JP2003140760A - データ処理装置およびその方法とプログラム - Google Patents

Abstract

(57)【要約】 【課題】 サーバ装置が保持するアプリケーションプロ
グラムに対して設定を行うユーザを、セキィリティの観
点から適切に規制できるデータ処理装置を提供する。 【解決手段】 アプリケーションプログラムＡＰが複数
の第１のアプリケーションエレメントデータＡＰＥから
構成され、第１のアプリケーションエレメントデータＡ
ＰＥが複数のバージョンを有する場合に、複数のバージ
ョンにそれぞれ対応する複数の第２のアプリケーション
エレメントデータＡＰＥと、第１と第２のアプリケーシ
ョンエレメントデータＡＰＥとの対応関係を管理するバ
ージョン管理用データモジュールＶＭＦと、第１のアプ
リケーションエレメントデータＡＰＥとそれに対応する
バージョン管理用データモジュールＶＭＦとの対応関係
を管理する管理データ３０３とを用いて、バージョン管
理を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＩＣなどの集積回
路を用いたサービス提供に用いられるデータ処理装置お
よびその方法とプログラムに関する。

【０００２】

【従来の技術】現在、ＩＣカードを用いてインターネッ
トなどのネットワークを介した取り引きを行う通信シス
テムが開発されている。このような通信システムでは、
ＩＣカードを用いたサービスを提供するサービス提供者
からの依頼を受けて当該サービス提供者が規定した手続
き処理を実行するアプリケーションプログラムをサーバ
装置が実行する。サーバ装置は、例えばＩＣカードのリ
ーダ・ライタやＰＣ(Personal Computer) から処理要求
に応じて、上記アプリケーションプログラムに基づい
て、ユーザ認証やデータの暗号化及び復号などの処理を
行う。

【０００３】

【発明が解決しようとする課題】上述したサーバ装置上
で動作するアプリケーションプログラムは、サービス提
供者が設定した鍵データ、課金データおよび履歴データ
などのセキュリティの高いデータを取り扱うため、不正
な改竄や監視から保護したいという要請がある。また、
上述したサーバ装置によるサービスの運用を開始した後
に、アプリケーションプログラムを構成するデータモジ
ュールのバージョンがアップし、新旧のバージョンのデ
ータモジュールを混在させた状態で動作を行うための機
能を提供する必要がある。また、セキュリティ確保の観
点から、サーバ装置が保持するアプリケーションプログ
ラムに対して設定を行うユーザを規制する必要がある。

【０００４】本発明は上述した従来技術の問題点に鑑み
てなされ、ＩＣなどの集積回路を用いたサービスを提供
する際に、サーバ装置上で動作するアプリケーションプ
ログラムのセキュリティを高めることができるデータ処
理装置およびその方法とプログラムを提供することを目
的とする。また、本発明は、複数のバージョンのデータ
モジュールが混在した状態の動作を行うための機能を備
えたデータ処理装置およびその方法とプログラムを提供
することを目的とする。また、本発明は、サーバ装置が
保持するアプリケーションプログラムに対して設定を行
うユーザを、セキィリティの観点から適切に規制できる
データ処理装置およびその方法とプログラムを提供する
ことを目的とする。

【０００５】

【課題を解決するための手段】上記の目的を達成するた
め、第１の発明は、アプリケーションプログラムを実行
し、所定の集積回路との間でデータ授受を行い、前記集
積回路と協動して所定のサービスを提供するデータ処理
装置であって、前記アプリケーションプログラムが複数
の第１のデータモジュールから構成され、前記第１のデ
ータモジュールが複数のバージョンを有する場合に、前
記複数のバージョンにそれぞれ対応する複数の第２のデ
ータモジュールと、前記第１のデータモジュールと前記
複数の第２のデータモジュールとの対応関係を管理する
バージョン管理用データモジュールと、前記第１のデー
タモジュールとそれに対応する前記バージョン管理用デ
ータモジュールとの対応関係を管理する管理データとを
記憶する記憶回路と、前記第１のデータモジュールに対
応する処理を行う場合に、前記管理データを参照して前
記バージョン管理用データモジュールを特定し、当該特
定したバージョン管理用データモジュールを用いて、前
記データ処理装置の内部あるいは外部から指定されたバ
ージョンに対応する前記第２のデータモジュールを用い
て処理を行う処理回路とを有する。

【０００６】第１の発明のデータ処理装置は、好ましく
は、前記処理回路は、前記バージョン管理用データモジ
ュールに含まれるはバージョン指定データによって指定
されたバージョンに対応する前記第２のデータモジュー
ルを用いて処理を行う。また、第１の発明のデータ処理
装置は、好ましくは、前記処理回路は、前記データ処理
装置の内部あるいは外部から指定された値と、前記バー
ジョン指定データが示す値とを用いて得たバージョン値
に対応する前記第２のデータモジュールを用いて処理を
行う。また、第１の発明のデータ処理装置は、好ましく
は、前記バージョン管理用データモジュールは、前記バ
ージョンの識別データと、それに対応する前記第２のデ
ータモジュールとをレコード形式で保持し、前記処理回
路は、前記管理データを参照して前記バージョン管理用
データモジュールを特定し、当該特定したバージョン管
理用データモジュールから、指定されたバージョンの識
別データをキーとして、対応する前記第２のデータモジ
ュールを検索し、当該検索によって得た前記第２のデー
タモジュールを用いて処理を行う。

【０００７】また、第１の発明のデータ処理装置は、好
ましくは、前記バージョン管理用データモジュールは、
前記バージョンの識別データと、当該バージョンに対応
する前記第２のデータモジュールの識別データとを対応
付けて示す表データを有し、前記処理回路は、前記管理
データを参照して前記バージョン管理用データモジュー
ルを特定し、当該特定したバージョン管理用データモジ
ュールの前記表データから、指定されたバージョンの識
別データをキーとして、対応する前記第２のデータモジ
ュールの識別データを検索し、当該検索によって得た識
別データを基に、対応する前記第２のデータモジュール
を得て処理を行う。

【０００８】また、第２の発明のデータ処理方法は、デ
ータ処理装置がアプリケーションプログラムに基づい
て、所定の集積回路との間でデータ授受を行い、前記集
積回路と協動して所定のサービスを提供する場合のデー
タ処理方法であって、前記アプリケーションプログラム
が複数の第１のデータモジュールから構成され、前記第
１のデータモジュールが複数のバージョンを有する場合
に、前記複数のバージョンにそれぞれ対応する複数の第
２のデータモジュールと、前記第１のデータモジュール
と前記複数の第２のデータモジュールとの対応関係を管
理するバージョン管理用データモジュールと、前記第１
のデータモジュールとそれに対応する前記バージョン管
理用データモジュールとの対応関係を管理する管理デー
タとを用意し、前記データ処理装置が、前記第１のデー
タモジュールに対応する処理を行う場合に、前記管理デ
ータを参照して前記バージョン管理用データモジュール
を特定し、前記データ処理装置が、当該特定したバージ
ョン管理用データモジュールを用いて、前記データ処理
装置の内部あるいは外部から指定されたバージョンに対
応する前記第２のデータモジュールを取得し、前記デー
タ処理装置が、当該取得した第２のデータモジュールを
利用する。

【０００９】また、第３の発明のプログラムは、アプリ
ケーションプログラムに基づいて、所定の集積回路との
間でデータ授受を行い、前記集積回路と協動して所定の
サービスを提供するデータ処理装置によって実行される
プログラムであって、前記アプリケーションプログラム
が複数の第１のデータモジュールから構成され、前記第
１のデータモジュールが複数のバージョンを有する場合
に、前記複数のバージョンにそれぞれ対応する複数の第
２のデータモジュールと、前記第１のデータモジュール
と前記複数の第２のデータモジュールとの対応関係を管
理するバージョン管理用データモジュールと、前記第１
のデータモジュールとそれに対応する前記バージョン管
理用データモジュールとの対応関係を管理する管理デー
タとを用いて処理を行い、前記第１のデータモジュール
に対応する処理を行う場合に、前記管理データを参照し
て前記バージョン管理用データモジュールを特定する手
順と、前記データ処理装置が、当該特定したバージョン
管理用データモジュールを用いて、前記データ処理装置
の内部あるいは外部から指定されたバージョンに対応す
る前記第２のデータモジュールを取得する手順と、前記
データ処理装置が、当該取得した第２のデータモジュー
ルを利用する手順とを有する。

【００１０】また、第４の発明のデータ処理装置は、そ
れぞれ複数の第１のデータモジュールから構成された複
数の第２のデータモジュールを用いて、集積回路と通信
して処理を行うデータ処理装置であって、それぞれ対応
する第１のユーザによってアクセスされる前記第２のデ
ータモジュールを記憶する複数の第１の記憶領域と、前
記複数の第１のユーザによって共用される前記第２のデ
ータモジュールを記憶する第２の記憶領域と、特権ユー
ザによってのみアクセス許可される前記第２のデータモ
ジュールを記憶する第３の記憶領域とを有する記憶回路
と、前記第１のデータモジュールの識別データと、前記
第２のデータモジュールの識別データとを用いて、前記
第１の記憶領域、前記第２の記憶領域および前記第３の
記憶領域への階層的なアクセスの許否を規定したアクセ
ス管理データに基づいて、前記記憶回路の記憶領域への
アクセス許否を決定する処理回路とを有する。

【００１１】また、第５の発明のデータ処理方法は、デ
ータ処理装置が、それぞれ複数の第１のデータモジュー
ルから構成された複数の第２のデータモジュールを用い
て集積回路と通信して処理を行うデータ処理方法であっ
て、それぞれ対応する第１のユーザによってアクセスさ
れる前記第２のデータモジュールを記憶する複数の第１
の記憶領域と、前記複数の第１のユーザによって共用さ
れる前記第２のデータモジュールを記憶する第２の記憶
領域と、特権ユーザによってのみアクセス許可される前
記第２のデータモジュールを記憶する第３の記憶領域と
を有する記憶回路へのアクセス許否を、前記第１のデー
タモジュールの識別データと、前記第２のデータモジュ
ールの識別データとを用いて、前記第１の記憶領域、前
記第２の記憶領域および前記第３の記憶領域への階層的
なアクセスの許否を規定したアクセス管理データに基づ
いて決定する。

【００１２】また、第６の発明のプログラムは、データ
処理装置が、それぞれ複数の第１のデータモジュールか
ら構成された複数の第２のデータモジュールを用いて集
積回路と通信して処理を行うデータ処理装置で実行され
るプログラムであって、それぞれ対応する第１のユーザ
によってアクセスされる前記第２のデータモジュールを
記憶する複数の第１の記憶領域と、前記複数の第１のユ
ーザによって共用される前記第２のデータモジュールを
記憶する第２の記憶領域と、特権ユーザによってのみア
クセス許可される前記第２のデータモジュールを記憶す
る第３の記憶領域とを有する記憶回路へのアクセス許否
を、前記第１のデータモジュールの識別データと、前記
第２のデータモジュールの識別データとを用いて、前記
第１の記憶領域、前記第２の記憶領域および前記第３の
記憶領域への階層的なアクセスの許否を規定したアクセ
ス管理データに基づいて決定する手順を有する。

【００１３】

【発明の実施の形態】以下、本発明の実施の形態を添付
図面を参照して説明する。図１は、本実施形態の通信シ
ステム１の全体構成図である。図１に示すように、通信
システム１は、店舗などに設置されたサーバ装置２、Ｉ
Ｃカード３、カードリーダ・ライタ４、パーソナルコン
ピュータ５、ＡＳＰ(Application Service Provider)サ
ーバ装置１９、ＳＡＭ(Secure Application Module) ユ
ニット９、ＩＣモジュール４２（本発明の集積回路）が
内蔵された携帯通信装置４１を用いて、インターネット
１０を介して通信を行ってＩＣカード３あるいは携帯通
信装置４１を用いた決済処理などの手続き処理を行う。
ＳＡＭユニット９（本発明のデータ処理装置）は、外部
メモリ７（本発明の記憶回路）およびＳＡＭモジュール
８（本発明の処理回路）を有する。

【００１４】ＳＡＭモジュール８は、必要に応じて、図
示しない他のＳＡＭモジュールとデータの授受を行う。

【００１５】以下、図１に示す構成要素について説明す
る。 〔ＩＣカード３および携帯通信装置４１〕図２は、ＩＣ
カード３の機能ブロック図である。図２に示すように、
ＩＣカード３は、メモリ５０およびＣＰＵ５１を備えた
ＩＣ(Integrated Circuit)モジュール３ａを有する。メ
モリ５０は、図３に示すように、クレジットカード会社
などのサービス事業者１５＿１が使用する記憶領域５５
＿１、サービス事業者１５＿２が使用する記憶領域５５
＿２、並びにサービス事業者１５＿３が使用する記憶領
域５５＿３を有する。また、メモリ５０は、記憶領域５
５＿１へのアクセス権限を判断するために用いられる鍵
データ、記憶領域５５＿２へのアクセス権限を判断する
ために用いられる鍵データ、並びに記憶領域５５＿３へ
のアクセス権限を判断するために用いられる鍵データを
記憶している。当該鍵データは、相互認証や、データの
暗号化および復号などに用いられる。また、メモリ５０
は、ＩＣカード３あるいはＩＣカード３のユーザの識別
データを記憶している。

【００１６】携帯通信装置４１は、携帯電話網およびイ
ンターネット１０を介してＡＳＰサーバ装置と通信を行
う図示しない通信機能部と、上記通信機能部との間でデ
ータ授受可能なＩＣモジュール４２とを有し、アンテナ
からインターネット１０を介してＳＡＭユニット９と通
信を行う。ＩＣモジュール４２は、携帯通信装置４１の
通信機能部とデータ授受を行う点を除いて、前述したＩ
Ｃカード３のＩＣモジュール３ａと同じ機能を有してい
る。なお、携帯通信装置４１を用いた処理は、ＩＣカー
ド３を用いた処理と同様に行われ、ＩＣモジュール４２
を用いた処理はＩＣモジュール３ａを用いた処理と同様
に行われるため、以下の説明では、ＩＣカード３および
ＩＣモジュール３ａを用いた処理について例示する。

【００１７】以下、ＳＡＭユニット９について詳細に説
明する。ＳＡＭユニット９は、前述したように、外部メ
モリ７（本発明の記憶回路）とＳＡＭモジュール８（本
発明の処理回路）とを有する。ここで、ＳＡＭモジュー
ル８は、半導体回路として実現してもよいし、筐体内に
複数の回路を収容した装置として実現してもよい。

