JP6720474B2 - 移動端末装置、及び移動端末装置の制御方法 - Google Patents

Description

本発明は、ＩＣカード発行システム等に用いられる、移動端末装置、及び移動端末装置の制御方法に関する。

ＩＣカード発行システムとしては、例えば、非特許文献１に記載の技術がある。この非特許文献１に記載の技術では、パソコンで、非接触ＩＣカードの書き込み用のアプリを実行し、カードプリンタで、パソコンの記憶装置に記憶されている鍵コードや社員データ等の設定情報を非接触ＩＣカードに書き込んで、非接触ＩＣカードを発行する。

富士フィルムホールディングス株式会社、"ＩＤカードスタートアップキット"、[online]、 [平成２５年４月６日検索]、インターネット（ＵＲＬ: http://fujifilm.jp/business/security/id_ic/sokuji/start_up_kit/index.html）

しかしながら、上記非特許文献１に記載の技術では、例えば、パソコンが盗まれ、記憶装置の記憶内容が解析されることで、悪意の第三者に設定情報が窃取される可能性があった。それゆえ、ＩＣカード発行システムを、入室者が制限されるセキュリティエリアに設置する必要があった。そのため、セキュリティエリア構築に多額のコストがかかった。
本発明は、上記のような点に着目し、移動端末装置が盗まれたとしても、悪意の第三者による設定情報の窃取を困難とすることが可能な移動端末装置、及び移動端末装置の制御方法を提供することを目的とする。

本発明の移動端末装置の一態様は、予め定められた設定情報を送信する管理サーバと、管理サーバから送信された設定情報を記憶し、記憶している設定情報を、近距離無線通信を介して非接触ＩＣカードに書き込んで、非接触ＩＣカードを発行する移動端末装置とを備えたＩＣカード発行システムの移動端末装置であって、セキュアエレメントと、セキュアエレメントに記憶されているアプレットを動作させ、アプレットに、管理サーバから送信されてくる設定情報をセキュアエレメントに記憶させる処理を行わせる設定情報記憶部と、近距離無線通信を介してセキュアエレメントが記憶している設定情報を非接触ＩＣカードに書き込む設定情報書込部とを備えることを特徴とする。

本発明の一態様によれば、設定情報を移動端末装置のセキュアエレメント、つまり、解析が困難なセキュアな領域に記憶する。そのため、移動端末装置が盗まれたとしても、悪意の第三者による設定情報の窃取を困難とすることができる。

本実施形態に係る入退室管理システムの概略構成を表す概念図である。 権限情報を説明するための図である。 管理用データベースを説明するための図である。 ＵＩＭ発行処理を表すフローチャートである。 ＩＣカード発行処理を表すフローチャートである。 ＵＩＭ発行処理のシーケンス図である。 ＩＣカード発行処理のシーケンス図である。

以下、本発明の実施形態を図面に基づき説明する。
本実施形態では、会社のドアそれぞれに設けられ、施錠状態（以下、「通過不許可状態」とも呼ぶ）から解錠状態（以下、「通過許可状態」とも呼ぶ）に切り替わる電気錠３ａ（広義には、「対象」）を、非接触ＩＣカード２によって解錠状態（通過許可状態）に切り替え可能とする入退室管理システムにおける、ＩＣカード発行システム１に適用した。

（構成）
図１に示すように、入退室管理システムは、ＩＣカード発行システム１と、非接触ＩＣカード２と、電気錠制御装置３とを備える。ＩＣカード発行システム１は、アプリサーバ４と、ＭＮＯ(Mobile Network Operator)側サーバ５と、ＳＰ(Service Provider)側サーバ６と、管理者側端末装置７と、移動端末装置８とを備える。アプリサーバ４、ＭＮＯ側サーバ５、ＳＰ側サーバ６、管理者側端末装置７、及び移動端末装置８は、携帯電話通信網、インターネット等を用いて、互いに情報を送受信可能な通信路９を確立している。

アプリサーバ４は、アプリ提供会社によって運営されるサーバである。アプリサーバ４は、カード発行用ＵＩアプリを記憶している。カード発行用ＵＩアプリとは、移動端末装置８上で動作し、移動端末装置８のユーザ（権限者）からの操作を受け付け、近距離無線通信を介してセキュアエレメント８ｃａ（後述）が記憶している権限情報を非接触ＩＣカード２に書き込むためのインターフェースを提供するアプリケーションソフトウェアである。そして、アプリサーバ４は、移動端末装置８からダウンロードリクエストが送信されると、カード発行用ＵＩアプリを送信元の移動端末装置８に送信する。これにより、移動端末装置８は、カード発行用ＵＩアプリをインストールする。

ＭＮＯ側サーバ５は、ＭＮＯによって運営されるサーバである。ＭＮＯ側サーバ５は、制御プログラムによって動作し、ＭＮＯ−ＴＳＭ(Trusted Service Manager)としての機能を提供する。ＭＮＯ側サーバ５は、解錠コード管理アプレットを記憶している。解錠コード管理アプレットとは、移動端末装置８のＵＩＭ８ｃ（後述）上で動作し、ホストＣＰＵ８ｄ（後述）からの権限情報読み出し命令（後述）等に基づき、解錠コード（後述）等の権限情報（後述）を管理する各種処理を行うアプリケーションソフトウェアである。

解錠コード管理アプレットは、解錠コード管理アプリの発行機能、ドア解錠カードの発行機能を有する。そして、ＭＮＯ側サーバ５は、移動端末装置８から発行リクエストを受信すると、発行リクエストの送信元の移動端末装置８のＵＩＭ８ｃに解錠コード管理アプレットを送信する。これにより、ＵＩＭ８ｃは、解錠コード管理アプレットをセキュアエレメント８ｃａ（後述）に記憶する。また、ＭＮＯ側サーバ５は、解錠コード管理アプレットの送信を終了すると、発行リクエストの送信元の移動端末装置８に発行レスポンスを送信する。さらに、ＭＮＯ側サーバ５は、移動端末装置８から完了処理リクエストを受信すると、完了処理リクエストの送信元の移動端末装置８に完了レスポンスを送信する。
なお、本実施形態では、解錠コード管理アプレットが権限情報（解錠コード）を管理する例を示したが、他の構成を採用することもできる。例えば、権限情報に加え、非接触ＩＣカード２へのコマンドデータ等、発行データ全般を含んで管理する構成としてもよい。

