本発明はＩＣカード積増機およびその制御方法に関し、特に利用可能な入金情報が記憶されているＩＣカードに対し入金された紙幣の金額に応じて利用可能な入金情報の積増処理を行うＩＣカード積増機およびその制御方法に関する。

交通機関やレジャー施設などで、硬貨や紙幣などの現金を授受する煩雑さを解消するために、利用者が料金を前払いするシステムが採用されており、その種のシステムでは、利用可能な金額を記憶した非接触式のＩＣカードが用いられている。 そのＩＣカードの利用可能な金額が不足した場合には、ＩＣカード積増機を利用して利用可能な金額を積み増しすることができるようになっており、これにより、同一のＩＣカードを繰り返し利用できるという利点がある。

一般に、ＩＣカード積増機は、入金された紙幣を装置内部へ取り込んで紙幣収納庫へ収納する入金部と、入金された金額に応じてＩＣカードにバリューデータを書き込むリーダ・ライタ部と、入金部の入金情報をバリューデータに変換する制御部とを備え、その制御部は、入金情報を管理するサーバにネットワークを介して接続されている。

このようなＩＣカード積増機においては、入金部と制御部との間、および制御部とサーバとの間は通信によって入金情報の伝達を行っている。 たとえば、１０００円の入金が行われたとき、入金部は、その金種を判断して制御部に１０００円の入金があったことを電文で伝達している。 そして、制御部は、１０００円の入金情報をバリューデータに変換し、リーダ・ライタ部を通して、ＩＣカードに格納されている残高に積み増しを行い、利用可能な金額を増やすようにしている。

その入金情報は、制御部からサーバに対しても入金情報の伝達を行っている。 この場合、一般には、セキュリティを確保するために、ＩＣカード積増機の制御部とサーバとの間で認証を行うようにしている（たとえば、特許文献１参照。）。

特開２０００−２６８２４０号公報

しかしながら、従来のＩＣカード積増機では、入金部および制御部の通信は平文で情報の伝達がされているため、その電文を解析することが容易であった。 そのため、この電文が解析されてしまうと、ＩＣカード積増機の盗難による不正な入金情報の生成をすることが可能になり、制御部に対してその不正な入金情報を送ることにより、ＩＣカードに不正なバリューデータを書き込むことが可能になるという問題があった。

本発明はこのような点に鑑みてなされたものであり、ＩＣカード積増機の盗難によるＩＣカードへの不正書き込みを防止することができるＩＣカード積増機を提供することを目的とする。

本発明では上記問題を解決するために、積み増しするために入金された貨幣を受け付けて収納する入金部と、前記入金部が検知した入金情報をバリューデータに変換する制御部と、前記バリューデータをＩＣカードに書き込むリーダ・ライタ部とを備えたＩＣカード積増機において、前記入金部および前記制御部は、前記入金情報を前記入金部から前記制御部へ伝達する前に、前記入金情報を受け取る前記制御部の正規の通信相手が前記入金部であることを検証する認証手段をそれぞれ備えていることを特徴とするＩＣカード積増機が提供される。

このようなＩＣカード積増機によれば、認証手段によって入金部と制御部との間で認証を行ってから入金部の入金情報を制御部へ伝達するようにしたことで、制御部は、不正な通信相手からの入金情報を受け取ることがないので、不正な入金情報によってＩＣカードが積み増しされるといった不正行為を防止することができる。

また、認証手段は、入金部と制御部との間で認証を行う際に暗号鍵を生成し、入金部で検知した入金情報をその暗号鍵で暗号化して制御部へ送信するようにしている。
これにより、入金部から制御部へ送信される入金情報は、認証のたびに新たに生成された暗号鍵によって暗号化されているので、制御部に対して認証された入力部以外から不正入金情報を送信することは実質的に不可能である。

本発明のＩＣカード積増機によれば、入金部と制御部との間で正規な通信相手であることを検証するための認証を行い、しかも、認証のたびに生成した暗号鍵を用いて入金部から制御部への入金情報の伝達を暗号化するようにしたことで、制御部を不正に利用してバリューデータをＩＣカードに積み増しするといった不正行為を防止することができるという利点がある。

