(57)【特許請求の範囲】
【請求項１】
リーダライタと通信可能であって、所定のプログラムによって動作するプロセッサとメモリとを備えたＩＣで実行されるデータの更新方法であって、
前記メモリには、
更新によってその値が増減する対象データを格納するためのデータ格納領域と、前記データ格納領域に格納される対象データの更新可能範囲として少なくとも一方が固定値である更新上限値と更新下限値との組により設定された設定領域とが形成されており、
前記プロセッサは、
前記リーダライタより前記対象データの更新要求を受信すると、前記データ格納領域に格納されている対象データの現在値及び新規入力値に基づいて更新候補データを生成するとともに、該更新候補データが前記設定領域に設定された更新可能範囲内のときのみ前記データ格納領域の更新を許容することを特徴とするプロセッサとメモリとを備えたＩＣで実行されるデータの更新方法。
【請求項２】
リーダライタと通信可能であって、所定のプログラムによって動作するプロセッサとメモリとを備えたＩＣで実行されるデータの更新方法であって、
前記メモリには、
更新によってその値が増減する対象データを格納するためのデータ格納領域と、前記データ格納領域に格納される対象データの更新可能範囲として個別に設定及び更新が可能な更新上限値と更新下限値との組により設定された設定領域とが形成されており、
前記プロセッサは、
前記リーダライタより前記対象データの更新要求を受信すると、前記データ格納領域に格納されている対象データの現在値及び新規入力値に基づいて更新候補データを生成するとともに、該更新候補データが前記設定領域に設定された更新可能範囲内のときのみ前記データ格納領域の更新を許容することを特徴とするプロセッサとメモリとを備えたＩＣで実行されるデータの更新方法。
【請求項３】
前記設定領域には前記更新可能範囲を複数種類設定するための領域が形成されていることを特徴とする請求項１又は２記載のプロセッサとメモリとを備えたＩＣで実行されるデータの更新方法。
【請求項４】
前記データ格納領域に複数種別の対象データの格納領域が形成されており、前記更新上限値及び更新下限値が、個々の対象データの格納領域について規定されるものであることを特徴とする請求項１〜３のいずれかに記載のプロセッサとメモリとを備えたＩＣで実行されるデータの更新方法。
【請求項５】
前記プロセッサは、前記リーダライタから受信した前記対象データの更新要求と前記更新可能範囲の設定ないし更新要求とを識別するとともに、識別結果に応じて異なる形態の認証を行うことを特徴とする請求項１〜４のいずれかに記載のプロセッサとメモリとを備えたＩＣで実行されるデータの更新方法。
【請求項６】
前記認証は、前記更新可能範囲の上限値及び下限値の設定ないし更新を異なる権限ＩＤに基づいて許容することを特徴とする請求項１〜５記載のプロセッサとメモリとを備えたＩＣで実行されるデータの更新方法。
【請求項７】
リーダライタと通信可能で、所定のプログラムによって動作するプロセッサとメモリとを内蔵するＩＣであって、
前記メモリには、
更新によってその値が増減する対象データを格納するためのデータ格納頗域と、前記データ格納領域に格納される対象データの更新可能範囲として少なくとも一方が固定値である更新上限値と更新下限値との組により設定された設定領域とが形成されており、
前記プロセッサは、
前記リーダライタより前記対象データの更新要求を受信すると、前記データ格納領域に格納されている対象データの現在値及び新規入力値に基づいて更新候補データを生成するとともに、該更新候補データが前記設定領域に設定された更新可能範囲内のときのみ前記データ格納領域の更新を許容することを特徴とするＩＣ。
【請求項８】
リーダライタと通信可能で、所定のプログラムによって動作するプロセッサとメモリとを内蔵するＩＣであって、
前記メモリには、
更新によってその値が増減する対象データを格納するためのデータ格納領域と、前記データ格納領域に格納される対象データの更新可能範囲として個別に設定及び更新が可能な更新上限値と更新下限値との組により設定された設定領域とが形成されており、
前記プロセッサは、
