(57)【特許請求の範囲】
【請求項１】
ＩＣチップ間で価値情報を移動させるためのデータ転送システムであって、
ＩＣチップ内の価値情報を移動する際に、ＩＣチップの鍵を通常使用時の本鍵から一時的な仮鍵に変更するための鍵変更ロジックを格納した管理用ＳＡＭを備えた価値情報移動用サーバと、
価値情報サービスを行なうプロバイダが設置するアプリケーション・サーバに設けられた、ＩＣチップ内の価値情報を通常使用する際に用いる本鍵と価値情報を通常使用するための通常使用ロジックを格納した通常ＳＡＭ、及び、前記価値情報移動用サーバの管理用ＳＡＭが発行する仮鍵と価値情報を移動するための移動ロジックを格納した移動用ＳＡＭと、
ＩＣチップと前記価値情報移動用サーバ間、前記価値情報移動用サーバと前記移動用ＳＡＭ間、ＩＣチップと前記移動用ＳＡＭ間を接続する接続手段と、
前記価値情報移動用サーバの管理用ＳＡＭが、前記接続手段を介して移動元のＩＣチップと通信し、移動元のＩＣチップ内の価値情報にアクセスするための鍵を前記鍵変更ロジックに従って本鍵から仮鍵に変更して、前記プロバイダ内の通常ＳＡＭが前記通常使用ロジックを用いて移動元のＩＣチップ内の価値情報にアクセスできなくなるとともに、前記移動用ＳＡＭが前記移動ロジックを用いて移動元のＩＣチップ内の価値情報へのアクセス可能にする本鍵変更手段と、
前記移動用ＳＡＭが、前記価値情報移動用サーバからの要求に応じて、前記接続手段を介して移動元のＩＣチップと通信して、移動元のＩＣチップ内にある仮鍵を用いて相互認証を行い、前記移動ロジックに従って移動元のＩＣチップから前記移動用ＳＡＭへ価値情報をアップロードするアップロード手段と、
前記価値情報移動用サーバの管理用ＳＡＭが、前記接続手段を介して移動先のＩＣチップと通信し、仮鍵を用いて移動先のＩＣチップを初期化する初期化手段と、
前記移動用ＳＡＭが、前記価値情報移動用サーバからの要求に応じて、前記接続手段を介して移動先のＩＣチップと通信して、移動先のＩＣチップ内にある仮鍵を用いて相互認証を行い、前記移動ロジックに従って移動元のＩＣチップからアップロードしておいた価値情報を移動先のＩＣチップへダウンロードするダウンロード手段と、
前記移動用ＳＡＭが移動先のＩＣチップへの価値情報の移動を完了したときに、前記価値情報移動用サーバの管理用ＳＡＭが、前記鍵変更ロジックに従って移動先のＩＣチップにおいて仮鍵を本鍵に変更して、前記プロバイダ内の通常ＳＡＭが前記通常使用ロジックを用いて移動先のＩＣチップ内の価値情報にアクセス可能にする本鍵復元手段と、
を具備し、
ＳＡＭ（Ｓｅｃｕｒｅ  Ａｐｐｌｉｃａｔｉｏｎ  Ｍｏｄｕｌｅ）は耐タンパ性を持つハードウェアモジュールであり、各ＳＡＭとＩＣチップは互いが格納する鍵で相互認証し、ＳＡＭに格納されたロジックに従ってＩＣチップ内の価値情報へのアクセスを行なう、
ことを特徴とするデータ転送システム。
【請求項２】
ＩＣチップ内には複数種類の価値情報を格納することができ、
前記プロバイダは、価値情報の種類毎に通常ＳＡＭ及び移動用ＳＡＭを用意するアプリケーション・サーバを設置しており、
前記価値情報移動用サーバは、移動元のＩＣチップ内に格納されているすべての価値情報の種類を検知し、各価値情報を管理するプロバイダが設置するアプリケーション・サーバの移動用ＳＡＭを特定し、
移動元のＩＣチップ内のすべての価値情報について、前記アップロード手段による移動元のＩＣチップから前記移動用ＳＡＭへの価値情報のアップロードを繰り返し、
前記移動用ＳＡＭへアップロードされたすべての価値情報について、前記ダウンロード手段による前記移動用ＳＡＭから移動先のＩＣチップへの価値情報のダウンロードを繰り返す、
ことを特徴とする請求項１に記載のデータ転送システム。
【請求項３】
ＩＣチップの鍵を通常使用時の本鍵から一時的な仮鍵に変更するための鍵変更ロジックを格納した管理用ＳＡＭを備えた価値情報移動用サーバと、価値情報サービスを行なうプロバイダが設置する、ＩＣチップに格納された価値情報を通常使用する際に用いる本鍵と価値情報を通常使用するための通常使用ロジックを格納した通常ＳＡＭ及び前記価値情報移動用サーバの管理用ＳＡＭが発行する仮鍵と価値情報を移動するための移動ロジックを格納した移動用ＳＡＭを備えたアプリケーション・サーバで構成されるデータ転送システムにおいて、ＩＣチップ間で価値情報を移動させるためのデータ転送方法であって、ＩＣチップと前記価値情報移動用サーバ間、前記価値情報移動用サーバと前記移動用ＳＡＭ間、ＩＣチップと前記移動用ＳＡＭ間は所定の接続手段を介して接続されており、
前記価値情報移動用サーバの管理用ＳＡＭが、前記接続手段を介して移動元のＩＣチップと通信し、移動元のＩＣチップ内の価値情報にアクセスするための鍵を前記鍵変更ロジックに従って本鍵から仮鍵に変更する本鍵変更ステップと、
前記移動用ＳＡＭが、前記価値情報移動用サーバからの移動要求に応じて、前記接続手段を介して移動元のＩＣチップと通信して、移動元のＩＣチップ内にある仮鍵を用いて相互認証を行い、前記移動ロジックに従って移動元のＩＣチップから前記移動用ＳＡＭへ価値情報をアップロードするアップロード・ステップと、
前記価値情報移動用サーバの管理用ＳＡＭが、前記接続手段を介して移動先のＩＣチップと通信し、仮鍵を用いて移動先のＩＣチップを初期化する初期化ステップと、
前記移動用ＳＡＭが、前記価値情報移動用サーバからの要求に応じて、前記接続手段を介して移動先のＩＣチップと通信して、移動先のＩＣチップ内にある仮鍵を用いて相互認証を行い、前記移動ロジックに従って移動元のＩＣチップからアップロードしておいた価値情報を移動先のＩＣチップへダウンロードするダウンロード・ステップと、
前記移動用ＳＡＭが移動先のＩＣチップへの価値情報の移動を完了したときに、前記管理用ＳＡＭが、前記鍵変更ロジックに従って移動先のＩＣチップにおいて仮鍵を本鍵に変更する本鍵復元ステップと、
を具備し、
ＳＡＭ（Ｓｅｃｕｒｅ  Ａｐｐｌｉｃａｔｉｏｎ  Ｍｏｄｕｌｅ）は耐タンパ性を持つハードウェアモジュールであり、各ＳＡＭとＩＣチップは互いが格納する鍵で相互認証し、ＳＡＭに格納されたロジックに従ってＩＣチップ内の価値情報へのアクセスを行なう、
ことを特徴とするデータ転送方法。
【請求項４】
ＩＣチップ内には複数種類の価値情報を格納することができ、
前記プロバイダは、価値情報の種類毎に通常ＳＡＭ及び移動用ＳＡＭを用意するアプリケーション・サーバを設置しており、
前記価値情報移動用サーバが、移動元のＩＣチップ内に格納されているすべての価値情報の種類を検知し、各価値情報を管理するプロバイダが設置するアプリケーション・サーバの移動用ＳＡＭを特定するステップをさらに備え、
移動元のＩＣチップ内のすべての価値情報について、前記アップロード・ステップによる移動元のＩＣチップから前記移動用ＳＡＭへの価値情報のアップロードを繰り返し、
前記移動用ＳＡＭへアップロードされたすべての価値情報について、前記ダウンロード・ステップによる前記移動用ＳＡＭから移動先のＩＣチップへの価値情報のダウンロードを繰り返す、
ことを特徴とする請求項３に記載のデータ転送方法。
【請求項５】
ＩＣチップに格納された価値情報を通常使用する際に用いる本鍵と通常使用ロジックを格納した通常ＳＡＭ、及び、仮鍵によって価値情報の移動時に動作し価値情報を移動するための移動ロジックを格納した移動用ＳＡＭを備えたアプリケーション・サーバを設置するプロバイダによって価値情報サービスが提供される請求項１に記載のデータ転送システムにおいて、前記価値情報移動用サーバとしてＩＣチップ間での価値情報の移動を管理する価値情報移動サービス装置であって、
ＩＣチップの鍵を通常使用時の本鍵から一時的な仮鍵に変更するための鍵変更ロジックを格納した管理用ＳＡＭを備えるとともに、ＩＣチップとの間、前記移動用ＳＡＭとの間、ＩＣチップと前記移動用ＳＡＭ間は所定の接続手段を介して接続されており、
