JP2000284689A

JP2000284689A - 情報格納方法

Info

Publication number: JP2000284689A
Application number: JP11094562A
Authority: JP
Inventors: Junji Ito; 淳史伊藤; Nobuyuki Osaki; 伸之大崎; Haruko Nagaoka; 晴子長岡
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1999-04-01
Filing date: 1999-04-01
Publication date: 2000-10-13

Abstract

(57)【要約】【課題】ＩＣカード等は内部動力源を持たないため時刻
を知るためのクロックを保持できない。そのため内部に
格納するデータに格納時刻などをつける必要がある時は
外部装置からその時刻を受け取る必要があった。しか
し、この時刻は外部装置から受け取るため、例えばその
外部装置の時計をずらすことにより、格納時刻などを意
図的に変更することが可能であった。【解決手段】本発明における第一の方法では、乱数を受
け取り、受け取った乱数と現在時刻に電子署名をつけた
データを返信する時刻サーバを設置し、データを格納す
る場合に時刻サーバから格納時と確定時の二回署名付時
刻データを受け取り、ＩＣカード内部では受け取った二
回の時刻差が小さい時にその情報を信頼して格納する。
また、第二の方法では、ＩＣカードの処理端末にクロッ
クをつけ、その時刻を操作者が変更できないようにし、
その端末をＩＣカードが暗号的方法を利用して認証する
ことによりＩＣカードに正確な時刻を格納する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＩＣカードなどの
処理装置を用いて行う取引処理方法及び、その方法を用
いた処理装置に関する。

【０００２】

【従来の技術】ＩＣカードは磁気カードと比較してその
記憶容量が大きいこと、演算装置（ＩＣ）を持つため暗
号処理などの演算を行えること、耐タンパー性により格
納されている情報の秘匿性及び不変性に優れていること
などにより近年広く用いられるようになっている。

【０００３】決済目的のＩＣカード例えば電子マネーな
どの場合には、ＩＣカード内部に取引履歴情報（たとえ
ば金額、取引場所、日時などの複数の情報から成る）を
複数件数、ＩＣカード内部のメモリに格納することが行
われている。しかし、ＩＣカード自らが電源などの動力
源を持たない場合、その内部に時刻を刻む時計（クロッ
ク）を持つことができず、そのため上記取引履歴に必要
な時刻情報は外部の処理装置からその都度貰う必要があ
った。

【０００４】以下、従来のＩＣカード内に履歴を格納す
る時の処理の流れを図６を用いて説明する。

【０００５】ＩＣカード端末は、端末で持っている現在
時刻Ｔｉｍｅ及びＩＣカード内に格納したい情報Ｉｎｆ
ｏをＩＣカードへ送信する。上記Ｔｉｍｅ及びＩｎｆｏ
を受信したＩＣカードは、Ｔｉｍｅ及びＩｎｆｏを履歴
格納領域例えばＥＥＰＲＯＭなどに格納する（ステップ
６０１０）。

【０００６】

【発明が解決しようとする課題】前述の通り、従来、Ｉ
Ｃカードの演算装置は上記貰った時刻データの正当性を
チェックすることが不可能なため、上記ＩＣカード端末
から、正しくない時刻情報を与えることが可能であり、
そのため格納された履歴情報は参考情報としての利用し
かできなかった。

【０００７】また、ＩＣカード内部に時計手段を持って
いたとしてもそれが示す時刻が正確かどうかが不明であ
り、履歴情報は参考情報としての利用にとどまってい
た。

【０００８】本発明は以上のような事情に鑑みてなされ
たものであり、その目的はＩＣカードなどに格納される
時刻情報の信頼性を向上させることにより、信頼できる
履歴情報として利用することはもとより、各種証明書と
しても利用可能とするような方式及びシステムを提供す
ることである。

【０００９】また、本発明の別の目的は、取引履歴情報
の正当性を保証するＩＣカード、正当な時刻を配信する
時刻サーバ、上記システムを支えるＩＣカード端末、そ
れらを実現するプログラムを提供することである。

【００１０】また、本発明の別の目的は、時刻データの
再利用を防ぐことを可能とするような方法及びシステム
を提供することである。

【００１１】さらに、本発明の別の目的は、ＩＣカード
を処理する端末に信頼が置けないような状況下において
も正しい時刻データの入手を可能にするような方法及び
システムを提供することである。

【００１２】さらに、本発明の別の目的は、ＩＣカード
を処理する端末が外部から受け取った電子署名付時刻デ
ータを即時にＩＣカードへ送信しない不正を発見・防止
するような方法及びシステムを提供することにある。

【００１３】

【課題を解決するための手段】上記目的を達成するため
に本発明では、情報処理装置（以下、時刻サーバと呼
ぶ）と、外部からの動力源により動作する演算装置を備
えた情報格納装置（以下ＩＣカードと呼ぶがＩＣカード
以外の場合も同様である）とが、ＩＣカードにおける処
理を管理制御する処理装置（以下ＩＣカード端末と呼
ぶ）を介して処理を行う情報格納方法において、ＩＣカ
ード端末はＩＣカードから受け取った乱数を時刻サーバ
に送信し、返信された署名付時刻データをＩＣカードへ
送信し、時刻サーバは通信手段を通じて受け取った乱数
と現在時刻とに電子署名を付加したデータを作成して返
信し、ＩＣカード端末は返信された署名付データをＩＣ
カードへ送信し、ＩＣカードは上記受け取った署名付デ
ータの正当性を確認し、あらかじめ仮格納されている時
刻と上記受け取った時刻を比較し、その差が小さい時の
み仮格納データを確定するようにしている。

