JP7230668B2 - Ｉｃ媒体 - Google Patents

Description

本発明は、ＩＣを備える情報記憶媒体に関する。

ＩＣカードには、ユーザに配布される前の発行工程において、種々の情報が書き込まれる。こうした情報には、複数のカードに共通するプログラムおよびデータや、ユーザに関する情報等のカードごとに異なるデータが含まれる（例えば、特許文献１参照）。

特開２００７－３２３１３３号公報

発行工程での不正な情報の書き込みを抑えるための対策として、例えば、暗号技術の利用が挙げられる。しかしながら、現在まで、こうした対策の実施は発行工程の管理者に委ねられており、ＩＣカード自身が備えるプログラム上での対策は十分とは言い難かった。

また、ＩＣカードに書き込まれる種々の情報において、不正な書き込みへの対策の必要性は一様ではない。例えば、ＩＣカードが備えるプログラムに対する修正プログラムのように、ＩＣカードの動作に深く関わる情報については、不正な書き込みを抑えることの必要性が特に高い。現状では、こうした必要性の差に着目した対策の実施も不十分である。
なお、こうした課題は、ＩＣカードに限らず、発行工程を経て使用されるＩＣ付きの情報記憶媒体において共通する。

本発明は、発行工程での情報の書き込みに関するセキュリティを高めることのできるＩＣ媒体を提供することを目的とする。

上記課題を解決するＩＣ媒体は、発行管理フラグを格納する不揮発性記憶部と、外部の装置から受信した所定の書き込み対象を前記不揮発性記憶部に書き込む制御部と、を備え、前記発行管理フラグは、発行前を示す状態から発行中を示す状態に更新可能であり、前記制御部は、暗号文で受信したデータに基づき前記不揮発性記憶部への書き込みを行う発行工程の開始に際して、前記発行管理フラグを前記発行前から前記発行中に更新し、暗号文で受信したデータに前記書き込み対象が含まれるとき、前記発行管理フラグが前記発行中であることを条件として、前記書き込み対象の前記不揮発性記憶部への書き込みを実行する。

上記構成によれば、暗号文で受信したデータに基づく所定の書き込み対象の書き込みの可否が、発行管理フラグによって管理される。したがって、書き込みに際しての暗号技術の利用を人為的にのみ管理する場合と比較して、発行工程での情報の書き込みに関するセキュリティを高めることができる。また、不正な書き込みへの対策の必要性が高い対象を上記書き込み対象に設定することにより、上記対策の必要性の差に応じたセキュリティの差をつけることも可能であり、発行工程での処理の効率化を図ることもできる。

上記構成において、前記発行管理フラグは、前記発行中を示す状態から発行終了を示す状態に更新可能であり、前記制御部は、前記発行工程の終了に際して、前記発行管理フラグを前記発行中から前記発行終了に更新してもよい。
上記構成によれば、発行工程が終了しているか否かが、発行管理フラグに基づき確認できる。それゆえ、発行管理フラグによって、発行工程の全体の管理が可能である。

上記構成において、前記発行管理フラグの書き換えは、前記発行前から前記発行中または前記発行終了への更新、および、前記発行中から前記発行終了への更新のみが許容されてもよい。

上記構成によれば、意図せぬ発行管理フラグの書き換えが生じ難く、発行管理フラグによる対象の書き込みの管理が適正に行われる。その結果、発行工程での情報の書き込みに関するセキュリティをより高めることができる。

上記構成において、前記発行管理フラグは、前記不揮発性記憶部において、各ビットの書き換えが１回のみ許容される領域に格納されていてもよい。
上記構成によれば、上記発行管理フラグが的確に実現できる。

上記構成において、前記書き込み対象は、前記ＩＣ媒体が記憶しているプログラムの修正プログラムであってもよい。
修正プログラムは、ＩＣ媒体の動作に深く関わる情報であって、不正な書き込みを抑えることの必要性が特に高い。上記構成によれば、こうした対象に高いセキュリティを設定することができるため、発行工程での情報の書き込みに関するセキュリティが的確に高められる。

