JP4807377B2 - 通信装置、通信方法、通信システム及びサービス発行方法 - Google Patents

Description

本発明は、通信装置、通信方法、通信システム及びサービス発行方法に関し、特に、通信装置に記録されるデータ量を低減する通信装置、通信方法、通信システム及びサービス発行方法に関する。

セキュリティデバイスである通信装置の一例としてのＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カードを発行する技術については様々なものが開示されている（例えば、特許文献１参照）。従来の通信装置に対するサービスの発行は、例えば、通信装置に埋め込まれたＩＣチップがＦｅｌｉＣａ（登録商標）であり、搭載されるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）がＦｅｌｉＣａ ＯＳであるアプリケーション汎用型ＯＳである場合には、発行側の端末から通信装置（ＩＣチップ）に対して複数の発行用コマンドが送信され、コマンドに対する処理が通信装置において実行されることによって行われる。

ここで、サービスとは、通信装置のファイルシステムにおいて、電子マネーのデータそのものなどの、データの実体を管理する範囲をいう。例えば、Ｗｉｎｄｏｗｓ（登録商標）でいう“ファイル”がこれに相当する。あるサービスにおいて管理されるデータにアクセスするためには、サービスに対して必要に応じて割り当てられている認証鍵と同じ鍵が、アクセスを行おうとする端末側に用意されている必要がある。

サービスの発行とは、サービスを定義する情報や、電子マネーのデータそのものなどであるユーザデータを記憶するメモリの領域を確保し、それらの情報をメモリに格納することによって、通信装置のファイルシステムに新たなサービスを作成することをいう。

通信装置においてサービス発行コマンドが実行されることにより、ＯＳごとに定義された所定のアクセス属性（データ構造の種類、ユーザデータへのアクセス方法などを定義している）、および、アクセスを行う際の認証に用いられる認証鍵を設定することができる。また、これらのサービスの組み合わせによって１つのデータ構造が表現され、対応するアプリケーションを実現する。アプリケーションとは、事業者が提供するサービスのことをいい、例として、プリペイド電子マネーアプリケーション、クレジットアプリケーション、チケットアプリケーションなどがある。

通信装置は、サービス発行用の端末の所定の位置に設けられる非接触リーダ／ライタにかざされる、あるいは、接触リーダ／ライタに有線インタフェースで接続されるなどの通信部を介して、提供を受けようとするアプリケーションに対応するサービスの発行を受けることができる。

また、通信装置が携帯電話に組み込まれた機能である場合などは、ＩＣチップと携帯電話内のコントローラとを有線インタフェースで接続し、この有線インタフェースを介してサービス発行用コマンドをＩＣチップに入力する方法により、リーダ／ライタを用いずに、サービスの発行を行うことも可能である。この場合、さらに、携帯電話網を介してサービス発行用コマンドを送信することで、サービス発行システムを遠隔地に設置することができる。

特開２００７−３１７０９３号公報

しかしながら、セキュリティデバイスである通信装置において、データブロック（データ格納領域）に対してアクセス制御情報を発行（発券）する場合、アクセス制御情報単位に、データブロックのアドレス範囲、アクセス属性、認証鍵を設定していた。このため、通信装置における記録部の定義情報領域に対して、アクセス制御情報単位に、データブロックのアドレス範囲、アクセス属性、認証鍵などを格納する必要があり、格納領域の必要量が増大するという問題があった。

本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、セキュリティデバイスである通信装置の記録部に保持すべきサービス定義情報の情報量を低減することが可能な、新規かつ改良された技術を提供することにある。

上記目的を達成するために、本発明のある観点によれば、サービス発行端末と信号の送受信を行う通信部と、リーダにより読み出される所定のデータがあらかじめ記録されるとともに、データにアクセスするための認証鍵が記録され、認証鍵を特定する情報と認証鍵を使用してデータに対する読み出し処理または書き込み処理が可能であるか否かを示すアクセス属性とが対応付けられたパターンが第１番目から第Ｎ（Ｎは自然数）番目まで記録される記録部と、通信部を介して、サービス定義データベースに対する問い合わせの結果として記録部のアドレスによりデータの領域を指定する情報を取得したサービス発行端末から、記録部のアドレスによりデータの領域を指定する情報を第１番目から第Ｎ−１番目まで付加したコマンドであるサービス発行コマンドを受信すると、受信したサービス発行コマンドに付加された第１番目から第Ｎ−１番目までのデータの領域を指定する情報を順に並べて保持する制御部と、を備え、制御部により順に並べて保持されている第１番目から第Ｎ−１番目までのデータの領域を指定する情報のいずれかがリーダからの読み出しコマンドにより指定された場合、指定されたデータの領域を指定する情報により指定される領域からデータが読み出される、通信装置が提供される。

本発明によれば、セキュリティデバイスである通信装置の記録部に保持すべきサービス定義情報の情報量を低減することが可能な技術を提供することが可能となる。

以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

図1は、アプリケーション汎用型ＯＳが搭載された通信装置（例えば、ＩＣカード）を対象にした従来のサービス発行方式について説明する図である。

図1に示されるように、サービスの発行はサービス発行システム１により行われる。サービス発行システム１は、例えば、アプリケーション事業者が用意するシステムであり、サービス発行端末１１とサービス定義データベース１２から構成される。サービス発行端末１１の筐体の所定の位置には、通信装置２と信号の送受信を行う通信部の一例としてのリーダ／ライタ１１Ａが設けられる。サービス発行システム１は１つの装置から構成されるようにしてもよいし、複数の装置から構成されるようにしてもよい。

