(57)【要約】【課題】本発明は、証明書によって読み出しが許可される情報と、ユーザ等によって決定された情報によって読み出しが許可される情報とを格納することによって、ユーザ等にとって利用用途が拡大することを課題とする。【解決手段】本発明は、情報配信装置１００が、記憶装置１４０から証明書を受け取り、これを検証することで記憶装置１４０にライセンス１１０と参照子１１２及び１１４の送信すし、記憶装置１４０が、情報閲覧装置１８０から証明書１５０を受け取り、これを検証し参照子１１４に基づくアクセス制限を行った後に情報閲覧装置１８０にライセンス１１０と参照子１１２の送信し、情報閲覧装置１８０が、参照子１１２の制限のもとでライセンス１１０の利用を可能とし、さらに、証明書を、認証局が証明した証明書とユーザが決定したＰＩＮの何れか一方もしくは両方とする。【選択図】　図１
2004021755.tif 000002
【特許請求の範囲】
【請求項１】
第１情報処理装置と第２情報処理装置とに接続可能な記憶装置であって、
上記第１情報処理装置が上記記憶装置を認証の後、上記第１情報処理装置から上記記憶装置にマルチメディア情報を少なくとも含むデータを転送して該データを上記記憶装置に格納可能な如く上記記憶装置は構成され、
上記記憶装置が上記第２情報処理装置を認証の後、上記記憶装置に格納された上記データを上記第２情報処理装置にデータ転送可能な如く上記記憶装置は構成され、
上記記憶装置に予め第１識別情報を格納しておき、上記第２情報処理装置に第２識別情報を入力した場合に、上記記憶装置は上記第１の識別情報と上記第２の識別情報との間に所定の相関が得られることを検査し、該検査結果により相関があると判断された場合に上記記憶装置による上記第２情報処理装置の上記認証は確立され、該確立の後に上記格納データを上記第２情報処理装置にデータ転送可能な如く構成された記憶装置。
【請求項２】
第１情報処理装置と第２情報処理装置とに接続可能な記憶装置であって、
上記第１情報処理装置が上記記憶装置を認証の後、上記第１情報処理装置から上記記憶装置にマルチメディア情報を少なくとも含むデータを転送して該データを上記記憶装置に格納可能な如く上記記憶装置は構成され、
上記記憶装置が上記第２情報処理装置を認証の後、上記記憶装置に格納された上記データを上記第２情報処理装置にデータ転送可能な如く上記記憶装置は構成され、
上記第２情報処理装置に関係した認証局によって認証された証明情報が上記記憶装置に予め格納され、
上記第２情報処理装置に認証局によって認証された第１証明情報が付与されている場合に、上記記憶装置に予め格納された上記証明情報群と上記第１証明情報との所定の相関の獲得に応答して上記記憶装置と上記第２情報処理装置との間に上記認証が確立され、該確認の後に上記格納データを上記第２情報処理装置にデータ転送可能な如く構成された記憶装置。
【請求項３】
請求項１又は請求項２に記載の記憶装置であって、
上記第１情報処理装置と上記記憶装置とのインターフェースと、上記第１情報処理装置と上記第２情報処理装置とのインターフェースは、上記記憶装置の共通のインターフェースであることを特徴とする上記記憶装置。
【請求項４】
請求項３に記載の記憶装置であって、
認証情報が相互に異なる複数の格納領域を含み、該複数の領域の認証は上記記憶装置で共通の部分を有するプログラムに基づき実行可能であり、認証に成功した領域毎にデータを区別して格納することを特徴とする上記記憶装置。
【請求項５】
情報処理装置からの証明書を用いて前記情報処理装置を検証し、その検証結果に応じて第１の情報を前記情報処理装置へ出力可能な記憶装置において、
ユーザによって決定された第１の識別情報と第２の情報と前記第１の情報を格納するための記憶部と、
ユーザによって決定された第２の識別情報を前記情報処理装置から受け、前記第１の識別情報と前記第２の識別情報とを比較し、その比較結果に応じて、前記第２の情報を前記情報処理装置へ出力するための処理部とを備えた記憶装置。
【請求項６】
請求項５に記載の記憶装置において、
前記記憶部は、前記証明書とは異なる他の証明書を格納可能で、
前記処理部は、前記第１の情報を前記記憶部に格納する場合に、前記他の証明書を前記第１の情報を配信する情報配信装置へ出力する記憶装置。
【請求項７】
請求項５に記載の記憶装置において、
前記処理部は、前記情報処理装置によって発行され又は前記情報処理装置と当該記憶装置との間を仲介する仲介装置によって発行された命令を受け、前記命令の内容を解釈し、その解釈結果に応じて、前記第１の情報を出力すべきか前記第２の情報を出力すべきかを判定する記憶装置。
【請求項８】
請求項７に記載の記憶装置において、
前記処理部は、前記解釈結果、前記命令がＶＥＲＩＦＹ＿ＰＩＮ命令を含む場合に、前記第２の情報を出力することを判定する記憶装置。
【請求項９】
請求項７に記載の記憶装置において、
前記処理部は、前記命令のデータ列のうち、先頭から所定の長さまでのデータ又は／及び最下位から所定の長さまでのデータを解釈することによって、前記第１の情報を出力すべきか前記第２の情報を出力すべきかを判定する記憶装置。
【請求項１０】
請求項７に記載の記憶装置において、
前記処理部は、前記命令を受けてから前記第１の情報を出力するまでの処理内容の一部と、前記命令を受けてから前記第２の情報を出力するまでの処理内容の一部とを共通化する記憶装置。
【請求項１１】
請求項１０に記載の記憶装置において、
共通化された前記処理内容は、前記命令を発行した前記情報処理装置又は前記仲介装置と当該記憶装置とのセッションを確立するための処理内容を含む記憶装置。
【請求項１２】
記憶装置と接続可能な情報処理装置において、
検証局によって発行された証明書を格納するための記憶部と、
ユーザから要求を受けるための入力部と、
前記ユーザから第１の情報の読み出し要求を受けた場合に、前記証明書を前記記憶装置へ送信し、前記ユーザから第２の情報の読み出し要求を受けた場合に、前記ユーザに識別情報の入力を要求し、前記ユーザから入力された前記識別情報を、前記記憶装置へ送信するための処理部とを備え、
前記記憶装置は、前記証明書を用いて当該情報処理装置を検証し、その検証結果に応じて前記第１の情報を当該情報処理装置へ出力可能で、前記識別情報を用いて前記ユーザを識別し、その識別結果に応じて前記第２の情報を当該当該情報処理装置へ出力可能な情報処理装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、セキュリティ機能を搭載した記憶装置及びその記憶装置が接続可能なホスト機器に係り、特に、記憶媒体としてフラッシュメモリチップを有するメモリカード及びそのメモリカードが接続可能な携帯電話やＰＤＡ（Ｐｅｒｓｏｎａｌ　Ｄｉｇｉｔａｌ　Ａｓｓｉｓｔａｎｔ；携帯情報端末）に関する。
【０００２】
【従来の技術】
現在各社より様々な規格の小型メモリカードが販売されている。一般に小型メモリカードは数メガ〜数ギガの記憶容量を持ち、ＰＣ（Ｐｅｒｓｏｎａｌ　Ｃｏｍｐｕｔｅｒ）、携帯端末、カメラ、ＡＶ（Ａｕｄｉｏ　＆　Ｖｉｓｕａｌ）機器、情報端末等に接続又は挿入し、データの貯蔵、配布、　機器間のデータ受け渡し等に使われている。
【０００３】
小型メモリカードは、無線／有線で外部機器と接続可能なＩｎｔｅｒｆａｃｅと、不揮発性を有する書き換え可能なメモリと、その両者を制御する一つもしくは複数のコントローラを有する内部構成を持ち、外部から電源が供給されることにより、データの読み書き、消去などの動作を行う事が可能となる。
【０００４】
このような小型メモリカードの一つとしてセキュアＭＭＣ（ＭｕｌｔｉＭｅｄｉａＣａｒｄ）がある。尚、「ＭｕｌｔｉＭｅｄｉａＣａｒｄ」はＩｎｆｉｎｅｏｎ社の登録商標であり、セキュアＭＭＣはケータイｄｅミュージック技術規格に基づいて作られたＭＭＣ互換の小型メモリカードである。また「ケータイｄｅミュージック」はケータイｄｅミュージックコンソーシアムの登録商標である）。セキュアＭＭＣは通信相手の証明書を検証することにより、正しい相手にのみ通常のメモリとは別の、秘密データ格納用のメモリから秘密データ読み出し送信する機能を持っている。
【０００５】
【発明が解決しようとする課題】
メモリカードは証明書により通信相手を認証する機能を持つため、不正に収得したカードから秘密データを読み出すことは困難であったが、ＰＤＡや携帯電話のような携帯情報端末を利用する場合、証明書を格納してあるそれら上位の携帯情報端末も同時に盗難、紛失する可能性が高い。この場合、不正にメモリカード内の秘密データを読み出される恐れがあった。
【０００６】
またメモリカードは証明書を検証するための情報を、そのメモリカードの製造者がメモリカードの作成時に入れておく必要があり、メモリカード製造後に秘密データの書き換えなどの操作を行うことができなかった。
【０００７】
またメモリカードは秘密データ格納領域の利用を、特定のサービスにおける著作権保護の目的でのみ利用していたため、個人が自分の秘密情報を格納する目的することができなかった。
【０００８】
またメモリカードは個人の認証を行わないため、一枚のカードを複数人で利用したい場合、カード内のデータを秘匿にできなかった。
