JP7020969B2

JP7020969B2 - 携帯可能電子装置、及びｉｃカード

Info

Publication number: JP7020969B2
Application number: JP2018049680A
Authority: JP
Inventors: 一成畠中
Original assignee: Toshiba Corp; Toshiba Infrastructure Systems and Solutions Corp
Current assignee: Toshiba Corp; Toshiba Infrastructure Systems and Solutions Corp
Priority date: 2018-03-16
Filing date: 2018-03-16
Publication date: 2022-02-16
Anticipated expiration: 2038-03-16
Also published as: JP2019160191A

Description

本発明の実施形態は、携帯可能電子装置、及びＩＣカードに関する。

近年、ＩＣ（Integrated Circuit）チップを内蔵したＩＣカードなどの携帯可能電子装置が広く使用されている。従来の携帯可能電子装置では、外部装置から受信したコマンドに応じて、ＩＣカードの記憶領域に記憶されたデータにアクセスを行っている。データに対するセキュリティステータスの更新は、ＶＥＲＩＦＹコマンド、ＥＸＴＥＲＮＡＬＡＵＴＨＥＮＴＩＣＡＴＥコマンド等のセキュリティステータスを設定するコマンドに限られており、これらのコマンドによりセキュリティステータスが設定された後は、アプリケーションのリセットもしくは携帯可能電子装置の電源がオフ状態になるまでステータスが保持される。そのため、ステータスの継続中に不当にコマンドが実行され、ＩＣカード内のデータにアクセスされる場合があった。

特開２０１３－１９６４３６号公報特開２００１－３０７０４３号公報特開平１１－３０６３０１号公報

本発明が解決しようとする課題は、特定のデータに対して、より適切なアクセス制御を実現することができる携帯可能電子装置、及びＩＣカードを提供することである。

実施形態の携帯可能電子装置は、記憶部と、状態制御部と、実行部とを持つ。記憶部は、特定のデータを所定のデータ領域に記憶する。状態制御部は、前記記憶部における前記所定のデータ領域へのアクセスに関するセキュリティ状態を前記所定のデータ領域に含まれるファイルと対応付けてメモリ上で管理する。実行部は、前記特定のデータにアクセスする所定のコマンドを受け付けた場合に、前記状態制御部により管理された前記所定のデータ領域に対するセキュリティ状態に基づいて、受け付けた所定のコマンドが実行可能であるか否かを判定し、実行可能であると判定された場合に、前記所定のコマンドの処理を実行する。また、所定のコマンドは、照合データを含む。また、状態制御部は、前記所定のデータ領域へのアクセスを行い、前記ファイルに設定されている照合データと、前記所定のコマンドに含まれる照合データとが一致したときに認証が成立したとして、前記セキュリティ状態をアクセス許可状態にし、前記セキュリティ状態に応じて前記実行部により所定のコマンドの処理が終了した場合に、前記セキュリティ状態を初期化する。

第１の実施形態のＩＣカードの一例を示す外観図。第１の実施形態のＩＣカードのハードウェア構成例を示す図。第１の実施形態のＩＣカードの機能構成例を示すブロック図。ファイル内に格納されているＴＬＶ形式のデータの一例を示す図。第１の実施形態の照合データ記憶部が記憶するデータ例を示す図。第１の実施形態のセキュリティステータス記憶部が記憶するデータ例を示す図。第１の実施形態のアクセス権限記憶部が記憶するデータ例を示す図。第１の実施形態のＩＣカード１のＶＥＲＩＦＹコマンドの処理の一例を示すフローチャート。第１の実施形態のＩＣカードのＣＯＭＰＡＲＥコマンドの処理の一例を示すフローチャート。第２の実施形態のＩＣカードの機能構成例を示すブロック図。第２の実施形態の回数制限付きアクセス権限記憶部が記憶するデータ例を示す図。第２の実施形態のコマンド別実行カウンタ記憶部が記憶するデータ例を示す図。第２の実施形態のＩＣカードのＣＯＭＰＡＲＥコマンドの処理の一例を示すフローチャート。

以下、実施形態の携帯可能電子装置、及びＩＣカードを、図面を参照して説明する。

（第１の実施形態）
図１は、第１の実施形態のＩＣカード１の一例を示す外観図である。
図１に示すように、ＩＣカード１は、ＩＣモジュール１０を備える。ＩＣモジュール１０は、コンタクト部３と、内部にＩＣチップ１００とを備える。

ＩＣカード１は、例えば、プラスチックのカード基材ＰＴ（カード本体の一例）に、ＩＣモジュール１０を実装して形成されている。すなわち、ＩＣカード１は、ＩＣモジュール１０と、ＩＣモジュール１０が埋め込まれたカード基材ＰＴとを備える。また、ＩＣカード１は、コンタクト部３を介して外部装置２と通信可能である。
なお、第１の実施形態では、携帯可能電子装置の一例として、ＩＣカード１について説明する。

ＩＣカード１は、例えば、外部装置２が送信したコマンド（処理要求）を、コンタクト部３を介して受信し、受信したコマンドに応じた処理（コマンド処理）を実行する。そして、ＩＣカード１は、コマンド処理の実行結果であるレスポンス（処理応答）を外部装置２にコンタクト部３を介して送信する。
ここで、外部装置２は、ＩＣカード１と通信する装置であり、例えば、リーダ／ライタ装置を含む端末装置などである。

ＩＣモジュール１０は、コンタクト部３と、ＩＣチップ１００とを備え、例えば、テープ上にＩＣモジュール１０が複数配置されたＣＯＴ（Chip On Tape）などの形態で取引されるモジュールである。なお、テープから個片抜きして切り離した単体のＩＣモジュール１０をＣＯＴという場合がある。

コンタクト部３は、ＩＣカード１が動作するために必要な各種信号の端子を有している。ここで、各種信号の端子は、電源電圧、クロック信号、リセット信号などを外部装置２から供給を受ける端子、及び、外部装置２と通信するためのシリアルデ―タ入出力端子（ＳＩＯ端子）を有する。
ＩＣチップ１００は、例えば、１チップのマイクロプロセッサなどのＬＳＩ（Large Scale Integration）である。

