(57)【要約】【課題】機密データの漏洩を防止する。【解決手段】自動取引装置１０は、前記自動取引装置の外部との間で特定データのやり取りを行うデータ入出力部と、前記データ入出力部から特定データを受け、前記特定データを偽データに変換するデータ変換部と、前記データ変換部から前記偽データを受け、前記偽データに基づいて取引制御を行う取引制御部と、を備える。【選択図】図３
2015133036.tif 000002
【特許請求の範囲】
【請求項１】
自動取引装置であって、
前記自動取引装置の外部との間で特定データのやり取りを行うデータ入出力部と、
前記データ入出力部から特定データを受け、前記特定データを前記特定データとは相違する偽データに変換するデータ変換部と、
前記データ変換部から前記偽データを受け、前記偽データに基づいて取引制御を行う取引制御部と、
を備える自動取引装置。
【請求項２】
請求項１に記載の自動取引装置であって、
前記データ変換部は、
前記取引制御部から前記偽データを受け、前記偽データを前記特定データに再変換し、
前記データ入出力部は、
前記データ変換部から前記再変換後の特定データを受け、前記特定データを前記自動取引装置の外部に送る、自動取引装置。
【請求項３】
請求項１または請求項２に記載の自動取引装置であって、
前記データ入出力部は、
取引者による取引についての操作を受け付けるとともに、取引に必要な情報を前記取引者に表示する操作／表示部である、自動取引装置。
【請求項４】
請求項１から請求項３までのいずれか一項に記載の自動取引装置であって、
前記データ変換部は、
前記特定データをトークン化することによって偽データとする、自動取引装置。
【請求項５】
請求項４に記載の自動取引装置であって、
前記トークン化は、乱数により生成する別のデータに前記特定データを置き換えるもので、トークン化の対象となる対象データが１桁の場合は０〜９の数字とＡ〜Ｆの英字の中から１つを選択し、対象データが２桁以上の場合は奇数桁目と偶数桁目で数字と英字を交互に組み合わせたデータに置き換える、自動取引装置。
【請求項６】
請求項１から請求項５までのいずれか一項に記載の自動取引装置であって、
ＴＣＰ／ＩＰを用いたネットワークに接続され、
前記データ変換部に対するログイン・ログアウトの履歴情報、前記データ変換部を実現するためのソフトウェアのインストールの履歴情報、およびＩＰアドレスの変更の履歴情報うちの少なくとも一つを記憶する記憶部を備える、自動取引装置。
【請求項７】
自動取引装置の制御方法であって、
前記自動取引装置の外部から特定データを受ける工程と、
前記特定データを偽データに変換する工程と、
前記偽データに基づいて取引制御を行う工程と、
を備える自動取引装置の制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動取引装置、および自動取引装置の制御方法に関する。
【背景技術】
【０００２】
一般に、自動取引装置の一種である現金自動取引装置（ＡＴＭ：Automated teller machine）は、暗証番号、口座番号などの個人情報や、口座残高や取引金額など現金に関する重要データを扱って取引を行っている。個人情報や重要データ等の機密データは守られるべきデータであり、情報漏洩を防止するために様々な対策が採られている。例えば、特許文献１には、現金取引操作中に表示している取引残高額面を非表示にする現金自動取引装置が記載されている。この現金自動取引装置では、表示部に表示される個人情報を伏せ字にて表示し、表示切替ボタンによって取引者の意思で個人情報の表示／非表示を切り替えることを可能にしている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−１８３９３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１の技術では、機密データを外側に出力する際、すなわち表示する際の情報漏洩を防止することができるが、自動取引装置の内部に残った機密データを外部から盗み取られる虞があった。特に、現金自動取引装置は、汎用的なパーソナルコンピュータの技術を応用して設計されている場合が多く、インターネット閲覧ソフト（以下、「汎用ブラウザ」とも呼ぶ）等の脆弱性を有するソフトウェアを含む場合がある。この場合に、脆弱性をついた不正アクセスを受けると、内部に保持している機密データを漏洩してしまう虞があった。
