JP7202543B2

JP7202543B2 - ｅＵＩＣＣおよびｅＵＩＣＣのプロビジョニング方法

Info

Publication number: JP7202543B2
Application number: JP2019047820A
Authority: JP
Inventors: 直登船津
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2019-03-14
Filing date: 2019-03-14
Publication date: 2023-01-12
Anticipated expiration: 2039-03-14
Also published as: JP2020150473A

Description

本発明は，移動体通信の機能を有するモバイルデバイスの内部に組み込まれるｅＵＩＣＣ（Embedded Universal Integrated Circuit Cardの略）をプロビジョニングする技術に関する。

移動体通信の機能を有するモバイルデバイスの内部に装着されるＵＩＣＣ（Universal Integrated Circuit Cardの略）には，移動体通信事業者（以下，ＭＮＯと記す。ＭＮＯは， Mobile Network Operatorの略）が所有する移動体通信システムを利用するために必要な情報がプロビジョニングされる。従来のＵＩＣＣは，カード型の媒体で，特定のＭＮＯに係る情報が製造時にプロビジョニングされるため，ＭＮＯを変更するためには，モバイルデバイスの内部に装着されているカード型のＵＩＣＣを，変更先となるＭＮＯに係る情報がプロビジョニングされている別のカード型のＵＩＣＣに差し替える必要がある。

ＭＮＯを変更するために，モバイルデバイスの内部に装着されているカード型のＵＩＣＣを差し替えが必要であると，変更先となるＭＮＯに係る情報がプロビジョニングされているカード型のＵＩＣＣをコンシューマーは入手しなければならず，コンシューマーはＭＮＯを手軽に変更できない問題がある。また，ＭＮＯの立場からすると，自社の情報がプロビジョニングされたカード型のＵＩＣＣの在庫管理に係るコストが生じるなどのデメリットがある。

このことを解消するために，ＯＴＡ（Over The Airの略）によるリモートプロビジョニングに対応した組み込み型のＵＩＣＣであるｅＵＩＣＣ（embedded UICCの略）に係る仕様が規格化されている（例えば，非特許文献１）。

図１０は，ｅＵＩＣＣ６のアーキテクチャを説明する図で，図１０で図示したｅＵＩＣＣ６のアーキテクチャは非特許文献１に基づくものである。ここでは，ｅＵＩＣＣ６のアーキテクチャを簡単に説明するに留まり，ｅＵＩＣＣ６のアーキテクチャの詳細は非特許文献１などの文献を参照願いたい。

図１０で図示したように，ｅＵＩＣＣ６は，暗号鍵を用いたセキュアコミュニケーションをサポートする機能などを有するセキュリティドメイン(SD: Security Domain)として，ＩＳＤ－Ｒ６０(Issuer Security Domain Rootの略)，ＥＣＡＳＤ６２（eUICC Controlling Authority Security Domainの略）および少なくとも一つのＩＳＤ－Ｐ６１(Issuer Security Domain Profileの略)をメモリに格納する。

ＩＳＤ－Ｒ６０およびＥＣＳＡＤ６２は，モバイルデバイスの製造時にｅＵＩＣＣ６に発行されるＳＤである。ＩＳＤ－Ｒ６０は，ｅＵＩＣＣ６に格納されているＳＤのルートになる発行者のＳＤで，ＩＳＤ－Ｐ６１を生成する機能などを有する。ＥＣＳＡＤ６２は，ＩＳＤ－Ｒ６０が生成したＩＳＤ－Ｐ６１が使用する暗号鍵をセキュアに生成する機能を有する。また，ＩＳＤ－Ｐ６１は，ＭＮＯが運営している移動体通信システムを利用するための情報を集約したデータであるプロファイル６１０を格納する発行者のＳＤである。

ＩＳＤ－Ｐ６１が格納するプロファイル６１０には，ＭＮＯのＳＤであるＭＮＯ－ＳＤ６１１，ＮＡＡ６１４（Network Access Applicationの略），ＰＯＬ１＿６１２（Policy1の略）およびファイルシステム６１３を少なくとも含み，図１１では，ＳＳＤ６１５（Supplementary Security Domainの略）およびアプリケーション６１６を含んでいる。

