自動取引装置および自動取引システム
【課題】自動取引装置において、ウィルスの特徴を含んだパターンファイルを用いることなく、セキュリティを向上させることが可能な技術を提供する。
【解決手段】自動取引装置は、自動取引装置の各部を制御する本体制御部と、本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、本体制御部からの要求に応じて、現金の授受を行う現金制御部と、本体制御部を介した、個人情報制御部または現金制御部に対する処理の要求の種類と、一連の取引処理における自動取引装置の内部状態と、を用いて、要求が自動取引装置に内在する不正プログラムによるものであると検知した場合に、自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる不正検知部とを備える。
【解決手段】自動取引装置は、自動取引装置の各部を制御する本体制御部と、本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、本体制御部からの要求に応じて、現金の授受を行う現金制御部と、本体制御部を介した、個人情報制御部または現金制御部に対する処理の要求の種類と、一連の取引処理における自動取引装置の内部状態と、を用いて、要求が自動取引装置に内在する不正プログラムによるものであると検知した場合に、自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる不正検知部とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動取引装置においてセキュリティを向上させるための技術に関する。
【背景技術】
【０００２】
近年、現金自動取引装置（ＡＴＭ：Automated teller machine）においては、ＣＰＵやＲＡＭ、ハードディスク等を備え、汎用的なパーソナルコンピュータの技術を応用して設計されているものが多い。このような現金自動取引装置において、現金自動取引装置に内蔵されるソフトウェアを標準的な規格に則って作成しようという動きが広まっている。標準的な規格に則って作成されたソフトウェアは、汎用性が高く、低コストであるという利点がある一方で、ウィルスに感染しやすいという問題点があった。
【０００３】
このような問題点に対して、現金自動取引装置のハードディスク内に存在するプログラムと、ウィルスに含まれる特定の文字列や、ウィルスに感染したプログラムの特徴的な動作パターンなどが登録されたパターンファイルとを比較することで、現金自動取引装置に内蔵されるソフトウェアに混入したウィルスを検知する技術が知られている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００４−３６２０１２号公報
【特許文献２】特開２００９−１８１３３５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、ハードディスク内に存在するプログラムをパターンファイルと比較する手法では、新しいウィルスに対する対応が困難であるという問題があった。
【０００６】
また、このような問題は、現金自動取引装置に限らず、各種の自動販売機や自動券売機等、パーソナルコンピュータの技術を応用して設計された自動取引装置の全般に共通する課題であった。
【０００７】
本発明は、自動取引装置において、ウィルスの特徴を含んだパターンファイルを用いることなく、セキュリティを向上させることが可能な技術を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００９】
［適用例１］
自動取引装置であって、
前記自動取引装置の各部を制御する本体制御部と、
前記本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、
前記本体制御部からの要求に応じて、現金の授受を行う現金制御部と、
前記本体制御部を介した、前記個人情報制御部または前記現金制御部に対する処理の要求の種類と、一連の取引処理における前記自動取引装置の内部状態と、を用いて、前記要求が前記自動取引装置に内在する不正プログラムによるものであると検知した場合に、前記自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる不正検知部と、
を備える、自動取引装置。
このような構成とすれば、不正検知部は、個人情報制御部または現金制御部に対する処理の要求の種類と、一連の取引処理における自動取引装置の内部状態とを用いて、当該要求が自動取引装置に内在する不正プログラムによるものであると検知した場合に、自動取引装置を通常の取引が可能な通常状態とは異なる警戒状態へと遷移させるため、自動取引装置において、ウィルスの特徴を含んだパターンファイルを用いることなく、セキュリティを向上させることができる。
【００１０】
［適用例２］
適用例１記載の自動取引装置であって、さらに、
ネットワークを介して外部装置に接続され、前記外部装置との間で情報のやりとりを行う通信部を備え、
前記不正検知部は、さらに、
前記本体制御部を介した、前記個人情報制御部または前記現金制御部に対する処理の要求の発行元を確認し、前記要求が前記通信部を介した不正アクセスによるものであると検知した場合に、前記自動取引装置を前記警戒状態へと遷移させる、自動取引装置。
このような構成とすれば、不正検知部は、さらに、個人情報制御部または現金制御部に対する処理の要求の発行元を確認し、当該要求が通信部を介した不正アクセスによるものであると検知した場合に、自動取引装置を警戒状態へと遷移させるため、自動取引装置において、セキュリティをより向上させることができる。
【００１１】
［適用例３］
適用例１または２記載の自動取引装置であって、
前記不正検知部は、さらに、
前記本体制御部から前記個人情報制御部または前記現金制御部に対する処理の要求に用いられる電文の構造を確認し、前記要求に用いられている標準インタフェースが不正な標準インタフェースであると検知した場合に、前記自動取引装置を前記警戒状態へと遷移させる、自動取引装置。
このような構成とすれば、不正検知部は、さらに、本体制御部から個人情報制御部または現金制御部に対する処理の要求に用いられる電文の構造を確認し、当該要求に用いられている標準インタフェースが不正な標準インタフェースであると検知した場合に、自動取引装置を警戒状態へと遷移させるため、自動取引装置において、セキュリティをより向上させることができる。
【００１２】
［適用例４］
適用例１ないし３のいずれか一項記載の自動取引装置であって、さらに、
前記不正検知部における処理のために用いられる情報であって、前記不正プログラムと、前記不正アクセスと、前記不正な標準インタフェースと、の少なくともいずれか１つを検知するための方法に関する方法情報と、前記警戒状態において実行される処理の内容に関する処理情報と、が予め関連付けて記憶された記憶部を備える、自動取引装置。
このような構成とすれば、不正プログラムと、不正アクセスと、不正な標準インタフェースと、の少なくともいずれか１つを検知するための方法に関する方法情報と、警戒状態において実行される処理の内容に関する処理情報と、が予め関連付けて記憶された記憶部を備え、不正検知部は、当該情報を用いて処理を行う。この結果、不正検知部は、警戒状態において、方法情報に応じて、それぞれ別個の処理を実行することも可能となり、処理の柔軟性を向上させることができる。
【００１３】
［適用例５］
適用例１ないし４のいずれか一項記載の自動取引装置であって、
前記不正検知部は、さらに、
前記個人情報制御部または前記現金制御部に対する処理の要求が、未知の種類である場合と、未知の発行元から発行されている場合と、未知の電文構造である場合と、の少なくともいずれかである場合に、当該要求を学習する、自動取引装置。
このような構成とすれば、不正検知部は、さらに、個人情報制御部または現金制御部に対する処理の要求が、未知の種類である場合と、未知の発行元から発行されている場合と、未知の電文構造である場合と、の少なくともいずれかである場合に、当該要求を学習することができる。
【００１４】
［適用例６］
適用例１ないし５のいずれか一項記載の自動取引装置であって、
前記警戒状態において実行される処理は、前記自動取引装置の休止処理と、前記自動取引装置における各処理のトレース記録処理と、のいずれか一方である、自動取引装置。
このような構成とすれば、不正検知部が、不正プログラムと、不正アクセスと、不正な標準インタフェースと、の少なくともいずれか１つを検知した場合に、自動取引装置の状態を、休止状態と、トレース記録状態のいずれかに遷移させることができる。
【００１５】
［適用例７］
適用例４ないし６のいずれか一項記載の自動取引装置であって、さらに、
前記自動取引装置の管理者からの前記処理情報の変更を受け付けるための係員操作部を備える、自動取引装置。
このような構成とすれば、自動取引装置の管理者からの処理情報の変更を受け付けることができる。この結果、自動取引装置の利便性を向上させることができる。
【００１６】
［適用例８］
適用例１ないし７のいずれか一項記載の自動取引装置であって、
前記不正検知部は、さらに、
前記不正プログラムと、前記不正アクセスと、前記不正な標準インタフェースと、の少なくともいずれか１つを検知した場合に、前記外部装置に対して、不正を検知した旨を通知する、自動取引装置。
このような構成とすれば、不正検知部は、さらに、不正プログラムと、不正アクセスと、不正な標準インタフェースと、の少なくともいずれか１つを検知した場合に、外部装置に対して、不正を検知した旨を通知するため、自動取引装置の外部に対しても警戒を喚起することができる。
【００１７】
［適用例９］
現金自動取引システムであって、
自動取引装置と、
サーバと、
を備え、
前記自動取引装置は、
前記自動取引装置の各部を制御する本体制御部と、
前記本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、
前記本体制御部からの要求に応じて、現金の授受を行う現金制御部と、
を備え、
前記サーバは、
前記個人情報制御部または前記現金制御部が受信した処理の要求の種類と、一連の取引処理における前記自動取引装置の内部状態と、を用いて、前記要求が、前記自動取引装置に内在する不正プログラムによるものであるか否かを検知する不正検知部を備え、
前記個人情報制御部と、前記現金制御部とは、
前記本体制御部からの処理の要求を受信した際に、前記サーバへ、当該要求が前記不正プログラムによるものであるか否かを問い合わせ、
前記不正検知部は、
当該要求が前記不正プログラムによるものであると検知した場合に、前記自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる、現金自動取引システム。
このような構成とすれば、不正検知部を外部のサーバに備える自動取引装置においても、適用例１と同様の効果を得ることができる。さらに、このような構成とすれば、外部のサーバで一括して不正プログラムの検知を行うため、自動取引装置の処理負担を軽減させると共に、検知した不正プログラムに関する情報の一元化を図ることができる。
【００１８】
なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、自動取引装置（現金自動取引装置、自動販売機、自動券売機等）、自動取引システム、自動取引装置の制御方法のほか、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。
【図面の簡単な説明】
【００１９】
【図１】本発明の一実施例としての現金自動取引装置のハードウェア構成を概略的に示す説明図である。
【図２】ＡＴＭのソフトウェア構成を概略的に示す説明図である。
【図３】不正検知情報の一例を示す説明図である。
【図４】要求傾向情報の一例を示す説明図である。
【図５】Ｉ／Ｆ認識情報の一例を示す説明図である。
【図６】本体制御部が実行する一連の取引処理において不正検知処理が実行される様子を示すシーケンス図である。
【図７】不正検知処理の手順を示すフローチャートである。
【図８】要求傾向の学習により更新された要求傾向情報の一例を示している。
【図９】標準Ｉ／Ｆ認識処理の手順を示すフローチャートである。
【図１０】不正検知処理における処理情報の変更に使用される設定画面の一例を示す説明図である。
【図１１】第２実施例における現金自動取引システムの概略構成を示す説明図である。
【発明を実施するための形態】
【００２０】
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
【００２１】
Ａ．第１実施例：
（Ａ−１）ハードウェア構成：
図１は、本発明の一実施例としての現金自動取引装置のハードウェア構成を概略的に示す説明図である。現金自動取引装置１０（以降、「ＡＴＭ」とも呼ぶ。）ＡＴＭ１０は、例えば、金融機関や小売店、公共施設等に設置され、利用者の操作に従って金融機関等の提供する現金出納等のサービスを自動で提供する装置である。ＡＴＭ１０は、現金自動預け払い機とも呼ばれる。
【００２２】
ＡＴＭ１０は、カード機構２２と、通帳機構２４と、明細票機構２６と、硬貨機構３２と、紙幣機構３４と、顧客操作部４２と、係員操作部４４と、制御ユニット５０と、ジャーナル印字機構６０とを備える。なお、図１では、説明上必要としない他の構成部については図示を省略している。このことは、後述する図においても同様である。
【００２３】
カード機構２２は、カードスロットから挿入されたキャッシュカードから、利用者の口座番号等の情報を読み取るための機構である。通帳機構２４は、通帳スロットから挿入された通帳から、利用者の口座番号等の情報を読み取ると共に、通帳に対して取引内容等の印字を行うための機構である。明細票機構２６は、利用者の取引内容を印字した明細票を発行するための機構である。
【００２４】
硬貨機構３２は、利用者との硬貨の授受を行う機構である。紙幣機構３４は、利用者との紙幣（以降、「紙葉類」とも呼ぶ。）の授受を行う機構である。紙幣機構３４は、入金時には、利用者から挿入された紙幣を識別し、金種毎に分類した上で保管する。また、出金時には、利用者から指示された金額分の紙幣を繰り出し、入出金口から利用者へ受け渡す。
【００２５】
