JPH10143589A

JPH10143589A - Ｉｃカードシステム及びｉｃカード

Info

Publication number: JPH10143589A
Application number: JP30537896A
Authority: JP
Inventors: Fumiyuki Iwase; 史幸岩瀬; Masatoshi Umemoto; 正敏梅本; Akinobu Shigeki; 昭信重木; Koji Imai; 考司今井
Original assignee: N T T DATA TSUSHIN KK; NTT Data Communications Systems Corp
Current assignee: N T T DATA TSUSHIN KK; NTT Data Corp
Priority date: 1996-11-15
Filing date: 1996-11-15
Publication date: 1998-05-29
Anticipated expiration: 2016-11-15
Also published as: JP3346711B2

Abstract

(57)【要約】【課題】ＩＣカードの格納データとセンタシステム側
の管理データとの不一致の状態でのカード使用を防止で
きるＩＣカードシステムを提供する。【解決手段】カードリーダライタ（Ｒ／Ｗ）からＩＣ
カードへ格納データの仮更新を要求し、該仮更新の正常
終了を確認したときにセンタシステムへ上記格納データ
と同一の管理データの実更新を要求する。そして、セン
タシステムによる管理データの実更新の正常終了を確認
したときにＩＣカードへ本更新を要求するようにし、こ
の本更新の実行によってのみＩＣカード内の格納データ
の内容を確定させるようにした。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、カード発行主体で
あるセンタシステムで管理するデータとの更新状態の整
合性が図れない場合に、格納データへのアクセスを制限
する機能を有するＩＣカード、及びこのＩＣカードを使
用したＩＣカードシステムに関する。

【０００２】

【従来の技術】ＩＣカードの内部に、カード発行主体で
あるセンタシステム側で管理されている対象データ、例
えば金額等に相当するデータ（以下、金額データ）を格
納しておき、その金額データを用いてセンタシステム側
の了解を得ずに商品購入等を行う取引形態がある。この
ような取引形態をオフライン取引という。例えば、セン
タシステムとオンライン接続されているＡＴＭ（automa
tic teller machine）等を用いて自己の銀行預金残高の
全部または一部に対応する金額データをＩＣカードのメ
モリ領域に格納しておき、商品購入時には、店舗にある
オフライン端末を用いて上記金額データを逐次減算して
いく場合がオフライン取引に該当する。

【０００３】このようなオフライン取引においては、Ｉ
Ｃカードに格納されている金額データと、センタシステ
ム側で管理している預金残高に相当する金額データとの
不一致による、カード発行者とカード保有者との間のト
ラブル発生を回避する手段を講じることが重要となる。

【０００４】そこで、従来は、カード内部の金額データ
を先に更新し、次いでオンラインによって銀行口座の預
金残高を更新するという手順がとられている。あるい
は、逆に、銀行口座の預金残高を更新してから、カード
内部のデータを後で更新するという手順がとられる場合
もある。カード内部の金額データを更新する場合は、１
回のデータ更新要求コマンドにより、カード内部のデー
タを更新するとともに必要に応じてその履歴をカード内
部に追記していた。

【０００５】図１０は、ＩＣカード側とセンタシステム
側との金額データの不一致を防止するための手順を示し
たシーケンスチャートであり、ＩＣカード、ＡＴＭに設
けられるカードリーダライタ（以下、Ｒ／Ｗ）、及び、
ＡＴＭにオンライン接続されているセンタシステムにお
ける、それぞれの処理の流れを示すものである。

【０００６】図１０において、Ｒ／Ｗ（ＡＴＭ）は、挿
入されているＩＣカードに対して現在の金額データの更
新要求（更新データ＋コマンド）を行う（Ｒ４１，Ｒ４
２）。ＩＣカードは、この更新要求の受信によって自己
のメモリ領域に格納されている金額データを更新し（Ｋ
４１）、併せて更新履歴をメモリ領域に追記する（Ｋ４
２）。正常終了した場合は、更新済通知をＲ／Ｗ側へ送
る（Ｋ４３）。ＩＣカードから更新済通知を受信したＲ
／Ｗは（Ｒ４３）、センタシステムに対して管理データ
の更新要求（更新データ＋コマンド）を行う（Ｒ４
３）。ここに管理データとは、当該ＩＣカードの正規所
有者について管理している金額データをいう。センタシ
ステムは、管理データ更新要求の受信により該当する管
理データを検索して更新し（Ｃ４１）、それが正常終了
した場合は、更新済通知をＲ／Ｗに送る（Ｃ４２）。こ
の通知を受信したＲ／Ｗは、図示しないディスプレイ等
に更新済を表示した後（Ｒ４４）、当該ＩＣカードの排
出制御を行う（Ｒ４５）。このようにして、ＩＣカード
の金額データとセンタシステム側で管理している金額デ
ータとの連携が図られている。

