JPH11282992A

JPH11282992A - Ｉｃカード

Info

Publication number: JPH11282992A
Application number: JP10085642A
Authority: JP
Inventors: Yasuhiro Ito; 伊藤泰宏; Mayumi Inada; 稲田真弓
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 1998-03-31
Filing date: 1998-03-31
Publication date: 1999-10-15

Abstract

(57)【要約】【課題】本発明は上記課題を解決するためのもの
で、検査目的の書き換え機能と偽造防止目的の書き換え
禁止機能とを持たせられるようにすることを目的とす
る。【解決手段】接続装置からの命令を解釈し、処理を実
行して処理結果をレスポンスとして接続装置に返すＥＥ
ＰＲＯＭを有するＩＣカードにおいて、活性化から非活
性化の間に必ずアクセスされる不揮発性メモリの特定領
域に製造検査中か製造検査完了かを示すデータを記録
し、前記特定領域へのアクセス時の解析結果に応じて不
揮発性メモリへの書き込み処理の許可、不許可を切り換
えるようにしたものである。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は書き換え禁止機能を
持たせたＩＣカードに関するものである。

【０００２】

【従来の技術】近年、プリペイドカード等さまざまな形
でＩＣＣが使用され、ＣＰＵを内蔵して利便性の観点か
らいろいろな機能が付加されて汎用性を持たせたものが
開発されている。このような従来のＩＣＣについて概略
説明する。図７において、ＣＰＵを内蔵したＩＣＣ１
は、接続装置２（インターフェース・デバイス：ＩＦ
Ｄ）からの処理要求であるコマンド（命令）を受け付け
るコマンド入力部１１、受け付けたコマンドを解析する
コマンド解析部１２、解析したコマンドに基づき要求さ
れている処理を実行する要求処理実行部１３、処理の実
行過程においてアクセスされるメモリ（不揮発性メモリ
を含む）１４、処理結果をレスポンスとして接続装置２
へ返すレスポンス出力部とからなっている。

【０００３】接続装置２とＩＣＣ１の間で交換される情
報（コマンド、レスポンス）の最小単位はキャラクタで
あり、図８に示すように、先頭からスタートビット（Ｓ
Ｔ）、８個のデータビット（ａ〜ｈ）・パリティビット
（ｉ）の順に送信され、直後にキャラクタ保護時間（Ｇ
Ｔ）が１ビット以上続く形になっている。

【０００４】このようなキャラクタ複数個から、図９に
示すような情報ブロックが構成される。情報ブロック
は、先頭フィールド、情報フィールド（ＩＮＦ）、最終
フィールドからなり、先頭フィールドは、ブロックの送
信元のアドレス、あて先アドレス及びＶＰＰ端子の状態
制御を示すノードアドレス（ＮＡＤ）１バイト、伝送制
御情報を含むプロトコル制御バイト（ＰＣＢ）１バイ
ト、および情報フィールド長（ＬＥＮ）１バイトからな
り、情報フィールドは、最大２５４バイトまで挿入可能
であり、ブロックの最後は必ず誤り検出符合（ＥＤＣ）
１または２バイトとなる。なお、各１バイトには、実際
にはＳＴビット、パリティ検査ビット、ＧＴが付加され
ている。

【０００５】接続装置２からＩＣＣ１に送られるコマン
ドは図９に示すブロックの情報フィールド内に収めら
れ、図１０に示すように、見出し部と本体部から構成さ
れる。見出し部は、ＩＳＯのコマンドか否かを示すクラ
スバイト（ＣＬＡ）、命令コード（ＩＮＳ）、アクセス
するファイルを指示するパラメータＰ１、Ｐ２からな
り、本体部はコマンドデータフィールドバイト長（Ｌ
ｃ）、コマンドデータフィールド（ｃデータ：可変
長）、レスポンスデータフィールド長（Ｌｅ）からなっ
ている。

【０００６】また、ＩＣＣ１から接続装置２へ送られる
レスポンスは、図１１に示すように、本体部、後続部か
らなり、先頭からレスポンスデータフィールド（ｒデー
タ）、処理結果を示すステータスデータバイト１（ＳＷ
１）、ステータスデータバイト２（ＳＷ２）の順に送ら
れる。

