專利名稱：數(shù)據(jù)控制系統(tǒng)、控制服務器、數(shù)據(jù)控制方法、以及程序的制作方法
技術領域：
本發(fā)明涉及一種數(shù)據(jù)控制系統(tǒng)、控制服務器、數(shù)據(jù)控制方法、以及程序。
背景技術：
在最近幾年，能夠與讀卡器/寫卡器進行非接觸通信的信息處理終端已經(jīng) 變成廣泛使用，諸如被提供具有非接觸類型的集成電路(IC)卡(下面用其常 用名"智能卡，，稱呼)或非接觸類型IC芯片的移動電話等。
被提供具有防篡改的IC芯片使得上述能夠與讀卡器/寫卡器進行非接觸
通信的信息處理終端能夠安全地傳送、接收和更新例如電子貨幣等的數(shù)據(jù)(數(shù) 據(jù)偽造對于它們是個問題)。因此，利用能夠與讀卡器/寫卡器進行非接觸通 信的信息處理終端的服務的提供正在整個社會推廣。此外，隨著那些服務的
推廣，諸如被提供具有非接觸類型的IC芯片的移動電話等的信息處理終端的
z使用也在推廣。
當用戶A/v—種類型的移動電話改變到另一種時，例如，爿卩人改變前^f吏用的
移動電話中的IC芯片(傳輸源IC芯片)傳輸數(shù)據(jù)到改變后使用的移動電話 中的IC芯片(傳輸目的地IC芯片)，在此情況下，將開始提供服務。在例如 曰本專利申請公開號JP-A-2006-338423中公開了從傳輸源IC芯片到傳輸目的 地IC芯片的數(shù)據(jù)傳輸中涉及的技術。
在一種公知IC芯片(如見日本專利申請公開號JP-A-2006-338423 )中的 存儲器具有一個存儲區(qū)(服務區(qū)Z),該存儲區(qū)具有如圖l所示的包含至少一 個區(qū)(服務區(qū)A、 B等)的層次結(jié)構(gòu)。在此情況下，所述區(qū)等同于在該層次 結(jié)構(gòu)中的文件夾。例如，讀卡器/寫卡器通過指定被分配給每個區(qū)(服務區(qū)A、 B等)的標識碼來執(zhí)行被存儲在IC芯片中的每個區(qū)(服務區(qū)A、 B等)中的 數(shù)據(jù)項(服務數(shù)據(jù)項a、 b等)的讀和寫。
從傳輸源IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸并不限制于被存儲在 傳輸源IC芯片的全部數(shù)據(jù)被傳輸?shù)絺鬏斈康牡豂C芯片的情況。也存在被存 儲在傳輸源IC芯片的一部分數(shù)據(jù)不被傳輸?shù)絺鬏斈康牡豂C芯片的情況。被存儲在傳輸源IC芯片的一部分數(shù)據(jù)不被傳輸?shù)絺鬏斈康牡豂C芯片的情況可 能是例如這樣一種情況，其中意為不允許數(shù)據(jù)傳輸?shù)母郊有畔⒈桓接诒淮鎯?br> 在傳輸源IC芯片中的數(shù)據(jù)上。
如上所述，通過用于從該公知傳輸源IC芯片傳輸數(shù)據(jù)到傳輸目的地IC 芯片的技術，被存儲在傳輸源IC芯片的一部分數(shù)據(jù)不被傳輸?shù)絺鬏斈康牡豂C 芯片的情況可能發(fā)生。因為在該公知IC芯片中的存儲器具有所述的一個存儲
區(qū)，該存儲區(qū)具有如圖1所示包含至少一個區(qū)的層次結(jié)構(gòu)，因此，即便在被
存儲在傳輸源IC芯片的一部分數(shù)據(jù)不被傳輸?shù)絺鬏斈康牡豂C芯片的情況下，
也無特殊問題發(fā)生。

發(fā)明內(nèi)容
然而，所述IC芯片存儲器的配置并不限制于包含至少一個區(qū)的所述一個
存儲區(qū)。在一些情況下，存儲器被配置為具有相互鏈接的兩個存儲區(qū)。在具
有相互鏈接的兩個存儲區(qū)的IC芯片中，在被存儲在傳輸源IC芯片的一部分 數(shù)據(jù)不被傳輸?shù)絺鬏斈康牡豂C芯片的情況下，在該傳輸目的地IC芯片中可 能引起在一個區(qū)和另一區(qū)之間的不一致狀態(tài)。然而，在從該公知傳輸源IC芯 片傳輸數(shù)據(jù)到傳輸目的地IC芯片的數(shù)據(jù)傳輸中涉及的該技術并非被設計用 于具有相互鏈接的兩個存儲區(qū)的IC芯片。因此，該技術無法將該兩個存儲區(qū)
從數(shù)據(jù)傳輸之后可能在一個區(qū)和另一個區(qū)之間引起的不一致狀態(tài)恢復到正常 的、 一致的狀態(tài)。
芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸?shù)那闆r下能夠恢復具有相互鏈接的兩 個存儲區(qū)并且能夠與讀卡器/寫卡器進行非接觸通信的傳輸目的地IC芯片的
存儲區(qū)的一致性的數(shù)據(jù)控制系統(tǒng)、控制服務器、數(shù)據(jù)控制方法和程序。
根據(jù)本發(fā)明的一個實施例，提供一種數(shù)據(jù)控制系統(tǒng)，其包括信息處理終 端和控制服務器。信息處理終端被裝備了能夠與讀卡器/寫卡器進行非接觸通
信的IC芯片，以及該控制服務器能夠與該信息處理終端通信。信息處理終端 包括內(nèi)部存儲器和一致性檢查請求部分。在IC芯片內(nèi)提供該內(nèi)部存儲器并且
其包括至少一個服務區(qū)和索引區(qū)。該至少一個服務區(qū)存儲與通過讀卡器/寫卡 器提供的服務相對應的服務數(shù)據(jù)項。該索引區(qū)存儲對于該至少一個服務區(qū)中
每一個的用于訪問該服務區(qū)的鏈接信息項。在執(zhí)行從不同于該IC芯片的傳輸源IC芯片到該IC芯片的數(shù)據(jù)傳輸之后，該一致性檢查請求部分向該控制服 務器傳送一致性檢查請求，以便檢查該索引區(qū)和該至少一個服務區(qū)之間的一 致性。控制服務器包括數(shù)據(jù)獲得部分、區(qū)確定部分、讀部分和數(shù)據(jù)更新部分。 數(shù)據(jù)獲得部分響應于來自信息處理終端的一致性檢查請求從該信息處理終端 的索引區(qū)獲得至少一個鏈接信息項。區(qū)確定部分基于由數(shù)據(jù)獲得部分獲得的 鏈接信息項來確定該鏈接信息項是否指示可訪問的服務區(qū)。在區(qū)確定部分中 已經(jīng)確定鏈接信息項確實指示可訪問的服務區(qū)的情況下，讀部分讀由鏈接信 息項指示的該服務區(qū)。在由鏈接信息項指示的該服務區(qū)無法由讀部分讀的情 況下，數(shù)據(jù)更新部分利用不指示任何訪問目的地的信息來更新鏈接信息項。
作為數(shù)據(jù)控制系統(tǒng)的配置元件且被裝配了 IC芯片的信息處理終端包括
例如內(nèi)部存儲器和一致性檢查請求部分。該內(nèi)部存儲器被提供在IC芯片內(nèi)且
可以包括至少一個服務區(qū)和索引區(qū)。至少一個服務區(qū)中的每個能夠存儲與通 過該讀卡器/寫卡器提供的服務相對應的服務數(shù)據(jù)項。索引區(qū)能夠存儲關于該 至少 一個服務區(qū)的每個的用于訪問該服務區(qū)的鏈接信息項。在完成從不同于
在信息處理終端中提供的IC芯片(傳輸目的地IC芯片)的傳輸源IC芯片到 在信息處理終端中提供的IC芯片(傳輸目的地IC芯片)的數(shù)據(jù)傳輸之后，
一致性檢查請求部分能夠向控制服務器傳送用于檢查該至少一個服務區(qū)和至 少一個鏈接信息項之間的一致性的一致性檢查請求，所述至少一個鏈接信息
項被存儲于在信息處理終端中提供的IC芯片(傳輸目的地IC芯片)中的索
