JPH09193577A

JPH09193577A - Ｉｃカード、情報処理端末、および情報通信システム

Info

Publication number: JPH09193577A
Application number: JP8004371A
Authority: JP
Inventors: Tomoyuki Hoshikawa; 知之星川; Toshiatsu Iegi; 俊温家木; Toshihiko Morimoto; 俊彦森本; Kimihiro Kato; 公博加藤
Original assignee: N T T DATA TSUSHIN KK; NTT Data Communications Systems Corp
Current assignee: N T T DATA TSUSHIN KK; NTT Data Corp
Priority date: 1996-01-12
Filing date: 1996-01-12
Publication date: 1997-07-29
Anticipated expiration: 2016-01-12
Also published as: JP3555796B2

Abstract

(57)【要約】【課題】ＩＣカードを通じて不正が行われた場合に、
不正を検知して、速やかに対策制御処理をとって被害を
抑える情報通信システムを提供する。【解決手段】通信回線２１を通じてセンタ側のホスト
１１と端末４１が接続され、端末４１でＩＣカード５１
を利用する情報通信システムにおいて、端末４１に内蔵
された危機管理表１１３ａに基づき、異常現象の出現率
や接続状況等に応じて処理を変更することで不正を防止
し、不正であると確定できない現象が起こった場合や、
センタとの接続が切れた場合についても対策をとり、不
正による被害を抑える。また、端末４１およびＩＣカー
ド５１で検知した異常現象の発生状況を記録し、センタ
側のホスト１１で収集することで、システム全体におけ
る異常現象の状況を把握する。また、その対策を危機管
理表４３３ａに反映することで、新たに検知した不正に
対して速やかに対策制御処理を施す。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＩＣカードを利用
した情報通信システムに係り、特にＩＣカードを通じて
行われる不正操作への対策制御技術に関する。

【０００２】

【従来の技術】従来より、ネットワークにより上位情報
処理端末（上位装置、以下、センタと称する）と下位情
報処理端末（下位装置、以下、単に端末と称する）とを
接続して情報の授受を行う情報通信システムが、種々の
産業界において開発され、利用されている。一般に、こ
の種の情報通信システムでは、センタから多数の端末の
動作を常時監視あるいは制御するオンライン方式と、セ
ンタと端末との間で、監視項目のデータ，監視結果，評
価データ等の監視情報、あるいは監視プログラムを定期
的に授受することで、基本的に端末側だけで動作の監視
あるいは制御するオフライン方式とが採用されている。
このような情報通信システムにおいては、運用上のセキ
ュリティの確保や、不正操作に対する管理体制の強化が
重要な課題となっている。この対応策として、従来より
ＩＣカードの利用が有効であると考えられている。すな
わち、ＩＣカードにユーザＩＤ情報や暗号鍵等の送受信
機能を持たせ、このＩＣカードを端末に装着したときに
ユーザＩＤ情報等の認証を行い、正当であることが確認
できたときにのみシステムの利用を可能とする。

【０００３】

【発明が解決しようとする課題】上記のようにＩＣカー
ドを利用する情報通信システムにおいては、暗号化／復
号化、認証手段などのセキュリティが施されているが、
暗号鍵や認証手順などが知られてしまうと、容易に不正
操作が行われてしまう。特に、オフラインの状態でＩＣ
カードに対して種々の不正操作の試みがなされ、ＩＣカ
ード自身に改ざんが施された場合、ＩＣカードの認証を
行う端末、あるいはこの端末に接続されたセンタ側で
は、不正操作の状況やＩＣカードのセキュリティがどこ
まで破られたかを知ることができない問題があった。

【０００４】また、センタ側で端末の監視を常時オンラ
インで行うか、時間や処理回数等を基準に定期的に監視
情報を交換するようにして端末側でオフラインの状態で
監視するかは、システム構築時にしか選択することがで
きない。そのため、この種の情報通信システムでは、セ
ンタに設けられるホストコンピュータ（以下、ホスト）
と端末との間の通信を減らして効率的に端末の動作監視
を行ったり、ホストでのリアルタイムな動作監視を行っ
たりすることなどを、運用中に変更することができなか
った。

【０００５】本発明の主たる課題は、ＩＣカードを用い
た情報通信システムにおいて、オフラインで行われた不
正操作の状況やＩＣカードのセキュリティが破られた過
程を検知することができ、不正操作を検知したときは速
やかに対策制御処理を行って、不正操作に起因する被害
を最小限に抑える技術を提供することにある。本発明の
他の課題は、ＩＣカードを利用する端末とホストとを結
んで構成される情報通信システムにおいて、稼働状況に
応じて端末の運用形態をリアルタイムに変更できるよう
にすることにある。

