JPS61502999A - リモ−ト・タ−ミナル・ネットワ−ク用安全システム及び方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】

リモート・ターミナル・ネット この発明は安全システムに関する。又、このシステこの発明は中央プロセッサと 通信する複数のリモート・ターミナルを含むネットワークの形態をとるシステム に特別な応用を有する。 背景技術 多数のリモート・ターミナルを利用する大型分散データ処理及び演算システムの 確立がシステムの安全性への関心を高めるようになってきた。そのような安全保 証は実際に金銭を引き出し又は交換することを必要とする演算システムの出現か ら特にその存在に関心がよせられてきた。そのような演算システムは使用者にサ ービスを与える前にそのシステムを使用する正しい権利があるかどうかについて 、各人がシステムにサービスを要求したときに、それを正しく識別する手段を要 求している。 正しい使用者の識別に加え＼識別が確認された使用者に対して既に承認したサー ビスの範囲で確認したことを安全確実に正しく実行しなければならない。 この型の現システムにおける使用者を識別する最も一般的な方法はいわゆる個人 識別番号（ＰＩＮ　）の使用である。典型的に、使用者は複数ディジ、ト数（又 は文字）列をターミナル・キーデートに正しく挿入することが要求される。その 安全性は特別な数の組合わせのＰＩＮを法的にその特定の使用者のみが知シ、そ のシステムのホスト又は中央コンピュータをアクセスすることができるというよ うな前提条件で保持される。 その−例としては、ＰＩＮはターミナルからホスト・コンピュータに送信され、 そこで使用者の口座番号によりてホスト又は中央ファイルを呼出した後に（顧客 又は使用者口座ファイル）その内、容と比較され、そのＰＩＮが割当てられた使 用者番号又は使用者に割当てられた口座番号について正しいかどうかを照合する ようにしたものがある。その使用者番号又は口座番号は磁性帯カード・リーグ、 例えば多くの金融機関から発行されているクレジット・カード又は預金カードの 磁性帯の内容から口座番号を読取るような半自動手段によってターミナル側から 挿入することができる。 そのような方法でターミナルにＰＩＮを挿入すると、照合のため、口座番号と共 にホスト・コンピュータに送信される。低安全システムでは、ＰＩＮは未エンコ ード又は未暗号化状態、いわゆる０クリヤ・チクスト”（素原文）のままで通信 ネットワークを介して送信される。多少安全なシステムではホスト・コンピュー タに送信する前にＰＩＮを暗号化するであろう。しかし、犯罪者は通信ラインに 詐欺的に接続（メツｆ）することができる。犯罪者は特定のＰＩＮ自体の正確な 番号（文字）列を確認することが不可能であっても、通信ラインに現われだ特定 の符号化ディジット群によって、ホスト・コンピュータをアクセスすることがで きるＰＩＮ人カメカメツセージ得できるということを知っている。その犯罪者が 各種詐欺的手段によって符号化ディジット群を再複製したときに、゛現金発行″ のようなその後に続く指令の結果を受けることができる。 米国特許明細書第４．３１７．９５７号は中央処理手段と複数のリモート・ター ミナルを含む安全システムを開示している。リモート・ターミナルを使用するた めに使用者は磁性帯を有するカードをターミナルに挿入し、キーぜ−ドから彼の ＰＩＮを打鍵する。ターミナルは磁性帯を読取シ、ターミナル識別データと共に 読取られたデータを利用して中央処理手段に送信される勘定処理リクエスト・メ ツセージの暗合化に使用する作用キーを発生する。中央処理手段は会計データ・ ベースからデータを取得してターミナルから受信した暗号化されたデータと共に 安全モジュールに送信する。そこで、暗号化データは復号され、ＰＩＰはデータ ・ペースから引出されたＰＩＮと比較される。比較が成功すると、ターミナルに 適当な応答が返信される。 発明の開示 号の挿入に応答してその決定手段を使用する権限があるかどうかを決定する決定 （照合）手段と、その使用者に関する特定の情報ファイルから情報を引出すため に前記決定手段からの要求に応答して前記決定手段が前記特定の情報ファイルか ら情報を得る権限を有するかどうかを照合する照合手段とを含むことを特徴とす る安全システムを提供する。 この発明によるシステムの安全度は非常に高く、それは中央情報ファイルからデ ータをアクセスするためには２つの照合確認を必要とするということによって達 成される。第１に、決定手段は使用者その決定手段を使用する権限があるかどう かを照合しなければならない。そこで、決定手段は中央情報ファイルをアクセス する権限があるかどうかを決定手段自体が照合しなければならない。その他のこ の発明の利点は中央プロセッサ及び夫々の使用者に配置されている複数のリモー ト・ターミナルを含むシステムに特に適切な応用があるということである。 この発明の他の面によると、それはリモート・ターミナル及び′中央プロセッサ を含む安全システムをアクセスする方法であって、個人識別番号を挿入する特定 使用者がそのリモート・ター°ミナルを使用する権限があるかどうかを照合し、 中央ノロセ、すの特定のファイルに関する情報を要求するリモート・ターミナル が特定のファイルをアクセスして情報を得る権限があるかどうかを照合する方法 を提供する。 図面の簡単な説明 次に、下記添付図面を参照してその例によシこの発明の一実施例を説明する。 第１図は、共同通信媒体を介して中央プロセッサに接続された複数のリモート・ ターミナルの概略ブロック図である。 