CN102779370B - 自动交易装置及自动交易系统 - Google Patents

Abstract

本发明提供一种在自动交易装置中能够不使用包含了病毒特征的病毒码档案而提高安全性的技术。自动交易装置具备：主体控制部，控制自动交易装置的各部分；个人信息控制部，根据来自主体控制部的请求获取利用者的个人信息；现金控制部，根据来自主体控制部的请求进行现金的授受；不正当检测部，在使用通过主体控制部进行的、对个人信息控制部或现金控制部的处理的请求的种类以及一连串的交易处理中的自动交易装置的内部状态，检测到请求为由自动交易装置内在的不正当程序提出的请求的情况下，使自动交易装置向与能够进行通常交易的通常状态不同的警戒状态转变。

Description

自动交易装置及自动交易系统

技术领域

本发明涉及自动交易装置中用来提高安全性的技术。

背景技术

近年来，在现金自动交易装置（ATM：Automated Teller Machine）中，具备CPU或RAM、硬盘等，应用通用个人计算机的技术来设计的很多。在这样的现金自动交易装置中，遵照标准的规格作成内置于现金自动交易装置的软件这样的动向正在普及。遵照标准规格作成的软件具有通用性高、成本低这样的优点，但存在容易被病毒感染这样的问题。

对于这样的问题，已经知道通过对存在于现金自动交易装置的硬盘内的程序与登记了病毒中包含的特定字符串或被病毒感染了的程序的特征动作模式等的病毒码档案（patterr file）进行比较，检测混入到内置于现金自动交易装置的软件的病毒的技术（例如专利文献1）。

[专利文献1]日本特开2004-362012号公报

[专利文献2]日本特开2009-181335号公报

但是，对存在于硬盘内的程序与病毒码档案进行比较的手法存在应对新的病毒困难这样的问题。

并且，这样的问题并不局限于现金自动交易装置，是各种自动售货机或自动售票机等、应用个人计算机技术而设计的自动交易装置普遍共同的问题。

发明内容

本发明的目的就是要提供一种在自动交易装置中能够不使用包含了病毒特征的病毒码档案而提高安全性的技术。

本发明是用来解决上述问题的至少一部分而作成的，能够作为以下的形态或适用例来实现。

[适用例1]

一种自动交易装置，具备：

主体控制部，控制上述自动交易装置的各部；

个人信息控制部，根据来自上述主体控制部的请求，获取使用者的个人信息；

现金控制部，根据来自上述主体控制部的请求，进行现金的授受；以及

不正当检测部，在使用通过上述主体控制部进行的、对上述个人信息控制部或上述现金控制部的处理的请求的种类以及一连串的交易处理中的上述自动交易装置的内部状态，检测到上述请求为由上述自动交易装置内在的不正当程序提出的请求的情况下，使上述自动交易装置向与能够进行通常的交易的通常状态不同的警戒状态转变。

如果采用这样的结构，由于不正当检测部在使用对个人信息控制部或现金控制部的处理的请求的种类以及一连串交易处理中的自动交易装置的内部状态，检测到该请求为由自动交易装置内在的不正当程序提出的请求的情况下，使自动交易装置向与能够进行通常的交易的通常状态不同的警戒状态转变，因此在自动交易装置中能够不使用包含了病毒特征的病毒码档案，而提高安全性。

[适用例2]

如适用例1所记载的自动交易装置，

还具备通过网络与外部装置连接、与上述外部装置之间进行信息交换的通信部；

上述不正当检测部，进一步，确认通过上述主体控制部进行的、对上述个人信息控制部或上述现金控制部的处理的请求的发行源，在检测到上述请求为由通过上述通信部进行的不正当访问提出的请求的情况下，使上述自动交易装置向上述警戒状态转变。

如果采用这样的结构，由于不正当检测部进一步确认对个人信息控制部或现金控制部的处理的请求的发行源，在检测到该请求为由通过通信部进行的不正当访问提出的请求的情况下，使自动交易装置向警戒状态转变，因此在自动交易装置中能够进一步提高安全性。

[适用例3]

如适用例1或2所记载的自动交易装置，

上述不正当检测部，进一步，确认从上述主体控制部对上述个人信息控制部或上述现金控制部的处理的请求所使用的电文的结构，在检测到上述请求所使用的标准接口为不正当的标准接口的情况下，使上述自动交易装置向上述警戒状态转变。

如果采用这样的结构，由于不正当检测部进一步确认从主体控制部对个人信息控制部或现金控制部的处理的请求所使用的电文的结构，在检测到请求所使用的标准接口为不正当的标准接口的情况下，使自动交易装置向警戒状态转变，因此在自动交易装置中能够进一步提高安全性。

[适用例4]

如适用例1至3中的任一项所记载的自动交易装置，

还具备预先将方法信息与处理信息建立关联地加以存储的存储部，上述方法信息是与用来检测上述不正当程序、上述不正当访问、以及上述不正当的标准接口中的至少任一个的方法有关的信息，上述处理信息是与上述警戒状态下执行的处理的内容的有关的信息，上述方法信息和上述处理信息是为了进行上述不正当检测部中的处理而使用的信息。

如果采用这样的结构，具备预先将方法信息与处理信息建立关联地加以存储的存储部，方法信息是与用来检测不正当程序、不正当访问、以及不正当的标准接口中的至少任一个的方法有关的信息，处理信息是与警戒状态下执行的处理的内容的有关的信息，不正当检测部使用该信息进行处理。结果，不正当检测部在警戒状态下能够根据方法信息分别执行各个处理，能够提高处理的灵活性。

[适用例5]

如适用例1至4中的任一项记载的自动交易装置，

上述不正当检测部，还在对上述个人信息控制部或上述现金控制部的处理的请求为未知种类的情况、对上述个人信息控制部或上述现金控制部的处理的请求为从未知的发行源发行的情况、以及对上述个人信息控制部或上述现金控制部的处理的请求为未知的电文结构的情况中的至少任一情况下，学习该请求。