【０００９】
本発明の目的は、証明書によって読み出しが許可される情報と、ユーザ等によって決定された情報によって読み出しが許可される情報とを格納することによって、ユーザ等にとって利用用途が拡大した記憶装置を提供することである。
【００１０】
【課題を解決するための手段】
本発明は、情報配信装置が第１の証明書を用いて記憶装置を認証した後、情報配信装置から上記記憶装置にマルチメディア情報を少なくとも含むデータを転送し、記憶装置がデータを格納し、記憶装置が第２の証明書を用いて情報閲覧装置を認証の後、記憶装置に格納されたデータを情報閲覧装置に転送し、さらに、記憶装置が、ユーザ等によって決定された識別情報の入力を情報閲覧装置から受けた場合に、記憶装置に予め格納された識別情報と比較し、その比較結果に応じて、第２の証明書によって読み出し可能なマルチメディア情報とは異なる任意情報を情報閲覧装置へ転送する。
【００１１】
【発明の実施の形態】
図１は、本発明の概念図を示す。
【００１２】
マルチメディア情報（例えば、テキストデータや音楽データ、画像データ、中央処理装置によって実行するためのアプリケーション・プログラム等）を配信するための情報配信装置１００と、情報配信装置１００からのマルチメディア情報を格納可能な記憶装置１４０と、情報配信装置１００と通信可能でかつ記憶装置１４０と接続可能で情報配信装置１００からマルチメディア情報を受信しそのマルチメディア情報を記憶装置１４０に格納するための情報端末１２０と、記憶装置１４０と接続可能で記憶装置１４０からマルチメディア情報を読み出すための情報端末１６０と、情報端末１６０と通信可能でマルチメディア情報を閲覧（再生）するための情報閲覧装置１８０とを備える。
【００１３】
本発明の実施形態では、記憶装置１４０が、マルチメディア情報以外に、記憶装置１４０のユーザが利用する任意情報（例えば、ユーザやそのユーザを雇用する者が作成したテキストデータや音楽データ、画像データ等）を格納可能で、その任意情報が、ユーザ又はそのユーザを雇用する者が記憶装置１４０に設定したＰＩＮ（Ｐｅｒｓｏｎａｌ　Ｉｄｅｔｉｆｙｉｎｇ　Ｎｕｍｂｅｒ）によって読み出し可能であることを特徴とする。
【００１４】
本発明の実施形態によれば、証明書によって読み出しが許可されるマルチメディア情報及びそのライセンスと、ユーザ等によって決定されたＰＩＮによって読み出しが許可される任意情報とを格納できるため、ユーザ等にとって記憶装置１４０の利用用途が拡大するという効果を奏する。さらに、証明書によってアクセスを許可するためのプロトコルの一部と、ユーザ等によって決定されたＰＩＮによってアクセスを許可するためのプロトコルの一部を共通化することによって、これらのプロトコルを実行するためのアプリケーション・プログラムの容量を小さくできるという効果を奏する。
【００１５】
記憶装置１４０として、メモリカードが該当する。情報端末１２０及び情報端末１６０としては、ＰＣ、携帯電話、ＰＤＡ、キオスク端末等が該当する。情報配信装置１００又は情報閲覧端末１８０としては、サーバ、情報端末上のソフトウエア、アクセスポイント、他の情報端末等が該当する。情報配信装置１００と情報端末１２０とは、ネットワークを介して通信される。情報端末１２０は、ライセンス管理ソフトがインストールされており、情報配信装置１００へのアクセス及び記憶装置１４０へアクセスを行い、ライセンスの送受信と、ライセンスの状態に応じたコンテンツの実行制御を行うものである。ライセンスとは、利用制限されたマルチメディア情報（例えば、暗号化されたマルチメディア情報）を利用可能するもの（例えば、複合化するための鍵）である。
【００１６】
情報配信装置１００からマルチメディア情報をダウンロードしそのマルチメディア情報を記憶装置１４０に格納する際に、先ず、情報端末１２０が、記憶装置１４０に証明書を要求し、記憶装置１４０から証明書を受け取り、その証明書を情報配信装置１００に送る。証明書は、記憶装置１４０の権限を証明する情報配信装置１００が検証可能な情報である。証明書としては、認証局発行の公開鍵の証明書や、情報配信装置１４０と情報配信装置１００が共通に保持している情報又はその情報より作成される情報が該当する。情報配信装置１４０と情報配信装置１００が共通に保持している情報又はその情報より作成される情報としては、暗証番号又は個人識別番号又はＩＰアドレス又は共通鍵等が該当する。
【００１７】
情報配信装置１００と記憶装置１４０と情報閲覧装置１８０は、それぞれ異なる公開鍵とその公開鍵に対応する秘密鍵を作成し、このうち公開鍵を認証局に登録し、それぞれ異なる証明書と、共通の公開鍵の供与を受ける。ここで認証局は、ユーザ又は機器又は他の認証局に対して、ある対象とその個体もしくは種別に固有の識別情報とを関連付け、この一意性を自らが改竄することなく保持し第３者が確認可能な状態に至らしめるための手段を提供することを特徴とした機関である。ただし、このシステムを利用する場合、認証を受けた各装置の秘密鍵は、各装置内で安全に保管されていることが望ましい。また認証局は、証明書の登録および検索を行うための機関と、証明書の発行と証明書失効リストの発行を行う機関に分かれていてもよい。
【００１８】
情報配信端末１００は、証明書１３０を検証し、これが正しい場合にライセンス１１０及び参照子１１２及び参照子１１４を、情報端末１２０を介して記憶装置１４０に送る。このときのライセンス１１０及び参照子１１２及び参照子１１４は、証明書１３０に基づく情報を用いて暗号化、もしくは符号化されていてもよい。ライセンス１１０は、個人又は媒体に対して付与された利用権限を証明するための情報である。ライセンス１１０は、クレジットカード番号、免許証番号、音楽・映像等のコンテンツ利用のためのライセンス、コンピュータのアクセスキー、暗証番号、チケット、生体識別情報、証明書番号等が該当する。また参照子１１２は、情報閲覧装置１８０がライセンスを利用する際の条件であり、有効期限、年齢制限、再生許諾バイト数、許容誤差、データの編集・複製に関する制限等が該当する。また参照子１１４は、記憶装置１４０がデータの読み出しの際に課す条件であり、利用可能回数、複製・移動に関する制限回数、読み出し自体の制限、読み出しの際に利用される証明書の種類に関する制限、読み出しを行うユーザに関する制限、ライセンスの有効期限に関する制限、認証方式に関する制限等が該当する。参照子１１２及び参照子１１４は共にライセンス作成者もしくは認証局により設定されてもよい。またライセンス１１０は予め記憶装置１４０に格納された状態で出荷・発行されてもよい。またライセンス１１０が外部に読み出されずに外部から送られてきたデータを演算する目的で利用されてもよい。また演算された結果、ライセンスの値が書き換わってもよい。記憶装置１４０にあらかじめライセンスが格納された状態で発行されるケースとしては、サービス事業者がユーザ個別のライセンスを記憶装置１４０に格納して出荷する場合などが該当する。外部から送られてきたデータを演算する目的での利用としては、ライセンスデータを利用してライセンス所有者のみがデータの復号もしくは暗号化を行うことを可能にしたり、相互認証などの目的で利用されるデータを作成する場合などが該当する。また演算された結果をいまのライセンス情報に上書きするケースとしては、ライセンスを利用した処理のログデータをライセンス自身に埋め込んだり、一回もしくは数回の演算の結果としてライセンスが使用可能となる場合や、ＰＩＮや証明書、共通鍵等の認証情報の変更によりライセンスが変化する場合等が該当する。
【００１９】
参照子１１４として証明書に固有もしくはその種別を表す識別子が含まれている場合、記憶装置１４０は、認証のために利用された証明書に固有もしくはその種別を表す識別子に応じたアクセス制限を行ってもよい。記憶装置１４０は、認証が成功した証明書の識別子を保持し、その証明書に基づいたセッションの中でデータ読み出しが行われる際に、読み出されるデータの識別子を、保持していた識別子を利用して検証を行い、読み出しの可否を判断する。読み出しの可否の判断については、特定の証明書の場合にのみ読み出しを許可するもの、特定の証明書の場合に読み出しを不許可にするもの、特定の種別の場合にのみ読み出しを許可するもの、特定の種別の場合にのみ読み出しを不許可にするもの等が該当し、これらは任意の組み合わせで参照子１１４に含まれていてもよい。このような特徴を有する識別子としては、認証局発行の公開鍵の証明書に記載の証明書のシリアルナンバー等が該当する。認証局は、証明書の発行対象に応じて付与するシリアルナンバーを規則付けることにより、種別に関連付けることや個別に判断することが可能になる。このような仕組みが有効なケースとしては通常のＰＣでは読み取り可能だが、ゲーム機のような特定の機器では読み出し不可とするような場合や、情報配信サービスにおいて契約したチャンネルのみが閲覧可能なように情報閲覧装置１８０が契約したチャンネルに応じた証明書を保持しておくような場合や、地域ごとに販売される情報閲覧装置１８０の証明書のシリアルナンバーを地域に応じた規則付けを行い設定することで特定の地域向けに販売されたコンテンツのデータを他の地域では利用できないように制限したりするような場合が該当する。また証明書として個々のユーザによって異なるＩＤを利用してもよく、この場合ユーザ毎にライセンスの読み出しの可否を設定できる。このようにライセンスに証明書に固有の識別子を設定することで同一のメモリ領域に異なるセキュリティ要件のデータを保持しながら個別にセキュリティ要件に応じたアクセス制限を設けることが可能となる。これらの識別子は通常ライセンス格納時に決定されるが、ライセンス格納後に、ライセンス操作の権限を持つ対象によって個別に設定されてもよい。