引區(qū)中。
作為數(shù)據(jù)控制系統(tǒng)的配置元件的控制服務器包括，例如，數(shù)據(jù)獲得部分、 區(qū)確定部分、讀部分、和&據(jù)更新部分。It據(jù)獲得部分能夠響應于來自信息 處理終端的 一致性檢查請求從該信息處理終端的索引區(qū)獲得至少 一個鏈接信 息項。區(qū)確定部分，基于由數(shù)據(jù)獲得部分獲得的至少一個鏈接信息項，能夠 確定該鏈接信息項是否指示可訪問的服務區(qū)。在區(qū)確定部分中已經(jīng)確定鏈接 信息項確實指示可訪問的服務區(qū)的情況下，讀部分能夠讀由該鏈接信息項指 示的服務區(qū)，由此檢查該服務區(qū)的存在。在由鏈接信息項指示的服務區(qū)無法 由讀部分讀的情況下，數(shù)據(jù)更新部分能夠利用不指示任何訪問目的地的信息
來更新鏈接信息項。
該配置使得有可能實現(xiàn)這樣的數(shù)據(jù)控制系統(tǒng)在已經(jīng)完成從傳輸源IC芯 片到傳輸目的地IC芯片的數(shù)據(jù)傳輸?shù)那闆r下，能夠恢復在傳輸目的地IC芯片中的存儲區(qū)之間的一致性，其中所述數(shù)據(jù)控制系統(tǒng)具有包括相互鏈接的兩 個存儲區(qū)且能夠與讀卡器/寫卡器進行非接觸通信的傳輸目的地IC芯片。
根據(jù)上述的本發(fā)明的實施例，提供一種能夠與信息處理終端通信的控制 服務器，該信息處理終端包括在能夠與讀卡器/寫卡器進行非接觸通信的IC 芯片內(nèi)的內(nèi)部存儲器，該內(nèi)部存儲器包括至少一個服務區(qū)和索引區(qū)。該至少
索引區(qū)存儲關于該至少 一個服務區(qū)的每個的用于訪問該服務區(qū)的鏈接信息
項。在執(zhí)行從不同于IC芯片的傳輸源IC芯片到該IC芯片的數(shù)據(jù)傳輸之后，
該信息處理終端能夠傳送一致性檢查請求以檢查索引區(qū)和該至少一個服務區(qū) 之間的一致性。該控制服務器包括數(shù)據(jù)獲得部分、區(qū)確定部分、讀部分、和 數(shù)據(jù)更新部分。數(shù)據(jù)獲得部分響應于來自信息處理終端的一致性檢查請求從 該信息處理終端的索引區(qū)獲得至少一個鏈接信息項。區(qū)確定部分，基于由數(shù) 據(jù)獲得部分獲得的至少一個鏈接信息項，能夠確定該鏈接信息項是否指示可 訪問的服務區(qū)。在區(qū)確定部分已經(jīng)確定鏈接信息項確實指示可訪問的服務區(qū) 的情況下，讀部分能夠讀由該鏈接信息項指示的服務區(qū)。在由鏈接信息項指 示的服務區(qū)無法由讀部分讀的情況下，數(shù)據(jù)更新部分能夠利用不指示任何訪 問目的地的信息來更新鏈接信息項。
控制服務器能夠與被裝配了能夠?qū)ψx卡器/寫卡器非接觸通信的IC芯片
的信息處理終端通信。該信息處理終端能夠被提供在能夠與讀卡器/寫卡器進
行非接觸通信的IC芯片內(nèi)的內(nèi)部存儲器。該內(nèi)部存儲器可以包括能夠存儲與
通過該讀卡器/寫卡器提供的服務相對應的服務數(shù)據(jù)項的至少一個服務區(qū)。該 內(nèi)部存儲器還可以包括存儲關于該至少 一個服務區(qū)的每個的用于訪問該服務
區(qū)的鏈接信息項的索引區(qū)。在完成從不同于在信息處理終端中提供的IC芯片 (傳輸目的地IC芯片)的傳輸源IC芯片到所述在信息處理終端中提供的IC 芯片(傳輸目的地IC芯片)的數(shù)據(jù)傳輸之后，信息處理終端能夠傳送用于檢
查該至少 一個服務區(qū)和至少 一個鏈接信息項之間的 一致性的 一致性檢查請
求，所述至少一個鏈接信息項被存儲于在信息處理終端中提供的IC芯片(傳 輸目的地IC芯片)中的索引區(qū)中。
控制服務器包括，例如，數(shù)據(jù)獲得部分、區(qū)確定部分、讀部分、和數(shù)據(jù) 更新部分。數(shù)據(jù)獲得部分響應于來自信息處理終端的一致性檢查請求從該信 息處理終端的索引區(qū)獲得至少一個鏈接信息項。區(qū)確定部分，基于由數(shù)據(jù)獲得部分獲得的至少一個鏈接信息項，能夠確定該鏈接信息項是否指示可訪問 的服務區(qū)。在區(qū)確定部分已經(jīng)確定鏈接信息項確實指示可訪問的服務區(qū)的情 況下，讀部分能夠讀由該鏈接信息項指示的服務區(qū)，由此檢查該服務區(qū)的存 在。在由鏈接信息項指示的服務區(qū)無法由讀部分讀的情況下，數(shù)據(jù)更新部分 能夠利用不指示任何訪問目的地的信息來更新鏈接信息項。
在已經(jīng)完成從傳輸源IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸?shù)那闆r下， 該配置使得控制服務器恢復在傳輸目的地IC芯片中的相互鏈接的兩個存儲
區(qū)之間的一致性成為可能，所述傳輸目的地IC芯片具有存儲區(qū)且能夠與讀卡
器/寫卡器進行非接觸通信。
控制服務器還可以被提供具有屬性確定部分，在能夠為在信息處理終端 中的至少一個服務區(qū)的每個設置屬性信息，從而使得不可能讀服務區(qū)并且由 鏈接信息項指示的服務區(qū)無法由讀部分讀的情況下，屬性確定部分確定是否 已經(jīng)為由鏈接信息項指示的服務區(qū)設置了屬性信息。在已經(jīng)由屬性確定部分 確定已經(jīng)設置了屬性信息的情況下，則該數(shù)據(jù)更新部分可以不更新被存儲在 索引區(qū)中的鏈接信息項。
即便在能夠在信息處理終端中提供的IC芯片(傳輸目的地IC芯片)中
的至少一個服務區(qū)中設置屬性信息以便讀該服務區(qū)變?yōu)椴豢赡艿那闆r下，該 配置使得有可能檢查由鏈接信息項指示的服務區(qū)的存在以及有可能恢復在信
息處理終端中提供的IC芯片(傳輸目的地IC芯片)中的存儲區(qū)之間的一致性。
根據(jù)上述的本發(fā)明的實施例，提供一種在能夠與信息處理終端通信的控 制服務器中的數(shù)據(jù)控制方法，該信息處理終端包括在能夠與讀卡器/寫卡器進
行非接觸通信的IC芯片內(nèi)的內(nèi)部存儲器。該內(nèi)部存儲器包括至少一個服務區(qū)
和索引區(qū)。該至少一個服務區(qū)存儲與通過該讀卡器/寫卡器提供的服務相對應 的服務數(shù)據(jù)項。該索引區(qū)存儲關于該至少一個服務區(qū)的每個的用于訪問該服
務區(qū)的鏈接信息項。在執(zhí)行從不同于IC芯片的傳輸源IC芯片到該IC芯片的
數(shù)據(jù)傳輸之后，該信息處理終端能夠傳送一致性檢查請求以檢查索引區(qū)和該 至少一個服務區(qū)之間的一致性。該數(shù)據(jù)控制方法包括響應于來自信息處理終
端的一致性;險查請求從該信息處理終端的索引區(qū)獲得至少 一個鏈接信息項的 步驟。該數(shù)據(jù)控制方法還包括基于所獲得的鏈接信息項，確定該鏈接信息項 是否指示可訪問的服務區(qū)的步驟。該數(shù)據(jù)控制方法還包括在已經(jīng)確定鏈接信息項確實指示可訪問的服務區(qū)的情況下，讀由該鏈接信息項指示的服務區(qū)的 步驟。該數(shù)據(jù)控制方法還包括在無法讀由鏈接信息項指示的服務區(qū)的情況下， 利用不指示任何訪問目的地的信息來更新鏈接信息項的步驟。 .