ＳＰ側サーバ６は、ＳＰによって運営されるサーバである。ＳＰ側サーバ６は、制御プログラムによって動作し、ＳＰ−ＴＳＭとしての機能を提供する。ＳＰ側サーバ６は、権限情報取得部６ａと、権限情報記憶部６ｂと、権限情報送信部６ｃと、権限者認証部６ｄとを備える。すなわち、制御プログラムは、ＳＰ側サーバ６を権限情報取得部６ａ、権限情報記憶部６ｂ、権限情報送信部６ｃ、及び権限者認証部６ｄとして機能させる。

権限情報取得部６ａは、管理者側端末装置７から送信される権限情報を取得する。権限情報とは、電気錠３ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替える権限、つまり、電気錠３ａ（対象）に対する通過不許可状態若しくは通過許可状態の権限を表す情報である。権限情報は、図２に示すように、フィールドとして、「ユーザＩＤ」、「名前」、「ドアＩＤ」、「解錠コード」、及び「有効期限」が設定されている。「ドアＩＤ」、「解錠コード」、及び「有効期限」からなる群（以下、「フィールド群」とも呼ぶ）は、対象とするドアそれぞれに設定される。本実施形態では、対象とするドアとして、第１ドア、第２ドア及び第３ドアが設定されている。

「ユーザＩＤ」は、非接触ＩＣカード２のユーザ（社員）を識別するための番号である。「名前」は、非接触ＩＣカード２のユーザ（社員）の名前である。「ドアＩＤ」は、対象とするドアを識別するための識別番号である。「解錠コード」とは、対象とするドアに設けられた電気錠３ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えるときに照合されるコードである。「有効期限」とは、解錠コードの有効期限である。

権限情報記憶部６ｂは、権限情報取得部６ａで取得された権限情報を記憶する。具体的には、権限情報記憶部６ｂは、管理用データベースを記憶している。管理用データベースの各レコードは、非接触ＩＣカード２のユーザ（社員）それぞれに対応付けられている。また、図３に示すように、フィールドとして、「ユーザＩＤ」、「名前」、「ドアＩＤ」、「解錠コード」、「有効期限」が設定されている。「ドアＩＤ」、「解錠コード」、及び「有効期限」は、対象とするドア（第１ドア、第２ドア、第３ドア）それぞれに設定される。
なお、フィールド「ユーザＩＤ」、「名前」、「ドアＩＤ」、及び「解錠コード」のフィールド値は、管理用データベースの作成時に予め設定しておく。

権限情報送信部６ｃは、移動端末装置８からユーザＩＤを含むパーソリクエスト（後述）を受信すると、受信したパーソリクエストが含むユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコード（権限情報）を権限情報記憶部６ｂが記憶している管理用データベースから抽出する。続いて、権限情報送信部６ｃは、抽出したレコード（権限情報）、及びＵＩＭ８ｃに送信した解錠コード管理アプレットにアクセスするための認証パスワードを送信元の移動端末装置８のＵＩＭ８ｃに送信する。これにより、ＵＩＭ８ｃは、受信した権限情報をセキュアエレメント８ｃａに記憶させる。また、ＳＰ側サーバ６は、権限情報の送信を終了すると、パーソレスポンスを送信元の移動端末装置８に送信する。

権限者認証部６ｄは、移動端末装置８から権限者ＩＤ及びパスワードが送信されると、権限者認証を実行する。権限者認証では、権限者認証部６ｄは、移動端末装置８から送信された権限者ＩＤ及びパスワードが予め定められた権限者ＩＤ及びパスワードと一致するか否かを判定する。そして、権限者認証部６ｄは、予め定められた権限者ＩＤ及びパスワードと一致すると判定した場合に、送信元の移動端末装置８に認証信号を送信する。

管理者側端末装置７は、総務部等の管理部門が所持する端末装置である。管理者側端末装置７は、社員から入室申請等があったときに、管理部門によって操作され、社員、つまり、非接触ＩＣカード２のユーザに対して権限情報を設定（生成）する。続いて、管理者側端末装置７は、生成した権限情報をＳＰ側サーバ６に送信する。これにより、ＳＰ側サーバ６は、管理用データベースのレコードの権限情報を書き換える。

移動端末装置８は、非接触ＩＣカード２の発行権限を有する管理部門等の権限者が所持する端末装置である。移動端末装置８としては、例えば、スマートフォンを採用できる。移動端末装置８は、ＮＦＣアンテナ８ａと、ＮＦＣコントローラ８ｂと、ＵＩＭ８ｃと、ホストＣＰＵ(Central Processing Unit)８ｄと、ディスプレイ８ｅとを備える。
ＮＦＣアンテナ８ａは、ＮＦＣアンテナ８ａから設定範囲（通信可能範囲）内に存在する非接触ＩＣカード２から出力される電磁界で生じた電流、つまり、データ（権限情報の送信リクエスト）が変調された電流をＮＦＣコントローラ８ｂに出力する。また、ＮＦＣアンテナ８ａは、ＮＦＣコントローラ８ｂから出力される電流、つまり、データ（権限情報）が変調された電流で電磁界を生じ、設定範囲内に存在する非接触ＩＣカード２に出力する。

ＮＦＣコントローラ８ｂは、ＮＦＣアンテナ８ａから出力される電流に変調されたデータ（非接触ＩＣカード２との間で、近距離無線通信が確立したことを表す信号（以下、「近距離無線通信確立信号」とも呼ぶ））をＵＩＭ８ｃに送信する。また、ＮＦＣコントローラ８ｂは、ＵＩＭ８ｃから出力されるデータ（権限情報）を変調した電流をＮＦＣアンテナ８ａに出力する。これにより、ＮＦＣコントローラ８ｂは、近距離無線通信を介してセキュアエレメント８ｃａが記憶している権限情報を非接触ＩＣカード２に送信する。