次に、図２を参照して、第１の実施形態のＩＣカード１のハードウェア構成について説明する。
図２は、第１の実施形態のＩＣカード１のハードウェア構成例を示す図である。
図２に示すように、ＩＣカード１は、コンタクト部３と、ＩＣチップ１００とを備えたＩＣモジュール１０を備えている。そして、ＩＣチップ１００は、ＵＡＲＴ（Universal Asynchronous Receiver Transmitter）４と、ＣＰＵ５と、ＲＯＭ（Read Only Memory）６と、ＲＡＭ（Random Access Memory）７と、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）８とを備えている。また、各構成（４から８）は、内部バスＢＳ１を介して接続されている。

ＵＡＲＴ４は、上述したＳＩＯ端子を介して、外部装置２とシリアルデータ通信を行う。ＵＡＲＴ４は、ＳＩＯ端子を介して受信したシリアルデータ信号をパラレル変換したデータ（例えば、１バイトのデータ）を内部バスＢＳ１に出力する。また、ＵＡＲＴ４は、内部バスＢＳ１を介して取得したデータをシリアル変換して、ＳＩＯ端子を介して外部装置２に出力する。ＵＡＲＴ４は、例えば、ＳＩＯ端子を介してコマンドを外部装置２から受信する。また、ＵＡＲＴ４は、ＳＩＯ端子を介してレスポンスを外部装置２に送信する。

ＣＰＵ５は、ＲＯＭ６又はＥＥＰＲＯＭ８に記憶されているプログラムを実行して、ＩＣカード１の各種処理を行う。ＣＰＵ５は、例えば、コンタクト部３を介して、ＵＡＲＴ４が受信したコマンドに応じたコマンド処理を実行する。

ＲＯＭ６は、例えば、マスクＲＯＭなどの不揮発性メモリであり、ＩＣカード１の各種処理を実行するためのプログラム、及びコマンドテーブルなどのデータを記憶する。
ＲＡＭ７は、例えば、ＳＲＡＭ（Static RAM）などの揮発性メモリであり、ＩＣカード１の各種処理を行う際に利用されるデータを一時記憶する。

ＥＥＰＲＯＭ８は、例えば、電気的に書き換え可能な不揮発性メモリである。ＥＥＰＲＯＭ８は、ＩＣカード１が利用する各種データを記憶する。ＥＥＰＲＯＭ８は、例えば、ＩＣカード１を利用した各種サービス（アプリケーション）に使用される情報を記憶する。

次に、図３を参照して、第１の実施形態によるＩＣカード１の機能構成例について説明する。
図３は、第１の実施形態のＩＣカード１の機能構成例を示すブロック図である。
図３に示すように、ＩＣカード１は、例えば、通信部４０と、制御部５０と、ＡＰ（アプリケーション）データ記憶部８１と、ファイル管理情報記憶部８２と、照合データ記憶部８３と、セキュリティステータス記憶部７１と、アクセス権限記憶部８４と、を備える。
ここで、図３に示されるＩＣカード１の各部は、図２に示されるＩＣカード１のハードウェアを用いて実現される。

通信部４０は、例えば、ＵＡＲＴ４と、ＣＰＵ５と、ＲＯＭ６に記憶されているプログラムとにより実現され、コンタクト部３を介して、例えば、外部装置２との間でコマンド及びレスポンスの送受信を行う。すなわち、通信部４０は、所定の処理を要求するコマンド（処理要求）を外部装置２から受信するとともに、コマンドに対するレスポンス（処理応答）を外部装置２に送信する。

ＡＰデータ記憶部８１（記憶部の一例）は、例えば、ＥＥＰＲＯＭ８により構成された記憶部であり、アプリケーションデータを記憶する。ＡＰデータ記憶部８１は、所定のデータ領域に、ＭＦ（Master File）、ＤＦ（Dedicated File）、ＥＦ（Elementary File）などのファイルが階層構造になって記憶されている。なお、ＥＦは、識別情報（以下、ＥＦＩＤ）によって識別可能に管理され、それぞれのＥＦには、例えば、図４に示すように、ＴＬＶ形式（Tag-Length-value形式）のデータ（特定のデータ）が格納される。すなわち、ＡＰデータ記憶部８１は、ＴＬＶ形式のデータ（特定のデータの一例）を含むファイルを記憶する。

図４は、ファイル内に格納されているＴＬＶ形式のデータの一例を示す図である。
図４に示す例は、ＥＦ内に、複数のＴＬＶ形式のデータ（「データＡ」、「データＢ」、・・・）が格納されている例を示している。ここで、「Ｔａｇ名」は、特定のデータのＴａｇを識別する識別情報であり、「Ｌｅｎ」は、特定のデータの長さを示している。また、「Ｖａｌｕｅ」には、特定のデータの内容（データ）が格納されている。
特定のデータ（「データＡ」、「データＢ」、・・・）には、例えば、「氏名」、「住所」、「生年月日」、「年齢」「電話番号」等の個人情報や、特定の権限者でなければアクセスできない情報、その他情報が含まれる。
各ＴＬＶ形式のデータは、ＥＦの先頭アドレスから「Ｌｅｎ」に基づいて順次検索することにより、選択したいＴＬＶ形式のデータを選択することが可能である。したがって、例えば、ＶＥＲＩＦＹコマンドによりカード使用者の本人照合確認を行い、所定の認証が成立した後に、例えば、ＳＥＬＥＣＴＤＡＴＡコマンド等で「Ｔａｇ名」を設定することで、Ｔａｇ名に対応するＶａｌｕｅ（データ）を取得することができる。

