JPH04313190A - Ｉｃカードを用いたプリペイドカード・システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明はＩＣカードを用いたプリ
ペイドカード・システムに関する。詳しくは、店舗に存
在する端末での不正行為を防止するプリペイドカード・
システムに関する。

【０００２】

【従来の技術】現在、プリペードカード・システム、ク
レジットカード・システムといったさまざまなキャッシ
ュレス・システムが普及している。一方では、これらの
キャッシュレス・システムで様々な不正行為が行なわれ
ており、安全性の高いキャッシュレス・システムへの要
求が高まっている。これに対して、磁気カード等の媒体
に比べて安全性の高いＩＣカードを用いることにより安
全性を高めたシステムが開発されている。

【０００３】図８は、ＩＣカードを用いたプリペイドカ
ード・システムの従来方式のシステム構成図である。シ
ステムは、ＩＣカード８１、ＩＣカード８１を持ってい
るユーザが買物をする店舗に置く店舗取引端末（ＰＯＳ
端末）８２、銀行センタ・システム８３からなる。

【０００４】銀行センタ・システム８３には、ＩＣカー
ド８１を保有するユーザの個人口座８４、カード・ユー
ザが自身のカードに入金した金額データを格納しておく
個人カード残高ログファイル８５、複数のカードにユー
ザが入金した金額の合計額を格納しておく未決済資金フ
ァイル８６、各店舗の一定期間のカード売上合計額を未
決済資金ファイルから資金移動する店舗口座８７がある
。未決済資金ファイル８６は銀行センタ・システム８３
で一つまたは数個存在する。また、個人口座８４および
個人カード残高ファイル８５はＩＣカード８１を保有す
る各個人に対応して存在し、また、店舗口座８７は各店
舗に対応して存在する。

【０００５】ＩＣカード８１には残高格納レジスタ８８
があり、該ＩＣカード８１で使用可能な金額が格納され
ている。また、店舗取引端末（ＰＯＳ端末）８２には、
該端末での売上を格納する売上データ８９が存在する。

【０００６】カード・ユーザは、自身のＩＣカードを８
１を使用するにあたって、まず、ＩＣカード８１に入金
する。入金の際には、カードのキーパッドから暗証番号
を入力し、該ＩＣカードを活性化させたうえ、ＡＴＭ９
０を介して銀行センタ・システムにアクセスする。カー
ドに入金したい金額が個人口座８４の残高以内ならば、
この金額をカード残高と加算して加算結果をＩＣカード
８１の残高格納レジスタ８８にＡＴＭ９０を介して書き
込む（カードへの入金金額９１）。これと同時に、カー
ド残高を銀行センタ・システム８３の個人カード残高ロ
グファイル８５に書き込む。

【０００７】この個人カード残高ログファイル８５はＩ
Ｃカードへの不正行為防止に使用できる。すなわち、カ
ード・ユーザが次に入金にきたときにはＩＣカード８１
の残高は該個人カード残高ログファイル８５に書き込ま
れている金額と同じあるいは少ないはずなので、もしＩ
Ｃカード８１の残高格納レジスタ８８の金額の方が個人
カード残高ログファイル８５よりも多いならばＩＣカー
ド８１を不正改ざんしたとみなすことができる。また、
個人カード残高ログファイル８５に格納されている金額
は、カードを破損した場合などにカード・ユーザに対し
て保証する保証金額となる。

【０００８】ＩＣカード８１で買物をする場合には、店
舗取引端末８２に買物金額を入力し、さらにＩＣカード
８１を店舗取引端末８２に挿入し、ＩＣカードのキーパ
ッドから暗証番号を入力することによりＩＣカード８１
を活性化する（買物のための活性化９２）。これによっ
て、店舗取引端末８２がＩＣカード８１の残高格納レジ
スタ８８の残高から買物金額を差し引いて残高額を更新
する（残高減算９３）とともに、売上データ８９に買物
金額を加算する。すなわち、ＩＣカード８１のカード・
ユーザがＡ銀行に口座を有している場合には、売上デー
タ８９のうちＡ銀行について、金額ａに買物金額を加算
して更新する。

【０００９】店舗取引端末８２では、以上の方法によっ
て売上げ金額を売上データ８９に加算していき、一定期
間ごとに売上データ８９の金額を暗号化して銀行センタ
・システム８３に送る。すなわち、一定期間が経った時
点で、銀行ごとの売上金額（例えばＡ銀行ならば金額ａ
）を暗号化し、売上（請求）データ９４として該銀行セ
ンタ・システム（例えばＡ銀行の銀行センタ・システム
）に送る。銀行センタ・システム８３は送られてきた売
上（請求）データ９４を復号し、その金額を未決済資金
ファイル８６から店舗口座８７に移す。

【００１０】図９は、店舗取引端末における従来の売上
合算データの更新とＩＣカード残高の更新の説明図であ
る。買物を行なう場合には、店舗取引端末８２にＩＣカ
ード８１を挿入し、暗証番号によりＩＣカード８１を活
性化したうえ、買物金額９５を店舗取引端末８２から入
力する。この買物金額９５は、店舗取引端末８２の加算
器９６およびＩＣカード８１の減算器９７の入力となる
とともに、ＩＣカード８１の金額表示ディスプレイ９８
に出力される。これによって、ＩＣカード８１のユーザ
は買物金額９５の入力に誤りがないか否かを判断するこ
とができる。店舗取引端末８２の加算器９６のもう一つ
の入力は売上合算データ９９である。買物金額９５が入
力されると、加算器９６によってそれまでの売上合算デ
ータ９９に該買物金額９５を加算し、売上合算データ９
９を更新する。一方、ＩＣカード８１の減算器９７のも
う一つの入力は残高格納レジスタ８８の値である。買物
金額９５が入力されると、減算器９７によって残高格納
レジスタ８８の値から買物金額９５を減算し、再び残高
格納レジスタ８８に格納し、残高を更新する。

