JP6879450B2 - 電子情報記憶装置、プロファイル変換方法、及びプロファイル変換プログラム - Google Patents

Description

複数の携帯通信事業者のプロファイルが格納された端末装置等の技術分野に関する。

従来から携帯電話機等の携帯端末（移動機）には、SIM（Subscriber Identity Module）カードが着脱可能に挿入される。１つのSIMカードには、１つの携帯通信事業者（移動通信事業者）のプロファイル（Profile）が格納されている。プロファイルは、通信に必要な情報を例えばEF（Elementary File）として保持しており、この情報を用いて通信が行われる。プロファイルに格納される重要な情報については、通常変更することができない。そのため、携帯通信事業者を変更したい場合には、SIMカードを携帯端末から取り外し、異なるSIMカードを挿入することによって携帯通信事業者を変更する。

近年、M2M（Machine to Machine）デバイスの分野において、携帯通信事業者の通信サービスを利用する動きが活発である。しかし、携帯通信事業者の通信サービスを利用する場合、上述の通り、SIMカードが必要となるため、SIMカードスロットを設ける必要がある。この場合、構成部品の増加および小型化を阻害するという問題が発生している。このような問題を解決するため、SIMカードをM2Mデバイスとして小型化し半田付け又は溶接により装置（機器）に組み込むことが提案された。このようにM2MデバイスとしてのSIMカードが装置に組み込まれ、装置と完全に一体化された状態でグローバルに販売する場合、出荷国に応じて携帯通信事業者のプロファイルを変更して製造する必要が生じる。しかし、出荷国に応じて装置の製造ラインを切り分けることはコストの面から現実的な対応とは言いがたい。そのため、製造段階において携帯通信事業者のプロファイルを固定して装置を製造することは困難である。このような問題を解決するために、M2M向けSIMカードとしてeUICC（Embedded Universal Integrated Circuit Card）の検討が進んでいる。eUICCには、複数の携帯通信事業者のプロファイルを格納することができ、使用したい携帯通信事業者のプロファイルをEnable、使用しない他の携帯通信事業者のプロファイルをDisableすることによって、携帯通信事業者の通信サービスが利用可能となる。特許文献１には、通信事業者間においてeUICCの活性化に必要となる加入者プロファイルなどを安全に転送し得る技術が開示されている。

特開２０１５−４３５１０号公報

ところで、１つのeUICCに複数の携帯通信事業者のプロファイルが格納される場合、一方のプロファイルから他方のプロファイルのデータが読み出される可能性がある。例えば、Enableになっているプロファイルに悪意のあるコードが含まれていることでDisableになっている他のプロファイルのデータが読み出されたり、或いは、外部からのサイドチャネルアタック等により、Disableになっている他のプロファイルのデータを読み出される可能性がある。このようなことは、eUICCにプロファイルが格納された携帯通信事業者のプロファイルにとって不都合である。

そこで、本発明は、このような不都合等に鑑みてなされたものであり、格納された複数のプロファイルのうちの一方のプロファイルから他方のプロファイルのデータが読み出されることを効率良く防止することが可能な電子情報記憶装置、プロファイル変換方法、及びプロファイル変換プログラムを提供することを目的とする。

上記課題を解決するために、請求項１に記載の発明は、前記電子情報記憶装置の動作を担う電子情報と、外部との間の通信に必要な情報を格納するプロファイルであって使用可能に設定された前記プロファイルと使用不可に設定された前記プロファイルとを含む複数の前記プロファイルと、前記電子情報中の一部情報または前記使用不可に設定される前記プロファイル中の一部情報として用いられる複数の候補のそれぞれを特定するための特定情報と、を記憶するメモリと、前記メモリに記憶された前記特定情報に基づいて、前記複数の候補のうち何れか１つの候補を前記電子情報中または前記使用不可に設定される前記プロファイル中から前記一部情報として決定し、当該決定した一部情報と、所定の演算式とを用いて、当該使用不可に設定される前記プロファイルを、当該プロファイルへの逆変換が可能な可逆データに変換する変換手段と、前記変換手段により変換される前の前記プロファイルに代えて、前記変換手段により変換された後の前記可逆データを前記メモリに記憶させ、且つ、当該変換された前記プロファイルの識別情報と、前記決定された一部情報が記憶された前記メモリの開始位置アドレスと、当該一部情報の長さとを対応付けて前記メモリに記憶させる制御手段と、前記使用不可に設定される前記プロファイルが使用可能に設定される場合において、当該プロファイルの識別情報に対応付けられた前記開始位置アドレスと前記長さとに基づいて前記可逆データへの変換に用いられた前記一部情報を特定し、当該特定された前記一部情報と、前記演算式とを用いて、前記使用不可から使用可能に設定される前記プロファイルに対応する前記可逆データを、当該プロファイルへ逆変換する逆変換手段と、を備えることを特徴とする。

請求項２に記載の発明は、請求項１に記載の電子情報記憶装置において、前記変換手段は、前記演算式を用いて、前記使用不可に設定される前記プロファイルを前記一部情報によりマスクすることで前記可逆データに変換することを特徴とする。

請求項３に記載の発明は、請求項２に記載の電子情報記憶装置において、前記演算式は、排他的論理和演算を行うための演算式であることを特徴とする。

請求項４に記載の発明は、請求項１乃至３の何れか一項に記載の電子情報記憶装置において、前記変換手段は、前記プロファイルが使用可能から使用不可に設定される際に、当該プロファイルを前記可逆データに変換することを特徴とする。

請求項５に記載の発明は、請求項４に記載の電子情報記憶装置において、前記変換手段は、前記複数の候補のうち何れか１つの候補を前記一部情報としてランダムに決定することを特徴とする。

請求項６に記載の発明は、請求項４または５に記載の電子情報記憶装置において、前記メモリには、前記プロファイルの数より多くの数の前記候補のそれぞれを特定するための特定情報が予め記憶されることを特徴とする。

