情報処理装置
【課題】電子マネー端末に記憶されているセキュリティに関わるデータの漏洩を防止すること。
【解決手段】電子マネー端末８は、外部電源に接続されているか否かを監視しており、外部電源から切り離されると、内部のバッテリ３３の電力を用いて外部電源から切り離されたことを不揮発性メモリ３９の電源断フラグに記録する。電子マネー端末８は、起動時に、バッテリ３３の記録を参照し、電子マネー端末８が外部電源から切り離されたか否かを確認する。外部電源から切り離されたことを確認した場合、電子マネー端末８は、記憶部４１に記憶してあるセキュリティデータを消去した後、起動する。一方、外部電源から切り離されていないことを確認した場合はセキュリティデータを消去せずに起動する。
【解決手段】電子マネー端末８は、外部電源に接続されているか否かを監視しており、外部電源から切り離されると、内部のバッテリ３３の電力を用いて外部電源から切り離されたことを不揮発性メモリ３９の電源断フラグに記録する。電子マネー端末８は、起動時に、バッテリ３３の記録を参照し、電子マネー端末８が外部電源から切り離されたか否かを確認する。外部電源から切り離されたことを確認した場合、電子マネー端末８は、記憶部４１に記憶してあるセキュリティデータを消去した後、起動する。一方、外部電源から切り離されていないことを確認した場合はセキュリティデータを消去せずに起動する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置に関し、例えば、内部に記憶したセキュリティに関するデータを自動的に消去するものに関する。
【背景技術】
【０００２】
近年の電子マネーの普及に伴い、電子マネーを用いた商取引が盛んに行われるようになってきた。
電子マネーシステムでは、バリューと呼ばれる金銭に対応させた電子データを電子マネーカードなどに内蔵されたＩＣチップに記憶し、これを加盟店に設置した電子マネー端末からアクセスして増減することにより、金銭的価値の移動を行う。
なお、ＩＣチップが記憶するバリュー残高を増額する金額変更処理はチャージと呼ばれ、減額する金額変更処理は決済と呼ばれている。
【０００３】
電子マネー端末と電子マネーカードは、各種の暗号鍵を記憶しており、電子マネー端末と電子マネーカードは、これら暗号鍵によって相手方が正統な端末であることを確認し、また、通信を暗号化している。
また、電子マネー端末は、電子マネーカードとの処理履歴を利用ログデータとして一定期間蓄積し、電子マネーサーバに１日に１回程度送信する。そして、電子マネーサーバは、電子マネー端末から送信されてきた利用ログデータを集計する。
【０００４】
このように、電子マネー端末には、セキュリティに関わるデータが記憶されているため、電子マネー端末が内部を不正に解析されることを防ぐ必要がある。
このように、装置内部のデータを保護する技術として、次の「セキュリティシステムとセキュリティ処理方法」がある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平１０−１６１８６５号公報
【０００６】
この技術は、端末内の揮発性メモリにセキュリティを要するデータを記憶しておき、端末筐体の開放を検知すると、揮発性メモリへの電力供給を絶ってこれを消去するものである。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
電子マネー端末は、記憶するデータ量が多いため、ハードディスクなどの不揮発性の記憶装置に記憶している。また、各種暗号鍵も電子マネー端末を停止しても消去されないように不揮発性の記憶装置に記憶している。
これら、不揮発性メモリに記憶されたデータは、電力供給がなくても電子マネー端末内に保持されるため、電子マネー端末が、盗難などされた場合に、内部のデータの漏出を如何に防ぐかが重要な課題であった。
【０００８】
そこで、本発明の目的は、電子マネー端末に記憶されているセキュリティに関わるデータの漏洩を防止することである。
【課題を解決するための手段】
【０００９】
本発明は、前記目的を達成するために、請求項１に記載の発明では、外部電源からの電力供給の停止を検出する検出手段と、所定の情報を記憶した記憶手段と、前記記憶した所定の情報を用いて情報処理を行う情報処理手段と、前記検出手段で、電力供給の停止が検出された場合に、前記記憶した所定の情報を消去する消去手段と、を具備したことを特徴とする情報処理装置を提供する。
請求項２に記載の発明では、前記消去手段は、内部電源と不揮発性記憶媒体を備え、前記検出手段で電力供給の停止が検出された場合に、電力供給が停止された旨を表す停止記録を、前記内部電源の電力を用いて前記不揮発性記憶媒体に記録し、起動時に前記不揮発性記憶媒体の停止記録を確認して停止記録があった場合に、前記所定の情報を消去することを特徴とする請求項１に記載の情報処理装置を提供する。
請求項３に記載の発明では、起動時に、前記不揮発性記憶媒体に停止記録があった場合に、前記情報処理手段の情報処理機能を制限する機能制限手段を具備したことを特徴とする請求項２に記載の情報処理装置を提供する。
請求項４に記載の発明では、起動後に前記不揮発性記憶媒体に記録されている停止記録を無効化する無効化手段を具備したことを特徴とする請求項２、又は請求項３に記載の情報処理装置を提供する。
請求項５に記載の発明では、前記消去手段は、前記不揮発性記憶媒体に、外部電源からの電力供給が停止した時刻を記録し、起動時の時刻が、前記記録した時刻から所定時間内の場合は、前記所定の情報を消去しないことを特徴とする請求項２、請求項３、又は請求項４に記載の情報処理装置を提供する。
請求項６に記載の発明では、前記消去手段は、外部電源からの電力供給が停止した時刻と、外部電源からの電力供給が再開した時刻と、を記録し、前記記録に係る停止した時刻と再開した時刻の時間差が所定時間内である場合は、前記所定の情報を消去しないことを特徴とする請求項２、請求項３、又は請求項４に記載の情報処理装置を提供する。
請求項７に記載の発明では、前記消去手段は、内部電源を備え、前記検出手段で電力供給の停止が検出された直後に、前記内部電源の電力を用いて前記記憶した所定の情報を消去することを特徴とする請求項１に記載の情報処理装置を提供する。
請求項８に記載の発明では、前記情報処理手段は、貨幣価値の金額を電子データとして記憶し、金額変更情報を受信して前記記憶した金額に対して金額変更処理を行う貨幣端末に金額変更情報を送信し、前記所定の情報は、前記金額変更情報を暗号化する暗号鍵であることを特徴とする請求項１から請求項７に記載の情報処理装置を提供する。
請求項９に記載の発明では、前記消去手段は、更に、前記貨幣端末との処理内容を記録したログデータを消去することを特徴とする請求項８に記載の情報処理装置を提供する。
【発明の効果】
【００１０】
本発明によれば、例えば、電源断の後に再起動する際に、内部のセキュリティに関わるデータを自動消去することにより、電子マネー端末に記憶されているデータの漏洩を防止することができる。
【図面の簡単な説明】
【００１１】
【図１】電子マネーシステムのネットワーク構成を示した図である。
【図２】電子マネーカードのハードウェア的な構成の一例を示したブロック図である。
【図３】電子マネー端末のハードウェア的な構成の一例を示した図である。
【図４】電子マネー端末が行う電源断時処理を説明するためのフローチャートである。
【図５】電子マネー端末が行う起動処理について説明するためのフローチャートである。
【図６】変形例に係る電子マネー端末が行う電源断時処理について説明するためのフローチャートである。
【発明を実施するための形態】
【００１２】
（１）実施の形態の概要
電子マネー端末８（図３）は、外部電源に接続されているか否かを監視しており、外部電源から切り離されると、内部のバッテリ３３の電力を用いて動作し、外部電源から切り離されたことを不揮発性メモリ３９の電源断フラグに記録する。
電子マネー端末８は、起動時に、電源断フラグを参照し、電子マネー端末８が外部電源から切り離されたか否かを確認する。外部電源から切り離されたことを確認した場合、電子マネー端末８は、記憶部４１に記憶してあるセキュリティデータを消去した後、起動する。
一方、外部電源から切り離されていないことを確認した場合はセキュリティデータを消去せずに起動する。
【００１３】
以上は、基本的な構成であるが、これでは落雷などによる瞬断（瞬間的な停電）が発生した場合もセキュリティデータを消去してしまうため、電子マネー端末８は、以下のようにして、電源断が瞬断であるか否かを判断し、瞬断である場合はセキュリティデータを消去せずに起動する機能を備えている。
【００１４】
まず、電子マネー端末８は、外部電源から切り離された時刻を不揮発性メモリ３９に記録する。そして、電子マネー端末８は、再起動時に現在時刻と不揮発性メモリ３９に記録した時刻の時間差から外部電源から切り離されていた時間を計算する。
この時間が所定時間内の場合、電子マネー端末８は、セキュリティデータを消去せずに起動する。即ち、瞬断は、短時間の内に電力供給が復旧するため、電子マネー端末８が外部電源から切り離されていた時間に閾値を設け、これによって、落雷などによる瞬間的な停電と人為的な外部電源からの取り外しを区別する。
【００１５】
以上のように、電子マネー端末８は、電源断を検知し、これをトリガーとして、そのたびにセキュリティデータを消去することができる。そのため、端末盗難などに対するリスクを減少させることができる。
また、電子マネー端末８は、再起動時に外部電源の電力によってセキュリティデータを消去するため、少容量のバッテリ３３を搭載するだけで、大量のセキュリティデータを消去することができる。
【００１６】
（２）実施の形態の詳細
本実施の形態では、電子マネーシステムで使用される電子マネー端末が保持するセキュリティに関するデータを保護する場合を例にとり説明する。
図１は、電子マネーシステム１のネットワーク構成を示した図である。
電子マネーシステム１は、電子マネーカード６、携帯電話７、電子マネーサーバ２、電子マネー端末８などから構成されており、電子マネー端末８と電子マネーサーバ２はネットワークにて接続可能となっている。
【００１７】
電子マネーカード６は、非接触型ＩＣチップを内蔵しており、近距離の無線通信によって電子マネー端末８と通信することができる。電子マネーカード６と電子マネー端末８の通信は暗号化されており、電子マネーカード６は、電子マネー端末８から受信した情報を復号化する機能と、電子マネー端末８に送信する情報を暗号化する機能を備えている。
