(57)【要約】【課題】  データキャリア認証を行う自動販売機において、データキャリアの不正利用を防止する新規なセキュリティ技術を提供する。【解決手段】  ネットワーク１０８を介してサーバ２００に接続され、媒体１０４を利用して商品販売を行う自動販売機であって、ユーザ１０２から提示された媒体１０４の媒体情報を受け付け、媒体情報に含まれる媒体識別子およびシーケンス番号を取得するとともに、媒体１０４にシーケンス番号を書き込む媒体アクセス部１１４と、取得したシーケンス番号から所定の関数で得られる次のシーケンス番号を生成し、媒体アクセス部１１４に媒体１０４に書き込ませるシーケンス番号生成部１３２と、媒体識別子およびシーケンス番号をサーバ２００に送信し、かつサーバ２００から媒体１０４のシーケンス番号の照合結果を受信する通信部１１６と、照合結果から媒体１０４の使用を許可するか否かを判定する認証結果判定部１３６と、を備える。【選択図】      図１
2006059040.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して自動販売機および情報管理サーバが接続された構成を有し、媒体情報を含むデータキャリアを利用して商品の販売を行う自動販売機システムであって、
前記自動販売機は、
利用者から提示されたデータキャリアの媒体情報を受け付け、前記媒体情報に含まれる媒体識別子およびシーケンス番号を取得するデータキャリア受付部と、
前記データキャリア受付部で取得した前記媒体識別子および前記シーケンス番号を前記情報管理サーバに送信する送信部と、
前記データキャリア受付部で取得したシーケンス番号から所定の関数で得られる次のシーケンス番号を生成するシーケンス番号生成部と、
前記シーケンス番号生成部で生成された前記次のシーケンス番号を前記データキャリアに書き込む書込部と、
前記情報管理サーバから前記データキャリアの照合結果を受信する受信部と、
前記受信部で受信した前記照合結果から前記データキャリアの使用を許可するか否かを判定する判定部と、を備え、
前記情報管理サーバは、
前記自動販売機から送信された前記媒体識別子および前記シーケンス番号を受信する受信部と、
すべてのデータキャリアの媒体識別子と当該データキャリアの次のシーケンス番号を関連付けて記憶するシーケンス番号記憶部と、
前記シーケンス番号記憶部にアクセスし、前記受信部で受信した前記媒体識別子の前記シーケンス番号を取得し、取得した前記シーケンス番号を前記受信部で受信した前記シーケンス番号と照合する照合部と、
前記照合部の照合結果を前記自動販売機に送信する送信部と、
前記受信部で受信した前記シーケンス番号から前記所定の関数で得られる次のシーケンス番号を生成し、前記シーケンス番号記憶部に格納するシーケンス番号生成部と、
を備えたことを特徴とする自動販売機システム。
【請求項２】
請求項１に記載の自動販売機システムにおいて、
前記自動販売機と前記情報管理サーバは、前記データキャリアの使用とは非同期に前記媒体識別子、前記シーケンス番号、および前記照合結果を送受信し、
前記自動販売機は、前記受信部が前記情報管理サーバから受信した前記照合結果を前記データキャリアの前記媒体識別子と関連付けて記憶する照合結果記憶部を含み、
前記自動販売機の前記判定部は、前記データキャリアの使用時に前記データキャリア受付部で前記シーケンス番号を取得したとき、前記照合結果記憶部にアクセスし、前記照合結果を取得し、取得した前記照合結果から前記データキャリアが認証されたか否かを判定することを特徴とする自動販売機システム。
【請求項３】
請求項１または２に記載の自動販売機システムにおいて、
前記自動販売機と前記情報管理サーバは、前記データキャリアの使用時にリアルタイムに前記シーケンス番号および前記照合結果を送受信し、前記データキャリアの認証を行うことを特徴とする自動販売機システム。
【請求項４】
ネットワークを介して自動販売機および情報管理サーバが接続された構成を有し、媒体情報を含むデータキャリアを利用して商品の販売を行う自動販売機システムであって、
前記自動販売機は、
利用者から提示されたデータキャリアの媒体情報を受け付け、前記媒体情報に含まれる媒体識別子およびシーケンス番号を取得するデータキャリア受付部と、
前記データキャリア受付部で取得したシーケンス番号から所定の関数で得られる次のシーケンス番号を生成するシーケンス番号生成部と、
前記データキャリア受付部で取得した前記媒体識別子および前記シーケンス番号、ならびに前記シーケンス番号生成部で生成された前記次のシーケンス番号を前記情報管理サーバに送信する送信部と、
前記シーケンス番号生成部で生成された前記次のシーケンス番号を前記データキャリアに書き込む書込部と、
前記情報管理サーバから前記データキャリアの照合結果を受信する受信部と、
前記受信部で受信した前記照合結果から前記データキャリアの使用を許可するか否かを判定する判定部と、を備え、
前記情報管理サーバは、
前記自動販売機から送信された前記媒体識別子、前記シーケンス番号、および前記次のシーケンス番号を受信する受信部と、
すべてのデータキャリアの媒体識別子と当該データキャリアの次のシーケンス番号を関連付けて記憶するシーケンス番号記憶部と、
前記シーケンス番号記憶部にアクセスし、前記受信部で受信した前記媒体識別子の前記シーケンス番号を取得し、取得した前記シーケンス番号を前記受信部で受信した前記シーケンス番号を照合する照合部と、
前記照合部の照合結果を前記自動販売機に送信する送信部と、
前記照合部で前記シーケンス番号を照合した後、前記受信部で受信した前記次のシーケンス番号を前記シーケンス番号記憶部に格納するシーケンス番号更新部と、
を備えたことを特徴とする自動販売機システム。
【請求項５】
請求項４に記載の自動販売機システムにおいて、
前記自動販売機と前記情報管理サーバは、前記データキャリアの使用とは非同期に前記媒体識別子、前記シーケンス番号、前記次のシーケンス番号、および前記照合結果を送受信し、
前記自動販売機は、前記受信部が前記情報管理サーバから受信した前記照合結果を前記データキャリアの前記媒体識別子と関連付けて記憶する照合結果記憶部を含み、
前記自動販売機の前記判定部は、前記データキャリアの使用時に前記データキャリア受付部で前記シーケンス番号を取得したとき、前記照合結果記憶部にアクセスし、前記照合結果を取得し、取得した前記照合結果から前記データキャリアが認証されたか否かを判定することを特徴とする自動販売機システム。
【請求項６】
請求項４または５に記載の自動販売機システムにおいて、
前記自動販売機と前記情報管理サーバは、前記データキャリアの使用時にリアルタイムに前記シーケンス番号、前記次のシーケンス番号、および前記照合結果を送受信し、前記データキャリアの認証を行うことを特徴とする自動販売機システム。
【請求項７】
ネットワークを介して情報管理サーバに接続され、媒体情報を含むデータキャリアを利用して商品の販売を行う自動販売機であって、
利用者から提示されたデータキャリアの媒体情報を受け付け、前記媒体情報に含まれる媒体識別子およびシーケンス番号を取得するデータキャリア受付部と、
前記データキャリア受付部で取得した前記媒体識別子および前記シーケンス番号を前記情報管理サーバに送信する送信部と、
前記データキャリア受付部で取得したシーケンス番号から所定の関数で得られる次のシーケンス番号を生成するシーケンス番号生成部と、
前記シーケンス番号生成部で生成された前記次のシーケンス番号を前記データキャリアに書き込む書込部と、
前記情報管理サーバから前記データキャリアの照合結果を受信する受信部と、
前記受信部で受信した前記照合結果から前記データキャリアの使用を許可するか否かを判定する判定部と、を備えたことを特徴とする自動販売機。
【請求項８】
請求項７に記載の自動販売機において、
前記データキャリアの使用とは非同期に前記媒体識別子、前記シーケンス番号、および前記照合結果を前記情報管理サーバと送受信し、
前記受信部が前記情報管理サーバから受信した前記照合結果を前記データキャリアの前記媒体識別子と関連付けて記憶する照合結果記憶部を含み、
前記判定部は、前記データキャリアの使用時に前記データキャリア受付部で前記シーケンス番号を取得したとき、前記照合結果記憶部にアクセスし、前記照合結果を取得し、取得した前記照合結果から前記データキャリアが認証されたか否かを判定することを特徴とする自動販売機。
【請求項９】
請求項７または８に記載の自動販売機において、
前記データキャリアの使用時にリアルタイムに前記シーケンス番号および前記照合結果を前記情報管理サーバと送受信し、前記データキャリアの認証を行うことを特徴とする自動販売機。
【請求項１０】
ネットワークを介して自動販売機に接続された構成を有し、媒体情報を含むデータキャリアを利用して商品の販売を行う自動販売機を管理する情報管理サーバであって、
前記自動販売機から送信された前記データキャリアの媒体識別子およびシーケンス番号を受信する受信部と、
すべてのデータキャリアの媒体識別子と当該データキャリアの次のシーケンス番号を関連付けて記憶するシーケンス番号記憶部と、
