JPH0726775Y2 - Ｉｃカ−ド - Google Patents

Description

【考案の詳細な説明】 〔産業上の利用分野〕 本考案は、EP-ROM或いはEEP-ROM等の不揮発性半導体メ
モリより成る記憶手段と、該記憶手段に対するデータの
書込み、読出し等のデータ処理を制御するマイクロコン
ピュータ等より成るデータ処理制御手段とを備えたICカ
ードに関するものである。

〔従来の技術〕

上記ICカードは、旧来の磁気カードと比較して、データ
の記憶容量が大きいこと、およびデータのセキュリティ
管理が比較的容易に行なえること、等の利点を有してい
る。

例えば特公昭60-1666号や特開昭59-75380号において
は、ICカード内の記憶手段の一部に予め記憶書込みされ
て成る秘密コードと、該秘密コードに対応して外部から
ICカードに対して与えられる照合コードとを、ICカード
内のデータ処理制御手段にて所定の手法で比較し、その
結果、正当な照合のとれた場合のみ、記憶手段内のデー
タメモリエリアに対するアクセスを許可し、また所定の
回数だけ連続して照合に失敗した場合には、カードディ
ゼーブル情報記憶エリアにカードの無効化を示すデータ
を記憶書込みし、以後における当該ICカードの有効性を
剥奪する構成が開示されている。

〔考案が解決しようとする問題点〕

上記秘密コードの種類としては、カードの所有者の正当
性を認証するための個人用照合番号のみでなく、カード
発行者の正当性を認証するための発行者IDコードや、同
一流通体系内のカードやカードアクセスツールであると
いうことを認証するためのグループIDコード等、ICカー
ド自体の正当性あるいはICカードに対するアクセスツー
ルの正当性を判定するのに用いられる種類の秘密コード
もあり、これらの秘密コードの管理に失敗したときに
は、不正なカードアクセス用ツールによってデータの改
ざん等が行なわれる恐れも発生する。

ところで上記の発行者IDコードやグループIDコード等の
如く、カードアクセスツールの正当性をカード側で判定
するために用いられる秘密コードは、カードの所有者に
よってキーボードより打ち込まれる個人用照合番号とは
異なり、個々のアプリケーションの中で所有者の意志と
は無関係にカードアクセスツール側より照合対象データ
がICカードに与えられて、カード側でその照合を実行す
るというケースが多くなる。従ってカード所有者が善意
に基づく（悪意のない）誤りによって流通グループ外の
カードアクセスツールに自分のICカードを挿入した場合
でも、カード内では上記のカードアクセスツールの正当
性を判定するための照合が実行され、当然ながら照合に
失敗することになる。また、このようにして所定の回数
（１回も含む）に渡って連続して照合に失敗すると、カ
ード所有者の善意による誤まりの場合でも、あたかも悪
意による不正アクセスを排除する場合と同じくカードは
無効化されてしまうことになるが、その結果、カード利
用者の間でICカードに対する拒否感を引き越こしかねな
いという問題点が生ずる。一方、上記のような悪意のな
い場合の誤挿入によるカードの無効化を避けようとする
と、従来においては、ICカード内部においてカードアク
セスツールの正当性を判定し、その結果によってはカー
ド内部で自分自身の無効化処理を行なうという高度のセ
キュリティ機能を諦めてしまう他はなく、その結果、例
えばカードアクセスツールの正当性照合失敗時でも自分
自身を無効化処理する機能は欠落して、不正なカードア
クセスツールによる攻撃の繰り返しを防止できない、著
しくセキュリティ・レベルの低いICカードしか実現でき
なくなってしまっていた。

本考案の目的は、上記のような善意に基づくカードの流
通グループ外アクセスツールへの誤挿入に対してはカー
ドを無効化することなくカードの誤挿入を識別すること
ができ、しかも悪意に基づく不正なカードアクセスツー
ルによるカードへのアクセスは、カード自体の無効化に
よって確実に排除できるICカードを提供することにあ
る。

