(57)【要約】【課題】  カード情報の漏洩を実用上十分に防止し得る信頼性の高い自動取引システム及びその制御方法並びにカードリーダを提案する。【解決手段】  自動取引システムにおいて、利用者により装填されたカード媒体に記録された第１のカード情報を読み出すカードリーダと、要求電文を生成してホスト装置に送信し、ホスト装置からの応答電文に基づいて取引を行うための制御処理を実行する装置制御部とを自動取引装置に設け、カードリーダが、金融機関ごとの第１のカード情報のフォーマットに関する情報が登録された第１のカードフォーマット情報を保持し、第１のカードフォーマット情報を参照して、カード媒体から読み出した第１のカード情報からカード番号を含む所定の機密情報を取得し、取得した機密情報を暗号化して装置制御部に送信し、装置制御部が、カードリーダから送信されてきた暗号化された機密情報を含む要求電文を生成してホスト装置に送信するようにした。
2017208445.tif 000002
【特許請求の範囲】
【請求項１】
自動取引装置及びホスト装置を有し、前記自動取引装置に対する利用者の操作に応じた取引の要求電文を前記自動取引装置から前記ホスト装置に送信し、前記要求電文に対する前記ホスト装置からの応答電文に基づいて前記自動取引装置が前記取引を行う自動取引システムにおいて、
前記自動取引装置は、
前記利用者により装填された前記カード媒体に記録された第１のカード情報を読み出すカードリーダと、
前記要求電文を生成して前記ホスト装置に送信し、前記ホスト装置からの前記応答電文に基づいて前記取引を行うための制御処理を実行する装置制御部と
を備え、
前記カードリーダは、
金融機関ごとに固有な、前記第１のカード情報のフォーマットに関する情報が登録された第１のカードフォーマット情報を保持し、
前記第１のカードフォーマット情報を参照して、前記カード媒体から読み出した前記第１のカード情報から前記カード番号を含む所定の機密情報を取得し、
取得した前記機密情報を暗号化して前記装置制御部に送信し、
前記装置制御部は、
前記カードリーダから送信されてきた暗号化された前記機密情報を含む前記要求電文を生成して前記ホスト装置に送信する
ことを特徴とする自動取引システム。
【請求項２】
キーパッドを有し、前記キーパッドを介して前記利用者が入力した暗証番号を暗号化して前記装置制御部に送信する暗号化キーパッドを備え、
前記カードリーダは、
前記機密情報のうちの暗号化した前記カード番号を前記装置制御部を経由して前記暗号化キーパッドに送信する
ことを特徴とする請求項１に記載の自動取引システム。
【請求項３】
前記第１のカードフォーマット情報には、前記第１のカード情報のフォーマットに関する情報の一部が登録され、
前記第１のカードフォーマット情報に登録された前記第１のカード情報のフォーマットに関する情報の一部は、前記金融機関ごとの前記機密情報を前記第１のカード情報から取得するのに必要な情報であり、
前記カードリーダは、
前記カード媒体から読み出した前記第１のカード情報のうちの前記機密情報を暗号化して前記装置制御部に送信すると共に、前記第１のカード情報のうちの前記機密情報をマスク化し、他の情報をマスク化していない第２のカード情報を前記装置制御部に送信し、
前記装置制御部は、
前記金融機関ごとの前記カード情報のフォーマットに関する情報が登録された第２のカードフォーマット情報を保持し、当該第２のカードフォーマット情報を参照して、前記第２のカード情報の中から必要な情報を取得する
ことを特徴とする請求項１に記載の自動取引システム。
【請求項４】
前記ホスト装置は、
前記自動取引装置の前記カードリーダとの間で通信を行う際の暗号化に利用するセッション鍵を暗号化するためのマスタ鍵を生成し、
生成した前記マスタ鍵を前記カードリーダと共有する
ことを特徴とする請求項１に記載の自動取引システム。
【請求項５】
自動取引装置及びホスト装置を有し、前記自動取引装置に対する利用者の操作に応じた取引の要求電文を前記自動取引装置から前記ホスト装置に送信し、前記要求電文に対する前記ホスト装置からの応答電文に基づいて前記自動取引装置が前記取引を行う自動取引システムの制御方法において、
前記自動取引装置は、
前記利用者により装填された前記カード媒体に記録された第１のカード情報を読み出すカードリーダと、
前記要求電文を生成して前記ホスト装置に送信し、前記ホスト装置からの前記応答電文に基づいて前記取引を行うための制御処理を実行する装置制御部とを有し、
前記カードリーダは、
金融機関ごとに固有な、前記第１のカード情報のフォーマットに関する情報が登録された第１のカードフォーマット情報を保持し、
前記カードリーダが、前記第１のカードフォーマット情報を参照して、前記カード媒体から読み出した前記第１のカード情報から前記カード番号を含む所定の機密情報を取得する第１のステップと、
前記カードリーダが、取得した前記機密情報を暗号化して前記装置制御部に送信する第２のステップと、
前記装置制御部が、前記カードリーダから送信されてきた暗号化された前記機密情報を含む前記要求電文を生成して前記ホスト装置に送信する第３のステップと
を備えることを特徴とする自動取引システムの制御方法。
【請求項６】
前記自動取引システムは、
キーパッドを有し、前記キーパッドを介して前記利用者が入力した暗証番号を暗号化して前記装置制御部に送信する暗号化キーパッドを含み、
前記第２のステップにおいて、前記カードリーダは、
前記機密情報のうちの暗号化した前記カード番号を前記装置制御部を経由して前記暗号化キーパッドに送信する
ことを特徴とする請求項５に記載の自動取引システムの制御方法。
【請求項７】
前記第１のカードフォーマット情報には、前記第１のカード情報のフォーマットに関する情報の一部が登録され、
前記第１のカードフォーマット情報に登録された前記第１のカード情報のフォーマットに関する情報の一部は、前記金融機関ごとの前記機密情報を前記第１のカード情報から取得するのに必要な情報であり、
前記第２のステップにおいて、前記カードリーダは、
前記カード媒体から読み出した前記第１のカード情報のうちの前記機密情報を暗号化して前記装置制御部に送信すると共に、前記第１のカード情報のうちの前記機密情報をマスク化し、他の情報をマスク化していない第２のカード情報を前記装置制御部に送信し、
前記装置制御部は、
前記金融機関ごとに固有な、前記カード情報のフォーマットに関する情報が登録された第２のカードフォーマット情報を保持し、
前記第３のステップにおいて、前記装置制御部は、
前記第２のカードフォーマット情報を参照して、前記第２のカード情報の中から必要な情報を取得する
ことを特徴とする請求項５に記載の自動取引システムの制御方法。
【請求項８】
前記ホスト装置は、
前記自動取引装置のカードリーダとの間で通信を行う際の暗号化に利用するセッション鍵を暗号化するためのマスタ鍵を生成し、
生成した前記マスタ鍵を前記カードリーダと共有する
ことを特徴とする請求項５に記載の自動取引システムの制御方法。
【請求項９】
利用者の操作に応じた取引の要求電文を前記ホスト装置に送信し、前記要求電文に対する前記ホスト装置からの応答電文に基づいて前記取引を行う自動取引装置に設けられ、前記利用者により前記自動取引装置に装填されたカード媒体から当該カード媒体に記録されたカード情報を読み出すカードリーダにおいて、
前記自動取引装置に装填された前記カード媒体から前記カード情報を読み取るカード読取部と、
前記カード読取部により前記カード媒体から読み取られた前記カード情報を暗号化するカードリーダ暗号処理部と
を備え、
前記自動取引装置は、
前記要求電文を生成して前記ホスト装置に送信し、前記ホスト装置からの前記応答電文に基づいて前記取引を行うための制御処理を実行する装置制御部を有し、
前記カードリーダ暗号処理部は、
金融機関ごとに固有な、前記第１のカード情報のフォーマットに関する情報が登録された第１のカードフォーマット情報を保持し、
前記第１のカードフォーマット情報を参照して、前記カード媒体から読み出した前記第１のカード情報から前記カード番号を含む所定の機密情報を取得し、
取得した前記機密情報を暗号化して前記装置制御部に送信する
ことを特徴とするカードリーダ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動取引システム及びその制御方法並びにカードリーダに関し、例えば、クレジットカードやキャッシュカードに記録されたカード情報と、利用者の操作とに基づいて入出金取引を行うＡＴＭ（Automated Teller Machine）と、当該入出金取引の承認等を行う勘定系ホストコンピュータとを有する自動取引システムに適用して好適なものである。
【背景技術】
【０００２】
近年、急速な情報化社会の進展に伴い、企業や自治体等において個人情報や機密情報に対する管理意識が高まっている。また、これまで問題視されてこなかったＡＴＭ内の閉じたネットワークについてもマルウェアによる機密情報の詐取や不正取引が大きな問題となっている。【０００３】
ＡＴＭで扱う機密情報としては、カード裏面に貼着された磁気テープに記録されている磁気情報やカード番号及び金融機関コードなどのカード情報がある（特許文献１）。磁気情報が漏洩した場合、その磁気情報を元に偽造カードが作成され、不正使用される可能性がある。またカード番号が有効期限等と併せて漏洩した場合には、その情報を利用してネットショッピングなどで不正使用される可能性がある。【０００４】
このような情報漏洩を防止するための対策として、利用者によりＡＴＭに装填されたカードから読み取ったカード情報を、ＡＴＭの制御部において暗号化した上で、取引の承認等を行う勘定系ホストコンピュータに送信する方法が考えられる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平５−２７４３３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述のようにＡＴＭの制御部が勘定系ホストコンピュータにカード情報を暗号化して送信するようにしたとしても、ＡＴＭの内部デバイス、特にＡＴＭ全体の動作制御を司り、勘定系ホストコンピュータとの間の通信を行うＡＴＭ制御部がマルウェアに感染した場合に、当該ＡＴＭ制御部を介してカード情報が外部に流出するおそれがある。【０００７】
本発明は以上の点を考慮してなされたもので、カード情報の漏洩を実用上十分に防止し得る信頼性の高い自動取引システム及びその制御方法並びにカードリーダを提案しようとするものである。
【課題を解決するための手段】
【０００８】
かかる課題を解決するため本発明においては、自動取引装置及びホスト装置を有し、前記自動取引装置に対する利用者の操作に応じた取引の要求電文を前記自動取引装置から前記ホスト装置に送信し、前記要求電文に対する前記ホスト装置からの応答電文に基づいて前記自動取引装置が前記取引を行う自動取引システムにおいて、前記自動取引装置に、前記利用者により装填された前記カード媒体に記録された第１のカード情報を読み出すカードリーダと、前記要求電文を生成して前記ホスト装置に送信し、前記ホスト装置からの前記応答電文に基づいて前記取引を行うための制御処理を実行する装置制御部とを設け、前記カードリーダが、金融機関ごとに固有な、前記第１のカード情報のフォーマットに関する情報が登録された第１のカードフォーマット情報を保持し、前記第１のカードフォーマット情報を参照して、前記カード媒体から読み出した前記第１のカード情報から前記カード番号を含む所定の機密情報を取得し、取得した前記機密情報を暗号化して前記装置制御部に送信し、前記装置制御部が、前記カードリーダから送信されてきた暗号化された前記機密情報を含む前記要求電文を生成して前記ホスト装置に送信するようにした。【０００９】