【０００７】

【発明が解決しようとする課題】ここで、金額データを
増やす場合を想定する。また、この場合のデータ更新手
法として、ＩＣカード側の金額データを更新（増額）し
た後に、センタシステム側の管理データを更新（増額）
する手法を採用していたとする。このような状況では、
ＩＣカードにおけるデータ更新は正常に終了し、それに
より金額データは増えたが、オンラインによるセンタシ
ステム側のデータ更新が正常に行われなかった場合は、
それを知らないカード所有者が、センタシステム側の管
理データを越える金額でＩＣカードによる買い物をして
しまうことが考えられる。

【０００８】また、その逆に、ＩＣカード内部の金額デ
ータを減らす場合、センタシステム側の管理データを更
新（減額）した後にＩＣカード側の金額データを更新
（減額）する手法を採用していたとする。このとき、セ
ンタシステム側のデータ更新は正常に終了し、それによ
り管理データは減ったが、ＩＣカード内部のデータ更新
が何らかの理由で正常に実行できなかった場合には、正
常に減額がなされたと信じているカード所有者が、セン
タシステム側の管理データを越える金額でＩＣカードに
よる買い物をしてしまうことが考えられる。

【０００９】つまり、従来のＩＣカードでは、オフライ
ン取引の際に、カード内部の金額データとセンタシステ
ム側の管理データとの不一致を生じる可能性が高く、正
しい金額データの使用が保証されにくいという問題があ
った。

【００１０】そこで、本発明の課題は、カード内部の格
納データの更新状態とその格納データを管理している側
の更新状態との不一致の発生、及び該不一致状態でのカ
ード取引を自律的に抑制することができるＩＣカード、
及びこのＩＣカードを用いたＩＣカードシステムを提供
することにある。

【００１１】

【課題を解決するための手段】上記課題を解決するた
め、本発明は、ＩＣ内部のデータ格納領域に格納された
データの更新制御手段を有するＩＣカードと、このＩＣ
カードの格納データに対応する内部管理データの更新制
御手段を有する第１装置と、前記ＩＣカード及び第１の
装置の各更新制御手段に対してデータ更新要求を発行す
る第２装置とを含んで構成されるＩＣカードシステムに
おいて、前記第２装置に、前記ＩＣカードの更新制御手
段へ前記格納データの仮更新を要求する仮更新要求発行
手段と、該仮更新の正常終了を確認したときに前記第１
装置の更新制御手段へ内部管理データの実更新を要求す
る実更新要求発行手段と、該内部管理データの実更新の
正常終了を確認したときに前記ＩＣカードの更新制御手
段へ本更新を要求する本更新発行手段とを設け、この本
更新の実行によって前記ＩＣカード内の格納データの内
容を確定させるようにした。

【００１２】このＩＣカードシステムのより好ましい形
態としては、前記第２装置に、さらに、前記内部管理デ
ータの実更新の異常の有無を監視するシステム監視手段
と、該システム監視手段が異常を検知したときに前記本
更新の要求に代えてリカバリ要求を前記ＩＣカードの更
新制御手段へ送出するリカバリ要求発行手段とを設け
る。この場合、前記ＩＣカードの更新制御手段は、前記
リカバリ要求の受信時に前記仮更新の実行前の状態を復
元するように構成する。

