JP3542707B2

JP3542707B2 - 電子現金金庫

Info

Publication number: JP3542707B2
Application number: JP33526797A
Authority: JP
Inventors: 浩憲山本; 繁橋本
Original assignee: Fujitsu Ltd; Fujitsu Frontech Ltd
Current assignee: Fujitsu Ltd; Fujitsu Frontech Ltd
Priority date: 1997-12-05
Filing date: 1997-12-05
Publication date: 2004-07-14
Anticipated expiration: 2017-12-05
Also published as: CN1218930A; DE69817520T2; US6253999B1; EP0923057B1; EP0923057A2; CN1141656C; EP0923057A3; JPH11167599A; DE69817520D1

Description

【０００１】
【産業上の利用分野】
本発明は、通貨の価値を電子的な情報で表わした電子現金を一括管理するための電子現金金庫に関し、特にＩＣカードを用いた取引に使用される電子現金金庫に関する。
【０００２】
【従来の技術】
近年、売買等の取引における決済の安全性と利便性の面で、従来の紙幣、貨幣等に代わる決済手段として電子的なデジタルデータを現金として利用するいわゆる電子現金（電子マネー）が注目されている。このため銀行等において、電子現金を一括管理するための電子現金用の金庫を設置する必要があり、信頼性の高い金庫の提供が求められている。
【０００３】
従来の電子現金を用いた決済では、セキュリティを確保するために、電子現金を表すデジタルデータと電子現金を移転するためのプログラム及び価値移転の際に用いる暗号処理回路等をＩＣカードに格納している。このため、取引の際には自己のＩＣカードと取引相手のＩＣカードとの間で直接に電子現金のデータ交換を行う。
【０００４】
この２つのＩＣカード間の電子現金の交換は、顧客がロード端末を使用してＩＣカードに銀行側から電子現金をロードする場合も同じであり、顧客のＩＣカードと銀行側のＩＣカード間で直接電子現金の交換を行う必要がある。このため銀行側では、同時に取引することが予想される顧客数以上のＩＣカードを保有し、顧客のロード要求に対し顧客のＩＣカードと銀行のＩＣカードとの間で直接電子現金を交換可能とする。
【０００５】
このように顧客のＩＣカードとの間で電子現金の交換の必要に応えるため、従来、多数のＩＣカードを格納した電子現金金庫が用いられている。
【０００６】
【発明が解決しようとする課題】
しかしながら、多数のＩＣカードを格納した電子現金金庫にあっては次のような問題があった。
まず暗号処理の変更作業の問題がある。電子現金の取引にあっては、電子現金の移転の際に暗号処理を行っているが、テクノロジの進化等により暗号の強度は年々低下する傾向にある。このため、一般的には数年に１回程度は暗号処理を変更する必要がある。しかしながら、ＩＣカードを使用した電子現金金庫には、数百枚〜数千枚といった数のＩＣカードが格納されており、暗号処理の変更の度に多数のＩＣカードの交換作業を必要とする。
【０００７】
次にＩＣカードの信頼性の問題がある。現在使用されているＩＣカードの信頼性（故障率）は、概ね１００ｆｉｔ（１００回／１０⁹Ｈ）程度である。例えば１，０００個のＩＣカードを連続して使用した場合、その故障頻度は
１０⁹／１００×１，０００＝１０，０００Ｈ（約１．２年）
となり、毎年１回程度は価値が消滅する可能性がある。
【０００８】
更にＩＣカードの寿命の問題がある。現在使用されているＩＣカードの書き換え可能回数は１０万回程度であり、１つのＩＣカードが１分に１回の取引を行ったとすると、その寿命は
１００，０００／６０（分／時）＝１，６６７Ｈ（約６９日）
となり、２か月に１回程度のＩＣカードの交換が必要となってしまう。
【０００９】
本発明は、このような問題点に鑑みてなされたもので、暗号処理の変更に簡単に対応でき、信頼性及び耐久性が十分確保できるようにした電子現金金庫を提供することを目的とする。
【００１０】
【課題を解決するための手段】
図１は本発明の原理説明図である。図１（Ｂ）において、本発明の電子現金金庫１０は、不揮発性メモリ１００、コマンド制御部９８及び通信制御部５０で構成される。
不揮発性メモリ１００は、通貨の価値を電子的な情報で表わした電子現金を記憶する複数のＩＣカードに相当する複数のＩＣカード記憶部１１０を配置している。コマンド制御部９８は、不揮発性メモリ１００に配置した複数のＩＣカード記憶部１１０の各々に対するコマンドを並列的に実行して論理的に複数のＩＣカードの制御機能を実現する。
【００１１】
更に、通信制御部５０は、図１（Ａ）のように、上位装置であるマネーサーバー１８からＩＣコマンドを受信した際に、コマンド制御部９８に対し前記ＩＣコマンドと同一のＩＣコマンドを複数同時に供給して論理的に複数のＩＣカード記憶部１１０との通信機能を実現する。
【００１２】
不揮発性メモリ１００は電池によりバックアップされたメモリ、例えばスタテックＲＡＭ（ＳＲＭ）により構成する。このためフラッシュメモリを用いた従来のＩＣカードに比べて飛躍的に寿命を長くできる。
