JP3589570B2 - 電子現金用金庫および電子マネーシステム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、通貨の価値を電子的な情報で表した電子現金を一括管理するための電子現金用金庫および電子マネーシステムに関し、詳細には、ＩＣカードを用いた取引に使用される電子現金用金庫およびその電子現金用金庫を用いた電子マネーシステムに関する。
【０００２】
【従来の技術】
近年、売買などの取引における決済の安全性と利便性の面で、従来の紙幣、貨幣などに代わる決済手段として電子的なデジタルデータを現金として利用する、いわゆる電子現金（電子マネー）が注目されている。このため、銀行などにおいて、電子現金を一括管理するための電子現金用金庫を設置する必要があり、信頼性の高い金庫の提供が求められている。
【０００３】
顧客がロード端末を使用してＩＣカードに銀行側から電子現金をロードする場合、顧客のＩＣカードと銀行側の電子現金用金庫との間で直接電子現金の交換を行う必要がある。このため、電子現金用金庫には、電子現金のデータが記憶された記憶部が設けられており、顧客のロード要求に対し顧客のＩＣカードと電子現金用金庫の記憶部との間で直接電子現金を交換可能とする。
【０００４】
なお、電子現金用金庫にはセキュリティ強化が求められており、１回の電子現金移転に対する処理を多重化して、当該取引の正当性を確認する技術が提案されている。
【０００５】
ここで、従来の電子現金用金庫について説明する。図２４には従来の電子現金用金庫の機能的な構成が示されている。従来の電子現金用金庫は、図２４に示したように、主として、通信部１００にたとえば３つのコマンド制御部２０１，２０２および２０３を接続させた構成を備えている。コマンド制御部２０１，２０２，２０３は、それぞれ通信部１００に対してバスインタフェース３０１，３０２，３０３を介して接続される。通信部１００は比較器１０１を有しており、すべてのコマンド制御部２０１〜２０３の実行結果を比較する。また、通信部１００は図示せぬ上位装置にバスインタフェースを介して接続され、そのバスインタフェース４００を介して上位装置から処理命令を受け付ける。
【０００６】
つぎに、上記電子現金用金庫の動作について説明する。図２４に示した電子現金用金庫は、信頼性を向上させるため、たとえば３つのコマンド制御部２０１，２０２および２０３を備えている。通信部１００は、上位装置からの命令に従ってコマンド制御部２０１〜２０３に対して同一処理を指示し、その実行結果を受け取る。通信部１００は、各コマンド制御部２０１〜２０３から送られてきた実行結果を比較器１０１により比較し、処理の正常性を確認するなどの多重化処理を実行する。また、各コマンド制御部２０１〜２０３は、電子現金としての価値を内部に保持し、通信部１００からのコマンドを処理して価値を管理する。
【０００７】
【発明が解決しようとする課題】
しかしながら、上記従来の電子現金用金庫では、通信部１００の制御で各コマンド制御部２０１〜２０３に対して同一処理を行うようにしているので、各コマンド制御部２０１〜２０３には電子現金として同一の価値が保持されることになり、実際の価値に対して３倍の価値を物理的に保持することになった。
【０００８】
したがって、多重化技術を用いた不正な改造を行うとたとえば図２５のようになる。図２５（ａ）には通信部１００とコマンド制御部２０１間のインタフェースを改造した例が示されている。図２５（ａ）の例では、通信部１００にはバスインタフェース３０４を介してコマンド制御部２０１だけを接続し、バスインタフェース３０４の通信部１００側の３個のバスインタフェースに接続する。
【０００９】
また、図２５（ｂ）には通信部１００とコマンド制御部２０２間のインタフェースを改良した例が示されている。図２５（ｂ）の例では、通信部１００にはバスインタフェース３０５を介してコマンド制御部２０２だけを接続し、バスインタフェース３０５の通信部１００側の３個のバスインタフェースに接続する。なお、図示せぬが、上記と同様に通信部１００とコマンド制御部２０３間のインタフェースを改良した例も併せて考えられる。
【００１０】
以上の如く改造された電子現金用金庫は、リバースエンジニアリングにより解析して得られるものである。このように改良すれば、通信部１００には一つのコマンド制御部が接続されるだけとなる。そこで、まず図２５（ａ）の接続すなわち通信部１００とコマンド制御部２０１間だけの接続で価値を引き出し、その後、図２５（ｂ）の接続すなわち通信部１００とコマンド制御部２０２間だけの接続で価値を引き出し、さらに図示せぬが通信部１００とコマンド制御部２０３間だけの接続で価値を引き出すと、元の価値を３倍にして現金を引き出すことができる。
【００１１】
上記３重化制御のように、多重化制御を利用すれば、価値を簡単に倍増して不正な多重引き出しを許してしまうという問題があった。
【００１２】
本発明は、上述した従来例による問題を解消するため、多重化制御による価値の多重引き出しを防止することが可能な電子現金用金庫および電子マネーシステムを提供することを目的とする。
【００１３】
【課題を解決するための手段】
上述した課題を解決し、目的を達成するため、請求項１の発明に係る電子現金用金庫は、通貨の価値を電子的な情報で表した電子現金を記憶する複数の記憶部を有し、利用者とのＩＣカードとの間で電子現金の移転を行うための電子現金用金庫であって、前記複数の記憶部に対するコマンドを並列的に実行し、前記複数の記憶部の制御機能を実現する複数のコマンド制御部と、前記複数のコマンド制御部との間にコマンド数に相当する通信パスを並列的に形成し、前記複数の記憶部との通信機能を実現する通信部と、前記複数のコマンド制御部と前記通信部とを接続し、前記通信部の制御に従って、通信部側からコマンド制御部側へ電子現金移転のためのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送する第１インタフェース手段と、前記複数のコマンド制御部と前記通信部とを接続し、前記通信部の制御に従って、前記第１インタフェース手段によりコマンドおよびコマンド処理結果が転送されるコマンド処理パスに対して不正な操作が行われているか否かの診断のためのコマンドを通信部側からコマンド制御部側へ転送するとともにその診断結果をコマンド制御部側から通信部側へ転送する第２インタフェース手段と、を備えたことを特徴とする。
【００１４】
この請求項１の発明によれば、第１のインタフェースで、通信部側からコマンド制御部側へ上位からのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送し、第２のインタフェースで、通信部側からコマンド制御部側へコマンド処理パスの診断のためのコマンドを転送するとともにその診断結果をコマンド制御部側から通信部側へ転送するようにしたので、コマンド処理のパスが不正により操作されても、診断のパスから容易に不正な操作を摘発することができ、これにより、多重化制御による価値の多重引き出しを防止することが可能である。
【００１５】
また、請求項２の発明に係る電子現金用金庫は、請求項１の発明において、前記通信部は、前記第２インタフェース手段による診断処理を前記第１インタフェース手段によるコマンド処理とは独立して制御し、前記各コマンド制御部は、前記第２インタフェース手段による診断処理を前記第１インタフェース手段によるコマンド処理とは独立して実行することを特徴とする。
【００１６】
この請求項２の発明によれば、コマンド処理と診断のパスがそれぞれ物理的に独立するので、パス別に不正を検出することができ、これにより、多重化制御による価値の多重引き出しを防止することが可能である。
【００１７】
また、請求項３の発明に係る電子現金用金庫は、通貨の価値を電子的な情報で表した電子現金を記憶する複数の記憶部を有し、利用者とのＩＣカードとの間で電子現金の移転を行うための電子現金用金庫であって、前記複数の記憶部に対するコマンドを並列的に実行し、前記複数の記憶部の制御機能を実現する複数のコマンド制御部と、前記複数のコマンド制御部との間にコマンド数に相当する通信パスを並列的に形成し、前記複数の記憶部との通信機能を実現する通信部と、前記複数のコマンド制御部と前記通信部とを接続し、前記通信部の制御に従って、通信部側からコマンド制御部側へ電子現金移転のためのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送することに加え、前記コマンドおよびコマンド処理結果が転送されるコマンド処理パスに対して不正な操作が行われているか否かの診断のためのコマンドを通信部側からコマンド制御部側へ転送するとともにその診断結果をコマンド制御部側から通信部側へ転送するインタフェース手段と、を備えたことを特徴とする。
【００１８】
この請求項３の発明によれば、一つのインタフェースで、通信部側からコマンド制御部側へ上位からのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送したり、通信部側からコマンド制御部側へコマンド処理パスの診断のためのコマンドを転送するとともにその診断結果をコマンド制御部側から通信部側へ転送するようにしたので、コマンド処理のパスが不正により操作されても、データ処理上で診断のパスから容易に不正な操作を摘発することができ、これにより、多重化制御による価値の多重引き出しを防止することが可能である。
【００１９】
また、請求項４の発明に係る電子現金用金庫は、請求項１，２または３の発明において、前記通信部は、前記複数のコマンド制御部に対するコマンド処理を同じタイミングで制御することを特徴とする。
【００２０】
この請求項４の発明によれば、通信部では、複数のコマンド制御部に対するコマンド処理を同じタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能である。
【００２１】
また、請求項５の発明に係る電子現金用金庫は、請求項１，２または３の発明において、前記通信部は、前記複数のコマンド制御部に対する診断処理を同じタイミングで制御することを特徴とする。
【００２２】
この請求項５の発明によれば、通信部では、複数のコマンド制御部に対する診断処理を同じタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能である。
【００２３】
また、請求項６の発明に係る電子現金用金庫は、請求項１，２または３の発明において、前記通信部は、前記複数のコマンド制御部に対するコマンド処理を異なるタイミングで制御することを特徴とする。
【００２４】
この請求項６の発明によれば、通信部では、複数のコマンド制御部に対するコマンド処理を異なるタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能である。
【００２５】
また、請求項７の発明に係る電子現金用金庫は、請求項１，２または３の発明において、前記通信部は、前記複数のコマンド制御部に対する診断処理を異なるタイミングで制御することを特徴とする。
【００２６】
この請求項７の発明によれば、通信部では、複数のコマンド制御部に対する診断処理を異なるタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能である。
【００２７】