前記シーケンス番号記憶部にアクセスし、前記受信部で受信した前記媒体識別子の前記シーケンス番号を取得し、取得した前記シーケンス番号を前記受信部で受信した前記シーケンス番号と照合する照合部と、
前記照合部の照合結果を前記自動販売機に送信する送信部と、
前記受信部で受信した前記シーケンス番号から前記所定の関数で得られる次のシーケンス番号を生成し、前記シーケンス番号記憶部に格納するシーケンス番号生成部と、
を備えたことを特徴とする情報管理サーバ。
【請求項１１】
請求項１０に記載の情報管理サーバにおいて、
前記データキャリアの使用とは非同期に前記媒体識別子、前記シーケンス番号、および前記照合結果を前記自動販売機と送受信することを特徴とする情報管理サーバ。
【請求項１２】
請求項１０または１１に記載の情報管理サーバにおいて、
前記データキャリアの使用時にリアルタイムに前記シーケンス番号および前記照合結果を前記自動販売機と送受信することを特徴とする情報管理サーバ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動販売機システムに関し、特に、データキャリアを利用し、商品の販売を行う自動販売機システムおよび当該システムに用いられる自動販売機および情報管理サーバに関する。
【背景技術】
【０００２】
近年、ユビキタス時代を担うデータキャリアとして期待が高まっているＩＣタグやＩＣカードを利用して認証や決済を行う自動販売機の開発が精力的に行われている。このような自動販売機により商品の販売を行うシステムにおいては、セキュリティを充分に確保し、データキャリアの不正利用を防止することが重要な技術的課題となる。
【０００３】
この種の自動販売機におけるセキュリティ対策として、従来、以下のような方式が知られている。すなわち、自動販売機によりデータキャリアから所定の情報が抽出され、抽出された情報が、自動販売機とネットワーク接続されたサーバに送信される。サーバは、かかる情報に基づいて認証や決済を行い、その結果を自動販売機に送信する。自動販売機は、認証等の結果を受信するとデータキャリア内の情報を書き換える（特許文献１）。
【０００４】
この方式では、１度目のデータキャリアのかざしにより認証が行われ、２度目のかざしによりデータキャリア内の情報が書き換えられ、かかるステップを経ることによりデータキャリアの不正利用防止が図れる。
【０００５】
ところが、データキャリアを２度かざすことは、利便性の点で問題がある上、データキャリア内のデータの書き換えに失敗することもある。したがって、データキャリアのかざし回数は１度にすることが望まれる。
【０００６】
しかしながら、利便性向上等の観点からかざしを１度で済ます方式とした場合、従来の方式に変わる新しいセキュリティ方式が求められる。すなわち、かざしを１度で済ますためには、自動販売機とサーバとの間の通信時間を充分に短くするか、自動販売機とサーバとの間の通信を不要とすることが必要となる。くわえて、フロントエンド（データキャリア）の多様化にともない、フロントエンドとバックエンド（サーバ）との同期を確実にとることが求められる。かざしを１度で済ます方式におけるセキュリティを確保するには、このような技術的課題を解決することが要請される。
【特許文献１】特開２００４−４６７５４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明は上記事情に鑑みてなされたものであり、データキャリアを利用して認証等を行う自動販売機において、データキャリアの不正利用を防止する新規なセキュリティ技術を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明によれば、ネットワークを介して自動販売機および情報管理サーバが接続された構成を有し、媒体情報を含むデータキャリアを利用して商品の販売を行う自動販売機システムであって、前記自動販売機は、利用者から提示されたデータキャリアの媒体情報を受け付け、前記媒体情報に含まれる媒体識別子およびシーケンス番号を取得するデータキャリア受付部と、前記データキャリア受付部で取得した前記媒体識別子および前記シーケンス番号を前記情報管理サーバに送信する送信部と、前記データキャリア受付部で取得したシーケンス番号から所定の関数で得られる次のシーケンス番号を生成するシーケンス番号生成部と、前記シーケンス番号生成部で生成された前記次のシーケンス番号を前記データキャリアに書き込む書込部と、前記情報管理サーバから前記データキャリアの照合結果を受信する受信部と、前記受信部で受信した前記照合結果から前記データキャリアの使用を許可するか否かを判定する判定部と、を備え、前記情報管理サーバは、前記自動販売機から送信された前記媒体識別子および前記シーケンス番号を受信する受信部と、すべてのデータキャリアの媒体識別子と当該データキャリアの次のシーケンス番号を関連付けて記憶するシーケンス番号記憶部と、前記シーケンス番号記憶部にアクセスし、前記受信部で受信した前記媒体識別子の前記シーケンス番号を取得し、取得した前記シーケンス番号を前記受信部で受信した前記シーケンス番号と照合する照合部と、前記照合部の照合結果を前記自動販売機に送信する送信部と、前記受信部で受信した前記シーケンス番号から前記所定の関数で得られる次のシーケンス番号を生成し、前記シーケンス番号記憶部に格納するシーケンス番号生成部と、を備えたことを特徴とする自動販売機システムが提供される。
【０００９】
本発明におけるデータキャリアは、非接触ＩＣカード、非接触ＩＣタグのほか、携帯電話内等に収納された非接触型ＩＣチップを含み、内部に金銭価値情報（電子マネー）を保有し、この価値情報により決済を行う構成とする。
【００１０】
データキャリアの媒体情報には、たとえば、媒体識別子、利用停止ビット、シーケンス番号、有効期限日時、残高が含まれる。プリペイド停止ビットが有効である場合、カードの使用は不可となる。
【００１１】
本発明における「商品」は様々な形態の商品を含む。たとえば、自動販売機で販売されるたばこ、飲料、食料品、本、玩具、乗車券、定期券、各種チケット、郵便切手や葉書、あるいは、サービスや情報の提供なども含まれる。
【００１２】
本発明における「利用者」とは、本発明に係る自動販売機を利用して商品を購入する者をいう。
【００１３】
この発明によれば、データキャリアを利用して認証等を行う自動販売機システムにおいて、データキャリアの不正利用を防止する新規なセキュリティ技術が提供される。
【００１４】
上記自動販売機システムにおいて、前記自動販売機と前記情報管理サーバは、前記データキャリアの使用とは非同期に前記媒体識別子、前記シーケンス番号、および前記照合結果を送受信し、前記自動販売機は、前記受信部が前記情報管理サーバから受信した前記照合結果を前記データキャリアの前記媒体識別子と関連付けて記憶する照合結果記憶部を含むことができ、前記自動販売機の前記判定部は、前記データキャリアの使用時に前記データキャリア受付部で前記シーケンス番号を取得したとき、前記照合結果記憶部にアクセスし、前記照合結果を取得し、取得した前記照合結果から前記データキャリアが認証されたか否かを判定することができる。
【００１５】
たとえば、利用者による商品購入がなされていない待機中や、夜間など情報管理サーバの負荷が低い時間帯などにバッチ処理でシーケンス番号の照合を行うこともできる。
【００１６】
この構成によれば、情報管理サーバの負荷が低いときに、データキャリアの認証を行うことができるので、商品購入時にデータキャリアの認証にかかる時間を短縮でき、自動販売機のレスポンスが早くなり、利便性が増す。この場合、不正なデータキャリアの検知は、次回使用時となるが、そのときはサーバと照合結果のやりとりをする必要がないので、データキャリアの不正使用を迅速に検知することができる。
【００１７】
上記自動販売機システムにおいて、前記自動販売機と前記情報管理サーバは、前記データキャリアの使用時にリアルタイムに前記シーケンス番号および前記照合結果を送受信し、前記データキャリアの認証を行うことができる。
【００１８】
この構成によれば、商品購入時に即時データキャリアの照合が行え、データキャリアの不正使用を防止することができる。
【００１９】