【０００７】

【発明が解決しようとする課題】ＩＣカードに内蔵され
る不揮発性メモリはＩＣ製造検査段階では書き込み機能
が正常に動作するか否かを確認するために書き換え機能
を有する必要がある。しかし、ＩＣチップをカードに実
装し、ＩＣカードとして発行した後の実使用環境では、
カードＩＤ等の更新されてはならない情報が存在する。
不揮発性メモリへの書き込みは、少なくとも数バイトの
一括した単位でしか書けないようになっているが、その
ための書き換え禁止機能の実現方法としては、容量の大
きな不揮発性メモリの場合、書き換え単位に対応した書
き換え禁止情報を専用に格納する部分を設置している。
これらの書き換え禁止情報は製造検査段階までは禁止、
許可の双方向に設定可能であるが、製造検査完了後に物
理的加工によって、例えば高電圧を印加することによ
り、書き込み線を切断し、禁止方向にしか設定できない
ように限定している。

【０００８】しかし、このような方式では、製造検査完了後に物理的加工を必要とする。不揮発性メモリの容量が小さく、かつ書き換え単位が
細かい場合、書き換え禁止情報を専用に格納する部分の
チップ面積が相対的に大きくなる。これは、例えば図１
２（ａ）に示すように書き込み単位が大きい場合の書き
換え禁止情報であるカードＩＤの格納領域（図の斜線部
分）の占める部分のチップ面積は相対的に小さいが、図
１２（ｂ）に示すように、書き込み単位が小さくなった
時、この専用のカードＩＤ格納領域が占める部分のチッ
プ面積が相対的に大きくなってしまい、このため、製造
コスト上の問題が発生する。

【０００９】本発明は上記課題を解決するためのもの
で、検査目的の書き換え機能と偽造防止目的の書き換え
禁止機能とを持たせられるようにすることを目的とす
る。

【００１０】

【課題を解決するための手段】本発明は、接続装置から
の命令を解釈し、処理を実行して処理結果をレスポンス
として接続装置に返す不揮発性メモリを有するＩＣカー
ドにおいて、活性化から非活性化の間に必ずアクセスさ
れる不揮発性メモリの特定領域に製造検査中か製造検査
完了かを示すデータを記録し、前記特定領域へのアクセ
ス時の解析結果に応じて不揮発性メモリへの書き込み処
理の許可、不許可を切り換えるようにしたことを特徴と
する。

【００１１】

【発明の実施の形態】以下本発明の実施の形態について
説明する。以下で対象とするＩＣカードは図７〜図１２
で説明したと同様な構成を有する不揮発性メモリを備え
たＩＣカードである。一般に、使い捨てタイプのプリペ
イド方式のＩＣカードにおいて、使用済みＩＣカードの
カードＩＤ（各々のカードに固有な情報）を書き換え、
あたかも新規なＩＣカードであるかのような偽造が行わ
れるのを防止する必要がある。そのため、ＩＣカードに
内蔵される不揮発性メモリには検査目的の書き換え機能
と偽造防止目的の書き換え禁止機能が要求されている。
これら２つの目的を達成するために、本発明は活性化の
応答としてテストデータを出力する場合は書き込み禁止
条件を解除し、正しい初期応答データを出力する場合
は、書き込み禁止条件を保持するようにしたものであ
る。

【００１２】図１はＩＣカードの活性化を説明する図で
ある。ＩＣカードの活性化は接続装置２で開始される。
接続装置２からは電源電圧の供給、クロック信号の供給
が行われると共に、リセット信号が与えられて、これが
解除されるとＩＣカード１は接続装置２に対して初期応
答動作を実行する。初期応答動作では情報交換のパラメ
ータであるＡＴＲ信号を送出する。ＡＴＲ信号は１０数
バイトからなるデータであるが、本発明ではその先頭８
ビットのＴＳキャラクターをＩＣカード内で監視して期
待値（例えばｈ’３Ｂ（１６進表示の３Ｂ））と比較
し、一致しない場合は発行済フラグをクリアして不揮発
性メモリへの書き込み処理を許可し、一致した場合は発
行済フラグをクリアして不揮発性メモリへの書き込み処
理を不許可とするものである。

【００１３】図２は不揮発性メモリのＴＳキャラクター
用エリア、カードＩＤ用エリアを説明する図で、活性化
から非活性化の間に必ずアクセスされるＴＳキャラクタ
ー用エリアにｈ’３Ｂが設定される。本発明では、製造
検査中の非活性化ではＴＳキャラクター用エリアの内容
をｈ’３Ｂ以外の値にして検査し、製造検査完了後にＴ
Ｓキャラクター用エリアにｈ’３Ｂを書き込み、ＴＳキ
ャラクター用エリアの読み出し結果に応じて製造検査中
か、製造検査完了かを判定し、製造検査中は故障検出の
ために何回でも不揮発性メモリへの書き込み処理を許可
し、製造検査完了後はカードＩＤ用エリアにカードＩＤ
を書き込む１回の処理しか許可しない。

