(57)【特許請求の範囲】
【請求項１】
少なくとも１つのカードアプリケーションを格納し、且つ、リーダ・ライタと非接触通信を行う非接触通信手段を有するセキュアモジュールを保持可能なセキュアモジュールホルダーの制御部に、
前記セキュアモジュールを保持した段階で、前記セキュアモジュールの前記非接触通信手段を無効化する手順と、
前記セキュアモジュールの前記非接触通信手段が無効化されている状態で、前記リーダ・ライタから、サービス用のカードアプリケーション選択要求を受信した場合には前記リーダ・ライタにエラーメッセージを返し、認証用のカードアプリケーション選択要求を受信した場合には前記リーダ・ライタにカードアプリケーション選択応答を返す手順と、
前記カードアプリケーション選択応答を前記リーダ・ライタに返した後、前記リーダ・ライタとの認証処理を実行する手順と、
前記認証処理が成功した場合、前記セキュアモジュールの前記非接触通信手段を有効にする手順と、
前記セキュアモジュールの前記非接触通信手段を有効にした後、前記リーダ・ライタからサービス用のカードアプリケーション選択要求を受信した場合、前記セキュアモジュールに格納されたカードアプリケーションにアクセスすることを前記リーダ・ライタに許可する手順と、
を実行させるためのプログラム。
【請求項２】
少なくとも１つのカードアプリケーションを格納し、且つ、非接触通信手段を有するセキュアモジュールを１または複数個保持し、前記セキュアモジュールのリーダ・ライタとの非接触通信を制御するセキュアモジュールホルダーであって、
前記リーダ・ライタと非接触通信を行う非接触通信手段と、
前記セキュアモジュールと接触通信を行う接触通信手段と、
前記リーダ・ライタと認証処理を行うアクセス制御手段と、
セキュアモジュールホルダーの動作を制御する制御手段と、を備え、
前記制御手段が、
前記セキュアモジュールを保持した段階で、前記セキュアモジュールの前記非接触通信手段を無効化する手順と、
前記セキュアモジュールの前記非接触通信手段が無効化されている状態で、前記リーダ・ライタから、サービス用のカードアプリケーション選択要求を受信した場合には前記リーダ・ライタにエラーメッセージを返し、認証用のカードアプリケーション選択要求を受信した場合には前記リーダ・ライタにカードアプリケーション選択応答を返す手順と、
前記カードアプリケーション選択応答を前記リーダ・ライタに返した後、前記リーダ・ライタとの認証処理を行わせる手順と、
前記認証処理が成功した場合、前記セキュアモジュールの前記非接触通信手段を有効にする手順と、
前記セキュアモジュールの前記非接触通信手段を有効にした後、前記リーダ・ライタからサービス用のカードアプリケーション選択要求を受信した場合、前記セキュアモジュールに格納されたカードアプリケーションにアクセスすることを前記リーダ・ライタに許可する手順と、を行う、
セキュアモジュールホルダー。
【請求項３】
前記リーダ・ライタと認証処理を行う前記アクセス制御手段の認証アプリケーションに、前記カードアプリケーションとは別のアプリケーションＩＤを設定した、
請求項２に記載のセキュアモジュールホルダー。
【請求項４】
前記リーダ・ライタと認証処理を行う前記アクセス制御手段の認証アプリケーションに、前記カードアプリケーションと同一のアプリケーションＩＤを設定した、
請求項２に記載のセキュアモジュールホルダー。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＣカードなどのセキュアモジュールに対するリーダ・ライタ（以下、「ＲＷ」と略記する）のアクセス制御方法を実現するプログラムと、その方法の実施に用いる装置及びセキュアモジュールに関し、セキュアモジュールの情報が不正に読み出されることを防止するものである。
【背景技術】
【０００２】
近年、ＩＣカードは、電子決済用カードや定期乗車券、イベント用チケット、クレジットカード等として広く利用されている。最近では、微細化技術の向上とも相俟って、比較的大容量の記憶空間を持つＩＣカードが作られており、このようなＩＣカードは、カードサービスを実行する複数のカードアプリケーション（以下、アプリケーションを「アプリ」と略称する）を格納することにより、一枚で複数の用途に対応するマルチアプリカードとして使用することができる。
【０００３】
ＩＣカードの通信方式には、ＩＣカードの電気的接点にＲＷを接触して記録情報の読み書きを行う接触通信と、無線通信で情報をやり取りし、ＲＷとの物理的な接触を必要としない非接触通信との二通りがある。最近は、接触通信及び非接触通信の両方が可能なＩＣカードを携帯端末装置に搭載し、この携帯端末を電子財布や定期券の替わりに使用することも行われている。
【０００４】
図１は、非接触通信を行うＩＣカード等のセキュアモジュール２０とＲＷ１０との構成を模式的に示している。セキュアモジュール（ＳＭ）２０は、非接触通信を行うためのＳＭローカル無線通信手段２１と、複数のカードアプリ２３と、セキュアモジュール２０の動作を制御する制御部２２とを備えており、また、ＲＷ１０は、ＳＭローカル無線通信手段２１との間で非接触通信を行うＲＷローカル無線通信手段１１を備えている。
【０００５】
待機中のＲＷ２０は、通信領域へのセキュアモジュール２０の進入を検知するため、ＲＷローカル無線通信手段１１から周期的にリクエスト信号を送出する。ユーザがセキュアモジュール２０をＲＷ１０に翳すと、ＲＷ１０の通信領域に進入したセキュアモジュール２０は、ＳＭローカル無線通信手段２１を通じてリクエスト信号に応答し、ＲＷローカル無線通信手段１１とＳＭローカル無線通信手段２１との非接触通信が開始される。次いでＲＷ１０は、カードアプリ２３を選択し、選択されたカードアプリ２３とＲＷ１０との間でサービス実行の処理が進められる。
【０００６】
ところで、非接触通信では、接触通信と違って、ＲＷ１０の通信領域に複数のセキュアモジュール２０が入り込む可能性があり、ＲＷ１０に対して複数のセキュアモジュール２０が同時に通信した場合には、カードを識別して通信しなくてはならない。そのため、非接触型で近接型のＩＣカードの国際規格を定めるＩＳＯ１４４４３−３では、複数のセキュアモジュール２０が同時に存在する場合の処理手順として、衝突防止（アンチコリジョン）手順が規定されている。（下記非特許文献１参照）。
【０００７】
図２は、Ｂ型カードにおける衝突防止手順と、ＩＳＯ７８１６−４で規定されたカードアプリ選択手順とを示している。ＲＷは、通信領域へのＩＣカードの進入を検知するためにリクエストコマンド（ＲＥＱＢ）を周期的に送信する。ＲＷの通信領域に進入したＩＣカードは、リクエストコマンド（ＲＥＱＢ）を受信すると、このＲＥＱＢに対して、自分の識別番号（ＰＵＰＩ）を含むレスポンス（ＡＴＱＢ）をＲＷに返す。ＲＷ側の装置は、応答したＩＣカードにカード識別子（ＣＩＤ）を設定し、ＣＩＤの情報を含むＡＴＴＲＩ
ＢコマンドにＰＵＰＩを付して送信する。ＩＣカードは、ＡＴＴＲＩＢコマンドに自分の識別番号（ＰＵＰＩ）が含まれている場合にアクティブ（活性状態）になってレスポンス（ＡＴＱＢ）をＲＷに返す。以後、ＩＣカードは、自分に設定されたＣＩＤが付されているコマンドのみに応答する。
【０００８】
ＲＷは、カードアプリを識別番号（ＡＩＤ）で指定するＳＥＬＥＣＴｆｉｌｅをＩＣカードに送信し、ＩＣカードは、選択されたカードアプリを起動してレスポンス（ＡＴＱＢ）をＲＷに返す。
【非特許文献１】「セキュリティＩＣカードの基礎と応用  −ｅビジネスへのパスポート−」著者：織田博靖・鮎川幸司・苅部浩、編者：カードマーケティング研究会、発行日：２０００年４月２７日、発行：（株）シーメディア
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかし、この衝突防止やカードアプリ選択の手順によると、ＩＣカードに格納されているカードアプリが、未だ認証していないＲＷに知られることになり、ＩＣカードのユーザのプライバシーが侵され、思わぬ被害に遭う虞がある。
【００１０】