如果采用这样的结构，不正当检测部还在对个人信息控制部或现金控制部的处理的请求为未知种类的情况、对个人信息控制部或现金控制部的处理的请求为从未知的发行源发行的情况、以及对个人信息控制部或现金控制部的处理的请求为未知的电文结构的情况中的至少任一情况下，能够学习该请求。

[适用例6]

如适用例1至5中的任一项记载的自动交易装置，

在上述警戒状态下执行的处理为上述自动交易装置的休止处理以及上述自动交易装置中的各处理的跟踪记录处理中的任一个。

如果采用这样的结构，在不正当检测部检测到不正当程序、不正当访问和不正当的标准接口中的至少任一个的情况下，能够使自动交易装置的状态转变成休止状态、跟踪记录状态中的任一状态。

[适用例7]

如适用例4至6中的任一项记载的自动交易装置，

还具备用来接受来自上述自动交易装置的管理者的上述处理信息的变更的主管人员操作部。

如果采用这样的结构，能够接受来自自动交易装置的管理者的处理信息的变更。结果，能够提高自动交易装置的便利性。

[适用例8]

如适用例1至7中的任一项记载的自动交易装置，

上述不正当检测部还在检测到上述不正当程序、上述不正当访问、以及上述不正当的标准接口中的至少任一个的情况下，对上述外部装置通知检测到了不正当这一内容。

如果采用这样的结构，由于不正当检测部还在检测到不正当程序、不正当访问、以及不正当的标准接口中的至少任一个的情况下，对外部装置通知检测到了不正当这一内容，因此对自动交易装置的外部也能够唤起警戒。

[适用例9]

一种现金自动交易系统，

具备自动交易装置和服务器；

上述自动交易装置具备：

主体控制部，控制上述自动交易装置的各部；

个人信息控制部，根据来自上述主体控制部的请求，获取使用者的个人信息；以及

现金控制部，根据来自上述主体控制部的请求，进行现金的授受，

上述服务器具备不正当检测部，该不正当检测部使用上述个人信息控制部或上述现金控制部接收到的处理的请求的种类以及一连串的交易处理中的上述自动交易装置的内部状态，检测上述请求是否为由上述自动交易装置内在的不正当程序提出的请求，

上述个人信息控制部和上述现金控制部在接收到来自上述主体控制部的处理的请求之际，向上述服务器询问该请求是否为由上述不正当程序提出的请求，

上述不正当检测部在检测到该请求为由上述不正当程序提出的请求的情况下，使上述自动交易装置向与能够进行通常的交易的通常状态不同的警戒状态转变。

如果采用这样的结构，即使在外部的服务器中具备不正当检测部的自动交易装置中也能够获得与适用例1相同的效果。而且，如果采用这样的结构，由于用外部的服务器总括起来进行不正当程序的检测，因此能够减轻自动交易装置的处理负担，并且能够达到有关检测到的不正当程序的信息一元化的目的。

另外，本发明能够以种种形态实现。例如，本发明除了以自动交易装置（现金自动交易装置、自动售货机、自动售票机等）、自动交易系统、自动交易装置的控制方法实现以外，还能够以用来实现那些方法或装置的功能的计算机程序、存储了该计算机程序的存储介质等形态实现。

附图说明

图1为概略地表示作为本发明一个实施例的现金自动交易装置的硬件结构的说明图；

图2为概略地表示ATM的软件结构的说明图；

图3为表示不正当检测信息的一例的说明图；

图4为表示请求倾向信息的一例的说明图；

图5为表示I/F辨认信息的一例的说明图；

图6为表示主体控制部执行的一连串交易处理中执行不正当检测处理的状况的顺序图；

图7为表示不正当检测处理的步骤的流程图；

图8表示通过请求倾向的学习更新后的请求倾向信息的一例；

图9为表示标准I/F辨认处理的步骤的流程图；

图10为表示不正当检测处理中的变更处理信息所使用的设定画面的一例的说明图；

图11为表示第2实施例的现金自动交易系统的大致结构的说明图。

标记说明

10．现金自动交易装置（ATM）；20．服务器；22．读卡机构；24．存折机构；26．明细单机构；32．硬币机构；34．纸币机构；42．顾客操作部；44．主管人员操作部；50．控制单元；60．流水打印机构；100．主体控制部；110．不正当检测部；200．触摸屏控制部；300．存储部；310．不正当检测信息；320．I/F辨认信息；330．请求倾向信息；400．通信部；500．卡机构控制部；510．存折机构控制部；520．明细单机构控制部；600．纸币机构控制部；610．硬币机构控制部；700．流水控制部；1000．现金自动交易系统；EW．设定画面

具体实施方式

接着根据实施例按以下的顺序说明本发明的实施形态。

A．第1实施例

（A-1）硬件结构

图1为概略地表示作为本发明一个实施例的现金自动交易装置的硬件结构的说明图。现金自动交易装置10（以下也称“ATM”）ATM10为，例如设置在金融机构或零售店、公共设施等处，按照利用者的操作自动地提供金融机构等提供的现金出纳等服务的装置。ATM10也称现金自动存取机。

ATM10具备卡机构22、存折机构24、明细单机构26、硬币机构32、纸币机构34、顾客操作部42、主管人员操作部44、控制单元50、和流水（journal）打印机构60。另外，图1对于说明上没有必要的其他结构部省略了图示。这些在后述的图中也一样。

卡机构22为用来从自插卡口插入的现金卡读取利用者的银行账号等信息的机构。存折机构24为用来从自存折插入口插入的存折读取利用者的银行账号等信息、并且对存折进行交易内容等的打印的机构。明细单机构26为用来发行打印了利用者的交易内容的明细单的机构。

硬币机构32为与利用者进行硬币授受的机构。纸币机构34为与利用者进行纸币（以后也称为“纸张类”）授受的机构。纸币机构34在入款时识别从利用者插入的纸币，按币种分类后保管。并且，在出款时送出利用者指示的金额的量的纸币，从出入款口向利用者收付。