なお、ＩＣチップを接触型とし、電極の接触により電子マネー端末８と接続するように構成してもよい。
【００１８】
ＩＣチップは、ＣＰＵを搭載した一種のコンピュータであり、電子マネーシステム１において通貨に該当する電子データであるバリューの金額を記憶したり、電子マネー端末８から送信されてきた金額変更情報（金額を増減するコマンド）を用いて当該記憶したバリューの金額に対して金額変更処理を行う。
【００１９】
バリューとは、電子マネーシステム１において貨幣価値と対応させた電子データであって、金額を属性として持ち、この金額の増減により通貨と同様の交換価値の移動を生じさせるものである。
ＩＣチップのバリューを増額させる（チャージする）際に、増額分の代金を顧客から徴収し、これをバリューで決済した加盟店に決済金額に応じて分配することにより、通貨とバリューとの対応が図られている。
【００２０】
また、バリューの概念には、ポイントなど、物やサービスと交換可能な交換価値も含めることができる。
ＩＣチップは、貨幣価値の金額を電子データ（バリュー）として記憶し、金額変更情報を受信して前記記憶した金額に対して金額変更処理を行う貨幣端末として機能している。
【００２１】
携帯電話７は、電子マネーカード６と同様のＩＣチップを内蔵した携帯端末である。
携帯電話７のＩＣチップは、電子マネーカード６のＩＣチップと同様に、電子マネー機能が組み込んであり、電子マネー端末８と近距離の無線通信を行って、金額変更処理などを行うことができる。
また、携帯電話７は、ネットワークを経由して電子マネーサーバ２と通信し、電子マネーサーバ２から金額変更情報を受信して金額変更処理を行うこともできる。
【００２２】
なお、電子マネーカード６や携帯電話７は、ＩＣチップの組み込み形態の一例であって、例えば、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）などの、他の組み込み媒体に組み込むこともできる。
以下では、ＩＣチップの組み込み媒体として電子マネーカード６を用いて説明するが、他の組み込み媒体に対しても同様な説明が成り立つ。
【００２３】
加盟店は、電子マネーカード６によってバリューでの商取引が可能な店舗（コンビニエンスストア、デパート、レストラン、その他の小売店舗、自動販売機、営業車両、その他の移動体など）であり、会計場所に単数、又は複数の電子マネー端末８を備えている。
電子マネー端末８は、例えば、単独で設置されていたり、あるいは、会計装置（キャッシュレジスタやＰＯＳシステム）などに組み込まれている場合もある。
【００２４】
電子マネー端末８は、電子マネーカード６に各種コマンドを送信して電子マネーカード６のＣＰＵに情報処理させる端末であり、近距離の無線にて電子マネーカード６と通信することができる。
電子マネー端末８は、各種暗号鍵を記憶しており、これを用いて電子マネーカード６を認証したり、電子マネーカード６との通信を暗号化する。
【００２５】
電子マネー端末８は、操作担当者からチャージ金額や決済金額の入力を受け付けるなどして、金額変更情報を生成して電子マネーカード６に送信し、これによって、電子マネーカード６に金額変更処理を行わせる。
また、電子マネー端末８は、電子マネーカード６と行った処理内容を利用ログデータとして蓄積しており、後ほど電子マネーサーバ２にバッチ処理にて送信する。
電子マネー端末８は、電子マネーサーバ２との通信内容も暗号鍵を用いて暗号化する。
【００２６】
電子マネーセンタは、電子マネーシステム１の運営事業体であって、電子マネーサーバ２を用いて電子マネーシステム１の運営管理を行っている。
電子マネーサーバ２は、ネットワークにより電子マネー端末８、８、８、…に接続されており、電子マネー端末８から利用ログデータを送信してもらいデータベースに記憶する。
電子マネーサーバ２は、データベースに記憶した利用ログデータを用いて、各加盟店ごとにチャージ金額の合計、及び決済金額の合計を集計する。
電子マネーセンタは、この集計結果に基づいて各加盟店との資金決済を行う。
【００２７】
以上のように構成された電子マネーシステム１において、電子マネー端末８は、内部に暗号鍵やその他の外部に漏洩してはならない情報が記憶されている。また、利用ログデータも営業秘密であり、外部への漏洩を防ぐことが望ましい。
そのため、電子マネー端末８は、万が一電子マネー端末８が盗難された場合に、これらのデータを消去するセキュリティ機能を備えている。
消去対象とするデータの範囲は、例えば、暗号鍵や利用ログデータなど、予め電子マネー端末８に設定することができる。
以下、消去対象となる消去対象データをセキュリティデータと呼ぶことにする。
なお、セキュリティデータは、暗号鍵と利用ログデータとするほか、暗号鍵のみ、更には、暗号鍵と加盟店ＩＤなど、各種のバリエーションが可能である。
【００２８】
電子マネー端末８は、外部電源からの電力供給の有無を監視することにより、電子マネー端末８が外部電源端子（コンセント）に接続されていることを確認している。
そして、電子マネー端末８は、外部電源からの電力供給の停止を検知すると、予め装備しているバッテリによって動作し、不揮発性メモリに用意された電源断フラグをオン（正常時にはオフに設定されている）に設定する。
その後、電子マネー端末８は、外部電源から電力が供給されて起動する際に、不揮発性メモリの電源断フラグがオンに設定されているか否かを確認し、オンであった場合は、セキュリティデータを消去してから起動し、オフであった場合は、セキュリティデータを消去せずに起動する。
【００２９】
なお、落雷などにより、瞬間的に電力供給が途絶えて復旧する瞬断が発生する場合があるが、瞬断による電力供給停止と、盗難などによる人為的な電力供給停止を区別するために、電子マネー端末８は、更に次のような機能を備えている。
【００３０】
電子マネー端末８は時計を備えており、電力供給が停止した際に、電源断フラグをオンに設定すると共に、電力供給が停止した時刻も不揮発性メモリに記憶する。
そして、電子マネー端末８は、再度電力が供給された際に電源断フラグがオンであることを確認すると、内部の時計により現在時刻を取得し、不揮発性メモリに記憶してある時刻から現在時刻に至るまでの時間を計算する。
電子マネー端末８は、この時間が所定時間内である場合は、セキュリティデータを消去せずに起動し、この時間が所定時間内でない場合は、セキュリティデータを消去してから起動する。
【００３１】
このようにして、電子マネー端末８は、外部電源からの電力供給が途絶えていた時間が所定時間内であった場合は瞬断であると判断し、セキュリティデータを消去せずに起動する。瞬断は、数ミリ秒〜数百ミリ秒程度のごく短い時間で発生するため、所定時間を瞬断よりも若干長く（例えば、５００ミリ秒程度）設定することにより、電子マネー端末８は、盗難などによる電源断と、瞬断を区別することができる。
【００３２】
以上に説明したように、電子マネー端末８は、外部電源からの電力供給が停止した場合に、その旨を不揮発性メモリに記録しておき、外部電源からの電力供給が再開した際に、当該外部電源からの電力を用いてセキュリティデータを消去する。
そのため、バッテリは、不揮発性メモリに記録することができる小型のものを搭載するだけで大量のセキュリティデータを消去することができる。即ち、バッテリの能力以上の量のセキュリティデータを消去することができる。
【００３３】
利用ログデータは、電子マネーカード６と処理するたびに生成されてデータ量が大きくなりがちである一方、電子マネー端末８には大型のバッテリを搭載することが好ましくない。
そこで、本実施の形態のように、小型のバッテリで大量のデータを消去できる機構が有効性を発揮する。
なお、以下では、場合に応じて、外部電源からの電力供給が停止したことを電源断と略記する。
【００３４】
図２は、電子マネーカード６のハードウェア的な構成の一例を示したブロック図である。
電子マネーカード６は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２１、高周波回路２２、アンテナ２６、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２４、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）２５などを有している。
これらの素子は、ＩＣチップ上に形成されている。ただし、アンテナ２６は、電子マネーカード６内部の外縁部付近、又は電子マネーカード６の対角線を軸とする楕円曲線上に張り巡らされた空中線により構成され、端部がＩＣチップに接続されている。
【００３５】
ＣＰＵ２１は、ＲＯＭ２３やＥＥＰＲＯＭ２５に記憶されている各種プログラムに従って情報処理を行う中央処理装置であり、電子マネー端末８から金額変更情報を受信して、これを用いて記憶してあるバリュー残高の金額変更処理などを行う。
ＣＰＵ２１は、アンテナ２６、高周波回路２２を介して、電子マネー端末８と近距離の無線通信を行うことができる。
【００３６】
アンテナ２６は、電子マネー端末８のリーダライタ部に内蔵されたアンテナと電波による送受信を行うためのアンテナであり、各種情報の送受信を行うほか、リーダライタ部からの電波によりＩＣチップを駆動するための電力を発電する。
【００３７】
高周波回路２２は、電子マネー端末８のリーダライタ部からアンテナ２６に送信されてきた高周波をデジタル信号に変換してＣＰＵ２１に出力したり、逆にＣＰＵ２１が出力したデジタル信号を高周波に変換してアンテナ２６からリーダライタ部に送出する。
【００３８】
ＲＡＭ２４は、ＣＰＵ２１が情報処理を行う際のワーキングメモリを提供する随時書き込み読み出し可能なメモリである。
本実施の形態では、ＣＰＵ２１が金額変更処理などを行う際に、一時的な記憶領域として使用される。
ＲＯＭ２３は、電子マネーカード６を機能させるための基本的なプログラムやパラメータ、データなどを記憶した読み出し専用メモリである。
【００３９】
ＥＥＰＲＯＭ２５は、情報の書込消去が可能なＲＯＭである。ＥＥＰＲＯＭ２５に記憶してある情報は、電子マネーカード６への電力の供給がない場合でも保たれる。