前記管理用ＳＡＭは、移動元のＩＣチップから前記移動用ＳＡＭへ価値情報のアップロードする前に前記接続手段を介して移動元のＩＣチップと通信して移動元のＩＣチップ内の価値情報にアクセスするための鍵を前記鍵変更ロジックに従って本鍵から仮鍵に変更し、前記接続手段を介して移動先のＩＣチップと通信して仮鍵を用いて移動先のＩＣチップを初期化し、前記移動用ＳＡＭから初期化後の移動先のＩＣチップへの価値情報をダウンロードした後に前記鍵変更ロジックに従って移動先のＩＣチップにおいて仮鍵を本鍵に変更して、前記プロバイダ内の通常ＳＡＭが前記通常使用ロジックを用いて移動先のＩＣチップ内の価値情報にアクセス可能にし、
ＳＡＭ（Ｓｅｃｕｒｅ  Ａｐｐｌｉｃａｔｉｏｎ  Ｍｏｄｕｌｅ）は耐タンパ性を持つハードウェアモジュールであり、各ＳＡＭとＩＣチップは互いが格納する鍵で相互認証し、ＳＡＭに格納されたロジックに従ってＩＣチップ内の価値情報へのアクセスを行なう、
ことを特徴とする価値情報移動サービス装置。
【請求項６】
ＩＣチップ内には複数種類の価値情報を格納することができ、
前記プロバイダは、価値情報の種類毎に通常ＳＡＭ及び移動用ＳＡＭを用意するアプリケーション・サーバを設置しており、
移動元のＩＣチップ内に格納されているすべての価値情報の種類を検知し、各価値情報を管理するプロバイダが設置するアプリケーション・サーバの移動用ＳＡＭを特定する手段をさらに備え、
移動元のＩＣチップ内のすべての価値情報について、前記アップロード要求手段による移動元のＩＣチップから前記移動用ＳＡＭへの価値情報のアップロード要求を繰り返し、
前記移動用ＳＡＭへアップロードされたすべての価値情報について、前記ダウンロード要求手段による前記移動用ＳＡＭから移動先のＩＣチップへの価値情報のダウンロード要求を繰り返す、
ことを特徴とする請求項５に記載の価値情報移動サービス装置。
【請求項７】
ＩＣチップに格納された価値情報を通常使用する際に用いる本鍵と通常使用ロジックを格納した通常ＳＡＭ、及び、仮鍵によって価値情報の移動時に動作し価値情報を移動するための移動ロジックを格納した移動用ＳＡＭを備えたアプリケーション・サーバを設置するプロバイダによって価値情報サービスが提供される請求項１に記載のデータ転送システムにおいて、コンピュータを用いて構築される価値情報移動用サーバが、ＩＣチップの鍵を通常使用時の本鍵から一時的な仮鍵に変更するための鍵変更ロジックを格納した管理用ＳＡＭを用いて、ＩＣチップ間での価値情報の移動を管理する価値情報移動サービス方法であって、
前記管理用ＳＡＭが、移動元のＩＣチップから前記移動用ＳＡＭへ価値情報のアップロードする前に、前記接続手段を介して移動元のＩＣチップと通信して、移動元のＩＣチップ内の価値情報にアクセスするための鍵を前記鍵変更ロジックに従って本鍵から仮鍵に変更するステップと、
前記管理用ＳＡＭが、前記接続手段を介して移動先のＩＣチップと通信して、仮鍵を用いて移動先のＩＣチップを初期化するステップと、
前記移動用ＳＡＭから初期化後の移動先のＩＣチップへの価値情報をダウンロードした後に、前記管理用ＳＡＭが、前記鍵変更ロジックに従って移動先のＩＣチップにおいて仮鍵を本鍵に変更して、前記プロバイダ内の通常ＳＡＭが前記通常使用ロジックを用いて移動先のＩＣチップ内の価値情報にアクセス可能にするステップと、
を具備し、
ＳＡＭ（Ｓｅｃｕｒｅ  Ａｐｐｌｉｃａｔｉｏｎ  Ｍｏｄｕｌｅ）は耐タンパ性を持つハードウェアモジュールであり、各ＳＡＭとＩＣチップは互いが格納する鍵で相互認証し、ＳＡＭに格納されたロジックに従ってＩＣチップ内の価値情報へのアクセスを行なう、
ことを特徴とする価値情報移動サービス方法。
【請求項８】
ＩＣチップ内には複数種類の価値情報を格納することができ、
前記プロバイダは、価値情報の種類毎に通常ＳＡＭ及び移動用ＳＡＭを用意するアプリケーション・サーバを設置しており、
移動元のＩＣチップ内に格納されているすべての価値情報の種類を検知し、各価値情報を管理するプロバイダが設置するアプリケーション・サーバの移動用ＳＡＭを特定するステップをさらに備え、
移動元のＩＣチップ内のすべての価値情報について、前記アップロード要求ステップによる移動元のＩＣチップから前記移動用ＳＡＭへの価値情報のアップロード要求を繰り返し、
前記移動用ＳＡＭへアップロードされたすべての価値情報について、前記ダウンロード要求ステップによる前記移動用ＳＡＭから移動先のＩＣチップへの価値情報のダウンロード要求を繰り返す、
ことを特徴とする請求項７に記載の価値情報移動サービス方法。
【請求項９】
ＩＣチップに格納された価値情報を通常使用する際に用いる本鍵と通常使用ロジックを格納した通常ＳＡＭ、及び、仮鍵によって価値情報の移動時に動作し価値情報を移動するための移動ロジックを格納した移動用ＳＡＭを備えたアプリケーション・サーバを設置するプロバイダによって価値情報サービスが提供される請求項１に記載のデータ転送システムにおいて、コンピュータが、ＩＣチップの鍵を通常使用時の本鍵から一時的な仮鍵に変更するための鍵変更ロジックを格納した管理用ＳＡＭを用いて、ＩＣチップ間での価値情報の移動を管理する価値情報移動用サーバとしての処理を実行するようにコンピュータ可読形式で記述されたコンピュータ・プログラムであって、前記コンピュータに対し、
移動元のＩＣチップから前記移動用ＳＡＭへ価値情報のアップロードする前に、前記接続手段を介して移動元のＩＣチップと通信して、移動元のＩＣチップ内の価値情報にアクセスするための鍵を前記管理用ＳＡＭの鍵変更ロジックに従って本鍵から仮鍵に変更する手順と、
前記管理用ＳＡＭが、前記接続手段を介して移動先のＩＣチップと通信して、仮鍵を用いて移動先のＩＣチップを初期化する手順と、
前記移動用ＳＡＭから初期化後の移動先のＩＣチップへの価値情報をダウンロードした後に、前記管理用ＳＡＭが、前記鍵変更ロジックに従って移動先のＩＣチップにおいて仮鍵を本鍵に変更して、前記プロバイダ内の通常ＳＡＭが前記通常使用ロジックを用いて移動先のＩＣチップ内の価値情報にアクセス可能にする手順と、
を実行させ、
ＳＡＭ（Ｓｅｃｕｒｅ  Ａｐｐｌｉｃａｔｉｏｎ  Ｍｏｄｕｌｅ）は耐タンパ性を持つハードウェアモジュールであり、各ＳＡＭとＩＣチップは互いが格納する鍵で相互認証し、ＳＡＭに格納されたロジックに従ってＩＣチップ内の価値情報へのアクセスを行なう、
ことを特徴とするコンピュータ・プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、データを保持するメモリ機能を備えるとともに非接触によりメモリへの読み書きが可能な非接触（又は接触型）ＩＣカード又はＩＣチップに係り、特に、無線データにより外部のリーダ／ライタからメモリ機能へのアクセスを行うための無線インターフェースを備えるとともに、外部機器と接続するための有線インターフェースを備えた非接触ＩＣカード又はＩＣチップ、並びに、有線インターフェースを介してこの種のＩＣカード又はＩＣチップを搭載して用いられる携帯電話機やＰＤＡなどの情報処理端末に関する。
【０００２】
更に詳しくは、本発明は、電子マネーや電子チケット、その他の価値情報を電子的に格納した非接触ＩＣカード又はＩＣチップ、並びに、有線インターフェースを介してこの種のＩＣカード又はＩＣチップを搭載して用いられる情報処理端末に係り、特に、情報処理端末間での価値情報のセキュアな移動に関する。
【０００３】
【従来の技術】
従来から、本人確認や認証処理のために暗証番号やパスワードを用いたさまざまな装置が考案され、実用に供されている。例えば、銀行やその他の金融機関において、キャッシュ・カードやクレジット・カードを使用する際には、キャッシュ・ディスペンサやその他の金融端末上で、本人認証の手段として、暗証番号やパスワードの入力を使用者に対して促し、使用者から正しい暗証番号やパスワードが入力されたことを確認してから、入出金動作を行なうようになっている。
【０００４】
１枚のキャッシュ・カード上に配設されている磁気ストライプなどの記憶媒体の中には、その銀行に対してのみ使用可能な記憶領域しか設けられていない。したがって、上述したような暗証番号あるいはパスワードの入力は、この単一の記憶領域へのアクセスに過ぎないので、偽造や盗用に対する保護は充分とは言い難い。
【０００５】
