JP4843919B2 - Ｉｃカード積増機および電子マネーシステム - Google Patents

Description

本発明はＩＣカード積増機および電子マネーシステムに関し、特にＩＣカードに記憶されている電子マネー金額に入金された紙幣の金額分を積み増しすることのできるＩＣカード積増機およびこのようなＩＣカード積増機を利用した電子マネーシステムに関する。

近年、ＩＣカードは、公共交通機関、レジャー施設、流通システムなどの分野で広く普及しつつある。このため、各分野でＩＣカードの利用機器を普及させることがＩＣカードの利便性を高め、ＩＣカードの普及にもつながる。また、ＩＣカードは、カード内に利用可能な電子マネー残高を記憶しており、必要に応じて個人情報などの情報も記憶しておくことで利用が可能となるシステムである。このようなＩＣカードシステムは、ＩＣカードの電子マネー残高がなくなるか少なくなった場合、ＩＣカードに電子マネーを積み増す必要がある。そのため利用者がＩＣカードに電子マネーの積み増しを行う機器として、ＩＣカード積増機がある。

ＩＣカード積増機は、電子マネー残高と、利用者を識別するための個人情報と、一般カードを意味する識別子とが記憶されている一般ＩＣカードに対して、入金金額に相当する電子マネーを積み増しすることができる。ＩＣカード積増機に入金された紙幣は、ＩＣカード積増機内の鍵のかかっている紙幣収納庫に保管している。このような保管された紙幣は、紙幣格納庫が一杯になる前に係員が定期的にＩＣカード積増機の設置箇所を巡回して回収をする。このとき、係員は、同時に入金集計も行っている。

なお、ＩＣカード積増機は、その表扉に鍵が設けられており、さらに、入金された紙幣が収納されている入金部の紙幣収納庫にも鍵が設けられている。そのため、係員がＩＣカード積増機内の紙幣を回収するときには、まず、ＩＣカード積増機の表扉の錠を物理的な鍵で解錠して表扉を開け、その中にある入金部の紙幣収納庫に設けられた錠をさらに解錠することになる。これにより、係員は、紙幣収納庫に収納されている紙幣にアクセスすることができ、紙幣の回収を行うことができる。

物理的な鍵のみで施錠するようにしていたＩＣカード積増機においては、鍵の盗難や偽造などの不正によりＩＣカード積増機の扉を係員以外の者が不正に開け、金銭や内部の機器が盗難される可能性があった。さらに盗難された機器において不正な積み増しを行うことにより、被害が拡大する可能性があった。

そこで、物理的な鍵の代わりにＩＤカードを用いる方法が提案されている（たとえば、特許文献１参照。）。これは、ＩＣカード積増機ではなく、現金自動取引機を対象としたものであるが、その現金自動取引機では、その扉開放をＩＤカードを用いて行うようにしている。つまり、遠隔監視操作装置に設けたＩＤカードリーダによりＩＤカードのＩＤ情報を読み取り、ＩＤカードが有効なカードである場合には、サーバによって現金自動取引機の扉開放が許可され、扉開放が許可された現金自動取引機に対して所定の解錠操作を行うことによりロックが解除され、これによってその現金自動取引機の扉を開放することができるものである。
特開平６−１１９５２５号公報

しかしながら、ＩＤカードを用いる方法をＩＣカード積増機に適用しようとすると、別個にＩＤカードリーダが必要になり、ＩＤカード自体が物理的な鍵と同様に複製が容易なことから、セキュリティの面からは物理的な鍵を用いた場合と実質的に変わりがないという問題点があった。

本発明はこのような点に鑑みてなされたものであり、鍵の盗難や鍵の偽造などの不正により収納されている紙幣や紙幣が収納されている内部の機器を盗難されることを防止し、さらに、内部の機器が不正に利用されることによる被害の拡大を防止できるようにしたＩＣカード積増機を提供することを目的とする。

本発明では上記問題を解決するために、投入された紙幣を識別して収納する入金部と、ＩＣカードへの書き込み・読み込みをするリーダ・ライタ部と、前記ＩＣカードに対して前記入金部による投入紙幣の金額分を前記リーダ・ライタ部によって積み増しするよう制御する制御部とを備えたＩＣカード積増機において、前記制御部は、前記リーダ・ライタ部によって検出された前記ＩＣカードが正当な保守カードであるとき、表扉の電気錠を解錠させる機能と、前記リーダ・ライタ部によって正当な保守カードが検出されていない間に前記表扉が開けられたとき、運用を禁止、あるいは、プログラム・データの一部または全部を消去する機能と、前記リーダ・ライタ部によって検出された前記ＩＣカードが１回だけ解錠可能なパスワード情報を記憶したワンタイムカードを検出したとき、前記パスワード情報が前記ワンタイムカードの発行時に伝えられてあらかじめ前記制御部に記憶されているパスワードと一致したときのみ前記入金部の紙幣回収のための扉を解錠させる機能と、前記ワンタイムカードを受け付けたことにより前記ワンタイムカード内部のパスワード情報を消去させる機能と、前記ワンタイムカードを受け付けたことにより積増機能を停止させる機能とを有していることを特徴とするＩＣカード積増機が提供される。

このようなＩＣカード積増機によれば、紙幣回収や保守作業に必要な保守カードを複製が困難なＩＣカードで構成し、正規な保守カードのみによる解錠しか受け付けないように構成した。これにより、保守カードがない場合には、紙幣回収や保守作業ができないので、金銭や内部機器の盗難が防止され、内部機器が盗難されていたとしても、保守カードなしではＩＣカード積増機が機能しないので、被害の拡大を防止することができ、ＩＣカードの電子マネーとしての信頼性を確保することができる。

