JP4453502B2

JP4453502B2 - Ｉｃカードシステム

Info

Publication number: JP4453502B2
Application number: JP2004281524A
Authority: JP
Inventors: 竜一玉田; 史郎近藤; 宏古川
Original assignee: Fuji Electric Retail Systems Co Ltd
Current assignee: Fuji Electric Retail Systems Co Ltd
Priority date: 2004-09-28
Filing date: 2004-09-28
Publication date: 2010-04-21
Anticipated expiration: 2024-09-28
Also published as: JP2006099200A

Description

本発明はＩＣカードシステムに関し、特に利用者の利用可能な金額を電子バリューとして記憶しているＩＣカードに対してさらに現金を入金してその電子バリューを積み増しすることができるＩＣカード用サービス端末（ＩＣカード用積増機）の保守・メンテナンス時における不正利用を防止するようにしたＩＣカードシステムに関する。

近年、ＩＣカードに電子バリューを記憶しておき、その電子バリューを利用した電子マネーサービス、電子チケットサービスなどが実用化されている。これらの利用場所には、現金を入金し、それと等価な電子バリューをＩＣカードに積み増しするＩＣカード用積増機や、電子バリューによるＩＣカード決済端末などのＩＣカード用サービス端末が設けられている。これらＩＣカード用サービス端末の保守作業としては、決済における電子バリューの締め処理、ＩＣカード用積増機における現金回収、ＩＣカード用サービス端末の設置・回収時におけるセキュリティ情報の設定などがある。

特にＩＣカード用積増機は、現金が集まる端末であり、電子バリューを発生させる端末であることから、従来から盗難や不正利用に対する各種セキュリティ対策が提案されている。たとえば、ＩＣカード用積増機は、起動用ＩＣカードを読み取ることができるように構成され、起動時の保守作業の一環として、その起動用ＩＣカードを読み取ることで正常動作させるようにする。これにより、起動用ＩＣカードがなければ、ＩＣカード用積増機の保守作業を行うことはできないので、ＩＣカード用積増機が盗難にあった場合でも、そのＩＣカード用積増機を不正に利用して電子バリューを発生させ、それをＩＣカードに積み増しするといった行為を防ぐようにすることが提案されている（たとえば、特許文献１参照。）。
特開２００３−５１０５２号公報

しかしながら、このようなＩＣカード用積増機のように、起動時に起動用ＩＣカードを読み取ることで正常動作する方法では、起動用ＩＣカードを持つ使用者に権限が全て移譲されているため、起動用ＩＣカードが盗難にあった場合に、不正利用されてしまう可能性がある。

また、同様にＩＣカード用積増機の設置時の初期設定、運用時の締め処理・現金回収などの諸設定を行う際に、その設定を行う者を特定する方法として、ＩＣカード用積増機の扉を開くときに物理的な鍵と同時にパスワードを入力する方法、扉開用ＩＣカードを読み取らせる方法などがあるが、物理的な鍵の盗難、パスワードの漏洩、扉開用ＩＣカードの盗難など、いずれも設定を行う者の成りすましに対する防止策としては有効ではないという問題点があった。

本発明はこのような点に鑑みてなされたものであり、ＩＣカード用積増機やＩＣカード決済端末などのＩＣカード用サービス端末の保守操作を行う際に、権限のある管理利用者を特定することで、ＩＣカード用サービス端末の不正利用を防止することが可能なＩＣカードシステムを提供することを目的とする。

本発明では上記問題を解決するために、電子バリューを記憶するＩＣカードと、前記電子バリューの流通を管理する電子バリュー管理サーバと、前記電子バリューを利用してサービスを提供するサービス端末と、前記サービス端末を管理するサービス端末管理サーバと、前記サービス端末の保守操作を行うための権限情報を記憶するＩＣカード機能付携帯端末と、前記権限情報を発行する権限情報発行サーバとを備えたＩＣカードシステムにおいて、前記ＩＣカード機能付携帯端末が、前記権限情報発行サーバから前記権限情報を取得する通信機能と、取得した前記権限情報をＩＣに記憶する機能とを有し、前記権限情報発行サーバが、接続された前記ＩＣカード機能付携帯端末を認証する機能と、認証した際に前記権限情報を発行する機能とを有し、前記サービス端末が、前記ＩＣカード機能付携帯端末と通信して前記権限情報を照合する機能を有し、前記サービス端末の前記保守操作を行う際に、前記権限情報を照合する機能が前記保守操作を許可した場合にのみ扉を開錠し、保守操作モードで動作するようにし、前記サービス端末は、前記保守操作を行うために扉を開く際に、前記ＩＣカード機能付携帯端末と通信を行い、前記ＩＣに記憶された前記権限情報と照合することで前記サービス端末の扉を開く機能と、前記ＩＣカード機能付携帯端末との通信ができなくなったときには併設する物理的な鍵で扉を開く機能とを有していることを特徴とするＩＣカードシステムが提供される。