【０００５】
なお、このような問題は、現金自動取引装置に限らず、現金自動支払装置（ＣＤ：Cash Dispenser）、両替機、自動券売機等の各種自動取引装置に共通する問題であった。
【課題を解決するための手段】
【０００６】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、次の形態として実現することが可能である。本発明の第１の形態は、
自動取引装置であって、
前記自動取引装置の外部との間で特定データのやり取りを行うデータ入出力部と、
前記データ入出力部から特定データを受け、前記特定データを偽データに変換するデータ変換部と、
前記データ変換部から前記偽データを受け、前記偽データに基づいて取引制御を行う取引制御部と、
を備える自動取引装置。
【０００７】
本発明の第２の形態は、
自動取引装置の制御方法であって、
前記自動取引装置の外部から特定データを受ける工程と、
前記特定データを偽データに変換する工程と、
前記偽データに基づいて取引制御を行う工程と、
を備える自動取引装置の制御方法。
【発明の効果】
【０００８】
上記第１の形態の自動取引装置によれば、自動取引装置の外部から受けた特定データはデータ変換部によって偽データに変換され、取引制御部によって扱われるのは偽データとなる。このため、取引制御部が、汎用的なパーソナルコンピュータの技術を応用して構築されていたとしても、特定データから変換された偽データが漏洩する虞があるだけで、決して特定データは漏洩することがない。したがって、上記第１の形態の自動取引装置によれば、機密データなどの特定データの漏洩を防止することができる。
【０００９】
上記第２の形態の自動取引装置の制御方法によれば、第１の形態の自動取引装置と同様に、特定データの漏洩を防止することができる。
【図面の簡単な説明】
【００１０】
【図１】本発明の一実施形態における自動取引装置の外観を示す説明図である。
【図２】ＡＴＭの制御構成を示す概略ブロック図である。
【図３】制御部のメモリに格納される各種のソフトウェアを示す説明図である。
【図４】ＡＴＭにおけるデータ処理の流れを示す説明図である。
【図５】パッケージに含まれるトークン化処理を示すフローチャートである。
【図６】トークン化処理によって振込先口座番号がどのように置き換えられるかを例示する説明図である。
【図７】ＡＴＭ１０による振込先口座番号の表示の仕方を示す説明図である。
【図８】機密データの表示領域のサイズを拡大した変形例を示す説明図である。
【図９】データベース部に格納されるログイン・ログアウト履歴情報を示す説明図である。
【図１０】データベース部に格納されるインストール変更履歴情報を示す説明図である。
【発明を実施するための形態】
【００１１】
次に、本発明の実施形態を説明する。
Ａ．全体構成：
図１は、本発明の一実施形態における自動取引装置の外観を示す説明図である。この自動取引装置（以下、「ＡＴＭ」とも呼ぶ）１０は、例えば金融機関や小売店、公共施設等に設置され、顧客（利用者）の操作に基づき現金出納等の取引処理を行う装置である。ＡＴＭ１０は、現金自動預け払い機とも呼ばれる。ＡＴＭ１０は、操作／表示部２０と、カード／明細票機構部３０と、通帳機構部４０と、紙幣入出金機構部５０と、硬貨入出金機構部６０とを備える。
【００１２】
操作／表示部２０は、例えばタッチパネルによって構成され、顧客に対して取引に必要な情報や操作の案内文を表示する表示部として機能するとともに、文字入力や選択ボタン・決定ボタンの押下など、顧客による、取引についての操作を受け付ける操作部としても機能する。なお、ＡＴＭ１０は、顧客インターフェースとして、操作／表示部２０とともに、顧客に対して取引に関する音声案内を実行する音声案内ガイダンス部を備えるものとしても良い。
【００１３】
カード／明細票機構部３０は、顧客によるキャッシュカードの挿入を受け付けるとともに、顧客に対するキャッシュカードの返却を行い、さらに、カードの磁気ストライプまたはＩＣチップへのリード・ライト処理や、カードエンボス部分のイメージの読取り処理などを行う。また、取引した内容を明細票に印字し、装置内から排出する処理も行う。
【００１４】