また本発明の電子現金用金庫１０は、不揮発性メモリ１００とコマンド制御部９８の組み合わせにより価値制御部６０を構成し、価値制御部６０を通信制御部５０に対し複数設けることで多重化構成としたトレイ１２を複数設ける。通信制御部５０には、上位装置からのコマンドに対して複数の価値制御部６０に設けたコマンド制御部９８の各々にＩＣカード記憶部１１０に対する同一の処理を行わせて結果を比較して判定する多重比較制御部８４を設ける。このように本発明の電子現金金庫を多重化することにより、ＩＣカードを格納した場合に比べ、信頼性を大幅に向上できる。
【００１３】
多重比較制御部８４は、複数の価値制御部６０からの処理結果を比較して全て一致することを検出した時は、正常終了と判定して上位装置に処理結果を通知する。多重比較制御部８４は、複数の価値制御部６０からの処理結果を比較して一部の不一致を検出した時は、上位装置に一致した処理結果を通知する。
また多重比較制御部８４は、複数の価値制御部６０からの処理結果を比較して一部の不一致、即ち１つの処理結果と他の複数の処理結果との不一致を検出した時は、不一致を起した価値制御部６０に対する制御（新規取引）を禁止する。
【００１４】
多重比較制御部８４は、複数の価値制御部６０からの処理結果を比較して一部の不一致を検出した時は、不一致を起した価値制御部６０を含むトレイ１２に対する上位装置からの制御を禁止した後に、上位装置の制御で異常トレイの不揮発性メモリ１００に記憶している電子現金を、他の正常なトレイ１２の不揮発性メモリ１００に移転させる。
【００１５】
このように多重化構成の一部での不良を検出して他のトレイに電子現金を移転することにより、多重故障による電子現金の消滅を未然に防ぐことができる。また異常トレイの不揮発性メモリ１００に記憶している電子現金を他の正常なトレイ１２の不揮発性メモリ１００に移転させることで、異常を起こしたトレイ１２の交換修理を可能とする。
【００１６】
多重比較制御部８４は、複数の価値制御部６０からの処理結果を比較して全ての不一致または少なくとも３種類の異なる処理結果を検出した時は、異常終了と判定して上位装置に処理エラーを通知する。ここで複数の価値制御部６０の処理結果について少なくとも３種類の異なる処理結果を検出した時とは、例えば５つの処理結果が得られ、その内容が（Ａ，Ａ，Ｃ，Ｂ，Ｂ）となった場合である。
【００１７】
多重比較制御部８４は、複数の価値制御部６０からの処理結果を比較して全ての不一致少なくとも３種類の異なる処理結果を検出した時は、異常終了と判定して上位装置に多重故障情報を通知すると共に、異常を起したトレイ１２を処理対象から切り離す。
多重比較制御部８４は、複数の価値制御部６０からの処理結果を比較して全ての不一致または少なくとも３種類の異なる処理結果を検出した時は、複数の価値制御部６０に自己診断を行わせて正当な処理結果を判定し、装置に正当な処理結果と多重故障情報を通知すると共に、異常を起したトレイ１２を処理対象から切り離す。この自己診断による正当性の判定で、可能な限り処理データの有効性を生かす。
【００１８】
多重化構成としては例えば３重化構成とする。即ち、不揮発性メモリ１００とコマンド制御部９８の組み合わせにより価値制御部６０を構成し、通信制御部５０に対し記価値制御部６０を３組設けることで３重化構成したトレイを複数設ける。そして、通信制御部５０に、上位装置からのコマンドに対して複数の価値制御部６０に設けたＩＣカード制御部１０４の各々にＩＣカード記憶部１１０に対する同一の処理を行わせて結果を比較して判定する３重比較制御部８４を設ける。この３重化構成の詳細も前述した多重化構成と同等である。
【００１９】
【発明の実施の形態】
図２は本発明の電子現金金庫が使用される電子マネーシステムのシステム構成図である。図２において、銀行１１側には電子現金金庫１０、マネーサーバ１８、ホスト２０及びルータ２４が設けられる。電子現金金庫１０は、ＬＡＮ２２−１，２２−２を介してマネーサーバ１８に接続され、更にホスト２０とカード管理サーバ２１がＬＡＮ２６−１，２６−２に接続されている。
【００２０】
マネーサーバ１８はＬＡＮ２６−１，２６−２を介してルータ２４に接続される。銀行１１側のルータ２４は外部のネットワーク２８に接続され、このネットワーク２８に対してはロード端末３０が接続され、銀行１１側のマネーサーバ１８との間でユーザ３４が保有するＩＣカード３２を使用して電子マネーの取引ができるようにしている。ユーザ３４が保有するＩＣカード３２を用いたロード端末３０による取引は、次の手順で行われる。
【００２１】
(1) ユーザ３４はＩＣカード３２をロード端末３０にセットし、取引コード例えば電子現金のロード、暗証番号、金額等を入力する。
(2) ロード端末３０はマネーサーバ１８を経由して電子現金金庫１０に取引要求を行う。
(3) ロード端末３０から取引要求に対し、電子現金金庫１０はマネーサーバ１８を介してロード端末３０にユーザ３４のＩＣカード３２の正当性を確認するための認証要求を行う。
【００２２】
(4) 認証要求に対しロード端末３０は、ユーザ３４のＩＣカード３２の正当性を示す認証応答を返す。
(5) 電子現金金庫１０でロード端末３０からの認証応答を受けると、認証承認を行ってマネーサーバ１８に伝える。
(6) マネーサーバ１８はカード管理サーバ２１に対し、ＩＣカード３２の番号をユーザ３４が所有する預金の口座番号に変換するための口座番号等の要求を行う。
【００２３】
(7) カード管理サーバ２１は、マネーサーバ１８からの口座番号等の要求に対し、変換結果としての口座番号等の応答を返す。
(8) マネーサーバ１８は、ホスト２０に対し元帳更新のための取引電文を送信する。
(9) ホスト２０は、マネーサーバ１８からの取引電文に基づき元帳更新を行って、結果を示す取引電文をマネーサーバ１８に応答する。
【００２４】