【００１４】また、本発明では現在時刻を正確に保持す
るＩＣカード端末とＩＣカードが直接処理を行う情報格
納方法において、ＩＣカード端末はＩＣカードから受け
取った乱数に自身が保持する正確な現在時刻を加えたデ
ータに電子署名を付加してＩＣカードに格納したい情報
と共にＩＣカードへ送信し、ＩＣカードは受け取った署
名付データの正当性を確認した上でデータの格納を行う
ようにしている。

【００１５】すなわち、本発明は、時刻情報と処理情報
とを格納する情報格納装置と、前記情報格納装置に情報
を処理するための動力を与えると共に前記情報のやり取
りをする第一の情報処理装置とからなるシステムにおけ
る、前記情報格納装置への情報格納方法において、上記
情報格納装置は、時計手段と時刻通知手段とを備えた第
二の情報処理装置から上記第一の情報処理装置を通して
通知された時刻情報を格納する処理と、上記第一の情報
処理装置から送信された処理情報とを格納する処理と、
上記時刻情報及び処理情報とを時系列に格納する処理と
を行うことを特徴とするものである。

【００１６】さらに、本発明は、上記情報処理方法にお
ける前記時刻情報の格納処理において、電子署名を用い
た正当性確認を行うことを特徴とするものである。

【００１７】さらに、本発明は、上記情報格納方法にお
いて、上記情報格納装置は上記処理情報を格納する処理
の直前と直後とに格納された時刻を比較し、その差が事
前に定められた時刻差よりも大きい場合には上記格納さ
れた情報を消去することを特徴とするものである。

【００１８】さらに、本発明は、上記情報格納方法にお
いて、上記情報格納装置は上記処理情報を格納する処理
の後、上記第一の情報処理装置からの動力供給が断たれ
る前に上記時刻情報の格納処理が行われなかった場合に
は、上記登録された情報を消去することを特徴とするも
のである。

【００１９】さらに、本発明は、上記情報格納方法にお
いて、上記第一の情報処理装置は、上記第二の情報処理
装置から受信した時刻情報と共に上記情報格納装置へ格
納する処理情報を上記情報格納装置へ送信し、上記情報
格納装置は、上記処理情報を上記時刻情報が示す時刻と
ともに格納することを特徴とするものである。

【００２０】また、本発明は、外部からの動力供給によ
り時刻情報と処理情報とを格納する情報格納装置におけ
る情報格納方法であって、時刻情報と処理情報とを時系
列で格納することを特徴とするものである。

【００２１】また、本発明は、外部からの動力供給によ
り情報を処理及び格納する情報格納装置における情報格
納方法であって、情報格納手段が第一の乱数を生成し送
信し、受信した第一の署名付時刻情報に添付された乱数
を前記第一の乱数と比較するとともに、前記第一の署名
付時刻情報に添付された電子署名を検証し、それぞれの
正当性を確認した場合に受信した情報を仮格納し、第二
の乱数を生成し送信し、受信した第二の署名付時刻情報
に添付された乱数を前記第二の乱数と比較するともに、
前記第二の署名付時刻情報に添付された電子署名を検証
し、それぞれの正当性を確認した場合に上記仮格納した
情報を格納することを特徴とするものである。

【００２２】また、本発明は、通信機能を持つ情報処理
装置が時刻取得手段と、時刻通知手段を有し、時刻通知
伝文を送信する手段を備えることを特徴とするものであ
る。

【００２３】また、本発明は、通信手段を持つ情報処理
装置であって、時刻取得手段と、電子署名生成手段を有
し、前記通信手段は、受信したデータと前記時刻取得手
段が取得した時刻情報とに、前記電子署名生成手段が生
成した電子署名を付加した情報を生成し、前記通信手段
を介して前記情報を返信する手段を備えることを特徴と
するものである。

【００２４】また、本発明は、外部からの動力供給によ
り情報を処理及び格納する情報格納装置と、前記情報格
納装置に動力を与えると共に情報のやり取りをする情報
処理装置とをもちいて情報を格納するシステムにおける
情報処理方法であって、上記情報処理装置は、時刻情報
と処理情報とを時系列的に、上記情報格納装置へ通知
し、上記情報格納装置は、通知された時刻情報と処理情
報とを時系列的に格納することを特徴とするものであ
る。

【００２５】また、本発明は、外部からの動力供給によ
り情報を処理及び格納する情報格納装置と、前記情報格
納装置に動力を与えると共に情報のやり取りをする情報
処理装置とをもちいて情報を格納するシステムにおける
情報処理方法であって、上記情報格納装置が乱数を生成
して上記情報処理装置へ送信し、上記情報処理装置は受
信した乱数と時刻取得手段が取得した時刻情報とを含む
データに電子署名を付加し、前記情報格納装置に格納す
べき処理情報とともに上記情報格納装置へ送信し、上記
情報格納装置は、受信した前記データに添付された電子
署名の正当性を検証し、受信した前記データに含まれる
乱数が上記生成し送信した乱数と同じであることを確認
し、上記検証及び確認に成功した場合に、上記受信した
処理情報と時刻情報とを格納することを特徴とするもの
である。

【００２６】また、本発明は、外部からの動力供給によ
り情報を処理及び格納する情報格納装置と通信を行う情
報処理装置であって、上記情報処理装置は時刻取得手段
と、時刻通知手段を有し、上記情報格納装置に格納した
い情報と共に時刻通知伝文を送信する事を特徴とするも
のである。