このようなＩＣカードシステムによれば、サービス端末の保守操作を行う際に、ＩＣカード機能付携帯端末が権限情報発行サーバと通信を行い、権限情報を取得し、ＩＣに記憶する。権限情報発行サーバは、接続されたＩＣカード機能付携帯端末を照合する。照合の結果、認証された場合には、権限情報発行サーバは、ＩＣカード機能付携帯端末に権限情報を発行する。サービス端末は、保守操作の要求があると、ＩＣカード機能付携帯端末と通信し、権限情報を照合する。照合の結果、サービス端末が保守操作を許可する場合にのみ開錠すると同時に、保守操作モードで動作する。これにより、管理利用者に必要以上にサービス端末の保守作業を行わせないようにし、不正利用を防止することができる。また、サービス端末は、ＩＣカード機能付携帯端末と通信不能のとき、併設する物理的な鍵で扉を開けることができるようにして、サービス端末のハード的故障などの場合でも保守操作が可能なようにしている。

本発明のＩＣカードシステムは、サービス端末の保守操作を行う際に、権限情報発行サーバから発行された権限情報の範囲内でしか保守作業を行うことができず、権限情報の不正な使い廻しを防ぐことが可能になるという利点がある。

また、権限情報の発行・認証時に利用者を特定することでより不正利用を防止することが可能である。
さらに、サービス端末に無効になったＩＣカード機能付携帯端末の端末ＩＤを記録したネガティブリストを配信することにより、権限情報を発行した時点では正規の管理利用者でその後正規の管理利用者でなくなった管理利用者の持つ権限情報（ＩＣカード機能付携帯端末）に対してもサービス端末の不正利用を防止するのに有効である。

以下、本発明の実施の形態を、図面を参照して詳細に説明する。
図１はＩＣカードシステムの構成例を示すシステム図である。
ＩＣカードシステムは、電子バリュー管理事業者１と、ＩＣカード用サービス端末の１つである複数のＩＣカード用積増機２と、ＩＣカード用サービス端末の１つである複数のＩＣカード決済端末３と、ＩＣカード機能付携帯端末４とを備え、これらはネットワーク５を介して相互に接続されている。ここで、ＩＣカード機能付携帯端末４とは、たとえばＩＣカード機能付の携帯電話や、ＩＣカード機能付のＰＤＡ（Personal Digital Assistant）などを指している。また、ＩＣカード機能付携帯端末４に付くＩＣカード機能との通信方式は接触式でも非接触式でもよい。さらに、ＩＣカード機能付携帯端末４で利用されるＩＣは、そのメモリの情報にアクセスする手段に関してパスワードや暗号などの認証を用いた正規の手段以外でのアクセスを禁止するセキュアな機能を持っているものを前提としている。

電子バリュー管理事業者１は、ＩＣカード機能付携帯端末管理サーバ１１と、権限情報発行サーバ１２と、ＩＣカード用積増機２用のサービス端末管理サーバ１３と、ＩＣカード決済端末３用のサービス端末管理サーバ１４と、電子バリュー管理サーバ１５と、ＩＣカード管理サーバ１６とを備えている。

ＩＣカード機能付携帯端末管理サーバ１１は、ＩＣカード用積増機２およびＩＣカード決済端末３のサービス端末に対して保守操作を行う管理利用者の氏名、従業員番号、パスワードなどの個人情報と、ＩＣカード機能付携帯端末４が持つ固有の端末ＩＤと、ＩＣカード用積増機２およびＩＣカード決済端末３のサービス端末における操作レベル情報とを登録している。

権限情報発行サーバ１２は、ＩＣカード用積増機２およびＩＣカード決済端末３のサービス端末に対して保守操作を行う際に、ＩＣカード機能付携帯端末４を介して要求された管理利用者に権限情報を発行する。また、この権限情報発行サーバ１２は、ＩＣカード機能付携帯端末管理サーバ１１に登録されている情報を利用して管理利用者およびＩＣカード機能付携帯端末４の認証を行い、登録されている情報をもとにして発行する権限情報を生成する機能を有している。

ＩＣカード用積増機２用のサービス端末管理サーバ１３は、ＩＣカードに記憶される電子バリューの積み増しを行うＩＣカード用積増機２の管理を行い、ＩＣカード決済端末３用のサービス端末管理サーバ１４は、ＩＣカードに記憶された電子バリューを利用して電子マネーのサービスを行うＩＣカード決済端末３に関する情報管理を行う。電子バリュー管理サーバ１５は、電子バリューの流通を管理し、ＩＣカード管理サーバ１６は、電子バリューを記憶するＩＣカードの管理を行う。

一般利用者は、ＩＣカードに記憶されている利用可能金額の電子バリューが少なくなったときに、ＩＣカード用積増機２を用いて、現金を入金することにより、ＩＣカード内の電子バリューの積み増しを行い、電子バリューを電子マネーとして利用するときには、ＩＣカード決済端末３を用いて、決済することができる。

ＩＣカード用積増機２およびＩＣカード決済端末３のサービス端末に対して保守操作を行うときには、その管理利用者は、ＩＣカード機能付携帯端末４の携帯端末機能を利用して権限情報発行サーバ１２から保守対象のサービス端末に関する権限情報を発行してもらい、発行された権限情報を記憶したＩＣカード機能付携帯端末４のＩＣカード機能を使ってサービス端末を保守操作可能な状態にする。