【００１３】本発明は、また、上記ＩＣカードシステム
での利用に適したＩＣカードを提供する。このＩＣカー
ドは、下記の機能をもつ更新制御手段を有することを特
徴とするものである。（１）ＩＣ内部のデータ格納領域内の格納データについ
ての仮更新要求を受信したときに該仮更新要求に基づく
更新候補データを生成する第１の手段と、生成された前
記更新候補データについての本更新要求を受信したとき
に該更新候補データの内容を確定させる第２の手段。（２）前記仮更新要求の受信を契機に少なくとも前記デ
ータ格納領域へのアクセスを制限させ、前記本更新要求
の受信を契機に該制限を解除する第３の手段。（３）所定のリカバリ要求の受信を契機に前記データ格
納領域内の格納データを前記仮更新要求前の状態に復元
させるリカバリ要求実行手段。（４）前記仮更新要求の実行結果または前記更新候補デ
ータの元データを一時的に保持するデータバッファと、
前記本更新要求またはリカバリ要求の受信時に前記デー
タバッファの保持内容をクリアするバッファ制御手段。
つまり、ＩＣ内部の格納データとこれを管理する側のデ
ータとの不一致の有無を検知し、一致性の確認が確保で
きない間の更新候補データの使用を制限するとともに、
本更新要求時またはリカバリ要求時の後続処理の迅速化
を図ることができるＩＣカードを提供する。

【００１４】

【発明の実施の形態】以下、図面を参照して、本発明の
実施の形態を詳細に説明する。図１は、本発明が適用さ
れるＩＣカードの構成例を示す図である。このＩＣカー
ド１は、カードリーダライタ（Ｒ／Ｗ）２との間のデー
タ入出力制御を行う入出力制御部（Ｉ／Ｏ）１１、マイ
クロプロセッサ（ＣＰＵ）１２、ＲＯＭ１３、ＲＡＭ１
４、及びＥＥＰＲＯＭ１５を備えて構成される。

【００１５】ＲＡＭ１４は、ＣＰＵ１２がプログラムを
実行するために使用するワーキングメモリであり、ＲＯ
Ｍ１３は、少なくともＣＰＵ１２が実行する制御プログ
ラムを格納するメモリである。この実施形態では、ＣＰ
Ｕ１２、ＲＯＭ１３、及びＲＡＭ１４によって本発明の
更新制御手段を実現する。

【００１６】図２は、ＥＥＰＲＯＭ１５の内容説明図で
ある。本実施形態では、ＥＥＰＲＯＭ１５に、少なくと
も、ＰＩＮ（Personal Identification Number：暗証番
号）の現在の設定状態がＰＩＮロック状態かＰＩＮアン
ロック状態かを表すカードステータスを格納するための
ステータス格納領域１５１、変更データバッファ１５
２、金額データ格納領域１５３、及び更新履歴格納領域
１５４を形成している。なお、このほか、必要に応じて
ＰＩＮの格納領域を別途形成しておいてもよい（複数の
ＰＩＮを設定する場合等）。

【００１７】ＰＩＮロック状態とは、金額データへのア
クセス時（データ保存、更新、読出し等、以下同じ）、
保有者ＰＩＮの入力を促して利用者認証を行うことを必
須とする状態であり、カードステータスがこの状態のと
きは、カード使用時にＰＩＮ入力が不可欠となる。一
方、ＰＩＮロック解除状態とは、操作上の便宜を考慮し
てＰＩＮ入力を不要としている状態、つまり、ＰＩＮに
よる利用者認証が省略される状態である。カードステー
タスがこの状態のときはカード使用時のＰＩＮ入力は不
要となる。

【００１８】変更データバッファ１５２は、例えば金額
データ格納領域１５３に格納されるデータを外部（Ｒ／
Ｗ２）から受信したデータをもとに生成（算出）する場
合、この受信データ等を一時的に保持しておき、その内
容が確定したとき、あるいは最終的に確定し得なかった
ときに、保持データをもとに金額データ格納領域１５３
内の金額データを元に戻す、という場合に使用される。

【００１９】更新履歴格納領域１５４は、金額データの
更新が確定する度にその取引日と額の履歴を追記するた
めの領域である。この更新履歴は、後日の取引行為の分
析時等に使用されるものである。

【００２０】図３は、ＲＯＭ１３に格納された制御プロ
グラムに従ってＣＰＵ１２により実現される更新制御手
段の機能ブロック構成図である。この実施形態では、更
新要求実行処理部１２１、演算処理部１２２、データ・
履歴状態判定部１２３、ステータス遷移制御部１２４、
バッファ制御部１２５、データ更新処理部１２６、及び
更新履歴追記処理部１２７を構築する。更新要求実行処
理部１２１は、下記の各部１２２〜１２７の制御を統括
するものであり、Ｉ／Ｏ１１を介してＲ／Ｗ２から入力
される各種要求（コマンド）や金額データ等を識別し、
現在のカードステータスを監視しながら入力された各種
要求の実行等を行う。例えば、カードステータスがＰＩ
Ｎロック状態のときはＰＩＮ入力による照合以外は特定
のコマンド入力がないと金額データへのアクセスを禁止
するようにする。このデータアクセスの禁止状態を単な
る「ロック状態」と称し、ＰＩＮロック状態とは区別し
て説明する。但し、後述の本更新要求やリカバリ要求に
ついては、ロック状態であってもこれを受け付けて実行
するように例外コマンドを設定しておく。