【００２７】また、本発明は、外部からの動力供給によ
り情報を処理及び格納する情報格納装置と通信を行う情
報処理装置であって、上記情報処理装置は時刻取得手段
と、電子署名生成手段を有し、上記情報処理装置はデー
タを受信し、受信したデータと現在時刻を含むデータに
電子署名を付加し、上記情報格納装置に格納したい情報
と共に前記電子署名付の現在時刻を返信する事を特徴と
するものである。

【００２８】

【発明の実施の形態】以下では外部からの動力源により
動作する演算装置を備えた情報格納装置の一例として接
触型ＩＣカードを用いるが、接触型ＩＣカードであるこ
とは本質的ではなく、たとえば非接触ＩＣカードやＩＣ
ペーパーなどでも同様なことが考えられる。

【００２９】第一の実施例について図１３〜図１５を用
いて説明する。図１３は本実施例のシステム構成図であ
る。

【００３０】時刻サーバ１３０１０は時計機能１３０１
１と時刻通知機能１３０１２を有している。

【００３１】ＩＣカード１３０３０は時刻登録機能１３
０３１と情報登録機能１３０３３を有しており、ＩＣカ
ード端末１３０２０及び通信網１３０４０を通して時刻
サーバ１３０１０と通信可能である。

【００３２】次に、図１５を用いて処理の流れについて
説明する。まず、時刻情報(以下時刻という)登録の処理
の流れを説明する。時刻サーバ１３０１０は現在時刻を
通知する情報を作成しＩＣカード端末を経由してＩＣカ
ード１３０３０へ送信する（ステップ１５０２０）。上
記現在時刻通知情報を受け取ったＩＣカード１３０３０
は時刻登録機能１３０３１を用いて時刻を登録する（ス
テップ１５０１０）。

【００３３】次に、処理情報(以下単に、情報という)登
録の処理の流れについて説明する。ＩＣカード端末１３
０２０はＩＣカードに登録したい情報を作成し、ＩＣカ
ード１３０３０へ送信する（ステップ１５０３０）。上
記登録情報を受け取ったＩＣカード１３０３０は情報登
録機能１３０３３を用いて情報を登録する（ステップ１
５０１１）。

【００３４】時刻と情報との登録は時系列的に(逐次)行
われれば互いに独立に複数回行われてもよい。すなわ
ち、一度の取引中に時刻の登録と情報の登録が必ずしも
行われる必要はなく、さらにはその間にＩＣカードがＩ
Ｃカード端末から引き抜かれてもよい。

【００３５】図１４は登録された情報の一例である。図
１４における各行(各レコード)はそれぞれ時系列的に異
なる処理の結果として登録されたものである。ステップ
１５０１０で登録された時刻情報１４０１１，１４０１
４の間にステップ１５０１１で登録された馬券情報１４
０１２，１４０１３があるため、この二つの情報が登録
されたのは１０時３０分から３５分の間であることが分
かる。

【００３６】以上の第一の実施例について時刻通知機能
として電子署名を用い、ＩＣカードが時刻確認機能を有
する実施例を図１〜図８を用いて説明する。ここで電子
署名とは、数学的手法を用いて通信相手の正当性を検証
する手段であり、例えばＩＳＯ／ＩＥＣ９７９７のよう
な共通鍵暗号方式を用いたＭＡＣ（ＭｅｓｓａｇｅＡｕ
ｔｈｅｎｔｉｃａｔｉｏｎＣｏｄｅ：認証子）やＩＳ
Ｏ／ＩＥＣ９７９６−２のような公開鍵暗号方式を用い
た電子署名方式を含む。図２は本実施例のシステム構成
図である。

【００３７】時刻サーバ２０１０は時計機能２０１１と
電子署名生成機能２０１２を有している。

【００３８】ＩＣカード２０３０はＩＣカード端末２０
２０および通信網２０４０を通して時刻サーバ２０１１
と通信可能である。

【００３９】図１６は、本発明を実現するシステムのハ
ードウェア構成図である。

【００４０】時刻サーバ１６０１０(図２の時刻サーバ
２０１０に相当)は記憶装置１６０１１、ＣＰＵ１６０
１２、通信Ｉ／Ｆ１６０１３、時計機能１６０１４から
構成され、通信Ｉ／Ｆ１６０１３を通してＩＣカード端
末１６０２０と通信可能である。記憶装置１６０１１に
はオペレーションシステム１６０１１３、応用ソフト１
６０１１２とともに時刻情報に署名するための署名鍵１
６０１１１が格納されている。

【００４１】ＩＣカード端末１６０２０(図２のICカー
ド端末２０２０に相当)は、ＣＰＵ１６０２１、キーボ
ードやディスプレイといった外部入出力装置１６０２
２、メモリ１６０２３、通信Ｉ／Ｆ１６０２４、ＩＣカ
ードＩ／Ｆ１６０２５から構成されており、通信Ｉ／Ｆ
１６０２４を通して時刻サーバ１６０１０と通信可能で
あり、ＩＣカードＩ／Ｆ１６０２５を通してＩＣカード
１６０３０と通信可能である。

【００４２】ＩＣカード１６０３０(図２のICカード２
０３０に相当)は通信Ｉ／Ｆ１６０３１、メモリ１６０
３２、ＣＰＵ１６０３３から構成されており、通信Ｉ／
Ｆを通してＩＣカード端末１６０２０と通信可能であ
る。