プロファイルのＭＮＯ－ＳＤ６１１は，ＭＮＯ－ＳＤ６１１に対応するプロビジョニングシステムとの間でセキュアチャネルを構築し，ＳＳＤ６１５を生成する機能とＳＳＤ６１５を削除する機能などを有する。ＰＯＬ１＿６１２は，プロファイルの無効化の許可やプロファイルの削除の許可などが示されるポリシールールを含んでいる。ＮＡＡ６１４は，例えば，ETSI TS 131 102で規格化されているＵＳＩＭアプリケーションなど，移動体通信システムを利用するためのアプリケーションになる。ファイルシステム６１３は，ETSI TS 102 221などの文献で開示されている内容になる。

ｅＵＩＣＣ６はＮＡＡ６１４以外のアプリケーションを格納できる。このアプリケーションには，ＭＮＯがコンシューマーに提供するサービス（例えば，コールコントロール）に係るアプリケーション６１６を含ませることができ，更に，ＭＮＯと業務提携しているサービスプロバイダ（SP: Service Provider）がコンシューマーに提供するサービス（例えば，Ｍコマース）に係るアプリケーション６１６を含ませることができる。ＳＰに係るアプリケーション６１６は，ＭＮＯと業務提携しているＳＰのＳＤになるＳＳＤ６１５に関連付けられた状態でプロファイルに格納される。

ｅＵＩＣＣ６では，複数のプロファイル６１０の格納が許可されているが，有効に設定できるプロファイル６１０の数は一つに限定され，有効に設定されているプロファイル６１０に対応するＭＮＯが，ｅＵＩＣＣ６を利用して利用可能なＭＮＯになる。図１０では，プロファイル６１０aを実線で，プロファイル６１０ｎを破線で図示しており，これは，プロファイル６１０aが有効でプロファイル６１０ｎは無効であることを示している。なお，ｅＵＩＣＣ６で有効にするプロファイル６１０の変更は，コンシューマー向けのモバイルデバイスの場合（例えば，スマートデバイス），コンシューマーの操作により行われ，ＩｏＴに係るモバイルデバイス（例えば，重機）の場合，ＭＮＯの指示により行われる。

このように，リモートプロビジョニングに対応したｅＵＩＣＣ６では，コンシューマーなどがプロファイル６１０を変更できるが，プロファイル６１０を変更すると，変更前のプロファイル６１０に含まれるアプリケーション６１６も無効になるため，変更前のプロファイル６１０におけるアプリケーション６１６を変更後のプロファイル６１０に引き継ぐことはできない。特に，ＳＰに係るアプリケーション６１６の場合，アプリケーション６１６のインストールをＭＮＯが行い，アプリケーション６１６の発行をＳＰが行うことでインスタンスを生成するため，変更前のプロファイル６１０におけるアプリケーション６１６のインスタンスを変更後のプロファイル６１０に引き継げないことは，コンシューマーの側からするとＭＮＯを手軽に変更でない要因になる。

変更前のプロファイル６１０におけるアプリケーション６１６を変更後のプロファイル６１０に引き継げるようにした発明として，アプリケーション６１６に係るデータを変更前のプロファイル６１０から変更後のプロファイル６１０に移行できるようにした発明が特許文献１で開示されている。

特表２０１８－５０３３１３号公報

Remote Provisioning Architecture for Embedded UICC Technical Specification Version 3.2 27 June 2017

特許文献１によれば，アプリケーションに係るデータを変更前のプロファイルから変更後のプロファイルに移行する処理を行うＳＤはＩＳＤ－Ｒであるが，アプリケーションをインストールするＳＤはＭＮＯ－ＳＤであるため，発行者に与えられた権限を越えた処理をＩＳＤ－Ｒが行うことになり兼ねない。

そこで，本発明は，アプリケーションに係るデータを変更前のプロファイルから変更後のプロファイルに移行することなく，変更前のプロファイルにおけるアプリケーションを変更後のプロファイルで利用できるようにすることを目的とする。

