JP2000020631A

JP2000020631A - 電子マネー保守管理システムおよびこれに使用するｉｃカード

Info

Publication number: JP2000020631A
Application number: JP19981198A
Authority: JP
Inventors: Koji Daikyo; 康次大饗; Susumu Imai; 奨今井
Original assignee: Hitachi Maxell Ltd
Current assignee: Maxell Holdings Ltd
Priority date: 1998-06-30
Filing date: 1998-06-30
Publication date: 2000-01-21

Abstract

(57)【要約】（修正有）【課題】電子マネーシステム及び構成要素のテストを情
報の機密性を保ちつつ、電子マネーシステムの保守管理
におけるセキュリティの向上を図る。【解決手段】保守をする人と特定の権限を持つ人以外は
アクセスができないアクセス不可領域７１を有するメモ
リと、このアクセス不可領域に格納された個々の保守時
点に対応してその保守固有に決定される可変データ及び
ＩＣカード固有に与えられる識別情報のデータそしてテ
ストデータ発生のための所定の第１のデータと、可変デ
ータと第１のデータ、そして識別情報のデータと第１の
データとに基づいてそれぞれに第２のデータをテストデ
ータとして生成してアクセス不可領域に格納するテスト
データ生成手段とを有する貨幣情報を扱うＩＣカード
と、このＩＣカードから送出された第２のデータを受け
て装置の動作テストを行うテストプログラムを内部に有
する装置とを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電子マネーシス
テム保守管理システムおよびこれに使用するＩＣカード
に関し、詳しくは、電子マネーシステムのシステムテス
ト及び構成要素のテストを情報の機密性を保ちつつ、電
子マネーシステムの保守管理におけるセキュリティの向
上を図ることができるような保守管理システムおよび動
作テスト用ＩＣカードに関する。

【０００２】

【従来の技術】近年、インターネットの普及に伴い、ネ
ットワーク上での電子商取引や、ＩＣカードを用いた電
子マネーシステムが注目されている。特に、ＩＣカード
を用いた電子マネーシステムでは、ＡＴＭ端末装置（端
末装置を以下端末という）をキャッシュレス化すること
が可能になることから従来のＡＴＭ端末のセキュリティ
ー上の問題点であった現金の出し入れを不要とすること
ができるので普及が期待されている。

【０００３】こうした電子マネーに関わるシステムを実
際に運用していくには、信頼性のきわめて高いシステム
が要求される。システムの信頼性を高めるための技術と
しては、電子マネーをバツクアップする手法として、例
えば、特開平６−１９９４５号公報には、２台の取引用
端末と３枚のＩＣカードを用いての電子商取引の取引結
果を、取引用端末ごとメモリーにバックアップする方法
が開示されている。また、特開平６−２０１０６号公報
には、通信回線を通じてシステムのホストコンピュータ
ーに接続される取引用端末と２枚のＩＣカードを用いて
の電子商取引の取引結果を、取引用端末からホストコン
ピューターへと転送し、ホストコンピューターのメモリ
ーにバックアップする方法が開示されている。さらに特
開平９−１７９９２１には、電子財布としての取引用Ｉ
Ｃカード及び金銭出納の履歴を記録したバックアップ用
ＩＣカードを備える電子商取引情報のバックアップ方法
が開示されている。

【０００４】

【発明が解決しようとする課題】しかし、このような電
子マネーシステムを保守の観点からみると、従来の技術
では、電子マネーシステム自体の動作チェックを行うと
いう点から十分な信頼性を確保できるものとはなってい
ないのが現状である。なぜなら、電子マネーシステムに
利用されるＡＴＭ端末等の装置の保守をする場合には、
擬似的にもＩＣカードを用いて動作テストを行うことが
通常であるため、動作テスト用のＩＣカード（以下保守
カード）の不正使用が生じるためである。なお、この明
細書および特許請求の範囲において保守とは、装置の点
検として動作テストのみを行う場合も含むものである。

【０００５】この点からすれば、電子マネーシステムに
関する動作テストについてその情報の機密性を保ちつ
つ、効率的に行う電子マネーシステムを構築することは
難しい問題である。すなわち、電子マネーシステム以外
のシステムで用いられている動作テストを、電子マネー
システムのシステムテスト及び構成要素のテストに適用
しようとすると、動作テストを実施する者のアクセス権
獲得及び動作テスト内容の機密保持の問題と保守ＩＣカ
ードの不正使用の問題が生ずるためである。そのため、
動作テストを実施する者のアクセス権獲得や保守ＩＣカ
ードの管理は、電子マネーシステムで扱う高度に機密性
を保つ必要のある個人情報が外部に対して漏洩すること
を防ぐためにも厳格に管理される必要がある。

