JPH0935018A - 携帯可能情報記録媒体およびそのアクセス方法 - Google Patents

Abstract

(57)【要約】 【課題】 十分なセキュリティを確保しつつ、ＩＣカー
ドに対する外部アクセスを効率的に行う。 【解決手段】 ＣＰＵ１２が直接実行可能なインストラ
クションコードからなるプログラムを用意し、これを書
込コマンドを用いてＩＣカード内のＥＥＰＲＯＭ１５に
書込む。このＥＥＰＲＯＭ１５内には、予め所定の実行
条件を書込んでおく。ここで、リーダライタ装置２０か
ら、所定のプログラム実行コマンドを与えると、ＣＰＵ
１２は、プログラム内のインストラクションコードを先
頭から順にＲＡＭ１４へ読出し、実行条件を満足してい
る場合にのみ、これを実行する。実行条件を満足してい
ないインストラクションコードに遭遇したら、実行を中
断し、リーダライタ装置２０に対してエラーを示す情報
をレスポンスとして返送する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は携帯可能情報記録媒
体およびそのアクセス方法、特に、ＣＰＵを内蔵したＩ
Ｃカードに対して利用するのに適した新規なアクセス方
法に関する。

【０００２】

【従来の技術】磁気カードに代わる次世代の携帯可能情
報記録媒体として、ＩＣカードが注目を集めている。最
近では、半導体集積回路の小型化、低コスト化のための
技術進歩により、実社会の種々のシステムにおいてＩＣ
カードが実用されるに至っている。

【０００３】特に、ＣＰＵを内蔵したＩＣカードでは、
単なる情報記録媒体としての機能だけではなく、情報処
理機能が付加されるため、高度なセキュリティを必要と
する情報処理システムへの利用が期待されている。現在
普及している一般的なＩＣカードは、ＣＰＵと、このＣ
ＰＵによってアクセスされる３種類のメモリ、すなわ
ち、ＲＯＭ，ＲＡＭ，ＥＥＰＲＯＭを有している。ＲＯ
Ｍ内には、ＣＰＵによって直接実行可能なインストラク
ションコードからなるプログラムが記憶されており、Ｃ
ＰＵはこのプログラムに基いて、ＩＣカードを統括制御
する機能を有する。ＲＡＭは、ＣＰＵがこのような統括
制御を行う上での作業領域として使用されるメモリであ
る。一方、ＥＥＰＲＯＭは、ＣＰＵを介してデータの読
出しおよび書き込みが可能な不揮発性メモリであり、こ
のＩＣカードに記録すべき本来のデータを格納するため
に用いられる。

【０００４】通常、ＥＥＰＲＯＭへのアクセスは、すべ
てＣＰＵを介して行われ、外部からＥＥＰＲＯＭを直接
アクセスすることはできない。このため、ＥＥＰＲＯＭ
内に格納される個々のファイルごとに様々なアクセス権
を設定することができ、高度なセキュリティを確保する
ことが可能になる。ＩＣカード内のＥＥＰＲＯＭに対し
て、外部から何らかのアクセスを行いたい場合には、必
ずＣＰＵに対して、外部から所定のコマンドを与えると
いう方法をとることになる。たとえば、ＥＥＰＲＯＭ内
の所定のファイルへデータの書き込みを行う場合は、所
定の書込コマンドとともに書込対象となるデータをＣＰ
Ｕに与え、ＣＰＵによる書込コマンドの実行という形式
で書込処理が行われることになる。また、ＥＥＰＲＯＭ
内の所定のファイルからデータの読出しを行う場合は、
所定の読出コマンドをＣＰＵに与え、ＣＰＵによる読出
コマンドの実行という形式で読出処理が行われることに
なる。外部からＩＣカードに対して所定のコマンドを与
えると、このコマンドに対するレスポンスがＩＣカード
から外部に対して返送される。たとえば、書込コマンド
を与えた場合には、書込処理が支障なく実行されたか否
かを示すレスポンスが返送され、読出コマンドを与えた
場合には、読出対象となったデータがレスポンスという
形で返送されることになる。

【０００５】セキュリティ確保の上でアクセス権を設定
した場合には、特定のコマンドの実行に特定のキーが要
求されるようになる。このようなキーが要求されるコマ
ンドを実行させるためには、その前に、キーの照合を行
っておく必要がある。このようなキーの照合は、外部か
らＩＣカードに対して、照合コマンドとともに所定のキ
ーを与えることによって行われる。ＩＣカード内部で、
与えられたキーと、ＥＥＰＲＯＭ内に記録されていたキ
ーとが照合され、両者が一致していれば、特定のコマン
ドの実行が許可される。

【０００６】

【発明が解決しようとする課題】上述のように、ＣＰＵ
を内蔵した携帯可能情報記録媒体では、通常、外部から
所定のコマンドを送信し、これに対するレスポンスの返
送を受ける、という方法でアクセスが行われる。別言す
れば、携帯可能情報記録媒体にどのようなアクセスを行
わせる場合であっても、コマンド送信／レスポンス返送
／コマンド送信／レスポンス返送／…という処理を繰り
返し実行する必要がある。このようなコマンド送信およ
びレスポンス返送処理は、外部装置と携帯可能情報記録
媒体との間に形成されたＩ／Ｏラインを介して行われる
が、このＩ／Ｏラインを介したデータ転送速度は、媒体
内部におけるＣＰＵ・メモリ間のデータ転送速度に比べ
て非常に遅くなる。このため、媒体内部のＣＰＵの性能
に比して、外部から媒体をアクセスする処理には非常に
時間がかかることになる。このように、長い時間にわた
って、Ｉ／Ｏライン上に大量のデータが流れるというこ
とは、セキュリティの観点からも好ましくない。すなわ
ち、外部装置と媒体との間に形成されるＩ／Ｏライン
は、外部から物理的にアクセスすることが容易であり、
Ｉ／Ｏライン上を流れるデータは、外部から不正に観測
される可能性が高く、長時間にわたってデータ転送を行
うことは、セキュリティ確保の上から問題になる。ま
た、Ｉ／Ｏラインを介したデータ転送を行う場合、本来
転送すべきデータに、所定の伝送プロトコルに従った制
御情報（いわゆるヘッダ、フッタ情報）を付加する必要
があり、冗長性が高くなるという問題もある。このよう
に、Ｉ／Ｏラインを介したコマンド送信／レスポンス返
送という手順による媒体のアクセスは、必ずしも効率的
なものにはなっていない。

【０００７】このような問題に対する解決法として、媒
体に対するアクセス内容に応じて、その都度、インスト
ラクションコードからなるプログラムを書き、このプロ
グラムをバイナリデータとしてＥＥＰＲＯＭ内にファイ
ルとして書き込み、媒体内のＣＰＵには、このＥＥＰＲ
ＯＭ内のインストラクションコードを直接実行させると
いうアクセス方法も提案されている。この方法によれ
ば、Ｉ／Ｏラインを介したデータ転送は、プログラムを
バイナリデータとして転送するだけの短時間ですむ。以
後は、ＣＰＵはＥＥＰＲＯＭ内のプログラムを実行すれ
ばよいので媒体内だけの処理ですみ、非常に高速な処理
が可能になる。しかしながら、この方法は、セキュリテ
ィの点で大きな問題がある。すなわち、ＣＰＵの制御
は、ＲＯＭ内に用意された通常のルーチンの支配を離
れ、ＥＥＰＲＯＭ内に転送されたインストラクションコ
ードのルーチンによって完全に支配されることになる。
このため、不正利用者が、不正なプログラムをインスト
ラクションコードで記述してこの方法を利用すれば、Ｃ
ＰＵはこの不正なプログラムを忠実に実行してしまうこ
とになる。

