JP6654998B2 - 自動取引装置及びその制御方法 - Google Patents

Description

本発明は自動取引装置及びその制御方法に関し、例えば、クレジットカードやキャッシュカードに記録された情報と利用者の操作とに基づいて出金取引を行うＡＴＭ（Automated Teller Machine）に適用して好適なものである。

従来、不正に利益を享受しようとする犯罪者が、ＡＴＭ等の自動取引装置に対し、物理的又は論理的に細工を施し、不正に利益を享受する事案が発生している。

例えば、ＡＴＭ等の自動取引装置では、内部モジュールに不正なコマンドが送信されることにより、取引の裏付けのない不正処理が実行されることがある。一例として、自動取引装置内の紙幣の入出金を行う紙幣処理部に対し、取引とは関係のない不正な出金コマンドが送信されて現金が引き出されてしまうことがある。

また、例えば自動取引装置に搭載されているカードリーダに対し、犯罪者がカード詰まりを発生させる細工を施す不正行為も行われる。この場合、利用者が細工の施されたカードリーダにカードを挿入するとカードリーダの中でカードが詰まり、利用者が自動取引装置に対して返却操作を行ったとしてもカードが返却されなくなる。そして犯罪者は、利用者がカード返却を諦めて立ち去った後に、ピンセットやペンチ等の物理的な手段によりカードを不正に入手する。

さらに、従来、偽造カードを使用した不正出金に対するセキュリティ機能を強化した自動取引装置のカードリーダが存在せず、例えば、キャッシング取引時における出金の可否判断は上位ホストで行われている。このため、上位ホストが通信等を行えない状況において行われた信用取引の取引情報を他の自動取引装置との間で共有できず、ある自動取引装置で偽造カード使用による不正出金が発生したとしても、その周りの自動取引装置において出金を抑止することができない。

このような問題を解決する手段として、従来、自動取引装置内の制御部で犯罪者の不正操作などの異常を検知した場合に、制御部内の処理ステータスを変え、処理を中断するという技術が提案されている。例えば特許文献１には、取引時に自動取引装置の利用者の取引内容と自動取引装置が保持している当該自動取引装置の取引履歴とを比較することで、取引が異常でないかを判別し、取引が異常とであると判別した場合には、当該取引の処理を中止するという技術が開示されている。

また、例えば特許文献２には、カードリーダにカードロック機構を設ける方法が提案されている。カードリーダが、カード取扱中に何らかの異常を検知した場合に本カードロック機構を動作させることにより、カードリーダ内部にカードをロックする。これにより犯罪者がピンセットやペンチなどの物理的な手段でカードを取り出すことを困難にすることができる。

また、ＡＴＭ内部に設けられた当該ＡＴＭ全体の動作制御を司る通常のＡＴＭ制御部と上位ホストと間で、出金限度額情報の記憶及び設定を行う技術がある。例えば特許文献３には、ＡＴＭ制御部及びホスト間で出金限度額情報の記憶及び設定を行い、この出金限度額と現在の出金額とを比較し、現在の出金額が設定した出金限度額情報より現在の出金額が越える場合は、当該取引の処理を中止するという技術が開示されている。

特開２００７−１９９８８１号公報 国際公開第２０１５／０８７８６６号 特許第４７９４４５号

ところが、特許文献１に開示された技術によると、自動取引装置内部に設けられた、その自動取引装置内の紙幣処理部やカードリーダ及びレシートプリンタなどを制御する全体制御部のアプリケーションソフトや制御用のソフトウェアがマルウェアに乗っ取られた場合に、犯罪者が異常な内容の取引を行ったとしても、全体制御部が正常に動作しないために異常を検知できず、又は、全体制御部が異常を検知したとしてもその検知を無視して、出金コマンドが紙幣処理部に送られてしまうおそれがあった。

また、かかる全体制御部のアプリケーションソフトや制御用のソフトウェアをマルウェアで乗っ取ることにより、犯罪者が特殊なデータが書き込まれたＩＣカードをカードリーダに読み込ませる操作を契機に、全体制御部内に保管しておいたそれまでに取引を行ったカードのカード番号を不正にＩＣカードにダウンロードし搾取することも可能となる。加えて、犯罪者が特殊な磁気データが書き込まれたカードをカードリーダに読み込ませる操作を契機に、自動処理装置内に保管しておいたそれまでに取引を行ったカードのカード情報を不正に明細書プリンタに印字させることも可能となる。つまり、全体制御部自身がマルウェアに乗っ取られているため、特許文献１に開示された技術では犯罪者の通常とは異なる操作による不正の検知や、不正取引の中断処理ができないという問題があった。

さらに特許文献２に開示されたカードロック機構によりカードをロックし、不正入手を防止しようとしても、上述のように犯罪者が全体制御部をマルウェアに感染させ、例えば暗号化ピンパッドに対して通常とは異なる操作を行うことによりカードロック解除コマンドをカードリーダに送信させることで、カードのロックを解除させることも可能となる。

さらに特許文献３に開示された技術を利用する場合、他社カードによるキャッシング取引で悪意のある通信攻撃により他行ホストからの応答がない場合、偽造カード使用による不正出金に対し、信用取引を行う関係で同じカードで不正出金を複数の自動取引装置が許可してしまう。また、ホストに関係なく最初のセキュリティ機能を強化したカードリーダが最初の出金情報を他の自動取引装置のセキュリティ機能を強化したカードリーダへ伝達することが考慮されていなかったため、不正取引の中断処理ができないという問題がある。

本発明は以上の点を考慮してなされたもので、不正取引等を抑止し得る信頼性の高い自動取引装置及びその制御方法を提案しようとするものである。

かかる課題を解決するため本発明においては、利用者からの要求に応じた出金取引を行う自動取引装置において、それぞれ前記出金取引に必要な処理を実行する複数のモジュールと、各前記モジュールをそれぞれ制御する全体制御部と、セキュリティ制御部とを設け、前記セキュリティ制御部が、正常な前記出金取引時における前記全体制御部と、各前記モジュールとの間でやり取りされる信号の内容がやり取りされる順番で記録された第１のリストを予め保持し、実際の前記出金取引時における前記全体制御部と、各前記モジュールとの間でやり取りされた前記信号の内容をやり取りされた順番で第２のリストに順次記録し、前記第１のリストの内容と、前記第２のリストの内容とが一致したときに前記モジュールの動作を許可する署名を発行し、前記モジュールが、前記セキュリティ制御部が前記署名を発行したときに、対応する動作を実行するようにした。

また本発明においては、利用者からの要求に応じた出金取引を行う自動取引装置の制御方法において、前記自動取引装置は、それぞれ前記出金取引に必要な処理を実行する複数のモジュールと、各前記モジュールをそれぞれ制御する全体制御部と、セキュリティ制御部とを有し、前記セキュリティ制御部が、正常な前記出金取引時における前記全体制御部と、各前記モジュールとの間でやり取りされる信号の内容がやり取りされる順番で記録された第１のリストを予め保持する第１のステップと、前記セキュリティ制御部が、実際の前記出金取引時における前記全体制御部と、各前記モジュールとの間でやり取りされた前記信号の内容をやり取りされた順番で第２のリストに順次記録する第２のステップと、前記セキュリティ制御部が、前記第１のリストの内容と、前記第２のリストの内容とが一致したときに前記モジュールの動作を許可する署名を発行する第３のステップと、前記モジュールが、前記セキュリティ制御部が前記署名を発行したときに、対応する動作を実行する第４のステップとを設けるようにした。

本発明の自動取引装置及びその制御方法によれば、不正な出金が行われたり、利用者のカードが犯罪者に不正に搾取されたり、利用者のカードの情報が犯罪者に不正に搾取されたり、大量のカード情報が犯罪者に不正に搾取されることを防止することができる。

本発明によれば、不正取引等を抑止し得る信頼性の高い自動取引装置を実現できる。

従来の自動取引システムの全体構成例を示すブロック図である。 従来の自動取引システムの構成例を示すブロック図である。 勘定系ホストコンピュータの構成例を示すブロック図である。 ＩＣカードの構成例を示すブロック図である。 従来の自動取引システムにおける出金取引処理の流れを示すシーケンス図である。 従来の自動取引システムにおける出金取引処理の流れを示すシーケンス図である。 第１の実施の形態による自動取引システムの全体構成例を示すブロック図である。 セキュリティ制御部の構成を示すブロック図である。 第１の実施の形態の自動取引システムにおける出金取引処理の流れを示すシーケンス図である。 第１の実施の形態の自動取引システムにおける出金取引処理の流れを示すシーケンス図である。 第２の実施の形態による自動取引システムの全体構成例を示すブロック図である。 第２の実施の形態によるカードリーダの構成例を示すブロック図である。 第２の実施の形態の自動取引システムにおける出金取引処理の流れを示すシーケンス図である。 第２の実施の形態の自動取引システムにおける出金取引処理の流れを示すシーケンス図である。 第３の実施の形態による自動取引システムの全体構成例を示すブロック図である。 第３の実施の形態によるカードリーダの構成例を示すブロック図である。 カードロック機能の構成例を示すブロック図である。 コマンド−権限対応付けリストの構成例を示す概念図である。 第３の実施の形態によるカード排出コマンド実行処理の処理手順を示すフローチャートである。 第４の実施の形態による自動取引システムの全体構成例を示すブロック図である。 第４の実施の形態によるカード排出コマンド実行処理の処理手順を示すフローチャートである。 従来のシンクライアント自動取引システムの構成例を示すブロック図である。 従来のシンクライアント自動取引システムにおけるキャッシング取引の流れを示すシーケンス図である。 第５の実施の形態のシンクライアント自動取引システムの構成例を示すブロック図である。 シンクライアントＡＴＭの構成例を示すブロック図である。 シンクライアントサーバの構成例を示すブロック図である。 カード情報データベースの構成例を示す概念図である。 第５の実施の形態のシンクライアント自動取引システムにおけるキャッシング取引の流れを示すシーケンス図である。

以下図面について、本発明の一実施の形態を詳述する。

（１）第１の実施の形態
（１−１）従来の自動取引システムの構成
第１の実施の形態による自動取引システムを説明するに際して、まず、従来の自動取引システムの構成について説明する。

図１は、従来の自動取引システムの構成例を示す。この自動取引システム１は、１又は複数台のＡＴＭ２と、勘定系ホストコンピュータ３とがＬＡＮ（Local Area Network）又はＷＡＮ（Wide Area Network）などの広域のネットワーク４を介して接続されることにより構成されている。

ＡＴＭ２は、利用者の操作に応じて現金の入出金等の取引を行う自動取引装置である。ＡＴＭ２は、当該ＡＴＭ２全体の動作制御を司るＡＴＭ制御部１０と、ＡＴＭ２の前面パネルの表示ランプ制御や前面パネルの開閉検知を行うＩ／Ｏ制御部１１と、ＡＴＭ２の前面に設けられた入出金口内に投入された紙幣を計数して収納庫に搬送、保管し又は出金すべき紙幣を前記収納庫から取り出して入出金口内に搬送する紙幣処理部１２と、ＡＴＭ２での取引に必要なキャッシュカード等のカード媒体２１から当該カード媒体２１に記録されている情報を読み取るカードリーダ１３と、暗証番号等を入力するためのテンキーを有し、入力された暗証番号等の情報を暗号化する機能を有する暗号化ピンパッド１４と、取引明細書用のプリンタでなるレシートプリンタ１５と、通帳用のプリンタでなる通帳プリンタ１６と、ＡＴＭ取引のログをプリントするジャーナルプリンタ１７と、利用者の顔写真を撮影するセキュリティ用の監視カメラ１８と、入出金等の取引に関する情報を表示し、利用者からの操作を受け付ける表示部１９と、勘定系ホストコンピュータ３と通信を行う通信処理部２０とを備えて構成される。

なおＡＴＭ２は、入金された硬貨や出金する硬貨を取り扱う硬貨処理部（図示せず）を備えていてもよい。また以下においては、カード媒体２１としてＩＣ（Integrated Circuit Card）カードが使用される例について説明するものとする。このため以下においては、「カード媒体２１」を「ＩＣカード２１」と呼ぶものとする。

図２に示すように、ＡＴＭ制御部１０のメモリ３１の記憶領域は、プログラム領域３２及びデータ領域３３に区分されて管理される。そしてプログラム領域３２には、ＡＴＭ２の取引全体を制御するＡＴＭアプリケーションソフトウェア４０と、Ｉ／Ｏ（Input/Output）制御部１１、紙幣処理部１２、カードリーダ１３、暗号化ピンパッド１４、レシートプリンタ１５、通帳プリンタ１６、ジャーナルプリンタ１７、監視カメラ１８及び表示部１９をそれぞれ制御するためのソフトウェア（Ｉ／Ｏ制御部制御ソフトウェア４１、紙幣処理部制御ソフトウェア４２、カードリーダ制御ソフトウェア４３、暗号化ピンパッド制御ソフトウェア４４、レシートプリンタ制御ソフトウェア４５、通帳プリンタ制御ソフトウェア４６、ジャーナルプリンタ制御ソフトウェア４７、監視カメラ制御ソフトウェア４８及び通信処理ソフトウェア４９）と、ソフトウェア環境等の設定ファイルでなるソフトウェア設定ファイル５０とが格納される。

またデータ領域３３には、ＡＴＭ２での入出金取引に必要なデータが格納される。具体的には、カード番号６０、取引データ６２、ＡＲＱＣ（Authentication Request Cryptogram）６３、取引可否データ６４、ＡＲＰＣ（Authentication Response Cryptogram）６５、ＡＲＰＣ検証結果６６、取引検証結果６７、紙幣処理部制御データ６８及び入金計数金額６９などがデータ領域３３に格納される。

カード番号６０は、ＩＣカード２１に記憶されている、銀行口座の番号又はクレジットカードの番号などの利用者の口座を特定する情報であり、カードリーダ１３によりＩＣカード２１から取得され、ＡＴＭ制御部１０のメモリ３１に記憶される。

取引データ６２は、勘定系ホストコンピュータ３に送信する取引電文データである。取引データ６２は、例えば、出金額又は入金額などの利用者からの入力に基づく取引に関する情報、特には取引金額に関する情報を含む。また、取引データ６２は、カード番号６０などの情報を含んでもよい。ＡＲＱＣ６３は、勘定系ホストコンピュータ３に送信する取引データ６２に対するメッセージ認証コード（ＭＡＣ）であり、ＩＣカード２１で生成される。

取引可否データ６４は、ＡＴＭ２から送信された取引データ６２に対して、勘定系ホストコンピュータ３が銀行口座残高や与信情報などを参照して、その取引を成立させて良いか否かを判断した結果のデータである。またＡＲＰＣ６５は、取引可否データ６４に対するメッセージ認証コードであり勘定系ホストコンピュータ３で生成される。勘定系ホストコンピュータ３は、「ＡＴＭスイッチ」、「ＡＴＭの上位装置」又はＡＴＭ２の外部のコンピュータであることを意味する「外部コンピュータ」と呼ぶこともある。