図２は第１の実施の形態のＩＣカード機能付携帯端末の構成例を示すブロック図である。
ＩＣカード機能付携帯端末４は、操作表示部２０を有し、この操作表示部２０には、このＩＣカード機能付携帯端末４に保守操作に必要なパスワードなどを入力ためのスイッチ２１と、各種メッセージを表示する液晶表示器（ＬＣＤ）２２とが設けられている。

ＩＣカード機能付携帯端末４は、また、ＩＣカード機能部２３を有している。このＩＣカード機能部２３は、一般利用者が用いるＩＣカードとほぼ同じものであって、メモリ部およびその制御部からなるＩＣ部２４と、ＩＣカード用積増機２やＩＣカード決済端末３のサービス端末と非接触式で通信を行うためのＲＦ（Radio Frequency）部２５とを備えている。

操作表示部２０およびＩＣカード機能部２３は、制御部２６に接続されている。この制御部２６は、ＩＣカード機能付携帯端末４の全体を制御するものであり、ＣＰＵ（Central Processing Unit）と、基本プログラムを格納しているＲＯＭ（Read Only Memory）およびＣＰＵによって実行されるプログラムや演算途中のデータや演算結果などを一時的に格納するＲＡＭ（Random Access Memory）などのメモリを有している。

この制御部２６は、さらに、権限情報発行サーバ１２との間で通信を行う権限情報発行サーバ通信部２７、通信の際の認証処理を行う認証処理部２８、通信する情報に対して暗号化処理を行う暗号処理部２９、およびこのＩＣカード機能付携帯端末４に電源を供給する電源部３０を備えている。

なお、このＩＣカード機能付携帯端末４においては、ＩＣカード機能部２３のＩＣ部２４のメモリ部へのアクセスは、パスワードや暗号などの認証によるアクセス制限がかかっている。また、ＩＣカード機能部２３のＩＣ部２４へのアクセスは、ＩＣカード機能付携帯端末４の制御部２６との接触通信により、ＩＣカード機能付携帯端末４の外部からのアクセスは、非接触通信により行う場合を例示してあるが、ＩＣカード機能部２３のＩＣ部２４への端末外部からのアクセスは、接触式であってもよい。

次に、ＩＣカード用サービス端末について説明するが、ＩＣカード用積増機２およびＩＣカード決済端末３は、入金処理機能を除いてほぼ同じ構成を有しているので、入金処理機能を有するＩＣカード用積増機２について説明し、後述する保守操作においても、保守対象はＩＣカード用積増機２の場合で説明する。

図３はＩＣカード用積増機の構成を示すブロック図である。
ＩＣカード用積増機２は、操作表示部３１を有している。この操作表示部３１には、保守操作に必要なコマンドなどを入力するためのスイッチ３２と、各種メッセージを表示するＬＣＤ３３とが設けられている。

ＩＣカード用積増機２は、また、電子バリューの積み増しに必要な現金を取り扱う入金処理部３４を備えている。この入金処理部３４には、紙幣が挿入される紙幣入金口３５と、入金された紙幣を鑑別する紙幣鑑別部３６と、その紙幣鑑別部３６で正貨と鑑別された紙幣を収納する紙幣金庫３７と、硬貨を投入するための硬貨入金口３８と、投入された硬貨を鑑別する硬貨鑑別部３９と、その硬貨鑑別部３９で正貨と鑑別された硬貨を収納する硬貨金庫４０とが設けられている。そして、紙幣鑑別部３６および硬貨鑑別部３９は、これらを制御している入金制御部４１に接続されている。

操作表示部３１および入金処理部３４は、制御部４２に接続されている。この制御部４２は、ＩＣカード用積増機２の全体を制御するものであって、ＣＰＵ４３、このＣＰＵ４３により実行されるプログラムや演算途中のデータ、演算結果などを一時的に格納するＲＡＭ４４および基本プログラムを格納しているＲＯＭ４５を有している。

制御部４２は、紙幣や硬貨が入金されると入金された金額についての領収書を印刷する印刷部４６が接続され、その印刷部４６にて印刷された領収書は、領収書発行口４７より発行される。

制御部４２は、また、ＩＣカードリーダ・ライタ部４８に接続されている。このＩＣカードリーダ・ライタ部４８は、リーダ・ライタ部４９とＲＦ部５０とを有し、ＩＣカードに対しては電子バリューの積み増しを行い、ＩＣカード機能付携帯端末４のＩＣカード機能部２３に対しては、保守操作に必要な権限情報を受信する。

制御部４２は、さらに、電子バリュー管理事業者１の各サーバと通信を行うための各サーバとの通信部５１と、このＩＣカード用積増機２に電源を供給する電源部５２と、通信する情報に対して暗号化処理を行う暗号処理部５３と、通信の際の認証処理を行う認証処理部５４と、メンテナンス部５５とに接続されている。メンテナンス部５５は、保守作業を行う場合に管理利用者が操作するメンテナンス操作部５６に接続されている。

なお、このＩＣカード用積増機２では、ＩＣカード機能付携帯端末４のＩＣカード機能部２３との通信は、ＩＣカードリーダ・ライタ部４８を介して非接触式で行うようにしたが、ＩＣカード機能部２３を直接接続するインタフェースを備えて、接触式で行うようにしても良い。

