JPH0685158B2 - Ｉｃカ−ド - Google Patents

Description

【発明の詳細な説明】 〈産業上の利用分野〉 この発明はマイクロコンピュータやメモリ素子などの集
積回路（IC）を内蔵したICカードに係り、特にはICカー
ドの使用者が正当なカード所有者又はその代理人である
ことをあらかじめ定められた符号の入力によつて識別す
る能力を持つたICカードであつて、その符号が所定回数
誤つて入力されると以後その符号をそのICカードに対し
て使用不可能とするようにできるICカードに関する。

〈従来の技術〉 ICカードの使用に際して、使用者がそのカードの正当な
所有者であることの確認のために、使用者に正当な所有
者のみが知つている所定の符号（一般には暗証番号）を
入力させて、正しい符号が入力された場合のみ買い物が
できたり、情報の読み出しあるいは書き込みができたり
するような所定の処理が許可されるようにすることがIC
カードシステムにおいて行われる。

正当なカードの所有者でない第三者によつてICカードが
不正に使用されることを防止するために、符号の誤入力
の回数を制限し、一定回数以上に誤入力すると、ICカー
ドでの処理がロツク状態となつてICカードを使用不可能
とするようなICカードのセキユリテイシステムが提案さ
れている。

〈発明が解決しようとする問題点〉 識別のための符号は、カード所有者がおぼえていなけれ
ばならないので通常４桁〜９桁程度の数字やアルフアベ
ツトあるいはそれらの組合せによる短い文字列で構成さ
れる。従つて、第三者がたまたま他人のICカードを入手
して、それを不正に使用しようとする場合、符号を推測
して、入力し、何度か試行錯誤の後、偶然に正しい符号
と一致して、そのICカードが使用できてしまうという問
題が発生する。特にICカードの場合、従来の磁気カード
とはその記憶容量が桁違に大きく、それだけ大量の情報
が記録されていることから、ICカードの機密性は特に高
度に要求されてくる。

その様な、いわばICカードに高い安全性を与えるため、
１枚のICカードに複数の符号が設定され、処理内容によ
つて複数の符号の内の一部あるいは全部が正しく入力さ
れて始めてそのICカードでの処理が許可されるようにし
て、ICカードのセキユリテイを厳重にすることが本願出
願人によつて考えられている。例えば、あるICカードに
A,B2種類の符号が設定され、カードからのデータの読み
出し処理はＡ符号のみで許可し、カードへの書き込みは
A,B両方の符号が入力されないと許可しないようなシス
テムである。

又、最近、一つのICカードを多くの事業体（情報管理単
位体）について共通に利用してカード所有者の利便性を
考えたICカード（以下、複合ICカードと称する。）が提
案されている。例えば、銀行、デパート、病院、クレジ
ツト会社等の複数の事業体とカード所有者との間で利用
されるICカードは従来各事業体毎に個別に発行され、カ
ード所有者は銀行用カード、デパート用カードという様
に多数のカードを携帯せねばならず不便をきたすもので
ある。

従つて、これら複数の事業体とカード所有者との間の処
理を１枚のカードで行える様にすることが提案される。
例えば、銀行での預金記録、デパートでの買物の記録及
び決済、病院での診療歴の記録あるいは信用取引の記録
等をすべて１枚のカードで行うものである。この様なこ
とはICカードに内蔵されるメモリ素子の記憶容量の増大
に伴つて可能となつて来ている。

この複合ICカードに記録される情報の内容は各事業体に
共通に必要なもの、例えばカード所有者の氏名、住所、
生年月日、職業等と、事業体毎に個別に利用されるもの
とに区別されて記録される。従つて、共通な情報はどの
事業体でも必要に応じてアクセスでき、個別情報は個々
の事業体しかアクセスできないシステムであることが必
要である。すなわち、銀行の預金情報は病院側ではアク
セスできず、逆に病歴の情報は銀行やデパートには知ら
れないようにしなければならない。従つて、このような
複合ICカードでは事業体毎の記憶エリアが区分されてお
り、各記憶エリア毎に独立して必要な符号を設定する必
要がある。しかも、同じ事業体であつても情報の重要度
に応じて、記憶エリアを区別し、それぞれの記憶エリア
に符号を種々設定することが考えられる。例えば、No.1
記憶エリアはＣ銀行の預金口座の記録で、Ｄの符号で読
み出せるが、書き込みや更新はＤの他にさらにＥの符号
を必要とし、No.2記憶エリアはＦデパートの買い物の記
録でＧ符号で読み出し可であるが、No.3記憶エリアは同
じＦデパートの記録であつてもクレジツトで買い物をし
た場合の決済の記録であつてこれはＧ符号の他にＨ符号
を入力しないと読み出し書き込みができないといつた風
である。

以上述べた様に、ICカードのセキユリテイを高めるため
に、１枚のカードに複数の符号が設定されるようになる
と、ある符号が所定の誤入力回数に達するとそのICカー
ド全体をロツクしてしまうようなシステムでは、他の符
号で行う処理も、出来なくなつたり、他の符号でアクセ
スできる記憶エリアまでもアクセスできなくなることに
なり、大量の情報が記録し、処理できるというICカード
の利便性が損なわれてしまう。