上記構成において、前記ＩＣ媒体は、ＩＣカードであってもよい。
上記構成によれば、発行数の多いＩＣカードにて発行工程での情報の書き込みに関するセキュリティを高めることができるため、その有益性が大きい。

本発明によれば、ＩＣ媒体にて、発行工程での情報の書き込みに関するセキュリティを高めることができる。

ＩＣ媒体の一実施形態について、ＩＣ媒体の一例であるＩＣカードの構成を示す図。 一実施形態の発行工程におけるＩＣカードの動作を示すフローチャート。 一実施形態の発行工程におけるＩＣカードの動作の他の例を示すフローチャート。

図面を参照して、ＩＣ媒体の一実施形態として、ＩＣ媒体をＩＣカードに具体化した形態を説明する。
図１が示すように、ＩＣカード１０は、発行処理装置２０と接続され、ＩＣカード１０が、発行処理装置２０から受信したコマンドを処理することによって、発行工程が進められる。

まず、ＩＣカード１０の構成を説明する。ＩＣカード１０は、ＩＣチップを備えたカードであって、その用途は特に限定されない。ＩＣカード１０は、発行処理装置２０を含む外部装置と、接触型の通信が可能に構成されていてもよいし、非接触型の通信が可能に構成されていてもよいし、接触型の通信と非接触型の通信との双方が可能に構成されていてもよい。

ＩＣカード１０が備えるＩＣチップは、通信部１１、制御部１２、揮発性記憶部１３、第１不揮発性記憶部１４、および、第２不揮発性記憶部１５を備えている。

通信部１１は、ＩＣカード１０の通信方式に応じた通信処理回路を含み、外部装置との接続処理を行う。
制御部１２は、ＣＰＵを含み、各記憶部１３～１５に対する情報の読み出しや書き込みの制御や、各種の演算処理を行う。制御部１２は、暗号処理回路を含んでいる。

揮発性記憶部１３は、揮発性のメモリであって、ＲＡＭから構成される。
第１不揮発性記憶部１４と第２不揮発性記憶部１５とは、不揮発性のメモリである。第１不揮発性記憶部１４は、書き換えができない読み出し専用の記憶部であって、ＲＯＭから構成される。第２不揮発性記憶部１５は、書き換え可能な記憶部であって、ＥＥＰＲＯＭやフラッシュメモリから構成される。不揮発性記憶部１４，１５には、ＩＣチップの製造時等に、制御部１２の処理に要するプログラムやデータが書き込まれている。

第２不揮発性記憶部１５は、書き換えが制限されている制限領域１５ａを有している。制限領域１５ａは、例えば、各ビットの書き換えが１回のみ許容されたＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐｒｏｇｒａｍｍａｂｌｅ）メモリ領域に具体化される。すなわち、例えば、ビットの初期値が「１」である場合、「１」→「０」のビットを落とす方向への１回の書き換えのみが許容される。

第２不揮発性記憶部１５は、制限領域１５ａに、発行管理フラグＦｌを格納している。発行管理フラグＦｌは、発行前Ｆａ、発行中Ｆｂ、発行終了Ｆｃのいずれかを示す。発行管理フラグＦｌの初期値が、発行前Ｆａに対応し、発行管理フラグＦｌを構成するビットの一部が書き換えられた状態が、発行中Ｆｂに対応し、発行管理フラグＦｌを構成するビットの全部が書き換えられた状態が、発行終了Ｆｃに対応する。

例えば、発行管理フラグＦｌが８ビットのビット列から構成され、各ビットの初期値が「１」である場合、「１１１１１１１１」が発行前Ｆａを示し、「１０１０１０１０」が発行中Ｆｂを示し、「００００００００」が発行終了Ｆｃを示す。

上述のように、制限領域１５ａでは、各ビットの書き換えが１回のみ許容されているため、発行管理フラグＦｌにおいては、発行前Ｆａから発行中Ｆｂまたは発行終了Ｆｃへの書き換え、および、発行中Ｆｂから発行終了Ｆｃへの書き換えは許容される。一方、発行中Ｆｂから発行前Ｆａへの書き換えや、発行終了Ｆｃから発行前Ｆａや発行中Ｆｂへの書き換えはできない。

