特開 2023-139488 ＩＣカード、携帯可能電子装置およびＩＣカード処理システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023139488

(43)【公開日】2023-10-04

(54)【発明の名称】ＩＣカード、携帯可能電子装置およびＩＣカード処理システム

(51)【国際特許分類】

   G06K 19/073 20060101AFI20230927BHJP

   G06F 12/06 20060101ALI20230927BHJP

   G06F 16/24 20190101ALI20230927BHJP

【ＦＩ】

G06K19/073 009

G06F12/06 524

G06F16/24

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2022045049

(22)【出願日】2022-03-22

(71)【出願人】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(71)【出願人】

【識別番号】598076591

【氏名又は名称】東芝インフラシステムズ株式会社

(74)【代理人】

【識別番号】110003708

【氏名又は名称】弁理士法人鈴榮特許綜合事務所

(72)【発明者】

【氏名】丹下 大輔

【テーマコード（参考）】

5B160

5B175

【Ｆターム（参考）】

5B160MM09

5B175DA10

5B175HA02

(57)【要約】

【課題】 保持している複数のデータが正常であることを容易に確認できるＩＣカード、携帯可能電子装置およびＩＣカード処理システムを提供する。
【解決手段】 実施形態によれば、ＩＣカードは、通信部と、記憶部と、制御部とを有する。通信部は、外部装置と通信する。記憶部は、関連するデータセットとなる複数のデータを記憶する。制御部は、外部装置から受信した特定のコマンドに応じたコマンド処理を実行し、コマンド処理に用いたデータと関連するデータセットとなるデータが記憶部に存在しない場合、特定のコマンドに応じた処理の結果と警告を示すステータスとを含む応答を外部装置へ送信する。
【選択図】図１

【特許請求の範囲】

【請求項1】

外部装置と通信する通信部と、
関連するデータセットとなる複数のデータを記憶する記憶部と、
前記外部装置から受信した特定のコマンドに応じたコマンド処理を実行し、前記コマンド処理に用いたデータと関連するデータセットとなるデータが前記記憶部に存在しない場合、前記特定のコマンドに応じた処理の結果と警告を示すステータスとを含む応答を前記外部装置へ送信する制御部と、
を有するＩＣカード。

【請求項2】

前記記憶部は、第１のレコードを格納する第１のファイルと前記第１のファイルに格納される前記第１のレコードと対になる第２のレコードを格納する第２のファイルとを記憶し、
前記制御部は、前記第１のファイルへの新たな第１のレコードの書き込み要求するコマンドを受信した場合、前記第１のファイルに新たな第１のレコードを書き込み、前記第１のファイルに書き込んだ第１のレコードと対になる第２のレコードが前記第２のファイルに存在しなければ、前記コマンドに応じた前記第１のファイルへの第１のレコードの書込結果と警告を示すステータスとを含む応答を前記外部装置へ送信する、
請求項１に記載のＩＣカード。

【請求項3】

前記制御部は、前記第１のファイルに新たな第１のレコードを書き込んだ場合、前記第２のファイルにおける第２のレコードを検索し、前記第２のファイルに検索履歴が無い第２のレコードが存在しなければ、前記第１のファイルへのレコードデータの書込結果と警告を示すステータスとを含む応答を前記外部装置へ送信する、
請求項２に記載のＩＣカード。

【請求項4】

前記記憶部は、関連する鍵データセットとなる複数の鍵データを記憶し、
前記制御部は、前記コマンド処理に用いた鍵データと関連する鍵データセットとなる鍵データが前記記憶部に存在しない場合、前記特定のコマンドに応じた処理の結果と警告を示すステータスとを含む応答を前記外部装置へ送信する、
請求項１に記載のＩＣカード。

【請求項5】

前記制御部は、前記コマンド処理に用いた鍵データと関連する鍵データセットとなる鍵データが未発行である場合、前記特定のコマンドに応じた処理の結果と警告を示すステータスとを含む応答を前記外部装置へ送信する、
請求項４に記載のＩＣカード。

【請求項6】

外部装置と通信する通信部と、
関連するデータセットとなる複数のデータを記憶する記憶部と、
前記外部装置から受信した特定のコマンドに応じたコマンド処理を実行し、前記コマンド処理に用いたデータと関連するデータセットとなるデータが前記記憶部に存在しない場合、前記特定のコマンドに応じた処理の結果と警告を示すステータスとを含む応答を前記外部装置へ送信する制御部と、
を有する携帯可能電子装置。

【請求項7】

前記通信部と前記記憶部と前記制御部とを有するモジュールと、
前記モジュールを有する本体と、を有する、
請求項６に記載の携帯可能電子装置。

【請求項8】

ＩＣカードとＩＣカード処理装置とを有するＩＣカード処理システムであって、
前記ＩＣカードは、
前記ＩＣカード処理装置と通信する第１の通信部と、
関連するデータセットとなる複数のデータを記憶する記憶部と、
前記ＩＣカード処理装置から受信した特定のコマンドに応じたコマンド処理を実行し、前記コマンド処理に用いたデータと関連するデータセットとなるデータが前記記憶部に存在しない場合、前記特定のコマンドに応じた処理の結果と警告を示すステータスとを含む応答を前記ＩＣカード処理装置へ送信する第１の制御部と、を有し、
前記ＩＣカード処理装置は、
前記ＩＣカードと通信する第２の通信部と、
前記ＩＣカードに対して前記特定のコマンドを送信し、前記特定のコマンドに対する応答に警告を示すステータスが含まれる場合に警告を報知する第２の制御部と、を有する、
ＩＣカード処理システム。