顧客操作部４２は、ＡＴＭ１０の前面に設けられたタッチパネルを介して、取引に必要な情報を表示すると共に、利用者からの操作を受け付けるためのユーザインタフェースである。係員操作部４４は、ＡＴＭ１０の背面に設けられたタッチパネルを介して、ＡＴＭ１０の管理のための情報を表示すると共に、管理者からの操作を受け付けるためのユーザインタフェースである。なお、顧客操作部４２と、係員操作部４４とは、タッチパネルに代えて、ディスプレイと押しボタン等で構成されてもよい。
【００２６】
ジャーナル印字機構６０は、利用者との取引内容等を所定のジャーナル用紙に逐次印字するための機構である。なお、ジャーナル印字機構６０には、紙媒体に印字する方法に代えて、データベースや、ファイル等の電子媒体を用いて記録を残す電子ジャーナルの方法を採用してもよい。
【００２７】
制御ユニット５０は、上述の各機構を制御する。制御ユニット５０は、ＣＰＵやメモリ、ハードディスク、ネットワークインタフェース等を備えるコンピュータとして構成されている。
【００２８】
（Ａ−２）ソフトウェア構成：
図２は、ＡＴＭ１０のソフトウェア構成を概略的に示す説明図である。制御ユニット５０の図示しないハードディスクには、制御ユニット５０の機能を実現するための各種の制御プログラムがインストールされている。制御ユニット５０のＣＰＵ５１は、メモリ３００をワークエリアとして用い、これらの各種制御プログラムを実行することで、図２に示す各機能部として機能する。
【００２９】
制御ユニット５０は、本体制御部１００と、不正検知部１１０と、タッチパネル制御部２００と、記憶部３００と、通信部４００と、カード機構制御部５００と、通帳機構制御部５１０と、明細票機構制御部５２０と、紙幣機構制御部６００と、硬貨機構制御部６１０と、ジャーナル制御部７００と、を機能部として備えている。
【００３０】
本体制御部１００は、利用者からの指示により、図２の各機能部を制御しつつ、ＡＴＭ１０の種々の取引処理を実行する機能を有する。不正検知部１１０は、ＡＴＭ１０に内在する不正プログラムや、ＡＴＭ１０に対する不正アクセスや、不正な標準インタフェースを検知するための不正検知処理（詳細は後述）を実行する機能を有する。
【００３１】
なお、本実施例において、「不正プログラム」とは、ＡＴＭ１０のメーカが提供する正規なプログラム以外のプログラムであって、ＡＴＭ１０の利用者や管理者、ＡＴＭ１０を運用する金融機関等が予期しない不正な出金操作や、個人情報の取得操作を行うプログラムを意味する。また、「不正アクセス」とは、既定の通信ポートとは異なる通信ポートからのＡＴＭ１０に対するアクセスや、予め許可された装置以外の装置からのＡＴＭ１０に対するアクセスを意味する。また、「不正な標準インタフェース」とは、予め許可された標準インタフェース以外の標準インタフェースを用いたＡＴＭ１０に対するアクセスを意味する。ここで、「標準インタフェース」とは、ＡＴＭ１０の各機能部間でやり取りされる電文（命令コマンド）の構造等について定められた規約を意味する。
【００３２】
タッチパネル制御部２００は、顧客操作部４２および係員操作部４４に用いられているタッチパネルの動作を制御する。具体的には、タッチパネル制御部２００は、タッチパネルに対する情報の表示や、タッチパネルに対する利用者、管理者からの入力の取得を行う。
【００３３】
記憶部３００は、不正検知部１１０による不正検知処理において用いられる情報が格納されている。具体的には、記憶部３００には、ＡＴＭ１０に内在する不正プログラムや、ＡＴＭ１０に対する不正アクセスを検知するために用いられる不正検知情報３１０および要求傾向情報３３０と、不正な標準インタフェースを検知するために用いられるＩ／Ｆ認識情報３２０と、を含んでいる。詳細は後述する。
【００３４】
通信部４００は、図示しないネットワークインタフェースを含み、所定のプロトコルに沿って外部装置（ＡＴＭ１０の外部に設けられる種々の装置。例えば、ＡＴＭ１０の管理装置や、サーバ等）との間で情報のやり取りを行う。なお、本実施例では、通信部４００は、１００ＢＡＳＥ−Ｔのネットワークインタフェースを備え、ＴＣＰ／ＩＰプロトコルに沿って外部装置との通信を行うものとする。
【００３５】
カード機構制御部５００は、カード機構２２を制御する機能を有する。同様に、通帳機構制御部５１０は通帳機構２４を、明細票機構制御部５２０は明細票機構２６を、紙幣機構制御部６００は紙幣機構３４を、硬貨機構制御部６１０は硬貨機構３２を、ジャーナル制御部７００はジャーナル印字機構６０を、それぞれ制御する機能を有する。
【００３６】
図３は、不正検知情報３１０の一例を示す説明図である。不正検知情報３１０は、不正検知部１１０の実行する不正検知処理において、不正プログラムや、不正アクセスの対策のために用いられる情報であり、テーブル形式で保持されている。不正検知情報３１０は、番号と、検知方法と、状態と、の各フィールドを含んでいる。
【００３７】
番号フィールドには、各エントリに格納されている情報を相互に識別するための識別情報として、一意な番号が付与されている。検知方法フィールドには、ＡＴＭ１０に内在する不正プログラムや、ＡＴＭ１０に対する不正アクセスを検知するための方法が格納されている。状態フィールドには、検知方法に格納された方法によって、不正プログラムや不正アクセスが検知された場合に、ＡＴＭ１０を遷移させるべき状態が格納されている。
【００３８】
例えば、図３の番号１で識別されるエントリでは、検知方法として「要求の傾向と一致しているか」を確認することを示している。なお、要求の傾向については後述する。また、確認の結果、不正が検知された場合、ＡＴＭ１０を「トレース記録しつつ、取引許可」状態とすることを示している。さらに、例えば、番号２で識別されるエントリでは、検知方法として「処理の要求を受信したポートは、ＴＣＰ／ＩＰ通信の割り当てられているポートであるか」を確認することを示している。また、確認の結果、不正が検知された場合、ＡＴＭ１０を「取引中止」状態とすることを示している。さらに、例えば、番号３で識別されるエントリでは、検知方法として「処理の要求元である装置のＩＰアドレスやＭＡＣアドレスは、ＡＴＭ１０にアクセスが許可されている装置のＩＰアドレスやＭＡＣアドレスと一致するか」を確認することを示している。また、確認の結果、不正が検知された場合、ＡＴＭ１０を「取引中止」状態とすることを示している。
【００３９】
なお、図３では、検知方法フィールドに格納された不正プログラムや不正アクセスを検知するための方法に関する情報を「方法情報」とも呼ぶ。また、状態フィールドに格納された、ＡＴＭ１０を遷移させるべき状態を示す情報を「処理情報」とも呼ぶ。さらに、ＡＴＭ１０が、「取引中止」状態や、「トレース記録しつつ、取引許可」にあることを、ＡＴＭ１０が「警戒状態」にあるとも言う。警戒状態は、ＡＴＭ１０において、通常の取引が可能な通常状態とは異なる状態である。
【００４０】
図４は、要求傾向情報３３０の一例を示す説明図である。要求傾向情報３３０は、不正検知部１１０の実行する不正検知処理において、本体制御部１００が実行する取引処理を監視することで、不正プログラムを検知するために用いられる情報であり、テーブル形式で保持されている。要求傾向情報３３０は、番号と、内部状態と、機能部と、の各フィールドを含んでいる。
【００４１】
番号フィールドには、各エントリに格納されている情報を相互に識別するための識別情報として、一意な番号が付与されている。内部状態フィールドには、本体制御部１００が実行する一連の取引処理における、ＡＴＭ１０の内部状態の名称が格納されている。
【００４２】
機能部フィールドには、さらに、ＡＴＭ１０に含まれる各機能部（図２）のうち、現金の授受を行う機能部（現金制御部）と、利用者の個人情報を取得する機能部（個人情報制御部）との名称を、それぞれ示すフィールドが含まれている。なお、図４に示した機能部のうち、暗証番号制御部と、取引選択制御部とは、本体制御部１００の内部に含まれる制御部である。各フィールドのエントリには、本体制御部１００が実行する一連の取引処理におけるＡＴＭ１０の内部状態に対応させて、各機能部における処理が可能であるか、不可能であるかを示す情報が格納されている。具体的には、ある機能部における処理が可能である場合は、当該機能部における処理を行ったのち遷移する内部状態の番号が格納されている（図４：ハッチングなし領域）。また、ある機能部における処理が不可能である場合は、空値が格納されている（図４：斜線ハッチング領域）。
【００４３】
例えば、図４の例では、番号１で識別されるエントリからは、本体制御部１００が実行する一連の取引処理におけるＡＴＭ１０の内部状態がアイドル状態である場合、カード機構制御部と、取引選択制御部による処理が可能であり、その他の制御部（紙幣機構制御部等）による処理は不可能であることがわかる。また、カード機構制御部によるカード読み取り処理が行われた後、ＡＴＭ１０は、番号３の取引選択待ち状態へ遷移することがわかる。同様に、取引選択制御部による読み取り処理が行われた後、ＡＴＭ１０は番号２のカード挿入待ち状態へ遷移することがわかる。
【００４４】
番号２で識別されるエントリからは、ＡＴＭ１０の内部状態がカード挿入待ち状態である場合、カード機構制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、カード機構制御部による処理の後、ＡＴＭ１０は、番号４の暗証番号入力待ち状態へ遷移することがわかる。番号３で識別されるエントリからは、ＡＴＭ１０の内部状態が取引選択待ち状態である場合、取引選択制御部によるによる処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、取引選択制御部による処理の後、ＡＴＭ１０は、番号４の暗証番号入力待ち状態へ遷移することがわかる。
【００４５】
番号４で識別されるエントリからは、ＡＴＭ１０の内部状態が暗証番号入力待ち状態である場合、暗証番号制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、暗証番号制御部による処理の後、ＡＴＭ１０は、番号６の出金金額入力待ち状態へ遷移することがわかる。番号５で識別されるエントリからは、ＡＴＭ１０の内部状態が暗証番号取得待ち状態である場合、暗証番号制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、暗証番号制御部による処理の後、ＡＴＭ１０は、番号６の出金金額入力待ち状態へ遷移することがわかる。
【００４６】
番号６で識別されるエントリからは、ＡＴＭ１０の内部状態が出金金額入力待ち状態である場合、暗証番号制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、暗証番号制御部による処理の後、ＡＴＭ１０は、番号７の出金要求待ち状態へ遷移することがわかる。番号７で識別されるエントリからは、ＡＴＭ１０の内部状態が出金要求待ち状態である場合、紙幣機構制御部または硬貨機構制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、紙幣機構制御部または硬貨機構制御部による処理の後、ＡＴＭ１０は、番号８のカード／明細抜き取り待ち状態へ遷移することがわかる。
【００４７】
番号８で識別されるエントリからは、ＡＴＭ１０の内部状態がカード／明細抜き取り待ち状態である場合、カード機構制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、カード機構制御部による処理の後、ＡＴＭ１０は、番号９の出金媒体抜き取り待ち状態へ遷移することがわかる。番号９で識別されるエントリからは、ＡＴＭ１０の内部状態が出金媒体抜き取り待ち状態である場合、紙幣機構制御部または硬貨機構制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、紙幣機構制御部または硬貨機構制御部による処理の後、ＡＴＭ１０は、番号１のアイドル状態へ遷移することがわかる。
【００４８】
このように、図４に示す要求傾向情報３３０には、本体制御部１００が実行する一連の取引処理におけるＡＴＭ１０の内部状態と、その内部状態において処理を実行することが可能な制御部の種類（換言すれば、許可される処理の要求の種類）とが対応付けて記憶されている。
【００４９】
図５は、Ｉ／Ｆ認識情報３２０の一例を示す説明図である。Ｉ／Ｆ認識情報３２０は、不正検知部１１０の実行する不正検知処理において、不正な標準インタフェースの対策のために用いられる情報であり、テーブル形式で保持されている。Ｉ／Ｆ認識情報３２０は、番号と、標準インタフェース種類と、特徴と、バージョンと、状態と、の各フィールドを含んでいる。
【００５０】
番号には、各エントリに格納されている情報を相互に識別するための識別情報として、一意な番号が付与されている。標準インタフェース種類には、標準インタフェースの名称が格納されている。バージョンには、標準インタフェースのバージョンが格納されている。Ｉ／Ｆ認識情報３２０では、標準インタフェース種類と、バージョンとの組合せで、標準インタフェースが一意に特定される。特徴には、標準インタフェース種類と、バージョンとの組合せで一意に特定された標準インタフェースごとの、電文（命令コマンド）の構造の特徴が格納されている。状態には、特徴に格納された電文の構造の特徴によって、不正な標準インタフェースが検知された場合に、ＡＴＭ１０を遷移させるべき状態が格納されている。
【００５１】
例えば、図５の番号１で識別されるエントリでは、標準インタフェース１のバージョン２．０の特徴として「初回起動（ＯＰＥＮコマンド）の入力パラメータがＸ個、入力パラメータのＸ番目の引数は“ＸＸＸＸＸ”」であることと、「レジストリのＸＸＸＸ￥ＸＸＸにキー“ＸＸＸＸＸ”が格納されている」ことを示している。また、確認の結果、当該標準インタフェースに該当すると判定された場合、ＡＴＭ１０を「取引許可」状態とすることを示している。
【００５２】
さらに、番号４で識別されるエントリでは、同様の標準インタフェース１のバージョン２．０の特徴として「紙幣出金命令（ＢＣＫＢコマンド）の入力パラメータが１個、入力パラメータの１番目の引数は“ＸＸＸＸＸ”＋金種」であることを示している。また、確認の結果、当該標準インタフェースに該当すると判定された場合、ＡＴＭ１０を「取引許可」状態とすることを示している。さらに、例えば、番号ｎで識別されるエントリでは、番号１〜ｎ−１で識別される全てのエントリに格納された特徴を満たさない場合、ＡＴＭ１０を「取引中止」状態、すなわち、警戒状態とすることを示している。なお、図中のＸには、任意の値を入れることができる。
【００５３】
なお、図５では、特徴フィールドに格納された電文の構造の特徴を、不正な標準インタフェースを検知するための方法に関する「方法情報」とも呼ぶ。また、状態フィールドに格納された、ＡＴＭ１０を遷移させるべき状態を示す情報を「処理情報」とも呼ぶ。