【００２０】
情報端末１６０は、記憶装置１４０に格納されたデータを情報閲覧装置１８０に読み込ませる際に、情報閲覧装置１８０の証明書１５０を要求する。情報端末１６０は、証明書１５０を受け取るとこれを記憶装置１４０に送る。記憶装置１４０は、証明書１５０を検証し、これが正しい場合にライセンス１１０及び参照子１１２を情報閲覧装置１８０に情報端末１６０を介して送る。
【００２１】
このときのライセンス１１０及び参照子１１２は証明書１５０に基づく情報により暗号化、もしくは符号化されていてもよい。またライセンス１１０及び参照子１１２は参照子１１４に基づく条件によりアクセス制御がなされていてもよい。また、記憶装置１４０が参照値１１２を利用したアクセス制限を行ってもよい。記憶装置１４０が行う参照値１１２を利用したアクセス制限としては、有効期間に応じたアクセス制限や、暗復号化サイズによるアクセス制限等が該当する。
【００２２】
記憶装置１４０より情報閲覧端末１８０にライセンスが読み込まれる際に、参照子１１４は読み出さなくてもよい。ただし情報格納端末１４０から他の情報格納端末へライセンスが読み出されるか移動される場合は、参照子１１４の情報も併せて送信してもよい。情報配信装置１００、情報端末１２０、情報端末１６０、情報閲覧装置１８０はそれぞれ複数台からなる構成であってもよい。例えば、情報配信端末１００と記憶装置１４０との間の通信は情報端末１２０を複数台介するような構成であってもよい。また情報端末１２０は、複数の記憶装置１４０に接続されるか、複数の情報配信装置１００に接続されるような構成であってもよい。情報配信装置１００及び情報端末１２０及び情報端末１６０及び情報閲覧装置１８０は一つの装置に複数の機能を有していてもよい。例えば、情報端末１２０と情報端末１６０が同一のものであり、情報配信装置を有するサーバより送られてきたライセンスを記憶装置１４０に蓄え、これを携帯端末１２０に備えられた情報閲覧装置１８０の機能を有するソフトウエアで閲覧する場合などが該当する。情報の提供を受けた記憶装置１４０より、情報の配信を行った情報配信装置１００が情報閲覧装置１８０の機能を有し、情報を読み出してもよい。
【００２３】
図２に、本発明の記憶装置の構成図を示す。
【００２４】
記憶装置１４０は、情報端末１２０又は１６０に接続するための入出力インターフェース４１０と、書き替え可能な不揮発性メモリ４３０と、それらを制御するコントローラチップ４２０からなる。入出力インターフェース４１０としては接触型と非接触型のものがある。接触型のインターフェースとしては、コンパクトフラッシュ（Ｒ）インターフェース、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）などが該当する。また非接触型としては、無線通信インターフェース、ＢｌｕｅＴｏｏｔｈインターフェース、赤外線インターフェース等が該当する。また不揮発性メモリ４３０は、データの読み出しに認証が必要なセキュア領域４４０と、読み出し時や書き込み時に認証の必要が無い通常領域４５０と、認証操作や暗号／復号操作のために利用される鍵情報領域４６０を持つ。これらのメモリ領域は単一の不揮発性メモリ４３０上にあってもよいし、複数の不揮発性メモリ４３０上にあってもよい。不揮発性メモリ４３０としては、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）、フラッシュメモリ、ＮＲＯＭ（Ｎｉｔｒｉｄｅ　ＲＯＭ）、ＥＥＰＲＯＭ（Ｅｒｅｃｔｒｏｎｉｃ　Ｅｒａｓａｂｌｅ　Ｐｒｏｇｒａｍａｂｌｅ　ＲＯＭ）等が該当する。不揮発性メモリは、単一のメモリで構成されてもよいし、複数のメモリの組み合わせにより構成されていてもよい。またコントローラチップはＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｏｒ　Ｕｎｉｔ）とＲＡＭ（Ｒａｎｄａｍ　Ａｃｃｅｓｓ　ＭＥＭＯＲＹ）とＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　ＭＥＭＯＲＹ）とＥＥＰＲＯＭ等を有するのが好ましい。
【００２５】
セキュア領域４４０は、基本ライセンス領域と３つの拡張ライセンス領域に分けられている。それぞれのライセンス領域は、それぞれ１２８個のライセンスを格納することが可能である。基本ライセンス領域は、データの読み出しの際に、証明書１５０による認証が必要な領域である。拡張ライセンス領域は、データの読み出しの際に、ＰＩＮによる認証が必要な領域である。鍵情報領域４６０は、基本ライセンス領域をアクセスするための基本ライセンス領域用鍵情報領域と、３つの拡張ライセンス領域の夫々をアクセスするための３つの拡張ライセンス領域用鍵情報領域を有する。各ライセンス領域用鍵情報領域は、認証局公開鍵、認証局ＰＩＮ、メディアクラス秘密鍵、メディアクラス鍵証明書、マスターＰＩＮ、ユーザＰＩＮ、リトライカウンタ、ＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ　Ｒｅｖｏｃａｔｉｏｎ　Ｌｉｓｔ）、メディア個別秘密鍵、メディア個別公開鍵、乱数種を格納可能である。ただし、記憶装置１４０は、拡張領域を４つ以上持っていてもよく、また２つ以下しか持っていなくてもよい。また各ライセンス領域に１２９個以上のライセンスを格納できてもよく、また１２７個以下のライセンスしか格納できなくてもよい。またそれぞれの領域に格納できるライセンスの数が異なっていてもよい。また記憶装置１４０がより多くのライセンスを格納できるような機能を持っている場合でも、認証局はこれを制限し、より少ないライセンスしか格納できないようにしてもよい。
【００２６】
図３に、本発明の情報端末の構成図を示す。
【００２７】
情報端末１２０は、入出力を制御するための入力装置コントローラ３８５と、表示を制御するための液晶表示装置コントローラ３１５と、ＲＯＭ３６４と、記憶装置１４０との接続を制御するためのメモリカードインターフェースコントローラ３２５と、情報配信装置１００と通信するための通信装置３９６と、外部接続インターフェースコントローラ３３５と、ＲＡＭ３６２と、ＣＰＵ３６０と、ＥＥＰＲＯＭ３６６を持ち、これらがバス３３０もしくはその機能に相当する接続装置により接続されているものとする。通信装置コントローラ３９５は、無線ＬＡＮアダプタやＰＨＳモデムアダプタ等の通信装置３９０と接続される。入力装置コントローラ３８５は、ボタン、ダイヤル、キーボード、マウス、タッチパネル、タブレット等の入力装置３８０と接続される。液晶表示装置コントローラ３１５は、液晶表示装置３１０と接続される。メモリカードインターフェースコントローラ３２５は、ＭＭＣインターフェース等のメモリカードインターフェース３２０と接続される。外部接続インターフェースコントローラ３３５は、ＲＳ２３２インターフェース、ＵＳＢインターフェース等の外部接続インターフェース３３０と接続されている。これらの機器は、クロックジェネレータ３７０からのクロックが必要ならば分周や位相反転等の操作をおこなった後に受け取り動作をする。これらの機器は、充電池３４５からの電力が必要ならば直流／交流変換や周波数変換や電圧変換や電流変換等の操作をおこなった後に受け取り動作する。情報端末１２０は、通信部（通信装置３９０、通信装置コントローラ３９５）や外部接続部（外部接続インターフェース３３０、外部接続インターフェースコントローラ３３５）を搭載しない構成のものでもよい。
【００２８】
ユーザは、ライセンスを利用して任意情報を格納又は閲覧する際に、ＰＩＮ１９０を利用して記憶装置１４０を利用可能な状態にする。記憶装置１４０は、ＰＩＮ検証が成功した場合に指定された機能を実行するＶＥＲＩＦＹ＿ＰＩＮ命令を受けつける。情報端末１２０又は情報端末１６０が、ＶＥＲＩＦＹ＿ＰＩＮ命令を発行する。ＶＥＲＩＦＹ＿ＰＩＮ命令は、データにインストラクションと第１パラメータと第２パラメータを取る構成を持っていてもよい。その場合、インストラクションは２バイトからなり、先頭１バイトはアプリケーションの種類を表し、次の１バイトはアプリケーションの実行する操作を表す。記憶装置１４０が、ＶＥＲＩＦＹ＿ＰＩＮ命令の操作対象となる複数のメモリ領域を有している場合、インストラクションの後半の１バイトをメモリ領域と機能の組み合わせとして表してもよい。第１パラメータは３２バイトからなっていてもよく、検証のためのＰＩＮ等を格納するために用いてもよい。第２パラメータはインストラクションにより決定されるバイト長からなっていてもよく、インストラクションにより実行される機能に渡されるパラメータとして扱われてもよい。
【００２９】
