FR 3084952 A1 20200214 FR 1858132 A 20180911 SYSTÈME POUR AUDITER DES DONNÉES DE DÉCHIQUETAGE DOMAINE Les modes de réalisation décrits ici concernent généralement un système pour auditer des données de déchiquetage. ARRIÈRE-PLAN Un dispositif de traitement de feuille de papier 10 qui trie généralement des feuilles de papier comme des billets et traite les feuilles de papier triées comme les lier et les déchiqueter en utilisant un ordinateur est décrit. Un dispositif de traitement de feuille de papier dans lequel un code d'authentification de 15 message (MAC) empêche que des informations de compte comme le nombre de feuilles de soient falsifiées est Toutefois, un papier à décrit. sécurité déchiqueter ne supérieur est niveau également de requis pour empêcher que des données traitées comme des 20 informations de compte ne soient falsifiées. Les modes de réalisation décrits ici visent à fournir un procédé d'audit pour des données traitées de feuille de papier avec une sécurité améliorée contre la falsification de données traitées de feuilles de 25 papier. Littérature Brevet 1 : JP 2007-252980 A Littérature Brevet 2 : JP 4810098 B2 BRÈVE DESCRIPTION DES DESSINS 30 La figure 1 est un schéma fonctionnel montrant une configuration d'un système de traitement de feuille de papier selon un premier mode de réalisation. La figure 2 est un schéma de configuration - 2 - montrant un exemple d'un dispositif de traitement de feuille de papier selon le premier mode de réalisation configuré comme un processeur de billet. La figure 3 est un organigramme montrant une procédure pour un traitement d'audit d'informations de compte dans le dispositif de traitement de feuille de papier selon le premier mode de réalisation. La figure 4 est un schéma de principe montrant un flux d'informations sur le traitement d'audit 10 d'informations de compte dans le dispositif de traitement de feuille de papier selon le premier mode de réalisation. La figure 5 est un organigramme montrant une procédure pour un traitement d'audit de programmes mis 15 en oeuvre dans un corps de dispositif dans le système de traitement de feuille de papier selon le premier mode de réalisation. La figure 6 est un schéma fonctionnel montrant une configuration d'un dispositif de traitement de feuille 20 de papier selon une modification du premier mode de réalisation. La figure 7 est un organigramme montrant une procédure pour un traitement d'audit d'informations de compte dans un dispositif de traitement de feuille de 25 papier selon un deuxième mode de réalisation. La figure 8 est un schéma de principe montrant un flux d'informations sur le traitement d'audit d'informations de compte dans le dispositif de traitement de feuille de papier selon le deuxième mode 30 de réalisation. La figure 9 est un organigramme montrant une procédure pour un traitement d'audit d'informations de compte dans un dispositif de traitement de feuille de - 3 - papier selon un troisième mode de réalisation. La figure 10 est un schéma de principe montrant un flux d'informations sur le traitement d'audit d'informations de compte dans le dispositif de traitement de feuille de papier selon le troisième mode de réalisation. La figure 11 est un organigramme montrant une procédure pour un traitement d'audit d'informations de compte dans un dispositif de traitement de feuille de papier selon un quatrième mode de réalisation. La figure 12 est un schéma de principe montrant un flux d'informations sur le traitement d'audit d'informations de compte dans le dispositif de traitement de feuille de papier selon le quatrième mode de réalisation. DESCRIPTION DÉTAILLÉE En général, selon un mode de réalisation, il est prévu un procédé pour auditer des données de déchiquetage incluant des premières informations de compte qui incluent le nombre de feuilles de papier traitées dans un système pour auditer des données de déchiquetage, incluant un appareil de traitement de feuille de papier qui inspecte des feuilles de papier et classe les feuilles de papier sur la base d'un résultat d'inspection des feuilles de papier. Le procédé d'audit inclut le fait d'amener l'appareil de traitement de feuille de papier à générer un premier MAC sur la base des premières informations de compte en utilisant une première clé de génération de MAC ; le fait d'amener l'appareil de traitement de feuille de papier à transmettre les premières informations de compte et le premier MAC à une première unité de calcul - 4 - qui effectue un calcul arithmétique pour un audit ; le fait d'amener la première unité de calcul à obtenir des deuxièmes informations de compte sur la base du premier MAC en utilisant une deuxième clé de génération de MAC 5 stockée dans une carte IC et appariée avec la première clé de génération de MAC ; le fait d'amener la première unité de calcul à comparer les premières informations de compte et les deuxièmes informations de compte ; et la détermination d'un résultat d'audit comme normalité 10 lorsque les premières informations de compte et les deuxièmes informations de compte comparées par la première unité de calcul coïncident les unes avec les autres, et la détermination du résultat d'audit comme anormalité lorsque les premières informations de compte 15 et les deuxièmes informations de compte comparées par la première unité de calcul ne coïncident pas les unes avec les autres. (Premier Mode de réalisation) La figure 1 est un schéma fonctionnel montrant une 20 configuration d'un système de traitement de feuille de papier 10 selon un premier mode de réalisation. Dans le mémoire et les dessins de cette demande, des éléments similaires sont désignés par des numéros de référence ou signes similaires, et leur description 25 détaillée peut être omise ou simplifiée. Le système de traitement de feuille de papier 10 est, par exemple, un dispositif d'inspection pour des institutions financières étrangères. Ici, les feuilles de papier seront décrites principalement comme des 30 billets, mais peuvent être des titres et similaires. Le système de traitement de feuille de papier 10 inclut un serveur d'un client 3, une pluralité de dispositifs de traitement de feuille de papier 4, un - 5 serveur de génération de clé 6 et une carte IC 7. Le nombre de dispositifs de traitement de feuille de papier 4 n'a qu'à être d'au moins un. Le serveur du client 3 et les dispositifs de traitement de feuille de 5 papier 4 sont connectés via un réseau 5. Le réseau 5 est un réseau local (LAN), un réseau étendu (WAN) ou similaire. Le serveur de génération de clé 6 n'est pas connecté au réseau 5. Les dispositifs de traitement de feuille de papier 10 4 (par exemple, type FS810) incluent chacun un corps de dispositif 1 et un serveur d'inspection 2. Le corps de dispositif 1 et le serveur d'inspection 2 sont connectés par l'intermédiaire d'un canal de transmission d'informations comme un câble de bus série 15 universel (USB) ou similaire. Le corps de dispositif 1 comprend des unités mécaniques incluant un dispositif d'inspection 42, des sous-contrôleurs 12 qui commandent des opérations des unités mécaniques correspondantes, et un contrôleur 20 principal 11 qui commande complètement le corps de dispositif 1 et les sous-contrôleurs 12. Un ordinateur pour effectuer des calculs arithmétiques est employé comme le contrôleur principal 11. Le contrôleur principal 11 est connecté à chacun des sous-contrôleurs 25 12 et du dispositif d'inspection 42 par un chemin de transmission (par exemple, bus). Comme expliqué ci-dessous, le corps de dispositif 1 transporte les feuilles de papier fournies une par une pour une inspection exécutée par le dispositif 30 d'inspection 42. L'inspection inclut une détermination d'authenticité et une détermination de bon état. La détermination d'authenticité consiste à déterminer si une feuille de papier est authentique (vrai billet) ou - 6 - fausse (faux billet). Si la feuille de papier est un vrai billet, la détermination de bon état est effectuée. La détermination de bon état consiste à déterminer si le vrai billet est un billet correct qui 5 peut être remis en circulation ou un billet endommagé qui ne peut pas être remis en circulation en raison de dommages et similaires. Sur la base d'un résultat de l'inspection, le corps de dispositif 1 classe les feuilles de papier en faux billets, billets corrects et 10 billets endommagés. Le corps de dispositif 1 traite les feuilles de papier pour chaque classification des billets. Par exemple, les feuilles de papier de billets corrects sont collectées et liées, et les feuilles de papier de billets endommagés sont 15 déchiquetées. Le corps de dispositif 1 fournit au serveur d'inspection 2 des résultats de traitement incluant le nombre de feuilles de papier pour chaque classification des billets comme des données traitées. Le contrôleur principal 11 inclut une mémoire (non 20 représentée) stockant une clé de génération de MAC qui génère un MAC devant être expliqué ci-dessous. Le serveur d'inspection 2 inclut un corps de serveur 21 et un lecteur/scripteur de carte à circuit intégré (IC) 22. Le corps de serveur 21 est configuré 25 par une unité de stockage dans laquelle une base de données est construite, une unité de calcul arithmétique de l'ordinateur, et similaire. Le lecteur/scripteur de carte IC 22 est connecté au corps de serveur 21 via un câble USB ou similaire. 30 Le serveur d'inspection 2 fait fonctionner le corps de dispositif 1 en donnant une instruction sur un mode de fonctionnement, surveille les conditions de fonctionnement du corps de dispositif 1, totalise les _ 7 _ données traitées sorties du corps de dispositif 1, et imprime un résultat de la totalisation. Par exemple, le serveur d'inspection 2 enregistre les résultats de traitement reçus du corps de dispositif 1 comme des 5 données traitées dans la base de données. Sur la base des données traitées enregistrées dans la base de données, le serveur d'inspection 2 gère les résultats de traitement des feuilles de papier reçues. Le serveur d'inspection 2 commande également le 10 lecteur/scripteur de carte IC 22. Le lecteur/scripteur de carte IC 22 exécute ainsi l'écriture de données vers ou la lecture de données depuis la carte IC 7, sous la commande du serveur d'inspection 2. Le serveur du client 3 inclut un corps de serveur 15 31 et un lecteur/scripteur de carte IC 32. Le corps de serveur 31 est configuré par une unité de stockage dans laquelle une base de données est construite, une unité de calcul arithmétique de l'ordinateur, et similaire. Le lecteur/scripteur de carte IC 32 est connecté au 20 corps de serveur 31 via un câble USB ou similaire. Le serveur du client 3 est connecté au serveur d'inspection 2 de chacun des dispositifs de traitement de feuille de papier 4 via le réseau 5. Le serveur du client 3 reçoit les données traitées de chacun des 25 dispositifs de traitement de feuille de papier 4 pour effectuer des calculs arithmétiques comme une totalisation. Le serveur du client 3 commande également le lecteur/scripteur de carte IC 32. Le lecteur/scripteur de carte IC 32 exécute ainsi 30 l'écriture de données vers ou la lecture de données depuis la carte IC 7, sous la commande du serveur du client 3. Le serveur du client 3 a fondamentalement la même - 8 fonction que celle du serveur d'inspection 2 de chacun des dispositifs de traitement de feuille de papier 4 et reçoit toutes les informations nécessaires comme des données traitées en provenance du serveur d'inspection 5 2. Ainsi, un opérateur peut effectuer toutes les opérations sur le serveur du client 3 au lieu d'effectuer une opération (par ex. gestion ou audit de données traitées) sur le serveur d'inspection 2. Le serveur de génération de clé 6 inclut un corps 10 de serveur 61 et un lecteur/scripteur de carte IC 62. Le corps de serveur 61 est configuré par une unité de stockage, une unité de calcul arithmétique de l'ordinateur, et similaire. Le lecteur/scripteur de carte IC 62 est connecté au corps de serveur 61 via un 15 câble USB ou similaire. Le serveur de génération de clé G commande également le lecteur/scripteur de carte IC 62. Le lecteur/scripteur de carte IC 62 exécute ainsi l'écriture de données vers ou la lecture de données depuis la carte IC 7, sous la commande du 20 serveur de génération de clé 6. Le serveur de génération de clé 6 est un dispositif pour donner pour instruction à la carte IC 7 de générer une nouvelle clé de génération de MAC. Lors de la réception d'une instruction en provenance du 25 serveur de génération de clé 6, la carte IC 7 génère une nouvelle clé de génération de MAC sur la base de la fonction de génération de clé mise en oeuvre à l'intérieur. La carte IC 7 met ainsi à jour la clé de génération de MAC stockée à l'intérieur. 