通信装置２は、所定のアプリケーションの提供を受けようとするユーザが有する非接触通信装置であり、通信装置２においてはサービス発行機能２１とファイルシステム２２が実現される。サービス発行機能２１は所定のプログラムがＩＣチップにより実行されることによって実現される機能であり、サービス発行端末１１から送信されてきたサービス発行コマンドを解釈し、サービスの発行を行う。ファイルシステム２２はＩＣチップのメモリに格納されるデータを管理するファイルシステムである。サービスの発行を受けるとき、通信装置２はサービス発行端末１１のリーダ／ライタ１１Ａにかざされる。

リーダ／ライタ１１Ａに通信装置２がかざされたとき、サービス発行端末１１は、図１に示されるように、プロセスＰ１として、通信装置２に発行するサービス発行コマンドに付加するコマンドパラメータをサービス定義データベース１２に問い合わせる。

サービス発行端末１１からの問い合わせを受けたとき、サービス定義データベース１２は、プロセスＰ２として、発行するサービスの種類に応じたデータ構造やユーザデータへのアクセス方法などを指定するサービス発行情報を応答する。

サービス定義データベース１２からの応答を受けたとき、サービス発行端末１１は、プロセスＰ３として、サービス定義データベース１２に問い合わせることによって得られたサービス発行情報をコマンドパラメータとして付加したサービス発行要求（ＲｅｇｉｓｔｅｒＳｅｒｖｉｃｅ＿Ｒｅｑ）コマンドを通信装置２に送信する。サービス発行コマンドとコマンドパラメータの送信はリーダ／ライタ１１Ａを介して行われる（図２（ｃ）にサービス発行要求コマンドの一例を、図３にサービス発行シーケンス一例を示す）。

サービス発行端末１１から送信されてきたサービス発行コマンドとコマンドパラメータを受信したとき、通信装置２のサービス発行機能２１は、サービス発行コマンドを解釈し、プロセスＰ４として通信装置内部処理を実行する。ここでの通信装置内部処理により、サービス発行コマンドとともにサービス発行端末１１から送信されてきたコマンドパラメータに含まれるサービス発行情報に基づいてサービス定義情報２２Ａ（図４参照）が生成される。サービス発行機能２１は、サービス定義情報２２Ａに従ってファイルシステム２２上にサービスデータ構造をマッピングし、これにより、サービスの発行を行う。

サービスの発行が終了したとき、サービス発行機能２１は、プロセスＰ５として、サービスの発行が終了したことを表す情報（結果コード（ＳＦ））をサービス発行応答（ＲｅｇｉｓｔｅｒＳｅｒｖｉｃｅ＿Ｒｅｓ）のパラメータに含めて、サービス発行端末１１に送信する。

図２は、従来のサービス発行方式で使用されるコマンドの一例を示す図である。図２を参照して、従来のサービス発行方式で使用されるコマンドについて説明する。

図２（ａ）に示すように、認証要求（Ａｕｔｈ１＿Ｒｅｑ）は、コマンドを識別する要求識別子、通信装置を識別する装置識別子（ＩＤｍ）、サービスを識別するサービスコード（ＳＩＤ）、認証チャレンジメッセージ（Ｍ１ｃ）等を含んで構成される。

図３は、従来のサービス発行シーケンスの一例を示す図である。図３を参照して、従来のサービス発行シーケンスについて説明する。

図３に示すように、所望するサービスデータ構造を定義するサービス定義情報の生成にあたっては、それを、プロセスＰ３（図１参照）とＰ５（図１参照）の１回のやり取りでは実現することができない場合がある。その場合、プロセスＰ３とＰ５のやりとりが複数回繰り返される。

図４は、従来のサービス定義情報およびデータの構成例を示す図である。図４を参照して、従来のサービス定義情報およびデータの構成について説明する。

図４に示すように、サービス定義情報２２Ａは、より具体的には、通信装置２００の（不揮発性メモリ等で提供される）記録部１０６に記録される。通信装置２００の記録部１０６は、図４に示すように、サービス定義情報領域とデータ領域に大別され、サービス定義情報領域には、ＯＳごとに定義された所定のアクセス属性およびアクセスを行う際の認証に用いられる認証鍵を定義していることが一般的である。図４に示した例では、サービス単位ごとにサービスコード（ＳＩＤ）とよばれるサービス識別子を、ＳＩＤ１〜ＳＩＤ５の５種類定義しており、各々のサービス識別子単位に、アクセス属性（ＡＡ１〜ＡＡ５）、認証鍵（Ｋ１、Ｋ２）の有無（無しの場合はハイフン”−“）、対象ユーザデータアドレス（ＡＤ１〜ＡＤ５）をセットで格納している。

運用にあたっては、任意のユーザデータアドレスへアクセスをする場合は、対応するサービスコード（ＳＩＤ）をパラメータに指定して、認証用コマンドを実行する。認証処理は、対応サービスコード（ＳＩＤ）に格納された認証鍵によって行われる。認証が完了すると、読み出し用コマンド、書き込み用コマンドなどを用いて、対応サービスコード（ＳＩＤ）に格納された、アクセス属性（ＡＡ）に従い、かつ、対象ユーザデータアドレス（ＡＤ）に対する指定がなされた場合にのみ、コマンドの実行が許容されるよう制御される。

このような構成のシステムにおいては、通信装置の記録部にサービスコード（ＳＩＤ）ごとにアクセス属性ＡＡ、認証鍵Ｋ、対象ユーザデータアドレスＡＤを格納する領域が必要となる。

図５は、従来のデータ読み取りおよび書き込み処理で使用されるコマンドの一例を示す図である。図５を参照して、従来のデータ読み取りおよび書き込み処理で使用されるコマンドについて説明する。

