JP2017021693A - 自動取引装置 - Google Patents

Abstract

【課題】通常は第１認証のみを行ない、更に高いセキュリティが必要と思われるときに第２認証を行ない、不正な保守員の保守員操作を抑止することができる自動取引装置を提供する。
【解決手段】入力された認証情報に基づく認証成功後に保守モードに移行して所定の保守処理を行う保守処理部２１２を備える自動取引装置１において、保守処理部が、入力された第１認証情報に基づく第１認証処理を行う認証部５１と、第１認証部による第１認証成功の際に、第２認証の要否を判断する第２認証要否判断部５２とを有し、認証部が、第２認証要否判断部により第２認証を要すると判断されると、保守モードに移行せずに第２認証情報の入力を要求する。
【選択図】図１

Description

本発明は、自動取引装置に関し、例えば、金融機関や駅や店舗等に設けられているＡＴＭ（Automated Teller Machine）等の自動取引装置に適用し得るものである。

特許文献１には、自動取引装置の保守作業のために保守員がパスワードを入力し、パスワード認証が成功したときに自動取引装置は保守モードに移行し、保守員が保守操作を行うことが記載されている。

例えば、外国等においては、セキュリティを向上させるために、正規の保守員のみにパスワードを発行している。これにより、保守用のパスワードを知り得る者を制限することで、セキュリティを向上させている。

特開２００７−０１８３９８号公報

ところで、自動取引装置を保守する者は、正規の保守員のみだけではなく、その正規の保守員を補助する補助者も立ち会って複数人体制で行うことがある。

そのような場合、正規の保守員により入力されたパスワードを補助者が覗き見等をしてパスワードを知り得ることがあり、パスワードを知った補助者による不正なログインがなされるおそれが生じ得る。

自動取引装置の保守操作への移行は迅速な対応が求められるため、正常時には保守員が迅速にログインすることが求められる。その一方で、不正なログインと思われる場合には、厳格な認証が必要となる。

そのため、通常は第１認証のみを行ない、更に高いセキュリティが必要と思われるときに第２認証を行ない、不正な保守員の保守員操作を抑止することができる自動取引装置が求められている。

かかる課題を解決するために、本発明に係る自動取引装置は、入力された認証情報に基づく認証成功後に保守モードに移行して所定の保守処理を行う保守処理部を備える自動取引装置において、保守処理部が、入力された第１認証情報に基づく第１認証処理を行う認証部と、第１認証部による第１認証成功の際に、第２認証の要否を判断する第２認証要否判断部とを有し、認証部が、第２認証要否判断部により第２認証を要すると判断されると、保守モードに移行せずに第２認証情報の入力を要求することを特徴とする。

本発明によれば、通常は第１認証のみを行ない、更に高いセキュリティが必要と思われるときに第２認証を行ない、不正な保守員の保守員操作を抑止することができる。

第１の実施形態に係る自動取引装置の制御系の構成を示すブロック図である。 第１実施形態に係る自動取引装置の外観構成を示す外観構成図である。 第１の実施形態に係る自動取引装置における保守モードへの移行処理の動作を示すフローチャートである。 第１の実施形態に係る第２認証要求判断処理を示すフローチャートである。 第１の実施形態に係る第１認証情報入力画面を説明する説明図である。 第１の実施形態に係る第２認証情報入力画面を説明する説明図である。 第１の実施形態に係るログイン失敗画面を説明する説明図である。 第２の実施形態に係る自動取引装置の制御系の構成を示すブロック図である。 第２の実施形態に係る登録認証情報を説明する説明図である。 第２の実施形態に係る自動取引装置における保守モードへの移行処理の動作を示すフローチャートである。 第２の実施形態に係る権限変更画面を説明する説明図である。

（Ａ）第１の実施形態
以下では、本発明に係る自動取引装置の第１の実施形態を、図面を参照しながら詳細に説明する。

（Ａ−１）第１の実施形態の構成
図２は、第１実施形態に係る自動取引装置の外観構成を示す外観構成図である。図２において、第１の実施形態の自動取引装置１は、前面操作表示部１１、後面操作表示部１２、カード入出口１３、通帳入出口１４、紙幣入出金口１５、硬貨入出金口１６、前扉１７、後扉１８、カメラ１９Ａ、カメラ１９Ｂを有する。

ここで、前面とは、自動取引装置１において主として顧客が操作する側をいう。後面とは、前面と反対側（すなわち、自動取引装置１において顧客が操作しない側）をいう。一般的に、金融機関等に設けられている自動取引装置１の場合、自動取引装置１の後面は、顧客によるアクセスができないようになっており、保守員や行員等がアクセスできる。一方、自動取引装置１の前面は、顧客によるアクセスが可能であり、又保守員によるアクセスも可能である。