【００２１】演算処理部１２２は、金額データの演算の
際に用いられるものである。データ・履歴状態判定部１
２３は、現在の金額データや履歴の状態が仮状態（更新
可能であるが未確定の状態、以下同じ）か本状態（更新
が確定している状態、以下同じ）かを判定する。この判
定は、例えば、変更データバッファ１５２内にデータが
保持されていれば仮状態、保持データが存在しておら
ず、金額データ格納領域１５３の金額データや変更履歴
格納領域１５４内の更新履歴の内容が確定している場合
は本状態と判定する。変更バッファメモリ１５２内の保
持データ、あるいは金額データ格納領域１５３の金額デ
ータや変更履歴格納領域１５４内の更新履歴に仮状態ま
たは本状態のフラグを立てておくことで判定するように
してもよい。

【００２２】ステータス遷移制御部１２４は、更新要求
実行処理部１２１の指示によってステータス格納領域１
５１の現在のカードステータスの監視と遷移制御を行
う。この実施形態では、金額データ等が仮状態のときは
当該金額データに対するアクセスを制限するためにロッ
ク状態にしておき、本状態になったときにロック解除状
態に遷移させるものとする。

【００２３】バッファ制御部１２５は、変更データバッ
ファ１５２のクリア等を行うものである。データ更新処
理部１２６は、金額データ格納領域１５３に格納されて
いる金額データの更新等を行うものであり、更新履歴追
記処理部１２７は、更新履歴格納領域１５４内の更新履
歴を追記するものである。なお、更新履歴格納領域１５
４内の更新履歴は上書きするように変更してもよい。

【００２４】次に、上記ＩＣカード１との間でデータ等
の授受を行うＲ／Ｗ２（第２装置）側の構成を説明す
る。この場合のＲ／Ｗ２は、例えば図示しないセンタシ
ステム側とオンラインで結ばれたＡＴＭやＰＯＳ操作端
末等に備えられるものを想定している。

【００２５】Ｒ／Ｗ２は、更新管理部２１と、コマンド
発行部２２と、システム監視部２３とを含んで構成され
る。更新管理部２１は図示しないテンポラリメモリを有
し、Ｒ／Ｗ２の操作者、ＩＣカード１、及びセンタシス
テムから、金額データ、更新データ、各種通知、あるい
は後述のシステム監視結果等を受け取ってテンポラリメ
モリに一時的に格納するとともに、各種通知やデータ更
新に関する情報を出力ないし返送する。また、テンポラ
リメモリの格納データに基づいてコマンド発行部２２に
各種要求発行の指示を与える。コマンド発行部２２は、
ＩＣカード１に対して仮更新要求及び本更新要求（デー
タ込）、あるいはリカバリ要求を生成して送信するとと
もに、センタシステム側に管理データの実更新要求を生
成して送信するものである。

【００２６】仮更新要求は、ＩＣカードに金額データの
仮更新を要求するためのコマンドであり、例えばカード
取引時に入力される金額データの関連データ（例えばセ
ンタシステムに送信した更新データ）が更新管理部２１
のテンポラリメモリに存在しない場合に、これを検知し
た更新管理部２１からの指示によって生成される（仮更
新要求発行手段）。

【００２７】また、本更新要求は、ＩＣカードに仮状態
にある金額データの確定を要求するコマンドであり、セ
ンタシステムからの更新済通知の受信時にテンポラリに
該当更新データが存在する場合に、これを検知した更新
管理部２１からの指示によって生成される（本更新要求
発行手段）。

【００２８】一方、リカバリ要求は仮更新要求を発行し
た後に何らかの理由でセンタシステム側での管理データ
の実更新が成功しなかった場合にＩＣカード１の内容を
仮更新要求の発行直前の状態に復元させるためのコマン
ドであり、仮更新処理の正常終了後に本更新要求を発行
できない事態の発生を検知した更新管理部２１からの指
示によって生成される（リカバリ要求発行手段）。