また本発明においては、自動取引装置及びホスト装置を有し、前記自動取引装置に対する利用者の操作に応じた取引の要求電文を前記自動取引装置から前記ホスト装置に送信し、前記要求電文に対する前記ホスト装置からの応答電文に基づいて前記自動取引装置が前記取引を行う自動取引システムの制御方法において、前記自動取引装置は、前記利用者により装填された前記カード媒体に記録された第１のカード情報を読み出すカードリーダと、前記要求電文を生成して前記ホスト装置に送信し、前記ホスト装置からの前記応答電文に基づいて前記取引を行うための制御処理を実行する装置制御部とを有し、前記カードリーダは、金融機関ごとに固有な、前記第１のカード情報のフォーマットに関する情報が登録された第１のカードフォーマット情報を保持し、前記カードリーダが、前記第１のカードフォーマット情報を参照して、前記カード媒体から読み出した前記第１のカード情報から前記カード番号を含む所定の機密情報を取得する第１のステップと、前記カードリーダが、取得した前記機密情報を暗号化して前記装置制御部に送信する第２のステップと、前記装置制御部が、前記カードリーダから送信されてきた暗号化された前記機密情報を含む前記要求電文を生成して前記ホスト装置に送信する第３のステップとを設けるようにした。【００１０】
さらに本発明においては、利用者の操作に応じた取引の要求電文を前記ホスト装置に送信し、前記要求電文に対する前記ホスト装置からの応答電文に基づいて前記取引を行う自動取引装置に設けられ、前記利用者により前記自動取引装置に装填されたカード媒体から当該カード媒体に記録されたカード情報を読み出すカードリーダにおいて、前記自動取引装置に装填された前記カード媒体を搬送し、前記カード媒体から前記カード情報を読み取るカード搬送・読取部と、前記カード搬送・読取部により前記カード媒体から読み取られた前記カード情報を暗号化するカードリーダ暗号処理部とを設け、前記自動取引装置は、前記要求電文を生成して前記ホスト装置に送信し、前記ホスト装置からの前記応答電文に基づいて前記取引を行うための制御処理を実行する装置制御部を有し、前記カードリーダ暗号処理部が、金融機関ごとに固有な、前記第１のカード情報のフォーマットに関する情報が登録された第１のカードフォーマット情報を保持し、前記第１のカードフォーマット情報を参照して、前記カード媒体から読み出した前記第１のカード情報から前記カード番号を含む所定の機密情報を取得し、取得した前記機密情報を暗号化して前記装置制御部に送信するようにした。【００１１】
本自動取引システム及びその制御方法並びにカードリーダによれば、仮にＡＴＭの制御部がマルウェアに感染して第１のカード情報が外部に流出したとしても、機密情報が暗号化されているため、偽造カードの作成や不正なネットショッピングの利用に必要なカード番号の漏洩を防止することができる。
【発明の効果】
【００１２】
本発明によれば、カード情報の漏洩を実用上十分に防止し得る信頼性の高い自動取引システム及びその制御方法並びにカードリーダを実現できる。
【図面の簡単な説明】
【００１３】
【図１】第１の実施の形態による自動取引システムの全体構成を示すブロック図である。
【図２】ＡＴＭ制御部の構成を示すブロック図である。
【図３Ａ】カードリーダの構成を示すブロック図である。
【図３Ｂ】カードリーダ制御部の構成を示すブロック図である。
【図３Ｃ】カードリーダ暗号処理部の構成を示すブロック図である。
【図４Ａ】暗号化キーパッド部の構成を示すブロック図である。
【図４Ｂ】暗号化キーパッド部の構成を示すブロック図である。
【図５】ＩＣカードの構成を示すブロック図である。
【図６】勘定系ホストコンピュータの構成を示すブロック図である。
【図７Ａ】ＦＩＴの構成を示す概念図である。
【図７Ｂ】ＦＩＴ機密関連カードフォーマット情報の構成を示す概念図である。
【図８】認証局の構成を示すブロック図である。
【図９】ルート鍵ペア及びＣＲ鍵ペアの初期設定の流れを示すフロー図である。
【図１０】ＥＰＰ鍵ペアの初期設定の流れを示すフロー図である。
【図１１】ホスト鍵の初期設定の流れを示すフロー図である。
【図１２】カードリーダ及び暗号化キーパッド間でのマスタ鍵交換の流れを示すフロー図である。
【図１３】カードリーダ及び暗号化キーパッド間でのマスタ鍵交換の流れを示すフロー図である。
【図１４】カードリーダ及び勘定系ホストコンピュータ間でのマスタ鍵交換の流れを示すフロー図である。
【図１５】カードリーダ及び勘定系ホストコンピュータ間でのマスタ鍵交換の流れを示すフロー図である。
【図１６】カードリーダ及び暗号化キーパッド間でのセッション鍵交換の流れを示すフロー図である。
【図１７】カードリーダ及び勘定系ホストコンピュータ間でのセッション鍵交換の流れを示すフロー図である。
【図１８】ＩＣカード取引処理のうちのＦＩＴ更新処理の流れを示すフロー図である。
【図１９】ＩＣカード取引処理のうちのＩＣカードから磁気情報を読み取るカード読取処理の流れを示すフロー図である。
【図２０】ＩＣカード取引処理のうちのＦＩＴ照合処理の流れを示すフロー図である。
【図２１】ＩＣカード取引処理のうちのＩＣカードからＩＣ情報を読み取るカード読取処理の流れを示すフロー図である。
【図２２】ＩＣカード取引処理のうちのＰＩＮ入力に関する処理の流れを示すフロー図である。
【図２３】ＩＣカード取引処理のうちの取引金額の入力に関する処理の流れを示すフロー図である。
【図２４】ＩＣカード取引処理のうち、ＡＴＭ制御部がＩＣカードからカード認証データを取得する処理の流れを示すフロー図である。
【図２５】ＩＣカード取引処理のうち、ＡＴＭ制御部が勘定系ホストコンピュータに取引要求を送信する処理の流れを示すフロー図である。
【図２６】ＩＣカード取引処理のうち、ＡＴＭ制御部が勘定系ホストコンピュータからの取引応答電文を取得する処理の流れを示すフロー図である。
【図２７】ＩＣカード取引処理のうち、イシュア認証及び出金処理の流れを示すフロー図である。
【図２８】第２の実施の形態による自動取引システムの全体構成を示すブロック図である。
【図２９】第２の実施の形態の自動取引システムにおけるＦＩＴ更新処理の流れを示すフロー図である。
【図３０】第２の実施の形態の自動取引システムにおけるＦＩＴ照合処理の流れを示すフロー図である。
【図３１】第３の実施の形態による自動取引システムの全体構成を示すブロック図である。
【図３２】第３の実施の形態の自動取引システムにおけるカードリーダ暗号処理部の構成を示すブロック図である。
【図３３】第３の実施の形態の自動取引システムにおける勘定系ホストコンピュータの構成を示すブロック図である。
【図３４】第３の実施の形態の自動取引システムにおけるルート鍵ペア及びＣＲ鍵ペアの初期設定の流れを示すフロー図である。
【図３５】第３の実施の形態の自動取引システムにおけるホスト鍵の初期設定の流れを示すフロー図である。
【図３６】第３の実施の形態の自動取引システムにおけるカードリーダ及び勘定系ホストコンピュータ間でのマスタ鍵交換の流れを示すフロー図である。
【図３７】第３の実施の形態の自動取引システムにおけるカードリーダ及び勘定系ホストコンピュータ間でのマスタ鍵交換の流れを示すフロー図である。
【発明を実施するための形態】
【００１４】
以下図面について、本発明の一実施の形態を詳述する。
【００１５】
（１）第１の実施の形態
（１−１）本実施の形態による自動取引システムの構成
図１において、１は全体して本実施の形態による自動取引システムを示す。この自動取引システム１は、１又は複数のＡＴＭ２と、勘定系ホストコンピュータ３とがＬＡＮ（Local Area Network）又はＷＡＮ（Wide Area Network）などの広域ネットワーク４を介して接続され、これらＡＴＭ２及び勘定系ホストコンピュータ３とは別個に認証局５が設けられることにより構成されている。
【００１６】
ＡＴＭ２は、利用者の操作に応じて現金の入出金等の取引を行う自動取引装置である。図１に示すように、ＡＴＭ２は、当該ＡＴＭ２全体の動作制御を司るＡＴＭ制御部１０と、ＡＴＭ２の各種表示ランプ制御や扉開閉検知等を行うＩ／Ｏ制御部１１と、ＡＴＭ２の前面に設けられた入出金口内に投入された紙幣を計数して収納庫に搬送、保管し又は出金すべき紙幣を収納庫から取り出して入出金口内に搬送する紙幣処理部１２と、ＡＴＭ２での取引に必要なキャッシュカード等のカード媒体から当該カード媒体に記録されている情報を読み取るカードリーダ１３と、取引金額や暗証番号等を入力するためのテンキーを有し、入力された暗証番号等の情報を暗号化する機能を有する暗号化キーパッド１４と、取引明細票用のプリンタでなるレシートプリンタ１５と、通帳用のプリンタでなる通帳プリンタ１６と、ＡＴＭ取引のログを記録するジャーナルプリンタ１７と、ＡＴＭ利用者の顔写真を撮影するセキュリティ用の監視カメラ１８と、入金取引、出金取引などの取引に関する情報を表示する表示部１９と、勘定系ホストコンピュータ３と通信を行う通信処理部２０とを備えて構成される。なお、表示部１９は、利用者からの操作を受け付ける表示操作部であってもよい。
【００１７】
ただしＡＴＭ２は、入金された硬貨や出金する硬貨を取り扱う硬貨処理部（図示せず）を備えていてもよい。また、本実施の形態においては、カード媒体としてＩＣ（Integrated Circuit Card）カード２１が使用される例について説明する。
【００１８】
図２は、ＡＴＭ制御部１０の概略構成を示す。この図２に示すように、ＡＴＭ制御部１０は、ＣＰＵ（Central Processing Unit）３０、メモリ３１等の情報処理資源を備えたマイクロコンピュータ構成を有する。ＣＰＵ３０は、ＡＴＭ制御部１０全体の動作制御を司るプロセッサである。メモリ３１は、例えば半導体メモリから構成され、プログラムやデータが格納される。
【００１９】
ＡＴＭ制御部１０のメモリ３１の記憶領域は、プログラム領域３１Ａ及びデータ領域３１Ｂに区分されて管理される。そしてプログラム領域３１Ａには、ＡＴＭ２の取引全体を制御するＡＴＭアプリケーション４０と、Ｉ／Ｏ（Input/Output）制御部１１、紙幣処理部１２、カードリーダ１３、暗号化キーパッド１４、レシートプリンタ１５、通帳プリンタ１６、ジャーナルプリンタ１７、監視カメラ１８、表示部１９及び通信処理部２０をそれぞれ制御するためのソフトウェア（Ｉ／Ｏ制御部制御ソフトウェア４１、紙幣処理部制御ソフトウェア４２、カードリーダ制御ソフトウェア４３、暗号化キーパッド制御ソフトウェア４４、レシートプリンタ制御ソフトウェア４５、通帳プリンタ制御ソフトウェア４６、ジャーナルプリンタ制御ソフトウェア４７、監視カメラ制御ソフトウェア４８及び通信処理ソフトウェア４９）と、ソフトウェア環境等の設定ファイルであるソフトウェア設定ファイル５０とが格納される。
【００２０】
またデータ領域３１Ｂには、ＡＴＭ２での入出金取引に必要なデータが格納される。例えば、カード番号６０、勘定系ホストコンピュータ３（図１）との取引電文のセキュリティを高めるために取引ごとに生成されるＡＴＣ（ATm Controler）乱数６１、磁気情報などを含む取引電文データである取引データ６２、ＡＲＱＣ（Authentication Request Cryptogram）６３、取引を成立させてよいかどうかを判断した結果のデータである取引可否データ６４、ＡＲＰＣ（Authentication Response Cryptogram）６５、ＡＲＰＣの正当性を検証した結果であるＡＲＰＣ検証結果６６、ＩＣカード２１（図１）によって取引可否が検証された結果である取引検証結果６７、紙幣処理部１２（図１）に対して送信されるコマンドデータである紙幣処理部制御データ６８及び入金取引時において紙幣処理部１２（図１）がＡＴＭ２（図１）に投入された紙幣を計数した合計金額である入金計数金額６９などがデータ領域３１Ｂに格納される。