【０００８】そこで本発明は、十分なセキュリティを確
保しつつ、外部からのアクセスを効率的に行うことがで
きる携帯可能情報記録媒体およびそのアクセス方法を提
供することを目的とする。

【０００９】

【課題を解決するための手段】

(1) 本発明の第１の態様は、ＣＰＵと、このＣＰＵに
よって直接実行可能なインストラクションコードからな
るプログラムを記憶したＲＯＭと、ＣＰＵの作業領域と
して使用されるＲＡＭと、ＣＰＵを介してデータの読出
しおよび書き込みが可能な不揮発性メモリと、を備え、
外部から与えられたコマンドに基いて、ＣＰＵがＲＯＭ
内の所定のプログラムを実行する機能を有する携帯可能
情報記録媒体において、不揮発性メモリ内に、インスト
ラクションコードからなるプログラムと、所定の実行条
件と、を書き込み、外部から所定のプログラム実行コマ
ンドを与えたときに、不揮発性メモリ内に書込まれたプ
ログラムを構成するインストラクションコードについ
て、書込まれた実行条件を満足しているか否かを判断
し、条件を満足している場合に限り、ＣＰＵが当該コー
ドを実行するように構成したものである。

【００１０】(2) 本発明の第２の態様は、上述の第１
の態様に係る媒体において、外部から所定のプログラム
実行コマンドが与えられたときに、不揮発性メモリ内に
書込まれたプログラムを構成するインストラクションコ
ードを、先頭のコードから１コードずつ順にＲＡＭへ読
出し、このＲＡＭ内において、実行条件を満足している
か否かの判断を行うようにしたものである。

【００１１】(3) 本発明の第３の態様は、上述の第１
または第２の態様に係る媒体において、条件判断の対象
となるインストラクションコードが、データ転送を行う
コードであるか否かを判断し、データ転送を行うコード
でなかった場合には、当該コードを無条件で実行し、デ
ータ転送を行うコードであった場合には、更に、実行条
件を満足しているか否かの判断を行い、当該コードの実
行可否を決定するようにしたものである。

【００１２】(4) 本発明の第４の態様は、上述の第１
〜第３の態様に係る媒体において、実行条件として、ア
クセス可能なアドレス範囲を指定するアドレス条件と、
解錠すべきキーを指定するセキュリティ条件と、を設定
したものである。

【００１３】(5) 本発明の第５の態様は、上述の第１
〜第４の態様に係る媒体において、外部から所定のプロ
グラム実行コマンドが与えられたときに、不揮発性メモ
リ内に書込まれたプログラム内に実行条件を満足してい
ないインストラクションコードが存在した場合には、プ
ログラム実行コマンドに対するレスポンスとして、エラ
ーを示す情報を外部へ返送するようにしたものである。

【００１４】(6) 本発明の第６の態様は、ＣＰＵと、
このＣＰＵによって直接実行可能なインストラクション
コードからなるプログラムを記憶したＲＯＭと、ＣＰＵ
の作業領域として使用されるＲＡＭと、ＣＰＵを介して
データの読出しおよび書き込みが可能な不揮発性メモリ
と、を備え、外部から与えられたコマンドに基いて、Ｃ
ＰＵがＲＯＭ内の所定のプログラムを実行する機能を有
する携帯可能情報記録媒体、をアクセスする方法におい
て、不揮発性メモリ内に、インストラクションコードか
らなるプログラムと、所定の実行条件と、を書き込み、
不揮発性メモリ内に書込まれたプログラムを構成するイ
ンストラクションコードが実行条件を満足しているか否
かをＣＰＵに判断させ、条件を満足している場合に限
り、ＣＰＵに当該コードを実行させるようにしたもので
ある。

【００１５】

【発明の実施の形態】前述したように、ＩＣカードをア
クセスする一方法として、インストラクションコードか
らなるプログラムをバイナリデータとして不揮発性メモ
リ内にファイルとして書き込み、ＩＣカード内のＣＰＵ
に、この不揮発性メモリ内のインストラクションコード
を直接実行させるというアクセス方法も提案されてい
る。この方法によれば、インストラクションコードの実
行がＩＣカードの内部処理で行われるため、非常に高速
な処理が可能になるが、セキュリティの点で大きな問題
がある。

【００１６】本発明は、この方法のセキュリティの面で
の問題を解決するための手法を提供するものである。本
発明に係る携帯可能情報記録媒体の内蔵ＣＰＵは、ＲＯ
Ｍ内に用意されたプログラムを実行する機能とともに、
不揮発性メモリ内に書込まれたプログラムを実行する機
能を有する。ただし、前者は無条件で実行されるのに対
し、後者は一定の条件チェックが行われることを前提と
して実行される。すなわち、不揮発性メモリ内には、プ
ログラムと所定の実行条件とが書込まれる。そして、こ
の不揮発性メモリ内に書込まれたプログラムを実行する
ときには、各インストラクションコードごとに、実行条
件を満足しているか否かが判断され、条件を満足してい
る場合に限り実行されることになる。したがって、実行
条件を適当に設定しておくことにより、必要なセキュリ
ティを十分に確保することができるようになる。

【００１７】たとえば、実行条件として、アクセス可能
なアドレス範囲を指定するアドレス条件を設定しておけ
ば、このアドレス範囲外のメモリをアクセスするような
インストラクションコードは、実行条件を満足していな
いものと判断され、実行は拒否されることになる。した
がって、重要なデータが格納されているアドレス領域に
ついては、アクセス可能なアドレス範囲から外しておく
ようにすれば、不正アクセスを防止することができる。
あるいは、実行条件として、解錠すべきキーを指定する
セキュリティ条件を設定しておけば、このキーが解錠さ
れない限り、特定のインストラクションコードの実行は
拒否されることになり、やはり不正アクセスを有効に防
止することができる。

【００１８】このように本発明によれば、十分なセキュ
リティを確保しつつ、外部からのアクセスを効率的に行
うことができるようになる。

【００１９】

【実施例】以下、本発明を図示する実施例に基いて説明
する。

【００２０】§１． ＩＣカードの一般的なアクセス方
法 はじめに、現在普及しているＩＣカードに対する一般的
なアクセス方法を説明する。図１は、一般的なＩＣカー
ド１０に、外部装置としてのリーダライタ装置２０を接
続し、アクセスを行っている状態を示すブロック図であ
る。ＩＣカード１０とリーダライタ装置２０とはＩ／Ｏ
ライン３０によって相互に接続されている。ここで、Ｉ
Ｃカード１０には、Ｉ／Ｏインタフェース１１、ＣＰＵ
１２、ＲＯＭ１３、ＲＡＭ１４、ＥＥＰＲＯＭ１５が内
蔵されている。Ｉ／Ｏインタフェース１１は、Ｉ／Ｏラ
イン３０を介してデータを送受するための入出力回路で
あり、ＣＰＵ１２はこのＩ／Ｏインタフェース１１を介
して、リーダライタ装置２０と交信することになる。Ｒ
ＯＭ１３内には、ＣＰＵ１２によって直接実行可能なイ
ンストラクションコードからなるプログラムが記憶され
ており、ＣＰＵ１２はこのプログラムに基いて、ＩＣカ
ード１０を統括制御する機能を有する。ＲＡＭ１４は、
ＣＰＵ１２がこのような統括制御を行う上での作業領域
として使用されるメモリである。一方、ＥＥＰＲＯＭ１
５は、このＩＣカード１０に記録すべき本来のデータを
格納するメモリである。

【００２１】通常、ＩＣカード１０に対しては、外部の
リーダライタ装置２０から電源やクロックが供給され
る。したがって、ＩＣカード１０がリーダライタ装置２
０と切り離されると、ＩＣカード１０への電源およびク
ロックの供給は停止する。しかしながら、ＥＥＰＲＯＭ
１５は不揮発性メモリであるため、電源供給が停止した
後もその記録内容はそのまま保持される。ただ、ＲＡＭ
１４内のデータは、電源供給の停止によりすべて失われ
る。

