JPH0682344B2

JPH0682344B2 - Ｉｃカ−ド

Info

Publication number: JPH0682344B2
Application number: JP4164686A
Authority: JP
Inventors: 充裕村田
Original assignee: Citizen Watch Co Ltd
Current assignee: Citizen Watch Co Ltd
Priority date: 1986-02-28
Filing date: 1986-02-28
Publication date: 1994-10-19
Anticipated expiration: 2009-10-19
Also published as: JPS62200441A

Description

【発明の詳細な説明】〔産業上の利用分野〕本発明は、EP-ROM或いはEEP-ROM等の不揮発性半導体メ
モリより成る記憶手段と、該記憶手段に対するデータの
書込み、読出し等のデータ処理を制御するマイクロコン
ピュータ等より成るデータ処理制御手段とを備えたICカ
ードに関するものである。

〔従来の技術〕

上記ICカードは、旧来の磁気カードと比較して、データ
の記憶容量が大きいこと、およびデータのセキュリティ
管理が比較的容易に行なえること、等の利点を有してい
る。

例えば特公昭60-1666号や特開昭59-75380号において
は、ICカード内の記憶手段の一部に予め記憶書込みされ
て成る秘密コードと、該秘密コードに対応して外部から
ICカードに対して与えられる照合コードとを、ICカード
内のデータ処理制御手段にて所定の手法で比較し、その
結果、正当な照合のとれた場合のみ、記憶手段内のデー
タメモリエリアに対するアクセスを許可するように構成
されたICカードが開示されている。

また特公昭58-57785号や特開昭59-77699号においては、
ICカード内の記憶手段のデータメモリエリアを複数個の
ブロックに分割するとともに、例えば書込みと読出しと
の両方を禁止したブロック、書込みは禁止しながら読出
しについては許可したブロック、書込みと読出しの両方
を許可したブロック、さらには記憶の消去を禁止したブ
ロック等の如く、各ブロックごとにデータのプロテクト
の程度を変えて成るICカードが開示されている。

〔発明が解決しようとする問題点〕

上記のような従来のICカードは、確かに磁気カードと比
較した場合には、データの記憶容量は大きく、かつデー
タの保護やセキュリティ管理についても優れたものとな
っている。しかしICカード内に実際に記憶したい様々な
データを考えると、書込み、読出し、消去をどこまで許
可するかというデータの物理的なプロテクトのレベルの
多様性だけでなく、誰あるいはどのようなICカード用端
末器に対してアクセスを許可するかという意味でのセキ
ュリティのレベルの多様性をも持つことが想定される
が、上記のような従来のICカードにおいては、そのよう
な意味でのセキュリティレベルの多様性に対しては、ほ
とんど柔軟な対処はできないのが実情である。

すなわち金融取引関係のデータというものを想定する
と、盗難や拾得されたICカードの不正使用の防止、およ
び不正なカードアクセス用ツール等によるデータの改ざ
んの防止のためには、カードの所有者の正当性およびIC
カード用端末器の正当性を認証することが必要であり、
従ってカード所有者の正当性を判定するための所有者秘
密コード、およびICカード用端末器の正当性を判定する
ためのホスト機器秘密コードの設定と、それらの照合と
が必要となる。

また血液型、病名や薬物アレルギー種別等の緊急時救急
用のデータを想定すると、カードの所有者が意識不明と
なる事態もあり得るために、少なくとも所有者秘密コー
ドによってデータへの自由なアクセスを防御するとすれ
ば、今度はむしろ緊急時のためという目的に反すること
になる。

さらには完全なプライバシーに属するデータについて
は、不当なアクセスは所有者秘密コードの照合のみを条
件とすれば防御可能である。

以上のようにデータの性格に応じて多様なセキュリティ
のレベルが必要となることが想定されるのに対して、従
来のICカードにおいては、予め定められた種類の秘密コ
ード、あるいはそれらの予め定められた組み合わせでの
照合を前提としたデータ・アクセス制限手段しか有して
いないために、誰あるいはどのようなICカード用端末器
に対してアクセスを許可するかという意味でのセキュリ
ティレベルの多様性に柔軟に対処していくことはでき
ず、取り扱うデータのセキュリティ面での性格づけが異
なるごとに、異なるセキュリティ管理レベルを有するIC
カードを準備しなければならないという欠点があった。

本発明の第１の目的は、前述のようなセキュリティレベ
ルの多様性に対して、容易かつ柔軟に対処していくこと
ができる新規なICカードを提供することにある。さらに
本発明の他の目的は、互いにセキュリティレベルの異な
る複数種類の性格のデータを、１つのカード内に同居さ
せることも可能な新規なICカードを提供することにあ
る。