上述した課題を解決する第１発明は，移動体通信事業者が共通で利用できる共通領域をＮＶＭに設定し，前記共通領域にアクセスするための共通領域ＡＰＩを有するオペレーティングシステムと，移動体通信事業者セキュリティドメインを含むプロファイルを格納するプロファイルセキュリティドメインを管理する機能を有するルートセキュリティドメインを備え，前記ルートセキュリティドメインは，前記共通領域に設定されていないＮＶＭの領域に前記プロファイルセキュリティドメインを生成する機能を有し，前記移動体通信事業者セキュリティドメインは，前記共通領域ＡＰＩを利用して，移動体通信事業者に関連するアプリケーションを前記共通領域にインストールする機能を有していることを特徴とするｅＵＩＣＣである。上述した第１発明によれば，前記共通領域は，前記ルートセキュリティドメインが前記プロファイルセキュリティドメインを管理する領域に含まれない。よって，前記ルートセキュリティドメインが前記プロファイルセキュリティドメインを無効または削除しても，前記共通領域にインストールされた前記アプリケーションは無効または削除されず，変更前のプロファイルにおけるアプリケーションを変更後のプロファイルで利用できる。

更に，第２発明は，第１発明に記載したｅＵＩＣＣにおいて，前記プロファイルは，移動体通信事業者と業務提携しているサービスプロバイダのセキュリティドメインを含み，前記サービスプロバイダのセキュリティドメインは，前記共通領域ＡＰＩを利用して，前記サービスプロバイダに係る前記アプリケーションの発行データを前記共通領域に書き込む機能を有していることを特徴とする。上述した第２発明によれば，前記ルートセキュリティドメインが前記プロファイルセキュリティドメインを無効または削除しても，前記共通領域にインストールされた前記アプリケーションのインスタンスは無効または削除されず，変更前のプロファイルにおけるアプリケーションのインスタンスを変更後のプロファイルで利用できる。

更に，第３発明は，移動体通信事業者が共通で利用できる共通領域をＮＶＭに設定し，前記共通領域にアクセスするための共通領域ＡＰＩを有するオペレーティングシステムと，移動体通信事業者セキュリティドメインを含むプロファイルを格納するプロファイルセキュリティドメインを管理する機能を有するルートセキュリティドメインを備えたｅＵＩＣＣをプロビジョニングする方法であって，前記ルートセキュリティドメインが，前記共通領域に設定されていないＮＶＭの領域に前記プロファイルセキュリティドメインを生成するステップａと，前記移動体通信事業者セキュリティドメインが，前記共通領域ＡＰＩを利用して，移動体通信事業者に関連するアプリケーションを前記共通領域にインストールするステップｂを含むことを特徴とするｅＵＩＣＣのプロビジョニング方法である。第３発明に係る効果は第１発明と同じである。

更に，第４発明は，第３発明に記載したｅＵＩＣＣのプロビジョニング方法において，前記プロファイルは，移動体通信事業者と業務提携しているサービスプロバイダのセキュリティドメインを含み，前記サービスプロバイダのセキュリティドメインが，前記共通領域ＡＰＩを利用して，前記サービスプロバイダに係る前記アプリケーションの発行データを前記共通領域に書き込むステップｃを含むことを特徴とする。第４発明に係る効果は第２発明と同じである。

このように，上述した本発明によれば，アプリケーションに係るデータを変更前のプロファイルから変更後のプロファイルに移行することなく，変更前のプロファイルにおけるアプリケーションを変更後のプロファイルで利用できる。

リモートプロビジョニングに係るアーキテクチャを簡易的に説明する図。ｅＵＩＣＣの概略構成図。プロファイルの構造を説明する図。ｅＵＩＣＣが有するＮＶＭのメモリマップを説明する図。プロファイルのインストール手順を説明する図。プロファイルをインストールする前におけるＮＶＭのメモリマップを説明する図。プロファイルをインストールした後におけるＮＶＭのメモリマップを説明する図。アプリケーションの発行手順を説明する図。プロファイルを変更した後におけるＮＶＭのメモリマップを説明する図。ｅＵＩＣＣのアーキテクチャを説明する図。

ここから，本発明に係る実施形態について記載する。本実施形態は，本発明の理解を容易にするためのものであり，本発明は，本実施形態に限定されるものではない。また，特に断りのない限り，図面は，本発明の理解を容易にするために描かれた模式的な図である。

図１は，リモートプロビジョニングに係るアーキテクチャ１を簡易的に説明する図である。図１で図示したリモートプロビジョニングに係るアーキテクチャ１は，モバイル機器５に組み込まれたｅＵＩＣＣ２と，リモートプロビジョニングを行うプロビジョニングシステム３と，ＳＰ（Service Providerの略）が運営しているサーバであるＳＰ－ＴＳＭ４（Trusted Service Managerの略）を含んでいる。