【０００６】しかし、動作テスト実施者のその人を確認
のための認証を従来のように暗証番号の入力等によるコ
ード入力により行うのでは、セキュリティの点からみて
信頼性が低下せざるを得ない。しかも、保守ＩＣカード
が不正使用されたときには、保守ＩＣカードの内容自体
が改竄されてしまう場合が少なくない。また、紛失して
出てこないこともあり得る。この発明の目的は、このよ
うな従来技術の問題点を解決することであり、電子マネ
ーシステムのシステムテスト及び構成要素のテストを情
報の機密性保ちつつ、電子マネーシステムの保守管理に
おけるセキュリティの向上を図ることができる電子マネ
ー保守管理システムおよび保守用ＩＣカードを提供する
ことにある。

【０００７】

【課題を解決するための手段】このような目的を達成す
るためのこの発明の保守用ＩＣカードの構成は、特定の
権限を持つ人がアクセス可能で保守をする人を含めてユ
ーザ一般がアクセスできないアクセス不可領域を有する
メモリと、このアクセス不可領域に格納された個々の保
守時点に対応してその保守固有に決定される可変データ
およびアクセス不可領域に格納されたＩＣカード固有に
与えられる識別情報のデータそしてアクセス不可領域に
格納されたテストデータ発生のための所定の第１のデー
タと、可変データと第１のデータ、そして識別情報のデ
ータと第１のデータとに基づいてそれぞれに第２のデー
タをテストデータとして生成してアクセス不可領域に格
納するテストデータ生成手段とを有する貨幣情報を扱う
ものである。また、この発明の電子マネー保守管理シス
テムの構成は、前記の保守用ＩＣカードと、このＩＣカ
ードから送出された第２のデータを受けて装置の動作テ
ストを行うテストプログラムを内部に有する装置とを備
えるものである。

【０００８】

【発明の実施の形態】このような構成の電子マネーシス
テムの保守管理システムでは、保守ＩＣカードに記録さ
れたテストの際に使用された第２のデータと第１のデー
タとから個々の保守時点に対応してその保守固有に決定
される可変データと識別データとを得ることができるの
で、識別データあるいは識別データや可変データが改竄
されたとしてもこれらをテストデータから再生すること
ができる。これにより問題が発生したときにどの時点で
誰の保守ＩＣカードを利用して電子マネーシステムにア
クセスしたかの追跡が可能になる。特に、保守ＩＣカー
ドに記録されたテストデータを管理装置側に伝送するよ
うにすれば、たとえ保守ＩＣカードが紛失状態にあった
としても使用された保守ＩＣカードの識別データとそれ
が使用された日時等の保守時固有の可変データとを割り
出すことができる。

【０００９】なお、改竄される場合には識別データや使
用日時などがその後の追求を防止するために改竄される
と考えられ、その都度、ランダムに発生するテストデー
タまでの改竄は行われ難いので、この点で有効な手段と
なる。このように、この一見ランダムに発生する不確定
な情報であるテストデータから個々の保守時点に対応し
てその保守固有に決定される可変データと識別情報を得
る二重のシステムを採ることにより、電子マネーシステ
ムの保守管理システムのセキュリティの向上を図ること
ができる。

【００１０】

【実施例】図１は、この発明の電子マネー保守管理シス
テムに使用されるＩＣカードの説明図であり、図２は、
ＩＣカードが装着されるＡＴＭのブロック図、図３は、
テストデータ生成の処理説明図、図４は、電子マネーシ
ステムの保守管理システムの全体的な構成を示すブロッ
ク図である。図１において、１４は、保守ＩＣカードで
あって、保守ＩＣカード１４は、ＩＣモジュール９０を
内蔵し、必要に応じて個人を識別するための顔写真、磁
気ストライプ、エンボス領域等を備えたカードである。
ＩＣモジュール９０は、ＡＴＭ２０（図２参照）のＩＣ
カードリーダライタ９の端子と接触するＩ／Ｏポート部
５０を有していて、このＩ／Ｏポート部５０にはグラン
ド端子（ＧＮＤ）５１、データ入出力ポート（Ｉ／Ｏ）
５２、クロック信号端子（ＣＬＫ）５３、リセット信号
端子（ＲＳＴ）５４、電源端子Ｖcc５５などが設けられ
ている。保守ＩＣカード１４は、グランド（ＧＮＤ）５
１、データ入出力５２、クロック信号５３、リセット信
号５４、回路電力である電源端子Ｖcc５５に関わる端子
部分からＩＣモジュール９０におけるＣＰＵ８０を介し
て、ＲＯＭ６０、ＲＡＭ６１、ＥＥＰＲＯＭ７０へと、
回路電力及びクロック信号の供給、データの入出力、リ
セット信号等の入力が行われる。なお、前記の各回路
は、相互にバス等により接続されている。

