JP2020024625A - 紙葉類の処理データ監査方法 - Google Patents

Abstract

【課題】 紙葉類の処理データの改ざんを防止するセキュリティが向上した紙葉類の処理データ監査方法を提供することにある。【解決手段】 実施形態によれば、第１計数情報を監査する紙葉類の処理データ監査方法であって、前記機器本体により、第１ＭＡＣ生成キーを用いて、前記第１計数情報に基づいて、第１ＭＡＣを生成し、前記機器本体により、前記第１計数情報及び前記第１ＭＡＣを監査をするための演算をする第１演算部に送信し、前記第１演算部により、第１ＩＣカードに保存され、前記第１ＭＡＣ生成キーと対の第２ＭＡＣ生成キーを用いて、前記第１ＭＡＣに基づいて、第２計数情報を求め、前記第１演算部により、前記第１計数情報と前記第２計数情報を比較し、前記第１演算部による比較結果が、一致していれば監査結果を正常とし、一致していなければ監査結果を異常とすることを含む。【選択図】 図４

Description

本発明の実施形態は、紙葉類の処理データ監査方法に関する。

一般に、コンピュータを用いて、紙幣などの紙葉類を区分して、施封又は裁断などの処理をする紙葉類処理装置が開示されている（特許文献１参照）。また、紙葉類処理装置において、ＭＡＣ（message authentication code）を用いて、裁断枚数等の計数情報の改ざんを防止することが開示されている（特許文献２参照）。

特開２００７−２５２９８０号公報 特許第４８１００９８号公報

しかしながら、計数情報等の処理データの改ざん防止については、より強固なセキュリティが要求される。
本発明の実施形態の目的は、紙葉類の処理データの改ざんを防止するセキュリティが向上した紙葉類の処理データ監査方法を提供することにある。

実施形態によれば、紙葉類の処理データ監査方法は、複数枚の紙葉類を鑑査した鑑査結果に基づいて区分された紙葉類を処理する機器本体を備える紙葉類処理システムにおいて、処理された紙葉類の枚数を含む第１計数情報を監査する紙葉類の処理データ監査方法であって、前記機器本体により、第１ＭＡＣ生成キーを用いて、前記第１計数情報に基づいて、第１ＭＡＣを生成し、前記機器本体により、前記第１計数情報及び前記第１ＭＡＣを監査をするための演算をする第１演算部に送信し、前記第１演算部により、第１ＩＣカードに保存され、前記第１ＭＡＣ生成キーと対の第２ＭＡＣ生成キーを用いて、前記第１ＭＡＣに基づいて、第２計数情報を求め、前記第１演算部により、前記第１計数情報と前記第２計数情報を比較し、前記第１演算部による比較結果が、一致していれば監査結果を正常とし、一致していなければ監査結果を異常とすることを含む。

本発明の第１の実施形態に係る紙葉類処理システムの構成を示す構成図。 第１の実施形態に係る紙葉類処理装置が紙幣処理機として構成された一例を示す構成図。 第１の実施形態に係る紙葉類処理装置における計数情報を監査処理する手順を示すフロー図。 第１の実施形態に係る紙葉類処理装置における計数情報の監査処理に関する情報の流れを示す簡略図。 第１の実施形態に係る紙葉類処理システムにおける機器本体に実装されたプログラムを監査処理する手順を示すフロー図。 第１の実施形態の変形例に係る紙葉類処理装置の構成を示す構成図。 本発明の第２の実施形態に係る紙葉類処理装置における計数情報を監査処理する手順を示すフロー図。 第２の実施形態に係る紙葉類処理装置における計数情報の監査処理に関する情報の流れを示す簡略図。 本発明の第３の実施形態に係る紙葉類処理装置における計数情報を監査処理する手順を示すフロー図。 第３の実施形態に係る紙葉類処理装置における計数情報の監査処理に関する情報の流れを示す簡略図。 本発明の第４の実施形態に係る紙葉類処理装置における計数情報を監査処理する手順を示すフロー図。 第４の実施形態に係る紙葉類処理装置における計数情報の監査処理に関する情報の流れを示す簡略図。

（第１の実施形態）
図１は、本発明の第１の実施形態に係る紙葉類処理システム１０の構成を示す構成図である。なお、本明細書と各図において、既出した要素と同様の要素には、同一の符号を付して、詳細な説明を省略又は簡略化することがある。
紙葉類処理システム１０は、例えば、海外の金融機関向けの鑑査機である。ここでは、紙葉類は、主に紙幣として説明するが、有価証券等の他の紙葉類でもよい。

紙葉類処理システム１０は、客先サーバ３、複数の紙葉類処理装置４、キー生成サーバ６、及び、ＩＣカード７を備える。紙葉類処理装置４は、少なくとも１つ設けられていれば、いくつ設けられてもよい。客先サーバ３及び紙葉類処理装置４は、ネットワーク５で接続される。ネットワーク５は、ＬＡＮ（local area network）又はＷＡＮ（wide area network）などである。キー生成サーバ６は、ネットワーク５に接続されていない。