〔問題点を解決するための手段〕

上記の目的を達成するための本発明の構成を、第１図に
基づいて説明する。

記憶手段は、第１秘密コード〜第ｍ秘密コードより成る
複数種類の秘密コードを記憶する秘密コードメモリエリ
アと、情報データを記憶するためのデータメモリエリア
と、該データメモリエリアに対するアクセスを許可する
上で照合を行うことが必要な秘密コードの種類を指定す
るための秘密属性データを記憶する秘密属性メモリエリ
アとを含んでいる。またデータ処理制御手段は、前記秘
密属性エリアに所望の秘密属性データを記憶書込みする
ための属性設定手段と、前記秘密コードに対応して外部
よりICカードに与えられる照合対象データと前記秘密コ
ードとの間の照合を判定する照合判定手段と、該照合判
定手段による照合実行済みの秘密コードの種類を一時的
に記憶しておくための照合実行フラグ部と、該照合実行
フラグ部の内容と前記秘密属性データの内容との相互比
較に基づいて、前記データメモリエリアに対するアクセ
スの可否を決定するアクセス許可制御手段とを含んでい
る。すなわち秘密属性データは、前記第１〜第ｍの秘密
コードのうちのいずれかに関する照合を必要とするかを
指定しているもので、アクセス許可制御手段は、照合実
行フラグ部を参照して、秘密属性データによって指定さ
れている種別の秘密コードが既に照合実行済みであるこ
とを確認したときのみ、データメモリエリアへのアクセ
スを許可する。

なお前記秘密属性エリアに秘密属性データを記憶書込み
する場合における前記属性設定手段への秘密属性データ
の供給等、ICカードと外部との間のデータの送・受信
は、所定のシリアル通信手段を介して行なわれる。

〔実施例〕

以下、本発明の実施例を図に従って説明する。第２図〜
第17図は、本発明の１実施例によるICカードを示す。

第２図はICカードと親機のシステム構成を示すブロック
図であり、（ａ）はICカード側を、また（ｂ）はリーダ
・ライタ機能を含む親機（ICカード用端末）側を示す。

ICカード１は、CPU2、データ等の一時的記憶用のRAM3、
プログラム記憶用ROM4、I/Oポート５、およびバスライ
ン６等より成るマイクロコンピュータ部と、不揮発性半
導体メモリより成る記憶手段としてのEEP-ROM7より構成
される。なお本実施例においては、EEP-ROM7は、I/Oポ
ート５を介してマイクロコンピュータ部からアドレス信
号、制御信号を受けたりデータ信号の授受を行うことに
よって、データ書込みや読出しが行なわれるように構成
されているが、MNOSあるいはFAMOS等より成るEEP-ROM7
とマイクロコンピユータ部とを合わせて１つのICチップ
として構成することも可能である。

一方、親機10は、CPU11、RAM12、V-RAM（ビデオRAM）1
3、ROM14、I/Oポート15、バスライン16、表示コントロ
ーラ17、表示部18、およびキーボード19より構成されて
いる。親機10のI/Oポート15の一部より導出されている
リセット信号供給端子10a、クロック信号供給端子10bお
よび送・受信用シリアル通信端子10cは、それぞれICカ
ード１側のリセット端子1a、クロック信号入力端子1bお
よび送・受信用シリアル通信端子1cと対応して設けられ
ているもので、ICカード１が親機10に取り込まれている
状態においては、上記の対応する端子が互いに接続し合
うように構成されている。

なおICカード１側と親機10側とは、上記の端子の他、電
源の供給用端子および受給用端子も有しているが、第２
図においては、電源関係のブロックおよびラインは、図
の簡素化のために全て省略されている。

次に第３図は、記憶手段として設けられたたEEP-ROMの
概略的なメモリエリア分割状態を示すマップ図である、
本実施例のEEP-ROM7は、自由な読出しが可能なオープン
IDエリア20、複数種類の秘密コードを記憶するために設
けられた秘密コードメモリエリア30、後述の照合の連続
失敗回数やカードの無効化マーク等を記憶するために設
けられたディゼーブルフラグエリア40、ファイルディレ
クトリエリア50、およびデータメモリエリアとして設け
られたファイルエリア60等に分割されている。

なお上記オーブンIDエリア20は、カードメーカー、カー
ド発行者、カード所有者等を示す公開ID情報を記憶して
いるデータエリアである。また本実施例では、データメ
モリエリアは第１ファイル〜第３ファイルより成る３個
のブロックに分割されている。