在已經(jīng)完成從傳輸源IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸?shù)那闆r下， 使用該方法使得恢復在傳輸目的地IC芯片中的相互鏈接的兩個存儲區(qū)之間
的一致性成為可能，其中所述傳輸目的地IC芯片具有存儲區(qū)且能夠與讀卡器
/寫卡器進行非接觸通信。
根據(jù)上述的本發(fā)明的實施例，提供一種在能夠與信息處理終端通信的控 制服務器中的程序，該信息處理終端包括在能夠與讀卡器/寫卡器進行非接觸
通信的IC芯片內(nèi)的內(nèi)部存儲器。該內(nèi)部存儲器包括至少一個服務區(qū)和索引
區(qū)。該至少一個服務區(qū)存儲與通過該讀卡器/寫卡器提供的服務相對應的服務 數(shù)據(jù)項。該索引區(qū)存儲關于該至少一個服務區(qū)的每個的用于訪問該服務區(qū)的
鏈接信息項。在執(zhí)行從不同于IC芯片的傳輸源IC芯片到該IC芯片的數(shù)據(jù)傳
輸之后，該信息處理終端能夠傳送一致性檢查請求以檢查索引區(qū)和該至少一 個服務區(qū)之間的 一致性。該程序致使計算機運行作為響應于來自信息處理終 端的 一致性檢查請求從該信息處理終端的索引區(qū)獲得至少 一個鏈接信息項的 部分。該程序還致使計算機運行作為基于所獲得的鏈接信息項，確定該鏈接 信息項是否指示可訪問的服務區(qū)的部分。該程序還致使計算機運行作為在已 經(jīng)確定鏈接信息項確實指示可訪問的服務區(qū)的情況下，讀由該鏈接信息項指 示的服務區(qū)的部分。該程序還致使計算機運行作為在無法讀由鏈接信息項指 示的服務區(qū)的情況下，利用不指示任何訪問目的地的信息來更新鏈接信息項 的部分。
在已經(jīng)完成從傳輸源IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸?shù)那闆r下， 該程序使得恢復在傳輸目的地IC芯片中的相互鏈接的兩個存儲區(qū)之間的一 致性成為可能，其中所述傳輸目的地IC芯片具有存儲區(qū)且能夠與讀卡器/寫
卡器進行非接觸通信。
根據(jù)上述的本發(fā)明的實施例，在已經(jīng)完成從傳輸源IC芯片到傳輸目的地 IC芯片的數(shù)據(jù)傳輸?shù)那闆r下，恢復在傳輸目的地IC芯片中的相互鏈接的兩 個存儲區(qū)之間的一致性是可能的，其中所述傳輸目的地IC芯片具有存儲區(qū)且
能夠與讀卡器/寫卡器進行非接觸通信。


圖1是說明在公知IC芯片中的存儲區(qū)的配置的示例的示意圖； 圖2是說明在根據(jù)本發(fā)明的實施例的IC芯片中的存儲區(qū)的配置的示例的 示意圖3A、 3B、 3C是說明根據(jù)本發(fā)明的實施例的數(shù)據(jù)傳輸?shù)木C述的示意圖； 圖4A、 4B是說明在根據(jù)本發(fā)明的實施例的數(shù)據(jù)傳輸前后的IC芯片的狀
態(tài)的示例的示意圖5是說明根據(jù)本發(fā)明的第一實施例的數(shù)據(jù)控制系統(tǒng)的框圖6是說明根據(jù)本發(fā)明的實施例的一致性恢復處理的示例的示意圖7是說明在根據(jù)本發(fā)明的實施例的一致性恢復處理中的處理的綜述的
示意圖。
具體實施例方式
下文中，將參考附圖詳細描述本發(fā)明的優(yōu)選實施例。注意，在此說明書 和附圖中，用相同的附圖標記標示具有實質(zhì)上相同功能和結(jié)構(gòu)的構(gòu)件，并且 省略這些構(gòu)件的重復的解釋。
根據(jù)本發(fā)明的實施例的存儲區(qū)的配置的示例
首先，將解釋在4艮據(jù)本發(fā)明的實施例的IC芯片中的存儲區(qū)的配置。圖2 是說明在根據(jù)本發(fā)明的實施例的IC芯片中的存儲區(qū)的配置的示例的示意圖。
參考圖2,在根據(jù)本發(fā)明的實施例的IC芯片中的存儲區(qū)包括服務區(qū)A、 B和該服務區(qū)A、 B各自鏈接到的索引區(qū)X。服務區(qū)A、 B可以具有與如圖1 所示的公知存儲區(qū)的配置相同的方式的層次結(jié)構(gòu)。在此情況下，區(qū)等同于在 該層次結(jié)構(gòu)中的文件夾。下面將解釋服務區(qū)A作為服務區(qū)，而服務區(qū)B是一 樣的。
服務區(qū)A是這樣一個區(qū)，在其中存儲了用于使能信息處理終端的功能的 數(shù)據(jù)項和用于接收使用在信息處理終端中提供的IC芯片的服務的數(shù)據(jù)項(以 下稱為"服務數(shù)據(jù)項")中的至少一個。服務區(qū)A與多種服務兼容。服務數(shù) 據(jù)項可以是，例如，電子貨幣價值數(shù)據(jù)項、用于個人鑒權(quán)的數(shù)據(jù)項、票務數(shù) 據(jù)項、對應于打折票券的數(shù)據(jù)項等，但是服務數(shù)據(jù)項并不局限于這些例子。
服務區(qū)A還能夠存儲控制信息項，其指示被存儲在服務區(qū)A中的服務數(shù)據(jù)項的處理是否在進行中(即，事務是否是在未完成的狀態(tài))以及該服務數(shù) 據(jù)項的處理是否完成(即，事務是否在完成的狀態(tài))。該服務數(shù)據(jù)項的處理可 以是例如寫服務數(shù)據(jù)項的處理，但是并不局限于此例。注意在圖2中，控制
信息項a被存儲在服務區(qū)A中，但是控制信息項還可以被存儲在根據(jù)本發(fā)明 的實施例的服務區(qū)。
索引區(qū)X是讀卡器/寫卡器參考以便訪問每個服務區(qū)的區(qū)域。指示服務區(qū) 的位置以便訪問該服務區(qū)的信息項(以下稱為"鏈接信息項")被存儲在用于 每個服務區(qū)的索引區(qū)X中。鏈接信息項可以是指定該服務區(qū)的地址或碼、用 于訪問該服務區(qū)的加密密鑰等，但是鏈接信息項并不限制于這些例子。在圖 2，用于訪問服務區(qū)A的鏈接信息項a和用于訪問服務區(qū)B的鏈接信息項b 被存儲在索引區(qū)X中。
例如鏈接信息項能夠指示以下示出的兩種狀態(tài)(1)和(2)。
(1) 鏈接信息項指示服務區(qū)的地址的情況
(2) 鏈接信息項是空值的情況無服務區(qū)被指示的狀態(tài)(以下稱為"初 始化狀態(tài)")
注意在上面的(2)中，給出鏈接信息項是空值的例子，但是根據(jù)本發(fā)明 的實施例被設置在初始化狀態(tài)中的鏈接信息項的值顯然并不限制于所述空 值。
數(shù)據(jù)傳輸?shù)木C述
接下來，將解釋根據(jù)本發(fā)明的實施例的數(shù)據(jù)傳輸?shù)木C述。圖3是說明根 據(jù)本發(fā)明的實施例的數(shù)據(jù)傳輸?shù)木C述的示意圖。圖3A是說明執(zhí)行從傳輸源 IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸之前的狀態(tài)的圖。圖3B是說明執(zhí)行 從傳輸源IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸之后的狀態(tài)的圖。圖3C是 說明執(zhí)行從傳輸源IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸之后的另一個狀 態(tài)的圖。注意在圖3中，為了解釋數(shù)據(jù)傳輸?shù)木C述，省略圖2所示的根據(jù)本 發(fā)明的實施例的存儲區(qū)的配置，僅示出服務區(qū)。
數(shù)據(jù)傳輸前的狀態(tài)圖3A
在數(shù)據(jù)傳輸之前的傳輸源IC芯片包括數(shù)據(jù)能夠從中被傳輸?shù)目蓚鬏攨^(qū) (服務區(qū))C和數(shù)據(jù)不能夠從中被傳輸?shù)姆强蓚鬏攨^(qū)(服務區(qū))D。在傳輸目的地 IC芯片中沒有建立任何類型的服務區(qū)。數(shù)據(jù)傳輸后的第一狀態(tài)圖3B
當執(zhí)行從傳輸源IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸時，僅將可傳 輸?shù)目蓚鬏攨^(qū)(服務區(qū))C從傳輸源IC芯片傳輸?shù)絺鬏斈康牡豂C芯片。將 不允許其傳輸?shù)姆强蓚鬏攨^(qū)(服務區(qū))D從傳輸源IC芯片中刪除。因此，數(shù)據(jù) 傳輸之后的傳輸目的地IC芯片包括可傳輸區(qū)(服務區(qū))C,并且在傳輸源IC芯 片中毫無保留。
數(shù)據(jù)傳輸后的第二狀態(tài)圖3C
當執(zhí)行從傳輸源IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸時，僅將可傳 輸?shù)目蓚鬏攨^(qū)(服務區(qū))C從傳輸源IC芯片傳輸?shù)絺鬏斈康牡豂C芯片。將 不允許其傳輸?shù)姆强蓚鬏攨^(qū)(服務區(qū))D從傳輸源IC芯片中刪除。
