JP4996635B2 - Ｉｃカード処理システムで使用される可搬型端末 - Google Patents

Description

この発明は、無線通信媒体としてのＩＣカードを処理するＩＣカード処理システムに関する。

近年、鉄道などの交通機関における各種サービスの向上が図られている。例えば、走行中の列車に乗車している各乗客に対して、その時点で各乗客が必要とする各種のサービスを提供する技術が開示されている（特許文献１）。

また、車内検札の効率向上に関する提案がなされている。例えば、通信回線を介してネットワーク接続された複数の地上システムと移動する列車内に設置された列車内システムとからなる列車検札システムに関する技術が開示されている（特許文献２）。
特開２００１−２２２６０３ 特開平７−６５２０７

一方、鉄道などの交通機関において、ＩＣカードによる入出場システムが普及しはじめている。これに伴い、ＩＣカードによる車内での各種サービス向上、及び車内検札の効率向上等が望まれている。

しかしながら、上記した従来技術は、ＩＣカードの利用を想定したものではなく、ＩＣカードによる車内での各種サービス（例えば乗り越し精算）、及び車内検札を受けることはができないという問題があった。

具体的に言うと、ＩＣカードを車内で処理するためには、係員が携帯可能なＩＣカード処理端末が必要となる。しかしながら、このような端末は、可搬型であるがゆえに持ち去られるおそれがあり、セキュリティ上、ＩＣカードを車内で処理するシステムの実現は困難であった。

この発明の目的は、上記したような事情に鑑み成されたものであって、セキュリティを確保した上で車内においてＩＣカードを処理することが可能なＩＣカード処理システムで使用される可搬型端末を提供することにある。

上記課題を解決し目的を達成するために、この発明のＩＣカード処理システムで使用される可搬型端末は、以下のように構成されている。

この発明は、移動車両内に持ち込まれるＩＣカードを処理する可搬型端末とサーバとの無線通信により前記可搬型端末から送信される前記可搬型端末に記憶された機器ＩＤコードと前記サーバに保持された機器ＩＤコードとが一致しても、一致した機器ＩＤコードに該当する使用可否情報が不許可を示していれば前記可搬型端末を認証せず、前記可搬型端末から送信される前記可搬型端末に記憶された機器ＩＤコードと前記サーバに保持された機器ＩＤコードとが一致し、且つ一致した機器ＩＤコードに該当する使用可否情報が許可を示していれば前記可搬型端末を認証する第１認証処理手段と、前記可搬型端末により係員ＩＤカードから読み取られた係員ＩＤコードであって、前記可搬型端末と前記サーバとの無線通信により前記可搬型端末から送信される前記係員ＩＤコードと前記サーバに保持された係員ＩＤコードとが一致しても、一致した係員ＩＤコードに該当する有効情報が無効を示していれば前記係員ＩＤカードを認証せず、前記可搬型端末から送信される前記係員ＩＤコードと前記サーバに保持された係員ＩＤコードとが一致し、且つ一致した係員ＩＤコードに該当する有効情報が有効を示していれば前記係員ＩＤカードを認証する第２認証処理手段と、前記第１認証処理手段により前記可搬型端末が認証され且つ前記第２の認証処理手段により前記係員ＩＤカードが認証されると前記可搬型端末に対して認証コードを通知し、前記可搬型端末によるＩＣカードの処理を許可する制御手段とを備えたＩＣカード処理システムで使用される可搬型端末。

この発明によれば、セキュリティを確保した上で車内においてＩＣカードを処理することが可能なＩＣカード処理システムで使用される可搬型端末を提供できる。

以下、この発明の実施の形態について図面を参照して説明する。

図１は、この発明の一例に係るＩＣカード処理システムの概要を示す図である。図２は、この発明の一例に係るＩＣカード処理システムの構成を示すブロック図である。図１及び図２に示すように、ＩＣカード処理システムは、カード１、カード処理端末装置２、中継装置３、セキュリティサーバ４、列車情報システム５を備えている。