発行処理装置２０は、リーダー／ライター機能を有するコンピュータ装置である。発行処理装置２０は、ＩＣカード１０との接続処理を実行し、制御部１２の処理内容を指示するコマンドを含むコマンドデータＣＤをＩＣカード１０に送信する。コマンドがプログラムやデータの書き込みを指示する場合、コマンドデータＣＤは、コマンドに続けて書き込み対象のプログラムやデータを含む。

［ＩＣカードの処理］
ＩＣカード１０と発行処理装置２０との協働によって行われる発行工程は、複数のカードに共通するデータが書き込まれる１次発行と、カードごとに異なるデータが書き込まれる２次発行とのいずれかに対応する。

発行工程において、ＩＣカード１０の制御部１２は、発行処理装置２０から受信したコマンドを順に実行する。ここで、制御部１２は、特定の対象の書き込みに際しては、書き込み対象を含むコマンドデータＣＤが暗号化されていること、および、発行管理フラグＦｌが発行中Ｆｂを示すことを条件に、コマンドを実行する。

以下では、上記発行工程が１次発行であって、特定の対象が、不揮発性記憶部１４，１５に記憶されているプログラムの修正プログラムである場合を例に、制御部１２の処理を説明する。

図２が示すように、ＩＣカード１０の制御部１２は、ＩＣカード１０と発行処理装置２０との接続後に、まず、ステップＳ１０の処理として、発行前処理を行う。発行前処理は、ＩＣカード１０が備えるＩＣチップが正常に動作するかを確認するための処理であり、例えば、データの書き込みが適切に行えることを確認する処理や、ＩＣチップの認証処理が含まれる。ＩＣカード１０は、必要に応じて発行処理装置２０と通信を行いつつ、発行前処理を行う。

発行前処理が適切に完了したことが発行処理装置２０にて確認されると、発行開始コマンドを含むコマンドデータＣＤが発行処理装置２０から送信され、ステップＳ１１の処理として、ＩＣカード１０は、当該コマンドデータＣＤを受信する。

発行開始コマンドは、当該発行開始コマンドに続けて送信されるコマンドデータＣＤが、暗号文であるか否かを示す。言い換えれば、発行開始コマンドは、当該発行開始コマンドを契機とする発行工程の処理が、暗号化されたコマンドデータＣＤを用いた処理、すなわち、暗号文での発行であるか否かを示す。発行処理装置２０は、書き込み対象に修正プログラムが含まれる場合には、ＩＣカード１０に、発行開始コマンドとして、暗号文での発行を示すコマンドを送信するとともに、発行開始コマンドに続くコマンドデータＣＤを暗号化して送信する。

ＩＣカード１０の制御部１２は、ステップＳ１２の処理として、発行開始コマンドが、暗号文での発行を示すか否かを判断する。まず、発行開始コマンドが、暗号文での発行を示す場合の処理を説明する。

発行開始コマンドが、暗号文での発行を示す場合（ステップＳ１２で肯定判定）、制御部１２は、ステップＳ１３の処理として、暗号文処理設定を行う。暗号文処理設定には、暗号文のコマンドデータＣＤを受信して処理するための各種の設定処理が含まれ、さらに、発行管理フラグＦｌの更新が含まれる。具体的には、制御部１２は、発行管理フラグＦｌを発行前Ｆａから発行中Ｆｂに書き換える。

続いて、ステップＳ１４の処理として、ＩＣカード１０は、発行コマンドを含むコマンドデータＣＤを受信する。発行コマンドは、データの書き込み等、発行工程での具体的な処理を指示するコマンドである。発行コマンドが書き込みを指示する場合、コマンドデータＣＤには、発行コマンドに続けて書き込み対象が含まれる。