【０００６】

【課題を解決するための手段】上記の主たる課題を解決
するため、本発明は、まず、不正操作ないし不正操作の
可能性を検知し得る機能を備えたＩＣカードを提供す
る。第１構成のＩＣカードは、情報処理端末から送られ
る電文が正常か否かを判定する手段と、前記電文が異常
で且つ該異常が不正操作に基づくと判定した場合に、操
作者が判らないような見せかけの偽電文を前記判定の度
に生成して前記情報処理端末に返信する手段と、前記生
成した偽電文の返信情報を蓄積する手段と、を有するこ
とを特徴とする。

【０００７】また、第２構成のＩＣカードは、情報処理
端末から送られる電文が正常か否かを判定する手段と、
前記電文が異常で且つ該異常が不明の場合に、その旨を
表す対応電文を生成して前記情報処理端末に返信する手
段と、前記生成した対応電文の返信情報を蓄積する手段
と、を有することを特徴とする。上記偽電文または対応
電文を返信する場合、受信した情報処理端末側では直ち
に必要な対策制御処理を行ってもよく、そのまま自端末
の運用を継続させておいて、必要な時点で対策制御処理
を行うようにしてもよい。

【０００８】本発明は、また、前述の情報通信システム
の下位装置としての利用に適した情報処理端末を提供す
る。この情報処理端末は、装着されるＩＣカードとの間
で電文の送受を行う手段と、前記ＩＣカードから送られ
る電文が正常か否かを判定する手段と、前記電文が異常
で且つ前記ＩＣカードに対する不正操作ないし不正操作
の可能性があると判定した場合に、前記ＩＣカードに正
常時と異なる電文を生成して返信する手段と、前記生成
した電文の返信情報を蓄積する手段と、を有することを
特徴とする。

【０００９】他の形態の情報処理端末として、前記自端
末に蓄積した返信情報または上記本発明のＩＣカードよ
り取得した返信情報から前記ＩＣカードを通じて行われ
た不正操作ないし不正操作の可能性を検知する不正検知
手段と、この不正検知手段が不正操作ないし不正操作の
可能性を検知したときに予め検知内容毎に定めた対策制
御処理を実行する不正対策処理手段と、を備える構成も
可能である。このような構成において、不正対策処理手
段は、前記不正検知手段で検知した不正の状況に応じて
対策制御処理の内容を動的に更新することができるよう
に構成することが好ましい。

【００１０】本発明は、さらに、ＩＣカードと情報処理
端末とを利用した、改良された情報通信システムを提供
する。この情報通信システムは、上位情報処理端末（上
位装置）と、オンラインまたはオフラインで上位装置に
接続される下位情報処理端末（下位装置）と、下位装置
との間で電文の送受を行うＩＣカードとから成る。下位
装置には、前記ＩＣカードのアクセスに起因する異常現
象の出現率と該ＩＣカードのアクセス状況とを含む監視
情報を蓄積する手段を備える。また、上位装置には、前
記下位装置から前記監視情報を取得する手段と、前記取
得した監視情報に基づき前記ＩＣカードまたは下位装置
に対する不正操作ないし不正操作の可能性を検知する不
正検知手段と、前記不正検出手段が不正操作ないし不正
操作の可能性を検知したときに予め不正内容毎に定めた
対策制御処理を実行する不正対策処理手段と、を備え
る。ここにいう監視情報とは、ＩＣカードのアクセスに
起因して生じる、システムの安全性の程度を表す情報を
いう。必要に応じて上述の各返信情報を含ませることが
できる。このような情報通信システムにおいて、前記不
正検知手段は、前記ＩＣカードのアクセス時における異
常現象の出現率と接続状況とを計測することで前記不正
を検知し、前記不正対策処理手段は、前記不正検知手段
で検知した不正の状況に応じて前記対策制御処理の内容
を動的に更新するように構成することが好ましい。

【００１１】

【発明の実施の形態】以下、図面を参照して本発明の実
施の形態を詳細に説明する。本発明の一実施形態による
情報通信システムの全体構成例を図１に示す。図１を参
照すると、上位装置として機能するセンタは、ホストコ
ンピュータ（以下、単にホストと称する）１１を備えて
いる。ホスト１１には、通信回線２１を通じて、複数の
サイト（ビル、店舗などの単位の総称、以下同じ）内の
サイト内制御装置３１が接続されている。各サイト内制
御装置３１には、ＬＡＮ（ローカルエリアネットワー
ク）等を通じて、多数の下位装置である端末（図１では
端末Ａを代表して示す）４１が接続されている。端末４
１は、ＩＣカード５１によってアクセス（データその他
の情報の書込／読出、以下同じ）可能となっている。