30 Les clés de génération de MAC stockées dans la carte IC 7 et le contrôleur principal 11 du corps de dispositif 1 sont une paire de clés de génération de MAC qui sont différentes l'une de l'autre. Comme ces - 9 - clés de génération de MAC appariées, une clé privée et une clé publique utilisées généralement pour le chiffrement peuvent être utilisées. Lorsque la carte IC 7 dans laquelle la clé de 5 génération de MAC est mise à jour est insérée dans le lecteur/scripteur de carte IC 22 du serveur d'inspection 2, la clé de génération de MAC stockée dans le contrôleur principal 11 est mise à jour pour correspondre à la clé de génération de MAC stockée dans 10 la carte IC 7. Des informations transmises entre la carte IC 7 et le contrôleur principal 11 sont chiffrées. La carte IC 7 et le contrôleur principal 11 peuvent être pourvus d'une clé de chiffrement de transmission utilisée pour la transmission 15 d'informations. Ainsi, le serveur d'inspection 2 intercalé entre la carte IC 7 et le contrôleur principal 11 ne stocke pas d'informations sur une paire de clés de génération de MAC qui a été mise à jour, si les clés ne sont pas chiffrées même temporairement. 20 Comme la clé de chiffrement de transmission, une clé privée et une clé publique utilisées généralement pour le chiffrement peuvent être utilisées. La figure 2 est une vue en coupe montrant schématiquement un exemple de configuration du 25 dispositif de traitement de feuille de papier 4 selon le premier mode de réalisation comme une des unités mécaniques du corps de dispositif 1. Le corps de dispositif 1 inclut une unité de fourniture de billet 41, un dispositif d'inspection 42, 30 un déchiqueteur 43, un empileur d'audit 44, une unité d'élimination 45, une pluralité d'unités de liaison de collection 46, un transporteur 47, un empileur de sortie 48, et un mécanisme de transport (courroies et - 10 - rouleaux transporteurs) transportant des feuilles de papier comme les unités mécaniques. L'unité de fourniture de billet 41 enlève les billets (feuilles de papier) un par un du corps de 5 dispositif 1 et les transporte vers le dispositif d'inspection 42. Le dispositif d'inspection 42 inclut divers détecteurs Dt comme une caméra, un capteur optique et un capteur magnétique agencés le long d'un canal de 10 transport. Le dispositif d'inspection 42 détecte une coupure, une forme, une épaisseur, un composant magnétique, des faces, l'authenticité, un dommage, deux feuilles se superposant, etc., des billes transportés (feuilles de papier) par les détecteurs Dt. Le 15 dispositif d'inspection 42 transmet les résultats de détection au contrôleur principal 11 via le sous- contrôleur 12. Les résultats de détection sont utilisés pour classer les billets fournis depuis l'unité de fourniture de billet 41. Plus précisément, 20 des coupures des billets sont déterminées et également les vrais billets, les faux billets, les billets corrects, les billets endommagés, etc., sont déterminés. Les billets déterminés comme des billets corrects sont classés par types et transportés vers les 25 unités de liaison de collection correspondantes 46. Les billets déterminés comme des billets endommagés sont transportés vers le déchiqueteur 43 ou l'empileur d'audit 44. Le déchiqueteur 43 rejette (déchiquette) les 30 billets endommagés de sorte qu'ils ne puissent pas être remis en circulation. Le nombre de billets endommagés déchiquetés est géré comme des informations de compte par le dispositif de traitement de feuille de papier 4 et similaire. L'empileur d'audit 44 reçoit un pourcentage prédéfini de billets déterminés comme des billets endommagés. Le pourcentage prédéfini peut être 5 plusieurs pour cent ou inférieur à un pour cent. Les billets endommagés empilés dans l'empileur d'audit 44 sont utilisés pour confirmer, par ex. des conditions endommagées des billets endommagés. Par exemple, un opérateur prend un billet endommagé de l'empileur 10 d'audit 44 et confirme une condition endommagée du billet endommagé. L'opérateur peut ainsi confirmer si le dispositif de traitement de feuille de papier 4 détermine convenablement les billets endommagés. A noter que l'empileur d'audit 44 n'a pas besoin d'être 15 fourni. Lorsque les billets reçus ne peuvent pas être détectés correctement ou pris mécaniquement correctement, l'unité d'élimination 45 éjecte les billets. 20 Les unités de liaison de collection 46 sont pourvues pour leurs coupures respectives. Les unités de liaison de collection 46 reçoivent des billets corrects de leurs coupures respectives. Chacune des unités de liaison de collection 46 collecte les billets 25 corrects transportés, et enliasse et lie un nombre donné de billets corrects avec une bande. Les billets liés et enliassés sont transportés vers l'empileur de sortie 4B par l'intermédiaire du transporteur 47. L'empileur de sortie 48 stocke les billets 30 enliassés et les sort lorsque cela est nécessaire de sorte que l'opérateur puisse les prendre. La commande à effectuer par le corps de dispositif 1 sera décrite en référence aux figures 1 et 2. - 12 - Le contrôleur principal 11 effectue une commande générale dans le dispositif de traitement de feuille de papier 4. Sur la base d'instructions en provenance du contrôleur principal 11, le sous-contrôleur 12 amène 5 les unités mécaniques (l'unité de fourniture de billet 41, le dispositif d'inspection 42, le déchiqueteur 43, l'empileur d'audit 44, l'unité d'élimination 45, les unités de liaison de collection 46, le transporteur 47, l'empileur de sortie 48, etc.) à effectuer une 10 opération prédéterminée. Le sous-contrôleur 12 peut être composé de contrôleurs ou peut comprendre un contrôleur d'ordre inférieur. Par exemple, le contrôleur principal 11 donne pour instruction au dispositif d'inspection 42 d'effectuer 15 l'opération d'inspection via le sous-contrôleur 12. Le dispositif d'inspection 42 inspecte les feuilles de papier, sur la base des instructions en provenance du contrôleur principal il et du sous-contrôleur 12. Le dispositif d'inspection 42 sort des données 20 d'inspection devant être utilisées pour l'inspection vers le contrôleur principal 11, sur la base d'un résultat de détection en provenance de chaque détecteur Dt. Le contrôleur principal 11 sort des données traitées indiquant des résultats de traitement incluant 25 des informations de compte des feuilles de papier, vers le serveur d'inspection 2, sur la base du résultat d'inspection reçu en provenance du dispositif d'inspection 42. La figure 3 est un organigramme montrant une 30 procédure pour un traitement d'audit d'informations de compte dans le dispositif de traitement de feuille de papier 4 selon le premier mode de réalisation. La figure 4 est un schéma de principe montrant un flux - 13 - d'informations sur le traitement d'audit d'informations de compte dans le dispositif de traitement de feuille de papier 4 selon le premier mode de réalisation. Les données traitées transmises et reçues entre le 5 contrôleur principal 11 et la carte IC 7 sont chiffrées en utilisant une paire de clés de génération de MAC qui diffèrent l'une de l'autre. Dans les descriptions suivantes, le contrôleur principal 11 stocke une clé privée dans sa mémoire interne ou similaire comme une 10 clé de génération de MAC, et la carte IC 7 stocke une clé publique dans sa mémoire interne ou similaire comme une clé de génération de MAC ; toutefois, la clé privée peut être stockée dans la carte IC 7 et la clé publique peut être stockée dans le contrôleur principal 11. 