(10)マネーサーバ１８からの価値移転要求が電子現金金庫１０に行われる。
(11)電子現金金庫１０のＩＣカードとユーザ３４のＩＣカード３２との間で価値の移転即ち電子マネーの移転を行う。
(12)最終的に、電子現金金庫１０の移転終了に伴いマネーサーバ１８からロード端末３０に取引終了に伴う取引確認を行う。
【００２５】
このようなＩＣカード３２を使用した電子マネーシステムに用いる本発明の電子現金金庫１０は、例えばトレイ１２−１，１２−２を有し、トレイ１２−１，１２−２のそれぞれにユーザ３４が保有しているＩＣカード３２と同等な機能をソフトウェアにより論理的に実現する論理ＩＣカード１４を、例えば各トレイにつき３２個ずつ備えている。
【００２６】
図３は本発明の電子現金金庫１０の外観をマネーサーバ１８と共に示している。本発明の電子現金金庫１０は、例えばマネーサーバ１８に併設されており、本体３５、前扉３６及び後扉４０を備える。前扉３６にはダイヤルロック３８が設けられ、所定のダイヤル番号のセットにより前扉３６を開くことができる。また後扉４０にはシリンダ錠が取り付けられている。
【００２７】
図４は図３の電子現金金庫１０の内部構造の断面図である。電子現金金庫１０の本体３５は例えば１３ミリメートルの厚さを持った鉄板で覆われており、前方に前扉３６が設けられ、後方に後扉４０が設けられている。本体３５の内部には、この実施形態にあっては、最大構成で８つのトレイ１２−１〜１２−８を組み込むことができる。
【００２８】
トレイ１２−１〜１２−８に対しては、共通の回路基板となるバックパネル４２が設けられている。バックパネル４２の背後には、トレイ１２−１〜１２−８につき、それぞれ２台ずつのファンを設けたファンユニット４４が設置される。更に本体３５の下部には２重化された電源ユニット４６−１，４６−２と、同じく２重化されたＬＡＮ用のハブ（ＨＵＢ）４８−１，４８−２が設けられている。
【００２９】
図５は図４の電子現金金庫１０に収納された７つのトレイのうち、トレイ１２−１を代表して回路ブロックを表わしている。図５において、トレイ１２−１は、２重化された通信制御部５０−１，５０−２と、３重化された価値制御部６０−１，６０−２，６０−３により構成されている。通信制御部５０−１，５０−２は、通信制御部５０−１を例にとると、ＣＰＵ５２−１、ＲＯＭ５４−１、ＲＡＭ５６−１及びＬＡＮ制御回路５８−１で構成されている。
【００３０】
ＬＡＮ制御回路５８−１は、例えば１００Ｍｂｉｔ／ｓの１００ＢＡＳＥ−ＴＸ仕様である。図４のように、金庫内に設けられたハブ４８−１，４８−２を経由してＴＣＰ／ＩＰプロトコルにより、図２に示したように、上位装置であるマネーサーバ１８との通信を行う。
ＣＰＵ５２−１は、ＬＡＮ制御回路５８−１の制御及び３重化された価値制御部６０−１〜６０−３の制御を行うためのプロセッサとして動作する。このＣＰＵ５２−１のプログラムはＲＯＭ５４−１に格納されており、また作業用メモリとしてＲＡＭ５６−１が設けられている。この通信制御部５０−１の構成及び機能は、通信制御部５０−２についても同様である。
【００３１】
３重化された価値制御部６０−１〜６０−３のそれぞれは、例えば価値制御部６０−１に代表して示す回路ブロックを備える。価値制御部６０−１は、ＣＰＵ６２−１、ＲＯＭ６４−１、ＲＡＭ６６−１、バッテリ７２−１でバックアップされて不揮発性メモリとして機能するＲＡＭ６８−１、同じくバッテリ７４−１によりバックアップされて不揮発性メモリとして機能するＲＡＭ７０−１、入力レジスタ７６−１、出力レジスタ７８−１及び暗号処理回路８０−１により構成されている。
【００３２】
この価値制御部６０−１は、入力レジスタ７６−１及び出力レジスタ７８−１により通信制御部５０−１または通信制御部５０−２との間でデータの送受信を行う。暗号処理回路８０−１は、公開暗号キーとして知られたＲＳＡ暗号処理を行うための回路であり、最大１０２８ビットの暗号キー（ｅ）及びパラメータ（ｋ）により、１０２８ビットのデータｘからデータｙへの変換を
ｙ＝ｘ**ｅ（ｍｏｄｋ）
により行う。
【００３３】
この暗号処理により、電子マネーの複製等を防止している。勿論、暗号処理の開発研究に伴い楕円曲線暗号化等の他の暗号処理にも暗号処理回路８０−１は対応することが可能である。また高性能なＣＰＵ６２−１を採用することにより、暗号処理回路８０−１として特定の回路を用いることなく、全てＣＰＵ６２−１のソフトウェアで暗号処理を行うことも可能である。
【００３４】
バッテリ７４−１によるバックアップで不揮発性メモリとして機能するＲＡＭ７０−１には、暗号化した電子現金の情報、取引ログ、エラー情報等が格納される。このＳＲＡＭ６８−１に格納する電子現金の情報は、価値制御部６０−１において論理的に実現するＩＣカードの枚数、例えば３２枚の論理ＩＣカードに対応した３２個の論理ＩＣカード記憶部をメモリ領域に配置している。
【００３５】
このように論理ＩＣカードのカード記憶部を複数配置するＲＡＭ７０−１は、Ｃ−ＭＯＳテクノロジによるスタティックＲＡＭ（ＳＲＡＭ）を使用しており、電子現金金庫１０に対する電源供給が断たれた場合、その記憶内容の保持には極めて微量の電流しか必要としないため、バッテリ７４−１としては１個の電池により例えば１０年以上の記憶内容の保持を保証することができる。
【００３６】
例えばＲＡＭ７０−１として一般的な１２８Ｋ×９ビットのスタティックＲＡＭを２個使用した場合、バックアップに必要な電流は１６μＡ程度である。これを容量１９００ｍＡＨのリチウム電池でバックアップした場合の寿命は
１９００ｍＡＨ／（０．０１６μＡ×２４Ｈ×３６５日）＝１３．６年