本発明によれば、ネットワークを介して自動販売機および情報管理サーバが接続された構成を有し、媒体情報を含むデータキャリアを利用して商品の販売を行う自動販売機システムであって、前記自動販売機は、利用者から提示されたデータキャリアの媒体情報を受け付け、前記媒体情報に含まれる媒体識別子およびシーケンス番号を取得するデータキャリア受付部と、前記データキャリア受付部で取得したシーケンス番号から所定の関数で得られる次のシーケンス番号を生成するシーケンス番号生成部と、前記データキャリア受付部で取得した前記媒体識別子および前記シーケンス番号、ならびに前記シーケンス番号生成部で生成された前記次のシーケンス番号を前記情報管理サーバに送信する送信部と、前記シーケンス番号生成部で生成された前記次のシーケンス番号を前記データキャリアに書き込む書込部と、前記情報管理サーバから前記データキャリアの照合結果を受信する受信部と、前記受信部で受信した前記照合結果から前記データキャリアの使用を許可するか否かを判定する判定部と、を備え、前記情報管理サーバは、前記自動販売機から送信された前記媒体識別子、前記シーケンス番号、および前記次のシーケンス番号を受信する受信部と、すべてのデータキャリアの媒体識別子と当該データキャリアの次のシーケンス番号を関連付けて記憶するシーケンス番号記憶部と、前記シーケンス番号記憶部にアクセスし、前記受信部で受信した前記媒体識別子の前記シーケンス番号を取得し、取得した前記シーケンス番号を前記受信部で受信した前記シーケンス番号を照合する照合部と、前記照合部の照合結果を前記自動販売機に送信する送信部と、前記照合部で前記シーケンス番号を照合した後、前記受信部で受信した前記次のシーケンス番号を前記シーケンス番号記憶部に格納するシーケンス番号更新部と、を備えたことを特徴とする自動販売機システムが提供される。
【００２０】
この発明によれば、データキャリアを利用して認証等を行う自動販売機システムにおいて、データキャリアの不正利用を防止する新規なセキュリティ技術が提供される。
【００２１】
本発明によれば、ネットワークを介して情報管理サーバに接続され、媒体情報を含むデータキャリアを利用して商品の販売を行う自動販売機であって、利用者から提示されたデータキャリアの媒体情報を受け付け、前記媒体情報に含まれる媒体識別子およびシーケンス番号を取得するデータキャリア受付部と、前記データキャリア受付部で取得した前記媒体識別子および前記シーケンス番号を前記情報管理サーバに送信する送信部と、前記データキャリア受付部で取得したシーケンス番号から所定の関数で得られる次のシーケンス番号を生成するシーケンス番号生成部と、前記シーケンス番号生成部で生成された前記次のシーケンス番号を前記データキャリアに書き込む書込部と、前記情報管理サーバから前記データキャリアの照合結果を受信する受信部と、前記受信部で受信した前記照合結果から前記データキャリアの使用を許可するか否かを判定する判定部と、を備えたことを特徴とする自動販売機が提供される。
【００２２】
この発明によれば、データキャリアを利用して認証等を行う自動販売機において、データキャリアの不正利用を防止する新規なセキュリティ技術が提供される。
【００２３】
本発明によれば、ネットワークを介して自動販売機に接続された構成を有し、媒体情報を含むデータキャリアを利用して商品の販売を行う自動販売機を管理する情報管理サーバであって、前記自動販売機から送信された前記データキャリアの媒体識別子およびシーケンス番号を受信する受信部と、すべてのデータキャリアの媒体識別子と当該データキャリアの次のシーケンス番号を関連付けて記憶するシーケンス番号記憶部と、前記シーケンス番号記憶部にアクセスし、前記受信部で受信した前記媒体識別子の前記シーケンス番号を取得し、取得した前記シーケンス番号を前記受信部で受信した前記シーケンス番号と照合する照合部と、前記照合部の照合結果を前記自動販売機に送信する送信部と、前記受信部で受信した前記シーケンス番号から前記所定の関数で得られる次のシーケンス番号を生成し、前記シーケンス番号記憶部に格納するシーケンス番号生成部と、を備えたことを特徴とする情報管理サーバが提供される。
【００２４】
この発明によれば、媒体のセキュリティを向上させ、不正使用を阻止することが可能となる情報管理サーバが提供される。
【００２５】
以上、本発明の構成について説明したが、これらの各構成の任意の組合せや、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。
【発明の効果】
【００２６】
本発明によれば、データキャリアを利用して認証等を行う自動販売機において、データキャリアの不正利用を防止する新規なセキュリティ技術が提供される。
【発明を実施するための最良の形態】
【００２７】
以下、本発明の実施の形態について、図面を用いて説明する。なお、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。
（第一の実施の形態）
図１は、本発明の実施の形態に係る自動販売機システムの構成を示す概略ブロック図である。本実施形態に係る自動販売機システムは、自動販売機１００とネットワーク１０８を介して接続されたサーバ２００とを含む。自動販売機１００は、プリペイド機能などの電子マネー機能を有する媒体１０４から所定の情報を取得し、サーバ２００に認証用の情報をネットワーク１０８を介して送信する。
【００２８】
サーバ２００は、認証用情報をもとに、媒体１０４の正当性の認証を行い、認証結果を自動販売機１００にネットワーク１０８を介して送信する。自動販売機１００は、サーバ２００から受け取った認証結果から正当性を認証された媒体１０４であると認識した場合に、決済処理を行い商品の払い出しを行う。
【００２９】
本実施の形態では、媒体１０４として非接触式ＩＣカードを用いた例について説明する。非接触式ＩＣカードは、外部の端末が発信する微弱な電波を利用してデータを送受信するアンテナ（不図示）と、半導体集積回路（ＩＣチップ）（不図示）と、を含む。
【００３０】
図２は、本実施形態に係る自動販売機１００の外観の一例を示す正面図である。この自動販売機には、前面パネルにサンプル見本３０１が設けられ、商品サンプルが陳列されている。この自動販売機はＩＣカードによる商品の購入だけでなく、現金による商品の購入も可能となっており、さらに、ＩＣカードの残高不足分を現金で充当する方法で商品を購入することも可能である。このため、前面パネルに、ＩＣカード読取部３０５とともに札投入口３０２、釣銭戻しレバー３０３、硬貨投入口３０４が設けられている。そして、現金を使用した場合の釣銭を取り出すための釣銭口３０８が設けられている。購入した商品は商品搬出口３０９から取り出す。なお、ＩＣカード使用手順等については、液晶表示部３０６によりナビゲートがなされる。
【００３１】
以下、自動販売機１００の機能について、図１を参照して説明する。
【００３２】
自動販売機１００は、商品購入受付部１１２と、媒体アクセス部１１４と、通信部１１６と、払出部１１８と、表示部１２０と、スピーカ部１２２と、通知部１２４と、精算部１２６と、情報チェック部１３０と、シーケンス番号生成部１３２と、認証結果判定部１３６と、を含む。
【００３３】
商品購入受付部１１２は、ユーザ１０２からの商品購入要求を受け付ける。購入要求は、図２のサンプル見本３０１に設けられた商品ボタンを押下することにより行われる。受け付けた購入要求は、通信部１１６へ送出される。
【００３４】
媒体アクセス部１１４は、ユーザ１０２により提示された媒体１０４と通信する機能を有する。本実施の形態では、媒体アクセス部１１４と媒体１０４は、微弱な電流によって非接触で通信を行う。媒体アクセス部１１４は、媒体１０４から所定の情報を取得して、これを情報チェック部１３０へ送出する。
【００３５】
媒体アクセス部１１４は、たとえば図３のような構成とすることができる。媒体アクセス部１１４は、媒体読取部１６０および媒体更新部１６２を含む。媒体読取部１６０は、通信部１１６でサーバ２００との通信が確立したとき、ユーザ１０２によって提示された媒体１０４にアクセスし、媒体１０４から後述する媒体情報を取得し、情報チェック部１３０およびシーケンス番号生成部１３２に送出する。媒体更新部１６２は、シーケンス番号生成部１３２および精算部１２６から受け取った媒体情報を媒体１０４に書き込む。あるいは、自動販売機１００またはサーバ２００により、媒体１０４の利用を停止する判断がなされた場合、媒体１０４に利用停止ビットの書き込みを行う。
【００３６】
なお、本実施の形態では、媒体１０４には、以下の媒体情報が格納されており、媒体読取部１６０および媒体更新部１６２は、これらの情報の読み取りおよび書き込みを行う。
(i)媒体ＩＤ
(ii)利用停止ビット
(iii)プリペイド用シーケンス番号
(iv)有効期限日時
(v)残高
【００３７】
図１に戻り、通信部１１６は、自動販売機１００とサーバ２００との間のネットワーク１０８を介した通信を制御する。通信部１１６は、商品購入受付部１１２から商品購入要求受付の通知を受け取ると、サーバ２００にネットワーク１０８を介して接続要求を行う。その後、通信部１１６は、サーバ２００との通信が確立したか否かの判定を行い、その結果を情報チェック部１３０に送出する。また、通信部１１６は、サーバ２００に情報チェック部１３０から受け取った媒体情報をサーバ２００に送信する。さらに、通信部１１６は、サーバ２００から認証結果および照合結果を受け取り認証結果判定部１３６に送出する。本実施の形態で通信部１１６からサーバ２００に送信する媒体情報には、媒体ＩＤ、シーケンス番号が含まれる。
【００３８】
払出部１１８は、認証結果判定部１３６による判断の結果、商品を販売可能と判断した場合に、その商品をユーザ１０２へ払い出す。表示部１２０は、所定の表示画面を介し、ユーザ１０２に対して所定の処理を要求したり、購入が許可されない旨を表示したりする。また、残高不足など、媒体１０４に含まれる金銭価値情報についても適宜表示を行う。本実施形態では、こうした内容のメッセージを、図２の液晶表示部３０６に表示する。スピーカ部１２２は、所定のメッセージを出力する。