紙葉類処理装置４は、機器本体１及び鑑査用サーバ２を備える。機器本体１と鑑査用サーバ２は、ＵＳＢ（universal serial bus）ケーブル等の情報を伝送する伝送路で接続される。
機器本体１には、演算処理を行うコンピュータが実装される。機器本体１は、供給される紙葉類を１枚ずつ搬送して、鑑査を行う。鑑査は、真偽判定と正損判定を含む。真偽判定は、本物（真券）か偽物（偽券）かの判定を行う。真偽判定結果が真券である場合、正損判定が行われる。正損判定は、再流通可能な正券か、汚損等により再流通可能でない損券かを判定する。機器本体１は、鑑査結果に基づいて、紙葉類を、偽券、正券又は損券のいずれかに区分する。機器本体１は、区分した種類毎に、紙葉類を処理する。例えば、正券に区分された紙葉類は、所定の枚数毎に集積及び施封され、損券に区分された紙葉類は、裁断される。機器本体１は、区分した種類毎の紙葉類の枚数を含む処理結果を処理データとして鑑査用サーバ２に出力する。

鑑査用サーバ２は、サーバ本体２１及びＩＣ（integrated circuit）カードリーダライタ２２を備える。サーバ本体２１は、データベースが構築された記憶部及びコンピュータの演算処理部などにより構成される。ＩＣカードリーダライタ２２は、ＵＳＢケーブル等で、サーバ本体２１と接続される。

鑑査用サーバ２は、機器本体１の動作モードを指示して動作させ、機器本体１の動作状況を監視し、機器本体１から出力される処理データの集計し、集計結果を印刷する。例えば、鑑査用サーバ２は、機器本体１から受信した処理結果を処理データとして、データベースに登録する。鑑査用サーバ２は、データベースに登録された処理データに基づいて、供給された紙葉類の処理結果を管理する。また、鑑査用サーバ２は、ＩＣカードリーダライタ２２の制御を行う。これにより、ＩＣカード７に対して、データの書き込み又は読み込みが行われる。

客先サーバ３は、サーバ本体３１及びＩＣカードリーダライタ３２を備える。サーバ本体３１は、データベースが構築された記憶部及びコンピュータの演算処理部などにより構成される。ＩＣカードリーダライタ３２は、ＵＳＢケーブル等で、サーバ本体３１と接続される。客先サーバ３は、ネットワーク５を介して、各紙葉類処理装置４の鑑査用サーバ２と接続される。客先サーバ３は、各紙葉類処理装置４から処理データを受信して、集計等の演算処理を行う。また、客先サーバ３は、ＩＣカードリーダライタ３２の制御を行う。これにより、ＩＣカード７に対して、データの書き込み又は読み込みが行われる。

客先サーバ３は、各紙葉類処理装置４の鑑査用サーバ２と基本的に同様の機能を有し、各鑑査用サーバ２から処理データなどの必要な情報も全て受信する。したがって、操作者は、各鑑査用サーバ２で作業（処理データの管理又は監査など）を行う代わりに、客先サーバ３で全ての作業を行ってもよい。

キー生成サーバ６は、サーバ本体６１及びＩＣカードリーダライタ６２を備える。サーバ本体６１は、記憶部及びコンピュータの演算処理部などにより構成される。ＩＣカードリーダライタ６２は、ＵＳＢケーブル等で、サーバ本体６１と接続される。また、キー生成サーバ６は、ＩＣカードリーダライタ６２の制御を行う。これにより、ＩＣカード７に対して、データの書き込み又は読み込みが行われる。

キー生成サーバ６は、ＩＣカード７にＭＡＣ生成キーを新たに生成するための指令を出力する装置である。ＩＣカード７は、キー生成サーバ６から指令を受けると、内部に実装されているキー生成機能により、ＭＡＣ生成キーを新たに生成する。これにより、ＩＣカード７は、内部に保存されているＭＡＣ生成キーを更新する。

ここで、ＩＣカード７と機器本体１のそれぞれに保存されているＭＡＣ生成キーは、互いに異なる一対のＭＡＣ生成キーである。この一対のＭＡＣ生成キーは、暗号化で一般的に用いられる秘密鍵及び公開鍵を適用することができる。
ＭＡＣ生成キーが更新されたＩＣカード７が鑑査用サーバ２のＩＣカードリーダライタ２２に挿入されると、機器本体１に保存されているＭＡＣ生成キーは、ＩＣカード７に保存されているＭＡＣ生成キーに対応するように更新される。このとき、ＩＣカード７と機器本体１との間を伝送する情報は、暗号化されている。ＩＣカード７及び機器本体１には、この伝送時に用いるための伝送用暗号化キーが設けられてもよい。これにより、ＩＣカード７と機器本体１との間に介在する鑑査用サーバ２は、更新された一対のＭＡＣ生成キーに関する情報が、一時的にでも暗号化されていない状態で保存されることはない。この伝送用暗号化キーは、暗号化で一般的に用いられる秘密鍵と公開鍵を適用してもよい。