このため、偽造防止などの観点から、キャッシュ・カードやクレジット・カードなどに電気的な接点を持った接触式ＩＣカードや、無線データを介して非接触でデータの読み書きを行う非接触ＩＣカードがよく使われるようになってきている。例えば、キャッシュ・ディスペンサやコンサート会場の出入口、駅の改札口などに設置されたＩＣカード・リーダ／ライタは、利用者がかざしたＩＣカードに非接触でアクセスすることができる。
【０００６】
利用者が暗証番号をＩＣカード・リーダ側に入力して、入力された暗証番号をＩＣカード上に格納された暗証番号と照合することで、ＩＣカードとＩＣカード・リーダ／ライタ間で本人確認又は認証処理が行なわれる。そして、本人確認又は認証処理に成功した場合には、例えば、ＩＣカード内に保存されているアプリケーションの利用が可能となる。ここで、ＩＣカードが保持するアプリケーションとしては、例えば、電子マネーや電子チケットなどの価値情報を挙げることができる。また、前払式証票を電子的に格納することによって、ＩＣカードやこれに接続される携帯端末をプリペイド・カードとして使用することも可能である。（ＩＣカード・アクセス時に使用する暗証番号のことを、特にＰＩＮ（Personal Identification Number）と呼ぶ。）
【０００７】
最近では、微細化技術の向上とも相俟って、比較的大容量の記憶空間を持つＩＣカードが出現し、普及してきている。従来のキャッシュ・カードなどにおいては単一の記憶領域すなわち単一のアプリケーションしか担持しないので、各用途又は目的毎に応じた複数のカードを持ち歩く必要がある。これに対して、このような大容量メモリ付きのＩＣカードによれば、複数のアプリケーションを同時に格納しておくことができるので、１枚のＩＣカードを複数の用途に利用することができる。例えば、１枚のＩＣカード上に、電子決済を行なうための電子マネーや、特定のコンサート会場に入場するための電子チケット、デジタル化された前払式証票など、２以上のアプリケーションを格納しておき、１枚のＩＣカードをさまざまな用途に適用させることができる。
【０００８】
さらに、ＩＣカードがカード用リーダ／ライタ（カード読み書き装置）との非接触（又は接触型）インターフェースの他に、外部機器と接続するための有線インターフェースを備えることにより、ＩＣカードを携帯電話機、ＰＤＡ（Personal Digital Assistant）に接続したり内蔵して用いることができる（但し、端末に内蔵される多くの場合、ＩＣカードはワンチップ化して構成される）。
【０００９】
このような場合、ＩＣカードを利用したさまざまなアプリケーション・サービスを、情報処理端末上で実行することができる。例えば、情報処理端末上のキーボードやディスプレイなどのユーザ・インターフェースを用いてＩＣカードに対するユーザ・インタラクションを情報処理端末上で行うことができる。また、ＩＣカードが携帯電話機と接続されていることにより、ＩＣカード上に記憶されている内容を電話網を介してやり取りすることもできる。
【００１０】
勿論、ＩＣカード上に電子マネーや電子チケット、前払式証票などの価値情報を格納している場合には、情報処理端末は、電子決済、プリペイド・カード様式の決済などの価値情報の処理や、その他のさまざまなサービスを実現することができる。さらに、ＩＣカードとカード読み書き装置間のデータ転送のフェーズに応じた処理や、ＩＣカードの内部状態に応じた処理を提供することができる。
【００１１】
ところで、価値情報を格納したＩＣチップが携帯電話機に内蔵される場合などは、機種変更などの理由により、価値情報をＩＣチップ間、すなわち携帯端末間で移動させる必要がある。
【００１２】
携帯電話機の機種変更手続は、一般に、電話会社の店舗などで行われ、旧機種内のアドレス帳などの個人情報を新機種に移動してくれる。しかしながら、ＩＣチップ内の価値情報を移動する場合には、移動途中における通信障害やマシン障害などによる価値情報の消失や、価値情報の不法な複製や改竄が行われる可能性があり、電話会社にとっては責任が過大である。
【００１３】
そもそも、電話会社は、電子マネーや電子チケットのサービス・プロバイダとは一体ではなく、価値情報にアクセスするために必要な鍵やそのロジックを持たないので、価値情報を処理するには不都合が多い。また、価値情報の移動を請け負うことにより、電話会社には価値情報とその鍵についての責任が必然的に発生する。また、電子マネーや電子チケットのサービス・プロバイダにとっては、サービスの信用の根幹となるアクセス鍵やそのロジックを、電話会社とはいえ、外部に渡すことは好ましくない。
【００１４】
価値情報のサービス・プロバイダは、通常、耐タンパ性を持つハードウェア・モジュールＳＡＭ（Secure Application Module）を用いて、価値情報自体と価値情報にアクセスするための鍵、並びにそのロジックを閉じ込めている。電話会社などの１箇所の移動用サーバにより複数の価値情報を移動させるには、一時的であれ価値情報を保存する必要があるが、ＳＡＭのようなものを利用しない限り、この移動用サーバにより独自に暗号化したとしても、価値情報やその鍵をサーバ上で解読されてしまう可能性が高くなる。
【００１５】
これに対し、携帯端末本体の機種変更手続とは別に、ＩＣチップ内の価値情報の移動をその価値情報のサービス・プロバイダによって行うという方法も考えられる。この方法は責任分離という観点からは有効であろう。
【００１６】
しかしながら、ユーザは携帯端末の機種変更に伴い、複数の手続を取らなければならない。特に、ＩＣカードやＩＣチップのメモリ容量の増大に伴い、１つのＩＣチップ内に多種類の価値情報が格納されているような場合には、それぞれのサービス・プロバイダに対して価値情報の移動手続を取らなければならず、極めて煩わしい。また、ＩＣチップから価値情報を読み出すリーダ／ライタは、複数のサービス・プロバイダへセッションを切り換える必要があるが、この切り換え操作を手動で行うには手間がかかる。また、ＩＣチップ側の通信の仕組みも複雑になるので障害が発生する可能性が高くなる。
【００１７】
【発明が解決しようとする課題】
本発明の目的は、電子マネーや電子チケットなどの価値情報をセキュアに移動させることができる、優れたデータ転送システム及びデータ転送方法、価値情報移動サービス装置及び価値情報移動サービス方法、並びに記憶媒体を提供することにある。
【００１８】
本発明の更なる目的は、ＩＣカードやＩＣチップ内に保持されている電子マネーや電子チケットなどの価値情報をセキュアに移動させることができる、優れたデータ転送システム及びデータ転送方法、価値情報移動サービス装置及び価値情報移動サービス方法、並びに記憶媒体を提供することにある。
【００１９】
本発明の更なる目的は、ＩＣカードやＩＣチップ内に保持されている複数の価値情報を、１箇所のサーバに接続するだけでセキュアに移動させることができる、優れたデータ転送システム及びデータ転送方法、価値情報移動サービス装置及び価値情報移動サービス方法、並びに記憶媒体を提供することにある。
【００２０】
【課題を解決するための手段及び作用】
本発明は、上記課題を参酌してなされたものであり、その第１の側面は、価値情報を移動させるためのデータ転送システムであって、
移動対象となる価値情報自体と価値情報にアクセスするための鍵とそのロジックを安全に保持する価値情報サービス装置と、
移動元の情報記録媒体に格納された価値情報の前記価値情報サービス装置へのアップロード並びに前記価値情報サービス装置から移動先の情報記録媒体への価値情報のダウンロードを中継する価値情報移動サービス装置と、
を具備することを特徴とするデータ転送システムである。
【００２１】
但し、ここで言う「システム」とは、複数の装置（又は特定の機能を実現する機能モジュール）が論理的に集合した物のことを言い、各装置や機能モジュールが単一の筐体内にあるか否かは特に問わない。
【００２２】
また、本発明の第２の側面は、価値情報を移動させるためのデータ転送方法であって、
移動元の情報記録媒体から価値情報自体と価値情報にアクセスするための鍵とそのロジックを安全に保持する価値情報サービス装置への価値情報のアップロードを中継するステップと、
価値情報サービス装置が移動中の価値情報を一時的に格納するステップと、
前記価値情報サービス装置から移動先の情報記録媒体への価値情報のダウンロードを中継するステップと、
