JP2021114069A - 自動取引装置および自動取引システム - Google Patents

Abstract

【課題】利用者により誤操作がなされた場合に、カード等の情報保持体に保持された機密情報の安全性が担保されやすい自動取引装置を提供する。【解決手段】自動取引装置１は、診察券およびクレジットカードから、それぞれ診察券情報および診察券情報よりも機密性の高いクレジットカード情報を読み取る磁気リーダと、読み取られた診察券情報およびクレジットカード情報を暗号化する暗号化処理部と、暗号化された診察券情報およびクレジットカード情報を暗号化済情報として取得する制御部３０１と、外部との通信を行うための通信部３０６と、を備える。ここで、制御部３０１は、診察券情報を用いた診療費情報取得処理を行うために暗号化済情報を取得したとき、暗号化済情報を、平文の診察券情報に復号して返信してもらうために、復号を行うカード情報処理システムへ通信部３０６を介して送信する。【選択図】図３

Description

本発明は、カード等の情報保持体から読み取った情報を用いて支払等の取引を自動で行う自動取引装置および自動取引システムに関する。

従来、種々のカードを用いて、様々な取引が行われている。たとえば、医療機関では、診察券とクレジットカードを用いて診療費の支払いが行われる。これらの処理を自動で行う自動取引装置が、医療機関に設置される。これにより、利用者は、自身の診察券とクレジットカードを自動取引装置に読み取らせることにより自身の診療費を支払うことができる。この際、クレジットカードから読み取られた機密情報は、暗号化された後、決済に係る処理のために、自動取引装置からクレジット会社等の外部機関に送信される。

なお、以下の特許文献１には、カードリーダによりクレジットカードから読み込まれた認識情報が暗号化鍵によって暗号化された後に、決済端末機から外部へ送られることが記載されている。

特開２０１３−８４０３２号公報

利用者は、自動取引装置に読み取らせるべきカードを間違うことが起こり得る。たとえば、利用者は、診察券の受付の際に、誤って自身のクレジットカードを自動取引装置に読み取らせてしまう場合がある。このような場合、クレジットカードに保持された機密情報が、暗号されずに外部に出されてしまう畏れがある。

かかる課題に鑑み、本発明は、利用者により誤操作がなされた場合に、カード等の情報保持体に保持された機密情報の安全性が担保されやすい自動取引装置および自動取引システムを提供することを目的とする。

本発明の第１の態様は、自動取引装置に関する。この態様に係る自動取引装置は、第１種別の情報保持体および第２種別の情報保持体から、それぞれ第１情報および前記第１情報よりも機密性の高い第２情報を読み取る読取部と、読み取られた前記第１情報および前記第２情報を暗号化する暗号化部と、暗号化された前記第１情報および前記第２情報を暗号化済情報として取得する制御部と、外部との通信を行うための通信部と、を備える。ここで、前記制御部は、前記第１情報を用いた処理を行うために前記暗号化済情報を取得したとき、前記暗号化済情報を、平文の前記第１情報に復号して返信してもらうために、復号を行う外部装置へ前記通信部を介して送信する。

本発明の第２の態様は、自動取引装置に関する。この態様に係る自動取引装置は、第１種別の情報保持体から第１情報を読み取る第１読取部と、読み取られた前記第１情報を暗号化する第１暗号化部と、第２種別の情報保持体から前記第１情報よりも機密性の高い第２情報を読み取る第２読取部と、読み取られた前記第２情報を暗号化する第２暗号化部と、暗号化された前記第１情報および前記第２情報を暗号化済情報として取得する制御部と、外部との通信を行うための通信部と、を備える。ここで、前記制御部は、前記第１読取部により読み取られて前記第１暗号化部により暗号化された前記暗号化済情報を取得したとき、前記暗号化済情報を、平文の前記第１情報に復号して返信してもらうために、復号を行う外部装置へ前記通信部を介して送信する。

第１の態様および第２の態様に係る自動取引装置によれば、第１情報を用いた処理が行われる際に、ユーザにより誤って第２種別の情報保持体が適用され、第２情報が読み取られた場合にも、この第２情報が暗号化されて制御部に取得されるので、機密性の高い第２情報が平文のまま自動取引装置に保持された状態となることを回避できる。よって、第２種別の情報保持体に保持された機密性の高い第２情報の安全性が確保されやすくなる。

さらに、暗号化された第１情報は、復号が行える外部装置で平文に復号され、自動取引装置に返信されるので、自動取引装置において、制御部は、平文の第１情報を用いて処理を行うことができる。

第１の態様または第２の態様に係る自動取引装置において、前記制御部は、前記外部装置から前記通信部を介して平文の前記第１情報を受信した場合、前記第１情報に関連付けられた情報を有する他の外部装置に対し、受信した平文の前記第１情報を、前記通信部を介して送信するような構成とされ得る。

この構成によれば、復号された平文の第１情報を利用して他の外部装置から、第１情報に関連付けられた情報を取得できる。

第１の態様または第２の態様に係る自動取引装置において、前記制御部は、前記外部装置で前記暗号化済情報が平文の前記第２情報に復号されたとき、前記暗号化済情報が平文の前記第２情報に復号されたことに基づく通知を前記外部装置から前記通信部を介して受信するような構成とされ得る。

この構成によれば、誤って第２種別の情報保持体から第２情報が読み取られたことを制御部が把握できる。

第１の態様または第２の態様に係る自動取引装置において、前記制御部は、前記暗号化済情報を、平文の前記第１情報に復号して返信してもらうために前記外部装置へ送信する前に、前記暗号化済情報が前記第１情報を暗号化したものであるか否かの判定を行い、前記暗号化済情報が前記第１情報を暗号化したものでない場合は前記外部装置へ送信しないような構成とされ得る。

この構成によれば、機密性の高い第２情報を、暗号化された状態であっても、不必要なときに、極力、自動取引装置から出さないようにできる。

第１の態様または第２の態様に係る自動取引装置において、前記制御部は、前記外部装置での復号により前記暗号化済情報から平文の前記第１情報を得ることができないとき、情報保持体が間違っていることを報知するための処理を行うような構成とされ得る。

この構成によれば、利用者は、情報保持体の間違いに気付くことができる。

本発明の第３の態様は、自動取引システムに関する。この態様に係る自動取引システムは、第１種別の情報保持体および第２種別の情報保持体から、それぞれ第１情報および前記第１情報よりも機密性の高い第２情報を読み取る読取部と、読み取られた前記第１情報および前記第２情報を暗号化する暗号化部と、暗号化された前記第１情報および前記第２情報を暗号化済情報として取得する制御部と、外部との通信を行うための通信部とを含む自動取引装置と、前記自動取引装置と通信回線を介して通信可能に接続された、復号を行う外部装置と、を備える。ここで、前記制御部は、前記第１情報を用いた処理を行うために前記暗号化済情報を取得したとき、前記暗号化済情報を、前記通信部を介して前記外部装置へ送信し、前記外部装置は、受信した前記暗号化済情報を平文の前記第１情報に復号して前記自動取引装置へ送信する。

本発明の第４の態様は、自動取引システムに関する。この態様に係る自動取引システムは、第１種別の情報保持体から第１情報を読み取る第１読取部と、読み取られた前記第１情報を暗号化する第１暗号化部と、第２種別の情報保持体から前記第１情報よりも機密性の高い第２情報を読み取る第２読取部と、読み取られた前記第２情報を暗号化する第２暗号化部と、暗号化された前記第１情報および前記第２情報を暗号化済情報として取得する制御部と、外部との通信を行うための通信部とを含む自動取引装置と、前記自動取引装置と通信回線を介して通信可能に接続された、復号を行う外部装置と、を備える。ここで、前記制御部は、前記第１読取部により読み取られて前記第１暗号化部により暗号化された前記暗号化済情報を取得したとき、前記暗号化済情報を、前記通信部を介して前記外部装置へ送信し、前記外部装置は、受信した前記暗号化済情報を平文の前記第１情報に復号して前記自動取引装置へ送信する。

第３の態様および第４の態様に係る自動取引システムによれば、第１の態様および第２の態様に係る自動取引装置と同様の効果を奏することができる。

第３の態様または第４の態様に係る自動取引システムにおいて、前記制御部は、前記第２情報を用いた処理を行うために前記暗号化済情報を取得したとき、前記暗号化済情報を、前記通信部を介して前記外部装置へ送信し、前記外部装置は、受信した前記暗号化済情報を平文の前記第２情報に復号するが、前記自動取引装置へ平文の前記第２情報を送信しないような構成が採られ得る。

この構成によれば、自動取引装置が平文の第２情報を保持した状態になってしまうことを回避できる。

本発明の第５の態様は、自動取引装置に関する。この態様に係る自動取引装置は、第１種別の情報保持体および第２種別の情報保持体から、それぞれ第１情報および前記第１情報よりも機密性の高い第２情報を読み取る読取部と、読み取られた前記第１情報および前記第２情報を取得する制御部と、情報の暗号化を行う暗号化部と、を備える。ここで、前記第１情報を用いた処理が前記制御部により行われる場合に、前記読取部により前記第１情報が読み取られると、読み取られた前記第１情報が平文のまま前記制御部に取得され、前記読取部により前記第２情報が読み取られると、読み取られた前記第２情報が前記暗号化部により暗号化されて前記制御部に取得される。前記制御部は、前記第１情報を用いた処理を行う場合に、暗号化された前記第２情報を取得したとき、当該第２情報に対して所定の処理を行う。

