WO2002065287A1

WO2002065287A1 - Procede de traitement de donnees et appareil correspondant

Info

Publication number: WO2002065287A1
Application number: PCT/JP2002/001324
Authority: WO
Inventors: Masahiro Sueyoshi; Fumio Kubono; Kei Tateno
Original assignee: Sony Corp
Current assignee: Sony Corp
Priority date: 2001-02-16
Filing date: 2002-02-15
Publication date: 2002-08-22
Anticipated expiration: 2003-08-16
Also published as: SG132507A1; US20040015948A1; US20070288922A1; US8141057B2; SG154320A1; EP1361511A4; EP1361511A1; CN101526982B; CN1465008A; SG140467A1; CN1261870C; SG143065A1; US7240345B2; SG143976A1; CN101526982A; SG160187A1; HK1062722A1; HK1098849A1; SG143064A1

Description

明細書データ処理方法およびその装置技術分野

本発明は、カードや携帯端末装置に内蔵された I C (Integrated Ci rcui t)を用いてネットワークを介した取り引きを行う場合に有用なデータ処理方法、その装置、そのプログラム、半導体回路および認証用装置に閬する。

背景技術

現在、 I C力一ドなどを用いてィンターネットなどのネットワークを介した取り引きを行う通信システムが開発されている。

このような通信システムでは、サーバ装置が、例えば I Cカードのリーダ ' ライタや P C (Personal Computer) から I Cカードを用いた処理要求を受け、ユーザ認証やデータの暗号化及び復号などの処理を行う。

しかしながら、上述したような通信システムでは、多数の I Cカードについての処理要求を同時あるいは短時間にサーバ装置が受けることが想定される。この場合に、サーバ装置において、このような処理要求に対して効率的に応える必要がある。

また、サーバ装置は、複数の決済事業者に係わる手続き処理をそれぞれ行う複数のアプリケーションプログラムを実行し、処理要求に応じて、選択したアプリケ一ションプログラムを用いた処理を行う場合があるが、このような処理要求にも効率的に応える必要がある。

また、上述したような通信システムでは、サーバ装置が実行するアプリケーシヨンプログラムは、 I Cカードにアクセスを行うための鍵情報や I Cカードを操作するための操作コマンドを用いてコードを記述する必要がある。ここで、これらの鏈情報や操作コマンドは、 I Cカードを用いた取り引きの安全性を期す上で上記サーバ装置の管理者のみが知ることができる。

従って、従来では、サーバ装置の管理者が、上記サービス提供者から依頼を受けて、上記アプリケ一ションプログラムを作成およびカスタマィズしている。しかしながら、上述したようにサーバ装置の管理者がアプリケーションプログラムの作成およびカスタマィズを行うのでは、当該管理者の負担が大きいという問題がある。

また、上述したサーバ装置上には、例えば、複数のクレジットカ一ド会社などの事業者のァプリケーションプログラムが動作している。このようなアプリケーシヨンプログラムは、各事業者が作成し、パーソナルコンピュータなどを用いて、サーバ装置にダウン Π—ドする。

しかしながら、上述したようにサーバ装置上で複数の事業者のアプリケーションプログラムを動作させる場合に、各アプリケーションプログラムの処理が、他のアプリケーションプログラムによって監視および改竄されないようにする必要がある。

その一方、アプリケーションプログラム間で、データ授受を行いながら、多様なサービスを提供したいという要請がある。

また、各事業者は、アプリケーションプログラムをサーバ装置にダウンロードした後に、必要に応じてデバ'ンクなどを行う。

しかしながら、上述したように各事業者がサ一バ装置にアプリケ一ションプログラムをダウンロードしたり、当該アプリケ一ションプログラムのデバックなどを行う場合に、サーバ装置内のプログラムが不正に改竄等されることを防止する必要がある。

これを実現する手法として、例えば、サーバ装置へのアクセスを行う際に、鍵情報を用いた認証処理を行う手法があるが、通常、このような鍵情報は端末装置 (上記パーソナルコンピュータ）のメモリに記憶されているため、不正利用される可能性があり、セキュリティ上の問題がある。また、上述したサーバ装置を構成する L S Iには、 C P Uが内蔵されているが、 C P Uが L S I チップの外部のメモリにアクセスを行う場合がある。

このような場合に、 L S Iチップと外部メモリとの間に設けられたバス上をデ —タが流れるため、バスをプローブすることによって、当該データを見ることができる。

しかしながら、上述したサーバ装置が、上述したように、電子商取引や個人認証などの秘匿性の高い処理を行う場合には、上述したようにデータがプローブされるとセキユリティ上の問題がある。

また、上述したサーバ装置が 1合のコンピュータで構成されることがある。この場合に、 1 台のコンピュータ上でそれぞれ異なる事業者が提供する複数のサービスに係わる複数のプ口グラムを動作させることになり、当該サービスが決済などのように秘匿性の高いデータを扱う場合には、各事業者が所有する秘匿性の高いデータが他の事業者によつて不正に取得されたり、改竄される可能性があるという問題がある。

また、上述したようなコンピュータとしては、従来の一般的なコンピュータを用いると以下のような問題が生じる。

図 1 3 3は、一般的なコンピュータ 6 0 1 の基本構成を示している。

M l 3 3に示すコンピュータ 6 0 1では、 C P U 6 0 2はメモリ 6 0 3から読み出したプログラムの命令およびデータを用いて処理を行う。

C P U 6 0 2 は、メモリ 6 0 3上のアクセスを行うアドレスをアドレスバス 6 0 4上に出力する。

また、 C P U 6 0 2は、制御信号 S 6 0 2によって、メモリ 6 0 3から読み出しを行つか、書き込みを行うかを指示する。

メモリ 6 0 3に記憶されたモジュール A、モジュール B、モジュール Cはそれぞれが特定の機能を有するプログラムの処理単位である。

デバッガ 6 0 5は、プログラムの開発時に C P U 6 0 2の動作を確認するもので、 H A L T信号により C P U 6 0 2の動作を一時的に停止し、 C P U 6 0 2の内部情報を読み出し、その情報をプ口グラム開発者に伝える。

ここで、図 1 3 3において、モジュール Aが、モジュール Bやモジュール Cが使用する基本的な機能を持っているとする。

ここで、モジュール A内に含んでいる基本機能の手順が秘密性の高いものであるとする。このような場合、モジュール Aは基本機能であるため、モジュール B やモジュール Cの開発者に対して、プログラムの開発ができるような環境を整えておく必要がある。この手段の一つとして、ライブラリを配布する方法がある。これは、高級言語と機械語の中間的な言語（通常アセンブリ語とよばれる）で表現されるが、解析は比較的容易であり、秘匿したいプログラムの処理手順が知れられてしまう可能性が高い。

また、別の手段として、あらかじめメモリ 6 0 3上に基本モジュール（本例ではモジュール A ) を格納しておき、開発者は、ライブラリとして利用するのではなく、特定の場所に、基本モジュールが存在するものとして、ソフトゥヱァの開発を行うものである。

しかし、この手段であっても、モジュール B , Cの開発者が、メモリ 6 0 3上に格納されたモジュール Aを読み出すことは、それほど難しくないという問題がある。このとき、読み出された内容は、 C P U 6 0 2が実行するレベルである機械語であるが、機械語をアセンブリ言語に変換するツールも存在し、手順を解折することは比較的容易に出来る。

また、モジュール B , Cの開発者がプログラムの開発段階において、モジュ一ル Aの実行途中で C P U 6 0 2の実行を一時停止することで、取り扱つているデータや、その内容を知ることで、モジュール Aのプログラムの処理手順を全て知り得るという問題がある。

また、上述したサーバ装置上で動作するアプリケーションプログラムは、サ一ビス提供者が設定した鍵データ、課金データおよび履歴データなどのセキユリティの高いデータを取り扱うため、不正な改竄や監視から保護したいという要請がある。

本発明の第 1の目的は、多数の処理要求に応じた処理を効率的に行うことができるデータ処理方法、半導体回路およびプログラムを提供することである。本発明の第 2の目的は、秘匿性の高い情報をユーザに知らせることなく、サ一バ装置で実行するユーザのアプリケーションプ αグラムを当該ユーザが作成およびカスタマイズできるデータ処理方法、半導体回路およびプログラムを提供することである。

本発明の第 3の目的は、同じ半導体回路上で複数のアプリケーションプログラムを動作させる場合に、各アプリケーションプログラムが、他のアプリケ一ションプログラムによって影響を受けることを防止できるデータ処理方法、半導体回路およびプログラムを提供することである。

本発明の第 4の目的は、同じ半導体回路上で複数のアプリケ一ションプロダラムを動作させる場合に、各アプリケーションプログラムが、他のアプリケ一ションプログラムのユーザ等によって不正に改竄および監視等されることを防止しながら、必要に応じてアプリケーションプログラム相互間でのデータ授受を認めるデータ処理方法、半導体回路およびプログラムを提供することである。

本発明の第 5の目的は、サーバ装置などの半導体酉路へのアクセス内容をその権限に応じて規制できるデータ処理方法、半導体回路、認証用装置およびプログラムを提供することである。

本発明の第 6の目的は、秘匿性の高いデータを外部バスを介して半導体回路と半導体記憶回路との間で伝送する場合でも、当該データの秘匿性を保つことができる半導体回路およびデータ処理方法を提供することである。

本発明の第 7の目的は、複数のプログラムを実行する場合に、各プログラム間で命令およびデータの秘密性を保持できるデータ処理装置を提供することである本発明の第 8の目的は、実行するプログラムの秘匿性を高めることができる半導体回路を提供することである。

本発明の第 9の目的は、 I Cなどの集積回路を用いたサービスを提供する際に、サーバ装置上で動作するアプリケーションプログラムのセキユリティを高めることができるデータ処理装置、その方法およびそのプログラムを提供することであ。

発明の開示

上述した目的を達成するために、第 1の発明のデータ処理方法は、複数の処理要求に応じて半導体回路が行うデータ処理方法であって、前記処理要求に応じた処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデータとを舍むジョブ管理用デ一タを、前記複数の処理要求のそれぞれについて生成し、前記生成された複数のジヨブ管理用データから一つのジヨブ管理用データを所定の規則に基づいて選択し、前記選択したジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択し、前記選択したジョブを実行し、当該ジョブの実行に応じて、'前記選択したジョブ管理用データの前記ステ一タスデータを更新する。

第 1の発明のデータ処理方法では、先ず、半導体画路によって、処理要求に応じた処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデータとを舍むジョブ管理用データ力^ 前記複数の処理要求のそれぞれについて生成される。

次に、半導体回路によって、前記生成された複数のジョブ管理用データから一つのジョブ管理用データを所定の規則に基づいて選択される。

次に、半導体回路によって、前記選択したジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブが選択される。次に、半導体画路によって、前記選択したジョブが実行される。

次に、半導体回路によって、当該ジョブの実行に応じて、前記選択したジョブ管理用データの前記ステータスデータが更新される。

また、第 1の発明のデータ処理方法は、好ましくは、前記選択したジョブ管理用データの前記ステータスデータを更新した後に、前記複数のデータモジュールから一つのジョブ管理用データを選択する。

また、第 1の発明のデータ処理方法は、好ましくは、は、前記処理要求に応じた処理を構成する全てのジョブの実行が終了した前記ジョブ管理用データを消去する。

また、第 1の発明のデータ処理方法は、好ましくは、前記半導体回路との間で行われる手続き処理に用いられるデータを記憶する記憶部を有する集積回路、あるいは当該集積回路との間でデータ入出力を行う通信装置から前記処理要求を受信する。

第 2の発明の半導体回路は、複数の処理要求に応じてデータ処理を行う半導体回路であって、前記複数の処理要求を入力するインタフェースと、前記処理要求に応じた処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデータとを舍むジョブ管理用データを記憶する記憶画路と、前記入力した複数の処理要求のそれぞれについて前記ジョブ管理用データを生成して前記記憶回路に記憶し、前記生成された複数のジョブ管理用データから一つのジョブ管理用データを選択し、前記選択したジヨブ管理用データの前記ステータスデータおよび前記処理順番デ一タに基づいて、次に実行を行うジョブを選択して実行し、当該ジョブの実行に応じて、前記選択したジョブ管理用データの前記ステータスデータを更新する制御回路とを有する。

第 2の発明の半導体回路では、インタフースが、複数の処理要求を入力する次に、制御回路が、処理要求に応じた処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステ —タスデータとを含む複数のジョブ管理用データを、前記複数の処理要求に応じて生成し、これを記憶回路に記憶する。

次に、制御回路が、複数のジョブ管理用データから一つのジョブ管理用データを選択する。

次に、制御回路が、前記選択したジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択して実行し、当該ジョブの実行に応じて、前記選択したジブ管理用データの前記ステータスデータ ¾更新する。

第 3の発明のプログラムは、複数の処理要求に応じてデータ処理を行う半導体回路によって実行されるプログラムであって、前記処理要求に応じた処理を構成する複数の.ジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデータとを舍むジョブ管理用データを、前記複数の処理要求のそれぞれについて生成する手順と、前記生成された複数のジョブ管理用データから一つのジョブ管理用データを選択する手順と、前記選択したジョブ管理用データの前記ステータスデータおよび前記処理順番デ一夕に基づいて、次に実行を行うジョブを選択する手順と、前記選択したジョブを実行する手 ill!と、当該ジョブの実行に応じて、前記選択したジョブ管理用データの前記ステ一タスデータを更新する手順とを有する。

第 4の発明のデータ処理方法は、集積回路を用いた手続きに関する処理を行うアプリケーションプログラムが勣作する半導体回路が行うデータ処理方法であつて、前記アプリケーションプグラムが前記集積回路を操作するために用いる操作コードと前記操作の名前である操作名との対応を示す対応指示データを前記半導体回路が参照可能であり、前記アプリケーションプログラムの動作を前記操作名を用いて記述した動作記述プログラムを前記半導体画路が入力し、前記半導体回路が、前記動作記述プログラムに記述された前記操作名に対応する前記操作コ一ドを前記対応指示データを参照して得て、当該得た操作コードを用いて前記ァプリケ一シヨンプログラムの処理を規定する。

また、第 4の発明のデータ処理方法は、好ましくは、前記対応指示データは、前記操作名と、当該操作名に対応する操作を前記集積回路に行うときに用いられる鍵情報との対応をさらに示し、前記半導体面路は、前記動作記述プログラムに記述された前記操作名に対応する前記鍵情報を前記対応指示データを参照して得て、当該得た鍵情報を用いて前記アプリケーションプログラムの処理を規定するまた、第 4の発明のデータ処理方法は、好ましくは、前記半導体面路は、処理要求に応じて、前記アプリケーションプログラムの処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデータとを含むジョブ管理用データを生成し、前記ジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択し、前記選択したジョブを実行し、当該ジョブの実行に応じて、前記選択したジョブ管理用データの前記ステータスデータを更新する。第 5の発明の半導体 Hi路は、集積画路を用いた手続きに関する処理を行うアブリケーションプログラムが動作する半導体回路であって、前記アプリケーションプ口グラムが前記集積回路を操作するために用いる操作コードと前記操作の名前である操作名との対応を示す対応指示データを記憶する記憶回路と、前記アブリケ一シヨンプログラムの動作を前記操作名を用いて記述した動作記述プログラムを入力するィンタフースと、当該入力した前記動作記述プログラムに記述された前記操作名に対応する前記操作コードを前記対応指示データを参照して得て、当該得た操作コードを用いて前記アプリケ一ションプ σグラムの処理を規定する制御回路とを有する。

第 5の発明の半導体西路では、インタフェースが、アプリケーションプロダラムの動作を操作名を用いて記述した動作記述プログラムを入力する。次に、制御回路が、前記入力した前記動作記述プログラムに記述された前記操作名に対応する操作コードを対応指示データを参照して得てる。

次に、制御回路が、当該得た操作コードを用いて前記アプリケーションプログラムの処理を規定する。

第 6の発明のプログラムは、集積回路を用いた手続きに関する処理を行うアブリケ一シヨンプログラムが動作する半導体回路によって実行されるプログラムであつ、

前記集積回路に対する操作の名前である操作名を用いて前記アプリケーションプ口グラムの動作を記述した動作記述プログラムを入力する手順と、前記アブリケーシヨンプログラムが前記集積回路を操作するために用いる操作コードと前記操作名との対応を示す対応指示データを参照して、前記動作記述プログラムに記逑された前記操作名に対応する前記操作コードを得る手順と、前記得た操作コードを用いて前記アブリケ一シヨンプロダラムの処理を規定する手順とを有する。第 7の発明のデータ処理方法は、アプリケーションプログラムを実行する半導体回路が行うデータ処理方法であって、前記アプリケーションプログラムを構成する複数のプログラムモジュールの各々を、複数のファィァウォールのうち予め各プログラムモジュールに割り当てられたフアイァウォールによって保護し、前記プログラムモジュールを、当該プログラムモジュールに割り当てられたフアイァゥォールを識別するフアイァゥォ一ル識別情報と対応付けて登録し、前記登録が行われていることを条件に、前記プログラムモジュールを実行する。

第 7の発明のデータ処理方法は、好ましくは、同じファイアウォール識別情報と対応付けて登録されている複数のプログラムモジュ一ル間では、データ授受またはデータ参照を許可し、異なるファイアウォール識別情報と対応付けて登録されている複数のプログラムモジユール間ではデータ授受またはデータ参照を禁止する。

第 7の発明のデータ処理方法は、好ましくは、前記プログラムモジュールを、前記半導体回路の外部から前記半導体回路に当該プログラムモジュールをダゥンロードするときに用いられるダウン —ド用鍵情報とさらに対応付けて登録し、前記プログラムモジュールのダウン口一ド要求を受けると、当該プログラムモジユールに対応して登録された前記ダウンロード用鍵情報を用いて、当該ダウン口

—ドの可否を判断し、ダウンロード可と判断された場合に、当該プログラムモジユールのダウンロードを行う。

第 8の発明の半導体回路は、アプリケーションプ αグラムを実行する半導体面路であって、前記アプリケ一ションプログラムを構成する複数のプログラムモジユールの各々を、複数のファィァウォールのうち予め各プログラムモジュールに割り当てられたフアイァウォールによって保護し、前記プログラムモジュールを、当該プログラムモジュ一ルに割り当てられたファイアゥォールを識別するファィァウォール識別情報と対応付けて登録し、前記登録が行われていることを条件に、前記プログラムモジュールを実行する。

第 9の発明のプログラムは、アプリケーションプログラムを実行する半導体回路が実行するプログラムであって、前記アプリケーションプ口グラムを構成する複数のプログラムモジュールの各々を、複数のファィァウォールのうち予め各プログラムモジユールに割り当てられたファイアウォールによつて保護する手順と、前記プログラムモジュールを、当該プログラムモジュールに割り当てられたファィァウォールを識別するファイアウォール識別情報と対応付けて登録する手順と、前記登録が行われていることを条件に、前記プログラムモジュールを実行する手順とを有する。

第 1 0の発明のデータ処理方法は、アプリケーションプログラムを実行する半導体回路が行うデータ処理方法であって、それぞれファイアウォールによって保護された複数のァプリケーシヨンプ αグラムを独立して実行し、前記ファイアゥォールを介して行われる前記ァプリケ一シヨンプログラム間の通信を許可する条件を予め登録し、前記アプリケーションプログラムが他の前記アプリケーションプログラムとの通信要求を発生すると、当該通信要求が前記登録された条件を満たしているか否かを判断し、前記登録された条件を満たしていると判断した場合に、前記通信要求に応じた前記アプリケ一ションプ αグラム間の通信を実行する第 1 1の発明の半導体酉路は、それぞれファイアウォールによって保護された複数のアプリケ一ションプログラムを独立して実行し、前記ファィァウォールを介して行われる前記アプリケーションプログラム間の通信を許可する条件を予め登録し、前記アプリケーションプログラムが他の前記アプリケーションプログラムとの通信要求を発生すると、当該通信要求が前記登録された条件を満たしているか否かを判断し、前記登録された条件を満たしていると判断した場合に、前記通信要求に応じた前記アプリケーショ.ンプログラム間の通信を実行する。

第 1 1の半導体回路では、それぞれファイアウォールによって保護された複数のアプリケ一ションプログラムを独立して実行する。

また、当該半導体回路では、前記ファイアウォールを介して行われる前記アブリケーシヨンプログラム間の通信を許可する条件を予め登録する。

そして、当該半導体回路では、前記アプリケーションプログラムが他の前記ァプリケーションプログラムとの通信要求を発生すると、当該通信要求が前記登録された条件を満たしているか否かを判断する。

そして、当該半導体回路では、前記登録された条件を満たしていると判断した場合に、前記通信要求に応じた前記アプリケ一ションプログラム間の通信を実行する。

第 1 2の発明のプログラムは、それぞれファイアウォールによって保護された複数のアプリケーションプログラムを独立して実行する手順と、前記ファイアゥオールを介して行われる前記アプリケ一ションプログラム間の通信を許可する条件を予め登録する手順と、前記アプリケーションプログラムが他の前記アプリケーションプログラムとの通信要求を発生すると、当該通信要求が前記登録された条件を満たしているか否かを判断する手順と、前記登録された条件を満たしていると判断した場合に、前記通信要求に応じた前記アプリケーションプログラム間の通信を実行する手順とを半導体回路に実行させる。

第 1 3の発明のデータ処理方法は、半導体回路または当該半導体回路がァクセス可能な半導体記憶装置が、前記半導体回路内で動作するプログラムをダウンロードするデータ処理方法であって、前記半導体回路が、複数の階層からなるソフトウエア構造を有し、各階層に対応したダウンロード用署名検証鍵情報を前記半導体回路が参照可能であり、前記半導体面路が、ダウンロード要求を受けると、当該ダウンロード要求に対応して生成されたダウンロード用署名情報を、前記ダゥン口一ド用署名検証鍵情報を用いて検証し、前記半導体装置が、前記ダウン口ード用署名情報が正当であると検証したことを条件に、当該検証に用いたダウン α—ド用署名検証鍵情報に対応した階層プログラムをダウンロードすることを、前記ダウンロード要求の発行元に許可する。

また、第 1 3の発明のデータ処理方法は、好ましくは、認証用装置が、ダウン π一ドが許可されるプログラムが属する階層に対応したアクセス原鍵情報を記憶し、前記認証用装置が、前記半導体酉路に前記ダウンロード要求を送信し、前記認証用装置が、当該アクセス原鍵情報を用いて前記ダウンロード用署名情報を生成し、当該ダウンロード用署名情報を前記半導体回路に送信する。

また、第 1 3の発明のデータ処理方法は、好ましくは、前記認証用装置が、前記半導体回路の識別情報を記憶し、前記認証用装置が、前記識別情報を平文として前記ァクセス原鍵情報を用いて暗号化を行つてダウンロード用原鍵情報を生成し、当該ダウン口一ド用原鍵情報を用いて前記ダウンロード用署名情報を生成する。

第 1 4の発明の半導体回路は、複数の階層からなるソフトウェア構造を有する半導体回路であって、各階層に対応したダウンロード用署名検証鍵情報を参照可能であり、ダウンロード要求を受けると、当該ダウンロード要求に対応して生成されたダウンロード用署名情報を、前記ダウンロード用署名検証鍵情報を用いて検証し、前記ダウン α—ド用署名情報が正当であると検証したことを条件に、当該検証に用いたダウンロード用署名検証鍵情報に対応した階層のプログラムを、当該半導体回路または当該半導体回路にアクセス可能な半導体記憶回路にダウン α—ドすることを、前記ダウンロード要求の発行元に許可する。

第 1 4の発明の半導体回路では、ダウンロード要求を受けると、当該ダウン口ード要求に対応して生成されたダウンロード用署名情報を、ダウンロード用署名検証鍵情報を用いて検証する。

そして、当該半導体画路では、前記ダウンロード用署名情報が正当であると検証したことを条件に、当該検証に用いたダウン口一ド用署名検証鍵情報に対応した階層のプログラムを、当該半導体回路または当該半導体回路にアクセス可能な半導体記憶回路にダウンロードすることを、前記ダウンロード要求の発行元に許可する。

第 1 5の発明の認証用装置は、複数の階層からなるソフトウユア構造を有する半導体回路または当該半導体回路がアクセス可能な半導体記憶装置に、前記半導体回路内で動作するプログラムをダウン口一ドする際の認証に用いられる認証用装置であって、前記ダウンロードが許可されるプログラムが属する前記階層に対応したアクセス原鍵情報を記憶し、前記半導体回路に前記ダウンロード要求を送信し、当該アクセス原鍵情報を用いて前記ダウンロード用署名情報を生成し、当該ダウンロード用署名情報を前記半導体回路に送信する。

当該第 1 5の発明の認証用装置では、先ず、半導体回路に前記ダウンロード要求を送信する。

そして、当該認証用装置では、アクセス原鍵情報を用いてダウンロード用署名情報を生成する。

1 i そして、当該認証用装置では、当該ダウンロード用署名情報を前記半導体回路に达 feする。

第 1 6の発明のプ αグラムは、複数の階層からなるソフトウヱァ構造を有する半導体回路が実行するプログラムであって、ダウンロード要求を受けると、当該ダウンロ一ド要求に対応して生成されたダウンロード用署名情報を、前記複数の階層のうち対応する層の前記ダゥンロード用署名検証鍵情報を用いて検証する手順と、前記ダウンロード用署名情報が正当であると検証したことを条件に、当該検証に用いたダウンロード用署名検証鍵情報に対応した階層のプログラムを、当該半導体回路または当該半導体回路にアクセス可能な半導体記憶画路にダウン α ードすることを、前記ダウン α—ド要求の発行元に許可する手順とを有する。第 1 7の発明の半導体回路は、データ処理回路およびデータ入出力処理回路を有する半導体回路であって、前記データ処理画路は、当該半導体回路の外部のバスとの間で、前記データ入出力処理回路を介してデータを入出力し、前記データ入出力回路は、前記データ処理回路から入力したデータを、所定のデータ長を単位として暗号化して前記バスに出力し、前記バスから入力したデータを復号して前記データ処理回路に出力し、前記バスのバス幅を N bとし、前記デ一タ長を N cとし、 N cノN b = Ilとし、 n以上の最も小さい整数を mとした場合に、前記外部バスを介したデータ入出力トランザクションを、 millのデータ入出力トランザクションを単位として行う。

第 1 7の発明の半導体 HI路では、半導体回路の外部のバスとの間で、データ入出力処理回路を介してデータを入出力する。

このとき、前記データ入出力回路は、前記データ処理回路から入力したデータを、所定のデータ長を単位として暗号化して前記バスに出力する。

また、データ入出力画路は、前記バスから入力したデータを復号して前記データ処理回路に出力する。

このとき、当該データ入出力装置は、前記バスのバス幅を N bとし、前記データ長を N cとし、 1^ (；ノ1^ 1) = 11とし、 n以上の最も小さい整数を mとした場合に、前記外部バスを介したデータ入出力トランザクションを、 m回のデータ入出力トランザクションを単位として行う。

また、第 1 7の発明の半導体回路は、好ましくは、前記データ入出力画路は、前記データ処理回路から入力した第 1 のァドレスに基づいて、前記バスを介して半導体記憶回路にアクセスを行う場合に、 N cのデータが記憶される記憶領域を単位として前記半導体記憶回路にアクセスを行うように、前記第 1のァドレスを第 2のァドレスに変換し、当該第 2のァドレスを用いて前記半導体記憶回路にァクセスを亍ぅ。

第 1 8の発明のデータ処理方法は、バスを介して半導体回路と半導体記憶画路とが接続されている場合に、前記半導体記憶画路にアクセスを行うときに半導体回路が行うデータ処理方法であって、前記半導体記憶 HI路に書き込むデータを所定のデータ長を単位として暗号化して前記バスに出力し、前記バスから入力したデータを復号し、前記バスのバス幅を N bとし、前記データ長を N cとし、 N c / N b = nとし、 n以上の最も小さい整数を mとした場合に、前記外部バスを介したデータ入出力トランザクションを、 m回のデータ入出力トランザクションを単位として行う。

第 1 9の発明のデータ処理装置は、複数のプログラムの命令およびデータを記憶する記憶回路と、伝送路を介して前記記憶回路にアクセスを行い、前記複数のプログラムの命令およびデータを用いて前記複数のプログラムを実行する演算回路と、前記伝送路と前記記憶回路との間に介在し、制御信号に基づいて、前記伝送路と前記記憶 H!路との間を接続状態および非接続状態の何れか一方に設定する接続切換回路と、前記演算回路が前記複数のプログラムを実行中にアクセス可能な前記記憶回路内のアドレス範囲を前記複数のプログラムの各々について規定したアクセス範囲規定データと、前記演算回路がアクセス要求を出した前記記憶面路内のァドレスと、前記演算回路が複数のプログラムのうち何れのプログラムを実行中であるかを示す実行中プログラム指示情報とに基づいて、前記伝送路と前記記憶回路との間を接続状態および非接続状態の何れにするかを制御する前記制御信号を生成する接続制御西路と、前記伝送路を介した前記演算回路との間のデータ入出力と、当該データ処理装置の外部との間のデータ入出力とを行う入出力ィンタフヱ一ス画路とを有する。

また、第 1 9の発明のデータ処理装置は、好ましくは、前記接続制御回路は、前記演算回路がアクセス要求を出した前記記憶回路内のァドレスが、前記ァクセス範囲規定デ―タが規定する前記実行中のプログラムに対応するアドレス範囲内にある場合に、前記伝送路と前記記憶回路との間を接続状態にすることを示す前記制御信号を生成し、当該ァドレス範囲内にない場合に前記伝送路と前記記憶画路との間を非接続状態にすることを示す前記制御信号を生成する。

また、第 2 0の発明の半導体回路は、プログラムを実行する半導体回路であつて、第 1の伝送路と、前記プログラムを実行するための命令またはデータを記憶する記憶回路と、前記第 1の伝送路を介して前記記憶回路から読み出した前記命令に基づいて動作する演算回路と、第 1の制御信号に基づいて前記第 1の伝送路と前記記憶画路との間を接続状態および非接続状態の何れか一方にする第 1の接続切換回路と、第 2の制御信号に基づいて、当該半導体回路の外部の第 2の伝送路と前記第 1の伝送路との間を接続状態および非接続状態の何れか一方にする第 2の接続切換回路と、接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力するときに、非接続を指示する前記第 2の制御信号を前記第 2の接続切換回路に出力し、非接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力するときに、接続を指示する前記第 2の制御信号を前記第 2の接続切換画路に出力する接続制御画路とを有する。

また、第 2 0の発明の半導体回路は、前記第 2の接続切換回路は、前記第 2の伝送路を介して、前記半導体回路の外部にある記憶装置に接続されている。また、第 2 0の発明の半導体回路は、前記接続制御回路は、前記演算回路が前記記憶回路から命令を読み出す場合に、接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力し、非接続を指示する前記第 2の制御信号を前記第 2の接続切換回路に出力する。

第 2 1の発明の半導体回路は、プログラムを実行する半導体回路であって、前記プログラムの暗号化された命令またはデータを記憶し、当該半導体回路の外部の第 1の伝送路を介して記憶装置に出力するデータを暗号化し、前記第 1の伝送路を介して前記記憶装置から入力した暗号化された命令またはデータを復号する暗号化復号回路と、前記復号された命令またはデータを用いて演算を行う演算回路と、制御信号に基づいて、前記半導体回路の外部の第 2の伝送路と、前記演算画路との間の通信の許否を選択する選択回路と、前記演算画路が、前記プログラムの命令またはデータを用いて処理を行っている間、前記第 2の伝送路と前記演算画路との間の通信を不許可にすることを指示する前記制御信号を前記選択画路に出力する制御回路とを有する。

第 2 2の発明のデータ処理装置は、集積回路との間で通信を行ってサービスを提供するための処理手順を記述した処理手順データを舍む複数のデータモジュ一ルによつてそれぞれ構成される複数のアプリケーションプログラムをそれぞれ予め決められた記憶領域に記憶し、前記データモジュールと、当該データモジユールに応じた処理において他の前記データモジュールを利用するために用いられる第 1の鍵データと、当該データモジュールに応じた処理において前記集積回路とデータ授受を行うために用いられる第 2の鍵データとを対応付けて示す管理データを記憶する記憶回路と、前記データモジュールに基づいて前記サービスに係わる処理を行い、当該処理において、前記管理データを参照して、当該データモジユールに対応した前記第 1の鍵データを用いて前記他のデータモジュールを利用し、当該データモジュールに対応した前記第 2の鍵データを用いて前記集積回路とデータの授受を行う半導体回路とを有する。

また、第 2 2の発明のデータ処理装置は、好ましくは、前記記憶回路は、前記データモジュールを用いて行われた処理の履歴データ、前記記憶領域に対して前記データモジュールを登録する手順を示したプログラムデータ、前記記憶領域から前記データモジュールの登録を削除する手順を示したプ αグラムデータ、並びに前記ァプリケーションプ口グラムを記憶する前記記憶領域を規定するための手順を示したプログラムデータのうち少なくも一つを前記データモジュールとして記憶する。

また、第 2 2の発明のデータ処理装置は、好ましくは、前記半導体回路は、前記他のデータモジュールに応じた処理が当該半導体回路で実行される場合に、前記管理データを用いて、前記所定のデータモジュールに対応する前記第 1の鍵データと、前記他のデータモジュールに対応する前記第 1の鍵データとを得て、当該得た 2つの第 1の鍵データが一致していることを条件に、前記実行中の所定のデータモジユールから前記他のデータモジユールを利用する。

第 2 3の発明のデータ処理方法は、集積回路との間で通信を行ってサービスを提供するための処理を行う半導体回路が記憶画路とデータ授受をするデータ処理方法であって、前記記憶回路が、集積回路との間で通信を行ってサービスを提供するための処理手順を記述した処理手順データを舍む複数のデータモジユールによってそれぞれ構成される複数のアプリケーションプログラムをそれぞれ予め決められた記憶領域に記憶し、前記データモジュールと、当該データモジュールに応じた処理において他の前記データモジュールを利用するために用いられる第 1 の鍵データと、当該データモジュールに応じた処理において前記集積回路とデータ授受を行うために用いられる第 2の鍵データとを対応付けて示す管理データを記憶する場合に、前記半導体回路が、前記データモジュールに基づいて前記サービスに係わる処理を行い、前記半導体回路が、前記サービスに係わる処理において、前記管理データを参照して、当該データモジュールに対応した前記第 1 の鍵データを用いて前記他のデータモジュールを利用し、前記半導体回路が、前記サ —ビスに係わる処理において、当該データモジュールに対応した前記第 2の鍵データを用いて前記集積回路とデータの授受を行う。

第 2 4の発明のプログラムは、集積回路との間で通信を行ってサービスを提供するための処理を行うと共に記憶回路とデータ授受を行う半導体回路が実行するプ αグラムであって、前記記憶回路が、集積回路との間で通信を行ってサービスを提供するための処理手順を記述した処理手順データを舍む複数のデータモジュ —ルによつてそれぞれ構成される複数のァプリケーションプログラムをそれぞれ予め決められた記憶領域に記憶し、前記データモジュールと、当該データモジュールに応じた処理において他の前記データモジュールを利用するために用いられる第 1の鍵データと、当該データモジュールに応じた処理において前記集積回路とデータ授受を行うために用いられる第 2の鏈データとを対応付けて示す管理デ —タを記憶する場合に、前記データモジュールに基づいて前記サービスに係わる処理を行う手順と、前記サービスに係わる処理において、前記管理データを参照して、当該データモジュールに対応した前記第 1の鍵データを用いて前記他のデータモジュールを利用する手順と、前記サービスに係わる処理において、当該デ —タモジュールに対応した前記第 2の鍵データを用いて前記集積回路とデータの授受を行う手順とを有する。

上述した本発明によって、以下の効果が達成できる。

すなわち、第 1〜第 3の発明によれば、多数の処理要求に応じた処理を効率的に行うことができるデータ処理方法、半導体回路およびプログラムを提供することができる。

第 4〜第 6の発明によれば、秘匿性の高い情報をユーザに知らせることなく、サーバ装置で実行するユーザのアプリケーションプログラムを当該ユーザが作成およびカスタマイズできるデータ処理方法、半導体回路およびプグラムを提供することができる。

第 7〜第 9の発明によれば、同じ半導体画路上で複数のアプリケーションプログラムを動作させる場合に、各アプリ'ケ一シヨンプログラムが、他のァプリケ一シヨンプログラムによつて影響を受けることを防止できるデータ処理方法、半導体回路およびプログラムを提供することができる。

第 1 0〜第 1 2の発明によれば、上述した従来技術に鑑みてなされたものであり、同じ半導体回路上で複数のァプリケーシヨンプ αグラムを動作させる場合に、各アプリケーションプログラム力、他のァプリケーションプログラムのユーザ等に.よつて不正に改竄および監視等されることを防止しながら、必要に応じてァプリケーションプログラム相互間でのデータ授受を認めるデータ処理方法、半導体回路およびプログラムを提供することができる。

第 1 3〜第 1 6の発明によれば、サーバ装置などの半導体回路へのアクセス内容をその権限に応じて規制できるデータ処理方法、半導体回路、認証用装置およびプログラムを提供することができる。

第 1 7および第 1 8の発明によれば、秘匿性の高いデータを外部バスを介して半導体回路と半導体記憶回路との間で伝送する場合でも、当該データの秘匿性を保つことができる半導体回路およびデータ処理方法を提供することができる。第 1 9の発明によれば、複数のプログラムを実行する場合に、各プログラム間で命令およびデータの秘密性を保持できるデータ処理装置を提供することができる。

第 2 0および第 2 1の発明によれば、実行するプログラムの秘匿性を高めることができる半導体 HI路を提供することができる。

第 2 2〜第 2 4の発明によれば、 I Cなどの集積回路を用いたサービスを提供する際に、サーバ装置上で動作するアプリケ一ションプログラムのセキユリティを高めることができるデータ処理装置、その方法およびそのプ αグラムを提供することができる。