図３の説明に戻り、ファイル管理情報記憶部８２は、例えば、ＥＥＰＲＯＭ８により構成された記憶部であり、上述した各種ファイルを管理する管理情報（例えば、ディレクトリ情報）を記憶する。ファイル管理情報記憶部８２は、例えば、ファイル名、ファイルＩＤなどのファイル識別情報と、ファイルの先頭のアドレス（以下、ファイルの先頭アドレスという）とを対応付けて記憶する。ここで、ファイルの先頭アドレスは、例えば、ＥＥＰＲＯＭ８の物理アドレスである。ＩＣカード１において、各ファイルの選択、又は、各ファイルにアクセス処理を実行する場合には、ファイル管理情報記憶部８２が記憶するファイル管理情報に基づいて、各ファイルの選択、又は、各ファイルにアクセス処理を実行する。ここで、アクセス処理とは、データの読み出し、書き込み、更新などの処理のことである。

照合データ記憶部８３は、例えば、ＥＥＰＲＯＭ８により構成された記憶部であり、例えば、ＶＥＲＩＦＹコマンド等によって、ＥＦＩＤごとに設定されるセキュリティステータス（セキュリティ状態）に関する情報を記憶する。ここで、図５を参照して、照合データ記憶部８３が記憶するデータ例について説明する。

図５は、第１の実施形態の照合データ記憶部８３が記憶するデータ例を示す図である。
図５に示すように、照合データ記憶部８３は、は、ＥＦＩＤと、照合データと、照合結果が設定される位置とを対応付けて記憶する。照合データとは、外部装置から受け付けたコマンドが、指定されたＥＦＩＤに対応するデータへアクセスするコマンドである場合に、コマンド実行部５３が、コマンドによるデータへのアクセス可否を判定するためのデータである。照合データは、ＩＣカード１の発行時に設定されていてもよく、ＩＣカードの所有者が外部装置から任意に設定してもよい。照合結果が設定される位置とは、例えば、照合結果が設定されるセキュリティステータス情報の位置であり、それぞれをビットの値を用いて管理することができる。例えば、ＶＥＲＩＦＹコマンド等によって、指定されたＥＦＩＤに対する照合データが合致して認証が成立した場合に、セキュリティステータス記憶部７１が記憶したデータの対応するビット位置に「１」に設定する。これにより、指定されたＥＦＩＤ内のデータにおいて、このセッション中に行われるＳＥＬＥＣＴＤＡＴＡコマンドや、ＣＯＭＰＡＲＥコマンドによるデータのアクセスが許可される。なお、照合データ記憶部８３は、例えば、ＡＰデータ記憶部８１に設けられていてもよく、ファイル管理情報記憶部８２に設けられてもよい。

セキュリティステータス記憶部７１は、例えば、ＲＡＭ７により構成された記憶部であり、上述したファイル管理情報記憶部８２により記憶されたデータごとのセキュリティステータスを記憶する。ここで、図６を参照して、セキュリティステータス記憶部７１が記憶するデータ例について説明する。

図６は、第１の実施形態のセキュリティステータス記憶部７１が記憶するデータ例を示す図である。
図６に示すように、セキュリティステータス記憶部７１は、アクセス権限データ（例えば、ビットｂ１～ｂ８）と、セキュリティステータスとを対応付けて記憶する。アクセス権限データは、照合データ記憶部８３が記憶した照合結果が設定される位置に対応する。例えば、セキュリティステータスが「ゼロ（０）」である場合には、セキュリティステータスが未設定またはセキュリティステータスがアクセスできない状態であることを示し、「１」である場合には、セキュリティステータスが設定済みまたは照合データ記憶部８３に記憶されたＥＦＩＤに対応付けられたデータへのアクセスが可能であることを示している。

アクセス権限記憶部８４は、例えば、ＥＥＰＲＯＭ８により構成された記憶部であり、コマンドごとのアクセス権限と、外部装置からのコマンドを受け付けた場合に、そのコマンドによりデータをアクセスできるかの権限情報と、コマンド実行後のセキュリティステータスの内容を記憶する。ここで、図７を参照して、アクセス権限記憶部８４が記憶するデータ例について説明する。

図７は、第１の実施形態のアクセス権限記憶部８４が記憶するデータ例を示す図である。
図７に示すように、アクセス権限記憶部８４は、対象コマンドと、アクセス権限データと、コマンド実行後のセキュリティステータスとを対応付けて記憶する。対象コマンドは、コマンド実行部５３で実行可能なコマンドであり、例えば、読み出し系（ＧＥＴＤＡＴＡ）、設定系（ＰＵＴＤＡＴＡ）、参照系（ＣＯＭＰＡＲＥ）、および変更系（ＷＲＩＴＥ）が含まれる。アクセス権限データは、例えば、上述したコマンドごとに割り当てられたデータへのアクセスの許可状態を管理するデータの位置に関する情報である。コマンド実行後のセキュリティステータスとは、例えば、コマンド実行後にセキュリティステータスを初期化（クリア）するか否かを示す情報である。

図７の例では、参照系（ＣＯＭＰＡＲＥ）のコマンドの場合に、コマンド実行後のセキュリティステータスを初期化し、読み出し系（ＧＥＴＤＡＴＡ）、設定系（ＰＵＴＤＡＴＡ）、または変更系（ＷＲＩＴＥ）のコマンドの場合に、コマンド実行後のセキュリティステータスを初期化しない。このように、アクセス権限記憶部８４により対象コマンドごとに、コマンド実行後のセキュリティステータスを調整できるため、アプリケーションのリセットもしくはＩＣカード１の電源がオフ状態になるまで待つ必要がなく、より適切にデータのアクセス制御を行うことができる。

再び、図３の説明に戻り、制御部５０は、例えば、ＣＰＵ５と、ＲＡＭ７と、ＲＯＭ６又はＥＥＰＲＯＭ８とにより実現され、ＩＣカード１を統括的に制御する。制御部５０は、例えば、ファイル管理部５１と、セキュリティステータス制御部（状態制御部の一例）５２と、コマンド実行部５３とを備える。

ファイル管理部５１は、ファイル管理情報記憶部８２が記憶する管理情報（例えば、ディレクトリ情報）に基づいて、ＡＰデータ記憶部８１内のファイルを管理する。ファイル管理部５１は、例えば、ファイルへのアクセス処理を実行する際に、ファイル管理情報記憶部８２が記憶する管理情報を検索して、ファイルの記憶場所を特定する。