さらに第４図は、秘密コードメモリエリアの詳細を示す
マップ図であり、秘密コードメモリエリア30内には、カ
ード発行者を照合するためのカード発行者IDコード、カ
ードの所有者を照合するための所有者IDコード、および
カードの有効流通グループ等を照合するためのグループ
IDコードの３種類の秘密コードを記憶できるように構成
されており、このエリアに関する記憶内容のICカード外
部への直接的な読出しは全て禁止されている。なお上記
グループIDコードは、例えば特定の複数のカード発行者
が互いに他の発行者により発行されたカードを相互に受
入れるグループを形成している場合に、そのグループを
特定するためにグループ内の各親機で共有される秘密コ
ードであり、その意味ではICカード用端末器の正当性を
確認するためのホスト機器秘密コードとしての機能を果
たしているものである。

また第５図は、ファイルディレクトリエリア50の一部で
ある第１ファイル用ディレクトリエリアを示すマップ図
である。

各ファイル用ディレクトリエリアは、それぞれファイル
名エリア51、秘密属性メモリエリア52、プロテクト属性
メモリエリア53、ファイルヘッダ‐先頭アドレス54より
構成されており、このような個別ファイル用ディレクト
リ部がデータメモリエリアの各ブロック（ファイル）に
対応して、それぞれ互いに独立して設けられている。

第６図は、１バイト（８ビット）より成る秘密属性メモ
リエリア52の詳細図であり、このエリアは対応するファ
イルに対して、原則的にはデータの書込みと読出しとの
両方の許可を得る上で、いずれの種類の秘密コードに関
する照合を必要としているか（以下、第１の照合条件と
称する）を記憶している第１の秘密属性メモリエリア
と、データの書込みは禁止しながらデータの読出しは許
可する上で、いずれの種類の秘密コードに関する照合を
必要としているか（以下、第２の照合条件と称する）を
記憶している第２の秘密属性メモリエリアとから構成さ
れている。すわわち第６図において、ビットa₃〜a₀が第
１の秘密属性メモリエリアを、またビットa₇〜a₄が第２
の秘密属性メモリエリアを構成しており、それぞれのビ
ットは互いに独立した意味づけを有し、互いに独立して
設定可能となっている。

なお本実施例ではそれぞれ各ビットのうち内容が“0"と
なっている場合に、対応する秘密コードの照合が必要で
あることを示し、内容が“1"の場合には照合は不要であ
ることを示している。従って、例えば秘密属性メモリエ
リア52の内容が“D9H"である場合には、第１の秘密属性
メモリエリアについてはビットa₂とa₁が“0"となってい
るために、第１の照合条件では所有者IDコードの照合と
グループIDコードの照合の必要性を示し、また第２の秘
密属性メモリエリアについてはビットa₂のみが“0"とな
っているために、第２の照合条件では所有者IDコードの
みの照合の必要性を示すことになる。

さらに第７図は、プロテクト属性メモリエリア53の詳細
図であり、このエリアは対応するファイルに関して、デ
ータの書込み、修正およびファイルの抹消が許可されて
いるか禁止されているかを規定するデータ（以下、物理
的プロテクト属性と称する）を記憶しているエリアであ
る。このエリアについては、ビットb₀の内容が“0"とな
っている場合には対応するファイル内の新たなデータの
書込み（追加）が、またビットb₁の内容が“0"となって
いる場合にはデータの修正が、さらにビットb₂の内容が
“0"となっている場合にはファイルの抹消が、それぞれ
禁止される。

次に第８図は、各ファイル部の構成を示すマップ図であ
る。

まず各ファイルは、その先頭部にファイルヘッダーエリ
アを有しており、該ヘッダーエリアにはフィールド数
ｎ、第１フィールドバイト数f₁、第２フィールドバイト
数f₂……第ｎフィールドバイト数ｆ_ｎ、予約レコード数
Ｒ、およびファイルパスワードFPWが、それぞれのメモ
リエリアを確保して記憶書込みされている。以上のうち
フィールド数ｎと各フィールドのバイト数f₁……ｆ_ｎに
よってファイルの構造が決定され、さらに予約レコード
数Ｒを合わせるとファイルのサイズが決定される。また
ファイルパスワードFPWは当該ファイルに固有な秘密コ
ードであり、例えばカードの主発行者の他に副発行者が
いる場合等には、副発行者を確認するための照合コード
としてファイルパスワードFPWを用いること等が可能で
ある。