カード１は、鉄道やバスなどの交通機関における移動車両を利用する乗客により携帯される。カード処理端末装置２は、可搬型の端末であり、係員により携帯される。カード処理端末装置２は、カード１を処理するものである。中継装置３は、移動車両内に設置される。中継装置３は、カード処理端末装置２との間で無線通信を行い、各種情報を交換することができる。セキュリティサーバ４は、カード処理端末装置２の上位装置となるホスト装置であり、移動車両内に設置される。セキュリティサーバ４は、中継装置３との間で無線通信を行い、各種情報を交換することができる。つまり、カード処理端末装置２とセキュリティサーバ４とは、中継装置３を介して、各種情報を交換することができる。

カード１は、例えば非接触式の無線ＩＣカードである。カード１は、制御部１１、メモリ１２、通信制御部１３を備えている。制御部１１は、ＣＰＵなどで構成されている。メモリ１２は、ＥＥＰＲＯＭなどの不揮発性メモリである。このメモリ１２は、カード固有のカード番号、カードの有効期限を示す有効期限情報、累積利用額情報、与信額超過や紛失盗難による使用付加情報、及び利用ログ情報などが記憶されている。通信制御部１３は、外部装置（カード処理端末装置２）との間で無線通信を行なう。このカード１は、利用運賃の先払い処理に対応するカード（利用運賃をチャージすることができるカード）であってもよいし、利用運賃の後払い処理に対応するカード（クレジットカード）であってもよい。カード１は、上記したように無線ＩＣカードであるが、この発明はこれに限定されるものではない。例えば、ＩＣカードの機能を備えた携帯電話などの携帯型情報端末装置であってもよい。この場合、携帯型情報端末装置には、上記した制御部１１、メモリ１２、通信制御部１３が埋設されている。

カード処理端末装置２は、ＣＰＵ２１、メモリ２２、出力装置２３、入力装置２４、通信装置２５、カード読取／書込装置２６を備えている。ＣＰＵ２１は、全体的な制御を司る。メモリ２２は、ワークメモリとして機能したり、各種データを記憶したりする。出力装置２３は、例えばディスプレイやプリンタである。入力装置２４は、例えばボタン、スイッチ、タッチパネルである。通信装置２５は、中継装置３を介して外部装置（セキュリティサーバ４）との間で通信を行なう。カード読取／書込装置２６は、カード１からデータを読み取ったり、カード１に対してデータを書き込んだりする。

中継装置３は、制御部３１、メモリ３２、通信装置３３、通信制御部３４を備えている。制御部３１は、全体的な制御を司る。メモリ３２は、ワークメモリとして機能したり、各種データを記憶したりする。通信装置３４は、外部装置（カード処理端末装置２）との間で通信を行なう。なお、この中継装置３は、車内に持ち込まれたカード処理端末装置２、及び車外に持ち出されたカード処理端末装置２の両者と無線通信を行なうことが可能である。

セキュリティサーバ４は、ＣＰＵ４１、メモリ４２、磁気ディスク装置４３、出力装置４４、入力装置４５、通信装置４６を備えている。ＣＰＵ４１は、全体的な制御を司る。メモリ４２は、ワークメモリとして機能する。磁気ディスク装置４３は、各種データを記憶する。例えば磁気ディスク装置４３は、カードを処理するための暗号データ、運賃データ、及びカードを利用した際に発生する利用データ、機器ＩＤデータ、係員ＩＤデータなどを記録する。暗号データは、セキュアな情報であるため、電源オン時に上位ホスト装置（列車情報システム５）から通信により取得し、電源オフ時にはメモリ上から消去される。なお、暗号データは、メモリカード等から取得するようにしてもよい。出力装置４４は、例えばディスプレイやプリンタである。入力装置４５は、例えばキーボードである。通信装置４６は、中継装置３を介して外部装置（カード処理端末装置２、及び列車情報システム５）との間で通信を行なう。