〔問題点を解決するための手段〕

上記の目的を達成するための本考案の構成を、第１図に
基づいて説明する。

記憶手段は、カードアクセスツールの正当性を判定する
ための秘密コードを記憶する秘密コードメモリエリア
と、ICカード自体が無効状態にあることを示すデータを
記憶するためのカードディゼーブル情報記憶エリアと、
予備照合コードを記憶する予備照合コード記憶エリアと
を含んでいる。データ処理制御手段は、前記秘密コード
に対応してカードアクセスツール側よりICカードに与え
られる照合対象データと前記秘密コードとの間の照合を
判定する照合判定手段と、該照合判定手段による照合に
失敗したときに、前記カードディゼーブル情報記憶エリ
アにカードの無効化を示すデータを記憶書込みするため
のカードディゼーブル書込み制御手段の他に、前記予備
照合コードに対応してカードアクセスツール側よりICカ
ードに与えられる予備照合用データと前記予備照合コー
ドとの間の照合を判定する予備照合判定手段と、該判定
結果に従って前記照合判定手段に前記照合対象データと
前記秘密コードとの間の照合の実行を許可する照合制御
手段とを含んでいる。

以上の構成において、前記予備照合コードに対応してカ
ードアクセスツール側よりICカードに与えられる予備照
合用データと前記予備照合コードとの間の照合を予備照
合判定手段にて判定し、その結果を受けて、照合に成功
した場合のみ、照合制御手段が前記照合判定手段に前記
照合対象データと前記秘密コードとの間の照合の実行を
許可する。

なお所定の秘密コードの照合に成功した場合には、読出
し手段や書込み手段を介して、記憶手段のデータメモリ
エリアへのアクセスの実行が可能となる。またICカード
と外部との間のデータの送・受信は、所定のシリアル通
信手段を介して行なわれる。

〔実施例〕

以下、本考案の実施例を図に従って説明する。第２図〜
第６図は、本考案の１実施例によるICカードを示す。

第２図はICカードと親機のシステム構成を示すブロック
図であり、（ａ）はICカード側を、また（ｂ）はリーダ
・ライタ機能を含む親機（ICカード用端末）側を示す。

ICカード１は、CPU2、データ等の一時的記憶用のRAM3、
プログラム記憶用ROM4、I/Oポート５、およびバスライ
ン６等より成るマイクロコンピュータ部と、不揮発性半
導体メモリより成る記憶手段としてのEEP-ROM7より構成
される。なお本実施例においては、EEP-ROM7は、I/Oポ
ート５を介してマイクロコンピュータ部からアドレス信
号、制御信号を受けたりデータ信号の授受を行うことに
よって、データ書込みや読出しが行なわれるように構成
されているが、MNOSあるいはFAMOS等より成るEEP-ROM7
とマイクロコンピュータ部とを合わせて１つのICチップ
として構成することも可能である。

一方、親機10は、CPU11、RAM12、V-RAM（ビデオRAM）1
3、ROM14、I/Oポート15、バスライン16、表示コントロ
ーラ17、表示部18、およびキーボード19より構成されて
いる。親機10のI/Oポート15の一部より導出されている
リセット信号供給端子10a、クロック信号供給端子10bお
よび送・受信用シリアル通信端子10cは、それぞれICカ
ード１側のリセット端子1a、クロック信号入力端子1bお
よび送・受信用シリアル通信端子1cと対応して設けられ
ているもので、ICカード１が親機10に取り込まれている
状態においては、上記の対応する端子が互いに接続し合
うように構成されている。

なおICカード１側と親機10側とは、上記の端子の他、電
源の供給用端子および受給用端子も有しているが、第２
図においては、電源関係のブロックおよびラインは、図
の簡素化のために全て省略されている。

次に第３図は、記憶手段として設けられたEEP-ROMの概
略的なメモリエリア分割状態を示すマップ図である。本
実施例のEEP-ROM7は、複数種類の秘密コードを記憶する
ための秘密コードメモリエリア20、後述の照合の連続失
敗回数を記憶するための照合連続失敗回数カウンタエリ
ア30、カードを無効化するためのデータ（以下カード無
効化マークと称する）を記憶するために設けられたカー
ドディゼーブル情報記憶エリア40、予備照合コード記憶
エリア50および一般データを記憶するためのデータメモ
リエリア60等に分割されている。

また秘密コードメモリエリア20は、カード発行者を照合
するためのカード発行者IDコード、カードの所有者を照
合するための所有者IDコード、およびカードの有効流通
グループ等を照合するためのグループIDコードの３種類
の秘密コードをそれぞれ記憶するための各記憶エリア2
1、22、および23より構成されており、このエリアに関
する記憶内容のICカード外部への直接的な読出しは全て
禁止されている。なお上記グループIDコードは、例えば
特定の複数のカード発行者が互いに他の発行者により発
行されたカードを相互に受入れるグループを形成してい
る場合に、そのグループを特定するためにグループ内の
各親機で共有される秘密コードであり、その意味ではIC
カード用端末器（カードアクセス用ツール）の正当性を
確認するためのホスト機器秘密コードとしての機能を果
たしているものである。