【００１８】〔ＳＡＭモジュール８のソフトウェア構
成〕ＳＡＭモジュール８は、図４に示すようなソフトウ
ェア構成を有している。図４に示すように、ＳＡＭモジ
ュール８は、下層から上層に向けて、ハードウェアＨＷ
層、周辺ＨＷに対応したＲＴＯＳカーネルなどを含めた
ドライバ層（ＯＳ層）、論理的にまとまった単位の処理
を行う下位ハンドラ層、アプリケーション固有のライブ
ラリなどをまとめた上位ハンドラ層およびＡＰ層を順に
有している。ここで、ＡＰ層では、図１に示すクレジッ
トカード会社などのサービス事業者１５＿１，１５＿
２，１５＿３によるＩＣカード３を用いた手続きを規定
したアプリケーションプログラムＡＰ＿１，ＡＰ＿２，
ＡＰ＿３（本発明のアプリケーションプログラム）が、
外部メモリ７から読み出されて動作している。各アプリ
ケーションプログラムには、１つ以上のマクロスクリプ
トが設定可能である。ＡＰ層では、アプリケーションプ
ログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿３相互間、並びに
上位ハンドラ層との間にファイアウォールＦＷが設けら
れている。

【００１９】〔外部メモリ２０７〕図５は、外部メモリ
７の記憶領域を説明するための図である。図５に示すよ
うに、外部メモリ２０７の記憶領域には、サービス事業
者１５＿１のアプリケーションプログラムＡＰ＿１が記
憶されるＡＰ記憶領域２２０＿１、サービス事業者１５
＿２のアプリケーションプログラムＡＰ＿２が記憶され
るＡＰ記憶領域２２０＿２、サービス事業者１５＿３の
アプリケーションプログラムＡＰ＿３が記憶されるＡＰ
記憶領域２２０＿３、並びにＳＡＭモジュール２０８の
管理者が使用するＡＰ管理用記憶領域２２１がある。

【００２０】ＡＰ記憶領域２２０＿１に記憶されている
アプリケーションプログラムＡＰ＿１（第１〜第３の発
明のアプリケーションプログラム、第４〜第６の発明の
第２のデータモジュール）は、後述する複数のアプリケ
ーションエレメントデータＡＰＥ（第１〜第６の発明の
第１のデータモジュール）によって構成されている。Ａ
Ｐ記憶領域２２０＿１へのアクセスは、ファイアウォー
ルＦＷ＿１によって制限されている。ＡＰ記憶領域２２
０＿２に記憶されているアプリケーションプログラムＡ
Ｐ＿２は、複数のアプリケーションエレメントデータＡ
ＰＥによって構成されている。ＡＰ記憶領域２２０＿２
へのアクセスは、ファイアウォールＦＷ＿２によって制
限されている。ＡＰ記憶領域２２０＿３に記憶されてい
るアプリケーションプログラムＡＰ＿３は、複数のアプ
リケーションエレメントデータＡＰＥによって構成され
ている。ＡＰ記憶領域２２０＿３へのアクセスは、ファ
イアウォールＦＷ＿３によって制限されている。本実施
形態では、上記アプリケーションエレメントデータＡＰ
Ｅは、例えば、ＳＡＭユニット９の外部から外部メモリ
７にダウンロードされる最小単位である。各アプリケー
ションプログラムを構成するアプリケーションエレメン
トデータＡＰＥの数は、対応するサービス事業者が任意
に決定できる。

【００２１】また、外部メモリ７に記憶されたアプリケ
ーションプログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿３は、
スクランブルされており、ＳＡＭモジュール８に読み込
まれたときに、デスクランブルされる。また、アプリケ
ーションプログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿３は、
例えば、それぞれ図１に示すパーソナルコンピュータ１
６＿１，１６＿２，１６＿３を用いて、サービス事業者
１５＿１，１５＿２，１５＿３によって作成され、ＳＡ
Ｍモジュール８を介して外部メモリ７にダウンロードさ
れる。

【００２２】以下、アプリケーションプログラムＡＰ＿
１，ＡＰ＿２，ＡＰ＿３について詳細に説明する。アプ
リケーションプログラムは、サービス事業者毎に、ＳＡ
Ｍ内に単数または複数個存在する。アプリケーションプ
ログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿３（以下、ＡＰと
も記す）は、図６に示すように、アプリケーションプロ
グラムＡＰを識別するための識別データＡＰ＿ＩＤと、
当該アプリケーションプログラムのバージョン（世代情
報）を示すデータＡＰＰ＿ＶＥＲ、当該アプリケーショ
ンプログラムに含まれるアプリケーションエレメントデ
ータＡＰＥの数を示すデータＡＰＥ＿ＮＵＭと、単数ま
たは複数のアプリケーションエレメントデータＡＰＥと
によって構成される。識別データＡＰ＿ＩＤは、サービ
ス事業者毎に異なるように決められている。

【００２３】図６に示すように、アプリケーションエレ
メントデータＡＰＥは、当該アプリケーションエレメン
トデータＡＰＥのデータサイズを示すデータＡＰＥ＿Ｓ
ＩＺＥと、当該アプリケーションエレメントデータＡＰ
Ｅを識別するための識別データＡＰＥ＿ＩＤと、当該ア
プリケーションエレメントデータＡＰＥのバージョンを
示すデータＡＰＥ＿ＶＥＲ、サービス事業者が設定可能
な当該アプリケーションエレメントデータＡＰＥの識別
データ（タグ）であるデータＡＰＥ＿ＴＡＧ、ＡＰＰテ
ーブルデータを特定するデータＡＰＰＴ、オプションを
設定するデータＯＰＴ、データ本体ＡＰＥ＿ＰＬとで構
成される。ここで、識別データＡＰＥ＿ＩＤは、アプリ
ケーションエレメントデータＡＰＥの種別を示すデータ
ＡＰＥ＿ＴＹＰＥと、当該種別内でのアプリケーション
エレメントデータＡＰＥの識別番号（インスタンス識別
番号）を示すデータＩＮＳ＿ＮＵＭとで構成される。デ
ータＩＮＳ＿ＮＵＭは、エンドユーザ（サービス事業
者）側で管理される。例えば、アプリケーションエレメ
ントデータＡＰＥがファイルシステムコンフィグレーシ
ョンの場合には、データＡＰＥ＿ＴＹＰＥが「２」とな
り、データＩＮＳ＿ＮＵＭが「１」となる。これによ
り、同−のＳＡＭであれば、識別データＡＰＥ＿ＩＤに
より一意にアプリケーションエレメントデータＡＰＥを
特定できる。データＡＰＥ＿ＶＥＲは、サービス事業者
が任意に設定できる。また、データＡＰＥ＿ＴＡＧは、
個々のアプリケーションプログラムＡＰ内で一意に定義
される必要がある。

【００２４】図５に示す外部メモリ７には、上述したア
プリケーションプログラムＡＰ（ＡＰ＿１，ＡＰ＿２，
ＡＰ＿３）が、ＳＡＭユニット９外でＡＰリソース鍵デ
ータＫ＿ＡＰＲ（暗号化鍵データ）によって暗号化され
て、設定コマンドによって、外部メモリ７内にアプリケ
ーションプログラム・パッケージＡＰＰとして記憶され
ている。ＡＰリソース鍵データＫ＿ＡＰＲとしては、ア
プリケーションプログラム毎で異なる暗号化鍵データが
用いられる。

【００２５】以下、図６を用いて説明したアプリケーシ
ョンエレメントデータＡＰＥの種別（ＡＰＥ＿ＴＹＰ
Ｅ）について説明する。図７は、１つのＡＰ領域内に記
憶されたアプリケーションエレメントデータＡＰＥの一
例を示す図である。図７は、データＡＰＥ＿ＴＹＰＥの
番号と、その内容とを対応付けて示している。図７に示
すように、ＡＰ領域内には、例えば、ＡＰリソース鍵デ
ータＫ＿ＡＰＲ、カードアクセス鍵データ、ファイルシ
ステムコンフィグレーションデータ、ＳＡＭ相互認証用
鍵データ、ＳＡＭ間鍵パッケージ鍵データ、ＩＣカード
操作用マクロコマンドスクリプトプログラム（本発明の
処理手順データ）、メモリ分割用鍵パッケージ、エリア
登録鍵パッケージ、エリア削除用鍵パッケージ、サービ
ス登録用鍵データ、サービス削除用鍵パッケージ、が、
アプリケーションエレメントデータＡＰＥとして記憶さ
れている。

【００２６】・ＡＰリソース鍵データＫ＿ＡＰＲ ＡＰリソース鍵データＫ＿ＡＰＲは、アプリケーション
エレメントデータＡＰＥを設定する際の暗号用鍵として
使用され、ＡＰ領域毎に、アプリケーションエレメント
データＡＰＥを設定するために異なる鍵データＫ＿ＡＰ
Ｒが割り当てられている。 ・カードアクセス鍵データ カードアクセス鍵データは、ＩＣカード３およびＩＣモ
ジュール４２のメモリ５０に対してのデータの読み書き
操作に用いられる鍵データである。カードアクセス鍵デ
ータには、例えば、ＩＣカードシステム鍵データ、ＩＣ
カードエリア鍵データ、ＩＣカードサービス鍵データお
よびＩＣカード縮退鍵データなどがある。ここで、ＩＣ
カード縮退鍵データは、、ＩＣカードシステム鍵データ
と、メモリ５０の記憶領域管理用鍵データとを用いて暗
号化して生成され、相互認証に用いられる鍵データであ
る。また、ＩＣカード操作用マクロコマンドスクリプト
プログラムで参照される鍵データも、カードアクセス鍵
データと同じ種別のアプリケーションエレメントデータ
ＡＰＥに含まれる

【００２７】・ファイルシステムコンフィグレーション
データ ファイルシステムコンフィグレーションデータとして
は、例えば、ログデータ、ネガデータ、ジャーナルデー
タがある。ログデータは例えばアプリケーションエレメ
ントデータＡＰＥの利用履歴データであり、ネガデータ
は例えばＩＣカードの失効情報であり、ジャーナルデー
タは例えばＳＡＭでの実行履歴である。例えば、ファイ
ルシステムコンフィグレーションでは、ファイルアクセ
スの種別（レコードキー指定・ソート・リング）の選択
を行い、レコードキーの場合であれば、レコードサイ
ズ、レコード全体件数・レコード署名バージョン・レコ
ード署名メソッドタイプ、レコードデータサイズ、レコ
ード署名鍵を設定する。さらに、外部から本ファイルシ
ステムにデータを書き込む際に署名検証を実施するかの
有無の指定などを行う。ここでレコードとは、ファイル
データへの書き込み／読み出しの最小単位である。

【００２８】・ＳＡＭ相互認証用鍵データ 同一ＳＡＭ内にあるＡＰ間相互認証にも使用される。Ｓ
ＡＭ相互認証用鍵データとは、対応するアプリケーショ
ンエレメントデータＡＰＥを同一ＳＡＭ内の他のＡＰま
たは他のＳＡＭからアクセスする際に用いられる鍵デー
タである。 ・ＳＡＭ間鍵パッケージ鍵 ＳＡＭ間鍵パッケージ鍵とは、ＳＡＭ間での相互認証
後、カードアクセス鍵データなどのデータを交換する際
に用いられる暗号化用鍵データである。 ・ＩＣカード操作用マクロコマンドスクリプトプログラ
ム ＩＣカード操作用マクロコマンドスクリプトプログラム
は、サービス事業者自身によって生成され、ＩＣカード
３に係わる処理の順番やＡＳＰサーバ装置１９とのやり
取りを記述している。ＩＣカード操作用マクロコマンド
スクリプトプログラムは、ＳＡＭユニット９に設定され
た後に、ＳＡＭモジュール８内で解釈され、対応するＩ
Ｃカードエンティティデータが生成される。

【００２９】・メモリ分割用鍵パッケージ メモリ分割用鍵パッケージは、サービス事業者がＩＣカ
ード３を用いたサービスの運用開始前に、外部メモリ７
やＩＣカード３のメモリの記憶領域を分割するために使
用するデータである。 ・エリア登録鍵パッケージ エリア登録鍵パッケージは、サービス事業者がＩＣカー
ド３を用いたサービスの運用開始前に、ＩＣカード３の
メモリの記憶領域にエリア登録を行う場合に使用するデ
ータである。 ・エリア削除用鍵パッケージ（内部生成） エリア削除用鍵パッケージは、カードアクセス鍵データ
からＳＡＭ内部で自動生成が可能なパッケージである。

【００３０】・サービス登録用鍵（内部生成） サービス登録用鍵パッケージは、サービス事業者がＩＣ
カード３を用いたサービスの運用開始前に、外部メモリ
７のアプリケーションエレメントデータＡＰＥを登録す
るために用いられる。サービス登録用鍵パッケージは、
カードアクセス鍵データからＳＡＭ内部で自動生成が可
能なパッケージである。 ・サービス削除用鍵パッケージ（内部生成） サービス削除用鍵パッケージは、外部メモリ７に登録さ
れているアプリケーションエレメントデータＡＰＥを削
除するために用いられる。サービス削除用鍵パッケージ
は、カードアクセス鍵データからＳＡＭ内部で自動生成
が可能なパッケージである。

【００３１】図８は、図７に示す各アプリケーションエ
レメントデータＡＰＥの種別に応じたバージョンを説明
するための図である。図８に示すように、ＩＣカードシ
ステム鍵データ、エリア鍵データおよびサービス鍵デー
タのバージョンは、各鍵データに規定されたバージョン
が用いられる。ＩＣカード縮退鍵データのバージョン
は、例えば、ＳＡＭモジュール８が独自に規定できる。
製造用鍵パッケージのバージョンには、システム鍵デー
タのバージョンが用いられる。発行用鍵データのバージ
ョンには、ＩＣ３ａおよびＩＣモジュール４２の最上の
記憶領域の管理鍵データのバージョンが用いられる。拡
張発行用鍵データのバージョンには、システム鍵データ
のバージョンが用いられる。

【００３２】分割元パッケージおよび分割パッケージの
バージョンには、分割対象となるシステム鍵データが用
いられる。エリア登録用鍵パッケージおよびエリア削除
用鍵パッケージのバージョンには、各エリア鍵のバージ
ョンが用いられる。サービス登録用鍵パッケージおよび
サービス削除用鍵パッケージのバージョンには、各サー
ビス鍵のバージョンが用いられる。鍵変更用パッケージ
のバージョンには、変更後の新しい鍵データのバージョ
ンが用いられる。

【００３３】以下、上述したアプリケーションエレメン
トデータＡＰＥのバージョンの管理に用いられる、図５
に示すバージョン管理用データ３０３、並びにアプリケ
ーションエレメントデータＡＰＥについて説明する。 〔バージョン管理の第１の例〕図９に示すように、アプ
リケーションエレメントデータＡＰＥが複数のバージョ
ンを有する場合に、当該アプリケーションエレメントデ
ータＡＰＥに対応するバージョン管理用データ３０３
（第１〜第３の発明の管理データ）は、当該アプリケー
ションエレメントデータＡＰＥに対応するバージョン管
理ファイルＶＭＦ（第１〜第３の発明のバージョン管理
用データモジュール）の識別データＡＰＥ＿ＩＤと、現
在選択されているパージョン値と、バージョン管理ファ
イルＶＭＦに格納されている最新のバージョン値とを対
応付けて示している。本実施形態では、バージョン管理
ファイルＶＭＦは、アプリケーションエレメントデータ
ＡＰＥとして実現される。