第２図は、この発明の好ましい実施例の概略ブロック図である。 第３図は、第１図及び第２図の個人ターミナルの１つの簡略ブロック図である。 第４図は、第１図及び第２図の中央プロセッサの簡略ブロック図である。 第５図は、個人ターミナルがいかにそのターミナルの正しい使用者を照合するか を例示した作用ブロック図である。 第６図は、中央プロセッサがいかに中央プロセッサの特定のファイルをアクセス することを希望する正しい個人ターミナルを照合するかを例示した作用ブロック 図である。 第７図は、音数の計算に使用することができる典型的な゛アルゴリズムの説明に 便利な算術論理ユニット（ＡＬＵ　）に対する全体的入力を例示する図である。 発明を実施するための最良の形態 図面を参照すると、第１図は、例えば空気、光繊維ケーブル又は他の適当な手段 又はそれらの組合わせによる電話線、同軸ケーブル又は通信リンクのような双方 向通信媒体１５を介して中央プロセ、す１３に接続された複数のリモート・ター ミナル１１４．１１□、・・・１１Ｎから成るシステム又はネットワークを表わ す。好ましい実施例では、通信媒体１５は電話線であり、リモート・ターミナル １１１，１１゜、・・・１１Ｎはターミナル１１．１１２．・・・１１Ｎと中央 プロセッサ１３との間の双方向データ通信用２線接続線１７．、．１７□、・・ ・１７Ｎによってその通信媒体又は電話線１５に夫々接続される。 第１図のネットワークのターミナル１１．．１１２１・・・１１Ｎはどれも安全 か金額口座及び他の安全なファイル情報のアクセスを要求して中央プロセッサ１ ３に対し所定の情報を送信することができる。その所定の情報が正しければ、要 求した安全なファイル情報へのアクセスが許される。 現在及び先行技術では、（ターミナル１１４．１１゜。 ・・・１１Ｎのような）ターミナルと、夫々のターミナルと中央プロセッサ１３ との間に使用された場合の中間ユニット（図に示していない）とのコストは各使 用者に対するコスト又は投資を最少にするために、各ターミナルを複数の使用者 間で共同使用するという必要性から重要なものであった。上記のような現在の方 法の多くはこの共有ターミナル状況から脱皮している。例えば、ターミナルは複 数の使用者によりて使用され、使用者は一般に多くの異なるターミナルを使用す ることができるから、システム又はネットワークはターミナル側で使用者照合情 報を保持するようにしておらず、その代りそれらの情報を中央プロセッサ１３に 保有するようにしていた。 技術の進歩に従い、各ターミナルのコストは相当低減され、そのため特定の個人 ターミナルを各使用者に提供するのが経済的に容易になってきた。その上、現在 、ターミナルの機能レベル又は、決定能力は、そのターミナルの使用者の範囲が 、例えば夫及び妻のように非常に限定された場合でも、ターミナル側でＰＩＮを 照合することができるレベルまで高められてきた。そのようなターミナル使用の 状況の変化の結果、システムの安全性の方法及び技術が新たに要求されてきた。 第２図に表わすこの発明の好ましい実施例はこのような新しいリモート・ターミ ナル状況下におけるシステムの安全性を提供する新規な技術を表わす。 第２図及び第３図乃至第７図の説明の理解を容易にするために、次にそれらに使 用する用語を定義する。 個人ターミナル：全システム内の１ユニツト。典型的にはキーボード及びディス グレイを持つ。システムの中央プロセッサに対し直接又は間接に通信することに よって、使用者とシステムの他のユニットとの間のインタフェースとして作用す る。 使用者；システムからサービス又は情報を要求する人間又は顧客。 中間ユニット二個人ターミナルと中央プロセッサとの間において、与えられたシ ステム内にあるか、なくてもよい全システム内の１ユニツト。そのシステムに使 用されている場合、個人ターミナルからのメツセージは中央プロセッサに達する 前に中間ユニットを通る。 送信媒体二個人ターミナル又は個人二ニットからの情報が中央プロセッサに送信 される手段。典型的な送信媒体は狭又は広帯域電話線、同、軸ケーブル、衛星り ７り、ファイノ？光ケーブル又は他のいかなる適当な手段でもよい。 中央プロセッサ：送信媒体の一端にあシ、各使用者の安全ファイル情報にアクセ スするか、又は口座残高、安全情報及び歴史ファイルのような情報を含む各使用 者の口座ファイルにアクセスする制御ユニット。中央プロセッサの言葉はフロン ト・エンド・プロセッサ、ファイル・プロセッサ、ディスク・メモリー、通信コ ントローラなどのような広い範囲の施設及び装置を表わすということは当業者に 明らかである。 個人識別番号（ＰＩＮ　）　：各使用者か選ぶか割当てらの使用者にのみ知らさ れる。 ファイル番号（使用者番号又は使用者番号）：各情報ファイル又はその使用者の 口座のためにそのシステムの各使用者又は顧客に割当てられた各人に異なる複数 ディノット数。ファイル番号は特定の使用者に対して個有であるが、秘密ではな く、システムの内外の各人に知られる可能性がある。 ターミナル番号：個人ターミナルの製造時又は個人ターミナルを特定の使用者に 割当てたときにその使用者の個人ターミナルに永久に記憶させる複数ディノット 数。このターミナル番号はターミナルごとに独自のモノマあシ、同じターミナル 番号を持つ２つのターミナルはない。その上、この特有のターミナル番号はター ミナルの使用者にもアクセスできず、ターミナルの外に現われることはない。 ランダム数：中央プロセッサから発生し、その数の値は発生順序にランダムであ る複数ディジット数である。 