JP4894254B2 - 認証システム、認証装置、認証方法及び認証プログラム - Google Patents

Description

本発明は認証システム、認証装置、認証方法及び認証プログラムに関し、例えば銀行等におけるＡＴＭ（Automatic Teller Machine）を利用するユーザの本人認証を行う際のセキュリティ向上技術に関する。

従来、銀行等の金融機関では、ＡＴＭをユーザが操作することにより、当該ユーザの預金口座からの預金払戻や他の口座への振込等といった当該預金口座の各種運用処理を行い得るようになされている。

実際上、金融機関において各ユーザの預金口座を管理する預金口座管理システムでは、各ユーザの預金口座に関する情報をホストコンピュータによって管理しており、また本人認証を行う際における照合用のテンプレートデータとして、数字４桁の暗証番号を予め預金口座のユーザに設定させ登録しておくようになされている。

この預金口座管理システムでは、ユーザがＡＴＭを操作する際、予めユーザ用に発行したキャッシュカードによって口座番号を認識すると共に本人認証用のチャレンジデータとして用いる暗証番号を当該ユーザに入力させ、当該チャレンジデータの暗証番号をテンプレートデータの暗証番号と照合することにより、ユーザ本人を認証するようになされている。

さらに預金口座管理システムのなかには、預金を引き出し得る時間帯の制限等のような使用可能条件を予めユーザに設定させておくことにより、当該ユーザが気づかないうちに第三者によって預金が引き出される危険性を低減するようになされたものも提案されている（例えば、特許文献１参照）。
特開２００４−３２６５０９公報（第９頁、第１図）

しかしながら、かかる構成の預金口座管理システムでは、使用可能条件の設定や変更の際、預金引出時と同様の本人認証手法、すなわちキャッシュカードに記録された口座番号と暗証番号との組み合わせにより本人認証を行うようになされている。

この場合、第三者がキャッシュカードを入手すると共に暗証番号を知ることができれば、預金の引出だけでなく、使用可能条件の設定や変更もできることになる。すなわち預金口座管理システムでは、仮に第三者にキャッシュカードが盗難又は偽造されて暗証番号も知られてしまった場合、当該第三者により使用可能条件が変更された後に預金が不正に引き出されてしまう可能性がある。すなわち預金口座管理システムでは、設定された使用可能条件が有効に機能しない可能性があり、セキュリティが不十分であるという問題があった。

本発明は以上の点を考慮してなされたもので、第三者に不正利用される可能性を格段に低減し得る認証システム、認証装置、認証方法及び認証プログラムを提案しようとするものである。

かかる課題を解決するため本発明の認証システムにおいては、正当ユーザの金銭を電子データ化し当該正当ユーザに個別に割り当てた電子マネーを表す電子マネーデータを記憶する端末装置と、電子マネーによる商取引を行う商取引装置とを有する認証システムであって、商取引装置は、端末装置が近接されると当該端末装置との間で通信処理を行う通信対応部を有し、端末装置は、予め電子マネーデータに対する決済の金額とユーザの認証処理に用いる複数種類の認証手法との対応付けを、当該決済の金額が大きくなるに連れて、認証手法において他のユーザを正当ユーザとして認証させる不正認証の困難さが高くなるように対応付けられた対応情報として記憶する記憶部と、商取引装置へ近接されたときに電子マネーによる決済に関する情報を授受する通信部と、ユーザの指示に基づき第１の認証手法を選択する第１選択部と、選択された第１の認証手法に従い、ユーザから取得した照合用のチャレンジデータと正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいてユーザが正当ユーザであることを認証する第１認証部と、第１の認証手法によりユーザが正当ユーザであることが認証された場合には処理を続行し、認証されなかった場合には処理を終了する第１処理実行部と、端末装置を商取引装置の通信対応部へ近接させ、当該通信対応部から通信部を介して商取引における決済の金額を受信する金額受信部と、対応情報に基づき、複数の認証手法のうち決済の金額に対応する第２の認証手法を選択する第２選択部と、対応情報を基に、第１の認証手法により決済可能な金額の上限が、決済の金額以上であるか否かを判定する判定部と、第１の認証手法により決済可能な金額の上限が決済の金額未満であった場合、選択された第２の認証手法に従い、ユーザから取得した照合用のチャレンジデータと正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいてユーザが正当ユーザであることを認証する第２認証部と、第１の認証手法により決済可能な金額の上限が決済の金額以上であった場合には第１の認証手法により、それ以外の場合には第２の認証手法により、それぞれユーザが正当ユーザであることが認証された場合、通信部を介し商取引装置との間で決済の処理を実行する第２処理実行部とを設けるようにした。

これにより、端末装置において電子マネーによる決済金額の大きさ応じた認証手法に従いユーザを認証することができるので、決済金額に見合った不正認証の困難さを担保しながら決済できると共に、決済処理の初期段階で端末装置において予め認証した認証手法により決済可能な金額の上限が実際の決済の金額以上であれば、再度の認証の手間を省略して１回近接させるだけで商取引装置との間で直ちに決済処理を完了でき、当該決済の金額未満であれば、その金額に見合った認証手法により改めてユーザを認証することができる。

また本発明の認証装置、認証方法及び認証プログラムにおいては、予め正当ユーザの金銭を電子データ化し当該正当ユーザに個別に割り当てた電子マネーを表す電子マネーデータに対する決済の金額とユーザの認証処理に用いる複数種類の認証手法との対応付けが、当該決済の金額が大きくなるに連れて、認証手法において他のユーザを正当ユーザとして認証させる不正認証の困難さが高くなるように示された対応情報を基に、ユーザの指示に基づき第１の認証手法を選択し、選択された第１の認証手法に従い、ユーザから取得した照合用のチャレンジデータと正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいてユーザが正当ユーザであることを認証し、第１の認証手法によりユーザが正当ユーザであることが認証された場合には決済の処理を続行し、認証されなかった場合には決済の処理を終了し、電子マネーによる商取引を行うと共に所定の通信対象が近接されると当該通信対象との間で通信処理を行う通信対応部を有する商取引装置へ近接させ、当該通信対応部から、電子マネーによる決済に関する情報を授受する通信部を介して、当該商取引における決済の金額を受信し、対応情報に基づき、複数の認証手法のうち決済の金額に対応する第２の認証手法を選択し、対応情報を基に、第１の認証手法により決済可能な金額の上限が、決済の金額以上であるか否かを判定し、第１の認証手法により決済可能な金額の上限が決済の金額未満であった場合、選択された第２の認証手法に従い、ユーザから取得した照合用のチャレンジデータと正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいてユーザが正当ユーザであることを認証し、第１の認証手法により決済可能な金額の上限が決済の金額以上であった場合には第１の認証手法により、それ以外の場合には第２の認証手法により、それぞれユーザが正当ユーザであることが認証された場合、通信部を介し商取引装置との間で決済の処理を実行するようにした。

これにより、電子マネーによる決済金額の大きさ応じた認証手法に従いユーザを認証することができるので、決済金額に見合った不正認証の困難さを担保しながら決済できると共に、決済処理の初期段階で予め認証した認証手法により決済可能な金額の上限が実際の決済の金額以上であれば、再度の認証の手間を省略して１回近接させるだけで商取引装置との間で直ちに決済処理を完了でき、当該決済の金額未満であれば、その金額に見合った認証手法により改めてユーザを認証することができる。

本発明によれば、端末装置において電子マネーによる決済金額の大きさ応じた認証手法に従いユーザを認証することができるので、決済金額に見合った不正認証の困難さを担保しながら決済できると共に、決済処理の初期段階で端末装置において予め認証した認証手法により決済可能な金額の上限が実際の決済の金額以上であれば、再度の認証の手間を省略して１回近接させるだけで商取引装置との間で直ちに決済処理を完了でき、当該決済の金額未満であれば、その金額に見合った認証手法により改めてユーザを認証することができる。かくして本発明は、第三者に不正利用される可能性を格段に低減し得る認証システムを実現できる。

また本発明によれば、電子マネーによる決済金額の大きさ応じた認証手法に従いユーザを認証することができるので、決済金額に見合った不正認証の困難さを担保しながら決済できると共に、決済処理の初期段階で予め認証した認証手法により決済可能な金額の上限が実際の決済の金額以上であれば、再度の認証の手間を省略して１回近接させるだけで商取引装置との間で直ちに決済処理を完了でき、当該決済の金額未満であれば、その金額に見合った認証手法により改めてユーザを認証することができる。かくして本発明は、第三者に不正利用される可能性を格段に低減し得る認証装置、認証方法及び認証プログラムを実現できる。

以下、図面について、本発明の一実施の形態を詳述する。

（１）第１の実施の形態
（１−１）預金口座管理システムの構成
（１−１−１）全体構成
図１において、認証システムとしてのＡＴＭシステム１は、ユーザ４の金銭を預かる預金口座をデータとして管理するホストコンピュータ２と、銀行の店舗等に設置され当該ホストコンピュータ２にオンライン接続されているＡＴＭ３とによって構成されている。

ＡＴＭシステム１では、預金口座を開設したユーザ４に対してキャッシュカード５を発行しており、当該ユーザ４が預金口座から預金を引き出す際には、ＡＴＭ３に当該キャッシュカード５を挿入させ、数字４桁でなる暗証番号を入力させることにより、当該ユーザ４を認証した上で金銭を提供するようになされている。

さらにＡＴＭシステム１では、ユーザ４に対する本人認証の精度を向上させるべく、数字４桁でなる暗証番号以外にも、英数字８桁でなるパスワード（以下、暗証番号やパスワード等のようにユーザがキー入力する情報を入力情報と呼ぶ）、あるいは指先の指紋パターンや手の平の静脈パターン等の生体情報を用いるようになされている（詳しくは後述する）。

ちなみにＡＴＭシステム１では、実際には１台のホストコンピュータ２に対して複数台のＡＴＭ３が接続されるようになされているが、説明の都合上、図１においてはＡＴＭ３を１台のみ示している。

（１−１−２）ホストコンピュータの構成
図２に示すように、ホストコンピュータ２は、ＣＰＵ（Central Processing Unit）構成でなる制御部１０によって全体を統括制御するようになされており、当該制御部１０に対しバス１１を介して、ハードディスクドライブでなり各種プログラムやユーザの預金口座に関する情報を記憶する記憶部１２、ＡＴＭ３と通信接続するためのＡＴＭインタフェース１３、及びデータベースのバックアップを行うためのバックアップコンピュータ（図示せず）等と通信接続するためのネットワークインタフェース１４が接続されている。

制御部１０は、図示しないＲＯＭ（Read Only Memory）及びＲＡＭ（Random Access Memory）を有しており、当該ＲＯＭや記憶部１２のプログラム記憶領域１２Ａから読み出したＯＳ（Operating System）や預金口座管理プログラム等の各種プログラムを当該ＲＡＭに展開して実行することにより、各種機能を実現するようになされている。

実際上制御部１０は、ＡＴＭインタフェース１３を介して接続されたＡＴＭ３（図１）からユーザ認証処理等の処理要求を受信すると、記憶部１２から当該処理要求に必要な情報を読み出し、当該処理要求に応じた演算処理を実行した後、その実行結果を当該ＡＴＭインタフェース１３を介してＡＴＭ３へ送信するようになされている。

なお記憶部１２のデータベース記憶領域１２Ｂには、預金口座に関する情報として、口座番号及び残高が記憶される他、暗証番号、パスワード、及び予めユーザ４から採取した指先の指紋パターンや手の平の静脈パターン等の生体情報のような、本人認証の際に照合に用いられるテンプレートデータ等が格納された個別データとしての預金口座データベース（詳しくは後述する）が記憶されるようになされている。