【００１１】ＩＣモジュール９０のＥＥＰＲＯＭ７０に
は、ユーザアクセス不可領域７１とユーザ領域７２とが
設けられている。ユーザアクセス不可領域７１には、銀
行端末電話番号７１ａ、回路設定７１ｂ、エラー内容保
持等の保守に関する保守情報７１ｃ、そして、テストプ
ログラム７１ｄが格納されている。これらの情報は、保
守員も含めて一般の利用者には機密になっている。保守
情報７１ｃには、ＩＣカードの識別番号ＩＤと保守時点
の日時の情報として年月データＹＭ，日時データＤＴ、
分秒データＭＳがあって、さらにテスト結果を記録する
テストデータテーブルＴＢＬ（図４（ｅ）参照）などが
設けられている。これらのうち年月データＹＭ，日時デ
ータＤＴ、分秒データＭＳは、テストのときの現実の日
付と時間とであり、テストデータテーブルＴＢＬのテス
トデータは、そのときテストプログラム７１ｄにより生
成されたテストデータが記憶される。また、ＲＯＭ６０
には、ＣＰＵ８０が実行するシステムプログラム、テス
トデータ書込みプログラム、照合プログラム等が格納さ
れている。なお、ＲＡＭ６１は作業領域である。

【００１２】ところで、ＡＴＭ２０は、ここでは、電子
マネー事業者が小売り業者の店舗に設置し、利用者はこ
のシステムを利用して銀行口座の資金を電話回線に通し
て、手元の電子マネー対応ＩＣカードに引落とし及び預
入れを行なうものとする。図２を用いてＡＴＭ２０の構
成を説明する。図２において、１は、システム全体を制
御するマイクロコンピュータ（いわゆるマイコン）であ
る。２は、ユーザーからの操作を受付けるためのボタン
群で構成されたキーボード、３は、預入れ、引出しなど
の処理結果をレシートとして印字するためのサーマルプ
リンタ、４は、ドットマトリックス方式で文字列や絵を
表示する部分と、予め用意された図形（アイコン）を表
示する部分で構成された液晶ディスプレイである。５
は、文字列の横を点灯し、利用者の操作手順を案内する
ＬＥＤ、６は、操作音や警告音などを発生させる圧電ブ
ザーである。７は、電話回線を通じて銀行ホスト端末８
と接続するモデム、９は、ＩＣカードと電子マネーの情
報交換をするＩＣカードリーダライタであり、１０は、
ＩＣカードリーダライタに使用可能なＩＣカードであ
る。

【００１３】１１は、マイコン１へプログラム領域とＩ
Ｃカードデータ保持バッファ、プリンタ印刷用バッフア
等のバッブア領域を確保するためのＲＡＭ、１２は、制
御プログラム及びアプリケーションプログラム、ＡＴＭ
２０の動作テストプログラムとして保守プログラム３５
４（図４参照）を搭載したＲＯＭである。１３は、各装
置を駆動させるための電源回路で±２４Ｖと±５Ｖを供
給する。保守プログラム３５４は、保守ＩＣカード１４
からコマンドと所定のテストデータ（テストパラメー
タ）を受けてＡＴＭ２０の動作テストを実行し、その結
果をディスプレイの表示するとともに合否結果を保守Ｉ
Ｃカード１４に送出する処理をする。１５は、リアルタ
イム制御で用いるクロック信号用のリアルタイムクロッ
ク発生器である。キーボード２、サーマルブリンタ３、
液晶ディスプレイ４、ＬＥＤ５、圧電ブザー６、モデム
７、ＩＣカードリーダライタ９、ＲＡＭ１１、ＲＯＭ１
２およぴリアルタイムクロック発生器１５は、マイコン
１に接続されており、マイコン１によって制御される。
保守ＩＣカード１４は、ＩＣカード１０と同型である
が、前記したように、保守ＩＣカード１４内のＩＣモジ
ュール９０にシステムの保守に関するテストプログラム
７１ｄ等が組み込まれている。