【００３４】バージョン管理ファイルＶＭＦは、図９に
示すように、バージョンの値（バージョンの識別デー
タ：Version #** ）と、当該バージョンのアプリケーシ
ョンエレメントデータＡＰＥの実体(Element Instance
Body #**) （第１〜３の発明の第２のデータモジュー
ル）とをレコード形式で格納している。ＳＡＭモジュー
ル８のＣＰＵは、複数のバージョンを有するアプリケー
ションエレメントデータＡＰＥを用いる場合に、当該ア
プリケーションエレメントデータＡＰＥのデータＡＰ＿
ＩＤを基にバージョン管理用データ３０３にアクセス
し、バージョン管理用データ３０３に格納されたＡＰＥ
＿ＩＤを基にバージョン管理ファイルＶＭＦにアクセス
する。そして、バージョン管理ファイルＶＭＦに、指定
されたバージョン値をキーとして、バージョン管理ファ
イルＶＭＦ内で、指定されたバージョンのアプリケーシ
ョンエレメントデータＡＰＥの実体を検索して利用す
る。

【００３５】〔バージョン管理の第２の例〕図１０に示
すように、バージョン管理用データ３０３は図９の場合
と同様に、当該アプリケーションエレメントデータＡＰ
Ｅに対応するバージョン管理ファイルＶＭＦの識別デー
タＡＰＥ＿ＩＤと、現在選択されているパージョン値
と、バージョン管理ファイルＶＭＦに格納されている最
新のバージョン値とを対応付けて示している。本実施形
態でも、バージョン管理ファイルＶＭＦは、アプリケー
ションエレメントデータＡＰＥとして実現される。

【００３６】バージョン管理ファイルＶＭＦは、図１０
に示すように、バージョンの値（バージョンの識別デー
タ：Version #** ）と、当該バージョンのアプリケーシ
ョンエレメントデータＡＰＥの実体(Element Instance
Body #**) （第１〜３の発明の第２のデータモジュー
ル）の識別データＡＰＥ＿ＩＤとを対応付けて示す表デ
ータ３０５を格納している。ＳＡＭモジュール８のＣＰ
Ｕは、複数のバージョンを有するアプリケーションエレ
メントデータＡＰＥを用いる場合に、当該アプリケーシ
ョンエレメントデータＡＰＥのデータＡＰ＿ＩＤを基に
バージョン管理用データ３０３にアクセスし、バージョ
ン管理用データ３０３に格納されたＡＰＥ＿ＩＤを基に
バージョン管理ファイルＶＭＦにアクセスする。そし
て、当該ＣＰＵは、バージョン管理ファイルＶＭＦか
ら、指定されたバージョン値をキーとして、識別データ
ＡＰＥ＿ＩＤを取得し、当該識別データＡＰＥ＿ＩＤを
用いて、対応するバージョンのアプリケーションエレメ
ントデータＡＰＥの実体にアクセスして利用する。

【００３７】なお、上述した第１および第２の例におい
て、バージョンの指定は、ＳＡＭモジュール８の外部か
らコマンドによって、あるいはＳＡＭモジュール８の内
部の処理によって、設定および変更される。また、ＳＡ
Ｍモジュール８のＣＰＵは、バージョンが明示して指定
されていない場合に、バージョン管理用データ３０３に
格納されたバージョン管理ファイルＶＭＦ内の最新バー
ジョンを自動的に選択して指定してもよい。ＳＡＭモジ
ュール８のＣＰＵは、ＳＡＭモジュール８の内部あるい
は外部から指定された値を、バージョン指定データが示
す値に反映させてバージョン値を算出し、当該算出した
バージョン値をキーとしてバージョン管理ファイルＶＭ
Ｆ内を検索してもよい。

【００３８】〔バージョン管理の適用例〕図１１は、バ
ージョン管理の手法をカードアクセス鍵データに適用し
た場合を説明する。図１１に示すように、カードアクセ
ス鍵データを管理するファイルから鍵パッケージＫ＿Ｐ
を、ＳＡＭモジュール８の汎用レジスタ内で内部生成す
る。異なるバージョンのカードアクセス鍵データを格納
した鍵パッケージＫ＿Ｐ１〜ＫＰ３が生成される。そし
て、ＳＡＭモジュール８のＣＰＵは、ソート型のファイ
ルシステムを用いて、鍵パッケージＫ＿Ｐ１〜Ｋ＿Ｐ３
を、それぞれパッケージバージョンＰ＿ＶＥＲ１〜Ｐ＿
ＶＥＲ３と関連付けて外部メモリ７に格納する。

【００３９】〔異なるバージョンの署名鍵データを用い
て署名された署名（ログ）データを作成および検証する
場合〕例えば、ＳＡＭモジュール８は、例えば、ＩＣカ
ード３およびＩＣモジュール４２の運用開始後に、カー
ド処理に伴う署名データに用いる署名鍵データが変更に
なり、新旧の署名鍵データを混在して運用する場合があ
る。このとき、署名鍵データは、バージョン別に管理さ
れている。ＳＡＭモジュール８のＣＰＵは、署名ファイ
ルの各レコードに含まれる署名鍵バージョンデータを読
み出し、当該署名鍵バージョンデータをキーとして、署
名鍵ファイルから、対応する署名鍵データを検索して取
得し、当該取得した署名鍵データを用いて署名作成また
は署名検証処理を行う。

【００４０】すなわち、ＳＡＭモジュール８のＣＰＵ
は、例えば、ファイルコンフィグレーション時に、ログ
ファイル内の該当する署名鍵バージョンを特定し、バー
ジョン管理ファイルＶＭＦを用いて、当該署名鍵バージ
ョンに対応する署名鍵ファイルにアクセスし、当該署名
鍵ファイルに格納された署名鍵データを用いて、署名作
成または署名検証を行う。

【００４１】なお、上述したログファイルには、署名鍵
バージョンに対応して、レコード形式で、署名付加の対
象となるデータ、並びに署名データが格納されている。
署名データは、上記署名付加の対象となるデータの全部
または一部に対して付けられる。また、ＳＡＭモジュー
ル８のＣＰＵは、フグファイル内のデータの一部または
全体に対して、署名鍵データと所定の暗号アルゴリズム
に基づいた署名データを生成し、当該署名データを前記
レコードに付加して外部メモリ７に書き込み、前記ログ
ファイルからデータを読み出す場合に、前記書き込み時
に用いた署名鍵データと前記暗号アルゴリズムに基づい
て署名データを生成し、当該生成した署名データと、当
該レコードに付加された署名データとを比較して、当該
レコードの正当性、すなわちデータが改竄および欠損し
ていないかを判断する。

【００４２】以下、上述したＩＣカード操作用マクロコ
マンドスクリプトプログラム（以下、スクリプトプログ
ラムとも記す）について詳細に説明する。スクリプトプ
ログラムは、ＳＡＭモジュール８上で動作するサービス
事業者１５＿１，１５＿２，１５＿３のアプリケーショ
ンプログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿３、並びに当
該アプリケーションプログラムの実行時にＩＣカード３
のＩＣモジュール３ａおよび携帯通信装置４１のＩＣモ
ジュール４２が行う処理の手続きを規定するためのプロ
グラムである。本実施形態では、後述するように、図１
３に示すように、ＳＡＭモジュール８内で、スクリプト
ダウンロードタスク６９およびスクリプト解釈タスク７
０に基づいて処理を行い、ＡＰ管理テーブルデータおよ
びスクリプトプログラムから、サービス事業者１５＿
１，１５＿２，１５＿３に関する手続きに用いられるＩ
Ｃカードエンティティテンプレートデータ３０＿１、入
力用データブロック３１＿ｘ１、出力用データブロック
３２＿ｘ２、ログ用データブロック３３＿ｘ３および演
算定義用データブロック３４＿ｘ４を生成する。

【００４３】以下、図５に示す外部メモリ７のＡＰ管理
用記憶領域２２１に記憶されたデータについて説明す
る。ＡＰ管理用記憶領域２２１へのアクセスは、ファイ
アウォールＦＷ＿４によって制限されている。なお、フ
ァイアウォールＦＷ＿４は、図４に示すファイアウォー
ルＦＷに対応している。図１４は、ＡＰ管理用記憶領域
２２１に記憶されているデータの詳細を説明するための
図である。ＡＰ管理用記憶領域２２１には、図１４に示
すように、ＡＰ管理用テーブルデータ３００＿１，３０
０＿２，３００＿３（３００）と、ＡＰＰテーブルデー
タ３０１＿１，３０１＿２，３０１＿３（３０１）と、
ＡＰ選択用データ３０２＿１，３０２＿２，３０２＿３
（３０２）、バージョン管理用データ３０３＿１，３０
３＿２，３０３＿３（３０３）、並びに内部リソース割
当管理用データ３０４（第４〜第６の発明のアクセス管
理データ）が記憶されている。ここで、ＡＰ管理用テー
ブルデータ３００＿１，３００＿２，３００＿３と、Ａ
ＰＰテーブルデータ３１０＿１，３１０＿２，３１０＿
３は、例えば、ＳＡＭモジュール８のセットアップ時に
予め登録されている。また、ＡＰ管理用テーブルデータ
３００＿１，３００＿２，３００＿３と、ＡＰＰテーブ
ルデータ３１０＿１，３１０＿２，３１０＿の書き換え
は、ＳＡＭモジュール８の管理者のみが行える。

【００４４】ＡＰ管理用テーブルデータ３００＿１，３
００＿２，３００＿３は、アプリケーションプログラム
ＡＰ毎に規定されている。また、ＡＰＰテーブルデータ
３１０＿１，３１０＿２，３１０＿３は、ＳＡＭ相互認
証鍵データ毎に規定されている。

【００４５】図１５は、ＡＰ管理用テーブルデータ３０
０＿１を説明するための図である。ＡＰ管理用テーブル
データ３００＿２，３００＿３も、ＡＰ管理用テーブル
データ３００＿１と同じフォーマットを有している。図
１５に示すように、ＩＣカード操作用マクロコマンドス
クリプトプログラム内で用いられる参照されるアプリケ
ーションエレメントデータＡＰＥの名前ＡＰＥ＿Ｎのそ
れぞれについて、識別データＡＰＥ＿ＩＤ、内部／外部
指定データＩＥＩ、識別データＳＡＭ＿ＩＤ、識別デー
タＡＰ＿ＩＤ、鍵データＫ＿ＣＡＲＤＡ、鍵データＫ＿
ＳＡＭ、データＳＥＴ＿ＡＰＰ、データＦＬＡＧ＿ＩＰ
およびデータＦＬＡＧ＿ＳＴＲを対応付けて示してい
る。アプリケーションエレメントデータＡＰＥの名前Ａ
ＰＥ＿Ｎは、サービス事業者１５＿１，１５＿２，１５
＿３のアプリケーションプログラムによって提供される
サービス（アプリケーションエレメントデータＡＰＥ）
に付けられた名前である。名前ＡＰＥ＿Ｎは、各サービ
ス事業者のアプリケーションプログラムが使用できるサ
ービスのサービス番号の替わりに参照される識別子であ
る。

【００４６】ここで、識別データＡＰＥ＿ＩＤは、アプ
リケーションエレメントデータＡＰＥの識別データであ
る。内部／外部指定データＩＥＩは、ＡＰＥが実体とし
て存在するのか（内部指定）、あるいは他のＳＡＭから
参照するのか（外部指定）を区別するフラグである。識
別データＳＡＭ＿ＩＤは、ＳＡＭモジュール８が当該ア
プリケーションエレメントデータＡＰＥに係わる処理を
行う際にデータ授受を行う相手側のＳＡＭの識別データ
である。図１６は、ＳＡＭ＿ＩＤを説明するための図で
ある。ＳＡＭ＿ＩＤは、４バイトのデータであり、ＴＣ
Ｐ／ＩＰに類似したネットマスクの概念を有している。
ネットマスクはビット単位での設定が可能である。例え
ば、当該ネットマスクは、図１６に示すように、Ａクラ
ス、ＢクラスおよびＣクラスの３種類に分類される。そ
して、同一のネットマスクが割り当てられたＳＡＭ相互
間では、相互認証に使用する鍵データは１種類でよい。
本実施形態では、例えば、同一のサービス事業者に同一
のネットマスクが割り当てられる。図１６において、Ａ
クラスのネットマスクは、「２５５．ＸＸ．ＸＸ．Ｘ
Ｘ」で示され、上位１バイトに当該クラスを特定するた
めの所定の値が割り当てられ、下位３バイトに、当該ク
ラスに属する個々のＳＡＭを特定するための値が割り当
てられる。ここで、「ＸＸ」には任意の値を設定でき
る。すなわち、Ａクラスのネットマスクによって、当該
Ａクラスに属する１６７７７２１５個のＳＡＭ＿ＩＤを
規定できる。また、Ｂクラスのネットマスクは、「２５
５．２５５．ＸＸ．ＸＸ」で示され、上位２バイトに当
該クラスを特定するための所定の値が割り当てられ、下
位２バイトに、当該クラスに属する個々のＳＡＭを特定
するための値が割り当てられる。すなわち、Ｂクラスの
ネットマスクによって、当該Ｂクラスに属する６５５３
５個のＳＡＭ＿ＩＤを規定できる。また、Ｃクラスのネ
ットマスクは、「２５５．２５５．２５５．ＸＸ」で示
され、上位３バイトに当該クラスを特定するための所定
の値が割り当てられ、下位１バイトに、当該クラスに属
する個々のＳＡＭを特定するための値が割り当てられ
る。すなわち、Ｃクラスのネットマスクによって、当該
Ｃクラスに属す２５５個のＳＡＭ＿ＩＤを規定できる。

【００４７】識別データＡＰ＿ＩＤは、ＳＡＭモジュー
ル８が当該アプリケーションエレメントデータＡＰＥに
係わる処理を行う際にデータ授受を行う相手側のＳＡＭ
で実行されるアプリケーションプログラムの識別データ
である。鍵データＫ＿ＣＡＲＤＡは、ＳＡＭモジュール
８が当該アプリケーションエレメントデータＡＰＥに係
わる処理を行う際にＩＣカード３のメモリ５０とデータ
授受を行うために用いられる鍵データである。