図５（ａ）に示すように、読み出し要求（Ｒｅａｄ＿Ｒｅｑ）は、コマンドを識別する要求識別子、セッションを識別するセッションＩＤ、データ読み出し元のアドレスを示す読み出し対象アドレス（Ｒ＿ＡＤ）、アクセス方法を示すアクセス属性（Ｒ＿ＡＡ）等を含んで構成される。

図５（ｂ）に示すように、読み出し応答（Ｒｅａｄ＿Ｒｅｓ）は、コマンドを識別する応答識別子、セッションを識別するセッションＩＤ、処理結果を示す結果コード（ＳＦ）、読み出したデータである読み出し対象データ（ＤＡＴＡ）等を含んで構成される。

図５（ｃ）に示すように、書き込み要求（Ｗｒｉｔｅ＿Ｒｅｑ）は、コマンドを識別する要求識別子、セッションを識別するセッションＩＤ、データ書き込み先のアドレスを示す書き込み対象アドレス（Ｒ＿ＡＤ）、アクセス方法を示すアクセス属性（Ｒ＿ＡＡ）、書き込むデータである書き込み対象データ（ＤＡＴＡ）等を含んで構成される。

図５（ｄ）に示すように、書き込み応答（Ｗｒｉｔｅ＿Ｒｅｓ）は、コマンドを識別する応答識別子、セッションを識別するセッションＩＤ、処理結果を示す結果コード（ＳＦ）等を含んで構成される。

図６は、従来の認証処理の流れを示すフローチャートの一例を示す図である。図６を参照して（適宜他の図参照）、従来の認証処理について説明する。

認証処理は、リーダ／ライタから通信装置に対して、認証要求（Ａｕｔｈ１＿Ｒｅｑ）（図２（ａ）参照）を送信することで、通信装置の制御部によって開始され、通信装置が認証応答（Ａｕｔｈ１＿Ｒｅｓ）（図２（ｂ）参照）を返送することで正常終了する。

まず、通信装置は、Ｐ９１でコマンド（Ａｕｔｈ１＿Ｒｅｑ）を受信する。Ｐ９２でコマンドパラメータ（装置識別子（ＩＤｍ）、サービスコード（ＳＩＤ）、認証チャレンジメッセージ（Ｍ１Ｃ））をパース（抽出）する。Ｐ９３で、通信装置の記録部に保持されるサービス定義情報を読み出し、Ｐ９２で得られたサービスコード（ＳＩＤ）に対応するサービス定義情報を特定し、ＲＡＭ上に内容を展開（保持）する。Ｐ９４で、Ｐ９３で得られた特定されたサービス定義情報をもとに、認証鍵（Ｋ）を特定する。認証鍵が設定されていない場合は、Ｐ９９へすすみ、認証応答（Ａｕｔｈ＿Ｒｅｑ）を返送せず無応答終了とする。Ｐ９５で、Ｐ９４で特定された認証鍵（Ｋ）を記録部から読み出す。Ｐ９６で、Ｐ９２、Ｐ９５で得られたコマンドパラメータ、および、認証鍵（Ｋ）を用いて、認証処理を実行する。Ｐ９７で、Ｐ９６で得られたレスポンスパラメータ（認証チャレンジメッセージ（Ｍ２Ｃ）および認証チャレンジメッセージ（Ｍ３Ｃ））をもとに、レスポンスパケットを生成し、リーダ／ライタに対して返送する。

図７は、従来のデータ読み出し処理の流れを示すフローチャートの一例を示す図である。図７を参照して（適宜他の図参照）、従来のデータ読み出し処理について説明する。

まず、通信装置は、Ｐ１０１でコマンド（Ｒｅａｄ＿Ｒｅｑ）を受信する。Ｐ１０２でコマンドパラメータ（セッションＩＤ、読み出し対象アドレス（Ｒ＿ＡＤ）、アクセス属性（Ｒ＿ＡＡ））をパース（抽出）する。Ｐ１０４で、認証処理で特定されたサービス定義情報をもとに、対象ユーザデータアドレス（ＡＤ）を特定し、読み出し対象アドレス（Ｒ＿ＡＤ）が含まれていることを確認する。確認できなかった場合は、Ｐ１０８へすすみ、エラーレスポンスを返送して終了する。Ｐ１０５では、認証処理で特定されたサービス定義情報をもとに、アクセス属性（ＡＡ）を特定し、アクセス属性（Ｒ＿ＡＡ）が対応範囲内であることを確認する。確認できなかった場合は、Ｐ１０８へすすみ、エラーレスポンスを返送して終了する。Ｐ１０６で、Ｐ１０２で得られたコマンドパラメータを用いて、読み出し処理を実行する。Ｐ１０７で、Ｐ１０６で得られたレスポンスパラメータ（結果コード（ＳＦ）および読み出し対象データ（ＤＡＴＡ））をもとに、レスポンスパケットを生成し、リーダ／ライタに対して返送する。

図８は、従来のデータ書き込み処理の流れを示すフローチャートの一例を示す図である。図８を参照して（適宜他の図参照）、従来のデータ書き込み処理について説明する。

まず、通信装置は、Ｐ１１１でコマンド（Ｗｒｉｔｅ＿Ｒｅｑ）を受信する。Ｐ１１２でコマンドパラメータ（セッションＩＤ、書き込み対象アドレス（Ｒ＿ＡＤ）、アクセス属性（Ｒ＿ＡＡ）、書き込み対象データ（ＤＡＴＡ））をパース（抽出）する。Ｐ１１４で、認証処理で特定されたサービス定義情報をもとに、対象ユーザデータアドレス（ＡＤ）を特定し、書き込み対象アドレス（Ｒ＿ＡＤ）が含まれていることを確認する。確認できなかった場合は、Ｐ１１８へすすみ、エラーレスポンスを返送して終了する。Ｐ１１５では、認証処理で特定されたサービス定義情報をもとに、アクセス属性（ＡＡ）を特定し、アクセス属性（Ｒ＿ＡＡ）が対応範囲内であることを確認する。確認できなかった場合は、Ｐ１１８へすすみ、エラーレスポンスを返送して終了する。Ｐ１１６で、Ｐ１１２で得られたコマンドパラメータを用いて、書き込み処理を実行する。Ｐ１１７で、Ｐ１１６で得られたレスポンスパラメータ（結果コード（ＳＦ））をもとに、レスポンスパケットを生成し、リーダ／ライタに対して返送する。