また、近い将来には、電子財布として機能するホルダーにチップ形状のセキュアモジュールを複数枚挿入し、このホルダーを各種のＲＷに翳して、セキュアモジュールを電子財布に挿入したまま、各種サービスを利用する形態が考えられるが、この場合にも、衝突防止手順やカードアプリ選択手順を通じて、電子財布に挿入されたセキュアモジュールの数や、各セキュアモジュールに格納されているカードアプリが、未だ認証していないＲＷに知られることになり、プライバシーの侵害が懸念される。
【００１１】
本発明は、こうした従来の問題点を解決するものであり、セキュアモジュールに関する情報の不正読み出しを防ぐ方法を実現するプログラムと、及び、その方法の実施に用いる装置（ホルダー）を提供することを目的としている。
【課題を解決するための手段】
【００１２】
そこで、本発明に係るプログラム一つの態様は、少なくとも１つのカードアプリを格納し、且つ、非接触通信手段を有するセキュアモジュールを１または複数個保持し、このセキュアモジュールのＲＷとの非接触通信を制御するセキュアモジュールホルダーの制御部の動作を規定するプログラムが、この制御部に、リーダ・ライタからセキュアモジュールに格納されたカードアプリへのアクセスが要求される前に、セキュアモジュールの非接触通信手段を無効化する手順と、リーダ・ライタのカードアプリ選択要求に応じて認証用のアプリを選択し、リーダ・ライタとの認証処理を実行する手順と、この認証処理が成功した場合に限り、ＲＷがセキュアモジュールに格納されたカードアプリにアクセスすることを許可する手順とを実行させるように構成している。
また、本発明に係るプログラム一つの態様は、少なくとも１つのカードアプリケーションを格納し、且つ、リーダ・ライタと非接触通信を行う非接触通信手段を有するセキュアモジュールを保持可能なセキュアモジュールホルダーの制御部に、前記セキュアモジュールを保持した段階で、前記セキュアモジュールの前記非接触通信手段を無効化する手順と、前記セキュアモジュールの前記非接触通信手段が無効化されている状態で、前記リーダ・ライタから、サービス用のカードアプリケーション選択要求を受信した場合には前記リーダ・ライタにエラーメッセージを返し、認証用のカードアプリケーション選択要求を受信した場合には前記リーダ・ライタにカードアプリケーション選択応答を返す手順と、前記カードアプリケーション選択応答を前記リーダ・ライタに返した後、前記リーダ・ライタとの認証処理を実行する手順と、前記認証処理が成功した場合、前記セキュアモジュールの前記非接触通信手段を有効にする手順と、前記セキュアモジュールの前記非接触通信手段を有効にした後、前記リーダ・ライタからサービス用のカードアプリケーション選択要求を受信した場合、前記セキュアモジュールに格納されたカードアプリケーションにアクセスすることを前記リーダ・ライタに許可する手順と、を実行させる。
【００１３】
また、認証処理が成功した場合の手順として、セキュアモジュールの無効化されている非接触通信手段を有効化し、ＲＷが、この非接触通信手段を介してセキュアモジュールに格納されたカードアプリにアクセスすることを許可するようにしている。
【００１４】
また、認証処理が成功した場合の手順として、ＲＷが、セキュアモジュールホルダーの非接触通信手段を介して、セキュアモジュールに格納されたカードアプリにアクセスすることを許可するようにしている。
【００１５】
そのため、認証処理が済んでいないＲＷは、このセキュアモジュールホルダーで保持されたセキュアモジュールの数や、セキュアモジュールに格納されたカードアプリを知るこ
とができない。
【００１６】
また、本発明では、少なくとも１つのカードアプリを格納し、且つ、ＲＷとの非接触通信手段を有するセキュアモジュールの制御部の動作を規定するプログラムが、この制御部に、ＲＷのカードアプリ選択要求に応じて認証用のアプリを選択し、ＲＷとの認証処理を実行する手順と、この認証処理が成功した場合に限り、ＲＷがセキュアモジュールに格納されたカードアプリにアクセスすることを許可する手順とを実行させるように構成している。
【００１７】
そのため、認証処理が済んでいないＲＷは、このセキュアモジュールに格納されたカードアプリを知ることができない。
【００１８】
また、本発明に係るセキュアモジュールホルダーの一つの態様は、少なくとも１つのカードアプリを格納し、且つ、非接触通信手段を有するセキュアモジュールを１または複数個保持し、このセキュアモジュールのＲＷとの非接触通信を制御するセキュアモジュールホルダーに、ＲＷと非接触通信を行う非接触通信手段と、セキュアモジュールと接触通信を行う接触通信手段と、ＲＷと認証処理を行うアクセス制御手段と、セキュアモジュールホルダーの動作を制御する制御手段とを設け、この制御手段が、ＲＷからセキュアモジュールに格納されたカードアプリへのアクセスが要求される前にセキュアモジュールの非接触通信手段を無効化する手順と、ＲＷのカードアプリ選択要求に応じて、アクセス制御手段にＲＷとの認証処理を行わせる手順と、この認証処理が成功した場合に限り、ＲＷがセキュアモジュールに格納されたカードアプリにアクセスすることを許可する手順とを行うように構成している。
また、本発明に係るセキュアモジュールホルダーの一つの態様は、少なくとも１つのカードアプリケーションを格納し、且つ、非接触通信手段を有するセキュアモジュールを１または複数個保持し、前記セキュアモジュールのリーダ・ライタとの非接触通信を制御するセキュアモジュールホルダーであって、前記リーダ・ライタと非接触通信を行う非接触通信手段と、前記セキュアモジュールと接触通信を行う接触通信手段と、前記リーダ・ライタと認証処理を行うアクセス制御手段と、セキュアモジュールホルダーの動作を制御する制御手段と、を備え、前記制御手段が、前記セキュアモジュールを保持した段階で、前記セキュアモジュールの前記非接触通信手段を無効化する手順と、前記セキュアモジュールの前記非接触通信手段が無効化されている状態で、前記リーダ・ライタから、サービス用のカードアプリケーション選択要求を受信した場合には前記リーダ・ライタにエラーメッセージを返し、認証用のカードアプリケーション選択要求を受信した場合には前記リーダ・ライタにカードアプリケーション選択応答を返す手順と、前記カードアプリケーション選択応答を前記リーダ・ライタに返した後、前記リーダ・ライタとの認証処理を行わせる手順と、前記認証処理が成功した場合、前記セキュアモジュールの前記非接触通信手段を有効にする手順と、前記セキュアモジュールの前記非接触通信手段を有効にした後、前記リーダ・ライタからサービス用のカードアプリケーション選択要求を受信した場合、前記セキュアモジュールに格納されたカードアプリケーションにアクセスすることを前記リーダ・ライタに許可する手順と、を行う。
【００１９】
また、この制御手段が、ＲＷからセキュアモジュールに格納されたカードアプリへのアクセスが要求される前に、セキュアモジュールの非接触通信手段を無効化する手順と、ＲＷのカードアプリ選択要求に応じて、アクセス制御手段にＲＷとの認証処理を行わせる手順と、この認証処理が成功した場合に限り、セキュアモジュールの無効化されている非接触通信手段を有効化し、ＲＷが、セキュアモジュールの非接触通信手段を介してセキュアモジュールに格納されたカードアプリにアクセスすることを許可する手順とを行うように構成している。
【００２０】
また、この制御手段が、ＲＷからセキュアモジュールに格納されたカードアプリへのアクセスが要求される前に、セキュアモジュールの非接触通信手段を無効化する手順と、ＲＷのカードアプリ選択要求に応じて、アクセス制御手段にＲＷとの認証処理を行わせる手順と、この認証処理が成功した場合に限り、ＲＷが、セキュアモジュールホルダーの非接触通信手段及び接触通信手段を介して、セキュアモジュールに格納されたカードアプリにアクセスすることを許可する手順とを行うように構成している。
【００２１】
また、ＲＷと認証処理を行うアクセス制御手段の認証アプリに、カードアプリとは別のアプリＩＤを設定し、または、カードアプリと同一のアプリＩＤを設定している。