を具備することを特徴とするデータ転送方法である。
【００２３】
本発明の第１又は第２の側面に係るデータ転送システム又はデータ転送方法によれば、ＩＣチップなどの情報記録媒体に保持されている価値情報を、価値情報自体との価値情報にアクセスするために必要な鍵とそのロジックを閉じ込めた、耐タンパ性を持つハードウェア・モジュールＳＡＭなどの価値情報サービス装置を制御して、権限を持つ装置以外には価値情報自体と価値情報にアクセスするために必要な鍵とそのロジックを見せることなく、且つ価値情報の複製や改竄を防止しながら、他の情報記録媒体上にセキュアに移動させることができる。例えば、携帯端末を新機種に交換する際、一箇所に接続するだけで端末内に保持されているすべての価値情報をセキュアに移動させることができる。したがって、価値情報の移動事業者と、価値情報サービスを運用する各サービス・プロバイダの責任範囲を明確に分離することができる。
【００２４】
ここで、前記価値情報移動サービス装置は、移動元の情報記録媒体上の価値情報にアクセスするための鍵を通常使用時の本鍵から仮鍵に変更してから前記価値情報サービス装置への価値情報のアップロードを行うようにしてもよい。このような場合、移動の途中で価値情報が不正に複製や改竄されて使用されることを防ぐことができる。また、価値情報の移動に失敗した場合であっても、移動元の鍵を本鍵に戻すことによりバックアップとして用いることができ、価値情報の消失を防ぐことができる。
【００２５】
また、前記価値情報移動サービス装置は、前記価値情報サービス装置から移動先に情報記録媒体上に価値情報をダウンロードした後に仮鍵から本鍵に変更するようにしてもよい。このような場合、移動元の情報記録媒体に残されている価値情報を仮鍵のままとすることにより通常使用を不能のままとなるので、不正使用を防ぐことができる。
【００２６】
また、移動元の情報記録媒体上に複数の価値情報が保持され且つ各価値情報自体と価値情報にアクセスするための鍵とそのロジックを安全に保持する価値情報サービス装置が複数ある場合には、前記価値情報移動サービス装置は、移動元の情報記録媒体からの価値情報のアップロード並びに移動先の情報記録媒体へのダウンロードを各価値情報サービス装置毎に行うようにしてもよい。このような場合、１箇所の価値情報移動サービス装置に接続すればよく、手動又は自動で価値情報サービス毎に通信を逐次切り換える必要がない。このため、手間が減り、通信障害が起こる可能性を減少させることができる。移動元の情報記録媒体側から考えると、中継先となる個々の価値情報サービス装置を意識する必要がなく、手続が簡素化される。
【００２７】
前記価値情報移動サービス装置は、価値情報を価値情報サービス装置からダウンロードする前に移動先の情報記録媒体の初期化処理を行うようにしてもよい。
【００２８】
また、前記価値情報移動サービス装置は、移動元の情報記録媒体及び／又は移動先の情報記録媒体を認証処理するようにしてもよい。
【００２９】
また、本発明の第３の側面は、情報記録媒体間での価値情報の移動をサービスする価値情報移動サービス装置又は価値情報移動サービス方法であって、
移動元の情報記録媒体から価値情報自体と価値情報にアクセスするための鍵とそのロジックを安全に保持する価値情報サービス装置への価値情報のアップロードを中継する手段又はステップと、
前記価値情報サービス装置から移動先の情報記録媒体への価値情報のダウンロードを中継する手段又はステップと、
を具備することを特徴とする価値情報移動サービス装置又は価値情報移動サービス方法である。
【００３０】
本発明の第３の側面に係る価値情報移動サービス装置又は価値情報移動サービス方法によれば、ＩＣチップなどの情報記録媒体に保持されている価値情報を、価値情報自体との価値情報にアクセスするために必要な鍵とそのロジックを閉じ込めた、耐タンパ性を持つハードウェア・モジュールＳＡＭなどの価値情報サービス装置を制御して、権限を持つ装置以外には価値情報自体と価値情報にアクセスするために必要な鍵とそのロジックを見せることなく、且つ価値情報の複製や改竄を防止しながら、他の情報記録媒体上にセキュアに移動させることができる。例えば、携帯端末を新機種に交換する際、一箇所に接続するだけで端末内に保持されているすべての価値情報をセキュアに移動させることができる。したがって、携帯端末の機種切り換えを行う事業者は、価値情報サービスを運用する各サービス・プロバイダの責任範囲を明確に分離しながら価値情報の移動を行うことができる。
【００３１】
ここで、本発明の第３の側面に係る価値情報移動サービス装置は、移動元の情報記録媒体上の価値情報にアクセスするための鍵を通常使用時の本鍵から仮鍵に変更してから前記価値情報サービス装置への価値情報のアップロードを行うようにしてもよい。このような場合、移動の途中で価値情報が不正に複製や改竄されて使用されることを防ぐことができる。また、価値情報の移動に失敗した場合であっても、移動元の鍵を本鍵に戻すことによりバックアップとして用いることができ、価値情報の消失を防ぐことができる。
【００３２】
また、前記価値情報サービス装置から移動先に情報記録媒体上に価値情報をダウンロードした後に仮鍵から本鍵に変更するようにしてもよい。このような場合、移動元の情報記録媒体に残されている価値情報を仮鍵のままとすることにより通常使用を不能のままとなるので、不正使用を防ぐことができる。
【００３３】
また、移動元の情報記録媒体上に複数の価値情報が保持され且つ各価値情報自体と価値情報にアクセスするための鍵とそのロジックを安全に保持する価値情報サービス装置が複数ある場合には、移動元の情報記録媒体からの価値情報のアップロード並びに移動先の情報記録媒体へのダウンロードを各価値情報サービス装置毎に行うようにしてもよい。このような場合、１箇所の価値情報移動サービス装置に接続すればよく、手動又は自動で価値情報サービス毎に通信を逐次切り換える必要がない。このため、手間が減り、通信障害が起こる可能性を減少させることができる。移動元の情報記録媒体側から考えると、中継先となる個々の価値情報サービス装置を意識する必要がなく、手続が簡素化される。
【００３４】
本発明の第３の側面に係る価値情報移動サービス装置又は価値情報移動サービス方法は、価値情報を価値情報サービス装置からダウンロードする前に移動先の情報記録媒体の初期化処理を行うようにしてもよい。
【００３５】
また、本発明の第３の側面に係る価値情報移動サービス装置又は価値情報移動サービス方法は、移動元の情報記録媒体及び／又は移動先の情報記録媒体を認証処理するようにしてもよい。
【００３６】
また、本発明の第４の側面は、情報記録媒体間での価値情報の移動をサービスする価値情報移動サービスをコンピュータ・システム上で実行するように記述されたコンピュータ・ソフトウェアをコンピュータ可読形式で物理的に格納した記憶媒体であって、前記コンピュータ・ソフトウェアは、
移動元の情報記録媒体から価値情報自体と価値情報にアクセスするための鍵とそのロジックを安全に保持する価値情報サービス装置への価値情報のアップロードを中継するステップと、
前記価値情報サービス装置から移動先の情報記録媒体への価値情報のダウンロードを中継するステップと、
を具備することを特徴とする記憶媒体である。
【００３７】
本発明の第４の側面に係る記憶媒体は、例えば、様々なプログラム・コードを実行可能な汎用コンピュータ・システムに対して、コンピュータ・ソフトウェアをコンピュータ可読な形式で提供する媒体である。このような媒体は、例えば、ＤＶＤ（Digital Versatile Disc）やＣＤ（Compact Disc）、ＦＤ（Floppy Disk）、ＭＯ（Magneto-Optical disc）などの着脱自在で可搬性の記憶媒体である。あるいは、ネットワーク（ネットワークは無線、有線の区別を問わない）などの伝送媒体などを経由してコンピュータ・ソフトウェアを特定のコンピュータ・システムに提供することも技術的に可能である。
【００３８】