次に、以上のような構成のＩＣカードシステムにおいて、ＩＣカード用積増機２の管理利用者が保守操作を行う際の処理の流れを図４を参照して説明する。
図４はＩＣカード用積増機の保守操作を許可するまでの処理の流れを示すシーケンス図である。

まず、このＩＣカードシステムを利用するには、保守操作を行う管理利用者は、初期設定を行う。すなわち、管理利用者は、ＩＣカード用積増機２を設置している電子マネー管理者とともにＩＣカード機能付携帯端末管理サーバ１１に利用者情報である氏名および従業員番号（個人ＩＤ）およびパスワードなどの個人情報とＩＣカード用積増機２が持つユニークな端末ＩＤと、ＩＣカード用積増機２の保守操作の範囲の情報である操作レベルとをあらかじめ登録しておく。

ここで、管理利用者がＩＣカード用積増機２の保守操作を行う際には、まず、管理利用者は、ＩＣカード機能付携帯端末４を使って権限情報発行サーバ１２に権限情報を発行してもらう。そのためには、管理利用者は、図２に示したＩＣカード機能付携帯端末４に、その操作表示部２０のスイッチ２１を使い、ＩＣカード機能付携帯端末管理サーバ１１に登録されている個人ＩＤとパスワードを入力して権限情報発行要求を行う。これにより、ＩＣカード機能付携帯端末４は、その権限情報発行サーバ通信部２７により権限情報発行サーバ１２に接続し、権限情報発行要求を送信する。

次に、権限情報発行サーバ１２は、ＩＣカード機能付携帯端末管理サーバ１１に個人認証要求を出して、個人ＩＤとパスワードとがＩＣカード機能付携帯端末管理サーバ１１に登録されているかどうかを確認する。ＩＣカード機能付携帯端末管理サーバ１１から個人ＩＤとパスワードとが登録されていることの個人認証の結果が出されると、権限情報発行サーバ１２は、ＩＣカード機能付携帯端末４に対して、ＩＣカード機能部２３のＩＣ部２４へのアクセス情報を送信し、このＩＣ部２４に記憶されているＩＣカード機能付携帯端末４の端末ＩＤを読み取りに行く。そして、権限情報発行サーバ１２は、ＩＣカード機能付携帯端末４から受信した端末ＩＤがＩＣカード機能付携帯端末管理サーバ１１に登録されているものかどうかの端末認証要求を出し、ここで、端末ＩＤがＩＣカード機能付携帯端末管理サーバ１１に登録されていることが確認されると、ＩＣカード機能付携帯端末管理サーバ１１から管理利用者とＩＣカード機能付携帯端末４との認証結果が権限情報発行サーバ１２に送られる。なお、図４には、個人認証要求および端末認証要求は、まとめて１つの要求として示してある。

認証が完了すると、権限情報発行サーバ１２は、管理利用者の操作レベル情報と、作業の有効期日または有効回数を含む有効期限情報と、管理利用者のパスワード（個人情報）とを含む権限情報をＩＣカード機能付携帯端末４に発行する。ＩＣカード機能付携帯端末４では、発行された権限情報をＩＣカード機能部２３のＩＣ部２４に記憶し、発行処理結果を操作表示部２０のＬＣＤ２２に表示する。

権限情報を発行された管理利用者は、ＩＣカード機能付携帯端末４の操作表示部２０のスイッチ２１を使ってパスワードを入力し、保守操作を行おうとするＩＣカード用積増機２のＩＣカードリーダ・ライタ部４８のＲＦ部５０にＩＣカード機能付携帯端末４を翳して、ＩＣカード用積増機２に内部操作要求を出す。ただし、ここで入力されたパスワードは、一時的にＩＣカード機能部２３のＩＣ部２４に記憶され、一定時間が過ぎるとリフレッシュされるものとし、また、ＩＣカード用積増機２で認証されると消去されるものとする。

ＩＣカード用積増機２がそのＩＣカードリーダ・ライタ部４８のＲＦ部５０に翳されたＩＣカード機能付携帯端末４のＩＣカード機能部２３から内部操作要求の受信信号を得ると、ＩＣカード用積増機２は、ＩＣカード機能付携帯端末４のＩＣカード機能部２３のＩＣ部２４に対して権限情報と内部操作要求時に入力されたパスワードとの読み取り要求を出す。ＩＣカード機能付携帯端末４から権限情報と内部操作要求時に入力されたパスワードとを受けたＩＣカード用積増機２は、権限情報に含まれる有効期限情報を確認し、さらに権限情報に含まれているパスワード（個人情報）とＩＣカード機能付携帯端末４から入力されたパスワードとを確認して、管理利用者と権限情報とを認証する。その後、ＩＣカード用積増機２は、ＩＣカード機能付携帯端末４に権限情報に含まれているパスワード（個人情報）の削除要求を出し、ＩＣカード機能付携帯端末４は、その要求を受けてＩＣカード機能部２３のＩＣ部２４に記憶されているパスワード（個人情報）を削除し、ＩＣカード用積増機２に削除結果を通知する。