本発明のＩＣカード積増機は、紙幣回収や保守作業に、物理的な鍵よりも複製が極めて困難なＩＣカードで構成の保守カードを利用するようにしたことにより、偽造を防止し、保守カードを持たない者による表扉の開放を不正な開放として不正発覚後の運用を禁止することができるので、不正利用を防止することができるという利点がある。

以下、本発明の実施の形態を図面を参照して詳細に説明する。
図１はＩＣカード積増機の構成を示すブロック図、図２はＩＣカード積増機の概観斜視図である。

ＩＣカード積増機１は、電子マネーの積み増しに関する操作入力および表示を行う操作表示部２を備え、この操作表示部２は、積み増しの金額を指定する積増額ボタン３と、積み増し操作を取り消すための取消ボタン４と、領収書発行を指示する領収書ボタン５と、ＩＣカード内の金額情報や操作上のメッセージを表示する液晶表示器（ＬＣＤ）６とを有している。これら操作表示部２の積増額ボタン３、取消ボタン４、領収書ボタン５および液晶表示器６は、図２に示したように、ＩＣカード積増機１の正面に設けられている。なお、液晶表示器６は、必要に応じて、保守作業時に、機器の状態などの保守用情報を表示したり、保守作業のために表示させる項目を選択したり、機器の操作をさせたりするように構成されている。

ＩＣカード積増機１は、また、入金部７を備えており、この入金部７は、紙幣が投入される紙幣入金口８と、投入された紙幣の真偽判定を行う紙幣鑑別部９と、入金された紙幣の収納を行う紙幣収納庫１０と、おつりや返金などの紙幣を出金する紙幣出金口１１と、紙幣収納庫１０あるいは入金部７の全体の扉に設けられた電気錠の解錠・施錠を制御する入金部扉制御部１２とを有している。この入金部７の紙幣入金口８および紙幣出金口１１は、ＩＣカード積増機１の正面に設けられている。なお、紙幣収納庫１０は、金種に応じた金庫からなり、その内の最小額金種の金庫は、収納された紙幣を釣り銭としてリサイクルできるよう構成されている。

ＩＣカード積増機１は、また、領収書情報を印字する印刷部１３と、印字された領収書を出力する領収書発行口１４とを備え、その領収書発行口１４は、ＩＣカード積増機１の正面に設けられている。

ＩＣカード積増機１は、また、表扉に設けられた電気錠の解錠・施錠を制御する表扉制御部１５と、ＩＣカードを載置するＩＣカード置き台１６と、このＩＣカード置き台１６に載置されたＩＣカードに電磁誘導により電源を供給するとともに電波にてＩＣカードと通信を行うアンテナ１７と、ＩＣカードに記憶された情報を読み込んだりＩＣカードに情報を書き込んだりするリーダ・ライタ部１８と、操作表示部２、入金部７、印刷部１３、表扉制御部１５およびリーダ・ライタ部１８に接続されてそれらの制御を行う制御部１９と、電源部２０とを備えている。制御部１９は、ネットワーク２２を介してＩＣカード積増機１を管理するサーバ２３と通信ができるように接続され、全体として電子マネーシステムを構成している。ＩＣカード置き台１６は、ＩＣカード積増機１の正面に設けられている。

制御部１９は、マイクロコンピュータの他に、このＩＣカード積増機１を制御する主プログラム、不正開放検出のプログラムなどを記憶しているＲＯＭ、マイクロコンピュータにより実行されるプログラム、演算途中および演算結果の内部データを記憶しているＲＡＭ、ダウンロードされたプログラムおよび入金データなどを記憶しているＳＲＡＭカードなどを含むメモリ２１を有している。電源部２０は、外部電源からこのＩＣカード積増機１の各部へ電力を供給するもので、必要に応じて、電池などのバックアップ電源を備えることができる。その場合は、外部電源が遮断された場合に、バックアップ電源から電力が供給され、外部電源が遮断されたことを制御部へ通知する。

ここで、印刷部１３は、制御部１９から指示されたデータを印刷し、領収書発行口１４から出力することができる。また、保守作業時には、必要に応じて保守作業のための情報を印字するように構成されている。さらに、このＩＣカード積増機１の表扉および紙幣収納庫１０あるいは入金部７の全体の扉は、電気錠を備えていて、それぞれ制御部１９との通信により、表扉制御部１５が表扉の電気錠を解錠して表扉を開放し、入金部７の入金部扉制御部１２が紙幣収納庫１０あるいは入金部７の全体の扉の電気錠を解錠して扉を開放することができる。

サーバ２３は、有効な保守カードのリストあるいは無効な保守カードのリストを持ち、それらをそれぞれのＩＣカード積増機１に配信する。ＩＣカード積増機１においては、リストとカード情報とを比較照合することによって無効な保守カードによる不正を防ぐようにしている。

リーダ・ライタ部１８は、一般カード、保守カードおよびワンタイムカードのＩＣカードを取り扱うことができ、特に、保守作業時には、通常、保守専用の保守カードが用いられる。紙幣の回収や保守作業のときには、その保守カードを、ＩＣカード置き台１６に載置してリーダ・ライタ部１８に検出させることにより、表扉および入金部の扉を開放し、これによって紙幣の回収および保守作業を行うことになる。

この保守カードは、ＩＣカードの情報（以下、ＩＣカード情報という）であるＩＣカードの識別番号、保守カードであることを示す識別情報の他に、たとえば、保守作業・紙幣回収を行ったＩＣカード積増機１の識別情報や、その保守作業・紙幣回収タイミング、表扉・入金部扉の開閉タイミングなどを記憶することができる。なお、以下においては、保守カードにＩＣカード積増機１の積増機固有の識別番号、保守作業タイミング、各扉の開閉日時などの情報を、総称して保守情報と言うことにする。