以下、本発明の実施の形態を、図面を参照して詳細に説明する。
図１はＩＣカード積増機の機能を示す構成図である。
ＩＣカード積増機１は、このＩＣカード積増機１を操作するための操作表示部２が設けられている。 この操作表示部２は、ＩＣカードに積み増しする金額を指定する積増額ボタン３と、ＩＣカードへの積み増し操作を取り消すため取消ボタン４と、領収書を発行するための領収書ボタン５と、ＩＣカード積増機１の操作案内や異常時の表示など、必要に応じて各種メッセージを表示する液晶表示器（ＬＣＤ）６を有している。

また、ＩＣカード積増機１は、紙幣を挿入する入金部７が設けられている。 この入金部７は、紙幣が挿入される紙幣入金口８と、挿入された紙幣の鑑別を行うための紙幣鑑別部９と、鑑別された紙幣を収納するための紙幣収納庫１０と、収納されている紙幣を釣銭として出金する紙幣出金口１１と、入金情報の送信時に用いられる認証部１２とを有している。

さらに、ＩＣカード積増機１には、ＩＣカード積増機１を制御する制御部１３、入金部７が受領した金額に関する領収書などを印刷する印刷部１４、印刷された領収書を発行する領収書発行口１５、ＩＣカードとの情報のやり取りを行うリーダ・ライタ部１６、およびこのＩＣカード積増機１を動作させるための電源部１７を有している。 制御部１３は、入金情報の受信時に用いられる認証部１８の他に、図示はしていないが、各種演算処理を行うマイクロプロセッサ、このマイクロプロセッサにより実行されるプログラムや演算途中のデータ、演算結果などを一時的に格納するメモリを有している。 そして、この制御部１３は、操作表示部２、入金部７、印刷部１４、リーダ・ライタ部１６および電源部１７と接続されて情報の伝達を行い、ＩＣカード積増機１の全体の制御を行うものであって、さらに、入金情報などをリアルタイムに監視するサーバ１９にも接続されている。

このようなＩＣカード積増機１は、電源が投入された時点でサーバ１９と通信を行い、サーバ１９の認証が得られることによってＩＣカード積増機１におけるＩＣカードの受け付けが許可されるようにっている。 ここで、ＩＣカードへの積み増しを行う場合には、リーダ・ライタ部１６にＩＣカードをセットし、積増額ボタン３で積増額を指定する。 その後、入金部７に指定された金額の紙幣が投入されると、入金部７は制御部１３との間でそれぞれ認証部１２，１８による認証を行い、入金部７での入金情報を制御部１３へ送信する。 制御部１３は、その入金情報をバリューデータに変換し、リーダ・ライタ部１６によってそのバリューデータをＩＣカードに書き込む。 このとき、制御部１３は、入金情報をサーバ１９に送り、サーバ１９は入金管理を行う。 そのＩＣカードへのバリューデータの書き込みが終了すると、液晶表示器６にその旨が表示され、ここで、領収書ボタン５が押されると、印刷部１４が取り引きデータの印刷を行い、領収書発行口１５より領収書が発行されることになる。

次に、ＩＣカード積増機１の制御部１３と入金部７との間で行われる認証処理について説明する。 最初に、入金部７および制御部１３の認証部１２，１８の構成について説明するが、これらの構成は同じであるので、その一方について説明する。

図２は制御部および入金部が有する認証部の詳細を示す機能構成図である。
認証部１２（１８）において、認証を行う部分は、乱数を生成する乱数生成部２０と、ハッシュ値を生成するハッシュ値生成部２１と、暗号鍵を格納および読み出す暗号鍵格納部２２と、それらの各機能を使って認証を行う認証処理部２３とを有している。

また、この認証部１２（１８）は、さらに、暗号化を行う暗号化部２４、復号化を行う復号化部２５、受信フレームの解析を行う受信フレーム解析部２６、通常電文の送受信を行う通常電文送受信部２７を有している。