【００１４】次に、図３を用いて、保守ＩＣカード１４
によるテストデータ生成処理について説明する。保守Ｉ
Ｃカード１４がＡＴＭ２０に装着され、保守員が所定の
キーコードを入力することにより保守ＩＣカード１４に
格納されたテストプログラム７１ｄが起動される。この
テストプログラム７１ｄには、先に説明した保守情報７
１ｃの領域に識別番号ＩＤが格納されており、テストプ
ログラム７１ｄは、この識別番号ＩＤと入力時の時刻デ
ータ（この発明における可変データに相当）からテスト
コマンドで使用するテストデータを生成する。すなわ
ち、保守ＩＣカード１４は、先に説明したように、図３
（ａ）に示した、識別番号ＩＤ、年月データＹＭ、日時
データＤＴ、分秒データＭＳが、保守ＩＣカード１４に
搭載されたチツプ（ＩＣモジュール９０）内部の保守情
報７１ｃの領域に格納されていて、この領域は、通常の
動作テスト実施者にはアクセスできないアクセス不可な
データ領域である。ている。図３（ａ）の例において
は、識別番号ＩＤは０１１３であり、年月データＹＭは
９８１２、日時データＤＴは２５１３、分秒データＭＳ
は４３８７であって、１９９８年１２月２５日１３時４
８分３７秒に動作テストが開始されたことを示してい
る。

【００１５】通常の動作テスト実施者は、保守ＩＣカー
ド１４の識別番号ＩＤが０１１３であることを知らされ
てはおらず、通常スクランブル変換してＩＤ＝０１１３
になる暗唱番号がキーボード２から入力される。そこ
で、まず、ＡＴＭ２０に保守ＩＣカード１４を挿入して
与えられた暗唱番号を入力し、それのスクランブル変換
された番号が０１１３に変換されて照合される。その結
果、一致したときに保守ＩＣカード１４の動作テスト実
施者は、ＡＴＭ２０のアクセス権を獲得する。このよう
な識別番号ＩＤ＝０１１３等は、保守ＩＣカード１４内
部のデータ領域に記録されているため、通信回線を通じ
て外部に漏れる心配はない。

【００１６】ＡＴＭ２０側に搭載された動作テストプロ
グラム３５４がテストデータとして受けるストパラメー
タの有効値の範囲を、例えば、図３（ｂ）に示すよう
に、０から４００まで数値とする。したがって、無効な
数値は、０から４００までの範囲を超えた数値であり、
テストデータとしては有効な数値と無効な数値を発生し
てそれぞれについて正しい回答をＡＴＭ２０側から得
る。テストプログラム７１ｄは、このような有効、無効
なテストデータをランダムに算出してＡＴＭ２０側にテ
ストコマンドとともに送出する。もちろん、このテスト
には、その１つに金銭の処理状態をテストするような事
項も含まれる。テストコマンドを受けたＡＴＭ２０は、
テストコマンドに従ってテストプログラム３５４を起動
して実行し、送出されたテストデータに応じて合否を示
すテスト結果を保守ＩＣカード１４に送出し、これを保
守ＩＣカード１４が受けてテストプログラム７１ｄが保
守情報７１ｃの領域にそれを記憶する。

【００１７】そこで、まず、テストプログラム７１ｄの
テストデータの生成について説明する。なお、この発明
では、生成されたテストデータが使用された保守ＩＣカ
ード１４の特定に重要な役割を果たす。さて、より少な
いテストデータでテストをするための１つに同値分割法
がある。これを適用してテストをするためには、テスト
データとして、先に説明した有効値である０から４００
までの数値１つ以上と、無効値である０未満あるいは４
０１以上の数値１つ以上を抽出すれぱよい。ここでは、
一回のＡＴＭ２０の制御動作テストにおいては、有効値
として０から４００までの数値１つと、無効値として４
０１以上の数値１つを抽出する手法をその例として説明
する。図３（ｃ）に示したように、４桁の整数の最大値
である９９９９を、有効値の最大値である４００で割る
と、約２５となる。なお、４桁の整数の最大値９９９９
は、先の識別番号ＩＤ、年月データＹＭ、日時データＤ
Ｔ、分秒データＭＳがここではすべて４桁であることに
よる。これらの採る最大値が９９９９になるからであ
る。そこで、ここでは、この２５を予め保守ＩＣカード
１４の保守情報７１ｃの中にテストデータ算出のための
数値Ａとして設定する。この数値Ａがこの発明の第１の
データに相当する。