続いて、図３を参照して、端末の認証処理及び係員の認証処理について説明する。これら認証処理について、業務開始時と業務中とに分けて説明する。

最初に、業務開始時の認証処理について説明する。

（１）カード処理端末装置２が、中継装置３を介してセキュリティサーバ４に対して、自身が記憶している端末固有の機器ＩＤコードを送信し、認証を要求する。

（２）セキュリティサーバ４は、機器ＩＤコードを受信し、この受信した機器ＩＤコードと、セキュリティサーバ４が保持する機器ＩＤデータとに基づき、端末を認証する（第１認証処理）。つまり、カード処理端末装置２から送信される機器ＩＤコードを受信する通信装置４６、機器ＩＤデータを保持する磁気ディスク装置４３、及びＣＰＵ４１により、端末の認証処理が実行される。セキュリティサーバ４が保持する機器ＩＤデータは、機器ＩＤコード及びこの機器ＩＤコードに該当する端末の使用可否情報（許可、不許可）を含む。カード処理端末装置２から送信された機器ＩＤコードが、機器ＩＤデータに含まれる機器ＩＤコードと一致しない場合は認証ＮＧとなり、当該端末の使用を許可しない。一致した場合でも、一致したＩＤコードに該当する使用可否情報が不許可を示していれば、やはり認証ＮＧとなり、当該端末の使用を許可しない。一致した場合であって且つ一致したＩＤコードに該当する使用許可情報が許可を示していれば、認証ＯＫとなり、当該端末の使用を許可する。

（３）カード処理端末装置２は、中継装置３を介して、セキュリティサーバ４から機器ＩＤコードの認証結果を受け取る。結果が認証ＮＧであれば、カード処理端末装置２は以降の動作を中止する。つまり、カード処理端末装置２によリＩＣカードを処理することはできない。結果が認証ＯＫであれば、次にカード処理端末装置２を操作する係員の認証を行なう。

（４）セキュリティサーバ４は、カード処理端末装置２を介して係員ＩＤカードから係員ＩＤコードを読み取り、この読み取った係員ＩＤコードと、セキュリティサーバ４が保持する係員ＩＤデータとに基づき、係員を認証する（第２認証処理）。つまり、カード処理端末装置２を介して送信される係員ＩＤコードを受信する通信装置４６、係員ＩＤデータを保持する磁気ディスク装置４３、及びＣＰＵ４１により、係員の認証処理が実行される。セキュリティサーバ４が保持する係員ＩＤデータは、係員ＩＤコードおよびこの係員ＩＤコードの有効情報（有効、無効）を含む。カード処理端末装置２を介して送信された係員ＩＤコードが、係員ＩＤデータに含まれる係員ＩＤコードと一致しない場合は認証ＮＧとなり、当該端末の使用を許可しない。一致した場合でも、一致したＩＤコードに該当する有効情報が無効を示していれば、やはり認証ＮＧとなり、当該端末の使用を許可しない。一致した場合であって且つ一致したＩＤコードに該当する有効情報が有効を示していれば、認証ＯＫとなり、当該端末の使用を許可する。

（５）端末の認証、及び係員の認証がＯＫであれば、セキュリティサーバ４は、認証コードを作成し認証データとして保存し、該当するカード処理端末装置２に対して認証コードを通知する。つまり、認証コードを生成するＣＰＵ４１、認証コードをカード処理端末装置２に対して通知する通信装置４６により、カード処理端末装置２に対してＩＣカードの処理の許可が通知される。認証コードは、認証された端末により業務中の認証で使用される。認証コードには、例えば有効条件を設定することもできる。認証コードの有効条件については、後述する。

（６）カード処理端末装置２は、中継装置３を介して、セキュリティサーバ４から係員ＩＤコードの認証結果を受け取る。結果が認証ＮＧであれば、カード処理端末装置２は以降の動作を中止する。つまり、カード処理端末装置２によリＩＣカードを処理することはできない。結果が認証ＯＫであれば、カード処理端末装置２は使用可能な状態となる。つまり、カード処理端末装置２によリＩＣカードを処理することができる。さらに、認証結果がＯＫの場合には、カード処理端末装置２は、認証コードも受信する。