顾客操作部42为，通过设置在ATM10前面的触摸屏显示交易所必要的信息，并且用来接受来自利用者的操作的用户接口。主管人员操作部44为，通过设置在ATM10背面的触摸屏显示用于ATM10的管理的信息，并且用来接受来自管理者的操作的用户接口。另外，顾客操作部42和主管人员操作部44也可以取代触摸屏而用显示器和按钮等构成。

流水打印机构60为将与利用者的交易内容等逐次打印到规定的流水用纸上的机构。另外，流水打印机构60也可以采用使用数据库或文件等电子介质保留记录的电子流水的方法取代打印到纸介质上的方法。

控制单元50控制上述各机构。控制单元50作为具备CPU或存储器、硬盘、网络接口等的计算机而构成。

（A-2）软件结构

图2为概略地表示ATM10的软件结构的说明图。在控制单元50的未图示的硬盘中安装有用来实现控制单元50的功能的各种控制程序。控制单元50的CPU51将存储器300作为工作区域使用，通过执行这些各种控制程序而起图2所示的各功能部的作用。

控制单元50具备主体控制部100、不正当检测部110、触摸屏控制部200、存储部300、通信部400、卡机构控制部500、存折机构控制部510、明细单机构控制部520、纸币机构控制部600、硬币机构控制部610和流水控制部700作为功能部。

主体控制部100具有根据来自利用者的指示控制图2的各功能部，并且执行ATM10的各种交易处理的功能。不正当检测部110具有执行用来检测ATM10中内在的不正当程序、对ATM10的不正当访问、不正当的标准接口的不正当检测处理（详细后述）的功能。

另外，在本实施例中，“不正当程序”意指ATM10的厂商提供的正规程序以外的程序，即，ATM10的利用者或管理者、使用ATM10的金融机构等进行未预期的不正当的出款操作或个人信息获取操作的程序。并且，“不正当访问”意指来自与既定的通信端口不同的通信端口的对ATM10的访问、或者来自预先允许的装置以外的装置的对ATM10的访问。并且，“不正当的标准接口”意指使用了预先允许的标准接口以外的标准接口的对ATM10的访问。其中，“标准接口”意指对在ATM10的各功能部之间交换的电文（命令指令）的结构等制定的协约。

触摸屏控制部200控制顾客操作部42和主管人员操作部44所使用的触摸屏的动作。具体为，触摸屏控制部200进行对触摸屏的信息的显示、或对触摸屏的来自利用者、管理者的输入的获取。

存储部300储存用于由不正当检测部110进行的不正当检测处理的信息。具体为，存储部300中包含有：为了检测ATM10内在的不正当程序、对ATM10的不正当访问而使用的不正当检测信息310和请求倾向信息330；以及为了检测不正当的标准接口而使用的I/F辨认信息320。详细后述。

通信部400包含未图示的网络接口，按照规定的协议在与外部装置（设置于ATM10外部的各种装置。例如ATM10的管理装置、服务器等）之间进行信息交换。另外，本实施例中假定通信部400具备100BASE-T的网络接口，按照TCP/IP协议进行与外部装置的通信。

卡机构控制部500具有控制卡机构22的功能。同样，存折机构控制部510具有控制存折机构24的功能，明细单机构控制部520具有控制明细单机构26的功能，纸币机构控制部600具有控制纸币机构34的功能，硬币机构控制部610具有控制硬币机构32的功能，流水控制部700具有控制流水打印机构60的功能。

图3为表示不正当检测信息310的一例的说明图。不正当检测信息310为不正当检测部110执行的不正当检测处理中用于不正当程序或不正当访问的对策的信息，以表格形式保存。不正当检测信息310包含编号、检测方法、状态的各信息组。

在编号信息组中，作为用来将储存在各表项中的信息互相识别的识别信息，被付与唯一的编号。检测方法信息组中储存有用来检测ATM10内在的不正当程序或对ATM10的不正当访问的方法。状态信息组中，储存有在用储存在检测方法中的方法检测到不正当程序或不正当访问的情况下、应该使ATM10转变的状态。

例如，用图3的编号1识别的表项中，表示确认“是否与请求的倾向一致”作为检测方法。另外，有关请求的倾向后述。并且，表示在确认的结果为检测到不正当的情况下、将ATM10变成“跟踪纪录并且允许交易”的状态。而且，例如用编号2识别的表项中，表示确认“接收到处理的请求的端口是否为分配TCP/IP通信的端口”作为检测方法。并且，表示在确认的结果为检测到不正当的情况下、将ATM10变成“交易中止”状态。而且，例如用编号3识别的表项中，表示确认“作为处理的请求源的装置的IP地址或MAC地址是否与允许访问ATM10的装置的IP地址或MAC地址一致”作为检测方法。并且，表示在确认的结果为检测到不正当的情况下、将ATM10变成“交易中止”状态。

另外，图3中将有关用来检测储存在检测方法信息组中的不正当程序或不正当访问的方法的信息也称为“方法信息”。并且，将储存在状态信息组中、表示应该使ATM10转变的状态的信息也称为“处理信息”。而且，将ATM10处于“交易中止”状态或“跟踪登记并允许交易”的状况也叫作ATM10处于“警戒状态”。警戒状态在ATM10中为与能够进行通常交易的通常状态不同的状态。

图4为表示请求倾向信息330的一例的说明图。请求倾向信息330为为了在不正当检测部110执行的不正当检测处理中通过监视主体控制部100执行的交易处理来检测不正当程序而使用的信息，用表格形式保存。请求倾向信息330包含编号、内部状态、功能部的各信息组。

编号信息组中，作为用来将储存在各表项中的信息互相识别的识别信息，被付与唯一的编号。内部状态信息组中储存有主体控制部100执行的一连串交易处理中的、ATM10内部状态的名称。