セキュリティステータス制御部５２は、外部装置２からＩＣカード１に送信されたコマンド（処理要求）に基づいて、コマンドのパラメータに含まれる照合データを用いて、照合データ記憶部８３により記憶された照合データと照合し、照合結果に基づいて、セキュリティステータスを設定する。

また、セキュリティステータス制御部５２は、コマンド実行部５３によりコマンドが実行された場合に、セキュリティステータス記憶部７１が記憶したセキュリティステータスを初期化する。具体的は、セキュリティステータス制御部５２は、コマンド実行部５３により実行されたコマンドが正常終了した場合に、セキュリティステータスを初期化する。初期化の一例としては、ビットを「０」にすることである。また、セキュリティステータス制御部５２は、コマンド実行中にエラーが発生し、異常終了した場合に、セキュリティステータスを初期化してもよい。

コマンド実行部（実行部の一例）５３は、外部装置２からＩＣカード１に送信されたコマンド（処理要求）に応じて、各種コマンドの処理（コマンド処理）を実行する。コマンド実行部５３は、例えば、通信部４０を介して外部装置２から受信したコマンドに応じて、コマンド処理を実行する。また、コマンド実行部５３は、コマンド処理の結果であるレスポンスを、通信部４０を介して外部装置２に送信する。

また、コマンド実行部５３は、外部装置２から受信したコマンドが、特定のデータに対する特定の処理要求（特定のコマンド）であるか否かを判定し、特定のコマンドである場合のセキュリティステータスの内容に基づいて、実行の可否を判定する。特定の処理要求とは、例えば、特定のデータとの間で比較結果を取得するＣＯＭＰＡＲＥコマンドや、特定のデータ（例えば、ＥＦ内のＴａｇ名）を指定してアクセスするアクセス処理コマンドなどである。また、アクセス処理コマンドとは、例えば、データの書き込み、読み出し、及び、更新などのアクセス処理を実行するコマンドである。

また、コマンド実行部５３は、例えば、外部装置２から特定のデータに対するアクセス処理要求（アクセス処理コマンド）を受信した場合に、選択（取得）した特定のデータに対応する先頭アドレスに基づいて、特定のデータにアクセスする処理を実行する。

次に、図面を参照して、第１の実施形態のＩＣカード１の動作について説明する。なお、以下の処理では、最初に本人確認等の認証処理を行うＶＥＲＩＦＹコマンドの処理を中心に説明し、その後、特定のコマンドの一例として、ＣＯＭＰＡＲＥコマンドを使用する例を中心に説明するものとする。

図８は、第１の実施形態のＩＣカード１のＶＥＲＩＦＹコマンドの処理の一例を示すフローチャートである。
図８に示すように、外部装置２とＩＣカード１とがコンタクト部３を介して接続され、ＩＣカード１がアクティブ（電源供給時）な状態において、コマンド実行部５３は、ＩＣカード１がコマンドを受信すると（ステップＳ１００）、受信したコマンドがＶＥＲＩＦＹコマンドであるか否かを判定する（ステップＳ１０２）。受信したコマンドがＶＥＲＩＦＹコマンドコマンドである場合（ステップＳ１０２；ＹＥＳ）、コマンド実行部５３は、処理をステップＳ１０４に進める。また、受信したコマンドがＶＥＲＩＦＹコマンドではない場合（ステップＳ１０２；ＮＯ）、処理をステップＳ１１４に進める。

ステップＳ１０４の処理において、コマンド実行部５３は、ＶＥＲＩＦＹコマンドのパラメータが正当なデータか否かを判定する（ステップＳ１０４）。ＶＥＲＩＦＹコマンドのパラメータとは、例えば、ＩＣカード１のカード使用者を認証するパスワードであるＰＩＮ（Personal Identification Number）等や照合データ、参照先のデータ等の情報である。例えば、コマンド実行部５３は、パラメータのデータの属性（例えば、文字列型、整数型）やデータの内容が、予め設定された条件を満たす場合に正当なデータであると判定し、条件を満たさない場合に正当なデータではないと判定する。また、コマンド実行部５３は、例えば、パラメータで指定する参照先のデータが見つからない場合に、正当なデータでないと判定してもよい。コマンド実行部５３は、パラメータが正当なデータであると判定した場合（ステップＳ１０４；ＹＥＳ）に、処理をステップＳ１０６に進め、正当なデータでないと判定した場合（ステップＳ１０４；ＮＯ）、処理をステップＳ１１６に進める。

ステップＳ１０６の処理において、コマンド実行部５３は、パラメータで指定された対象ＥＦ（ＥＦＩＤ）に基づいて、照合データ記憶部８３のＥＦＩＤに対応付けられたデータを選択し（ステップＳ１０６）、処理をステップＳ１０８に進める。

ステップＳ１０８の処理において、コマンド実行部５３は、対象ＥＦの照合データと、コマンドで入力されたＰＩＮデータとが合致するか否かを判定する（ステップＳ１０８）。コマンド実行部５３は、照合データとＰＩＮデータとが合致する場合（ステップＳ１０８；ＹＥＳ）、処理をステップＳ１１０に進め、合致しない場合（ステップＳ１０８；ＮＯ）、処理をステップＳ１１８に進める。

ステップＳ１１０の処理において、セキュリティステータス制御部５２は、ＥＦＩＤに対応付けられたセキュリティステータスの位置を取得し、取得した位置にアクセスを許可状態にする値をセットする（ステップＳ１１０）。図６に示すセキュリティステータス記憶部７１のデータにおいて、ｂ３に「１」が設定されているのは、ＥＦＩＤが「０００３」の照合が成功し、アクセスが許可状態になっていることを意味している。次に、コマンド実行部５３は、正常終了を意味するステータスワードを外部装置２に送信する（ステップＳ１１２）。

ステップＳ１１４の処理において、コマンド実行部５３は、ＶＥＲＩＦコマンド以外のコマンドに対応する処理を実行する（ステップＳ１１４）。

ステップＳ１１６の処理において、コマンド実行部５３は、パラメータの異常を意味するステータスワードを外部装置２に送信する（ステップＳ１１６）。

ステップＳ１１８の処理において、コマンド実行部５３は、合致していないことを意味するステータスワードを外部装置２に送信する（ステップＳ１１８）。これにより、本フローチャートの処理は、終了する。