【００２２】
このセキュアモジュールホルダーで保持されたセキュアモジュールの数や、セキュアモジュールに格納されたカードアプリについて、認証処理が済んでいないＲＷは知ることができない。
【００２３】
また、本発明では、少なくとも１つのカードアプリを格納したセキュアモジュールに、ＲＷと非接触通信を行う非接触通信手段と、ＲＷと認証処理を行うアクセス制御手段と、セキュアモジュールの動作を制御する制御手段とを設け、この制御手段が、ＲＷのカードアプリ選択要求に応じてアクセス制御手段にＲＷとの認証処理を行わせる手順と、この認証処理が成功した場合に限り、ＲＷがセキュアモジュールに格納されたカードアプリにア
クセスすることを許可する手順とを行うように構成している。
【００２４】
また、ＲＷと認証処理を行うアクセス制御手段の認証アプリに、カードアプリとは別のアプリＩＤを設定し、または、カードアプリと同一のアプリＩＤを設定している。
【００２５】
このセキュアモジュールに格納されたカードアプリについて、認証処理が済んでいないＲＷは知ることができない。
【発明の効果】
【００２６】
本発明のプログラムは、セキュアモジュールホルダーで保持されたセキュアモジュールの数や、セキュアモジュールに格納されたカードアプリが、認証していないＲＷによって知られることを防止でき、ユーザのプライバシーを守ることができる。
【００２７】
また、本発明のセキュアモジュールホルダーは、保持しているセキュアモジュールの数や、そのセキュアモジュールに格納されたカードアプリについて、認証していないＲＷに知られることを防ぐことができる。
【００２８】
また、本発明のセキュアモジュールは、格納しているカードアプリについて、認証していないＲＷに知られることを防ぐことができる。
【発明を実施するための最良の形態】
【００２９】
以下の実施形態では、セキュアモジュールに設けられているローカル無線機能の無効化について記載するが、それ以外にＢｌｕｅｔｏｏｈ、ＷｉｒｅｌｅｓｓＬＡＮ、ＬＡＮ、無線公衆網など他の通信機能が設けられていた場合でも同様に適用することができる。
【００３０】
（第１の実施形態）
本発明の第１の実施形態では、電子財布（セキュアモジュールホルダー）に格納されたセキュアモジュールの情報が、認証の済んでいないＲＷに知られないようにする方法について説明する。
【００３１】
図３は、この方法を実施するセキュアモジュールホルダー（ＳＨ）３０と、ＲＷ１０との構成を示している。セキュアモジュールホルダー３０は、ＲＷ１０との非接触通信手段であるＳＨローカル無線通信手段３１と、挿入されたセキュアモジュール２０との接触通信手段であるＳＨ通信手段３３と、セキュアモジュール２０のカードアプリ２３にアクセスするＲＷ１０を認証するための認証用カードアプリが格納されたアクセス制御セキュアモジュール３４と、セキュアモジュールホルダー３０の動作を制御する制御部３２とを備えている。また、セキュアモジュールホルダー３０に挿入された１または複数のセキュアモジュール２０は、非接触通信手段であるＳＭローカル無線通信手段２１と、複数のカードアプリ（サービスアプリ）２３と、セキュアモジュールホルダー３０との接触通信手段であるＳＭ通信手段２４と、セキュアモジュール２０の動作を制御する制御部２２とを備えている。
【００３２】
また、ＲＷ１０は、非接触通信手段であるＲＷローカル無線通信手段１１と、セキュアモジュール２０のサービスアプリ２３を指定してサービスを実行するサービス実行部１２とを備えている。
【００３３】
このＲＷ１０は、セキュアモジュールホルダー３０のアクセス制御セキュアモジュール３４に格納された認証用カードアプリと相互認証処理を行い、認証に成功した場合にのみセキュアモジュール２０へのアクセスが可能になる。
【００３４】
アクセス制御セキュアモジュール３４は、セキュアモジュールホルダー３０に直接内蔵されていても、セキュアモジュールホルダー３０に物理的に取り外し可能なモジュール（図３のセキュアモジュール２０とは別のモジュールを想定）に格納されていてもよい。
【００３５】
また、セキュアモジュール２０内に実装され、他のセキュアモジュールに格納されているカードアプリに対するアクセス制御を行うことも可能である。
【００３６】
さらに、アクセス制御セキュアモジュール３４が取り外し可能な場合、ユーザが所有するセキュアモジュール２０の種類に応じて異なるパターンのアクセス制御を行うことができる。つまり、アクセス制御セキュアモジュール３４がセキュアモジュールホルダー３０に予め内蔵されている場合は、セキュアモジュールホルダー３０の出荷時に予めセキュアモジュールホルダー３０のメーカーに依存して設定されたカードアプリしかアクセス制御をすることができないが、アクセス制御モジュール３４が取り外し可能であれば、使用するカードアプリに合わせてセキュアモジュールホルダー３０に装着するアクセス制御セキュアモジュール３４を差し替えることが可能になる。
【００３７】
別のユースケースとしては、カードアプリが入った複数のモジュールをセキュアモジュールホルダー３０に挿入したまま常に持ち歩いている場合に、アクセス制御セキュアモジュール３４を２つ持っていて、例えば一方のアクセス制御モジュール３４には、平日会社用（例えば、自宅の鍵、定期券、社員証、企業用クレジットカードの認証情報）のアクセ
ス制御情報のみ入っていてその他のカードアプリは使えないようにし、他のアクセス制御モジュール３４には、休日用（例えば、自宅の鍵（共通）、個人のクレジットカード、ビデオ会員証、別荘の鍵など、プライベートなカードアプリ）のアクセス制御情報のみ入っていて、その他のカードアプリは使えないようにし、ユーザの使用する環境に応じて両アクセス制御モジュール３４を差し替えることが想定される。なお、セキュアモジュールホルダー３０内にカレンダ機能を持っておき、自動的に、平日モードとか夜間・休日モードに切り替えても良い。
【００３８】
また、セキュアモジュールホルダー３０に現在のモードをユーザに通知するための通知手段（具体的な部材の一例としては、ＬＥＤ，スピーカ、液晶画面が想定される）を設けても良い。例えばこの通知手段を用いて、モードの切り替えを光、音、色で通知したり、現在のモードを表示したりする。また、現在利用可能なカードアプリを表示しても良い。
【００３９】
セキュアモジュールホルダー３０のアクセス制御セキュアモジュール３４には、図１０に示すように、各セキュアモジュール２０のカードアプリ２３のＡＩＤに対応付けて、ＲＷ１０の認証に用いるＲＷ認証情報と認証方法とが設定されたアクセス制御情報が保持されており、認証用アプリは、アクセス制御情報のＲＷ認証情報を用いてＲＷ１０を認証する。なお、アクセス制御情報のアクセス制御セキュアモジュール３４への設定の仕方については、第６の実施形態で詳述する。
【００４０】
また、セキュアモジュールホルダー３０に挿入されたセキュアモジュール２０のＳＭローカル無線通信手段２１は、セキュアモジュールホルダー３０に挿入されている間、無効にされ（ＳＨローカル無線通信手段３１が優先する）、認証に成功したＲＷ１０がセキュアモジュール２０と通信する場合には、ＲＷローカル無線通信手段１１、ＳＨローカル無線通信手段３１、ＳＨ通信手段３３及びＳＭ通信手段２４を介して行われる。
【００４１】
こうした一連の動作は、セキュアモジュールホルダー３０のCPUで構成される制御部３２によって制御され、制御部３２は、プログラムに従って、この制御動作を実行する。
【００４２】
図４は、この場合の処理手順を示している。図４では、処理の順序を括弧内の数字で示している（その他のフロー図でも同様である）。なお、ここでは、サービスアプリ２３のＡＩＤと、そのサービスアプリのために認証処理を行う認証用アプリのＡＩＤとが別々に設定されている場合について説明する。
【００４３】