本発明の第４の側面に係る記憶媒体は、コンピュータ・システム上で所定のコンピュータ・ソフトウェアの機能を実現するための、コンピュータ・ソフトウェアと記憶媒体との構造上又は機能上の協働的関係を定義したものである。換言すれば、本発明の第４の側面に係る記憶媒体を介して所定のコンピュータ・ソフトウェアをコンピュータ・システムにインストールすることによって、コンピュータ・システム上では協働的作用が発揮され、本発明の第３の側面に係る価値情報移動サービス装置又は価値情報移動サービス方法と同様の作用効果を得ることができる。
【００３９】
本発明のさらに他の目的、特徴や利点は、後述する本発明の実施形態や添付する図面に基づくより詳細な説明によって明らかになるであろう。
【００４０】
【発明の実施の形態】
以下、図面を参照しながら本発明の実施形態について詳解する。
【００４１】
本発明は、ＩＣカードやＩＣチップ内に保持されている複数の価値情報を、１箇所のサーバに接続するだけでセキュアに移動させるものである。価値情報の移動を行うサーバのことを、以下では「バリュー移動サーバ」と呼ぶことにする。例えば、携帯電話機の機種変更の際に、内蔵されたＩＣチップ上の価値情報を移動するような場合、機種変更サービスを行う電話会社などがバリュー移動サーバを運営すればよい。バリュー移動サーバは、個々の価値情報サービスのプロバイダとは一体化されている訳ではないが、本発明によれば、価値情報の移動をセキュアに行うことができるので、責任の分離が明確となり、バリュー移動サーバを運営する事業者の責任が過大となることはない。
【００４２】
図１には、価値情報のセキュアな移動を実現するネットワーク・システムの構成を模式的に示している。
【００４３】
同図に示すように、ＶＰＮ（Virtual Private Network）あるいは専用線などのネットワーク上には、電子マネーや電子チケットなどの価値情報サービスを行うプロバイダが設置するアプリケーション・サーバ（ＡＰＳ）１０Ａ，１０Ｂ…と、ＩＣカードやＩＣチップに内蔵された価値情報をＩＣチップ間でセキュアに移動させるためのバリュー移動サーバ２０が存在する。
【００４４】
各アプリケーション・サーバ（ＡＰＳ）１０Ａ，１０Ｂ…、並びに、バリュー移動用サーバ２０は、それぞれ耐タンパ性を持つハードウェア・モジュールＳＡＭ（Secure Application Module）を備えている。ＳＡＭは、価値情報自体と価値情報にアクセスするための鍵、並びにそのロジックを閉じ込めている。
【００４５】
本実施形態では、バリュー移動用サーバ２０は、各ＩＣチップ内の情報をセキュアに管理するために管理用ＳＡＭ２１を備えている。管理用ＳＡＭ２１は、ＩＣチップの初期化処理など、価値情報を保持している各ＩＣチップの管理を行う。また、管理用ＳＡＭ２１は、ＩＣチップ内の価値情報を移動する際に、通常使用時の「本鍵」から移動時のみ使用する一時的な「仮鍵」に変更するためのロジックを備えている。
【００４６】
また、各アプリケーション・サーバ１０Ａ…は、価値情報を通常使用する際に用いる本鍵で動作する通常ＳＡＭ１１と、バリュー移動用サーバ２０の管理用ＳＡＭ２１が発行する仮鍵によって移動時に動作する移動用ＳＡＭ１２を備えている。
【００４７】
通常ＳＡＭ１１は、各サービス・プロバイダが設置するアプリケーション・サーバ１０上で個別に管理され、価値情報のサービスを行う。通常ＳＡＭ１１は、価値情報にアクセスする鍵とそのロジックを知る各サービス・プロバイダがそれぞれの他者は権限を持たない限り、通常ＳＡＭ１１の中を知ることができない。バリュー移動用サーバ２０も、通常ＳＡＭ１１の中身を知ることができない。
【００４８】
通常ＳＡＭ１１と移動用ＳＡＭ１２は、物理的には、同じハードウェア・モジュール内で一体化されていても、個々に独立したハードウェア・モジュールであってもよい。また、契約などにより、サービス・プロバイダは、自身が運営するアプリケーション・サーバではなくバリュー移動用サーバ２０など別の場所にＳＡＭを配置していてもよい。
【００４９】
各アプリケーション・サーバ１０やバリュー移動用サーバ２０は、専用のハードウェアによりサーバ装置として構成することも可能であるが、ワークステーション（ＷＳ）やパーソナル・コンピュータ（ＰＣ）と呼ばれる一般的な計算機システム上で所定のサーバ・アプリケーションを起動するという形態でも実現することができる。計算機システムの一例は、米ＩＢＭ社のＰＣ／ＡＴ互換機又はその後継機である。
【００５０】
また、ＩＣカードは、ＩＣチップとして携帯電話機やＰＤＡ（Personal Digital Assistant）などの携帯端末３０Ａに内蔵して用いられているか、あるいは、リーダ／ライタ付きの携帯端末３０Ｂに非接触（又は接触）アクセスして用いられる。携帯端末の機種変更やＩＣカード自体の交換のために、ＩＣチップ又はＩＣカード間で価値情報を移動する場合には、携帯端末３０は、無線又は有線の通信媒体を介してＶＰＮに接続して、バリュー移動サーバ２０に価値情報の移動を依頼する。本実施形態では、ＩＣチップに保持された複数の価値情報を移動する場合であっても、携帯端末３０は、一箇所のバリュー移動サーバ２０に接続するだけでよい、という点に充分留意されたい。
【００５１】
バリュー移動用サーバ２０は、価値情報の移動に際し、管理用ＳＡＭ２１を使用して、ＩＣチップを通信路経由で制御する。
【００５２】
本実施形態では、バリュー移動用サーバ２０は、管理用ＳＡＭ２１を用いて、価値情報の移動のために各サービス・プロバイダの移動用ＳＡＭ１２とＩＣチップ間で暗号化通信が行われる際、それを中継する役割を担う。また、ＩＣチップ側のリーダ／ライタ機能を持つ携帯端末３０ＢやＩＣチップ内蔵型の携帯端末３０Ａは、ＳＡＭとＩＣチップ間で暗号化通信が行われる際、ＩＣチップとバリュー移動サーバ２０との接続を行なう役割を担う。
【００５３】
バリュー移動用サーバ２０と各移動用ＳＡＭ１２との間は、バリュー移動用サーバ２０がある移動用ＳＡＭ１２を制御する権限についてそれぞれ個別に設定可能とする。また、バリュー移動用サーバ２０と各移動用ＳＡＭ１２との間は、ＰＫＩ（Public Key Infrastructure：公開鍵暗号基盤）若しくは共通鍵による暗号化が可能である。また、バリュー移動用サーバ２０と遠隔の移動用ＳＡＭ１２との間には、ＶＰＮ又は専用線で接続されている。
【００５４】
図１に示したネットワーク・システムにおいて、ＩＣカード又は携帯端末に内蔵されたＩＣチップ内の価値情報を移動するためには、移動元並びに移動先となるＩＣチップの接続先は、単一のバリュー移動用サーバ２０となる。
【００５５】
バリュー移動用サーバ２０の管理用ＳＡＭ２１は、価値情報を移動する前に、価値情報の鍵を通常使用時の「本鍵」から移動のための一時的な「仮鍵」に変更する。また、ＩＣチップ内に保持されているすべての価値情報の移動が完了しないうちは、元のＩＣチップの価値情報をまだ削除せず、バックアップ用として保持しておく。
【００５６】
移動が完了したときには、管理用ＳＡＭ２１は移動先のＩＣチップにおいて仮鍵を本鍵に戻すことにより、価値情報の通常使用が可能となる。また、バックアップ用に残しておいた移動元のＩＣチップ側に関しては仮鍵のままとすることにより通常使用を不能のままとなるので、不正使用を防ぐことができる。
【００５７】
バリュー移動用サーバ２０は、ＩＣチップ内の個々の価値情報を、該当するサービス・プロバイダの移動用ＳＡＭ１２を用いて移動を行う。この際、サービス・プロバイダ（ＡＰＳ）側の移動用ＳＡＭ１２では、事前にバリュー移動用サーバ２０からのアクセス制限を設定する。
【００５８】
サービス・プロバイダのアプリケーション・サーバ１０側では、通常使用時に価値情報にアクセスするための鍵と、そのロジックを通常ＳＡＭ１１に格納するとともに、価値情報移動用の鍵やそのロジックを移動用ＳＡＭ１２に格納している。また、移動時に、ＩＣチップ内の価値情報は、アプリケーション・サーバ１０の移動用ＳＡＭ１２内に一時的に保存される。
【００５９】
価値情報の移動先となるＩＣチップ側では、そのメモリ領域のフォーマッティングなどの所定の前処理を行った後、バリュー移動用サーバ２０経由で、サービス・プロバイダすなわちアプリケーション・サーバ１０の移動用ＳＡＭ１２から価値情報をダウンロードすることで、その移動が完了する。
【００６０】