前記リーダライタより前記対象データの更新要求を受信すると、前記データ格納領域に格納されている対象データの現在値及び新規入力値に基づいて更新候補データを生成するとともに、該更新候補データが前記設定領域に設定された更新可能範囲内のときのみ前記データ格納領域の更新を許容することを特徴とするＩＣ。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、例えばオフラインの使用時における不当なデータの更新を防止し、それによって生じるカード発行者及びカード所有者のリスクを軽減させることができるＩＣカードに関する。
【０００２】
【従来の技術】
ＩＣカードの内部に、カード発行主体であるセンタシステム側で管理されている対象データ、例えば金額等に相当するデータ（以下、金額データ）を格納しておき、その金額データを用いてセンタシステム側の了解を得ずに商品購入等を行う取引形態がある。このような取引形態をオフライン取引という。例えば、センタシステムとオンライン接続されているＡＴＭ（automatic teller machine）等を用いて自己の銀行預金残高の全部または一部に対応する金額データをＩＣカードのメモリ領域に格納しておき、商品購入時には、店舗にあるオフライン端末を用いて上記金額データを逐次減算していく場合がオフライン取引に該当する。
【０００３】
このようなオフライン取引においては、ＩＣカードに格納されている金額データと、センタシステム側で管理している預金残高に相当する金額データとの不一致による、カード発行者とカード所有者との間のトラブル発生を回避する手段を講じることが重要となる。
【０００４】
そこで、従来は、センタシステム側でＩＣカードに格納できる金額データに上限を設けて金額データの更新（増額）の際に一定の制限を課し、上記金額データの不一致を防止するような工夫が施されていた。図７は、この場合のシーケンスチャートであり、ＩＣカード、ＡＴＭに設けられるカードリーダライタ（以下、Ｒ／Ｗ）、及び、ＡＴＭにオンライン接続されているセンタシステムにおける、それぞれの処理の流れを示すものである。
【０００５】
図７において、Ｒ／Ｗ（ＡＴＭ）は、カード挿入の検知を契機に（Ｒ２１）所要のカード挿入後処理を行った後、ＩＣカードに対して現在値、すなわち現在格納されている金額データの読出要求を行う（Ｒ２２）。ＩＣカードは、この要求の受信によって（Ｋ２１）自己のメモリ領域から、現在格納されている金額データを読み出し、これをＲ／Ｗへ送信する（Ｋ２２）。ＩＣカードから金額データを受信したＲ／Ｗは、この金額データと増加予定額とを加算して変更値を演算し（Ｒ２３）、演算結果である変更値をセンタシステムに送信する（Ｒ２４）。つまり更新可能かどうかの問い合わせを行う。
【０００６】
センタシステムでは、変更値を受信すると、当該ＩＣカードの登録所有者について管理している金額データ（以下、管理値）を検索し（Ｃ２１）、存在する場合はその管理値と受信した変更値とを比較する（Ｃ２２）。そして変更値が管理値以下であれば（Ｃ２３：Ｙｅｓ）更新可能通知、変更値が管理値を越える場合（Ｃ２３：Ｎｏ）更新不可通知をそれぞれＲ／Ｗに送る。
【０００７】
Ｒ／Ｗは、センタシステムからの通知が更新可能通知の場合はその旨をＩＣカード側に送り（Ｒ２５）、更新不可通知の場合は更新不可表示を行って所定のエラー処理を行う。
【０００８】
ＩＣカードは、更新可能通知を確認すると、金額データの現在値を更新するとともに（Ｋ２３２）。更新が正常終了した場合はその旨をＲ／Ｗに通知する（Ｋ２４）。この通知を受信したＲ／Ｗは、更新済を表示し（Ｒ２７）、必要処理が終了した場合は、当該ＩＣカードの排出制御を行う（Ｒ２８）。これによりＩＣカードは排出され、更新された金額データに基づくオフライン取引が可能になる。
【０００９】
【発明が解決しようとする課題】
上述のように、ＩＣカードに格納されている金額データを更新する場合、通常は、常にセンタシステム側で管理されている金額データとの整合性をチェックした上で更新の可否が行われるようになっている。しかし、上記ＩＣカードに対して行われる金額データの更新手順を第三者が盗み、その手順を実現する機能を搭載した不正なＡＴＭを作成してしまえば、センタシステムへの問い合わせを行わなくともＩＣカードの内部の金額データを一方的に更新することが可能となってしまう。また、正規のカード所有者がＩＣカードを紛失ないし盗難にあった場合、それを取得した悪意の第三者が更新可能な金額データの範囲内で設定金額の増額や商品の購入等を繰り返すことが考えられる。
【００１０】