図９は、本発明の実施形態に係るサービス定義情報の一例を示す図である。図９を参照して、本発明の実施形態に係るサービス定義情報の一例を示す図である。

サービス発行情報テーブルとは、サービス定義情報２２０Ａに格納するデータ構造を表記したものである。

サービス発行情報テーブルの一例であり、パターン番号の項で示される５種類のアクセス属性値パターンが規定されていることを示している。

パターンＰＴ１は、認証の有無に関わらずＲｅａｄ／Ｗｒｉｔｅ可能なアクセス属性を示している。

パターンＰＴ２は、認証鍵Ｋ１／Ｋ２を利用した認証の後にＲｅａｄ／Ｗｒｉｔｅ可能、または、認証なしの場合は、Ｒｅａｄのみ可能なアクセス属性を示している。

パターンＰＴ３は、認証鍵Ｋ１／Ｋ２を利用した認証の後にＲｅａｄ／Ｗｒｉｔｅ可能であるが、認証なしの場合は、アクセス不可であるアクセス属性を示している。

パターンＰＴ４は、認証鍵Ｋ１を用いた認証の後は、Ｒｅａｄ／Ｗｒｉｔｅ可能であり、認証鍵Ｋ２を用いた認証の後は、Ｒｅａｄのみ可能であり、認証なしの場合は、アクセス不可であるアクセス属性を示している。

パターンＰＴ５は、認証鍵Ｋ１を用いた認証の後のみＲｅａｄ／Ｗｒｉｔｅ可能であり、それ以外は、アクセス不可であるアクセス属性を示している。

これらのパターン番号とアクセス属性の対応およびパターン番号の順番は、通信装置製品によって固定の仕様であり、制御部によって仕様に従った解釈がされるよう実装がなされているものとする。

図９に示すように、（規定の）アクセス属性情報は、認証鍵を特定する情報と、その認証鍵を使用してデータ領域に対する読み出し処理または書き込み処理が可能であるか否かを示す情報（パターン）とが対応付けられた組み合わせによって構成されている。その組み合わせは、１以上であればいくつであってもよい。また、図９に示すように、各組み合わせに対してパターン番号が割り当てられていることとしてもよい。これらのアクセス属性情報は、通信装置２００の記録部１０６（図１２参照）に記録されている。

図１０は、本発明の実施形態に係るシステムの一例を示す図である。図１０を参照して、本発明の実施形態に係るシステムの一例を示す図である。

図１０に示されるように、サービスの発行はサービス発行システム１００により行われる。サービス発行システム１００は、例えば、アプリケーション事業者が用意するシステムであり、サービス発行端末１１０Ｃとサービス定義データベース１２０から構成される。サービス発行端末１１０Ｃの筐体の所定の位置には、通信装置２００と信号の送受信を行う通信部の一例としてのリーダ／ライタ１１０Ａが設けられる。また、サービス発行端末１１０Ｃには、リーダ／ライタ１１０Ａの制御や、サービス発行端末１１０Ｃ内部の制御処理を行う処理部１１０Ｂを備えられている。処理部１１０Ｂは、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｄｅｓｓｉｎｇ Ｕｎｉｔ）等によって構成され、例えば、図示しないメモリに格納されたプログラムを実行することによってその機能が実現される。サービス発行システム１００は１つの装置から構成されるようにしてもよいし、複数の装置から構成されるようにしてもよい。

通信装置２００は、所定のアプリケーションの提供を受けようとするユーザが有する非接触通信装置であり、通信装置２００においてはサービス発行機能２１０とファイルシステム２２０が実現される。サービス発行機能２１０は所定のプログラムがＩＣチップにより実行されることによって実現される機能であり、サービス発行端末１１０Ｃから送信されてきたサービス発行コマンドを解釈し、サービスの発行を行う。このサービス発行機能２１０は、図１１に示した制御部１０４が有する機能の一部である。ファイルシステム２２０はＩＣチップのメモリに格納されるデータを管理するファイルシステムである。サービスの発行を受けるとき、通信装置２００はサービス発行端末１１０Ｃのリーダ／ライタ１１０Ａにかざされる。

リーダ／ライタ１１０Ａに通信装置２００がかざされたとき、サービス発行端末１１０Ｃの処理部１１０Ｂは、図１０に示されるように、プロセスＰ１０として、通信装置２に発行するサービス発行コマンドに付加するコマンドパラメータをサービス定義データベース１２０に問い合わせる。

サービス発行端末１１０Ｃからの問い合わせを受けたとき、サービス定義データベース１２０は、プロセスＰ２０として、サービス発行情報を応答する。ここでのサービス発行情報は、通信装置２００の記録部１０６に記録されているデータの領域を指定する情報とパターン番号との組み合わせによって構成される。データの領域を指定する情報は、例えば、データの領域の開始位置を示す開始アドレスと、データの領域の終了位置を示す終了アドレスとが対応付けられて構成される。データの領域を指定する情報とパターン番号との組み合わせの数は、１以上であればいくつであってもよい。

