリアの通信回線を確保し、ネットワーク１４を介して通信可能なサーバ装置１５と通信し、当該サーバ装置１５が保持するセンシティブデータを使用する決済の処理である。
そして、本フローの処理が終了する。

（ステップＳ９）
ステップＳ５の結果、ＵＩＭ１１では、ＯＳ識別部１２１により、識別されたＯＳが、ユーザの同一性の確認を行うことが必要なＯＳであることを判定した場合には、ユーザの同一性を確認する処理を実行する。具体的には、ＵＩＭ１１では、判定部１２２により、ネットワーク１４を介して通信可能なサーバ装置１５と通信し、自装置の記憶部１０１に記憶された認証用データと、当該サーバ装置１５が保持する認証用データとが合致するか否かを判定する。

（ステップＳ１０）
ステップＳ９の処理の結果、ＵＩＭ１１では、判定部１２２により、自装置の記憶部１０１に記憶された認証用データと、サーバ装置１５が保持する認証用データとが合致すると判定した場合には、ＵＩＭ１１と携帯端末１２とでユーザの同一性を確認することができたと判定し、ステップＳ６の処理へ移行する。一方、ＵＩＭ１１では、判定部１２２により、自装置の記憶部１０１に記憶された認証用データと、サーバ装置１５が保持する認証用データとが合致しないと判定した場合には、ＵＩＭ１１と携帯端末１２とでユーザの同一性を確認することができなかったと判定し、ステップＳ１１の処理へ移行する。

（ステップＳ１１）
ＵＩＭ１１では、ステップＳ７の処理の結果、内部認証に合格しなかった場合、または、ステップＳ１０の処理の結果、認証に合格しなかった場合（ユーザの同一性の確認ができなかった場合）、許可制御部１２３により、所定のセンシティブデータ使用処理を不許可とする。これにより、ＵＩＭ１１および携帯端末１２では、不許可とされた処理を実行しない。そして、本フローの処理が終了する。

このように、本実施形態のＵＩＭ１１では、携帯端末１２の特定のＯＳ（本実施形態では、セキュアＯＳ）からのトランザクションに関しては、ユーザの同一性の確認を行い、ユーザの同一性の確認が正常に取れたら、内部認証を行い、内部認証に合格したら、通信回線を確保して、決済の処理を実行することができる。

図６は、実施形態の通信システム１において行われる処理の一例を示すシーケンス図である。
図６の例では、携帯端末１２、携帯端末１２に挿入されて接続されたＵＩＭ１１、端末１３、サーバ装置１５、事業者装置１６を示してある。
図６の例では、図５に示されるステップＳ４の処理以降の処理の概要を示してある。

（処理Ｔ１）
携帯端末１２が端末１３にかざされて、携帯端末１２と端末１３とが通信することで、決済の処理が開始される。ＵＩＭ１１は、決済の処理の開始を検出する。
(処理Ｔ２)
ＵＩＭ１１は、携帯端末１２で起動されているＯＳを識別する。本例では、このＯＳがセキュアＯＳである場合を示す。
（処理Ｔ３）
ＵＩＭ１１は、携帯端末１２を介して、サーバ装置１５との間で、認証用データを通信する。

（処理Ｔ４）
ＵＩＭ１１は、認証の処理（本例では、ＵＩＭ１１とサーバ装置１５との間でユーザの同一性の確認を行う処理）を行う。認証が正常に行われた場合、ＵＩＭ１１とキャリアとの間で、内部認証の処理を行う。ここで、ユーザの同一性の確認または内部認証のいずれかが失敗すると、ＵＩＭ１１は、決済に関して後続する処理を不許可とする。

（処理Ｔ５）
ユーザの同一性の確認と内部認証の両方が成功すると、ＵＩＭ１１は、決済に関して後続する処理を許可する。そして、ＵＩＭ１１は、携帯端末１２を介して、サーバ装置１５との間で、処理用データ（本例では、決済の処理用データ）を通信する。本例では、ＵＩＭ１１は、サーバ装置１５から、決済の処理で使用するセンシティブデータ（処理用データ）を受信して、記憶部１０１に一時的に記憶する。
（処理Ｔ６）
ＵＩＭ１１は、携帯端末１２を介して、端末１３との間で、決済のためのデータを通信する。本例では、ＵＩＭ１１は、サーバ装置１５から受信した決済の処理で使用するセンシティブデータ（処理用データ）を端末１３に送信する。
（処理Ｔ７）
本例では、ＵＩＭ１１は、端末１３に送信したセンシティブデータ（処理用データ）を記憶部１０１から消去（削除）する。これにより、このセンシティブデータの漏えいを防止する。