移動後は、管理用ＳＡＭ２１が正しい鍵に変えることによって、以後同じ移動用の鍵で価値情報を移動することを不能にする。この結果、移動元のＩＣチップ上に残っているバックアップ用の価値情報は使用できなくなる。
【００６１】
そして、ＩＣチップ内のすべての価値情報の移動が完了すると、サービス・プロバイダの移動用ＳＡＭ１２内に一時的に保存されていた価値情報を削除する。
【００６２】
図２には、本実施形態に係るネットワーク・システム上で、ＩＣチップ間で価値情報をセキュアに移動させるための処理手順をフローチャートの形式で示している。この処理手順は、携帯端末を介してネットワーク接続されるＩＣチップと、バリュー移動用サーバ２０と、該当する各アプリケーション・サーバ（プロバイダ）１０の移動用ＳＡＭ１２間での協働的な動作により実現される。以下、このフローチャートを参照しながら、価値情報のセキュアな移動処理について説明する。
【００６３】
まず、価値情報の移動元となるＩＣチップは、リーダ／ライタ機能を持つ通信装置（例えばリーダ／ライタ付きの携帯電話機、又はＩＣチップ内蔵の携帯電話機）３０と接続する。さらに、移動元のＩＣチップは、この通信装置３０経由でバリュー移動用サーバ２０と接続して、通信装置３０から送られるユーザＩＤ、パスワードでバリュー移動用サーバ２０と認証する（ステップＳ１）。
【００６４】
バリュー移動用サーバ２０は、価値情報の移動元ＩＣチップ内を検索して、そのＩＣチップ内に登録されているすべての価値情報の種類を検知するとともに、それらの情報をサーバ２０ローカルの移動情報データベース（図示しない）に保存する。あるいは、バリュー移動用サーバ２０側が事前に用意したＩＣチップのシリアル・ナンバーとその登録している価値情報の種類の対照テーブルを事前に移動情報データベース内に用意しておき、価値情報の移動元ＩＣチップのシリアル・ナンバーを得ることにより、この対照テーブルを利用して、ＩＣチップ内に登録されている価値情報の種類をつきとめる（ステップＳ２）。価値情報の種類毎に、対応するサービス・プロバイダすなわちＳＡＭを用意するアプリケーション・サーバが異なるものとする。
【００６５】
次いで、バリュー移動用サーバ２０の管理用ＳＡＭ２１は、価値情報の移動元ＩＣチップ内の価値情報自体にアクセスするために必要な鍵を、通常使用時の「本鍵」から、移動時に一時的に使用する「仮鍵」に変更する（ステップＳ３）。この結果、価値情報の移動中に移動元ＩＣチップ上では、通常の価値情報の利用が不可能な状態となる。すなわち、仮鍵に切り換わることにより、該当するサービス・プロバイダの通常ＳＡＭ１１はＩＣチップ内の価値情報にアクセスできなくなる代わりに、移動用ＳＡＭ１２がＩＣチップ内の価値情報へのアクセスが可能になる。
【００６６】
次いで、バリュー移動用サーバ２０は、ＩＣチップ内から検索されたサービス・プロバイダを１つ取り出す（ステップＳ４）。そして、バリュー移動用サーバ２０の管理用ＳＡＭ２１は、価値情報の種類単位(アプリケーション単位)で価値情報の移動を開始する。
【００６７】
まず、最初に移動させる価値情報を管理するサービス・プロバイダすなわちアプリケーション・サーバ１０の移動用ＳＡＭ１２を特定して、価値情報の移動元のＩＣチップをその移動用ＳＡＭ１２と通信させる（ステップＳ５）。
【００６８】
バリュー移動元のＩＣチップは、当該チップ内のある価値情報に関して、チップ内にある鍵で移動用ＳＡＭ１２と相互認証を行い、暗号化通信を始める（ステップＳ６）。
【００６９】
次いで、価値情報の移動元ＩＣチップ内の価値情報を、アプリケーション・サーバ１０側の移動用ＳＡＭ１２内のメモリ・エリアにコピー（すなわち、価値情報のアップロード）する（ステップＳ７）。
【００７０】
価値情報の移動用ＳＡＭ１２内のメモリ・エリアへのコピーが終了すると、次の移動対象価値情報を管理するサービス・プロバイダの移動用ＳＡＭ１２を特定して、上述と同様の手順により、移動元ＩＣチップをその移動用ＳＡＭ１２と通信させる。引き続き、移動元ＩＣチップ内のすべての価値情報のコピーすなわちアップロードが終わるまで、ステップＳ４、Ｓ５、Ｓ６、及びＳ７を繰り返す（ステップＳ８）。
【００７１】
言い換えれば、価値情報の移動元ＩＣチップが接続するバリュー移動用サーバ２０は１箇所であり、このバリュー移動用サーバ２０は、移動元のＩＣチップとサービス・プロバイダの各移動用ＳＡＭ１２との通信を言わば中継する。
【００７２】
移動元ＩＣチップ内のすべての価値情報をそれぞれのサービス・プロバイダの移動用ＳＡＭ１２へのコピーが完了した後、すなわち価値情報のアップロードが完了した後、今度は、価値情報の移動先ＩＣチップが接続されたリーダ／ライタ機能を持つ通信装置（例えばリーダ／ライタ機能を持つ携帯電話機や、ＩＣチップを内蔵する携帯電話機）３０は、バリュー移動用サーバ２０と接続して、通信装置から送られるユーザＩＤ、パスワードでバリュー移動用サーバ２０と認証する（ステップＳ９）。
【００７３】
バリュー移動用サーバ２０の管理用ＳＡＭ２１は、価値情報の移動先ＩＣチップとの認証情報により、移動情報データベースを検索して、この移動先ＩＣチップの初期化(フォーマット)情報を得る。そして、バリュー移動用サーバ１０の管理用ＳＡＭ２１は、この初期化情報に基づき、移動先ＩＣチップのメモリ・エリアを初期化する（ステップＳ１０）。この初期化に際して、価値情報の使用時に使う本鍵ではなく、価値情報移動用の仮鍵を用いる。
【００７４】
次いで、バリュー移動用サーバ２０は、移動情報データベースからサービス・プロバイダを１つ取り出す（ステップＳ１１）。そして、バリュー移動用サーバ２０は、価値情報の種類単位(アプリケーション単位)で価値情報の移動すなわちＩＣチップへのダウンロードを開始する。
【００７５】
まず、最初に移動させる価値情報を管理するサービス・プロバイダすなわちアプリケーション・サーバの移動用ＳＡＭ１２を特定して、価値情報の移動先のＩＣチップをその移動用ＳＡＭ１２と通信させる（ステップＳ１２）。
【００７６】
そして、価値情報の移動先のＩＣチップはある価値情報に関して、初期化時にセットされたチップ内の鍵すなわち仮鍵を使用して、移動用ＳＡＭ１２と相互認証を行い、暗号化通信を始める（ステップＳ１３）。
【００７７】
次いで、移動用ＳＡＭ１２内のメモリ・エリアに価値情報の移動元ＩＣチップ内からコピーすなわちアップロードされた価値情報を、価値情報の移動先ＩＣチップ内にコピーすなわちダウンロードする（ステップＳ１４）。
【００７８】
ある価値情報についての移動先ＩＣチップ内へのコピーが終了すると、次に移動対象となる価値情報を管理するサービス・プロバイダの移動用ＳＡＭ１２を特定して、上述と同様の手順により、移動先ＩＣチップをその移動用ＳＡＭ１２と通信させる。引き続き、移動先ＩＣチップ内へのすべての価値情報のコピーが終わるまで、ステップＳ１１、Ｓ１２、Ｓ１３、及びＳ１４を繰り返す（ステップＳ１５）。
【００７９】
言い換えれば、価値情報の移動先ＩＣチップが接続するバリュー移動用サーバ２０は１箇所であり、このバリュー移動用サーバ２０は、移動先のＩＣチップと各サービス・プロバイダの移動用ＳＡＭ１２との通信を言わば中継する。
【００８０】
すべての価値情報の移動が完了すると、バリュー移動用サーバ２０は、バリュー移動先ＩＣチップの価値情報移動用の仮鍵を、通常使用時の本鍵に変更する（ステップＳ１６）。この結果、移動先のＩＣチップ側では、価値情報の通常使用が可能となる。また、バックアップ用に残しておいたＩＣチップに関しては仮鍵のままとすることにより通常使用を不能のままとなるので、不正使用を防ぐことができる。また、必要に応じて、移動元のＩＣチップ内に残されたままの価値情報を削除する。
【００８１】
さらに、バリュー移動用サーバ２０は、価値情報の移動に関係したそれぞれのアプリケーション・サーバ１０の移動用ＳＡＭ２１内のメモリ・エリアに保存しておいた移動用価値情報をクリアする（ステップＳ１７）。
【００８２】
図３には、移動元ＩＣチップに保持されている価値情報を個々のサービス・プロバイダの移動用ＳＡＭ１２にアップロードするための処理手続きを示している。以下、同図を参照しながら、価値情報を移動元ＩＣチップから移動用ＳＡＭ１２にアップロードするための各者間の協働的動作について説明する。