本発明の第６の態様は、自動取引装置に関する。この態様に係る自動取引装置は、第１種別の情報保持体から第１情報を読み取る第１読取部と、第２種別の情報保持体から前記第１情報よりも機密性の高い第２情報を読み取る第２読取部と、読み取られた前記第１情報および前記第２情報を取得する制御部と、情報の暗号化を行う暗号化部と、を備える。ここで、前記第１情報を用いた処理が前記制御部により行われる場合に、前記第１読取部により前記第１情報が読み取られると、読み取られた前記第１情報が平文のまま前記制御部に取得され、前記第１読取部により前記第２情報が読み取られると、読み取られた前記第２情報が前記暗号化部により暗号化されて前記制御部に取得される。前記制御部は、前記第１情報を用いた処理を行う場合に、暗号化された前記第２情報を取得したとき、当該第２情報に対して所定の処理を行う。

第５の態様および第６の態様に係る自動取引装置によれば、第１情報を用いた処理が行われる際に、ユーザにより誤って第２種別の情報保持体が適用され、第２情報が読み取られた場合にも、この第２情報が暗号化されて制御部に取得されるので、機密性の高い第２情報が平文のまま自動取引装置に保持された状態となることを回避できる。よって、第２種別の情報保持体に保持された機密性の高い第２情報の安全性が確保されやすくなる。

第５の態様または第６の態様に係る自動取引装置において、外部との通信を行うための通信部をさらに備えるような構成が採られ得る。この場合、前記制御部は、前記所定の処理として、暗号化された前記第２情報を、前記第１情報が送信されるべき外部装置へ前記通信部を介して送信するような構成とされ得る。

この構成によれば、外部装置から、送信された情報が第１情報ではないことに基づく通知を返すことが可能となるので、誤って第２種別の情報保持体から第２情報が読み取られたことを制御部が把握することが可能となる。

第５の態様または第６の態様に係る自動取引装置において、前記制御部は、前記所定の処理として、取得した情報が暗号化された前記第２情報であることを確認して当該第２情報を消去するような構成とされ得る。

この構成によれば、機密性の高い第２情報が、暗号化された状態であっても自動取引装置に残ることを回避できる。

上記のように、本発明によれば、利用者により誤操作がなされた場合に、カード等の情報保持体に保持された機密情報の安全性が担保されやすい自動取引装置および自動取引システムを提供することができる。

本発明の効果ないし意義は、以下に示す実施形態の説明により更に明らかとなろう。ただし、以下に示す実施形態は、あくまでも、本発明を実施化する際の一つの例示であって、本発明は、以下の実施形態に記載されたものに何ら制限されるものではない。

図１は、実施形態１に係る、自動取引装置を含む自動取引システムの構成を示す図である。 図２（ａ）は、実施形態１に係る、自動取引装置の外観を示す斜視図である。図２（ｂ）は、実施形態１に係る、診察券の外観を示す正面図である。図２（ｃ）は、実施形態１に係る、クレジットカードの外観を示す正面図である。 図３は、実施形態１に係る、自動取引装置の構成を示すブロック図である。 図４は、実施形態１に係る、カード処理部の構成を示す図である。 図５は、実施形態１に係る、診療費情報取得処理において、自動取引装置の制御部により実行される制御を示すフローチャートである。 図６（ａ）は、実施形態１に係る、診療費情報取得処理において、カード処理部のカード制御部により実行される制御を示すフローチャートである。図６（ｂ）は、実施形態１に係る、診療費情報取得処理において、カード情報処理システムの制御部により実行される制御を示すフローチャートである。 図７は、実施形態２に係る、診療費情報取得処理において、自動取引装置の制御部により実行される制御を示すフローチャートである。 図８は、実施形態２に係る、診療費情報取得処理において、カード処理部のカード制御部により実行される制御を示すフローチャートである。 図９は、実施形態２に係る、診療費情報取得処理において、医事システムの制御部により実行される制御を示すフローチャートである。 図１０は、変更例１に係る、診療費情報取得処理において、自動取引装置の制御部により実行される制御を示すフローチャートである。 図１１（ａ）は、変更例１に係る、診療費情報取得処理において、カード処理部のカード制御部により実行される制御を示すフローチャートである。図１１（ｂ）は、変更例１に係る、診療費情報取得処理において、カード情報処理システムの制御部により実行される制御を示すフローチャートである。 図１２は、変更例２に係る、診療費情報取得処理において、自動取引装置の制御部により実行される制御を示すフローチャートである。 図１３（ａ）は、変更例２に係る、診療費情報取得処理において、カード処理部のカード制御部により実行される制御を示すフローチャートである。図１３（ｂ）は、変更例２に係る、診療費情報取得処理において、医事システムの制御部により実行される制御を示すフローチャートである。 図１４は、変更例３に係る、自動取引装置の構成を示すブロック図である。 図１５は、変更例３に係る、第１カード処理部および第２カード処理部の構成を示す図である。

以下、本発明の実施形態について、図面を参照して説明する。

実施形態１において、医事システム２が、請求項３に記載の「他の外部装置」に対応する。また、カード情報処理システム３が、請求項１および７に記載の「外部装置」に対応する。

実施形態２において、医事システム２が、請求項１２に記載の「外部装置」に対応する。

実施形態１、２において、診察券１００が、請求項１、７および１０に記載の「第１種別の情報保持体」に対応し、クレジットカード２００が、請求項１、７および１０に記載の「第２種別の情報保持体」に対応する。また、磁気リーダ４０４が、請求項１、７および１０に記載の「読取部」に対応する。さらに、暗号化処理部４０８が、請求項１、７および１０に記載の「暗号化部」に対応する。

ただし、上記記載は、あくまで、特許請求の範囲の構成と実施形態１の構成とを対応付けることを目的とするものであって、上記対応付けによって特許請求の範囲に記載の発明が実施形態の構成に何ら限定されるものではない。

＜実施形態１＞
図１は、実施形態１に係る、自動取引装置１を含む自動取引システム４の構成を示す図である。

自動取引装置１は、医療機関に設置される。自動取引装置１は、中継器および内部通信網（ＬＡＮ）を介して、医療機関内に設置された医事システム２に接続される。また、自動取引装置１は、中継器および外部通信網を介して、クレジットカードに関する支払いを管理するカード情報処理センターに設置されたカード情報処理システム３に接続される。外部通信網による接続は、たとえば、専用線によるインライン接続である。あるいは、外部通信網による接続が、インターネット接続であってもよい。これら自動取引装置１、医事システム２およびカード情報処理システム３により、自動取引システム４が構成される。

自動取引装置１は、診療費の精算の際に、後述の診察券１００を受け付けて、患者のＩＤ情報を含む診察券情報を医事システム２に送信する。これにより、医事システム２から、当該ＩＤ情報に対応付けられている診療費情報が、自動取引装置１に送信されて、自動取引装置１における精算処理が行われる。

また、自動取引装置１は、当該精算処理の際に、後述のクレジットカード２００を受け付けて、クレジットカード番号を含む支払い情報をカード情報処理システム３に送信する。支払い情報は、暗号化されてカード情報処理システム３に送信される。支払い情報は、クレジットカード番号の他に、セキュリティコード、カード所持者のアルファベットの名称およびクレジットカードの有効期限が含まれていてもよい。支払い情報の送信により、クレジットカードを用いて、診療費等の支払い処理が行われる。この他、自動取引装置１は、支払い処理の際に、現金での支払いを受け付けて、紙幣および硬貨の処理を行う。

医事システム２は、自動取引装置１へ診療費情報を送付する処理など、所定の処理を行うため、コンピュータ等からなる制御部２ａを含む。同様に、カード情報処理システム３は、暗号化された支払情報を復号する処理など、所定の処理を行うため、コンピュータ等からなる制御部３ａを含む。なお、カード情報処理システム３は、平文のクレジットカード情報を取り扱うことを許可されたシステムであり、一般的なシステムに比べてセキュリティー性が高い。

図２（ａ）は、実施形態１に係る、自動取引装置１の外観を示す斜視図である。

自動取引装置１は、大人の背丈程度の高さの直方体形状を有する。自動取引装置１は、操作表示部１１と、テンキー１２と、バーコードリーダ１３と、第１印刷部１４と、第２印刷部１５と、カード挿入口１６と、紙幣入金部１７と、紙幣出金部１８と、硬貨入出金部１９と、異物返却部２０とを備える。

操作表示部１１は、所定の情報を表示するとともに、利用者からの操作を受け付ける。操作表示部１１は、たとえば、液晶表示器を備えたタッチパネルにより構成される。テンキー１２は、暗証番号の入力等に用いられる。たとえば、クレジットカード２００による支払いの際に、利用者は、テンキー１２を用いてクレジットカードの暗証番号を入力する。

バーコードリーダ１３は、医療費を精算するための用紙に印字されたバーコードを読み取る。たとえば、診察を受け付けるための受付機で発行された整理券に、精算のためのバーコードが印字される。利用者は、このバーコードを用いて、医療費の精算を行える。第１印刷部１４は、クレジットカード２００等による決済が行われた場合に、利用者控えを送出する。第２印刷部１５は、診療費の支払いが行われた場合に領収書を送出し、また、操作表示部１１に対して診療明細書の発行操作がなされた場合に、診療明細書を送出する。

カード挿入口１６は、診察券１００およびクレジットカード２００の挿入口である。実施形態１では、診察券１００およびクレジットカード２００の両方に対して共通のカード挿入口１６が設けられている。

紙幣入金部１７は、現金による診療費の支払いの際に、紙幣の投入を受け付ける。紙幣出金部１８は、現金による診療費の支払いの際に、返金すべき紙幣を搬出する。硬貨入出金部１９は、現金による診療費の支払いの際に、硬貨の投入を受け付け、また、返却すべき硬貨を搬出する。異物返却部２０は、硬貨入出金部１９に硬貨以外の異物が投入された場合に、当該異物を搬出する。