図９は、第１の実施形態のＩＣカード１のＣＯＭＰＡＲＥコマンドの処理の一例を示すフローチャートである。なお、図９の処理は、コマンドが受信されるごとに繰り返し実行されてよい。

図９に示すように、外部装置２とＩＣカード１とがコンタクト部３を介して接続され、ＩＣカード１がアクティブ（電源供給時）な状態において、コマンド実行部５３は、ＩＣカード１がコマンドを受信すると（ステップＳ２００）、受信したコマンドがＣＯＭＰＡＲＥコマンドであるか否かを判定する（ステップＳ２０２）。コマンド実行部５３は、受信したコマンドがＣＯＭＰＡＲＥコマンドである場合（ステップＳ２０２；ＹＥＳ）に、処理をステップＳ２０４に進め、受信したコマンドがＣＯＭＰＡＲＥコマンドではない場合（ステップＳ２０２；ＮＯ）に、処理をステップＳ２２０に進める。

ステップＳ２０４の処理において、コマンド実行部５３は、ＣＯＭＰＡＲＥコマンドのパラメータが正当なデータか否かを判定する（ステップＳ２０４）。ＣＯＭＰＡＲＥコマンドのパラメータとは、例えば、比較する２つのデータ（変数）に関する情報や、対象データのバイト長、比較結果等である。パラメータが正当であるか否かの判定は、例えば、パラメータとして設定された比較対象の２つのデータの属性等を用いて行うことができる。例えば、コマンド実行部５３は、パラメータとして設定された比較対象の２つのデータの一方が整数型であり、他方が文字列型である場合に、お互いの属性が異なるため、正当なデータではないと判定する。また、コマンド実行部５３は、比較対象の２つのデータの双方が整数型である場合に、パラメータが正当であると判定する。コマンド実行部５３は、ＣＯＭＰＡＲＥコマンドのパラメータが正当なデータであると判定した場合（ステップＳ２０４；ＹＥＳ）に、処理をステップＳ２０６に進め、正当なデータでないと判定した場合（ステップＳ２０４；ＮＯ）に、処理をステップＳ２１６に進める。

ステップＳ２０６の処理において、コマンド実行部５３は、パラメータで指定された対象ＥＦを選択し（ステップＳ２０６）、ＣＯＭＰＡＲＥコマンドに対応するセキュリティステータスが設定されているか否かを判定する（ステップＳ２０８）。具体的は、コマンド実行部５３は、受信したコマンドに基づいて、図７に示すアクセス権限記憶部８４のデータを参照し、受信したコマンドと合致する対象コマンドに対応付けられたアクセス権限データに基づいて、コマンドに対応するセキュリティステータスが設定済み（アクセス許可状態）であるか否かを判定する。例えば、図６および図７の例において、セキュリティステータス記憶部７１のデータにおいて、ＣＯＭＰＡＲＥコマンドに対応するデータ「ｂ３」のセキュリティステータスが「１」になっているため、セキュリティステータスは、設定済みであると判定される。コマンド実行部５３は、コマンドに対応するセキュリティステータスが設定済みであると判定した場合（ステップＳ２０８；ＹＥＳ）、処理をステップＳ２１０に進め、セキュリティステータスが設定済でないと判定した場合（ステップＳ２０８；ＮＯ）、処理をステップＳ２１４に進める。

ステップＳ２１０の処理において、コマンド実行部５３は、対象ＥＦの参照されるデータと、ＣＯＭＰＡＲＥコマンドのパラメータで入力された比較データとを比較し（ステップＳ２１０）、比較結果と正常終了を意味するステータスワードを外部装置２に送信して（ステップＳ２１２）、処理をステップＳ２１８に進める。

また、ステップＳ２１４の処理において、セキュリティステータス制御部５２は、セキュリティステータスが設定されていないことを意味するステータスワードを外部装置２に送信し（ステップＳ２１４）、処理をステップＳ２１８に進める。

また、ステップＳ２１６の処理において、コマンド実行部５３は、パラメータの異常を意味するステータスワードを送信し（ステップＳ２１６）、処理をステップＳ２１８に進める。

ステップＳ２１８の処理において、セキュリティステータス制御部５２は、セキュリティステータス記憶部７１のデータのセキュリティステータスを初期化する（ステップＳ２１８）。具体的には、セキュリティステータス制御部５２は、ＶＡＲＩＦＹコマンドにより設定されたビットｂ３の値を「１」から「０」に初期化する。これにより、ＣＯＭＰＡＲＥコマンドが正常終了または異常終了の何れの場合にもセキュリティステータスがコマンド実行後に初期化されることになる。なお、セキュリティステータス制御部５２は、正常終了または異常終了した直後のタイミングでセキュリティステータスを初期化してもよく、またコマンドの実行が終了してから所定時間経過後に初期化してもよい。また、セキュリティステータス制御部５２は、２回目のＣＯＭＰＡＲＥコマンドを受信したタイミングでセキュリティステータスを初期化してもよい。これらのタイミングは、例えば、セキュリティステータス制御部５２によって、コマンドが実行される対象のデータの種類等に基づいて可変に設定されてよい。

また、ステップＳ２２０の処理において、コマンド実行部５３は、ＣＯＭＰＡＲＥコマンド以外のコマンドに対する処理を実行する（ステップＳ２２０）。これにより、本フローチャートの処理は、終了する。

上述したように第１の実施形態によれば、ＩＣカード１（携帯可能電子装置）は、特定のデータに対して、より適切なアクセス制御を実現することができる。具体的には、第１の実施形態によれば、セキュリティステータスが確立（セッションが確立）した後（アクセス許可状態に設定された後）に、特定のコマンドの実行された場合に、コマンドが正常終了した場合または異常終了した場合の何れの場合にも、セッションの終了、アプリケーションのリセット、もしくはＩＣカード１の電源がオフ状態になるまで待つ必要がなく、セキュリティステータスをクリアすることができる。したがって、例えば、あるサービス業者などが、カード所持者の年齢確認として、何歳以上（若しくは以下）であるかを判定する場合に、ＣＯＭＰＡＲＥコマンドのパラメータによって、比較対象を２０歳、２１歳、２２歳、…と順次変えながら繰り返し実行することで、何歳以上かという情報だけでなく、何歳であるかまで不当に特定されてしまうことを抑制することができる。

