(57)【特許請求の範囲】
【請求項１】
データ通信ネットワーク（4）と、当該データ通信ネットワークに接続される端末装置（ＭＳ）と、当該端末装置に接続されているとともに、前記端末装置によって使用されるために格納されているアプリケーションを含んでおり、前記データ通信ネットワークを利用する加入者識別モジュール（ＳＩＭ）と、前記データ通信ネットワークに接続されるアプリケーション制御サーバー（1）と、を有するデータ通信システムにおける前記加入者識別モジュールに格納されているアプリケーションを制御する制御方法であって、
前記加入者識別モジュール（ＳＩＭ）には、格納されている前記アプリケーションおよび加入者識別に関係づけられた複数のキーを含むＳＩＭ用キーリストが初期設定により予め格納されており、当該複数のキーは、前記アプリケーションを停止するのに使用される停止キーと、前記アプリケーションを起動するのに使用される起動キーとを含んでおり、
前記制御方法は、
前記加入者識別モジュール（ＳＩＭ）に格納されている前記ＳＩＭ用キーリストに対応しており、前記加入者識別に関係づけられているサーバー用キーリストを、前記アプリケーション制御サーバー（1）によって予め格納しておくステップと、
外部から取得された前記加入者識別および指示に基づいて、当該加入者識別に関係づけられている前記サーバー用キーリストに格納されている前記起動キーを含む起動用メッセージと、前記サーバー用キーリストに格納されている前記停止キーを含む停止用メッセージとのうちの一つのメッセージを前記アプリケーション制御サーバー（1）が生成するステップと、
前記起動用メッセージと前記停止用メッセージとのうちの生成された前記一つのメッセージを前記アプリケーション制御サーバー（1）が前記加入者識別モジュールに送信するステップと、
前記アプリケーション制御サーバー（1）からの前記起動用メッセージと前記停止用メッセージとのうちの生成された前記一つのメッセージを前記加入者識別モジュールが受信した後に、当該加入者識別モジュールが、前記起動用メッセージと前記停止用メッセージとのうちの受信された前記一つのメッセージに含まれるキーを、前記加入者識別モジュールに格納されている前記ＳＩＭ用キーリストに対して照合し、前記一つのメッセージに含まれるキーが、前記ＳＩＭ用キーリストとして格納されている複数のキーのうちの一つに一致するか否かを識別するステップと、
前記一つのメッセージに含まれるキーが、前記加入者識別モジュールにおいて格納されている前記ＳＩＭ用キーリストに含まれる前記起動キーと一致する場合には、前記加入者識別モジュールが前記アプリケーションを起動する一方、前記一つのメッセージに含まれるキーが、前記加入者識別モジュールにおいて格納されている前記ＳＩＭ用キーリストに含まれる前記停止キーと一致する場合には、前記加入者識別モジュールが前記アプリケーションを停止するステップと、
を有することを特徴とする制御方法。
【請求項２】
前記加入者識別モジュール（ＳＩＭ）は、前記アプリケーションを起動および／または停止させるためのモジュール（2,3）を含んでいることを特徴とする請求の範囲第１項に記載の制御方法。
【請求項３】
前記アプリケーション制御サーバーにおいて、前記サーバー用キーリストは、前記加入者識別モジュールに一対一に対応する一意的な識別子によって、前記加入者識別モジュールにリンクされていることを特徴とする請求の範囲第１項または第２項のいずれか一つに記載の制御方法。
【請求項４】
前記アプリケーション制御サーバー（1）を介して、アプリケーションに対する有効なアクセス権が前記ＳＩＭ用キーリストに基づいて照合され、有効なアクセス権が存在する場合には、前記アプリケーションによって必要とされる特別のデータがアプリケーション制御サーバーから送信されることを特徴とする請求の範囲第１項〜第３項のいずれか１つに記載の制御方法。
【請求項５】
前記アプリケーション制御サーバー（1）と前記端末装置（ＭＳ）間の前記起動用メッセージと前記停止用メッセージとのうちの生成された前記一つのメッセージは、暗号化されていることを特徴とする請求の範囲第１項〜第４項のいずれか一つに記載の制御方法。
【請求項６】
電気通信回線の接線は、前記端末装置（ＭＳ）と、接続されている加入者識別モジュール（ＳＩＭ）との間で確立されるとともに、他方で、移動体通信網の如き電話網を介してアプリケーション制御サーバー（1）との間で確立されることを特徴とする請求の範囲第１項〜第５項のいずれか一つに記載の制御方法。