功能部信息组中还包含分别表示ATM10所包含的各功能部（图2）中、进行现金授受的功能部（现金控制部）和获取利用者个人信息的功能部（个人信息控制部）的名称的信息组。另外，图4所示的功能部中密码控制部和交易选择控制部为主体控制部100内部所包含的控制部。各信息组的表项中还与主体控制部100执行的一连串交易处理中的ATM10的内部状态相对应，储存有表示各功能部中的处理是可能还是不可能的信息。具体为，在某个功能部中的处理是可能的情况下，储存进行该功能部中的处理后转变的内部状态的编号（图4中没阴影的区域）。并且，在某个功能部中的处理不可能的情况下，储存空值（图4中斜线阴影的区域）。

例如，图4的例中，从用编号1识别的表项可知，在主体控制部100执行的一连串的交易处理中的ATM10的内部状态为空闲状态的情况下，能够进行由卡机构控制部和交易选择控制部进行的处理，由其他控制部（纸币机构控制部等）进行的处理不能进行。并且，在进行了由卡机构控制部进行的读卡处理之后，ATM10向编号3的交易选择等待状态转变。同样，在进行了由交易选择控制部进行的读取处理后，ATM10向编号2的卡插入等待状态转变。

从用编号2识别的表项可知，在ATM10的内部状态为卡插入等待状态的情况下，只有由卡机构控制部进行的处理能够进行，由其他控制部进行的处理不能进行。并且，在由卡机构控制部进行的处理之后，ATM10向编号4的密码输入等待状态转变。从用编号3识别的表项可知，在ATM10的内部状态为交易选择等待状态的情况下，只有由交易选择控制部进行的处理能够进行，由其他控制部进行的处理不能进行。并且，在由交易选择控制部进行的处理之后，ATM10向编号4的密码输入等待状态转变。

从用编号4识别的表项可知，在ATM10的内部状态为密码输入等待状态的情况下，只有由密码控制部进行的处理能够进行，由其他控制部进行的处理不能进行。并且，在由密码控制部进行的处理之后，ATM10向编号6的出款金额输入等待状态转变。从用编号5识别的表项可知，在ATM10的内部状态为密码获取等待状态的情况下，只有由密码控制部进行的处理能够进行，由其他控制部进行的处理不能进行。并且，在由密码控制部进行的处理之后，ATM10向编号6的出款金额输入等待状态转变。

从用编号6识别的表项可知，在ATM10的内部状态为出款金额输入等待状态的情况下，只有由密码控制部进行的处理能够进行，由其他控制部进行的处理不能进行。并且，在由密码控制部进行的处理之后，ATM10向编号7的出款请求等待状态转变。从用编号7识别的表项可知，在ATM10的内部状态为出款请求等待状态的情况下，只有由纸币机构控制部或硬币机构控制部进行的处理能够进行，由其他控制部进行的处理不能进行。并且，在由纸币机构控制部或硬币机构控制部进行的处理之后，ATM10向编号8的卡/明细单拔出等待状态转变。

从用编号8识别的表项可知，在ATM10的内部状态为卡/明细单拔出等待状态的情况下，只有由卡机构控制部进行的处理能够进行，由其他控制部进行的处理不能进行。并且，在由卡机构控制部进行的处理之后，ATM10向编号9的出款介质拔出等待状态转变。从用编号9识别的表项可知，在ATM10的内部状态为出款介质拔出等待状态的情况下，只有由纸币机构控制部或硬币机构控制部进行的处理能够进行，由其他控制部进行的处理不能进行。并且，在由纸币机构控制部或硬币机构控制部进行的处理之后，ATM10向编号1的空闲状态转变。

这样，在图4所示的请求倾向信息330中，主体控制部100执行的一连串交易处理中的ATM10的内部状态和能够在该内部状态下执行处理的控制部的种类（换言之，允许的处理请求的种类）建立起对应地存储。

图5为表示I/F辨认信息320的一例的说明图。I/F辨认信息320为在不正当检测部110执行的不正当检测处理中为了不正当的标准接口的对策而使用的信息，用表格形式保存。I/F辨认信息320包含编号、标准接口种类、特征、版本、状态的各信息组。

在编号中，作为用来将储存在各表项中的信息互相识别的识别信息，被付与唯一的编号。标准接口种类中储存有标准接口的名称。版本中储存有标准接口的版本。I/F辨认信息320中，用标准接口种类和版本的组合，唯一地确定标准接口。特征中，储存有用标准接口种类和版本的组合唯一地确定的每个标准接口的、电文（命令指令）的结构特征。状态中，储存有在用储存在特征中的电文的结构特征检测到不正当的标准接口的情况下、应该使ATM10转变的状态。

例如，图5的用编号1识别的表项中表示：作为标准接口1的版本2.0的特征，“初次启动（OPEN指令）的输入参数为X个、输入参数的第X个自变量为‘XXXXX’”，以及“注册表（registry）的中储存有密钥‘XXXXX’”。并且表示，在确认结果为判定为符合该标准接口的情况下，将ATM10变成“允许交易”状态。

而且，用编号4识别的表项中表示：作为同样的标准接口1的版本2.0的特征，“纸币出款命令（BCKB指令）的输入参数为1个、输入参数的第1个自变量为‘XXXXX’+币种”。并且表示，在确认结果是判定为符合该标准接口的情况下，将ATM10变成“允许交易”状态。而且，用编号n识别的表项中表示：在不满足用编号1～n－1识别的所有的表项中储存的特征的情况下，将ATM10变成“交易中止”状态——即警戒状态。另外，图中的X能够输入任意的值。

另外，图5中将储存在特征信息组中的电文的结构特征也称为有关用来检测不正当的标准接口的方法的“方法信息”。并且，将储存在状态信息组中、表示应该使ATM10转变的状态的信息也称为“处理信息”。