【００１２】ホスト１１は、サイト内制御装置３１や各
端末４１の動作、不正発生状況等を収集して管理者に知
らせ、管理者からの指示により必要な対策、管理限界値
等の変更等の処理を行う端末監視処理装置１１１と、ブ
ラックリストの作成／参照、詳細なチェック機能、ホス
トキー照合等を行うオンライン処理装置１１２と、端末
毎の動作，不正発生の内容や回数，それぞれの不正内容
への対策制御処理，管理限界値をまとめた危機管理表１
１３ａを格納する危機管理表格納部１１３と、サイト内
制御装置３１や端末４１との通信を行うための通信装置
１１４とを備えている。危機管理表１１３ａには、後述
の端末４１の危機管理表４３３ａと対応した設定情報が
格納されている。

【００１３】サイト内制御装置３１は、例えば電子現金
情報を扱う場合のカードマスタ情報（ＩＤ、利用残高、
その他の管理情報）を格納するカードマスタ情報格納部
３１１や、カードマスタ情報の読み出し、あるいは書き
込みを制御する手段（図示省略）が備えられている。

【００１４】端末４１は、サイト内制御装置３１やホス
ト１１と通信を行うための通信装置４２と、データの正
当性確認、データ照合、取引傾向の集計、不正発生状況
の集計、動作時間の測定のほか、ＩＣカード５１を通じ
て行われる不正操作その他の異常処理状態を検出して必
要な対策制御処理を実行する主制御装置４３と、操作者
が入力するデータを入力するとともに主制御装置４３の
処理結果を出力する入出力装置４４と、ＩＣカード５１
を離脱自在に装着するとともに、カード情報の読み書き
を行うカードリーダライタ４５と、警報ブザー４６とを
備えて構成される。

【００１５】図２に、主制御装置４３の詳細なブロック
構成例を示す。主制御装置４３は、装置全体の制御を統
括する主制御部４３１と、危機管理表格納部４３３に格
納された危機管理表４３３ａに基づいて必要な対策制御
処理を行う対策制御処理部４３２とを備えて、不正対策
処理手段を実現している。危機管理表４３３ａは、対策
制御処理部４３２が認識可能なテーブル形式の構造を有
し、自端末についての不正発生の内容やその回数，各不
正内容への対策制御処理，管理限界値とその統計値の情
報が格納されている。

【００１６】主制御部４３１は、サイト内制御装置３１
のカードマスタ情報格納部３１１との間で所要の情報を
交換し合い、あるいはＩＣカード５１からのメモリ情報
を読み取り、それにより得た情報を危機管理表４３３ａ
に書き込む。また、ホスト１１からの要求に応じて危機
管理表４３３ａを更新する。この更新は、オンライン
中、あるいはオフラインのいずれの場合も可能になって
いる。つまり、実行中の対策制御処理の部分の更新が動
的に可能になっている。対策制御処理の内容としては、
例えばＩＣカード５１とホスト１１とを直接結ぶ完全オ
ンライン処理の要求、統計値の報告要求、カードを排出
しない、警告を鳴らす、データを受けない等の処理があ
る。対策制御処理部４３２は、統計値の報告要求の際に
は、各項目の統計値をホスト１１の端末監視処理装置１
１１に送る。また、オンライン処理要求の際には、カー
ドリーダライタ４５とホスト１１のオンライン処理装置
１１２とを接続し、ＩＣカード５１との情報の授受がホ
スト１１により直接に制御されるようにする。

【００１７】主制御部４３１と対策制御処理部４３２に
は、デバイス管理部４３４を介して通信制御部４３５，
カード制御部４３６，および警報制御部４３７が接続さ
れている。デバイス管理部４３４は、対策制御処理部４
３２が必要な処理を実行する際に、デバイスのアドレス
割当等を行うものである。このアドレス割当等を受け
て、通信制御部４３５は通信装置４２を制御し、カード
制御部４３６はカードリーダライタ４５のカード装着／
離脱機構やカード情報のアクセスを制御し、警報制御部
４３７はカードリーダライタ４５，警報ブザー４６の制
御を行う。

【００１８】主制御装置４３は、また、カウンタ処理部
４３８、カウンタ格納部４３９、不正検知部４４０、お
よび動作時間間隔等を計測するための時間計測部（タイ
マおよびその附属装置）４４１を備えている。カウンタ
処理部４３８は、不正発生回数を集計する第１カウンタ
Ａと，不正操作の可能性のある回数を集計する第２カウ
ンタＢを備えており、それぞれのカウンタ値をカウンタ
格納部４３９のテーブル４３９ｂに格納する。カウンタ
格納部４３９は、例えばＥＥＰＲＯＭ（書換可能なＲＯ
Ｍ）で構成され、取引データがあるときはそれを格納す
る取引データ格納部４３９ａが形成される。なお、カウ
ンタ格納部４３９は、ホスト１１が任意の時点でその内
容を参照可能なように構成されている。

【００１９】不正検知部４４０は、ＩＣカード５１の正
当性を確認するための認証処理部４４０ａと、不正検知
に必要な演算処理を行う演算処理部４４０ｂとから構成
されている。不正検知処理については後述する。