【００３９】
通知部１２４は、ユーザ１０２に自動販売機１００のプリペイドカードによる購入不可を通知したり、媒体１０４のプリペイド機能は利用不可であることを通知したりするメッセージの出力を表示部１２０およびスピーカ部１２２に指示する。たとえば、サーバ２００との通信が確立できなかった場合、プリペイドカードによる購入は不可となる。また、媒体１０４の正当性が認証されなかった場合、当該媒体１０４のプリペイド機能は利用不可となる。また、通知部１２４は、ユーザ１０２に媒体１０４の提示を要求するメッセージの出力を表示部１２０およびスピーカ部１２２に指示する。
【００４０】
精算部１２６は、情報チェック部１３０および認証結果判定部１３６の判断により、購入が可能となったとき、料金の精算を行う。現金およびプリペイドカードからの精算を行った後、精算部１２６は、媒体１０４の残高を媒体アクセス部１１４の媒体更新部１６２に通知し、媒体１０４の媒体情報への書き込みを指示する。
【００４１】
図４は、図１における自動販売機１００の情報チェック部１３０の詳細を示す機能ブロック図である。情報チェック部１３０は、利用停止ビットチェック部１４０、カード利用可否判断部１４２、媒体種別判断部１４４、残金判断部１４６および計時部１４８を含む。
【００４２】
また、情報チェック部１３０は、媒体１０４に格納されたユーザ１０２の生年月日情報を取得し、これと、計時部１４８から得られる現在の日時とを対比して、成人認証を行う成人認証部（不図示）を含むこともできる。
【００４３】
利用停止ビットチェック部１４０は、媒体アクセス部１１４の媒体読取部１６０から受け取った媒体情報に、利用停止ビットが含まれているか否かを判断する。ここで、利用停止ビットとは、媒体１０４に書き込まれた購入を禁止する情報をいう。自動販売機１００やサーバ２００の判断により、購入不可と判断された場合、自動販売機１００は媒体１０４に対して利用停止ビットを書き込む。利用停止ビットチェック部１４０により利用停止ビットが含まれていると判断された場合、プリペイド機能による購入は不可となる。したがって、利用停止ビットチェック部１４０は、利用停止ビットが含まれていると判断すると、通知部１２４にその旨を通知する。
【００４４】
カード利用可否判断部１４２は、媒体１０４の有効期限に関する情報（有効期限日時）を取得し、その媒体が利用可能であるかどうかを判断する。その際、計時部１４８を参照し、現在の日時と、有効期限日時とを比較する。カード利用可否判断部１４２で有効期限が切れていると判断された場合、プリペイド機能による購入は不可となる。したがって、カード利用可否判断部１４２は、カードの有効期限が切れていると判断すると、通知部１２４にその旨を通知する。
【００４５】
媒体種別判断部１４４は、媒体１０４の種別を判断する。即ち、媒体１０４が決済機能を有するか否か等を判断する。媒体１０４の種類によって残金判断部１４６による処理フローが異なるものとなるので、媒体種別判断部１４４は、媒体種別を判別すると、その判別結果を残金判断部１４６に通知する。
【００４６】
残金判断部１４６は、媒体１０４に格納された価値（プリペイド残高）を判別する。また、残金判断部１４６は、商品購入受付部１１２で受け付けた購入要求された商品の価格と、媒体アクセス部１１４の媒体読取部１６０から受け取った媒体１０４の残高とを比較し、販売可能かどうかを判断する。残金判断部１４６は、販売不可と判断した場合、通知部１２４にその旨を通知する。一方、残金判断部１４６は、販売可能と判断した場合、精算部１２６に料金の精算を指示する。
【００４７】
計時部１４８は、日時を計測する機能を有する。計測された日時をカード利用可否判断部１４２が参照して有効期限による利用の可否判断を行う。
【００４８】
図１に戻り、シーケンス番号生成部１３２は、媒体アクセス部１１４の媒体読取部１６０から受け取ったシーケンス番号から所定の関数で得られる次のシーケンス番号を生成し、媒体アクセス部１１４の媒体更新部１６２に送出する。
【００４９】
ここで、所定の関数とは、たとえば、以下の式（１）に示されるように、ｎ番目のシーケンス番号Ｘnを元に、（ｎ＋１）番目のシーケンス番号Xn+1を生成する。関数ｆ（ｘ）は、たとえば、乱数を発生させる関数である。
Ｘn+1＝ｆ（Xn）                ・・・式（１）
ここで、ｎは自然数。
【００５０】
たとえば、Ｘ1＝１１、Ｘ2＝ｆ（１１）＝３０、Ｘ3＝ｆ（３０）＝２２、・・・などとなる。
【００５１】
認証結果判定部１３６は、通信部１１６でサーバ２００から受信した認証結果および照合結果を受け取り、媒体１０４が認証されたか否かを判定する。認証結果判定部１３６は、認証結果が認証ＯＫであり、かつ照合結果が照合ＯＫであったとき、当該媒体１０４は認証されたと判定し、精算部１２６に料金の精算を指示するとともに、払出部１１８に商品の払出を指示する。また、認証結果判定部１３６は、受け取った認証結果が認証ＮＧ、または照合結果が照合ＮＧであったとき、当該媒体１０４は認証されなかったと判定し、通知部１２４にその旨を通知する。また、媒体アクセス部１１４の媒体更新部１６２に、媒体１０４に利用停止ビットの書き込みを指示する。
【００５２】
次に、サーバ２００の機能について、図１を参照して説明する。
【００５３】
サーバ２００は、通信部２０２と、認証部２０６と、照合部２０８と、シーケンス番号生成部２１０と、結果通知部２１２と、情報記憶部２２０と、を含む。
【００５４】
通信部２０２は、サーバ２００と自動販売機１００との間のネットワーク１０８を介した通信を制御する。通信部２０２は、自動販売機１００からの接続要求に応答してネットワーク１０８を介した接続を確立する。サーバ２００は、複数の自動販売機１００と接続が可能であり、各自動販売機１００とネットワーク１０８を介してそれぞれ接続を確立し、自動販売機１００毎に通信を行うことになる。
【００５５】
通信部２０２は、自動販売機１００から媒体１０４の媒体ＩＤおよびシーケンス番号を含む媒体情報を受信する。通信部２０２は、媒体ＩＤを認証部２０６、照合部２０８およびシーケンス番号生成部２１０に送出し、シーケンス番号を照合部２０８およびシーケンス番号生成部２１０に送出する。
【００５６】
情報記憶部２２０は、ブラックリスト２２２（図中、「ＢＬ」と示す）およびシーケンス番号リスト２２４を含む。ブラックリスト２２２は、使用が禁止されている媒体の媒体ＩＤが含まれる。シーケンス番号リスト２２４は、すべての媒体１０４の媒体識別子と当該媒体１０４の次のシーケンス番号が関連付けて記憶される。
【００５７】
認証部２０６は、情報記憶部２２０にアクセスし、ブラックリスト２２２を参照し、自動販売機１００から通信部２０２を介して受信した媒体１０４の媒体ＩＤがブラックリスト２２２に含まれているか否かを判定する。媒体ＩＤがブラックリスト２２２に含まれていない場合、媒体ＩＤに対応する媒体１０４を認証ＯＫとし、媒体ＩＤがブラックリスト２２２に含まれている場合、媒体ＩＤに対応する媒体１０４を認証ＮＧとし、この結果を認証結果として結果通知部２１２に送出する。
【００５８】
照合部２０８は、情報記憶部２２０にアクセスし、シーケンス番号リスト２２４を参照し、自動販売機１００から通信部２０２を介して受信した媒体１０４の媒体ＩＤに対応するシーケンス番号をシーケンス番号リスト２２４から取得し、このシーケンス番号と、自動販売機１００から通信部２０２を介して受信した媒体１０４のシーケンス番号とを比較し、同じであれば照合ＯＫとし、異なる場合は照合ＮＧとして、その結果を照合結果として結果通知部２１２に送出する。
【００５９】
シーケンス番号生成部２１０は、照合部２０８からシーケンス番号照合終了通知を受け、これを契機として次のシーケンス番号を生成する。すなわち、自動販売機１００から通信部２０２を介して受信した媒体１０４のシーケンス番号から所定の関数で得られる次のシーケンス番号を生成し、情報記憶部２２０のシーケンス番号リスト２２４の該当する媒体ＩＤのシーケンス番号を更新する。このシーケンス番号生成部２１０で使用する所定の関数は、自動販売機１００のシーケンス番号生成部１３２で使用する関数と同じものであり、自動販売機１００およびサーバ２００の両方で同時に同じ関数を用いて、次のシーケンス番号を生成することができる。このようにして、自動販売機１００が媒体１０４に書き込んだシーケンス番号と同じ番号をサーバ２００の情報記憶部２２０のシーケンス番号リスト２２４に保有することができる。
【００６０】
結果通知部２１２は、認証部２０６および照合部２０８からそれぞれ受け取った認証結果および照合結果を通信部２０２に送出し、通信部２０２から自動販売機１００にネットワーク１０８を介して送信させる。このとき、送信先の自動販売機１００は、当該媒体１０４の媒体情報の送信元の自動販売機１００である。
【００６１】