（処理Ｔ８）
端末１３は、ＵＩＭ１１から受信したデータを用いて、決済の処理を実行する。
（処理Ｔ９）
端末１３は、決済の処理の結果の情報を事業者装置１６に送信して報告（通知）する。

このように、図６の例では、ＵＩＭ１１が、携帯端末１２を介して、端末１３と通信して、決済を行う場合に、クラウド（本例では、サーバ装置１５）からセキュリティデータを受信（ダウンロード）して、そのデータを端末１３に通知して、端末１３により決済の処理を実行する。そして、ＵＩＭ１１は、自装置における決済に関する処理が完了すると、そのデータを消去する。
なお、端末１３からＵＩＭ１１に決済の処理の完了を通知し、ＵＩＭ１１が当該通知を受信した後にそのデータを消去する構成が用いられてもよい。

図７は、実施形態の通信システム１において行われる処理の他の一例を示すシーケンス図である。
図７の例では、携帯端末１２、携帯端末１２に挿入されて接続されたＵＩＭ１１、端末１３、サーバ装置１５、事業者装置１６を示してある。
図７の例では、図５に示されるステップＳ４の処理以降の処理の概要を示してある。

（処理Ｔ２１〜Ｔ２４）
（処理Ｔ２１）〜（処理Ｔ２４）は、それぞれ、図６の例における（処理Ｔ１）〜（処理Ｔ４）と同様である。

（処理Ｔ２５）
ユーザの同一性の確認と内部認証の両方が成功すると、ＵＩＭ１１は、決済に関して後続する処理を許可する。そして、ＵＩＭ１１は、携帯端末１２を介して、端末１３との間で、決済のためのデータを通信する。本例では、ＵＩＭ１１は、端末１３から、決済のためのデータを受信する。この決済のためのデータとしては、様々なデータが用いられてもよく、例えば、携帯端末１２あるいはＵＩＭ１１のうちの一方または両方を識別する情報、端末１３を識別する情報、決済の対象となる商品の情報、決済の対象となる料金の情報などが用いられてもよい。
（処理Ｔ２６）
ＵＩＭ１１は、携帯端末１２を介して、サーバ装置１５との間で、決済のためのデータを通信する。本例では、ＵＩＭ１１は、サーバ装置１５に、端末１３から受信した決済のためのデータを送信する。

（処理Ｔ２７）
サーバ装置１５は、ＵＩＭ１１から受信したデータを用いて、決済の処理を実行する。本例では、サーバ装置１５は、自装置に記憶された決済の処理で使用するセンシティブデータ（処理用データ）を用いて、決済の処理を実行する。このように、サーバ装置１５の外部に処理用データを出力しないことで、センシティブデータ（ここでは、処理用データ）の漏えいを防止する。
（処理Ｔ２８）
サーバ装置１５は、決済の処理の結果の情報を事業者装置１６に送信して報告（通知）する。

このように、図７の例では、ＵＩＭ１１が、携帯端末１２を介して、端末１３と通信して、決済を行う場合に、端末１３から受信したデータをクラウド（本例では、サーバ装置１５）に通知して、クラウド（本例では、サーバ装置１５）により決済の処理を実行する。
なお、サーバ装置１５からＵＩＭ１１に決済の処理の完了を通知する、構成が用いられてもよい。

上記実施形態では、携帯端末１２の一例として、スマートフォンなどの携帯電話の端末を用いた。これに関し、他の構成例として、携帯端末１２として、コンピュータを組み込んだ様々な装置が用いられてもよい。

上記実施形態では、携帯可能電子装置の一例として、ＵＩＭが使用されるものとした。ここで、ＵＩＭのカードの代わりに、ＵＳＩＭ（Universal Subscriber Identity Module）、あるいはＳＩＭ（Subscriber Identity Module）などと呼ばれるカードが使用されてもよい。これに関し、他の構成例として、ＵＩＭの代わりに、ＩＣカード、ＩＣタグなど、携帯することが可能な電子装置である様々なものを携帯可能電子装置として使用するものであってもよい。
なお、携帯可能電子装置と端末（リーダライタ）との通信に関し、携帯可能電子装置は、端末から送信されるコマンドに対する応答（レスポンス）のみを行う構成となっていてもよい。他の構成例として、携帯可能電子装置が、端末から送信されるコマンドに対する応答以外の動作を行う構成が用いられてもよい。
また、携帯可能電子装置（本実施形態では、ＵＩＭ１１）の機能を実現するためのプログラム（コンピュータのプログラム）が提供等されてもよい。