【００４８】鍵データＫ＿ＳＡＭは、ＳＡＭモジュール
８が当該アプリケーションエレメントデータＡＰＥに係
わる処理を行う際に、他のＳＡＭとデータ授受を行うた
めに用いられる鍵データである。データＳＥＴ＿ＡＰＰ
は、ＳＡＭモジュール８が当該アプリケーションエレメ
ントデータＡＰＥに係わる処理を行う際に用いられる
（参照される）ＡＰＰテーブルデータ３１０＿１，３１
０＿２，３１０＿３を特定するためのデータである。

【００４９】図１５において、ＡＰＥ＿Ｎ「Ｓｅｒｖｉ
ｃｅＡ」は、該当ＳＡＭ８内のアプリケーションプログ
ラムで定義されたＩＣカード３のアクセス鍵である。
「ＳｅｒｖｉｃｅＡ」の鍵データは非公開に設定してい
るため、他のＳＡＭ上のアプリケーションプログラムや
本ＳＡＭ上の他のアプリケーションプログラムは、参照
することができない。また、「ＳｅｒｖｉｃｅＣ」は、
本アプリケーションプログラムで定義されたＩＣカード
３のアクセス鍵である。本ＳＡＭに後述するＣクラスの
ネットマスクが割り当てられている場合には、「Ｓｅｒ
ｖｉｃｅＣ」の鍵データは「４３．１７．１９．ＸＸ」
のＳＡＭ＿ＩＤを持つＳＡＭ上のアプリケーションプロ
グラムに公開される。この際ＳＡＭ相互認証用鍵は「Ｔ
Ｔ１…．ＴＴｎ」、また他のＳＡＭが「Ｓｅｒｖｉｃｅ
Ｃ」の鍵データを次回利用時まで保持可能かの可否を決
定する。可の場合には、他のＳＡＭがカード上の「Ｓｅ
ｒｖｉｃｅＣ」を次回利用するときに、本ＳＡＭから再
度カードアクセス鍵を入手する必要は無い。Ｓｅｒｖｉ
ｃｅＢのアクセス鍵は本ＳＡＭではなく、「４３．１
３．１３７．ＸＸ」のＳＡＭ＿ＩＤを持つＳＡＭから入
手する。ＳＡＭ間の相互認証用鍵として「ＳＳ１…ＳＳ
ｎ」を使用する。「ＳｅｒｖｉｃｅＢ」のアクセス鍵を
次回利用時まで保持可能の有無は先方のＳＡＭが指定す
る可否フラグにより決定する。「ＳｅｒｖｉｃｅＢ Ｌ
ｏｇ」は、「４３．１３．１３７．ＸＸ」のＳＡＭ＿Ｉ
Ｄが割り当てられたログデータが格納されたファイルを
指す。「ＳｅｒｖｉｃｅＢ Ｌｏｇ」は、「Ｓｅｒｖｉ
ｃｅＢ」と同一ＳＡＭネットマスクであるため、相互認
証用鍵は「ＳＳ１…ＳＳｎ」を使用する。ここで、相互
認証鍵毎にＡＰＰテーブルデータが設けられている。本
例では、「ＳｅｒｖｉｃｅＢ ｌｏｇ」および「Ｓｅｒ
ｖｉｃｅＢ」へのアクセス許可は他のＳＡＭ上のＡＰ管
理用テーブルデータが参照する他のＳＡＭのＡＰＰテー
ブルデータ３１０で規定されている。

【００５０】図１７は、ＡＰＰテーブルデータ３１０＿
１を説明するための図である。ＡＰＰテーブルデータ３
１０＿２，３１０＿３、３１０は、ＡＰＰテーブルデー
タ３１０＿１と同じフォーマットを有している。図１７
に示すように、ＡＰＰテーブルデータ３１０＿１は、各
アプリケーションエレメントデータＡＰＥについて、そ
の識別データＡＰＥ＿ＩＤと、当該アプリケーションエ
レメントデータＡＰＥに対して他のアプリケーションプ
ログラム（他のアプリケーションエレメントデータＡＰ
Ｅ）から読み出し（ＲＥＡＤ）、書き込み（ＷＲＩＴ
Ｅ）および実行（ＥＸＣＵＴＥ）が可能であるか否かを
示している。

【００５１】例えば、図１７に示すＡＰＰテーブルデー
タ３１０＿１は、「ＳｅｒｖｉｃｅＢ ｌｏｇ」につい
ては読取りが可、書込みが可、実行（削除）が不可を示
している。

【００５２】また、図５に示す外部メモリ７のＡＰ管理
用記憶領域２２１は、例えば、ＩＣカード種別データと
ＡＰ＿ＩＤとを対応付けて示すＡＰ選択用データを記憶
している。ＩＣカード種別データは、図１に示すＩＣカ
ード３の種別を示し、例えば、ＩＣカード３を用いた取
り引きの決済を行うクレジットカード会社の識別データ
である。

【００５３】本実施形態では、ＩＣカード操作用マクロ
コマンドスクリプトプログラム内に複数のアプリケーシ
ョンエレメントデータＡＰＥの名前ＡＰＥ＿Ｎを組み合
せたサービス内容を規定（記述）し、これを後述するＩ
Ｃカードエンティティデータ（ジョブ管理用データ）に
反映させることで、複数のアプリケーションエレメント
データＡＰＥに対応するサービスを組み合わせたをサー
ビスを提供できる。例えば、ＩＣカード３からデータ読
出しを行うサービスと、サーバ装置２にデータ書込みを
行うサービスとを組み合わせたサービスを、ＩＣカード
エンティティデータ内に定義できる。

【００５４】また、ＡＰＥ＿Ｎあるいはそのサービス番
号は、サービス事業者１５＿１，１５＿２，１５＿３に
よって提供されるサービスを行う際に、ＩＣカード３に
発行するＩＣカード３が解釈可能な操作コマンドであ
る。

【００５５】アプリケーションプログラムＡＰ＿１は、
外部メモリ７に記憶されたＡＰ管理用テーブルデータ３
００＿１および所定のＩＣカード操作用マクロコマンド
スクリプトプログラムによって規定される。アプリケー
ションプログラムＡＰ＿２は、外部メモリ７に記憶され
たＡＰ管理用テーブルデータ３００＿２および所定のＩ
Ｃカード操作用マクロコマンドスクリプトプログラムに
よって規定される。アプリケーションプログラムＡＰ＿
３は、外部メモリ７に記憶されたＡＰ管理用テーブルデ
ータ３００＿３および所定のＩＣカード操作用マクロコ
マンドスクリプトプログラムによって規定される。

【００５６】また、図５に示す外部メモリ７のＡＰ管理
用記憶領域２２１は、例えば、外部メモリ７に格納され
たリソースへのアクセス管理をユーザの特権別あるいは
使用目的別に行うために用いられる内部リソース割当管
理用データ３０４を記憶している。

【００５７】図１８は、内部リソース割当管理用データ
３０４を説明するための図である。ＳＡＭモジュール８
のＣＰＵは、図１８に示す内部リソース割当管理用デー
タ３０４に基づいて、外部メモリ７の記憶領域、並びに
当該領域に記憶されたデータに対してのアクセスを、ユ
ーザの特権別あるいは使用目的別に管理する。外部メモ
リ７の記憶領域は、システム領域とユーザ領域とに分け
て管理される。システム領域は、ＳＡＭモジュール８が
内部動作で使用する領域である。システム領域は、例え
ば、ＳＡＭモジュール８の出荷担当者によって、ＳＡＭ
モジュール８の固有機器番号、アプリケーションプログ
ラムＡＰの出荷用鍵が初期設定される。

【００５８】ユーザ領域は、ＳＡＭモジュール８の使用
者がアプリケーションプログラムなどのリソースを設定
可能な領域である。ユーザ領域は、特権ユーザ領域（本
発明の第３の記憶領域）、一般ユーザ領域（本発明の第
１の記憶領域）、並びに共通ユーザ領域（本発明の第２
の記憶領域）に大別される。特権ユーザ領域は、ＳＡＭ
モジュール８の識別データＩＤなどのＳＡＭモジュール
８を運用するための基本データを格納するための領域で
ある。一般ユーザ領域は、ＩＣカード３や携帯通信装置
４１を使用したサービスを実現するための鍵データや鍵
パッケージなどのリソースを格納するための領域であ
る。共通ユーザ領域は、一般ユーザが共通して使用する
ＳＡＭモジュール８本体のＩＰアドレスなどのネットワ
ーク情報を格納するための領域である。

【００５９】すなわち、特権ユーザ領域は、ＳＡＭモジ
ュール８の運用上、特定のユーザによる設定が必要とさ
れる領域であり、共通ユーザ領域は、ＳＡＭモジュール
８全体として共有可能であり、かつ複数のユーザによる
設定が可能な領域である。

【００６０】図１９は、外部メモリ７の記憶領域を用い
た各ユーザによる設定可能項目の一例を説明するための
図である。図１９に示すように、出荷担当者は、例え
ば、識別データＡＰ＿ＩＤが「０ｘ００００〜０ｘ００
０Ｆ」の記憶領域に対してアクセス可能であり、一般ユ
ーザ用のＡＰリソース鍵データＫ＿ＡＰＲの出荷鍵の設
定、並びにＳＡＭモジュール８の固有機器番号の設定が
可能である。

【００６１】また、特権ユーザは、識別データＡＰ＿Ｉ
Ｄが「０ｘＦＦＦＦ」の記憶領域にアクセス可能であ
り、ＳＡＭモジュール８のＳＡＭ＿ＩＤの設定、並び
に、特権ユーザ用ＡＰ領域運用鍵の設定が可能である。

【００６２】また、一般ユーザは、ユーザ共通領域とし
て識別データＡＰ＿ＩＤが「０ｘＦＦＦＥ」の領域にア
クセス可能であり、一般ユーザ領域として識別データＡ
Ｐ＿ＩＤが「０ｘ００００〜０ｘ０００Ｆ」の領域にア
クセス可能である。一般ユーザは、当該領域に対して、
ＳＡＭモジュール８のＳＡＭ＿ＩＤのネットマスク、Ｓ
ＡＭモジュール８のＩＰアドレスなどのネットワーク情
報、ＡＰリソース鍵データＫ＿ＡＰＲ、その他のアプリ
ケーションエレメントデータＡＰＥなどの設定が可能で
ある。ユーザは、当該ユーザに公開された記憶領域のＡ
Ｐリソース鍵データＫ＿ＡＰＲを受け、それを自分のみ
が知る値に変更することで、アプリケーションプログラ
ムＡＰ内部のリソースの変更を他からできないようにす
る。また、ユーザ共通領域は、各ユーザが自らの一般ユ
ーザ領域に設定を行う際に使用するＡＰリソース鍵デー
タＫ＿ＡＰＲを用いてアクセスできるようにする。すな
わち、共通の鍵データを用いる。

【００６３】上述した外部メモリ７の記憶領域の管理
は、例えば、図１８に示す内部リソース割当管理用デー
タ３０４を用いて、識別データＡＰ＿ＩＤおよびＡＰＥ
＿ＩＤを用いて行われる。すなわち、外部メモリ７を、
識別データＡＰ＿ＩＤおよびＡＰＥ＿ＩＤを用いて規定
されるマトリクス状の領域に分割して管理する。図１８
に示す場合は、外部メモリ７の記憶領域のうち、ＡＰＥ
＿ＩＤが「０ｘ７Ｆ０６」〜「０ｘＦＦＦＦ」までの領
域をシステム領域とし、ＡＰＥ＿ＩＤが「０ｘ０００
０」〜「０ｘ７Ｆ００」までの領域を一般ユーザ領域と
して使用する。また、ＡＰ＿ＩＤが「０ｘｆｆｆｄ」の
アプリケーションプログラムの記憶領域を、一般ユーザ
共通領域として使用する。

【００６４】アプリケーションエレメントデータＡＰＥ
は、暗号化されたパッケージを各領域別に設定すること
で、外部メモリ７に格納される。この際、必要なリソー
スエレメントのみを選択して暗号化することが可能であ
る。

【００６５】以下、ＳＡＭモジュール８のＣＰＵが、上
述した内部リソース割当管理用データ３０４を用いて、
外部メモリ７の記憶領域（リソース）を管理する手順を
説明する。図２０は、当該手順を説明するための図であ
る。 ステップＳＴ６１：例えば、図１に示すサービス事業者
１５＿１〜１５＿４などの一般ユーザあるいは特権ユー
ザなどが、インターネット１０に接続されたパーソナル
コンピュータを操作して、外部メモリ７内のアクセスを
行うアプリケーションプログラムＡＰを指定し、自らの
所有するＡＰリソース鍵データＫ＿ＡＰＲを用いて、Ａ
ＳＰサーバ装置１９を介してＳＡＭモジュール８にアク
セスを行う。

【００６６】ステップＳＴ６２：ＳＡＭモジュール８の
ＣＰＵは、ステップＳＴ６１のアクセス元が、指定され
たしたアプリケーションプログラムＡＰに適合したＡＰ
リソース鍵データＫ＿ＡＰＲを有しているか否かを判断
し、有していると判断した場合にはステップＳＴ６４の
処理に進み、有していないと判断した場合にはステップ
ＳＴ６３の処理に進む。

【００６７】ステップＳＴ６３：ＳＡＭモジュール８の
ＣＰＵは、当該指定されたアプリケーションプログラム
ＡＰへの、当該ユーザによるアプリケーションエレメン
トデータＡＰＥの設定を許可しない。

【００６８】ステップＳＴ６４：ＳＡＭモジュール８の
ＣＰＵは、当該指定されたアプリケーションプログラム
ＡＰへの、当該ユーザによるアプリケーションエレメン
トデータＡＰＥの設定を許可する。

【００６９】ステップＳＴ６５：ＳＡＭモジュール８の
ＣＰＵは、当該ユーザが特権ユーザであるか否かを判断
し、特権ユーザであると判断した場合にはステップＳＴ
６６の処理に進み、特権ユーザではないと判断した場合
にステップＳＴ６７の処理に進む。

【００７０】ステップＳＴ６６：ＳＡＭモジュール８の
ＣＰＵは、当該ユーザに対して、指定されたアプリケー
ションプログラムＡＰ内の特権ユーザ用のアプリケーシ
ョンエレメントデータＡＰＥの設定を許可する。

【００７１】ステップＳＴ６７：ＳＡＭモジュール８の
ＣＰＵは、当該ユーザが一般ユーザであるか否かを判断
し、一般ユーザであると判断した場合にはステップＳＴ
６８の処理に進み、一般ユーザではないと判断した場合
にステップＳＴ６９の処理に進む。

【００７２】ステップＳＴ６８：ＳＡＭモジュール８の
ＣＰＵは、当該ユーザに対して、指定されたアプリケー
ションプログラムＡＰ内の一般ユーザ用および一般ユー
ザ共通用のアプリケーションエレメントデータＡＰＥの
設定を許可する。

