JPS61502014A - デ−タシステムと通信する装置およびデ−タシステムと通信する方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 データシステムと通信する装置およ びデータシステムと通信する方法 発明の背景 従来、カードホルダを識別するだめの、或いはカード読取り端末装置によりカー ドホルダのカードから読取られたデータに基づいて、或いはこのデータから得ら れるデータに基づいて、更にカードホルダによシ入力され且つ正当なカードホル ダによってのみ知られるコードに基づいてデータシステムに関してカードホルダ の信憑性を検証するだめの若干の装置、システムなどが開発されている。

これ等の公知のシステムのうち、成るものは信憑性の検証をオンラインで実施し 、また他のものはこの検証をオフラインで実施している。オンラインシステムで は、カードホルダにより入力されたコードおよびカードから読取られたデータ或 いはカードから読取られたデータから得られるデータを暗号化し、この暗号化さ れたデータおよびコードを遠方の中央処理ユニットに送出する方法が取られる。

この中央処理ユニットでは、上記の暗号化データおよびコードは暗号化した状態 で或いは暗号化してない状態で比較され、カードホルダ、即ち、問題のカードの 所有者が正当なカードホルダとして確実に識別されるか否かを決定している。オ フラインシステムでは、上記のデータおよびコードは暗号化状態で或いは非暗号 化状態でカード読取多端末装置を通して互すに比較され、カードに関してカード ホルダの確実な識別を実施している。カードホルダが確実に識別されると、この システムは、カードおよびカードホルダによシ識別された口座への、或いはそれ からの金額の取引を許容し、また一定量、即ちカードのデータによシ定められる 一定量で或いはこれに代って問題の量に対応する数を入力してカードホルダに定 められる皿で、カードホルダに対して注意してロックされたテリトリ、領域また はゾーン、或いは取引き対象物品などへのカードホルダのアクセスを可能にする 。

上記したカードは光学的に読出し可能なカードであシ、即ち、透明窓を有するカ ードなどの光透過性Ｏ，ｔた元不透過性の領域を持つカードとして与えられる。

このカードは、機械的データ識別手段；例えばせん孔領域を有した機械的に読取 シ自在なカードておりてへよい。またデータが記録される磁気ゾーン或いは磁性 ストリップを有した磁気カードでもよい、或いは電子的な接続手段を通して読取 多端末装置に接続された積分形電子記憶装置を有した能動的或いは電子的カード でおってもよい、１方、このカードは光学的、機械的、磁気的性質を組合わせた 読出し可能な電子的カードであってもよい。しかし、ＩＳＯカードとして公知の ＩＳＯ規格２８９４（国際規格協会）に従うカードのようなカードシステム或い はデータシステムを識別する名前或いは記号と共に磁気ストリップを配置させた カードを用いる方法が一般的になって来ている。

多くの機能が次渚と自動化され、また多くのカードシステムが更に発行されてい るので、種々のカード或いはデータシステムを識別し、また正しいデータシステ ムへの通信を与えることが出来る装置が必要になっている。これは先ず、人が若 干の異なる機械を読出しできるカードによυ品吻を購入する時便利なことによる 。このようなカードとしてはこれまで、当該の会社或いは商社が発行するクレジ ットカードやディナーズ・クラブ・カード（Ｄｉｎｅｒｓ　Ｃ１ｕｂＣａｒｄ　 ）とかユーロカード（Ｅｕｒｏ　Ｃａｒｄ　）などのようなりレジットカード機 関で発行したクレジットカードや、「ダンコート・システム＜Ｄａｔｈｋｏｒｔ 　Ｓｙｓｔａｍ）Ｊなどの銀行機関の発行するカードで代表されるデビットカー ドなどのカードなどが考えられる。しかしながら、糧々のカード発行機関によシ 発行されたカードを読取る単一装置を与えるという便利さという側面とは別に、 非常に重要媛安全性という側面もそこには含まれている。

種々の機関またはデータシステムは、基本的には、種々のレベルのデータの秘密 性およびデータの安全性を必要としている。上記のように、若干のデータシステ ムはカードホルダ或いはカード所有者の信憑性をオンラインで検証し、他のデー タシステムはオフラインで検証し、１万更に若干のデータシステムでは、この検 証は半オンラインで行われ、この場合、データがカードから読取られ、またカー ドホルダによシ入力された秘密コードと共に検証ブロックに出力されるようにし である。この検証ゾロツクは、従来、いわゆる「バックオフィスコンビーータ」 ニ含まれている。カード読取多端末装置からパックオフィスコンピュータ或いは 検証ブロックへの通信は非常に容易に傍受されるので、カードホルダによシ入力 され、カードから読取られたコヒーレントなデータおびコードのセットがそれぞ れ傍受される可能性がある。従って、若干数のカードやデータシステムは高い秘 密性と安全性を持っているので、高い秘密性と安全性が正当なカード保持者によ シ秘密性と安全性の低い端末装置に偶然に与えられることがある。

この場合カード保持者はまた。情報、即ちカードや秘密コードのデータを露出し てしまう上記の秘密性安全性の低い端末装置に秘密コードを入力するととになる という危険性がちる。

正当なカード保有者のみが知っているカードデータや秘密コードを過熱に外部に 知られてしまうという上記の危険性とは別に、ダミーの端末装置によりコヒーレ ントなデータおよびコードのセットを盗聴しようとし、また秘密性や安全性が十 分なカードシステムに対応する識別情報を有する個人により与えられる誤った或 いはダミーの端末装置は、各種機関の若干のカード読取シ端末装置が並んで配置 されている場合は特に、カードデータや秘密コートを露出し得ることになる。

信頼出来るコピー或いはダミ一端末装置を与える可能性が低い時カード保有者を 混惑させる可能性を出来るだけ減らすように、秘密性や安全性の高いレベルを与 えるだめの異なるデータシステムと通信する単一装置を与えることは特に重要と 思われる。

しかしながら、データ搬送カードからデータを読取シ、１７ＩＣ力−ド保有者に 工υ入力されたデータやコードを異なるデータシステムに送出するための、異な るデータシステムと通信する簡単な装置はそれ自身、高い安全性と秘密性を保持 するカードから読取られたデータは対応するコードと共に低秘密住でがあるので 、秘密性、安全性の低いデータシステムからそれ等が高いデータシステムに信号 を容易に与えることが出来る。

従って１組合わせ装置によシ与えられる上記の安全性についての利点を与え、し かしなお、秘密性と安全性の低いデータシステムからそれ等が高いデータシステ ムへの信号伝達を与える危険性を排除する、１つ以上のデータシステムと通信す る装置〃；必要となる。

発明の既決 以上の必要性は、本発明の第１の側面に従う装置により実現される。この装置は 、データ搬送カードから読取られたデータから得られるデータを受信し、第１の データシステムに属するカードとして、或いは第２のデータシステムに属するカ ードとして、上記カードを確実に識別するカード識別信号を受信し。

更に上記カードから読取られたデータから得られる上記データを少なくとも２つ の異なるデータシステムの第１のものに送出し、或いはこれに代つて、上記デー タシステムの第２のものに関して上記カーＹの保有者の信憑性コードするため、 少なくとも２つの異なるデータシステムと通信する。この装置は、上記カードか ら読取られたデータから得られるデータを受信し、且つ上記カード識別信号を受 信するデータ入力手段と、 個人信憑性コードを入力する入力手段と、第１暗号化ア／Ｖプリズムと伝送プロ トコルとを記憶する第１記憶手段と、 検証用アルゴリズムを記憶する第２記憶手攻と、もし上記カードが上記第１デー タシステムに属するカードとして識別されたなら、上記カードおよびコードから 読取られたデータラら得られる上記データが第１記憶手段に記憶された第１暗号 化アルゴリズムを用いて暗号化され、且つ第１記憶手段に記憶された伝送プロト コルによ多制御される第１データシステムに出力されるように、上記データ入力 手段および第１記憶手段によ多制御され、上記データおよびコードを暗号化する 暗号化手段と、もし上記カードが第２データシステムに属するカードとして識別 されたなら、上記カードから読取られたデータから生じる上記データが第２記憶 手段に記憶された検証用アルゴリズムを用いることによυ上記コードに関して検 証される場合、信憑性コードが第２データシステムに供給されるように、或いは これに代って、上記カードから読取られたデータから得られる上記データが上記 第２記憶手段に記憶された検証用アルゴリズムを用いることによシ上記コードー 関して検証されない場合は、無信憑性コードが上記第２データシステムに供給さ れるように、上記データ入力手段および上記第２記憶手段によ多制御され、上記 カードおよびコードから読取られたデータから得られるデータを比較する比較手 段とからなる。

本発明の概念は、第２７′−タシステム、或いは秘密性および安全性の低ｂデー タシステムから第１データシステム、或いは上記の秘密性および安全性が高いデ ータシステムに、１方では、上記第１データシステム、即ち、秘密性および安全 性が高いデータシステムに関しては、個人信憑性コードが、暗号化状態のみの場 合に、それ自身は高い秘密性と安全性レベルを保証する第１データシステムに出 力されるので、また他方では、第２データシステム、即ち秘密性および安全性が 低いデータシステムに関して個人信憑性コードが比較手段だけで上記カードから 読取られたデータから得られる上記データに比較され、また入力手段によシ入力 されたコードが、信憑性コード或いは無信憑性コードが専用にそれに対して出力 されるので、第２データシステムに出力される状況の下にはないので、信号透過 性を与える危険を排除するものである。更に、上記カードおよびコードから読取 られたデータから生じるコヒーレントな組のデータが、第２データクステムに出 力された如何なる状況の下にもない。

この意味で、「カードから読取られたデータから得られるデータ」という表現は 、上記カードからそれ等自身読取られたデータを意味し、或いは上記カードから 読取られたデータの何等かのオフセット或いは処理されたものを意味する。従っ て、本発明による装置のデータ入力手段により受信されたデータは、上記カード からそれ等自身読取られたデータ或いは上記カードから読取られたデータの任意 のオフセット或いは処理されたものを構成する。

本発明の第１実施例によれば、本装置は他の暗号化手段からなシ、更に、第２の 暗号化アルゴリズムが第２記憶手段に記憶され、また上記能の暗号化手段は、も し上記カードが第２データシステムに属するカードとして識別されたら、上記カ ードおよびコードから読取られたデータから得られる上記データが比較手段にお けるデータおよびコードの比較前に、第２記憶手段に記憶された第２暗号化ア） ｖｆリズムを用いることにより上記能の暗号化手段で暗号化されるように上記デ ータ入力手段と上記第２記憶手段によシ制御される。

個別暗号化手段は第１データシステムに関して上記カードおよびコードから読取 られたデータから生じる上記データを暗号化するために用いられるので、また上 記データおよびコードが、第２データシステムに関して検証する以前にそれぞれ の暗号化用アルゴリズムを用いることによシ更に暗号化されるので、第２データ システムに関してカードの所有者の信憑性を検証する際に含まれる暗号化および 検証手順の知識に基づいて、第１データシステムの暗号化コードをだめにする可 能性が除去されるために、不透過性が更に助長されることになる。

本発明によれば、本装置は更に秘密性、安全性の低いデータシステムから高いデ ータシステムへのトランスベアレンジを与えずに３つ以上のデータシステムと通 信することが出来る。本発明のこの実施例によると本装置は更に、他の検証アル ゴリズムを記憶する第３の記憶手段からなシ、上記カード識別信号は更に上記カ ードを上記３つ以上のデータシステムの１つ属するカードとして確実に識別し、 ｔた上記比較手段は更に、もし上記カードが上記第３データシステムＶＣ属する カードとして識別されるなら。