ＵＩＭ８ｃは、ＭＮＯ側サーバ５から解錠コード管理アプレットが送信されると、送信された解錠コード管理アプレットをセキュアエレメント８ｃａに記憶する。セキュアエレメント８ｃａとは、外部からの悪意を持った解析攻撃に耐えられるように設計され、解析が困難なセキュアな領域である。これにより、ＵＩＭ８ｃは、高度なセキュリティ対策が実装されたＩＣカードと同等のセキュリティを持ち、ＵＩＭ８ｃが盗まれたとしても、記憶内容の読み出しが困難となっている。また、ＵＩＭ８ｃは、解錠コード管理アプレットの記憶が完了すると、完了したことを表す信号をＭＮＯ側サーバ５に送信する。これにより、ＭＮＯ側サーバ５は、信号の送信元の移動端末装置８に発行レスポンスを送信する。

また、ＵＩＭ８ｃは、ＳＰ側サーバ６から権限情報及び解錠コード管理アプレットにアクセスするための認証パスワードが送信されると、セキュアエレメント８ｃａが記憶している解錠コード管理アプレットを起動する。解錠コード管理アプレットでは、ＵＩＭ８ｃは、ＳＰ側サーバ６から送信された権限情報（「ユーザＩＤ」、「名前」「ドアＩＤ」、「解錠コード」、「有効期限」）をセキュアエレメント８ｃａに記憶する。なお、既に権限情報が記憶されている場合には、権限情報を上書きして記憶する。また、ＵＩＭ８ｃは、権限情報の記憶が完了すると、完了したことを表す信号をＳＰ側サーバ６に送信する。これにより、ＳＰ側サーバ６は、信号の送信元の移動端末装置８にパーソレスポンスを送信する。
このように、本実施形態によれば、ＳＰ側サーバ６から送信された権限情報をセキュアエレメント８ｃａに記憶する。それゆえ、権限情報を安全に記憶することができる。

また、ＵＩＭ８ｃは、ホストＣＰＵ８ｄから解錠コード管理アプレットの起動命令が出力された場合にも、セキュアエレメント８ｃａが記憶している解錠コード管理アプレットを起動する。その際、ＵＩＭ８ｃは、解錠コード管理アプレットの起動が完了すると、ホストＣＰＵ８ｄに正常終了応答を送信する。また、解錠コード管理アプレットでは、ＵＩＭ８ｃは、ホストＣＰＵ８ｄから権限情報を読み出すための認証パスワード及び認証命令が出力されると、出力された認証パスワードが予め定められた認証パスワードと一致するか否かを判定する。そして、ＵＩＭ８ｃは、予め定められた認証パスワードと一致すると判定した場合に、認証信号をホストＣＰＵ８ｄに出力する。続いて、解錠コード管理アプレットでは、ＵＩＭ８ｃは、ホストＣＰＵ８ｄから権限情報読み出し命令が出力されると、セキュアエレメント８ｃａが記憶している権限情報をホストＣＰＵ８ｄに送信する。

ホストＣＰＵ８ｄは、Ａ/Ｄ（Analog to Digital）変換回路、Ｄ/Ａ（Digital to Analog）変換回路、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、及びＲＡＭ（Random Access Memory）等から構成した集積回路を備える。ホストＣＰＵ８ｄは、権限者の操作によって、カード発行用ＵＩアプリのダウンロードリクエストをアプリサーバ４に送信する。これにより、アプリサーバ４は、カード発行用ＵＩアプリを移動端末装置８に送信する。なお、ホストＣＰＵ８ｄとＭＮＯ側サーバ５との間の通信、並びにホストＣＰＵ８ｄとＳＰ側サーバ６との間の通信は、図示しないＴＳＭプロキシエージェントを用いて行われる。また、ホストＣＰＵ８ｄは、アプリサーバ４からカード発行用ＵＩアプリを受信すると、受信したカード発行用ＵＩアプリをインストールする。

また、ホストＣＰＵ８ｄは、インストールしたカード発行用ＵＩアプリを実行する。カード発行用ＵＩアプリでは、ホストＣＰＵ８ｄは、ＵＩＭ発行処理、及びＩＣカード発行処理を実行する。これらＵＩＭ発行処理、及びＩＣカード発行処理により、近距離無線通信を介してセキュアエレメント８ｃａが記憶している権限情報を非接触ＩＣカード２に書き込む設定情報書込部８ｄａと、非接触ＩＣカード２への権限情報の書き込みが完了すると、セキュアエレメント８ｃａが記憶している権限情報を消去する設定情報消去部８ｄｂとを実現する。ＵＩＭ発行処理、及びＩＣカード発行処理の詳細については後述する。
ディスプレイ８ｅは、ホストＣＰＵ８ｄからの指令に従って、ＵＩＭ発行処理及びＩＣカード発行処理で用いる画像を表示する。また、ディスプレイ８ｅは、ディスプレイ８ｅに表示された画像を権限者がタッチ操作可能とするタッチパネル８ｅａを備える。

非接触ＩＣカード２は、社員それぞれが所持する非接触ＩＣカードである。非接触ＩＣカード２は、ＮＦＣアンテナ２ａと、ＮＦＣコントローラ２ｂと、ホストＣＰＵ２ｃとを備える。
ＮＦＣアンテナ２ａは、ＮＦＣコントローラ２ｂから出力される電流、つまり、データ（近距離無線通信確立信号）が変調された電流で電磁界を生じ、ＮＦＣアンテナ２ａから設定範囲内に存在する移動端末装置８に出力する。また、ＮＦＣアンテナ２ａは、ＮＦＣアンテナ２ａから設定範囲内に存在する移動端末装置８から出力される電磁界で生じた電流、つまりデータ（権限情報）が変調された電流をＮＦＣコントローラ２ｂに出力する。

また、ＮＦＣアンテナ２ａは、ＮＦＣアンテナ２ａから設定範囲内に存在するリーダライタ３ｂ（後述）から出力される電磁界で生じた電流、つまり、データ（権限情報の送信リクエスト）が変調された電流をＮＦＣコントローラ２ｂに出力する。また、ＮＦＣアンテナ２ａは、ＮＦＣコントローラ２ｂから出力される電流、つまり、データ（権限情報）が変調された電流で電磁界を生じ、設定範囲内に存在するリーダライタ３ｂに出力する。