このような構成を有するＩＣカード積増機１において、制御部１９は、表扉および入金部の扉の開放を検知するセンサを持ち、リーダ・ライタ部１８によって検出されたＩＣカードの識別情報が正当な保守カードであった場合に、必要なら操作表示部２に保守作業に移行する旨を表示し、表扉制御部１５および入金部扉制御部１２が各扉の開放を行う。また保守用の保守カードがリーダ・ライタ部１８において読み取れない、あるいは無効な保守カード識別情報が読み出された状態で、表扉や入金部７の扉の開放を検知した場合には、サーバ２３に異常を通知するとともに、メモリ２１に異常を検知した日時を記録する。このとき、制御部１９は、異常を検出した時点以降の運用を禁止、あるいは、プログラム・データの一部消去を行い、盗難後の解析などによる不正を防止する。

また、制御部１９は、正当な保守用の保守カードがリーダ・ライタ部１８によって検出された場合には、メモリ２１にＩＣカード情報と保守情報とを逐次記録するようにしている。さらに、保守カードにおいても、保守作業終了後には、保守情報を記録するようにしている。

制御部１９は、外部電源の遮断を検知した場合には、表扉制御部１５および入金部扉制御部１２に施錠を指示するようにしている。また、制御部１９は、サーバ２３から「有効な保守カード」のリストあるいは「無効な保守カード」のリストの配信を受け、メモリ２１に当該リストを保持し、リーダ・ライタ部１８によって検出されたＩＣカードのカード情報と照合することで、有効と認定された保守カードの有効・無効を判定し、有効と認められた保守カードのみを受け付けるようにしている。

次に、ＩＣカード積増機１の制御部１９が行う扉の不正開放を検出するための処理動作について説明する。
図３は不正開放検出処理の流れを示すフローチャートである。

まず、ＩＣカード積増機１の電源が投入されると、制御部１９はＩＣカード検出待機状態となる（ステップＳ１）。ここで、リーダ・ライタ部１８がＩＣカードを検出すると、そのカードが保守カードであるかどうかを判定する（ステップＳ２）。このとき、カードが保守カードであった場合には、制御部１９はカード情報をＩＣカード積増機１のメモリ２１に記録し、併せて保守カードにも日時とＩＣカード積増機１の識別番号を記録する（ステップＳ３）。次に、制御部１９は、検出された保守カードが有効な保守カードであるかどうかをサーバ２３から配信された「有効な保守カード」のリスト、あるいは「無効な保守カード」のリストと比較照合することで判定する（ステップＳ４）。このとき、有効な保守カードであった場合には、制御部１９は表扉制御部１５によって表扉の電気錠を解錠する（ステップＳ５）。

表扉の電気錠が解錠された後、制御部１９は係員によって規定時間内に表扉が開放されたかのチェックを行う（ステップＳ６）。規定時間内に表扉の開放を検知した場合、制御部１９は表扉の解錠日時をＩＣカード積増機１のメモリ２１に記録する（ステップＳ７）。その後、係員は保守作業または紙幣回収作業を行う（ステップＳ８）。このとき、制御部１９はこのフローに従って保守カードが検出されていてこのステップＳ８に到達したときのみ、保守作業用の操作や、各種コマンドを受理するようになっている。また、係員が紙幣回収作業の選択をしたときには、制御部１９は入金部扉制御部１２によって紙幣収納庫１０あるいは入金部７の全体の扉の電気錠を解錠して扉を開放し、紙幣回収作業が終了して係員が扉を閉鎖したときには、制御部１９はその扉の閉鎖を検出して、入金部扉制御部１２により施錠する。

係員が保守作業を行っている間、制御部１９は表扉の開放チェックを行っている（ステップＳ９）。係員によって表扉が閉じられた場合、制御部１９は表扉の閉鎖日時をメモリ２１に記録する（ステップＳ１０）。その後、制御部１９は規定時間内に保守カードが検出されたかどうかチェックし（ステップＳ１１）、検出された場合は、制御部１９は表扉制御部１５によって表扉を施錠する（ステップＳ１２）。これにより、保守カードによる保守作業前後の動作は正常に終了し、一連のフローはステップＳ２に回帰する。なお、この施錠とともに、ステップＳ８での作業が保守作業であった場合に、保守カードに保守情報が書き込まれる。

一方、ステップＳ６において、規定時間内に、解錠されている表扉が開放されなかった場合には、制御部１９は表扉制御部１５によって表扉を施錠し（ステップＳ１３）、タイムアウトを示す警報を発すると同時に警報の日時をメモリ２１に記録する（ステップＳ１４）。その後、制御部１９は警報を終了し（ステップＳ１５）、処理はステップＳ２に回帰する。

他方、ステップＳ２において保守カード以外が検出された、あるいはいかなるカードをも検出されなかった場合には、制御部１９は表扉の開放・閉鎖の状態をチェックする（ステップＳ１６）。チェックした結果、閉鎖していた場合は、ステップＳ２に戻り、ステップＳ２とステップＳ１６をループする。ステップＳ１６において、表扉が開放されたことを検知した場合は、制御部１９は表扉が不正に開けられたと判断し、表扉の開放日時とカードが検出されていた場合のカード情報とをメモリ２１に記録し（ステップＳ１７）、警報を発する（ステップＳ１８）。警報は、たとえば、サイレンやブザーのような聴覚に訴えるものや、赤色回転灯や異常表示など視覚に訴えるものによって行われる。

