JPH09265433A - ファイル管理方法 - Google Patents

Abstract

(57)【要約】 【課題】トランスポートキーを上位者から下位者に渡し
た後、下位者が当該キーを変更しない限り、その効力が
発揮されないようにすることができ、セキュリティ性に
優れたファイル管理方法を提供する。 【解決手段】ＩＣカードにおいて、データメモリを複数
のファイルに分割し、この分割した複数のファイルを、
キーの照合をアクセスの条件としてそれぞれ管理するフ
ァイル管理方法において、キーが変更されたか否かを判
断し、この判断によりキーが変更されていないと判断す
ると、このときキーの照合を行なった場合、アクセスの
条件として満たされない状態とし、キーが変更されたと
判断すると、このときキーの照合を行なった場合、アク
セスの条件として満たされた状態とすることを特徴とし
ている。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、たとえば、不揮発
性メモリ、および、これらを制御するＣＰＵなどの制御
素子を有するＩＣチップを内蔵したＩＣカードにおい
て、上記メモリ内に分割設定される複数のファイルを管
理するファイル管理方法に関する。

【０００２】

【従来の技術】最近、携帯可能なデータ記憶媒体とし
て、不揮発性のデータメモリ、および、これらを制御す
るＣＰＵ（セントラル・プロセッシング・ユニット）な
どの制御素子を有するＩＣチップを内蔵したＩＣカード
が注目されている。

【０００３】この種のＩＣカードは、内蔵するデータメ
モリを複数のファイルに分割し、かつ、個々のファイル
には、利用アプリケーションが運用時に必要なデータな
どが格納されるようになっており、外部装置からアプリ
ケーション識別名などを入力することにより、選択的に
対応ファイルのみが使用可能な状態を実現するようにな
っている。このため、複数のアプリケーションデータを
ファイル分けし、１枚のＩＣカードに格納することによ
り、多目的利用が可能なようになっている。

【０００４】これらのアプリケーションファイルには、
取引データなどのデータ格納のための複数のデータファ
イルと、キーデータ格納のためのキーファイルが所属で
きるようになっている。

【０００５】また、最近のＩＣカードでは、各ファイル
ごとにアクセス条件と称する情報が付加されるようにな
っており、この情報により指示されているカード内のキ
ーが照合されていることを条件に、コマンドアクセスの
可否判定を行なうようになっている。

【０００６】ところで、このようなＩＣカードが製造元
からカード利用者にわたる過程において、カードの発行
処理／カード内へのシステム基本情報格納など、種々の
工程が想定される。このとき、それぞれ工程に関与して
いる当事者も異なる場合が想定される。

【０００７】たとえば、前者がカード発行者（上位者）
であり、後者がアプリケーション提供者（下位者）であ
る。カード発行者がアプリケーション提供者にカードア
クセスの権限を移行する場合、一般的には「トランスポ
ートキー」と称する仮キーをＩＣカードに設定し、アプ
リケーション提供者がこれを照合することにより、以
降，アプリケーション提供者がＩＣカードに対してのア
クセスを行なえるようになる。

【０００８】このとき、トランスポートキーはカード発
行者も既知としているので、アプリケーション提供者が
自身のみにしか当該キーを知らないようにするために、
一般的には、このトランスポートキーを照合することに
より、これを書き換えることを行なう。

【０００９】

【発明が解決しようとする課題】しかし、上記した従来
技術の問題点として、ＩＣカード内のデータが改竄され
た場合などの問題解決に影響するものである。たとえ
ば、ＩＣカード内のアプリケーション利用の有効期限
は、一般的にアプリケーション提供者のキーを照合する
ことにより変更されることを考えると、仮に、このデー
タが改竄された場合には、アプリケーション提供者の責
任が問われることになる。

【００１０】しかしながら、このアプリケーション提供
者が前述したトランスポートキーを変更せずして利用し
ていた場合には、カード発行者はアプリケーション提供
者と同等の処理をなし得ることになる。すなわち、アプ
リケーション提供者の不注意に起因するものであるにも
かかわらず、カード発行者も同時に疑いがかけられるこ
とになる。

【００１１】したがって、トランスポートキーを適用す
る本来の意図にある、「ＩＣカードに対する管理権限の
委譲」に反する結果となってしまう。ただし、トランス
ポートキーの書換えを義務づけ、かつ、これをＩＣカー
ド内で一義的にチェックすることは、ＩＣカードの利便
性のみを要求するアプリケーションには不向きである。

【００１２】そこで、本発明は、トランスポートキーを
上位者から下位者に渡した後、下位者が当該キーを変更
しない限り、その効力が発揮されないようにすることが
でき、セキュリティ性に優れたファイル管理方法を提供
することを目的とする。

【００１３】

【課題を解決するための手段】本発明のファイル管理方
法は、メモリを複数のファイルに分割し、この分割した
複数のファイルを、キーの照合をアクセスの条件として
それぞれ管理するファイル管理方法において、キーが変
更されたか否かを判断し、この判断によりキーが変更さ
れていないと判断すると、このとき前記キーの照合を行
なった場合、アクセスの条件として満たされない状態と
し、キーが変更されたと判断すると、このとき前記キー
の照合を行なった場合、アクセスの条件として満たされ
た状態とすることを特徴とする。

【００１４】また、本発明のファイル管理方法は、メモ
リを複数のファイルに分割し、この分割した複数のファ
イルを、キーの照合をアクセスの条件としてそれぞれ管
理するファイル管理方法において、キーが変更されたか
否かを判断し、この判断によりキーが変更されていない
と判断すると、このとき前記キーの照合を行なった場
合、キーの変更以外のアクセスの条件として満たされな
い状態とし、キーが変更されたと判断すると、このとき
前記キーの照合を行なった場合、アクセスの条件として
満たされた状態とすることを特徴とする。