ＮＦＣコントローラ２ｂは、ホストＣＰＵ２ｃから出力されるデータ（近距離無線通信確立信号）を変調した電流をＮＦＣアンテナ２ａに出力する。また、ＮＦＣコントローラ２ｂは、ＮＦＣアンテナ２ａから出力される電流に変調されたデータ（権限情報）をホストＣＰＵ２ｃに出力する。これにより、ＮＦＣコントローラ２ｂは、近距離無線通信を介して、移動端末装置８から取得したデータ（権限情報）を記憶領域２ｃａに記憶する。

また、ＮＦＣコントローラ２ｂは、ＮＦＣアンテナ２ａから出力される電流に変調されたデータ（権限情報の送信リクエスト）をホストＣＰＵ２ｃに出力する。また、ＮＦＣコントローラ２ｂは、ホストＣＰＵ２ｃから出力されるデータ（権限情報）を変調した電流をＮＦＣアンテナ２ａに出力する。これにより、ＮＦＣコントローラ２ｂは、近距離無線通信を介して、記憶領域２ｃａが記憶している権限情報をリーダライタ３ｂに送信する。

ホストＣＰＵ２ｃは、Ａ/Ｄ変換回路、Ｄ/Ａ変換回路、ＣＰＵ、ＲＯＭ、及びＲＡＭ等から構成した集積回路を備える。ホストＣＰＵ２ｃは、ＮＦＣコントローラ２ｂから権限情報が出力されると、出力された権限情報を記憶領域２ｃａに記憶する（書き込む）。また、ホストＣＰＵ２ｃは、記憶領域２ｃａへの権限情報の書き込みが正常に完了すると、権限情報の書き込みの正常終了を表す応答をＮＦＣコントローラ８ｂに出力する。さらに、ホストＣＰＵ２ｃは、ＮＦＣコントローラ２ｂから権限情報の送信リクエストが出力されると、記憶領域２ｃａが記憶している権限情報をＮＦＣコントローラ２ｂに出力する。

電気錠制御装置３は、対象とするドア（第１ドア、第２ドア及び第３ドア）それぞれに一対一に対応付けられている。電気錠制御装置３は、電気錠３ａと、リーダライタ３ｂと、電気錠制御部３ｃとを備える。電気錠３ａは、自装置７（電気錠制御装置３）が対応付けられているドア（以下、「対応ドア」とも呼ぶ）に設けられている。電気錠３ａは、対応ドアをロックする施錠状態と、対応ドアのロックを解除する解錠状態とをとり得る。

リーダライタ３ｂは、リーダライタ３ｂから設定範囲内にデータ（送信リクエスト）を変調した電流を発生させる電磁界を形成する。また、リーダライタ３ｂは、非接触ＩＣカード２から出力された電磁界で生じた電流、つまり、データ（権限情報）が変調された電流を取得し、取得した電流に変調されたデータ（権限情報）を電気錠制御部３ｃに送信する。

電気錠制御部３ｃは、リーダライタ３ｂからデータ（権限情報）を受信し、受信したデータ（権限情報）が、対応ドアの電気錠３ａの解錠状態の権限（通過許可状態の権限）を表す場合に、電気錠３ａを解錠状態とする。具体的には、電気錠制御部３ｃは、受信したデータ（権限情報）に含まれている３つのフィールド群（「ドアＩＤ」、「解錠コード」、及び「有効期限」からなる群）のうちから、「ドアＩＤ」のフィールド値が対応ドアのドアＩＤと一致するフィールド群を抽出する。続いて、電気錠制御部３ｃは、抽出したフィールド群の「解錠コード」のフィールド値が、対応ドアの電気錠３ａに予め定められた解錠コード（１１１１、２２２２等）と一致すると判定した場合に、電気錠３ａを解錠状態とする。また、電気錠制御部３ｃは、電気錠３ａを解錠状態とした後、予め定めた設定時間（例えば、１０秒）が経過すると、対応ドアの電気錠３ａを施錠状態とする。

（演算処理）
次に、ホストＣＰＵ８ｄが実行するＵＩＭ発行処理について説明する。ＵＩＭ発行処理は、カード発行用ＵＩアプリが起動されると実行される。
図４に示すように、ステップＳ１０１では、ホストＣＰＵ８ｄは、権限者ＩＤ、パスワード、及びユーザＩＤを入力するテキストボックスとＵＩＭ発行ボタンとＩＣカード発行ボタンとを表示させる指令をディスプレイ８ｅに送信する。これにより、ディスプレイ８ｅは、テキストボックスとＵＩＭ発行ボタンとＩＣカード発行ボタンとを表示する。そして、権限者は、ディスプレイ８ｅに表示された画像をタッチパネル８ｅａでタッチ操作して、テキストボックスに権限者ＩＤ、パスワード、及び発行する非接触ＩＣカード２を所持するユーザ（社員）のユーザＩＤを入力した後、ＵＩＭ発行ボタンをタッチ操作する。

続いてステップＳ１０２に移行して、ホストＣＰＵ８ｄは、ＵＩＭ発行ボタンがタッチ操作されるまで待機状態とし、ＵＩＭ発行ボタンがタッチ操作されると、テキストボックスに入力された権限者ＩＤ、パスワード、及びユーザＩＤをＳＰ側サーバ６に送信した後、ステップＳ１０３に移行する。これにより、ＳＰ側サーバ６は、権限者認証を実行し、権限者ＩＤ等の送信元の移動端末装置８に認証信号を送信する。

ステップＳ１０３では、ホストＣＰＵ８ｄは、ＳＰ側サーバ６から認証信号が送信されるまで待機状態とする。続いて、ホストＣＰＵ８ｄは、認証信号が送信されると、発行リクエストをＭＮＯ側サーバ５に送信する。これにより、ＭＮＯ側サーバ５は、発行リクエストの送信元の移動端末装置８のＵＩＭ８ｃに解錠コード管理アプレットを送信する。