〈問題点を解決するための手段〉 この様な問題を解決するには、ある符号が所定回数誤入
力されても、例えばデータアクセス禁止ビツト、禁止ゲ
ート、メモリ破壊などの手段によりICカード全体をロツ
クするのではなく、その符号そのものを使用不可能とす
ることが望ましい。上記問題点を解決する本発明のICカ
ードは 制御手段と記憶手段とを内蔵し、外部より第一符号が入
力されるとその入力された第一符号と所定の第二符号と
が一致した場合のみICカードへアクセスできるようにし
たICカードであつて、 前記記憶手段は情報を書き込み可能な記憶エリア部と複
数の前記第二符号を記憶する符号記憶部とを含み、 前記制御手段は入力された前記第一符号と前記符号記憶
部に記憶された前記第二符号とを照合する照合手段と、
該照合手段による照合結果が不一致の場合にその不一致
の回数をカウントして積算するエラーカウント手段と、
該エラーカウント手段があらかじめ定めた所定回数前記
不一致をカウントした場合に前記入力された第一符号で
はアクセスを禁止する符号ロツク手段とを有するように
して、個々の符号に対して独立にロツクを行うようにし
た。

〈作用〉 外部よりICカード・リーダ・ライタを介してICカードに
符号の入力と情報の読み出しあるいは書き込みが指令さ
れ、書き込みの場合は書き込むデータが引き続いて入力
される。ICカードは入力された符号の種類からその種類
に対応する符号がすでにロツク（使用禁止）されている
かどうか符号ロツク手段を読み出して判断し、ロツクで
あれば、リーダ・ライタに対してその符号がロツク状態
である旨通知する。もしロツクでなければ、ICカードは
記憶している正しい符号と照合して、両者が一致か不一
致かを判定して、その結果を記憶する。もし不一致であ
れば、ICカード内のエラーカウント手段に記録されてい
る不一致回数に今回の不一致を１回加える。加えた結果
があらかじめ定めた規定回数に達すれば、その符号が使
用禁止（ロツク）である旨を符号ロツク手段に書き込
み、リーダ・ライタに対してその符号がロツク状態とな
つた旨通知する。もし、ロツクでなければ以後の処理動
作、例えば、読み出し／書き込み処理が引き続き実行さ
れる。

〈発明の効果〉 複数の符号が設定されたICカードにおいて、入力された
符号の不一致が規定回数に対すると、その符号を使つて
のICカードの処理は禁止（ロツク）とされるので、他の
符号がロツクとなつてない限り、そのICカードは他の符
号によつて所定の処理が可能となる。従つて大量の情報
を記録したICカードの利便性を有効に利用しつつ、同時
にICカードの第三者による不正使用を防止できるという
優れた効果を有する。

〈実施例〉 この発明の実施例を図面を参照しながら説明する。な
お、これまでの説明で述べた符号とは数字、アルフアベ
ツト、かな文字、その他の文字あるいは記号等を含み、
コンピユータで読み取り可能な形式のものであれば、い
かなる文字、記号あるいはそれらの組合せでもよい。
又、その桁数についても任意であり、本願発明は、符号
を特定の文字、記号あるいは特定の桁数のものに限定す
るものではない。なお、一般にICカードにおいて符号と
は暗証番号の事を示すことが多いので、以下の実施例の
説明では暗証番号あるいはキーという用語を使用する。
この実施例のICカードは複数の事業体が１枚のカードに
参加している、いわゆる複合ICカードの場合を例にとつ
て説明するが、本発明は複合ICカードのみならず、単一
の事業体との間で利用されるICカードに対しても適用は
可能である。第１図はこの発明によるICカードの一実施
例の外観を示す正面図で第２図はその内部構成を示すた
め第１図のＡ−Ａ′から見た断面図である。ICカード１
にはプラスチツクなどで作られたカード・コア２の一部
に空所３が形成され、この中にICモジユール４を収容し
ている。ICモジユール４には１個ないし２個のLSIチツ
プが搭載されている。このICモジユールには８個の接点
端子５が設けられ、外部の回路とICモジユール４が含ま
れている電子回路との間の電気的な接続が行われる。

ICモジユールを保護するために空所３は充てん剤６で満
たす。またカード・コア２の上下には印刷層7,7′を接
合し、その印刷層の表面には、必要に応じ図案、文字等
が印刷され、さらにその表面はこれを保護する表層8,
8′で蔽われている。第２図は、特に厚さを誇張して図
示してあるが、実際の厚さは例えばカード・コア0.55m
m、印刷層0.1mm、表層0.02mmで、全体で0.8mm程度に仕
上げられる。なお磁気ストライプ９とエンボス文字10
は、用途に応じて付加されるものであり、ICカードとし
て不可欠なものではない。

第３図は、ICモジユール４に含まれるICの構成を例示す
るブロツク図で、CPUチツプ40とメモリチツプ41の２チ
ツプ構成の例を示す。CPUチツプ40に含まれるCPU401は
プログラムによる制御を行ない、ROM402はプログラムな
どを記憶し、RAM403はプログラム・ステツプの途中にお
いてデータを一時的に記憶する役割などを果たす。メモ
リチツプ41にはEEPROM411があり、主としてデータが記
憶されている。EEPORMは電気的にデータを消去したり書
き込んだりが何度でも出来る。又、紫外線を照射するこ
とでデータを消去できるEPROMでもよい。