【００２２】ＩＣカード１０内の各メモリ１３，１４，
１５へのアクセスは、すべてＣＰＵ１２を介して行わ
れ、外部からこれらメモリを直接アクセスすることはで
きない。すなわち、リーダライタ装置２０からＣＰＵ１
２に対して所定の「コマンド」を与えると、ＣＰＵ１２
はこの「コマンド」を解釈実行し、その結果を、リーダ
ライタ装置２０に対して「レスポンス」として返送する
ことになる。たとえば、ＥＥＰＲＯＭ１５内の所定のフ
ァイルに書き込みを行う場合には、「書込コマンド」と
ともに書込対象となるデータをＣＰＵ１２に与え、ＣＰ
Ｕ１２による「書込コマンド」の実行という形式で書込
処理が行われることになる。逆に、ＥＥＰＲＯＭ１５内
の所定のファイルからデータの読出しを行う場合は、所
定の「読出コマンド」をＣＰＵ１２に与え、ＣＰＵ１２
による「読出コマンド」の実行という形式で読出処理が
行われることになる。このように、ＩＣカード１０内に
おいて「コマンド」の実行が終了すると、実行した「コ
マンド」に対する「レスポンス」が外部に対して返送さ
れる。たとえば、「書込コマンド」を与えた場合には、
書込処理が支障なく実行されたか否かを示す「レスポン
ス」返送され、「読出コマンド」を与えた場合には、読
出対象となったデータがレスポンスという形で返送され
ることになる。

【００２３】通常、ＥＥＰＲＯＭ１５内へは、ファイル
単位でデータが格納され、個々のファイルごとにそれぞ
れアクセス権が設定される。この場合、特定のファイル
に対して特定の「コマンド」を実行する場合には、所定
のキーの入力が要求される。したがって、「書込コマン
ド」や「読出コマンド」を実行する前に、所定の「照合
コマンド」を実行してキー照合を行わなければならな
い。このため、ＥＥＰＲＯＭ１５内に格納されたデータ
に対して、高度なセキュリティを確保することが可能に
なる。

【００２４】図２は、このような一般的なアクセス方法
を説明するブロック図である。ＩＣカード１０に対する
アクセスを行う場合、まず、リーダライタ装置２０から
Ｉ／Ｏライン３０を介してＣＰＵ１２へ、送信データ３
１を転送する。この送信データ３１は、ＣＰＵ１２に与
えるべき本来の「コマンド」の前後に、「ヘッダ」およ
び「フッタ」を付加したものである。この「ヘッダ」お
よび「フッタ」は、Ｉ／Ｏライン３０を介した伝送を行
う上での所定の伝送プロトコルに従った制御情報であ
る。こうして「コマンド」が転送されてくると、ＣＰＵ
１２はこれを解釈して実行し、「レスポンス」を発生さ
せる。この「レスポンス」は、返送データ３２としてリ
ーダライタ装置２０へと返送される。この返送データ３
２は、「レスポンス」の前後に、「ヘッダ」および「フ
ッタ」を付加したものである。

【００２５】ＣＰＵ１２に「コマンド」を実行させるた
めに、ＲＯＭ１３内には、個々の「コマンド」ごとにプ
ログラムルーチンが用意されている。たとえば、「書込
コマンド」、「読出コマンド」、「照合コマンド」のそ
れぞれに対応して、ＲＯＭ１３内には、「書込処理ルー
チン」、「読出処理ルーチン」、「照合処理ルーチン」
が用意されている。実際には、この他にもいくつかの
「コマンド」が定義されており、定義された「コマン
ド」には、それぞれ固有のサブルーチンがＲＯＭ１３内
に用意されていることになる。このＲＯＭ１３内のサブ
ルーチンは、ＣＰＵ１２が直接実行可能なインストラク
ションコード、すなわち、いわゆる「機械語」で記述さ
れたプログラムである。ＣＰＵ１２は、Ｉ／Ｏライン３
０を介して「コマンド」を受信すると、まず、ＲＯＭ１
３内の「共通コマンド処理ルーチン」を実行して受信し
た「コマンド」を解釈し、その「コマンド」に応じたサ
ブルーチンを選択する。そして、個々の「コマンド」に
応じたサブルーチンの先頭のインストラクションコード
へのジャンプが起こり、所定の処理が実行される。この
処理が完了すると、再び「共通コマンド処理ルーチン」
へと戻り、所定の「レスポンス」を返送する処理が行わ
れる。以上が、ＣＰＵ１２に対して１つの「コマンド」
が与えられたときの全体の処理の流れである。

【００２６】このように、ＩＣカードに対する一般的な
アクセスは、コマンド送信／レスポンス返送／コマンド
送信／レスポンス返送／…という処理を繰り返すことに
よって行われる。このため、アクセスに長時間かか
る、伝送中のセキュリティが低下する、冗長性が高
くなる、といった問題が生じることは既に述べたとおり
である。すなわち、Ｉ／Ｏライン３０を介しての「コマ
ンド」および「レスポンス」の転送速度は、ＣＰＵ１２
の演算処理速度に比べて非常に遅く、アクセスに時間
がかかる、という問題が生じることになる。また、Ｉ／
Ｏライン３０上を流れるデータは、外部から不正に観測
される可能性が高く、長時間にわたってデータ転送を行
うと、伝送中のセキュリティが低下する、という問題
が生じることになる。更に、Ｉ／Ｏライン３０を介した
伝送には、所定の伝送プロトコルに従った「ヘッダ」お
よび「フッタ」といった制御情報を付加する必要性が出
てくるので、冗長性が高くなる、といった問題も生じ
る。このように、Ｉ／Ｏライン３０を介したコマンド送
信／レスポンス返送という手順によるＩＣカード１０の
アクセスは、必ずしも効率的なものにはなっていない。

【００２７】§２． インストラクションコードを用い
たアクセス方法 このような問題に対する解決法として、インストラクシ
ョンコードを用いたアクセス方法も従来から提案されて
いる。この方法を、図３および図４のブロック図を参照
して説明しよう。まず、ＩＣカード１０に対するアクセ
ス内容に応じて、その都度、インストラクションコード
からなるプログラムを用意する。前述のように、このイ
ンストラクションコードは、ＣＰＵ１２が直接実行可能
な、いわゆる「機械語」で記述されたプログラムであ
る。もっとも、通常は、高級言語で記述したソースプロ
グラムをコンパイルすることによって、このインストラ
クションコードからなるプログラムを用意することにな
る。

【００２８】続いて、この用意したインストラクション
コードからなるプログラムを、バイナリデータとしてＥ
ＥＰＲＯＭ１５内に書き込む処理を行う。図３は、この
書込処理を示している。図示の例では、送信データ３１
として、「ＷＲＩＴＥ ＢＩＮＡＲＹ」なる「書込コマ
ンド」をＣＰＵ１２に送信している。ここで、「書込コ
マンド」は、「書込コマンドコード」と「書込対象とな
るデータ」とによって構成されており、「書込対象とな
るデータ」の部分に、用意したインストラクションコー
ドからなるプログラムを入れている。このプログラム
は、バイナリデータとして取り扱われるため、結局、図
４に示すように、ＥＥＰＲＯＭ１５内の所定のファイル
内に、このインストラクションコードからなるプログラ
ムがそのまま書き込まれることになる。