上記カードから読取られたデータから得られるデータが第３記憶手段に記憶され た検証用アルゴリズムを用いることによシ上記コードに関して検証される場合に 信憑性コードが第３データシステムに与えられるように、或いはこれに代って、 上記カードから読取られたデータから得られるデータが第３記憶手段に記憶され た検証用アルゴリズムを用いることにより上記コードに関して検証されない場合 は非信憑性コードが第３データシステムに与えられるように、ｒ−タ入力手段と 第３記憶手段にによシ制御され、上記カードおよびコードから読取られたデータ から得られるデータを比較を比較する。

本装置が３つ以上のデータシステムと通信する本発明の現在の実施例によると、 上記のように秘密性または安全性レベルが更に増加され、本装置が更に他の暗号 化手段からなるｌ実施例によると、第３の暗号化アルゴリズムが上記第３記憶手 段に更に記憶され、上記更に他の暗号化手段は、もし上記カードが上記第３デー タシステムに属するカードとして識別されるなら、上記カードおよび；−ドから 読取られたデータから得られる上記データが、比較装置での上記データとコード の比較以前に、上記第３記憶手段に記憶された第３暗号化アルゴリズムを用いる ことによシ上記更に他の暗号化手段で暗号化されるように、上記データ入力手段 と第３記憶手段に記憶される。

上記入力手段によシ上記カードおよびコードから読取られ７１Ｃ７’−夕から得 られるデータが、もし上記カードが上記第２データシステムに属するカードとし て、或いは上記第３デーｊシステムに属するカードとして識別されたなら、上記 比較手段での上記データとコードの比較以前に暗号化される本発明の上記実施例 に訃いては；上記暗号化手段は上記第１に言及した暗号化手段がらなり、また上 記更に他の暗号化手段はン７トウエアまたはハードウェアにより実施されるディ スクリート或いは個別暗号化手段により構成され得る。但し、上記暗号化手段、 即ち。

第１暗号化手段、他の暗号化手段、および更に他の暗号化手段は単一の暗号化手 段によシ構成され得る。

低秘密性および低安全性データシステムから高秘密性および高安全性のデータシ ステムへトランスベアレンジを与える危険性を排除する少なくとも２つの異なる データシステムと通信する装置を与える必要とは別に、データシステムの１方に 他方からトランスベアレンジを得る可能性を排除する少なくとも２つの高秘密性 および高安全性データシステムと通信する装置の必要性が生じる。

この必要性は本発明の第２態様による装置によシ達成され、この装置は、データ 搬送カードから読取られたデータから得られるデータを受信し、上記カードを第 １７′−タシステムに属するカードとして。

或いはこれに代って第２データシステムに属するカードとして確実に識別するカ ード識別信号を受信し、また上記カードから読取られたデータから得られる上記 データを上記データシステムの第１のものに、或いはこれに代って上記データシ ステムの第２のものに送出するために少なくとも２つの異なるデータシステムと 通信し、この装置は、 上記カードから読取られたデータから生じる上記データを受信し、且つ上記カー ド識別信号を受信するデータ入力手段と、 個人信憑性コードの入力のための入力手段と、第１暗号化アＮゴリズムと第１伝 送プロトコルを記憶する第１記憶手段と、 第２暗号化アルゴリズムと第２伝送プロトコルを記憶する第２記憶手段と、 上記カードとコードから読取られたデータから得られるデータを暗号化する暗号 化手段とからなり、上記暗号化は、もし上記カードが第１データシステムに属す るカードとして識別されるなら、上記カードおよびコードから読取られたデータ から得られるデータが第１記憶手段に記憶された第１暗号化用アルプリズムを用 いることによシ暗号化され、更に第１記憶手段に記憶された第１伝送プロトコル によシ制御される第１データシステムに出力され、或いはこれに代って、もし上 記カードが第２データシステムに属するカードとして識別されるなら、上記カー ドおよびコードから読取られたデータから生じるデータが第２記憶手段に記憶さ れた第２暗号化アルゴリズムを用いることによシ暗号化され、更に第２記憶手段 に記憶された第１伝送プロトコルによシ制御される第２データシステムに出力さ れるように上記データ入力手段と上記第１および第２記憶手段のそれぞれとによ り制御される。

上記カードおよび個人信憑性コードから読取られたデータから生じるコヒーレン トなデータの組は、当該データシステムの高秘密性および高安全性レベルをそれ 自身保証する暗号化状態においてそれぞれのデータシステムに出力されるので、 コヒーレントな組のデータおよびコードの誤つた出力は個人信憑性コードを第３ ／４−ティには露出しないが、上記データシステムの１つの上記コヒーレントな データおよびコードの組は、上記データシステムの１つの上記コヒーレントなデ ータおよびコードの組が他方のデータシステムに誤って出力される場合は、この 他方のデータシステムにｊ！出されることになる。従って、本発明のこの態様に よると、上記データシステムは互いにトランスペアレントであり、また上記デー タシステムの１つの秘密性および安全性レベルが互いに依存する時は、互いに依 存するようになる。

本発明の第１の態様によると、上記秘密性成いは安全性レベルは他の暗号化手段 からなる実施例では更に増加され得るので、上記暗号化手段の第１のものは、も し上記カードが上記第１データシステムに属するカードとして識別されるなら上 記カードとコードから読取られたデータから生じるデータが上記第１暗号化手段 で暗号化されるように上記データ入力手段と第１記憶手段によシ制御され、また 上記暗号化手段の第２のものは、もし上記カードが上記第２データシステムに属 するカードとして識別されるなら、上記カードおよびコードから読取られたデー タから生じるデータが上記第２暗号化手段で暗号化されるように上記データ入力 手段および第２記憶手段によシ制御される〇 本発明によれば、本装置は更に３つ以上のデータシステムと通信するように出来 、また更に第３暗号化アルゴリズムと第３伝送プはトコルを記憶する第３記憶手 段からなシ、上記カード識別信号は更に上記３つ以上のデータシステムの１つに 属するカードとして上記カードを確実に識別し、また上記暗号化手段は更に、も し上記カードが第３データシステムに属するカードとして識別されるなら、上記 カードおよびコードから読取られるデータから得られるデータが上記第３記憶手 段に記憶された第３暗号化アルゴリズムを用いることによシ暗号化され、更に上 記第３記憶手段に記憶された第３伝送プロトコルにより制御される第３データシ ステムに出力されるように第３記憶手段によシ制御される。

上記のように、もし個別暗号化手段が個別データシステムと共に用いられると、 そのインドランスペアレンジが増加される。従りて、３つ以上のデータシステム と通信する本装置は更に第３暗号化手段からなシ、上記第３暗号化手段は、もし 上記カードが上記第３データシステムに属するカードとして識別されるなら、上 記カードおよびコードから読取られるデータから生じるデータが第３暗号化手段 で暗号化されるように上記データ入力手段と第３記憶手段によシ制御される。

３つ以上の高秘密性および高安全性データシステムと通信する装置とは別に、本 発明の上記態様の教えを組合わせた装置を与えることが出来、即ち少なくとも２ つの高い秘密性及び安全性データシステムおよび１つ以上の低秘密性および安全 性データシステムと通信する装置を与えることが出来、この装置は更に、検証用 アルゴリズムを記憶する第３記憶手段と比較手段からなり、上記カード識別信号 は更に上記３つ以上のデータシステムの１つに属するカードとして上記カードを 確実に識別し、また上記比較手段は、もし上記カードが上記データシステムに属 するカードとして識別されるなら、上記カードから読取られたデータから生じる データが上記第３記憶手段に記憶された検証用アルプリズムを用いることにニジ 上記コードに関して検証される場合は信憑性コードが上記第３データクステムに 与えられるように、或いはこれに代って、上記カードから読取られたデータから 読取られたデータから得られるデータが上記第３記憶記憶手段に記憶された検証 用ア／％／：Ｉ−リズムを用いることによシ上記コードに関して検証されない場 合は非信憑性コードが第３データシステムに与えられるように、上記データ入力 手段と第３記憶手段により制御され、上記カードおよびコードから読取られたデ ータから生じるデータを比較する。

３つ以上のデータシステムと通信する装置の本発明の上記実施例によると本装置 は、上記のように、第３暗号化手段からなると都合良く、第３暗号化アルゴリズ ムが更に上記第３記憶手段に記憶され、上記第３暗号化手段は、もし上記カード が上記第３データシステムに属するカードとして識別されるなら、上記カードお よびコードから読取られたデータから得られるデータが、上記比較手段での上記 データおよびコードの比較以前に、上記第３記憶手段に記憶された第３アルゴリ ズムを用いることによシ、第３暗号化手段で暗号化されるように上記データ入力 手段および第３記憶手段によシ制御される。

上記本発明の実施例は更に、データ搬送カードから読取られたデータから生じる データを受信し、且つ上記データシステムのそれぞれに属するカードとして、或 いは上記データシステムのいずれにも属さないカードとして上記カードを確実に 識別するカード識別信号を発生する識別手段からなる。本発明のこの実施例によ る装置は上記カードから読取られたデータに基づいてカード識別信号を発生する ので、誤った暗号化ア）ｖｆ９ズム或いは誤った暗号化手段を用いることにより データおよびコヒーレントコードが暗号化されるモードに装置を制御する可能性 は低減される。

１方、上記本発明の実施例は、上記識別手段の代シに、簡単な手動操作スイッチ ング手段からなシ、このスイッチング手段は、装置に個人信憑性コードを入力し ようとしているカード所持者により簡単に付勢されるものである。

上記カード保持者は、上記スイッチング手段を誤って付勢することにより、装置 を、上記保持者によυ入力されたカードおよびコードから読取られたデータが、 これ等Ｏデータおよびコードが低秘密性および低安全性データシステムに属する かのように、処理されるモードに切換えるが、ｔｆｃ上記データおよびコードは 実際には高秘密性および高安全性データシステムに属するが、コヒーレントなデ ータおよびコードの組合わせは、本発明による装置が非信憑性コードを与えるの で、或いはこれに代りて極端な、また十分に改良出来る条件の下では低秘密性お よび低安全性データシステムに対する信憑性コードを与えるので、低秘密性およ び低安全性データシステムによシ露出される如何なる環境下にもコヒーレントな データおよびコードの組は存在しなｈことになる。

積分識別手段からなる本発明による装置の他の実施例によると、データ搬送カー ドからデータを読取る読取り手段が更に含まれる。従りて、データ搬送カードか らデータを読取シ、データを送出し、セして／またはカードの保持者の信憑性を 検証する内蔵装置が設けられている。

本発明による装置の好まし匹実施例によれば、データシステムの装置からデータ 伝送の終了時まで、或いはカード所有者の信憑性の検証の終了まで、カードおよ び個人信憑性コードから読取られたデータを１時記憶する１時記憶手段が設けら れる。

本発明による装置をして、上記第１データシステムの中央処理ユニットで実施さ れる検証手順の結果として信憑性の検証或いは非信憑性の検証を構成する、上記 第１データシステムからの２答を受信させることを可能にするために、本発明に よる装置は更に、データシステムからデータを受信するデータ受信手段からなる 。