請求項７に記載の発明は、請求項１乃至４の何れか一項に記載の電子情報記憶装置において、前記電子情報中または前記使用不可に設定される前記プロファイル中から前記一部情報の候補を選定し、前記選定した候補の乱数性が所定の条件を満たすか否かを判定する判定手段を更に備え、前記変換手段は、前記判定手段により前記乱数性が前記所定の条件を満たすと判定された前記候補を前記一部情報として決定し、当該決定した一部情報と、前記演算式とを用いて、前記使用不可に設定される前記プロファイルを前記可逆データに変換することを特徴とする。

請求項８に記載の発明は、部との間で通信可能な電子情報記憶装置が備えるプロセッサにより実行されるプロファイル変換方法であって、前記電子情報記憶装置の動作を担う電子情報と、外部との間の通信に必要な情報を格納するプロファイルであって使用可能に設定された前記プロファイルと使用不可に設定された前記プロファイルとを含む複数の前記プロファイルと、前記電子情報中の一部情報または前記使用不可に設定される前記プロファイル中の一部情報として用いられる複数の候補のそれぞれを特定するための特定情報と、を記憶するメモリに記憶された前記特定情報に基づいて、前記複数の候補のうち何れか１つの候補を前記電子情報中または前記使用不可に設定される前記プロファイル中から前記一部情報として決定し、当該決定した一部情報と、所定の演算式とを用いて、当該使用不可に設定される前記プロファイルを、当該プロファイルへの逆変換が可能な可逆データに変換する変換ステップと、前記変換ステップにより変換される前の前記プロファイルに代えて、前記変換ステップにより変換された後の前記可逆データを前記メモリに記憶させ、且つ、当該変換された前記プロファイルの識別情報と、前記決定された一部情報が記憶された前記メモリの開始位置アドレスと、当該一部情報の長さとを対応付けて前記メモリに記憶させる制御ステップと、前記使用不可に設定される前記プロファイルが使用可能に設定される場合において、当該プロファイルの識別情報に対応付けられた前記開始位置アドレスと前記長さとに基づいて前記可逆データへの変換に用いられた前記一部情報を特定し、当該特定された前記一部情報と、前記演算式とを用いて、前記使用不可から使用可能に設定される前記プロファイルに対応する前記可逆データを、当該プロファイルへ逆変換する逆変換ステップと、を含むことを特徴とする。

請求項９に記載の発明は、外部との間で通信可能な電子情報記憶装置が備えるプロセッサに、前記電子情報記憶装置の動作を担う電子情報と、外部との間の通信に必要な情報を格納するプロファイルであって使用可能に設定された前記プロファイルと使用不可に設定された前記プロファイルとを含む複数の前記プロファイルと、前記電子情報中の一部情報または前記使用不可に設定される前記プロファイル中の一部情報として用いられる複数の候補のそれぞれを特定するための特定情報と、を記憶するメモリに記憶された前記特定情報に基づいて、前記複数の候補のうち何れか１つの候補を前記電子情報中または前記使用不可に設定される前記プロファイル中から前記一部情報として決定し、当該決定した一部情報と、所定の演算式とを用いて、当該使用不可に設定される前記プロファイルを、当該プロファイルへの逆変換が可能な可逆データに変換する変換ステップと、前記変換ステップにより変換される前の前記プロファイルに代えて、前記変換ステップにより変換された後の前記可逆データを前記メモリに記憶させ、且つ、当該変換された前記プロファイルの識別情報と、前記決定された一部情報が記憶された前記メモリの開始位置アドレスと、当該一部情報の長さとを対応付けて前記メモリに記憶させる制御ステップと、前記使用不可に設定される前記プロファイルが使用可能に設定される場合において、当該プロファイルの識別情報に対応付けられた前記開始位置アドレスと前記長さとに基づいて前記可逆データへの変換に用いられた前記一部情報を特定し、当該特定された前記一部情報と、前記演算式とを用いて、前記使用不可から使用可能に設定される前記プロファイルに対応する前記可逆データを、当該プロファイルへ逆変換する逆変換ステップと、を実行させることを特徴とする。

本発明によれば、格納された複数のプロファイルのうちの一方のプロファイルから他方のプロファイルのデータが読み出されることを効率良く防止することができる。

移動通信システムの概要構成例を示す図である。 端末装置５のハードウェア構成例を示す図である。 プラットフォーム上に３つのプロファイルP1〜P3を表した概念図である。 （Ａ）は、変換されたプロファイルのプロファイルＩＤと、一部情報の開始位置アドレスと、一部情報の長さとを対応付けて登録する対応付けテーブルの一例を示す図であり、（Ｂ）は、一部情報の候補リストの一例を示す図である。 プロファイルの切替えパターン例を示す概念図である。 プロファイルの追加パターン例を示す概念図である。 （Ａ）は、実施例１において、プロファイルが切替えられる場合におけるＣＰＵ５２ａの処理を示すフローチャートであり、（Ｂ）は、実施例１において、プロファイルが追加される場合におけるＣＰＵ５２ａの処理を示すフローチャートである。 （Ａ）は、実施例２において、プロファイルが切替えられる場合におけるＣＰＵ５２ａの処理を示すフローチャートであり、（Ｂ）は、実施例２において、プロファイルが追加される場合におけるＣＰＵ５２ａの処理を示すフローチャートである。

以下、図面を参照して本発明の実施形態について詳細に説明する。以下に説明する実施形態は、外部との間の通信に必要な情報を格納する複数のプロファイルを有する端末装置に対して本発明を適用した場合の実施の形態である。

［１．移動通信システムの概要構成］
先ず、図１を参照して、本実施形態に係る端末装置が利用される移動通信システムの概要構成について説明する。図１は、移動通信システムの概要構成例を示す図である。図１に示すように、移動通信システムＳは、第１の移動通信ネットワーク（Mobile Network）１、第２の移動通信ネットワーク２、第３の移動通信ネットワーク３、ＳＭ（Subscription Manager）サーバ４、及び端末装置５等を含んで構成される。第１の移動通信ネットワーク１は、第１の携帯通信事業者（Mobile Network Operator）により提供される通信ネットワークであり、無線基地局及びゲートウェイ等を含む。第２の移動通信ネットワーク２は、第２の携帯通信事業者により提供される通信ネットワークであり、無線基地局及びゲートウェイ等を含む。第３の移動通信ネットワーク３は、第３の携帯通信事業者により提供される通信ネットワークであり、無線基地局及びゲートウェイ等を含む。