【００５４】
（Ａ−３）不正検知処理：
（Ａ−３−１）処理のシーケンス：
図６は、本体制御部１００が実行する一連の取引処理において、不正検知処理が実行される様子を示すシーケンス図である。図６の例では、現金制御部の一例として紙幣機構制御部を、個人情報制御部の一例としてカード機構制御部を、それぞれ挙げ、本体制御部１００が、利用者から挿入されたカードを読み取った後、紙幣の出金を行う場合を例として説明する。
【００５５】
利用者からのカードの挿入を検出した本体制御部１００は、カード機構制御部５００に対して、挿入されたカードの読み取りを要求する電文（命令コマンド）を送信する（ステップＳ１２）。本体制御部１００からの要求を受信したカード機構制御部５００は、不正検知部１１０に不正検知処理の実行を要求する（ステップＳ１４）。要求を受信した不正検知部１１０は、不正検知処理（詳細は後述）を実行する（ステップＳ１６）。不正検知部１１０は、不正検知処理において不正を検知した場合はＡＴＭ１０を警戒状態とし、不正を検知しなかった場合は何もしない。不正検知部１１０は、不正検知処理終了後、処理が終了した旨を呼び出し元に通知する（ステップＳ１８）。通知を受けたカード機構制御部５００は、挿入されたカードの読み取り処理を行う（ステップＳ２０）。その後、カード機構制御部５００は、カードの読み取り処理の結果得られた個人情報（例えば、口座名義人名、カードの番号等）を本体制御部１００へ通知する（ステップＳ２２）。
【００５６】
その後、例えば、処理メニューの選択や暗証番号の入力等、利用者による更なる操作が行われ、本体制御部１００は、操作内容に応じた処理を行う。詳細は省略する。
【００５７】
利用者からの出金の指示を受けた本体制御部１００は、紙幣機構制御部６００に対して、指示された金額の紙幣を出金するよう要求する電文（命令コマンド）を送信する（ステップＳ２４）。本体制御部１００からの要求を受信した紙幣機構制御部６００は、不正検知部１１０に不正検知処理の実行を要求する（ステップＳ２６）。要求を受信した不正検知部１１０は、不正検知処理を実行する（ステップＳ２８）。詳細はステップＳ１６と同様である。不正検知部１１０は、不正検知処理終了後、処理が終了した旨を呼び出し元に通知する（ステップＳ３０）。通知を受けた紙幣機構制御部６００は、本体制御部１００から指示された金額の紙幣の出金処理を実行する（ステップＳ３２）。その後、紙幣機構制御部６００は、出金結果を本体制御部１００へ通知する（ステップＳ３４）。
【００５８】
（Ａ−３−２）不正検知処理のフローチャート：
図７は、不正検知処理の手順を示すフローチャートである。不正検知部１１０は、不正検知情報３１０を参照し、最初のエントリに格納された検知方法である「要求の傾向と一致しているか」の確認を実行する（ステップＳ１０２）。具体的には、不正検知部１１０は、ＡＴＭ１０の現在の内部状態と、実際に本体制御部１００から機能部へなされた要求の種類（例えば、カード読み取り指令や、暗証番号読み取り指令、出金指令等）とを、要求傾向情報３３０と照らし合わせることで、本体制御部１００から機能部へなされた要求が、許可される要求の種類と一致するか否かを判定する。
【００５９】
例えば、ＡＴＭ１０の現在の内部状態がアイドル状態であり、本体制御部１００からカード機構制御部５００へカード読み取り指令がなされているケース（図６：ステップＳ１２）においては、図４の通り、ＡＴＭ１０の内部状態がアイドル状態である場合、カード機構制御部による処理と取引選択制御部による処理が可能であることから、当該処理の要求は許可されるべきものである（正しい）と判定される。一方、例えば、ＡＴＭ１０の現在の内部状態がアイドル状態であり、本体制御部１００から紙幣機構制御部６００へ出金指令がなされているケースにおいては、図４の通り、ＡＴＭ１０の内部状態がアイドル状態である場合、カード機構制御部と取引選択制御部以外の制御部による処理は不可能であることから、当該処理の要求は許可されない（不正である）と判定される。
【００６０】
ステップＳ１０２において、処理の要求は許可されるべきものであると判定された場合、不正検知部１１０は、要求の傾向と一致している（すなわち、不正は検知されない）と判定し（ステップＳ１０４：ＮＯ）、処理をステップＳ１０６へ遷移させる。
【００６１】
不正検知部１１０は、不正検知情報３１０に格納された検知方法の最後まで確認を行ったか否かを判定する（ステップＳ１０６）。検知方法の最後まで確認を行っていない場合（ステップＳ１０６：ＮＯ）、不正検知部１１０は、処理をステップＳ１０２へ遷移させ、不正検知情報３１０の次のエントリに格納された検知方法についての確認、すなわち、「処理の要求を受信したポートは、ＴＣＰ／ＩＰ通信の割り当てられているポートであるか」の確認を継続する。
【００６２】
一方、検知方法の最後まで確認を終えた場合（ステップＳ１０６：ＹＥＳ）、不正検知部１１０は、処理をステップＳ１０８へ遷移させ、要求傾向を学習する（ステップＳ１０８）。具体的には、不正検知部１１０は、ステップＳ１０２において判定に用いた実際の要求の種類と、ＡＴＭ１０の内部状態との組合せが未知の（すなわち、要求傾向情報３３０に登録されていない）組合せである場合、当該情報を用いて要求傾向情報３３０の内容を更新する。なお、この更新の際は、要求傾向情報３３０の既存の情報の上書きを行ってもよいし、要求傾向情報３３０の既存の情報はそのままにして、新たな情報の追加を行ってもよい。図８は、要求傾向の学習により更新された要求傾向情報３３０の一例を示している。図８の例では、アイドル状態からの通帳の取り扱いを可能とするために、領域ＮＦの部分の情報が更新されている。
【００６３】
不正検知部１１０は、標準Ｉ／Ｆ認識処理（詳細は後述）を実行する（ステップＳ１１０）。
【００６４】
標準Ｉ／Ｆ認識処理終了後、不正検知部１１０は、呼び出し元である機能部に対して、処理が終了した旨を通知する（ステップＳ１１２）。その後、図６に示すように、取引処理が継続される。
【００６５】
ステップＳ１０２において、処理の要求は許可されないと判定された場合、不正検知部１１０は、要求の傾向と一致しない（すなわち、不正が検知された）と判定し（ステップＳ１０４：ＹＥＳ）、処理をステップＳ１１４へ遷移させる。
【００６６】
不正検知部１１０は、不正検知情報３１０のうち、該当エントリの状態フィールドの内容を参照する（ステップＳ１１４）。不正検知部１１０は、状態フィールドの内容が「取引許可」であるか否かを判定する（ステップＳ１１６）。取引許可である場合（ステップＳ１１６：ＹＥＳ）、不正検知部１１０は、ジャーナル制御部７００に対して、取引処理のトレースを記録するよう要求し（ステップＳ１１８）、ステップＳ１１０へ遷移する。一方、取引許可でない場合（ステップＳ１１６：ＮＯ）、不正検知部１１０は、本体制御部１００に対して、ＡＴＭ１０を取引中止状態とするよう要求し（ステップＳ１２０）、処理を終了させる。
【００６７】
このように、不正検知部１１０は、不正検知情報３１０の検知方法「要求の傾向と一致しているか」の確認において、要求傾向情報３３０を用いて、本体制御部１００を介して行われる、個人情報制御部または現金制御部に対する処理の要求が許可されるものであるか否かを確認する。そして、不正検知部１１０は、許可されない要求（換言すれば、要求の傾向と一致しない要求）を受信した場合、当該要求は、不正プログラムにより発行された予期しない順序の予期しない要求である（すなわち、不正が検知された）と判定し、ＡＴＭ１０を警戒状態に遷移させることができる。
【００６８】
また、不正検知部１１０は、不正検知情報３１０の検知方法「処理の要求を受信したポートは、ＴＣＰ／ＩＰ通信の割り当てられているポートであるか」および「処理の要求元である装置のＩＰアドレスやＭＡＣアドレスは、ＡＴＭ１０にアクセスが許可されている装置のＩＰアドレスやＭＡＣアドレスと一致するか」の確認において、本体制御部１００が受信した要求の出所を確認する。そして、不正検知部１１０は、本体制御部１００が上記条件に一致しない要求を受信した場合、当該要求は、不正な発行元からの不正なアクセスによる予期しない要求である（すなわち、不正が検知された）と判定し、ＡＴＭ１０を警戒状態に遷移させることができる。
【００６９】
（Ａ−３−３）標準Ｉ／Ｆ認識処理のフローチャート：
図９は、標準Ｉ／Ｆ認識処理の手順を示すフローチャートである。標準Ｉ／Ｆ認識処理は、不正検知処理のサブルーチンである。不正検知部１１０は、Ｉ／Ｆ認識情報３２０の最初のエントリに格納された特徴のうちの少なくとも１つが、本体制御部１００から各機能部への要求として送信される電文（命令コマンド）の構造と一致するかを確認する（ステップＳ２０２）。
【００７０】
ステップＳ２０２において、Ｉ／Ｆ認識情報３２０内の特徴が、要求の電文の構造と一致すると判定された場合、不正検知部１１０は、特徴と一致すると判定し（ステップＳ２０４：ＹＥＳ）、処理をステップＳ２１４へ遷移させる。
【００７１】
不正検知部１１０は、標準インタフェースの特徴を学習する（ステップＳ２１４）。具体的には、不正検知部１１０は、ステップＳ２０２において判定に用いた実際の要求の電文が、未知の（すなわち、Ｉ／Ｆ認識情報３２０に登録されていない）構造の電文である場合、当該電文の構造を用いて、Ｉ／Ｆ認識情報３２０の内容を更新する。なお、この更新の際は、Ｉ／Ｆ認識情報３２０の既存の情報の上書きを行ってもよいし、Ｉ／Ｆ認識情報３２０の既存の情報はそのままにして、新たな情報の追加を行ってもよい。さらに、不正検知部１１０は、ステップＳ２０２において判定に用いた実際の要求の電文のうち、電文の構造と、特徴フィールドの内容とは一致するが、バージョンが異なるものに対して、Ｉ／Ｆ認識情報３２０の当該エントリのバージョンフィールドの内容を更新してもよい。
【００７２】
ステップＳ２０２において、Ｉ／Ｆ認識情報３２０内の特徴が、電文の構造と一致しないと判定された場合、不正検知部１１０は、特徴と一致しないと判定し（ステップＳ２０４：ＮＯ）、処理をステップＳ２０６へ遷移させる。
【００７３】
不正検知部１１０は、Ｉ／Ｆ認識情報３２０に格納された特徴の最後まで確認を行ったか否かを判定する（ステップＳ２０６）。最後まで確認を行っていない場合（ステップＳ２０６：ＮＯ）、不正検知部１１０は、処理をステップＳ２０２へ遷移させ、Ｉ／Ｆ認識情報３２０の次のエントリに格納された特徴についての確認を継続する。
【００７４】
一方、特徴の最後まで確認を終えた場合（ステップＳ２０６：ＹＥＳ）、不正検知部１１０は、処理をステップＳ２０８へ遷移させ、Ｉ／Ｆ認識情報３２０のうち、電文の構造と、特徴フィールドの内容とが一致したエントリの状態フィールドの内容を参照する（ステップＳ２０８）。不正検知部１１０は、状態フィールドの内容が「取引中止」であるか否かを判定する（ステップＳ２１０）。取引中止である場合（ステップＳ２１０：ＹＥＳ）、不正検知部１１０は、本体制御部１００に対してＡＴＭ１０を取引中止状態とするよう要求し（ステップＳ２１８）、処理を終了させる。
【００７５】
一方、取引中止でない場合（ステップＳ２１０：ＮＯ）、不正検知部１１０は、状態フィールドの内容が「取引許可（トレース記録）」であるか否かを判定する（ステップＳ２１２）。取引許可（トレース記録）である場合（ステップＳ２１２：ＹＥＳ）、不正検知部１１０は、ジャーナル制御部７００に対して、取引処理のトレースを記録するよう要求し（ステップＳ２１６）、処理を終了させる。一方、取引許可（トレース記録）でない場合（ステップＳ２１２：ＮＯ）、不正検知部１１０は、処理を終了させる。
【００７６】
このように、不正検知部１１０は、Ｉ／Ｆ認識情報３２０に格納された、標準インタフェースごとの電文の構造の特徴を用いて、個人情報制御部または現金制御部が本体制御部１００から受信した電文の構造を監視する。そして、不正検知部１１０は、個人情報制御部または現金制御部が予期しない構造の電文を受信した場合、当該電文は、不正な標準インタフェースに基づいて発行された予期しない要求である（すなわち、不正が検知された）と判定し、ＡＴＭ１０を警戒状態に遷移させることができる。
【００７７】
（Ａ−４）処理情報変更：
図１０は、不正検知処理における処理情報の変更に使用される設定画面の一例を示す説明図である。設定画面ＥＷは、管理者による操作を取得した本体制御部１００が、係員操作部４４のディスプレイ上に表示させる画面である。管理者は、設定画面ＥＷを用いることによって、不正検知情報３１０およびＩ／Ｆ認識情報３２０の状態フィールドの内容（すなわち、処理情報）を変更することができる。
【００７８】
設定画面ＥＷは、項目表示部ＥＦと、取引中止選択ボタンＣＢと、取引許可（トレース記録）ボタンＯＢと、次へボタンＮＢと、中止ボタンＢＢとを含んでいる。項目表示部ＥＦには、不正検知情報３１０の検知方法フィールドの内容、もしくは、Ｉ／Ｆ認識情報３２０の特徴フィールドの内容を表示するためのフィールドである。取引中止選択ボタンＣＢと、取引許可（トレース記録）ボタンＯＢは、項目表示部ＥＦに表示されている検知方法（または特徴）に対して、いずれの状態（処理情報）を割り当てるかを指定するためのボタンである。次へボタンＮＢは、次の検知方法（または特徴）を設定画面ＥＷに表示させるためのボタンである。中止ボタンＢＢは、設定画面による変更処理を中止するためのボタンである。
【００７９】
図１０の例では、項目表示部ＥＦには、不正検知情報３１０の番号２で識別されるエントリの検知方法フィールドの内容が表示されている。また、不正検知情報３１０の番号２で識別されるエントリは、現在、状態フィールドの内容が「取引中止」であるため、対応する取引中止選択ボタンＣＢはグレーアウトされている。ＡＴＭ１０の管理者は、不正検知情報３１０の番号２で識別されるエントリの状態フィールドの内容を「取引許可（トレース記録）」へと変更したい場合、取引許可（トレース記録）ボタンＯＢを押下すればよい。ボタン押下により、不正検知部１１０は、該当するテーブルの、該当するエントリの状態フィールドの内容を更新する。
【００８０】
このようにすれば、ＡＴＭ１０の管理者からの処理情報の変更を受け付けることができる。この結果、ＡＴＭ１０の不正検知処理における利便性を向上させることができる。
【００８１】