また、請求項８の発明に係る電子現金用金庫は、請求項３〜７のいずれか一つの発明において、前記インタフェース手段は、複数本のバスインタフェースより構成され、バスインタフェース毎に複数のコマンド制御部を接続させたことを特徴とする。
【００２８】
この請求項８の発明によれば、バスインタフェース毎に複数のコマンド制御部を接続するようにしたので、バス単位での不正防止を図ることが可能である。
【００２９】
また、請求項９の発明に係る電子現金用金庫は、請求項８の発明において、前記通信部は、バスインタフェース毎に接続される複数のコマンド制御部のうちで任意の転送タイミングを設定することを特徴とする。
【００３０】
この請求項９の発明によれば、通信部では、バスインタフェース毎に接続されるコマンド制御部内で任意の転送タイミングを設定するようにしたので、固定の順序で転送を行う場合に比べて不正防止を強化することが可能である。
【００３１】
また、請求項１０の発明に係る電子現金用金庫は、請求項１〜９のいずれか一つの発明において、前記複数のコマンド制御部はそれぞれ異なる固有の暗号鍵を所持しており、前記通信部は、コマンド制御部別に割り当てられた前記固有の暗号鍵を所持しており、前記通信部はコマンド制御部別に割り当てられた前記固有の暗号鍵を用いて前記コマンド制御部との通信で暗号化および復号化を行い、前記コマンド制御部は自身に割り当てられた固有の暗号鍵を用いて前記通信部との通信で暗号化および復号化を行うことを特徴とする。
【００３２】
この請求項１０の発明によれば、通信部ではコマンド制御部別に割り当てられた固有の暗号鍵を用いてコマンド制御部との通信で暗号化および復号化を行い、コマンド制御部では自身に割り当てられた固有の暗号鍵を用いて通信部との通信で暗号化および復号化を行うようにしたので、転送内容についてコマンド制御部別にセキュリティを保つことが可能である。
【００３３】
また、請求項１１の発明に係る電子現金用金庫は、請求項１０の発明において、前記通信部は、乱数を用いて暗号鍵を生成する乱数発生器を有し、前記乱数発生器により前記各コマンド制御部に割り当てる暗号鍵を更新することを特徴とする。
【００３４】
この請求項１１の発明によれば、乱数発生器により各コマンド制御部に割り当てる暗号鍵を更新するようにしたので、暗号鍵が固定されず、これにより、不正防止を一層強化することが可能である。
【００３５】
また、請求項１２の発明に係る電子現金用金庫は、請求項１１の発明において、前記通信部と前記コマンド制御部は所定の暗号鍵を共有しており、前記通信部は、コマンド制御部側へ暗号化されたコマンドを転送する前に、当該コマンドを暗号化するために使用した暗号鍵を前記所定の暗号鍵で暗号化して通知し、前記コマンド制御部は、前記通信部により通知された暗号鍵を前記所定の暗号鍵で復号化しておき、前記復号化された暗号鍵を用いて前記通信部から転送されてくる暗号化されたコマンドを復号化することを特徴とする。
【００３６】
この請求項１２の発明によれば、コマンド制御部側へ暗号化されたコマンドを転送する前に、当該コマンドを暗号化するために使用した暗号鍵を所定の暗号鍵で暗号化して通知し、コマンド制御部では、通信部により通知された暗号鍵を所定の暗号鍵で復号化しておき、復号化された暗号鍵を用いて通信部から転送されてくる暗号化されたコマンドを復号化するようにしたので、毎回のコマンド転送における不正防止を実現することが可能である。
【００３７】
また、請求項１３の発明に係る電子マネーシステムは、通貨の価値を電子的な情報で表した電子現金を管理する上位装置と、前記上位装置の制御に従って電子現金を処理する電子現金用金庫と、前記上位装置と前記電子現金用金庫とを接続する複数の上位パスと、を備え、前記電子現金用金庫は、電子現金を記憶する複数の記憶部と、前記複数の記憶部に対するコマンドを並列的に実行し、前記複数の記憶部の制御機能を実現する複数のコマンド制御部と、前記上位装置にそれぞれ独立した前記上位パスで接続され、前記複数のコマンド制御部との間にコマンド数に相当する通信パスを並列的に形成し、前記複数の記憶部との通信機能を実現する複数の通信部と、前記上位装置からの要求に基づいて、前記複数のコマンド制御部と前記複数の通信部とを接続し、前記複数の通信部の制御に従って、通信部側からコマンド制御部側へ電子現金移転のためのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送することに加え、前記コマンドおよびコマンド処理結果が転送されるコマンド処理パスに対して不正な操作が行われているか否かの診断のためのコマンドを通信部側からコマンド制御部側へ転送するとともにその診断結果をコマンド制御部側から通信部側へ転送するインタフェース手段と、を有し、前記上位装置は、前記複数の上位パスのいずれか一つ以上に故障が発生した場合に他の正常な上位パスに切り換えて通信を行うことを特徴とする。
【００３８】
この請求項１３の発明によれば、上位装置と電子現金用金庫内部に複数のパスを設けて、故障が発生したパスが検出されると、そのパス以外の正常なパスに切り換えて通信を行うようにしたので、通信を継続するためのフェールセーフを実現することが可能である。
【００３９】
【発明の実施の形態】
以下に添付図面を参照して、本発明に係る電子現金用金庫および電子マネーシステムの好適な実施の形態を詳細に説明する。
【００４０】
（実施の形態１）
図１は本発明の電子現金用金庫が使用される電子マネーシステムを示す構成図である。図１において、銀行１１００には、電子現金用金庫１０００、マネーサーバ１８００、ホスト２０００およびルータ２４００が設けられている。電子現金用金庫１０００は、ＬＡＮ２２００−１，２２００−２をそれぞれ介してマネーサーバ１８００に接続され、さらにマネーサーバ１８００とカード管理サーバ２１００がＬＡＮ２６００−１および２６００−２に接続される。
【００４１】
マネーサーバ１８００は、ＬＡＮ２６００−１，２６００−２をそれぞれ介してルータ２４００に接続される。銀行１１００側のルータ２４００は、外部のネットワーク２８００に接続され、このネットワーク２８００に対してはロード端末３０００が接続され、銀行１１００側のマネーサーバ１８００との間でユーザ３４００が保有するＩＣカード３２００を使用して電子マネーの取引が可能である。ユーザ３４００が保有するＩＣカード３２００を用いたロード端末３０００による取引は、つぎの手順で行われる。
【００４２】
すなわち、
（１）ユーザ３４００はＩＣカード３２００をロード端末３０００にセットし、取引コードたとえば電子現金のロード、暗証番号、金額などを入力する。
（２）ロード端末３０００はマネーサーバ１８００を経由して電子現金用金庫１０００に取引要求を行う。
（３）ロード端末３０００から取引要求に対し、電子現金用金庫１０００はマネーサーバ１８００を介してロード端末３０００にユーザ３４００のＩＣカード３２００の正当性を確認するための認証要求を行う。
【００４３】
（４）認証要求に対し、ロード端末３０００は、ユーザ３４００のＩＣカード３２００の正当性を示す認証応答を返す。
（５）電子現金用金庫１０００でロード端末３０００からの認証応答を受けると、認証承認を行ってマネーサーバ１８００に伝える。
（６）マネーサーバ１８００はカード管理サーバ２１００に対し、ＩＣカード３２００の番号をユーザ３４００が所有する預金の口座番号を変換するための口座番号などの要求を行う。
【００４４】
（７）カード管理サーバ２１００は、マネーサーバ１８００からの口座番号などの要求に対し、変換結果としての口座番号などの応答を返す。
（８）マネーサーバ１８００は、ホスト２０００に対し元帳更新のための取引伝聞を送信する。
（９）ホスト２０００は、マネーサーバ１８００からの取引電文に基づき元帳更新を行って、その結果を示す取引電文をマネーサーバ１８００に応答する。
【００４５】
（１０）マネーサーバ１８００からの価値移転要求が電子現金用金庫１０００に行われる。
（１１）電子現金用金庫１０００のＩＣカードとユーザ３４００のＩＣカード３２００との間で価値の移転すなわち電子マネーの移転を行う。
（１２）最終的に、電子現金用金庫１０００の移転終了に伴い、マネーサーバ１８００からロード端末３０００に取引終了に伴う取引確認を行う。
【００４６】
このようなＩＣカード３２００を使用した電子マネーシステムに用いる本発明の電子現金用金庫１０００は、たとえばトレイ１２００−１，１２００−２を有し、トレイ１２００−１，１２００−２のそれぞれにユーザ３４が保有しているＩＣカード３２００と同等な機能をソフトウェアにより論理的に実現する論理ＩＣカード１４００を、たとえば各トレイにつき３２個ずつ備えている。
【００４７】
このように、複数のトレイ、さらには複数のＩＣカードを設けるのは、一つの記憶部に集中して電子現金を記憶することは、セキュリティ上好ましくないこと、および複数のロード端末から同時に取引要求があった場合に、並列して処理可能にすることを鑑みてのものである。
【００４８】
図２は本発明の電子現金用金庫１０００の外観をマネーサーバ１８００とともに示している。本発明の電子現金用金庫１０００は、たとえばマネーサーバ１８００に併設されており、本体３５００、前扉３６００および後扉４０００を備えている。前扉３６００にはダイヤルロック３８００が設けられ、所定のダイヤル番号のセットにより前扉３６００を開くことができる。また、後扉４０００にはシリンダ錠が取り付けられている。
【００４９】
図３は図２の電子現金用金庫１０００の内部構造を示す断面図である。電子現金用金庫１０００の本体３５００は、たとえば１３ミリメートルの厚さをもった鉄板で覆われており、前方に前扉３６００が設けられ、後方に後扉４０００が設けられている。本体３５００の内部には、たとえば最大８つのトレイ１２００−１〜１２００−８を組み込むことができる。トレイ１２００−１〜１２００−８に対しては、共通の回路基板となるバックパネル４２００が設けられている。
【００５０】
バックパネル４２００の背後には、トレイ１２００−１〜１２００−８につき、それぞれ２台ずつのファンを設けたファンユニット４４００が設置される。さらに本体３５００の下部には、２重化された電源ユニット４６００−１および４６００−２と、同じく２重化されたＬＡＮ用のハブ（ＨＵＢ）４８００−１および４８００−２が設けられている。
【００５１】
図４は、図３の電子現金用金庫１０００に収納された８つのトレイのうち、トレイ１２００−１を代表して表すブロック構成を示している。トレイ１２００−１は、図４に示したように、通信部１Ａと、一例であるが３重化された価値制御部とにより構成される。
【００５２】
３重化された価値制御部は、３つのコマンド制御部２Ａ−１，２Ａ−２および２Ａ−３と、それぞれのコマンド制御部２Ａ−１，２Ａ−２，２Ａ−３に接続されるＩＣカード記憶部３Ａ−１，３Ａ−２，３Ａ−３との３段により構成される。ＩＣカード記憶部３Ａ−１，３Ａ−２，３Ａ−３は、それぞれ通貨の価値を電子的な情報で表した電子現金を記憶する不揮発性メモリである。
【００５３】
コマンド制御部２Ａ−１はインタフェース（図中、Ｉ／Ｆで示す）２９−１を有し、このインタフェース２９−１にＩＣカード記憶部３Ａ−１を接続させている。同様に、コマンド制御部２Ａ−２，２Ａ−３はそれぞれインタフェース（図中、Ｉ／Ｆで示す）２９−２，２９−３を有し、それぞれインタフェース２９−２，２９−３にＩＣカード記憶部３Ａ−２，３Ａ−３を接続させている。
【００５４】