暗号化部２４は、電文の暗号化が必要かどうかを判定し、電文の暗号化が必要なときのみ暗号鍵を使って暗号化を行う機能を有している。 復号化部２５は、復号化が必要かどうかを判定し、電文の復号化が必要なときのみ暗号鍵を使って復号化を行う機能を有している。 受信フレーム解析部２６は、受信したフレームを解析して、認証時の電文であれば認証処理部２３へ送り、認証時の電文ではない通常電文であれば復号化部２５へ送る機能を有している。 通常電文送受信部２７は、入金部７の認証が完了した後の入金部７との電文の送受信する機能を有している。

ここで、入金部７が制御部１３に対して入金情報を伝達するには、まず制御部１３に認証してもらわなければならない。 そして、認証が完了してから、入金情報の送受信が行われるが、以下に、これらを図２および図３と、図２および図４とを参照して順に説明する。

図３は制御部が入金部を認証するときのシーケンス図である。
まず、入金部７が制御部１３に認証してもらうために、入金部７の認証処理部２３が認証要求コマンドを生成し、制御部１３へ送信する（ステップＳ１）。 このとき、暗号化部２４は、入力された認証要求コマンドが暗号化不要と判断してそのまま制御部１３へ送信する。

次に、制御部１３では、その認証要求コマンドを受信フレーム解析部２６が受信する。 受信フレーム解析部２６は、受信したフレームを解析し、その認証要求コマンドを認証処理部２３へ転送する。 そこで、認証処理部２３は、乱数生成部２０を使って乱数Ｒａを生成し、その乱数Ｒａをレスポンスとして入金部７に送信する（ステップＳ２）。 このとき、制御部１３の暗号化部２４は、入力された乱数Ｒａが暗号化不要と判断してそのまま入金部７へ送信する。

次に、入金部７では、制御部１３からのレスポンスを受信フレーム解析部２６が受信すると、受信フレーム解析部２６は、認証要求コマンドのレスポンスと判定し、そのレスポンスの乱数Ｒａを認証処理部２３へ転送する。 そして、認証処理部２３では、送信されてきた乱数Ｒａと入金部７の暗号鍵格納部２２に保持されている暗号鍵である共通鍵Ｋ２とからハッシュ値生成部２１を使ってハッシュ値を計算し、ハッシュ値ｈ２を求める（ステップＳ３）。 そして、入金部７の認証処理部２３は、この乱数Ｒａと共通鍵Ｋ２とを関数とするハッシュ値ｈ２＝Ｈ（Ｒａ，Ｋ２）を暗号化部２４を介して認証データコマンドとして制御部１３に送信する。 このとき、暗号化部２４は、入力された認証データコマンドが暗号化不要と判断してそのまま制御部１３へ送信する。

次に、制御部１３では、受信フレーム解析部２６がその認証データコマンドを受信し、認証データコマンドであると解析されると、その認証データコマンドは、認証処理部２３へ転送される。 認証処理部２３は、入金部７へ乱数Ｒａを送信後に、その乱数Ｒａと制御部１３の暗号鍵格納部２２に保持されている暗号鍵である共通鍵Ｋ１とからハッシュ値生成部２１を使ってハッシュ値を計算し、ハッシュ値ｈ１＝Ｈ（Ｒａ，Ｋ１）を求めている。 認証処理部２３は、入金部７から送信されたハッシュ値ｈ２と自身で求めたハッシュ値ｈ１とが等しいかどうかを比較する（ステップＳ４）。 比較の結果、ハッシュ値ｈ１とハッシュ値ｈ２とが等しければ、認証処理部２３は、入金部７を正規のものと判定し、認証ＯＫのレスポンスを作成し、暗号化部２４を介して認証ＯＫのレスポンスを入金部７に送信する。 このとき、制御部１３の暗号化部２４は、入力された認証ＯＫのレスポンスが暗号化不要と判断してそのまま入金部７へ送信する。 もし、比較の結果、ハッシュ値ｈ１とハッシュ値ｈ２とが等しくなかった場合には、認証処理部２３は、認証ＮＧとして処理を終了することになる。

次に、入金部７では、受信フレーム解析部２６がその認証ＯＫのレスポンスを受信し、認証ＯＫのレスポンスであると解析されると、その認証ＯＫのレスポンスは、認証処理部２３へ転送される。 認証処理部２３は、認証ＯＫのレスポンスを受信したので、制御部１３に対しての暗号用の鍵要求コマンドを暗号化部２４を介して制御部１３に送信する（ステップＳ５）。 このとき、暗号化部２４は、入力された鍵要求コマンドが暗号化不要と判断してそのまま制御部１３へ送信する。