利用者は、操作表示部１１に表示された画面に従って、診療費の支払い等の操作を操作表示部１１に対して行う。診療費の支払いは、カード挿入口１６に診察券１００を挿入するか、精算のための用紙に印字されたバーコードをバーコードリーダ１３に読み取らせることによって行われる。

カード挿入口１６に診察券１００が挿入されると、診察券１００から読み取られた診察券情報に含まれるＩＤ情報が医事システム２に送信され、当該診察券情報に紐付けられている診療費情報が、医事システム２から自動取引装置１に送信される。あるいは、精算のための用紙に印字されたバーコードがバーコードリーダ１３に向けられると、バーコードリーダ１３によって読み取られたバーコード情報が医事システム２に送信され、当該バーコード情報に紐付けられている診療費情報が、医事システム２から自動取引装置１に送信される。

自動取引装置１は、受信した診療費情報に応じた金額を精算するための画面を操作表示部１１に表示させ、現金またはクレジットカード２００による支払いの選択を利用者に促す。さらに、デビットカードによる支払いの選択が可能であってもよい。自動取引装置１は、操作表示部１１に対する操作に応じて、クレジットカード２００を用いた支払い処理、および、現金による支払い処理を実行する。クレジットカード２００を用いた支払いが選択された場合、自動取引装置１は、カード挿入口１６を介してクレジットカード２００の挿入を受け付ける。支払い処理の開始時に、カード挿入口１６を介して診察券１００が搬入されている場合、自動取引装置１は、診察券１００を排出した後、クレジットカード２００の挿入を受け付ける。これにより、クレジットカード２００による精算が行われる。

図２（ｂ）は、実施形態１に係る、診察券１００の外観を示す正面図である。図２（ｃ）は、実施形態１に係る、クレジットカード２００の外観を示す正面図である。

図２（ｂ）を参照して、診察券１００は、平面視において、長方形の角が丸められた形状を有する。診察券１００は、樹脂等のある程度可撓性がある材料によって形成されている。診察券１００には、上述の診察券情報を保持する磁気ストライプ１０１が設けられている。診察券情報は、所定のフォーマットで磁気ストライプ１０１に保持される。たとえば、診察券情報は、所定の信号フォーマットで構成されたヘッダー領域（ヘッダー情報の保持領域）と、ヘッダー領域に続くデータ領域（診察券情報の保持領域）とを有するフォーマットで磁気ストライプ１０１に保持される。磁気ストライプ１０１を磁気ヘッドで操作することにより、診察券情報が読み取られる。

この他、診察券１００には、診察券であることの標記１０２と、ＩＤ情報１０３が配置されている。ＩＤ情報１０３は、診察券情報として診察券１００に保持された患者のＩＤ情報と同一であってもよく、あるいは、診察券１００ごとに設定された固有のＩＤ情報であってもよい。あるいは、診察券１００ごとに固有に設定された当該診察券１００のＩＤ情報が、患者のＩＤ情報として診察券情報に含まれてもよい。この他、診察券１００に保持される診察券情報には、患者の生年月日等が含まれ得る。便宜上、図２（ｂ）では、医療機関の名称や住所等のその他の情報の図示が省略されている。

図２（ｃ）を参照して、クレジットカード２００は、平面視において、長方形の角が丸められた形状を有する。クレジットカード２００は、樹脂等のある程度可撓性がある材料によって形成されている。クレジットカード２００の形状は、診察券１００と略同じである。

クレジットカード２００の表面には、ＩＣチップ２０１が配置されている。ＩＣチップ２０１は、接触または非接触で通信可能な集積回路である。ＩＣチップ２０１には、クレジットカード２００のカード番号や、会員情報（ＩＤ情報、アルファベットの名称、有効期限、等）、暗号化鍵およびクレジット処理を行うためのアプリケーション等のクレジットカード情報が、保持されている。

クレジットカード２００の裏面および表面の少なくとも一方には、磁気ストライプ２０２が配置されている。磁気ストライプ２０２には、ＩＣチップ２０１に保持された情報の一部と同様のクレジットカード情報（カード番号等）が保持されている。クレジットカード情報は、所定のフォーマットで磁気ストライプ２０２に保持される。磁気ストライプ２０２を磁気リーダ（磁気ヘッド）で操作することにより、クレジットカード情報が読み取られる。ＩＣチップ２０１に保持されるクレジットカード情報のデータサイズは、磁気ストライプ２０２に保持されるクレジットカード情報のデータサイズよりも大きい。

さらに、クレジットカード２００には、カード番号２０３が刻印されている。便宜上、図２（ｃ）では、クレジット会社の名称や、セキュリティコード、有効期限およびカード所有者のアルファベット標記等の他の情報の図示が省略されている。

なお、クレジットカード２００に保持された支払情報（カード番号等）を含むクレジットカード情報は、その情報が流出すると利用者の財産が不正に取得される虞があるため、診察券１００に保持された診察券情報よりも機密性が高い。そして、クレジットカード２００から読み取られた情報は、暗号化されることがＰＣＩＤＳＳ（Payment Card Industry Data Security Standard）等の規格（所定の定め）により義務付けられている。診察券１００から読み取られた情報については、暗号化が義務付けられてはいない。

図３は、実施形態１に係る、自動取引装置１の構成を示すブロック図である。

自動取引装置１は、図２（ａ）に示した操作表示部１１、テンキー１２、バーコードリーダ１３、第１印刷部１４および第２印刷部１５の他に、制御部３０１と、紙幣処理部３０２と、硬貨処理部３０３と、カード処理部３０４と、音声出力部３０５と、通信部３０６とを備える。

制御部３０１は、ＣＰＵ（Central Processing Unit）等の演算処理回路と、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等のメモリとを備え、メモリに記憶されたプログラムに従って各部を制御する。紙幣処理部３０２は、各金種の紙幣を収容するための紙幣収容部および紙幣を搬送する搬送部を備え、制御部３０１からの制御により、紙幣収容部と紙幣入金部１７および紙幣出金部１８との間で紙幣を搬送する。硬貨処理部３０３は、各金種の硬貨を収容するための硬貨収容部および硬貨を搬送する搬送部を備え、制御部３０１からの制御により、硬貨収容部と硬貨入出金部１９との間で硬貨を搬送する。

カード処理部３０４は、図２（ａ）のカード挿入口１６から挿入されたカード（診察券１００、クレジットカード２００）を処理する。カード処理部３０４の構成については、追って図４を参照して説明する。

音声出力部３０５は、スピーカ等の音声出力手段を備え、制御部３０１からの制御に応じて、所定の音声を出力する。通信部３０６は、上述の医事システム２およびカード情報処理システム３と通信を行うための通信インタフェースである。

図４は、実施形態１に係る、カード処理部３０４の構成を示す図である。

カード処理部３０４は、搬送部４０１と、センサ４０２ａ〜４０２ｃと、通信部４０３と、磁気リーダ４０４と、通信信号処理部４０５と、磁気信号処理部４０６と、カード制御部４０７と、暗号化処理部４０８と、通信部４０９とを備える。

搬送部４０１は、搬送ベルトと、搬送ベルトを駆動するモータとを備え、カード挿入口１６から挿入されたカード（診察券１００、クレジットカード２００）を搬送路４０１ａに沿って搬送する。搬送路４０１ａは、直線状に形成される。カードを搬送可能な限りにおいて、搬送路４０１ａが折れ曲がっていてもよい。搬送路４０１ａの入口がカード挿入口１６に対向するように、搬送部４０１が構成される。

センサ４０２ａ〜４０２ｃは、それぞれ、カードの到達を検出する。センサ４０２ａ〜４０２ｃは、たとえば、反射型の光センサである。センサ４０２ａ〜４０２ｃが透過型の光センサであってもよく、カードの到達を検出可能な限りにおいて、他の方式のセンサであってもよい。搬送部４０１に配置されるセンサの数は３つに限られない。

センサ４０２ａは、カード挿入口１６にカードが挿入されたことを検出する。センサ４０２ｂは、搬送部４０１によりクレジットカード２００が搬入された場合に、クレジットカード２００のＩＣチップ２０１が通信部４０３に対向する位置に到達したことを検出する。センサ４０２ｃは、搬送部４０１により診察券１００またはクレジットカード２００が搬入された場合に、診察券１００の磁気ストライプ１０１またはクレジットカード２００の磁気ストライプ２０２が磁気リーダ４０４に対向する位置に到達したことを検出する。

通信部４０３は、クレジットカード２００のＩＣチップ２０１と近距離通信を行うための構成を備える。たとえば、通信部４０３がＩＣチップ２０１と非接触で近距離無線通信を行う構成である場合、通信部４０３は、ＩＣチップ２０１側のコイルに対し、電力供給および通信を行うためのコイルを備える。あるいは、通信部４０３がＩＣチップ２０１と接触して通信を行う場合、通信部４０３は、ＩＣチップ２０１と接触して通信するための構成、たとえば、ＩＣチップ２０１と接触してデータを読み取る接点を備える。

磁気リーダ４０４は、診察券１００の磁気ストライプ１０１またはクレジットカード２００の磁気ストライプ２０２に保持された情報を読み取るための構成を備える。たとえば、磁気リーダ４０４は、磁気ヘッドを備える。磁気リーダ４０４が、書き込み機能を備えていてもよい。

通信信号処理部４０５は、カード制御部４０７からの制御により、通信部４０３に送信信号を供給し、また、通信部４０３により受信された受信信号を処理してカード制御部４０７に供給する。磁気信号処理部４０６は、磁気リーダ４０４によって読み取られた信号を処理して、カード制御部４０７に供給する。