【００２９】次に、図４に示すように、送信データ３１
として、「ＧＯ ＰＲＯＧ」なる「プログラム実行コマ
ンド」をＣＰＵ１２に送信する。この「プログラム実行
コマンド」は、ここで述べるインストラクションコード
を用いたアクセス方法を行うために特別に定義されたコ
マンドであり、ＥＥＰＲＯＭ１５内に書き込まれたイン
ストラクションコード群をそのまま実行すべきことを指
示するコマンドである。このようなコマンドを実行させ
るためには、ＲＯＭ１３内に、この「プログラム実行コ
マンド」に対応したサブルーチンを用意しておく必要が
あるが、そのサブルーチンは非常に単純である。すなわ
ち、ＥＥＰＲＯＭ１５内に書き込まれたインストラクシ
ョンコードの先頭アドレスへのジャンプ命令によって構
成しておけばよい。

【００３０】こうして、「プログラム実行コマンド」が
実行されると、ＣＰＵ１２は、ＥＥＰＲＯＭ１５内に書
き込まれたインストラクションコードを直接実行するこ
とになる。このようなアクセス方法によれば、Ｉ／Ｏラ
イン３０を介したデータ転送は、プログラムをバイナリ
データとして転送するだけの短時間ですむ。以後、ＣＰ
Ｕ１２はＥＥＰＲＯＭ１５内のプログラムを実行すれば
よいので、ＩＣカード１０内部の処理だけですみ、非常
に高速な処理が可能になり、§１で述べた一般的なアク
セス方法に比べて、非常に効率的なアクセスが可能にな
る。

【００３１】しかしながら、このアクセス方法は、既に
述べたように、セキュリティの点で大きな問題がある。
「プログラム実行コマンド」が実行された後は、ＣＰＵ
１２の制御は、ＥＥＰＲＯＭ１５内に書き込んだインス
トラクションコードによって完全に支配されてしまうこ
とになる。このため、不正利用者が、不正なプログラム
をインストラクションコードで記述してこの方法を利用
すれば、ＣＰＵはこの不正なプログラムを忠実に実行し
てしまうことになる。すなわち、「コマンド」の形式で
与えられた命令をＣＰＵ１２が実行する限りは、ＲＯＭ
１３内に用意した正規のセキュリティチェックが機能す
るが、「インストラクションコード」の形式で与えられ
た原始的な命令をＣＰＵ１２が実行する場合には、もは
やこのようなセキュリティチェックは機能しなくなって
しまうのである。

【００３２】§３． 本発明に係るアクセス方法 以上のように、§２で述べたインストラクションコード
を用いたアクセス方法は、非常に効率的なアクセスが可
能であるというメリットを有する一方、セキュリティの
面で問題がある。本発明は、このセキュリティの面での
問題を解決する新規な手法を提案するものである。以
下、この方法を図５のブロック図を参照して説明する。

【００３３】まず、図５に示されているように、ＥＥＰ
ＲＯＭ１５内の所定領域に所定の実行条件を書込んでお
く。この実行条件の内容についての詳細は後述するが、
インストラクションコードを実行するための条件となる
ものであれば、どのような条件を設定しておいてもかま
わない。また、この実行条件は、どのようなフォーマッ
トで記述してもかまわない。いずれにせよ、この実行条
件は、バイナリデータとして表現することができるの
で、送信データ３１として、「ＷＲＩＴＥ ＢＩＮＡＲ
Ｙ」なる「書込コマンド」をＣＰＵ１２に送信すること
により、ＥＥＰＲＯＭ１５内の所定領域に実行条件を書
込むことができる。

【００３４】一方、前述の§２で説明した方法と同様
に、インストラクションコードからなるプログラムをＥ
ＥＰＲＯＭ１５内に書込む処理を行う。すなわち、ＩＣ
カード１０に対するアクセス内容に応じて、その都度、
インストラクションコードからなるプログラムを用意
し、これを「ＷＲＩＴＥ ＢＩＮＡＲＹ」なる「書込コ
マンド」によって、ＥＥＰＲＯＭ１５内に書込めばよ
い。図５は、このようにして、ＥＥＰＲＯＭ１５内に所
定の実行条件とインストラクションコードからなるプロ
グラムとを書込んだ状態を示している。

【００３５】続いて、送信データ３１として、「ＧＯ
ＰＲＯＧ」なる「プログラム実行コマンド」をＣＰＵ１
２に送信する。この「プログラム実行コマンド」は、§
２で述べた同名のコマンドと同様に、ＥＥＰＲＯＭ１５
内に書き込まれたインストラクションコードからなるプ
ログラムを実行すべきことを指示するコマンドである。
ただ、§２で述べた「プログラム実行コマンド」は、プ
ログラムを構成するインストラクションコードを無条件
に実行する処理を行うコマンドであるが、本発明におけ
る「プログラム実行コマンド」は、個々のインストラク
ションコードを所定の条件の下でのみ実行する処理を行
うコマンドである。すなわち、個々のインストラクショ
ンコードについて、ＥＰＲＯＭ１５内に書込まれている
実行条件を満足しているか否かを判断し、条件を満足し
ている場合に限って当該コードを実行する処理が行われ
る。

【００３６】より具体的には、図５のブロック図に示す
ように、ＥＥＰＲＯＭ１５内に書込まれたプログラムを
構成するインストラクションコードのうち、実行対象と
なる１コードをＲＡＭ１４へ読出し、このＲＡＭ１４内
において、この読出したコードが実行条件を満足してい
るか否かの判断を行う。そして条件が満足されていれ
ば、実行可の決定を行い、ＣＰＵ１２は当該インストラ
クションコードを実行する。条件が満足されていなけれ
ば、実行否の決定を行い、ＣＰＵ１２は当該インストラ
クションコードを実行しない。このように、実行可否判
断を行いながら、実行可と判断されたインストラクショ
ンコードのみを実行する、という処理を、ＥＥＰＲＯＭ
１５内のプログラムを構成する先頭のインストラクショ
ンコードから順に１コードずつ繰り返し実行することに
なる。

【００３７】なお、実行可否判断を行うには、必ずしも
インストラクションコードをＲＡＭ１４内に読み出す必
要はないが、実行条件を満たしているか否かの論理判断
を行う上では、ＲＡＭ１４内に判断対象となるコードを
読出した方が、種々の論理演算などを行う上で都合がよ
い。

【００３８】このように、本発明に係る「プログラム実
行コマンド」は、ＥＥＰＲＯＭ１５内に書込んだプログ
ラムを無条件に実行するのではなく、個々のインストラ
クションコードごとに実行条件を満足しているか否かを
判断し、条件を満足している場合にのみこれを実行する
という条件付実行処理を行うことになる。したがって、
§２で述べた無条件で実行する方法に比べて、実行可否
判断を行う分だけ実行速度は若干遅くなる。しかしなが
ら、この実行可否判断はＩＣカード１０の内部処理であ
るため、Ｉ／Ｏライン３０を介したコマンド処理に比べ
ればはるかに速く、§１で述べた一般的なアクセス方法
よりも高速で効率的である。しかも、実行条件の設定内
容により、十分なセキュリティ確保が可能になる。

【００３９】もっとも、実用上のセキュリティ確保とい
う点では、ＥＥＰＲＯＭ１５に対する「実行条件」の書
込み操作と、「インストラクションコードからなるプロ
グラム」の書込み操作とが、異なるセキュリティステー
ジで行われる必要がある。別言すれば、ＥＥＰＲＯＭ１
５に対して「インストラクションコードからなるプログ
ラム」を書込む処理を行う者と、「実行条件」を書込む
処理を行う者とは、異なる者である必要があり、しか
も、「実行条件」が自由に書き替えられるようなことが
ないようなセキュリティ条件が担保されている必要があ
る。「プログラム」をＥＥＰＲＯＭ１５に書込む者によ
って、「実行条件」が自由に書き替えられるような環境
においては、本発明の本質的なセキュリティ確保の意図
は没却されることになる。