図２は、本実施形態に係る紙葉類処理装置４が紙幣処理機として構成された一例を示す構成図である。
紙葉類処理装置４は、紙幣供給部４１、鑑査装置４２、シュレッダー４３、監査スタッカー４４、排除部４５、複数の集積施封部４６、コンベヤー４７、及び、出力スタッカー４８を備える。

紙幣供給部４１は、紙葉類処理装置４に投入された複数枚の紙幣（紙葉類）を１枚ずつ取り出して鑑査装置４２に搬送する。
鑑査装置４２は、様々な種類の検出器Ｄｔを備える。例えば、検出器Ｄｔは、供給された紙幣について、形状、成分、磁気、又は、汚損状態などを検出する。様々な検出器Ｄｔによる検出結果は、紙幣供給部４１から供給された紙幣を鑑査（判別等）するために用いられる。具体的には、紙幣の券種が判別され、さらに、真券、偽券、正券、又は、損券などの判別がされる。正券と判別された紙幣は、券種毎に対応する集積施封部４６に搬送される。損券と判別された紙幣は、シュレッダー４３又は監査スタッカー４４に搬送される。

シュレッダー４３は、鑑査装置４２から搬送された損券を再流通できないように処分（裁断）する。処分された損券の枚数は、計数情報として、紙葉類処理装置４等で管理される。
監査スタッカー４４には、判別された損券のうち予め設定された所定の割合の損券が搬送されてくる。所定の割合は、数パーセントでもよいし、１パーセント未満でもよい。監査スタッカー４４に溜められる損券は、実際の損券の汚損状態等を確認するために用いられる。例えば、操作者が、監査スタッカー４４に溜められた損券を取り出して、その損券の汚損状態を確認する。これにより、紙葉類処理装置４が汚損券を適切に判断しているか否かを人為的に確認することができる。なお、監査スタッカー４４は、設けなくてもよい。

排除部４５は、供給された紙幣が、正しく検出できなかったり、機械的に正しく取り込まれなかったりした場合に、その紙幣を排出する。
集積施封部４６は、券種毎に設けられる。各集積施封部４６には、それぞれに対応する券種の正券が搬送される。各集積施封部４６は、搬送された正券を集積し、所定の枚数毎に集積し帯で束ねて施封する。施封された紙葉束はコンベヤー４７により出力スタッカー４８に搬送される。

出力スタッカー４８は、紙葉束を蓄え、操作者が取り出せるように、必要に応じて、紙葉束を出力する。
図１及び図２を参照して、機器本体１で行われる制御について説明する。
機器本体１は、主制御部１１、副制御部１２、及び、判定用制御部１３を備える。主制御部１１は、副制御部１２及び判定用制御部１３とそれぞれ伝送路（例えば、バス）で接続される。

主制御部１１は、紙葉類処理装置４における総合的な制御を行う。例えば、主制御部１１は、紙葉類処理装置４を構成する機器等（紙幣供給部４１、鑑査装置４２、シュレッダー４３、監査スタッカー４４、排除部４５、複数の集積施封部４６、コンベヤー４７、及び、出力スタッカー４８など）に所定の動作を行わせるための指令を副制御部１２に出力する。また、主制御部１１は、判定用制御部１３に指令をし、判定用制御部１３から受信する制御結果に基づいて、紙葉類の鑑査等を行う。さらに、主制御部１１は、紙葉類の計数情報を含む処理結果を示す処理データを鑑査用サーバ２に出力する。

副制御部１２は、主制御部１１からの指令に基づいて、各機器等を制御する。副制御部１２は、複数の制御部で構成されてもよいし、下位の制御部を備えてもよい。
判定用制御部１３は、主制御部１１からの指令に基づいて、鑑査をするための制御を行う。例えば、判定用制御部１３は、各検出器Ｄｔによる検出結果に基づいて、鑑査に用いるための鑑査用データを主制御部１１に出力する。

図３は、本実施形態に係る紙葉類処理装置４における計数情報を監査処理する手順を示すフロー図である。図４は、本実施形態に係る紙葉類処理装置４における計数情報の監査処理に関する情報の流れを示す簡略図である。
主制御部１１とＩＣカード７との間で送受信される処理データは、互いに異なる一対のＭＡＣ生成キーを用いて暗号化される。以降では、主制御部１１には、ＭＡＣ生成キーとして秘密鍵が内部メモリ等に保存され、ＩＣカード７には、ＭＡＣ生成キーとして公開鍵が内部メモリ等に保存されているものとするが、秘密鍵がＩＣカード７に保存され、公開鍵が主制御部１１に保存されていてもよい。

まず、主制御部１１は、紙葉類（紙幣）を鑑査する（ステップＳＴ１１）。主制御部１１は、鑑査結果に基づいて、紙葉類を処理する。例えば、主制御部１１は、正券と判別された紙幣を機器本体１の集積施封部４６により集積し施封する処理をする。主制御部１１は、損券と判別された紙幣をシュレッダー４３により裁断処理する。