此時，意為不能(not possible )讀從傳輸源IC芯片傳輸?shù)絺鬏斈康牡豂C 芯片的該可傳輸區(qū)(服務區(qū))C的屬性信息可以被添加到可傳輸區(qū)(服務區(qū))C, 作為指示可傳輸區(qū)G良務區(qū))C的屬性的屬性信息。在此情況下，"不能讀該可 傳輸區(qū)(服務區(qū))C，，并不意味著不可能(impossible)讀可傳輸區(qū)(服務區(qū))C， 而是通過特殊讀程序來讀該可傳輸區(qū)(服務區(qū))C (例如，能夠僅在已經(jīng)發(fā)出特 殊讀命令的情況下讀該可傳輸區(qū)(服務區(qū))C)。因此，圖3C所示的，在數(shù)據(jù)傳 輸之后的第二狀態(tài)指示在其中無法由普通程序讀該可傳輸區(qū)(服務區(qū))C的狀 態(tài)，即使該可傳輸區(qū)(服務區(qū))C駐留在該傳輸目的地IC芯片內(nèi)。
下文中，在其中意為不能讀某區(qū)的屬性信息被添加到該區(qū)的狀態(tài)(如圖 3C所示)被稱為"保密狀態(tài)"。
本發(fā)明的實施例解決屬于一致性的問題的示例
在本發(fā)明的實施例中，如圖3所示執(zhí)行數(shù)據(jù)傳輸。接下來，將解釋本發(fā) 明的實施例解決屬于一致性的問題的示例。
圖4是說明在根據(jù)本發(fā)明的實施例的數(shù)據(jù)傳輸前后的IC芯片的狀態(tài)的示 例的示意圖。圖4A是說明執(zhí)行從傳輸源IC芯片到傳輸目的地IC芯片的數(shù) 據(jù)傳輸之前的狀態(tài)的圖。圖4B是說明執(zhí)行從傳輸源IC芯片到傳輸目的地IC 芯片的數(shù)據(jù)傳輸之后的狀態(tài)的圖。
數(shù)據(jù)傳輸前的狀態(tài)圖4A
在數(shù)據(jù)傳輸之前的傳輸源IC芯片包括服務區(qū)A、 B和該服務區(qū)A、 B各 自鏈接到的索引區(qū)X。索引區(qū)X被設置為從中能夠傳輸數(shù)據(jù)的可傳輸區(qū)。在索引區(qū)X中存儲指示服務區(qū)A的鏈接信息項a和指示服務區(qū)B的鏈接信息項 b。
服務區(qū)A被設置為從中能夠傳輸數(shù)據(jù)的可傳輸區(qū)，并且在il良務區(qū)A中存 儲控制信息項a和服務數(shù)據(jù)項a。服務區(qū)B被設置為從中不能傳輸數(shù)據(jù)的非 可傳輸區(qū)，并且在服務區(qū)B中存儲控制信息項b和服務數(shù)據(jù)項b。
此外，在數(shù)據(jù)傳輸之前，在傳輸目的地IC芯片中沒有建立任何類型的區(qū)。
數(shù)據(jù)傳輸后的狀態(tài)圖4B
當執(zhí)行從傳輸源IC芯片到傳輸目的地IC芯片的數(shù)據(jù)傳輸時，傳輸作為 可傳輸區(qū)的索引區(qū)X和服務區(qū)A,將不允許其傳輸?shù)姆强蓚鬏敺諈^(qū)B從傳 輸源IC芯片中刪除而不將其傳輸。
然而，如圖4B所示，即使指示服務區(qū)B的鏈接信息項b被傳輸，服務 區(qū)B自身并未被傳輸。因此，圖4B說明在其中鏈接信息項b指示不存在的 服務區(qū)的狀態(tài)，即，在索引區(qū)和服務區(qū)之間存在不一致性的狀態(tài)。在此情況 下，例如，如果讀卡器/寫卡器讀該鏈接信息項b，將發(fā)生不希望的操作，諸 如試圖訪問不存在的服務區(qū)B等。
第一實施例
因此，接下來將解釋根據(jù)本發(fā)明的第一實施例的數(shù)據(jù)控制系統(tǒng)，當如圖 4B所示，在索引區(qū)和服務區(qū)之間存在不一致性的狀態(tài)時，其能夠恢復一致性 的狀態(tài)。
圖5是說明根據(jù)本發(fā)明的第一實施例的數(shù)據(jù)控制系統(tǒng)的框圖。
參考圖5，根據(jù)第一實施例的數(shù)據(jù)控制系統(tǒng)包括信息處理終端100、讀卡 器/寫卡器150、控制服務器200、和安全模塊250。注意在圖5中，所示的唯 一信息處理終端是信息處理終端100,但是根據(jù)第一實施例的數(shù)據(jù)控制系統(tǒng) 可以包括多個信息處理終端。
通過使用例如13.56MHz等的特定頻率的磁場(載波)，信息處理終端100 和讀卡器/寫卡器150能夠執(zhí)行非接觸通信。通過使用該載波，讀卡器/寫卡器 150能夠執(zhí)行在信息處理終端100中提供的IC芯片102 (隨后描述)中的數(shù) 據(jù)的非接觸讀和寫。
信息處理終端100和控制服務器200通過網(wǎng)絡線路300連接。網(wǎng)絡線路 300可以是，例如，諸如局域網(wǎng)(LAN)、廣域網(wǎng)(WAN)等的有線網(wǎng)絡，或諸如使用多輸入和多輸出(MIMO)的無線局域網(wǎng)(WLAN)等的無線網(wǎng)絡。 網(wǎng)絡線路300還可以是因特網(wǎng)，且利用諸如傳輸控制協(xié)議/因特網(wǎng)協(xié)議(TCP/IP )的通信協(xié)議。網(wǎng)絡線路300還可以是經(jīng)由完成無線LAN接入點作 用的基站等(圖中未示出)連接的網(wǎng)絡，或者使用利用例如紅外光、正EE 802.11(稱為"Wi-Fi")、正EE 802.15.1等的短程無線通信的網(wǎng)絡。然而，網(wǎng)絡線路 300并不局限于這些例子。信息處理終端100信息處理終端IOO可以包括IC芯片102、終端通信部分106、 一致性沖僉 查請求部分108、和數(shù)據(jù)控制部分IIO。信息處理終端IOO還可以包括終端控 制部分(圖中未示出)，其根據(jù)微處理單元(MPU)等來配置并且其控制整個 信息處理終端100。信息處理終端100還可以包括存儲數(shù)據(jù)和信息處理終端 100能夠運行的應用的終端存儲部分(圖中未示出)、用戶能夠操作的操作部 分(圖中未示出)等等。終端存儲部分(圖中未示出)可以是，例如，諸如 隨機存取存儲器(RAM)、只讀存儲器(ROM)等的存儲器，或諸如硬盤等 的磁存儲介質(zhì)，但是這并不局限于這些例子。操作部分(圖中未示出)可以 是例如按鈕、方向鍵、諸如轉(zhuǎn)輪撥號盤等的旋轉(zhuǎn)型選擇器、這些的組合等等。 終端控制部分(圖中未示出)還能夠用作一致性-險查請求部分108和數(shù)據(jù)控 制部分110。IC芯片102在集成電路中實現(xiàn)涉及與讀卡器/寫卡器150進行通信的各種 部分，且其可以是防止篡改的。IC芯片102可以包括，,如，內(nèi)部存儲器104 和內(nèi)部通信部分(圖中未示出)。內(nèi)部存儲器104是在IC芯片102內(nèi)提供的存儲部分，且其可以是防止篡 改的。內(nèi)部存儲器104包括相互鏈接的兩種區(qū)，這兩種區(qū)是索引區(qū)和對應于 該索引區(qū)的至少一個服務區(qū)。圖5說明作為內(nèi)部存儲器104的配置的示例的 索引區(qū)X和服務區(qū)A, B。內(nèi)部通信部分(圖中未示出)包括，例如具有特定電感且用作傳送和接 收天線的線圏，以及包括具有特定電容的電容器的諧振電路。內(nèi)部通信部分 (圖中未示出)能夠接收從讀卡器/寫卡器150傳送的載波。通過執(zhí)行改變信 息處理終端100的電感(如從讀卡器/寫卡器150可見)的負載調(diào)制，內(nèi)部通 信部分(圖中未示出)能夠通過載波來執(zhí)行與讀卡器/寫卡器150的通信。終端通信部分106是用于通過網(wǎng)絡線路300與諸如控制服務器200等的 外部設備執(zhí)行通信的部分。終端通信部分106能夠具有匹配于網(wǎng)絡線路300 的類型(即，與外部設備通信的模式)的形式和功能。在將數(shù)據(jù)從與IC芯片102不同類型的傳輸源IC芯片傳輸?shù)絀C芯片102 之后， 一致性檢查請求部分108能夠生成一致性檢查請求，用于檢查在被包 括IC芯片102 (傳輸目的地IC芯片)中的內(nèi)部存儲器104中的索引區(qū)X和 服務區(qū)A、 B之間的一致性。 一致性檢查請求部分108然后向控制服務器200 傳送該一致性檢查請求。由一致性檢查請求部分108生成的一致性檢查請求是用作觸發(fā)器的信 息，該觸發(fā)器用于控制服務器200來開始檢查在被包括在信息處理終端100 的IC芯片102中的內(nèi)部存儲器104中的索引區(qū)X和服務區(qū)A、B之間的一致 性的處理。 一致性檢查請求可以是例如預定的處理號碼，但是并不局限于這 個例子。一致性檢查請求部分108能夠基于如用戶輸入來生成一致性檢查請求。 該用戶輸入可以是例如在其中使用信息處理終端100的用戶使用該操作部分 (圖中未示出)的特定操作。該用戶輸入還可以是由在信息處理終端100中 的可執(zhí)行應用發(fā)出的生成命令。 