【００４３】メモリ１６０３２にはオペレーションシス
テム１６０３２５と、応用ソフト１６０３２４と、取引
履歴消去時に認証に利用される消去用鍵１６０３２１
と、取引履歴格納時に時刻サーバを認証する際に利用さ
れる検証用鍵１６０３２２とが格納されている。さら
に、メモリ１６０３２は確定した情報を格納(登録)する
ための取引履歴格納領域１６０３２３と、上記応用ソフ
トやオペレーションシステムのための作業領域と、確定
前の情報を仮格納するための一時格納領域とが設けてあ
る。上記取引履歴格納領域１６０３２３の内容は、取引
後に参照されるものであるので、その内容が不要となる
などの理由により後述する手段に従って消去されるまで
は記憶され続けるものである。記憶し続けるためにこの
領域は不揮発性メモリを使うか電池バックアップされた
メモリを使うなどの方法で構成する。なお、ＩＣカード
によってはオペレーティングシステム１６０３２５や応
用ソフト１６０３２４という区別が存在しない場合があ
る。

【００４４】ＩＣカード内の消去用鍵１６０３２１、検
証用鍵１６０３２２などの情報は応用ソフト１６０３２
４がＩＣカードに書き込まれる際に初期化される。応用
ソフト１６０３２４が書き込まれるタイミングとして
は、ＩＣカード製造時、ＩＣカードの個人化（カスタマ
イズ）時、ＩＣカード発行後のソフトウェアダウンロー
ド時などが考えられる。いずれにしてもそれぞれの鍵の
内容を決定するのはクレジットカード会社などのＩＣカ
ードの発行者や、応用ソフトの提供者である。

【００４５】ＩＣカード内のメモリ１６０３２内には上
記データのほか、時刻差検証に用いる時刻差データ、履
歴格納領域の大きさなどが、同様のタイミングで設定さ
れる。

【００４６】次に、図１を用いて処理の流れについて説
明する。以下の処理は、図16に示す応用ソフト１６０３
２４をCPU１６０３３が実行することによって達成され
るものである。ＩＣカード２０３０は乱数Ｒｎｄ１を生
成し、ＩＣカード端末２０２０へ送信する（ステップ１
００１）。乱数Ｒｎｄ１を受け取ったＩＣカード端末２
０２０は、通信網２０４０を通じて時刻サーバ２０１０
へ受け取った乱数Ｒｎｄ１を送信する。乱数Ｒｎｄ１を
受け取った時刻サーバ２０１０は現在時刻Ｔｉｍｅ１と
乱数Ｒｎｄ１を含む電文に電子署名をつけた電文Ｓ（Ｔ
ｉｍｅ１，Ｒｎｄ１）を作成し、ＩＣカード端末２０２
０に返信する（ステップ１０１０）。

【００４７】なお、以下の実施例でも同様であるが、上
記乱数Rnd1は、応用ソフト１６０３２４またはOS１６０
３２５が持つ乱数生成手段により生成されるものであ
る。

【００４８】ここでＳ（ｘ，ｙ）はｘとｙを含む電文に
時刻サーバ固有の電子署名をつけたものを意味する。署
名付時刻Ｓ（Ｔｉｍｅ１，Ｒｎｄ１）を受け取ったＩＣ
カード端末２０２０は、ＩＣカード内に時刻付で格納し
たい情報Ｉｎｆｏとともに署名付時刻Ｓ（Ｔｉｍｅ１，
Ｒｎｄ１）をＩＣカードへ送信する。上記電文を受け取
ったＩＣカード２０３０は、受け取った署名付時刻の電
子署名および電文に含まれる乱数を確認し、Ｔｉｍｅ１
と格納すべき情報Ｉｎｆｏを一時格納領域に仮格納し、
乱数Ｒｎｄ２を生成してＩＣカード端末２０２０へ送信
する（ステップ１００２）。処理中にＩＣカードをＩＣ
カード端末から抜き取るなどの不正や事故が起った場合
に情報が消去されるように一時格納領域を揮発性メモリ
で構成することも可能である。

【００４９】ＩＣカード端末２０２０は先ほどと同様に
受け取った乱数Ｒｎｄ２を時刻サーバ２０４０へ送信す
る。時刻サーバ２０１０は受け取った乱数Ｒｎｄ２と現
在時刻Ｔｉｍｅ２を含む電文に電子署名をつけた電文Ｓ
（Ｔｉｍｅ２，Ｒｎｄ２）を作成し、ＩＣカード端末２
０２０に送信する（ステップ１０１１）。署名付時刻Ｓ
（Ｔｉｍｅ２，Ｒｎｄ２）を受け取ったＩＣカード端末
２０２０はそのままＩＣカード２０３０へ署名付時刻Ｓ
（Ｔｉｍｅ２，Ｒｎｄ２）を送信する。署名付時刻Ｓ
（Ｔｉｍｅ２，Ｒｎｄ２）を受け取ったＩＣカードはそ
の電子署名の正当性を予め格納している検証手段(例え
ばプログラム)により確認し(すなわち、時刻サーバ２０
１０を認証し、)、乱数のチェックを行い、それらが正
しかった場合にＴｉｍｅ２とＴｉｍｅ１の時刻差を計算
し、それがあらかじめ設定したしきい値より小さい場合
にステップ１００２で格納していた確定情報Ｉｎｆｏ
と、新たに求めた時刻Ｔｉｍｅとを情報格納機能２０３
２をもちいて不揮発性メモリや電池バックアップされた
格納領域へ格納する（ステップ１００３）。時刻差がし
きい値以上である場合は、時刻Ｔｉｍｅは求めず、ま
た、仮格納されている確定情報Ｉｎｆｏを格納領域へ移
すことなく消去する。このように時刻差を検証すること
によりICカード端末による不正を事前に見つけ、防止す
ることが可能になる。