ｅＵＩＣＣ２が組み込まれたモバイル機器５とは，移動体通信を行う機器で，例えば，体温，血圧および心拍数などの健康データを所定のサーバへ移動体通信するワイヤレスヘルスケアに対応したヘルスデバイス５ａや，スマートフォンやスマートウォッチなどのスマートデバイス５ｂのみならず，作業動画などを所定のサーバへ移動体通信する重機５ｃも含む。

プロビジョニングシステム３は，移動体通信事業者（以下，ＭＮＯと記す。ＭＮＯは， Mobile Network Operatorの略）が運営している移動体通信システムを利用するための情報を集約したデータであるプロファイル２３をリモートでｅＵＩＣＣ２に書き込むプロビジョニングを実行するシステムである。図１で図示したプロビジョニングシステム３には，ＭＮＯのサーバであるＭＮＯ－ＴＳＭ３０と，ＭＮＯに対応するＳＭ（Subscription Managerの略）を含み，ＭＮＯに対応するＳＭは，ＭＮＯのプロファイル２３を記憶しているＳＭ－ＤＰ３２（Data Preparationの略）と，リモートプロビジョニングの対象になるｅＵＩＣＣ２との間でセキュアチャネルを構築するＳＭ－ＳＲ３１（Secure Routingの略）を含む。

図２は，ｅＵＩＣＣ２の概略構成図である。ｅＵＩＣＣ２には，ハードウェア２５の上で直接動作するｅＵＩＣＣ２のオペレーティングシステム２０（以下，ＯＳと記す。ＯＳは，Operating Systemの略）と，ＯＳ２０を基盤として動作するセキュリティドメイン（以下，ＳＤと記す。ＳＤは， Security Domainの略）として，ＩＳＤ－Ｒ２１，ＥＣＡＳＤ２４（eUICC Controlling Authority Security Domainの略）および少なくとも一つのＩＳＤ－Ｐ２２を含んでいる。ＩＳＤ－Ｒ２１は，本発明に係るルートセキュリティドメインとして機能するＳＤで，Issuer Security Domain Rootの略である。また，ＩＳＤ－Ｐ２２は，本発明に係るプロファイルセキュリティドメインとして機能するＳＤで，Issuer Security Domain Profileの略である。

図２で図示したハードウェアの構成では，バスを介してＣＰＵ２５０（Central Processing Unitの略）に，ＲＡＭ２５２（Random Access Memoryの略），ＲＯＭ２５１（Read Only Memoryの略)，ＮＶＭ２６(Non-volatile memoryの略)，ＵＡＲＴ２５５（Universal Asynchronous Receiver/Transmitterの略），タイマー２５４およびアクセラレータ２５３が接続されている。ＲＡＭ２５２は，ｅＵＩＣＣ２のメインメモリとなる揮発性メモリで，ＲＯＭ２５１は，電気的に書き換え不可能な不揮発性メモリである。ＮＶＭ２６は，電気的に書き換え可能な不揮発性メモリである。ＵＡＲＴ２５５は，ｅＵＩＣＣ２が組み込まれたモバイル機器５との通信を制御する回路で，タイマー２５４は，時間を計測する回路で，アクセラレータ２５３は，暗号演算の処理速度を速くするための回路である。

ｅＵＩＣＣ２のＯＳ２０は，特定のプログラミング言語（例えば，ＪＡＶＡ（登録商標））で記述されたコンピュータプログラムが実行するために必要なランタイム環境（Runtime Environment）を提供するソフトウェアである。

ＯＳ２０は，ＯＳ２０を基盤として動作するソフトウェアに対して，ハードウェア２５を利用するためのＡＰＩ（Application Program Interface）を提供する。ＯＳ２０が提供するＡＰＩには，アクセラレータ２５３を利用する暗号演算に係るＡＰＩ等もあるが，図１では，ＮＶＭ２６に設けられた共通領域２６０にアクセスするためのＡＰＩである共通領域ＡＰＩ２００のみを図示している。なお，共通領域２６０とは，ＭＮＯが共通で利用できる領域で，ＯＳ２０は，ＮＶＭ２６の一部の領域を共通領域２６０に割り当てている。

ＯＳ２０を基盤として動作するＳＤについて説明する。なお，図１で図示したＥＣＡＳＤ２４は，本発明の説明に用いないＳＤになるため，ここでは，ＥＣＡＳＤ２４の詳細な説明は省く。