（１−１−３）ＡＴＭの構成
図３に示すようにＡＴＭ３は、ＣＰＵ構成でなる制御部２０によって全体を統括制御するようになされており、当該制御部２０に対しバス２１を介して、ハードディスクドライブでなり各種プログラム等を記憶する記憶部２２、キャッシュカード５のＩＣ（Integrated Circuit）チップ５Ａに記録された口座番号等の情報を読み取るカード読取部２３、タッチパネルでなりユーザ４に各種情報を提示すると共に当該ユーザ４による入力操作を受け付ける表示入力部２４、ユーザ４の生体情報（バイオメトリクス情報）を取得するための生体情報取得部２５、ホストコンピュータ２（図１）と通信接続するためのＡＴＭインタフェース２６、及びユーザ４に対して金銭を提供するための金銭提供部２７が接続されている。

制御部２０は、ホストコンピュータ２の制御部１０（図２）と同様、図示しないＲＯＭ及びＲＡＭを有しており、当該ＲＯＭや記憶部２２から読み出した預金口座管理プログラム等の各種プログラムを当該ＲＡＭに展開して実行することにより、各種機能を実現するようになされている。

生体情報取得部２５は、所定のセンサやスキャナ等を有しており、本人認証の際にテンプレートデータと照合するためのユーザ４のデータ（以下、これをチャレンジデータと呼ぶ）として用いるために、当該ユーザの指先の指紋パターンや手の平の静脈パターン等、複数種類の生体情報を取得できるようになされている。

（１−２）操作指示の重要度と認証手法のセキュリティレベルとの対応関係
ところでＡＴＭシステム１では、通常、ＡＴＭ３を介してユーザ４が預金口座から自在に預金を引き出し得るようになされているものの（以下、この状態を通常状態と呼ぶ）、セキュリティの観点から、各預金口座に対して、一時的に預金の引出を禁止するロック状態にも設定できるようになされている。

実際上ＡＴＭシステム１では、預金口座に対してユーザ４が予め利用停止金額（例えば８万円）を設定できるようになされており、当該預金口座から当該利用停止金額以上の金額（例えば１０万円）が引き出されようとした時点で自動的に当該預金口座をロック状態に設定し、別途ロック解除操作がなされるまで当該ロック状態を保持するようになされている。

またＡＴＭシステム１では、利用停止金額以上の金額が引き出されようとした時点で預金口座をロック状態に設定した際、電子メール等の通知手段によって当該預金口座がロック状態に設定されたことを正当なユーザ４に通知するようになされている。

さらにＡＴＭシステム１では、ＡＴＭ３を操作しているユーザ４の本人認証を行う際、預金引出操作やロック解除操作等といった操作指示の種類によって異なる認証手法を選択するようになされている。

ここで、ＡＴＭシステム１における各認証手法の種類と操作指示の種類との対応関係を図４に示す。この場合、「暗証番号」はユーザ４が数字４桁を入力するものであり、「パスワード」はユーザ４が英数字８桁を入力するものであり、「指紋パターン」はユーザ４が先天的に有する指先表面の指紋のパターンであり、「静脈パターン」はユーザ４が先天的に有する手先内部の静脈のパターンである。

すなわち、第三者を正当なユーザとして不正に認証させる不正認証の困難さに関して各認証手法を順序づけると、図４に示したように「暗証番号」、「パスワード」、「指紋パターン」、「静脈パターン」、「バイオメトリクス情報とパスワードの組み合わせ」及び「複数のバイオメトリクス情報の組み合わせ」の順にセキュリティレベル（不正認証の難易度）が高くなる。

さらに各認証手法に関して、テンプレートデータとチャレンジデータとの照合処理に要する処理負荷の大きさを比較すると、実際に照合するデータの量や性質等から、各データ図４に示した「暗証番号」、「パスワード」、「指紋パターン」、「静脈パターン」、「バイオメトリクス情報とパスワードの組み合わせ」及び「複数のバイオメトリクス情報の組み合わせ」の順に処理負荷が大きくなる。

ところでＡＴＭシステム１では、できるだけセキュリティレベルが高い認証手法を用いることが望ましいが、当該セキュリティレベル（不正認証の難易度）の高さに比例して認証時の照合処理が複雑化し、ホストコンピュータ２及びＡＴＭ３の処理負荷が大きくなってしまう。

実際上、ＡＴＭシステム１におけるホストコンピュータ２及びＡＴＭ３の処理能力には上限があるため、認証時の照合処理における処理負荷が増加するとユーザ４を待たせる時間が長くなってしまい、また処理負荷が大幅に増加した場合にオーバーフローやシステムダウンを引き起こしてしまう可能性もある。

一方、ＡＴＭ３を介してユーザ４から預金口座に対する操作指示を当該預金口座に及ぼす影響が大きくなる順、すなわち重要度が大きくなる順に並べると、図４に示したように、預金引出操作、ロック条件変更操作及びロック解除操作の順となる。

この場合、預金引出操作は予め設定された利用停止金額未満の範囲で預金を引き出し得る操作であるため、相対的な重要度が小さくなっており、ロック条件変更操作は利用停止金額を変更する操作であるため、相対的な重要度がやや大きく、またロック解除操作は事実上制限無く預金を引き出し得る操作であるため、相対的な重要度が最も大きくなっている。

ここでＡＴＭシステム１では、重要度が大きい操作指示に対してセキュリティレベルが高く不正認証の困難さが高い認証手法を用いることが望ましく、一方、重要度が小さい操作指示に対して処理負荷が小さく照合処理に要する時間が短い認証手法を用いることが望ましい。

そこでＡＴＭシステム１では、ユーザ４が預金口座から預金を引き出す際には、数字４桁でなる暗証番号を用いた本人認証を行い、また当該ユーザ４が預金口座について利用停止金額を設定または変更する際には（以下、この操作をロック条件変更操作と呼ぶ）、指紋パターンを用いた本人認証を行い、さらにユーザ４が預金口座をロック状態から通常状態に遷移するためのロック解除操作を行う際には、手の平の静脈パターンを用いた本人認証を行うようになされている。

実際上ＡＴＭシステム１では、図５に示すような、操作指示の内容と認証手法の種類とを対応付けた対応情報としての認証手法テーブルＴＢＬ１をホストコンピュータ２の記憶部１２及びＡＴＭ３の記憶部２２に記憶しており、当該認証手法テーブルＴＢＬ１に従って各操作指示の内容に応じた認証手法を選択する。

これによりＡＴＭシステム１では、比較的重要度が低い預金引出操作に対して照合時の処理負荷を小さく抑えることができ、一方比較的重要度が高いロック解除操作に対して難易度を高めることができる。

またホストコンピュータ２は、記憶部１２のデータベース記憶領域１２Ｂに記憶している預金口座データベースにおいて、図６に示すように、各預金口座に対して、データベースの管理に用いる「ＩＤ」、「口座番号」、「残高」、通常状態又はロック状態のいずれであるかを示す「口座状態」、「利用停止金額」、照合時にテンプレートデータとして用いる「暗証番号」、「パスワード」、「指紋パターン」及び「静脈パターン」といった項目のデータを格納し、さらにユーザ４（図１）の連絡先に関して「ユーザ名」、「電子メールアドレス」、「電話番号」及び「住所」といった項目のデータを格納するようになされている。

ちなみにＡＴＭシステム１では、預金口座からの預金の引出のみでなく、他の預金口座への振り込み等、当該預金口座から残高を減額するような種々の運用操作においても利用停止金額を超えた時点で当該預金口座をロック状態に設定するようになされており、振り込み等の他の運用操作についても預金の引出の場合と同様の処理を行うようになされている。

（１−３）預金口座に対する操作指示とその対応処理
（１−３−１）預金引出処理
次に、ＡＴＭシステム１においてユーザ４が預金口座から預金を引き出す際の、ＡＴＭ３による操作指示受付処理及びホストコンピュータ２による預金引出処理について、図７及び図８に示すフローチャートを用いて説明する。

ＡＴＭ３の制御部２０は、ユーザ４による操作指示を待ち受ける状態で待機しており、当該ユーザ４によりカード読取部２３にキャッシュカード５が挿入されると、操作受付処理手順ＲＴ１（図７）を開始してステップＳＰ１へ移る。ステップＳＰ１においてＡＴＭ３の制御部２０は、カード読取部２３を介してキャッシュカード５から口座番号を読み出し、次のステップＳＰ２へ移る（以下、この口座番号に対応した預金口座を対象預金口座と呼ぶ）。

ステップＳＰ２において制御部２０は、表示入力部２４に「預金引出」、「ロック条件変更」、及び「ロック解除」といった対象預金口座に対する操作指示項目が提示されたメニュー画面を表示し、ユーザ４に当該操作指示項目のなかからいずれか１項目を選択させ、次のステップＳＰ３へ移る。

ステップＳＰ３において制御部２０は、ステップＳＰ２においてユーザ４に選択された操作指示項目（以下、これを選択項目と呼ぶ）が「預金引出」、「ロック条件変更」、又は「ロック解除」のいずれであるかを判定し、当該選択項目が「預金引出」であった場合、預金引出処理を実行するべく、次のステップＳＰ４へ移る。

ステップＳＰ４において制御部２０は、認証手法テーブルＴＢＬ１（図５）に従い、表示入力部２４を介してユーザ４に数字４桁の暗証番号を入力させ、このとき入力された暗証番号を以降の照合処理でテンプレートデータと照合するためのチャレンジデータとし、さらに当該表示入力部２４を介して引出希望額を入力させて、次のステップＳＰ５へ移る。

ステップＳＰ５において制御部２０は、ホストコンピュータ２に対して預金引出処理を開始させるための預金引出指示、口座番号、数字４桁の暗証番号でなるチャレンジデータ及び引出希望金額をホストコンピュータ２へ送信し、次のステップＳＰ６へ移る。

これに応じてホストコンピュータ２の制御部１０は、ＡＴＭ３から送信された預金引出指示に基づき預金引出処理手順ＲＴ２（図８）を開始してステップＳＰ２１へ移る。ステップＳＰ２１において制御部１０は、ＡＴＭ３から送信された口座番号、数字４桁の暗証番号でなるチャレンジデータ及び引出希望金額を受信し、次のステップＳＰ２２へ移る。

ステップＳＰ２２において制御部１０は、口座番号を基に、記憶部１２のデータベース記憶領域１２Ｂ（図２）に記憶している預金口座データベースから対象預金口座の口座状態（通常状態又はロック状態のいずれか）、暗証番号のテンプレートデータ、利用停止金額及び残高を読み出し、次のステップＳＰ２３へ移る。

ステップＳＰ２３において制御部１０は、口座状態を基に預金口座がロック状態であるか否かを判定する。ここで肯定結果が得られると、このことは対象預金口座において以前に利用停止金額以上の預金が引き出されようとしたためにロック状態となり、未だロック解除されていないことを表しており、このとき制御部１０は、次のステップＳＰ２４へ移る。

ステップＳＰ２４において制御部１０は、預金の引出を禁止する旨の情報である引出不可情報に対象預金口座がロック状態である旨の情報を付加してＡＴＭ３へ送信し、次のステップＳＰ３３へ移ってこの預金引出処理手順ＲＴ２を終了する。