演算子（オにレータ）二個式ターミナル及び中央プロセッサで実行される算数演 算子（オ被レータ）又はアルゴリズム。演算オペレータは入力としそオペランド 及び条件・やラメータを要求する。演算オペレータの出力は部数（ｒｅｓｉｄｕ ｅ　）であり、数学的に次のよ５に説明することができる。 算する演算オペレータ（演算子）。 特定の個人ターミナルのための特定の演算オにレータは個人ターミナルと中央プ ロセッサの両方に記憶しである。与えられたシステムの個人ターミナルはすべて 同一演算オペレータを使用することができ、すべてそれ以上の安全のための異な る演算オイレータを使用することができるか又はある個人ターミナルは同じ演算 オイレータを使用することができるが、他の個人ターミナルは異なる演算オ（レ ータを使用することができる。 オ（ランド：演算オ被レータが要求する２つの入力番号列の１つ。例示のため、 この応用におけるＰＩＮは個人ターミナルのためのオペランドであるが、ランダ ム数は中央プロセッサのためのオペランドである。 条件パラメータ：演算オペレータが要求する２つの入力番号列の残シの１つ。例 示のために、この応用で個人ターミナルに記憶しであるターミナル番号はその個 人ターミナル用の条件パラメータである。一方、中央プロセッサに記憶しである その同じターミナル番号はその特定の個人ターミナルを照合するときに中央グロ セッサ用の条件パラメータとして使用される。 音数：オベランド及び条件パラメータについて演算オペレータを使用した結果生 じた出力。この応用では、例えば“ＰＩＮ留数音数“ターミナル音数”及び１プ ロセツサ留数”のような３つの部数が使用される。 次に、第２図を見ると、それはこの発明のシステムの好ましい実施例の概略ブロ ック図を表わす。第２図に表わすように、個人ターミナルエ１は、例えば、電話 線でよいと前述したような送信媒体１５によって中央プロセッサ１３に接続され る。個人ターミナルは使用者の家のような固定場所に置かれた場合は接続線１７ 、．１７２・・・１７Ｎ（第１図）の１つのような接続線（図に示していない） 及び電話線１５によって直接中央プロセッサ１３に接続することができる。個人 ターミナル１１がポータプル・ユニットとして使用される場合には、例えば、事 業所店先、金融機関又は安全或は軍用施設等のような固定場所に設けられた中間 ユニッ）１９に電気又は光学的に接続することができ、個人ターミナル１１と中 央プロセッサ１３との間の双方向通信をその固定場所から行うようにすることが できる。 個人ターミナルが固定場所に設置されるか、中間ユニット１９に接続することが できるポータプル・ユニットとして使用するかにかかわらず、使用者が彼の個人 ターミナルを使用して中央グロセ、、−ｙ−１３から情報又はサービスを受けよ うと思うときには２つの基本的な仕事を行わなければならない。第１には、ター ミナル１１はその使用者がそのターミナル１１の正当な使用者かどうかを照合し なければならない。換言すると、ターミナル１１は正しい権・利を持つ使用者が ターミナル・キービード（第３図）のキーを押圧することを照合しなければなら ない。第２に、中央プロセッサ１３は情報又はサービスを要求している施設がそ の要求する情報又はサービスをアクセスする権限がある特定のファイル番号の特 定のターミナル１１であるということを照合しなければならない。 次に、第２図のシステムの説明に入る前に第３図及び第４図を参照する。 第３図は個人ターミナル１１の簡略ブロック図である。本質的に個人ターミナル １１はマイクロプロセッサ１１、キーデート２３、ディスプレイ２５及びメモエ ース回路であることができるマイクロプロセッサ２１はキーデート２３、ディス プレイ２５及び送信媒体１５（第２図）を介して中央プロセッサ１３に接続され た入力／出力（Ｉｌｏ　）ユニット２９と、算術論理ユニット（ＡＬＵ　）　３ １と、１群のシフトレジスタ３３とを含む。 メモリー・ユニット２７は個人ターミナル１１のためのソフトウェア・プログラ ムを記憶するためのＲＯＭ（読出専用メモ！ｊ　−＞　３　ｓと、一時記憶場所 を提供するＲＡＭ　（ランダム・アクセス・メモリー）３７と、個人ターミナル １１にのみ関係する情報を永久に記憶す３９とを含む。ＲＯＭ　３５．　、　Ｒ ＡＭ　３７及びＰＲＯＭ　３９はアドレス・パス４１を介して選択的にアドレス され、マイクロプロセッサ２１が要求した情報をＸ１０ハス４３を介してマイク ロプロセッサ２Ｉに提供スる。 第４図は中央プロセッサ１３の簡略ブロック図を例示する。本質的に中央プロセ ッサ１３は中央コンピュータ４５と中央メモリー４７とで構成することができる 。 中央コンピュータ４５はＮＣＲ８６００、ＮＣＲ９３００のようなマイクロコン ピュータ、又はＮＣＲタワーのようなマイクロコンピュータ・システムのような メインフレーム・プロセッサによって典型的に構成することができ、一般的な形 態として、送信、媒体１５（第２図）、演算論理ユニット（ＡＬＵ　）　５１． プログラム・メモリー・ユニット５３及び１群のシフトレジスタ５５を介して、 丈のシステムの他の個人ターミナル１１１＋１１２・・・１１Ｎと同様、個人タ ーミナル１１に接続されたＩ１０ユニット４９を含む。 中央メモリー４７は大容量メモリー記憶容量を持ち、例えば、ディスク・メモリ ーでもよい。このメモリー４７はこのシステムの全使用者の個人ターミナル１１ ．。 １１□、・・・１１Ｎのファイル番号を含む。個人ターミナルはそのターミナル の特定の使用者に関する１又はそれ以上のファイル番号を持つことができるとい うことをはその番号に関連する個人ターミナル１１，１１□、・・・１１Ｎの特 定の１つの使用者に属するターミナル番号、演算オペレータ及び他の使用者白情 報に関する記憶場所である。 