このように、従来のＩＣカードを用いてオフライン取引を行う場合、カード所有者及びカード発行者（あるいはシステム運用者）の双方にとって、危険性のある取引形態となってしまう問題があった。このような問題は、上記金額データのように、ＩＣカードの内部に格納される対象データの更新可否が、ＩＣカードの外部に存する装置の判断によって行われることに起因しており、同様の手法を採用する他のＩＣカードシステムにも共通に存していた。
【００１１】
そこで、本発明の課題は、カード内部に格納される対象データの更新制限を徹底させ、該対象データに対する不当なアクセスを確実に防止することができる、改良されたＩＣカードを提供することにある。
【００１２】
【課題を解決するための手段】
本発明は、上記課題を解決するため、更新によってその値が増減する対象データを格納するためのデータ格納領域と、前記データ格納領域に格納される対象データの更新可能範囲が設定された設定領域と、前記データ格納領域に格納されている対象データの現在値及び新規入力値に基づいて更新候補データを生成するとともに、該更新候補データが前記設定領域に設定された更新可能範囲内のときのみ前記データ格納領域の更新を許容する第１のメモリ制御手段と、を有するＩＣカードを提供する。
【００１３】
また、更新によってその値が増減する対象データを格納するためのデータ格納領域と、前記データ格納領域に格納される対象データの更新可能範囲を設定するための設定領域と、この設定領域に少なくとも一種類の前記更新可能範囲を設定ないし更新する第２のメモリ制御手段とを有するＩＣカードをも提供する。
【００１４】
上記各ＩＣカードにおいて、前記更新可能範囲は、例えば、少なくとも一方が固定値である更新上限値と更新下限値との組、あるいは個別に設定及び更新が可能な更新上限値と更新下限値との組により規定されるものであり、また、前記データ格納領域に複数種別の対象データの格納領域が形成される場合、個々の対象データの格納領域について規定されるものである。更新上限値は、例えば対象データの値が累積され過ぎないようにするため、更新下限値は、対象データの値が低減され過ぎないようにするための保全手法として用いることができる。
【００１５】
本発明の他のＩＣカードは、カード外部より入力される前記対象データの更新要求と前記更新可能範囲の設定ないし更新要求とを識別するとともに、識別結果に応じて異なる形態の認証処理を行う認証処理手段をさらに有する。この認証処理手段は、好ましくは、前記更新可能範囲の上限値及び下限値の設定ないし更新を異なる権限ＩＤに基づいて許容するように構成されるようにする。
【００１６】
【発明の実施の形態】
以下、図面を参照して、本発明の実施の形態を詳細に説明する。図１は、本発明が適用されるＩＣカードの構成例を示す図である。このＩＣカード１は、カードリーダライタ（Ｒ／Ｗ）２との間のデータ入出力制御を行う入出力制御部（Ｉ／Ｏ）１１、マイクロプロセッサ（ＣＰＵ）１２、ＲＯＭ１３、ＲＡＭ１４、及びＥＥＰＲＯＭ１５を備えて構成される。
【００１７】
ＲＡＭ１４は、ＣＰＵ１２がプログラムを実行するために使用するワーキングメモリであり、ＲＯＭ１３は、少なくともＣＰＵ１２が実行する制御プログラムを格納するメモリである。
【００１８】
図２は、ＥＥＰＲＯＭ１５の内容説明図である。本実施形態では、ＥＥＰＲＯＭ１５に、少なくとも、アクセス権限ＩＤである複数のＰＩＮ（Personal Identification Number：暗証番号）を格納するためのＰＩＮ格納領域１５１と、対象データの一例である金額データの更新可能範囲を設定するための設定データ格納領域１５２と、上記金額データの格納領域１５３とを形成する。ここで用いる金額データは、金額等を表すデータであり、オフライン取引時の資金保留に際してその値が増加し、商品購入等の支払いの際にその値が減少するデータである。
【００１９】
ＰＩＮ格納領域１５１には、カード発行者用のＰＩＮ＃１と正規のカード所有者用のＰＩＮ＃２とを設定しておく。設定データ格納領域１５２に設定される更新可能範囲は更新上限値と更新下限値との組から成り、この更新上限値及び更新下限値は、それぞれ個別に設定ないし更新（以下、この実施形態において設定等とする）できるようになっている。例えば更新上限値はカード発行者、更新下限値はカード所有者のみが設定等を行えるようにする使い方が可能である。