【００１４】次に、図３〜図６を参照して製造検査中、
製造検査完了時、カードＩＤ書き込み時、カードＩＤ不
正書き込み時の初期応答処理、認証処理、カード発行処
理について説明する。なお、図３は初期応答処理フロー
を示す図、図４は認証処理フローを示す図、図５はカー
ド発行処理フローを示す図、図６は不揮発性メモリの内
容を示す図である。

【００１５】〔製造検査中における処理〕製造検査中に
おいては、図６（ａ）に示すように、活性化から非活性
化の間に必ずアクセスされる不揮発性メモリのＴＳキャ
ラクター用エリアにｈ’３Ｂ以外の任意の値が書き込ま
れており、またカードＩＤ用エリアにも任意の値が書き
込まれている。ＴＳキャラクター用エリアに書き込まれ
ている値がｈ’３Ｂ以外なので発行済フラグは初期応答
処理でクリアされる。

【００１６】図３において、ＩＣカードからの初期応答
は接続装置からのＩＣＣの活性化により始まり（ステッ
プＳ１）、初期設定（認証成功フラグクリア）（ステッ
プＳ２）、不揮発性メモリのＡＴＲデータ読み出し（ス
テップＳ３）が行われる。次いで、読み出されたＡＴＲ
データがｈ’３Ｂに一致しているか否か判断する（ステ
ップＳ４）。製造の非活性化時ではＴＳキャラクター用
エリアにはｈ’３Ｂ以外の値が書き込まれているので両
者は一致せず、発行済フラグがクリアされ（ステップＳ
５）、ＡＴＲデータを送信する。こうして製造検査中は
発行済フラグは必ずクリアされることになる。

【００１７】次いで、図４の認証処理に移行する。認証
コマンドが入力され、そのコマンドが解釈されて認証失
敗カウンタにオーバーフローが発生しているか否か判断
する（ステップＳ１１，Ｓ１２，Ｓ１３）。認証失敗カ
ウンタは、例えば連続３回失敗した場合には認証コマン
ドを受付ないようにするためのカウンタである。最初の
製造検査においては、オーバーフローが発生していない
ため、発行済フラグがクリアされているか否か判断する
（ステップＳ１４）。前述したように、製造検査中は発
行済フラグがクリアされているので、不揮発性メモリの
パスワード読み出しを行う（ステップＳ１５）。このパ
スワードはカード製造者の有するパスワードを意味して
いる。認証コマンドのパスワードと不揮発性メモリのパ
スワードとが一致しているか否か判断し（ステップＳ１
６）、製造検査中であればこれらは一致するので認証成
功フラグをセットし（ステップＳ１７）、正常コードを
設定し（ステップＳ１８）、このことをレスポンスとし
て接続装置へ送信する（ステップＳ２１）。

【００１８】次いで、図５のカード発行処理に移行す
る。まずカード発行のための書き込みコマンドを入力
し、そのコマンドを解釈する（ステップＳ３１，Ｓ３
２）。次いで、認証成功フラグがセットされているか否
か判断する（ステップＳ３３）、図４の処理で認証成功
フラグがセットされているので、不揮発性メモリにデー
タを書き込む（ステップＳ３４）。この処理はカードＩ
Ｄ用エリアに検査用の値を書き込むものである。次い
で、書き込みアドレスがカードＩＤ用のエリアが否か判
断し（ステップＳ３５）、発行済フラグをセットし（ス
テップＳ３６）、次いで正常終了コードを設定してレス
ポンスを送信する（ステップＳ３７，Ｓ３９）。

【００１９】〔製造検査完了時の処理〕製造検査完了時
における初期応答処理、認証処理は製造検査中の場合と
同じである。カード発行処理（図５）において、ステッ
プ３４で不揮発性メモリに書き込むデータをｈ’３Ｂと
する。このとき書き込みアドレスはＴＳキャラクター用
エリアにあるので、ステップ３５の判断では書き込みア
ドレスがカードＩＤと一致せず、正常終了コードが設定
され、レスポンスが送信される。従って、この状態では
書き込みアドレスがカードＩＤではなかったため発行済
フラグはセットされていない。したがって、図６（ｂ）
に示すように、ＥＥＰＲＯＭのＴＳキャラクター用エリ
アはｈ’３Ｂであり、一方、カードＩＤ用エリアは任意
の値のままである。