カード制御部４０７は、ＣＰＵ等の演算処理回路と、ＲＯＭ、ＲＡＭ等のメモリとを備え、メモリに記憶されたプログラムに従って、カード処理部３０４の各部の制御を行う。暗号化処理部４０８は、診察券１００から読み取られた情報およびクレジットカード２００から読み取られた情報を暗号化する。通信部４０９は、カード制御部４０７からの制御により、各種情報を図３の制御部３０１に送信する。

本実施形態１の自動取引システム４では、利用者が自動取引装置１を用いた診療費の精算を行うため処理が実行される。

最初に、自動取引装置１が、利用者が支払うべき診療費の額を医事システム２から取得して利用者に提示する診療費情報取得処理が行われる。

診療費情報取得処理では、利用者により、カード挿入口１６に診察券１００が挿入され、その診察券１００から読み取られた診察券情報が、カード処理部３０４から制御部３０１に送信される。制御部３０１は、診察券情報に含まれるＩＤ情報を用いて医事システム２から診療費情報を取得し、診療費の表示および支払い方法の選択を促す画面を操作表示部１１に表示させる。この診療費情報取得処理については、追って詳細に説明する。

利用者が、支払い方法としてクレジットカード２００による支払いを選択すると、カード支払い処理が行われる。

カード支払い処理では、制御部３０１は、カード処理部３０４のカード制御部４０７に、クレジットカード２００の受け付け指示を送信する。カード制御部４０７は、カード挿入口１６にクレジットカード２００が挿入されるのを待つ。

利用者がカード挿入口１６にクレジットカード２００を挿入すると、カード制御部４０７は、通信部４０３を介して、クレジットカード２００のＩＣチップ２０１からクレジットカード情報を取得するとともに、磁気リーダ４０４を介して、クレジットカード２００の磁気ストライプ２０２からクレジットカード情報を取得する。そして、カード制御部４０７は、ＩＣチップ２０１からクレジットカード情報を取得できたときは、そのクレジットカード情報に含まれる支払い情報を、暗号化処理部４０８により暗号化し、通信部４０９を介して、制御部３０１に送信する。一方、カード制御部４０７は、ＩＣチップ２０１からクレジットカード情報を取得でなかったときは、磁気ストライプ２０２からのクレジットカード情報（支払情報を含む）を、暗号化処理部４０８により暗号化して制御部３０１に送信する。制御部３０１は、審査依頼とともに受信した暗号化後の支払い情報またはクレジットカード情報を、暗号化済情報として、通信部３０６を介して、カード情報処理システム３へ送信する。

カード情報処理システム３は、ＰＣＩＤＳＳ（Payment Card IndustryData Security Standard）等の規格に基づく認定の取得により、暗号化された情報の復号を行う権限を有する。一方で、自動取引装置１は、上記認定の取得がなされておらず、暗号化された情報の復号を行えない。但し、仮に自動取引装置１が上記認定を取得している場合は、暗号化された情報の復号を行うことも可能である。

カード情報処理システム３の制御部３ａは、カード支払い処理において、暗号化済情報を受信すると、当該暗号化済情報を復号し、復号された支払い情報またはクレジットカード情報を審査依頼とともにクレジット会社に専用回線を通じて送信する。なお、制御部３ａは、復号後の平文の支払い情報またはクレジットカード情報を自動取引装置１へは送信しない。

その後、制御部３０１は、クレジット会社からの審査結果を、カード情報処理システム３を介して取得する。

決済可である審査結果が得られると、その後は、カード処理部３０４またはクレジット会社により決済が行われる。即ち、ＩＣチップ２０１からの支払い情報が用いられた場合は、クレジットカード情報に含まれるアプリケーションに従ってカード制御部４０７が決済を行い、磁気ストライプ２０２からのクレジットカード情報が用いられた場合は、クレジット会社が決済を行う。

なお、ＩＣチップ２０１からクレジットカード情報を取得できた場合、金額などの決済条件によっては、自動取引装置１からカード情報処理システム３へ審査依頼が行われることなく、カード制御部４０７が決済を行うことがある。この場合、カード制御部４０７からは、暗号化後の支払い情報が制御部３０１へ送信されず、決済完了の通知が制御部３０１へ送信される。

こうして、決済が完了すると、クレジットカード２００による診療費の支払いが完了する。これに基づき、制御部３０１は、支払いの完了を報知する画面を操作表示部１１に表示させる。このとき、同時に、カード制御部４０７は、受け入れたクレジットカード２００をカード挿入口１６から排出させる。これにより、カード支払い処理が終了する。利用者は、操作表示部１１に表示された画面を参照して支払いの完了を確認し、カード挿入口１６からクレジットカード２００を抜き取る。

ところで、診療費情報取得処理における、カード挿入口１６に診察券１００が挿入される場面において、誤って、利用者によりカード挿入口１６にクレジットカード２００が挿入されることが起こり得る。この場合、挿入されたクレジットカード２００の磁気ストライプ２０２からクレジットカード情報が読み取られ、このクレジットカード情報が暗号化されない状態、即ち平文の状態で自動取引装置１に保持される状況が生じる。クレジットカード情報は、支払いに関連する情報を含むため、機密性が極めて高く確保される必要がある。このため、このように誤って取得されたクレジットカード情報が平文の状態で自動取引装置１に保持される状態は、なるべく避けることが好ましい。

そこで、本実施形態１では、診療費情報取得処理において、クレジットカード情報の機密性を確保することができる制御が実行される。

図５は、実施形態１に係る、診療費情報取得処理において、自動取引装置１の制御部３０１により実行される制御を示すフローチャートである。図６（ａ）は、実施形態１に係る、診療費情報取得処理において、カード処理部３０４のカード制御部４０７により実行される制御を示すフローチャートである。図６（ｂ）は、実施形態１に係る、診療費情報取得処理において、カード情報処理システム３の制御部３ａにより実行される制御を示すフローチャートである。

図５を参照し、画面上での利用者による精算開始の操作を操作表示部１１が受け付けると（Ｓ１０１：ＹＥＳ）、制御部３０１は、カード処理部３０４のカード制御部４０７に、診察券１００の受け付け指示を送信する（Ｓ１０２）。

図６（ａ）を参照し、カード制御部４０７は、診察券１００の受け付け指示を受信すると（Ｓ２０１：ＹＥＳ）、カード挿入口１６にカードが挿入されるのを待つ（Ｓ２０２）。

利用者によりカード挿入口１６にカードが挿入されると（Ｓ２０２：ＹＥＳ）、カード制御部４０７は、挿入されたカードの磁気ストライプから磁気リーダ４０４を介して情報を読み取る（Ｓ２０３）。そして、カード制御部４０７は、読み取った情報を暗号化処理部４０８により暗号化し（Ｓ２０４）、暗号化後の情報を、暗号化済情報として、通信部４０９を介して、制御部３０１へ送信する（Ｓ２０５）。なお、カードは、情報の読取が完了すると、カード挿入口１６から排出される。カードは、診療費の支払い処理、即ち取引が完了した後に排出されてもよく、カードの排出のタイミングは、情報の読取後であれば任意に設定されてよい。

ユーザにより、カード挿入口１６に診察券１００が挿入された場合は、診察券１００の磁気ストライプ１０１から診察券情報が読み出され、暗号化される。よって、暗号化済情報は、診察券情報が暗号化されたものとなる。一方、ユーザにより、誤ってカード挿入口１６にクレジットカード２００が挿入された場合は、クレジットカード２００の磁気ストライプ２０２からクレジットカード情報が読み出され、暗号化される。よって、暗号化済情報は、クレジットカード情報が暗号化されたものとなる。

図５に戻り、制御部３０１は、カード処理部３０４から暗号化済情報を受信すると（Ｓ１０３：ＹＥＳ）、受信した暗号化済情報を、通信部３０６を介してカード情報処理システム３へ送信する（Ｓ１０４）。

図６（ｂ）を参照し、カード情報処理システム３では、自動取引装置１から暗号化済情報を受信すると（Ｓ３０１：ＹＥＳ）、制御部３ａは、受信した暗号化済情報を復号する（Ｓ３０２）。

暗号化済情報が診察券情報を暗号化したものであれば、平文の診察券情報に復号される。制御部３ａは、復号された情報が診察券情報である場合（Ｓ３０３：ＹＥＳ）、復号後の平文の診察券情報を自動取引装置１へ送信する（Ｓ３０４）。

一方、暗号化済情報がクレジットカード情報を暗号化したものであれば、平文のクレジットカード情報に復号される。制御部３ａは、復号された情報がクレジットカード情報である場合（Ｓ３０３：ＮＯ）、エラー通知を自動取引装置１へ送信するとともに（Ｓ３０５）、復号されたクレジットカード情報を、自動取引装置１へ返信することなく、消去する（Ｓ３０６）。

再び図５に戻り、制御部３０１は、カード情報処理システム３から平文の診察券情報を受信すると（Ｓ１０５：ＹＥＳ）、受信した診察券情報からＩＤ情報を抽出し、抽出したＩＤ情報を、通信部３０６を介して医事システム２へ送信する（Ｓ１０６）。これにより、送信されたＩＤ情報に関連付けられた診療費情報が医事システム２から自動取引装置１へ送信される。制御部３０１は、診療費情報を受信すると（Ｓ１０７：ＹＥＳ）、操作表示部１１に、診療費を表示して支払い方法の選択を促す画面を表示させる（Ｓ１０８）。