一致性4企查請求部分108還可以響應于例如 從信息處理終端100外面的外部設備獲得的生成命令來生成該一致性檢查請 求。數(shù)據(jù)控制部分HO是能夠注冊和刪除在內(nèi)部存儲器104內(nèi)的區(qū)以及執(zhí)行 數(shù)據(jù)的讀和寫的部分。數(shù)據(jù)控制部分110還可以基于來自控制服務器200 (稍 后描述)的各種命令執(zhí)行關于內(nèi)部存儲器104的處理。控制服務器200控制服務器200可以包括服務器通信部分202、數(shù)據(jù)獲得部分204、區(qū)確 定部分206、讀部分208、屬性確定部分210和數(shù)據(jù)更新部分212。控制服務 器200還可以包括根據(jù)MPU等來配置并且其控制整個控制服務器200的控制 控制部分(圖中未示出)。控制服務器200還可以包括存儲數(shù)據(jù)和控制服務器 200能夠運行的應用的控制存儲部分(圖中未示出)?？刂拼鎯Σ糠?圖中未 示出)可以是，例如，諸如RAM、 ROM等的存儲器，或諸如硬盤等的;茲存 儲介質(zhì)，但是這并不局限于這些例子?？刂瓶刂撇糠?圖中未示出)還可以用作數(shù)據(jù)獲得部分204、區(qū)確定部分206、讀部分208、屬性確定部分210和 數(shù)據(jù)更新部分212?？刂品掌?00還可以包括安全模塊250,其存儲用于訪問信息處理終 端100的內(nèi)部存儲器104的加密密鑰。在圖5中，安全模塊250作為與控制 服務器200分離的元件示出，但是其還可以在控制服務器200內(nèi)被提供。通 過使用被存儲在安全模塊250中用于訪問信息處理終端100的內(nèi)部存儲器104 的加密密鑰，控制服務器200能夠(直接地或間接地)訪問信息處理終端100 的內(nèi)部存儲器104。服務器通信部分202是用于通過網(wǎng)絡線路300與諸如信息處理終端100 等的外部設備執(zhí)行通信的部分。服務器通信部分202具有匹配于網(wǎng)絡線路300 的類型(即，與外部設備通信的模式)的形式和功能。數(shù)據(jù)獲得部分204從信息處理終端IOO獲得一致性檢查請求，并且響應 于該一致性檢查請求，獲得被存儲在信息處理終端100中的IC芯片102中的 內(nèi)部存儲器104的索引區(qū)X中的至少一個鏈接信息項。數(shù)據(jù)獲得部分204獲 得鏈接信息項的過程可以是，例如，數(shù)據(jù)獲得部分204向信息處理終端100 傳送鏈接信息獲得命令?；谠撴溄有畔@得命令，信息處理終端100的數(shù) 據(jù)控制部分110讀所述鏈接信息項并且將它送回到控制服務器200。然而， 數(shù)據(jù)獲得部分204獲得鏈接信息項的過程并不局限于此例。數(shù)據(jù)獲得部分204還可以首先向安全模塊250送出鏈接信息獲得命令， 且安全模塊250能夠加密該鏈接信息獲得命令并且將它送至信息處理終端 100。通過使用由信息處理終端IOO的IC芯片102共享的加密密鑰，安全才莫 塊250能夠執(zhí)行加密通信，在其中控制服務器200和信息處理終端100之間 的通信被加密。注意在以下的解釋中，控制服務器200和信息處理終端100 之間的通信可以是加密通信，盡管沒有特別提及加密通信。區(qū)確定部分206能夠使用數(shù)據(jù)獲得部分204從信息處理終端100中獲得 的至少一個鏈接信息項來確定，對于每個鏈接信息項，鏈接信息項是否指示 服務區(qū)的位置(即，鏈接信息項是否指示可訪問的服務區(qū))。(這稱為第一區(qū) 確定。)在此情況下，區(qū)確定部分206使用鏈接信息項作出的確定可以是，例 如，鏈接信息項是否處于初始化狀態(tài)的確定，但是該確定并不局限于此例。 在下面的解釋中，如果鏈接信息項^t設置為空值，則鏈接信息項被認為處于 初始化狀態(tài)。注意根據(jù)本發(fā)明的實施例的初始化顯然并不局限于將鏈接信息項設置為空值。在區(qū)確定部分206確定鏈接信息項確實指示服務區(qū)的位置的情況下，讀 部分208讀由鏈接信息項指示的服務區(qū)。讀部分208讀該服務區(qū)的過程可以 是，例如，讀部分208向信息處理終端IOO傳送服務區(qū)讀命令?；谠摲?區(qū)讀命令，信息處理終端100的數(shù)據(jù)控制部分IIO讀該服務區(qū)并且將讀結(jié)果 送回控制服務器200。注意由讀部分208所讀的讀結(jié)果可以是，例如，指示 該服務區(qū)是否能夠被讀的單個數(shù)據(jù)位(例如，"0"表示失敗的讀而"1"表示在該服務區(qū)沒有被讀部分208讀的情況下，屬性確定部分210確定該服 務區(qū)是否在保密狀態(tài)。屬性確定部分210確定該服務區(qū)是否在保密狀態(tài)的過 程可以是，例如，屬性確定部分210向信息處理終端IOO傳送屬性信息檢查 命令以便檢查被設置在服務區(qū)的屬性信息?；谠搶傩孕畔z查命令，信息 處理終端100的數(shù)據(jù)控制部分110檢查無法由讀部分208讀的服務區(qū)的屬性 信息，并且將它送回控制服務器200。注意由屬性確定部分210檢查的結(jié)果 可以是，例如，指示該服務區(qū)是否處于保密狀態(tài)的單個數(shù)據(jù)位(例如，"0"表示不在保密狀態(tài)而"r表示在保密狀態(tài))，但是該結(jié)果并不局限于此例。在沒有被讀部分208讀的服務區(qū)處于保密狀態(tài)的情況下，屬性確定部分 210確定該服務區(qū)存在，即， 一致性的狀態(tài)存在于索引區(qū)X和服務區(qū)之間。 在沒有被讀部分208讀的服務區(qū)不處于保密狀態(tài)的情況下，屬性確定部分210 確定該服務區(qū)不存在，即，不一致性的狀態(tài)存在于索引區(qū)X和服務區(qū)之間。 (這稱為第二區(qū)確定。)在屬性確定部分210確定不一致性的狀態(tài)存在于索引區(qū)X和服務區(qū)之間 的情況下，數(shù)據(jù)更新部分212執(zhí)行用于恢復在索引區(qū)X和服務區(qū)之間的一致 性狀態(tài)的一致性恢復處理(稍后描述)，更新在信息處理終端100的IC芯片 102中提供的內(nèi)部存儲器104中存儲的索引區(qū)X中的鏈接信息項。在屬性確 定部分210確定一致性的狀態(tài)存在于索引區(qū)X和服務區(qū)之間的情況下，數(shù)據(jù) 更新部分212不執(zhí)行該一致性恢復處理。此外，當數(shù)據(jù)更新部分212完成在由數(shù)據(jù)獲得部分204獲得的至少一個 鏈接信息項中被確定為不 一致的全部鏈接信息項的更新時，數(shù)據(jù)更新部分212 能夠向信息處理終端100傳送意為已經(jīng)完成更新且已經(jīng)恢復一致性的狀態(tài)的 結(jié)果信息，因此結(jié)束基于一致性檢查請求的處理。數(shù)據(jù)控制方法接下來，將解釋在根據(jù)本發(fā)明的實施例的數(shù)據(jù)控制方法中涉及的 一致性恢復處理恢復在索引區(qū)x和服務區(qū)之間的一致性的狀態(tài)的方式。圖6是說明根據(jù)本發(fā)明的實施例的一致性恢復處理的示例的示意圖。注 意根據(jù)本發(fā)明的實施例的一致性恢復處理顯然并不由圖6所局限。同樣注意 在控制服務器200和信息處理終端之間的通信可以是由安全模塊250加密的 通信，雖然這并未在圖6中明示。首先，從信息處理終端100向控制服務器200傳送處理請求(步驟S100 )。 在步驟S100處的處理請求指示檢查在索引區(qū)X和服務區(qū)之間的一致性的一 致性;險查請求?？梢杂衫缡褂眯畔⑻幚斫K端100的用戶的操作來執(zhí)行該一 致性檢查請求的傳送。這還可以響應于在從傳輸源IC芯片到信息處理終端 100的IC芯片102 (傳輸目的地IC芯片)的數(shù)據(jù)傳輸完成之后信息處理終端 100從外部設備獲得的生成命令而被執(zhí)行。已經(jīng)接收在步驟SIOO中從信息處理終端IOO傳送的一致性檢查請求，控 制服務器200基于該一致性檢查請求向信息處理終端100傳送鏈接信息獲得 命令，以便獲得在信息處理終端100的IC芯片102中提供的內(nèi)部存儲器104 的索引區(qū)X中存儲的至少一個鏈接信息項(步驟S102)。能夠由數(shù)據(jù)獲得部 分204執(zhí)行在步驟S102的鏈接信息獲得命令的傳送。已經(jīng)接收在步驟S102中從控制服務器200傳送的鏈接信息獲得命令,信 息處理終端IOO基于鏈接信息獲得命令讀被存儲在索引區(qū)X中的鏈接信息項 (步驟S104 )。然后信息處理終端100向控制服務器200傳送在步驟S104中 所讀的至少一個鏈接信息項(步驟S106)。例如，在步驟S104的讀處理能夠 由信息處理終端100的數(shù)據(jù)控制部分IIO執(zhí)行。