ＩＳＤ－Ｒ２１は，発行者のＳＤで，ｅＵＩＣＣ２の製造時に生成される。ｅＵＩＣＣ２に生成できるＩＳＤ－Ｒ２１の数は一つに限定される。ＩＳＤ－Ｒ２１は，プロビジョニングシステム３との間でセキュアチャネルを構築する機能や，ＩＳＤ－Ｐ２２を管理する機能を有する。ＩＳＤ－Ｐ２２を管理する機能は, ＩＳＤ－Ｐ２２を生成または削除する機能や，ＩＳＤ－Ｐ２２の状態を無効または有効に設定する機能などを含む。

図３は，プロファイル２３の構造を説明する図である。ＩＳＤ－Ｐ２２は，ＩＳＤ－Ｐ２２に対応するＭＮＯのプロファイル２３を格納するＳＤである。図３で図示したように，ＩＳＤ－Ｐ２２が格納するプロファイル２３は，ＭＮＯ－ＳＤ２３０，ＮＡＡ２３５（Network Access Applicationの略），ＰＯＬ１２３３（Network Access Applicationの略），ファイルシステム２３４およびＳＳＤ２３１（Supplementary Security Domainの略）を含み，更に，図３では，アプリケーション２３２を含んでいる。

アプリケーション２３２には，ＭＮＯがコンシューマーに提供するサービスに係るアプリケーション２３２ａを含ませることができ，更に，ＭＮＯと業務提携しているサービスプロバイダ（以下，ＳＰと記す。ＳＰは，Service Providerの略）がコンシューマーに提供するサービスに係るアプリケーション２３２ｂを含ませることができる。ＳＰに係るアプリケーション２３２ｂは，ＭＮＯと業務提携しているＳＰのＳＤになるＳＳＤ２３１に関連付けられた状態でプロファイル２３に格納される。

ＳＰのアプリケーション２３２ｂは，ＳＰがコンシューマーに提供するサービスに対応したアプリケーション２３２である。ＳＰがコンシューマーに提供するサービスは，ｅＵＩＣＣ２が実装されるモバイル機器５で変わるのが一般的である。ｅＵＩＣＣ２が実装されるモバイル機器５がスマートデバイス５ｂの場合，このサービスは，例えば，Ｍコマースや交通機関の乗車券である。

アプリケーション２３２のインスタンスの生成には，アプリケーション２３２のインストールと，アプリケーション２３２の発行が必要になる。本実施形態において，アプリケーション２３２をインストールするＳＤはＭＮＯ－ＳＤ２３０で，ＭＮＯ－ＳＤ２３０は，共通領域ＡＰＩ２００を利用して，プロファイル２３に含ませるアプリケーション２３２を共通領域２６０にインストールする機能を有している。また，アプリケーション２３２を発行するＳＤはＳＳＤ２３１で，ＳＳＤ２３１は，共通領域ＡＰＩ２００を利用して，アプリケーション２３２の発行データ（例えば，個人データ）を共通領域２６０に書き込む機能を有している。

図４は，ｅＵＩＣＣ２が有するＮＶＭ２６のメモリマップを説明する図である。ｅＵＩＣＣ２が有するＮＶＭ２６は，ＯＳ２０によって，ＯＳ２０が使用する領域であるＯＳ使用領域２６ａと，ＳＤが使用する領域であるＳＤ使用領域２６ｂに分割され，上述している共通領域２６０はＳＤ使用領域２６ｂに含まれている。

ＯＳ使用領域２６ａには，ＯＳ２０のプログラムコードの一部やＯＳ２０のデータが格納される。なお，ＯＳ２０のプログラムコードの大部分はＲＯＭ２５１に格納される。ＳＤ使用領域２６ｂには，ＩＳＤ－Ｒ２１，ＥＣＡＳＤ２４およびＩＳＤ－Ｐ２２が格納される。

ＩＳＤ－Ｒ２１は，ＩＳＤ－Ｐ２２を生成する際，共通領域２６０に設定されていないＳＤ使用領域２６ｂの領域に，プロファイル２３を配置する領域となるプロファイル領域２６ｃを生成し，プロファイル２３をこのプロファイル領域２６ｃにインストールする。ＩＳＤ－Ｒ２１には，ＮＶＭ２６の共通領域２６０を利用する権限が与えられておらず，ＩＳＤ－Ｐ２２の削除・無効化の対象となる領域はプロファイル領域２６ｃに限定される。図４では，一つのＩＳＤ－Ｐ２２に対応するプロファイル領域２６ｃがＮＶＭ２６に生成されており，プロファイル領域２６ｃにはＩＳＤ－Ｐ２２が格納するプロファイル２３が配置されている。