さらに照合連続失敗カウンタエリア30は、カード発行者
IDコード、所有者IDコードおよびグループIDコードのそ
れぞれの照合の連続失敗回数を各独立的に記憶しておく
ための発行者照合連続失敗回数カウンタ31、所有者照合
連続失敗回数カウンタ32、グループ照合連続失敗回数カ
ウンタ33より構成されている。

また予備照合コード記憶エリア50は、カード発行者IDコ
ードまたはグループIDコードに関する照合実行に先立っ
て、予備的にカードとカード用端末器との流通上の相互
適合性（カードの有効流通範囲グループに関わる適合性
等）を判定するのに用いられる予備照合コードを記憶す
る領域である。従って該予備照合コードについては、必
ずしも秘密性を保つ必要はなく、例えば対外的に完全に
オープンなグループ・コードというような性質であって
もよい。

次に第４図〜第６図は、ICカード１のROM4内のプログラ
ムの要部に対応するフローチャート図であり、以下、こ
れらの図に従って本実施例におけるデータ処理について
説明する。

まず第４図は、メインルーチンを示すものであり、親機
10からのリセット信号に引き続いて動作がスタートし、
親機10からのコマンド受信ステップM1へと進む。次にス
テップM2、M3でEEP-ROM7のカードディゼーブル情報記憶
エリア40を参照し、ディゼーブルフラグがあってカード
自体が無効化されていることが検出された場合には、受
信したコマンドに応じた処理を行うことなく、カードが
ディゼーブル化されていることを親機10側に返信するス
テップM9に進んで処理を終了する。

一方、ディゼーブルフラグがない場合には、受信したコ
マンドの内容に応じた処理のステップへと進む。すなわ
ち秘密コード書込みコマンドの場合にはステップM4より
秘密コード書込みサブルーチンM10に、予備照合要求コ
マンドの場合にはM5より予備照合サブルーチンM11に、
照合要求コマンドの場合にはM6より照合サブルーチンM1
2に、データメモリエリア60へのアクセス要求コマンド
の場合にはM7へと、それぞれ進む。ここでデータメモリ
エリア60へのアクセス要求コマンドの場合には、グルー
プIDコードと所有者IDコードの照合を既に行なっている
ことがアクセス許可の条件であるために、ステップM8で
これらの照合実行フラグ（後述のようにRAM3内）がセッ
トされているかどうかを調べ、照合実行済でない場合に
は親機10に対してM13で否定応答を行ない、また照合実
行済である場合には親機10からの要求に従ってデータメ
モリエリア60への読出しや書込み等のアクセスを実行す
る処理へと進む。

さらに上記の各処理が終了して各サブルーチンよりリタ
ーンすると、再びスタートに戻って親機10からの次のコ
マンドを待つというように、親機10から電源供給を絶た
れて排出されるまでメインルーチンの繰り返しを行うこ
とになる。

次に第５図は、予備照合サブルーチンを示すフローチャ
ート図である。

ここではまずステップY1でEEP-ROM7の予備照合コード記
憶エリア50から予備照合コードを参照し、前述のステッ
プM1で予め親機10から送られてきていた予備照合用デー
タとステップY2で照合を行う。この結果、照合に成功し
た場合にはY3でRAM3内の予備照合フラグをセットし、ま
た照合に失敗した場合にはY4で親機10に対して否定応答
を行った後リターンする。

なお上記予備照合コードに関する照合に失敗した場合に
も、本実施例では失敗回数をカウントしたり、カードを
無効化したりするような処理は全く行っていない。

次に第６図は、照合サブルーチンを示すフローチャート
図である。

ここではまずステップS1、S2でRAM3内の予備照合フラグ
エリアを参照して、予備照合フラグがセットされている
かどうかを調べる。この結果、予備照合フラグがセット
されていない場合には、直ちにステップS9で親機10に否
定応答を行ってリターンする。すなわち、この場合には
秘密コードに関する照合の実行自体が許可されないこと
になるために、たとえ流通範囲において適合しないカー
ド用端末器に誤ってカードが差し込まれるようなことが
あったとしても（或いは連続してあったとしても）、カ
ードが無効化されてしまうようなことはない。