続いてステップＳ１０４に移行して、ホストＣＰＵ８ｄは、ＭＮＯ側サーバ５から発行レスポンスが送信されるまで待機状態とする。続いて、ホストＣＰＵ８ｄは、発行レスポンスが送信されると、パーソリクエストをＳＰ側サーバ６に送信する。パーソリクエストは、ステップＳ１０１のテキストボックスに入力したユーザＩＤを含む。これにより、ＳＰ側サーバ６は、管理用データベースからパーソリクエストが含むユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコード（権限情報）を抽出する。続いて、ＳＰ側サーバ６は、抽出したレコード（権限情報）及びＵＩＭ８ｃに送信した解錠コード管理アプレットにアクセスするための認証パスワードをパーソリクエストの送信元の移動端末装置８のＵＩＭ８ｃに送信する。これにより、ＵＩＭ８ｃは、解錠コード管理アプレットを起動し、ＳＰ側サーバ６から送信された権限情報をセキュアエレメント８ｃａに記憶する。すなわち、ステップＳ１０４が、移動端末装置８に、ＳＰ側サーバ６から送信された権限情報をセキュアエレメント８ｃａに記憶させる記憶機能及び記憶ステップを実現する。

続いてステップＳ１０５に移行して、ホストＣＰＵ８ｄは、ＳＰ側サーバ６からパーソレスポンスが送信されるまで待機状態とし、パーソレスポンスが送信されると、完了処理リクエストをＭＮＯ側サーバ５に送信する。これにより、ＭＮＯ側サーバ５は、完了処理リクエストの送信元の移動端末装置８のホストＣＰＵ８ｄに完了レスポンスを送信する。また、ホストＣＰＵ８ｄは、ＭＮＯ側サーバ５から完了レスポンスが送信されるまで待機状態とし、完了レスポンスが送信されると、このＵＩＭ発行処理を終了する。

次に、ホストＣＰＵ８ｄが実行するＩＣカード発行処理について説明する。ＩＣカード発行処理は、ＵＩＭ発行処理が終了すると実行される。
図５に示すように、ステップＳ２０１では、ホストＣＰＵ８ｄは、権限者ＩＤ、パスワード及びユーザＩＤを入力するテキストボックスとＵＩＭ発行ボタンとＩＣカード発行ボタンとを表示させる指令をディスプレイ８ｅに送信する。これにより、ディスプレイ８ｅは、テキストボックスとＵＩＭ発行ボタンとＩＣカード発行ボタンとを表示する。そして、移動端末装置８を管理する権限者は、タッチパネル８ｅａをタッチ操作して、テキストボックスに権限者ＩＤ、パスワード、及び発行する非接触ＩＣカード２を所持する社員のユーザＩＤを入力した後、ＩＣカード発行ボタンをタッチ操作する。

続いてステップＳ２０２に移行して、ホストＣＰＵ８ｄは、ＩＣカード発行ボタンがタッチ操作されるまで待機状態とし、ＩＣカード発行ボタンがタッチ操作されると、テキストボックスに入力された権限者ＩＤ、パスワード、及びユーザＩＤをＳＰ側サーバ６に送信した後、ステップＳ２０３に移行する。これにより、ＳＰ側サーバ６は、権限者認証を実行し、権限者ＩＤ等の送信元の移動端末装置８に認証信号を送信する。

ステップＳ２０３では、ホストＣＰＵ８ｄは、移動端末装置８の動作モードをリーダーライターモードに切り替え、ＮＦＣアンテナ８ａ及びＮＦＣコントローラ８ｂを介して、非接触ＩＣカード２から近距離無線通信確立信号が送信されるまで待機状態とする。これにより、ホストＣＰＵ８ｄは、非接触ＩＣカード２との間で近距離無線通信の確立を確認する。

続いてステップＳ２０４に移行して、ホストＣＰＵ８ｄ（より具体的には、ＩＣカード発行処理で実現される設定情報書込部８ｄａ）は、解錠コード管理アプレットの起動命令をＵＩＭ８ｃに送信する。これにより、ＵＩＭ８ｃが、解錠コード管理アプレットを起動し、解錠コード管理アプレットの起動が完了すると、ホストＣＰＵ８ｄに正常終了応答を送信する。続いて、ホストＣＰＵ８ｄは、権限情報を読み出すための認証パスワード及び認証命令をＵＩＭ８ｃに送信する。これにより、ＵＩＭ８ｃが、認証を実行し、ホストＣＰＵ８ｄに認証信号を送信する。続いて、ホストＣＰＵ８ｄは、権限情報読み出し命令をＵＩＭ８ｃに送信する。これにより、ＵＩＭ８ｃは、セキュアエレメント８ｃａが記憶している権限情報をホストＣＰＵ８ｄに送信する。

続いてステップＳ２０５に移行して、ホストＣＰＵ８ｄ（より具体的には、ＩＣカード発行処理で実現される設定情報書込部８ｄａ）は、ステップＳ２０４でＵＩＭ８ｃから送信された権限情報をＮＦＣコントローラ８ｂに送信した後、このＩＣカード発行処理を終了する。これにより、ＮＦＣコントローラ８ｂは、ＮＦＣアンテナ８ａを用い、近距離無線通信を介して非接触ＩＣカード２に権限情報を送信する。続いて、非接触ＩＣカード２は、送信された権限情報を記憶領域２ｃａに記憶する（書き込む）ことで、非接触ＩＣカード２が発行される。すなわち、ステップＳ２０５が、近距離無線通信を介してセキュアエレメント８ｃａが記憶している権限情報を非接触ＩＣカード２に書き込む書込機能及び書込ステップを実現する。また、非接触ＩＣカード２は、非接触ＩＣカード２への権限情報の書き込みが正常に完了すると、ＮＦＣアンテナ８ａとＮＦＣコントローラ８ｂとを用い、近距離無線通信を介して、送信元の移動端末装置８のホストＣＰＵ８ｄに正常終了を表す応答を送信する。

また、ホストＣＰＵ８ｄ（より具体的には、ＩＣカード発行処理で実現される設定情報消去部８ｄｂ）は、非接触ＩＣカード２から正常終了を表す応答が送信されると、権限情報の消去リクエストをＵＩＭ８ｃに送信する。これにより、ＵＩＭ８ｃは、ホストＣＰＵ８ｄから消去リクエストが送信されると、セキュアエレメント８ｃａが記憶している権限情報を消去する。それゆえ、権限情報の窃取を困難にし、セキュリティを向上できる。
なお、ステップＳ２０３とステップＳ２０４とは順番を入れ替えた構成としてもよい。
また、本実施形態では、セキュアエレメント８ｃａへの権限情報の書き込みと、非接触ＩＣカード２の発行とを別の演算処理（ＵＩＭ発行処理、ＩＣカード発行処理）で実現し、それぞれの演算処理で認証パスワードを入力させるため、セキュリティを向上できる。