図３で図示したように，ＩＳＤ－Ｐ２２が格納するプロファイル２３は，ＭＮＯ－ＳＤ２３０，ＮＡＡ２３５，ＰＯＬ１２３３，ファイルシステム２３４，ＳＳＤ２３１およびアプリケーション２３２を含む。なお，ＭＮＯ－ＳＤ２３０は，本発明に係る移動体通信事業者セキュリティドメインとして機能するＳＤになる。

ＭＮＯ－ＳＤ２３０，ＮＡＡ２３５，ＰＯＬ１２３３，ファイルシステム２３４およびＳＳＤ２３１を格納する領域は必ずプロファイル領域２６ｃになるが，本実施形態では，アプリケーション２３２を配置する領域はプロファイル領域２６ｃに限定されず，アプリケーション２３２は，ＯＳ２０が有する共通領域ＡＰＩ２００を利用して共通領域２６０に配置することができる。ＩＳＤ－Ｒ２１がＩＳＤ－Ｐ２２を無効または削除する際の対象となる領域はプロファイル領域２６ｃになるため，アプリケーション２３２を共通領域２６０に配置することで，ＩＳＤ－Ｒ２１がＩＳＤ－Ｐ２２を無効または削除しても，アプリケーション２３２は無効または削除されない。

このように，ｅＵＩＣＣ２が有するＮＶＭに共通領域２６０を設け，ＯＳ２０が提供する共通領域ＡＰＩ２００を利用してアプリケーション２３２を共通領域２６０にインストールできるようにしておけば，ＭＮＯが変更されてプロファイル２３が変更になっても，アプリケーション２３２を再インストールすることなく，プロファイル２３を変更する前の状態で共通領域２６０にあるアプリケーション２３２を変更後のプロファイル２３で利用できる。

なお，共通領域２６０にアプリケーション２３２をインストールした際，アプリケーション２３２のインストール情報を共通領域２６０に格納しておけば，プロファイル２３を変更しても，共通領域２６０にあるアプリケーション２３２にアクセス可能になる。

ここから，ｅＵＩＣＣ２をプロビジョニングする方法について説明する。図５は，ｅＵＩＣＣ２のプロビジョニング方法におけるプロファイル２３のインストール手順を説明する図である。

図５を参照しながら，プロファイル２３のインストール手順に含まれるステップについて簡単に説明する。プロビジョニングシステム３（ＳＭ－ＳＲ３１になる）は，プロファイル２３のインストールに係るトリガーを外部の装置などから受信すると（Ｓ１），まず，ｅＵＩＣＣ２のＩＳＤ－Ｒ２１との間でセキュアチャネルを構築して，インストールの対象になるプロファイル２３を格納するＩＳＤ－Ｐ２２の生成要求をＩＳＤ－Ｒ２１へ送信する（Ｓ２）。ＩＳＤ－Ｐ２２の生成要求を受信したｅＵＩＣＣ２のＩＳＤ－Ｒ２１は，このＩＳＤ－Ｐ２２をＮＶＭ２６に生成する（Ｓ３）。ＩＳＤ－Ｐ２２をＮＶＭ２６に生成することで，インストールの対象になるプロファイル２３を配置するプロファイル領域２６ｃがＮＶＭ２６に確保される。

次に，プロビジョニングシステム３（ＳＭ－ＤＰ３２になる）は，ｅＵＩＣＣ２に生成したＩＳＤ－Ｐ２２との間でセキュアチャネルを構築して，ＩＳＤ－Ｐ２２に格納するプロファイル２３のインストール要求をＩＳＤ－Ｐ２２へ送信し（Ｓ４），ＩＳＤ－Ｐ２２は，インストール要求に含まれるプロファイル２３をプロファイル領域２６ｃに書き込むことで，プロファイル２３をプロファイル領域２６ｃにインストールする（Ｓ５）。

インストールした時点においてプロファイル２３は無効になっているため，プロビジョニングシステム３（ＳＭ－ＳＲ３１になる）は，ｅＵＩＣＣ２のＩＳＤ－Ｒ２１に対して，インストールしたプロファイル２３の有効化要求を送信し（Ｓ６），ｅＵＩＣＣ２のＩＳＤ－Ｒ２１は，インストールしたプロファイル２３を格納しているＩＳＤ－Ｐ２２の状態を有効に設定して（Ｓ７），図５の手順は終了する。