なお、本実施形態では、移動通信ネットワーク１〜３は、それぞれ異なる携帯通信事業者により提供されることを想定しているが、移動通信ネットワーク１〜３のうち少なくとも何れか２つの移動通信ネットワークは、同一の携帯通信事業者により提供されてもよい。また、図１の例では、３つの移動通信ネットワーク１〜３を示すが、２つの移動通信ネットワーク、または４つ以上の移動通信ネットワークでもよい。また、図１の例では、説明の便宜上、１つの携帯装置５を示しているが実際には複数存在する。

ＳＭサーバ４は、移動通信ネットワーク１〜３の何れにも接続可能になっており、SM-DP（Data Preparation）と、SM-SR（Secure Routing）との２つの役割を有する。SM-DPは、端末装置５に格納されるプロファイルの作成と保管をセキュアに行う役割を担う。一方、SM-SRは、端末装置５に格納されたプロファイル毎に、使用可能（Enable）に設定されているかまたは使用不可（Disable）に設定されているかを管理し、端末装置５とのセキュアな通信を確立する役割を担う。ＳＭサーバ４は、SM-SRにより、移動通信ネットワーク１〜３の何れかを介して端末装置５へ、プロファイルの切替え命令を行うことができる。なお、各プロファイルには、それぞれに固有の識別情報（以下、「プロファイルＩＤ」という）が付与される。

［２．端末装置５の構成及び機能］
次に、図２を参照して、本実施形態に係る端末装置５の構成及び機能について説明する。図２は、端末装置５のハードウェア構成例を示す図である。図２に示すように、端末装置５は、通信モジュール５１、及びeUICC（埋め込み型UICC）５２等を備える。なお、端末装置５には、携帯端末（例えば、携帯電話機、スマートフォン、またはタブレット等）やM2Mデバイス（例えば、計測器、またはカメラ等）を適用可能である。通信モジュール５１は、図示しないアンテナ及び電子回路等を備え、移動通信ネットワーク１〜３における何れかの基地局との間の無線通信を制御する。これにより、端末装置５は、移動通信ネットワーク１〜３のうちの何れか１つの移動通信ネットワーク（つまり、使用可能に設定されたプロファイルに対応する移動通信ネットワーク）に接続し、当該接続した移動通信ネットワークを介してＳＭサーバ４等と通信を行うことができる。なお、端末装置５は、複数のＧＰＳ衛星からの航法電波を受信して現在位置を検出するＧＰＳ機能を備えてもよい。

eUICC５２は、端末装置５から容易に取り外しや取り換えができないように端末装置５と一体的に搭載される。なお、eUICC５２は、本発明の電子情報記憶装置の一例である。eUICC５２は、ＣＰＵ（Central Processing Unit）５２ａ、ＲＡＭ（Random Access Memory）５２ｂ、ＲＯＭ（Read Only Memory）５２ｃ、不揮発性メモリ５２ｄ、及びＩ／Ｏ回路５２ｅを備えて構成される。なお、図示しないが、eUICC５２には、セキュアな通信を実現するために、暗号演算アルゴリズム（例えば、RSA、AES、またはDESなど）がハードウェアまたはソフトウェアで搭載される。ＣＰＵ５２ａは、ＲＯＭ５２ｃまたは不揮発性メモリ５２ｄに記憶された各種プログラムを実行するプロセッサ（コンピュータ）である。不揮発性メモリ５２ｄには、例えば、フラッシュメモリ、または「Electrically Erasable Programmable Read-Only Memory」が適用される。Ｉ／Ｏ回路５２ｅは、通信モジュール５１とのインターフェイスを担う。

ＲＯＭ５２ｃと不揮発性メモリ５２ｄとの少なくとも何れか一方には、eUICC５２の動作を担う電子情報、本発明のプロファイル変換プログラム、及びアプリケーション（アプリケーションプログラム）が記憶される。ここで、電子情報には、eUICC５２を動作させるために基盤となるプラットフォームを構成するオペレーティングシステム（Operating System、以下、「ＯＳ」という）が含まれる。なお、電子情報には、ＯＳとアプリケーションとを仲介するミドルウェアが含まれる場合もあり、この場合、ＯＳ及びミドルウェアがプラットフォームを構成する。

また、不揮発性メモリ５２ｄには、移動通信ネットワーク１〜３毎に、通信に必要な情報を格納するプロファイルが記憶される。つまり、本実施形態において、プロファイルには、移動通信ネットワーク１に対応するプロファイル（第１の携帯通信事業者のプロファイル）、移動通信ネットワーク２に対応するプロファイル（第２の携帯通信事業者のプロファイル）、及び移動通信ネットワーク３に対応するプロファイル（第３の携帯通信事業者のプロファイル）がある。各プロファイルに格納される情報には、IMSI（International Mobile Subscriber Identity）、MSISDN（Mobile Subscriber Integrated Services Digital Network Number）、NAA（Network Access Application）等のアプリケーション、及びSD（Security Domain）等が含まれる。ここで、IMSIは、eUICC５２に固有の識別番号である。MSISDNは、例えば加入者に割り当てられる電話番号である。SDは、アプリケーションの管理、及びSCP（Secure Channel Protocol）に従ったセキュアな通信を確立するなどの役割を担う。

不揮発性メモリ５２ｄに記憶された複数のプロファイルのうち、何れか１つのプロファイルは使用可能に設定（例えば、当該プロファイルのプロファイルＩＤに対応付けられた使用可否フラグが“１”に設定）されており、当該使用可能に設定されたプロファイル以外のプロファイルは使用不可に設定（例えば、当該プロファイルのプロファイルＩＤに対応付けられた使用可否フラグが“０”に設定）されている。このように使用可能に設定されたプロファイルに対応する移動通信ネットワーク１が利用されることで通信が行われる。なお、このようなプロファイルは、例えば、端末装置５の製造段階（出荷前）で不揮発性メモリ５２ｄに記憶される場合もあるし、端末装置５の運用段階（出荷後）にＳＭサーバ４から移動通信ネットワーク（つまり、使用可能に設定された他のプロファイルに対応する移動通信ネットワーク）を介して送信され不揮発性メモリ５２ｄに記憶される場合もある。