【００２０】以上の構成の端末４１において利用される
ＩＣカード５１の詳細ブロック構成を図３に示す。この
種のＩＣカードは、一般にＣＰＵ、ＲＯＭ、ＲＡＭ、Ｅ
ＥＰＲＯＭを備えている。そこで、本実施形態は、図３
に示すように、ＣＰＵ５１２に、通信制御部５１２ａ、
実行制御部５１２ｂ、数値演算処理部５１２ｃを形成
し、ＲＯＭ５１３に、処理プログラム格納部５１３ａ、
カウンタ処理部５１３ｂ、認証処理部５１３ｃを形成す
る。カウンタ処理部５１３ｂは、不正発生回数を計測す
る第１カウンタＡ、および不正操作の可能性のある回数
を計測する第２カウンタＢの機能を備えている。ＥＥＰ
ＲＯＭ５１４には、端末４１が備えるものと同一内容の
カウンタ格納部５１４を形成しておく。ＲＡＭ５１５は
ワークエリア５１５ａとして用いる。なお、ＣＰＵ５１
２には、外部インタフェース５１１が接続される。

【００２１】本実施形態では、上記構成のＩＣカード５
１を通じて端末４１の不正操作ないし不正操作の可能性
があることを検知する不正検知機能をＩＣカード５１自
体にも持たせる。この不正検知機能の概要を、端末４１
との間で電文を送受信する場合の実行制御部５１２ｂで
の処理手順例を示す図４、および電文の流れを示した図
５にしたがって説明する。

【００２２】図４を参照すると、まず、電文番号である
ｎ＝１を設定して（ステップ（以下、Ｓ）１）、電文ｎ
の受信待ちとする（Ｓ２）。電文ｎが受信されたか否か
を判断し（Ｓ３）、受信された場合には（Ｓ３：Ye
s）、第２カウンタＢ−(nー1) をカウントダウンして
（Ｓ４）、誤り訂正符号をチェックする（Ｓ５）。誤り
訂正符号が正しければ（Ｓ５：OK）、電文の正当性をチ
ェックする（Ｓ６）。正当ならば（Ｓ６：OK）、正しい
レスポンス電文ｎを作成し（Ｓ７）、そのレスポンス電
文ｎを相手方に送信する（Ｓ８）。図５（ａ）はこの様
子を示すものである。その後、その電文ｎについての通
信が終了したか否かを判断し（Ｓ９）、通信終了ならば
（Ｓ９：Yes）、そのまま処理を終了する。

【００２３】上記Ｓ３の処理において、電文ｎが受信さ
れない場合には（Ｓ３：No）、電文ｎの受信待ちがタイ
ムアウトか否かを判断し（Ｓ１０）、タイムアウトでな
ければ（Ｓ１０：No）、Ｓ２の処理に戻り、タイムアウ
トであれば（Ｓ１０：Yes）タイムアウトに対応した電
文ｎを作成し（Ｓ１１）、Ｓ８の処理に移行する。ま
た、上記Ｓ５において、誤り訂正符号に誤りがあった場
合には（Ｓ５：NG）、伝送エラーに対応した電文ｎを作
成して（Ｓ１２）、Ｓ８に移行する。図５（ｂ），
（ｄ）は、この様子を示すものである。

【００２４】一方、上記Ｓ６の処理において、電文ｎが
正当でない場合には、第１カウンタＡ−ｎをカウントア
ップするとともに（Ｓ１３）、操作者が判らないような
見せかけの偽電文を作成して（Ｓ１４）、Ｓ８に移行す
る。この偽電文は電文毎に異なるものとする。図５
（ｃ）は、この様子を示すものである。また、上記Ｓ９
において、通信終了でない場合には（Ｓ９：No）、図５
（ｄ）に示すように第２カウンタＢ−ｎをカウントアッ
プするとともに（Ｓ１５）、電文番号をｎ＝ｎ＋１とし
て（Ｓ１６）、Ｓ２の処理に戻る。

【００２５】以上のように、上記Ｓ６の処理では、暗号
化・復号化・電子署名を用いた認証技術、コマンド／レ
スポンスのフォーマットチェックなどにより電文の正当
性をチェックする。そして、正当でないと判断した場合
には第１カウンタＡをカウントアップし、見せかけの偽
電文を作成して送信する。正当な場合は正当なレスポン
ス電文を作成し、送信する。後続電文を受信する予定が
ある場合は、第２カウンタＢをカウントアップしておい
て、受信待ちする。次の電文を受信した場合は、カウン
タＢがカウントダウンして元に戻るが、不正や伝送エラ
ーにより次の電文が待ち時間内に受信できなかった場合
は、第２カウンタＢはカウントアップされたままの状態
となり、決められた伝送手順に従って、電文を送信す
る。不正操作を検知した場合にも正常な場合と同じ回数
だけ電文のやりとりを続けて行う。また、偽電文は毎回
異なるものにする。これにより、操作者に気づかれず
に、不正操作による伝送エラーの場合には第１カウンタ
Ａ、不正操作でも伝送エラーでも起こり得るエラー（不
正操作の可能性がある）の場合には第２カウンタＢをカ
ウントアップしてカウンタ格納部５１４に蓄積すること
ができる。