となり、従来のフラッシュメモリを使用したＩＣカードの約２ケ月に比べ、飛躍的に長寿命とすることができる。
【００３７】
バッテリ７２−１によるバックアップで不揮発性メモリとして機能するＲＡＭ６８−１には、電子現金を暗号化するための秘密鍵と秘密鍵の処理手順を規定したセキュリティプログラムが格納されている。電源供給が断たれた場合の記憶内容の保持に関する条件は、電子現金の情報を格納するＲＡＭ７０−１と同じであるが、ＲＡＭ６８−１の内容は電子現金金庫１０の前扉３６あるいは後扉４０を不正に開けた場合等の異常を検出して自動的にＲＡＭ６８−１の内容を消去できるようになっている。このような異常時のＲＡＭ６８−１の内容の消去機能によって、暗号化の秘密鍵やセキュリティプログラムの漏洩を防止している。
【００３８】
ＣＰＵ６２−１は価値制御部６０−１の全体的な処理を行うプロセッサであり、オペレーティングシステムやセキュリティプログラム以外のプログラムはＲＯＭ６４−１に格納されており、また作業用メモリとしてＲＡＭ６６−１が使用される。このような価値制御部６０−１の構成及び機能は、他の価値制御部６０−２，６０−３についても同様である。
【００３９】
図６は図５の２重化された通信制御部５０−１，５０−２、及び３重化された価値制御部６０−１〜６０−３のソフトウェア構成である。２重化された通信制御部５０−１，５０−２は、通信制御部５０−１に示すように、ＴＣＰ／ＩＰプロトコルの制御を行うプログラムであるＬＡＮ制御モジュール８２と、上位装置であるマネーサーバからのコマンドを３つの価値制御部６０−１〜６０−３に同時に渡して処理結果を比較制御するためのプログラムである３重化制御モジュール８４で構成されている。
【００４０】
また３重化された価値制御部６０−１〜６０−３は、価値制御部６０−１に代表して示すように、ＩＣカードの国際規格であるＩＳＯ７８１６に準拠したＩＣカードの論理プロトコルを提供するプログラムであるＩＳＯプロトコル制御モジュール８８、最大３２枚の電子現金用のＩＣカードの機能を提供する論理ＩＣカードプロセス９０−１〜９０−３２、及び複数のプロセスを並行して実行するためのオペレーティングシステム（ＯＳ）８６により構成されている。
【００４１】
論理ＩＣカードプロセス９０−１〜９０−３２には、論理ＩＣカードプロセス９０−１に代表して示すように、電子マネー固有のコマンド／レスポンスを制御するプログラムである電子マネープロトコル制御モジュール９２、図５の暗号処理回路８０−１を制御して電子現金データ等の暗号化／復号化を行うプログラムである暗号処理モジュール９４、及びバッテリバックアップされたＲＡＭ６８−１に配置された最大３２のＩＣカード記憶部に対し電子現金のデジタルデータを入出力するためのプログラムである価値入出力制御モジュール９６により構成されている。
【００４２】
図７は図４のトレイ１２−１，１２−２の２つを例にとって図５のハードウェア構成及び図６のソフトウェア構成により実現された本発明の電子現金金庫の機能ブロック図である。
図７において、トレイ１２−１には２重化された通信制御部５０−１，５０−２が設けられており、通信制御部５０−１に代表して示すように、ＬＡＮ制御回路８２と３重比較制御部８４を備えている。ここでＬＡＮ制御回路８２は、図６のＬＡＮ制御モジュール８２によるＬＡＮ制御回路５８−１の制御機能に相当する。また３重比較制御部８４は図６の３重化制御モジュール８４そのものである。
【００４３】
このような通信制御部５０−１，５０−２に対し、３重化された価値制御部６０−１〜６０−３側には、コマンド制御部９８−１，９８−２，９８−３と不揮発性メモリ１００−１，１００−２，１００−３の各組が設けられている。コマンド制御部９８−１〜９８−３は、例えばコマンド制御部９８−１を例にとると、最大３２のＩＣカード制御部１０４−１〜１０４−３２を備える。
【００４４】
このＩＣカード制御部１０４−１〜１０４−３２は、図６の論理ＩＣカードプロセス９０−１〜９０−３２により実現される。また不揮発性メモリ１００−１には最大で３２のＩＣカード記憶部１１０−１〜１１０−３２が設けられている。不揮発性メモリ１００−１は、図５のバッテリ７４−１でバックアップされたＲＡＭ７０−１で実現されている。
【００４５】
このようなコマンド制御部９８−１に設けたＩＣカード制御部１０４−１〜１０４−３２と、不揮発性メモリ１００−１に設けたＩＣカード記憶部１１０−１〜１１０−３２のそれぞれの組によって、価値制御部６０−１には最大構成で３２個の論理ＩＣカードの機能が実現される。この価値制御部６０−１の構成は、他の価値制御部６０−２及び価値制御部６０−３についても同様である。
【００４６】
またトレイ１２−２についても、トレイ１２−１側と同様に、２重化された通信制御部５０−１，５０−２、及び３重化された価値制御部６０−１〜６０−３が設けられており、それぞれの構成及び機能はトレイ１２−１側と同じである。トレイ１２−１の通信制御部５０−１に設けた３重比較制御部８４は、ＬＡＮ制御回路８２を経由した上位装置としてのマネーサーバからのコマンドに基づき、価値制御部６０−１〜６０−３のそれぞれにおけるＩＣカード制御部とＩＣカード記憶部の組を指定して同じ制御処理を実行させ、その応答結果に基づき、多数決に基づいた対応を行う。
【００４７】
例えば３重比較制御部８４は、価値制御部６０−１のＩＣカード制御部１０４−１とＩＣカード記憶部１１０−１の組、価値制御部６０−２のＩＣカード制御部１０６−１とＩＣカード記憶部１１２−１の組、更に価値制御部６０−３のＩＣカード制御部１０８−１とＩＣカード記憶部１１４−１の組のそれぞれに対し、同一のコマンドに基づく制御処理を同時に行わせて処理結果を得るようにしている。