ＡＲＰＣ検証結果６６は、ＩＣカード２１内でＡＲＰＣ６５のメッセージ認証コードを検証した結果を示すデータである。また取引検証結果６７は、ＩＣカード２１内で生成される取引データに対するメッセージ認証コードであり、取引受入れの場合は「ＴＣ」が格納され、取引拒絶の場合は「ＡＡＣ」が格納される。

紙幣処理部制御データ６８は、ＡＴＭ制御部１０が紙幣処理部１２（図１）に対して送信する、紙幣処理のためのコマンドデータであり、例えば、紙幣出金を指示する紙幣出金コマンド、入金計数を指示する紙幣計数コマンド、入金収納を指示する紙幣収納コマンドがある。入金計数金額６９は、入金取引時において紙幣処理部１２が、ＡＴＭ２に投入された紙幣を計数した合計金額である。

一方、勘定系ホストコンピュータ３は、ＡＴＭ２の利用者の口座や残高に関する情報などを記憶し管理する機能を有するコンピュータ装置であり、図３に示すように、勘定系ホストコンピュータ３全体の動作制御を司るＣＰＵ７０と、メモリ７１となどの情報処理資源を備えて構成される。

勘定系ホストコンピュータ３のメモリ７１の記憶領域は、プログラム領域７２及びデータ領域７３に区分されて管理されており、プログラム領域７２には、アプリケーション８０、通信制御ソフトウェア８１及び暗号処理ソフトウェア８２が格納され、データ領域７３には、取引データ８３、ＡＲＱＣ８４、取引可否データ８５及びＡＲＰＣ８６が格納される。

アプリケーション８０は、勘定系ホストコンピュータ３全体の制御を行うソフトウェアである。また通信制御ソフトウェア８１は、勘定系ホストコンピュータ３と各ＡＴＭ２との間でのデータ通信を制御する機能を有するソフトウェアである。暗号処理ソフトウェア８２は、ＡＴＭ２から送信されてくるメッセージ認証コードであるＡＲＱＣ８４を検証したり、ＡＲＰＣ８６といった新たにメッセージ認証コードを生成したりする暗号処理機能を持つソフトウェアである。

また取引データ８３は、ＡＴＭ２から送信されてくる出金取引や入金取引のための取引電文データであり、図２の取引データ６２と同じデータである。ＡＲＱＣ８４は、取引データ８３が改ざんされていないかを検証するためのメッセージ認証コードであり、ＩＣカード２１で生成される。このＡＲＱＣ８４は、図２のＡＲＱＣ６３と同じデータである。取引可否データ８５は、勘定系ホストコンピュータ３が銀行口座残高や与信情報などを参照して、その取引を成立させても良いか否かを判断した結果を表すデータであり、図２の取引可否データ６４と同じデータである。ＡＲＰＣ８６は、取引可否データ８５に対するメッセージ認証コードであり、勘定系ホストコンピュータ３で生成される。このＡＲＰＣ８６も、図２のＡＲＰＣ６５と同じデータである。

図４は、ＩＣカード２１の概略構成を示す。この図４からも明らかなように、ＩＣカード２１は、ＩＣカード２１全体の動作制御を司るＣＰＵ９０と、メモリ９１などの情報処理資源を備えて構成される。そしてＩＣカード２１のメモリ９１の記憶領域は、プログラム領域９２及びデータ領域９３に区分されて管理されており、プログラム領域９２には、アプリケーション１００、通信制御ファームウェア１０１及び暗号処理ファームウェア１０２が格納され、データ領域９３には、取引データ１０４、ＡＲＱＣ１０５、取引可否データ１０６、ＡＲＰＣ１０７、ＡＲＰＣ検証結果１０８及び取引検証結果１０９が格納される。

アプリケーション１００は、ＩＣカード２１の全体制御を行うソフトウェアである。また通信制御ファームウェア１０１は、カードリーダ１３（図１）との間でのデータ通信を制御する機能を有するソフトウェアである。暗号処理ファームウェア１０２は、ＡＲＱＣ１０５を生成したり、勘定系ホストコンピュータ３から送信されてくるＡＲＰＣ１０７を検証したりする暗号処理機能を持つソフトウェアである。

また取引データ１０４は、ＡＴＭ２から送信されてきた出金取引又は入金取引のための取引電文データであり、図３の取引データ８３と同じデータである。

ＡＲＱＣ１０５は、図２のＡＲＱＣ６３及び図３のＡＲＱＣ８４と同じデータであり、図２の取引データ６２に対するメッセージ認証コードである。ＡＲＱＣ１０５は、勘定系ホストコンピュータ３で検証される。取引可否データ１０６は、勘定系ホストコンピュータ３が銀行口座残高や与信情報などを参照して、その取引を成立させて良いか否かを判断した判断結果を表すデータであり、図２の取引可否データ６４及び図３の取引可否データ８５と同じデータである。

ＡＲＰＣ１０７は、取引可否データ１０６に対するメッセージ認証コードであり、勘定系ホストコンピュータ３で生成され、図２のＡＲＰＣ６５、図３のＡＲＰＣ８６と同じデータである。取引検証結果１０９は、ＡＲＰＣ１０７をＩＣカード２１が検証した結果、ＡＴＭ制御部１０に紙幣出金コマンド送信を許可するために使われるデータである。また、取引検証結果１０９はＩＣカード２１がＡＲＰＣ１０７を検証してＡＴＭ２での取引を承認したことを勘定系ホストコンピュータ３が検証するためにも使用される。取引検証結果１０９として、取引を承認した場合に「ＴＣ」が生成され、取引拒否の場合に「ＡＡＣ」が生成される。

ＩＣカード２１には、そのＩＣカード２１の保有者の銀行口座番号やクレジットカード番号、あるいは、本人確認を行うための情報が記録されると共に、勘定系ホストコンピュータ３との間でＡＴＭ取引に必要なメッセージ認証コードを生成したり検証したりする機能が搭載される。

次に、図５Ａ及び図５Ｂを参照して、従来の自動取引システム１における出金取引処理の概略の流れについて説明する。

まず、ＡＴＭ２の利用者によりＩＣカード２１（図１）がＡＴＭ２の前面に設けられた図示しないカード挿入口に挿入されると、そのＩＣカード２１に記録されたカード番号等の必要な情報が当該ＩＣカード２１からカードリーダ１３を経由してＡＴＭ制御部１０に送信される（Ｓ１）。

ＡＴＭ制御部１０は、かかるカード番号等の情報を受信すると（Ｓ２）、処理選択画面の表示指示を表示部１９に送信する（Ｓ３）。また表示部１９は、この表示指示に従って処理選択画面を表示する（Ｓ４）。かくしてＡＴＭ２の利用者は、暗号化ピンパッド１４を操作して取引種別として出金取引を選択し（Ｓ５）、この結果としてＡＴＭ制御部１０が出金取引の一連の処理を開始する（Ｓ６）。なお出金取引の選択は表示部１９で選択できるようにしてもよい。

ＡＴＭ制御部１０は、出金取引の処理を開始すると、まず、暗証番号入力の表示指示を表示部１９に送信する（Ｓ７）。また表示部１９は、この表示指示に従って暗証番号入力画面を表示する（Ｓ８）。そしてＡＴＭ２の利用者が暗号化ピンパッド１４を操作して暗証番号を入力すると、この暗証番号が暗号化ピンパッド１４からＡＴＭ制御部１０に送信され（Ｓ９）、この暗証番号に基づいてＡＴＭ制御部１０及び勘定系ホストコンピュータ３間で本人確認認証が行われる（Ｓ１０）。

ＡＴＭ２のＡＴＭ制御部１０は、かかる本人確認認証が成功すると出金金額入力の表示指示を表示部１９に送信する（Ｓ１１）。また表示部１９は、かかる表示指示に従って出金金額入力画面を表示する（Ｓ１２）。そしてＡＴＭ２の利用者が暗号化ピンパッド１４を用いて出金金額を入力すると、暗号化ピンパッド１４は、出金額をＡＴＭ制御部１０に送信する（Ｓ１３）。

ＡＴＭ制御部１０は、かかる出金取引における出金額を受信すると（Ｓ１４）、出金取引に必要な取引データ６２（図２）をカードリーダ１３経由でＩＣカード２１に送信する（Ｓ１５）。またＩＣカード２１は、かかる取引データ６２を受信すると、これらをメモリ９１（図４）に格納すると共に（Ｓ１６）、取引データ６２に対するメッセージ認証コードであるＡＲＱＣ１０５を生成し、生成したＡＲＱＣ認証コード１０５をＡＴＭ制御部１０に送信する（Ｓ１７）。

ＡＴＭ制御部１０は、かかるＡＲＱＣ認証コード１０５を受信すると（Ｓ１８）、受信した認証コードＡＲＱＣ１０５をＡＲＱＣ６３（図２）としてメモリ３１（図２）に格納すると共に、この認証コードＡＲＱＣ１０５を取引データ６２（図２）と共に勘定系ホストコンピュータ３に送信する（Ｓ１９）。

勘定系ホストコンピュータ３は、取引データ６２及び認証コードＡＲＱＣ１０５を受信すると（Ｓ２０）、これらをそれぞれ取引データ８３（図３）及び認証コードＡＲＱＣ８４（図３）としてメモリ７１（図３）に格納する。また勘定系ホストコンピュータ３は、利用者の口座残高や与信情報を確認し、出金額、口座残高又は与信情報などに基づき出金取引の実施可否を検証した上で、取引可否データ８５（図３）を生成すると共に、それに対応するメッセージ認証コードであるＡＲＰＣ８６（図３）を生成する。そして勘定系ホストコンピュータ３は、生成した取引可否データ８５及び認証コードＡＲＰＣ８６をＡＴＭ制御部１０に返送する（Ｓ２１）。

ＡＴＭ制御部１０は、勘定系ホストコンピュータ３から返送されてきた上述の取引可否データ８５（図３）及び認証コードＡＲＰＣ８６（図３）を受信すると（Ｓ２２）、これらをそれぞれ取引可否データ６４（図２）及び認証コードＡＲＰＣ６５（図２）としてメモリ３１（図２）に格納し、その後、ＩＣカード２１に認証コードＡＲＰＣ６５（図２）及び取引可否データ６４（図２）を送信する（Ｓ２３）。

ＩＣカード２１は、この認証コードＡＲＰＣ６５と取引可否データ６４を受信すると、これをＡＲＰＣ１０７（図４）と取引可否データ１０６としてメモリ９１（図４）に格納して、認証コードＡＲＰＣに基づき取引可否データ１０６の正当性を検証し、その結果をＡＲＰＣ検証結果１０８（図４）としてメモリ９１に格納する（Ｓ２４）。またＩＣカード２１は、この後、このＡＲＰＣ検証結果１０８をＡＴＭ制御部１０に送信する（Ｓ２５）。

ＡＴＭ制御部１０は、かかるＡＲＰＣ検証結果１０８を受信すると、受信したＡＲＰＣ検証結果１０８をＡＲＰＣ検証結果６６（図２）としてメモリ３１（図２）に格納する（Ｓ２６）。またＡＴＭ制御部１０は、このＡＲＰＣ検証結果６６の内容を参照して、取引が受け入れられていると判断した場合には、再度、ＩＣカード２１の要求に合う取引データ６２（図２）を生成してＩＣカード２１に送信する（Ｓ２７）。

ＩＣカード２１は、この取引データ６２を受信すると（Ｓ２８）、これを取引検証結果６７（図２）としてメモリ３１（図２）に格納する。ＩＣカード２１は、その検証結果のメッセージ認証コードとして取引検証結果１０９（図４）を生成し、生成した取引検証結果１０９をカードリーダ１３経由でＡＴＭ制御部１０に送信する（Ｓ２９）。

ＡＴＭ制御部１０は、この取引検証結果１０９を受信すると、これを取引検証結果６７（図２）としてメモリ３１（図２）に格納する（Ｓ３０）。そしてＡＴＭ制御部１０は、この取引検証結果６７が「ＡＡＣ」であった場合には、取引不可のメッセージをＡＴＭ２の表示部１９（図１）に表示させる。

これに対してＡＴＭ制御部１０は、かかる取引検証結果６７の値が正常「ＴＣ」であった場合には、取引受入と判断して出金すべき紙幣金種及びその枚数の情報を含む紙幣出金コマンドを生成し、生成した紙幣出金コマンドを紙幣処理部制御データ６８（図２）としてメモリ３１（図２）に格納すると共に（Ｓ３１）、この紙幣出金コマンドを紙幣処理部１２に送信する（Ｓ３２）。

そして紙幣処理部１２は、かかる紙幣出金コマンドを受信すると（Ｓ３３）、受信した紙幣出金コマンドに基づいて、紙幣出金コマンドで指定された金種の紙幣をＡＴＭ２内に設けられた金庫に囲われた紙幣を保管する収納庫から指定された枚数だけ取り出してＡＴＭ２の前面に設けられた入出金口内に搬送する出金処理を行う（Ｓ３４）。

この後、ＡＴＭ制御部１０は、カードリーダ１３に対し、ＩＣカード２１の返却指示を送信する（Ｓ３５）。カードリーダ１３はカードの返却指示を受信すると（Ｓ３６）、ＩＣカード２１をカード挿入口から排出し、利用者に返却する（Ｓ３７）。

ＡＴＭ制御部１０は、レシートプリンタ１５に対し、取引内容を含む明細書の印刷コマンドを送信する（Ｓ３８）。そしてレシートプリンタ１５は、明細書印刷コマンドを受信すると（Ｓ３９）、明細書を印刷する（Ｓ４０）。

以上が従来のＡＴＭ出金取引処理の流れの一例である。

ここで、ＡＴＭ制御部１０のＡＴＭアプリケーションソフトウェア４０（図２）にマルウェアが混入して、取引の裏付けのない不正な紙幣出金コマンドが紙幣処理部１２に送信される処理は起こり得る。すなわちＡＴＭ制御部１０は、必ずＩＣカード２１の挿入や暗号化ピンパッド１４の暗証番号入力操作等を経て、メモリ３１（図２）に格納されている取引検証結果６７（図２）に基づいて紙幣出金コマンドを生成するのが本来の処理の流れである。それを保障しているのがＡＴＭアプリケーションソフトウェア４０の正当性である。

しかしながら、マルウェアの混入によりＡＴＭアプリケーションソフトウェア４０の正当性が担保されないと、取引検証結果６７に基づかずに不正な紙幣出金コマンドが紙幣処理部１２に送信される。この場合、紙幣出金コマンド中の出金金額が改ざんされたり、そもそも取引とは全く関係のない紙幣出金コマンドが紙幣処理部１２に送信され、紙幣の不正出金が行われる。

また、別の事例では、マルウェアの混入によりＡＴＭアプリケーションソフトウェア４０の正当性が担保されないと、取引終了後に本来送信されるカード返却コマンドが送信されずＩＣカード２１がＡＴＭ２内部に滞留し、利用者がＩＣカード２１を受け取ることが不可能となる。その後、利用者が立ち去った後に、犯罪者が暗号化ピンパッド１４に通常入力されることのない組合せや桁数の番号を入力することにより、カード返却コマンドがカードリーダ１３に送信され、利用者のＩＣカード２１を犯罪者が不正に搾取することが可能となる。