セキュアモジュール２０がセキュアモジュールホルダー３０に挿入されると（ａ１）、セキュアモジュールホルダー３０の制御部３２は、セキュアモジュール２０のローカル無線通信機能を無効化する（ＳＨローカル無線通信手段３１を優先する）ローカル無線無効化命令をセキュアモジュール２０に送り（ａ２）、セキュアモジュール２０の制御部２２は、ＳＭローカル無線通信手段２１を無効化する。
【００４４】
なお、ここではセキュアモジュール２０の制御２２が、ローカル無線無効化命令を受けた後に、ＳＭローカル無線通信手段２１を無効化する例を述べたが、それ以外に、セキュアモジュール２０がセキュアモジュールホルダー３０に接続されて、セキュアモジュールホルダー３０から電源供給を受けた時点で、制御部２２がＳＭローカル無線通信手段２１を無効化することにしても良い。このようにすることで、セキュアモジュール２０がセキュアモジュールホルダー３０に接続されて電源供給を受けた後、ローカル無線無効化命令を受ける前に、何らかの原因で電源供給が途絶えてしまった場合でも、外部の未認証のＲＷ１０にセキュアモジュール２０が格納するサービスアプリ２３を知られることを防ぐことができる。
【００４５】
一方、無効化が完了した後に、電源供給が途絶えてしまった場合、今度は、セキュアモジュール２０を単体で使用しようとしても、ＳＭローカル無線通信手段２１は無効化されたままなので、そのままでは利用できない状態となっている。そこで、制御部２２がセキュアモジュールホルダー３０からの電源断を検知した時は、ＳＭローカル無線通信手段２１を有効化することにより、電源断後もセキュアモジュール２０単体で使用することを可能にすることもできる。
【００４６】
なお、電源供給の開始、電源断の検知は、セキュアモジュール２０に設けられているセキュアモジュールホルダー３０と接続するための特定のピン端子から検知することができる。
【００４７】
また、セキュアモジュール２０に圧力センサを設け、所定の閾値以上の圧力が加わった場合は、無効化処理を実行する、としても良い。
【００４８】
ＲＷ１０は、通信領域へのセキュアモジュールの進入を検知するために、リクエストコマンド（ＲＥＱＢ）を周期的に送信する（１）。ユーザがセキュアモジュールホルダー３０をＲＷ１０に翳し、ＳＨローカル無線通信手段３１がＲＥＱＢを受信すると、セキュアモジュールホルダー３０の制御部３２は、衝突防止手順に従って、ＳＨローカル無線通信手段３１を通じて応答する（２）。
【００４９】
ＲＷ１０がサービスアプリのＡＩＤを指定してカードアプリの選択を要求した場合には（３）、セキュアモジュールホルダー３０の制御部３２は、ＲＷ１０に対する認証処理が済んでいないので、エラーを返す（４）。
【００５０】
ＲＷ１０は、サービスアプリに対応する認証用アプリのＡＩＤを指定してカードアプリ選択要求を送り（５）、制御部３２は、アクセス制御セキュアモジュール３４に格納されている認証用アプリを起動した後、ＲＷ１０に応答を返す（６）。起動した認証用アプリは、アクセス制御情報を参照し、対応するサービスアプリに対して指定されているＲＷ認証情報を用いて、ＲＷ１０との間で相互認証処理を実行する（７）。認証処理が成功すると、ＲＷ１０は、サービスアプリ２３のＡＩＤを指定してカードアプリ選択を要求する（８）。セキュアモジュールホルダー３０の制御部３２は、認証処理が成功しているため、このカードアプリ選択要求を、指定されたサービスアプリ２３が格納されているセキュアモジュール２０に送信する。このように、ＳＨローカル無線通信手段３１から受信したデータをＳＨ通信手段３３を通じてセキュアモジュール２０に送る場合に、セキュアモジュールホルダー３０の制御部３２は、データのデータフォーマットを非接触通信のデータフォーマット（ＩＳＯ１４４４３−３Ｂｌｏｃｋ  Ｆｏｒｍａｔ）から接触通信のデータフォーマット（ＩＳＯ７８１６−３−３Ｂｌｏｃｋ  Ｆｏｒｍａｔ）に変換し、反対に、セキュアモジュール２０からＲＷ１０に送るデータに対しては、逆のデータフォーマット変換を行う。
【００５１】
サービスアプリ２３に対するカードアプリ選択要求を受信したセキュアモジュール２０の制御部２２は、指定されたサービスアプリ２３を起動した後、ＲＷ１０に応答を返す（９）。
【００５２】
次いで、ＲＷ１０のサービス実行部１２と、指定されたサービスアプリ２３との間でサービスを実行するための処理が行われる（１０）。
【００５３】
なお、ここでは、サービスアプリに対応する認証用カードアプリのＡＩＤが個々に異なっているものとして説明したが、全てのサービスアプリに対して同一のＲＷ認証情報や認証方法を用いる場合には、認証用カードアプリのＡＩＤは、各サービスアプリに対して共
通であっても良い。
【００５４】
また、セキュアモジュール２０をセキュアモジュールホルダー３０から抜くと、セキュアモジュール２０のローカル無線通信機能は有効になる。
【００５５】
このように、この方式では、サービスアプリのＡＩＤと認証用アプリのＡＩＤとを違えており、ＲＷ１０から認証用アプリの選択要求が行われ、認証処理が成功した後でなければ、ＲＷ１０からのサービスアプリの選択要求には応じない。
【００５６】
また、認証処理が成功した後のＲＷ１０とセキュアモジュール２０との通信は、セキュアモジュールホルダー３０を介して実行される。
【００５７】
セキュアモジュールホルダー３０のプログラムは、制御部３２が、セキュアモジュール２０の非接触通信手段を無効化する手順と、認証用アプリにＲＷ１０との認証処理を行わせる手順と、この認証処理に成功した場合に限り、ＲＷ１０のサービスアプリ２３へのアクセスを許可する手順とを実行することを規定している。
【００５８】
この方式の特色として、セキュアモジュールホルダー３０でコマンドの書き換えを行うため、セキュアモジュールホルダー３０に掛かる負担は大きいが、ＲＷ１０には、ＲＷ認証処理及びサービス処理のどこまでが終わったのかがはっきりして分かり易いというメリットがある。
【００５９】
なお、セキュアモジュール２０に電池が搭載されている場合、ローカル通信機能化無効化されるタイミングに合わせて、セキュアモジュールホルダー３０から前記電池の充電を開始するようにしても良い。
【００６０】
（第２の実施形態）
本発明の第２の実施形態では、認証処理に成功した後のＲＷとセキュアモジュールとの通信が、セキュアモジュールの非接触通信手段を通じて行われる方式について説明する。
【００６１】
この場合のセキュアモジュールホルダー及びＲＷの構成は、第１の実施形態（図３）と変わりがない。また、ＲＷ１０のサービスアプリ２３へのアクセスが、アクセス制御セキュアモジュール３４に格納された認証用アプリとの認証に成功した場合に限り、許可される点でも第１の実施形態と同じである。ただ、第１の実施形態と違って、ＲＷ１０が認証用アプリとの認証に成功すると、セキュアモジュール２０のＳＭローカル無線通信手段２１が有効化され、セキュアモジュール２０とＲＷ１０との通信は、ＳＭローカル無線通信手段２１とＲＷローカル無線通信手段１１との非接触通信によって行われる。
【００６２】
図５は、この場合の処理手順を示している。なお、ここでは、サービスアプリ２３のＡＩＤと、そのサービスアプリのために認証処理を行う認証用カードアプリのＡＩＤとが異なっている場合について説明する。
【００６３】
セキュアモジュールホルダー３０に挿入されたセキュアモジュール２０のローカル通信機能を無効化する手順（ａ１）（ａ２）、及び、ＲＷ１０がアクセス制御セキュアモジュール３４に格納された認証用アプリと認証処理を行うまでの（１）（２）（５）（６）（７）の手順は、第１の実施形態（図４）と同じである。
【００６４】
セキュアモジュールホルダー３０の制御部３２は、認証処理に成功すると、その認証用アプリに対応するサービスアプリ２３が格納されているセキュアモジュール２０のローカル通信機能を有効化する（８）。
【００６５】
このとき、上述したセキュアモジュールホルダー３０に設けた通知手段によって、ローカル通信機能が有効化された旨をユーザに通知するようにしても良い。
【００６６】