次に、制御部１３では、その鍵要求コマンドを受信フレーム解析部２６が受信し、鍵要求コマンドであると解析されると、受信フレーム解析部２６は、その鍵要求コマンドを認証処理部２３へ転送する。 認証処理部２３は、鍵要求コマンドを受けると、まず、乱数生成部２０を使って乱数Ｒｂを生成し、その乱数Ｒｂを暗号化部２４へ送る。 暗号化部２４は、その乱数Ｒｂを制御部１３の暗号鍵格納部２２に保持されている共通鍵Ｋ１で暗号化し、暗号化されたの暗号化データｅ１＝Ｅｎｃ（Ｋ１，Ｒｂ）を入金部７へ送信する（ステップＳ６）。

次に、入金部７では、制御部１３からの暗号化データｅ１を受信フレーム解析部２６が受信すると、受信フレーム解析部２６は、鍵要求コマンドのレスポンスと判定し、その暗号化データｅ１を認証処理部２３へ転送する。 そして、認証処理部２３は、復号化部２５を使って転送されてきた暗号化データｅ１を入金部７の暗号鍵格納部２２に保持されている暗号鍵である共通鍵Ｋ２で復号化し、復号化データｄ２＝Ｄｅｃ（Ｋ２，ｅ１）を求める。 認証処理部２３は、さらに、ハッシュ値生成部２１を使って送信されてきた復号化データｄ２と入金部７の暗号鍵格納部２２に保持されている共通鍵Ｋ２とからハッシュ値を計算し、ハッシュ値ｈ４＝Ｈ（ｄ２，Ｋ２）を求める（ステップＳ７）。 そして、入金部７の認証処理部２３は、この復号化データｄ２と共通鍵Ｋ２とを関数とするハッシュ値ｈ２を暗号化部２４を介して鍵確認コマンドのデータとして制御部１３に送信する。 このとき、暗号化部２４は、入力された鍵確認コマンドのデータが暗号化不要と判断してそのまま制御部１３へ送信する。

制御部１３では、受信フレーム解析部２６がその鍵確認コマンドのデータを受信し、鍵確認コマンドのデータであると解析されると、その鍵確認コマンドのデータは、認証処理部２３へ転送される。 認証処理部２３は、入金部７へ鍵要求コマンドのレスポンスを送信後に、その鍵確認コマンドのデータを生成するのに使用した乱数Ｒｂと制御部１３の暗号鍵格納部２２に保持されている共通鍵Ｋ１とからハッシュ値生成部２１を使ってハッシュ値を計算し、ハッシュ値ｈ３＝Ｈ（Ｒｂ，Ｋ１）を求めている。 認証処理部２３は、入金部７から送信されたハッシュ値ｈ４と自身で求めたハッシュ値ｈ３とが等しいかどうかを比較する（ステップＳ８）。 比較の結果、ハッシュ値ｈ３とハッシュ値ｈ４とが等しければ、認証処理部２３は、制御部１３は入金部７が正常に鍵を受け取ることができたと判断できるので、乱数Ｒｂを制御部１３の暗号鍵Ｋｅｙ（Ｒｂ）とし、鍵ＯＫのレスポンスを作成し、暗号化部２４を介して入金部７に送信する。 もちろん、この鍵ＯＫのレスポンスは、暗号化不要なので、暗号化部２４は、そのまま入金部７へ送信する。 また、ハッシュ値ｈ３とハッシュ値ｈ４とが等しくなかった場合には、鍵ＮＧとして、認証処理部２３は、処理を終了することになる。

そして、入金部７では、制御部１３から鍵ＯＫのレスポンスを受信フレーム解析部２６が受信し、鍵確認コマンドのレスポンスであると解析されると、その鍵ＯＫのレスポンスは、認証処理部２３へ転送される。 認証処理部２３は、鍵ＯＫのレスポンスを受信したので、先に復号化した復号化データｄ２を入金部７の暗号鍵Ｋｅｙ（ｄ２）とする（ステップＳ９）。