以上のように、管理利用者と権限情報との認証が完了すると、ＩＣカード用積増機２は、扉の開錠を行って権限情報に含まれる操作レベルで動作する。ここで、権限情報に有効回数が含まれている場合には、回数を１つ減算する。また、権限情報の使い廻しを防ぐには、権限情報発行サーバ１２が有効回数を１と設定することで１回のみ有効とすることが可能となる。

また、ＩＣカード用積増機２は、ＩＣカード機能付携帯端末４と通信を行い、そのＩＣカード機能部２３に秘匿された権限情報と照合することでＩＣカード用積増機２の扉の開錠を行うが、ＩＣカード機能付携帯端末４との通信ができなくなったときには、ＩＣカード用積増機２は併設する物理的な鍵でＩＣカード用積増機２の扉の開錠をすることができる。これにより、ＩＣカード用積増機２のハード的故障などの場合でも保守操作が可能である。

さらに、ＩＣカード用積増機２は、ＩＣカード機能付携帯端末４と通信を行い、そのＩＣカード機能部２３に秘匿された権限情報と照合することでＩＣカード用積増機２の保守操作が可能になるが、権限情報の使用レベルによってＩＣカード用積増機２が、操作可能なレベルを切り替える機能を有し、保守作業のレベルによって作業を分担管理することを可能にしている。

管理利用者がＩＣカード用積増機２の集金作業を行う権限をもっている場合には、この時点でＩＣカード用積増機２の入金処理部３４における紙幣金庫３７および硬貨金庫４０の扉を開錠しても良い。もしくは、管理利用者は、ＩＣカード機能付携帯端末４の操作表示部２０のスイッチ２１からパスワードを入力し、ＩＣカード用積増機２のＩＣカードリーダ・ライタ部４８のＲＦ部５０にＩＣカード機能付携帯端末４を翳して、ＩＣカード用積増機２の内部にある紙幣金庫３７および硬貨金庫４０の扉を開錠してもよい。

また、ＩＣカード用積増機２は、入金された現金を保管する紙幣金庫３７および硬貨金庫４０を開錠する際に、ＩＣカード機能付携帯端末４と通信を行い、そのＩＣカード機能部２３に秘匿された権限情報の照合によりＩＣカード用積増機２内の紙幣金庫３７および硬貨金庫４０の扉を開く機能を備え、ＩＣカード機能付携帯端末４との通信が出来なくなった時には、ＩＣカード用積増機２は併設する物理的な鍵でＩＣカード用積増機２内の紙幣金庫３７および硬貨金庫４０の扉を開くことができるようにしている。これにより、ＩＣカード用積増機２のハード的故障などの場合でも金庫内の現金の回収が可能である。

ＩＣカード用積増機２は、集金作業などの締め処理が行われた際に、電子バリュー管理サーバ１５に締め情報と現金を回収した管理利用者の情報とを送信する。
電子バリュー管理サーバ１５は、これらの締め情報から、回収された現金と発行した電子バリューとの不一致がないか確認することで不正利用を監視することが可能となる。

ＩＣカード用積増機２は、保守操作の開始時（扉の開錠時）と終了時（扉の施錠時）に操作ログと操作を行った管理利用者の情報をＩＣカード用積増機２用のサービス端末管理サーバ１３に送信し、サービス端末管理サーバ１３の受信結果は、ＩＣカード用積増機２に送信される。

ＩＣカード用積増機２では、これらの操作ログ情報から異常なデータがないか確認を行うことで不正利用を監視することが可能である。
また、ＩＣカード用積増機２は、盗難時に不正利用された場合の対策として、電源投入後に権限を持った管理利用者によって運用モードに設定されないと動作しない仕組みを持つことができる。この場合も同様に、ＩＣカード用積増機２は、運用モードの設定の権限を持つ管理利用者のＩＣカード機能付携帯端末４が翳され、認証に成功すると運用モードに設定される。

なお、ここでは、パスワードをＩＣカード機能付携帯端末管理サーバ１１に登録したが、ＩＣカード機能付携帯端末４のＩＣカード機能部２３のＩＣ部２４に記憶することで、権限情報発行サーバ１２およびＩＣカード用積増機２は、認証の際にＩＣカード機能付携帯端末４から読み出して認証することにより認証情報が本人以外に漏洩することを防ぐことが可能である。

また、不正利用が検知された場合、退職などでＩＣカード機能付携帯端末４の回収ができない場合、さらには、権限情報を発行した時点では正規の管理利用者が、その後、正規の管理利用者でなくなった場合には、それ以降の保守操作をできなくする必要がある。このためには、そのような場合が発生したときに、電子マネー管理者は、ＩＣカード用積増機２用のサービス端末管理サーバ１３に対象となるＩＣカード機能付携帯端末４の端末ＩＤを登録し、その登録されたネガティブリストを各ＩＣカード用積増機２に配信する。