15 D'abord, le contrôleur principal 11 inspecte des feuilles de papier (billets) (étape ST11). Le contrôleur principal 11 traite les feuilles de papier sur la base d'un résultat de l'inspection. Par exemple, le contrôleur principal 11 amène les unités de 20 liaison de collection 46 du corps de dispositif 1 à collecter et à lier des feuilles de papier déterminées comme étant des billets corrects. Le contrôleur principal il amène le déchiqueteur 43 à déchiqueter des feuilles de papier déterminées comme des billets 25 endommagés. Le contrôleur principal 11 crée des informations de compte sur la base d'un résultat du traitement et génère un MAC à partir des informations de compte et d'autres informations en utilisant une clé privée 30 (étape ST12). Les informations de compte incluent au moins le nombre de feuilles de papier qui ont été déchiquetées (le nombre total de feuilles de papier déchiquetées). Dans ce mode de réalisation, le nombre - 14 - total de feuilles de papier déchiquetées n'est pas le nombre de feuilles de papier déchiquetées pour chaque lot mais le nombre de feuilles de papier déchiquetées pour chaque opération d'affaires (par ex. par jour). 5 Le nombre total de feuilles de papier déchiquetées est une cible à auditer. Pour générer un MAC, en plus des informations de compte, des informations comme une quantité cumulée d'informations de compte, la date, l'heure et des valeurs de compte sont utilisées. A 10 noter que n'importe quelles informations autres que les informations de compte peuvent être utilisées pour générer un MAC, mais des informations uniques (date, heure, numéros de série, combinaisons de ceux-ci, etc.) sont souhaitables pour ce faire. Lorsque les 15 informations de compte et les informations uniques sont combinées, si les informations de compte sont falsifiées, un MAC correspondant aux informations de compte falsifiées devient plus difficile à générer qu'un MAC ne devant être généré que par les 20 informations de compte. Le contrôleur principal 11 transmet le MAC généré, des informations de compte et d'autres informations (informations de compte, etc.) utilisées pour générer le MAC au serveur d'inspection 2 comme des données 25 traitées (étape ST13). Le serveur d'inspection 2 enregistre les données traitées reçues du contrôleur principal 11 dans la base de données et les transmet au serveur du client 3 (étape ST14). Pour un audit, le serveur d'inspection 2 transmet 30 le MAC, des informations de compte, etc., à la carte IC 7 insérée dans le lecteur/scripteur de carte IC 22 (étape ST15). La carte IC 7 amène une unité de calcul 71 à - 15 - effectuer un calcul arithmétique pour obtenir des informations de compte, etc., à partir du MAC reçu du serveur d'inspection 2, en utilisant une clé publique. La carte IC 7 amène une unité de comparaison 72 à 5 comparer les informations de compte, etc., obtenues à partir du MAC par l'unité de calcul 71 et les informations de compte, etc., reçues dans un état non chiffré en provenance du serveur d'inspection 2 (étape ST16). 10 Sur la base d'un résultat de la comparaison, la carte IC 7 transmet un résultat de l'audit au serveur d'inspection 2. Lorsque les articles d'information comparés coïncident l'un avec l'autre, la carte IC 7 envoie "Oui" indiquant que le résultat d'audit est 15 normal. Lorsqu'ils ne coïncident pas, la carte IC 7 envoie "Non" indiquant que le résultat d'audit est anormal (étape ST17). A noter que le résultat d'audit peut être affiché sur la carte IC 7. Le serveur d'inspection 2 sort le résultat d'audit 20 (étape ST18). Le résultat d'audit peut être affiché sur un afficheur, imprimé par une imprimante, ou sorti de quelque manière que ce soit. Il a été décrit que le serveur d'inspection 2 effectue un traitement d'audit. Le serveur du client 3 25 est également configure pour effectuer le traitement d'audit. La figure 5 est un organigramme montrant une procédure pour un traitement d'audit de programmes mis en oeuvre dans le corps de dispositif 1 dans le système 30 de traitement de feuille de papier 10 selon le premier mode de réalisation. Des programmes à auditer sont des programmes pour amener un ordinateur à accomplir la fonction du corps - 16 - de dispositif 1. Par exemple, des programmes à auditer peuvent être tous les programmes dans le corps de dispositif 1, uniquement le programme correspondant au contrôleur principal 11, ou certains des programmes 5 (par ex. des programmes liés aux données traitées). Le corps de dispositif 1 calcule régulièrement une valeur de hachage à partir des programmes en utilisant une fonction de hachage stockée à l'intérieur (étape ST21). Par exemple, le corps de dispositif 1 calcule 10 une valeur de hachage chaque fois qu'il est mis sous tension. Le corps de dispositif 1 transmet la valeur de hachage calculée au serveur d'inspection 2 (étape ST22). 15 Le serveur d'inspection 2 compare la valeur de hachage actuelle reçue du corps de dispositif 1 et la dernière valeur de hachage reçue (étape ST23). Le serveur d'inspection 2 sort un résultat de l'audit sur la base d'un résultat de la comparaison. 