【００４０】本発明の実用的な利用態様としては、たと
えば、ＩＣカードの発行者がこのカードを発行するステ
ージにおいて、予めＥＥＰＲＯＭ１５内に所定の実行条
件を書込んでおき、ＩＣカードの利用者がこのカードを
利用するステージにおいて、リーダライタ装置２０から
所定の「プログラム」をＥＥＰＲＯＭ１５内に書込み、
「プログラム実行コマンド」を与えてこれを実行させ
る、という利用態様を例示することができる。このと
き、ＥＥＰＲＯＭ１５内に書込まれた「実行条件」は、
カードを利用するステージにおいては書き替えができな
いようにしておけば、万一、このカードが不正利用者の
手に渡り、不正プログラムがＥＥＰＲＯＭ１５内に書込
まれたとしても、この不正プログラムは、予め設定され
ている実行条件の下でしか実行されないことになる。

【００４１】Ｉ／Ｏライン３０を介して、「ＧＯ ＰＲ
ＯＧ」なる「プログラム実行コマンド」が与えられたと
きに、上述したような実行可否判断を行った上で個々の
インストラクションコードを実行する処理を行わせるた
めには、当然、ＲＯＭ１３内に、そのような処理を行う
ための「プログラム実行コマンド」に対応したサブルー
チンを用意しておく必要がある。このようなサブルーチ
ンの一例を図６の流れ図に基いて説明しよう。ここに示
す例は、実行条件として、メモリに対する読出しおよび
書込み命令について、アクセス可能なアドレス範囲を指
定するアドレス条件と、解錠すべきキーを指定するセキ
ュリティ条件と、を設定した例である。

【００４２】この例では、リーダライタ装置２０からＩ
／Ｏライン３０を介して与える「プログラム実行コマン
ド」は、「ＧＯ ＰＲＯＧ ＸＸＸＸ」なる形式をと
る。ここで、「ＸＸＸＸ」の部分には、ＥＥＰＲＯＭ１
５内に書込まれているプログラムの先頭アドレスが置か
れることになる。したがって、同時に複数のプログラム
をＥＥＰＲＯＭ１５に書込んだ場合であっても、「ＸＸ
ＸＸ」の部分にいずれかのプログラムの先頭アドレスを
記述することによって、所望のプログラムを選択的に実
行させることができる。

【００４３】さて、「ＧＯ ＰＲＯＧ ＸＸＸＸ」なる
形式の「プログラム実行コマンド」が外部から与えられ
ると、ＣＰＵ１２は、まずステップＳ１において、先頭
アドレスに位置するインストラクションコードをＲＡＭ
１４へ読出す処理を行う。続いて、ステップＳ２におい
て、ＲＡＭ１４へ読み出されたインストラクションコー
ドが、転送命令であるか否かを判断する。ここで転送命
令とは、メモリに対するもしくはメモリからのデータ転
送を行う命令を意味し、より具体的には、いずれかのメ
モリからデータを取り出して移動させる命令か、あるい
は、データをいずれかのメモリへ移動させる命令を意味
する。ここに示す例は、前述のように、メモリに対する
読出しおよび書込み命令について実行条件を設定した例
であるので、転送命令のみ監視していれば十分である。
別言すれば、実行可否の判断対象となるインストラクシ
ョンコードが、転送命令でなければ、当該コードはメモ
リに対する読出しおよび書込みを行う命令コードではな
いので無条件で実行してよいことになる。

【００４４】ステップＳ２において転送命令と判断され
た場合には、ステップＳ３における条件判断がなされ
る。前述したように、この例では、判断対象となるコー
ドが、所定のアドレス条件およびセキュリティ条件を満
足しているか否かが判断される。そして、ステップＳ４
において、この判断の結果、条件を満足していると判断
された場合には、実行可の決定がなされ、ステップＳ５
において当該インストラクションコードが実行される。
そして、ステップＳ６において、プログラム終了か否か
が判断され、終了でない場合には、別言すれば、後続す
るインストラクションコードがまだＥＥＰＲＯＭ１５内
に存在する場合には、再びステップＳ１からの処理が繰
り返される。一方、ステップＳ６において、プログラム
終了と判断された場合には、別言すれば、実行対象とな
ったプログラムの最後のインストラクションコードの実
行が完了した場合には、ステップＳ７において正常フラ
グがＯＮになる。また、ステップＳ３における条件判断
において、条件が満足されていなかった場合には、ステ
ップＳ４において、実行否の決定がなされ、ステップＳ
８で正常フラグがＯＦＦにされる。

【００４５】ステップＳ７およびＳ８においてＯＮ／Ｏ
ＦＦされる正常フラグは、ＲＡＭ１４内に設けられた１
ビットのフラグであり、「プログラム実行コマンド」の
対象となったプログラムが正常に実行されたか否かを示
すフラグである。プログラムに含まれるすべてのインス
トラクションコードが正常に実行され、プログラムが支
障なく終了すると、ステップＳ７においてこのフラグは
ＯＮになる。逆に、実行を否定されたインストラクショ
ンコードが１つでも含まれていると、ステップＳ８にお
いてこのフラグはＯＦＦとなり、プログラムは途中で中
断することになる。いずれの場合であっても、ステップ
Ｓ９において、このフラグの状態が「レスポンス」とし
て返送される。すなわち、正常フラグがＯＮの場合に
は、プログラムが正常に実施されたことを示す情報が返
送され、正常フラグがＯＦＦの場合には、何らかのエラ
ーを示す情報が返送される。この「レスポンス」は、
「プログラム実行コマンド」に対するレスポンスであ
る。リーダライタ装置２０側では、この「レスポンス」
によって、ＥＥＰＲＯＭ１５内のプログラムが正常に実
行されたか否かを認識することができる。なお、この
「レスポンス」は、正常フラグに関する情報だけではな
く、必要に応じて、プログラムの実行によりリーダライ
タ装置２０側に返送すべき種々のデータを含んだものに
なる。

【００４６】§４． アクセスの具体例 次に、本発明に係るアクセス方法を具体的な例に基いて
説明する。ここでは、図７に示すように、ＥＥＰＲＯＭ
１５内に存在する７つのファイルに関連したアクセス処
理を例にとった説明を行うことにする。これら７つのフ
ァイルには、それぞれ固有のファイルＩＤ（この例で
は、１６進数による２バイトコードで表わされる。な
お、このファイルＩＤは、メモリのアドレスとは無関係
である。）、すなわち、「２Ｆ１０」，「２Ｆ１１」，
「２Ｆ１２」，「２Ｆ１３」，「２Ｆ１４」，「２Ｆ１
５」，「２Ｆ１６」が付与されている。ここで、ファイ
ル「２Ｆ１０」は、このＩＣカードの所有者であるユー
ザに関する何らかのユーザデータを格納したデータファ
イルであり、ファイル「２Ｆ１１」，「２Ｆ１２」，
「２Ｆ１３」，「２Ｆ１４」は、データファイル「２Ｆ
１０」などのユーザデータを読み出したり書込んだりす
るために必要なキーが格納されたキーファイルである。
たとえば、第１のキーファイル「２Ｆ１１」には、第１
のキー「１１１１」が格納されている。また、ファイル
「２Ｆ１５」は、本発明の特徴となる「インストラクシ
ョンコードからなるプログラム」を格納するためのファ
イルであり、ファイル「２Ｆ１６」は、本発明の特徴と
なる「実行条件」を格納するためのファイルである。こ
のように、この具体例では、「プログラム」も「実行条
件」もファイルの形式でＥＥＰＲＯＭ１５内に書込まれ
ている。