ネガティブリストを受信した各ＩＣカード用積増機２は、内部操作要求のあったＩＣカード機能付携帯端末４を認証する際に、ネガティブリストにＩＣカード機能付携帯端末４の端末ＩＤがないか確認し、あれば、操作表示部２０のＬＣＤ２２に操作ＮＧを表示し、それ以上処理が進まないようにする。これにより、ＩＣカード機能付携帯端末４から対象の管理利用者の個人情報を無効にする前に発行された権限情報を無効にする前に発行された権限情報を無効にすることができ、権限情報の不正利用を防ぐことが可能となる。

以上のＩＣカード機能付携帯端末４は、管理利用者の個人認証にパスワードを用いる場合を例にして示したが、次に、生体情報を用いて管理利用者を特定する場合について説明する。

図５は第２の実施の形態のＩＣカード機能付携帯端末の構成例を示すブロック図である。なお、この図５において、図２に示した構成要素と同じまたは同等の機能を有する構成要素については同じ符号を付してその詳細な説明は省略する。さらに、第２の実施の形態では、管理利用者の特定に生体情報を利用するだけであり、ＩＣカードシステムの構成、ＩＣカード用積増機２の構成、保守操作を許可するまでの処理の流れは同じである。

このＩＣカード機能付携帯端末４ａは、図２に示したＩＣカード機能付携帯端末４と比較して、生体情報処理部６０を新たに備えている。この生体情報処理部６０は、管理利用者の生体情報を入力する入力部６１と制御部６２とを有し、ＩＣカード機能付携帯端末４ａの制御部２６に接続されている。ここで、管理利用者の生体情報としては、指紋・虹彩・顔・毛細血管の形状・声紋など、個人を識別可能な生体に関する情報とすることができ、生体の特徴を認識するために必要な一部の情報だけであってもよい。

次に、このようなＩＣカード機能付携帯端末４ａを備えたＩＣカードシステムにおいて、ＩＣカード用積増機２の管理利用者が保守操作を行う際の処理の流れを図４を参照して説明する。

まず、このＩＣカードシステムの初期設定では、管理利用者は、ＩＣカード用積増機２を設置している電子マネー管理者とともにＩＣカード機能付携帯端末管理サーバ１１に自身の生体情報、氏名および従業員番号（個人ＩＤ）などの個人情報とＩＣカード用積増機２が持つユニークな端末ＩＤと、ＩＣカード用積増機２の保守操作の範囲の情報である操作レベルとをあらかじめ登録しておく。

ここで、管理利用者がＩＣカード用積増機２の保守操作を行う際には、まず、管理利用者は、ＩＣカード機能付携帯端末４ａの操作表示部２０のスイッチ２１を使ってＩＣカード機能付携帯端末管理サーバ１１に登録されている個人ＩＤを入力し、ＩＣカード機能付携帯端末４ａの生体情報処理部６０の入力部６１から生体情報を入力して、権限情報発行サーバ通信部２７により権限情報発行サーバ１２に接続する。

次に、権限情報発行サーバ１２は、ＩＣカード機能付携帯端末管理サーバ１１に個人ＩＤと生体情報とがＩＣカード機能付携帯端末管理サーバ１１に登録されているかどうかを確認する。ＩＣカード機能付携帯端末管理サーバ１１から個人ＩＤと生体情報とが登録されていることの個人認証の結果が出されると、権限情報発行サーバ１２は、ＩＣカード機能付携帯端末４ａに対して、ＩＣカード機能部２３のＩＣ部２４へのアクセス情報を送信し、このＩＣ部２４に記憶されているＩＣカード機能付携帯端末４ａの端末ＩＤを読み取りに行く。そして、権限情報発行サーバ１２は、ＩＣカード機能付携帯端末４ａから受信した端末ＩＤがＩＣカード機能付携帯端末管理サーバ１１に登録されているかどうかを確認し、確認されると、管理利用者とＩＣカード機能付携帯端末４ａとが認証されたことになる。

認証が完了すると、権限情報発行サーバ１２は、管理利用者の操作レベル情報と、作業の有効期日または有効回数を含む有効期限情報と、管理利用者の生体情報（個人情報）とを含む権限情報をＩＣカード機能付携帯端末４ａに発行する。ＩＣカード機能付携帯端末４ａでは、発行された権限情報をＩＣカード機能部２３のＩＣ部２４に記憶し、発行処理結果を操作表示部２０のＬＣＤ２２に表示する。

権限情報を発行された管理利用者は、ＩＣカード機能付携帯端末４ａの生体情報処理部６０の入力部６１から生体情報を入力し、保守操作を行おうとするＩＣカード用積増機２のＩＣカードリーダ・ライタ部４８のＲＦ部５０にＩＣカード機能付携帯端末４ａを翳す。ただし、ここで入力された生体情報は、一時的にＩＣカード機能部２３のＩＣ部２４に記憶され、一定時間が過ぎるとリフレッシュされるものとし、また、ＩＣカード用積増機２で認証されると消去されるものとする。

ＩＣカード用積増機２がそのＩＣカードリーダ・ライタ部４８のＲＦ部５０に翳されたＩＣカード機能付携帯端末４ａのＩＣカード機能部２３から内部操作要求の受信信号を得ると、ＩＣカード用積増機２は、ＩＣカード機能付携帯端末４ａのＩＣカード機能部２３のＩＣ部２４から権限情報と内部操作要求時に入力された生体情報とを読み取り、権限情報に含まれる有効期限情報を確認し、さらに権限情報に含まれている生体情報（個人情報）と入力された生体情報とを確認して、管理利用者と権限情報とを認証する。