【００５０】時刻ＴｉｍｅはＴｉｍｅ１とＴｉｍｅ２か
ら求められるものであり、例えばＴｉｍｅ１やＴｉｍｅ
２そしてその中間値などが考えられる。

【００５１】ＩＣカードは耐タンパー性を備えるため，
上記応用ソフト１６０３２４が電子署名を確認してから
格納した情報は高い信頼性を持つものであるが、さら
に、格納する時刻ＴｉｍｅとしてＴｉｍｅ１、Ｔｉｍｅ
２などの時刻情報の代わりに署名付時刻Ｓ（Ｔｉｍｅ
１，Ｒｎｄ１）やＳ（Ｔｉｍｅ２，Ｒｎｄ２）を用いる
と取引履歴の利用時に、取引履歴利用者が時刻サーバの
電子署名を確認できる。その後ＩＣカード２０３０はＩ
Ｃカード端末２０２０へ処理が正常に終了したという応
答を返す。

【００５２】次に、図７を用いてＩＣカード２０３０の
処理の詳細を説明する。開始要求を受けたＩＣカード２
０３０は乱数Ｒｎｄ１を生成し（ステップ７００１）、
乱数格納機能７１００に格納し（ステップ７００２）、
ＩＣカード端末２０２０へ送信する（ステップ７００
３）。

【００５３】その後、ステップ７００４で署名付時刻デ
ータS（Ｔｉｍｅ１，Ｒｎｄ１）及び格納情報Ｉｎｆｏ
を受け取ったＩＣカードは、その電文の電子署名の確認
及び乱数Ｒｎ１がステップ７００２で格納したものと等
しいかを確認し（ステップ７００５、ステップ７００
６）、正しい場合には格納情報Ｉｎｆｏ及び時刻Ｔｉｍ
ｅ１を一時格納領域７２００へ格納する（ステップ７０
０７）。その後乱数Ｒｎｄ２を生成し（ステップ７００
８）、乱数格納機能７１００に格納し（ステップ７００
９）、ＩＣカード端末２０２０へ送信する（ステップ７
０１０）。

【００５４】その後、ステップ７００１１で署名付時刻
データS（Ｔｉｍｅ２，Ｒｎｄ２）及び格納情報Ｉｎｆ
ｏを受け取ったＩＣカードは、その電文の電子署名の確
認及び乱数Ｒｎｄ１がステップ７００９で格納したもの
と等しいかを確認し（ステップ７０１２、ステップ７０
１３）、正しい場合にはさらにステップ７００７で格納
したＴｉｍｅ１とステップ７０１１で受け取った電文か
ら取出したＴｉｍｅ２の時刻差を計算し（ステップ７０
１４）、予め設定している時刻差データを比較して許容
範囲内であった場合にのみ情報Ｉｎｆｏと時刻情報とを
情報格納領域７３００に格納する（ステップ７０１
５）。

【００５５】次に、図８を用いて時刻サーバの処理を説
明する。時刻サーバは乱数を受信し（ステップ８００
１）、サーバ内の時計機能から現在時刻を取得し（ステ
ップ８００２）、上記時刻と乱数を含む電文に電子署名
を付加し（ステップ８００３）、作成した電子署名付時
刻データを送信する（ステップ８００４）。このよう
に、時刻サーバはＩＣカードに格納したい情報Ｉｎｆｏ
や、署名付時刻要求が一回目か二回目かの区別などを知
らずに動作することが可能であり、負荷が小さくてす
む。

【００５６】また、第一の実施例の別の形態として図３
のように登録時に時刻を渡さないことも可能である。こ
れは情報の格納時刻がある時点より前であることが保証
されればよいような場合、たとえばナンバーくじのよう
な応用例で有効である。

【００５７】以下に図３の処理フローについて説明をす
る。ＩＣカード端末２０２０はＩＣカードに格納したい
情報ＩｎｆｏをＩＣカードに送信する。ＩＣカード２０
３０は受信した情報を一時格納し、乱数Ｒｎｄ２を生成
してＩＣカード端末２０２０へ送信する（ステップ３０
１０）。ＩＣカード端末２０２０は受け取った乱数Ｒｎ
ｄ２を時刻サーバ２０１０へ送信する。乱数Ｒｎｄ２を
受け取ったＩＣカード端末２０２０は、通信網２０４０
を通じて時刻サーバ２０１０へ受け取った乱数Ｒｎｄ２
を送信する。

【００５８】乱数Ｒｎｄ２を受け取った時刻サーバ２０
１０は現在時刻Ｔｉｍｅ２と乱数Ｒｎｄ２を含む電文に
電子署名をつけた電文Ｓ（Ｔｉｍｅ２，Ｒｎｄ２）を作
成し、ＩＣカード端末２０２０に返信する（ステップ３
０２０）。署名付時刻Ｓ（Ｔｉｍｅ２，Ｒｎｄ２）を受
け取ったＩＣカード端末２０２０は署名付時刻Ｓ（Ｔｉ
ｍｅ２，Ｒｎｄ２）をＩＣカードへ送信する。上記電文
を受け取ったＩＣカード２０３０は、受け取った署名付
時刻の電子署名および電文に含まれる乱数を確認し、Ｔ
ｉｍｅ２と格納すべき情報Ｉｎｆｏを格納する（３０１
１）。

【００５９】またさらに、第一の実施例の別の形態とし
て図４のように登録時にのみ時刻を渡すことも可能であ
る。これは情報の格納時刻がある時点より後であること
が保証されればよいような場合、たとえば契約時点から
有効になる保険のような応用例で有効である。