中央メモリー４７はメモリー４７の使用者のファイルを捜出するだめのアドレス として作用する使用者ファイル番号に多くの使用者向ファイルを含む。メモリー ４７はアドレス・ノ々ス５７を介して供給され（一般的考察から）たファイル番 号によってアドレスされ、中央コンピータ４５が要求した情報をアドレスされた ファイルから■殉パス５９を介して中央コンピュータ４５に供給する。 第２図に戻り、最初、ターミナ・ル１１が使用者に割当てられたときには、次の イニシャライズ・シーケンス工程を完了してターミナル１１のイニシャライズを 行わなければならない。 使用者が特定のファイル又は口座を開きたいときに、その使用者に特定のファイ ル又は口座のだめのファイル番号が割当てられる。このファイル番号は個人ター ミナル１１の不揮発性メモリー又はＦＲＯＭ３９（第３図）に記録される。その 上、経済的、人口統計学的情報な。 どのような使用者に関する情報やファイル番号などが中央プロセッサー３の中央 メモＩＪ−４７（第４図）に記憶される。 ターミナル１１裂造のときに、そのターミナル番号をターミナル１１に永久に記 録していなかった場合には、それをターミナル１１のＦＲＯＭ　３９　（第３図 ）Ｋ永久に記録する。その同じターミナル番号はターミナルＩＪのだめの予め記 憶されていたファイル番号と共に中央メモ１ｊ−４７（第４図）に記憶される。 使用者はその特定の使用者に特有の個人識別番号（ＰＩＮ　）を選択するか、割 当てられる。ターミナル１１は入カオイランドとしてＰＩＮを使用し、条件ノヤ ラメータとしてそのターミナル１１のターミナル番号ヲ使用して、ターミナル１ １に永久に記憶されている演算オペレータを介し、そのターミナル１１のための 初期ＰＩＮ留数音数出する。そのターミナル１１のだめの初期ＰＩＮ留数音数の ターミナルの・ＰＲＯＭ　３９　（第３図）にも記憶される。ひとたびＰＩＮ留 数音数ＲＯＭ　３９　（第３図）に永久に記憶されると、ターミナル１１は特定 の使用者のためにイニシャライズされ、イニシャライズ・シーケンスを再び行う ことはない。 もし、使用者が、現在又は将来、貯蓄（預金）口座又は当座預金口座のようなフ ァイル又は口座を１又はそれ以上開きだい場合、各追加のファイル番号がターミ ナル１１及び中央プロセッサ１３の中央メモリー４７（第４図）に記憶される。 各追加のファイル番号には同じＰＩＮが使用され、ＰＩＮ留数音数−ミナル１１ に記憶されたままである。しかし、ＰＩＮ自体はターミナル１１に存在しない。 それは使用者の頭の中にのみ存在する。 典型的に、ターミナル１１に記憶されている演算オペレータは与えられたシステ ムのすべての他のターミナル１１１　＋　１１．２　＋・・・１１Ｎにつ−・て 同一であろう。その同じ演算オにレータも又中央プロセッサ１゛３の中央メモリ ー４７（第４図）によって使用される。演算オペレータの特定の形それ自体はシ ステムの安全性を悪くすることなく、そのシステムに関する複数の各人（及び使 用者）が知ることができるので、システムの安全性に対する重大な要素とは考え ない。安全性に対して重大と考えられるものはりｉミナル及び中央メモＩＪ−４ ７（第４図）に記憶されている特定のターミナル番号及び特定のＰＩＮ　（使用 者が・選び又は割当てられる）である。ターミナルの使用者は彼に割当てられた ターミナルの番号を知らず、それにアクセスする方法も知らない。その上、どの 特定のターミナル番号がどのファイル番号に関連するのか、又はどの番号がその システムの安全性の他の重要な要素であるかを知らない。これはファイル番号が 秘密ではなく、ターミナル番号が秘密であるという事実のためである。その結果 、ファイル番号及びそれに関連するターミナル番号のリストを含む中央メモ！Ｊ −４７（第４図）は高度の秘密性及び中央プロセ、す１３における安全性が維持 されなければならない。 前述したように、個有の夕」ミナル番号及び使用者のターミナルのためのＰＩＮ 留数音数のターミナルのＦＲＯＭ　３９　（第３図）に永久に残らなければなら ず、現在ターミナル番号及びＰＩＮ留数音数久に記憶することができる方法は色 々論議されている。 ターミナルの製造のときにターミナル番号をターミナルに組込むか、特別目的タ ーミナルによシ使用者に出すときに組込むかを決定するが、ターミナル番号を組 込む１つの方法はいわゆる６フユーズド・リンク”ＲＯＭといわれるものの使用 により、ターミナル番号がダイオード／トランジスタ・アレイの“溶融ジャンク ション″によって表わされるようにしたものがある。 他の可能性としては、消去又は変更ができないように正規のウィンドウが設けら れてい・ないＵＶＰＲＯＭ　（紫外線ＦＲＯＭ　）のような″１回書込″型メモ リーがある。それら及びその他の現在の技術で公知の方法はターミナルのＦＲＯ Ｍ　３９　（第３図）のだめの選択に使用可能である。 ＰＩＮ留数音数用者が彼のＰＩＮを選んだ（又は割当てられた）後は使用者のタ ーミナルに永久に記録されるから、使用者のターミナルを出すときにはＰＩＮ留 数音数久に記録されていなければならない。その理由のため、ターミナル番号に 対する制御レベルを増すために、そのターミナルを使用者に出すときにターミナ ル番号とＰＩＮ留数音数記録する方が好ましい。前述の゛フェーズド・リンク” ＲＯＭ及び？′１回書込“メモリーはこの目的のために使用することができる数 個の永久メモリーのうちの２つでよい。 