【００８３】
まず、価値情報の移動元となるＩＣチップは、リーダ／ライタ機能を持つ通信装置（例えばリーダ／ライタ付きの携帯電話機、又はＩＣチップ内蔵の携帯電話機）３０と接続して、通信装置はＩＣチップのシリアル・ナンバーなどを取得する。
【００８４】
次いで、リーダ／ライタ機能を持つ通信装置は、バリュー移動用サーバ２０との間でユーザ認証を行い、認証に成功した後、この通信装置にＩＣチップ・コントロール用の通信路の確保を要求し、通信路が確保される。
【００８５】
次いで、バリュー移動用サーバ２０は、管理用ＳＡＭ２１に対して移動元ＩＣチップ内の価値情報自体にアクセスするために必要な鍵を、通常使用時の「本鍵」から、移動時に一時的に使用する「仮鍵」に変更するよう、鍵変更を依頼し、管理用ＳＡＭ２１はこの鍵変更処理を行う。本鍵から仮鍵に変更されたことにより、該当するサービス・プロバイダ１０側では通常ＳＡＭ１１ではなく移動用ＳＡＭ１２が移動元ＩＣチップの価値情報にアクセスできるようになる。
【００８６】
次いで、バリュー移動用サーバ２０は、価値情報を管理するサービス・プロバイダ１０に対して、価値情報の移動（アップロード）処理を依頼する。
【００８７】
サービス・プロバイダ１０側では、この価値情報移動処理の依頼に応答して、移動用ＳＡＭ１２が、移動元ＩＣチップに対して価値情報のアップロード依頼を発行する。これに対して、移動元ＩＣチップは、価値情報を移動用ＳＡＭ１２にコピーすなわちアップロードを行う。
【００８８】
価値情報移動処理依頼、価値情報アップロード依頼、並びに価値情報のアップロードは、必要なサービス・プロバイダの分だけ繰り返し実行する。
【００８９】
また、図４には、サービス・プロバイダの移動用ＳＡＭ１２にアップロードされている価値情報を移動先のＩＣチップにダウンロードするための処理手続きを示している。以下、同図を参照しながら、価値情報を移動用ＳＡＭ１２から移動先ＩＣチップにダウンロードするための各者間の協働的動作について説明する。
【００９０】
まず、価値情報の移動元となるＩＣチップは、リーダ／ライタ機能を持つ通信装置（例えばリーダ／ライタ付きの携帯電話機、又はＩＣチップ内蔵の携帯電話機）３０と接続して、通信装置はＩＣチップのシリアル・ナンバーなどを取得する。
【００９１】
次いで、リーダ／ライタ機能を持つ通信装置は、バリュー移動用サーバ２０との間でユーザ認証を行い、認証に成功した後、この通信装置にＩＣチップ・コントロール用の通信路の確保を要求し、通信路が確保される。
【００９２】
通信路が確保されると、バリュー移動用サーバ２０の管理用ＳＡＭ２１は、移動先ＩＣチップのシリアル・ナンバーにより移動情報データベースを検索して、この移動先ＩＣチップの初期化(フォーマット)情報を得る。そして、バリュー移動用サーバ１０の管理用ＳＡＭ２１は、この初期化情報に基づき、移動先ＩＣチップのメモリ・エリアを初期化する。移動先ＩＣチップは、初期化が終了するとこれを管理用ＳＡＭ２１に通知する。
【００９３】
次いで、バリュー移動用サーバ２０は、価値情報を管理するサービス・プロバイダ１０に対して、価値情報の移動（ダウンロード）処理を依頼する。
【００９４】
サービス・プロバイダ１０側では、この価値情報移動処理の依頼に応答して、移動用ＳＡＭ１２が、自身のメモリ・エリアにアップロードされている価値情報を移動先のＩＣチップにダウンロードする。これに対して、移動先のＩＣチップは、ダウンロードが完了するとこれを通知する。
【００９５】
価値情報移動処理依頼、価値情報ダウンロード依頼、並びに価値情報のダウンロード終了通知は、必要なサービス・プロバイダの分だけ繰り返し実行する。
【００９６】
そして、すべての価値情報のダウンロードが完了すると、バリュー移動用サーバ２０は、管理用ＳＡＭ２１に対して移動先ＩＣチップ内の価値情報自体にアクセスするために必要な鍵を、通常使用時の「仮鍵」から、移動時に一時的に使用する「本鍵」に変更するよう、鍵変更を依頼し、管理用ＳＡＭ２１はこの鍵変更処理を行う。仮鍵から本鍵に戻されたことにより、該当するサービス・プロバイダ１０側では移動用ＳＡＭ１２ではなく通常ＳＡＭ１１が移動元ＩＣチップの価値情報にアクセスできるようになる。
【００９７】
この結果、移動先のＩＣチップでは、価値情報の通常使用（例えば、電子マネーによる電子決済や電子チケットの使用など）が可能となる。一方、バックアップ用に残しておいた移動元のＩＣチップ側に関しては仮鍵のままとすることにより通常使用を不能のままとなるので、不正使用を防ぐことができる。また、必要に応じて、移動元のＩＣチップ内に残されたままの価値情報を削除する。
【００９８】
図５及び図５には、ＩＣカードとカード・リーダ／ライタ間における非接触データ通信の仕組みを図解している。
【００９９】
リーダ／ライタとＩＣカード間の無線通信は、例えば電磁誘導の原理に基づいて実現される。図５には、電磁誘導に基づくリーダ／ライタとＩＣカードとの無線通信の仕組みを概念的に図解している。リーダ／ライタは、ループ・コイルで構成されたアンテナＬRWを備え、このアンテナＬRWに電流ＩRWを流すことでその周辺に磁界を発生させる。一方、ＩＣカード側では、電気的にはＩＣカードの周辺にループ・コイルＬcが形設されている。ＩＣカード側のループ・コイルＬc端にはリーダ／ライタ側のループ・アンテナＬcが発する磁界による誘導電圧が生じ、ループ・コイルＬc端に接続されたＩＣカードの端子に入力される。
【０１００】
リーダ／ライタ側のアンテナＬRWとＩＣカード側のループ・コイルＬcは、その結合度は互いの位置関係によって変わるが、系としては１個のトランスを形成していると捉えることができ、図６に示すようにモデル化することができる。
【０１０１】
リーダ／ライタ側では、アンテナＬRWに流す電流ＩRWを変調することで、ＩＣチップ上のループ・コイルＬcに誘起される電圧ＶOは変調を受け、そのことを利用してリーダ／ライタはＩＣカードへのデータ送信を行うことができる。
【０１０２】
また、ＩＣカードは、リーダ／ライタへ返送するためのデータに応じてループ・コイルＬcの端子間の負荷を変動させる機能（Load Switching）を持つ。ループ・コイルＬcの端子間の負荷が変動すると、リーダ／ライタ側ではアンテナ端子間のインピーダンスが変化して、アンテナＬRWの通過電流ＩRWや電圧ＶRWの変動となって現れる。この変動分を復調することで、リーダ／ライタはＩＣカードの返送データを受信することができる。
【０１０３】
すなわち、ＩＣカードは、リーダ／ライタからの質問信号に対する応答信号に応じて自身のアンテナ間の負荷を変化させることによって、リーダ／ライタ側の受信回路に現れる信号に振幅変調をかけて通信を行うことができる。
【０１０４】
また、図７には、ＩＣチップ１００を内蔵したタイプの携帯端末１１０の内部ハードウェア構成を模式的に示している。ここで言う携帯端末１１０には、携帯電話機やＰＤＡ（Personal Digital Assistant）などの情報処理端末に相当する。携帯電話機であれば、無線電話網経由でＶＰＮ又は専用線に接続される。また、携帯端末であれば、他の携帯電話機を介して無線電話網経由でＶＰＮ又は専用線に接続される。
【０１０５】
同図に示すように、ＩＣチップ１００は、アンテナ部１０１と、アナログ部１０２と、ディジタル制御部１０３と、メモリ１０４と、外部インターフェース１０５とで構成されている。
【０１０６】
アンテナ部１０１は、リーダ／ライタ２００との間で非接触データの送受信を行う。アナログ部１０２は、検波、変復調、クロック抽出など、アンテナ部１０１から送受信されるアナログ信号の処理を行う。ＩＣチップ１００は、リーダ／ライタ２００からの質問信号に対する応答信号に応じて自身のアンテナ間の負荷を変化させることによって、リーダ／ライタ側の受信回路に現れる信号に振幅変調をかけて通信を行うことができる。
【０１０７】
ディジタル制御部１０３は、送受信データの処理やその他ＩＣカード内の動作を統括的にコントロールする。ディジタル制御部１０３は、アドレス可能なメモリ１０４をローカルに接続しており、電子マネーや電子チケットなどのアプリケーションを格納したり、ディジタル制御部１０３が実行するプログラム・コードをロードしたり、実行中の作業データを保存するために使用することができる。