【００２０】
なお、更新上限値と下限値の少なくとも一方は、固定値としておくことも可能である。また、両方とも固定値とすれば、少なくとも後述の認証処理手段の構成を、より簡略化させることができる。
【００２１】
更新上限値と更新下限値は複数の組を設定することができ、かつ各組の更新上限値と更新下限値には、複数の金額データ＃１〜＃ｎの各々の格納領域について個別に設定することができる。このようにすれば、１枚のＩＣカードで複数のサービスの提供を受ける場合等に対応させることができる。図示の例では、更新上限値Ａと更新下限値Ａの組に金額データ＃１，更新上限値Ｂと更新下限値Ｂの組に金額データ＃２と金額データ＃３とが設定されている。
【００２２】
図３は、ＲＯＭ１３に格納された制御プログラムに従ってＣＰＵ１２が実現する機能ブロック構成図である。この実施形態では、認証処理部１２０、コマンド実行管理部１２１、上限値設定部１２２，下限値設定部１２３、対象データ設定部１２４、データ比較処理部１２５、演算処理部１２６、及びデータ更新処理部１２７を構築する。なお、ここでは、更新上限値及び更新下限値が、それぞれ個別に更新等することができるものとして説明する。
【００２３】
認証処理部１２０は、Ｉ／Ｏ１１を介してＲ／Ｗ２から入力されるＰＩＮを識別して所要の認証処理を行うものである。なお、金額データの更新の際にはＰＩＮ入力による認証処理を省略することもできる（ＰＩＮアンロック状態）。コマンド実行管理部１２１は、認証処理部１２０が金額データの更新要求とは異なる要求、すなわち更新可能範囲の設定等や各更新可能範囲についての金額データの設定等を要求を前提とした認証処理を行ったとき、当該要求に対応するコマンドを選択的に実行するものである。
【００２４】
このコマンド実行管理部１２１における処理の手順を図４により説明する。コマンド実行管理部１２１は、例えば、カード発行者が自己のＰＩＮ＃１の入力をもとに更新上限値の設定等を要求した場合（ステップＳ１０１：Ｙｅｓ）、上限値設定部１２２に更新上限値の設定用コマンドを送る（ステップＳ１０２）。また、カード所有者が自己のＰＩＮ＃２入力をもとに更新下限値の設定等を要求した場合は（ステップＳ１０１：Ｎｏ、ステップＳ１０３：Ｙｅｓ）、下限値設定部１２３に更新下限値の設定用コマンドを送る（ステップＳ１０４）。更新可能範囲に個別的に金額データ＃１〜＃ｎの設定等を行う場合も、カード所有者のＰＩＮ照合を行い、正常の場合に対象データ設定用コマンドを対象データ設定部１２４に送るようにする。ＰＩＮ照合の結果、認証がとれない場合はエラー処理を行って（ステップＳ１０５）、処理を終える。
【００２５】
データ比較処理部１２５は、金額データ格納領域１５３に格納されている金額データの現在値とＩ／Ｏ１１を介して新規入力された金額データ（新規入力値）とを演算処理部１２６を用いて合計し、合計値が当該金額データについて設定された更新可能範囲内かどうかを比較する。そして、更新可能範囲内の場合は合計値をデータ更新処理部１２７に送る。データ更新処理部１２７は、データ比較処理部１２５の比較処理結果に応じて金額データ格納領域１５３の該当データ領域を更新するものである。
【００２６】
次に、上記構成のＩＣカードの使用方法を図５及び図６を参照しながら具体的に説明する。図５は、データ比較処理部１２５及びデータ更新処理部１２７における処理手順の流れを示しており、図６は、ＩＣカード１とＲ／Ｗ２との間のシーケンス手順を示している。ここでは、更新可能範囲が既に設定されており、認証処理については問題ないものとして説明する。
【００２７】
図６において、Ｒ／Ｗ２は、ＩＣカード１が挿入されると（Ｒ１１）、当該ＩＣカードにデータ更新要求（コマンド）を送信する（Ｒ１２）。ＩＣカード側では、この更新要求の受信を契機にＥＥＰＲＯＭ１５の該当領域を検索するとともに所要の更新処理を行う（Ｋ１１〜Ｋ１６）。
【００２８】