れている演算オペレータが同一であると、その演算オＲレータはＲＯＭ　３５の ソフトウェア・プログラムの一部としてターミナル１１のＲＯＭ　３５　（第３ 図）に記憶することができる。更に、安全性を増すために、ターミナル１１．＋ １１２・・・１１Ｎのすべてに演算オペレータが記憶されていないと、ターミナ ル１１のための演算オ被レータ（各残りのターミナルと同じように）はターミナ ル番号及びＰＩＮ留数音数いて前述した方法と類似する方法でそのターミナルの ＦＲＯＭ　３９　（第３図）に永久に書込むことができる。 従って、ターミナルのターミナ・ル番号及びＰＩＮ留数音数加の安全性が必要な 場合には演算オペレータも）はターミナルの外からアクセスすることができない 。 その上、ターミナル番号はファイル番号と共に中央メモＩＪ−４７（第４図）に 記憶するために安全手段によって中央プロセッサ１３に送られる。例えば、その 安全手段はブロック・データ送信用の高度に安全な暗号技術が使用されない場合 、送信媒体１５（第１図）を使用せずフーリエによるものである。 ひとたびターミナルが特定の使用者に割当てられ、イニシャライズされると、フ ァイル番号及びターミナル番号が中央メモ’）−４７（第４図）に安全に記憶さ れ、ターミナルは中央プロセッサ１３と通信してそこからのサービス又は情報を アクセスするよう使用者の使用に共することができる。前述したように、中央プ ロセッサ１３かも情報又はサービスをアクセスするために使用者がそのターミナ ルを使用することができるようになる前に、使用者はまずそのターミナルの照合 を受け、次に中央プロセッサ１３による照合を受けなければならない。使用者の 照合、すなわち彼がそのターミナルの正しい使用者かどうかについてはそのター ミナルによって確認される。ターミナルの照合は中央プロセッサＪ３で確認され る。すなわち、情報又はサービスを要求するターミナルが特定の使用者のファイ ル番号に関連するか、すなわち要求した情報又はサービスをアクセスする権限が あるかどうかを確認する。 これら２種類の照合は第５図及び第６図と共に詳細に説明する。 第５図は個人ターミナル１１（第３図）がいかにそのターミナル１１の正しい使 用者を照合するかを表わす作用ブロック図である。第３図は第５図の動作の説明 の際に第５図と共に使用する。 最初、使用者はターミナル１１を作動して情報又はサービス及び彼が中央プロセ ッサ１３（第１図）から希望する関係口座（Ｓ）又はファイル（Ｓ）を識別する 。ＲＯＭ　３５のソフトウェア・プログラムをマイクロプロセッサ２１によって 実行し、以下に述べるオイレＰＴＮをキーピード２３に打鍵せよというメッセー ゾをＩ１０二二、　ｌ−２９を介してディスプレイ２５に送信する。キーピード ２３からのＰＩＮ、ターミナル番号及びメモリー・ユニ、ト２７からの演算オシ レータが算術論理ユニｙ　ト（ＡＬＵ　）　３１に供給される。ＡＬＵ　３１は ＰＩＮ留数音数）を算出するために演算オペレータを使用し、オにランドとして 今挿入したＰＩＮ及び条件Ａ？ラメータとしてターミナル番号を使用する。そこ で（Ｃ）は今挿入した（現在の挿入）　ＰＩＮからＰＩＮ留数音数算するという ことを表わす。 ターミナルは内部で算出されたＰＩＮ留数音数）と記憶されているＰＩＮ留数音 数）とを比較する。そこで（Ｓ）はターミナルが最初イニシャライズされたとき に計算され記憶されているＰＩＮ留数音数るということを表示する。ハードウェ アにおける比較の際、それは比較器６１で行われる。ソフトウェア比較では、Ｐ ＩＮ留数音数）及びＰＩＮ留数音数）は夫々シフトレジスタ群３３のレジスタ６ ３．６５に記憶され、その後、レジスタ６３．６５の対応するビット位置がＲＯ Ｍ　３５の主プログラムのサブルーチンによってクロックアウトされ、シーケン スに対応するものと比較さｈる。 算出され７’（、ＰＩＮ留数音数）が記憶されているＰＩＮ留数音数）と同一（ 又は合致する）であると、使用者は彼のターミナル１１によって照合されたこと になる。 スプレィ２５を介して使用者を認知する。そこでターミナル１１は使用者が要求 した取引きを進める。しかし、算出１−だＰＩＮ留数音数）が記憶されていたＰ ＩＮ留数音数）と完全に一致しなかった場合、使用者は彼のＰＩＮのリエントリ を要求される。数回ＰＩＮのエントリを繰返してもそれが合致しなかった場合、 ターミナル１１はもはやキーピード２３によるエントリには応答せず、ターミナ ルエ１を最初に使用者に出したところ（図に示していない）で再び作動しなけれ ばならない。 第６図は中央プロセッサ１３が℃・かにプロセッサ１３の中央メモリー４７の特 定のファイルのアクセスを希望する正当な個人ターミナルを照査するかを例示し た作用ブロック図である。第３図及び第４図は第６図と共に第６図の動作の説明 のために使用する。 ＭＮ留音数Ｓ）とＰＴＮ留数音数）との比較の結果、ターミナル１１がそれに成 功すると（すなわち、正しい使用者が第５図のようなターミナル１１を操作して いるということをターミナル１１が照合確認する）、ターミナル１１は識別され たサービスを実行するべきファイルのファイル番号（Ｓ）をＦＲＯＭ　３９から 送信媒体１５（第１図）を介してプロセッサ１３の中央メモリー４７に送信させ る。次に、中央プロセッサ１３はその特定のファイル番号（Ｓ）によシ要求して 〜・る情報又はサービスが正しいターミナルから受信しているか、特定のファイ ル番号（、Ｓ）からそれらの情報又はサービスをアクセスする権限がある特定の ターミナルから受信；〜でいるかどうかということを照合しなければならない。 そのようなターミナルの照合は次のような方法で達成する。 