また、サービス発行情報には、パターン番号が含まれていないこととしてもよい。さらに、通信装置２００の記録部１０６にデータが連続的に記録されている場合には、データの領域を指定する情報に、データの領域の開始位置を示す開始アドレスが含まれていないこととしてもよい。つまり、データの領域を指定する情報にはデータの領域の終了位置を示す終了アドレスが含まれていればよい。

サービス定義データベース１２０からの応答を受けたとき、サービス発行端末１１０Ｃは、プロセスＰ３０として、サービス定義データベース１２０に問い合わせることによって得られたサービス発行情報をコマンドパラメータとして付加したサービス発行要求（ＲｅｇｉｓｔｅｒＳｅｒｖｉｃｅ＿Ｒｅｑ）コマンドを通信装置２００に送信する。サービス発行コマンドとコマンドパラメータの送信はリーダ／ライタ１１０Ａを介して行われる。

サービス発行端末１１０Ｃから送信されてきたサービス発行コマンドとコマンドパラメータを受信したとき、通信装置２００のサービス発行機能２１０は、サービス発行コマンドを解釈し、プロセスＰ４０として通信装置内部処理を実行する。ここでの通信装置内部処理により、サービス発行コマンドとともにサービス発行端末１１０Ｃから送信されてきたコマンドパラメータに含まれるサービス発行情報を通信装置２００の制御部１０４が管理する記録部１０６に記録する。

サービスの発行が終了したとき、サービス発行機能２１０は、プロセスＰ５０として、サービスの発行が終了したことを表す情報（結果コード（ＳＦ））をサービス発行応答（ＲｅｇｉｓｔｅｒＳｅｒｖｉｃｅ＿Ｒｅｓ）のパラメータに含めて、サービス発行端末１１０Ｃに送信する。

このように、通信装置２００のユーザ（通信装置発行者）は、利用用途にあわせて、これらのパターン番号に対するユーザデータのアドレス範囲を割り当てる。したがって、ユーザデータのアドレス範囲を決定することがサービス発行情報を決定することになる。また、パターン番号の順番は、ユーザデータのアドレス値と同順に並んでいるため、通信装置のサービス定義情報領域に保持しておくべきサービス発行情報は、ユーザデータのアドレスの範囲の境界値だけでよく、本例の場合は、計４バイトとなる。図２（ｃ）に示したサービス発行要求（ＲｅｇｉｓｔｅｒＳｅｒｖｉｃｅ＿Ｒｅｑ）においては、認証鍵（Ｋ）を除くサービス発行情報が、４バイトまで省略できる。

さらに、このとき、処理ロジックについて、認証要求（Ａｕｔｈ＿Ｒｅｑ）コマンドでは、Ｐ９３で行っていた、サービス定義情報を利用して、サービスコード（ＳＩＤ）から、認証鍵（Ｋ）の特定を行う処理が省略できる。Ｒｅａｄ／Ｗｒｉｔｅコマンドでは、Ｐ１０４，Ｐ１０５／Ｐ１１４，Ｐ１１５で行ったサービス定義情報を利用して、対象ユーザデータアドレス（ＡＤ）の確認、および、アクセス属性（ＡＡ）の確認が省略可能なため、同一ユースケースにおいて、より高速な処理が可能となる。

図１１は、本発明の実施形態に係るリーダ／ライタの機能の構成を示すブロック図である。図１１を参照して、本発明の実施形態に係るリーダ／ライタについて説明する。

リーダ／ライタ３００は、制御部３１、記録部３２、ＳＰＵ（Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３３、変調部３４、発振回路３５、通信部の一例としてのアンテナ３６、復調部３７、及びドライブ３８を含むように構成される。

制御部３１は、所定のデータを含む、データの上書きを要求する旨の要求信号を生成する。また、制御部３１は、所定のデータの送信を要求する旨の要求信号を生成する。

制御部３１は、データの上書きを要求する旨の要求信号に格納するデータを生成する。制御部３１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等により構成され、必要に応じて装着された、ドライブ３８から供給されたプログラムを読み込んで、読み込んだプログラムを実行する。また、制御部３１は、ドライブ３８からプログラムやデータが供給された場合、供給されたプログラムやデータを必要に応じて、記録部３２に供給し、記録部３２に記録されたプログラムを読み込み、読み込んだプログラムを実行する。制御部３１は、メモリを内蔵しており、データを保持できるようにされている。

記録部３２は、書き換え可能で、電源が遮断されても記録内容を保持できる、いわゆる不揮発性の記憶媒体または記録媒体からなり、例えば、ハードディスクまたはフラッシュメモリなどにより構成される。記録部３２は、各種のデータを記録している。また、記録部３２は、記録しているデータを、必要に応じて制御部３１に供給する。

記録部３２は、記録されている認証鍵を制御部３１に供給する。また、記録部３２には、制御部３１から供給されたデータが記録される。

ＳＰＵ３３は、制御部３１から供給された要求信号を、所定の方式により符号化し、符号化した要求信号を変調部３４に供給する。また、ＳＰＵ３３は、復調部３７から供給された応答信号を、応答信号の符号化方式に対応する方式により復号し、復号した応答信号を制御部３１に供給する。

例えば、ＳＰＵ３３は、通信装置２００あてに送信する要求信号が、制御部３１から供給されてきた場合、その要求信号に、例えば、マンチェスターコードへのコーディングなどの符号化処理を施し、これにより得られた信号を変調部３４に出力する。また、ＳＰＵ３３は、通信装置２００からの応答信号が復調部３７から供給されてきた場合、そのデータに対して、例えば、マンチェスターコードのデコードなどの復号処理を施し、これにより得られた信号を、制御部３１に供給する。