【００２１】
図３Ａは、カードリーダ１３（図１）の概略構成を示す。この図３Ａに示すように、カードリーダ１３は、カードリーダ制御部７０、カード搬送・読取部７１及びカードリーダ暗号処理部７２を備えて構成される。カードリーダ制御部７０は、カード搬送・読取部７１及びカードリーダ暗号処理部７２を制御すると共に、これらカード搬送・読取部７１及びカードリーダ暗号処理部７２の間でデータのやり取りを行う機能を有するハードウェアユニットである。また、カード搬送・読取部７１は、ＡＴＭ２のカード挿入口（図示せず）と、ＡＴＭ２内部にあるカードリーダ１３の読取部との間でＩＣカード２１を搬送すると共に、ＩＣカード２１の接点を通じてＩＣカード２１との間でデータの入出力を行う機能を有するハードウェアユニットである。さらにカードリーダ暗号処理部７２は、カードリーダ１３内でカード情報の暗号化などの暗号処理を行う機能を有するハードウェアユニットである。カードリーダ暗号処理部７２として、ＳＡＭ（Secure Access Module）等、取り外し可能な暗号処理デバイスを用いることもできる。
【００２２】
カードリーダ制御部７０は、図３Ｂに示すように、カードリーダ制御部７０全体の動作制御を司るＣＰＵ８０と、例えば半導体メモリなどから構成されるメモリ８１などの情報処理資源を備えて構成される。カードリーダ制御部７０のメモリ８１の記憶領域は、プログラム領域８１Ａ及びデータ領域８１Ｂに区分されて管理されており、プログラム領域８１Ａに、全体制御ファームウェア８２、ＩＣカード通信制御ファームウェア８３及びＣＳＥ（Card reader Secure Element）制御ファームウェア８４が格納され、データ領域８１Ｂに、全体制御用バッファ８５、ＩＣカード通信用バッファ８６及びＣＳＥ通信用バッファ８７が設けられる。
【００２３】
全体制御ファームウェア８２は、ＡＴＭ制御部１０との間の通信を制御したり、カード搬送・読取部７１（図３Ａ）の搬送制御などを行う機能を有するソフトウェアであり、ＩＣカード通信制御ファームウェア８３は、ＩＣカード２１との間でデータの入出力制御を行う機能を有するソフトウェアである。またＣＳＥ制御ファームウェア８４は、カードリーダ暗号処理部７２（図３Ａ）を制御したり、当該カードリーダ暗号処理部７２との間の通信制御を行うソフトウェアである。
【００２４】
また全体制御用バッファ８５は、ＡＴＭ制御部１０との通信用バッファも含む全体制御に使われるデータエリアであり、ＩＣカード通信用バッファ８６及びＣＳＥ通信用バッファ８７はそれぞれ、ＩＣカード２１又はカードリーダ暗号処理部７２との通信制御用バッファである。
【００２５】
カードリーダ暗号処理部７２は、図３Ｃに示すように、当該カードリーダ暗号処理部７２全体の動作制御を司るプロセッサであるＣＰＵ９０と、例えば、半導体メモリなどから構成されるメモリ９１となどの情報処理資源を備えて構成される。
【００２６】
カードリーダ暗号処理部７２のメモリ９１の記憶領域は、カードリーダ制御部７０（図３Ｂ）と同様に、プログラム領域９１Ａ及びデータ領域９１Ｂに区分されて管理されている。
【００２７】
そしてプログラム領域９１Ａには、アプリケーション９２、通信制御ファームウェア９３及び暗号処理ファームウェア９４が格納される。アプリケーション９２は、カードリーダ暗号処理部７２全体の制御を行う機能を有するソフトウェアであり、通信制御ファームウェア９３は、カードリーダ制御部７０との間の通信制御を行う機能を有するソフトウェアである。また暗号処理ファームウェア９４は、電子署名処理や暗号化などを行う機能を有するソフトウェアである。
【００２８】
またデータ領域９１Ｂには、ルート検証鍵９５、ＣＲ署名鍵９６、ＣＲ検証鍵９７、ＣＲ検証鍵署名９８、ＥＰＰ公開鍵９９、ホスト公開鍵１００、ＣＲ−ＥＰＰマスタ鍵１０１、ＣＲ−ＥＰＰセッション鍵１０２、ＣＲ−ホストマスタ鍵１０３及びＣＲ−ホストセッション鍵１０４などが後述する各種処理の過程で適宜格納される。
【００２９】
暗号化キーパッド（ＥＰＰ）１４は、図４Ａに示すように、暗号化キーパッド制御部１１０及びキーパッド１１１などを備えて構成される。暗号化キーパッド制御部１１０は、キーパッド１１１を制御すると共に、暗号化キーパッド制御部１１０及びキーパッド１１１の間でデータのやり取りを行う機能を有するハードウェアユニットであり、キーパッド１１１は、ＡＴＭ２の筺体上で顧客による操作を受け付けるように設置され、顧客による暗証番号や金額などの入力を受け付けるハードウェアユニットである。
【００３０】
暗号化キーパッド制御部１１０は、図４Ｂに示すように、暗号化キーパッド制御部１１０全体の動作制御を司るＣＰＵ１２０と、例えば半導体メモリなどから構成されるメモリ１２１などの情報処理資源を備えて構成される。
【００３１】
暗号化キーパッド制御部１１０のメモリ１２１の記憶領域は、プログラム領域１２１Ａ及びデータ領域１２１Ｂに区分されて管理されている。
【００３２】
そしてプログラム領域１２１Ａには、アプリケーション１２２、通信制御ファームウェア１２３及び暗号処理ファームウェア１２４が格納される。アプリケーション１２２は、暗号化キーパッド制御部１１０全体の制御を行う機能を有するソフトウェアであり、通信制御ファームウェア１２３は、ＡＴＭ制御部１０やカードリーダ１３との間の通信制御を行う機能を有するソフトウェアである。また暗号処理ファームウェア１２４は、電子署名処理や暗号化などを行う機能を有するソフトウェアである。
【００３３】
またデータ領域１２１Ｂには、全体制御用バッファ１２５及び通信用バッファ１２６が設けられるほか、ルート検証鍵９５、ＥＰＰ秘密鍵１０５、ＥＰＰ公開鍵９９、ＥＰＰ公開鍵署名１０６、ＣＲ検証鍵９７、ＣＲ−ＥＰＰマスタ鍵１０１及びＣＲ−ＥＰＰセッション鍵１０２などが後述する各種処理の過程で適宜格納される。
【００３４】
図５は、ＩＣカード２１の概略構成を示す。ＩＣカード２１は、当該ＩＣカード２１に搭載されたＩＣチップにより構成されるＩＣ領域１３０と、当該ＩＣカード２１の裏面に貼着された磁気テープにより構成される磁気領域１４０とを備えている。
【００３５】
このうちＩＣ領域１３０は、ＣＰＵ１３１及びメモリ１３２等の情報処理資源を備えて構成される。ＣＰＵ１３１は、ＩＣカード２１のＩＣ領域１３０の動作制御を司るプロセッサである。メモリ１３２は、例えば半導体メモリから構成される。
【００３６】
ＩＣ領域１３０のメモリ１３２の記憶領域は、プログラム領域１３２Ａ及びデータ領域１３２Ｂに区分されて管理される。そしてプログラム領域１３２Ａには、ＩＣ領域１３０の処理を制御するＩＣアプリケーション１３３、通信制御ファームウェア１３４及び暗号処理ファームウェア１３５などが格納される。
【００３７】
ＩＣアプリケーション１３３は、ＩＣカード２１全体の制御を行うソフトウェアであり、通信制御ファームウェア１３４は、カードリーダ１３（図１）との間でのデータ通信を制御する機能を有するソフトウェアである。また暗号処理ファームウェア１３５は、メッセージ認証コードを生成したり、勘定系ホストコンピュータ３から送信されてくるメッセージ認証コードを検証したりする暗号処理機能をもつソフトウェアである。
【００３８】
またデータ領域１３２Ｂには、ＩＣ領域１３０での処理に必要なデータが格納される。具体的には、ＩＣ領域１３０の制御に必要な処理用バッファ１３６及び通信用バッファ１３７が設けられるほか、ＩＣカード２１を用いた取引に必要な取引データ１３８などが格納される。なお、取引データ１３８には、カード番号（以下、これをＰＡＮ（Primary Account Number）と呼ぶ）や、磁気領域１４０に格納されている後述の磁気情報とほぼ同じ内容の情報、及び、そのＩＣカード２１を発行した金融機関が自由に格納できる情報であるディスクレショナリ（discretionary）情報などが含まれる。
【００３９】
さらに磁気領域１４０には、磁気テープの各トラック（図５ではトラック１〜トラック３）１４０Ａにそれぞれ必要な磁気情報が格納される。この磁気情報には、そのＩＣカード２１を発行した金融機関に付与されたその金融機関に固有の識別子（金融機関ＩＤ）、その金融機関が定めている暗証番号（以下、これをＰＩＮ（Personal Identification Number）と呼ぶ）の最大桁数（最大ＰＩＮ長）、その金融機関におけるＰＡＮの桁数（ＰＡＮ長）、そのＩＣカード２１に対応付けられた言語を表すコード（言語コード）などが含まれる。
【００４０】
図６は、勘定系ホストコンピュータ３の概略構成を示す。勘定系ホストコンピュータ３は、ＡＴＭ２の利用者の口座や残高に関する情報などを記憶及び管理するコンピュータ装置であり、図６に示すように、ＣＰＵ１５０、メモリ１５１等の情報処理資源を備えて構成される。ＣＰＵ１５０は、勘定系ホストコンピュータ３全体の動作制御を司るプロセッサである。またメモリ１５１は、例えば半導体メモリから構成される。
【００４１】
勘定系ホストコンピュータ３のメモリ１５１の記憶領域は、プログラム領域１５１Ａ及びデータ領域１５１Ｂに区分されて管理される。そしてプログラム領域１５１Ａには、勘定系ホストコンピュータ３の処理全体を制御するホストアプリケーション１５２、通信制御ソフトウェア１５３及び暗号処理ソフトウェア１５４などが格納される。
【００４２】
ホストアプリケーション１５２は、勘定系ホストコンピュータ３全体の制御を行うソフトウェアである。また通信制御ソフトウェア１５３は、勘定系ホストコンピュータ３と各ＡＴＭ２との間でのデータ通信を制御する機能を有するソフトウェアである。暗号処理ソフトウェア１５４は、ＡＴＭ２から送信されてくるメッセージ認証コードを検証したり、新たなメッセージ認証コードを生成したりする暗号処理機能をもつソフトウェアである。
【００４３】
またデータ領域１５１Ｂには、勘定系ホストコンピュータ３での処理に必要なデータが格納される。具体的には、かかるデータ領域１５１Ｂには、勘定系ホストコンピュータ３全体の制御に必要な全体制御用バッファ１５５及び通信用バッファ１５６が設けられるほか、ルート検証鍵９５、ホスト秘密鍵１０７、ホスト公開鍵１００、ホスト公開鍵署名１０８、ＣＲ検証鍵９７、ＣＲ−ホストマスタ鍵１０３及びＣＲ−ホストセッション鍵１０４などが後述する各種処理の過程で適宜格納される。
【００４４】
また勘定系ホストコンピュータ３のメモリ１５１のデータ領域１５１Ｂには、ＩＣカード２１を利用した取引に必要なＦＩＴ（Financial Institution Table）１５７も格納されている。
【００４５】
ＦＩＴ１５７は、金融機関ごとに固有な各種情報取が格納されたテーブルであり、図７Ａに示すように、金融機関ごとの金融機関ＩＤオフセット、金融機関ＩＤ、最大ＰＩＮ長、ＰＡＮオフセット、ＰＡＮ長、言語コードオフセット及びＰＩＮブロックフォーマットなどの情報１６１〜１６７がそれぞれ金融機関ごとにまとめられたレコード１６０の情報（以下、これをレコード情報と呼ぶ）としてそれぞれ格納されている。
【００４６】