一方、制御部３０１は、カード情報処理システム３から平文の診察券情報ではなくエラー通知を受信すると（Ｓ１０５：ＮＯ→Ｓ１０９：ＹＥＳ）、カードの挿入誤りがあった旨を通知する処理を行う（Ｓ１１０）。たとえば、制御部３０１は、カードの挿入誤りがあった旨を報知する画面を操作表示部１１に表示させる。あるいは、制御部３０１は、カードの挿入誤りがあった旨の音声を音声出力部３０５に出力させる。そして、制御部３０１は、再び、カード制御部４０７に診察券１００の受け付け指示を送信する（Ｓ１０２）。ユーザは、操作表示部１１での画面表示を確認することにより、正しいカード、即ち診察券１００をカード挿入口１６に挿入する。

このようにして、本実施形態１では、診療費情報取得処理の対象である診察券１００がカード挿入口１６に挿入された場合は、診察券１００から読み出された診察券情報が、暗号化された後に制御部３０１へ送信され、さらに制御部３０１からカード情報処理システム３へ送信される。そして、カード情報処理システム３で復号された平文の診察券情報が制御部３０１に返信される。その後、診察券情報、即ち、その情報から抽出されたＩＤ情報に基づいて、医事システム２から診療費情報が制御部３０１へ送信され、操作表示部１１での画面表示により診療費が利用者に提示される。

一方、診療費情報取得処理の対象でないクレジットカード２００が誤ってカード挿入口１６に挿入された場合は、クレジットカード２００から読み出されたクレジットカード情報が、暗号化された後に制御部３０１へ送信され、さらに制御部３０１からカード情報処理システム３へ送信される。カード情報処理システム３からは、復号された平文のクレジットカード情報は返信されず、エラー通知が制御部３０１へ送信される。これに基づき、操作表示部１１での画面表示等によりカードの挿入誤りが利用者に通知される。

なお、本実施形態１において、カード情報処理システム３の制御部３ａは、平文の診察券情報に復号されなかった場合、Ｓ３０５のエラー通知に替えて、復号された情報が診察券情報でない（クレジットカード情報である）旨の通知を送信してもよい。この場合、自動取引装置１の制御部３０１は、診察券情報でない旨の通知を受信すると、Ｓ１１０のカードの挿入誤りの通知を行う。

また、カード情報処理システム３の制御部３ａは、Ｓ３０６のクレジットカード情報の消去を行わないようにしてもよい。

このように、平文の診察券情報に復号されなかった場合に、制御部３ａによって、エラー通知とクレジットカード情報の消去とを行うこと以外のエラー処理が行われてもよい。

さらに、復号された情報が診察券情報でない場合に、カード情報処理システム３の制御部３ａからは自動取引装置１の制御部３０１に対して応答を行わず、制御部３０１は、所定時間内に平文の診察券情報を受信しない場合に、Ｓ１１０のカードの挿入誤りの通知を行うようにしてもよい。

＜実施形態１の効果＞
本実施形態１によれば、以下の効果が奏され得る。

クレジットカード２００から読み取られた機密性の高いクレジットカード情報のみならず、診察券１００から読み取られた機密性の低い診察券情報も暗号化処理部４０８で暗号化され、暗号化済情報として制御部３０１に取得される。そして、制御部３０１は、診察券情報（ＩＤ情報）を用いた診療費情報取得処理のために暗号化済情報を取得したとき、暗号化済情報を、平文の診察券情報に復号して返信してもらうために、復号を行う（復号の権限を有する）カード情報処理システム３に、通信部３０６を介して送信する。これにより、診療費情報取得処理において、カード処理部３０４に診察券１００が適用されるべきところ誤ってクレジットカード２００が適用された場合にも、クレジットカード２００から読み出されたクレジットカード情報が平文のまま自動取引装置１に保持された状態となることを回避できる。よって、クレジットカード２００に保持された機密性の高いクレジットカード情報の安全性が確保されやすくなる。

しかも、診察券情報であると考えられる暗号化済情報は、復号が許可された安全性の高いカード情報処理システム３で復号されるので、復号されたときのその情報がクレジットカード情報であっても、そのクレジットカード情報の安全性を確保できる。

また、制御部３０１は、カード情報処理システム３から通信部３０６を介して受信した平文の診察券情報に含まれるＩＤ情報を、当該ＩＤ情報に関連付けられた診療費情報を有する医事システム２に対して送信する。これにより、復号された平文の診察券情報、即ちＩＤ情報を利用して医事システム２から診療費情報を取得できる。

さらに、制御部３０１は、カード情報処理システム３で暗号化済情報が平文のクレジットカード情報に復号されたとき、エラー通知をカード情報処理システム３から通信部３０６を介して受信する。これにより、誤ってクレジットカード２００からクレジットカード情報が読み取られたことを制御部３０１が把握できる。

さらに、制御部３０１は、カード情報処理システム３での復号により暗号化済情報から平文の診察券情報を得ることができず、代わりにエラー通知を受けたとき、操作表示部１１での画面表示等によってカードが間違っていることを報知する。これにより、利用者は、カードの間違いに気付くことができる。

さらに、制御部３０１は、カード支払い処理を行うために暗号化済情報を取得したとき、暗号化済情報を、通信部３０６を介してカード情報処理システム３へ送信し、カード情報処理システム３は、受信した暗号化済情報を平文のクレジットカード情報に復号するが、自動取引装置１へ平文のクレジットカード情報を送信しない。これにより、自動取引装置１が平文のクレジットカード情報を保持した状態になってしまうことを回避できる。

＜実施形態２＞
実施形態２の自動取引システム４では、自動取引装置１のカード処理部３０４の暗号化処理部４０８がクレジットカード情報の暗号化は行うが、診察券情報の暗号化は行わない。自動取引システム４のその他の構成は、上記第１実施形態と同様である。

実施形態２の自動取引システム４では、クレジットカード情報の機密性を確保できる診療費情報取得処理での制御が、上記実施形態１で行われた診療費情報取得処理の制御と異なる。

図７は、実施形態２に係る、診療費情報取得処理において、自動取引装置１の制御部３０１により実行される制御を示すフローチャートである。図８は、実施形態２に係る、診療費情報取得処理において、カード処理部３０４のカード制御部４０７により実行される制御を示すフローチャートである。図９は、実施形態２に係る、診療費情報取得処理において、医事システム２の制御部２ａにより実行される制御を示すフローチャートである。

図７を参照し、画面上での利用者による精算開始の操作を操作表示部１１が受け付けると（Ｓ４０１：ＹＥＳ）、制御部３０１は、カード処理部３０４のカード制御部４０７に、診察券１００の受け付け指示を送信する（Ｓ４０２）。

図８を参照し、カード制御部４０７は、診察券１００の受け付け指示を受信した後に（Ｓ５０１：ＹＥＳ）、カード挿入口１６にカードが挿入されると（Ｓ５０２：ＹＥＳ）、挿入されたカードの磁気ストライプから磁気リーダ４０４を介して情報を読み取る（Ｓ５０３）。次に、カード制御部４０７は、読み取られた情報がクレジットカード情報であるか否かを判定する（Ｓ５０４）。たとえば、カード制御部４０７は、読み取られた情報の中に、クレジットカード２００のブランドごとに定められた番号など、クレジットカード情報には含まれているが診察券情報に含まれていない情報があるか否かにより、クレジットカード情報であるか否かを判定できる。

読み取られた情報がクレジットカード情報でない、即ち診察券情報である場合（Ｓ５０４：ＮＯ）、カード制御部４０７は、平文の診察券情報を制御部３０１へ送信する（Ｓ５０５）。

一方、読み取られた情報がクレジットカード情報である場合（Ｓ５０４：ＹＥＳ）、カード制御部４０７は、クレジットカード情報を暗号化処理部４０８により暗号化し（Ｓ５０６）、暗号化後のクレジットカード情報を、暗号化済情報として、制御部３０１へ送信する（Ｓ５０７）。

図７に戻り、制御部３０１は、カード処理部３０４から診察券情報およびクレジットカード情報である暗号化済情報のうち何れか情報を受信すると（Ｓ４０３：ＹＥＳ）、受信した情報からＩＤ情報に相当する情報（以下、ＩＤ相当情報という）を抽出し、抽出したＩＤ相当情報を、通信部３０６を介して医事システム２へ送信する（Ｓ４０４）。即ち、受信した情報が診察券情報である場合には、診察券情報を構成するデータ列の中のＩＤ情報のデータが記録された領域からＩＤ情報が、ＩＤ相当情報として抽出されて送信される。一方、受信した情報が暗号化済情報である場合には、暗号化済情報を構成するデータ列における、診察券情報を構成するデータ列の中のＩＤ情報のデータが記録された領域と同じ領域からＩＤ情報ではない情報が、ＩＤ相当情報として抽出されて送信される。

図９を参照し、医事システム２では、自動取引装置１からＩＤ相当情報を受信すると（Ｓ６０１：ＹＥＳ）、制御部２ａは、受信したＩＤ相当情報がＩＤ情報であるか否かを判定する（Ｓ６０２）。制御部２ａは、ＩＤ相当情報がＩＤ情報である場合（Ｓ６０２：ＹＥＳ）、そのＩＤ情報に対応付けられた診療費情報を、図示しないデータベースから読み出して、自動取引装置１へ送信する（Ｓ６０３）。

一方、制御部２ａは、ＩＤ相当情報がＩＤ情報でない場合（Ｓ６０２：ＮＯ）、エラー通知を自動取引装置１へ送信する（Ｓ６０４）。

再び図７に戻り、制御部３０１は、医事システム２から診療費情報を受信すると（Ｓ４０５：ＹＥＳ）、操作表示部１１に、診療費を表示して支払い方法の選択を促す画面を表示させる（Ｓ４０６）。

一方、制御部３０１は、医事システム２から診療費情報ではなくエラー通知を受信すると（Ｓ４０５：ＮＯ→Ｓ４０７：ＹＥＳ）、カードの挿入誤りがあった旨を通知する処理を行う（Ｓ４０８）。そして、制御部３０１は、再び、カード制御部４０７に診察券１００の受け付け指示を送信する（Ｓ４０２）。

