JPH10143586A

JPH10143586A - Ｉｃカード

Info

Publication number: JPH10143586A
Application number: JP30537296A
Authority: JP
Inventors: Fumiyuki Iwase; 史幸岩瀬; Takafumi Kobayashi; 孝文小林; Yoshitaka Sakai; 義考酒井; Osamu Tsuboi; 治坪井; Naoyuki Sugano; 直行菅野; Koji Imai; 孝司今井; Hiroyuki Kishimoto; 博之岸本
Original assignee: N T T DATA TSUSHIN KK; NTT Data Communications Systems Corp
Current assignee: N T T DATA TSUSHIN KK; NTT Data Group Corp
Priority date: 1996-11-15
Filing date: 1996-11-15
Publication date: 1998-05-29
Anticipated expiration: 2016-11-15
Also published as: JP3321374B2

Abstract

(57)【要約】【課題】カード内部に格納される対象データに対する
不当なアクセスを確実に防止することができるＩＣカー
ドを提供する。【解決手段】ＥＥＰＲＯＭ１５に、格納できる金額デ
ータの範囲を定める更新可能範囲の設定領域１５２を形
成する。内部ＣＰＵは、金額データの更新の際に、更新
予定の値がこの領域１５２に設定された更新可能範囲内
かどうかを自己チェックを行う。更新可能範囲のうち上
限値はカード発行者によって秘密裏に設定し、下限値は
カード所有者が設定するとともに、これらの設定につい
ては、不正なアクセスから防止するために、ＰＩＮ照合
を経た後に特殊コマンドでしか実行できなくなるように
した。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、例えばオフライン
の使用時における不当なデータの更新を防止し、それに
よって生じるカード発行者及びカード所有者のリスクを
軽減させることができるＩＣカードに関する。

【０００２】

【従来の技術】ＩＣカードの内部に、カード発行主体で
あるセンタシステム側で管理されている対象データ、例
えば金額等に相当するデータ（以下、金額データ）を格
納しておき、その金額データを用いてセンタシステム側
の了解を得ずに商品購入等を行う取引形態がある。この
ような取引形態をオフライン取引という。例えば、セン
タシステムとオンライン接続されているＡＴＭ（automa
tic teller machine）等を用いて自己の銀行預金残高の
全部または一部に対応する金額データをＩＣカードのメ
モリ領域に格納しておき、商品購入時には、店舗にある
オフライン端末を用いて上記金額データを逐次減算して
いく場合がオフライン取引に該当する。

【０００３】このようなオフライン取引においては、Ｉ
Ｃカードに格納されている金額データと、センタシステ
ム側で管理している預金残高に相当する金額データとの
不一致による、カード発行者とカード所有者との間のト
ラブル発生を回避する手段を講じることが重要となる。

【０００４】そこで、従来は、センタシステム側でＩＣ
カードに格納できる金額データに上限を設けて金額デー
タの更新（増額）の際に一定の制限を課し、上記金額デ
ータの不一致を防止するような工夫が施されていた。図
７は、この場合のシーケンスチャートであり、ＩＣカー
ド、ＡＴＭに設けられるカードリーダライタ（以下、Ｒ
／Ｗ）、及び、ＡＴＭにオンライン接続されているセン
タシステムにおける、それぞれの処理の流れを示すもの
である。

【０００５】図７において、Ｒ／Ｗ（ＡＴＭ）は、カー
ド挿入の検知を契機に（Ｒ２１）所要のカード挿入後処
理を行った後、ＩＣカードに対して現在値、すなわち現
在格納されている金額データの読出要求を行う（Ｒ２
２）。ＩＣカードは、この要求の受信によって（Ｋ２
１）自己のメモリ領域から、現在格納されている金額デ
ータを読み出し、これをＲ／Ｗへ送信する（Ｋ２２）。
ＩＣカードから金額データを受信したＲ／Ｗは、この金
額データと増加予定額とを加算して変更値を演算し（Ｒ
２３）、演算結果である変更値をセンタシステムに送信
する（Ｒ２４）。つまり更新可能かどうかの問い合わせ
を行う。

【０００６】センタシステムでは、変更値を受信する
と、当該ＩＣカードの登録所有者について管理している
金額データ（以下、管理値）を検索し（Ｃ２１）、存在
する場合はその管理値と受信した変更値とを比較する
（Ｃ２２）。そして変更値が管理値以下であれば（Ｃ２
３：Ｙｅｓ）更新可能通知、変更値が管理値を越える場
合（Ｃ２３：Ｎｏ）更新不可通知をそれぞれＲ／Ｗに送
る。