【請求項9】

前記ＩＣカードにおいて、
前記記憶部は、第１のレコードを格納する第１のファイルと前記第１のファイルに格納される前記第１のレコードと対になる第２のレコードを格納する第２のファイルとを記憶し、
前記第１の制御部は、前記第１のファイルへの新たな第１のレコードの書き込み要求するコマンドを受信した場合、前記第１のファイルに新たな第１のレコードを書き込み、前記第１のファイルに書き込んだ第１のレコードと対になる第２のレコードが前記第２のファイルに存在しなければ、前記コマンドに応じた前記第１のファイルへの第１のレコードの書込結果と警告を示すステータスとを含む応答を前記ＩＣカード処理装置へ送信する、
請求項８に記載のＩＣカード処理システム。

【請求項10】

前記ＩＣカードにおいて、
前記記憶部は、関連する鍵データセットとなる複数の鍵データを記憶し、
前記第１の制御部は、前記コマンド処理に用いた鍵データと関連する鍵データセットとなる鍵データが前記記憶部に存在しない場合、前記特定のコマンドに応じた処理の結果と警告を示すステータスとを含む応答を前記ＩＣカード処理装置へ送信する、
請求項８に記載のＩＣカード処理システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、ＩＣカード、携帯可能電子装置およびＩＣカード処理システムに関する。

【背景技術】

【0002】

ＩＣカードなどの携帯可能電子装置は、互いの関連性が高い複数のデータが記録されることがある。たとえば、ＩＣカードは、正常に使用されている状況では特定のルールで複数のファイルに複数のデータ（レコード）が書き込まれることがある。また、ＩＣカードは、複数のデータが複数のファイルに正しく書き込まれていることにより正常な処理が行えることもある。

【0003】

しかしながら、従来のＩＣカードなどの携帯可能電子装置は、特定のコマンドを受けた場合に、当該コマンドに対する処理に加えて、関連するデータが正常な状態であるかを確認する機能が実現されていない。たとえば、従来のＩＣカードは、指定データを指定ファイルに書き込むコマンドに対する処理として、指定データに関連するデータが他のファイルに正常に書き込まれているかをチェックすることができない。このため、ＩＣカードなどの携帯可能電子装置としては、特定のコマンドに応じたコマンド処理の結果として、当該コマンド処理に用いたデータに関連する他のデータが不十分な状態である場合に警告を報知できるものが要望されている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２００９－０２５９０６号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

上記の課題を解決するために、本発明は、保持している複数のデータが正常であることを容易に確認できるＩＣカード、携帯可能電子装置およびＩＣカード処理システムを提供する。

【課題を解決するための手段】

【0006】

実施形態によれば、ＩＣカードは、通信部と、記憶部と、制御部とを有する。通信部は、外部装置と通信する。記憶部は、関連するデータセットとなる複数のデータを記憶する。制御部は、外部装置から受信した特定のコマンドに応じたコマンド処理を実行し、コマンド処理に用いたデータと関連するデータセットとなるデータが記憶部に存在しない場合、特定のコマンドに応じた処理の結果と警告を示すステータスとを含む応答を外部装置へ送信する。

【図面の簡単な説明】

【0007】

【図1】図１は、実施形態に係る携帯可能電子装置としてのＩＣカードの構成例を示すブロック図である。

【図2】図２は、実施形態に係る携帯可能電子装置としてのＩＣカードと通信するＩＣカード処理装置の構成例を示すブロック図である。

【図3】図３は、実施形態に係る携帯可能電子装置としてのＩＣカードにおける不揮発性メモリに書き込まれるファイルの構成例を示す図である。

【図4】図４は、実施形態に係る携帯可能電子装置としてのＩＣカードによる第１の動作例を説明するためのシーケンスである。

【図5】図５は、実施形態に係る携帯可能電子装置としてのＩＣカードの不揮発性メモリに書き込まれるセキュアチャネルの鍵関連データの例を示す図である。

【図6】図６は、実施形態に係る携帯可能電子装置としてのＩＣカードによる第２の動作例を説明するためのシーケンスである。

【発明を実施するための形態】

【0008】

以下、実施形態について、図面を参照しつつ説明する。
図１は、実施形態に係るＩＣカード１の構成例を概略的に示すブロック図である。
実施形態に係る携帯可能電子装置としてのＩＣカード１は、ＩＣカード処理装置２と共にＩＣカード処理システムを構成する。ＩＣカード１は、ＩＣカード処理装置２から供給される電力により活性化する（動作可能な状態になる）携帯可能な電子機器である。ＩＣカード１は、スマートカードとも称される。

【0009】

なお、実施形態に係る携帯可能電子装置は、カード状の形状に限定されるものではなく、後述するＩＣカード１と同等な構成および処理機能を備える冊子状（たとえば、パスポートなどの手帳）のものであっても良い。また、実施形態に係る携帯可能電子装置は、後述するＩＣカード１と同等な構成および処理機能を備える携帯型の電子装置（たとえば、スマートフォン、携帯電話機、タブレットＰＣ、ドングルなど）であっても良い。