【００２６】ＩＣカード５１の実行制御部５１２ｂは、
また、端末４１と通信を行うときに、カウンタ格納部５
１４の蓄積情報を端末４１のカウンタ格納部４３９に送
信する機能を有する。これにより端末４１では、図６に
示すように、ＩＣカード５１側の電文番号に対応するカ
ウンタ値Ａーn，Ｂ-nと同一のカウンタ値Ａ'ーn，Ｂ'-nを
カウンタ格納部４３９に蓄積することができる。これに
より、端末４１において、ＩＣカード５１に対して行わ
れた不正操作、ないし異常が発生した状況を知ることが
でき、必要な対策制御処理を行うことができる。これ
は、ＩＣカード５１を通じて端末４１に不正アクセスを
行おうとする者（以下、攻撃者）がどこまでアクセスに
成功したかという情報を知ることができないうちに、端
末４１側で必要な対策を採り得ることを意味する。ま
た、攻撃者にとって完全に不正アクセスを成功させるこ
とが著しく困難になることを意味する。

【００２７】次に、上記ＩＣカード５１、端末４１、サ
イト内制御装置３１、およびホスト１１を接続した場合
のシステム運用例を具体的に説明する。

【００２８】通常、端末４１は、ＩＣカード５１が利用
されたとき、上述のように、端末４１のカウンタ格納部
４３９内に、不正発生（不正操作）ないし不正発生の可
能性がある状況を蓄積し、所定の時間帯や不正回数のう
ちはホスト１１と通信し、情報交換を行う「集計処理モ
ード」、すなわちオフラインで動作する。しかし、「不
正の発生状況が異常」と判断した場合には、ホスト１１
とカードリーダライタ４５とを接続して、ホスト１１が
直接ＩＣカード５１のチェックを行う「オンラインモー
ド」に切り換える。また、利用されたカード５１が不正
（不正操作がある）、または利用状況が不正と判断され
た場合には利用の制限を行う。これらの制御処理は、端
末４１内の危機管理表４３３ａに基づいて対策制御処理
部４３２が自動実行する。

【００２９】ここで用いる端末４１の危機管理表４３３
ａの一例を図７に示す。この危機管理表４３３ａは、電
子現金、プリペイド、電子小切手等の額面をデータとし
て、これらのデータを扱う情報通信システムを想定した
場合の例である。ここでは、管理項目毎に管理限界値を
持ち、管理限界値に対応して対策制御処理の内容が設定
される。管理項目としては以下のようなものを設定す
る。

【００３０】（データ利用間隔）データ利用間隔ｔを管
理項目とする。システムの性質上、ある時間間隔を超え
るように利用が考えられない場合、その時間間隔を管理
限界値とする。この場合の対策制御処理部４３２が実行
する内容としては、管理限界値を超える利用間隔である
ことを検知したとき、次のデータ利用を不可能にしてサ
ービスを行わない、あるいは利用データ量に制限を加え
るようにする。これにより、暗号化／復号化、認証など
によって検知できなかった不正操作による損害を格段に
低減させることができる。

【００３１】（データＩＤ、カードＩＤ）データ毎にＩ
Ｄ情報が付されている場合、またはＩＣカード５１毎に
ＩＤ情報が付されている場合に、これらＩＤ情報を管理
項目として設定する。対策制御処理部４３２は、特定の
ＩＤ情報が付されたデータやＩＣカード５１に正当なも
のと不正なものがあることが判っている場合、カードリ
ーダライタ４５に装着されたＩＣカードを排出しないよ
うにする。あるいは、不正なデータやＩＣカード、取
引、年月日に対する処理を再現しないようにする。これ
により、システム運用の安全性が低下することを防ぐこ
とができる。

【００３２】（センタと通信不可（オフライン）時のデ
ータ利用量）センタ（ホスト１１）との通信不可時に利
用されるデータ量ｃを管理項目とする。センタでのみ検
出できる不正や移動動作がある場合に設定する。通常は
無条件で利用可能とする。対策制御処理部４３２は、こ
の値が、ある値（ｃ＝１，０００）以上では当日に同じ
サイトで発行・提供されたデータのように、信頼性の高
いデータのみ利用できるようし、より厳しい値（ｃ＝１
０，０００）以上になった場合にはデータ利用動作を停
止させる。これにより、オフライン時に検出できない不
正操作による損害を低減することができる。