図３は、プラットフォーム上に３つのプロファイルP1〜P3を表した概念図である。ここで、プロファイルP1は、移動通信ネットワーク１に対応するプロファイルであり、使用可能（Enable）に設定されている。プロファイルP2は、移動通信ネットワーク２に対応するプロファイルであり、使用不可（Disable）に設定されている。プロファイルP3は、移動通信ネットワーク３に対応するプロファイルであり、使用不可（Disable）に設定されている。ＣＰＵ５２ａは、ＳＭサーバ４からの切替え命令に応じて、使用可能に設定されるプロファイルを使用不可に設定し、且つ使用不可に設定されるプロファイルを使用可能に設定する。

また、ＣＰＵ５２ａは、本発明のプロファイル変換プログラムを実行することにより、本発明における変換手段、逆変換手段、及び制御手段等として機能する。例えば、使用可能に設定されたプロファイルが使用不可に設定（例えば、使用可否フラグが“１”から“０”に変更設定）される際に、ＣＰＵ５２ａは、ＲＯＭ５２ｃまたは不揮発性メモリ５２ｄに記憶された電子情報中の一部情報と、所定の演算式とを用いて、使用不可に設定されるプロファイルを、当該プロファイルへの逆変換が可能な可逆データに変換（言い換えれば、可逆データを生成）する。或いは、ＣＰＵ５２ａは、使用不可に設定されるプロファイル中の一部情報と、所定の演算式とを用いて、当該使用不可に設定されるプロファイルを、当該プロファイルへの逆変換が可能な可逆データに変換してもよい。

そして、ＣＰＵ５２ａは、上記変換される前のプロファイルに代えて、上記変換された後の可逆データを不揮発性メモリ５２ｄに記憶（つまり、上書き保存）させる。このとき、当該変換される前のプロファイルのプロファイルＩＤが当該可逆データに対応付けられる。さらに、当該可逆データへの変換に用いられた一部情報を特定するための特定情報が、当該プロファイルのプロファイルＩＤに対応付けられて不揮発性メモリ５２ｄに記憶される。この特定情報は、当該変換時に用いられた一部情報自体であってもよい。しかし、好適には、上記特定情報は、上記一部情報が記憶された不揮発性メモリ５２ｄの開始位置アドレス（一部情報の開始位置アドレス）と、当該一部情報の長さ（データ長）とを対応付けた情報であることが望ましい。これにより、一部情報自体を記憶するよりもセキュリティを高めることができ、さらに、eUICC５２の限られたメモリリソースの使用を低減することができる。

図４（Ａ）は、変換されたプロファイルのプロファイルＩＤと、一部情報の開始位置アドレスと、一部情報の長さとを対応付けて登録する対応付けテーブルの一例を示す図である。図４（Ａ）に示す対応付けテーブルには、使用不可に設定されたプロファイルP2のプロファイルＩＤ“p02”と、使用不可に設定されたプロファイルP3のプロファイルＩＤ“p03”とのそれぞれに対して、開始位置アドレス及び長さが対応付けられて登録されている。

ところで、上記可逆データへの変換に用いられる上記一部情報は、当該可逆データからプロファイルへの解読を防止するために、所定の乱数性を有することが望ましい。このため、ＣＰＵ５２ａは、例えば、上記電子情報中または使用不可に設定されるプロファイル中から一部情報の候補を選定し、当該選定した候補の乱数性が所定の条件を満たすか否かを判定し、当該乱数性が上記所定の条件を満たすと判定された候補を一部情報として決定するとよい。ここで、所定の条件の一例として、上記候補が、“00000000”、“11111111”、及び“11110000”のような規則性がある所定のビット列でないことが挙げられる。

また、上記可逆データへの変換に用いられる上記一部情報は、プログラムコードであるとよい。これにより、乱数性の高いビット列を有する一部情報を迅速に決定することができる。特に、上記一部情報がプラットフォームを構成するＯＳ中のプログラムコードから決定されれば、より好適である。ＯＳは例えば端末装置５の製造段階においてeUICC５２にインストールされるため、当該製造段階において、より適切な一部情報を決定することができ、当該決定された一部情報を特定するための特定情報を不揮発性メモリ５２ｄに記憶してから端末装置５を出荷することができる。この場合、当該特定情報は、当該一部情報が記憶された不揮発性メモリ５２ｄの開始位置アドレスと、当該一部情報の長さとを対応付けた情報であることが望ましい。

さらに好適な例として、不揮発性メモリ５２ｄには、上記一部情報として用いられる複数の候補のそれぞれを特定するための特定情報が予め記憶されるように構成するとよい。図４（Ｂ）は、一部情報の候補リストの一例を示す図である。この場合も、例えば端末装置５の製造段階において、それぞれの候補に対応する特定情報を不揮発性メモリ５２ｄに記憶してから端末装置５を出荷することができる。この場合、ＣＰＵ５２ａは、不揮発性メモリ５２ｄに記憶された上記特定情報に基づいて、複数の候補のうち何れか１つの候補を電子情報中または使用不可に設定されるプロファイル中から上記一部情報として決定する。このとき、ＣＰＵ５２ａは、複数の候補のうち何れか１つの候補を上記一部情報としてランダムに決定（例えば、複数の候補のそれぞれに対応する特定情報のうちからランダムに１つの特定情報（例えば、図４（Ｂ）に示す開始アドレス“0x01000000”及び長さ“#bite”）を選定し、選定した特定情報にしたがって電子情報中または使用不可に設定されるプロファイル中から上記一部情報を決定）するとよい。上記可逆データは、複数の候補のうちどの候補を上記一部情報として使用するかによって変わるので、たとえ当該可逆データが複数回読み出されて外部に漏洩したとしても、複数回読み出された可逆データを夫々異ならせることが可能となり、したがって、複数回読み出された可逆データのパターン解析によっても解読され難くさせることができる。また、不揮発性メモリ５２ｄには、記憶されるプロファイルの数より多くの数の候補のそれぞれを特定するための特定情報が予め記憶されるとよく、この場合より一層、上記可逆データを解読され難くさせることができる。