【0010】

ＩＣカード１は、大別すると、接触型のＩＣカードと非接触型のＩＣカードとがある。たとえば、接触型のＩＣカード１は、通信インターフェースとしてのコンタクト部を介してＩＣカード処理装置２からの動作電源および動作クロックの供給を受けて活性化する。非接触型のＩＣカード１は、通信インターフェースとしてのアンテナおよび変復調回路などを介してＩＣカード処理装置２からの電波を受信し、その電波から動作電源および動作クロックを生成して活性化する。

【0011】

図１に示すように、ＩＣカード１は、本体Ｃを有する。本体Ｃは、プラスチックなどによりカード状に形成される。ＩＣカード１は、本体Ｃ内にモジュールＭを有する。モジュールＭは、１つまたは複数のＩＣチップＣａと通信用の外部インターフェース（インターフェース）とが接続された状態で一体的に形成され、本体Ｃ内に埋設される。

【0012】

なお、実施形態に係る携帯可能電子装置は、冊子状に形成される本体ＣにモジュールＭを備えるものであっても良いし、携帯型の電子装置を形成する本体Ｃ内にモジュールＭを備えるものであっても良い。

【0013】

図１に示す構成例において、ＩＣカード１のモジュールＭは、プロセッサ１１、ＲＡＭ１２、ＲＯＭ１３、不揮発性メモリ１４、通信制御部１５およびインターフェース１６などを有する。

【0014】

プロセッサ１１は、種々の処理を実行する回路を含む。プロセッサ１１は、たとえば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。プロセッサ１１は、ＩＣカード１全体の制御を司る。プロセッサ１１は、ＲＯＭ１３あるいは不揮発性メモリ１４に記憶されているプログラムを実行することにより、種々の処理機能を実現する。ただし、後述するプロセッサ１１が実行する各種の機能のうちの一部または全部は、ハードウエア回路により実現されるようにしても良い。

【0015】

ＲＡＭ１２は、ワーキングメモリとして機能する揮発性のメモリである。また、ＲＡＭ１２は、プロセッサ１１が処理中のデータなどを一時保管するバッファとしても機能する。たとえば、ＲＡＭ１２は、通信制御部１５およびインターフェース１６を介してＩＣカード処理装置２との間で送受信するデータを一時保管する通信バッファとして機能する。

【0016】

ＲＯＭ１３は、プログラムメモリとして機能する不揮発性のメモリである。ＲＯＭ１３は、予め制御用のプログラムおよび制御データなどが記憶される。ＲＯＭ１３は、製造段階で制御プログラムや制御データなどが記憶された状態でＩＣカード１内に組み込まれるものである。つまり、ＲＯＭ１３に記憶される制御プログラムや制御データは、予め当該ＩＣカード１の仕様に応じて組み込まれる。たとえば、ＲＯＭ１３には、ＩＣカード処理装置２から受信するコマンドに応じた処理をプロセッサ１１が実行するためのプログラムが記憶される。

【0017】

不揮発性メモリ１４は、データの書き込みおよび書き換えが可能な不揮発性のメモリである。不揮発性メモリ１４は、たとえば、ＥＥＰＲＯＭ（登録商標）（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）あるいはフラッシュＲＯＭなどで構成する。不揮発性メモリ１４には、当該ＩＣカード１の運用用途に応じたプログラムや種々のデータが書き込まれる。不揮発性メモリ１４には、プログラムファイルあるいはデータファイルなどが定義され、それらのファイルに制御プログラムや種々のデータが書き込まれる。たとえば、不揮発性メモリ１４は、各種の認証用のデータ、ユーザデータ、あるいは、認証処理用のプログラムなどのアプリケーションプログラムなどを記憶する。また、不揮発性メモリ１４は、外部のネットワークと通信するためのネットワーク認証用のデータなども記憶する。また、不揮発性メモリ１４は、一部または全部の領域が耐タンパー性を有し、セキュアにデータが格納できる。

【0018】

通信制御部１５は、インターフェース１６に接続する。インターフェース１６は、外部装置に通信接続するためのインターフェースである。通信制御部１５およびインターフェース１６は、通信部を構成する。通信制御部１５およびインターフェース１６は、ＩＣカード処理装置２のインターフェースに対応した通信方式による通信機能を実現する。また、通信制御部１５およびインターフェース１６は、複数の通信方式（たとえば、接触通信と非接触通信）をサポートするものとして構成しても良い。

【0019】

当該ＩＣカード１が接触型のＩＣカードとして実現される場合、通信制御部１５およびインターフェース１６は、ＩＣカード処理装置２と接触して通信する通信部を構成する。この場合、インターフェース１６は、ＩＣカード処理装置２のコンタクト部と物理的かつ電気的に接触するコンタクト部により構成され、通信制御部１５は、コンタクト部を介した信号の送受信を制御する回路などにより構成される。

【0020】

また、当該ＩＣカード１が非接触型のＩＣカードとして実現される場合、通信制御部１５およびインターフェース１６は、ＩＣカード処理装置２のカードリーダライタと非接触（無線）で通信する通信部を構成する。この場合、インターフェース１６は、電波の送受信を行うアンテナにより構成され、通信制御部１５は、送信する電波を生成するための変調回路および受信した電波から信号を生成するための復調回路などにより構成される。