以上のように、第１実施例によれば、不正検知部１１０は、不正検知処理（不正検知情報３１０の検知方法「要求の傾向と一致しているか」の確認）によって、個人情報制御部または現金制御部に対する処理の要求が許可されるものであるか否かを確認し、ＡＴＭ１０に内在する不正プログラムを検知する。そして、不正検知部１１０は、不正（不正プログラム）が検知された場合に、ＡＴＭ１０の状態を、通常の取引が可能な通常状態とは異なる警戒状態（取引中止、トレース記録）へと遷移させる。このため、ＡＴＭ１０において、ウィルスの特徴を含んだパターンファイルを用いることなく、セキュリティを向上させることができる。
【００８２】
さらに、不正検知部１１０は、不正検知処理（不正検知情報３１０の検知方法「処理の要求を受信したポート」および「処理の要求元である装置のＩＰアドレスやＭＡＣアドレス」の確認）によって、個人情報制御部または現金制御部に対する処理の要求の発行元を確認し、通信部４００を介した不正アクセスを検知する。そして、不正検知部１１０は、不正（不正アクセス）が検知された場合に、ＡＴＭ１０の状態を警戒状態へと遷移させる。このため、ＡＴＭ１０において、セキュリティをより向上させることができる。
【００８３】
さらに、不正検知部１１０は、不正検知処理（標準Ｉ／Ｆ認識処理）によって、個人情報制御部または現金制御部に対する処理の要求に用いられる電文の構造を監視し、不正な標準インタフェースの存在を検知する。そして、不正検知部１１０は、不正（不正な標準インタフェース）が検知された場合に、ＡＴＭ１０を警戒状態へと遷移させる。このため、ＡＴＭ１０において、セキュリティをより向上させることができる。
【００８４】
さらに、記憶部３００には、不正プログラムと、不正アクセスを検知するために用いられる不正検知情報３１０と、要求傾向情報３３０とが記憶され、また、不正な標準インタフェースを検知するために用いられるＩ／Ｆ認識情報３２０が記憶されている。不正検知情報３１０には、不正プログラムと、不正アクセスを検知するための方法情報（検知方法フィールド）と、警戒状態において実行される処理の内容に関する処理情報（状態フィールド）とが予め関連付けて記憶されている。Ｉ／Ｆ認識情報３２０には、不正な標準インタフェースを検知するための方法情報（特徴フィールド）と、警戒状態において実行される処理の内容に関する処理情報（状態フィールド）とが予め関連付けて記憶されている。これらの結果、不正検知部１１０は、不正を検知する際に用いた方法情報に応じて、警戒状態において、それぞれ個別の処理を実行することが可能となり、処理の柔軟性を向上させることができる。
【００８５】
さらに、不正検知部１１０は、不正検知処理（図７）のステップＳ１０８において、個人情報制御部または現金制御部に対する処理の要求が、未知の種類である場合に、当該要求の種類と順序を学習する。また、不正検知部１１０は、不正検知処理の標準Ｉ／Ｆ認識処理（図９）のステップＳ２１４において、個人情報制御部または現金制御部に対する処理の要求が、未知の電文構造である場合に、当該要求の電文構造を学習する。この結果、不正検知情報３１０、Ｉ／Ｆ認識情報３２０、要求傾向情報３３０の自動更新が可能となり、ＡＴＭ１０の管理に要するコストを低減させることができる。
【００８６】
さらに、不正検知部１１０は、不正（不正プログラム、不正アクセス、不正な標準インタフェース）を検知した場合、ＡＴＭ１０の状態を、休止状態（取引中止状態）と、トレース記録状態のいずれかに遷移させることができる。
【００８７】
Ｂ．第２実施例：
本発明の第２実施例では、現金自動取引装置が、外部に設けられたサーバに接続され、当該サーバによって不正検知処理を行う構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００８８】
（Ｂ−１）ネットワーク構成：
図１１は、第２実施例における現金自動取引システム１０００の概略構成を示す説明図である。現金自動取引システム１０００は、ＡＴＭ１０ａと、サーバ２０とを備えている。ＡＴＭ１０ａと、サーバ２０とは、ローカルエリアネットワーク（ＬＡＮ）ＮＮによって接続されている。
【００８９】
ＡＴＭ１０ａは、第１実施例（図１、２）のＡＴＭ１０と、不正検知部１１０および記憶部３００を備えない点において異なる。サーバ２０は、図示しないＣＰＵやメモリ、ハードディスク、ネットワークインタフェース等を備えるサーバコンピュータとして構成されている。サーバ２０は、不正検知部１１０と、記憶部３００を、機能部として備えている。不正検知部１１０と、記憶部３００とは、第１実施例と同様の機能を有している。
【００９０】
（Ｂ−２）不正検知処理：
第２実施例では、ＡＴＭ１０ａの本体制御部１００が実行する一連の取引処理において、不正検知処理の部分だけをサーバ２０が行うこととなる。具体的には、図６のステップＳ１４において、カード機構制御部５００は、通信部４００を介して、サーバ２０の不正検知部１１０に対して不正検知処理の実行を要求する。また、図６のステップＳ１８において、サーバ２０の不正検知部１１０は、通信部（図示せず）を介して、処理が終了した旨を呼び出し元（ＡＴＭ１０ａのカード機構制御部５００）に通知する。ステップＳ２６、Ｓ３０についても同様である。
【００９１】
以上のように、第２実施例によれば、不正検知部１１０を外部のサーバに備えるＡＴＭ１０ａにおいても、第１実施例と同様の効果を得ることができる。さらに、このような構成とすれば、外部に設けられたサーバ２０で一括して不正プログラムや不正アクセス、不正な標準インタフェースの検知を行うことができるため、ＡＴＭ１０ａの処理負荷を軽減させることができる。さらに、不正プログラムや不正アクセス、不正な標準インタフェースに関する情報（不正検知情報３１０、Ｉ／Ｆ認識情報３２０、要求傾向情報３３０）をサーバ２０側で一元管理できるため、複数のＡＴＭ１０ａを備えるシステムとして考えた場合、運用が容易な現金自動取引システムを構築することができる。
【００９２】
Ｃ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。
【００９３】
Ｃ１．変形例１：
上記実施例では、現金自動取引装置、および、現金自動取引システムの構成や機能を説明した。しかし、上記実施例で示した態様は、あくまで一例に過ぎず、本発明の要旨を逸脱しない範囲において種々の変形をすることができる。
【００９４】
例えば、現金自動取引装置は、ＵＳＢインタフェースや無線通信部等の他の構成を備えてもよい。
【００９５】
例えば、現金自動取引装置は、さらに、パーソナルコンピュータ等から構成される監視装置に接続されてもよい。この場合、不正検知部は、不正検知処理の結果として不正が検知された場合に、不正が検知された旨と、必要な情報とを、監視装置に対して送信することが好ましい。そうすれば、現金自動取引装置における異常（不正の検知）に関する情報を取得しやすくなる。
【００９６】
例えば、上記構成を、現金自動取引装置に代えて、各種の自動販売機や自動券売機、両替機等に転用してもよい。
【００９７】
Ｃ２．変形例２：
上記実施例では、本体制御部が実行する一連の取引処理において、不正検知処理が実行される様子の一例（図６）を示した。しかし、不正検知処理が実行されるタイミングは図６の場合に限られない。具体的には、不正検知処理は、図４に挙げた現金制御部や、個人情報制御部が、本体制御部からの要求を受信した都度、ステップＳ１４、Ｓ２６と同様に、要求を受信した機能部によって呼び出されて実行される。
【００９８】
図６の例では、現金制御部や、個人情報制御部に対して要求があれば、その都度不正検知処理が実行されるものとした。しかし、例えば、一連の取引処理の最初にのみ、不正検知処理を実行し、その後の現金制御部や、個人情報制御部に対する要求については、不正検知処理を省略してもよい。さらに、例えば、取引が行われる時間帯や、混雑状況等に応じて、不正検知処理の実行有無を切り替えても良い。
【００９９】
また、例えば、要求の送信元装置のＩＰアドレスやＭＡＣアドレスを、予め作成されたブラックリストと照合し、当該ブラックリストに該当する要求にのみ、不正検知処理を実行してもよい。さらに、例えば、要求の送信元装置のＩＰアドレスやＭＡＣアドレスを、予め作成されたホワイトリストと照合し、当該ホワイトリストに該当しない要求にのみ、不正検知処理を実行してもよい。
【０１００】
Ｃ３．変形例３：
上記実施例の不正検知処理（図７）および標準Ｉ／Ｆ認識処理（図９）では、不正を検知した不正検知部が、本体制御部に対して現金自動取引装置を警戒状態とするよう要求するものとした。しかし、例えば、不正検知部が不正検知処理の結果、不正を検知した場合は、その旨を呼び出し元の機能部、もしくは、本体制御部に通知することとし、通知された機能部または本体制御部が、現金自動取引装置を通常状態から警戒状態へ遷移させてもよい。
【０１０１】
Ｃ４．変形例４：
上記実施例の不正検知処理（図７）のステップＳ１０８、および、標準Ｉ／Ｆ認識処理（図９）のステップＳ２１４では、未知の要求を学習することとした。しかし、当該学習処理は省略可能である。
【０１０２】
Ｃ５．変形例５：
上記実施例の不正検知処理（図７）および標準Ｉ／Ｆ認識処理（図９）では、不正検知情報およびＩ／Ｆ認識情報に格納された全ての方法情報についての確認を行うものとしたが、この点に関しても種々の変形が可能である。例えば、方法情報に対して優先順位を付与し、優先順位が高い順番に確認を行うこととしてもよい。
【０１０３】
Ｃ６．変形例６：
上記実施例では、現金自動取引装置の警戒状態として、休止状態（取引中止状態）と、トレース記録状態とを例示した。しかし、警戒状態は、通常の取引が可能な通常状態と異なっていれば良く、種々の状態を採用することができる。
【０１０４】
例えば、不正を検知した不正検知部は、本体制御部や呼び出し元機能部に対して、エラーである旨の応答を返し、当該取引処理のみを続行させない構成とすることもできる。また、不正を検知した不正検知部は、本体制御部や呼び出し元機能部に対して、最大出金枚数に制限をつける旨の要求を行ってもよい。さらに、不正を検知した不正検知部は、現金自動取引装置のネットワーク接続を遮断してもよい。
【符号の説明】
【０１０５】
１０…現金自動取引装置（ＡＴＭ）
２０…サーバ
２２…カード機構
２４…通帳機構
２６…明細票機構
３２…硬貨機構
３４…紙幣機構
４２…顧客操作部
４４…係員操作部
５０…制御ユニット
６０…ジャーナル印字機構
１００…本体制御部
１１０…不正検知部
２００…タッチパネル制御部
３００…記憶部
３１０…不正検知情報
３２０…Ｉ／Ｆ認識情報
３３０…要求傾向情報
４００…通信部
５００…カード機構制御部
５１０…通帳機構制御部
５２０…明細票機構制御部
６００…紙幣機構制御部
６１０…硬貨機構制御部
７００…ジャーナル制御部
１０００…現金自動取引システム
ＥＷ…設定画面
【技術分野】
【０００１】
本発明は、自動取引装置においてセキュリティを向上させるための技術に関する。
【背景技術】
【０００２】
近年、現金自動取引装置（ＡＴＭ：Automated teller machine）においては、ＣＰＵやＲＡＭ、ハードディスク等を備え、汎用的なパーソナルコンピュータの技術を応用して設計されているものが多い。このような現金自動取引装置において、現金自動取引装置に内蔵されるソフトウェアを標準的な規格に則って作成しようという動きが広まっている。標準的な規格に則って作成されたソフトウェアは、汎用性が高く、低コストであるという利点がある一方で、ウィルスに感染しやすいという問題点があった。
【０００３】
このような問題点に対して、現金自動取引装置のハードディスク内に存在するプログラムと、ウィルスに含まれる特定の文字列や、ウィルスに感染したプログラムの特徴的な動作パターンなどが登録されたパターンファイルとを比較することで、現金自動取引装置に内蔵されるソフトウェアに混入したウィルスを検知する技術が知られている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００４−３６２０１２号公報
【特許文献２】特開２００９−１８１３３５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、ハードディスク内に存在するプログラムをパターンファイルと比較する手法では、新しいウィルスに対する対応が困難であるという問題があった。
【０００６】
また、このような問題は、現金自動取引装置に限らず、各種の自動販売機や自動券売機等、パーソナルコンピュータの技術を応用して設計された自動取引装置の全般に共通する課題であった。
【０００７】
本発明は、自動取引装置において、ウィルスの特徴を含んだパターンファイルを用いることなく、セキュリティを向上させることが可能な技術を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００９】
［適用例１］
自動取引装置であって、
前記自動取引装置の各部を制御する本体制御部と、
前記本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、
前記本体制御部からの要求に応じて、現金の授受を行う現金制御部と、
前記本体制御部を介した、前記個人情報制御部または前記現金制御部に対する処理の要求の種類と、一連の取引処理における前記自動取引装置の内部状態と、を用いて、前記要求が前記自動取引装置に内在する不正プログラムによるものであると検知した場合に、前記自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる不正検知部と、
を備える、自動取引装置。
このような構成とすれば、不正検知部は、個人情報制御部または現金制御部に対する処理の要求の種類と、一連の取引処理における自動取引装置の内部状態とを用いて、当該要求が自動取引装置に内在する不正プログラムによるものであると検知した場合に、自動取引装置を通常の取引が可能な通常状態とは異なる警戒状態へと遷移させるため、自動取引装置において、ウィルスの特徴を含んだパターンファイルを用いることなく、セキュリティを向上させることができる。
【００１０】
［適用例２］
適用例１記載の自動取引装置であって、さらに、
ネットワークを介して外部装置に接続され、前記外部装置との間で情報のやりとりを行う通信部を備え、
前記不正検知部は、さらに、
前記本体制御部を介した、前記個人情報制御部または前記現金制御部に対する処理の要求の発行元を確認し、前記要求が前記通信部を介した不正アクセスによるものであると検知した場合に、前記自動取引装置を前記警戒状態へと遷移させる、自動取引装置。
このような構成とすれば、不正検知部は、さらに、個人情報制御部または現金制御部に対する処理の要求の発行元を確認し、当該要求が通信部を介した不正アクセスによるものであると検知した場合に、自動取引装置を警戒状態へと遷移させるため、自動取引装置において、セキュリティをより向上させることができる。