変調部３４は、発振回路３５から供給された所定の周波数のクロック信号を基に、搬送波を生成する。変調部３４は、搬送波に基づいて、ＳＰＵ３３から供給された要求信号を所定の方式により変調することにより要求信号を生成し、変調した要求信号をアンテナ３６に供給する。例えば、変調部３４は、ＳＰＵ３３から供給された要求信号に基づいて、搬送波の位相、振幅、周波数などを変化させることにより変調した要求信号を生成する。

より具体的には、例えば、変調部３４は、発振回路３５から供給される１３．５６ＭＨｚの周波数のクロック信号を搬送波として、ＳＰＵ３３より供給されるデータをＡＳＫ（Ａｍｐｌｉｔｕｄｅ Ｓｈｉｆｔ Ｋｅｙｉｎｇ）変調し、生成された変調波を、電磁波としてアンテナ３６から出力させる。

発振回路３５は、所定の周波数の、基準となるクロック信号を生成し、生成したクロック信号を変調部３４に供給する。

アンテナ３６は、変調部３４から供給された要求信号を、無線通信により通信装置２００あてに送信する。すなわち、例えば、アンテナ３６は、変調部３４から供給された要求信号を伝送するための電波を輻射（放射）する。また、アンテナ３６は、通信装置２００から送信されてきた応答信号を受信し、受信した応答信号を復調部３７に供給する。

復調部３７は、アンテナ３６から供給された応答信号を、変調部１０９（図３）の変調方式に対応する復調方式により復調し、復調した応答信号をＳＰＵ３３に供給する。例えば、復調部３７は、アンテナ３６を介して取得した変調波（ＡＳＫ変調波）を復調し、復調した応答信号をＳＰＵ３３に出力する。

ドライブ３８は、磁気ディスク７１、光ディスク７２、光磁気ディスク７３、或いは半導体メモリ７４などが装着されたとき、それらを駆動し、そこに記録されているプログラムやデータなどを取得する。取得されたプログラムやデータは、制御部３１または通信装置２００に転送される。また、通信装置２００に転送（送信）されたプログラムは、通信装置２００により、必要に応じて、記録されるか、または実行される。

図１２は、本発明の実施形態に係る通信装置の機能の構成を示すブロック図である。図１２を参照して、本発明の実施形態に係る通信装置について説明する。

通信装置２００は、通信部の一例としてのアンテナ１０１、復調部１０２、ＳＰＵ１０３、制御部１０４、記録部１０６、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１０７、発振回路１０８、変調部１０９、及び電力発生部１１０を含むように構成される。

アンテナ１０１は、リーダ／ライタ３００から送信されてきた要求信号を受信し、受信した要求信号を復調部１０２に供給する。また、アンテナ１０１は、変調部１０９から供給された応答信号を、無線通信により、リーダ／ライタ３００あてに送信する。すなわち、例えば、アンテナ１０１は、変調部１０９から供給された応答信号を伝送するための電波を放射する。また、アンテナ１０１においては、リーダ／ライタ３００から放射される所定の周波数の電波により、共振が生じ、起電力が発生する。

復調部１０２は、アンテナ１０１から供給された要求信号を、変調部３４（図１１）の変調方式に対応する復調方式により復調し、復調した要求信号をＳＰＵ１０３に供給する。例えば、復調部１０２は、アンテナ１０１を介して受信したＡＳＫ変調波である要求信号を包絡線検波して復調し、復調した要求信号をＳＰＵ１０３に出力する。

ＳＰＵ１０３は、復調部１０２から供給された要求信号を所定の方式により復号し、復号した要求信号を制御部１０４に供給する。ＳＰＵ１０３は、制御部１０４から供給された応答信号を、所定の符号化方式により符号化し、符号化した応答信号を変調部１０９に供給する。例えば、ＳＰＵ１０３は、復調部１０２において復調されたデータがマンチェスター方式で符号化されている場合、図示せぬＰＬＬ（Ｐｈａｓｅ Ｌｏｃｋｅｄ Ｌｏｏｐ）回路から供給されるクロック信号に基づいて、そのデータの復号（マンチェスターコードのデコード）を行い、復号したデータを制御部１０４に供給する。例えば、ＳＰＵ１０３は、制御部１０４から供給された応答信号を、マンチェスター方式で符号化し、符号化した応答信号を変調部１０９に供給する。

制御部１０４には、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等により構成され、ＲＡＭ１０７に記憶されたプログラムを実行することによってその機能を実現する。

記録部１０６は、例えば、フラッシュメモリ、ＥＥＰＲＯＭ、ＭＲＡＭ、またはＦｅＲＡＭなどの不揮発性メモリなどにより構成されている。記録部１０６には、リーダ／ライタ３００に送信される秘匿すべきデータ、プログラムの実行に必要なデータなどの各種データが記録されている。

ＲＡＭ１０７は、プログラムの実行に必要なデータなどを適宜記憶する。ＲＡＭ１０７は、記憶しているデータを制御部１０４に供給する。

発振回路１０８は、アンテナ１０１が受信する要求信号の周波数と同じ周波数のクロック信号を生成し、生成したクロック信号を変調部１０９に供給する。例えば、発振回路１０８は、ＰＬＬ回路を内蔵し、要求信号のクロック周波数と同一の周波数のクロック信号を発生する。

変調部１０９は、発振回路１０８から供給された所定の周波数のクロック信号を基に、搬送波を生成する。変調部１０９は、搬送波に基づいて、ＳＰＵ１０３から供給された応答信号を、所定の方式によって変調することにより、応答信号を生成し、変調した応答信号をアンテナ１０１に供給する。例えば、変調部１０９は、ＳＰＵ１０３から供給された、マンチェスター方式により符号化された応答信号を、さらにＡＳＫ変調し、変調した応答信号を、アンテナ１０１を介して、リーダ／ライタ３００に送信する。