ＲＷ１０は、再度、リクエストコマンド（ＲＥＱＢ）を送信し（９）。セキュアモジュール２０は、ＳＭローカル無線通信手段２１を通じて応答する（１０）。ＲＷ１０は、サービスアプリ２３のＡＩＤを指定してカードアプリ選択要求を送り（１１）、このカードアプリ選択要求を、ＳＭローカル無線通信手段２１を通じて受信したセキュアモジュール２０の制御部２２は、指定されたサービスアプリ２３を起動した後、ＲＷ１０に対して、ＳＭローカル無線通信手段２１を通じて応答を返す（１２）。
【００６７】
次いで、ＲＷ１０のサービス実行部１２と、指定されたサービスアプリ２３との間で、ＲＷローカル無線通信手段１１及びＳＭローカル無線通信手段２１を介して、サービスを実行するための処理が行われる（１３）。
【００６８】
なお、セキュアモジュールホルダー３０の制御部３２は、ローカル通信機能を有効化したセキュアモジュール２０で、非接触通信が一定時間以上行われない場合に、そのローカル通信機能を再度無効化する（タイムアウト）。
【００６９】
それ以外の再無効化の方法として、制御部３２が、サービスアプリ２３から処理終了通知を受けたときに、無効化することもできる。
【００７０】
また、セキュアモジュールホルダー３０から定期的にセキュアモジュール２０に対してポーリングを行い、サービスアプリ２３の処理が終了したことを制御部３２が検知したときに、無効化することもできる。
【００７１】
なお、上述のセキュアモジュールホルダー３０に設けられた通知手段によって、無効化された旨をユーザに通知することも可能である。
【００７２】
このように、この方式では、サービスアプリのＡＩＤと認証用アプリのＡＩＤとを違えており、ＲＷ１０から認証用アプリの選択要求が行われ、認証処理が成功した後でなければ、ＲＷ１０からのサービスアプリの選択要求ができないように構成している。
【００７３】
また、認証処理が成功した後のＲＷ１０とサービスアプリ２３との通信は、セキュアモジュール２０のローカル通信機能を用いて行われる。
【００７４】
セキュアモジュールホルダー３０のプログラムは、制御部３２が、セキュアモジュール２０の非接触通信手段を無効化する手順と、認証用アプリにＲＷ１０との認証処理を行わせる手順と、この認証処理に成功した場合に限り、セキュアモジュール２０の非接触通信手段を有効化する手順とを実行することを規定している。
【００７５】
この方式の特色として、セキュアモジュールホルダー３０は、コマンドの書き換えが不要であるため、セキュアモジュールホルダー３０に掛かる負担が小さく、また、ＲＷ１０は、ＲＷ認証及びサービス処理のどこまでが終わったのかがはっきりして分かり易いというメリットがある。反面、ＲＷ１０は、カード検知要求を二度行わなければならない。
【００７６】
ただ、セキュアモジュールホルダー３０の制御部３２が、セキュアモジュール２０のローカル通信機能を有効化する際（８）に、セキュアモジュールホルダー３０とＲＷ１０との間で行ったカード検知処理（１）（２）の結果をセキュアモジュール２０に送り、ＲＷ１０によって割り振られたＣＩＤをセキュアモジュール２０に伝えることによって、二度
目のカード検知要求（９）（１０）の手順は、省略することができる。
【００７７】
（第３の実施形態）
本発明の第３の実施形態では、サービスアプリのＡＩＤと、そのサービスアプリのために認証処理を行う認証用アプリのＡＩＤとを同一に設定する場合について説明する。ここでは、認証処理が成功した後のＲＷとセキュアモジュールとの通信を、セキュアモジュールホルダーを介して行う場合について説明する。
【００７８】
このセキュアモジュールホルダー及びＲＷの構成は、第１の実施形態（図３）と変わりがない。
【００７９】
図６は、この場合の処理手順を示している。
【００８０】
セキュアモジュールホルダー３０に挿入されたセキュアモジュール２０のローカル通信機能を無効化する手順（ａ１）（ａ２）、及び、ＲＷ１０のカード検知要求に対してセキュアモジュールホルダー３０の制御部３２が応答するまでの（１）（２）の手順は、第１の実施形態（図４）と同じである。
【００８１】
ＲＷ１０がサービスアプリのＡＩＤを指定してカードアプリの選択を要求する（３）と、セキュアモジュールホルダー３０の制御部３２は、指定されたサービスアプリを格納するセキュアモジュール２０にカードアプリ選択要求を伝える（４）。なお、ＲＷ１０から受信したデータをセキュアモジュール２０に送信したり、セキュアモジュール２０から受信したデータをＲＷ１０に送信したりする場合に、セキュアモジュールホルダー３０の制御部３２がデータのデータフォーマット変換を行う点は、第１の実施形態と同じである。
【００８２】
カードアプリ選択要求を受信したセキュアモジュール２０の制御部２２は、指定されたサービスアプリ２３を起動した後、セキュアモジュールホルダー３０の制御部３２に応答を返す（５）。セキュアモジュールホルダー３０の制御部３２は、この応答を保存し、アクセス制御セキュアモジュール３４から、ＲＷ１０が指定したＡＩＤの認証用アプリを起動して（該当する認証用アプリが無い場合には、ダミーの認証用アプリを起動して）、ＲＷ１０に対して応答を返す（６）。
【００８３】
起動した認証用アプリは、アクセス制御情報のＲＷ認証情報を用いて、ＲＷ１０との間で認証処理を行う（７）。なお、ダミーの認証用アプリが認証処理を行う場合には、認証に失敗し、その時点で処理は停止する。
【００８４】
ＲＷ１０との認証に成功すると、ＲＷ１０からサービス処理のコマンドが送信される（８）。セキュアモジュールホルダー３０の制御部３２は、このコマンドを（５）で応答したセキュアモジュール２０に送信する（９）。起動済みのサービスアプリ２３は、このコマンドに応答し（１０）、ＲＷ１０のサービス実行部１２と、指定されたサービスアプリ２３とは、セキュアモジュールホルダー３０を介して通信し、サービスを実行するための処理が行われる（１１）。
【００８５】
このセキュアモジュールホルダー３０の制御部３２は、カードアプリ選択要求を行った時点でセキュアモジュール２０から応答があっても、ＲＷ１０の認証が済むまでは、ＲＷ１０とセキュアモジュール２０との通信を中継しない。また、選択要求されたカードアプリが全てのセキュアモジュール２０に存在しない場合でも、それが認証前のＲＷ１０に知られないように振舞う。
【００８６】
なお、カードアプリの選択要求をセキュアモジュール２０に伝える（４）（５）の手順
は、認証処理に成功し（７）、ＲＷ１０からサービス処理コマンドを受信した（８）後に行うようにしても良い。
【００８７】
このように、この方式では、サービスアプリのＡＩＤと認証用アプリのＡＩＤとを同一に設定しており、ＲＷ１０からサービスアプリの選択要求が行われたときに、同一ＡＩＤの認証用アプリを起動し、認証処理が成功した後でなければ、サービスアプリ２３とＲＷ１０との通信ができないように構成している。
【００８８】
また、認証処理が成功した後のＲＷ１０とセキュアモジュール２０との通信は、セキュアモジュールホルダー３０を介して行われる。
【００８９】
セキュアモジュールホルダー３０のプログラムは、制御部３２が、セキュアモジュール２０の非接触通信手段を無効化する手順と、ＲＷ１０のカードアプリ選択要求に対して同一ＡＩＤの認証用アプリを起動してＲＷ１０との認証処理を行わせる手順と、この認証処理に成功した場合に限り、ＲＷ１０とサービスアプリ２３との通信をサポートする手順とを実行することを規定している。
【００９０】
この方式の特色として、コマンドの書き換えを行うセキュアモジュールホルダー３０の負担は大きいが、ＲＷ１０に関しては、セキュアモジュールホルダー３０及びセキュアモジュール２０を意識する必要が無く、従来のＲＷ１０のプログラムを変更すること無く使用できる利点がある。
【００９１】
（第４の実施形態）
本発明の第４の実施形態では、サービスアプリのＡＩＤと、そのサービスアプリのために認証処理を行う認証用カードアプリのＡＩＤとを同一に設定するとともに、認証処理に成功した後のＲＷとセキュアモジュールとの通信を、セキュアモジュールの非接触通信手段を通じて行う場合について説明する。
【００９２】
このセキュアモジュールホルダー及びＲＷの構成は、第１の実施形態（図３）と変わりがない。