また、別の事例では、マルウェアの混入によりＡＴＭアプリケーションソフトウェア４０の正当性が担保されないと、正当な取引を行うＩＣカード２１ではなく特別なカード情報を送信する不正カードを挿入することにより、カードデータ書込みコマンドがカードリーダ１３に送信され、ＡＴＭ制御部１０のメモリ３１のデータ領域３３に保存されているカード番号６０の情報を不正カードに書き込み、大量のカード情報を犯罪者が不正に搾取することが可能となる。

また、別の事例では、マルウェアの混入によりＡＴＭアプリケーションソフトウェア４０の正当性が担保されないと、正当な取引を行うＩＣカード２１ではなく特別なカード情報を送信する不正カードを挿入したり、暗号化ピンパッド１４に通常入力されることのない組合せや桁数の番号を入力することにより、プリンタ印字コマンドがレシートプリンタ１５に送信され、ＡＴＭ制御部１０のメモリ３１のデータ領域３３に保存されているカード番号６０の情報をレシートプリンタ１５に印字させて大量のカード情報を犯罪者が不正に搾取することが可能となる。

加えて、ＡＴＭアプリケーションソフトウェア４０や、図２に示す９種類のモジュール制御ソフトウェア（Ｉ／Ｏ制御部制御ソフトウェア４１、紙幣処理部制御ソフトウェア４２、カードリーダ制御ソフトウェア４３、暗号化ピンパッド制御ソフトウェア４４、レシートプリンタ制御ソフトウェア４５、通帳プリンタ制御ソフトウェア４６、ジャーナルプリンタ制御ソフトウェア４７、監視カメラ制御ソフトウェア４８及び通信処理ソフトウェア４９）と、ソフトウェア環境のソフトウェア設定ファイル５０の不正改ざんを防止するためのセキュリティ対策ソフトウェアとして、ウィルスの混入を検知するウィルスチェックソフトウェアや、ホワイトリスト型と呼ばれる、登録されたソフトウェア以外のソフトウェアの起動を防止するセキュリティ対策ソフトウェアが従来から存在するものの、全体制御部（ＡＴＭ制御部１０）が起動するときに、そのセキュリティ対策ソフトウェアの起動が妨げられて機能しないような不正改造が行われる場合もあり、これらの対策ソフトウェアだけでは万能ではない。

本実施の形態では、ＡＴＭ２内の暗号化ピンパッド１４、カードリーダ１３、紙幣処理部１２、レシートプリンタ１５、追加で新たに実装するセキュリティ制御部１１２（図６）のいずれかが、ＡＴＭ２内のモジュール動作を許可する動作許可署名を発行することにより、ＡＴＭアプリケーションソフトウェア４０やモジュール制御ソフトウェアがマルウェアにより不正改ざんされた場合においても不正処理ができない自動取引システムを提案する。以下、このような本実施の形態の自動取引システムについて図６〜図１１を参照して説明する。

（１−２）第１の実施の形態による自動取引装置の構成
図１との対応部分に同一符号を付して示す図６において、１１０は全体として本実施の形態による自動取引システムを示す。本自動取引システム１１０は、ＡＴＭ１１１の紙幣処理部１１３、カードリーダ１１４、暗号化ピンパッド１１５及びレシートプリンタ１１６の機能が異なる点と、実際の取引において行われた処理の流れが正当な取引で行われる処理の流れと比較することにより、そのときの取引が正当な取引であるか否かを判定するセキュリティ制御部１１２が新たにＡＴＭ１１１に追加されている点とを除いて図１〜図５Ｂについて上述した従来の自動取引システム１と同様に構成されている。

図７は、セキュリティ制御部１１２の概略構成を示す。セキュリティ制御部１１２は、通信監視部２０１、実処理フローリスト保持部２０２、正当処理フローリスト保持部２０３及び動作許可署名発行部２０４を備えて構成される。

通信監視部２０１は、ＡＴＭ１１１内のＡＴＭ制御部１０と紙幣処理部１１３やカードリーダ１１４、暗号化ピンパッド１１５、レシートプリンタ１１６等との間の通信を監視する機能を有するモジュールである。なお、通信監視部２０１は、例えばハードウェア構成及びソフトウェア構成のいずれであってもよい。例えば通信監視部２０１がソフトウェア構成の場合、セキュリティ制御部１１２がＣＰＵ及びメモリ等の情報処理資源を有する構成とし、ＣＰＵがメモリに格納されたプログラムを実行することにより、通信監視部２０１が機能として具現化されるようにすればよい。動作許可署名発行部２０４についても同様である。

また実処理フローリスト保持部２０２は、かかる通信監視によって取得した、利用者との取引開始（図５ＡのステップＳ１）から図５ＢのステップＳ３８までの一連の処理の内容をリスト（以下、これを実処理フローリスト２０５と呼ぶ）として保存しておくための記憶領域を有する記憶デバイス等のモジュールである。実際上、実処理フローリスト２０５には、利用者との取引開始から図５ＢのステップＳ３８までの一連の処理において、ＡＴＭ制御部１０が紙幣処理部１２、カードリーダ１３、ＩＣカード２１、暗号化ピンパッド１４、表示部１９及びレシートプリンタ１５などの各モジュールとの間で実際にやり取りされたコマンドや各種情報などを含む各信号の内容が、やり取りされた信号の順番で記録される。

さらに正当処理フローリスト保持部２０３は、図５Ａ及び図５Ｂを用いて説明した正当な出金取引処理時における利用者との取引開始からステップＳ３２の紙幣出金処理や、ステップＳ３５のカード返却処理、又は、ステップＳ３８の明細書印刷処理までの一連の処理の内容がそれぞれ記録されたリストでなる正当紙幣出金処理フローリスト２０６、正当カード返却処理フローリスト２０７、正当明細書印刷処理フローリスト２０８及び正当カードデータ書込み処理フローリスト２０９を保存しておくための記憶領域を有する記憶デバイス等のモジュールである。この場合、正当処理フローリスト保持部２０３は実処理フローリスト保持部２０２と同一の記憶デバイスであってもよい。

実際上、正当紙幣出金処理フローリスト２０６には、正当な出金取引処理時における利用者との取引開始からステップＳ３２の紙幣出金処理までの一連の処理において、ＡＴＭ制御部１０が紙幣処理部１２、ＩＣカード２１、暗号化ピンパッド１４及び表示部１９との間でやり取りするコマンドや各種情報などを含む各信号の内容が、やり取りされる信号の順番で予め記録されている。

また正当カード返却処理フローリスト２０７には、正当な出金取引処理時における利用者との取引開始からステップＳ３５のカード返却処理までの一連の処理において、ＡＴＭ制御部１０が紙幣処理部１２、カードリーダ１３、ＩＣカード２１、暗号化ピンパッド１４及び表示部１９との間でやり取りされるコマンドや各種情報などを含む各信号の内容が、やり取りされる信号の順番で予め記録されている。

さらに正当明細書印刷処理フローリスト２０８には、正当な出金取引処理時における利用者との取引開始からステップＳ３８の明細書印刷処理までの一連の処理において、ＡＴＭ制御部１０が紙幣処理部１２、カードリーダ１３、ＩＣカード２１、暗号化ピンパッド１４、表示部１９及びレシートプリンタ１５との間でやり取りされるコマンドや各種情報などを含む各信号の内容が、やり取りされる信号の順番で予め記録されている。

さらに正当カードデータ書込み処理フローリスト２０９には、図示していないが、正当な処理時における処理開始からＩＣカード２１にカード番号等の情報を書き込むまでの一連の処理において、ＡＴＭ制御部１０がカードリーダ１３との間でやり取りされるコマンドや各種情報などを含む各信号の内容が、やり取りされる信号の順番で予め記録されている。

さらに動作許可署名発行部２０４は、かかる実処理フローリスト２０５が正当処理フローリスト保持部２０３に保存されている処理内容に一致したときにのみ、モジュールの動作を許可する署名を発行する機能を有するモジュールである。

（１−３）本実施の形態の自動取引装置における出金取引処理の流れ
次に、図５Ａ及び図５Ｂとの対応部分に同一符号を付した図８Ａ及び図８Ｂを参照して、本実施の形態における出金取引処理の概略の流れについて説明する。

まず、ＡＴＭ１１１の利用者によりＩＣカード２１が図示しないカード挿入口を介してカードリーダ１１４（図６）に挿入され、ＡＴＭ制御部１０がカードリーダ１１４を介してＩＣカード２１に記憶されているカード番号を取得する（Ｓ１，Ｓ２）。このときセキュリティ制御部１１２は、ＩＣカード２１からＡＴＭ制御部１０に送信された信号の内容を実処理フローリスト２０５（図７）の一部として実処理フローリスト保持部２０２に記録する（Ｓ５１）。なお、かかる記録は実際にはセキュリティ制御部１１２の通信監視部２０１（図７）により行われるが、理解の容易化のため、以下においてもセキュリティ制御部１１２の処理として説明する。

この後、ＡＴＭ１１１のＡＴＭ制御部１０は処理選択画面の表示指示を表示部１９に送信し（Ｓ３）、この表示指示に従って表示部１９が処理選択画面を表示する（Ｓ４）。かくしてＡＴＭ１１１の利用者は取引内容として出金取引を選択し（Ｓ５）、この結果としてＡＴＭ制御部１０が出金取引の一連の処理を開始する（Ｓ６）。この際、セキュリティ制御部１１２は、このときＡＴＭ制御部１０及び表示部１９間や、暗号化ピンパッド１１５及びＡＴＭ制御部１０間でやり取りされた信号（コマンドや情報）の内容をそれぞれ実処理フローリスト２０５の一部として実処理フローリスト保持部２０２に記録する（Ｓ５２，Ｓ５３）。

これ以降、ステップＳ７でＡＴＭ制御部１０が暗証番号入力の表示指示を表示部１９に送信してから、ステップＳ３２でＡＴＭ制御部１０が紙幣処理部１１３に紙幣出金コマンドを送信するまでの一連の処理において、ＡＴＭ制御部１０と他のモジュール（表示部１９、暗号化ピンパッド１１５、ＩＣカード２１又は紙幣処理部１１３）との間でやり取りされた各信号（コマンドや情報）の内容をセキュリティ制御部１１２が実処理フローリスト２０５の一部として実処理フローリスト保持部２０２に記録する（Ｓ５４〜Ｓ６３）こと以外は、従来の処理の流れと同様である。ここで、セキュリティ制御部１１２が実処理フローリスト２０５の一部として記録する信号の内容として、カード番号情報、暗証番号桁数、暗号化ピンパッド１１５への入力桁数、取引データ、取引可否データ、検証結果及び処理手順などを含んでいてもよい。

そしてステップＳ３２においてＡＴＭ制御部１０が紙幣出金コマンドを紙幣処理部１１３に送信すると、セキュリティ制御部１１２は、このときＡＴＭ制御部１０から紙幣処理部１１３に送信された信号（紙幣出金コマンド）の内容を実処理フローリスト２０５の一部として実処理フローリスト保持部２０２に記録する（Ｓ６４）。

またセキュリティ制御部１１２は、これまでに実処理フローリスト保持部２０２に記録した実処理フローリスト２０５（図７）の内容と、正当処理フローリスト保持部２０３に保存されている正当紙幣出金処理フローリスト２０６の内容とを比較する。そしてセキュリティ制御部１１２は、これら実処理フローリスト２０５の内容と、正当紙幣出金処理フローリスト２０６の内容とが一致した場合にのみ動作許可署名を紙幣処理部１１３に送信する（Ｓ１０１）。なお、かかる比較及び動作許可署名の送信は実際にはセキュリティ制御部１１２の通信監視部２０１（図７）により行われるが、理解の容易化のため、以下においてもセキュリティ制御部１１２の処理として説明する。

そして紙幣処理部１１３は、ＡＴＭ制御部１０からの紙幣出金コマンドを受信し（Ｓ３３）、かつ、セキュリティ制御部１１２からの動作許可署名を受信した場合にのみ（Ｓ１０２）、紙幣出金コマンドで指定された金種の紙幣を当該紙幣出金コマンドで指定された枚数だけ収納庫から取り出してＡＴＭ１１１の前面に設けられた入金口内に搬送する出金処理を行う（Ｓ３４）。

続いて、ＡＴＭ制御部１０は、カードリーダ１１４に対してカードの返却指示を送信する（Ｓ３５）。この際、セキュリティ制御部１１２は、このときＡＴＭ制御部１０からカードリーダ１１４に送信された信号（カードの返却指示のコマンド）の内容をそれぞれ実処理フローリスト２０５の一部として実処理フローリスト保持部２０２に記録する（Ｓ６５）。

またセキュリティ制御部１１２は、この後、ここまで記録した実処理フローリスト２０５（図７）の内容と、正当処理フローリスト保持部２０３に保存されている正当カード返却処理フローリスト２０７の内容とを比較し、これらが一致した場合にのみ動作許可署名をカードリーダ１１４に送信する（Ｓ１０３）。

カードリーダ１１４は、カードの返却指示を受信し（Ｓ３６）、かつ、動作許可署名を受信した場合にのみ（Ｓ１０４）、カードリーダ１１４内にあるＩＣカード２１をカード挿入口から排出して利用者に返却する（Ｓ３７）。

続いて、ＡＴＭ制御部１０は、レシートプリンタ１１６に対し、取引内容を含む明細書の印刷コマンドを送信する（Ｓ３８）。この際、セキュリティ制御部１１２は、このときＡＴＭ制御部１０からレシートプリンタ１１６に送信された信号（印刷コマンド）の内容を実処理フローリスト２０５の一部として実処理フローリスト保持部２０２に記録する（Ｓ６６）。

そしてセキュリティ制御部１１２は、この後、これまでに記録した実処理フローリスト２０５（図７）の内容と、正当処理フローリスト保持部２０３に保存された正当明細書印刷処理フローリスト２０８（図７）の内容とを比較し、これらが一致した場合にのみ動作許可署名をレシートプリンタ１１６に送信する（Ｓ１０５）。

そしてレシートプリンタ１１６は明細書印刷コマンドを受信し（Ｓ３９）、かつ、かかる動作許可署名を受信した場合にのみ（Ｓ１０６）、取引内容を含む明細書を印刷する（Ｓ４０）。

なお、セキュリティ制御部１１２の通信監視部２０１は、ステップＳ１０１、ステップＳ１０３、ステップＳ１０５において、実処理フローリスト２０５の内容と、正当紙幣出金処理フローリスト２０６、正当カード返却処理フローリスト２０７又は正当明細書印刷処理フローリスト２０８の内容とが一致しないときには、上述の動作許可署名を発行しないだけでなく、それまでに実処理フローリスト２０５に記録された内容を不正処理として保存する。