また、例えば、変調部１０９は、ＳＰＵ１０３から供給される応答信号に対して、所定のスイッチング素子（図示せず）をオン、オフさせ、スイッチング素子がオン状態であるときだけ、所定の負荷をアンテナ１０１に並列に接続させることにより、アンテナ１０１の負荷を変動させる。ＡＳＫ変調された応答信号は、アンテナ１０１の負荷の変動により、アンテナ１０１を介して、リーダ／ライタ３００に送信される（リーダ／ライタ３００のアンテナ３６の端子電圧を変動させる）。

電力発生部１１０は、アンテナ１０１に生じた交流の起電力を基に、直流電力を発生させ、発生させた直流電力を通信装置２００の各部に供給する。

以上説明したように本実施形態では、セキュアに情報を格納するセキュリティデバイスである通信装置（例えばＩＣカード）において、データブロックに対するアクセス制御情報を発行（発券）する場合、記録部に対して、アクセス制御情報単位に、データブロックのアドレス範囲、アクセス属性、認証鍵などを格納するのではなく、あらかじめ利用用途にあわせて製品ごとに規定されたアクセス属性値と認証鍵の組み合わせで表現されるパターンに対して割り当てることで代用する。

運用処理ロジックについては、前記の製品ごとに規定されたパターンを利用することで、記録部からのサービス定義情報の読み出し、認証鍵の特定、アクセス属性値の特性と確認、アドレス範囲の特定と確認を行う必要がなくなる。したがって、記録部からのサービス発行情報の読み出し、検索処理を省略することが可能となる。また、発行処理については、アクセス制御情報単位ごとにコマンドによって送信するのではなく、データブロックのアドレス境界値のみを一括指定することが可能である。したがって、サービス発行（発券）がより短いコマンドパラメータ、より少ないコマンド／レスポンス回数で完了するため、より高速なサービス発行が可能となる。以上により、発行／運用処理プロセスが簡略化され、同一ユースケースにおいて、より高速に処理が完了できる。

上記では、添付図面を参照しながら本発明の好適な実施形態について説明したが、本発明は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

アプリケーション汎用型ＯＳが搭載された通信装置（例えば、ＩＣカード）を対象にした従来のサービス発行方式について説明する図である。 従来のサービス発行方式で使用されるコマンドの一例を示す図である。 従来のサービス発行シーケンスの一例を示す図である。 従来のサービス定義情報およびデータの構成例を示す図である。 従来のデータ読み取りおよび書き込み処理で使用されるコマンドの一例を示す図である。 従来の認証処理の流れを示すフローチャートの一例を示す図である。 従来のデータ読み出し処理の流れを示すフローチャートの一例を示す図である。 従来のデータ書き込み処理の流れを示すフローチャートの一例を示す図である。 本発明の実施形態に係るサービス定義情報の一例を示す図である。 本発明の実施形態に係るシステムの一例を示す図である。 本発明の実施形態に係るリーダ／ライタの機能の構成を示すブロック図である。 本発明の実施形態に係る通信装置の機能の構成を示すブロック図である。

符号の説明

Ｋ１ 認証鍵
Ｋ２ 認証鍵
３１ 制御部
３２ 記録部
３６ アンテナ
１００ サービス発行システム
１０１ アンテナ
１０２ 復調部
１０３ ＳＰＵ
１０４ 制御部
１０６ 記録部
１０７ ＲＡＭ
１１０Ｃ サービス発行端末
１１０ 電力発生部
１１０Ａ リーダ／ライタ
１１０Ｂ 処理部
１２０ サービス定義データベース
２００ 通信装置
２１０ サービス発行機能
２２０ ファイルシステム
２２０Ａ サービス定義情報
３００ リーダ／ライタ

Claims (7)