【００１１】以上のように、従来のプリペイドカード・
システムでは、ＩＣカードの暗証番号入力により本人以
外の使用を不可能にするためのアクセス制御と、店舗−
銀行センタ・システム間の回線における盗聴を防止する
ための暗号化が安全対策として行なわれている。

【００１２】

【発明が解決しようとする課題】しかしながら、従来の
方式では店舗端末での不正に対する防御はなされていず
、プリペイドカード・システム全体としての安全性に問
題がある。

【００１３】本発明は、店舗端末での不正を防止し、安
全性を向上することを目的とする。

【００１４】

【課題を解決するための手段】第１図は、本発明の機能
ブロック図である。本発明は、ＩＣカード２および店舗
取引端末３、銀行センタ・システム４からなるプリペイ
ドカード・システム１を前提とする。銀行センタ・シス
テム４にはＩＣカード２をもつユーザの個人口座５が存
在し、ＩＣカード・ユーザがＩＣカード２に入金する場
合に、入金希望金額が個人口座５の金額以下であればそ
の金額をＩＣカード内の残高レジスタ８に送り、使用限
度額を示す。また、銀行センタ・システム４はＩＣカー
ド２への入金金額を、全ＩＣカード・ユーザの使用限度
額の合計を蓄えた未決済資金ファイル６の金額に加算し
て未決済資金の更新を行なう。さらに、銀行センタ・シ
ステム４には店舗口座７が存在し、銀行センタ・システ
ム４は店舗取引端末３からの決済請求１３に対して該請
求額を店舗口座７に入金する。また、ＩＣカード２は、
買物をするごとに買物金額９を残高レジスタ８の残高デ
ータから減じ、その時点ごとの使用可能限度額を残高レ
ジスタ８に格納しておく。本発明は、プリペイドカード
・システムとして以上のような前提を有する。

【００１５】まず、売上合算・暗号化手段１０が存在す
る。売上合算・暗号化手段１０は、店舗取引端末３ある
いはＩＣカード２内に設けることができる。売上合算・
暗号化手段１０は、ＩＣカード２による買物が実施され
るごとに、それまでの売上合算金額に買物金額９を加算
して売上合算金額の更新を行ない、さらに、更新した売
上合算金額を銀行鍵を使用して暗号化する。この暗号化
では、被暗号データ（平文）の一部を使用して暗号化処
理をする認証子生成手法を使用する方法と、平文全部を
使用して暗号化処理をする暗号化手法を使用する方法が
あり、どちらか一方を採用する。ＩＣカード２で売上合
算暗号化手段１０を実行する場合には、暗号化に使用す
る銀行鍵を銀行ごとに変え、他の銀行が発行したＩＣカ
ード２では暗号化できないようにすることができる。ま
た、暗号化の対象とするデータとして、売上合算金額デ
ータと、銀行センタ・システム４への決済要求回数に相
当するシリアル番号や合算開始日時とを合わせたデータ
を使用することにより、店舗取引端末３において他の決
済要求時の売上合算データを複写することによる改ざん
不正を防ぐことができる。さらに、暗号化の対象とする
データに店舗取引端末３に固有のＩＤデータを加えるこ
とにより、他の店舗取引端末から売上合算金額データを
複写することによる改ざん不正を防ぐことができる。

【００１６】次に、売上合算格納手段１１を有する。売
上合算格納手段１１は、前記売上合算・暗号化手段１０
で求めた売上合算金額データおよび該売上合算金額デー
タの暗号文を店舗取引端末３内に格納する。

【００１７】さらに、不正検出手段１２を有する。不正
検出手段１２は、店舗取引端末３あるいはＩＣカード２
内に設けることができ、ＩＣカード２による買物が実施
されるごとに、売上合算・暗号化手段１０による売上合
算金額更新と暗号化に先立って実行する。まず、売上合
算格納手段１１からそれまでの売上合算データとその暗
号化文を取り出し、売上合算データを銀行鍵で暗号化し
、売上合算格納手段１１から読み出した暗号化文と比較
する。一致していれば不正はないものと判断し、不一致
ならば店舗取引端末３の売上合算格納手段１１に格納し
てある売上合算データに不正改ざんがあったと判断する
。

【００１８】最後に、銀行センタ・システム４は不正検
出決済手段１４を有する。不正検出決済手段１４は、店
舗取引端末３からの決済要求１３を受けて、不正がない
か否かを判断し、不正がない場合には決済処理を実行し
、不正がある場合には決済処理を行なわないようにする
。店舗取引端末３から、売上合算格納手段１１が格納し
ている売上合算金額データとその暗号文を受け、売上合
算金額データを銀行鍵を使用して暗号化したうえ、送ら
れてきた暗号文と比較する。一致すれば不正はないと判
断し、不一致の場合には不正があると判断する。