【００１１】
［適用例３］
適用例１または２記載の自動取引装置であって、
前記不正検知部は、さらに、
前記本体制御部から前記個人情報制御部または前記現金制御部に対する処理の要求に用いられる電文の構造を確認し、前記要求に用いられている標準インタフェースが不正な標準インタフェースであると検知した場合に、前記自動取引装置を前記警戒状態へと遷移させる、自動取引装置。
このような構成とすれば、不正検知部は、さらに、本体制御部から個人情報制御部または現金制御部に対する処理の要求に用いられる電文の構造を確認し、当該要求に用いられている標準インタフェースが不正な標準インタフェースであると検知した場合に、自動取引装置を警戒状態へと遷移させるため、自動取引装置において、セキュリティをより向上させることができる。
【００１２】
［適用例４］
適用例１ないし３のいずれか一項記載の自動取引装置であって、さらに、
前記不正検知部における処理のために用いられる情報であって、前記不正プログラムと、前記不正アクセスと、前記不正な標準インタフェースと、の少なくともいずれか１つを検知するための方法に関する方法情報と、前記警戒状態において実行される処理の内容に関する処理情報と、が予め関連付けて記憶された記憶部を備える、自動取引装置。
このような構成とすれば、不正プログラムと、不正アクセスと、不正な標準インタフェースと、の少なくともいずれか１つを検知するための方法に関する方法情報と、警戒状態において実行される処理の内容に関する処理情報と、が予め関連付けて記憶された記憶部を備え、不正検知部は、当該情報を用いて処理を行う。この結果、不正検知部は、警戒状態において、方法情報に応じて、それぞれ別個の処理を実行することも可能となり、処理の柔軟性を向上させることができる。
【００１３】
［適用例５］
適用例１ないし４のいずれか一項記載の自動取引装置であって、
前記不正検知部は、さらに、
前記個人情報制御部または前記現金制御部に対する処理の要求が、未知の種類である場合と、未知の発行元から発行されている場合と、未知の電文構造である場合と、の少なくともいずれかである場合に、当該要求を学習する、自動取引装置。
このような構成とすれば、不正検知部は、さらに、個人情報制御部または現金制御部に対する処理の要求が、未知の種類である場合と、未知の発行元から発行されている場合と、未知の電文構造である場合と、の少なくともいずれかである場合に、当該要求を学習することができる。
【００１４】
［適用例６］
適用例１ないし５のいずれか一項記載の自動取引装置であって、
前記警戒状態において実行される処理は、前記自動取引装置の休止処理と、前記自動取引装置における各処理のトレース記録処理と、のいずれか一方である、自動取引装置。
このような構成とすれば、不正検知部が、不正プログラムと、不正アクセスと、不正な標準インタフェースと、の少なくともいずれか１つを検知した場合に、自動取引装置の状態を、休止状態と、トレース記録状態のいずれかに遷移させることができる。
【００１５】
［適用例７］
適用例４ないし６のいずれか一項記載の自動取引装置であって、さらに、
前記自動取引装置の管理者からの前記処理情報の変更を受け付けるための係員操作部を備える、自動取引装置。
このような構成とすれば、自動取引装置の管理者からの処理情報の変更を受け付けることができる。この結果、自動取引装置の利便性を向上させることができる。
【００１６】
［適用例８］
適用例１ないし７のいずれか一項記載の自動取引装置であって、
前記不正検知部は、さらに、
前記不正プログラムと、前記不正アクセスと、前記不正な標準インタフェースと、の少なくともいずれか１つを検知した場合に、前記外部装置に対して、不正を検知した旨を通知する、自動取引装置。
このような構成とすれば、不正検知部は、さらに、不正プログラムと、不正アクセスと、不正な標準インタフェースと、の少なくともいずれか１つを検知した場合に、外部装置に対して、不正を検知した旨を通知するため、自動取引装置の外部に対しても警戒を喚起することができる。
【００１７】
［適用例９］
現金自動取引システムであって、
自動取引装置と、
サーバと、
を備え、
前記自動取引装置は、
前記自動取引装置の各部を制御する本体制御部と、
前記本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、
前記本体制御部からの要求に応じて、現金の授受を行う現金制御部と、
を備え、
前記サーバは、
前記個人情報制御部または前記現金制御部が受信した処理の要求の種類と、一連の取引処理における前記自動取引装置の内部状態と、を用いて、前記要求が、前記自動取引装置に内在する不正プログラムによるものであるか否かを検知する不正検知部を備え、
前記個人情報制御部と、前記現金制御部とは、
前記本体制御部からの処理の要求を受信した際に、前記サーバへ、当該要求が前記不正プログラムによるものであるか否かを問い合わせ、
前記不正検知部は、
当該要求が前記不正プログラムによるものであると検知した場合に、前記自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる、現金自動取引システム。
このような構成とすれば、不正検知部を外部のサーバに備える自動取引装置においても、適用例１と同様の効果を得ることができる。さらに、このような構成とすれば、外部のサーバで一括して不正プログラムの検知を行うため、自動取引装置の処理負担を軽減させると共に、検知した不正プログラムに関する情報の一元化を図ることができる。
【００１８】
なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、自動取引装置（現金自動取引装置、自動販売機、自動券売機等）、自動取引システム、自動取引装置の制御方法のほか、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。
【図面の簡単な説明】
【００１９】
【図１】本発明の一実施例としての現金自動取引装置のハードウェア構成を概略的に示す説明図である。
【図２】ＡＴＭのソフトウェア構成を概略的に示す説明図である。
【図３】不正検知情報の一例を示す説明図である。
【図４】要求傾向情報の一例を示す説明図である。
【図５】Ｉ／Ｆ認識情報の一例を示す説明図である。
【図６】本体制御部が実行する一連の取引処理において不正検知処理が実行される様子を示すシーケンス図である。
【図７】不正検知処理の手順を示すフローチャートである。
【図８】要求傾向の学習により更新された要求傾向情報の一例を示している。
【図９】標準Ｉ／Ｆ認識処理の手順を示すフローチャートである。
【図１０】不正検知処理における処理情報の変更に使用される設定画面の一例を示す説明図である。
【図１１】第２実施例における現金自動取引システムの概略構成を示す説明図である。
【発明を実施するための形態】
【００２０】
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
【００２１】
Ａ．第１実施例：
（Ａ−１）ハードウェア構成：
図１は、本発明の一実施例としての現金自動取引装置のハードウェア構成を概略的に示す説明図である。現金自動取引装置１０（以降、「ＡＴＭ」とも呼ぶ。）ＡＴＭ１０は、例えば、金融機関や小売店、公共施設等に設置され、利用者の操作に従って金融機関等の提供する現金出納等のサービスを自動で提供する装置である。ＡＴＭ１０は、現金自動預け払い機とも呼ばれる。
【００２２】
ＡＴＭ１０は、カード機構２２と、通帳機構２４と、明細票機構２６と、硬貨機構３２と、紙幣機構３４と、顧客操作部４２と、係員操作部４４と、制御ユニット５０と、ジャーナル印字機構６０とを備える。なお、図１では、説明上必要としない他の構成部については図示を省略している。このことは、後述する図においても同様である。
【００２３】
カード機構２２は、カードスロットから挿入されたキャッシュカードから、利用者の口座番号等の情報を読み取るための機構である。通帳機構２４は、通帳スロットから挿入された通帳から、利用者の口座番号等の情報を読み取ると共に、通帳に対して取引内容等の印字を行うための機構である。明細票機構２６は、利用者の取引内容を印字した明細票を発行するための機構である。
【００２４】
硬貨機構３２は、利用者との硬貨の授受を行う機構である。紙幣機構３４は、利用者との紙幣（以降、「紙葉類」とも呼ぶ。）の授受を行う機構である。紙幣機構３４は、入金時には、利用者から挿入された紙幣を識別し、金種毎に分類した上で保管する。また、出金時には、利用者から指示された金額分の紙幣を繰り出し、入出金口から利用者へ受け渡す。
【００２５】
顧客操作部４２は、ＡＴＭ１０の前面に設けられたタッチパネルを介して、取引に必要な情報を表示すると共に、利用者からの操作を受け付けるためのユーザインタフェースである。係員操作部４４は、ＡＴＭ１０の背面に設けられたタッチパネルを介して、ＡＴＭ１０の管理のための情報を表示すると共に、管理者からの操作を受け付けるためのユーザインタフェースである。なお、顧客操作部４２と、係員操作部４４とは、タッチパネルに代えて、ディスプレイと押しボタン等で構成されてもよい。
【００２６】
ジャーナル印字機構６０は、利用者との取引内容等を所定のジャーナル用紙に逐次印字するための機構である。なお、ジャーナル印字機構６０には、紙媒体に印字する方法に代えて、データベースや、ファイル等の電子媒体を用いて記録を残す電子ジャーナルの方法を採用してもよい。
【００２７】
制御ユニット５０は、上述の各機構を制御する。制御ユニット５０は、ＣＰＵやメモリ、ハードディスク、ネットワークインタフェース等を備えるコンピュータとして構成されている。
【００２８】
（Ａ−２）ソフトウェア構成：
図２は、ＡＴＭ１０のソフトウェア構成を概略的に示す説明図である。制御ユニット５０の図示しないハードディスクには、制御ユニット５０の機能を実現するための各種の制御プログラムがインストールされている。制御ユニット５０のＣＰＵ５１は、メモリ３００をワークエリアとして用い、これらの各種制御プログラムを実行することで、図２に示す各機能部として機能する。
【００２９】
制御ユニット５０は、本体制御部１００と、不正検知部１１０と、タッチパネル制御部２００と、記憶部３００と、通信部４００と、カード機構制御部５００と、通帳機構制御部５１０と、明細票機構制御部５２０と、紙幣機構制御部６００と、硬貨機構制御部６１０と、ジャーナル制御部７００と、を機能部として備えている。
【００３０】
本体制御部１００は、利用者からの指示により、図２の各機能部を制御しつつ、ＡＴＭ１０の種々の取引処理を実行する機能を有する。不正検知部１１０は、ＡＴＭ１０に内在する不正プログラムや、ＡＴＭ１０に対する不正アクセスや、不正な標準インタフェースを検知するための不正検知処理（詳細は後述）を実行する機能を有する。
【００３１】
なお、本実施例において、「不正プログラム」とは、ＡＴＭ１０のメーカが提供する正規なプログラム以外のプログラムであって、ＡＴＭ１０の利用者や管理者、ＡＴＭ１０を運用する金融機関等が予期しない不正な出金操作や、個人情報の取得操作を行うプログラムを意味する。また、「不正アクセス」とは、既定の通信ポートとは異なる通信ポートからのＡＴＭ１０に対するアクセスや、予め許可された装置以外の装置からのＡＴＭ１０に対するアクセスを意味する。また、「不正な標準インタフェース」とは、予め許可された標準インタフェース以外の標準インタフェースを用いたＡＴＭ１０に対するアクセスを意味する。ここで、「標準インタフェース」とは、ＡＴＭ１０の各機能部間でやり取りされる電文（命令コマンド）の構造等について定められた規約を意味する。
【００３２】
タッチパネル制御部２００は、顧客操作部４２および係員操作部４４に用いられているタッチパネルの動作を制御する。具体的には、タッチパネル制御部２００は、タッチパネルに対する情報の表示や、タッチパネルに対する利用者、管理者からの入力の取得を行う。
【００３３】
記憶部３００は、不正検知部１１０による不正検知処理において用いられる情報が格納されている。具体的には、記憶部３００には、ＡＴＭ１０に内在する不正プログラムや、ＡＴＭ１０に対する不正アクセスを検知するために用いられる不正検知情報３１０および要求傾向情報３３０と、不正な標準インタフェースを検知するために用いられるＩ／Ｆ認識情報３２０と、を含んでいる。詳細は後述する。
【００３４】
通信部４００は、図示しないネットワークインタフェースを含み、所定のプロトコルに沿って外部装置（ＡＴＭ１０の外部に設けられる種々の装置。例えば、ＡＴＭ１０の管理装置や、サーバ等）との間で情報のやり取りを行う。なお、本実施例では、通信部４００は、１００ＢＡＳＥ−Ｔのネットワークインタフェースを備え、ＴＣＰ／ＩＰプロトコルに沿って外部装置との通信を行うものとする。
【００３５】
カード機構制御部５００は、カード機構２２を制御する機能を有する。同様に、通帳機構制御部５１０は通帳機構２４を、明細票機構制御部５２０は明細票機構２６を、紙幣機構制御部６００は紙幣機構３４を、硬貨機構制御部６１０は硬貨機構３２を、ジャーナル制御部７００はジャーナル印字機構６０を、それぞれ制御する機能を有する。
【００３６】
図３は、不正検知情報３１０の一例を示す説明図である。不正検知情報３１０は、不正検知部１１０の実行する不正検知処理において、不正プログラムや、不正アクセスの対策のために用いられる情報であり、テーブル形式で保持されている。不正検知情報３１０は、番号と、検知方法と、状態と、の各フィールドを含んでいる。
【００３７】
番号フィールドには、各エントリに格納されている情報を相互に識別するための識別情報として、一意な番号が付与されている。検知方法フィールドには、ＡＴＭ１０に内在する不正プログラムや、ＡＴＭ１０に対する不正アクセスを検知するための方法が格納されている。状態フィールドには、検知方法に格納された方法によって、不正プログラムや不正アクセスが検知された場合に、ＡＴＭ１０を遷移させるべき状態が格納されている。
【００３８】