通帳機構部４０は、顧客が挿入した通帳の受け取り・排出の処理の他、通帳に形成済みの磁気ストライプの記録内容のリード・ライト処理、通帳への印字処理などを行う。紙幣入出金機構部５０と硬貨入出金機構部６０とはそれぞれ、顧客に対する紙幣または硬貨の受け渡し、および紙幣または硬貨の搬送を行う。
【００１５】
Ｂ．制御構成：
図２は、ＡＴＭ１０の制御構成を示す概略ブロック図である。ＡＴＭ１０は、前述した各部２０〜６０以外に、係員パネル７０と、ジャーナル部８０と、電子ジャーナル部８２と、機密データ／偽データ変換部８４と、データベース部８６と、回線接続部８８と、制御部９０と、を備える。制御部９０は、各部２０〜８３と信号線を介して接続されている。
【００１６】
係員パネル７０は、画面表示、キー入力検知機能を有しており、主にＡＴＭ１０を保守する銀行員および保守員により操作される。なお、係員パネル８は、タッチパネル等により構成され、様々な情報を画面に表示し、この画面に含まれる色々な項目への押下も検知する。
【００１７】
ジャーナル部８０は、顧客との取引内容等の情報を所定のジャーナル用紙に印字する機能を有する。電子ジャーナル部８２は、顧客との取引内容等の情報をハードディスク内に記録する機能を有する。
【００１８】
機密データ／偽データ変換部８４は、機密データを機密データと相違する偽りのデータに置き換え、かつ偽データを機密データに戻す機能を有する。ここで、「機密データ」とは、顧客が入力した暗証番号や口座番号などの個人情報や、口座残高や取引金額などの重要データ等の機密性が高いデータである。また、機密データ／偽データ変換部８４は、機密データから偽データへの変換方法にバリエーションを備え、かつ決められた手順に則った場合でのみアクセスを許可する機能、操作／表示部２０の表示画面に個人情報や重要データを表示する機能、ログイン・ログアウト履歴情報やインストール変更履歴情報を取得しデータベース部８８に書き込む機能を有する。最後に述べた機能、すなわち、ログイン・ログアウト履歴情報やインストール変更履歴情報を取得しデータベース部８８に書き込む機能が、変更履歴取得／書込部８４ａに対応する。これら機能については、後ほど詳述する。
【００１９】
データベース部８６は、ログイン・ログアウト履歴情報ＨＳ１やインストール変更履歴情報ＨＳ２を記憶する。
【００２０】
回線接続部８８は、ＬＡＮ１００を経由してホストコンピュータ１１０、ＡＴＭサーバ１２０、および監視装置１３０に接続する機能を有する。ＬＡＮ１００で用いるネットワークプロトコルとしては、ＴＣＰ／ＩＰを用いるものとした。
【００２１】
制御部９０は、ＣＰＵと、プログラムやデータを記憶するメモリ（ハードディスク装置やフラッシュメモリ等を含む）とを有し、ＣＰＵがメモリに記憶されたプログラムを読み出して実行することにより、操作／表示部２０によって受け付けた操作に応じて、前述した各部２０〜８６の中から選択された一または複数の部を動作させて、ＡＴＭ１０における各種の取引制御を行う。
【００２２】
Ｃ．ＡＴＭソフトウェアの構成：
図３は、制御部のメモリに格納される各種のソフトウェアを示す説明図である。制御部９０の備えるメモリには、ＡＴＭソフトウェア２００が格納されている。図示するように、ＡＴＭソフトウェア２００は、業務層２１０と、デバイス制御層２２０と、に層分けすることができる。
【００２３】
業務層２１０は、ＡＴＭで処理する入出金や振込等といった、金融機関毎に仕様が異なる処理を簡便な言語で記述したソースプログラムである。また、業務層２１０には、インターネット閲覧ソフト（汎用ブラウザ）によって提供される機能を含む。
【００２４】
デバイス制御層２２０は、業務層２１０がデバイス群ＤＧを操作するためのインターフェースであり、デバイス制御層２２０に対してデータを入出力することによりデバイス群を操作し、またデバイス群の状態を取得する。
【００２５】
なお、業務層２１０は、保守にかかわる機能を有する。業務層２１０は、本発明の一形態が備える「取引制御部」を実現するためのソフトウェアである。
【００２６】
さらに、業務層２１０とデバイス制御層２２０との間には、パッケージ２３０が設けられている。なお、パッケージ２３０は、業務層２１０、および業務層２１０の保守の機能に対しても関わりを有する。
【００２７】