【００１８】テストプログラム７１ｄは、まず、有効値
の最大値４００を、前記予め保守ＩＣカード１４内に秘
密に格納してある数値Ａで割る。これは１６となる。割
り切れない数値を設定しているときには整数部分を採
る。この１６を保守情報７１ｃに数値Ｂとして格納す
る。通常の動作テスト実施者は、保守ＩＣカード１４
に、数値Ａである２５と、これにより算出される数値Ｂ
である１６が格納されていることは全く知らされない。
ここでのテストプログラム７１ｄによるテストデータの
算出方法は、これら数値Ａ，Ｂを用いて図３（ｄ）で示
すように次のような形で行われる。

【００１９】ここで、仮に、２０回のテストをしたとす
る。この場合、特定の回数に行ったテストに関しては、
一見ランダムに抽出したかのように見えても、実は、前
記識別番号ＩＤ、年月データＹＭ、日時データＤＴ、分
秒データＭＳから算出した有効値を用いて行われる。具
体的には図３（ｄ）においては、１回目と２回目のテス
トは識別番号ＩＤを数値Ａで割った結果を用いる。すな
わち、４桁の識別番号ＩＤである０１１３を、数値Ａで
ある２５で割ると、４余り１３となるが、１回目のテス
トデータとしてはこれの整数部の４を設定する。２回目
のテストデータとしては、余りである１３に数値Ｂであ
る１６を乗ずることによって２０８（＝１３×１６）を
設定する。３回目と４回目のテストは、年月データＹＭ
を数値Ａで割った結果を用いる。すなわち、年月データ
ＹＭである９８１２を、数値Ａである２５で割ると、３
９２余り１２となるが、３回目のテストデータとしては
３９２を設定する。４回目のテストデータとしては、余
りである１２にさらに数値Ｂである１６を乗ずることに
よって設定し、結局１９２（＝１２×１６）を設定す
る。

【００２０】以下同様に、５回目と６回目は日時データ
ＤＴを数値Ａで割った結果を、７回目と８回目は分秒デ
ータＭＳを数値Ａで割った結果を、それぞれに用いる。
このことによって、有効値となるテストデータを擬似的
にランダムな形で選択して設定することができる。これ
ら１回目から６回目までに生成されたテストデータは、
保守情報７１ｃの領域に図３（ｅ）に示すテストデータ
テーブルＴＢＬの形態で記録される。このようなテスト
データは、数値Ａと数値Ｂを知らない通常の動作テスト
実施者にとっては、あたかもランダムに抽出したテスト
データであるかのように見えるが、実際には識別番号Ｉ
Ｄ、年月データＹＭ、日時データＤＴ、分秒データＭＳ
に関わる情報を含んでいる。これは、通常の動作テスト
実施者を管理する上位の管理者にとって、後述する機密
管理の点において有益な情報になる。

【００２１】なお、無効な数値の設定に関しては、例え
ば、設定した有効値に４００を加える等の演算で設定す
ればよい。こうして設定されたテストデータとは別に、
乱数によって発生させたテストデータを６回目以上に混
在させることにより、よりランダムに抽出した数値を設
定できる。なお、前記の識別番号ＩＤ、年月データＹ
Ｍ、日時データＤＴ、分秒データＭＳにより生成するテ
スト数値データは、１回目から６回目に限定される訳で
はなく、別のテスト回に分散させてもよいことはもちろ
んである。以上の場合には、一見ランダムに抽出したか
のように見えても、実は、前記識別番号ＩＤ、年月デー
タＹＭ、日時データＤＴ、分秒データＭＳ等に関わる情
報を含むテストデータを設定できる。また、ここでは、
テストプログラム７１ｄによるテストデータの算出方法
として、同値分割法を適用したテストデータの設定を説
明したが、限界値付近の数値を用いること等により、同
値分割法と限界値分析法を組み合わせて行なうことは容
易に行えることである。