図４に、本発明のＶＥＲＩＦＹ＿ＰＩＮ命令で有効なインストラクションの一覧を示す。記憶装置１４０は、図４記載のアプリケーションの一部、もしくは全部を実装してもよい。また、アプリケーションの追加がある場合にはそれらを新しく追加してもよい。このとき、アプリケーションの種類はインストラクションの先頭バイトにより指定される。ＶＥＲＩＦＹ＿ＰＩＮ命令はユーザ認証アプリケーション、乱数生成アプリケーション、認証局アプリケーション、個別アプリケーションの４つのアプリケーションタイプを持つ。ユーザ認証アプリケーションには領域選択機能（ＰＩＮ検証なし）、領域を選択してライセンス操作プロトコル（ダウンロード、読み出し、移動、再送）を行う機能、ＰＩＮ１９０の更新を行う機能、検証回数制限値を更新する機能、ライセンス領域を初期化して新しいＰＩＮを設定する機能、リトライカウンタを初期化する機能等を持っていてもよい。また乱数生成アプリケーションには乱数生成機能等を持っていてもよい。また認証局アプリケーションには認証局公開鍵を更新する機能、証明書を更新する機能、記憶装置１４０に保持された個別の暗号鍵を更新する機能、ライセンス領域に関する情報を更新する機能、ＣＲＬを更新する機能等を持っていてもよい。また個別アプリケーションとしては記憶装置１４０個別のアプリケーションを設定できる。インストラクションがＣｈで始まるものについては、他の記憶装置１４０で同じインストラクションであっても同じ機能が実行されることを保証しなくてもよい。ＶＥＲＩＦＹ＿ＰＩＮ命令に新しく命令を追加した場合、参照子１１４に認証方式に応じたフラグを設定しておくことで、読み出しを可能とする。ただし、参照子１１４に設定されたフラグに該当する認証方式が存在しない場合、そのライセンスを読み出すことはできなくなることが望ましい。
【００３０】
図５は、記憶装置の機能判別の流れを示したものである。情報端末１２０又は情報端末１６０から、入出力インターフェース４１０を通じて記憶装置１４０に入力されたコマンド１１１０とデータ１１２０は、命令判定部１１３０により命令が判定され、各命令に受け渡される。このコマンド１１１０のうちでＣＭＤ２４に該当するものは、セキュリティ命令判定部１１４０に送られ、コマンド１１１０に基づいて各セキュリティ命令に分岐される。このコマンド１１１０のうちでＶＥＲＩＦＹ＿ＰＩＮに該当するものはインストラクションによるアプリケーション判別部１１５０に送られる。インストラクションによるアプリケーション判別部１１５０はデータのうちのインストラクション部を参照する。インストラクションの先頭バイトが００ｈの場合の処理はユーザ認証アプリケーションに渡され、１０ｈの場合はＰＩＮ生成アプリケーションに渡され、８０ｈの場合は認証局アプリケーションに渡され、その先頭４ビットがＣｈの場合は個別アプリケーションに渡される。又このときに他の値が指定された場合で、記憶装置１４０にそのインストラクションに関連付けられたアプリケーションがある場合にはそれを実行してもよい。そうでない場合はエラーを返す。ここで仮に選択されたものがユーザアプリケーションである場合、処理はインストラクションによる機能判別部１１６０に渡される。インストラクションによる機能判別部はインストラクションの最下位４ビットを用いて各機能に渡される。この値が０ｈの場合はライセンス領域選択機能（ＰＩＮ検証なし）に渡され、この値が１ｈの場合はライセンス領域選択機能（ＰＩＮ検証あり）に渡され、この値が２ｈの場合はＰＩＮ更新機能に渡され、この値が３ｈの場合は検証回数制限値更新機能に渡され、この値が４ｈの場合はライセンス領域の初期化機能に渡され、この値が５ｈの場合はリトライカウンタのリセット機能に渡される。機能振り分けの後、ライセンス領域の選択部１１７０によりインストラクションの下位バイトの上位４ビットを用いて指定されたライセンス領域に対し、機能に基づいた処理を実行する。
【００３１】
ライセンス領域選択機能（ＰＩＮ検証なし）は、指定されたライセンス領域を選択する機能である。ただし認証局はライセンス領域のアクセス条件においてこの機能を無効にしてもよい。ここでライセンス領域を選択するとは、以後のＶＥＲＩＦＹ＿ＰＩＮ命令を除くセキュリティ処理命令の操作対象となる領域を切り替えることを意味する。この機能において、第１パラメータ及び第２パラメータ共に特に設定する必要は無い。この機能により開始されたライセンス操作プロトコルの詳細については後で説明する。
【００３２】
ライセンス領域選択機能（ＰＩＮ検証あり）は、指定されたライセンス領域に関連付けられた参照ＰＩＮを用いてＰＩＮの検証を行う機能である。ただしリトライカウンタが検証回数制限値に達している場合で、検証回数制限値が０でない場合はエラーを返してもよい。これが正しい場合はリトライカウンタを初期値に戻し、ＰＩＮ検証通過フラグを設定し、インストラクションで指定されたライセンス領域を選択してもよい。ここで認証局により機器認証が特に必要が無いと設定されている場合には、次にセッション鍵の交換を行うための命令を受け付ける状態にしてもよい。そうでない場合は、この後に証明書を検証する命令が必要としてもよい。検証が失敗した場合にはリトライカウンタを一つ増加させてもよい。ただし検証回数制限値が０の場合はリトライカウンタを増加させなくてもよい。またこの段階でリトライカウンタが検証回数制限値に達した場合で、認証局により記憶装置１４０の不正使用防止機能が設定されている場合には、初期化フラグをＯＮに設定し、記憶装置１４０内のユーザデータを消去し、その後に初期化フラグをＯＦＦにしてもよい。仮にこの処理の途中で記憶装置１４０が抜かれた場合には、初期化フラグはＯＮの状態を保持し、次に記憶装置１４０が使用された段階でこのフラグを読みに行き、ＯＮの場合には記憶装置１４０初期化作業を再開してもよい。この機能においては第１パラメータとして検証のためのＰＩＮを設定する。第２パラメータには特に設定しなくてもよい。この機能により開始されたライセンス操作プロトコルの詳細については後で説明する。
【００３３】
ＰＩＮ更新命令は、指定されたライセンス領域に関連付けられた参照ＰＩＮを用いてＰＩＮの検証を行い、検証が成功した場合、ＰＩＮの変更を行う機能である。ただしリトライカウンタが検証回数制限値に達している場合で、検証回数制限値が０で無い場合はエラーを返してもよい。これが正しい場合はリトライカウンタを初期値に戻し、第２パラメータに設定された値を用いてＰＩＮを変更してもよい。検証が失敗した場合にはリトライカウンタを一つ増加させてもよい。ただし検証回数制限値が０の場合はリトライカウンタを増加させなくてもよい。この機能においては第１パラメータに検証のためのＰＩＮを設定し、第２パラメータに新しいＰＩＮを設定する。
【００３４】
検証回数制限値更新命令は、指定されたライセンス領域に関連付けられた参照ＰＩＮを用いてＰＩＮの検証を行い、検証が成功した場合、検証回数制限値変更を行う機能である。ただしリトライカウンタが検証回数制限値に達している場合で、検証回数制限値が０で無い場合はエラーを返してもよい。これが正しい場合はリトライカウンタを初期値に戻し、第２パラメータに設定された値を用いて検証回数制限値を変更してもよい。ただし認証局により検証回数制限値の更新が制限されている場合にはエラーを返してもよい。検証が失敗した場合にはリトライカウンタを一つ増加させてもよい。ただし検証回数制限値が０の場合はリトライカウンタを増加させなくてもよい。この機能においては第１パラメータに検証のためのＰＩＮを設定し、第２パラメータに新しい検証回数制限値を設定する。
【００３５】
ライセンス領域初期化機能は、指定されたライセンス領域に関連付けられたライセンスを全て無効化し、新しいＰＩＮの設定を行う機能である。ただしライセンスのアクセス条件において、初期化によるライセンスの消去が必要ない場合には消去しなくてもよい。ライセンスを全て消去した後に入力されたデータを用いてＰＩＮの再設定を行い、またマスターＰＩＮの再設定についてもおこない、リトライカウンタを初期値に戻してもよい。ただし、認証局によりライセンス領域初期化機能でのマスターＰＩＮの初期化が無効に設定されている場合には、マスターＰＩＮの初期化を行わずエラーを返してもよい。また認証局によりライセンス領域初期化機能が無効に設定されている場合には、ライセンス領域の初期化を行わずエラーを返してもよい。この機能においては第１パラメータに検証のためのＰＩＮを設定しなくてもよい。また第２パラメータに新しいＰＩＮを設定する。
【００３６】
リセットリトライカウンタ機能は、指定されたライセンス領域に関連付けられた参照マスターＰＩＮを用いてマスターＰＩＮの検証を行う機能である。検証が成功した場合、リトライカウンタを初期値にもどし、入力されたデータを用いてマスターＰＩＮを更新してもよい。認証局により参照ＰＩＮの更新についても行うように指示されている場合には、参照ＰＩＮを００００などの特定の値に設定してもよい。この機能においては第１パラメータにＰＩＮを設定し、第２パラメータに新しいマスターＰＩＮを設定する。
【００３７】
これらのユーザ認証アプリケーションの機能において、認証局によりライセンス領域が無効に設定されている場合にはエラーを返してもよい。