ここで、携帯可能電子装置と端末（リーダライタ）との通信の方式としては、接触方式または非接触方式のいずれが用いられてもよい。
接触方式では、端末と携帯可能電子装置のそれぞれに金属の接触点が設けられて、端末の接触点と携帯可能電子装置の接触点とが接触させられた状態で、端末と携帯可能電子装置とが通信する。この場合、これらの接触点により接続される端末と携帯可能電子装置とをつなぐ導電性の経路（有線の経路）が、通信路となる。
非接触方式では、端末と携帯可能電子装置のそれぞれにループアンテナなどのアンテナが設けられて、端末のアンテナと携帯可能電子装置のアンテナとの間での電磁誘導により、端末と携帯可能電子装置とが通信する。この場合、電磁誘導が行われる空中の経路（無線の経路）が、通信路となる。
端末は、携帯可能電子装置の内部に記憶された情報を読み出すことおよび書き換えることなどを行うために、特定のプロトコルにしたがって、ＵＡＲＴ（Universal Asynchronous Receiver Transmitter）コマンドを携帯可能電子装置に送信する。携帯可能電子装置は、例えばＵＡＲＴを介して端末から受信したコマンドを記憶部の受信用バッファに保持し、その後、受信用バッファに保持したコマンドを解釈し、コマンドに応じた処理を実行する。
また、携帯可能電子装置が電源を備える構成が用いられてもよく、または、携帯可能電子装置が電源を備えずに、端末などから携帯可能電子装置へ接触方式または非接触方式で電力を供給する構成が用いられてもよい。

上記実施形態では、携帯端末１２において２つのＯＳが切り替えられて起動させられる構成を示した。これに関し、他の構成例として、携帯端末１２において３つ以上のＯＳが切り替えられて起動させられる構成が用いられてもよい。
上記実施形態では、携帯端末１２において、同時に１つのＯＳ（のみ）が起動させられる構成を示した。これに関し、他の構成例として、携帯端末１２において、同時に複数のＯＳが起動させられることが可能な構成が用いられてもよい。この場合、携帯可能電子装置（本実施形態では、ＵＩＭ１１）では、制御部１０３のＯＳ識別部１２１は、携帯端末１２からアクセスしてきたＯＳを識別する。これにより、ＯＳ識別部１２１は、決済などの処理を実行する携帯端末１２のＯＳを識別する。

上記実施形態では、ＵＩＭ１１および携帯端末１２において、ネットワーク１４を介して通信可能なサーバ装置１５が保持する情報（本実施形態では、センシティブデータ）を使用する処理として、決済の処理を用いた。これに関し、他の構成例として、このような処理として、例えば、医療に関する情報を通信する処理、マイナンバーカードに記憶された情報（一例として、交通違反に関する情報）を通信する処理、または、他の秘密性が高い情報を通信する処理などが用いられてもよい。

上記実施形態によれば、携帯端末１２に接続されるＵＩＭ１１において、携帯端末１２のオペレーティングシステム（ＯＳ）を識別する識別部（本実施形態では、ＯＳ識別部１２１）と、識別部により所定のオペレーティングシステムが識別された場合に、自装置（ＵＩＭ１１）が保持する認証用データと、ネットワーク１４を介して通信可能な認証用データ保持装置（本実施形態では、サーバ装置１５）が保持する認証用データとが合致するか否かを判定するための処理を行う判定部１２２と、判定部１２２により行われた処理により合致が判定された場合に、ネットワーク１４を介して通信可能な処理用データ保持装置（本実施形態では、サーバ装置１５）が保持する処理用データを用いる所定の処理を許可する許可制御部１２３と、を備える。
これにより、ＵＩＭ１１では、当該ＵＩＭ１１にアクセスするＯＳの識別（例えば、ＯＳのトランザクションの識別）を行い、例えば、通信回線を使用するためにユーザの同一性が求められるか否かを判定することが、各々のＯＳに対して可能である。また、ＵＩＭ１１では、ユーザの同一性が確認された上でのトランザクションの実行が可能である。また、ＵＩＭ１１では、例えば、セキュアＯＳからのトランザクションを制限する（条件付きで行う）ことが可能である。
このように、ＵＩＭ１１では、ネットワーク１４を介して通信可能な装置の情報を用いる処理を、安全に行うことができる。