Claims

図面の簡単な説明図 1は、本発明の実施形態の通信システムの全体構成図である。図 2は、図 1に示す S A Mチップのソフトウヱァ構成を説明するための図である。図 3は、図 1に示す I Cカードの I Cの機能ブロック図である。図 4は、図 3に示す記憶部に記憶される情報を説明するための図である。図 5は、図 1 に示す S A Mュニットの外部メモリに記憶されている情報を説明するための図である。図 6は、図 5に示すサービス定義テーブルデータを説明するための図である。図 7は、図 5に示すサービス定義テーブルデータおよびスクリプトプログラムを用いた S A Mチップ内の処理を説明するための図である。図 8は、スクリプトプログラムで用いられるコマンドを説明するための図である。図 9は、図 1に示す S A Mチップの機能プロック図である。図 1 0は、図 9に示す記憶部に記憶されるデータを説明するための図である。図 1 1は、 S A Mチップで生成される I Cカードエンティティデータのフォーマツトを説明するための図である。図 1 2は、図 1 1に示す I C力一ドエンティティデータの状態遷移図である。図 1 3は、図 1 0に示す I Cカート"手続管理タスクの処理手順を説明するための図である。図 1 4は、図 1に示す通信システムの全体動作を説明するための図である。図 1 5は、図 1に示す通信システムの全体動作を説明するための図である。図 1 6は、 I Cカードと S A Mチップとの間の通信プロトコルを説明するための図である。図 1 7は、図 9に示す S A Mチップの機能プロックをより具体的にした機能ブ口ック図である。図 1 8は、 S A Mチップのその他の使用形態を説明するための図である。図 1 9は、本発明の実施形態の通信システムの全体構成図である。図 2 0は、図 1 9に示す S A Mチップのソフトウア構成を説明するための図である。図 2 1は、図 1 9に示す I Cカードの I Cの機能ブ πック図である。図 2 2は、図 2 1に示す記憶部に記憶される情報を説明するための図である。図 2 3は、図 1 9に示す S A Mュニットの外部メモリを説明するための図である。図 2 4は、図 2 3に示すモジュール管理用データのフォーマ 'ントを説明するための図である。図 2 5は、図 1 9に示す S A Mチップの機能プロ 'ンク図である。図 2 6は、図 2 5に示す C P Uが実行するタスクを説明するための図である。図 2 7は、図 1 9に示すパーソナルコンピュータから、外部メモリにアプリケーションプログラムをダウンロードする動作を説明するためのフローチヤ一トであ。図 2 8は、図 1 9に示す S A Mチップがアブリケ一シヨンプログラムを実行する動作を説明するためのフローチヤ一トである。図 2 9は、アプリケーションプログラムの実行中の動作を説明するための図である。図 3 0は、図 1 9に示す通信システムの全体動作を説明するための図である。図 3 1は、図 2 5に示す S A Mチップの機能ブロックをより具体的にした機能ブロック図である。図 3 2は、 S A Mチップのその他の使用形態を説明するための図である。図 3 3は、本発明の実施形態の通信システムの全体構成図である。図 3 4は、図 3 3に示す S A Mチップのソフトウヱァ構成を説明するための図である。図 3 5は、図 3 3に示す I Cカードの I Cの機能ブロック図である。図 3 6は、図 3 5に示す記憶部に記憶される情報を説明するための図である。図 3 7は、図 3 3に示す S A Mュニットの外部メモリを説明するための図である。図 3 8は、図 3 7に示す A P選択用データを説明するための図である。図 3 9は、図 3 7に示す A P間通信用データを説明するための図である。図 4 0は、図 3 3に示す S A Mチップの機能ブロック図である。図 4 1は、図 4 0に示す C P Uが実行するタスクを説明するための図である。図 4 2は、図 4 1に示す決済処理手順タスクの機能を説明するための図である図 4 3は、図 4 1に示す A P間通信用タスクの処理を説明するためのフローチヤートであ Φ。図 4 4は、図 4 1に示す S A M間通信用タスクを説明するための図である。図 4 5は、図 3 3に示す通信システムの全体動作を説明するための図である。図 4 6は、図 4 0に示す S A Mチップの機能プロックをより具体的にした機能ブロック図である。図 4 7は、 S A Mチップのその他の使用形態を説明するための図である。図 4 8は、本発明の実施形態の通信システムの全体構成図である。図 4 9は、図 4 8に示す S A Mチップのソフトウヱァ構成を説明するための図である。図 5 0は、図 4 8に示すアプリケ一ションプ σグラムを使用する事業者の認証用ュニットの機能プロック図である。図 5 1は、図 5 0に示す相互認証部の機能を説明するための図である。図 5 2は、図 5 0に示すダウンロード処理部の機能を説明するための図である図 5 3は、図 4 8に示すハンドラ層のソフトウヱァ開発者の認証用ュニットの機能ブロック図である。図 5 4は、図 5 3に示すダウンロード処理部の機能を説明するための図である図 5 5は、図 4 8に示す S A Mチップの管理者の認証用ュニットの機能ブロック図である。図 5 6は、図 5 5に示すダウンロード処理部の機能を説明するための図である図 5 7は、図 4 8に示す S A Mュニットの外部メモリを説明するための図である。図 5 8は、図 4 8に示す S A Mチップの機能プロック図である。図 5 9は、図 4 8に示すパーソナルコンピュータから、外部メモリにアプリケーションプログラムをダウン σ—ドする動作を説明するためのフローチヤ一トである。図 6 0は、図 4 8に示す通信システムの I Cカードを用いた取り引き処理を説明するための図である。図 6 1は、図 5 8に示す S A Mチップの機能プロックをより具体的にした機能ブロツク図である。図 6 2は、 S A Mチップのその他の使用形態を説明するための図である。図 6 3は、図 4 8に示す通信システムの変形例を説明するための図である。図 6 4は、本発明の実施形態の通信システムの全体構成図である。図 6 5は、図 6 4に示す S A Mチップのソフトウヱァ構成を説明するための図である。図 6 6は、図 6 4に示す S A Mュニットの外部メモリを説明するための図である。図 6 7は、図 6 4に示す S A Mチップの機能プロック図である。図 6 8は、図 6 6に示す C P U、バススクランブル部および外部メモリの閬係を説明するための図である。図 6 9は、図 6 8に示す C P Uと外部メモリとのァドレス空間を説明するための図である。図 7 0は、図 6 7に示すバススクランブル部の機能プロック図である。図 7 1は、図 6 7に示すバススクランブル部による外部メモリの書き込み動作を説明するための図である。図 7 2は、図 7 1に示す動作のフ tt一チヤ一トである。図 7 3は、図 6 7に示すバススクランブル部による外部メモリの読み出し動作を説明するための図である。図 7 4は、図 7 3に示す動作のフローチヤ一トである。図 7 5は、図 7 0に示すスクランブル鍵管理部におけるスクランブル鍵の切り換え処理を説明するための図である。図 7 6は、図 7 0に示すスクランブル鍵管理部におけるスクランブル鍵の切り換え処理を説明するための図である。図 7 7は、図 7 0に示すスクランブル鍵管理部におけるスクランブル鍵の切り換え夕イミングをを説明するための図である。図 7 8は、図 7 0に示すスクランブル鍵管理部におけるスクランブル鍵の切り換えタイミングをを説明するための図である。図 7 9は、図 7 0に示すパイプライン処理制御部によるパイプライン処理を説明するための図である。図 8 0は、図 6 4に示す通信システムの全体動作を説明するための図である。図 8 1は、図 6 7に示す S A Mチ'ンプの機能プロックをより具体的にした機能ブロック図である。図 8 2は、 S A Mチップのその他の使用形態を説明するための図である。図 8 3は、本発明の関連技術となる電子決済に用いられるコンピュータの機能ブロック図である。図 8 4は、図 8 3および本発明の実施形態のコンピュータのソフトウヱァ構造を説明するための図である。図 8 5は、図 8 3に示すコンピュータで扱う I Cカードの種別を説明するための図である。図 8 6は、書き込み前の図 8 3に示すメモリの記憶状態を説明するための図であ ^ 図 8 7は、書き込み後の図 8 3に示すメモリの記憶状態を説明するための図である。図 8 8は、図 8 4に示すアプリケーションプログラムと I C力一ドの種別との対応関係を説明するための図である。図 8 9は、本発明の実施形態に係わるコンピュータの構成図である。図 9 0は、図 8 9に示す判定画路の構成図である。図 9 1は、図 9 0.に示すフ 'ンチ用判定酉路の構成図である。図 9 2は、図 9 1に示すフツチ用アクセス範囲規定データを説明するための図である。図 9 3は、図 9 1に示すフツチ用 A P間呼び出し関係規定データを説明するための図である。図 9 4は、図 9 0に示すリード用判定回路の構成図である。図 9 5は、図 9 4に示すリード用アクセス範囲規定データを説明するための図である。図 9 6は、図 9 4に示すリ一ド用 A P間呼び出し関係規定データを説明するための図である。図 9 7は、図 9 0に示すライト用判定回路の構成図である。図 9 8は、図 9 7に示すライト用アクセス範囲規定データを説明するための図である。図 9 9は、図 9 7に示すライト用 A P間呼び出し関係規定データを説明するための図である。図 1 0 0は、本発明のその他の実施形態を説明するための図である。図 1 0 1は、本発明のその他の実施形態を説明するための図である。図 1 0 2は、本発明の第 1実施形態の半導体チップの構成図である。図 1 0 3は、図 1 0 2に示す半導体チップのソフトウア構成を説明するための図である。図 1 0 4は、図 1 0 2に示すプログラム ¾ジュールの構成を説明するための図である。図 1 0 5は、本発明の第 2実施形態の半導体チップの構成図である。図 1 0 6は、図 1 0 5に示すプログラムモジュールの構成を説明するための図である。図 1 0 7は、図 1 0 5に示す暗号化復号回路が行う暗号化および復号の単位、並びにパリティデータを説明するための図である。図 1 0 8は、図 1 0 5に示す暗号化復号画路が保持する鍵情報テーブルを説明するための図である。図 1 0 9は、本実施形態の通信システムの全体構成図である。図 1 1 0は、図 1 0 9に示す S AMチップが通信を行う他の S AMチップを説明するための図である。図 1 1 1は、図 1 0 9に示す S AMチップが通信を行う他の S AMチップを説明するための図である。図 1 1 2は、図 1 0 9に示す I Cカードの機能ブロック図である。図 1 1 3は、図 1 1 2に示すメモリを説明するための図である。図 1 1 4は、図 1 0 9に示す SAMチップのソフトウヱァ構造を説明するための図である。図 1 1 5は、図 1 0 9に示す外部メモリの記憶領域を説明するための図である図 1 1 6は、図 1 1 5に示すアプリケ一ションプログラム APを説明するための図である。図 1 1 7は、図 1 1 6に示すアプリケ一ションエレメントデータ AP Eの種別を説明するための図である。図 1 1 8は、図 1 0 9に示す SAMチップの処理を説明するための図である。図 1 1 9は、図 1 1 8に示す I C力一ド操作用マクロコマンドスクリプトプログラムで使用されるコマンドを説明するための図である。図 1 2 0は、図 1 1 5に示す AP管理用記憶領域を説明するための図である。図 1 2 1は、図 1 2 0に示す A P管理用テーブルデータを説明するための図である。図 1 22は、 S AM_ I Dを説明するための図である。図 1 2 3は、図 1 2 0に示す AP Pテーブルデータを説明するための図である図 1 2 4は、図 1 0 9に示す S A Mチップの機能プロック図である。図 1 2 5は、図 1 2 4に示すメモリに記憶されるタスク、プログラムおよびデータを説明するための図である。図 1 2 6は、 I Cカードエンティティデータ Ί 3— Xのフォーマ 'ントを説明するための図である。図 1 2 7は、図 1 2 6に示すェンティティステータスデータの状態遷移を説明するための図である。図 1 2 8は、 I C力一ド手繞管理用タスクが行う処理のフローチヤ一トである図 1 2 9は、図 1 2 8のステップ S T 4におけるジョブの実行時に、 S A Mチップがアプリケ一ションェレメントデータ A P Eに規定された手順に従って、他のアプリケ一ションエレメントデータ A P Eによって規定された処理またはデータにアクセスを行う場合の処理を説明するための図である。図 1 3 0は、図 1 2 8のステップ S T 4におけるジョブの実行時に、 S A Mチップがアプリケ一シヨンエレメントデータ A P Eに規定された手順に従って、他のアプリケーションエレメントデータ A P Eによって規定された処理またはデータにアクセスを行う場合の処理を説明するための図である。図 1 3 1は、図 1 0 9.に示す通信システムの全体動作を説明するための図である。図 1 3 2は、図 1 0 9に示す通信システムの全体動作を説明するための図である。図 1 3 3は、従来技術を説明するための図である。発明を実施するための最良の形態以下、本発明の実施の形態を添付図面を参照して説明する。第 1実施形態本実施形態は、第 1〜第 6の発明に対応した実施形態である。図 1は、本実施形態の通信システム 1の全体構成図である。図 1に示すように、通信システム 1は、サーバ装置 2、 I Cカード 3、カードリーダ · ライタ 4、パーソナルコンピュータ 5、 AS P (Application Service P rovider)サーバ装置 6、 SAM (Secure Application Module) ユニット 9を用いて、インターネット 1 0を介して通信を行って I Cカード 3 (本発明の集積回路 ) を用いた決済処理などの手続き処理を行う。 SAMュニット 9は、外部メモリ 7および SAMチップ（本発明の半導体回路 ) 8を有する。 SAMチップ 8は、図 2に示すようなソフトウア構成を有している。図 2に示すように、 S AMチップ 8は、下層から上層に向けて、 HW(Hardwar e)層、 O S層、下位ハンドラ層、上位ハンドラ層および AP層を順に有している下位ハンドラ層には、ドラィバ層が舍まれる。ここで、 AP層には、図 1に示すクレジットカード会社などの事業者 1 5—1 , 1 5— 2, 1 5— 3による I Cカード 3を用いた手続きを規定したアプリケーシヨンプログラム AP— 1, AP— 2, AP— 3がある。 AP層では、アプリケーションプログラム A P— 1 , AP— 2, AP— 3相互間、並びに上位ハンドラ層との間にファィァウォール FWが設けられている。アプリケーションプログラム A p— 1は、外部メモリ 7に記憶された後述するサービス定義テーブルデータ（対応指示データ） 2 0—1およびスクリプトプログラム（動作記述プログラム） 2 1—1によって規定される。また、アプリケーションプログラム AP— 2は、外部メモリ 7に記憶された後述するサービス定義テーブルデータ 2 0— 2およびスクリブトプログラム 2 1— 2によって規定される。また、アプリケーションプログラム A P— 3は、外部メモリ 7に記憶された後述するサービス定義テーブルデータ 2 0— 3およびスクリプトプ πグラム 2 1 _ 3によって規定される。 SAMチップ 8は、 S C S Iまたは E t h e r n e tなどを介して AS Pサーバ装置 6に接続される。 AS Pサーバ装置 6は、インターネット 1 0を介して、エンドユーザのパーソナルコンピュータ 5、事業者 1 5— 1 , 1 5— 2, 1 5— 3のパーソナルコンピュータ 1 6— 1 , 1 6— 2, 1 6— 3を舍む複数の端末装置に接続される。パーソナルコンピュータ 5は、例えば、シリアルまたは US Bを介して D um b型のカードリーダ · ライタ 4に接続されている。力一ドリ一ダ♦ ライタ 4力 I Cカード 3との間で物理レベルに相当する例えば無線通信を実現する。 I Cカード 3への操作コマンドおよび I Cカード 3からのリスポンスパケ 'ントは、 S AMユニット 9側で生成および解読される。よって、その中間に介在するカードリーダ ' ライタ 4、パーソナルコンピュータ 5および AS Pサーバ装置 6 は、コマンドゃリスポンス内容をデータペイロード部分に格納して中継する役割を果たすのみで、 I Cカード 3内のデータの暗号化ゃ復号および認証などの実操作には関与しない。パーソナルコンピュータ 1 6— 1 , 1 6— 2, 1 6— 3は、後述するスクリブトプログラムを S AMチップ 8にダウンロードすることで、それぞれアプリケ一シヨンプログラム AP— 1 , AP一 2, A P一 3をカスタマイズできる。以下、図 1に示す構成要素について説明する。〔 I Cカード 3〕図 3は、 I Cカード 3の機能ブロック図である。図 3に示すように、 I C力一ド 3は、記憶部 5 0および処理部 5 1を備えた I C (Integrated Ci rcui t) 3 aを有する <> 記憶部 5 0は、図 4に示すように、クレジットカード会社などの事業者 1 5 _ 1が使用する記憶領域 5 5— 1、事業者 1 5— 2が使用する記憶領域 5 5 __ 2、並びに事業者 1 5— 3が使用する記憶領域 5 5 _ 3を有する。また、記憶部 5 0は、記憶領域 5 5—1へのアクセス権限を判断するために用いられる鍵情報、記憶領域 5 5— 2へのアクセス権限を判断するために用いられる鍵情報、並びに記憶領域 5 5 _ 3へのアクセス権限を判断するために用いられる鍵情報を記憶している。当該鍵情報は、相互認証や、データの暗号化および復号などに用いられる。また、記憶部 5 0は、 I Cカード 3あるいは I Cカード 3のユーザの識別情報を記憶している。以下、 S A Mユニット 9について詳細に説明する。〔外部メモリ 7〕図 5は、図 1に示す外部メモリ 7に記憶されるデータおよびプログラムを説明するための図である。図 5に示すように、外部メモリ 7には、事業者 1 5 _ 1のサ一ビス定義テープルデータ 2 0—1 と、 I Cカード操作用マクロコマンドスクリプトプログラム 2 1—1 とが記憶されている。また、外部メモリ 7には、事業者 1 5— 2のサービス定義テーブルデータ 2 0 — 2と、 I Cカード操作用マクロコマンドスクリプトプログラム 2 1— 2とが記憶されている。また、外部メモリ 7には、事業者 1 5 _ 3のサービス定義テーブルデータ 2 0 _ 3と、 I Cカード操作用マクロコマンドスクリプトプログラム 2 1—3とが記憶されている。サービス定義テーブルデータ 2 0一 1 , 2 0一 2 , 2 0— 3は、同じフォーマットを有している。また、 I Cカード操作用マクロコマンドスクリプトプログラム 2 1— 1 , 2 1 — 2 , 2 1—3は、共通のマク口コマンドを用いて記述されている。また、サービス定義テーブルデータ 2 0— 1 , 2 0 _2, 2 0_3ぉょび 1 〇力一ド操作用マクロコマンドスクリプトプログラム 2 1— 1 , 2 1_2, 2 1一 3は、スクランブルされて外部メモリ 7に記憶されている。当該スクランブルされたデータおよびプログラムは、 S AMチップ 8内でデスクランブルされる。本実施形態では、スクリプトプログラム 2 1 _ 1 , 2 1—2, 2 1— 3は、それぞれ図 1に示すパーソナルコンピュータ 1 6— 1 , 1 6— 2, 1 6— 3を用いて、事業者 1 5— 1 , 1 5_2, 1 5— 3によって作成され、 SAMチップ 8を介して外部メモリ 7にダウンロードされる。また、サービス定義テーブルデータ 2 0— 1 , 2 0— 2, 2 0— 3は、それぞれ事業者 1 5— 1 , 1 5— 2, 1 5— 3からの指示を受けて SAMユニット 9の管理者によって作成される。図 6は、サービス定義テーブルデータ 2 0—1を説明するための図である。図 6に示すように、サービス定義テーブルデータ 20—1は、サービスタイプエレメント（操作名）、ァドレス、サービス番号（操作コード）、鍵バージョン情報、並びに鍵情報のエントリを有している。サ一ビスタイプェレメントは、事業者 1 5— 1のアプリケーションプログラムによって提供されるサービスに付けられた名前を示す。サービスタイプエレメントは、事業者 1 5 _ 1のアプリケーションプログラムが使用できるサービスのサ一ビス番号の替わりに参照される識別子である。本実施形態では、図 6に示すように、事業者 1 5—1に対応するサービス定義テーブルデータ 2 0— 1のサービスタイプェレメントとしては、 " R c "、 " R d"、 " W d " および" Wc " が用されている。本実施形態では、 I Cカード操作用マクロコマンドスクリプトプログラム 2 1 ― 1において、複数のサービスタイプエレメントを組み合せたサービス内容を規定し、これを後述する I Cカードエンティティデータ（ジョブ管理用データ）に反映させることで、複数のサービスタイプエレメントに対応するサービスを組み合わせたをサービスを提供できる。例えば、 I Cカード 3からデータ読出しを行うサービスと、サーバ装置 2にデータ書込みを行うサービスとを組み合わせたサービスを、 I Cカードェンティティデータ内に定義できる。サービス定義テーブルデータ 2 0—1内のサービス番号は、事業者 1 5—1によって提供されるサービスを行う際に、 I Cカード 3に発行する I Cカード 3が解釈可能な操作コマンドである。サービス定義テーブルデータ 2 0 _ 1内のァドレスは、対応するサービスタイプェレメントに係わる手続きに関するデータが記憶されているァドレスを示している。サービス定義テーブルデータ 2 0—1内の鍵バージョン情報は、当該サービスを提供するにあたって用いられる鍵情報のバージョンを示している。サービス定義テーブルデータ 2 0—1内の鍵情報は、当該サービスを提供するあたって用いられる鍵情報である。例えば、サービス定義テーブルデータ 2 0—1では、図 3に示す I Cカード 3 の I C 3 aの記憶領域 5 5—1にアクセスが行われる際に用いられる鍵情報が設定されている。また、サービス定義テーブルデータ 2 0— 2では、 1 0 3 3の記憶領域5 5— 2にアクセスが行われる際に用いられる鍵情報が設定されている。また、サービス定義テーブルデータ 2 0— 3では、 I C 3 aの記憶領域 5 5— 3にアクセスが行われる際に用いられる鏈情報が設定されている。以下、 I C力一ド操作用マクロコマンドスクリプトプログラム 2 1— 1について説明する。スクリプトプログラム 2 1—1は、 S A Mチップ 8上で動作する事業者 1 5— 1のアプリケ一ションプログラム、並びに当該アプリケーションプログラムの実行時に I Cカード 3が行う処理の手続きを規定するためのプログラムである。本実施形態では、後述するように、図 7に示すように、 S A Mチップ 8内で、サービス定義テーブルデータ 2 0 _ 1およびスクリブトプログラム 2 1—1を用いて、事業者 1 5—1に関する手続きに用いられる I Cカードエンティティテンプレートデータ 3 0— 1、入力用デ一タブ口ック 3 1— X 1、出力用データブ ci ック 3 2— X 2、ログ用データブロック 3 3— X 3および演算定義用デ一タブ口ック 3 4 _ x 4が生成される。図 8は、 I Cカード操作用マクロコマンドスクリプトプログラム 2 1 _ 1 , 2 1— 2 , 2 1— 3の記述に用いられるコマンドを説明するための図である。当該コマンドは、 S A Mチップ 8自身に対してのコマンドは、第 1文字が「S 」となり、 I Cカード 3の操作に係わるコマンドは第 1文字が「 C」となっている。また、第 2文字は、用途により使い分けられ、例えば、 I Cカード 3の発行元設定宣言は「 I」、サービスタイプエレメント宣言は「S」、 I Cカード 3からの単純読み込み宣言は「R」、 I Cカード 3への単純書き込み宣言は「W」、サ一ビスタイプェレメント間演算定義は「 F」になっている。スクリプトプログラム 2 1— 1 , 2 1— 2 , 2 1—3の記述に用いられるコマンドには、 S Cコマンド、 S〇コマンド、 S I コマンド、 S Lコマンド、 S Fコマンド、 C I コマンド、 C Sコマンド、 C Rコマンド、 C Wコマンドがある。 S Cコマンドは、 S A Mチップ 8が同時に処理することができる最大数の I C 力一ドエンティティデータの数を宣言するコマンドである。例えば、 S A Mチップ 8が 1 0 0 0個の I Cカードエンティティデータを同時に処理可能な場合には、「S C ： 1 0 0 0」と記述される。 S 0コマンドは、後述する I Cカードエンティティデータに基づいて I Cカード 3を用いた処理を行う際に、 S A Mチップ 8内で用意されたデ一タブ口ックのうち、 I Cカード 3から読み取ったデータが格納される出力用デ一タブロック 3 2— X 2となるデ一タブ口ックを宣言するコマンドである。例えば、データブロック 1〜 1 0が用意されている場合に、 I Cカード 3から読み取ったデータをデータブロック 1に格納する場合には、「 S O : 1」と記述される。 S I コマンドは、後述する I C力一ドエンティティデータに基づいて I Cカード 3を用いた処理を行う際に、 S A Mチップ 8内で用意されたデータプロックのうち、 I Cカード 3に書き込むデータが格納される入力用データプロック 3 1— 1 となるデ一タブ αックを宣言するコマンドである。例えば、データブロック 1〜 1 0が用意されている場合に、 I Cカード 3に書き込むデータをデータブロック 2 > 3に格納する場合には、「 S I : 2 , 3」と記述される。 S Lコマンドは、後述する I C力一ドエンティティデータに基づいて I Cカード 3を用いた処理を行う際に、 S A Mチ 'ンプ 8内で用意されたデータプロックのうち、操作に係わる口グデータを格納する口グ用デ一タブロック 3 3— X 3となるデータプロックを宣言するコマンドである。例えば、デ一タブロック 1〜 1 0が用意されている場合に、ログデータをデータブロック 4に格納する場合には、「S L ： 4」と記述される。 S Fコマンドは、 I Cカード 3に係わる相互のサービスタイプエレメント間の関係を定義を記述する演算定義用デ一タブ口ック 3 4— X 4となるデータプロックを用意するためのコマンドである。演算定義用データプロック 3 4— X 4の内容は、 I Cカードェンティテイデータの処理前情報となる。 C I コマンドは、 I Cカード 3の発行元（事業者）を宣言するためのコマンドである。 C Iコマンドで定義された事業者を特定する情報は、 I Cカードエンティティデータの I Cカード種別情報となる。 C Sコマンドは、サ一ビスタイプエレメントを引用して、 I Cカード 3への複数のサービスの同時操作を行うことを宣言するコマンドである。 CSコマンドでは、さらに、サービスタイプエレメント間の演算を規定する関数を宣言できる。例えば、「 C S ： " R c " +" W c " +" Wd " 」などの宣言を行える。C Sコマンドの内容に基づいて、 I Cカードエンティティデータのサービスタィプエレメント指定情報、並びに処理順番情報が決定される。 C Rコマンドは、サービスタイプェレメント間の関係の定義が行われていない場合（ S Fコマンドが記述されていない場合）に、 I Cカード 3から読み出したデータを指定したデータブロックに格納することを宣言する。例えば、 I Cカード 3から読み出したデータをデータブロック 1に格納する場合には「 C R ： S◦ ： 1 =" R c " 」と記述する。 CWコマンドは、サービスタイプエレメント間の関係の定義が行われていない場合に、指定したデータブロックに格納したデータを I Cカード 3に書き込むことを宣言する。例えば、デ一タブロック 2に格納されたデータを I Cカード 3に書き込む場合には「 C W： S I ： 2 = " W c " 」と記述する。 C Fコマンドは、サービスを跨がった演算内容を記述するデータプロックを宣言する。例えば、サービスを跨がった演算内容を S Fデータブ αック 1に記述する場合には、 C F ： C E S_F UNC = S F ： 1」とする。そして、 S Fデータプロ yク 1内に、例えば、「 "W c " = I f ( "W c " > 1 0 ) t h e n ( "W c " - 1 0 ； "W d " = "W c " * 0. 0 8 + "W d " ) 」と記述する。本式は、サービス Wcの残数が 1 0よりも大きいときに W cの値を 1 0減算し、 Wcの 8 %に相当するボイント数を蓄積ボイントとして Wdに加算する操作を表現している。〔 S AMチップ 8〕図 9は、図 1に示す S AMチツプ 8の機能プロ 'ンク図である。図 9に示すように、 SAMチップ 8は、 AS P S通信ィンタフエース部 6 0、外部メモリ通信ィンタフユース部 6 1、バススクランブル部 6 2、乱数発生部 6 3、暗号 '復号部 6 4、記憶部 6 5および C P U 6 6を有する。 S AMチップ 8は、耐タンパ性のモジュールである。 AS P S通信ィンタフユース部 6 0は、図 1に示す AS Pサーバ装置 6との間のデータ入出力に用いられるィンタフヱ一スである。外部メモリ通信インタフユース部 6 1は、外部メモリ 7との間のデータ入出力に用いられるィンタフエースである。バススクランブル部 6 2は、外部メモリ通信ィンタフヱ一ス部 6 1を介してデ —タを入出力する際に、出力するデータをスクランブルし、入力したデータをデスクランブルする。乱数発生部 6 3は、認証処理を行う際に用いられる乱数を発生する。暗号 ·復号部 6 は、データの暗号化、並びに暗号化されたデータの復号を行Ό o 記憶部 6 5は、後述するように、 C P U 6 6によって用いられるタスク、プログラム、並びにデータを記憶する。 C P U 6 6は、所定のプログラム（本発明のプログラム）を実行して、後述するスクリプトダウンロードタスク、スクリプト解釈タスク、エンティティ生成タスク（ジョブ管理用データ作成タスク）および I Cカード手続管理タスク（ジョブ管理用データ管理タスク）などのタスクを実行する。以下、記憶部 6 5に記憶されるタスク、プログラムおよびデータについて説明する。図 1 0は、記憶部 6 5に記憶されるタスク、プログラムおよびデータを説明するための図である。図 1 0に示すように、スクリプトダウンロードタスク 6 9、スクリブト解釈タスク 7 0、エンティティ生成タスク 7 1、 I Cカード手続管理タスク 7 2、 I C 力一ド操作用マク口コマンドスクリプトプログラム 2 1— 1〜 2 1— 3、サービス定義テ—ブル 2 0— 1〜 2 0— 3、 I Cカードエンティティテンプレートデ一タ 3 0— 1〜 3 0— 3、 I Cカードエンティティデータ 7 3— x、入力用データブロック 3 1 _ X 1、出力用デ一タブロック 3 2— X 2、ログ用データブロック 3 3— X 3、並びに演算定義用データプロック 3 4— X 4を記憶している。スクリブトダウンロードタスク 6 9は、図 7に示すように、サービス定義テーブルデータ 2 0— 1〜 2 0— 3を、例えば、各事業者のコンピュータからダウンロードし、これを S A Mチップ 8に取り込む。スクリプト解釈タスク 7 0は、各事業者毎に、サービス定義テーブルデータおよびスクリプトプログラムを用いて、 I Cカードエンティティプレートデータ、入力用データブロック、出力用データブロック、ログ用データブロックおよび演算定義用データプロックを生成する。各事業者毎に生成されるデータプロックの数は特に限定されない。ェンティティ生成タスク 7 1は、例えば、 A S Pサーバ装置 6からェンティティ作成要求を受けると、 I Cカード 3との間でポーリングを行った後に、当該 I Cカード 3と事業者との間の手続き処理に用いる I Cカードエンティティデータを、当該事業者に対応する I Cカードヱンティティプレートデータを用いて生成する。このとき、 I Cカードエンティティプレートデータがクラスとなり、当該クラスのィンスタンスとして、 I C力一ドエンティティデータが生成される。ェンティティ生成タスク 7 1による I C力一ドヱンティティデータの生成処理について後に詳細に説明する。 I Cカード手続管理用タスク Ί 2は、記憶部 6 5内に存在する単数または複数の I C力一ドエンティティデータ Ί 3— Xを用いて、 I Cカード 3と事業者 1 5 — 1〜 1 5— 3との簡の手続き処理を実行する。本実施形態では、複数の I Cカード 3と事業者 1 5— 1〜 1 5— 3との間で行われる複数の手続き処理が同時に進行する。 I Cカード手繞管理用タスク 7 2は、これら複数の手続き処理を並行して実行する。 I Cカード手続管理用タスク Ί 2は、一連の手続きを終了した I Cカードエンティティデータ 7 3—Xを消去する。 I Cカード手続管理用タスク 7 2の処理については後に詳細に説明する。スクリプトプログラム 2 1— 1〜 2 1— 3は、スクリプトダウンロードタスク6 9によって、例えば、外部メモリ 7から入力され、記憶部 6 5に記憶される。サービス定義テーブルデータ 2 0— 1〜 2 0— 3は、スクリプトダウンロードタスク 6 9によって、例えば、外部メモリ 7から入力され、記憶部 6 5に記憶される。 I Cカードエンティティテンプレートデータ 3 0— 1〜 3 0— 3は、スクリプト解釈タスク Ί 0によって生成され、それぞれの事業者に関する手続きの I C力 —ドエンティティデ一タ 7 3 _ xを生成する際のテンプレート（クラス）として用いられる。 I C力一ドエンティティデータ Ί 3— Xは、エンティティ生成タスク 7 1によつて、 I Cカードエンティティテンプレートデータ 3 0—1〜3 0— 3を例えばクラスとして用い、当該クラスのインスタンスとして生成される。入力用デ一タブロック 3 1 _ X 1、出力用デ一タブロック 3 2 _ X 2、ログ用データブロック 3 3— X 3および演算定義用デ一タブロック 3 4 _ X 4は、スクリブト解釈タスク 7 0によって生成される。以下、 I Cカードエンティティデータ 7 3— Xについて説明する。 I C力一ドエンティティデータ 73— Xは、例えば、 AS Pサーバ装置 6から I Cカード 3と所定の事業者のアプリケーションプ πグラムを用いた処理の処理要求を SAMチップ 8が受けたときに、 SAMチップ 8内のェンティティ生成タスク Ί 1力既に生成されている対応する事業者の I Cカードエンティティテンプレ一トデータを用いて生成する。図 1 1は、 I Cカードエンティティデータ 73— Xのフォーマツトを説明するための図である。図 1 1に示すように、 I Cカードェンティティデータ Ί 3— Xは、管理用ボインタ情報 8 0、エンティティ I D情報 8 1、エンティティステータス情報（ステ —タスデータ） 8 2、 I Cカード種別情報 83、サービスタイプエレメント指定情報 8 4、処理順番情報（処理順番データ） 85、処理前情報 86および処理後情報 8 7を有する。管理用ボインタ情報 8 0には、記憶部 6 5内で I Cカードエンティティデータ 7 3_xを管理するための双方向ボインタである。エンティティ I D情報 8 1は、 I Cカードエンティティデータ 73_xの生成要求、進行状況の確認、削除などの I Cカードヱンティティデータ 7 3— Xを用いた一連の処理に用いられる。エンティティ I D情報 8 1は、エンドユーザに渡される返り値ともなる。エンティティ I D情報 8 1は一般的なフアイルシステム上のファィルオープン時のディスクリプタに相当する。エンティティステータス情報 8 2は、 I Cカード 3に関する手続きの進行状態を示す。 I Cカードエンティティデータ 73— Xが持つ基本的な状態には、図 1 2に示すように、 I Cカード 3が利用できるサービスを調べる処理の状態（R S) 、 S AMチップ 8が I Cカード 3を認証する処理の状態（A 1 ) 、 I Cカード 3が S AMチップ 8を認証する処理の状態（A2 ) 、 I Cカード 3からデータ読み出す処理の状態（R) 、 I Cカード 3にデータ書き込む処理の状態（W) がある。本実施形態では、事業者を調べる処理、 S A Mチップ 8が I Cカード 3を認証する処理、 I Cカード 3が S A Mチップ 8を認証する処理、 I Cカード 3からデータ読み出す処理、並びに I Cカード 3にデータ書き込む処理のそれぞれがジョブに対応している。当該ジョブは、後述するように、 I Cカード手続管理用タスク 7 2によって、実行順番が決定される処理の単位になる。なお、 A l , A 2によって、 I Cカード.3と S A Mチップ 8との間の相互認証処理が構成される。また、本実施形態では、ィンターネット 1 0での通信時間を考慮して、前述した各基本的な状態を図 1 2の状態遷移図に示されるように、起動後（コマンド発行後）の状態と完了（応答受け取り後）状態とに分けて管理する。具体的には、ィンスタンス生成（ I Cカードエンティティデータ生成）状態、 R S起動後状態、 R S完了状態、 A 1起動後状態、 A 1完了状態、 A 2起動後状態、 A 2完了状態、 R起動後状態、 R完了状態、 W起動後状態、 W完了状態、並びにィンスタンス（ I Cカードエンティティデータ）消去状態によって、 I C力ードエンティティデータ 7 3— Xを用いた処理状態が管理される。 I Cカード種別情報 8 3は、当該 I Cカード 3を発行した事業者を特定する情報である。 I Cカード種別情報 8 3には、 I Cカードエンティティデータ Ί 3— Xの生成時に、前述したスクリブトプ αグラム内の C I コマンドによって規定された情報が設定される。サービスタイプエレメント指定情報 8 4 は、 I Cカードエンティティデータ 7 3— Xを用いた処理で利用する、サービス定義テーブルデータ内で定義されたサ一ビスのサービスタイプェレメントを示す。サービスタイプエレメント指定情報 8 4には、 I Cカードエンティティデータ 7 3— Xの生成時に、前述したスクリプトプログラム内の C Sコマンドで指定された単数または複数のサービスタイプェレメントが設定される。処理順番情報 8 5は、 I Cカードエンティティデータ 7 3— Xを用いた処理で利用するサービス（ジョブ）を実行する順番、すなわち、図 1 2に示す遷移状態を示す。すなわち、処理順番情報 8 5は、サービスタイプエレメントを用いて、 I C力ード 3の基本的な操作に対応するジョブの実行順番を示す。ここで、ジョブは、前述したように、図 1 2に示す R S , A 1 , A 2 , R , W に相当する。 I Cカード 3への具体的操作は、ジョブを用いて指定された処理順番により実現される。例えば、相互認証無しの読み込みのみの I Cカード 3を用いた処理については、処理順番情報 8 5には「R S→R」が設定される。また、相互認証有りの読み込みおよび書き込みの場合には、処理順番情報 8 5には、「 R S→A 1→A 2→R→W」が設定される。処理順番情報 8 5には、 I Cカードエンティティデータ 7 3— Xの生成時に、前述したスクリプトプログラム内の C Sコマンド内で指定されたサービスエレメントの順番に対応する図 1 2に示すジョブの順番が設定される。処理前情報 8 6には、 A S Pサーバ装置 6側から、 I Cカードエンティティデータ Ί 3 _ xを用いた処理を行うための管理用データが設定される。例えば、処理前情報 8 6には、 S Fデ一タブロック内に指定されたサービスの演算式のボイン卜が設定される。また、サービス間演算機能が定義されていない場合には、処理前情報 8 6には、要求処理金額が設定される。例えば、决済の場合であれば、課金額や付与ポイント数などに関する状態が設定される。処理後情報 8 7は、 A S Pサーバ装置 6側で必要な、 I Cカードエンティティデータ 7 3— Xの処理結果のデータが設定される。例えば決済の場合であれば、決済の正常終了の有無などを示すデータが設定される。以下、図 1 0に示す I Cカード手続管理用タスク 7 2による、複数の I Cカードエンティティデータ 7 3 _ xを用いて、複数の I Cカード 3に係わる処理を行う手順を説明する。 I Cカード手続管理用タスク 7 2は、例えば、図 9に示す S A Mチップ 8の C P U 6 6上で常に起動されている。図 1 3は、 I Cカード手続管理用タスク 7 2力行う処理のフローチヤ一トである。ステップ S T 1 ： I Cカード手続管理用タスク 7 2は、記憶部 6 5内に存在する複数の I C力一ドエンティティデータ 7 3— Xのうち、次に処理を実行する一つの I Cカードエンティティデータ 7 3— Xを選択する。当該 I Cカードエンティティデータ 7 3— Xの選択方法は、記憶部 6 5内に存在する I C力一ドエンティティデータ 7 3— Xを順番に選択してもよいし、優先順位を付けて高い優先順位のものを優先的に選択してもよい。ステップ S T 2 ： I C力一ド手続管理用タスク 7 2は、ステップ S T 1で選択した I Cカードエンティティデータ 7 3— Xのジョブが既に起動されているか否かを判断し、起動されていると判断した場合にはステップ S T 5の処理に進み、起動されていないと判断した場合にはステツプ S T 3の処理に進む。ステップ S T 3 ： I Cカード手続管理用タスク 7 2は、ステップ S T 1で選択した I C力一ドエンティティデータ 7 3 _ xの図 1 1に示すエンティティステータス情報 8 2から、当該エンティティデータに関する処理が図 1 2に示す状態遷移図の何れの状態にあるかを判断し、処理順番情報 8 5から、次に実行するジョブを決定する。このとき処理順番情報 8 5には、前述したように、サービス定義テ一ブルデ一タに設定されたサービスエレメントを用いてジョブの実行順番が規定されているステップ S T 4 ： I Cカード手続管理用タスク 7 2は、ステップ S T 3で選択したジョブを起動する。 I Cカード手続管理用タスク Ί 2は、図 7を用いて前述した入力用データブ口ック 3 1— X 1、出力用データブロック 3 2— χ 2、口グ用デ一タブロック 3 3 _ χ 3および演算定義用デ一タブロック 3 4 _ X 4のうち、当該ジョブに関係するデータブロックを用いて当該ジョブを実行する。このとき、 I Cカード手続管理用タスク 7 2は、ジョブの実行に当たって I C カード 3にコマンドを発行する場合に、当該ジョブに対応するサービスエレメントをキ一としてサービス定義テーブルデータを検索し、当該サービスエレメントに対応するサービス番号（ I Cカード 3が解釈可能な I Cカード 3の操作コマンド）を得る。そして、 I Cカード手続管理用タスク 7 2は、当該得られたサ一ビス番号を用いて I Cカード 3にコマンドを発行する。また、 I Cカード手続管理用タスク 7 2は、図 4を用いて説明したように、 I Cカード 3の I C 3 aの記憶領域へのアクセスに鍵情報が必要な場合には、当該ジョブに対応するサービスエレメントをキ一としてサービス定義テーブルデータを検索し、当該サービスエレメントに対応する鍵情報を得る。そして、 I Cカード手続管理用タスク 7 2は、当該鍵情報を用いて、 I Cカード 3 との間で相互認証、データの暗号化および復号などの処理を行い、 I Cカード 3の所定の記憶領域にアクセスを行う権限を得る。ステップ S T 5 ：ステップ S T 5が行われるのは、 I Cカード手続管理用タスク 7 2力 I C力一ド 3にコマンドを発行し、 I Cカード 3の処理結果を待っているときである。 I Cカード手続管理用タスク 7 2は、 I Cカード 3から処理結果を受け取ると、これを I Cカードエンティティデータ 7 3— Xに設定する。ステップ S T 6 ： I Cカード手続管理用タスク 72は、図 1 1に示す I Cカードエンティティデータ Ί 3— Xのエンティティステータス情報 8 2を更新する。このように、本実施形態では、 I Cカード手続管理用タスク 7 2によって、 S AMチップ 8内に存在する複数の I Cカード 3についての I Cカードェンティテイデ一タ 7 3_ xを順に選択しながら、複数の I Cカード 3についての処理を並行して行う。そのため、 SAMチップ 8は、複数の I C力一ド 3を用いた手続きの処理要求を受けた場合でも、これらの処理を同時に進行することができる。以下、図 1に示す通信システム 1の全体動作について説明する。図 1 4および図 1 5は、図 1に示す通信システム 1の全体動作を説明するための図である。ステップ S T 2 1 ：事業者 1 5— 1〜 1 5— 3あるいはこれら事業者の依頼を受けた者が、当該事業者が I Cカード 3を用いて行う取り引きについての処理を記述したスクリプトプログラム 2 1— 1 , 2 1— 2, 2 1 _3を、例えば、図 1に示すパーソナルコンピュ一タ 1 6— 1 , 1 6— 2, 1 6_3上で作成する。また、 SAMチップ 8の管理者が、事業者 1 5— 1〜 1 5— 3のそれぞれに対応するサービス定義テーブルデータ 2 0— 1 , 2 0 _2, 2 0_3を作成する。ステップ S T 2 2 ：ステップ S T 2 1で作成されたサービス定義テーブルデータ 2 0— 1 , 2 0— 2 , 2 0— 3が外部メモリ 7に記憶される。また、ステップ S T 2 1で作成されたスクリプトプログラム 2 1— 1 , 2 1— 2, 2 1—3力パーソナルコンピュータ 1 6— 1 , 1 6 __2 , 1 6— 3力、ら、ィンターネット 1 0、 AS Pサーバ装置 6および SAMチップ 8を介して、外部メモリ 7にダウンロードされる。当該ダウンロードの処理は、図 7に示すように、 S A Mチツプ 8内のスクリプトダウン口一ドタスク 6 9によって管理される。ステップ S T 2 3 ：図 7に示す S A Mチップ 8内のスクリプト解釈タスク 7 0によって、各事業者毎に、サービス定義テーブルデータおよびスクリプトプログラムを用いて、 I C カードエンティティプレートデータ、入力用データブロック、出力用デ一タブ口ック、ログ用データプロックおよび演算定義用データプロックが生成される。これら生成されたデータは、図 9に示す S A Mチップ 8の記憶部 6 5に格納される。ステップ S T 2 4 ：ユーザに I Cカード 3が発行される。図 4に示すように、 I Cカード 3の I C 3 aの記憶部 5 0には、ユーザが契約を行った事業者との取り引きに用いられる鍵情報が記憶されている。なお、ユーザと事業者との間の契約は、 I Cカード 3の発行後に、インターネ 'ント 1 0などを介して行ってもよい。ステップ S T 2 5 ：例えば、ユーザがパーソナルコンピュータ 5を用いてインタ一ネット 1 0を介してサーバ装置 2にアクセスを行い、商品を購入しょうとした場合に、サーバ装置 2がィンターネ 'ント 1 0を介して A S Pサーバ装置 6に処理要求を出す。 A S Pサーバ装置 6は、サーバ装置 2から処理要求を受けると、インタ一ネット 1 0を介してパーソナルコンピュータ 5にアクセスを行う。そして、図 1 6 A に示すように、カードリ一ダ ' ライタ 4が出した I Cカード 3についての処理要求が、パーソナルコンピュータ 5、インターネット 1 0および A S Pサーバ装置 6を介して S A Mチップ 8に送信される。ステップ S T 2 6 ： A S Pサーバ装置 6から S A Mチップ 8にェンティティ作成要求が出される。当該エンティティ作成要求には、 I C力一ド 3の発行元を示す情報が格納されている。ステップ S T 2 7 ： S A Mチップ 8は、エンティティ作成要求を受けると、図 1 6 Bに示すように、 I Cカード 3 との間でポーリングを行う。ステップ S T 2 8 ： S A Mチップ 8のエンティティ生成タスク 7 1は、ポーリング終了後に、 S A Mチップ 8内に存在する I Cカードエンティティデータ 7 3— Xの数が、スクリブトプログラムの S Cコマンドによって規定された最大数以内であるか否かを判断し、最大数以内であればステップ S T 2 9の処理に進み、そうでない場合には処理を終了する。ステップ S T 2 9 ：エンティティ生成タスク 7 1カ^ 例えば、エンティティ作成要求に格納された I Cカード 3の発行元を示す情報に基づいて、何れの事業者の I Cカードヱンティティプレートデータを用いるかを特定し、当該特定した I Cカードェンティティプレ一トデータ用いて、 I C力一ドエンティティデータ 7 3— Xを生成する。これは、図 1 2に示すィンスタンス生成に対応している。ステップ S T 3 0 ： S A Mチップ 8から A S Pサーバ装置 6に、ステップ S T 2 9で生成した I C カードエンティティデータ 7 3— Xのエンティティ I Dが出力される。ステップ S T 3 1 ： S A Mチップ 8の I Cカード手続管理用タスク 7 2によって、 I Cカード 3で利用可能なサービスが調べられる。これは、図 1 2に示すジョブ R Sに対応した処理である。ステップ S T 3 2 ： S A Mチップ 8の I Cカード手続管理用タスク 7 2が I Cカード 3の正当性を認証する。これは、図 1 2に示すジョブ A 1に対応した処理である。ステップ S T 3 3 ： I Cカード 3が S A Mチップ 8の正当性を認証する。これは、図 1 2に示すジョブ A 2に対応した処理である。ステップ S T 3 2 , S T 3 3によって、 I Cカード 3と S A Mチップ 8との間の相互認証が行われる。これは、図 1 6 Cに対応している。ステップ S T 3 4 ： S A Mチップ 8の I Cカード手続管理用タスク 7 2力、 I Cカード 3との間で、手綾きに必要なデータの読み書きを行う。 . これは、図 1 2に示すジョブ R , W、並びに図 1 6 D , 1 6 Eに対応した処理である。また、 I Cカード手続管理用タスク 7 2は、 I Cカードエンティティデータ 7 3— Xの処理前情報 8 6に基づいて特定した演算式を用いて、 I Cカード 3から読み出したデータを用いて所定の演算処理を行う。ステップ S T 3 5 ：図 1 6 Fに示すように、 S A Mチップ 8の I Cカード手続管理用タスク 7 2が、ステップ S T 3 4の処理結果を A S Pサーバ装置 6に出力する。ステップ S T 3 6 ：例えば、 I Cカード手続管理用タスク 7 2が、 I Cカードエンティティデータ 7 3— Xを消去する。以上説明したように、通信システム 1によれば、 I Cカード 3との間で発生する手続き処理毎に I Cカードエンティティデータ 7 3— Xを生成し、 I Cカード手続管理用タスク 7 2によって、複数の I C力一ドエンティティデータ 7 3— X を用いて、複数の I Cカード 3についての処理を同時に進行することができる。また、認証システム 1によれば、 I Cカード 3についての処理に実際に用いられている I Cカードエンティティデータ 7 3— Xを記憶部 6 5に記憶すれば良いため、記憶部 6 5の記憶領域を効率的に利用できる。また、認証システム 1によれば、図 1 2に示すように、 I Cカード手続管理用タスク 7 2が処理するジョブの実行状態を、起動後状態と完了状態とに分離して管理するため、一のジョブの実行を開始後に I Cカード 3からのデータを待っている状態で、他のジョブに関する処理を開始できる。そのため、インターネット 1 0を介して I Cカード 3との間でデータを送受信することによる待ち時間を無くすことができる。また、認証システム 1によれば、サービス定義テーブルデータ内に、各事業者が提供するサービスの種類を示す名前であるサービスタイプエレメント、 I C力一ド 3内で用いられる当該サービスの番号、並びに当該サービスを提供するに際に用いられる鍵情報をサービス定義テーブルデータ内に記述し、これを外部メモリ 7に保持する。そのため、 S A Mチップ 8の開発者でない、事業者 1 5— 1〜 1 5— 3力^ S A Mチップ 8上で動作する自らのアプリケーションプログラムを、スクリプトプログラム 2 1 _ 1 , 2 1— 2 , 2 1—3を作成して S A Mチップ 8を介して外部メモリ 7にダウン α—ドすることでカスタマイズできる。すなわち、鍵情報や I Cカード 3を直接操作する操作コマンドなどの秘匿性の高い情報を事業者 1 5— 1〜1 5— 3に知らせることなく、これらの事業者が自らのアブリケ一シヨンプログラムをカスタマイズできる。また、事業者は、アプリケーションプログラムをカスタマィズする際に、鍵情報やカード操作用コマンドを知る必要がないため、事業者の食担が軽減される。また、認証システム 1によれば、複数のサービスにまたがった処理内容を定義できるため、 I Cカード 3側で許容されると同時に実行されるサービスの範囲内で、複数のサービスを組み合わせた多様なサービスを提供できる。また、認証システム 1によれば、デ一タブ α 'ンクの概念を導入することで、 I Cカード 3との間で入出力されるデータ、並びにログデータの管理が容易に行える。図 1 7は、図 9に示す SAMチップ 8の機能プロ 'ンクをより具体的にした機能ブロ 'ンク図である。図 9に示すように、 SAMチップ 8は、内部バス 9 0を介して、 AS P S通信ィンタフエース部 6 0、外部メモリ通信ィンタフェース部 6 1、バススクランブル部 6 2、乱数発生部 6 3、暗号♦復号部 6 、記憶部 6 5および C P U 6 6が接続されている。図 1 Ίに示す S AMチップ 8では、例えば図 1 8に示すように、内部バス 9 0 に接続されたカード I ZF部 9 1を、 SAMチップ 8の外部の R F送受信部 9 2 に接続し、 R F送受信部 9 2のアンテナ 9 2 aを介して、 I Cカード 3との間で非接触方式でデータを送受信してもよい。第 2実施形態本実施形態は、第 7〜第 9の発明に対応した実施形態である。図 1 9は、本実施形態の通信システム 1 0 1の全体構成図である。図 1 9に示すように、通信システム 1 0 1は、サーバ装置 1 0 2、 I Cカード 1 0 3 (本発明の集積回路）、カードリーダ ' ライタ 1 0 4、パーソナルコンピュ一タ 1 0 5、 AS P (Application Service Provider)サーバ装置 1 0 6、 S A M (Secure Application Module) ュニ 'ント 1 0 9、ノヽ0—ソナノレコンピュータ 1 1 6— 1 , 1 1 6— 2, 1 1 6— 3、並びに認証用ユニット 1 1 7—1 , 1 1 7— 2, 1 1 7— 3を用いて、インタ一ネット 1 1 0を介して通信を行って I C力一ド 1 0 3を用いた決済処理などの手続き処理を行う。 SAMュニ 'ント 1 0 9は、外部メモリ 1 0 7 (本発明の半導体記憶回路）および SAMチップ 1 0 8 (本発明の半導体面路）を有する。 SAMチップ 1 0 8は、図 2 0に示すようなソフトウ · ァ構成を有している。図 2 0に示すように、 SAMチップ 1 0 8は、下層から上層に向けて、 HW(H ardware)層、 O S層、下位ハンドラ層、上位ハンドラ層および A P層を順に有している。下位ハンドラ層には、ドラィバ層が舍まれる。ここで、 AP層には、図 1 9に示すクレジットカード会社などの事業者 1 1 5 — 1 , 1 1 5— 2, 1 1 5— 3による I Cカード 1 0 3を用いた手続きを規定したアプリケーションプログラム A P_ 1 > AP_2, A P— 3がある。 AP層では、アプリケーションプログラム A P_l , AP— 2, AP— 3相互間、並びに上位ハンドラ層との間にファイアウォール FW (本発明のファイアゥオール）が設けられている。 SAMチップ 1 0 8は、 S CS Iまたは E t e r n e tなどを介して AS P サーバ装置 1 0 6に接続される。 AS Pサーバ装置 1 0 6は、ィンタ一ネツト 1 1 0を介して、ェンドュ一ザのパーソナルコンピュ一タ 1 0 5、事業者 1 1 5_ 1 , 1 1 5— 2, 1 1 5— 3のパーソナルコンピュータ 1 1 6—1 , 1 1 6_2 , 1 1 6_3を含む複数の端末装置に接続される。パーソナルコンピュータ 1 0 5は、例えば、シリアルまたは U S Bを介して D umb型の力一ドリーダ · ライタ 1 04に接続されている。カードリーダ . ライタ 1 0 4力、 I Cカード 1 0 3との間で物理レベルに相当する例えば無線通信を実現する。 I Cカード 1 ◦ 3への操作コマンドおよび I Cカード 1 0 3からのリスポンスバケツトは、 SAMュニ 'ント 1 0 9側で生成および解読される。よって、その中間に介在する力一ドリ一ダ · ライタ 1 0 4、パーソナルコンピュ一タ 1 0 5および AS Pサーバ装置 1 0 6は、コマンドゃリスポンス内容をデータペイロード部分に格納して中継する役割を果たすのみで、 I Cカード 1 0 3内のデータの暗号化ゃ復号および認証などの実操作には関与しない。事業者 1 1 5— 1 , 1 1 5— 2, 1 1 5— 3は、パーソナルコンピュータ 1 1 6— 1 , 1 1 6— 2, 1 1 6— 3を用いてアプリケーションプログラム A P—1 , AP— 2, A P— 3を作成し、それぞれ認証用ユニット 1 1 7— 1 , 1 1 7— 2, 1 1 7— 3を介して、当該作成したアプリケーションプログラムを SAMチップ 1 0 8を介して外部メモリ 1 0 7内の予め割り当てられた記憶領域にダウン口一ドする。このとき、事業者 1 1 5— 1 , 1 1 5— 2, 1 1 5__3は相互に無関係の者であるため、アプリケーションプログラム A P— 1 , A P— 2 , A P— 3をダウンロードできる外部メモリ 1 0 7内の記憶領域は予め決められており、当該記憶領域へのダウンロードを行う権限を有するか否かが S A Mチップ 1 0 8によって検証される。また、アプリケーションプログラム A P— 1 , AP__2, A P_ 3の実行中は、ファイアウォール FWによって、アプリケーションプログラム AP— 1 , AP —2, A P— 3の間でのデータの授受および参照が制限されている。認証用ユニット 1 1 7__ 1 , 1 1 7_2 , 1 1 7— 3は、後述するように、ァプリケ一シヨンプログラム AP— 1 , AP— 2, 八？__3を3八^4チップ 1 0 8 にダウンロードする際に、 SAMチップ 1 0 8との間で相互認証を行い、ダウンロード用署名検証鍵情報の作成などを行う。以下、図 1 9に示す構成要素について説明する。〔 I Cカード 1 0 3〕図 2 1は、 I Cカード 1 0 3の機能ブロック図である。図 2 1に示すように、 I Cカード 1 0 3は、記憶部 1 5 0および処理部 1 5 1 を備えた I C (Integrated Circuit) 1 0 3 aを有する。記憶部 1 5 0は、図 2 2に示すように、クレジジ 'ントカード会社などの事業者 1 1 5—1が使用する記憶領域 1 5 5— 1、事業者 1 1 5— 2が使用する記憶領域 1 5 5_2、並びに事業者 1 1 5— 3が使用する記憶領域 1 5 5— 3を有するまた、記憶部 1 5 0は、記憶領域 1 5 5—1への権限の有無を判断するために用いられる鍵情報、記憶領域 1 5 5— 2へのアクセス権限を判断するために用いられる鍵情報、並びに記憶領域 1 5 5 _3へのアクセス権限を判断するために用いられる鍵情報を記憶している。当該鍵情報は、具体的には、相互認証や、データの暗号化および復号などに用いられる。また、記憶部 1 5 0は、 I Cカード 1 0 3あるいは I Cカード 1 0 3のユーザの識別情報を記憶している。以下、 SAMュニット 1 0 9について詳細に説明する。〔外部メモリ 1 07〕図 2 3は、外部メモリ 1 0 7の記億領域を説明するための図である。図 2 3に示すように、外部メモリ 1 0 7の記憶領域には、事業者 1 1 5— 1のアプリケーションプログラム A P—1が記憶される A P記憶領域 1 2 0— 1、事業者 1 1 5— 2のアプリケーションプログラム AP— 2が記憶される A P記憶領域 1 2 0— 2、事業者 1 1 5— 3のアプリケーションプログラム A P— 3が記憶される AP記憶領域 1 2 0— 3、 SAMチップ 1 0 8の管理者が使用する AP管理用記憶領域 1 2 1、並びに鍵情報記憶領域 1 2 2がある。 AP記憶領域 1 20—1に記憶されているアプリケ一ションプログラム AP— 1は、複数のプログラムモジュールによって構成されている。 AP記憶領域 1 2 0—1へのアクセスは、フアイァウォール FW— 1によって制限されている。 A P記憶領域 1 2 0 _ 2に記憶されているアプリケーションプログラム A P— 2は、複数のプログラムモジュールによって構成されている。 AP記憶領域 1 2 0— 2へのアクセスは、フアイァウォール FW— 2によって制限されている。 A P記憶領域 1 2 0 3に記憶されているアプリケーションプログラム A P— 3は、複数のプログラムモジュールによって構成されている。 AP記憶領域 1 2 0— 3へのアクセスは、フアイァウォール FW— 3によって制限されている。本実施形態では、上記プログラムモジュールは、例えば、 SAMュニット 1 0 9の外部から外部メモリ 1 0 7にダウンロードされる最小単位である。各アプリケ一ションプログラムを構成するプログラムモジュールの数は、対応する事業者が任意に決定できる。また、外部メモリ 1 0 7に記憶されたアプリケ一ションプログラム AP— 1 , AP— 2, A P— 3は、スクランブルされており、 S AMチップ 1 0 8に読み込まれたときに、デスクランブルされる。また、アプリケーションプログラム A P—1 , AP— 2, A P— 3は、例えば、それぞれ図 1 9に示すパーソナルコンピュータ 1 1 6 _ 1 , 1 1 6— 2, 1 1 6— 3を用いて、事業者 1 1 5—1 , 1 1 5_2, 1 1 5— 3によって作成され、 S AMチップ 1 0 8を介して外部メモリ 1 0 7にダウンロードされる。 A P管理用記憶領域 1 2 1へのアクセスは、ファイアゥォ一ル FW— 4によつて制限されている。なお、ファイアウォール FW— 1 , FW— 2, F W_3 , FW— 4は、図 2 0 に示すフアイァウォール FWに対応している。 AP管理用記憶領域 1 2 1には、図 2 4に示すモジュール管理用データ 1 3 0 が記憶されている。