一方ステップＳＰ２３において否定結果が得られると、このことは預金口座が通常状態であり預金の引出が許可されていることを表しており、このとき制御部１０は次のステップＳＰ２５へ移る。

ステップＳＰ２５において制御部１０は、ＡＴＭ３から受信した暗証番号のチャレンジデータ及び預金口座データベースから読み出した暗証番号のテンプレートデータに対して所定の照合処理を実行することにより両者が一致するか否かを検証し、次のステップＳＰ２６へ移る。

ステップＳＰ２６において制御部１０は、ステップＳＰ２５においてチャレンジデータとテンプレートデータとが一致したか否かを判定する。ここで否定結果が得られると、このことは暗証番号が一致しなかったために本人認証に失敗したことを表しており、このとき制御部１０は次のステップＳＰ２７へ移る。

ステップＳＰ２７において制御部１０は、暗証番号が一致しなかった旨の情報を付加して引出不可情報をＡＴＭ３へ送信し、次のステップＳＰ３３へ移ってこの預金引出処理手順ＲＴ２を終了する。

一方ステップＳＰ２６において肯定結果が得られると、このことは対象預金口座が通常状態であり暗証番号が一致したために預金を引き出し得る状態にあることを表しており、このとき制御部１０は、次のステップＳＰ２８へ移る。

ステップＳＰ２８において制御部１０は、ＡＴＭ３から受信した引出希望金額が利用停止金額以上であるか否かを判定する。ここで肯定結果が得られると、このことはＡＴＭ３を操作しているユーザ４が対象預金口座の正当なユーザでは無く、キャッシュカード５及び暗証番号を不正に入手した上で、利用停止金額を知らずに当該利用停止金額以上の金額を引出希望金額とした可能性が高いことを表しており、このとき制御部１０は次のステップＳＰ２９へ移る。

ステップＳＰ２９において制御部１０は、預金口座データベースの「口座状態」の項目を「通常状態」から「ロック状態」に更新することにより預金口座をロック状態に設定すると共に、引出不可情報に対象預金口座がロック状態である旨の情報を付加してＡＴＭ３へ送信し、さらに預金口座データベースの「電子メールアドレス」項目に登録されている電子メールアドレスに対象預金口座がロック状態に設定された旨の電子メールを送信した後、次のステップＳＰ３３へ移ってこの預金引出処理手順ＲＴ２を終了する。

一方ステップＳＰ２８において否定結果が得られると、このことはＡＴＭ３を操作しているユーザ４が対象預金口座の正当なユーザあり、利用停止金額を知った上で当該利用停止金額未満の金額を引出希望金額とした可能性が高いことを表しており、このとき制御部１０は、対象預金口座を通常状態としたまま次のステップＳＰ３０へ移る。

ステップＳＰ３０において制御部１０は、引出希望金額が残高以下であるか否かを判定する。ここで否定結果が得られると、このことは残高不足であるために引出希望金額の預金を引き出し得ないことを表しており、このとき制御部１０は、残高不足である旨の情報を付加して引出不可情報をＡＴＭ３へ送信し、次のステップＳＰ３３へ移ってこの預金引出処理手順ＲＴ２を終了する。

一方ステップＳＰ３０において肯定結果が得られると、このことは引出希望金額の預金を引き出し得ることを表しており、このとき制御部１０は、次のステップＳＰ３２へ移る。

ステップＳＰ３２において制御部１０は、預金口座データベースの「残高」の項目において直前の残高から引出希望金額を差し引くことにより当該「残高」の項目を更新すると共に、預金の引出を許可する旨の情報である引出可情報をＡＴＭ３へ送信した後、次のステップＳＰ３３へ移ってこの預金引出処理手順ＲＴ２を終了する。

これに応じてＡＴＭ３の制御部２０は、ステップＳＰ６（図７）においてホストコンピュータ２からの返信として引出不可情報又は引出可情報を受信し、次のステップＳＰ７へ移る。

ステップＳＰ７において制御部２０は、ステップＳＰ６において引出可情報を受信したか否かを判定する。ここで肯定結果が得られると、このことは預金口座がロック状態ではなく、暗証番号により本人認証に成功し、引出希望金額が利用停止金額未満かつ残高以下であったために当該引出希望金額の金銭をユーザ４に提供すべきであることを表しており、このとき制御部２０は次のステップＳＰ８へ移る。

ステップＳＰ８において制御部２０は、金銭提供部２７（図３）から引出希望金額の金銭をユーザ４に提供し、次のステップＳＰ９へ移る。

一方ステップＳＰ７において否定結果が得られると、このことはホストコンピュータ２から引出不可情報を取得したためにユーザ４に金銭を提供できないことを表しており、このとき制御部２０は次のステップＳＰ９へ移る。

ステップＳＰ９において制御部２０は、ホストコンピュータ２から引出不可情報を取得した場合には当該引出不可情報に含まれるロック状態に設定された旨や残高不足である旨等を表示入力部２４に表示し、また引出可情報を取得して金銭をユーザ４に提供した場合には引出後の残高を当該表示入力部２４に表示して、さらにキャッシュカード５をカード読取部２３から排出してユーザ４に返却した後、次のステップＳＰ１０へ移ってこの操作受付処理手順ＲＴ１を終了する。

（１−３−２）ロック条件変更処理
次に、ユーザ４が預金口座のロック条件を変更する際の、ＡＴＭ３における操作受付処理及びホストコンピュータ２におけるロック条件変更処理について、図７及び図９に示すフローチャートを用いて説明する。

ＡＴＭ３の制御部２０は、上述した預金引出処理の場合と同様、ユーザ４によりカード読取部２３にキャッシュカード５が挿入されると操作受付処理手順ＲＴ１（図６）を開始してステップＳＰ１及びステップＳＰ２の処理を実行した後、ステップＳＰ３へ移る。

ステップＳＰ３において制御部２０は、選択項目が「ロック条件変更」であった場合、ロック条件変更処理を実行するべく、次のステップＳＰ１１へ移る。

ステップＳＰ１１において制御部２０は、認証手法テーブルＴＢＬ１（図５）に従い、表示入力部２４に「指を指紋読取部に押し当てて下さい」といった指示を表示することにより、ユーザ４の指を生体情報取得部２５の指紋読取部に触れさせて指紋パターンを取得し、これに対して所定の符号化処理を施すことによりデータ化し以降の照合処理でテンプレートデータと照合するためのチャレンジデータとして、さらに表示入力部２４を介して新たに設定したい取引停止金額を入力させ、次のステップＳＰ１２へ移る。

ステップＳＰ１２において制御部２０は、ホストコンピュータ２に対してロック条件変更処理を開始させるためのロック条件変更指示、口座番号、指紋パターンを表すチャレンジデータ及び新たな利用停止金額をホストコンピュータ２へ送信し、次のステップＳＰ１３へ移る。

これに応じてホストコンピュータ２の制御部１０は、ＡＴＭ３から送信されたロック条件変更指示に基づきロック条件変更処理手順ＲＴ３（図９）を開始してステップＳＰ４１へ移る。ステップＳＰ４１において制御部１０は、ＡＴＭ３から送信された口座番号、指紋パターンを表すチャレンジデータ及び新たな利用停止金額を受信し、次のステップＳＰ４２へ移る。

ステップＳＰ４２において制御部１０は、口座番号を基に、記憶部１２のデータベース記憶領域１２Ｂ（図２）に記憶している預金口座データベースから対象預金口座における指紋パターンのテンプレートデータを読み出し、次のステップＳＰ４３へ移る。

ステップＳＰ４３において制御部１０は、ＡＴＭ３から受信した指紋パターンのチャレンジデータ及び預金口座データベースから読み出した指紋パターンのテンプレートデータに対して所定の照合処理を実行することにより両者が予め定められた誤差範囲内で一致するか否かを検証し、次のステップＳＰ４４へ移る。

ステップＳＰ４４において制御部１０は、ステップＳＰ４３においてチャレンジデータとテンプレートデータとが一致したか否かを判定する。ここで肯定結果が得られると、このことは指紋パターンが予め定められた誤差範囲内で一致して本人認証に成功したことを表しており、このとき制御部１０は次のステップＳＰ４５へ移る。

ステップＳＰ４５において制御部１０は、預金口座データベースの「利用停止金額」の項目を新たな利用停止金額に更新し、次のステップＳＰ４６へ移る。

ステップＳＰ４６において制御部１０は、利用停止金額の更新を正常に終了したことを示す変更済情報をＡＴＭ３へ送信し、次のステップＳＰ４８へ移ってこのロック条件変更処理手順ＲＴ３を終了する。

一方ステップＳＰ４４において否定結果が得られると、このことは指紋パターン同士の誤差が予め定められた誤差範囲を越え本人認証に失敗したため、ユーザ４が対象預金口座の正当なユーザではない可能性が高く、預金口座データベースの「利用停止金額」を更新すべきではないことを表しており、このとき制御部１０は次のステップＳＰ４７へ移る。

ステップＳＰ４７において制御部１０は、預金口座データベースの「利用停止金額」を更新することなく、本人認証に失敗したために利用停止金額を更新しなかったことを示す変更不可情報をＡＴＭ３へ送信し、次のステップＳＰ４８へ移ってこのロック条件変更処理手順ＲＴ３を終了する。

これに応じてＡＴＭ３の制御部２０は、ステップＳＰ１３（図７）においてホストコンピュータ２からの返信として変更済情報又は変更不可情報を受信し、次のステップＳＰ９へ移る。

ステップＳＰ９において制御部２０は、ホストコンピュータ２から変更済情報を取得した場合には利用停止金額の更新を正常に終了した旨を表示入力部２４に表示し、また変更不可情報を取得した場合には本人認証に失敗したために利用停止金額を更新しなかった旨を当該表示入力部２４に表示して、さらにキャッシュカード５をカード読取部２３から排出してユーザ４に返却した後、次のステップＳＰ１０へ移ってこの操作受付処理手順ＲＴ１を終了する。

（１−３−３）ロック解除処理
次に、ユーザ４が預金口座のロック状態を解除する際の、ＡＴＭ３における操作受付処理及びホストコンピュータ２におけるロック解除処理について、図７及び図１０に示すフローチャートを用いて説明する。

ＡＴＭ３の制御部２０は、上述した預金引出処理の場合と同様、ユーザ４によりカード読取部２３にキャッシュカード５が挿入されると操作受付処理手順ＲＴ１（図６）を開始してステップＳＰ１及びステップＳＰ２の処理を実行した後、ステップＳＰ３へ移る。

ステップＳＰ３において制御部２０は、選択項目が「ロック解除」であった場合、ロック解除処理を実行するべく、次のステップＳＰ１４へ移る。

ステップＳＰ１４において制御部２０は、認証手法テーブルＴＢＬ１（図５）に従い、表示入力部２４に「手の平を静脈読取部に押し当てて下さい」といった指示を表示することにより、ユーザ４の手の平を生体情報取得部２５の静脈読取部に触れさせて静脈パターンを取得し、これに対して所定の符号化処理を施すことによりデータ化し以降の照合処理でテンプレートデータと照合するためのチャレンジデータとして、次のステップＳＰ１５へ移る。

ステップＳＰ１５において制御部２０は、ホストコンピュータ２に対してロック解除処理を開始させるためのロック解除指示、口座番号及び静脈パターンを表すチャレンジデータをホストコンピュータ２へ送信し、次のステップＳＰ１６へ移る。