（A-3）不正当检测处理

（A-3-1）处理的顺序

图6为表示主体控制部100执行的一连串交易处理中不正当检测处理被执行的状况的顺序图。图6的例中举纸币机构控制部作为现金控制部的一例，举卡机构控制部作为个人信息控制部的一例，以主体控制部100读取从利用者插入的卡后进行纸币出款的情况作为例子说明。

检测到来自利用者的卡的插入的主体控制部100对卡机构控制部500发送请求读取插入的卡的电文（命令指令）（步骤S12）。接收了来自主体控制部100的请求的卡机构控制部500请求不正当检测部110执行不正当检测处理（步骤S14）。接收了请求的不正当检测部110执行不正当检测处理（详细情况如后所述）（步骤S16）。在不正当检测部110在不正当检测处理中检测到了不正当的情况下，将ATM10变成警戒状态，在没有检测到不正当的情况下不作任何处理。不正当检测部110在不正当检测处理结束后将处理结束了这一内容通知给调用源（步骤S18）。接收了通知的卡机构控制部500进行插入的卡的读取处理（步骤S20）。然后，卡机构控制部500将卡读取处理的结果获得的个人信息（例如账户名义人名、卡号等）向主体控制部100通知（步骤S22）。

然后，进行例如处理菜单的选择或密码的输入等由利用者进行的进一步的操作，主体控制部100进行与操作内容相对应的处理。详细省略。

接收了来自利用者的出款指示的主体控制部100对纸币机构控制部600发送送出所指示的金额的纸币这样请求的电文（命令指令）（步骤S24）。接收了来自主体控制部100的请求的纸币机构控制部600请求不正当检测部110执行不正当检测处理（步骤S26）。接收了请求的不正当检测部110执行不正当检测处理（步骤S28）。详细情况与步骤S16同样。不正当检测部110在不正当检测处理结束后将处理结束了这一内容通知给调用源（步骤S30）。接收了通知的纸币机构控制部600执行从主体控制部100指示的金额的纸币的出款处理（步骤S32）。然后，纸币机构控制部600将出款结果向主体控制部100通知（步骤S34）。

（A-3-2）不正当检测处理的流程图

图7为表示不正当检测处理的步骤的流程图。不正当检测部110参照不正当检测信息310执行储存在最初的表项中的检测方法即确认“是否与请求的倾向一致”（步骤S102）。具体为，不正当检测部110通过将ATM10当前的内部状态和实际从主体控制部100向功能部发出的请求的种类（例如卡读取指令或密码读取指令、出款指令等）与请求倾向信息330相对照，判断从主体控制部100向功能部发出的请求是否与许可的请求的种类一致。

例如，在ATM10当前的内部状态为空闲状态、从主体控制部100向卡机构控制部500发出卡读取指令时（图6中步骤S12），如图4所示，在ATM10的内部状态为空闲状态的情况下，由于由卡机构控制部进行的处理和由交易选择控制部进行的处理能够进行，因此判定为该处理的请求是应该允许的请求（正当）。另一方面，在例如ATM10当前的内部状态为空闲状态，从主体控制部100向纸币机构控制部600发出出款指令时，如图4所示，在ATM10的内部状态为空闲状态的情况下，由于由卡机构控制部和交易选择控制部以外的控制部进行的处理不能够进行，因此判定为该处理的请求不允许（不正当）。

在步骤S102中，在判定为处理的请求是应该允许的请求的情况下，不正当检测部110判定为与请求的倾向一致（即不正当没被检测到）（步骤S104中为NO），将处理向步骤S106转变。

不正当检测部110判断是否进行了确认直到储存在不正当检测信息310中的检测方法的最后（步骤S106）。在没有进行确认直到检测方法的最后的情况下（步骤S106中为NO），不正当检测部110使处理向步骤S102转变，继续进行储存在不正当检测信息310的下一个表项中的检测方法的确认——即继续进行“接收了处理请求的端口是否为分配TCP/IP通信的端口”的确认。

另一方面，在结束了确认直到检测方法的最后的情况下（步骤S106中为YES），不正当检测部110使处理向步骤S108转变，学习请求倾向（步骤S108）。具体为，不正当检测部110在步骤S102中用于判断的实际的请求的种类与ATM10的内部状态的组合为未知（即没有登记在请求倾向信息330中）的组合的情况下，用该信息更新请求倾向信息330的内容。另外，在该更新之际，既可以进行请求倾向信息330的既存信息的覆盖，也可以将存储部300的既存的信息保持原样，追加新的信息。图8表示通过请求倾向的学习更新的请求倾向信息330的一例。图8的例中，为了使从空闲状态的存折的处理成为可能，更新了区域NF的部分信息。

不正当检测部110执行标准I/F辨认处理（详细后述）（步骤S110）。

在标准I/F辨认处理结束后，不正当检测部110对作为调用源的功能部通知处理结束了这一内容（步骤S112）。然后如图6所示，继续进行交易处理。

在步骤S102中，在判定为处理请求不被允许的情况下，不正当检测部110判定为与请求倾向不一致（即检测到不正当）（步骤S104中为YES），使处理向步骤S114转变。

不正当检测部110参照不正当检测信息310中、对应的登记的状态信息组的内容（步骤S114）。不正当检测部110判断状态信息组的内容是否为“允许交易”（步骤S116）。在允许交易的情况下（步骤S116中为YES），不正当检测部110对流水控制部700请求登记交易处理的跟踪（步骤S118），向步骤S110转变。另一方面，在不允许交易的情况下（步骤S116中为NO），不正当检测部110对主体控制部100请求使ATM10变成交易中止状态（步骤S120），结束处理。

这样，不正当检测部110在不正当检测信息310的检测方法“是否与请求倾向一致”的确认中，使用请求倾向信息330来确认通过主体控制部100进行的、对个人信息控制部或现金控制部的处理请求是否为被允许的请求。并且，不正当检测部110在接收到不被允许的请求（换言之，与请求倾向不一致的请求）的情况下，判定为该请求为由不正当程序发行的、未预期的顺序的、未预期的请求（即检测到不正当），能够将ATM10转变成警戒状态。