【００９３】
図７は、この場合の処理手順を示している。
【００９４】
セキュアモジュールホルダー３０に挿入されたセキュアモジュール２０のローカル通信機能を無効化する手順（ａ１）（ａ２）、及び、ＲＷ１０のカード検知要求から認証処理を行うまでの（１）（２）（３）（６）（７）の手順は、第３の実施形態（図６）の同一順番の手順と同じである。
【００９５】
セキュアモジュールホルダー３０の制御部３２は、認証処理に成功すると、その認証用アプリと同一ＡＩＤのサービスアプリ２３が格納されているセキュアモジュール２０のローカル通信機能を有効化（優先化）する（８）。
【００９６】
ＲＷ１０は、再度、リクエストコマンド（ＲＥＱＢ）を送信し（９）、セキュアモジュール２０は、ＳＭローカル無線通信手段２１を通じて応答する（１０）。ＲＷ１０は、サービスアプリ２３のＡＩＤを指定してカードアプリ選択を要求し（１１）、このカードアプリ選択要求を、ＳＭローカル無線通信手段２１を通じて受信したセキュアモジュール２０の制御部２２は、指定されたサービスアプリ２３を起動した後、ＳＭローカル無線通信手段２１を通じてＲＷ１０に応答を返す（１２）。
【００９７】
次いで、ＲＷ１０のサービス実行部１２と、指定されたサービスアプリ２３との間で、
ＲＷローカル無線通信手段１１及びＳＭローカル無線通信手段２１を介して、サービスを実行するための処理が行われる（１３）。
【００９８】
このように、この方式では、サービスアプリのＡＩＤと認証用アプリのＡＩＤとを同一に設定しており、ＲＷ１０からサービスアプリの選択要求が行われたときに、同一ＡＩＤの認証用アプリを起動し、認証処理が成功した後でなければ、サービスアプリ２３とＲＷ１０との通信ができないように構成している。
【００９９】
また、認証処理が成功した後のＲＷ１０とセキュアモジュール２０との通信は、セキュアモジュール２０の非接触通信手段を介して行われる。
【０１００】
セキュアモジュールホルダー３０のプログラムは、制御部３２が、セキュアモジュール２０の非接触通信手段を無効化する手順と、ＲＷ１０のカードアプリ選択要求に対して同一ＡＩＤの認証用アプリを起動してＲＷ１０との認証処理を行わせる手順と、この認証処理に成功した場合に限り、セキュアモジュール２０の非接触通信手段を有効化する手順とを実行させる。
【０１０１】
この方式の特色として、セキュアモジュールホルダー３０は、コマンドの書き換えが不要であるため、セキュアモジュールホルダー３０に掛かる負担が小さい。また、セキュアモジュールホルダー３０に挿入するセキュアモジュール２０は、従来のものがそのまま使用できる。反面、ＲＷ１０は、カード検知要求を二度行わなければならない。
【０１０２】
（第５の実施形態）
本発明の第５の実施形態では、第４の実施形態と同様に、サービスアプリのＡＩＤと、そのサービスアプリのために認証処理を行う認証用カードアプリのＡＩＤとを同一に設定するとともに、認証処理に成功した後のＲＷとセキュアモジュールとの通信を、セキュアモジュールの非接触通信手段を通じて行う場合であって、ＲＷに従来のＲＷがそのまま使用できる方式について説明する。
【０１０３】
このセキュアモジュールホルダー及びＲＷの構成は、第１の実施形態（図３）と変わりがない。
【０１０４】
図８は、この場合の処理手順を示している。
【０１０５】
セキュアモジュールホルダー３０に挿入されたセキュアモジュール２０のローカル通信機能を無効化する手順（ａ１）（ａ２）、及び、ＲＷ１０のカード検知要求から認証処理を行うまでの（１）（２）（３）（６）（７）の手順は、第３の実施形態（図６）の同一順番の手順と同じである。
【０１０６】
セキュアモジュールホルダー３０の制御部３２は、認証処理に成功すると、その認証用アプリと同一ＡＩＤのサービスアプリ２３が格納されているセキュアモジュール２０に対して、ローカル通信機能の有効化命令を送信する（８）。このとき、セキュアモジュールホルダー３０の制御部３２は、ＲＷ１０との「カード検知」処理（１）（２）で取得したＣＩＤ情報や、「カードアプリ選択」処理（３）（６）で指定されたＡＩＤ情報を、有効化処理と同時にセキュアモジュール２０に送信する。
【０１０７】
この有効化処理命令を受信したセキュアモジュール２０の制御部２２は、ＳＭローカル無線通信手段２１を有効化するとともに、指定されたＡＩＤのサービスアプリ２３を起動し、指定されたＣＩＤ情報をヘッダに含むサービスコマンドを受信した場合に応答するモードに移る。
【０１０８】
ＲＷ１０からサービス処理のコマンドが送信されると（９）、セキュアモジュール２０の制御部２２は、これをＳＭローカル無線通信手段２１で受信して、起動済みのサービスアプリ２３に送り、サービスアプリ２３は、このコマンドに応答し（１０）、ＲＷ１０のサービス実行部１２と、指定されたサービスアプリ２３とが、サービスを実行するための処理を行う（１１）。
【０１０９】
この場合、セキュアモジュールホルダー３０のプログラムは、制御部３２が、セキュアモジュール２０の非接触通信手段を無効化する手順と、ＲＷ１０のカードアプリ選択要求に対して同一ＡＩＤの認証用アプリを起動してＲＷ１０との認証処理を行わせる手順と、この認証処理に成功した場合に限り、セキュアモジュール２０の非接触通信手段を有効化し、且つ、ＲＷ１０から取得したＣＩＤやＡＩＤの情報をセキュアモジュール２０に提供する手順とを実行することを規定する。
【０１１０】
この方式の特色として、ＲＷ１０で使われている従来のプログラムを変える必要がないという利点がある。
【０１１１】
（第６の実施形態）
本発明の第６の実施形態では、ＲＷの認証に使用する認証情報等をセキュアモジュールホルダーのアクセス制御セキュアモジュールに設定する方法について説明する。
【０１１２】
広く普及している周知サービスの場合は、ＲＷの認証に使用する認証情報（この認証情報で認証できたＲＷには、対応するＡＩＤが有るとレスポンスを返しても良い情報）がセキュアモジュールホルダーのアクセス制御セキュアモジュールに予め設定されている。
【０１１３】
しかし、認証情報がアクセス制御セキュアモジュールに設定されていないサービスの場合は、その認証情報をアクセス制御セキュアモジュールに設定することが必要であり、そのため、サービスアプリと認証情報とが格納されたセキュアモジュールをセキュアモジュールホルダーに挿入し、このセキュアモジュールに格納された認証情報をアクセス制御セキュアモジュールに書き込む処理が行われる。
【０１１４】
この際、各認証情報についてのモードを登録（例えば、平日用と休日用）しておき、使用時にユーザがモード切替を行うことも想定できる。また、セキュアモジュールホルダー３０内にカレンダ機能を持っている場合は、例えば、平日モードとか夜間・休日モードに自動的にモード切替をすることも可能になる。
【０１１５】
図９は、この処理を行うセキュアモジュールホルダー３０とセキュアモジュール２０との構成を示している。セキュアモジュール２０は、ＳＭローカル無線通信手段２１、複数のカードアプリ（サービスアプリ）２３、ＳＭ通信手段２４及び制御部２２の他に、図１０に示すように、各カードアプリ２３に対してＲＷ認証情報、及び、このＲＷ認証情報を用いて行う認証方法が規定されたアクセス制御情報２６と、このアクセス制御情報２６のセキュアモジュールホルダー３０への書き込み時の処理を行うアクセス制限情報アプリ２５とを備えている。
【０１１６】
アクセス制御セキュアモジュール３４は、セキュアモジュールホルダー３０に直接内蔵されていても、セキュアモジュールホルダー３０に物理的に取り外し可能なモジュール（図９のセキュアモジュール２０とは別のモジュールを想定）に格納されていてもよい。
【０１１７】
また、セキュアモジュール２０内に実装され、他のセキュアモジュールに格納されているカードアプリに対するアクセス制御を行うことも可能となる。
【０１１８】
また、本人認証部情報入力部３６とアクセス制御セキュアモジュール３４とが、物理的に同一のモジュール上に実装されていて、取り外し可能になっていてもよい。この場合、ユーザは、好みの本人認証部情報入力手段（ＰＩＮ、虹彩、指紋、など）を選択して、セキュアモジュールホルダー３０に装着することが出来る。