在以下的解釋中，在信息處 理終端100中的處理的每個步驟由數(shù)據(jù)控制部分110執(zhí)行，雖然這沒有明示。 然而，執(zhí)行在信息處理終端100中的處理的每個步驟的配置元件顯然并不局 限于數(shù)據(jù)控制部分IIO。已經(jīng)接收在步驟S106中從信息處理終端100傳送的至少一個鏈接信息 項，控制服務器200為接收的每個鏈接信息項執(zhí)行以下步驟S108到S132中 的處理，重復該處理的次數(shù)與所接收的鏈接信息項一樣多。處理的綜述在使用圖6解釋在步驟S108到S132中的處理之前，將參考圖7解釋在 步驟S108到S132中的處理的綜述。圖7是說明在根據(jù)本發(fā)明的實施例的一 致性恢復處理中的處理的綜述的示意圖。圖7說明對于一個鏈接信息項的處 理的綜述。首先，讀由鏈接信息項指示的服務區(qū)(步驟S200)。注意雖然這在圖7 中沒有明示，在初始鏈接信息項的情況下，鏈接信息項的處理結(jié)束，并且作 出關于是否已經(jīng)檢查由鏈接信息項指示的全部服務區(qū)的確定(步驟S204)。 在當步驟S204中由鏈接信息項指示的服務區(qū)沒有被全部檢查的情況下，從步 驟S200開始執(zhí)行下一鏈接信息項的處理。在由鏈接信息項指示的服務區(qū)已經(jīng) 被全部檢查的情況下，處理結(jié)束。作出關于是否存在在步驟S200嘗試讀該服務區(qū)的確定(步驟S202)。例 如，能夠根據(jù)該服務區(qū)是否可讀來作出在步驟S202的確定。在步驟S202確 定服務區(qū)確實存在的情況下，鏈接信息項和服務區(qū)是一致的，因此作出關于 是否已經(jīng)全部檢查由鏈接信息項指示的服務區(qū)的確定(步驟S204 )。在步驟S202確定服務區(qū)不存在的情況下，對于由鏈接信息項指示的服務 區(qū)檢查屬性信息(步驟S206)。然后，基于在步驟S206檢查的結(jié)果，作出關 于該服務區(qū)是否被設置為保密狀態(tài)的確定(步驟S208 )。在步驟S208確定服務區(qū)被設置為保密狀態(tài)的情況下，鏈接信息項和服務 區(qū)是一致的，因此作出關于是否已經(jīng)全部檢查由鏈接信息項指示的服務區(qū)的 確定(步驟S204)。在步驟S208確定服務區(qū)沒有^皮設置為保密狀態(tài)的情況下，鏈"t妄信息項和 服務區(qū)是不一致的，因此初始化該鏈接信息項(步驟S210)。在步驟S210的 鏈接信息項的初始化致使該鏈接信息項完全不指示任何服務區(qū)，從而該鏈接 信息項和服務區(qū)能夠被恢復到 一致性的狀態(tài)。然后作出關于是否已經(jīng)全部檢 查由鏈接信息項指示的服務區(qū)的確定(步驟S204 )。如以上使用圖7提供的綜述所示，根據(jù)本發(fā)明的實施例的一致性恢復處 理為每個鏈接信息項檢查服務區(qū)的存在性。在服務區(qū)不存在的情況下，認定 存在不一致性的狀態(tài)，且通過初始化該鏈接信息項來恢復一致性的狀態(tài)。接下來，將再次參考圖6解釋一致性恢復處理的在步驟S108到S132中 的處理。注意在步驟S108到S132中的處理被執(zhí)行的次與在步驟S106中從在信息處理終端100傳送的鏈接信息項一樣多，并且重復在步驟S108到S132 中的處理直到完成全部鏈接信息項。對于在步驟S106中從在信息處理終端IOO傳送的至少一個鏈接信息項中 的一個，控制服務器200確定鏈接信息項是否指示服務區(qū)(步驟S108)。在 步驟S108的確定可以是該鏈接信息項是否被初始化的確定。在步驟S108確 定該鏈接信息項并不指示服務區(qū)的情況下，對于下一個鏈接信息項執(zhí)行在步 驟S108的處理。能夠由區(qū)確定部分206作出在步驟S108的確定。在步驟S108確定該鏈接信息項確實指示服務區(qū)的情況下，控制服務器 200向信息處理終端IOO傳送用于讀由鏈接信息項指示的服務區(qū)的讀命令(步 驟S110 )。能夠由讀部分208執(zhí)行在步驟S110的讀命令的傳送。已經(jīng)接收用于讀該服務區(qū)的讀命令，信息處理終端100基于該讀命令讀 由讀命令指定的服務區(qū)(步驟si12)。信息處理終端100然后向控制服務器 200傳送在步驟S112的讀處理的結(jié)果(步驟S114 )。在步驟S112的讀處理的 結(jié)果可以是，例如，指示是否能夠讀該服務區(qū)的單個數(shù)據(jù)位(例如，"0"表示失敗的讀而"r表示成功的讀)，但是該結(jié)果并不局限于此例。已經(jīng)接收在步驟S114傳送的讀處理的結(jié)果，控制服務器200基于該讀處 理的結(jié)果確定是否能夠讀該服務區(qū)(步驟S116)。在步驟S116確定能夠讀該 服務區(qū)的情況下，對于下一個鏈接信息項執(zhí)行在步驟S108的處理。例如，能 夠由數(shù)據(jù)更新部分212作出在步驟S116的確定。在步驟S116確定不能讀該服務區(qū)的情況下，向信息處理終端100傳送屬 性信息檢查命令以便確定該服務區(qū)是否處于保密狀態(tài)(步驟S118)。能夠由 屬性確定部分210執(zhí)行在步驟S118的屬性信息檢查命令的傳送。已經(jīng)接收在步驟S118傳送的屬性信息檢查命令，信息處理終端100基于 該屬性信息檢查命令檢查該屬性信息是否被設置在由屬性信息檢查命令指定 的服務區(qū)中(步驟S120)。然后信息處理終端100向控制服務器200傳送屬 性信息檢查處理的結(jié)果(步驟S122)。屬性信息;險查處理的結(jié)果可以是，例 如，指示該服務區(qū)是否處于保密狀態(tài)的單個數(shù)據(jù)位(例如，"0"表示不在保 密狀態(tài)而'T，表示在保密狀態(tài))，但是該結(jié)果并不局限于此例。已經(jīng)接收在步驟S122傳送的屬性信息檢查處理的結(jié)果，控制服務器200 確定由鏈接信息項指示的服務區(qū)是否處于保密狀態(tài)(步驟S124 )。在步驟S124 確定由鏈接信息項指示的服務區(qū)處于保密狀態(tài)的情況下，對于下一個鏈接信息項執(zhí)行在步驟S108的處理。能夠由屬性確定部分210作出在步驟S124的 確定。
在步驟S124確定由鏈接信息項指示的服務區(qū)不處于保密狀態(tài)的情況下， 向信息處理終端100傳送用于初始化鏈接信息項的鏈接信息初始化命令 (S126 )。能夠由數(shù)據(jù)更新部分212執(zhí)行在步驟S126的鏈接信息初始化命令 的傳送。
已經(jīng)接收在步驟S126傳送的鏈接信息初始化命令，信息處理終端100 基于該鏈接信息初始化命令來初始化該鏈接信息項(步驟S128)。然后信息 處理終端100向控制服務器200傳送在步驟S128的初始化處理的結(jié)果(步驟 S130)。初始化處理的結(jié)果可以是，例如，指示該初始化是否成功的單個數(shù)據(jù) 位(例如，"0"表示失敗的初始化而"1"表示成功的初始化)，但是該結(jié)果 并不局限于此例。
已經(jīng)接收在步驟S130傳送的初始化處理的結(jié)果，控制服務器200基于初 始化處理的結(jié)果，確定是否正確地執(zhí)行該鏈接信息項的初始化(步驟S132)。 在步驟S132確定沒有正確地執(zhí)行該4連接信息項的初始化的情況下，能夠再次 執(zhí)行在步驟S126的處理，或者可以向信息處理終端IOO傳送意為基于一致性 檢查請求的處理失敗的錯誤信息并且可以終止基于一致性檢查請求的處理。 能夠由數(shù)據(jù)更新部分212作出在步驟S132的確定。
在步驟S132確定正確地執(zhí)行該4連接信息項的初始化的情況下，對于下一 個鏈接信息項執(zhí)行在步驟S108的處理。
對于每個鏈接信息項，控制服務器200—重復上述的在步驟S108到S132 的處理。然后，當控制服務器200已經(jīng)對在步驟S106中從信息處理終端100 傳送的至少一個鏈接信息項的全部執(zhí)行了處理時，控制服務器200向信息處 理終端100傳送意為基于一致性檢查請求的處理已經(jīng)完成和一致性的狀態(tài)已 經(jīng)被恢復的結(jié)果信息。控制服務器200然后終止基于一致性檢查請求的處理 (步驟S134 )。能夠由數(shù)據(jù)更新部分212執(zhí)行在步驟S134的結(jié)果信息的傳送。
對于被存儲在信息處理終端100的IC芯片102中的每個鏈接信息項，根 據(jù)本發(fā)明實施例的圖6所示且主要由控制服務器200執(zhí)行的一致性恢復處理 確認由鏈接信息項指示的服務區(qū)的存在。在由鏈接信息項指示的服務區(qū)不存 在的情況下，控制服務器200確定不一致性的狀態(tài)存在并且初始化該4連接信 息項。初始化處于不一致性的狀態(tài)的鏈接信息項致使該初始化的鏈接信息項完全不指示任何服務區(qū)，從而解決不一致性的狀態(tài)。