例えば、図３の番号１で識別されるエントリでは、検知方法として「要求の傾向と一致しているか」を確認することを示している。なお、要求の傾向については後述する。また、確認の結果、不正が検知された場合、ＡＴＭ１０を「トレース記録しつつ、取引許可」状態とすることを示している。さらに、例えば、番号２で識別されるエントリでは、検知方法として「処理の要求を受信したポートは、ＴＣＰ／ＩＰ通信の割り当てられているポートであるか」を確認することを示している。また、確認の結果、不正が検知された場合、ＡＴＭ１０を「取引中止」状態とすることを示している。さらに、例えば、番号３で識別されるエントリでは、検知方法として「処理の要求元である装置のＩＰアドレスやＭＡＣアドレスは、ＡＴＭ１０にアクセスが許可されている装置のＩＰアドレスやＭＡＣアドレスと一致するか」を確認することを示している。また、確認の結果、不正が検知された場合、ＡＴＭ１０を「取引中止」状態とすることを示している。
【００３９】
なお、図３では、検知方法フィールドに格納された不正プログラムや不正アクセスを検知するための方法に関する情報を「方法情報」とも呼ぶ。また、状態フィールドに格納された、ＡＴＭ１０を遷移させるべき状態を示す情報を「処理情報」とも呼ぶ。さらに、ＡＴＭ１０が、「取引中止」状態や、「トレース記録しつつ、取引許可」にあることを、ＡＴＭ１０が「警戒状態」にあるとも言う。警戒状態は、ＡＴＭ１０において、通常の取引が可能な通常状態とは異なる状態である。
【００４０】
図４は、要求傾向情報３３０の一例を示す説明図である。要求傾向情報３３０は、不正検知部１１０の実行する不正検知処理において、本体制御部１００が実行する取引処理を監視することで、不正プログラムを検知するために用いられる情報であり、テーブル形式で保持されている。要求傾向情報３３０は、番号と、内部状態と、機能部と、の各フィールドを含んでいる。
【００４１】
番号フィールドには、各エントリに格納されている情報を相互に識別するための識別情報として、一意な番号が付与されている。内部状態フィールドには、本体制御部１００が実行する一連の取引処理における、ＡＴＭ１０の内部状態の名称が格納されている。
【００４２】
機能部フィールドには、さらに、ＡＴＭ１０に含まれる各機能部（図２）のうち、現金の授受を行う機能部（現金制御部）と、利用者の個人情報を取得する機能部（個人情報制御部）との名称を、それぞれ示すフィールドが含まれている。なお、図４に示した機能部のうち、暗証番号制御部と、取引選択制御部とは、本体制御部１００の内部に含まれる制御部である。各フィールドのエントリには、本体制御部１００が実行する一連の取引処理におけるＡＴＭ１０の内部状態に対応させて、各機能部における処理が可能であるか、不可能であるかを示す情報が格納されている。具体的には、ある機能部における処理が可能である場合は、当該機能部における処理を行ったのち遷移する内部状態の番号が格納されている（図４：ハッチングなし領域）。また、ある機能部における処理が不可能である場合は、空値が格納されている（図４：斜線ハッチング領域）。
【００４３】
例えば、図４の例では、番号１で識別されるエントリからは、本体制御部１００が実行する一連の取引処理におけるＡＴＭ１０の内部状態がアイドル状態である場合、カード機構制御部と、取引選択制御部による処理が可能であり、その他の制御部（紙幣機構制御部等）による処理は不可能であることがわかる。また、カード機構制御部によるカード読み取り処理が行われた後、ＡＴＭ１０は、番号３の取引選択待ち状態へ遷移することがわかる。同様に、取引選択制御部による読み取り処理が行われた後、ＡＴＭ１０は番号２のカード挿入待ち状態へ遷移することがわかる。
【００４４】
番号２で識別されるエントリからは、ＡＴＭ１０の内部状態がカード挿入待ち状態である場合、カード機構制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、カード機構制御部による処理の後、ＡＴＭ１０は、番号４の暗証番号入力待ち状態へ遷移することがわかる。番号３で識別されるエントリからは、ＡＴＭ１０の内部状態が取引選択待ち状態である場合、取引選択制御部によるによる処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、取引選択制御部による処理の後、ＡＴＭ１０は、番号４の暗証番号入力待ち状態へ遷移することがわかる。
【００４５】
番号４で識別されるエントリからは、ＡＴＭ１０の内部状態が暗証番号入力待ち状態である場合、暗証番号制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、暗証番号制御部による処理の後、ＡＴＭ１０は、番号６の出金金額入力待ち状態へ遷移することがわかる。番号５で識別されるエントリからは、ＡＴＭ１０の内部状態が暗証番号取得待ち状態である場合、暗証番号制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、暗証番号制御部による処理の後、ＡＴＭ１０は、番号６の出金金額入力待ち状態へ遷移することがわかる。
【００４６】
番号６で識別されるエントリからは、ＡＴＭ１０の内部状態が出金金額入力待ち状態である場合、暗証番号制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、暗証番号制御部による処理の後、ＡＴＭ１０は、番号７の出金要求待ち状態へ遷移することがわかる。番号７で識別されるエントリからは、ＡＴＭ１０の内部状態が出金要求待ち状態である場合、紙幣機構制御部または硬貨機構制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、紙幣機構制御部または硬貨機構制御部による処理の後、ＡＴＭ１０は、番号８のカード／明細抜き取り待ち状態へ遷移することがわかる。
【００４７】
番号８で識別されるエントリからは、ＡＴＭ１０の内部状態がカード／明細抜き取り待ち状態である場合、カード機構制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、カード機構制御部による処理の後、ＡＴＭ１０は、番号９の出金媒体抜き取り待ち状態へ遷移することがわかる。番号９で識別されるエントリからは、ＡＴＭ１０の内部状態が出金媒体抜き取り待ち状態である場合、紙幣機構制御部または硬貨機構制御部による処理のみが可能であり、その他の制御部による処理は不可能であることがわかる。また、紙幣機構制御部または硬貨機構制御部による処理の後、ＡＴＭ１０は、番号１のアイドル状態へ遷移することがわかる。
【００４８】
このように、図４に示す要求傾向情報３３０には、本体制御部１００が実行する一連の取引処理におけるＡＴＭ１０の内部状態と、その内部状態において処理を実行することが可能な制御部の種類（換言すれば、許可される処理の要求の種類）とが対応付けて記憶されている。
【００４９】
図５は、Ｉ／Ｆ認識情報３２０の一例を示す説明図である。Ｉ／Ｆ認識情報３２０は、不正検知部１１０の実行する不正検知処理において、不正な標準インタフェースの対策のために用いられる情報であり、テーブル形式で保持されている。Ｉ／Ｆ認識情報３２０は、番号と、標準インタフェース種類と、特徴と、バージョンと、状態と、の各フィールドを含んでいる。
【００５０】
番号には、各エントリに格納されている情報を相互に識別するための識別情報として、一意な番号が付与されている。標準インタフェース種類には、標準インタフェースの名称が格納されている。バージョンには、標準インタフェースのバージョンが格納されている。Ｉ／Ｆ認識情報３２０では、標準インタフェース種類と、バージョンとの組合せで、標準インタフェースが一意に特定される。特徴には、標準インタフェース種類と、バージョンとの組合せで一意に特定された標準インタフェースごとの、電文（命令コマンド）の構造の特徴が格納されている。状態には、特徴に格納された電文の構造の特徴によって、不正な標準インタフェースが検知された場合に、ＡＴＭ１０を遷移させるべき状態が格納されている。
【００５１】
例えば、図５の番号１で識別されるエントリでは、標準インタフェース１のバージョン２．０の特徴として「初回起動（ＯＰＥＮコマンド）の入力パラメータがＸ個、入力パラメータのＸ番目の引数は“ＸＸＸＸＸ”」であることと、「レジストリのＸＸＸＸ￥ＸＸＸにキー“ＸＸＸＸＸ”が格納されている」ことを示している。また、確認の結果、当該標準インタフェースに該当すると判定された場合、ＡＴＭ１０を「取引許可」状態とすることを示している。
【００５２】
さらに、番号４で識別されるエントリでは、同様の標準インタフェース１のバージョン２．０の特徴として「紙幣出金命令（ＢＣＫＢコマンド）の入力パラメータが１個、入力パラメータの１番目の引数は“ＸＸＸＸＸ”＋金種」であることを示している。また、確認の結果、当該標準インタフェースに該当すると判定された場合、ＡＴＭ１０を「取引許可」状態とすることを示している。さらに、例えば、番号ｎで識別されるエントリでは、番号１〜ｎ−１で識別される全てのエントリに格納された特徴を満たさない場合、ＡＴＭ１０を「取引中止」状態、すなわち、警戒状態とすることを示している。なお、図中のＸには、任意の値を入れることができる。
【００５３】
なお、図５では、特徴フィールドに格納された電文の構造の特徴を、不正な標準インタフェースを検知するための方法に関する「方法情報」とも呼ぶ。また、状態フィールドに格納された、ＡＴＭ１０を遷移させるべき状態を示す情報を「処理情報」とも呼ぶ。
【００５４】
（Ａ−３）不正検知処理：
（Ａ−３−１）処理のシーケンス：
図６は、本体制御部１００が実行する一連の取引処理において、不正検知処理が実行される様子を示すシーケンス図である。図６の例では、現金制御部の一例として紙幣機構制御部を、個人情報制御部の一例としてカード機構制御部を、それぞれ挙げ、本体制御部１００が、利用者から挿入されたカードを読み取った後、紙幣の出金を行う場合を例として説明する。
【００５５】
利用者からのカードの挿入を検出した本体制御部１００は、カード機構制御部５００に対して、挿入されたカードの読み取りを要求する電文（命令コマンド）を送信する（ステップＳ１２）。本体制御部１００からの要求を受信したカード機構制御部５００は、不正検知部１１０に不正検知処理の実行を要求する（ステップＳ１４）。要求を受信した不正検知部１１０は、不正検知処理（詳細は後述）を実行する（ステップＳ１６）。不正検知部１１０は、不正検知処理において不正を検知した場合はＡＴＭ１０を警戒状態とし、不正を検知しなかった場合は何もしない。不正検知部１１０は、不正検知処理終了後、処理が終了した旨を呼び出し元に通知する（ステップＳ１８）。通知を受けたカード機構制御部５００は、挿入されたカードの読み取り処理を行う（ステップＳ２０）。その後、カード機構制御部５００は、カードの読み取り処理の結果得られた個人情報（例えば、口座名義人名、カードの番号等）を本体制御部１００へ通知する（ステップＳ２２）。
【００５６】
その後、例えば、処理メニューの選択や暗証番号の入力等、利用者による更なる操作が行われ、本体制御部１００は、操作内容に応じた処理を行う。詳細は省略する。
【００５７】
利用者からの出金の指示を受けた本体制御部１００は、紙幣機構制御部６００に対して、指示された金額の紙幣を出金するよう要求する電文（命令コマンド）を送信する（ステップＳ２４）。本体制御部１００からの要求を受信した紙幣機構制御部６００は、不正検知部１１０に不正検知処理の実行を要求する（ステップＳ２６）。要求を受信した不正検知部１１０は、不正検知処理を実行する（ステップＳ２８）。詳細はステップＳ１６と同様である。不正検知部１１０は、不正検知処理終了後、処理が終了した旨を呼び出し元に通知する（ステップＳ３０）。通知を受けた紙幣機構制御部６００は、本体制御部１００から指示された金額の紙幣の出金処理を実行する（ステップＳ３２）。その後、紙幣機構制御部６００は、出金結果を本体制御部１００へ通知する（ステップＳ３４）。
【００５８】
（Ａ−３−２）不正検知処理のフローチャート：
図７は、不正検知処理の手順を示すフローチャートである。不正検知部１１０は、不正検知情報３１０を参照し、最初のエントリに格納された検知方法である「要求の傾向と一致しているか」の確認を実行する（ステップＳ１０２）。具体的には、不正検知部１１０は、ＡＴＭ１０の現在の内部状態と、実際に本体制御部１００から機能部へなされた要求の種類（例えば、カード読み取り指令や、暗証番号読み取り指令、出金指令等）とを、要求傾向情報３３０と照らし合わせることで、本体制御部１００から機能部へなされた要求が、許可される要求の種類と一致するか否かを判定する。
【００５９】
例えば、ＡＴＭ１０の現在の内部状態がアイドル状態であり、本体制御部１００からカード機構制御部５００へカード読み取り指令がなされているケース（図６：ステップＳ１２）においては、図４の通り、ＡＴＭ１０の内部状態がアイドル状態である場合、カード機構制御部による処理と取引選択制御部による処理が可能であることから、当該処理の要求は許可されるべきものである（正しい）と判定される。一方、例えば、ＡＴＭ１０の現在の内部状態がアイドル状態であり、本体制御部１００から紙幣機構制御部６００へ出金指令がなされているケースにおいては、図４の通り、ＡＴＭ１０の内部状態がアイドル状態である場合、カード機構制御部と取引選択制御部以外の制御部による処理は不可能であることから、当該処理の要求は許可されない（不正である）と判定される。
【００６０】
ステップＳ１０２において、処理の要求は許可されるべきものであると判定された場合、不正検知部１１０は、要求の傾向と一致している（すなわち、不正は検知されない）と判定し（ステップＳ１０４：ＮＯ）、処理をステップＳ１０６へ遷移させる。
【００６１】
不正検知部１１０は、不正検知情報３１０に格納された検知方法の最後まで確認を行ったか否かを判定する（ステップＳ１０６）。検知方法の最後まで確認を行っていない場合（ステップＳ１０６：ＮＯ）、不正検知部１１０は、処理をステップＳ１０２へ遷移させ、不正検知情報３１０の次のエントリに格納された検知方法についての確認、すなわち、「処理の要求を受信したポートは、ＴＣＰ／ＩＰ通信の割り当てられているポートであるか」の確認を継続する。
【００６２】
一方、検知方法の最後まで確認を終えた場合（ステップＳ１０６：ＹＥＳ）、不正検知部１１０は、処理をステップＳ１０８へ遷移させ、要求傾向を学習する（ステップＳ１０８）。具体的には、不正検知部１１０は、ステップＳ１０２において判定に用いた実際の要求の種類と、ＡＴＭ１０の内部状態との組合せが未知の（すなわち、要求傾向情報３３０に登録されていない）組合せである場合、当該情報を用いて要求傾向情報３３０の内容を更新する。なお、この更新の際は、要求傾向情報３３０の既存の情報の上書きを行ってもよいし、要求傾向情報３３０の既存の情報はそのままにして、新たな情報の追加を行ってもよい。図８は、要求傾向の学習により更新された要求傾向情報３３０の一例を示している。図８の例では、アイドル状態からの通帳の取り扱いを可能とするために、領域ＮＦの部分の情報が更新されている。