【００４７】ここで、「実行条件」を格納したファイル
「２Ｆ１６」は、このＩＣカードを発行するステージに
おいて書込まれたファイルであり、このＩＣカードを利
用するステージでは、書き替えることができないように
なっている。したがって、利用ステージにおいて、ファ
イル「２Ｆ１５」に任意のインストラクションコードか
らなるプログラムを書込むことは可能であるが、「ＧＯ
ＰＲＯＧ ＸＸＸＸ」なるコマンドによって、このプ
ログラムを実行させようとしても、ファイル「２Ｆ１
６」に設定されている実行条件を満足しないインストラ
クションコードについては実行が拒否されることにな
る。

【００４８】図８は、ファイル「２Ｆ１６」に設定され
た実行条件の一例を示すものである。この例では、ＲＥ
ＡＤ系とＷＲＩＴＥ系との２種類の命令形態について、
それぞれ異なるアドレス条件およびセキュリティ条件が
設定されている。ここで、ＲＥＡＤ系の命令形態は、メ
モリからデータを他の場所へ転送する処理を行うインス
トラクションコードに適用されるものである。設定され
たアドレス条件は、実行可とされるアドレス範囲を示し
ている。すなわち、アドレス６０００〜６０７Ｆ（本明
細書では、アドレスはすべて１６進表示で行うことにす
る）およびアドレス６４００〜６Ｆ７Ｆの範囲内から、
データを他の場所へ転送する処理を行うインストラクシ
ョンコードについては実行可との判断がなされる。ま
た、ＲＥＡＤ系の命令形態について設定されたセキュリ
ティ条件は、第１のキーＫ１と第２のキーＫ２との両方
の照合が済んでいること、という条件である。図７に示
すように、この例では、第１のキーＫ１はファイル「２
Ｆ１１」に格納されているように「１１１１」なる暗証
であり、第２のキーＫ２はファイル「２Ｆ１２」に格納
されているように「２２２２」なる暗証である。したが
って、ＲＥＡＤ系のインストラクションコードを実行す
る前には、外部から「１１１１」なる暗証と「２２２
２」なる暗証が入力されて照合が済んでいる必要があ
る。

【００４９】一方、ＷＲＩＴＥ系の命令形態は、メモリ
へデータを転送する処理を行うインストラクションコー
ドに適用されるものである。設定されたアドレス条件
は、実行可とされるアドレス範囲を示している。すなわ
ち、アドレス６０４０〜６０５Ｆおよびアドレス６４０
０〜６７ＦＦの範囲内へ、データを転送する処理を行う
インストラクションコードについては実行可との判断が
なされる。また、ＷＲＩＴＥ系の命令形態について設定
されたセキュリティ条件は、第３のキーＫ３と第４のキ
ーＫ４との両方の照合が済んでいること、という条件で
ある。図７に示すように、この例では、第３のキーＫ３
はファイル「２Ｆ１３」に格納されているように「３３
３３」なる暗証であり、第４のキーＫ４はファイル「２
Ｆ１４」に格納されているように「４４４４」なる暗証
である。したがって、ＷＲＩＴＥ系のインストラクショ
ンコードを実行する前には、外部から「３３３３」なる
暗証と「４４４４」なる暗証が入力されて照合が済んで
いる必要がある。

【００５０】図９は、図８に示すようなアドレス条件が
設定されたＥＥＰＲＯＭ１５についてのアドレスマップ
である。この例では、ＥＥＰＲＯＭ１５には、アドレス
６０００〜６ＦＦＦが割り当てられており、このアドレ
ス空間は〜の７つの領域に分割されている。ここ
で、「Ｒ」と記された領域は、図８のアドレス条件にお
いて、ＲＥＡＤ系の命令形態について実行可とされる領
域であり、「Ｗ」と記された領域は、ＷＲＩＴＥ系の命
令形態について実行可とされる領域である。また、
「φ」と記された領域は、図８のアドレス条件におい
て、ＲＥＡＤ系およびＷＲＩＴＥ系のいずれの命令形態
についても実行否とされる領域である。なお、この例で
は、ＥＥＰＲＯＭ１５に対するアクセス条件だけが示さ
れているが、必要に応じてＲＯＭ１３およびＲＡＭ１４
のアドレス空間についても何らかのアクセス条件が設定
される。

【００５１】図９において、領域は、「インストラク
ションコードからなるプログラム（図７のファイル「２
Ｆ１５」）を格納するための領域であり、「Ｒ」と記さ
れているように、「プログラム実行コマンド」の実行中
は、ＲＥＡＤ系の命令形態によるアクセスのみが実行可
である。したがって、この領域に書込まれたプログラ
ムは、実行により自分自身が書き替えられることはな
い。領域，は、ＲＥＡＤ系，ＷＲＩＴＥ系のいずれ
の命令形態によるアクセスも実行可の領域であり、比較
的重要性の乏しい情報が格納される。一方、領域，
は、ＲＥＡＤ系の命令形態によるアクセスのみが実行可
であり、不正に書き替えられると困る比較的重要な情報
が格納される。また、領域，は、いずれの命令形態
によるアクセスも実行否とされる領域であり、重要性の
高い情報が格納される。

【００５２】もっとも、この図９のアドレスマップに示
したアクセスの条件は、図８に示す実行条件を示したも
のであり、「ＧＯ ＰＲＯＧ ６０００」なる「プログ
ラム実行コマンド」が与えられたときに実行されるイン
ストラクションコードについてのアクセスの可否を示す
ものである。別言すれば、§３において述べた本発明特
有のアクセス方法を実行中にのみ適用されるアクセス条
件を示すものである。したがって、§１において述べた
一般的なアクセス方法を行う場合には、この図８に示す
実行条件の制約は受けず、たとえば、「ＲＥＡＤ ＢＩ
ＮＡＲＹ」なる「読出コマンド」や、「ＷＲＩＴＥ Ｂ
ＩＮＡＲＹ」なる「書込コマンド」によって、領域，
に対するアクセスは可能である。ただ、このような
「コマンド」レベルのアクセスに対しては、ＲＯＭ１３
内のルーチンにより、十分なセキュリティチェックがな
されることは既に述べたとおりである。

【００５３】このように、「実行条件」として図８に示
すようなアドレス条件を設定しておくようにすれば、た
とえ不正利用者が、領域に不正なプログラムを書込ん
で、これを実行させるために「ＧＯ ＰＲＯＧ ６００
０」なる「プログラム実行コマンド」を与えたとして
も、領域，にアクセスするようなすべてのインスト
ラクションコードの実行は拒絶され、また、領域，
を書き替えるようなすべてのインストラクションコード
の実行も拒絶される。

【００５４】また、ここに示す例では、アドレス条件に
加えて、更にセキュリティ条件を設定することにより、
より確実なセキュリティ確保を図っている。すなわち、
ＲＡＭ１４内には、図１０(a) に示すようなセキュリテ
ィステータスの記録領域が設けられている。このセキュ
リティステータスは、８ビットの記録領域からなり、８
つのキーＫ１〜Ｋ８について、施錠状態「０」か解錠状
態「１」かのいずれかが記録されるようになっている。
各キーは、外部からの照合コマンドとともに正しい暗証
が入力されると解錠状態になる。たとえば、第１のキー
Ｋ１について、照合コマンドとともに「１１１１」なる
暗証が入力されると、セキュリティステータスのＫ１の
ビットが解錠状態「１」になる。もちろん、このセキュ
リティステータスの記録領域については、「プログラム
実行コマンド」の実行中には、ＷＲＩＴＥ系の命令を禁
止するアドレス条件が設定される。一方、ＥＥＰＲＯＭ
１５内には、図１０(b) に示すようなＲＥＡＤ系のセキ
ュリティ条件と、図１０(c) に示すようなＷＲＩＴＥ系
のセキュリティ条件とが書込まれている。これらのセキ
ュリティ条件は、図８に示すセキュリティ条件に対応す
るものであり、解錠が要求されるキーについては、ビッ
ト「１」が記録されている。すなわち、ＲＥＡＤ系のセ
キュリティ条件としては、「第１のキーＫ１と第２のキ
ーＫ２とが解錠されていること」という条件が示されて
おり、ＷＲＩＴＥ系のセキュリティ条件としては、「第
３のキーＫ３と第４のキーＫ４とが解錠されているこ
と」という条件が示されている。