これに応じてホストコンピュータ２の制御部１０は、ＡＴＭ３から送信されたロック解除指示に基づきロック解除処理手順ＲＴ４（図１０）を開始してステップＳＰ５１へ移る。ステップＳＰ５１において制御部１０は、ＡＴＭ３から送信された口座番号及び静脈パターンを表すチャレンジデータを受信し、次のステップＳＰ５２へ移る。

ステップＳＰ５２において制御部１０は、口座番号を基に、記憶部１２のデータベース記憶領域１２Ｂ（図２）に記憶している預金口座データベースから対象預金口座における静脈パターンのテンプレートデータを読み出し、次のステップＳＰ５３へ移る。

ステップＳＰ５３において制御部１０は、ＡＴＭ３から受信した静脈パターンのチャレンジデータ及び預金口座データベースから読み出した静脈パターンのテンプレートデータに対して所定の照合処理を実行することにより両者が予め定められた誤差範囲内で一致するか否かを検証し、次のステップＳＰ５４へ移る。

ステップＳＰ５４において制御部１０は、ステップＳＰ５３においてチャレンジデータとテンプレートデータとが一致したか否かを判定する。ここで肯定結果が得られると、このことは静脈パターンが予め定められた誤差範囲内で一致して本人認証に成功したことを表しており、このとき制御部１０は次のステップＳＰ５５へ移る。

ステップＳＰ５５において制御部１０は、預金口座データベースの「口座状態」の項目を「ロック状態」から「通常状態」に更新し、次のステップＳＰ５６へ移る。

ステップＳＰ５６において制御部１０は、ロック解除を正常に終了したことを示すロック解除済情報をＡＴＭ３へ送信し、次のステップＳＰ５８へ移ってこのロック解除処理手順ＲＴ４を終了する。

一方ステップＳＰ５４において否定結果が得られると、このことは静脈パターン同士の誤差が予め定められた誤差範囲を越え本人認証に失敗したため、すなわちユーザ４が対象預金口座の正当なユーザではないと判断されたため、預金口座データベースの「口座状態」をロック状態のままとすべきであることを表しており、このとき制御部１０は次のステップＳＰ５７へ移る。

ステップＳＰ５７において制御部１０は、預金口座データベースの「口座状態」の項目を更新せず、本人認証に失敗したためにロックを解除しなかったことを示すロック解除不可情報をＡＴＭ３へ送信し、次のステップＳＰ５８へ移ってこのロック解除処理手順ＲＴ４を終了する。

これに応じてＡＴＭ３の制御部２０は、ステップＳＰ１６（図７）においてホストコンピュータ２からの返信としてロック解除済情報又はロック解除不可情報を受信し、次のステップＳＰ９へ移る。

ステップＳＰ９において制御部２０は、ホストコンピュータ２からロック解除済情報を取得した場合にはロック解除を正常に終了した旨を表示入力部２４に表示し、またロック解除不可情報を取得した場合には本人認証に失敗したためにロック解除を行わなかった旨を当該表示入力部２４に表示して、さらにキャッシュカード５をカード読取部２３から排出してユーザ４に返却した後、次のステップＳＰ１０へ移ってこの操作受付処理手順ＲＴ１を終了する。

（１−４）動作及び効果
以上の構成において、ＡＴＭシステム１では、認証手法テーブルＴＢＬ１（図５）に従い、ユーザ４がＡＴＭ３を介して預金口座の操作指示を行う場合、ホストコンピュータ２において預金引出操作の際に暗証番号を用いた認証処理を実行し、またロック条件変更操作の際に指紋パターンを用いた認証処理を実行し、さらにロック解除処理の際に静脈パターンを用いた認証処理を実行することにより本人認証を行う。

従ってＡＴＭシステム１では、ユーザ４による操作指示が預金口座に及ぼす影響の大きさ、すなわち重要度が大きくなるに連れて、各操作指示に応じた認証手法におけるセキュリティレベルを高めると共に照合時の処理負荷を大きくさせることができるので、預金引出操作の様に比較的重要度が小さい操作指示に対して照合時の処理負荷を小さく抑えることができ、一方、ロック解除操作の様に比較的重要度が大きい操作指示に対してセキュリティレベルを高め、不正認証の困難さを高めることができる。

これにより、ロック解除操作の様に比較的重要度が大きい操作指示が第三者により不正に実行される可能性を格段に低減することができるので、第三者によりユーザ４の預金口座から高額の金銭が不正に引き出されるといった重大な被害の発生を未然に防止することができる。

またＡＴＭシステム１では、預金引出処理時に引出希望金額が利用停止金額を超えた場合、自動的に預金口座をロック状態に設定することができるため、仮に悪意のあるユーザによってキャッシュカードが盗難もしくは偽造され暗証番号が知られた場合であっても、当該悪意のあるユーザに当該利用停止金額以上の金額が引き出されようとした時点で自動的に預金口座をロック状態にして預金の不正な引出を防止することができ、被害金額を利用停止金額未満に抑えることができる。

この場合ＡＴＭシステム１では、ロック条件の変更及びロック解除に生体情報を利用した認証処理を行うため、キャッシュカードが盗難され暗証番号が知られた場合であっても、悪意のあるユーザによってロック条件の変更及びロック解除が行われる危険性が無く、預金口座から高額の金銭が不正に引き出される可能性を非常に低く抑えることができる。

例えばＡＴＭシステム１では、仮に預金口座の正当なユーザ４がキャッシュカード５の盗難や偽造に気づいていない場合であっても、利用停止金額以上の金額が引き出されようとした時点で確実に預金口座をロック状態にすることができる。

さらにＡＴＭシステム１では、ホストコンピュータ２からユーザ４の電子メールアドレスに対して預金口座がロック状態に設定された旨の電子メールを送信するため、当該ユーザ４に対してキャッシュカード５の盗難や偽造がなされ、また暗証番号が知られた上で預金口座がロック状態に設定されたことを通知することができる。

そのうえＡＴＭシステム１では、利用停止金額をユーザが任意に設定できるため、ユーザ４が当該利用停止金額を意図的に比較的低い金額に設定しておくことにより、悪意あるユーザによって預金が不正に引き出されようとした際に預金口座をロック状態にする可能性を高めることができ、預金の不正な引出を高い確度で防止することができる。

この場合、正当なユーザ４であればＡＴＭ３を介して指紋パターンを用いた本人認証を経て利用停止金額を容易に変更することができるので、仮に正当なユーザ４が利用停止金額以上の金額を引き出す場合、例えば当該利用停止金額を一時的に高い金額に変更して必要な金額を引き出した後、再度利用停止金額を低い金額に戻せば良く、セキュリティの確保とユーザの利便性を高い次元で両立させることができる。

以上の構成によれば、ＡＴＭシステム１では、ユーザ４がＡＴＭ３を介して預金口座の操作指示を行う場合、ユーザ４による操作指示が預金口座に及ぼす影響の大きさ、すなわち重要度の大きさ高さに応じたセキュリティレベルの高さ及び照合時の処理負荷の大きさを有する認証手法を選択して本人認証を行うことにより、預金引出操作のように比較的重要度が小さい操作指示に対して照合時の処理負荷を小さく抑えることができると共に、ロック解除操作のように比較的重要度が大きい操作指示に対してセキュリティレベルを高めて不正認証の困難さを高めることができる。

（２）第２の実施の形態
（２−１）電子マネーシステムの構成
図１との対応箇所に同一符号を付した図１１において、電子マネーシステム３０は、当該電子マネーシステム３０全体を統括管理するホストコンピュータ３１と、電子マネーによる取引に対応した自動販売機３２とによって構成されている。

自動販売機３２は、電子マネーによる取引を行うためのリーダライタ３２Ａを有しており、携帯電話機３３やＩＣカード（図示せず）等の電子マネー機能を有する機器（以下、これらを電子マネー機器と呼ぶ）との間で電子マネーによる決済処理を行い、所定の商品を提供するようになされている。

携帯電話機３３は、通話機能や無線通信機能を有することに加えて電子マネー機能を有しており、当該携帯電話機３３の所有者であるユーザ４によって入金操作された金額を電子マネーとして管理するようになされている。

（２−１−２）リーダライタの構成
自動販売機３２のリーダライタ３２Ａは、ＣＰＵ構成でなる制御部４０によって全体を統括制御するようになされており、当該制御部４０に対しバス４１を介して、不揮発性メモリでなる記憶部４２、自動販売機３２との間で各種通信処理を行うネットワークインタフェース４３、ユーザによるボタン操作の受付等を行うユーザインタフェース４４、及び携帯電話機３３やＩＣカード（図示せず）等の電子マネー機器との間で電子決済に関する無線通信処理を行う通信インタフェース４５が接続されている。

制御部４０は、図示しないＲＯＭ及びＲＡＭを有しており、当該ＲＯＭから読み出したＯＳや決済処理プログラム等の各種プログラムを当該ＲＡＭに展開して実行することにより、各種機能を実現するようになされている。

実際上制御部４０は、ネットワークインタフェース４３を介して自動販売機３２（図１１）から決済処理等の処理要求を受信すると、記憶部４２から当該処理要求に必要な情報を読み出し、当該処理要求に応じた演算処理を実行した後、当該ネットワークインタフェース４３を介してその実行結果を自動販売機３２へ送信するようになされている。

ユーザインタフェース４４は、操作キー及び表示部に加え、所定のセンサやスキャナ等を有しており、暗証番号やパスワード等の入力データ、及びユーザ４の指先の指紋パターンや手の平の静脈パターン等といった複数種類の生体情報を取得し、これを基に本人認証の際に照合に用いられるテンプレートデータを生成し得るようになされている。

（２−１−３）携帯電話機の構成
携帯電話機３３は、ＣＰＵ構成でなる制御部５０によって全体を統括制御するようになされており、当該制御部５０に対しバス５１を介して、不揮発性メモリでなる記憶部５２、ユーザによるボタン操作の受付や処理結果の表示等を行うユーザインタフェース５３、アンテナ５４Ａを介して携帯電話基地局との間で無線通信処理を行う無線通信処理部５４、及び自動販売機３２のリーダライタ３２Ａや小売店の店頭等に設置されているリーダライタ（図示せず）との間で電子決済に関する無線通信処理を行う通信インタフェース４５が接続されている。

制御部４０は、図示しないＲＯＭ及びＲＡＭを有しており、当該ＲＯＭから読み出したＯＳや通信処理プログラム、決済処理プログラム等の各種プログラムを当該ＲＡＭに展開して実行することにより、各種機能を実現するようになされている。

記憶部５２は、電子マネーの残高を表す個別データとしての残高データや正当なユーザ４に予め登録させた照合用のテンプレートデータ（詳しくは後述する）等に加えて認証手法テーブルＴＢＬ（詳しくは後述する）を記憶するようになされている。

ユーザインタフェース５３は、液晶ディスプレイでなる表示部５３Ａ、０〜９までの数字キー、カーソルキー、決定キー及びキャンセルキー等でなる操作キー５３Ｂ、スピーカ５３Ｃ、マイク５３Ｄ、及びユーザ４の指先の静脈パターンや指紋等といったバイオメトリクスデータを取得するためのバイオメトリクスデータ取得部５３Ｅを有している。

実際上制御部５０は、ユーザ４が自動販売機３２から商品を購入する際、当該ユーザ４により携帯電話機３３がリーダライタ３２Ａの近傍に近接されると、通信インタフェース５５を介して当該リーダライタ３２Ａとの間で電子決済に関する無線通信処理を行い、所定の本人認証処理を行う等した上で電子決済処理を完了するようになされている（詳しくは後述する）。