【0021】

図２は、実施形態に係るＩＣカード処理装置２の構成例を概略的に示すブロック図である。
図２に示す構成例において、ＩＣカード処理装置２は、カードリーダライタ２４を介してＩＣカード１と通信する機能を有する上位装置である。ＩＣカード処理装置２は、たとえば、カードリーダライタ２４をパーソナルコンピュータ（ＰＣ）などの制御装置に接続した装置であっても良い。

【0022】

ＩＣカード処理装置２は、図２に示すように、制御部２１、表示部２２、操作部２３、カードリーダライタ２４などを有する。
制御部２１は、ＩＣカード処理装置２全体の動作を制御する。制御部２１は、プロセッサ（ＣＰＵ）２５、ＲＡＭ２６、ＲＯＭ２７、不揮発性メモリ２８、通信部２９などにより構成される。たとえば、制御部２１は、パーソナルコンピュータにより構成される。プロセッサ２５は、ＲＯＭ２７または不揮発性メモリ２８が記憶するプログラムを実行することにより種々の処理を実行する。ＲＡＭ２６は、データを一時的に保持するワーキングメモリとして機能する。ＲＯＭ２７は、プログラムや制御データなどを記憶する不揮発性のメモリである。不揮発性メモリ２８は、書き換え可能な不揮発性のメモリである。通信部２９は、外部装置と通信するためのインターフェースである。

【0023】

制御部２１は、カードリーダライタ２４によりＩＣカード１へコマンドを送信する機能、ＩＣカード１から受信したデータを基に種々の処理を行う機能などを有する。たとえば、制御部２１は、カードリーダライタ２４を介してＩＣカード１にデータの書き込みコマンドを送信することによりＩＣカード１内の不揮発性メモリにデータを書き込む制御を行う。また、制御部２１は、ＩＣカード１に読み取りコマンドを送信することによりＩＣカード１からデータを読み出す制御を行う。また、制御部２１は、ＩＣカード１にアプリケーション選択コマンドを送信することによりＩＣカード１において選択されるアプリケーションを制御する。

【0024】

表示部２２は、制御部２１の制御により種々の情報を表示する表示装置である。操作部２３は、キーボード、テンキー、ポインティングデバイスなどにより構成する。操作部２３は、ＩＣカード処理装置２の操作員が種々の操作指示やデータなどを入力するためのものである。また、操作部２３は、ＩＣカード１の利用者の識別情報あるいはパスワードなどの認証情報を入力するための入力部としても機能する。

【0025】

カードリーダライタ２４は、ＩＣカード１との通信を行うための通信部（第２の通信部）である。カードリーダライタ２４は、ＩＣカード１の通信方式に応じたインターフェースにより構成される。たとえば、ＩＣカード１が接触型のＩＣカードである場合、カードリーダライタ２４は、ＩＣカード１のコンタクト部と物理的かつ電気的に接続するための接触部などにより構成される。また、ＩＣカード１が非接触型のＩＣカードである場合、カードリーダライタ２４は、ＩＣカード１との無線通信を行うためのアンテナおよび通信制御などにより構成される。カードリーダライタ２４は、ＩＣカード１に対して、電源供給、クロック供給、リセット制御、データの送受信を行う。カードリーダライタ２４は、制御部２１による制御に基づいてＩＣカード１の活性化（起動）、種々のコマンドの送信、および送信したコマンドに対する応答の受信などを行う。

【0026】

次に、実施形態に係るＩＣカード１の不揮発性メモリ１４に格納されるファイルの構成について説明する。
図３は、実施形態に係るＩＣカード１の不揮発性メモリ１４に格納されるファイルの構造例を示す図である。
図３に示すように、不揮発性メモリ１４には、ＭＦ（Ｍａｓｔｅｒ Ｆｉｌｅ）、ＤＦ（Ｄｅｄｉｃａｔｅｄ Ｆｉｌｅ）および、ＥＦ（Ｅｌｅｍｅｎｔａｒｙ Ｆｉｌｅ）などからなる階層構造を有する複数のファイル群が定義される。なお、図３に示すようなファイル構造は、ＩＣカードの国際的な標準規格であるＩＳＯ／ＩＥＣ ７８１６－４で規定されている。

【0027】

図３に示す例において、最上階層のマスターファイル（ＭＦ）１００の次の階層には、ＤＦ１０１、１０２が存在する。たとえば、１つのＤＦは、当該ＩＣカード２が具備する１つのアプリケーションを実現するためのデータが格納される。複数のアプリケーションによって複数の機能を実現しているＩＣカード１は、各アプリケーションに対応する複数のＤＦが不揮発性メモリ１４に設けられる。

【0028】

図３に示す例において、ＤＦ１０１の配下としては、３つのＥＦ１０１－１、１０１－２、１０１－３が存在し、ＤＦ１０２の配下としては、５つのＥＦ１０２－１、１０２－２、１０２－３、１０２－４、１０２－５が存在する。各ＥＦ１０１－１～３は、ＤＦ１０１としてのアプリケーションに用いる各種のデータを格納するためのデータファイルである。ＥＦ１０２－１～５は、ＤＦ１０２としてのアプリケーションに用いる各種のデータを格納するためのデータファイルである。

【0029】

図３に示す例において、ＤＦ１０１は、ＩＣカード（ＩＣカードと同等な機能を備える冊子（パスポート））の所有者についての出国（出場）および入国（入場）に関するデータを管理するアプリケーションの例であるものとする。たとえば、ＩＣＡＯ（国際民間航空期間）が発行しているＤｏｃ９３０３では、入国に関するデータを示す入国レコード（Ｅｎｔｒｙ Ｒｅｃｏｒｄ）のフォーマットと出国に関するデータを示す出国レコード（Ｅｘｉｔ Ｒｅｃｏｒｄ）のフォーマットとが規定されている。