【０００７】Ｒ／Ｗは、センタシステムからの通知が更
新可能通知の場合はその旨をＩＣカード側に送り（Ｒ２
５）、更新不可通知の場合は更新不可表示を行って所定
のエラー処理を行う。

【０００８】ＩＣカードは、更新可能通知を確認する
と、金額データの現在値を更新するとともに（Ｋ２３
２）。更新が正常終了した場合はその旨をＲ／Ｗに通知
する（Ｋ２４）。この通知を受信したＲ／Ｗは、更新済
を表示し（Ｒ２７）、必要処理が終了した場合は、当該
ＩＣカードの排出制御を行う（Ｒ２８）。これによりＩ
Ｃカードは排出され、更新された金額データに基づくオ
フライン取引が可能になる。

【０００９】

【発明が解決しようとする課題】上述のように、ＩＣカ
ードに格納されている金額データを更新する場合、通常
は、常にセンタシステム側で管理されている金額データ
との整合性をチェックした上で更新の可否が行われるよ
うになっている。しかし、上記ＩＣカードに対して行わ
れる金額データの更新手順を第三者が盗み、その手順を
実現する機能を搭載した不正なＡＴＭを作成してしまえ
ば、センタシステムへの問い合わせを行わなくともＩＣ
カードの内部の金額データを一方的に更新することが可
能となってしまう。また、正規のカード所有者がＩＣカ
ードを紛失ないし盗難にあった場合、それを取得した悪
意の第三者が更新可能な金額データの範囲内で設定金額
の増額や商品の購入等を繰り返すことが考えられる。

【００１０】このように、従来のＩＣカードを用いてオ
フライン取引を行う場合、カード所有者及びカード発行
者（あるいはシステム運用者）の双方にとって、危険性
のある取引形態となってしまう問題があった。このよう
な問題は、上記金額データのように、ＩＣカードの内部
に格納される対象データの更新可否が、ＩＣカードの外
部に存する装置の判断によって行われることに起因して
おり、同様の手法を採用する他のＩＣカードシステムに
も共通に存していた。

【００１１】そこで、本発明の課題は、カード内部に格
納される対象データの更新制限を徹底させ、該対象デー
タに対する不当なアクセスを確実に防止することができ
る、改良されたＩＣカードを提供することにある。

【００１２】

【課題を解決するための手段】本発明は、上記課題を解
決するため、更新によってその値が増減する対象データ
を格納するためのデータ格納領域と、前記データ格納領
域に格納される対象データの更新可能範囲が設定された
設定領域と、前記データ格納領域に格納されている対象
データの現在値及び新規入力値に基づいて更新候補デー
タを生成するとともに、該更新候補データが前記設定領
域に設定された更新可能範囲内のときのみ前記データ格
納領域の更新を許容する第１のメモリ制御手段と、を有
するＩＣカードを提供する。

【００１３】また、更新によってその値が増減する対象
データを格納するためのデータ格納領域と、前記データ
格納領域に格納される対象データの更新可能範囲を設定
するための設定領域と、この設定領域に少なくとも一種
類の前記更新可能範囲を設定ないし更新する第２のメモ
リ制御手段とを有するＩＣカードをも提供する。

【００１４】上記各ＩＣカードにおいて、前記更新可能
範囲は、例えば、少なくとも一方が固定値である更新上
限値と更新下限値との組、あるいは個別に設定及び更新
が可能な更新上限値と更新下限値との組により規定され
るものであり、また、前記データ格納領域に複数種別の
対象データの格納領域が形成される場合、個々の対象デ
ータの格納領域について規定されるものである。更新上
限値は、例えば対象データの値が累積され過ぎないよう
にするため、更新下限値は、対象データの値が低減され
過ぎないようにするための保全手法として用いることが
できる。

【００１５】本発明の他のＩＣカードは、カード外部よ
り入力される前記対象データの更新要求と前記更新可能
範囲の設定ないし更新要求とを識別するとともに、識別
結果に応じて異なる形態の認証処理を行う認証処理手段
をさらに有する。この認証処理手段は、好ましくは、前
記更新可能範囲の上限値及び下限値の設定ないし更新を
異なる権限ＩＤに基づいて許容するように構成されるよ
うにする。

【００１６】

【発明の実施の形態】以下、図面を参照して、本発明の
実施の形態を詳細に説明する。図１は、本発明が適用さ
れるＩＣカードの構成例を示す図である。このＩＣカー
ド１は、カードリーダライタ（Ｒ／Ｗ）２との間のデー
タ入出力制御を行う入出力制御部（Ｉ／Ｏ）１１、マイ
クロプロセッサ（ＣＰＵ）１２、ＲＯＭ１３、ＲＡＭ１
４、及びＥＥＰＲＯＭ１５を備えて構成される。