【００６０】以下に図４の処理フローについて説明をす
る。ＩＣカード２０３０は乱数Ｒｎｄ１を生成し、ＩＣ
カード端末２０２０へ送信する。乱数Ｒｎｄ１を受け取
ったＩＣカード端末２０２０は、通信網２０４０を通じ
て時刻サーバ２０１０へ受け取った乱数Ｒｎｄ１を送信
する。乱数Ｒｎｄ１を受け取った時刻サーバ２０１０は
現在時刻Ｔｉｍｅ１と乱数Ｒｎｄ１を含む電文に電子署
名をつけた電文Ｓ（Ｔｉｍｅ１，Ｒｎｄ１）を作成し、
ＩＣカード端末２０２０に返信する（ステップ４０１
０）。

【００６１】署名付時刻Ｓ（Ｔｉｍｅ１，Ｒｎｄ１）を
受け取ったＩＣカード端末２０２０は、ＩＣカード内に
時刻付で格納したい情報Ｉｎｆｏとともに署名付時刻Ｓ
（Ｔｉｍｅ１，Ｒｎｄ１）をＩＣカードへ送信する。上
記電文を受け取ったＩＣカード２０３０は、受け取った
署名付時刻の電子署名および電文に含まれる乱数を確認
し、Ｔｉｍｅ１と格納すべき情報Ｉｎｆｏを格納する
（ステップ４０１０）。

【００６２】以上説明したように、乱数をやりとりする
ことにより、単なる電子署名付の時刻情報をＩＣカード
に与える場合に比べ、電子署名付の時刻データが再利用
される（再送攻撃）、ＩＣカード端末が信頼できない、
端末が入手した電子署名付時刻をすぐにＩＣカードへ送
信しないなどの課題を克服することができる。

【００６３】これらの課題が生じないような場合は上記
実施例の別の形態として図５のように時刻サーバからの
署名に乱数を含まないことも可能である。この場合、署
名付時刻データの再利用が可能になり、厳格な意味での
時刻特定は困難であるが、時刻サーバはたとえば無線放
送などで署名付時刻データを絶えず流すことが可能にな
るため、時刻サーバの負荷が低減する。

【００６４】以下に図５を用いて処理フローを説明す
る。時刻サーバ２０１０によって現在時刻Ｔｉｍｅ２に
電子署名がつけられた電文Ｓ（Ｔｉｍｅ２）を受け取っ
たＩＣカード端末２０２０は、ＩＣカード内に時刻付で
格納したい情報Ｉｎｆｏとともに署名付時刻Ｓ（Ｔｉｍ
ｅ２）をＩＣカードへ送信する。上記電文を受け取った
ＩＣカード２０３０は、受け取った署名付時刻の電子署
名を確認し、Ｔｉｍｅ２と格納すべき情報Ｉｎｆｏを格
納する（ステップ５０１０）。

【００６５】次に、本発明の第一の実施例の適用例とし
て証券売買を行う時の処理を図９〜１０を用いて説明す
る。

【００６６】図９は本適用例の構成図である。時刻サー
バ９０３０は時計機能９０３１と署名生成機能９０３２
を有している。証券会社サーバ９０２０は見積作成機能
９０２１を有している。携帯型ＩＣカード端末９０１０
は出力装置９０１１及び入力装置９０１２を有してお
り、ＩＣカード９０４０と通信を行う。この例では、証
券会社サーバ９０２０と携帯型ＩＣカード端末９０１０
をあわせて、第一の実施例の構成図である図２における
ＩＣカード端末２０２０と見なすことができる。

【００６７】図１０は本適用例の処理の流れを示す図で
ある。以下、図１０を用いて処理の流れを詳細に説明す
る。本適用例は携帯型ＩＣカード端末の使用者が無線通
信を通じて証券会社サーバと通信を行い、証券の売買契
約を結び、その証拠を手元のＩＣカードに残すための処
理である。

【００６８】まず、ＩＣカード９０４０から乱数を受け
取った証券会社サーバ９０２０はその乱数を時刻サーバ
９０３０へ送信する。上記乱数を受け取った時刻サーバ
９０３０は、現在時刻と上記受け取った乱数とを含む電
文に電子署名を付加した署名付時刻を作成し証券会社サ
ーバ９０２０へ返信する（ステップ１０００１）。上記
署名付時刻を受け取った証券会社サーバ９０２０は見積
作成機能９０２１を用いて売買すべき証書の見積を作成
し上記署名付時刻と共に携帯型ＩＣカード端末９０１０
へ送信する（ステップ１０００２）。上記見積及び署名
付時刻を受け取った携帯型ＩＣカード端末９０１０は上
記見積内容を出力装置９０１１へ表示し、携帯型ＩＣカ
ード端末使用者は入力装置９０１２を用いて確認をする
（ステップ１０００３）。

【００６９】確認の入力を受け取った携帯型ＩＣカード
端末９０１０は上記見積及び署名付時刻をＩＣカード９
０４０へ送信する。上記見積及び署名付時刻を受け取っ
たＩＣカード９０４０は、署名の確認や情報の格納など
を行い乱数を生成しその乱数を携帯型ＩＣカード端末９
０１０へ返信する（ステップ１０００４）。上記乱数を
受け取った携帯型ＩＣカード端末９０１０は証券会社サ
ーバ９０２０へ上記乱数を送信し、上記乱数を受け取っ
た証券会社サーバ９０２０は時刻サーバ９０３０へ上記
乱数を送信する。