さらに各レコードエリアは、その先頭部に１バイトのレ
コード属性エリアを有しており、以下、第１フィールド
データd₁、第２フィールドデータd₂……第ｎフィールド
データｄ_ｎの各メモリエリアが形成されている。また当
該ファイルとしては、上記のような構造を有しているレ
コードとを、予約レコード数Ｒだけ記憶することが可能
である。すなわち各ファイルは、レコードと呼ばれるセ
クションを１個以上含んでおり、さらに１つのレコード
（セクション）は、レコード属性エリアと１個以上のフ
ィールドとを含んでいる。

また、例えばレコード番号とフィールド番号が指定され
れば、フィールド数ｎ、各フィールドバイト数f₁……ｆ
_ｎより成るファイル構造を規定するデータに基づいて、
レコードエリア内の対応アドレスも簡単な演算によって
求められることは明らかである。

なお本実施例で各レコードごとに設けられたレコード属
性エリアは、当該レコードがデータ未書込み、データ書
込み済、およびデータ無効化のいずれの状態にあるかを
示すためのエリアであり、具体的には未書込みレコード
のレコード属性エリアは“FFH"、書込み済の場合には
“0FH"、さらに書込み済のデータが無効化されている場
合には“00H"となっている。ここで本実施例におけるデ
ータ無効化とは、例えばデータの誤書込み等が生じたと
きでもデータの修正（書き直しや消去）を許すことはセ
キュリティ面で問題がある場合に、そのデータが無効な
ものであることを示すためのマークが付けられていると
いうことを意味している。

次に第９図〜第17図は、ICカード１のROM4内のプログラ
ムの要部に対応するフローチャート図であり、以下、こ
れらの図に従って本実施例におけるデータ処理について
説明する。

まず第９図は、メインルーチンを示すものであり、親機
10からのリセット信号に引き続いて動作がスタートし、
親機10からのコマンド受信ステップM1へと進む。ここで
ステップM2でEEP-ROM7のディゼーブルフラグエリア40を
参照し、既にディゼーブルフラグがあってカード自体が
無効化されている場合には、受信したコマンドに応じた
処理を行うことなく、カードがディゼーブル化されてい
ることを親機10側に返信するステップM9に進んで処理を
終了する。

一方、ディゼーブルフラグがない場合には、受信したコ
マンドの内容に応じた処理のステップへと進む。すなわ
ち秘密コード書込みコマンドの場合にはステップM3より
秘密コード書込みサブルーチンM10に、照合要求コマン
ドの場合にはM4より照合サブルーチンM11に、ファイル
作成コマンドの場合にはM5よりファイル作成サブルーチ
ンM12に、ファイルオープンコマンドの場合にはM6より
ファイルオープンサブルーチンM13に、ファイル参照コ
マンドの場合にはM7よりファイル参照サブルーチンM14
に、またファイル抹消コマンドの場合にはM8よりファイ
ル抹消サブルーチンM15へとそれぞれ進む。さらに上記
の各処理が終了して各サブルーチンよりリターンする
と、再びスタートに戻って親機10からの次のコマンドを
待つというように、親機10から電源供給を絶たれて排出
されるまでメインルーチンの繰り返しを行うことにな
る。

次に第10図は、秘密コード書込みサブルーチンを示すフ
ローチャート図である。

秘密コード書込み処理では、まずコマンドがカード発行
者IDコードの書込みを要求しているものである場合に
は、ステップA1よりカード発行者IDが未書込みであるか
既に書込み済であるかを調べるステップA5へと進む。こ
こで既に書込み済の場合には、親機10に対してコマンド
の処理の拒絶の返信（以下、否定応答と称する）をA7で
行なった後、サブルーチンからリターンする。また未書
込みである場合には、親機10より指定されてきたカード
IDコードの書込みをA6で行ってからリターンする。すな
わち本実施例では、カード発行者IDコードは、１度だけ
書込みが認められていて、一旦書込みが行なわれた後
は、再書込み（変更）が不可能となっている。

一方、カード発行者IDコード以外の秘密コードの書込み
要求の場合には、A1よりカード発行者IDに関する照合フ
ラグがセットされているかどうかを調べるステップA2に
進み、前記照合フラグがセットされていない場合には、
A7で否定応答を行ってリターンする。また前記照合フラ
グがセットされていて、コマンドがグループIDコードの
書込みを要求するものであった場合には、A3よりグルー
プIDコードの書込みを行うステップA8に進んだ後リター
ンする。さらにコマンドが所有者IDコードの書込みを要
求するものであった場合には、A4より所有者IDコードの
書込みを行うステップA9に進んだ後リターンする。