（２−２）決済処理におけるユーザ認証処理
（２−２−１）決済シーケンス
ところで電子マネーシステム３０では、リーダライタ３２Ａと携帯電話機３３との間において電子マネーによる決済処理を行う場合、実際には図１３に示すような一連の決済シーケンスが実行されるようになされている。

すなわちリーダライタ３２Ａは、自動販売機３２から電子決済の開始指示と共に利用金額の通知を受けると、シーケンスＳＱ１において携帯電話機３３に対して利用金額を通知する。

携帯電話機３３は、利用金額と残額とを比較し、利用金額が残額よりも大きければ、シーケンスＳＱ２によって残高不足を表す“ＮＧ”をリーダライタ３２Ａへ送出する。これに応じてリーダライタ３２Ａは、所定のトランザクション不成功処理を実行し、その結果を自動販売機３２へ通知する。この場合、自動販売機３２は商品の提供を行わない。

一方携帯電話機３３は、利用金額が残額以下であれば本人認証処理を実行し、ユーザ認証に失敗した場合には、シーケンスＳＱ３によって認証の失敗を表す“ＮＧ”をリーダライタ３２Ａへ送出する。これに応じてリーダライタ３２Ａは、所定のトランザクション不成功処理を実行し、その結果を自動販売機３２へ通知する。この場合、自動販売機３２は商品の提供を行わない。

また携帯電話機３３は、利用金額が残額以下であり且つ本人認証に成功した場合には、シーケンスＳＱ４によって認証の成功を表す“ＯＫ”をリーダライタ３２Ａへ送出する。これに応じてリーダライタ３２Ａは、所定のトランザクション成功処理を実行し、その結果を自動販売機３２へ通知することにより、商品の提供を行う。

このようにリーダライタ３２Ａ及び携帯電話機３３は、図１３に示した一連の決済シーケンスに従って利用金額と残額との比較処理及び本人認証処理を行い、利用金額が残額以下であり且つ本人認証に成功した場合にのみトランザクション成功処理を実行するようになされている。

（２−２−２）購入金額と認証手法のセキュリティレベルとの対応関係
ところで電子マネーシステム３０では、複数種類の認証手法が用いられるようになされており、実際の決済においては、これらの認証手法の中から利用金額に応じて選択された認証手法によりユーザ４の本人認証処理を行うようになされている。

ここで図４と対応する図１４に示すように、電子マネーシステム３０では、セキュリティレベル（すなわち不正認証の困難さ）が低い方から順に「不要（すなわち携帯電話機３３をリーダライタ３２Ａにかざすのみ）」による第１認証手法ＭＮ１、「任意の操作キーの押下」による第２認証手法ＭＮ２、「予め定められた操作キーの押下」による第３認証手法ＭＮ３、「ユーザが登録した操作キー」による第４認証手法ＭＮ４、「１０進数字４桁の暗証番号」による第５認証手法ＭＮ５、「英数字８桁のパスワード」による第６認証手法ＭＮ６、「バイオメトリクス」による第７認証手法ＭＮ７、「暗証番号とバイオメトリクスとの組み合わせ」による第８認証手法ＭＮ８、及び「複数のバイオメトリクスの組み合わせ」による第９認証手法ＭＮ９といった９種類の認証手法が用意されている。

またこの図１４において、認証手法のセキュリティレベルが高くなるに連れて本人認証時の照合処理等が複雑化するため、各認証手法における処理負荷が大きくなり、照合処理に要する時間が長くなる。

実際上、携帯電話機３３は、第１認証手法ＭＮ１〜第９認証手法ＭＮ９に対応しており、本人認証処理の際に照合時にテンプレートデータが必要な第４認証手法ＭＮ４〜第９認証手法ＭＮ９に関して、所定の登録処理によりユーザ４に照合用のテンプレートデータを予め登録させ、これを記憶部５２に記憶しておくようになされている。

さらに第２の実施の形態における電子マネーシステム３０では、上述した第１の実施の形態と異なり、利用金額の大きさと認証手法における不正認証の難易度の高さとが対応付けられている。

具体的には、図１５に示すように「利用金額が１，０００円未満である“金額ランク１”の場合には第４認証手法ＭＮ４を用い、利用金額が１，０００円以上１０，０００円未満である“金額ランク２”の場合には第５認証手法ＭＮ５を用い、利用金額が１０，０００円以上である“金額ランク３”の場合には第７認証手法を用いる」のように、携帯電話機３３における利用金額に応じた金額ランクと認証手法とが対応付けられており、この対応付けを表す対応情報としての認証手法テーブルＴＢＬ２が当該携帯電話機３３の記憶部５２（図１２）に予め記憶されるようになされている。

これにより携帯電話機３３は、比較的利用金額が小さい金額ランク１（１，０００円未満）の場合には、第４認証手法ＭＮ４の「ユーザが登録した操作キー」といった比較的簡易で処理時間が短い認証処理によりユーザ４の本人認証を短時間で完了し、一方比較的利用金額が大きい金額ランク３（１０，０００円以上）の場合には、第７認証手法ＭＮ７の「バイオメトリクス」といった比較的複雑で処理時間を要する認証処理によりユーザ４の本人認証を高精度に行うことができる。

また、一般に利用金額が比較的小さい決済処理はユーザ４にとって重要度が比較的小さく、一方利用金額が比較的大きい決済処理はユーザ４にとって重要度が比較的大きいといえる。すなわち、利用金額の大きさは決済処理における重要度の大きさと関連することになる。

従って認証手法テーブルＴＢＬ２（図１５）においては、利用金額が大きくなる（すなわち金額ランクの数字が大きくなる）と、認証手法のセキュリティレベルが高くなると共に、ユーザ４にとっての決済処理の重要度も大きくなることになる。

そのうえ携帯電話機３３は、ユーザの指示に基づき、認証手法テーブルＴＢＬ２（図１５）における各金額ランクに対応付ける認証手法の種類及び各金額ランクのしきい値となる金額（すなわち１，０００円や１０，０００円等）を変更し得るようになされている。

この場合携帯電話機３３は、予め指定されたテーブル変更用の認証手法による本人認証が成功した場合のみ、ユーザ４の指示に従い認証手法テーブルＴＢＬ２を変更するようになされている。ちなみに具体的なテーブル変更用の認証手法としては、「認証手法テーブルＴＢＬ２の設定を変更する」という操作の重要度が考慮され、セキュリティレベルが比較的高い認証手法（例えば第８認証手法ＭＮ８）が指定されている。

このように電子マネーシステム３０では、利用金額に応じた金額ランクに対応付けられた認証手法を用いてユーザ４の本人認証処理を行うことにより、決済処理の重要度に応じてセキュリティレベルの高さと認証処理に要する時間の長さとを変化させるようになされている。

（２−３）電子マネーによる決済処理
次に、携帯電話機３３がリーダライタ３２Ａとの間で決済処理を行う際の決済処理手順ＲＴ５について、図１６のフローチャートを用いて説明する。

この場合、前提として、ユーザ４が自動販売機３２に対して所定の商品を購入する操作を行い、電子マネーによる決済を行うべく携帯電話機３３を当該自動販売機３２のリーダライタ３２Ａにかざしたとする。

携帯電話機３３の制御部５０は、所定の無線通信処理によりリーダライタ３２Ａと無線接続すると決済処理手順ＲＴ５を開始し、ステップＳＰ１へ移る。ステップＳＰ１において携帯電話機３３の制御部５０は、通信インタフェース５５を介してリーダライタ３２Ａから商品の代金に相当する利用金額を受信し、次のステップＳＰ２へ移る。

ステップＳＰ２において携帯電話機３３の制御部５０は、受信した利用金額と記憶部５２に記憶している残高とを比較し、残高が利用金額よりも大きいか否かを判定する。ここで否定結果が得られると、このことは残高不足であるために商品を購入できないことを表しており、このとき携帯電話機３３の制御部５０は、次のステップＳＰ７３へ移る。

ステップＳＰ７３において携帯電話機３３の制御部５０は、通信インタフェース５５を介して正常に決済できなかったことを表す“ＮＧ”をリーダライタ３２Ａへ送信し、次のステップＳＰ７４へ移る。

ステップＳＰ７４において携帯電話機３３の制御部５０は、表示部５３Ａに「残高不足」といったメッセージを残高及び利用金額と共に表示し、次のステップＳＰ８４へ移って決済処理手順ＲＴ５を終了する。この場合、リーダライタ３２Ａが所定のトランザクション不成功処理を行うことにより、自動販売機３２は、商品を提供せずに所定の販売処理を終了する。

一方、ステップＳＰ７２において肯定結果が得られると、このことは金額に関しては商品を購入可能であることを表しており、このとき携帯電話機３３の制御部５０は、次のステップＳＰ７５へ移る。

ステップＳＰ７５において携帯電話機３３の制御部５０は、認証手法テーブルＴＢＬ２を基に利用金額の金額ランクを決定すると共に当該金額ランクに応じた認証手法を選択し、当該選択された認証手法に応じた本人認証用のチャレンジデータの入力をユーザ４に要求し、次のステップＳＰ７６へ移る。

ステップＳＰ７６において携帯電話機３３の制御部５０は、所定の制限時間（例えば１５秒）以内に本人認証用のチャレンジデータを取得できたか否かを判定する。ここで否定結果が得られると、このことはチャレンジデータを取得できなかったために本人認証に失敗したことを表しており、このとき携帯電話機３３の制御部５０は、次のステップＳＰ８２へ移る。

一方ステップＳＰ７６において肯定結果が得られると、携帯電話機３３の制御部５０は次のステップＳＰ７７へ移る。

ステップＳＰ７７において携帯電話機３３の制御部５０は、記憶部５２に予め記憶されているテンプレートデータと取得したチャレンジデータとを照合し、次のステップＳＰ７８へ移る。

ステップＳＰ７８において携帯電話機３３の制御部５０は、テンプレートデータとチャレンジデータとが一致したか否かを判定する。ここで肯定結果が得られると、このことはユーザ４が正当であることが認証され決済可能であることを表しており、このとき携帯電話機３３の制御部５０は次のステップＳＰ７９へ移る。

ステップＳＰ７９において携帯電話機３３の制御部５０は、残高から利用金額を差し引く減額処理を行い、次のステップＳＰ８０へ移る。

ステップＳＰ８０において携帯電話機３３の制御部５０は、リーダライタ３２Ａに対して正常に決済できたことを表す“ＯＫ”を送信し、次のステップＳＰ８１へ移る。

ステップＳＰ８１において携帯電話機３３の制御部５０は、表示部５３Ａに「決済完了」といったメッセージ、利用金額及び更新後の残高を表示し、次のステップＳＰ８４へ移って決済処理手順ＲＴ５を終了する。この場合、リーダライタ３２Ａが所定のトランザクション成功処理を行うことにより、自動販売機３２は、ユーザ４に商品を提供して所定の販売処理を終了する。

一方、ステップＳＰ７８において否定結果が得られると、このことは照合結果が不一致であったために本人認証に失敗したことを表しており、このとき携帯電話機３３の制御部５０は、次のステップＳＰ８２へ移る。

ステップＳＰ８２において携帯電話機３３の制御部５０は、通信インタフェース５５を介して正常に決済できなかったことを表す“ＮＧ”をリーダライタ３２Ａへ送信し、次のステップＳＰ８３へ移る。