因此，在數(shù)據(jù)從傳輸源IC芯片向信息處理終端100的IC芯片102 (傳 輸目的地IC芯片)傳輸?shù)那闆r下，即使信息處理終端100的IC芯片102(傳 輸目的地IC芯片)處于圖4B所示的狀態(tài)，控制服務器200也能夠初始化鏈 接信息項b以便能夠防止訪問鏈接信息項b的讀卡器/寫卡器150在不存在的 服務區(qū)上執(zhí)行諸如讀等等的各種類型的處理。
如上所述，在根據(jù)本發(fā)明的第一實施例的數(shù)據(jù)控制系統(tǒng)中，信息處理終 端100向控制服務器200傳送一致性;險查請求。對于被存儲在信息處理終端 100的IC芯片102中的至少一個鏈接信息項的每個，已經(jīng)接收一致性檢查請 求的控制服務器200檢查由鏈接信息項指示的服務區(qū)的存在。在由鏈接信息 項指示的服務區(qū)不存在的情況下，控制服務器200確定不一致性的狀態(tài)存在， 且初始化該鏈接信息項，因而解決關于鏈接信息項的不一致性的狀態(tài)。由此， 對于被存儲在信息處理終端100的IC芯片102中的至少一個鏈接信息項的每 個，控制服務器200通過檢查服務區(qū)的存在來確定關于鏈接信息項的不一致 性的狀態(tài)是否存在。通過解決不一致性的狀態(tài)，控制服務器200能夠恢復在 服務區(qū)和該鏈接信息項之間的一致性，該鏈接信息項被存儲于在信息處理終 端100中提供的且從該傳輸源IC芯片向其傳輸數(shù)據(jù)的IC芯片102 (傳輸目 的地IC芯片)的索引區(qū)X中。
另外，根據(jù)本發(fā)明的第一實施例的數(shù)據(jù)控制系統(tǒng)，主要為控制服務器 200，能夠控制在IC芯片102的服務區(qū)和索引區(qū)X之間的一致性的恢復。因 此，只要信息處理終端100根據(jù)來自控制服務器200的命令執(zhí)行處理，將不 會發(fā)生問題，從而降低在信息處理終端100中恢復一致性的負擔。
此外，不同于圖1所示的存儲區(qū)的公知配置，根據(jù)本發(fā)明的第一實施例 的IC芯片102中的存儲區(qū)的配置包括相互鏈接的兩種區(qū)，這兩種區(qū)是索引區(qū) 和對應于索引區(qū)的至少一個服務區(qū)。根據(jù)本發(fā)明的實施例的一致性恢復處理 的執(zhí)行維持在信息處理終端100中的IC芯片102 (傳輸目的地IC芯片)中 索引區(qū)X和服務區(qū)A、 B之間的一致性，其中已經(jīng)執(zhí)行從傳輸源IC芯片到IC 芯片102的數(shù)據(jù)傳輸。通過讀被存儲在索引區(qū)X中的鏈接信息項，讀卡器/ 寫卡器150能夠確定對應于鏈接信息項的服務是否已經(jīng)被提供給信息處理終 端100。因此，在根據(jù)本發(fā)明的第一實施例的數(shù)據(jù)控制系統(tǒng)中，能夠防止讀 卡器/寫卡器150執(zhí)行關于沒有向其傳輸數(shù)據(jù)的服務區(qū)(即，并不存在的服務區(qū))的各種類型的處理，諸如讀服務數(shù)據(jù)項等等。
在以上解釋中，信息處理終端IOO被用作在根據(jù)本發(fā)明的第一實施例的
數(shù)據(jù)控制系統(tǒng)的配置中配置元件的示例，但是本發(fā)明的第一實施例并不局限
于此例。能夠使用諸如裝配了 IC芯片的移動電話等的移動通信設備，以及計 算機等，諸如被提供具有IC芯片的超移動個人計算機(UMPC)等。
同樣在以上解釋中，控制服務器200被用作在根據(jù)本發(fā)明的第一實施例 的數(shù)據(jù)控制系統(tǒng)的配置中配置元件的示例，但是本發(fā)明的第 一 實施例并不局 限于此例。例如，能夠使用諸如個人計算機、服務器等等的計算機等。
根據(jù)第一實施例的程序
致使計算機作為根據(jù)第一實施例的控制服務器200運行的程序能夠恢復 在服務區(qū)A、 B和鏈接信息項之間的一致性，該鏈接信息項被存儲在信息處 理終端100中的、已經(jīng)執(zhí)行從傳輸源IC芯片至其的數(shù)據(jù)傳輸?shù)腎C芯片102 (傳輸目的地IC芯片)中的索引區(qū)X中。該程序響應于從信息處理終端100 傳送的一致性檢查請求而恢復該一致性，其中信息處理終端100被提供具有 包括相互鏈接的兩種區(qū)(即，索引區(qū)和至少一個服務區(qū))的IC芯片102。
第二實施例
在第一實施例的前述解釋中，描述了在其中控制服務器200通過檢查對 應于至少 一 個鏈接信息項的每個的服務區(qū)的存在來確定不 一致性的狀態(tài)存在 的配置，其中所述至少一個鏈接信息項:故存儲在信息處理終端100的、已經(jīng) 執(zhí)行從傳輸源IC芯片至其的數(shù)據(jù)傳輸?shù)腎C芯片102 (傳輸目的地IC芯片) 中?？刂品掌?00然后解決不一致性的狀態(tài)。然而，在已經(jīng)執(zhí)行從傳輸源 IC芯片(例如在其中存儲了沒有被正確地更新的不完整的服務數(shù)據(jù))至信息 處理終端100的IC芯片102 (傳輸目的地IC芯片)的數(shù)據(jù)傳輸?shù)那闆r下， 可能發(fā)生的是被存儲在信息處理終端100的IC芯片102 (傳輸目的地IC芯 片)中的服務數(shù)據(jù)項將是沒有被正確地更新的不完整的服務數(shù)據(jù)。在此情況 下，即使存在由鏈接信息項指示的服務區(qū)，這也將不是理想的狀態(tài)。(這可以 被說成不一致的狀態(tài)的例子。)
為了解決上述的不理想的狀態(tài)，本發(fā)明的第二實施例能夠基于除了是否 存在服務區(qū)以外的、被存儲在服務區(qū)的服務數(shù)據(jù)項是否被正確地更新，來確定不一致性的狀態(tài)存在。
能夠使用如控制信息項作出被存儲在服務區(qū)的服務數(shù)據(jù)項是否被正確地
更新的確定(參考圖2)。控制信息項指示被存儲在服務區(qū)中的服務數(shù)據(jù)項的 處理是否在進行中(即，事務是否是在未完成的狀態(tài))以及該服務數(shù)據(jù)項的 處理是否完成(即，事務是否在完成的狀態(tài))。
在例如控制信息項指示處理在進行中的情況下，即使存在由鏈接信息項 指示的服務區(qū)，根據(jù)第二實施例的控制服務器也確定不一致性的狀態(tài)存在。 控制服務器然后解決不一致性的狀態(tài)。此時，根據(jù)第二實施例的控制服務器 顯然能夠向信息處理終端100傳送例如意為從傳輸源IC芯片傳輸?shù)姆諗?shù)據(jù) 項不正確的日志信息。
如上所述，對于被存儲在信息處理終端100的IC芯片中的至少一個鏈接 信息項的每個，根據(jù)第二實施例的控制服務器能夠通過檢查服務區(qū)是否存在 和服務數(shù)據(jù)項是否正確來檢查關于鏈接信息項的不一致性的狀態(tài)。在確認不 一致性的狀態(tài)的情況下，根據(jù)第二實施例的控制服務器解決不一致性的狀態(tài)。 因此，根據(jù)第二實施例的控制服務器能夠恢復在服務區(qū)和該鏈接信息項之間 的一致性，該鏈接信息項被存儲于在信息處理終端100中提供的且已經(jīng)執(zhí)行 從該傳輸源IC芯片到其的數(shù)據(jù)傳輸?shù)腎C芯片(傳輸目的地IC芯片)的索引 區(qū)中。
根據(jù)第二實施例的程序
致使計算機作為才艮據(jù)第二實施例的控制服務器運行的程序能夠恢復在服
務區(qū)和鏈接信息項之間的一致性，該鏈接信息項被存儲在信息處理終端100 的、已經(jīng)執(zhí)行從傳輸源IC芯片至其的數(shù)據(jù)傳輸?shù)腎C芯片(傳輸目的地IC芯 片)中的索引區(qū)中。該程序響應于乂人信息處理終端IOO傳送的一致性檢查請 求而恢復該一致性，其中信息處理終端100被提供具有包括相互鏈接的兩種 區(qū)(即，索引區(qū)和至少一個服務區(qū))的IC芯片。
第三實施例
在上述的第一和第二實施例中，解釋在其中控制服務器解決不一致性的
狀態(tài)的配置，其中所述不一致存在于信息處理終端100的IC芯片(傳輸目的 地IC芯片)中的索引區(qū)和服務區(qū)之間。然而，本發(fā)明的實施例并不局限于在其中控制服務器解決存在于服務區(qū)和鏈接信息項之間的不一致性的狀態(tài)的配 置，其中所述鏈接信息項被存儲在信息處理終端中的IC芯片(傳輸目的地IC 芯片)中的索引區(qū)。例如，信息處理終端自身可以是恢復在服務區(qū)和鏈接信 息項之間的不一致中的主要元件，其中所述鏈接信息項被存儲在信息處理終 端中的索引區(qū)中。
信息處理終端恢復在服務區(qū)和鏈接信息項之間的一致性(其中該鏈接信 息項被存儲于在信息處理終端中提供的、已經(jīng)執(zhí)行從傳輸源IC芯片至其的數(shù)