メモリチツプ41を使用せずにCPUチツプ40のみでICカー
ド用のICモジユールを１チツプで構成する場合は、CPU,
ROM,RAMなどで構成してもよい。

ICカードは、第４図に示すようなICカード・レーダー・
ライタを介して、ホストコンピユータに接続して使用さ
れる。キーボードは暗証番号や読み出しあるいは書き込
み等の種々の命令（コマンド）やデータ（情報）を入力
するためのもので、ホストコンピユータないしはリーダ
・ライタに接続される。リーダ・ライタとホストコンピ
ユータ及びキーボードは一体に作られてもよく、又、個
別の装置にしてその間を通信手段で結ばれてもよい。

第５図にこの発明の実施例におけるメモリの構成を示
す。ICカード全体を管理するための情報を格納するため
のシステムエリアと、実際の記録すべき情報を記憶しか
つその情報を定義をするためのユーザエリアとから成
る。本発明の実施例においては、システムエリアには、
このICカードで使用される正しい暗証番号が記憶される
暗証番号エリアとキーロツクに関する情報を記憶するキ
ーロツクエリアが配置される。

第５図に右上に暗証番号エリアとキーロツクエリアのさ
らに詳細な構成が示されている。暗証番号エリアには所
定の番地毎にICカードで使用される暗証番号（キー）が
Ｓ個（Ｓは整数）記録される。又、キーロツクエリアは
所定の番地毎にそれぞれの暗証番号（キー）についての
情報すなわち、キーエラー回数や、キーロツクの有無を
記録するＳ個のキー管理情報のエリアで構成される。例
えば暗証番号が９桁の文字あるいは数字列からなるもの
であれば各キーを記憶するエリアは各々９バイトからな
る。又、各キー管理情報のエリアは各々１バイトでよ
く、その中に、キーエラー回数をカウントするビツトと
キーロツクの有無を示すビツトが設けられる。

第６図にキー管理情報バイトの一つを示す。このバイト
で、下位４ビツトはキーエラー回数（暗証番号の誤入力
回数）をカウントするために用いられるキーエラービツ
トである。例えばカード発行時に0000と設定しておき、
以後、キーエラーが発生する毎に１を２進法で加算し
て、1111からさらに１を加えて0000となつたときにキー
ロツクするようにすればよい。この場合16回キーエラー
するとキーロツクすることになる。キーロツクはこのバ
イトの内の１ビツトを利用して行う。第６図の例では第
６ビツトが０の場合キーロツクとなり、１の場合キー使
用可を示す。すなわち、キーエラー回数を加えてゆき11
11から0000となつた時点で第６ビツト（キーロツクビツ
ト）を１から０にすれば、キーロツクされたことにな
る。これは他のすべてのキー管理情報のバイトに共通で
ある。キーエラー回数を何回まで許すかについては任意
に設定できる。16回以上の場合はビツト数をさらに増せ
ばよい。暗証番号にはカード使用者個人を特定する暗証
番号である個人キーと、データ（あるいは記憶エリア）
と事業体との関係を特定する事業体キーと、事業体が特
定のデータを管理する管理キーと、複合ICカードの発行
元を特定する発行者キーなどがある。さらに詳しく言え
ば、管理キーとは事業体の管理者がそのカードを利用す
るために必要な暗証番号（キー）で、事業体の管理者の
みが知つているものであり、そのカードに固有の暗証番
号である。事業体キーとはある記憶エリアに記録される
情報がどこ事業体が使用できる情報かを特定するもの
で、記憶エリア単位で設定され事業体側だけに知られる
ものである。従つて、複合ICカードに参加している事業
体の数だけ用意される。又、ユーザエリアは複数込
（ｘ）の記憶エリアから成る記憶エリア群と、それら各
記憶エリアに対応して設けられた同数の索引エリアから
成る索引エリア群から成る。個々の索引エリアは第５図
の右側にNo.n索引エリアで例示している様に、対応する
記憶エリア（No.n索引エリアはNo.n記憶エリアと対応す
る。）の記憶エリア定義情報と記憶エリア管理情報とに
区分される。これについては第７図で改めて説明する。
又、個々の記憶エリアは、第５図にNo.n記憶エリアで例
示している様に、第１回〜第ｍ回（ｍは任意に設定）の
レコードに区分される。従つて情報は、レコード単位に
格納され、レコードの長さ（バイト数）はあらかじめ設
定され、それぞれの索引エリアの記憶エリア定義情報と
して書き込まれる。

第７図は第５図のユーザエリア中のNo.n記憶エリアに対
応するNo.n索引エリアの構成をさらに詳細に示したもの
である。第７図の記憶エリア定義情報の1stと2ndバイト
には記憶エリアスタートアドレスが定義されている。こ
れはNo.n記憶エリアの先頭番地を示したものである。次
に3rdバイトには、書き込みの場合のセキユリテイレベ
ルW.S.L（Write Seculity Level）と、読み出しの場
合のセキユリテイレベルR.S.L（Read Seculity Leve
l）が定義される。セキユリテイレベルの定義とは情報
の内容に応じて機密性（セキユリテイレベル）に差があ
るものは、その機密性に応じてアクセスするのに必要な
暗証番号の種類を取捨選択して設定するものである。す
なわちこの記憶エリアの情報はどれとどれの暗証番号が
あればアクセスできるかを定義する。本実施例における
セキユリテイレベルの定義は４ビツトで行い、最上位ビ
ツトで事業体キーの要、不要を下位３ビツトで個人キ
ー、管理キー及び発行者キーの要、不要を制定する。例
えば、 の様に定義が可能で、書き込みの場合と読みだしの場合
とで個別に定義ができる。もちろんカードシステムで使
用される暗証番号の種類が多ければ、セキユリテイレベ
ルヒツトのビツト数を増加することにより対応できる。