また、上記所定の演算式の例として、排他的論理和（XOR）演算を行うための演算式が用いられるとよい。この場合、ＣＰＵ５２ａは、排他的論理和（XOR）演算を行うための演算式を用いて、使用不可に設定されるプロファイルを上記一部情報によりマスクすることで上記可逆データを生成する。例えば、プロファイルのビット列の先頭から末尾まで、上記一部情報としてのプログラムコードの長さ分ずらしつつ（プログラムコードの長さがプロファイルの長さより短いことが前提）、プロファイルのビット列と上記プログラムコードのビット列との排他的論理和演算を複数回実行することで上記可逆データが生成される。排他的論理和演算により当該プロファイルをマスクすることで、より短い時間で上記可逆データを生成することができる。なお、当該プロファイルの全部（全区間）がマスクされなくてもよい。つまり、１つのプロファイル中にマスクされている区間とマスクされていない区間とが混在する上記可逆データが生成されてもよい。

また、上記所定の演算式の別の例として、暗号演算を行うための演算式が用いられてもよい。この演算式には、例えばセキュアな通信を実現するために、eUICC５２に搭載された暗号演算アルゴリズムを流用することができる。この場合、ＣＰＵ５２ａは、電子情報中の一部情報を鍵として暗号演算を行うための演算式を用いて、使用不可に設定されるプロファイルを上記可逆データに変換（つまり、暗号化）する。

上述したように使用不可に設定されたプロファイルが使用可能に設定（例えば、使用可否フラグが“０”から“１”に変更設定）される場合において、ＣＰＵ５２ａは、上記可逆データへの変換に用いられた一部情報を特定する。例えば、ＣＰＵ５２ａは、当該プロファイルのプロファイルＩＤに対応付けられた開始位置アドレスと長さ（データ長）とに基づいて一部情報を、上記電子情報中または当該プロファイル（つまり、使用可能から使用不可に設定されるプロファイル）中から特定する。これにより、不揮発性メモリ５２ｄの開始アドレスから当該データ長分の一部情報が特定される。そして、ＣＰＵ５２ａは、当該特定された一部情報と、上記演算式とを用いて、使用不可から使用可能に設定されるプロファイルに対応する可逆データを、当該プロファイルへ逆変換する。つまり、プロファイルが使用可能に設定される際に、そのマスクが解除されて当該プロファイルが実行可能な状態に復帰することになる。そして、ＣＰＵ５２ａは、当該可逆データに代えて、上記逆変換されたプロファイルを不揮発性メモリ５２ｄに記憶（つまり、上書き保存）させる。このとき、上記逆変換されたプロファイルのプロファイルＩＤと、上記特定情報との対応付けは解除される。

［３．端末装置５の動作］
次に、プロファイルの切替え時とプロファイルの追加時における端末装置５の動作について、実施例１と実施例２に分けて説明する。図５は、プロファイルの切替えパターン例を示す概念図であり、図６は、プロファイルの追加パターン例を示す概念図である。実施例１または実施例２における端末装置５の動作により、図５に示すように、プロファイルP1が使用可能から使用不可に設定変更され、且つプロファイルP2が使用不可から使用可能に設定変更される。また、実施例１または実施例２における端末装置５の動作により、図６に示すように、使用可能に設定されたプロファイルP3がダウンロード（例えばＳＭサーバ４からダウンロード）され、且つプロファイルP1が使用可能から使用不可に設定変更される。

（実施例１）
先ず、図７（Ａ），（Ｂ）を参照して、実施例１における端末装置５の動作について説明する。実施例１は、可逆データへの変換に用いられる一部情報がプラットフォームに含まれるプログラムコード（以下、「Platformコード」いう）であり、当該Platformコードとして用いられる複数の候補のそれぞれを特定するための特定情報（上述した開始位置アドレス及び長さ）が予め記憶される場合の例である。図７（Ａ）は、実施例１において、プロファイルが切替えられる場合におけるＣＰＵ５２ａの処理を示すフローチャートであり、図７（Ｂ）は、実施例１において、プロファイルが追加される場合におけるＣＰＵ５２ａの処理を示すフローチャートである。

図７（Ａ）に示す処理は、例えばＳＭサーバ４からプロファイルの切替え命令が受信された場合に開始される。この切替え命令は、プロファイルP1を使用可能から使用不可に、且つプロファイルP2を使用不可から使用可能に設定変更する命令（プロファイルP1のプロファイルＩＤ及びプロファイルP2のプロファイルＩＤを含む）を示す。

なお、例えば、プロファイルP1が第１のエリア内（例えば、フランス国内）でのみ使用可能であり、プロファイルP2が第２のエリア内（例えば、イタリア国内）でのみ使用可能であるような場合において、第１のエリアから第２のエリアへの切り替わり（例えば、フランスのイタリアの国境を超えたこと）が検出されたことに応じて、図７（Ａ）に示す処理が開始されてもよい。この場合、第１のエリアから第２のエリアへの切り替わりの検出は、端末装置５のＧＰＳ機能により検出された現在位置（経度及び緯度）に基づいて端末装置５により行われるとよい。

図７（Ａ）に示す処理が開始されると、ＣＰＵ５２ａは、受信された切替え命令に応じて、プロファイルP1を使用可能から使用不可に設定変更する（ステップＳ１）。なお、プロファイルP1の設定変更は、ステップＳ４以降に行われてもよい。次いで、ＣＰＵ５２ａは、不揮発性メモリ５２ｄに記憶された上記特定情報に基づいて、複数の候補のうち何れか１つの候補をプラットフォーム中からPlatformコードとして決定（例えば、開始アドレス及び長さから決定）する（ステップＳ２）。