據(jù)傳輸?shù)腎C芯片(傳輸目的地IC芯片)中的索引區(qū)中)的過程可以是，例
如，在其中信息處理終端存儲并處理指示在一致性恢復處理中的處理狀態(tài)的 狀態(tài)信息的過程。
本領域的技術人員應當理解取決于設計要求和其它因素各種修改、組合、 子組合和變化可以發(fā)生，只要它們在所附權(quán)利要求或其等價物的范圍內(nèi)。
例如，圖5所示的信息處理終端100被示出為僅具有一個IC芯片102(傳 輸目的地IC芯片)，但是信息處理終端100并不局限于此例且可以被提供具 有包括傳輸源IC芯片和IC芯片102(傳輸目的地IC芯片)的兩個或更多IC 芯片。即使在此配置中，在執(zhí)行從一個IC芯片(傳輸源IC芯片)到另一個 IC芯片(傳輸目的地IC芯片)的數(shù)據(jù)傳輸?shù)那闆r下，恢復對于傳輸目的地 IC芯片內(nèi)的存儲區(qū)的一致性是可能。
此外，圖6和7所示的一致性恢復處理被示出為根據(jù)本發(fā)明的實施例的 數(shù)據(jù)控制方法，但是根據(jù)本發(fā)明的實施例的數(shù)據(jù)控制方法并不局限于圖6和 7所示的方法。例如，根據(jù)本發(fā)明的實施例的數(shù)據(jù)控制方法通過在下面的步 驟(a)到(d)描述的方法能夠恢復在傳輸目的地IC芯片內(nèi)的存儲區(qū)的一致 性。
(a) 讀全部鏈接信息項(集合(aggregate)讀1 )。
(b) 讀對應于鏈接信息項的全部服務區(qū)(集合讀2)。
(c) 對于無法讀的全部服務區(qū)執(zhí)行屬性信息檢查處理(集合讀1,集合
讀2)。
(d )基于該屬性檢查結(jié)果執(zhí)行被確定為不一致的全部鏈接信息項的更新。
術范圍中。相關申請的交叉引用
本發(fā)明包含涉及2007年5月9日在日本專利局提交的日本專利申請JP 2007-124773的主題，其整個內(nèi)容通過引用在此并入。
權(quán)利要求
1. 一種數(shù)據(jù)控制系統(tǒng)，其包括信息處理終端和控制服務器，所述信息處理終端被裝備了能夠與讀卡器/寫卡器進行非接觸通信的IC芯片，以及所述控制服務器能夠與所述信息處理終端通信，其中，所述信息處理終端包括內(nèi)部存儲器，其被提供在所述IC芯片內(nèi)且包括至少一個服務區(qū)，其存儲與通過所述讀卡器/寫卡器提供的服務相對應的服務數(shù)據(jù)項，和索引區(qū)，其存儲關于所述至少一個服務區(qū)的每個的用于訪問所述服務區(qū)的鏈接信息項，和一致性檢查請求部分，在執(zhí)行從不同于所述IC芯片的傳輸源IC芯片到所述IC芯片的數(shù)據(jù)傳輸之后，其傳送一致性檢查請求至所述控制服務器以檢查所述索引區(qū)和所述至少一個服務區(qū)之間的一致性，和所述控制服務器包括數(shù)據(jù)獲得部分，其響應于來自所述信息處理終端的一致性檢查請求來從所述信息處理終端的索引區(qū)獲得至少一個鏈接信息項，區(qū)確定部分，其基于由所述數(shù)據(jù)獲得部分獲得的鏈接信息項，確定所述鏈接信息項是否指示可訪問的服務區(qū)，讀部分，在所述區(qū)確定部分中已經(jīng)確定所述鏈接信息項確實指示可訪問的服務區(qū)的情況下，其讀由所述鏈接信息項指示的服務區(qū)，和數(shù)據(jù)更新部分，在由所述鏈接信息項指示的服務區(qū)無法由所述讀部分讀的情況下，其利用不指示任何訪問目的地的信息來更新所述鏈接信息項。
2. —種能夠與信息處理終端通信的控制服務器，該信息處理終端包括在 能夠與讀卡器/寫卡器進行非接觸通信的ic芯片內(nèi)的內(nèi)部存儲器，所述內(nèi)部存儲器包括存儲與通過所述讀卡器/寫卡器提供的服務相對應的服務數(shù)據(jù)項 的至少一個服務區(qū)，且包括存儲關于所述至少一個服務區(qū)的每個的用于訪問 所述服務區(qū)的鏈接信息項的索引區(qū)，在執(zhí)行從不同于所述IC芯片的傳輸源IC芯片到所述IC芯片的數(shù)據(jù)傳輸之后，所述信息處理終端能夠傳送一致性斥企查 請求以檢查所述索引區(qū)和所述至少一個服務區(qū)之間的一致性，所述控制服務器包括數(shù)據(jù)獲得部分，其響應于來自所述信息處理終端的一致性檢查請求從所 述信息處理終端的索引區(qū)獲得至少 一個鏈接信息項；區(qū)確定部分，其基于由所述數(shù)據(jù)獲得部分獲得的鏈接信息項，確定所述 鏈接信息項是否指示可訪問的服務區(qū)；讀部分，在所述區(qū)確定部分中已經(jīng)確定所述鏈接信息項確實指示可訪問 的服務區(qū)的情況下，其讀由所述鏈接信息項指示的服務區(qū)；和數(shù)據(jù)更新部分，在由所述鏈接信息項指示的服務區(qū)無法由所述讀部分讀 的情況下，其利用不指示任何訪問目的地的信息來更新所述鏈接信息項。
3. 如權(quán)利要求2所述的控制服務器，還包括屬性確定部分，在能夠為所述信息處理終端中的至少一個服務區(qū)的每個 設置屬性信息以便不可能讀所述服務區(qū)并且由所述鏈接信息項指示的服務區(qū) 無法由所述讀部分讀的情況下，其確定是否已經(jīng)為由所述鏈接信息項指示的 服務區(qū)設置了所述屬性信息，其中在已經(jīng)由所述屬性確定部分確定了已經(jīng)設置了所述屬性信息的情況 下，所述數(shù)據(jù)更新部分不更新被存儲在所述索引區(qū)中的鏈接信息項。
4. 一種在能夠與信息處理終端通信的控制服務器中的數(shù)據(jù)控制方法，該 信息處理終端包括在能夠與讀卡器/寫卡器進行非接觸通信的IC芯片內(nèi)的內(nèi) 部存儲器，該內(nèi)部存儲器包括存儲與通過所述讀卡器/寫卡器提供的服務相對 應的服務數(shù)據(jù)項的至少 一個服務區(qū)，且包括存儲關于所述至少 一個服務區(qū)的 每個的用于訪問所述服務區(qū)的鏈接信息項的索引區(qū)，在執(zhí)行從不同于所述IC 芯片的傳輸源IC芯片到所述IC芯片的數(shù)據(jù)傳輸之后，所述信息處理終端能 夠傳送一致性檢查請求以檢查所述索引區(qū)和所述至少一個服務區(qū)之間的一致 性，所述數(shù)據(jù)控制方法包括步驟響應于來自所述信息處理終端的一致性^r查請求從所述信息處理終端的 索引區(qū)獲得至少一個鏈接信息項；基于所獲得的鏈接信息項，確定所述鏈接信息項是否指示可訪問的服務區(qū)；在已經(jīng)確定所述鏈接信息項確實指示可訪問的服務區(qū)的情況下，讀由所述鏈接信息項指示的服務區(qū)；以及在無法讀由所述鏈接信息項指示的服務區(qū)的情況下，更新所述鏈接信息 項，以便所述鏈接信息項不指示任何訪問目的地。
5. —種在能夠與信息處理終端通信的控制服務器中的程序，該信息處理 終端包括在能夠與讀卡器/寫卡器進行非接觸通信的IC芯片內(nèi)的內(nèi)部存儲器，數(shù)據(jù)項的至少一個服務區(qū)，且包括存儲關于所述至少 一個服務區(qū)的每個的用 于訪問所述服務區(qū)的鏈接信息項的索引區(qū)，在執(zhí)行從不同于所述IC芯片的傳 輸源IC芯片到所述IC芯片的數(shù)據(jù)傳輸之后，該信息處理終端能夠傳送一致 性檢查請求以檢查所述索引區(qū)和所述至少一個服務區(qū)之間的一致性，所述程 序包括指令，所述指令命令計算機運行作為響應于來自所述信息處理終端的一致性檢查請求從所述信息處理終端的 索引區(qū)獲得至少一個鏈接信息項的部分；基于所獲得的鏈接信息項，確定所述鏈接信息項是否指示可訪問的服務 區(qū)的部分；在已經(jīng)確定所述鏈接信息項確實指示可訪問的服務區(qū)的情況下，讀由所 述鏈接信息項指示的服務區(qū)的部分；和在無法讀由所述鏈接信息項指示的服務區(qū)的情況下，更新所述鏈接信息 項以便所述鏈接信息項不指示任何訪問目的地的部分。
全文摘要
提供一種數(shù)據(jù)控制系統(tǒng)，其包括控制服務器和被裝備了非接觸類型的IC芯片的信息處理終端。該信息處理終端包括芯片存儲器和一致性檢查請求部分。該芯片存儲器包括存儲服務數(shù)據(jù)項的至少一個服務區(qū)和存儲用于訪問服務區(qū)的鏈接信息項的索引區(qū)。該一致性檢查請求部分傳送一致性檢查請求。該控制服務器包括根據(jù)該檢查請求獲得鏈接信息項的數(shù)據(jù)獲得部分、為每個鏈接信息項確定對應的服務區(qū)是否存在的區(qū)確定部分、讀所確定的服務區(qū)的讀部分、和如果無法讀該服務區(qū)則利用不指示任何訪問目的地的信息來更新鏈接信息項的數(shù)據(jù)更新部分。
文檔編號G06K17/00GK101303740SQ200810095300
公開日2008年11月12日 申請日期2008年5月9日 優(yōu)先權(quán)日2007年5月9日
發(fā)明者木村光宏, 疋田智治 申請人:飛力凱網(wǎng)路股份有限公司