自動取引装置１は、例えば、金融機関、店舗等に設けられるＡＴＭ、両替機、現金処理装置等に適用できる。この実施形態では、自動取引装置１がＡＴＭである場合を例示する。自動取引装置１は、紙幣や硬貨等を収納する紙幣収納部や硬貨収納部などを備えている。自動取引装置１は、顧客操作を受けて、指定された金額の紙幣や硬貨等の現金の入金処理、出金処理、振込処理、残金照会、通帳記入などを行う。

前面操作表示部１１は、取引を行う顧客に対して取引種別の選択メニュー画面や取引操作画面や入力情報の表示等を行なうと共に、顧客による操作入力を受け付けるものである。前面操作表示部１１は、顧客による操作を受け付けるだけでなく、保守員による操作も受け付けることができる。前面操作表示部１１は、例えば、タッチパネル方式を採用した表示部を適用できる。

後面操作表示部１２は、主として、保守員による操作を受け付けるものである。後面操作表示部１２は、前面操作表示部１１と同様に、タッチパネル方式を採用した表示部を適用できる。また、後面操作表示部１２は、基本的には、前面操作表示部１１と同様の機能を備える。例えば、後面操作表示部１２は、前面操作表示部１１に表示されている表示画面を表示したり、前面操作表示部１１で入力された情報を表示したりする。

なお、自動取引装置１は、前面操作表示部１１、後面操作表示部１２のいずれかにおいて保守に必要なパスワードの入力を受けて、パスワード認証が成功したときに保守モードに移行する。

カード入出口１３は、キャッシュカードやクレジットカード等のカードの挿入を受け付けたり、カードを排出したりする部分である。

通帳入出口１４は、通帳の挿入を受け付けたり、通帳を排出したりする部分である。

紙幣入出金口１５は、紙幣の投入を受け付けたり、紙幣を排出したりする部分である。

硬貨入出金口１６は、硬貨の投入を受け付けたり、硬貨を排出したりする部分である。

前扉１７は、自動取引装置１の前面に設けられた開閉体である。自動取引装置１の内部を保守するとき、セキュリティキーにより解錠されて、前扉１７は開となる。このセキィリティキーの種類は特に限定されるものではなく、様々な種類の鍵を適用できる。

後扉１８は、自動取引装置１の後面に設けられた開閉体である。自動取引装置１の内部を保守する際に、セキュリティキーにより解錠されて、後扉１８は開となる。また、後扉１８を開とする際に、保守に必要なパスワードの認証が成功し、自動取引装置１が保守モードへの移行することを条件として、後扉１８を開としても良い。

カメラ１９Ａは、前面操作表示部１１を操作する者を撮像する撮像装置である。カメラ１９Ｂは、後面操作表示部１２を操作する者を撮像する撮像装置である。なお、この実施形態では、自動取引装置１にカメラ１９Ａ及び１９Ｂが搭載されている場合を例示する。しかし、自動取引装置１を操作するものを撮像することができるのであれば、撮像装置は自動取引装置１の周辺に設けられたものであっても良い。

図１は、第１の実施形態に係る自動取引装置１の制御系の構成を示すブロック図である。

図１において、第１の実施形態に係る自動取引装置１は、制御部２１、通帳記帳部２２、カードリーダライタ部２３、レシート発行部２４、前面操作表示制御部２５、後面操作表示制御部２６、通信部２７、記憶部２８、硬貨入出金部２９、紙幣入出金部３０を有する。

制御部２１は、自動取引装置１全体の機能を制御する処理部又は装置である。制御部２１は、例えば、ＣＰＵがＲＯＭに格納されている処理プログラムを実行することにより、自動取引装置１の各種機能を行うものである。また、処理プログラムがインストールされることにより、自動取引装置１の各種機能を構築できるようにしてもよい。

また、制御部２１は、取引処理部２１１、保守処理部２１２を有する。

取引処理部２１１は、自動取引装置１において実行可能な取引処理を行うものである。取引処理部２１１は、前面操作表示部１１を通じて、顧客により選択された取引について、当該取引に必要な情報を取得し、金融ホストサーバ３との間で取引に関する電文の授受をして取引処理を行う。

保守処理部２１２は、自動取引装置１の保守処理を行うものである。保守処理部２１２は、前面操作表示部１１、後面操作表示部１２のいずれかから入力された入力認証情報の認証処理を行ない、認証が成功した後に保守モードに移行するログイン処理を行う。認証成功後、保守モードに移行すると、保守処理部２１２は、ログインした保守者の操作により選択された各種保守処理を行なう。