【００１７】ＲＡＭ１４は、ＣＰＵ１２がプログラムを
実行するために使用するワーキングメモリであり、ＲＯ
Ｍ１３は、少なくともＣＰＵ１２が実行する制御プログ
ラムを格納するメモリである。

【００１８】図２は、ＥＥＰＲＯＭ１５の内容説明図で
ある。本実施形態では、ＥＥＰＲＯＭ１５に、少なくと
も、アクセス権限ＩＤである複数のＰＩＮ（Personal I
dentification Number：暗証番号）を格納するためのＰ
ＩＮ格納領域１５１と、対象データの一例である金額デ
ータの更新可能範囲を設定するための設定データ格納領
域１５２と、上記金額データの格納領域１５３とを形成
する。ここで用いる金額データは、金額等を表すデータ
であり、オフライン取引時の資金保留に際してその値が
増加し、商品購入等の支払いの際にその値が減少するデ
ータである。

【００１９】ＰＩＮ格納領域１５１には、カード発行者
用のＰＩＮ＃１と正規のカード所有者用のＰＩＮ＃２と
を設定しておく。設定データ格納領域１５２に設定され
る更新可能範囲は更新上限値と更新下限値との組から成
り、この更新上限値及び更新下限値は、それぞれ個別に
設定ないし更新（以下、この実施形態において設定等と
する）できるようになっている。例えば更新上限値はカ
ード発行者、更新下限値はカード所有者のみが設定等を
行えるようにする使い方が可能である。

【００２０】なお、更新上限値と下限値の少なくとも一
方は、固定値としておくことも可能である。また、両方
とも固定値とすれば、少なくとも後述の認証処理手段の
構成を、より簡略化させることができる。

【００２１】更新上限値と更新下限値は複数の組を設定
することができ、かつ各組の更新上限値と更新下限値に
は、複数の金額データ＃１〜＃ｎの各々の格納領域につ
いて個別に設定することができる。このようにすれば、
１枚のＩＣカードで複数のサービスの提供を受ける場合
等に対応させることができる。図示の例では、更新上限
値Ａと更新下限値Ａの組に金額データ＃１，更新上限値
Ｂと更新下限値Ｂの組に金額データ＃２と金額データ＃
３とが設定されている。

【００２２】図３は、ＲＯＭ１３に格納された制御プロ
グラムに従ってＣＰＵ１２が実現する機能ブロック構成
図である。この実施形態では、認証処理部１２０、コマ
ンド実行管理部１２１、上限値設定部１２２，下限値設
定部１２３、対象データ設定部１２４、データ比較処理
部１２５、演算処理部１２６、及びデータ更新処理部１
２７を構築する。なお、ここでは、更新上限値及び更新
下限値が、それぞれ個別に更新等することができるもの
として説明する。

【００２３】認証処理部１２０は、Ｉ／Ｏ１１を介して
Ｒ／Ｗ２から入力されるＰＩＮを識別して所要の認証処
理を行うものである。なお、金額データの更新の際には
ＰＩＮ入力による認証処理を省略することもできる（Ｐ
ＩＮアンロック状態）。コマンド実行管理部１２１は、
認証処理部１２０が金額データの更新要求とは異なる要
求、すなわち更新可能範囲の設定等や各更新可能範囲に
ついての金額データの設定等を要求を前提とした認証処
理を行ったとき、当該要求に対応するコマンドを選択的
に実行するものである。

【００２４】このコマンド実行管理部１２１における処
理の手順を図４により説明する。コマンド実行管理部１
２１は、例えば、カード発行者が自己のＰＩＮ＃１の入
力をもとに更新上限値の設定等を要求した場合（ステッ
プＳ１０１：Ｙｅｓ）、上限値設定部１２２に更新上限
値の設定用コマンドを送る（ステップＳ１０２）。ま
た、カード所有者が自己のＰＩＮ＃２入力をもとに更新
下限値の設定等を要求した場合は（ステップＳ１０１：
Ｎｏ、ステップＳ１０３：Ｙｅｓ）、下限値設定部１２
３に更新下限値の設定用コマンドを送る（ステップＳ１
０４）。更新可能範囲に個別的に金額データ＃１〜＃ｎ
の設定等を行う場合も、カード所有者のＰＩＮ照合を行
い、正常の場合に対象データ設定用コマンドを対象デー
タ設定部１２４に送るようにする。ＰＩＮ照合の結果、
認証がとれない場合はエラー処理を行って（ステップＳ
１０５）、処理を終える。