このようにして、本実施形態２では、診療費情報取得処理の対象である診察券１００がカード挿入口１６に挿入された場合は、診察券１００から読み出された診察券情報が、平文で制御部３０１に送信される。そして、診察券情報、即ち、その情報から抽出されたＩＤ情報に基づいて、医事システム２から診療費情報が送信され、操作表示部１１での画面表示により診療費が利用者に提示される。

一方、診療費情報取得処理の対象でないクレジットカード２００が誤ってカード挿入口１６に挿入された場合は、クレジットカード２００から読み出されたクレジットカード情報が、暗号化されて暗号化済情報として制御部３０１に送信される。そして、暗号化済情報、即ち、その情報から抽出されたＩＤ情報でない情報に基づいて、医事システム２から診療費情報でなくエラー通知が送信され、操作表示部１１での画面表示等によりカードの挿入誤りが利用者に通知される。

なお、本実施形態２において、制御部３０１は、Ｓ４０８でカードの挿入誤りがあった旨を通知する処理を行った後、先にカード処理部３０４から取得していた暗号化済情報を消去してもよい。

また、自動取引装置１の制御部３０１が、カード処理部３０４から受信した情報（平文の診察券情報、暗号化されたクレジットカード情報）を、そのまま医事システム２に送信し、医事システム２の制御部２ａが、受信した情報からＩＤ相当情報を抽出するようにしてもよい。

また、医事システム２の制御部２ａは、ＩＤ情報が受信されなかった場合、Ｓ６０４のエラー通知に替えて、自動取引装置１からの送信情報がＩＤ情報でない旨の通知を送信してもよい。この場合、自動取引装置１の制御部３０１は、ＩＤ情報でない旨の通知を受信すると、Ｓ４０８のカードの挿入誤りの通知を行う。

また、自動取引装置１からの送信情報がＩＤ情報でない場合に、医事システム２の制御部２ａからは自動取引装置１の制御部３０１に対して応答を行わず、制御部３０１は、所定時間内に診療費情報を受信しない場合に、Ｓ４０８のカードの挿入誤りの通知を行うようにしてもよい。

＜実施形態２の効果＞
本実施形態２によれば、以下の効果が奏され得る。

診察券情報を用いた診療費情報取得処理が制御部３０１により行われる場合に、磁気リーダ４０４によりクレジットカード情報が読み取られると、読み取られたクレジットカード情報が暗号化処理部４０８により暗号化されて制御部３０１に取得される。これにより、診療費情報取得処理において、カード処理部３０４に診察券１００が適用されるべきところ誤ってクレジットカード２００が適用された場合にも、クレジットカード２００から読み出されたクレジットカード情報が平文のまま自動取引装置１に保持された状態となることを回避できる。よって、クレジットカード２００に保持された機密性の高いクレジットカード情報の安全性が確保されやすくなる。

また、制御部３０１は、暗号化されたクレジットカード情報、即ち、この情報から抽出された情報（クレジットカード情報の一部の情報）を、診察券情報、即ち、この情報から抽出されたＩＤ情報（診察券情報の一部の情報）が送信されるべき医事システム２へ通信部３０６を介して送信する。これにより、医事システム２から、ＩＤ情報でないことに基づくエラー通知を返すことができ、誤ってクレジットカード２００からクレジットカード情報が読み取られたことを制御部３０１が把握できる。

以上、本発明の実施形態（実施形態１、実施形態２）について説明したが、本発明は、上記実施形態によって何ら制限されるものではなく、また、本発明の実施形態も、上記以外に種々の変更が可能である。

＜変更例１＞
上記実施形態１では、診療費情報取得処理において、暗号化済情報が、診察券情報を暗号化したものかクレジットカード情報を暗号化したものかにかかわらず、自動取引装置１からカード情報処理システム３へ送信された。これに対し、変更例１では、自動取引装置１の制御部３０１において、暗号化済情報が診察券情報を暗号化したものか否かの判定が行われ、診察券情報が暗号化された暗号化済情報がカード情報処理システム３へ送信される。

図１０は、変更例１に係る、診療費情報取得処理において、自動取引装置１の制御部３０１により実行される制御を示すフローチャートである。図１１（ａ）は、変更例１に係る、診療費情報取得処理において、カード処理部３０４のカード制御部４０７により実行される制御を示すフローチャートである。図１１（ｂ）は、変更例１に係る、診療費情報取得処理において、カード情報処理システム３の制御部３ａにより実行される制御を示すフローチャートである。

図１０、図１１（ａ）および（ｂ）のフローチャートにおいて、図５、図６（ａ）および（ｂ）のフローチャートと同じ処理には、同じステップ番号が付されている。

図１１（ａ）に示すように、カード処理部３０４において、カード制御部４０７は、読み取った情報の暗号化を行うと（Ｓ２０４）、暗号化された情報がクレジットカード情報であるか否かを判定する（Ｓ２０６）。この判定は、たとえば、暗号化される前の情報の中に、クレジットカード２００のブランドごとに定められた番号など、クレジットカード情報には含まれているが診察券情報に含まれていない情報があるか否かにより行うことができる。暗号化された情報がクレジットカード情報である場合（Ｓ２０６：ＹＥＳ）、カード制御部４０７は、暗号化済情報にエラー情報を付加して制御部３０１へ送信する（Ｓ２０７）。

図１０に示すように、制御部３０１は、カード処理部３０４から暗号化済情報を受信すると（Ｓ１０３：ＹＥＳ）、暗号化済情報にエラー情報が付加されているか否かを判定することにより、暗号化済情報が診察券情報を暗号化したものであるか否かを判定する（Ｓ１１１）。そして、エラー情報が付加されていない、即ち暗号化済情報が診察券情報を暗号化したものである場合（Ｓ１１１：ＮＯ）、制御部３０１は、暗号化済情報をカード情報処理システム３へ送信する（Ｓ１０４）。

一方、エラー情報が付加されている、即ち暗号化済情報が診察券情報を暗号化したものでない場合（Ｓ１１１：ＹＥＳ）、制御部３０１は、暗号化済情報をカード情報処理システム３へ送信せず、カードの挿入誤りがあった旨を通知する処理を行う（Ｓ１１２）。そして、制御部３０１は、再び、カード制御部４０７に診察券１００の受け付け指示を送信する（Ｓ１０２）。

クレジットカード情報が暗号化された暗号化済情報は、カード情報処理システム３へ送信されないため、図１１（ｂ）に示すように、カード情報処理システム３において、制御部３ａは、上記実施形態１で行っていた復号後の情報が診察券情報であるか否かの判定（Ｓ３０３）と、当該判定に基づくエラー通知の送信（Ｓ３０５）およびクレジットカード情報の消去（Ｓ３０６）の一連の処理を行わない。また、カード情報処理システム３からのエラー通知がないため、図１０に示すように、自動取引装置１において、制御部３０１は、エラー通知の受信に基づいてカードの挿入誤りを通知する処理（Ｓ１０９、Ｓ１１０）を行わない。

なお、自動取引装置１において、制御部３０１は、暗号化済情報を復号できないため、暗号化済情報が診察券情報であることを実際に確認することができない。よって、念のため、判定誤りによりクレジットカード情報が暗号化された暗号化済情報が送信される場合を考慮して、カード情報処理システム３においてＳ３０３、Ｓ３０５およびＳ３０６の処理が行われ、自動取引装置１においてＳ１０９およびＳ１１０の処理が行われるようにしてもよい。

また、制御部３０１は、Ｓ１１２でカードの挿入誤りがあった旨の通知を行った後、暗号化済情報を消去してもよい。

以上、本変更例１においても、診療費情報取得処理において、カード処理部３０４に診察券１００が適用されるべきところ誤ってクレジットカード２００が適用された場合にも、クレジットカード２００から読み出されたクレジットカード情報が平文のまま自動取引装置１に保持された状態となることを回避できる。よって、クレジットカード２００に保持された機密性の高いクレジットカード情報の安全性が確保されやすくなる。

また、本変更例１では、暗号化済情報を、平文の診察券情報に復号して返信してもらうためにカード情報処理システム３へ送信する前に、暗号化済情報が診察券情報を暗号化したものであるか否かの判定が行われ、暗号化済情報が察券情報を暗号化したものでない場合はカード情報処理システム３へ送信されない。これにより、クレジットカード情報を、暗号化された状態であっても、不必要なときに、極力、自動取引装置１から出さないようにできる。

＜変更例２＞
上記実施形態２では、診療費情報取得処理において、カード処理部３０４から制御部３０１に送信された情報が平文の診察券情報であるか暗号化済情報（暗号化されたクレジットカード情報）であるかにかかわらず、送信された情報からＩＤ相当情報が抽出されて医事システム２へ送信された。これに対し、変更例２では、自動取引装置１の制御部３０１において、受信した情報が平文の診察券情報であるか否かの判定が行われ、平文の診察券情報から抽出されたＩＤ情報が医事システム２へ送信される。

図１２は、変更例２に係る、診療費情報取得処理において、自動取引装置１の制御部３０１により実行される制御を示すフローチャートである。図１３（ａ）は、変更例２に係る、診療費情報取得処理において、カード処理部３０４のカード制御部４０７により実行される制御を示すフローチャートである。図１３（ｂ）は、変更例２に係る、診療費情報取得処理において、医事システム２の制御部２ａにより実行される制御を示すフローチャートである。

図１２、図１３（ａ）および（ｂ）のフローチャートにおいて、図７、図８および図９のフローチャートと同じ処理には、同じステップ番号が付されている。

図１３（ａ）に示すように、カード処理部３０４において、カード制御部４０７は、クレジットカード情報を暗号化処理部４０８により暗号化すると（Ｓ５０６）、クレジットカード情報が暗号化された暗号化済情報にエラー情報を付加して制御部３０１へ送信する（Ｓ５０８）。