【００２２】この図３で説明したテストプログラム７１
ｄによるテストデータの算出処理が、通常の動作テスト
実施者を管理する上位の管理者にとって、機密管理の点
において有益であることを説明する。通常の動作テスト
実施者を管理する上位の管理者は、数値Ａと数値Ｂを用
いることによって、動作テストに使用されたテストデー
タから識別番号ＩＤ、年月データＹＭ、日時データＤ
Ｔ、分秒データＭＳを算出できる。しかも、数値Ａと数
値Ｂとは、４桁の最大値と有効範囲値とから算出できる
決められたものであるので特別な数値ではない。なお、
これらの特別な数値である場合には、それをテストデー
タとともに伝送するようにしておけばよい。具体的な算
出方法としては、保守情報７１ｃの領域に図３（ｄ）に
示すテストデータテーブルＴＢＬの内容を読出して行
う。図３（ｄ）の例では、１回目のテストデータである
４と、２回目のテストデータである２０８と、数値Ａで
ある２５と、数値Ｂである１６とから、２０８／１６＝
１３を計算して余り１３を得て、４×２５＋１３＝１１
３を計算することによって、識別番号ＩＤである０１１
３を求めることができる。

【００２３】このようにすれば、通常の動作テスト実施
者にとっては乱数で設定されたに見えるテストデータか
ら、通常の動作テスト実施者を管理する上位の管理者
は、識別番号ＩＤ、年月データＹＭ、日時データＤＴ、
分秒データＭＳといった情報が算出できる。これにより
保守を行った日時と人の情報を管理情報として得ること
ができる。これらは、通常の動作テスト実施者による、
保守ＩＣカード１４の管理のずさんさや、不正や、異常
等を防止すべく管理する点から有益な情報になる。特
に、動作テストが行われたときに、テストデータが、回
線等を介して管理装置側、例えば、図２の銀行ホスト端
末８側に伝送され、記憶されることにより非常に有効に
なる。まず、保守管理者当人が保守ＩＣカード１４を悪
用して不正をしたときには、保守ＩＣカード１４の内容
が改竄されたとしても、不正が行われた日時と保守の日
時の情報とから誰が不正をしたか割り出すことができ
る。特に、テストデータが、回線等を介して管理装置側
に伝送され、記憶されていれば、保守ＩＣカード１４が
紛失状態にあってもいつ誰のカードでＡＴＭ２０がアク
セスされてテストが行われたかが分かる。もちろん、こ
のようなテストにおいては、金銭に関係するデータのテ
ストがあるので、金銭データの内容が改竄され得るの
で、それの改竄の記録管理が可能になる。

【００２４】図４に従って、保守ＩＣカード１４とＡＴ
Ｍとの全体的な動作について説明する。ＡＴＭ２０のＲ
ＯＭ１２は、システムエリア３５１、アプリケーション
プログラム３５２、制御ブログラム３５３、保守プログ
ラム３５４等を有する構成となっている。先に説明した
ように、保守プログラム３５４は、保守ＩＣカード１４
からコマンドと所定のテストデータ（テストパラメー
タ）を受けてＡＴＭ２０の動作テストを実行し、その結
果をディスプレイの表示するとともに合否結果を保守Ｉ
Ｃカード１４に送出する。もちろん、この場合には、金
銭に関するテストも可能である。このような金銭におけ
るテストについては、テストできる金額について制限す
ることが有効な手段の１つになる。また、保守ＩＣカー
ド１４に限らず、通常のＩＣカードにあっても記憶でき
る金額について１００万程度までにすると被害を低くく
い止めることができる。

【００２５】さて、保守ＩＣカード１４がＡＴＭ２０の
ＩＣカードリーダライタ９に挿入されると、先に説明し
たように、保守ＩＣカード１４の利用者は、暗唱コード
等をキーボード２から入力することにより、電子マネー
システムのアクセス権を獲得し、これによりＡＴＭ２０
のＲＯＭ１２の中にある保守プログラム３５４が起動さ
れる。保守プログラム３５４の実行中に、システムエリ
アに関わるチェツクを行う必要がある場合、システムエ
リアに位置する機密性の高いデータは、保守ＩＣカード
１４に伝送され、保守ＩＣカード１４内部で処理を行
う。具体的には、例えば、あらかじめ保守ＩＣカード１
４内のＥＥＰＲＯＭに保持してある電話番号と回線設定
の情報３０１と、ＡＴＭシステム側の電話番号や回線設
定の情報３０２ａを保守ＩＣカード１４内で処理３０４
において比較を行なう。比較の結果のうちを正常、異常
の判定結果のみをシステムに返し、異常な場合の詳細な
比較結果データ３０３は、ＡＴＭシステム側には返さず
保守ＩＣカード１４内で保持する。このようにすること
が、テスト結果の機密性を保つという点で好ましい。保
持した結果は、後にシステム異常が発生した場合、電子
マネー事業者により分析し、原因究明の手助けとする。