【0030】

ＥＦ１０１－１は、入国レコード（入国記録）を格納するデータファイル（入国記録ファイル）であり、ＥＦ１０１－２は、出国レコード（出国記録）を格納するデータファイル（出国記録ファイル）であり、ＥＦ１０１－３は、所持者に関する情報などの証明書のデータを記憶するデータファイルであるものとする。

【0031】

トラベルアプリケーション（ＤＦ１０１）における入国記録ファイルであるＥＦ１０１－１には、入国処理を実行するごとに、入国内容を示す情報としての入国レコードが追記される。たとえば、ＥＦ１０１－１内の各入国レコードは、入国内容を示す情報として、入国時刻、入国場所、入国手段などを示す情報を含む。

【0032】

トラベルアプリケーション（ＤＦ１０１）における出国記録ファイルであるＥＦ１０１－２には、出国処理を実行するごとに、出国内容を示す情報としての出国レコードが追記される。たとえば、ＥＦ１０１－２内の各出国レコードは、出国内容を示す情報として、出国時刻、出国場所、出国手段などを示す情報を含む。

【0033】

次に、実施形態に係るＩＣカード１における第１の動作例について説明する。
第１の動作例としては、実施形態に係るＩＣカード１がＩＣカード処理装置２からのトラベルレコード（入国レコードまたは出国レコード）をデータファイル（入国記録ファイルまたは出国記録ファイル）に書き込む処理について説明する。
図４は、実施形態に係るＩＣカード１がＩＣカード処理装置２からのトラベルレコードを不揮発性メモリ１４に書き込む処理の流れを説明するためのシーケンスである。
ここでは、トラベルレコードの書き込み処理の例として、ＩＣカード１が入国レコード（第１のレコード）を入国記録ファイル（第１のファイル）に書き込む処理について説明するものとする。また、ＩＣカード処理装置２は、空港等における入国手続きにおいて、ＩＣカード（パスポート）１の所持者に対する入国手続きを実施する係員によって操作される。ＩＣカード処理装置２は、ＩＣカード１の所持者の入国を許可する場合に係員の操作に応じてＩＣカード１に対して入国レコードの書き込みを要求する処理を実行するものとする。

【0034】

まず、入国が許可される人物のＩＣカード１は、ＩＣカード処理装置２にカードリーダライタ２４に提示される。これにより、ＩＣカード１は、ＩＣカード処理装置２のカードリーダライタ２４からの電源供給を受けて起動する。電源供給を受けて起動したＩＣカード１は、ＩＣカード処理装置２からのコマンドが受信（処理）可能となっている。

【0035】

この状態において、係員は、ＩＣカード処理装置２の操作部２３により当該ＩＣカード１に対する入国記録の書き込み処理の実行を指示する。入国記録の書き込みを実施する場合、ＩＣカード処理装置２の制御部２１は、まず、ＩＣカード１にトラベルレコードアプリケーションを選択させることを要求するアプリケーション選択コマンドを送信する（ＳＴ１１）。アプリケーション選択コマンドは、データ部に格納するコマンドデータとして選択すべきアプリケーションを指定する情報が含まれる。

【0036】

ＩＣカード１のプロセッサ１１は、アプリケーション選択マンドを受信すると、当該コマンドに従ってトラベルレコードアプリケーションを選択する（ＳＴ１２）。たとえば、上述した図３に例示する構成では、ＤＦ１０１がトラベルレコードアプリケーションである。この場合、プロセッサ１１は、ＩＣカード処理装置２からのトラベルレコードアプリケーションを指定するアプリケーション選択要求コマンドに応じてＤＦ１０１を選択状態とする。トラベルレコードアプリケーションを選択すると、プロセッサ１１は、正常にアプリケーションの選択が成功したことを示す正常応答をＩＣカード処理装置２へ送信する（ＳＴ１３）。

【0037】

ＩＣカード処理装置２は、カードリーダライタ２４によりＩＣカード１からの正常応答を受信する。ＩＣカード処理装置２の制御部２１は、ＩＣカード１からのトラベルアプリケーションが正常に選択されたことを示す応答を受信すると、当該ＩＣカード１に入国レコード（Ｅｎｔｒｙ Ｒｅｃｏｒｄ）として書き込むデータを生成する。制御部２１は、生成した入国レコードを入国記録ファイルに書き込む（追記）することを要求するコマンドをＩＣカード１へ送信する（ＳＴ１４）。

【0038】

上述した図３に示す構成例では、トラベルレコードアプリケーション（ＤＦ１０１）において、入国レコードが書き込まれるデータファイルとしての入国記録ファイルがＥＦ１０１－１である。従って、ＩＣカード処理装置２の制御部２１は、ＥＦ１０１－１に入国レコードを追記することを要求する書込コマンド（追記コマンド）を作成し、カードリーダライタ２４によりＩＣカード１へ送信する。

【0039】

ＩＣカード１は、インターフェース１６および通信制御部１５によりＩＣカード処理装置２からの入国レコードの追記コマンドを受信する。ＩＣカード１のプロセッサ１１は、入国レコードの追記を要求する書込コマンドを受信すると、当該コマンドで指定される入国レコードを入国記録ファイルに追記する（ＳＴ１５）。