次に、業務中の認証処理について説明する。

（７）業務開始後、カード処理端末装置２は、一定時間以内（定期的）に認証要求を行い、機器ＩＤ、係員ＩＤ、認証ＯＫ時に受信した認証コードを送信する。

（８）セキィリティサーバ４は、中継装置３を介して、カード処理端末装置２からの認証要求に伴う機器ＩＤ、係員ＩＤ、認証コードを受信する。セキィリティサーバ４は、受信した機器ＩＤ、係員ＩＤ、認証コードに基づき、カード処理端末装置２及び係員を再認証する。つまり、受信した機器ＩＤとセキュリティサーバ４自身が保持する機器ＩＤデータに含まれる機器ＩＤとの比較、受信した係員ＩＤとセキュリティサーバ４自身が保持する係員ＩＤデータに含まれる係員ＩＤとの比較、受信した認証コードとセキュリティサーバ４自身が保持する認証コードとの比較により、カード処理端末装置２及び係員を再認証する。再認証の結果、認証ＮＧであれば、カード処理端末装置２に対して認証ＮＧが返信される。認証ＯＫであれば、カード処理端末装置２に対して更新された新しい認証コードが返信される。次回の再認証は、更新された新しい認証コードに基づき実行される。

（９）カード処理端末装置２は、再認証ＯＫを受信すると、使用許可が延長され、継続してＩＣカードを処理することができる。

ここで、認証コードの運用例について説明する。例えば、業務中の認証（再認証）で使用される認証コードを、列車の運行にわせて可変とするケースについて説明する。セキュリティサーバ４は、列車情報システム５から、列番、キロ程、運行方向などの情報を取得する。列番とは、列車の停車駅情報である。運行方向とは、列車の進行方向を示す情報である。セキュリティサーバ４は、列番、キロ程、運行方向などの情報に基づき、運行情報データを設定する。運行情報データには、停車駅及び停車順などの情報が含まれる。前述の処理において係員の認証がＯＫであった場合、セキュリティサーバ４は、運行情報データに基づき、駅間毎に有効な認証コードを作成する。

ある列車の停車駅と駅順が、Ａ駅→Ｂ駅→Ｃ駅→Ｄ駅であると仮定する。このときの各駅間の認証コードを以下のように仮定する。

Ａ駅→Ｂ駅間：認証コード１
Ｂ駅→Ｃ駅間：認証コード２
Ｃ駅→Ｄ駅間：認証コード３
カード処理端末装置２は、業務開始時の端末の認証ＯＫ且つ係員ＩＤカードの認証ＯＫならＡ駅→Ｂ駅間で有効な認証コード１（これによりＢ駅に到着しＢ駅を発車するまでの間、カード処理端末装置２が使用可能となる）を受信する。列車がＡ駅を発車しＢ駅停車までの間に、Ａ駅→Ｂ駅間で有効な認証コード１に基づき、セキュリティサーバ４に再認証要求を行なう。この再認証要求の結果、認証ＯＫならＢ駅→Ｃ駅間で有効な認証コード２を受信する。これにより、Ｃ駅に到着しＣ駅を発車するまでの間、カード処理端末装置２が使用可能となる。認証ＮＧの場合には、カード処理端末装置２は使用不可となる。Ｂ駅を発車しＣ駅に停車するまでの間に、Ａ駅→Ｂ駅のときと同様な処理によりＢ駅→Ｃ駅間で有効な認証コード２に基づき、セキュリティサーバ４に再認証要求を行なう。以降、上記処理を終点まで繰り返す。

続いて、図４を参照して、カード処理端末装置２によるカードの処理制限について説明する。この発明のＩＣカード処理システムは、移動車両の状態（走行状態、ドア開閉状態など）に基づき、カード処理端末装置２によるカード処理機能を制限することができる。

最初に、運行前の処理について説明する。

（１）セキュリティサーバ４は、列車情報システム５から、列番、キロ程、運行方向などの情報を取得する。列番とは、列車の停車駅情報である。運行方向とは、列車の進行方向を示す情報である。