主制御部１１は、処理結果に基づいて計数情報を作成し、秘密鍵を用いて、計数情報及びその他の情報からＭＡＣを生成する（ステップＳＴ１２）。計数情報には、裁断処理された紙葉類の枚数（裁断累計枚数）が少なくとも含まれる。ここで、裁断累計枚数とは、各バッチの裁断枚数ではなく、１業務単位（例えば、１日）の裁断累計枚数である。この裁断累計枚数が、監査する対象となる。ＭＡＣの生成には、計数情報の他に、例えば、計数情報の累計、日付、時刻、又は、カウント値などの情報が用いられる。なお、ＭＡＣの生成は、計数情報以外のどのような情報を用いてもよいが、ユニークな情報（例えば、日付、時刻、連番、又は、これらの組み合せ）が望ましい。計数情報とユニークな情報を組み合わせてＭＡＣを生成することで、計数情報が改ざんされた場合に、計数情報のみでＭＡＣを生成する場合と比較して、改ざんされた計数情報に対応するＭＡＣの生成が困難になる。

主制御部１１は、生成したＭＡＣ、計数情報及びその他のＭＡＣの生成に用いた情報（計数情報等）を、処理データとして鑑査用サーバ２に送信する（ステップＳＴ１３）。
鑑査用サーバ２は、主制御部１１から受信した処理データを、データベースに登録すると共に、客先サーバ３に送信する（ステップＳＴ１４）。

鑑査用サーバ２は、監査処理をするために、ＭＡＣ及び計数情報等をＩＣカードリーダライタ２２に挿入されたＩＣカード７に送信する（ステップＳＴ１５）。
ＩＣカード７は、公開鍵を用いて、鑑査用サーバ２から受信したＭＡＣから計数情報等を求める演算を演算部７１で行う。ＩＣカード７は、演算部７１でＭＡＣから求めた計数情報等と鑑査用サーバ２から暗号化されていない状態で受信した計数情報等を比較部７２で比較する（ステップＳＴ１６）。

ＩＣカード７は、比較結果に基づいて、監査結果を鑑査用サーバ２に送信する。比較結果が一致していれば、ＩＣカード７は、監査結果が正常であることを示す「Ｙｅｓ」を送信し、比較結果が一致していなければ、ＩＣカード７は、監査結果が異常であることを示す「Ｎｏ」を送信する（ステップＳＴ１７）。なお、監査結果は、ＩＣカード７に表示されてもよい。

鑑査用サーバ２は、監査結果を出力する（ステップＳＴ１８）。監査結果の出力は、ディスプレイへの表示でもよいし、プリンタによる印字でもよいし、その他のどのような出力でもよい。
ここでは、鑑査用サーバ２で監査処理を行うことを説明したが、客先サーバ３も同様の監査処理が行えるように構成されている。

図５は、本実施形態に係る紙葉類処理システム１０における機器本体１に実装されたプログラムを監査処理する手順を示すフロー図である。
監査対象となるプログラムは、機器本体１の機能をコンピュータで実現するためのプログラムである。例えば、監査対象となるプログラムは、機器本体１にある全てのプログラムでもよいし、主制御部１１に相当するプログラムのみでもよいし、さらに一部のプログラム（例えば、処理データに関係するプログラム）でもよい。

機器本体１は、内部に保存されているハッシュ関数を用いて、プログラムからハッシュ値を定期的に演算する（ステップＳＴ２１）。例えば、機器本体１は、電源が投入される度に、ハッシュ値を演算する。
機器本体１は、演算したハッシュ値を鑑査用サーバ２に送信する（ステップＳＴ２２）。

鑑査用サーバ２は、機器本体１から受信した最新のハッシュ値と前回受信したハッシュ値とを比較する（ステップＳＴ２３）。
鑑査用サーバ２は、比較結果に基づいて、監査結果を出力する。比較結果が一致していれば、鑑査用サーバ２は、監査結果が正常であることを示す「Ｙｅｓ」を出力し、比較結果が一致していなければ、鑑査用サーバ２は、監査結果が異常であることを示す「Ｎｏ」を出力する（ステップＳＴ２４）。

なお、ハッシュ関数として、計数情報の監査処理に用いた秘密鍵を用い、ハッシュ値の代わりにＭＡＣを演算してもよい。また、鑑査用サーバ２は、比較せずにハッシュ値の出力のみを行い、比較による監査は、鑑査用サーバ２以外（例えば、他の機器又は人による目視）が行ってもよい。

本実施形態によれば、互いに異なる一対のＭＡＣ生成キーを用いて、計数情報と共にＭＡＣを演算することにより、計数情報（例えば、裁断枚数又は損券枚数）の改ざんを防ぐことができる。
また、ＩＣカード７と機器本体１のそれぞれに保存されたＭＡＣ生成キーは異なり、暗号化で用いられる秘密鍵と公開鍵の関係のように、一方のＭＡＣ生成キーから他方のＭＡＣ生成キーの推測は困難である。このため、ＩＣカード７が盗難された場合でも、機器本体１に保存されたＭＡＣ生成キーは分からないため、計数情報を改ざんしたとしても、改ざんした計数情報を含むＭＡＣを求めることはできない。これにより、計数情報の改ざんに対するセキュリティを高めることができる。