【００７３】ステップＳＴ６９：ＳＡＭモジュール８の
ＣＰＵは、当該ユーザに対して、システム領域内のアプ
リケーションエレメントデータＡＰＥの設定を許可す
る。

【００７４】〔ＳＡＭモジュール８〕ＳＡＭモジュール
８は、ＳＣＳＩまたはＥｔｈｅｒｎｅｔなどを介してＡ
ＳＰサーバ装置１９に接続される。ＡＳＰサーバ装置１
９は、インターネット１０を介して、エンドユーザのパ
ーソナルコンピュータ５、サービス事業者１５＿１，１
５＿２，１５＿３のパーソナルコンピュータ１６＿１，
１６＿２，１６＿３を含む複数の端末装置に接続され
る。パーソナルコンピュータ５は、例えば、シリアルま
たはＵＳＢを介してＤｕｍｂ型のカードリーダ・ライタ
４に接続されている。カードリーダ・ライタ４が、ＩＣ
カード３との間で物理レベルに相当する例えば無線通信
を実現する。ＩＣカード３への操作コマンドおよびＩＣ
カード３からのリスポンスパケットは、ＳＡＭユニット
９側で生成および解読される。よって、その中間に介在
するカードリーダ・ライタ４、パーソナルコンピュータ
５およびＡＳＰサーバ装置１９は、コマンドやリスポン
ス内容をデータペイロード部分に格納して中継する役割
を果たすのみで、ＩＣカード３内のデータの暗号化や復
号および認証などの実操作には関与しない。

【００７５】パーソナルコンピュータ１６＿１，１６＿
２，１６＿３は、後述するスクリプトプログラムをＳＡ
Ｍモジュール８にダウンロードすることで、それぞれア
プリケーションプログラムＡＰ＿１，ＡＰ＿２，ＡＰ＿
３をカスタマイズできる。

【００７６】図２１は、図１に示すＳＡＭモジュール８
の機能ブロック図である。図２１に示すように、ＳＡＭ
モジュール８は、ＡＳＰＳ通信インタフェース部６０、
外部メモリ通信インタフェース部６１、バススクランブ
ル部６２、乱数発生部６３、暗号・復号部６４、メモリ
６５およびＣＰＵ６６を有する。ＳＡＭモジュール８
は、耐タンパ性のモジュールである。

【００７７】ＡＳＰＳ通信インタフェース部６０は、図
１に示すＡＳＰサーバ装置１９との間のデータ入出力に
用いられるインタフェースである。外部メモリ通信イン
タフェース部６１は、外部メモリ７との間のデータ入出
力に用いられるインタフェースである。バススクランブ
ル部６２は、外部メモリ通信インタフェース部６１を介
してデータを入出力する際に、出力するデータをスクラ
ンブルし、入力したデータをデスクランブルする。乱数
発生部６３は、認証処理を行う際に用いられる乱数を発
生する。暗号・復号部６４は、データの暗号化、並びに
暗号化されたデータの復号を行う。メモリ６５は、後述
するように、ＣＰＵ６６によって用いられるタスク、プ
ログラム、並びにデータを記憶する。ＣＰＵ６６は、後
述するスクリプトダウンロードタスク、スクリプト解釈
タスク、エンティティ生成タスク（ジョブ管理用データ
作成タスク）およびＩＣカード手続管理タスク（ジョブ
管理用データ管理タスク）などのタスクを実行する。Ｃ
ＰＵ６６は、前述したアプリケーションエレメントデー
タＡＰＥのバージョン管理処理、並びに、一般ユーザ領
域、ユーザ共通領域、特権ユーザ領域の管理処理を行
う。ＣＰＵ６６は、ＳＡＭユニット９内での操作コマン
ドに基づいてＳＡＭユニット９内で規定された処理を行
い、ＩＣカード３のＩＣモジュール３ａおよび携帯通信
装置４１のＩＣモジュール４２の操作コマンドとに基づ
いて、ＩＣモジュール３ａおよびＩＣモジュール４２の
処理を制御する。

【００７８】以下、メモリ６５に記憶されるタスク、プ
ログラムおよびデータについて説明する。図２２は、メ
モリ６５に記憶されるタスク、プログラムおよびデータ
を説明するための図である。図２２に示すように、スク
リプトダウンロードタスク６９、スクリプト解釈タスク
７０、エンティティ生成タスク７１、ＩＣカード手続管
理用タスク７２、ＩＣカード操作用マクロコマンドスク
リプトプログラム２１＿１〜２１＿３、ＡＰ管理用テー
ブルデータ３００＿１〜３００＿３、ＡＰＰテーブルデ
ータ３１０＿１〜３１０＿３、ＩＣカードエンティティ
テンプレートデータ３０＿１〜３０＿３、ＩＣカードエ
ンティティデータ７３＿ｘ、入力用データブロック３１
＿ｘ１、出力用データブロック３２＿ｘ２、ログ用デー
タブロック３３＿ｘ３、並びに演算定義用データブロッ
ク３４＿ｘ４を記憶している。

【００７９】スクリプトダウンロードタスク６９は、図
１３に示すように、ＡＰ管理用テーブルデータ３００＿
１〜３００＿３（必要に応じてＡＰＰテーブルデータ３
１０＿１〜３１０＿３）を、例えば、各サービス事業者
のコンピュータからダウンロードし、これをＳＡＭモジ
ュール８に取り込む。

【００８０】スクリプト解釈タスク７０は、各サービス
事業者毎に、サービス定義テーブルデータ（必要に応じ
てＡＰＰテーブルデータ３１０＿１〜３１０＿３）およ
びスクリプトプログラムを用いて、ＩＣカードエンティ
ティテンプレートデータ、入力用データブロック、出力
用データブロック、ログ用データブロックおよび演算定
義用データブロックを生成する。各サービス事業者毎に
生成されるデータブロックの数は特に限定されない。

【００８１】エンティティ生成タスク７１は、例えば、
ＡＳＰサーバ装置１９からエンティティ作成要求を受け
ると、ＩＣカード３との間でポーリングを行った後に、
当該ＩＣカード３とサービス事業者との間の手続き処理
に用いるＩＣカードエンティティデータを、当該サービ
ス事業者に対応するＩＣカードエンティティテンプレー
トデータを用いて生成する。このとき、ＩＣカードエン
ティティテンプレートデータがクラスとなり、当該クラ
スのインスタンスとして、ＩＣカードエンティティデー
タが生成される。エンティティ生成タスク７１によるＩ
Ｃカードエンティティデータの生成処理について後に詳
細に説明する。

【００８２】ＩＣカード手続管理用タスク７２は、メモ
リ６５内に存在する単数または複数のＩＣカードエンテ
ィティデータ７３＿ｘを用いて、ＩＣカード３とサービ
ス事業者１５＿１〜１５＿３との間の手続き処理を実行
する。本実施形態では、複数のＩＣカード３とサービス
事業者１５＿１〜１５＿３との間で行われる複数の手続
き処理が同時に進行する。ＩＣカード手続管理用タスク
７２は、これら複数の手続き処理を並行して実行する。
ＩＣカード手続管理用タスク７２は、一連の手続きを終
了したＩＣカードエンティティデータ７３＿ｘを消去す
る。ＩＣカード手続管理用タスク７２の処理については
後に詳細に説明する。

【００８３】スクリプトプログラム２１＿１〜２１＿２
は、スクリプトダウンロードタスク６９によって、例え
ば、外部メモリ７から入力され、メモリ６５に記憶され
る。ＡＰ管理用テーブルデータ３００＿１〜３００＿３
は、スクリプトダウンロードタスク６９によって、例え
ば、外部メモリ７から入力され、メモリ６５に記憶され
る。ＡＰＰテーブルデータ３１０＿１〜３１０＿３は、
スクリプトダウンロードタスク６９によって、例えば、
外部メモリ７から入力され、メモリ６５に記憶される。

【００８４】ＩＣカードエンティティテンプレートデー
タ３０＿１〜３０＿３は、スクリプト解釈タスク７０に
よって生成され、それぞれのサービス事業者に関する手
続きのＩＣカードエンティティデータ７３＿ｘを生成す
る際のテンプレート（クラス）として用いられる。ＩＣ
カードエンティティデータ７３＿ｘは、エンティティ生
成タスク７１によって、ＩＣカードエンティティテンプ
レートデータ３０＿１〜３０＿３を例えばクラスとして
用い、当該クラスのインスタンスとして生成される。

【００８５】入力用データブロック３１＿ｘ１、出力用
データブロック３２＿ｘ２、ログ用データブロック３３
＿ｘ３および演算定義用データブロック３４＿ｘ４は、
スクリプト解釈タスク７０によって生成される。

【００８６】以下、ＩＣカードエンティティデータ７３
＿ｘについて説明する。ＩＣカードエンティティデータ
７３＿ｘは、例えば、ＡＳＰサーバ装置１９からＩＣカ
ード３と所定のサービス事業者のアプリケーションプロ
グラムを用いた処理の処理要求をＳＡＭモジュール８が
受けたときに、ＳＡＭモジュール８内のエンティティ生
成タスク７１が、既に生成されている対応するサービス
事業者のＩＣカードエンティティプレートデータを用い
て生成する。

【００８７】図２３は、ＩＣカードエンティティデータ
７３＿ｘのフォーマットを説明するための図である。図
２３に示すように、ＩＣカードエンティティデータ７３
＿ｘは、管理用ポインタデータ８０、エンティティＩＤ
データ８１、エンティティステータスデータ（ステータ
スデータ）８２、ＩＣカード種別データ８３、ＡＰＥ＿
Ｎ指定データ８４、処理順番データ８５、処理前データ
８６および処理後データ８７を有する。

【００８８】管理用ポインタデータ８０には、メモリ６
５内でＩＣカードエンティティデータ７３＿ｘを管理す
るための双方向ポインタである。エンティティＩＤデー
タ８１は、ＩＣカードエンティティデータ７３＿ｘの生
成要求、進行状況の確認、削除などのＩＣカードエンテ
ィティデータ７３＿ｘを用いた一連の処理に用いられ
る。エンティティＩＤデータ８１は、エンドユーザに渡
される返り値ともなる。エンティティＩＤデータ８１は
一般的なファイルシステム上のファイルオープン時のデ
ィスクリプタに相当する。

【００８９】エンティティステータスデータ８２は、Ｉ
Ｃカード３に関する手続きの進行状態を示す。ＩＣカー
ドエンティティデータ７３＿ｘが持つ基本的な状態に
は、図２４に示すように、ＩＣカード３が利用できるサ
ービスを調べる処理の状態（ＲＳ）、ＳＡＭモジュール
８がＩＣカード３を認証する処理の状態（Ａ１）、ＩＣ
カード３がＳＡＭモジュール８を認証する処理の状態
（Ａ２）、ＩＣカード３からデータ読み出す処理の状態
（Ｒ）、ＩＣカード３にデータ書き込む処理の状態
（Ｗ）がある。本実施形態では、サービス事業者を調べ
る処理、ＳＡＭモジュール８がＩＣカード３を認証する
処理、ＩＣカード３がＳＡＭモジュール８を認証する処
理、ＩＣカード３からデータ読み出す処理、並びにＩＣ
カード３にデータ書き込む処理のそれぞれがジョブに対
応している。当該ジョブは、後述するように、ＩＣカー
ド手続管理用タスク７２によって、実行順番が決定され
る処理の単位になる。なお、Ａ１，Ａ２によって、ＩＣ
カード３とＳＡＭモジュール８との間の相互認証処理が
構成される。

【００９０】また、本実施形態では、インターネット１
０での通信時間を考慮して、前述した各基本的な状態を
図２４の状態遷移図に示されるように、起動後（コマン
ド発行後）の状態と完了（応答受け取り後）状態とに分
けて管理する。具体的には、インスタンス生成（ＩＣカ
ードエンティティデータ生成）状態、ＲＳ起動後状態、
ＲＳ完了状態、Ａ１起動後状態、Ａ１完了状態、Ａ２起
動後状態、Ａ２完了状態、Ｒ起動状態、Ｒ完了状態、Ｗ
起動状態、Ｗ完了状態、並びにインスタン（ＩＣカード
エンティティデータ）消去状態によって、ＩＣカードエ
ンティティデータ７３＿ｘを用いた処理状態が管理され
る。

【００９１】ＩＣカード種別データ８３は、当該ＩＣカ
ード３を発行したサービス事業者を特定するデータであ
る。ＩＣカード種別データ８３には、ＩＣカードエンテ
ィティデータ７３＿ｘの生成時に、前述したスクリプト
プログラム内のＣＩコマンドによって規定されたデータ
が設定される。

【００９２】サービスタイプエレメントデータ８４は、
ＩＣカードエンティティデータ７３＿ｘを用いた処理で
利用する、ＡＰ管理用テーブルデータ３００＿１〜３０
０＿３およびＡＰＰテーブルデータ３１０＿１〜３１０
＿３内で定義されたアプリケーションエレメントデータ
ＡＰＥを示す。サービスタイプエレメントデータ８４に
は、ＩＣカードエンティティデータ７３＿ｘの生成時
に、前述したスクリプトプログラム内のＣＳコマンドで
指定された単数または複数のアプリケーションエレメン
トデータＡＰＥが設定される。

【００９３】処理順番データ８５は、ＩＣカードエンテ
ィティデータ７３＿ｘを用いた処理で利用するサービス
（ジョブ）を実行する順番、すなわち、図２４に示す遷
移状態を示す。すなわち、処理順番データ８５は、アプ
リケーションエレメントデータＡＰＥの名前ＡＰＥ＿Ｎ
を用いて、ＩＣカード３の基本的な操作に対応するジョ
ブの実行順番を示す。ここで、ジョブは、前述したよう
に、図２４に示すＲＳ，Ａ１，Ａ２，Ｒ，Ｗに相当す
る。ＩＣカード３への具体的操作は、ジョブを用いて指
定された処理順番により実現される。例えば、相互認証
無しの読み込みのみのＩＣカード３を用いた処理につい
ては、処理順番データ８５には「ＲＳ→Ｒ」が設定され
る。また、相互認証有りの読み込みおよび書き込みの場
合には、処理順番データ８５には、「ＲＳ→Ａ１→Ａ２
→Ｒ→Ｗ」が設定される。処理順番データ８５には、Ｉ
Ｃカードエンティティデータ７３＿ｘの生成時に、前述
したスクリプトプログラム内のコマンド内で指定された
サービスエレメントの順番に対応するジョブの順番が設
定される。

【００９４】処理前データ８６には、ＡＳＰサーバ装置
１９側から、ＩＣカードエンティティデータ７３＿ｘを
用いた処理を行うための管理用データが設定される。。
例えば、処理前データ８６には、ＳＦデータブロック内
に指定されたサービス（アプリケーションエレメントデ
ータＡＰＥ）の演算式のポイントが設定される。また、
サービス間演算機能が定義されていない場合には、処理
前データ８６には、要求処理金額が設定される。例え
ば、決済の場合であれば、課金額や付与ポイント数など
に関する状態が設定される。