このうち金融機関ＩＤは、上述のように対応する金融機関に付与されたその金融機関に固有の識別子である。また金融機関ＩＤオフセットは、その金融機関が発行したＩＣカード２１の裏面に貼着された磁気テープの記憶領域における、その金融機関の金融機関ＩＤが格納されている先頭からのオフセット量を表す。さらに最大ＰＩＮ長は、上述のようにその金融機関が定めているＰＩＮ（暗証番号）の最大長を表す。
【００４７】
またＰＡＮオフセットは、その金融機関が発行したＩＣカード２１の磁気テープの記憶領域における、ＰＡＮ（カード番号）が格納されている先頭からのオフセット量を表し、ＰＡＮ長は、その金融機関におけるカード番号の長さを表す。
【００４８】
さらに言語コードオフセットは、その金融機関が発行したＩＣカード２１の磁気テープの記憶領域における、言語コードが格納されている先頭からのオフセット量を表す。さらにＰＩＮブロックフォーマットは、利用者により入力されたＰＩＮを暗号化キーパッド１４で暗号化する際のフォーマット（暗号化フォーマット）を表す。
【００４９】
図８は、認証局５の概略構成を示す。認証局５は、必要な公開鍵に対して署名を付与するコンピュータ装置であり、ＣＰＵ１７０及びメモリ１７１等の情報処理資源を備えて構成される。ＣＰＵ１７０は、認証局５全体の動作制御を司るプロセッサである。またメモリ１７１は、例えば半導体メモリから構成される。
【００５０】
認証局５のメモリ１７１の記憶領域は、プログラム領域１７１Ａ及びデータ領域１７１Ｂに区分されて管理される。そしてプログラム領域１７１Ａには、認証局５の処理全体を制御するアプリケーション１７２、検証鍵の出力等を行うための通信制御ソフトウェア１７３及び暗号化に関する各種処理を実行する機能を有する暗号処理ソフトウェア１７４などが格納される。
【００５１】
またデータ領域１７１Ｂには、認証局５での処理に必要なデータが格納される。具体的に、データ領域１７１Ｂには、認証局５全体の制御に必要な処理用バッファ１７５及び通信制御に利用する通信制御用バッファ１７６が設けられ、さらにルート署名鍵１０９及びルート検証鍵９５などが後述する各種処理の過程で適宜格納される。
【００５２】
（１−２）本自動取引システムにおける各種処理の流れ
次に、本実施の形態の自動取引システム１において実行される各種処理の流れについて説明する。なお以下においては、各種処理の処理主体をＡＴＭ制御部１０（図２）、カードリーダ制御部７０（図３Ｂ）、カードリーダ暗号処理部７２（図３Ｃ）、暗号化キーパッド制御部１１０（図４Ｂ）、ＩＣカード２１（図５）、勘定系ホストコンピュータ３（図６）、認証局５（図８）として説明するが、実際上は、これらＡＴＭ制御部１０、カードリーダ制御部７０、カードリーダ暗号処理部７２、暗号化キーパッド制御部１１０、ＩＣカード２１、勘定系ホストコンピュータ３又は認証局５内のＣＰＵ３０，８０，９０，１２０，１３１，１５０，１７０（図２、図３Ｂ、図３Ｃ、図４Ｂ、図５、図６、図８）が対応するプログラムやソフトウェアに基づいてその処理を実行することは言うまでもない。
【００５３】
（１−２−１）鍵設定の流れ
まず、本自動取引システム１においてセキュアな取引を実施するために必要な暗号鍵の設定の流れについて説明する。この鍵設定は、ＡＴＭ２を利用者に利用可能とする前までに行われる。
【００５４】
（１−２−１−１）ルート鍵ペア及びカードリーダ鍵ペアの初期設定の流れ
図９は、ＡＴＭ２のカードリーダ１３（図３Ａ）と、認証局５（図８）とを対象として実行される初期鍵（ルート鍵ペア及びカードリーダ鍵ペア）の設定手順の流れを示す。なお、以下においては、適宜、「カードリーダ」を「ＣＲ」とも呼ぶものとする。
【００５５】
かかる初期鍵の設定を行う場合、まず、本自動取引システム１におけるセキュアな取引の責任元（主にＡＴＭベンダを想定）がセキュアな環境である認証局５おいて、非対称暗号鍵であるルート鍵ペア（ルート署名鍵１０９及びルート検証鍵９５）を生成する（Ｓ１）。そして認証局５は、このとき生成したこれらルート署名鍵１０９及びルート検証鍵９５を認証局５のメモリ１７１（図８）のデータ領域１７１Ｂに格納する（Ｓ２）。
【００５６】
また、ＡＴＭ２側では、カードリーダ１３（図３Ａ）のカードリーダ暗号処理部７２において、非対称暗号鍵であるＣＲ鍵ペア（ＣＲ署名鍵９６及びＣＲ検証鍵９７）を生成する（Ｓ３）。そしてカードリーダ暗号処理部７２は、生成したＣＲ署名鍵９６及びＣＲ検証鍵９７をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ４）。この後、カードリーダ暗号処理部７２は、ＣＲ検証鍵９７に対してルート署名鍵１０９を用いて電子署名を付与するため、ＣＲ検証鍵９７を認証局５に送信する（Ｓ５）。
【００５７】
認証局５は、かかるＣＲ検証鍵９７を受信すると（Ｓ６）、ステップＳ１で生成したルート署名鍵１０９を用いてＣＲ検証鍵９７に電子署名（ＣＲ検証鍵署名９８）を付与する（Ｓ７）。また認証局５は、付与したＣＲ検証鍵署名９８及びステップＳ１で生成したルート検証鍵９５をカードリーダ暗号処理部７２に送信する（Ｓ８）。
【００５８】
そしてカードリーダ暗号処理部７２は、これらＣＲ検証鍵署名９８及びルート検証鍵９５を受信すると（Ｓ９）、これらをメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ１０）。
【００５９】
（１−２−１−２）暗号化キーパッド鍵ペアの初期設定の流れ
一方、図１０は、暗号化キーパッド１４と、認証局５との間で実行される暗号化キーパッド鍵ペアの設定の流れを示す。なお、以下においては、適宜、「暗号化キーパッド」を「ＥＰＰ」とも呼ぶものとする。
【００６０】
図９において上述したルート署名鍵１０９及びルート検証鍵９５を認証局５が生成後、暗号化キーパッド１４が非対称暗号鍵であるＥＰＰ鍵ペア（ＥＰＰ秘密鍵１０５及びＥＰＰ公開鍵９９）を生成する（Ｓ２０）。
【００６１】
そして暗号化キーパッド１４（正確には暗号化キーパッド制御部１１０であり、以下、同様）は、生成したＥＰＰ秘密鍵１０５及びＥＰＰ公開鍵９９を暗号化キーパッド制御部１１０のメモリ１２１（図４Ｂ）のデータ領域１２１Ｂ（図４Ｂ）に格納する（Ｓ２１）。また暗号化キーパッド１４は、生成したＥＰＰ公開鍵９９を、ルート署名鍵１０９を用いて電子署名を付与するため、認証局５に送信する（Ｓ２２）。
【００６２】
一方、認証局５は、かかるＥＰＰ公開鍵９９を受信すると（Ｓ２３）、ルート署名鍵１０９を用いてこのＥＰＰ公開鍵９９に電子署名を付与する（Ｓ２４）。また、認証局５は、付与した電子署名であるＥＰＰ公開鍵署名１０６とルート検証鍵９５とを併せて暗号化キーパッド１４に送付する（Ｓ２５）。
【００６３】
そして暗号化キーパッド１４は、これらＥＰＰ公開鍵署名１０６及びルート検証鍵９５を受信すると（Ｓ２６）、これらＥＰＰ公開鍵署名１０６及びルート検証鍵９５を暗号化キーパッド制御部１１０のメモリ１２１（図４Ｂ）のデータ領域１２１Ｂ（図４Ｂ）に格納する（Ｓ２７）。
【００６４】
（１−２−１−３）暗号鍵（ホスト鍵）の初期設定の流れ
他方、図１１は、勘定系ホストコンピュータ３に対してホスト鍵を設定するホスト鍵設定の流れを示す。
【００６５】
図９について上述したルート署名鍵１０９及びルート検証鍵９５を認証局５が生成後、まず、勘定系ホストコンピュータ３が非対称暗号鍵であるホスト鍵ペア（ホスト秘密鍵１０７及びホスト公開鍵１００）を生成する（Ｓ３０）。そして勘定系ホストコンピュータ３は、生成したホスト秘密鍵１０７及びホスト公開鍵１００をメモリ１５１（図６）のデータ領域１５１Ｂ（図６）に格納する（Ｓ３１）。
【００６６】
また勘定系ホストコンピュータ３は、ルート署名鍵１０９を用いて電子署名を付与するため、ホスト公開鍵１００を認証局５に送信する（Ｓ３２）。
【００６７】
認証局５は、かかるホスト公開鍵１００を受信すると（Ｓ３３）、ルート署名鍵１０９を用いてホスト公開鍵１００に電子署名を付与する（Ｓ３４）。また認証局５は、このときホスト公開鍵１００に付与した電子署名であるホスト公開鍵署名１０８及びルート検証鍵９５を勘定系ホストコンピュータ３に送信する（Ｓ３５）。
【００６８】
そして勘定系ホストコンピュータ３は、かかるホスト公開鍵署名１０８及びルート検証鍵９５を受信すると（Ｓ３６）、これらをメモリ１５１（図６）のデータ領域１５１Ｂ（図５）に格納する（Ｓ３７）。
【００６９】
（１−２−１−４）マスタ鍵交換（ＣＲ−ＥＰＰ間）
本実施の形態の自動取引システム１では、カードリーダ１３及び暗号化キーパッド１４間と、カードリーダ１３及び勘定系ホストコンピュータ３間とで機密情報をセキュアにやり取りするために当該機密情報をセッションキーを用いて暗号化する。このセッションキーをカードリーダ１３及び暗号化キーパッド１４間と、カードリーダ１３及び勘定系ホストコンピュータ３間とでセキュアに共有するためにマスタキーを用いて暗号化する。
【００７０】
以下、このマスタキーをカードリーダ１３及び暗号化キーパッド１４間とでセキュアに共有するための手順について、図１２及び図１３を参照して説明する。
【００７１】
この場合、まず、カードリーダ１３のカードリーダ暗号処理部７２（図３Ｃ）が、ＣＲ検証鍵９７及びＣＲ検証鍵署名９８を暗号化キーパッド１４に送信する（Ｓ４０）。
【００７２】
暗号化キーパッド１４は、これらＣＲ検証鍵９７及びＣＲ検証鍵署名９８を受信すると（Ｓ４１）、ＣＲ検証鍵署名９８の署名の正当性をルート検証鍵９５を用いて検証し（Ｓ４２）、正当性が検証されればそのＣＲ検証鍵９７をメモリ１２１（図４Ｂ）のデータ領域１２１Ｂ（図４Ｂ）に格納する（Ｓ４３）。そして暗号化キーパッド１４は、この後、ＥＰＰ公開鍵９９及びＥＰＰ公開鍵署名１０６をカードリーダ１３のカードリーダ暗号処理部７２に送信する（Ｓ４４）。
【００７３】
カードリーダ暗号処理部７２は、かかるＥＰＰ公開鍵９９及びＥＰＰ公開鍵署名１０６を受信すると（Ｓ４５）、ＥＰＰ公開鍵署名１０６の署名の正当性をルート検証鍵９５を用いて検証し（Ｓ４６）、正当性が検証されればＥＰＰ公開鍵９９をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ４７）。
【００７４】
続いて、カードリーダ暗号処理部７２は、図１３に示すように、乱数によりＣＲ−ＥＰＰマスタ鍵１０１を生成し（Ｓ５０）、生成したＣＲ−ＥＰＰマスタ鍵１０１をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ５１）。
【００７５】
またカードリーダ暗号処理部７２は、このＣＲ−ＥＰＰマスタ鍵１０１をＥＰＰ公開鍵９９を用いて暗号化し、さらに暗号化したＣＲ−ＥＰＰマスタ鍵１０１（以下、これを暗号化ＣＲ−ＥＰＰマスタ鍵と呼ぶ）に対してＣＲ署名鍵９６を用いて電子署名を付与する（Ｓ５２）。そしてカードリーダ暗号処理部７２は、この後、この暗号化ＣＲ−ＥＰＰマスタ鍵１０１Ａ及び電子署名１０１Ｂを暗号化キーパッド１４に送信する（Ｓ５３）。
【００７６】
暗号化キーパッド１４は、これら暗号化ＣＲ−ＥＰＰマスタ鍵１０１Ａ及び電子署名１０１Ｂを受信すると（Ｓ５４）、まず、その電子署名１０１Ｂの正当性をＣＲ検証鍵９７を用いて検証する（Ｓ５５）。そして、暗号化キーパッド１４は、かかる正当性が検証されれば暗号化ＣＲ−ＥＰＰマスタ鍵１０１ＡをＥＰＰ秘密鍵１０５を用いて復号し（Ｓ５６）、復号したＣＲ−ＥＰＰマスタ鍵１０１をメモリ１２１（図４Ｂ）のデータ領域１２１Ｂ（図４Ｂ）に格納する（Ｓ５７）。
【００７７】
（１−２−１−５）マスタ鍵交換（ＣＲ−ホスト間）