【００４８】
図８は本発明の電子現金金庫１０を用いた電子マネーシステムにおける取引の制御シーケンスであり、例えば図２のロード端末３０を使用してユーザ３４がＩＣカード３２に電子現金金庫１０から電子現金をロードする取引である。
図８において、ユーザがＩＣカード３２をロード端末にセットして所定の取引手順に従った操作処理を行うと、ロード端末側からマネーサーバ１８に対し電子現金のロードのためのＩＣコマンド１２０が送信される。
【００４９】
この電子現金ロードのためのＩＣコマンド１２０をマネーサーバ１８が受け取ると、ＩＣコマンド１２０による現金ロードの金額と電子現金金庫１０の各トレイ内にある論理ＩＣカードの残高から適当なトレイの番号と論理ＩＣカードの番号を選択し、トレイ番号と論理ＩＣカード番号をヘッダ情報１２２としてＩＣコマンド１２０に付加し、電子現金金庫１０のトレイ番号で指定されたトレイの通信制御部５０に送信する。
【００５０】
通信制御部５０は、マネーサーバ１８から受信したヘッダ情報１２２とＩＣコマンド１２０に基づき、３つの価値制御部６０−１〜６０−３に対し、ヘッダ情報１２２−１〜１２２−３とＩＣコマンド１２２−１〜１２２−３の組に分けて同時に送信する。３つの価値制御部６０−１〜６０−３の図７におけるコマンド制御部９８−１〜９８−３、具体的には図６のＩＳＯプロトコル制御モジュール８８は、受信したＩＣコマンド１２０−１〜１２０−３を解釈し、通常のＩＣカードで行われたと同様の処理を行う。
【００５１】
即ち、通常のＩＣカードにあっては、電子現金のデジタルデータでなる価値情報はＩＣカードのＥ²ＰＲＯＭに格納されているが、本発明にあっては、図５に示したように、バッテリ７４−１でバックアップされたＲＡＭ７０−１、即ちスタティックＲＡＭに例えば図７の不揮発性メモリ１００−１〜１００−３における３２個のＩＣカード記憶部として準備されており、この結果、スタティックＲＡＭを用いた不揮発性メモリへのアクセス速度は高速であり、また書き換え回数に制限がほとんどないことから極めて長寿命である。
【００５２】
この場合、ＩＣコマンド１２０−１〜１２０−３が電子現金のロードのための送金のように暗号データを伴う場合には、図６に示した論理ＩＣカード９０−１内の暗号処理モジュール９４が図５のハードウェア構成における暗号処理回路８０−１を制御して暗号化あるいは復号化を行う。もちろん、この暗号化と復号化はＣＰＵによるソフトウェアで実現可能なことは言うまでもない。
【００５３】
３重化された価値制御部６０−１〜６０−３は、論理ＩＣカードプロセス９０−１の処理結果、即ち図７の例えばコマンド制御部９８−１〜９８−３に設けているＩＣカード制御部１０４−１，１０６−１，１０８−１の処理結果をＩＣレスポンス１２４−１，１２４−２，１２４−３として出力レジスタを介して通信制御部５０に返却する。
【００５４】
通信制御部５０は、３重比較部制御モジュール８４において、３つのレスポンス１２４−１〜１２４−３が揃うのを待ってこれらを比較する。３つのレスポンス１２４−１〜１２４−３が全て一致した場合は、ヘッダ情報１２２に正常終了コードを付加してＩＣレスポンス１２４と共にマネーサーバ１８に返却する。
マネーサーバ１８は、返却されたＩＣレスポンス１２４のヘッダ情報１２２を解読し、正常終了であればヘッダ情報１２２を取り除いたＩＣレスポンス１２４をロード端末にセットしているＩＣカード３２に送信する。これによって、ユーザが保有しているＩＣカード３２から見て電子現金金庫１０側にあたかも実際のＩＣカードが存在するように論理的な動作が実現できる。
【００５５】
一方、電子現金金庫１０の通信制御部５０に設けた３重比較制御モジュール８４において、３つのＩＣレスポンス１２４−１〜１２４−３のうち、１つだけが不一致の場合、例えばＩＣレスポンス１２４−３だけが他のＩＣレスポンス１２４−１，１２４−２と不一致であった場合、ＩＣレスポンス１２４−３を返した価値制御部６０−３は異常と判断し、異常と判断した価値制御部６０−３を切り離し、これによってそれ以降の処理を３重化制御から２重化制御に切り換える。
【００５６】
同時に、異常と判断された価値制御部６０−３の番号をヘッダ情報１２２に付加し、一致した２つのＩＣレスポンス１２４−１，１２４−２と同じＩＣレスポンス１２４をマネーサーバ１８に返却する。
マネーサーバ１８は、返却されたヘッダ情報１２２を解読し、１つの価値制御部６０−３のみの異常であれば、正常終了の場合と同様にヘッダ情報１２２を取り除いて、ユーザ側のＩＣカード３２に対しＩＣレスポンス１２４を送信する。そして、この場合には、異常を起こした価値制御部６０−３を備えているトレイでのその後の新規取引を禁止する。
【００５７】
異常を起こしたトレイの新規取引を禁止すると、次にマネーサーバ１８は、異常を起こしたトレイ内にある全ての論理ＩＣカード内の価値情報を他の正常なトレイ内の論理ＩＣカードに移転する処理を実行し、異常を起こしたトレイを保守交換可能な状態とする。もちろん、マネーサーバ１８は異常トレイから正常トレイへの価値情報の移転を完了すると、異常トレイの保守交換を促すエラーメッセージを表示し、これに対応して保守要員が、異常を起こしたトレイを交換するようになる。
【００５８】
更に、電子現金金庫１０の通信制御部５０に設けている３重比較制御モジュール８４において、３つのＩＣレスポンス１２４−１〜１２４−３が全て不一致であった場合には、不一致を起こした３つの価値制御部６０−１〜６０−３の全てを切り離すと共に、ヘッダ情報１２２に価値制御部６０−１〜６０−３の結果が全て不一致であることを示す多重故障情報を付加してマネーサーバ１８に返却する。