第11図は、照合サブルーチンを示すフローチャート図で
ある。

ここでは親機10から照合を行うことを指定された種類の
秘密コードを、まずステップB1で秘密コードメモリエリ
ア30より読込んでくる。この読込まれた秘密コードと、
前記指定種類の秘密コードに対応して親機10から送られ
てきた照合データとの間で、所定のアルゴリズム等に基
づいた照合をB2で実行し、照合に失敗した場合には、デ
ィゼーブルフラグエリア40の一部に設けられた連続照合
失敗回数カウンタのうちの、照合対象の秘密コードに対
応したカウンタ部をインクリメントするステップB3へと
進む。ここで該カウンタ部の内容が３となっている（す
なわち照合に連続して３回失敗している）場合には、B4
よりディゼーブルフラグエリア40にカードディゼーブル
フラグ（カード無効化フラグ）を書込むステップB5へと
進んだ後、B6で親機10側にカードの無効化を返信してリ
ターンする。また前記カウンタ部が３未満の場合には、
親機10に対して否定応答を行うステップB7へと進んでか
らリターンする。

一方、照合に成功した場合には、B2よりRAM3内の照合実
行フラグ部のうちの、照合に成功した秘密コードの種類
に対応した照合実行フラグをセットするステップB8へと
進み、さらにB9で連続照合失敗回数カウンタのうちの、
照合対象の秘密コードに対応したカウンタ部をクリアし
た後秘密リターンする。

第12図は、ファイル作成サブルーチンを示すフローチャ
ート図である。

ファイル作成処理では、まずファイルディレクトリエリ
ア50を参照して、ファイル作成個数に残り枠があるか、
およびファイルエリア60内に新規なファイルを作成する
上で必要な残り容量があるかを調べるステップC1へと進
む。ここでファイル作成可能な場合には、親機10から送
られてきたファイル名の指定およびファイル構造指定情
報に従って、ファイルディレクトリエリア50およびファ
イルエリア60内のファイルヘッダーエリアへの書込みを
C2で実行した後、第13図に示される指定ファイルオープ
ン後の処理へとジャンプする。また既にファイル作成が
不可能な場合には、C3で否定応答を行った後リターンす
る。

なおファイルの作成コマンドの場合には、親機10からは
ファイル名の他に、フィールド数ｎ、第１フィールドバ
イト数f₁……第ｎフィールドバイト数ｆ_ｎ、予約レコー
ド数Ｒより成るファイル構造指定情報が送られてくる
が、これらの構造指定情報によって、ファイルの構造と
サイズが完全に決定されることになる。またファイルデ
ィレクトリエリア50のうちのファイルヘッダー先頭アド
レス54については、既に先行して作られているファイル
のファイルディレクトリエリア50内の情報とファイルヘ
ッダー部の情報とに基づいて、ファイルヘッダー先頭ア
ドレスも算出されるために、これもファイルの新規作成
時に書込まれる。

次に第13図は、ファイルオープンサブルーチンを示すフ
ローチャート図であり、ここでは指定するファイルにつ
いての書込みと読み出しとの両方の許可を得る（以下、
ファイルのオープンと称する）ための処理と、指定され
たファイルがオープンされてからの実際のファイル操作
処理（指定ファイルオープン後）とが含まれている。

ファイルオープンのための処理については、まずステッ
プD1で指定されたファイルの秘密属性メモリエリア52よ
り第１秘密属性データを読込み、さらにD2でRAM3内の照
合実行フラグを参照する。ここでD3で前記第１秘密属性
データで規定されている第１の照合条件と照合実行フラ
グとを比較して、第１の照合条件が満足されていない場
合には、D4で否定応答を行った後、直ちにリターンす
る。

一方、第１の照合条件が満足されている場合には、指定
ファイルのオープン後の処理へと進んで親機10からのフ
ァイル操作のための処理命令を受信するステップD5へと
進む。ここで受信した処理命令がクローズ命令の場合に
はD6よりファイルオープン後の処理は終了してリターン
し、またそれ以外の命令の場合には受信した命令の内容
に応じた処理のステップへと進む。

すなわち秘密属性セット命令の場合には、ステップD7よ
り後述の第14図の秘密属性書込みサブルーチンD13に進
み、プロテクト属性セット命令の場合には、D8より親機
10から指定されたプロテクト属性を当該ファイルのプロ
テクト属性メモリエリア53に書込む（変更も含む）処理
を実行するステップD14へと進む。またファイルパスワ
ードセット命令の場合には、D9より親機10から指定され
たファイルパスワードを、当該ファイルのファイルヘッ
ダーエリアに書込む処理を実行するステップD15に進
む。