更に、本発明による装置は乱数発生手段からな）、この手段から発生される乱数 は１時記憶装置に記憶され、暗号化手段に、そこで暗号化されるデータと共に入 力され、更に上記第１データシステムに、それに出力されたデータと共に出力さ れる。乱数と上記データおよびコードを組合わせ、更にこの組合わせを暗号化す ることによシ、暗号化コードを破る可能性は、ランダムに発生されｆｃ数が予測 出来ない形で暗号化されたデータを変えるにつれ、更に低減される。

オンライン検証システムでは、通常、信憑性コードは、上記のように、中央処理 ユニットがオンライン検証を終了した後、データシステムの中央処理工ニットか ら装置或いは端末装置に伝送される。乱数発生手段を含む本発明による装置の上 記実施例によると、他の比較手段であって、上記第１データシステムからこの手 段に伝送されたデータと１時記憶手段に記憶された乱数を比較する他の比較手段 が設けられる。本実施例の場合、オンライン検証データシステムの中央処理ユニ ットから送出される信憑性コードは乱数によシ構成され、この乱数は暗号化され た状態のデータおよびコードと共に中央処理二二ツトに送出されている。上記信 憑性コードは、明らかにランダムに変化する乱数によシ構成されるので、データ システムの中央６埋ユニットから本装置への信憑性或いは非信憑性コードの伝送 は簡単な教科書道シ、即ち非暗号化状態で実施される。

本装置が盗聴されないようにするために、即ち、非常に高感度の電子聴取装置に よりコードおよびデータの出力を与える可能性を排除するために、更に、本装置 を放射線に、特にＸ線に露出することによシ、および／または本装置の全体を取 シはずすことによシ乱数発生手段によシ１時的に記憶された乱数およびそれに格 納された個人信憑性コードなどの本装置の構成と機能に関する詳ａを露出する可 能性を排除するために、本発明による装置は放射線不透過性で不当に妨害されず 、盗聴防止付きハウジングからなシ、このハウジングは、本発明の上記第１およ び第２実施態様に従って、少なくともデータ入力手段、入力手段、記憶手段、暗 号化手段、比較手段、１時記憶手段、他の比較手段と乱数発生手段、およびデー タ入力手段、入力手段、記憶手段、暗号化手段。

１時記憶手段、他の比較手段と乱数発生手段を、それぞれ有している。上記放射 線不透過性、混信、車線不透過性成分、磁気的および電気的し申開成分、および 機械的高力成分１例えば鉛やステンレススチーｙ板などからなるハウジングによ シ与えられる。

に本装置の電子成分を収容する鋳物が与えられ、この鋳物はセラミックまたは金 属粒子、或いはストリップなどの強力要素からなシ、上記電子成分は機械的な取 扱いを受けると上記鋳物を駄目にし、記憶手段などの本装置の活部弁を断路、破 壊するものである。更に、上記放射線不透過性、混信および盗聴防止ハウシング は光、振動、および／ｌたは衝撃検出−１ンサを有し、これ等のセンナは、技術 的に公知なように、元、振動或いは衝撃を受けた時記憶手段を消去するものでお る。

上記暗号化手段は、暗号化のためにパブリックキーが用いられ、またこの暗号化 されたデータおよびコードを脱暗号化する秘密キーが用いられるＰＫＣアルゴリ ズム（／ぐツリツクキー暗号解読法）などの秘密或いはパブリックキーを含む暗 号化アルゴリズムを実施出来るようにしであるが、上記暗号化手段はＤＥＳ暗号 化を実施するようにされ、また上記それぞれの記憶手段はそれぞれのＤＥＳ暗号 化キーからなることが好ましい（ＤＥＳ　：データ暗号化規準）。ＤＥＳはＮＨ ３（Ｎａｔｉｏｎａｌ　Ｂｔ＋ｒ＠ａ＠　ａｔ　５ｔａｎｄａｒｄｓ　）認定の 暗号化アルゴリズムであシ、これは初期パーミーテーシ、ン部と、ラウンド（ｒ ｏｕｎｄｓ　）と呼ばれる１６個の同等部分ア）ｖｆリズムと暗号解読を容易に する左手および右手部分の交換部（ｍｖｏｐｐｌｕｇ　）　ｓおよび逆初期パー ミ、チージョン部からなる。各々のラウンドでは、６４ビツトワードが４８ビツ トキーによシ制御される他の６４ビツト数によシ代替され、この他の６４ビツト 数は元の５６ビツトキーから導かれる。上記ＤＥＳ暗号化は高レベルの秘密性と 安全性を個人信憑性コードを入力するようにした本装置の入力手段は任意の種類 のものでよいが、好ましくは秘密の個人信憑性コードを入力するステップを秘密 裡に実施出来るものがよい。上記入力手段は光学的読取シ手段でｌ）、これは個 人の指紋或いは他の生物的時ｇＬｔ−読取シ、またこの光学的に、或いはその他 の方法で読取シ自在逐情報をコードに変換するように構成されている。但し、本 発明の現在好ましい実施例によると、上記入力手段は、適切なけた数或いは文字 数、或いはそれ等の組合わせを持つ個人識別コードを入力するだめの数字キーデ ートや英数字キーダート、或いは１６進キーボードなどのキーデートとして与え られる。現在好ましい実施例によると、個人識別番号は４けた１０進数である。

通常は、暗号化したデータおよびコードのデータシステムへの送出は当該データ システムに関する、またカードに関するカード保持者の信憑性のオンラーイン検 証の第１ステツグでちシ、その後金額が正しいカード保持者の口座に、またはそ れから転送される。金額を表示する数は本装置に入力されなければならず、更に 当該データシステムに伝送されなければならない。但し、金額を示す番号は他の 入力手段から暗号化手段に、そこで暗号化される予定のデータと共に入力され、 またそれぞれのデータシステムに、それに出力されるデータと共に出力されるこ とが好ましい。本装置の数字キー？−ドによυ数を入力する代シに、番号を暗号 化手段に入力するだめの個別の、或いは他の入力手段を与えることによシ、上記 数字キーが−ドが個人信憑性コード或いは個人および安全性の利点が得られる。

従りて、技術的に公知のように、表示手段によシ個人に表示される金額の代りに 、個人信憑性コードを偶然に入力することによシ第３パーティに個人信憑性コー ドを偶然に露出する危険性が、本装置に金額を入力する入力手段が本装置に個人 信憑性コードを入力する入力手段から分離される時に、低減される。通常は、伝 送されるべき金額を表示する数を受けるための個別の、或いは他の入力手段はこ の番号を与える金銭登録器などの外部装置に接続される。

本発明の現在好ましい実施例によると、本装置は更に、本装置の全体機能を制御 する制御手段からなる。本装置のマイナーなルーチン或いは機能が動作不能にな りた場合、本装置がし中断され、従ってデータおよびコードを、誤りたデータシ ステムに、および／または誤りた状態で、例えば非暗号化状態で誤って伝送する 可能性を排除するように本装置の機能を自動的に制御することが、制御手段を与 えることによシ、可能になる。

この制御装置は、本装置の内部ソフトウェアをチェックし、制御するなどの多く のチェックおよび制御Ａ・−チンの実施を可能にし、従りて大きな制御能力全音 するマイクロプロセッサ手段であると都合が良い・ 本発明の上記実施例においては、上記記憶手段はＦＲＯＭ、　（半固定記憶装置 ）によシ、或いはＲＯＭ、　（読出し専用記憶装置）によシ構成してよく、また 上記１時記憶手段はＲＡＭ（乱アクセス記憶装置）にょシ構成されると都合良く 、これは、上記のように、混信がおる場合は非常に容易に消去される。

上記識別手段および読取シ手段からなる上記自蔵式装置では、その読取シ手段は 磁気ヘッドアセンブリからなる磁気カード読取シ手段であると都合が良い。本発 明の本実施例によると、本装置は従来の磁気カードからデータを受信し、且つ読 取るようにしておる。

第３の態様によると、本発明は、少なくとも２つの異なるデータシステムと通信 し、データ搬送カードから読取られたデータから得られるデータを受信し、更に カードから読取られたデータから得られるデータを上記データシステムの第１の ものに伝送し、或いはこれに代って上記データシステムの第２のものに関して上 記カードの所有者の信憑性を検証する方法を与え、この方法は、 上記カードから読出し手段によって読取られたデータから得られるデータを受信 し、 上記読取シ手段から受信されたデータに基づいて、第１データシステムに属する カードとして、第２データシステムに属するカードとして、或いはデータシステ ムのいずれにも属さないカードとして、上記カードを識別し、 個人信憑性コードを入力し、 上記カードが上記第１データシステムに属するカードとして識別された場合、上 記カードおよびコードから読取られたデータから得られるデータが暗号化ア／Ｉ ／＝／　９　、ｅムを用いて暗号化され、且つ伝送プロト′：Ｘルによシ制御さ れる第１データシステムに出力されてなる上記カードおよびコードから読取られ たデータから得られるデータの暗号化を施し、上記カードが第２データシステム に属するカードとして識別されたなら、上記カードから読取られたデータから得 られるデータが検証用アルゴリズムを用いて上記コードに関して検証される場合 は信憑性コードが第２データシステムに供給され、或いはこれに代って、上記カ ードから読取られたデータから得られるデータが検証用アルゴリズムを用いるこ とによシ上記コードに関して検証されない場合は非信憑性コードが第２データシ ステムに供給されてなる上記カードおよびコードから読取られたデータから得ら れるデータを比較することからなる。

第４の態様によると、本発明は、データ搬送カードから読取られたデータから得 られるデータを受信し、また上記カードから読取られたデータから得られるデー タを伝送し、或いはこれに代って上記データシステムの第２のものにデータを伝 送する。少なくとも２つの異なるデータシステムと通信する方法を与え、この方 法は、 読出し手段によって上記カードからデータを読出し。

上記読取シ手段から受信されたデータ基づいて、上記カードを、第１７′−タシ ステムに属するカードとして、第２データシステムに属するカードとして、或い はデータシステムのいずれにも属さないカードとして識別し、 個入信Ｐ！ｉ性コードを入力し、そしてもし上記カードが第１データシステムに 属するカードとして識別されたなら、上記カードおよびコードから読取られたデ ータから得られるデータが第１暗号化ア、１％／ｆリズムを用いて暗号化され、 且つ第１伝送プロト：２ルにより制御される第１データシステムに出力されるよ うに、或い社これに代りて、もし上記データが第２データシステムに属するカー ドとして識別されたなら、上記カードおよびコードから読取られたデータから得 られるデータが第２フルプリズムを用いて暗号化され、且つ第２伝送プロトコル によシ制御される第２データシステムに出力されるように、上記カードおよびコ ードから読取られたデータから得られるデータを暗号化することからなる。

図面の簡単な説明 本発明は以下図面を参照して説明される。

第１図は、本発明による装置の現在好ましい実施例を構広し、高秘密保持、高保 護性データシステムと低秘密保持、低保護性データシステムの２つの異なるデー タシステムと通信する顧客によシ操作出来る装置の全体にわたる斜視図であり、 第２図は第１因の装置と通信するオペレータによる操作可能な装置の全体にわた る斜視図であシ、第３図は本発明による装置の異なる３つの応用例を示した全体 にわたる図式であシ、 第４図は本発明による装置の好ましい実施例を示す図式であシ、 第５図は本発明による他の実施例の図式であり、第６図は本発明による装置の保 護モジーールの断面図で１Ｌまた 第７図はオンラインデータシステムにおける高秘密保持、高保護性暗号化、解読 の様子を示す図式である。