并且，不正当检测部110在不正当检测信息310的检测方法“接收到了处理请求的端口是否为分配TCP/IP通信的端口”和“作为处理请求源的装置的IP地址或MAC地址是否与被允许访问ATM10的装置的IP地址或MAC地址一致”的确认中，确认主体控制部100接收到的请求的出处。并且，不正当检测部110在主体控制部100接收到了与上述条件不一致的请求的情况下，判定为该请求是由来自不正当发行源的不正当访问进行的未预期的请求（即检测到了不正当），能够使ATM10转变成警戒状态。

（A-3-3）标准I/F辨认处理的流程图

图9为表示标准I/F辨认处理的步骤的流程图。标准I/F辨认处理为不正当检测处理的子程序。不正当检测部110确认储存在I/F辨认信息320的最初的表项中的特征中的至少一个是否与从主体控制部100向各功能部作为请求而发送的电文（命令指令）的结构一致（步骤S202）。

在步骤S202中，在判定为I/F辨认信息320内的特征与请求的电文的结构一致的情况下，不正当检测部110判定为与特征一致（步骤S204中为YES），使处理向步骤S214转变。

不正当检测部110学习标准接口的特征（步骤S214）。具体为，不正当检测部110在步骤S202中用于判断的实际的请求的电文为未知（即，没有登记在I/F辨认信息320中）的结构的电文的情况下，用该电文的结构更新I/F辨认信息320的内容。另外，在该更新之际，既可以进行I/F辨认信息320的既存信息的覆盖，也可以将I/F辨认信息320的既存的信息保持原样，追加新的信息。而且，不正当检测部110，对于在步骤S202中用于判断的实际的请求的电文中、电文结构与特征信息组的内容一致、但版本不同的表项，也可以更新I/F辨认信息320的该表项的版本信息组的内容。

在步骤S202中，在判定为I/F辨认信息320内的特征与电文的结构不一致的情况下，不正当检测部110判定为与特征不一致（步骤S204中为NO），使处理向步骤S206转变。

不正当检测部110判断是否进行了确认直到储存在I/F辨认信息320中的特征的最后（步骤S206）。在没有直到最后进行确认的情况下（步骤S206中为NO），不正当检测部110使处理向步骤S202转变，继续进行储存在I/F辨认信息320的下一个表项中的特征的确认。

另一方面，在结束了直到特征的最后的确认的情况下（步骤S206中为YES），不正当检测部110使处理向步骤S208转变，参照I/F辨认信息320中、电文结构与特征信息组的内容一致的表项的状态信息组的内容（步骤S208）。不正当检测部110判断状态信息组的内容是否为“交易中止”（步骤S210）。在交易中止的情况下（步骤S210中为YES），不正当检测部110请求主体控制部100使ATM10变成交易中止状态（步骤S218），结束处理。

另一方外，在不是交易中止的情况下（步骤S210中为NO），不正当检测部110判断状态信息组的内容是否为“允许交易（跟踪登记）”（步骤S212）。在为“允许交易（跟踪登记）”的情况下（步骤S212中为YES），不正当检测部110请求流水控制部700记录交易处理的跟踪（步骤S216），结束处理。另一方面，在不是允许交易（跟踪登记）的情况下（步骤S212中为NO），不正当检测部110结束处理。

这样，不正当检测部110使用储存在I/F辨认信息320中的、每个标准接口的电文的结构特征，监视个人信息控制部或现金控制部从主体控制部100接收到的电文的结构。并且，不正当检测部110在个人信息控制部或现金控制部接收到了未预期的结构的电文的情况下，判定该电文为基于不正当的标准接口发行的不是预期的请求（即检测到了不正当），能够使ATM10转变成警戒状态。

（A-4）处理信息变更

图10为表示不正当检测处理中的处理信息变更所使用的设定画面的一例的说明图。设定画面EW为获取了由管理者进行的操作的主体控制部100使主管人员操作部44的显示器上显示的画面。管理者通过使用设定画面EW能够变更不正当检测信息310和I/F辨认信息320的状态信息组的内容（即处理信息）。

设定画面EW包含项目显示部EF、交易中止选择按钮CB、允许交易（跟踪记录）按钮OB、下一步按钮NB和中止按钮BB。项目显示部EF为用来显示不正当检测信息310的检测方法信息组的内容或者I/F辨认信息320的特征信息组的内容的信息组。交易中止选择按钮CB和允许交易（跟踪记录）按钮OB为用来指定给显示在项目显示部EF的检测方法（或特征）分配某一状态（处理信息）的按钮。下一步按钮NB为用来将下一个检测方法（或特征）显示在设定画面EW的按钮。终止按钮BB为用来中止由设定画面进行的变更处理的按钮。

在图10的例中，项目显示部EF中显示用不正当检测信息310的编号2识别的表项的检测方法信息组的内容。并且，不正当检测信息310的用编号2识别的表项由于当前状态信息组的内容为“交易中止”，因此对应的交易中止选择按钮CB被变灰（gray out）。在ATM10的管理者想将不正当检测信息310的用编号2识别的登记的状态信息组的内容变更成“允许交易（跟踪记录）的情况下，只要按下允许交易（跟踪记录）按钮OB就可以。通过按下按钮，不正当检测部110更新对应的表的、对应的表项的状态信息组的内容。

如果这样，能够接受来自ATM10的管理者的处理信息的变更。结果，能够提高ATM10的不正当检测处理中的便利性。

如上所述，如果采用第1实施例，不正当检测部110通过不正当检测处理（不正当检测信息310的检测方法“是否与请求倾向一致”的确认），确认对个人信息控制部或现金控制部的处理请求是否为被许可的请求，检测ATM10内在的不正当程序。并且，不正当检测部110在检测到不正当（不正当程序）的情况下，使ATM10的状态向与能够进行通常交易的通常状态不同的警戒状态（交易中止、跟踪记录）转变。因此，在ATM10中能够不使用包含了病毒特征的病毒码档案提高安全性。