上記実施形態によれば、携帯端末１２に接続されるＵＩＭ１１において、識別部は、自装置（ＵＩＭ１１）にアクセスした携帯端末１２のオペレーティングシステムを識別する。
これにより、ＵＩＭ１１では、携帯端末１２に複数のＯＳが設けられる場合に、これら複数のＯＳのうちで、当該ＵＩＭ１１にアクセスしたＯＳを有効なものとして識別することができる。

上記実施形態によれば、携帯端末１２に接続されるＵＩＭ１１において、携帯端末１２は、第１のオペレーティングシステム（本実施形態では、通常のＯＳ）と、第１のオペレーティングシステムよりもセキュリティ性が高い第２のオペレーティングシステム（本実施形態では、セキュアＯＳ）を備え、前記した所定のオペレーティングシステムは、第２のオペレーティングシステムである。
これにより、ＵＩＭ１１では、セキュリティ性が高いＯＳを識別した場合に、当該ＯＳからのトランザクションを制限することができる。

上記実施形態によれば、認証用データ保持装置と前記処理用データ保持装置とは、同一の装置（本実施形態では、サーバ装置１５）である。
これにより、ＵＩＭ１１では、認証用データおよび処理用データを保持する装置の情報を用いる処理を安全に行うことができる。

以上説明した少なくともひとつの実施形態によれば、携帯端末に接続され、前記携帯端末のオペレーティングシステム（ＯＳ）を識別する識別部（本実施形態では、ＯＳ識別部１２１）と、前記識別部により所定のオペレーティングシステムが識別された場合に、自装置が保持する認証用データと、ネットワーク１４を介して通信可能な認証用データ保持装置（本実施形態では、サーバ装置１５）が保持する認証用データとが合致するか否かを判定するための処理を行う判定部１２２と、前記判定部１２２により行われた処理により合致が判定された場合に、前記ネットワーク１４を介して通信可能な処理用データ保持装置（本実施形態では、サーバ装置１５）が保持する処理用データを用いる所定の処理を許可する許可制御部１２３と、を持つことにより、ネットワーク１４を介して通信可能な装置の情報を用いる処理を、安全に行うことができる。

以上に示した実施形態に係る各装置（例えば、ＵＩＭ１１、携帯端末１２、端末１３、サーバ装置１５、事業者装置１６）の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、処理を行うことができる。
なお、ここでいう「コンピュータシステム」とは、オペレーティングシステムあるいは周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに、「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークあるいは電話回線等の通信回線を介してプログラムが送信された場合のサーバあるいはクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記のプログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）あるいは電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記のプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、上記のプログラムは、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
このように、各機能部は、ソフトウェア機能部であってもよく、または、ＬＳＩ等のハードウェア機能部であってもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１…通信システム、１１…ＵＩＭ、１２…携帯端末、１３…端末、１４…ネットワーク、１５…サーバ装置、１６…事業者装置、５１…ＩＣモジュール、５２…カード基材、６１…コンタクト部、６２…ＩＣチップ、８１…外部装置、１０１、２０１…記憶部、１０２、２０２…インターフェース部、１０３、２０４…制御部、１２１…ＯＳ識別部、１２２…判定部、１２３…許可制御部、２０３…通信部、３０１…ＥＥＰＲＯＭ、３０２…ＲＡＭ、３０３…ＲＯＭ、３０４…Ｉ／Ｏライン、３０５…コプロセッサ、３０６…ＣＰＵ、３０７…システムバス

Claims (4)

1. 携帯端末に接続され、
   前記携帯端末のオペレーティングシステムを識別する識別部と、
   前記識別部により所定のオペレーティングシステムが識別された場合に、自装置が保持する契約者に関する情報としての認証用データと、ネットワークを介して通信可能な認証用データ保持装置が保持する契約者に関する情報としての認証用データとが合致するか否かを判定するための処理を行う判定部と、
   前記判定部により行われた処理により合致が判定された場合に、前記ネットワークを介して通信可能な処理用データ保持装置が保持する処理用データを用いる所定の処理を許可する許可制御部と、
   を備える携帯可能電子装置。
2. 前記識別部は、自装置にアクセスした前記携帯端末のオペレーティングシステムを識別する、
   請求項１に記載の携帯可能電子装置。
3. 前記携帯端末は、第１のオペレーティングシステムと、前記第１のオペレーティングシステムよりもセキュリティ性が高い第２のオペレーティングシステムを備え、
   前記所定のオペレーティングシステムは、前記第２のオペレーティングシステムである、
   請求項１または請求項２のいずれか１項に記載の携帯可能電子装置。
4. 前記認証用データ保持装置と前記処理用データ保持装置とは、同一の装置である、
   請求項１から請求項３のいずれか１項に記載の携帯可能電子装置。

Images