モジュール管理用データ 1 3 0には、事前にパーソナルコンピュータ 1 1 6— 1 , 1 1 6_2 , 1 1 6— 3からダウンロードするプログラムモジュールのモジユール名と、ダウンロード用署名検証鍵情報（本発明のダウンロード用鍵情報）とを登録する。すなわち、モジュール管理用データ 1 30にダウンロード用署名検証鍵情報が事前に登録されていることを条件に、当該プログラムモジュールのダウンロードが許可される。また、モジュール管理用データ 1 3 0には、 SAMチップ 1 0 8で実行するプログラムモジュールのモジユール名と、実行用署名検証鏈情報とを登録する。すなわち、モジュール管理用データ 1 30に実行用署名検証鍵情報が事前に登録されていることを条件に、当該プ αグラムモジュールが SAMチップ 1 0 8で実行される実行権を得る。モジュール管理用データ 1 3 0は、図 2 4に示すように、 A P記憶領域 1 2 0 — 1 , 1 2 0— 2 , 1 2 0— 3に記憶されたアプリケーションプログラム A P— 1 , A P一 2 , A P— 3の各プログラムモジュールについて、当該プ αグラムモジュールへのアクセスを制限するファィァウォールのファィァウォール番号（本発明のファイアウォール識別情報）、開始アドレス、アドレス長、ダウンロード用署名検証鍵情報、実行用署名検証鍵情報、並びにモジュール名の対応を示している。ここで、ファイアウォール番号は、当該プログラムモジュールへのアクセスが制限されるフアイァウォールの番号を示す。開始ァドレスは、当該ファイアゥォールによってアクセスが制限される記憶領域の開始ァドレスを示す。ァドレス長は、当該ファイアウォールによってアクセスが制限される記憶領域のァドレス長を示す。ダウン口一ド用署名検証鍵情報は、当該プログラムモジュールを S A Mチップ 1 0 8を介して外部メモリ 1 0 7にダウンロードするときに行われる署名検証に用いられる鏈情報である。実行用署名検証鍵情報は、当該プログラムモジュールを S A Mチップ 1 0 8で実行するときに、当該プログラムモジユールに付けられた署名情報を検証するために用いられる。本実施形態では、例えば、各プログラムモジュールにその正当性を示す署名情報が付されており、当該プログラムモジユールが不正に改変または改竄された場合に、実行用署名検証鍵情報を用いて当該署名情報を検証することで、当該プログラムモジユールの正当性を確認できる。モジュール名は、当該プログラムモジユールに付けられた名前である。鍵情報記憶領域 1 2 2には、アプリケーションプログラム A P— 1の実行によつて図 2 2に示す I Cカード 1 0 3の記憶領域 1 5 5— 1にアクセスする際に用いられる暗号化された鍵情報 K—C 1、アプリケーションプログラム A P— 2の実行によって図 2 2に示す I Cカード 1 0 3の記憶領域 1 5 5— 2にアクセスする際に用いられる暗号化された鍵情報 K—C 2、並びにアプリケーションプログラム A P— 3の実行によって図 2 2に示す I Cカード 1 03の記憶領域 1 5 5— 3にアクセスする際に用いられる暗号化された鏈情報 K— C 3が記憶されている鍵情報 K— C I , K_C 2, K— C 3は、鍵情報 K— Xで暗号化されている。鍵情報記憶領域 1 22へのアクセスは、 SAMチップ 1 0 8の管理者のみが許可されている。〔 S AMチップ 1 0 8〕図 25は、図 1 9に示す SAMチップ 1 0 8の機能ブロック図である。図 2 5に示すように、 SAMチップ 1 0 8は、 AS P S通信ィンタフエース部 1 6 0、外部メモリ通信ィンタフエース部 1 6 1、バススクランブル部 1 6 2、署名処理部 1 6 3、認証処理部 1 6 4、暗号 ·復号部 1 6 5、記憶部 1 6 6、 C P U 1 6 7を有する。 S A Mチップ 1 0 8は、耐タンパ性のモジユールである。 AS P S通信ィンタフヱース部 1 6 0は、図 1 9に示す AS Pサーバ装置 1 0 6との間のデータ入出力に用いられるィンタフエースである。外部メモリ通信ィンタフース部 1 6 1は、外部メモリ 1 0 7との間のデータ入出力に用いられるィンタフヱースである。バススクランブル部 1 6 2は、外部メモリ通信ィンタフヱ一ス部 1 6 1を介してデータを入出力する際に、出力するデータをスクランブルし、入力したデータをデスクランブルする。署名処理部 1 6 3は、後述するようにィンタ一ネット 1 1 0を介してアプリケーションプ αグラムを外部メモリ 1 07にダウンロ一ドするとき、並びにアプリケーシヨンプログラムを実行するときに署名作成および署名検証を行う。認証処理部 1 6 4は、後述するようにィンタ一ネット 1 1 0を介してアプリケーションプログラムを外部メモリ 1 0 7にダウンロードするときなどに、相手先と相互認証を行う。暗号 ·復号^^ 1 65は、データの暗号化、並びに暗号化されたデータの復号を行つ。記憶部 1 6 6は、例えば、前述した外部メモリ 1 0 7の鍵情報記憶領域 1 2 2 に記憶された鍵情報 K— C 1 , K_C 2； K—C 3を復号するための鍵情報 K— Xを記憶する。 C P U 1 6 7は、所定のプログラム（本発明のプログラム）に基づいて、後述するようにタスクを実行し、当該タスクの実行に応じて、指定されたアプリケ一ションプログラムの実行を行う。図 2 6は、 C P U 1 6 7が実行するタスクを説明するための図である。図 2 6に示すように、 C P U 1 6 7は、ダウンロードタスク 1 7 0、システムタスク 1 7 1、 AP用タスク 1 Ί 2 (本発明のプログラム）、決済処理手順タスク 1 Ί 3を実行する。ダウンロードタスク 1 Ί 0は、後述するように、 SAMユニット 1 0 9の外部から、 S A Mチップ 1 0 8を介して外部メモリ 1 0 7に、アプリケーションプログラムをダウンロードする処理を行う。システムタスク 1 7 1は、ドライバ管理、 I Cカード 1 0 3に対しての固有の操作などの処理を行うタスクである。 A P用タスク 1 72は、例えば、 AS Pサーバ装置 1 06などの S AMチップ 1 0 8の外部から処理要求を SAMチップ 1 0 8が受けた場合に行われるアプリケーシヨンプログラム AP一 1 , AP— 2> AP_3の実行を統括的に管理する決済処理手順タスク 1 7 3は、例えば、 S AMチップ 1 0 8が A S Pサーバ装置 1 0 6力、ら、 I Cカード 1 0 3に関する処理要求を受けたとき、アプリケーシヨンプログラム AP— 1 , AP— 2> AP— 3の何れを用いるかを決定する。以下、通信システム 1 0 1の動作例を説明する。〔 A Pの外部メモリへのダウンロ一ド動作〕図 2 7は、図 1 9に示すパーソナルコンピュータ 1 1 6— 1から、外部メモリ 1 07にアプリケーションプログラム A P— 1をダウンロードする動作を説明するためのフローチャートである。ステップ S T 1 0 1 ：図 1 9に示すパーソナルコンピュータ 1 1 6—1力、認証用ュニツト 1 1 7— 1を介して、ダウンロードを行おうとするプログラムモジュールのモジュール名を指定したダウン α—ド要求を SAMチップ 1 0 8に送信する。ステップ S T 1 0 2 ：図 2 6に示す SAMチップ 1 0 8の CP U 1 67上で動作するダウン口一ドタスク 1 7 0力パーソナルコンピュータ 1 1 6— 1に接続された認証用ュニット 1 1 7—1との間で相互認証を行う。そして、相互認証によって、お互いの正当性が確認されると、ステップ S T 1 0 3の処理が行われる。なお、本実施形態では、当該相互認証の手法としては、様々な手法を用いることができるが、例えば、以下の手法が用いられる。認証用ュニット 1 1 7— 1および S AMチップ 1 0 8の双方が、 S AMチップ 1 0 8の識別情報である SAM— I と、相互認証用原鍵情報とを保持する。そして、認証用ュニット 1 1 7—1において、 SAM— I Dを相互認証用原鍵情報で暗号化して、 S AMチップ 1 0 8に送信する。 SAMチップ 1 0 8では、受信した暗号化された SAM— I Dを相互認証用原鍵で復号し、自らの保持する SAM— I Dと比較して一致していれば、認証用ュニット 1 1 7—1の正当性を確認する。また、これとは逆に、 S AMチップ 1 0 8において、 SAM— I Dを相互認証用原鍵情報で暗号化して、認証用ュニット 1 1 7—1に送信する。認証用ュ二 'ジト 1 1 7—1では、受信した暗号化された SAM— I Dを相互認証用原鍵で復号し、自らの保持する S A M— I Dと比較して一致していれば、 S A Mチップ 1 0 8の正当性を確認する。ステップ S T 1 0 3 ：ダウン α—ドタスク 1 7 0力、ステップ S Τ 1 0 1のダウン α—ド要求で指定されたモジュール名が、外部メモリ 1 0 7の Α Ρ管理用記憶領域 1 2 1に記憶されたモジュール管理用データ 1 3 0に登録されているかを判断する。ステップ S Τ 1 0 4 ：ダウンロードタスク 1 7 0 は、ステップ S Τ 1 0 3において登録されていないと判断した場合にはダウンロード処理を行わず処理を終了し、一方、登録されていると判断した場合はステップ S Τ 1 0 5の処理を行う。ステップ S Τ 1 0 5 ：認証用ュニット 1 1 7 _ 1は、 S A M— I Dを平文として A P用原鍵 K E Y— Aを用いて暗号化してダウンロード用署名検証鍵情報を生成する。そして、当該ダウンロード用署名検証鍵情報、あるいは、当該ダウンロード用署名検証鍵情報を用いて作成した署名情報を S A Mチップ 1 0 8に送信する。ステップ S T 1 0 6 ：ダウンロードタスク 1 Ί 0 は、ステップ S T 1 0 5でダウン口一ド用署名検証鍵情報を受信した場合には、当該受信したダウンロード用署名検証鍵情報が、モジュール管理用デ一タ 1 3 0内の対応するモジュール名のダウンロード用署名検証鍵情報と一致しているか否かを判断する。また、ダウンロードタスク 1 7 0は、ステップ S T 1 0 5で署名情報を受信した場合には、モジュール管理用データ 1 3 0内の対応するモジュール名のダウン口一ド用署名検証鍵情報を用いて当該署名情報の正当性を判断する。ステップ S T 1 0 7 ：ダウンロードタスク 1 7 0 は、ステップ S T 1 0 6で一致していると判断した場合、あるいは署名情報が正当であると判断した場合にはステップ S T 1 0 8の処理に進み、そうでない場合には処理を終了する。ステップ S T 1 0 8 ：ダウンロードタスク 1 7 0は、ステップ S T 1 0 1で指定されたモジュール名に対応する外部メモリ 1 0 7内のアドレスをモジュール管理用データ 1 3 0を参照して特定し、当該特定した外部メモリ 1 0 7上のアドレスに、パーソナルコンピュータ 1 1 6— 1から受信したプログラムモジュールをダウンロードする。〔アプリケーションプログラムの実行動作〕図 2 8は、図 1 9に示す S A Mチップ 1 0 8がアプリケーションプログラム A P— 1を実行する動作を説明するためのフローチヤ一トである。ステップ S T 1 1 1 ： S A Mチップ 1 0 8力、例えば、 A S Pサーバ装置 1 0 6からアプリケーションプログラム A P— 1の実行要求を受けると、図 2 6に示す A P用タスク 1 7 2 がステップ S T 1 1 2の処理を実行する。ステップ S T 1 1 2 ： A P用タスク 1 7 2は、アプリケーションプログラム A P— 1の各プログラムモジユールを実行する前に、当該プログラムモジュールのモジユール名に対応する実行用署名検証鍵情報をモジュール管理用データ 1 3 0を参照して得る。ステップ S T 1 1 3 ： A P用タスク 1 7 2は、ステップ S T 1 1 2で得た実行用署名検証鍵情報を用いて、当該プログラムモジュールの署名情報の正当性を検証する。すなわち、当該プログラムモジユールが不正に改変または改竄されているか否かを判断する。ステップ S T 1 1 4 ： A P用タスク 1 7 2は、ステップ S T 1 1 3で署名情報が正当であると検証すると、ステップ S T 1 1 5の処理に進み、正当でないと判断した場合には処理を終了する。ステップ S T 1 1 5 ： Α Ρ用タスク 1 7 2は、署名情報が正当であると判断されたプログラムモジュールを実行する。なお、プログラムモジュ一ルの実行は、図 2 5に示す C P U 1 6 7が、プログラム内のサブルーチンとして実行してもよい。〔アプリケーションプログラムの実行中の動作〕図 2 9は、アプリケーションプログラムの実行中の動作を説明するための図であステップ S Τ 1 2 1 ： Α Ρ用タスク 1 7 2は、図 2 8に示す処理を経てプログラムモジュール内の各コードを実行するときに、次に実行するコードが、他のプログラムモジュールとの間でデータ授受またはデータ参照を指示するコードであるか否かを判断する。ステップ S Τ 1 2 2 ： Α Ρ用タスク 1 7 2は、次に実行するコードが、他のプログラムモジュールとの間でデータ授受またはデータ参照を指示していないと判断した場合にはステツプ S T 1 2 4の処理に進み、指示していると判断した場合にはステップ S T 1 2 3の処理に進む。ステップ S Τ 1 2 3 ： Α Ρ用タスク 1 7 2は、当該コードを実行する。ステップ S Τ 1 2 4 ： Α Ρ用タスク 1 7 2は、当該コードの実行を行わず、例えばエラー処理を行う以下、図 1 9に示す通信システム 1 0 1の全体動作について説明する。図 3 0は、図 1 9に示す通信システム 1 0 1の全体動作を説明するための図でめ。ステップ S Τ 1 3 1 ：事業者 1 1 5— 1〜 1 1 5 _3あるいはこれら事業者の依頼を受けた者が、当該事業者が I Cカード 1 0 3を用いて行う取り引きについての処理を行うためのアプリケーションプ αグラム A P—1 , AP— 2, A P— 3を、図 1 9に示すパ一ソナルコンピュータ 1 1 6—1 , 1 1 6— 2, 1 1 6— 3上で作成する。また、 SAMチップ 1 0 8の管理者が、図 2 3に示すモジュール管理用データ 1 3 0を生成し、スクランブルして外部メモリ 1 0 7に格納する。ステップ S T 1 3 2 ：アプリケーションプログラム AP— 1 ; AP— 2, AP— 3を、認証用ュニット 1 1 7— 1 , 1 1 7—2, 1 1 7— 3を介して、パーソナルコンピュータ 1 1 6 _ 1 , 1 1 6— 2, 1 1 6— 3から SAMチップ 1 0 8にダウンロードする。このとき、図 2 7を用いて説明した処理が行われる。ステップ S T 1 3 3 ：ユーザに I Cカード 1 0 3が発行される。図 2 2に示すように、 I Cカード 1 0 3の I C 1 0 3 aの記憶部 1 5 0には、ユーザが契約を行った事業者との取り引きに用いられる鍵情報が記憶されているなお、.ユーザと事業者との間の契約は、 I Cカード 1 0 3の発行後に、ィンタ一ネット 1 1 0などを介して行ってもよい。ステップ S T 1 3 4 ：例えば、ユーザがパーソナルコンピュータ 1 0 5を用いてィンタ一ネット 1 1 0を介してサーバ装置 1 0 2にアクセスを行い、商品を購入しょうとした場合に、サーバ装置 1 0 2がィンターネット 1 1 0を介して A S Pサーバ装置 1 0 6に処理要求を出す。 AS Pサーバ装置 1 0 6は、サーバ装置 1 0 2から処理要求を受けると、インターネ 'ント 1 1 0を介してパーソナルコンピュータ 1 0 5にアクセスを行う。そして、カードリーダ ' ライタ 1 0 4が出した I Cカード 1 03についての処理要求が、パーソナルコンピュ一タ 1 0 5、インタ一ネット 1 1 0および A S Pサーバ装置 1 06を介して S AMチップ 1 0 8に送信される。ステップ S T 1 3 5 ： SAMチップ 1 0 8力ステップ S T 1 3 4で受信した処理要求に応じて、決済処理手順タスク 1 73によってアプリケーションプログラムを選択し、当該選択されたアプリケ一ションプ口グラムを実行する。当該アプリケ一ションプログラムの実行において、図 2 8および図 29を用いて説明した処理が行われる。ステップ S T 1 3 6 ： S A Mチップ 1 0 8は、アプリケーションプロダラムの実行結果を A S Pサ一バ装置 1 06に岀力する。以上説明したように、通信システム 1 0 1によれば、図 27を用いて説明したように、 S AMチップ 1 0 8力く、認証用ュニット 1 1 7— 1 , 1 17— 2, 1 1 7— 3を用いて、アプリケーションプログラムのダウンロード元を認証し、外部メモリ 1 07内の権限のある記憶領域に対してのみアプリケーションプログラムのダウンロードを認めるため、権限の無い者によって、外部メモリ 1 0 7内のァプリケーションプログラムが不正に交換されたり、改竄されることを防止できるまた、通信システム 1 0 1によれば、 S A Mチップ 1 0 8が複数のァプリケ一ションプログラムを動作させる場合に、アプリケーションプログラム間でのデータ授受やデータ ' コードの参照をファイアウォール FW—1 , FW— 2, FW_ 3によつて制限することから、各アプリケーションプログラムの処理が、他のァプリケーシヨンプログラムによつて不正干渉、改竄されることを防止できる。また、各アプリケーションプログラムの秘匿性を高めることができる。また、通信システム 1 0 1によれば、図 2 8を用いて説明したように、アプリケーションプログラム実行時に、当該アプリケーションプログラムが改竄されているか否かを検証することで、不正に改竄されたアプリケーションプログラムに基づいてなりすましなどの不正が行われることを回避できる。また、通信システム 1 0 1によれば、各アプリケーションプログラムを複数のプグラムモジュールで構成することで、外部メモリ 1 0 7に対してプログラムモジュール単位でダウンロードを行うことができる。また、通信システム 1 0 1によれば、秘匿性の高い I Cカード 1 0 3に対しての操作に用いられる鍵情報を、通常行われるスクランブルに加えて、暗号化して外部メモリ 1 0 7に格納することで、当該鍵情報のセキュリティレベルを向上できる。また、通信システム 1 0 1によれば、アプリケーションプログラムは、バススクランブル機能によりコードアクセス時に暗号化 ·復号化を実行しているため、5 A Mチップ 1 0 8の処理停止中に、外部メモリ 1 0 7に記憶されたアプリケーシヨンプログラムが不正に解折等されることを防止できる。図 3 1は、図 2 5に示す S A Mチップ 1 0 8の機能ブロックをより具体的にした機能ブロック図である。図 3 1に示すように、 S A Mチップ 1 0 8は、内部バス 1 9 0を介して、 A S P S通信ィンタフヱース部 1 6 0、外部メモリ通信ィンタフース部 1 6 1、バススクランブル部 1 6 2、暗号，復号部 1 6 5、記憶部 1 6 6および C P U 1 6 7が接続されている。図 2 5に示す署名処理部 1 6 3および認証処理部 1 6 4は、例えば、 C P U 16 7によってその一部の機能が実現される。図 3 1に示す S A Mチップ 1 0 8では、例えば図 3 2に示すように、内部バス 1 9 0に接続されたカード I Z F部 1 9 1を、 S A Mチップ 1 0 8の外部の R F 送受信部 1 9 2に接続し、 R F送受信部 1 9 2のアンテナ 1 9 2 aを介して、 I Cカード 1 0 3 との間で非接触方式でデータを送受信してもよい。第 3実施形態本実施形態は、第 1 0〜第 1 2の発明に対応した実施形態である。図 3 3は、本実施形態の通信システム 2 0 1の全体構成図である。図 3 3に示すように、通信システム 2 0 1は、サーバ装置 2 0 2、 I Cカード 2 0 3、カードリーダ · ライタ 2 0 4、パーソナルコンピュータ 2 0 5、 AS P (Application Service Provider)サーバ装 2 0 6ヽ SAM (Secure Appl icatio n Module) ュニット 2 0 9、パーソナルコンピュータ 2 1 .6一 1 , 2 1 6— 2 , 2 1 6— 3、並びに認証用ユニット 2 1 7—1 , 2 1 7_2 , 2 1 7— 3を用いて、ィンタ一ネット 2 1 0を介して通信を行って I Cカード 2 0 3を用いた決済処理などの手続き処理を行う。 SAMュニット 2 0 9は、外部メモリ 2 0 7および SAMチップ 2 0 8を有する。 SAMチップ 2 0 8は、図 3 4に示すようなソフトウエア構成を有している。図 3 4に示すように、 SAMチップ 2 0 8は、下層から上層に向けて、 HW(H ardware)層、 O S層、下位ハンドラ層、上位ハンドラ層および A P層を順に有している。下位ハンドラ層には、ドラィバ層が舍まれる。ここで、 A P層には、図 3 3に示すクレジットカード会社などの事業者 2 1 5 — 1 , 2 1 5_2 , 2 1 5— 3による I Cカード 2 0 3を用いた手続きを規定したアプリケーションプログラム A P—1 , AP— 2 , A P— 3がある。 AP層では、アプリケーションプログラム A P—1 , AP— 2 , AP— 3相互間、並びに上位ハンドラ層との間にフアイァウォール FWが設けられている。 S A Mチップ 2 0 8は、 S C S Iまたは E t h e r n e tなどを介して A S P サーバ装置 2 0 6に接続される。 AS Pサーバ装置 2 0 6は、ィンターネット 2 1 0を介して、ェンドユーザのパーソナルコンピュ一タ 2 0 5、事業者 2 1 5— 1 , 2 1 5— 2 , 2 1 5— 3のパーソナルコンピュータ 2 1 6—1 , 2 1 6— 2 > 2 1 6_3を舍む複数の端末装置に接続される。パーソナルコンピュータ 2 0 5は、例えば、シリアルまたは U S Bを介して D u m b型のカードリーダ ' ライタ 2 0 4に接続されている。力一ドリーダ，ライタ 2 0 4力 I Cカード 2 0 3との間で物理レベルに相当する例えば無線通信を実現する。 I Cカード 2 0 3への操作コマンドおよび I Cカード 2 0 3からのリスポンスバケツトは、 SAMュニット 2 0 9側で生成および解読される。よって、その中間に介在する力一ドリ一ダ ' ライタ 2 0 4、パーソナルコンピュータ 2 0 5および AS Pサーバ装置 2 0 6は、コマンドゃリスポンス内容をデータペイロ一ド部分に格納して中継する役割を果たすのみで、 I C力一ド 2 0 3内のデータの暗号化ゃ復号および認証などの実操作には関与しない。事業者 2 1 5— 1 , 2 1 5 _2 , 2 1 5— 3は、パーソナルコンピュータ 2 1 6_ 1 , 2 1 6— 2, 2 1 6— 3を用いてアプリケーションプログラム AP—1 , ΑΡ— 2 , A Ρ— 3を作成し、それぞれ認証用ユニット 2 1 7—1 , 2 1 7— 2 , 2 1 7— 3を介して、当該作成したアプリケーションプログラムを S AMチップ 2 0 8を介して外部メモリ 2 0 7内の予め割り当てられた記憶領域にダウン口一ドする。このとき、事業者 2 1 5— 1 , 2 1 5— 2, 2 1 5— 3は相互に無関係の者であるため、アプリケーションプログラム A P—1 , AP— 2 , A P— 3をダウンロードできる外部メモリ 2 0 7内の記憶領域は予め決められており、当該記憶領域へのダウン口一ドを行う権限を有するか否かが S AMチップ 2 0 8によって検証される。また、アプリケーションプ πグラム AP— 1 , AP— 2, AP— 3相互藺では、ファイアウォール FWによって、データの授受および参照が制限されている。認証用ユニット 2 1 7— 1 , 2 1 7— 2, 2 1 7— 3は、後述するように、ァプリケ一シヨンプログラム AP— 1 , AP— 2, AP— 3を SAMチップ 2 0 8 にダウンロードする際に、 S A Mチップ 2 0 8との間で相互認証を行い、ダウンロード用署名検証鍵情報の作成などを行う。以下、図 3 3に示す構成要素について説明する。〔 I Cカード 2 0 3〕図 3 5は、 I Cカード 2 0 3の機能プロック図である。図 3 5に示すように、 I Cカード 2 0 3は、記憶部 2 5 0および処理部 2 5 1 を備えた I C (Integrated Ci rcui t) 2 0 3 aを有する。記憶部 2 5 0は、図 3 6に示すように、クレジットカード会社などの事業者 2 1 5—1が使用する記憶領域 2 5 5— 1、事業者 2 1 5 _ 2が使用する記憶領域 2 5 5— 2、並びに事業者 2 1 5— 3が使用する記憶領域 2 5 5— 3を有する。また、記憶部 2 5 0は、記憶領域 2 5 5 _ 1への権限の有無を判断するために用いられる鍵情報、記憶領域 2 5 5 _ 2へのアクセス権限を判断するために用いられる鍵情報、並びに記憶領域 2 5 5— 3へのアクセス権限を判断するために用いられる鍵情報を記憶している。当該鍵情報は、具体的には、相互認証や、データの暗号化および復号などに用いられる。また、記憶部 2 5 0は、 I Cカード 2 0 3あるいは I Cカード 2 0 3のユーザの識別情報を記憶している。以下、 S A Mユニット 2 0 9について詳細に説明する。〔外部メモリ 2 0 7〕図 3 7は、外部メモリ 2 0 7の記憶領域を説明するための図である。図 3 7に示すように、外部メモリ 2 0 7の記憶領域には、事業者 2 1 5 _ 1のアプリケ一ションプ αグラム A P—1が記憶される A P記憶領域 2 2 0— 1、事業者 2 1 5一 2のアプリケ一ションプログラム A P— 2が記憶される A P記憶領域 2 2 0— 2、事業者 2 1 5— 3のアプリケーションプログラム A P— 3が記憶される A P記憶領域 2 2 0— 3、並びに S A Mチップ 2 0 8の管理者が使用する A P管理用記憶領域 2 2 1がある。 AP記憶領域 2 2 0—1に記憶されているアプリケーションプグラム AP— 1は、複数のプログラムモジュールによって構成されている。 AP記憶領域 2 2 0—1へのアクセスは、フアイァウォール FW— 1によって制限されている。 A P記憶領域 2 2 0— 2に記憶されているアプリケーションプログラム A P _ 2は、複数のプログラムモジュールによって構成されている。 AP記憶領域 2 2 0— 2へのアクセスは、ファイアウォール FW— 2によって制限されている。 AP記憶領域 2 2 0— 3に記憶されているアプリケーションプログラム AP— 3は、複数のプログラムモジユールによつて構成されている。 A P記憶領域 2 2 0— 3へのアクセスは、フアイァウォール FW— 3によって制限されている。本実施形態では、上記プログラムモジュールは、例えば、 SAMユニット 2 0 9の外部から外部メモリ 2 0 7にダウンロードされる最小単位である。各アプリケーションプログラムを構成するプログラムモジュールの数は、対応する事業者が任意に決定できる。また、外部メモリ 2 0 7に記憶されたアプリケ一ションプログラム A P— 1 , AP— 2 , A P— 3は、スクランブルされており、 S AMチップ 2 0 8に読み込まれたときに、デスクランブルされる。また、アプリケーションプログラム A P— 1 , A P_2 , A P— 3は、例えば、それぞれ図 3 3に示すパーソナルコンピュータ 2 1 6— 1 , 2 1 6— 2 , 2 1 6— 3を用いて、事業者 2 1 5— 1 , 2 1 5— 2, 2 1 5— 3によって作成され、 SAMチップ 2 0 8を介して外部メモリ 2 0 7にダウンロードされる。 A P管理用記憶領域 2 2 1へのアクセスは、ファイアゥォ一ル FW_ 4によつて制限されている。なお、ファイアウォール FW—1 , FW一 2 , FW— 3 , FW_4は、図3 4 に示すファィァウォール FWに対応している。 AP管理用記憶領域 2 2 1には、図 3 7に示すように、 AP選択用データ 2 3 1および AP間通信用データ 2 3 2が記憶されている。ここで、 A P選択用データ 2 3 1および A P間通信用データ 2 32は、例えば、 S AMチップ 2 0 8のセットアップ時に予め登録されている。また、 AP選択用データ 23 1および A P間通信用データ 23 2の書き換えは、 SAMチップ 2 0 8の管理者のみが行える。図 3 8は、 A P選択用データ 2 3 1を説明するための図である。図 3 8に示すように、 AP選択用データ 2 3 1は、 I Cカード種別情報と AP 識別情報とを対応付けて示している。 I Cカード種別情報は、図 33に示す I Cカード 2 0 3の種別を示し、例えば、 I Cカード 2 0 3を用いた取り引きの決済を行うクレジットカード会社の識別情報である。 A P識別情報は、図 3 4に示すように、 SAMチップ 2 0 8上の A P層で動作するアプリケ一ションプログラムの識別情報である。図 3 9は、 A P間通信用データ 2 3 2を説明するための図である。 AP間通信用データ 23 2は、図 3 4に示すアプリケーションプログラム AP _ 1 , AP_2, AP— 3間の通信の可否を示している。具体的には、図 3 9に示す列項目にあるアプリケ一ションプログラムが出した、行項目にあるアプリケーションプログラムへの通信要求が許可されるか否かを示している。例えば、アプリケーションプログラム A P— 3による、アプリケーションプログラム A P— 1への通信要求は許可されるが、アプリケ一ションプログラム AP — 2への通信要求は拒否される。また、図 3 7に示すように、 AP管理用記憶領域 2 2 1は、アプリケ一ションプログラム間での通信（データの授受）に用いられる AP間通信用記憶領域 23 3を有している。〔 SAMチップ 2 0 8〕図 4 0は、図 33に示す SAMチップ 2 0 8の機能ブック図である。図 4 0に示すように、 S A Mチップ 2 0 8は、 A S P S通信ィンタフェース部 2 6 0、外部メモリ通信ィンタフヱ一ス部 2 6 1、バススクランブル部 2 6 2、署名処理部 2 6 3、認証処理部 2 6 4、暗号 ·復号部 2 6 5、記憶部 2 6 6、 C P U 2 6 7を有する。 S A Mチップ 2 0 8は、耐タンパ性のモジユールである。 A S P S通信ィンタフヱ一ス部 2 6 0は、図 3 3に示す A S Pサーバ装置 2 0 6との間のデータ入出力に用いられるィンタフエースである。外部メモリ通信ィンタフヱース部 2 6 1は、外部メモリ 2 0 7との間のデータ入出力に用いられるィンタフヱースである。バススクランブル部 2 6 2は、外部メモリ通信ィンタフヱース部 2 6 1を介してデータを入出力する際に、出力するデータをスクランブルし、入力したデータをデスクランブルする。すなわち、外部メモリ 2 0 7には、スクランブルされた状態でデータが記憶される。署名処理部 2 6 3は、後述するようにィンタ一ネット 2 1 0を介してアプリケーションプログラムを外部メモリ 2 0 7にダウンロードするとき、並びにァプリケ一シヨンプログラムを実行するときに署名作成および署名検証を行う。認証処理部 2 6 4は、後述するようにィンタ一ネ 'ント 2 1 0を介してアプリケーションプログラムを外部メモリ 2 0 7にダウンロードするときなどに、相手先と相互認証を行う。暗号♦復号部 2 6 5は、データの暗号化、並びに暗号化されたデータの復号を行つ。記憶部 2 6 6は、 C P U 2 6 7の処理に必要なデータを記憶する。 C P U 2 6 7は、所定のプログラム（本発明のプログラム）を基に、後述するようにタスクを実行し、当該タスクの実行に応じて、指定されたアプリケーションプログラムの実行を行う。図 4 1は、 C P U 2 6 7が実行するタスクを説明するための図である。図 4 1に示すように、 C P U 2 6 7は、ダウンロードタスク 2 7 0、システムタスク 2 7 1、 AP用タスク 2 7 2、決済処理手順タスク 2 7 3、 A P間通信用タスク 2 7 4、並びに SAM間通信用タスク 2 7 5を実行する。ダウンロードタスク 2 7 0は、後述するように、 SAMユニット 2 0 9の外部から、 S AMチ 'ンプ 2 0 8を介して外部メモリ 2 0 7に、アプリケ一ションプログラムをダウンロ一ドする処理を行う。システムタスク 2 7 1は、ドライバ管理、 I Cカード 2 0 3に対しての固有の操作などの処理を行うタスクである。 AP用タスク 2 7 2は例えば、 AS Pサーバ装置 2 0 6などの SAMチップ 2 0 8の外部から処理要求を SAMチップ 2 0 8が受けた場合に行われるアプリケ —シヨンプログラム AP— 1 , AP— 2, A P_ 3の実行を統括的に管理する。決済処理手順タスク 2 7 3は、図 4 2に示すように、 S AMチップ 2 0 8が A S Pサーバ装置 2 0 6力、ら、 I Cカード 2 0 3に関する処理要求を受けたとき、図 3 8に示す AP選択用データ 2 3 1に基づいて当該処理要求に含まれる I C力一ド種別情報に対応する A Pの識別情報を得て、当該 A P識別情報に対応するァプリケ一シヨンプログラム A P_ 1 , AP— 2, A P一 3を選択して実行する。 AP間通信用タスク 2 7 4は、アプリケ一ションプ αグラム間の通信を管理する。図 4 3は、 A Ρ間通信用タスク 2 7 4の処理を説明するためのフローチヤ一トである。，ここでは、アプリケーションプログラム AP—1から、 AP— 2にデータを書き込むための通信要求が出された場合を例示して説明する。ステップ S T 2 0 1 ：実行中のアプリケーションプログラム AP— 1が、 AP— 2へのデータ書込を示す通信要求を出すと、ステップ ST 2 0 2の処理が行われる。ステップ ST 2 0 2 ：ステップ S T 2 0 1で出された通信要求が、 AP藺通信用タスク 2 7 4に受け渡される。ステップ ST 2 0 3 ： A P間通信用タスク 2 7 4は、図 3 9に示す A P間通信用データ 2 3 2を参照して、アプリケーションプログラム A P— 1が A P— 2に対して通信を行うことができるか否かを判断する。ステップ ST 2 0 4 ： AP間通信用タスク 2 7 4は、ステップ S T 2 0 3で通信を行うことができると判断した場合にはステップ S T 2 0 5の処理を実行し、そうでない場合には処理を終了する。当該例では、図 3 9から、アプリケーションプログラム AP— 1は AP— 2に対して通信ができるので、ステップ S T 2 0 5の処理が実行される。ステップ S T 2 0 5 : A P間通信用タスク 2 7 4の制御によつて、アプリケーションプログラム A P — 1力図 3 7に示す A P間通信用記憶領域 2 3 3にデ一タを書き込む。ステップ S T 2 0 6 ： AP間通信用タスク 2 7 4は、データが書き込まれた旨をアプリケ一ションプログラム A P— 2に通知する。ステップ ST 2 0 7 : アプリケーションプログラム A p— 2は、ステップ S T 2 0 6で受けた通知に応じて、 AP間通信用記憶領域 2 3 3からデータを読み出す。これにより、ファイアゥォールを中継したアプリケ一ションプログラム A P— 1 , A P— 2間の通信が完了する。 SAM間通信用タスク 2 7 5は、図 4 4に示すように、必要に応じて、例えば、 SAMチップ 2 0 8以外の SAMチップ 2 0 8 xの SAM間通信用タスク 2 7 5を起動して、当該 SAMチップ 20 8 Xの SAM間通信用タスク 27 5にリモ一トコマンドを発行することができる。このようなリモートコマンドは、例えば、 S A Mチップ 2 0 8の処理負荷が大きくなり、処理を適切に行えない場合に、 SAMチップ 2 0 8の SAM間通信用タスク 27 5力 SAMチップ 2 0 8 xの S A M間通信用タスク 27 5にリモートコマンドを発行し、 SAMチップ 2 0 8に割り当てられた処理の少なくとも一部の実行を SAMチップ 2 0 8 Xに依頼する。以下、図 3 3に示す通信システム 2 0 1の全体動作について説明する。図 4 5は、図 3 3に示す通信システム 2 0 1の全体動作を説明するための図であステップ S T 2 3 1 ：事業者 2 1 5— 1〜2 1 5— 3あるいはこれら事業者の依頼を受けた者が、当該事業者が I Cカード 2 0 3を用いて行う取り引きについての処理を行うためのアプリケーションプログラム AP— 1 , AP— 2, 八？— 3を、図33に示すパ一ソナルコンピュータ 2 1 6—1 , 2 1 6— 2, 2 1 6— 3上で作成する。ステップ ST 2 3 2 : アプリケーションプログラム AP—1, AP— 2, AP— 3を、認証用ュニット 2 1 7— 1 , 2 1 7— 2, 2 1 7— 3を介して、パーソナルコンピュータ 2 1 6 _ 1 , 2 1 6— 2, 2 1 6— 3から S AMチップ 2 0 8にダウンロードする。ステップ ST 2 3 3 : ュ一ザに I Cカード 2 03が発行される。図 3 6に示すように、 I Cカード 2 03の I C 2 0 3 aには、ユーザが契約を行った事業者との取り引きに用いられる鍵情報が記憶されている。なお、ユーザと事業者との間の契約は、 I Cカード 2 0 3の発行後に、ィンタ一ネット 2 1 0などを介して行ってもよい。ステップ ST 2 3 4 : 例えば、ユーザがパーソナルコンピュータ 2 0 5を用いてィンターネット 2 1 0を介してサーバ装置 2 0 2にアクセスを行い、商品を購入しょうとした場合に、サーバ装置 2 0 2がィンタ一ネット 2 1 0を介して A S Pサーバ装置 2 0 6に処理要求を出す。 A S Pサーバ装置 2 0 6は、サーバ装置 2 0 2から処理要求を受けると、インターネット 2 1 0を介してパーソナルコンピュ一タ 2 0 5にアクセスを行う。そして、カードリーダ ' ライタ 2 0 4が出した I Cカード 2 0 3についての処理要求が、パーソナルコンピュータ 2 0 5、インターネット 2 1 0および A S Pサーバ装置 2 0 6を介して S A Mチップ 2 0 8に送信される。ステップ S T 2 3 5 ： S A Mチップ 2 0 8力、ステップ S T 2 3 4で受信した処理要求に応じて、決済処理手順タスク 2 7 3によってアプリケーションプログラムを選択し、当該選択されたアプリケ一ションプ πグラムを実行する。当該アプリケ一ションプログラムの実行において、アプリケーションプロダラム間での通信が行われる場合には、 A P間通信用タスク 2 7 4によって、前述した図 4 3で示したように行われる。ステップ S T 2 3 6 ： S A Mチップ 2 0 8は、アプリケ一ションプログラムの実行結果を A S Pサーバ装置 2 0 6に出力する。以上説明したように、通信システム 2 0 1によれば、図 3 4および図 3 7に示すように、アプリケーションプログラム A P— 1 , A P— 2 , A P— 3は、ファィァウォールによって相互間でのアクセスが制限されているため、アプリケ一シヨンプログラムが不正に監視および改竄されることを防止できる。また、各アブリケーシヨンプログラムの秘匿性を高めることができる。また、通信システム 2 0 1によれば、図 4 1に示す A P間通信用タスク 2 7 4 が図 3 7に示す外部メモリ 2 0 7の A P管理用記憶領域 2 2 1を用いて、図 4 3 に示す処理を行うことで、予め許可された範画内で、アプリケーションプ口ダラム間の通信が許可される。そのため、複数のアプリケーションプグラムを同期および協調させて多様なサービスが提供できる。このような多様なサービスとしては、例えば、図 4 1に示す決済処理手順タスク 2 7 3によるアプリケーションプログラムの自動選択がある。すなわち、同一レベルの処理内容でありながら、 I Cカード 2 0 3の発行元により処理プロトコルが異なる決済処理は、 I Cカード 2 0 3の種別が判れば、それに対応するアブリケーシヨンプログラムが自動的に決定できる。そのため、決済処理手順タスク 2 7 3のレベルで、決済処理を登録することで、 I Cカード 2 0 3の種別とそれに対応するアプリケーションプ πグラムを自動的に決定できる。これにより、ァプリケーシヨンプログラムの開発者の負担を軽減できる。また、通信システム 2 0 1によれば、外部メモリ 2 0 7に記憶される情報は、図 4 0に示す S AMチップ 2 0 8のバススクランブル部 2 6 2によってスクランブルされているため、外部からの解読に対して秘匿性がある。また、通信システム 2 0 1によれば、図 4 1に示す SAM間通信用タスク 2 7 5を設けることで、 S AMチップ 2 0 8の処理負荷を他の S AMチップに分散させることが可能になる。そのため、複数の端末装置からの決済処理の処理要求を同時に扱う必要がある店舖のサーバ装置などに SAMチップ 2 0 8を搭載する場合には、 SAM間通信用タスク 2 7 5の機能を用いて、複数の SAMチップ 2 0 8を使用して決済処理能力を高めることができる。図 4 6は、図 4 0に示す SAMチップ 2 0 8の機能ブ α 'ンクをより具体的にした機能プロック図である。図 4 6に示すように、 SAMチップ 2 0 8は、内部バス 2 9 0を介して、 AS P S通信ィンタフエース部 2 6 0、外部メモリ通信ィンタフヱース部 2 6 1、バススクランブル部 2 6 2、暗号 '復号部 2 6 5、記憶部 2 6 6および C P U 2 6 7が接続されている。図 4 0に示す署名処理部 2 63および認証処理部 2 6 4は、例えば、 C P U 2 67によってその一部の機能が実現される。図 4 6に示す S AMチップ 2 08では、例えば図 4 7に示すように、内部バス2 9 0に接続されたカード I /F部 2 9 1を、 SAMチップ 2 0 8の外部の R F 送受信部 2 9 2に接続し、 R F送受信部 2 9 2のアンテナ 2 9 2 aを介して、 I Cカード 2 0 3との間で非接触方式でデータを送受信してもよい。第 4実施形態 ' 当該実施形態は、第 1 3〜第 1 6の発明に対応した実施形態である。図 4 8は、本実施形態の通信システム 3 0 1の全体構成図である。図 4 8に示すように、通信システム 3 0 1は、サーバ装置 3 0 2、 I Cカード3 03 (本発明の集積回路）、カードリーダ♦ ライタ 3 0 4、パーソナルコンピユータ 3 0 5、 AS P (Application Service Provider)サーバ装置 3 0 6、 S A M (Secure Application Module) ュニ 'ント 3 0 9、パーソナルコンピュ一タ 3 1 6— 1 , 3 1 6— 2, 3 1 6— 3, 3 1 6— 4, 3 1 6— 5、認証用ュニット 3 1 7— 1 , 3 1 7— 2, 3 1 7— 3, 3 1 7— 4, 3 1 7— 5 (本発明の認証用装置）、並びに I CE(In Circuit Emulator)' 3 1 8を用いて、インターネ 'ント 3 1 0を介して通信を行って、 S AMチップ 3 0 8のソフトゥアの開発やカスタマイズ、並びに I Cカード 3 0 3を用いた決済処理などを行う。 SAMュニット 3 0 9は、外部メモリ 3 0 7 (本発明の半導体記憶回路）および SAMチップ 3 0 8 (本発明の半導体回路）を有する。 S AMチップ 3 08は、図 4 9に示すようなソフトウェア構成を有している。図 4 9に示すように、 S AMチップ 3 0 8は、下層から上層に向けて、 HW(H ardware)層、 O S層、下位ハンドラ層、上位ハンドラ層およびアプリケーション (AP ) 層を順に有している。下位ハンドラ層は、アプリケーションプログラムに依存しない処理を規定する層であり、 ◦ S Iプロトコルにおけるトランスポート層、ネットワーク層およびデータリンク層に対応している。下位ハンドラ層には、ドラィバ層が舍まれる。ドライバ層は、 L S Iの操作に係わる処理を行う層である。上位ハンドラ層は、アプリケーションプログラムに依存する処理を規定する層であり、 0 S Iプロトコルにおけるトランスポート層より上の層に対応しているここで、 0 S層が本発明の第 1の層に対応し、下位ハンドラ層、ドライバ層および上位ハンドラ層が本発明の第 2の層に対応し、 AP層が本発明の第 3の層に対応している。 AP層には、図 4 8に示すクレジットカード会社などの事業者 3 1 5— AP 1 , 3 1 5 _AP 2 , 3 1 5— AP 3による I Cカード 30 3を用いた手続きを規定したアプリケーションプログラム A P— 1 , AP— 2, A P— 3がある。 AP層では、アプリケーションプログラム AP_1 , AP— 2, AP— 3相互間、並びに上位ハンドラ層との間にファイアウォール FW (本発明のファイアゥオール）が設けられている。図 4 9に示すソフトウェア構成において、 A P層で各事業者に特有の処理、例えば I Cカード 3 0 3を用いた決済処理の内容が規定されており、 I Cカード 3 0 3を直接操作する処理は上位ハンドラ層以下の層に規定されている。 S A Mチップ 3 0 8は、 S C S Iまたは E t h e r n e tなどを介して A S P サーバ装置 3 0 6に接続される。 AS Pサーバ装置 30 6は、インターネット 3 1 0を介して、パーソナルコンピュータ 3 0 5, 3 1 6— 1 , 3 1 6— 2, 3 1 6— 3, 3 1 6— 4, 3 1 6— 5が接繞されている。パーソナルコンピュータ 3 1 6—1は、 S AMチップ 3 0 8で実行されるアブリケーションプログラム AP— 1の事業者 3 1 5— AP 1が使用する。パーソナルコンピュ一タ 3 1 6— 2は、 S AMチップ 3 0 8で実行されるアブリケ一シヨンプログラム A P— 2の事業者 3 1 5 _A P 2が使用する。パーソナルコンピュータ 3 1 6— 3は、 SAMチップ 3 0 8で実行されるアブリケ一シヨンプログラム A P— 3の事業者 3 1 5— A P 3が使用する。パーソナルコンピュ一タ 3 1 6 4は、 S AMチップ 3 0 8の図 4 9に示す上位ハンドラ層、並びにドライバ層を舍む下位ハンドラ層を開発可能なソフトウァ開発者 3 1 5_M I Dが使用する。パーソナルコンピュータ 3 1 6— 5は、 SAMチップ 3 0 8の製造元であり、 SAMチップ 3 0 8を統括して管理する権限を有するソフトウヱァ開発者 3 1 5 —S UPが使用する。事業者 3 1 5— AP I , 3 1 5_AP 2, 3 1 5—A P 3は、パーソナルコンピュータ 3 1 6— 1 , 3 1 6— 2, 3 1 6— 3を用いてアプリケーションプログラム AP_1 , AP— 2 , A P— 3を作成し、それぞれ認証用ユニット 3 1 7— 1 > 3 1 7— 2 , 3 1 7— 3を介して、当該作成したアプリケーションプログラムを SAMチップ 3 0 8を介して外部メモリ 3 0 7内の予め割り当てられた記憶領域にダウンロードする。このとき、事業者 3 1 5— AP 1 , 3 1 5— AP 2 , 3 1 5— AP 3は相互に無関係の者であるため、アプリケーションプ αグラム AP— 1 , ΑΡ— 2, A P —3をダウンロードできる外部メモリ 3 0 7内の記憶領域は予め決められており、当該記憶領域へのダウンロードを行う権限を有するか否かが SAMチップ 3 0 8によって検証される。また、アプリケーションプログラム A P—1 , AP— 2 , A P— 3の実行中は、ファイアウォール FWによって、アプリケーションプログラム A P— 1 , AP — 2 , AP— 3の間でのデータの授受および参照が制限されている。ソフトウエア開発者 3 1 5_M I Dは、認証用ュニット 3 1 7— 4を介して、必要に応じて、 SAMチップ 3 0 8の図 4 9に示す上位ハンドラ層、並びにドラィバ層を舍む下位ハンドラ層のカスタマィズ等のために所定のプ口グラムを S A Mチップ 3 0 8にダウン π—ドする。ソフトウヱァ開発者 3 1 5— S UPは、認証用ュニット 3 1 7— 5を介して、図 4 9に示す全ての層のカスタマィズ等のために所定のプログラムを S AMチップ 3 0 8にダウンロードする。認証用ュニット 3 1 7—1〜3 1 7— 5は、後述するように、それぞれパーソナルコンピュータ 3 1 6— 1〜3 1 6— 5から所定のプログラムを SAMチップ 3 0 8にダウンロードする際に、 SAMチップ 3 0 8との間で相互認証、並びにダウンロード用署名検証鍵情報の作成などを行う。パーソナルコンピュータ 3 0 5は、例えば、 I Cカード 3 0 3の所有者であるエンドユーザが使用する。パーソナルコンピュータ 30 5は、例えば、シリアルまたは U S Bを介して D u m b型のカードリーダ ' ライタ 30 4に接続されている。カードリーダ · ラィタ 3 0 4が、 I Cカード 3 03との間で物理レベルに相当する例えば無線通信を実現する。 I Cカード 3 0 3への操作コマンドおよび I Cカード 3 0 3からのリスポンスパケットは、 SAMュニット 3 09側で生成および解読される。よって、その中間に介在するカードリ一ダ ' ライタ 3 04、パーソナルコンピュータ 3 05および AS Pサーバ装置 3 0 6は、コマ.ンドゃリスポンス内容をデータペイ口一ド部分に格納して中継する役割を果たすのみで、 I Cカード 3 0 3内のデータの暗号化ゃ復号および認証などの実操作には関与しない。また、 I CE 3 1 8は、 SAMチップ 3 0 8上で動作するプログラムをデバックする際などに用いられるエミユレータである。以下、図 4 8に示す構成要素について説明する。 I Cカード 3 0 3 I Cカード 3 0 3は、 SAMチップ 30 8を用いた決済処理に必要な鍵情報などを記憶する。認証用ュニット 3 1 7 1〜3 1 7 5 図 5 0は、認証用ュニット 3 1 7—1の機能プロ 'ンク図である。図 5 0に示すように、認証用ュニット 3 1 7— 1は、記憶部 3 50— 1および処理部 3 5 1— 1を有する。図 5 0に示すように、記憶部 3 5 0— 1は、 S AM— I D、相互認証用原鍵情報 1およびアクセス原鍵情報 K Aを記憶している。 SAM_ I Dは、 SAMチップ 30 8の識別情報である。相互認証用原鍵情報 K 1は、後述するように相互認証用鍵情報 K 2を生成するために用いられる。アクセス原鍵情報 K Aは、後述するように、外部メモリ 3 0 7にプログラムをダウン口一ドするときに用いられるダウンロード用署名情報を生成するために用いられる。アクセス原鍵情報 K Aは、図 4 9に示す SAMチップ 3 0 8のソフトゥヱァ構造の AP層のプログラムを外部メモリ 307にダウンロ一ドするために必要な鍵情報である。処理部 3 5 1 _ 1は、図 50に示すように、相互認証部 3 5 2— 1およびダウンロード処理部 3 5 3— 1を有する。相互認証部 3 5 2—1は、図 5 1に示すように、プログラムを外部メモリ 3 0 7にダウンロードする際に、 SAM— I Dを平文として相互認証用原鍵情報 K 1 を用いて暗号化を行って相互認証用鍵情報 K 2を生成し、当該相互認証鏈情報 K 2を用いて SAMチップ 3 0 8との間で相互認証を行う。ダウンロ一ド処理部 35 3— 1は、プログラムを外部メモリ 307にダウンロードする際に、図 5 2に示すように、 SAM— I Dを平文としてアクセス原鍵情報 KAを用いて暗号化を行って、ダウンロード用鏈情報 K— D Aを生成する。また、ダウンロード処理部 3 53—1は、ダウンロード用鍵情報 K— D Aを用いてダウンロード用署名情報を生成し、これを SAMチップ 3 0 8に送信する。認証用ュニ 'ント 3 1 7— 2 , 3 1 7— 3は、上述した認証用ュニット 3 1 7 _ 1 と同じ構成をしている。但し、例えば、アクセス原鍵情報 KAの内容は各認証用ュ二 .ン卜で異なる。図 5 3は、認証用ュニット 3 1 7— 4の機能ブロック図である。図 5 3に示すように、認証用ュニット 3 1 7— 4は、記憶部 3 5 0— 4および処理部 3 5 1—4を有する。図 5 3.に示すように、記憶部 3 5 0— 4は、 SAM— I D、相互認証用原鍵情報 1およびアクセス原鍵情報 KA, KMを記憶している。 SAM— I D、相互認証用原鍵情報 K 1およびアクセス原鍵情報 K Aは、前述したものと同じである。ァクセス原鍵情報 K Mは、図 4 9に示す SAMチップ 3 0 8のソフトウェア構造の上位ハンドラ層、並びにドライバ層を含む下位ハンドラ層のプログラムを外部メモリ 3 0 7あるいは SAMチップ 3 0 8にダウンロ一ドするために必要な鏈情報である。処理部 3 5 1—4は、図 5 3に示すように、相互認証部 3 5 2— 4およびダウンロード処理部 3 5 3— 4を有する。相互認証部 3 5 2— 4は、前述した図 5 1に相互認証部 3 5 2—1 と同じである。ダウンロード処理部 3 5 3— 4は、プログラムを外部メモリ 3 0 7にダウン口ードする際に、図 5 4に示すように、 SAM— I Dを平文としてアクセス原鍵情報 KAを用いて暗号化を行って、ダウンロード用鏈情報 K— D Aを生成する。次に、ダウンロード処理部 3 5 3— 4は、ダウンロード用鍵情報 K_D Aを平文としてアクセス原鍵情報 KMを用いて暗号化を行って、ダウンロード用鍵情報 K— DMを生成する。次に、ダウン π—ド処理部 3 5 3— 4は、ダウンロード用鍵情報 K— DMを用いてダウンロ一ド用署名情報を生成し、これを SAMチップ 3 0 8に送信する。図 5 5は、認証用ュニット 3 1 7— 5の機能ブロック図である。図 5 5に示すように、認証用ュニット 3 1 7— 5は、記憶部 3 5 0— 5および処理部 3 5 1—5を有する。図 5 5に示すように、記憶部 3 5 0— 5は、 SAM— I D、相互認証用原鍵情報 K 1およびアクセス原鏈情報 KA, KM, KSを記憶している。 SAM_ I D、相互認証用原鍵情報 K 1およびアクセス原鍵情報 KA, KMは、前述したものと同じである。アクセス原鍵情報 KSは、図 4 9に示す SAMチップ 3 0 8のソフトゥヱァ構造の 0 S層のプログラムを外部メモリ 3 0 7あるいは SAMチップ 3 0 8にダウン α—ドするために必要な鍵情報である。処理部 3 5 1—5は、図 5 5に示すように、相互認証部 3 5 2— 5およびダウンロード処理部 3 5 3— 5を有する。相互認証部 3 5 2— 5は、前述した図 5 1に相互認証部 3 5 2— 1 と同じである。ダウンロード処理部 3 5 3— 5は、プログラムを外部メモリ 3 0 7にダウン口 ―ドする際に、図 5 6に示すように、 SAM— I Dを平文としてアクセス原鍵情報 KAを用いて暗号化を行って、ダウンロード用鍵情報 K__D Aを生成する。次に、ダウン口一ド処理部 3 5 3— 5は、ダウン口一ド用鍵情報 K— D Aを平文としてアクセス原鍵情報 KMを用いて暗号化を行って、ダウンロード用鍵情報 K— DMを生成する。次に、ダウンロード処理部 3 5 3— 5は、ダウンロード用鍵情報 K— DMを平文としてアクセス原鍵情報 KSを用いて暗号化を行って、ダウンロード用鍵情報 K— D Sを生成する。次に、ダウンロード処理部 3 5 3— 5は、ダウンロード用鍵情報 K— D Sを用いてダウンロード用署名情報を生成し、これを SAMチップ 3 0 8に送信する。本実施形態では、認証用ュニット 3 1 7— 1 , 3 1 7— 4, 3 1 7— 5は、記憶部 3 5 0— 1 , 3 5 0— 4, 3 5 0—5内にセキュアな状態で情報を記憶しており、当該ュニ 'ン卜が外的な要因で破壊されたり、こじ開けられた場合には、そのことを検出部によって検出して、記憶部 3 5 0— 1 , 3 5 0— 4, 3 5 0— 5 の記憶情報を消去する。 SAMユニット 3 0 9 〔外部メモリ 3 0 7〕図 5 7は、外部メモリ 3 0 7の記憶領域を説明するための図である。図 5 7に示すように、外部メモリ 3 0 7の記憶領域には、事業者 3 1 5— 1のアプリケーションプログラム A P—1が記憶される A P記憶領域 3 2 0— 1、事業者 3 1 5— 2のアプリケーションプログラム A P— 2が記憶される A P記憶領域 3 2 0— 2、事業者 3 1 5— 3のアプリケーションプログラム A P— 3が記憶される A P記憶領域 3 2 0— 3、並びに SAMチップ 3 0 8の管理者が使用する A P管理用記憶領域 3 2 1がある。 A P記憶領域 3 2 0 _ 1に記憶されているアプリケーションプログラム A P— 1は、複数のプログラムモジュールによつて構成されている。 A P記憶領域 3 2 0—1へのアクセスは、フアイァウォール FW— 1によって制限されている。 A P記憶領域 3 2 0— 2に記憶されているアプリケ一ションプログラム A P— 2は、複数のプログラムモジユールによつて構成されている。 A P記憶領域 3 2 0— 2へのアクセスは、フアイァウォール FW— 2によって制限されている。 A P記憶領域 3 2 0— 3に記憶されているアプリケーションプログラム A P 3は、複数のプ αグラムモジュールによって構成されている。 ΑΡ記憶領域 3 2 0— 3へのアクセスは、フアイァウォール FW— 3によって制限されている。本実施形態では、上記プログラムモジュールは、例えば、 SAMユニット 3 0 9の外部から外部メモリ 3 0 7にダウンロードされる最小単位である。各アプリケーションプ πグラムを構成するプログラムモジュールの数は、対応する事業者が任意に決定できる。また、外部メモリ 3 0 7に記憶されたアプリケ一ションプログラム AP— 1 , AP_2, AP— 3は、スクランブルされており、 SAMチップ 3 0 8に読み込まれたときに、デスクランブルされる。また、アプリケーションプログラム A P— 1 , A P— 2 , A P— 3は、例えば、それぞれ図 4 8に示すパーソナルコンピュータ 3 1 6— 1 , 3 1 6— 2 , 3 1 6— 3を用いて、事業者 3 1 5— 1 , 3 1 5— 2 , 3 1 5— 3によって作成され、 S AMチップ 3 0 8を介して外部メモリ 3 0 7にダウンロ一ドされる。 A P管理用記憶領域 3 2 1へのアクセスは、フアイァウォール FW— 4によつて制限されている。なお、ファイアウォール FW—1 , FW— 2 , FW— 3 , ¥—4は、図4 9 に示すファイアウォール FWに対応している。 AP管理用記憶領域 3 2 1には、 AP管理用データ 3 3 0が記憶されている。A P管理用データ 3 3 0には、例えば、 SAM_ I D、相互認証用鍵情報 K 2 (または相互認証用原鏈情報 Κ 1 ) 、ダウンロード用署名検証鍵情報 K„D V A , KD VM, KD V Sがある。ここで、ダウンロード用署名検証鍵情報 K— D V Aは、ダウンロード用鍵情報 K—D Aを用いて生成された署名情報の正当性を検証する鍵情報である。ダウンロード用署名検証鍵情報 K— DVMは、ダウンロ一ド用鍵情報 K— DM を用いて生成された署名情報の正当性を検証する鍵情報である。ダウンロード用署名検証鍵情報 K— D V Sは、ダウンロード用鍵情報 K— D S を用いて生成された署名情報の正当性を検証する鍵情報である。ダウンロード用署名検証鍵情報は、当該プログラムモジュールを S A Mチ 'ンプ 3 0 8を介して外部メモリ 3 0 7にダウンロードするときに行われる署名検証に用いられる鍵情報である。〔 SAMチップ 3 0 8〕図 5 8は、図 4 8に示す SAMチップ 3 0 8の機能プロ 'ンク図である。図 5 8に示すように、 SAMチップ 3 0 8は、 AS P S通信ィンタフエース部 3 6 0、外部メモリ通信ィンタフヱ一ス部 3 6 1、バススクランブル部 3 6 2、暗号 ·復号部 3 6 3、記憶部 3 6 4および C P U 3 6 5を有する。 S A Mチップ 3 0 8は、耐タンパ性のモジユールである。 AS P S通信ィンタフヱ一ス部 3 6 0は、図 4 8に示す AS Pサーバ装置 3 0 6との間のデータ入出力に用いられるィンタフエースである。外部メモリ通信ィンタフース部 3 6 1は、外部メモリ 3 0 7との間のデータ入出力に用いられるィンタフェースである。バススクランブル部 3 6 2は、外部メモリ通信ィンタフェース部 3 6 1を介してデータを外部メモリ 3 0 7との間で入出力する際に、出力するデータをスクランブルし、入力したデータをデスクランブルする。暗号 ·復号部 3 6 3は、データの暗号化、並びに暗号化されたデータの復号を行つ。記憶部 3 6 4は、 C P U 3 6 5の処理に用いられるデータを記憶する。 C P U 3 6 5は、所定のプログラム（本発明のプログラム）を基に、 SAMチップ 3 0 8力行うアプリケーションプログラムの実行を舍む様々な処理を、タスクなどの形態で処理を行う。 C P U 3 6 5は、例えば、ィンターネット 3 1 0を介したプログラムモジユールのダウンロード処理を行うダウンロード用タスク 3 6 5 aを実行する。以下、 C P U 3 6 5のダウンロード用タスク 3 6 5 aによるプログラムモジュ —ルのダウンロード動作について説明する。図 5 9は、当該ダウンロード動作を説明するためのフロ一チヤ一トである。以下の実施形態では、事業者 3 1 5— AP 1力、図 4 9および図 5 7に示すァプリケーションプ πグラム AP_ 1のプログラムモジュールをダウンロ一ドする場合の動作を例に挙げて説明する。ステップ S T 3 0 1 ：図 48に示すパーソナルコンピュータ 3 1 6—1力、認証用ュニット 3 1 7— 1、インタ一ネット 3 1 0、 AS Pサーバ装置 3 0 6および I CE 3 1 8を介して、アプリケ一ションプログラム AP— 1を構成するダウンロ一ドを行おうとするプログラムモジュールのモジュール名を指定したダウンロード要求を S AMチップ 3 0 8に送信する。ステップ ST 30 2 : 認証用ュニ 'ント 3 1 7— 1の処理部 3 5 1— 1の相互認証部 3 52— 1力 ^ 図 5 1に示すように、 SAM— I Dを平'文として相互認証用原鍵情報 K 1を用いて暗号化を行って相互認証用鍵情報 K 2を生成する。ステップ ST 3 0 3 ：認証用ュニット 3 1 7— 1の処理部 3 5 1— 1の相互認証部 3 52— 1力 S AMチップ 3 0 8の C P U 3 6 5のダウンロード用タスク 3 6 5 aとの間で、ステツプ S T 3 0 2で生成した相互認証用鍵情報 K 2を用いて相互認証を行う。