ＥＥＰＲＯＭ２５には、電子マネーカード６に電子マネーカードとしての機能を発揮させるための電子マネープログラムが記憶されているほか、電子マネー端末８との通信を暗号化する各種暗号鍵、バリュー残高やログデータ、ＩＣチップを識別するＩＤ情報である電子マネー機能部ＩＤなどの各種データを格納する電子マネー記憶部２９が形成されている。
【００４０】
図３は、電子マネー端末８のハードウェア的な構成の一例を示した図である。
電子マネー端末８は、ＣＰＵ３１、ＲＯＭ３７、ＲＡＭ３８、不揮発性メモリ３９、記憶部４１、電源断検出回路３２、バッテリ３３、通信制御部３４、入出力部３５、リーダライタ部３６、時計部４０などがバスラインで接続されて構成されている。
【００４１】
電子マネー端末８は、外部電源からの電力供給がある場合は、これによって動作し、外部電源からの電力供給が停止した場合は、バッテリ３３によって、ある程度の時間（ＣＰＵ３１が不揮発性メモリ３９に電源断フラグと電源断時刻を記録するのに要する時間）動作できるようになっている。
【００４２】
また、電子マネー端末８は、電源断時には、全体の構成のうち、ＣＰＵ３１が不揮発性メモリ３９に電源断フラグを設定し、電源断時刻を記録する最低限の構成部分だけ動作するように構成することもできる。
このように構成すること、バッテリ３３の消費電力を低減化することができ、バッテリ３３をより小型化することができる。
【００４３】
ＣＰＵ３１は、所定のプログラムに従って情報処理を行うほか、電子マネー端末８全体の制御などを行う。
具体的には、ＣＰＵ３１は、金額変更情報を生成して電子マネーカード６に送信し、電子マネーカード６に金額変更処理を行わせたり、電子マネーカード６との処理内容を記録した利用ログデータを生成する。
【００４４】
また、外部電源からの電力供給が停止した場合、ＣＰＵ３１は、バッテリ３３の供給する電力によって動作し、不揮発性メモリ３９の電源断フラグをオンに設定すると共に、電源断時の時刻を時計部４０から取得して不揮発性メモリ３９に記録する。
そして、再起動時には、ＣＰＵ３１は、電源断フラグを確認し、電源断フラグがオンであった場合は、不揮発性メモリ３９に記憶してある電源断時刻と、時計部４０の計測する現在時刻から、瞬断であったか否かを判断し、瞬断でなかった場合は、セキュリティデータを消去してから起動し、瞬断であった場合はセキュリティデータを消去しないで起動する。
なお、ＣＰＵ３１は、電子マネー端末８の主電源スイッチがオフとなっている場合でも外部電源の電力によって動作しており、電源断を監視している。
【００４５】
ＲＯＭ３７は、電子マネー端末８を動作させるための基本的なプログラムやパラメータなどを記憶した読み出し専用メモリである。
ＲＡＭ３８は、ＣＰＵ３１のワーキングメモリを提供したり、記憶部４１に記憶されたプログラムやデータをロードして記憶したりなどする随時書き込み読み出し可能なメモリである。
通信制御部３４は、ネットワークを介して電子マネー端末８を電子マネーサーバ２に接続する接続装置である。
【００４６】
電源断検出回路３２は、外部電源からの電力供給が停止した場合に、その旨の通知をＣＰＵ３１に行う回路である。
電源断検出回路３２は、外部電源からの電力供給の停止を検出する検出手段として機能している。
電源断検出回路３２は、電子マネー端末８の主電源スイッチがオフになっている場合も稼動しており、電子マネー端末８の電源コードが外部電源端子に接続していることを監視している。
電力供給の監視は、例えば、外部電源の電圧のピーク値を監視しており、当該ピーク値が所定値より低下した場合に外部電源からの電力供給が停止したと判断する。
また、電流値を用いたり、あるいは、電圧や電流値の実行値を監視するなど、他の方法で監視してもよい。
【００４７】
電源断検出回路３２は、通常は、外部電源からの電力で稼動し、外部電源からの電力供給が停止した際には、バッテリ３３の供給する電力で稼動する。このようにして、電源断検出回路３２は、電源断となった場合でも動作してＣＰＵ３１に信号を送信することができる。
【００４８】
バッテリ３３は、内部電源であって、例えば、大容量コンデンサ、リチウムイオンバッテリ、アルカリイオン電池、燃料電池、鉛蓄電池などの蓄電装置と、これら蓄電装置が供給する電力を制御する制御回路などから構成されており、外部電源からの電力供給が停止した際に、電子マネー端末８がある程度動作可能となる電力を供給する。
バッテリ３３を２次電池やコンデンサなどで構成する場合は、電子マネー端末８が稼動している間、外部電源からの電力によりバッテリ３３を常に満充電状態に保つように構成することができる。
【００４９】
不揮発性メモリ３９は、例えば、ＥＥＰＲＯＭで構成された不揮発性記憶媒体である。
なお、不揮発性メモリ３９は、例えば、バッテリを備えた半導体記憶装置など、電源断時に記憶内容を保てるものであればよい。
不揮発性メモリ３９には、ＣＰＵ３１が、電源断フラグを設定したり、電源断時の時刻を書き込んだりするエリアが確保可能となっており、不揮発性メモリ３９は、外部電源からの電力供給が停止した場合でも、ＣＰＵ３１が設定した電源断フラグと電源断時の時刻を保持する。電源断フラグは、電力供給が停止された旨を表す停止記録として機能している。
【００５０】
なお、本実施の形態では、電源断フラグと、電源断時刻を不揮発性メモリ３９に記憶するように構成したが、記憶部４１が不揮発性の記憶装置の場合は、これらの情報を記憶部４１に記憶するように構成することもできる。
【００５１】
時計部４０は、例えば、バッテリを備えた水晶発信装置により構成され、外部電源の有無に関わらずに現在時刻の出力を刻々と行う。
時計部４０は、例えば、パスワードを入力しないと時刻校正ができないなど、時刻改竄が困難となるように構成されている。
時計部４０は、ＣＰＵ３１が電源断時の時刻と起動時の時刻を読み取る際に用いられる。
【００５２】
記憶部４１は、例えばハードディスクやその他の記憶媒体と、これらを駆動する駆動装置から構成されており、各種プログラムを格納したプログラム格納部４２、データを格納したデータ格納部４３などから構成されている。
【００５３】
プログラム格納部４２には、電子マネー端末８を機能させるための基本的なプログラムであるＯＳや、電子マネーカード６に金額変更処理を行わせるための情報処理プログラム、電源断を検知して、電源断フラグや電源断時刻を不揮発性メモリ３９に書き込む電源断記録プログラム、起動する際に、電源断フラグや電源断時刻を確認して、セキュリティデータを消去してから起動する起動プログラムなどが記憶されている。
データ格納部４３には、セキュリティデータやその他のデータが記憶されている。
【００５４】
セキュリティデータは、消去すべき所定の情報に対応し、記憶部４１は、所定の情報を記憶した記憶手段として機能している。また、ＣＰＵ３１は、暗号鍵などを用いて電子マネーカード６との情報処理を行うため、この所定の情報を用いて情報処理を行う情報処理手段として機能している。
【００５５】
入出力部３５は、例えば、キーボード、バーコードリーダなどの入力装置や、液晶表示装置、プリンタ、音声出力装置といった出力装置を備えている。
入力装置は、操作担当者などから商品コードや決済金額、チャージ金額などの入力を受け付けるのに用いられ、出力装置は、表示装置によって現在の処理状態を表示したり、音声出力装置によって処理が完了した際に所定の効果音を出力させたり、処理内容をプリンタで印刷したりなどするのに用いる。
リーダライタ部３６は、アンテナを内蔵しており、電子マネーカード６のＩＣチップと無線通信を行う。
【００５６】
次に、図４のフローチャートを用いて、電子マネー端末８が行う電源断時処理について説明する。
まず、電子マネー端末８は、電源断検出回路３２によって、正規に稼動を開始してから継続的に外部電源からの電力供給を監視している。
電源断検出回路３２は、電源断を検知すると、電源断が発生したことをＣＰＵ３１に通知する（ステップ５）。
【００５７】
ＣＰＵ３１は、電源断検出回路３２から電源断の通知を受信すると、時計部４０から現在時刻を電源断時刻として取得する（ステップ１０）。
次に、ＣＰＵ３１は、不揮発性メモリ３９の電源断フラグをオフからオンに設定すると共に、電源断時刻を不揮発性メモリ３９に書き込む（ステップ１５）。
不揮発性メモリ３９は、電源断フラグと電源断時刻の記憶を保持する。
その後、電子マネー端末８は、時計部４０を除いて停止する。
【００５８】
次に、図５を用いて、電子マネー端末８が行う起動処理について説明する。
まず、ＣＰＵ３１は、起動要求を受け付ける。この起動要求は、例えば、操作担当者が電子マネー端末８の起動操作を行ったり、あるいは、瞬断後に自動的に行ったりする。
すると、ＣＰＵ３１は、不揮発性メモリ３９から電源断フラグの状態と電源断時刻を読み取る（ステップ３５）。
次に、ＣＰＵ３１は、不揮発性メモリ３９から読み取った電源断フラグにより電源断があったか否かを判断する（ステップ４０）。
【００５９】
電源断フラグがオフであった場合、ＣＰＵ３１は、電源断がなかったと判断し（ステップ４０；Ｎ）、不揮発性メモリ３９を初期化する（ステップ５５）。
この初期化は、電源断フラグの状態をオフに設定し、電源断時刻を消去することにより行われる。
【００６０】
電源断フラグがオンであった場合、ＣＰＵ３１は、電源断があったと判断し（ステップ４０；Ｙ）、更に、この電源断が瞬断であったか否かを判断する（ステップ４５）。
ＣＰＵ３１は、次のようにして瞬断であるか否かの判断を行う。
まず、ＣＰＵ３１は、電源断があったと判断すると、時計部４０から現在時刻を読み取る。そして、不揮発性メモリ３９から読み取った電源断時刻から現在時刻までに経過した時間を計算し、これを所定時間（閾値）と比較する。
経過した時間が所定時間内である場合、ＣＰＵ３１は、瞬断であると判断し、所定時間以上の場合は、瞬断でないと判断する。
【００６１】
このようにして判断した結果、瞬断であった場合（ステップ４５；Ｙ）、ＣＰＵ３１は、不揮発性メモリ３９を初期化した後（ステップ５５）、セキュリティデータを消去せずに電子マネー端末８を起動する（ステップ６０）。
また、瞬断でなかった場合（ステップ４５；Ｎ）、ＣＰＵ３１は、記憶部４１に記憶されているセキュリティデータを消去する（ステップ５０）。
そして、ＣＰＵ３１は、不揮発性メモリ３９を初期化した後（ステップ５５）、電子マネー端末８を起動する（ステップ６０）。
このように、電子マネー端末８は、起動後に不揮発性メモリ３９に記録されている電源断フラグを無効化する無効化手段を備えている。