【０１１９】
また、セキュアモジュールホルダー３０は、ＳＨローカル無線通信手段３１、ＳＨ通信手段３３及び制御部３２の他に、アクセス制御情報２６の書き込み時の処理を行うアクセス制限情報アプリ３５を保持したアクセス制御セキュアモジュール３４と、ユーザ本人を認証する情報が入力される本人認証情報入力部３６とを備えている。
【０１２０】
図１１は、セキュアモジュール２０をセキュアモジュールホルダー３０に挿入したときに、セキュアモジュール２０で保持されているアクセス制御情報２６が、セキュアモジュールホルダー３０のアクセス制御セキュアモジュール３４に書き込まれる手順を示している。
【０１２１】
セキュアモジュール２０がセキュアモジュールホルダー３０に挿入されると（１）、制御部３２は、セキュアモジュールホルダー３０の電源をオンにし、セキュアモジュールホルダー３０における本人認証のためのＰＩＮ入力を求める。ユーザが本人認証情報入力部３６からＰＩＮを入力すると（２）、制御部３２は、アクセス制御セキュアモジュール３４のアクセス制限情報アプリ３５にＰＩＮの検証を要求する（３）。アクセス制限情報アプリ３５は、入力されたＰＩＮとアクセス制御セキュアモジュール３４に予め登録されているＰＩＮとを照合して、ＰＩＮの検証結果を制御部３２に伝える（４）。この検証に成功すると、制御部３２は、セキュアモジュール２０における本人認証のためのＰＩＮ入力を求める。ユーザが本人認証情報入力部３６からＰＩＮを入力すると（５）、制御部３２は、セキュアモジュール２０のアクセス制限情報アプリ２５にＰＩＮの検証を要求する（６）。アクセス制限情報アプリ２５は、入力されたＰＩＮとセキュアモジュール２０に予め登録されているＰＩＮとを照合して、ＰＩＮの検証結果を制御部３２に伝える（７）。この検証にも成功すると、制御部３２は、セキュアモジュール２０のアクセス制限情報アプリ２５とアクセス制御セキュアモジュール３４のアクセス制限情報アプリ３５との通信を仲介する。双方のアクセス制限情報アプリ３５、２５は、ＰＫＩ（公開鍵基盤）を用いて相互認証し（８）、互いの公開鍵で、検証に用いたＰＩＮ情報（あるいは、登録されている指紋等の個人情報）を交換して、セキュアモジュールホルダー３０が検証した本人とセキュアモジュール２０が検証した本人とが同一人物で有ることを確認する（９）。次に、セキュアモジュール２０のアクセス制限情報アプリ２５は、アクセス制御セキュアモジュール３４のアクセス制限情報アプリ３５にアクセス制御情報２６を通知し（１０）、アクセス制限情報アプリ３５は、このアクセス制御情報２６をアクセス制御セキュアモジュール３４に格納する。
【０１２２】
また、図１２には、セキュアモジュール２０で保持されているアクセス制御情報２６をセキュアモジュールホルダー３０のアクセス制御セキュアモジュール３４に簡易に書き込むための手順を示している。
【０１２３】
セキュアモジュール２０がセキュアモジュールホルダー３０に挿入されると（１）、制御部３２は、セキュアモジュールホルダー３０の電源をオンにし、本人認証のためのＰＩＮ入力を求める。ユーザが本人認証情報入力部３６からＰＩＮを入力すると（２）、制御部３２は、アクセス制御セキュアモジュール３４のアクセス制限情報アプリ３５にＰＩＮの検証を要求する（３）とともに、セキュアモジュール２０のアクセス制限情報アプリ２５にも、入力されたＰＩＮの検証を要求する（５）。制御部３２は、アクセス制限情報アプリ３５及びアクセス制限情報アプリ２５から検証結果を得て（４）（６）、それらの検
証が共に成功した場合には、セキュアモジュール２０のアクセス制限情報アプリ２５にアクセス制御情報２６を要求し（７）、アクセス制限情報アプリ２５からアクセス制御情報を得て（８）、これをアクセス制御セキュアモジュール３４に格納する（９）。
【０１２４】
なお、本人認証のためには、指紋や掌紋等の生体情報を入力するようにしても良い。
【０１２５】
このように、セキュアモジュールホルダー３０及びセキュアモジュール２０の双方で本人認証を行うことにより、他人のセキュアモジュールホルダー３０に本人のセキュアモジュール２０を挿入して使用したり、本人のセキュアモジュールホルダー３０に他人のセキュアモジュール２０を挿入して使用したりする行為を防ぐことができる。
【０１２６】
図１３は、セキュアモジュール２０のカードアプリ（サービスアプリ）２３のアクセス制御情報２６がセキュアモジュールホルダー３０のアクセス制御セキュアモジュール３４に書き込まれている場合に、このセキュアモジュール２０が挿入されたセキュアモジュールホルダー３０をＲＷに翳してサービスアプリ２３のサービスを利用するときの処理手順の一例を示している。
【０１２７】
この手順は、第３の実施形態（図６）と同様に、サービスアプリのＡＩＤと認証用アプリのＡＩＤとが同一に設定され、また、ＲＷ１０とセキュアモジュール２０との通信が、セキュアモジュールホルダー３０を介して行われるパターンの例である。
【０１２８】
セキュアモジュールホルダー３０に挿入されたセキュアモジュール２０のローカル通信機能は無効化される（ａ１）（ａ２）。セキュアモジュールホルダー３０の制御部３２は、ＲＷ１０のカード検知要求に対して応答し（１）（２）、ＲＷ１０がサービスアプリのＡＩＤを指定してカードアプリ選択を要求すると（３）、そのＡＩＤの認証用アプリを起動した後、ＲＷ１０に応答を返す（４）。認証用アプリは、アクセス制御セキュアモジュール３４に格納されているアクセス制御情報を参照し、ＡＩＤに対応して指定されたＲＷ認証情報を用いて、指定された認証方法でＲＷを認証する（５）。
【０１２９】
この認証に成功すると、ＲＷ１０からサービス処理のコマンドが送信される（８）。セキュアモジュールホルダー３０の制御部３２は、指定されたＡＩＤのサービスアプリが格納されたセキュアモジュール２０にカードアプリ選択要求を伝える（７）。セキュアモジュール２０の制御部２２は、サービスアプリ２３を起動した後、セキュアモジュールホルダー３０の制御部３２に応答を返す（８）。セキュアモジュールホルダー３０の制御部３２は、サービス処理コマンドを（８）で応答したセキュアモジュール２０に送信する（９）。起動済みのサービスアプリ２３は、このコマンドに応答し（１０）、ＲＷ１０のサービス実行部１２と、指定されたサービスアプリ２３とは、セキュアモジュールホルダー３０を介して通信し、サービスを実行するための処理が行われる（１１）。
【０１３０】
このように、セキュアモジュール２０に、カードアプリ２３とともにアクセス制御情報２６を格納すると、このセキュアモジュール２０をセキュアモジュールホルダー３０に挿入したときに、アクセス制御情報２６がセキュアモジュールホルダー３０に書き込まれ、セキュアモジュール２０は、セキュアモジュールホルダー３０に挿入したままで利用することが可能になる。
【０１３１】
そのため、例えば小規模の商店であっても、店舗に設置したＲＷでのサービスを提供するカードアプリ２３と、そのアクセス制御情報２６とをセキュアモジュール２０に格納することにより、セキュアモジュールホルダー３０で利用可能なセキュアモジュール２０を簡単に発行することができる。
【０１３２】
（第７の実施形態）
本発明の第７の実施形態では、単独で使用するカード形状のセキュアモジュールに格納されたカードアプリの情報が、認証の済んでいないＲＷに知られないようにする方法について説明する。
【０１３３】
図１４は、この方法を実施するセキュアモジュール２０の構成を示している。
【０１３４】
このセキュアモジュール２０は、非接触通信手段であるＳＭローカル無線通信手段２１と、複数のカードアプリ（サービスアプリ）２３と、カードアプリ２３にアクセスするＲＷ１０を認証するアクセス制御手段２７と、セキュアモジュール２０の動作を制御する制御部２２とを備えている。制御部２２はＣＰＵで構成され、その動作がプログラムで規定される。
【０１３５】