次に、4thと5thバイトはそれぞれ書き込み（Write）と
読み出し（Read）の場合における必要に事業体キーの種
類を定義する。本実施例においては、８ビツトで定義し
ているので、８種類の事業体が定義できる。すなわち、
この複合ICカードでは事業体８社が参加できることにな
る。もつと多くの事業体を参加させるには、ビツト数を
多くするか、ビツトの組合せで各事業体を定義すればよ
い。この事業体キーレベルは情報の内容に応じて読み出
しと書き込みとで異る定義が可能である。定義では、８
ビツトの各ビツトをそれぞれ各事業体に対応させる。例
えば、０ビツト目がＡ銀行、１ビツト目がＢデパート、
２ビツト目がＣ病院、３ビツト目がＤクレジツト会社、
４ビツト目がＥ銀行といつた具合である。そして、その
ビツトに「０」が書き込まれていればその事業体キーは
必要、「１」が書き込まれていれば不要とする。例えば
下の例の様に定義されていると すると、その記憶エリアへのアクセスにはＥ銀行の事業
体キーかＢデパートの事業体キーかあるいはＡ銀行の事
業体キーかのいずれかが入力されることが必要となる。

次に、6thバイト目は前述したレコードの長さを定義
し、7thバイト目はその記憶エリアで使用可能なレコー
ド数（第５図のｍ）を定義する。以上の内、記憶エリア
スタートアドレスと、レコード長と、レコード数の定義
データはその記憶エリアにアクセスするためにアドレス
を計算するパラメータとして利用される。その他8thか
ら10thバイトまではカードシステムに他の処理機能を附
加する時に使用される定義エリアである。

次に記憶エリア管理情報の11thバイトの下位２ビツトに
は、書き込みにおける暗証番号誤入力回数が書き込まれ
る。同じく、12thバイトの下位２ビツトには読み出しに
おける暗証番号の誤入力回数が書き込まれる。この誤入
力回数の書き込みは、第６図のキー管理情報のキーエラ
ー回数とは別個に行われるものである。13thバイト目は
書き込み処理過程で次に書き込むべきレコードの番号
（アドレス）を指定する、一種のアドレスポインタであ
る。14thバイトは記憶エリアステイタスバイトであり、
11thと12thバイトのキーエラー回数が３回に達すると、
その記憶エリアへのアクセスを禁止するための記憶エリ
アロツクビツトと、その記憶エリアへのアクセスを永久
にロツクするパーマネントロツクビツトとが定義され
る。いずれのロツクビツトも読み出し及び書き込みの両
方の場合のアクセスについて定義される。なお、11thと
12thバイトの上位５ビツトは、それぞれ14thバイトの記
憶エリアロツクビツトを解除（アンロツク）した回数を
書き込むもので書き込みのロツクの場合と読み出しのロ
ツクの場合とで個別に書き込める。記憶エリアロツクビ
ツトの解除は、だれでもが自由に出来るという訳にはゆ
かず、所定の暗証番号とコマンドを入力しないと出来な
い様にされる。このアンロツクは正当なカード使用者あ
るいは事業体側の過失による暗証番号の誤入力によるロ
ツクに対する救済手段である。但し、このアンロツクが
所定回数、例えば本実施例では31回繰り返され、その
後、その記録エリアがロツク状態となつた場合には、そ
の記憶エリアは永久にロツク解除できなくなるようにす
る。その場合前述の14thバイト目の記憶エリアステイタ
ス中のパーマネントロツクビツトが書き込まれる。第８
図に記憶エリアステイタスバイトの例が示されている。
なお、記憶エリア管理情報の15th及び16thバイト目は予
備バイトである。

次に第９図、第10図及び第11図を参照して、本発明のキ
ーロツク手段を有する複合ICカードの一実施例の読み出
し及び書き込みの動作について説明する。

第９図は、第４図に示した様にホストコンピユータとIC
カード・リーダ・ライタとICカードが接続された場合
に、ICカードとリーダ・ライタの動作の基本的なフロー
を示したものである。ICカード・リーダ・ライタはカー
ド挿入部（図示せず）を備えていて、カードが挿入部に
差し込まれるとカードの電気接点５とリーダ・ライタに
設けられた接点とが接触する。なおカードとカード・リ
ーダ・ライタとの接続は金属導体の様な金属接点のみに
限るものではなく、信号がカードとカード・リーダ・ラ
イタとの間を伝送できるものであれば非接触方式の光学
的接続手段や音響的接続手段あるいは電磁誘導的接続手
段等種々の信号伝送手段が利用し得る。ICカードがICカ
ード・リーダ・ライタに挿入される接続が行われると、
ステツプ00でICカードに電源が供給され、さらにクロツ
クパルス等がカードへ送られ始める。カード側では電源
の供給を受け、クロツクパルスが入力され、動作可能な
態勢となつた事をステツプ06でリーダ・ライタに知らせ
る。ステツプ02でリーダ・ライタはホストコンピユータ
からのコマンドをカードへ転送する。コマンドには暗証
番号の転送、読み出しあるいは書き込みの命令等があ
り、個々のコマンド毎に第９図の00〜09までのステツプ
が実行される。カードはステツプ07でコマンドを受け取
ると、そのコマンドをステツプ08で実行し、ステツプ09
でコマンドを実行した結果をリーダ・ライタに転送す
る。リーダ・ライタはステツプ03でコマンドが実行され
た結果を受け取ると、次のコマンドがホストコンピユー
タから入つているかチエツクし、入つていればステツプ
02に戻り、上述の手順を繰り返す。すべてのコマンドの
処理が終了するとリーダ・ライタはカードへの電源の供
給等を停止しICカードの動作を終了させ、処理が終つた
事を表示する等の必要な動作を行う。