さらに、機器本体１は、機能を実現するためのプログラムからハッシュ値を定期的に求めて管理することで、計数情報の改ざんに対するセキュリティをさらに高めることができる。

なお、本実施形態の変形例として、図６に示すように、紙葉類処理装置４ａにおいて、機器本体１ａにＭＡＣ生成部１４を設け、主制御部１１で行うＭＡＣの生成をＭＡＣ生成部１４で行うようにしてもよい。
ＭＡＣ生成部１４は、ＭＡＣを演算するため演算処理部である。例えば、ＭＡＣ生成部１４は、ＭＡＣの演算に特化した専用ボードである。ＭＡＣ生成部１４は、主制御部１１と伝送路（例えば、バス）で接続される。
このように、ＭＡＣ生成部１４を設けることで、ＭＡＣの演算時間を短縮することができる。

（第２の実施形態）
図７は、本発明の第２の実施形態に係る紙葉類処理装置４Ａにおける計数情報を監査処理する手順を示すフロー図である。図８は、本実施形態に係る紙葉類処理装置４Ａにおける計数情報の監査処理に関する情報の流れを示す簡略図である。
本実施形態に係る紙葉類処理装置４Ａにおける主制御部１１Ａ及び鑑査用サーバ２Ａは、監査処理に関する部分以外については、第１の実施形態に係る紙葉類処理装置４における主制御部１１及び鑑査用サーバ２とそれぞれ同様である。以降では、第１の実施形態と異なる部分について主に説明する。

ここでは、計数情報の監査を２人で行うものとする。１人は、監査を毎日行う検証者であり、もう１人は、検証者の上司等で、監査を半年毎に行う監査役である。
主制御部１１ＡとＩＣカード７との間で送受信される処理データは、二組の互いに異なる一対のＭＡＣ生成キーを用いて暗号化される。

主制御部１１Ａには、二組の一対のＭＡＣ生成キーのそれぞれ一方のＭＡＣ生成キーが保存される。ここでは、主制御部１１Ａに保存される２つのＭＡＣ生成キーは、第１の秘密鍵及び第２の秘密鍵とする。また、検証者が使用するＩＣカード７には、第１の秘密鍵と対になる第１の公開鍵が保存される。監査役が使用するＩＣカード７には、第２の秘密鍵と対になる第２の公開鍵が保存される。

図７に示す本実施形態に係る監査処理の手順のステップＳＴ１１Ａ〜ＳＴ１８Ａは、それぞれ図３に示す第１の実施形態に係る監査処理の手順のステップＳＴ１１〜ＳＴ１８と同様である。ここでは、第１の実施形態に係る監査処理と異なる点を主に説明する。

まず、主制御部１１Ａは、紙葉類（紙幣）を鑑査する（ステップＳＴ１１Ａ）。
主制御部１１Ａは、処理結果に基づいて、裁断枚数等の計数情報を作成し、第１の秘密鍵及び第２の秘密鍵をそれぞれ用いて、計数情報等から第１のＭＡＣ及び第２のＭＡＣの２つのＭＡＣを生成する（ステップＳＴ１２Ａ）。

主制御部１１Ａは、生成した２つのＭＡＣ、計数情報及びその他の生成に用いた情報（計数情報等）を、処理データとして鑑査用サーバ２Ａに送信する（ステップＳＴ１３Ａ）。
鑑査用サーバ２Ａは、主制御部１１Ａから受信した処理データを、データベースに登録すると共に、客先サーバ３に送信する（ステップＳＴ１４Ａ）。

検証者による監査処理をするために、鑑査用サーバ２Ａは、第１のＭＡＣ及び計数情報等をＩＣカードリーダライタ２２に挿入された検証者のＩＣカード７に送信する（ステップＳＴ１５Ａ１）。
検証者のＩＣカード７は、第１の公開鍵を用いて、鑑査用サーバ２Ａから受信した第１のＭＡＣから計数情報等を求める演算をする。ＩＣカード７は、第１のＭＡＣから求めた計数情報等と鑑査用サーバ２Ａから暗号化されていない状態で受信した計数情報等を比較する（ステップＳＴ１６Ａ１）。

ＩＣカード７は、比較結果に基づいて、監査結果を鑑査用サーバ２Ａに送信する。（ステップＳＴ１７Ａ）。鑑査用サーバ２Ａは、監査結果を出力する（ステップＳＴ１８Ａ）。
監査役による監査処理をするために、鑑査用サーバ２Ａは、第２のＭＡＣ及び計数情報等をＩＣカードリーダライタ２２に挿入された監査役のＩＣカード７に送信する（ステップＳＴ１５Ａ２）。