【００９５】処理後データ８７は、ＡＳＰサーバ装置１
９側で必要な、ＩＣカードエンティティデータ７３＿ｘ
の処理結果のデータが設定される。例えば決済の場合で
あれば、決済の正常終了の有無などを示すデータが設定
される。

【００９６】以下、通信システム１が行う動作例を説明
するが、当該動作例において、アプリケーションエレメ
ントデータＡＰＥを用いた処理は、データＡＰＥに複数
のバージョンがある場合に、図９〜図１２などを用いて
説明したバージョン管理機能により、指定されたバージ
ョンに基づいた処理が行われる。

【００９７】以下、図２２に示すＩＣカード手続管理用
タスク７２による、複数のＩＣカードエンティティデー
タ７３＿ｘを用いて、複数のＩＣカード３に係わる処理
を行う手順を説明する。ＩＣカード手続管理用タスク７
２は、例えば、図２１に示すＳＡＭモジュール８のＣＰ
Ｕ６６上で常に起動されている。図２５は、ＩＣカード
手続管理用タスク７２が行う処理のフローチャートであ
る。 ステップＳＴ１：ＩＣカード手続管理用タスク７２は、
メモリ６５内に存在する複数のＩＣカードエンティティ
データ７３＿ｘのうち、次に処理を実行する一つのＩＣ
カードエンティティデータ７３＿ｘを選択する。当該Ｉ
Ｃカードエンティティデータ７３＿ｘの選択方法は、メ
モリ６５内に存在するＩＣカードエンティティデータ７
３＿ｘを順番に選択してもよいし、優先順位を付けて高
い優先順位のものを優先的に選択してもよい。

【００９８】ステップＳＴ２：ＩＣカード手続管理用タ
スク７２は、ステップＳＴ１で選択したＩＣカードエン
ティティデータ７３＿ｘのジョブが既に起動されている
か否かを判断し、起動されていると判断した場合にはス
テップＳＴ５の処理に進み、起動されていないと判断し
た場合にはステップＳＴ３の処理に進む。

【００９９】ステップＳＴ３：ＩＣカード手続管理用タ
スク７２は、ステップＳＴ１で選択したＩＣカードエン
ティティデータ７３＿ｘの図２３に示すエンティティス
テータスデータ８２から、当該エンティティデータに関
する処理が図２４に示す状態遷移図の何れの状態にある
かを判断し、処理順番データ８５から、次に実行するジ
ョブを決定する。このとき処理順番データ８５には、前
述したように、ＡＰ管理用テーブルデータ３００＿１〜
３００＿３に設定されたサービスエレメントを用いてジ
ョブの実行順番が規定されている。

【０１００】ステップＳＴ４：ＩＣカード手続管理用タ
スク７２は、ステップＳＴ３で選択したジョブを起動す
る。ＩＣカード手続管理用タスク７２は、図１３を用い
て前述した入力用データブロック３１＿ｘ１、出力用デ
ータブロック３２＿ｘ２、ログ用データブロック３３＿
ｘ３および演算定義用データブロック３４＿ｘ４のう
ち、当該ジョブに関係するデータブロックを用いて当該
ジョブを実行する。

【０１０１】このとき、ＩＣカード手続管理用タスク７
２は、ジョブの実行に当たってＩＣカード３にコマンド
を発行する場合に、当該ジョブに対応するサービスエレ
メントをキーとしてＡＰ管理用テーブルデータ３００＿
１〜３００＿３を検索し、当該サービスエレメントに対
応するサービス番号（ＩＣカード３が解釈可能なＩＣカ
ード３の操作コマンド）を得る。そして、ＩＣカード手
続管理用タスク７２は、当該得られたサービス番号を用
いてＩＣカード３にコマンドを発行する。また、ＩＣカ
ード手続管理用タスク７２は、ＩＣカード３のＩＣモジ
ュール３ａの記憶領域へのアクセスに鍵データが必要な
場合には、当該ジョブに対応するサービスエレメントを
キーとしてＡＰ管理用テーブルデータ３００＿１〜３０
０＿３を検索し、当該サービスエレメントに対応する鍵
データを得る。そして、ＩＣカード手続管理用タスク７
２は、当該鍵データを用いて、ＩＣカード３との間で相
互認証、データの暗号化および復号などの処理を行い、
ＩＣカード３の所定の記憶領域にアクセスを行う権限を
得る。

【０１０２】ステップＳＴ５：ステップＳＴ５が行われ
るのは、ＩＣカード手続管理用タスク７２が、ＩＣカー
ド３にコマンドを発行し、ＩＣカード３の処理結果を待
っているときである。ＩＣカード手続管理用タスク７２
は、ＩＣカード３から処理結果を受け取ると、これをＩ
Ｃカードエンティティデータ７３＿ｘに設定する。

【０１０３】ステップＳＴ６：ＩＣカード手続管理用タ
スク７２は、図２３に示すＩＣカードエンティティデー
タ７３＿ｘのエンティティステータスデータ８２を更新
する。

【０１０４】このように、本実施形態では、ＩＣカード
手続管理用タスク７２によって、ＳＡＭモジュール８内
に存在する複数のＩＣカード３についてのＩＣカードエ
ンティティデータ７３＿ｘを順に選択しながら、複数の
ＩＣカード３についての処理を並行して行う。そのた
め、ＳＡＭモジュール８は、複数のＩＣカード３を用い
た手続きの処理要求を受けた場合でも、これらの処理を
同時に進行することができる。

【０１０５】図２６および図２７は、上述した図２５の
ステップＳＴ４におけるジョブの実行時に、前述したＳ
ＡＭモジュール８がアプリケーションエレメントデータ
ＡＰＥに規定された手順に従って、他のアプリケーショ
ンエレメントデータＡＰＥによって規定された処理また
はデータにアクセスを行う場合の処理を説明するための
図である。 ステップＳＴ４１：ＳＡＭモジュール８が、所定のアプ
リケーションエレメントデータＡＰＥに応じた処理を実
行中に、利用（アクセス）を行うアプリケーションプロ
グラムと、当該アプリケーションプログラム内のアプリ
ケーションエレメントデータＡＰＥとを特定する。ま
た、当該利用が、当該アプリケーションエレメントデー
タＡＰＥの読み出し、書き込みおよび実行の何れである
かも特定する。

【０１０６】ステップＳＴ４２：ＳＡＭモジュール８
が、ステップＳＴ４１で特定したアプリケーションエレ
メントデータＡＰＥが、当該ＳＡＭモジュール８内に存
在するか否かを判断し、存在しないと判断した場合には
ステップＳＴ４３の処理に進み、存在すると判断した場
合にはステップＳＴ４５の処理に進む。

【０１０７】ステップＳＴ４３：ＳＡＭモジュール８
が、実行中のアプリケーションプログラムに対応するＡ
Ｐ管理用テーブルデータ３００＿１〜３００＿３を参照
して、対応するサービス（アプリケーションエレメント
データＡＰＥ）に対応する鍵データＫ＿ＳＡＭを取得
し、当該鍵データＫ＿ＳＡＭを用いて、利用先のアプリ
ケーションエレメントデータＡＰＥを有するＳＡＭモジ
ュール８ａと相互認証を行う。

【０１０８】ステップＳＴ４４：ステップＳＴ４３の相
互認証でＳＡＭモジュール８と８ａとが互いの正当性を
認証すると、ＳＡＭモジュール８はステップＳＴ４５の
処理に進み、そうでない場合にはステップＳＴ５０に進
む。

【０１０９】ステップＳＴ４５：ＳＡＭモジュール８
が、実行中のアプリケーションプログラムに対応するＡ
Ｐ管理用テーブルデータ３００＿１〜３００＿３を参照
して、対応するサービス（アプリケーションエレメント
データＡＰＥ）に対応する鍵データＫ＿ＳＡＭを取得す
る。また、ＳＡＭモジュール８が、ステップＳＴ４１で
特定した利用先のプリケーションエレメントデータＡＰ
Ｅについても、同様に、当該アプリケーションエレメン
トデータＡＰＥに対応するＡＰ管理用テーブルデータ３
００＿１〜３００＿３を参照して、対応するサービス
（アプリケーションエレメントデータＡＰＥ）に対応す
る鍵データＫ＿ＳＡＭを取得する。そして、ＳＡＭモジ
ュール８が、上記取得した２つの鍵データＫ＿ＳＡＭを
比較する。

【０１１０】スクランブル４６：ＳＡＭモジュール８
は、ステップＳＴ４５の処理で、２つの鍵データＫ＿Ｓ
ＡＭが一致していると判断した場合にはステップＳＴ４
７の処理に進み、そうでない場合にはステップＳＴ５０
に進む。

【０１１１】ステップＳＴ４７：ＳＡＭモジュール８あ
るいは８ａは、ステップＳＴ４１で特定されたアプリケ
ーションプログラムに対応するＡＰ管理用テーブルデー
タ３００＿１〜３００＿３を参照し、利用されるアプリ
ケーションエレメントデータＡＰＥに対応するＡＰＰテ
ーブルデータ３１０＿１〜３１０＿３を特定する。

【０１１２】ステップＳＴ４８：ＳＡＭモジュール８あ
るいは８ａは、ステップＳＴ４７で特定したＡＰＰテー
ブルデータ３１０＿１〜３１０＿３を基に、利用（アク
セス）されるアプリケーションエレメントデータＡＰＥ
のアクセス権限を判断する。具体的には、当該利用され
るアプリケーションエレメントデータＡＰＥの読み出
し、書き込みおよび実行の権限を判断する。

【０１１３】ステップＳＴ４９：ＳＡＭモジュール８あ
るいは８ａは、ステップＳＴ４８でアクセス権限がある
と判断した場合にはステップＳＴ５０の処理に進み、そ
うでない場合にはステップＳＴ５１の処理に進む。

【０１１４】ステップＳＴ５０：ＳＡＭモジュール８あ
るいは８ａは、ステップＳＴ４１で特定されたアプリケ
ーションエレメントデータＡＰＥについて、ステップＳ
Ｔ４１で特定された利用を行う。

【０１１５】ステップＳＴ５１：ＳＡＭモジュール８あ
るいは８ａは、ステップＳＴ４１で特定されたアプリケ
ーションエレメントデータＡＰＥについて、ステップＳ
Ｔ４１で特定された利用を行う。

【０１１６】また、ＳＡＭモジュール８は、上述した図
２５のステップＳＴ４におけるジョブの実行時に、前述
したＳＡＭモジュール８がアプリケーションエレメント
データＡＰＥに規定された手順に従って、ＩＣカード３
との間でデータ授受を行う場合には、図１７に示すＡＰ
管理用テーブルデータ３００＿１〜３００＿３を参照し
て、当該アプリケーションエレメントデータＡＰＥに対
応する鍵データＫ＿ＣＡＤＲを取得し、当該鍵データＫ
＿ＣＡＲＤを用いて、ＩＣカード３のメモリ５０にアク
セスを行う。

【０１１７】以下、図１に示す通信システム１の全体動
作について説明する。図２８および図２９は、図１に示
す通信システム１の全体動作を説明するための図であ
る。

【０１１８】ステップＳＴ２１：サービス事業者１５＿
１〜１５＿３あるいはこれらサービス事業者の依頼を受
けた者が、当該サービス事業者がＩＣカード３を用いて
行う取り引きについての処理を記述したスクリプトプロ
グラム２１＿１，２１＿２，２１＿３を、例えば、図１
に示すパーソナルコンピュータ１６＿１，１６＿２，１
６＿３上で作成する。また、ＳＡＭモジュール８の管理
者が、サービス事業者１５＿１〜１５＿３のそれぞれに
対応するＡＰ管理用テーブルデータ３００＿１〜３００
＿３を作成する。

【０１１９】ステップＳＴ２２：ステップＳＴ２１で作
成されたＡＰ管理用テーブルデータ３００＿１〜３００
＿３が外部メモリ７に記憶される。また、ステップＳＴ
２１で作成されたスクリプトプログラム２１＿１，２１
＿２，２１＿３が、パーソナルコンピュータ１６＿１，
１６＿２，１６＿３から、インターネット１０、ＡＳＰ
サーバ装置１９およびＳＡＭモジュール８を介して、外
部メモリ７にダウンロードされる。当該ダウンロードの
処理は、図１３に示すように、ＳＡＭモジュール８内の
スクリプトダウンロードタスク６９によって管理され
る。

【０１２０】ステップＳＴ２３：図１３に示すＳＡＭモ
ジュール８内のスクリプト解釈タスク７０によって、各
サービス事業者毎に、ＡＰ管理用テーブルデータ３００
＿１〜３００＿３およびスクリプトプログラムを用い
て、ＩＣカードエンティティテンプレートデータ、入力
用データブロック、出力用データブロック、ログ用デー
タブロックおよび演算定義用データブロックが生成され
る。これら生成されたデータは、図２１に示すＳＡＭモ
ジュール８のメモリ６５に格納される。

【０１２１】ステップＳＴ２４：ユーザにＩＣカード３
が発行される。図５に示すＩＣカード３のＩＣモジュー
ル３ａには、ユーザが契約を行ったサービス事業者との
取り引きに用いられる鍵データが記憶されている。な
お、ユーザとサービス事業者との間の契約は、ＩＣカー
ド３の発行後に、インターネット１０などを介して行っ
てもよい。

【０１２２】ステップＳＴ２５：例えば、ユーザがパー
ソナルコンピュータ５を用いてインターネット１０を介
してサーバ装置２にアクセスを行い、商品を購入しよう
とした場合に、サーバ装置２がインターネット１０を介
してＡＳＰサーバ装置１９に処理要求を出す。ＡＳＰサ
ーバ装置１９は、サーバ装置２から処理要求を受ける
と、インターネット１０を介してパーソナルコンピュー
タ５にアクセスを行う。そして、カードリーダ・ライタ
４が出したＩＣカード３についての処理要求が、パーソ
ナルコンピュータ５、インターネット１０およびＡＳＰ
サーバ装置１９を介してＳＡＭモジュール８に送信され
る。

【０１２３】ステップＳＴ２６：ＡＳＰサーバ装置１９
からＳＡＭモジュール８にエンティティ作成要求が出さ
れる。当該エンティティ作成要求には、ＩＣカード３の
発行元を示すデータが格納されている。