次に、図１４及び図１５を参照して、カードリーダ１３及び勘定系ホストコンピュータ３間でマスタキーを共有する手順について説明する。この場合、まず、カードリーダ暗号処理部７２が、ＣＲ検証鍵９７及びＣＲ検証鍵署名９８を勘定系ホストコンピュータ３に送信する（Ｓ６０）。
【００７８】
勘定系ホストコンピュータ３は、かかるＣＲ検証鍵９７及びＣＲ検証鍵署名９８を受信すると（Ｓ６１）、ＣＲ検証鍵署名９８の署名の正当性をルート検証鍵９５を用いて検証し（Ｓ６２）、正当性が検証されればＣＲ検証鍵９７をメモリ１５１（図６）のデータ領域１５１Ｂ（図６）に格納する（Ｓ６３）。また勘定系ホストコンピュータ３は、この後、ホスト公開鍵１００及びホスト公開鍵署名１０８をカードリーダ暗号処理部７２に送信する（Ｓ６４）。
【００７９】
カードリーダ暗号処理部７２は、かかるホスト公開鍵１００及びホスト公開鍵署名１０８を受信すると（Ｓ６５）、ホスト公開鍵署名１０８の署名の正当性をルート検証鍵９５を用いて検証し（Ｓ６６）、正当性が検証されればホスト公開鍵１００をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ６７）。
【００８０】
またカードリーダ暗号処理部７２は、図１５で示すように、乱数によりＣＲ−ホストマスタ鍵１０３を生成し（Ｓ７０）、生成したＣＲ−ホストマスタ鍵１０３をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ７１）。
【００８１】
さらにカードリーダ暗号処理部７２は、かかるＣＲ−ホストマスタ鍵１０３をホスト公開鍵１００を用いて暗号化すると共に、暗号化したホスト公開鍵１００（以下、これを暗号化ホスト公開鍵と呼ぶ）に対してＣＲ署名鍵９６を用いて電子署名を付与し（Ｓ７２）、この後、これらの暗号化ＣＲ−ホストマスタ鍵及び電子署名を勘定系ホストコンピュータ３に送信する（Ｓ７３）。
【００８２】
そして勘定系ホストコンピュータ３は、これら暗号化ＣＲ−ホストマスタ鍵及び電子署名を受信すると（Ｓ７４）、まず、その電子署名の正当性をＣＲ検証鍵９７を用いて検証する（Ｓ７５）。そして勘定系ホストコンピュータ３は、かかる電子署名の正当性を検証できた場合、暗号化ＣＲ−ホストマスタ鍵をホスト秘密鍵１０７を用いて復号し（Ｓ７６）、かくして得られた復号されたＣＲ−ホストマスタ鍵１０３をメモリ１５１（図６）のデータ領域１５１Ｂ（図６）に格納する（Ｓ７７）。
【００８３】
（１−２−１−６）セッション鍵交換（ＣＲ−ＥＰＰ）
次に、図１６を参照して、カードリーダ１３及び暗号化キーパッド１４間で必要なカード情報を暗号化するためのセッション鍵（ＣＲ−ＥＰＰセッション鍵１０２）を共有する手順について説明する。
【００８４】
まず、カードリーダ暗号処理部７２が、乱数を用いてＣＲ−ＥＰＰセッション鍵１０２を生成し（Ｓ８０）、生成したＣＲ−ＥＰＰセッション鍵１０２をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ８１）。
【００８５】
またカードリーダ暗号処理部７２は、このＣＲ−ＥＰＰセッション鍵１０２をＣＲ−ＥＰＰマスタ鍵１０１を用いて暗号化し（Ｓ８２）、暗号化したＣＲ−ＥＰＰセッション鍵１０２（以下、これを暗号化ＣＲ−ＥＰＰセッション鍵１０２Ａと呼ぶ）を暗号化キーパッド１４に送信する（Ｓ８３）。
【００８６】
暗号化キーパッド１４は、かかる暗号化ＣＲ−ＥＰＰセッション鍵１０２Ａを受信すると（Ｓ８４）、この暗号化ＣＲ−ＥＰＰセッション鍵１０２ＡをＣＲ−ＥＰＰマスタ鍵１０１を用いて復号し（Ｓ８５）、かくして得られた復号されたＣＲ−ＥＰＰセッション鍵１０２をメモリ１２１（図４Ｂ）のデータ領域１２１Ｂ（図４Ｂ）に格納する（Ｓ８６）。
【００８７】
（１−２−１−７）セッション鍵交換（ＣＲ−ホスト）
次に、図１７を参照して、カードリーダ１３と勘定系ホストコンピュータ３の間で必要なカード情報を暗号化するためのセッション鍵（ＣＲ−ホストセッション鍵）を共有する手順について説明する。
【００８８】
まず、カードリーダ暗号処理部７２が、乱数を用いてＣＲ−ホストセッション鍵１０４を生成し（Ｓ９０）、生成したＣＲ−ホストセッション鍵１０４をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ９１）。
【００８９】
またカードリーダ暗号処理部７２は、かかるＣＲ−ホストセッション鍵１０４をＣＲ−ホストマスタ鍵１０３を用いて暗号化し（Ｓ９２）、暗号化したＣＲ−ホストセッション鍵１０４（以下、これを暗号化ＣＲ−ホストセッション鍵１０４Ａと呼ぶ）を勘定系ホストコンピュータ３に送信する（Ｓ９３）。
【００９０】
勘定系ホストコンピュータ３は、かかる暗号化ＣＲ−ホストセッション鍵１０４Ａを受信すると（Ｓ９４）、この暗号化ＣＲ−ホストセッション鍵１０４ＡをＣＲ−ホストマスタ鍵１０３を用いて復号し（Ｓ９５）、かくして得られた復号されたＣＲ−ホストセッション鍵１０４をメモリ１５１（図６）のデータ領域１５１Ｂ（図６）に格納する（Ｓ９６）。ここではセッション鍵の共有をマスタ鍵で暗号化して送付する方式で説明したが、ＤＵＫＰＴ（Derived Unique Key Per Transaction）等の鍵共有方式を利用しても同等の効果が得られる。
【００９１】
（１−２−２）本実施の形態における取引の流れ
次に、本実施の形態の自動取引システム１におけるＩＣカード２１（図１）を用いた取引の流れについて説明する。
【００９２】
（１−２−２−１）ＦＩＴ更新
図１８に示すように、ＦＩＴ１５７（図７Ａ参照）は勘定系ホストコンピュータ３にて用意されるが、更新された場合などはＡＴＭ２（図１）が持つＦＩＴ１５７を更新して同期を取る必要がある。この場合、ＣＲ−ホストセッション鍵１０４（図１７）を用いてＦＩＴ１５７を暗号化し（Ｓ１００）、暗号化したＦＩＴ（以下、これを暗号化ＦＩＴ１５７Ａと呼ぶ）をＡＴＭ制御部１０に送信する（Ｓ１０１）。またＡＴＭ制御部１０は、この暗号化ＦＩＴ１５７Ａをそのままカードリーダ１３（図１）に送付する。
【００９３】
カードリーダ１３側では、カードリーダ暗号処理部７２がこの暗号化ＦＩＴ１５７Ａを受信し（Ｓ１０２）、受信した暗号化ＦＩＴ１５７ＡをＣＲ−ホストセッション鍵１０４を用いて復号する（Ｓ１０３）。またカードリーダ暗号処理部７２は、かかる復号により得られた元のＦＩＴ１５７をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ１０４）。
【００９４】
（１−２−２−２）カード読取（磁気情報）
利用者が取引開始のための所定操作を行い、ＩＣカード２１をＡＴＭ２に装填すると、図１９に示すように、ＡＴＭ制御部１０がカードリーダ１３（図１）のカードリーダ制御部７０に対してカード読取要求を送信する（Ｓ１１０）。
【００９５】
カードリーダ制御部７０は、かかるカード読取要求を受信すると（Ｓ１１１）、カード読取処理を開始して、利用者が装填したＩＣカード２１を受け付ける（Ｓ１１２）。またカードリーダ制御部７０は、この後、ＩＣカード２１の裏面の磁気テープに記録されている磁気情報１８０をカード搬送・読取部７１（図３Ａ）に読み取らせることにより、これを取得する（Ｓ１１３）。そしてカードリーダ制御部７０は、このようにして取得した磁気情報１８０をカードリーダ暗号処理部７２に送信する（Ｓ１１４）。
【００９６】
カードリーダ暗号処理部７２は、かかる磁気情報１８０を受信すると（Ｓ１１５）、この磁気情報１８０をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ１１６）。またカードリーダ暗号処理部７２は、この後、この磁気情報１８０に対するマスク化及び暗号化をそれぞれ行う（Ｓ１１７，Ｓ１１８）。なお、ここでの「マスク化」とは、磁気情報１８０のうちのＰＡＮを含む特定の機密情報が格納されている部分の一部（例えば、ＰＡＮの真ん中の数桁）又は全部を「＊」等の記号、他の文字又は数字に変換するなどして隠蔽することを意味し、例えば、トークンＰＡＮのように最初の数桁以外の桁をランダムな数字に変換する処理も含む。また「暗号化」とは、磁気情報１８０のうちのかかる機密情報が格納されている部分を暗号化することを意味する。
【００９７】
この後、カードリーダ暗号処理部７２は、かくして得られたマスク化された磁気情報１８０（以下、これをマスク化磁気情報１８０Ａと呼ぶ）と、暗号化された磁気情報１８０（以下、これを暗号化磁気情報１８０Ｂと呼ぶ）とをＡＴＭ制御部１０にそれぞれ送信する（Ｓ１１９）。
【００９８】
そしてＡＴＭ制御部１０は、かかるマスク化磁気情報１８０Ａ及び暗号化磁気情報１８０Ｂを受信すると（Ｓ１２０）、これらをメモリ３１（図２）のデータ領域３１Ｂ（図２）に格納する（Ｓ１２１）。
【００９９】
（１−２−２−３）ＦＩＴ照合
続いて、ＡＴＭ制御部１０は、図２０に示すように、今回の取引に必要な情報を取得すべく、カードリーダ１３に対してＦＩＴ照合要求を送信する（Ｓ１３０）。
【０１００】
カードリーダ暗号処理部７２は、このＦＩＴ照合要求を受信すると（Ｓ１３１）、磁気情報１８０をＦＩＴ１５７と照合するＦＩＴ照合処理を実行する（Ｓ１３２）。そして、カードリーダ暗号処理部７２は、このＦＩＴ照合処理により、ＦＩＴ１５７に登録されている各金融機関に関する情報のうちのそのＩＣカード２１を発行した金融機関を特定し、特定した金融機関に関するレコード１６０（図７Ａ）のレコード情報（以下、これをその金融機関のＦＩＴレコード情報１８３と呼ぶ）を取得する（Ｓ１３３）。
【０１０１】
またカードリーダ暗号処理部７２は、このＦＩＴレコード情報１８３を使用して磁気情報１８０からそのＩＣカード２１のＰＡＮを取得し、取得したＰＡＮを暗号化すると共に（Ｓ１３４）、かかるＦＩＴレコード情報１８３を使用して磁気情報１８０からそのＩＣカード２１の言語コードを取得する（Ｓ１３５）。
【０１０２】
そしてカードリーダ暗号処理部７２は、このようにして取得した暗号化したＰＡＮ（以下、これを暗号化ＰＡＮ１８１Ａと呼ぶ）と、言語コード１８２と、その他のＦＩＴレコード情報１８３とをＦＩＴ照合結果１８４としてＡＴＭ制御部１０に送信する（Ｓ１３６）。
【０１０３】
またＡＴＭ制御部１０は、かかるＦＩＴ照合結果１８４を受信すると（Ｓ１３７）、受信したＦＩＴ照合結果１８４をメモリ３１（図２）のデータ領域３１Ｂ（図２）に格納する（Ｓ１３８）。
【０１０４】
なおＡＴＭ制御部１０は、この後、このとき取得したＦＩＴ照合結果１８４に含まれる言語コード１８２に基づいて、各種画面をその言語コード１８２に応じた言語で表示するよう表示部１９（図１）を制御する一方、ＦＩＴレコード情報１８３に含まれるＰＩＮ長やＰＩＮブロックフォーマットなどの情報を暗号化キーパッド１４に送信する。そして暗号化キーパッド１４は、このＰＩＮ長やＰＩＮブロックフォーマットに基づいて、取引時におけるＰＩＮの受付けや、ＰＩＮの暗号化を行う。
【０１０５】
（１−２−２−４）カード読取（ＩＣ情報）
次に、図２１に示すように、ＡＴＭ制御部１０がカードリーダ制御部７０に対してＩＣチップ読取要求を送信する（Ｓ１４０）。
【０１０６】
カードリーダ制御部７０は、このＩＣチップ読取要求を受信すると（Ｓ１４１）、ＩＣカード２１に実装されたＩＣチップからＩＣ情報１９０をカード搬送・読取部７１（図３Ａ）に読み取らせることにより、これを取得する（Ｓ１４２）。そしてカードリーダ制御部７０は、このようにして取得したＩＣ情報１９０のうち、機密にすべき情報（ＰＡＮ及び上述のディスクレショナリ（discretionary）情報などであり、以下、これを機密ＩＣ情報と呼ぶ）１９１をカードリーダ暗号処理部７２に送信する（Ｓ１４３）。