【００２６】さらにシステムテストは、システムに組み
込まれている各装置の制御プログラム自体のテストを行
う。これは、システムがアプリケーションプログラムの
バージョンアップや変更などで制御プログラムに影響
し、装置の異常動作を防止するためである。制御プログ
ラムは、アプリケーションによりパラメータ値を与えら
れるが、すべてのパラメータ値をテスト範囲とするには
広すぎるため、先に説明したように数値を抽出して行な
うことが必要になる。そこで、テストデータとして数値
を保守ＩＣカード１４で生成してＡＴＭ２０の保守プロ
グラム３５４がこれを受ける形を採る。このような数値
によるテスト技法としては、同値分割法あるいは限界値
分析法を用いて行うとよい。このことは、例えば、玉井
哲夫、三嶋良武、松田茂広著、共立出版株式会社発行、
「ソフトウェアのテスト技法」の第２章に示されてい
る。

【００２７】先の同値分割法においては、有効であるパ
ラメータ値と無効でエラーになるパラメータ値にわけて
それぞれの数値１つを選んで行うことができる。また、
一方、限界値分析法においては、有効な値と無効な値の
境界の数値を選ぶことになる。特に同値分割法と限界値
分析法を組み合わせて行なうことが望ましい。そこで、
動作テストとして、同値分割法と限界値分析法を組み合
わせて行なった場合についてさらに詳細に説明する。Ａ
ＴＭ２０の構成要素の動作テストとして、リアルタイム
クロック発生器１５への日時データ設定関数のパラメー
タテストを、同値分割法と限界値分析法を組み合わせて
行なった場合に、リアルタイムクロック発生器１５は、
通常、年、月、日、曜日、時、分、秒の７項目の日時デ
ータを持つ。目時データの組み合わせをすべてテストす
るには、設定可能な有効値で２２５億通りあり、無効値
を加えればさらに大きくなる。これは短時間で行なうテ
ストとしては不可能である。そこで、日時データを同値
分割法と限界値分析法を組み合わせて抽出する。秒設定
データは、設定有効範囲（０から５９まで）と無効範囲
（一１以下、６０以上）に分かれる。

【００２８】同値分割法を適用した例として有効値３０
と無効値−２０、８０を選び出した。この際、有効値３
０と無効値−２０、８０の選択は、電子マネーシステム
のシステムテスト及び構成要素のテストを行うためのテ
ストデータを設定する手段を備えた保守ＩＣカード１４
のＩＣチップ内部で設定する。また、限界値分析を適用
した例として、限界値は−１、０、５９、６０を選び出
す。ここにおいても、選択した限界値の−１、０、５
９、６０は、電子マネーシステムのシステムテスト及び
構成要素のテストするためのテストデータを設定する手
段を備えた保守ＩＣカード１４のＩＣチップ内部で設定
するものである。これら計７個のデータを秒設定データ
としてテストを行なう。これによりリアルタイムクロッ
ク発生器１５におけるパラメータテストを７０万通りに
集約することができる。つまり、保守ＩＣカード１４
が、電子マネーシステムのシステムテスト及び構成要素
のテストするためのテストデータを設定する手段を備え
る構成を採ることにより、保守ＩＣカード１４内部で動
作テストで用いるテスト用パラメータの設定を行うこと
ができ、テスト用パラメータの設定に関して、外部に対
して漏洩しないような機密性の高い設定が可能である。

【００２９】

【発明の効果】以上説明したように、この発明にあって
は、保守ＩＣカードに記録されたテストの際に使用され
た第２のデータと第１のデータとから個々の保守時点に
対応してその保守固有に決定される可変データと識別デ
ータとを得ることができるので、識別データあるいは識
別データや可変データが改竄されたとしてもこれらをテ
ストデータから再生することができる。これにより問題
が発生したときにどの時点で誰の保守ＩＣカードを利用
して電子マネーシステムにアクセスしたかの追跡が可能
になる。特に、保守ＩＣカードに記録されたテストデー
タを管理装置側に伝送するようにすれば、たとえ保守Ｉ
Ｃカードが紛失状態にあったとしても使用された保守Ｉ
Ｃカードの識別データとそれが使用された日時等の保守
時固有の可変データとを割り出すことができる。その結
果、一見ランダムに発生する不確定な情報であるテスト
データから個々の保守時点に対応してその保守固有に決
定される可変データと識別情報を得る二重のシステムを
採ることにより、電子マネーシステムの保守管理システ
ムのセキュリティの向上を図ることができる。