（２）セキュリティサーバ４は、列番、キロ程、運行方向などの情報に基づき、運行情報データを設定する。運行情報データとは、停車駅と停車順を示すデータである。

次に、運行中の処理について説明する。

（３）セキュリティサーバ４は、列車情報システム５から、列車の運行速度及びドアの開閉状態に関する情報を取得し、運行情報データとして保持する。

（４）セキュリティサーバ４は、列車の運行速度及びドアの開閉状態に関する情報に基づき、列車の走行状態を判断する。例えば、所定速度以下（又は速度ゼロ）且つドアが開いている場合は、列車が駅に停車していると判断し、さらに運行情報データから停車駅も判断する。所定速度以上且つドアが閉じている場合は、列車が走行中であると判断する。

（５）セキュリティサーバ４は、走行状態の判断結果に基づき、カード処理端末装置２によるカード処理機能を制限する。例えば、停車中の場合には、入出場処理に関するカード処理を許可する。走行中の場合には、乗り越し精算処理及び検札処理（適正検査）に関するカード処理を許可する。

（６）セキュリティサーバ４は、カード処理端末装置２に対して、許可するカード処理の機能情報を送信する。つまり、ＣＰＵ４１によりカード処理機能の制限が指示され、通信装置４６によりその指示がカード処理端末装置２に送信される。カード処理端末装置２は、送信された指示、即ち機能情報に基づき、所定のカード処理機能のみ実行可能となる。

続いて、図５及び図６を参照して、上記説明した認証処理及びカード処理制限の両者の流れについて説明する。図５に示すフローチャートは、図６に示すフローチャートに続くものである。

運行前に、セキュリティサーバ４は、列車情報システム５から、列番、キロ程、運行方向などの情報を取得し、これら情報から運行情報データを設定する。例えば、Ａ駅→Ｂ駅→Ｃ駅→Ｄ駅が設定されると仮定する。この後、セキュリティサーバ４により端末の認証ＯＫ且つ係員の認証ＯＫの条件が確認された場合、セキュリティサーバ４はカード処理端末装置２に対して認証コード１を送信する（ステップ１０１）。ここで送信される認証コード１は、Ａ駅→Ｂ駅間で有効な認証コードである。これに対応して、カード処理端末装置２は、認証コード１を受信する（ステップ２０１）。認証コード１を受信したカード処理端末装置２は、この認証コード１によりＢ駅を発車するまでの間、使用可能となる。

セキュリティサーバ４は、列車情報システム５から提供される情報に基づき、列車の走行状態を判断する。例えば、セキュリティサーバ４が、列車情報システム５からドアが開いていることを示す情報と速度ゼロの情報を受信すると（ステップ１０２）、列車が駅に停車していると判断し、さらに運行情報データから停車駅（例えばＡ駅に停車）も判断する（ステップ１０３）。このとき、セキュリティサーバ４は、ＩＣカードの処理を制限する機能により、列車の各種状態（走行状態、ドア開閉状態など）に応じて、カードの処理機能を制限した上で、カード処理端末装置２によるカードの処理を許可する。例えば、このケースでは、入出場処理に関するカード処理を許可し、さらに現在の停車駅（Ａ駅）の情報を送信する（ステップ１０４）。これに対応して、カード処理端末装置２は、制限されたカード処理機能が実行可能となり、現在の停車駅（Ａ駅）の情報を保持する（ステップ２０４）。

引き続き、セキュリティサーバ４は、列車情報システム５から提供される情報に基づき、列車の走行状態をチェックする。例えば、セキュリティサーバ４が、列車情報システム５からドアが閉じていることを示す情報を受信し（ステップ１０５）、さらに所定速度以上で走行していることを示す情報を受信すると（ステップ１０６）（ステップ１０７、ＹＥＳ）、運行情報データに走行中を設定する（ステップ１０８）。つまり、セキュリティサーバ４は、Ａ駅からＢ駅へ向かって走行中であることを認識する。

これに伴い、セキュリティサーバ４は、ＩＣカードの処理を制限する機能により、列車の各種状態（走行状態、ドア開閉状態など）に応じて、カードの処理機能を制限した上で、カード処理端末装置２によるカードの処理を許可する。例えば、このケースでは、乗り越し精算処理及び検札処理（適正検査）に関するカード処理を許可する（ステップ１０９）。これに対応して、カード処理端末装置２は、制限されたカード処理機能が実行可能となる（ステップ２０９）。