而且，不正当检测部110通过不正当检测处理（不正当检测信息310的检测方法“接收到了处理请求的端口”和“作为处理请求源的装置的IP地址或MAC地址”的确认），确认对个人信息控制部或现金控制部的处理请求的发行源，检测通过通信部400的不正当访问。并且，不正当检测部110在检测到不正当（不正当访问）的情况下，使ATM10的状态向警戒状态转变。因此，在ATM10中能够进一步提高安全性。

而且，不正当检测部110通过不正当检测处理（标准I/F辨认处理）监视对个人信息控制部或现金控制部的处理的请求所使用的电文的结构，检测不正当的标准接口的存在。并且，不正当检测部110在检测到不正当（不正当的标准接口）的情况下，使ATM10的状态向警戒状态转变。因此，在ATM10中能够提高安全性。

而且，存储部300中存储为了检测不正当程序和不正当访问而使用的不正当检测信息310、和请求倾向信息330，并且存储有为了检测不正当的标准接口而使用的I/F辨认信息320。用来检测不正当程序和不正当访问的方法信息（检测方法信息组）、以及有关在警戒状态下执行的处理内容的处理信息（状态信息组）预先建立了关联存储在不正当检测信息310中。用来检测不正当的标准接口的方法信息（特征信息组）、以及有关在警戒状态下执行的处理内容的处理信息（状态信息组）预先建立了关联存储在I/F辨认信息320中。它们的结果是，不正当检测部110能够根据检测不正当时使用的方法信息在警戒状态下分别执行单独的处理，能够提高处理的灵活性。

而且，不正当检测部110在不正当检测处理（图7）的步骤S108中，在对个人信息控制部或现金控制部的处理请求为未知种类的情况下，学习该请求的种类和顺序。并且，不正当检测部110在不正当检测处理的标准I/F辨认处理（图9）的步骤S214中，在对个人信息控制部或现金控制部的处理请求为未知的电文结构的情况下，学习该请求的电文结构。结果，不正当检测信息310、I/F辨认信息320和请求倾向信息330能够自动更新，能够降低ATM10的管理所需要的成本。

而且，不正当检测部110在检测到了不正当（不正当程序、不正当访问、不正当的标准接口）的情况下，能够使ATM10的状态转变成休止状态（交易中止状态）和跟踪记录状态中的任一状态。

B．第2实施例

本发明的第2实施例就现金自动交易装置与设置在外部的服务器连接、通过该服务器进行不正当检测处理的结构进行说明。以下仅就具有与第1实施例不同的结构和动作的部分进行说明。另外，在图中对于与第1实施例相同的结构部分附加与先前说明过的第1实施例相同的标记，将详细的说明省略。

（B-1）网络结构

图11为表示第2实施例中的现金自动交易系统1000的概略结构的说明图。现金自动交易系统1000具备有ATM10a和服务器20。ATM10a和服务器20通过局域网（LAN）NN连接。

ATM10a与第1实施例（图1、2）的ATM10在不具备不正当检测部110和存储部300这点上不同。服务器20作为具备未图示的CPU或存储器、硬盘、网络接口等的个人计算机而构成。服务器20具备有不正当检测部110和存储部300作为功能部。不正当检测部110和存储部300具有与第1实施例同样的功能。

（B-2）不正当检测处理

第2实施例在ATM10a的主体控制部100执行的一连串的交易处理中服务器20仅进行不正当检测处理的部分。具体为，在图6的步骤S14中，卡机构控制部500通过通信部400请求服务器20的不正当检测部110执行不正当检测处理。并且，在图6的步骤S18中，服务器20的不正当检测部110通过通信部（未图示）将处理结束了这一内容通知给调用源（ATM10a的卡机构控制部500）。对于步骤S26、S30也同样。

如上所述，如果采用第2实施例，即使在外部服务器具备不正当检测部110的ATM10a中也能够获得与第1实施例同样的效果。而且，如果采用这样的结构，由于能够用设置在外部的服务器20总括起来进行不正当程序、不正当访问、不正当的标准接口的检测，因此能够减轻ATM10a的处理负荷。而且，由于能够在服务器20侧一元管理有关不正当程序、不正当访问、不正当的标准接口的信息（不正当检测信息310、I/F辨认信息320和请求倾向信息330），因此在作为具备多个ATM10a的系统考虑的情况下，能够构筑使用容易的现金自动交易系统。

C．变形例

另外，本发明并不局限于上述实施例或实施形态，在不超出其旨意的范围内能够在种种形态中实施，例如能够如下地变形。

C1．变形例1

上述实施例说明了现金自动交易装置及现金自动交易系统的结构和功能。但是，上述实施例表示过的形态仅仅只是一个例子，在不超出本发明旨意的范围内能够进行种种变形。

例如，现金自动交易装置也可以具备USB接口或无线通信部等其他结构。

例如，现金自动交易装置还可以与由个人计算机等构成的监视装置连接。在这种情况下，最好是不正当检测部在检测到不正当作为不正当检测处理的结果的情况下，将检测到了不正当这一内容和必要的信息发送给监视装置。如果这样，获取现金自动交易装置中的有关异常（不正当的检测）的信息变得容易。

例如，也可以取代现金自动交易装置而将上述结构转用于各种自动售货机或自动售票机、货币兑换机等。

C2．变形例2

上述实施例表示了在主体控制部执行的一连串的交易处理中不正当检测处理被执行的样子的一例（图6）。但是，执行不正当检测处理的定时并不局限于图6的情况。具体为，不正当检测处理在图4列举的现金控制部和个人信息控制部每次接收了来自主体控制部的请求时，与步骤S14、S26同样，被接收了请求的功能部调出而执行。