【００５５】続いて、図１１に示すように、ＥＥＰＲＯ
Ｍ１５内のアドレス６８００〜６８２０に格納されてい
るデータを、ＲＡＭ１４内のアドレス００００〜００２
０に逆順にして読出すアクセス処理を、本発明に係る方
法で実行する具体的な手順を示そう。この例では、この
ＲＡＭ１４内のアドレス００００〜００２０は、送信バ
ッファ領域であり、ここへデータを読出す処理は、Ｉ／
Ｏライン３０を介してリーダライタ装置２０側へデータ
を送信する準備処理としての意味をもつ。

【００５６】ここでは、ＣＰＵ１２が直接実行可能なイ
ンストラクションコードとして、図１２に示すようなコ
ードが定義されていたものとして以下の説明を行う（図
１２には、上述の処理を実行するために必要な８種類の
コードしか示していないが、実際には、この他にも種々
のコードが定義されている）。まず、このコードの示す
処理の内容を簡単に説明しておこう。１行目のコード
「０１ＸＸＸＸ」は、１６進数のデータ値「ＸＸＸＸ」
をレジスタ１へ取り込む処理を示し、２行目のコード
「０２ＸＸＸＸ」は、１６進数のデータ値「ＸＸＸＸ」
をレジスタ２へ取り込む処理を示す。また、３行目のコ
ード「０３００００」は、レジスタ１の示すアドレスの
内容を、レジスタ３に取り込む処理を示し、４行目のコ
ード「０４００００」は、レジスタ３の内容を、レジス
タ２の示すアドレス場所に転送する処理を示す。更に、
５行目のコード「０５００００」は、レジスタ１の内容
を１だけインクリメントする処理を示し、６行目のコー
ド「０６００００」は、レジスタ２の内容を１だけデク
リメントする処理を示し、７行目のコード「０７ＹＹＹ
Ｙ」は、レジスタ２の内容が零でなければ、アドレスＹ
ＹＹＹのインストラクションコードまでジャンプする処
理を示し、８行目のコード「０８００００」はサブルー
チンからの復帰、すなわち、リターン処理を示す。

【００５７】さて、図１２に示すようなインストラクシ
ョンコードが定義されている場合に、図１１に示すよう
なデータの読出処理を実行するには、図１３に示すよう
なプログラムを、図９に示すメモリマップの領域内に
用意すればよい。図１３では、このプログラムを構成す
るインストラクションコードを１６進数のオブジェクト
コード（１つのコードは３バイトで示される）として各
アドレスに対応して示し、参考のために、右欄にはニー
モニックの表記を示した。ニーモニックの表記に基い
て、このプログラムの内容を簡単に説明しておくと、ま
ず、１行目の「ＭＯＶＥ ６８００，Ｒ１」なる命令に
より、値「６８００」がレジスタ１にセットされ、２行
目の「ＭＯＶＥ ００２０，Ｒ２」なる命令により、値
「００２０」がレジスタ２にセットされる。次に、３行
目の「ＭＯＶＥ （Ｒ１），Ｒ２」なる命令により、レ
ジスタ１の示すアドレスの内容（この場合、アドレス６
８００に格納されている値）がレジスタ３にセットさ
れ、４行目の「ＭＯＶＥ Ｒ３，（Ｒ２）」なる命令に
より、レジスタ３の内容（アドレス６８００に格納され
ていた値）が、レジスタ２の示すアドレス場所（この場
合、アドレス００２０）にセットされる。更に、５行目
の「ＩＮＣ Ｒ１」なる命令により、レジスタ１の内容
が１だけインクリメントされ（値６８０１になる）、６
行目の「ＤＥＣＲ２」なる命令により、レジスタ２の内
容が１だけデクリメントされる（値００１Ｆになる）。
そして、７行目の「ＪＰＮＺ Ｒ２，６０００」なる命
令により、レジスタ２の値が「００００」になるまで、
アドレス６０００からのプログラムが繰り返し実行さ
れ、最後に、８行目の「ＲＥＴ」なる命令により、この
プログラムは終了する。以上のようなプログラムの実行
により、図１１に示すように、ＥＥＰＲＯＭ１５内のア
ドレス６８００〜６８２０に格納されているデータが、
ＲＡＭ１４内のアドレス００２０〜００００に逆順に読
み出されることが理解できよう。

【００５８】さて、この図１３に示すような２４バイト
からなるプログラムがリーダライタ装置２０側において
用意できたら、まず、このプログラムをバイナリデータ
として、ＥＥＰＲＯＭ１５内のアドレス６０００〜６０
１７の領域に書込む処理をする。すなわち、Ｉ／Ｏライ
ン３０を介して、「ＷＲＩＴＥ ＢＩＮＡＲＹ」コマン
ドに続いて、この２４バイトのバイナリデータをＩＣカ
ード１０側へ送信すればよい。続いて、Ｉ／Ｏライン３
０を介して「ＧＯ ＰＲＯＧ ６０００」なるコマンド
をＩＣカード１０側へ送信すれば、このプログラムがＩ
Ｃカード１０内において実行されることになる。

【００５９】すなわち、図１４に示すように、まず、先
頭のインストラクションコード「０１６８００」がＥＥ
ＰＲＯＭ１５からＲＡＭ１４へと読み出される。これ
は、図６におけるステップＳ１の動作である。なお、こ
のとき、このＲＡＭ１４内に読み出された３バイトから
なるコードに続いて、「０８００００」なる３バイトの
コード（リターンに対応するインストラクションコー
ド）が付加される。続いて、ステップＳ２において、転
送命令か否かが判断される。これは、ＲＡＭ１４内に読
出されたコードの１バイト目が、「０３」か「０４」の
いずれかであるかどうかで判断できる。すなわち、図１
２に示すように、１バイト目が「０３」であるインスト
ラクションコードは、「レジスタ１の示すアドレスの内
容をレジスタ３にセット」する命令であり、ＲＥＡＤ系
の転送命令に該当し、１バイト目が「０４」であるイン
ストラクションコードは、「レジスタ３の内容を、レジ
スタ２の示すアドレス場所にセット」する命令であり、
ＷＲＩＴＥ系の転送命令に該当するからである。

【００６０】もし転送命令であった場合には、ステップ
Ｓ３において条件判断がなされる。図１３に示すプログ
ラムの場合、３行目と４行目のインストラクションコー
ドが転送命令であり、ステップＳ３における条件判断が
なされることになる。この例の場合、いずれも図８に示
すアドレス条件を満足しているので、セキュリティ条件
が満足されていれば（キーＫ１〜Ｋ４の照合が完了して
いれば）、３行目と４行目のインストラクションコード
はいずれも実行される。また、３行目と４行目以外のイ
ンストラクションコードは、いずれも転送命令でないた
め、ステップＳ３の条件判断を行うことなしに無条件に
実行されることになる。ステップＳ５におけるインスト
ラクションコードの実行は、プログラムカウンタをＲＡ
Ｍ１４内に読み出されたインストラクションコードのア
ドレス位置に変更して実行することになるが、前述した
ように、ＲＡＭ１４内に読み出された３バイトからなる
コードに続いて、「０８００００」なる３バイトのリタ
ーンコードが付加されているため、ステップＳ５におい
てインストラクションコードを実行した後、ＣＰＵ１２
の制御は再びＲＯＭ１３内のルーチンに戻り、ステップ
Ｓ６へ進むことになる。