一方、予備照合フラグがセットされている場合には、予
めステップM1で親機10から照合を行うことを指定された
種類の秘密コードを、ステップS3で秘密コードメモリエ
リア30より読込んでくる。この読込まれた秘密コード
と、前記指定種類の秘密コードに対応して親機10から送
られてきた照合データとの間で、所定のアルゴリズム等
に基づいた照合をS4で実行し、照合に失敗した場合に
は、照合連続失敗カウンタエリア30のうちの照合対象の
秘密コードに対応したカウンタ部をインクリメントする
ステップS5へと進む。さらにステップS6に進み、該カウ
ンタ部の内容が３となっている（すなわち照合に連続し
て３回失敗している）かどうかを調べ、３になっている
場合には、カードディゼーブル情報記憶エリア40内に、
対応するカードディゼーブルフラグ（カード無効化フラ
グ）を書込むステップS7へと進んだ後、S8で親機10側に
カードの無効化を返信してリターンする。また前記カウ
ンタ部が３未満の場合には、親機10に対して否定応答を
行うステップS13へと進んでからリターンする。

すなわち予備照合自体については、仮に予備照合コード
が公開されていない場合であっても、照合を成功するに
至るまで予備照合コードを探り当てるための試みを重ね
ることも可能かもしれないが、善意の親機10は、それが
いずれの流通範囲に属するものであっても、それぞれ自
己の流通範囲に対応する正しい予備照合コードと秘密コ
ードの両方を知っており、仮に善意の誤りによって流通
範囲外のICカードが挿入されたとしても、自己の保持し
ている予備照合コードによる予備照合に失敗しながら、
なおかつ自己の流通範囲とは別の予備照合コードによる
照合を行なうという必然は無く、従って秘密コードの照
合の実行自体が許可されることもないために、結局、善
意の誤りによるカードの誤挿入に対して、カードの無効
化処理が行なわれることは防止される。これに対して、
予備照合に成功するということは、善意の親機10による
ものである限り、挿入されたカードと流通範囲が合致し
ており、当然ながら当該流通範囲に対応する正しい秘密
コードも知っているということを意味しているために、
逆に言えば予備照合コードに関する照合に成功しなが
ら、しかも秘密コードの照合に失敗するということは、
カードの流通範囲を承知の上で、データの改ざん等を目
的として不正なカードアクセスツールを用いているもの
と断定してよい根拠となるために、その場合にはカード
自体の側から積極的にカード自身を無効化する処理を行
うことにより、カードに対する不正なアクセスの試みを
断ち切ることが必要となる。

一方、照合に成功した場合には、S4よりRAM3内の照合実
行フラグ部のうちの、照合に成功した秘密コードの種類
に対応した照合実行フラグをセットするステップS10へ
と進んだ後、さらに照合連続失敗カウンタエリア30のう
ちの、照合対象の秘密コードに対応したカウンタ部をク
リアするステップS11に進み、親機10側に照合に成功し
たことを返信するステップS12を経てリターンする。

なお、メインルーチンのうち秘密コード書込みサブルー
チンについては本考案の要旨と直接関係はないために、
説明は省略する。

〔考案の効果〕

以上に述べたように本考案のICカードにおいては、予備
照合コードに関する照合に予め成功していなければ、カ
ードアクセスツールの正当性を判定するための本照合と
もいうべきカード発行者IDコード或いはグループIDコー
ド等の秘密コードに関わる照合の実行自体が許可されな
いために、結局、これらの秘密コードの照合に失敗した
ということは、直ちにカードアクセスツールに不当性が
あるという判定を下してもよい根拠が得られたというこ
とになる。また本考案のICカードにおいては、流通範囲
外のICカード用端末器に対するカード所有者による悪意
のない誤挿入については、カード用端末器の正当性の判
定に関わるような重要な種類の秘密コードの照合の実行
自体が許可されないために、誤挿入が直ちにカードの無
効化につながるようなことも防止される。