この認証が完了すると、ＩＣカード用積増機２は、扉の開錠を行って権限情報に含まれる操作レベルで動作する。ここで、権限情報に有効回数が含まれている場合には、回数を１つ減算する。また、権限情報の使い廻しを防ぐには、権限情報発行サーバ１２が有効回数を１と設定することで１回のみ有効とすることが可能となる。

以降、ＩＣカード用積増機２の集金作業など締め処理、電源起動時の処理、操作ログ、集金作業での現金回収情報などのＩＣカード用積増機２用のサービス端末管理サーバ１３への送信など、保守操作に関する利用方法については第１の実施の形態と同様である。

また、ここでは、生体情報をＩＣカード機能付携帯端末管理サーバ１１に登録したが、ＩＣカード機能付携帯端末４ａのＩＣカード機能部２３のＩＣ部２４に記憶することで、権限情報発行サーバ１２およびＩＣカード用積増機２は、認証の際にＩＣカード機能付携帯端末４ａから読み出して認証することにより認証情報が本人以外に漏洩することを防ぐことが可能である。

さらに、不正利用が検知された場合、ＩＣカード機能付携帯端末４ａの回収ができない場合、権限情報を発行した後に管理利用者が正規の管理利用者でなくなった場合においても、各ＩＣカード用積増機２に無効になったＩＣカード機能付携帯端末４ａの端末ＩＤを記録したネガティブリストを配信しておくことで、権利を持つ管理利用者以外が保守操作を行うことができないようにすることができる。

また、以上は、保守操作の対象をＩＣカード用積増機２とするＩＣカード用サービス端末の場合で説明したが、入金処理機能を持たないＩＣカード決済端末３とするＩＣカード用サービス端末においても、同じ手順で保守操作を行うことができることはもちろんである。

ＩＣカードシステムの構成例を示すシステム図である。第１の実施の形態のＩＣカード機能付携帯端末の構成例を示すブロック図である。ＩＣカード用積増機の構成を示すブロック図である。ＩＣカード用積増機の保守操作を許可するまでの処理の流れを示すシーケンス図である。第２の実施の形態のＩＣカード機能付携帯端末の構成例を示すブロック図である。

符号の説明

１電子バリュー管理事業者
２ＩＣカード用積増機
３ＩＣカード決済端末
４，４ａＩＣカード機能付携帯端末
５ネットワーク
１１ＩＣカード機能付携帯端末管理サーバ
１２権限情報発行サーバ
１３サービス端末管理サーバ
１４サービス端末管理サーバ
１５電子バリュー管理サーバ
１６ＩＣカード管理サーバ
２３ＩＣカード機能部
４８ＩＣカードリーダ・ライタ部