20 Lorsque les valeurs comparées coïncident l'une avec l'autre, le serveur d'inspection 2 sorts "Oui" indiquant que le résultat d'audit est normal. Lorsqu'elles ne coïncident pas, le serveur d'inspection 2 sort "Non" indiquant que le résultat d'audit est 25 anormal (étape ST24). Comme la fonction de hachage, une clé privée pour un traitement d'audit d'informations de compte peut être utilisée, et un MAC peut être calculé à la place de la valeur de hachage. En outre, le serveur 30 d'inspection 2 peut sortir uniquement des valeurs de hachage sans les comparer. Un audit basé sur la comparaison peut être effectué par un dispositif autre que le serveur d'inspection 2 ou par des yeux humains. - 17 - Selon le premier mode de réalisation, des informations de compte (par ex. le nombre total de billets déchiquetés et le nombre de billets endommagés) peuvent être empêchées d'être falsifiées en calculant 5 un MAC ainsi que les informations de compte en utilisant une paire de clés de génération de MAC qui diffèrent l'une de l'autre. En outre, les clés de génération de MAC stockées dans la carte IC 7 et le corps de dispositif 1 sont 10 différentes et comme la relation entre une clé privée et une clé publique utilisées pour le chiffrement, l'une des clés de génération de MAC est difficile à déduire de l'autre Par conséquent, même si la carte IC 7 est volée et que les informations de compte sont 15 falsifiées, un MAC incluant les informations de compte falsifiées ne peut pas être obtenu car la clé de génération de MAC stockée dans le corps de dispositif 1 ne peut pas être trouvée. La sécurité contre la falsification d'informations de compte peut ainsi être 20 améliorée. La sécurité contre la falsification d'informations de compte peut être davantage améliorée en gérant des valeurs de hachage régulièrement à partir des programmes pour accomplir la fonction. 25 Comme une modification du premier mode de réalisation, dans un dispositif de traitement de feuille de papier 4a, une unité de génération de MAC 14 peut être pourvue dans un corps principal la pour générer un MAC au lieu du contrôleur principal 11, 30 comme représenté sur la figure 6. L'unité de génération de MAC 14 est une unité de calcul arithmétique pour calculer un MAC. Par exemple, l'unité de génération de MAC 14 est une carte dédiée se - 18 - spécialisant dans le calcul de MAC. L'unité de génération de MAC 14 est connectée au contrôleur principal 11 via un canal de transmission (par ex. un bus). 5 L'unité de génération de MAC 14 permet ainsi de raccourcir le temps de calcul de MAC. (Deuxième Mode de réalisation) La figure 7 est un organigramme montrant une procédure pour un traitement d'audit d'informations de 10 compte dans un dispositif de traitement de feuille de papier 4A selon un deuxième mode de réalisation. La figure 8 est un schéma de principe montrant un flux d'informations sur le traitement d'audit d'informations de compte dans le dispositif de traitement de feuille 15 de papier 4A selon le deuxième mode de réalisation. Un contrôleur principal 11A et un serveur d'inspection 2A dans le dispositif de traitement de feuille de papier 4A selon le deuxième mode de réalisation sont similaires au contrôleur principal 11 20 et au serveur d'inspection 2 dans le dispositif de traitement de feuille de papier 4 selon le premier mode de réalisation, excepté pour un traitement d'audit. Ci-après, des points différents de ceux du premier mode de réalisation seront principalement décrits. 25 Il est supposé ici que des informations de compte sont auditées par deux personnes. L'une est un vérificateur qui réalise un audit tous les jours, et l'autre est, par ex. le patron d'un vérificateur, ou un auditeur qui réalise un audit tous les six mois. 30 Les données traitées transmises et reçues entre le contrôleur principal 11A et les cartes IC 7 sont chiffrées en utilisant deux paires de clés de génération de MAC qui diffèrent l'une de l'autre. - 19 - Le contrôleur principal 11A stocke l'une de chacune des deux paires de clés de génération de MAC. Il est supposé ici que deux clés de génération de MAC stockées dans le contrôleur principal 11A sont des 5 première et seconde clés privées. La carte IC 7 utilisée par le vérificateur stocke une première clé publique appariée avec la première clé privée. La carte IC 7 utilisée par l'auditeur stocke une seconde clé publique appariée avec la seconde clé privée. 10 Les étapes ST11A à ST18A de la procédure pour un traitement d'audit selon le deuxième mode de réalisation représenté sur la figure 7 sont similaires aux étapes ST11 à ST1S de la procédure pour un traitement d'audit selon le premier mode de réalisation 15 représenté sur la figure 3. Ci-après, des points différents du traitement d'audit du premier mode de réalisation seront principalement décrits. D'abord, le contrôleur principal 11A inspecte des feuilles de papier (billets) (étape ST11A). 20 Le contrôleur principal 11A crée des informations de compte comme le nombre de feuilles de papier déchiquetées, sur la base d'un résultat de traitement et génère deux MAC d'un premier MAC et d'un second MAC à partir des informations de compte en utilisant les 25 première et seconde clés privées (étape ST12A). Le contrôleur principal 11A transmet les deux MAC générés, des informations de compte et d'autres informations (informations de compte, etc.) utilisées pour générer les MAC au serveur d'inspection 2A comme 30 des données traitées (étape ST13A). Le serveur d'inspection 2A enregistre les données traitées reçues du contrôleur principal 11A dans la base de données et les transmet au serveur du client 3 - 20 - (étape ST14A). Pour un traitement d'audit d'un vérificateur, le serveur d'inspection 2A transmet le premier MAC, des informations de compte, etc., à la carte IC du 5 vérificateur 7 insérée dans le lecteur/scripteur de carte IC 22 (étape ST15A1). La carte IC du vérificateur 7 effectue un calcul arithmétique pour obtenir des informations de compte, etc., à partir du premier MAC reçu du serveur 10 d'inspection 2A, en utilisant la première clé publique. La carte IC 7 compare les informations de compte, etc., obtenues à partir du premier MAC et les informations de compte, etc., reçues dans un état non chiffré en provenance du serveur d'inspection 2A (étape ST16A1). 