なお、保守の種類は、例えば、自動取引装置１の障害発生時の復旧に関するもの、自動取引装置１の内部に設けられた紙幣収納部や硬貨収納部のカセット交換や、紙幣収納部や硬貨収納部への現金の補充や集計処理等に関するもの、自動取引装置１の各種機能の設定や設定変更に関するもの等がある。例えば、保守処理部２１２は、保守モードに移行後（すなわち、ログイン後）、後面操作表示部１２に保守専用画面を表示して、保守者により選択された種類の保守処理を行なう。

保守処理部２１２は、認証部５１、第２認証要否判断部５２、ログイン状況管理部５３、保守実行部５４を有する。

認証部５１は、前面操作表示部１１、後面操作表示部１２のいずれかから入力された入力認証情報の認証処理を行なうものである。この実施形態では、認証部５１は、入力されたパスワード（例えば、数字や英字や記号等の組み合わせからなる暗証番号等）に基づく認証処理を行なう場合を例示する。より具体的には、認証部５１は、記憶部２８に登録されている登録認証情報と入力認証情報（例えばパスワード）とが一致するか否かを判断し、一致する場合には認証成功とし、不一致の場合には認証失敗とする。

また、認証部５１は、第２認証要否判断部５２により第２認証が必要と判断されたときに、第１回目の認証とは別に第２回目の認証処理を行うものである。第２認証が必要な場合、認証部５１は、前面操作表示部１１、後面操作表示部１２のいずれかから第２認証に係る認証情報の入力を受け付け、入力された第２認証情報の認証処理を行う。

ここで、認証部５１による第１回目の認証は、保守者が通常の保守を行う際に、入力される認証情報に基づく認証をいう。なお、以下では、第１回目の認証を第１認証とも呼び、第１認証の際に入力される認証情報を第１認証情報とも呼ぶ。

また、認証部５１による第２回目の認証は、第２認証要否判断部５２が、第１認証の際に、所定の条件（第２認証要否判断条件）に合う事象が生じている場合、第２認証に係る認証情報の入力を受け付け、その入力された認証情報に基づく認証をいう。なお、以下では、第２回目の認証を第２認証とも呼び、第２認証の際に入力される認証情報を第２認証情報とも呼ぶ。

つまり、通常の保守を行う場合、第１認証情報を用いた認証処理を行う。しかし、第１認証の際に、第２認証要否判断条件に合う事象が生じている場合には、第１認証に加えて、第２認証情報を用いた認証処理を行う。これにより、想定される通常の保守とは異なる事象が生じた場合に、より厳格な認証を行うことができ、正規の保守者以外の者によるログインを規制することができる。また、想定される通常の保守のときには、第１認証のみが行なわれるため、正規の保守者によるログインに係る負担を課すものではない。

第２認証要否判断部５２は、第１認証の際に、記憶部２８に設定されている第２認証要否判断条件２８２を参照し、第２認証要否判断条件２８２に合う事象が生じているか否かを判断するものである。ここで、第２認証要否判断部５２は、第１認証の認証成功後のタイミングで、第２認証の要否を判断する。つまり、第２認証要否判断部５２は、保守モードへのログインを行なう全てのケースで判断するのではなく、第１認証による認証が成功したタイミングで行う。

ログイン状況管理部５３は、当該自動取引装置１において、保守モードへのログインの状況を管理するものである。具体的には、ログイン状況管理部５３は、例えば、所定時間（１時間、数時間）内でのログイン回数を計数したり、１日あたり又は数日あたりのログイン回数の累積回数を計数したりする。

保守実行部５４は、保守モードへの移行後、保守者により選択された種類の保守処理を行うものである。

記憶部２８は、処理プログラムや、取引に関するログ情報、登録認証情報２８１、第２認証要否判断条件２８２等を記憶するものである。

登録認証情報２８１は、第１認証、第２認証を実施するために、予め登録されている認証情報である。特に、認証情報が暗証番号等のパスワードである場合を例示する。これは、指紋認証や静脈認証等の生体認証の場合には、個人を認証できる。しかし、認証情報が暗証番号等のパスワードである場合に、第三者による盗み見がなされて不正行為に至る可能性があるからである。第１認証の登録認証情報を第１登録認証情報とも呼び、第２認証の登録認証情報を第２登録認証情報とも呼ぶ。

第２認証要否判断条件２８２は、第２認証を実施する必要があるか否かを判断するための条件である。第２認証要否判断条件２８２は、今回のログイン要求が想定される保守ではなく、正規の保守者によるログインでない事象を判断するための条件である。例えば、第２認証要否判断条件２８２は、１つの条件であっても良いし、複数の条件であっても良い。