また、ステップＳ４において、検出されたカードが有効な保守カードでなかった場合には、制御部１９は同様に警報を発し（ステップＳ１８）、続いて制御部１９はサーバ２３に異常を通知する（ステップＳ１９）。

さらに、ステップＳ１１において、規定時間内に保守カードが検出されなかった場合には、制御部１９は警報を発し、警報の日時をメモリ２１に記録する（ステップＳ２０）。その後、制御部１９はその警報が規定回数以上発せられたかどうかを判定し（ステップＳ２１）、警報が規定回数以上でない場合には、処理はステップＳ１１に戻る。警報が規定回数以上発せられたことを検出した場合には、制御部１９はサーバ２３に異常を通知する（ステップＳ１９）。ステップＳ１９においてサーバ２３に異常が通知された後は、セキュリティを確保するために、制御部１９は以降の運用を禁止する（ステップＳ２２）。具体的には、不正開放検出プログラムは閉塞モードに移行し、以後、特定のコマンドのみ受け付けるようにする。もちろん、閉塞モードに移行後は、全てのコマンドを受け付けないようにしてもよい。その際、不正に利用された場合に被害が大きくなり得るプログラム・データの一部または全部を消去して異常終了する。

以上、このＩＣカード積増機１の制御部１９が行う不正開放検出処理の好ましい処理動作について説明したが、必ずしも、これに限定されるものではない。たとえば、上記のステップＳ２〜Ｓ１１までの間の処理において、リーダ・ライタ部１８が常に保守カードの検出を行い、保守カードが確認できている間のみ扉の解錠・開放や保守作業を許可するようにしてもよい。この場合は、保守カードを検出できなくなると異常状態と判定して警報を発し、サーバ２３に異常を通知するようにするとよい。また、上記の処理では、保守作業終了後などで扉を閉じた後、規定時間内に保守カードをリーダ・ライタ部１８に検出させることによって表扉を施錠していたが、表扉の閉鎖を検出した後に自動的に施錠するようにしてもよい。

このように、このＩＣカード積増機１では、物理的な鍵よりも偽造が難しいＩＣカードを利用し、正規な保守カードのみによる解錠しか受け付けないようにしたので、偽造を防止することができる。また、保守カードを持たないものによる扉の開放を不正な開放として、不正発覚以降の運用を禁止することができるとともに、保守カードが盗難されたり、偽造されたりしても、当該保守カード自体をサーバ２３が保持している「無効な保守カード」のリストに追加することによって無効としたり、あるいは、有効とされていない保守カードの使用を禁止することでカード盗難や偽造による扉の不正開放も防止できる。

また、何らかの方法で扉の開放が検出できなかった場合や、正規の保守カードがない場合には、保守作業用の操作やコマンドを禁止することで、不正な使用を防止することができる。

さらに、保守カードに保守情報を書き込むことで、万が一、係員が不正を働いた場合、あるいは盗難されたカードが発見された場合に、不正の可能性がある保守作業に関しての追跡の手段をＩＣカード積増機と保守カードの両方に持つことができるので、追跡を容易にすることができる。

保守カードは、係員が保管し、管理しているが、紛失することも考えられる。こうした場合は、再度同じ保守カードを発行して係員に提供することにより、ＩＣカード積増機１の紙幣格納庫の扉を開け、紙幣を回収する方法が考えられるが、紛失した保守カードが係員以外の悪意のある第３者に渡り、勝手に紙幣を回収されることも容易に考えられることから、セキュリティを確保することは難しい。

このような状況の中、ＩＣカード積増機１のセキュリティ確保を行うには、一旦、ＩＣカード積増機１を工場へ運搬し、紙幣回収と、保守カードの作成し直しをすることになる。しかし、ＩＣカード積増機１を工場へ運搬する場合においても、運搬途中で紙幣の入ったＩＣカード積増機１が盗難され、紙幣盗難や不正操作による積み増しがなされる可能性もある。また、紙幣入りのＩＣカード積増機１を工場に持ち込んでも、係員側に管理権限のある紙幣を、工場がＩＣカード積増機１から取り出して係員に渡さなければならず、手間がかかるとともに、工場に持ち込んでいる間は、ＩＣカード積増機１を利用することができなくなる。

次に、以上のように保守カードを紛失してしまった場合においても、１回の使用制限があるワンタイムカードを用いて、セキュリティを確保しながら保守作業または紙幣回収を行うことができるＩＣカード積増機１について説明する。

ここで使用されるワンタイムカードは、発行者から発行されるパスワードをカード内に記憶しており、発行者から発行されるパスワードは、１回の使用制限がある。ＩＣカード積増機１は、電子マネー残高と、利用者を識別するための個人情報と、一般ＩＣカードを意味する識別子とが記憶されている一般カード、係員が入金集計や紙幣回収をするための暗号化された機器固有コードと保守カードを意味する識別子とが記憶されている保守カード、および保守カードを紛失してしまった場合に発行される１回限定のパスワードとワンタイムカードを意味する識別子とが記憶されたワンタイムカードを受け付けすることができるようになっている。

このため、ＩＣカード積増機１は、パスワード入力部を有し、保守カードを紛失してしまった場合に発行者から口頭および別な手段で伝えられた１回限定のパスワードを、パスワード入力部に直接手入力することにより、保守カードと同様に紙幣回収、入金集計、積増機能停止を行うことができる。なお、このパスワード入力部は、表扉の内部にあって保守作業をするのに必要な各種ボタンが利用される。また、発行者から発行される１回限定のパスワードは、制御部１９で解錠を判定するためにあらかじめメモリ２１に複数記憶していてもよい。