【００１５】また、本発明のファイル管理方法は、メモ
リを複数のファイルに分割し、この分割した複数のファ
イルを、キーの照合をアクセスの条件としてそれぞれ管
理するファイル管理方法において、キーが変更されたか
否かを判断し、この判断によりキーが変更されていない
と判断すると、このとき前記キーの照合を行なった場
合、アクセスの条件として満たされない状態とし、キー
が変更されたと判断すると、このとき前記キーの照合を
行なった場合、アクセスの条件として満たされた状態と
するか、または、キーが変更されたか否かにかかわら
ず、前記キーの照合を行なった場合、アクセスの条件と
して満たされた状態とするかのいずれかを選択できるこ
とを特徴とする。

【００１６】また、本発明のファイル管理方法は、メモ
リを複数のファイルに分割し、この分割した複数のファ
イルを、キーの照合をアクセスの条件としてそれぞれ管
理するファイル管理方法において、キーが変更されたか
否かを判断し、この判断によりキーが変更されていない
と判断すると、このとき前記キーの照合を行なった場
合、キーの変更以外のアクセスの条件として満たされな
い状態とし、キーが変更されたと判断すると、このとき
前記キーの照合を行なった場合、アクセスの条件として
満たされた状態とするか、または、キーが変更されたか
否かにかかわらず、前記キーの照合を行なった場合、ア
クセスの条件として満たされた状態とするかのいずれか
を選択できることを特徴とする。

【００１７】また、本発明のファイル管理方法は、メモ
リを複数のファイルに分割し、この分割した複数のファ
イルを、キーの照合をアクセスの条件としてそれぞれ管
理するファイル管理方法において、キーが変更されたか
否かを判断し、この判断によりキーが変更されていない
と判断すると、このとき前記キーの照合を行なった場
合、アクセスの条件として満たされない状態とし、キー
が変更されたと判断すると、このとき前記キーの照合を
行なった場合、アクセスの条件として満たされた状態と
するか、または、キーが変更されたか否かにかかわら
ず、前記キーの照合を行なった場合、アクセスの条件と
して満たされた状態とするかのいずれかを選択するもの
で、この選択を指示するための属性情報を前記キーに設
定することを特徴とする。

【００１８】また、本発明のファイル管理方法は、メモ
リを複数のファイルに分割し、この分割した複数のファ
イルを、キーの照合をアクセスの条件としてそれぞれ管
理するファイル管理方法において、キーが変更されたか
否かを判断し、この判断によりキーが変更されていない
と判断すると、このとき前記キーの照合を行なった場
合、キーの変更以外のアクセスの条件として満たされな
い状態とし、キーが変更されたと判断すると、このとき
前記キーの照合を行なった場合、アクセスの条件として
満たされた状態とするか、または、キーが変更されたか
否かにかかわらず、前記キーの照合を行なった場合、ア
クセスの条件として満たされた状態とするかのいずれか
を選択するもので、この選択を指示するための属性情報
を前記キーに設定することを特徴とする。

【００１９】さらに、本発明のファイル管理方法は、少
なくともメモリを備え、このメモリは複数のファイルに
分割され、この分割された複数のファイルごとにデータ
が格納されるＩＣカードにおいて、前記複数のファイル
を、キーの照合をアクセスの条件としてそれぞれ管理す
るファイル管理方法であって、キーが変更されたか否か
を判断し、この判断によりキーが変更されていないと判
断すると、このとき前記キーの照合を行なった場合、ア
クセスの条件として満たされない状態とし、キーが変更
されたと判断すると、このとき前記キーの照合を行なっ
た場合、アクセスの条件として満たされた状態とするこ
とを特徴とする。

【００２０】本発明によれば、キーが変更されたか否か
を判断し、変更されていないと判断すると、キーの照合
を行なった場合、アクセスの条件として満たされない状
態とし、変更されたと判断すると、キーの照合を行なっ
た場合、アクセスの条件として満たされた状態とするこ
とにより、トランスポートキーを上位者から下位者に渡
した後、下位者が当該キーを変更しない限り、その効力
が発揮されないようにすることができ、しかも、この方
法を適用するか否かをファイル登録時に選択的に設定可
能となる。

【００２１】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を参照して説明する。図１は、本実施の形態に係
る携帯可能電子装置としてのＩＣカードが適用される、
たとえば、金融システムあるいはショッピングシステム
などの端末装置として用いられるカード取扱装置の構成
例を示すものである。すなわち、この装置は、ＩＣカー
ド１をカードリーダ・ライタ２を介してＣＰＵなどから
なる制御部３と接続可能とするとともに、制御部３にキ
ーボード４、ＣＲＴディスプレイ装置５、プリンタ６、
および、フロッピーディスク装置７を接続して構成され
る。

【００２２】図２は、ＩＣカード１の構成例を示すもの
であり、制御部としての制御素子（たとえば、ＣＰＵ）
１１、記憶内容が消去可能な不揮発性のデータメモリ１
２、ワーキングメモリ１３、プログラムメモリ１４、お
よび、カードリーダ・ライタ２との電気的接触を得るた
めのコンタクト部１５によって構成されている。これら
のうち、破線内の部分（制御素子１１、データメモリ１
２、ワーキングメモリ１３、プログラムメモリ１４）は
１つ（あるいは複数）のＩＣチップで構成されてＩＣカ
ード本体内に埋設されている。