ステップＳＰ８３において携帯電話機３３の制御部５０は、表示部５３Ａに「認証失敗」といったメッセージを表示し、次のステップＳＰ８４へ移って決済処理手順ＲＴ５を終了する。この場合、リーダライタ３２Ａが所定のトランザクション不成功処理を行うことにより、自動販売機３２は、商品を提供せずに所定の販売処理を終了する。

（２−４）認証手法テーブル変更処理
次に、ユーザ４が携帯電話機３３に記憶されている認証手法テーブルＴＢＬの設定内容を変更する際の設定内容変更処理手順ＲＴ６について、図１７のフローチャートを用いて説明する。

携帯電話機３３の制御部５０は、ユーザ４の操作により、予め設定されている認証手法を変更する指示を受け付けると、認証手法テーブル変更処理手順ＲＴ６を開始し、ステップＳＰ９１へ移る。

ステップＳＰ９１において携帯電話機３３の制御部５０は、認証手法テーブルを変更するために必要な本人認証用の認証手法（例えば第８認証手法ＭＮ８等）に対応したチャレンジデータの入力をユーザ４に要求し、次のステップＳＰ９２へ移る。

ステップＳＰ９２において携帯電話機３３の制御部５０は、ユーザ４により入力されたチャレンジデータを取得し、次のステップＳＰ９３へ移る。

ステップＳＰ９３において携帯電話機３３の制御部５０は、記憶部５２に記憶しているテンプレートデータと取得したチャレンジデータとを照合し、次のステップＳＰ９４へ移る。

ステップＳＰ９４において携帯電話機３３の制御部５０は、テンプレートデータとチャレンジデータとが一致したか否かを判定する。ここで肯定結果が得られると、このことはユーザ４の本人認証に成功したため、当該ユーザ４により認証手法テーブルＴＢＬ２の設定内容を変更し得ることを表しており、このとき携帯電話機３３の制御部５０は、次のステップＳＰ９５へ移る。

ステップＳＰ９５において携帯電話機３３の制御部５０は、表示部５３Ａに所定のＧＵＩ（Graphical User Interface）を表示して認証手法を選択させる等することにより、認証手法テーブルＴＢＬ２（図１５）において各金額ランクに対応付ける認証手法、及び各金額ランクのしきい値となる金額（すなわち１，０００円や１０，０００円等）を変更させ、次のステップＳＰ９６へ移る。

ステップＳＰ９６において携帯電話機３３の制御部５０は、「変更完了」といったメッセージを表示部５３Ａに表示することにより一連の認証手法テーブルの変更作業を完了したことをユーザ４に通知した後、次のステップＳＰ９８へ移って認証手法テーブル変更処理手順ＲＴ６を終了する。

一方、ステップＳＰ９４において否定結果が得られると、このことはユーザ４の本人認証に失敗したため、当該ユーザ４により認証手法テーブルの設定内容を変更し得ないことを表しており、このとき携帯電話機３３の制御部５０は、次のステップＳＰ９７へ移る。

ステップＳＰ９７において携帯電話機３３の制御部５０は、「変更不可」といったメッセージを表示部５３Ａに表示することにより認証手法テーブルを変更できなかったことをユーザ４に通知した後、次のステップＳＰ９８へ移って認証手法テーブル変更処理手順ＲＴ６を終了する。

（２−５）動作及び効果
以上の構成において、電子マネーシステム３０では、ユーザ４が自動販売機３２から商品を購入する際に携帯電話機３３の電子マネー機能を用いる場合、予め利用金額の大きさと認証手法におけるセキュリティレベルの高さとが対応付けられて設定された認証手法テーブルＴＢＬ２（図１５）に従い、利用金額が属する金額ランクに応じた認証手法を用いてユーザ４の本人認証を行う。

ここで携帯電話機３３は、ユーザ４の本人認証に成功した場合、自動販売機３２のリーダライタ３２Ａとの間で決済処理を完了させて商品の購入手続きを完了し、一方本人認証に失敗した場合、決済処理を中断して商品の購入を中止する。

従って電子マネーシステム３０では、認証手法テーブルＴＢＬ２に従った認証手法によってユーザ４の本人認証を行うことにより、決済処理の重要度に応じたセキュリティレベルの高さを有する認証手法を用いることができる。

このとき電子マネーシステム３０では、利用金額が比較的小さい場合（例えば１，０００円未満の場合）には、セキュリティレベルが比較的低い認証手法（例えば第４認証手法ＭＮ４）を用いることにより、ユーザ４の本人認証処理における処理負荷を比較的小さく押さえることができ、当該本人認証処理を短時間で完了することができる。

これにより電子マネーシステム３０では、比較的低価格の決済処理を行う際には、ユーザ４を待たせることなく気軽に決済の手続きを行わせて利便性を高めることができる。

一方、電子マネーシステム３０では、利用金額が比較的大きい場合（例えば１０，０００円以上の場合）には、セキュリティレベルが比較的高い認証手法（例えば第７認証手法ＭＮ７）を用いることにより、ユーザ４の本人認証処理における精度を高めることができ、第三者が当該ユーザ４になりすますといった不正利用等を高い確度で未然に防止することができる。

これにより電子マネーシステム３０では、比較的高価格の決済処理を行う際には、高精度な本人認証処理を行うことにより、高いセキュリティレベルを確保してユーザ４に安心感を与えつつ決済の手続きを行わせることができる。

このように電子マネーシステム３０では、利用金額に応じて認証手法を変更することにより、ユーザ４に対して当該利用金額に応じた気軽さ及び安心感を与えることができ、セキュリティレベルの確保とユーザに対する利便性の提供とを高い次元で両立させることができる。

さらに電子マネーシステム３０では、携帯電話機３３が記憶する認証手法テーブルＴＢＬ２の設定内容をユーザ４に変更させることができるため、当該ユーザ４の要望に応じた認証手法を各金額ランクに対応付けることができる。

これにより、例えばユーザ４がセキュリティレベルの高さよりも利便性を重要視する場合に、各金額ランクの認証手法をそれぞれ２段階ずつセキュリティレベルが低い認証手法に変更させ、或いはユーザ４が利用金額が大きいときのみセキュリティレベルの高さを重要視する場合に、金額ランク２及び３（図１６）における認証手法をいずれも最高レベルである第９認証手法ＭＮ９に変更させる等、ユーザ４の要望に応じてきめ細かく認証手法を設定させることができる。

以上の構成によれば、第２の実施の形態による電子マネーシステム３０では、ユーザ４が携帯電話機３３の電子マネー機能を用いる場合、予め利用金額の金額レベルと認証手法とが対応付けられた認証手法テーブルＴＢＬ２に従った認証手法を用いて本人認証を行うことにより、決済処理の重要度の大きさに応じてセキュリティレベルの高さ及び認証処理に要する時間の長さを変化させることができる。

（３）他の実施の形態
なお上述した第１の実施の形態においては、認証手法テーブルＴＢＬ１（図５）に示したように、操作指示に対する認証手法として、預金引出操作に対して数字４桁の暗証番号を用い、またロック条件変更操作に対して指紋パターンを用い、さらにロック解除操作に対して静脈パターンを用いるようにした場合について述べたが、本発明はこれに限らず、例えば認証手法テーブルＴＢＬ１において、ロック解除操作に対して「バイオメトリクス情報とパスワードの組み合わせ」を対応付け、あるいは暗証番号の変更操作に英数字８桁のパスワードを対応付ける等、ユーザ４による操作指示における重要度が大きくなるに連れて認証手法における不正認証の困難さが高くなり、また重要度が小さくなるに連れて照合時の処理負荷が小さくなるような範囲内で各操作指示に対して種々の認証手法を対応させるようにしても良い。

また上述した第１の実施の形態においては、預金口座から利用停止金額以上の金額が引き出されようとした時点で自動的に当該預金口座をロック状態に設定するようにした場合について述べたが、本発明はこれに限らず、単位期間（例えば１週間）内の引出回数が予め設定された利用停止回数（例えば５回）以上となった時点で当該預金口座をロック状態に設定するようにしても良い。

具体的には、単位期間と利用停止回数とを予めユーザ４に設定させ、過去の所定期間における利用履歴と共にホストコンピュータ２がデータベース記憶領域１２Ｂ（図２）に記憶している預金口座データベースに記録しておくようにする。また図８との対応部分に同一符号を付した図１８に示すように、ホストコンピュータ２の制御部１０は、預金引出処理手順ＲＴ２に代えて預金引出処理手順ＲＴ７を実行すれば良い。

この預金引出処理手順ＲＴ７において制御部１０は、ステップＳＰ２２（図８）と対応するステップＳＰ１０１（図１８）において、データベース記憶領域１２Ｂ（図２）に記憶している預金口座データベースから対象預金口座の口座状態（通常状態又はロック状態のいずれか）、暗証番号のテンプレートデータ、単位期間、利用停止回数及び残高を読み出し、またステップＳＰ２８（図８）と対応するステップＳＰ１０２（図１８）において、単位期間内の引出回数が利用停止回数以上であるか否かを判定し、肯定結果が得られた場合、不正なユーザが預金口座から預金を引き出そうとしているものとみなし、次のステップＳＰ２９において当該預金口座をロック状態に設定する。

これによりＡＴＭシステム１では、単位期間内の引出回数を基に預金口座をロック状態に設定することができ、例えば悪意あるユーザが預金口座から少ない金額を多数回に分けて引き出そうとした場合に、預金口座をロック状態に設定して預金が引き出され続けることを防止することができる。

またこの場合、単位期間及び利用停止回数の両方をユーザに設定させる以外にも、例えば単位期間を固定して利用停止回数のみをユーザに設定させ、あるいは利用停止回数を固定して単位期間のみをユーザに設定させるようにしても良い。

さらに上述した第１の実施の形態においては、預金口座から利用停止金額以上の金額が引き出されようとした時点で自動的に当該預金口座をロック状態に設定するようにした場合について述べたが、本発明はこれに限らず、単位期間（例えば１週間）内の合計引出金額が予め設定された利用停止金額（例えば８万円）以上となった時点で当該預金口座をロック状態に設定するようにしても良い。

具体的には、単位期間と利用停止金額とを予めユーザ４に設定させ、過去の所定期間における利用履歴と共にホストコンピュータ２がデータベース記憶領域１２Ｂ（図２）に記憶している預金口座データベースに記録しておくようにする。また図８との対応部分に同一符号を付した図１９に示すように、ホストコンピュータ２の制御部１０は、預金引出処理手順ＲＴ２に代えて預金引出処理手順ＲＴ８を実行すれば良い。

この預金引出処理手順ＲＴ８において制御部１０は、ステップＳＰ２２（図８）と対応するステップＳＰ１１１（図１９）において、データベース記憶領域１２Ｂ（図２）に記憶している預金口座データベースから対象預金口座の口座状態、暗証番号のテンプレートデータ、単位期間、利用停止金額及び残高を読み出し、またステップＳＰ２８（図８）と対応するステップＳＰ１１２（図１９）において、単位期間内の合計引出金額が利用停止金額以上であるか否かを判定し、肯定結果が得られた場合、不正なユーザが預金口座から預金を引き出そうとしているものとみなし、次のステップＳＰ２９において当該預金口座をロック状態に設定する。

これによりＡＴＭシステム１では、単位期間内の合計引出金額を基に預金口座をロック状態に設定することができ、例えば悪意あるユーザが預金口座から少ない金額を多数回に分けて引き出そうとした場合に、預金口座をロック状態に設定して預金が引き出され続けることを防止することができる。