【００５９】
マネーサーバ１８は電子現金金庫１０から返却されたヘッダ情報１２２を判断し、その多重故障情報から３つのＩＣレスポンス１２４−１〜１２４−３が全て不一致であったことを認識すると、エラーレスポンスを作成して、ＩＣレスポンス１２４としてロード端末側のユーザのＩＣカード３２に送信すると共に、３つのレスポンスの全ての不一致を起こした価値制御部６０−１〜６０−３を備えたトレイでのその後の新規取引を禁止する。
【００６０】
この場合、異常を起こしたトレイ内にある論理ＩＣカードの価値情報である電子現金は、マネーサーバ１８によって取り出すことはできなくなる。しかし、価値情報としての電子現金を格納している図５のＲＡＭ７０−１はバッテリ７４−１によりバックアップされているため、電子現金金庫１０から異常を起こしたトレイを外して工場等に送付することにより、異常を起こしたトレイ内にある論理ＩＣカードから価値情報である電子現金のデータを取り出し、この電子現金に付加されているチェックデータやマネーサーバ１８で取得した取引ログ等の情報により、３つの価値制御部６０−１〜６０−３のうちのどの価値情報が正当なものであるか判断でき、それによって異常を起こしたトレイであっても価値の消滅を免れることができる。
【００６１】
また、価値制御部６０−１〜６０−３の３つの結果が全て不一致な場合の他の対応処理として、通信制御部５０から３つの価値制御部６０−１〜６０−３に自己診断コマンドを発行し、各価値制御部６０−１〜６０−３で自己診断及び図５に示したＲＡＭ６６−１，６８−１，７０−１の正当性のチェック等を行わせる。この自己診断の結果から正当な価値情報を持つ価値制御部を決定し、正当な状態利結果であるＩＣレスポンス１２４を多重故障情報を付加したヘッダ情報１２２と共にマネーサーバ１８に返却し、ヘッダ情報１２２を取り除いてＩＣレスポンス１２４としてＩＣカード３２に正常終了の場合と同様に送信してもよい。
【００６２】
勿論、この場合にもマネーサーバ１８は、異常を起こしたトレイでのその後の新規取引を禁止し、異常を起こしたトレイを工場等に送付して価値を取り出すための故障対応処理を行うことになる。
図９は図８のマネーサーバ１８による電子現金引出処理のフローチャートである。まずステップＳ１で、ユーザのＩＣカード３２から受け取ったＩＣコマンド１２０の引出金額と各トレイの論理ＩＣカードの残高から、特定トレイの特定論理ＩＣカードを選択する。続いてステップＳ２で、トレイ番号と論理ＩＣカード番号をヘッダ情報１２２としてＩＣコマンド１２０に付加して電子現金金庫１０に送信する。
【００６３】
続いてステップＳ３で、電子現金金庫１０からのレスポンスの有無をチェックしており、レスポンスがあると、ステップＳ４でヘッダ情報１２２に正常終了コードがあるか否かで正常終了か否かを判断する。正常終了であることを判断すると、ヘッダ情報１２２を取り除いてＩＣレスポンス１２４をユーザのＩＣカードに送信する。
【００６４】
ステップＳ４で正常終了でなかった場合には、ステップＳ６に進み、３つのレスポンスのうちの１つが不一致か否かチェックする。３つのレスポンスのうちの１つが不一致であった場合には、ステップＳ７で、正常終了の場合と同様、ヘッダ情報１２２を取り除いてＩＣレスポンス１２２をユーザのＩＣカード３２に送信する。
【００６５】
そしてステップＳ８で、レスポンス不一致の異常を起こしたトレイでの新規取引を禁止する。更にステップＳ９で、取引禁止トレイに設けている論理ＩＣカード内の価値情報を他の正常なトレイの論理ＩＣカードに移動し、取引禁止トレイを保守交換可能な状態とする。
一方、ステップＳ６で、３つのレスポンスのうちの１つが不一致でなかった場合には、ステップＳ１０で３つのレスポンスの全てが不一致か否かチェックする。３つのレスポンスの全てが不一致であれば、ステップＳ１１で、多重故障情報に基づいたエラーレスポンスをＩＣレスポンス１２４として生成してユーザのＩＣカード３２に送信し、ステップＳ１２で異常トレイの新規取引を禁止する。
図１０は図９のマネーサーバ１８の処理に対応した電子現金金庫１０側の金庫制御処理のフローチャートである。ステップＳ１で、通信制御部５０がマネーサーバ１８からのヘッダ情報１２２とＩＣコマンドを受信すると、ステップＳ２で通信制御部５０がヘッダ情報１２２とＩＣコマンドを３つの価値制御部６０−１〜６０−３の入力レジスタに同時に送信する。
【００６６】
ステップＳ３で各価値制御部６０−１〜６０−３がヘッダ情報１２２から論理ＩＣカード番号とＩＣコマンドを解釈し、指定された番号の論理ＩＣカードを対象にＩＣコマンドに基づく取引を実行する。続いてステップＳ４で、各論理ＩＣカードの処理結果をＩＣレスポンス１２４−１〜１２４−３として出力レジスタを経由して通信制御部５０に返却する。
【００６７】
ステップＳ５にあっては、３重比較制御モジュール８４が価値制御部６０−１〜６０−３からの３つのレスポンスが揃うのを待っており、３つのレスポンスが揃うとステップＳ６で３つのレスポンスの比較制御を行う。この比較制御の結果、ステップＳ７でレスポンスが全て一致していた場合には、ステップＳ８でレスポンスのヘッダ情報１２２に正常終了コードを付加してマネーサーバ１８に送信する。
【００６８】
ステップＳ７でレスポンスが全て一致していない場合には、ステップＳ９で１つのレスポンスが不一致か否か判断する。１つのレスポンスが不一致であれば、ステップＳ１０で、異常を起こした価値制御部を切り離し、３重化制御を２重化制御に切り替える。