【００２３】データメモリ１２は、各種データの記憶に
使用され、たとえば、ＥＥＰＲＯＭなどで構成されてい
る。ワーキングメモリ１３は、制御素子１１が処理を行
なう際の処理データを一時的に保持するためのメモリで
あり、たとえば、ＲＡＭなどで構成される。プログラム
メモリ１４は、たとえば、マスクＲＯＭで構成されてお
り、制御素子１１のプログラムなどを記憶するものであ
る。

【００２４】データメモリ１２は、たとえば、図３に示
すように、制御領域１２０、ディレクトリ１２１、空き
領域１２２、および、エリア群１２３に分割されてい
る。エリア群１２３は、複数のデータエリアおよびキー
エリアを有することができ、かつ、データファイル（Ｄ
Ｆ）と呼ばれる概念でグループ化することができる。な
お、後述するマスタファイル（ＭＦ）は、データファイ
ルの１つの形態として一括管理される。

【００２５】データファイルは、対応するアプリケーシ
ョンにて使用されるデータエリア、および、キーエリア
を一括して管理するためのファイルである。データエリ
アは、たとえば、取引データなどのように、必要に応じ
て読み書きするためのデータを格納するエリアである。

【００２６】キーエリアは、たとえば、暗証番号などの
格納に利用されているエリアであり、書込み／書換え／
照合の対象になり、読出しはできないようになってい
る。なお、これらのエリアは、図３に示すように、エリ
ア群１２３として一括して割当てられている。また、こ
れらのファイルあるいはエリアは、データメモリ１２内
のディレクトリ１２１を用いることにより、それぞれの
物理的位置などを制御素子１１が認識するようになって
いる。

【００２７】さらに、図３の制御領域１２０には、エリ
ア群１２３の先頭アドレス情報、および、空き領域１２
２の先頭アドレス情報が格納されている。図３のディレ
クトリ１２１は、図４に示すように、各データファイル
およびエリアに対応する各種定義情報が格納される。

【００２８】図４（ａ）は、データファイルの名称を定
義する情報である。この定義情報は、ディレクトリ１２
１内でデータファイル名定義情報を識別するためのデー
タＰＴＮ、本データファイルに割当てられたファイル通
し番号ＤＦＳＮ、本データファイルの親ファイルの通し
番号ＰＦＳＮ、本データファイルに付与されたファイル
名ＤＦnameおよびその長さを示すデータＮＬ、および、
これらのデータの正当性をチェックするためのデータＢ
ＣＣから構成される。

【００２９】図４（ｂ）は、データファイルの管理情報
を定義する情報である。この定義情報は、ディレクトリ
１２１内でデータファイル名定義情報を識別するための
データＰＴＮ、本データファイルに割当てられたファイ
ル通し番号ＤＦＳＮ、本データファイルの親ファイルの
通し番号ＰＦＳＮ、データファイルサイズＤＦＳ、本デ
ータファイルの付加情報が格納されるデータエリアを識
別するためのＡＡＩＤ、当該付加情報を出力するか否か
などを規定するＴＹＰＥ、キーの種別を禁止するＵＣ
Ｆ、データファイルのアクセス条件を示すＤＦＡＣ、本
データファイルの状態を保持するためのＤＦＳＴ、本デ
ータファイルの配下に位置するデータファイルおよびエ
リアにより使用されているバイト数ＵＳ、および、これ
らのデータの正当性をチェックするためのデータＢＣＣ
から構成される。

【００３０】また、特にＡＡＩＤは、後述するデータフ
ァイル選択コマンドにてデータファイルが選択された際
に、必要に応じてそれに示されるデータエリアの内容を
出力する。

【００３１】図４（ｃ）は、各種取引データなどを格納
するエリアを定義する情報である。この定義情報は、デ
ィレクトリ１２１内でエリア定義情報を識別するための
データＰＴＮ、本エリアが属するデータファイルの通し
番号ＤＦＳＮ、エリアに対してアクセスする際の識別番
号ＡＩＤ、エリアの先頭アドレスを示すＡＴＯＰ、エリ
アサイズを示すＡＳＩＺ、エリアのアクセス条件を示す
ＡＡＣ、エリアの状態を保持するＡＳＴ、および、これ
らのデータの正当性をチェックするためのデータＢＣＣ
から構成される。

【００３２】図４（ｄ）は、各種キーデータを格納する
エリアを定義する情報である。この定義情報は、ディレ
クトリ１２１内でキーエリア定義情報を識別するための
データＰＴＮ、本エリアが属するデータファイルの通し
番号ＤＦＳＮ、エリアに対してアクセスする際の識別番
号ＫＩＤ、エリアの先頭アドレスを示すＫＴＯＰ、エリ
アサイズを示すＫＳＩＺ、キーの種別を示すＣＦ、キー
のアクセス条件を示すＫＡＣ、キーの状態を保持するＫ
ＳＴ、および、これらのデータの正当性をチェックする
ためのデータＢＣＣから構成される。

【００３３】これらに使用されている識別情報ＰＴＮ
は、たとえば、１バイトで構成されており、データファ
イルの名称を定義するもの（図４（ａ））に対しては
‘００’が、データファイルの管理情報を定義するもの
（図４（ｂ））に対しては‘０１’が、データエリアを
定義するもの（図中（ｃ））に対しては‘０２’が、ま
た、キーエリアを定義するもの（図４（ｄ））に対して
は‘０３’が、それぞれ使用される。

【００３４】図５は、ファイルの構造例を示している。
この図において、ＤＦｎｎはデータファイルを、Ｄｎｎ
はデータエリアを、Ｋｎｎはキーエリアを、それぞれ示
している。