（動作その他）
次に、本実施形態の入退室システムにおけるＩＣカード発行システム１の動作を説明する。
まず、移動端末装置８が、カード発行用ＵＩアプリのダウンロードリクエストをアプリサーバ４に送信する。すると、アプリサーバ４が、カード発行用ＵＩアプリを移動端末装置８に送信する。続いて、移動端末装置８が、受信したカード発行用ＵＩアプリをインストールする。続いて、移動端末装置８が、権限者の操作でカード発行用ＵＩアプリが起動すると、ＵＩＭ発行処理を実行し、権限者ＩＤ、パスワード及びユーザＩＤを入力するテキストボックスとＵＩＭ発行ボタンとＩＣカード発行ボタンとを表示させる指令をディスプレイ８ｅに送信する（図４のステップＳ１０１）。続いて、ディスプレイ８ｅが、テキストボックスとＵＩＭ発行ボタンとＩＣカード発行ボタンとを表示する。これにより、権限者に、権限者ＩＤ、パスワード及びユーザＩＤの入力と、ＵＩＭ発行ボタンのタッチ操作とが促される。

ここで、権限者が、タッチパネル８ｅａでタッチ操作して、テキストボックスに権限者ＩＤ、パスワード、及び発行する非接触ＩＣカード２を所持するユーザ（社員）のユーザＩＤを入力した後、ＵＩＭ発行ボタンをタッチ操作したとする。すると、移動端末装置８が、図６に示すように、入力された権限者ＩＤ、パスワード及びユーザＩＤをＳＰ側サーバ６に送信する（図４のステップＳ１０２）。続いて、ＳＰ側サーバ６が、権限者認証を実行し、権限者ＩＤ、及びパスワード等の送信元の移動端末装置８に認証信号を送信する。

続いて、移動端末装置８が、発行リクエストをＭＮＯ側サーバ５に送信する（図４のステップＳ１０３）。続いて、ＭＮＯ側サーバ５が、送信元の移動端末装置８のＵＩＭ８ｃに解錠コード管理アプレットを送信する。続いて、ＵＩＭ８ｃが、送信された解錠コード管理アプレットをセキュアエレメント８ｃａに記憶する。続いて、ＵＩＭ８ｃが、解錠コード管理アプレットの記憶が完了したことを表す信号をＭＮＯ側サーバ５に送信する。続いて、ＭＮＯ側サーバ５が信号の送信元の移動端末装置８に発行レスポンスを送信する。

続いて、移動端末装置８が、パーソリクエスト（入力されたユーザＩＤを含むリクエスト）をＳＰ側サーバ６に送信する（図４のステップＳ１０４）。続いて、ＳＰ側サーバ６が、管理用データベースからパーソリクエストが含むユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコード（権限情報）を抽出し、抽出したレコード（権限情報）、及び解錠コード管理アプレットにアクセスするための認証パスワードをパーソリクエストの送信元の移動端末装置８のＵＩＭ８ｃに送信する。続いて、ＵＩＭ８ｃが、解錠コード管理アプレットを起動し、送信された権限情報をセキュアエレメント８ｃａに記憶する。
続いて、移動端末装置８が、完了処理リクエストをＭＮＯ側サーバ５に送信する（図４のステップＳ１０５）。続いて、ＭＮＯ側サーバ５が、完了処理リクエストの送信元の移動端末装置８のホストＣＰＵ８ｄに完了レスポンスを送信する。続いて、移動端末装置８が、ＭＮＯ側サーバ５から完了レスポンスが送信される。

続いて、移動端末装置８が、ＩＣカード発行処理を実行し、権限者ＩＤ、パスワード及びユーザＩＤを入力するテキストボックスとＵＩＭ発行ボタンとＩＣカード発行ボタンとを表示させる指令をディスプレイ８ｅに送信する（図５のステップＳ２０１）。続いて、ディスプレイ８ｅが、テキストボックスとＵＩＭ発行ボタンとＩＣカード発行ボタンとを表示する。これにより、権限者に、権限者ＩＤ、パスワード及びユーザＩＤの入力と、ＩＣカード発行ボタンのタッチ操作とが促される。

ここで、権限者が、タッチパネル８ｅａでタッチ操作して、テキストボックスに権限者ＩＤ、パスワード、及び発行する非接触ＩＣカード２を所持するユーザ（社員）のユーザＩＤを入力した後、ＵＩＭ発行ボタンをタッチ操作したとする。すると、移動端末装置８が、図７に示すように、入力された権限者ＩＤ、パスワード及びユーザＩＤをＳＰ側サーバ６に送信する（図５のステップＳ２０２）。続いて、ＳＰ側サーバ６が、権限者認証を実行し、権限者ＩＤ、及びパスワード等の送信元の移動端末装置８に認証信号を送信する。続いて、移動端末装置８が、移動端末装置８の動作モードをリーダーライターモードに切り替え、ＮＦＣアンテナ８ａ及びＮＦＣコントローラ８ｂを介して、非接触ＩＣカード２から近距離無線通信確立信号が送信されるまで待機状態となる（図５のステップＳ２０３）。

ここで、権限者が、非接触ＩＣカード２を移動端末装置８にかざし、非接触ＩＣカード２がＮＦＣアンテナ８ａの通信可能範囲内に入ったとする。すると、非接触ＩＣカード２が、近距離無線通信を介して、近距離無線通信確立信号を移動端末装置８に送信する。これにより、移動端末装置８が、近距離無線通信の確立を確認する（図５のステップＳ２０３）。続いて、移動端末装置８（設定情報書込部８ｄａ）が、解錠コード管理アプレットの起動命令をＵＩＭ８ｃに送信する（図５のステップＳ２０４）。続いて、ＵＩＭ８ｃが、解錠コード管理アプレットを起動し、解錠コード管理アプレットの起動が完了すると、ホストＣＰＵ８ｄに正常終了応答を送信する。