図１２に示すように、制御部３０１は、カード処理部３０４から診察券情報およびクレジットカード情報である暗号化済情報のうち何れか情報を受信すると（Ｓ４０３：ＹＥＳ）、受信した情報にエラー情報が付加されているか否かを判定することにより、受信した情報が平文の診察券情報であるか否かを判定する（Ｓ４０９）。そして、エラー情報が付加されていない、即ち受信した情報が平文の診察券情報である場合（Ｓ４０９：ＮＯ）、制御部３０１は、その平文の診察券情報からＩＤ情報を抽出し、抽出したＩＤ情報を医事システム２へ送信する（Ｓ４１０）。

一方、エラー情報が付加されている、受信した情報が平文の診察券情報でない場合（Ｓ４０９：ＹＥＳ）、制御部３０１は、カードの挿入誤りがあった旨を通知する処理を行う（Ｓ４１１）。さらに、制御部３０１は、受信した情報、即ち暗号化済情報（暗号化されたクレジットカード情報）を消去する（Ｓ４１２）。そして、制御部３０１は、再び、カード制御部４０７に診察券１００の受け付け指示を送信する（Ｓ４０２）。

自動取引装置１から医事システム２へＩＤ情報とは異なる情報が送信されないため、図１３（ｂ）に示すように、医事システム２において、制御部２ａは、自動取引装置１からＩＤ情報を受信すると（Ｓ６０５：ＹＥＳ）、そのＩＤ情報に対応付けられた診療費情報を、図示しないデータベースから読み出して、自動取引装置１に送信する（Ｓ６０３）。即ち、制御部２ａは、上記実施形態２で行っていたＩＤ相当情報がＩＤ情報であるか否かの判定（Ｓ６０２）と、当該判定に基づくエラー通知の送信（Ｓ３０５）の処理を行わない。また、医事システム２からのエラー通知がないため、図１２に示すように、自動取引装置１において、制御部３０１は、エラー通知の受信に基づいてカードの挿入誤りを画面表示する処理（Ｓ４０７、Ｓ４０８）を行わない。

なお、上記の例では、カード処理部３０４において、暗号化済情報が送信されるときにエラー情報が付加され、制御部３０１が、このエラー情報に基づいて受信した情報が平文の診察券情報であるか否かを判定した。しかしながら、たとえば、暗号化済情報と平文の診察券情報とでデータ長やデータ量が異なる場合、これらの違いに基づいて、制御部３０１が、受信した情報が平文の診察券情報であるか否かを判定してもよい。この場合、カード処理部３０４からのエラー情報の送信は行われない。

以上、本変更例２においても、診療費情報取得処理において、カード処理部３０４に診察券１００が適用されるべきところ誤ってクレジットカード２００が適用された場合にも、クレジットカード２００から読み出されたクレジットカード情報が平文のまま自動取引装置１に保持された状態となることを回避できる。よって、クレジットカード２００に保持された機密性の高いクレジットカード情報の安全性が確保されやすくなる。

また、本変更例２では、制御部３０１は、取得した情報が暗号化されたクレジットカード情報（暗号化済情報）であることが確認されると、当該クレジットカード情報が消去される。これにより、クレジットカード情報が、暗号化された状態であっても自動取引装置１に残ることを回避できる。

＜変更例３＞
上記実施形態１、２では、１つのカード処理部３０４が、診察券１００とクレジットカード２００の両方を処理するように構成された。しかしながら、変更例３のように、診察券１００を処理するための第１カード処理部３１１と、クレジットカード２００を処理するための第２カード処理部３１２が、個別に、自動取引装置１に配置されてもよい。

なお、本変更例３では、磁気リーダ５０４が、請求項２、８および１１に記載の「第１読取部」に対応する。また、暗号化処理部５０８が、請求項２および８に記載の「第１暗号化部」および請求項１１に記載の「暗号化部」に対応する。さらに、磁気リーダ６０４が、請求項２、８および１１に記載の「第２読取部」に対応する。また、暗号化処理部６０８が、請求項２および８に記載の「第２暗号化部」に対応する。

ただし、上記記載は、あくまで、特許請求の範囲の構成と変更例３の構成とを対応付けることを目的とするものであって、上記対応付けによって特許請求の範囲に記載の発明が実施形態の構成に何ら限定されるものではない。

図１４は、変更例３に係る、自動取引装置１の構成を示すブロック図である。

図１４に示すように、自動取引装置１は、第１カード処理部３１１と、第２カード処理部３１２を備える。上記のとおり、第１カード処理部３１１は、診察券１００を受け付けて処理するためのカード処理部であり、第２カード処理部３１２は、クレジットカード２００を受け付けて処理するためのカード処理部である。ここでは、第２カード処理部３１２は、通信部３０６を介して制御部３０１に接続されている。たとえば、第２カード処理部３１２は、独立したユニットを構成しており、ＵＳＢ等の通信線により、通信部３０６に接続される。但し、これに限らず、第２カード処理部３１２が、第１カード処理部３１１と同様の形態で、自動取引装置１に含まれてもよい。図１４の構成において、第１カード処理部３１１および第２カード処理部３１２以外の各部の構成は、上記実施形態１、２と同様である。

図１５は、変更例３に係る、第１カード処理部３１１および第２カード処理部３１２の構成を示す図である。

第１カード処理部３１１は、搬送部５０１と、センサ５０２ａ、５０２ｃと、磁気リーダ５０４と、磁気信号処理部５０６と、カード制御部５０７と、暗号化処理部５０８と、通信部５０９とを備える。第１カード処理部３１１は、図４に示したカード処理部３０４の構成からセンサ４０２ｂ、通信部４０３、通信信号処理部４０５を省略した構成である。搬送部５０１、センサ５０２ａ、５０２ｃ、磁気リーダ５０４、磁気信号処理部５０６、カード制御部５０７、暗号化処理部５０８および通信部５０９は、それぞれ、図４の搬送部４０１、センサ４０２ａ、４０２ｃ、磁気リーダ４０４、磁気信号処理部４０６、カード制御部４０７、暗号化処理部４０８および通信部４０９と同様の構成である。

第２カード処理部３１２は、搬送部６０１と、センサ６０２ａ〜６０２ｃと、通信部６０３と、磁気リーダ６０４と、通信信号処理部６０５と、磁気信号処理部６０６と、カード制御部６０７と、暗号化処理部６０８と、通信部６０９とを備える。第２カード処理部３１２は、図４に示したカード処理部３０４と同様の構成である。

なお、変更例３では、上記のように、第１カード処理部３１１と第２カード処理部３１２が個別に設けられるため、各カード処理部に対応して２つのカード挿入口１６ａ、１６ｂが設けられる。第１カード処理部３１１は、カード挿入口１６ａから挿入されたカードを搬送路５０１ａで搬入して処理する。第２カード処理部３１２は、カード挿入口１６ｂから挿入されたカードを搬送路６０１ａで搬入して処理する。

本変更例３では、第１カード処理部３１１のカード制御部５０７により、上記実施形態１と同じ図６（ａ）の診療費情報取得処理、または、上記実施形態２と同じ図８の診療費情報取得処理が実行される。また、第２カード処理部３１２のカード制御部６０７により、上記実施形態１、２と同じカード支払い処理が実行される。

本変更例３によれば、上記実施形態１または上記実施形態２と同様の効果を奏することができる。

なお、本変更例３において、第１カード処理部３１１のカード制御部５０７により、上記変更例１または上記変更例２の診療費情報取得処理が実行されてもよい。この場合、上記変更例１または上記変更例２と同様の効果を奏することができる。

＜その他の変更例＞
上記実施形態１、２において、カード支払い処理の際、ユーザにより、誤ってクレジットカード２００でなく診察券１００がカード挿入口１６に挿入される場合が起こり得る。このような場合、カード処理部３０４のカード制御部４０７は、磁気リーダ４０４が診察券１００から読み取った診察券情報を暗号化し、暗号化済情報として制御部３０１へ送信してもよいし、診察券情報を平文の状態で制御部３０１へ送信してもよい。

診察券情報を暗号化する構成とされた場合、診察券情報である暗号化済情報がカード情報処理システム３で復号され、復号された情報が診察券情報であると判明したときに、カード情報処理システム３から制御部３０１へエラー通知が送信される。これに基づいて、制御部３０１は、カードの挿入誤りがあったことを通知する処理（画面表示、音声報知）を行う。

診察券情報を暗号化しない構成とされた場合には、カード制御部４０７は、読み取られた情報がクレジットカード情報であるか否かを判定する。そして、カード制御部４０７は、クレジットカード情報でない、即ち診察券情報であると判定したとき、平文の診察券情報を制御部３０１へ送信する。制御部３０１は、平文の診察券情報を受信したとき、カードの挿入誤りがあったことを通知する処理を行う。

また、上記実施形態１、２では、第１種別の情報保持体として診察券１００が示され、第２種別の情報保持体としてクレジットカード２００が示されたが、第１種別の情報保持体と第２種別の情報保持体はこれに限られるものではない。たとえば、第２種別の情報保持体として、クレジットカード２００以外の支払い処理（キャッシュレス決済の処理）に用いる、デビット等のカードが含まれてもよく、あるいは、機密性の高い情報が読み取られ得る、支払い処理に用いるカード以外のカードが第２種別の情報保持体に含まれてもよい。また、第１種別の情報保持体に診察券１００以外のカード、たとえば、会員カードが含まれてもよい。