（１−４）第１の実施の形態による不正処理発生時の動作
ここで、ＡＴＭ制御部１０のＡＴＭアプリケーションソフトウェア４０（図２）にマルウェアが混入して、取引の裏付けのない不正な紙幣出金コマンドが紙幣処理部１１３に送信される処理は起こり得る。しかしながら、紙幣出金コマンド中の出金金額が改ざんされたり、そもそも取引とは全く関係のない紙幣出金コマンドが紙幣処理部１２に送信された場合、ここまで記録した実処理フローリスト２０５（図７）の内容と、正当紙幣出金処理フローリスト２０６の内容とが一致しないため、セキュリティ制御部１１２は紙幣処理部１１３に動作許可署名を送信しない。従って、この場合には紙幣処理部１１３による紙幣出金処理が行われず、不正な出金が行われることを防止することができる。

また、別の事例で、取引終了後に本来送信されるカード返却コマンドが送信されＩＣカード２１がＡＴＭ１１１内部に滞留し、利用者が立ち去った後、犯罪者が暗号化ピンパッド１１５に通常入力されることのない組合せや桁数の番号を入力することにより、カード返却コマンドがカードリーダ１１４に送信されたとしても、セキュリティ制御部１１２がここまで記録した実処理フローリスト２０５（図７）の内容と、正当カード返却処理フローリスト２０７の内容とが一致しないため、セキュリティ制御部１１２はカードリーダ１１４に動作許可署名を送信しない。従って、この場合にはカードリーダ１１４によるカード返却処理が行われないため、利用者のＩＣカード２１が犯罪者に不正に搾取されることを防止することができる。

さらに、別の事例では、正当な取引を行うＩＣカード２１ではなく特別なカード情報を送信する不正カードを挿入することにより、ＡＴＭ制御部１０がＡＴＭ制御部１０のメモリ３１のデータ領域３３に保存されているカード番号６０等の情報を不正カードに書き込むコマンドをカードリーダ１１４に送信したとしても、セキュリティ制御部１１２がここまで記録した実処理フローリスト２０５（図７）の内容と、正当カードデータ書込み処理フローリスト２０９の内容とが一致しないため、セキュリティ制御部１１２はカードリーダ１１４に動作許可署名を送信しない。従って、この場合にはカードリーダ１１４による不正カードへのカード番号６０等の情報の書込み処理が行われず、利用者のＩＣカード２１の情報が犯罪者に不正に搾取されることを防止することができる。

さらに、別の事例では、正当な取引を行うＩＣカード２１ではなく特別なカード情報を送信する不正カードを挿入したり、暗号化ピンパッド１１５に通常入力されることのない組合せや桁数の番号を入力することにより、マルウェアがＡＴＭ制御部１０のメモリ３１のデータ領域３３に保存されているカード番号６０等の情報をレシートプリンタ１１６に印字するようにコマンドを発行したとしても、セキュリティ制御部１１２がここまで記録した実処理フローリスト２０５（図７）の内容と、正当明細書印刷処理フローリスト２０８の内容とが一致しないため、セキュリティ制御部１１２はレシートプリンタ１１６に動作許可署名を送信しない。従って、この場合にはレシートプリンタ１１６による取引明細書の印刷処理が行われず、大量のカード情報が犯罪者に不正に搾取されることを防止することができる。

（１−５）本実施の形態の効果
以上のように本実施の形態の自動取引システム１１０では、取引が正当に行われたときのＡＴＭ制御部１０とＩＣカード２１や他のモジュール（表示部１９、紙幣処理部１１３、カードリーダ１１４、暗号化ピンパッド１１５及びレシートプリンタ１１６）との間でやり取りされる各信号の内容が予め登録された正当紙幣出金処理フローリスト２０６などの各種正当処理フローリストを保持するセキュリティ制御部１１２をＡＴＭ制御部１０とは別個に設け、当該セキュリティ制御部１１２が取引時におけるＡＴＭ制御部１０と各モジュール（表示部１９、紙幣処理部１１３、カードリーダ１１４、暗号化ピンパッド１１５及びレシートプリンタ１１６）との間でそれぞれやり取りされた信号の内容を実処理フローリスト２０５に順次記録する。

またセキュリティ制御部１１２は、ＡＴＭ１１１が紙幣出金処理、カード返却処理又は印刷処理を実行する際や、ＩＣカード２１にデータを書き込む際、実処理フローリスト２０５の内容と、正当紙幣出金処理フローリスト２０６、正当カード返却処理フローリスト２０７、正当明細書印刷処理フローリスト２０８及び正当カードデータ書込み処理フローリスト２０９の内容とを比較し、これらが一致した場合にのみ紙幣出金処理や、カード返却処理、印刷処理及びＩＣカード２１へのデータ書込み処理の動作許可署名を対応するモジュールに出力する。そして、これらのモジュールは、セキュリティ制御部１１２からの動作許可署名を受信した場合にのみ紙幣出金処理、カード返却処理、印刷処理又はＩＣカード２１へのデータ書込み処理を実行する。

従って、本実施の形態によれば、不正な出金が行われたり、利用者のＩＣカード２１が犯罪者に不正に搾取されたり、利用者のＩＣカード２１の情報が犯罪者に不正に搾取されたり、大量のカード情報が犯罪者に不正に搾取されることを防止することができ、かくして信頼性の高い自動取引システムを実現できる。

（２）第２の実施の形態
（２−１）第２の実施の形態による取引システムの構成
図１との対応部分に同一符号を付して示す図９において、３１０は全体として第２の実施の形態による自動取引システムを示す。本自動取引システム３１０は、ＡＴＭ３１１の紙幣処理部３１３、カードリーダ３１４、暗号化ピンパッド３１５及びレシートプリンタ３１６の機能が異なる点を除いて図１〜図５Ｂについて上述した従来の自動取引システム１と同様に構成されている。

図１０は、本実施の形態のカードリーダ３１４の構成を示す。このカードリーダ３１４は、カードリーダ３１４全体の動作制御を司るカードリーダ制御部３２１と、カード挿入口に挿入されたＩＣカード２１を搬送し、当該ＩＣカード２１から情報を読み取るカードリーダ搬送・読取部３２２とに加え、通信監視部３０１、実処理フローリスト保持部３０２、正当処理フローリスト保持部３０３及び動作許可署名発行部３０４を備えて構成されている。

通信監視部３０１は、ＡＴＭ３１１内のＡＴＭ制御部１０と、紙幣処理部３１３やカードリーダ３１４、暗号化ピンパッド３１５及びレシートプリンタ３１６等との間の通信を監視するモジュールである。

また実処理フローリスト保持部３０２は、かかる通信監視によって取得した、利用者との取引開始（図５ＡのステップＳ１）から図５ＢのステップＳ３８までの一連の処理の内容を実処理フローリスト３０５として保存しておくための記憶領域を有するモジュールである。なお、この実処理フローリスト３０５は、第１の実施の形態の実処理フローリスト２０５と同様の内容を有するものである。

さらに正当処理フローリスト保持部３０３は、図５Ａ及び図５Ｂを用いて説明した正当な出金取引処理時における利用者との取引開始からステップＳ３２の紙幣出金処理、ステップＳ３５のカード返却処理、ステップＳ３８の明細書印刷処理までの一連の処理の内容が登録された正当紙幣出金処理フローリスト３０６、正当カード返却処理フローリスト３０７、正当明細書印刷処理フローリスト３０８及び正当カードデータ書込み処理フローリスト３０９を保存しておくための記憶領域を有するモジュールである。

なお、これら正当紙幣出金処理フローリスト３０６、正当カード返却処理フローリスト３０７、正当明細書印刷処理フローリスト３０８及び正当カードデータ書込み処理フローリスト３０９は、第１の実施の形態の正当紙幣出金処理フローリスト２０６、正当カード返却処理フローリスト２０７、正当明細書印刷処理フローリスト２０８及び正当カードデータ書込み処理フローリスト２０９と同様の内容を有するものである。

さらに動作許可署名発行部３０４は、かかる実処理フローリスト３０５が正当処理フローリスト保持部３０３に保存されている処理内容に一致したときにのみ、モジュールの動作を許可する署名を発行する機能を有するモジュールである。

（２−２）本実施の形態による自動取引装置における出金取引処理の流れ
次に、図５Ａ及び図５Ｂとの対応部分に同一符号を付した図１１Ａ及び図１１Ｂを参照して、本実施の形態における出金取引処理の概略の流れについて説明する。

まず、ＡＴＭ３１１の利用者によりＩＣカード２１がＡＴＭ３１１の前面に設けられた図示しないカード挿入口に挿入されると、そのＩＣカード２１に記録されたカード番号等の必要な情報が当該ＩＣカード２１からカードリーダ３１４を経由してＡＴＭ制御部１０に送信される（Ｓ１）。

このときカードリーダ３１４は、ＩＣカード２１からＡＴＭ制御部１０に送信された信号の内容を実処理フローリスト３０５（図１０）の一部として記録する（Ｓ７１）。なお、かかる記録は実際にはカードリーダ３１４の通信監視部３０１（図１０）により行われるが、理解の容易化のため、以下においてもカードリーダ３１４の処理として説明する。

ＡＴＭ制御部１０は、かかるカード番号等の情報を受信すると（Ｓ２）、処理選択画面の表示指示を表示部１９に送信する（Ｓ３）。また表示部１９は、この表示指示に従って処理選択画面を表示する（Ｓ４）。かくしてＡＴＭ３１１の利用者は、暗号化ピンパッド３１５を操作して取引種別として出金取引を選択し（Ｓ５）、この結果としてＡＴＭ制御部１０が出金取引の一連の処理を開始する（Ｓ６）。この際、カードリーダ３１４は、このときＡＴＭ制御部１０及び表示部１９間や、暗号化ピンパッド３１５及びＡＴＭ制御部１０間でやり取りされた信号（コマンドや情報）の内容をそれぞれ実処理フローリスト３０５の一部として実処理フローリスト保持部３０２に記録する（Ｓ７２，Ｓ７３）。

これ以降、ステップＳ７でＡＴＭ制御部１０が暗証番号入力の表示指示を表示部１９に送信してから（Ｓ７）、ステップＳ３２でＡＴＭ制御部１０が紙幣処理部３１３に紙幣出金コマンドを送信するまでの一連の処理において、ＡＴＭ制御部１０と他のモジュール（表示部１９、暗号化ピンパッド３１５、ＩＣカード２１又は紙幣処理部３１３）との間でやり取りされた各信号（コマンドや情報）の内容をカードリーダ３１４が実処理フローリスト３０５の一部として実処理フローリスト保持部３０２に記録する（Ｓ７４〜Ｓ８３）こと以外は、従来の処理の流れと同様である。なお、かかる記録は実際にはカードリーダ３１４の通信監視部３０１（図１０）により行われるが、理解の容易化のため、以下においてもカードリーダ３１４の処理として説明する。またカードリーダ３１４が実処理フローリスト３０５の一部として記録する信号の内容として、カード番号情報、暗証番号桁数、暗号化ピンパッド３１５への入力桁数、取引データ、取引可否データ、検証結果及び処理手順などを含んでいてもよい。

そしてステップＳ３２においてＡＴＭ制御部１０が紙幣出金コマンドを紙幣処理部３１３に送信すると、カードリーダ３１４の通信監視部３０１は、このときＡＴＭ制御部１０から紙幣処理部３１３に送信された信号（紙幣出金コマンド）の内容を実処理フローリスト３０５の一部として実処理フローリスト保持部３０２に記録する（Ｓ８４）。

またカードリーダ３１４は、これまでに実処理フローリスト保持部３０２に記録した実処理フローリスト３０５（図１０）の内容と、正当処理フローリスト保持部３０３に保存されている正当紙幣出金処理フローリスト３０６の内容とを比較する。そしてカードリーダ３１４は、これら実処理フローリスト３０５の内容と、正当紙幣出金処理フローリスト３０６の内容とが一致した場合にのみ動作許可署名を紙幣処理部３１３に送信する（Ｓ１０１）。なお、かかる比較及び動作許可署名の送信は実際にはカードリーダ３１４の通信監視部３０１（図１０）により行われるが、理解の容易化のため、以下においてもカードリーダ３１４の処理として説明する。

そして紙幣処理部３１３は、ＡＴＭ制御部１０からの紙幣出金コマンドを受信し（Ｓ３３）、かつ、カードリーダ３１４からの動作許可署名を受信した場合にのみ（Ｓ１０２）、紙幣出金コマンドで指定された金種の紙幣を当該紙幣出金コマンドで指定された枚数だけ収納庫から取り出してＡＴＭ３１１の前面に設けられた入金口内に搬送する出金処理を行う（Ｓ３４）。

続いて、ＡＴＭ制御部１０は、カードリーダ３１４に対してカードの返却指示を送信する（Ｓ３５）。またカードリーダ３１４は、かかる返却指示を受信すると（Ｓ３６）、これまでに実処理フローリスト保持部３０２に記録した実処理フローリスト３０５（図１０）の内容と、正当処理フローリスト保持部３０３に保存されている正当カード返却処理フローリスト３０７の内容とを比較し、これらが一致した場合にのみ動作許可署名を生成する（Ｓ１０３）。

そしてカードリーダ３１４は、ＩＣカード２１の返却指示を受信し（Ｓ３６）、かつ、かかる動作許可署名を生成した場合にのみ、ＩＣカード２１をカード挿入口から排出して利用者に返却する（Ｓ３７）。

続いて、ＡＴＭ制御部１０は、レシートプリンタ３１６に対し、取引内容を含む明細書の印刷コマンドを送信する（Ｓ３８）。この際、カードリーダ３１４は、このときＡＴＭ制御部１０からレシートプリンタ３１６に送信された信号（印刷コマンド）の内容を実処理フローリスト３０５の一部として実処理フローリスト保持部３０２に記録する（Ｓ８６）。

そしてカードリーダ３１４は、この後、これまでに記録した実処理フローリスト３０５（図１０）の内容と、正当処理フローリスト保持部３０３に保存された正当明細書印刷処理フローリスト３０８（図１０）の内容とを比較し、これらが一致した場合にのみ動作許可署名をレシートプリンタ３１６に送信する（Ｓ１０５）。

そしてレシートプリンタ３１６は明細書印刷コマンドを受信し（Ｓ３９）、かつ、かかる動作許可署名を受信した場合にのみ（Ｓ１０６）、取引内容を含む明細書を印刷する（Ｓ４０）。

なお、カードリーダ３１４の通信監視部３０１は、ステップＳ１０１、ステップＳ１０３、ステップＳ１０５において、実処理フローリスト３０５の内容と、正当紙幣出金処理フローリスト３０６、正当カード返却処理フローリスト３０７又は正当明細書印刷処理フローリスト３０８の内容とが一致しないときには、上述の動作許可署名を発行しないだけでなく、それまでに実処理フローリスト３０５に記録された内容を不正処理として保存する。