【００１９】不正検出決済手段１４は、また、売上合算
・暗号化手段１０で、暗号化の対象とするデータとして
売上合算金額の他に請求回数を表すシリアル番号や合算
開始日時、店舗取引端末ＩＤを付加した場合には、付加
したシリアル番号、日時、端末ＩＤに矛盾がないか否か
を判断し、矛盾がある場合には不正があると判断する。 矛盾がない場合には不正はないとして前述した暗号文の
一致不一致による不正の検出を行なう。

【００２０】

【作用】ＩＣカード２によるプリペイドカード・システ
ム１では、買物客がＩＣカード２を所有し、店舗側には
このＩＣカード２を使用可能な店舗取引端末が置かれて
いる。ＩＣカード２を発行し、店舗と契約している銀行
の銀行センタ・システム４には、ＩＣカード２のユーザ
の個人口座５と該店舗の店舗口座７が存在する。

【００２１】ＩＣカード２のユーザがＩＣカード２を使
用する場合には、まず、銀行センタ・システム４にアク
セスしてＩＣカード２に入金する処理を行なう。すなわ
ち、ユーザは入金金額を通知し、銀行センタ・システム
４はその入金金額が個人口座の残高以下ならばその入金
を認め、この額をＩＣカード２内の残高レジスタ８にセ
ットする。また、銀行センタ・システム４内には契約し
ている全てのＩＣカードへの入金合計金額を格納する未
決済資金ファイル６があり、入金処理の際には個人口座
５からその金額を未決済資金ファイル６に入金する。

【００２２】一方、店舗取引端末３側では、一定期間ご
とに、その期間内での売上合計額を算出し、売上合計額
を銀行センタ・システム４に決済要求１３として請求す
る。一定期間の初めには、売上合算金額は０に初期化し
ておく。

【００２３】この状態で、ＩＣカード・ユーザが店舗で
買物をするものとする。このとき、まず、店舗取引端末
３にＩＣカード２を挿入し、ＩＣカード・ユーザがＩＣ
カード２の暗証番号を入力することによってＩＣカード
２を活性化する。次に、店舗取引端末３のキーボード等
から買物金額９を入力する。この段階で、売上合算・暗
号化手段１０が起動される。

【００２４】売上合算・暗号化手段１０は、店舗取引端
末３内に置く方法とＩＣカード２に置く方法がある。ま
ず、店舗取引端末３内に置くものとする。売上合算・暗
号化手段１０は、一定期間の売上合算開始時には、該買
物金額９を売上合算金額とし、これを店舗取引端末３内
に格納してある銀行鍵によって暗号化する。そして、売
上合算金額とその暗号文（暗号文の代わりに認証子を使
用しもよい）を売上合算格納手段１１に送る。店舗取引
端末３内の売上合算格納手段１１は、売上合算・暗号化
手段１０から入力された売上合算金額データとその暗号
文を格納する。

【００２５】一方、店舗取引端末３に挿入されたＩＣカ
ード２では、買物金額９が残高レジスタ８に記憶された
残高額から差し引かれ、残高レジスタ８内のデータを新
たな残高額に更新する。

【００２６】次の買物客がＩＣカード２で買物をするも
のとする。まず、店舗取引端末３にＩＣカード２を挿入
し、ＩＣカード・ユーザがＩＣカード２の暗証番号を入
力することによってＩＣカード２を活性化する。次に、
店舗取引端末３のキーボード等から買物金額９を入力す
る。この時点で売上合算・暗号化手段１０が起動される
。一定期間の売上開始時ではないことが分かるので、売
上合算・暗号化処理に先立って不正検出手段１２を起動
する。不正検出手段１２も売上合算・暗号化手段１０と
同様に店舗取引端末３内あるいはＩＣカード２内に設け
ることが可能である。ここでは、店舗取引端末３内に置
くものとする。

【００２７】不正検出手段１２は、売上合算格納手段１
１が格納している売上合算金額データとその暗号文（あ
るいは認証子）を読み出し、売上合算金額と暗号文（認
証子）に矛盾がないか否かを調べる。すなわち、売上合
算金額データを売上合算・暗号化手段１０で使用したの
と同じ銀行鍵で暗号化したうえ、読み出した暗号文（あ
るいは認証子）と一致するか否かを調べる処理を行なう
。暗号文を使用する場合には、暗号文を同じ銀行鍵で復
号し、読み出した売上合算金額データと一致するか否か
調べてもよい。一致していれば不正改ざんはないと判断
でき、また、不一致ならば何らかの改ざんがあったもの
と見なせる。不正ない場合には、売上合算・暗号化手段
１０を起動する。一方、不正があった場合には不正があ
る旨を銀行センタ・システム４に通知して処理を終了す
る。

【００２８】不正がない場合には売上合算・暗号化手段
１０が起動される。すなわち、不正検出手段１２が読み
出した売上合算金額データに買物金額９を加算すること
により売上合算金額データを更新し、更新した売上合算
金額データを銀行鍵で暗号化する。そして、それらのデ
ータを店舗取引端末３内の売上合算格納手段１１に送る
。以上の処理を繰り返すことにより、一定期間内の売上
合算金額が計算されていく。

【００２９】一定期間が経過すると、店舗取引端末３は
銀行センタ・システム４に対して決済要求１３を送る。 銀行センタ・システム４は決済要求１３を受け取ると不
正検出決済手段１４を起動する。