【０１２４】ステップＳＴ２７：ＳＡＭモジュール８
は、エンティティ作成要求を受けると、ＩＣカード３と
の間でポーリングを行う。

【０１２５】ステップＳＴ２８：ＳＡＭモジュール８の
エンティティ生成タスク７１は、ポーリング終了後に、
ＳＡＭモジュール８内に存在するＩＣカードエンティテ
ィデータ７３＿ｘの数が、スクリプトプログラムのＳＣ
コマンドによって規定された最大数以内であるか否かを
判断し、最大数以内であればステップＳＴ２９の処理に
進み、そうでない場合には処理を終了する。

【０１２６】ステップＳＴ２９：エンティティ生成タス
ク７１が、例えば、エンティティ作成要求に格納された
ＩＣカード３の発行元を示すデータに基づいて、何れの
サービス事業者のＩＣカードエンティティテンプレート
データを用いるかを特定し、当該特定したＩＣカードエ
ンティティテンプレートデータ用いて、ＩＣカードエン
ティティデータ７３＿ｘを生成する。これは、図２４に
示すインスタンス生成に対応している。

【０１２７】ステップＳＴ３０：ＳＡＭモジュール８か
らＡＳＰサーバ装置１９に、ステップＳＴ２９で生成し
たＩＣカードエンティティデータ７３＿ｘのエンティテ
ィＩＤが出力される。

【０１２８】ステップＳＴ３１：ＳＡＭモジュール８の
ＩＣカード手続管理用タスク７２によって、ＩＣカード
３で利用可能なサービスが調べられる。これは、図２４
に示すジョブＲＳに対応した処理である。

【０１２９】ステップＳＴ３２：ＳＡＭモジュール８の
ＩＣカード手続管理用タスク７２がＩＣカード３の正当
性を認証する。これは、図２４に示すジョブＡ１に対応
した処理である。

【０１３０】ステップＳＴ３３：ＩＣカード３がＳＡＭ
モジュール８の正当性を認証する。これは、図２４に示
すジョブＡ２に対応した処理である。ステップＳＴ３
２，ＳＴ３３によって、ＩＣカード３とＳＡＭモジュー
ル８との間の相互認証が行われる。このとき、前述した
ように、ＳＡＭモジュール８で実行されているアプリケ
ーションエレメントデータＡＰＥに応じて、図１５に示
すＡＰ管理用テーブルデータ３００＿１〜３００＿３が
参照されて、鍵データＫ＿ＣＡＲＤが取得され、当該鍵
データＫ＿ＣＡＲＤを用いてＳＡＭモジュール８とＩＣ
カード３のＣＰＵ５１との間で相互認証が行われる。

【０１３１】ステップＳＴ３４：ＳＡＭモジュール８の
ＩＣカード手続管理用タスク７２が、ＩＣカード３との
間で、手続きに必要なデータの読み書きを行う。これ
は、図２４に示すジョブＲ，Ｗに対応した処理である。
また、ＩＣカード手続管理用タスク７２は、ＩＣカード
エンティティデータ７３＿ｘの処理前データ８６に基づ
いて特定した演算式を用いて、ＩＣカード３から読み出
したデータを用いて所定の演算処理を行う。

【０１３２】ステップＳＴ３５：ＳＡＭモジュール８の
ＩＣカード手続管理用タスク７２が、ステップＳＴ３４
の処理結果をＡＳＰサーバ装置１９に出力する。

【０１３３】ステップＳＴ３６：例えば、ＩＣカード手
続管理用タスク７２が、ＩＣカードエンティティデータ
７３＿ｘを消去する。

【０１３４】以上説明したように、通信システム１およ
びＳＡＭユニット９によれば、アプリケーションエレメ
ントデータＡＰＥにバージョンの概念を導入することに
より、カード操作用鍵・発行用鍵パッケージのバージョ
ン管理が可能となる。これにより、ＳＡＭモジュール８
を使用するサービス事業者がバージョン毎に鍵のＡＰＥ
＿ＩＤをＡＰリソースとして個別に定義する作業が不要
となるため、管理の負担が軽減される。例えば、異なる
ＳＡＭモジュール８間でカードの分割用パッケージを授
受する場合が想定される。

【０１３５】また、通信システム１およびＳＡＭユニッ
ト９によれば、アプリケーションエレメントデータＡＰ
Ｅにタグの概念を導入することにより、バージョンの管
理になじまないアプリケーションエレメントデータＡＰ
Ｅの参照が可能となる。例えば、サービス事業者が、Ａ
ＰＥ＿ＩＤとＡＰＥ＿ＴＡＧをアプリケーションプログ
ラムに定義すれば、タグにより参照することが可能とな
る。よって、アプリケーションプログラムの管理法やア
クセス法に精通していないサービス事業者への敷居を下
げる効果が期待できる。また、カードを論理的に分割す
る鍵パッケージは、分割後の情報を一意に特定する情報
をすべて含んでいない。よって、ＳＡＭモジュール８間
で鍵パッケージを含めた分割情報を特定するためには、
サービス事業者間で合意された情報をタグに反映するこ
とが不可欠となる。

【０１３６】また、通信システム１およびＳＡＭユニッ
ト９によれば、ＡＰ＿ＩＤとＡＰＥ＿ＩＤの組み合わせ
により、システム領域、特権ユーザ領域、一般ユーザ領
域に分割することが可能となる。さらに、暗号モジュー
ルの出荷時作業（機器番号等の設定）、第１次運用オペ
レータ（特権ユーザ）での作業（暗号モジュールのＩＤ
等の設定）、第２次運用オペレータ（一般ユーザ）での
作業（実現したいカードを用いたサービス等の設定）と
オペレータの責任範囲に応じた管理が可能な機構を提供
することが可能となる。これにより、暗号モジュールが
階層性を持つ複数のユーザを前提として運用することが
可能となる。

【０１３７】また、通信システム１およびＳＡＭユニッ
ト９によれば、一般ユーザ領域を共通領域とユーザ固有
領域に分割することにより、暗号モジュールにネットワ
ーク設定情報等の共通のデータを全ＡＰリソース所属す
る全事業者間で一元的に管理することが可能となる。。
これにより、個々のユーザが暗号モジュールに関する共
通の項目を管理することが可能となる。また、共通領域
に設定するＡＰリソース鍵は、ユーザ固有の鍵と兼用に
することができるため、サービス事業者の鍵管理を簡素
化することができる。

【０１３８】また、通信システム１およびＳＡＭユニッ
ト９によれば、アプリケーションプログラムＡＰを複数
のアプリケーションエレメントデータＡＰＥを用いて構
成し、ＡＰ管理用テーブルデータおよびＡＰＰテーブル
データを用いて、各アプリケーションエレメントデータ
ＡＰＥの処理内容を規定することで、ＩＣカード３を用
いた多様なサービスを提供できる。また、通信システム
１によれば、ＡＰ管理用テーブルデータおよびＡＰＰテ
ーブルデータを用いて、同一ＳＡＭ内でのアプリケーシ
ョンエレメントデータＡＰＥの利用、並びに異なるＳＡ
Ｍ間でのアプリケーションエレメントデータＡＰＥの利
用を高いセキュリティを保ちながら柔軟に実現できる。
また、通信システム１によれば、異なるＳＡＭ間でアプ
リケーションエレメントデータＡＰＥを利用する場合
に、ＳＡＭ間で相互認証を行うため、アプリケーション
プログラムのセキュリティを高めることができる。ま
た、通信システム１によれば、同一のサービス事業者の
アプリケーションプログラムに、同じクラスのＳＡＭ＿
ＩＤを割り当てることで、同じ事業者のアプリケーショ
ンプログラムのアプリケーションエレメントデータＡＰ
Ｅ間では、煩雑な相互認証処理を行わないようにするこ
とができ、鍵情報の管理、並びにＳＡＭモジュールの処
理負担を軽減できる。

【０１３９】以下、図３０〜３３を参照して、実施形態
のうち、本発明の特徴に係わる部分について、簡単にま
とめる。図３０に示すように、ファイルシステム５００
内において各ファイルに世代情報を付加する。世代情報
は、ある開始値を持ち、以降世代が増える毎にある増分
あるいは減分を加算する方法や、世代が追加された時点
の日付等を利用する方法等がある。また、これらを併用
してもよい。アプリケーション５０１からは、世代によ
らず同一のファイル名でアクセスされる。選択部５０２
は、いずれかの世代のファイルを選択し、アプリケーシ
ョン５０１からアクセス可能とする。ファイル名を選択
するとき、世代を指定する必要があるが、アクセスのた
び世代を指定する方法と、カレントの世代を保持してお
き、その世代をアクセスする方法である。図３０におい
て、世代指定情報５０４は、カレントの世代を保持する
手段である。カレントの世代に対して、他の世代を指定
する方法として、カレント世代を基準として、目的のフ
ァイルの世代との差分で指定するように出来る。

【０１４０】また、図３１に示すように、ファイル改竄
検出を行う場合に、各世代のファイル毎に署名を付加す
る。選択部５０２によってファイルを書き込む際に、署
名鍵５１０に基づき、署名生成検証部５１１内の特定の
アルゴリズムで署名を生成して、ファイルに挿入する。
読み出す際には、署名鍵５１０に基づき、署名生成検証
部５１１内の特定のアルゴリズムで署名を検証し、署名
が正しくない場合には、そのメッセージをアプリケーシ
ョン５０１へ渡す。署名検証により、ファイルの改竄を
検証できるほか、ファイルが機器の何らかの異常により
一部が欠損した場合であっても、それを検出することが
出来る。

【０１４１】また、図３２に示すように、ファイルシス
テム５００を含む機器がネットワーク５２０に接続さ
れ、上位機器５２１によりファイルシステム５００がア
クセスされる場合を示す。署名を付加することにより、
ネットワーク５２０上でのデータの改竄、欠損を検出す
ることが出来る。例えば、図３３に示すように、各ファ
イル内にレコードが複数存在する場合には、各レコード
に署名を付加することが出来る。これにより、レコード
毎に署名の検証を行うことが出来るため、特にネットワ
ーク環境でファイルをアクセスする場合等で、ネットワ
ークの状況が不安定な状況においても、上位機器側で受
け取ったレコードまでで処理を行うことが可能となる。

【０１４２】

【発明の効果】以上説明したように、本発明によれば、
ＩＣなどの集積回路を用いたサービスを提供する際に、
サーバ装置上で動作するアプリケーションプログラムの
セキュリティを高めることができるデータ処理装置およ
びその方法とプログラムを提供することができる。ま
た、本発明によれば、複数のバージョンのデータモジュ
ールが混在した状態で適切に動作できるデータ処理装置
およびその方法とプログラムを提供することができる。
また、本発明によれば、アプリケーションプログラムに
対して設定を行うユーザを、セキィリティの観点から適
切に規制できるデータ処理装置およびその方法とプログ
ラムを提供することができる。

【図面の簡単な説明】

【図１】図１は、本実施形態の通信システムの全体構成
図である。

【図２】図２は、図１に示すＩＣカードの機能ブロック
図である。

【図３】図３は、図２に示すメモリを説明するための図
である。

【図４】図４は、図１に示すＳＡＭモジュールのソフト
ウェア構造を説明するための図である。

【図５】図５は、図１に示す外部メモリの記憶領域を説
明するための図である。

【図６】図６は、図５に示すアプリケーションプログラ
ムＡＰを説明するための図である。

【図７】図７は、図６に示すアプリケーションエレメン
トデータＡＰＥの種別を説明するための図である。

【図８】図８は、図７に示す種別に対応したバージョン
を説明するための図である。

【図９】図９は、図１に示すＳＡＭモジュールにおける
アプリケーションエレメントデータのバージョン管理の
第１の例を説明するための図である。

【図１０】図１０は、図１に示すＳＡＭモジュールにお
けるアプリケーションエレメントデータのバージョン管
理の第２の例を説明するための図である。

【図１１】図１１は、図９に示すバージョン管理の適用
例を説明するための図である。

【図１２】図１２は、ログデータのバージョン管理を説
明するための図である。

【図１３】図１３は、示すＩＣカード操作用マクロコマ
ンドスクリプトプログラムで使用されるコマンドを説明
するための図である。

【図１４】図１４は、図５に示すＡＰ管理用記憶領域を
説明するための図である。

【図１５】図１５は、図１４に示すＡＰ管理用テーブル
データを説明するための図である。

【図１６】図１６は、ＳＡＭ＿ＩＤを説明するための図
である。

【図１７】図１７は、図１４に示すＡＰＰテーブルデー
タを説明するための図である。

【図１８】図１８は、図１４に示す内部リソース割当管
理用データを説明するための図である。

【図１９】図１９は、ユーザと、当該ユーザが設定可能
な項目との対応関係を説明するための図である。

【図２０】図２０は、図１８に示す内部リソース割当管
理用データを用いたユーザ管理を説明するためのフロー
チャートである。

【図２１】図２１は、図１に示すＳＡＭモジュールの機
能ブロック図である。

【図２２】図２２は、図２１に示すメモリに記憶される
タスク、プログラムおよびデータを説明するための図で
ある。

【図２３】図２３は、ＩＣカードエンティティデータ７
３＿ｘのフォーマットを説明するための図である。

【図２４】図２４は、図２３に示すエンティティステー
タスデータの状態遷移を説明するための図である。

【図２５】図２５は、ＩＣカード手続管理用タスクが行
う処理のフローチャートである。

【図２６】図２６は、図２５のステップＳＴ４における
ジョブの実行時に、ＳＡＭモジュールがアプリケーショ
ンエレメントデータＡＰＥに規定された手順に従って、
他のアプリケーションエレメントデータＡＰＥによって
規定された処理またはデータにアクセスを行う場合の処
理を説明するための図である。

【図２７】図２７は、図２５のステップＳＴ４における
ジョブの実行時に、ＳＡＭモジュールがアプリケーショ
ンエレメントデータＡＰＥに規定された手順に従って、
他のアプリケーションエレメントデータＡＰＥによって
規定された処理またはデータにアクセスを行う場合の処
理を説明するための図である。

【図２８】図２８は、図１に示す通信システムの全体動
作を説明するための図である。

【図２９】図２９は、図１に示す通信システムの全体動
作を説明するための図である。

【図３０】図３０は、図１に示す実施形態におけるバー
ジョン管理の概要を説明するための図である。

【図３１】図３１は、図１に示す実施形態における署名
処理の概要を説明するための図である。

【図３２】図３２は、図１に示す実施形態における上記
機器との間の署名処理の概要を説明するための図であ
る。

【図３３】図３３は、図１に示す実施形態における上記
機器との間の署名処理の概要を説明するための図であ
る。

【符号の説明】

１…通信システム、２…サーバ装置、３…ＩＣカード、
３ａ…ＩＣモジュール、４…カードリーダ・ライタ、５
…パーソナルコンピュータ、７，７ａ…外部メモリ、８
…ＳＡＭモジュール、９，９ａ…ＳＡＭユニット、１５
＿１〜１５＿３…サービス事業者、１９…ＡＳＰサーバ
装置、４１…携帯通信装置、４２…ＩＣモジュール