15 Sur la base d'un résultat de la comparaison, la carte IC 7 transmet un résultat de l'audit au serveur d'inspection 2A (étape ST17A). Le serveur d'inspection 2A sort le résultat d'audit (étape ST18A). Pour un traitement d'audit d'un auditeur, le 20 serveur d'inspection 2A transmet le second MAC, des informations de compte, etc., à la carte IC de l'auditeur 7 insérée dans le lecteur/scripteur de carte IC 22 (étape ST15A2). La carte IC de l'auditeur 7 effectue un calcul 25 arithmétique pour obtenir des informations de compte, etc., à partir du second MAC reçu du serveur d'inspection 2A, en utilisant la seconde clé publique. La carte IC 7 compare les informations de compte, etc., obtenues à partir du second MAC et les informations de 30 compte, etc., reçues dans un état non chiffré en provenance du serveur d'inspection 2A (étape ST16A2). La procédure subséquente est similaire à celle du traitement d'audit du vérificateur (étapes ST17A et - 21 - ST18A). Il a été décrit que le serveur d'inspection 2A effectue un traitement d'audit. Le serveur du client 3 est également configure pour effectuer le traitement 5 d'audit. Selon le deuxième mode de réalisation, les avantages suivants peuvent être obtenus en plus de ceux du premier mode de réalisation. Etant donné que deux MAC ainsi que des 10 informations de compte sont obtenus en utilisant deux paires de clés de génération de MAC, la sécurité contre la falsification des informations de compte peut être améliorée plus que dans le premier mode de réalisation. Plus précisément, étant donné que des informations 15 de compte peuvent être auditées par deux personnes comme un vérificateur et un auditeur, elles peuvent faire l'objet d'une double vérification. Même si l'une des deux personnes falsifie les informations de compte, l'autre peut trouver la falsification. Il est ainsi 20 difficile même pour une personne qui gère des informations de compte (un vérificateur, un auditeur, etc.) de falsifier les informations de compte. (Troisième Mode de réalisation) La figure 9 est un organigramme montrant une 25 procédure pour un traitement d'audit d'informations de compte dans un dispositif de traitement de feuille de papier 4B selon un troisième mode de réalisation. La figure 10 est un schéma de principe montrant un flux d'informations sur le traitement d'audit d'informations 30 de compte dans le dispositif de traitement de feuille de papier 4B selon le troisième mode de réalisation. Dans le dispositif de traitement de feuille de papier 4B selon le troisième mode de réalisation, un - 22 - serveur d'inspection 2B et une carte IC 7B sont utilisés à la place du serveur d'inspection 2 et de la carte IC 7 dans le dispositif de traitement de feuille de papier 4 selon le premier mode de réalisation. 5 Ainsi, la comparaison d'informations de compte, etc., pour un traitement d'audit, qui est effectué par la carte IC 7 dans le premier mode de réalisation, est effectuée par le serveur d'inspection 2B dans le troisième mode de réalisation. Excepté la comparaison 10 pour un traitement d'audit, le troisième mode de réalisation est similaire au premier mode de réalisation. Le serveur d'inspection 2B inclut une unité de calcul 71B et une unité de comparaison 72B dont les 15 fonctions sont égales à celles de l'unité de calcul 71 et de l'unité de comparaison 72 de la carte IC 7 selon le premier mode de réalisation. La carte IC 713 exclut l'unité de calcul 71 et l'unité de comparaison 72 de la carte IC 7 selon le premier mode de réalisation et 20 inclut une unité de transmission 73 qui transmet une clé publique. Comme pour les autres parties, le serveur d'inspection 2B et la carte IC 73 sont similaires au serveur d'inspection 2 et à la carte IC 7 selon le premier mode de réalisation. 25 Les étapes ST11E to ST14B de la procédure pour un traitement d'audit selon le troisième mode de réalisation représenté sur la figure 9 sont similaires aux étapes ST11 to ST14 de la procédure pour un traitement d'audit selon le premier mode de réalisation 30 représenté sur la figure 3. En conséquence, la procédure pour un traitement d'audit sera décrite à partir de l'étape ST15B. Pour un traitement d'audit, le serveur - 23 - d'inspection 2B lits une clé publique (clé de génération de MAC) depuis la carte IC 7B (étape ST15B). Ainsi, l'unité de transmission 73 de la carte IC 7B transmet la clé publique au serveur d'inspection 2B. 5 Le serveur d'inspection 2B amène l'unité de calcul 71B à effectuer un calcul pour obtenir des informations de compte, etc., à partir du MAC reçu du contrôleur principal 11, en utilisant la clé publique reçue de la carte IC 7B. Le serveur d'inspection 2B compare les 10 informations de compte, etc., obtenues à partir du MAC par l'unité de calcul 71B et les informations de compte, etc., reçues dans un état non chiffré en provenance du contrôleur principal 11 (étape ST16B). Sur la base d'un résultat de la comparaison, le 15 serveur d'inspection 2B sort le résultat d'audit (étape ST17B). Lorsque les articles d'information comparés coïncident l'un avec l'autre, le serveur d'inspection 2B sort le fait que le résultat d'audit est normal. Lorsqu'ils ne coïncident pas, le serveur d'inspection 20 2B sort le fait que le résultat d'audit est anormal. Les sorties du résultat d'audit sont similaires à celles à l'étape ST18 selon le premier mode de réalisation. Il a été décrit que le serveur d'inspection 2B 25 effectue un traitement d'audit. Le serveur du client 3 est également configuré pour effectuer le traitement d'audit. Selon le troisième mode de réalisation, étant donné que le serveur d'inspection 2B calcule et compare 30 les informations de compte, etc., dans le traitement d'audit, le résultat d'audit peut être obtenu plus rapidement que celui dans le premier mode de réalisation en plus de l'avantage du premier mode de - 24 - réalisation. (Quatrième Mode de réalisation) La figure 11 est un organigramme montrant une procédure pour un traitement d'audit d'informations de 5 compte dans un dispositif de traitement de feuille de papier 4C selon un quatrième mode de réalisation. La figure 12 est un schéma de principe montrant un flux d'informations sur le traitement d'audit d'informations de compte dans le dispositif de traitement de feuille 10 de papier 4C selon le quatrième mode de réalisation. Dans le dispositif de traitement de feuille de papier 4C selon le quatrième mode de réalisation, le contrôleur principal 11A selon le deuxième mode de réalisation est utilisé à la place du contrôleur 15 principal 11 dans le dispositif de traitement de feuille de papier 4B selon le troisième mode de réalisation, et un serveur d'inspection 2C est utilisé à la place du serveur d'inspection 2B dans le dispositif de traitement de feuille de papier 4B selon 20 le troisième mode de réalisation. Ainsi, comme dans le troisième mode de réalisation, la comparaison d'informations de compte, etc., pour un traitement d'audit est effectuée par le serveur d'inspection 2C, et similaire dans le deuxième mode de réalisation, un 25 audit peut être réalisé par deux personnes (par ex. un vérificateur et un auditeur). Excepté la comparaison pour un traitement d'audit, le quatrième mode de réalisation est similaire au troisième mode de réalisation. 