図面の簡単な説明 第３図の左手には、本発明による装置１０の２つの異なる適用例が示してあシ、 同図の右手には本発明による装置の他の実施例の第３の適用例が、破線ブロック で４０として示した高秘密保持、高安定性オンライン検証データシステムと共に 図示しである。

破線！ロック１２内に示した上記の第１の応用によると、本装置１０は２方向デ ータ伝送、４１１６を通して従来のキャッジ、レジスタ１４と交信する。更に、 このキャッジ、レジスタ１４はデータ伝送線２ｏを通していわゆるバックオフィ スコンビ、−夕１８に接続される。このパックオフィスコンビ、−夕１８では、 キャッジ、レジスタ１４の情報は、第３図に示したキャッジ、レジスタ１４に対 応する他のキャッシュレジスタの情報と共に登録される。このパックオフィスコ ンピュータ１８と個別キャッシュレジスタ１４は、ビジネス用コンビーータ分野 では公知のように、オンツインの、オフラインの、或いはセンオンラインのデー タシステムを共に構成する。

上記装置１０は各種カード発行機関によシ発行される磁気、機械読出し可能カー ドを受けるようにされる。ブロック１２の上部右隅には、３つの異なるカード発 行機関ＤＫ、ＸＸ及び■によ）それぞれ発行されたカードを示すそれぞれ２１． ２２．および２３で示した３枚のカードが図示しである。２１で示されたＤＫカ ードは高秘密保持、高安定性、オンライン検証データシステム４０に属するカー ドであシ、２２の豆カードは会社が発行したカードであシ、キャッジ、レジスタ １４およびバックオフィスコンピュータ１８からなる。２３で示した買カードは ダイナーズクジブカード（Ｄｉｎ＠ｒ’ｓ　Ｃ１ｕｂ　Ｃａｒｄ　）やニー四カ ード（Ｅｔｌｒｏ　ｅａｒ４）などのクレジットカード発行機関によシ発行され たカードであシ、或いは２２、で示された豆カードを発行する会社に基本的に対 応する会社によシ発行されたカードである。１方、りで示した買カードは２１で 示し九ＤＫカードに対応し、即ちカード２３は第３図に示したデータシステム４ ０に基本的には同等の高秘密保持、高安定度オンラインデータシステムに属する 。

上記装置１０ｉｔ＆ツクス２５を通してデータシステム４０に接続され、この２ ツクスは主電源部を有し、これはまた電力を装置１０およびモデム（変調器／復 調器）に供給する。この電源がツクス２５は、装置１０に電力を与える以外に、 ２６で示した双方向データ伝送線（二重或いは半二重伝送）ｆ：通して装置１０ と接続する。この？ツクス２５は公衆電話回線などのデータ伝送線２８を通して データシステム４０に接続され、この伝送線はインタフェース（回路〕を通して データ伝送回路網３０に接続され、この回路網においてはモデム２５および装置 １０からの非同期式伝送が同期二重伝送（伝送プロトコルｘ２１）にコンパイル される。

第３図の左手側下部には、本装置１０の第２の適用例が破線ブロック３２内に示 してちる。破線ブロック１２内に示した第１適用例に示したように、装置１０は 、データ伝送線２６、がツクス２５、電話線２８、および伝送網３０全通して、 第３図の右手側上部に示した高秘密保持、高安定性オンライン検証データシステ ム４０と通信する。装置１０は更に、データ伝送線３４を通して、バックオフィ スコンビ、−夕１８に連絡し、このコンピュータは更に、データ伝送線３６を通 して道路側ガソリンポン７”３８に接続される。装置１０は、ＤＫカード２１と は別に、２４で示したｚｚカードを受けるようにしておる。上記ｚｚカード２４ は給油所や導路側ガソリンポンプ３８％およびパックオフィスコンビ、−夕１８ を扱りているガソリン会社が発行したカードである。

第１．４，６．および７図を参照して以下に詳細に説明される装置ｌＯは、カー ド２１〜２４の１つを受けるスロット４２と表示装置４４、ンよび参照番号４８ によシ示された４個の制御キーと共に保護モジー−）％１５０に含まれる数字キ ーノード４６とからなる。

第３図の右側下部には、本発明の他の実施例で用いられる装置の第３の適用例が 破線ブロック４１内に示しである。破線ブロック３２内に示した上記第２実応用 例と同様に、破線ブロック４９内に示された本発明による装置は、データ伝送線 Ｊ６．＆ツクス２５、電話回線２８、および伝送網３０を通して第３図の右側上 部に示した高秘密保持、高安全保護オンライン検証データシステム４０と連絡す る。データ伝送線３６を通して、装置４９は道路側ガソリンポンプ３８と連絡す る。基本的には、装置４９は、パックオフィスコンピュータ１８と通信する保護 モジュール５０と連絡する。参照番号４８によシ示された上記４つの制御キーは 装置４９にも含まれ、またバックオフィスコンビーータ１８に連絡する。表示装 置４４およびカードリーグのカード受は溝４２もパックオフィスコンビーータ１ ８と連絡し、このコンピータはまた受領プリンタ４７と連絡する。

第５．６．および７図を参照して以下に詳述される装置４９は道路側ポストに収 容され、このポストは更に購入されたガソリンの支払用の請求書或いはメモを受 けるようにしておる。第３図の右手側下部に示した装置４９は、１つ以上の個別 成分が遠隔配置される装置に修正可能なことをここで注意しておく。

このようにして、上記バックオフィスコンビーータ１８は他方では第３図の左手 側下部に示した形のコンピュータとして用いられる。しかし、本発明の概念は、 ガソリン会社のデータシステムなどの高秘密保持、高安全保護性オンラインデー タシステムおよび低秘密保持、低保護データシステムと通信する装置を与えるこ とを可能にし、上記のデータシステムはパックオフィスコンビーータ１８からな シ、このデータシステムにおいては、上記カード、例えば上記カード２２，２３ ．或いは２４の１つから読取られたデータが、保護モジュール５０へのデータの 提示或いはその何等かのオフセット以前にパックオフィスコンピュータ１８内で 処理され、上記モジュールにおいては、上記カードから読取られたデータから得 られるデータ、即ちパックオフィスコンビー−タ１８から与えられる上記データ 自身酸いはその任意のオフセット量が、以下に説明するように、当該カードの保 持者或いは顧客によシ数字キーが−ド４６によシ入力されるＰＩＮコードに比較 される。

破線ブロック１２内に示した第１芯用例においては、キャッジ、レジスタのオペ レータは顧客が購入予定の個別商品の個別価格をキャッジ、レジスタ１４に入力 する。全価格をキャッジ、レジスタに入力した後、キャッシュレジスタのオペレ ータはキャッシュレジスタに総額を計算させ、この総額はデータ伝送線２０を通 してパックオフィスコンピュータ１８に出力され、またデータ伝送線１６を通し て装置１０に出力され、またその表示装置４４に表示され、１方上記キヤツシユ レジスタオペレータは上記価格をキャッシュレジスタ１４に入力しており、カー ド２１，２２．或いは２３の所有者は装置１ｏのカード受はスロット４２ｔ−通 して磁気カードを移動させる。これによシ、カードに記憶されたデータが装置に 入力される。これ等のデータから、カード識別データ或いはカード識別信号が導 かれ、この信号は上記カードをＤＫカード、ＸＸカード、ＴＹカード。

或いはこれ等のカテゴリーのいずれにも属さないカードとして識別し、これ等の カードはいずれも装置１０に受容可能である。顧客はまた、上記個人識別番号（ ＰＩＮコード）を装置に、即ち保護モゾーール５０に、キー？−ド４６により入 力する。このＰＩＮコードは秘密コードで６Ｄ、Ｉｉ客のみが知るものでちる。

もし実際のカードが夏カード、即ち当該会社により発行されるカードなら、装置 １０は、以下に説明するように、上記カードに関して、従って会社、或いはデー タシステム、即ちパックオフィスコンピュータ１８に関してカードの所有者の信 憑性のオフライン検証を実施する。顧客或いは豆カード２２の所有者の信憑性が 検証された場合、装置１０はデータ伝送線１６を通してキャッジ−レジスタ１４ に、更に７’−夕伝送線２０ｆ、通してパックオフィスコンピュータ１８に信憑 性コードを出力する。顧客は正当なカード保持者として識別されているので、キ ャッシュレジスタで計算された金額はパックオフィスコンビーータ１８に転送さ れ、また顧客の口座に記入される。しかし、先ず顧客は、次に説明するように、 キー４８の間で適当なキーを付勢することにより表示装置４４に表示された金額 を受けようとする。豆カード２２の所有者の信憑性が検証されないと、装置１Ｇ はデータ伝送！１１６を通して非信憑性コードをキャッジ、レジスタ１４に出力 する。この場合、顧客ハ、パックオフィスコンビ、−タ１８に金額を転送し、ま た実際のカード２２に対応する口座にその金額を登録することにより商品を購入 することは許容されない。

第３図の下部左手側の破線ブロック３２内、および第３図の下部右手側の破線ブ ロック３２内に示した、それぞれ、装置１０シよび装置４９の第２および第３の 応用例によると、カード所有者の信憑性はそれぞれ、その個人がｚｚカード２４ を用いる時はパックオフィスコンピュータ１８’ｉ含むパックオフィスコンピュ ータシステムに関して、或いはその個人が、ガソリンボン７’３ｇが電源を投入 される以前は、ＤＫカード２１を用いた時は破線ブロック４０内の第３図の上部 右手側に示したオンライン検証データシステムに関して検証されなければならな い。このオフラインｔたはオンライン検証の場合は、購入予定のガソリン駄に対 応して、金額のゼ四デフオールド値（ｚｅｒｏ　ｄ＠ｆａｕｌｔ　ｖａｌｕｅ　 ）が用いられる。もし、カード所有者の信憑性がｒ−タカードに対応するデータ システムに関して検証されていると、個人はガソリンおよび／または他の商品を 購入出来、それ等の商品の価格は、図示してないが、基本的にはバックオフィス コンビ、−夕１８と通信する上記キャッジ集レジスタ１４に対応するキャッシュ ｌ／ジス２機能によυ登録される。

顧客が、破線ブロック１２，３２．および４１内に示したｚ用でＤＫカード２１ を用する場合、上記カードから読取られたデータは保護モジュール５０に提出さ れ、第７図を参照して次に詳述するように、キャッシュレジスタ１４から装置に 入力された金額、および数字キーノード４６によシ顯客によりて入力されたＰＩ Ｎコードと共に上記保護モジュールで暗号化され、ｔた暗号化された状態でがツ クス２５に出力され、更に公衆電話回線２８を通して伝送され、上記のデータは １図示してないが、伝送網３０全通してコンパイルされ、更に破線ブロック４０ 内の第３図の右手側の上部に示したオンライン検証データシステムに入力される 。

ここで第７図に戻ると、本発明による装置ｌＯお゛よび装置４９の保護モジ、− ル５０が図の上部に示してあシ、また破線ブロック４０は、同図の下部に示した 高秘密保持、高保護、オンライン検証データシステム上水している。第７図は、 基本的には、　ＤＫカード２１の所有者の＠憑性金検証する％読ルーチンが実施 されるデータシステム４０への保護モジ。