中央メモリー４７に供給されるファイル番号はアドレスとして働き、そのファイ ル番号に関係するターミナル番号と演算オシレータとをその中央メモリーから算 術論理ユニッ）　（ＡＬＵ　）　５１に供給させる。プロセッサ１３はメモリー ４７の特定の場所に使用者全員のファイル番号を記憶している。プロセッサ１３ はあるファイル番号を受信すると、メモリー場所１つだけでは希望する情報を全 部記憶するには不充分であるかもしれないので、そのファイル番号を使用してメ モリー４７の特定の場所から一定の情報をアクセスする。又、入力ファイル番号 に応答して、プログラム・メモリー・ユニット５３（第４図）のソフトウェアは ランダム数発生器６７に作用して複数ディ・シフトのランダム番号（又は数）を 発生してそれを中央プロセッサ１３のＡＬＵ　５１に、及び（第１図の送信媒体 １５を介して）情報又はサービスを要求している個人ターミナル１１のＡＬＵ　 ３１に供給する。 ＡＬＵ　５１はオペランドとして発生器６７からのランダム数を使用し、条件パ ラメータとして中央メモリー４７からのターミナル番号を使用し、中央メモリー ４７からの演算オぜレータを使用してプロセッサ留数を計算する。それと同時に 、個人ターミナル１１は、中央プロセッサ１３のランダム数発生器６７からのラ ンダム数を受信すると同時に、オ被ランドとしてランダム数を、条件ノぐラメー タとしてメモリー・ユニット２７からのターミナル番号を使用すると共に、メモ リー・ユニット２７からの演算オペレータを使用してターミナル部数を算出する 。ターミナル部数はターミナル１１から送信媒体１５（第１図）を介して中央プ ロセッサ１３に送信される。 中央プロセッサ１３はターミナル部数を受信すると同時に、その内部でターミナ ル１１からのターミナル部数とプロセッサ部数とを比較する。ターミナルとプロ セッサ部数との比較はそれがノ・−ドウエア比較であれば比較器６９で行われる 。ランダム数の発生と、プロセッサ部数の演算と、ターミナル部数とグロセッサ 音数との比較とは、ソフトウェア演算では、夫々中央プロセッサ１３のプログラ ム・メモリー・ユニット（第４図）に記憶されている主ソフトウェア・プログラ ムの関係サブルーチンで達成することもできる。 ターミナル部数とプロセッサ部数との正しい比較、すなわち比較の結果が正しい ということは、特定のファイル番号に対するファイルから情報又はサービスを要 求するターミナル１１はそのファイルをアクセルするに正しい又は有効な個人タ ーミナルであるということを表示する。言い、かえると、正しい比較はその個人 ターミナル１１がそのファイルをアクセスするに正しい個人ターミナルであると いうことを確認する。（そして、その使用者は前にターミナル１１によって確認 されたので、その個人ターミナル１１のキーボード２３を操作する使用者はその ファイルの正当な保有者である。）ターミナル部数とプロセッサ部数との比較の 結果が正しくな（・と、それはそのファイルからの情報又はサービスを要求する ターミナル１１の要求ハ拒絶されることになる。その上、その特定のファイル番 号に対して行われた情報又はサービスの要求は許容されなかったという表示がタ ーミナル１１から送信されたその特定のファイル番号に関するファイルに対して 行われる。 ターミナル部数とプロセッサ部数との比較の結果が正しいと、比較器６９はター ミナル確認信号をＡＬＵ５１に送信して中央プロセッサ１３を先に進めることが できる。そこで、中央プロセッサ１３は正規の内部プログラム方式でターミナル １１が要求した情報又はサービスを供給し、使用者の要求する取引きを実行する ように演算を進める。 中央プロセッサ１３が各取引きについてランダム数を発生し、ターミナル部数を 算出するためにそれを情報又はサービス要求ターミナルに送信することの理由は 、ターミナルからの応答（すなわち、ターミナル留をモニタする犯罪志望者及び 中央プロセッサ１３に適法なターミナルと思わせるように試みて詐欺メツセージ を発生してシステムをまどわし、だまそうとする者はかくの如くしてその試みに 失敗するであろう。例えば、もし詐欺者が前のターミナル部数を単に反復するだ けなら、現在の取引きのために発生したランダム数は前の取引きの際に発生した ものとは異なるため、その行為は拒絶されるという事実から失敗するであろう。 同様にして、犯罪者はシステムの（又はターミナルの）演算オペレータを知り、 中央プロセッサ１３からターミナルに送られる現取引きのためのランダム数をリ カバすることができても、情報又はサービスの現在の要求を発生しているターミ ナルのタ−ミナル番号を知ることができないから正しいターミナル部数を算出す ることができず、正しい応答（すなわち、ターミナル部数）を発生することがで きない。前述したように、ターミナル番号それ自体は取引中央して送信されない が、ターミナルに、及び中央プロセッサ１３の中央メモリー４７に存在する。こ のターミナル番号を選ばれた長さのものでよく、そのターミナル番号のニューメ リック・キャラクタとアルハニューメリック・キャラクタとの間の位置関係又は 内部“チェック・ディジット”についていかなる選ばれたレベルのものを含める ようにしてもよい。犯罪志望者が正しいターミナル番号と同一の組合わせのキャ ラクタを選び、演算オペレータに使用して正しいターミナル部数を発生する可能 性は本質的に”Ｏ″である。 第５図及び第６図について述べたことを反復すると、それはＰＩＮによってその ターミナルの使用者の正しい識別を確認するための個人ターミナルの作用であシ 、他は情報又はサービスを要求する個人ターミナルがその情報又はサービスが要 求されている特定のファイル番号をアクセスするべき正しいターミナルであると いうことを確認するための中央プロセッサ１３の作用である。 