（２−２）本実施の形態の動作及び効果
ここで、ＡＴＭ制御部１０のＡＴＭアプリケーションソフトウェア４０（図２）にマルウェアが混入して、取引の裏付けのない不正な紙幣出金コマンドが紙幣処理部３１３に送信される処理や、正当な取引のタイミングとは異なるタイミングでカード返却コマンドが送信される処理や、カード番号６０等の情報を不正カードに書き込むコマンドを送信する処理や、カード番号６０等の情報をレシートプリンタ３１６に印字するようにコマンドを送信する処理が行われても、カードリーダ３１４は記録した実処理フローリスト３０５（図１０）が、正当処理フローリスト保持部３０３に保存された正当紙幣出金処理フローリスト３０６、正当カード返却処理フローリスト３０７、正当カードデータ書込み処理フローリスト３０９又は正当明細書印刷処理フローリスト３０８と一致しないため、カードリーダ３１４が動作許可署名を生成することはなく、不正を防止することができる。従って、本実施の形態によれば、第１の実施の形態と同様、信頼性の高い自動取引システムを実現できる。

（３）第３の実施の形態
（３−１）本実施の形態による自動取引システムの構成
図１との対応部分に同一符号を付して示す図１２は、第３の実施の形態による自動取引システム４１０を示す。本自動取引システム４１０は、ＡＴＭ４１１のカードリーダ４１２の構成が異なる点を除いて図１について上述した従来の自動取引システム１と同様に構成されている。なお、図１２においては、説明の明確化のため図１で説明した紙幣処理部１２、レシートプリンタ１５、通帳プリンタ１６、ジャーナルプリンタ１７及び監視カメラ１８の図示を省略しているが、本実施の形態のＡＴＭ４１１もこれらのモジュールを備えていることは言うまでもない。

図１３は、本実施の形態のカードリーダ４１２の概略構成を示す。本実施の形態のカードリーダ４１２は、データバス４２０を介して相互に接続された通信監視部４２１、カードリーダ制御部４２２、リスト保持部４２３、コマンド実行権限保持部４２４、認証部４２５、リード／ライト部４２６、カード搬送部４２７及びカードロック機構４２８を備えて構成される。

通信監視部４２１は、ＡＴＭ制御部１０とのデータの送受信を滞りなく実行し、受信したデータをカードリーダ制御部４２２に受け渡したり、カードリーダ制御部４２２から渡されたデータをＡＴＭ制御部１０に送信する通信モジュールである。通信監視部４２１は、ＵＳＢ（Universal Serial Bus）規格やＴＣＰ／ＩＰ（Transmission Control Protocol / Internet Protocol）規格等に準拠した通信インタフェース４２９を介してＡＴＭ制御部１０と接続され、この通信インタフェースを介してＡＴＭ制御部１０との間でコマンドやその実行結果を送受する。

カードリーダ制御部４２２は、ＡＴＭ制御部１０から受信したコマンドを解析し、その内容に応じてコマンド実行権限保持部４２４、認証部４２５、リード／ライト部４２６、カード搬送部４２７及びカードロック機構４２８を単独又は相互に動作させ、その結果をＡＴＭ制御部１０に送信する機能を有するモジュールである。

なおカードリーダ４１２がＡＴＭ制御部１０から受信するコマンドの主なものとしては、ＩＣカード２１をカードリーダ４１２内に取り込むことを指示するコマンドであるカード取り込みコマンドと、カードリーダ４１２に取り込んだＩＣカード２１を当該カードリーダ４１２から排出すべきことを指示するコマンドであるカード排出コマンドと、カードリーダ４１２に取り込んだＩＣカード２１から情報を読み取ることを指示するカードデータ読み取りコマンドと、カードリーダ４１２に取り込んだＩＣカード２１に情報を書き込むことを指示するカードデータ書き込みコマンドと、後述する認証コマンドと、カードリーダ４１２に取り込んだＩＣカード２１が当該カードリーダ４１２から取り出せないようにロックすることを指示するカードロックコマンドと、そのロックを解除しＩＣカード２１をカードリーダ４１２から再び取り出せるように指示するカードロック解除コマンド等などがある。

リスト保持部４２３は、例えば半導体メモリから構成され、後述するコマンド−権限対応付けリスト４３０を保持するために利用される。またコマンド実行権限保持部４２４は、半導体メモリから構成され、後述するカードリーダ４１２のコマンド実行権限を保持するために利用される。

ここで、「コマンド実行権限」とは、ＡＴＭ制御部１０から与えられたコマンドを実行する権限を意味する。本実施の形態の場合、コマンド実行権限の種類として、「通常権限」及び「特別権限」などの２段階以上を権限が用意されている。「通常権限」は、ＡＴＭ制御部１０からのコマンドのうち、セキュリティ性の低い汎用コマンドのみ実行できる権限であり、「特別権限」は、ＡＴＭ制御部１０からのコマンドのうち、かかる汎用コマンドに加えて、セキュリティ性の高いコマンド（以下、これを特権コマンドと呼ぶ）についても実行できる権限である。

本実施の形態においては、ＡＴＭ制御部１０からカードリーダ４１２に与えられるすべてのコマンドについて、そのコマンドを実行するための権限が予め規定されており、各コマンドと、そのコマンドを実行するための権限とをそれぞれ対応付けたコマンド−権限対応付けリスト４３０がリスト保持部４２３に予め格納されている。

そしてカードリーダ制御部４２２がＡＴＭ制御部１０から与えられたコマンドを実行する際、そのコマンドに対応付けられているコマンド実行権限をコマンド−権限対応付けリスト４３０から取得する。そして、取得したコマンド実行権限と、コマンド実行権限保持部４２４に保持しているそのときカードリーダ４１２に付与されているコマンド実行権限とを比較し、カードリーダ４１２がそのコマンドを実行できるコマンド実行権限を保持している場合のみ、そのコマンドを実行する。

なお、本実施の形態においては、コマンド実行権限保持部４２４が、通電時のみデータを保持するＲＡＭ等の不揮発性メモリから構成されているものとする。またカードリーダ４１２への電源供給が停止し、その後、カードリーダ４１２への電源が再投入された場合、それ以前にコマンド実行権限保持部４２４が保持していたコマンド実行権限に関わりなく、「通常権限」のコマンド実行権限が強制的にコマンド実行権限保持部４２４に上書きされるものとする。このようにすることにより、電源の再投入直後に特権コマンドを実行することができなくなり、セキュリティ性を高めることが可能となる。

認証部４２５は、ＡＴＭ制御部１０からの認証コマンドを受信したことを契機として認証処理を行う。この「認証」は、認証部４２５と勘定系ホストコンピュータ３（図１２）との間でのオンラインによる相互認証や、セキュリティトークンで発生させたワンタイムパスワードによるオフライン認証などが考えられる。なお、オンラインによる相互認証及びオフライン認証の各方式については特に限定しないが、代表的な例としてそれぞれ、チャレンジ・レスポンス認証方式や、時刻同期認証方式等を利用することができる。

かかる認証が正常に行われた場合、カードリーダ制御部４２２は、コマンド実行権限保持部４２４が保持しているコマンド実行権限を「通常権限」から「特別権限」に変更する。カードリーダ４１２のコマンド実行権限を「特別権限」に変更することにより、カードリーダ４１２がセキュリティ性の高いコマンドを実行できるようになる。

なおこれら認証の過程では、ＡＴＭ制御部１０及び通信処理部２０（図１２）が通信データの送受信には介在するものの、前述したチャレンジ・レスポンス認証やワンタイムパスワード認証といった認証処理そのものには一切介入しない。

リード／ライト部４２６は、カードリーダ４１２に取り込んだＩＣカード２１から情報を読み取ったり（データリード）又はそのＩＣカード２１に情報を書き込んだり（データライト）する機能を有するモジュールである。またカード搬送部４２７は、ＡＴＭ４１１（図１２）の前面部に設けられた図示しないカード挿入口に挿入されたＩＣカード２１をカードリーダ４１２内に取り込んだり、又は、カードリーダ４１２に取り込んだＩＣカード２１をカード挿入口から外部に排出する機能を有するモジュールである。

カードロック機構４２８は、カードリーダ４１２がＩＣカード２１の取り込み若しくは排出、又は、ＩＣカード２１へのデータリード若しくはデータライトなどのＩＣカード２１に対する処理中に何らかの異常を検知したときに、カードリーダ４１２内に取り込んだ状態にＩＣカード２１をロックし、ピンセットやペンチ等の物理的な手段でＩＣカード２１を取り出すことを困難にするため機構である。

近年、犯罪者が悪意によりカードリーダにカード詰まりを発生させる細工を施す事案が多発している。細工が施されたカードリーダに利用者がカードを挿入すると、カードリーダの中でカードが詰まり、利用者がＡＴＭにて返却操作をしても、返却されなくなってしまう。利用者がカードの返却を諦めて立ち去った後に、犯罪者が上述のような物理的な手段によりカードを不正に入手するのである。本機構はそのような事案の防止を目的として設置されている。

なお、本機構がＩＣカード２１をロックした後、ロックを解除させる場合は、カードリーダ４１２が自律的に行うのではなく、ＡＴＭ制御部１０からのカードロック解除コマンドの受信により動作する。近年犯罪がより高度化し、ＡＴＭ制御部１０にマルウェアを感染させ、意図しないコマンドをＡＴＭの各モジュールに送信することにより誤動作を誘発させ、現金の不正引き出し等、不正に利益を享受する犯罪が増加傾向にある。本傾向は、カードロック機構４２８によりＩＣカード２１をカードリーダ４１２内にロックすることで犯罪者によるＩＣカード２１の不正入手を防止しようとしても、犯罪者が、ＡＴＭ制御部１０をマルウェアに感染させて不正にカードロック解除コマンドをカードリーダ４１２に送信させることにより、ＩＣカード２１のロックが解除されてしまう新たな事案が発生し得ることを示唆している。

本実施の形態はそのような新たな事案の発生を防止するための一手段であり、コマンド−権限対応付けリスト４３０内のカードロック解除コマンドに特別権限を対応させておくことにより、上述の認証処理を行わない限り、不正なカードロック解除コマンドを受信したとしても、そのコマンドの実行を阻止することができ、セキュリティ性を維持することができる。

図１４は、カードロック機構４２８の概略構成を示す。カードリーダ４１２は、上述のようにＡＴＭ４１１（図１２）の前面に配設されたカード挿入口４４０を備えており、当該カード挿入口４４０を介してＩＣカード２１が挿入又は排出される。挿入又は排出されるＩＣカード２１は、カード搬送部４２７（図１３）を構成するモータ等の動力源を持つゴムローラ４２７Ａを動力として、カード搬送路４４１に沿って搬送される。

カードロック機構４２８は、アーム部４３１Ｘと、アーム部４３１Ｘの一端側に一体形成された係合部４３１Ｙとから構成される可動部４３２を備えて構成される。可動部４３２は、アーム部４３１Ｘの長手方向の中央部から僅かに他端側の位置を支点４３３として、図示しないモータやソレノイド等のアクチュエータにより、図１４において破線で示す待機位置から矢印ｘで示すロック方向又はこれと逆のロック解除方向に回転駆動させ得るようになされている。

可動部４３２の材質としては、ＩＣカード２１に使用される一般的な材質、すなわちプラスチック等の硬度と比べて合理的十分な硬度を持つ材質、すなわち鉄鋼等が使用される。可動部４３２の係合部４３１Ｙの先端には複数の鋭利な櫛歯４３１Ａが設けられており、カードロック機構４２８が作動して可動部４３２が待機位置から矢印ｘ方向に回転駆動したときに、かかる係合部４３１Ｙの櫛歯４３１ＡをＩＣカード２１に食い込ませることで当該ＩＣカード２１をカードリーダ４１２内にロックし得るようになされている。

カードリーダ４１２内に取り込まれているＩＣカード２１をカード挿入口４４０まで搬送する際、カード搬送部４２７のゴムローラ４２７Ａを回転駆動するモータに異常な高負荷が発生したり、搬送すべりが発生するなど、何らかの搬送異常を検知した場合に、カードリーダ４１２はＡＴＭ制御部１０に対し、搬送異常が発生した旨の通知を行う。そして通知を受け取ったＡＴＭ制御部１０は、カードロックが必要か否かかの状況判断を行い、ロックが必要と判断した場合には、カードロックコマンドをカードリーダ４１２に送信する。

カードロックコマンドを受信したカードリーダ４１２は、カードロック機構４２８の可動部４３２を回転するアクチュエータを作動させる。そしてかかるアクチュエータが作動すると、可動部４３２の位置が待機位置から矢印ｘ方向に勢いよく回転動作し、可動部４３２の係合部４３１Ｙの櫛歯４３１ＡがＩＣカード２１に食い込む。これにより、その後ＩＣカード２１を無理やりカードリーダ４１２から取り出そうとしても、櫛歯４３１Ａの食い込みがより強くなり、ＩＣカード２１の取り出しが困難になる。

図１５は、コマンド−権限対応付けリスト４３０の構成例を示す。この図１５は、コマンド実行権限として、「通常権限」、「特別権限１（特権１）」及び「特別権限２（特権２）」の３段階のコマンド実行権限が用意されている場合の一例である。この例では、「通常権限」よりも「特別権限１（特権１）」の方が権限として強く、「特別権限１（特権１）」よりも「特別権限２（特権２）」の方が権限として強くなるものとしている。

図１５の例では、例えば、「カード挿入コマンド」、「カード排出コマンド」、「データ読取りコマンド」については、カードリーダが「通常権限」、「特権１」及び「特権２」のうちのいずれのコマンド実行権限を保持している場合であっても実行が可能であるが、「データ書込みコマンド」については、「通常権限」では実行することができず、「特権１」又は「特権２」を保持している場合には実行することができる設定となっている。

原則として、セキュリティ性の低い汎用コマンドについては、「通常権限」を保持している場合であってもそのコマンドの実行を許可し、コマンドのセキュリティ性が高くなるにつれて、より強いコマンド実行権限を保持している場合でのみそのコマンドの実行を許可するように設計する。

図１５の例では、上述のカードロック解除コマンドは、「通常権限」又は「特権１」を保持している場合では実行できず、「特権２」を保持している場合にのみ実行できるものとしており、カードロック解除コマンドをセキュリティ性の高いコマンドとして位置付けている。

「特権１認証コマンド」及び「特権２認証コマンド」は、それぞれの特別権限を取得し保持するためのコマンドである。これら認証コマンドは、上述のように相互認証やワンタイムパスワード認証等を伴うため、それら認証にパスしなければそのコマンド実行権限を取得し保持することはできない。

「特権１認証コマンド」自体はいずれのコマンド実行権限を保持している場合であっても実行可能だが、「特権２認証コマンド」はカードリーダに与えられた権限が「通常権限」である場合には実行できず、カードリーダに与えられた権限が「特権１」である場合に実行することができる設定となっている。すなわち、「通常権限」を保持している場合において「特権２」を取得するためには、まず「特権１認証コマンド」の実行により「特権１」を取得し、そのうえで「特権２認証コマンド」の実行により「特権２」を取得することが必要となる。

このように、コマンド実行権限に複数の段階を持たせ、コマンド−権限対応付けリスト４３０の内容を適切に設定しておくことで、より高次のコマンド実行権限を得るために２段階認証等を必要とさせることも可能である。

（３−２）第３の実施の形態によるカード排出コマンド実行処理
図１６は、本実施の形態の自動取引システム４１０（図１２）において、ＡＴＭ４１１のカードリーダ４１２がカード排出コマンドを実行する際に、当該ＡＴＭ４１１で実行される一連の処理（以下、これをカード排出コマンド実行処理と呼ぶ）の流れを示す。