【００６３】
不正検知部１１０は、標準Ｉ／Ｆ認識処理（詳細は後述）を実行する（ステップＳ１１０）。
【００６４】
標準Ｉ／Ｆ認識処理終了後、不正検知部１１０は、呼び出し元である機能部に対して、処理が終了した旨を通知する（ステップＳ１１２）。その後、図６に示すように、取引処理が継続される。
【００６５】
ステップＳ１０２において、処理の要求は許可されないと判定された場合、不正検知部１１０は、要求の傾向と一致しない（すなわち、不正が検知された）と判定し（ステップＳ１０４：ＹＥＳ）、処理をステップＳ１１４へ遷移させる。
【００６６】
不正検知部１１０は、不正検知情報３１０のうち、該当エントリの状態フィールドの内容を参照する（ステップＳ１１４）。不正検知部１１０は、状態フィールドの内容が「取引許可」であるか否かを判定する（ステップＳ１１６）。取引許可である場合（ステップＳ１１６：ＹＥＳ）、不正検知部１１０は、ジャーナル制御部７００に対して、取引処理のトレースを記録するよう要求し（ステップＳ１１８）、ステップＳ１１０へ遷移する。一方、取引許可でない場合（ステップＳ１１６：ＮＯ）、不正検知部１１０は、本体制御部１００に対して、ＡＴＭ１０を取引中止状態とするよう要求し（ステップＳ１２０）、処理を終了させる。
【００６７】
このように、不正検知部１１０は、不正検知情報３１０の検知方法「要求の傾向と一致しているか」の確認において、要求傾向情報３３０を用いて、本体制御部１００を介して行われる、個人情報制御部または現金制御部に対する処理の要求が許可されるものであるか否かを確認する。そして、不正検知部１１０は、許可されない要求（換言すれば、要求の傾向と一致しない要求）を受信した場合、当該要求は、不正プログラムにより発行された予期しない順序の予期しない要求である（すなわち、不正が検知された）と判定し、ＡＴＭ１０を警戒状態に遷移させることができる。
【００６８】
また、不正検知部１１０は、不正検知情報３１０の検知方法「処理の要求を受信したポートは、ＴＣＰ／ＩＰ通信の割り当てられているポートであるか」および「処理の要求元である装置のＩＰアドレスやＭＡＣアドレスは、ＡＴＭ１０にアクセスが許可されている装置のＩＰアドレスやＭＡＣアドレスと一致するか」の確認において、本体制御部１００が受信した要求の出所を確認する。そして、不正検知部１１０は、本体制御部１００が上記条件に一致しない要求を受信した場合、当該要求は、不正な発行元からの不正なアクセスによる予期しない要求である（すなわち、不正が検知された）と判定し、ＡＴＭ１０を警戒状態に遷移させることができる。
【００６９】
（Ａ−３−３）標準Ｉ／Ｆ認識処理のフローチャート：
図９は、標準Ｉ／Ｆ認識処理の手順を示すフローチャートである。標準Ｉ／Ｆ認識処理は、不正検知処理のサブルーチンである。不正検知部１１０は、Ｉ／Ｆ認識情報３２０の最初のエントリに格納された特徴のうちの少なくとも１つが、本体制御部１００から各機能部への要求として送信される電文（命令コマンド）の構造と一致するかを確認する（ステップＳ２０２）。
【００７０】
ステップＳ２０２において、Ｉ／Ｆ認識情報３２０内の特徴が、要求の電文の構造と一致すると判定された場合、不正検知部１１０は、特徴と一致すると判定し（ステップＳ２０４：ＹＥＳ）、処理をステップＳ２１４へ遷移させる。
【００７１】
不正検知部１１０は、標準インタフェースの特徴を学習する（ステップＳ２１４）。具体的には、不正検知部１１０は、ステップＳ２０２において判定に用いた実際の要求の電文が、未知の（すなわち、Ｉ／Ｆ認識情報３２０に登録されていない）構造の電文である場合、当該電文の構造を用いて、Ｉ／Ｆ認識情報３２０の内容を更新する。なお、この更新の際は、Ｉ／Ｆ認識情報３２０の既存の情報の上書きを行ってもよいし、Ｉ／Ｆ認識情報３２０の既存の情報はそのままにして、新たな情報の追加を行ってもよい。さらに、不正検知部１１０は、ステップＳ２０２において判定に用いた実際の要求の電文のうち、電文の構造と、特徴フィールドの内容とは一致するが、バージョンが異なるものに対して、Ｉ／Ｆ認識情報３２０の当該エントリのバージョンフィールドの内容を更新してもよい。
【００７２】
ステップＳ２０２において、Ｉ／Ｆ認識情報３２０内の特徴が、電文の構造と一致しないと判定された場合、不正検知部１１０は、特徴と一致しないと判定し（ステップＳ２０４：ＮＯ）、処理をステップＳ２０６へ遷移させる。
【００７３】
不正検知部１１０は、Ｉ／Ｆ認識情報３２０に格納された特徴の最後まで確認を行ったか否かを判定する（ステップＳ２０６）。最後まで確認を行っていない場合（ステップＳ２０６：ＮＯ）、不正検知部１１０は、処理をステップＳ２０２へ遷移させ、Ｉ／Ｆ認識情報３２０の次のエントリに格納された特徴についての確認を継続する。
【００７４】
一方、特徴の最後まで確認を終えた場合（ステップＳ２０６：ＹＥＳ）、不正検知部１１０は、処理をステップＳ２０８へ遷移させ、Ｉ／Ｆ認識情報３２０のうち、電文の構造と、特徴フィールドの内容とが一致したエントリの状態フィールドの内容を参照する（ステップＳ２０８）。不正検知部１１０は、状態フィールドの内容が「取引中止」であるか否かを判定する（ステップＳ２１０）。取引中止である場合（ステップＳ２１０：ＹＥＳ）、不正検知部１１０は、本体制御部１００に対してＡＴＭ１０を取引中止状態とするよう要求し（ステップＳ２１８）、処理を終了させる。
【００７５】
一方、取引中止でない場合（ステップＳ２１０：ＮＯ）、不正検知部１１０は、状態フィールドの内容が「取引許可（トレース記録）」であるか否かを判定する（ステップＳ２１２）。取引許可（トレース記録）である場合（ステップＳ２１２：ＹＥＳ）、不正検知部１１０は、ジャーナル制御部７００に対して、取引処理のトレースを記録するよう要求し（ステップＳ２１６）、処理を終了させる。一方、取引許可（トレース記録）でない場合（ステップＳ２１２：ＮＯ）、不正検知部１１０は、処理を終了させる。
【００７６】
このように、不正検知部１１０は、Ｉ／Ｆ認識情報３２０に格納された、標準インタフェースごとの電文の構造の特徴を用いて、個人情報制御部または現金制御部が本体制御部１００から受信した電文の構造を監視する。そして、不正検知部１１０は、個人情報制御部または現金制御部が予期しない構造の電文を受信した場合、当該電文は、不正な標準インタフェースに基づいて発行された予期しない要求である（すなわち、不正が検知された）と判定し、ＡＴＭ１０を警戒状態に遷移させることができる。
【００７７】
（Ａ−４）処理情報変更：
図１０は、不正検知処理における処理情報の変更に使用される設定画面の一例を示す説明図である。設定画面ＥＷは、管理者による操作を取得した本体制御部１００が、係員操作部４４のディスプレイ上に表示させる画面である。管理者は、設定画面ＥＷを用いることによって、不正検知情報３１０およびＩ／Ｆ認識情報３２０の状態フィールドの内容（すなわち、処理情報）を変更することができる。
【００７８】
設定画面ＥＷは、項目表示部ＥＦと、取引中止選択ボタンＣＢと、取引許可（トレース記録）ボタンＯＢと、次へボタンＮＢと、中止ボタンＢＢとを含んでいる。項目表示部ＥＦには、不正検知情報３１０の検知方法フィールドの内容、もしくは、Ｉ／Ｆ認識情報３２０の特徴フィールドの内容を表示するためのフィールドである。取引中止選択ボタンＣＢと、取引許可（トレース記録）ボタンＯＢは、項目表示部ＥＦに表示されている検知方法（または特徴）に対して、いずれの状態（処理情報）を割り当てるかを指定するためのボタンである。次へボタンＮＢは、次の検知方法（または特徴）を設定画面ＥＷに表示させるためのボタンである。中止ボタンＢＢは、設定画面による変更処理を中止するためのボタンである。
【００７９】
図１０の例では、項目表示部ＥＦには、不正検知情報３１０の番号２で識別されるエントリの検知方法フィールドの内容が表示されている。また、不正検知情報３１０の番号２で識別されるエントリは、現在、状態フィールドの内容が「取引中止」であるため、対応する取引中止選択ボタンＣＢはグレーアウトされている。ＡＴＭ１０の管理者は、不正検知情報３１０の番号２で識別されるエントリの状態フィールドの内容を「取引許可（トレース記録）」へと変更したい場合、取引許可（トレース記録）ボタンＯＢを押下すればよい。ボタン押下により、不正検知部１１０は、該当するテーブルの、該当するエントリの状態フィールドの内容を更新する。
【００８０】
このようにすれば、ＡＴＭ１０の管理者からの処理情報の変更を受け付けることができる。この結果、ＡＴＭ１０の不正検知処理における利便性を向上させることができる。
【００８１】
以上のように、第１実施例によれば、不正検知部１１０は、不正検知処理（不正検知情報３１０の検知方法「要求の傾向と一致しているか」の確認）によって、個人情報制御部または現金制御部に対する処理の要求が許可されるものであるか否かを確認し、ＡＴＭ１０に内在する不正プログラムを検知する。そして、不正検知部１１０は、不正（不正プログラム）が検知された場合に、ＡＴＭ１０の状態を、通常の取引が可能な通常状態とは異なる警戒状態（取引中止、トレース記録）へと遷移させる。このため、ＡＴＭ１０において、ウィルスの特徴を含んだパターンファイルを用いることなく、セキュリティを向上させることができる。
【００８２】
さらに、不正検知部１１０は、不正検知処理（不正検知情報３１０の検知方法「処理の要求を受信したポート」および「処理の要求元である装置のＩＰアドレスやＭＡＣアドレス」の確認）によって、個人情報制御部または現金制御部に対する処理の要求の発行元を確認し、通信部４００を介した不正アクセスを検知する。そして、不正検知部１１０は、不正（不正アクセス）が検知された場合に、ＡＴＭ１０の状態を警戒状態へと遷移させる。このため、ＡＴＭ１０において、セキュリティをより向上させることができる。
【００８３】
さらに、不正検知部１１０は、不正検知処理（標準Ｉ／Ｆ認識処理）によって、個人情報制御部または現金制御部に対する処理の要求に用いられる電文の構造を監視し、不正な標準インタフェースの存在を検知する。そして、不正検知部１１０は、不正（不正な標準インタフェース）が検知された場合に、ＡＴＭ１０を警戒状態へと遷移させる。このため、ＡＴＭ１０において、セキュリティをより向上させることができる。
【００８４】
さらに、記憶部３００には、不正プログラムと、不正アクセスを検知するために用いられる不正検知情報３１０と、要求傾向情報３３０とが記憶され、また、不正な標準インタフェースを検知するために用いられるＩ／Ｆ認識情報３２０が記憶されている。不正検知情報３１０には、不正プログラムと、不正アクセスを検知するための方法情報（検知方法フィールド）と、警戒状態において実行される処理の内容に関する処理情報（状態フィールド）とが予め関連付けて記憶されている。Ｉ／Ｆ認識情報３２０には、不正な標準インタフェースを検知するための方法情報（特徴フィールド）と、警戒状態において実行される処理の内容に関する処理情報（状態フィールド）とが予め関連付けて記憶されている。これらの結果、不正検知部１１０は、不正を検知する際に用いた方法情報に応じて、警戒状態において、それぞれ個別の処理を実行することが可能となり、処理の柔軟性を向上させることができる。
【００８５】
さらに、不正検知部１１０は、不正検知処理（図７）のステップＳ１０８において、個人情報制御部または現金制御部に対する処理の要求が、未知の種類である場合に、当該要求の種類と順序を学習する。また、不正検知部１１０は、不正検知処理の標準Ｉ／Ｆ認識処理（図９）のステップＳ２１４において、個人情報制御部または現金制御部に対する処理の要求が、未知の電文構造である場合に、当該要求の電文構造を学習する。この結果、不正検知情報３１０、Ｉ／Ｆ認識情報３２０、要求傾向情報３３０の自動更新が可能となり、ＡＴＭ１０の管理に要するコストを低減させることができる。
【００８６】
さらに、不正検知部１１０は、不正（不正プログラム、不正アクセス、不正な標準インタフェース）を検知した場合、ＡＴＭ１０の状態を、休止状態（取引中止状態）と、トレース記録状態のいずれかに遷移させることができる。
【００８７】
Ｂ．第２実施例：
本発明の第２実施例では、現金自動取引装置が、外部に設けられたサーバに接続され、当該サーバによって不正検知処理を行う構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００８８】
（Ｂ−１）ネットワーク構成：
図１１は、第２実施例における現金自動取引システム１０００の概略構成を示す説明図である。現金自動取引システム１０００は、ＡＴＭ１０ａと、サーバ２０とを備えている。ＡＴＭ１０ａと、サーバ２０とは、ローカルエリアネットワーク（ＬＡＮ）ＮＮによって接続されている。
【００８９】
ＡＴＭ１０ａは、第１実施例（図１、２）のＡＴＭ１０と、不正検知部１１０および記憶部３００を備えない点において異なる。サーバ２０は、図示しないＣＰＵやメモリ、ハードディスク、ネットワークインタフェース等を備えるサーバコンピュータとして構成されている。サーバ２０は、不正検知部１１０と、記憶部３００を、機能部として備えている。不正検知部１１０と、記憶部３００とは、第１実施例と同様の機能を有している。
【００９０】
（Ｂ−２）不正検知処理：
第２実施例では、ＡＴＭ１０ａの本体制御部１００が実行する一連の取引処理において、不正検知処理の部分だけをサーバ２０が行うこととなる。具体的には、図６のステップＳ１４において、カード機構制御部５００は、通信部４００を介して、サーバ２０の不正検知部１１０に対して不正検知処理の実行を要求する。また、図６のステップＳ１８において、サーバ２０の不正検知部１１０は、通信部（図示せず）を介して、処理が終了した旨を呼び出し元（ＡＴＭ１０ａのカード機構制御部５００）に通知する。ステップＳ２６、Ｓ３０についても同様である。
【００９１】
以上のように、第２実施例によれば、不正検知部１１０を外部のサーバに備えるＡＴＭ１０ａにおいても、第１実施例と同様の効果を得ることができる。さらに、このような構成とすれば、外部に設けられたサーバ２０で一括して不正プログラムや不正アクセス、不正な標準インタフェースの検知を行うことができるため、ＡＴＭ１０ａの処理負荷を軽減させることができる。さらに、不正プログラムや不正アクセス、不正な標準インタフェースに関する情報（不正検知情報３１０、Ｉ／Ｆ認識情報３２０、要求傾向情報３３０）をサーバ２０側で一元管理できるため、複数のＡＴＭ１０ａを備えるシステムとして考えた場合、運用が容易な現金自動取引システムを構築することができる。