−ル５０からのデータ転送以前に、上記保護モジ。

−ルで実施される暗号化ルーチンを示すものである。

上記のように、ＤＫカード２１はカード識別データを有し、更に個人検証コード （ｐｖｃ　）を有する。ブロック５１、即ち本装置のカード読取り手段では、ｐ ｖｃコードおよびカード識別データがカードから与えられる。カード所有者は、 上記のように、数字キーぎ一ド４６によシＰＩＮコードを入力する。このＰＸＮ コードは暗号化ブロック５２に入力され、そこでＰＩＮコードは第１暗号化キー Ｋｌ　ｆ：用いて暗号化される。

４８で示した上記制御キーは個人により活性化されるので、全金額は、ＬＬ顧客 が既に全額ｔ−認めているのなら、転送され、もし認めてないなら、全額Ｂの上 記ゼロデフオールド値が転送される。乱数発生装置５３では、乱数ＴＴが発生さ れる。この乱数ＴＴ。

ブロック５１から与えられるＰＶＣコード、制御キー４８から転送される全金額 Ｂ、およびブロック５２で発生される暗号化ＰＩＮコード［ＰＸＮ］　Ｋ、が第 ２暗号化ブロック５４に入力され、第２暗号化キーに１を用いて暗号化される。

保護モ？）、−ル５ｏは％１つの、および同一のオンラインデータシステムと通 信する複数個のモｙ、−ルのうちの単一のモジ−一ルなので、保護モジ、−ル識 別番号が、暗号化ＰＩＮコード［ＰＩＮ″１Ｋ１ｅ全数Ｂ　、　ＰＶＣコード、 および乱数ＴＴの第２暗号化キーバーー／、ン、即ちＣ（ＰＩＮＩ　Ｋｌ　＋Ｂ 　＋　Ｐｖｃ　＋　ＴＴ　］　Ｋ　、と共に通常通１）モー）、−ｗｈ。

ブロック５９から送出される。

上記のように、ｐｖｃコード、ＰＩＮコード、金額Ｂ。

および乱数１丁は装置１０からボックス２５へ暗号化した状態で出力され、また 公衆電話回線２８を通して、データコンノクイラを通して（回路）、更にデータ 伝送網３０を通して、高秘密保持、高保護オンツイン検証データシステム４０に 入力される。データシステムの第１ブロツクにおいて、暗号化キーに３に対応す る解読キーを用いて上記データが解読される、乱数胃、　ｐｖｃコード、および 金額Ｂが第１解読ブロツク５５から出力され、分離ブロック５６に入力される。

このブロック５６では、ＰｖＣコードと乱ａＴＴが金額Ｂから分離され、この金 額Ｂはブロック５７に出力されて、更に口座レジスタ等に送られ、１万ＰｖＣコ ードと乱数ＴＴは他の分＠ｆロック５８に入力され、ここではＰｖＣコードと乱 数τＴが互いに分離される。ＰＩＮコードが暗号化状態でブロック５５から与え られ、第２解読ブロツク５９に入力され、ここで上記暗号化ＰＩＮコードが暗号 化キーに！に対応する解読キーによシ解読される。解読されたＰＩＮブードがブ ロック６０に入力され、ここでＰＩＮコードとＰｖＣコードが結合される。ＰＶ ＣコードはＰＩＮコードのＤＥ８　（データ暗号化標準）ｗｆ号を含むので。

これ等のコードの実際の組合わせはＤＢＳルーチンを用いて行われる。ブロック ６０からｐｖｃｖコードがブロック６１に出力され、ここで認定済みの、或いは 正当なカードに対応するＰＣＶＣコードが記憶される。

もしＰＶＣＶコードがｐｖｃｖコードファイル６２に含まれるなら、「イエス」 がダート６３に出力され、このダートは乱数ＴＴをモゾ、−ル５０に、カードに 関しての、およびオンライン検証データシステム４０に関してのカード所有者の 信憑性を検証する信憑性コードとして、即ち、法的に正当な、認定されたカード 保持者として、再送出する。もし、ブロック’６０から出力されたＰＶＣＹコー ドがＰＶＣＶブードファイル６２に含まれないなら、照合ブロック６１はゲート ６４に「ノー」を出力し、このｆ−）は非信憑性コードを出力する。上記のコー ド、即ち、データシステム４０から送られた信憑性コード或いは非信憑性コード は保護モノ、−ル５００ａ合ブロック７７の乱数発生装置５３によシ発生された 乱数買に照合される。照合ブロック７７（Ｄ照合結果は出力端末装置７８に出力 され、この端末装置は更に適切なインタフェースを通して装置１０の表示装置４ ４に接続されている。

ここで第３図に戻ると、その右手側の上部にはデ−タシステム４０の上記オンラ イン検証を示すフロー図が与えてちる。データシステム４ｏが装置１゜および装 置４９に対応する装置或いは多くの端末装置と通信すると、第１解読ブロツク５ ５は更に個別装置の個別暗号化キーに対応する個別キーを含むキー７アイル６５ と通信する。第３図には、第７図にも示されたｒ−）６３および６４が出力ブロ ック６６に含まれ、このブロックの出力は装置１０に信憑性或いは非信憑性コー ドを与えるデータ伝送網３０に接続され、またこのブロックは分離ブロック５６ から得られる乱数買と共に照合ブロック６１から「イエス」または「ノー」を受 信する。第３図には他の出力ブロック６７が含まれ、これは第７図に示しである ブロック５７を含み、更に照合ブロック６】から「イエス」或いは「ノー」を受 信する。この出力ブロック６７は個別外部ブロック６８．６９゜または７０と連 絡する。上記ブロック６８〜７ｏの各々は銀行のコンビ、−タシステムでチ）、 このシステムは出力ブロック６７からアドレスされる。１方、これ等のブロック の成るものは■カード２３を発行する機関のようなりレジットヵード発行機関が 所有するコンピュータでありてもよい。このようにして、　ＹＹカードは高秘密 保持、高保護性オンツインデータシステム４０を補助するものであシ、このシス テムは実際には、カードに関しての、また従りてクレジットカード発行機関に関 しての買カード２３所有者の信憑性の検証を行うものである。

第４図には、本発明による装置１０の一般的概略図が示しである。この装置１ｏ は実線ブロック７２内に収容されている。このブロック７２内には、上記保護へ ウジング５ｏが配置される。第４図には、上記カード受はスロット４２が示され 、また磁気ヘッドアセンブリ４３が、上記カード、即ちカード２１〜２４の１つ がスロット４２全通して移動されると、そのカードの磁気ストリップに上記アセ ンブリが当接するように、スロットに近接して配置される。磁気ヘッドアセンブ リ４３は第１マイク冒グロセツサ７３に信号を出し、このマイクロフロセッサは 以下の説明から明らかなように装置の外部機能を制御する。

上記第１マイクロ７’ｏセツサ７３は更に、表示装置４４に接続され、この表示 装置は、キャッジ−レジスタ１４から或いはバックオフィス；ンピ、−タ１８か ら受信された金額を表示するために用いられ、或いはカードに関する、従りてそ れぞれオフラインデータシステムおよびオンラインデータシステムに関するカー ド所有者の信憑性のオフライン検証の結果を、或いはオンツイン検証の結果を表 示するために用いられる。更に、第１マイクロプロセツサ７３は、それぞれ、第 １および第２出力／入力手攻７４と７５に接続され、それ等と通信し、これ等の 手段は、それぞれ、オンラインおよびオフラインデータシステムと、即ち、それ ぞれデータシステム４０およびバックオフィスコンピュータ１８或いハキャッシ ーレジスタ１４と通信する。

保護モジュ・−ル５０の中央には、第２マイクロプロセツサ７６が配置され、こ れはインタフェース７９を通して第１マイクｐグロセツサ７３と通信する。保護 モジュール５０内では、回路８０がＤＥＳ暗号化アルゴリズムを含んでいる。更 に、上記第２マイクロプロセツサ７６は上記乱数発生装置５３と、第７図を参照 して上に論じたオンライン暗号化プログラムを含むＦＲＯＭ　（半固定記憶装置 ）およびＲＡＭ（乱アクセス記憶装置）８３と通信し、これ等の記憶装置には、 磁気ヘッドアセンブリ４３と第１マイクロプロセツサ７３によシデータ搬送カー ド、即ちカーＦ２１〜２４の１つから読取られたＰＶＣコードが、数字キーボー ド４６により顧客によυ入力され７’ｃ　ＰＩＮコード、乱数発生装置５３によ シ発生された１ｆｉＴ？、更にギヤッシュレノスタ１４から、或いはバックオフ ィスコンピュータ１８から第２人力／出力手段７５を通して入力された金額Ｂと 共に１時的に記憶される。安全モジュー／Ｌ−５０は更にキーストア或いはＲＡ ！ｉ［８４からなシ、これには、第７図により上に説明したように、高秘密保持 、高保護オンライン検証データシステム４０への伝送のためのＰｖＣコード、Ｐ ＩＮコード、金額Ｂ、および乱数１丁の暗号化に含まれる暗号化キーが記憶され る。更に、２つのＢＲＤＭ８５およびＳ６が含まれ、これ等は、カードに関する 、例えば第３図に示した豆カード２２或いハｚｚカード２４に関する対屯するカ ードの所有者の信憑性のオフライン検証のための検証用アルゴリズムを記憶する 。上記ＲＡＭ　８３および８４は、実際には非持久記憶装置であるが、外部電源 から付勢され、更には電池電源８７によりバックアップされる。従って、本装置 から外部電源が断路されると、本装置の非持久性ＲＡＭはバックアップ用蓄電池 電源８７から給電される。但し、このバックアップ用蓄電池電源８７は更に、人 が保護モジュール５０に侵入しようとする場合は、好ましくはこの保護モノー− ルの全回路に接続された機械的振動或いは衝撃センサまたは光検出器を通して、 侵入が意図される場合、正しくない極性の過電圧又は電圧を回路に印加すること によシその回路が破壊されるように侵入が意図される場合は、ＲＡＭ　８３およ び８４を消去するようにしである。

第５図には、不発明による装置４９の一般概略図が示しである。この装置４９は 、基本的には、キー？−ド４６、参照番号４８によシ示されるキー、出力／入力 手段７４を通して高秘密保持、高保護性オンラインデータシステムと通信し、更 に参照番号４８によシ示された上記４つのキーによシアドレス可能なパックオフ ィスコンピュータ１Ｂと通信する第１マイクロｆ０セツサ７３とを含む上記保護 モジュール５０からなる。上記パックオフィスコンピュータ１８は更に表示装置 ４４、磁気ヘッドアセンブリ４３％および受入れプリンタ４７と交信する。第４ 図には、カードから読取られるデータが第１マイクロプロセツサ７３に直接入力 され、このデータは先ず、第５図に示した装置４９のパックオフィスコンピュー タ１８で処理される。上記カードが、第１データシステムに属するカードとして バツクアツ！コンビーータ１８によシ識別された場合、このパックオフィスコン ビーータ１８はカードから読取られたデータを処理し、例えばオフセットし、ま たこのデータの処理された或いはオフセットされたものをｊｌｉ１マイクログロ セッサ７３に、更に保護モゾユー〃５０に与えられる。１万、パックオフィスコ ンピュータＩＳが上記カードをデータシステム自身、即ちバックオフィスプンピ ーータ１８を含むデータシステムに属するカードを識別しない場合は、上記カー ドから読取られるデータは更にマイクロプロセッサ７３に転送され、また保護上 ジューＡ’５０に入力される。