より具体的に、第２認証要否判断条件２８２は、ログイン要求があった時間が保守可能時間帯以外であること、障害発生していない場合に所定回数以上のログインがあること、ログイン要求があった時間が監視端末２からの保守許可時間以外であることなどがある。

「保守可能時間帯」とは、例えば、自動取引装置１の稼働時間帯、金融機関の営業時間帯、保守対応可能時間などをいい、「保守可能時間帯以外」とは、それら以外の時間帯をいう。つまり、保守可能時間帯以外の時刻に、保守モードへのログイン要求があったときには、通常の保守のためのログインではないと判断できる。従って、保守可能時間帯以外の時刻にログイン要求がある場合、第２認証が必要といえる。

「障害発生していない場合に所定回数以上のログインがあること」とは、障害発生している場合には、所定回数のログイン要求が考えられる。しかし、障害発生していない場合には、所定回数以上のログイン要求があったときには、不要なログインの可能性がある。従って、障害発生していない場合に所定回数以上のログインがある場合には、第２認証が必要といえる。なお、「所定回数以上のログイン」とは、例えば、所定単位時間（例えば、１時間、数時間など）内に所定回数以上のログインがあったこと、１日のログインの総数が所定回数以上あったこと等がある。

「監視端末２からの保守許可時間」とは、監視端末２から許可された保守時間をいい、「監視端末２からの保守許可時間以外」とは、監視端末２から許可された保守時間以外をいう。例えば、自動取引装置１と接続している監視端末２により指定された時間以外や、監視端末２から許可された後、所定時間を超えたときなどに、ログイン要求があったときには、通常の保守のためのログインではないと判断できる。従って、監視端末２からの保守許可時間以外の時刻にログイン要求がある場合、第２認証が必要といえる。

通帳記帳部２２は、制御部２１の制御を受けて、取引内容を通帳に記帳するものである。

カードリーダライタ部２３は、制御部２１の制御を受けて、カード入出口１３から挿入されたカードに付されている記録媒体（例えば、磁気ストライプ、ＩＣチップ等）に格納されているカード情報を読み出して制御部２１に与えたり、取引内容を記録媒体に書き込んだりするものである。

レシート発行部２４は、取引内容を媒体に印刷したレシート（明細票）を発行するものである。

前面操作表示制御部２５は、制御部２１の制御を受けて、前面操作表示部１１に対して所定の表示画面を表示したり、前面操作表示部１１から入力された入力情報を制御部２１に与えたりする。

後面操作表示制御部２６は、制御部２１の制御を受けて、後面操作表示部１２に対して所定の表示画面を表示したり、後面操作表示部１２から入力された入力情報を制御部２１に与えたりする。

通信部２７は、金融機関ホストサーバとの間で、取引情報に関する電文の授受を行うものである。

硬貨入出金部２９は、取引に係る硬貨の入金や出金を行うものである。硬貨入出金部２９は、いわゆる硬貨入出金機であり、硬貨収納部への硬貨の収納や取り出し等を行なう。

紙幣入出金部３０は、取引に係る紙幣の入金や出金を行うものである。紙幣入出金部３０は、いわゆる紙幣入出金機であり、紙幣収納部への紙幣の収納や取り出し等を行なう。

（Ａ−２）第１の実施形態の動作
次に、第１の実施形態に係る自動取引装置１における保守モードへの移行処理の動作を、図面を参照しながら詳細に説明する。

図３は、第１の実施形態に係る自動取引装置１における保守モードへの移行処理の動作を示すフローチャートである。図４は、第１の実施形態に係る第２認証要求判断処理を示すフローチャートである。

まず、保守員は、保守用画面を表示させるために、自動取引装置１の前面操作表示部１１又は後面操作表示部１２において所定の操作を行う。前面操作表示部１１又は後面操作表示部１２にはログイン画面が表示され、保守者がログイン要求を行う（Ｓ１０１）。

例えば図５に例示するようにログイン画面５００は、「パスワードを入力してください」等のガイダンス表示を含むものであり、保守者がテンキー５０３を操作して、第１認証情報が入力される（Ｓ１０２）。

制御部２１では、保守処理部２１２の認証部５１が、記憶部２８の登録認証情報を参照して、入力された第１認証情報と第１登録認証情報とが一致するか否かを判断する（Ｓ１０３）。

第１認証情報と第１登録認証情報とが不一致の場合、認証部５１は認証失敗と判断し、処理は終了する。なお、このとき、図７に例示するログイン失敗を知らせる画面５２０が表示されるようにしても良い。また、操作者によりキャンセルが選択されたときも処理は終了する。