ＩＣカード７は、第２の公開鍵を用いて、鑑査用サーバ２Ａから受信した第２のＭＡＣから計数情報等を求める演算をする。ＩＣカード７は、第２のＭＡＣから求めた計数情報等と鑑査用サーバ２Ａから暗号化されていない状態で受信した計数情報等を比較する（ステップＳＴ１６Ａ２）。以降の手順は、検証者による監査処理と同様である（ステップＳＴ１７Ａ，ＳＴ１８Ａ）。

ここでは、鑑査用サーバ２Ａで監査処理を行うことを説明したが、客先サーバ３も同様の監査処理が行えるように構成されている。
本実施形態によれば、第１の実施形態による作用効果に加え、以下の作用効果を得ることができる。
２組の一対のＭＡＣ生成キーを用いて、計数情報と共に２つのＭＡＣを求めることにより、計数情報の改ざんに対するセキュリティを第１の実施形態よりも向上することができる。

具体的には、検証者及び監査役のように２人で監査することで、計数情報の改ざんを二重にチェックすることができる。また、検証者又は監査役のいずれか一方の者が、計数情報を改ざんしても、もう一方の者が改ざんを発見することができる。これにより、計数情報を管理する立場の者（検証者又は監査役など）でも、計数情報を改ざんすることは困難である。

（第３の実施形態）
図９は、本発明の第３の実施形態に係る紙葉類処理装置４Ｂにおける計数情報を監査処理する手順を示すフロー図である。図１０は、本実施形態に係る紙葉類処理装置４Ｂにおける計数情報の監査処理に関する情報の流れを示す簡略図である。
本実施形態に係る紙葉類処理装置４Ｂは、第１の実施形態に係る紙葉類処理装置４において、鑑査用サーバ２及びＩＣカード７をそれぞれ鑑査用サーバ２Ｂ及びＩＣカード７Ｂに代えたものである。これにより、第１実施形態では、ＩＣカード７で行う監査処理のための計数情報等の比較を、本実施形態では、鑑査用サーバ２Ｂで行うようにしたものである。この監査処理の変更に関する部分以外は、第１の実施形態と同様である。

鑑査用サーバ２Ｂは、第１の実施形態に係るＩＣカード７の演算部７１及び比較部７２と同等の機能を有する演算部７１Ｂ及び比較部７２Ｂを備える。ＩＣカード７Ｂは、第１の実施形態に係るＩＣカード７において、演算部７１及び比較部７２を取り除き、公開鍵を送信する送信部７３を備える。その他の部分については、鑑査用サーバ２Ｂ及びＩＣカード７Ｂは、それぞれ第１の実施形態に係る鑑査用サーバ２及びＩＣカード７と同様である。

図９に示す本実施形態に係る監査処理の手順のステップＳＴ１１Ｂ〜ＳＴ１４Ｂは、それぞれ図３に示す第１の実施形態に係る監査処理の手順のステップＳＴ１１〜ＳＴ１４と同様である。したがって、ステップＳＴ１５Ｂから説明する。
鑑査用サーバ２Ｂは、監査処理をするために、ＩＣカード７Ｂから公開鍵（ＭＡＣ生成キー）を読み出す（ステップＳＴ１５Ｂ）。これにより、ＩＣカード７Ｂの送信部７３から公開鍵が鑑査用サーバ２Ｂに送信される。

鑑査用サーバ２Ｂは、ＩＣカード７Ｂから受信した公開鍵を用いて、主制御部１１から受信したＭＡＣから計数情報等を求める演算を演算部７１Ｂで行う。鑑査用サーバ２Ｂは、演算部７１ＢでＭＡＣから求めた計数情報等と主制御部１１から暗号化されていない状態で受信した計数情報等を比較部７２Ｂで比較する（ステップＳＴ１６Ｂ）。

鑑査用サーバ２Ｂは、比較結果に基づいて、監査結果を出力する（ステップＳＴ１７Ｂ）。比較結果が一致していれば、鑑査用サーバ２Ｂは、監査結果が正常であることを出力し、比較結果が一致していなければ、鑑査用サーバ２Ｂは、監査結果が異常であることを出力する。監査結果の出力については、第１の実施形態に係るステップＳＴ１８と同様である。

ここでは、鑑査用サーバ２Ｂで監査処理を行うことを説明したが、客先サーバ３も同様の監査処理が行えるように構成されている。
本実施形態によれば、監査処理における計数情報等の演算及び比較を鑑査用サーバ２Ｂで行うことにより、第１の実施形態による作用効果に加え、第１の実施形態よりも早く監査結果を得ることができる。

（第４の実施形態）
図１１は、本発明の第４の実施形態に係る紙葉類処理装置４Ｃにおける計数情報を監査処理する手順を示すフロー図である。図１２は、本実施形態に係る紙葉類処理装置４Ｃにおける計数情報の監査処理に関する情報の流れを示す簡略図である。
本実施形態に係る紙葉類処理装置４Ｃは、第３の実施形態に係る紙葉類処理装置４Ｂにおいて、主制御部１１を第２の実施形態に係る主制御部１１Ａに代え、鑑査用サーバ２Ｂを鑑査用サーバ２Ｃに代えたものである。これにより、第３の実施形態と同様に、監査処理のための計数情報等の比較を鑑査用サーバ２Ｃで行い、さらに、第２の実施形態と同様に、２人（例えば、検証者と監査役）で監査を行えるようにしたものである。この監査処理の変更に関する部分以外は、第３の実施形態と同様である。