【００９２】
Ｃ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。
【００９３】
Ｃ１．変形例１：
上記実施例では、現金自動取引装置、および、現金自動取引システムの構成や機能を説明した。しかし、上記実施例で示した態様は、あくまで一例に過ぎず、本発明の要旨を逸脱しない範囲において種々の変形をすることができる。
【００９４】
例えば、現金自動取引装置は、ＵＳＢインタフェースや無線通信部等の他の構成を備えてもよい。
【００９５】
例えば、現金自動取引装置は、さらに、パーソナルコンピュータ等から構成される監視装置に接続されてもよい。この場合、不正検知部は、不正検知処理の結果として不正が検知された場合に、不正が検知された旨と、必要な情報とを、監視装置に対して送信することが好ましい。そうすれば、現金自動取引装置における異常（不正の検知）に関する情報を取得しやすくなる。
【００９６】
例えば、上記構成を、現金自動取引装置に代えて、各種の自動販売機や自動券売機、両替機等に転用してもよい。
【００９７】
Ｃ２．変形例２：
上記実施例では、本体制御部が実行する一連の取引処理において、不正検知処理が実行される様子の一例（図６）を示した。しかし、不正検知処理が実行されるタイミングは図６の場合に限られない。具体的には、不正検知処理は、図４に挙げた現金制御部や、個人情報制御部が、本体制御部からの要求を受信した都度、ステップＳ１４、Ｓ２６と同様に、要求を受信した機能部によって呼び出されて実行される。
【００９８】
図６の例では、現金制御部や、個人情報制御部に対して要求があれば、その都度不正検知処理が実行されるものとした。しかし、例えば、一連の取引処理の最初にのみ、不正検知処理を実行し、その後の現金制御部や、個人情報制御部に対する要求については、不正検知処理を省略してもよい。さらに、例えば、取引が行われる時間帯や、混雑状況等に応じて、不正検知処理の実行有無を切り替えても良い。
【００９９】
また、例えば、要求の送信元装置のＩＰアドレスやＭＡＣアドレスを、予め作成されたブラックリストと照合し、当該ブラックリストに該当する要求にのみ、不正検知処理を実行してもよい。さらに、例えば、要求の送信元装置のＩＰアドレスやＭＡＣアドレスを、予め作成されたホワイトリストと照合し、当該ホワイトリストに該当しない要求にのみ、不正検知処理を実行してもよい。
【０１００】
Ｃ３．変形例３：
上記実施例の不正検知処理（図７）および標準Ｉ／Ｆ認識処理（図９）では、不正を検知した不正検知部が、本体制御部に対して現金自動取引装置を警戒状態とするよう要求するものとした。しかし、例えば、不正検知部が不正検知処理の結果、不正を検知した場合は、その旨を呼び出し元の機能部、もしくは、本体制御部に通知することとし、通知された機能部または本体制御部が、現金自動取引装置を通常状態から警戒状態へ遷移させてもよい。
【０１０１】
Ｃ４．変形例４：
上記実施例の不正検知処理（図７）のステップＳ１０８、および、標準Ｉ／Ｆ認識処理（図９）のステップＳ２１４では、未知の要求を学習することとした。しかし、当該学習処理は省略可能である。
【０１０２】
Ｃ５．変形例５：
上記実施例の不正検知処理（図７）および標準Ｉ／Ｆ認識処理（図９）では、不正検知情報およびＩ／Ｆ認識情報に格納された全ての方法情報についての確認を行うものとしたが、この点に関しても種々の変形が可能である。例えば、方法情報に対して優先順位を付与し、優先順位が高い順番に確認を行うこととしてもよい。
【０１０３】
Ｃ６．変形例６：
上記実施例では、現金自動取引装置の警戒状態として、休止状態（取引中止状態）と、トレース記録状態とを例示した。しかし、警戒状態は、通常の取引が可能な通常状態と異なっていれば良く、種々の状態を採用することができる。
【０１０４】
例えば、不正を検知した不正検知部は、本体制御部や呼び出し元機能部に対して、エラーである旨の応答を返し、当該取引処理のみを続行させない構成とすることもできる。また、不正を検知した不正検知部は、本体制御部や呼び出し元機能部に対して、最大出金枚数に制限をつける旨の要求を行ってもよい。さらに、不正を検知した不正検知部は、現金自動取引装置のネットワーク接続を遮断してもよい。
【符号の説明】
【０１０５】
１０…現金自動取引装置（ＡＴＭ）
２０…サーバ
２２…カード機構
２４…通帳機構
２６…明細票機構
３２…硬貨機構
３４…紙幣機構
４２…顧客操作部
４４…係員操作部
５０…制御ユニット
６０…ジャーナル印字機構
１００…本体制御部
１１０…不正検知部
２００…タッチパネル制御部
３００…記憶部
３１０…不正検知情報
３２０…Ｉ／Ｆ認識情報
３３０…要求傾向情報
４００…通信部
５００…カード機構制御部
５１０…通帳機構制御部
５２０…明細票機構制御部
６００…紙幣機構制御部
６１０…硬貨機構制御部
７００…ジャーナル制御部
１０００…現金自動取引システム
ＥＷ…設定画面
【特許請求の範囲】
【請求項１】
自動取引装置であって、
前記自動取引装置の各部を制御する本体制御部と、
前記本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、
前記本体制御部からの要求に応じて、現金の授受を行う現金制御部と、
前記本体制御部を介した、前記個人情報制御部または前記現金制御部に対する処理の要求の種類と、一連の取引処理における前記自動取引装置の内部状態と、を用いて、前記要求が前記自動取引装置に内在する不正プログラムによるものであると検知した場合に、前記自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる不正検知部と、
を備える、自動取引装置。
【請求項２】
請求項１記載の自動取引装置であって、さらに、
ネットワークを介して外部装置に接続され、前記外部装置との間で情報のやりとりを行う通信部を備え、
前記不正検知部は、さらに、
前記本体制御部を介した、前記個人情報制御部または前記現金制御部に対する処理の要求の発行元を確認し、前記要求が前記通信部を介した不正アクセスによるものであると検知した場合に、前記自動取引装置を前記警戒状態へと遷移させる、自動取引装置。
【請求項３】
請求項１または２記載の自動取引装置であって、
前記不正検知部は、さらに、
前記本体制御部から前記個人情報制御部または前記現金制御部に対する処理の要求に用いられる電文の構造を確認し、前記要求に用いられている標準インタフェースが不正な標準インタフェースであると検知した場合に、前記自動取引装置を前記警戒状態へと遷移させる、自動取引装置。
【請求項４】
請求項１ないし３のいずれか一項記載の自動取引装置であって、さらに、
前記不正検知部における処理のために用いられる情報であって、前記不正プログラムと、前記不正アクセスと、前記不正な標準インタフェースと、の少なくともいずれか１つを検知するための方法に関する方法情報と、前記警戒状態において実行される処理の内容に関する処理情報と、が予め関連付けて記憶された記憶部を備える、自動取引装置。
【請求項５】
請求項１ないし４のいずれか一項記載の自動取引装置であって、
前記不正検知部は、さらに、
前記個人情報制御部または前記現金制御部に対する処理の要求が、未知の種類である場合と、未知の発行元から発行されている場合と、未知の電文構造である場合と、の少なくともいずれかである場合に、当該要求を学習する、自動取引装置。
【請求項６】
請求項１ないし５のいずれか一項記載の自動取引装置であって、
前記警戒状態において実行される処理は、前記自動取引装置の休止処理と、前記自動取引装置における各処理のトレース記録処理と、のいずれか一方である、自動取引装置。
【請求項７】
請求項４ないし６のいずれか一項記載の自動取引装置であって、さらに、
前記自動取引装置の管理者からの前記処理情報の変更を受け付けるための係員操作部を備える、自動取引装置。
【請求項８】
請求項１ないし７のいずれか一項記載の自動取引装置であって、
前記不正検知部は、さらに、
前記不正プログラムと、前記不正アクセスと、前記不正な標準インタフェースと、の少なくともいずれか１つを検知した場合に、前記外部装置に対して、不正を検知した旨を通知する、自動取引装置。
【請求項９】
現金自動取引システムであって、
自動取引装置と、
サーバと、
を備え、
前記自動取引装置は、
前記自動取引装置の各部を制御する本体制御部と、
前記本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、
前記本体制御部からの要求に応じて、現金の授受を行う現金制御部と、
を備え、
前記サーバは、
前記個人情報制御部または前記現金制御部が受信した処理の要求の種類と、一連の取引処理における前記自動取引装置の内部状態と、を用いて、前記要求が、前記自動取引装置に内在する不正プログラムによるものであるか否かを検知する不正検知部を備え、
前記個人情報制御部と、前記現金制御部とは、
前記本体制御部からの処理の要求を受信した際に、前記サーバへ、当該要求が前記不正プログラムによるものであるか否かを問い合わせ、
前記不正検知部は、
当該要求が前記不正プログラムによるものであると検知した場合に、前記自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる、現金自動取引システム。
【請求項１】
自動取引装置であって、
前記自動取引装置の各部を制御する本体制御部と、
前記本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、
前記本体制御部からの要求に応じて、現金の授受を行う現金制御部と、
前記本体制御部を介した、前記個人情報制御部または前記現金制御部に対する処理の要求の種類と、一連の取引処理における前記自動取引装置の内部状態と、を用いて、前記要求が前記自動取引装置に内在する不正プログラムによるものであると検知した場合に、前記自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる不正検知部と、
を備える、自動取引装置。
【請求項２】
請求項１記載の自動取引装置であって、さらに、
ネットワークを介して外部装置に接続され、前記外部装置との間で情報のやりとりを行う通信部を備え、
前記不正検知部は、さらに、
前記本体制御部を介した、前記個人情報制御部または前記現金制御部に対する処理の要求の発行元を確認し、前記要求が前記通信部を介した不正アクセスによるものであると検知した場合に、前記自動取引装置を前記警戒状態へと遷移させる、自動取引装置。
【請求項３】
請求項１または２記載の自動取引装置であって、
前記不正検知部は、さらに、
前記本体制御部から前記個人情報制御部または前記現金制御部に対する処理の要求に用いられる電文の構造を確認し、前記要求に用いられている標準インタフェースが不正な標準インタフェースであると検知した場合に、前記自動取引装置を前記警戒状態へと遷移させる、自動取引装置。
【請求項４】
請求項１ないし３のいずれか一項記載の自動取引装置であって、さらに、
前記不正検知部における処理のために用いられる情報であって、前記不正プログラムと、前記不正アクセスと、前記不正な標準インタフェースと、の少なくともいずれか１つを検知するための方法に関する方法情報と、前記警戒状態において実行される処理の内容に関する処理情報と、が予め関連付けて記憶された記憶部を備える、自動取引装置。
【請求項５】
請求項１ないし４のいずれか一項記載の自動取引装置であって、
前記不正検知部は、さらに、
前記個人情報制御部または前記現金制御部に対する処理の要求が、未知の種類である場合と、未知の発行元から発行されている場合と、未知の電文構造である場合と、の少なくともいずれかである場合に、当該要求を学習する、自動取引装置。
【請求項６】
請求項１ないし５のいずれか一項記載の自動取引装置であって、
前記警戒状態において実行される処理は、前記自動取引装置の休止処理と、前記自動取引装置における各処理のトレース記録処理と、のいずれか一方である、自動取引装置。
【請求項７】
請求項４ないし６のいずれか一項記載の自動取引装置であって、さらに、
前記自動取引装置の管理者からの前記処理情報の変更を受け付けるための係員操作部を備える、自動取引装置。
【請求項８】
請求項１ないし７のいずれか一項記載の自動取引装置であって、
前記不正検知部は、さらに、
前記不正プログラムと、前記不正アクセスと、前記不正な標準インタフェースと、の少なくともいずれか１つを検知した場合に、前記外部装置に対して、不正を検知した旨を通知する、自動取引装置。
【請求項９】
現金自動取引システムであって、
自動取引装置と、
サーバと、
を備え、
前記自動取引装置は、
前記自動取引装置の各部を制御する本体制御部と、
前記本体制御部からの要求に応じて、利用者の個人情報を取得する個人情報制御部と、
前記本体制御部からの要求に応じて、現金の授受を行う現金制御部と、
を備え、
前記サーバは、
前記個人情報制御部または前記現金制御部が受信した処理の要求の種類と、一連の取引処理における前記自動取引装置の内部状態と、を用いて、前記要求が、前記自動取引装置に内在する不正プログラムによるものであるか否かを検知する不正検知部を備え、
前記個人情報制御部と、前記現金制御部とは、
前記本体制御部からの処理の要求を受信した際に、前記サーバへ、当該要求が前記不正プログラムによるものであるか否かを問い合わせ、
前記不正検知部は、
当該要求が前記不正プログラムによるものであると検知した場合に、前記自動取引装置を、通常の取引が可能な通常状態とは異なる警戒状態へと遷移させる、現金自動取引システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２０１２−２３８２５４（Ｐ２０１２−２３８２５４Ａ）
【公開日】平成２４年１２月６日（２０１２．１２．６）
【国際特許分類】
【出願番号】特願２０１１−１０７９５７（Ｐ２０１１−１０７９５７）
【出願日】平成２３年５月１３日（２０１１．５．１３）
【出願人】（５０４３７３０９３）日立オムロンターミナルソリューションズ株式会社 (1,225)
【Ｆターム（参考）】
【公開日】平成２４年１２月６日（２０１２．１２．６）
【国際特許分類】
【出願日】平成２３年５月１３日（２０１１．５．１３）
【出願人】（５０４３７３０９３）日立オムロンターミナルソリューションズ株式会社 (1,225)
【Ｆターム（参考）】
[ Back to top ]