一方、第１認証情報と第１登録認証情報とが一致する場合、認証部５１は認証成功と判断し、処理はＳ１０４に移行する。

第１認証の認証が成功すると、第２認証要否判断部５２は、記憶部２８の第２認証要否判断条件２８２に合う事象が生じているか否かの第２認証要否を判断する（Ｓ１０４）。

図４では、第２認証要否判断条件２８２が、保守可能時間帯以外であること、障害が発生していない場合にログイン回数が所定回数以上であること、監視端末２からの保守許可時間以外である場合を例示する。なお、図４では、第２認証要否判断部５２が上記３つの条件を並列に判断する場合を例示するが、判断方法は図４に限定されるものではない。

第２認証要否判断部５２は、第２認証要否判断条件２８２のいずれかに適合している場合（図３のＳ１０４、Ｓ１０６）、第２認証が必要であると判断する。つまり、保守モードに移行せずに第２認証の入力を要求する。具体的に、図４を参照して説明する。

第２認証要否判断部５２は、今回のログインの要求時刻が保守可能時間帯であるか否かを判断する（Ｓ２０１）。例えば、保守可能時間帯は、金融機関の営業時間（例えば、ＡＭ９時〜ＰＭ６時）や、当該営業時間も含めた自動取引装置１の保守対応時間（例えば、ＡＭ７時〜ＰＭ８時）等が設定されているとする。第２認証要否判断部５２は、今回のログインの要求時刻が保守可能時間内であるときには第２認証不要と判断し（Ｓ２０２）、今回のログインの要求時刻が保守可能時間帯以外のときには第２認証必要と判断する（Ｓ２０３）。

第２認証要否判断部５２は、自動取引装置１において障害が発生したか否かを判断する（Ｓ２０４）。障害が発生している場合、第２認証要否判断部５２は、第２認証不要と判断する（Ｓ２０６）。

一方、障害が発生していない場合（Ｓ２０４）、第２認証要否判断部５２は、ログイン回数が所定回数以上であるか否かを判断する（Ｓ２０５）。これは、自動取引装置１に頻繁にログインがあるか否かを判断する。そのため、例えば、１時間に２回以上のログインがあった等のようにログイン回数が所定回数以上のときには、第２認証要否判断部５２は第２認証必要と判断し（Ｓ２０７）、ログイン回数が所定回数未満のときには、第２認証要否判断部５２は第２認証不要と判断する（Ｓ２０６）。

第２認証要否判断部５２は、今回のログインの要求時刻が監視端末２からの保守許可時間か否かを判断する（Ｓ２０８）。例えば、定期的な保守のために、監視端末２から指定された保守許可時間が設定されたり、自動取引装置１の保守作業が必要と判断したときには、オペレータ操作により監視端末２から保守の許可が通知されたりする。このような場合、監視端末２から保守許可が通知されてから所定時間内は、保守のためのログインが可能となる。

そこで、今回のログインの要求時刻が監視端末２からの保守許可時間内のときには、第２認証要否判断部５２は第２認証不要と判断し（Ｓ２０９）、今回のログインの要求時刻が監視端末２からの保守許可時間以外のときには、第２認証要否判断部５２は第２認証必要と判断する（Ｓ２１０）。

図３のＳ１０４において、第２認証要否判断部５２が第２認証不要と判断すると、保守モードに移行し（Ｓ１０５）、保守者の操作を受けて保守処理が実行される（Ｓ１０６）。

一方、図３のＳ１０４において、第２認証要否判断部５２が第２認証必要と判断すると、図６に示すような第２認証情報の入力画面が前面操作表示部１１又は後面操作表示部１２に表示され、第２認証情報の入力がなされる（Ｓ１０６）。

認証部５１は、記憶部２８の登録認証情報を参照して、入力された第２認証情報と第２登録認証情報とが一致するか否かを判断して、第２認証を行う（Ｓ１０７）。

第２認証情報と第２登録認証情報とが不一致の場合、認証部５１は認証失敗と判断し、処理は終了する。なお、このとき、図７に例示するログイン失敗を知らせる画面５２０が表示されるようにしても良い。また、操作者によりキャンセルされたときも処理は終了する。

一方、第２認証情報と第２登録認証情報とが一致する場合、認証部５１は認証成功と判断し、保守モードに移行し（Ｓ１０５）、保守者の操作を受けて保守処理が実行される（Ｓ１０６）。

（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、通常は第１認証のみを行うため、第２認証情報が外部に漏れにくくなるため、不正な保守員の保守員操作を抑止することができセキュリティの向上につながるという効果が得られる。