【００３３】（不正検知カウンタ、不正らしさ検知カウ
ンタ）ＩＣカード５１や端末４１の不正検知カウンタ
（第１カウンタＡ）、不正らしさカウンタ（第２カウン
タＢ）をそれぞれ管理項目とする。通常は無条件で利用
可能とする。対策制御処理部４３２は、カウンタ値が各
管理限界値以上の場合、管理限界値の大きさに対応した
対策制御処理を行う。つまり、管理限界値が厳しくなる
に応じて、使用履歴管理と利用制限を厳しくする。この
場合の対策制御処理の具体例として以下のようなものが
挙げられる。（１）端末４１内にＩＤとカウンタ値を蓄積するととも
に、蓄積情報を一定のタイミングでサイト内制御装置３
１に送信する。（２）ＩＣカード５１の利用時にサイト内制御装置３１
に所要データを送信する。（３）操作者が利用できるサービスを制限する。（４）ＩＣカード５１をロックし、ホスト１１にカード
ＩＤを送信する。これにより不正状況の情報を上位装置に必要最低限だけ
送ることができ、通信量の節減を図ることができる。

【００３４】（カードマスタ検索時のデータ利用量）Ｉ
Ｃカード５１を電子財布として使用し、その利用残高や
管理情報を含むカードマスタ情報を同サイトや他サイト
のサイト内制御装置から検索する場合、検索を行ってい
る時間内のデータ利用量を管理項目とする。対策制御処
理部４３２は、データ利用量が管理限界値以上の場合、
そのカードアクセスを停止させる。これにより、カード
マスタ情報を参照する時間が長い場合でも、不正による
損害を一定に抑えて、サービスを停止せずに運用するこ
とができる。

【００３５】対策制御処理部４３２が行う上記処理の概
略的な流れを図８に示す。動作間隔を管理項目としてい
る場合は、動作を行う前に時間計測部４４１で計測した
時刻を読み出し（Ｓ２１）、前の処理との動作間隔を算
出する（Ｓ２２）。続いて、通信ないしカードアクセス
を行った後（Ｓ２３）、集計処理モード（オフライン）
か否かを判断する（Ｓ２４）。集計処理モードの場合
（Ｓ２４：Yes）は、装置内の危機管理表４３３ａに従
って処理を行う。集計処理モードでない場合（Ｓ２４：
No）にはオンラインモードで動作し、ホスト１１の指示
に従って処理を行う。

【００３６】集計処理モードの場合は、管理項目ｋに１
を代入し（Ｓ２５）、計測値・統計値Ｃkの収集・算出
を行う（Ｓ２６）。次に、限界値の数ｉを設定し（Ｓ２
７）、上記Ｃkの値と管理限界値Ｌkiとを比較する（Ｓ
２８）。Ｃk ＜Ｌkiならば、ｉが１か否かを判断し（Ｓ
２９）、ｉ＝１ならば、ｋの値が管理項目数ｋに等しい
か否かを判断する（Ｓ３０）。等しければそのモードの
処理を終了する。一方、Ｓ２８の処理において、Ｃk ≧
Ｌkiならば、対策（ｋi）を実行し（Ｓ３１）、Ｓ２９
の処理において、ｉ＝１でなければｉ＝ｉ−１として
（Ｓ３２）、Ｓ２８の処理に戻る。Ｓ３０において、ｋ
が管理項目数ｋに達していない場合は、ｋ＝ｋ＋１とし
て（Ｓ３３）、Ｓ２６の処理に戻る。

【００３７】すなわち、集計処理モードでは、通信動作
あるいはカードアクセスによって得られた情報や前の処
理との時間間隔等から、各管理項目に従って「統計値・
計測値」を算出する。次に「統計値・計測値」を管理限
界値と比較し、「管理限界値」以上の場合には対応する
「対策制御処理」を行う。複数の管理限界値がある場合
には、条件を満たす最も厳しい管理限界値に対応する
「対策制御処理」を行う。全ての管理項目に対し管理限
界値との比較を行い、そのモードを終了する。

【００３８】一方、オンラインモードの場合は、ホスト
１１にカードアクセスにより得た情報を送信する（Ｓ３
４）。そして、ホスト１１からの返信情報を受信し（Ｓ
３５）、その返信情報に含まれる指示に従ってサービス
実施や動作停止等の処理を実行して（Ｓ３６）、そのモ
ードを終了する。

【００３９】このように、端末４１に危機管理表４３３
ａを備えることで不正操作ないし不正操作の可能性があ
る場合に、端末４１が、主導的に、あるいはホスト１１
からの指示を受けて直ちに必要な対策制御処理を施すこ
とが可能になる。また、端末４１における現在の監視情
報、例えばカウンタ格納部４３９に蓄積されている情報
等をホスト１１が随時収集することで、システム全体の
安全性がどこまで低下したかを知ることができ、システ
ム更新の時期や次の対策の指標を得ることができる。ま
た、収集した監視情報に基づき危機管理表４３３ａの内
容を随時更新することで、不正操作に基づくサービス実
施その他の処理を未然に防止することができ、安全にシ
ステムを維持することができる。