次に、ＩＣカード積増機１において、一般カード、保守カード、およびワンタイムカードを使用できるようにした制御部１９の処理動作について説明する。
図４ないし図６はＩＣカード積増機１の動作フローチャートである。

まず、ＩＣカード積増機１は電源が投入されると、ＩＣカード検出待機状態になる（ステップＳ３１）。このときに、ＩＣカード置き台１６に一般カードが置かれると、一般カードとリーダ・ライタ部１８とがアンテナ１７を介して無線間通信を行い、制御部１９はカード認証を始める（ステップＳ３２）。次に、制御部１９は一般カードであるとの認証がＯＫであるかを判定する（ステップＳ３３）。ここで、カード認証がＮＧなら、再び、ＩＣカード検出を待つ状態に戻る。認証ＯＫと判定された場合には、制御部１９はどのようなカードが検出されたのかをＩＣカードのカード種別で判定する（ステップＳ３４）。次に、カード種別の判定の結果、一般カードである場合は、制御部１９は一般カードからリーダ・ライタ部１８を介して電子マネー残高や個人情報などのカード情報を読み込む（ステップＳ３５）。このとき、ＩＣカード積増機１の操作表示部２の液晶表示器６に、電子マネー残高などの表示をしている。次に、制御部１９は利用金額の紙幣入金を待つことになる（ステップＳ３６）。紙幣入金がされると、制御部１９は一般カードに紙幣入金金額相当の電子マネー残高を積み増しするために、リーダ・ライタ部１８によって一般カードに書き込みを行う（ステップＳ３７）。次に、ＩＣカードに積み増した金額について領収書を発行する（ステップＳ３８）。制御部１９は領収書を発行した後、再び、ＩＣカード検出を待つ状態に戻る。

また、ステップＳ３４において、カード種別の判定の結果が保守カードである場合は、ＩＣカードから積増機固有のコードである識別番号を読み込む（ステップＳ３９）。この積増機固有の識別番号は、暗号化されているものとする。次に、制御部１９は、この保守カードがＩＣカード積増機１の保守作業を行うＩＣカードかを判断するため、暗号化されている積増機固有の識別番号を復号化して、メモリ２１内に記憶されている自機の識別番号と比較を行う（ステップＳ４０）。ここで識別番号が一致した場合には、制御部１９は入金部扉制御部１２へ解錠許可の信号を送り、これにより入金部扉制御部１２は紙幣収納庫１０または入金部７の扉の錠を解錠する（ステップＳ４１）。これにより、係員は紙幣収納庫１０または入金部７の扉を開けて保守作業または紙幣回収作業を行うことができるようになる。その後、制御部１９はＩＣカード積増機１内の入金の集計結果である入金明細を印刷部１３によって発行する（ステップＳ４２）。次に、制御部１９は保守作業または紙幣回収作業が完了し、係員により紙幣収納庫１０または入金部７の扉が閉鎖され、それによって入金部扉制御部１２が施錠したかを判定する（ステップＳ４３）。紙幣収納庫１０または入金部７の扉を施錠したことを確認した後、再び、ＩＣカード検出を待つ状態に戻る（ステップＳ３１）。また、ステップＳ４０において、カード固有機器コードが不一致の場合には、再び、ＩＣカード検出を待つ状態に戻る（ステップＳ３１）。

また、ステップＳ３４において、カード種別の判定の結果がワンタイムカードである場合は、制御部１９はワンタイムカード内に記憶しているパスワードコードを読み込む（ステップＳ４４）。このパスワードコードは、発行者から発行されたパスワードコードであり、使用回数は１回とする。次に、制御部１９は、このワンタイムカードが正しいＩＣカードであるかを判断するため、メモリ２１内に記憶されているパスワードコードと比較を行う（ステップＳ４５）。ここで、パスワードコードが一致した場合には、このパスワードを再び使用することができないように、制御部１９はワンタイムカード内の記憶データであるパスワードを消去し、ＩＣカード積増機１のメモリ２１内部のパスワードコードを消去する（ステップＳ４６）。次に、制御部１９は入金部扉制御部１２へ解錠許可の信号を送り、これにより入金部扉制御部１２は紙幣収納庫１０または入金部７の扉の錠を解錠する（ステップＳ４７）。これにより、係員は紙幣収納庫１０または入金部７の扉を開けて保守作業または紙幣回収作業を行うことができる。その後、制御部１９はＩＣカード積増機１内の入金の集計結果である入金明細を印刷部１３によって発行する（ステップＳ４８）。次に、ＩＣカード積増機１の不正利用を防止するために、制御部１９はＩＣカード積増機１の積増機能を停止する（ステップＳ４９）。また、ステップＳ４５において、パスワードコードが不一致の場合には、再び、ＩＣカード検出を待つ状態に戻る（ステップＳ３１）。

また、ステップＳ３１において、ＩＣカードの検出がない場合は、制御部１９はパスワード入力部にパスワードの直接入力があるかどうかをチェックする（ステップＳ５０）。このパスワードコードは、発行者から発行されたパスワードコードであり、使用回数は１回とする。ここで、パスワード入力がなければ、再び、ＩＣカード検出を待つ状態に戻る（ステップＳ３１）。ＩＣカード積増機１にパスワード入力があった場合には、このパスワードが正規のＩＣカードであるかを判定するため、制御部１９はメモリ２１内に記憶されているパスワードコードと比較を行う（ステップＳ５１）。ここで、パスワードコードが一致した場合には、このパスワードを再び使用することができないように、メモリ２１内部のパスワードコードを消去する（ステップＳ５２）。次に、制御部１９は入金部扉制御部１２へ解錠信号を送り、これにより入金部扉制御部１２は紙幣収納庫１０または入金部７の扉の錠を解錠する（ステップＳ５３）。これにより、係員は紙幣収納庫１０または入金部７の扉を開けて保守作業または紙幣回収作業を行うことができる。その後、制御部１９はＩＣカード積増機１内の入金の集計結果である入金明細を印刷部１３によって発行する（ステップＳ５４）。次に、ＩＣカード積増機１の不正利用を防止するために、制御部１９はＩＣカード積増機１の積増機能を停止する（ステップＳ５５）。また、ステップＳ５１において、パスワードコードが不一致の場合には、再び、ＩＣカード検出を待つ状態に戻る（ステップＳ３１）。