（Ｂ）第２の実施形態
次に、本発明に係る自動取引装置の第２の実施形態を、図面を参照しながら詳細に説明する。

（Ｂ−１）第２の実施形態の構成
第２の実施形態は、自動取引装置における保守処理部の処理が第１の実施形態と異なるが、それ以外の構成は第１の実施形態に係る自動取引装置１と同一又は対応するものです。従って、第２の実施形態においても、第１の実施形態に係る図２を用いて説明する。

図８は、第２の実施形態に係る自動取引装置１Ａの制御系の構成を示すブロック図である。

図８において、第２の実施形態に係る自動取引装置１は、制御部２１Ａ、通帳記帳部２２、カードリーダライタ部２３、レシート発行部２４、前面操作表示制御部２５、後面操作表示制御部２６、通信部２７、記憶部２８、硬貨入出金部２９、紙幣入出金部３０を有する。

制御部２１Ａ以外の構成要素は、第１の実施形態に係る図１の自動取引装置１の構成要素と同一又は対応するため、図８においても対応する構成要素には、同一の符号を示している。

制御部２１Ａは、第１の実施形態と同様に、第２の実施形態に係る自動取引装置１Ａの各種機能を制御する処理部又は装置である。また、制御部２１Ａは、各種取引の処理を行なう取引処理部２１１、保守処理部２１２を有する。

保守処理部２１２は、第１の実施形態と同様に、自動取引装置１Ａの保守処理を行うものである。保守処理部２１２は、入力された入力認証情報の認証処理を行ない、認証が成功した後に保守モードに移行するログイン処理を行う。

保守処理部２１２は、認証部５１、第２認証要否判断部５２、ログイン状況管理部５３、保守実行部５４、権限変更部５５、セキュリティ動作部５６を有する。なお、認証部５１、第２認証要否判断部５２、ログイン状況管理部５３、保守実行部５４は、第１の実施形態の各構成と同一又は対応するものなので、ここでの詳細な説明を省略する。

権限変更部５５は、第２認証が成功した後ログイン開始前に、保守員操作により保守に係る権限を変更するものである。

図９は、第２の実施形態に係る登録認証情報２８１を説明する説明図である。

図９に示すように、登録認証情報２８１は、第１登録認証情報と第２登録認証情報とが対応付けられている。保守の種類は、上述したように、例えば、障害発生時の復旧に関するもの、紙幣収納部や硬貨収納部のカセット交換や、紙幣収納部や硬貨収納部への現金の補充や集計処理等に関するもの、各種機能の設定や設定変更に関するもの等があり、保守の種類の重要度に応じて権限が付されている。

例えば、図９の第１行目のように、「第１登録認証情報：１１１１」及び「第２登録認証情報：２２２２」を用いてログインする場合には、保守レベルが比較的低い「Ｃ」に属する保守内容の権限が付されているが、保守レベル「Ｃ」よりも高い、保守レベル「Ａ」、「Ｂ」に属する保守内容については権限が付されていない。つまり、「第１登録認証情報：１１１１」及び「第２登録認証情報：２２２２」を用いてログインした保守者は、保守レベル「Ｃ」に属する保守内容のみを行うことができる。このように、保守の重要度に応じて、保守者が実施できる保守操作は制限される。

しかし、例えば緊急事態が生じた場合や、より保守レベルの高い保守操作が必要であるが、その保守操作の権限を有する保守者がいないような場合などには、保守者の権限を付与して、保守レベルの高い保守操作が実施できるようにすることが望まれる。

そこで、第２の実施形態では、第２認証の認証成功後、ログイン前に（すなわち保守モード移行前に）、保守操作の権限を変更できるようにする。

セキュリティ動作部５６は、第２認証が失敗又はキャンセルをした場合に、所定のセキュリティ動作を実行するものである。これは、第２認証が失敗したときや第２認証をキャンセルしたときに、セキュリティを向上させるためである。例えば、セキュリティ動作部５６は、カメラ１９Ａ、１９Ｂを起動させたり、監視端末２に認証失敗通知をしたり、操作者のログインを制限したりする。なお、セキュリティ動作部５６は、これらに限定されるものではない。その他に、認証に関するログ情報（例えば、認証時刻、認証結果、入力されたパスワードの記録等）の記録や、警告音の鳴動等をしても良い。

（Ｂ−２）第２の実施形態の動作
次に、第２の実施形態に係る自動取引装置１Ａにおける保守モードへの移行処理の動作を、図面を参照しながら詳細に説明する。

図１０は、第２の実施形態に係る自動取引装置１Ａにおける保守モードへの移行処理の動作を示すフローチャートである。なお、図１０において、第１の実施形態に係る図３の処理と同一又は対応する処理には、図３と同一の符号を付している。