上記１０および４９．およびそれ等の保護モジュール５０は次のように機能する 、上記のように、磁気ヘットアセンブリ４３によυ上記カードから読取られたデ ータは上記カー＃Ｐｆ：、第１データシステムに属する、即ち高度秘密保持、高 度保護オンライン検証データシステム４０に属するカードとして、パックオフィ スコンビ、−タシステム１８に属するカードとして、或いは２′）のデータシス テムのいずれにも属さないカードとして識別する６もしカードが第１マイクロ７ ’＋：ｌセッサ７３によプ、或いはパックオフィスコンビ、−夕１８によ）、第 ２データシステムに属するカードとして識別されていると、上記のデータ、或い はその、上記オフセット或いは処理されたデータが第１１イクロゾμセツサ７３ からインタ７工−ス７９全通して保護モジュール５０に入力され、更に第２マイ クロプロセツサ７６に入力され、またＲＡＭに一時記憶される。上記のように、 カード所有者は数字キーボード４６によシＰＩＮコードの入力が許容され、ｔた とのＰＩＮコードは数字キーノード４６から第２マイクログロセツサ７６に出力 され、更にＲＡＭ　８３に１時記憶される。第１￥イクログロセツサ７３が上記 カードをオフラインデータシステム１８に属するカードとして識別していると、 第２マイクロプロセツサ７６がＦＲＯＭ８５ｔ−アドレスし、ＦＲＯＭ　８５に 記憶された！ログ２ムによシ、また、必要に厄じて、ストア８ｏに記憶されｆｃ 、ＤＥ８９号化ア）ｖｆリズムを用いることによシ制御されるＲＡＭ８３に記憶 されたＰＩＮコードおよびデータのアルゴリズム照合を実施する。この照合或い は信憑性検証の結果は「イエス」か「ノー」のいずれかであシ、この−スフ９に 出力され、第１マイクロプロセツサ７３に入力され、このマイクロプロセッサは 信憑性或いは非信憑性コードを、第４図に示したオフツイン検証データシステム への、或いは第５図に示したバックオフィスコンビーータ１８への、そして更に 、或いはカード所有者に結果を表示する表示装置４４への第２人出力手段７５に 出力する。

もし上記カードが高秘密保持、高保護データシステム、即ちオンラインデータシ ステム４ｏに属するカードとして識別されるなら、マイクロプロセッサ７６は乱 数発生装置５３をアドレスし、このａ数発生装置は乱数ＴＴをマイクロプロセッ サに出方し、この乱数ＴＴは更にＲＡＭ　８３に１時記憶される。カード所有者 によシ購入される予定の商品などの金額を表わす数が第２人出力手ＩＱ７５ｔ− 通して入力され、更に第１マイクロプロセッサ７３ｔ−通してインタフェース７ ９に送出され、またこれから第２マイクログロセツサ７６に出力され、そしてＲ ＡＭ　８３に入力され、記憶される場合、　ＰＸＮコード、ＰｖＣコード、乱数 ＴＴ、および金額Ｂが、第４図を参照して上に説明したように、第２マイクログ ロセツサ７６によシ、ストア８０に記憶されたＤＥＳ暗号化アルゴリズム、およ びＦＲＯＭ　８２の暗号化！四グラムによシ制御されるキーストア８４に記憶さ れたキーによシ暗号化される。暗号化プロセスの結果は第２マイクロプロセツサ ７６からインタフェース７９を通して第１マイクロプロセツサ７３に出力され、 それから第１人出力手段７４全通して高秘密保持、高保護性オンライン検証デー タシステム４０に転送され、ここで上記データに関するＰＩＮコードの検証が、 第７図を参照して説明されたように、実施される。このオンライン検証データシ ステム４０から、第１人出力手段７４は信憑性検証の結果、即ち信憑性コード或 いは非信憑性コードを代表する乱数ＴＴｔ受信し、これは第１マイクロプロセツ サによυ保護上ジュール５０のインタフェース７９に送出され、更に第２マイク ロプロセツサ７６に送出される。この第２マイクロプロセッサ７６で上記結果、 即ち、信憑性コード或いは非信憑性コードがＲＡＭ　８３に記憶された乱数ＴＴ と照合される。上記オンライン信憑性検証の結果が信憑性コードの場合、即ち、 乱数ＴＴがデータシステム４０から装置ｌＯに送出されている場合は、第２マイ クロプロセツ？７６が、インタフェース７９を通して、第１マイクロプロセツサ ７３をアドレスし、これは更にその結果、即ち認定結果を第４図に示したように 表示装置４４に表示し、或いはその結果を第５図に示したようにバックオフィス コンピュータ１８に表示し、これは更にその結果を表示装置４４に表示する。非 信憑性コードがデータシステム４０から装置１０に送出されている場合は、第２ マイクロプロセツサ７６は、上記コードをＲＡＭ　８３に記憶された乱数ＴＴと 照合することによシ、信憑性検証が上記カードに関してカード所有者の非信憑性 をもたらしているか否か全開らかにする。従りて、第２マイクロプロセツサ７６ はインタフェース７９を通して第１１イクログロセツサ７３をアドレスし、この 第１マイクログロセツサ７３はその結果を、即ち非認定結果を第４図に示したよ うに表示装置４４に表示し、或いは第５図に示したようにパックオフィスコンビ ーータ１８にその結果を与え、このコンピュータはその結果を表示装置４４に表 示する。第１マイクロプロセツサ７３が上記オンライン信憑性検証の結果の表示 を第４図に示したように第２マイクロプロセツサ７６によ多制御された、或いは 第５図に示したように、パックオフィスコンビ、−タ１８によ多制御された表示 装置４４に与えると、第１マイクロゾロセツサ７３は更にそれぞれの信憑性また は非信憑性コードを、それぞれ第２人出力手段７５或いはデータ伝送線３６ｆｃ 通してオフラインデータシステムに出力する。

本発明の概念は、ＰＩＮコードが高秘密保持、高保護性暗号化モードにある保護 モジュール５０から高秘密保持、高保護性データシステムのみに出力される時、 本装置を、ＰＩＮコードが暗号で示さない形で偶然に或いは誤って表わされるモ ードに制御することを不可能にすることが強調される。

第４図および５図に示した、上記制御キー４８はそれぞれＢ　、　Ｃ、ＣＥ　、 およびＡＣとして表わされる。

顧客は、彼のカードをカード受はスロット４２を通して移動させた後、キーＣ、 ＣＢ　、およびムＣを動作させる。ＣＥ（略語＝「クリアエントリ」）と表わさ れたキーは、キーぎ−ド４６によシＰＩＮコードを入力しながら、ＰＩＮコード の単一数字を顧客がクリアすることを可能にする。Ｃと表わされたキー（略語： 「クリア」）は装置に１時記憶されたＰＩＮコードおよび他の任意のデータ、即 ちデータ搬送カードから読取られたデータ、また乱数発生装置によシ発生された 乱数を顧客がクリアすることを可能にする。ＡＣと示されたキー（略語：「アク セプト」）は、正当なカード所有者として、データシステム４０に対してオンラ インまたはオフラインのいずれか、またはパックオフィスコンピュータ１８とし て顧客の検証以前に、また金額が顧客に対して表示装置４４に表示された後に、 顧客によシ活性化される。キーＡＣを活性化したら、カード保持者は、第３図に 示した銀行のレジスタ６８．６９．または７０が、第３図に示したバックオフィ スコンピュータ１８の口座に、カード所有者の認定後、金額が表示装置４４に表 示されることを受容する。Ｂと示されたキー（略語：「バランス（残高）」）は ５個人により、例えばキャシュレジスタオペレータ、或いは給油所の職員ニよシ 活性化され、これ等の人達はカード受はスロット４２を通して移動させるバラン スカードを持ち、上記の活性化はこの移動に従って行われる。上記のスロットに よシ、バランスカードに登録されているデータは磁気ヘッドアセンブリ４３によ ＃）読取られ、また第１マイクロプロセツサ７３およびインタフェース７９を通 して第２マイクロプロセツサ７６に入力され、その際、装置は、この装置によシ 登録され。

またＲＡＭ　８３内に記憶された全金額を表わす累積和かそれから出力され、ま たマイクロプロセッサ７６、インタフェース７９．マイクロプロセッサ７３、お よび第２人出力手段７５を通してパックオフィスコンピュータシステム１８に出 力されるモードにもたらされる。

第１図には１本発明による装置１０の現在好ましい実施例の全体にわたる斜視図 が示しである。装置１０は、保護モジュー／ｌ１５０を収容し、支承する外部ハ ウジング８内に配置収容される。第１図には、保護モジュー／Ｌ１５０のキーぎ −ド４６が４８と印した４個のキーと共に示しておる。第４図および５図から明 らかなように、参照番号４８によシ示されたキーが保護モジュール５０内に配置 されたが、これは、本発明の非トランスペアレンク、高秘密保持、高保護性の概 念に対し、上記４個のキーにより規定される機能は如何なる環境の下でも影響を 与えないので、本装置の適切な＠能実施に対して重要なものではないことをここ に言及しておく。第１図から明らかなように、装置１０は外部ハウシング部分９ からなシ、これは、キーぎ−ド４６のキーを動作させる顧客に対するプライバシ ーを与えるし申開手段を構成する。

第２因には、全体として参照番号１１４を付した装置が示してちる。この装置１ １４は第１図の装置と交信する金額レジスタ装置である。この金額レジスタ装置 １１４は基本的には、破線！ロック１２内で第３図の左手側の上部に示したキャ ッシュレジスタ１４に対応する装置を構成する。この金額レジスタ装置１１４は ハウジング１４５内に収容され、また表示装置１４４、数字キーノード１４６、 ファンクシ、ンキー１４８、更に受領グリンタ１４７からなる。上記ハウジング １４５はハウジング部分１４３によシ構成されるプリンタ用紙入れからなる。

第１図および２図には、制御キー４８と１４８が、それぞれ、デンマーク語略語 により示されている。

即ち、ム（ＤＫ）略語法では、　ａｆｍｔｅａ＋　ｍ　（ＣＢ）バランス、５ｌ ｓｔ　ａｆｔ　（ＤＫ）　＝　（ＧＢ）クリヤーオーに％５ｌｏｔ（ＤＫ）−（ ＧＢ）クリヤーエントリー、およびｇｏｄｌｃ＠ｎｄ（ＤＫ）”（ＧＢ）アク七 シトとなる。キー１４８はｒ＠ｔｔ＋ｒ（ＤＫ）謬（ＣＢ）、易ｌｅｔ　ｔｉｔ 　（ＤＫ）圀（ＧＢンクリヤーオーμ。

５ｌｏｔ　（ＤＫ）　＝　（ＧＢ）クリヤーエントリー、および１ａｄ（ＤＫ） 　−（ＧＢ）支払い総額として示される。

第６図には、保護モＳ７ユール５０の実施例の垂直断面図が与えられ、このモジ ューμは２′）の放射線不透過性、タンパ−グループ（やたらにいじれない）タ ッピングプルーフ（盗聴防止）Ａウジング部分９０と９１とからなる。これ等の ハウジング部分９０と９】は高カステンレススチール板製が好ましく、またこれ には識別記号がエツチングされ、彫刻されるか、その上に設けてちる。これ等の ２つの部分９０と９１は、それ等のリムに沿い、封止部分９２によシ互いに全体 的に封止され、この封止部分は、それぞれ、９３および９４で示したように、ハ ウジング部分９０と９１に溶接される。保護モジュール５０の上部ハウジング部 分を構成する、ハウジング部分９０の下向きの中央嵌込みには、第１＠、３図、 ４図、および５図に示したキー＆−ド４６と制御キー４８が支持用印刷回路板９ ５上に配置されている。