なお、第１の実施形態においては、ＣＯＭＰＡＲＥコマンドが正常終了した場合または異常終了した場合の何れの場合にも、セキュリティステータス情報を初期化する例について説明したが、これに限定されず、正常終了した場合に、セキュリティステータスを初期化してもよい。これにより、上述したようにＣＯＭＰＡＲＥコマンドが繰り返し実行されることを抑制することができる。また、パラメータが正当ではなく異常終了した場合には、繰り返しても異常終了が繰り返されるだけであり、パラメータを変えて正常終了となった場合には、その時点で初期化されるため、正常終了を繰り返すような処理は実行されないことになる。

また、第１の実施形態において、セキュリティステータス制御部５２は、例えば、ＩＣカード１へのアクセス者の権限情報に基づいて、セキュリティステータスを制御してもよい。この場合、セキュリティステータス制御部５２は、例えば、アクセス者が管理者レベルまたは所有者レベルの権限である場合に、データに格納された全ての情報へのアクセスを許可状態にしたり、コマンドの繰り返し使用を許可する。これにより、セキュリティステータス制御部５２は、アクセス者に応じて、より適切なアクセス制御を行うことができる。

（第２の実施形態）
次に、図面を参照して、第２の実施形態によるＩＣカード１ａについて説明する。図１０は、第２の実施形態のＩＣカード１ａの機能構成例を示すブロック図である。
図１０に示すように、ＩＣカード１ａは、例えば、通信部４０と、制御部５０と、ＡＰデータ記憶部８１と、ファイル管理情報記憶部８２と、照合データ記憶部８３と、セキュリティステータス記憶部７１と、回数制限付きアクセス権限記憶部８５と、コマンド別実行カウンタ記憶部７２とを備える。

なお、第２の実施形態によるＩＣカード１ａの外観及びハードウェア構成は、図１及び図２に示す第１の実施形態と同様であるので、ここではその説明を省略する。また、図１０において、図３に示す構成と同一の構成については同一の符号を付し、その説明を省略する。また、図１０に示されるＩＣカード１ａの各部は、図２に示されるＩＣカード１のハードウェアを用いて実現される。

第２の実施形態では、第１の実施形態のＩＣカード１に比して、セキュリティステータス制御部５２およびアクセス権限記憶部８４に代えて、セキュリティステータス制御部５２ａと、回数制限付きアクセス権限記憶部８５と、コマンド別実行カウンタ記憶部７２とを備える点が異なる。したがって、以下では、主にセキュリティステータス制御部５２ａ、回数制限付きアクセス権限記憶部８５、およびコマンド別実行カウンタ記憶部７２を中心に説明する。

回数制限付きアクセス権限記憶部８５は、例えば、ＥＥＰＲＯＭ８により構成された記憶部である。回数制限付きアクセス権限記憶部８５は、対象コマンドと、アクセス権限データと、コマンド実行回数制限値と、コマンド実行後のセキュリティステータスとを対応付けて記憶する。ここで、図１１を参照して、回数制限付きアクセス権限記憶部８５が記憶するデータ例について説明する。

図１１は、第２の実施形態の回数制限付きアクセス権限記憶部８５が記憶するデータ例を示す図である。
図１１に示すように、回数制限付きアクセス権限記憶部８５は、例えば、対象コマンドと、アクセス可否条件と、コマンド実行回数制限値と、コマンド実行後のセキュリティステータスとを対応付けた情報を記憶する。回数制限付きアクセス権限記憶部８５のデータは、第１の実施形態のアクセス権限記憶部８４のデータと比較して、コマンドを実行する回数を制限するコマンド実行回数制限値が追加されている。図１１の例において、参照系（ＣＯＭＰＡＲＥ）のコマンド実行回数制限値には、所定回数として「３」が設定されている。これは、外部装置２から連続して３回までＣＯＭＰＡＲＥコマンドを許可することを示している。
なお、コマンド実行回数制限値は、ＩＣカード１ａの発行時に設定されていてもよく、特定の外部装置（例えば、管理者端末）からの指示情報により、管理者等が任意のタイミングで実行回数を設定してもよい。

コマンド別実行カウンタ記憶部７２は、例えば、ＲＡＭ７により構成された記憶部であり、コマンドごとのコマンド実行可能回数を記憶する。ここで、図１２を参照して、セキュリティステータス記憶部７１が記憶するデータ例について説明する。

図１２は、第２の実施形態のコマンド別実行カウンタ記憶部７２が記憶するデータ例を示す図である。
図１２に示すように、コマンド別実行カウンタ記憶部７２は、コマンド名と、コマンド実行可能回数［回］とを対応付けて記憶する。コマンド実行可能回数は、回数制限付きアクセス権限記憶部８５のコマンド実行回数制限値から得られる値である。コマンド実行可能回数は、コマンド実行部５３によりコマンドを実行するごとに、セキュリティステータス制御部５２ａによって、実行されたコマンドの実行可能回数がデクリメントされる。

セキュリティステータス制御部５２ａは、外部装置２からコマンドの入力を受け付けた場合に、コマンド別実行カウンタ記憶部７２のコマンド実行可能回数を参照し、設定された範囲内でコマンド実行部５３によるコマンドの繰り返しの実行を許可する。

次に、図面を参照して、第２の実施形態のＩＣカード１ａの動作について説明する。なお、第２の実施形態におけるＶＥＲＩＦＹコマンドの処理は、第１の実施形態と同様であるため、主にＣＯＭＰＡＲＥコマンドを使用する例を中心に説明するものとする。図１３は、第２の実施形態のＩＣカード１ａのＣＯＭＰＡＲＥコマンドの処理の一例を示すフローチャートである。なお、図１３の処理は、コマンドが受信されるごとに繰り返し実行されてよい。