図１０において、前面操作表示部１１又は後面操作表示部１２には、図５に例示するログイン画面が表示され、保守者がログイン要求を行う（Ｓ１０１）。保守者の操作により、第１認証情報が入力される（Ｓ１０２）。認証部５１が、記憶部２８の登録認証情報を参照して、入力された第１認証情報の第１認証を行なう（Ｓ１０３）。第１認証の認証失敗又はキャンセルされた場合、処理は終了する。

一方、第１認証の認証が成功すると、第２認証要否判断部５２は、第１の実施形態と同様に、記憶部２８の第２認証要否判断条件２８２に合う事象が生じているか否かの第２認証要否を判断する（Ｓ１０４）。第２認証要否判断部５２による第２認証要否の判断方法は、第１の実施形態と同様であり、図４に例示する処理がなされる。

第２認証要否判断部５２が第２認証不要と判断すると、保守モードに移行し（Ｓ１０５）、保守者の操作を受けて保守処理が実行される（Ｓ１０６）。

一方、Ｓ１０４において、第２認証要否判断部５２が第２認証必要と判断すると、図６に例示する第２認証情報の入力画面が前面操作表示部１１又は後面操作表示部１２に表示され、第２認証情報の入力がなされる（Ｓ１０６）。

認証部５１は、記憶部２８の登録認証情報を参照して、入力された第２認証情報の第２認証を行う（Ｓ１０７）。

第２認証の認証が成功すると、前面操作表示部１１、後面操作表示部１２には、図１１に例示する権限変更画面５３０が表示され、権限変更が行われる（ｓ３０１）。例えば、保守者が権限を変更する場合、権限変更画面５３０上で目的の保守内容を選択して、対象とする保守操作のチェックボックスにチェックが加わり、保守者が変更ボタン３５を押下する。これにより、緊急時等に必要となった保守操作の権限を、今回の保守者に付与することができる。

なお、ここでは、保守操作できる権限を付与する場合を例示するが、権限を減らすこともできる。例えば、保守者が、チェックボックスのチェックが入っている保守操作を選択することで、当該保守操作のチェックボックスのチェックがなくなり、保守者が変更ボタン３５を押下する。これにより、減少対象とする保守操作の権限を減少させることができる。

そして、権限変更部５５が当該保守者の権限を変更し、保守モードに移行し（Ｓ１０５）、変更後の保守操作も含めて保守処理が実行される（Ｓ１０６）。

なお、今回の権限変更は、自動取引装置１Ａにおいて発生した保守の程度が大きいときのみに権限変更ができるようにしても良いし、監視端末２から権限変更許可があるときのみ権限変更ができるようにしても良い。つまり、保守者による自由な権限変更を規制するために、権限変更が可能な一定の事象が生じたり、監視端末２を通じてオペレータからの許可がある等のように一定の制限の下に、権限変更ができるようにしても良い。ここで、保守の程度が大きいとは、セキュリティの観点から、保守の必要性の高いものをいう。例えば、自動取引装置１Ａ内部に搭載されている機器の故障や、紙幣収納部等の交換等は、保守の程度が大きいものすることができる。逆に、多くの保守者が対応可能な、紙幣の詰まりのジャム等は障害の程度が低いものとすることができる。今回の権限変更は、一時的なものであっても良い。つまり、登録認証情報２８１に付与されているマスター登録されている権限情報を変更するようにしても良いが、今回の保守操作に限って変更後の保守操作ができるようにしても良い。つまり、権限変更部５５は、登録認証情報２８１のマスター登録は変更せず、今回のログインのみに限定して、変更後の保守操作を許容するようにしても良い。

一方、第２認証の認証が失敗した場合、若しくは、キャンセルがされた場合、セキュリティ動作部５６は、所定のセキュリティ動作を実行する（Ｓ３０２〜Ｓ３０４）。具体的には、セキュリティ動作部５６は、第２認証の認証失敗又はキャンセル後、カメラ１９Ａ、１９Ｂを作動させ（Ｓ３０２）、監視端末２に対して認証失敗通知を行う（Ｓ３０３）。

また、今回の操作者によるログインを制限する（Ｓ３０４）。例えば、セキュリティ動作部５６は、前面操作表示部１１、後面操作表示部１２に表示される操作画面をロックして、操作できないようにしても良い。

（Ｂ−３）第２の実施形態の効果
以上のように、第２の実施形態によれば、第１の実施形態の効果に加えて、保守員が不正に保守員操作に入ろうとして断念したときに、その操作に関する情報の取得や、操作画面にロックをかけることで不正な操作をさらに未然に防ぐことができる。また、第２の実施形態によれば、第２認証が成功したときに、保守員の権限を変更することで、不要な保守操作を防止、緊急時の対応で通常より多くの保守作業を行わせることができる。そのため、セキュリティ機能の向上、保守機能の向上という効果が得られる。