図４は、ＡＴＭにおけるデータ処理の流れを示す説明図である。ここでは、取引において、カード／明細票機構部３０に挿入されたカードデータを読み取る処理について示している。図示するように、業務層２１０は、カードデータの読み取り指令を、パッケージ２３０に送る。読み取り指令は、その後、デバイス制御層２２０、カード／明細票機構部３０とこの順に送られる。読み取り指令を受けたカード／明細票機構部３０は、顧客によって挿入されたカードデータを読み取る。カード／明細票機構部３０で読み取られたカードデータは機密データであるため、図中では［機］（実際は、四角形の中に「機」という文字）として示した。カードデータは、機密データのまま、デバイス制御層２２０、パッケージ２３０とこの順に送られる。
【００２８】
パッケージ２３０は、機密データであるカードデータを、カードデータとは相違する偽データに置き換える処理を行う。ここでは、偽データとしてトークンデータを採用した。トークンデータは、図中では［ト］（実際は、四角形の中に「ト」という文字）として示した。機密データをトークンデータへ変換するトークン化の手法については、後ほど詳述する。このため、制御部９０と、制御部９０によって実行されるパッケージ２３０とによって、図２で示した機密データ／偽データ変換部８４が構成されることになる。なお、本実施形態では、このトークンデータは、ＡＴＭ１０の正面に設けられた顧客検知部（図示せず）によって顧客が検知されなくなったタイミングで消失するようにしている。換言すれば、パッケージ２３０は、顧客検知部によって顧客が検知されている間は、デバイス制御層２２０から受け取った機密データを保持し、顧客が検知されなくなったタイミングで、機密データを消失させる。トークンデータは、パッケージ２３０から業務層２１０に送られ、業務層２１０に取り込まれる。
【００２９】
カード／明細票機構部３０から顧客によって挿入されたカードデータについて、データ長や不正なデータが含まれていないか等、正しいか否かを確認する必要がある。このために、業務層２１０は、データチェックの指令とともに、前記取り込んだトークンデータを、パッケージ２３０に送る。パッケージ２３０は、トークンデータを検索し、一致したトークンデータに対応した機密データを使用し、データ長や不正なデータが含まれていないか等、カードデータが正しいか否かを判定し、業務層２１０に判定結果を送る。
【００３０】
図５は、パッケージ２３０に含まれるトークン化処理を示すフローチャートである。このトークン化処理は、パッケージ２３０によって、図４における機密データをトークンデータへ変換するタイミングで実行される。処理が開始されると、パッケージ２３０は、まず、トークン化の対象となる機密データの一番目のデータをランダムに数字（０〜９）または英字（Ａ〜Ｆ）のいずれかに変換する（ステップＳ１１０）。次に、パッケージ２３０は、ステップＳ１１０で変換したデータが変換前のデータと一致しているか否かを判定する（ステップＳ１２０）。変換前のデータと一致しないと判定された場合には、変換後のデータと、変換後のデータが数字であるか英字であるかを示す種別を記憶する（ステップＳ１３０）。一方、ステップＳ１２０で変換後のデータが変換前のデータと一致すると判定された場合には、パッケージ２３０は、ステップＳ１１０の処理を再実行する。
【００３１】
ステップＳ１３０の実行後、パッケージ２３０は、機密データの中に変換すべき残データがある否かを判定し（ステップＳ１４０）、ある場合には、パッケージ２３０は、前回変換したデータの前記種別が数字であるか否かを確認し（ステップＳ１５０）、数字である場合には、残データのうちの次のデータを乱数を利用してランダムに英字（Ａ〜Ｆ）のいずれかに変換し（ステップＳ１６０）、英字である場合には、前記次のデータを乱数を利用してランダムに数字（０〜９）のいずれかに変換する（ステップＳ１７０）。ステップＳ１６０またはステップＳ１７０の実行後、ステップＳ１６０またはステップＳ１７０で変換した変換後データが変換前データと一致するか否かを判定する（ステップＳ１８０）。
【００３２】
ステップＳ１８０で一致すると判定された場合には、パッケージ２３０は、ステップＳ１５０に処理を戻す。一方、ステップＳ１８０で一致しない判定された場合には、ステップＳ１３０に処理を戻して、ステップＳ１３０以降の処理を繰り返す。ステップＳ１４０で、機密データの中に変換すべき残データがないと判定されると、「リターン」に抜けて、このトークン化処理を終了する。