カード処理端末装置２は、現在の停車駅（Ａ駅）の情報を保持した後、次の停車駅（Ｂ駅）以降の区間で有効な認証コードを要求することになる。そこで、カード処理端末装置２は、定期的にセキュリティサーバ４に対して再認証を要求する。このとき、カード処理端末装置２は、再認証の要求と共に、機器ＩＤコード、係員ＩＤコード、及び前回受け取った最新の認証コードを送信する（ステップ２１０）。これに伴い、セキュリティサーバ４は、再認証の要求を受信すると共に、機器ＩＤコード、係員ＩＤコード、及び前回受け取った最新の認証コードを受信する（ステップ１１０）。

このとき、セキュリティサーバ４は、受信した機器ＩＤ、係員ＩＤ、認証コードに基づき、カード処理端末装置２及び係員を再認証する。つまり、受信した機器ＩＤとセキュリティサーバ４自身が保持する機器ＩＤデータに含まれる機器ＩＤとの比較、受信した係員ＩＤとセキュリティサーバ４自身が保持する係員ＩＤデータに含まれる係員ＩＤとの比較、受信した認証コードとセキュリティサーバ４自身が保持する認証コードとの比較により、カード処理端末装置２及び係員を再認証する。セキュリティサーバ４は、再認証の結果、認証ＯＫの判断を下した場合（ステップ１１１、ＹＥＳ）、カード処理端末装置２に対して認証結果（認証ＯＫ）を送信すると共に、更新された新しい認証コード２を送信する（ステップ１１２）。このとき、送信される更新された新しい認証コード２は、例えば、Ｂ駅→Ｃ駅間で有効なコードであるとする。これに対応して、カード処理端末装置２は、認証結果（認証ＯＫ）を受信すると共に（ステップ２１１、ＹＥＳ）、更新された新しい認証コード２を受信する（ステップ２１２）。認証コード２を受信したカード処理端末装置２は、この認証コード２によりＣ駅を発車するまでの間、使用可能となる。

なお、セキュリティサーバ４は、再認証の結果、認証ＮＧの判断を下した場合（ステップ１１１、ＮＯ）、カード処理端末装置２に対して認証結果（認証ＮＧ）を送信する。これに対応して、カード処理端末装置２は、認証結果（認証ＮＧ）を受信すると共に（ステップ２１２、ＮＯ）、カード処理機能が停止され、カードを処理することができなくなる（ステップ２１３）。

続いて、図７を参照して、検札処理の一例について説明する。例えば、停車駅及び停車順が、Ａ駅→Ｂ駅→Ｃ駅→…→Ｚ駅であると仮定する。つまり、セキュリティサーバ４により作成される運行情報データが、上記した停車駅及び停車順に関する情報を含むと仮定する。

カード処理端末装置２による検札処理（適正検査）に関するカード処理が許可されている状態で、乗客が所持しているカード１をカード処理端末装置２にかざすと、カード１を検札することができる。カード１には例えば入場情報が記憶されており、カード処理端末装置２はカード１からこの入場情報を読み取る。入場情報は、入場駅及び入場時刻などの情報を含む。カード１から読み取られた入場情報に加えて、運行情報に基づき、カード１による乗車の適正を検査することができる。運行情報は、停車駅及び停車順などの情報を含み、さらに現在の運行状態に関する情報も含む（速度やドアの開閉状態）。カード処理端末装置２が運行情報を受け取り保持している場合には、カード処理端末装置２により適正検査を行なうことができる。カード処理端末装置２が運行情報を保持していない場合には、カード処理端末装置２からセキュリティサーバ４に対して入場情報を送信し、セキュリティサーバ４が、入場情報及び運行情報に基づきカード１による乗車の適正を検査することができる。

例えば、入場情報から、入場駅がＡ駅であることが判明したとする。運行情報から、列車が、Ａ駅に向かっていることが判明したとする。このケースでは、Ａ駅に停車したことを示す情報は運行情報には含まれていない。以上の条件から、カード１による乗車を不正と判断することができる。このケースでは、Ａ駅から入場した乗客が、折り返し乗車している可能性が高いと判断できる。このようにして、不正乗車を防止することができる。