続いてステップＳ１１で、ヘッダ情報１２２に異常を起こした価値制御部の番号を付加して正当なレスポンスと共にマネーサーバ１８に返却する。続いてステップＳ１２で、マネーサーバ１８からの価値の移転コマンドを待っており、移転コマンドを受けると、ステップＳ１３で異常トレイの論理ＩＣカードの価値情報を他の正常なトレイの論理ＩＣカードに移転する。
【００６９】
またステップＳ９で１つのレスポンスが不一致でなかった場合には、図１１のステップＳ１４に進み、３つのレスポンスの全てが不一致か否かチェックする。全てが不一致であれば、ステップＳ１５で全ての価値制御部６０−１〜６０−３を切り離し、ヘッダ情報に多重故障情報を付けてマネーサーバ１８に返却する。図１２は図８の電子現金金庫１０の３重比較制御モジュール８４において３つのレスポンスが全て不一致となった場合の他の実施形態であり、この実施形態にあっては通信制御部５０から各価値制御部６０−１〜６０−３に自己診断コマンドを発行して自己診断を行わせるようにしたことを特徴とする。
【００７０】
即ち、図１２のステップＳ１〜Ｓ１４は、図１０，図１１の金庫制御処理と同じであるが、ステップＳ１４で３つのレスポンス１２４−１〜１２４−３の全ての不一致を判別すると、ステップＳ１６で通信制御部５０が各価値制御部６０−１〜６０−３に自己診断コマンドを発行し、自己診断を行わせる。この価値制御部６０−１〜６０−３の自己診断によって、図５に示したＲＡＭ６８−１のワーク領域の値やＲＡＭ７０−１の電子現金の情報、取引記録、エラー情報等から正当性のチェックを行わせ、この結果、正当な価値情報を持つ価値制御部をステップＳ１７で決定する。
【００７１】
そしてステップＳ１８で全ての価値制御部６０−１〜６０−３を切り離した後、ヘッダ情報１２２に多重故障情報と自己診断により決定した正当な価値制御部の番号をつけてレスポンス１２４をマネーサーバ１８に返却する。
図１３は、図１２の金庫制御処理に対応したロード処理のフローチャートである。このフローチャートにおいて、ステップＳ１〜Ｓ１０の処理は図９と同じであるが、ステップＳ１０で３つのレスポンスの全てが不一致であることを判別すると、ステップＳ１３でヘッダ情報から自己診断に基づいた正当な価値制御部のレスポンスを認識か否かチェックする。
【００７２】
自己診断の結果から正当な価値制御部のレスポンスであることを認識すると、ステップＳ１４で、そのレスポンスのヘッダ情報１２２を取り除いて、正常終了の場合と同様、ユーザ側のＩＣカードに送信する。そしてステップＳ１２で、異常トレイでの新規取引を禁止する。尚、ステップＳ１３で自己診断結果による正当な価値制御部のレスポンスを認識できなかった場合には、ステップＳ１１でエラーレスポンスを作成してユーザのＩＣカードに送信するようになる。
【００７３】
ここで本発明の電子現金金庫１０の各トレイに設けた３重比較制御モジュール８４による３重化処理により多数決を行うことで、従来の物理的なＩＣカードを用いた電子現金金庫に比べ、極めて高い信頼性を実現できる。例えば図７のトレイ１２−１のように、３重化したコマンド制御部９８−１〜９８−３と不揮発性メモリ１００−１〜１００−３の組により、論理的にそれぞれ３２個のＩＣカードの機能を実現した場合、多重化前の回路の故障率を２０００ｆｉｔ、平均修復時間ＭＴＴＲ＝２４Ｈとすると、３重化した場合の故障率は
６×２０００ ² ×２４×１０ ^-9＝０．５７６ｆｉｔ
となる。
【００７４】
一方、従来の電子現金金庫に設けたＩＣカード３２個の故障率は
１００×３２＝３２００ｆｉｔ
となる。したがって、３重化した場合の本発明の故障率は従来のＩＣカードを用いた電子現金金庫に比べ５０００分の１以下とすることができる。
また図１０のステップＳ９のように、１つのレスポンスが不一致であった場合に、異常トレイの論理ＩＣカードの価値情報を他の正常なトレイの論理ＩＣカードに移転して多重故障による価値の消滅を防止した場合には、更に故障率を低下させることができる。例えば、故障検出時には１分以内に自動的に価値を正常なトレイに移転できるとすると、平均修復時間ＭＴＴＲは１／６０Ｈとなり、この場合の３重化構成の故障率は
６×２０００ ² ×１／６０×１０ ^-9＝０．０００４ｆｉｔ
となる。この場合には、従来のＩＣカード３２個を用いた電子現金金庫に比べ、故障率を８０００万分の１とすることができる。
【００７５】
図１４は本発明の電子現金金庫を用いた電子マネーシステムの他のシステム形態であり、ユーザのＩＣカードの枚数を２４０万枚程度とした中規模システムである。この中規模システムにあっては、銀行側のシステムユニット１２０には２台の電子現金金庫１０−１，１０−２が設けられる。電子現金金庫１０−１，１０−２のそれぞれは、最大構成となる８つのトレイ１２−１〜１２−８を備えており、各トレイ１２−１〜１２−８は３２個の論理ＩＣカードを備えている。
【００７６】
この２台の電子現金金庫１０−１，１０−２はＬＡＮ２２−１，２２−２を介して２台のマネーサーバ１８−１，１８−２に接続され、マネーサーバ１８−１，１８−２はＬＡＮ２６−１，２６−２を介してルータ２４によるネットワーク２８に接続され、ネットワーク２８側のロード端末や適宜の入出力端末に接続される。
【００７７】
図１５はユーザのＩＣカードの枚数を２０００万枚程度とした大規模システムであり、銀行側には図１４の中規模システムで設けたシステムユニット１２０に相当する８つのシステムユニット１２０−１〜１２０−８を設けている。このように本発明の電子現金金庫は、電子マネーシステムのユーザのＩＣカード数に対応してトレイ数及び金庫数を適宜に定めることができる。
【００７８】