【００６２】
以上の例では、電源断や瞬断の有無に関わらず、不揮発性メモリ３９を初期化するが、これは、例えば、電子マネー端末８で、例えば、チケット発行プログラムなど、複数のソフトウェアを実行できる場合、電子マネー端末８の電源を投入したまま、電子マネー処理機能を起動したり終了したりする場合があることを考慮したものである。
即ち、この場合に、電子マネー端末８の起動とは、電子マネー端末８で電子マネー処理プログラムを起動することに対応し、不揮発性メモリ３９が初期化していないと、電子マネー処理プログラムを起動するたびに、不揮発性メモリ３９の電源断フラグや電源断時刻によって、セキュリティデータを消去する場合があるからである。
電子マネー端末８が、電子マネー処理プログラムを常時稼動するものであれば、不揮発性メモリ３９を初期化する必要は必ずしもない。
【００６３】
以上に説明した本実施の形態では、次のような効果を得ることができる。
（１）外部電源から電子マネー端末８への電力供給が停止した場合、電力供給が停止した旨を不揮発性メモリ３９に記録することができる。
（２）ＣＰＵ３１は、起動時に電源断フラグを確認することにより、電子マネー端末８が外部電源から切り離されたか否かを確認することができる。そして、外部電源から切り離されていた場合、ＣＰＵ３１は、消去対象となっているデータ（セキュリティデータ）を消去することができる。
【００６４】
（３）セキュリティデータの消去は、外部電源の電力を用いて行うため、大量のデータを消去することができる。
（４）ＣＰＵ３１は、外部電源からの電力供給が停止した時刻を不揮発性メモリ３９に記録しておくことにより、電力供給の停止が瞬断であるか否かを判断することができる。
（５）外部電源からの電力供給停止が瞬断であった場合、セキュリティデータの消去を行わないようにすることができる。
【００６５】
なお、本実施の形態では、電源断フラグと電源断時刻を不揮発性メモリ３９に記憶したが、電源断時刻を電源断フラグとして使用することもできる。
この場合、ＣＰＵ３１は、不揮発性メモリ３９に電源断時刻が書き込まれている場合は、電源断があったと判断し、電源断時刻が書き込まれていない場合は電源断がなかったと判断する。
この例では、電源断時刻の有無が電源断フラグとして機能するため、ＣＰＵ３１は、不揮発性メモリ３９に電源断フラグを設定せずに、電源断の有無と瞬断の有無を判断することができる。
【００６６】
また、本実施の形態では、不揮発性メモリ３９の初期化を電源断フラグをオフに設定し、電源断時刻を消去することにより行ったが、これに限定せず、不揮発性メモリ３９に記録されている電源断フラグと電源断時刻が起動時に無効化するものであればよい。
これは、例えば、電源断フラグと電源断時刻に無効と有効を表す有効性フラグを設定することにより行うことができる。
【００６７】
また、本実施の形態では、ＣＰＵ３１は、電源断があったか否かを判断した後、更に、瞬断があったか否かを判断したが、瞬断を考慮する必要がない場合は、瞬断の判断を行わないように構成することもできる。
この場合、ＣＰＵ３１は、不揮発性メモリ３９に電源断時刻は記録しない。そして、起動時には、ＣＰＵ３１は、不揮発性メモリ３９で電源断フラグがオンであった場合は、セキュリティデータを消去してから電子マネー端末８を起動し、電源断フラグがオフであった場合は、セキュリティデータを消去せずに電子マネー端末８を起動する。
【００６８】
更に、本実施の形態では、瞬断の判断として、電源断時の時刻と電子マネー端末８の起動時の時刻を用いたが、外部電源からの電力供給再開時刻を不揮発性メモリ３９に記憶し、この再開時刻と電源断時の時間差から瞬断を判断するように構成することも可能である。
この場合は、電源断検出回路３２は、電源断後に、外部電源からの電力供給再開を監視し、再開時にＣＰＵ３１に通知を行う。ＣＰＵ３１は、この通知を受信すると、時計部４０から現在時刻を取得してこれを不揮発性メモリ３９に再開時刻として記憶させる。
そして、ＣＰＵ３１は、起動時に不揮発性メモリ３９に記憶した電源断時刻と再開時刻の差を計算し、当該時間差が所定時間内である場合、瞬断であると判断する。電子マネー端末８は、瞬断であると判断した場合は、セキュリティデータの消去は行わない。
この方法は、電子マネー端末８の起動時と電力供給再開時に時間差がある場合に有効である。
【００６９】
また、本実施の形態では、瞬断でない電源断を検知した場合に、セキュリティ情報を消去したが、更に電子マネー端末８の機能制限を行う機能制限手段を設けるように構成することもできる。
この場合、電子マネー端末８は、セキュリティ情報を消去して起動した後、例えば、電子マネーカード６へ金額変更情報を送信できないように機能制限を行うことができる。
【００７０】
（変形例）
本変形例は、外部電源からの電力供給の停止を検出した直後に、バッテリ３３の電力でセキュリティデータを消去するものである。
この方法は、バッテリ３３がセキュリティデータを消去するのに要する電力を供給できる場合に有効である。
このような場合は、例えば、セキュリティデータのデータ量が小さい場合、又は、セキュリティデータのデータ量は大きいが、バッテリ３３の能力も十分に大きい場合がある。
【００７１】
以下、本変形例に係る電子マネー端末８の電源断時処理について図６のフローチャートを用いて説明する。
まず、電子マネー端末８が稼動している間、電源断検出回路３２が外部電源からの電力供給を監視する。
電源断検出回路３２は、外部電源からの電力供給の停止、即ち、電源断を検知すると、電源断が発生したことをＣＰＵ３１に通知する（ステップ７０）。
【００７２】
ＣＰＵ３１は、電源断検出回路３２から電源断の通知を受信すると、時計部４０の計測する時刻により、通知を受けてからの経過時間の計測を開始する（ステップ７５）。
経過時間が所定時間内である場合（ステップ８０；Ｙ）、ＣＰＵ３１は、外部電源による電力供給が再開したか否かを確認する（ステップ８５）。
電力供給が再開した場合（ステップ８５；Ｙ）、ＣＰＵ３１は、セキュリティデータを消去せずに、電子マネー端末８を起動する（ステップ９５）。
一方、電力供給が再開していない場合（ステップ８５；Ｎ）、ＣＰＵ３１は、ステップ８０に戻る。
【００７３】
経過時間が所定時間内でなかった場合（ステップ８０；Ｎ）、ＣＰＵ３１は、バッテリ３３の供給する電力を用いて動作してセキュリティデータを消去し（ステップ９０）、電子マネー端末８を起動する（ステップ９５）。
【００７４】
以上のようにして、本変形例は、外部電源からの電力供給が開始されるまでの経過時間により瞬断を判断し、瞬断である場合は、セキュリティデータを消去せずに起動し、瞬断でない場合は、即座にセキュリティデータを消去してから起動する。
なお、本変形例では、瞬断の有無の判断を行ったが、瞬断の有無に関わらずにセキュリティデータを消去するように構成することもできる。
この場合、ＣＰＵ３１は、電源断検出回路３２から電源断の通知を受けた場合、即座にセキュリティデータを消去する。
【００７５】
以上、本実施の形態、及び変形例では、電子マネー端末８のセキュリティデータを保護する場合について説明したが、これは、保護対象を電子マネー端末８に限定するものではなく、クレジット端末や、セキュリティ性の高いデータを持つその他の情報処理装置に適用できるものである。
例えば、研究データや財務データなどの機密情報が蓄積されたコンピュータに適用したり、あるいは、大量の営業データが記憶されてる着脱可能なハードディスク装置にＣＰＵ、バッテリ、不揮発性メモリなどを搭載し、ハードディスク装置を電源断後に再起動する際に、営業データを消去するように構成することもできる。
【符号の説明】
【００７６】
１ 電子マネーシステム
２ 電子マネーサーバ
６ 電子マネーカード
７ 携帯電話
８ 電子マネー端末
３１ ＣＰＵ
３２ 電源断検出回路
３３ バッテリ
３４ 通信制御部
３５ 入出力部
３６ リーダライタ部
３７ ＲＯＭ
３８ ＲＡＭ
３９ 不揮発性メモリ
４０ 時計部
４１ 記憶部
【技術分野】
【０００１】
本発明は、情報処理装置に関し、例えば、内部に記憶したセキュリティに関するデータを自動的に消去するものに関する。
【背景技術】
【０００２】
近年の電子マネーの普及に伴い、電子マネーを用いた商取引が盛んに行われるようになってきた。
電子マネーシステムでは、バリューと呼ばれる金銭に対応させた電子データを電子マネーカードなどに内蔵されたＩＣチップに記憶し、これを加盟店に設置した電子マネー端末からアクセスして増減することにより、金銭的価値の移動を行う。
なお、ＩＣチップが記憶するバリュー残高を増額する金額変更処理はチャージと呼ばれ、減額する金額変更処理は決済と呼ばれている。
【０００３】
電子マネー端末と電子マネーカードは、各種の暗号鍵を記憶しており、電子マネー端末と電子マネーカードは、これら暗号鍵によって相手方が正統な端末であることを確認し、また、通信を暗号化している。
また、電子マネー端末は、電子マネーカードとの処理履歴を利用ログデータとして一定期間蓄積し、電子マネーサーバに１日に１回程度送信する。そして、電子マネーサーバは、電子マネー端末から送信されてきた利用ログデータを集計する。
【０００４】
このように、電子マネー端末には、セキュリティに関わるデータが記憶されているため、電子マネー端末が内部を不正に解析されることを防ぐ必要がある。
このように、装置内部のデータを保護する技術として、次の「セキュリティシステムとセキュリティ処理方法」がある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平１０−１６１８６５号公報
【０００６】
この技術は、端末内の揮発性メモリにセキュリティを要するデータを記憶しておき、端末筐体の開放を検知すると、揮発性メモリへの電力供給を絶ってこれを消去するものである。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
電子マネー端末は、記憶するデータ量が多いため、ハードディスクなどの不揮発性の記憶装置に記憶している。また、各種暗号鍵も電子マネー端末を停止しても消去されないように不揮発性の記憶装置に記憶している。
これら、不揮発性メモリに記憶されたデータは、電力供給がなくても電子マネー端末内に保持されるため、電子マネー端末が、盗難などされた場合に、内部のデータの漏出を如何に防ぐかが重要な課題であった。