ステップ ST 3 0 4 ：ステップ ST 3 0 3の相互認証においてお互いの正当性が確認されると、ステップ ST 30 5の処理に進む、そうでない場合には処理を終了する。ステップ ST 3 0 5 ：図 5 0に示す認証用ュニット 3 1 7— 1の処理部 3 5 1— 1のダウンロード処理部 3 5 3 _1力図 5 2に示すように、 SAM— I Dを平文としてアクセス原鍵情報 K Aを用いて暗号化を行って、ダウンロード用鍵情報 K—D Aを生成するステップ S T 30 6 ：ダウンロード処理部 3 5 3— 1力、ステップ S T 3 0 5で生成したダウンロ一ド用鍵情報 K—D Aを用いてダウンロード用署名情報を生成する。ステップ ST 3 0 7 ：ダウン口一ド処理部 3 5 3— 1力ステップ S T 3 0 6で生成したダウンロード用署名情報を SAMチップ 3 0 8に送信する。ステップ S T 3 0 8 ：図 5 8に示す SAMチップ 3 0 8の C P U 3 6 5のダウンロ一ド用タスク 3 6 5 a力図 5 7に示すダウンロード用署名検証鍵情報 K_D V Aを用いて、ステップ ST 3 0 7で受信したダウン α—ド用署名情報の正当性を判断する。このとき、ダウンロード用タスク 3 6 5 aは、ステップ S T 3 0 1で受信したモジュール名に基づいて、ダウンロード要求が A P層について行われたと判断し、ダウン口一ド用署名検証鍵情報 K— DV Aを特定する。ステップ S T 3 0 9 ：ステップ ST 3 0 8においてダウンロード用署名情報が正当であると判断されると、ステップ S T 3 1 0の処理に進む、そうでない場合には処理を終了する。ステップ S T 3 1 0 ：図 5 8に示す SAMチップ 3 0 8の C P U 3 6 5のダウンロード用タスク 3 6 5 a力、ステップ S T 3 0 1で指定されたモジユール名に対応する外部メモリ 3 0 7内のアドレスをモジュール管理用データ 3 3 0を参照して特定し、当該特定した外部メモリ 3 0 7上のァドレスに、パーソナルコンピュータ 3 1 6— 1から受信したプログラムモジュールをダウンロードする。なお、ソフトゥエア開発者 3 1 5—M I D力 ^ 図 4 9に示す上位ハンドラ層および下位ハンドラ層のプログラムモジュールを外部メモリ 3 0 7にダウンロードする場合には、ステップ S T 3 0 5において図 5 4を用いて説明した手順でダウンロード用鍵情報 K— DMが生成され、これを用いてステップ ST 3 0 6でダウンロード用署名情報が生成される。また、ステップ S T 3 0 8で、 SAMチップ 3 0 8内で、図 5 7に示すダウンロード用署名検証鍵情報 K— D VMを用いて、ダウン α—ド用署名情報の検証が行われる。また、ソフトゥユア開発者 3 1 5— S UP力図 4 9に示す 0 S層のプログラムモジュールを外部メモリ 3 0 7にダウンロードする場合には、ステツプ S T 3 0 5において図 5 6を用いて説明した手順でダウンロード用鍵情報 K— D Sが生成され、これを用いてステップ S T 3 0 6でダウンロード用署名情報が生成される。また、ステップ ST 3 0 8で、 SAMチップ 3 0 8内で、図 57に示すダウンロード用署名検証鍵情報 K— D V Sを用いて、ダウン —ド用署名情報の検証力亍われる。なお、ソフトウエア開発者 3 1 5— M I D, 3 1 5— S UPは、アクセス原鍵情報 K Aを用いて、 A P層のプログラムモジュールを外部メモリ 30 7にダウンロードできる。また、ソフトウエア開発者 3 1 5— S UPは、アクセス原鍵情報 KA, KMを用いて上位ハンドラ層および下位ハンドラ層のプログラムモジュールを外部メモリ 3 0 7にダウンロ一ドできる。以下、図 4 8に示す通信システム 3 0 1による I Cカード 3 0 3を用いた取り引き処理について説明する。図 6 0は、図 4 8に示す通信システム 3 0 1の全体動作を説明するための図である。ステップ S T 3 3 1 ：事業者 3 1 5_1〜3 1 5— 3あるいはこれら事業者の依頼を受けた者が、当該事業者が I Cカード 3 0 3を用いて行う取り引きについての処理を行うためのアプリケーションプログラム A P_ 1 , AP— 2, A P— 3を、図 4 8に示すパ —ソナルコンピュータ 3 1 6_ 1 , 3 1 6— 2, 3 1 6— 3上で作成する。このとき図 5 9を用いて説明したダウンロード処理が行われる。ステップ S T33 2 ：アプリケーションプログラム AP— 1 , AP— 2, AP— 3を、認証用ュニット 3 1 7_1 , 3 1 7— 2, 3 1 7— 3を介して、パーソナルコンピュータ 3 1 6— 1 , 3 1 6— 2, 3 1 6_3から SAMチップ 3 08にダウンロードする。このとき、図 5 6を用いて説明した処理が行われる。ステップ ST 3 3 3 ：ユーザに I Cカード 3 0 3が発行される。 I Cカード 3 0 3には、ユーザが契約を行った事業者との取り引きに用いられる鍵情報が記憶されている。なお、ユーザと事業者との間の契約は、 I Cカード 3 0 3の発行後に、ィンタ一ネット 3 1 0などを介して行ってもよい。ステップ S T 3 3 4 : 例えば、ュ一ザがパーソナルコンピュータ 3 0 5を用いてィンターネツト 3 1 0を介してサーバ装置 3 0 2にアクセスを行い、商品を購入しょうとした場合に、サーバ装置 3 0 2がィンターネット 3 1 ◦を介して AS Pサーバ装置 3 0 6に処理要求を出す。 A S Pサーバ装置 3 0 6は、サーバ装置 3 0 2から処理要求を受けると、インターネット 3 1 0を介してパーソナルコンピュータ 3 0 5にアクセスを行う。そして、カードリーダ · ライタ 3 0 4が出した I Cカード 3 03についての処理要求が、パーソナルコンピュータ 3 0 5、ィンターネット 3 1 0および AS Pサ一バ装置 3 0 6を介して SAMチップ 3 0 8に送信される。ステップ S T 3 3 5 : SAMチップ 3 0 8が、ステップ ST 3 3 4で受信した処理要求に応じて、決済処理手順タスクによってアプリケーションプログラムを選択し、当該選択されたアプリケ一ションプログラムを実行する。ステップ ST 3 3 6 ： SAMチップ 3 0 8は、アプリケ一ションプログラムの実行結果を AS Pサーバ装置 3 0 6に出力する。以上説明したように、通信システム 3 0 1によれば、認証用ュニット 3 1 7— 1 , 3 1 7— 2, 3 1 7— 3がアクセス原鍵情報 KAを保持し、認証用ユニット 3 1 7— 4がアクセス原鍵情報 KMを保持し、認証用ュニット 3 1 7— 5がァクセス原鍵情報 K Sを保持し、上述したように外部メモリ 3 0 7へのプ αグラムモジュールのダウンロード処理を行うことで、図 4 9に示すソフトウヱァ階層に応じて与えた権限に応じたプログラムモジュールのダウンロードが可能になる。そのため、権限の無い者によって、 SAMチップ 3 0 8で実行されるプログラムモジュールが不正に交換されたり、改竄されることを防止できる。また、通信システム 3 0 1によれば、前述したように、認証用ュニット 3 1 7 — 1 , 3 1 7— 4 , 3 1 7— 5は、記憶部 3 5 0— 1 , 3 5 0— 4, 3 5 0— 5 内にセキュアな状態で情報を記憶しており、当該ュニッ卜が外的な要因で破壌されたり、こじ開けられた場合には、そのことを検出部によって検出して、記憶部 3 5 0_ 1 , 3 5 0 _ 4 , 3 5 0 _5の記憶情報を消去する。そのため、 S AM チップ 3 0 8へのダウンロードに用いられる鍵情報が不正に使用されることを回避できる。また、通信システム 3 0 1によれば、 S A Mチップ 3 0 8が複数のァプリケーションプ口グラムを動作させる場合に、アプリケーションプログラム間でのデータ授受やデータ ' コードの参照をファイアウォール FW— 1 , F W_ 2 ; FW— 3によつて制限することから、各アプリケーションプログラムの処理が、他のァプリケーシヨンプログラムによって不正干渉、改竄されることを防止できる。また、各アプリケーションプログラムの秘匿性を高めることができる。また、通信システム 3 0 1によれば、各アプリケ一ションプログラムを複数のプログラムモジユールで構成することで、外部メモリ 3 0 7に対してプログラムモジュール単位でダウンロードを行うことができる。また、通信システム 3 0 1.によれば、秘匿性の高い I Cカード 3 0 3に対しての操作に用いられる鍵情報を、通常行われるスクランブルに加えて、暗号化して外部メモリ 3 0 7に格納することで、当該鍵情報のセキュリティレベルを向上できる。また、インタ一ネット 3.0 1によれば、アプリケーションプログラムは、バススクランブル機能によりコードアクセス時に暗号化 .復号化を実行しているため、 SAMチップ 3 0 8の処理停止中に、外部メモリ 3 0 7に記憶されたアプリケーションプログラムが不正に解折等されることを防止できる。図 6 1は、図 5 8に示す SAMチップ 3 0 8の機能プロ 'ンクをより具体的にした機能ブ αック図である。図 6 1に示すように、 SAMチップ 3 0 8は、内部バス 3 9 0を介して、 AS P S通信ィンタフユース部 3 6 0、外部メモリ通信ィンタフヱース部 3 6 1、バススクランブル部 3 6 2、暗号 *復号部 3 6 5、記憶部 3 6 4および C P U 3 6 6が接続されている。図 6 1に示す S AMチップ 3 0 8では、例えば図 6 2に示すように、内部バス 3 9 0に接続されたカード I /F部 3 9 1を、 S AMチップ 3 0 8の外部の R F 送受信部 3 9 2に接続し、 R F送受信部 3 9 2のアンテナ 3 9 2 aを介して、 I Cカード 3 0 3との間で非接触方式でデータを送受信してもよい。本発明は上述した実施形態には限定されない。例えば、上述した実施形態では、パーソナルコンピュータ 3 1 6— 1〜3 1 6 _5から SAMチップ 3 0 8を介して外部メモリ 3 0 7にプグラムモジュールをダウンロードする場合を例示したが、本発明は、パーソナルコンピュータ 3 1 6— 1〜3 1 6— 5から SAMチップ 3 0 8内の記憶部 3 6 4にプログラムモジユールをダウンロ一ドする場合にも、上述したダウンロード用タスク 3 6 5 aの機能を用いて同様に適用できる。また、上述した実施形態では、ィンターネット 3 1 0に対してパーソナルコンピュータ 3 1 6— 1〜3 1 6— 5側に認証用ュニット 3 1 7— 1〜3 1 7— 5を設けた場合を例示したが、図 6 3に示すように、認証用ュニット 3 1 7— 1〜 3 1 7— 5を SAMチップ 3 0 8内に設け、認証用ュニット 3 1 7— 1〜 3 1 7— 5をへのアクセスを対応するパーソナルコンピュータ 3 1 6— 1〜3 1 6— 5に対して許可するようにしてもよい。第 5実施形態本実施形態は、第 1 7および第 1 8の発明に対応する実施形態である。図 64は、本実施形態の通信システム 40 1の全体構成図である。図 64に示すように、通信システム 4 0 1は、サーバ装置 4 0 2、 I Cカード 4 0 3、カードリーダ · ライタ 4 0 4、パーソナルコンピュ一タ 405、 AS P (Application Service Provider)サ一ノヾ装 4 0 6ヽ SAM (Secure Applicatio n Module) ュニット 4 0 9、パーソナルコンピュータ 4 1 6—1 , 4 1 6— 2, 4 1 6— 3、並びに認証用ユニット 4 1 7— 1 , 4 1 7_2 , 4 1 7— 3を用いて、ィンタ一ネット 4 1 0を介して通信を行って I Cカード 4 0 3を用いた決済処理などの手続き処理を行う。 S AMュニット 4 0 9は、外部メモリ 4 07および S AMチツプ 4 0 8を有する。 S AMチップ 4 0 8は、図 6 5に示すようなソフトゥヱァ構成を有している。図 6 5に示すように、 S AMチップ 4 0 8は、下層から上層に向けて、 HW(H ardware)層、 O S層、下位ハンドラ層、上位ハンドラ層および A P層を順に有している。下位ハンドラ層には、ドライバ層が含まれる。ここで、 AP層には、図 6 4に示すクレジットカード会社などの事業者 4 1 5 — 1 , 4 1 5— 2, 4 1 5— 3による I Cカード 4 0 3を用いた手続きを規定したアプリケーションプログラム A P—1 , AP— 2, A P— 3がある。 AP層では、アプリケーションプログラム AP—1 , AP— 2, AP— 3相互間、並びに上位ハンドラ層との間にフアイァウォール FWが設けられている。 S AMチップ 4 0 8は、 S C S Iまたは E t h e r n e などを採用したバス 4 1 9を介して AS Pサーバ装置 4 0 6に接続される。 AS Pサーバ装置 4 0 6 は、ィンターネット 4 1 0を介して、ェンドュ一ザのパーソナルコンピュ一タ 4 0 5、事業者 4 1 5— 1 , 4 1 5— 2, 4 1 5— 3のパーソナルコンピュータ 4 1 6— 1 , 4 1 6— 2 , 4 1 6— 3を舍む複数の端末装置に接続される。パーソナルコンピュータ 4 0 5は、例えば、シリアルまたは U S Bを介して D u m b型のカードリーダ · ライタ 4 0 4に接続されている。カードリーダ ' ライタ 4 0 4力 I Cカード 4 0 3との間で物理レベルに相当する例えば無線通信を実現する。 I Cカード 4 0 3への操作コマンドおよび I Cカード 4 0 3からのリスポンスバケツトは、 SAMュニット 4 0 9側で生成および解読される。よって、その中間に介在するカードリーダ ' ライタ 4 0 4、パーソナルコンピュータ 4 0 5および AS Pサーバ装置 4 0 6は、コマンドゃリスポンス内容をデータペイロード部分に格納して中継する役割を果たすのみで、 I Cカード 4 0 3内のデータの暗号化ゃ復号および認証などの実操作には関与しない。事業者 4 1 5— 1 , 4 1 5— 2, 4 1 5— 3は、パーソナルコンピュータ 4 1 6_ 1 , 4 1.6— 2 , 4 1 6— 3を用いてアプリケーションプログラム A P— 1 , AP— 2 , A P— 3を作成し、それぞれ認証用ュニット 4 1 7— 1 , 4 1 7— 2 , 4 1 7— 3を介して、当該作成したアプリケーションプログラムを SAMチップ 4 0 8を介して外部メモリ 4 0 7内の予め割り当てられた記憶領域にダウン ct-ドする。このとき、事業者 4 1 5— 1 , 4 1 5— 2, 4 1 5— 3は相互に無関係の者であるため、アプリケーションプログラム A P— 1 , AP— 2 , A P— 3をダウンロードできる外部メモリ 4 0 7内の記憶領域は予め決められており、当該記憶額域へのダウンロードを行う権限を有するか否かが SAMチップ 4 0 8によって検証される。また、アプリケーションプログラム AP— 1 , AP— 2, AP— 3相互間では、ファイアウォール FWによって、データの授受および参照が制限されている。認証用ユニット 4 1 7— 1 , 4 1 7— 2 , 4 1 7— 3は、後述するように、ァプリケ一シヨンプ αグラム AP— 1 > ΑΡ— 2, A Ρ— 3を S AMチップ 4 0 8 にダウンロードする際に、 SAMチ 'ンプ 4 0 8との間で相互認証を行い、ダウンロード用署名検証鍵情報の作成などを行う。以下、図 6 4に示す S AMュニット 4 0 9について詳細に説明する。外部メモリ 4 0 7 図 6 6は、外部メモリ 4 0 7の記憶領域を説明するための図である。図 6 6に示すように、外部メモリ 4 0 7の記憶額域には、事業者 4 1 5— 1のアプリケ一ションプグラム A P—1が記憶される A P記憶領域 4 2 0— 1、事業者 4 1 5— 2のアプリケ一ションプログラム AP— 2が記憶される AP記憶領域 4 2 0— 2、事業者 4 1 5— 3のアプリケーションプログラム AP_3が記憶される AP記憶領域 4 2 0— 3、並びに SAMチップ 4 0 8の管理者が使用する A P管理用記憶領域 4 2 1がある。 A P記憶領域 4 2 0— 1に記憶されているアプリケーションプログラム A P— 1は、複数のプログラムモジュールによつて構成されている。 A P記憶領域 4 2 0—1へのアクセスは、フアイァウォール FW— 1によって制限されている。 A P記憶領域 4 2 0— 2に記憶されているアプリケーションプログラム A P— 2は、複数のプログラムモジユールによつて構成されている。 A P記憶領域 4 2 0— 2へのアクセスは、ファイアウォール FW— 2によって制限されている。 A P記憶領域 4 2 0— 3に記憶されているアプリケーションプログラム A P— 3は、複数のプログラムモジュールによって構成されている。 A P記憶領域 4 2 0— 3へのアクセスは、ファィァウォール FW— 3によって制限されている。本実施形態では、上記プログラムモジュールは、例えば、 SAMユニット 4 0 9の外部から外部メモリ 4 0 7にダウン π—ドされる最小単位である。各アプリケーションプログラムを構成するプログラムモジュールの数は、対応する事業者が任意に決定できる。アプリケーションプログラム AP_1 , AP一 2, AP— 3は、例えば、それぞれ図 6 4に示すパーソナルコンピュータ 4 1 6— 1 , 4 1 6— 2, 4 1 6— 3 を用いて、事業者 4 1 5— 1 , 4 1 5— 2, 4 1 5— 3によって作成され、 SA Mチップ 4 0 8を介して外部メモリ 4 0 7にダウンロードされる。 AP管理用記憶領域 4 2 1 aへのアクセスは、ファィァウォール FW— 4によつて、 S AMチップ 4 0 8の管理者にのみ許可される。なお、ファイアウォール FW— 1 , FW一 2, FW— 3 , F W— 4は、図 6 5 に示すファイアウォール FWに対応している。 AP管理用記憶領域 4 2 1 aには、図 6 6に示すように、 AP管理用データ 4 2 1が記憶されている。 . ここで、 A P管理用データ 4 2 1は、 SAMチップ 4 0 8力く、アプリケーションプログラム AP— 1 , AP_2 , AP— 3の実行などを管理するために用いられる。本実施形態では、外部メモリ 4 0 7に記憶されたアプリケーションプログラム AP— 1 , AP— 2 , A P— 3および A P管理用データ 4 2 1は、後述するように、 SAMチップ 4 0 8内のバススクランブル部 4 6 1によってスクランブル鍵 Kを用いてスクランブルされており、 S AMチ 'ンプ 4 0 8に読み込まれたときにスクランブル鍵 Kを用いてデスクランブルされる。 SAMチップ 4 0 8 図 6 7は、図 6 4に示す SAMチ'ンプ 4 0 8の機能プロック図である。図 6 7に示すように、 SAMチップ 4 0 8は、 AS P S通信ィンタフエ一ス部 4 6 0、バススクランブル部 4 6 1、署名処理部 4 6 2、認証処理部 4 6 3、暗号 ·復号部 4 6 4、記憶部 4 6 5、 C P U 4 6 6を有する。 SAMチップ 4 0 8は、耐タンパ性のモジュールである。ここで、 C P U 4 6 6が本発明のデータ処理回路に対応し、バススクランブル部 4 6 1が本発明のデータ入出力回路に対応している。また、 SAMチップ 4 0 8が本発明の半導体画路に対応し、外部メモリ 4 0 7 が本発明の半導体記憶回路に対応している。 A S P S通信ィンタフース部 4 6 0は、図 6 4に示す A S Pサーバ装置 4 0 6との間のデータ入出力に用いられるインタフェースである。バススクランブル部 4 6 1は、外部メモリ 4 0 7に書き込むデータをスクランブルし、外部メモリ 4 0 7から読み出したデータをデスクランブルする。すなわち、外部メモリ 4 0 7には、スクランブルされた状態でデータが記憶される。バススクランブル部 4 6 1 の処理について後に詳細に説明する。署名処理部 4 6 2は、後述するようにィンタ一ネット 4 1 0を介してアプリケーションプログラムを外部メモリ 4 0 7にダウン π—ドするとき、並びにアプリケーションプログラムを実行するときに署名作成および署名検証を行う。認証処理部 4 6 3は、後述するようにィンターネット 4 1 0を介してアプリケ—ションプログラムを外部メモリ 4 0 7にダウンロードするときなどに、相手先と相互認証を行う。暗号 ·復号部 4 6 4は、データの暗号化、並びに暗号化されたデータの復号を行つ。記憶部 4 6 5は、 C P U 4 6 6の処理に必要なデータを記憶する。 C P U 4 6 6は、バススクランブル部 4 6 1を介して外部メモリ 4 0 7にァクセスを行いながら、アプリケーションプログラム A P— 1 , A P— 2 , A P— 3 を実行し、 S A Mチップ 4 0 8のサービスに対応した様々な処理を行う。以下、バススクランブル部 4 6 1の処理について詳細に説明する。なお、本実施形態では、バススクランブル部 4 6 1を、外部メモリ 4 0 7へのアクセス時に使用する場合を例示する力く、バススクランブル部 4 6 1はその他の S A Mチップ 4 0 8が Iノ0バスなどを介して外部との間でデータ入出力を行う場合にも適用できる。バススクランブル部 4 6 1は、 C P U 4 6 6から入力したデータを、所定のスクランブル鍵 Kを用いて暗号化した後に、バス 4 1 9を介して外部メモリ 4 0 7 に書き込む。また、バススクランブル部 46 1は、バス 4 1 9を介して外部メモリ 4 0 7から読み出したデータを、スクランブル鍵 Kを用いて復号して C P U 4 6 6に出力する。〔ァドレス空間〕バススクランブル部 4 6 1で使用される暗号アルゴリズムの暗号ブロック長を N cとし、バス 4 1 9のデータバス幅を N bとする。以下の例では、 N cがN b の整数倍、すなわち、 n ( = N c/N b ) が整数の場合を考える。なお、 C P U 4 6 6のァドレス空間（SAMチップ 4 0 8内でのァドレス空間 ) と、バススクランブル部 46 1が外部メモリ 40 7にアクセスを行うときに用いるァドレス空間（以下、外部メモリァドレス空間とも記す）とは、パリティの付加やアドレスのスクランブルにより異なる。そのため、バススクランブル部 4 6 1は、図 68に示すように、 C P U 4 6 6 から入力したァドレス C P U— ADR (本発明の第 1のァドレス）を、予め規定した写像 f (アドレス変換アルゴリズム）を用いて、外部メモリアドレス空間のアドレス MEM— ADR (本発明の第 2のアドレス）に変換する。バススクランブル部 4 6 1は、ァドレス MEM— A D Rを用いて外部メモリ 4 07にアクセスを行う。この写像 f は、例えば、図 69に示すように、ァドレス C P U— AD Rであるアドレス a l力「 a l m o d N c / N b = 0」である場合にのみ定義され、それ以外のァドレス a 2は、外部メモリ 407には f ( a 2— ( a 2 m o d N c / N b ))でアクセスされる。ここで、「 x m o d y」は、 xを yで割った余りである。すなわち、バススクランブル部 46 1は、暗号ブロック長 N cを単位として、外部メモリ 4 0 7に対してデータの読み書きを行う。ここで、 N C N b = nとし、 n以上の最も小さい整数を mとした場合に、バススクランブル部 4 6 1 は、バス 4 1 9を介した外部メモリ 4 0 7へのアクセスのトランザクシヨン（本発明のデータ入出力トランザクション）を、 m回のトランザクシヨンを 1単位として行う。〔バススクランブル部 4 6 1 の構成〕図 7 0は、バススクランブル部 4 6 1の機能ブロック図である。図 7 0に示すように、バススクランブル部 4 6 1は、暗号化部 4 3 1、復号部 4 3 2、ァドレス管理部 4 3 3、スクランブル鏈管理部 4 3 4、パリティ処理部 4 3 5、パイプライン処理制御部 4 3 6、作業用メモリ 4 3 7および制御部 4 3 8を有する。暗号化部 4 3 1は、 C P U 4 6 6から入力したデータを、所定のスクランブル鍵 Kを用いて暗号化する。復号部 4 3 2は、外部メモリ 4 0 7から読み出したデータを、所定のスクランブル鍵 Kを用いて復号する。ァドレス管理部 4 3 3は、 C P U 4 6 6から入力したアドレス C P U„ A D R を、前述したようにァドレス M E M— A D Rに変換する。スクランブル鍵管理部 4 3 4は、暗号化部 4 3 1および復号部 4 3 2で用いるスクランブル鍵 Kを管理し、スクランブル鍵 Kを適宜切り換える。パリティ処理部 4 3 5は、外部メモリ 4 0 7に書き込むデータにパリティデータを付加すると共に、外部メモリ 4 0 7から読み出したデータに付加されたパリティデータを検証する。パイプライン処理制御部 4 3 6は、バススクランブル部 4 6 1の処理を複数のステージに分割し、各ステージを単位としてパイプライン処理を行うように制御する。作業用メモリ 4 3 7は、バススクランブル部 4 6 1の処理に用いられる。制御部 4 3 8は、バススクランブル部 4 6 1 の処理を統括的に制御する。〔外部メモリ 4 0 7への書き込み動作〕図 7 1は、図 6 7に示す C P U 4 6 6が外部メモリ 4 0 7にデータを書き込む場合のバススクランブル部 4 6 1の動作を説明するための図である。図 7 2は、図 7 1に示す動作を説明するためのフローチヤ一トである。ステップ S T 4 0 1 ： C P U 4 6 6からバススクランブル部 4 6 1に、書き込むデータ D A T Aである「 d 3 2」、並びにァドレス C P U— AD Rである「 a 3」が出力される。当該データ「 d 3 2」は、バススクランブル部 4 6 1の図 7 0に示す作業用メモリ 4 3 7に書き込まれる。ステップ S T 4 0 2 ： N c >N bである場合は、図 7 0に示すァドレス管理部 4 3 3において、ァドレス「 a 3」を用いて写像 f ( a 3— ( a 3 m o d N c / N b ) ) すなわち写像 f ( a 3 - 1 ) が求められ、当該写像 f ( a 3— 1 ) 力外部メモリアドレス空間のァドレス MEM_AD Rとされる。ステップ S T 4 0 3 : 図 7 0に示す制御部 4 3 8によって、ステップ S T 4 0 2で得られたアドレス MEM— AD Rである f ( a 3— 1 ) を用いて、外部メモリ 4 0 7から暗号化されたデータブロック e ( {X I , X 2 } ) が読み出され、これが作業用メモリ 4 3 7に書き込まれる。ステップ S T 4 0 4 ：図 7 0に示す復号部 4 3 2によって、作業用メモリ 4 3 7から読み出したデータブロック e ( {X I, X 2 } ) が復号されてデータブロック {X I , X 2 } が生成される。そして、ノヽ。リティ処理部 4 3 5において、データブロック e ( {X 1 , X 2 } ) に付加されているパリティデータを用いてパリティ処理が行われた後に、デ一タブロック {X I , X 2 } が再び作業用メモリ 4 3 7に書き込まれるステップ S T 4 0 5 ：制御部 438によって、作業用メモリ 4 3 7から読み出した既に復号されたデ —タブロック {X I , X 2 } 内のァドレス「 a 3」に対応する「X 2」力、'、書き込みデータである「 d 3 2」に書き換えられ、データプロック {X I , d 3 2 } が生成され、これが作業用メモリ 4 37に書き込まれる。ステップ ST 4 0 6 : パリティ処理部 43 5によって、データブ αック {X I , d 3 2 } のパリティデータが生成される。ステップ ST 4 0 7 : 暗号化部 4 3 1によって、作業用メモリ 4 3 7から読み出したデータプロック. {X I , d 3 2 } 力スクランブル鍵 Kを用いて暗号化される。ステップ ST 4 08 : 制御部 4 38によって、外部メモリ 4 0 7内のアドレス ME M_ A D Rである f ( a 3 - 1 ) にデータプロック {X 1 , d 3 2 } が書き込まれ、さらにステツプ ST 4 0 6で生成したパリティデータが外部メモリ 4 0 7の所定の領域に書き込まれる。なお、制御部 4 38は、ステップ S T 4 0 7においてデ一タブロックを暗号化する前に、次に C P U 4 6 6から入力されるァドレス力「 a 3— l」であるか否かを判断し、「 a 3— l」であれば、データプロックの X 1を、書き込みデータで書き換えた後に暗号化を行い、外部メモリ 4 0 7に書き込む。これにより、連続したァドレスに書き込みが行われる場合のステツプ数を少なくできる。また、制御部 4 38は、例えば、データ長が N bのデータを外部メモリ 4 0 7 に書き込む場合でも、当該データを（N c— N b ) のデータでパデイングしてデータ長 N cのデータにしてから暗号化を行い、外部メモリ 4 0 7に書き込む。すなわち、データ長 N bのデータに対しても外部メモリ 4 0 7内のデータ長 N cの記憶領域を割り当てる。〔外部メモリ 4 0 7からの読み出し〕図 7 3は、外部メモリ 4 0 7からバススクランブル部 4 6 1への読み出し動作を説明するための図である。図 7 4は、当該読み出し勛作を説明するためのフローチヤ一トである。ステップ S T 4 1 1 ： C P U 4 6 6からバススクランブル部 4 6 1に、読み出しを行うァドレス C P U_AD Rである「 a 3」が出力される。ステップ S T 4 1 2 ： . N c >N bである場合は、図 7 0に示すァドレス管理部 4 3 3において、ァドレス「 a 3」を用いて写像 i ( a 3— ( a 3 m o d N c / N b ) ) すなわち写像 f ( a 3 - 1 ) が求められ、当該写像 f ( a 3— 1 ) 力外部メモリアドレス空間のァドレス MEM_AD Rとされる。ステップ S T 4 1 3 ：図 6 7に示す C P U 4 6 6によって、ステップ ST 4 0 2で得られたァドレス MEM— AD Rである f ( a 3 - 1 ) を用いて、外部メモリ 4 0 7から暗号化（スクランブル）されたデータブロック e ( { d 3 1 , d 3 2 } ) が読み出され、これが作業用メモリ 4 3 7に書き込まれる。ステップ S T 4 1 4 ：図 7 0に示す復号部 4 3 2によって、作業用メモリ 4 3 7から読み出したデ一タブロック e ( { d 3 1 , d 3 2 } ) が復号されて { d 3 1 , d 3 2 } が生成される。そして、パリティ処理部 4 3 5において、デ一タブ σック e ( { d 3 1 , d 3 2 } ) に付加されているパリティデータを用いてパリティ処理が行われた後に、デ一タブ口ック { d 3 1 , d 3 2 } が再び作業用メモリ 4 3 7に書き込まれる。ステップ S T 4 1 5 ：制御部 4 3 8によって、作業用メモリ 4 3 7から読み出した既に復号されたデ一タブロック { d 3 1 , d 3 2 } 内の、 C P U— A D R 「 a 3」に対応するデ一タ「 d 3 2」が取り出され、これが C P U 4 6 6に出力される。すなわち、データブロック内の「（ a 3 m o d N c / N b ) + 1」番目のデータが取り出されて C P U 4 6 6に出力される。〔スクランブル鍵の管理〕図 7 0に示すスクランブル鏈管理部 4 3 4は、以下に示すようにして、暗号化部 4 3 1および復号部 4 3 2で用いるスクランブル鍵を管理する。スクランブル鍵管理部 4 3 4は、外部メモリ 4 0 7上のァドレス毎に異なるものを使用することも可能である。そのためには複数のスクランブル鍵を保持しておく必要があるが、その方法の一例を以下に示す。スクランブル鍵管理部 4 3 4は、図 7 5に示すように、複数のスクランブル鍵 K l , K 2 , K 3を記憶しており、 C P U 4 6 6からのアドレスによって、使用する鍵を切り替えて暗号化部 4 3 1および復号部 4 3 2に出力する。具体的には、アドレス「 a 1」にアクセスする場合にはスクランブル鍵 K 1を用い、アドレス「 a 2」にアクセスする場合にはスクランブル鍵 K 2を用い、ァドレス「 a 3」にアクセスする場合にはスクランブル鍵 K 3を用いる。また、図 7 6に示すように、スクランブル鍵管理部 4 3 4内の演算回路 4 3 4 aによって、種となる鍵 K s と、 C P U 4 6 6から入力したァドレスとを用いて演算を行って、その演算結果をスクランブル鍵 Kとして暗号化部 4 3 1および復号部 4 3 2に出力する。当該演算としては、パディングしたァドレス番地を K sで暗号化または復号化したり、 a 1 と K s との排他的論理和（X O R ) を求めるなどの演算がある。また、バススクランブル部 4 6 1は、バス上の所定の場所にスクランブル鍵を保持しておき、 C P U 4 6 6が発したァドレスに対応するスクランブル鍵を当該バスを介して入力するようにしてもよい。この場合に、スクランブル鍵を送信するためのデータバスを C P U—バススクランブラのバスと共有するために、メモリコントローラによる制御が必要になる。当該スクランブル鍵を保持する場所は、 SAMチップ 4 0 8の内外どちらでも構わないが、チップ外である場合はチップまでの経路の安全確保のために、運搬用鍵で暗号化しておき、バススクランプル部 4 6 1に到着した時点で復号する。バススクランブル部 4 6 1は、予め運搬用鍵をハードウヱァもしくはソフトウヱァの形で保持している。ところで、バススクランブル部 4 6 1は、 C P U 4 6 6から入力したァドレスごとにスクランブル鍵を変えていても、あるァドレスに対して常にアクセスを行うと、時間をかけることによって、そのアドレス領域のスクランブルが解かれる可能性が高まる。従って、スクランブル鍵は一定のものではなく、例えば、以下に示すような手法で可変にする。スクランブル鏈管理部 4 3 4は、例えば、 S A Mチップ 4 0 8などの電源投入時に乱数を発生させてスクランブル鍵を発生する。スクランブル鏈は、基本的にバススクランブラのみが知っていればいいので、鏈配送 ·同期等の問題は起こらない。また、スクランブル鍵管理部 4 3 4は、外部メモリ 4 0 7へのアクセスごとにスクランブル鍵を切り換えて使用する。この場合、既に外部メモリ 4 0 7にあるデータを暗号化した鍵と、現在保持している鍵が同一でなくてはならない。そのため、例えば、図 7 7および図 7 8に示すように、スクランブル鍵の更新力行われる。 ①：暗号化部 4 3 1が C P U 4 6 6からデータ「 d 3」を入力し、バススクランブル部 4 6 1が C P U 4 6 6からアドレス「 a 1」を入力する。。 ② ：バススクランブル部 4 6 1力く、外部メモリ 4 0 7のアドレス「 f ( a 1 ) 」にアクセスを行う。 ③：外部メモリ 4 0 7のアドレス「 f ( a 1 ) 」から復号部 4 3 2に、データ「 e ( { d 1 , d 2 } ) 」が読み出される。 ④：復号部 4 3 2がデータ「 e ( { d l , d 2 } ) 」を復号してデータ「 { d 1 , d 2 } 」を生成する。このとき、スクランブル鍵管理部 4 3 4は、スクランブル鍵 K 1を選択しており、復号部 4 3 2は、スクランブル鍵 K 1を用いて復号を行う。そして、データ「 d 3」によって書き換えが行われ、データ「 { d 3 , d 2 } 」が生成される。 ⑤：バススクランブル部 4 6 1は、スクランブル鍵を K 1から K 2に変更する。当該スクランブル鍵 K l , K 2は、タイマの値、アドレスに格納されていた値、乱数発生などの手法で生成される。 ⑥：暗号化部 4 3 1が、書き換えられたデータ「 { d 3 , d 2 } 」を、変更後のスクランブル K 2を用いて暗号化してデータ「 e ( { d 3 , d '2 } ) 」を生成する。 ⑦データ「 e ( { d 3 ( d 2 } ) 」力く、外部メモリ 4 0 7のアドレス「 f ( a 1 ) 」に書き込まれる。〔パリティ処理部 4 3 5によるパリティ処理〕パリティ処理部 4 3 5は、外部メモリ 4 0 7にデータを書き込むとき、暗号化前のデータのパリティデータをあらかじめ計算しておき、暗号化されたデータとともに当該パリティデータを外部メモリ 4 0 7に書き込む。これにより、外部メモリ 4 0 7上で何らかの物理的トラブルや、データの改竄などが生じた場合に、読み出し時にそのことを検出でき、よりセキュアなプログラムの実行が可能になる。また、パリティデータの付加により、平文の長さと暗号文の長さが同一であつても、 C P U 4 6 6のァドレス空間と外部メモリ 4 0 7のァドレス空間は、完全に一致することはない。例えば、アドレス「 a 1」にデータ「 d 1」を書き込む場合は、 f ( a 1 ) に N c分書き込むのと同時に、データ「 d 1」のパリティ「 P 1」（サイズ N p ) を外部メモリ 4 0 7のどこかに書き込む必要があるからである。パリティデータを外部メモリ 4 0 7内のいずれの記憶領域に記憶するかは例えば以下に示す場合がある。パリティデータを、それに対応する平文を暗号化したデータのすぐそばに置く。この場合、バススクランブル部 4 6 1力や、外部メモリ 4 0 7のアドレス「 f ( a 1 ) 」からデータ「 e ( d 1 ) 」を読み出した後に、続いてァドレス「 f ( a 1 ) + N cノ N b」からパリティデータ「 p 1」を読み出す。この場合には、バススクランブル部 4 6 1において、ァドレスの写像 f 以外には特別な計算を行う必要が無い。また、それ以外に、外部メモリ 4 0 7内にパリティデータの専用記憶領域を予め確保し、当該専用記憶領域にパリティデータ「P 1」を書き込む。この場合には、バススクランブル部 4 6 1は、ノ、 °リティ用ァドレス写像 f pに基づいて処理を行う必要があり、ノヽ "リティデータ「 P 1」は、外部メモリ 4 0 7上のァドレス「 ί P ( a 1 ) 」に書き込まれる。ノ、。リティ処理部 4 3 5において、パリティエラーが検出されたときは、 C P U 4 6 6の処理を停止させるなどして、不正なデータやプログラムの処理を防止する。なお、パリティ処理の内容は特に限定されない。〔パイプライン処理制御部 4 3 6によるパイプライン処理〕本実施形態では、例えば、パイプライン処理制御部 4 3 6の制御によって、例えば、バススクランブル部 4 6 1の処理を複数のステージに分割し、各ステージを単位としてパイプライン化することで、 C P U 4 6 6から見た外部メモリ 4 0 7へのアクセス時間を短縮できる。すなわち、ノヽ 'ィプライン化しない場合、 C P U 4 6 6から外部メモリ 4 0 7への 1回のメモリのアクセスに対して必ず 1暗号ブロックの処理に要する時間が少なくとも必要となる。例えば、 C P U 4 6 6が出したアドレス「 a l 」のデータの読み出し指示に対して、当該読み出し指示に応じてバススクランブル部 4 6 1が行う処理をパイプライン化すると、例えば、 C P U 4 6 6がプログラムコードなどでアドレス「 a 1 」から連続的に上位アドレスのデータを要求した場合に、バススクランブル部 4 6 1力く、アドレス「 f ( a 1 ) 」の次にアドレス「 f ( a 1 +N c / N b ) 」のデータを先読みしておけば、暗号処理および復号処理のオーバ一^、ッドを無くすことができる。例えば、メモリアクセスの時間は無視し、トリプル D E Sなどのように、各デ —タについて 3ラウンド（回）の暗号化が行われており、 1ラウンドの暗号化を復号するのに 1クロック必要であり、 N cノ N b = 1である場合に、 C P U 4 6 6がアドレス「 a 1」，「 a 1 + 1」 > 「 a 1 + 2」を指定して外部メモリ 4 0 7から連続してデータを読み出す指示を出した場合を考える。このとき、 3ラウンドの復号が必要になり、各データの復号に 3クロックを要する。パイプライン処理を行わないと、図 7 9 Aに示すように、 C P U 4 6 6が最初の読み出し指示を出してから、 3クロック後に、アドレス「 a l」を用いて外部メモリ 4 0 7から読み出されたデータ「 e 3 ( d 1 ) 」が 3回復号されてデータ「 d 1」となり C P U 4 6 6に入力される。その後、さらに 3クロ 'ンク後に、ァドレス「 a 1 + 1」を用いて外部メモリ 4 0 7から読み出されたデータ「 e 3 ( d 2 ) 」が 3回復号されてデータ「 d 2」となり C P U 4 6 6に入力される。その後、さらに 3クロック後に、アドレス「 a 1 + 2」を用いて外部メモリ 4 0 7 から読み出されたデータ「 e 3 ( d 3 ) 」が 3回復号されてデータ「 d 3」となり C P U 4 6 6に入力される。すなわち、 C P U 4 6 6が最初の読み出し指示を出してから、 9クロック後に、全てのデータ「 d 1」，「 d 2」，「 d 3」が C P U 4 6 6に入力される。これに対して、本実施形態では、パイプライン処理制御部 4 3 6によって、復号部 4 3 2の復号処理を、各ラウンドを 1段階として図 7 9 Bに示すように 3段階（ステージ）でパイプライン処理する。これにより、一方、 C P U 4 6 6力最初に読み出し指示を出してからァドレス「 a 1」に対応するデータが C P U 4 6 6に入力されるのには 3クロ 'ンクを要するが、その後、アドレス「 a 1 + 1」，「 a 1 + 2」に対応するデータが 1ク口 'ンク毎に順次 C P U 4 6 6に入力される。これにより、 C P U 4 6 6が最初に読み出し指示を出してから、 5クロック後に、全てのデータ「 d 1」 > 「 d 2」，「 d 3」が C P U 4 6 6に入力される。なお、 C P U 4 6 6力く、アドレス「 a 1」の次に、「 a 1」力、らは遠く離れたアドレス「 a 2」のデータを要求した場合は、パイプライン上のデータは破棄して、アドレス「 a 2」，「 3 2 + 1」 · · · のデータをパイプラインに詰めてい〔ァドレス管理部 4 3 3によるアドレススクランブル〕 SAMチップ 4 0 8が外部メモリ 4 0 7上の特定の連続したアドレス領域に何度も繰り返しアクセスする場合、それはサブルーチンか配列かといつたようにある程度予測が可能になる。配列などのデータであれば、そこを集中的に攻撃することによって攻撃者にとって有益な（運営側にとってクリティカルな）デ一タを得やすくなつてしまう。これを回避するために、本実施形態では、 C P U 4 6 6と S AMチップ 4 0 8 との間のアドレスバスをバススクランブル部 4 6 1を経由させ、アドレス管理部 4 3 3によって、ァドレスにもスクランブルをかけることで、外部メモリ 4 0 7 上の連続した領域へのアクセスを防ぐことが出来る。このスクランブルが前述の写像 f に相当する。アドレススクランブルを行わない場合、写像 ίはパリティデータのための領域確保のみの写像となる。例えば「V a ≡ [ C P Uアドレス空間] , f ( a ) = ( 1 + P ) a」となる。ここで pはパリティデータのァラインメントサイズである。以下、図 6 4に示す通信システム 4 0 1の全体動作について説明する。図 8 0は、図 6 4に示す通信システム 4 0 1の全体動作を説明するための図であ。ステップ S T 4 3 1 ：事業者 4 1 5_1〜4 1 5— 3あるいはこれら事業者の依頼を受けた者が、当該事業者が I Cカード 4 0 3を用いて行う取り引きについての処理を行うためのアプリケーションプログラム ΑΡ— 1 , ΑΡ— 2, 八？— 3を、図6 4に示すパ —ソナルコンピュータ 4 1 6— 1 , 4 1 6— 2, 4 1 6— 3上で作成する。また、 SAMチップ 4 0 8の管理者が、 A P管理用データ 4 2 1を生成し、スクランブルして外部メモリ 4 0 7に格納する。ステップ ST 4 3 2 ：アプリケーションプ πグラム AP—1 , AP— 2, AP— 3を、認証用ュニット 4 1 7— 1 , 4 1 7— 2 , 4 1 7— 3を介して、パーソナルコンピュータ 4 1 6— 1 , 4 1 6— 2 , 4 1 6— 3から S AMチップ 4 0 8にダウンロードする。ステップ ST 4 3 3 ：ユーザに I Cカード 4 0 3が発行される。 I Cカード 4 0 3の I Cには、ユーザが契約を行った事業者との取り引きに用いられる鍵情報が記憶されている。なお、ユーザと事業者との間の契約は、 I Cカード 4 0 3の発行後に、インタ一ネット 4 1 0などを介して行ってもよい。ステップ S T 4 3 4 ：例えば、ユーザがパーソナルコンピュータ 4 0 5を用いてィンタ一ネット 4 1 0を介してサーバ装置 4 0 2にアクセスを行い、商品を購入しょうとした場合に、サーバ装置 4 0 2がィンタ一ネ 'ント 4 1 0.を介して AS Pサーバ装置 4 0 6に処理要求を出す。 AS Pサーバ装置 4 0 6は、サーバ装置 4 0 2から処理要求を受けると、インターネット 4 1 0を介してパーソナルコンピュータ 4 0 5にアクセスを行う。そして、カードリーダ ' ライタ 4 0 4が出した I Cカード 4 0 3についての処理要求が、パーソナルコンピュータ 4 0 5、ィンタ一ネット 4 1 0および AS Pサ一バ装置 4 0 6を介して SAMチップ 4 0 8に送信される。ステップ ST 4 3 5 ： SAMチップ 4 0 8力ステップ S T 4 3 4で受信した処理要求に応じて、ァプリケーションプログラムを選択し、当該選択されたアプリケーションプロダラムを実行する。当該アプリケ一ションプ αグラムの実行において、 SAMチップ 4 0 8と外部メモリ 4 0 7との間の通信は、前述したバススクランブル部 4 6 1の処理に基づいて行われる。ステップ ST 4 3 6 ： SAMチップ 4 0 8は、アプリケーションプログラムの実行結果を AS Pサーバ装置 4 0 6に出力する。図 8 1は、図 6 7に示す S A Mチップ 4 0 8の機能ブロックをより具体的にした機能プロック図である。図 8 1に示すように、 SAMチップ 4 0 8は、内部バス 4 9 0を介して、力一ド Iノ F部 4 9 1、 AS P通信用インタフェース部 4 6 0、バススクランブル部 4 6 1、暗号 '復号部 4 6 5、記憶部 4 6 3および C P U 4 6 6が接続されている。図 6 7に示す署名処理部 4 6 2および認証処理部 4 6 3は、例えば、 C P U 4 6 6によってその一部の機能が実現される。図 8 1に示す S AMチップ 4 0 8では、例えば図 8 2に示すように、内部バス 4 9 0に接続されたカード I / F部 4 9 1を、 S A Mチップ 4 0 8の外部の R F 送受信部 4 9 2に接続し、 R F送受信部 4 9 2のアンテナ 4 9 2 aを介して、 I Cカード 2 0 3との間で非接触方式でデータを送受信してもよい。以上説明したように、通信システム 4 0 1によれば、 S A Mチップ 4 0 8内のバススクランブル部 4 6 1に前述した機能を持たせることで、以下に示す効果が得られる。すなわち、通信システム 4 0 1によれば、秘匿性のある例えば I Cカード 4 0 3を用いた処理に係わるデータを外部メモリ 4 0 7にセキュアな状態で記憶できる。 ' また、通信システム 4 0 1によれば、バススクランブル部 4 6 1の処理をパイプライン化することで、 S A 1V [チップ 4 0 8が外部メモリ 4 0 7に高速にァクセスできる。また、通信システム 4 0 1 によれば、バススクランブル部 4 6 1 にノ、"リティ機能を持たせることで、外部メモリ 4 0 7から読み出したデータの信頼性を高めることができる。第 6実施形態本実施形態は、第 1 9の発明に対応した実施形態である。〔本実施形態の関連技術〕先ず、本発明の関連技術となる I Cカードを用いた取り引き業務用のプロダラムを実行するコンピュータについて説明する。図 8 3は、本発明の閩連技術となる電子決済に用いられるコンピュータ 5 0 1 の機能プロック図である。図 8 3に示すようにコンピュータ 5 0 1は、 C P U 5 0 2、メモリ 5 0 3および通信回路 5 0 4を有する。 C P U 5 0 2、メモリ 5 0 3および通信回路 5 0 4は、 C P Uデータバス 5 0 6に接続されている。 C P U 5 0 2および通信回路 5 0 4は、 C P Uアドレスバス 5 0 7に接続されている。 C P U 5 0 2は、コンピュータ 5 0 1の勣作を統括的に制御し、メモリ 5 0 3 に記憶されたプログラムの命令に基づいて動作し、当該動作中にメモリ 5 0 3にァクセスを行う。通信画路 5 0 4は、 I Cカード 5 0 8との間で接触方式あるいは非接触方式で通信を行う。接触型では、 I Cカード 5 0 8と通信回路 5 0 4とが電気的な接点によって接続される。また、非接触型では、 I Cカード 5 0 8と通信回路 5 0 4 とが電波や光等を通信媒介として接続される。通信回路 5 0 4を介して I Cカード 5 0 8から受信したデータは、メモリ 5 0 3に記憶されたプログラムに従って C P U 5 0 2により演算処理される。また、 C P U 5 0 2による演算によって得られたデータ力通信回路 5 0 4を介して I Cカード 5 08に送信される。また、 C P U 5 0 2は、 I Cカード 5 0 8との間の通信によって生成した決済結果をメモリ 5 0 3に書き込む。図 8 4は、図 8 3に示す CP U 5 0 2のソフトウア構成を説明するための図である。図 8 4において、最下層は、ハードウア層であり、図 83に示す C P U 5 0 2のハードウヱァの構成要素である。ハードゥヱァ層の上には通信ドライバ層が位置する。通信ドライバ層には、 C P U 5 0 2に接続された通信回路 50 4を制御する通信ドライバ層が位置する。通信ドライバ層のプログラムは、通常、不揮発性メモリ内に記憶される。通信ドライバ層の上には、 C P U 502の動作の根幹となるプログラムを提供するォペレ一ティング · システム（O S) 層がある。 0 S層は、最上位のアプリケーシヨン（AP) 層に対して、下位層と比較してより上位概念のサービスを提供する。例えば、後述する閧数「 g e t c a r d t y p e () 」，「 r e a d c a r d d a t a () 」および「w r i t e c a r d d a t a () 」などはこの一例である。また、 O S層の上には、コンピュータ 5 0 1が実現する具体的な機能（サービス）を規定する AP層がある。 AP層には、例えば、アプリケーションプロダラム MA I N、 AP 1、 AP 2、 AP 3が存在する。本実施形態では、アプリケーションプログラムとして、 I Cカード 5 0 8を用いた決済などの取り引きを提供するものを例示して説明する。例えば、 0 S層および A P層では、 I Cカード 5 0 8の種別を知るための関数を「 g e t c a r d t y p e () 」で定義する。〇 S層および AP層では、本関数を呼び出すことによって I Cカード 5 0 8の種類を特定することができる。例えば、種別 A, B > Cの 3種の I Cカード 5 0 8が存在すると仮定し、各 I Cカード 5 0 8における上記関数の戻り値を図 8 5 のように定義する。例えば、種別 Bの I Cカード 5 08が使用されたとすると、関数「 g e t c a r d t y p e () 」を実行した結果の戻り値は「 2」になる。また、 03層ぉょび八？層では、 I Cカード 5 0 8の内部メモリからデータを読み出す関数として「 r e a d d a t a (* Γ Ρ ) 」を定義する。ここで、「* r ρ」は、 C言語におけるポインタの概念と同様であり、「*」は、それに続く変数がポインタ変数であることを示しており、「 r p」力、 I C カード 5 0 8の内部メモリ内の特定の場所を示している。「 * r p」と表記した場合には、 I Cカード 5 0 8のメモリ内の「 r p番地」の内容を示すことになる。いま仮に、当該内部メモリに図 8 6に示すようにデータが格納されていたとする。そして、「 r p = 1 0 2 H」であるとすると、閧数「r e a d d a t a (* r P ) 」の戻り値は、「 5 6 H」になり、「 1 0 2 H番地」のデータを読み出すことができる。また、 03層ぉょび？層では、 I Cカード 5 0 8の内部メモリの特定番地にデータを書き込む関数として「w r i t e d a t a (*wp, w d a t a ) 」を定義する。ここで、「* wp」は、 C言語におけるポインタの概念と同様、「 * 」は、続く変数がポインタ変数であることを示しており、「wp」が、 I Cカード 5 0 8の内部メモリの特定番地を示している。「* wp」と表記した場合には、 I Cカード 5 0 8の内部メモリの w p番地の内容を示すことになる。「w d a t a」は書き込みデータの入った変数である。いま仮に、 I Cカード 5 0 8のメモリに図 87に示すようにデータが格納されていたとする。ここで、「wp = l 0 2 H」、「w d a t a = 73 H」とし、関数「w r i t e d a t a ( * w p , w d a t a ) 」を実行すると、図 87のように、当該メモリの「 1 02 H番地」のデータが「 7 3 H」に書き換えられる。ところで、図 8 4に示すアプリケ一ションプログラム AP 1、 AP 2、 A P 3 は、それぞれ、異なる種別の I Cカード 5 0 8に関する取り引きの動作を規定している。その対応は図 8 8に示される。図 8 4において、アプリケーションプログラム MA I Nは.、コンピュータ 5 0 1の起動時に最初に実行される。アプリケーションプログラム MA I Nでは、前述した関数「 g e t c a r d t y p e () 」を使用して、利用されている I C力ード 5 0 8の種別を判定する。 C P U 5 0 2は、図 8 8に示される対応表に従い、前記判定された I Cカード 5 0 8の種別に応じて、対応するアプリケーションプログラムを選択して実行する。種別 A、種別 B、種別 Cのそれぞれの I Cカード 5 0 8を異なる事業者が取り扱う状況を想定すると、アプリケーションプログラム AP I、 AP 2. AP 3は、各事業者が作成する。また、 I Cカード 5 0 8の内部メモリの記憶領域は、ァプリケーシヨンプログラム AP 1 , AP 2 , AP 3で共用したり、各アプリケーションプログラムが予め自らに割り当てられた部分を使用する。上述したように、アプリケーションプログラム A P 1、 A P 2、 AP 3は各事業者が作成するが、プログラムに誤りがある場合や、悪意を持った事業者による不正なプログラムによって、ある事業者が他の事業者のアプリケーションプログラムを読み出したり、 I Cカード 5 08内の自らのアクセスが許可されていない記憶領域に不正なアクセスが行われる場合がある。〔本発明の実施形態〕図 8 9は、本発明の実施形態に係わるコンピュータ 5 5 1の構成図である。図 8 9に示すように、コンピュータ 5 5 1は、 C P U 5 5 2、メモリ 5 5 3、通信回路 5 0 4、判定回路 5 6 0およびスィツチ回路 5 6 1を有する。ここで、 C P U 5 5 2が本発明の演算 HI路、メモリ 5 5 3が本発明の記憶画路、通信回路 5 0 4が本発明の通信回路に対応し、判定回路 5 6 0が本発明の接続制御回路に対応し、スィツチ回路 5 6 1が本発明の接続切換回路に対応している C P Uデータバス 5 0 6には、 C P U 5 5 2、スイツチ回路 5 6 1、判定 HI路5 6 0および通信回路 5 0 4が接続されている。 C P Uデ一タバス 5 0 6が本発明の伝送路に対応している。また、スィッチ回路 5 6 1は、メモリデータバス 5 6 2を介してメモリ 5 5 3 に接続されている。また、 C P Uアドレスバス 5 0 7には、メモリ 5 5 3、判定回路 5 6 0および通信回路 5 0 4が接続されている。 C P Uアドレスバス 5 0 7は、 C P U 5 5 2力く、メモリ 5 5 3や、コンビユータ 5 5 1の外部の周辺機能などにアクセスする際に、そのァドレスを示す C P U — A D Rを伝送する。図 8 9において、図 8 3と同じ符号を付した通信回路 5 0 4および I Cカード 5 0 8は、図 8 3を用いて説明したものと同じである。また、 C P U 5 5 2は、図 8 4を用いて前述したソフトウヱァ構造を有している。すなわち、アプリケーションプログラム A P 1 , A P 2 , A P 3として、種別 A , B , Cの 3種の I Cカード 5 0 8に係わる取り引き処理をそれぞれ規定したものを用いる。通信回路 5 0 4を介して I Cカード 5 0 8から受信したデータは、メモリ 5 5 3に記憶されたプログラムに従って C P U 5 5 2により演算処理される。また、 C P U 5 5 2による演算によって得られたデータ力通信回路 5 0 を介して I Cカード 5 0 8に送信される。また、 C P U 5 5 2は、 I Cカード 5 0 8との間の通信によって生成した決済結果をメモリ 5 5 3に書き込む。スィツチ回路 5 6 1は、判定回路 5 6 0からの判定結果信号 S 5 6 0 (本発明の制御信号）に基づいて、 C P Uデータバス 5 0 6 とメモリデータバス 5 6 2とを接繞状態および非接続状態の何れかに切り換える。また、 C P U 5 5 2は、メモリ 5 5 3からフェッチした（読み出した）図 8 4 に示す◦ S層のプログラム、プログラム MA I N、アプリケーションプログラム AP I , AP 2 , AP 3プログラムの命令（コード）を実行する。各プログラムは、複数のプログラムモジュールから構成される。 C P U 5 5 2は、当該命令の実行に従って、命令種類指示信号 S 5 5 2 a、実行中 A P指示信号 S 5 5 2 b. 必要に応じて呼び出し先 A P指示信号 S 5 5 2 c を生成し、これらを判定回路 5 6 0に出力する。ここで、命令種類指示信号 S 5 5 2 aは、 C P U 5 5 2がフヱッチ命令、リ一ド命令およびライト命令の何れの命令を実行したかを示す信号である。ここで、フエ 'ンチ命令は、 C P U 5 5 2が C P Uデータバス 5 0 6を介して命令コード:を取り込むことを指示する命令である。リード命令は、 C P U 5 5 2 ;¾ C P Uデータバス 5 0 6を介してデータを読み込むことを指示する命令である。ライト命令は、 C P U 5 5 2力 C P Uデータバス 5 0 6を介してデータを書き込むことを指示する命令である。また、実行中 AP指示信号 S 5 5 2 bは、 C P U 5 5 2力図 8 4に示すアブリケーシヨンプログラム A P 1 , A P 2 , A P 3 > M A I Nおよび 0 Sのプログラムの命令のうち、何れのプログラムの命令を実行中であるかを示す信号である呼び出し先 A P指示信号 S 5 5 2 cは、 C P U 5 5 2が実行中のプログラムモジユールが他のプログラムモジユールを呼び出したときに、呼び出し先のプログラムモジュールが属するプログラムが、上記アプリケーションプログラム AP 1 , A P 2 , A P 3 , MA I Nおよび 0 Sの何れのプログラムであるかを示している。また、 C P U 5 5 2は、後述するようにスイツチ画路 5 6 1が非接繞状態になると、 C P Uデータバス 5 0 6とその動作を停止する。以下、判定回路 5 6 0について詳細に説明する。判定回路 5 6 0は、 C P U 5 5 2から入力した命令種類指示信号 S 5 5 2 aおよび実行中 A P指示信号 S 5 5 2 b、並びに C P Uァドレスバス 5 0 7を介して C P U 5 5 2から入力したァドレス C P U— AD Rに基づいて判定結果信号 S 5 6 0を生成し、これをスィ 'ンチ回路 5 6 1に出力する。図 9 0は、図 8 9に示す判定回路 5 6 0の構成図である。図 9 0に示すように、判定回路 5 6 0は、選択面路 5 7 0、フツチ用判定面路 5 7 1、リード用判定回路 5 7 2およびライト用判定回路 5 7 3を有する。選択回路 5 7 0は、図 8 9に示す C P U 5 5 2から入力した命令種類指示信号55 5 2 aに基づいて、スィッチ 5 7 4を端子 5 7 5— 1 , 5 7 5— 2 , 5 7 5 —3の何れか一つの端子に接続する。具体的には、選択回路 5 7 0は、命令種類指示信号 S 5 5 2 aがフエツチ命令を示している場合には、スィッチ 5 7 4を端子 5 7 5— 1に接続する。これにより、フツチ用判定回路 5 7 1から出力されたフツチ用判定結果信号 S 5 7 1力端子 5 7 5 _1およびスィツチ 5 7 4を介して判定結果信号 S 56 0として判定回路 5 6 0からスィツチ回路 5 6 1に出力される。また、選択回路 5 7 0は、命令種類指示信号 S 5 5 2 aがリード命令を示している場合には、スィッチ 5 7 4を端子 5 7 5— 2に接繞する。これにより、リード用判定回路 5 7 2から出力されたリード用判定結果信号 S 5 7 2力端子 5 7 5— 2およびスィッチ 5 7 4を介して判定結果信号 S 5 6 0 として判定回路 5 6 0からスィツチ回路 5 6 1に出力される。また、選択回路 5 7 0は、命令種類指示信号 S 5 5 2 aがライト命令を示している場合には、スィッチ 5 74を端子 57 5— 3に接続する。これにより、ライト用判定 HI路 57 3から出力されたライト用判定結果信号 S 5 7 3力、端子 5 7 5— 3およびスィツチ 5 7 4を介して判定結果信号 S 5 6 0 として判定回路 5 6 0からスィツチ回路 5 6 1に出力される。フユツチ用判定回路 5 7 1は、 C P U 55 2から入力した実行中 A P指示信号 S 5 5 2 b、呼び出し先 A P指示信号 S 5 5 2 cおよびァドレス C P U— ADR を用いて、フユツチ用判定結果信号 S 5 7 1を生成し、これを選択回路 5 7 0の端子 5 75— 1に向けて出力する。図 9 1は、図 9 0に示すフッチ用判定回路 5 7 1の構成図である。図 9 1に示すように、フ Vチ用判定回路 57 1は、記憶部 5 8 1— 1および判定部 5 82—1を有する。