(57)【要約】【課題】携帯型電子装置のデータの書き換えの際に異常が生じた場合に、高速に該携帯型電子装置のデータ修復を行うことが可能な技術を提供すること。【解決手段】外部装置と通信する通信手段１０５と、書き換え対象のデータを記憶する第１の記憶手段１０４と、前記第１の記憶手段に記憶された書き換え対象のデータの退避先として、この書き換え対象のデータを記憶する第２の記憶手段１０４と、前記第１の記憶手段に記憶されている書き換え対象のデータを前記第２の記憶手段へ退避させた後に、前記第１の記憶手段に記憶されている書き換え対象のデータを書き換える書換制御手段１０１と、を備え、前記書換制御手段は、書き換え対象のデータの書き換えが正常に終了しなかった場合に、動作可能となった時点でエラー処理を実行する。【選択図】      図１
2008009521.tif 000002
【特許請求の範囲】
【請求項１】
外部装置と通信する通信手段と、
書き換え対象のデータを記憶する第１の記憶手段と、
前記第１の記憶手段に記憶された書き換え対象のデータの退避先として、この書き換え対象のデータを記憶する第２の記憶手段と、
前記第１の記憶手段に記憶されている書き換え対象のデータを前記第２の記憶手段へ退避させた後に、前記第１の記憶手段に記憶されている書き換え対象のデータを書き換える書換制御手段と、を備え、
前記書換制御手段は、書き換え対象のデータの書き換えが正常に終了しなかった場合に、動作可能となった時点でエラー処理を実行することを特徴とする携帯型電子装置。
【請求項２】
請求項１に記載の携帯型電子装置において、前記エラー処理は、前記外部装置との通信が確立する前に実行されることを特徴とする携帯型電子装置。
【請求項３】
請求項１又は請求項２に記載の携帯型電子装置において、前記エラー処理は、前記第２の記憶手段に待避させたデータの削除処理と、前記第２の記憶手段に待避させたデータの第１の記憶手段への書き戻し処理とを含むことを特徴とする携帯型電子装置。
【請求項４】
請求項１から請求項３のいずれか１項に記載の携帯型電子装置において、前記第１の記憶手段に記憶されている書き換え対象のデータの前記第２の記憶手段への退避は、所定の処理の実行後に行われることを特徴とする携帯型電子装置。
【請求項５】
請求項４に記載の携帯型電子装置において、前記所定の処理は、所定のコマンドの実行、相互認証の完了を含むことを特徴とする携帯型電子装置。
【請求項６】
請求項１に記載の携帯型電子装置において、
前記第１の記憶手段と、前記第２の記憶手段と、前記書換制御手段とを備えたモジュールと、
このモジュールが埋設された本体とを具備することを特徴とする携帯型電子装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＣチップを内蔵した例えばＩＣカードのような携帯型電子装置に関する。
【背景技術】
【０００２】
従来、無線ＩＣカードのデータ書き換えに関しては、無線ＩＣカードが、外部装置（無線ＩＣカードリーダライタ）からのデータ書き換えコマンドと書き換えデータを受信すると、無線ＩＣカードのＣＰＵあるいはシーケンサによる書き換え処理手続きを経て、無線ＩＣカードの不揮発性メモリのデータが書き換えられる。
【０００３】
一般に、無線ＩＣカードに内蔵される不揮発性メモリの書き換えには、数ミリ秒の時間が必要である。無線ＩＣカードのＣＰＵあるいはシーケンサは、書き換え終了までに必要な時間あるいは書き換え終了を示す信号を受信した後、書き換えたデータをベリファイし、書き換え結果の正常／異常を外部装置（無線ＩＣカードリーダライタ）へ返信する。
【０００４】
無線ＩＣカードは、外部装置（無線ＩＣカードリーダライタ）に近づくことにより、磁界をエネルギーとして無結線状態で動作する。このため、無線ＩＣカードは、外部装置（無線ＩＣカードリーダライタ）から離れて、動作に必要なエネルギーの供給を受けなくなると動作が途中で中断する。
【０００５】