続いて、移動端末装置８（設定情報書込部８ｄａ）が、権限情報を読み出すための認証パスワード及び認証命令をＵＩＭ８ｃに送信する（図５のステップＳ２０４）。続いて、ＵＩＭ８ｃが、認証を実行し、ホストＣＰＵ８ｄに認証信号を送信する。続いて、移動端末装置８（設定情報書込部８ｄａ）が、権限情報読み出し命令をＵＩＭ８ｃに送信する（図５のステップＳ２０４）。続いて、ＵＩＭ８ｃが、セキュアエレメント８ｃａが記憶している権限情報をホストＣＰＵ８ｄに送信する。

続いて、移動端末装置８（設定情報書込部８ｄａ）が、ＵＩＭ８ｃから送信された権限情報をＮＦＣコントローラ８ｂに送信する（図５のステップＳ２０５）。続いて、ＮＦＣコントローラ８ｂが、ＮＦＣアンテナ８ａを用い、近距離無線通信を介して非接触ＩＣカード２に権限情報を送信する。続いて、非接触ＩＣカード２（ホストＣＰＵ２ｃ）は、送信された権限情報を記憶領域２ｃａに記憶する。これにより、ＩＣカード発行システム１は、非接触ＩＣカード２を発行する。また、移動端末装置８（設定情報消去部８ｄｂ）が、非接触ＩＣカード２から正常終了を表す応答が送信されると、権限情報の消去リクエストをＵＩＭ８ｃに送信する。これにより、ＵＩＭ８ｃが、ホストＣＰＵ８ｄから消去リクエストが送信されると、セキュアエレメント８ｃａが記憶している権限情報を消去する。

このように、本実施形態では、移動端末装置８は、ＳＰ側サーバ６から送信された権限情報を記憶するセキュアエレメント８ｃａと、近距離無線通信を介してセキュアエレメント８ｃａが記憶している権限情報を非接触ＩＣカード２に書き込むＮＦＣコントローラ８ｂとを備える。これにより、権限情報を移動端末装置８のセキュアエレメント８ｃａ、つまり解析が困難なセキュアな領域に記憶する。それゆえ、移動端末装置８が盗まれたとしても、悪意の第三者による権限情報の窃取を困難とすることができる。そのため、非接触ＩＣカード２発行用の機器を、入室者が制限されるセキュリティエリアに設置する必要がなく、セキュリティエリア構築に要する費用がかからずに済む。

また、スマートフォン等の移動端末装置８を用いるため、非接触ＩＣカード２発行のための専用の機器を用意する必要がなく、機器費用を低減できる。
ここで、非接触ＩＣカード２のユーザ（社員）が、非接触ＩＣカード２を第１ドアに対応して設けられた電気錠制御装置３のリーダライタ３ｂにかざし、非接触ＩＣカード２がリーダライタ３ｂの通信可能範囲内に入ったとする。すると、非接触ＩＣカード２が、ＮＦＣアンテナ２ａ、ＮＦＣコントローラ２ｂを介して、リーダライタ３ｂから権限情報の送信リクエストを受信する。続いて、非接触ＩＣカード２が、ＮＦＣコントローラ２ｂおよびＮＦＣアンテナ２ａを用い、近距離無線通信を介して、記憶領域２ｃａが記憶している権限情報をリーダライタ３ｂに送信する。続いて、電気錠制御部３ｃが、リーダライタ３ｂを介して、非接触ＩＣカード２から送信された権限情報を受信し、受信した権限情報が、第１ドアの電気錠３ａの解錠の権限（通過許可状態の権限）があると判定すると、第１ドアの電気錠３ａを解錠状態とする。これにより、非接触ＩＣカード２のユーザは、第１ドアを開放し、開放した部屋に入室できる。
本実施形態では、図１のＳＰ側サーバ６が管理サーバを実現する。以下同様に、権限情報が設定情報を実現する。また、図４のステップＳ１０４が記憶機能及び記憶ステップを実現する。さらに、図５のステップＳ２０５が書込機能及び書込ステップを実現する。

（本実施形態の効果）
本実施形態に係る発明は、以下の効果を奏する。
（１）本実施形態に係る移動端末装置８は、セキュアエレメント８ｃａが、ＳＰ側サーバ６から送信された権限情報を記憶し、設定情報書込部８ｄａが、近距離無線通信を介してセキュアエレメント８ｃａが記憶している権限情報を非接触ＩＣカード２に書き込む。
このような構成によれば、権限情報を移動端末装置８のセキュアエレメント８ｃａ、つまり、解析が困難なセキュアな領域に記憶する。そのため、移動端末装置８が盗まれたとしても、悪意の第三者による権限情報の窃取を困難とすることができる。また、固定システムではなく、権限情報はセキュアエレメント８ｃａに記憶されているので、セキュアな環境を構築する必要はなく、場所を特定する必要もないので、自由度（柔軟性）が高い、という効果もある。
（２）本実施形態に係る移動端末装置８では、設定情報消去部８ｃｂは、非接触ＩＣカード２への権限情報の書き込みが完了すると、セキュアエレメント８ｃａが記憶している権限情報を消去する。
このような構成によれば、権限情報の窃取をより困難とすることができる。

（３）本実施形態に係るＳＰ側サーバ６は、権限情報を送信するＳＰ側サーバ６と、ＳＰ側サーバ６から送信された権限情報を記憶するセキュアエレメント８ｃａを有し、近距離無線通信を介してセキュアエレメント８ｃａが記憶している権限情報を非接触ＩＣカード２に書き込んで、非接触ＩＣカード２を発行する移動端末装置８とを備えたＩＣカード発行システム１のＳＰ側サーバ６である。また、このＳＰ側サーバ６は、権限情報取得部６ａが、非接触ＩＣカード２のユーザに対して権限された権限情報を取得し、権限情報記憶部６ｂが、権限情報取得部６ａで取得した権限情報を記憶すると、権限情報送信部６ｃが、権限情報記憶部６ｂが記憶している権限情報を移動端末装置８に送信する。
このような構成によれば、権限情報を移動端末装置８のセキュアエレメント８ｃａ、つまり、解析が困難なセキュアな領域に記憶する。そのため、移動端末装置８が盗まれたとしても、悪意の第三者による権限情報の窃取を困難とすることができる。