尚、上記の実施形態は、１トレイ当たり３２個の論理ＩＣカードを設けた場合を例にとっているが、トレイに設けているプロセッサの処理速度が高速化すれば、プロセス数が増加し、これに対応して論理的なＩＣカードの数を更に増やすことができる。したがって、トレイ１台当たりの論理ＩＣカードの数は実施例に限定されず、適宜に定めることができる。
【００７９】
また上記の実施形態は、トレイに使用する論理ＩＣカードの不揮発性メモリとしてバッテリにバックアップされるスタティックＲＡＭを例にとっているが、記憶保持状態での消費電流が少なく且つ寿命の長いメモリであれば他のメモリを使用してもよいことはもちろんである。更に本発明は、上記の実施形態に示した数値による限定は受けない。
【００８０】
【発明の効果】
以上説明してきたように本発明によれば、電子現金金庫として１つの制御回路で論理的に複数のＩＣカードの機能を実現することにより、電子現金金庫のセキュリティのための暗号処理の変更を容易に行うことができる。
また電子現金金庫としての価値の記憶にバッテリでバックアップされたスタティックＲＡＭ等の消費電流が少なく且つ書き換え寿命の長いメモリを用いることで、フラッシメモリを用いた従来のＩＣカードに比べ、飛躍的に電子現金金庫に用いる論理ＩＣカードの寿命を長くすることができる。
【００８１】
更に、電子現金金庫における制御回路を多重化することにより、ＩＣカードを電子現金金庫に設けた場合に比べ大幅に信頼性を向上することができる。
更にまた、電子現金金庫の取引処理における多重比較制御における一部の不良検出に対し、他の正常な制御回路に価値を移転することにより、多重比較制御において多重故障を起こした場合の価値の消滅を未然に防止することができる。
【図面の簡単な説明】
【図１】本発明の原理説明図
【図２】本発明の金庫を用いた電子マネーシステムの説明図
【図３】本発明の電子現金金庫及びマネーサーバの外観の説明図
【図４】図３の電子現金金庫の内部構造の説明図
【図５】図４の金庫内トレイの回路ブロック図
【図６】図４の金庫内トレイで使用するプログラムモジュールのブロック図
【図７】図４の金庫内トレイの制御機能のブロック図
【図８】本発明の電子現金金庫を用いた図２の電子マネーシステムの処理シーケンスの説明図
【図９】図２のマネーサーバによる電子現金のロード処理のフローチャート
【図１０】図９のマネーサーバのロード処理に伴う本発明の電子現金の制御処理のフローチャート
【図１１】図１０に続く図９のマネーサーバのロード処理に伴う本発明の電子現金制御処理のフローチャート
【図１２】本発明の他の電子現金制御処理のフローチャート
【図１３】図１２の電子現金制御処理に伴うマネーサーバのロード処理のフローチャート
【図１４】電子現金金庫を２台とした中規模な電子マネーシステムのブロック図
【図１５】電子現金金庫を最大構成で３２台とした大規模な電子マネーシステムのブロック図
【符号の説明】
１０：金庫
１２，１２−１〜１２−８：トレイ
１４：論理ＩＣカード
１８：マネーサーバ（上位装置）
２０：ホスト
２１：カード管理サーバ
２２−１，２２−２，２６−１，２６−２：ＬＡＮ
２４：ルータ
２８：ネットワーク
３０：ロード端末
３２：ＩＣカード
３４：ユーザ
３５：本体
３６：前扉
３８：ダイヤルロック
４０：後扉
４２：バックパネル
４４：ファンユニット
４６−１，４６−２：電源ユニット
４８−１，４８−２：ハブ
５０，５０−１，５０−２：通信制御部
５２−１，５２−２，６２−１，６２−２：ＣＰＵ
５４−１，５４−２，６４−１：ＲＯＭ
５６−１，５６−２，６６−１：ＲＡＭ
５８−１，５８−２：ＬＡＮ制御回路
６０，６０−１〜６０−３：価値制御部
６８−１，７０−１：ＲＡＭ
７２−１，７４−１：バックアップ電源
７６−１：入力レジスタ
７８−１：出力レジスタ
８０−１：暗号処理回路
８２：：ＬＡＮ制御部
８４：３重比較制御部
８６：ＯＳ
８８：ＩＳＯプロトコル制御部
９０−１〜９０−３２：論理ＩＣチッププロセス
９２：電子マネープロトコル制御部
９４：暗号処理部
９６：価値入出力制御部
９８，９８−１〜９８−３：コマンド制御部
１００−１〜１００−３：不揮発性メモリ
104-1 〜104-32,106-1〜106-32,108-1〜108-32：ＩＣカード制御部
110-1 〜110-32,112-1〜112-32,114-1〜114-32：ＩＣカード記憶部

Claims

通貨の価値を電子的な情報で表した電子現金を記憶する複数のＩＣカードの記憶部に相当する複数のＩＣカード記憶部を配置した不揮発性メモリと、
前記不揮発性メモリに配置した複数のＩＣカード記憶部の各々に対するＩＣコマンドを並列的に実行して論理的に複数のＩＣカードの機能を実現するコマンド制御部と、
上位装置からＩＣコマンドを受信した際に、前記コマンド制御部に対し前記ＩＣコマンドと同一のＩＣコマンドを複数同時に供給して論理的に複数のＩＣカードとの通信機能を実現する通信制御部と、
を備え、
前記不揮発性メモリとコマンド制御部とを備えた価値制御部を前記通信制御部に対し複数設けることで多重化構成したトレイを複数設け、
前記通信制御部に、上位装置からのＩＣコマンドに対して前記複数の価値制御部に設けたコマンド制御部の各々にＩＣカード記憶部に対する同一の処理を行わせると共に複数の処理結果を比較して判定する多重比較制御部を設け、
該多重比較制御部は、複数の価値制御部からの処理結果を比較して１つの処理結果と他の複数の処理結果との不一致を検出した時は、前記他の複数の処理結果に対し不一致を起こした価値制御部を含むトレイに対する前記上位装置からの制御を禁止した後に、前記上位装置の制御により前記不一致を起こした価値制御部を含むトレイの不揮発性メモリに記憶している電子現金を他の正常なトレイの不揮発性メモリに転移させることを特徴とする電子現金金庫。