【００３５】図示するように、ＩＣカード１内のメモリ
１２において、マスタファイル（ＭＦ）の配下には、デ
ータファイルＤＦ１，ＤＦ２が、また、キーエリアＫ０
０，Ｋ０１、データエリアＤ００，Ｄ０１が、それぞれ
設定されている。

【００３６】また、データファイルＤＦ１の配下には、
データファイルＤＦ１−１，ＤＦ１−２が、また、キー
エリアＫ１１，Ｋ１２、データエリアＤ１１，Ｄ１２
が、それぞれ設定されている。

【００３７】また、データファイルＤＦ１−１の配下に
は、キーエリアＫ１１１，Ｋ１１２、データエリアＤ１
１１／Ｄ１１２が、また、データファイルＤＦ１−２の
配下には、キーエリアＫ１２１，Ｋ１２２、データエリ
アＤ１２１，Ｄ１２２が、それぞれ設定されている。

【００３８】一方、データファイルＤＦ２の配下には、
データファイルＤＦ２−１，ＤＦ２−２が、また、キー
エリアＫ２１，Ｋ２２、データエリアＤ２１，Ｄ２２
が、それぞれ設定されている。

【００３９】また、データファイルＤＦ２−１の配下に
は、キーエリアＫ２１１，Ｋ２１２、データエリアＤ２
１１，Ｄ２１２が、また、データファイルＤＦ２−２の
配下には、キーエリアＫ２２１，Ｋ２２２、データエリ
アＤ２２１，Ｄ２２２が、それぞれ設定されている。

【００４０】これらの各種定義情報は、一括して図６に
示すように、ディレクトリ１２１に格納される。図示す
るように、各定義情報には、ＤＦＳＮ（ファイル通し番
号）が、ファイル創成時に自動的に付与される。このＤ
ＦＳＮ、および、データファイル定義情報に格納される
親ファイルのシーケンス番号により、各ファイルの関連
状態を制御素子１１が認識する。

【００４１】たとえば、データファイルＤＦ１−１の定
義情報（通し番号＃１３）は、ＤＦＳＮが‘０３’、ま
た、ＰＦＳＮが‘０１’となっている。すなわち、本デ
ータファイルは、ファイルシーケンス番号‘０３’が創
成時に付与され、同時に本データファイルがＤＦ１の配
下に創成されることを認識し、データファイルＤＦ１の
ＤＦＳＮ（‘０１’）をＰＦＳＮとして付与する。

【００４２】図７は、データファイル（ＤＦ）創成のた
めの動作を説明するフローチヤートを示しており、以下
それについて説明する。ＩＣカード１が、外部から入力
されるデータファイル創成コマンドを受信すると、ま
ず、使用可能状態、すなわち、カレント状態となってい
るデータファイル（以後、カレントＤＦと称す）を認識
する（ＳＴ１）。特に、ＩＣカード１への電気的活性化
の直後は、カレントＤＦはマスタファイル（ＭＦ）とな
る。

【００４３】カレントＤＦを認識すると、次に、カレン
トＤＦ定義情報中のアクセス条件情報のうち、ファイル
創成に関する情報を参照する。この条件と、後述するＲ
ＡＭ上の照合状態保持領域Ａのみを比較し、アクセス条
件が要求しているキーの照合状態が確立されているか否
かを判断する（ＳＴ２）。

【００４４】もし確立されていなければ、アクセス条件
不一致を意味するレスポンス電文を出力し、コマンド待
ち状態に戻る（ＳＴ３）。また、もし確立されていれ
ば、次に、コマンド内に設定されているデータファイル
のファイル名（ＤＦ−ＩＤ）を抽出し、カレントＤＦが
有するＦＳＮと同一の値を親ＦＳＮとして有しており、
さらに、抽出したファイル名と同一のファイル名を有し
ているデータファイル定義情報が存在するか否かを確認
する（ＳＴ４）。

【００４５】もし存在するとしたら、ＩＤ重複異常を意
味するレスポンス電文を出力し、コマンド待ち状態に戻
る（ＳＴ５）。また、もし存在しないとしたら、コマン
ドにて与えられたデータファイル創成のためのデータに
より、図４（ａ）〜（ｃ）に示すデータファイル定義情
報を生成し（ＳＴ６）、これを所定領域に書込む（ＳＴ
７）。

【００４６】この書込みにおいて、書込みが正常に終了
しなかった場合（ＳＴ８）、データ書込み異常を意味す
るレスポンス電文を出力し、コマンド待ち状態に戻る
（ＳＴ９）。また、書込みが正常に終了した場合（ＳＴ
８）、正常終了を意味するレスポンス電文を出力し、コ
マンド待ち状態に戻る（ＳＴ１０）。

【００４７】図８は、キーエレメンタリファイル（Ｅ
Ｆ）創成のための動作を説明するフローチヤートを示し
ており、以下それについて説明する。ＩＣカード１が、
外部から入力されるキーＥＦ創成コマンドを受信する
と、まず、カレントＤＦを認識する（ＳＴ１１）。

【００４８】カレントＤＦを認識すると、次に、カレン
トＤＦ定義情報中のアクセス条件情報のうち、ファイル
創成に関する情報を参照する。この条件と、後述するＲ
ＡＭ上の照合状態保持領域Ａのみを比較し、アクセス条
件が要求しているキーの照合状態が確立されているか否
かを判断する（ＳＴ１２）。