【0040】

さらに、プロセッサ１１は、追記コマンド（特定のコマンド）に応じて入国記録ファイル（第１のファイル）に入国レコード（第１のレコード）を追記する場合、当該トラベルレコードアプリケーションの出国記録ファイル（第２のファイル）おいて検索履歴が無い出国レコード（第２のレコード）を検索し（ＳＴ１６）、検索履歴が無い出国レコードが存在するか否かをチェックする（ＳＴ１７）。

【0041】

ここで、ＩＣカード１は、不揮発性メモリ１４におけるレコードに関する検索履歴を示す検索履歴情報を記憶するものとする。たとえば、検索履歴情報は、トラベルレコードアプリケーションにおいて管理されるデータである。トラベルレコードアプリケーションにける検索履歴情報は、トラベルレコードを格納するファイル（出国記録ファイルまたは入国記録ファイル）において検索済みのレコード（出国レコードまたは入国レコード）を示す情報を含む。たとえば、検索済みの出国レコードを示す情報としては、未検索（検索履歴無し）の出国レコードを検索（発見）した場合に当該出国レコードの識別情報（レコード番号）が記録（更新）される。

【0042】

また、トラベルレコードアプリケーションにける検索履歴情報は、トラベルレコードを格納するファイル（出国記録ファイルまたは入国記録ファイル）において最後に記録されたレコード（出国レコードまたは入国レコード）を示す情報を含むものとしても良い。たとえば、出国記録ファイルに最後に記録された出国レコード（出国記録の最終レコード）を示す情報としては、出国記録のファイル（ＥＦ１０１－２）に出国記録（トラベルレコード）が追記された場合に追記された（最後に書き込まれた）レコードの識別番号（レコード番号）が記録される。

【0043】

上述した図３に示す構成では、トラベルレコードアプリケーション（ＤＦ１０１）において、出国レコードが書き込まれるデータファイル（出国記録ファイル）がＥＦ１０１－２である。従って、入国記録ファイル（ＥＦ１０１－１）に入国レコード（ＥｎｔｒｙＲｅｃｏｒｄ）を追記する場合、ＩＣカード１のプロセッサ１１は、出国記録ファイル（ＥＦ１０１－２）に検索履歴が無い（検索されていない）出国レコード（ＥｘｉｔＲｅｃｏｒｄ）が存在するか否かをチェックする。

【0044】

検索履歴が無い出国レコードが出国記録ファイルに存在しない場合（ＳＴ１７、ＹＥＳ）、プロセッサ１１は、追記コマンドに対する処理結果（指定の入国レコードを追記したことを示す情報）と警告を示すステータスとを含む応答をＩＣカード処理装置２へ送信する（ＳＴ１８）。

【0045】

ＩＣカード処理装置２の制御部２１は、カードリーダライタ２４により追記コマンドに対して警告を示すステータスを含む応答を受信した場合、警告を報知する（ＳＴ１９）。たとえば、ＩＣカード処理装置２の制御部２１は、記録した入国レコードに対応する出国レコードがＩＣカードに記録されていなかったことを表示部２２に表示することにより警告を報知する。

【0046】

また、検索履歴が無い出国レコードが出国記録ファイルに存在する場合（ＳＴ１７、ＮＯ）、プロセッサ１１は、新たに検索した出国レコード（検索履歴が無かった出国レコード）の識別情報（レコード番号）を検索済みのレコードを示す情報として検索履歴情報に書き込み（ＳＴ２０）、追記コマンドに対する処理結果と正常終了を示すステータスとを含む応答をＩＣカード処理装置２へ送信する（ＳＴ２１）。

【0047】

なお、上述した図４に示す第１の動作例の説明では、トラベルレコードの書込み処理の例として、主にＩＣカード１に入国レコードを書き込む処理について説明したが、ＩＣカード１に出国レコードを書き込む処理についても上述した処理と同様に実施することができる。

【0048】

以上のように、第１の動作例に係る携帯可能電子装置としてのＩＣカードは、第１のレコードを格納する第１のファイルと第１のファイルに対応する第２のレコードを格納する第２のファイルとを記憶部に記憶し、第１のファイルへの新たな第１のレコードを追記することを要求するコマンド（特定のコマンド）を受信した場合、第１のファイルに新たな第１のレコードを書き込むコマンド処理を実行し、第１のファイルに書き込んだ第１のレコードに対応する第２のレコードが第２のファイルに存在しない場合にはコマンド処理の結果と共に警告をＩＣカード処理装置へ送信するようにしたものである。

【0049】

これにより、携帯可能電子装置としてのＩＣカードは、正常なデータセットとなるべき複数のデータが不十分な状態であることを示す警告をＩＣカード処理装置に通知することができる。また、携帯可能電子装置としてのＩＣカードは、ＩＣカード処理装置２にデータが不十分な状態であることを示す警告を通知する場合であっても特定のコマンドに対する処理を正常に実行するため、レコードの書き込みなどのコマンド処理を停止することなく警告をオペレータに報知することができる。

【0050】

次に、実施形態に係るＩＣカード１における第２の動作例について説明する。
第２の動作例としては、ＩＣカード１とＩＣカード処理装置２とでセキュアチャネルを確立する場合に複数の鍵からなる鍵データセットが揃っていなければ、ＩＣカード１がＩＣカード処理装置２へ警告を通知する動作について説明する。