このようにして、入金部７と制御部１３との間で認証を行って、電文を伝達するための暗号鍵の生成を行う。 入金部７と制御部１３との間で認証が完了した後、入金部７は制御部１３に電文を送信するが、次に、入金部７が制御部１３に電文を送信するときの動作について説明する。

図４は入金部が制御部に電文を送信するときのシーケンス図である。
まず、入金部７が入金情報の電文Ｄ１を制御部１３に送信するとき、その電文Ｄ１は、通常電文送受信部２７に転送される。 すると、この通常電文送受信部２７は、その電文Ｄ１を暗号化するために暗号化部２４に転送する。 暗号化部２４は、暗号鍵格納部２２から暗号鍵Ｋｅｙ（ｄ２）を読み出し、電文Ｄ１を暗号鍵Ｋｅｙ（ｄ２）で暗号化して暗号電文Ｅ１＝Ｅｎｃ（ｄ２，Ｄ１）を生成し、制御部１３に送信する（ステップＳ１１）。

制御部１３では、受信フレーム解析部２６がその暗号電文Ｅ１を受信し、そのフレームが通常電文コマンドであると解析されると、その暗号電文Ｅ１のフレームは、復号化部２５へ転送される。 復号化部２５は、制御部１３の暗号鍵格納部２２から暗号鍵Ｋｅｙ（Ｒｂ）を読み出し、暗号電文Ｅ１をその暗号鍵Ｋｅｙ（Ｒｂ）で復号化して復号電文Ｄ２を取り出し、通常電文送受信部２７を介して制御部１３の処理プロセスに渡す。 制御部１３の処理プロセスは、取り出された復号電文Ｄ２の内容に応じた処理を実行し、その結果であるレスポンスＤ４を得る。 そして、制御部１３は、そのレスポンスＤ４を入金部７に送信するために、通常電文送受信部２７にレスポンスＤ４を転送する。 通常電文送受信部２７は、そのレスポンスＤ４を暗号化するために暗号化部２４に転送する。 暗号化部２４は、暗号鍵格納部２２から暗号鍵Ｋｅｙ（Ｒｂ）を読み出し、通常電文送受信部２７から転送されたレスポンスＤ４を暗号鍵Ｋｅｙ（Ｒｂ）で暗号化して暗号電文Ｅ２を生成し、入金部７に送信する（ステップＳ１２）。

入金部７では、送信された暗号電文Ｅ２を受信フレーム解析部２６が受信し、そのフレームを解析する。 暗号電文Ｅ２のフレームは通常電文コマンドであるので、受信フレーム解析部２６は、そのフレームを復号化部２５へ転送する。 復号化部２５は、暗号鍵格納部２２から暗号鍵Ｋｅｙ（ｄ２）を読み出し、暗号電文Ｅ２をその暗号鍵Ｋｅｙ（ｄ２）で復号化して復号電文Ｄ３を取り出す。 取り出された復号電文Ｄ３は、通常電文送受信部２７を介して入金部７の処理プロセスに渡され、その処理プロセスは、復号電文Ｄ３を電文Ｄ１に対するレスポンスとして処理する。

このように、入金部７から制御部１３に入金情報を伝達するためには、まず、入金部７は制御部１３に認証してもらい、そのときに生成した暗号鍵によってのみ通信が可能となるので、制御部１３を不正に利用してバリューデータをＩＣカードに書き込むことができず、したがって、ＩＣカードへの不正な入金情報の積み増しを防止することができる。

ＩＣカード積増機の機能を示す構成図である。

制御部および入金部が有する認証部の詳細を示す機能構成図である。

制御部が入金部を認証するときのシーケンス図である。

入金部が制御部に電文を送信するときのシーケンス図である。

符号の説明

１ ＩＣカード積増機 ２ 操作表示部 ３ 積増額ボタン ４ 取消ボタン ５ 領収書ボタン ６ 液晶表示器 ７ 入金部 ８ 紙幣入金口 ９ 紙幣鑑別部 １０ 紙幣収納庫 １１ 紙幣出金口 １２ 認証部 １３ 制御部 １４ 印刷部 １５ 領収書発行口 １６ リーダ・ライタ部 １７ 電源部 １８ 認証部 １９ サーバ