30 Dans le serveur d'inspection 2B selon le troisième mode de réalisation, le serveur d'inspection 2C permet qu'un audit soit réalisé par deux personnes comme dans le deuxième mode de réalisation. Les autres points du - 25 - serveur d'inspection 2C sont similaires à ceux du serveur d'inspection 2B selon le troisième mode de réalisation. Le contrôleur principal 11A stocke une première 5 clé privée (clé de génération de MAC) et une seconde clé privée (clé de génération de MAC). La carte IC 7B utilisée par le vérificateur stocke une première clé publique (clé de génération de MAC) appariée avec la première clé privée. La carte IC 7B utilisée par 10 l'auditeur stocke une seconde clé publique (clé de génération de MAC) appariée avec la seconde clé privée. Les étapes ST11C à ST14C de la procédure pour un traitement d'audit selon le quatrième mode de réalisation représenté sur la figure 11 sont similaires 15 aux étapes ST11B à ST14B de la procédure pour un traitement d'audit selon le troisième mode de réalisation représenté sur la figure 9. En conséquence, la procédure pour un traitement d'audit sera décrite à partir des étapes ST15C1 et ST15C2. 20 Pour un traitement d'audit d'un vérificateur, le serveur d'inspection 2C lit la première clé publique depuis la carte IC du vérificateur 7B insérée dans le lecteur/scripteur de carte IC 22 (étape ST15C1). Ainsi, l'unité de transmission 73 de la carte IC 7B 25 transmet la première clé publique au serveur d'inspection 2C. Le serveur d'inspection 2C amène l'unité de calcul 71B à effectuer un calcul arithmétique pour obtenir des informations de compte, etc., à partir du premier MAC 30 reçu du contrôleur principal 11A, en utilisant la première clé publique reçue de la carte IC du vérificateur 7B. Le serveur d'inspection 2C compare les informations de compte, etc., obtenues à partir du - 26 - premier MAC par l'unité de calcul 71B et les informations de compte, etc., reçues dans un état non chiffré en provenance du contrôleur principal 11A (étape ST16C1). 5 Comme à l'étape ST17B selon le troisième mode de réalisation, le serveur d'inspection 2C sort un résultat de l'audit sur la base d'un résultat de la comparaison (étape ST17C). Pour un traitement d'audit d'un auditeur, le 10 serveur d'inspection 2C lit la seconde clé publique depuis la carte IC de l'auditeur 7B insérée dans le lecteur/scripteur de carte IC 22 (étape ST15C2). Ainsi, l'unité de transmission 73 de la carte IC 7E transmet la seconde clé publique au serveur 15 d'inspection 2C. Le serveur d'inspection 2C amène l'unité de calcul 71B à effectuer un calcul arithmétique pour obtenir des informations de compte, etc., à partir du second MAC reçu du contrôleur principal 11A, en utilisant la 20 seconde clé publique reçue de la carte IC de l'auditeur 7B. Le serveur d'inspection 2C compare les informations de compte, etc., obtenues à partir du second MAC par l'unité de calcul 71B et les informations de compte, etc., reçues dans un état non 25 chiffré en provenance du contrôleur principal 11A (étape ST16C2). Comme dans le traitement d'audit du vérificateur, le serveur d'inspection 2C sort un résultat de l'audit sur la base d'un résultat de la comparaison (étape 30 ST17C). Il a été décrit que le serveur d'inspection 2C effectue un traitement d'audit. Le serveur du client 3 est également configuré pour effectuer le traitement - 27 - d'audit. Selon le quatrième mode de réalisation, étant donné que deux MAC ainsi que des informations de compte sont obtenus en utilisant deux paires de clés de 5 génération de MAC, les avantages similaires à ceux du deuxième mode de réalisation peuvent être obtenus en plus de ceux du troisième mode de réalisation. Alors que certains modes de réalisation ont été décrits, ces modes de réalisation ont été présentés à 10 titre d'exemple uniquement, et ne sont pas destinés à limiter la portée des inventions. En effet, les modes de réalisation décrits ici peuvent être réalisés sous une variété d'autres formes ; en outre, diverses omissions, substitutions et changements de la forme des 15 modes de réalisation décrits ici peuvent être apportés sans s'écarter de l'esprit des inventions. Les revendications jointes et leurs équivalents sont destinés à couvrir de telles formes ou modifications comme celles qui rentreraient dans la portée et 20 l'esprit REVENDICATIONS1. Procédé pour auditer des données de déchiquetage incluant des premières informations de compte qui incluent le nombre de feuilles de papier traitées dans un système (10) pour auditer des données de déchiquetage, incluant un appareil de traitement de feuille de papier (4) qui inspecte des feuilles de papier et classe les feuilles de papier sur la base d'un résultat d'inspection des feuilles de papier, le procédé d'audit caractérisé en ce qu'il comprend : le fait d'amener l'appareil de traitement de feuille de papier (4) à générer un premier MAC sur la base des premières informations de compte en utilisant une première clé de génération de MAC ; le fait d'amener l'appareil de traitement de feuille de papier (4) à transmettre les premières informations de compte et le premier MAC à une première unité de calcul (7, 2B, 2C, 3) qui effectue un calcul arithmétique pour un audit ; le fait d'amener la première unité de calcul (7, 2B, 2C, 3) à obtenir des deuxièmes informations de compte sur la base du premier MAC en utilisant une deuxième clé de génération de MAC stockée dans une première carte IC (7) et appariée avec la première clé de génération de MAC ; le fait d'amener la première unité de calcul (7, 2B, 2C, 3) à comparer les premières informations de compte et les deuxièmes informations de compte ; et la détermination d'un résultat d'audit comme normalité lorsque les premières informations de compte et les deuxièmes informations de compte comparées par la première unité de calcul coïncident les unes avec les autres, et la détermination du résultat d'audit - 29 - comme anormalité lorsque les premières informations de compte et les deuxièmes informations de compte comparées par la première unité de calcul ne coïncident pas les unes avec les autres. 5 2. Procédé selon la revendication 1, caractérisé en ce que les premières informations de compte incluent le nombre de feuilles de papier déchiquetées. 10 3. Procédé selon la revendication 1, caractérisé en ce que la première unité de calcul est pourvue dans la première carte IC (7). 