第10図は本発明のキーロツクが行うことのできる複合IC
カードの読み出し及び書き込み動作の手順を示したフロ
ーチヤートであり、第９図のステツプ07,08,09を詳細に
表わしている。第10、第11図の実施例ではキー（暗証番
号）すなわち符号の種類が全部で11ケ設定されており、
従つてシステムエリアの暗証番号エリアはNo.1キーから
No.11キーの11ケの暗証番号記憶部から成る。又、キー
ロツクエリアも同様に11ケのキー管理情報のエリアから
成る。そして、キーエラー回数が16回に達すると、キー
ロツクがされる。

第10図のフローチヤートを以下説明する。まず、カード
使用者がICカードをリーダ・ライタに挿入し、何を行い
たいのか指示し、それに必要な暗証番号が入力され、さ
らに、データが打ち込まれる。カードが挿入されると、
ステツプ１で初期設定が行われる。次にステツプ２で最
初のコマンドあるいはデータが入力される。これにはリ
ーダ・ライタからICカードへの暗証番号の転送命令、読
み出し命令及び読み出す記憶エリアの指定、書き込み命
令及び書き込むべき記憶エリアの指定並びに書き込みデ
ータ等の入力がある。ステツプ３では暗証番号（キー）
が入力（転送）されたかどうかチエツクされる。転送さ
れた暗証番号はICカードのRAM403に一時保持される。ス
テツプ４では転送された暗証番号が該当するキーロツク
エリアのキー管理情報を読み出す。ステツプ５で、読み
出したキー管理情報のキーロツクビツトが“1"かどうか
判定する。もし“1"でなく“0"であればそのキー（暗証
番号）はすでにロツク（使用禁止）状態であるので、ス
テツプ６でリーダ・ライタに対してそのキーがロツク状
態である旨通知する。ステツプ５でキーロツクビツトが
“1"であれば未だキーはロツクされていないので、ステ
ツプ７で暗証番号エリアから対応する番号のキーを読み
出す。次に、ステツプ８で転送されたキーと暗証番号エ
リアから読み出したキーとが照合され一致するかどうか
判定される。もし一致すれば、転送されたキーは正しい
キーであり、次のステツプ９で一致したという事をRAM4
03に記憶する。次に、ステツプ95でキー管理情報（第６
図）のキーエラーカウント（キー誤入力回数）をクリア
して0000にリセツトする。そしてステツプ10でリーダ・
ライタに対してキー転送コマンドに対する処理が終了し
た事を通知し、次のコマンドあるいはデータを受け入れ
る態勢となる。もし、ステツプ８でキーの照合結果が一
致しなければ、ステツプ11でその事をRAM403に記憶す
る。次にキー管理情報のキーエラーカウント（第６図の
キー誤入力回数）を１インクリメントする。ステツプ13
では、インクリメントされたキーエラービツトが0000に
なつてキーエラーカウントが16回かどうか判定される。
ここでキーエラービツトが0000となつているということ
は1111から１インクリメントして0000となつた事を意味
し、キーエラー回数が16回に達したことを表わしてい
る。その場合、ステツプ14でキーロツクビツトを“1"か
ら“0"に書き換える。次に、ステツプ15でリーダ・ライ
タにキーロツク状態となつた事を通知し、次のコマンド
を待つ状態となる。ステツプ13で0000でない場合、ステ
ツプ16でリーダ・ライタにキー転送コマンドに対する処
理が終了した事を通知し、次のコマンドを待つ状態とな
る。複数のキーを入力する場合は、各キー毎にキー転送
コマンドが実行されるので、例えばNo.1キーと、No.2キ
ーを使用するICカードの処理が指示され、それら２つの
キーがリーダ・ライタに入力されると、No.1キーに対す
るキー転送コマンドが指令され、実行されてステツプ16
まで来ると、次のNo.2キーの転送コマンドが実行される
必要があるので、ステツプ２に戻る。すなわち処理に必
要なキーのすべての転送コマンドが完了するまで２〜16
までのステツプが繰り返される。又、すべてのキーの転
送コマンドが完了すると、例えば、読み出しあるいは書
き込みのコマンドが実行されるので、その場合もステツ
プ16からステツプ２に戻る。ステツプ２で、読み出しあ
るいは書き込みコマンドが入力されると、ステツプ３で
はキー転送ではないのでステツプ18へ移る。ステツプ18
では読み出しコマンドか書き込みコマンドかをチエツク
され、今読み出しコマンドであるとするとステツプ19へ
移る。ステツプ19ではコマンド中で指定された記憶エリ
アの索引エリアの記憶エリア管理情報（第７図）を読み
出す。記憶エリア管理情報の内の記憶エリアステイタス
バイト（第８図）を読み出して、ステツプ20で読み出し
ロツクあるいは読み出しパーマネントロツクかチエツク
する。読み出しがロツク状態であればステツプ21でエラ
ー表示をし、別のコマンド待ち状態となる。読み出しが
ロツク状態でなければ、ステツプ22でキーチエツクを行
う。これはセキユリテイレベルのチエツクと暗証番号の
不一致のチエツク並びに記憶エリアのロツクチエツクが
含まれる。詳細な説明は第11図を参照して後述する。キ
ーチエツク結果がOKであれば、ステツプ23で指定された
記憶エリアの読み出しが実行される。ステツプ２でのコ
マンドが書き込み命令と書き込み記憶エリアの指定と書
き込みデータとから成る書き込みコマンドの場合は、ス
テツプ24からステツプ26へと移る。読み出しコマンドで
も書き込みコマンドでもない場合はステツプ25でその他
の処理がなされて、ステツプ２へ戻る。ステツプ26では
コマンドで指定された記憶エリアの索引エリアの記憶エ
リア管理情報を読み出す。記憶エリア管理情報の内の記
憶エリアステイタスバイトを読み出してステツプ27で書
き込みロツクあるいは書き込みパーマネントロツクかチ
エツクする。書き込みがロツク状態であればステツプ28
でエラー通知をし、別のコマンド待ち状態となる。書き
込みがロツク状態でなければ、ステツプ29でキーチエツ
クを行う。キーチエツクのステツプは後述する。キーチ
エツク結果が一致であればステツプ30でデータが指定さ
れた記憶エリアに書き込まれる。