【請求項７】
データ通信ネットワーク（4）は、ＧＳＭネットワークであり、前記端末装置（ＭＳ）は、ＧＳＭ電話機であることを特徴とする請求の範囲第１項〜第６項のいずれか一つに記載の制御方法。
【発明の詳細な説明】
本発明は、加入者識別モジュールに記憶されているアプリケーションのキーの制御に関する権利を照合するための請求の範囲第１項の前文において定義される手順と、この種のアプリケーションの使用とに関する。
移動通信ネットワーク、特に、ＧＳＭ（移動通信グローバルシステム）ネットワークの発展に伴い、ネットワークを経由して提供されるサービスも、同様に発達している。特に、移動通信ネットワークを利用し、かつ高いレベルのデータ保護を必要としているアプリケーションとしての、サービスに対する支払い、注文、注文の確認、支払い指示、銀行サービス等において、直面する問題は、キーによる特定用途のアプリケーションの制御を安全に行うこと、および、各オペレータ側によって独立して提供されるサービスに関する契約料金の支払いに関するものである。この問題は、ＧＳＭ端末で使用される加入者識別モジュールが、複数の企業によって生産されること、および、アプリケーションを提供している多くの会社や、加入者識別モジュールを顧客に提供する複数のオペレータが存在することのために、大きな問題となってきている。それに加えて、ＧＳＭネットワークのサービスを提供するために用いられるアプリケーションは、外部のソフトウェア供給業者等によって提供される場合が多い。これは、アプリケーションについての契約については、ソフトウェア供給業者自体が行わなければならないことを意味する。
アプリケーションの使用による契約料金を請求する場合、アプリケーションの使用状況を慎重に確認すること、およびアプリケーションを使用したといえるための境界を定義することが必要である。この目的を達成する解決策は従来存在しておらず、少なくとも、加入者識別モジュールおよびそれに記憶されるアプリケーションに関するパスワードの集中的な制御を可能とするための解決策は、従来は存在しなかった。
本発明の目的は、上記欠点を除去することである。
本発明の具体的な目的は、加入者識別モジュールを使用するアプリケーションのキーを制御ないし管理し、この種のアプリケーションの使用に関する契約の同意について制御ないし管理するために適用可能であり、かつ、異なる複数のサービス供給業者から独立した集中的な形態においても容易に実行できる新しいタイプの制御手順を提供することである。
本発明の別の目的は、高いレベルのデータ保護を有し、オペレータ、モジュールの生産者、アプリケーション開発者、およびアプリケーションユーザの利益に対し、柔軟で信頼性の高い安全保障措置を可能とする手順を、提供することである。
本発明の特徴に係る機能に関しては、請求の範囲が、参照される。
加入者識別モジュールに記憶されるアプリケーションの制御手順に関し、データ通信システムは、好ましくは、データ通信ネットワークと、データ通信ネットワークに接続される端末装置とを有する。好ましくは、データ通信ネットワークは、ＧＳＭネットワークであり、端末装置は、ＧＳＭ電話機である。ＧＳＭ電話機は、好ましくは、加入者識別モジュール、および、それに記憶されるアプリケーションとを備えており、データ通信ネットワークを利用し、かつ端末装置を介し、利用可能な銀行サービスあるいは他のサービスのために使用される。データ通信システムもまた、データ通信ネットワークに接続しているアプリケーション制御サーバー（１）を有する。アプリケーション制御サーバーは、好ましくは、コンピュータあるいはその等価物であり、データ通信ネットワークへの接続を確立するための手段と、必要なアプリケーションを実行するためのソフトウェアとを有している。本ソフトウェアは、好ましくは、サービスプロバイダ、あるいは特にマネジメントサービスを提供するデータ通信供給業者によって、管理される。