このように、この制御部１９の動作では、発行者が権限のある係員に１回限りのパスワードまたは、パスワードが記憶されているＩＣカードを発行して、紙幣収納庫１０から１度だけ紙幣回収を行うようにするとともに積増機能を停止することとした。これにより、係員が万が一、保守カードを紛失するようなことがあっても、紙幣収納庫１０内の紙幣の回収は支障なく行うことができる。また、ＩＣカード積増機１を工場へ輸送する場合においても、ＩＣカード積増機１を紙幣が入ったまま運送することはないので、運送途中に盗難があっても紙幣を奪われることがなく、また、積増機能を停止することで、ＩＣカード積増機１の不正利用も防げるので、セキュリティ性、保守性の向上したＩＣカード積増機が提供できる。

ところで、保守作業に対する操作可否を判断するための照合情報である有効な保守カードのリストあるいは無効な保守カードのリストは、あらかじめサーバ２３から配信されていてＩＣカード積増機１に固定で設定されているため、保守カードさえあれば、ＩＣカード積増機１や時間を選ばずに保守作業が可能であり、保守カードが一度盗難されてしまうと、すべてのＩＣカード積増機１が保守作業に対して脅威に曝されてしまうということになる。このため、保守カードを所持管理している係員は、常に盗難に対する脅威を抱えているといったことにもなる。

そこで、このようなサーバ２３から配信される照合情報をあらかじめ固定で記憶しておくのではなく、ネットワーク経由で配信される情報によって随時更新することにし、しかも保守カードの有効範囲に制限を設けることで、保守カードの盗難または紛失によるＩＣカード積増機１の不正使用を防止することができる。以下、その保守カードの盗難によるＩＣカード積増機１の不正使用を防止するようにした電子マネーシステムの具体例について説明する。

図７は電子マネーシステムのシステム構成図である。
この電子マネーシステムによれば、複数のＩＣカード積増機１−１〜１−ｎがネットワーク２２を介してセンタ２４に設置されたサーバ２３に接続されており、これら複数のＩＣカード積増機１−１〜１−ｎが設置されている複数の事務所２５−１〜２５−ｍには、それぞれ１台の申請端末２６−１〜２６−ｍが設置されていて、それぞれの申請端末２６−１〜２６−ｍは、サーバ２３に接続されている。また、それぞれのＩＣカード積増機１−１〜１−ｎには、保守作業を行うときに使用される保守パソコン２７を接続することができる。ここで、それぞれの事務所２５−１〜２５−ｍには、１台または複数台のＩＣカード積増機１−１〜１−ｎを設置することができ、保守カード２８は、通常、１つの事務所２５−１〜２５−ｍに対して１枚発行される。

保守作業を行う係員は、事務所２５−１〜２５−ｍに設置してある申請端末２６−１〜２６−ｍにて、保守作業を行うのに必要な情報、すなわち、保守作業を行うＩＣカード積増機１−１〜１−ｎ、利用する保守カード２８のＩＤ、保守作業を行う時間帯など（以降、申請情報とする。）を申請し、サーバ２３に登録する。サーバ２３は、それぞれの事務所２５−１〜２５−ｍから登録された申請情報を、該当するＩＣカード積増機１−１〜１−ｎに配信するようにする。ＩＣカード積増機１−１〜１−ｎは、配信された申請情報を基に照合情報を更新し、この情報を基に保守用カードの照合を行うことによって、保守作業に対するセキュリティを実現する。

このようにすることにより、係員は、保守作業を行う前に一時的に利用する保守カード２８などの申請情報を申請しておけば、作業完了後にカードの盗難または紛失にあったとしても、保守操作完了時に照合情報をクリアするなどの設定をしておけば、そのカードの有効範囲が切れるため、保守作業を行えなくすることが可能となる。

また、係員が申請後、保守作業に向かう間に保守カード２８の盗難または紛失にあった場合においても、保守操作が行えるＩＣカード積増機１−１〜１−ｎおよび時間帯などを申請時に申請情報として制限しているため、それ以外のＩＣカード積増機１−１〜１−ｎや時間帯については保守作業を行うことができなくなっているため、保守作業が行えるＩＣカード積増機１−１〜１−ｎを割り出すのが難しくなっている。

ここで、保守カード２８の有効範囲に制限を設ける申請情報としては、その一例として、利用できる保守カード２８を限定するカードＩＤ、保守作業を行うＩＣカード積増機１−１〜１−ｎを限定する端末ＩＤ（積増機固有の識別番号）、および保守作業を行うことができる時間帯を限定する作業時間を設定している。

次に、保守カード２８の有効範囲を限定した場合に実際に保守作業を行うことができるまでの流れについて図７を参照しながら説明する。
図８は保守作業のカードＩＤによる制限を説明する図である。