【００７０】上記乱数を受け取った時刻サーバ９０３０
は、現在時刻と上記受け取った乱数とを含む電文に電子
署名を付加した署名付時刻を作成し証券会社サーバ９０
２０へ返信する（ステップ１０００５）。上記署名付時
刻を受け取った証券会社サーバ９０２０は携帯型ＩＣカ
ード端末９０１０へ上記署名付時刻を送信し、上記署名
付時刻を受け取った携帯型ＩＣカード端末９０１０はＩ
Ｃカード９０４０へ上記署名付時刻を送信する。上記署
名付時刻を受け取ったＩＣカード９０４０は署名の確
認、記憶していた開始時刻との時刻差の検査を行い、許
容範囲内であればステップ１０００４で仮確定していた
見積内容および時刻を確定させる（ステップ１０００
６）。

【００７１】次に、第二の実施例について図１１〜１２
を用いて説明する。図１１は本発明の第二の実施例の構
成図である。ＩＣカード端末１１０２０は時計機能１１
０２１と電子署名生成機能１１０２２を有している。Ｉ
Ｃカード１１０１０は乱数生成機能１１０１２と電子署
名検証機能１１０１１と情報格納機能１１０１３有して
いる。

【００７２】図１２を用いて処理の流れを説明する。Ｉ
Ｃカード１１０１０は乱数Ｒｎｄを生成し、ＩＣカード
端末１１０２０へ送信する。乱数Ｒｎｄを受け取ったＩ
Ｃカード端末１１０２０は現在時刻Ｔｉｍｅと上記受け
取った乱数Ｒｎｄを含む電文に電子署名をつけた電文Ｓ
（Ｔｉｍｅ，Ｒｎｄ）を作成し、ＩＣカード内に時刻付
で格納したい情報ＩｎｆｏとともにＩＣカードへ送信す
る。上記電文を受け取ったＩＣカード１１０１０は、受
け取った署名付時刻の電子署名および電文に含まれる乱
数を確認し、Ｔｉｍｅと格納すべき情報Ｉｎｆｏを格納
する（ステップ１２０１０）。

【００７３】以上のような方法により時刻サーバを用い
ないで正しいタイムスタンプを打つことが可能である
が、さらに強固にするためにはＩＣカード端末の内部時
計を容易に変更できないような仕掛け、電子署名用の暗
号鍵が漏洩しないような仕掛け、タイムスタンプ保証者
による端末認定によってのみ前記暗号鍵がＩＣカード端
末に埋め込まれるなどの方式を取る必要がある。

【００７４】なお、ＩＣカード内部の記憶領域は有限で
あるため、ＩＣカード内に格納された取引履歴情報はそ
の役目を果たしたときに消去する。消去方法としては新
しい履歴情報の格納時に一番古い履歴情報を消去して新
しい履歴情報を上書きする方法がある。この場合、取引
を重ねるにつれ古い取引情報が自動的に消去されてしま
うので取引履歴を後程取引が行われたことの証拠として
利用したい場合には適さない。

【００７５】また、消去権限を持ったものを認証した場
合にのみ取引履歴を消去する方法もある。この時の消去
権限を持ったものは例えばカードの所有者やカードの発
行者であるカード会社などが考えられる。認証手段とし
ては、カード所有者の暗証番号入力やカードの発行者の
電子署名による認証が考えられる。

【００７６】また、履歴情報を外部に取り出してから消
去する方法もある。この場合、ＩＣカード内に電子署名
用の鍵を保持し、履歴情報に電子署名を付加して出力
し、それを例えばパソコンのハードディスクに格納する
ことによりその履歴が該当するＩＣカード内に格納され
ていたことを証明することが可能になる。

【００７７】上記各実施例は、ICカード内に時計手段を
持たない場合について述べたがこれに限定されない。つ
まり時計手段を持っている場合でも時刻サーバから上記
各実施例と同様の方法・手段によって時刻情報を受信し
てもよい。この場合は受信した時刻情報を用いてＩＣカ
ード内の時計手段を調整または時刻の確認をしたのちIC
カード内で履歴情報に用いる時刻情報を生成してもよ
い。

【００７８】なお、上記各実施例時刻については、グリ
ニッジ時間等、世界のある地点を基点とした24時間制の
情報か、もしくは、時刻情報と併せて場所情報について
も記録しておいてもよい。

【００７９】

【発明の効果】以上述べたように本発明によれば、ＩＣ
カードなど動力源を持たない情報処理装置を管理制御す
る装置に、信頼が置ける置けないに係わらず、当該情報
処理装置の内部に正確な時刻情報を含む情報を記録する
ことが可能になる。