次に、第11図は第10図のキーチエツクのステツプをさら
に詳細に示したものである。この例では、先程も述べた
ように11種類の暗証番号すなわち、個人キー、管理キ
ー、発行者キーが各々１つ、並びに事業体キーが８つ設
定され、暗証番号エリアのNo.1〜No.11の番地に記録さ
れる。読み出しの場合のキーチエツク22と書き込みの場
合のキーチエツク29は基本的には同じ手順であるので、
読み出し処理の場合について以下説明する。

まずステツプ100で、指定された記憶エリアの索引エリ
アの記憶エリア定義情報を読み出す。記憶エリア定義情
報の内、読み出しセキユリテイレベル（R.S.L.）を読み
出して、ステツプ101でセキユリテイレベルビツトの最
上位ビツト（４ビツト目）が「０」（事業体キー必要）
か「１」（不要）かをチエツクする。「０」と定義され
ていればその事業体キーがすでに入力されているかどう
かステツプ102でチエツクする。入力されていなけれ
ば、ステツプ103でリーダ・ライタに対しエラー通知を
する。入力されていればステツプ104に進みセキユリテ
イレベルのチエツクを行う。なおステツプ101でセキユ
リテイレベルの最上位ビツトが「１」と定義されている
ことがチエツクされると、次のステツプ102はパスして
ステツプ104に移る。ステツプ104,106,108,112,115及び
117はセキユリテイレベルビツトの下位３桁をチエツク
して、その記憶エリアがどのセキユリテイレベルで定義
されているか知るものである。まずステツプ104でセキ
ユリテイレベルが「001」か否かチエツクされる。前述
の例では「001」は個人キーのみを必要とする定義であ
るので、ステツプ105で、以前ステツプ9,11で一時記憶
してあつた照合結果をRAM403から読み出し、照合結果が
一致であれば次のステツプへ進み不一致であればエラー
通知となる。ステツプ104で「001」でなければ、ステツ
プ106で「010」か否かチエツクすう。「010」であれば
再び前述の例では管理キーのみ必要であるので前のステ
ツプ9,11での管理キーの照合結果をRAM403から読み出
し、一致という結果であれば次のステツプに進み、不一
致という結果であればエラー通知をする。ステツプ106
で「010」でない場合にはステツプ108で「011」か否か
チエツクする。「011」は個人キーか管理キーかいずれ
かの暗証番号を必要とする定義であるので、ステツプ10
9で個人キーが入力されたのかチエツクする。個人キー
であつた場合はステツプ110で、ステツプ9,11で記憶さ
れた暗証番号の照合結果をRAM403から読み出し、個人キ
ーの照合結果が一致であつた場合は次のステツプへ進
み、不一致であつた場合はエラー表示をする。ステツプ
109で個人キーでない場合は、ステツプ111で管理キーの
照合結果を読み出し、一致であつた場合は次のステツプ
へ進み、不一致であつた場合はエラー通知をする。ステ
ツプ108で「011」でない場合は、ステツプ112で「100」
か否かチエツクされる。「100」の場合は個人キーと管
理キーの両方の暗証番号が必要であるので、ステツプ11
3で個人キーの照合結果が読み出され、一致であつた場
合はステツプ114で管理キーの照合結果が読み出され、
一致であつた場合は次のステツプへと進む。ステツプ11
3とステツプ114のいずれの場合でも照合結果が不一致の
時は、エラー通知がなされる。なお、本実施例では管理
キーを各事業体に共通のキーであるとしたが、各事業体
毎に固有のキーとしたり、あるいは、ある複数の事業体
のみ共通と設定してもよい。もし各事業体毎に固有の管
理キーを設ける場合は、記憶エリア定義情報の中にどの
管理キーが必要かを定義するビツトを設け、読み出しあ
るいは書き込みの場合、定義された管理キーをシステム
エリア中の暗証番号エリアより読み出して、入力された
暗証番号と照合される。又、ある複数の事業体が共通の