【0051】

ＩＣカード１とＩＣカード処理装置２とは、機密性の高いデータをＩＣカード１からＩＣカード処理装置２へ安全に送信するためのセキュアチャネルを確立することがある。機密性の高いデータを交換するためのセキュアチャネルを用いたデータ通信では、たとえば、以下のような複数の鍵を使用する。
（１）コマンドデータを暗号化するための鍵（ＥＮＣ鍵と称する）
（２）コマンドデータが改ざんされていないことを保証するメッセージ認証コードを作成するための鍵（ＭＡＣ鍵と称する）
（３）個人情報や鍵など機密性の高いデータを暗号化するための鍵（ＤＥＫ鍵と称する）
以下に説明する第２の動作例では、ＩＣカード２は、ＥＮＣ鍵とＭＡＣ鍵とを用いてＩＣカード処理装置２とのセキュアチャネルを確立する場合にＤＥＫ鍵が正しくセットされているかを確認するものとする。

【0052】

図５は、ＩＣカード１の不揮発性メモリ１４に記憶されるセキュアチャネルによる通信に用いる複数の鍵データの例を示す図である。
図５では、互いに関連する複数のデータセットの例として、セキュアチャネルによるデータ通信に用いるＥＮＣ鍵、ＭＡＣ鍵およびＤＥＫ鍵からなる３つの鍵データセットの例を示す。図５に示す例において、ＥＮＣ鍵、ＭＡＣ鍵およびＤＥＫ鍵からなる３つの鍵データは、ｉｄに対応づけて不揮発性メモリ１４に保存される。図５に示すような鍵データセットは、たとえば、セキュアチャネルによるデータ通信を実行するアプリケーション（ＤＦ）ごとにセットされる。これらの鍵データは、アプリケーションとしてのＤＦの配下に設けられる複数のＥＦにそれぞれ格納され、各鍵データに対するｉｄが鍵データを格納するＥＦを示すものとする。

【0053】

また、図５に示す例では、括弧内において各鍵のデータの具体例を示している。つまり、図５では、ｉｄが０１のＥＮＣ鍵とｉｄが０２のＭＡＣ鍵とは発行済みの鍵データである実データであり、ｉｄが０３のＤＥＫ鍵は未書き込み（未発行）のために初期メモリ状態であることを示す０ｘＦＦ…ＦＦである例を示す。

【0054】

次に、実施形態に係るＩＣカード１の第２の動作例としてＩＣカード１がＩＣカード処理装置２とのセキュアチャネルを確立する処理の流れについて説明する。
図６は、実施形態に係るＩＣカード１がＩＣカード処理装置２とのセキュアチャネルを確立する処理の流れを説明するためのシーケンスである。
ここで、ＩＣカード１は、ＩＣカード処理装置２のカードリーダライタ２４からの電源供給を受けて起動した状態であるものとする。この状態において、ＩＣカード１が特定のアプリケーションで管理している機密性の高いデータ（個人情報や鍵などの機密情報）をＩＣカード処理装置２へ供給する場合、ＩＣカード１とＩＣカード処理装置２とはセキュアチャネルを確立させる。

【0055】

まず、ＩＣカード処理装置２の制御部２１は、セキュアチャネルを確立させるアプリケーションの選択を要求するコマンドを送信する処理を行う。制御部２１は、アプリケーション選択コマンドをＩＣカード１に送るためにＥＮＣ鍵を用いてコマンドデータ（例えば、ＤＦ Ｎａｍｅ）を暗号化する（ＳＴ３１）。さらに、制御部２１は、データの改ざん防止のために、データが改ざんされたことを検出できるようにメッセージ認証コードを生成する（ＳＴ３２）。

【0056】

制御部２１は、データ部にＥＮＣ鍵で暗号化したデータとメッセージ認証コードとをセットしたアプリケーション選択コマンド（特定のコマンド）をカードリーダライタ２４によりＩＣカード１へ送信する（ＳＴ３３）。

【0057】

ＩＣカード１は、インターフェース１６および通信制御部１５によりＩＣカード処理装置２からのアプリケーション選択コマンドを受信する。ＩＣカード１のプロセッサ１１は、アプリケーション選択コマンド（特定のコマンド）を受信すると、受信したアプリケーション選択コマンドのデータ部のデータ（ＤＦ Ｎａｍｅ）をＥＮＣ鍵を用いて復号化する。アプリケーション選択コマンドのデータを復号化した場合、プロセッサ１１は、復号化したデータとＭＡＣ鍵を使いメッセージ認証コードを作成することによりデータが改ざんされていないことを確認する（ＳＴ３４）。

【0058】

アプリケーション選択コマンドのデータが改ざんされていないことを確認した後、プロセッサ１１は、復号化して得たデータ（ＤＦ Ｎａｍｅ）で指定されるアプリケーションを選択する処理を実行する（ＳＴ３５）。コマンドで指定されたアプリケーションを選択すると、プロセッサ１１は、ＥＮＣ鍵を使用してレスポンスデータのＦＣＩ（Ｆｉｌｅ Ｃｏｎｔｒｏｌ Ｉｎｆｏｒｍａｔｉｏｎ）を暗号化し、ＭＡＣ鍵でメッセージ認証コードを作成する（ＳＴ３６）。