ＩＣカード１０の制御部１２は、ステップＳ１５の処理として、ステップＳ１４で受信したコマンドデータＣＤが暗号文であるか否かを判断する。コマンドデータＣＤが暗号文でない、すなわち平文であることは、発行開始コマンドの指示内容と、受信したコマンドデータＣＤの形式とが一致しないことを示し、受信したコマンドデータＣＤが不正なデータである可能性があることを示す。コマンドデータＣＤが暗号文でない場合（ステップＳ１５で否定判定）、制御部１２は、ステップＳ２２の処理として、所定のエラー処理を行い、処理を終了する。エラー処理には、例えば、発行処理装置２０へのエラー信号の送信等が含まれる。

一方、ステップＳ１４で受信したコマンドデータＣＤが暗号文である場合（ステップＳ１５で肯定判定）、制御部１２は、ステップＳ１６の処理として、コマンドデータＣＤを復号化する。コマンドデータＣＤの暗号化および復号化のアルゴリズムとしては、公知のアルゴリズムが用いられればよい。

続いて、制御部１２は、ステップＳ１７の処理として、コマンドデータＣＤが含む発行コマンドの指示内容が、修正プログラムの書き込みであるか否かを判断する。言い換えれば、制御部１２は、コマンドデータＣＤが含む書き込み対象が修正プログラムであるか否かを判断する。

書き込み対象が修正プログラムである場合（ステップＳ１７で肯定判定）、制御部１２は、ステップＳ１８の処理として、発行管理フラグＦｌが発行中Ｆｂであるか否かを判断する。ステップＳ１８よりも前の処理が適正に行われ、修正プログラムを含むコマンドデータＣＤが適正な手順で送信されている場合、発行管理フラグＦｌは発行中Ｆｂを示す。発行管理フラグＦｌが発行中Ｆｂでない場合（ステップＳ１８で否定判定）、制御部１２は、ステップＳ２２の処理に進み、所定のエラー処理を行って処理を終了する。

一方、発行管理フラグＦｌが発行中Ｆｂである場合（ステップＳ１８で肯定判定）、制御部１２は、ステップＳ１９の処理として、発行コマンドが示す処理を実行する。すなわち、制御部１２は、修正プログラムを、第２不揮発性記憶部１５の所定の領域に書き込む。

また、先のステップＳ１７の処理にて、発行コマンドの指示内容が、修正プログラムの書き込みでないと判断された場合（ステップＳ１７で否定判定）にも、制御部１２は、ステップＳ１９の処理に進み、発行コマンドが示す処理を実行する。

続いて、制御部１２は、ステップＳ２０の処理として、ステップＳ１９の処理、すなわち、発行コマンドが示す処理が、エラーなく完了したか否かを判断する。ステップＳ１９の処理にてエラーが発生している場合（ステップＳ２０で否定判定）、制御部１２は、ステップＳ２２の処理に進み、所定のエラー処理を行って処理を終了する。

ステップＳ１９の処理にてエラーが発生していない場合（ステップＳ２０で肯定判定）、制御部１２は、ステップＳ２１の処理として、ステップＳ１９にて実行した発行コマンドが、発行開始コマンドを契機とする発行工程での最後の処理対象であるか否かを判断する。換言すれば、制御部１２は、発行処理装置２０からさらに送信されるコマンドデータＣＤの有無を確認する。

発行コマンドが最後の処理対象でない場合（ステップＳ２１で否定判定）、制御部１２は、ステップＳ１４以降の処理を繰り返し、発行処理装置２０から送信される発行コマンドを順に処理する。発行コマンドが最後の処理対象である場合（ステップＳ２１で肯定判定）、制御部１２は処理を終了し、これによって発行工程が終了する。

ここで、発行コマンドが最後の処理対象である場合、当該発行コマンドの指示には、発行管理フラグＦｌの更新の指示が含まれる。したがって、発行コマンドが最後の処理対象である場合、制御部１２は、ステップＳ１９の処理において、発行管理フラグＦｌを発行中Ｆｂから発行終了Ｆｃに書き換える。これにより、暗号文を処理対象とする発行工程が終了したとき、発行管理フラグＦｌは発行終了Ｆｃを示すようになる。