【００３０】不正検出決済手段１４は、店舗取引端末３
内の売上合算格納手段１１から売上合算金額データとそ
の暗号文（または認証子）を呼出し、売上合算金額デー
タとその暗号文の間に矛盾がないか否かを判定する。す
なわち、売上合算金額データを銀行センタ・システム４
が所有し、売上合算・暗号化手段１０で使用した銀行鍵
と同一の銀行鍵で暗号化し、これによって得た文と呼び
出した暗号文（または認証子）を比較する。一致してい
れば不正なし、不一致ならば何らかの不正改ざんがある
と判断する。この場合も、暗号文を使用している場合に
は、呼び出した暗号文を同じ銀行鍵で復号し、呼び出し
た売上合算金額データと比較してもよい。不正がない場
合には、決済処理、すなわち、未決済資金ファイル６か
ら売上合算金額分を店舗口座７に入金する処理を実行す
る。不正改ざんがあると判断した場合には決済処理は実
行しない。

【００３１】以上の説明では、売上合算・暗号化手段１
０および不正検出手段１２を店舗取引端末３内に置くも
のとしたが、銀行鍵の解読による不正を防止するために
ＩＣカード２内に置くことも可能である。作用は前述と
同様である。

【００３２】また、店舗取引端末３内の売上合算格納手
段１１に格納した以前の売上合算金額データとその暗号
文（または認証子）を複写することにより売上合算金額
を改ざんする不正を防止するために、決済要求１３ごと
にインクリメントされるシリアル番号を売上合算金額デ
ータに付加したり、一定期間内の売上合算開始日時を売
上合算金額データに付加する方法もある。この場合、売
上合算・暗号化手段１０は、シリアル番号や日時も含め
て暗号化する。銀行センタ・システム４内の不正検出決
済手段１４は、シリアル番号や日時に矛盾がないか否か
を調べたうえ、シリアル番号や日時を加えた売上合算金
額データを暗号化し、決済要求１３で送られてきた暗号
文と比較して、不正の有無を調べる。

【００３３】さらに、他の店舗取引端末３の売上合算格
納手段１１に格納した売上合算金額データとその暗号文
（または認証子）を複写することにより売上合算金額を
改ざんする不正を防止するために、店舗取引端末３ごと
にユニークなＩＤを売上合算金額データに付加する方法
もある。この場合、売上合算・暗号化手段１０はこのＩ
Ｄも含めて暗号化する。銀行センタ・システム４内の不
正検出決済手段１４は、同じ店舗取引端末ＩＤの決算要
求が複数あるかないかで不正を検出し、さらに、店舗取
引端末ＩＤを加えた売上合算金額データを暗号化し、決
済要求１３で送られてきた暗号文と比較して不正の有無
を調べる。

【００３４】

【実施例】図２は、本発明の一実施例のシステム構成図
である。ＩＣカード２および店舗取引端末３についての
構成を説明する。

【００３５】ＩＣカード２は残高格納レジスタ８および
減算器２０、金額表示２１からなる。また、店舗取引端
末３は売上データ２２、加算器２３、暗号化部ａ２４、
暗号化部ｂ２５、比較器２６、銀行鍵２７からなる。そ
して、売上データ２２は、売上合算データ２８および認
証子２９で構成する。

【００３６】カード・ユーザが買物を行ないＩＣカード
で支払いをする際に、店舗取引端末３の売上データ２２
の更新およびＩＣカード２の残高格納レジスタ８の更新
を行ない、これに加えて不正防止処理を行なう。

【００３７】まず、ＩＣカード２による支払いに先立ち
、店舗取引端末３は、暗号化部ａ２４によって、売上デ
ータ２２のなかの売上合算データ２８を銀行鍵２７で暗
号化し、その結果を比較器２６に出力する。銀行鍵２７
は、該店舗がＩＣカードによる販売で提携している複数
の銀行について銀行ごとに用意してある暗号化用の鍵で
ある。比較器２６では、この暗号化済みのデータと認証
子２９を比較し、認証子２９作成時の売上合算データ２
８が改ざんされているか否かを判定する。すなわち、比
較器２６で暗号化済みデータと認証子２９が一致してい
ればデータの改ざんはなされていないと判断し、ＩＣカ
ード２による支払い処理を実行する。一方、一致してい
ない場合にデータを改ざんしたものと判断し、ＩＣカー
ド２による支払い処理は行なわずに、不正行為あるいは
エラーが生じたとしてオペレータに通知する。

【００３８】改ざんされていないと判定された場合には
、次の処理を実行する。まず、店舗取引端末３のキーボ
ード等から買物金額９を入力する。そして、この買物金
額９と売上データ２２中の売上合算データ２８を加算し
、加算結果を売上合算データ２８に格納して、これまで
の売上合算データを更新する。また、加算結果は暗号か
部ｂ２５へも入力される。暗号部ｂ２５で、この新売上
合算データを銀行鍵２７で暗号化し、その結果を認証子
２９に格納して、認証子２９の更新を行なう。

【００３９】認証子２９を作成するための暗号化処理（
認証子生成）は一般の暗号化と同様の処理（例えばＦＥ
ＡＬアルゴリズムなど）で実行する。被暗号文のうちの
何ビットかを暗号化し認証文とする。例えば、１２８ビ
ットの被暗号文のうちの６４ビットを暗号化し認証文と
する。このため、認証文から被暗号文を逆生成すること
はできない。

【００４０】一方、ＩＣカード２にも買物金額９が入力
される。買物金額９は、金額表示２１に表示されたうえ
、減算器２０の入力となる。減算器２０のもう一つの入
力は残高格納レジスタ８の残高データである。減算器２
０は、該残高データから今回の買物金額９を減算し、そ
の結果を残高格納レジスタ８に格納して、残高データを
更新する。