【0059】

さらに、ＩＣカード１のプロセッサ１１は、選択したアプリケーションが機密性の高い情報（機密情報）を管理するアプリケーションである場合、ＤＥＫ鍵が発行されているかを確認する（ＳＴ３７）。これは、後続する処理において読取コマンド等を用いて当該アプリケーション内の機密情報が読み出される可能性があるため、機密情報を安全に送信するためのＤＥＫ鍵が発行済みであるかを確認するものである。

【0060】

すなわち、ＩＣカード１のプロセッサ１１は、ＩＣカード処理装置２から受信したコマンドが特定のコマンド（特定のアプリケーションを選択するコマンド）である場合、特定のコマンドによる処理に関連するデータであるＤＥＫ鍵が発行されているかを確認するようになっている。

【0061】

たとえば、ＩＣカード１のプロセッサ１１は、ＤＥＫ鍵が発行されているか否かを確認するため、ＤＥＫ鍵の鍵データが格納されるデータの状態を確認する。図５に示す例のように、ＤＥＫ鍵の鍵データがｉｄが０３に格納される場合、プロセッサ１１は、ｉｄが０３であるデータ部が０ｘＦＦ…ＦＦであるか否かによりＤＥＫ鍵が未発行であるか否かを判断する。プロセッサ１１は、ｉｄが０３のデータが０ｘＦＦ…ＦＦである場合はＤＥＫ鍵が未発行であると判断し、ｉｄが０３のデータが０ｘＦＦ…ＦＦでない場合はＤＥＫ鍵が発行済みであると判断する。

【0062】

ＤＥＫ鍵が発行済みである場合（ＳＴ３７、ＮＯ）、プロセッサ１１は、暗号化されたＦＣＩとメッセージ認証コードとを含むレスポンスデータと正常終了を示すステータスとを含む応答をＩＣカード処理装置２へ送信する（ＳＴ４１）。これにより、ＩＣカード処理装置２は、正常終了を示す応答を受信した場合にはＤＥＫ鍵を用いたデータ交換を含む後続の処理を実行できる。

【0063】

ＤＥＫ鍵が未発行である場合（ＳＴ３７、ＹＥＳ）、プロセッサ１１は、暗号化されたＦＣＩとメッセージ認証コードとを含むレスポンスデータと警告を示すステータスとを含む応答をＩＣカード処理装置２へ送信する（ＳＴ３９）。

【0064】

ＩＣカード処理装置２の制御部２１は、カードリーダライタ２４により警告を示すステータスを含む応答をＩＣカード１から受信した場合、後続の処理（たとえば、当該アプリケーションによる取引処理）を継続できないものとして処理を中断する（ＳＴ４０）。ここで、ＩＣカード処理装置２の制御部２１は、ＤＥＫ鍵が未発行であるため処理を中断する旨を表示部２２に表示することによりオペレータに警告を報知しても良い。なお、ＩＣカード処理装置２の制御部２１は、処理を継続したい場合にはＤＥＫ鍵を発行するための処理を実行して上述した処理をやり直すようにしても良い。

【0065】

以上のように、第２の動作例に係る携帯可能電子装置としてのＩＣカードは、関連する鍵データセットとなる複数の鍵データを記憶部に記憶し、特定のコマンドに応じたコマンド処理に用いた鍵データと関連する鍵データセットとなる鍵データが記憶部に存在しない場合、コマンドの結果と警告を示すステータスとを含む応答をＩＣカード処理装置へ送信するようにしたものである。

【0066】

これにより、実施形態に係る携帯可能電子装置としてのＩＣカードは、特定のコマンドを受信した場合、関連する鍵データセットとなる鍵データが正常な状態であることを確認でき、関連するデータセットとなる複数のデータが不十分な状態である場合にはコマンド処理の結果と共に警告を通知することができる。

【0067】

以上のように、実施形態に係る携帯可能電子装置としてのＩＣカードは、関連するデータセットとなる複数のデータを記憶部に記憶し、受信した特定のコマンドに応じたコマンド処理に用いたデータと関連するデータセットとなるデータが存在しない場合には特定のコマンドの処理結果と警告を示すステータスとを含む応答をＩＣカード処理装置へ出力するようにしたものである。

【0068】

これにより、実施形態に係る携帯可能電子装置としてのＩＣカードは、関連するデータセットとなる複数のデータが正常な状態であることを確認でき、関連するデータセットとなる複数のデータが不十分な状態である場合にはコマンド処理の結果と共に警告を通知することができる。

【0069】

なお、上述の各実施の形態で説明した機能は、ハードウエアを用いて構成するに留まらず、ソフトウエアを用いて各機能を記載したプログラムをコンピュータに読み込ませて実現することもできる。また、各機能は、適宜ソフトウエア、ハードウエアのいずれかを選択して構成するものであっても良い。

【0070】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0071】

１…ＩＣカード（携帯可能電子装置）、Ｃ…本体、Ｃａ…ＩＣチップ、Ｍ…モジュール、２…ＩＣカード処理装置（外部装置）、１１…プロセッサ（第１の制御部）、１２…ＲＡＭ、１３…ＲＯＭ、１４…不揮発性メモリ、１５…通信制御部、１６…インターフェース（第１の通信部）、２１…制御部（第２の制御部）、２２…表示部、２３…操作部、２４…カードリーダライタ（第２の通信部）。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】