続いて、図８を参照して、カード処理端末装置２を介した、セキュリティサーバ４とカード１との間の処理について説明する。

（１）カード処理端末装置２の認証完了後、セキュリティサーバ４は、カード処理端末装置２に対して、カード１に対するポーリングを指示する（コマンド送信）。

（２）カード処理端末装置２は、カード１に対してポーリングを送信する。

（３）カード処理端末装置２に対してカード１がかざされると、カード処理端末装置２は、カード１からレスポンスを受信し、受信したレスポンスをセキュリティサーバ４へ送信する。

（４）セキュリティサーバ４は、カード処理端末装置２を介して、カード１を認証する。

（５）カード１の認証完了後、セキュリティサーバ４は、カード処理端末装置２を介して、カード１に対してカード１内のデータを読み取るコマンドを送信する。これに対応して、セキュリティサーバ４は、カード処理端末装置２を介してカード１中のデータを受信する。

（６）セキュリティサーバ４は、受信したデータに基づき所定の処理を実行する。さらに、セキュリティサーバ４は、処理結果を書き込みデータとしてカード処理端末装置２を介してカード１へ送信する。セキュリティサーバ４は、カード１から書き込み結果を受信すると、カード１に対する処理を完了する。

以上説明したように、この発明のＩＣカード処理システムによれば、下記の作用効果を得ることができる。

（１）ＩＣカード処理システムは、端末及び係員ＩＤカードを認証し、正当な端末及び係員ＩＤカードを認識した場合に限り、端末によるＩＣカードの処理を許可する。これにより、十分なセキュリティを確保することができる。

（２）ＩＣカード処理システムは、車両の各種状態（走行状態、ドア開閉状態など）に応じて、カードの処理に関する機能を制限した上で、カード処理端末装置２によるカードの処理を許可する。例えば、停止中と走行中とで、カードの処理に関する機能の制限を区別することができる。

（３）ＩＣカード処理システムは、業務開始時に認証処理を行なうだけでなく、一定時間間隔で認証処理を必要とするシステムとする。一定時間間隔の認証処理を怠ると、時間経過又は運行区間の遷移に応じて認証が無効となり、端末によるＩＣカードの処理が実行できなくなる。これにより、さらにセキュリティを高めることができる。例えば、所定の運行区間毎に有効な認証コードを発行するようにして、定期的に（運行区間の遷移と共に）認証コードの更新を必要とする。

なお、本願発明は、上記実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合組み合わせた効果が得られる。更に、上記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適当な組み合わせにより種々の発明が抽出され得る。例えば、実施形態に示される全構成要件からいくつかの構成要件が削除されても、発明が解決しようとする課題の欄で述べた課題が解決でき、発明の効果の欄で述べられている効果が得られる場合には、この構成要件が削除された構成が発明として抽出され得る。

この発明の一例に係るＩＣカード処理システムの概要を示す図である。 この発明の一例に係るＩＣカード処理システムの構成を示すブロック図である。 端末の認証処理及び係員の認証処理を説明するための図である。 カード処理端末装置のカードの処理制限を説明するための図である。 認証処理及びカード処理制限の両者の流れを説明するためのフローチャートである。 認証処理及びカード処理制限の両者の流れを説明するためのフローチャートであって、図５に示すフローチャートの続きを示すフローチャートである。 検札処理の一例を説明するための図である。 カード処理端末装置を介した、セキュリティサーバとカードとの間の処理を説明するための図である。

１…カード、２…カード処理端末装置、３…中継装置、４…セキュリティサーバ、５…列車情報システム、１１…制御部、１２…メモリ、１３…通信制御部、２１…ＣＰＵ、２２…メモリ、２３…出力装置、２４…入力装置、２５…通信装置、２６…カード読取／書込装置、３１…制御部、３２…メモリ、３３…通信装置、３４…通信制御部、４１…ＣＰＵ、４２…メモリ、４３…磁気ディスク装置、４４…出力装置、４５…入力装置、４６…通信装置

Claims (4)