コマンド制御部２Ａ−１〜２Ａ−３は、それぞれＩＣカード記憶部３Ａ−１〜３Ａ−３に対してコマンドを並列的に実行して論理的に複数のＩＣカードの制御機能を実現する。これにより、電子現金のセキュリティの確保に使用している暗号処理の変更の際に、物理的な多数のＩＣカードの交換作業を必要とすることなく、容易に変更することができる。
【００５５】
通信部１Ａとコマンド制御部２Ａ−１とは、バスインタフェース３０１および診断チェックパス５０１で接続される。同様に、通信部１Ａとコマンド制御部２Ａ−２とは、バスインタフェース３０２および診断チェックパス５０２で接続され、通信部１Ａとコマンド制御部２Ａ−３とは、バスインタフェース３０３および診断チェックパス５０３で接続される。
【００５６】
通信部１Ａは、たとえば図４に示したように、ＬＡＮ制御部１１、ＭＰＵ１２Ａ、ＲＯＭ１３Ａ、ＲＡＭ１４、バス制御部１５、比較器１６、診断制御部１７Ａより構成される。ＬＡＮ制御部１１は、たとえば１００Ｍｂｉｔ／ｓの１００ＢＡＳＥ−ＴＸ仕様である。このＬＡＮ制御部１１は、上位インタフェースであるバスインタフェース４００を介して図示せぬ上位装置すなわちマネーサーバに接続され、ＴＣＰ／ＩＰプロトコルに従って通信を行う。ＭＰＵ１２Ａは、ＬＡＮ制御部１１の制御および３重化された価値制御部の制御を行うためのプロセッサとして動作する。このＭＰＵ１２ＡのプログラムはＲＯＭ１３Ａに格納されており、また作業用メモリとしてＲＡＭ１４が設けられている。
【００５７】
バス制御部１５は、バスインタフェース３０１，３０２，３０３をそれぞれ経由して対応するコマンド制御部２Ａ−１，２Ａ−２，２Ａ−３とのデータ転送を制御する。比較器１６は、バス制御部１５で転送して各コマンド制御部２Ａ−１，２Ａ−２，２Ａ−３から送られてくるデータを比較する。診断制御部１７Ａは、診断チェックパス５０１〜５０３を経由して各コマンド制御部２Ａ−１，２Ａ−２，２Ａ−３へ診断コマンドを送信するとともにその診断結果を受信して３重化された価値制御部の診断を行う。
【００５８】
また、コマンド制御部２Ａ−１は、たとえば図４に示したように、バス制御部２１−１、ＭＰＵ２２Ａ−１、ＲＯＭ２３Ａ−１、ＲＡＭ２４−１、診断制御部２５Ａ−１、および、インタフェース２９−１より構成される。バス制御部２１−１は、バスインタフェース３０１を経由して対応するコマンド制御部２Ａ−１とのデータ転送を制御する。ＭＰＵ２２Ａ−１は、コマンド処理を行うためのプロセッサとして動作する。このＭＰＵ２２Ａ−１のプログラムはＲＯＭ２３Ａ−１に格納されており、また作業用メモリとしてＲＡＭ２４−１が設けられている。診断制御部２５Ａ−１は、診断チェックパス５０１を経由して通信部１Ａから送られてくる診断コマンドに基づいてコマンド処理を行い、その診断結果を診断チェックパス５０１を経由して通信部１Ａに応答する。
【００５９】
同様に、コマンド制御部２Ａ−２は、たとえば図４に示したように、バス制御部２１−２、ＭＰＵ２２Ａ−２、ＲＯＭ２３Ａ−２、ＲＡＭ２４−２、診断制御部２５Ａ−２、および、インタフェース２９−２より構成される。バス制御部２１−２は、バスインタフェース３０２を経由して対応するコマンド制御部２Ａ−２とのデータ転送を制御する。ＭＰＵ２２Ａ−２は、コマンド処理を行うためのプロセッサとして動作する。
【００６０】
このＭＰＵ２２Ａ−２のプログラムはＲＯＭ２３Ａ−２に格納されており、また作業用メモリとしてＲＡＭ２４−２が設けられている。診断制御部２５Ａ−２は、診断チェックパス５０２を経由して通信部１Ａから送られてくる診断コマンドに基づいてコマンド処理を行い、その診断結果を診断チェックパス５０２を経由して通信部１Ａに応答する。
【００６１】
同様に、コマンド制御部２Ａ−３は、たとえば図４に示したように、バス制御部２１−３、ＭＰＵ２２Ａ−３、ＲＯＭ２３Ａ−３、ＲＡＭ２４−３、診断制御部２５Ａ−３、および、インタフェース２９−３より構成される。バス制御部２１−３は、バスインタフェース３０３を経由して対応するコマンド制御部２Ａ−３とのデータ転送を制御する。ＭＰＵ２２Ａ−３は、コマンド処理を行うためのプロセッサとして動作する。このＭＰＵ２２Ａ−３のプログラムはＲＯＭ２３Ａ−３に格納されており、また作業用メモリとしてＲＡＭ２４−３が設けられている。診断制御部２５Ａ−３は、診断チェックパス５０３を経由して通信部１Ａから送られてくる診断コマンドに基づいてコマンド処理を行い、その診断結果を診断チェックパス５０３を経由して通信部１Ａに応答する。
【００６２】
つぎに動作について説明する。図５および図６は通信部側の動作を説明するフローチャートであり、図７はコマンド制御部側の動作を説明するフローチャートである。まず、通信部側の動作から説明する。図５および図６において、診断制御部１７Ａにより、診断チェックパス５０１，５０２，５０３をそれぞれ経由して対応するコマンド制御部２Ａ−１，２Ａ−２，２Ａ−３へ同一の診断コマンドが送出される（ステップＳ１０１）。そして、診断制御部１７Ａでは、すべてのコマンド制御部２Ａ−１〜２ａ−３から応答信号が受信されると（ステップＳ１０２）、すべての応答すなわちすべての診断結果が比較される（ステップＳ１０３）。
【００６３】
その結果から、すべての診断結果が正常であるか（ステップＳ１０４、ＹＥＳルート）、２つ以上の診断結果が正常、かつ、一つの診断結果が異常であるか（ステップＳ１０５、ＹＥＳルート）、それとも、すべての診断結果が異常であるか（ステップＳ１０５、ＮＯルート）の判断が下される。もしすべての診断結果が正常であれば（ステップＳ１０４、ＹＥＳルート）、正常確認が行われ、上位装置に対して価値制御部の正常状態が通知される（ステップＳ１０６）。この場合、上位装置から価値制御部に対するコマンド処理のためのコマンドがバスインタフェース４００を介して受信される（ステップＳ１０８）。
【００６４】
また、２つ以上の診断結果が正常、かつ、一つの診断結果が異常であれば（ステップＳ１０５、ＹＥＳルート）、不一致すなわち異常という診断結果を得たコマンド制御部が処理対象から切り離され、そのコマンド制御部に関する異常が上位装置へ警告される（ステップＳ１０７）。この場合にも、上位装置から価値制御部に対するコマンド処理のためのコマンドがバスインタフェース４００を介して受信される（ステップＳ１０８）。
【００６５】
また、すべての診断結果が異常であれば（ステップＳ１０５、ＮＯルート）、すべてのコマンド制御部の動作が停止され、この異常状態が上位装置へ通知される（ステップＳ１０９）。この場合には、通信部１Ａの動作が停止される。
【００６６】
そして、上記ステップＳ１０８においてコマンドが受信されると、その受信コマンドは正常なコマンド制御部に対して転送され（ステップＳ１１０）、通信部１Ａは応答のウェイト状態となる。今度はコマンド処理を行うことから、バスインタフェース３０１〜３０３を介してコマンドが転送される。その後、応答信号すなわちコマンド処理結果がバスインタフェース３０１〜３０３を介して受信されると（ステップＳ１１１）、コマンドを転送したすべての応答すなわちすべてのコマンド処理結果が比較される（ステップＳ１１２）。
【００６７】
その結果から、すべてのコマンド処理結果が一致であるか（ステップＳ１１３、ＹＥＳルート）、２つ以上のコマンド処理結果が一致、かつ、一つのコマンド処理結果が不一致であるか（ステップＳ１１４、ＹＥＳルート）、それとも、すべてのコマンド処理結果が不一致であるか（ステップＳ１１４、ＮＯルート）の判断が下される。もしすべてのコマンド処理結果が一致であれば（ステップＳ１１３、ＹＥＳルート）、正常確認が行われ（ステップＳ１１５）、上位装置に対して価値制御部の全一致状態が通知される（ステップＳ１１６）。この後、処理は継続される。
【００６８】
また、２つ以上のコマンド処理結果が一致、かつ、一つのコマンド処理結果が不一致であれば（ステップＳ１１４、ＹＥＳルート）、不一致というコマンド処理結果を得たコマンド制御部が処理対象から切り離され（ステップＳ１１７）、そのコマンド制御部に関する不一致を含むコマンド処理結果が上位装置へ通知される（ステップＳ１１８）。この後、処理は継続される。
【００６９】
また、すべてのコマンド処理結果が不一致であれば（ステップＳ１１４、ＮＯルート）、価値制御部側の異常が確認され（ステップＳ１１９）、すべてのコマンド制御部の動作が停止され、この異常状態が上位装置へ通知される（ステップＳ１２０）。この場合には、通信部１Ａの動作が停止される。
【００７０】
以上の通信部１Ａ側の処理に対してコマンド制御部２Ａ−１〜２Ａ−３ではつぎのとおり処理が行われる。以下の説明で、実際には、ＭＰＵと診断制御部とは個別に処理を実行するが、一つの流れとしてここに説明する。各コマンド制御部２Ａ−１〜２Ａ−３の処理は共通のため、代表的な処理をここに挙げる。すなわち、図７において、コマンド受信があると（ステップＳ２０１、ＹＥＳルート）、その受信コマンドが診断コマンドか（ステップＳ２０２、ＹＥＳルート）、それとも、上位装置からのコマンドか（ステップＳ２０５、ＹＥＳルート）の判断が下される。
【００７１】
すなわち、バスインタフェース３０１〜３０３を経由して転送されてくるコマンドは上位装置からのコマンドとなり、診断チェックパス５０１〜５０３を経由して転送されてくるコマンドは診断コマンドとなる。もし診断コマンドであれば（ステップＳ２０２、ＹＥＳルート）、そのコマンドに従って診断が行われ（ステップＳ２０３）、その診断結果が通信部１Ａに対して応答される（ステップＳ２０４）。そして、処理が終了でなければ（ステップＳ２０８、ＮＯルート）、ステップＳ２０１に戻る。
【００７２】
また、上位装置からのコマンドであれば（ステップＳ２０５、ＹＥＳルート）、その受信コマンドに従ってコマンド処理が行われ（ステップＳ２０６）、そのコマンド処理結果が通信部１Ａに対して応答される（ステップＳ２０７）。一方、上位装置からのコマンドでなければ（ステップＳ２０５、ＮＯルート）、そのコマンドに応じて処理が実行される。そして、ステップＳ２０７の後、処理が終了でなければ（ステップＳ２０８、ＮＯルート）、ステップＳ２０１に戻る。
【００７３】
以上説明したように、本実施の形態１によれば、バスインタフェース３０１〜３０３で、通信部側からコマンド制御部側へ上位からのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送し、診断チェックパス５０１〜５０３で、通信部側からコマンド制御部側へ診断のためのコマンドを転送するとともにその診断結果をコマンド制御部側から通信部側へ転送する。これにより、コマンド処理のパスが不正により操作されても、診断のパスから容易に不正な操作を摘発することができるので、多重化制御による価値の多重引き出しを防止することが可能である。
【００７４】
また、コマンド処理と診断のパスがそれぞれ物理的に独立するので、パス別に不正を検出することができる。
【００７５】
（実施の形態２）
さて、前述した実施の形態１では、価値制御部の診断のために専用の診断チェックパスを設けていたが、本発明はこれに限定されず、以下に説明する実施の形態２のように、診断チェックパスを省いて診断処理をＭＰＵの制御下におくようにしてもよい。この場合には、上位装置からのコマンドと診断コマンドとがマルチプレックスされることになる。なお、以下に説明する実施の形態２では、全体構成を前述した実施の形態１と同様としており、同一の構成には同一の符号を使用し、異なる構成には異なる符号を使用する。