鑑査用サーバ２Ｃは、第３の実施形態に係る鑑査用サーバ２Ｂにおいて、第２の実施形態と同様に、２人で監査を行えるようにしたものである。その他の点は、第３の実施形態に係る鑑査用サーバ２Ｂと同様である。
主制御部１１Ａには、第１の秘密鍵（ＭＡＣ生成キー）及び第２の秘密鍵（ＭＡＣ生成キー）が保存される。検証者が使用するＩＣカード７Ｂには、第１の秘密鍵と対になる第１の公開鍵（ＭＡＣ生成キー）が保存される。監査役が使用するＩＣカード７Ｂには、第２の秘密鍵と対になる第２の公開鍵（ＭＡＣ生成キー）が保存される。

図１１に示す本実施形態に係る監査処理の手順のステップＳＴ１１Ｃ〜ＳＴ１４Ｃは、それぞれ図９に示す第３の実施形態に係る監査処理の手順のステップＳＴ１１Ｂ〜ＳＴ１４Ｂと同様である。したがって、ステップＳＴ１５Ｃ１及びステップＳＴ１５Ｃ２から説明する。

検証者による監査処理をするために、鑑査用サーバ２Ｃは、ＩＣカードリーダライタ２２に挿入された検証者のＩＣカード７Ｂから第１の公開鍵を読み出す（ステップＳＴ１５Ｃ１）。これにより、ＩＣカード７Ｂの送信部７３から第１の公開鍵が鑑査用サーバ２Ｃに送信される。

鑑査用サーバ２Ｃは、検証者のＩＣカード７Ｂから受信した第１の公開鍵を用いて、主制御部１１Ａから受信した第１のＭＡＣから計数情報等を求める演算を演算部７１Ｂで行う。鑑査用サーバ２Ｃは、演算部７１Ｂで第１のＭＡＣから求めた計数情報等と主制御部１１Ａから暗号化されていない状態で受信した計数情報等を比較部７２Ｂで比較する（ステップＳＴ１６Ｃ１）。

第３の実施形態に係るステップＳＴ１７Ｂと同様に、鑑査用サーバ２Ｃは、比較結果に基づいて、監査結果を出力する（ステップＳＴ１７Ｃ）。
監査役による監査処理をするために、鑑査用サーバ２Ｃは、ＩＣカードリーダライタ２２に挿入された監査役のＩＣカード７Ｂから第２の公開鍵を読み出す（ステップＳＴ１５Ｃ２）。これにより、ＩＣカード７Ｂの送信部７３から第２の公開鍵が鑑査用サーバ２Ｃに送信される。

鑑査用サーバ２Ｃは、監査役のＩＣカード７Ｂから受信した第２の公開鍵を用いて、主制御部１１Ａから受信した第２のＭＡＣから計数情報等を求める演算を演算部７１Ｂで行う。鑑査用サーバ２Ｃは、演算部７１Ｂで第２のＭＡＣから求めた計数情報等と主制御部１１Ａから暗号化されていない状態で受信した計数情報等を比較部７２Ｂで比較する（ステップＳＴ１６Ｃ２）。

検証者による監査処理と同様に、鑑査用サーバ２Ｃは、比較結果に基づいて、監査結果を出力する（ステップＳＴ１７Ｃ）。
ここでは、鑑査用サーバ２Ｃで監査処理を行うことを説明したが、客先サーバ３も同様の監査処理が行えるように構成されている。

本実施形態によれば、第３の実施形態による作用効果に加え、２組の一対のＭＡＣ生成キーを用いて、計数情報と共に２つのＭＡＣを求めることにより、第２の実施形態と同様の作用効果を得ることができる。
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１…機器本体、２…鑑査用サーバ、３…客先サーバ、４…紙葉類処理装置、５…ネットワーク、６…キー生成サーバ、７…ＩＣカード、１０…紙葉類処理システム、１１…主制御部、１２…副制御部、１３…判定用制御部。

Claims (14)