そこで、本発明の発明者は、次のような発明を提案している（特許文献１：特開２００５−２７５６２１号公報参照）。本発明によれば、まず、データ書換えを行うとき、書換えコマンド受信前に事前に書換え対象エリアのデータを退避させた後に、書き換えたいデータを書き換え対象エリアに書き込むようにしている。なお、退避エリアのデータは、書き換えが完了した時点で消去するようにしている。この一連の動作が途中で中断した場合は、書換えが失敗したことを意味する。従って、その場合には上位装置にエラー情報を返信するか、あるいは無線ＩＣカードが書き込み中に無線ＩＣカードリーダライタから離れた場合や、カードが再度リーダライタに近づいたときに、書換え異常が発生していたことをリーダライタ側に通信することで、上位装置からのコマンドに従い以前のデータを修復可能としている。
【特許文献１】特開２００５−２７５６２１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
本発明は、携帯型電子装置のデータの書き換えの際に異常が生じた場合に、高速に該携帯型電子装置のデータ修復を行うことが可能な技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明では、携帯型電子装置が書換え不成功になった場合に、上位装置からのコマンドを待たずに、携帯型電子装置自身でデータの修復を行うようにしている。なお、修復が行われた結果は上位装置に通知することで、システムとしての一貫性は損なわれることはない。また、不正にデータを書き換えられることを想定して、上位装置は携帯型電子装置内のデータは常にログを取ることで、一貫性は実現できる。
【０００８】
具体的には、本発明の局面に係る発明は、外部装置と通信する通信手段と、書き換え対象のデータを記憶する第１の記憶手段と、前記第１の記憶手段に記憶された書き換え対象のデータの退避先として、この書き換え対象のデータを記憶する第２の記憶手段と、前記第１の記憶手段に記憶されている書き換え対象のデータを前記第２の記憶手段へ退避させた後に、前記第１の記憶手段に記憶されている書き換え対象のデータを書き換える書換制御手段と、を備え、前記書換制御手段は、書き換え対象のデータの書き換えが正常に終了しなかった場合に、動作可能となった時点でエラー処理を実行することを特徴とする。
【発明の効果】
【０００９】
本発明によれば、データの修復を携帯型電子装置自身の判断で実行することで、処理の都度上位装置や携帯型電子装置とリーダライタ間での通信を発生させることなく、修復が完了した時点で通信を発生させるようにしている。これにより、全体としても処理時間あるいは、システムの負荷を軽減できる。
【発明を実施するための最良の形態】
【００１０】
図面を参照して本発明の実施の形態を説明する。図１は、本発明の一実施形態に係る電子処理システムの概略構成を示す図である。図１に示すように、電子処理システムは、携帯型電子装置としての無線ＩＣカード本体１と、外部装置や処理端末としての無線ＩＣカードリーダライタ２により構成される。
【００１１】
無線ＩＣカード本体１は、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、不揮発性メモリ１０４、データ入出力部１０５、及びシステムコントローラ１０６などを有し、無線ＩＣカード本体１に埋設されるＩＣモジュールＭを備えている。この無線ＩＣカード本体１は、例えば無線ＩＣカードリーダライタ２から誘導結合により動作電力の供給を受ける無線インタフェースで通信する非接触カードである。
【００１２】
ＣＰＵ１０１は、全体の動作を制御する。ＲＯＭ１０２は、ＣＰＵ１０１が実行するプログラムを記憶する。ＲＡＭ１０３は、例えば書き換え処理に必要なデータを一時的に記憶する。本実施形態では、ＲＯＭ１０２は、例えば、次のような動作を実行するプログラムを記憶している。なお、プログラムは、単一のプログラムであっても、複数の機能を複数のモジュールで実行するように構成されていても良い。この、プログラムは、通常の制御プログラムの他に、本実施形態では、（１）所定の処理、例えば無線ＩＣカードリーダライタ２からの所定コマンドの受信（例えば無線ＩＣカードリーダライタ２との間の相互認証完了の通知）に対応して、書き換えコマンドの受信や書き換え対象のデータを予測する。（２）不揮発性メモリ１０４の第１の記憶エリアに記憶されている書き換え対象のデータを不揮発性メモリ１０４の第２の記憶エリアへ退避させる。（３）退避処理完了後に書き換えコマンドの受信に対応して第１の記憶エリアに記憶されている書き換え対象のデータを書き換える。（４）書き換えが正常に行われたら、第２の記憶エリアのデータを削除する。（５）上記の（２）〜（４）に異常が生じた場合に、詳細は後述する異常処理を実行する。そして、ＣＰＵ１０１は、上記の各プログラムを実行して、所定の処理を行う。