【００２９】システム監視部２３は、例えばタイマを含
んで構成され、コマンド発行部２２がセンタシステムへ
管理データ更新要求を発出した後の経過時間を監視し、
タイムアップ前に更新済通知を受領しない場合にその結
果を更新管理部２１に通知するように構成される（シス
テム監視手段）。

【００３０】次に、Ｒ／Ｗ２から上記各種要求（コマン
ド）を受信したときのＩＣカード１側の処理動作を図５
及び図６を参照して説明する。図５は、仮更新要求を受
信した場合の例である。この場合は、まずカードステー
タスを調べ、ロック解除状態になっている場合は、ロッ
ク状態へ遷移させる（ステップＳ１０１，１０２，１０
３）。次いで、変更データバッファ１５２がクリア状態
かどうかを確認し、クリア状態であれば、対象金額デー
タが本状態かを調べ、本状態であれば最新更新履歴が本
状態であるかどうかを調べる（ステップＳ１０４，１０
５，１０６）。最新更新履歴が本状態のときは変更デー
タバッファへ仮更新要求と共に送られたデータを書き込
み（ステップＳ１０７）、更新候補データの算出を行う
（ステップＳ１０８）。そして、金額データ格納領域１
５３内の金額データの仮更新と更新履歴格納領域１５４
内の更新履歴の仮追記とを行い（ステップＳ１０９，１
１０）、正常処理済通知をＲ／Ｗ２側に送る（ステップ
Ｓ１１１）。ステップＳ１０３，１０４，１０５，１０
６での判定結果が否定的である場合はエラー処理、例え
ば正常に仮更新できなかった旨のレスポンスをＲ／Ｗ２
側に送る。

【００３１】図６は、本更新要求を受信した場合の例で
ある。この場合は、カードステータスを調べ、ロック状
態であることを確認する（ステップＳ２０１，２０
２）。ロック状態であれば変更データバッファ１５２に
有効なデータ、すなわち本更新の際に用いられるデータ
が存在しているかどうかを調べる（ステップＳ２０
３）。有効なデータの存在を確認した場合は、対象金額
データが仮状態かどうかを調べ、仮状態であれば最新更
新履歴が仮状態かどうかを調べる（ステップＳ２０４，
２０５）。仮状態であれば該当する金額データの本更新
と更新履歴の本追記とを行う（ステップＳ２０６，２０
７）。その後、変更データバッファ１５２の内容をクリ
アし（ステップＳ２０８）、ロック状態を解除させると
ともに（ステップＳ２０９）、正常処理済通知をＲ／Ｗ
２側に対して行う（ステップＳ２１０）。一方、ステッ
プＳ２０２，２０３，２０４，２０５での判定結果が否
定的である場合は、上述のエラー処理をＲ／Ｗ２に対し
て行う（ステップＳ２１１）。

【００３２】なお、以上は、仮更新要求の中にＩＣカー
ドをロックする機能、本更新要求の中にＩＣカードのロ
ックを解除する機能が含まれていることを前提として説
明したが、これらの機能は、各更新要求とは別のコマン
ドにより行うことができる。

【００３３】次に、上記のように動作するＩＣカード
１、Ｒ／Ｗ２、及びセンタシステム側の処理の全体の流
れを図７〜図９を参照して説明する。

【００３４】図７は、正常時の流れを示すシーケンスチ
ャートである。Ｒ／Ｗ２が仮更新要求を送信した後（Ｒ
１１，Ｒ１２）、ＩＣカード１から正常処理済通知を受
信するまでの手順（Ｋ１１〜Ｋ１４）については図５に
示したとおりである。ＩＣカード１側の仮更新処理が正
常に終了した場合、Ｒ／Ｗ２は、次に、センタシステム
に対して管理データの実更新要求（更新データ込）を送
信する（Ｒ１３）。センタシステムでは、該当する管理
データを検索してこれを更新し（Ｃ１１）、更新済通知
をＲ／Ｗ２に送る（Ｃ１２）。この通知により管理デー
タの実更新を確認したＲ／Ｗ２は（Ｒ１４）、ＩＣカー
ド１に対して本更新要求を送信する（Ｒ１５）。この本
更新要求を受信したＩＣカード１が対象金額データや更
新履歴の本更新、本追記を行った後、ロック状態の解除
をＲ／Ｗ２に通知するまでの手順（Ｋ１５〜Ｋ１９）
は、図６に示したとおりである。解除通知を受けたＲ／
Ｗ２は、正常処理済をディスプレイ等に表示し（Ｒ１
６）、所要の終了処理を経てカード排出制御を行う（Ｒ
１７）。