1. 複数枚の紙葉類を鑑査した鑑査結果に基づいて区分された紙葉類を処理する機器本体を備える紙葉類処理システムにおいて、処理された紙葉類の枚数を含む第１計数情報を監査する紙葉類の処理データ監査方法であって、
   前記機器本体により、第１ＭＡＣ生成キーを用いて、前記第１計数情報に基づいて、第１ＭＡＣを生成し、
   前記機器本体により、前記第１計数情報及び前記第１ＭＡＣを監査をするための演算をする第１演算部に送信し、
   前記第１演算部により、第１ＩＣカードに保存され、前記第１ＭＡＣ生成キーと対の第２ＭＡＣ生成キーを用いて、前記第１ＭＡＣに基づいて、第２計数情報を求め、
   前記第１演算部により、前記第１計数情報と前記第２計数情報を比較し、
   前記第１演算部による比較結果が、一致していれば監査結果を正常とし、一致していなければ監査結果を異常とすること
   を含むことを特徴とする紙葉類の処理データ監査方法。
2. 前記第１計数情報は、紙葉類が裁断された裁断枚数が含まれること
   を特徴とする請求項１に記載の紙葉類の処理データ監査方法。
3. 前記第１演算部は、前記第１ＩＣカードに設けられたこと
   を特徴とする請求項１に記載の紙葉類の処理データ監査方法。
4. 前記第１演算部は、前記第１計数情報を管理する管理用コンピュータに設けられたこと
   を特徴とする請求項１に記載の紙葉類の処理データ監査方法。
5. 前記機器本体により、第３ＭＡＣ生成キーを用いて、前記第１計数情報に基づいて、第２ＭＡＣを生成し、
   前記機器本体により、前記第１計数情報及び前記第２ＭＡＣを監査をするための演算をする第２演算部に送信し、
   前記第２演算部により、第２ＩＣカードに保存され、前記第３ＭＡＣ生成キーと対の第４ＭＡＣ生成キーを用いて、前記第２ＭＡＣに基づいて、第３計数情報を求め、
   前記第２演算部により、前記第１計数情報と前記第３計数情報を比較し、
   前記第２演算部による比較結果が、一致していれば監査結果を正常とし、一致していなければ監査結果を異常とすること
   を含むことを特徴とする請求項１に記載の紙葉類の処理データ監査方法。
6. 前記第１演算部は、前記第１ＩＣカードに設けられ、
   前記第２演算部は、前記第２ＩＣカードに設けられたこと
   を特徴とする請求項５に記載の紙葉類の処理データ監査方法。
7. 前記第１演算部及び前記第２演算部は、前記第１計数情報を管理する管理用コンピュータに設けられたこと
   を特徴とする請求項５に記載の紙葉類の処理データ監査方法。
8. 複数枚の紙葉類を鑑査した鑑査結果に基づいて区分された紙葉類を処理する機器本体と、
   処理された紙葉類の枚数を含む第１計数情報を管理する管理用コンピュータと、
   監査に用いられる第１ＩＣカードと、
   監査をするための演算をする第１演算部とを備え、
   前記機器本体は、
   第１ＭＡＣ生成キーを用いて、前記第１計数情報に基づいて、第１ＭＡＣを生成する第１ＭＡＣ生成部と、
   前記第１計数情報及び前記第１ＭＡＣを前記第１演算部に送信する第１送信部とを備え、
   前記第１演算部は、
   前記第１ＩＣカードに保存され、前記第１ＭＡＣ生成キーと対の第２ＭＡＣ生成キーを用いて、前記第１ＭＡＣに基づいて、第２計数情報を求める第１計数情報演算部と、
   前記第１計数情報と前記第２計数情報を比較する第１比較部とを備え、
   前記第１比較部による比較結果が、一致していれば監査結果を正常とし、一致していなければ監査結果を異常とすること
   を特徴とする紙葉類処理システム。
9. 前記第１計数情報は、紙葉類が裁断された裁断枚数が含まれること
   を特徴とする請求項８に記載の紙葉類処理システム。
10. 前記第１演算部は、前記第１ＩＣカードに設けられたこと
    を特徴とする請求項８に記載の紙葉類処理システム。
11. 前記第１演算部は、前記第１計数情報を管理する管理用コンピュータに設けられたこと
    を特徴とする請求項８に記載の紙葉類処理システム。
12. 監査に用いられる第２ＩＣカードと、
    監査をするための演算をする第２演算部とを備え、
    前記機器本体は、
    第３ＭＡＣ生成キーを用いて、前記第１計数情報に基づいて、第２ＭＡＣを生成する第２ＭＡＣ生成部と、
    前記第１計数情報及び前記第２ＭＡＣを前記第２演算部に送信する第２送信部とを備え、
    前記第２演算部は、
    前記第２ＩＣカードに保存され、前記第３ＭＡＣ生成キーと対の第４ＭＡＣ生成キーを用いて、前記第２ＭＡＣに基づいて、第３計数情報を求める第２計数情報演算部と、
    前記第１計数情報と前記第３計数情報を比較する第２比較部とを備え、
    前記第２比較部による比較結果が、一致していれば監査結果を正常とし、一致していなければ監査結果を異常とすること
    を特徴とする請求項８に記載の紙葉類処理システム。
13. 前記第１演算部は、前記第１ＩＣカードに設けられ、
    前記第２演算部は、前記第２ＩＣカードに設けられたこと
    を特徴とする請求項１２に記載の紙葉類処理システム。
14. 前記第１演算部及び前記第２演算部は、前記第１計数情報を管理する管理用コンピュータに設けられたこと
    を特徴とする請求項１２に記載の紙葉類処理システム。

Images