【００６１】このように、ＥＥＰＲＯＭ１５内に書込ま
れたインストラクションコードは、１つずつＲＡＭ１４
へ読み出され、チェックされた後に実行されるため、実
行条件に反した不正アクセスを行うようなインストラク
ションコードの実行は拒絶される。たとえば、図１３に
示すプログラムの１行目は、「０１６８００」と、アド
レス６８００を起点としたデータ転送を示す内容になっ
ているが、これを「０１６０８０」として、アドレス６
０８０を起点としてデータ転送を示す内容に変えた場
合、図９のメモリマップに示すように、アドレス６０８
０からの領域はアクセス禁止領域であるため、このよ
うなプログラムは途中で中断することになる。すなわ
ち、３行目の「０３００００」を実行する時点で、アド
レス条件違反であると判断され、ステップＳ４からステ
ップＳ８を経て、このプログラムは中断されることにな
る。

【００６２】以上、本発明を図示する実施例に基いて説
明したが、本発明はこの実施例に限定されるものではな
く、この他にも種々の態様で実施可能である。たとえ
ば、上述の実施例では、実行条件として、アドレス条件
およびセキュリティ条件を設定したが、これらの条件の
いずれか一方のみを設定してもよいし、あるいは別な実
行条件を設定してもよい。また、上述の実施例では、本
発明をＩＣカードに適用した例を述べたが、本発明の適
用は、ＩＣカードに限定されるものではなく、ＣＰＵを
内蔵した携帯可能情報記録媒体に広く及ぶものである。

【００６３】

【発明の効果】以上のとおり、本発明に係る携帯可能情
報記録媒体では、不揮発性メモリ内に、インストラクシ
ョンコードからなるプログラムと、所定の実行条件と、
を書き込み、個々のインストラクションコードについ
て、実行条件を満足している場合に限りこれを実行する
ようにしたため、十分なセキュリティを確保しつつ、外
部からのアクセスを効率的に行うことができるようにな
る。

【図面の簡単な説明】

【図１】一般的なＩＣカードに、外部装置としてのリー
ダライタ装置を接続し、アクセスを行っている状態を示
すブロック図である。

【図２】ＩＣカードに対する従来の一般的なアクセス方
法を説明するブロック図である。

【図３】ＩＣカードに対するインストラクションコード
を用いたアクセス方法の前段の操作を説明するブロック
図である。

【図４】ＩＣカードに対するインストラクションコード
を用いたアクセス方法の後段の操作を説明するブロック
図である。

【図５】ＩＣカードに対する本発明に係るアクセス方法
の操作を説明するブロック図である。

【図６】本発明に係るアクセス方法に用いるプログラム
実行コマンドの処理手順を示す流れ図である。

【図７】本発明に係るＩＣカード内のＥＥＰＲＯＭに格
納されているファイル群の一例を示す概念図である。

【図８】本発明に係るアクセス方法において設定される
実行条件の一例を示す図である。

【図９】図８に示す実行条件に基くＥＥＰＲＯＭのアド
レスマップである。

【図１０】図８に示す実行条件とセキュリティステータ
スとの関係を示す図である。

【図１１】本発明に係るアクセス方法によるデータ転送
の一具体例を示す概念図である。

【図１２】一般的なＩＣカード内のＣＰＵに実行させる
ためのインストラクションコードの一例を示す図であ
る。

【図１３】図１２に示すインストラクションコードを用
いて、図１１に示すデータ転送を行うためのプログラム
を記述した一例を示す図である。

【図１４】図１３に示すプログラムの実行状態を示す概
念図である。

【符号の説明】

１０…ＩＣカード １１…Ｉ／Ｏインタフェース １２…ＣＰＵ １３…ＲＯＭ １４…ＲＡＭ １５…ＥＥＰＲＯＭ ２０…リーダライタ装置 ３０…Ｉ／Ｏライン ３１…送信データ ３２…返送データ

Claims (6)

【特許請求の範囲】
1. 【請求項１】 ＣＰＵと、このＣＰＵによって直接実行
   可能なインストラクションコードからなるプログラムを
   記憶したＲＯＭと、前記ＣＰＵの作業領域として使用さ
   れるＲＡＭと、前記ＣＰＵを介してデータの読出しおよ
   び書き込みが可能な不揮発性メモリと、を備え、外部か
   ら与えられたコマンドに基いて、前記ＣＰＵが前記ＲＯ
   Ｍ内の所定のプログラムを実行する機能を有する携帯可
   能情報記録媒体において、 前記不揮発性メモリ内に、インストラクションコードか
   らなるプログラムと、所定の実行条件と、を書き込み、
   外部から所定のプログラム実行コマンドを与えたとき
   に、 前記不揮発性メモリ内に書込まれたプログラムを構成す
   るインストラクションコードについて、前記実行条件を
   満足しているか否かを判断し、条件を満足している場合
   に限り、前記ＣＰＵが当該コードを実行するように構成
   されたことを特徴とする携帯可能情報記録媒体。
2. 【請求項２】 請求項１に記載の媒体において、 外部から所定のプログラム実行コマンドが与えられたと
   きに、不揮発性メモリ内に書込まれたプログラムを構成
   するインストラクションコードを、先頭のコードから１
   コードずつ順にＲＡＭへ読出し、このＲＡＭ内におい
   て、実行条件を満足しているか否かの判断を行うことを
   特徴とする携帯可能情報記録媒体。
3. 【請求項３】 請求項１または２に記載の媒体におい
   て、 条件判断の対象となるインストラクションコードが、デ
   ータ転送を行うコードであるか否かを判断し、 データ転送を行うコードでなかった場合には、当該コー
   ドを無条件で実行し、 データ転送を行うコードであった場合には、更に、実行
   条件を満足しているか否かの判断を行い、当該コードの
   実行可否を決定することを特徴とする携帯可能情報記録
   媒体。
4. 【請求項４】 請求項１〜３のいずれかに記載の媒体に
   おいて、 実行条件として、アクセス可能なアドレス範囲を指定す
   るアドレス条件と、解錠すべきキーを指定するセキュリ
   ティ条件と、を設定したことを特徴とする携帯可能情報
   記録媒体。
5. 【請求項５】 請求項１〜４のいずれかに記載の媒体に
   おいて、 外部から所定のプログラム実行コマンドが与えられたと
   きに、不揮発性メモリ内に書込まれたプログラム内に実
   行条件を満足していないインストラクションコードが存
   在した場合には、前記プログラム実行コマンドに対する
   レスポンスとして、エラーを示す情報を外部へ返送する
   ことを特徴とする携帯可能情報記録媒体。
6. 【請求項６】 ＣＰＵと、このＣＰＵによって直接実行
   可能なインストラクションコードからなるプログラムを
   記憶したＲＯＭと、前記ＣＰＵの作業領域として使用さ
   れるＲＡＭと、前記ＣＰＵを介してデータの読出しおよ
   び書き込みが可能な不揮発性メモリと、を備え、外部か
   ら与えられたコマンドに基いて、前記ＣＰＵが前記ＲＯ
   Ｍ内の所定のプログラムを実行する機能を有する携帯可
   能情報記録媒体、をアクセスする方法において、 前記不揮発性メモリ内に、インストラクションコードか
   らなるプログラムと、所定の実行条件と、を書き込み、 前記不揮発性メモリ内に書込まれたプログラムを構成す
   るインストラクションコードが前記実行条件を満足して
   いるか否かを前記ＣＰＵに判断させ、条件を満足してい
   る場合に限り、前記ＣＰＵに当該コードを実行させるよ
   うにしたことを特徴とする携帯可能情報記録媒体のアク
   セス方法。