次に、発行開始コマンドが、平文での発行を示す場合の処理を説明する。ステップＳ１２の処理として、発行開始コマンドが、平文での発行を示すと判断される場合（ステップＳ１２で否定判定）、制御部１２は、ステップＳ２３の処理として、平文処理設定を行う。平文処理設定には、平文のコマンドデータＣＤを受信して処理するための各種の設定処理が含まれ、発行管理フラグＦｌの更新は含まれない。したがって、発行管理フラグＦｌは発行前Ｆａのまま維持される。

続いて、ステップＳ２４の処理として、ＩＣカード１０は、発行コマンドを含むコマンドデータＣＤを発行処理装置２０から受信する。ＩＣカード１０の制御部１２は、ステップＳ２５の処理として、ステップＳ２４で受信したコマンドデータＣＤが平文であるか否かを判断する。コマンドデータＣＤが平文でない場合、すなわち暗号文である場合（ステップＳ２５で否定判定）、制御部１２は、ステップＳ３１の処理として、所定のエラー処理を行い、処理を終了する。エラー処理には、例えば、発行処理装置２０へのエラー信号の送信等が含まれる。

一方、ステップＳ２４で受信したコマンドデータＣＤが平文である場合（ステップＳ２５で肯定判定）、制御部１２は、ステップＳ２６の処理として、コマンドデータＣＤが含む発行コマンドの指示内容が、修正プログラムの書き込みであるか否かを判断する。書き込み対象が修正プログラムである場合（ステップＳ２６で肯定判定）、制御部１２は、ステップＳ２７の処理として、発行管理フラグＦｌが発行中Ｆｂであるか否かを判断する。発行管理フラグＦｌが発行中Ｆｂでない場合（ステップＳ２７で否定判定）、制御部１２は、ステップＳ３１の処理に進み、所定のエラー処理を行って処理を終了する。

平文のコマンドデータＣＤによって修正プログラムの書き込みが指示される場合、当該コマンドデータＣＤは不正なデータである可能性が高い。平文を処理対象とする発行工程では、発行管理フラグＦｌが発行中Ｆｂであることはあり得ないため、平文のコマンドデータＣＤによって修正プログラムの書き込みが指示される場合であっても、ステップＳ２６の処理にて発行管理フラグＦｌが確認されることにより、当該書き込みが実行されることは回避される。

ステップＳ２６の処理にて、発行コマンドの指示内容が、修正プログラムの書き込みでないと判断された場合（ステップＳ２６で否定判定）には、制御部１２は、ステップＳ２８の処理に進み、発行コマンドが示す処理を実行する。

続いて、制御部１２は、ステップＳ２９の処理として、ステップＳ２８の処理、すなわち、発行コマンドが示す処理が、エラーなく完了したか否かを判断する。ステップＳ２８の処理にてエラーが発生している場合（ステップＳ２９で否定判定）、制御部１２は、ステップＳ３１の処理に進み、所定のエラー処理を行って処理を終了する。

ステップＳ２８の処理にてエラーが発生していない場合（ステップＳ２９で肯定判定）、制御部１２は、ステップＳ３０の処理として、ステップＳ２８にて実行した発行コマンドが、発行開始コマンドを契機とする発行工程での最後の処理対象であるか否かを判断する。

発行コマンドが最後の処理対象でない場合（ステップＳ３０で否定判定）、制御部１２は、ステップＳ２４以降の処理を繰り返し、発行処理装置２０から送信される発行コマンドを順に処理する。発行コマンドが最後の処理対象である場合（ステップＳ３０で肯定判定）、制御部１２は処理を終了し、これによって発行工程が終了する。

発行コマンドが最後の処理対象である場合、当該発行コマンドの指示には、発行管理フラグＦｌの更新の指示が含まれる。したがって、発行コマンドが最後の処理対象である場合、制御部１２は、ステップＳ１９の処理において、発行管理フラグＦｌを発行前Ｆａから発行終了Ｆｃに書き換える。これにより、平文を処理対象とする発行工程が終了したとき、発行管理フラグＦｌは発行終了Ｆｃを示すようになる。すなわち、処理対象が暗号文であるか平文であるかに関わらず、一連のコマンドの処理が完了して発行工程が終了した際には、発行管理フラグＦｌは発行終了Ｆｃを示すようになる。