【００３５】図８は、異常時の流れを示すシーケンスチ
ャートである。異常発生の形態としては種々のものが考
えられるが、ここでは、センタシステム側において実更
新ができない原因が発生し、前述の更新済通知（Ｃ１
２）がＲ／Ｗ２側に送信されなかったものとする。

【００３６】この場合、Ｒ／Ｗ２が仮更新要求をＩＣカ
ード１側に送信するとともに、ＩＣカード１から正常処
理済通知を受信したＲ／Ｗ２がセンタシステムに管理デ
ータの実更新要求を送信するまでの手順（Ｒ２１，Ｒ２
２、Ｋ２１〜Ｋ２５、Ｒ２３）は図７の場合と同様であ
る。ここでは、Ｒ／Ｗ２において、管理データの更新要
求送信と同時にタイマによる監視を始める（Ｒ２４）。
この監視は、システム監視部２３が行う。上述のように
センタシステムに異常が発生しているので（Ｃ２１）、
タイムアップ後も更新済通知は行われない（Ｒ２５）。
そこで、システム監視部２３は、監視結果が否定的であ
ることを更新管理部２１に伝える。更新管理部２１は、
この監視結果に基づいてエラー処理、例えば図示しない
ディスプレイにエラー表示を行う（Ｒ２７）。このよう
に、仮更新要求後、本更新要求前に異常が発生した場
合、ＩＣカード１の金額データや更新履歴は仮状態のま
まであり、カードステータスもロック状態が継続され
る。

【００３７】図９は、リカバリ処理時のシーケンスチャ
ートである。リカバリ処理は、ＩＣカード１の金額デー
タ等が仮状態を維持しているときに、これを仮更新要求
の直前の状態に強制的に復元するものである。このリカ
バリ処理は、Ｒ／Ｗ２からＩＣカード１へリカバリ要求
が送信されることによって開始する（Ｒ３１，Ｒ３
２）。ＩＣカード１では、更新要求実行処理部１２１
が、金額データ格納領域１５３内の金額データに変更デ
ータバッファ１５２上の変更金額データを加算（仮更新
が減額であった場合）、または減算（仮更新が増額であ
った場合）する（Ｋ３１）。また、最新のデータ更新仮
履歴を削除する（Ｋ３２）。その後、変更データバッフ
ァ１５２をクリアし（Ｋ３３）、ロック状態を解除する
とともに、ロック状態解除をＲ／Ｗ２に通知する（Ｋ３
４）。Ｒ／Ｗ２は、このロック状態解除をディスプレイ
等に表示した後（Ｒ３３）、カード排出制御を行う（Ｒ
３４）。これにより、ＩＣカード１は、仮更新要求前の
状態に戻る。

【００３８】このように、本実施形態のＩＣカード１
は、センタシステムにおける管理データとの不一致を検
知するとともに、そのような状態での使用が防止される
機能を有しているので、カード所有者が、センタシステ
ム側の管理データを越える金額で買い物をしてしまう事
態を回避することができる。

【００３９】なお、本実施形態では、金額データの場合
の例を挙げて示したが、このほか、図書カードによる貸
出量や、ゲームカードによる得点量の場合も同様の実施
態様が可能である。

【００４０】

【発明の効果】以上の説明から明らかなように、本発明
のＩＣカードによれば、センタシステム側の管理データ
との連携が図られるので、該管理データと不一致の状態
でのＩＣカードによる取引が回避される効果がある。こ
のような効果は、オフライン取引を許容するＩＣカード
システムでは、特に有効となるものである。