【００２５】データ比較処理部１２５は、金額データ格
納領域１５３に格納されている金額データの現在値とＩ
／Ｏ１１を介して新規入力された金額データ（新規入力
値）とを演算処理部１２６を用いて合計し、合計値が当
該金額データについて設定された更新可能範囲内かどう
かを比較する。そして、更新可能範囲内の場合は合計値
をデータ更新処理部１２７に送る。データ更新処理部１
２７は、データ比較処理部１２５の比較処理結果に応じ
て金額データ格納領域１５３の該当データ領域を更新す
るものである。

【００２６】次に、上記構成のＩＣカードの使用方法を
図５及び図６を参照しながら具体的に説明する。図５
は、データ比較処理部１２５及びデータ更新処理部１２
７における処理手順の流れを示しており、図６は、ＩＣ
カード１とＲ／Ｗ２との間のシーケンス手順を示してい
る。ここでは、更新可能範囲が既に設定されており、認
証処理については問題ないものとして説明する。

【００２７】図６において、Ｒ／Ｗ２は、ＩＣカード１
が挿入されると（Ｒ１１）、当該ＩＣカードにデータ更
新要求（コマンド）を送信する（Ｒ１２）。ＩＣカード
側では、この更新要求の受信を契機にＥＥＰＲＯＭ１５
の該当領域を検索するとともに所要の更新処理を行う
（Ｋ１１〜Ｋ１６）。

【００２８】具体的には、図５に示されるように、デー
タ更新要求の受信により（ステップＳ２０１）、該当す
る金額データの格納領域を検索する（ステップＳ２０
２）。金額データが存在している場合（ステップＳ２０
３：Ｙｅｓ）、当該金額データについて設定されている
更新可能範囲があるかどうかを検索する（ステップＳ２
０４）。更新可能範囲が存在した場合（ステップＳ２０
５：Ｙｅｓ）、増額要求かどうかを判定し（ステップＳ
２０６）、増額要求である場合は、現在の金額値と増額
値とを加算し（ステップＳ２０６：Ｙｅｓ、Ｓ２０７
ｋ）、この加算値が更新上限値以下であることをチェッ
クする（ステップＳ２０８ｋ）。一方、ステップＳ２０
６において減額要求であることを確認した場合は、現在
の金額値から減額値を減算し（ステップＳ２０６：Ｎ
ｏ、Ｓ２０７ｇ）、この減算値がデータ変更可能下限値
以上であることをチェックする（ステップＳ２０８
ｇ）。

【００２９】上記ステップＳ２０６，Ｓ２０８ｋ，Ｓ２
０８ｇでのチェックの際に、算出データが更新可能範囲
に収まっていることが確認できた場合は、該当金額デー
タの更新を行い（ステップＳ２０９）、正常に終了した
旨をＲ／Ｗ２に通知する（ステップＳ２１０）。一方、
当該コマンドの実行条件チェックにおいてエラーとなっ
た場合には、所定のエラー処理を行い、異常終了をＲ／
Ｗ２に通知する（ステップＳ２１１）。図６に戻り、Ｒ
／Ｗ２は、ＩＣカード１からの通知内容を利用者に認識
できる形で出力し（Ｒ１３）、必要な終了処理を経た
後、カード排出を行う（Ｒ１４）。

【００３０】このように、本実施形態のＩＣカード１
は、その内部に、格納できる金額データの範囲を定める
更新可能範囲を設定しておき、金額データの更新の際に
自己チェックを行うようにしたので、更新処理が従来よ
りも簡素化される。従って、例えば店舗等において買い
物をする場合に、レジにおける精算処理と作業とが簡易
になり、レジ付近で他の客による待ち行列が生じる事態
を回避することができるようになる。しかも従来のよう
に、Ｒ／Ｗ側に現在の金額データを知らせる必要がない
ので、悪意の第三者にカード内部の金額データを読み出
される虞がなくなるため、ＩＣカード所有者のプライバ
シー保護にもつながる。

【００３１】また、更新可能範囲のうち上限値はカード
発行者によって秘密裏にＩＣカード１に設定しておき、
下限値はＩＣカード１の正規所有者が設定するととも
に、これらの設定については、不正なアクセスから防止
するために、ＰＩＮ照合を経た後に特殊コマンドでしか
実行できなくなるようにすることで、ＩＣカードによる
オフライン取引を安全に執り行うことができるようにな
る。また、カード所有者は、自己のＩＣカードを信頼で
きる他人に渡し、現在の金額データのうち下限値までは
商品の購入等をさせるような使い方も可能になる。