このように構成された自動販売機システムにおいて、商品購入から払出までの流れの概略を、図５を用いて説明する。
【００６２】
ユーザ１０２により商品購入要求がなされると（Ｓ１０１）、自動販売機１００は、サーバ２００に接続要求を行う（Ｓ１０３）。サーバ２００は、自動販売機１００に応答し（Ｓ１０５）、通信が確立する。通信が確立すると、自動販売機１００はユーザに媒体１０４の提示を求め（Ｓ１０７）、ユーザ１０２により媒体１０４が提示されると（Ｓ１０９）、自動販売機１００は媒体１０４から取得した媒体情報をサーバ２００に送信する（Ｓ１１１）。なお、サーバ２００との通信が確立できなかった場合、ユーザ１０２に媒体１０４の使用は不可であることを通知する（Ｓ１０７）。
【００６３】
サーバ２００は、受け取った媒体情報に基づいて媒体１０４の認証および照合を行い、その結果を自動販売機１００に送信する（Ｓ１１５）。その間、自動販売機１００は、次のシーケンス番号を生成し、媒体１０４に書き込みを行う（Ｓ１１３）。自動販売機１００は、サーバ２００から認証結果を受信すると、その結果に基づいて、商品の払出または購入不可通知をユーザ１０２に対して行う（Ｓ１１７）。
【００６４】
上記の説明では、サーバ２００には１つの自動販売機１００のみが接続され、一連の処理を行う場合について説明したが、同時に複数の自動販売機１００が接続されてもよく、その場合は、接続毎に自動販売機１００とサーバ２００において、媒体情報の受信、認証および照合、および結果の送信の処理が並行して行われる。
【００６５】
また、本実施形態では、ユーザ１０２による商品購入要求（Ｓ１０１）を契機として、サーバ２００にシーケンス番号を送信し（Ｓ１１１）、サーバ２００が媒体１０４のシーケンス番号の照合を行い、適宜情報記憶部２２０のシーケンス番号リスト２２４を更新し、照合結果をサーバ２００から自動販売機１００に送信しているが（Ｓ１１５）、これに限定されない。後述する他の実施の形態においては、サーバ２００へのシーケンス番号の送信（Ｓ１１１）やサーバ２００における照合、シーケンス番号リスト２２４の更新、およびサーバ２００から自動販売機１００への照合結果の送信（Ｓ１１５）は、適宜送信することもできる。たとえば、夜間などサーバ２００の負荷が低い時間帯などにバッチ処理で行うこともできる。
【００６６】
次に、本実施形態に係る自動販売機システムの動作について説明する。はじめに、本実施形態に係る自動販売機システムの商品販売時の自動販売機１００の動作について説明する。図６は、本実施形態に係る自動販売機１００の動作の一例を示すフローチャートである。以下、図１および図６参照しながら説明する。
【００６７】
まず、ユーザ１０２により商品購入要求がなされると、商品購入受付部１１２が商品購入要求を受け付け（Ｓ１１）、通信部１１６がサーバ２００に接続要求を行う（Ｓ１３）。このとき、自動販売機１００は、スタンバイモードから商品販売モードに切り替わる。
【００６８】
通信部１１６は、サーバ２００との通信が確立したか否かの判定を行う（Ｓ１５）。サーバ２００との通信が確立しない場合（Ｓ１５のＮＯ）、通知部１２４に通知し、通知部１２４は、自動販売機１００がプリペイドカードの利用が現在できないことを表示部１２０およびスピーカ部１２２を介してユーザ１０２に通知する（Ｓ１７）。
【００６９】
一方、サーバ２００との通信が確立した場合（Ｓ１５のＹＥＳ）、通信が確立した旨が通知部１２４に通知される。通知部１２４は、表示部１２０およびスピーカ部１２２を介してユーザ１０２に媒体１０４の提示を要求するメッセージを出力し、ユーザ１０２によって提示された媒体１０４に対し、媒体アクセス部１１４の媒体読取部１６０がアクセスし、媒体１０４から媒体情報を取得し、これを情報チェック部１３０に送出する（Ｓ１９）。
【００７０】
つづいて、情報チェック部１３０の利用停止ビットチェック部１４０が、媒体１０４から取得した利用停止ビットが含まれているか否かを判定する（Ｓ２１）。利用停止ビットが含まれていると判定された場合（Ｓ２１のＹＥＳ）、通知部１２４に通知し、通知部１２４は、媒体１０４のプリペイド機能による購入不可であることを表示部１２０およびスピーカ部１２２を介してユーザ１０２に通知する（Ｓ２３）。
【００７１】
また、ステップＳ２１では、カード利用可否判断部１４２による媒体１０４の有効期限の判定も行う。カード利用可否判断部１４２は、媒体１０４の有効期限が切れていると判定した場合（Ｓ２１のＹＥＳ）、通知部１２４に通知する。通知部１２４は、媒体１０４のプリペイド機能による購入不可であることを表示部１２０およびスピーカ部１２２を介してユーザ１０２に通知する（Ｓ２３）。さらにステップＳ２１では、媒体種別判断部１４４が媒体種別を判別し、媒体１０４が決済機能を有するか否かの判断も行う。媒体種別判断部１４４は、媒体１０４が決済機能を有さないと判断した場合（Ｓ２１のＹＥＳ）、通知部１２４に通知する。通知部１２４は、媒体１０４のプリペイド機能による購入不可であることを表示部１２０およびスピーカ部１２２を介してユーザ１０２に通知する（Ｓ２３）。
【００７２】
一方、利用停止ビットチェック部１４０が利用停止ビットが含まれていないと判定し、カード利用可否判断部１４２が有効期限内と判断し、媒体種別判断部１４４が決済機能を有すると判断した場合（Ｓ２１のＮＯ）、通信部１１６に通知する。通信部１１６は、サーバ２００に媒体１０４の媒体ＩＤおよびシーケンス番号を含む媒体情報をネットワーク１０８を介して送信する（Ｓ２５）。
【００７３】
つづいて、シーケンス番号生成部１３２が、媒体アクセス部１１４の媒体読取部１６０から受け取ったシーケンス番号から所定の関数で得られる次のシーケンス番号を生成し、媒体アクセス部１１４の媒体更新部１６２に送出する（Ｓ２７）。媒体アクセス部１１４の媒体更新部１６２は、シーケンス番号生成部１３２から受け取った次のシーケンス番号を媒体１０４の媒体情報に書き込む（Ｓ２９）。
【００７４】
ステップＳ１５からステップＳ２９の間、サーバ２００では、自動販売機１００から送信された媒体情報に基づいて、上記の認証および照合処理を行い、その認証結果および照合結果を自動販売機１００に送信する。通信部１１６がサーバ２００から認証結果および照合結果を受信すると（Ｓ３１）、これらの結果は認証結果判定部１３６に送出される。認証結果判定部１３６は、受け取った認証結果および照合結果から媒体１０４が認証されたか否かを判定する（Ｓ３３）。
【００７５】
すなわち、認証結果判定部１３６は、受け取った認証結果が認証ＯＫであり、かつ照合結果が照合ＯＫであったとき、当該媒体１０４は認証されたと判定する。一方、受け取った認証結果が認証ＮＧ、または照合結果が照合ＮＧであったとき、当該媒体１０４は認証されなかったと判定する。
【００７６】
認証されたと判定した場合（Ｓ３３のＹＥＳ）、精算部１２６は、料金の精算を行う（Ｓ３５）。必要に応じて、現金の追加などをユーザ１０２に要求し、料金の精算が終了した後、媒体アクセス部１１４の媒体更新部１６２に媒体１０４への残高の書き込みを指示する。払出部１１８は、商品を払い出す（Ｓ３７）。
【００７７】
一方、ステップＳ３３で認証されなかったと判定された場合（Ｓ３３のＮＯ）、ステップＳ２３に進み、通知部１２４に通知し、通知部１２４は、媒体１０４のプリペイド機能による購入不可であることを表示部１２０およびスピーカ部１２２を介してユーザ１０２に通知する。また、認証結果判定部１３６は、媒体アクセス部１１４の媒体更新部１６２に媒体１０４の利用停止ビットの書き込みを指示してもよい。
【００７８】
次に、本実施形態に係る自動販売機システムの商品販売時のサーバ２００での認証動作について説明する。図７は、本実施形態におけるサーバ２００の認証動作の一例を示すフローチャートである。以下、図１および図７を参照して説明する。
【００７９】
まず、通信部２０２がネットワーク１０８を介して、自動販売機１００からの接続要求を受け付けると（Ｓ５１）、通信部２０２は、自動販売機１００に対して応答し、自動販売機１００との通信を確立する（Ｓ５３）。つづいて、通信部２０２は、ネットワーク１０８を介した自動販売機１００からの媒体１０４の媒体情報の受信を待つ（Ｓ５５のＮＯ）。通信部２０２が自動販売機１００から媒体１０４の媒体情報を受信すると（Ｓ５５のＹＥＳ）、媒体情報に含まれる媒体ＩＤを認証部２０６に送出する。また、通信部２０２は、媒体情報に含まれるシーケンス番号を照合部２０８およびシーケンス番号生成部２１０に送出する。
【００８０】
つづいて、認証部２０６は、情報記憶部２２０にアクセスし、ブラックリスト２２２を参照し、ステップＳ５５で受信した媒体１０４の媒体ＩＤが含まれているか否かを判定し、含まれていない場合、媒体ＩＤに対応する媒体１０４を認証ＯＫとし、含まれている場合、認証ＮＧとし、この結果を認証結果として結果通知部２１２に送出する（Ｓ５７）。
【００８１】
つづいて、照合部２０８は、情報記憶部２２０にアクセスし、シーケンス番号リスト２２４を参照し、ステップＳ５５で受信した媒体ＩＤに対応するシーケンス番号をシーケンス番号リスト２２４から取得し、このシーケンス番号と、ステップＳ５５で通信部２０２が受信したシーケンス番号と、を比較し、同じであれば照合ＯＫとし、異なる場合は照合ＮＧとして、その結果を照合結果として結果通知部２１２に送出する（Ｓ５９）。