【００７６】
図８は、図３の電子現金用金庫１０００に収納された８つのトレイのうち、トレイ１２００−１を代表して表す実施の形態２のブロック構成を示している。トレイ１２００−１は、図８に示したように、通信部１Ｂと、一例であるが３重化された価値制御部とにより構成される。
【００７７】
３重化された価値制御部は、３つのコマンド制御部２Ｂ−１，２Ｂ−２および２Ｂ−３と、それぞれのコマンド制御部２Ｂ−１，２Ｂ−２，２Ｂ−３に接続されるＩＣカード記憶部３Ｂ−１，３Ｂ−２，３Ｂ−３との３段により構成される。ＩＣカード記憶部３Ｂ−１，３Ｂ−２，３Ｂ−３は、それぞれ通貨の価値を電子的な情報で表した電子現金を記憶する不揮発性メモリである。
【００７８】
通信部１Ｂとコマンド制御部２Ｂ−１とは、バスインタフェース３０１だけで接続される。同様に、通信部１Ｂとコマンド制御部２Ｂ−２とは、バスインタフェース３０２だけで接続され、通信部１Ｂとコマンド制御部２Ｂ−３とは、バスインタフェース３０３だけで接続される。
【００７９】
通信部１Ｂは、たとえば図８に示したように、ＬＡＮ制御部１１、ＭＰＵ１２Ｂ、ＲＯＭ１３Ｂ、ＲＡＭ１４、バス制御部１５、比較器１６、診断制御部１７Ｂより構成される。前述の実施の形態１と異なるＭＰＵ１２Ｂは、ＬＡＮ制御部１１の制御，３重化された価値制御部の制御および診断制御を行うためのプロセッサとして動作する。このＭＰＵ１２ＢのプログラムはＲＯＭ１３Ｂに格納される。なお、バス制御部１５は、バスインタフェース３０１，３０２，３０３を介してコマンドおよびそのレスポンスを伝送し、診断制御部１７Ｂは、ＭＰＵ１２Ｂの制御下で診断を行う。
【００８０】
また、コマンド制御部２Ｂ−１は、たとえば図８に示したように、バス制御部２１−１、ＭＰＵ２２Ｂ−１、ＲＯＭ２３Ｂ−１、ＲＡＭ２４−１、診断制御部２５Ｂ−１、および、インタフェース２９−１より構成される。前述の実施の形態１と異なるＭＰＵ２２Ｂ−１は、コマンド処理および診断制御部２５Ｂ−１の制御を行うためのプロセッサとして動作する。このＭＰＵ２２Ｂ−１のプログラムはＲＯＭ２３Ｂ−１に格納されている。診断制御部２５Ｂ−１は、ＭＰＵ２２Ｂ−１の制御下で、バスインタフェース３０１を経由して通信部１Ｂから送られてくる診断コマンドに基づいてコマンド処理を行い、その診断結果をバスインタフェース３０１を経由して通信部１Ｂに応答する。
【００８１】
同様に、コマンド制御部２Ｂ−２は、たとえば図８に示したように、バス制御部２１−２、ＭＰＵ２２Ｂ−２、ＲＯＭ２３Ｂ−２、ＲＡＭ２４−２、診断制御部２５Ｂ−２、および、インタフェース２９−２より構成される。実施の形態１と異なるＭＰＵ２２Ｂ−２は、コマンド処理および診断制御部２５Ｂ−２の制御を行うためのプロセッサとして動作する。このＭＰＵ２２Ｂ−２のプログラムはＲＯＭ２３Ｂ−２に格納されている。診断制御部２５Ｂ−２は、ＭＰＵ２２Ｂ−２の制御下で、バスインタフェース３０２を経由して通信部１Ｂから送られてくる診断コマンドに基づいてコマンド処理を行い、その診断結果をバスインタフェース３０２を経由して通信部１Ｂに応答する。
【００８２】
同様に、コマンド制御部２Ｂ−３は、たとえば図８に示したように、バス制御部２１−３、ＭＰＵ２２Ｂ−３、ＲＯＭ２３Ｂ−３、ＲＡＭ２４−３、診断制御部２５Ｂ−３、および、インタフェース２９−３より構成される。前述の実施の形態１と異なるＭＰＵ２２Ｂ−３は、コマンド処理および診断制御部２５Ｂ−３の制御を行うためのプロセッサとして動作する。このＭＰＵ２２Ｂ−３のプログラムはＲＯＭ２３Ｂ−３に格納されている。診断制御部２５Ｂ−３は、ＭＰＵ２２Ｂ−３の制御下で、バスインタフェース３０３を経由して通信部１Ｂから送られてくる診断コマンドに基づいてコマンド処理を行い、その診断結果をバスインタフェース３０３を経由して通信部１Ｂに応答する。
【００８３】
つぎに動作について説明する。図９は本実施の形態２による通信部とコマンド制御部間のタイミングチャートである。上段には、通信部１Ｂとコマンド制御部２Ｂ−１間のタイミングが示され、中段には、通信部１Ｂとコマンド制御部２Ｂ−２間のタイミングが示され、下段には、通信部１Ｂとコマンド制御部２Ｂ−３間のタイミングが示されている。
【００８４】
通信部１Ｂからコマンド制御部２Ｂ−１へデータ（コマンド）が転送されると、それに対する応答（ＡＣＫ）がコマンド制御部２Ｂ−１から通信部１Ｂに対して転送される。また、通信部１Ｂからコマンド制御部２Ｂ−１へ診断コマンド（診断チェック＃１）が転送されると、それに対する応答（ＡＣＫ）すなわち診断結果がコマンド制御部２Ｂ−１から通信部１Ｂに対して転送される。
【００８５】
同様に、通信部１Ｂからコマンド制御部２Ｂ−２へデータ（コマンド）が転送されると、それに対する応答（ＡＣＫ）がコマンド制御部２Ｂ−２から通信部１Ｂに対して転送される。また、通信部１Ｂからコマンド制御部２Ｂ−２へ診断コマンド（診断チェック＃２）が転送されると、それに対する応答（ＡＣＫ）すなわち診断結果がコマンド制御部２Ｂ−２から通信部１Ｂに対して転送される。
【００８６】
同様に、通信部１Ｂからコマンド制御部２Ｂ−３へデータ（コマンド）が転送されると、それに対する応答（ＡＣＫ）がコマンド制御部２Ｂ−３から通信部１Ｂに対して転送される。また、通信部１Ｂからコマンド制御部２Ｂ−３へ診断コマンド（診断チェック＃３）が転送されると、それに対する応答（ＡＣＫ）すなわち診断結果がコマンド制御部２Ｂ−３から通信部１Ｂに対して転送される。
【００８７】
以上の例では、通信部１Ｂから各コマンド制御部２Ｂ−１〜２Ｂ−３への診断コマンドの転送およびその応答受付が、同一タイミングで行われている。
【００８８】
以上説明したように、本実施の形態２によれば、バスインタフェース３０１〜３０３だけで、通信部側からコマンド制御部側へ上位からのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送したり、通信部側からコマンド制御部側へ診断のためのコマンドを転送するとともにその診断結果をコマンド制御部側から通信部側へ転送する。これにより、コマンド処理のパスが不正により操作されても、データ処理上で診断のパスから容易に不正な操作を摘発することができるので、多重化制御による価値の多重引き出しを防止することが可能である。
【００８９】
また、通信部では、複数のコマンド制御部に対するコマンド処理や診断を同じタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能である。
【００９０】
（実施の形態３）
さて、前述した実施の形態２では、同一タイミングで診断チェックを行うようにしていたが、本発明はこれに限定されず、以下に説明する実施の形態３のように、各コマンド制御部での診断タイミングをずらしてもよい。なお、以下に説明する実施の形態３では、全体構成を前述した実施の形態２と同様としており、同一の構成には同一の符号を使用し、異なる構成には異なる符号を使用する。
【００９１】
ここでは、タイミングのとり方が前述の実施の形態２と相違することから、その点を説明する。図１０は本実施の形態３による通信部とコマンド制御部間のタイミングチャートである。本実施の形態３では、通信部１Ｂに相当する通信部の符号を１Ｃ、コマンド制御部２Ｂ−１，２Ｂ−２，２Ｂ−３にそれぞれ相当するコマンド制御部の符号をそれぞれ２Ｃ−１，２Ｃ−２，２Ｃ−３として説明する。上段には、通信部１Ｃとコマンド制御部２Ｃ−１間のタイミングが示され、中段には、通信部１Ｃとコマンド制御部２Ｃ−２間のタイミングが示され、下段には、通信部１Ｃとコマンド制御部２Ｃ−３間のタイミングが示されている。
【００９２】
通信部１Ｃからコマンド制御部２Ｃ−１へデータ（コマンド）が転送されると、それに対する応答（ＡＣＫ）がコマンド制御部２Ｃ−１から通信部１Ｃに対して転送される。また、通信部１Ｃからコマンド制御部２Ｃ−１へ診断コマンド（診断チェック＃１）が転送されると、それに対する応答（ＡＣＫ）すなわち診断結果がコマンド制御部２Ｃ−１から通信部１Ｃに対して転送される。
【００９３】
同様に、通信部１Ｃからコマンド制御部２Ｃ−２へデータ（コマンド）が転送されると、それに対する応答（ＡＣＫ）がコマンド制御部２Ｃ−２から通信部１Ｃに対して転送される。また、通信部１Ｃからコマンド制御部２Ｃ−２へ診断コマンド（診断チェック＃２）が転送されると、それに対する応答（ＡＣＫ）すなわち診断結果がコマンド制御部２Ｃ−２から通信部１Ｃに対して転送される。
【００９４】
同様に、通信部１Ｃからコマンド制御部２Ｃ−３へデータ（コマンド）が転送されると、それに対する応答（ＡＣＫ）がコマンド制御部２Ｃ−３から通信部１Ｃに対して転送される。また、通信部１Ｃからコマンド制御部２Ｃ−３へ診断コマンド（診断チェック＃３）が転送されると、それに対する応答（ＡＣＫ）すなわち診断結果がコマンド制御部２Ｃ−３から通信部１Ｃに対して転送される。
【００９５】
以上の例では、通信部１Ｃから各コマンド制御部２Ｃ−１〜２Ｃ−３への診断コマンドの転送およびその応答受付が、異なるタイミングで行われている。
【００９６】
つづいて以上の異なるタイミングの発生方法について説明する。図１１は本実施の形態３による通信部側の主要な動作を説明するフローチャートである。なお、コマンド制御部２Ｃ−１〜２Ｃ−３に対して任意の診断順序をあらかじめ設定しておくものとする。そこで、診断順序をたとえばコマンド制御部２Ｃ−２，２Ｃ−１，２Ｃ−３として説明する。
【００９７】
まず、診断順位が１番のコマンド制御部から診断を行うため、その順位を示すＮに“１”を設定する（ステップＳ３０１）。そして、第１番目のコマンド制御部２Ｃ−２に対して所定の診断コマンドが送出される（ステップＳ３０２）。その後、コマンド制御部２Ｃ−２から応答があると、その診断結果が受信される（ステップＳ３０３）。この段階ではすべての診断が終了していないので（ステップＳ３０４、ＮＯルート）、Ｎに１が加えられ（ステップＳ３０５）、今度は第２番目のコマンド制御部２Ｃ−１に対して所定の診断コマンドが送出される（ステップＳ３０２）。
【００９８】
このようにしてコマンド制御部２Ｃ−１から診断結果が受信されると、同様に第３番目のコマンド制御部２Ｃ−３に対して所定の診断コマンドの転送およびその診断結果の受信が行われる。すべてのコマンド制御部への診断が終了すると（ステップＳ３０４、ＹＥＳルート）、前述のステップＳ１０３へ処理が移行する。
【００９９】
以上説明したように、本実施の形態３によれば、通信部では、複数のコマンド制御部に対するコマンド処理を異なるタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能である。
【０１００】
（実施の形態４）
さて、前述した実施の形態２では、各バスインタフェースに一つのコマンド制御部を接続させた構成であったが、本発明はこれに限定されず、以下に説明する実施の形態４のように、一つのバスインタフェースに複数のコマンド制御部を接続させて同一バスインタフェース上のコマンド制御部の診断を任意の順序で行うようにしてもよい。なお、以下に説明する実施の形態４では、全体構成を前述した実施の形態２と同様としており、同一の構成には同一の符号を使用し、異なる構成には異なる符号を使用する。
【０１０１】
まず、構成について説明する。図１２は、電子現金用金庫１０００に収納された８つのトレイのうち、トレイ１２００−１を代表して表す実施の形態４のブロック構成を示している。図１２において、通信部１Ｄは通信部１Ｂと同様の構成を有しており、その内部構成についての説明は省略する。