【００４０】なお、以上は、危機管理表を端末４１に備
えた場合の例であるが、ホスト１１、サイト内制御装置
３１、端末４１に各々自端末固有の危機管理表を持たせ
ることが好ましい。特に、システムが階層構造の場合、
各階層毎に危機管理表を備えることが好ましい。

【００４１】図９に、ホスト１１−サイト内制御装置３
１−端末４１の３階層に、各目的に応じた危機管理表を
備える例を示す。この場合、ホスト１１およびサイト内
制御装置３１は、端末４１における対策制御処理部４３
２と同様のデータ処理手段を備えている。

【００４２】ホスト用危機管理表は、例えば、通信不可
時の処理・対策、サイト間の使用データの管理、システ
ム全体のデータ量の把握・管理（出力−入力）、システ
ム全体の不正状況の管理、管理者への通知管理を目的と
する。サイト内制御装置用危機管理表は、例えば、通信
不可時の処理・対策、サイト内でのデータ量の管理・把
握（出力−入力）、入出力の傾向管理、サイト内の不正
状況の管理、センタへの通知管理を目的とする。端末用
危機管理表は、図７に示したような管理項目、対策・処
理を設定する。

【００４３】このような目的で備えられるサイト内制御
装置３１内の危機管理表では、ホスト１１との通信不可
時に利用されたデータの量や、通常時のサイト内のデー
タ量、不正の傾向が管理項目となる。通常時のサイト内
のデータ量としては、下記計算式に示される、発行・提
供したデータ（出力データ）と利用されたデータ（入力
データ）の差・割合や、利用されたデータにおける「他
サイトで発行・提供したデータ」の量・割合が管理され
る。この場合の対策制御処理としては、ホスト１１への
通知や、利用データの制限、利用可能な装置の制限が挙
げられる。（計算式）＜出力データと入力データの差＞＝（出力データ）−
（入力データ）＜出力データと入力データの割合＞＝（出力データ）／
（入力データ）＜他サイト発行・提供データの割合＞＝（他サイト出力
データ）／（入力データ）

【００４４】ホスト１１内の危機管理表では、サイト間
のデータの移動量や、システム全体における出力データ
と入力データの差・割合、不正発生回数、サイト内制御
装置３１との通信不可時の不正発生回数、通信不正時間
が管理項目となる。この場合の対策制御処理としては、
管理者への通知、利用データの制限、サイト内制御装置
３１や端末４１内の危機管理表の更新等が挙げられる。

【００４５】このように、本実施形態の情報通信システ
ムでは、暗号方法の変更等のシステム更新時期の指標を
容易且つ少ない負荷で得ることができる。しかも、高い
セキュリティを維持できることから、電子現金等の財貨
を扱うシステムを安全に構築することができる。また、
大規模なシステムで細かな危機管理を行いたい場合に、
該危機管理に必要な負荷を分散させ、利用に要する時間
を短縮できる点で有効となる。

【００４６】

【発明の効果】以上詳述したように、本発明によれば、
オフラインでＩＣカードに不正操作がなされた場合であ
っても、それを利用する情報処理端末あるいは上位装置
で不正操作の状況を確実に収集することができる効果が
ある。また、不正操作を検知した場合には、ＩＣカード
が攻撃者が判らないような偽電文を送るため、複数の電
文をやりとりする処理では、攻撃者に対して必要な情報
を与えることがない。よって、全ての暗号鍵や認証処理
の手順を完全に知られない限り、セキュリティを破られ
にくく、高いセキュリティを確保できる効果がある。

【００４７】さらに、不正操作と断定できない異常動作
については、監視情報に基づいて詳細な状況を得ること
ができ、不正操作や不正操作らしい動作の検知・対策制
御処理によるセンタの負荷も少なく、不正操作と断定で
きない不正操作が発生した場合にも、損害を抑えること
ができる効果がある。

【００４８】加えて、必要時だけオンラインチェックに
切り換わるようにすることができるため、安全性を高め
た場合にも回線使用のコストを削減できる効果がある。
また、回線の不具合でホスト等と通信できなくなった場
合に、情報処理端末を動作させ続けても、不正に基づく
損害を抑えることができる。

【００４９】さらに、危機管理表の内容を運用中に動的
に更新することにより、システム設計時に予測されなか
った不正状況が発生しても、それに起因する損害を削減
できるという効果がある。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る情報通信システムの
全体構成を示すブロック図。