【００４９】もし確立されていなければ、アクセス条件
不一致を意味するレスポンス電文を出力し、コマンド待
ち状態に戻る（ＳＴ１３）。また、もし確立されていれ
ば、次に、コマンド電文にて指示されているエレメンタ
リファイル名（ＥＦ−ＩＤ）を参照し、アクセス対象と
なっているカレントＤＦ内に、当該エレメンタリファイ
ル名が存在するか否かをチェックする（ＳＴ１４）。も
し存在する場合には、ＩＤ重複異常を示すレスポンス電
文を出力し、コマンド待ち状態に戻る（ＳＴ１５）。

【００５０】もし存在しなければ、次に、コマンド電文
にて指定されているキーＥＦのサイズデータを参照し、
アクセス対象となっているカレントＤＦ内の空き領域サ
イズと比較する（ＳＴ１６）。この比較においては、指
定されたキーＥＦのサイズに当該キーＥＦを創成した際
に使用するディレクトリ情報のサイズを加算したものに
対して、前記空き領域サイズがそれ以上であるか否かを
チェックする。もし前者が後者よりも大きい場合には、
指定サイズ異常を示すレスポンス電文を出力し、コマン
ド待ち状態に戻る（ＳＴ１７）。

【００５１】もしそうでなければ、次に、コマンド電文
にて指定されたキーのタイプと、サイズの正当性をチェ
ックする（ＳＴ１８）。このとき、キーのタイプが「認
証関連キー」となっていればサイズが例えば１０バイ
ト、また、キーのタイプが「照合キー」となっていれば
サイズは例えば３〜１８バイトであるとき、サイズが正
当であると判断する。もし正当でないと判断された場合
には、指定サイズ整合異常を示すレスポンス電文を出力
し、コマンド待ち状態に戻る（ＳＴ１９）。

【００５２】ここで、サイズが正当であったと判断され
た場合には、受信したコマンドに基づき、ディレクトリ
に格納すべきキーＥＦ定義情報を生成し（ＳＴ２０）、
これを所定領域に書込む（ＳＴ２１）。このとき、ステ
ータス情報の第８ビット目は、コマンド電文にて指定さ
れたキータイプ情報のうちの第１ビット目に依存して、
その値が決定される。すなわち、後者のビット値と同様
の値を前者のビットに設定する。

【００５３】このステータス情報の第８ビット目は、キ
ーデータの変更がなされたか否かを示すビットであり、
当該ビットが「１」の場合、変更行為がなされていない
ことを示し、また、「０」であればその行為がなされた
ことを示している。

【００５４】したがって、上記キータイプ情報の第１ビ
ット目が「１」の場合には、キー変更を行なわない限り
ステータス情報の第８ビット目が「０」とはならず、ま
た、「０」の場合には、キー変更を行なうか否かに関わ
らず、ステータス情報の第８ビット目が「０」となって
いる（つまり、書換え行為が暗黙的に行なわれたことと
等価になる）。

【００５５】上記キーＥＦ定義情報の書込みにおいて、
書込みが正常に終了しなかった場合（ＳＴ２２）、デー
タ書込み異常を意味するレスポンス電文を出力し、コマ
ンド待ち状態に戻る（ＳＴ２３）。また、書込みが正常
に終了した場合（ＳＴ２２）、正常終了を意味するレス
ポンス電文を出力し、コマンド待ち状態に戻る（ＳＴ２
４）。

【００５６】図９は、キーデータ設定のための動作を説
明するフローチヤートを示しており、以下それについて
説明する。ＩＣカード１が、外部から入力されるキーデ
ータ設定コマンドを受信すると、まず、カレントＤＦを
認識する（ＳＴ３１）。

【００５７】カレントＤＦを認識すると、次に、コマン
ド電文にて指示されているエレメンタリファイル名（Ｅ
Ｆ−ＩＤ）を参照し、アクセス対象となっているカレン
トＤＦ内に、当該エレメンタリファイル名が存在するか
否かをチェックする（ＳＴ３２）。もし存在しない場合
には、該当キーＩＤ無しを意味するレスポンス電文を出
力し、コマンド待ち状態に戻る（ＳＴ３３）。

【００５８】もし存在すれば、次に当該キーＥＦ定義情
報中のアクセス条件情報のうち、キーデータ設定に関す
る情報を参照する。この条件と、後述するＲＡＭ上の照
合状態保持領域Ａのみを比較し、アクセス条件が要求し
ているキーの照合状態が確立されているか否かを判断す
る（ＳＴ３４）。

【００５９】もし確立されていなければ、アクセス条件
不一致を意味するレスポンス電文を出力し、コマンド待
ち状態に戻る（ＳＴ３５）。また、もし確立されていれ
ば、次に、対応するキーＥＦ領域内にキーデータが存在
するか否かを確認する（ＳＴ３６）。もし存在すれば、
既存キーデータ有りを意味するレスポンスデータを出力
し、コマンド待ち状態に戻る（ＳＴ３７）。

【００６０】もし存在しなければ、コマンド電文にて指
定されたキーのタイプと、入力キーデータのサイズの正
当性をチェックする（ＳＴ３８）。このとき、キーのタ
イプが「認証関連キー」となっていればサイズが例えば
８バイト、また、キーのタイプが「照合キー」となって
いればサイズは例えば１〜１６バイトであるとき、サイ
ズが正当であると判断する。もし正当でないと判断され
た場合には、入力キーデータサイズ異常を示すレスポン
ス電文を出力し、コマンド待ち状態に戻る（ＳＴ３
９）。

【００６１】ここで、サイズが正当であったと判断され
た場合には、次に、当該キーＥＦ定義情報中にて定義さ
れているサイズと、入力されたキーデータのサイズとの
比較を行なう（ＳＴ４０）。後者のサイズに例えば
「２」を加えたものが、前者のサイズよりも大きい場合
には、領域サイズ不足を意味するレスポンス電文を出力
し、コマンド待ち状態に戻る（ＳＴ４１）。