【図面の簡単な説明】

【図１】図１は、この発明の電子マネー保守管理システ
ムに使用されるＩＣカードの説明図である。

【図２】図２は、ＩＣカードが装着されるＡＴＭのブロ
ック図である。

【図３】図３は、テストデータ生成の処理説明図であ
る。

【図４】図４は、電子マネー保守管理システムの全体的
な構成を示すブロック図である。

【符号の説明】

１…マイクロコンピュータ（マイコン）、２…キーボー
ド、３…サーマルプリンタ４…液晶デイスプレイ、５…ＬＥＤ表示装置（ＬＥ
Ｄ）、６…圧電ブザー，７…モデム、８…銀行ホスト端
末装置、９…ＩＣカードリーダライタ，１０…ＩＣカー
ド，１１…ＲＡＭ，１２…ＲＯＭ，１３…電源回路，１
４…保守ＩＣカード，１５…リアルタイムクロック発生
器、６０…ＲＯＭ、６１…ＲＡＭ、７０…ＥＥＰＲＯ
Ｍ、７１…ユーザアクセス不可領域、７１ａ…銀行端末
電話番号、７１ｂ…回路設定に関する情報、７１ｃ…保
守情報、７１ｄ…テストプログラム、７２…ユーザ領
域、８０…ＣＰＵ、９０…ＩＣモジュール、３５１…シ
ステムエリア、３５２…アブリケーションプログラム、
３５３…保守プログラム、３５４…保守プログラム、３
０３…詳細な比較結果データ。ＩＤ…ＩＣカードの識別
番号、ＹＭ…年月データ、ＤＴ…日時データ、ＭＳ…分
秒データ、ＴＢＬ…テストデータテーブル。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｇ０７Ｄ 9/00 ４５６Ｇ０６Ｋ 19/00 ＪＮＰＦターム(参考） 3E040 AA03 BA20 CA08 DA01 DA10 FK09 5B035 AA14 BB09 BC00 CA33 CA39 5B055 BB03 HA02 HA10 HA12 KK05 NA06 NA08 NF01 5B058 CA27 KA28 KA33 5B085 AC08 AE02 AE06 AE09 AE10 AE11

Claims

【特許請求の範囲】

【請求項１】特定の権限を持つ人がアクセス可能で保守
をする人を含めてユーザ一般がアクセスできないアクセ
ス不可領域を有するメモリと、このアクセス不可領域に
格納された個々の保守時点に対応してその保守固有に決
定される可変データおよび前記アクセス不可領域に格納
されたＩＣカード固有に与えられる識別情報のデータそ
して前記アクセス不可領域に格納されたテストデータ発
生のための所定の第１のデータと、前記可変データと前
記第１のデータ、そして前記識別情報のデータと前記第
１のデータとに基づいてそれぞれに第２のデータをテス
トデータとして生成して前記アクセス不可領域に格納す
るテストデータ生成手段とを有する貨幣情報を扱うＩＣ
カードと、このＩＣカードから送出された前記第２のデータを受け
て装置の動作テストを行うテストプログラムを内部に有
する装置とを備える電子マネー保守管理システム。
【請求項２】前記可変データは、保守時点の日時であ
り、前記テストデータ生成手段は、テストデータとして
数値を生成するものであり、前記テストプログラムは、
前記数値を受けて所定の動作テストを行う請求項１記載
の電子マネー保守管理システム。
【請求項３】前記数値は、同値分割方法及び限界値分析
法のうち、少なくとも一方を用いて生成され、生成され
た前記テストデータが管理装置側に伝送され記憶される
請求項３記載の電子マネー保守管理システム。
【請求項４】特定の権限を持つ人がアクセス可能で保守
をする人を含めてユーザ一般がアクセスできないアクセ
ス不可領域を有するメモリと、このアクセス不可領域に
格納された個々の保守時点に対応してその保守固有に決
定される可変データおよび前記アクセス不可領域に格納
されたＩＣカード固有に与えられる識別情報のデータそ
して前記アクセス不可領域に格納されたテストデータ発
生のための所定の第１のデータと、前記可変データと前
記第１のデータ、そして前記識別情報のデータと前記第
１のデータとに基づいてそれぞれに第２のデータをテス
トデータとして生成して前記アクセス不可領域に格納す
るテストデータ生成手段とを有する動作テスト用ＩＣカ
ード。