記憶部 5 8 1—1は、フヱツチ用アクセス範囲規定データ 5 8 4—1と、フエツチ用 A P間呼び出し関係規定データ 5 85一 1とを記憶する。フェツチ用アクセス範囲規定データ 5 8 4— 1は、 C P U 5 5 2がフェッチ命令を実行しているときにアクセス可能なメモリ 5 5 3内のアドレスを、 C P U 5 5 2が図 8 に示す 0 S層のプ αグラム、アプリケーションプログラム M A I Ν , AP I , AP 2, AP 3のプログラムを実行中である場合の各々について規定している。図 9 2は、フヱツチ用アクセス範囲規定データ 5 8 4 _1を説明するための図である。図 9 2の列（縦）方向は、図 8 4に示す 0 S層のプログラム、アプリケーションプログラム MA I N, AP I , AP 2, AP 3を示している。行（横）方向の「FR OM」は、対応する列のプログラムが記憶されることが許可されているメモリ 5 53内の記憶領域の開始アドレスを示している。行方向の「 F ROM」は、対応する列のプログラムがアクセス許可されているメモリ 5 5 3のァドレス範囲の開始ァドレスを示している。行方向の「TO」は、対応する列のプログラムがアクセス許可されているメモリ 5 5 3のァドレス範囲の終了ァドレスを示している。例えば、アプリケーションプログラム A Ρ 1は、メモリ 5 5 3のアドレス「 2 0 0 0 H」〜「 2 F F F H」の範囲にアクセス許可されている。フエ 'クチ用 A P間呼び出し関係規定データ 5 8 5— 1は、 C P U 5 5 2がフエツチ命令を実行しているときにプ αグラムモジュールの呼び出しが発生した場合に、呼び出し元および呼び出し先となることができるプログラムモジユールが属するプログラムの組み合わせを示している。図 9 3は、フユッチ用 A Ρ間呼び出し関係規定データ 5 8 5— 1を説明するための図である。図 9 3の列方向は、図 8 4に示す 0 S層のプログラム、アプリケーションプログラム MA I N, AP I , AP 2, AP 3を示している。図 9 3の行方向は、図 8 4に示す◦ S層のプログラム、アプリケーションプログラム MA I N, AP I , AP 2 , AP 3を示している。列と行の交差する位置に、対応する列のプログラムのプログラムモジュールが対応する行のプログラムのプログラムモジユールを呼び出すことが許可されているか否かを示している。「〇」が呼び出し許可を示しており、「X」が呼び出し不許可を示している。例えば、アプリケーションプログラム A P 1のプログラムモジユールは、〇 S のプログラム、 MA I N、およびアプリケーションプログラム A P 3のプ πダラムモジュールを呼び出すことが許可されている力アプリケーションプログラム A P 2のプログラムモジュールを呼び出すことは許可されていない。判定部 5 8 2—1は、図 8 9に示す C P U 5 5 2から入力した実行中 A P指示信号 S 5 5 2 bおよびァドレス C P U— AD只と、記憶部 5 8 1—1から読み出したフエツチ用アクセス範囲規定データ 5 8 4 __1 とに基づいて、ァドレス C P U— AD R力実行中 AP指示信号 S 5 5 2 bが示すプログラムに対応する図 9 2に示す列の「 F R OM」および「T〇」によって規定されるメモリ 5 5 3のァドレス範囲に舍まれているか否かを判断する。判定部 5 8 2—1は、当該判断において舍まれていると判断した場合には、例えば、接続を指示するフツチ用判定結果信号 S 5 7 1を生成し、これを図 9 0 に示す選択画路 5 7 0の端子 5 7 5— 1に向けて出力する。一方、判定部 5 8 2— 1は、当該判断において舍まれていないと判断した場合には、例えば、非接続（切断）を指示するフツチ用判定結果信号 S 5 7 1を生成し、これを図 9 0に示す選択画路 5 7 0の端子 5 7 5— 1に向けて出力する。また、判定部 5 8 2_1は、 C P U 5 5 2が実行中のプログラムのプログラムモジュールが、他のプログラムのプログラムモジュールを呼び出した場合に、図 8 9に示す C P U 5 5 2から入力した実行中 A Ρ指示信号 S 5 5 2 bおよび呼び出し先 AP指示信号 S 5 5 2 cと、記憶部 5 8 1— 1から読み出したフツチ用 AP間呼び出し関係規定データ 5 8 5— 1とに基づいて、当該呼び出しが、図 9 3に示すフヱッチ用 A P間呼び出し関係規定データ 5 8 5— 1によって示された組み合わせによって許可されているか否かを判断する。判定部 5 8 2 _1は、当該判断において許可されていると判断した場合には、例えば、接続を指示するフツチ用判定結果信号 S 5 7 1を生成し、これを図 9 0に示す選択回路 5 7 0の端子 5 7 5„1に向けて出力する。一方、判定部 5 8 2—1は、当該判断において不許可であると判断した場合には、例えば、非接続を指示するフツチ用判定結果信号 S 5 7 1を生成し、これを図 9 0に示す選択回路 5 7 0の端子 5 7 5 _ 1に向けて出力する。リード用判定回路 5 7 2は、 C P U 5 5 2から入力した実行中 A P指示信号 S 5 5 2 b. 呼び出し先 A P指示信号 S 5 5 2 cおよびァドレス C P U— ADRを用いて、リード用判定結果信号 S 5 7 2を生成し、これを選択回路 5 7 0の端子 5 7 5— 2に向けて出力する。図 9 4は、図 9 0に示すリ一ド用判定回路 5 7 2の構成図である。図 9 4に示すように、リ一ド用判定回路 5 7 2は、記憶部 5 8 1— 2および判定部 5 8 2— 2を有する。記憶部 5 8 1—2は、リード用アクセス範囲規定データ 5 8 4— 2と、リード用 AP間呼び出し関係規定データ 5 8 5— 2とを記憶する。リード用アクセス範囲規定データ 5 8 4— 2は、 C P U 5 5 2がリード命令を実行しているときにアクセス可能なメモリ 5 5 3内のアドレスを、 C P U 5 5 2 が図 8 4に示す 0 S層のプログラム、アプリケーションプログラム MA I N, A P I , A P 2 , A P 3のプログラムを実行中である場合の各々について規定している。図 9 5は、リード用アクセス範囲規定データ 5 8 4— 2を説明するための図であ 0 図 9 5の列（縦）方向は、図 8 4に示す 0 S層のプログラム、アプリケ一ションプログラム MA I N, AP I , A P 2 , AP 3を示している。行（横）方向の「F R OM」は、対応する列のプログラムが記憶されることが許可されているメモリ 5 5 3内の記憶領域の開始アドレスを示している。行方向の「F R OM」は、対応する列のプログラムがアクセス許可されているメモリ 5 5 3のァドレス範囲の開始ァドレスを示している。行方向の「TO」は、対応する列のプログラムがアクセス許可されているメモリ 5 5 3のァドレス範囲の終了ァドレスを示している。リ一ド用 A Ρ間呼び出し関係規定データ 5 8 5— 2は、 C P U 5 5 2がリード命令を実行しているときにプログラムモジュールの呼び出しが発生した場合に、呼び出し元および呼び出し先となることができるプログラムモジュールが属するプログラムの組み合わせを示している。図 9 6は、リード用 A P間呼び出し関係規定データ 5 8 5— 2·を説明するための図である。図 9 6の列方向は、図 84に示す 0 S層のプログラム、アプリケーションプログラム MA I N, AP I , AP 2, AP 3を示している。図 96の行方向は、図 84に示す 0 S層のプログラム、アプリケーションプログラム MA I N, AP I , AP 2, AP 3を示している。列と行の交差する位置に、対応する列のプログラムのプログラムモジユールが対応する行のプログラムのプログラムモジユールを呼び出すことが許可されているか否かを示している。「〇」が呼び出し許可を示しており、「X」が呼び出し不許可を示している。判定部 5 8 2— 2は、図 8 9に示す C P U 5 5 2から入力した実行中 A P指示信号 S 5 5 2 bおよびァドレス C P U— ADRと、記憶部 5 8 1—2から読み出したリード用アクセス範囲規定データ 5 8 4 _2とに基づいて、アドレス C P U _ADR力、実行中 A P指示信号 S 5 52 bが示すプログラムに対応する図 9 5 に示す列の「 F R 0 M」および「T 0」によって規定されるメモリ 5 5 3のアドレス範囲に舍まれているか否かを判断する。判定部 5 82— 2は、当該判断において舍まれていると判断した場合には、例えば、接続を指示するリード用判定結果信号 S 5 7 2を生成し、これを図 9 0に示す選択回路 5 70の端子 5 7 5— 2に向けて出力する。一方、判定部 5 8 2— 2は、当該判断において舍まれていないと判断した場合には、例えば、非接続（切断）を指示するリ一ド用判定結果信号 S 57 を生成し、これを図 9 0に示す選択回路 5 7 0の端子 5 7 5— 2に向けて出力する。また、判定部 5 8 2— 2は、 C P U 55 2が実行中のプログラムのプログラムモジュールが、他のプログラムのプログラムモジュールを呼び出した場合に、図 8 9に示す C P U 5 5 2から入力した実行中 A Ρ指示信号 S 5 52 bおよび呼び出し先 AP指示信号 S 5 5 2 cと、記憶部 5 8 1— 2から読み出したリード用 A P間呼び出し関係規定データ 5 85— 2とに基づいて、当該呼び出しが、図 96 に示すリード用 AP間呼び出し関係規定デ一タ 5 8 5— 2によって示された組み合わせによって許可されているか否かを判断する。判定部 5 8 2— 2は、当該判断において許可されていると判断した場合には、例えば、接続を指示するリード用判定結果信号 S 5 7 2を生成し、これを図 9 0 に示す選択回路 5 7 0の端子 5 7 5— 2に向けて出力する。一方、判定部 5 8 2— 2は、当該判断において不許可であると判断した場合には、例えば、非接続を指示するリード用判定結果信号 S 5 7 2を生成し、これを図 9 0に示す選択回路 5 7 0の端子 5 7 5— 2に向けて出力する。ライト用判定回路 5 7 3は、 C P U 5 5 2から入力した実行中 A P指示信号 S 5 5 2 b 呼び出し先 A P指示信号 S 5 5 2 cおよびァドレス C P U— A D Rを用いて、ライト用判定結果信号 S 5 7 3を生成し、これを選択回路 5 7 0の端子 5 7 5— 3に向けて出力する。図 9 7は、図 9 0に示すライト用判定回路 5 7 3の構成図である。図 9 7に示すように、ライト用判定回路 5 7 3は、記憶部 5 8 1—3および判定部 5 8 2— 3を有する。記憶部 5 8 1—3は、ライト用アクセス範囲規定データ 5 8 4_3と、ライト用 A P間呼び出し関係規定データ 5 8 5— 3とを記憶する。ライト用アクセス範囲規定データ 5 8 4— 3は、 C P U 5 5 2がライト命令を実行しているときにアクセス可能なメモリ 5 5 3内のァドレスを、 C P U 5 5 2 が図 8 に示す 0 S層のプログラム、アプリケーションプログラム M A I N , A P I , AP 2 , A P 3のプログラムを実行中である場合の各々について規定している。図 9 8は、ライト用アクセス範囲規定データ 5 8 4— 3を説明するための図であ。図 9 8の列（縦）方向は、図 8 4に示す 0 S層のプログラム、アプリケーションプログラム MA I N, AP I , A P 2 , AP 3を示している。行（横）方向の「F R OM」は、対応する列のプログラムが記憶されることが許可されているメモリ 5 53内の記憶領域の開始ァドレスを示している。行方向の「F ROM」は、対応する列のプログラムがアクセス許可されているメモリ 5 5 3のァドレス範囲の開始ァドレスを示している。行方向の「TO」は、対応する列のプログラムがアクセス許可されているメモリ 5 3のァドレス範囲の終了ァドレスを示している。ライト用 A Ρ間呼び出し関係規定データ 5 85— 3は、 C P U 55 2がライト命令を実行しているときにプログラムモジュ一ルの呼び出しが発生した場合に、呼び出し元および呼び出し先となることができるプログラムモジユールが属するプログラムの組み合わせを示している。図 99は、ライト用 AP間呼び出し関係規定データ 58 5— 3を説明するための図である。図 9 9の列方向は、図 8 4に示す 0 S層のプログラム、アプリケーションプログラム MA I N, AP I , A P 2 , AP 3を示している。図 9 9の行方向は、図 8 4に示す 0 S層のプログラム、アプリケ一ションプログラム MA I N, AP I , AP 2, AP 3を示している。列と行の交差する位置に、対応する列のプログラムのプログラムモジユールが対応する行のプログラムのプログラムモジユールを呼び出すことが許可されているか否かを示している。「〇」が呼び出し許可を示しており、「X」が呼び出し不許可を示している。判定部 5 8 2— 3は、図 8 9に示す C P U 55 2から入力した実行中 A P指示信号 S 552 bおよびァドレス CP U— ADRと、記憶部 5 8 1—3から読み出したライト用アクセス範囲規定データ 58 4 _3とに基づいて、アドレス C P U — ADRカ、実行中 A P指示信号 S 5 52 bが示すプログラムに対応する図 9 8 に示す列の「F ROM」および「TO」によって規定されるメモリ 5 5 3のアドレス範囲に舍まれているか否かを判断する。判定部 5 8 2— 3は、当該判断において舍まれていると判断した場合には、例えば、接続を指示するライト用判定結果信号 S 5 7 3を生成し、これを図 9 0に示す選択回路 5 7 0の端子 5 7 5— 3に向けて出力する。一方、判定部 5 8 2 _ 3は、当該判断において舍まれていないと判断した場合には、例えば、非接続（切断）を指示するライト用判定結果信号 S 5 7 3を生成し、これを図 9 0に示す選択回路 5 7 0の端子 5 7 5 _ 3に向けて出力する。また、判定部 5 8 2 _ 3は、 C P U 5 5 2が実行中のプログラムのプログラムモジュールが、他のプログラムのプログラムモジュールを呼び出した場合に、図 8 9に示す C P U 5 5 2から入力した実行中 A P指示信号 S 5 5 2 bおよび呼び出し先 A P指示信号 S 5 5 2 cと、記憶部 5 8 1 _ 3から読み出したライト用 A P間呼び出し関係規定データ 5 8 5— 3とに基づいて、当該呼び出しが、図 9 9 に示すライト用 A P間呼び出し関係規定データ 5 8 5— 3によって示された組み合わせによって許可されているか否かを判断する。判定部 5 8 2— 3は、当該判断において許可されていると判断した場合には、例えば、接続を指示するライト用判定結果信号 S 5 7 3を生成し、これを図 9 0 に示す選択画路 5 7 0の端子 5 7 5— 3に向けて出力する。一方、判定部 5 8 2— 3は、当該判断において不許可であると判断した場合には、例えば、非接続を指示するライト用判定結果信号 S 5 7 3を生成し、これを図 9 0に示す選択回路 7 0の端子 5 7 5— 3に向けて出力する。次に、選択回路 5 7 0について説明する。選択回路 5 7 0は、 C P U 5 5 2からの命令種類指示信号 S 5 5 2 aに基づいて、スィッチ 5 7 4を端子 5 7 5— 1 , 5 7 5 _ 2 , 5 7 5— 3の何れか一つと接続する。具体的には、選択回路 5 7 0は、命令種類指示信号 S 5 5 2 aがフユツチ命令を示している場合にはスィツチ 5 7 4を端子 5 7 5— 1に接続し、フユツチ用判定結果信号 S 5 7 1を、判定結果 S 5 6 0としてスィツチ回路 5 6 1に出力する。これにより、スィツチ回路 5 6 1の接続 Z非接続がフツチ用判定結果信号 S 5 7 1によって制御される。また、選択 Hi路 5 7 0は、命令種類指示信号 S 5 5 2 aがリード命令を示している場合にはスィツチ 5 7 4を端子 5 7 5— 2に接続し、リード用判定結果信号 S 5 7 2を、判定結果 S 5 6 0としてスィツチ回路 5 6 1に出力する。これにより、スィツチ回路 5 6 1の接続ノ非接続がリード用判定結果信号 S 5 7 2 'こよつて制御される。また、選択回路 5 7 0は、命令種類指示信号 S 5 5 2 aがライト命令を示している場合にはスィ 'ンチ 5 7 4を端子 5 7 5— 3に接続し、ライト用判定結果信号 S 5 7 3を、判定結果 S 5 6 0としてスィツチ回路 5 6 1に出力する。これにより、スィツチ回路 5 6 1の接続ノ非接続がライト用判定結果信号 S 5 7 3によつて制御される。以下、コンピュータ 5 5 1の動作例を説明する。〔第 1の動作例〕以下、コンピュータ 5 5 1力く、アプリケーションプログラム A P 1のプログラムモジュールの実行過程でフヱツチ命令を実行し、メモリ 5 5 3のアドレス「 2 1 0 0 H」を指定した場合の動作例を説明する。この場合には、 C P Uァドレスバス 5 0 7上に「 2 1 0 0 H」を示す C P U— AD Rが流れ、フツチを示す命令種類指示信号 S 5 5 2 aと AP 1を示す実行中 A P指示信号 S 5 5 2 bが C P U 5 5 2から判定回路 5 6 0に出力される。そして、図 9 1に示す判定部 5 8 2— 1は、 C P U 5 5 2から入力した実行中 AP指示信号 S 5 5 2 bおよびァドレス C P U— AD Rと、記憶部 5 8 1— 1力、ら読み出した図 9 2に示すフツチ用アクセス範囲規定データ 5 8 4 __1 とに基づいて、アドレス「 2 1 0 0 H」力^ AP 1に対応する図 9 2に示す列の「F R 〇 M」および「 T 0」によつて規定されるメモリ 5 5 3のアドレス範囲「 2 0 0 0 H」〜「 2 F F F H」に舍まれていると判断する。そして、判定部 5 8 2—1は、接続を指示するフツチ用判定結果信号 S 5 7 1を生成し、これを図 9 0に示す選択回路 5 7 0の端子 5 7 5—1に向けて出力する。また、選択回路 5 7 0は、命令種類指示信号 S 5 5 2 aがフツチを示しているため、スィッチ 5 7 4を端子 5 7 5— 1に接続する。これにより、接続を指示するフ 'ンチ用判定結果信号 S 5 7 1カ、選択 IK路 5 7 0を介して判定結果信号 S 5 6 0として図 8 9に示すスィッチ回路 5 6 1に出力される。そして、スィチ回路 5 6 1は、 C P Uデータバス 5 0 6とメモリデータバス 5 6 2とを接続状態にし、 CP U 5 5 2がメモリ 5 5 3にアクセスできるようになる。なお、上述した場合に、ァドレス C P U— AD R力「 3 1 0 0 H」を示してた場合には、当該ァドレスがァドレス範囲「 2 0 0 0 H」〜「 2 F F F H」に舍まれていないため、非接続を指示するフユツチ用判定結果信号 S 5 7 1が選択回路 5 7 0からスィッチ回路 5 6 1に出力される。これにより、スィツチ回路 5 6 1 は、 C P Uデータバス 5 0 6とメモリデータバス 5 6 2とを非接続状態にし、 C P U 5 5 2はメモリ 5 5 3にアクセスできない。〔第 2の動作例〕以下、コンピュータ 5 5 1が、リード命令の実行時に、アプリケーションプログラム A P 2のプログラムモジユールがァプリケーションプログラム A P 1のプ πグラムを呼び出した場合の動作例を説明する。この場合には、 AP 2を示す実行中 A P指示信号 S 5 5 2 bと、 AP Iを示す呼び出し先 A P指示信号 S 5 5 2 cが C P U 5 5 2からリード用判定回路 5 7 2 に出力される。リード用判定回路 5 7 2の判定部 5 8 2— 2は、図 9 6に示すリード用 A P間呼び出し関係規定データ 5 8 5— 2を参照し、 AP 2から AP 1への呼び出しは許可されていると判断する。そして、判定部 5 8 2— 2は、接続を指示するリ一ド用判定結果信号 S 5 7 2 を生成し、これを図 9 0に示す選択画路 5 7 0の端子 5 7 5— 2に向けて出力する。また、選択画路 5 7 0は、命令種類指示信号 S 5 5 2 aがリードを示しているため、スィッチ 5 7 4を端子 5 7 5— 2に接続する。これにより、接続を指示するリード用判定結果信号 S 5 7 2力選択画路 5 7 0を介して判定結果信号 S 5 6 0として図 8 9に示すスィツチ回路 5 6 1に出力される。そして、スィツチ回路 5 6 1は、 C P Uデータバス 5 0 6とメモリデータバス 5 6 2とを接続状態にし、 C P U 5 5 2がメモリ 5 5 3にアクセスできるようになる。一方、上述した場合に、アプリケーションプ αグラム A P 2のプログラムモジュ一ルがァプリケーションプログラム A P 3のプロダラムを呼び出した場合には、図 9 6に示すリ一ド用 A P間呼び出し関係規定データ 5 8 5— 2から、 A P 2 から A P 3への呼び出しは不許可であると判断される。そして、判定部 5 8 2— 2は、非接続を指示するリ一ド用判定結果信号 S 5 7 2を生成し、これを図 9 0に示す選択面路 5 7 0の端子 5 7 5— 2に向けて出力する。これにより、非接続を指示するリード用判定結果信号 S 5 7 2 、選択回路 5 7 0を介して判定結果信号 S 5 6 0として図 8 9に示すスィツチ回路 5 6 1に出力される。そして、スィツチ回路 5 6 1は、 C P Uデータバス 5 0 6とメモリデータバス 5 6 2とを非接続状態にし、 C P U 5 5 2はメモリ 5 5 3にアクセスできない。以上説明したように、コンピュータ 5 5 1によれば、 C P U 5 5 2が実行中のプログラムに応じて、それぞれのプログラムに対応して予め規定されたデータに基づいて、判定回路 5 6 0およびスィッチ回路 5 6 1によって、メモリ 5 5 3と C P Uデータバス 5 0 6との間の接続状態を決定する。そのため、 C P U 5 5 2で実行中のアプリケ一ションプログラムがメモリ 5 5 3内に記憶された他のアプリケーションプ αグラムの命令およびデータに不正にアクセスすることを防止でき、 C P U 5 5 2が複数のアプリケーションプログラムを実行する場合でも、アプリケーションプログラム相互間での高いセキュリティを得ることができる。本発明は上述した実施形態には限定されない。例えば、上述した実施形態では、判定回路 5 6 0力フツチ用アクセス範囲規定データ 5 8 4— 1、フエツチ用 A Ρ間呼び出し関係規定データ 5 8 5— 1、リード用アクセス範囲規定データ 5 8 4— 2、リード用 A P間呼び出し関係規定データ 5 8 5— 2、ライト用アクセス範囲規定データ 5 8 4— 3、ライト用 A P 間呼び出し関係規定データ 5 8 5— 3を記憶する場合を例示したが、図 1 0 0に示すように、これらのデータを鍵情報 Kを用いて暗号化した状態で記憶した I C カード 5 5 8を用いてもよい。この場合には、判定回路 5 6 0は、鍵情報 Kおよび復号プログラム 5 9 0を保持し、 C P Uデータバス 5 0 6および通信画路 5 0 4を介して、 1 〇カ一ド 5 5 8にアクセスを行って、フヱツチ用アクセス範囲規定データ 5 8 4— 1、フ _ 'ンチ用 A Ρ間呼び出し閧係規定データ 5 8 5— 1、リード用アクセス範囲規定データ 5 8 4— 2、リード用 A P間呼び岀し関係規定データ 5 8 5— 2、ライト用ァクセス範囲規定データ 5 8 4 __ 3、ライト用 A P間呼び出し関係規定データ 5 8 5— 3を I Cカード 5 5 8から読み出し、所定の復号プログラム 5 9 0および鍵情報 Kを用いて復号して用いる。また、本発明は、上記復号プログラムを暗号化した状態で、 I Cカード 5 5 8 に記憶し、これを通信回路 5 0 4および C P Uデータバス 5 0 6を介して判定回路 5 6 0に読み出し、判定回路 5 6 0で所定の鍵情報を用いて復号し、復号した復号プログラムをメモリ 5 5 3に格納し、判定回路 5 6 0がメモリ 5 5 3から復号プログラムを読み出して実行してもよい。また、上述した実施形態では、 C P U 5 5 2から判定回路 5 6 0に、実行中 A P指示信号 S 5 5 2 bおよび呼び出し先 A P指示信号 S 5 5 2 cを出力する場合を例示したが、これらの信号は、図 1 0 1 示すように、判定回路 5 6 0が C P Uァドレスバス 5 0 7を監視することで自らが生成してもよい。第 7実施形態本実施形態は、第 2 0および第 2 1の発明に対応した実施形態である。図 1 0 2は、本発明の実施形態の半導体チップ 6 3 1の構成図である。図 1 0 2に示すように、半導体チ 'ンプ 6 3 1 は、内部メモリ 6 3 2、スィッチ回路 6 3 3、スィツチ回路 6 3 4、判定回路 6 3 5、選択回路 6 3 6および C PU 6 3 7を有する。内部メモリ 6 3 2、スィツチ回路 6 3 3、スィツチ回路 6 3 4、判定回路 6 3 5および C P U 6 3 7は、 C P Uデータバス 6 4 0に接続されている。内部メモリ 6 3 2、判定回路 6 3 5および C P U 6 3 7は、アドレスバス 6 4 1 に接続されている。内部メモリ 6 3 2、判定回路 6 3 5および C P U 6 3 7は、信号線 6 4 2に接続されている。また、内部メモリ 6 3 2は、内部データバス 6 4 3にさらに接続されている。また、スィッチ回路 6 3 4は、さらに外部データバス 6 4 4を介して外部メモリ 6 6 0に接続されている。また、選択回路 6 3 6は、さらに外部デ一タバス 6 4 5を介してデバッガ 6 6 1 に接続されている。ここで、半導体チップ 6 3 1が第 1の発明の半導体回路に対応し、 C P Uデータバス 6 4 0が第 1の半導体回路の第 1の伝送路に対応し、プログラムモジユール P M— 1が第 1の発明のプログラムを実行する命令などに対応し、内部メモリ 6 3 2が第 1の発明の記憶回路に対応し、 C P U 6 3 7が第 1の発明の演算面路に対応し、スィッチ回路 6 3 3が第 1の発明の第 1の接続切換回路に対応し、スィツチ回路 6 3 4が第 1の発明の第 2の接続切換回路に対応し、判定画路 6 3 5 が第 1の発明の接続制御回路に対応し、選択回路 6 3 6が第 1の発明の第 3の接続切換回路に対応し、外部メモリ 6 6 0が第 1の発明の記憶装置に対応し、デバッガ 6 6 1が第 1の発明の外部装置に対応している。また、信号線 6 4 2が第 1の発明の第 3の伝送路に対応し、ァドレスバス 6 4 1が第 1の発明の第 4の伝送路に対応している。また、判定結果信号 S 6 3 5 aが第 1の発明の第 1の制御信号に対応し、判定結果信号 S 6 3 5 bが第 1の発明の第 2の制御信号に対応し、判定結果信号 S 6 3 5 cが第 1の発明の第 3の制御信号に対応している。図 1 0 3は、図 1 0 2に示す半導体チップ 6 3 1のソフトウヱァ構成を説明するための図である。図 1 0 3において、最下層は、ハードウヱァ層であり、図 1 0 2に示す半導体チップ 6 3 1 のハードウエアの構成要素である。ハ一ドウヱァ層の上には通信ドライバ層が位置する。通信ドライバ層には、通信制御を行う通信ドライバ層が位置する。通信ドライバ層のプ αグラムは、通常、不揮発性メモリ内に記憶される。通信ドラィバ層の上には、半導体チップ 6 3 1の動作の根幹となるプログラムを提供するオペレーティング · システム（ O S ) 層がある。〇 S層は、最上位のアプリケーション（A P ) 層に対して、下位層と比較してより上位概念のサ一ビスを提供する。また、 O S層の上には、半導体チップ 6 3 1が実現する具体的な機能（サービス）を規定する A P層がある。 A P層には、例えば、図 1 0 2に示すプログラムモジュール P M—1 , P M— 2 , P M— 3によって実現されるアプリケーションプログラム A P I、 A P 2、 A P 3が存在する。内部メモリ 6 3 2は、図 1 0 3に示すアプリケーションプログラム A P 1のプログラムモジュール P M_ 1を記憶している。図 1 0 4は、プログラムモジュール P M—1の構成を説明するための図である図 1 0 4に示すように、プログラムモジュール P M— 1は、複数の機能モジュールから構成される。図 1 0 4では、 n個の機能モジュール F M— 1〜F M— n から構成される場合を示している。図 1 0 4に示すように、各機能モジュール F M— 1〜F M— nの先頭の命令（コード）はロック解除命令になっており、末尾の命令はロック命令になっているここで、口 'ンク命令は、次に口ック解除命令があるまでスィッチ画路 6 3 3を接続状態に保持することを後述する判定回路 6 3 5に指示する命令である。また、口 'ンク解除命令は、スィッチ回路 6 3 3を非接続状態に切り換えることを指示する命令である。スィツチ回路 6 3 3は、 C P Uデータバス 6 4 0と内部データバス 6 4 3 との間に介在している。スィツチ回路 6 3 3は、判定回路 6 3 5から入力した判定結果信号 S 6 3 5 a に基づいて、接続状態および非接続状態の何れか一方になる。スィ 'ンチ回路 6 3 4は、 C P Uデータバス 6 4 0と外部データバス 6 4 4との間に介在している。スイッチ回路 6 3 4は、判定回路 6 3 5からの判定結果信号 S 6 3 5 bに基づいて、接続状態および非接続状態の何れか一方になる。判定回路 6 3 5は、ァドレスバス 6 4 1および信号線 6 4 2を監視し、 C P U 6 3 7がァドレスバス 6 4 1に出力したァドレス信号が内部メモリ 6 3 2内のプログラムモジュール P M— 1が記憶されているアドレスを示し、且つ、 C P U 6 3 7が信号線 6 4 2に出力した命令種類指示信号 S 6 3 7 aがフツチを示している場合に、接続を指示する判定結果信号 S 6 3 5 aを生成し、それ以外の場合に非接続を指示する判定結果信号 S 6 3 5 aを生成する。判定回路 6 3 5は、判定結果信号 S 6 3 5 aをスィツチ回路 6 3 3に出力するまた、判定画路 6 3 5は、接続を指示する判定結果信号 S 6 3 5 aを生成する場合に、非接続を指示する判定結果信号 S 6 3 5 bを生成し、これをスィッチ回路 6 3 4に出力する。また、判定回路 6 3 5は、非接続を指示する判定結果信号 S 6 3 5 aを生成する場合に、接続を指示する判定結果信号 S 6 3 5 bを生成し、これをスィッチ回路 6 3 4に出力する。また、判定回路 6 3 5は、接続を指示する判定結果信号 S 6 3 5 aを生成する場合に、無効ノ非接続を指示する判定結果信号 S 6 3 5 cを生成し、これを選択回路 6 3 6に出力する。また、判定回路 6 3 5は、非接続を指示する判定結果信号 S 6 3 5 aを生成する場合に、有効/接続を指示する判定結果信号 S 6 3 5 cを生成し、これを選択回路 6 3 6に出力する。また、判定回路 6 3 5は、 C P U 6 3 7が図 1 0 4に示すプログラムモジユール P M— 1を実行中に、プログラムモジュール P M— 1内の機能モジュールが、他の機能モジュールに舍まれる分岐命令を C P U 6 3 7が実行したことによって呼び出される場合に、当該呼び出し先の機能モジュールの先頭に位置する命令を最初にフツチを開始することを条件に（すなわち、呼び出し先の機能モジユールの先頭の命令を指定した分岐命令が実行される場合に）、接続を指示する判定結果信号 S 6 3 5 aをスィッチ回路 6 3 3に出力する。図 1 0 4を用いて説明したように、各機能モジュールの先頭にはロック解除命令（第 1の発明の非接続解除命令）が位置するため、判定回路 6 3 5はロック解除命令に基づいて、次に αック命令（第 1の発明の非接続開始命令）が実行されるまで、接続を指示する判定結果信号 S 6 3 5 aをスィツチ画路 6 3 3に出力する。このとき、前述したように、スィッチ回路 6 3 4には非接続を指示する判定結果信号 S 6 3 5 bが出されており、選択回路 6 3 6には無効ノ非接続を指示する判定結果信号 S 6 3 5 cが出されているため、デバッガ 6 6 1による C P U 6 3 7の動作の一時停止や C P U 6 3 7からの C P U内部状態情報の取得はできない。従って、図 1 0 4に示す機能モジュール FM— 1〜FM— nは、外部メモリ 6 6 0に存在するプログラムモジュール P M— 2 , P M— 3やデバ 'ンガ 6 6 1からアクセスを受けることはない。また、判定回路 6 3 5は、 C P U 6 3 7が図 1 0 4に示すプログラムモジュ一ル P M— 1を実行中に、プログラムモジュール P M— 1内の機能モジュ一ルが、他の機能モジュールに舍まれる分岐命令を C P U 6 3 7が実行したことによって呼び出される場合に、当該呼び出し先の機能モジュールの先頭に位置する命令以外の命令を最初にフユ 'ンチする場合には、非接続を指示する判定結果信号 S 6 3 5 aをスィツチ回路 6 3 3に出力する。また、この場合に、判定回路 6 3 5は、例えば、 C P U 6 3 7の動作を停止させたり、所定のエラー処理を行う。選択回路 6 3 6は、判定回路 6 3 5からの判定結果信号 S 6 3 5 cが無効/非接続を示す場合には、デバ'ンガ 6 6 1から入力した HAL T信号 S 6 6 1 a (第 1の発明の動作停止要求）を無効にして C P U 6 3 7には出力しない。ここで、 HAL T信号 S 6 6 1 aは、 C P U 6 3 7の動作を一時的に停止することを指示する信号である。選択回路 6 3 6は、判定回路 6 3 5からの判定結果信号 S 6 3 5 cが無効ノ非接続を示す場合には、デバッガ 6 6 1から入力した C P U内部状態読み出し要求信号 S 6 6 1 bおよび C P U内部状態書き換え要求信号 S 6 6 1 cを無効にして C P U 6 3 7には出力しない。ここで、 C P U内部状態読み出し要求信号 S 6 6 1 bは、 C P U 6 3 7の内部状態を示す情報を要求する信号である。 C P U内部状態書き換え要求信号 S 6 6 1 cは、 C P U 6 3 7の内部状態を示す情報の書き換えを要求する信号である。一方、選択回路 6 3 6は、判定回路 6 3 5からの判定結果信号 S 6 3 5 cが有効/接続を示す場合には、デバッガ 6 6 1から入力した HALT信号 S 6 6 1 a を C P U 6 3 7には出力する。選択回路 6 3 6は、判定回路 6 3 5からの判定結果信号 S 6 3 5 cが有効/接続を示す場合には、デバッガ 6 6 1から入力した C P U内部状態読み出し要求信号 S 6 6 1 bおよび C P U内部状態書き換え要求信号 S 6 6 1 cを C P U 6 3 7 に出力する。また、選択回路 6 3 6は、 C P U内部状態読み出し要求信号 S 6 6 1 bに応じて C P U 6 3 7から入力した C P U内部状態信号 S 6 3 7 dをデバ'ンガ 6 6 1に出力する。 C P U 6 3 7は、アドレスバス 6 4 1に内部メモリ 6 3 2のアドレス、並びに信号線 6 4 2に実行中の命令の種類を示す命令種類指示信号 S 6 37 aを出力し、それに応じて、スイツチ回路 6 3 3および C P Uデータバス 6 4 0を介して内部メモリ 6 3 2から読み出したプログラムモジュール P M— 1の命令およびデータを用いて処理を行う。また、 C P U 6 3 7は、ァドレスバス 6 4 1に外部メモリ 6 6 0のァドレス、並びに信号線 6 4 2に命令種類指示信号 S 6 3 7 aを出力し、それに応じて外部データバス 6 4 4、スィツチ回路 6 3 4および C P Uデータバス 64 0を介して外部メモリ 6 6 0から読み出したプログラムモジュール P M_ 2 , PM— 3の命令およびデータを用いて処理を行う。 • C P U 6 3 7は、選択回路 6 3 6を介してデバッガ 6 6 1から H A L T信号 S 6 6 1 aを入力すると、 C P U 6 3 7の動作を停止する。また、 C P U 6 3 7は、選択回路 6 3 6を介してデバッガ 6 6 1から C P U内部状態読み出し要求信号 S 6 6 1 bを入力すると、当該信号 S 6 6 1 bによって指定された C P U 6 3 7内の内部状態を示す情報を舍む内部状態信号 S 6 3 7 d を選択回路 6 3 6を介してデバッガ 6 6 1に出力する。また、 C P U 6 3 7は、選択画路 6 3 6を介してデバッガ 6 6 1から C P U内部状態書き換え要求信号 S 6 6 1 cを入力すると、 C P U 6 3 7の内部状態を示す情報を、信号 S 6 6 1 cによって指定された内容で書き換える。これによつて、 C P U 6 3 7の動作がデバ 'ンガ 6 6 1によって制御される。デバッガ 6 6 1は、デバッグの目的に応じた HAL T信号 S 6 6 1 aを用いて C P U 6 3 7の勛作を制御し、 C P U 6 3 7の動作を内部状態読み出し要求信号 S 6 6 1 bおよび内部状態信号 S 6 3 7 dを用いて監視し、 C P U内部状態書き換え要求信号 S 6 6 1 cによって C P U 6 3 7をカスタマイズする。以下、半導体チップ 6 3 1の動作例を説明する。〔第 1の動作例〕例えば、デバ 'ンガ 6 6 1が選択回路 6 3 6に、 HAL T信号 S 6 6 1 a、 C P U内部状態読み出し要求信号 S 6 6 1 bおよび C P U内部状態書き換え要求信号 S 6 6 1 cの何れかを出した場合を考える。この場合に、 C P U 6 3 7が C P Uデータバス 6 4 0およびスィッチ回路 6 3 3を介して内部メモリ 6 3 2にアクセスしているとき、すなわちスイツチ回路 6 3 3が接続状態になっているときには、判定回路 6 3 5からの判定結果信号 S 6 3 5 cによって選択画路 6 3 6は無効ノ非接続状態になっており、選択回路 6 3 6から HAL T信号 S 6 6 1 a. C P U内部状態読み出し要求信号 S 6 6 1 bおよび C P U内部状態書き換え要求信号 S 6 6 1 cは、 C P U 6 3 7には出力されない。そのため、デバッガ 6 6 1は、 C P U 6 3 7にアクセスできず、内部メモリ 6 3 2にもアクセスできない。一方、 C P U 6 3 7が内部メモリ 6 3 2にアクセスしていないとき、すなわちスィツチ画路 6 3 3が非接続状態になっているときには、判定回路 6 3 5からの判定結果信号 S 6 3 5 cによって選択回路 6 3 6は有効接続状態になっており、選択面路 6 3 6から H A L T信号 S 6 6 1 a . C P U内部状態読み出し要求信号 S 6 6 1 bおよび C P U内部状態書き換え要求信号 S 6 6 1 cは、 C P U 6 3 7には出力される。そのため、デバッガ 6 6 1は、 C P U 6 3 7の動作を監視および設定できるが、スィツチ回路 6 3 3が非接続状態になっているため、内部メモリ 6 3 2はァクセスできない。〔第 2の動作例〕例えば、 C P U 6 3 7がスィッチ回路 6 3 4および外部データバス 6 4 4を介して外部メモリ 6 6 0にアクセスしている場合を考える。この場合に、判定回路 6 3 5からの判定結果信号 S 6 3 5 b , S 6 3 5 cによつて、スィツチ回路 6 3 4および選択回路 6 3 6が接続状態になっているカ^ 判定結果信号 S 6 3 5 aによってスィツチ回路 6 3 3が非接続状態になっている。そのため、外部データバス 6 4 4 , 6 4 5からは、内部メモリ 6 3 2にはァクセスできない。以上説明したように、半導体チップ 6 3 1では、内部メモリ 6 3 2と C P Uデ —タバス 6 4 0との間が接続状態になっているときには、外部データバス 6 4 4 , 6 4 5からの外部アクセスを認めない。そのため、半導体チップ 6 3 1によれば、内部メモリ 6 3 2に記憶されたプログラムモジュール P M— 1を半導体チップ 6 3 1の外部からの不正なアクセスから確実に保護でき、プログラムモジュール P M— 1 の秘匿性を保持できる。また、半導体チップ 6 3 1によれば、 C P U 6 3 7によるプログラムモジュ一ル P M— 1 の実行過程を外部から監視および解折できない。また、半導体チップ 6 3 1によれば、秘匿性のあるプログラムモジュール P M _ 1 、外部メモリ 6 6 0に記憶されたプログラムモジュール P M— 2 , P M— 3からの不正なアクセスを受けることを防止できる。第 8卖施形態本実施形態は、第 2 0および第 2 1の発明に対応した実施形態である。図 1 0 5は、本発明の実施形態の半導体チップ 6 1 3 1の構成図である。図 1 0 5に示すように、半導体チップ 6 1 3 1は、暗号化復号画路 6 1 3 4、判定 HI路 6 1 3 5、選択回路 6 1 3 6および C P U 6 1 3 7を有する。暗号化復号回路 6 1 3 4および C P U 6 1 3 7は、 C P Uデータバス 6 1 4 0 に接続されている。判定画路 6 1 3 5および C P U 6 1 3 7は、アドレスバス 6 1 4 1に接続されている。判定回路 6 1 3 5および C P U 6 1 3 7は、信号線 6 1 4 2に接続されているまた、暗号化復号回路 6 1 3 4は、さらに外部データバス 6 1 4 4を介して外部メモリ 6 1 6 0に接続されている。また、選択回路 6 1 3 6は、さらに外部データバス 6 1 4 5を介してデバッガ 6 1 6 1に接続されている。なお、半導体チップ 6 1 3 1においても、図 1 0 3に示すソフトウア構造が同様に適用される。ここで、半導体チップ 6 1 3 1が第 2の発明の半導体回路に対応し、外部デ一タバス 6 1 4 4が第 1の発明の第 1の伝送路に対応し、外部メモリ 6 1 6 0が第 2の発明の記憶装置に対応し、プログラムモジュール P M— 1が第 2の発明のプログラムを実行する命令などに対応し、暗号化復号回路 6 1 3 4が第 2の発明の暗号化復号回路に対応し、判定回路 6 1 3 5が第 2の発明の制御回路に対応し、選択回路 6 1 3 6が第 2の発明の選択回路に対応し、 C P U 6 1 3 7が第 2の演算回路に対応し、外部データバス 6 1 4 5が第 2の発明の第 2の伝送路に対応している。先ず、外部メモリ 6 1 6 0について説明する。図 1 0 5に示すように、外部メモリ 6 1 6 0には、プ CJグラムモジュール P M — 1 , P M— 2 , P M— 3が記憶されている。本実施形態では、プログラムモジュール P M_ 1が秘匿性のある場合について例示する。秘匿性のあるプログラムモジュール P M— 1は暗号化されて外部メモリ 6 1 6 0に記憶されている。秘匿性のないプログラムモジュール P M_ 2 , P M— 3は、暗号化されていてもよいし、そうでなくてもよい。図 1 0 6は、プログラムモジュール P M— 1の構成を説明するための図である図 1 0 6に示すように、プログラムモジュール P M— 1は、複数の機能モジュールから構成される。図 1 0 6は、 n個の機能モジュール F M— 1〜F M— nから構成される場合を示している。図 1 0 6に示すように、各機能モジュール F M— 1〜F M— nの先頭には、 I D番号を指定する I D番号指定命令が設定されている。当該 I D番号指定命令は、暗号化されていない。ここで、 I D番号は、対応する機能モジュールを識別するための情報であり、後述するように暗号化復号回路 6 1 3 4で各機能モジュールを復号する際に、当該復号に用いる鍵情報を特定するために用いられる。また、各機能モジュール F M— 1〜F M— nの末尾には、 I D番号を「# 0」に指定する命令（それ以後の命令が鍵を用いていない、すなわち暗号化されていないことを示す命令）が置かれている。各機能モジュールは、図 1 0 7に示すように、所定のデータ長のブロックデータを単位として暗号化されており、ブ口ックデータ 1〜ηにパリティデータ 1〜 ηが付加されている。暗号化復号回路 6 1 3 4は、例えば、外部メモリ 6 1 6 0に書き込むプロダラムモジュール P M— 1の図 1 0 6に示す機能モジュールを、図 1 0 7に示すように、所定のプロックデータを単位として暗号化する。このとき、暗号化復号回路 6 1 3 4は、各機能ブロック図毎に、任意の鍵情報を用いて暗号化を行い、各機能ブロックの先頭に図 1 0 6を用いて前述したように各機能モジュールを識別するための I D番号を指定する暗号化されていない（平文の） I D番号指定命令（情報）を設定する。また、暗号化復号回路 6 1 3 4は、各機能モジュールに指定された I D番号（第 2の発明の鍵特定情報）と、当該機能モジュールの暗号化に用いた鏈情報とを対応付けて示す図 1 0 8に示す鍵情報テーブル 6 1 9 0を生成し、これを保持する。また、暗号化復号回路 6 1 3 4は、当該ブロックデータを暗号化する際に、図 1 0 7に示すように、各プロ 'ンクデータについてパリティデータを生成し、当該パリティデータを対応するブロックデータと対応付けて外部メモリ 6 1 6 0に記憶する。このとき、暗号化復号回路 6 1 3 4は、ブロックデータおよびパリティデータの値の総和が所定の値になるように、パリティデータを生成する。また、暗号化復号回路 6 1 3 4は、外部メモリ 6 1 6 0から入力した機能モジユールを、当該機能モジュールの先頭の I D番号指定命令が指定する I D番号をキーとして、図 1 0 8に示す鍵情報テーブル 6 1 9 0を参照して鍵情報を得る。そして、暗号化復号回路 6 1 3 4は、当該鍵情報を用いて、当該機能モジュールを前述したブ πックデータを単位として復号する。また、暗号化復号回路 6 1 3 4は、機能モジュールを復号した後に、当該機能モジュールに対応するパリティデータの正当性を判断する。このとき、正当であると判断された場合には、当該復号されたデータが C P U 6 1 3 7に出力される。一方、正当でないと判断された場合には、 C P U 6 1 3 7の動作を停止したり、所定のエラ一処理が行われる。なお、本実施形態において、ブロックデータのデータ長と、機能モジュールのデータ長とは同じでも、異なっていてもよい。判定回路 6 1 3 5は、 C P U 6 1 3 7が秘匿性のあるプログラムモジュール P M— 1にアクセス（例えば、フツチ）している間は、無効ノ非接続を指示する判定結果信号 S 6 1 3 5を生成し、これを選択 HI路 6 1 3 6に出力する。また、判定回路 6 1 3 5は、 C P U 6 1 3 7が秘匿性のあるプログラムモジュール PM— 1にアクセス（例えば、フヱツチ）していない間は、有効ノ接続を指示する判定結果信号 S 6 1 3 5を生成し、これを選択回路 6 1 3 6に出力する。判定回路 6 1 3 5は、ァドレスバス 6 1 4 1および信号線 6 1 4 2に流れる C P U 6 1 3 7が出力したアドレスおよび命令を監視し、それに基づいて、 C P U 6 1 3 7がプログラムモジュール PM_ 1にアクセスしているか否かを判断する選択回路 6 1 3 6は、判定回路 6 1 3 5からの判定結果信号 S 6 1 3 5が無効 /非接続を示す場合には、デバッガ 6 1 6 1から入力した HAL T信号 S 6 1 6 1 a (第 2の発明の動作停止要求）を無効にして C P U 6 1 3 7には出力しない。ここで、 HAL T信号 S 6 1 6 1 aは、 C P U 6 1 3 7の動作を一時的に停止することを指示する信号である。選択回路 6 1 3 6は、判定回路 6 1 3 5からの判定結果信号 S 6 1 3 5が無効 /非接続を示す場合には、デバッガ 6 1 6 1から入力した C P U内部状態読み出し要求信号 S 6 1 6 1 bおよび C P U内部状態書き換え要求信号 S 6 1 6 1 cを無効にして C P U 6 1 3 7には出力しない。ここで、 C P U内部状態読み出し要求信号 S 6 1 6 1 bは、 C P U 6 1 3 7の内部状態を示す情報を要求する信号である。 C P U内部状態書き換え要求信号 S 6 1 6 1 cは、 C P U 6 1 3 7の内部状態を示す情報の書き換えを要求する信号である。一方、選択回路 6 1 3 6は、判定回路 6 1 3 5からの判定結果信号 S 6 1 3 5 が有効ノ接続を示す場合には、デバッガ 6 1 6 1から入力した HALT信号 S 6 1 6 1 aを C P U 6 1 3 7には出力する。選択 HI路 6 1 3 6は、判定回路 6 1 3 5からの判定結果信号 S 6 1 3 5が有効 /接続を示す場合には、デバッガ 6 1 6 1から入力した C P U内部状態読み出し要求信号 S 6 1 6 1 bおよび C P U内部状態書き換え要求信号 S 6 1 6 1 cを C P U 6 1 3 7に出力する。また、選択回路 6 1 3 6は、 C P U内部状態読み出し要求信号 S 6 1 6 1 bに応じて C P U 6 1 3 7から入力した C P U内部状態信号 S 6 1 3 7 dをデバッガ 6 1 6 1に出力する。 C P U 6 1 3 7は、アドレスバス 6 1 4 1に外部メモリ 6 1 6 0のアドレス、並びに信号線 6 1 4 2に実行中の命令の種類を示す命令種類指示信号 S 6 1 3 7 aを出力し、それに応じて、外部データバス 6 1 4 4および暗号化復号回路 6 1 3 4を介して外部メモリ 6 1 6 0から読み出したプログラムモジュール PM—1 , PM— 2, P M— 3の命令およびデータを用いて処理を行う。 C P U 6 1.3 7は、選択回路 6 1 3 6を介してデバッガ 6 1 6 1から H A L T 信号 S 6 1 6 1 aを入力すると、 C P U 6 1 3 7の動作を停止する。また、 C P U 6 1 3 7は、選択回路 6 1 3 6を介してデバッガ 6 1 6 1から C P U内部状態読み出し要求信号 S 6 1 6 1 bを入力すると、当該信号 S 6 1 6 1 bによって指定された C P U 6 1 3 7内の内部状態を示す情報を舍む内部状態信号 S 6 1 3 7 dを選択画路 6 1 3 6を介してデバッガ 6 1 6 1に出力する。また、 C P U 6 1 3 7は、選択 HI路 6 1 3 6を介してデバッガ 6 1 6 1から C P U内部状態書き換え要求信号 S 6 1 6 1 cを入力すると、 C P U6 1 3 7の内部状態を示す情報を、信号 S 6 1 6 1 cによって指定された内容で書き換える。これによつて、 C P U 6 1 3 7の動作がデバッガ 6 1 6 1によつて制御される。デバッガ 6 1 6 1は、デバッグの目的に応じた HALT信号 S 6 1 6 1 aを用いて C P U 6 1 3 7の動作を制御し、 C P U 6 1 3 7の動作を内部状態読み出し要求信号 S 6 1 6 1 bおよび内部状態信号 S 6 1 3 7 dを用いて監視し、 C P U 内部状態書き換え要求信号 S 6 1 6 1 cによって C P U 6 1 3 7をカスタマイズする。以下、図 1 0 5に示す半導体チップ 6 1 3 1の動作例を説明する。〔第 1の動作例〕当該動作例では、 C P U 6 1 3 7が外部メモリ 6 1 6 0に、プログラムモジュール PM— 1のデータを書き込む場合を説明する。 C P U 6 1 3 7が書き込みデータを、 C P Uデータバス 6 1 4 0を介して暗号化復号回路 6 1 3 4に出力する。そして、暗号化復号画路 6 1 3 4において、当該書き込みデータ力前述したように、各機能モジュールに対応した鍵情報を用いて、ブロックデータ単位で暗号化され、外部データバス 6 1 4 4を介して外部メモリ 6 1 6 0に書き込まれるまた、当該暗号化に用いた鍵情報に関する情報が、図 1 0 8に示す鍵情報テーブル 6 1 9 0に追加される。このとき、判定回路 6 1 3 5は、無効/非接続を示す判定結果信号 S 6 1 3 5 を選択回路 6 1 3 6に出力しており、選択回路 6 1 3 6から発行された HAL T 信号 S 6 1 6 1 a、 C P U内部状態読み出し要求信号 S 6 1 6 1 bおよび C P U 内部状態書き換え要求信号 S 6 1 6 1 cは C P U 6 1 3 7には出力されない。また、外部データバス 6 1 4 4上では、書き込みデータは暗号化されているため、外部データバス 6 1 4 4が不正にスロープされても、プログラムモジュール P M一 1の秘匿性は失われない。〔第 2の動作例〕当該動作例では、 C P U 6 1 3 7が外部メモリ 6 1 6 0からプログラムモジュ —ル PM—1の命令またはデータを読み出す場合を説明する。 C P U 6 1 3 7が発行したリード命令によって、外部メモリ 6 1 6 0の指定されたアドレスから、プログラムモジ'ユール PM—1の命令またはデータ力外部データバス 6 1 4 4を介して暗号化復号回路 6 1 3 4に出力される。そして、暗号化復号回路 6 1 3 4において、入力したデータの各機能モジユールの先頭に設定された I D番号指定命令が示す I D番号を基に、図 1 0 8に示す鍵情報テーブル 6 1 9 0が参照され、当該 I D番号に対応した鍵情報が得られるそして、暗号化復号回路 6 1 3 4において、外部メモリ 6 1 6 0から読み出した命令またはデータを、当該鍵情報を用いて、ブロックデータ単位で復号し、その後パリティ処理を行う。そして、パリティ処理を経たデータまたは命令が、 C P Uデータバス 6 1 4 0 を介して C P U 6 1 3 7に出力される。このとき、判定回路 6 1 3 5は、無効/非接続を示す判定結果信号 S 6 1 3 5 を選択面路 6 1 3 6に出力しており、選択回路 6 1 3 6から発行された HA L T 信号 S 6 1 6 1 a . C P U内部状態読み出し要求信号 S 6 1 6 1 bおよび C P U 内部状態書き換え要求信号 S 6 1 6 1 cは C P U 6 1 3 7には出力されない。また、外部データバス 6 1 4 4上では、書き込みデータは暗号化されているため、外部データバス 6 1 4 4が不正にスロープされても、プログラムモジュール P M— 1 の秘匿性は失われない。以上説明したように、半導体チップ 6 1 3 1によれば、秘匿性のあるプログラムモジュール P M一 1を半導体チップ 6 1 3 1 の外部の外部メモリ 6 1 6 0に記憶した場合でも、プログラムモジユール P M„ 1の秘匿性を保持できる。すなわち、外部メモリ 6 1 6 0に記憶された秘匿性のあるプログラムモジユール P M— 1に C P U 6 1 3 7がアクセスを行っているときは、選択画路 6 1 3 6 によって、デバッガ 6 1 6 1が C P U 6 1 3 7と通信を行うことを禁止するため、 C P U 6 1 3 7が実行するプログラムモジユール P M一 1 の処理がデバッガ 6 1 6 1によって不正に監視されることを防止できる。また、外部メモリ 6 1 6 0から読み出したデータおよび命令を復号後に、パリティ処理を行うことから、不適切な鍵情報を用いて復号が行われたり、データおよび命令が破壊あるいは改竄されている場合には、そのことをパリティ処理で検出し、適切に対処できる。本発明は上述した実施形態には限定されない。例えば、上述した実施形態では、図 1 0 8に示す鍵情報テーブル 6 1 9 0、すなわち鍵情報を判定回路 6 1 3 5が保持する場合を例示したが、鍵情報テーブル 6 1 9 0を暗号化して外部メモリ 6 1 6 0に記憶してもよい。第 9実施形態本実施形態は、第 2 2〜第 2 4の発明に対応した実施形態である。以下、本発明の実施の形態を添付図面を参照して説明する。図 1 0 9は、本実施形態の通信システム 7 0 1の全体構成図である。図 1 0 9に示すように、通信システム 7 0 1は、サーバ装置 702、 I C力一ド 7 0 3、カードリーダ · ライタ 7 0 4、パーソナルコンピュータ 7 0 5、 AS P (Application Service Provider)サーノヾ装置 7 1 9、 SAM (Secure Applicat ion Module) ユニット 7 0 9を用いて、ィンターネット 7 1 0を介して通信を行つて I Cカード 70 3 (本発明の集積回路）を用いた決済処理などの手続き処理 τつ。 SAMユニット 7 0 9 (本発明のデータ処理装置）は、外部メモリ 7 0 7 (本発明の記憶回路）および SAMチップ 7 0 8 (本発明の半導体回路）を有する。 SAMチップ 7 0 8は、必要に応じて、他の SAMチップ 7 0 8 a (本発明の他の半導体回路）とデータの授受を行う。 SAMチップ 70 8 aは、例えば、図 1 1 0に示すように S AMチップ 7 0 8とは異なる他の AS Pサーバ装置 7 1 9 aに接続されていたり、あるいは、図 1 1 1に示すように、 SAMチップ 70 8 と同じ A S Pサーバ装置 7 1 9に接続されている。 S AMチップ 7 0 8 aの構成は、基本的に S AMチ 'ンプ 7 0 8と同じである。以下、図 1 0 9に示す構成要素について説明する。〔 I Cカード 7 0 3〕図 1 1 2は、 I Cカード 7 0 3の機能ブロック図である。図 1 1 2に示すように、 I Cカード 7 0 3は、メモリ 75 0および C P U 7 5 1を備えた I C (Integrated Circuit) 7 0 3 aを有する。メモリ 7 5 0は、図 1 1 3に示すように、クレジットカ一ド会社などのサ一ビス事業者 7 1 5—1が使用する記憶領域 7 5 5— 1、サービス事業者 7 1 5— 2 が使用する記憶領域 7 5 5— 2、並びにサービス事業者 7 1 5— 3が使用する記憶領域 7 5 5— 3を有する。また、メモリ 7 5 0.は、記憶領域 7 55— 1へのアクセス権跟を判断するために用いられる鍵データ、記憶領域 7 5 5— 2へのアクセス権限を判断するために用いられる鍵データ、並びに記憶領域 75 5— 3へのアクセス権限を判断するために用いられる鍵データを記憶している。当該鍵データは、相互認証や、データの暗号化および復号などに用いられる。また、メモリ 7 5 0は、 I Cカード 7 0 3あるいは I Cカード 70 3のユーザの識別データを記憶している。以下、 S AMュニット 7 0 9について詳細に説明する。 S AMュニット 7 0 9は、前逮したように、外部メモリ 7 0 7 (本発明の記憶回路）と SAMチップ 7 0 8 (本発明の半導体回路）とを有する。〔 SAMチップ 7 0 8のソフトゥヱァ構成〕 SAMチップ 7 0 8は、図 1 1 4に示すようなソフトウエア構成を有している図 1 1 4に示すように、 SAMチップ 7 0 8は、下層から上層に向けて、 HW (Hardware)層、 O S層、下位ハンドラ層、上位ハンドラ層および A P層を順に有している。下位ハンドラ層には、ドラィバ層が舍まれる。ここで、 AP層では、図 1 0 9に示すクレジットカ一ド会社などのサービス事業者 7 1 5— 1 , 7 1 5— 2, 7 1 5— 3による I Cカード 7 0 3を用いた手続きを規定したアプリケーションプログラム A P—1 , AP— 2, AP— 3 (本発明のアプリケーションプログラム）が、外部メモリ Ί 0 7から読み出されて動作している。 AP層では、アプリケーションプログラム A P—1 , AP— 2 , AP— 3相互間、並びに上位ハンドラ層との間にフアイァウォール FWが設けられている。〔外部メモリ 7 0 7〕図 1 1 5は、外部メモリ 7 0 7の記憶領域を説明するための図である。図 1 1 5に示すように、外部メモリ 7 0 7の記憶領域には、サービス事業者 7 1 5 _ 1のアプリケーションプログラム AP— 1が記憶される AP記憶領域 7 2 2 0_1、サービス事業者 7 1 5— 2のアプリケーションプログラム A P_ 2が記憶される AP記憶領域 7 2 2 0 _2、サービス事業者 7 1 5— 3のアプリケーシヨンプログラム A P— 3が記憶される A P記憶領域 7 2 2 0— 3、並びに S A Mチップ 7 0 8の管理者が使用する AP管理用記憶領域 7 2 2 1がある。 A P記憶領域 7 2 2 0— 1に記憶されているアプリケーションプログラム A P — 1は、後述する複数のアプリケーションエレメントデータ AP E (本発明のデータモジュール）によって構成されている。 AP記憶領域 7 2 2 0—1へのァクセスは、フアイァウォール F W— 1によって制限されている。 A P記憶領域 7 2 2 0— 2に記憶されているアプリケ一ションプログラム A P —2は、複数のアプリケーションェレメントデータ AP Eによって構成されている。 A P記憶領域 7 2 2 0— 2へのアクセスは、ファイアウォール FW— 2によつて制限されている。 A P記憶領域 7 2 2 0— 3に記憶されているアプリケーションプログラム A P 一 3は、複数のアプリケーションェレメントデータ AP Eによって構成されている。 AP記憶領域 7 2 2 0— 3へのアクセスは、ファイアウォール FW— 3によつて制限されている。本実施形態では、上記ァプリケーシヨンエレメントデータ A P Eは、例えば、 SAMユニット 7 0 9の外部から外部メモリ 7 0 7にダウンロードされる最小単位である。各アプリケーションプロダラムを構成するアプリケーションェレメントデータ AP Eの数は、対応するサービス事業者が任意に決定できる。また、外部メモリ 7 0 7に記憶されたアプリケーションプログラム AP— 1 , AP— 2 , A P— 3は、スクランブルされており、 S AMチップ 7 0 8に読み込まれたときに、デスクランブルされる。また、アプリケーションプログラム A P— 1 , A P— 2 , A P— 3は、例えば、それぞれ図 1 0 9に示すパーソナルコンピュータ 7 1 6— 1 , 7 1 6— 2 , 7 1 6— 3を用いて、サービス事業者 7 1 5— 1 , 7 1 5— 2 , 7 1 5— 3によつて作成され、 S AMチップ 7 0 8を介して外部メモリ 7 0 7にダウンロードされる。以下、アプリケーションプログラム AP— 1 , A P_2 , A P— 3について詳細に説明する。アプリケーションプログラムは、サ一ビス事業者毎に、 S AM内に単数または複数個存在する。