本カード排出コマンド実行処理が実行される状況としては、ＩＣカード２１がカードリーダ４１２に詰まり、カードロック機構４２８によりロックされてしまったため、利用者がコールセンタにその旨の連絡を行い、連絡を受けた保守員が当該ＩＣカード２１が詰まったＡＴＭ（以下、これを対象ＡＴＭと呼ぶ）４１１に到着し、ＩＣカード２１を取り出そうとしている状況を想定している。

そして、このカード排出コマンド実行処理は、勘定系ホストコンピュータ３から相互認証要求を対象ＡＴＭ４１１に送信し、この相互認証要求を受信した対象ＡＴＭ４１１のＡＴＭ制御部１０がカードリーダ４１２に認証要求コマンドを送信し、この認証要求コマンドをカードリーダ４１２の通信監視部４２１（図１３）が受信したことを契機として開始される。

なお、最初に勘定系ホストコンピュータ３から相互認証要求を対象ＡＴＭ４１１に送信するのは、対象ＡＴＭ４１１のカードリーダ４１２をメンテナンスするために、当該カードリーダ４１２で特権コマンドを実行できるように特権を与えるためである。ここでは、対象となるＡＴＭ（対象ＡＴＭ）４１１が利用者の連絡により特定されているため、勘定系ホストコンピュータ３は、そのＡＴＭ（対象ＡＴＭ）４１１に対してのみ認証要求を送信する。すなわち、メンテナンス等の必要がないＡＴＭ４１１には、犯罪防止のため、特権コマンドを実行をさせない。

そして、かかる相互認証コマンドを受信した対象ＡＴＭ４１１のカードリーダ４１２の通信監視部４２１は、受信した相互認証コマンドを認証部４２５に転送し、この相互認証コマンドを受け取った認証部４２５が勘定系ホストコンピュータ３との間で相互認証を行う（Ｓ１１０）。

そして認証部４２５は、かかる相互認証が正常に行われたか否かを判断し（Ｓ１１１）、相互認証が正常に行われなかった場合には（Ｓ１１１：ＮＯ）、このカード排出コマンド実行処理を終了する。従って、この場合には、保守員は、カードリーダ４１２からＩＣカード２１を取り出すことができないため、勘定系ホストコンピュータ３から対象ＡＴＭ４１１に対して、再度、相互認証要求を送信させるなどの対策を講じることとなる。

これに対して、かかる相互認証が正常に行われた場合（Ｓ１１１：ＹＥＳ）、カードリーダ４１２のカードリーダ制御部４２２がコマンド実行権限保持部４２４に保持されているコマンド実行権限を特別権限に変更する（Ｓ１１２）。

この後、保守員は、メンテナンス操作により、対象ＡＴＭ４１１のＡＴＭ制御部１０からカードリーダ４１２にカードロック解除コマンドを送信させる。

そして、カードリーダ４１２の通信監視部４２１は、このカードロック解除コマンドを受信すると（Ｓ１１３）、当該カードロック解除コマンドをカードリーダ制御部４２２に転送する。またカードリーダ制御部４２２は、このカードロック解除コマンドを受け取ると、コマンド実行権限保持部４２４に保持されている自カードリーダ４１２に付与されたコマンド実行権限を確認し（Ｓ１１４）、自カードリーダ４１２に付与されたコマンド実行権限がカードロック解除コマンドを実行可能な権限であるか否かを判定する（Ｓ１１５）。

そしてコマンド実行権限保持部４２４に保持されたコマンド実行権限がカードロック解除コマンドを実行可能な権限でなかった場合（Ｓ１１５：ＮＯ）、カードリーダ制御部４２２は、カードロック解除コマンドを実行せずにカード排出コマンド実行処理が終了する。

これに対して、コマンド実行権限保持部４２４に保持されたコマンド実行権限がカードロック解除コマンドを実行可能な権限であった場合（Ｓ１１５：ＹＥＳ）、カードリーダ制御部４２２は、カードロック機構４２８を作動させて、ＩＣカード２１のロックを解除させる（Ｓ１１６）。かくして、この場合、保守員は、ピンセットで挟む等の物理手段によりＩＣカード２１の取り出し作業を行う。

続いて、カードリーダ制御部４２２は、コマンド実行権限を通常権限に戻すための条件が成立しているか否かを判断する（Ｓ１１７）。本実施の形態では、かかる「条件」を特に限定しないが、例えば特権コマンドを一定回数実行した、又は、特別権限を保持してから一定時間が経過したなど、特権コマンドの実行可能な回数や期間が有限となる合理的条件を適用することができる。

そしてカードリーダ制御部４２２は、コマンド実行権限を通常権限に復帰させるための条件が成立していない場合には（Ｓ１１７：ＮＯ）、ステップＳ１１４に戻り、この後、かかる条件が成立するまでステップＳ１１４〜ステップＳ１１７の処理を繰り返す。

これに対して、カードリーダ制御部４２２は、コマンド実行権限を通常権限に復帰させるための条件が成立している場合には（Ｓ１１７：ＹＥＳ）、コマンド実行権限保持部４２４に保持されているコマンド実行権限を「通常権限」に変更し（Ｓ１１８）、この後、このカード排出コマンド実行処理が終了する。

かかるコマンド実行権限を「通常権限」に変更した後は、再度、勘定系ホストコンピュータ３との間で相互認証を行わない限り特権コマンドを実行することができないため、特権コマンドの実行回数及び実行期間を有限とすることができ、セキュリティ性を高めることが可能となる。

（３−３）本実施の形態の動作及び効果
以上のように本実施の形態の自動取引システム４１０では、カードロック解除コマンドに特別権限を対応付け、勘定系ホストコンピュータ３からの相互認証要求に応じてカードリーダ４１２において認証処理を行い、認証できたときにのみカードリーダ４１２が自己の権限をカードロック解除コマンドを実行可能な特別権限に変更する。

従って、本実施の形態によれば、ＡＴＭ制御部１０がマルウェアを感染し、不正なカードロック解除コマンドをカードリーダ４１２に送信した場合においても、カードリーダ４１２がその不正なカードロック解除コマンドを実行するのを阻止することができ、かくして信頼性の高い自動取引システムを実現することができる。

（４）第４の実施の形態
（４−１）本実施の形態による自動取引システムの構成
図１２との対応部分に同一符号を付して示す図１７は、第４の実施の形態による自動取引システム５１０を示す。なお、図１７においては、説明の明確化のため図１で説明した紙幣処理部１２、レシートプリンタ１５、通帳プリンタ１６、ジャーナルプリンタ１７及び監視カメラ１８の図示を省略しているが、本実施の形態のＡＴＭ５１１もこれらのモジュールを備えていることは言うまでもない。

上述した第３の実施の形態では、対象ＡＴＭ４１１のカードリーダ４１２が特権コマンドを実行するためには、予め勘定系ホストコンピュータ３との間で相互認証を行う必要があり、そのためには図１２のように対象ＡＴＭ４１１がネットワーク４等を介して勘定系ホストコンピュータ３と接続されている必要があった。

これに対して、本実施の形態の自動取引システム５１０では、対象ＡＴＭ５１１のカードリーダ５１２内部で利用者のＩＣカード２１がロックされた場合のメンテナンスにおいて、対象ＡＴＭ５１１が勘定系ホストコンピュータ３と接続されている必要はなく、対象ＡＴＭ５１１がスタンドアロン状態であっても構わない。

本実施の形態では、勘定系ホストコンピュータ３との相互認証の代わりに、カードリーダ５１２はセキュリティトークン５１３により認証を行う。すなわち、本自動取引システム５１０では、セキュリティトークン５１３にて発生させたワンタイムパスワード５１４を、保守員が対象ＡＴＭ５１１に搭載されている暗号化ピンパッド１４より入力し、カードリーダ５１２の認証部４２５にて、入力されたワンタイムパスワードが真正か否かを判断することにより認証を行うのである。

このため、第４の実施の形態の自動取引システム５１０では、勘定系ホストコンピュータ３やネットワーク４に障害が発生し、勘定系ホストコンピュータ３及び対象ＡＴＭ５１１間の通信が遮断されている場合でも、本実施の形態の適用が可能である。

なお、セキュリティトークン５１３は保守員のみが所有することを前提としており、保守員がセキュリティトークン５１３の紛失や盗難に対し十分に注意することで、セキュリティを担保する。

本実施の形態によるカードリーダ５１２は、図１３及び図１４を参照して説明した第３の実施の形態のカードリーダ４１２と同じ構成を有するものであるため、ここでの説明は省略する。

（４−２）第４の実施の形態によるカード排出コマンド実行処理
図１８は、本実施の形態の自動取引システム５１０において、対象ＡＴＭ５１１のカードリーダ５１２がカード排出コマンドを実行する際、当該対象ＡＴＭ５１２において行われるカード排出コマンド実行処理と呼ぶ）の流れを示す。

本カード排出コマンド実行処理が実行される状況は、第３の実施の形態と同様に、ＩＣカード２１がカードリーダ５１２に詰まり、カードロック機構４２８（図１３）によりＩＣカード２１がロックされてしまったため、利用者がコールセンタにその旨の連絡を行い、連絡を受けた保守員が当該ＩＣカード２１が詰まったＡＴＭ５１１に到着し、ＩＣカード２１を取り出そうとしている状況を想定している。

そして、このカード排出コマンド実行処理は、保守員が、所有のセキュリティトークン５１３にて発生させたワンタイムパスワード５１４を対象ＡＴＭ５１１に搭載されている暗号化ピンパッド１４（図１７）より入力したことを契機として開始される。

なお、最初に保守員がセキュリティトークン５１３にて発生させたワンタイムパスワード５１４を対象ＡＴＭ５１１に入力するのは、対象ＡＴＭ５１１のカードリーダ５１２をメンテナンスするために、当該カードリーダ５１２で特権コマンドを実行できるように権限を与えるためである。

そして、かかる暗号化ピンパッド１４を用いて保守員により入力されたワンタイムパスワード５１４は、対象ＡＴＭ５１１のＡＴＭ制御部１０を介してカードリーダ５１２に相互認証コマンドと共に送信される。この相互認証コマンド及びワンタイムパスワード５１４を受信したカードリーダ５１２の通信監視部４２１（図１３）は、受信したこれら相互認証コマンド及びワンタイムパスワード５１４を認証部４２５（図１３）に転送し、これら相互認証コマンド及びワンタイムパスワード５１４を受け取った認証部４２５がカードリーダ制御部４２２と連携して、ワンタイムパスワード５１４が真正か否かを判定する（Ｓ１２０）。

そして認証部４２５は、入力されたワンタイムパスワード５１４が真正でないと判定した場合（Ｓ１２１：ＮＯ）、このカード排出コマンド実行処理を終了する。従って、この場合には、保守員は、カードリーダ５１２からＩＣカード２１を取り出すことができないため、再度、ワンタイムパスワード５１４を入力するなどの対策を講じることとなる。

これに対して、入力されたワンタイムパスワード５１４が真正であると判定された場合（Ｓ１２１：ＹＥＳ）、カードリーダ５１２において、図１６について上述した第３の実施の形態のカード排出コマンド実行処理のステップＳ１１２〜ステップＳ１１８と同様にステップＳ１２２〜ステップＳ１２８が実行され、この後、このカード排出コマンド実行処理が終了する。

なおステップＳ１２８において、対象ＡＴＭ５１１のカードリーダ５１２のコマンド実行権限を通常権限に変更した後は、再度セキュリティトークン５１３（図１７）による認証を行わない限り特権コマンドを実行することが出来ないため、特権コマンドの実行回数及び実行期間を有限とすることができ、セキュリティ性を高めることが可能となる。

（４−３）本実施の形態の動作及び効果
以上のように本実施の形態の自動取引システム５１０では、カードロック解除コマンドに特別権限を対応付け、セキュリティトークン５１３を用いた認証処理をカードリーダ５１２において行い、認証できたときにのみカードリーダ５１２が自己の権限をカードロック解除コマンドを実行可能な特別権限に変更する。

従って、本実施の形態によれば、ＡＴＭ制御部１０がマルウェアを感染し、不正なカードロック解除コマンドをカードリーダ５１２に送信した場合においても、カードリーダ５１２がその不正なカードロック解除コマンドを実行するのを阻止することができ、かくして信頼性の高い自動取引システムを実現できる。

（５）第５の実施の形態
（５−１）従来のシンクライアント自動取引システムの構成
本実施の形態によるシンクライアント自動取引システムを説明するに際して、まず、従来のシンクライアント自動取引システムの構成について説明する。

なお、シンクライアント（Thin client）自動取引システムとは、ユーザが利用するクライアント端末である自動取引装置（以下、これをシンクライアントＡＴＭと呼ぶ）では必要最小限の処理を実行し、ほとんどの処理をサーバ（以下、これをシンクライアントサーバと呼ぶ）側に集中させた自動取引システムを指す。各シンクライアントＡＴＭは、自社のホストコンピュータ（以下、これを自社ホストと呼ぶ）を経由することなく、シンクライアントサーバを介して営業店内の他のシンクライアントＡＴＭと通信することが可能となる。

図１９は、従来のシンクライアント自動取引システム６１０の構成例を示す。このシンクライアント自動取引システム６１０では、１又は複数台のシンクライアントＡＴＭ６１１と、これらシンクライアントＡＴＭ６１１と接続されたシンクライアントサーバ６１２とが１つの営業店６１３に設けられている。そしてシンクライアントサーバ６１２は、ＬＡＮ又はＷＡＮなどのネットワーク６１４を介して自社ホスト６１５と接続され、さらに自社ホスト６１５は、ＬＡＮ又はＷＡＮ等のネットワーク６１６を介して他社のホストコンピュータ（以下、これを他社ホストと呼ぶ）６１７と接続されている。

なお以下においては、１つ１つのシンクライアントＡＴＭを区別する必要がある場合には、これらにそれぞれ「６１１−１」、「６１１−２」、……、「６１１−ｎ」といった異なる符号を付すものとし、１つ１つのシンクライアントＡＴＭを特に区別する必要がない場合には、シンクライアントＡＴＭに共通の符号「６１１」を付すものとする。同様に、各シンクライアントＡＴＭ６１１にそれぞれ搭載された１つ１つのカードリーダを区別する必要がある場合には、これらにそれぞれ「６１１−１Ａ」、「６１１−２Ａ」、……「６１１−ｎＡ」といった異なる符号を付すものとし、１つ１つのカードリーダを特に区別する必要がない場合には、カードリーダに共通の符号「６１１Ａ」を付すものとする。

次に、図２０を参照して、かかる従来のシンクライアント自動取引システム６１０において悪意のある利用者により行われるキャッシング取引の一例について説明する。ここでは、かかる利用者が他社のクレジットカード等のカード６１８を用いて、複数のシンクライアントＡＴＭ６１１においてキャッシング取引しようとしているものとする。