すなわち本考案によれば、正規のカードアクセスツール
においては、自己の流通範囲に対応する正しい予備照合
コードと秘密コードとを知っており、従って悪意のない
限り、自己に割り当てられた予備照合コード以外のコー
ドを使用してまで予備照合を実行する必要は無いことか
ら、善意の誤挿入の場合には、本番の秘密コードの照合
自体が許可されることはなく、自動的にカードの無効化
処理が引き起こされることも防止される。また逆に、予
備照合コードによる照合に成功するということは、正当
なカードアクセスツールであれば、当然に秘密コードの
照合にも成功しなければならないということを意味して
おり、従って予備照合コードの照合には成功しながら、
しかも秘密コードの照合には失敗したという場合には、
正規のカードアクセスツール以外からの悪意による攻撃
と判定して、カードが自身を無効化処理するための根拠
が与えられたこととなる。この結果、本考案によるICカ
ードにおいては、悪意による不正なカードアクセスツー
ルからの攻撃については、カード自体による自身の無効
化処理によって確実に排除しながら、しかも悪意のない
誤りによる不適合なカードアクセスツール（カード用端
末器）への誤挿入に対しては、カードの無効化が行なわ
れることを防止できる。すなわち、予備照合の成功が本
番の秘密コードの照合実行許可のための条件となってい
るということは、本考案における予備照合機能が、カー
ドアクセスツールの正当性判定のための本番の照合実行
に先立って、その本番の照合に失敗した場合には、悪意
のない単なる挿入ミス等ではなく、不正なカードアクセ
スツールの介在によるものであると判定して、ICカード
が直ちに自分自身を無効化処理することのできる客観的
な根拠を予め準備しておくための手段として機能してい
ることを示している。

なお前述の実施例においては、いずれの秘密コードに関
する照合についても、３回連続して失敗するとカードを
無効化するように構成されているが、重要な秘密コード
の場合には１回の失敗（連続失敗回数が１）によってカ
ードを無効化するように構成してもよいことは明らかで
ある。

また前述の実施例においては、予備照合コードに関する
照合については、何度失敗したとしても全くカードが無
効化されるようなことはないように構成されているが、
例えば予備照合コードに関する照合にも非常な多数回に
渡って失敗した場合には、一時的或いは永久的にカード
を無効化するように構成してもよいことは明らかであ
る。但し、その場合にも予備照合コードに関する照合の
失敗の重みづけは、本番の秘密コードに関する照合の失
敗の重みづけと比較して充分に軽いものとし、日常的に
起こりうる程度のカード誤挿入の積み重ねの回数レベル
では、カードが無効化されるようなことはないように留
意する必要がある。

【図面の簡単な説明】

第１図〜第６図は本考案の１実施例によるICカードを示
すもので、第１図は機能ブロック図、第２図（ａ）およ
び（ｂ）はICカード側および親機側のシステム構成をそ
れぞれ示すブロック図。第３図はEEP-ROMのメモリエリ
アを示すマップ図、第４図〜第６図はICカード内のマイ
クロコンピュータ用プログラムの要部フローチャート図
であり、第４図はメインルーチンを、また第５図は予備
照合サブルーチンを、第６図は照合サブルーチンをそれ
ぞれ示すフローチャート図。 １……ICカード、４……ROM、５……I/Oポート、７……
EEP-ROM、10……親機、1c、10c……シリアル通信端子、
20……秘密コードメモリエリア、30……照合連続失敗カ
ウンタエリア、40……カードディゼーブル情報記憶エリ
ア、50……予備照合コード記憶エリア、60……データメ
モリエリア

Claims (1)

【実用新案登録請求の範囲】
1. 【請求項１】不揮発性半導体メモリより成る記憶手段
   と、該記憶手段に記憶されるデータの書込みおよび読出
   し等のアクセスを制御するためのデータ処理制御手段と
   を有し、前記記憶手段はカードアクセスツールの正当性
   を判定するための秘密コードを記憶する秘密コードメモ
   リエリアと、ICカード自体が無効状態にあることを示す
   データを記憶するためのカードディゼーブル情報記憶エ
   リアとを含み、前記データ処理制御手段は前記秘密コー
   ドに対応してカードアクセスツール側よりICカードに与
   えられる照合対象データと前記秘密コードとの間の照合
   を判定する照合判定手段と、該照合判定手段による照合
   に失敗したときに、前記カードディゼーブル情報記憶エ
   リアにカードの無効化を示すデータを記憶書込みするた
   めのカードディゼーブル書込み制御手段とを含んで成る
   ICカードにおいて、前記記憶手段はICカードの流通範囲
   に対応して設定された予備照合用コードを記憶するため
   の予備照合コード記憶エリアを含み、前記データ処理制
   御手段は前記予備照合コードに対応してカードアクセス
   ツール側よりICカードに与えられる予備照合用データと
   前記予備照合コードとの間の照合を判定する予備照合判
   定手段と、該判定結果に従って前記照合判定手段に前記
   照合対象データと前記秘密コードとの間の照合の実行を
   許可する照合制御手段とを含んでいることを特徴とする
   ICカード。