【００４１】以上に説明した第一の実施例では、店舗取
引端末３において売上合算を求めるときに売上合算デー
タの暗号化を行ない、売上合算データとともに認証子と
して格納したうえ、次回、売上合算を行なう際に前回計
算し格納した売上合算データを再び暗号化し、前回格納
した認証子と比較することにより、店舗取引端末３にお
いて売上合算データの改ざんをしていないか否かを判定
する。これによって、店舗取引端末３における売上合算
データの改ざんを防ぐことが可能である。

【００４２】また、第一の実施例において、認証子２９
を使用する代わりに暗号文を用いる方法がある。システ
ム構成は認証子２９の部分が暗号文に代わるほかは図２
の第一の実施例と同様である。

【００４３】店舗取引端末３の売上合算データ２８を買
物客の購買にともなって更新する際（買物による加算）
、まず、更新前の売上合算データ２８を暗号化部ａ２４
によって銀行鍵２７を使って暗号化し、暗号化した文と
該売上合算データに対応する暗号文が一致するか否かを
判定する。一致すれば売上合算データ２８の改ざんはな
いと判定して更新処理を実行し、一致しない場合には改
ざんあるいはエラーが生じたとして更新処理を行なわず
、その旨をオペレータに通知する。ここでは、売上合算
データ２８を暗号化して対応する暗号文との一致不一致
を判定したが、暗号文を使用する場合には、暗号文から
元の文を逆生成（復号）することが可能なので、暗号文
を銀行鍵２７を使用して復号し、復号値と売上合算デー
タ２８の一致不一致を判定してもよい。この場合も一致
の場合は改ざん無し、不一致の場合は改ざん有りとみな
すことができる。暗号化には、例えば、ＦＥＡＬアルゴ
リズム等を使用することが可能である。

【００４４】一致して、改ざんがないと判定された場合
の更新処理では、まず、店舗取引端末３のキーボード等
から入力された買物金額９と売上合算データ２８のデー
タを加算器２３で加算し、再び売上合算データ２８に格
納する。また、加算器２３の出力、すなわち、新たな売
上合算データを暗号化部ｂ２５に入力し、銀行鍵２７で
暗号化して暗号文を作成し、これを売上合算データ２８
に対応した暗号文として格納する（認証子２９の部分を
暗号文として置き換える）。

【００４５】ＩＣカード２側の処理は第一の実施例と同
一である。すなわち、店舗取引端末３に入力される買物
金額９がＩＣカード２にも送られ、この金額が金額表示
２１に出力されるとともに、減算器２０に入力され、減
算器２０では残高格納レジスタ８の値から該買物金額９
を減算して、減算結果を再び残高格納レジスタ８に格納
し、残高データを更新する。

【００４６】図３は、第二の実施例のシステム構成図で
ある。売上合算データの更新処理および暗号化をＩＣカ
ード側で行なうものである。ＩＣカード２には、ＩＣカ
ードによる合算データ暗号化部３０およびＩＣカードに
よるカード残高更新部３１がある。ＩＣカードによる合
算データ暗号化部３０は、カード・ユーザが買物をする
店舗の店舗取引端末３の売上合計金額を更新するととも
に、そのデータを暗号化する処理を実行し、ＩＣカード
によるカード残高更新部３１は、該ＩＣカード２の残高
を更新する処理を実行する。

【００４７】ＩＣカードによる合算データ暗号化部３０
は、金額表示ディスプレイ２１のほか、加算器３２、暗
号化部３３、復号部３４、比較器３５、銀行鍵格納部３
６からなる。銀行鍵格納部３６にはＩＣカード２を発行
した銀行（銀行Ａ）の銀行鍵が格納してあり、この鍵を
使用して、暗号化部３３では被暗号文の暗号化を行ない
、復号部３４では暗号文の復号を行なう。一方、ＩＣカ
ードによるカード残高更新部３１は、第一の実施例にお
けるＩＣカード２の構成と同様であり、残高格納レジス
タ８および減算器２０よりなる。

【００４８】一方、店舗取引端末３は売上データ格納部
３７および加算器３８、比較器３９で構成する。売上デ
ータ格納部３７は、取引銀行名４１および売上合算デー
タの平文４１、売上合算データの暗号文４２からなり、
店舗取引端末３が取引している銀行ごとに分けて格納す
る（３７−１、３７−２、３７−３、・・・）。そして
、売上合算データ（平文４１）とそれを暗号化した暗号
文４２を対にして売上データ格納部３７に格納する。

【００４９】買物客の購買によって売上合算を更新する
場合には、まず、店舗取引端末３にＩＣカード２を挿入
し、店舗取引端末３のキーボード等から買物金額９を入
力する。ＩＣカード２を挿入したことで、ＩＣカード２
にＩＣカード２を発行した銀行（ここでは銀行Ａ）につ
いての売上データ格納部３７の平文４１（４１−１）と
暗号文４２（４２−１）が送られる。そして、暗号文４
２はＩＣカード２内の復号部３４の入力となり、ＩＣカ
ード２が銀行鍵格納部３６に格納している銀行鍵（ここ
ではＡ銀行の鍵）を使用して復号する。これによって、
暗号分４２は暗号化前の平文に戻るはずである。復号化
済みの文は比較器３５の入力となる。比較器３５のもう
一つの入力は、店舗取引端末３から送られた平文４１で
ある。比較器３５は復号化済みの文と店舗取引端末３か
らの平文４１を比較し、一致していれば店舗取引端末３
側での売上データの改ざんはないとみなし、売上合算デ
ータの更新処理を行なう。一方、一致していない場合に
は、復号化した文ともとの平文が異なるということで、
何らかの改ざんあるいはエラーが発生したものとしてオ
ペレータにその旨を通知し、処理を終了する。