アプリケーションプログラム AP— 1 , A P— 2 , AP— 3 (以下、 APとも記す）は、図 1 1 6に示すように、アプリケーションプログラム APを識別するための識別データ AP— I Dと、当該アプリケーションプログラムに舍まれるァプリケーションエレメントデータ A P Eの数を示すデータ A P E— N UMと、単数または複数のアプリケーションエレメントデータ A P Eとによって構成される識別データ A P— I Dは、サービス事業者毎に異なるように決められている。図 1 1 6に示すように、アプリケ一ションエレメントデータ AP Eは、当該ァプリケ一ションエレメントデータ A P Eのデータサイズを示すデータ A P E— S I Z Eと、当該アプリケーションエレメントデータ AP Eを識別するための識別データ AP E— I Dと、データ本体 AP E— P Lとで構成される。ここで、識別データ AP E— I Dは、アプリケーションェレメントデータ AP Eの種別を示すデータ AP E— TYP Eと、当該種別内でのアプリケーションェレメントデータ AP Eの識別番号（ィンスタンス識別番号）を示すデータ I NS _NUMとで構成される。データ I NS—NUMは、エンドユーザ（サービス事業者）側で管理される。例えば、アプリケ一シヨンエレメントデータ AP Eがファィルシステムコンフィグレ一ションの場合には、データ A P E— T Y P Eが「 2」となり、データ I NS— NUMが「 1」となる。これにより、同一の SAMであれば、識別データ AP E__ I Dにより一意にアプリケーションエレメントデータ APEを特定できる。図 1 1 5に示す外部メモリ 7 0 7には、上述したアプリケーションプログラム AP (AP— 1 , AP— 2, AP— 3 ) 力 SAMユニット 7 0 9外で暗号化鍵データ K— A Pによって暗号化されて、アプリケーションプログラム 'パッケ一ジ AP Pとして記憶されている。暗号化鍵データ K— A Pとしては、アプリケ一ションプログラム毎で異なる暗号化鍵データが用いられる。以下、図 1 1 6を用いて説明したアプリケーションエレメントデータ AP Eの種類について説明する。図 1 1 7は、 1つの A P領域内に記憶されたアプリケ一ションエレメントデ一タ AP Eの一例を示す図である。図 1 1 7に示すように、 A P領域内には、カードアクセス鍵データ、ファイルシステムコンフィグレーションデータ、 S AM相互認証用鍵データ、 SAM間鍵パッケージ鍵データ、 I C力一ド操作用マク口コマンドスクリプトプログラム（本発明の処理手順データ）、メモリ分割用鏈パッケージ、エリア登録鏈パッケージ、エリア削除用鍵パッケージ、サービス登録用鍵パッケージ、サービス削除用鏈ハ'ッケージ、 A Pリソース鍵データ K— A P Eが、アプリケーションエレメントデータ AP Eとして記憶されている。以下、図 1 1 7に示す各アプリケ一ションエレメントデータ A P Eについて説明する。 • 力一ドアクセス鍵データカードアクセス鍵データは、 I Cカード 7 0 3のメモリ 7 5 0に対してのデータの読み書き操作に用いられる鍵データである。また、後述する I Cカード操作用マクロコマンドスクリプトプログラムで参照される鍵データも、カードァクセス鍵データと同じ種別のアプリケ一ションエレメントデータ A P Eに舍まれる ' ファイルシステムコンフィグレーションデータファイルシステムコンフィグレーションデータとしては、例えば、ログデータ、ネガデータ、ジャーナルデータがある。 πグデータは例えばアプリケーションエレメントデータ A P Eの利用履歴データであり、ネガデータは例えば I Cカードの失効情報であり、ジャーナルデ一タは例えば S A Mでの実行履歴である。例えば、ファイルシステムコンフィグレーションでは、ファイルアクセスの種別（レコードキー指定 ' ソート · リング）の選択を行い、レコードキーの場合であれば、レコードサイズ、レコード全体件数 ' レコ一ド署名バージョン ' レコ一ド署名メソッドタイプ、レコードデータサイズ、レコード署名鍵を設定する。さらに、外部から本フアイルシステムにデータを書き込む際に署名検証を実施するかの有無の指定などを行う。ここでレコードとは、ファイルデータへの書き込みノ読み出しの最小単位である。 • S A M相互認証用鍵データ同一 S A M内にある A P間相互認証にも使用される。 S A M相互認証用鍵データとは、対応するアプリケーションエレメントデータ A P Eを同一 S A M内の他の A Pまたは他の S A Mからアクセスする際に用いられる鍵データである。 • S A M間鍵パッケージ鍵 S A M間鍵パ.ンケージ鍵とは、 S A M間での相互認証後、カードアクセス鍵データなどのデータを交換する際に用いられる暗号化用鍵データである。 ' I Cカード操作用マクロコマンドスクリプトプログラム I C力一ド操作用マク口コマンドスクリプトプログラムは、サービス事業者自身によって生成され、 I Cカード 7 0 3に係わる処理の順番や A S Pサーバ装置 7 1 9とのやり取りを記述している。 I Cカード操作用マクロコマンドスクリブトプログラムは、 S A Mユニット 7 0 9に設定された後に、 S A Mチップ 7 0 8 内で解釈され、対応する I Cカードェンティティデータが生成される。 • メモリ分割用鍵パッケージメモリ分割用鍵パッケージは、サービス事業者が I Cカード 7 0 3を用いたサ —ビスの運用開始前に、外部メモリ 7 0 7や I Cカード 7 0 3のメモリの記憶領域を分割するために使用するデータである。 ' ェリァ登録鍵パッケージエリア登録鍵パッケージは、サービス事業者が I Cカード 7 0 3を用いたサ一ビスの運用開始前に、 I Cカード 7 0 3のメモリの記憶領域にエリア登録を行う場合に使用するデータである。 •エリア削除用鍵パッケージ（内部生成）エリァ削除用鍵パッケージは、カードアクセス鍵データから S A M内部で自動生成が可能なパッケージである。，サービス登録用鍵（内部生成）サービス登録用鍵パッケージは、サービス事業者が I cカード 7 0 3を用いたサービスの運用開始前に、外部メモリ 7 0 7のアプリケーションエレメントデ一タ A P Eを登録するために用いられる。サービス登録用鍵パッケージは、カードアクセス鍵データから S A M内部で自動生成が可能なパッケージである。 • サービス削除用鍵パッケージ（内部生成）サービス削除用鍵パッケージは、外部メモリ ·7 0 7に登録されているアプリケ —シヨンエレメントデータ ΑΡ Εを削除するために用いられる。サービス削除用鍵パッケージは、力一ドアクセス鍵データから S A Μ内部で自動生成が可能なパッケージである。 •鍵データ K_A P E 鍵データ K— AP Eは、アプリケーションエレメントデータ AP Eを設定する際の暗号用鍵として使用され、 A P領域毎に、アプリケーションエレメントデータ AP Eを設定するために異なる鍵データ K„AP Eが割り当てられている。以下、上述した I Cカード操作用マクロコマンドスクリプトプログラム（以下、スクリプトプログラムとも記す）について詳細に説明する。スクリプトプログラムは、 SAMチップ 7 0 8上で動作するサービス事業者 7 1 5— 1 , 7 1 5— 2, 7 1 5— 3のアプリケーションプログラム AP— 1 , A P_2> AP— 3、並びに当該アプリケーションプログラムの実行時に I Cカード 7 0 3が行う処理の手続きを規定するためのプログラムである。本実施形態では、後述するように、図 1 1 8に示すように、 SAMチップ 7 0 8内で、スクリプトダウンロードタスク 7 6 9およびスクリプト解釈タスク 7 7 0に基づいて処理を行い、 A P管理テーブルデータおよびスクリブトプログラムから、サービス事業者 7 1 5— 1 , 7 1 5_2, 7 1 5— 3に関する手続きに用いられる I Cカードエンティティテンプレートデータ 7 3 0— 1、入力用データブロック 7 3 1— X 1、出力用データブロック 7 3 2— X 2、ログ用デ一タブ口ック 7 3 3— X 3および演算定義用デ一タブ口ック 7 3 4— X 4を生成する。図 1 1 9は、 I Cカード操作用マクロコマンドスクリプトプログラムの記述に用いられるコマンドを説明するための図である。当該コマンドは、 SAMチップ 7 0 8自身に対してのコマンドは、第 1文字が「S」となり、 I Cカード 7 0 3の操作に係わるコマンドは第 1文字が「 C」となっている。また、第 2文字は、用途により使い分けられ、例えば、 I Cカード 7 0 3の発行元設定宣言は「 I 」、利用するアプリケーシヨンエレメントデータ A P Eの宣言（サービスタイプエレメント宣言）は「S」、 I Cカード 7 0 3からの単純読み込み宣言は「R」、 I Cカード 7 0 3への単純書き込み宣言は「W」、アプリケーションェレメントデータ A P E間演算定義は「 F」になっている。スクリプトプログラム 7 2 1— 1 > 7 2 1— 2 , 7 2 1—3の記述に用いられるコマンドには、 S Cコマンド、 S Oコマンド、 S I コマンド、 S Lコマンド、 S Fコマンド、 C I コマンド、 C Sコマンド、 C Rコマンド、 C Wコマンドがぁる。 S Cコマンドは、 S A Mチップ 7 0 8が同時に処理することができる最大数の I Cカードエンティティデータの数を宣言するコマンドである。例えば、 S A Mチップ 7 0 8が 1 0 0 0個の I C力一ドエンティティデータを同時に処理可能な場合には、「S C ： 1 0 0 0」と記述される。 S〇コマンドは、後述する I Cカードエンティティデータに基づいて I C力一 7 0 3を用いた処理を行う際に、 S A Mチップ 7 0 8内で用意されたデータブロックのうち、 I Cカード 7 0 3から読み取ったデータが格納される出力用データブロック 7 3 2— X 2となるデ一タブ口ックを宣言するコマンドである。例えば、デ一タブロック 1〜1 0が用意されている場合に、 I Cカード 7 0 3 から読み取ったデータをデータブック 1に格納する場合には、「S O ： 1」と記述される。 S Iコマンドは、後述する I Cカードエンティティデータに基づいて I Cカード 7 0 3を用いた処理を行う際に、 S A Mチップ 7 0 8内で用意されたデ一タブロックのうち、 I Cカード 7 0 3に書き込むデータが格納される入力用データブロック 7 3 1— X 1 となるデータプロ 'ンクを宣言するコマンドである。例えば、データブロック 1〜1 0が用意されている場合に、 I Cカード 7 0 3 に書き込むデータをデータブロック 2 , 3に格納する場合には、「S I : 2, 3 」と記述される。 S Lコマンドは、後述する I Cカードエンティティデータに基づいて I Cカード 7 03を用いた処理を行う際に、 SAMチップ 70 8内で用意されたデ一タブロックのうち、操作に係わる口グデータを格納する口グ用データブロック 7 3 3 — X 3となるデ一タブ口 'ンクを宣言するコマンドである。例えば、データブロック 1〜 1 0が用意されている場合に、ログデータをデ一タブロック 4に格納する場合には、「S L ： 4」と記述される。 S Fコマンドは、 I Cカード 70 3に係わる相互のァプリケーシヨンエレメントデータ AP E間の関係を定義を記述する演算定義用データブロック 7 3 4_x 4となるデータプロックを用意するためのコマンドである。演算定義用データブロック Ί 3 4— X 4の内容は、 I Cカードエンティティデ —タの処理前データとなる。 C Iコマンドは、 I Cカード 70 3の発行元（サービス事業者）を宣言するためのコマンドである。 C Iコマンドで定義されたサービス事業者を特定するデータは、 I Cカードエンティティデータの I Cカード種別データとなる。 C Sコマンドは、アプリケーションエレメントデータ A P E (サービスタイプエレメント）の名前 AP E— Nを引用して、 I Cカード 7 0 3への複数のサ一ビスの同時操作を行うことを宣言する.コマンドである。 C Sコマンドでは、名前 A P E— Nによって指定されたアプリケ一ションエレメントデータ AP E間の演算を規定する関数を宣言できる。例えば、「 C S ： " R c " +" W c " +" W d " 」などの宣言を行える。C Sコマンドの内容に基づいて、 I Cカードエンティティデータの A P E— N 指定データ、並びに処理順番データが決定される。 CRコマンドは、アプリケ一ションエレメントデータ A P E間の関係の定義が行われていない場合（ S Fコマンドが記述されていない場合）に、 I Cカード 7 0 3から読み出したデータを指定したデータブロックに格納することを宣言する例えば、 I Cカード 7 0 3から読み出したデータをデータブロック 1に格納する場合には「 C R ： S 0 ： 1 =" R c " 」と記述する。 C Wコマンドは、アプリケーションエレメントデータ A P E間の関係の定義が行われていない場合に、指定したデータブロックに格納したデータを I Cカード 7 0 3に書き込むことを宣言する。例えば、データプロック 2に格納されたデータを I Cカード 7 0 3に書き込む場合には「 C W ： S I ： 2 = " W c " 」と記述する。 C Fコマンドは、サ一ビスを跨がった演算内容を記述するデータプロックを宣する。例えば、サービスを跨がった演算内容を S Fデ一タブ口ック 1に記述する場合には、 C F ： C E S_F UN C = S F ： 1」とする。そして、 S Fデータブロック 1内に、例えば、「 "Wc " = 1 f ( "W c " > 1 0 ) t e n ( "W c " - 1 0 ; "W d " = "W c " * 0. 0 8 + "W d " ) J と記述する。本式は、サービス W cの残数が 1 0よりも大きいときに Wcの値を 1 0減算し、 W cの 8 %に相当するボイント数として蓄積ボイントとして Wd に加算する操作を表現している。以下、図 1 1 5に示す外部メモリ 7 0 7の A P管理用記憶領域 7 2 2 1に記憶されたデータについて説明する。 A P管理用記憶領域 7 2 2 1へのアクセスは、ファイアウォール FW— 4によつて制限されている。なお、ファイアウォール FW— 4は、図 1 1 4に示すファイアウォール FWに対応している。図 1 2 0は、 AP管理用記憶領域 7 2 2 1に記憶されているデータの詳細を説明するための図である。 A P管理用記憶領域 7 2 2 1には、図 1 2 0に示すように、 A P管理用テープルデータ 7 3 0 0— 1 , 7 3 0 0 _ 2 , 7 3 0 0 _3 (本発明の管理データ）と、 AP Pテーブルデータ 7 3 1 0— 1 , 7 3 1 0— 2, 7 3 1 0— 3 (本発明の利用許諾データ）とが記憶されている。ここで、 A P管理用テーブルデータ 73 0 0—1 , 7 3 0 0— 2, 73 0 0— 3と、 AP Pテーブルデータ 7 3 1 0— 1 , 7 3 1 0— 2, 7 3 1 0 __3は、例えば、 S AMチップ 7 0 8のセットアップ時に予め登録されている。また、 AP 管理用テーブルデータ 7 3 0 0— 1 , 73 0 0— 2, 7 3 0 0_3と、 AP Pテ —ブルデータ 7 3 1 0— 1 , 7 3 1 0— 2, 7 3 1 0—の書き換えは、 SAMチップ 7 0 8の管理者のみが行える。 AP管理用テーブルデータ 7300—1 , 7 3 0 0— 2, 7 300— 3は、ァプリケーションプログラム A P毎に規定されている。また、 AP Pテーブルデータ 7 3 1 0— 1 , 7 3 1 0— 2, 7 3 1 0— 3は、 SAM相互認証鍵データ毎に規定されている。図 1 2 1は、 A P管理用テーブルデータ 7 3 0 0 _ 1を説明するための図である。 A P管理用テーブルデータ 73 0 0— 2, 7 3 0 0_3も、 A P管理用テ一ブルデータ 7 3 0 0—1と同じフォーマ'ントを有している。図 1 2 1に示すように、 I Cカード操作用マク口コマンドスクリプトプロダラム内で用いられる参照されるアプリケ一ションエレメントデータ AP Eの名前 A P E— Nのそれぞれについて、識別データ AP E— I D、内部ノ外部指定データ I E I、識別データ SAM— I D、識別データ AP— I D、鍵データ K— CAR DA (本発明の第 2の鏈データ）、鍵データ K_SAM (本発明の第 1の鍵デ一タ）、データ S E T— AP P、データ F L AG— 'I Pおよびデータ F L AG_S T Rを対応付けて示している。アプリケーションエレメントデータ AP Eの名前 AP E— Nは、サービス事業者 7 1 5— 1 , 7 1 5 _2 , 7 1 5_3のアプリケーションプログラムによって提供されるサービス（アプリケーションエレメントデータ AP E) に付けられた名前である。名前 AP E— Nは、各サービス事業者のアプリケーションプロダラムが使用できるサービスのサービス番号の替わりに参照される識別子である。ここで、識別データ AP E— I Dは、アプリケーションエレメントデータ AP Eの識別データである。内部/外部指定データ I E Iは、 AP Eが実体として存在するのか（内部指定 ) 、あるいは他の SAMから参照するのか（外部指定）を区別するフラグである識別データ SAM— I Dは、 SAMチップ 7 0 8が当該アプリケ一ションエレメントデータ A P Eに係わる処理を行う際にデータ授受を行う相手側の SAMの識別データである。図 1 22は、 S AM— I Dを説明するための図である。 SAM— I Dは、 4バイトのデータであり、 T C PZ I Pに類似したネットマスクの概念を有している。ネットマスクはビット単位での設定が可能である。例えば、当該ネットマスクは、図 1 2 2に示すように、 Aクラス、 Bクラスおよび Cクラスの 3種類に分類される。そして、同一のネ 'ントマスクが割り当てられた SAM相互間では、相互認証に使用する鍵データは 1種類でよい。本実施形態では、例えば、同一のサービス事業者に同一のネットマスクが割り当てられる図 1 2 2において、 Aクラスのネットマスクは、「 25 5. XX, XX. XX 」で示され、上位 1バイトに当該クラスを特定するための所定の値が割り当てられ、下位 3バイトに、当該クラスに属する個々の SAMを特定するための値が割り当てられる。ここで、「XX」には任意の値を設定できる。すなわち、 Aクラスのネットマスクによって、当該 Aクラスに属する 1 677 7 2 1 5個の SAM 一 I Dを規定できる。また、 Bクラスのネットマスクは、「 2 5 5. 2 5 5. XX. XX」で示され、上位 2バイトに当該クラスを特定するための所定の値が割り当てられ、下位 2 バイトに、当該クラスに属する個々の SAMを特定するための値が割り当てられる。すなわち、 Bクラスのネ 'ントマスクによって、当該 Bクラスに属する 6 55 3 5個の SAM— I Dを規定できる。また、 Cクラスのネットマスクは、「 2 5 5. 2 5 5. 2 5 5. XX」で示され、上位 3バイトに当該クラスを特定するための所定の値が割り当てられ、下位 1バイトに、当該クラスに属する個々の S AMを特定するための値が割り当てられる。すなわち、 Cクラスのネットマスクによって、当該 Cクラスに属する 2 5 5個の SAM— I Dを規定できる。識別データ A P— I Dは、 SAMチップ 7 0 8が当該アプリケーションエレメントデータ A P Eに係わる処理を行う際にデータ授受を行う相手側の S A Mで実行されるアプリケーションプログラムの識別データである。鍵データ K— C AR D Aは、 S AMチップ 7 0 8が当該アプリケ一シヨンエレメントデータ A P Eに係わる処理を行う際に I Cカード 7 0 3のメモリ 75 0とデータ授受を行うために用いられる鍵データである。鍵データ K— SAMは、 SAMチップ 7 0 8が当該アプリケーションエレメントデータ A P Eに係わる処理を行う際に、他の S AMとデータ授受を行うために用いられる鏈データである。データ SET— AP Pは、 SAMチップ 7 0 8が当該アプリケ一ションエレメントデータ AP Eに係わる処理を行う際に用いられる（参照される） AP Pテーブルデータ 73 1 0— 1 , 73 1 0 _2 , 73 1 0 _ 3を特定するためのデータである。データ F LAG一 I Pは、 SAMチップ 7 0 8が管理（保持）するデータを他の SAIV [チップ 7 0 8などに公開するか否かを示すフラグデータである。データ F L AG— STRは、 SAMチップ 7 0 8が管理（保持）するデータを他の S A Mチップ 7 0 8などが保持することを許可するか否かを示すフラグデ一タである。図 1 2 1において、 A P E_N 「 S e r v i c e A」は、該当 S AM 7 0 8内のアプリケ一ションプログラムで定義された I Cカード 7 0 3のアクセス鍵である。「 S e r V i c e A」の鍵データは非公開に設定しているため、他の SAM 上のアプリケ一ションプログラムや本 S A M上の他のアプリケ一ションプログラムは、参照することができない。また、「S e r V i c e C」は、本アプリケーションプ αグラムで定義された I Cカード 7 0 3のアクセス鍵である。本 S AMに後述する Cクラスのネットマスクが割り当てられている場合には、「 S e r V i c e C」の鍵データは「 4 3 . 1 7. 1 9. XX」の SAM— I Dを持つ SAM上のアプリケーションプログラムに公開される。この際 S AM相互認証用鍵は「TT 1 '··, ΤΤη」、また他の S AMが「 S e r V i c e C」の鍵データを次回利用時まで保持可能かの可否を決定する。可の場合には、他の SAMがカード上の「S e r V i c e C」を次回利用するときに、本 SAMから再度カードアクセス鍵を入手する必要は無い。 S e r V i c e Bのアクセス鍵は本 S AMではなく、「 4 3. 1 3. 1 3 7. X X」の SAM— I Dを持つ SAMから入手する。 S A M間の相互認証用鍵として「 S S 1… S n」を使用する。「S e r V i c e B」のアクセス鍵を次回利用時まで保持可能の有無は先方の SAMが指定する可否フラグにより決定する。「S e r v i c e B L o g」は、「 43, 1 3, 1 3 7. XX」の SAM— I Dが割り当てられたログデータが格納されたファイルを指す。「S e r v i c e B L o g」は、「 S e r v i c e B」と同一 S AMネットマスクであるため、相互認証用鍵は「S S l S S n」を使用する。ここで、相互認証鍵毎に A P Pテーブルデータが設けられている。本例では、「S e r v i c e B l o g」および「S e r v i c e B」へのアクセス許可は他の S AM上の A P管理用テ一ブルデータが参照する他の SAMの A P Pテーブルデータ 7 3 1 0で規定されている。図 1 2 3は、 AP Pテーブルデータ 7 3 1 0— 1を説明するための図である。 AP Pテ一ブルデータ 7 3 1 0__2, 7 3 1 0— 3、 7 3 1 0は、 AP Pテーブルデータ 7 3 1 0—1と同じフォーマツトを有している。図 1 2 3に示すように、 AP Pテーブルデータ 7 3 1 0—1は、各アプリケーシヨンエレメントデータ A P Eについて、その識別データ AP E— I Dと、当該アプリケ一ションエレメントデータ A P Eに対して他のアプリケーションプグラム（他のアプリケーションエレメントデータ AP E) から読み出し（READ ) 、書き込み（WR I TE) および実行（EX CUTE) が可能であるか否かを示している。例えば、図 1 2 3に示す A P Pテーブルデータ 7 3 1 0— 1は、「S e r v i c e B 1 o g」については読取りが可、書込みが可、実行（削除）が不可を示している。また、図 1 1 5に示す外部メモリ 7 0 7の A P管理用記憶領域 72 2 1は、例えば、 I Cカード種別データと AP— I Dとを対応付けて示す AP選択用データを記憶している。 I Cカード種別データは、図 1 09に示す I Cカード 7 0 3の種別を示し、例えば、 I Cカード 7 03を用いた取り引きの決済を行ぅクレジットカ一ド会社の識別データである。本実施形態では、 I Cカード操作用マクロコマンドスクリブトプログラム内に複数のアプリケーションェレメントデータ AP Eの名前 AP E— Nを組み合せたサービス内容を規定（記逑）し、これを後述する I Cカードエンティティデータ (ジョブ管理用データ）に反映させることで、複数のアプリケーションエレメントデータ A P Eに対応するサービスを組み合わせたをサービスを提供できる。例えば、 I Cカード 7 0 3からデータ読出しを行うサービスと、サーバ装置 7 0 2にデータ書込みを行うサービスとを組み合わせたサービスを、 I Cカードエンティティデータ内に定義できる。また、 AP E— Nあるいはそのサービス番号は、サービス事業者 7 1 5— 1 , 7 1 5 _2 , 7 1 5— 3によって提供されるサービスを行う際に、 I Cカード 7 0 3に発行する I Cカード 70 3が解釈可能な操作コマンドである。アプリケ一ションプログラム AP— 1は、外部メモリ 7 07に記憶された AP 管理用テーブルデータ 7 3 0 0— 1および所定の I C力一ド操作用マク口コマンドスクリプトプ αグラムによつて規定される。アプリケ一ションプログラム A Ρ— 2は、外部メモリ 7 07に記憶された A P 管理用テーブルデータ 73 0 0— 2および所定の I Cカード操作用マクロコマンドスクリプトプログラムによつて規定される。アプリケ一ションプログラム A P— 3は、外部メモリ 7 07に記憶された A P 管理用テーブルデータ 73 0 0— 3および所定の I Cカード操作用マクロコマンドスクリプトプログラムによつて規定される。〔 SAMチップ 70 8〕 SAMチップ 7 0 8は、 S C S Iまたは E t h e r n e tなどを介して AS P サーバ装置 7 1 9に接続される。 AS Pサーバ装置 7 1 9は、ィンターネ 'ント 7 1 0を介して、エンドユーザのパーソナルコンピュータ 7 05、サービス事業者 7 1 5— 1 , 7 1 5— 2, 7 1 5— 3のパーソナルコンピュータ 7 1 6— 1 , 7 1 6—2, 7 1 6_3を含む複数の端末装置に接続される。パーソナルコンピュータ 70 5は、例えば、シリアルまたは US Bを介して D u m b型の力一ドリーダ · ライタ 70 4に接続されている。カードリーダ ' ライタ 70 4力 Ϊ Cカード 7 03との間で物理レベルに相当する例えば無線通信を実現する。 I Cカード 7 0 3への操作コマンドおよび I Cカード 7 03からのリスポンスパケ 'ントは、 SAMュニット 7 0 9側で生成および解読される。よって、その中間に介在するカードリーダ ' ライタ 7 0 4、パーソナルコンピュータ 7 0 5および AS Pサーバ装置 7 1 9は、コマンドやリスポンス内容をデータペイロード部分に格納して中継する役割を果たすのみで、 I Cカード 7 0 3内のデータの暗号化ゃ復号および認証などの実操作には関与しない。パーソナルコンピュータ 7 1 6—1 , 7 1 6_2, 7 1 6— 3は、後述するスクリプトプログラムを SAMチップ 7 0 8にダウンロードすることで、それぞれアプリケーションプログラム AP—1 , AP— 2, AP— 3をカスタマイズできる。図 1 2 4は、図 1 0 9に示す SAMチップ 7 0 8の機能プロック図である。図 1 2 4に示すように、 SAMチップ 7 0 8は、 AS P S通信ィンタフエース部 7 6 0、外部メモリ通信ィンタフェース部 7 6 1、バススクランブル部 7 6 2 、乱数発生部 7 6 3、暗号 ·復号部 7 6 4、記憶部 7 6 5および C P U 7 6 6を有する。 SAMチップ 7 0 8は、耐タンパ性のモジュールである。 AS P S通信ィンタフヱ一ス部 7 6 0は、図 1 0 9に示す AS Pサーバ装置 7 1 9との間のデータ入出力に用いられるィンタフエースである。外部メモリ通信ィンタフヱース部 7 6 1は、外部メモリ 7 0 7との間のデータ入出力に用いられるィンタフヱースである。バススクランブル部 7 6 2は、外部メモリ通信ィンタフヱース部 7 6 1を介してデータを入出力する際に、出力するデータをスクランブルし、入力したデータをデスクランブルする。乱数発生部 7 6 3は、認証処理を行う際に用いられる乱数を発生する。暗号 ·復号部 7 6 は、データの暗号化、並びに暗号化されたデータの復号を行つ。記憶部 7 6 5は、後述するように、 C P U 7 6 6によって用いられるタスク、プログラム、並びにデータを記憶する。 CP U 7 6 6は、所定のプログラム（本発明のプログラム）に基づいて、後述するスクリプトダウンロードタスク、スクリプト解釈タスク、エンティティ生成タスク（ジョブ管理用データ作成タスク）および I Cカード手続管理タスク（ジョブ管理用データ管理タスク）などのタスクを実行する。以下、記憶部 7 6 5に記憶されるタスク、プ αグラムおよびデータについて説明する。図 1 2 5は、記憶部 7 6 5に記憶されるタスク、プログラムおよびデータを説明するための図である。図 1 2 5に示すように、スクリプトダウンロードタスク 7 6 9、スクリプト解釈タスク 7 7 0、エンティティ生成タスク 7 7 1、 I Cカード手続管理用タスク 7 72、 I Cカード操作用マクロコマンドスクリプトプログラム 72 1— 1〜 7 2 1— 3、 A Ρ管理用テーブルデータ 7 3 0 0— 1〜 73 0 0— 3、 AP Pテーブルデータ 7 3 1 0— 1〜73 1 0— 3、 I Cカードエンティティテンプレートデータ 7 30— 1〜 7 3 0— 3、 I Cカードエンティティデータ 77 3— x、入力用データブロック 7 3 1— X 1、出力用デ一タブロック 7 3 2— X 2、ログ用データブロック 7 3 3— X 3、並びに演算定義用データブロック 73 4— x 4を記憶している。スクリプトダウンロードタスク 7 6 9は、図 1 1 8に示すように、 A P管理用テーブルデータ 7 3 0 0— 1〜 7 3 0 0— 3 (必要に応じて A P Pテーブルデータ 73 1 0— 1〜7 3 1 0_3 ) を、例えば、各サービス事業者のコンピュ一タからダウンロードし、これを SAMチップ 7 0 8に取り込む。スクリプト解釈タスク 770は、各サービス事業者毎に、サービス定義テ一ブルデータ（必要に応じて A P Pテーブルデータ 7 3 1 0— 1〜 7 3 1 0— 3 ) およびスクリプトプログラムを用いて、 I Cカードエンティティテンプレートデータ、入力用データブロック、出力用データブロック、ログ用デ一タブロックおよび演算定義用データプロックを生成する。各サービス事業者毎に生成されるデータブ σックの数は特に限定されない。エンティティ生成タスク 7 7 1は、例えば、 A S Pサーバ装置 Ί 1 9からェンティティ作成要求を受けると、 I Cカード 7 0 3との間でポーリングを行った後に、当該 I Cカード 7 0 3とサービス事業者との間の手続き処理に用いる I C力ードエンティティデータを、当該サービス事業者に対応する I Cカードェンティティプレートデータを用いて生成する。このとき、 I Cカードエンティティプレ一トデータがクラスとなり、当該クラスのィンスタンスとして、 I Cカードェンティティデータが生成される。エンティティ生成タスク 7 7 1による I Cカードエンティティデータの生成処理について後に詳細に説明する。 I Cカード手続管理用タスク 7 7 2は、記憶部 7 6 5内に存在する単数または複数の I C力一ドエンティティデータ 7 7 3— Xを用いて、 I Cカード 7 0 3とサービス事業者 7 1 5 _ 1〜7 1 5— 3 との間の手続き処理を実行する。本実施形態では、複数の I Cカード 7 0 3とサービス事業者 7 1 5— 1〜7 1 5— 3との間で行われる複数の手続き処理が同時に進行する。 I Cカード手続管理用タスク 7 7 2は、これら複数の手続き処理を並行して実行する。 I Cカード手続管理用タスク 7 7 2は、一連の手続きを終了した I Cカードエンティティデータ 7 7 3— Xを消去する。 I Cカード手続管理用タスク 7 7 2の処理については後に詳細に説明する。スクリプトプログラム 7 2 1— 1〜 7 2 1一 3は、スクリプトダウンロードタスク 7 6 9によって、例えば、外部メモリ 7 0 7から入力され、記憶部 7 6 5に記憶される。 A P管理用テーブルデータ 7 3 0 0— 1〜7 3 0 0 _ 3は、スクリプトダウンロードタスク 7 6 9によって、例えば、外部メモリ 7 0 7から入力され、記憶部 7 6 5に記憶される。 A P Pテーブルデータ 7 3 1 0— 1〜 7 3 1 0— 3は、スクリプトダウンロードタスク 7 6 9によって、例えば、外部メモリ 7 0 7から入力され、記憶部 7 6 5に記憶される。 I Cカードエンティティテンプレートデータ 7 3 0— 1〜 7 3 0— 3は、スクリブト解釈タスク 7 7 0によって生成され、それぞれのサービス事業者に関する手続きの I Cカードエンティティデータ 7 73— Xを生成する際のテンプレート (クラス）として用いられる。 I Cカードエンティティデータ 7 73— Xは、エンティティ生成タスク Ί 7 1 によって、 I Cカードエンティティテンプレートデータ 7 3 0— 1〜 7 3 0— 3 を例えばクラスとして用い、当該クラスのィンスタンスとして生成される。入力用データプロ 'ンク 73 1— X 1、出力用データプロ 'ンク 732— x 2、 π グ用データブロック 7 3 3— χ 3および演算定義用データブロック 7 3 4— χ 4 は、スクリブト解釈タスク 7 7 0によって生成される。以下、 I Cカードエンティティデータ 773— Xについて説明する。 I C力一ドエンティティデータ 7 73— Xは、例えば、 AS Pサーバ装置 7 1 9から I Cカード 7 0 3と所定のサービス事業者のアプリケーションプログラムを用いた処理の処理要求を SAMチップ 7 0 8が受けたときに、 SAMチップ 7 0 8内のェンティティ生成タスク 7 7 1力既に生成されている対応するサ一ビス事業者の I C力一ドエンティティプレートデータを用いて生成する。図 1 2 6は、 I Cカードエンティティデータ 77 3— Xのフォーマ'ントを説明するための図である。図 1 2 6に示すように、 I Cカードエンティティデータ 7 7 3— Xは、管理用ボインタデータ 7 8 0、エンティティ I Dデ一タ 7 8 1、エンティティステ一タスデ一タ（ステータスデータ） 7 8 2、 I Cカード種別データ 78 3、 AP E— N指定データ 78 4、処理順番データ 7 8 5、処理前データ Ί 8 6および処理後データ 7 8 7を有する。管理用ボインタデータ 7 8 0には、記憶部 7 6 5内で I Cカードエンティティデータ 7 7 3—) (を管理するための双方向ボインタである。エンティティ I Dデータ 7 8 1 は、 I C力一ドエンティティデータ 7 7 3 _ x の生成要求、進行状況の確認、削除などの I Cカードエンティティデータ 7 7 3 — Xを用いた一連の処理に用いられる。エンティティ I Dデータ 7 8 1は、ェンドユーザに渡される返り値ともなる。エンティティ I Dデータ 7 8 1は一般的なフアイルシステム上のファィルオープン時のディスクリプタに相当する。エンティティステータスデータ 7 8 2は、 I Cカード 7 0 3に関する手続きの進行状態を示す。 I Cカードエンティティデータ 7 7 3— Xが持つ基本的な状態には、図 1 2 7 に示すように、 I Cカード 7 0 3が利用できるサービスを調べる処理の状態（R S ) 、 S A Mチップ 7 0 8が I Cカード 7 0 3を認証する処理の状態（ A 1 ) 、 I Cカード 7 0 3が S A Mチップ 7 0 8を認証する処理の状態（A 2 ) 、 I C力ード 7 0 3からデータ読み出す処理の状態（R ) 、 I Cカード 7 0 3にデータ書き込む処理の状態（W ) がある。本実施形態では、サービス事業者を調べる処理、 S A Mチップ 7 0 8が I C力ード 7 0 3を認証する処理、 I Cカード 7 0 3が S A Mチップ 7 0 8を認証する処理、 I Cカード 7 0 3からデータ読み出す処理、並びに I Cカード 7 0 3にデータ書き込む処理のそれぞれがジョブに対応している。当該ジョブは、後述するように、 I Cカード手続管理用タスク 7 7 2によって、実行順番が決定される処理の単位になる。なお、 A 1 , A 2によって、 I Cカード 7 0 3と S A Mチップ 7 0 8との間の相互認証処理が構成される。また、本実施形態では、ィンターネット 7 1 0での通信時間を考慮して、前述した各基本的な状態を図 1 2 7の状態遷移図に示されるように、起動後（コマンド発行後）の状態と完了（応答受け取り後）状態とに分けて管理する。具体的には、ィンスタンス生成（ I Cカードエンティティデ一夕生成）状態、 R S起動後状態、 R S完了状態、 A 1起動後状態、 A 1完了状態、 A 2起動後状態、 A 2完了状態、 R起動後状態、 R完了状態、 W起動後状態、 W完了状態、並びにインスタンス（ I Cカードエンティティデータ）消去状態によって、 I C力ードエンティティデータ 7 7 3 _ xを用いた処理状態が管理される。 I Cカード種別データ 7 8 3は、当該 I Cカード 7 0 3を発行したサービス事業者を特定するデータである。 I C力一ド種別データ 7 8 3には、 I Cカードエンティティデータ 7 7 3 _ X の生成時に、前述したスクリプトプログラム内の C I コマンドによって規定されたデータが設定される。サービスタイプェレメント指定データ 7 8 4は、 I Cカードエンティティデ一タ 7 7 3— Xを用いた処理で利用する、 A P管理用テーブルデータ 7 3 0 0— 1 〜7 3 0 0— 3および A P Pテーブルデータ 7 3 1 0—1〜7 3 1 0— 3内で定義されたアプリケーションェレメントデータ A P Eを示す。サービスタイプェレメント指定データ 7 8 4には、 I Cカードエンティティデ —タ Ί Ί 3— Xの生成時に、前述したスクリプトプログラム内の C Sコマンドで指定された単数または複数のアプリケーシヨンエレメントデータ A P Eが設定される。処理順番データ 7 8 5は、 I Cカードエンティティデータ 7 7 3— Xを用いた処理で利用するサービス（ジョブ）を実行する順番、すなわち、図 1 2 7に示す遷移状態を示す。すなわち、処理順番データ 7 8 5は、アプリケ一ションエレメントデータ A P Eの名前 A P E— Nを用いて、 I Cカード 7 0 3の基本的な操作に対応するジョブの実行順番を示す。ここで、ジョブは、前述したように、図 1 2 7に示す R S , A 1 , A 2 , R , Wに相当する。 I Cカード 7 0 3への具体的操作は、ジョブを用いて指定された処理順番により実現される。例えば、相互認証無しの読み込みのみの I Cカード 7 0 3を用いた処理については、処理順番データ 7 8 5には「R S→R」が設定される。また、相互認証有りの読み込みおよび書き込みの場合には、処理順番データ 7 8 5には、「R S→A 1→A 2→R→W」が設定される。処理順番データ Ί 8 5には、 I Cカードエンティティデータ 7 7 3— Xの生成時に、前述したスクリブトプログラム内の C Sコマンド内で指定されたサービスエレメントの順番に対応する図 1 2 7に示すジョブの順番が設定される-。処理前データ 7 8 6には、 A S Pサーバ装置 7 1 9側から、 I Cカードェンティティデータ 7 7 3— Xを用いた処理を行うための管理用データが設定される。例えば、処理前データ Ί 8 6には、 S Fデータプロ 'ンク内に指定されたサービス（アプリケーションエレメントデータ A P E ) の演算式のポィントが設定される。また、サービス間演算機能が定義されていない場合には、処理前データ 7 8 6 には、要求処理金額が設定される。例えば、決済の場合であれば、課金額や付与ポイント数などに関する状態が設定される。処理後データ 7 8 7は、 A S Pサーバ装置 7 1 9側で必要な、 I Cカードェンティティデータ 7 7 3— Xの処理結果のデータが設定される。例えば決済の場合であれば、決済の正常終了の有無などを示すデータが設定される。以下、図 1 2 5に示す I C力一ド手繞管理用タスク 7 7 2による、複数の I C 力一ドエンティティデータ Ί 7 3 _ xを用いて、複数の I Cカード 7 0 3に係わる処理を行う手順を説明する。 I Cカード手続管理用タスク 7 7 2は、例えば、図 1 2 4に示す S A Mチップ 7 0 8の C P U 7 6 6上で常に起動されている。図 1 2 8は、 I Cカード手続管理用タスク 7 7 2が行う処理のフローチヤ一トである。ステップ S T 7 0 1 ： I Cカード手続管理用タスク 7 7 2は、記憶部 7 6 5内に存在する複数の I C カードエンティティデータ 7 7 3— Xのうち、次に処理を実行する一つの I C力ードエンティティデータ 7 7 3— Xを選択する。当該 I Cカードエンティティデータ 7 7 3— Xの選択方法は、記憶部 7 6 5内に存在する I Cカードエンティティデータ 7 7 3— Xを順番に選択してもよいし、優先順位を付けて高い優先順位のものを優先的に選択してもよい。ステップ S T 7 0 2 ： I Cカード手続管理用タスク 7 7 2は、ステップ S T 7 0 1で選択した I C力 —ドエンティティデータ 7 7 3— Xのジョブが既に起動されているか否かを判断し、起動されていると判断した場合にはステップ S T 7 0 5の処理に進み、起動されていないと判断した場合にはステップ S T 7 0 3の処理に進む。ステップ S T 7 0 3 ： I C力一ド手続管理用タスク 7 7 2は、ステップ S T 7 0 1で選択した I C力ードエンティティデータ 7 7 3— Xの図 1 2 6に示すェンティティステータスデータ 7 8 2力、ら、当該エンティティデータに関する処理が図 1 2 7に示す状態遷移図の何れの状態にあるかを判断し、処理順番データ 7 8 5から、次に実行するジョブを決定する。このとき処理順番データ 7 8 5には、前述したように、 A P管理用テーブルデータ 7 3 0 0—1〜7 3 0 0— 3に設定されたサービスエレメントを用いてジョブの実行順番が規定されている。ステップ S T 7 0 4 ： I C力一ド手続管理用タスク 7 7 2は、ステップ S T 7 0 3で選択したジョブを起動する。 I Cカード手続管理用タスク 7 7 2は、図 1 2 5を用いて前述した入力用データブロック 7 3 1— x 1、出力用デ一タブロック 7 3 2— x 2、口グ用データブロック 7 3 3— x 3および演算定義用データブロック 73 4 _ X 4のうち、当該ジョブに関係するデータブロックを用いて当該ジョブを実行する。このとき、 I Cカード手続管理用タスク 7 7 2は、ジョブの実行に当たって I Cカード 7 0 3にコマンドを発行する場合に、当該ジョブに対応するサ一ビスェレメントをキーとして A P管理用テーブルデータ 7 3 0 0— 1〜 73 0 0— 3を検索し、当該サービスエレメントに対応するサービス番号（ I Cカード 7 0 3が解釈可能な I Cカード 7 0 3の操作コマンド）を得る。そして、 I Cカード手続管理用タスク 7 7 2は、当該得られたサービス番号を用いて I Cカード 7 0 3にコマンドを発行する。また、 I Cカード手続管理用タスク 77 2は、図 1 1 3を用いて説明したように、 I Cカード 7 0 3の I C 7 0 3 aの記憶領域へのアクセスに鍵データが必要な場合には、当該ジョブに対応するサービスエレメントをキーとして AP管理用テーブルデータ 7 3 0 0— 1〜 7 3 0 0— 3を検索し、当該サービスエレメントに対応する鍵データを得る。そして、 I Cカード手続管理用タスク 7 7 2は、当該鍵データを用いて、 I Cカード 7 0 3との間で相互認証、データの暗号化および復号などの処理を行い、 I Cカード 7 0 3の所定の記憶領域にアクセスを行う権限を得る。ステップ S T 7 0 5 ：ステップ S T 7 0 5力行われるのは、 I Cカード手続管理用タスク 7 72力、'、 I Cカード 7 0 3にコマンドを発行し、 I Cカード 7 03の処理結果を待っているときである。 I Cカード手続管理用タスク 7 72は、 I Cカード 70 3から処理結果を受け取ると、これを I Cカードエンティティデータ 7 7 3— Xに設定する。ステップ ST 7 0 6 ： I Cカード手続管理用タスク 7 72は、図 1 2 6に示す I C力一ドエンティテイデ一タ 7 7 3— xのエンティティステータスデータ Ί 8 2を更新する。このように、本実施形態では、 I Cカード手続管理用タスク 7 7 2によって、 SAMチップ 7 0 8内に存在する複数の I Cカード 7 0 3についての I Cカードエンティティデータ 7 7 3— Xを順に選択しながら、複数の I Cカード 7 0 3についての処理を並行して行う。そのため、 S AMチップ 7 0 8は、複数の I C力ード 7 0 3を用いた手続きの処理要求を受けた場合でも、これらの処理を同時に進行することができる。図 1 2 9および図 1 3 0は、上述した図 1 2 8のステツプ S T 7 0 4におけるジョブの実行時に、前述した S AMチップ 7 0 8がアプリケーションエレメントデータ AP Eに規定された手順に従って、他のアプリケ一ションエレメントデータ A P Eによつて規定された処理またはデータにアクセスを行う場合の処理を説明するための図である。ステップ S T 7 4 1 ： S A Mチップ 7 0 8力所定のァプリケーシヨンエレメントデータ A P Eに応じた処理を実行中に、利用（アクセス）を行うアプリケ一ションプログラムと、当該ァプリケーシヨンプログラム内のアプリケーションエレメントデータ A P E とを特定する。また、当該利用が、当該アプリケーションエレメントデータ AP Eの読み出し、書き込みおよび実行の何れであるかも特定する。ステップ S T 7 4 2 ： SAMチップ 7 0 8力ステップ S T 7 4 1で特定したアプリケ一ションエレメントデータ A P E力当該 SAMチップ 7 0 8内に存在するか否かを判断し、存在しないと判断した場合にはステップ ST 7 4 3の処理に進み、存在すると判断した場合にはステップ S T 7 4 5の処理に進む。ステップ S T 7 4 3 ： SAMチ 'ンプ 7 0 8が、実行中のアプリケ一ションプログラムに対応する A P 管理用テーブルデータ 7 3 0 0— 1〜 7 3 0 0— 3を参照して、対応するサービス（アプリケーションエレメントデータ A P E) に対応する鍵データ K—S AM を取得し、当該鍵データ K— SAMを用いて、利用先のアプリケーションエレメントデータ A P Eを有する SAMチ 'ンプ 7 0 8 aと相互認証を行う。ステップ S T 7 4 4 : ステップ S T 7 4 3の相互認証で SAMチップ 7 0 8と 7 0 8 aとが互いの正当性を認証すると、 SAMチップ 7 0 8はステップ ST 7 4 7の処理に進み、そうでない場合にはステップ S T 7 5 1に進む。ステップ S T 7 4 5 : S AMチップ 7 Q 8力実行中のアプリケーションプログラムに対応する A P 管理用テーブルデータ 7 3 0 0— 1〜 7 3 0 0— 3を参照して、対応するサービス（アプリケーションエレメントデータ AP E) に対応する鍵データ K—S AM を取得する。また、 S AMチップ 7 0 8力ステップ S T 7 4 1で特定した利用先のプリケ —シヨンエレメントデータ A P Eについても、同様に、当該アプリケ一ションェレメントデータ AP Eに対応する A P管理用テーブルデータ 7 3 0 0— 1〜 7 3 0 0— 3を参照して、対応するサービス（アプリケーションェレメントデータ A P E ) に対応する鍵データ K_S AMを取得する。そして、 SAMチップ 7 0 8が、上記取得した 2つの鍵データ K— S AMを比較する。スクランブル 7 4 6 ： SAMチップ 7 0 8は、ステップ S T 7 4 5の処理で、 2つの鍵データ K— S AMがー致していると判断した場合にはステップ S T 7 4 7の処理に進み、そうでない場合にはステップ S T 7 5 1に進む。ステップ S T 7 4 7 : S A Mチップ 7 0 8あるいは 7 0 8 aは、ステップ S T 7 4 1で特定されたァプリケーションプログラムに対応する A P管理用テーブルデータ 73 0 0— 1〜 7 3 0 0— 3を参照し、利用されるアプリケーションエレメントデータ A P Eに対応する A P Pテーブルデータ 7 3 1 0— 1〜 7 3 1 0_ 3を特定する。ステップ S T 7 4 8 ： SAMチップ 7 0 8あるいは 7 0 8 aは、ステップ ST 7 4 7で特定した A P Pテーブルデータ 7 3 1 0—1〜7 3 1 0— 3を基に、利用（アクセス）されるアプリケ一ションェレメントデータ AP Eのアクセス権限を判断する。具体的には、当該利用されるアプリケーシヨンエレメントデータ A P Eの読み出し、書き込みおよび実行の権限を判断する。ステップ ST 7 4 9 ： S AMチップ 7 0 8あるいは 7 0 8 aは、ステップ S T 7 4 8でアクセス権限があると判断した場合にはステップ S T 7 5 0の処理に進み、そうでない場合にはステップ S T 7 5 1の処理に進む。ステップ S T 7 5 0 ： S AMチップ 7 0 8あるいは 7 0 8 aは、ステップ S T 7 4 1で特定されたァプリケーションエレメントデータ AP Eについて、ステップ S T 7 4 1で特定された利用を行う。ステップ S T 7 5 1 ： SAMチップ 7 0 8あるいは 7 0 8 aは、ステップ ST 7 4 1で特定されたァプリケーションエレメントデータ A P Eについて、ステップ S T 7 4 1で特定された利用を行わない。また、 S A Mチップ 7 0 8は、上述した図 1 2 8のステップ S T 7 0 4におけるジョブの実行時に、前述した SAMチップ 7 0 8がアプリケーションエレメントデータ AP Eに規定された手順に従って、 I Cカード 7 0 3との間でデータ授受を行う場合には、図 1 2 5に示す A P管理用テーブルデータ 7 3 0 0—1〜7 3 0 0 _3を参照して、当該アプリケ一ションエレメントデータ AP Eに対応する鍵データ K— CAD Rを取得し、当該鍵データ K— CAR Dを用いて、 I C力ード 7 0 3のメモリ 7 5 0にアクセスを行う。以下、図 1 0 9に示す通信システム 7 0 1の全体動作について説明する。図 1 3 1および図 1 3 2は、図 1 0 9に示す通信システム 7 0 1の全体動作を説明するための図である。ステップ S T 7 2 1 ：サービス事業者 7 1 5— 1〜7 1 5— 3あるいはこれらサービス事業者の依頼を受けた者が、当該サービス事業者が I Cカード 7 0 3を用いて行う取り引きについての処理を記述したスクリプトプログラム 7 2 1—1 , 7 2 1—2, 7 2 1 —3を、例えば、図 1 0 9に示すパーソナルコンピュータ 7 1 6— 1 , 7 1 6— 2, 7 1 6— 3上で作成する。また、 SAMチップ 7 0 8の管理者が、サービス事業者 7 1 5—1〜7 1 5— 3のそれぞれに対応する A P管理用テーブルデータ 7 3 0 0— 1〜 7 3 0 0— 3 を作成する。ステップ S T 7 2 2 ：ステツプ S T 7 2 1で作成された A P管理用テーブルデータ 7 3 0 0— 1〜 7 3 0 0— 3が外部メモリ Ί 0 7に記憶される。また、ステップ S T 7 2 1で作成されたスクリプトプログラム 7 2 1— 1 , 7 2 1— 2 , 7 2 1—3力、パーソナルコンピュータ 7 1 6— 1 > 7 1 6— 2, 7 1 6— 3力、ら、ィンターネット 7 1 0、 AS Pサーバ装置 7 1 9および SAMチップ 7 0 8を介して、外部メモリ 7 0 7にダウンロードされる。当該ダゥンロードの処理は、図 1 1 8に示すように、 S AMチップ 7 0 8内のスクリプトダウン —ドタスク 7 6 9によって管理される。ステップ S T 7 2 3 ：図 1 1 8に示す SAMチップ 7 0 8内のスクリブト解釈タスク 7 7 0によって、各サービス事業者毎に、 A P管理用テーブルデータ 7 3 0 0— 1〜 7 3 0 0— 3およびスクリプトプログラムを用いて、 I Cカードエンティティテンプレートデータ、入力用データブロック、出力用データブロック、ログ用データブロックおよび演算定義用データブロックが生成される。これら生成されたデータは、図 1 2 4に示す SAMチップ 7 0 8の記憶部 7 6 5に格納される。ステップ ST 7 2 4 ：ユーザに I Cカード 70 3が発行される。図 1 1 3に示すように、 I Cカード 7 0 3の I C 7 0 3 aのメモリ 7 5 0には、ユーザが契約を行ったサービス事業者との取り引きに用いられる鍵データが記憶されている。なお、ユーザとサービス事業者との間の契約は、 I Cカード 7 0 3の発行後に、インタ一ネット 7 1 0などを介して行ってもよい。ステップ ST 7 2 5 : 例えば、ユーザがパーソナル;？ンピュ一タ 70 5を用いてィンターネット 7 1 0を介してサ一バ装置 7 0 2にアクセスを行い、商品を購入しょうとした場合に、サーバ装置 7 0 2がインタ一ネット 7 1 0を介して AS Pサーバ装置 7 1 9に処理要求を出す。 AS Pサーバ装置 7 1 9は、サーバ装置 7 0 2から処理要求を受けると、インタ一ネッ卜 7 1 0を介してパーソナルコンピュ一タ 7 0 5にアクセスを行う。そして、カードリーダ · ライタ 7 0 4が出した I Cカード 7 0 3についての処理要求が、パーソナルコンピュータ 7 0 5、ィンタ一ネット Ί 1 0および AS Pサーバ装置 7 1 9を介して SAMチップ 7 0 8に送信される。ステップ S T 726 ： AS Pサーバ装置 7 1 9から SAMチップ 70 8にエンティティ作成要求が出される。当該エンティティ作成要求には、 I Cカード 7 0 3の発行元を示すデータが格納されている。ステップ ST 7 2 7 ： SAMチップ 7 0 8は、エンティティ作成要求を受けると、 I Cカード 7 0 3 との間でポ一リングを行う。ステップ ST 7 2 8 ： SAMチ 'ンプ 7 0 8のェンティティ生成タスク 7 7 1は、ポーリング終了後に、 SAMチップ 7 0 8内に存在する I Cカードエンティティデータ 77 3_xの数が、スクリプトプログラムの S Cコマンドによって規定された最大数以内であるか否かを判断し、最大数以内であればステップ ST 72 9の処理に進み、そうでない場合には処理を終了する。ステップ ST 7 2 9 ：エンティティ生成タスク 7 7 1が、例えば、エンティティ作成要求に格納された I Cカード 7 0 3の発行元を示すデータに基づいて、何れのサービス事業者の I Cカードエンティティテンプレートデータを用いるかを特定し、当該特定した I Cカードエンティティプレートデータ用いて、 I Cカードエンティティデータ 7 7 3— Xを生成する。これは、図 1 2 7に示すィンスタンス生成に対応している。ステップ ST 7 3 0 ： SAMチップ 7 0 8から AS Pサーバ装置 7 1 9に、ステップ ST 7 2 9で生成した I C力一ドエンティティデータ 77 3— Xのエンティティ I Dが出力される。ステップ S T 7 3 1 ： SAMチップ 70 8の I C力一ド手続管理用タスク Ί 72によって、 I Cカード 7 0 3で利用可能なサービスが調べられる。これは、図 1 2 7に示すジョブ R Sに対応した処理である。ステップ ST 73 2 : SAMチップ 7 0 8の I Cカード手続管理用タスク 7 7 2力 I Cカード 7 0 3 の正当性を認証する。これは、図 1 2 7に示すジョブ A 1に対応した処理である。ステップ ST 7 3 3 : I Cカード 7 0 3が S A Mチップ 7 0 8の正当性を認証する。これは、図 1 2 7に示すジョブ A 2に対応した処理である。ステップ ST 7 3 2, S T 733によって、 I Cカード 7 0 3と S AMチップ 7 0 8との間の相互認証が行われる。このとき、前述したように、 SAMチップ 7 0 8で実行されているアプリケーションェレメントデータ AP Eに応じて、図 1 2 1に示す A P管理用テーブルデータ 7 3 0 0— 1〜 7 3 0 0— 3が参照されて、鏈データ K— C A R Dが取得され、当該鍵データ K— CARDを用いて SAMチップ 7 0 8と I Cカード 7 03 の C P U 7 5 1との間で相互認証が行われる。ステップ ST 7 3 4 : SAMチップ 7 0 8の I C力一ド手続管理用タスク 7 7 2が、 I C力一ド 7 0 3との間で、手続きに必要なデータの読み書きを行う。これは、図 1 2 7に示すジョブ R, Wに対応した処理である。また、 I Cカード手繞管理用タスク 77 2は、 I Cカードエンティティデータ 7 7 3— Xの処理前データ 7 8 6に基づいて特定した演算式を用いて、 I C力一ド 7 0 3から読み出したデータを用いて所定の演算処理を行う。ステップ ST 7 3 5 : SAMチップ 7 0 8の I Cカード手続管理用タスク 7 7 2力ステップ S T 7 34の処理結果を AS Pサーバ装置 7 1 9に出力する。ステップ ST 7 3 6 ：例えば、 I Cカード手続管理用タスク 7 7 2力 I Cカードエンティティデ一タ 77 3— Xを消去する。以上説明したように、通信システム 70 1および S AMュニット 7 0 9によれば、アプリケ一ションプログラム A Pを複数のァプリケ一ションエレメントデ一タ A P Eを用いて構成し、 A P管理用テーブルデータおよび A P Pテーブルデ一タを用いて、各アプリケーションエレメントデータ A P Eの処理内容を規定することで、 I Cカード 7 0 3を用いた多様なサービスを提供できる。また、通信システム 7 0 1によれば、 A P管理用テーブルデータおよび A P P テーブルデータを用いて、同一 S A M内でのアプリケーシヨンエレメントデータ A P Eの利用、並びに異なる S A M間でのアプリケ一ションエレメントデータ A P Eの利用を高いセキュリティを保ちながら柔軟に実現できる。また、通信システム 7 0 1によれば、異なる S A M間でアプリケーシヨンエレメントデータ A P Eを利用する場合に、 S A M間で相互認証を行うため、アプリケーションプログラムのセキュリティを高めることができる。また、通信システム 7 0 1によれば、同一のサービス事業者のアプリケーションプログラムに、同じクラスの S A M„ I Dを割り当てることで、同じ事業者のアプリケーションプログラムのアプリケーションエレメントデータ A P E間では、煩雑な相互認証処理を行わないようにすることができ、鍵情報の管理、並びに S A Mチップの処理負担を軽減できる。また、通信システム Ί 0 1によれば、 I Cカード 7 0 3との間で発生する手続き処理毎に I Cカードエンティティデータ Ί 7 3— Xを生成し、 I Cカード手続管理用タスク 7 7 2によって、複数の I Cカードエンティティデータ 7 7 3— X を用いて、複数の I Cカード 7 0 3についての処理を同時に進行することができる。また、認証システム 7 0 1によれば、 I Cカード 7 0 3についての処理に実際に用いられている I Cカードエンティティデータ 7 7 3— Xを記憶部 7 6 5に記憶すれば良いため、記憶部 7 6 5の記憶領域を効率的に利用できる。また、認証システム 7 0 1によれば、図 1 2 7に示すように、 I C力一ド手続管理用タスク Ί 7 2が処理するジョブの実行状態を、起動後状態と完了状態とに分離して管理するため、一のジョブの実行を開始後に I Cカード 7 0 3からのデ —タを待っている状態で、他のジョブに関する処理を開始できる。そのため、ィンターネット 7 1 0を介して I Cカード 7 0 3との間でデータを送受信することによる待ち時間を無くすことができる。また、認証システム 7 0 1によれば、 A P管理用テーブルデータ 7 3 0 0—1 〜 7 3 0 0— 3内に、各サービス事業者が提供するサービスの種類を示す名前である A P E— N、 I Cカード 7 0 3内で用いられる当該サービスの番号、並びに当該サ一ビスを提供するに際に用いられる鍵データを A P管理用テーブルデータ7 3 0 0— 1 〜 7 3 0 0 _ 3内に記述し、これを外部メモリ Ί 0 7に保持する。そのため、 S A Mチップ 7 0 8の開発者でない、サービス事業者 7 1 5—1〜 71 5— 3力 S A Mチップ 7 0 8上で動作する自らのアプリケーションプロダラムを、スクリプトプログラム 7 2 1— 1 , 7 2 1— 2 , 7 2 1— 3を作成して S A Mチップ 7 0 8を介して外部メモリ 7 0 7にダウンロードすることでカスタマィズできる。すなわち、鍵データや I Cカード 7 0 3を直接操作する操作コマンドなどの秘匿性の高いデータをサービス事業者 7 1 5— 1 〜 7 1 5 _ 3に知らせることなく、これらのサービス事業者が自らのアプリケ一ションプログラムを力スタマイズできる。また、サービス事業者は、アプリケーションプログラムを力スタマイズする際に、鍵データやカード操作用コマンドを知る必要がないため、サービス事業者の負担が軽減される。また、認証システム 7 0 1によれば、複数のサービスにまたがった処理内容を定義できるため、 I Cカード 7 0 3側で許容されると同時に実行されるサービスの範囲内で、複数のサ一ビスを組み合わせた多様なサ一ビスを提供できる。また、認証システム 7 0 1によれば、デ一タブ α 、ンクの概念を導入することで、 I Cカード 7 0 3との間で入出力されるデータ、並びにログデータの管理が容レイ丁。請求の範画