次いで、ＣＰＵ５２ａは、ステップＳ１で決定されたPlatformコードと、所定の演算式とを用いて、ステップＳ１で使用不可に設定変更されたプロファイルP1を可逆データに変換する（ステップＳ３）。なお、第１のエリアから第２のエリアへの切り替わりが検出されたことに応じて、図７（Ａ）に示す処理が開始される場合、迅速性を要するので、上記演算式として、排他的論理和演算を行うための演算式が用いられるとよい。

次いで、ＣＰＵ５２ａは、変換される前のプロファイルP1に代えて、変換された後の可逆データ（つまり、プロファイルP1に対応する可逆データ）を、当該プロファイルP1のプロファイルＩＤに対応付けて不揮発性メモリ５２ｄに記憶させる（ステップＳ４）。次いで、ＣＰＵ５２ａは、ステップＳ３で可逆データへの変換に用いられたPlatformコードを特定するための特定情報（例えば、上述した開始位置アドレス及び長さ）を、プロファイルP1のプロファイルＩＤに対応付けて不揮発性メモリ５２ｄに記憶（例えば、図４（Ａ）に示す対応付けテーブルに登録）させる（ステップＳ５）。

次いで、ＣＰＵ５２ａは、プロファイルP2のプロファイルＩＤに対応付けられた可逆データ（つまり、プロファイルP2に対応する可逆データ）を不揮発性メモリ５２ｄから取得する（ステップＳ６）。次いで、ＣＰＵ５２ａは、プロファイルP2のプロファイルＩＤに対応付けられた特定情報を不揮発性メモリ５２ｄから取得（例えば、図４（Ａ）に示す対応付けテーブルから取得）し、当該取得した特定情報に基づいてPlatformコード（つまり、プロファイルP2に対応するPlatformコード）をプラットフォーム中から特定（例えば、開始アドレス及び長さから特定）する（ステップＳ７）。

次いで、ＣＰＵ５２ａは、ステップＳ７で特定されたPlatformコードと、上記演算式とを用いて、ステップＳ６で取得された可逆データをプロファイルP2へ逆変換する（ステップＳ８）。次いで、ＣＰＵ５２ａは、上記可逆データに代えて、ステップＳ８で逆変換されたプロファイルP2を、当該プロファイルP2のプロファイルＩＤに対応付けて不揮発性メモリ５２ｄに記憶させる（ステップＳ９）。

次いで、ＣＰＵ５２ａは、ステップＳ８で逆変換されたプロファイルP2のプロファイルＩＤと、ステップＳ８で逆変換に用いられたPlatformコードを特定するための特定情報との対応付け（つまり、プロファイルP2と、そのPlatformコードの特定情報との対応付け）を解除（例えば、図４（Ａ）に示す対応付けテーブルからプロファイルP2のプロファイルＩＤを削除）する（ステップＳ１０）。次いで、ＣＰＵ５２ａは、プロファイルP2を使用不可から使用可能に設定変更し（ステップＳ１１）、図７（Ａ）に示す処理を終了する。

一方、図７（Ｂ）に示す処理は、例えばＳＭサーバ４から使用可能に設定されたプロファイルP3がダウンロードされた場合に開始される。ダウンロードされたプロファイルP3は、不揮発性メモリ５２ｄに記憶される。なお、プロファイルP3がダウンロードされる際に、ＳＭサーバ４からプロファイルの切替え命令が受信されてもよい。

図７（Ｂ）に示す処理が開始されると、ＣＰＵ５２ａは、使用不可にするプロファイルP1を選択する（ステップＳ２１）。次いで、ＣＰＵ５２ａは、ステップＳ２１で選択されたプロファイルP1を使用可能から使用不可に設定変更する（ステップＳ２２）。なお、ステップＳ２３〜Ｓ２６の処理（プロファイルP1に対する処理）は、図７（Ａ）に示すステップＳ２〜Ｓ５の処理と同様である。

以上説明したように、実施例１によれば、端末装置５はプラットフォーム中のPlatformコードと、所定の演算式とを用いて、使用不可に設定されるプロファイルP1を可逆データに変換して保存するように構成したので、複数のプロファイルのうちの一方のプロファイルから他方のプロファイルのデータが読み出されることを効率良く防止することができる。また、実施例１によれば、Platformコードを用いるため、処理の迅速化を図ることができる。

（実施例２）
次に、図８（Ａ），（Ｂ）を参照して、実施例２における端末装置５の動作について説明する。実施例２は、可逆データへの変換に用いられる一部情報が、使用不可に設定されるプロファイルに含まれるプログラムコード（以下、「Profileコード」いう）である場合の例である。図８（Ａ）は、実施例２において、プロファイルが切替えられる場合におけるＣＰＵ５２ａの処理を示すフローチャートであり、図８（Ｂ）は、実施例２において、プロファイルが追加される場合におけるＣＰＵ５２ａの処理を示すフローチャートである。

図８（Ａ）に示す処理は、例えばＳＭサーバ４からプロファイルの切替え命令が受信された場合に開始される。この切替え命令は、実施例１と同様、プロファイルP1を使用可能から使用不可に、且つプロファイルP2を使用不可から使用可能に設定変更する命令を示す。

図８（Ａ）に示す処理が開始されると、ＣＰＵ５２ａは、受信された切替え命令に応じて、プロファイルP1を使用可能から使用不可に設定変更する（ステップＳ３１）。なお、プロファイルP1の設定変更は、ステップＳ３４以降に行われてもよい。

次いで、ＣＰＵ５２ａは、ステップＳ３１で使用不可に設定変更されたプロファイルP1中からProfileコードの候補を選定する（ステップＳ３２）。例えば、ＣＰＵ５２ａは、プロファイルにおけるプリセット位置から所定長分のプログラムコードをProfileコードの候補として選定する。或いは、ＣＰＵ５２ａは、プロファイルにおいてランダムに決定した位置から所定長分のプログラムコードをProfileコードの候補として選定する。