本発明によれば、格納されている前記アプリケーションおよび加入者識別に関係づけられた複数のキーを含んでいるＳＩＭ用キーリストが初期設定により予め、加入者識別モジュールに、記憶される。ＳＩＭ用キーリストは、好ましくは、加入者識別モジュールに対応する一意的な識別子を使用することによって、加入者識別モジュールとリンクあるいは連結されている。また、前記ＳＩＭ用キーリストに対応しており前記加入者識別に関係づけられているサーバー用キーリスト（corresponding list）が、アプリケーション制御サーバーにも記憶されている。アプリケーション制御サーバーは、外部から取得された前記加入者識別および指示に基づいて、当該加入者識別に関係づけられている前記サーバー用キーリストに格納されている前記起動キーを含む起動用メッセージと、前記サーバー用キーリストに格納されている前記停止キーを含む停止用メッセージとのうちの一つのメッセージを生成する。次いで、アプリケーション制御サーバーは、前記一つのメッセージを前記加入者識別モジュールに送信する。前記一つのメッセージを受信した後に、加入者識別モジュールは、前記起動用メッセージと前記停止用メッセージとのうちの受信された前記一つのメッセージに含まれるキーを、前記加入者識別モジュールに格納されている前記ＳＩＭ用キーリストに対して照合し、前記一つのメッセージに含まれるキーが、前記ＳＩＭ用キーリストとして格納されている複数のキーのうちの一つに一致するか否かを識別する。前記一つのメッセージに含まれるキーが、前記加入者識別モジュールにおいて格納されている前記ＳＩＭ用キーリストに含まれる前記起動キーと一致する場合には、前記加入者識別モジュールによって前記アプリケーションが起動される一方、前記一つのメッセージに含まれるキーが、前記加入者識別モジュールにおいて格納されている前記ＳＩＭ用キーリストに含まれる前記停止キーと一致する場合には、前記加入者識別モジュールによって、前記アプリケーションが停止される。
したがって、本発明の手順においては、スマートカード上の異なるアプリケーションを起動あるいは停止させるために必要なキーＫ（１），Ｋ（２），・・・，Ｋ（Ｎ），ＫＡ（１），ＫＡ（２）を有するキーリストが、移動局のスマートカード（ＳＩＭカード）に、記憶される。また、ＳＩＭカードあるいは加入者識別モジュールは、好ましくは、アプリケーションを起動あるいは停止するためのモジュールを含んでいる。製造段階で、ＳＩＭカードは、公知の方法によって、保護モジュールを備え、初期設定されている。起動／停止モジュールは、スマートカードを利用する電子式サイン（electronic signature）等のアプリケーションを、キー制御システムによって、必要に応じて起動／停止可能とすることを確実にするために、使用される。したがって、本発明に係る手順は、従来から知られているＳＩＭカードキー制御システムに加えて、特定用途のアプリケーションキー制御を、実行する。
特定用途のアプリケーションキー制御システムは、アプリケーションにおいて必要とされるキーを、認識するものである。これらのキーは、移動通信オペレータのキー制御システム側においては認識しておく必要がなくなる。したがって、本発明に係る特定用途のアプリケーションキー制御システムは、オペレータのキー制御システムから分離可能であり、データ通信ネットワークおよびオペレータから独立して、サービスを提供することができるようになる。アプリケーションに密接に関係するキー制御システムは、基礎的な移動通信サービスにおいて、公知の方法によってユーザ識別のために使用されるテレオペレーターのキーを、認識する必要はない。アプリケーションのためのキー制御は、保護されているデータベースにおいて実行され、また、ＳＩＭカードを利用した高いレベルのデータ保護を必要とする特定用途のアプリケーションサービスは、データベースからの起動および停止が可能となる。
従来技術と比較して、本発明の手順ないし方法は、キー制御を集中実行できることとともに、異なるオペレータによる複数のネットワークにおける全てのサービスプロバイダーにとって高いレベルのデータ機密保護を必要とするサービスに関して、ユーザのローカルな識別を許可できるという利点を有する。
さらに、本発明の手順は、異なるアプリケーションに、特定ユーザー向けの支払および許可の制御および請求伝票発行業務ないしビリングを許容する。