【００１３】
不揮発性メモリ１０４は、書き換えの対象となるデータを記憶する第１の記憶エリア、及びこの第１の記憶エリアに記憶される書き換えの対象となるデータの退避先としてこの書き換え対象のデータを一時的に記憶する第２の記憶エリアを含む。つまり、不揮発性メモリ１０４は、第１の記憶手段及び第２の記憶手段として機能する。なお、この不揮発性メモリ１０４には、プログラム等を格納することも可能である。
【００１４】
データ入出力部１０５は、アンテナを含み、無線ＩＣカードリーダライタ２からの各種コマンドを受信したり、無線ＩＣカードリーダライタ２に対して各種応答を送信したりする。つまり、データ入出力部１０５は、外部装置と通信する通信手段として機能する。システムコントローラ１０６は、各部間の信号の伝達を制御する。
【００１５】
無線ＩＣカードリーダライタ２は、ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、データ入出力部２０５、及びシステムコントローラ２０６などを備えている。この無線ＩＣカードリーダライタ２は、無線ＩＣカード本体１に対して各種コマンドを送信し、無線ＩＣカード本体１から返信される応答を受信する。無線ＩＣカードリーダライタ２には、上位装置（複数の端末装置や中継装置を管理する装置を本明細書では、「上位装置」と称する）が接続されている。この上位装置は、ネットワークで接続されオンラインで集中管理システムに結ばれ、カードの処理を行なうことも可能であるし、ローカルな処理をするだけの場合もある。本実施態様では、無線ＩＣカードリーダライタ２は、例えば、無線ＩＣカードに対して書き換えコマンド及び書き換えデータを送信し、無線ＩＣカードの書き換え対象のデータを書き換える。
【００１６】
ＣＰＵ２０１は、全体の動作を制御し、例えば各種コマンドの発行を指示する。つまり、ＣＰＵ２０１は、コマンド発行手段として機能する。ＲＯＭ２０２は、ＣＰＵ２０１の動作プログラムを記憶する。ＲＡＭ２０３は、例えば書き換え処理において必要なデータを一時的に記憶する。
【００１７】
データ入出力部２０５は、アンテナを含み、無線ＩＣカード本体１に対して各種コマンドを送信したり、無線ＩＣカード本体１からの各種応答を受信したりする。つまり、データ入出力部２０５は、無線ＩＣカードと通信する通信手段として機能する。システムコントローラ２０６は、各部間の信号の伝達を制御する。
【００１８】
上記のような構成において、例えば、買い物に伴い、所定残額（￥１００００）が書き込まれている無線ＩＣカードから、利用金額（￥１０００）の引き去りを行なうとする。無線ＩＣカード内で、所定残額（￥１００００）が不揮発性メモリから読み出され、ＲＡＭに設定される。続いて、無線ＩＣカード内で、所定残額（￥１００００）から利用金額（￥１０００）を引き去った結果（￥９０００）が不揮発性メモリに書き込まれる。このとき、無線ＩＣカードが無線ＩＣカードリーダライタから十分な電力を得られず書き換え異常になると、無線ＩＣカードの不揮発性メモリには当初の所定残額（￥１００００）、引き去り結果（￥９０００）、あるいは全く関連の無いデータが書き込まれた状態となる。この場合、再度、カード処理を最初から始めようとしても、正しいデータ（当初の所定残額）が分からない。仮に、無線ＩＣカード内の不揮発性メモリに所定のデータ（￥９０００）が書き込まれていたとしても、無線ＩＣカードリーダライタ側では、この所定のデータが当初の所定残額なのか引き去り結果なのか判断できない。このため、特許文献１では、書換処理において、退避処理正常終了を示すフラグを保持することにより、このような問題を解消している。