【００５０】比較器３５の結果が一致で、改ざんされて
いない場合には、店舗取引端末３から送られてきた売上
データ格納部３７内の平文４１の値と、キーボードで入
力した買物金額９を加算器３２に入力する。加算器３２
はこれらの二つの値を加算して売上合算金額を求める。 この結果は、店舗取引端末３に送られるとともに、ＩＣ
カード２内にある暗号化部３３に送られる。暗号化部３
３は、銀行鍵格納部３６に格納されている銀行鍵によっ
て売上合算金額を暗号化し、その結果を暗号文更新デー
タ４３として店舗取引端末３に送る。店舗取引端末３で
は、受け取った暗号文更新データ４３を売上データ格納
部３７の暗号文４２に格納する。

【００５１】一方、ＩＣカード２内の加算器３２の出力
（売上合算金額）は店舗取引端末３にも送られ、店舗取
引端末３内の比較器３９の一方の入力となる。また、店
舗取引端末３内にも加算器３８が存在し、売上データ格
納部３７の売上データの平文４１と買物金額９を加算し
、独自に売上合算金額を算出し、これを比較器３９のも
う一方の入力とする。ＩＣカード２から送られてきた売
上合算金額と、店舗取引端末３で独自に計算した売上合
算金額とが一致すれば、正しく計算されているものとし
て、該売上合算金額を金額更新データ４４として売上デ
ータ格納部３７の平文４１に格納する。一方、比較器３
９で不一致になれば、ＩＣカード２から送られてきた売
上合算金額と、店舗取引端末３で独自に計算した売上合
算金額とが異なることになり、ＩＣカード２側あるいは
店舗取引端末３側のいずれか、あるいは両方でエラーが
発生していることになる。このような場合には処理を停
止し、その旨を出力する。

【００５２】ＩＣカード２では、店舗側の売上合算デー
タ更新処理に加えて、自身の残高更新処理も行なう。Ｉ
Ｃカードによるカード残高更新部３１は、残高格納レジ
スタ８に格納してある残高データを減算器２０に入力す
る。そして、減算器２０のもう一方の入力を買物金額９
とし、残高データから買物金額９を減算して、再び残高
格納レジスタ８に格納する。これにより、残高データの
更新が完了する。

【００５３】第二の実施例は、店舗側の売上合算計算処
理および売上合算の暗号化をＩＣカード側で行ない、店
舗側では処理できないようにしている。第一の実施例で
は、銀行鍵を店舗側で解読すれば売上合算計算およびそ
の暗号化が可能で、不正改ざんの可能性が残されていた
が、第二の実施例のようにＩＣカード側で処理させるこ
とにより、このような不正行為は防止できるようになる
。また、銀行ごとに銀行鍵を変えることにより、その銀
行が発行したＩＣカードでないと暗号化処理が行えず、
安全性が増すとともに、銀行鍵の更新を銀行ごとに行な
えるという利点がある。

【００５４】第二の実施例は、暗号化処理により、売上
合算データの平文４１とともに対応する暗号文４２を売
上データ格納部３７に格納したが、売上合算データの平
文４１の一部を使用して暗号化することにより、対応す
る認証子を暗号文４２のところに格納する方法を採って
もよい。

【００５５】図３は、第一あるいは第二の実施例のシス
テム構成で求め、店舗取引端末に格納された売上合算デ
ータで発生し得る不正の説明図である。店舗取引端末３
に蓄積されている売上データ２２は、一定期間内の売上
合算データ２８と、該売上合算データ２８に暗号化処理
を施して得られた認証子２９からなる。今、ある月の売
上合算データ２８が１００万円であったとする。そして
、その月には、この売上合算金額を銀行センタ・システ
ム４に請求する（第ｎ回請求データ４８）。すなわち、
第ｎ回請求データ４８は売上合算データ２８（１００万
円）と対応する認証子２９である。銀行センタ・システ
ム４はこのデータを受け取り、まず、暗号化部４５が売
上合算データ２８を銀行鍵４６で暗号化する。この暗号
化で得た認証子を比較器４７に入力し、送られてきた認
証子２９と比較する。これが一致していれば不正はない
と判定し、銀行センタ・システム４は請求額を店舗口座
に入金する。

【００５６】ここで、次の月の売上合算金額が１０万円
と少なく、売り上げの水増しを図るために、店舗側端末
３でこの月の売上データ２２として前月の売上データ２
２をそのまま複写する不正改ざんをするものとする。す
なわち、前月の売上合算データ２８（１００万円）と対
応する認証子２９を今月の売上データ２２として複写す
る。

【００５７】このような場合、第ｎ＋１回請求データ４
９として複写した前月の売上データ２２がそのまま銀行
センタ・システム４に送られる。すなわち、売上合算デ
ータ２８（１００万円）とそれに対応する認証子２９が
送られる。銀行センタ・システム４では、送られてきた
第ｎ＋１回請求データ４９の売上合算データ２８を銀行
鍵４６で暗号化し、認証子２９と比較する。しかし、送
られてきた売上合算データ（１００万円）２８と認証子
２９は対応がとれているので、前月のデータを複写した
ことは検出できず、このような不正を防ぐことができな
い。このような複写による不正は銀行センタ・システム
４への請求時でも、月の途中でも、いつでも可能である
。