【０００８】
そこで、本発明の目的は、電子マネー端末に記憶されているセキュリティに関わるデータの漏洩を防止することである。
【課題を解決するための手段】
【０００９】
本発明は、前記目的を達成するために、請求項１に記載の発明では、外部電源からの電力供給の停止を検出する検出手段と、所定の情報を記憶した記憶手段と、前記記憶した所定の情報を用いて情報処理を行う情報処理手段と、前記検出手段で、電力供給の停止が検出された場合に、前記記憶した所定の情報を消去する消去手段と、を具備したことを特徴とする情報処理装置を提供する。
請求項２に記載の発明では、前記消去手段は、内部電源と不揮発性記憶媒体を備え、前記検出手段で電力供給の停止が検出された場合に、電力供給が停止された旨を表す停止記録を、前記内部電源の電力を用いて前記不揮発性記憶媒体に記録し、起動時に前記不揮発性記憶媒体の停止記録を確認して停止記録があった場合に、前記所定の情報を消去することを特徴とする請求項１に記載の情報処理装置を提供する。
請求項３に記載の発明では、起動時に、前記不揮発性記憶媒体に停止記録があった場合に、前記情報処理手段の情報処理機能を制限する機能制限手段を具備したことを特徴とする請求項２に記載の情報処理装置を提供する。
請求項４に記載の発明では、起動後に前記不揮発性記憶媒体に記録されている停止記録を無効化する無効化手段を具備したことを特徴とする請求項２、又は請求項３に記載の情報処理装置を提供する。
請求項５に記載の発明では、前記消去手段は、前記不揮発性記憶媒体に、外部電源からの電力供給が停止した時刻を記録し、起動時の時刻が、前記記録した時刻から所定時間内の場合は、前記所定の情報を消去しないことを特徴とする請求項２、請求項３、又は請求項４に記載の情報処理装置を提供する。
請求項６に記載の発明では、前記消去手段は、外部電源からの電力供給が停止した時刻と、外部電源からの電力供給が再開した時刻と、を記録し、前記記録に係る停止した時刻と再開した時刻の時間差が所定時間内である場合は、前記所定の情報を消去しないことを特徴とする請求項２、請求項３、又は請求項４に記載の情報処理装置を提供する。
請求項７に記載の発明では、前記消去手段は、内部電源を備え、前記検出手段で電力供給の停止が検出された直後に、前記内部電源の電力を用いて前記記憶した所定の情報を消去することを特徴とする請求項１に記載の情報処理装置を提供する。
請求項８に記載の発明では、前記情報処理手段は、貨幣価値の金額を電子データとして記憶し、金額変更情報を受信して前記記憶した金額に対して金額変更処理を行う貨幣端末に金額変更情報を送信し、前記所定の情報は、前記金額変更情報を暗号化する暗号鍵であることを特徴とする請求項１から請求項７に記載の情報処理装置を提供する。
請求項９に記載の発明では、前記消去手段は、更に、前記貨幣端末との処理内容を記録したログデータを消去することを特徴とする請求項８に記載の情報処理装置を提供する。
【発明の効果】
【００１０】
本発明によれば、例えば、電源断の後に再起動する際に、内部のセキュリティに関わるデータを自動消去することにより、電子マネー端末に記憶されているデータの漏洩を防止することができる。
【図面の簡単な説明】
【００１１】
【図１】電子マネーシステムのネットワーク構成を示した図である。
【図２】電子マネーカードのハードウェア的な構成の一例を示したブロック図である。
【図３】電子マネー端末のハードウェア的な構成の一例を示した図である。
【図４】電子マネー端末が行う電源断時処理を説明するためのフローチャートである。
【図５】電子マネー端末が行う起動処理について説明するためのフローチャートである。
【図６】変形例に係る電子マネー端末が行う電源断時処理について説明するためのフローチャートである。
【発明を実施するための形態】
【００１２】
（１）実施の形態の概要
電子マネー端末８（図３）は、外部電源に接続されているか否かを監視しており、外部電源から切り離されると、内部のバッテリ３３の電力を用いて動作し、外部電源から切り離されたことを不揮発性メモリ３９の電源断フラグに記録する。
電子マネー端末８は、起動時に、電源断フラグを参照し、電子マネー端末８が外部電源から切り離されたか否かを確認する。外部電源から切り離されたことを確認した場合、電子マネー端末８は、記憶部４１に記憶してあるセキュリティデータを消去した後、起動する。
一方、外部電源から切り離されていないことを確認した場合はセキュリティデータを消去せずに起動する。
【００１３】
以上は、基本的な構成であるが、これでは落雷などによる瞬断（瞬間的な停電）が発生した場合もセキュリティデータを消去してしまうため、電子マネー端末８は、以下のようにして、電源断が瞬断であるか否かを判断し、瞬断である場合はセキュリティデータを消去せずに起動する機能を備えている。
【００１４】
まず、電子マネー端末８は、外部電源から切り離された時刻を不揮発性メモリ３９に記録する。そして、電子マネー端末８は、再起動時に現在時刻と不揮発性メモリ３９に記録した時刻の時間差から外部電源から切り離されていた時間を計算する。
この時間が所定時間内の場合、電子マネー端末８は、セキュリティデータを消去せずに起動する。即ち、瞬断は、短時間の内に電力供給が復旧するため、電子マネー端末８が外部電源から切り離されていた時間に閾値を設け、これによって、落雷などによる瞬間的な停電と人為的な外部電源からの取り外しを区別する。
【００１５】
以上のように、電子マネー端末８は、電源断を検知し、これをトリガーとして、そのたびにセキュリティデータを消去することができる。そのため、端末盗難などに対するリスクを減少させることができる。
また、電子マネー端末８は、再起動時に外部電源の電力によってセキュリティデータを消去するため、少容量のバッテリ３３を搭載するだけで、大量のセキュリティデータを消去することができる。
【００１６】
（２）実施の形態の詳細
本実施の形態では、電子マネーシステムで使用される電子マネー端末が保持するセキュリティに関するデータを保護する場合を例にとり説明する。
図１は、電子マネーシステム１のネットワーク構成を示した図である。
電子マネーシステム１は、電子マネーカード６、携帯電話７、電子マネーサーバ２、電子マネー端末８などから構成されており、電子マネー端末８と電子マネーサーバ２はネットワークにて接続可能となっている。
【００１７】
電子マネーカード６は、非接触型ＩＣチップを内蔵しており、近距離の無線通信によって電子マネー端末８と通信することができる。電子マネーカード６と電子マネー端末８の通信は暗号化されており、電子マネーカード６は、電子マネー端末８から受信した情報を復号化する機能と、電子マネー端末８に送信する情報を暗号化する機能を備えている。
なお、ＩＣチップを接触型とし、電極の接触により電子マネー端末８と接続するように構成してもよい。
【００１８】
ＩＣチップは、ＣＰＵを搭載した一種のコンピュータであり、電子マネーシステム１において通貨に該当する電子データであるバリューの金額を記憶したり、電子マネー端末８から送信されてきた金額変更情報（金額を増減するコマンド）を用いて当該記憶したバリューの金額に対して金額変更処理を行う。
【００１９】
バリューとは、電子マネーシステム１において貨幣価値と対応させた電子データであって、金額を属性として持ち、この金額の増減により通貨と同様の交換価値の移動を生じさせるものである。
ＩＣチップのバリューを増額させる（チャージする）際に、増額分の代金を顧客から徴収し、これをバリューで決済した加盟店に決済金額に応じて分配することにより、通貨とバリューとの対応が図られている。
【００２０】
また、バリューの概念には、ポイントなど、物やサービスと交換可能な交換価値も含めることができる。
ＩＣチップは、貨幣価値の金額を電子データ（バリュー）として記憶し、金額変更情報を受信して前記記憶した金額に対して金額変更処理を行う貨幣端末として機能している。
【００２１】
携帯電話７は、電子マネーカード６と同様のＩＣチップを内蔵した携帯端末である。
携帯電話７のＩＣチップは、電子マネーカード６のＩＣチップと同様に、電子マネー機能が組み込んであり、電子マネー端末８と近距離の無線通信を行って、金額変更処理などを行うことができる。
また、携帯電話７は、ネットワークを経由して電子マネーサーバ２と通信し、電子マネーサーバ２から金額変更情報を受信して金額変更処理を行うこともできる。
【００２２】
なお、電子マネーカード６や携帯電話７は、ＩＣチップの組み込み形態の一例であって、例えば、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）などの、他の組み込み媒体に組み込むこともできる。
以下では、ＩＣチップの組み込み媒体として電子マネーカード６を用いて説明するが、他の組み込み媒体に対しても同様な説明が成り立つ。
【００２３】
加盟店は、電子マネーカード６によってバリューでの商取引が可能な店舗（コンビニエンスストア、デパート、レストラン、その他の小売店舗、自動販売機、営業車両、その他の移動体など）であり、会計場所に単数、又は複数の電子マネー端末８を備えている。
電子マネー端末８は、例えば、単独で設置されていたり、あるいは、会計装置（キャッシュレジスタやＰＯＳシステム）などに組み込まれている場合もある。
【００２４】
電子マネー端末８は、電子マネーカード６に各種コマンドを送信して電子マネーカード６のＣＰＵに情報処理させる端末であり、近距離の無線にて電子マネーカード６と通信することができる。
電子マネー端末８は、各種暗号鍵を記憶しており、これを用いて電子マネーカード６を認証したり、電子マネーカード６との通信を暗号化する。
【００２５】
電子マネー端末８は、操作担当者からチャージ金額や決済金額の入力を受け付けるなどして、金額変更情報を生成して電子マネーカード６に送信し、これによって、電子マネーカード６に金額変更処理を行わせる。
また、電子マネー端末８は、電子マネーカード６と行った処理内容を利用ログデータとして蓄積しており、後ほど電子マネーサーバ２にバッチ処理にて送信する。
電子マネー端末８は、電子マネーサーバ２との通信内容も暗号鍵を用いて暗号化する。
【００２６】
電子マネーセンタは、電子マネーシステム１の運営事業体であって、電子マネーサーバ２を用いて電子マネーシステム１の運営管理を行っている。