なお、修正プログラムを含むコマンドデータＣＤが適正に送信されている場合、平文のコマンドデータＣＤによって修正プログラムの書き込みが指示されることはあり得ない。したがって、コマンドデータＣＤが含む発行コマンドの指示内容が、修正プログラムの書き込みであると判断された場合には、発行管理フラグＦｌの確認を行わずにエラー処理に進んでもよい。こうした場合のフローを図３に示す。

図３のフローにおいて、ステップＳ１０～ステップＳ２５の処理は、図２のフローと同じである。
図３のフローにおいては、ステップＳ２４で受信したコマンドデータＣＤが平文である場合（ステップＳ２５で肯定判定）、制御部１２は、ステップＳ３２の処理として、コマンドデータＣＤが含む発行コマンドの指示内容が、修正プログラムの書き込み以外であるか否かを判断する。書き込み対象が修正プログラムである場合（ステップＳ３２で否定判定）、制御部１２は、ステップＳ３１の処理に進み、所定のエラー処理を行って処理を終了する。

一方、コマンドデータＣＤが含む発行コマンドの指示内容が、修正プログラムの書き込み以外である場合（ステップＳ３２で肯定判定）、制御部１２は、ステップＳ２８の処理に進み、発行コマンドが示す処理を実行する。以後、図２に示したフローと同様に、制御部１２は、ステップＳ２９以降の処理を進める。

以上説明したように、本実施形態のＩＣカード１０によれば、暗号文のコマンドデータＣＤに基づく修正プログラムの書き込みが、発行管理フラグＦｌが発行中Ｆｂであることを条件に実行される。すなわち、暗号技術を利用した修正プログラムの書き込みが、発行管理フラグＦｌによって管理される。したがって、書き込みに際しての暗号技術の利用を人為的にのみ管理する場合と比較して、発行工程での情報の書き込みに関するセキュリティを高めることができる。

また、不正な書き込みへの対策の必要性が高い対象である修正プログラムを、上記条件に基づき書き込まれる対象とすることにより、上記対策の必要性が高い対象に高いセキュリティを設定することができる。したがって、すべての書き込み対象に同様のセキュリティを設定することと比較して、護るべき対象を適切に護りつつも、発行工程での処理の効率化を図ることができる。

また、発行管理フラグＦｌが、発行前Ｆａから発行中Ｆｂまたは発行終了Ｆｃへの更新、および、発行中Ｆｂから発行終了Ｆｃへの更新のみが許容されるように構成されているため、意図せぬ発行管理フラグＦｌの書き換えが生じ難く、発行管理フラグＦｌによる修正プログラムの書き込みの管理が適正に行われる。その結果、発行工程での情報の書き込みに関するセキュリティをより高めることができる。

以上、上記実施形態によれば、以下に列挙する効果が得られる。
（１）発行管理フラグＦｌが発行中Ｆｂであることを条件に書き込みが実行されることにより、暗号文で受信したデータに基づく所定の対象の書き込みが、発行管理フラグＦｌによって管理される。したがって、発行工程での情報の書き込みに関するセキュリティを高めることができる。また、不正な書き込みへの対策の必要性が高い対象を上記所定の対象とすることにより、上記対策の必要性の差に応じたセキュリティの差をつけることも可能であり、発行工程での処理の効率化を図ることもできる。

（２）ＩＣカード１０の制御部１２は、発行工程の終了に際して、発行管理フラグＦｌを発行終了Ｆｃに更新する。したがって、発行工程が終了しているか否かが、発行管理フラグＦｌに基づき確認できる。それゆえ、発行管理フラグＦｌによって、発行工程の全体の管理が可能である。

（３）発行管理フラグＦｌの書き換えは、発行前Ｆａから発行中Ｆｂまたは発行終了Ｆｃへの更新、および、発行中Ｆｂから発行終了Ｆｃへの更新のみが許容される。したがって、意図せぬ発行管理フラグＦｌの書き換えが生じ難く、発行管理フラグＦｌによる修正プログラムの書き込みの管理が適正に行われる。その結果、発行工程での情報の書き込みに関するセキュリティをより高めることができる。