【００１９】
以下、上記のように構成された電子処理システムの基本的な動作を、図２及び図３を参照して説明する。図２は、無線ＩＣカードの書換処理を示すフローチャートである。図３は、無線ＩＣカードの書換処理中に異常処理をした場合における無線ＩＣカードの動作を示すフローチャートである。まず、図２を参照して、無線ＩＣカード本体１のデータ書き換えの流れを説明し、次に、図３を参照して、書き換えが正常に行われたかどうかに応じた処理について説明する。
【００２０】
無線ＩＣカード本体１のデータ書き換えは次のように行われる。無線ＩＣカード本体１が、無線ＩＣカードリーダライタ２との通信可能範囲内に入る（例えば、無線ＩＣカード本体１が、無線ＩＣカードリーダライタ２にかざされる）と、通信を確立するための初期化処理を行う（ステップＳ１）。なお、通信を確立するための初期化処理は、例えば、次のように行われる。また、本実施態様では、通信確立後に必ずデータの書き換えが発生するものとして、説明する。そのため、通信が確立した時点で書換処理を予測して書換対象データを待避させるために、異常処理を示すカウンタも初期化（Ｉ＝１）される。無線ＩＣカード本体１が、無線ＩＣカードリーダライタ２との通信可能範囲内に入り、無線ＩＣカードリーダライタ２からのコマンドを受信すると、初期化などの各種処理を実行し、その処理結果を無線ＩＣカードリーダライタ２へ応答する。ここにおいて、通常、無線ＩＣカードリーダライタ２及び無線ＩＣカード本体１は相互認証を行い、お互いの正当性を確認し、例えば無線ＩＣカード本体１へのアクセスが許可されることになる。その後、無線ＩＣカード本体１に対して送信されるコマンドはシステムにより異なるが、例えば特定のシステムでは一連の決まったコマンドと応答が決まった順序で送受信される。
【００２１】
上記のような初期化処理が終了すると、無線ＩＣカード本体１は、相互認証の完了によって第１の記憶エリアに記憶された書換対象データを第２の記憶エリアに待避する（ステップＳ２）。この場合において、相互認証完了によって、書換対象データを第２の記憶エリアに待避するシステムでは、相互認証によって常にデータの書き換えが発生することを意味する。このように相互認証のみならず、特定のコマンドの実行（或いは受信）後に必ずデータの書き換えが発生することがわかっているのであれば、当該コマンドの実行（或いは受信）時に書換対象データを第２の記憶エリアに待避するようにすることが好ましい。この理由は、不揮発性メモリの書き換えには、通常数ミリ秒要するので、書き込みコマンドが実行される前の特定のコマンドや相互認証時（或いは完了時）をトリガとして、待避処理を行うようにすれば、書換対象データの待避をバックグラウンドで行うことができ、時間の短縮につながるからである。
【００２２】
書換対象データの第２の記憶エリアへの待避が終了したら、待避が正常に行われたかどうかを判定し（ステップＳ３）、待避が正常に行われた場合には、カウンタをインクリメントする（ステップＳ４）。そして、書換対象データの書き換えコマンドを受信したら、書換対象データの書き換えを実行する（ステップＳ５）。なお、ステップＳ３において、待避が正常に行われなかった場合には、そのまま処理を終了（又は中断）する。なお、ステップＳ２において、書換対象データの待避中に、例えば、無線ＩＣカード本体１に電源が供給されないような状況が発生した場合も、ステップＳ３と同様に処理を中断するので、説明は省略する。なお、上記の待避処理や書換処理に、長時間要するようであれば、所定時間毎に、無線ＩＣカード本体１から無線ＩＣカードリーダライタ２にその旨の信号を送信することにより、無線ＩＣカードリーダライタ２は無線ＩＣカード本体１がビジー状態であることを知ることができるので、当該処理が終了するまで、無線ＩＣカードリーダライタ２の処理を待つようにすればよい。
【００２３】