図１３の例において、ステップＳ３００～Ｓ３０８の処理は、図９に示すステップＳ２００～Ｓ２０８の処理と同様であるため、ここでの説明を省略する。コマンドに対応するセキュリティステータスが設定済みである場合（ステップＳ３０８；ＹＥＳ）、ステップＳ３１０の処理において、セキュリティステータス制御部５２ａは、コマンド別実行カウンタ記憶部７２のコマンド実行可能回数を参照し、コマンド実行可能回数が１以上か否かを判定する（ステップＳ３１０）。ステップＳ３１０の処理において、コマンド実行可能回数が設定されていない場合、セキュリティステータス制御部５２ａは、回数制限付きアクセス権限記憶部８５のコマンド実行回数制限値を取得し、取得した値をコマンド実行可能回数に設定する。また、回数制限付きアクセス権限記憶部８５のコマンド実行回数制限値にも回数が設定されていない場合、セキュリティステータス制御部５２ａは、コマンド実行可能回数を固定値（例えば、１回）に設定してもよい。セキュリティステータス制御部５２ａは、コマンド実行可能回数が１以上である場合に、処理をステップＳ３１２に進め、コマンド実行可能回数が０である場合に、処理をステップＳ３２０に進める。

ステップＳ３１２の処理において、コマンド実行部５３は、対象ＥＦの参照されるデータと、コマンドで入力された比較データを比較し（ステップＳ３１２）、比較結果と正常終了を意味するステータスワードを外部装置２に送信する（ステップＳ３１４）。次に、セキュリティステータス制御部５２ａは、コマンド実行可能回数をデクリメントし（ステップＳ３１６）、処理をステップＳ３１８に進める。

ステップＳ３１８の処理において、コマンド実行部５３は、例えば、同一のセッション内で次のコマンドを受信したか否かを判定する（ステップＳ３１８）。コマンド実行部５３は、次のコマンドを受信したと判定した場合に（ステップＳ３１８；ＹＥＳ）、ステップＳ３０２の処理に戻り、次のコマンドを受信していないと判定した場合に（ステップＳ３１８；ＮＯ）、処理をステップＳ３２６の処理に進める。

また、ステップＳ３２０の処理において、セキュリティステータス制御部５２ａは、実行可能回数を超えたため、コマンドの実行が不可能であることを意味するステータスワードを外部装置２に送信し（ステップＳ３２０）、処理をステップＳ３２６に進める。

また、ステップＳ３０８の処理において、コマンドに対応するセキュリティステータスが設定済みでない場合（ステップＳ３０８；ＮＯ）、セキュリティステータス制御部５２ａは、セキュリティステータスが設定されていないことを意味するステータスワードを外部装置２に送信し（ステップＳ３２２）、処理をステップＳ３２６に進める。

また、ステップＳ３０４の処理において、パラメータが正当なデータでないと判定された場合（ステップＳ３０４；ＮＯ）、コマンド実行部５３は、パラメータの異常を意味するステータスワードを送信し（ステップＳ３２４）、処理をステップＳ３２６に進める。

ステップＳ３２６の処理において、セキュリティステータス制御部５２ａは、コマンド別実行カウンタ記憶部７２のコマンド名（ＣＯＭＰＡＲＥ）のコマンド実行可能回数を「０」に初期化し（ステップＳ３２６）、セキュリティステータスを「０」に初期化する（ステップＳ３２８）。ステップＳ３２８の処理は、ステップＳ２１８の処理と同様である。

また、ステップＳ３０２の処理において、ＣＯＭＰＡＲＥコマンドでない場合（ステップＳ３０２；ＮＯ）、コマンド実行部５３は、ＣＯＭＰＡＲＥコマンド以外のコマンドに対する処理を実行する（ステップＳ３３０）。これにより、本フローチャートの処理は、終了する。

上述したように第２の実施形態によれば、ＩＣカード１ａ（携帯可能電子装置）は、第１の実施形態におけるＩＣカード１と同様の効果を奏する他、特定のコマンドに対する複数回の実行を許容することができる。したがって、第２の実施形態によれば、例えば、あるサービス業者などが、２０歳から４０歳までの年齢を対象にサービスを提供するような場合に、ＩＣカード１ａに記憶された「年齢」に対し、「２０歳以上であるか」と、「４０歳以下であるか」の２回のＣＯＭＰＡＲＥコマンド実行を行うことができるため、より複雑な年齢制限の認証を行うことができる。したがって、特定のデータに対して、より適切なアクセス制御を実現することができる。

上記の各実施形態において、特定のコマンドの一例として、ＣＯＭＰＡＲＥコマンドを用いたが、特定のコマンドは、ＣＯＭＰＡＲＥコマンドおよびアクセス処理コマンドの何れか一方でもよい。また、アクセス処理コマンドは、ＩＣカード１（１ａ）が有するアクセス処理コマンドのうちの一部のコマンドであってもよい。また、上記の各実施形態では、アクセスするデータの対象をＥＦ内のデータとしたが、例えば、他の領域（例えば、ＤＦ）にアクセス可能なコマンドを用いる場合には、そのコマンドの実行に対して、上述したようにセキュリティステータスの制御を行うことができる。

また、上記の各実施形態において、ＩＣカード１（１ａ）は、コンタクト部３を介して外部装置２と通信する例を説明したが、コイルなどを用いたコンタクトレスインターフェースを介して外部装置２と通信するように構成してもよい。

また、上記の各実施形態において、ＩＣカード１（１ａ）は、書き換え可能な不揮発性メモリとして、ＥＥＰＲＯＭ８を備える構成としたが、これに限定されるものではない。
例えば、ＩＣカード１（１ａ）は、ＥＥＰＲＯＭ８の代わりに、フラッシュメモリ、ＦｅＲＡＭ（Ferroelectric Random Access Memory：強誘電体メモリ）などを備えてもよい。

また、上記の各実施形態において、携帯可能電子装置の一例として、ＩＣカード１（１ａ）を用いる例を説明したが、これに限定されるものではない。携帯可能電子装置は、例えば、カード形状ではないＩＣタグなどの電子装置であってもよい。