またこの場合、単位期間及び利用停止金額の両方をユーザに設定させる以外にも、単位期間を固定して利用停止金額のみをユーザに設定させたり、あるいは利用停止金額を固定して単位期間のみをユーザに設定させるようにしても良い。

そのうえＡＴＭシステム１では、ロック状態に設定する条件として、引出希望金額が利用停止金額以上であるか否かと、単位期間内の引出回数が利用停止回数以上であるか否かと、単位期間内の合計引出金額が利用停止金額以上であるか否かとのいずれか１条件とするだけでなく、これらを適宜組み合わせるようにしても良い。

さらに上述した第１の実施の形態においては、ホストコンピュータ２が預金引出処理手順ＲＴ２（図８）のステップＳＰ２９において預金口座をロック状態に設定した際に、電子メールによって当該預金口座をロック状態に設定したことを正当なユーザに通知するようにした場合について述べたが、本発明はこれに限らず、例えばファクシミリによって通知したり、電話の音声案内によって通知するようにしたり、あるいは特にユーザに通知しないようにしたりしても良く、またこれらの通知手段をユーザが適宜選択できるようにしても良い。

さらに上述した第２の実施の形態においては、決済処理手順ＲＴ５（図１６）に従い、リーダライタ３２Ａから利用金額を受信してから本人認証を行うようにした場合について述べたが、本発明はこれに限らず、例えば予め本人認証を行った後にリーダライタ３２Ａとの間で通信処理を行うようにしても良い。

この場合、携帯電話機３３は、例えば決済処理手順ＲＴ５との対応部分に同一符号を付した決済処理手順ＲＴ９（図２０）に従い決済処理を行えば良い。すなわち携帯電話機３３の制御部５０は、ユーザ４による所定の操作により決済処理手順ＲＴ９を開始してステップＳＰ１２１へ移る。

ステップＳＰ１２１において携帯電話機３３の制御部５０は、ユーザ４に認証手法を決定させて次のステップＳＰ１２２へ移る。このとき制御部５０は、ユーザ４に認証手法を直接選択させる以外にも、当該ユーザ４に利用予定金額を入力させることにより当該利用予定金額に応じて認証手法テーブルＴＢＬ２（図１５）に従い認証手法を決定するようにしても良い。

ステップＳＰ１２２において携帯電話機３３の制御部５０は、ユーザ４にチャレンジデータの入力を要求した後、ステップＳＰ７６〜ＳＰ７８の処理を行い、ステップＳＰ７８において肯定結果が得られると、次のステップＳＰ１２３へ移って表示部５３Ａに「認証成功」といったメッセージを表示し、続くステップＳＰ１２４においてリーダライタ３２Ａからの利用金額の受信を待ち受け、次のステップＳＰ１２５へ移る。

ステップＳＰ１２５において携帯電話機３３の制御部５０は、所定の制限時間内（例えば３０秒以内）にリーダライタ３２Ａから利用金額を受信したか否かを判定する。ここで否定結果が得られると、携帯電話機３３の制御部５０は次のステップＳＰ１２６へ移って表示部５３Ａに「認証成功」といったメッセージを表示した後、ステップＳＰ１３０へ移って決済処理手順ＲＴ９を終了する。

一方ステップＳＰ１２５において肯定結果が得られると、携帯電話機３３の制御部５０は次のステップＳＰ１２７へ移り、本人認証に用いた認証手法に対応付けられた金額ランクの上限金額よりも利用金額が小さいか否かを判定する。ここで肯定結果が得られると、このことは本人認証に用いた認証手法が利用金額と対応したものであることを表しており、このとき携帯電話機３３の制御部５０はステップＳＰ７２、ステップＳＰ７９〜ＳＰ８１、又はステップＳＰ７３及びＳＰ７４の各処理を行った後、ステップＳＰ１３０へ移って決済処理手順ＲＴ９を終了する。

一方、ステップＳＰ１２７において否定結果が得られると、このことは本人認証に用いた認証手法が利用金額と対応していないことを表しており、このとき携帯電話機３３の制御部５０はステップＳＰ１２８へ移って正常に決済できなかったことを表す“ＮＧ”をリーダライタ３２Ａへ送信し、続くステップＳＰ１２９において表示部５３Ａに「認証不適切」といったメッセージを表示した後、ステップＳＰ１３０へ移って決済処理手順ＲＴ９を終了する。

なお、決済処理手順ＲＴ９では、ステップＳＰ１２７において否定結果が得られた場合、ステップＳＰ１２８及びＳＰ１２９の処理を行った後に、利用金額に応じた認証手法を用いて再度本人認証の照合処理を行い、一致した場合にステップＳＰ７２へ移るようにしても良い。

さらに上述した第２の実施の形態においては、認証手法テーブルＴＢＬ２（図１５）において金額ランクを３段階に分類する場合について述べたが、本発明はこれに限らず、２段階又は４段階以上の任意数でなる段階に分類するようにしても良い。またこの段階数をユーザ４が自在に変更し得るようにしても良い。

さらに上述した第２の実施の形態においては、図１３に示した第１認証手法ＭＮ１〜第９認証手法ＭＮ９といった９種類の候補の中から金額ランク毎に認証手法を対応付けるようにした場合について述べたが、本発明はこれに限らず、例えば英数字８桁のパスワードとバイオメトリクスとの組み合わせ等、他の種々の認証手法を選択肢として加えるようにしても良い。またこの場合、認証手法の候補の数としては、９種類とする以外にも８種類以下や１０種類以上としても良い。

さらに上述した第２の実施の形態においては、本人認証処理用のチャレンジデータを携帯電話機３３に直接入力するようにした場合について述べたが、本発明はこれに限らず、例えば自動販売機３２のリーダライタ３２Ａにおけるユーザインタフェース４４にチャレンジデータ入力用の各種インタフェースを設けておき、当該ユーザインタフェース４４を介して入力されたチャレンジデータを本人認証処理に用いるようにしても良い。この場合、照合処理は携帯電話機３３の制御部５０で行う以外にも、リーダライタ３２Ａの制御部４０で行うようにしても良い。

さらに上述した第２の実施の形態においては、電子マネー機能を搭載した携帯電話機３３を用いて決済処理を行うようにした場合について述べたが、本発明はこれに限らず、例えば電子マネー機能を搭載したＩＣカードやＰＤＡ（Personal Digital Assistant）等により決済処理を行うようにしても良い。

さらに上述した第１の実施の形態においては、本人認証の際に指紋パターン又は手の平の静脈パターンでなる生体情報を用いるようにした場合について述べたが、本発明はこれに限らず、例えば瞳の虹彩のパターンや声紋パターンなどの他の生体情報を用いるようにしても良い。また第２の実施の形態においても、同様に瞳の虹彩のパターンや声紋パターンなどの他の生体情報を用いるようにしても良い。この場合、例えば携帯電話機３３にカメラ機能を搭載して瞳の光彩パターンを取得し、或いはマイク５３Ｄにより声紋パターンを取得するようにすれば良い。

さらに上述した第１の実施の形態においては、ＡＴＭシステム１がホストコンピュータ２とＡＴＭ３とに分かれている場合について述べたが、本発明はこれに限らず、ホストコンピュータ２とＡＴＭ３とが一体となっているようにしても良い。

さらに上述した第１の実施の形態においては、本人認証の際に用いるテンプレートデータをホストコンピュータ２の記憶部１２に記憶させるようにした場合について述べたが、本発明はこれに限らず、キャッシュカード５のＩＣチップ５Ａに記憶させるようにしても良い。

さらに上述した第１の実施の形態においては、本人認証の際の照合処理をホストコンピュータ２が実行するようにした場合について述べたが、本発明はこれに限らず、当該照合処理をＡＴＭ３が実行するようにしても良い。

さらに上述した第１の実施の形態においては、ホストコンピュータ２が記憶部１２のプログラム記憶領域１２Ａに予め格納された預金口座管理プログラムに従って預金引出処理手順ＲＴ２（図８）やロック解除処理手順ＲＴ４（図１０）を実行するようにした場合について述べたが、本発明はこれに限らず、例えば当該預金口座管理プログラムを制御部１０のＲＯＭ（図示せず）等の他の記憶媒体に格納しておくようにし、又は当該預金口座管理プログラムをＣＤ−ＲＯＭメディアやメモリースティック（登録商標）等の交換可能な記憶媒体に格納しておき、ＣＤ−ＲＯＭドライブ（図示せず）やメモリースティックスロット（図示せず）を介して当該預金口座管理プログラムを読み出して実行するようにし、或いはネットワークインタフェース１４を介して他のサーバ装置（図示せず）等から当該預金口座管理プログラムを取得するようにしても良い。この場合、圧縮されたデータを伸張し、又はインストールプログラムを実行することにより預金口座管理プログラムを復元するようにしても良い。

またＡＴＭ３についても同様に、記憶部２２予め記憶された預金口座管理プログラムに従って操作受付処理手順ＲＴ１（図７）を実行する以外にも、当該預金口座管理プログラムを交換可能な記憶媒体に格納しておくようにし、或いは図示しないネットワークインタフェースを介して外部のサーバ装置（図示せず）等から当該預金口座管理プログラムを取得するようにしても良い。

さらに上述した第２の実施の形態においては、携帯電話機３３の制御部５０が記憶部５２に予め格納された決済処理プログラムに従って決済処理手順ＲＴ５（図１６）を実行するようにした場合について述べたが、本発明はこれに限らず、例えば決済処理プログラムをメモリースティック（登録商標）等の交換可能な記憶媒体に格納しておき、メモリースティックスロット（図示せず）等を介して当該決済処理プログラムを読み出して実行するようにし、又は無線通信処理部５４や通信インタフェース５５等を介して基地局（図示せず）や自動販売機３２のリーダライタ３２Ａ等から当該決済処理プログラムを取得するようにしても良い。この場合、圧縮されたデータを伸張し、又はインストールプログラムを実行することにより決済処理プログラムを復元するようにしても良い。

さらに上述した第１の実施の形態においては、記憶部としての記憶部１２と、選択部としての制御部２０と、認証部としての制御部１０とによって認証システムとしてのＡＴＭシステム１を構成する場合について述べ、また第２の実施の形態においては、記憶部としての記憶部５２と、選択部及び認証部としての制御部５０とによって認証システムとしての電子マネーシステム３０を構成する場合について述べたが、本発明はこれに限らず、その他種々の回路構成でなる記憶部と、選択部と、認証部とによって認証システムを構成するようにしても良い。

さらに上述した第１の実施の形態においては、記憶部としての記憶部１２と、選択部及び処理実行部としての制御部２０と、認証部としての制御部１０とによって認証装置としてのホストコンピュータ２及びＡＴＭ３を構成する場合について述べ、また第２の実施の形態においては、記憶部としての記憶部５２と、選択部、認証部及び処理実行部としての制御部５０とによって認証装置としての携帯電話機３３を構成する場合について述べたが、本発明はこれに限らず、その他種々の回路構成でなる記憶部と、選択部と、認証部と、処理実行部とによって認証装置を構成するようにしても良い。