1. 移動車両内に持ち込まれるＩＣカードを処理する可搬型端末とサーバとの無線通信により前記可搬型端末から送信される前記可搬型端末に記憶された機器ＩＤコードと前記サーバに保持された機器ＩＤコードとが一致しても、一致した機器ＩＤコードに該当する使用可否情報が不許可を示していれば前記可搬型端末を認証せず、前記可搬型端末から送信される前記可搬型端末に記憶された機器ＩＤコードと前記サーバに保持された機器ＩＤコードとが一致し、且つ一致した機器ＩＤコードに該当する使用可否情報が許可を示していれば前記可搬型端末を認証する第１認証処理手段と、
   前記可搬型端末により係員ＩＤカードから読み取られた係員ＩＤコードであって、前記可搬型端末と前記サーバとの無線通信により前記可搬型端末から送信される前記係員ＩＤコードと前記サーバに保持された係員ＩＤコードとが一致しても、一致した係員ＩＤコードに該当する有効情報が無効を示していれば前記係員ＩＤカードを認証せず、前記可搬型端末から送信される前記係員ＩＤコードと前記サーバに保持された係員ＩＤコードとが一致し、且つ一致した係員ＩＤコードに該当する有効情報が有効を示していれば前記係員ＩＤカードを認証する第２認証処理手段と、
   前記第１認証処理手段により前記可搬型端末が認証され且つ前記第２の認証処理手段により前記係員ＩＤカードが認証されると前記可搬型端末に対して認証コードを通知し、前記可搬型端末によるＩＣカードの処理を許可する制御手段とを備え、
   前記制御手段は、前記移動車両の各種状態に応じて、前記可搬型端末による前記ＩＣカードの処理に関する機能を制限することを特徴とするＩＣカード処理システムで使用される可搬型端末。
2. 移動車両内に持ち込まれるＩＣカードを処理する可搬型端末とサーバとの無線通信により前記可搬型端末から送信される前記可搬型端末に記憶された機器ＩＤコードと前記サーバに保持された機器ＩＤコードとが一致しても、一致した機器ＩＤコードに該当する使用可否情報が不許可を示していれば前記可搬型端末を認証せず、前記可搬型端末から送信される前記可搬型端末に記憶された機器ＩＤコードと前記サーバに保持された機器ＩＤコードとが一致し、且つ一致した機器ＩＤコードに該当する使用可否情報が許可を示していれば前記可搬型端末を認証する第１認証処理手段と、
   前記可搬型端末により係員ＩＤカードから読み取られた係員ＩＤコードであって、前記可搬型端末と前記サーバとの無線通信により前記可搬型端末から送信される前記係員ＩＤコードと前記サーバに保持された係員ＩＤコードとが一致しても、一致した係員ＩＤコードに該当する有効情報が無効を示していれば前記係員ＩＤカードを認証せず、前記可搬型端末から送信される前記係員ＩＤコードと前記サーバに保持された係員ＩＤコードとが一致し、且つ一致した係員ＩＤコードに該当する有効情報が有効を示していれば前記係員ＩＤカードを認証する第２認証処理手段と、
   前記第１認証処理手段により前記可搬型端末が認証され且つ前記第２の認証処理手段により前記係員ＩＤカードが認証されると前記可搬型端末に対して認証コードを通知し、前記可搬型端末によるＩＣカードの処理を許可する制御手段とを備え、
   前記制御手段は、前記可搬型端末から所定のタイミングで送信される前記機器ＩＤコード、前記係員ＩＤコード、及び前記認証コードに基づき、前記可搬型端末及び前記係員を再認証することを特徴とするＩＣカード処理システムで使用される可搬型端末。
3. 前記制御手段は、前記再認証に基づき前記可搬型端末による前記ＩＣカードの処理を許可するとき、前記可搬型端末に対して更新された認証コードを送信することを特徴とする請求項２に記載のＩＣカード処理システムで使用される可搬型端末。
4. 前記許可制御手段により前記可搬型端末に対して送信される前記認証コードは、前記移動車両の運行情報に基づき決定される所定の運行区間毎に有効なコードであって、現在の運行区間の遷移と共に更新が必要なコードであることを特徴とする請求項３に記載のＩＣカード処理システムで使用される可搬型端末。

Images