1 . 複数の処理要求に応じて半導体回路が行うデータ処理方法であって、前記処理要求に応じた処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデ一タとを含むジョブ管理用データを、前記複数の処理要求のそれぞれについて生成し、

前記生成された複数のジョブ管理用データから一つのジョブ管理用デ一タを選択し、

前記選択したジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択し、

前記選択したジョブを実行し、

当該ジョブの実行に応じて、前記選択したジョブ管理用データの前記ステータスデータを更新する

データ処理方法。

2 . 前記選択したジヨブ管理用データの前記ステータスデータを更新した後に、前記複数のデータモジユールから一つのジョブ管理用データを選択する請求項 1に記載のデータ処理方法。

3 . 前記処理要求に応じた処理を構成する全てのジョブの実行が終了した前記ジョブ管理用データを消去する

請求項 1に記載のデータ処理方法。

4 . 前記半導体回路との間で行われる手続き処理に用いられるデータを記憶する記憶部を有する集積回路、あるいは当該集積回路との間でデータ入出力を行う通信装置から前記処理要求を受信する

請求項 1に記載のデータ処理方法。

5 . 前記ステータスデータは、前記集積回路に対して前記ジョブの実行に関する命令を発行する前の状態と発行した後の状態とを区別して示す請求項 4に記載のデータ処理方法。

6 . 前記ジョブの実行に関する命令を前記集積回路に発行した後に、他の集積回路を用いた手続き処理の前記ジョブを選択して実行する

請求項 5に記載のデータ処理方法。

7 . 前記選択したジョブ管理用データの前記ステータスデータが、前記命令を発行した後の状態を示している場合に、当該発行した命令に対応する処理結果を前記集積回路から受信して当該選択したジョブ管理用データに書き込む

請求項 5に記載のデータ処理方法。

8 . 前記半導体回路は、

前記処理要求を受けると、ジョブ管理用データ作成タスクを起動して前記ジョブ管理用データを生成し、

前記ジョブ管理用データが生成されると、ジョブ管理用データ管理タスクを起動して、前記ジョブの選択、前記ジョブの実行、並びに前記ステータスデータの更新を行う

請求項 1に記載のデータ処理方法。

9 . 前記集積回路との間でポーリングを行った後に、前記ジョブ管理用データを生成する

請求項 4に記載のデータ処理方法。

1 0 . 前記半導体面路は、前記集積回路を用いて行う手続きを提供する複数の手続き提供者にそれぞれ対応した複数のァプリケーシヨンプログラムを実行し、前記処理要求に応じて、当該処理要求に対応する前記手続き提供者を特定し、

前記特定した手続き提供者に対応したアプリケーションプログラムを実行するための前記ジョブ管理用データを生成する請求項 1に記載のデータ処理方法。

1 1 . 前記ジョブ管理用データに識別子を付け、当該識別子を用いて複数のジヨブ管理用データを管理する

請求項 1に記載のデータ処理方法。

1 2 . 前記集積回路は、カードに搭載されている

請求項 4に記載のデータ処理方法。

1 3 . 複数の処理要求に応じてデータ処理を行う半導体回路であって、

前記複数の処理要求を入力するィンタフースと、

前記処理要求に応じた処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデ一タとを含むジョブ管理用データを記憶する記憶回路と、

前記入力した複数の処理要求のそれぞれについて前記ジョブ管理用デ一タを生成して前記記憶回路に記憶し、前記生成された複数のジョブ管理用データから一つのジョブ管理用データを選択し、前記選択したジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択して実行し、当該ジョブの実行に応じて、前記選択したジョブ管理用デ —タの前記ステ一タスデータを更新する制御画路と

を有する半導体回路。

1 4 . 前記制御回路は、前記選択したジョブ管理用データの前記ステータスデ —タを更新した後に、前記複数のデータモジュールから一つのジョブ管理用データを選択する

' 請求項 1 3に記載の半導体回路。

1 5 . 前記制御回路は、前記処理要求に応じた処理を構成する全てのジョブの実行が終了した前記ジョブ管理用データを消去する

請求項 1 3に記載の半導体回路。

1 6 . 前記ィンタフースは、前記半導体面路との間で行われる手続き処理に用いられるデータを記憶する記憶部を有する集積回路、あるいは当該集積回路との間でデータ入出力を行う通信装置から前記処理要求を受信する

請求項 1 3に記載の半導体回路。

1 7 . 前記ステータスデータは、前記集積回路に対して前記ジョブの実行に関する命令を発行する前の状態と発行した後の状態とを区別して示す

請求項 1 6に記載の半導体回路。

1 8 . 前記制御回路は、前記ジョブの実行に関する命令を前記集積回路に発行した後に、他の集積回路を用いた手続き処理の前記ジョブを選択して実行する請求項 1 Ίに記載の半導体回路。

1 9 . 前記制御画路は、前記選択したジョブ管理用データの前記ステータスデ一タカ前記命令を発行した後の状態を示している場合に、当該発行した命令に対応する処理結果を前記集積回路から受信して当該選択したジョブ管理用データに書き込む

請求項 1 Ίに記載の半導体回路。

2 0 . 前記制御回路は、

前記ジョブ管理用データが生成されると、ジヨブ管理用データ管理タスクを起動して、前記ジョブの選択、前記ジョブの実行、並びに前記ステータスデータの更新を行う

請求項 1 3に記載の半導体回路。

2 1 . 前記制御回路は、前記集積回路との間でポーリングを行った後に、前記ジョブ管理用データを生成する

請求項 1 6に記載の半導体回路。

2 2 . 前記制御回路は、

前記集積回路を用いて行う手続きを提供する複数の手続き提供者にそれぞれ対応した複数のァプリケ一シヨンプログラムを実行し、

前記処理要求に応じて、当該処理要求に対応する前記手続き提供者を特定し、

前記特定した手続き提供者に対応したアプリケーションプログラムを実行するための前記ジョブ管理用データを生成する

請求項 1 3に記載の半導体画路。

2 3 . 前記制御画路は、前記ジョブ管理用データに識別子を付け、当該識別子を用いて複数のジョブ管理用データを管理する

請求項 1 3に記載の半導体回路。

2 4 . 前記集積回路は、カードに搭載されている

請求項 1 6に記載の半導体画路。

2 5 . 耐タンパ性の半導体回路である

請求項 1 3に記載の半導体画路。

2 6 . 複数の処理要求に応じてデータ処理を行う半導体回路によって実行されるプログラムであって、

前記処理要求に応じた処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデ —タとを舍むジョブ管理用データを、前記複数の処理要求のそれぞれについて生成する手順と、

前記生成された複数のジヨブ管理用データから一つのジョブ管理用デ一タを選択する手順と、

前記選択したジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択する手順と、

前記選択したジョブを実行する手順と、

当該ジョブの実行に応じて、前記選択したジヨブ管理用データの前記ステ一タスデータを更新する手順とを有するプログラム。

2 7 . 集積面路を用いた手続きに関する処理を行うアプリケーションプロダラムが動作する半導体回路が行うデータ処理方法であって、

前記ァプリケーションプログラムが前記集積回路を操作するために用いる操作コードと前記操作の名前である操作名との対応を示す対応指示データを前記半導体 EI路が参照可能であり、

前記アプリケーションプログラムの動作を前記操作名を用いて記述した動作記述プ口グラムを前記半導体回路が入力し、

前記半導体回路が、前記動作記述プログラムに記述された前記操作名に対応する前記操作コードを前記対応指示データを参照して得て、当該得た操作コ一ドを用いて前記アプリケーションプログラムの処理を規定する

データ処理方法。

2 8 . 前記対応指示データは、前記操作名と、当該操作名に対応する操作を前記集積回路に行うときに用いられる鍵情報との対応をさらに示し、

前記半導体回路は、前記動作記述プログラムに記述された前記操作名に対応する前記鍵情報を前記対応指示データを参照して得て、当該得た鍵情報を用いて前記アプリケーションプログラムの処理を規定する

請求項 2 7に記載のデータ処理方法。

2 9 . 前記半導体回路は、

処理要求に応じて、前記アプリケーションプログラムの処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデータとを舍むジョブ管理用データを生成し、前記ジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択し、

前記選択したジョブを実行し、

当該ジョブの実行に応じて、前記選択したジヨブ管理用データの前記ステータスデータを更新する

請求項 2 7に記載のデータ処理方法。

3 0 . 前記半導体回路は、

前記対応指示データおよび前記動作記述プログラムを用いて、前記ジョブ管理用データのテンプレートデータを生成し、

前記処理要求に応じて、前記テンプレートデータを用いて前記ジョブ管理用データを生成する

請求項 2 9に記載のデータ処理方法。

3 1 . 前記半導体回路は、

複数の処理要求のそれぞれについて、前記ジョブ管理用データを生成し複数の前記データモジュールから一つのジョブ管理用データを選択し、前記選択したジヨブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択し、

前記選択したジョブを実行し、

当該ジョブの実行に応じて、前記選択したジョブ管理用データの前記ステータスデータを更新し、

当該更新後に、前記複数のデータモジュールから一つのジョブ管理用データを選択する

請求項 2 9に記載のデータ処理方法。

3 2 . 前記半導体回路は、

前記処理要求に応じた処理を構成する全てのジョブの実行が終了した前記ジョブ管理用データを消去する

請求項 3 1に記載のデータ処理方法。

3 3 . 前記動作記述プログラムは、前記半導体回路が処理可能な前記ジョブ管理用データの最大数を指定した記述を舍み、

前記半導体回路は、前記ジョブ管理用データの数が前記指定された最大数以下の場合に、前記処理要求に応じて前記ジョブ管理用データを生成する請求項 3 1に記載のデータ処理方法。

3 4 . 前記半導体回路は、

前記集積回路に対しての複数の前記操作に対応する複数のジョブの実行順番を示す前記実行順番データを舍む前記ジョブ管理用データを生成する

請求項 3 1に記載のデータ処理方法。

3 5 . 前記動作記述プログラムは、前記集積回路からの読み出したデータを格納するデータプロック、前記集積回路に書き込むデータを格納するデータプロック、および、前記集積回路を用いた手続き処理の履歴情報を格納するデ一タブ口ックの少なくとも一つのデータプロ 'ンクを定義する記述を舍み、

前記半導体回路は、前記動作記述プログラムに基づいて、前記データブロックを生成する

請求項 3 1に記載のデータ処理方法。

3 6 . 前記操作名は、マクロコマンドである

請求項 2 7に記載のデータ処理方法。

3 7 . 前記集積回路は、カードに搭載されている

請求項 2 7に記載のデータ処理方法。

3 8 . 集積回路を用いた手繞きに関する処理を行うアプリケーションプロダラムが動作する半導体回路であって、

前記アプリケーションプログラムが前記集積回路を操作するために用いる操作コードと前記操作の名前である操作名との対応を示す対応指示データを記憶する記憶回路と、

前記アプリケーションプログラムの動作を前記操作名を用いて記述した動作記述プログラムを入力するィンタフニースと、当該入力した前記動作記述プログラムに記述された前記操作名に対応、する前記操作コ一ドを前記対応指示データを参照して得て、当該得た操作コードを用いて前記アプリケーションプログラムの処理を規定する制御回路と

を有する半導体回路。

3 9 . 前記対応指示データは、前記操作名と、当該操作名に対応する操作を前記集積回路に行うときに用いられる鍵情報との対応をさらに示し、

前記制御画路は、前記動作記述プログラムに記述された前記操作名に対応する前記鍵情報を前記対応指示データを参照して得て、当該得た鍵情報を用いて前記アプリケーションプログラムの処理を規定する

請求項 3 8に記載の半導体回路。

4 0 . 前記制御回路は、

前記選択したジョブを実行し、

当該ジョブの実行に応じて、前記選択したジョブ管理用データの前記ステ一タスデータを更新する

請求項 3 8に記載の半導体回路。

4 1 . 前記制御回路は、

請求項 4 0に記載の半導体回路。

4 2 . 前記制御回路は、

複数の処理要求のそれぞれについて、前記ジョブ管理用データを生成し複数の前記データモジユールから一つのジョブ管理用データを選択し、前記選択したジヨブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択し、

前記選択したジョブを実行し、

請求項 4 0に記載の半導体回路。

4 3 . 前記制御回路は、前記処理要求に応じた処理を構成する全てのジョブの実行が終了した前記ジョブ管理用データを消去する

請求項 4 2に記載の半導体 Hi路。

4 4 . 前記制御回路は、

前記動作記述プログラムが、前記半導体回路が処理可能な前記ジョブ管理用データの最大数を指定した記述を含む場合に、

前記ジョブ管理用データの数が前記指定された最大数以下であることを条件に、前記処理要求に応じて前記ジョブ管理用データを生成する

請求項 4 2に記載の半導体回路。

4 5 . 前記制御回路は、前記集積回路に対しての複数の前記操作に対応する複数のジョブの実行順番を示す前記実行順番データを舍む前記ジョブ管理用データを生成する

請求項 4 2に記載の半導体回路。

4 6 . 前記制御回路は、

前記動作記述プログラムが、前記集積回路からの読み出したデータを格納するデ一タブ π 'ンク、前記集積回路に書き込むデータを格納するデ一タブ口ック、および、前記集積回路を用いた手続き処理の履歴情報を格納するデ一タブ σ ックの少なくとも一つのデータプロックを定義する記述を舍む場合に、