【０１０８】
ＩＣチップ１００のメモリ１０４には、さまざまなアプリケーションが格納されている。アプリケーションとしては、例えば、電子マネーや電子チケットなどの価値情報を挙げることができる。
【０１０９】
外部インターフェース１０５は、リーダ／ライタ２００とを結ぶ非接触インターフェースとは相違するインターフェース・プロトコルにより、ディジタル制御部１０３が携帯端末１１０本体と接続するための機能モジュールである。メモリ１０４に書き込まれたデータは、外部インターフェース１０５を経由して、携帯端末１１０本体側に転送することができる。
【０１１０】
本実施形態では、携帯端末１１０と内蔵ＩＣチップ１００を接続する外部インターフェース１０５には、ＵＡＲＴやＩ2Ｃのような有線インターフェースを使用する。但し、外部インターフェース１０５のインターフェース仕様は特に限定されず、他の有線インターフェースであっても、あるいはＢｌｕｅｔｏｏｔｈやＩＥＥＥ．８０２．１１ｂなどの無線インターフェースであってもよい。
【０１１１】
ＩＣチップ１００は、例えば、アンテナ部１０１経由で受信されるカード読み書き装置からの受信電波によって駆動することができる。勿論、携帯端末１１０側からの供給電力によって、一部又は全部が動作するように構成されていてもよい。
【０１１２】
一方、携帯端末１１０本体側は、プログラム制御部１１１と、表示部１１２と、ユーザ入力部１１３とで構成される。
【０１１３】
プログラム制御部１１１は、例えばマイクロプロセッサと、ＲＡＭと、ＲＯＭで構成され（いずれも図示しない）、マイクロプロセッサは、ＲＯＭに格納されたプログラム・コードに従って、ＲＡＭを作業領域に用いてさまざまな処理サービスを実行する。処理サービスには、携帯電話機やＰＤＡなどの携帯端末１１０本来の機能の他に、ＩＣチップ１００に対する処理も含まれる。
【０１１４】
プログラム制御部１１１は、外部インターフェース１０５経由で、ＩＣカード１００にアクセスすることができる。
【０１１５】
また、プログラム制御部１１１には、情報格納部１１４が設けられている。情報格納部１１４は、例えばＥＥＰＲＯＭ（Electrically Erasable and Programmable ROM）のような書き込み可能なメモリ装置や、ハード・ディスクなどの外部記憶装置などで構成されている。
【０１１６】
表示部１１２は、例えば液晶表示ディスプレイ（ＬＣＤ：liquid Crystal Display）で構成される。表示部１１２は、例えば、プログラム制御部１１１における処理結果などを画面出力してユーザに通知することができる。
【０１１７】
ユーザ入力部１１３は、キーボードやジョグダイヤル、あるいは表示部１１２の表示画面に重畳されたタッチパネルなどで構成され、ユーザが携帯端末１１０にコマンドやデータを入力するために使用される。
【０１１８】
携帯端末１１０内のプログラム制御部１１１は、バッテリなど図示しない主電源からの給電により駆動する。
【０１１９】
ＩＣチップ１００を内蔵した携帯端末１１０をリーダ／ライタ（Ｒ／Ｗ）２００にかざすことによって、内蔵ＩＣチップ１００とリーダ／ライタ２００間で非接触データ通信が開始される。そして、ＰＩＮなどの暗証番号の照合を経て、ＩＣチップ１００内の電子チケットや電子マネーなどの価値情報へのアクセスが許可される。
【０１２０】
［追補］
以上、特定の実施形態を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施形態の修正や代用を成し得ることは自明である。すなわち、例示という形態で本発明を開示してきたのであり、本明細書の記載内容を限定的に解釈するべきではない。本発明の要旨を判断するためには、冒頭に記載した特許請求の範囲の欄を参酌すべきである。
【０１２１】
【発明の効果】
以上詳記したように、本発明によれば、電子マネーや電子チケットなどの価値情報をセキュアに移動させることができる、優れたデータ転送システム及びデータ転送方法、価値情報移動サービス装置及び価値情報移動サービス方法、並びに記憶媒体を提供することができる。
【０１２２】
また、本発明によれば、ＩＣカードやＩＣチップ内に保持されている電子マネーや電子チケットなどの価値情報をセキュアに移動させることができる、優れたデータ転送システム及びデータ転送方法、価値情報移動サービス装置及び価値情報移動サービス方法、並びに記憶媒体を提供することができる。
【０１２３】
また、本発明によれば、ＩＣカードやＩＣチップ内に保持されている複数の価値情報を、１箇所のサーバに接続するだけでセキュアに移動させることができる、優れたデータ転送システム及びデータ転送方法、価値情報移動サービス装置及び価値情報移動サービス方法、並びに記憶媒体を提供することができる。
【０１２４】
本発明によれば、移動用の価値情報のアクセス鍵と価値情報自体は、バリュー移動用サーバに保存する必要はなく、価値情報を運用するサービス・プロバイダのＳＡＭ内に保存される。したがって、価値情報の移動事業者と、価値情報サービスを運用する各サービス・プロバイダの責任範囲を明確に分離することができる。
【０１２５】
また、本発明によれば、ＩＣチップ内の複数の価値情報を移動しなければならないような場合、価値情報の移動元ＩＣチップ、並びに、価値情報の移動先ＩＣチップのための各通信装置は、１箇所のバリュー移動用サーバのみと接続するだけで充分である。したがって、通信装置は手動又は自動で価値情報サービス毎に通信を逐次切り換える必要がない。このため、手間が減り、通信障害が起こる可能性を減少させることができる。この場合、ＩＣチップ側から考えると、１箇所のバリュー移動用サーバに接続すれば、中継先となる各サービス・プロバイダのＳＡＭの存在を意識する必要がない。
【０１２６】
また、本発明によれば、移動前に価値情報へアクセスするための鍵を「仮鍵」に変更して、移動完了後に本鍵に戻すようにしているので、移動の途中で価値情報が不正に複製や改竄されて使用されることを防ぐことができる。また、価値情報の移動に失敗した場合であっても、移動元の鍵を本鍵に戻すことにより、価値情報の消失を防ぐことができる。
【図面の簡単な説明】
【図１】価値情報のセキュアな移動を実現するネットワーク・システムの構成を模式的に示した図である。
【図２】本実施形態に係るネットワーク・システム上におけるＩＣチップ間で価値情報をセキュアに移動させるための処理手順を示したフローチャートである。
【図３】移動元ＩＣチップに保持されている価値情報を個々のサービス・プロバイダの移動用ＳＡＭ１２にアップロードするための処理手続きを示したシーケンス図である。
【図４】個々のサービス・プロバイダの移動用ＳＡＭ１２にアップロードされている価値情報を移動元ＩＣチップにダウンロードするための処理手続きを示したシーケンス図である。
【図５】電磁誘導に基づくリーダ／ライタとＩＣカードとの無線通信の仕組みを概念的に示した図である。
【図６】リーダ／ライタとＩＣカードからなる系を１個のトランスとして捉えてモデル化した図である。
【図７】ＩＣチップ１００を内蔵したタイプの携帯端末１１０の内部ハードウェア構成を模式的に示した図である。
【符号の説明】
１０…アプリケーション・サーバ（サービス・プロバイダ）
１１…通常ＳＡＭ
１２…移動用ＳＡＭ
２０…バリュー移動用サーバ
２１…管理用ＳＡＭ
１００…ＩＣチップ
１０１…アンテナ部
１０２…アナログ部
１０３…ディジタル制御部
１０４…メモリ
１０５…外部インターフェース
１１０…携帯端末
１１２…表示部
１１３…ユーザ入力部
１１４…情報格納部
２００…リーダ／ライタ
【図１】
0004228567.tif 000002
【図２】
0004228567.tif 000003
【図３】
0004228567.tif 000004
【図４】
0004228567.tif 000005
【図５】
0004228567.tif 000006
【図６】
0004228567.tif 000007
【図７】
0004228567.tif 000008