【図面の簡単な説明】

【図１】本発明が適用されるＩＣカードの構成図。

【図２】本実施形態のＩＣカードのＥＥＰＲＯＭの内容
説明図。

【図３】本実施形態のＩＣカードにより実現される機能
ブロックの構成図。

【図４】本実施形態のカードリーダライタ側が備える機
能ブロックの構成図。

【図５】本実施形態において仮更新要求を受信した場合
のＩＣカード側の処理手順の説明図。

【図６】本実施形態において本更新要求を受信した場合
のＩＣカード側の処理手順の説明図

【図７】本実施形態のＩＣカード、Ｒ／Ｗ、及びセン
タシステムにおいて、正常時の処理の流れを示すシーケ
ンスチャート。

【図８】本実施形態のＩＣカード、Ｒ／Ｗ、及びセン
タシステムにおいて、異常発生時の処理の流れを示すシ
ーケンスチャート。

【図９】本実施形態のＩＣカード、Ｒ／Ｗ、及びセン
タシステムにおけるリカバリ処理の流れを示すシーケン
スチャート。

【図１０】ＩＣカード、Ｒ／Ｗ、及びセンタシステムに
おいてデータ更新要求が発生した場合の従来の処理の流
れを示すシーケンスチャート。

【符号の説明】

１ＩＣカード２カードリーダライタ（Ｒ／Ｗ）１１入出力制御部（Ｉ／Ｏ）１２マイクロプロセッサ（ＣＰＵ）１３ＲＯＭ１４ＲＡＭ１５ＥＥＰＲＯＭ１２１更新要求実行処理部１２２演算処理部１２３データ・履歴状態判定部１２４ステータス遷移制御部１２５バッファ制御部１２６データ更新処理部１２７更新履歴追記処理部１５１ステータス格納領域１５２変更データバッファ１５３金額データ格納領域１５４更新履歴格納領域

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号ＦＩＧ０７Ｆ 7/08 Ｚ (72)発明者今井考司東京都江東区豊洲三丁目３番３号エヌ・ティ・ティ・データ通信株式会社内

Claims

【特許請求の範囲】

【請求項１】ＩＣ内部のデータ格納領域に格納された
データの更新制御手段を有するＩＣカードと、このＩＣ
カードの格納データに対応する内部管理データの更新制
御手段を有する第１装置と、前記ＩＣカード及び第１の
装置の各更新制御手段に対してデータ更新要求を発行す
る第２装置とを含んで構成されるＩＣカードシステムに
おいて、前記第２装置に、前記ＩＣカードの更新制御手段へ前記
格納データの仮更新を要求する仮更新要求発行手段と、
該仮更新の正常終了を確認したときに前記第１装置の更
新制御手段へ内部管理データの実更新を要求する実更新
要求発行手段と、該内部管理データの実更新の正常終了
を確認したときに前記ＩＣカードの更新制御手段へ本更
新を要求する本更新発行手段とを設け、この本更新の実行によって前記ＩＣカード内の格納デー
タの内容を確定させるようにしたことを特徴とするＩＣ
カードシステム。
【請求項２】前記第２装置は、さらに、前記内部管理
データの実更新の異常の有無を監視するシステム監視手
段と、該システム監視手段が異常を検知したときに前記
本更新の要求に代えてリカバリ要求を前記ＩＣカードの
更新制御手段へ送出するリカバリ要求発行手段とを有
し、前記ＩＣカードの更新制御手段は、前記リカバリ要求の
受信時に前記仮更新の実行前の状態を復元するように構
成されていることを特徴とする請求項１記載のＩＣカー
ドシステム。
【請求項３】ＩＣ内部のデータ格納領域に格納された
データの更新制御手段を有するＩＣカードであって、前記更新制御手段は、前記データ格納領域内の格納データについての仮更新要
求を受信したときに該仮更新要求に基づく更新候補デー
タを生成する第１の手段と、生成された前記更新候補データについての本更新要求を
受信したときに該更新候補データの内容を確定させる第
２の手段とを含んで構成されることを特徴とするＩＣカ
ード。
【請求項４】前記更新制御手段は、前記仮更新要求の
受信を契機に少なくとも前記データ格納領域へのアクセ
スを制限させ、前記本更新要求の受信を契機に該制限を
解除する第３の手段を有することを特徴とする請求項３
記載のＩＣカード。
【請求項５】前記更新制御手段は、所定のリカバリ要
求の受信を契機に前記データ格納領域内の格納データを
前記仮更新要求前の状態に復元させるリカバリ要求実行
手段を有することを特徴とする請求項３または４記載の
ＩＣカード。
【請求項６】前記更新制御手段は、前記仮更新要求の
実行結果または前記更新候補データの元データを一時的
に保持するデータバッファと、前記本更新要求または前記リカバリ要求の受信時に前記
データバッファの保持内容をクリアするバッファ制御手
段とを有することを特徴とする請求項５記載のＩＣカー
ド。