4. Procédé selon la revendication 1, caractérisé 15 en ce que la première unité de calcul est pourvue dans un ordinateur de gestion (2B, 2C, 3) qui gère les premières informations de compte. 5. Procédé selon la revendication 1, caractérisé 20 en ce qu'il comprend en outre : le fait d'amener l'appareil de traitement de feuille de papier (4A, 4C) à générer un second MAC sur la base des premières informations de compte en utilisant une troisième clé de génération de MAC ; 25 le fait d'amener l'appareil de traitement de feuille de papier à transmettre les premières informations de compte et le second MAC à une seconde unité de calcul (7, 2A, 2C, 3) qui effectue un calcul arithmétique pour un audit ; 30 le fait d'amener la seconde unité de calcul (7, 2A, 2C, 3) à obtenir des troisièmes informations de compte sur la base du second MAC en utilisant une quatrième clé de génération de MAC stockée dans une - 30 - seconde carte IC (7) et appariée avec la troisième clé de génération de MAC ; le fait d'amener la seconde unité de calcul (7, 2A, 2C, 3) à comparer les premières informations de 5 compte et les troisièmes informations de compte ; et la détermination d'un résultat d'audit comme normalité lorsque les premières informations de compte et les troisièmes informations de compte comparées par la seconde unité de calcul coïncident les unes avec les 10 autres, et la détermination du résultat d'audit comme anormalité lorsque les premières informations de compte et les troisièmes informations de compte comparées par la seconde unité de calcul ne coïncident pas les unes avec les autres. 15 6. Procédé selon la revendication 5, caractérisé en ce que : la première unité de calcul est pourvue dans la première carte IC (7) ; et 20 la seconde unité de calcul est pourvue dans la seconde carte IC (7). 7. Procédé selon la revendication 5, caractérisé en ce que la première unité de calcul et la seconde 25 unité de calcul sont pourvues dans un ordinateur de gestion (2A, 2C, 3) qui gère les premières informations de compte. 8. Système (10) pour auditer des données de 30 déchiquetage, caractérisé en ce qu'il comprend : un appareil de traitement de feuille de papier (4) configuré pour inspecter des feuilles de papier et classer les feuilles de papier sur la base d'un - 31 - résultat d'inspection des feuilles de papier ; un ordinateur de gestion (2, 3) configure pour gérer des premières informations de compte incluant le nombre de feuilles de papier traitées ; 5 une première carte IC (7) utilisée pour un audit ; et une première unité de calcul (7, 2A, 2C, 3) configurée pour effectuer un calcul arithmétique pour un audit, 10 dans lequel l'appareil de traitement de feuille de papier (4) inclut une première unité de génération de MAC (1) configurée pour générer un premier MAC sur la base des premières informations de compte en utilisant une 15 première clé de génération de MAC ; et une première unité de transmission (1) configurée pour transmettre les premières informations de compte et le premier MAC à la première unité de calcul, 20 dans lequel la première unité de calcul (7, 2B, 2C, 3) inclut une première unité de calcul d'informations de compte configurée pour obtenir des deuxièmes informations de compte sur la base du premier MAC en 25 utilisant une deuxième clé de génération de MAC stockée dans la première carte IC (7) et appariée avec la première clé de génération de MAC ; et une première unité de comparaison configurée pour comparer les premières informations de compte et 30 les deuxièmes informations de compte, dans lequel un résultat d'audit est déterminé comme normalité lorsque les premières informations de compte et les deuxièmes informations de compte - 32 - comparées par la première unité de comparaison coïncident les unes avec les autres, et le résultat d'audit est déterminé comme anormalité lorsque les premières informations de compte et les deuxièmes 5 informations de compte comparées par la première unité de comparaison ne coïncident pas les unes avec les autres. 9. Système selon la revendication 8, caractérisé 10 en ce que les premières informations de compte incluent le nombre de feuilles de papier déchiquetées. 10. Système selon la revendication 8, caractérisé en ce que la première unité de calcul est pourvue dans 15 la première carte IC (7). 11. Système selon la revendication 8, caractérisé en ce que la première unité de calcul est pourvue dans l'ordinateur de gestion (2B, 2C, 3) qui gère les 20 premières informations de compte. 12. Système selon la revendication 8, caractérisé en ce qu'il comprend en outre : une seconde carte IC (7) utilisée pour un 25 audit ; et une seconde unité de calcul (7, 2A, 2C, 3) configurée pour effectuer un calcul arithmétique pour un audit, dans lequel l'appareil de traitement de feuille de 30 papier (4A, 4C) inclut : une seconde unité de génération de MAC configurée pour générer un second MAC sur la base des premières informations de compte en utilisant une - 33 - troisième clé de génération de MAC ; et une seconde unité de transmission confiaurée pour transmettre les premières informations de compte et le second MAC à la seconde unité de calcul, 5 dans lequel la seconde unité de calcul (7, 2A, 2C, 3) inclut : une seconde unité de calcul d'informations de compte configurée pour obtenir des troisièmes informations de compte sur la base du second MAC en 10 utilisant une quatrième clé de génération de MAC stockée dans la seconde carte IC (7) et appariée avec la troisième clé de génération de MAC ; et une seconde unité de comparaison configurée pour comparer les premières informations de compte et 15 les troisièmes informations de compte, dans lequel un résultat d'audit est déterminé comme normalité lorsque les premières informations de compte et les troisièmes informations de compte comparées par la seconde unité de comparaison 20 coïncident les unes avec les autres, et le résultat d'audit est déterminé comme anormalité lorsque les premières informations de compte et les troisièmes informations de compte comparées par la seconde unité de comparaison ne coïncident pas les unes avec les 25 autres. 13. Système selon la revendication 12, caractérisé en ce que : la première unité de calcul est pourvue dans la 30 première carte IC (7) ; et la seconde unité de calcul est pourvue dans la seconde carte IC (7). - 34 - 14. Système selon la revendication 12, caractérisé en ce que la première unité de calcul et la seconde unité de calcul sont pourvues dans l'ordinateur de gestion. (2A, 2C, 3) qui gère les premières 5 informations de compte.