【００５８】これは、売上合算データと認証子が１対１
に対応していることによる。このような不正を防ぐため
に、売上データ２２に請求のシリアル番号を付加する方
法が考えられる。

【００５９】図５は第三の実施例、すなわち、売上デー
タにシリアル番号を付加したシステムの説明図である。 店舗取引端末３は銀行センタ・システム４への売上請求
ごとにインクリメントされるカウンタを有しており、銀
行センタ・システム４には各店舗取引端末に対応したシ
リアル番号がチェック用カウンタ５１として格納されて
いる。そして、請求データとしては売上合算データ２８
および認証子２９を送る。この認証子２９は、売上合算
データ２８にシリアル番号５０を付加したデータをＩＣ
カード２が暗号化して得たものである。

【００６０】例えば、２回目の請求データは売上合算デ
ータ２８の値が‘１００万円’であり、また、認証子２
９はシリアル番号‘２’と売上合算データ‘１００万円
’を合わせたデータを暗号化して得た認証子である。 銀行側では、２回目の請求であることをチェック用カウ
ンタ５１で検出し、これと送られてきた売上合算データ
‘１００万円’を合わせて暗号化し認証子を得て、店舗
取引端末３から送られてきた認証子と比較する。一致し
ていれば不正はないと判断して請求額を店舗口座に入金
する。不一致ならば不正またはエラーがあると判断する
。

【００６１】ここで、３回目の請求時に売上が少なく、
店舗側端末３で前回の請求データを複写する不正を行な
うものとする。すなわち、売上合算データ‘１００万円
’と認証子を複写する。銀行センタ・システム４に請求
すると、チェック用カウンタ５１により銀行側は３回目
の請求であることを検出し、シリアル番号‘３’と売上
合算データ‘１００万円’を合わせて暗号化し認証子を
求め、店舗取引端末３から送られてきた認証子と比較す
る。この場合、送られてきた認証子はシリアル番号‘２
’として暗号化したものであり、銀行センタ・システム
３で求めた認証子とは一致しない。これにより不正が検
出できる。

【００６２】第三の実施例では、銀行への請求回数を示
すシリアル番号を売上合算データに加えて暗号化を行な
ったが、シリアル番号の代わりに合算開始時の日時を用
いてもの実現できる。店舗取引端末３では、合算開始時
の日時を売上合算データ２８に付加し、認証子を生成す
る。銀行センタ・システム４では、前回の請求時に送ら
れてきた売上合算データに付加されていた日時を店舗取
引端末ごとに管理しており、今回請求された売上データ
に付加されている日時と比較する。日時が同じであった
り、前回の請求時の日時よりも古いならば不正があると
判断される。日時が新しいならば、日時と売上合算デー
タを合わせて暗号化し、認証子を生成し、店舗取引端末
から送られてきた認証子と比較し、一致していれば決済
処理を行なう。一致しない場合には、何らかの不正ある
いはエラーがその他にも存在すると判断され、決済処理
は行なわない。

【００６３】図６は、第三の実施例までのシステムでも
起こりえる不正の説明図である。店舗側に複数台の店舗
取引端末があるとする（３−１、３−２）。店舗取引端
末Ａ３−１の売上合算データ２８−１が１００万円であ
り、店舗取引端末Ｂ３−２の売上がっなデータ２８−２
が１０万円であるとする。それぞれの認証子（２９−１
、２９−２）は、それぞれの売上合算データ（２８−１
、２８−２）を暗号化して得たものである。

【００６４】ここで、店舗取引端末Ｂ３−２の売上が少
ないので、店舗取引端末Ａ３−１の売上データ２２−１
を複写して水増しする不正を行なうものとする。これに
よって、店舗取引端末Ｂ３−２の売上データ２２−２に
は、店舗取引端末Ａ３−２の売上データ２２−１がその
まま複写され、店舗取引端末Ｂ３−２の売上も１００万
円ということになる。この請求データ６１を銀行センタ
・システム４に送ると、銀行センタ・システム４の暗号
化部４５が店舗取引端末Ｂの請求データ６１中の売上合
算データ２８−２（１００万円）を銀行鍵４６で暗号化
し、その結果を比較器４７で送られてきた認証子２９−
２と比較する。銀行センタ・システム４は、請求データ
６１からは店舗取引端末の違いを検出することができな
いので、比較器４７では一致すると判定され、決済処理
が実行される。

【００６５】以上のように、他の店舗取引端末の売上合
算を複写することにより売り上げを水増しする不正が起
こり得るのである。図７は、第四の実施例、すなわち、
店舗取引端末のＩＤを付加するシステムの説明図である
。

【００６６】店舗取引端末にはユニークなＩＤが与えら
れており、売上データ２２に店舗取引端末ＩＤ７０とし
て含め、銀行センタ・システム４に請求する。銀行セン
タ・システム４では各端末のＩＤを管理している（端末
番号７１）。

【００６７】各店舗取引端末では、売上合算データ２８
に端末ＩＤ７０を付加したデータに対しての認証子２９
をＩＣカードにより計算し、格納する。銀行センタ・シ
ステム４に売上請求を行なう場合には、売上合算データ
２８と認証子２９を送る。銀行センタ・システム４では
、同一の店舗取引端末ＩＤをもつ売上請求があるか否か
を判定し、同じＩＤの付いた請求があれば不正があると
判断する。同じＩＤの付いた請求がないならば、送られ
てきた売上合算データ２８を暗号化部で暗号化し、得た
認証子を店舗取引端末から送られてきた認証子と比較す
る。一致していれば不正はないものとして決済処理を行
なう。一致しない場合には、何らかの不正あるいはエラ
ーがあるものとして決済処理を行なわないようにする。