【０１０２】
バスインタフェース３０１には同一処理を行うコマンド制御部２Ｄ−１１，２Ｄ−１２，２Ｄ−１３が接続され、バスインタフェース３０２には同一処理を行うコマンド制御部２Ｄ−２１，２Ｄ−２２，２Ｄ−２３が接続され、バスインタフェース３０３には同一処理を行うコマンド制御部２Ｄ−３１，２Ｄ−３２，２Ｄ−３３が接続される。コマンド制御部２Ｄ−１１〜２Ｄ−１３，２Ｄ−２１〜２Ｄ−２３，２Ｄ−３１〜２Ｄ−３３は、それぞれコマンド制御部２Ｂ−１，２Ｂ−２，２Ｂ−３と同様の構成を有しており、その内部構成についての説明は省略する。
【０１０３】
つぎに動作について説明する。図１３は本実施の形態４による通信部とコマンド制御部間のタイミングチャートである。本実施の形態４では、データの説明を省略して診断動作についてのみ説明する。上段には、通信部１Ｄとコマンド制御部２Ｄ−１１〜２Ｄ−１３間のタイミングが示され、中段には、通信部１Ｄとコマンド制御部２Ｄ−２１〜２Ｄ−２３間のタイミングが示され、下段には、通信部１Ｄとコマンド制御部２Ｄ−３１〜２Ｄ−３３間のタイミングが示されている。
【０１０４】
本実施の形態４では、同一バスインタフェース上のコマンド制御部間には任意に診断順序が与えられる。図１３において、バスインタフェース３０１の場合、コマンド制御部２Ｄ−１１，２Ｄ−１３，２Ｄ−１２の順に診断が行われる。また、バスインタフェース３０２の場合、コマンド制御部２Ｄ−２２，２Ｄ−２１，２Ｄ−２３の順に診断が行われ、バスインタフェース３０３の場合、コマンド制御部２Ｄ−３３，２Ｄ−３２，２Ｄ−３１の順に診断が行われる。
【０１０５】
そして、バスインタフェース間のタイミングとしては、コマンド制御部２Ｄ−１１，２Ｄ−２２および２Ｄ−３３は同一タイミングで診断が行われ、コマンド制御部２Ｄ−１３，２Ｄ−２１および２Ｄ−３２は同一タイミングで診断が行われ、コマンド制御部２Ｄ−１２，２Ｄ−２３および２Ｄ−３１は同一タイミングで診断が行われる。
【０１０６】
なお、各バスインタフェース３０１〜３０３における診断順序およびバスインタフェース間での同一タイミングの組み合わせは一例であり、適宜、任意に変更可能である。
【０１０７】
以上説明したように、本実施の形態４によれば、バスインタフェース毎に複数のコマンド制御部を接続するようにしたので、バス単位での不正防止を図ることが可能である。特に、通信部１Ｄでは、バスインタフェース毎に接続される複数のコマンド制御部のうちで任意の転送タイミングを設定するようにしたので、固定の順序で転送を行う場合に比べて不正防止を強化することが可能である。
【０１０８】
（実施の形態５）
さて、本発明は、以下に説明する実施の形態５のように、電子マネーの複製などを防止するため、データ転送時に暗号化処理を施すようにしてもよい。なお、以下に説明する実施の形態５では、全体構成を前述した実施の形態２と同様としており、同一の構成には同一の符号を使用し、異なる構成には異なる符号を使用する。また、本実施の形態５では、診断はしないものとする。
【０１０９】
まず、構成について説明する。図１４は、図３の電子現金用金庫１０００に収納された８つのトレイのうち、トレイ１２００−１を代表して表す実施の形態５のブロック構成を示している。トレイ１２００−１は、図１４に示したように、通信部１Ｅと、一例であるが３重化された価値制御部とにより構成される。
【０１１０】
３重化された価値制御部は、３つのコマンド制御部２Ｅ−１，２Ｅ−２および２Ｅ−３と、それぞれのコマンド制御部２Ｅ−１，２Ｅ−２，２Ｅ−３に接続されるＩＣカード記憶部３Ｅ−１，３Ｅ−２，３Ｅ−３との３段により構成される。ＩＣカード記憶部３Ｅ−１，３Ｅ−２，３Ｅ−３は、それぞれ通貨の価値を電子的な情報で表した電子現金を記憶する不揮発性メモリである。
【０１１１】
通信部１Ｅとコマンド制御部２Ｅ−１とは、バスインタフェース３０１だけで接続される。同様に、通信部１Ｅとコマンド制御部２Ｅ−２とは、バスインタフェース３０２だけで接続され、通信部１Ｅとコマンド制御部２Ｅ−３とは、バスインタフェース３０３だけで接続される。
【０１１２】
通信部１Ｅは、たとえば図１４に示したように、ＬＡＮ制御部１１、ＭＰＵ１２Ｅ、ＲＯＭ１３Ｅ、ＲＡＭ１４、バス制御部１５、比較器１６、暗号化器１８より構成される。前述の実施の形態１と異なるＭＰＵ１２Ｅは、ＬＡＮ制御部１１の制御，３重化された価値制御部の制御および暗号化器１８の制御を行うためのプロセッサとして動作する。このＭＰＵ１２ＥのプログラムはＲＯＭ１３Ｅに格納される。暗号化器１８は、コマンド制御部２Ｅ−１，２Ｅ−２，２Ｅ−３それぞれに対応させて暗号化を行うための暗号鍵ａ，ｂ，ｃを用いてデータ（コマンド）の暗号化および復号化を行う。
【０１１３】
また、コマンド制御部２Ｅ−１は、たとえば図１４に示したように、バス制御部２１−１、ＭＰＵ２２Ｅ−１、ＲＯＭ２３Ｅ−１、ＲＡＭ２４−１、暗号化器２６−１、および、インタフェース２９−１より構成される。前述の実施の形態１と異なるＭＰＵ２２Ｅ−１は、コマンド処理および暗号化器２６−１の制御を行うためのプロセッサとして動作する。
【０１１４】
このＭＰＵ２２Ｅ−１のプログラムはＲＯＭ２３Ｅ−１に格納されている。暗号化器２６−１は、ＭＰＵ２２Ｅ−１の制御下で、バスインタフェース３０１を経由して通信部１Ｅから送られてくるデータ（暗号化されたコマンド）に基づいて復号化処理およびコマンド処理を行い、そのコマンド処理結果を暗号化してからバスインタフェース３０１を経由して通信部１Ｅに応答する。なお、暗号化および復号化の際には、コマンド制御部２Ｅ−１対応の暗号鍵ａを使用する。
【０１１５】
同様に、コマンド制御部２Ｅ−２は、たとえば図１４に示したように、バス制御部２１−２、ＭＰＵ２２Ｅ−２、ＲＯＭ２３Ｅ−２、ＲＡＭ２４−２、暗号化器２６−２、および、インタフェース２９−２より構成される。実施の形態１と異なるＭＰＵ２２Ｅ−２は、コマンド処理および暗号化器２６−２の制御を行うためのプロセッサとして動作する。
【０１１６】
このＭＰＵ２２Ｅ−２のプログラムはＲＯＭ２３Ｅ−２に格納されている。暗号化器２６−２は、ＭＰＵ２２Ｅ−２の制御下で、バスインタフェース３０２を経由して通信部１Ｅから送られてくるデータ（暗号化されたコマンド）に基づいて復号化処理およびコマンド処理を行い、そのコマンド処理結果を暗号化してからバスインタフェース３０２を経由して通信部１Ｅに応答する。なお、暗号化および復号化の際には、コマンド制御部２Ｅ−２対応の暗号鍵ｂを使用する。
【０１１７】
同様に、コマンド制御部２Ｅ−３は、たとえば図１４に示したように、バス制御部２１−３、ＭＰＵ２２Ｅ−３、ＲＯＭ２３Ｅ−３、ＲＡＭ２４−３、暗号化器２６−３、および、インタフェース２９−３より構成される。前述の実施の形態１と異なるＭＰＵ２２Ｅ−３は、コマンド処理および暗号化器２６−３の制御を行うためのプロセッサとして動作する。
【０１１８】
このＭＰＵ２２Ｅ−３のプログラムはＲＯＭ２３Ｅ−３に格納されている。暗号化器２６−３は、ＭＰＵ２２Ｅ−３の制御下で、バスインタフェース３０３を経由して通信部１Ｅから送られてくるデータ（暗号化されたコマンド）に基づいて復号化処理およびコマンド処理を行い、そのコマンド処理結果を暗号化してからバスインタフェース３０３を経由して通信部１Ｅに応答する。なお、暗号化および復号化の際には、コマンド制御部２Ｅ−３対応の暗号鍵ｃを使用する。
【０１１９】
つぎにコマンド処理のタイミングについて説明する。図１５は本実施の形態５による通信部とコマンド制御部間のタイミングチャートである。上段には、通信部１Ｅとコマンド制御部２Ｅ−１間のタイミングが示され、中段には、通信部１Ｅとコマンド制御部２Ｅ−２間のタイミングが示され、下段には、通信部１Ｅとコマンド制御部２Ｅ−３間のタイミングが示されている。
【０１２０】
通信部１Ｅからコマンド制御部２Ｅ−１へデータ（暗号鍵ａで暗号化されたコマンド）が転送されると、それに対する応答（ＡＣＫ）がこれも暗号鍵ａで暗号化されてコマンド制御部２Ｅ−１から通信部１Ｅに対して転送される。これと同じタイミングで、通信部１Ｅからコマンド制御部２Ｅ−２へデータ（暗号鍵ｂで暗号化されたコマンド）が転送されると、それに対する応答（ＡＣＫ）がこれも暗号鍵ｂで暗号化されてコマンド制御部２Ｅ−２から通信部１Ｅに対して転送される。同様に、通信部１Ｅからコマンド制御部２Ｅ−３へデータ（暗号鍵ｃで暗号化されたコマンド）が転送されると、それに対する応答（ＡＣＫ）がこれも暗号鍵ｃで暗号化されてコマンド制御部２Ｅ−３から通信部１Ｅに対して転送される。
【０１２１】
通信部１Ｅとコマンド制御部２Ｅ−１間では、コマンド＃１ａ、＃２ａ、＃３ａの順にコマンド処理が実施され、通信部１Ｅとコマンド制御部２Ｅ−２間では、コマンド＃１ｂ、＃２ｂ、＃３ｂの順にコマンド処理が実施され、通信部１Ｅとコマンド制御部２Ｅ−３間では、コマンド＃１ｃ、＃２ｃ、＃３ｃの順にコマンド処理が実施される。具体的には、まずコマンド＃１ａ，＃１ｂ，＃１ｃが同一タイミングで処理され、つぎにコマンド＃２ａ，＃２ｂ，＃２ｃが同一タイミングで処理され、最後にコマンド＃３ａ，＃３ｂ，＃３ｃが同一タイミングで処理される。
【０１２２】
つぎに動作について説明する。図１６は本実施の形態５による通信部側の主要な動作を説明するフローチャートであり、図１７は本実施の形態５によるコマンド制御部側の動作を説明するフローチャートである。図１６において、まず通信部１Ｅでは、上位装置からコマンドが受信されると（ステップＳ４０１）、その受信コマンドに基づいて各コマンド制御部２Ｅ−１，２Ｅ−２，２Ｅ−３へ送信すべきコマンドが生成される（ステップＳ４０２）。
【０１２３】
その生成されたコマンドは暗号化器１８により暗号鍵ａ，ｂ，ｃを用いて暗号化され、各コマンド制御部２Ｅ−１，２Ｅ−２，２Ｅ−３へ送信すべきデータ（暗号化されたコマンド）が得られる（ステップＳ４０３）。このようにして得られた３つのデータすなわち３つの暗号化されたコマンドは、バスインタフェース３０１，３０２，３０３を経由してそれぞれ対応するコマンド制御部２Ｅ−１，２Ｅ−２，２Ｅ−３へ送信される（ステップＳ４０４）。
【０１２４】
この後、各コマンド制御部２Ｅ−１〜２Ｅ−３から応答信号すなわち暗号化されたコマンド処理結果が送られてくるので、受信されたコマンド処理結果に対して今度は暗号化器１８において暗号鍵ａ，ｂ，ｃを用いて復号化処理が施される（ステップＳ４０５）。このようにして各コマンド制御部２Ｅ−１〜２Ｅ−３で処理されたコマンド処理結果が取得される。そして、処理は図６のステップＳ１１２へ移行して前述した処理を実行する。
【０１２５】
また、各コマンド制御部２Ｅ−１〜２Ｅ−３においては、図１７の如く処理が実行される。まず、通信部１Ｅより暗号化されたコマンドが受信されると（ステップＳ５０１、ＹＥＳルート）、あらかじめ用意された暗号鍵を用いてその受信されたコマンドが復号化される（ステップＳ５０２）。すなわち、コマンド制御部２Ｅ−１においては、暗号鍵ａが用意されており、暗号化器２６−１はその暗号鍵ａを用いて復号化を行う。同様に、コマンド制御部２Ｅ−２においては、暗号鍵ｂが用意されており、暗号化器２６−２はその暗号鍵ｂを用いて復号化を行い、コマンド制御部２Ｅ−３においては、暗号鍵ｃが用意されており、暗号化器２６−３はその暗号鍵ｃを用いて復号化を行う。