まず、特定の保守カード２８しか利用できなくする場合には、係員は、保守を行う際に使用する保守カード２８の情報（この場合は、カードＩＤ：０００１）をたとえば事務所２５−１に設置してある申請端末２６−１に対して申請を行う（ａ）。このとき、申請端末２６−１は、サーバ２３に対して登録申請を行い、サーバ２３はこれを受けてカードＩＤの申請情報の登録を行う（ｂ）。次に、サーバ２３は、ネットワーク２２を通じて、該当する端末（この例では、ＩＣカード積増機１−１）に照合に必要な情報（すなわち、カードＩＤ：０００１）を配信する（ｃ）。ＩＣカード積増機１−１は、配信された情報を基に照合情報を更新する（ｄ）。

ここで、保守作業を行う直前に、係員が利用する保守カード２８をＩＣカード積増機１−１のＩＣカード置き台１６に載置すると（ｅ）、ＩＣカード積増機１−１は、載置された保守カード２８のカードＩＤを読み取り、更新された照合情報のカードＩＤと照合する（ｆ）。このとき、載置された保守カード２８がカードＩＤ：０００１のＩＣカードならば、照合結果はＯＫとなって、係員は、保守作業に対する操作を行うことができるようになる。載置された保守カード２８がたとえばカードＩＤ：０００２のＩＣカードならば、照合結果はＮＧとなり、係員は、一切保守作業を行うことはできない。

このように、申請情報として、利用する保守カード２８のカードＩＤを事前に登録しておくことにより、他の保守カードでは保守作業を行うことができないようになり、保守作業を行うことができる保守カード２８を限定することが可能となる。

図９は保守作業の端末ＩＤによる制限を説明する図である。
保守作業を特定のＩＣカード積増機でしか利用できなくする場合には、まず、係員は、保守を行う端末の情報（この場合は、ＩＣカード積増機１−１の端末ＩＤ：１）をたとえば事務所２５−１に設置してある申請端末２６−１に対して申請を行う（ａ）。このとき、申請端末２６−１は、サーバ２３にその端末ＩＤの申請情報を登録する（ｂ）。次に、サーバ２３は、ネットワーク２２を通じて、該当する端末（この例では、ＩＣカード積増機１−１）に照合に必要な情報（すなわち、端末ＩＤ：１）を配信する（ｃ）。ＩＣカード積増機１−１は、配信された情報を基に照合情報を更新する（ｄ）。

ここで、保守作業を行う直前に、係員が利用する保守カード２８をＩＣカード積増機１−１のＩＣカード置き台１６に載置すると（ｅ）、ＩＣカード積増機１−１は、自機の端末ＩＤと照合情報の端末ＩＤとを照合する（ｆ）。ここで、ＩＣカード積増機１−１に固有の端末ＩＤと保守が許可された端末ＩＤとが一致すれば、係員は、保守作業に対する操作を行うことが可能になる。もちろん、端末ＩＤ：１以外の端末ＩＤを有する他のＩＣカード積増機１−２〜１−ｎについては、照合結果はＮＧになるので、係員は、一切保守作業を行うことはできない。

このように、申請情報として、保守作業を行う予定のＩＣカード積増機の端末ＩＤを事前に登録しておくことにより、他のＩＣカード積増機では保守作業を行うことができないようになり、保守作業を行うことができるＩＣカード積増機を限定することが可能となる。

図１０は保守作業の作業時間による制限を説明する図である。
保守作業を特定の時間帯でしか行うことができないようにする場合には、まず、係員は、保守を行う作業時間帯の情報（この場合は、作業時間：１８：００〜２０：００）をたとえば事務所２５−１に設置してある申請端末２６−１に対して申請を行う（ａ）。このとき、申請端末２６−１は、サーバ２３にその作業時間帯の申請情報を登録する（ｂ）。次に、サーバ２３は、ネットワーク２２を通じて、該当する端末（この例では、ＩＣカード積増機１−１）に照合に必要な情報（この例では、作業時間：１８：００〜２０：００）を配信する。ＩＣカード積増機１−１は、配信された情報を基に照合情報を更新する（ｄ）。

ここで、保守作業を行う直前に、係員が利用する保守カード２８をＩＣカード積増機１−１のＩＣカード置き台１６に載置すると（ｅ）、ＩＣカード積増機１−１は、内蔵の時計の現在時刻と照合情報の作業時間とを照合する（ｆ）。内蔵の時計がたとえば１９時であった場合、その時間は、照合情報で指定された時間帯に入っているので、係員は、保守作業に対する操作を行うことが可能になる。ＩＣカード積増機１−１に内蔵の時計がたとえば２１時であった場合には、その時間は、照合情報で指定された時間帯から外れた時刻であるため、照合結果はＮＧになり、係員は、一切保守作業を行うことはできない。

このように、申請情報として、保守作業を行う予定の時間帯を事前に登録しておくことにより、その指定された時間帯以外の時間帯では保守作業を行うことができないようになり、保守作業を行うことができる作業時間帯を限定することが可能となる。

保守作業に対するセキュリティ確保のために、利用する保守カード、保守作業をしたいＩＣカード積増機、さらには作業時間帯の情報を申請し、これらの情報をネットワークを通じて配信することにより、保守カードの有効範囲を制限できるというメリットがある。また、利用する保守カードを指定できるため、保守カードを使い回すことができ、保守カードの作成枚数を減らすことができる。

なお、上述の実施の形態では、申請情報として、カードＩＤ、端末ＩＤまたは作業時間を単独で指定する場合について説明したが、これらを組み合わせて申請情報とすると、保守作業に対するセキュリティをさらに高めることが可能である。