【００２０】〔カードＩＤ書き込み時の処理〕図３の初
期応答処理フローにおいて、不揮発性メモリのＴＳキャ
ラクター用エリアがｈ’３Ｂになっているため、ステッ
プＳ４におけるＡＴＲデータがｈ’３Ｂと一致し、発行
済フラグはクリアされずにＡＴＲデータが送信される
（ステップＳ６）。次いで、認証処理（図４）に移行す
るが、認証処理は製造検査完了時と同じである。次い
で、カード発行処理（図５）に移行し、ステップ３４に
おける不揮発性メモリにデータを書き込む際の書き込み
データがカードＩＤであり、ステップ３５における書き
込みアドレスがカードＩＤ用エリアになるので、ステッ
プ３６において、発行済フラグがセットされる。従っ
て、図６（ｃ）に示すように、ＴＳキャラクター用エリ
アはｈ’３Ｂ、カードＩＤ用エリアはカードＩＤ、発行
済フラグは１となる。

【００２１】〔カード使用中のカードＩＤ不正書き換え
時〕次に、カードの使用中に発行コマンドで不正にカー
ドＩＤを書き換えようと試みた場合について説明する。
図３の初期応答処理において、ステップＳ４のＡＴＲデ
ータがｈ’３Ｂに一致しているため、発行済フラグはク
リアされず、ＡＴＲデータが送信される。次に認証処理
（図４）に移行したとき、ステップ１４で発行済フラグ
がクリアされているか判断したとき、発行済フラグはク
リアされていないため、ステップ２０のエラーコード設
定に移行し、それがレスポンスとして送信される。

【００２２】次いで、発行処理（図５）に移った時、書
き換えコマンドを入力すると、ステップ３３における認
証成功フラグがセットされているか否かの判断におい
て、認証成功フラグはセットされていないため、エラー
コード設定ステップＳ３８に移行し、それがレスポンス
として送信される。その結果、カードＩＤの書き換えは
不可能であり、図６（ｄ）に示すように、カードＩＤは
更新されない。

【００２３】このように製造検査段階ではＴＳキャラク
ターの対応するアドレスにｈ’３Ｂ以外の値を書き込ん
で検査するので、カードＩＤに任意の値を書き込み、発
行済フラグがセットされても初期応答動作でこのフラグ
はクリアされて、繰り返し検査が可能となる。また、製
造検査完了後のカードＩＤには書き込みを実行せずに、
ＴＳキャラクターの対応するアドレスにｈ’３Ｂを書き
込み、このＩＣチップをカードに実装し、この状態のＩ
Ｃカードを端末装置で活性化した場合、認証コマンド、
カードＩＤに対する発行コマンドの順に実行すると、発
行済フラグがセットされる。そして、実際の利用環境で
の初期応答動作では、ＴＳキャラクターがｈ’３Ｂなの
で、発行済フラグはセットされたままであり、認証コマ
ンドが実行できない。これにより、ＡＴＲやカードＩＤ
の書き換えの前提となる発行コマンドも実行することが
できない。

【００２４】

【発明の効果】以上のように本発明によれば、活性化の
応答してテストデータを出力する場合は書き込み禁止条
件を解除し、正しい初期応答データを出力する場合、書
き込み禁止条件を保持するようにしたので、製造検査中
は故障検出のために何回でも不揮発性メモリの書き込み
処理が可能であり、製造検査完了後はカードＩＤの書き
込み処理のみ実行でき、運用中での書き換えを防止する
ことができる。また、製造検査中か製造検査完了かを検
知するデータを複数ビットにコード化したため、最初の
製造検査で偶発的に間違って製造完了と判定される可能
性を軽減することができる。

【図面の簡単な説明】

【図１】ＩＣカードの活性化を説明する図である。

【図２】不揮発性メモリのＴＳキャラクター用エリ
ア、カードＩＤ用エリアを説明する図である。

【図３】初期応答処理を説明する図である。

【図４】認証処理を説明する図である。

【図５】カード発行処理を説明する図である。

【図６】不揮発性メモリの内容を示す図である。

【図７】従来のＩＣＣを説明する概略図である。

【図８】キャラクタを説明する図である。

【図９】ブロックを説明する図である。

【図１０】コマンドを説明する図である。

【図１１】レスポンスを説明する図である。

【図１２】レスポンスを説明する図である。

【符号の説明】

Claims

【特許請求の範囲】

【請求項１】接続装置からの命令を解釈し、処理を実
行して処理結果をレスポンスとして接続装置に返す不揮
発性メモリを有するＩＣカードにおいて、活性化から非
活性化の間に必ずアクセスされる不揮発性メモリの特定
領域に製造検査中か製造検査完了かを示すデータを記録
し、前記特定領域へのアクセス時の解析結果に応じて不
揮発性メモリへの書き込み処理の許可、不許可を切り換
えるようにしたことを特徴とするＩＣカード。