【００３３】
以上のように構成されたトークン化処理によれば、トークン化の対象である機密データが１桁である場合には、０〜９の数字とＡ〜Ｆの英字の中から選択された１つに機密データは変換される。トークン化の対象である機密データが複数桁である場合には、１桁目のデータは０〜９の数字とＡ〜Ｆの英字の中から選択された１つに変換され、２桁目以降の偶数桁のデータは１桁目と相違する種別（１桁目が数字なら英字、１桁目が英字なら数字）のデータに切り換え、２桁目以降の奇数桁のデータは１桁目と同一の種別（１桁目が数字なら数字、１桁目が英字なら英字）のデータに切り換えられる。このため、変換後のデータの列は、英字と数字が交互に組み合わされたものとなる。
【００３４】
図６は、図５のトークン化処理によってカードデータがどのように置き換えられるかを例示する説明図である。図４におけるパッケージ２３０の説明では、機密データであるカードデータが偽データに置き換わると説明し、あたかもカードデータを構成する全てのデータがトークンデータに変換されるように説明したが、本実施形態では、カードデータの一部分が置き換えられる。トークン化の対象となるのは、カードデータのうちの重要度の高い部分であり、ここでは、図６に示すように、５桁目から８桁目までとする。この４つのデータに対して図５のトークン化処理が施されることになる。この結果、変換前が「４５６７」といった機密データＤｔが、「３Ａ９Ｅ」といった、機密データとは相違し、かつ英字と数字が交互に組み合わされた偽データＤｆに置き換えられる。なお、トークン化の対象となる機密データは、５桁目から８桁目までの４つのデータとしたが、これに換えて、他の部分、例えば、４桁目から７桁目、６桁目から９桁目等としてもよい。また、データ数も４つに限る必要はなく、他のデータ数、１文字、２文字、３文字、５文字等としてもよい。また、カードデータの全体を、トークン化の対象となる機密データとしてもよい。
【００３５】
図７は、ＡＴＭ１０による振込先口座番号の表示の仕方を示す説明図である。自動取引装置の画面基盤に汎用ブラウザを使用する場合、その製品が情報セキュリティの面で脆弱性がある製品の場合、汎用ブラウザにて機密データを表示すると情報漏洩となるリスクがあった。そのため、パッケージ２３０は汎用ブラウザを使用せず画面表示する機能も有している。振込先口座番号は、顧客によって、操作／表示部２０より入力される。入力された振込先口座番号は、機密データであるため、図４のカードデータと同様にパッケージ２３０によってトークンデータに変換される。
【００３６】
変換された振込先口座番号を画面（汎用ブラウザ上）ＳＤ１に表示する必要がある場合、汎用ブラウザを含む業務層２１０によって、図示するように、偽データＤｆを含む振込先口座番号の表示を行う。しかし、偽データのままでは顧客自身が入力した振込先口座番号を確認することができないため、業務層２１０からパッケージ２３０へ振込先口座番号の表示を行う指令を行うことで、パッケージ２３０が偽データＤｆではない機密データＤｔを表示することによって、図７に示すように、機密データＤｔを専用画面ＳＤ２に表示させることが行われる。このとき、偽データＤｆの上に機密データＤｔが重ねられる。これによって、顧客は、機密データである、自身が入力した振込先口座番号を画面によって確認することが可能となる。
【００３７】
なお、本実施形態では、図７に示すように、画面ＳＤ１上の偽データＤｆの表示領域のサイズと、専用画面ＳＤ２上の機密データＤｔの表示領域のサイズとが一致するようにしていたが、必ずしも完全に一致させる必要はない。例えば、図８に示すように、機密データＤｔの表示領域ＥＡ２を拡大して、偽データＤｆの表示領域ＥＡ１のサイズよりも大きなサイズとなるように構成してもよい。これにより、偽データＤｆを隠すことがより容易となる。
【００３８】
図９は、データベース部８８に格納されるログイン・ログアウト履歴情報ＨＳ１を示す説明図である。ログイン・ログアウト履歴情報ＨＳ１は、パッケージ２３０を更新するためにパッケージ２３０へログインおよびログアウトされた履歴を示す情報である。ログイン・ログアウト履歴情報ＨＳ１によれば、誰が、いつ、ログインあるいはログアウトし、そのアクセスの結果がどうであったかを知ることができる。
【００３９】