【００６２】そうでなければ、受信したコマンドにて入
力されたキーデータに、１バイトの長さの情報および１
バイトのＢＣＣを付加して、これを当該キーＥＦ領域に
格納し（ＳＴ４２）、処理結果をレスポンス電文にて出
力し、コマンド待ち状態に戻る（ＳＴ４３）。

【００６３】図１０は、キーデータ変更のための動作を
説明するフローチヤートを示しており、以下それについ
て説明する。ＩＣカード１が、外部から入力されるキー
データ変更コマンドを受信すると、まず、カレントＤＦ
を認識する（ＳＴ５１）。

【００６４】カレントＤＦを認識すると、次に、コマン
ド電文にて指示されているエレメンタリファイル名（Ｅ
Ｆ−ＩＤ）を参照し、アクセス対象となっているカレン
トＤＦ内に、当該エレメンタリファイル名が存在するか
否かをチェックする（ＳＴ５２）。もし存在しない場合
には、該当キーＩＤ無しを意味するレスポンス電文を出
力し、コマンド待ち状態に戻る（ＳＴ５３）。

【００６５】もし存在すれば、次に当該キーＥＦ定義情
報中のアクセス条件情報のうち、キーデータ変更に関す
る情報を参照する。この条件と、後述するＲＡＭ上の照
合状態保持領域ＡおよびＢを比較し、アクセス条件が要
求しているキーの照合状態が確立されているか否かを判
断する（ＳＴ５４）。

【００６６】もし確立されていなければ、アクセス条件
不一致を意味するレスポンス電文を出力し、コマンド待
ち状態に戻る（ＳＴ５５）。また、もし確立されていれ
ば、次に、対応するキーＥＦ領域内にキーデータが存在
するか否かを確認する（ＳＴ５６）。もし存在しなけれ
ば、既存キーデータ無しを意味するレスポンスデータを
出力し、コマンド待ち状態に戻る（ＳＴ５７）。

【００６７】もし存在すれば、コマンド電文にて指定さ
れたキーのタイプと、入力キーデータのサイズの正当性
をチェックする（ＳＴ５８）。このとき、キーのタイプ
が「認証関連キー」となっていればサイズが例えば８バ
イト、また、キーのタイプが「照合キー」となっていれ
ばサイズは例えば１〜１６バイトであるとき、サイズが
正当であると判断する。もし正当でないと判断された場
合には、入力キーデータサイズ異常を示すレスポンス電
文を出力し、コマンド待ち状態に戻る（ＳＴ５９）。

【００６８】ここで、サイズが正当であったと判断され
た場合には、次に、当該キーＥＦ定義情報中にて定義さ
れているサイズと、入力されたキーデータのサイズとの
比較を行なう（ＳＴ６０）。後者のサイズに例えば
「２」を加えたものが、前者のサイズよりも大きい場合
には、領域サイズ不足を意味するレスポンス電文を出力
し、コマンド待ち状態に戻る（ＳＴ６１）。

【００６９】そうでなければ、受信したコマンドにて入
力されたキーデータに、１バイトの長さの情報および１
バイトのＢＣＣを付加して、これを当該キーＥＦ領域に
格納し（ＳＴ６２）、その処理結果をレスポンス電文に
て出力し、コマンド待ち状態に戻る（ＳＴ６３）。ま
た、このとき、キーＥＦ定義情報にあるステータス情報
の第８ビット目を「０」とする。

【００７０】図１１は、キー照合のための動作を説明す
るフローチヤートを示しており、以下それについて説明
する。ＩＣカード１が、外部から入力されるキー照合コ
マンドを受信すると、まず、カレントＤＦを認識する
（ＳＴ７１）。

【００７１】カレントＤＦを認識すると、次に、ディレ
クトリ１２１を検索することにより、カレントＤＦ内に
指定されたファイル名（ＩＤ）を有するキーＥＦ定義情
報が存在するか否かを確認する（ＳＴ７２）。もし存在
しない場合には、該当キーＩＤ無しを示すレスポンス電
文を出力し、コマンド待ち状態に戻る（ＳＴ７３）。

【００７２】もし存在していた場合には、当該キーがロ
ック状態になっているか否かを確認する（ＳＴ７４）。
このとき、ロック状態であると判断した場合には、キー
ロックを示すレスポンス電文を出力し、コマンド待ち状
態に戻る（ＳＴ７５）。

【００７３】もしそうでなければ、コマンド電文内のキ
ーデータと、当該キーＥＦ内に格納されているキーデー
タとを照合する（ＳＴ７６）。このとき、両者が一致し
ている場合には（ＳＴ７７）、当該キーＥＦ定義情報中
の照合ビット指定情報を参照し、所定のＲＡＭ領域の当
該情報にて指定されているビット位置を「１」にする
（ＳＴ７８）。次に、当該キーＥＦ定義情報中のキー固
有の照合不一致カウンタをクリアし（ＳＴ７９）、正常
終了を示すレスポンス電文を出力して、コマンド待ち状
態に戻る（ＳＴ８０）。

【００７４】なお、所定のＲＡＭ領域は、照合状態保持
領域ＡおよびＢに分割されている。どちらの領域の対応
ビットを「１」にするかは、当該キーＥＦ定義情報中の
キーのステータス情報の第８ビット目の値に依存する。
このビットは、当該キーＥＦ定義情報により定義づけら
れているキーに対し、変更処理が行なわれたか否かを示
すものであり、後述するように、「０」となっていれば
変更されたキーであり、「１」となっていれば変更処理
が行なわれていないキーであることを示す。さらに、こ
れが「０」となっていた場合には、前記照合状態保持領
域Ａの、また、「１」となっていれば、前記照合状態保
持領域Ｂの、対応ビットを設定することになる。