（４）発行管理フラグＦｌが、第２不揮発性記憶部１５において、各ビットの書き換えが１回のみ許容される制限領域１５ａに格納されている。こうした構成によれば、発行前Ｆａから発行中Ｆｂまたは発行終了Ｆｃへの更新、および、発行中Ｆｂから発行終了Ｆｃへの更新のみが許容される発行管理フラグＦｌが的確に実現できる。

（５）発行管理フラグＦｌによって管理される書き込み対象が、ＩＣカード１０が記憶しているプログラムの修正プログラムである。修正プログラムは、ＩＣカード１０の動作に深く関わる情報であって、不正な書き込みを抑えることの必要性が特に高く、こうした対象に高いセキュリティを設定することができることにより、発行工程での情報の書き込みに関するセキュリティが的確に高められる。

［変形例］
上記実施形態は、以下のように変更して実施することが可能である。
・発行管理フラグＦｌは、暗号文での発行工程の開始に際して発行前Ｆａから発行中Ｆｂに更新されることで、フラグとして機能するように構成されていれば、上記実施形態とは異なる構成を有していてもよい。例えば、発行管理フラグＦｌは、第２不揮発性記憶部１５における書き換えについての制限のない領域に格納されていてもよい。あるいは、発行管理フラグＦｌは、発行工程の終了に際して発行終了Ｆｃに更新されず、発行工程の終了は他のフラグ等によって管理されてもよい。この場合、発行管理フラグＦｌは、発行前Ｆａから発行中Ｆｂにのみ書き換え可能であってもよい。

・発行管理フラグＦｌが発行中Ｆｂであることを条件に書き込みが実行される対象は、修正プログラムに限られない。書き込み対象は、１次発行にて書き込まれるプログラムやデータであってもよいし、２次発行にて書き込まれるプログラムやデータであってもよい。

・ＩＣ媒体は、ＩＣカード１０に限らず、例えば、ＩＣ付きのパスポート等であってもよい。要は、ＩＣ媒体は、発行工程を経て使用されるＩＣ付きの媒体であればよい。

１０…ＩＣカード、１１…通信部、１２…制御部、１３…揮発性記憶部、１４…第１不揮発性記憶部、１５…第２不揮発性記憶部、１５ａ…制限領域、２０…発行処理装置。

Claims (6)

1. 発行管理フラグを格納する不揮発性記憶部と、
   外部の装置から受信した所定の書き込み対象を前記不揮発性記憶部に書き込む制御部と、を備え、
   前記発行管理フラグは、発行前を示す状態から発行中を示す状態に更新可能であり、
   前記制御部は、
   暗号文で受信したデータに基づき前記不揮発性記憶部への書き込みを行う発行工程の開始に際して、前記発行管理フラグを前記発行前から前記発行中に更新し、
   暗号文で受信したデータに前記書き込み対象が含まれるとき、前記発行管理フラグが前記発行中であることを条件として、前記書き込み対象の前記不揮発性記憶部への書き込みを実行する
   ＩＣ媒体。
2. 前記発行管理フラグは、前記発行中を示す状態から発行終了を示す状態に更新可能であり、
   前記制御部は、前記発行工程の終了に際して、前記発行管理フラグを前記発行中から前記発行終了に更新する
   請求項１に記載のＩＣ媒体。
3. 前記発行管理フラグの書き換えは、前記発行前から前記発行中または前記発行終了への更新、および、前記発行中から前記発行終了への更新のみが許容される
   請求項２に記載のＩＣ媒体。
4. 前記発行管理フラグは、前記不揮発性記憶部において、各ビットの書き換えが１回のみ許容される領域に格納されている
   請求項１～３のいずれか一項に記載のＩＣ媒体。
5. 前記書き込み対象は、前記ＩＣ媒体が記憶しているプログラムの修正プログラムである
   請求項１～４のいずれか一項に記載のＩＣ媒体。
6. 前記ＩＣ媒体は、ＩＣカードである
   請求項１～５のいずれか一項に記載のＩＣ媒体。

Images