次いで、ＣＰＵ５２ａは、ステップＳ３２で選定したProfileコードの候補の乱数性を確認（チェック）し（ステップＳ３３）、当該確認した乱数性が所定の条件を満たすか否かを判定する（ステップＳ３４）。そして、ＣＰＵ５２ａは、当該Profileコードの候補の乱数性が所定の条件を満たす（つまり、乱数性は十分である）と判定した場合（ステップＳ３４：ＹＥＳ）、当該Profileコードの候補をProfileコードとして決定し（ステップＳ３５）、ステップＳ３６に進む。一方、ＣＰＵ５２ａは、当該Profileコードの候補の乱数性が所定の条件を満たさないと判定した場合（ステップＳ３４：ＮＯ）、ステップＳ３２に戻り、プロファイルP1中からProfileコードの別の候補を選定し、当該選定した別の候補に対してステップＳ３３及びＳ３４の処理を行う。

ステップＳ３６では、ＣＰＵ５２ａは、ステップＳ３５で決定されたProfileコードと、所定の演算式とを用いて、ステップＳ３１で使用不可に設定変更されたプロファイルP1を可逆データに変換する。なお、設定変更されたプロファイルP1において上記決定されたProfileコードの存在する区間がマスクされない可逆データが生成されてもよい。次いで、ＣＰＵ５２ａは、変換される前のプロファイルP1に代えて、変換された後の可逆データを、当該プロファイルP1のプロファイルＩＤに対応付けて不揮発性メモリ５２ｄに記憶させる（ステップＳ３７）。

次いで、ＣＰＵ５２ａは、ステップＳ３６で可逆データへの変換に用いられたProfileコードを特定するための特定情報を、プロファイルP1のプロファイルＩＤに対応付けて不揮発性メモリ５２ｄに記憶させる（ステップＳ３８）。なお、プロファイルP1においてProfileコードの存在する区間がマスクされていない可逆データが生成された場合、当該プロファイルP1におけるProfileコードの開始位置アドレス及び長さが、特定情報として記憶（例えば、図４（Ａ）に示す対応付けテーブルに登録）される。一方、プロファイルP1において全区間がマスクされた可逆データが生成された場合、上記Profileコード自体が、特定情報として記憶される。

次いで、ＣＰＵ５２ａは、プロファイルP2のプロファイルＩＤに対応付けられた可逆データを不揮発性メモリ５２ｄから取得する（ステップＳ３９）。次いで、ＣＰＵ５２ａは、プロファイルP2のプロファイルＩＤに対応付けられた特定情報を不揮発性メモリ５２ｄから取得し、当該取得した特定情報に基づいてProfileコードを特定（例えば、プロファイルP2中から特定）する（ステップＳ４０）。

次いで、ＣＰＵ５２ａは、ステップＳ４０で特定されたProfileコードと、上記演算式とを用いて、ステップＳ３９で取得された可逆データをプロファイルP2へ逆変換する（ステップＳ４１）。次いで、ＣＰＵ５２ａは、上記可逆データに代えて、ステップＳ４１で逆変換されたプロファイルP2を、当該プロファイルP2のプロファイルＩＤに対応付けて不揮発性メモリ５２ｄに記憶させる（ステップＳ４２）。

次いで、ＣＰＵ５２ａは、ステップＳ４１で逆変換されたプロファイルP2のプロファイルＩＤと、ステップＳ４１で逆変換に用いられたProfileコードを特定するための特定情報との対応付け（つまり、プロファイルP2と、そのProfileコードの特定情報との対応付け）を解除する（ステップＳ４３）。次いで、ＣＰＵ５２ａは、プロファイルP2を使用不可から使用可能に設定変更し（ステップＳ４４）、図８（Ａ）に示す処理を終了する。

一方、図８（Ｂ）に示す処理は、例えばＳＭサーバ４から使用可能に設定されたプロファイルP3がダウンロードされた場合に開始される。ダウンロードされたプロファイルP3は、不揮発性メモリ５２ｄに記憶される。なお、プロファイルP3がダウンロードされる際に、ＳＭサーバ４からプロファイルの切替え命令が受信されてもよい。

図８（Ｂ）に示す処理が開始されると、ＣＰＵ５２ａは、使用不可にするプロファイルP1を選択する（ステップＳ５１）。次いで、ＣＰＵ５２ａは、ステップＳ５１で選択されたプロファイルP1を使用可能から使用不可に設定変更する（ステップＳ５２）。なお、ステップＳ５３〜Ｓ５９の処理（プロファイルP1に対する処理）は、図８（Ａ）に示すステップＳ３２〜Ｓ３８の処理と同様である。

以上説明したように、実施例２によれば、端末装置５は、使用不可に設定されるプロファイルP1中のProfileコードと、所定の演算式とを用いて、当該使用不可に設定されるプロファイルP1を可逆データに変換して保存するように構成したので、複数のプロファイルのうちの一方のプロファイルから他方のプロファイルのデータが読み出されることを効率良く防止することができる。また、実施例２によれば、使用不可に設定されるプロファイル中のProfileコードを用いる場合において、乱数性の確認により、当該Profileコードの信頼性を高めることができる。

１ 第１の移動通信ネットワーク
２ 第２の移動通信ネットワーク
３ 第３の移動通信ネットワーク
４ ＳＭサーバ
５ 端末装置
５１ 通信モジュール
５２ eUICC
５２ａ ＣＰＵ
５２ｂ ＲＡＭ
５２ｃ ＲＯＭ
５２ｄ 不揮発性メモリ
５２ｅ Ｉ／Ｏ回路
Ｓ 移動通信システム

Claims (9)