【００７５】また、キー照合処理において、不一致であ
ると判断した場合には（ＳＴ７７）、まず、当該キーＥ
Ｆ定義情報中の照合ビット指定情報、および、ステータ
ス情報を参照し、上記と同様の手順にしたがって、照合
状態保持領域ＡまたはＢのいずれかの領域の所定ビット
を「０」にする（ＳＴ８１）。

【００７６】次に、キー固有の照合不一致カウンタを１
つだけインクリメントする（ＳＴ８２）。このとき、キ
ーＥＦ定義情報中のカウント最大値に達していない場合
には（ＳＴ８３）、照合不一致を示すレスポンス電文を
出力し、コマンド待ち状態に戻る（ＳＴ８４）。また、
最大値に達していたならば、キーロック済みを示すレス
ポンス電文を出力し、コマンド待ち状態に戻る（ＳＴ８
５）。

【００７７】図１２は、データＥＦへのアクセスのため
の動作を説明するフローチヤートを示しており、以下そ
れについて説明する。ＩＣカード１が、外部から入力さ
れるデータＥＦアクセスコマンドを受信すると、まず、
カレントＤＦを認識する（ＳＴ９１）。

【００７８】カレントＤＦを認識すると、次に、コマン
ド電文にて指示されているエレメンタリファイル名（Ｅ
Ｆ−ＩＤ）を参照し、アクセス対象となっているカレン
トＤＦ内に、当該エレメンタリファイル名が存在するか
否かをチェックする（ＳＴ９２）。もし存在しない場合
には、該当キーＩＤ無しを意味するレスポンス電文を出
力し、コマンド待ち状態に戻る（ＳＴ９３）。

【００７９】もし存在すれば、次に当該データＥＦ定義
情報中のアクセス条件情報のうち、アクセスのタイプ
（データ読出し／書込み／変更）に対応するアクセス条
件情報を参照する。この条件と、後述するＲＡＭ上の照
合状態保持領域Ａを比較し、アクセス条件が要求してい
るキーの照合状態が確立されているか否かを判断する
（ＳＴ９４）。

【００８０】もし確立されていなければ、アクセス条件
不一致を意味するレスポンス電文を出力し、コマンド待
ち状態に戻る（ＳＴ９５）。もし確立されていれば、次
に、対応するデータＥＦ領域内に対してアクセスを行な
い（ＳＴ９６）、その処理結果をレスポンス電文として
出力し、コマンド待ち状態に戻る（ＳＴ９７）。

【００８１】これによれば、たとえば、アプリケーショ
ン提供者キー（トランスポートキー）を設定するアクセ
ス条件として、その上位者である発行者のキーが必要で
あり、また、アプリケーション提供者トランスポートキ
ーの変更は、当該キーの照合により可能となるように設
定しておき、他のアクセスコマンドを実行する際には、
アプリケーション提供者のキー照合が必要なように設定
されているとする。

【００８２】この場合、変更前のアプリケーション提供
者トランスポートキーの照合結果は、照合状態保持領域
Ｂに格納される。したがって、他のアクセスがアプリケ
ーション提供者キーの照合が必要となっていても、これ
らのアクセスに使用される照合状態保持領域Ａには照合
結果が反映されず、よって、当該キーの効果が発揮され
ていないことが実現できる。

【００８３】また、当該キー変更の場合に限っては、照
合状態保持領域ＡおよびＢを参照するため、変更前にお
いても確立された照合状態が参照でき、したがって、キ
ー変更行為が許可される。

【００８４】また、キー変更後のキーの照合により、照
合状態保持領域Ａに照合状態が反映されるため、以降の
他のアクセスに関して効果が発揮されたことになる。ま
た、本実施の形態のように、キーＥＦ創成時に入力され
るキーのタイプ情報により、この時点で変更がなされた
ことを疑似的に行なわせるか否かを設定できるため、ア
プリケーション提供者個々の要求により、上位者である
カード発行者が種々のタイプを選択的に設定することが
可能となる。

【００８５】なお、前記実施の形態では、キーのタイプ
情報から、あらかじめキーの変更がなされたか否かを示
すステータス情報を設定するタイミングとして、キーＥ
Ｆ創成コマンド処理中になっているが、たとえば、キー
を設置するコマンド処理中に行なってもよい。

【００８６】また、前記実施の形態では、ファイル管理
を行なう電子機器としてＩＣカードを例示したが、これ
に限定されることなく、ファイル管理を必要とするメモ
リを備えた電子機器であれば適用可能である。

【００８７】

【発明の効果】以上詳述したように本発明によれば、ト
ランスポートキーを上位者から下位者に渡した後、下位
者が当該キーを変更しない限り、その効力が発揮されな
いようにすることができ、セキュリティ性に優れたファ
イル管理方法を提供できる。