前記動作記述プログラムに基づいて、前記データプロックを生成する請求項 4 2に記載の半導体回路。

4 7 . 前記操作名は、マクロコマンドである

請求項 4 2に記載の半導体回路。

4 8 . 前記集積回路は、カードに搭載されている

請求項 4 2に記載の半導体回路。

4 9 . 耐タンパ性の半導体回路である

請求項 4 2に記載の半導体回路。

5 0 . 集積回路を用いた手続きに閩する処理を行うアプリケーションプロダラムが動作する半導体回路によって実行されるプログラムであって、

前記集積回路に対する操作の名前である操作名を用いて前記アプリケーシヨンプログラムの動作を記述した動作記述プログラムを入力する手順と、

前記ァプリケーシヨンプ πグラムが前記集積回路を操作するために用いる操作コードと前記操作名との対応を示す対応指示データを参照して、前記動作記述プログラムに記述された前記操作名に対応する前記操作コードを得る手順と前記得た操作コードを用いて前記アプリケーションプログラムの処理を規定する手順と

を有するプログラム。

5 1 . アプリケーションプログラムを実行する半導体回路が行うデータ処理方法であって、前記アブリケーシヨンプ Πグラムを構成する複数のプログラムモジュ一ルの各々を、複数のファィァウォールのうち予め各プログラムモジュールに割り当てられたフアイァウォールによって保護し、

前記プログラムモジュールを、当該プログラムモジユールに割り当てられたファイアウォールを識別するファイアウォール識別情報と対応付けて登録し前記登録が行われていることを条件に、前記プログラムモジユールを実行する

データ処理方法。

5 2 . 同じファイアウォール識別情報と対応付けて登録されている複数のプログラムモジュール間では、データ授受またはデータ参照を許可し、異なるフアイァウォール識別情報と対応付けて登録されている複数のプログラムモジュ一ル間ではデータ授受またはデータ参照を禁止する

請求項 5 1に記載のデータ処理方法。

5 3 . 前記プログラムモジュールを、前記半導体回路の外部から前記半導体回路に当該プログラムモジュールをダウン口一ドするときに用いられるダウンロ一ド用鍵情報とさらに対応付けて登録し、

前記プログラムモジュールのダウンロード要求を受けると、当該プログラムモジュールに対応して登録された前記ダウンロード用鍵情報を用いて、当該ダウンロードの可否を判断し、ダウンロード可と判断された場合に、当該プログラムモジュールのダウンロードを行う

請求項 5 1に記載のデータ処理方法。

5 4 . 前記プログラムモジュ一ルに対応して前記ダゥンロード用鍵情報が登録されていない場合に、当該プログラムモジュールのダウンロードを行わない請求項 5 3に記載のデータ処理方法。

5 5 . 前記ダウンロード要求の送信元との間で相互認証を行い、当該送信元の正当性を確認した後に、前記ダウンロードの可否を判断する

請求項 5 3に記載のデータ処理方法。

5 6 . 前記プログラムモジュールを、当該プログラムモジュールの実行前に用いられる鍵情報とさらに対応付けて登録し、

実行要求を受けたプログラムモジユールに対応する前記鍵情報を用いて、当該プログラムモジュールが改変または改竄されているか否かを判断し、改変または改竄されていないと判断した場合に、当該プログラムモジユールを実行する

請求項 5 1に記載のデータ処理方法。

5 7 . 前記プログラムモジュールを、前記半導体回路の外部に設けられた半導体記憶回路に記憶する場合に、

前記半導体回路が、前記プログラムモジュールをスクランブルした後に前記半導体記憶回路に書き込み、

前記半導体回路が、前記半導体記憶回路から読み出したプログラムモジユールをデスクランブルする

請求項 5 1に記載のデータ処理方法。

5 8 . 前記アプリケーションプログラム力前記半導体回路との間でデータの送受信を行う集積回路を用いた手続き処理を規定している場合に、

前記集積回路の操作に用いられる第 1の鏈情報を、第 2の鍵情報で暗号化して前記半導体記憶回路に記憶し、

前記第 2の鍵情報を前記半導体回路内に記憶する

請求項 5 7に記載のデータ処理方法。

5 9 . 前記集積回路は、カードに搭載されている

請求項 5 8に記載のデータ処理方法。

6 0 . 前記半導体回路は、前記集積回路を用いて行う手続きを提供する複数の手続き提供者にそれぞれ対応した複数の前記アプリケーションプログラムを実行し、

同じアプリケーションプログラムを構成する複数の前記プログラムモジユールを、同じ前記ファイアウォールによって保護する

請求項 5 8に記載のデータ処理方法。

6 1 . アプリケ一ションプログラムを実行する半導体回路であって、

前記ァプリケーシヨンプログラムを構成する複数のプログラムモジユールの各々を、複数のファィァウォールのうち予め各プログラムモジュールに割り当てられたファィァウォールによって保護し、

前記プ αグラムモジユールを、当該プログラムモジユールに割り当てられたファイアウォールを識別するファイアゥォール識別情報と対応付けて登録し前記登録が行われていることを条件に、前記プログラムモジユールを実行する半導体回路。

6 2 . 同じファイアウォール識別情報と対応付けて登録されている複数のプログラムモジュール間では、データ授受またはデータ参照を許可し、異なるフアイァウォール識別情報と対応付けて登録されている複数のプログラムモジユール間ではデータ授受またはデータ参照を禁止する

請求項 6 1に記載の半導体回路。

6 3 . 前記プログラムモジュールを、前記半導体面路の外部から前記半導体画路に当該プログラムモジュールをダウン π—ドするときに用いられるダウン一ド用鍵情報とさらに対応付けて登録し、

前記プ αグラムモジュ一ルのダゥン口一ド要求を受けると、当該プログラムモジュールに対応して登録された前記ダウン ct—ド用鍵情報を用いて、当該ダウンロードの可否を判断し、ダウンロード可と判断された場合に、当該プログラムモジュールのダウンロ一ドを行う

請求項 6 1に記載の半導体回路。

6 4 . 前記プログラムモジュールに対応して前記ダウン σ—ド用鍵情報が登録されていない場合に、当該プログラムモジュールのダウンロ一ドを行わない

請求項 6 3に記載の半導体回路。

6 5 . 前記ダウンロード要求の送信元との間で相互認証を行い、当該送信元の正当性を確認した後に、前記ダウンロードの可否を判断する

請求項 6 3に記載の半導体回路。

6 6 . 前記プログラムモジュールを、当該プログラムモジュールの実行前に用いられる鍵情報とさらに対応付けて登録し、

請求項 6 1に記載の半導体回路。

6 7 . 前記プログラムモジュールを、前記半導体回路の外部に設けられた半導体記憶回路に記憶する場合に、 ' 前記半導体画路が、前記プ口グラムモジュールをスクランブルした後に前記半導体記憶回路に書き込み、

請求項 6 1に記載の半導体回路。

6 8 . 前記アプリケーションプログラムが、前記半導体回路との間でデータの送受信を行う集積回路を用いた手続き処理を規定している場合に、

前記集積回路の操作に用いられる第 1の鍵情報を、第 2の鍵情報で暗号化して前記半導体記憶回路に記憶し、

前記第 2の鍵情報を前記半導体西路内に記憶する

請求項 6 1に記載の半導体回路。

6 9 . 前記集積回路は、カードに搭載されている

請求項 6 1に記載の半導体画路。

7 0 . 前記半導体画路は、前記集積回路を用いて行う手続きを提供する複数の手続き提供者にそれぞれ対応した複数の前記アプリケーションプログラムを実行し、

同じアプリケ一ションプログラムを構成する複数の前記プログラムモジユールを、同じ前記ファイアウォールによって保護する

請求項 6 8に記載の半導体回路。

7 1 . アプリケーションプログラムを実行する半導体回路が実行するプログラムあっこ、

前記アプリケ一ションプログラムを構成する複数のプログラムモジユールの各々を、複数のファィァウォールのうち予め各プログラムモジュールに割り当てられたファイアウォールによって保護する手順と、

前記プログラムモジユールを、当該プログラムモジユールに割り当てられたファイアウォールを識別するファイアウォール識別情報と対応付けて登録する手 il頃と、

前記登録が行われていることを条件に、前記プログラムモジュールを実行する手順と

を有するプログラム。

7 2 . 同じファイアウォール識別情報と対応付けて登録されている複数のプ α グラムモジュール間では、データ授受またはデータ参照を許可し、異なるフアイァウォール識別情報と対応付けて登録されている複数のプログラムモジユール間ではデータ授受またはデータ参照を禁止する手順

をさらに有する請求項 7 1に記載のプログラム。

7 3 . アプリケーションプログラムを実行する半導体回路が行うデータ処理方法であって、それぞれフアイァウォールによって保護された複数のアプリケーションプログラムを独立して実行し、

前記ファィァウォールを介して行われる前記アプリケ一ションプロダラム間の通信を許可する条件を予め登録し、

前記アプリケ一ションプログラムが他の前記アプリケーションプロダラムとの通信要求を発生すると、当該通信要求が前記登録された条件を満たしているか否かを判断し、

前記登録された条件を満たしていると判断した場合に、前記通信要求に応じた前記ァプリケーシヨンプログラム間の通信を実行する

データ処理方法。

7 4 . 前記ファイアウォールを介した通信が許可される前記通信要求の発生元のアプリケーションプログラムと前記他のァプリケ一ションプ αグラムとの組み合わせを示す情報を、前記通信を許可する条件として登録する

請求項 7 3に記載のデータ処理方法。

7 5 . 前記半導体酉路が当該半導体回路の外部から処理要求を受けると、前記複数のァプリケーシヨンプログラムのうち、前記処理要求に対応したアプリケーションプログラムを選択し、

当該選択したアプリケーションプログラムに基づいて、前記処理要求に応じた処理を行う

請求項 7 3に記載のデータ処理方法。

7 6 . 前記アプリケーションプログラム間の通信に伴うデータの授受を、前記半導体回路の外部の半導体記憶装置の所定の記憶領域を用いて行う

請求項 7 3に記載のデータ処理方法。

7 7 . データ授側のアプリケーションプログラムが、前記所定の記憶領域にデータを書き込み、

当該書き込みが行われたことをデータ受側のアプリケーションプログラムに通知し、

当該通知に応じて、前記データ受側のアプリケ一ションプログラムが、前記所定の記憶領域から前記データを読み取る

請求項 7 6に記載のデータ処理方法。

7 8 . 前記所定の記憶領域に対してのアクセス要求が発生した場合に、フアイァウォールによって当該アクセスの正当性を判断し、正当であると判断されたァクセス要求に対してのみ前記所定の記憶領域へのアクセスを認める

請求項 7 6に記載のデータ処理方法。

7 9 . 前記アプリケーションプログラム間の通信に伴って授受されるデータをスクランブルした後に前記所定の記憶領域に記憶する

請求項 7 6に記載のデータ処理方法。

8 0 . 前記半導体回路は、前記アプリケーションプログラムの実行に伴う処理の少なくとも一部を、他の半導体回路に依頼する

請求項 7 3に記載のデータ処理方法。

8 1 . それぞれファィァウォールによって保護された複数のアプリケ一ションプログラムを独立して実行し、

前記フアイァウォールを介して行われる前記アプリケーションプロダラム間の通信を許可する条件を予め登録し、

前記ァプリケーシヨンプログラムが他の前記アブリケーションプロダラムとの通信要求を発生すると、当該通信要求が前記登録された条件を満たしているか否かを判断し、

半導体回路。

8 2 . 前記ファィァウォールを介した通信が許可される前記通信要求の発生元のアプリケーションプログラムと前記他のァプリケーションプログラムとの組み合わせを示す情報を、前記通信を許可する条件として登録する

請求項 8 1に記載の半導体回路。

8 3 . 外部から処理要求を受けると、

前記複数のアプリケーションプログラムのうち、前記処理要求に対応したアプリケーションプログラムを選択し、

請求項 8 1に記載の半導体回路。

8 4 . 前記アプリケーションプ σグラム間の通信に伴うデータの授受を、前記半導体回路の外部の半導体記憶装置の所定の記憶領域を用いて行う

請求項 8 1に記載の半導体画路。

8 5 . データ授側のアプリケーションプログラムに、前記所定の記憶領域にデータを書き込ませ、

当該書き込みが行われたことをデータ受側のアプリケ一ションプログラムに通知し、

当該通知に応じて、前記データ受側のアプリケ一ションプログラムに、前記所定の記憶領域から前記データを読み取らせる

請求項 8 4に記載の半導体回路。

8 6 . 前記所定の記憶領域に対してのアクセス要求が発生した場合に、フアイァウォールによって当該アクセスの正当性を判断し、正当であると判断されたァクセス要求に対してのみ前記所定の記憶領域へのアクセスを認める

請求項 8 4に記載の半導体回路。

8 7 . 前記アプリケーションプログラム間の通信に伴って授受されるデータをスクランブルした後に前記所定の記憶領域に記憶する

請求項 8 4に記載の半導体回路。

8 8 . 前記アプリケーションプログラムの実行に伴う処理の少なくとも一部を、他の半導体回路に依頼する

請求項 8 1に記載の半導体面路。

• 8 9 . それぞれファイアウォールによって保護された複数のアプリケーションプログラムを独立して実行する手順と、

前記ファィァウォールを介して行われる前記アプリケ一ションプロダラム間の通信を許可する条件を予め登録する手順と、

前記ァプリケーションプログラムが他の前記ァプリケ一ションプロダラムとの通信要求を発生すると、当該通信要求が前記登録された条件を満たしているか否かを判断する手順と、

前記登録された条件を満たしていると判断した場合に、前記通信要求に応じた前記ァプリケ一シヨンプログラム間の通信を実行する手順と

を半導体回路に実行させるプ σグラム。

9 0 . 半導体画路または当該半導体回路がアクセス可能な半導体記憶装置が、前記半導体回路内で動作するプログラムをダウンロードするデータ処理方法において、

前記半導体回路が、複数の階層からなるソフトゥユア構造を有し、各階層に対応したダウンロード用署名検証鍵情報を前記半導体回路が参照可能であり前記半導体回路が、ダウンロード要求を受けると、当該ダウンロード要求に対応して生成されたダウンロード用署名情報を、前記ダウン口一ド用署名検証鍵情報を用いて検証し、

前記半導体装置が、前記ダウンロード用署名情報が正当であると検証したことを条件に、当該検証に用いたダウン口一ド用署名検証鍵情報に対応した階層プログラムをダウンロ一ドすることを、前記ダウンロード要求の発行元に許可する

データ処理方法

9 1 . 認証用装置が、ダウンロードが許可されるプログラムが属する階層に対応したアクセス原鍵情報を記憶し、

前記認証用装置が、前記半導体回路に前記ダウンロード要求を送信し、前記認証用装置が、当該アクセス原鏈情報を用いて前記ダウンロード用署名情報を生成し、当該ダウンロード用署名情報を前記半導体回路に送信する請求項 9 0に記載のデータ処理方法。

9 2 , 前記認証用装置が、前記半導体回路の識別情報を記憶し、

前記認証用装置が、前記識別情報を平文として前記アクセス原鍵情報を用いて暗号化を行ってダウンロード用原鍵情報を生成し、当該ダウン口一ド用原鍵情報を用いて前記ダウンロード用署名情報を生成する

請求項 9 0に記載のデータ処理方法。

9 3 . 前記認証用装置が、前記半導体回路へのダウンロードを許可された前記階層に対応する第 1のアクセス原鍵情報、並びに、当該階層の上位の単数または複数の階層にそれぞれ対応した単数または複数の第 2のアクセス原鍵情報を記憶し、

前記認証用装置が、前記第 1 のアクセス原鏈情報、並びに前記単数または複数の第 2のアクセス原鍵情報を用いて前記ダウンロード用署名情報を生成する

請求項 9 1に記載のデータ処理方法。

9 4 . 前記認証用装置が、前記半導体回路との間で相互認証を行った後に、前記ダウンロード用署名情報を前記半導体回路に送信する

請求項 9 1に記載のデータ処理方法。

9 5 . 前記認証用装置が、相互認証用原鍵情報、並びに前記半導体回路の識別情報を記憶し、

前記認証用装置が、前記識別情報を平文として前記相互認証用原鍵情報を用いて暗号化を行って相互認証用鍵情報を生成し、

前記認証用装置が、前記相互認証用鍵情報を用いて前記半導体回路との間で相互認証を行う

請求項 9 4に記載のデータ処理方法。

9 6 . 前記半導体回路のソフトウア構造が、前記半導体回路の管理者にのみダウンロード権が与えられた第 1の階層と、前記第 1の階層の上位に位置し所定の集積回路を操作するプログラムが属する第 2の階層と、前記第 2の階層の上位に位置し前記集積回路を用いた取り引き手続き内容を規定したアプリケ一ションプログラムが属する第 3の階層とに分類されている

請求項 9 0に記載のデータ処理方法。

9 7 . 前記集積回路は、カードに搭載されており、

前記半導体回路は、通信回線、並びに当該通信回線に接続された通信装置を介して前記集積回路にアクセスを行う

請求項 9 6に記載のデータ処理方法。

9 8 . 前記第 3の階層には、前記集積回路を用いた取り引きを行う複数の事業者のそれぞれに対応したアプリケ一ションプログラムが属し、当該複数のアプリケーションプログラムのそれぞれにフアイァウォールが規定されており、前記ファィァウォールを介した前記アプリケ一ションプログラム間のデータ授受またはデータ参照が規制されている

請求項 9 6に記載のデータ処理方法。

9 9 . 前記認証用装置は、当該認証用装置に加えられた物理的な外力であって前記ァクセス原鍵情報が不正に操作される可能性がある外力を検出した場合に、前記記憶しているァクセス原鍵情報を自動的に消去する

請求項 9 1に記載のデータ処理方法。

1 0 0 . 複数の階層からなるソフトウア構造を有する半導体回路であって、各階層に対応したダウンロード用署名検証鍵情報を参照可能であり、ダウンロード要求を受けると、当該ダウンロード要求に対応して生成されたダウンロード用署名情報を、前記ダウンロード用署名検証鍵情報を用いて検証し、

前記ダウンロード用署名情報が正当であると検証したことを条件に、当該検証に用いたダウン口一ド用署名検証鍵情報に対応した階層のプログラムを、当該半導体面路または当該半導体回路にアクセス可能な半導体記憶回路にダウンロードすることを、前記ダウンロード要求の発行元に許可する

半導体回路。

1 0 1 . 前記半導体回路のソフトウア構造が、前記半導体回路の管理者にのみダウンロード権が与えられた第 1の階層と、前記第 1の階層の上位に位置し所定の集積回路を操作するプログラムが属する第 2の階層と、前記第 2の階層の上位に位置し前記集積回路を用いた取り引き手続き内容を規定したアプリケーションプログラムが属する第 3の階層とに分類されている

請求項 1 0 0に記載の半導体回路。

1 0 2 . 前記集積回路は、カードに搭載されており、

請求項 1 0 0に記載の半導体回路。

1 0 3 . 前記第 3の階層には、前記集積回路を用いた取り引きを行う複数の事業者のそれぞれに対応したアプリケ一ションプ σグラムが属し、当該複数のアプリケ一ションプログラムのそれぞれにファィァウォールが規定されており、前記ファィァウォールを介した前記アプリケ一ションプログラム間のデータ授受またはデータ参照が規制されている

請求項 1 0 2に記載の半導体回路。

1 0 4 . 複数の階層からなるソフトウア構造を有する半導体回路または当該半導体回路がアクセス可能な半導体記憶装置に、前記半導体回路内で動作するプログラムをダウンロードする際の認証に用いられる認証用装置であって、前記ダゥンロードが許可されるプログラムが属する前記階層に対応したアクセス原鍵情報を記憶し、

前記半導体回路に前記ダウンロード要求を送信し、

当該アクセス原鍵情報を用いて前記ダウンロード用署名情報を生成し、当該ダウンロード用署名情報を前記半導体回路に送信する

認証用装置。

1 0 5 . 前記半導体回路の識別情報を記憶し、

前記識別情報を平文として前記アクセス原鍵情報を用いて暗号化を行つてダウンロード用原鏈情報を生成し、当該ダウンロード用原鍵情報を用いて前記ダウンロード用署名情報を生成する

請求項 1 0 4に記載の認証用装置。

1 0 6 . 前記半導体回路へのダウンロードを許可された前記階層に対応する第 1 のアクセス原鍵情報、並びに、当該階層の上位の単数または複数の階層にそれぞれ対応した単数または複数の第 2のァクセス原鏈情報を記憶し、

前記第 1 のァクセス原鍵情報、並びに前記単数または複数の第 2のァクセス原鍵情報を用いて前記ダウンロード用署名情報を生成する

請求項 1 0 5に記載の認証用装置。

1 0 7 . 前記半導体回路との間で相互認証を行った後に、前記ダウンロード用署名情報を前記半導体画路に送信する

請求項 1 0 5に記載の認証用装置。

1 0 8 . 相互認証用原鍵情報、並びに前記半導体回路の識別情報を記憶し、前記識別情報を平文として前記相互認証用原鍵情報を用いて暗号化を行つて相互認証用鍵情報を生成し、

前記相互認証用鍵情報を用いて前記半導体回路との間で相互認証を行う請求項 1 0 7に記載の認証用装置。

1 0 9 . 当該認証用装置に加えられた物理的な外力であって前記アクセス原鍵情報が不正に操作される可能性がある外力を検出した場合に、前記記憶しているァクセス原鍵情報を自動的に消去する

請求項 1 0 5に記載の認証用装置。

1 1 0 . 複数の階層からなるソフトウア構造を有する半導体回路が実行するプログラムであって、

ダウンロード要求を受けると、当該ダウンロード要求に対応して生成されたダウンロード用署名情報を、前記複数の階層のうち対応する層の前記ダウンロード用署名検証鏈情報を用いて検証する手順と、

前記ダウン口一ド用署名情報が正当であると検証したことを条件に、当該検証に用いたダウンロード用署名検証鍵情報に対応した階層のプログラムを、当該半導体画路または当該半導体回路にアクセス可能な半導体記憶回路にダウンロードすることを、前記ダウンロード要求の発行元に許可する手順と

を有するプログラム。

1 1 1 . データ処理回路およびデータ入出力処理回路を有する半導体回路であつて、

前記データ処理回路は、

当該半導体回路の外部のバスとの間で、前記データ入出力処理回路を介してデータを入出力し、

前記データ入出力画路は、

前記データ処理回路から入力したデータを、所定のデータ長を単位として暗号化して前記バスに出力し、

前記バスから入力したデータを復号して前記データ処理回路に出力し、前記バスのバス幅を N bとし、前記データ長を N cとし、 N c / N b = nとし、 n以上の最も小さい整数を mとした場合に、前記バスを介したデータ入出力トランザクションを、 m回のデータ入出力トランザクションを単位として行

Ό

半導体回路。

1 1 2 . 前記データ入出力画路は、

前記データ処理画路から入力した第 1のァドレスに基づいて、前記バスを介して半導体記憶回路にアクセスを行う場合に、

N cのデータが記憶される記憶領域を単位として前記半導体記憶回路にアクセスを行うように、前記第 1のアドレスを第 2のアドレスに変換し、当該第 2のァドレスを用いて前記半導体記憶回路にアクセスを行う

請求項 1 1 1に記載の半導体画路。

1 1 3 . 前記データ入出力回路は、

第 1 のァドレスに第 1 のデータを書き込む指示を前記データ処理回路が受けた場合に、

前記第 1 のァドレスを前記第 2のァドレスに変換し、

前記第 2のァドレスを用いて、前記第 1のァドレスを舍む所定のァドレス範囲のデータを前記半導体記憶回路から読み出し、

当該読み出したデータを復号し、

前記復号したデータのうち、前記第 1のァドレスに対応するデータを書き換え、

前記書き換えられたデータを舍む前記所定のァドレス範囲のデータを暗号化し、

前記暗号化したデータを、前記第 2のァドレスを用いて前記半導体記憶回路に書き込む

請求項 1 1 2に記載の半導体回路。

1 1 4 . 前記データ入出力回路は、第 1のァドレスからデータを読み出す指示を前記データ処理画路から受けた場合に、

前記第 1のァドレスを前記第 2のアドレスに変換し、

当該読み出したデータを復号し、

当該復号したデータのうち、前記第 1のァドレスに対応するデータを取り出して前記データ処理回路に出力する

請求項 1 1 2に記載の半導体回路。

1 1 5 . 前記データ入出力回路は、

前記暗号化および復号に用いる鍵データを、当該データを前記半導体記憶回路に書き込むために暗号化するときに用いる鍵データと、当該データを前記半導体記憶回路から読み出して復号するときに用いる鍵データとが同じになることを条件に、適宜切り換える

請求項 1 1 1に記載の半導体回路。

1 1 6 . 前記データ入出力回路は、複数の前記鍵を記憶しており、

前記複数の鍵を適宜切り換えて使用する

請求項 1 1 5に記載の半導体回路。

1 1 7 . 前記データ入出力回路は、前記半導体記憶回路にアクセスを行うアドレスを用いて演算を行って前記鍵を生成する

請求項 1 1 5に記載の半導体面路。

1 1 8 . 前記データ入出力回路は、前記半導体記憶回路に書き込むデータからパリティデータを生成し、当該データに対応付けて前記パリティデータを前記半導体記憶回路に書き込み、当該データの読み岀しと共に対応するパリティデータを読み出し、当該パリティデータに基づいて、当該読み出したデータの正当性を検証する請求項 1 1 1に記載の半導体画路。

1 1 9 . 前記データ入出力回路は、前記半導体記憶回路にデータを書き込む処理、または前記半導体記憶回路からデータを読み出す処理の少なくとも一方を、複数の処理に分割し、当該分割した処理を単位としてパイプライン処理を実行する請求項 1 1 1に記載の半導体回路。

1 2 0 . 前記データ入出力回路は、前記データ処理回路から入力したアドレスをスクランブルして前記第 2のァドレスを生成する

請求項 1 1 2に記載の半導体画路。

1 2 1 . バスを介して半導体回路と半導体記憶回路とが接続されている場合に、前記半導体記憶回路にアクセスを行うときに半導体画路が行うデータ処理方法であっこ、

前記半導体記憶回路に書き込むデータを所定のデータ長を単位として暗号化して前記バスに出力し、

前記バスから入力したデータを復号し、

前記バスのバス幅を N bとし、前記データ長を N cとし、 N cノ N b = nとし、 n以上の最も小さい整数を mとした場合に、前記バスを介したデータ入出力トランザクションを、 m回のデータ入出力トランザクションを単位として行 Ό

データ処理方法。

1 2 2 . N cのデータが記憶される記憶領域を単位として前記半導体記憶回路にアクセスを行うように、前記半導体記憶回路にアクセスを行う際に用いるァドレスを生成する

請求項 1 2 1に記載のデータ処理方法。

1 2 3 . 前記生成したァドレスを用いて所定のァドレス範囲のデータを前記半導体記憶回路から読み出し、当該読み出したデータを復号し、

前記復号したデータのうち、必要なデータを書き換え、

前記書き換えられたデータを舍む前記所定のアドレス範囲のデータを暗号化し、

前記暗号化したデータを、前記生成したァドレスを用いて前記半導体記憶回路に書き込む

請求項 1 2 2に記載のデータ処理方法。

1 2 4 . 前記生成したァドレスを用いて所定のァドレス範囲のデータを前記半導体記憶回路から読み出し、

当該読み出したデータを復号し、

当該復号したデータのうち、必要なデータを取り出して処理を行う請求項 1 2 2に記載のデータ処理方法。

1 2 5 . 前記暗号化および復号に用いる鍵データを、当該データを前記半導体記憶 HI路に書き込むために暗号化するときに用いる鍵データと、当該データを前記半導体記憶回路から読み出して復号するときに用いる鍵データとが同じになることを条件に、適宜切り換える

請求項 1 2 1に記載のデータ処理方法。

1 2 6 . 複数の前記鍵を記憶しており、

前記複数の鏈を適宜切り換えて使用する

請求項 1 2 5に記載のデータ処理方法。

1 2 7 . 前記半導体記憶回路にアクセスを行うァドレスを用いて演算を行って前記鏈を生成する

請求項 1 2 5に記載のデータ処理方法。

1 2 8 . 前記半導体記憶回路に書き込むデータからパリティデータを生成し、当該データに対応付けて前記パリティデータを前記半導体記憶回路に書き込み、当該データの読み出しと共に対応するパリティデータを読み出し、当該パリテイデータに基づいて、当該読み出したデータの正当性を検証する

請求項 1 2 1に記載のデータ処理方法。

1 2 9 . 前記半導体記憶回路にデータを書き込む処理、または前記半導体記憶画路からデータを読み出す処理の少なくとも一方を、複数の処理に分割し、当該分割した処理を単位としてパイプライン処理を実行する

請求項 1 2 1に記載のデータ処理方法。

1 3 0 . 複数のプログラムの命令およびデータを記憶する記憶回路と、

伝送路を介して前記記憶回路にアクセスを行い、前記複数のプログラムの命令およびデータを用いて前記複数のプログラムを実行する演算回路と、前記伝送路と前記記憶回路との間に介在し、制御信号に基づいて、前記伝送路と前記記憶回路との間を接続状態および非接続状態の何れか一方に設定する接続切換回路と、

前記演算回路が前記複数のプログラムを実行中にアクセス可能な前記記憶回路内のァドレス範囲を前記複数のプログラムの各々について規定したァクセス範囲規定データと、前記演算回路がアクセス要求を出した前記記憶回路内のァドレスと、前記演算回路が複数のプログラムのうち何れのプログラムを実行中であるかを示す実行中プログラム指示情報とに基づいて、前記伝送路と前記記憶回路との間を接続状態および非接続状態の何れにするかを制御する前記制御信号を生成する接続制御回路と、

前記伝送路を介した前記演算回路との間のデータ入出力と、当該データ処理装置の外部との間のデータ入出力とを行う入出力ィンタフユース回路とを有するデータ処理装置。.

1 3 1 . 前記接続制御画路は、

前記演算回路がアクセス要求を出した前記記憶回路内のァドレスが、前記ァクセス範囲規定データが規定する前記実行中のプログラムに対応するァドレス範画内にある場合に、前記伝送路と前記記憶回路との間を接続状態にすることを示す前記制御信号を生成し、当該ァドレス範囲内にない場合に前記伝送路と前記記憶回路との間を非接続状態にすることを示す前記制御信号を生成する

請求項 1 3 0に記載のデータ処理装置。

1 3 2 . 前記接続制御回路は、

前記演算回路がフツチ、リードおよびライトの何れの命令を実行中であるかに応じてそれぞれアクセス可能な前記記憶回路内のアドレス範囲を規定した前記ァクセス範囲規定データに基づいて、実行中の命令に応じて前記制御信号を生成する

請求項 1 3 0に記載のデータ処理装置。

1 3 3 . 前記接続制御回路は、前記アクセス範囲規定データを記憶する記憶部を有する

請求項 1 3 0に記載のデータ処理装置。

1 3 4 . 前記入出力インタフェース回路は、当該データ処理装置の外部で、暗号化された前記アクセス範囲規定データを記憶する集積回路との間でデータの送受信を行い、

前記演算回路は、前記伝送路および前記通信回路を介して、前記集積回路にアクセスを行い、

前記接続制御回路は、所定の鍵情報を保持し、前記通信回路および前記伝送路を介して前記集積回路から前記暗号化されたアクセス範囲規定データを受信し、当該受信したアクセス範囲規定データを前記鍵情報を用いて復号し、当該復号したアクセス範囲規定データを用いて前記制御信号を生成する

請求項 1 3 0に記載のデータ処理装置。

1 3 5 . 前記接続制御回路は、前記復号を行う暗号化された復号プログラムを前記入出カインタフース回路および前記伝送路を介して受信し、当該受信した復号プログラムを復号して前記記憶回路に格納し、当該記憶回路に格納された前記復号プログラムを用いて、前記アクセス範囲規定データの復号を行う請求項 1 3 4に記載のデータ処理装置。

1 3 6 . 前記演算回路は、前記接続制御回路が、前記伝送路と前記記憶回路との間を非接続状態に設定する場合に、当該演算回路の動作を停止する

請求項 1 3 0に記載のデータ処理装置。

1 3 7 . 前記接続制御回路は、

前記演算回路が実行中の前記プログラムが他の前記プログラムの機能を呼び出した場合に、呼び出しを許可する呼び出し元および呼び出し先のプログラムの組み合わせを予め規定したプログラム間呼び出し関係規定データに基づいて、前記呼び出しが許可されているか否かを判断し、許可されていると判断した場合に、前記伝送路と前記記憶回路との間を接続状態にする前記制御信号を生成し、不許可であると判断した場合に、前記伝送路と前記記憶回路との間を非接続状態にする前記制御信号を生成する

請求項 1 3 0に記載のデータ処理装置。

1 3 8 . 前記接続制御回路は、

前記演算回路がフ 'ンチ、リードおよびライトの何れの命令を実行中であるかに応じてそれぞれ前記プログラムの組み合わせを規定したプログラム間呼び出し関係規定データに基づいて、実行中の命令に応じて前記制御信号を生成する

請求項 1 3 7に記載のデータ処理装置。

1 3 9 . 前記接続制御回路は、前記プログラム間呼び出し関係規定データを記憶する記憶部を有する

請求項 1 3 7に記載のデータ処理装置。

1 4 0 . 前記入出力インタフース回路は、当該データ処理装置の外部で、暗号化された前記プ口グラム間呼び出し関係規定データを記憶する集積回路との間でデータの送受信を行い、

前記接続制御回路は、所定の鍵情報を保持し、前記通信回路および前記伝送路を介して前記集積画路から前記暗号化されたプログラム間呼び出し鬨係規定データを受信し、当該受信したプログラム間呼び出し関係規定データを前記鍵情報を用いて復号し、当該復号したプログラム間呼び出し閲係規定データを用いて前記制御信号を生成する

請求項 1 3 7に記載のデータ処理装置。

1 4 1 . 前記接続制御回路は > 前記復号を行う暗号化された復号プ σグラムを前記入出カインタフース回路および前記伝送路を介して受信し、当該受信した復号プログラムを復号して前記記憶回路に格納し、当該記憶回路に格納された前記復号プログラムを用いて、前記プログラム間呼び出し関係規定データの復号を行つ

請求項 1 4 0に記載のデータ処理装置。

1 4 2 . プログラムを実行する半導体回路であって、

第 1 の伝送路と、

前記プ口グラムを実行するための命令またはデータを記憶する記憶画路と、

前記第 1 の伝送路を介して前記記憶回路から読み出した前記命令に基づいて動作する演算 HI路と、

第 1の制御信号に基づいて前記第 1の伝送路と前記記憶回路との間を接続状態および非接続状態の何れか一方にする第 1の接続切換回路と、

第 2の制御信号に基づいて、当該半導体回路の外部の第 2の伝送路と前記第 1の伝送路との間を接続状態および非接続状態の何れか一方にする第 2の接続切換回路と、

接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力するときに、非接続を指示する前記第 2の制御信号を前記第 2の接続切換回路に出力し、非接続を指示する前記第 1の制御信号を前記第 1の接続切換画路に出力するときに、接続を指示する前記第 2の制御信号を前記第 2の接続切換回路に出力する接続制御回路と

を有する半導体回路。

1 4 3 . 前記第 2の接続切換画路は、前記第 2の伝送路を介して、前記半導体回路の外部にある記憶装置に接続されている

請求項 1 4 2に記載の半導体回路。

1 4 . 前記接続制御回路は、

前記演算回路が前記記憶回路から命令を読み出す場合に、

接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力し、非接続を指示する前記第 2の制御信号を前記第 2の接続切換回路に出力する請求項 1 4 2に記載の半導体回路。

1 4 5 . 前記演算回路は、実行する命令の種類を示す信号を第 3の伝送路に出力し、当該命令によってアクセスを行う記憶領域のァドレスを第 4の伝送路に出力し、

前記接続制御回路は、

前記第 3の伝送路および前記第 4の伝送路を監視し、前記演算回路がフ • ツチ命令を実行し、かつ、前記記憶回路にアクセスを行うと判断した場合に、接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力し、非接続を指示する前記第 2の制御信号を前記第 2の接続切換回路に出力する請求項 1 4 4に記載の半導体回路。

1 4 6 , 前記記憶画'路は、前記プログラムを実行するための機能モジュールであつて、それぞれ先頭に位置する非接続解除命令と、末尾に位置する非接続開始命令とを舍む複数の命令をそれぞれ格納した複数の機能モジュールを記憶し、前記接続制御回路は、前記演算回路が前記非接続解除命令を実行すると前記接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力し、前記演算回路が前記非接続開始命令を実行すると前記非接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力する

請求項 1 4 2に記載の半導体回路。

1 4 7 . 前記接続制御回路は、

前記演算回路が前記非接続解除命令を実行してから次に前記非接続開始命令を実行するまで、前記第 1の伝送路と前記記憶回路との間を継続して接続状態にするように前記第 1の制御信号を前記第 1の接続切換画路に出力する

請求項 1 4 6に記載の半導体回路。

1 4 8 . 前記演算回路の内部状態の読み出し要求と、当該内部状態の書き換え要求と、前記演算回路の動作停止要求との少なくとも一つを発行する外部装置と接続され、第 3の制御信号に基づいて、前記読み出し要求、前記書き換え要求および前記動作停止要求を前記演算回路に出力するか否かを決定する第 3の接続切換回路

をさらに有し、

前記接続制御回路は、

接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力するときに、前記読み出し要求、前記書き換え要求および前記動作停止要求を前記演算回路に出力しないことを指示する前記第 3の制御信号を前記第 3の接続切換回路に出力し、非接続を指示する前記第 1の制御信号を前記第 1の接続切換回路に出力するときに、前記読み出し要求、前記書き換え要求および前記動作停止要求を前記演算回路に岀カすることを指示する前記第 3の制御信号を前記第 3の接続切換回路に出力する

請求項 1 4 2に記載の半導体 HI路。

1 4 9 . プログラムを実行する半導体回路であって、

前記プログラムの暗号化された命令またはデータを記憶し、当該半導体回路の外部の第 1の伝送路を介して記憶装置に出力するデータを暗号化し、前記第 1の伝送路を介して前記記憶装置から入力した暗号化された命令またはデータを復号する暗号化復号回路と、

前記復号された命令またはデータを用いて演算を行う演算回路と、制御信号に基づいて、前記半導体画路の外部の第 2の伝送路と、前記演算 HI路との間の通信の許否を選択する選択回路と、

前記演算回路が、前記プログラムの命令またはデータを用いて処理を行つている間、前記第 2の伝送路と前記演算回路との間の通信を不許可にすることを指示する前記制御信号を前記選択画路に出力する制御回路と

を有する半導体回路。

1 5 0 . 前記選択回路は、前記第 2の伝送路に接続された外部装置であって、前記演算回路の内部状態の読み出し要求と、当該内部状態の書き換え要求と、前記演算回路に動作停止要求との少なくとも一つを発行する外部装置と、前記演算回路との間の通信に介在する

請求項 1 4 9に記載の半導体回路。

1 5 1 . 前記暗号化復号面路は、前記プログラムを構成する機能モジュールを所定の鍵情報を用いて暗号化し、当該機能モジユールの暗号化に用いた鍵情報を特定する鍵特定情報を平文で生成し、当該鍵特定情報を、前記暗号化した機能モジユールと対応付けて前記記憶装置に出力する

請求項 1 4 9に記載の半導体回路。

1 5 2 . 前記暗号化復号回路は、前記暗号化に用いた複数の鍵情報を保持し、前記記憶装置から入力した前記鍵特定情報に基づいて特定した前記鍵情報を用いて、前記第 2の伝送路を介して記憶装置から入力した前記機能モジュールを復号する

請求項 1 4 9に記載の半導体回路。

1 5 3 . 前記暗号化復号回路は、前記機能モジュールを所定のデータ長のプロ 'ンクデータを単位として暗号化および復号する請求項 1 5 1に記載の半導体回路。

1 5 4 . 前記暗号化復号画路は、前記機能モジュールを暗号化するときに、前記ブックデータを単位としてパリティ情報を生成し、当該ブロックデータに対応させて当該パリティデータを前記記憶装置に記憶させる

請求項 1 5 3に記載の半導体回路。

1 5 5 . 前記暗号化復号画路は、前記ブロックデータおよび前記パリティデータの値の総和が所定の値になるように、前記パリティデータを生成する

請求項 1 5 4に記載の半導体回路。

1 5 6 . 前記暗号化復号回路は、前記第 1の伝送路を介して前記記憶装置から入力したブロックデータを復号した後に、当該ブロックデータに対応するパリティデータの正当性を判断し、正当でないと判断した場合に前記演算回路の動作を停止、または所定のエラー処理を行う

請求項 1 5 4に記載の半導体 HI路。

1 5 7 . 前記ブロックデータのデータ長と、前記機能モジュールのデータ長とは同じである

請求項 1 5 1に記載の半導体回路。

1 5 8 . 集積回路との間で通信を行ってサービスを提供するための処理手順を記述した処理手順データを舍む複数のデータモジュールによってそれぞれ構成される複数のアプリケーションプログラムをそれぞれ予め決められた記憶領域に記憶し、前記データモジュールと、当該データモジュールに応じた処理において他の前記データモジュールを利用するために用いられる第 1の鍵データと、当該データモジュールに応じた処理において前記集積回路とデータ授受を行うために用いられる第 2の鍵データとを対応付けて示す管理データを記憶する記憶回路と、前記データモジュールに基づいて前記サービスに係わる処理を行い、当該処理において、前記管理データを参照して、当該データモジュールに対応した前記第 1の鍵データを用いて前記他のデータモジュールを利用し、当該データモジュールに対応した前記第 2の鍵データを用いて前記集積回路とデータの授受を行う半導体回路と

を有するデータ処理装置。

1 5 9 . 前記記憶画路は、前記データモジュールを用いて行われた処理の履歴データ、前記記憶領域に対して前記データモジュールを登録する手順を示したプログラムデータ、前記記憶領域から前記データモジユールの登録を削除する手順を示したプログラムデータ、並びに前記アプリケーションプログラムを記憶する前記記憶領域を規定するための手順を示したプログラムデータのうち少なくも一つを前記データモジユールとして記憶する

請求項 1 5 8に記載のデータ処理装置。

1 6 0 . 前記半導体回路は、

前記他のデータモジュールに応じた処理が当該半導体回路で実行される場合に、前記管理データを用いて、前記所定のデータモジュールに対応する前記第 1の鏈データと、前記他のデータモジュールに対応する前記第 1の鍵データとを得て、当該得た 2つの第 1の鍵データが一致していることを条件に、前記実行中の所定のデータモジユールから前記他のデータモジユールを利用する

請求項 1 5 8に記載のデータ処理装置。

1 6 1 . 前記記憶画路は、前記データモジュールのそれぞれについて、当該データモジュールに関する利用について許諾する形態を示す利用許可データを記憶し前記半導体回路は、前記 2つの第 1の鍵データが一致している場合に、当該他のデータモジュールに対応する前記利用許諾データを基に、当該利用許諾データによつて許諾される形態で前記他のデータモジュールを利用する

. 請求項 1 6 0に記載のデータ処理装置。

1 6 2 . 前記半導体回路は、

前記他のデータモジュールに応じた処理が他の半導体画路で実行される場合に、前記管理データを用いて、前記所定のデータモジュールに対応する前記第 1の鍵データを得て、当該第 1の鍵データを用いて前記他の半導体回路と相互認証を行い、互いの正当性が認証されたことを条件に、前記実行中の所定のデータモジュールから前記他のデータモジュールを利用する

請求項 1 5 8に記載のデータ処理装置。

1 6 3 . 前記半導体回路は、前記互いの正当性が認証された場合に、前記他のデータモジュールに閩する利用について許諾される形態を示す利用許諾データを基に、当該利用許諾データによって許諾される形態で前記他のデータモジュールを利用する

請求項 1 6 2に記載のデータ処理装置。

1 6 4 . 前記第 1の鍵データは、同一の前記アプリケ一ションプログラムを構成するデータモジュールについて同一となるように規定されている

請求項 1 5 8に記載のデータ処理装置。

1 6 5 . 前記記憶画路は、前記アプリケーションプログラム毎に固有に割り当てられた鍵データを用いて暗号化された前記アプリケーションプログラムを記憶する

請求項 1 5 8に記載のデータ処理装置。

1 6 6 . 前記半導体回路は、

前記データモジュールデータから、前記アプリケーションプログラムの処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデータとを舍むジョブ管理用データを生成し、

前記ジョブ管理用データの前記ステータスデータおよび前記処理順番デ —タに基づいて、次に実行を行うジョブを選択し、

前記選択したジョブを実行し、

請求項 1 5 8に記載のデータ処理装置。

1 6 7 . 前記半導体回路は、

前記処理手順データおよび前記管理データを用いて、前記ジョブ管理用データのテンプレートデータを生成し、

請求項 1 6 6に記載のデータ処理装置。

1 6 8 . 前記半導体面路は、

複数の処理要求のそれぞれについて、前記ジョブ管理用データを生成し複数の前記データモジュールから一つのジョブ管理用データを選択し、前記選択したジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択し、

前記選択したジョブを実行し、

当該ジョブの実行に応じて、前記選択したジヨブ管理用データの前記ステ一タスデータを更新し、

請求項 1 6 7に記載のデータ処理装置。

1 6 9 . 前記半導体回路は、

請求項 1 6 8に記載のデータ処理装置。

1 7 0 . 集積回路との間で通信を行ってサービスを提供するための処理を行う半導体回路が記憶回路とデータ授受をするデータ処理方法であって、前記記憶回路が、集積回路との間で通信を行ってサービスを提供するための処理手順を記述した処理手順データを舍む複数のデータモジュールによってそれぞれ構成される複数のアプリケーションプログラムをそれぞれ予め決められた記憶領域に記憶し、前記データモジュールと、当該データモジュールに応じた処理において他の前記データモジユールを利用するために用いられる第 1の鍵データと、当該データモジュールに応じた処理において前記集積回路とデータ授受を行うために用いられる第 2の鍵データとを対応付けて示す管理データを記憶する場合に、

前記半導体回路が、前記データモジュールに基づいて前記サービスに係わる処理を行い、

前記半導体回路が、前記サービスに係わる処理において、前記管理データを参照して、当該データモジュールに対応した前記第 1 の鍵データを用いて前記他のデータモジュールを利用し、

前記半導体回路が、前記サービスに係わる処理において、当該データモジュールに対応した前記第 2の鍵データを用いて前記集積回路とデータの授受を行つ

データ処理方法。

1 7 1 . 前記半導体回路が、前記他のデータモジュールに応じた処理が当該半導体回路で実行される場合に、前記管理データを用いて、前記所定のデータモジュ —ルに対応する前記第 1の鍵データと、前記他のデータモジュールに対応する前記第 1の鍵データとを得て、当該得た 2つの第 1の鍵データが一致していることを条件に、前記実行中の所定のデータモジュールから前記他のデータモジュールを利用する

請求項 1 7 0に記載のデータ処理方法。

1 7 2 . 前記記憶回路が、前記データモジュールのそれぞれについて、当該デ一タモジュールに関する利用について許諾する形態を示す利用許可データを記憶している場合に、

前記半導体回路が、前記 2つの第 1の鍵データが一致している場合に、当該他のデータモジュールに対応する前記利用許諾データを基に、当該利用許諾データによって許諾される形態で前記他のデータモジュールを利用する

請求項 1 7 1に記載のデータ処理方法。

1 7 3 . 前記半導体画路が、前記他のデータモジュールに応じた処理が他の半導体回路で実行される場合に、前記管理データを用いて、前記所定のデータモジュールに対応する前記第 1の鍵データを得て、当該第 1の鍵データを用いて前記他の半導体回路と相互認証を行い、互いの正当性が認証されたことを条件に、前記実行中の所定のデータモジュールから前記他のデータモジュールを利用する請求項 1 7 0に記載のデータ処理方法。

1 7 4 . 前記半導体回路が、前記互いの正当性が認証された場合に、前記他のデータモジュールに関する利用について許諾される形態を示す利用許諾データを基に、当該利用許諾データによって許諾される形態で前記他のデータモジュールを利用する

請求項 1 7 3に記載のデータ処理方法。

1 7 5 . 前記第 1の鍵データは、同一の前記アプリケーションプログラムを構成するデータモジュールについて同一となるように規定されている

請求項 1 7 0記載のデータ処理方法。

1 7 6 . 前記半導体回路が、前記データモジュールデータから、前記アプリケーションプログラムの処理を構成する複数のジョブの実行順番を示すジョブ実行順番データと、前記複数のジョブの実行の進行状態を示すステータスデータとを舍むジョブ管理用データを生成し、

前記半導体回路が、前記ジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択し、前記半導体回路が、前記選択したジョブを実行し、

前記半導体回路が、当該ジョブの実行に応じて、前記選択したジョブ管理用データの前記ステータスデータを更新する

請求項 1 7 0に記載のデータ処理方法。

1 7 7 . 前記半導体回路が、前記処理手順データおよび前記管理データを用いて、前記ジョブ管理用データのテンプレートデータを生成し、

前記半導体回路が、前記処理要求に応じて、前記テンプレートデータを用いて前記ジョブ管理用データを生成する

請求項 1 7 6に記載のデータ処理方法。

1 7 8 . 前記半導体回路が、複数の処理要求のそれぞれについて、前記ジョブ管理用データを生成し、

前記半導体 HI路が、複数の前記データモジュ一ルから一つのジョブ管理用データを選択し、

前記半導体回路が、前記選択したジョブ管理用データの前記ステータスデータおよび前記処理順番データに基づいて、次に実行を行うジョブを選択し、前記半導体回路が、前記選択したジョブを実行し、

前記半導体回路が、当該更新後に、前記複数のデータモジュールから一つのジョブ管理用データを選択する

請求項 1 7 7に記載のデータ処理方法。

1 7 9 . 前記半導体回路が、前記処理要求に応じた処理を構成する全てのジョブの実行が終了した前記ジヨブ管理用データを消去する

請求項 1 Ί 8に記載のデータ処理方法。

1 8 0 . 集積回路との間で通信を行ってサービスを提供するための処理を行うと共に記憶回路とデータ授受を行う半導体回路が実行するプログラムであって、前記記憶回路が、集積回路との間で通信を行ってサ一ビスを提供するための処理手順を記述した処理手順データを舍む複数のデータモジュールによってそれぞれ構成される複数のアプリケーションプログラムをそれぞれ予め決められた記憶領域に記憶し、前記データモジュールと、当該データモジュールに応じた処理において他の前記データモジュールを利用するために用いられる第 1の鍵デ

—タと、当該データモジュールに応じた処理において前記集積回路とデータ授受を行うために用いられる第 2の鍵データとを対応付けて示す管理データを記憶する場合に、

前記データモジュールに基づいて前記サービスに係わる処理を行う手順と、

前記サービスに係わる処理において、前記管理データを参照して、当該データモジュールに対応した前記第 1の鍵データを用いて前記他のデ一タモジュ —ルを利用する手順と、

前記サービスに係わる処理において、当該データモジュールに対応した前記第 2の鍵データを用いて前記集積酉路とデータの授受を行う手順と

を有するプログラム。