書換対象データの書き換えが終了したら、書き換えが正常に行われたどうかを判定し（ステップＳ６）、書き換えが正常に行われた場合には、カウンタをインクリメントする（ステップＳ７）。そして、第２の記憶エリアに記憶された待避データは、この時点で不要になるので、消去される（ステップＳ８）。そして、第２の記憶エリアに記憶された待避データが正常に消去されたら（ステップＳ９のＹｅｓ）、カウンタをリセット（Ｉ＝０）し、処理を終了する。
【００２４】
なお、ステップＳ６において、書き換えが正常に行われなかった場合や、ステップＳ９において消去が正常に行われなかった場合には、そのまま処理を終了（又は中断）する。  
上記のように、本実施形態では、カウンタのカウンタ値によりどの時点でエラーが発生したかを知ることができるようにしている。例えば、  
（１）Ｉ＝１：書換対象データの待避エラー  
（２）Ｉ＝２：書換対象データの書き換えエラー  
（３）Ｉ＝３：待避データの消去エラー  
（４）Ｉ＝０：正常終了  
としている。無線ＩＣカード本体１と無線ＩＣカードリーダライタ２とを再接続した際に、無線ＩＣカード本体１がこのカウンタ値を読み込んで、このカウンタ値に対応するエラーに対する処理を実行すれば良い。なお、上記のエラーのうち、待避データの消去エラーについては、データの書き換えが正常に行われたことを意味するので、図２におけるステップＳ６で処理が正常に終了したものと判断した時点で、無線ＩＣカードリーダライタ２へ書換対象データの正常書き換えが終了した信号を送信することが好ましく、本実施形態でもそのように取り扱う。
【００２５】
図３を参照して、無線ＩＣカード本体１と無線ＩＣカードリーダライタ２とを再接続した際において、エラーが発生したことを検知した場合（すなわち、Ｉ≠０）の処理を、説明する。なお、Ｉ＝０の場合は、正常終了しているので、通常の処理を行うことになるので、説明を省略する。なお、このエラー処理は、通信の無線ＩＣカード本体１の動作が可能になった時点で実行されるものとし、無線ＩＣカードリーダライタ２との通信の確立前に実行が開始されることが好ましい。
【００２６】
無線ＩＣカード本体１は、前回の通信時において、書換対象データの書き換えが正常に終了したかどうかを判定する（ステップＳ２１）。そして、そのエラーの状況により、下記のようなエラー処理を実行する。なお、下記のエラー処理の間に、無線ＩＣカードリーダライタ２との相互認証を完了させておくことが好ましい。
【００２７】
ここで、書換対象データの待避時にエラーが発生した場合には（Ｉ＝１）、書換対象データの書き換え前であるので、書換対象データに変更はされていない。従って、第２の記憶エリアに待避されたデータ（書換対象データの一部又は全部）が消去される（ステップＳ２２）。
【００２８】
次に、書換対象データの書き換え時にエラーが発生した場合には（Ｉ＝２）、実際に書換対象データの一部又は全部が書き換えられている可能性があるので、第２の記憶エリアに待避されたデータが第１の記憶エリアに書き戻される（ステップＳ２３）。そして、無線ＩＣカードリーダライタ２との相互認証の完了を待って、この結果が無線ＩＣカードリーダライタ２に通知され（ステップＳ２５）、更に例えば、その上位装置にその旨が通知される。このとき、処理経過のログにおいて、書き換えが正常終了したログが残されており、データの不一致がみられた場合には当該ログとデータが、書き換え前のデータに訂正される。これにより、無線ＩＣカード本体１に記憶されたデータの不正な改ざんを防止できる。
【００２９】
また、書換対象データの書き換えまで正常に行われたが、待避データの消去を行う際にエラーが生じた場合には（Ｉ＝３）、第１の記憶エリアのデータは正しく書き換えられたことを意味するので、第２の記憶エリアに記憶された待避データを消去するのみでよい（ステップＳ２４）。なお、無線ＩＣカード本体１と無線ＩＣカードリーダライタ２とが通信可能な状態であるのに、頻繁にエラーが起きる場合には、無線ＩＣカード本体１自体の故障などが考えられる。このため、無線ＩＣカード本体１に電源が供給されなくなったことによるエラー以外のエラーについては、本発明の主旨とは異なるので、説明を省略する。
【００３０】