さらに読出し命令の場合には、D10より親機10から指定
されたレコード番号のレコードデータを読出して送信す
るステップD16に進み、書込み命令の場合には、D11より
後述の第15図の書込みサブルーチンD17へと進む。また
データ無効化命令の場合には、ステップD12より親機10
から指定されたレコード番号のレコード属性エリアに無
効化マーク“00H"を書込むステップD18に進む。

なお上記の各命令に対応した処理が終了すると、再び親
機10からの次の命令を待つというように、親機10からク
ローズ命令を受けるまでファイル操作処理を繰り返すこ
とができるように構成されている。

以上のように本実施例では、セキュリティや物理的プロ
テクトに対して重要な関連性を有する秘密属性やプロテ
クト属性のセット、ファイルパスワードのセット等は、
当該ファイルをオープンした後でなければ設定（変更）
できないように構成されている。すなわち各ファイル操
作処理は、オープンされた状態にある指定ファイルに対
してだけ実行可能なものであるが、例外的に前述のファ
イルの新規作成時についても、特別に指定ファイルオー
プン後の処理ルーチンにジャンプしてくるために、その
場合には上記のように作成済のファイルをオープンした
後と全く同様な処理の実行が可能である。これはファイ
ルの新規作成ということは、その作成ファイルに対する
最初のアクセス実行ということでもあるために、そのフ
ァイル操作の処理を許可する上で、改めてファイルをオ
ープンさせるような必要性はないためである。

第14図は、秘密属性書込みサブルーチンを示すフローチ
ャート図である。

ここでは、まずステップE1で秘密コードメモリエリア30
および当該ファイルヘッダーのファイルパスワードエリ
アを参照して、親機10から送られてきた秘密属性データ
に対応して照合を要求されることになる種類の秘密コー
ド（ファイルパスワードも含む）が、既に書込み済であ
るかどうかをE2で調べ、書込み済である場合には親機10
から送られてきた秘密属性データを当該ファイルディレ
クトリ50の秘密属性メモリエリア52に書込む（変更も含
む）ステップE3へと進んだ後リターンする。また対応す
る秘密コードが未書込みである場合には、秘密属性デー
タに従った照合判定自体が不可能であるために、秘密属
性データの書込み処理を拒絶する否定応答をE5で行なっ
た後リターンする。

第15図は、書込みサブルーチンを示すフローチャート図
である。

ここでまず、ステップF1で当該ファイルのプロテクト属
性メモリエリア53よりプロテクト属性を読込んで、ビッ
トb₀が“0"となっていて書込みプロテクトがある場合に
は、たとえファイルがオープンされていても新たなレコ
ードデータの書込みはすべて禁止されることになるため
に、否定応答のステップF7に進んでリターンする。

また書込みプロテクトが設定されていない場合には、F3
で親機10から書込みを指定されてきているレコード番号
のレコード属性を参照する。ここで該指定レコード属性
が“FFH"であって当該レコードがまだ未書込みである場
合には、F4より当該指定レコードに親機10から送られて
きたデータを書込むステップF9に進んだ後、さらにF10
で指定レコード属性エリアにデータ書込み済であること
を示すマークとして“0FH"を書込む属性セットを行って
からリターンする。

一方、当該レコードが書込み済である場合には、レコー
ド属性が“00H"となっていて当該レコードに無効化マー
クが付された状態となっているかをF5で調べる。無効化
マークがない場合には、まだ当該レコードが有効データ
を記憶していることを示しているために、ここへのデー
タ書込みを拒絶する否定応答をF7で行った後リターンす
る。また無効化マークがある場合には、プロテクト属性
のうちの修正プロテクトが設定されているかどうかをF6
で調べる。ここでプロテクト属性のビットb₁が“0"とな
っていて修正プロテクトがある場合には、同じくデータ
書込みを拒絶する否定応答をF7で行った後リターンす
る。また修正プロテクトがない場合には、当該指定レコ
ードに既に書込まれているデータをステップF8で消去
（指定レコードエリアの“FFH"化）してから、指定レコ
ードへのデータ書込みを行うステップF9に進み、さらに
F10で指定レコード属性エリアにデータ書込み済である
ことを示すマークとして“0FH"を書込む属性セットを行
ってからリターンする。

なお上記のプロテクト属性について言及すると、ファイ
ルをオープンする資格を有する操作側にとっては、自由
にプロテクト属性の変更を行うことが可能であることか
らもわかるように、あくまでもプロテクト属性自体はフ
ァイルをオープンできる資格者にとっての誤操作防止の
ために設けられた機能である。

次に第16図は、ファイル参照サブルーチンを示すフロー
チャート図であり、ここでは指定するファイルについ
て、書込みは無条件に禁止しながら読出しについては許
可する（以下、ファイル参照のためのリードオンリーオ
ープンと称する）ための処理と、指定されたファイルが
リードオンリーオープンされてからの実際の読出し等の
処理とが含まれている。