1. サービス発行端末と信号の送受信を行う通信部と、
   リーダにより読み出される所定のデータがあらかじめ記録されるとともに、前記データにアクセスするための認証鍵が記録され、前記認証鍵を特定する情報と当該認証鍵を使用して前記データに対する読み出し処理または書き込み処理が可能であるか否かを示すアクセス属性とが対応付けられたパターンが第１番目から第Ｎ（Ｎは自然数）番目まで記録される記録部と、
   前記通信部を介して、サービス定義データベースに対する問い合わせの結果として前記記録部のアドレスにより前記データの領域を指定する情報を取得した前記サービス発行端末から、前記記録部のアドレスにより前記データの領域を指定する情報を第１番目から第Ｎ−１番目まで付加したコマンドであるサービス発行コマンドを受信すると、当該受信したサービス発行コマンドに付加された第１番目から第Ｎ−１番目までの前記データの領域を指定する情報を順に並べて保持する制御部と、
   を備え、
   前記制御部により順に並べて保持されている第１番目から第Ｎ−１番目までの前記データの領域を指定する情報のいずれかが前記リーダからの読み出しコマンドにより指定された場合、当該指定されたデータの領域を指定する情報により指定される領域から前記データが読み出される、通信装置。
2. 前記制御部は、
   前記データの領域を指定する情報として、前記データの領域の開始位置を示す開始アドレスと、データの領域の終了位置を示す終了アドレスとが対応付けられた情報を受信する、
   請求項１に記載の通信装置。
3. 前記制御部は、
   第１番目から第Ｎ−１番目までの前記データの領域を指定する情報として、第１番目から第Ｎ−１番目までの前記データの領域の終了位置を示す終了アドレスを受信し、第２番目から第Ｎ番目までのそれぞれの前記データの領域の開始位置を示す開始アドレスとして前記データの直前に相当する第１番目から第Ｎ−１番目までのデータの領域の終了位置を示す終了アドレスの直後のアドレスを使用し、第１番目の前記データの領域の開始位置を示す開始アドレスとして前記所定のデータが記録される領域の先頭アドレスを使用する、
   請求項１に記載の通信装置。
4. サービス発行端末と信号の送受信を行う通信部と、
   リーダにより読み出される所定のデータがあらかじめ記録されるとともに、前記データにアクセスするための認証鍵が記録され、前記認証鍵を特定する情報と当該認証鍵を使用して前記データに対する読み出し処理または書き込み処理が可能であるか否かを示すアクセス属性とが対応付けられたパターンと、当該パターンを特定する番号であるパターン番号と、が対応されて記録される記録部と、
   前記通信部を介して、前記サービス発行端末から、前記記録部のアドレスにより前記データの領域を指定する情報と前記パターンを特定する番号であるパターン番号との組み合わせを受信すると、当該受信した組み合わせの前記パターン番号と対応する前記パターンに対応付けて前記データの領域を指定する情報を保持する制御部と、
   を備え、
   前記制御部により保持されている前記データの領域を指定する情報が前記リーダからの読み出しコマンドにより指定された場合、当該指定されたデータの領域を指定する情報により指定される領域から前記データが読み出される、通信装置。
5. リーダにより読み出される所定のデータがあらかじめ記録されるとともに、前記データにアクセスするための認証鍵が記録され、前記認証鍵を特定する情報と当該認証鍵を使用して前記データに対する読み出し処理または書き込み処理が可能であるか否かを示すアクセス属性とが対応付けられたパターンが第１番目から第Ｎ（Ｎは自然数）番目まで記録される記録部を備える通信装置の制御部が、
   サービス発行端末と信号の送受信を行う通信部を介して、サービス定義データベースに対する問い合わせの結果として前記記録部のアドレスにより前記データの領域を指定する情報を取得した前記サービス発行端末から、前記記録部のアドレスにより前記データの領域を指定する情報を第１番目から第Ｎ−１番目まで付加したコマンドであるサービス発行コマンドを受信するステップと、
   当該受信したサービス発行コマンドに付加された第１番目から第Ｎ−１番目までの前記データの領域を指定する情報を順に並べて保持するステップと、
   を含んで実行し、
   前記制御部により順に並べて保持されている第１番目から第Ｎ−１番目までの前記データの領域を指定する情報のいずれかが前記リーダからの読み出しコマンドにより指定された場合、当該指定されたデータの領域を指定する情報により指定される領域から前記データが読み出される、通信方法。
6. サービス発行端末と信号の送受信を行う通信部と、
   リーダにより読み出される所定のデータがあらかじめ記録されるとともに、前記データにアクセスするための認証鍵が記録され、前記認証鍵を特定する情報と当該認証鍵を使用して前記データに対する読み出し処理または書き込み処理が可能であるか否かを示すアクセス属性とが対応付けられたパターンが第１番目から第Ｎ（Ｎは自然数）番目まで記録される記録部と、
   前記通信部を介して、サービス定義データベースに対する問い合わせの結果として前記記録部のアドレスにより前記データの領域を指定する情報を取得した前記サービス発行端末から、前記記録部のアドレスにより前記データの領域を指定する情報を第１番目から第Ｎ−１番目まで付加したコマンドであるサービス発行コマンドを受信すると、当該受信したサービス発行コマンドに付加された第１番目から第Ｎ−１番目までの前記データの領域を指定する情報を順に並べて保持する制御部と、
   を有する通信装置と、
   前記通信装置と信号の送受信を行う通信部と、
   前記制御部により順に並べて保持されている第１番目から第Ｎ−１番目までの前記データの領域を指定する情報のいずれかを指定する読み出しコマンドを、前記通信部を介して、送信する処理部と、
   を有するサービス発行端末と、
   を備える、通信システム。
7. サービス発行端末と信号の送受信を行う通信部と、リーダにより読み出される所定のデータがあらかじめ記録されるとともに、前記データにアクセスするための認証鍵が記録され、前記認証鍵を特定する情報と当該認証鍵を使用して前記データに対する読み出し処理または書き込み処理が可能であるか否かを示すアクセス属性とが対応付けられたパターンが第１番目から第Ｎ（Ｎは自然数）番目まで記録される記録部と、を有する通信装置と、前記通信装置と信号の送受信を行う通信部を有するサービス発行端末と、
   を備える通信システムによるサービス発行方法であって、
   前記サービス発行端末の処理部が、
   前記通信装置の前記記録部に記録された、前記記録部のアドレスにより前記データの領域を指定する情報を、前記通信部を介して、第１番目から第Ｎ−１番目まで送信するステップと、
   前記通信装置の制御部が、
   前記通信部を介して、サービス定義データベースに対する問い合わせの結果として前記記録部のアドレスにより前記データの領域を指定する情報を取得した前記サービス発行端末から、前記記録部のアドレスにより前記データの領域を指定する情報を第１番目から第Ｎ−１番目まで付加したコマンドであるサービス発行コマンドを受信するステップと、
   当該受信したサービス発行コマンドに付加された第１番目から第Ｎ−１番目までのデータの領域を指定する情報を順に並べて保持するステップと、
   を含んで実行し、
   前記通信装置の前記制御部により順に並べて保持されている第１番目から第Ｎ−１番目までの前記データの領域を指定する情報のいずれかが前記リーダからの読み出しコマンドにより指定された場合、当該指定されたデータの領域を指定する情報により指定される領域から前記データが読み出される、サービス発行方法。
   

Images