【００３８】
乱数生成アプリケーションは、外部から入力される種となるデータに認証情報が含まれているものとそうでないものとが存在していてもよい。種に含まれる認証情報としては、機器のＭＡＣアドレス又はＩＰアドレス又はユーザの個別の識別子又は証明書の個別の識別子又は時間等が該当する。種となるデータに認証情報が含まれている場合には記憶装置１４０はライセンス読み出し時にこれらの情報を用いて検証を行う。検証を行うための参照データはライセンスもしくは指定したライセンス領域もしくは記憶装置１４０自体に関連付けられたメモリ領域に格納されているものとする。
【００３９】
乱数生成機能は、指定されたライセンス領域に関連付けられた参照ＰＩＮを用いてＰＩＮの検証を行い、検証が成功した場合、リトライカウンタを初期値に戻し、第２パラメータに含まれるデータをメモリに保存し、記憶装置１４０内の情報を利用して乱数を生成する機能である。ただしリトライカウンタが検証回数制限値に達している場合で、検証回数制限値が０で無い場合はエラーを返してもよい。ただし認証局により乱数の生成が制限されている場合にはエラーを返してもよい。検証が失敗した場合にはリトライカウンタを一つ増加させてもよい。乱数生成機能におけるプロトコルについては後で説明する。
【００４０】
以下、認証局アプリケーションの機能について説明する。認証局アプリケーションには認証局公開鍵更新機能、証明書更新機能、領域関連情報更新機能、認証情報更新機能、ＣＲＬ更新機能がある。
【００４１】
認証局公開鍵更新機能は、指定されたライセンス領域に関連付けられた参照認証局ＰＩＮを用いて認証局ＰＩＮの検証を行い、検証が成功した場合、認証局公開鍵の変更を行う機能である。この場合、入力データにより指定された番号の公開鍵の、入力データにより指定されたブロックを、入力データを用いて更新してもよい。ただしこのときに書き込まれるデータは専用の共通鍵により暗号化しておき、記憶装置１４０に格納した段階で復号するような仕組みであってもよい。
【００４２】
証明書更新機能は、指定されたライセンス領域に関連付けられた参照認証局ＰＩＮを用いて認証局ＰＩＮの検証を行い、これが正しい場合に証明書の更新を行う機能である。検証が成功した場合、入力データにより指定された番号の証明書の、入力データにより指定されたブロックを、入力データを用いて更新してもよい。ただしこのときに書き込まれるデータは専用の共通鍵により暗号化されており、記憶装置１４０に格納した段階で復号するような仕組みであってもよい。
【００４３】
領域関連情報更新機能は指定されたライセンス領域に関連付けられた参照認証局ＰＩＮを用いて認証局ＰＩＮの検証を行い、これが正しい場合に領域関連情報の更新を行う機能である。検証が成功した場合、入力されたデータを用いて領域関連情報を更新してもよい。領域関連情報にはライセンス領域のアクセス条件、認証局ＰＩＮ、カード公開鍵、カード不正使用防止用の検証回数制限値等が該当する。ただしこのときに書き込まれるデータは専用の共通鍵により暗号化されており、記憶装置１４０に格納した段階で復号するような仕組みであってもよい。
【００４４】
認証情報更新機能は、指定されたライセンス領域に関連付けられた参照認証局ＰＩＮを用いて認証局ＰＩＮの検証を行い、これが正しい場合に認証情報の更新を行う機能である。検証が成功した場合、入力データを用いて認証情報を更新してもよい。認証情報にはサービスの種類によって異なる公開鍵、記憶装置１４０個別に異なる公開鍵、秘密鍵、共通鍵、認証局公開鍵のシリアルナンバー等が該当する。ただしこのときに書き込まれるデータは専用の共通鍵により暗号化されており、記憶装置１４０に格納した段階で復号するような仕組みであってもよい。
【００４５】
ＣＲＬ更新機能は、指定されたライセンス領域に関連付けられた参照認証局ＰＩＮを用いて認証局ＰＩＮの検証を行い、これが成功した場合にＣＲＬの更新を行う機能である。検証が成功した場合、入力データを用いてＣＲＬを更新してもよい。ただしこのときに書き込まれるデータは専用の共通鍵により暗号化されており、記憶装置１４０に格納した段階で復号するような仕組みであってもよい。
【００４６】
これらの認証局アプリケーションの機能において、認証局アプリケーションが無効に設定されている場合にはエラーを返してもよい。
【００４７】
認証局により設定される情報の中で、ライセンス領域のアクセス条件は、各ライセンス領域毎に設定可能な情報であり、製造者により提供された機能のうちで認証局が発行する記憶装置１４０のセキュリティ要件に合致した機能を選択するために用いられる。ライセンス領域のアクセス条件としては、初期化命令の有効・無効、マスターＰＩＮの有効・無効、不正使用防止機能の有効・無効、記憶装置１４０発行後のライセンス書き込みの可否、ＰＩＮ検証無しの領域選択の可否、領域自体の有効・無効、ユーザ認証アプリケーション、認証局アプリケーション以外のアプリケーションの有効・無効、記憶装置１４０発行後の認証局アプリケーションの利用の可否等が該当する。ここで不正使用防止機能としてはロック機能使用時に検証回数制限を与え、これが制限値に達した場合に不正使用フラグをメモリ領域４６０内にセットし、記憶装置１４０内の全データを消去する機能である。この機能が有効である場合には、記憶装置１４０初期化時に不正使用フラグの状態を判断し、不正使用が行われた状態で、記憶装置１４０初期化が完了していないならば、再び記憶装置１４０の初期化を再開する。記憶装置１４０は初期化が完了した段階で、不正使用フラグを解除する。またこの操作時に消去されるデータは認証局により選択されてもよい。データの種別としては、セキュア領域４４０内に格納されているデータの全部もしくは一部、通常領域４５０内に格納されているデータの全部もしくは一部、鍵情報領域４６０に格納されているデータの全部もしくは一部、さらに各メモリ領域の任意の組み合わせであってもよい。これらが設定可能な場合、これらの設定は記憶装置１４０の製造者、認証局、ユーザの全てもしくは何れかにより行われてもよい。またこれらの設定の権限に制限を設け、記憶装置１４０の製造者、認証局、ユーザが設定できる権限に際を設けてもよい。このように個別に設定を行える場合には、記憶装置１４０の製造者は製造時もしくは製造者用のアプリケーションによって、認証局は認証局アプリケーションによって、ユーザはユーザ認証機能アプリケーションからこれらの設定が行えることが望ましい。
【００４８】
ＶＥＲＩＦＹ＿ＰＩＮ命令を利用することにより、高いセキュリティ機能が付与されると言う効果をもつ。より高いセキュリティ機能としては、それを要求する全てのセキュリティ処理において、最初にＶＥＲＩＦＹ＿ＰＩＮ命令での認証を追加することで、ＰＩＮを知る個人もしくはグループのみが記憶装置１４０がそのセキュリティ処理を実現可能な効果と、複数のライセンス格納領域を有することで、異なるユーザ又は異なるセキュリティ要件又は格納ライセンス数の増大又は異なるサービスのもとでの利用可能となる効果をもつ。
【００４９】
図６は、ライセンスのデータ構造を示したものである。
【００５０】
ライセンスは、データの種類を表すタグ（Ｔａｇ）と、データのバイト長を表す長さ（Ｌｅｎ）と実際のデータ（Ｖａｌｕｅ）の順に構成され、Ｖａｌｕｅはこの中に複数のＴａｇとＬｅｎとＶａｌｕｅを持つ構造であってもよい。このデータ構造の符号化はＡＳＮ．１（Ａｂｓｔｒｕｃｔ　Ｓｙｎｔａｘ　Ｎｏｔａｔｉｏｎ　Ｏｎｅ）に従うことが望ましい。ライセンスはＶａｌｕｅとしてＬＩＤ１８２０とＴＩＤ１８３０とＡＣｍ１８４０とＫｌ１８６０とＡＣｐ１８７０とＥｘｔｅｎｄＡＣｍ１８８０とＲｅｓｅｒｖｅｄ１８９０を持つ。ＬＩＤ１８２０は　Ｌｉｃｅｎｓｅ　ＩＤｅｎｔｉｆｉｃａｔｉｏｎの略であり、ライセンスに対し個別に割り当てられた識別子である。ＴＩＤ１８３０はＴｒａｎｓａｃｔｉｏｎ　ＩＤｅｎｔｉｆｉｃａｔｉｏｎの略であり、ライセンスのダウンロード処理に対し個別に割り当てられた識別子である。ＡＣｍ１８４０は格納したライセンスを読み出し装置が読み出す際のアクセス制限であり、図１における参照子１４０に該当する参照子である。Ｋｌ１８６０はライセンスデータであり、図１のライセンス１１０に該当するデータである。ＡＣｐ１８７０は読み出し装置内でのアクセス制限であり、図１の参照子１２０に該当する。ＥｘｔｅｎｄＡＣｍはＶＥＲＩＦＹ＿ＰＩＮ命令使用時のライセンス読み出し装置がライセンスを読み出す際の識別子である。
【００５１】
ＶＥＲＩＦＹ＿ＰＩＮ命令により開始される処理は、情報配信装置１００及び情報端末１２０から記憶装置１４０へのライセンス格納に関するもの（ライセンスダウンロードプロトコル）、記憶装置１４０からライセンスの読み出しに関するもの（ライセンス読み出しプロトコル）、記憶装置１４０から他の記憶装置へのライセンスの移動に関するもの（ライセンス移動プロトコル）、記憶装置１４０へのライセンス格納の際に、処理が中断した場合の処理の再開に関するもの（ライセンス再送プロトコル）等が用意されていてもよい。これらのプロトコルは記憶装置１４０に対する複数のデータ送信命令及びデータ受信命令と関連付けられており、それぞれの命令を特定の順序で実行することで、記憶装置１４０へのデータの格納及び読み出し及びセキュリティ演算が可能になるものであることが望ましい。この特定の順序以外で命令が発行された場合には、記憶装置１４０は、蓄積された命令の実行順序に関するデータを初期化し、エラーを返してもよい。また、命令の中には特に実行順序を定めないものや、処理手順の先頭にある命令など、実行することで記憶装置１４０に蓄積された実行順序に関するデータを初期化しエラーを返すような仕様のものが用意されていてもよく、またライセンス操作のためのプロトコルに含まれる命令であっても、異なる手順とセキュリティ要件において、処理手順によらず利用できるようにされていてもよい。