図６は，プロファイル２３をインストールする前におけるＮＶＭ２６のメモリマップを説明する図で，図７は，プロファイル２３をインストールした後におけるＮＶＭ２６のメモリマップを説明する図である。図６で図示したように，プロファイル２３をインストールする前は，プロファイル２３を格納するＩＳＤ－Ｐ２２はＮＶＭ２６に生成されておらず，図５の手順が実行されて，プロファイル２３をインストールすると，プロファイル２３を格納するＩＳＤ－Ｐ２２がＮＶＭ２６に生成される。なお，アプリケーション２３２をインストールできる権限はＭＮＯ－ＳＤ２３０が有しているため，プロファイル２３をインストールした時点で，アプリケーション２３２はプロファイル２３に含まれていない。

次に，アプリケーション２３２の発行手順に含まれるステップについて簡単に説明する。図８は，ｅＵＩＣＣ２のプロビジョニング方法におけるアプリケーション２３２の発行手順を説明する図である。

ｅＵＩＣＣ２を組み込んでいるモバイル機器５は，プロファイル２３がｅＵＩＣＣ２にインストールされると，インストールされたプロファイル２３に含まれるアプリケーション２３２を確認する（Ｓ１０）。ｅＵＩＣＣ２を組み込んでいるモバイル機器５は，アプリケーション２３２を確認結果に応じて処理を分岐する（Ｓ１１）。モバイル機器５で利用するアプリケーション２３２がこのプロファイル２３に含まれていない場合，アプリケーション２３２に対応するＳＰ－ＴＳＭ４に対して，ＳＰのアプリケーション２３２のインストールに係るトリガーを送信し（Ｓ１２），プロファイル２３にこのアプリケーション２３２が含まれている場合，この手順は終了する（Ｓ１１ａ）。なお，ｅＵＩＣＣ２を組み込んでいるモバイル機器５がスマートデバイスの場合，プロファイル２３に含まれるアプリケーション２３２の確認と，アプリケーション２３２のインストールに係るトリガーの送信には，スマートデバイスに実装されているＵＩ（UI: User Interface）が用いられる。

アプリケーション２３２のインストールに係るトリガーを受信したＳＰ－ＴＳＭ４は，アプリケーション２３２のインストールをプロビジョニングシステム３（ここでは，ＭＮＯ－ＴＳＭ３０）に指示する（Ｓ１３）。プロビジョニングシステム３（ここでは，ＭＮＯ－ＴＳＭ３０）は，この時点で有効な状態に設定されているプロファイル２３（インストールされたプロファイル２３になる）に含まれるＭＮＯ－ＳＤ２３０との間でセキュアチャネルを構築し，アプリケーション２３２のインストール要求をＭＮＯ－ＳＤ２３０に送信し（Ｓ１４），ＭＮＯ－ＳＤ２３０は，プロビジョニングシステム３（ここでは，ＭＮＯ－ＴＳＭ３０）から受信したアプリケーション２３２をＮＶＭ２６に書き込んで，アプリケーション２３２をｅＵＩＣＣ２にインストールする（Ｓ１５）。なお，本実施形態では，アプリケーション２３２のインストール要求で，アプリケーション２３２を配置する領域を指定できるようになっている。アプリケーション２３２のインストール要求で，アプリケーション２３２を配置する領域が共通領域２６０に指定されている場合，ＭＮＯ－ＳＤ２３０は，ＯＳ２０が提供する共通領域ＡＰＩ２００を利用して，アプリケーション２３２を共通領域２６０にインストールする。これまでの手順が実行されることで，図４図示したように，アプリケーション２３２が共通領域２６０にインストールされる。