───────────────────────────────────────────────────── フロントページの続き (72)発明者 舘野 啓 東京都品川区北品川６丁目７番35号 ソニ ー株式会社内 Ｆターム(参考） 5B076 AB17 AC07 FB05 FB11 FC10

Claims (26)

【特許請求の範囲】
1. 【請求項１】アプリケーションプログラムを実行し、所
   定の集積回路との間でデータ授受を行い、前記集積回路
   と協動して所定のサービスを提供するデータ処理装置で
   あって、 前記アプリケーションプログラムが複数の第１のデータ
   モジュールから構成され、前記第１のデータモジュール
   が複数のバージョンを有する場合に、前記複数のバージ
   ョンにそれぞれ対応する複数の第２のデータモジュール
   と、前記第１のデータモジュールと前記複数の第２のデ
   ータモジュールとの対応関係を管理するバージョン管理
   用データモジュールと、前記第１のデータモジュールと
   それに対応する前記バージョン管理用データモジュール
   との対応関係を管理する管理データとを記憶する記憶回
   路と、 前記第１のデータモジュールに対応する処理を行う場合
   に、前記管理データを参照して前記バージョン管理用デ
   ータモジュールを特定し、当該特定したバージョン管理
   用データモジュールを用いて、前記データ処理装置の内
   部あるいは外部から指定されたバージョンに対応する前
   記第２のデータモジュールを用いて処理を行う処理回路
   とを有するデータ処理装置。
2. 【請求項２】前記処理回路は、前記バージョン管理用デ
   ータモジュールに含まれるバージョン指定データによっ
   て指定されたバージョンに対応する前記第２のデータモ
   ジュールを用いて処理を行う請求項１に記載のデータ処
   理装置。
3. 【請求項３】前記処理回路は、前記データ処理装置の内
   部あるいは外部から指定された値と、前記バージョン指
   定データが示す値とを用いて得たバージョン値に対応す
   る前記第２のデータモジュールを用いて処理を行う請求
   項２に記載のデータ処理装置。
4. 【請求項４】前記バージョン管理用データモジュール
   は、前記バージョンの識別データと、それに対応する前
   記第２のデータモジュールとをレコード形式で保持し、 前記処理回路は、 前記管理データを参照して前記バージョン管理用データ
   モジュールを特定し、当該特定したバージョン管理用デ
   ータモジュールから、指定されたバージョンの識別デー
   タをキーとして、対応する前記第２のデータモジュール
   を検索し、当該検索によって得た前記第２のデータモジ
   ュールを用いて処理を行う請求項１に記載のデータ処理
   装置。
5. 【請求項５】前記バージョン管理用データモジュール
   は、前記バージョンの識別データと、当該バージョンに
   対応する前記第２のデータモジュールの識別データとを
   対応付けて示す表データを有し、 前記処理回路は、 前記管理データを参照して前記バージョン管理用データ
   モジュールを特定し、当該特定したバージョン管理用デ
   ータモジュールの前記表データから、指定されたバージ
   ョンの識別データをキーとして、対応する前記第２のデ
   ータモジュールの識別データを検索し、当該検索によっ
   て得た識別データを基に、対応する前記第２のデータモ
   ジュールを得て処理を行う請求項１に記載のデータ処理
   装置。
6. 【請求項６】前記第２のデータモジュールの識別データ
   は、当該第２のデータモジュールに対応する前記第１の
   データモジュールの識別データと、前記バージョンの識
   別データとから構成される請求項５に記載のデータ処理
   装置。
7. 【請求項７】前記処理回路は、前記データ処理装置の外
   部からコマンドを受けて、前記第１のデータモジュール
   の識別データを設定する請求項５に記載のデータ処理装
   置。
8. 【請求項８】前記処理回路は、前記データ処理装置の外
   部からコマンドを受けて、前記バージョンの識別データ
   を設定する請求項５に記載のデータ処理装置。
9. 【請求項９】前記第１のデータモジュールは、鍵データ
   であり、 前記バージョンの識別データは、前記鍵データの識別デ
   ータと関連付けられている請求項５に記載のデータ処理
   装置。
10. 【請求項１０】前記第１のデータモジュールは、署名鍵
    データであり、 前記処理回路は、前記管理データを参照して、当該第１
    のデータモジュールに対応する前記バージョン管理用デ
    ータモジュールを特定し、当該特定したバージョン管理
    用データモジュールを用いて、前記データ処理装置の内
    部あるいは外部から指定されたバージョンに対応する第
    ２のデータモジュールにアクセスし、当第２のデータモ
    ジュールに格納されたバージョンの署名鍵データを用い
    て、署名作成処理または署名検証処理を行う請求項１に
    記載のデータ処理装置。
11. 【請求項１１】前記処理回路は、前記第１のデータモジ
    ュールの全体あるいは一部に対して、その正当性の有無
    を検証するために、前記署名鍵データを用いた署名作成
    処理または署名検証処理を行う請求項１０に記載のデー
    タ処理装置。
12. 【請求項１２】前記第１のデータモジュール内のデータ
    が単数または複数のレコードから構成されている場合
    に、 前記処理回路は、 前記レコードのそれぞれに、前記レコード内のデータの
    一部または全体に対して、前記署名鍵データと所定の暗
    号アルゴリズムに基づいた署名データを生成し、当該署
    名データを前記レコードに付加して前記記憶回路に書き
    込み、 前記第１のデータモジュールのレコードを前記記憶回路
    から読み出す場合に、前記書き込み時に用いた署名鍵デ
    ータと前記暗号アルゴリズムに基づいて署名データを生
    成し、当該生成した署名データと、当該レコードに付加
    された署名データとの比較して、当該レコードの正当性
    を判断する請求項１１に記載のデータ処理装置。
13. 【請求項１３】前記第１のデータモジュールは、前記デ
    ータモジュールを用いて行われた処理の履歴データ、前
    記記憶領域に対して前記データモジュールを登録する手
    順を示したプログラムデータ、前記記憶領域から前記デ
    ータモジュールの登録を削除する手順を示したプログラ
    ムデータ、並びに前記アプリケーションプログラムを記
    憶する前記記憶領域を規定するための手順を示したプロ
    グラムデータのうち少なくとも一つである請求項１に記
    載のデータ処理装置。
14. 【請求項１４】データ処理装置がアプリケーションプロ
    グラムに基づいて、所定の集積回路との間でデータ授受
    を行い、前記集積回路と協動して所定のサービスを提供
    する場合のデータ処理方法であって、 前記アプリケーションプログラムが複数の第１のデータ
    モジュールから構成され、前記第１のデータモジュール
    が複数のバージョンを有する場合に、 前記複数のバージョンにそれぞれ対応する複数の第２の
    データモジュールと、前記第１のデータモジュールと前
    記複数の第２のデータモジュールとの対応関係を管理す
    るバージョン管理用データモジュールと、前記第１のデ
    ータモジュールとそれに対応する前記バージョン管理用
    データモジュールとの対応関係を管理する管理データと
    を用意し、 前記データ処理装置が、前記第１のデータモジュールに
    対応する処理を行う場合に、前記管理データを参照して
    前記バージョン管理用データモジュールを特定し、 前記データ処理装置が、当該特定したバージョン管理用
    データモジュールを用いて、前記データ処理装置の内部
    あるいは外部から指定されたバージョンに対応する前記
    第２のデータモジュールを取得し、 前記データ処理装置が、当該取得した第２のデータモジ
    ュールを利用するデータ処理方法。
15. 【請求項１５】前記バージョン管理用データモジュール
    は、前記バージョンの識別データと、それに対応する前
    記第２のデータモジュールとをレコード形式で保持し、 前記データ処理装置が、前記管理データを参照して前記
    バージョン管理用データモジュールを特定し、 前記データ処理装置が、当該特定したバージョン管理用
    データモジュールから、指定されたバージョンの識別デ
    ータをキーとして、対応する前記第２のデータモジュー
    ルを検索して取得し、 前記データ処理装置が、当該取得した第２のデータモジ
    ュールを用いて処理を行う請求項１４に記載のデータ処
    理方法。
16. 【請求項１６】前記バージョン管理用データモジュール
    は、前記バージョンの識別データと、当該バージョンに
    対応する前記第２のデータモジュールの識別データとを
    対応付けて示す表データを有し、 前記データ処理装置が、前記管理データを参照して前記
    バージョン管理用データモジュールを特定し、 前記データ処理装置が、当該特定したバージョン管理用
    データモジュールの前記表データから、指定されたバー
    ジョンの識別データをキーとして、対応する前記第２の
    データモジュールの識別データを検索し、 前記データ処理装置が、当該検索によって得た識別デー
    タを基に、対応する前記第２のデータモジュールを得て
    処理を行う請求項１４に記載のデータ処理方法。
17. 【請求項１７】アプリケーションプログラムに基づい
    て、所定の集積回路との間でデータ授受を行い、前記集
    積回路と協動して所定のサービスを提供するデータ処理
    装置によって実行されるプログラムであって、 前記アプリケーションプログラムが複数の第１のデータ
    モジュールから構成され、前記第１のデータモジュール
    が複数のバージョンを有する場合に、 前記複数のバージョンにそれぞれ対応する複数の第２の
    データモジュールと、前記第１のデータモジュールと前
    記複数の第２のデータモジュールとの対応関係を管理す
    るバージョン管理用データモジュールと、前記第１のデ
    ータモジュールとそれに対応する前記バージョン管理用
    データモジュールとの対応関係を管理する管理データと
    を用いて処理を行い、 前記第１のデータモジュールに対応する処理を行う場合
    に、前記管理データを参照して前記バージョン管理用デ
    ータモジュールを特定する手順と、 前記データ処理装置が、当該特定したバージョン管理用
    データモジュールを用いて、前記データ処理装置の内部
    あるいは外部から指定されたバージョンに対応する前記
    第２のデータモジュールを取得する手順と、 前記データ処理装置が、当該取得した第２のデータモジ
    ュールを利用する手順とを有するプログラム。
18. 【請求項１８】前記バージョン管理用データモジュール
    が、前記バージョンの識別データと、それに対応する前
    記第２のデータモジュールとをレコード形式で保持する
    場合に、 前記特定したバージョン管理用データモジュールから、
    指定されたバージョンの識別データをキーとして、対応
    する前記第２のデータモジュールを検索して取得する手
    順を有する請求項１７に記載のプログラム。
19. 【請求項１９】前記バージョン管理用データモジュール
    が、前記バージョンの識別データと、当該バージョンに
    対応する前記第２のデータモジュールの識別データとを
    対応付けて示す表データを有する場合に、 前記特定したバージョン管理用データモジュールの前記
    表データから、指定されたバージョンの識別データをキ
    ーとして、対応する前記第２のデータモジュールの識別
    データを検索する手順と、 当該検索によって得た識別データを基に、対応する前記
    第２のデータモジュールを得て処理を行う手順とを有す
    る請求項１７に記載のプログラム。
20. 【請求項２０】それぞれ複数の第１のデータモジュール
    から構成された複数の第２のデータモジュールを用い
    て、集積回路と通信して処理を行うデータ処理装置であ
    って、 それぞれ対応する第１のユーザによってアクセスされる
    前記第２のデータモジュールを記憶する複数の第１の記
    憶領域と、前記複数の第１のユーザによって共用される
    前記第２のデータモジュールを記憶する第２の記憶領域
    と、特権ユーザによってのみアクセス許可される前記第
    ２のデータモジュールを記憶する第３の記憶領域とを有
    する記憶回路と、 前記第１のデータモジュールの識別データと、前記第２
    のデータモジュールの識別データとを用いて、前記第１
    の記憶領域、前記第２の記憶領域および前記第３の記憶
    領域への階層的なアクセスの許否を規定したアクセス管
    理データに基づいて、前記記憶回路の記憶領域へのアク
    セス許否を決定する処理回路とを有するデータ処理装
    置。
21. 【請求項２１】前記第１の記憶領域に記憶された第２の
    データモジュールは、当該第２のデータモジュールに対
    応する前記第１のユーザによって所定の鍵データを用い
    て暗号化されている請求項２０に記載のデータ処理装
    置。
22. 【請求項２２】前記処理回路は、前記第１の記憶領域に
    記憶された前記第２のデータモジュールの設定を行う鍵
    データを用いて前記第２の記憶領域に記憶された前記第
    ２のデータモジュールの設定を行うことを許可する請求
    項２０に記載のデータ処理装置。
23. 【請求項２３】データ処理装置が、それぞれ複数の第１
    のデータモジュールから構成された複数の第２のデータ
    モジュールを用いて集積回路と通信して処理を行うデー
    タ処理方法であって、 それぞれ対応する第１のユーザによってアクセスされる
    前記第２のデータモジュールを記憶する複数の第１の記
    憶領域と、前記複数の第１のユーザによって共用される
    前記第２のデータモジュールを記憶する第２の記憶領域
    と、特権ユーザによってのみアクセス許可される前記第
    ２のデータモジュールを記憶する第３の記憶領域とを有
    する記憶回路へのアクセス許否を、 前記第１のデータモジュールの識別データと、前記第２
    のデータモジュールの識別データとを用いて、前記第１
    の記憶領域、前記第２の記憶領域および前記第３の記憶
    領域への階層的なアクセスの許否を規定したアクセス管
    理データに基づいて決定するデータ処理方法。
24. 【請求項２４】前記第１の記憶領域に記憶された第２の
    データモジュールは、当該第２のデータモジュールに対
    応する前記第１のユーザによって所定の鍵データを用い
    て暗号化されている請求項２３に記載のデータ処理方
    法。
25. 【請求項２５】前記第１の記憶領域に記憶された前記第
    ２のデータモジュールの設定を行う鍵データを用いて前
    記第２の記憶領域に記憶された前記第２のデータモジュ
    ールの設定を行うことを許可する請求項２３に記載のデ
    ータ処理方法。
26. 【請求項２６】データ処理装置が、それぞれ複数の第１
    のデータモジュールから構成された複数の第２のデータ
    モジュールを用いて集積回路と通信して処理を行うデー
    タ処理装置で実行されるプログラムであって、 それぞれ対応する第１のユーザによってアクセスされる
    前記第２のデータモジュールを記憶する複数の第１の記
    憶領域と、前記複数の第１のユーザによって共用される
    前記第２のデータモジュールを記憶する第２の記憶領域
    と、特権ユーザによってのみアクセス許可される前記第
    ２のデータモジュールを記憶する第３の記憶領域とを有
    する記憶回路へのアクセス許否を、 前記第１のデータモジュールの識別データと、前記第２
    のデータモジュールの識別データとを用いて、前記第１
    の記憶領域、前記第２の記憶領域および前記第３の記憶
    領域への階層的なアクセスの許否を規定したアクセス管
    理データに基づいて決定する手順を有するプログラム。