【図２】この実施形態による端末の詳細ブロック構成
図。

【図３】この実施形態によるＩＣカードの内部ブロック
構成図。

【図４】ＩＣカードにおける、不正ないし不正らしき電
文の検知・対策・発生状況の収集の手順を示すフローチ
ャート。

【図５】ＩＣカードに不正検知機能をもたせる場合の、
端末間の電文の流れを示す図。

【図６】端末とＩＣカードに備えられるカウンタ格納部
の関係説明図。

【図７】この実施形態における危機管理表の一例を示す
説明図。

【図８】危機管理表を用いた端末装置での対策制御処理
の手順説明図。

【図９】ホスト−サイト内制御装置−端末の３階層に危
機管理表を備えた情報通信システムの接続状態説明図。

【符号の説明】

１１ホストコンピュータ１１１端末監視処理装置１１２オンライン処理装置１１３危機管理表格納部１１３ａホストの危機管理表２１通信回線３１サイト内制御装置４１端末（情報処理端末）４３主制御装置４３１主制御部４３２対策制御処理部４３３危機管理表格納部４３３ａ危機管理表４３４デバイス管理部４３５通信制御部４３６カード制御部４３７警報制御部４３８カウンタ処理部４３９カウンタ格納部４４０不正検知部４４１時間計測部５１ＩＣカード５１２ＩＣカードのＣＰＵ５１２ｂ実行制御部５１３ＩＣカードのＲＯＭ５１３ｂカウンタ処理部５１４ＩＣカードのＥＥＰＲＯＭ内に構成されるカ
ウンタ格納部５１５ＩＣカードのＲＡＭ

───────────────────────────────────────────────────── フロントページの続き (72)発明者加藤公博東京都江東区豊洲三丁目３番３号エヌ・ティ・ティ・データ通信株式会社内

Claims

【特許請求の範囲】

【請求項１】情報処理端末との間で電文の送受を行う
ＩＣカードであって、前記情報処理端末から送られる電文が正常か否かを判定
する手段と、前記電文が異常で且つ該異常原因が不正操作によると判
定した場合に、操作者が判らないような見せかけの偽電
文を前記判定の度に生成して前記情報処理端末に返信す
る手段と、前記生成した偽電文の返信情報を蓄積する手段と、を有することを特徴とするＩＣカード。
【請求項２】情報処理端末との間で電文の送受を行う
ＩＣカードであって、前記情報処理端末から送られる電文が正常か否かを判定
する手段と、前記電文が異常で且つ該異常原因が不明な場合に、その
旨を表す対応電文を生成して前記情報処理端末に返信す
る手段と、前記生成した対応電文の返信情報を蓄積する手段と、を有することを特徴とするＩＣカード。
【請求項３】装着されるＩＣカードとの間で電文の送
受を行う手段と、前記ＩＣカードから送られる電文が正常か否かを判定す
る手段と、前記電文が異常で且つ前記ＩＣカードに対する不正操作
ないし不正操作の可能性があると判定した場合に、前記
ＩＣカードに正常時と異なる電文を生成して返信する手
段と、前記生成した電文の返信情報を蓄積する手段と、を有することを特徴とする情報処理端末。
【請求項４】請求項１記載のＩＣカードに蓄積された
偽電文の返信情報と請求項２記載のＩＣカードに蓄積さ
れた対応電文の返信情報の少なくとも一方を取得する手
段と、前記自端末に蓄積した返信情報または前記ＩＣカードよ
り取得した返信情報から前記ＩＣカードを通じて行われ
た不正操作ないし不正操作の可能性を検知する不正検知
手段と、この不正検知手段が不正操作ないし不正操作の可能性を
検知したときに予め検知内容毎に定めた対策制御処理を
実行する不正対策処理手段と、を有することを特徴とする請求項３記載の情報処理端
末。
【請求項５】前記不正対策処理手段は、前記不正検知
手段の検知状況に応じて前記対策制御処理の内容を動的
に更新することを特徴とする請求項４記載の情報処理端
末。
【請求項６】上位情報処理端末（以下、上位装置）
と、オンラインまたはオフラインで前記上位装置に接続
される下位情報処理端末（以下、下位装置）と、前記下
位装置との間で電文の送受を行うＩＣカードとから成る
情報通信システムにおいて、前記下位装置に、前記ＩＣカードのアクセスに起因する異常現象の出現率
と該ＩＣカードのアクセス状況とを含む監視情報を蓄積
する手段を備えるとともに、前記上位装置に、前記下位装置から前記監視情報を取得する手段と、前記取得した監視情報に基づき前記ＩＣカードまたは下
位装置に対する不正操作ないし不正操作の可能性を検知
する不正検知手段と、前記不正検出手段が不正操作ないし不正操作の可能性を
検知したときに予め不正内容毎に定めた対策制御処理を
実行する不正対策処理手段と、を備えたことを特徴とする情報通信システム。
【請求項７】前記不正対策処理手段は、前記不正検知
手段で検知した検知状況に応じて前記対策制御処理の内
容を動的に更新することを特徴とする請求項６記載の情
報通信システム。