電子マネーサーバ２は、ネットワークにより電子マネー端末８、８、８、…に接続されており、電子マネー端末８から利用ログデータを送信してもらいデータベースに記憶する。
電子マネーサーバ２は、データベースに記憶した利用ログデータを用いて、各加盟店ごとにチャージ金額の合計、及び決済金額の合計を集計する。
電子マネーセンタは、この集計結果に基づいて各加盟店との資金決済を行う。
【００２７】
以上のように構成された電子マネーシステム１において、電子マネー端末８は、内部に暗号鍵やその他の外部に漏洩してはならない情報が記憶されている。また、利用ログデータも営業秘密であり、外部への漏洩を防ぐことが望ましい。
そのため、電子マネー端末８は、万が一電子マネー端末８が盗難された場合に、これらのデータを消去するセキュリティ機能を備えている。
消去対象とするデータの範囲は、例えば、暗号鍵や利用ログデータなど、予め電子マネー端末８に設定することができる。
以下、消去対象となる消去対象データをセキュリティデータと呼ぶことにする。
なお、セキュリティデータは、暗号鍵と利用ログデータとするほか、暗号鍵のみ、更には、暗号鍵と加盟店ＩＤなど、各種のバリエーションが可能である。
【００２８】
電子マネー端末８は、外部電源からの電力供給の有無を監視することにより、電子マネー端末８が外部電源端子（コンセント）に接続されていることを確認している。
そして、電子マネー端末８は、外部電源からの電力供給の停止を検知すると、予め装備しているバッテリによって動作し、不揮発性メモリに用意された電源断フラグをオン（正常時にはオフに設定されている）に設定する。
その後、電子マネー端末８は、外部電源から電力が供給されて起動する際に、不揮発性メモリの電源断フラグがオンに設定されているか否かを確認し、オンであった場合は、セキュリティデータを消去してから起動し、オフであった場合は、セキュリティデータを消去せずに起動する。
【００２９】
なお、落雷などにより、瞬間的に電力供給が途絶えて復旧する瞬断が発生する場合があるが、瞬断による電力供給停止と、盗難などによる人為的な電力供給停止を区別するために、電子マネー端末８は、更に次のような機能を備えている。
【００３０】
電子マネー端末８は時計を備えており、電力供給が停止した際に、電源断フラグをオンに設定すると共に、電力供給が停止した時刻も不揮発性メモリに記憶する。
そして、電子マネー端末８は、再度電力が供給された際に電源断フラグがオンであることを確認すると、内部の時計により現在時刻を取得し、不揮発性メモリに記憶してある時刻から現在時刻に至るまでの時間を計算する。
電子マネー端末８は、この時間が所定時間内である場合は、セキュリティデータを消去せずに起動し、この時間が所定時間内でない場合は、セキュリティデータを消去してから起動する。
【００３１】
このようにして、電子マネー端末８は、外部電源からの電力供給が途絶えていた時間が所定時間内であった場合は瞬断であると判断し、セキュリティデータを消去せずに起動する。瞬断は、数ミリ秒〜数百ミリ秒程度のごく短い時間で発生するため、所定時間を瞬断よりも若干長く（例えば、５００ミリ秒程度）設定することにより、電子マネー端末８は、盗難などによる電源断と、瞬断を区別することができる。
【００３２】
以上に説明したように、電子マネー端末８は、外部電源からの電力供給が停止した場合に、その旨を不揮発性メモリに記録しておき、外部電源からの電力供給が再開した際に、当該外部電源からの電力を用いてセキュリティデータを消去する。
そのため、バッテリは、不揮発性メモリに記録することができる小型のものを搭載するだけで大量のセキュリティデータを消去することができる。即ち、バッテリの能力以上の量のセキュリティデータを消去することができる。
【００３３】
利用ログデータは、電子マネーカード６と処理するたびに生成されてデータ量が大きくなりがちである一方、電子マネー端末８には大型のバッテリを搭載することが好ましくない。
そこで、本実施の形態のように、小型のバッテリで大量のデータを消去できる機構が有効性を発揮する。
なお、以下では、場合に応じて、外部電源からの電力供給が停止したことを電源断と略記する。
【００３４】
図２は、電子マネーカード６のハードウェア的な構成の一例を示したブロック図である。
電子マネーカード６は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２１、高周波回路２２、アンテナ２６、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２４、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）２５などを有している。
これらの素子は、ＩＣチップ上に形成されている。ただし、アンテナ２６は、電子マネーカード６内部の外縁部付近、又は電子マネーカード６の対角線を軸とする楕円曲線上に張り巡らされた空中線により構成され、端部がＩＣチップに接続されている。
【００３５】
ＣＰＵ２１は、ＲＯＭ２３やＥＥＰＲＯＭ２５に記憶されている各種プログラムに従って情報処理を行う中央処理装置であり、電子マネー端末８から金額変更情報を受信して、これを用いて記憶してあるバリュー残高の金額変更処理などを行う。
ＣＰＵ２１は、アンテナ２６、高周波回路２２を介して、電子マネー端末８と近距離の無線通信を行うことができる。
【００３６】
アンテナ２６は、電子マネー端末８のリーダライタ部に内蔵されたアンテナと電波による送受信を行うためのアンテナであり、各種情報の送受信を行うほか、リーダライタ部からの電波によりＩＣチップを駆動するための電力を発電する。
【００３７】
高周波回路２２は、電子マネー端末８のリーダライタ部からアンテナ２６に送信されてきた高周波をデジタル信号に変換してＣＰＵ２１に出力したり、逆にＣＰＵ２１が出力したデジタル信号を高周波に変換してアンテナ２６からリーダライタ部に送出する。
【００３８】
ＲＡＭ２４は、ＣＰＵ２１が情報処理を行う際のワーキングメモリを提供する随時書き込み読み出し可能なメモリである。
本実施の形態では、ＣＰＵ２１が金額変更処理などを行う際に、一時的な記憶領域として使用される。
ＲＯＭ２３は、電子マネーカード６を機能させるための基本的なプログラムやパラメータ、データなどを記憶した読み出し専用メモリである。
【００３９】
ＥＥＰＲＯＭ２５は、情報の書込消去が可能なＲＯＭである。ＥＥＰＲＯＭ２５に記憶してある情報は、電子マネーカード６への電力の供給がない場合でも保たれる。
ＥＥＰＲＯＭ２５には、電子マネーカード６に電子マネーカードとしての機能を発揮させるための電子マネープログラムが記憶されているほか、電子マネー端末８との通信を暗号化する各種暗号鍵、バリュー残高やログデータ、ＩＣチップを識別するＩＤ情報である電子マネー機能部ＩＤなどの各種データを格納する電子マネー記憶部２９が形成されている。
【００４０】
図３は、電子マネー端末８のハードウェア的な構成の一例を示した図である。
電子マネー端末８は、ＣＰＵ３１、ＲＯＭ３７、ＲＡＭ３８、不揮発性メモリ３９、記憶部４１、電源断検出回路３２、バッテリ３３、通信制御部３４、入出力部３５、リーダライタ部３６、時計部４０などがバスラインで接続されて構成されている。
【００４１】
電子マネー端末８は、外部電源からの電力供給がある場合は、これによって動作し、外部電源からの電力供給が停止した場合は、バッテリ３３によって、ある程度の時間（ＣＰＵ３１が不揮発性メモリ３９に電源断フラグと電源断時刻を記録するのに要する時間）動作できるようになっている。
【００４２】
また、電子マネー端末８は、電源断時には、全体の構成のうち、ＣＰＵ３１が不揮発性メモリ３９に電源断フラグを設定し、電源断時刻を記録する最低限の構成部分だけ動作するように構成することもできる。
このように構成すること、バッテリ３３の消費電力を低減化することができ、バッテリ３３をより小型化することができる。
【００４３】
ＣＰＵ３１は、所定のプログラムに従って情報処理を行うほか、電子マネー端末８全体の制御などを行う。
具体的には、ＣＰＵ３１は、金額変更情報を生成して電子マネーカード６に送信し、電子マネーカード６に金額変更処理を行わせたり、電子マネーカード６との処理内容を記録した利用ログデータを生成する。
【００４４】
また、外部電源からの電力供給が停止した場合、ＣＰＵ３１は、バッテリ３３の供給する電力によって動作し、不揮発性メモリ３９の電源断フラグをオンに設定すると共に、電源断時の時刻を時計部４０から取得して不揮発性メモリ３９に記録する。
そして、再起動時には、ＣＰＵ３１は、電源断フラグを確認し、電源断フラグがオンであった場合は、不揮発性メモリ３９に記憶してある電源断時刻と、時計部４０の計測する現在時刻から、瞬断であったか否かを判断し、瞬断でなかった場合は、セキュリティデータを消去してから起動し、瞬断であった場合はセキュリティデータを消去しないで起動する。
なお、ＣＰＵ３１は、電子マネー端末８の主電源スイッチがオフとなっている場合でも外部電源の電力によって動作しており、電源断を監視している。
【００４５】
ＲＯＭ３７は、電子マネー端末８を動作させるための基本的なプログラムやパラメータなどを記憶した読み出し専用メモリである。
ＲＡＭ３８は、ＣＰＵ３１のワーキングメモリを提供したり、記憶部４１に記憶されたプログラムやデータをロードして記憶したりなどする随時書き込み読み出し可能なメモリである。
通信制御部３４は、ネットワークを介して電子マネー端末８を電子マネーサーバ２に接続する接続装置である。
【００４６】
電源断検出回路３２は、外部電源からの電力供給が停止した場合に、その旨の通知をＣＰＵ３１に行う回路である。
電源断検出回路３２は、外部電源からの電力供給の停止を検出する検出手段として機能している。
電源断検出回路３２は、電子マネー端末８の主電源スイッチがオフになっている場合も稼動しており、電子マネー端末８の電源コードが外部電源端子に接続していることを監視している。
電力供給の監視は、例えば、外部電源の電圧のピーク値を監視しており、当該ピーク値が所定値より低下した場合に外部電源からの電力供給が停止したと判断する。
また、電流値を用いたり、あるいは、電圧や電流値の実行値を監視するなど、他の方法で監視してもよい。
【００４７】