【０１２６】
このようにして復号化が済むと、復号化されたコマンドに従ってコマンド処理が実施され（ステップＳ５０３）、そのコマンド処理結果が、コマンド制御部２Ｅ−１であれば暗号鍵ａ、コマンド制御部２Ｅ−２であれば暗号鍵ｂ、コマンド制御部２Ｅ−３であれば暗号鍵ｃを用いて暗号化される（ステップＳ５０４）。このようにして暗号化されたコマンド処理結果は通信部１Ｅへ応答される（ステップＳ５０５）。
【０１２７】
以上説明したように、本実施の形態５によれば、通信部１Ｅではコマンド制御部別に割り当てられた固有の暗号鍵を用いてコマンド制御部との通信で暗号化および復号化を行い、コマンド制御部では自身に割り当てられた固有の暗号鍵を用いて通信部１Ｅとの通信で暗号化および復号化を行うようにしたので、転送内容についてコマンド制御部別にセキュリティを保つことが可能である。なお、本実施の形態５においては、診断機能を除いた構成を示していたが、前述の実施の形態１〜４に示した診断機能を付加してもよい。
【０１２８】
（実施の形態６）
さて、前述した実施の形態５では、各コマンド制御部に与えられる暗号鍵が固定であったが、本発明はこれに限定されず、以下に説明する実施の形態６のように、各コマンド制御部に対して暗号鍵をランダムに選定することでセキュリティを向上させるようにしてもよい。なお、以下に説明する実施の形態６では、全体構成を前述した実施の形態５と同様としており、同一の構成には同一の符号を使用し、異なる構成には異なる符号を使用する。また、本実施の形態６では、診断はしないものとする。
【０１２９】
まず、構成について説明する。図１８は、図３の電子現金用金庫１０００に収納された８つのトレイのうち、トレイ１２００−１を代表して表す実施の形態６のブロック構成を示している。トレイ１２００−１は、図１８に示したように、通信部１Ｆと、一例であるが３重化された価値制御部とにより構成される。
【０１３０】
３重化された価値制御部は、３つのコマンド制御部２Ｆ−１，２Ｆ−２および２Ｆ−３と、それぞれのコマンド制御部２Ｆ−１，２Ｆ−２，２Ｆ−３に接続されるＩＣカード記憶部３Ｆ−１，３Ｆ−２，３Ｆ−３との３段により構成される。ＩＣカード記憶部３Ｆ−１，３Ｆ−２，３Ｆ−３は、それぞれ通貨の価値を電子的な情報で表した電子現金を記憶する不揮発性メモリである。
【０１３１】
通信部１Ｆとコマンド制御部２Ｆ−１とは、バスインタフェース３０１だけで接続される。同様に、通信部１Ｆとコマンド制御部２Ｆ−２とは、バスインタフェース３０２だけで接続され、通信部１Ｆとコマンド制御部２Ｆ−３とは、バスインタフェース３０３だけで接続される。
【０１３２】
通信部１Ｆは、たとえば図１８に示したように、ＬＡＮ制御部１１、ＭＰＵ１２Ｆ、ＲＯＭ１３Ｆ、ＲＡＭ１４、バス制御部１５、比較器１６、暗号化器１９、および、乱数発生器２０より構成される。前述の実施の形態１と異なるＭＰＵ１２Ｆは、ＬＡＮ制御部１１の制御，３重化された価値制御部の制御および暗号化器１９の制御を行うためのプロセッサとして動作する。このＭＰＵ１２ＦのプログラムはＲＯＭ１３Ｆに格納される。
【０１３３】
暗号化器１９は、コマンド制御部２Ｆ−１，２Ｆ−２，２Ｆ−３それぞれに対応させて暗号化を行うための暗号鍵ｃ１，ｃ２，ｃ３や共通の暗号鍵ａを用いて情報の暗号化および復号化を行う。乱数発生器２０は、各コマンド制御部２Ｆ−１，２Ｆ−２，２Ｆ−３に与える暗号鍵をランダムに発生させる機能を有している。図１８において、通信部１Ｆにはコマンド制御部２Ｆ−１，２Ｆ−２，２Ｆ−３それぞれに対応させて発生させた暗号鍵ｃ１，ｃ２，ｃ３が示され、コマンド制御部２Ｆ−１，２Ｆ−２，２Ｆ−３には対応する暗号鍵ｃ１，ｃ２，ｃ３が転送された後の状態が示されている。なお、これら暗号鍵ｃ１，ｃ２，ｃ３はつぎに乱数発生器２０を動作させることでたとえば暗号鍵ｃ４，ｃ５，ｃ６に変化する。
【０１３４】
また、コマンド制御部２Ｆ−１は、たとえば図１８に示したように、バス制御部２１−１、ＭＰＵ２２Ｆ−１、ＲＯＭ２３Ｆ−１、ＲＡＭ２４−１、暗号化器２７−１、および、インタフェース２９−１より構成される。前述の実施の形態１と異なるＭＰＵ２２Ｆ−１は、コマンド処理および暗号化器２７−１の制御を行うためのプロセッサとして動作する。
【０１３５】
このＭＰＵ２２Ｆ−１のプログラムはＲＯＭ２３Ｆ−１に格納されている。暗号化器２７−１は、ＭＰＵ２２Ｆ−１の制御下で、バスインタフェース３０１を経由して通信部１Ｆから送られてくるデータ（暗号化されたコマンド）に基づいて復号化処理およびコマンド処理を行い、そのコマンド処理結果を暗号化してからバスインタフェース３０１を経由して通信部１Ｆに応答する。なお、暗号化および復号化の際には、コマンド制御部２Ｆ−１対応の暗号鍵ｃ１もしくはすべてのコマンド制御部で共通の暗号鍵ａを使用する。
【０１３６】
同様に、コマンド制御部２Ｆ−２は、たとえば図１８に示したように、バス制御部２１−２、ＭＰＵ２２Ｆ−２、ＲＯＭ２３Ｆ−２、ＲＡＭ２４−２、暗号化器２７−２、および、インタフェース２９−２より構成される。実施の形態１と異なるＭＰＵ２２Ｆ−２は、コマンド処理および暗号化器２７−２の制御を行うためのプロセッサとして動作する。
【０１３７】
このＭＰＵ２２Ｆ−２のプログラムはＲＯＭ２３Ｆ−２に格納されている。暗号化器２７−２は、ＭＰＵ２２Ｆ−２の制御下で、バスインタフェース３０２を経由して通信部１Ｆから送られてくるデータ（暗号化されたコマンド）に基づいて復号化処理およびコマンド処理を行い、そのコマンド処理結果を暗号化してからバスインタフェース３０２を経由して通信部１Ｆに応答する。なお、暗号化および復号化の際には、コマンド制御部２Ｆ−２対応の暗号鍵ｃ２もしくはすべてのコマンド制御部で共通の暗号鍵ａを使用する。
【０１３８】
同様に、コマンド制御部２Ｆ−３は、たとえば図１８に示したように、バス制御部２１−３、ＭＰＵ２２Ｆ−３、ＲＯＭ２３Ｆ−３、ＲＡＭ２４−３、暗号化器２７−３、および、インタフェース２９−３より構成される。前述の実施の形態１と異なるＭＰＵ２２Ｆ−３は、コマンド処理および暗号化器２７−３の制御を行うためのプロセッサとして動作する。
【０１３９】
このＭＰＵ２２Ｆ−３のプログラムはＲＯＭ２３Ｆ−３に格納されている。暗号化器２７−３は、ＭＰＵ２２Ｆ−３の制御下で、バスインタフェース３０３を経由して通信部１Ｆから送られてくるデータ（暗号化されたコマンド）に基づいて復号化処理およびコマンド処理を行い、そのコマンド処理結果を暗号化してからバスインタフェース３０３を経由して通信部１Ｆに応答する。なお、暗号化および復号化の際には、コマンド制御部２Ｆ−３対応の暗号鍵ｃ３もしくはすべてのコマンド制御部で共通の暗号鍵ａを使用する。
【０１４０】
つぎにコマンド処理のタイミングについて説明する。図１９は本実施の形態６による通信部とコマンド制御部間のタイミングチャートである。上段には、通信部１Ｆとコマンド制御部２Ｆ−１間のタイミングが示され、中段には、通信部１Ｆとコマンド制御部２Ｆ−２間のタイミングが示され、下段には、通信部１Ｆとコマンド制御部２Ｆ−３間のタイミングが示されている。
【０１４１】
本実施の形態６における通信部とコマンド制御部間のデータ転送では、まず通信部１Ｆから各コマンド制御部２Ｆ−１〜２Ｆ−３へランダムに発生した暗号鍵が転送され、各コマンド制御部２Ｆ−１〜２Ｆ−３で保持する暗号鍵が更新される。また、各コマンド制御部２Ｆ−１〜２Ｆ−３へ転送される暗号鍵は所定の暗号鍵ａにより暗号化されており、各コマンド制御部２Ｆ−１〜２Ｆ−３では、あらかじめその暗号鍵ａが用意されており、転送されてきた暗号鍵をその暗号鍵ａで復号化する。また、コマンドに関しては、各コマンド制御部２Ｆ−１〜２Ｆ−３の暗号鍵で復号化もしくは暗号化することになる。
【０１４２】
具体的には、まず通信部１Ｆからコマンド制御部２Ｆ−１へ暗号鍵ａで暗号化された暗号鍵ｃ１が転送される。同様に、通信部１Ｆからコマンド制御部２Ｆ−２へ暗号鍵ａで暗号化された暗号鍵ｃ２が転送され、通信部１Ｆからコマンド制御部２Ｆ−３へ暗号鍵ａで暗号化された暗号鍵ｃ３が転送される。
【０１４３】
つぎのタイミングでは、通信部１Ｆからコマンド制御部２Ｆ−１へ暗号鍵ｃ１で暗号化されデータ＃ｃ１が転送され、それに対する応答（ＡＣＫ）がこれも暗号鍵ｃ１で暗号化されてコマンド制御部２Ｆ−１から通信部１Ｆに対して転送される。これと同じタイミングで、通信部１Ｆからコマンド制御部２Ｆ−２へ暗号鍵ｃ２で暗号化されたデータ＃ｃ２が転送される、それに対する応答（ＡＣＫ）がこれも暗号鍵ｃ２で暗号化されてコマンド制御部２Ｆ−２から通信部１Ｆに対して転送される。同様に、通信部１Ｆからコマンド制御部２Ｆ−３へ暗号鍵ｃ３で暗号化されたデータ＃ｃ３が転送されると、それに対する応答（ＡＣＫ）がこれも暗号鍵ｃ３で暗号化されてコマンド制御部２Ｆ−３から通信部１Ｆに対して転送される。
【０１４４】
なお、各コマンド制御部２Ｆ−１〜２Ｆ−３に与えられている暗号鍵ｃ１，ｃ２，ｃ３は乱数発生器２０のつぎの動作によりそれぞれｃ４，ｃ５，ｃ６に変化する。したがって、図１９に示したように、コマンド処理後に再度暗号鍵ｃ４，ｃ５，ｃ６が通信部１Ｆ側より対応するコマンド制御部２Ｆ−１，２Ｆ−２，２Ｆ−３へ転送される。
【０１４５】
つづいて通信部１Ｆからコマンド制御部２Ｆ−１へ暗号鍵ｃ４で暗号化されデータ＃ｃ１２が転送され、それに対する応答（ＡＣＫ）がこれも暗号鍵ｃ４で暗号化されてコマンド制御部２Ｆ−１から通信部１Ｆに対して転送される。これと同じタイミングで、通信部１Ｆからコマンド制御部２Ｆ−２へ暗号鍵ｃ５で暗号化されたデータ＃ｃ２２が転送される、それに対する応答（ＡＣＫ）がこれも暗号鍵ｃ５で暗号化されてコマンド制御部２Ｆ−２から通信部１Ｆに対して転送される。同様に、通信部１Ｆからコマンド制御部２Ｆ−３へ暗号鍵ｃ６で暗号化されたデータ＃ｃ３２が転送されると、それに対する応答（ＡＣＫ）がこれも暗号鍵ｃ６で暗号化されてコマンド制御部２Ｆ−３から通信部１Ｆに対して転送される。
【０１４６】
つぎに動作について説明する。図２０は本実施の形態６による通信部側の主要な動作を説明するフローチャートであり、図２１は本実施の形態６によるコマンド制御部側の動作を説明するフローチャートである。図２０において、まず乱数発生器２０を動作させ、コマンド制御部別に固有の乱数を発生する処理が実行される。これにより得られた乱数を用いて各コマンド制御部２Ｆ−１，２Ｆ−２，２Ｆ−３に対応させてたとえば暗号鍵ｃ１，ｃ２，ｃ３が求められる（ステップＳ６０１）。
【０１４７】
これら暗号鍵ｃ１，ｃ２，ｃ３は対応するコマンド制御部２Ｆ−１，２Ｆ−２，２Ｆ−３へ転送されるが、その前にあらかじめ用意された暗号鍵ａにより暗号鍵ｃ１，ｃ２，ｃ３自身が暗号化される（ステップＳ６０２）。そして、暗号化された暗号鍵ｃ１，ｃ２，ｃ３はそれぞれ対応するコマンド制御部２Ｆ−１，２Ｆ−２，２Ｆ−３へ転送される。
【０１４８】
これに対してコマンド制御部側では図２１の如く処理が実行される。ここではコマンド制御部２Ｆ−１を例に挙げる。まずコマンド受信か（ステップＳ５０１、ＹＥＳルート）、それとも暗号鍵の受信か（ステップＳ７０１、ＹＥＳルート）の判断が下される。もしコマンド受信であれば（ステップＳ５０１、ＹＥＳルート）、コマンド制御部２Ｆ−１にはすでにデータの暗号化／復号化のための暗号鍵ｃ１が用意されていることから、その暗号鍵ｃ１を用いて受信コマンドが復号化される（ステップＳ５０３）。