この印刷回路板９５０上面に配置された個別接点端子９６と９７は対応するキー ９９を押圧することによシ短絡要素９８によシ短絡されるようになっている。こ の短絡要素、例えば９８は端子９６および９７と共同し、弾性、気密、耐液性支 持膜１００に注醒される。上記２つのハウジング部分９ｏと９１内に規定された 内部空間には、放射線不透過要素、例えば鉛の板１０１が配置しである。但し、 この板１０１の上部には、これと絶縁関係にある第２印刷回路板１０２が配置し ておる。この印刷回路板１０２は、第１．３．４．５．および７図に概略図示し た保護モジー−μの実施例である電子要素１０３〜１０７などの電子要素を支持 する。印刷回路板１０２０個別トラックははんだ接続１０８などのはんだ接続部 を通し、それぞれの端子１例えば端子９６と９７に連絡する印刷回路板９５のそ れぞれのトラックに接続される。第６図の左手側には、上記印刷回路１０２がハ ウジング部分９１と９２の間に限定配置され、参照番号１０９によ）示される封 止部分９２の開口を通して導かれる。印刷回路板１０２のリードスルー接続部は 保護モジュール５０を装置ｌＯの他の構成要素に接続して、即ちその電子要素に 給電し、また第４図に示した、保護モジュー／ｌ１５０のインタフェース７９の 信号授受を目的として用いられる。ハウジング９０と９１内に規定され、印刷回 路板９５と１０２、および放射線不透過性要素、即ち板１０１との間に限定され た内部空間は高力エポキシ樹脂の鋳物１１０で充てんされ、これは回路板や放射 線不透過要素を確保し、またこれは金属ストリップ或、いはワイヤを含んでいる 。エポキシ樹脂鋳物に収容された金属ストリップ或いはワイヤは、機械的手段に よシ保護モゾー−Ｎ５０を開放しようとする場合に、上記のように、ＲＡＩｉ１ ８３と８４のデータおよびキーを消去し、且つ電子回路を破壊するために用いら れる。上記ステンレススチールハウソングはハウジング部分９０と９１、板１０ １．および鋳物１１０に収容された金属ストリッゾとワイヤとからなシ、またこ れはモジ、−ルを与え、このモジュールは更に、このモー）、　−／Ｌ／が磁気 的、電気的にし中間され、放射線不透過性モジ−一〃である時、装置を電磁放射 、特ＫＸ線に露出することによシ、または高感度電子式聴取装置によ）モジュー ｌｖ金盗聴することによシ、装置の構成や機能に関する装置の詳細を明らかセす る可能性を排除するものである。

本発明による装置の電子的実施は、マイクロｆ。

セッサ７３と７４、ＰＲＯ［ｉ［８２，８５および８６、ＲＡＭ　８３と８４、 乱数発生装置５３．ＤＥＳ回路８０などの電子的構成要素が多くの製造業者から 容易に購入出来るので、当業者にとシ明瞭な若干の方法で実現可能である。

例Ｑ 上記装置の実施に用いられたマイクロプロセッサ７３と７６はインテル社（Ｉｎ ｔ＠Ｉ　Ｃｏｒｐｏｒａｔｉｏｎ　）から市販されている８０８０形の電子回路 によシ構成され、ＦＲＯＭ　８２　、８５および８６は日立から市販されている ＨＮ　４６２７１６　Ｇ形の電子回路によシ構成され、調８３と８４は７グネテ ４ｙクス（Ｓｌｇｎｅｔｉｃｍ　）製２ｉ１４Ｌ−２形電子回路によシ構成され 、乱数発生装置５３はマイクロプロセッサ７６内のソフトウェアとして与えられ 、インタフェース７９はディローブ社（Ｚｌ　ｌｏｇ　）　’Ａ−Ｚ　−８０Ａ 　ＳＩＯ／２形回路によシ構成され、蓄電池或いはバックアップ用電源８７はリ チウム蓄電池ノクツケーノによシ構成された。ＤＥＳ　＠号化回路８０はインテ ル社製８２９４データ暗号化ユニットによシ構底された。

本発明は、図面を参照して以上に説明されたが、これに示した実施例に限定され るものではない。本発明はＤＥ８アルゴリズムによシ暗号化が行われる実施例に よシ説明されたが、他の高秘密保持、高保護性暗号化アルゴリズム、例えば／９ ブリックキーアルがリズを用いてもよい。更に、カードから読取られたデータま たはカードから読取られたデータから得られるデータが、非暗号化形式での保護 モジュールのキーボードによシ、即ちＦＲＯＭに記憶された検証アルゴリズムを 用いることＫよシ直接に入力されたＰＩＮコードに関して検証されてもよく、或 いはカードから読取られたデータの任意の処理或いはオフセットされた検証時に 検証されてもよい。更に、第４図に示した保護モジュールは％７４と７５で表わ された入出力手段が与えられて、それぞれの高秘密保持、高保護性オンライン検 証データシステムおよび低秘密保持、低保護性オフライン検証データシステムと 通信するものに修正されてもよい。本発明においてこれ全実現する場合には、コ ヒーレントなＰＩＮ高保護性暗号化アルゴリズム、キーおよびプログラムによシ 制御される高秘密保持、高保護性暗号化状態において高秘密保持、高保護性デー タシステムのみに出力され、１方、信憑性または非信憑性コードが低秘密保持、 低保護性データシステムのみに出力され、更にキーノードによ少入力されたＰＩ ＮコードまたはカードおよびＰＩＮコードから読取られたデータとこのデータか ら得られるデータのコヒーレントな組が低秘密保持、低保護性データシステムに 、如何なる環境の下でも、明らかにされることはない。

Ｆｉｇ、　７ 手続補正書（方式） ％式％ １　事件の表示 ＰＣＴ／ＤＫ　８５１０００３２ ２　発明の名称 データシステムと通信する装置および データシステムと通信する方法 ３　補正をする者 事件との関係　特許出願人 ６　補正の対象 （１）　特許法第１８４条の５第１項の規定による書面の「特許出願人の代表者 」の欄 （２）委任状 （３）明細書の翻訳文 （４）請求の範囲の翻訳文 （５）法人証明書 ７　補正の内容 （１）に）（５）別紙の通り （３）明細書の翻訳文の浄書（内容に変更なし）（４）請求の範囲の翻訳文の浄 書 （内容に変更なし） ８　添付書類の目録 （１）訂正した特許法第１８４条の５ 第１項の規定による書面　１通 （２）委任状及びその翻訳文　各１通 （３）明細書の翻訳文　１通 （４）請求の範囲の翻訳文　１通 （５）法人証明書及び訳文　各１通

Claims (25)