電源断検出回路３２は、通常は、外部電源からの電力で稼動し、外部電源からの電力供給が停止した際には、バッテリ３３の供給する電力で稼動する。このようにして、電源断検出回路３２は、電源断となった場合でも動作してＣＰＵ３１に信号を送信することができる。
【００４８】
バッテリ３３は、内部電源であって、例えば、大容量コンデンサ、リチウムイオンバッテリ、アルカリイオン電池、燃料電池、鉛蓄電池などの蓄電装置と、これら蓄電装置が供給する電力を制御する制御回路などから構成されており、外部電源からの電力供給が停止した際に、電子マネー端末８がある程度動作可能となる電力を供給する。
バッテリ３３を２次電池やコンデンサなどで構成する場合は、電子マネー端末８が稼動している間、外部電源からの電力によりバッテリ３３を常に満充電状態に保つように構成することができる。
【００４９】
不揮発性メモリ３９は、例えば、ＥＥＰＲＯＭで構成された不揮発性記憶媒体である。
なお、不揮発性メモリ３９は、例えば、バッテリを備えた半導体記憶装置など、電源断時に記憶内容を保てるものであればよい。
不揮発性メモリ３９には、ＣＰＵ３１が、電源断フラグを設定したり、電源断時の時刻を書き込んだりするエリアが確保可能となっており、不揮発性メモリ３９は、外部電源からの電力供給が停止した場合でも、ＣＰＵ３１が設定した電源断フラグと電源断時の時刻を保持する。電源断フラグは、電力供給が停止された旨を表す停止記録として機能している。
【００５０】
なお、本実施の形態では、電源断フラグと、電源断時刻を不揮発性メモリ３９に記憶するように構成したが、記憶部４１が不揮発性の記憶装置の場合は、これらの情報を記憶部４１に記憶するように構成することもできる。
【００５１】
時計部４０は、例えば、バッテリを備えた水晶発信装置により構成され、外部電源の有無に関わらずに現在時刻の出力を刻々と行う。
時計部４０は、例えば、パスワードを入力しないと時刻校正ができないなど、時刻改竄が困難となるように構成されている。
時計部４０は、ＣＰＵ３１が電源断時の時刻と起動時の時刻を読み取る際に用いられる。
【００５２】
記憶部４１は、例えばハードディスクやその他の記憶媒体と、これらを駆動する駆動装置から構成されており、各種プログラムを格納したプログラム格納部４２、データを格納したデータ格納部４３などから構成されている。
【００５３】
プログラム格納部４２には、電子マネー端末８を機能させるための基本的なプログラムであるＯＳや、電子マネーカード６に金額変更処理を行わせるための情報処理プログラム、電源断を検知して、電源断フラグや電源断時刻を不揮発性メモリ３９に書き込む電源断記録プログラム、起動する際に、電源断フラグや電源断時刻を確認して、セキュリティデータを消去してから起動する起動プログラムなどが記憶されている。
データ格納部４３には、セキュリティデータやその他のデータが記憶されている。
【００５４】
セキュリティデータは、消去すべき所定の情報に対応し、記憶部４１は、所定の情報を記憶した記憶手段として機能している。また、ＣＰＵ３１は、暗号鍵などを用いて電子マネーカード６との情報処理を行うため、この所定の情報を用いて情報処理を行う情報処理手段として機能している。
【００５５】
入出力部３５は、例えば、キーボード、バーコードリーダなどの入力装置や、液晶表示装置、プリンタ、音声出力装置といった出力装置を備えている。
入力装置は、操作担当者などから商品コードや決済金額、チャージ金額などの入力を受け付けるのに用いられ、出力装置は、表示装置によって現在の処理状態を表示したり、音声出力装置によって処理が完了した際に所定の効果音を出力させたり、処理内容をプリンタで印刷したりなどするのに用いる。
リーダライタ部３６は、アンテナを内蔵しており、電子マネーカード６のＩＣチップと無線通信を行う。
【００５６】
次に、図４のフローチャートを用いて、電子マネー端末８が行う電源断時処理について説明する。
まず、電子マネー端末８は、電源断検出回路３２によって、正規に稼動を開始してから継続的に外部電源からの電力供給を監視している。
電源断検出回路３２は、電源断を検知すると、電源断が発生したことをＣＰＵ３１に通知する（ステップ５）。
【００５７】
ＣＰＵ３１は、電源断検出回路３２から電源断の通知を受信すると、時計部４０から現在時刻を電源断時刻として取得する（ステップ１０）。
次に、ＣＰＵ３１は、不揮発性メモリ３９の電源断フラグをオフからオンに設定すると共に、電源断時刻を不揮発性メモリ３９に書き込む（ステップ１５）。
不揮発性メモリ３９は、電源断フラグと電源断時刻の記憶を保持する。
その後、電子マネー端末８は、時計部４０を除いて停止する。
【００５８】
次に、図５を用いて、電子マネー端末８が行う起動処理について説明する。
まず、ＣＰＵ３１は、起動要求を受け付ける。この起動要求は、例えば、操作担当者が電子マネー端末８の起動操作を行ったり、あるいは、瞬断後に自動的に行ったりする。
すると、ＣＰＵ３１は、不揮発性メモリ３９から電源断フラグの状態と電源断時刻を読み取る（ステップ３５）。
次に、ＣＰＵ３１は、不揮発性メモリ３９から読み取った電源断フラグにより電源断があったか否かを判断する（ステップ４０）。
【００５９】
電源断フラグがオフであった場合、ＣＰＵ３１は、電源断がなかったと判断し（ステップ４０；Ｎ）、不揮発性メモリ３９を初期化する（ステップ５５）。
この初期化は、電源断フラグの状態をオフに設定し、電源断時刻を消去することにより行われる。
【００６０】
電源断フラグがオンであった場合、ＣＰＵ３１は、電源断があったと判断し（ステップ４０；Ｙ）、更に、この電源断が瞬断であったか否かを判断する（ステップ４５）。
ＣＰＵ３１は、次のようにして瞬断であるか否かの判断を行う。
まず、ＣＰＵ３１は、電源断があったと判断すると、時計部４０から現在時刻を読み取る。そして、不揮発性メモリ３９から読み取った電源断時刻から現在時刻までに経過した時間を計算し、これを所定時間（閾値）と比較する。
経過した時間が所定時間内である場合、ＣＰＵ３１は、瞬断であると判断し、所定時間以上の場合は、瞬断でないと判断する。
【００６１】
このようにして判断した結果、瞬断であった場合（ステップ４５；Ｙ）、ＣＰＵ３１は、不揮発性メモリ３９を初期化した後（ステップ５５）、セキュリティデータを消去せずに電子マネー端末８を起動する（ステップ６０）。
また、瞬断でなかった場合（ステップ４５；Ｎ）、ＣＰＵ３１は、記憶部４１に記憶されているセキュリティデータを消去する（ステップ５０）。
そして、ＣＰＵ３１は、不揮発性メモリ３９を初期化した後（ステップ５５）、電子マネー端末８を起動する（ステップ６０）。
このように、電子マネー端末８は、起動後に不揮発性メモリ３９に記録されている電源断フラグを無効化する無効化手段を備えている。
【００６２】
以上の例では、電源断や瞬断の有無に関わらず、不揮発性メモリ３９を初期化するが、これは、例えば、電子マネー端末８で、例えば、チケット発行プログラムなど、複数のソフトウェアを実行できる場合、電子マネー端末８の電源を投入したまま、電子マネー処理機能を起動したり終了したりする場合があることを考慮したものである。
即ち、この場合に、電子マネー端末８の起動とは、電子マネー端末８で電子マネー処理プログラムを起動することに対応し、不揮発性メモリ３９が初期化していないと、電子マネー処理プログラムを起動するたびに、不揮発性メモリ３９の電源断フラグや電源断時刻によって、セキュリティデータを消去する場合があるからである。
電子マネー端末８が、電子マネー処理プログラムを常時稼動するものであれば、不揮発性メモリ３９を初期化する必要は必ずしもない。
【００６３】
以上に説明した本実施の形態では、次のような効果を得ることができる。
（１）外部電源から電子マネー端末８への電力供給が停止した場合、電力供給が停止した旨を不揮発性メモリ３９に記録することができる。
（２）ＣＰＵ３１は、起動時に電源断フラグを確認することにより、電子マネー端末８が外部電源から切り離されたか否かを確認することができる。そして、外部電源から切り離されていた場合、ＣＰＵ３１は、消去対象となっているデータ（セキュリティデータ）を消去することができる。
【００６４】
（３）セキュリティデータの消去は、外部電源の電力を用いて行うため、大量のデータを消去することができる。
（４）ＣＰＵ３１は、外部電源からの電力供給が停止した時刻を不揮発性メモリ３９に記録しておくことにより、電力供給の停止が瞬断であるか否かを判断することができる。
（５）外部電源からの電力供給停止が瞬断であった場合、セキュリティデータの消去を行わないようにすることができる。
【００６５】
なお、本実施の形態では、電源断フラグと電源断時刻を不揮発性メモリ３９に記憶したが、電源断時刻を電源断フラグとして使用することもできる。
この場合、ＣＰＵ３１は、不揮発性メモリ３９に電源断時刻が書き込まれている場合は、電源断があったと判断し、電源断時刻が書き込まれていない場合は電源断がなかったと判断する。
この例では、電源断時刻の有無が電源断フラグとして機能するため、ＣＰＵ３１は、不揮発性メモリ３９に電源断フラグを設定せずに、電源断の有無と瞬断の有無を判断することができる。
【００６６】
また、本実施の形態では、不揮発性メモリ３９の初期化を電源断フラグをオフに設定し、電源断時刻を消去することにより行ったが、これに限定せず、不揮発性メモリ３９に記録されている電源断フラグと電源断時刻が起動時に無効化するものであればよい。
これは、例えば、電源断フラグと電源断時刻に無効と有効を表す有効性フラグを設定することにより行うことができる。
【００６７】
また、本実施の形態では、ＣＰＵ３１は、電源断があったか否かを判断した後、更に、瞬断があったか否かを判断したが、瞬断を考慮する必要がない場合は、瞬断の判断を行わないように構成することもできる。
この場合、ＣＰＵ３１は、不揮発性メモリ３９に電源断時刻は記録しない。そして、起動時には、ＣＰＵ３１は、不揮発性メモリ３９で電源断フラグがオンであった場合は、セキュリティデータを消去してから電子マネー端末８を起動し、電源断フラグがオフであった場合は、セキュリティデータを消去せずに電子マネー端末８を起動する。
【００６８】
更に、本実施の形態では、瞬断の判断として、電源断時の時刻と電子マネー端末８の起動時の時刻を用いたが、外部電源からの電力供給再開時刻を不揮発性メモリ３９に記憶し、この再開時刻と電源断時の時間差から瞬断を判断するように構成することも可能である。