【０１４９】
以降の説明は、すでに図１３のフローで説明済みのため、省略する。一方、暗号鍵ｃ１の受信であれば（ステップＳ７０１、ＹＥＳルート）、暗号化された暗号鍵ｃ１があらかじめ用意された暗号化ａで復号化され、その復号化された暗号鍵ｃ１が記憶される（ステップＳ７０２）。その後、処理は終了する。
【０１５０】
以上説明したように、本実施の形態６によれば、乱数発生器２０により各コマンド制御部２Ｆ−１〜２Ｆ−３に割り当てる暗号鍵を更新するようにしたので、暗号鍵が固定されず、これにより、不正防止を一層強化することが可能である。なお、本実施の形態６においては、診断機能を除いた構成を示していたが、前述の実施の形態１〜４に示した診断機能を付加してもよい。
【０１５１】
また、コマンド制御部側へ暗号化されたコマンドを転送する前に、当該コマンドを暗号化するために使用した暗号鍵を所定の暗号鍵ａで暗号化して通知し、コマンド制御部２Ｆ−１〜２Ｆ−３では、通信部１Ｆにより通知された暗号鍵を所定の暗号鍵ａで復号化しておき、復号化された暗号鍵を用いて通信部１Ｆから転送されてくる暗号化されたコマンドを復号化する。これにより、毎回のコマンド転送における不正防止を実現することが可能である。
【０１５２】
（実施の形態７）
さて、前述した実施の形態１では、１台の通信部に対して３重化された価値制御部すなわちコマンド制御部を対応させていたが、本発明はこれに限定されず、以下に説明する実施の形態７のように、複数台の通信部に対して３重化されたコマンド制御部を対応させるようにしてもよく、アクセスパスのフェールセーフを実現するようにしてもよい。なお、以下に説明する実施の形態７では、全体構成を前述した実施の形態１と同様としており、同一の構成には同一の符号を使用し、異なる構成には異なる符号を使用する。
【０１５３】
まず、構成について説明する。図２２は、図３の電子現金用金庫１０００に収納された８つのトレイのうち、トレイ１２００−１を代表して表す実施の形態７のブロック構成を示している。トレイ１２００−１は、図２２に示したように、一例として２個の通信部１Ｇ−１，１Ｇ−２と、一例であるが３重化された価値制御部とにより構成される。なお、通信部１Ｇ−１，１Ｇ−２は、それぞれ上位装置３（マネーサーバ１８００に相当する）とバスインタフェース４００−１，４００−２で接続される。
【０１５４】
３重化された価値制御部は、３つのコマンド制御部２Ｇ−１，２Ｇ−２および２Ｇ−３と、それぞれのコマンド制御部２Ｇ−１，２Ｇ−２，２Ｇ−３に接続されるＩＣカード記憶部３Ｇ−１，３Ｇ−２，３Ｇ−３との３段により構成される。ＩＣカード記憶部３Ｇ−１，３Ｇ−２，３Ｇ−３は、それぞれ通貨の価値を電子的な情報で表した電子現金を記憶する不揮発性メモリである。
【０１５５】
通信部１Ｇ−１，１Ｇ−２とコマンド制御部２Ｇ−１とは、バスインタフェース３０１−１，３０１−２で接続される。同様に、通信部１Ｇ−１，１Ｇ−２とコマンド制御部２Ｇ−２とは、バスインタフェース３０２−１，３０２−２で接続され、通信部１Ｇ−１，１Ｇ−２とコマンド制御部２Ｇ−３とは、バスインタフェース３０３−１，３０３−２で接続される。
【０１５６】
通信部１Ｇ−１は、たとえば図２２に示したように、ＬＡＮ制御部１１−１、ＭＰＵ１２Ｇ−１、ＲＯＭ１３Ｇ−１、ＲＡＭ１４−１、バス制御部１５−１、比較器１６−１、診断制御部１７Ｇ−１より構成される。なお、機能そのものについては、前述の実施の形態１と同様のため、説明を省略する。
【０１５７】
通信部１Ｇ−２は、たとえば図２２に示したように、ＬＡＮ制御部１１−２、ＭＰＵ１２Ｇ−２、ＲＯＭ１３Ｇ−２、ＲＡＭ１４−２、バス制御部１５−２、比較器１６−２、診断制御部１７Ｇ−２より構成される。なお、機能そのものについては、前述の実施の形態１と同様のため、説明を省略する。
【０１５８】
また、コマンド制御部２Ｇ−１は、たとえば図２２に示したように、バス制御部２８−１、ＭＰＵ２２Ｇ−１、ＲＯＭ２３Ｇ−１、ＲＡＭ２４−１、診断制御部２５Ｇ−１、および、インタフェース２９−１より構成される。バス制御部２８−１は、バス制御部１５−１，１５−２にそれぞれバスインタフェース３０１−１，３０１−２で接続される。なお、機能そのものについては、前述の実施の形態１と同様のため、説明を省略する。
【０１５９】
また、コマンド制御部２Ｇ−２は、たとえば図２２に示したように、バス制御部２８−２、ＭＰＵ２２Ｇ−２、ＲＯＭ２３Ｇ−２、ＲＡＭ２４−２、診断制御部２５Ｇ−２、および、インタフェース２９−２より構成される。バス制御部２８−２は、バス制御部１５−１，１５−２にそれぞれバスインタフェース３０２−１，３０２−２で接続される。なお、機能そのものについては、前述の実施の形態１と同様のため、説明を省略する。
【０１６０】
また、コマンド制御部２Ｇ−３は、たとえば図２２に示したように、バス制御部２８−３、ＭＰＵ２２Ｇ−３、ＲＯＭ２３Ｇ−３、ＲＡＭ２４−３、診断制御部２５Ｇ−３、および、インタフェース２９−３より構成される。バス制御部２８−３は、バス制御部１５−１，１５−２にそれぞれバスインタフェース３０３−１，３０３−２で接続される。なお、機能そのものについては、前述の実施の形態１と同様のため、説明を省略する。
【０１６１】
ここでは、上位装置３を含む電子マネーシステムとしての動作について説明する。具体的には、各トレイの動作を管理する上位装置３の動作について説明する。図２３は上位装置３によるアクセスパスの管理動作を説明するフローチャートである。上位装置３から下位側すなわちバスインタフェース４００−１もしくは４００−２を経由してコマンドが送信された後（ステップＳ８０１）、使用中のバスインタフェース４００−１もしくは４００−２に関して何等かの故障が検出された場合（ステップＳ８０２、ＹＥＳルート）、正常に機能するアクセスパスすなわちもう一方の正常なバスインタフェースがあるか確認が行われる。
【０１６２】
そして、その確認がとれると（ステップＳ８０３、ＹＥＳルート）、そのもう一方のバスインタフェースを用いた通信への切り換えが行われる（ステップＳ８０４）。これにより、アクセスパスは切り換わる。そして、動作が継続される。一方、その確認がとれなければ（ステップＳ８０３、ＮＯルート）、バスインタフェース４００−１および４００−２のどちらも使用不可のため、動作は停止される。なお、ステップＳ８０２において故障が検出されなければ、動作は継続される。
【０１６３】
ここで、故障とは、バスインタフェース４００−１もしくは４００−２の系統で、インタフェース上、通信部上、および、コマンド制御部上のいずれかの故障を指す。
【０１６４】
以上説明したように、本実施の形態７によれば、電子マネーシステムにおいて、上位装置３と電子現金用金庫内部に複数のパスを設けて、故障が発生したパスが検出されると、そのパス以外の正常なパスに切り換えて通信を行うようにしたので、通信を継続するためのフェールセーフを実現することが可能である。
【０１６５】
さて、上記実施の形態７では、実施の形態１の構成を例に挙げているが、本発明はこれに限定されず、他の実施の形態を適用してもよい。
【０１６６】
以上、本発明を実施の形態により説明したが、本発明の主旨の範囲内で種々の変形が可能であり、これらを本発明の範囲から排除するものではない。
【０１６７】
【発明の効果】
以上説明したように、請求項１の発明によれば、第１のインタフェースで、通信部側からコマンド制御部側へ上位からのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送し、第２のインタフェースで、通信部側からコマンド制御部側へコマンド処理パスの診断のためのコマンドを転送するとともにその診断結果をコマンド制御部側から通信部側へ転送するようにしたので、コマンド処理のパスが不正により操作されても、診断のパスから容易に不正な操作を摘発することができ、これにより、多重化制御による価値の多重引き出しを防止することが可能な電子現金用金庫が得られるという効果を奏する。
【０１６８】
また、請求項２の発明によれば、請求項１の発明において、コマンド処理と診断のパスがそれぞれ物理的に独立するので、パス別に不正を検出することができ、これにより、多重化制御による価値の多重引き出しを防止することが可能な電子現金用金庫が得られるという効果を奏する。
【０１６９】
また、請求項３の発明によれば、一つのインタフェースで、通信部側からコマンド制御部側へ上位からのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送したり、通信部側からコマンド制御部側へコマンド処理パスの診断のためのコマンドを転送するとともにその診断結果をコマンド制御部側から通信部側へ転送するようにしたので、コマンド処理のパスが不正により操作されても、データ処理上で診断のパスから容易に不正な操作を摘発することができ、これにより、多重化制御による価値の多重引き出しを防止することが可能な電子現金用金庫が得られるという効果を奏する。
【０１７０】
また、請求項４の発明によれば、請求項１，２または３の発明において、通信部では、複数のコマンド制御部に対するコマンド処理を同じタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能な電子現金用金庫が得られるという効果を奏する。
【０１７１】
また、請求項５の発明によれば、請求項１，２または３の発明において、通信部では、複数のコマンド制御部に対する診断処理を同じタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能な電子現金用金庫が得られるという効果を奏する。
【０１７２】
また、請求項６の発明によれば、請求項１，２または３の発明において、通信部では、複数のコマンド制御部に対するコマンド処理を異なるタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能な電子現金用金庫が得られるという効果を奏する。
【０１７３】
また、請求項７の発明によれば、請求項１，２または３の発明において、通信部では、複数のコマンド制御部に対する診断処理を異なるタイミングで制御するようにしたので、不正な操作をタイミングのとり方で防止することが可能な電子現金用金庫が得られるという効果を奏する。
【０１７４】
また、請求項８の発明によれば、請求項３〜７のいずれか一つの発明において、バスインタフェース毎に複数のコマンド制御部を接続するようにしたので、バス単位での不正防止を図ることが可能な電子現金用金庫が得られるという効果を奏する。
【０１７５】
また、請求項９の発明によれば、請求項８の発明において、通信部では、バスインタフェース毎に接続される複数のコマンド制御部のうちで任意の転送タイミングを設定するようにしたので、固定の順序で転送を行う場合に比べて不正防止を強化することが可能な電子現金用金庫が得られるという効果を奏する。
【０１７６】
また、請求項１０の発明によれば、請求項１〜９のいずれか一つの発明において、通信部ではコマンド制御部別に割り当てられた固有の暗号鍵を用いてコマンド制御部との通信で暗号化および復号化を行い、コマンド制御部では自身に割り当てられた固有の暗号鍵を用いて通信部との通信で暗号化および復号化を行うようにしたので、転送内容についてコマンド制御部別にセキュリティを保つことが可能な電子現金用金庫が得られるという効果を奏する。
【０１７７】