以上説明した２工程システムの安全保障は端部から端部への（端部間）安全保障 、すなわちターミナルから中央プロセッサ１３の要求ファイルへの安全保障であ るということに特に注意するべきである。この端部間安全保障システムについて 以上説明した方法及びシステムはオン・ライン・リアル・タイム通信ネットワー クに通常使用されるよシ一般的な安全保障方式を加えることによって妨げられる ものではなく、実際には強化されるであろう。例えば、ターミナル１１から中央 プロセッサ１３に流れる、又は中間ユニット１９（第２図）から中央プロセッサ １３に対しそ送信媒体１５（第１図）を流れるメツセージは多数の方式を用いて 暗号化することができる。デ・ナショナル・ビューロー・オプ・スタンダーツ・ データ・エンクリプション・スタンダード（Ｔｈｅ　Ｎａｔｉｏｎａｌ　Ｂｕｒ ｅａｕ　ｏｆ５ｔａｎｄａｒｄｓ　Ｄａｔａ　Ｅｎｃｒｙｐｔｉｏｎ　５ｔａｎ ｄａｒｄ　）（ＮＢＳ　ＤＥＳ）はターミナル１１から該当する中間ユニット１ ９へ及びそこから中央プロセッサ１３へ送信されるデータを暗号化するのに使用 することができる。ＮＢＳ　ＤＥＳの使用（又は他のどのような通信ライン又は 送信媒体１５（第１図）暗号化方式の使用）は、送信媒体１５（第１図）の暗号 化はその媒体Ｊ５を通して送信されるデータの安全のみを保護するものであるた め、この出願で説明したシステム安全保障のための方法及びシステムの必要性を その暗号化によって代えうるものではない。従って、ＮＢＳ　ＤＥＳは個人ター ミナル１１のキーデート２３（第３図）のキーを押した使用者の有効性又は照合 確認、又は１又はそれ以上の特定のファイル番号に関する情報又はサービスを要 求しそれを受けるターミナル１１自体の有効性又は照合確認については何もせず 、何も保証していない。 次に、第７図には、算術論理ユニット（ＡＬＵ　）　７１に対する入力全体が表 わしてあり、それらは部数の計算に使用することができる典型的なアルゴリズム の説明に有益である。それら入力を詳しくいうと、前に説明し、定義した演算オ ペレータと、オイランドと、条件パラメータとである。 前述したように、これら一般的入力はＰＩＮ留数音数ターミナル部数と、プロセ ッサ部数との計算に使用さが関係するオ被ランドと条件ノ２ラメータと共に使用 されて与えられた個人ターミナルに対するＰＩＮ留数音数−ミナル部数及びプロ セッサ部数を演算する。ＰＩＮ留数音数算の際、そのターミナルの演算オペレー タはオぜランドとして使用者が挿入したＰＩＮと、条件パラメータとしてそのタ ーミナルのターミナル番号とを使用する。プロセッサ部数の演算では、中央プロ セッサ１３の演算オにレータは照合確認のためにテストされているターミナルに 同時に使用されているオイランドと同じランダム数を使用し、条件ノｅラメータ と同じターミナルのターミナル番号を使用する（中央メモリー゛４７は供給され たファイル番号に応答してこの番号を正しく供給することができたと仮定する。 ）。 次の説明において、演算オペレータ、オにランド及び条件パラメータの各典型的 な値は理解を容易にする簡単な表現とするために簡単なものが選ばれた。しかし 、この発明の方法及びシステムによる実際のシステムでは、その演算オペレータ 、第４ランド及び条件・ぐラメータはもっと複雑であり入シ組んでいるものを選 ぶであろうということを知るべきである。 第７図の各値を次のようにする。 オイランド＝ＡＢＣＤ 条件パラメータにｗｘｙｚ 演算オペレータ＝　（Ａ）（ＬＸｗ）〔Ｍ）（Ｂ）（ＮＸｘ）〔ｏ）（Ｃ）ＣＰ ）（Ｙ）（Ｑ〕（Ｄ）［：Ｒ）（Ｚ）そこで：Ｌ、Ｍ、・・・Ｒは加算、減算、 掛算、割算、右シフト、左シフト、指数関数及び移項などのようないかなる算術 的、論理的演算の組合わせでよい。 ニオ被ランド及び条件パラメータはバイナリ、１６進法、１０進法などのような いかなる数値ペースでもよい。 計算を容易にするため、特別に簡単な例を与えることにする。（すべて底を１０ で表わす。）Ａ＝３　、Ｂ＝２　、Ｃ＝１　、Ｄ冨４：Ｗ＝２　、Ｘ＝４　、Ｙ ＝３　、　Ｚ＝１演算例を特定するためにＣＬ）〜ＣＲ）を次のように仮定する 。 〔Ｌ〕＝打切シ又は丸め 〔Ｍ〕＝右シフト （Ｎ）−指数計算

〔０〕＝割算 ＣＰ）二左シフト 〔Ｑ〕＝掛算 〔Ｒ〕＝加算 上記の値を前に定義又は明らかにした演算子又は演算オペレータの値及び演算又 は動作と入れ換えることによって、演算オペレータを次のような関係に書き換え 演算オペレータ（書換えた） ＝　（３）ＣＬＸ２）ＣＭ）（２）〔ＮＸ４）〔０）（１）〔Ｐ）（３）（Ｑ） （４）ＣＲＸＩ） この書き換えた演算第４レータの値及び演算を使用してサンプルの部数を計算す ると、 （４）〔加算）　（１）　＝　５ （３）〔掛算）（５）＝１５ （１）〔左シフト）（１５）＝５１ （４）〔割算）　（５１）　＝　１２．７５（２）〔指数計算）　（１２，７５ ）＝１６２．５６２５（２）〔右シフト）（１６２，５６２５）＝２５１６２． ５６（３）〔打切り）　（２５１６２，５６）　＝　２５１６留数＝２５１６　 ・ 以上説明したように、この発明は各個人ターミナルの機能としてそのターミナル の使用者を正しく識別照合し、中央プロセッサの機能として情報又はサービスを 要求する個人ターミナルがその情報又はサービスのために要求されている特定の ファイル番号をアクセスしてよい有効なターミナルかどうかということを照合確 認するという方式をとることによって、中央プロセッサと通信する遠隔個人ター ミナルから成るネットワークの安−全件の増大を確立するシステム及び方法を提 供することができたということがわかった。 ＦＩＧ、５ ＦＩＧ、　３ Ｓ 国際調査報告