図１０は、データベース部８８に格納されるインストール変更履歴情報ＨＳ２を示す説明図である。インストール変更履歴情報ＨＳ２は、操作者がインストールした変更内容を示す履歴情報である。インストール変更履歴情報ＨＳ２によれば、どういった変更内容を、いつ、変更あるいは追加し、その結果がどうであったかを知ることができる。内容としては、「ソフトウェアのインストール」、「ＩＰアドレスの変更」、「ユーザ追加」などがある。ソフトウェアのインストールがなされたことの履歴を記録することで、パッケージ２３０が、情報漏洩を目的とする不正なパッケージに入れ替えられてしまうことの防御となり得る。ＩＰアドレスが変更されたことの履歴を記録することで、偽りのホストコンピュータに接続されることの防御となり得る。ユーザが追加されたことの履歴を記録することで、偽りのユーザによってＡＴＭのソフトウェアが改変されることの防御となり得る。
【００４０】
データベース部８８に格納されるログイン・ログアウト履歴情報ＨＳ１およびインストール変更履歴情報ＨＳ２は、機密データ／偽データ変換部８４の備える変更履歴取得／書込部８４ａによって取得され、書き込まれたものである。すなわち、パッケージ２３０のパッケージプログラムには、ログイン・ログアウト履歴情報ＨＳ１とインストール変更履歴情報ＨＳ２とを取得し、データベース部８８に書き込む処理が含まれており、この処理を制御部９０が実行することで、変更履歴取得／書込部８４ａが機能する。
【００４１】
Ｄ．実施形態効果：
以上詳述したように、本実施形態のＡＴＭ１０によれば、パッケージ２３０を境にして、デバイス制御層２２０側では機密データであるカードデータをそのまま利用し、業務層２１０側ではカードデータをトークン化したトークンデータを利用している。このため、業務層２１０が情報セキュリティに対して脆弱な汎用ブラウザによって提供される機能を含む構成であったとしても、不正アクセスがあってもトークンデータが漏洩する虞があるだけで、決して元の機密データは漏洩することがない。したがって、本実施形態のＡＴＭ１０は、機密データの漏洩を防止することができる。また、自然災害（例えば地震）や、ＡＴＭ盗難を受けた際にも、機密データは制御部９０内に残らないことから、機密データの漏洩をより防止することができる。
【００４２】
また、本実施形態のＡＴＭ１０によれば、データベース部８８にログイン・ログアウト履歴情報ＨＳ１が記録されることから、パッケージ２３０へのログインがどの操作者によって行われたのかを知ることができる。また、データベース部８８にインストール変更履歴情報ＨＳ２が記録されることから、パッケージ２３０が不正なパッケージに入れ替えられてしまうことを防御し、偽りのホストコンピュータに接続されることを防御し、偽りのユーザによってＡＴＭのソフトウェアが改変されることを防御することができる。
【００４３】
Ｅ．変形例：
この発明は前記実施形態やその変形例に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば、次のような変形も可能である。
【００４４】
・変形例１：
前記実施形態や変形例では、機密データをカード／明細票機構部３０から操作者によって挿入されたカードデータとしたが、これに換えて、操作／表示部２０から操作者によって入力された振込先口座番号や暗証番号にしてもよい。また、振込先口座番号や暗証番号等に限る必要はなく、操作／表示部２０から操作者によって入力された他の文字列としてもよい。また、前記実施形態や変形例では、本発明の一形態が備える「データ入出力部」をカード／明細票機構部３０としていたが、これに換えて、データ入出力部を操作／表示部２０としてもよく、操作者が入力した暗証番号や振込先口座番号を機密データとすることができる。さらに機密データは、機密性が高くない特定種類のデータ、すなわち特定データに換えることもできる。換言すれば、データ入出力部は、操作／表示部２０やカード／明細票機構部３０に限る必要はなく、特定データをＡＴＭ１０の外部との間でやり取りすることができる構成であればいずれの構成とすることもできる。
【００４５】
・変形例２：