【００３２】なお、本実施形態では、対象データとし
て、金額データの場合の例を示したが、このほか、図書
カードによる貸出量や、ゲームカードによる得点量の場
合も同様の実施態様が可能である。

【００３３】

【発明の効果】以上の説明から明らかなように、本発明
のＩＣカードによれば、不正なＲ／Ｗを用いてカード内
部の対象データを不当に更新しようとしてもその更新が
制限されるため、オフライン取引時におけるカード所有
者及びカード発行者のリスクが軽減される、という特有
の効果がある。

【図面の簡単な説明】

【図１】本発明が適用されるＩＣカードの構成図。

【図２】本実施形態のＩＣカードのＥＥＰＲＯＭの内容
説明図。

【図３】本実施形態のＩＣカードにより実現される機能
ブロックの構成図。

【図４】本実施形態のコマンド実行管理部における処理
手順説明図。

【図５】本実施形態のＩＣカードにおける処理手順説明
図。

【図６】ＩＣカードとＲ／Ｗとの間で行われる処理手順
を示したシーケンスチャート。

【図７】従来のＩＣカードとＲ／Ｗとセンタシステムと
の間で行われる処理手順を示したシーケンスチャート。

【符号の説明】

１ＩＣカード２カードリーダライタ（Ｒ／Ｗ）１１入出力制御部（Ｉ／Ｏ）１２マイクロプロセッサ（ＣＰＵ）１２１認証処理部１２２コマンド実行管理部１２３上限値設定部１２４下限値設定部１２５データ比較処理部１２６演算処理部１２７データ更新処理部１３ＲＯＭ１４ＲＡＭ１５ＥＥＰＲＯＭ１５１ＰＩＮ格納領域１５２設定データ格納領域１５３金額データ格納領域

フロントページの続き (51)Int.Cl.⁶ 識別記号ＦＩＧ０６Ｋ 19/00 Ｇ０６Ｆ 15/30 ＪＧ０７Ｆ 7/08 Ｇ０６Ｋ 19/00 ＱＧ０７Ｆ 7/08 Ｚ (72)発明者坪井治東京都江東区豊洲三丁目３番３号エヌ・ティ・ティ・データ通信株式会社内 (72)発明者菅野直行東京都江東区豊洲三丁目３番３号エヌ・ティ・ティ・データ通信株式会社内 (72)発明者今井孝司東京都江東区豊洲三丁目３番３号エヌ・ティ・ティ・データ通信株式会社内 (72)発明者岸本博之東京都江東区豊洲三丁目３番３号エヌ・ティ・ティ・データ通信株式会社内

Claims

【特許請求の範囲】

【請求項１】更新によってその値が増減する対象デー
タを格納するためのデータ格納領域と、前記データ格納領域に格納される対象データの更新可能
範囲が設定された設定領域と、前記データ格納領域に格納されている対象データの現在
値及び新規入力値に基づいて更新候補データを生成する
とともに、該更新候補データが前記設定領域に設定され
た更新可能範囲内のときのみ前記データ格納領域の更新
を許容する第１のメモリ制御手段と、を有することを特徴とするＩＣカード。
【請求項２】更新によってその値が増減する対象デー
タを格納するためのデータ格納領域と、前記データ格納領域に格納される対象データの更新可能
範囲を設定するための設定領域と、該設定領域において少なくとも一種類の前記更新可能範
囲を設定ないし更新する第２のメモリ制御手段とを有す
ることを特徴とするＩＣカード。
【請求項３】前記更新可能範囲が、少なくとも一方が
固定値である更新上限値と更新下限値との組により規定
されるものであることを特徴とする請求項１記載のＩＣ
カード。
【請求項４】前記更新可能範囲が、個別に設定及び更
新が可能な更新上限値と更新下限値との組により規定さ
れるものであることを特徴とする請求項１または２記載
のＩＣカード。
【請求項５】前記データ格納領域に複数種別の対象デ
ータの格納領域が形成されており、前記更新可能上限値
及び更新下限値が、個々の対象データの格納領域につい
て規定されるものであることを特徴とする請求項４記載
のＩＣカード。
【請求項６】カード外部より入力される前記対象デー
タの更新要求と前記更新可能範囲の設定ないし更新要求
とを識別するとともに、識別結果に応じて異なる形態の
認証処理を行う認証処理手段をさらに有することを特徴
とする請求項１，２，４，または５記載のＩＣカード
【請求項７】前記認証処理手段は、前記更新可能範囲
の上限値及び下限値の設定ないし更新を異なる権限ＩＤ
に基づいて許容するように構成されていることを特徴と
する請求項６記載のＩＣカード。