以上説明した少なくともひとつの実施形態によれば、特定のデータを所定のデータ領域に記憶するＡＰデータ記憶部８１と、ＡＰデータ記憶部８１における所定のデータ領域へのアクセスに関するセキュリティ状態をメモリ上で管理するセキュリティステータス制御部５２と、特定のデータにアクセスするコマンドを受け付けた場合に、セキュリティステータス制御部５２により管理された所定のデータ領域に対するセキュリティ状態に基づいて、受け付けたコマンドが実行可能であるか否かを判定し、実行可能であると判定された場合に、コマンドの処理を実行するコマンド実行部５３と、を持ち、セキュリティステータス制御部５２は、コマンド実行部５３により所定のコマンドの処理が終了した場合に、前記セキュリティ状態を初期化することにより、特定のデータに対して、より適切なアクセス制御を実現することができる。

上記実施形態は、以下のように表現することができる。
特定のデータを所定のデータ領域に記憶する記憶部と、
前記記憶部に記憶されたプログラムを実行するハードウェアプロセッサと、を備え、
前記記憶部には、前記ハードウェアプロセッサに、
前記記憶部における前記所定のデータ領域へのアクセスに関するセキュリティ状態をメモリ上で管理し、
前記特定のデータにアクセスする所定のコマンドを受け付けた場合に、管理された前記所定のデータ領域に対するセキュリティ状態に基づいて、受け付けた所定のコマンドが実行可能であるか否かを判定し、
実行可能であると判定された場合に、前記所定のコマンドの処理を実行し、
前記所定のコマンドの処理が終了した場合に、前記セキュリティ状態を初期化する処理
を実行させる前記プログラムが格納されている、携帯可能電子装置。

なお、実施形態におけるＩＣカード１（１ａ）が備える各構成の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述したＩＣカード１（１ａ）が備える各構成における処理を行ってもよい。ここで、「記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行する」とは、コンピュータシステムにプログラムをインストールすることを含む。ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１，１ａ…ＩＣカード、２…外部装置、３…コンタクト部、４…ＵＡＲＴ、５…ＣＰＵ、６…ＲＯＭ、７…ＲＡＭ、８…ＥＥＰＲＯＭ、１０‥ＩＣモジュール、４０…通信部、５０…制御部、５１…ファイル管理部、５２，５２ａ…セキュリティステータス制御部、５３…コマンド実行部、７１…セキュリティステータス記憶部、７２…コマンド別実行カウンタ記憶部、８１…ＡＰデータ記憶部、８２…ファイル管理情報記憶部、８３…照合データ記憶部、８４…アクセス権限記憶部、８５…回数制限付きアクセス権限記憶部、１００…ＩＣチップ、ＢＳ１…内部バス、ＰＴ…カード基材

Claims

特定のデータを所定のデータ領域に記憶する記憶部と、
前記記憶部における前記所定のデータ領域へのアクセスに関するセキュリティ状態を前記所定のデータ領域に含まれるファイルと対応付けてメモリ上で管理する状態制御部と、
前記特定のデータにアクセスする所定のコマンドを受け付けた場合に、前記状態制御部により管理された前記所定のデータ領域に対するセキュリティ状態に基づいて、受け付けた所定のコマンドが実行可能であるか否かを判定し、実行可能であると判定された場合に、前記所定のコマンドの処理を実行する実行部と、を備え、
前記所定のコマンドは、照合データを含み、
前記状態制御部は、
前記所定のデータ領域へのアクセスを行い、前記ファイルに設定されている照合データと、前記所定のコマンドに含まれる照合データとが一致したときに認証が成立したとして、前記セキュリティ状態をアクセス許可状態にし、
前記セキュリティ状態に応じて前記実行部により所定のコマンドの処理が終了した場合に、前記セキュリティ状態を初期化する、
携帯可能電子装置。
前記状態制御部は、前記所定のデータ領域に対するアクセス権限に基づいて、前記実行部による前記所定のコマンドの処理が終了した場合に、前記セキュリティ状態を初期化するか否かを判定する、
請求項１に記載の携帯可能電子装置。
前記セキュリティ状態は、前記所定のコマンドと、前記所定のデータ領域に対するアクセス権限とに対応付けられた状態である、
請求項１または２に記載の携帯可能電子装置。
前記状態制御部は、前記実行部による前記所定のコマンドの処理が、正常終了したタイミングまたは異常終了したタイミングに基づいて、前記セキュリティ状態を初期化する、
請求項１から３のうち何れか１項に記載の携帯可能電子装置。
前記状態制御部は、前記実行部により前記所定のコマンドの処理が所定回数実行された場合に、前記セキュリティ状態を初期化する、
請求項１から４のうち何れか１項に記載の携帯可能電子装置。
前記状態制御部は、外部からの指示情報に基づいて、前記所定回数を設定する、
請求項５に記載の携帯可能電子装置。
特定のデータを所定のデータ領域に記憶する記憶部と、
前記記憶部における前記所定のデータ領域へのアクセスに関するセキュリティ状態を前記所定のデータ領域に含まれるファイルと対応付けてメモリ上で管理する状態制御部と、
前記特定のデータにアクセスするコマンドを受け付けた場合に、前記状態制御部により管理された前記所定のデータ領域に対するセキュリティ状態に基づいて、受け付けたコマンドが実行可能であるか否かを判定し、実行可能であると判定された場合に、前記所定のコマンドの処理を実行する実行部と、を備えるＩＣモジュールと、
前記ＩＣモジュールが埋め込まれたカード本体と、
を備え、
前記所定のコマンドは、照合データを含み、
前記状態制御部は、
前記所定のデータ領域へのアクセスを行い、前記ファイルに設定されている照合データと、前記所定のコマンドに含まれる照合データとが一致したときに認証が成立したとして、前記セキュリティ状態をアクセス許可状態にし、
前記セキュリティ状態に応じて前記実行部により所定のコマンドの処理が終了した場合に、前記セキュリティ状態を初期化する、
ＩＣカード。