【図面の簡単な説明】

【図１】本発明の実施の形態に係るＩＣカードが適用さ
れるカード取扱装置の構成例を示すブロック図。

【図２】ＩＣカードの構成例を示すブロック図。

【図３】データメモリの構成例を示すメモリマップ図。

【図４】各種定義情報のフォーマット例を示す図。

【図５】データメモリ内に設定されるファイルの構造例
を示す図。

【図６】データメモリ内に設定されるディレクトリの構
成例を示す図。

【図７】データファイル創成のための動作を説明するフ
ローチャート。

【図８】キーエレメンタリファイル創成のための動作を
説明するフローチャート。

【図９】キーデータ設定のための動作を説明するフロー
チャート。

【図１０】キーデータ変更のための動作を説明するフロ
ーチャート。

【図１１】キー照合のための動作を説明するフローチャ
ート。

【図１２】データエレメンタリファイルへのアクセスの
ための動作を説明するフローチャート。

【符号の説明】

１……ＩＣカード、２……カードリーダ・ライタ、３…
…制御部、４……キーボード、５……ＣＲＴディスプレ
イ装置、１１……制御素子、１２……データメモリ、１
３……ワーキングメモリ、１４……プログラムメモリ、
１５……コンタクト部、１２０……制御領域、１２１…
…ディレクトリ、１２３……エリア群。

Claims (7)

【特許請求の範囲】
1. 【請求項１】 メモリを複数のファイルに分割し、この
   分割した複数のファイルを、キーの照合をアクセスの条
   件としてそれぞれ管理するファイル管理方法において、 キーが変更されたか否かを判断し、この判断によりキー
   が変更されていないと判断すると、このとき前記キーの
   照合を行なった場合、アクセスの条件として満たされな
   い状態とし、キーが変更されたと判断すると、このとき
   前記キーの照合を行なった場合、アクセスの条件として
   満たされた状態とすることを特徴とするファイル管理方
   法。
2. 【請求項２】 メモリを複数のファイルに分割し、この
   分割した複数のファイルを、キーの照合をアクセスの条
   件としてそれぞれ管理するファイル管理方法において、 キーが変更されたか否かを判断し、この判断によりキー
   が変更されていないと判断すると、このとき前記キーの
   照合を行なった場合、キーの変更以外のアクセスの条件
   として満たされない状態とし、キーが変更されたと判断
   すると、このとき前記キーの照合を行なった場合、アク
   セスの条件として満たされた状態とすることを特徴とす
   るファイル管理方法。
3. 【請求項３】 メモリを複数のファイルに分割し、この
   分割した複数のファイルを、キーの照合をアクセスの条
   件としてそれぞれ管理するファイル管理方法において、 キーが変更されたか否かを判断し、この判断によりキー
   が変更されていないと判断すると、このとき前記キーの
   照合を行なった場合、アクセスの条件として満たされな
   い状態とし、キーが変更されたと判断すると、このとき
   前記キーの照合を行なった場合、アクセスの条件として
   満たされた状態とするか、または、キーが変更されたか
   否かにかかわらず、前記キーの照合を行なった場合、ア
   クセスの条件として満たされた状態とするかのいずれか
   を選択できることを特徴とするファイル管理方法。
4. 【請求項４】 メモリを複数のファイルに分割し、この
   分割した複数のファイルを、キーの照合をアクセスの条
   件としてそれぞれ管理するファイル管理方法において、 キーが変更されたか否かを判断し、この判断によりキー
   が変更されていないと判断すると、このとき前記キーの
   照合を行なった場合、キーの変更以外のアクセスの条件
   として満たされない状態とし、キーが変更されたと判断
   すると、このとき前記キーの照合を行なった場合、アク
   セスの条件として満たされた状態とするか、または、キ
   ーが変更されたか否かにかかわらず、前記キーの照合を
   行なった場合、アクセスの条件として満たされた状態と
   するかのいずれかを選択できることを特徴とするファイ
   ル管理方法。
5. 【請求項５】 メモリを複数のファイルに分割し、この
   分割した複数のファイルを、キーの照合をアクセスの条
   件としてそれぞれ管理するファイル管理方法において、 キーが変更されたか否かを判断し、この判断によりキー
   が変更されていないと判断すると、このとき前記キーの
   照合を行なった場合、アクセスの条件として満たされな
   い状態とし、キーが変更されたと判断すると、このとき
   前記キーの照合を行なった場合、アクセスの条件として
   満たされた状態とするか、または、キーが変更されたか
   否かにかかわらず、前記キーの照合を行なった場合、ア
   クセスの条件として満たされた状態とするかのいずれか
   を選択するもので、この選択を指示するための属性情報
   を前記キーに設定することを特徴とするファイル管理方
   法。
6. 【請求項６】 メモリを複数のファイルに分割し、この
   分割した複数のファイルを、キーの照合をアクセスの条
   件としてそれぞれ管理するファイル管理方法において、 キーが変更されたか否かを判断し、この判断によりキー
   が変更されていないと判断すると、このとき前記キーの
   照合を行なった場合、キーの変更以外のアクセスの条件
   として満たされない状態とし、キーが変更されたと判断
   すると、このとき前記キーの照合を行なった場合、アク
   セスの条件として満たされた状態とするか、または、キ
   ーが変更されたか否かにかかわらず、前記キーの照合を
   行なった場合、アクセスの条件として満たされた状態と
   するかのいずれかを選択するもので、この選択を指示す
   るための属性情報を前記キーに設定することを特徴とす
   るファイル管理方法。
7. 【請求項７】 少なくともメモリを備え、このメモリは
   複数のファイルに分割され、この分割された複数のファ
   イルごとにデータが格納されるＩＣカードにおいて、 前記複数のファイルを、キーの照合をアクセスの条件と
   してそれぞれ管理するファイル管理方法であって、 キーが変更されたか否かを判断し、この判断によりキー
   が変更されていないと判断すると、このとき前記キーの
   照合を行なった場合、アクセスの条件として満たされな
   い状態とし、キーが変更されたと判断すると、このとき
   前記キーの照合を行なった場合、アクセスの条件として
   満たされた状態とすることを特徴とするＩＣカードのフ
   ァイル管理方法。