また、このときかかるカード６１８の発行元の他社のホストコンピュータ（他社ホスト６１７）が当該カード６１８の利用者又はその仲間からのＤｏＳ攻撃（Denial of Service attack）を受けて自社ホスト６１５と通信できない状態にあるものとする。なおＤｏＳ攻撃とは、攻撃対象となるサーバ等に、大量のパケットやデータを送信することにより、通信回線やサーバの処理能力をパンクさせたり、サーバ・アプリケーションの脆弱性を突き、サービス提供を困難にさせる不正な攻撃手法の一つである。

まず、かかる利用者が、１つのシンクライアントＡＴＭ６１１−１の前面に設けられた図示しないカード挿入口に他社のカード６１８を挿入する（Ｓ１３０）。このときシンクライアントＡＴＭ６１１−１のカードリーダ６１１−１Ａは、挿入されたカード６１８に記録されているカード番号等の情報を読み取り、読み取った情報を同じシンクライアントＡＴＭ６１１内部のＡＴＭ制御部（図示せず）に送信する（Ｓ１３１）。

そして、シンクライアントＡＴＭ６１１−１のＡＴＭ制御部は、かかるカードリーダ６１１−１Ａにより読み取られたカード番号を受信すると（Ｓ１３２）、必要な操作画面を表示部に表示させるなどして取引金額等の今回の取引に関連する必要な情報を取得し、取得した情報をステップＳ１３２で受信したカード番号と併せて取引関連情報として、そのシンクライアントＡＴＭ６１１−１内部の通信処理部（図示せず）にシンクライアントサーバ６１２へ送信させる（Ｓ１３３）。

シンクライアントサーバ６１２は、かかる取引関連情報を受信すると（Ｓ１３４）、受信した取引関連情報を処理し、処理した取引関連情報を自社ホスト６１５に送信する（Ｓ１３５）。

自社ホスト６１５は、かかる取引関連情報を受信すると（Ｓ１３６）、受信した取引関連情報に基づいて、対応する他社ホスト６１７に問合せ電文を送信する（Ｓ１３７）。しかしながら、このとき他社ホスト６１７は、上述のようにＤｏＳ攻撃を受けており、このためかかる問合せ電文が処理されず応答不能となる（Ｓ１３８）。

このような他社ホスト６１７から応答がないキャッシング取引の場合、自社ホスト６１５は、通常、シンクライアントＡＴＭ６１１から送信されてきた取引関連情報を基に、先行して見做しでキャッシング取引の許可（以下、これを見做し支払許可と呼ぶ）をシンクライアントサーバ６１２を経由してそのシンクライアントＡＴＭ６１１−１に送信する（Ｓ１３９）。

そしてシンクライアントＡＴＭ６１１−１は、かかる見做し支払許可を受信すると（Ｓ１４０）、利用者から要求された取引金額を出金する出金処理を実行する（Ｓ１４１）。なお、このとき出金可能な最大支払金額は、１日の支払限度額までである。その後、カード６１８は、カードリーダ６１１−１Ａから排出されて利用者に返却される（Ｓ１４２）。

次に、かかる利用者は、同一又は他の営業店６１３（図１９）に設置された他のシンクライアントＡＴＭ６１１−２に移動し、ステップＳ１３０〜ステップＳ１４２で使用したカード６１８をそのシンクライアントＡＴＭ６１１−２のカード挿入口に挿入する（Ｓ１４３）。

この結果、そのシンクライアントＡＴＭ６１１−２において、ステップＳ１３１〜ステップＳ１３３について上述した処理と同じ処理が実行されて取引関連情報がシンクライアントサーバ６１２に送信され（Ｓ１４４〜Ｓ１４６）、この取引関連情報に基づいて、シンクライアントサーバ６１２及び自社ホスト６１５においてステップＳ１３４〜ステップＳ１３７について上述した処理と同じ処理が実行されて、自社ホスト６１５から他社ホスト６１７に問合せ電文が送信される（Ｓ１４７〜Ｓ１５０）。

しかしながら、このとき他社ホスト６１７は依然としてＤｏＳ攻撃を受けているため、問合せ電文が他社ホスト６１７で処理されず応答不能となる（Ｓ１５１）。この結果、ステップＳ１３９と同様に、自社ホスト６１５が見做し支払許可をシンクライアントサーバ６１２を介してそのシンクライアントＡＴＭ６１１−２に送信する（Ｓ１５２）。

かくして、シンクライアントＡＴＭ６１１−２は、かかる見做し支払許可を受信すると（Ｓ１５３）、ステップＳ１４１と同様に、利用者から要求された取引金額を出金する出金処理を実行する（Ｓ１５４）。またシンクライアントＡＴＭ６１１−２は、この後、カード６１８を利用者に返却する（Ｓ１５５）。

悪意ある利用者は、シンクライアントＡＴＭ６１１を順次他のシンクライアントＡＴＭ６１１に移動しながら同じことを繰り返す。この結果、被害が拡大していくことになる。

（５−２）本実施の形態による自動取引システム
次に、上述した従来のシンクライアント自動取引システムの問題点を考慮して構築された本実施の形態によるシンクライアント自動取引システムについて説明する。

図１９との対応部分に同一符号を付した図２１は、本実施の形態によるシンクライアント自動取引システム６２０の概略構成を示す。このシンクライアント自動取引システム６２０では、１又は複数台のシンクライアントＡＴＭ６２１と、これらシンクライアントＡＴＭ６２１と接続されたシンクライアントサーバ６２２とが１つの営業店６２３に設けられている。そしてシンクライアントサーバ６２２はネットワーク６１４を介して自社ホスト６１５と接続され、さらに自社ホスト６１５はネットワーク６１６を介して他社ホスト６１７と接続されている。

なお以下においては、１つ１つのシンクライアントＡＴＭを区別する必要がある場合には、これらにそれぞれ「６２１−１」、「６２１−２」、……、「６２１−ｎ」といった異なる符号を付すものとし、１つ１つのシンクライアントＡＴＭを特に区別する必要がない場合には、シンクライアントＡＴＭに共通の符号「６２１」を付すものとする。同様に、各シンクライアントＡＴＭ６２１にそれぞれ搭載された１つ１つのカードリーダを区別する必要がある場合には、これらにそれぞれ「６２１−１Ａ」、「６２１−２Ａ」、……「６２１−ｎＡ」といった異なる符号を付すものとし、１つ１つのカードリーダを特に区別する必要がない場合には、カードリーダに共通の符号「６２１Ａ」を付すものとする。

シンクライアントＡＴＭ６２１は、図１との対応部分に同一符号を付した図２２に示すように、図１について上述した第１の実施の形態のＡＴＭ２と同様のハードウェア構成を有する。ただし、本実施の形態の場合、ＡＴＭ制御部６３０がシンクライアントＡＴＭ６２１の必要最低限の動作制御しか行わない点が第１の実施の形態のＡＴＭ２と相違する。

またシンクライアントサーバ６２２は、図２３に示すように、ＣＰＵ６４０、メモリ６４１及び補助記憶装置６４２などの情報処理資源を備えた汎用のサーバ装置である。ＣＰＵ６４０は、シンクライアントサーバ６２２全体の動作制御を司るプロセッサであり、メモリ６４１は、半導体メモリから構成され、ＣＰＵ６４０のワークメモリとして利用される。

また補助記憶装置６４２は、例えばハードディスク装置やＳＳＤ（Solid State Drive）などの大容量の不揮発性記憶媒体から構成され、各種プログラムやデータを長期間保持するために利用される。シンクライアントサーバ６２２の起動時や必要時に必要なプログラムが補助記憶装置６４２からメモリ６４１に読み出され、読み出されたプログラムがＣＰＵ６４０により実行されることにより、シンクライアントサーバ６２２全体としての後述のような各種処理が実行される。

ここで本実施の形態のシンクライアント自動取引システム６２０（図２１）と、図１９について上述した従来のシンクライアント自動取引システム６１０との大きな違いは、本実施の形態のシンクライアントＡＴＭ６２１に搭載されたカードリーダ６２１Ａが、図２４に示すデータベース（以下、これをカード情報データベースと呼ぶ）６５０を保持し、このカード情報データベース６５０に基づいてキャッシング取引の可否を自ら判断する点にある。

実際上、かかるカード情報データベース６５０には、それまでに本シンクライアント自動取引システム６２０においてキャッシング取引を行った利用者ごとのカード６１８のカード番号と、これらカード６１８についてそれぞれ予め設定されたキャッシング取引に対する支払の上限金額（以下、これを支払限度額と呼ぶ）と、これらカード６１８ごとの現在までのキャッシング取引で支払った総額（以下、これを現在支払済み額と呼ぶ）とがそれぞれ登録されている。なお、ここでは、予め定められた利用者に依存しないカード発行会社ごとの一律の支払限度額をカードリーダ６２１Ａがそれぞれ記憶しているものとする。ただしカード６１８ごとの支払上限額がそれぞれそのカード６１８に記録されているようにしてもよい。

そして、カードリーダ６２１Ａは、利用者がカード６１８を挿入してキャッシング取引を要求する操作を行った場合、カード情報データベース６５０を参照して、そのキャッシング取引を行った場合に現在支払い済み額がそのカード６１８について設定された支払限度額を超えるか否かを判定し、支払限度額以内である場合には、そのキャッシング取引を実行した後、取引結果を出金情報としてシンクライアントサーバ６２２に通知する。

またシンクライアントサーバ６２２は、かかる通知が与えられると、この出金情報をシンクライアントＡＴＭ６２１以外の各シンクライアントＡＴＭ６２１にそれぞれ送信する。そして、各シンクライアントＡＴＭ６２１のカードリーダ６２１Ａは、かかる出金情報が与えられると、その出金情報に基づいてカード情報データベース６５０におけるかかる利用者の現在支払済み額を更新する。

これに対して、カードリーダ６２１Ａは、そのキャッシング取引を行った場合にその利用者に対する現在支払い済み額がそのカード６１８について設定された支払限度額を超えることになる場合にはそのキャッシング取引を実行せずに、カード６１８を利用者に返却する。これにより本シンクライアント自動取引システム６２０によれば、カード６１８ごとにそれぞれ設定された支払限度額を超えたキャッシング取引を行うことができず、悪意のある利用者によるキャッシング詐欺の被害拡大を未然に防止することができる。

図２５は、このような機能を有する本実施の形態のシンクライアント自動取引システムにおいて、悪意のある利用者が図１９について上述したキャッシング詐欺を行おうとした場合の処理の流れを示している。なお、この図２５では、図面の複雑化を避けるため、シンクライアントＡＴＭ６２１において正常にキャッシング取引が行われるとき実行される出金処理に関する一連の処理の流れについては省略している。

まず、かかる利用者が、シンクライアントＡＴＭ６２１−１の前面に設けられた図示しないカード挿入口に他社のカード６１８を挿入する（Ｓ１６０）。このときシンクライアントＡＴＭ６２１−１のカードリーダ６２１−１Ａは、挿入されたカード６１８に記録されているカード番号等のカード情報を読み取り、読み取ったカード情報を同じシンクライアントＡＴＭ６２１内部のＡＴＭ制御部６３０（図２２）に送信する（Ｓ１６１）。かくして、シンクライアントＡＴＭ６２１−１のＡＴＭ制御部６３０は、かかるカードリーダ６２１−１Ａにより読み取られたカード番号を受信すると、必要な操作画面を表示部に表示させるなどして取引金額等の今回のキャッシング取引に関連する必要な情報を取得する。

またカードリーダ６２１−１Ａは、ステップＳ１６１でカード６１８から読み取ったカード番号を自己が保持するカード情報データベース６５０上で検索する（Ｓ１６２）。

さらにカードリーダ６２１−１Ａは、かかる検索によりその利用者のカード６１８のカード番号を検出した場合、カード情報データベース６５０を参照して、そのカード６１８に対する現在支払済み額と、そのカード６１８について設定された支払限度額とを比較し、今回要求された取引金額を支払った場合に現在支払済み額が支払限度額を超えるか否かを判定する（Ｓ１６３）。

そしてカードリーダ６２１−１Ａは、ステップＳ１６３において、今回要求された取引金額を支払った場合にそのカード６１８に対する現在支払済み額が当該カード６１８の支払限度額を超えると判定した場合には、そのキャッシング取引を行わずにカード６１８を利用者に返却し（Ｓ１６４）、この後、この処理を終了する。

これに対して、カードリーダ６２１−１Ａは、ステップＳ１６２の検索でそのとき挿入されたカード６１８のカード番号をカード情報データベース６５０上で検出できなかった場合や、ステップＳ１６３で今回要求された取引金額を支払ったとしてもそのカード６１８の現在支払済み額が未だ当該カード６１８の支払限度額以内であると判定した場合には、そのカード６１８のカード番号及び支払限度額などの情報をカード情報データベース６５０に登録する（Ｓ１６５）。

またカードリーダ６２１−１Ａは、この後、そのカード６１８のカード番号及び支払限度額をカード情報データベース６５０に追加登録すると共に、そのとき要求された取引金額をこれらカード番号及び支払限度額と対応付けて現在支払済み額としてカード情報データベース６５０に登録する（Ｓ１６５）。そして、カードリーダ６２１−１Ａは、この後、その利用者のカード番号、支払限度額及び現在支払済み額を暗号化した上で出金情報としてシンクライアントサーバ６２２に送信する（Ｓ１６６）。

シンクライアントサーバ６２２は、かかるシンクライアントＡＴＭ６２１−１からの出金情報を受信すると（Ｓ１６７）、この出金情報を同じ営業店内の他のシンクライアントＡＴＭ６２１−２〜６２１−ｎのカードリーダ６２１−２Ａ〜６２１−ｎＡにそれぞれ送信する（Ｓ１６８）。また、この出金情報を受信した各シンクライアントＡＴＭ６２１−２〜６２１−ｎのカードリーダ６２１−２Ａ〜６２１−ｎＡは、この出金情報を復号化し、それぞれ自己が保持するカード情報データベース６５０に出金情報を登録する（Ｓ１６９）。

次に、かかる利用者は、同一営業店６２３（図２１）に設置された他のシンクライアントＡＴＭ６２１−２に移動し、ステップＳ１６０〜ステップＳ１６９で使用したカード６１８をそのシンクライアントＡＴＭ６２１−２のカード挿入口に挿入する（Ｓ１７０）。

この結果、そのシンクライアントＡＴＭ６２１−２のカードリーダ６２１−２Ａにおいて、ステップＳ１６０〜ステップＳ１６６について上述した処理と同じ処理が実行されて出金情報がシンクライアントサーバ６２２に送信される（Ｓ１７０〜Ｓ１７６）。

そしてシンクライアントサーバ６２２は、かかる出金情報を受信すると（Ｓ１７７）、この出金情報を同じ営業店６２３内の他のシンクライアントＡＴＭ６２１−１、６２１−２〜６２１−ｎのカードリーダ６２１−１Ａ、６２１−２Ａ〜６２１−ｎＡにそれぞれ送信する（Ｓ１７８）。また、この出金情報を受信した各シンクライアントＡＴＭ６２１−１、６２１−２〜６２１−ｎのカードリーダ６２１−１Ａ、６２１−２Ａ〜６２１−ｎＡは、それぞれ自己が保持するカード情報データベース６５０にこの出金情報を登録する（Ｓ１７９）。