本発明の実施形態において、加入者識別モジュールに保存されたアプリケーションに対するユーザのアクセス権の有効性は、周期的に確認されている。もし、アクセス権が存在しない場合に、ある種のキーを使用するならば、加入者識別モジュールのアプリケーションを停止することができる。加入者識別モジュールに保存されたアプリケーションの起動に関連して、加入者識別モジュールに対して、アプリケーションの起動に関するメッセージが送信される。前記メッセージは、アプリケーションにおいて使用されるアプリケーションキーｋ（ｎ）を含んでいる。アプリケーション制御サーバーにおいては、アプリケーションキーは、加入者識別モジュールに対応する一意的な識別子に付加されている。このキーリストに基づいて、好ましくは、アプリケーションに対するアクセス権が、アプリケーション制御サーバにおいて確認される。その結果、有効なアクセス権が存在するならば、アプリケーションにおいて必要とされる特別なデータ、例えばサービス説明や特定用途向けのユーザーインターフェースコードが送信されることになる。
本発明の実施形態において、アプリケーション制御サーバと端末装置との間の全てのメッセージは、メッセージの内容に拘わらず暗号化されている。
以下、添付図面を参照しつつ本発明の実施形態を説明する。ここに、
図１は、本発明の手順ないし方法を使用し得る好適なデータ通信システムを示し、
図２は本発明の手順の好適な実施形態のブロック図を示している。
図１は、本発明の手順を実行し得るデータ通信システムの例を示している。図１に示されるデータ通信システムは、ＧＳＭ電話網ないしＧＳＭ電話ネットワーク４を備えている。このＧＳＭネットワークに接続されるのは、そのネットワークと互換性があると共に加入者識別モジュールＳＩＭを備えた移動局ＭＳである。国際公開ＷＯ９０／１１８４９に示されるような公知のセキュリティモジュールを使用して、製造するのと一緒に、加入者識別モジュールＳＩＭが初期設定されている。さらに、加入者識別モジュールは、起動モジュール２および停止モジュール３を有し、これらのモジュールは、アプリケーションを起動したり停止したりするために用いられる。
サービスプロバイダーのアプリケーション制御サーバ１は、ＧＳＭネットワークに接続されると共に、例えば電話網ＰＳＴＮ／ＩＳＤＮを介して、サービスプロバイダーの装置に接続されている。アプリケーション制御サーバ１とＧＳＭ電話ＭＳとの間の接続は、音声接続、データ接続あるいはショートメッセージ接続のいずれかとして、通常のＧＳＭ実行にしたがって確立される。さらに言えば、電話ネットワーク４は、例えばＣＤＭＡネットワーク、ＰＣＮネットーワーク、ＵＭＴＳネットワークあるいは同等のもののような他のいかなるデータ通信ネットワークでもよく、これに対応して、端末装置は、加入者識別モジュールや同等のものが接続され得るデータ通信ネットワークと互換性がある他のいかなる端末装置でもよい。
図２は、加入者識別モジュールにおけるアプリケーションの制御における種々のステージを例示するブロック図を示している。種々のステージはアプリケーション制御サーバによって実行される。ここで用いる例は、銀行アプリケーションであり、この銀行アプリケーションでは、ＧＳＭ電話ＭＳおよびこれに接続される加入者識別モジュールＳＩＭに保存されるアプリケーションを使用して、銀行は当該銀行のサービスを使用する権利を顧客に与えている。
顧客は、ＳＩＭカード毎に対応した識別子（ＵＩＤ）を所持する。キーＫＡ１、ＫＡ２と同様に、識別子（ＵＩＤ）およびアプリケーション（ｎ）に対応するキーｋ（ｎ）は、アプリケーション制御サーバ１における特定用途向けのキー制御システムに保存されている。顧客は、銀行サービスに基づく移動局の使用について、銀行と契約する。すると、銀行は、特定用途向けカード制御システムに、顧客のＳＩＭカードに対応するＵＩＤを送信する。この後、特定用途向けカード制御システムは、ＵＩＤに対応するＳＩＭカードに、オープニングメッセージを送信する。オープニングメッセージは、顧客のユーザーキーである前記ｋ（ｎ）と、登録可能なメッセージとを含んでいる。この顧客ユーザーキーｋ（ｎ）は、銀行のサービスを受けるために必要とされ、カード上に保存されたアプリケーションを起動させるために後に使用されるものである。顧客は、カード制御システムによって送信されたキーｋ（ｎ）を使用することにより、移動局を銀行モードにセットでき、カード制御システムに登録するメッセージの送信および応答をセットできる。キーｋ（ｎ）はまた、暗号化された形式で送信することができ、暗号化されたキーはＳＩＭカード上の解読プログラムにより解読ないし復元される。こうして、顧客は、関連する銀行サービスを使用する権利を与える許可キーを有することになる。キーは、特定カード向けのものであり、個々のカード上に保存されるアプリケーションを起動させるだけであるので、部外者には役に立たないものである。