【００５２】
以下、それぞれのプロトコルについて説明する。
【００５３】
図７は、ライセンスダウンロードプロトコルについて説明したフローチャートである。ライセンスのダウンロードを開始する場合、情報端末１２０は、記憶装置１４０に対しデータ１２７０を送信する（１２１０）。データ１２７０は、処理対象となるライセンス領域の番号とＰＩＮ１９０を含むデータである。記憶装置１４０は、このＰＩＮ１９０を記憶装置１４０に格納された情報をもとに検証する（１２３０）。このとき検証を行うためにユーザは、予めＰＩＮ更新機能を用いてＰＩＮ１９０の設定を行ったり、検証回数制限値更新機能を用いて検証回数制限値の設定を行ったり、リセットリトライカウンタ機能を用いてマスターＰＩＮ１９０の設定をしておくことが望ましい。検証が成功した場合、記憶装置１４０は、指定されたライセンス領域をセットし、次の命令を受けつける準備を行う（１２３２）。情報端末１２０は、ＰＩＮ１９０の検証に成功した場合、記憶装置１４０に対して証明書の送出を要求する（１２１２）。ここで、認証局によりＰＩＮ１９０なしでのライセンス領域の選択が認められている場合には、情報端末１２０は、データ１２７０にＰＩＮ１９０を含めずに送信してもよい。このとき記憶装置１４０は、ＰＩＮ１９０の検証なしにライセンス領域の選択をすると共に、ＰＩＮ検証が行われずにライセンス領域が選択されたという情報を保持しておく。記憶装置１４０は証明書を選択し、情報端末１２０に送信する（１２３４）。情報端末１２０は送られてきたデータ１２７２を必要ならば付帯情報を付け加えて情報配信装置１００に送信する（１２１４）。情報配信装置１００は、送られてきたデータ１２７４のうち証明書を取り出し、格納された情報をもとに検証する（１２５０）。検証に成功すると情報配信装置１００は、第１セッション鍵を生成し、検証された公開鍵を用いてこれを暗号化して送信する（１２５２）。情報端末１２０は、送られてきたデータ１２７６が必要ならば情報の付与や削除を行い記憶装置１４０に送信する（１２１６）。記憶装置１４０は、送られてきたデータ１２７８から暗号データを取り出し、送出した証明書の公開鍵に対応する秘密鍵を用いてこれを復号しセッション鍵を取り出す（１２３６）。情報端末１２０は、先の命令が成功したことを確認すると、記憶装置１４０に対し第２セッション鍵の送出を要求する（１２１８）。記憶装置１４０は、第２セッション鍵の生成し、これと記憶装置１４０個別公開鍵を第１セッション鍵で暗号化して送る。情報端末１２０は、記憶装置１４０よりデータ１２８０を受け取ると、これに必要ならば情報の付与や削除を行った後に、情報配信装置１００に送る（１２２０）。情報配信装置１００送られてきたデータ１２８２を第１セッション鍵を用いて復号し、記憶装置１４０個別公開鍵と第２セッション鍵を得る（１２５４）。この処理がうまく行われた場合に、記憶装置１４０に格納するライセンスを記憶装置１４０個別公開鍵で暗号化し、さらにそれを第２セッション鍵で暗号化して送信する（１２５６）。情報端末１２０は、送られてきたデータ１２８４を必要ならば情報の付与や削除を行った後に、記憶装置１４０に送信する（１２２２）。記憶装置１４０は、送られてきたデータ１２８６を第２セッション鍵で復号し、これをさらに記憶装置１４０個別秘密鍵で復号する（１２４０）。情報端末１２０は、この処理が成功したことを確かめると、記憶装置１４０にデータ１２８８を送る（１２２４）。データ１２８８は、ライセンスを格納するためのブロック番号が記述されているものとする。記憶装置１４０は、データ１２８８で指定されたライセンスブロックにライセンスを格納する（１２４２）。情報端末１２０は、処理が成功したことを確かめると、情報配信装置１００にダウンロードが終了したことをトランザクションに関するデータと共に送る（１２２６）。情報配信装置１００は、データ１２９０を受け取り、ダウンロード手順を終了する（１２５８）。
【００５４】
図８は、本発明のライセンス読み出しプロトコルについて説明したフローチャートである。
【００５５】
ライセンスの読み出しを開始する場合、情報端末１６０は記憶装置１４０に対しデータ１３７０を送信する（１３１０）。データ１３７０は処理対象となるライセンス領域の番号とＰＩＮ１９０を含むデータである。記憶装置１４０は、このＰＩＮ１９０を記憶装置１４０に格納された情報をもとに検証する（１３３０）。このとき検証を行うためにユーザは予めＰＩＮ更新機能を用いてＰＩＮ１９０の設定を行ったり、検証回数制限値更新機能を用いて検証回数制限値の設定を行ったり、リセットリトライカウンタ機能を用いてマスターＰＩＮの設定をしておくことが望ましい。検証が成功した場合、記憶装置１４０は、指定されたライセンス領域をセットし、次の命令を受けつける準備を行う（１３３２）。情報端末１６０は、ＰＩＮ１９０の検証に成功した場合、ライセンス管理ソフトに対してライセンスの利用要求を送出する（１３１２）。ここで、認証局２１０によりＰＩＮ１９０なしでのライセンス領域の選択が認められている場合には、情報端末１６０は、データ１２７０にＰＩＮ１９０を含めずに送信してもよい。このとき記憶装置１４０は、ＰＩＮ１９０の検証なしにライセンス領域の選択をすると共にＰＩＮ検証が行われずにライセンス領域が選択されたという情報を保持しておく。ライセンス管理ソフトは、証明書の指定を含むデータ１３７２を受け取ると証明書を選択し、情報端末１６０に送信する（１３５０）。情報端末１６０は、送られてきたデータ１３７４を必要ならば情報の付与や削除を行った後に記憶装置１４０に送信する（１３１４）。記憶装置１４０は、送られてきたデータ１３７６から証明書を取り出し、記憶装置１４０に格納された情報をもとに検証する（１３３４）。検証に成功すると記憶装置１４０は、第１セッション鍵を生成し、検証された公開鍵を用いてこれを暗号化して送信する（１３３６）。情報端末１６０は、送られてきたデータ１３７８を必要ならば情報の付与や削除を行いライセンス管理ソフトに送信する（１３２６）。ライセンス管理ソフトは、送られてきたデータ１３８０から暗号データを取り出し、送出した証明書の公開鍵に対応する秘密鍵を用いてこれを復号し、セッション鍵を取り出す（１３５２）。ここでライセンスのセキュリティ要件が特に証明書による検証を必要としていないならばステップ１３５０からステップ１３３６までの処理は省略してもよい。この場合、記憶装置１４０は、ステップ１３３２において、第１セッション鍵を生成し、記憶装置１４０内部にあらかじめ格納されたライセンス管理ソフトの公開鍵を用いてこれを暗号化して送信してもよい。次にライセンス管理ソフトは、第２セッション鍵を生成し、これを第１セッション鍵で暗号化して送る（１３５４）。情報端末１６０はデータ１３８２を受け取ると、これに必要ならば情報の付与や削除を行った後に記憶装置１４０に対し第２セッション鍵の受信を要求する（１３１８）。記憶装置１４０は、データ１３３８を受け取ると第１セッション鍵を用いて復号し、第２セッション鍵を得る（１２５４）。この処理がうまく行われた場合に情報端末１６０は、記憶装置１４０に対し読み出すライセンスの番号を指定する（１３２０）。記憶装置１４０は、ライセンス領域からデータ１３８６によって指定された番号をもとにライセンスを読み出す（１３４０）。ここで記憶装置１４０は、認証局が使用を認めているならば参照子１４０を用いてライセンスの読み出し制限を行ってもよい。この処理が成功した場合に情報端末１６０は、記憶装置１４０にライセンスの送出を要求する（１３２２）。記憶装置１４０は、ライセンスを第２セッション鍵で暗号化して送信する（１３４２）。情報端末１６０は、送られてきたデータ１３８８を必要ならば情報の付与や削除を行った後に、ライセンス管理ソフトに送信する（１３２４）。ライセンス管理ソフトは送られてきたデータ１３９０を第２セッション鍵で復号し、ライセンスデータを取り出す（１３５６）。
【００５６】