【００８２】
つづいて、結果通知部２１２は、認証部２０６および照合部２０８から受け取った認証結果と照合結果を通信部２０２を介して自動販売機１００に送信する（Ｓ６１）。
【００８３】
つづいて、シーケンス番号生成部２１０は、ステップＳ５５で受信したシーケンス番号から所定の関数で得られる次のシーケンス番号を生成し、情報記憶部２２０のシーケンス番号リスト２２４の該当する媒体ＩＤのシーケンス番号を更新する（Ｓ６３）。
【００８４】
以上のように構成された本実施形態に係る自動販売機システムにおいて、媒体１０４が不正にコピーされ、同じ媒体ＩＤを有する媒体１０４が同時に利用された場合における媒体１０４の認証時の動作について説明する。以下、図１および図８を用いて説明する。
【００８５】
図８に示すように、媒体ＩＤが「ＸＸ００２」の媒体１０４が自動販売機１００で利用されると、自動販売機１００のシーケンス番号生成部１３２により、所定の関数にしたがって、媒体１０４のシーケンス番号「ＸＸ０３２」から次のシーケンス番号「ＸＸ３７８」が生成される。
【００８６】
シーケンス番号生成部１３２からこの次のシーケンス番号が媒体アクセス部１１４に送出され、自動販売機１００の媒体アクセス部１１４により媒体１０４のシーケンス番号が「ＸＸ３７８」に書き換えられる。
【００８７】
一方、自動販売機１００からサーバ２００には、媒体１０４の媒体情報がネットワーク１０８を介して送信され、サーバ２００において、照合部２０８が情報記憶部２２０のシーケンス番号リスト２２４を参照し、媒体ＩＤ「ＸＸ００２」のシーケンス番号「ＸＸ０３２」を取得する。照合部２０８は、このシーケンス番号「ＸＸ０３２」と、受信したシーケンス番号「ＸＸ０３２」と、を比較し、同じであるので、照合ＯＫと判定する。その後、シーケンス番号生成部２１０が、シーケンス番号「ＸＸ０３２」から所定の関数で得られる次のシーケンス番号「ＸＸ３７８」を生成し、情報記憶部２２０のシーケンス番号リスト２２４の媒体ＩＤ「ＸＸ００２」のシーケンス番号「ＸＸ０３２」を、新たに生成したシーケンス番号「ＸＸ３７８」で更新する。
【００８８】
この状態で、さらに不正にコピーされた２枚目の媒体ＩＤが「ＸＸ００２」で、シーケンス番号が「ＸＸ０３２」の媒体１０４が使用されたとすると、自動販売機１００からサーバ２００にネットワーク１０８を介して送信された媒体情報は、媒体ＩＤが「ＸＸ００２」で、シーケンス番号が「ＸＸ０３２」となる。サーバ２００の照合部２０８は、この受信したシーケンス番号の照合を行う。ここで、情報記憶部２２０のシーケンス番号リスト２２４の媒体ＩＤ「ＸＸ００２」のシーケンス番号は「ＸＸ３７８」にすでに更新されているので、照合部２０８は、このシーケンス番号「ＸＸ３７８」と、受信したシーケンス番号「ＸＸ０３２」と、を比較し、異なっているので、照合ＮＧと判定する。
【００８９】
サーバ２００から自動販売機１００に照合結果が送信され、自動販売機１００においては受信した照合結果から認証結果判定部１３６が媒体１０４は認証されなかったと判定し、通知部１２４により、媒体１０４のプリペイド機能による購入不可であることを表示部１２０およびスピーカ部１２２を介してユーザ１０２に通知される。
【００９０】
以上説明したように、本発明の実施の形態の自動販売機システムによれば、媒体のセキュリティを向上させ、不正使用を阻止することが可能となる自動販売機システムが提供される。
（第二の実施の形態）
図９は、本発明の実施の形態に係る自動販売機システムの構成を示す概略ブロック図である。本実施形態に係る自動販売機システムは、図１の上記実施の形態とは、サーバ４００が、次のシーケンス番号を生成するシーケンス番号生成部２１０に替えて自動販売機３１０で生成された次のシーケンス番号でシーケンス番号リスト２２４を更新するシーケンス番号更新部４１０を有する点で相違する。すなわち、本実施の形態においては、自動販売機３１０のみがシーケンス番号を生成する関数を有し、サーバ４００は関数を含まず、自動販売機３１０で生成した次のシーケンス番号がサーバ４００に通知される。
【００９１】
本実施形態に係る自動販売機システムは、自動販売機３１０のシーケンス番号生成部１３２で生成された次のシーケンス番号をサーバ４００に送信し、サーバ４００では、受信した次のシーケンス番号で情報記憶部２２０のシーケンス番号リスト２２４を更新する。
【００９２】
自動販売機３１０の通信部３１６は、自動販売機３１０とサーバ４００との間のネットワーク１０８を介した通信を制御する。通信部３１６は、商品購入受付部１１２から商品購入要求受付の通知を受け取ると、サーバ４００にネットワーク１０８を介して接続要求を行う。その後、通信部３１６は、サーバ４００との通信が確立したか否かの判定を行い、その結果を情報チェック部１３０に送出する。また、通信部３１６は、サーバ４００に情報チェック部１３０から受け取った媒体情報をサーバ４００に送信する。さらに、通信部３１６は、サーバ４００から認証結果および照合結果を受け取り認証結果判定部１３６に送出する。
【００９３】
本実施の形態で通信部３１６からサーバ４００に送信する媒体情報には、媒体ＩＤ、シーケンス番号が含まれる。さらに通信部３１６は、シーケンス番号生成部１３２で生成された次のシーケンス番号をサーバ４００に送信する。
【００９４】
サーバ４００の通信部４０２は、サーバ４００と自動販売機３１０との間のネットワーク１０８を介した通信を制御する。通信部４０２は、自動販売機３１０からの接続要求に応答してネットワーク１０８を介した接続を確立する。サーバ４００は、複数の自動販売機３１０と接続が可能であり、各自動販売機３１０とネットワーク１０８を介してそれぞれ接続を確立し、自動販売機３１０毎に通信を行うことになる。通信部４０２は、自動販売機３１０から媒体１０４の媒体ＩＤおよびシーケンス番号を含む媒体情報を受信する。さらに、通信部４０２は、自動販売機３１０から次のシーケンス番号も受信する。通信部４０２は、媒体ＩＤを認証部２０６、照合部２０８およびシーケンス番号生成部２１０に送出し、シーケンス番号を照合部２０８に送出し、次のシーケンス番号をシーケンス番号更新部４１０に送出する。
【００９５】
シーケンス番号更新部４１０は、照合部２０８でシーケンス番号の照合が終了した後、自動販売機３１０から通信部４０２を介して受信した媒体１０４の次のシーケンス番号で、情報記憶部２２０のシーケンス番号リスト２２４の該当する媒体ＩＤのシーケンス番号を更新する。このようにして、自動販売機３１０が媒体１０４に書き込んだシーケンス番号と同じ番号をサーバ４００の情報記憶部２２０のシーケンス番号リスト２２４に保有することができる。
【００９６】
次に、本実施形態に係る自動販売機システムの動作について説明する。
【００９７】
図１０は、本実施形態に係る自動販売機３１０の動作の一例を示すフローチャートである。本実施形態に係る自動販売機３１０の動作は、図６の上記実施形態の自動販売機１００の動作とは、サーバに媒体情報を送信するステップＳ２５が、次のシーケンス番号を媒体１０４に書き込むステップＳ２９の後に移動し、次のシーケンス番号を含む媒体情報にサーバに送信するステップＳ７１として設けられた点で相違する。
【００９８】
すなわち、ステップＳ２１で情報チェック部１３０による媒体１０４の利用停止の有無についての判定がなされ、利用が可能であると判定されたとき（Ｓ２１のＮＯ）、シーケンス番号生成部１３２が媒体アクセス部１１４の媒体読取部１６０から受け取ったシーケンス番号から所定の関数で得られる次のシーケンス番号を生成し、媒体アクセス部１１４の媒体更新部１６２に送出する（Ｓ２７）。媒体アクセス部１１４の媒体更新部１６２は、シーケンス番号生成部１３２から受け取った次のシーケンス番号を媒体１０４の媒体情報に書き込む（Ｓ２９）。
【００９９】
つづいて、通信部３１６は、サーバ４００に媒体１０４の媒体ＩＤおよびシーケンス番号を含む媒体情報に加え、当該媒体１０４の次のシーケンス番号をネットワーク１０８を介して送信する（Ｓ７１）。以下、ステップＳ３１以降は図６と同様に動作する。
【０１００】
図１１は、本実施の形態のサーバ４００の動作の一例を示すフローチャートである。本実施の形態のサーバ４００の動作は、図７の上記実施の形態のサーバ２００の動作とは、次のシーケンス番号を関数を用いて生成し、シーケンス番号リスト２２４を更新するステップＳ６３に替えて自動販売機３１０から受信した次のシーケンス番号でシーケンス番号リスト２２４を更新するステップＳ８１を設けた点で相違する。
【０１０１】
すなわち、ステップＳ６１の後、シーケンス番号更新部４１０は、ステップＳ５５で受信した次のシーケンス番号で、情報記憶部２２０のシーケンス番号リスト２２４の該当する媒体ＩＤのシーケンス番号を更新する（Ｓ８１）。
【０１０２】