【図面の簡単な説明】

【図１】本発明の第一実施例における処理の流れを表す
図である。

【図２】本発明の第一実施例におけるシステム構成図で
ある。

【図３】本発明の第一実施例の一変形例における処理の
流れを表す図である。

【図４】本発明の第一実施例の一変形例における処理の
流れを表す図である。

【図５】本発明の第一実施例の一変形例における処理の
流れを表す図である。

【図６】従来技術の処理の流れを表す図である。

【図７】本発明の第一実施例の応用例におけるＩＣカー
ドの処理の流れを表す図である。

【図８】本発明の第一実施例におけるの処理の流れを表
す図である。

【図９】本発明の第一実施例を証券システムへ応用した
場合のシステム構成図である。

【図１０】本発明の第一実施例を証券システムへ応用し
た場合の処理の流れを表す図である。

【図１１】本発明の第二実施例におけるシステム構成図
である。

【図１２】本発明の第二実施例における処理の流れを表
す図である。

【図１３】本発明の第一実施例におけるシステム構成図
である。

【図１４】本発明の第一実施例におけるＩＣカード内に
格納されるデータの形式を表す図である。

【図１５】本発明の第一実施例における処理の流れを表
す図である。

【図１６】本発明におけるシステムのハードウェア構成
を表す図である。

【符号の説明】

２０１０…時刻サーバ、２０２０…ＩＣカード端末、２
０３０…ＩＣカード、２０４０…通信網、９０１０…携
帯型ＩＣカード端末、９０２０…証券会社サーバ、９０
３０…時刻サーバ、９０４０…ＩＣカード、１１０１０
…ＩＣカード、１１０２０…時計機能付ＩＣカード端
末、１３０１０…時刻サーバ、１３０２０…ＩＣカード
端末、１３０３０…ＩＣカード、１３０４０…通信網。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｈ０４Ｌ 9/32 Ｈ０４Ｌ 9/00 ６７５Ｚ (72)発明者長岡晴子神奈川県川崎市麻生区王禅寺1099番地株式会社日立製作所システム開発研究所内Ｆターム(参考） 5B058 CA40 KA31 5J104 AA09 AA11 LA06 NA35 9A001 BB06 DD15 EE03 JJ08 JJ67 KK57 KK58 LL03

Claims

【特許請求の範囲】

【請求項１】時刻情報と処理情報とを格納する情報格納
装置と、前記情報格納装置に情報を処理するための動力
を与えると共に前記情報のやり取りをする第一の情報処
理装置とからなるシステムにおける、前記情報格納装置
への情報格納方法において、上記情報格納装置は、時計手段と時刻通知手段とを備え
た第二の情報処理装置から上記第一の情報処理装置を通
して通知された時刻情報を格納する処理と、上記第一の情報処理装置から送信された処理情報とを格
納する処理と、上記時刻情報及び処理情報とを時系列に格納する処理と
を行うことを特徴とする情報格納方法。
【請求項２】請求項1の情報処理方法における前記時刻
情報の格納処理において、電子署名を用いた正当性確認
を行うことを特徴とする情報格納方法。
【請求項３】請求項1または2の情報格納方法において、上記情報格納装置は、上記処理情報を格納する処理の直
前と直後とに格納された時刻を比較し、その差が事前に
定められた時刻差よりも大きい場合には上記格納された
情報を消去することを特徴とする情報格納方法。
【請求項４】請求項1または2の情報格納方法において、上記情報格納装置は、上記処理情報を格納する処理の
後、前記第一の情報処理装置からの動力供給が断たれる
前に上記時刻情報の格納処理が行われなかった場合に
は、上記登録された情報を消去することを特徴とする情
報格納方法。
【請求項５】請求項1または2の情報格納方法において、上記第一の情報処理装置は、上記第二の情報処理装置か
ら受信した時刻情報と共に上記情報格納装置へ格納する
処理情報を上記情報格納装置へ送信し、上記情報格納装置は、上記処理情報を上記時刻情報が示
す時刻とともに格納することを特徴とする情報格納方
法。
【請求項６】外部からの動力供給により時刻情報と処理
情報とを格納する情報格納装置における情報格納方法に
おいて、時刻情報と処理情報とを時系列で格納することを特徴と
する情報格納方法。
【請求項７】外部からの動力供給により情報を処理及び
格納する情報格納装置における情報格納方法において、上記情報格納手段は第一の乱数を生成し送信し、受信した第一の署名付時刻情報に添付された乱数を前記
第一の乱数と比較するとともに、前記第一の署名付時刻
情報に添付された電子署名を検証し、それぞれの正当性を確認した場合に受信した情報を仮格
納し、第二の乱数を生成し送信し、受信した第二の署名付時刻に添付された乱数を前記第二
の乱数と比較するともに、前記第二の署名付時刻に添付
された電子署名を検証し、それぞれの正当性を確認した場合に上記仮格納した情報
を格納することを特徴とする情報格納方法。
【請求項８】通信手段を持つ情報処理装置における情報
処理方法であって、上記情報処理装置は、時刻取得手段と電子署名生成手段
とを有し、上記情報処理装置は、前記通信手段が受信したデータと前記時刻取得手段が取
得した時刻情報とに、前記電子署名生成手段が生成した
電子署名を付加した情報を生成し、前記通信手段を介して前記情報を返信する手段を備える
ことを特徴とする情報処理方法。
【請求項９】外部からの動力供給により情報を処理及び
格納する情報格納装置と、前記情報格納装置に動力を与
えると共に情報のやり取りをする情報処理装置とをもち
いて情報を格納するシステムにおける情報処理方法にお
いて、上記情報処理装置は、時刻情報と処理情報とを時系列的
に、上記情報格納装置へ通知し、上記情報格納装置は、通知された時刻情報と処理情報と
を時系列的に格納することを特徴とする情報処理方法。
【請求項１０】外部からの動力供給により情報を処理及
び格納する情報格納装置と、前記情報格納装置に動力を
与えると共に情報のやり取りをする情報処理装置とをも
ちいて情報を格納するシステムにおける情報処理方法に
おいて、上記情報格納装置が乱数を生成して上記情報処理装置へ
送信し、上記情報処理装置は受信した乱数と時刻取得手段が取得
した時刻情報とを含むデータに電子署名を付加し、前記情報格納装置に格納すべき処理情報とともに上記情
報格納装置へ送信し、上記情報格納装置は、受信した前記データに添付された電子署名の正当性を検
証し、受信した前記データに含まれる乱数が上記生成し送信し
た乱数と同じであることを確認し、上記検証及び確認に成功した場合に、上記受信した処理
情報と時刻情報とを格納することを特徴とする時刻情報
処理方法。