（４）本実施形態に係る移動端末装置８の制御プログラムでは、移動端末装置８に、ＳＰ側サーバ６から送信された権限情報をセキュアエレメント８ｃａに記憶させる記憶機能、及び近距離無線通信を介してセキュアエレメント８ｃａが記憶している権限情報を非接触ＩＣカード２に書き込む書込機能を実現させる。
このような構成によれば、権限情報を移動端末装置８のセキュアエレメント８ｃａ、つまり、解析が困難なセキュアな領域に記憶する。そのため、移動端末装置８が盗まれたとしても、悪意の第三者による権限情報の窃取を困難とすることができる。

（５）本実施形態に係る移動端末装置８の制御方法では、ＳＰ側サーバ６から送信された権限情報をセキュアエレメント８ｃａに記憶させる記憶ステップ、及び近距離無線通信を介してセキュアエレメント８ｃａが記憶している権限情報を非接触ＩＣカード２に書き込む書込ステップを含む。
このような構成によれば、権限情報を移動端末装置８のセキュアエレメント８ｃａ、つまり、解析が困難なセキュアな領域に記憶する。そのため、移動端末装置８が盗まれたとしても、悪意の第三者による権限情報の窃取を困難とすることができる。

（変形例）
（１）なお、本実施形態では、設定情報書込部８ｄａは、ＳＰ側サーバ６からカード発行用ＵＩアプリの実行を停止させるリクエスト（以下、「停止リクエスト」とも呼ぶ）が送信されると、カード発行用ＵＩアプリの実行を停止させる構成としてもよい。具体的には、ＳＰ側サーバ６は、ＳＰによる操作に応じて停止リクエストを移動端末装置８に送信する。続いて、移動端末装置８（設定情報書込部８ｄａ）は、ＳＰ側サーバ６から停止リクエストが送信されると、カード発行用アプリの起動を禁止する。なお、カード発行用アプリが実行されている場合には、カード発行用ＵＩアプリの実行を終了させる。これにより、例えば、移動端末装置８が盗まれたときに、ＳＰ側サーバ６から停止リクエストを移動端末装置８に送信することで、カード発行用ＵＩアプリの実行を停止できる。それゆえ、悪意の第三者による非接触ＩＣカード２の不正な発行を防止できる。

（２）また、設定情報書込部８ｄａは、ＳＰ側サーバ６からカード発行用ＵＩアプリの実行の停止を解除させるリクエスト（以下、「解除リクエスト」とも呼ぶ）が送信されると、カード発行用ＵＩアプリの実行の停止を解除する構成としてもよい。具体的には、ＳＰ側サーバ６は、ＳＰによる操作に応じて解除リクエストを移動端末装置８に送信する。続いて、移動端末装置８（設定情報書込部８ｄａ）は、ＳＰ側サーバ６から解除リクエストが送信されると、カード発行用アプリの起動の禁止を解除する。これにより、例えば、ＳＰ側サーバ６から解除リクエストを送信することで、カード発行用ＵＩアプリの実行の停止を解除できる。それゆえ、非接触ＩＣカード２の発行が可能となる。

１ ＩＣカード発行システム
４ ＳＰ側サーバ
４ａ 権限情報取得部
４ｂ 権限情報記憶部
４ｃ 権限情報送信部
５ 管理者側端末装置
６ 移動端末装置
６ｃ ＵＩＭ
６ｃａ セキュアエレメント
６ｄ ホストＣＰＵ
７ 非接触ＩＣカード
８ 電気錠制御装置
８ａ 電気錠
８ｂ リーダライタ
８ｃ 電気錠制御部

Claims (5)

1. 予め定められた設定情報を送信する管理サーバと、前記管理サーバから送信された設定情報を記憶し、記憶している設定情報を、近距離無線通信を介して非接触ＩＣカードに書き込んで、非接触ＩＣカードを発行する移動端末装置とを備えたＩＣカード発行システムの前記移動端末装置であって、
   セキュアエレメントと、
   前記セキュアエレメントに記憶されているアプレットを動作させ、前記アプレットに、前記管理サーバから送信されてくる前記設定情報を前記セキュアエレメントに記憶させる処理を行わせる設定情報記憶部と、
   近距離無線通信を介して前記セキュアエレメントが記憶している前記設定情報を前記非接触ＩＣカードに書き込む設定情報書込部とを備えることを特徴とする移動端末装置。
2. 前記非接触ＩＣカードへの前記設定情報の書き込みが完了すると、前記セキュアエレメントが記憶している前記設定情報を消去する設定情報消去部を更に備えることを特徴とする請求項１に記載の移動端末装置。
3. 前記設定情報書込部は、近距離無線通信を介して前記セキュアエレメントが記憶している前記設定情報を前記非接触ＩＣカードに書き込むためのアプリケーションソフトウェアを実行し、前記管理サーバから前記アプリケーションソフトウェアの実行を停止させるリクエストが送信されると、前記アプリケーションソフトウェアの実行を停止させることを特徴とする請求項１または２に記載の移動端末装置。
4. 前記設定情報書込部は、前記管理サーバから前記アプリケーションソフトウェアの実行の停止を解除させるリクエストが送信されると、前記アプリケーションソフトウェアの実行の停止を解除することを特徴とする請求項３に記載の移動端末装置。
5. 予め定められた設定情報を送信する管理サーバと、前記管理サーバから送信された設定情報を記憶し、記憶している設定情報を、近距離無線通信を介して非接触ＩＣカードに書き込んで、非接触ＩＣカードを発行する移動端末装置とを備えたＩＣカード発行システムの前記移動端末装置の制御方法であって、
   前記移動端末装置のセキュアエレメントに記憶されているアプレットを動作させ、前記アプレットに、前記管理サーバから送信されてくる前記設定情報を前記セキュアエレメントに記憶させる処理を行わせる記憶ステップ、及び近距離無線通信を介して前記セキュアエレメントが記憶している前記設定情報を前記非接触ＩＣカードに書き込む書込ステップを含むことを特徴とする移動端末装置の制御方法。

Images