Claims (1)

1. 【特許請求の範囲】 １．使用者による個人識別番号のエントリに応答してその決定手段（１１）を使 用する権限があるかどうかを決定する決定手段（１１）と、前記使用者に関する 特定の情報ファイルから情報を得るべき前記決定手段（１１）からの要求に応答 して前記決定手段（１１）が前記特定の情報ファイルから情報を得る権限がある かどうかを照合確認する照合確認手段（１３）とを含む安全システム。 ２．夫々の決定手段を含む複数の遠隔ターミナル（１１）を含み、各前記遠隔タ ーミナル（１１）は前記情報ファイルのためのファイル番号と前記ターミナル（ １１）に割当てられたターミナル番号と割当てられたアルゴリズムと前記ターミ ナル番号及び前記個人識別番号の前記アルゴリズムにおける使用から引き出され た第１の留数とを記憶する第１のメモリー（２７）と、前記アルゴリズムと前記 ターミナル番号と使用が挿入した個人識別番号との供給に応答して第２の留数を 発生し前記第１及び第２の留数を比較しその一致に応答して前記ファイル番号を 送信する第１のプロセッサ（２１）と、前記第１のプロセッサ（２１）は前記ラ ンダム数に応答し前記アルゴリズム及び前記ターミナル番号に応答して第３の留 数を発生し、前記照合確認手段はファイル番号と該当するアルゴリズムとターミ ナル番号とを記憶する第２のメモリー（４７）を含み、前記第２のメモリー（４ ７）は前記遠隔ターミナル（１１）の１つからのファイル番号に応答して前記ア ルゴリズム及び前記ファイル番号と共同する前記ターミナル番号を供給し、前記 ファイル番号に応答して前記ランダム数を発生し前記アルゴリズムと前記ターミ ナル番号と前記ランダム数とに応答して第４の留数を発生し前記第３及び第４の 留数を比較してその一致により前記ファイル番号を送信したターミナル（１１） がそのファイル番号に関する要求した情報ファイルにアクセスすることができる ようにした第２のプロセッサ（４５）とを含む請求の範囲１項記載の安全システ ム。 ３．前記第１のメモリー（２７）は前記ファイル番号と前記ターミナル番号と前 記アルゴリズムと前記第１の留数とを永久に記憶するプログラマブル読出専用メ モリーと、前記第１のプロセッサ（２１）の演算で使用するプログラムを記憶す る読出専用メモリーと、前記第１のプロセッサ（２１）の演算中データを一時記 憶するランダム・アクセス・メモリー（３７）とを含む請求の範囲２項記載の安 全システム。 ４．前記第２のメモリー（４７）はディスク・メモリーである請求の範囲２項記 載の安全システム。 ５．遠隔ターミナル（１１）と中央プロセッサ（１３）とを含む安全システムを アクセスする方法であって、前記遠隔ターミナル（１１）に個人識別番号を挿入 した特定の使用者が該遠隔ターミナル（１１）を使用する権限があるかどうかを 照合確認し、前記中央プロセッサ（１３）の特定のファイルに対する情報を要求 する遠隔ターミナル（１１）が前記情報のために前記特定のファイルをアクセス する権限が与えられているか否かを照合確認する各工程を含む安全システムのア クセス方法。 ６．前記システムは複数の遠隔ターミナル（１１）を含み、特定の使用者に割当 てられたファイル番号と予め選ばれたアルゴリズム及び該ターミナル（１１）に 割当てられたターミナル番号と前記アルゴリズム及び該ターミナル（１１）に割 当てられたターミナル番号の使用及び特定の個人識別番号の使用から引き出され た第１の数とを該ターミナル（１１）に記憶して各ターミナル（１１）をイニシ ャライズし、各使用者の番号及びアルゴリズム及び該ファイル番号に関するター ミナル番号を中央プロセッサ（１３）に初期的に記憶し、与えられたターミナル （１１）に記憶されている第１の数及び前記与えられたターミナル（１１）に記 憶されているターミナル番号のアルゴリズムの使用の結果引き出された第２の数 と前記与えられたターミナル（１１）に挿入された使用者の個人識別番号との間 に一致があったときに前記与えちれたターミナル（１１）に前記使用者の個人識 別番号を挿入した使用者が前記与えられたターミナル（１１）を使用する権限が あることを照合確認し、前記使用者が前記与えられたターミナル（１１）によっ て照合確認されたときに前記与えられたターミナル（１１）に記憶されている使 用者のファイル番号を前記中央プロセッサ（１３）に送信し、前記発生したラン ダム数と前記与えられたターミナル（１１）に記憶されているアルゴリズム及び ターミナル番号を使用して第３の数を発生し、前記発生したランダム数と前記中 央プロセッサ（１３）が受信した使用者ファイル番号に関するアルゴリズム及び ターミナル番号とを利用して前記中央プロセッサ（１３）で第４の数を発生し、 前記第３の数と前記第４の数とが一致したときに前記使用者のファイル番号を送 信した与えられたターミナル（１１）が該ファイル番号をアクセスする権限を持 つということを有効にする各工程を含む請求の範囲５項記載の方法。 ７．前記各ターミナル（１１）をイニシャライズする工程は前記ターミナル（１ １）のキーボード（２３）に特定使用者の個人識別番号を初期的に挿入し、前記 特定の使用者が挿入した個人識別番号と予め選ばれたアルゴリズムのターミナル 番号とを使用して第１の数を計算し、前記ターミナル（１１）に含まれている不 揮発性メモリー（３９）に計算した前記第１の数を記憶する各工程を含む請求の 範囲６項記載の方法。