（Ｃ）他の実施形態
上述した各実施形態においても種々の変形実施形態を言及したが、本発明は以下の変形実施形態にも適用できる。

（Ｃ−１）上述した第１及び第２の実施形態では、図４において障害発生時は、第２認証不要としている。障害発生時には、迅速な対応が必要となるため、第２認証要件判断条件の例外として、第１認証のみの認証でログインできるようにしても良い。

（Ｃ−２）上述した第１又は第２の実施形態において、更にセキュリティを向上させるために、第２認証によりログインが認められた場合には、保守レベルの高い保守操作について保守操作ができないようにしても良い。つまり、第２認証の認証成功後に、保守モードに移行したときには、所定の保守操作が制限されるようにしても良い。例えば、現金を扱う紙幣収納部等の交換は、保守操作が許可された時間帯であること一般的である。保守操作許可時間帯以外の時間帯に、第２認証によるログインされたときには、紙幣収納部の交換等ができないようにすることで、現金を取り扱う保守操作を制限しても良い。

１及び１Ａ…自動取引装置、１１…前面操作表示部、１２…後面操作表示部、１９Ａ及び１９Ｂ…カメラ、２１及び２１Ａ…制御部、２１２…保守処理部、５１…認証部、５２…第２認証要否判断部、５３…ログイン状況管理部、５４…保守実行部、５５…権限変更部、５６…セキュリティ動作部、２５…前面操作表示制御部、２６…後面操作表示部、２８…記憶部、２８１…登録認証情報、２８２…第２認証要否判断条件。

Claims (12)

1. 入力された認証情報に基づく認証成功後に保守モードに移行して所定の保守処理を行う保守処理部を備える自動取引装置において、
   上記保守処理部が、
   入力された第１認証情報に基づく第１認証処理を行う認証部と、
   上記第１認証部による第１認証成功の際に、第２認証の要否を判断する第２認証要否判断部と
   を有し、
   上記認証部が、上記第２認証要否判断部により第２認証を要すると判断されると、前記保守モードに移行せずに第２認証情報の入力を要求することを特徴とする自動取引装置。
2. 第２認証の要否を判断する第２認証要否判断条件を記憶する記憶部を備え、
   上記第２認証要否判断部が、上記記憶部の上記第２認証要否判断条件に基づいて、上記第２認証の要否を判断するものであることを特徴とする請求項１に記載の自動取引装置。
3. 表示部を備え、
   上記認証部が、上記第２認証を要すると判断されたときに、上記第２認証情報の入力画面を上記表示部に表示することを特徴とする請求項１又は２に記載の自動取引装置。
4. 上記第２認証要否判断条件は、上記第１認証時が保守操作の可能な時間帯以外の時間帯であることを含むことを特徴とする請求項２に記載の自動取引装置。
5. 上記第２認証要否判断条件は、上記第１認証時に、所定時間内のログイン回数が所定回数以上であることを含むことを特徴とする請求項２又は４に記載の自動取引装置。
6. 上記第２認証要否判断条件は、上記第１認証時が、接続している監視端末からの保守許可時間以外の時間であることを含むことを特徴とする請求項２、４又は５のいずれかに記載の自動取引装置。
7. 上記認証部による上記第２認証の認証成功後に、上記保守処理部における保守操作に付された権限を変更する権限変更画面を上記表示部に表示し、上記権限変更画面を通じて、保守操作に付された権限を変更する権限変更部を備えることを特徴とする請求項３〜６のいずれかに記載の自動取引装置。
8. 上記権限変更部が、今回の上記認証部による認証成功に伴う保守操作に限って、保守操作に付された権限を変更することを特徴とする請求項７に記載の自動取引装置。
9. 上記認証部による上記第２認証の認証失敗又は取消の際に、所定のセキュリティ動作を実行するセキュリティ動作部を備えることを特徴とする請求項３〜６のいずれかに記載の自動取引装置。
10. 上記セキュリティ動作部が、上記第２認証処理の際の操作者を撮像する撮像装置を作動させることを含むことを特徴とする請求項９に記載の自動取引装置。
11. 上記セキュリティ動作部が、上記第２認証の認証失敗又は取消の事象を含む情報を監視端末に通知することを含むことを特徴とする請求項９又は１０に記載の自動取引装置。
12. 上記セキュリティ動作部が、表示画面を通じた操作を不能とすることを特徴とする請求項９〜１１のいずれかに記載の自動取引装置。

Images