【特許請求の範囲】
1. １．データ搬送カードから読取られたデータから得られるデータを受信し、前記 カードを第１データシステムに属するカードとして、或いは第２データシステム に属するカードとして確実に識別するカード識別信号を受信し、更に、前記カー ドから読取られたデータから得られる前記データを前記データシステムの第１の ものに送信し、或いは前記データシステムの第２のものに対して前記カードを所 有する個人の信憑性を検証するための、少なくとも２つの異なる前記データシス テムと通信する装置であって、該装置は、 前記カードから読取られたデータから得られる前記データを受信し、且つ前記カ ード識別信号を受信するデータ入力手段と、 個人信憑性コードを入力する入力手段と、第１暗号化アルゴリズムと通信プロト コルを記憶する第１記憶手段と、 検証アルゴリズムを記憶する第２記憶手段と、前記データ入力手段と前記第１記 憶手段により制御され、前記カードが前記第１データシステムに属するカードと して識別されたら、前記第１記憶装置に記憶された第１暗号化アルゴリズムを用 いて前記カードおよび前記コードから読取られたデータから得られる前記データ が暗号化され、且つ前記第１記憶手段に記憶された前記通信プロトコルにより制 御される前面第１データシステムに出力されるように前記データと前記コードを 暗号化する暗号化手段と、前記データ入力手段と前記第２記憶手段により制御さ れ、前記カードが前記第２データシステムに属するカードとして識別されたら、 前記カードから読取られたデータから得られた前記データが前記第２記憶手段に 記憶された検証用アルゴリズムを用いて前記コードに関して検証された場合に信 憑性コードが前記第２データシステムに与えられるように、或いはこれに代って 、前記カードから読取られた前記データから得られた前記データが前記第２記憶 手段に記憶された検証用アルゴリズムを用いて前記コードに関して検証されない 場合に非信憑性コードが前記第２データシステムに与えられるように前記カード と前記コードから読取られた前記データから得られた前記データを比較する比較 手段とからなるデータシステムと通信する装置。
2. ２．他の暗号化手段と、前記第２記憶装置に更に記憶された第２の暗号化アルゴ リズムからなり、前記他の暗号化手段は、前記カードが前記第２データシステム に属するカードとして識別された時、前記カードおよび前記コードから読取られ た前記データから得られる前記データが前記比較手段でこれ等のデータおよびコ ードを比較する前に、第２記憶手段手段に記憶された第２暗号化アルゴリズムを 用いて前記他の暗号化手段で暗号化されるように前記データ入力手段と前記第２ 記憶手段により制御されてなる請求の範囲第１項に記載のデータシステムと通信 する装置。
3. ３．３つ或いはそれ以上のデータシステムと通信し、更に、他の検証用アルゴリ ズムを記憶する第３記憶手段からなり、前記カード識別信号は更に前記３つ或い はそれ以上のデータシステムの１つに属するカードとして前記カードを確実に識 別し、前記比較手段は更に、もし前記カードが前記第３データシステムに属する カードとして識別された時、前記カードから読取られた前記データから得られた 前記データが、前記第３記憶手段に記憶された検証用アルゴリズムを用いて前記 コードに関して検証された場合に、信憑性コードが前記第３データシステムに供 給されるように、或いはこれに代って、前記カードから読取られたデータから得 られる前記データが、前記第３記憶手段に記憶された検証用アルゴリズムを用い て前記コードに関して検証されない場合に、無信憑性コードが前記第３データシ ステムに供給されるように前記データ入力手段と前記第３記憶手段により制御さ れ、前記カードおよびコードから読取られたデータから得られた前記データを比 較してなる請求の範囲第１項または第２項に記載のデータシステムと通信する装 置。
4. ４．更に他の暗号化手段と前記第３記憶装置に更に記憶された第３の暗号化アル ゴリズムとからなり、前記更に他の暗号化手段は、もし前記カードが前記第３デ ータシステムに属するカードとして識別されたら、前記カードおよび前記コード から読取られたデータから得られる前記データが、前記比較手段における前記デ ータおよび前記コードの比較以前に、前記第３記憶手段に記憶された第３暗号化 アルゴリズムを用いて前記更に他の暗号化手段で暗号化されるように前記データ 入力手段および第３の記憶手段により制御されてなる請求の範囲第２項および３ 項に記載のデータシステムと通信する装置。
5. ５．前記暗号化手段が単一の暗号化手段により構成されてなる請求の範囲第２項 或いは４項に記載のデータシステムと通信する装置。
6. ６．データ搬送カードから読取られたデータから得られるデータを受け、第１の データシステムに属するカードとして、或いはこれに代って第２のデータシステ ムに属するカードとして前記カードを確実に識別するカード識別信号を受け、更 に、前記カードから読取られたデータから得られる前記データを前記データシス テムの第１のシステムに、或いはそれに代って前記データシステムの第２のシス テムに送出するための、少なくとも２つの異なる前記データシステムと通信する 装置であって、該装置は、前記カードから読取られたデータから得られる前記デ ータを受信し、且つ前記カード識別信号を受信するデータ入力手段と、 個人信憑性コードを入力するための入力手段と、第１の暗号化アルゴリズムおよ び第１の伝送プロトコルを記憶する第１記憶手段と、 第２贈号化アルゴリズムと第２伝送プロトコルを記憶する第２記憶手段と、 前記カードおよび前記コードから読取られた前記データから得られる前記データ を暗号化する暗号化手段であって、前記暗号化は、もし前記カードが前記第１デ ータシステムに属するカードとして識別されたなら、前記カードおよび前記コー ドから読取られた前記データから得られる前記データが、前記第１記憶手段に記 憶された第１暗号化アルゴリズムを用いて暗号化され、且つ前記第１記憶手段に 記憶された第１伝送プロトコルにより制御される前記第１データシステムに出力 されるように、或いはこれに代って、もし前記カードが前記第２データシステム に属するカードとして識別されたなら前記カードおよび前記コードから読取られ た前記データから得られる前記データが前記第２記憶手段に記憶された第２暗号 化アルゴリズムを用いて暗号化され、且つ前記第２記憶手段に記憶された第２伝 送プロトコルにより制御される前記第２データシステムに出力されるように前記 データ入力手段と、前記第１および第２記憶手段のそれぞれにより制御されてな る暗号化手段とからなるデータシステムと通信する装置。
7. ７．他の暗号化手段と、もし前記カードが前記第１データシステムに属するカー ドとして識別されるたら、前記カードおよび前記コードから読取られたデータか ら得られる前記データが前記暗号化手段の第１の手段で暗号化されるように前記 データ入力装置および前記第１記憶手段により制御される前記第１暗号化手段と 、もし前記カードが前記第２データシステムに属するカードとして識別されたな ら、前記カードおよび前記コードから読取られたデータから得られる前記データ が前記暗号化手段の第２の手段で暗号化されるように前記データ入力手段と前記 第２記憶手段により制御される前記第２暗号化手段とからなる請求の範囲第６項 に記載の少なくとも２つの異なるデータシステムと通信する装置。
8. ８．３つ以上のデータシステムと通信し、且つ更に、第３の暗号化アルゴリズム と第３の伝送プロトコルを記憶する第３記憶手段からなり、前記カード識別信号 が更に前記３つ以上のデータシステムの１つに属するカードとして前記カードを 確実に識別し、且つ前記暗号化手段が更に、もし前記カードが前記第３データシ ステムに属するカードとして識別されたなら、前記カードおよび前記コードから 読取られたデータから得られる前記データが前記第３記憶手段に記憶された前記 第３暗号化アルゴリズムを用いて暗号化され、且つ前記第３記憶手段に記憶され た前記第３伝送プロトコルにより制御されるように前記第３記憶手段により制御 されてなる、請求の範囲第６項に記載の少なくとも２つの異なるデータシステム と通信する装置。
9. ９．第３暗号化手段からなり、該手段は、前記カードが前記第３データシステム に属するカードとして識別されたなら、前記カードおよび前記コードから読取ら れたデータから得られる前記データが前記第３暗号化手段で暗号化されるように 前記データ入力手段と前記第３記憶手段により制御されてなる、請求の範囲第７ 項および８項に記載の少なくとも２つの異なるデータシステムと通信する装置。
10. １０．３個以上のデータシステムと通信し、且つ更に、検証用アルゴリズムを記 憶する第３記憶手段と比較手段からなり、前記カード識別信号は更に、前記３つ 以上のデータシステムの１つに属するカードとして前記カードを確実に識別し、 且つ前記比較手段は、前記データ入力手段と前記第３記憶手段により制御されて 、もし前記カードが前記第３データシステムに属するカードとして識別されたな ら、前記カードから読取られたデータから得られる前記データが前記第３記憶手 段に記憶された前記検証用あルゴリズムを用いて前記コードに関して検証される 場合は信憑性コードが前記第３データシステムに供給されるように、或いはこれ に代って、前記カードから読取られたデータから得られる前記データが前記第３ 記憶手段に記憶された検証用アルゴリズムを用いて前記コードに関して検証され ない場合は不信憑性コードが前記第３データシステムに供給されるように前記カ ードおよび前記コードきら読取られたデータから得られる前記データを比較して なる請求の範囲第６項或いは７項に記載の少なくとも２つの異なるデータシステ ムと通信する装置。
11. １１．第３暗号化手段からなり、第３暗号化アルゴリズムが更ニ前記第３記憶手 段に記憶され、前記第３暗号化手段は、もし前記カードが前記第３データシステ ムに属するカードとして識別されたなら、前記カードおよび前記コードから読取 られた前記データから得られる前記データが、前記比較手段で前記データおよび 前記コードを比較する前に、前記第３記憶手段に記憶された前記第３暗号化アル ゴリズムを用いて前記第３暗号化手段で暗号化されるように前記データ入力手段 および前記第３記憶手段により制御されてなる、請求の範囲第７項および１０項 に記載載の少なくとも２つの異なるデータシステムと通信する装置。
12. １２．前記データ搬送カードから読取られたデータから得られる前記データを受 信し、且つ前記データシステムのそれぞれに属するカードとして、或いは前記デ ータシステムのいずれにも属さないカードとして前記カードを確実に識別する前 記カード識別信号を発生する識別手段から更になる先行する請求の範囲のいずれ かに記載のデータシステムと通信する装置。
13. １３．前記データ搬送カードからデータを読取る読取り手段から更になる請求の 範囲第１２項に記載のデータシステムと通信する装置。
14. １４．前記カードおよび前記個人信憑性コードから読取られたデータを１時記憶 する１時記憶手段から更になる先行する請求の範囲のいずれかに記載のデータシ ステムと通信する装置。
15. １５．前記データシステムからデータを受信するデータ受信手段から更になる請 求の範囲第１４項に記載のデータシステムと通信する装置。
16. １６．乱数発生手段がら更になり、該乱数発生手段により発生された乱数が前記 １時記憶手段に記憶され、前記暗号化手段に、そこで暗号化されるべきデータと 共に入力され、更に前記第１データシステムに、それに出力されるデータと共に 出力されてなる請求の範囲第１５項に記載のデータシステムと通信する装置。
17. １７．比較手段であって、前記第１データシステムから該比較手段に送出された データと前記１時記憶手段に記憶された乱数とを比較する比較手段から更になる 請求の範囲第１６項に記載のデータシステムと通信する装置。
18. １８．少なくとも前記データ入力手段、入力手段、記憶手段、暗号化手段、比較 手段、１時記憶手段、他の比較手段、および乱数発生手段を収容する放射線不透 過性、耐妨害、盗聴防止用ハウジングから更になる請求の範囲第１項から５項、 および１４項から１７項のいずれかに記載のデータシステムと通信する装置。
19. １９．少なくとも前記データ入力手段、入力手段、記憶手段、暗号化手段、１時 記憶手段、他の比較手段、および乱数発生手段を収容する放射線不透過性で、不 当に移動せず、盗聴防止を施したハウジングから更になる請求の範囲第６項から １１項および第１４項から１７項のいずれかに記載のデータシステムと通信する 装置。
20. ２０．前記暗号化手段はＤＥＳ暗号化を実施してなり、また前記それぞれの記憶 手段はそれぞれのＤＥＳ暗号化キーからなる先行する請求の範囲のいずれかに記 載のデータシステムとの通信装置。
21. ２１．金額を示す数を受信する他の入力手段からなり、該数は暗号化手段に、該 手段で暗号化されるべきデータと共に入力され、またそれぞれのデータシステム に、これに出力されるデータと共に出力されてなる先行する請求の範囲のいずれ かに記載のデータシステムとの通信装置。
22. ２２．少なくとも２つの異なるデータシステムと通信し、データ搬送カードから 読取られたデータから得られるデータを受信し、更に前記データシステムの第１ のものに、前記カードから読取られた前記データから得られた前記データを送出 し、或いはこれに代って前記データシステムの第２のものに関して前記カードを 所有する個人の信憑性を検証する方法であって、該方法は、 読出し手段によってカードから読出されたデータから得られるデータを受信する ステップと、前記読取り手段から受信されたデータに基づいて前記カードを、前 記第１データジステムに属するカードとして、前記第２データシステムに属する カードとして、或いは前記データシステムのいずれにも属さないカードとして識 別するステップと、個人認証コードを入力するステップと、前記カードおよび前 記コードから読取られたデータから得られるデータを暗号化するステップであっ て、前記カードが前記第１データシステムに属するカードとして識別されたなら 、前記カードおよびコードから読取られた前記データから得られる前記データが 暗号化アルゴリズムを用いて暗号化され、また伝送プロトコルにより制御される 第１データシステムに出力されてなるデータの暗号化ステップと、前記カードお よび前記コードから読取られたデータから得られる前記データを比較するステッ プで、もし前記カードが前記第２データシステムに属するカードとして識別され たなら、前記カードから読取られた前記データから得られるデータが検証用アル ゴリズムを用いて前記コードに関して検証された場合は認証コードが前記第２デ ータシステムに与えられ、或いはこれに代って、前記カードから読取られたデー タから得られるデータが検証用アルゴリズムを用いて前記コードに関して検証さ れたい場合は非認証コードが前記第２データシステムに与えられてなるデータを 比較するステップとからなる少なくとも２つの異なるデータシステムと通信する 方法。
23. ２３．少なくとも２つの異なるデータシステムと通信し、データ搬送カードから 読取られたデータから得られるデータを受信し、且つ前記データシステムの第１ のシステムに、前記カードから読取られたデータから得られる前記チータを送出 し、或いはこれに代って前記データシステムの第２のシステムに前記データを送 出する方法であって、該方法は、読出し手段によってカードからデータを読出す ステップと、 前記読取り手段から受信された前記データに基づいて前記カードを、前記第１デ ータシステムに属するカードとして、前記第２データシステムに属するカードと して、或いは前記データシステムのいずれにも属さないカードとして識別するス テップと、個人認証コードを入力するステップと、更に、前記カードおよび前記 コードから読取られたデータから得られる前記データを、もし前記カードが前記 第１データシステムに属するカードとして識別されたなら、前記カードおよび前 記コードから読取られたデータから得られる前記データが第１暗号化用アルゴリ ズムを用いて暗号化され、且つ第１伝送プロトコルにより制御される前記第１デ ータシステムに出力されるように暗号化し、或いはこれに代って、もし前記カー ドが前記第２データシステムに属するカードとして識別されたなら、前記カード および前記コードから読取られたデータから得られる前記データが第２暗号化ア ルゴリズムを用いて暗号化され、且つ第２伝送プロトコルにより制御される前記 第２データシステムに出力されるように暗号化するステップとからなる少なくと も２つの異なるデータシステムと通信する方法。
24. ２４．前記カードから前記データを読取るステップから更になる請求の範囲第２ ２項或いは２３項に記載の少なくとも２つの異なるデータシステムと通信する方 法。
25. ２５．前記請求の範囲第１項から２１項の特徴のいずれかから更になる請求の範 囲第２２項から２４項のいずれかに記載の少なくとも２つの異なデータシステム と通信する方法。