具体的には、図５に示されるように、データ更新要求の受信により（ステップＳ２０１）、該当する金額データの格納領域を検索する（ステップＳ２０２）。金額データが存在している場合（ステップＳ２０３：Ｙｅｓ）、当該金額データについて設定されている更新可能範囲があるかどうかを検索する（ステップＳ２０４）。更新可能範囲が存在した場合（ステップＳ２０５：Ｙｅｓ）、増額要求かどうかを判定し（ステップＳ２０６）、増額要求である場合は、現在の金額値と増額値とを加算し（ステップＳ２０６：Ｙｅｓ、Ｓ２０７ｋ）、この加算値が更新上限値以下であることをチェックする（ステップＳ２０８ｋ）。一方、ステップＳ２０６において減額要求であることを確認した場合は、現在の金額値から減額値を減算し（ステップＳ２０６：Ｎｏ、Ｓ２０７ｇ）、この減算値がデータ変更可能下限値以上であることをチェックする（ステップＳ２０８ｇ）。
【００２９】
上記ステップＳ２０６，Ｓ２０８ｋ，Ｓ２０８ｇでのチェックの際に、算出データが更新可能範囲に収まっていることが確認できた場合は、該当金額データの更新を行い（ステップＳ２０９）、正常に終了した旨をＲ／Ｗ２に通知する（ステップＳ２１０）。一方、当該コマンドの実行条件チェックにおいてエラーとなった場合には、所定のエラー処理を行い、異常終了をＲ／Ｗ２に通知する（ステップＳ２１１）。図６に戻り、Ｒ／Ｗ２は、ＩＣカード１からの通知内容を利用者に認識できる形で出力し（Ｒ１３）、必要な終了処理を経た後、カード排出を行う（Ｒ１４）。
【００３０】
このように、本実施形態のＩＣカード１は、その内部に、格納できる金額データの範囲を定める更新可能範囲を設定しておき、金額データの更新の際に自己チェックを行うようにしたので、更新処理が従来よりも簡素化される。従って、例えば店舗等において買い物をする場合に、レジにおける精算処理と作業とが簡易になり、レジ付近で他の客による待ち行列が生じる事態を回避することができるようになる。しかも従来のように、Ｒ／Ｗ側に現在の金額データを知らせる必要がないので、悪意の第三者にカード内部の金額データを読み出される虞がなくなるため、ＩＣカード所有者のプライバシー保護にもつながる。
【００３１】
また、更新可能範囲のうち上限値はカード発行者によって秘密裏にＩＣカード１に設定しておき、下限値はＩＣカード１の正規所有者が設定するとともに、これらの設定については、不正なアクセスから防止するために、ＰＩＮ照合を経た後に特殊コマンドでしか実行できなくなるようにすることで、ＩＣカードによるオフライン取引を安全に執り行うことができるようになる。また、カード所有者は、自己のＩＣカードを信頼できる他人に渡し、現在の金額データのうち下限値までは商品の購入等をさせるような使い方も可能になる。
【００３２】
なお、本実施形態では、対象データとして、金額データの場合の例を示したが、このほか、図書カードによる貸出量や、ゲームカードによる得点量の場合も同様の実施態様が可能である。
【００３３】
【発明の効果】
以上の説明から明らかなように、本発明のＩＣカードによれば、不正なＲ／Ｗを用いてカード内部の対象データを不当に更新しようとしてもその更新が制限されるため、オフライン取引時におけるカード所有者及びカード発行者のリスクが軽減される、という特有の効果がある。
【図面の簡単な説明】
【図１】  本発明が適用されるＩＣカードの構成図。
【図２】  本実施形態のＩＣカードのＥＥＰＲＯＭの内容説明図。
【図３】  本実施形態のＩＣカードにより実現される機能ブロックの構成図。
【図４】  本実施形態のコマンド実行管理部における処理手順説明図。
【図５】  本実施形態のＩＣカードにおける処理手順説明図。
【図６】  ＩＣカードとＲ／Ｗとの間で行われる処理手順を示したシーケンスチャート。
【図７】  従来のＩＣカードとＲ／Ｗとセンタシステムとの間で行われる処理手順を示したシーケンスチャート。
【符号の説明】
１ ＩＣカード
２ カードリーダライタ（Ｒ／Ｗ）
１１ 入出力制御部（Ｉ／Ｏ）
１２ マイクロプロセッサ（ＣＰＵ）
１２１ 認証処理部
１２２ コマンド実行管理部
１２３ 上限値設定部
１２４ 下限値設定部
１２５ データ比較処理部
１２６ 演算処理部
１２７ データ更新処理部
１３ ＲＯＭ
１４ ＲＡＭ
１５ ＥＥＰＲＯＭ
１５１ ＰＩＮ格納領域
１５２ 設定データ格納領域
１５３ 金額データ格納領域
【図１】
0003957167.tif 000002
【図２】
0003957167.tif 000003
【図３】
0003957167.tif 000004
【図４】
0003957167.tif 000005
【図５】
0003957167.tif 000006
【図６】
0003957167.tif 000007
【図７】
0003957167.tif 000008