また、請求項１１の発明によれば、請求項１０の発明において、乱数発生器により各コマンド制御部に割り当てる暗号鍵を更新するようにしたので、暗号鍵が固定されず、これにより、不正防止を一層強化することが可能な電子現金用金庫が得られるという効果を奏する。
【０１７８】
また、請求項１２の発明によれば、請求項１１の発明において、コマンド制御部側へ暗号化されたコマンドを転送する前に、当該コマンドを暗号化するために使用した暗号鍵を所定の暗号鍵で暗号化して通知し、コマンド制御部では、通信部により通知された暗号鍵を所定の暗号鍵で復号化しておき、復号化された暗号鍵を用いて通信部から転送されてくる暗号化されたコマンドを復号化するようにしたので、毎回のコマンド転送における不正防止を実現することが可能な電子現金用金庫が得られるという効果を奏する。
【０１７９】
また、請求項１３の発明によれば、上位装置と電子現金用金庫内部に複数のパスを設けて、故障が発生したパスが検出されると、そのパス以外の正常なパスに切り換えて通信を行うようにしたので、通信を継続するためのフェールセーフを実現することが可能な電子マネーシステムが得られるという効果を奏する。
【図面の簡単な説明】
【図１】本発明の電子現金用金庫が使用される電子マネーシステムを示す構成図である。
【図２】本発明の電子現金用金庫およびマネーサーバの外観斜視図である。
【図３】図２の電子現金用金庫の内部構造を示す断面図である。
【図４】実施の形態１による電子現金用金庫の一構成例を示すブロック図である。
【図５】実施の形態１による通信部側の動作を説明するフローチャートである。
【図６】実施の形態１による通信部側の動作を説明するフローチャートである。
【図７】実施の形態１によるコマンド制御部側の動作を説明するフローチャートである。
【図８】実施の形態２による電子現金用金庫の一構成例を示すブロック図である。
【図９】実施の形態２による通信部とコマンド制御部間のタイミングチャートである。
【図１０】実施の形態３による通信部とコマンド制御部間のタイミングチャートである。
【図１１】実施の形態３による通信部側の主要な動作を説明するフローチャートである。
【図１２】実施の形態４による電子現金用金庫の一構成例を示すブロック図である。
【図１３】実施の形態４による通信部とコマンド制御部間のタイミングチャートである。
【図１４】実施の形態５による電子現金用金庫の一構成例を示すブロック図である。
【図１５】実施の形態５による通信部とコマンド制御部間のタイミングチャートである。
【図１６】実施の形態５による通信部側の主要な動作を説明するフローチャートである。
【図１７】実施の形態５によるコマンド制御部側の動作を説明するフローチャートである。
【図１８】実施の形態６による電子現金用金庫の一構成例を示すブロック図である。
【図１９】実施の形態６による通信部とコマンド制御部間のタイミングチャートである。
【図２０】実施の形態６による通信部側の主要な動作を説明するフローチャートである。
【図２１】実施の形態６によるコマンド制御部側の動作を説明するフローチャートである。
【図２２】実施の形態７による電子現金用金庫を含む電子マネーシステムの主要な一構成例を示すブロック図である。
【図２３】実施の形態７による動作を説明するフローチャートである。
【図２４】従来の電子現金用金庫の機能的な構成を示すブロック図である。
【図２５】従来の通信部とコマンド制御部間のインタフェースを改良した例を示す図である。
【符号の説明】
１Ａ，１Ｂ，１Ｄ，１Ｅ，１Ｆ，１Ｇ−１，１Ｇ−２ 通信部
２Ａ−１〜２Ａ−３，２Ｂ−１〜２Ｂ−３ コマンド制御部
２Ｄ−１１，２Ｄ−１２，２Ｄ−１３ コマンド制御部
２Ｄ−２１，２Ｄ−２２，２Ｄ−２３ コマンド制御部
２Ｄ−３１，２Ｄ−３２，２Ｄ−３３ コマンド制御部
２Ｅ−１〜２Ｅ−３，２Ｆ−１〜２Ｆ−３ コマンド制御部
２Ｇ−１〜２Ｇ−３ コマンド制御部
３ 上位装置
１２Ａ，１２Ｂ，１２Ｄ，１２Ｅ，１２Ｆ，１２Ｇ−１，１２Ｇ−２ ＭＰＵ
１３Ａ，１３Ｂ，１３Ｄ，１３Ｅ，１３Ｆ，１３Ｇ−１，１３Ｇ−２ ＲＯＭ
１６ 比較器
１７，１７Ｇ−１，１７Ｇ−２ 診断制御部
１８，１９ 暗号化器
２０ 乱数発生器
２２Ａ−１〜２２Ａ−３，２２Ｂ−１〜２２Ｂ−３ ＭＰＵ
２２Ｅ−１〜２２Ｅ−３ ＭＰＵ
２２Ｆ−１〜２２Ｆ−３，２２Ｇ−１〜２２Ｇ−３ ＭＰＵ
２３Ａ−１〜２３Ａ−３，２３Ｂ−１〜２３Ｂ−３ ＲＯＭ
２３Ｅ−１〜２３Ｅ−３ ＲＯＭ
２３Ｆ−１〜２３Ｆ−３，２３Ｇ−１〜２３Ｇ−３ ＲＯＭ
２５Ａ−１〜２５Ａ−３，２５Ｂ−１〜２５Ｂ−３ 診断制御部
２５Ｇ−１〜２５Ｇ−３ 診断制御部
２６−１〜２６−３，２７−１〜２７−３ 暗号化器
３０１〜３０３，４００，４００−１，４００−２ バスインタフェース
５０１〜５０３ 診断チェックパス
１０００ 金庫
１２００−１，１２００−２ トレイ
１８００ マネーサーバ

Claims (13)

1. 通貨の価値を電子的な情報で表した電子現金を記憶する複数の記憶部を有し、利用者とのＩＣカードとの間で電子現金の移転を行うための電子現金用金庫であって、
   前記複数の記憶部に対するコマンドを並列的に実行し、前記複数の記憶部の制御機能を実現する複数のコマンド制御部と、
   前記複数のコマンド制御部との間にコマンド数に相当する通信パスを並列的に形成し、前記複数の記憶部との通信機能を実現する通信部と、
   前記複数のコマンド制御部と前記通信部とを接続し、前記通信部の制御に従って、通信部側からコマンド制御部側へ電子現金移転のためのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送する第１インタフェース手段と、
   前記複数のコマンド制御部と前記通信部とを接続し、前記通信部の制御に従って、前記第１インタフェース手段によりコマンドおよびコマンド処理結果が転送されるコマンド処理パスに対して不正な操作が行われているか否かの診断のためのコマンドを通信部側からコマンド制御部側へ転送するとともにその診断結果をコマンド制御部側から通信部側へ転送する第２インタフェース手段と、
   を備えたことを特徴とする電子現金用金庫。
2. 前記通信部は、前記第２インタフェース手段による診断処理を前記第１インタフェース手段によるコマンド処理とは独立して制御し、前記各コマンド制御部は、前記第２インタフェース手段による診断処理を前記第１インタフェース手段によるコマンド処理とは独立して実行することを特徴とする請求項１に記載の電子現金用金庫。
3. 通貨の価値を電子的な情報で表した電子現金を記憶する複数の記憶部を有し、利用者とのＩＣカードとの間で電子現金の移転を行うための電子現金用金庫であって、
   前記複数の記憶部に対するコマンドを並列的に実行し、前記複数の記憶部の制御機能を実現する複数のコマンド制御部と、
   前記複数のコマンド制御部との間にコマンド数に相当する通信パスを並列的に形成し、前記複数の記憶部との通信機能を実現する通信部と、
   前記複数のコマンド制御部と前記通信部とを接続し、前記通信部の制御に従って、通信部側からコマンド制御部側へ電子現金移転のためのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送することに加え、前記コマンドおよびコマンド処理結果が転送されるコマンド処理パスに対して不正な操作が行われているか否かの診断のためのコマンドを通信部側からコマンド制御部側へ転送するとともにその診断結果をコマンド制御部側から通信部側へ転送するインタフェース手段と、
   を備えたことを特徴とする電子現金用金庫。
4. 前記通信部は、前記複数のコマンド制御部に対するコマンド処理を同じタイミングで制御することを特徴とする請求項１，２または３に記載の電子現金用金庫。
5. 前記通信部は、前記複数のコマンド制御部に対する診断処理を同じタイミングで制御することを特徴とする請求項１，２または３に記載の電子現金用金庫。
6. 前記通信部は、前記複数のコマンド制御部に対するコマンド処理を異なるタイミングで制御することを特徴とする請求項１，２または３に記載の電子現金用金庫。
7. 前記通信部は、前記複数のコマンド制御部に対する診断処理を異なるタイミングで制御することを特徴とする請求項１，２または３に記載の電子現金用金庫。
8. 前記インタフェース手段は、複数本のバスインタフェースより構成され、バスインタフェース毎に複数のコマンド制御部を接続させたことを特徴とする請求項３〜７のいずれか一つに記載の電子現金用金庫。
9. 前記通信部は、バスインタフェース毎に接続される複数のコマンド制御部のうちで任意の転送タイミングを設定することを特徴とする請求項８に記載の電子現金用金庫。
10. 前記複数のコマンド制御部はそれぞれ異なる固有の暗号鍵を所持しており、前記通信部は、コマンド制御部別に割り当てられた前記固有の暗号鍵を所持しており、前記通信部はコマンド制御部別に割り当てられた前記固有の暗号鍵を用いて前記コマンド制御部との通信で暗号化および復号化を行い、前記コマンド制御部は自身に割り当てられた固有の暗号鍵を用いて前記通信部との通信で暗号化および復号化を行うことを特徴とする請求項１〜９のいずれか一つに記載の電子現金用金庫。
11. 前記通信部は、乱数を用いて暗号鍵を生成する乱数発生器を有し、前記乱数発生器により前記各コマンド制御部に割り当てる暗号鍵を更新することを特徴とする請求項１０に記載の電子現金用金庫。
12. 前記通信部と前記コマンド制御部は所定の暗号鍵を共有しており、前記通信部は、コマンド制御部側へ暗号化されたコマンドを転送する前に、当該コマンドを暗号化するために使用した暗号鍵を前記所定の暗号鍵で暗号化して通知し、前記コマンド制御部は、前記通信部により通知された暗号鍵を前記所定の暗号鍵で復号化しておき、前記復号化された暗号鍵を用いて前記通信部から転送されてくる暗号化されたコマンドを復号化することを特徴とする請求項１１に記載の電子現金用金庫。
13. 通貨の価値を電子的な情報で表した電子現金を管理する上位装置と、
    前記上位装置の制御に従って電子現金を処理する電子現金用金庫と、
    前記上位装置と前記電子現金用金庫とを接続する複数の上位パスと、
    を備え、
    前記電子現金用金庫は、
    電子現金を記憶する複数の記憶部と、
    前記複数の記憶部に対するコマンドを並列的に実行し、前記複数の記憶部の制御機能を実現する複数のコマンド制御部と、
    前記上位装置にそれぞれ独立した前記上位パスで接続され、前記複数のコマンド制御部との間にコマンド数に相当する通信パスを並列的に形成し、前記複数の記憶部との通信機能を実現する複数の通信部と、
    前記上位装置からの要求に基づいて、前記複数のコマンド制御部と前記複数の通信部とを接続し、前記複数の通信部の制御に従って、通信部側からコマンド制御部側へ電子現金移転のためのコマンドを転送するとともにそのコマンド処理結果をコマンド制御部側から通信部側へ転送することに加え、前記コマンドおよびコマンド処理結果が転送されるコマンド処理パスに対して不正な操作が行われているか否かの診断のためのコマンドを通信部側からコマンド制御部側へ転送するとともにその診断結果をコマンド制御部側から通信部側へ転送するインタフェース手段と、
    を有し、
    前記上位装置は、
    前記複数の上位パスのいずれか一つ以上に故障が発生した場合に他の正常な上位パスに切り換えて通信を行うことを特徴とする電子マネーシステム。

Images