前記実施形態や変形例では、機密データをトークン化されたトークンデータに変換する構成としたが、これに換えて、機密データの各文字を例えば”＊（アスタリスク）”等の単一のデータにそれぞれ置き換える構成としてもよい。例えば、図６の例示では、「４５６７」といった機密データＤｔが「＊＊＊＊」と変換される。この場合には、機密データ／偽データ変換部８４は、取引の最中には、変換前の機密データＤｔを記憶するようにし、機密データを外部に出力する際には、「＊＊＊＊」から元の機密データに再変換するようにする。取引が終了した後には、機密データ／偽データ変換部８４は、機密データを消失させる。なお、単一のデータに変換するのか、トークン化するのかは、どちらかに固定することもできるが、アプリケーションが用途によって選択することができる。例えば、顧客操作画面に入力した暗証番号を表示させる場合はマスク化を使用することが可能である。要は、元の特定データとは相違する偽データであれば、偽データはどういった形態のデータでもよい。
【００４６】
・変形例３：
前記実施形態や変形例において、機密データ／偽データ変換部８４へのアクセスは、決められた手順に則った場合でのみ許可する仕組みとしてもよい。これにより、機密データ／偽データ変換部８４への不正アクセスが発生した場合でも、機密データの漏洩を防止することが可能となる。「決められた手順」とは、アプリケーションのソフトウェアと機密データ／偽データ変換部８４で相互認証する方式でもよく、またアプリケーションのソフトウェアが認証機能を持てない場合は、機密データ／偽データ変換部８４からアプリケーションのソフトウェアへの片側認証とする方式でもよい。例えば、認証はＰＫＩ（公開鍵基盤）の電子署名技術を利用し、予め各ソフトウェアに電子署名を付与しておき、相手となるソフトウェアの署名の正当性を検証することで認証を行うことでもよい。この方式の場合、機密データ／偽データ変換部８４へ不正にアクセスしようとしても署名の正当性を検証できないため、不正アクセスであることを判別し、アクセスを拒否することが可能となる。
【００４７】
・変形例４：
前記実施形態や変形例では、ログイン・ログアウト履歴情報ＨＳ１とインストール変更履歴情報ＨＳ２との双方をデータベース部８６に記憶する構成としたが、これに換えて、いずれか一方を記憶する構成としてもよい。また、インストール変更履歴情報ＨＳ２は、ソフトウェアのインストールの履歴情報、ＩＰアドレスの変更の履歴情報、ユーザが追加されたことの履歴を記録のうちの少なくとも一つの記録する構成であれば、いずれの構成としてもよい。
【００４８】
本発明は、特許請求の範囲に記載した形態以外の種々の形態で実現することも可能であり、例えば、自動取引装置を含む取引処理システムとしての形態、自動取引装置の制御処理の各ステップを機能として実現するコンピュータープログラムとしての形態、このコンピュータープログラムやこのコンピュータープログラムを記録した印刷媒体等の形態等で実現することが可能である。
【００４９】
なお、前述した各実施例および各変形例における構成要素の中の、独立請求項で記載された要素以外の要素は、付加的な要素であり、適宜省略可能である。
【符号の説明】
【００５０】
１０…自動取引装置（ＡＴＭ）
２０…操作／表示部
３０…カード／明細票機構部
４０…通帳機構部
５０…紙幣入出金機構部
６０…硬貨入出金機構部
６１…駆動モータ
６２…ロック機構
７０…顧客検知部
８０…制御部
８０ａ…シャッタ閉制御部
９０…回線接続部
１１０…前面パネル
１２０…開口部
１２０ａ〜１２０ｃ…内壁
１３０…硬貨用容器
１４０…シャッタ部材
１４０ａ…先端部分
１５０…シャッタ開検知センサ
１５２…シャッタ閉検知センサ
１５４…両側異物検知センサ
１５４ａ…投光部
１５４ｂ…受光部
１５６…先端側異物検知センサ
１５６ａ…投光部
１５６ｂ…受光部
１５８…シャッタ小開位置移動検知センサ
ｕ…第１の方向
ｖ…第２の方向
Ｆ…異物
ｄ１…間隔
ｄ２…隙間幅
ＬＰ…光路
【図１】
2015133036.tif 000003
【図２】
2015133036.tif 000004
【図３】
2015133036.tif 000005
【図４】
2015133036.tif 000006
【図５】
2015133036.tif 000007
【図６】
2015133036.tif 000008
【図７】
2015133036.tif 000009
【図８】
2015133036.tif 000010
【図９】
2015133036.tif 000011
【図１０】
2015133036.tif 000012