図９は、ライセンス移動プロトコルについて説明したフローチャートである。ライセンスの移動を開始する場合、情報端末は、記憶装置１４０に対しデータ１４７０を送信する（１４１０）。データ１４７０は処理対象となるライセンス領域の番号とＰＩＮ１９０を含むデータであり、記憶装置１４０はこのＰＩＮ１９０を記憶装置１４０に格納された情報をもとに検証する（１４３０）。このとき検証を行うためにユーザは予めＰＩＮ更新機能を用いてＰＩＮの設定を行ったり、検証回数制限値更新機能を用いて検証回数制限値の設定を行ったり、リセットリトライカウンタ機能を用いてマスターＰＩＮの設定をしておくことが望ましい。検証が成功した場合、記憶装置１４０は指定されたライセンス領域をセットし、次の命令を受けつける準備を行う（１５３２）。情報端末はＰＩＮ１９０の検証に成功した場合、他の情報端末から移動開始要求を持つ。ここで、認証局２１０によりＰＩＮ１９０なしでのライセンス領域の選択が認められている場合には、情報端末はデータ１２７０にＰＩＮ１９０を含めずに送信してもよい。このとき記憶装置１４０は、ＰＩＮ１９０の検証なしにライセンス領域の選択をしてもよく、その場合は記憶装置１４０はＰＩＮ検証が行われずにライセンス領域が選択されたという情報を保持しておく。他の情報端末は、他の記憶装置に接続された環境にあり、以下の他の情報端末と他の記憶装置の操作は、図７における情報端末と記憶装置１４０と同じライセンスダウンロードプロトコルよって動作するものとする。）。
【００５７】
図１５１０は、ライセンス再送プロトコルについて説明したフローチャートである。ライセンスの再送を開始する場合、情報端末１２０は記憶装置１４０に対しデータ１５７０を送信する（１５１０）。データ１５７０は処理対象となるライセンス領域の番号とＰＩＮ１９０を含むデータであり、記憶装置１４０はこのＰＩＮ１９０を記憶装置１４０に格納された情報をもとに検証する（１５３０）。このとき検証を行うためにユーザは予めＰＩＮ更新機能を用いてＰＩＮ１９０の設定を行ったり、検証回数制限値更新機能を用いて検証回数制限値の設定を行ったり、リセットリトライカウンタ機能を用いてマスターＰＩＮの設定をしておくことが望ましい。検証が成功した場合、記憶装置１４０は指定されたライセンス領域をセットし、次の命令を受けつける準備を行う（１５３２）。情報端末１２０はＰＩＮ１９０の検証に成功した場合、情報配信装置１００に対して再接続要求を行う（１５１２）。再接続を行うために情報配信装置１００へ送る。情報配信装置１００はデータ１５７２を受け取ると、第１セッション鍵を生成し、それをデータ１５７２から取り出したセッションを特定する識別子を用いて通信相手の記憶装置１４０個別公開鍵を検索して、これを用いて第１セッション鍵を暗号化して送る（１５５２）情報端末１２０は情報配信装置１００よりデータ１５７４を受け取ると、必要ならば情報の付与や削除を行った後に記憶装置１４０に対し第１セッション鍵受信要求を行う（１５１４）。記憶装置１４０は情報端末１２０より送られてきたデータ１５７６に含まれる暗号化データを記憶装置１４０個別秘密鍵で復号し、第１セッション鍵を取り出す（１５３４）。この命令が成功した場合、情報端末１２０は記憶装置１４０に対しライセンス未送信確認要求を送る１５１６。記憶装置１４０は情報端末１２０から送られてきたデータ１５７８よりセッションを特定する識別子を用いて再接続の対象となるライセンスが有効か無効かを調べ、これが有効の状態であるならばすでにライセンスは格納されているので、ここで処理を中断する。無効であるならば、まだライセンスは格納されていないので以下の処理を続ける（１５３６）。次に情報端末１２０は記憶装置１４０に対しログの送信を要求する。記憶装置１４０は第１セッション鍵を用いてログとログのハッシュ値を暗号化し、これを情報端末１２０に送る。情報端末１２０は記憶装置１４０よりデータ１５８０を受け取ると、これをメモリに保持しておき、今度は記憶装置１４０に対して第２セッション鍵送出要求を送る。記憶装置１４０は第２セッション鍵と記憶装置１４０個別公開鍵を第１セッション鍵で暗号化し、これを情報端末１２０に送信する（１５４０）。情報端末１２０はデータ１５８２を受け取ると、これにデータ１５８０を加え、さらに必要ならば情報の付与や削除を行った後に情報配信装置１００にライセンス送出要求を送る。情報配信装置１００は情報端末１２０よりデータ１５８４を受け取ると、データ１５８０の検証を行い、これが正しいと判断された場合、図７のステップ１２５４に続く処理を行う。
【００５８】
次に乱数生成アプリケーション利用時のプロトコルについて説明する。乱数生成アプリケーションは外部より入力した種データとライセンス領域格納のライセンスを利用して乱数を生成してホストに送るアプリケーションである。種データとして、ここでは時間を用いる。乱数生成アプリケーションはライセンスダウンロードプロトコルと、乱数生成プロトコルの２つからなる。ライセンスダウンロードプロトコルは先に説明した図１２に記載のプロトコルと同一のものであり、乱数生成プロトコルも記憶装置１４０内の動作が異なるだけで、インターフェースの相違はない。
【００５９】
図１１は、乱数生成プロトコルについて説明したフローチャートである。ライセンスの読み出しを開始する場合、情報端末１２０は記憶装置１４０に対しデータ１６７０を送信する（１６１０）。データ１６７０は処理対象となるライセンス領域の番号とＰＩＮ１９０と時刻を含むデータであり、記憶装置１４０はこのＰＩＮを記憶装置１４０に格納された情報をもとに検証する（１６３０）。このとき検証を行うためにユーザは予めＰＩＮ更新機能を用いてＰＩＮ１９０の設定を行ったり、検証回数制限値更新機能を用いて検証回数制限値の設定を行ったり、リセットリトライカウンタ機能を用いてマスターＰＩＮの設定をしておくことが望ましい。検証が成功した場合、記憶装置１４０は指定されたライセンス領域をセットし、また入力された時刻をメモリに保持し、次の命令を受けつける準備を行う。情報端末１２０はＰＩＮの検証に成功した場合、ライセンス管理ソフトに対してライセンスの利用要求を送出する（１６１２）。ここで、認証局によりＰＩＮ１９０なしでのライセンス領域の選択及びこのアプリケーションの利用が認められている場合には、情報端末１２０はデータ１２７０にＰＩＮ１９０を含めずに送信してもよい。このとき記憶装置１４０はＰＩＮ１９０の検証なしにライセンス領域の選択すると共にＰＩＮ検証が行われずにライセンス領域が選択されたという情報を保持しておく。ライセンス管理ソフトは証明書の指定を含むデータ１６７２を受け取ると証明書を選択し、情報端末１２０に送信する（１６５０）。情報端末１２０は送られてきたデータ１６７４を必要ならば情報の付与や削除を行った後に記憶装置１４０に送信する（１６１４）。記憶装置１４０は送られてきたデータ１６７６から証明書を取り出し、記憶装置１４０に格納された情報をもとに検証する（１６３４）。検証に成功すると記憶装置１４０は第１セッション鍵を生成し、検証された公開鍵を用いてこれを暗号化して送信する（１６３６）。情報端末１２０は送られてきたデータ１６７８を必要ならば情報の付与や削除を行いライセンス管理ソフトに送信する（１６２６）。ライセンス管理ソフトは送られてきたデータ１６８０から暗号データを取り出し、送出した証明書の公開鍵に対応する秘密鍵を用いてこれを復号しセッション鍵を取り出す（１６５２）。次にライセンス管理ソフトは第２セッション鍵の生成し、これを第１セッション鍵で暗号化して送る（１６５４）。情報端末１２０はデータ１６８２を受け取るとれに必要ならば情報の付与や削除を行った後に記憶装置１４０に対し第２セッション鍵の受信を要求する（１６１８）。記憶装置１４０はデータ１６３８を受け取ると第１セッション鍵を用いて復号し、第２セッション鍵を得る（１６５４）。この処理がうまく行われた場合に情報端末１２０は記憶装置１４０に対し読み出すライセンスの番号を指定する（１６２０）。記憶装置１４０はライセンス領域からデータ１３８６によって指定された番号をもとにライセンスを読み出す（１６４０）。ここで記憶装置１４０は認証局２１０が使用を認めているならば参照子１４０を用いてライセンスの移動制限を行ってもよい。この処理が成功した場合に情報端末１２０は記憶装置１４０に乱数の生成を要求する（１６２２）。記憶装置１４０は読み出していたライセンスに付随の有効期限と保持しておいた時刻を比較し、時刻に達している場合はエラーを返す（１６４２）。時刻に達していない場合は時刻とライセンスデータから乱数を生成する（１６４４）。記憶装置１４０は得られた乱数を第２セッション鍵で暗号化して送信する（１６４６）。情報端末１２０は送られてきたデータ１６８８を必要ならば情報の付与や削除を行った後にライセンス管理ソフトに送信する（１６２４）。ライセンス管理ソフトは送られてきたデータ１３９０を第２セッション鍵で復号し、乱数を取り出す。ライセンス管理ソフトはこの手段で得られた乱数を暗号鍵やＰＩＮを作成する手段として利用してもよい。
【００６０】
次に個別に設定可能なアプリケーションについて説明する。個別設定可能なアプリケーションとしては暗号処理アプリケーション、生体認証アプリケーションなどが該当する。
【００６１】