以上のように構成された本実施形態に係る自動販売機システムは、サーバ４００に次のシーケンス番号を生成する関数を持たない構成としているので、上記実施の形態で述べた効果に加え、以下の効果を奏する。セキュリティ上、シーケンス番号を生成する関数は適宜更新することが望ましいが、その際、サーバが複数の自動販売機毎に関数の更新を管理し、サーバ内の関数を同期させて更新する必要がないので、システム構成が簡素化するとともに保守性が向上する。
（第三の実施の形態）
図１２は、本発明の実施の形態の自動販売機システムの要部構成を示す概略ブロック図である。本実施形態に係る自動販売機システムは、図１の上記実施の形態とは、自動販売機５００での商品購入要求とは非同期にサーバ６００で照合された媒体１０４のシーケンス番号の照合結果に基づいて更新されたブラックリストを受信しておき、自動販売機５００で商品購入要求がなされたときにサーバ６００に問い合わせることなく、即時に自動販売機５００内でブラックリスト記憶部５４２のブラックリストにて媒体１０４の認証を行う点で相違する。なお、図１２は、本実施形態の要部構成のみを示してあり、他の構成要素は省略してある。
【０１０３】
本実施形態に係る自動販売機システムは、自動販売機５００とサーバ６００が、媒体１０４の使用とは非同期にシーケンス番号および照合結果を送受信する。
【０１０４】
自動販売機５００において、通信部５１６は、自動販売機５００とサーバ６００との間のネットワーク１０８を介した通信を制御する。通信部５１６は、上記実施の形態の通信部１１６と同様にユーザ１０２からの商品購入要求のタイミングでサーバ６００に接続要求を行い、通信が確立したことを情報チェック部１３０に通知する。また、通信部５１６は、サーバ６００に情報チェック部１３０から受け取った媒体情報をサーバ６００に送信する。ここでは、少なくとも媒体ＩＤが含まれる。さらに通信部５１６は、サーバ６００から認証結果を受け取り認証結果判定部１３６に送出する。また、通信部５１６は、商品購入要求とは異なるタイミングで、サーバ６００に媒体１０４のシーケンス番号を送信してもよい。サーバ６００の照合部６０８は、媒体１０４のシーケンス番号の照合を適宜行うことができる。
【０１０５】
さらに、通信部５１６は、商品購入要求とは異なるタイミングで、定期的にサーバ６００にネットワーク１０８を介して接続要求を行い、サーバ６００との通信が確立されると、サーバ６００に対してブラックリストの送信を要求する。ブラックリストについては、後述する。
【０１０６】
通信部５１６がサーバ６００からブラックリストを受け取ると、ブラックリスト更新部５４０に受け渡し、ブラックリスト更新部５４０は、ブラックリストをブラックリスト記憶部５４２に格納する。
【０１０７】
認証結果判定部５３６は、通信部５１６でサーバ６００から受信した認証結果を受け取るとともに、ブラックリスト記憶部５４２にアクセスし、ブラックリストを参照し、媒体１０４が認証されたか否かを判定する。認証結果判定部５３６は、受信した認証結果が認証ＯＫであり、かつブラックリスト記憶部５４２のブラックリストにおける当該媒体１０４の媒体ＩＤの照合結果が照合ＯＫであったとき、当該媒体１０４は認証されたと判定し、精算部１２６に料金の精算を指示するとともに、払出部１１８に商品の払出を指示する。また、認証結果判定部５３６は、受け取った認証結果が認証ＮＧ、またはブラックリスト記憶部５４２のブラックリストにおいて、当該媒体１０４の媒体ＩＤの照合結果が照合ＮＧであったとき、当該媒体１０４は認証されなかったと判定し、通知部１２４にその旨を通知する。
【０１０８】
また、サーバ６００において、通信部６０２は、サーバ６００と自動販売機５００との間のネットワーク１０８を介した通信を制御する。通信部６０２は、自動販売機５００からの接続要求に応答してネットワーク１０８を介した接続を確立する。通信部６０２は、自動販売機５００から媒体１０４の媒体ＩＤまたはシーケンス番号を含む媒体情報を受信する。通信部６０２は、媒体ＩＤを認証部２０６、照合部６０８およびシーケンス番号生成部２１０に送出し、シーケンス番号を照合部６０８およびシーケンス番号生成部２１０（図１参照）に送出する。
【０１０９】
また、通信部６０２は、自動販売機５００からのブラックリスト送信要求に応じてブラックリスト送信部６１４にブラックリスト２２２の送信を指示する。
【０１１０】
照合部６０８は、情報記憶部２２０にアクセスし、シーケンス番号リスト２２４を参照し、自動販売機５００から通信部６０２を介して受信した媒体１０４の媒体ＩＤに対応するシーケンス番号をシーケンス番号リスト２２４から取得し、このシーケンス番号と、自動販売機５００から通信部６０２を介して受信した媒体１０４のシーケンス番号と、を比較する。比較結果が同じであれば照合ＯＫとし、異なる場合は照合ＮＧとして、照合ＮＧである媒体１０４の媒体ＩＤをブラックリスト２２２に追加する。
【０１１１】
ブラックリスト送信部６１４は、自動販売機５００からのブラックリスト送信要求を通信部６０２から受けて、情報記憶部２２０のブラックリスト２２２を通信部６０２を介して当該自動販売機５００に送信する。
【０１１２】
あるいは、ブラックリスト送信部６１４は、情報記憶部２２０のブラックリスト２２２が照合部６０８により更新されたときや定期的に、ネットワーク１０８上のすべての自動販売機５００にブラックリスト２２２を送信することもできる。
【０１１３】
次に、本実施形態に係る自動販売機システムの動作について説明する。図１３は、本実施形態に係る自動販売機５００におけるブラックリスト更新時の動作の一例を示す図である。
【０１１４】
まず、通信部５１６は、サーバ６００に接続要求を行う（Ｓ９１）。サーバ６００との通信が確立した場合（Ｓ９３のＹＥＳ）、サーバ６００にブラックリストの送信を要求する（Ｓ９５）。一方、サーバ６００との通信が確立しない場合は、処理を終了する。
【０１１５】
つづいて、通信部５１６がサーバ６００からブラックリストを受信し（Ｓ９７）、ブラックリスト更新部５４０に送出する。ブラックリスト更新部５４０は、ブラックリスト記憶部５４２のブラックリストをステップＳ９７で受信したブラックリストに置き換えて更新する（Ｓ９９）。
【０１１６】
図１４は、本実施形態に係る自動販売機５００における商品購入時の動作の一例を示すフローチャートである。本実施形態に係る自動販売機５００の動作は、図６の上記実施形態の自動販売機１００の動作とは、サーバで照合された照合結果をもとに媒体１０４の認証を行うステップＳ３１およびステップＳ３３に替えてブラックリスト記憶部５４２のブラックリストにアクセスして照合結果を取得し媒体１０４の認証を行うステップＳ１２１およびステップＳ１２３を設けた点で相違する。
【０１１７】
すなわち、ステップＳ２９で媒体アクセス部１１４の媒体更新部１６２がシーケンス番号生成部１３２から受け取った次のシーケンス番号を媒体１０４の媒体情報に書き込んだ後、通信部５１６がサーバ６００から認証結果を受信すると（Ｓ１２１）、認証結果判定部５３６に送出される。認証結果判定部５３６は、ステップＳ１２１で受信した認証結果とブラックリスト記憶部５４２のブラックリストから媒体１０４が認証されたか否かを判定する（Ｓ１２３）。
【０１１８】
詳細には、認証結果判定部５３６は、ステップＳ１２１で受信した認証結果が認証ＯＫであり、かつブラックリスト記憶部５４２にアクセスし、ブラックリストを参照し、ブラックリストに当該媒体１０４の媒体ＩＤが存在しなかったとき、当該媒体１０４は認証されたと判定する。一方、受け取った認証結果が認証ＮＧ、または
ブラックリストに当該媒体１０４の媒体ＩＤが存在したとき、当該媒体１０４は認証されなかったと判定する。
【０１１９】
図１５および図１６は、本実施形態のサーバ６００の動作の一例を示すフローチャートである。本実施形態のサーバ６００の動作は、図７の上記実施形態のサーバ２００の動作とは、媒体ＩＤの認証処理と照合処理を分けた点で相違する。
【０１２０】
図１５は、本実施形態に係る自動販売機５００が商品購入要求を受け付けたとき、サーバ６００に媒体情報を送信し、サーバ６００にて認証処理を行い、自動販売機５００に認証結果を送信するときの動作を示している。一方、図１６は、本実施形態に係る自動販売機５００における商品購入要求とは異なるタイミングで、自動販売機５００からサーバ６００にシーケンス番号が送信され、サーバ６００にて照合処理を行い、ブラックリストの更新を行うときの動作を示している。以下、図１２も参照して説明する。
【０１２１】
図１５に示すように、まず、通信部６０２がネットワーク１０８を介して、自動販売機５００からの接続要求を受け付けると（Ｓ１３１）、通信部６０２は、自動販売機５００に対して応答し、自動販売機５００との通信を確立する（Ｓ１３３）。つづいて、通信部６０２は、ネットワーク１０８を介した自動販売機５００からの媒体１０４の媒体情報の受信を待つ（Ｓ１３５のＮＯ）。通信部６０２が自動販売機５００から媒体１０４の媒体情報を受信すると（Ｓ１３５のＹＥＳ）、媒体情報に含まれる媒体ＩＤを認証部２０６に送出する。
【０１２２】