そして、このエラー処理の終了後、無線ＩＣカード本体１は、取引をするための手順を最初から行う。このように、相互認証確立後に無線ＩＣカードが、上位装置からのコマンドによらず、書換え異常のデータを以前の状態に復帰することで、時間の短縮とともに、常時、ネットワークなどで上位と接続して、その都度データ検証をすることなくデータを復帰できる。このため、システムの負担が軽減できる。また、無線ＩＣカードが自らデータ修復ができるので、ある無線ＩＣカードリーダライタで異常が発生した場合に、その後他の無線ＩＣカードリーダライタにカードを翳しても以前のデータに修復した後に通信できる。なお、システムが常時上位と接続していない場合であっても、ある時間間隔でデータの監査機能を一般に持っているため、無線ＩＣカード内のデータが正しいものであることの検証は可能である。このため、システムとしての破綻は生じない。また、不正にデータを書き換えられることを想定して、上位装置はカード内のデータは常にログを取ることで、データの一貫性は実現できる。
【００３１】
本発明は、上記各実施の形態に限ることなく、その他、実施段階ではその要旨を逸脱しない範囲で種々の変形を実施し得ることが可能である。さらに、上記各実施形態には、種々の段階の発明が含まれており、開示される複数の構成要件における適宜な組合せにより種々の発明が抽出され得る。
【００３２】
例えば、上記の実施形態では、非接触の無線ＩＣカードにおける退避処理について説明したが、本発明は上記の実施形態に限定されるものではない。例えば、無線ＩＣカードリーダライタと接触してデータの書き換え処理を受ける接触型の無線ＩＣカードにも、上記の退避処理を適用することができる。
【００３３】
また、上記の実施形態では、特定のコマンドの受信に対応して書き換えコマンドの受信を予測し退避処理を実行するケースについて説明したが、本発明はこの実施形態に限定されるものではない。例えば、特定の無線ＩＣカードであって、必ず、書き換え処理が発生することが事前に分かっていれば、この特性の無線ＩＣカードが無線ＩＣカードリーダライタ２に対して近づき無線ＩＣカードリーダライタ２からの供給電力が所定レベルに達した時点で、退避処理を実行するようにしてもよい。
【００３４】
また、無線ＩＣカードリーダライタ２により、無線ＩＣカード本体１の退避領域を指定したり、変更したりすることもできる。更に、無線ＩＣカードリーダライタ２により、無線ＩＣカード本体１に対して退避処理のタイミングを指定することができる。つまり、初期化後や特定コマンド受信後に、退避処理を実行するように指定することができる。
【００３５】
また、上記の実施形態では、不揮発性メモリ１０４に、第１の記憶エリアと第２の記憶エリアを設けておき、書換対象データを第２の記憶エリアに待避するようにしたが、第１と第２の記憶エリアは、他のメモリで構成しても良い。更に、エラーの種類及び発生をカウンタでなく、例えば、各エラーの発生時期に対応したビットを設定しておき、ビット反転でエラーの発生の有無を検出しても良いし、エラーに応じたフラグを保持するようにしても良い。
【００３６】
また、例えば各実施形態に示される全構成要件から幾つかの構成要件が削除されても、発明が解決しようとする課題の欄で述べた課題が解決でき、発明の効果で述べられている効果が得られる場合には、この構成要件が削除された構成が発明として抽出され得る。
【図面の簡単な説明】
【００３７】
【図１】本発明の一実施形態に係る電子処理システムの概略構成を示す図である。
【図２】無線ＩＣカードの書換処理を示すフローチャートである。
【図３】無線ＩＣカードの書換処理中に異常処理をした場合における無線ＩＣカードの動作を示すフローチャートである。
【符号の説明】
【００３８】
１…ＩＣカード本体
Ｍ…ＩＣモジュール
２…ＩＣカードリーダライタ
１０１…ＣＰＵ
１０１…書換制御手段
１０２…ＲＯＭ
１０３…ＲＡＭ
１０４…不揮発性メモリ
１０５…データ入出力部
１０６…システムコントローラ
２０１…ＣＰＵ
２０２…ＲＯＭ
２０３…ＲＡＭ
２０５…データ入出力部
２０６…システムコントローラ
【図１】
2008009521.tif 000003
【図２】
2008009521.tif 000004
【図３】
2008009521.tif 000005