Claims

電子バリューを記憶するＩＣカードと、前記電子バリューの流通を管理する電子バリュー管理サーバと、前記電子バリューを利用してサービスを提供するサービス端末と、前記サービス端末を管理するサービス端末管理サーバと、前記サービス端末の保守操作を行うための権限情報を記憶するＩＣカード機能付携帯端末と、前記権限情報を発行する権限情報発行サーバとを備えたＩＣカードシステムにおいて、
前記ＩＣカード機能付携帯端末が、前記権限情報発行サーバから前記権限情報を取得する通信機能と、取得した前記権限情報をＩＣに記憶する機能とを有し、
前記権限情報発行サーバが、接続された前記ＩＣカード機能付携帯端末を認証する機能と、認証した際に前記権限情報を発行する機能とを有し、
前記サービス端末が、前記ＩＣカード機能付携帯端末と通信して前記権限情報を照合する機能を有し、
前記サービス端末の前記保守操作を行う際に、前記権限情報を照合する機能が前記保守操作を許可した場合にのみ扉を開錠し、保守操作モードで動作するようにし、
前記サービス端末は、前記保守操作を行うために扉を開く際に、前記ＩＣカード機能付携帯端末と通信を行い、前記ＩＣに記憶された前記権限情報と照合することで前記サービス端末の扉を開く機能と、前記ＩＣカード機能付携帯端末との通信ができなくなったときには併設する物理的な鍵で扉を開く機能とを有していることを特徴とするＩＣカードシステム。
前記権限情報は、有効回数情報または有効期限情報を含んでいることを特徴とする請求項１記載のＩＣカードシステム。
前記権限情報発行サーバおよび前記サービス端末が、前記権限情報を記憶する前記ＩＣカード機能付携帯端末のＩＣのメモリ領域にアクセスする権限を備え、前記保守操作を行う管理利用者への前記権限情報の漏洩を防止したことを特徴とする請求項１記載のＩＣカードシステム。
前記ＩＣカード機能付携帯端末は、利用者情報と管理利用者が入力したパスワードと自身が持つ固有の端末ＩＤとを前記権限情報発行サーバに送信する機能を有し、
前記権限情報発行サーバは、前記ＩＣカード機能付携帯端末の前記利用者情報および前記管理利用者のパスワードを管理する機能と、接続された前記ＩＣカード機能付携帯端末から受信した前記端末ＩＤで前記ＩＣカード機能付携帯端末を識別する機能と、受信した前記利用者情報と前記パスワードとに対して自身が管理する前記利用者情報と前記パスワードとを用いて前記管理利用者を認証する機能とを有していることを特徴とする請求項１記載のＩＣカードシステム。
前記ＩＣカード機能付携帯端末は、利用者情報と管理利用者が入力した生体情報の全部もしくは一部と自身が持つ固有の端末ＩＤとを前記権限情報発行サーバに送信する機能を有し、
前記権限情報発行サーバは、前記ＩＣカード機能付携帯端末の前記利用者情報および前記管理利用者の生体情報を管理する機能と、接続された前記ＩＣカード機能付携帯端末から受信した前記端末ＩＤで前記ＩＣカード機能付携帯端末を識別する機能と、受信した前記利用者情報と前記生体情報に対して自身が管理する前記利用者情報と前記生体情報とを用いて前記管理利用者を認証する機能とを有していることを特徴とする請求項１記載のＩＣカードシステム。
前記ＩＣカード機能付携帯端末は、管理利用者のパスワードを記憶する機能と、前記パスワードを登録する権限を管理する機能と、利用者情報と前記管理利用者が入力したパスワードと自身が持つ固有の端末ＩＤとを前記権限情報発行サーバに送信し、かつ、自身が記憶している前記管理利用者の前記パスワードを前記権限情報発行サーバに送信する機能とを有し、
前記権限情報発行サーバは、接続された前記ＩＣカード機能付携帯端末から受信した前記端末ＩＤで前記ＩＣカード機能付携帯端末を識別する機能と、前記ＩＣカード機能付携帯端末から受信した前記利用者情報および前記パスワードと同じく受信した前記ＩＣカード機能付携帯端末に記憶された前記パスワードとを用いて前記管理利用者を認証する機能とを有していることを特徴とする請求項１記載のＩＣカードシステム。
前記ＩＣカード機能付携帯端末は、管理利用者の生体情報の全部または一部を記憶する機能と、前記生体情報を登録する権限を管理する機能と、利用者情報と前記管理利用者が入力した生体情報の全部もしくは一部と自身が持つ固有の端末ＩＤとを前記権限情報発行サーバに送信し、かつ、自身が記憶している前記管理利用者の前記生体情報を前記権限情報発行サーバに送信する機能とを有し、
前記権限情報発行サーバは、接続された前記ＩＣカード機能付携帯端末から受信した前記端末ＩＤで前記ＩＣカード機能付携帯端末を識別する機能と、前記ＩＣカード機能付携帯端末から受信した入力された前記利用者情報および前記生体情報と同じく受信した前記ＩＣカード機能付携帯端末に記憶された前記生体情報とを用いて前記管理利用者を認証する機能とを有していることを特徴とする請求項１記載のＩＣカードシステム。
前記権限情報発行サーバは、前記サービス端末の前記保守操作の使用レベルによって管理利用者を管理し、前記ＩＣカード機能付携帯端末に権限情報を発行する際に、管理する前記サービス端末の前記保守操作の前記使用レベルに対応した権限情報を発行する機能を有していることを特徴とする請求項１記載のＩＣカードシステム。
前記サービス端末は、前記保守操作を行うために、前記ＩＣカード機能付携帯端末と通信を行い、前記ＩＣに記憶された前記権限情報と照合した際に、前記権限情報の使用レベルによって操作可能なレベルを切り替える機能を有していることを特徴とする請求項１記載のＩＣカードシステム。
前記サービス端末は、入金された現金を保管する金庫を開錠する際に、前記ＩＣカード機能付携帯端末と通信を行い、前記ＩＣに記憶された前記権限情報と照合することで前記金庫の扉を開く機能と、前記ＩＣカード機能付携帯端末との通信ができなくなったときには併設する物理的な鍵で前記金庫の扉を開く機能を有していることを特徴とする請求項１記載のＩＣカードシステム。
前記サービス端末が前記ＩＣカード機能付携帯端末と通信を行い、前記ＩＣに記憶された前記権限情報と照合する際に、前記ＩＣカード機能付携帯端末が、管理利用者の生体情報を入力し、前記生体情報の全部もしくは一部を前記サービス端末に送信する機能と、前記サービス端末が、前記ＩＣカード機能付携帯端末から受信した前記生体情報と前記権限情報の内にある前記管理利用者の生体情報の全部もしくは一部とで前記管理利用者を識別する機能とを有していることを特徴とする請求項１記載のＩＣカードシステム。
前記サービス端末管理サーバは、前記サービス端末の保守操作を禁止する前記ＩＣカード機能付携帯端末のネガティブリストを前記サービス端末に配信する機能を備え、前記サービス端末が、前記ＩＣカード機能付携帯端末を認証する際に、受信した前記ネガティブリストに対象の前記ＩＣカード機能付携帯端末が含まれているかどうか判断する機能を有し、含まれていた場合にそれ以上処理が進まない機能を有していることを特徴とする請求項１記載のＩＣカードシステム。