アクセス制御手段２７は、図３に示すセキュアモジュールホルダー３０のアクセス制御セキュアモジュール３４に格納されている認証用アプリと同様のアプリを有しており、また、図１０に示すような、各カードアプリ２３についてのアクセス制御情報を保持している。認証用アプリは、ＲＷ１０を認証する際、このアクセス制御情報を参照し、カードアプリ２３に応じたＲＷ認証情報を用いて、指定された認証方法により認証処理を行う。
【０１３６】
この認証用アプリのＡＩＤは、第１及び第２の実施形態と同様に、カードアプリとは別に設定しても良く、また、第３及び第４の実施形態と同様に、カードアプリと同一に設定しても良い。
【０１３７】
図１５は、認証用アプリのＡＩＤとカードアプリのＡＩＤとが異なる場合の処理手順を示している。
【０１３８】
ＲＷ１０は、通信領域へのセキュアモジュールの進入を検知するために、リクエストコマンド（ＲＥＱＢ）を周期的に送信する（１）。ユーザがセキュアモジュール２０をＲＷ１０に翳し、ＳＭローカル無線通信手段２７がＲＥＱＢを受信すると、制御部２２は、衝突防止手順に従って、ＳＭローカル無線通信手段２１を通じて応答する（２）。
【０１３９】
ＲＷ１０は、サービスアプリに対応する認証用アプリのＡＩＤを指定してカードアプリ選択要求を送り（３）、制御部２２は、アクセス制御手段２７に格納されている、指定された認証用アプリを起動した後、ＲＷ１０に応答を返す（４）。起動した認証用アプリは、アクセス制御情報を参照し、対応するサービスアプリに対して指定されているＲＷ認証情報を用いて、ＲＷ１０との間で相互認証処理を実行する（５）。認証処理が成功すると、ＲＷ１０は、目的のサービスアプリ２３のＡＩＤを指定してカードアプリ選択を要求する（６）。セキュアモジュール２０の制御部２２は、認証処理が成功しているため、このカードアプリ選択要求で指定されているサービスアプリを起動し（７）、起動したサービスアプリからの応答があると（８）、ＲＷ１０に対してカードアプリ選択の応答を返す（９）。
【０１４０】
次いで、ＲＷ１０のサービス実行部１２と、指定されたサービスアプリ２３との間でサービスを実行するための処理が行われる（１０）。
【０１４１】
また、図１６は、認証用アプリのＡＩＤとカードアプリのＡＩＤとが同一である場合の処理手順を示している。
【０１４２】
ＲＷ１０は、通信領域へのセキュアモジュールの進入を検知するために、リクエストコマンド（ＲＥＱＢ）を周期的に送信する（１）。ユーザがセキュアモジュール２０をＲＷ
１０に翳し、ＳＭローカル無線通信手段２７がＲＥＱＢを受信すると、制御部２２は、衝突防止手順に従って、ＳＭローカル無線通信手段２１を通じて応答する（２）。
【０１４３】
ＲＷ１０は、サービスアプリのＡＩＤを指定してカードアプリ選択要求を送り（３）、制御部２２は、アクセス制御手段２７に格納されている、同一ＡＩＤの認証用アプリを起動した後、ＲＷ１０に応答を返す（４）。起動した認証用アプリは、アクセス制御情報を参照し、指定されているＲＷ認証情報を用いて、ＲＷ１０との間で相互認証処理を実行する（５）。認証処理が成功すると、ＲＷ１０は、セキュアモジュール２０にサービス処理コマンドを送信する（６）。セキュアモジュール２０の制御部２２は、認証処理が成功しているため、カードアプリ選択要求で指定されているサービスアプリを起動し（７）、起動したサービスアプリからの応答があると（８）、そのサービスアプリにサービスコマンドを送り（９）、サービスアプリは、ＲＷ１０に応答を返す（１０）。
【０１４４】
次いで、ＲＷ１０のサービス実行部１２と、指定されたサービスアプリ２３との間でサービスを実行するための処理が行われる（１１）。
【０１４５】
このセキュアモジュール２０のプログラムは、制御部２２が、ＲＷ１０との認証処理を行う手順と、この認証処理に成功した場合に限り、ＲＷ１０のサービスアプリ２３へのアクセスを許可する手順とを実行することを規定している。
【０１４６】
このように、ＲＷ１０は、アクセス制御手段２７との認証に成功すれば、カードアプリ２３へのアクセスが可能になる。従って、正しいＲＷ１０だけがセキュアモジュール２０に格納されているカードアプリ２３を知ることができる。
【０１４７】
本明細書は、２００４年５月２４日出願の特願２００４−１５２９４３に基づくものである。この内容はすべてここに含めておく。
【産業上の利用可能性】
【０１４８】
本発明のセキュアモジュールは、サービス産業、販売業、流通業、生産業、製造業などの多くの分野で使用されている非接触ＩＣカードとして利用することができ、また、カード形状だけで無く、チップ状、スティック状など、各種の形状での利用が可能である。
【０１４９】
また、本発明のセキュアモジュールホルダーは、１または複数のセキュアモジュールを保持する電子財布として使用することができ、また、セキュアモジュールの搭載が可能な携帯電話やＰＤＦ等、他の機能を併せ持つ機器に適用することも可能である。
【０１５０】
本発明のプログラムは、こうしたセキュアモジュールホルダーやセキュアモジュールの動作を規定するために使用することができる。
【図面の簡単な説明】
【０１５１】
【図１】従来のセキュアモジュールとＲＷとの構成を示すブロック図
【図２】衝突防止手順とアプリの選択手順とを示すフロー図
【図３】本発明の第１の実施形態におけるセキュアモジュールホルダーの構成を示すブロック図
【図４】本発明の第１の実施形態におけるセキュアモジュールホルダーのセキュアモジュールに対するＲＷのアクセス制限手順を示すフロー図
【図５】本発明の第２の実施形態におけるセキュアモジュールホルダーのセキュアモジュールに対するＲＷのアクセス制限手順を示すフロー図
【図６】本発明の第３の実施形態におけるセキュアモジュールホルダーのセキュアモジュールに対するＲＷのアクセス制限手順を示すフロー図
【図７】本発明の第４の実施形態におけるセキュアモジュールホルダーのセキュアモジュールに対するＲＷのアクセス制限手順を示すフロー図
【図８】本発明の第５の実施形態におけるセキュアモジュールホルダーのセキュアモジュールに対するＲＷのアクセス制限手順を示すフロー図
【図９】本発明の第６の実施形態におけるセキュアモジュールホルダー及びセキュアモジュールの構成を示すブロック図
【図１０】本発明の第６の実施形態におけるアクセス制御情報のデータ構造を示す図
【図１１】本発明の第６の実施形態におけるアクセス制御情報の設定手順を示すフロー図
【図１２】本発明の第６の実施形態におけるアクセス制御情報の第２の設定手順を示すフロー図
【図１３】本発明の第６の実施形態におけるアクセス制御情報を利用してセキュアモジュールホルダーのセキュアモジュールに対するＲＷのアクセス制限を行う手順を示すフロー図
【図１４】本発明の第７の実施形態におけるセキュアモジュールの構成を示すブロック図
【図１５】本発明の第７の実施形態におけるセキュアモジュールに対するＲＷのアクセス制限手順を示すフロー図
【図１６】本発明の第７の実施形態におけるセキュアモジュールに対するＲＷの第２のアクセス制限手順を示すフロー図
【図１】
0004653087.tif 000002
【図２】
0004653087.tif 000003
【図３】
0004653087.tif 000004
【図４】
0004653087.tif 000005
【図５】
0004653087.tif 000006
【図６】
0004653087.tif 000007
【図７】
0004653087.tif 000008
【図８】
0004653087.tif 000009
【図９】
0004653087.tif 000010
【図１０】
0004653087.tif 000011
【図１１】
0004653087.tif 000012
【図１２】
0004653087.tif 000013
【図１３】
0004653087.tif 000014
【図１４】
0004653087.tif 000015
【図１５】
0004653087.tif 000016
【図１６】
0004653087.tif 000017