【０１０７】
カードリーダ暗号処理部７２は、かかる機密ＩＣ情報１９１を受信すると（Ｓ１４４）、受信した機密ＩＣ情報１９１をメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ１４５）。
【０１０８】
そしてカードリーダ暗号処理部７２は、この後、機密ＩＣ情報１９１のマスク化及び暗号化をそれぞれ行い（Ｓ１４６，Ｓ１４７）、かかるマスク化された機密ＩＣ情報１９１（以下、これをマスク化機密ＩＣ情報１９１Ａと呼ぶ）と、かかる暗号化された機密ＩＣ情報１９１（以下、これを暗号化機密ＩＣ情報１９１Ｂと呼ぶ）とをＡＴＭ制御部１０にそれぞれ送信する（Ｓ１４８）。なお、ここでの「マスク化」及び「暗号化」とは、上述した磁気情報１８０の「マスク化」及び「暗号化」と同様である。
【０１０９】
そしてＡＴＭ制御部１０は、かかるマスク化機密ＩＣ情報１９１Ａ及び暗号化機密ＩＣ情報１９１Ｂを受信すると（Ｓ１４９）、これらをメモリ３１（図２）のデータ領域３１Ｂ（図２）に格納する（Ｓ１５０）。
【０１１０】
（１−２−２−５）ＰＩＮ入力
次に、ＡＴＭ制御部１０は、図２２に示すように、暗号化キーパッド１４にＰＩＮ入力受付要求を送信する（Ｓ１６０）。そして、暗号化キーパッド１４は、このＰＩＮ入力受付要求を受信すると（Ｓ１６１）、ＰＩＮ入力受付処理を開始して、利用者にＰＩＮを入力すべき旨の操作指示画面を表示部１９（図１）に表示させ、その後、利用者が暗号化キーパッド１４のキーパッド１１１（図４Ａ）のキーを押下してＰＩＮを入力するのを待ち受ける。
【０１１１】
そして暗号化キーパッド１４は、利用者がキーパッド１１１のキーを押下するごとに、キーが押下された旨の情報（以下、これをキー押下情報と呼ぶ）２００をＡＴＭ制御部１０に送信する（Ｓ１６２）。なお、このステップＳ１６２では、暗号化キーパッド１４からはキーが押下されたという情報（以下、これをキー押下情報２００と呼ぶ）のみがＡＴＭ制御部１０に通知され、どのキーが押されたかという情報はＡＴＭ制御部１０に通知されない。
【０１１２】
また、このときＡＴＭ制御部１０は、かかるキー押下情報２００を受信すると（Ｓ１６３）、必要に応じて利用者がＰＩＮを何桁目まで入力したかという情報をＡＴＭ画面に表示させる。
【０１１３】
そして暗号化キーパッド１４は、やがてキーパッド１１１の確定キーが押下され又は入力されたＰＩＮが指定桁数に到達するなどにより利用者によるＰＩＮの入力が完了すると、ＰＩＮの入力が完了した旨の通知（以下、これを入力完了通知と呼ぶ）をＡＴＭ制御部１０に送信する（Ｓ１６４）。かくしてＡＴＭ制御部１０は、この入力完了通知に基づいてＰＩＮ入力が完了したことを認識する（Ｓ１６５）。ただしＡＴＭ制御部１０が入力された桁数からＰＩＮ入力完了を判断するようにしてもよい。また暗号化キーパッド１４は、この後、そのとき利用者が入力したＰＩＮをメモリ１２１（図４Ｂ）のデータ領域１２１Ｂ（図４Ｂ）に格納する（Ｓ１６６）。
【０１１４】
ＡＴＭ制御部１０は、この後、暗号化したＰＩＮの転送を暗号化キーパッド１４に要求（以下、この要求を暗号化ＰＩＮ転送要求と呼ぶ）する（Ｓ１６７）。この際、ＰＩＮの暗号化方式の中にはＰＡＮを必要とするものがあるため、暗号化ＰＡＮ１８１Ａをかかる暗号化ＰＩＮ転送要求と併せて送付する。この暗号化ＰＡＮ１８１Ａは、図２０について上述した処理のステップＳ１３８でＡＴＭ制御部１０がメモリ３１（図２）のデータ領域３１Ｂ（図２）に格納しておいたＦＩＴ照合結果１８４（図２０）に含まれているものである。
【０１１５】
暗号化キーパッド１４側では、かかる暗号化ＰＩＮ転送要求を受信すると（Ｓ１６８）、必要に応じて暗号化ＰＡＮ１８１Ａを復号し（Ｓ１６９）、復号したＰＡＮを使用してＰＩＮを暗号化する（Ｓ１７０）。そして暗号化キーパッド１４は、暗号化したＰＩＮ（以下、これを暗号化ＰＩＮと呼ぶ）２０１をＡＴＭ制御部１０に送信する（Ｓ１７１）。
【０１１６】
またＡＴＭ制御部１０は、かかる暗号化ＰＩＮ２０１を受信すると（Ｓ１７２）、この暗号化ＰＩＮ２０１をメモリ３１（図２）のデータ領域３１Ｂ（図２）に格納する（Ｓ１７３）。
【０１１７】
（１−２−２−６）取引金額入力
この後、ＡＴＭ制御部１０は、図２３に示すように、暗号化キーパッド１４に対して利用者に取引金額を入力させるべき旨の金額入力要求を送信する（Ｓ１８０）。そして暗号化キーパッド１４は、この金額入力要求を受信すると（Ｓ１８１）、金額入力処理を開始して、利用者に取引金額を入力すべき旨の操作指示画面を表示部１９（図１）に表示させ、その利用者がキーパッド１１１（図４Ａ）のキーを押下して取引金額を入力するのを待ち受ける。
【０１１８】
そして暗号化キーパッド１４は、利用者がキーパッド１１１のキーを押下するごとに、押下されたキーの値を押下キー情報２１０としてＡＴＭ制御部１０に通知する（Ｓ１８２）。またＡＴＭ制御部１０は、かかる押下キー情報２１０を受信すると（Ｓ１８３）、この押下キー情報２１０に基づいて、そのときまでに利用者が入力した取引金額を金額情報としてＡＴＭ画面に表示させる。
【０１１９】
そして暗号化キーパッド１４は、やがてキーパッド１１１の確定キーが押下されることにより利用者による取引金額の入力が完了すると、その旨の通知（入力完了通知）をＡＴＭ制御部１０に通知する（Ｓ１８４）。かくしてＡＴＭ制御部１０は、この入力完了通知に基づいて取引金額の入力が完了したことを認識する（Ｓ１８５）。
【０１２０】
そしてＡＴＭ制御部１０は、この後、利用者により入力された取引金額を金額情報２１１としてメモリ３１（図２）のデータ領域３１Ｂ（図２）に格納する（Ｓ１８６）。
【０１２１】
（１−２−２−７）カード認証データ要求
続いて、ＡＴＭ制御部１０は、図２４に示すように、カードリーダ制御部７０経由でＩＣカード２１に対してカード認証データを作成すべき旨のカード認証データ作成要求を送信する（Ｓ１９０）。この際、ＡＴＭ制御部１０は、かかるカード認証データの作成に必要な取引金額等の情報２２０をカード認証データ作成要求と共にＩＣカード２１に送信する。
【０１２２】
ＩＣカード２１は、かかるカード認証データ作成要求を受信すると（Ｓ１９１）、当該カード認証データ作成要求と共に送信されてきた情報２２０を利用して、カード認証データ２２１を作成する（Ｓ１９２）。そしてＩＣカード２１は、作成したカード認証データ２２１をカードリーダ制御部７０経由でＡＴＭ制御部１０に送信する（Ｓ１９３）。
【０１２３】
またＡＴＭ制御部１０は、かかるカード認証データ２２１を受信すると（Ｓ１９４）、そのカード認証データ２２１をメモリ３１（図２）のデータ領域３１Ｂ（図２）に格納する（Ｓ１９５）。
【０１２４】
（１−２−２−８）取引要求
次いで、ＡＴＭ制御部１０は、図２５に示すように、これまでの処理でメモリ３１のデータ領域３１Ｂに格納されているマスク化磁気情報１８０Ａ、暗号化磁気情報１８０Ｂ、マスク化機密ＩＣ情報１９１Ａ、暗号化機密ＩＣ情報１９１Ｂ、金額情報２１１及びカード認証データ２２１などの情報から、勘定系ホストコンピュータ３に対する取引要求電文２３０を作成し（Ｓ２００）、作成した取引要求電文２３０を勘定系ホストコンピュータ３に送信する（Ｓ２０１）。
【０１２５】
また勘定系ホストコンピュータ３は、かかる取引要求電文２３０を受信すると（Ｓ２０２）、受信した取引要求電文２３０に含まれる暗号化磁気情報１８０Ｂ及び暗号化機密ＩＣ情報１９１Ｂをそれぞれ復号し（Ｓ２０３）、かかる復号により得られた磁気情報１８０及びＩＣ情報１９０などを用いて取引要求電文２３１を作成し直す（Ｓ２０４）。
【０１２６】
そして勘定系ホストコンピュータ３は、作成し直した取引要求電文２３１を外部ネットワーク２３２経由でカードブランド・イシュア（図示せず）に送信する（Ｓ２０５）。
【０１２７】
（１−２−２−９）取引応答
この後、勘定系ホストコンピュータ３は、図２６に示すように、外部ネットワーク２３２経由でカードブランド・イシュア（図示せず）から上述の取引要求電文２３１に対する取引応答電文２４０を受信する（Ｓ２１０）。この取引応答電文２４０には、金額情報２４１及びイシュア認証データ２４２等が含まれる。
【０１２８】
そして勘定系ホストコンピュータ３は、かかる取引応答電文２４０を受信すると、その情報から、ＡＴＭ制御部１０に対する取引応答電文２４３を作成し直し（Ｓ２１１）、作成し直した取引応答電文２４３をＡＴＭ制御部１０に送信する（Ｓ２１２）。なお、この取引応答電文２４３には、金額情報２４１及びイシュア認証データ２４２が含まれる。
【０１２９】
ＡＴＭ制御部１０は、かかる取引応答電文２４３を受信すると（Ｓ２１３）、当該取引応答電文２４３に含まれる金額情報２４１及びイシュア認証データ２４２等の電文情報をメモリ３１（図２）のデータ領域３１Ｂ（図２）に格納する（Ｓ２１４）。
【０１３０】
（１−２−２−１０）イシュア認証及び出金
この後、ＡＴＭ制御部１０は、図２７に示すように、イシュア認証データ２４２と、イシュア認証を要求するイシュア認証要求とをカードリーダ制御部７０経由でＩＣカード２１に送信する（Ｓ２２０）。
【０１３１】
ＩＣカード２１は、かかるイシュア認証データ２４２及びイシュア認証要求を受信すると（Ｓ２２１）、イシュア認証を実施する（Ｓ２２２）。そしてＩＣカード２１は、実行したイシュア認証の認証結果をイシュア認証結果２４４としてＡＴＭ制御部１０に送信する（Ｓ２２３）。
【０１３２】
ＡＴＭ制御部１０は、かかるイシュア認証結果２４４を受信すると（Ｓ２２４）、イシュア認証が成功したか否かを判定し、イシュア認証が成功であった場合には、出金すべき金額を含む出金情報２４５及び出金要求を紙幣処理部１２に送信する（Ｓ２２５）。そして紙幣処理部１２は、かかる出金要求を受信すると、そのとき受信した出金情報に基づく金額を出金する（Ｓ２２６）。
【０１３３】
（１−３）本実施の形態の効果
以上のように本実施の形態の自動取引システム１では、カードリーダ１３のカードリーダ暗号処理部７２（図３Ｃ）がＦＩＴ１５７（図７Ａ）を保持し、当該ＦＩＴ１５７を参照して、ＩＣカード２１から読み取ったカード情報（磁気情報１８０（図１９）及び機密ＩＣ情報１９１（図２１））のうちのＰＡＮを含む機密情報を暗号化した上で、必要なカード情報をＡＴＭ制御部１０を介して勘定系ホストコンピュータ３に送信する。
【０１３４】
従って、本実施の形態によれば、仮にＡＴＭ２のＡＴＭ制御部１０がマルウェアに感染してカード情報が外部に流出したとしても、機密情報が暗号化されているため、偽造カードの作成や不正なネットショッピングの利用に必要なＰＡＮの漏洩を防止することができ、かくして信頼性の高い自動取引システムを実現することができる。
【０１３５】
また本実施の形態によれば、ＡＴＭ制御部１０が暗号化されていないカード番号を取り扱わなくなるため、ＰＣＩＤＳＳ（Payment Card Industry Data Security Standards）の認定を受ける際の検査対象からＡＴＭ制御部１０を外すことができ、その分、ＡＴＭ２がＰＣＩＤＳＳの認定を受け易くなるという効果をも得ることができる。
【０１３６】
（２）第２の実施の形態
第１の実施の形態では、ＦＩＴ１５７（図７Ａ）をカードリーダ暗号処理部７２で処理する方式を説明した。ＦＩＴ１５７が持つ金融機関番号が機密に該当しない桁のみに限定できるという条件で、ＡＴＭ制御部１０にＦＩＴ１５７を持たせることができる。以下ではこのケースを第２の実施の形態として、ＩＣカード２１を用いて取引を実施する手順を第１の実施の形態と異なる箇所についてのみ説明する。