在图6的例中，如果对现金控制部或个人信息控制部有请求，则每次执行不正当检测处理。但是，也可以例如仅在一连串的交易处理的最初执行不正当检测处理，对于其后的对现金控制部或个人信息控制部的请求省略不正当检测处理。而且，也可以例如根据进行交易的时间段或混乱状况等切换有无不正当检测处理的执行。

并且，也可以例如将请求发送源装置的IP地址或MAC地址与预先作成的黑名单相对照，仅对符合该黑名单的请求执行不正当检测处理。而且，也可以例如将请求的发送源装置的IP地址或MAC地址与预先作成的白名单相对照，仅对不符合该白名单的请求执行不正当检测处理。

C3．变形例3

上述实施例的不正当检测处理（图7）和标准I/F辨认处理（图9）中，检测到了不正当的不正当检测部请求主体控制部将现金自动交易装置变成警戒状态。但是，也可以例如在不正当检测的结果为不正当检测部检测到了不正当的情况下，将该内容通知给调用源功能部或主体控制部，被通知的功能部或主体控制部使现金自动交易装置从通常状态向警戒状态转变。

C4．变形例4

上述实施例的不正当检测处理（图7）的步骤S108和标准I/F辨认处理（图9）的步骤S214学习了未知的请求。但是，该学习处理是可以省略的。

C5．变形例5

上述实施例的不正当检测处理（图7）和标准I/F辨认处理（图9）对储存在不正当检测信息和I/F辨认信息中的所有的方法信息进行了确认，但有关这一点种种变形也是可以的。例如，也可以对方法信息付与优先顺位，按优先顺位从高到低的顺序进行确认。

C6．变形例6

上述实施例中，作为现金自动交易装置的警戒状态例示了休止状态（交易中止状态）、跟踪记录状态。但是，警戒状态只要是与能够进行通常交易的通常状态不同就可以，能够采用种种状态。

例如，也可以采用检测到了不正当的不正当检测部对主体控制部或调用源功能部反馈作为出错这一内容的应答，仅使该交易处理不继续进行的结构。并且，也可以是检测到了不正当的不正当检测部对主体控制部或调用源功能部进行给最大出款张数作了限制这一内容的请求。而且，检测到了不正当的不正当检测部也可以切断现金自动交易装置的网络连接。

Claims (9)

1.一种自动交易装置，具备：

主体控制部，控制上述自动交易装置的各部；

个人信息控制部，根据来自上述主体控制部的请求，获取使用者的个人信息；

现金控制部，根据来自上述主体控制部的请求，进行现金的授受；以及

不正当检测部，在基于通过上述主体控制部进行的、对上述个人信息控制部或上述现金控制部的处理的请求的种类以及一连串的交易处理中的上述自动交易装置的内部状态，检测到上述请求为由上述自动交易装置内在的不正当程序提出的请求的情况下，使上述自动交易装置向与能够进行通常的交易的通常状态不同的警戒状态转变。

2.如权利要求1所述的自动交易装置，

还具备通过网络与外部装置连接、与上述外部装置之间进行信息交换的通信部；

上述不正当检测部，进一步，确认通过上述主体控制部进行的、对上述个人信息控制部或上述现金控制部的处理的请求的发行源，在检测到上述处理的请求为由通过上述通信部进行的不正当访问提出的请求的情况下，使上述自动交易装置向上述警戒状态转变。

3.如权利要求2所述的自动交易装置，

上述不正当检测部，进一步，确认从上述主体控制部对上述个人信息控制部或上述现金控制部的处理的请求所使用的电文的结构，在检测到上述处理的请求所使用的标准接口为不正当的标准接口的情况下，使上述自动交易装置向上述警戒状态转变。

4.如权利要求3所述的自动交易装置，

还具备预先将方法信息与处理信息建立关联地加以存储的存储部，上述方法信息是与用来检测上述不正当程序、上述不正当访问、以及上述不正当的标准接口中的至少任一个的方法有关的信息，上述处理信息是与上述警戒状态下执行的处理的内容有关的信息，上述方法信息和上述处理信息是为了进行上述不正当检测部中的处理而使用的信息。

5.如权利要求1至4中的任一项所述的自动交易装置，

上述不正当检测部，还在对上述个人信息控制部或上述现金控制部的处理的请求为未知种类的情况、对上述个人信息控制部或上述现金控制部的处理的请求为从未知的发行源发行的情况、以及对上述个人信息控制部或上述现金控制部的处理的请求为未知的电文结构的情况中的至少任一情况下，学习该请求。

6.如权利要求1至4中的任一项所述的自动交易装置，

在上述警戒状态下执行的处理为上述自动交易装置的休止处理以及上述自动交易装置中的各处理的跟踪记录处理中的任一个。

7.如权利要求4所述的自动交易装置，

还具备用来接受来自上述自动交易装置的管理者的上述处理信息的变更的主管人员操作部。

8.如权利要求3所述的自动交易装置，

上述不正当检测部还在检测到上述不正当程序、上述不正当访问、以及上述不正当的标准接口中的至少任一个的情况下，对上述外部装置通知检测到了不正当这一内容。

9.一种现金自动交易系统，

具备自动交易装置和服务器；

上述自动交易装置具备：

主体控制部，控制上述自动交易装置的各部；

个人信息控制部，根据来自上述主体控制部的请求，获取使用者的个人信息；以及

现金控制部，根据来自上述主体控制部的请求，进行现金的授受，

上述服务器具备不正当检测部，该不正当检测部基于上述个人信息控制部或上述现金控制部接收到的处理的请求的种类以及一连串的交易处理中的上述自动交易装置的内部状态，检测上述处理的请求是否为由上述自动交易装置内在的不正当程序提出的请求，

上述个人信息控制部和上述现金控制部在接收到来自上述主体控制部的上述处理的请求之际，向上述服务器询问上述处理的请求是否为由上述不正当程序提出的请求，

上述不正当检测部在检测到上述处理的请求为由上述不正当程序提出的请求的情况下，使上述自动交易装置向与能够进行通常的交易的通常状态不同的警戒状态转变。