管理キーを有し、他の事業体が別の管理キーを持つ場合
も同様に、記憶エリア定義情報の中に管理キーの定義ビ
ツトを設ければよい。ステツプ112が「100」でない場合
は、ステツプ115で「101」かどうかチエツクされる。
「101」の場合は、発行者キーのみが必要なので、発行
者キーの照合結果が読み出され、一致であれば次のステ
ツプへ進み、不一致であればエラー通知がなされる。ス
テツプ115で「101」でない場合は、ステツプ117で「11
1」か否かチエツクされる。「111」でもない場合エラー
通知され、「111」の場合は、暗証番号は不要の記憶エ
リアであるのが事業体毎の情報（例えば、「銀行からの
お知らせ」）を得たい場合もあるのでステツプ119にう
つる。次に、ステツプ119で再び事業体キーが必要かど
うか記憶エリア定義情報を読み出し、R.S.L.の最上位ビ
ツトが「０」（必要）か「１」（不要）かチエツクされ
る。「０」であればステツプ9,11の照合結果を読み出
し、事業体キーが一致か不一致がチエツクされる。一致
であれば次のステツプへ進み不一致の場合はエラー通知
がなされる。ステツプ119で「１」あればステツプ120は
パスされる。ステツプ121では今までの暗証番号の照合
結果が全部チエツクされ、すべての暗証番号が一致かど
うかチエツクされる。すべての暗証番号が一致であつた
なら、ステツプ122で記憶エリア管理情報の読み出しキ
ーエラー回数を零にリセツトして、キーチエツクを終了
する。ステツプ121で１つでも暗証番号の不一致がある
とチエツクされた場合、読み出しキーエラー回数ビツト
を読み出す。ステツプ124で、キーエラー回数ビツトが
０回の場合、ステツプ125でキーエアー回数ビツトの回
数を１インクリメントして１回とする。ここで、注意し
たいのは、このキーエラー回数ビツトは記憶エリア管理
情報中のキーエラー回数ビツトであつて、キーロツクエ
リアのキーエラービツトとは別であることである。ステ
ツプ126で読み出したキーエラー回数が１回の場合はス
テツプ127で１インクリメントして２回とする。さら
に、ステツプ126で、読み出したキーエラー回数が２回
の場合、ステツプ129でキーエラー回数を１インクリメ
ントして３回とし、その上ステツプ130で記憶エリア管
理情報の記憶エリアステイタスバイトに読み出しロツク
を書き込み、ステツプ131でエラー表示をする。以上が
キーチエツクの手順である。

なお、カード所有者が事業体キーの定義されている記憶
エリアにアクセスする場合には、所有者は事業体キーを
知らされていないので、個人キーとコマンドを入力をす
ればホストコンピユータ側からICカードへ自動的に該当
する事業体キーを転送するようにすればよい。その場
合、カード所有者には事業体キーを知られないよう外部
表示はされず、カード内部で処理される。

以上述べたような手順で暗証番号の誤入力回数が16回に
達すると、その暗証番号によるICカードの処理は以後不
可能となる。所が、第三者の故意の誤入力や、あるいは
カード所有者本人の記憶違いに等による誤入力によつ
て、意に反して暗証番号がロツクされてしまい、その暗
証番号によつてしかアクセスできないような記憶エリア
のデータ処理が不可能となつてしまつた場合に、何らか
の救済手段を設けて、キーロツクを解除することが考え
られてもよい。第12図には本発明のICカードに適用でき
る、その様なキーロツク解除の手順を示している。この
救済手段はキーエラービツトを利用するもので、特定の
暗証番号とキーロツク解除コマンドを入力することによ
り、キーロツクとなつた暗証番号のロツクを解除して再
び使用できるようにするものである。このキーロツク救
済手段を必要に応じて本発明のICカードに適用すればよ
り、ICカードの利便性が高まり、同時にキーロツクとい
うICカードのセキユリテイをも維持できるものである。