アプリケーション２３２のインストールが完了すると，ＭＮＯ－ＳＤ２３０は，アプリケーション２３２のインストール完了をプロビジョニングシステム３（ここでは，ＭＮＯ－ＴＳＭ３０）へ通知し（Ｓ１６），プロビジョニングシステム３（ここでは，ＭＮＯ－ＴＳＭ３０）は，アプリケーション２３２のインストール完了をＳＰ－ＴＳＭ４へ転送する（Ｓ１７）。ＳＰ－ＴＳＭ４は，この時点で有効な状態に設定されているプロファイル２３に含まれるＳＳＤ２３１との間でセキュアチャネルを構築し，ＳＳＤ２３１に対してアプリケーション２３２の発行要求を送信する（Ｓ１８）。ＳＳＤ２３１は，ＳＰ－ＴＳＭ４から受信したアプリケーション２３２の発行要求に含まれる発行データをＮＶＭ２６に書き込むことで，アプリケーション２３２を発行して（Ｓ１９），図８の手順は終了する。なお，アプリケーション２３２が共通領域２６０にインストールされている場合，ＳＳＤ２３１は，アプリケーション２３２の発行要求に含まれる発行データを共通領域２６０に書き込み，アプリケーション２３２のインスタンスが共通領域２６０に生成される。

図９は，プロファイル２３を変更した後におけるＮＶＭ２６のメモリマップを説明する図である。図９では，プロファイル２３ａとプロファイル２３ｂがインストールされており，プロファイル２３ａの後にインストールされたプロファイル２３ｂが有効になっている。プロファイル２３ａをインストールしたときに，アプリケーション２３２が共通領域２６０にインストールされているため，アプリケーション２３２の再インストールを行うことなく，変更後のプロファイル２３ｂにおいても，プロファイル２３ａに含まれていたアプリケーション２３２をそのままの状態で利用できる。

１リモートプロビジョニングに係るアーキテクチャ
２ｅＵＩＣＣ
２０オペレーティングシステム２０
２１ＩＳＤ－Ｒ
２２ＩＳＤ－Ｐ
２３プロファイル
２３０ＭＮＯ－ＳＤ
２３１ＳＳＤ
２３２アプリケーション
２６ＮＶＭ
２６０共通領域
３プロビジョニングシステム
３０ＭＮＯ－ＴＳＭ
３１ＳＭ－ＳＲ
３２ＳＭ－ＤＰ
４ＳＰ－ＴＳＭ
５モバイル機器

Claims

移動体通信事業者が共通で利用できる共通領域をＮＶＭに設定し，前記共通領域にアクセスするための共通領域ＡＰＩを有するオペレーティングシステムと，移動体通信事業者セキュリティドメインを含むプロファイルを格納するプロファイルセキュリティドメインを管理する機能を有するルートセキュリティドメインを備え，
前記ルートセキュリティドメインは，前記共通領域に設定されていないＮＶＭの領域に前記プロファイルセキュリティドメインを生成する機能を有し，
前記移動体通信事業者セキュリティドメインは，前記共通領域ＡＰＩを利用して，移動体通信事業者に関連するアプリケーションを前記共通領域にインストールする機能を有している，
ことを特徴とするｅＵＩＣＣ。
前記プロファイルは，移動体通信事業者と業務提携しているサービスプロバイダのセキュリティドメインを含み，前記サービスプロバイダのセキュリティドメインは，前記共通領域ＡＰＩを利用して，前記サービスプロバイダに係る前記アプリケーションの発行データを前記共通領域に書き込む機能を有していることを特徴とする，請求項１に記載したｅＵＩＣＣ。
移動体通信事業者が共通で利用できる共通領域をＮＶＭに設定し，前記共通領域にアクセスするための共通領域ＡＰＩを有するオペレーティングシステムと，移動体通信事業者セキュリティドメインを含むプロファイルを格納するプロファイルセキュリティドメインを管理する機能を有するルートセキュリティドメインを備えたｅＵＩＣＣをプロビジョニングする方法であって，
前記ルートセキュリティドメインが，前記共通領域に設定されていないＮＶＭの領域に前記プロファイルセキュリティドメインを生成するステップａと，
前記移動体通信事業者セキュリティドメインが，前記共通領域ＡＰＩを利用して，移動体通信事業者に関連するアプリケーションを前記共通領域にインストールするステップｂを，
含むことを特徴とするｅＵＩＣＣのプロビジョニング方法。
前記プロファイルは，移動体通信事業者と業務提携しているサービスプロバイダのセキュリティドメインを含み，前記サービスプロバイダのセキュリティドメインが，前記共通領域ＡＰＩを利用して，前記サービスプロバイダに係る前記アプリケーションの発行データを前記共通領域に書き込むステップｃを含むことを特徴とする，請求項３に記載したｅＵＩＣＣのプロビジョニング方法。