リードオンリーオープンのための処理については、まず
ステップG1で親機10から指定されたファイルの秘密属性
メモリエリア52より第２秘密属性データを読込み、さら
にG2でRAM3内の照合実行フラグを参照する。ここでG3で
前記第２秘密属性データを規定されている第２の照合条
件と照合実行フラグとを比較して、第２の照合条件が満
足されていない場合には、G4で否定応答を行った後、直
ちにリターンする。

一方、第２の照合条件が満足されている場合には、指定
ファイルのリードオンリーオープン後の処理へと進んで
親機10からの処理命令を受信するステップG5へと進む。
ここで受信した処理命令がクローズ命令の場合には、G6
よりリードオンリーオープン後の処理は終了してリター
ンする。また受信した処理命令が読出し命令だった場合
には、G7より親機10から指定されたレコード番号のレコ
ードデータを読出して送信するステップG8に進んだ後、
再び親機10からの処理命令を受信するステップG5へと戻
っていく。受信した命令がクローズ命令と読出し命令の
いずれでもない場合には、G4で否定応答を行った後、リ
ードオンリーオープン後の処理は終了してリターンす
る。

第17図は、ファイル抹消サブルーチンを示すフローチャ
ート図である。

この場合には、まずステップH1で親機10から指定された
ファイルのプロテクト属性メモリエリア53よりプロテク
ト属性を参照する。ここでビットb₂が“0"となっていて
ファイル抹消プロテクトがある場合には、H5で否定応答
を行った後リターンする。またファイル抹消プロテクト
がない場合には、ファイルディレクトリエリア50を参照
して、ファイルエリア60内に実際に作成されているファ
イルのうち、当該ファイルが最後尾に形成されているも
のであるかをステップH3で調べる。当該ファイルが最後
尾に形成されたものである場合には、当該ファイルを完
全に抹消した後のエリアに新規な構造のファイルを作成
することが可能であるために、まずステップH6で当該指
定ファイルのディレクトリエリア50およびヘッダーエリ
アを抹消（エリアの“FFH"化）した後、H4で当該指定フ
ァイルのレコードエリアの抹消（レコード属性エリアも
含む全レコードエリアの“FFH"化）を行ってからリター
ンする。すなわち、この場合にはファイルディレクトリ
エリアおよびファイルヘッダーエリアへの新規なファイ
ル構造指定データ等の書込みが可能であり、従って次に
新規なファイルを作成する場合には、抹消された後のエ
リアを未使用のファイルエリアと全く同様に使用するこ
とが可能である。

一方、当該ファイルが最後尾に形成されたものではない
場合には、後続のファイルエリアに既にファイルが形成
されていて、必ずしも当該ファイルのエリアを自由に使
用することはできない（例えばサイズの大きなファイル
を作成しようとすれば、後続のファイルエリアと領域が
重なってしまう）ために、上記のようなファイルディレ
クトリエリアおよびファイルヘッダーエリアの抹消は行
うことなく、ステップH4で当該指定ファイルの全レコー
ドエリアの抹消を行った後リターンする。すなわち、こ
の場合には当該ファイルのディレクトリエリアおよびヘ
ッダーエリアには、ファイル構造を規定するデータが残
るために、この処理の後の当該ファイルエリアには全く
新規な構造のファイルを作成することはできないが、元
からあったファイルと全く同一構造のファイルとして、
再びレコードデータを書込みして蓄積していくことが可
能である。

〔発明の効果〕

以上に述べたように本発明によれば、複数種類の秘密コ
ードを記憶する秘密コードメモリエリアと、データにア
クセスする資格を有する人あるいは端末等を識別する上
で照合を行うことが必要な秘密コードの種類を指定する
秘密属性データを記憶している秘密属性メモリエリア
と、実際に照合を行った結果に基づいて、照合に成功し
た秘密コードの種類を一時的に記憶する照合実行フラグ
部と、前記秘密属性データと前記照合実行フラグ部の内
容との比較に基づいて、データに対するアクセスの可否
の判定を行うアクセス制御手段等を設けたことにより、
アクセスする資格を与えるべき人あるいは端末等が互い
に異なるデータ（セキュリティレベルの互いに異なるデ
ータ）に対しても、同一のICカードをデータ記憶媒体と
して用いることが可能となる。