さらには、第１種別の情報保持体と第２種別の情報保持体は、カードでなくてもよい。たとえば、第１種別の情報保持体は、診察券として機能させるアプリケーションと診察券情報とを有するスマートフォン等の携帯端末であってもよいし、第２種別の情報保持体は、クレジットカードとして機能させるアプリケーションと支払い情報とを有するスマートフォン等の携帯端末であってもよい。

また、上記実施形態１、２では、自動取引装置１が医療機関に設置されることが想定されたが、自動取引装置１が、ガソリンスタンド等の医療機関以外の施設に設置されてもよい。この場合、当該施設において用いられる会員カードが、第１種別のカードであってもよい。

また、上記実施形態１、２では、カード処理部３０４に、暗号化処理部４０８が設けられた。しかしながら、暗号化処理部が、カード処理部３０４の外部、たとえば、制御部３０１の内部に設けられてもよい。同様に、上記変更例３のように、第１カード処理部３１１と第２カード処理部３１２が設けられる場合も、第１カード処理部３１１と第２カード処理部３１２の外部に、２つのカード処理部３１１、３１２からの情報を暗号化する共通の暗号化処理部が設けられてもよい。この場合、共通の暗号化処理部が、請求項２および８に記載の「第１暗号化部」および「第２暗号化部」に対応する。

また、自動取引装置１の構成は、図２（ａ）に示した構成に限られるものではなく、種々変更が可能である。たとえば、自動取引装置１に利用者の到来を検知するための人感センサが配置され、利用者の到来に応じて自動取引装置１が取引動作を開始する構成であってもよい。また、カード挿入口にカードを挿入する以外の形態で、カードを受け付ける（情報を読み取る）構成、たとえば、所定の読取面にカードをかざすことによりカードを受け付ける構成であってもよい。また、自動取引装置１が、精算のための機能以外の機能を持っていてもよい。たとえば、自動取引装置１が、診察券１００により診察を受け付けて医事システム２に登録する機能を持っていてもよい。

この他、本発明の実施形態は、特許請求の範囲に記載の範囲で適宜変更可能である。

１ 自動取引装置
２ 医事システム（他の外部装置、外部装置）
３ カード情報処理システム（外部装置）
４ 自動取引システム
１００ 診察券（第１種別の情報保持体）
２００ クレジットカード（第２種別の情報保持体）
３０１ 制御部
３０６ 通信部
４０４ 磁気リーダ（読取部）
４０８ 暗号化処理部（暗号化部）
５０４ 磁気リーダ（第１読取部）
５０８ 暗号化処理部（第１暗号化部、暗号化部）
６０４ 磁気リーダ（第２読取部）
６０８ 暗号化処理部（第２暗号化部）

Claims (13)

1. 第１種別の情報保持体および第２種別の情報保持体から、それぞれ第１情報および前記第１情報よりも機密性の高い第２情報を読み取る読取部と、
   読み取られた前記第１情報および前記第２情報を暗号化する暗号化部と、
   暗号化された前記第１情報および前記第２情報を暗号化済情報として取得する制御部と、
   外部との通信を行うための通信部と、を備え、
   前記制御部は、前記第１情報を用いた処理を行うために前記暗号化済情報を取得したとき、前記暗号化済情報を、平文の前記第１情報に復号して返信してもらうために、復号を行う外部装置へ前記通信部を介して送信する、
   ことを特徴とする自動取引装置。
2. 第１種別の情報保持体から第１情報を読み取る第１読取部と、
   読み取られた前記第１情報を暗号化する第１暗号化部と、
   第２種別の情報保持体から前記第１情報よりも機密性の高い第２情報を読み取る第２読取部と、
   読み取られた前記第２情報を暗号化する第２暗号化部と、
   暗号化された前記第１情報および前記第２情報を暗号化済情報として取得する制御部と、
   外部との通信を行うための通信部と、を備え、
   前記制御部は、前記第１読取部により読み取られて前記第１暗号化部により暗号化された前記暗号化済情報を取得したとき、前記暗号化済情報を、平文の前記第１情報に復号して返信してもらうために、復号を行う外部装置へ前記通信部を介して送信する、
   ことを特徴とする自動取引装置。
3. 前記制御部は、前記外部装置から前記通信部を介して平文の前記第１情報を受信した場合、前記第１情報に関連付けられた情報を有する他の外部装置に対し、受信した平文の前記第１情報を、前記通信部を介して送信する、
   ことを特徴とする請求項１または２に記載の自動取引装置。
4. 前記制御部は、前記外部装置で前記暗号化済情報が平文の前記第２情報に復号されたとき、前記暗号化済情報が平文の前記第２情報に復号されたことに基づく通知を前記外部装置から前記通信部を介して受信する、
   ことを特徴とする請求項１ないし３の何れか一項に記載の自動取引装置。
5. 前記制御部は、
   前記暗号化済情報を、平文の前記第１情報に復号して返信してもらうために前記外部装置へ送信する前に、前記暗号化済情報が前記第１情報を暗号化したものであるか否かの判定を行い、
   前記暗号化済情報が前記第１情報を暗号化したものでない場合は前記外部装置へ送信しない、
   ことを特徴とする請求項１ないし３の何れか一項に記載の自動取引装置。
6. 前記制御部は、前記外部装置での復号により前記暗号化済情報から平文の前記第１情報を得ることができないとき、情報保持体が間違っていることを報知するための処理を行う、
   ことを特徴とする請求項１ないし５の何れか一項に記載の自動取引装置。
7. 第１種別の情報保持体および第２種別の情報保持体から、それぞれ第１情報および前記第１情報よりも機密性の高い第２情報を読み取る読取部と、読み取られた前記第１情報および前記第２情報を暗号化する暗号化部と、暗号化された前記第１情報および前記第２情報を暗号化済情報として取得する制御部と、外部との通信を行うための通信部とを含む自動取引装置と、
   前記自動取引装置と通信回線を介して通信可能に接続された、復号を行う外部装置と、を備え、
   前記制御部は、前記第１情報を用いた処理を行うために前記暗号化済情報を取得したとき、前記暗号化済情報を、前記通信部を介して前記外部装置へ送信し、
   前記外部装置は、受信した前記暗号化済情報を平文の前記第１情報に復号して前記自動取引装置へ送信する、
   ことを特徴とする自動取引システム。
8. 第１種別の情報保持体から第１情報を読み取る第１読取部と、読み取られた前記第１情報を暗号化する第１暗号化部と、第２種別の情報保持体から前記第１情報よりも機密性の高い第２情報を読み取る第２読取部と、読み取られた前記第２情報を暗号化する第２暗号化部と、暗号化された前記第１情報および前記第２情報を暗号化済情報として取得する制御部と、外部との通信を行うための通信部とを含む自動取引装置と、
   前記自動取引装置と通信回線を介して通信可能に接続された、復号を行う外部装置と、を備え、
   前記制御部は、前記第１読取部により読み取られて前記第１暗号化部により暗号化された前記暗号化済情報を取得したとき、前記暗号化済情報を、前記通信部を介して前記外部装置へ送信し、
   前記外部装置は、受信した前記暗号化済情報を平文の前記第１情報に復号して前記自動取引装置へ送信する、
   ことを特徴とする自動取引システム。
9. 前記制御部は、前記第２情報を用いた処理を行うために前記暗号化済情報を取得したとき、前記暗号化済情報を、前記通信部を介して前記外部装置へ送信し、
   前記外部装置は、受信した前記暗号化済情報を平文の前記第２情報に復号するが、前記自動取引装置へ平文の前記第２情報を送信しない、
   ことを特徴とする請求項７または８に記載の自動取引システム。
10. 第１種別の情報保持体および第２種別の情報保持体から、それぞれ第１情報および前記第１情報よりも機密性の高い第２情報を読み取る読取部と、
    読み取られた前記第１情報および前記第２情報を取得する制御部と、
    情報の暗号化を行う暗号化部と、を備え、
    前記第１情報を用いた処理が前記制御部により行われる場合に、前記読取部により前記第１情報が読み取られると、読み取られた前記第１情報が平文のまま前記制御部に取得され、前記読取部により前記第２情報が読み取られると、読み取られた前記第２情報が前記暗号化部により暗号化されて前記制御部に取得され、
    前記制御部は、前記第１情報を用いた処理を行う場合に、暗号化された前記第２情報を取得したとき、当該第２情報に対して所定の処理を行う、
    ことを特徴とする自動取引装置。
11. 第１種別の情報保持体から第１情報を読み取る第１読取部と、
    第２種別の情報保持体から前記第１情報よりも機密性の高い第２情報を読み取る第２読取部と、
    読み取られた前記第１情報および前記第２情報を取得する制御部と、
    情報の暗号化を行う暗号化部と、を備え、
    前記第１情報を用いた処理が前記制御部により行われる場合に、前記第１読取部により前記第１情報が読み取られると、読み取られた前記第１情報が平文のまま前記制御部に取得され、前記第１読取部により前記第２情報が読み取られると、読み取られた前記第２情報が前記暗号化部により暗号化されて前記制御部に取得され、
    前記制御部は、前記第１情報を用いた処理を行う場合に、暗号化された前記第２情報を取得したとき、当該第２情報に対して所定の処理を行う、
    ことを特徴とする自動取引装置。
12. 外部との通信を行うための通信部をさらに備え、
    前記制御部は、前記所定の処理として、暗号化された前記第２情報を、前記第１情報が送信されるべき外部装置へ前記通信部を介して送信する、
    ことを特徴とする請求項１０または１１に記載の自動取引装置。
13. 前記制御部は、前記所定の処理として、取得した情報が暗号化された前記第２情報であることを確認して当該第２情報を消去する、
    ことを特徴とする請求項１０ないし１２の何れか一項に記載の自動取引装置。

Images