つづいて、認証部２０６は、情報記憶部２２０にアクセスし、ブラックリスト２２２を参照し、ステップＳ１３５で受信した媒体１０４の媒体ＩＤが含まれているか否かを判定し、含まれていない場合、媒体ＩＤに対応する媒体１０４を認証ＯＫとし、含まれている場合、認証ＮＧとし、この結果を認証結果として結果通知部２１２に送出する（Ｓ１３７）。つづいて、結果通知部２１２は、認証部２０６から受け取った認証結果を通信部６０２を介して自動販売機５００に送信する（Ｓ１３９）。
【０１２３】
また、図１６に示すように、通信部６０２がネットワーク１０８を介して、自動販売機５００からの接続要求を受け付けると（Ｓ１４１）、通信部６０２は、自動販売機５００に対して応答し、自動販売機５００との通信を確立する（Ｓ１４３）。つづいて、通信部６０２は、ネットワーク１０８を介した自動販売機５００からの媒体１０４の媒体情報の受信を待つ（Ｓ１４５のＮＯ）。通信部６０２が自動販売機５００から媒体１０４の媒体情報を受信すると（Ｓ１４５のＹＥＳ）、媒体情報に含まれるシーケンス番号を照合部６０８およびシーケンス番号生成部２１０に送出する。
【０１２４】
つづいて、照合部６０８は、情報記憶部２２０にアクセスし、シーケンス番号リスト２２４を参照し、ステップＳ１４５で受信した媒体ＩＤに対応するシーケンス番号をシーケンス番号リスト２２４から取得し、このシーケンス番号と、ステップＳ１４５で通信部６０２が受信したシーケンス番号と、を比較する（Ｓ１４７）。
【０１２５】
つづいて、照合部６０８は、シーケンス番号の比較結果が同じであれば照合ＯＫとし、異なる場合は照合ＮＧとして、照合ＮＧである媒体１０４の媒体ＩＤを情報記憶部２２０のブラックリスト２２２に追加する（Ｓ１４９）。照合結果がＯＫであれば、ブラックリスト２２２はそのままとする。
【０１２６】
つづいて、シーケンス番号生成部２１０は、ステップＳ１４５で受信したシーケンス番号から所定の関数で得られる次のシーケンス番号を生成し、情報記憶部２２０のシーケンス番号リスト２２４の該当する媒体ＩＤのシーケンス番号を更新する（Ｓ１５１）。
【０１２７】
以上のように構成された本実施形態に係る自動販売機システムによれば、上記実施の形態と同様な効果を奏するとともに、情報管理サーバの負荷が低いときに、データキャリアの認証を行うことができるので、商品購入時に媒体１０４の認証にかかる時間を短縮でき、自動販売機のレスポンスが早くなり、利便性が増す。また、この場合、不正な媒体１０４の検知は、次回使用時となるが、そのときはサーバと照合結果のやりとりをする必要がないので、データキャリアの不正使用を迅速に検知することができる。
【０１２８】
なお、本実施の形態は、図１に示した上記実施の形態の変形例として説明したが、図９に示した上記実施の形態の変形例とすることもでき、同様な効果を奏するものである。
【０１２９】
以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。なお、本発明において利用者に関する情報を取得、利用する場合は、これを適法に行うものとする。
【０１３０】
たとえば、上記実施の形態では、商品の払出時にデータキャリアの認証処理を行う場合について説明したが、これに限定されない。たとえば、データキャリアのプリペイド残高のチャージ時などにも同様のシーケンス番号の更新および照合処理を行うことにより、媒体１０４の正当性を判定することもできる。
【０１３１】
また、上記実施の形態では、認証部は、情報記憶部２２０にアクセスし、ブラックリスト２２２に媒体１０４の媒体ＩＤが含まれるか否によって媒体１０４の認証を行っていたがこれに限定されない。たとえば、情報記憶部２２０は、使用が許可されている媒体の媒体ＩＤを含むホワイトリスト（不図示）を含むこともできる。
【０１３２】
また、上記実施の形態では、自動販売機５００からサーバ６００にブラックリスト２２２の送信を要求する構成としたが、これに限定されない。サーバ６００において、ブラックリスト２２２に変更が生じたときに、ブラックリスト送信部６１４が自動販売機５００に対しブラックリスト２２２を送信してもよい。また、サーバ６００からブラックリスト２２２を送信するのではなく、ブラックリスト送信部６１４がブラックリスト２２２にアクセスし、ブラックリスト２２２に含まれる媒体ＩＤまたはブラックリスト２２２に新たに追加された媒体ＩＤのみを抽出し、自動販売機５００に対して送信してもよい。これらの構成においては、サーバ６００からすべての自動販売機５００にブラックリスト２２２または媒体ＩＤがネットワーク１０８を介してブロードキャスト送信される。
【０１３３】
また、図１４の上記実施形態において、サーバ６００に媒体ＩＤを送信するステップＳ２５およびサーバ６００から認証結果を受信するステップＳ１２１は省略することもできる。すなわち、サーバ６００における媒体ＩＤの認証は、商品購入要求とは異なるタイミングで適宜行うことができる。この場合、サーバ６００における媒体１０４の認証を省略し、自動販売機５００内でのシーケンス番号の照合のみによって媒体１０４の認証を行うことができる。この構成によれば、媒体１０４の認証時にサーバ６００との通信を行う必要がないので、より高速に媒体１０４の認証を行うことができる。
【図面の簡単な説明】
【０１３４】
【図１】本発明の実施の形態に係る自動販売機システムの構成を示す概略ブロック図である。
【図２】図１の自動販売機の外観の一例を示す正面図である。
【図３】図１の自動販売機の媒体アクセス部の詳細を示す機能ブロック図である。
【図４】図１の自動販売機の情報チェック部の詳細を示す機能ブロック図である。
【図５】図１の自動販売機システムの商品購入から払出までの流れの概略を示す図である。
【図６】図１の自動販売機の動作の一例を示すフローチャートである。
【図７】図１のサーバの認証動作の一例を示すフローチャートである。
【図８】図１の自動販売機システムにおける不正コピー媒体の検知を説明するための図である。
【図９】本発明の実施の形態に係る自動販売機システムの構成を示す概略ブロック図である。
【図１０】図９の自動販売機の動作の一例を示すフローチャートである。
【図１１】図９のサーバの動作の一例を示すフローチャートである。
【図１２】本発明の実施の形態の自動販売機システムの要部構成を示す概略ブロック図である。
【図１３】図１２の自動販売機のブラックリスト更新時の動作の一例を示すフローチャートである。
【図１４】図１２の自動販売機の商品購入時の動作の一例を示すフローチャートである。
【図１５】図１２のサーバの認証処理時の動作の一例を示すフローチャートである。
【図１６】図１２のサーバの照合処理時の動作の一例を示すフローチャートである。
【符号の説明】
【０１３５】
１００  自動販売機
１０２  ユーザ
１０４  媒体
１０８  ネットワーク
１１２  商品購入受付部
１１４  媒体アクセス部
１１６  通信部
１１８  払出部
１２０  表示部
１２２  スピーカ部
１２４  通知部
１２６  精算部
１３０  情報チェック部
１３２  シーケンス番号生成部
１３６  認証結果判定部
１４０  利用停止ビットチェック部
１４２  カード利用可否判断部
１４４  媒体種別判断部
１４６  残金判断部
１４８  計時部
１６０  媒体読取部
１６２  媒体更新部
２００  サーバ
２０２  通信部
２０６  認証部
２０８  照合部
２１０  シーケンス番号生成部
２１２  結果通知部
２２０  情報記憶部
２２０  適宜情報記憶部
２２２  ブラックリスト
２２４  シーケンス番号リスト
３０１  サンプル見本
３０２  札投入口
３０３  レバー
３０４  硬貨投入口
３０５  カード読取部
３０６  液晶表示部
３０８  釣銭口
３０９  商品搬出口
３１０  自動販売機
３１６  通信部
４００  サーバ
４０２  通信部
４１０  シーケンス番号更新部
５００  自動販売機
５１６  通信部
５３６  認証結果判定部
５４０  ブラックリスト更新部
５４２  ブラックリスト記憶部
６００  サーバ
６０２  通信部
６０８  照合部
６１４  ブラックリスト送信部
【図１】
2006059040.tif 000003
【図２】
2006059040.tif 000004
【図３】
2006059040.tif 000005
【図４】
2006059040.tif 000006
【図５】
2006059040.tif 000007
【図６】
2006059040.tif 000008
【図７】
2006059040.tif 000009
【図８】
2006059040.tif 000010
【図９】
2006059040.tif 000011
【図１０】
2006059040.tif 000012
【図１１】
2006059040.tif 000013
【図１２】
2006059040.tif 000014
【図１３】
2006059040.tif 000015
【図１４】
2006059040.tif 000016
【図１５】
2006059040.tif 000017
【図１６】
2006059040.tif 000018