【０１３７】
（２−１）本実施の形態による自動取引システムの構成
図１との対応部分に同一符号を付して示す図２８は、第２の実施の形態による自動取引システム２５０を示す。この自動取引システム２５０は、勘定系ホストコンピュータ２５１と、ＡＴＭ２５２のＡＴＭ制御部２５３及びカードリーダ２５４の一部処理に関する機能が異なる点を除いて第１の実施の形態による自動取引システム１（図１）と同様に構成されている。
【０１３８】
この場合、勘定系ホストコンピュータ２５１は、そのＣＰＵ１５０（図６）がメモリ１５１に格納されたホストアプリケーション１５２（図６）に基づいて実行する図２９について後述するＦＩＴ更新に関する処理の処理内容と、図３０について後述するＦＩＴ照合に関する処理の処理内容とが異なる点を除いて第１の実施の形態の勘定系ホストコンピュータ３と同様の構成を有する。
【０１３９】
またＡＴＭ２５２は、ＡＴＭ制御部２５３のＣＰＵ３０（図２）がメモリ３１に格納されたＡＴＭアプリケーション４０（図２）に基づいて実行する図２９及び図３０について後述する処理の処理内容と、カードリーダ２５４のカードリーダ暗号処理部２５５（図２９）のＣＰＵ９０（図３Ｃ）がメモリ９１（図３Ｃ）に格納されたアプリケーション９２（図３Ｃ）に基づいて実行する図２９及び図３０について後述する処理の処理内容とが異なる点を除いて第１の実施の形態のＡＴＭ２と同様の構成を有する。
【０１４０】
（２−２）ＦＩＴ更新
図２９は、図１８について上述した第１の実施の形態のＦＩＴ更新処理に代えて本実施の形態の自動取引システム２５０において実行されるＦＩＴ更新処理の処理手順を示す。本実施の形態の場合、図２９に示すように、第１の実施の形態と同様、ＦＩＴ１５７は勘定系ホストコンピュータ２５１（図２８）にて用意されるが、ＦＩＴ１５７が更新された場合などはＡＴＭ２５２（図２８）が持つＦＩＴ１５７を更新して同期を取る必要がある。
【０１４１】
そこで、本実施の形態において、勘定系ホストコンピュータ２５１は、更新されたＦＩＴ１５７をＡＴＭ２５２のＡＴＭ制御部２５３に送信する（Ｓ２５０）。ＡＴＭ制御部２５３は、このＦＩＴ１５７を受信すると（Ｓ２５１）、受信した更新後のＦＩＴ１５７をメモリ３１（図２）のデータ領域３１Ｂ（図２）及び図示しないＡＴＭ２５２内のハードディスク装置等からなる外部記憶装置に格納する（Ｓ２５２）。
【０１４２】
またＡＴＭ制御部２５３は、図７Ｂに示すように、このＦＩＴ１５７に含まれる金融機関ごとに固有な各種情報のうちの機密情報に関連する項目（ここでは各金融機関のレコード１６０（図７Ａ）のレコード情報のうち、金融機関ＩＤオフセット、金融機関ＩＤ、ＰＡＮオフセット、ＰＡＮ長及び言語コードオフセット）の各情報１６１，１６２，１６４，１６５，１６６を金融機関ごとにそれぞれ抜粋してこれらそれぞれその金融機関のレコード１６０Ａとすることにより、ＦＩＴ１５７のサブセットとなるＦＩＴ機密関連テーブル１５７Ａを作成する（Ｓ２５３）。そしてＡＴＭ制御部２５３は、このようにして作成したＦＩＴ機密関連テーブル１５７Ａをカードリーダ２５４（図２８）に送信する（Ｓ２５４）。
【０１４３】
カードリーダ２５４は、かかるＦＩＴ機密関連テーブル１５７Ａをカードリーダ暗号処理部２５５がカードリーダ制御部７０経由で受信し（Ｓ２５５）、受信したＦＩＴ機密関連テーブル１５７Ａをメモリ９１（図３Ｃ）のデータ領域９１Ｂ（図３Ｃ）に格納する（Ｓ２５６）。
【０１４４】
（２−３）ＦＩＴ照合
一方、図３０は、図２０について上述した第１の実施の形態のＦＩＴ照合処理に代えて本実施の形態の自動取引システム２５０において実行されるＦＩＴ照合処理の処理手順を示す。
【０１４５】
本実施の形態の場合、ＡＴＭ制御部２５３は、マスク化磁気情報１８０ＡをＦＩＴ１５７と照合する（Ｓ２６０）。照合結果より、該当する金融機関のレコード１６０の機密データ（ここではＰＡＮ及び言語コード）以外のレコード情報を取得する（Ｓ２６１）。またＡＴＭ制御部２５３は、ステップＳ２６０の参照結果に基づいて、ＦＩＴ１５７に登録された各金融機関のレコード１６０のうち、該当する金融機関のレコード１６０が何番目のレコードであるかを表す番号でなるテーブルインデックス３００をカードリーダ２５４（図２８）に送信し、該当するレコード１６０に含まれる機密データの取得を要求する（Ｓ２６２）。
【０１４６】
カードリーダ２５４のカードリーダ暗号処理部２５５は、かかる要求をカードリーダ制御部７０経由で受信すると（Ｓ２６３）、機密データの取得処理を開始し、まず磁気情報１８０をＦＩＴ機密関連テーブル１５７Ａ（図７Ｂ）と照合することにより、ＦＩＴ機密関連テーブル１５７Ａ上のかかるテーブルインデックス３００に対応するレコード１６０ＡからＰＡＮのオフセットの情報１６４（図７Ｂ）を取得する（Ｓ２６４）。またカードリーダ暗号処理部２５５は、取得したＰＡＮオフセットの情報１６４を用いて、磁気情報１８０上にあるＰＡＮ及び言語コードを取得し、取得したＰＡＮを暗号化することにより暗号化ＰＡＮ１８１Ａを生成する（Ｓ２６５）。
【０１４７】
さらにカードリーダ暗号処理部２５５は、ＦＩＴ機密関連テーブル１５７Ａから取得した言語コードオフセットの情報１６６（図７Ｂ）を用いて、磁気情報１８０から言語コード１８２を取得する（Ｓ２６６）。そしてカードリーダ暗号処理部２５５は、このように生成又は取得した暗号化ＰＡＮ１８１Ａ及び言語コード１８２をＡＴＭ制御部２５３に送信する（Ｓ２６７）。
【０１４８】
ＡＴＭ制御部２５３は、カードリーダ制御部７０を介してこれらの暗号化ＰＡＮ１８１Ａ及び言語コード１８２を受信すると（Ｓ２６８）、受信した暗号化ＰＡＮ１８１Ａ、言語コード１８２、及びその他のＦＩＴ１５７及びＦＩＴ機密関連テーブル１５７Ａを照合した結果２５９をメモリ３１（図２）のデータ領域３１Ｂ（図２）に格納する（Ｓ２６９）。
【０１４９】
（２−４）本実施の形態の効果
以上のように本実施の形態の自動取引システム２５０では、カードリーダ２５４（図２８）のカードリーダ暗号処理部２５５が、ＦＩＴ１５７に代えて、ＦＩＴ１５７に含まれる各種情報１６１〜１６７のうち、機密情報を取得するための情報１６１，１６２，１６４〜１６６のみを抜粋したＦＩＴ機密関連テーブル１５７Ａを保持し、このＦＩＴ機密関連テーブル１５７Ａに基づいてＩＣカード２１から読み出した磁気情報１８０からＰＡＮを取得し、取得したＰＡＮを暗号してＡＴＭ制御部２５３に送信する。また、ＡＴＭ制御部２５３は、ＦＩＴ１５７を保持し、このＦＩＴ１５７を参照してマスク化磁気情報１８０Ａから取得可能なカード情報を取得する。
【０１５０】
この場合、ＦＩＴ機密関連テーブル１５７Ａのデータ量は、ＦＩＴ１５７のデータ量と比べて格段的に少ない。従って、本実施の形態の自動取引システム２５０によれば、第１の実施の形態の自動取引システム１により得られる効果に加えて、カードリーダ２５４のカードリーダ暗号処理部２５５がＩＣカード２１からＰＡＮを取得する際に必要なテーブルを保持するためのメモリ９１（図３Ｃ）のメモリ容量を低減させることができるという効果をも得ることができる。
【０１５１】
また本自動取引システム２５０では、上述のようにカードリーダ暗号処理部２５５からＰＡＮと言語コードのみを取得すれば良く、磁気情報１８０からカード情報を取得する処理をカードリーダ暗号処理部２５５と、ＡＴＭ制御部２５３とで分担することになるため結果的に、カードリーダ暗号処理部２５５の処理負荷を低減し、カード情報の取得に関するカードリーダ暗号処理部２５５の処理時間を低減させることができる。
【０１５２】
（３）第３の実施の形態
（３−１）本実施の形態による自動取引システムの概要及び構成
次に、図３１〜図３７を参照して、本実施の形態による自動取引システム２６０（図３１）について説明する。本実施の形態の自動取引システム２６０は、ＣＲ−ホストマスタ鍵１０３（図３３）を勘定系ホストコンピュータ２６１で生成し、生成したＣＲ−ホストマスタ鍵１０３を勘定系ホストコンピュータ２６１からＡＴＭ２６２のカードリーダ２６３に送付する点を特徴とし、他の部分は第１の実施の形態の自動取引システム１（図１）と同様に構成されている。
【０１５３】
このため図３Ｃとの対応部分に同一符号を付して示す図３２に示すように、本実施の形態のカードリーダ２６３のカードリーダ暗号処理部２７０は、後述する各種処理の過程において、図３Ｃのホスト公開鍵１００に代えてホスト検証鍵２７１をメモリ９１のデータ領域９１Ｂに適宜保持すると共に、ＣＲ秘密鍵２７２及びＣＲ公開鍵２７３をメモリ９１のデータ領域９１Ｂに適宜保持する。これ以外のカードリーダ２６３の構成は、図３４〜図３７の処理に関するアプリケーション２７５（図３２）の機能を除いて第１の実施の形態のカードリーダ１３（図１）と同様である。
【０１５４】
また本実施の形態の勘定系ホストコンピュータ２６１は、図６との対応部分に同一符号を付して示す図３３に示すように、後述する各種処理の過程において、図６のホスト秘密鍵１０７、ホスト公開鍵１００、ホスト公開鍵署名１０８及びＣＲ検証鍵９７に代えて、ホスト署名鍵２８０、ホスト検証鍵２８１及びホスト検証鍵署名２８２をメモリ１５１のデータ領域１５１Ｂに保持する。これ以外の勘定系ホストコンピュータ２６１の構成は、図３４〜図３７の処理に関するアプリケーション２８３（図３３）の機能を除いて第１の実施の形態の勘定系ホストコンピュータ３（図１）と同様である。
【０１５５】
さらに認証局２６４（図３１）のＣＰＵ１７０がメモリ１７１に格納されたアプリケーション１７２に基づいて実行する図３４〜図３７の処理の処理内容の一部も第１の実施の形態と異なっているが、これ以外の処理内容は第１の実施の形態の認証局５と同様である。
【０１５６】
（３−２）ルート鍵ペア及びＣＲ鍵ペアの初期設定の流れ
図３４は、図９に代えて本実施の形態の自動取引システム２６０（図３１）において実行される初期鍵（ルート鍵ペア及びＣＲ鍵ペア）の設定手順の流れを示す。
【０１５７】
かかる初期鍵の設定を行う場合、まず、本自動取引システム２６０におけるセキュアな取引の責任元（主にＡＴＭベンダを想定）がセキュアな環境である認証局２６４おいて、非対称暗号鍵であるルート鍵ペア（ルート署名鍵１０９及びルート検証鍵９５）を生成する（Ｓ２７０）。そして認証局２６４は、このとき生成したこれらルート署名鍵１０９及びルート検証鍵９５を認証局２６４のメモリ１７１（図８）のデータ領域１７１Ｂに格納する（Ｓ２７１）。
【０１５８】
またＡＴＭ２６２（図３１）側では、カードリーダ２６３（図３１）のカードリーダ暗号処理部２７０（図３２）において、非対称暗号鍵であるＣＲ鍵ペア（ＣＲ秘密鍵２７２及びＣＲ公開鍵２７３）を生成する（Ｓ２７２）。そしてカードリーダ暗号処理部２７０は、生成したＣＲ秘密鍵２７２及びＣＲ公開鍵２７３をメモリ９１（図３２）のデータ領域９１Ｂ（図３２）に格納する（Ｓ２７３）。この後、カードリーダ暗号処理部２７０は、ＣＲ公開鍵２７３に対して、ルート署名鍵１０９を用いて電子署名を付与するため、ＣＲ公開鍵２７３を認証局２６４に送信する（Ｓ２７４）。
【０１５９】
認証局２６４は、かかるＣＲ公開鍵２７３を受信すると（Ｓ２７５）、ステップＳ２７０で生成したルート署名鍵１０９を用いてＣＲ公開鍵２７３に電子署名を付与する（Ｓ２７６）。また認証局２６４は、付与した電子署名であるＣＲ公開鍵署名２７４及びルート検証鍵９５をカードリーダ暗号処理部２７０に送信する（Ｓ２７７）。
【０１６０】