暗号処理用アプリケーションとしては記憶装置１４０内に保持されているライセンスを利用して、記憶装置１４０外から送られてきたデータもしくはセキュア領域４４０内のデータを暗号化もしくは復号化するアプリケーションである。このアプリケーションは乱数生成アプリケーションの一部として実装されてもよい。暗号アプリケーションに含まれる機能としては、暗号処理機能、復号処理機能、ライセンスダウンロード機能が該当する。暗号処理用アプリケーションで利用されるライセンスは、記憶装置１４０内のアクセス条件として暗号処理の可否及び復号処理の可否に関するフラグを持つことが望ましい。またセキュリティ要件に応じてこれらのライセンスはライセンス毎に読み出し及び移動に関して制限が設けられていることが望ましく、ライセンス領域が自体にこの制限を有していてもよい。このアプリケーションを利用する場合、ＶＥＲＩＦＹ＿ＰＩＮ命令で暗号処理機能を利用するか、復号処理機能を利用するかをインストラクションにより指定し、さらにＰＩＮを第１パラメータに設定し、暗号化もしくは復号化したいデータを第２パラメータに設定して記憶装置１４０に送信する。記憶装置１４０はＰＩＮの検証が成功した場合、第２パラメータに設定された暗号化もしくは復号化したいデータをメモリに保持し、対象となるライセンス領域をセットする。これ以後の操作は乱数生成アプリケーションと同一であり、図１１のステップに従う。ただし、ステップ１６４２及びステップ１６４４の代わりに、以下の処理を行ってもよい。記憶装置１４０は指定されたデータの暗号化・復号化の可否をライセンス付帯の参照子１１２もしくはライセンス領域関連情報より参照子、要求された処理が実行可能かどうかを判断する。処理が実行可能と判断された場合には、ライセンスを用いてＶＥＲＩＦＹ＿ＰＩＮと共に入力されたデータを暗号化又は復号化する。
【００６２】
生体認証アプリケーションとしては、通常のＰＩＮ認証の代わりに生体情報から抽出された特徴を表す識別子群を利用して認証を行うアプリケーションである。生体情報としては、サイン、眼球の虹彩、指紋、声紋等が該当する。
【００６３】
これらの個別アプリケーションは、ＣＸｈ（Ｘは０ｈ〜Ｆｈのいずれかを意味する）以外の番号に割り振られてもよい。
【００６４】
また認証の手段の一つとして、認証局が相互認証によるライセンス操作を要求している場合は、ライセンス操作の際に、通信相手との相互認証をおこなってもよい。
【００６５】
記憶装置１４０はダウンロードの際に、ライセンスサーバを認証する５１０を認証する場合、そのステップは図１２に従う。
【００６６】
図１２は、相互認証ライセンスダウンロードプロトコルについて説明したフローチャートである。ライセンスの相互認証ダウンロードを開始する場合、情報端末１２０は記憶装置１４０に対しデータ１７７０を送信する（１７１０）。データ１７７０は処理対象となるライセンス領域の番号とＰＩＮを含むデータであり、記憶装置１４０はこのＰＩＮを記憶装置１４０に格納された情報をもとに検証する（１７３０）。このとき検証を行うためにユーザは予めＰＩＮ更新機能を用いてＰＩＮ１９０の設定を行ったり、検証回数制限値更新機能を用いて検証回数制限値の設定を行ったり、リセットリトライカウンタ機能を用いてマスターＰＩＮの設定をしておくことが望ましい。検証が成功した場合、記憶装置１４０は指定されたライセンス領域をセットし、次の命令を受けつける準備を行う（１７３２）。情報端末１２０はＰＩＮ１９０の検証に成功した場合、情報配信装置１００に対して相互認証ダウンロード要求を送出する（１７１２）。ここで、認証局２１０によりＰＩＮ１９０なしでのライセンス領域の選択が認められている場合には、情報端末１２０はデータ１７７０にＰＩＮ１９０を含めずに送信してもよい。このとき記憶装置１４０はＰＩＮ１９０の検証なしにライセンス領域の選択すると共にＰＩＮ検証が行われずにライセンス領域が選択されたという情報を保持しておく。情報配信装置１００は証明書の指定を含むデータ１７７２を受け取ると証明書を選択し、情報端末１２０に送信する（１７５０）。情報端末１２０は送られてきたデータ１７７４を必要ならば情報の付与や削除を行った後に記憶装置１４０に送信する（１７１４）。記憶装置１４０は送られてきたデータ１７７６から証明書を取り出し、記憶装置１４０に格納された情報をもとに検証する（１７３４）。検証に成功すると記憶装置１４０は検証された鍵を保持しておく（１７３６）。検証が成功した場合、情報端末１２０は記憶装置１４０に証明書送出要求を送信する（１７１６）。記憶装置１４０は証明書を選択し、情報端末１２０に送信する（１７３８）。情報端末１２０は送られてきたデータ１７７８を必要ならば付帯情報を付け加えて情報配信装置１００に送信する（１７１８）。情報配信装置１００は送られてきたデータ１７８０のうち証明書を取り出し、格納された情報をもとに検証する（１７５２）。検証に成功すると情報配信装置１００は第１セッション鍵を生成し、検証された公開鍵を用いてこれを暗号化し、さらにそれを自身の秘密鍵を用いて暗号化して送信する（１７５４）。情報端末１２０は送られてきたデータ１７８２を必要ならば情報の付与や削除を行い記憶装置１４０に送信する（１７２０）。記憶装置１４０は送られてきたデータ１７８４から暗号データを取り出し、検証した証明書の公開鍵でこれを復号し、されに送出した証明書の公開鍵に対応する秘密鍵を用いてこれを復号しセッション鍵を取り出す（１７４２）。情報端末１２０は先の命令が成功したことを確認すると記憶装置１４０に対し第２セッション鍵の送出を要求する（１７２２）。記憶装置１４０は第２セッション鍵の生成し、これと記憶装置１４０個別公開鍵を第１セッション鍵で暗号化して送る。情報端末１２０は記憶装置１４０よりデータ１７８６を受け取るとこれに必要ならば情報の付与や削除を行った後に情報配信装置１００に送る（１７２４）。情報配信装置１００は送られてきたデータ１７８８を第１セッション鍵を用いて復号し、記憶装置１４０個別公開鍵と第２セッション鍵を得る（１７５６）。この処理が成功した場合に記憶装置１４０に格納するライセンスを記憶装置１４０個別公開鍵で暗号化し、さらにそれを第２セッション鍵で暗号化して送信する（１７５８）。情報端末１２０は送られてきたデータ１７９０を必要ならば情報の付与や削除を行った後に記憶装置１４０に送信する（１７２６）。ＳＭＭＣ１２４０は送られてきたデータ１７９２を第２セッション鍵で復号し、これをさらに記憶装置１４０個別秘密鍵で復号する（１７４６）。情報端末１２０はこの処理が成功したことを確かめると、記憶装置１４０にデータ１７９４を送る（１７２８）。データ１７９４はライセンスを格納するためのブロック番号が記述されているものとする。記憶装置１４０はデータ１７９４で指定されたブロックにライセンスを格納する（１７４８）。情報端末１２０は処理が成功したことを確かめると、情報配信装置１００にダウンロードが終了したことをトランザクションに関するデータと共に送る（１７２９）。情報配信装置１００はデータ１７９６を受け取り、ダウンロード手順を終了する（１７６０）。
【００６７】
認証局がライセンスダウンロード時に相互認証を要求する場合、記憶装置１４０は相互認証以外の方法によるライセンスのダウンロードを同じライセンス領域に対し認めないことが望ましい。またライセンスの読み出しもしくは移動に対しても相互認証を利用してもよい。
【００６８】
本発明の実施形態によれば、ＰＩＮを公開鍵の証明書代わりとすることで、ユーザ又は機器のどちらか一方もしくは両方が正当な場合にのみデータの読み出しを可能とする機器において、認証方式の追加を可能とし、複数のユーザ又は複数のサービス又は複数の認証局又は複数の機器において利用されるデータに対し、共通の部分を有するプログラムを用いて、そのセキュリティ要件に応じたアクセス制御を行えると言う効果を奏する。
【００６９】
【発明の効果】
本発明によれば、証明書によって読み出しが許可される情報と、ユーザ等によって決定された情報によって読み出しが許可される情報とを格納することによって、ユーザ等にとって利用用途が拡大するという効果を奏する。
【図面の簡単な説明】
【図１】本発明の概念図。
【図２】本発明の記憶装置の構成図。
【図３】本発明の情報端末装置の構成図。
【図４】本発明のＶＥＲＩＦＹ＿ＰＩＮの持つ機能の一覧。
【図５】本発明の記憶装置のコマンド判別処理のフローチャート。
【図６】本発明のライセンスのデータ構造図。
【図７】本発明のライセンスのダウンロード処理のフローチャート。
【図８】本発明のライセンスの読み出し処理のフローチャート。
【図９】本発明のライセンスの移動処理のフローチャート。
【図１０】本発明のライセンスの再接続処理のフローチャート。
【図１１】本発明の乱数の読み出し処理のフローチャート。
【図１２】本発明の相互認証ライセンスのダウンロード処理のフローチャート。
【符号の説明】
１００…情報配信装置、１２０、１６０…情報端末、１４０…記憶装置、１８０…情報閲覧装置、１３０、１５０…証明書、１１０…ライセンス、１１２、１１４…参照子。
【図１】
2004021755.tif 000003
【図２】
2004021755.tif 000004
【図３】
2004021755.tif 000005
【図４】
2004021755.tif 000006
【図５】
2004021755.tif 000007
【図６】
2004021755.tif 000008
【図７】
2004021755.tif 000009
【図８】
2004021755.tif 000010
【図９】
2004021755.tif 000011
【図１０】
2004021755.tif 000012
【図１１】
2004021755.tif 000013
【図１２】
2004021755.tif 000014