まずICカードがリーダ・ライタに挿入され、キーロツク
解除コマンドと、それに必要な暗証番号と、どの暗証番
号のロツクを解除したいかの暗証番号の形式（例えば、
個人キー、あるいは事業体キー）の入力が行われる。そ
してステツプ201でICカードが初期設定される。次に、
ステツプ202でキーロツク解除コマンドかどうか判定さ
れ、ノーであればステツプ203でその他の処理とされ
る。ステツプ204では入力された暗証番号が正しいかど
うか、暗証番号エリアの対応する暗証番号を読み出して
照合する。この場合の暗証番号をどの暗証番号に設定す
るかは、ICカードシステムを作る際に任意に設定され
る。例えば個人キーとしておけば、第三者による誤入力
によつてある暗証番号が不本意にロツクされても、カー
ド所有者が個人キーを記憶している限り、自ら、キーロ
ツク解除を行うことが可能である。又、個人キーでな
く、発行者キーとしておけば、カード所有者の記憶違い
によつて誤入力となつて個人キーがロツクされた場合で
も、発行者のもとで、カードの正当な所有者であること
を証明して個人キーのロツクを解除してもらうことがで
きる。その他のキーあるいは、複数のキーの全部ないし
はどれか１部のキーとすることも、ICカードのシステム
としてあらかじめ設定することが可能である。次に、ス
テツプ206で解除を指示された暗証番号に対応するキー
ロツクビツトを“0"から“1"に書き換える。ステツプ20
7ではキーロツクが解除されたかどうか判定するため、
キーロツクビツトが“1"かどうか、及びキーエラービツ
トが0000となつているかどうかチエツクする。もし、ス
テツプ207でノーとなれば、ステツプ208でリーダ・ライ
タに対してキーロツク解除が不成功の旨通知する。も
し、キーロツク解除が正しく行われた場合は、ステツプ
209でキーロツク解除が終了した旨リーダ・ライタに通
知して完了する。

以上説明した実施例は、銀行、病院、デパート、クレジ
ツト会社が参加する複合ICカードであつたが、本発明が
適用される複合ICカードはこの実施例の事業体に限るも
のではなく、他に、文化施設、官公庁、学校、図書館、
レジヤー施設、ホテル、交通機関等様々な事業体及び個
人単位でも参加することができ、複合カードの利便性と
各事業体間の情報の機密性を保ちつつ、カードの不正使
用を防止することが可能となる。さらには、本発明は冒
頭でも述べたように、複合ICカードのみならず、複数の
暗証番号が設定されたICカードであれば単一事業体用の
ICカードでも適用でき、上述の実施例と同一な効果が得
られる。

【図面の簡単な説明】 第１図は一般的なICカードの平面図、第２図は第１図に
おけるＡ−Ａ′線に沿つた断面を示す断面図、第３図は
ICカードの回路構成を示すブロツク図、第４図はICカー
ドを挿入して使用するICカード・リーダ・ライタおよび
そのホストコンピユータを概略を示す図、第５図は本発
明の実施例における書き込み可能なメモリの構成を示す
図、第６図はキー管理情報エリアの１つの構成を示す
図、第７図はメモリのユーザエリア内の索引エリアの構
成を示す図、第８図は索引エリアの記憶エリア管理情報
の内、記憶エリアステイタスバイトの構成を示す図、第
９図はICカード・リーダ・ライタとICカードとの間の動
作の基本的な手順を示すフローチヤート、第10図は本発
明によるキーロツク動作を含む複合ICカードの読み出し
及び書き込みの一実施例を示すフローチヤート、第11図
は第10図のフローチヤートの内、キーチエツクのステツ
プのさらに詳細なフローチヤート、第12図はキーロツク
を解除するための手順を示したフローチヤートである。 １……ICカード、４……ICモジユール、５……接続端
子、40……CPUチツプ、401……CPU、402……ROM、403…
…RAM、411……EEPROM。

Claims (3)

【特許請求の範囲】
1. 【請求項１】制御手段と、記憶手段とを内蔵し、外部よ
   り第１の符号が入力されるとその入力された第１の符号
   と所定の第２の符号とが一致した場合にのみICカードへ
   アクセスできるようにしたICカードであって、 前記ICカードには複数の異なる前記第２の符号が設定さ
   れており、 前記記憶手段は、情報を書き込み可能な複数の記憶エリ
   ア部と複数の互いに異なる前記第２の符号を記憶する符
   号記憶部と前記第２の符号の管理をするための符号管理
   情報記憶部とを有し、 前記複数の記憶エリア部は、各々前記複数の第２の符号
   の内の一つあるいはそれ以上の該第２の符号が設定さ
   れ、 前記制御手段は、所望の前記記憶エリア部へのアクセス
   のために外部より入力された前記第１の符号と前記符号
   記憶部に記憶され該所望の記憶エリア部に設定された前
   記第２の符号とを照合する照合手段と、該照合手段によ
   る照合結果が不一致の場合にその不一致の回数をカウン
   トして積算するエラーカウント手段と、該エラーカウン
   ト手段があらかじめ定めた所定回数前記不一致を積算し
   た場合に当該積算が発生した前記第２の符号を前記符号
   管理情報記憶部に禁止符号として示す符号ロック通知手
   段と、前記符号管理情報記憶部に示された禁止符号と一
   致する第１の符号が外部より入力された場合に、禁止符
   号とされた前記第２の符号が設定された記憶エリア部へ
   のアクセスを禁止する符号ロック手段とを有することを
   特徴とするICカード。
2. 【請求項２】特許請求の範囲第１項記載において、前記
   符号ロック手段は前記複数の第２の符号の各々に対応し
   て設けられ、前記符号管理情報記憶部は前記複数の第２
   の符号の内どれが前記禁止符号でどれが使用可能である
   かを指示し、該禁止符号の指示は外部より所定の第３の
   符号と解除命令とによって解除されて使用可能な指示に
   書換えられることを特徴とするICカード。
3. 【請求項３】特許請求の範囲第２項記載において、前記
   第３の符号は前記複数の第２の符号の少なくとも一部で
   あることを特徴とするICカード。