ＩＣカード積増機の構成を示すブロック図である。 ＩＣカード積増機の概観斜視図である。 不正開放検出処理の流れを示すフローチャートである。 ＩＣカード積増機の動作フローチャート（その１）である。 ＩＣカード積増機の動作フローチャート（その２）である。 ＩＣカード積増機の動作フローチャート（その３）である。 電子マネーシステムのシステム構成図である。 保守作業のカードＩＤによる制限を説明する図である。 保守作業の端末ＩＤによる制限を説明する図である。 保守作業の作業時間による制限を説明する図である。

符号の説明

１，１−１〜１−ｎ ＩＣカード積増機
２ 操作表示部
３ 積増額ボタン
４ 取消ボタン
５ 領収書ボタン
６ 液晶表示器（ＬＣＤ）
７ 入金部
８ 紙幣入金口
９ 紙幣鑑別部
１０ 紙幣収納庫
１１ 紙幣出金口
１２ 入金部扉制御部
１３ 印刷部
１４ 領収書発行口
１５ 表扉制御部
１６ ＩＣカード置き台
１７ アンテナ
１８ リーダ・ライタ部
１９ 制御部
２０ 電源部
２１ メモリ
２２ ネットワーク
２３ サーバ
２４ センタ
２５−１〜２５−ｍ 事務所
２６−１〜２６−ｍ 申請端末
２７ 保守パソコン
２８ 保守カード

Claims (10)

1. 投入された紙幣を識別して収納する入金部と、ＩＣカードへの書き込み・読み込みをするリーダ・ライタ部と、前記ＩＣカードに対して前記入金部による投入紙幣の金額分を前記リーダ・ライタ部によって積み増しするよう制御する制御部とを備えたＩＣカード積増機において、
   前記制御部は、前記リーダ・ライタ部によって検出された前記ＩＣカードが正当な保守カードであるとき、表扉の電気錠を解錠させる機能と、前記リーダ・ライタ部によって正当な保守カードが検出されていない間に前記表扉が開けられたとき、運用を禁止、あるいは、プログラム・データの一部または全部を消去する機能と、前記リーダ・ライタ部によって検出された前記ＩＣカードが１回だけ解錠可能なパスワード情報を記憶したワンタイムカードを検出したとき、前記パスワード情報が前記ワンタイムカードの発行時に伝えられてあらかじめ前記制御部に記憶されているパスワードと一致したときのみ前記入金部の紙幣回収のための扉を解錠させる機能と、前記ワンタイムカードを受け付けたことにより前記ワンタイムカード内部のパスワード情報を消去させる機能と、前記ワンタイムカードを受け付けたことにより積増機能を停止させる機能とを有していることを特徴とするＩＣカード積増機。
2. 前記制御部は、前記表扉の前記電気錠を解錠した後、保守作業を許可するようにしたことを特徴とする請求項１記載のＩＣカード積増機。
3. 前記制御部は、前記リーダ・ライタ部によって正当な保守カードが検出されていない間に前記表扉が開けられたとき、プログラムの動作を停止するようにしたことを特徴とする請求項１記載のＩＣカード積増機。
4. 前記ワンタイムカードは、前記ＩＣカード積増機の機器ごとに異なるパスワード情報を記憶していることを特徴とする請求項１記載のＩＣカード積増機。
5. 投入された紙幣を識別して収納する入金部、ＩＣカードに対して前記入金部による投入紙幣の金額分を積み増しするリーダ・ライタ部を有するＩＣカード積増機と、ネットワークを介して前記ＩＣカード積増機を管理するサーバとを備えた電子マネーシステムにおいて、
   前記ＩＣカード積増機は、前記リーダ・ライタ部によって検出された前記ＩＣカードが前記サーバから配信された有効な保守カードのリストとの照合により正当な保守カードであることを認証したとき、表扉の電気錠を解錠させる機能と、前記リーダ・ライタ部によって正当な保守カードが検出されていない間に前記表扉が開けられたとき、運用を禁止、あるいは、プログラム・データの一部または全部を消去する機能と、前記リーダ・ライタ部によって検出された前記ＩＣカードが１回だけ解錠可能なパスワード情報を記憶したワンタイムカードを検出したとき、前記パスワード情報が前記ワンタイムカードの発行時に伝えられてあらかじめ前記ＩＣカード積増機に記憶されているパスワードと一致したときのみ前記入金部の紙幣回収のための扉を解錠させる機能と、前記ワンタイムカードを受け付けたことにより前記ワンタイムカード内部の前記パスワード情報を消去させる機能と、前記ワンタイムカードを受け付けたことにより積増機能を停止させる機能とを有していることを特徴とする電子マネーシステム。
6. 前記ＩＣカード積増機は、前記リーダ・ライタ部によって検出された前記ＩＣカードが正当な保守カードであることを認証できなかったとき、前記ネットワークを介して前記サーバに異常を通知するようにしたことを特徴とする請求項５記載の電子マネーシステム。
7. 保守作業を行うのに必要な申請情報を前記サーバに申請する申請端末をさらに備え、
   前記サーバは、前記申請端末から申請された前記申請情報を登録して該当する前記ＩＣカード積増機に配信し、
   前記ＩＣカード積増機は、前記サーバから配信された前記申請情報を基に前記保守カードの有効範囲に制限を設けるようにしたことを特徴とする請求項５記載の電子マネーシステム。
8. 前記申請情報は、前記保守作業に利用できる前記保守カードを限定したカードＩＤであることを特徴とする請求項７記載の電子マネーシステム。
9. 前記申請情報は、前記保守作業を行う前記ＩＣカード積増機を限定した端末ＩＤであることを特徴とする請求項７記載の電子マネーシステム。
10. 前記申請情報は、前記保守作業を行うことができる時間帯を限定した作業時間であることを特徴とする請求項７記載の電子マネーシステム。

Images