カードの起動に関し、顧客が前記登録を確認すると、顧客は契約料の料金を送信することができる。特定用途のカード制御システムは、銀行サービスを起動するために必要とされる前記識別子ＫＡ（１）を含む必要な識別子を銀行に対して送信する。銀行において、顧客、および当該カード制御システムによって送信される特定用途の識別子は、それぞれの銀行サービスと関連している。銀行は、特定用途の起動コードＫＡ（１）を使用することによって、サービスメニューや、サービスの利用に必要とされる識別子と同様に銀行サービスにおいて必要な形態（forms）を顧客のカードにロードすることができ、これにより銀行サービスが顧客にとって利用可能となる。銀行特有なサービスメニューやサービス形態が、「ダイナミックメニューロード」方法によって移動局にあるいは本質的に公知の方法であるＯＴＡ（無線）によりＳＩＭカードに伝送される。前記コードＫＡ（１）が正しい場合、前記カード上の起動／停止モジュールは、ロードを受け入れ、カードは銀行サービスのために起動された状態となる。
最終的に、上記したプロセスは、図２のブロック図を参照することにより詳細に示される。銀行では、顧客が、移動局ＭＳを利用すること、および銀行サービスに移動局をリンクすることについての同意がなされる（ブロック２１）。同時に、顧客の加入者識別モジュールと一対一に対応する一意的な識別子（ＵＩＤ）が、上述のようなサービスに関連づけられる（リンクされる）。顧客は、前記同意する場合には、アプリケーション利用のために要求される契約状態を受け入れる。銀行は、アプリケーション制御サーバ１を介して加入者識別モジュールと一対一に対応する一意的な識別子（ＵＩＤ）であって、加入者識別モジュールのアプリケーションを起動するためのものを特定用途の加入者識別モジュール制御システムに対して送信する（ブロック２２）。加入者識別モジュール制御システムは、顧客の移動局に対して登録確認を送信することによって加入者識別モジュールＳＩＭを初期化する（ブロック２３）。同時に、顧客は、キーｋ（ｎ）を受け取り、彼/彼女の移動局や、銀行モードに関連した加入者識別モジュールを切り換えるために使用し、そして後にサービスを開くことがためのキーｋ（ｎ）を受け取ることができる。
ブロック２４において、顧客が移動局にキーｋ（ｎ）を入力すると、加入者識別モジュール制御システムによって送信されて登録されているメッセージに同意することによって登録が受け入れられる。この後、加入者識別モジュール制御システムは、特別用途のメニューや顧客識別子が、移動局や加入者識別モジュールにロードされるように、銀行のアプリケーション利用に必要とされるキーを銀行に対して送信する（ブロック２５）。そして、顧客の移動局は、開かれ、起動され、銀行サービスの利用のために、準備される（ブロック２６）。顧客がシステムを誤用したりあるいは同意という言語を認識することに失敗すると、加入者識別モジュール制御システムは、加入者識別モジュールでのアプリケーションを停止することができる。このアプリケーションは、停止キーを備えた停止用のメッセージを使用して停止される。
顧客が、例えばサービスの代金として払われる年間の契約料金のようなアプリケーションの使用に対する後払いを行うことができなければ、アプリケーションの使用を、キー制御システムから停止メッセージを加入者識別モジュールＳＩＭに送ることによって、停止することができる。暗号化された停止メッセージは、停止キーを有している。したがって、加入者識別モジュールのアプリケーションは、メッセージの送信側がカードに記憶されたアプリケーションを停止する権利を有することを認めることになる。同様に、加入者識別モジュールとともに移動局が失なわれると、カードあるいはアプリケーションは、停止できる。アプリケーションは、特定用途のキー制御システムからの対応する手段で再び開かれたり起動されることが可能である。
本発明は、上記例示した実施形態に、制限されるものではなく、多くの変形が請求の範囲により定義される発明の思想の範囲内で可能である。
【図１】
0004212066.tif 000002
【図２】
0004212066.tif 000003