そしてカードリーダ暗号処理部２７０は、これらＣＲ公開鍵署名２７４及びルート検証鍵９５を受信すると（Ｓ２７８）、これらをメモリ９１（図３２）のデータ領域９１Ｂ（図３２）に格納する（Ｓ２７９）。
【０１６１】
（３−３）暗号鍵（ホスト鍵）の初期設定の流れ
一方、図３５は、図１１に代えて本実施の形態の自動取引システム２６０（図３１）において実行される初期鍵（ホスト鍵）の設定手順の流れを示す。
【０１６２】
図３４について上述したルート署名鍵１０９及びルート検証鍵９５を認証局２６４が生成後、まず、勘定系ホストコンピュータ２６１が非対称暗号鍵であるホスト鍵ペア（ホスト署名鍵２８０及びホスト検証鍵２８１）を生成する（Ｓ２８０）。そして勘定系ホストコンピュータ２６１は、生成したホスト署名鍵２８０及びホスト検証鍵２８１をメモリ１５１（図３３）のデータ領域１５１Ｂ（図３３）に格納する（Ｓ２８１）。
【０１６３】
また勘定系ホストコンピュータ２６１は、ルート署名鍵１０９を用いて電子署名を付与するため、ホスト検証鍵２８１を認証局２６４に送信する（Ｓ２８２）。
【０１６４】
認証局２６４は、かかるホスト検証鍵２８１を受信すると（Ｓ２８３）、ルート署名鍵１０９を用いてホスト検証鍵２８１に電子署名を付与する（Ｓ２８４）。また認証局２６４は、このときホスト検証鍵２８１に付与した電子署名であるホスト検証鍵署名２８２及びルート検証鍵９５を勘定系ホストコンピュータ２６１に送信する（Ｓ２８５）。
【０１６５】
そして勘定系ホストコンピュータ２６１は、かかるホスト検証鍵署名２８２及びルート検証鍵９５を受信すると（Ｓ２８６）、これらをメモリ１５１（図３３）のデータ領域１５１Ｂ（図３３）に格納する（Ｓ２８７）。
【０１６６】
（３−４）マスタ鍵交換（ＣＲ−ホスト）
図３６及び図３７は、図１４及び図１５に代えて本実施の形態による自動取引システム２６０（図３１）において、カードリーダ２６３及び勘定系ホストコンピュータ２６１間でマスタキーを共有するために実行される処理の流れを示す。この場合、まずカードリーダ暗号処理部２７０が、ＣＲ公開鍵２７３及びＣＲ公開鍵署名２７４を勘定系ホストコンピュータ２６１に送信する（Ｓ２９０）。
【０１６７】
勘定系ホストコンピュータ２６１は、かかるＣＲ公開鍵２７３とＣＲ公開鍵署名２７４を受信すると（Ｓ２９１）、ＣＲ公開鍵署名２７４の署名の正当性をルート検証鍵９５を用いて検証し（Ｓ２９２）、正当性が検証されればＣＲ公開鍵２７３をメモリ１５１（図３３）のデータ領域１５１Ｂ（図３３）に格納する（Ｓ２９３）。また勘定系ホストコンピュータ２６１は、この後、ホスト検証鍵２８１及びホスト検証鍵署名２８２をカードリーダ暗号処理部２７０に送信する（Ｓ２９４）。
【０１６８】
カードリーダ暗号処理部２７０は、かかるホスト検証鍵２８１及びホスト検証鍵署名２８２を受信すると（Ｓ２９５）、ホスト検証鍵署名２８２の署名の正当性をルート検証鍵９５を用いて検証し（Ｓ２９６）、正当性が検証されればホスト検証鍵２８１をメモリ９１（図３２）のデータ領域９１Ｂ（図３２）に格納する（Ｓ２９７）。
【０１６９】
この後、図３７に示すように、勘定系ホストコンピュータ２６１は、乱数によりＣＲ−ホストマスタ鍵１０３を生成し（Ｓ３００）、生成したＣＲ−ホストマスタ鍵１０３をメモリ９１（図３２）のデータ領域９１Ｂ（図３２）に格納する（Ｓ３０１）。
【０１７０】
さらに勘定系ホストコンピュータ２６１は、ＣＲ公開鍵２７３を用いてＣＲ−ホストマスタ鍵１０３を暗号化すると共に、暗号化したＣＲ−ホストマスタ鍵１０３（以下、これを暗号化ＣＲ−ホストマスタ鍵１０３Ａと呼ぶ）に対してホスト署名鍵２８０を用いて電子署名を付与し（Ｓ３０２）、この後、これらの暗号化ＣＲ−ホストマスタ鍵１０３Ａ及び電子署名をカードリーダ暗号処理部２７０に送信する（Ｓ３０３）。
【０１７１】
カードリーダ暗号処理部２７０は、暗号化ＣＲ−ホストマスタ鍵１０３Ａ及び電子署名を受信すると（Ｓ３０４）、まず、その電子署名の正当性をホスト検証鍵２８１を用いて検証する（Ｓ３０５）。そしてカードリーダ暗号処理部２７０は、かかる電子署名の正当性を検証できた場合、暗号化ＣＲ−ホストマスタ鍵１０３ＡをＣＲ秘密鍵２７２を用いて復号し（Ｓ３０６）、かくして得られた復号されたＣＲ−ホストマスタ鍵１０３をメモリ９１（図３２）のデータ領域９１Ｂ（図３２）に格納する（Ｓ３０７）。
【０１７２】
続くセッション鍵の生成についても、第１の実施の形態（図１７）ではカードリーダ暗号処理部７２にてＣＲ−ホストセッション鍵を生成し、これをホストコンピュータ３に送信することでＣＲ−ホストセッション鍵の共有を行っているのに対し、第３の実施の形態ではホストコンピュータ２６１にてＣＲ−ホストセッション鍵を生成し、暗号化し、カードリーダ暗号処理部２７０に送信し、カードリーダ暗号処理部２７０にて復号化したＣＲ−ホストセッション鍵を、メモリ９１に記憶することで、図１７と同様にＣＲ−ホストセッション鍵を共有する。
【０１７３】
（３−５）本実施の形態の効果
以上のように本実施の形態の自動取引システム２６０によれば、ＡＴＭ２６２のカードリーダ２６３のカードリーダ暗号処理部２７０と、勘定系ホストコンピュータ２６１とが通信を行う際の暗号化に利用するＣＲ−ホストセッション鍵１０４を共有する際、当該ＣＲ−ホストセッション鍵１０４を暗号化するのに利用するＣＲ−ホストマスタ鍵１０３を勘定系ホストコンピュータ２６１で生成するため、複数のＡＴＭ２６２との間のＣＲ−ホストマスタ鍵１０３を勘定系ホストコンピュータ２６１において一括管理することができる。
【０１７４】
従って、第１の実施の形態のようにかかるＣＲ−ホストマスタ鍵１０３を各ＡＴＭ２（図１）のカードリーダ１３（図１）のカードリーダ暗号処理部７２（図３Ｃ）で生成する場合と比べてその管理が容易であり、また端末である各ＡＴＭ２６２においてＣＲ−ホストマスタ鍵１０３を管理する場合と比べてハッキングを受けたときのリスクを低減することができる。
【０１７５】
（４）他の実施の形態
なお上述の第１〜第３の実施の形態においては、自動取引装置としてのＡＴＭ２，２５２，２６２を図１、図２８又は図３１のように構成するようにした場合について述べたが、本発明はこれに限らず、この他種々の構成を広く適用することができる。また、ＡＴＭ２，２５２，２６２の取引としては、入金取引、出金取引、送金取引、残高確認などのカード認証後に行う取引きであってよい。
【０１７６】
また上述の第１〜第３の実施の形態においては、カード媒体がＩＣカード２１である場合について述べたが、本発明はこれに限らず、カード媒体が磁気カードの場合でも本発明を適用することができる。
【０１７７】
さらに上述の第１〜第３の実施の形態においては、取引要求電文２３０（図２５）を生成して勘定系ホストコンピュータ３（ホスト装置）に送信し、当該勘定系ホストコンピュータ３からの取引応答電文２４３（図２６）に基づいて取引を行うための制御処理を実行する装置制御部としてのＡＴＭ制御部１０，２５３を図２、図２８のように構成するようにした場合について述べたが、本発明はこれに限らず、この他種々の構成を広く適用することができる。
【０１７８】
さらに、上述の第１〜第３の実施の形態においては、ＦＩＴ１５７、ＦＩＴ機密関連テーブル１５７Ａをテーブルとして説明したがその形式はテーブルに限るものではなく、上述の処理を実行する上で必要となる情報を関連付けた情報（例えば、金融機関毎のカード情報のフォーマットに関する情報）であればよい。
【０１７９】
さらに上述の第２の実施の形態においては、ＦＩＴ機密関連テーブル１５７Ａを、各金融機関のレコード１６０Ａのレコード情報のうち、金融機関ＩＤオフセット、金融機関ＩＤ、ＰＡＮオフセット、ＰＡＮ長及び言語コードオフセットの各情報１６１，１６２，１６４，１６５，１６７を金融機関ごとにそれぞれ抜粋して作成するようにした場合について述べたが、本発明はこれに限らず、これらの情報１６１，１６２，１６４，１６５，１６７以外の情報を含ませるようにしても良い。
【産業上の利用可能性】
【０１８０】
本発明は、カード情報と、利用者の操作とに基づいて入出金取引を行うＡＴＭと、当該入出金取引の承認等を行う勘定系ホストコンピュータとを有する自動取引システムに適用することができる。
【符号の説明】
【０１８１】
１，２５０，２６０……自動取引システム、２，２５２，２６２……ＡＴＭ、３，２５１，２６１……勘定系ホストコンピュータ、５，２６４……認証局、１０，２５３……ＡＴＭ制御部、１３，２５４，２６３……カードリーダ、１４……暗号化キーパッド、２１……ＩＣカード、３０，９０，１２０，１５０，１７０……ＣＰＵ、７２……カードリーダ暗号処理部、１１０……暗号化キーパッド制御部、１３０……ＩＣ領域、１４０……磁気領域、１５７……ＦＩＴ、１５７Ａ……ＦＩＴ機密関連テーブル。
【図１】
2017208445.tif 000003
【図２】
2017208445.tif 000004
【図３Ａ】
2017208445.tif 000005
【図３Ｂ】
2017208445.tif 000006
【図３Ｃ】
2017208445.tif 000007
【図４Ａ】
2017208445.tif 000008
【図４Ｂ】
2017208445.tif 000009
【図５】
2017208445.tif 000010
【図６】
2017208445.tif 000011
【図７Ａ】
2017208445.tif 000012
【図７Ｂ】
2017208445.tif 000013
【図８】
2017208445.tif 000014
【図９】
2017208445.tif 000015
【図１０】
2017208445.tif 000016
【図１１】
2017208445.tif 000017
【図１２】
2017208445.tif 000018
【図１３】
2017208445.tif 000019
【図１４】
2017208445.tif 000020
【図１５】
2017208445.tif 000021
【図１６】
2017208445.tif 000022
【図１７】
2017208445.tif 000023
【図１８】
2017208445.tif 000024
【図１９】
2017208445.tif 000025
【図２０】
2017208445.tif 000026
【図２１】
2017208445.tif 000027
【図２２】
2017208445.tif 000028
【図２３】
2017208445.tif 000029
【図２４】
2017208445.tif 000030
【図２５】
2017208445.tif 000031
【図２６】
2017208445.tif 000032
【図２７】
2017208445.tif 000033
【図２８】
2017208445.tif 000034
【図２９】
2017208445.tif 000035
【図３０】
2017208445.tif 000036
【図３１】
2017208445.tif 000037
【図３２】
2017208445.tif 000038
【図３３】
2017208445.tif 000039
【図３４】
2017208445.tif 000040
【図３５】
2017208445.tif 000041
【図３６】
2017208445.tif 000042
【図３７】
2017208445.tif 000043
【国際調査報告】
2017208445.tif 000044
2017208445.tif 000045
2017208445.tif 000046
2017208445.tif 000047