本発明は、ユーザが複数種類の操作を指示する際にそれぞれ本人認証を行う種々のオンラインシステムでも利用できる。

第１の実施の形態によるＡＴＭシステムの全体構成を示す略線図である。 ホストコンピュータの回路構成を示すブロック図である。 ＡＴＭの回路構成を示すブロック図である。 認証手法の種類と操作指示の種類との対応関係を示す略線図である。 認証手法テーブルを示す略線図である。 預金口座データベースの管理項目を示す略線図である。 ＡＴＭによる操作受付処理手順を示すフローチャートである。 ホストコンピュータによる預金引出処理手順を示すフローチャートである。 ホストコンピュータによるロック条件変更処理手順を示すフローチャートである。 ホストコンピュータによるロック解除処理手順を示すフローチャートである。 第２の実施の形態による電子マネーシステムの全体構成を示す略線図である。 リーダライタ及び携帯電話機の回路構成を示すブロック図である。 リーダライタと携帯電話機との間における決済シーケンスを示す略線図である。 認証手法の種類とセキュリティレベルとの関係を示す略線図である。 認証手法テーブルを示す略線図である。 携帯電話機による決済処理手順を示すフローチャートである。 携帯電話機による認証手法テーブル変更処理手順を示すフローチャートである。 他の実施の形態による預金引出処理手順（１）を示すフローチャートである。 他の実施の形態による預金引出処理手順（２）を示すフローチャートである。 他の実施の形態による決済処理手順を示すフローチャートである。

符号の説明

１……ＡＴＭシステム、２……ホストコンピュータ、３……ＡＴＭ、５……キャッシュカード、１０、２０、４０、５０……制御部、１２、２２、４２、５２……記憶部、１２Ａ……プログラム記憶領域、１２Ｂ……データベース記憶領域、２３……カード読取部、２４……表示入力部、２５……生体情報取得部、２７……金銭提供部、３０……電子マネーシステム、３２……自動販売機、３２Ａ……リーダライタ、３３……携帯電話機、４４、５３……ユーザインタフェース、４５、５５……通信インタフェース、ＴＢＬ１、ＴＢＬ２……認証手法テーブル。

Claims (8)

1. 正当ユーザの金銭を電子データ化し当該正当ユーザに個別に割り当てた電子マネーを表す電子マネーデータを記憶する端末装置と、上記電子マネーによる商取引を行う商取引装置とを有する認証システムであって、
   上記商取引装置は、
   上記端末装置が近接されると当該端末装置との間で通信処理を行う通信対応部
   を有し、
   上記端末装置は、
   予め上記電子マネーデータに対する決済の金額とユーザの認証処理に用いる複数種類の認証手法との対応付けを、当該決済の金額が大きくなるに連れて、上記認証手法において他のユーザを上記正当ユーザとして認証させる不正認証の困難さが高くなるように対応付けられた対応情報として記憶する記憶部と、
   上記商取引装置へ近接されたときに上記電子マネーによる決済に関する情報を授受する通信部と、
   ユーザの指示に基づき第１の認証手法を選択する第１選択部と、
   上記選択された第１の認証手法に従い、上記ユーザから取得した照合用のチャレンジデータと上記正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいて上記ユーザが上記正当ユーザであることを認証する第１認証部と、
   上記第１の認証手法により上記ユーザが上記正当ユーザであることが認証された場合には処理を続行し、認証されなかった場合には処理を終了する第１処理実行部と、
   上記端末装置を上記商取引装置の上記通信対応部へ近接させ、当該通信対応部から上記通信部を介して上記商取引における決済の金額を受信する金額受信部と、
   上記対応情報に基づき、上記複数の認証手法のうち上記決済の金額に対応する第２の認証手法を選択する第２選択部と、
   上記対応情報を基に、上記第１の認証手法により決済可能な金額の上限が、上記決済の金額以上であるか否かを判定する判定部と、
   上記第１の認証手法により決済可能な金額の上限が上記決済の金額未満であった場合、上記選択された第２の認証手法に従い、上記ユーザから取得した照合用のチャレンジデータと上記正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいて上記ユーザが上記正当ユーザであることを認証する第２認証部と、
   上記第１の認証手法により決済可能な金額の上限が上記決済の金額以上であった場合には上記第１の認証手法により、それ以外の場合には上記第２の認証手法により、それぞれ上記ユーザが上記正当ユーザであることが認証された場合、上記通信部を介し上記商取引装置との間で上記決済の処理を実行する第２処理実行部と
   を有する認証システム。
2. 予め正当ユーザの金銭を電子データ化し当該正当ユーザに個別に割り当てた電子マネーを表す電子マネーデータに対する決済の金額とユーザの認証処理に用いる複数種類の認証手法との対応付けを、当該決済の金額が大きくなるに連れて、上記認証手法において他のユーザを上記正当ユーザとして認証させる不正認証の困難さが高くなるように対応付けられた対応情報として記憶する記憶部と、
   所定の通信対象へ近接されたときに上記電子マネーによる決済に関する情報を授受する通信部と、
   ユーザの指示に基づき第１の認証手法を選択する第１選択部と、
   上記選択された第１の認証手法に従い、上記ユーザから取得した照合用のチャレンジデータと上記正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいて上記ユーザが上記正当ユーザであることを認証する第１認証部と、
   上記第１の認証手法により上記ユーザが上記正当ユーザであることが認証された場合には処理を続行し、認証されなかった場合には処理を終了する第１処理実行部と、
   電子マネーによる商取引を行うと共に所定の通信対象が近接されると当該通信対象との間で通信処理を行う通信対応部を有する商取引装置へ近接させ、当該通信対応部から上記通信部を介して当該商取引における決済の金額を受信する金額受信部と、
   上記対応情報に基づき、上記複数の認証手法のうち上記決済の金額に対応する第２の認証手法を選択する第２選択部と、
   上記対応情報を基に、上記第１の認証手法により決済可能な金額の上限が、上記決済の金額以上であるか否かを判定する判定部と、
   上記第１の認証手法により決済可能な金額の上限が上記決済の金額未満であった場合、上記選択された第２の認証手法に従い、上記ユーザから取得した照合用のチャレンジデータと上記正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいて上記ユーザが上記正当ユーザであることを認証する第２認証部と、
   上記第１の認証手法により決済可能な金額の上限が上記決済の金額以上であった場合には上記第１の認証手法により、それ以外の場合には上記第２の認証手法により、それぞれ上記ユーザが上記正当ユーザであることが認証された場合、上記通信部を介し上記商取引装置との間で上記決済の処理を実行する第２処理実行部と
   を有する認証装置。
3. ユーザの操作を受け付ける操作部
   をさらに有し、
   上記第１選択部は、
   上記ユーザに上記操作部を介して決済予定の金額を入力させ、上記対応情報を基に、上記入力された金額に対応する認証手法を選択する
   請求項２に記載の認証装置。
4. 上記記憶部は、
   上記決済の金額を複数のランクに分類した金額ランクと上記認証手法とが対応付けられた上記対応情報を記憶し、
   上記第２選択部は、
   上記対応情報に基づき上記複数の認証手法のうち上記決済の金額が分類される金額ランクに応じた認証手法を選択する
   請求項２に記載の認証装置。
5. 上記ユーザが所定の認証手法により上記正当ユーザとして認証された場合、当該ユーザの指示に基づき上記対応情報における上記金額ランクと上記認証手法との対応付けを変更する対応情報変更手段
   をさらに有する請求項４に記載の認証装置。
6. 上記ユーザが所定の認証手法により上記正当ユーザとして認証された場合、当該ユーザの指示に基づき上記対応情報における上記金額ランクを分類する際のしきい値を変更する対応情報変更手段
   をさらに有する請求項４に記載の認証装置。
7. 予め正当ユーザの金銭を電子データ化し当該正当ユーザに個別に割り当てた電子マネーを表す電子マネーデータに対する決済の金額とユーザの認証処理に用いる複数種類の認証手法との対応付けが、当該決済の金額が大きくなるに連れて、上記認証手法において他のユーザを上記正当ユーザとして認証させる不正認証の困難さが高くなるように示された対応情報を基に、ユーザの指示に基づき第１の認証手法を選択する第１選択ステップと、
   上記選択された第１の認証手法に従い、上記ユーザから取得した照合用のチャレンジデータと上記正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいて上記ユーザが上記正当ユーザであることを認証する第１認証ステップと、
   上記第１の認証手法により上記ユーザが上記正当ユーザであることが認証された場合には決済の処理を続行し、認証されなかった場合には決済の処理を終了する第１処理実行ステップと、
   電子マネーによる商取引を行うと共に所定の通信対象が近接されると当該通信対象との間で通信処理を行う通信対応部を有する商取引装置へ近接させ、当該通信対応部から、上記電子マネーによる決済に関する情報を授受する通信部を介して、当該商取引における決済の金額を受信する金額受信ステップと、
   上記対応情報に基づき、上記複数の認証手法のうち上記決済の金額に対応する第２の認証手法を選択する第２選択ステップと、
   上記対応情報を基に、上記第１の認証手法により決済可能な金額の上限が、上記決済の金額以上であるか否かを判定する判定ステップと、
   上記第１の認証手法により決済可能な金額の上限が上記決済の金額未満であった場合、上記選択された第２の認証手法に従い、上記ユーザから取得した照合用のチャレンジデータと上記正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいて上記ユーザが上記正当ユーザであることを認証する第２認証ステップと、
   上記第１の認証手法により決済可能な金額の上限が上記決済の金額以上であった場合には上記第１の認証手法により、それ以外の場合には上記第２の認証手法により、それぞれ上記ユーザが上記正当ユーザであることが認証された場合、上記通信部を介し上記商取引装置との間で上記決済の処理を実行する第２処理実行ステップと
   を有する認証方法。
8. 情報処理装置に対して、
   予め正当ユーザの金銭を電子データ化し当該正当ユーザに個別に割り当てた電子マネーを表す電子マネーデータに対する決済の金額とユーザの認証処理に用いる複数種類の認証手法との対応付けが、当該決済の金額が大きくなるに連れて、上記認証手法において他のユーザを上記正当ユーザとして認証させる不正認証の困難さが高くなるように示された対応情報を基に、ユーザの指示に基づき第１の認証手法を選択する第１選択ステップと、
   上記選択された第１の認証手法に従い、上記ユーザから取得した照合用のチャレンジデータと上記正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいて上記ユーザが上記正当ユーザであることを認証する第１認証ステップと、
   上記第１の認証手法により上記ユーザが上記正当ユーザであることが認証された場合には決済の処理を続行し、認証されなかった場合には決済の処理を終了する第１処理実行ステップと、
   電子マネーによる商取引を行うと共に所定の通信対象が近接されると当該通信対象との間で通信処理を行う通信対応部を有する商取引装置へ近接させ、当該通信対応部から、上記電子マネーによる決済に関する情報を授受する通信部を介して、当該商取引における決済の金額を受信する金額受信ステップと、
   上記対応情報に基づき、上記複数の認証手法のうち上記決済の金額に対応する第２の認証手法を選択する第２選択ステップと、
   上記対応情報を基に、上記第１の認証手法により決済可能な金額の上限が、上記決済の金額以上であるか否かを判定する判定ステップと、
   上記第１の認証手法により決済可能な金額の上限が上記決済の金額未満であった場合、上記選択された第２の認証手法に従い、上記ユーザから取得した照合用のチャレンジデータと上記正当ユーザの認証情報として予め登録されたテンプレートデータとの照合結果に基づいて上記ユーザが上記正当ユーザであることを認証する第２認証ステップと、
   上記第１の認証手法により決済可能な金額の上限が上記決済の金額以上であった場合には上記第１の認証手法により、それ以外の場合には上記第２の認証手法により、それぞれ上記ユーザが上記正当ユーザであることが認証された場合、上記通信部を介し上記商取引装置との間で上記決済の処理を実行する第２処理実行ステップと
   を実行させるための認証プログラム。

Images