そして、この後、利用者がカード６１８をその営業店内のシンクライアントＡＴＭ６２１に挿入する度に以上のステップＳ１６０〜ステップＳ１６９やステップＳ１７０〜ステップＳ１７９の処理が繰り返される。従って、悪意ある利用者が同一のカード６１８を利用してキャッシング詐欺を働こうとした場合においても、そのカード６１８について設定された支払上限額以上の金額が支払われることを未然に防止することが可能となる。

なお、上述のように図２５では、図面の複雑化を避けるため、シンクライアントＡＴＭ６２１において正常にキャッシング取引が行われるとき実行される出金処理に関する一連の処理の流れについては省略しているが、実際のキャッシング取引においては、図２０のステップＳ１４０やステップＳ１５３においてシンクライアントＡＴＭ６１１が自社ホスト６１５からの見做し支払許可を受信した後にそのシンクライアント自動取引システム６１０において図２５のステップＳ１６２〜ステップＳ１６９や、ステップＳ１７２〜ステップＳ１７９の処理を実行するようにすればよい。

この場合、図２５のステップＳ１６３やステップＳ１７３において、今回要求された取引金額を支払ったとしても現在支払済み額が支払限度額以下であるとの判定を得た場合には、ステップＳ１６５やステップＳ１７５で必要な情報をカード情報データベース６５０に追加登録するのと併せて、そのシンクライアントＡＴＭ６１１が要求された金額を出金した上でカード返却を行うようにすればよい。

（５−３）本実施の形態の動作及び効果
以上のように本実施の形態のシンクライアント自動取引システム６２０では、キャッシング取引を行った各カード６１８について、その支払限度額及び現在支払済み額を各シンクライアントＡＴＭ６２１のカードリーダ６２１Ａにおいてカード情報データベース６５０に登録して管理する。

そして各シンクライアントＡＴＭ６２１において、キャッシング取引を行う際には、今回要求された取引金額を支払った場合に現在支払済み額が支払限度額を超えるか否かをカードリーダ６２１Ａにおいて判定し、肯定結果を得た場合には取引を中止する一方、否定結果を得た場合には、そのとき利用されたカード６１８のカード番号、支払限度額及び現在支払済み額を出金情報としてシンクライアントサーバ６２２を経由して他のシンクライアントＡＴＭ６２１に転送し、この出金情報に基づいて他のシンクライアントＡＴＭ６２１のカードリーダ６２１Ａが自己が管理するカード情報データベース６５０を更新する。

従って、本シンクライアント自動取引システム６２０によれば、１つのシンクライアントＡＴＭ６２１において実行されたキャッシング取引の情報を他のシンクライアントＡＴＭ６２１と共有することができ、取引対象のシンクライアントＡＴＭ６２１を変えたとしても同一のカード６１８を利用したキャッシング取引でそのカード６１８について設定された支払上限額以上の支払いが行われるのを未然に抑止することができる。かくするにつき、本実施の形態によれば、同一カード６１８を利用したキャッシング詐欺の被害の拡大を確実に抑制することができ、かくして信頼性の高いシンクライアント自動取引システムを実現することができる。

（６）他の実施の形態
なお上述の第５の実施の形態においては、第１〜第４の実施の形態の自動取引システム１１０，３１０，４１０，５１０や第５の実施の形態のシンクライアント自動取引システム６２０がそれぞれその実施の形態に特有の構成及び機能のみを有するようにした場合について述べたが、本発明はこれに限らず、例えば、第２〜第４の実施の形態の自動取引システム３１０，４１０，５１０や第５の実施の形態のシンクライアント自動取引システム６２０がそれぞれ第１の実施の形態に特有な構成及び機能を有していてもよい。また第１〜第４の実施の形態の自動取引システム１１０，３１０，４１０，５１０及び第５の実施の形態のシンクライアント自動取引システム６２０が、技術的な矛盾を生じない範囲において、それぞれ相互に他の実施の形態に特有の構成及び機能を有していてもよい。

また上述の第２の形態においては、カードリーダ３１４に通信監視部３０１、実処理フローリスト保持部３０２、正当処理フローリスト保持部３０３及び動作許可署名発行部３０４を設けるようにした場合について述べたが、本発明はこれに限らず、これら通信監視部３０１、実処理フローリスト保持部３０２、正当処理フローリスト保持部３０３及び動作許可署名発行部３０４をカードリーダ３１４以外の紙幣処理部３１３、暗号化ピンパッド３１５及びレシートプリンタ３１６のいずれかに設け、その紙幣処理部３１３、暗号化ピンパッド３１５又はレシートプリンタ３１６においてカードリーダ３１４と同様の処理を実行するようにしてもよい。

なお、レシートプリンタ３１６に通信監視部３０１、実処理フローリスト保持部３０２、正当処理フローリスト保持部３０３及び動作許可署名発行部３０４を設ける場合、正常処理フローリスト保持部３０３に、印刷する明細書のフォーマットや、単位時間当たりの印刷文字数等の正当印刷情報を保存しておき、ＡＴＭ制御部１０からの印刷要求をレシートプリンタ３１６が単独で正当であるか否かを判断し、正当である場合にのみＡＴＭ制御部１０からの印刷要求を受け付け、印刷処理を行うようにしてもよい。

また紙幣処理部３１３に通信監視部３０１、実処理フロー保存部３０４、正当処理フローリスト保存部３０５、動作許可署名発行部３０３を構成する場合、正常処理フローリスト保存部３０３に、単位時間当たりの出金限度枚数を保存しておき、ＡＴＭ制御部１０からの出金要求を紙幣処理部３１３が単独で正当であるか判断し、正当である場合にのみＡＴＭ制御部１０からの出金要求を受け付け、出金取引処理を行なってもよい。

さらに上述の第３及び第４の実施の形態においては、カードリーダ４１２，５１２を図１３のように構成するようにした場合について述べたが、本発明はこれに限らず、この他種々の構成を広く適用することができる。

さらに上述の第３及び第４の実施の形態においては、カードロック機構４２８を図１４のように構成するようにした場合について述べたが、本発明はこれに限らず、この他種々の構成を広くて適用することができる。

さらに上述の第５の実施の形態においては、本発明をシンクライアント自動取引システム６２０に適用するようにした場合について述べたが、本発明はこれに限らず、シンクライアント構成ではない通常の自動取引システムにも適用することができる。

本発明は、クレジットカードやキャッシュカードに記録された情報と利用者の操作とに基づいて出金取引を行うＡＴＭに適用することができる。

３……勘定系ホストコンピュータ、１０……ＡＴＭ制御部、２１……ＩＣカード、１１０，３１０，４１０，５１０……自動取引システム、１１１，３１１，４１１，５１１……ＡＴＭ、１１２……セキュリティ制御部、１１３，３１３……紙幣処理部、１１４，３１４，４１２，５１２，６２１Ａ，６２１−１Ａ〜６２１−ｎＡ……カードリーダ、１１５，３１５……暗号化ピンパッド、１１６，３１６……レシートプリンタ、２０１，３０１，４２１……通信監視部、２０２，３０２……実処理フローリスト保持部、２０３，３０３……正当処理フローリスト保持部、２０４，３０４……動作許可署名発行部、２０５，３０５……実処理フローリスト、２０６，３０６……正当紙幣出金処理フローリスト、２０７，３０７……正当カード返却処理フローリスト、２０８，３０８……正当明細書印刷処理フローリスト、２０９，３０９……正当カードデータ書込み処理フロー、３２１，４２２……カードリーダ制御部、３２２……カードリーダ搬送・読取部、４２３……リスト保持部、４２４……コマンド実行権限保持部、４２５……認証部、４２８……カードロック機構、４３０……コマンド−権限対応付けリスト、５１３……セキュリティトークン、５１４……ワンタイムパスワード、６２０……シンクライアント自動取引システム、６２１，６２１−１〜６２１−ｎ……シンクライアントＡＴＭ、６１８……カード、６２２……シンクライアントサーバ、６２３……営業店、６５０……カード情報データベース。

Claims (10)

1. 利用者からの要求に応じた出金取引を行う自動取引装置において、
   それぞれ前記出金取引に必要な処理を実行する複数のモジュールと、
   各前記モジュールをそれぞれ制御する全体制御部と、
   セキュリティ制御部と
   を備え、
   前記セキュリティ制御部は、
   正常な前記出金取引時における前記全体制御部と、各前記モジュールとの間でやり取りされる信号の内容がやり取りされる順番で記録された第１のリストを予め保持し、
   実際の前記出金取引時における前記全体制御部と、各前記モジュールとの間でやり取りされた前記信号の内容をやり取りされた順番で第２のリストに順次記録し、
   前記第１のリストの内容と、前記第２のリストの内容とが一致したときに前記モジュールの動作を許可する署名を発行し、
   前記モジュールは、
   前記セキュリティ制御部が前記署名を発行したときに、対応する動作を実行するものであるとともに、前記利用者から提示された当該利用者のカードに記録されている情報を読み取るカードリーダを有し、
   前記カードリーダは、
   前記利用者により挿入された前記カードを装置内にロックするカードロック機構と、
   前記カードロック機構を制御するカードリーダ制御部と、
   前記全体制御部から前記カードリーダに与えられる各コマンドと、当該コマンドを実行するためのコマンド実行権限とをそれぞれ対応付けた第３のリストを保持するリスト保持部と、
   自装置に付与された前記コマンド実行権限を保持するコマンド実行権限保持部と、
   所定の認証処理を実行する認証部と
   を備え、
   前記第３のリストにおいて、前記カードロック機構により前記カードがロックされた場合に、当該ロックを解除するための前記コマンドでなるカードロック解除コマンドを実行するための前記コマンド実行権限は、通常時に装置に付与される前記コマンド実行権限である第１のコマンド実行権限よりもセキュリティ性の高いコマンドを実行するための前記コマンド実行権限である第２のコマンド実行権限と対応付けられ、
   前記認証部は、
   上位ホストからの要求又は外部操作に応じて前記認証処理を実行し、
   前記カードリーダ制御部は、
   前記認証部による前記認証処理が正常に行われた場合に、前記コマンド実行権限保持部に保持された前記コマンド実行権限を前記第１のコマンド実行権限から前記第２のコマンド実行権限に更新し、
   前記全体制御部から前記カードロック解除コマンドが与えれた場合に、前記コマンド実行権限保持部に保持された前記コマンド実行権限と、前記第３のリストに登録されている前記カードロック解除コマンドを実行するための前記コマンド実行権限とをそれぞれ確認し、
   自装置に付与された前記コマンド実行権限が前記第２のコマンド実行権限である場合に、前記カードロック機構を作動させて前記カードのロックを解除させる
   ことを特徴とする自動取引装置。
2. 前記モジュールとして、
   装置内部の収納庫に収納された紙幣を取り出して出金する紙幣処理部と、
   テンキーを有し、前記出金取引に関する必要な情報を前記利用者が入力するためのピンパッドと、
   必要な情報を印刷するプリンタと
   を備える
   ことを特徴とする請求項１に記載の自動取引装置。
3. 前記モジュールとして、
   装置内部の収納庫に収納された紙幣を取り出して出金する紙幣処理部と、
   を備え、
   前記セキュリティ制御部は、
   前記カードリーダ又は前記紙幣処理部である
   ことを特徴とする請求項１に記載の自動取引装置。
4. 前記セキュリティ制御部は、
   前記第１のリストの内容と、前記第２のリストの内容とが一致しなかったときには、それまでの前記第２のリストの内容を不正処理として保存する
   ことを特徴とする請求項１に記載の自動取引装置。
5. 前記外部操作は、
   トークンで発生させたワンタイムパスワードを入力する操作である
   ことを特徴とする請求項１に記載の自動取引装置。
6. 前記カードリーダ制御部は、
   前記カードロック解除コマンドを実行後に、前記コマンド実行権限保持部に保持された前記コマンド実行権限を前記第２のコマンド実行権限から前記第１のコマンド実行権限に戻すための条件が成立しているか否かを判定し、
   当該条件が成立している場合に、前記コマンド実行権限保持部に保持された前記コマンド実行権限を前記第２のコマンド実行権限から前記第１のコマンド実行権限に戻す
   ことを特徴とする請求項１に記載の自動取引装置。
7. 前記コマンド実行権限保持部に保持された前記コマンド実行権限を前記第２のコマンド実行権限から前記第１のコマンド実行権限に戻すための前記条件は、
   前記第２のコマンド実行権限を要するコマンドを一定回数実行したことである
   ことを特徴とする請求項６に記載の自動取引装置。
8. 利用者からの要求に応じた出金取引を行う自動取引装置において、
   それぞれ前記出金取引に必要な処理を実行する複数のモジュールと、
   各前記モジュールをそれぞれ制御する全体制御部と、
   セキュリティ制御部と
   を備え、
   前記セキュリティ制御部は、
   正常な前記出金取引時における前記全体制御部と、各前記モジュールとの間でやり取りされる信号の内容がやり取りされる順番で記録された第１のリストを予め保持し、
   実際の前記出金取引時における前記全体制御部と、各前記モジュールとの間でやり取りされた前記信号の内容をやり取りされた順番で第２のリストに順次記録し、
   前記第１のリストの内容と、前記第２のリストの内容とが一致したときに前記モジュールの動作を許可する署名を発行し、
   前記モジュールは、
   前記セキュリティ制御部が前記署名を発行したときに、対応する動作を実行するものであるとともに、前記利用者から提示された当該利用者のカードに記録されている情報を読み取るカードリーダを有し、
   前記カードリーダは、
   出金取引を行った各前記カードのカード番号と、当該カードについて設定された出金の限度額でなる支払限度額及び支払済みの金額でなる支払済み額とをそれぞれカード情報として記憶し、
   記憶した前記カードごとの前記カード情報に基づいて出金取引の可否を判定すると共に、記憶した前記カードごとの前記カード情報を他の前記自動取引装置の前記カードリーダとの間で共有する
   ことを特徴とする自動取引装置。
9. 前記自動取引装置は、
   当該自動取引装置が必要最低限度の処理を実行し、他の処理を当該自動取引装置と接続されたシンクライアントサーバが実行するシンクライアント自動取引システムにおけるシンクライアント自動取引装置であり、
   前記カードリーダは、
   記憶した前記カードごとの前記カード情報に基づいて、前記利用者から要求された取引金額を支払った場合に当該利用者の前記カードに対する支払済み額が前記支払限度額を超えるか否かより前記出金取引の可否を判定し、
   出金取引を実行する場合に、当該利用者の前記カードの前記カード情報を前記シンクライアントサーバを介して他の前記自動取引装置でなる他の前記シンクライアント自動取引装置に送信することにより、前記カードごとの前記カード情報を他の前記自動取引装置の前記カードリーダとの間で共有する
   ことを特徴とする請求項８に記載の自動取引装置。
10. 前記カードリーダは、
    前記カード情報を暗号化して前記シンクライアントサーバに送信する
    ことを特徴とする請求項９に記載の自動取引装置。

Images