1. 外部との間で通信可能な電子情報記憶装置であって、
   前記電子情報記憶装置の動作を担う電子情報と、外部との間の通信に必要な情報を格納するプロファイルであって使用可能に設定された前記プロファイルと使用不可に設定された前記プロファイルとを含む複数の前記プロファイルと、前記電子情報中の一部情報または前記使用不可に設定される前記プロファイル中の一部情報として用いられる複数の候補のそれぞれを特定するための特定情報と、を記憶するメモリと、
   前記メモリに記憶された前記特定情報に基づいて、前記複数の候補のうち何れか１つの候補を前記電子情報中または前記使用不可に設定される前記プロファイル中から前記一部情報として決定し、当該決定した一部情報と、所定の演算式とを用いて、当該使用不可に設定される前記プロファイルを、当該プロファイルへの逆変換が可能な可逆データに変換する変換手段と、
   前記変換手段により変換される前の前記プロファイルに代えて、前記変換手段により変換された後の前記可逆データを前記メモリに記憶させ、且つ、当該変換された前記プロファイルの識別情報と、前記決定された一部情報が記憶された前記メモリの開始位置アドレスと、当該一部情報の長さとを対応付けて前記メモリに記憶させる制御手段と、
   前記使用不可に設定される前記プロファイルが使用可能に設定される場合において、当該プロファイルの識別情報に対応付けられた前記開始位置アドレスと前記長さとに基づいて前記可逆データへの変換に用いられた前記一部情報を特定し、当該特定された前記一部情報と、前記演算式とを用いて、前記使用不可から使用可能に設定される前記プロファイルに対応する前記可逆データを、当該プロファイルへ逆変換する逆変換手段と、
   を備えることを特徴とする電子情報記憶装置。
2. 前記変換手段は、前記演算式を用いて、前記使用不可に設定される前記プロファイルを前記一部情報によりマスクすることで前記可逆データに変換することを特徴とする請求項１に記載の電子情報記憶装置。
3. 前記演算式は、排他的論理和演算を行うための演算式であることを特徴とする請求項２に記載の電子情報記憶装置。
4. 前記変換手段は、前記プロファイルが使用可能から使用不可に設定される際に、当該プロファイルを前記可逆データに変換することを特徴とする請求項１乃至３の何れか一項に記載の電子情報記憶装置。
5. 前記変換手段は、前記複数の候補のうち何れか１つの候補を前記一部情報としてランダムに決定することを特徴とする請求項４に記載の電子情報記憶装置。
6. 前記メモリには、前記プロファイルの数より多くの数の前記候補のそれぞれを特定するための特定情報が予め記憶されることを特徴とする請求項４または５に記載の電子情報記憶装置。
7. 前記電子情報中または前記使用不可に設定される前記プロファイル中から前記一部情報の候補を選定し、前記選定した候補の乱数性が所定の条件を満たすか否かを判定する判定手段を更に備え、
   前記変換手段は、前記判定手段により前記乱数性が前記所定の条件を満たすと判定された前記候補を前記一部情報として決定し、当該決定した一部情報と、前記演算式とを用いて、前記使用不可に設定される前記プロファイルを前記可逆データに変換することを特徴とする請求項１乃至４の何れか一項に記載の電子情報記憶装置。
8. 外部との間で通信可能な電子情報記憶装置が備えるプロセッサにより実行されるプロファイル変換方法であって、
   前記電子情報記憶装置の動作を担う電子情報と、外部との間の通信に必要な情報を格納するプロファイルであって使用可能に設定された前記プロファイルと使用不可に設定された前記プロファイルとを含む複数の前記プロファイルと、前記電子情報中の一部情報または前記使用不可に設定される前記プロファイル中の一部情報として用いられる複数の候補のそれぞれを特定するための特定情報と、を記憶するメモリに記憶された前記特定情報に基づいて、前記複数の候補のうち何れか１つの候補を前記電子情報中または前記使用不可に設定される前記プロファイル中から前記一部情報として決定し、当該決定した一部情報と、所定の演算式とを用いて、当該使用不可に設定される前記プロファイルを、当該プロファイルへの逆変換が可能な可逆データに変換する変換ステップと、
   前記変換ステップにより変換される前の前記プロファイルに代えて、前記変換ステップにより変換された後の前記可逆データを前記メモリに記憶させ、且つ、当該変換された前記プロファイルの識別情報と、前記決定された一部情報が記憶された前記メモリの開始位置アドレスと、当該一部情報の長さとを対応付けて前記メモリに記憶させる制御ステップと、
   前記使用不可に設定される前記プロファイルが使用可能に設定される場合において、当該プロファイルの識別情報に対応付けられた前記開始位置アドレスと前記長さとに基づいて前記可逆データへの変換に用いられた前記一部情報を特定し、当該特定された前記一部情報と、前記演算式とを用いて、前記使用不可から使用可能に設定される前記プロファイルに対応する前記可逆データを、当該プロファイルへ逆変換する逆変換ステップと、
   を含むことを特徴とするプロファイル変換方法。
9. 外部との間で通信可能な電子情報記憶装置が備えるプロセッサに、
   前記電子情報記憶装置の動作を担う電子情報と、外部との間の通信に必要な情報を格納するプロファイルであって使用可能に設定された前記プロファイルと使用不可に設定された前記プロファイルとを含む複数の前記プロファイルと、前記電子情報中の一部情報または前記使用不可に設定される前記プロファイル中の一部情報として用いられる複数の候補のそれぞれを特定するための特定情報と、を記憶するメモリに記憶された前記特定情報に基づいて、前記複数の候補のうち何れか１つの候補を前記電子情報中または前記使用不可に設定される前記プロファイル中から前記一部情報として決定し、当該決定した一部情報と、所定の演算式とを用いて、当該使用不可に設定される前記プロファイルを、当該プロファイルへの逆変換が可能な可逆データに変換する変換ステップと、
   前記変換ステップにより変換される前の前記プロファイルに代えて、前記変換ステップにより変換された後の前記可逆データを前記メモリに記憶させ、且つ、当該変換された前記プロファイルの識別情報と、前記決定された一部情報が記憶された前記メモリの開始位置アドレスと、当該一部情報の長さとを対応付けて前記メモリに記憶させる制御ステップと、
   前記使用不可に設定される前記プロファイルが使用可能に設定される場合において、当該プロファイルの識別情報に対応付けられた前記開始位置アドレスと前記長さとに基づいて前記可逆データへの変換に用いられた前記一部情報を特定し、当該特定された前記一部情報と、前記演算式とを用いて、前記使用不可から使用可能に設定される前記プロファイルに対応する前記可逆データを、当該プロファイルへ逆変換する逆変換ステップと、
   を実行させることを特徴とするプロファイル変換プログラム。

Images