さらに本発明においては、秘密属性データを記憶書込み
するための属性設定手段については、その記憶書込み時
に外部よりICカードに与えられる秘密属性データによっ
て指定されている種類の秘密コードが、秘密コードメモ
リエリア内に未書込みである場合には、その秘密属性デ
ータの書込みを禁止する制御手段を含んでいるために、
まだ未書込みの秘密コードを照合しなければ、アクセス
の許可が得られないというような矛盾した状態に陥るこ
とも防止される。

また本発明において、データメモリエリアを複数個のブ
ロツク（ファイルエリア等）に分割するとともに、各ブ
ロックごとに互いに独立して秘密属性メモリエリアを設
けた場合には、一枚のカード内においても、互いにセキ
ュリティレベルの異なるデータを同居させることも可能
である。

なお前記照合実行フラグ部は、必ずしもRAM内に設ける
必要はなく、例えばデータメモリ用のEEP-ROMの一部に
設けるとともに、一度のカードに対する処理が終了する
ごとに、記憶内容をクリアするように構成することも可
能である。

またデータメモリエリアを複数のブロックに分割する場
合に、本実施例ではフレキシビリティの考慮されたファ
イル構造を採用しているが、例えば各ブロックを予め決
められたサイズのエリアにする等、全てのブロックを固
定的な共通構成のものとしてもよいことは明らかであ
る。

【図面の簡単な説明】

第１図〜第17図は、本発明の１実施例によるICカードを
示すもので、第１図は機能ブロック図、第２図（ａ）お
よび（ｂ）はICカード側および親機側のシステム構成を
それぞれ示すブロック図。第３図はEEP-ROMのメモリエ
リアを示すマップ図、第４図は秘密コードメモリエリア
のマップ図、第５図はファイルディレクトリエリアを示
すマップ図、第６図および第７図は秘密属性メモリエリ
アおよびプロテクト属性メモリエリアの詳細図、第８図
はファイルエリアを示すマップ図。第９図〜第17図は、
ICカード内のマイクロコンピュータ用プログラムの要部
フローチャート図であり、第９図はメインルーチン、第
10図は秘密コード書込みサブルーチン、第11図は照合サ
ブルーチン、第12図はファイル作成サブルーチン、第13
図はファイルオープンサブルーチン、第14図は秘密属性
書込みサブルーチン、第15図は書込みサブルーチン、第
16図はファイル参照サブルーチン、第17図はファイル抹
消サブルーチンをそれぞれ示すフローチャート図。１……ICカード、４……ROM、５……I/Oポート、７……
EEP-ROM、10……親機、1c、10c……シリアル通信端子、
30……秘密コードメモリエリア、31……カード発行者ID
コードメモリエリア、32……所有者IDコードメモリエリ
ア、33……グループIDコードメモリエリア、40……ディ
ゼーブルフラグエリア、50……ファイルディレクトリエ
リア、52……秘密属性メモリエリア、60……ファイルエ
リア。

Claims

【特許請求の範囲】

【請求項１】不揮発性半導体メモリより成る記憶手段
と、該記憶手段に記憶されるデータの書込みおよび読出
し等のアクセスを制御するためのデータ処理制御手段と
を有するICカードにおいて、前記記憶手段は、複数種類
の秘密コードを記憶する秘密コードメモリエリアと、情
報データを記憶するためのデータメモリエリアと、該デ
ータメモリエリアに対するアクセスを許可する上で照合
を行うことが必要な秘密コードの種類を指定するための
秘密属性データを記憶する秘密属性メモリエリアとを含
み、かつ前記データ処理制御手段は、外部よりICカード
に与えられる秘密属性データを前記秘密属性メモリエリ
アに記憶書込みするための属性設定手段と、前記秘密コ
ードに対応して外部よりICカードに与えられる照合対象
データと前記秘密コードとの間の照合を判定する照合判
定手段と、該照合判定手段による照合実行済みの秘密コ
ードの種類を一時的に記憶しておくための照合実行フラ
グ部と、該照合実行フラグ部の内容と前記秘密属性デー
タの内容との相互比較に基づいて、前記データメモリエ
リアに対するアクセスの可否を決定するアクセス許可制
御手段とを含み、さらに前記属性設定手段は、外部より
ICカードに与えられた秘密属性書込み用の秘密属性デー
タによって指定されている種類の秘密コードが、秘密コ
ードメモリエリア内に未書込みである場合には、その秘
密属性データの書込みを禁止する制御手段を含んでいる
ことを特徴とするICカード。
【請求項２】属性設定手段は、アクセス許可制御手段に
より既にアクセスが許可されている状態では、その秘密
属性データの変更を許可する秘密属性変更制御手段を含
んでいることを特徴とする特許請求の範囲第１項記載の
ICカード。