この場合は、電源断検出回路３２は、電源断後に、外部電源からの電力供給再開を監視し、再開時にＣＰＵ３１に通知を行う。ＣＰＵ３１は、この通知を受信すると、時計部４０から現在時刻を取得してこれを不揮発性メモリ３９に再開時刻として記憶させる。
そして、ＣＰＵ３１は、起動時に不揮発性メモリ３９に記憶した電源断時刻と再開時刻の差を計算し、当該時間差が所定時間内である場合、瞬断であると判断する。電子マネー端末８は、瞬断であると判断した場合は、セキュリティデータの消去は行わない。
この方法は、電子マネー端末８の起動時と電力供給再開時に時間差がある場合に有効である。
【００６９】
また、本実施の形態では、瞬断でない電源断を検知した場合に、セキュリティ情報を消去したが、更に電子マネー端末８の機能制限を行う機能制限手段を設けるように構成することもできる。
この場合、電子マネー端末８は、セキュリティ情報を消去して起動した後、例えば、電子マネーカード６へ金額変更情報を送信できないように機能制限を行うことができる。
【００７０】
（変形例）
本変形例は、外部電源からの電力供給の停止を検出した直後に、バッテリ３３の電力でセキュリティデータを消去するものである。
この方法は、バッテリ３３がセキュリティデータを消去するのに要する電力を供給できる場合に有効である。
このような場合は、例えば、セキュリティデータのデータ量が小さい場合、又は、セキュリティデータのデータ量は大きいが、バッテリ３３の能力も十分に大きい場合がある。
【００７１】
以下、本変形例に係る電子マネー端末８の電源断時処理について図６のフローチャートを用いて説明する。
まず、電子マネー端末８が稼動している間、電源断検出回路３２が外部電源からの電力供給を監視する。
電源断検出回路３２は、外部電源からの電力供給の停止、即ち、電源断を検知すると、電源断が発生したことをＣＰＵ３１に通知する（ステップ７０）。
【００７２】
ＣＰＵ３１は、電源断検出回路３２から電源断の通知を受信すると、時計部４０の計測する時刻により、通知を受けてからの経過時間の計測を開始する（ステップ７５）。
経過時間が所定時間内である場合（ステップ８０；Ｙ）、ＣＰＵ３１は、外部電源による電力供給が再開したか否かを確認する（ステップ８５）。
電力供給が再開した場合（ステップ８５；Ｙ）、ＣＰＵ３１は、セキュリティデータを消去せずに、電子マネー端末８を起動する（ステップ９５）。
一方、電力供給が再開していない場合（ステップ８５；Ｎ）、ＣＰＵ３１は、ステップ８０に戻る。
【００７３】
経過時間が所定時間内でなかった場合（ステップ８０；Ｎ）、ＣＰＵ３１は、バッテリ３３の供給する電力を用いて動作してセキュリティデータを消去し（ステップ９０）、電子マネー端末８を起動する（ステップ９５）。
【００７４】
以上のようにして、本変形例は、外部電源からの電力供給が開始されるまでの経過時間により瞬断を判断し、瞬断である場合は、セキュリティデータを消去せずに起動し、瞬断でない場合は、即座にセキュリティデータを消去してから起動する。
なお、本変形例では、瞬断の有無の判断を行ったが、瞬断の有無に関わらずにセキュリティデータを消去するように構成することもできる。
この場合、ＣＰＵ３１は、電源断検出回路３２から電源断の通知を受けた場合、即座にセキュリティデータを消去する。
【００７５】
以上、本実施の形態、及び変形例では、電子マネー端末８のセキュリティデータを保護する場合について説明したが、これは、保護対象を電子マネー端末８に限定するものではなく、クレジット端末や、セキュリティ性の高いデータを持つその他の情報処理装置に適用できるものである。
例えば、研究データや財務データなどの機密情報が蓄積されたコンピュータに適用したり、あるいは、大量の営業データが記憶されてる着脱可能なハードディスク装置にＣＰＵ、バッテリ、不揮発性メモリなどを搭載し、ハードディスク装置を電源断後に再起動する際に、営業データを消去するように構成することもできる。
【符号の説明】
【００７６】
１ 電子マネーシステム
２ 電子マネーサーバ
６ 電子マネーカード
７ 携帯電話
８ 電子マネー端末
３１ ＣＰＵ
３２ 電源断検出回路
３３ バッテリ
３４ 通信制御部
３５ 入出力部
３６ リーダライタ部
３７ ＲＯＭ
３８ ＲＡＭ
３９ 不揮発性メモリ
４０ 時計部
４１ 記憶部
【特許請求の範囲】
【請求項１】
外部電源からの電力供給の停止を検出する検出手段と、
所定の情報を記憶した記憶手段と、
前記記憶した所定の情報を用いて情報処理を行う情報処理手段と、
前記検出手段で、電力供給の停止が検出された場合に、前記記憶した所定の情報を消去する消去手段と、
を具備したことを特徴とする情報処理装置。
【請求項２】
前記消去手段は、内部電源と不揮発性記憶媒体を備え、前記検出手段で電力供給の停止が検出された場合に、電力供給が停止された旨を表す停止記録を、前記内部電源の電力を用いて前記不揮発性記憶媒体に記録し、起動時に前記不揮発性記憶媒体の停止記録を確認して停止記録があった場合に、前記所定の情報を消去することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
起動時に、前記不揮発性記憶媒体に停止記録があった場合に、前記情報処理手段の情報処理機能を制限する機能制限手段を具備したことを特徴とする請求項２に記載の情報処理装置。
【請求項４】
起動後に前記不揮発性記憶媒体に記録されている停止記録を無効化する無効化手段を具備したことを特徴とする請求項２、又は請求項３に記載の情報処理装置。
【請求項５】
前記消去手段は、前記不揮発性記憶媒体に、外部電源からの電力供給が停止した時刻を記録し、起動時の時刻が、前記記録した時刻から所定時間内の場合は、前記所定の情報を消去しないことを特徴とする請求項２、請求項３、又は請求項４に記載の情報処理装置。
【請求項６】
前記消去手段は、外部電源からの電力供給が停止した時刻と、外部電源からの電力供給が再開した時刻と、を記録し、前記記録に係る停止した時刻と再開した時刻の時間差が所定時間内である場合は、前記所定の情報を消去しないことを特徴とする請求項２、請求項３、又は請求項４に記載の情報処理装置。
【請求項７】
前記消去手段は、内部電源を備え、前記検出手段で電力供給の停止が検出された直後に、前記内部電源の電力を用いて前記記憶した所定の情報を消去することを特徴とする請求項１に記載の情報処理装置。
【請求項８】
前記情報処理手段は、貨幣価値の金額を電子データとして記憶し、金額変更情報を受信して前記記憶した金額に対して金額変更処理を行う貨幣端末に金額変更情報を送信し、
前記所定の情報は、前記金額変更情報を暗号化する暗号鍵であることを特徴とする請求項１から請求項７に記載の情報処理装置。
【請求項９】
前記消去手段は、更に、前記貨幣端末との処理内容を記録したログデータを消去することを特徴とする請求項８に記載の情報処理装置。
【請求項１】
外部電源からの電力供給の停止を検出する検出手段と、
所定の情報を記憶した記憶手段と、
前記記憶した所定の情報を用いて情報処理を行う情報処理手段と、
前記検出手段で、電力供給の停止が検出された場合に、前記記憶した所定の情報を消去する消去手段と、
を具備したことを特徴とする情報処理装置。
【請求項２】
前記消去手段は、内部電源と不揮発性記憶媒体を備え、前記検出手段で電力供給の停止が検出された場合に、電力供給が停止された旨を表す停止記録を、前記内部電源の電力を用いて前記不揮発性記憶媒体に記録し、起動時に前記不揮発性記憶媒体の停止記録を確認して停止記録があった場合に、前記所定の情報を消去することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
起動時に、前記不揮発性記憶媒体に停止記録があった場合に、前記情報処理手段の情報処理機能を制限する機能制限手段を具備したことを特徴とする請求項２に記載の情報処理装置。
【請求項４】
起動後に前記不揮発性記憶媒体に記録されている停止記録を無効化する無効化手段を具備したことを特徴とする請求項２、又は請求項３に記載の情報処理装置。
【請求項５】
前記消去手段は、前記不揮発性記憶媒体に、外部電源からの電力供給が停止した時刻を記録し、起動時の時刻が、前記記録した時刻から所定時間内の場合は、前記所定の情報を消去しないことを特徴とする請求項２、請求項３、又は請求項４に記載の情報処理装置。
【請求項６】
前記消去手段は、外部電源からの電力供給が停止した時刻と、外部電源からの電力供給が再開した時刻と、を記録し、前記記録に係る停止した時刻と再開した時刻の時間差が所定時間内である場合は、前記所定の情報を消去しないことを特徴とする請求項２、請求項３、又は請求項４に記載の情報処理装置。
【請求項７】
前記消去手段は、内部電源を備え、前記検出手段で電力供給の停止が検出された直後に、前記内部電源の電力を用いて前記記憶した所定の情報を消去することを特徴とする請求項１に記載の情報処理装置。
【請求項８】
前記情報処理手段は、貨幣価値の金額を電子データとして記憶し、金額変更情報を受信して前記記憶した金額に対して金額変更処理を行う貨幣端末に金額変更情報を送信し、
前記所定の情報は、前記金額変更情報を暗号化する暗号鍵であることを特徴とする請求項１から請求項７に記載の情報処理装置。
【請求項９】
前記消去手段は、更に、前記貨幣端末との処理内容を記録したログデータを消去することを特徴とする請求項８に記載の情報処理装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１２−１７８１８９（Ｐ２０１２−１７８１８９Ａ）
【公開日】平成２４年９月１３日（２０１２．９．１３）
【国際特許分類】
【出願番号】特願２０１２−１３２３５３（Ｐ２０１２−１３２３５３）
【出願日】平成２４年６月１１日（２０１２．６．１１）
【分割の表示】特願２００７−７０１５（Ｐ２００７−７０１５）の分割
【原出願日】平成１９年１月１６日（２００７．１．１６）
【出願人】（５０１０４４１１６）楽天Ｅｄｙ株式会社 (48)
【公開日】平成２４年９月１３日（２０１２．９．１３）
【国際特許分類】
【出願日】平成２４年６月１１日（２０１２．６．１１）
【分割の表示】特願２００７−７０１５（Ｐ２００７−７０１５）の分割
【原出願日】平成１９年１月１６日（２００７．１．１６）
【出願人】（５０１０４４１１６）楽天Ｅｄｙ株式会社 (48)
[ Back to top ]