【００６８】

【発明の効果】本発明によって、ＡＴＭ等の入金端末、
店舗取引端末での不正が困難になり、安全性を向上する
ことが可能である。さらに、これまで安全性の面で換金
性のないプリペイドカード（目的が限られたプリペイド
カード）しか発行できなかったが、換金性をもつＩＣカ
ードが発行可能となり、キャッシュレス・システムの使
用範囲が広がる。

【図面の簡単な説明】

【図１】本発明の機能ブロック図である。

【図２】一実施例のシステム構成図（店舗側の取引端末
での売上合算データ更新）である。

【図３】第二の実施例のシステム構成図（買物客のＩＣ
カードによる売上合算データの更新）である。

【図４】前回請求データの複写による売上の水増しの説
明図である。

【図５】店舗売上データへのシリアル番号の付加説明図
である。

【図６】他の店舗取引端末の請求データの複写による売
上の水増しの説明図である。

【図７】店舗売上データへの取引端末ＩＤの付加説明図
。

【図８】従来方式のＩＣカードを用いたプリペイドカー
ド・システムの構成図である。

【図９】従来の店舗側の取引端末の売上合算データの更
新とＩＣカード残高の更新の説明図である。

【符号の説明】

１　　　　　　プリペイドカード・システム２　　　　
　　ＩＣカード ３　　　　　　店舗取引端末 ４　　　　　　銀行センタ・システム ５　　　　　　個人口座 ６　　　　　　未決済資金ファイル ７　　　　　　店舗口座 ８　　　　　　残高レジスタ ９　　　　　　買物金額 １０　　　　売上合算・暗号化手段 １１　　　　売上合算格納手段 １２　　　　不正検出手段 １３　　　　決済要求 １４　　　　不正検出決済手段

Claims (5)

【特許請求の範囲】
1. 【請求項１】　　銀行センタ・システム（４）が、各Ｉ
   Ｃカード（２）に各個人口座（５）から入金した金額を
   合算して未決済資金ファイル（６）として格納し、ＩＣ
   カード（２）での買物が可能な店舗に置かれた店舗取引
   端末（３）は、ＩＣカード（２）での買物金額（９）を
   取引銀行ごとに合算して格納し、一定期間ごとに合算金
   額を銀行センタ・システム（４）に請求して決済処理を
   実行させ、ＩＣカード（２）は、銀行センタ・システム
   （４）の入金処理で使用可能になった金額を内部の残高
   レジスタ（８）に保持し、買物をするごと買物金額（９
   ）ずつ残高を減らして使用可能金額を残高レジスタ（８
   ）に格納しておくプリペイドカード・システム（１）に
   おいて、店舗取引端末（３）での一定期間内の売上金額
   の合計を計算し、銀行鍵を使って該売上金額を暗号化す
   る売上合算・暗号化手段（１０）と、前記売上合算・暗
   号化手段（１０）が計算した売上合算金額および該売上
   合算金額についての暗号化済みの文を店舗取引端末（３
   ）内に格納する売上合算格納手段（１１）と、ＩＣカー
   ド（２）による買物があるごとに、前記売上合算・暗号
   化手段（１０）の実行に先立って、前記売上合算格納手
   段（１１）に格納されている売上合算データを暗号化し
   、暗号化した文と、前記売上合算格納手段（１１）に格
   納されている暗号文を比較して一致不一致を判定し、一
   致していれば不正はなく、一致していなければ売上合算
   金額の不正改ざんがあったと判断する不正検出手段（１
   ２）と、店舗取引端末３からの一定期間ごとの決済要求
   （１３）に対して、銀行センタ・システム（４）に請求
   された売上合算データに不正があるか否かを検出し、不
   正がない場合には店舗口座（７）に請求された売上合算
   金額を入金し、不正がある場合には決済処理を行わない
   不正検出決済手段（１４）とを有することを特徴とする
   ＩＣカードを用いたプリペイドカード・システム。
2. 【請求項２】　　請求項１の売上合算・暗号化手段（１
   ０）は、売上金額の暗号化に認証子を使用する請求項１
   記載のＩＣカードを用いたプリペイドカード・システム
   。
3. 【請求項３】　　請求項１の売上合算・暗号化手段（１
   ０）および不正検出手段（１２）は、店舗取引端末（３
   ）あるいはＩＣカード（２）のいずれかで実行する請求
   項１記載のＩＣカードを用いたプリペイドカード・シス
   テム。
4. 【請求項４】　　請求項１の売上合算・暗号化手段（１
   ０）は、該手段（１０）をＩＣカード（２）で実行する
   場合には、暗号化に使用する銀行鍵を銀行ごとに変え、
   他の銀行が発行したＩＣカードでは暗号化を出来ないよ
   うにする請求項１記載のＩＣカードを用いたプリペイド
   カード・システム。
5. 【請求項５】　　請求項１の売上合算・暗号化手段（１
   ０）は、売上合算データに加えて、銀行への請求ごとに
   インクリメントされるシリアル番号あるいは売上合算開
   始日時、および、店舗取引端末ごとに付けた固有のＩＤ
   番号を合わせたデータを暗号化の対象とする請求項１記
   載のＩＣカードを用いたプリペイドカード・システム。