認証装置、認証システム及びプログラム
【課題】セキュリティを高めるとともに、排除したい端末装置の動作を確実に排除することである。
【解決手段】センタサーバ１０は、ＳＡＭ４０が接続された電子機器３０と通信を行う第１の通信手段と、ＳＡＭ４０が有する鍵Ｔ１に相応する鍵Ｔ１を記憶する第１の記憶手段と、鍵Ｔ１で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を電子機器３０から受信し、当該暗号化された第１の情報を前記記憶された鍵Ｔ１で復号化し、当該復号化した第１の情報と前記第２の情報とが対応するか否かを判別し、対応する場合に、ＳＡＭ４０のデータの使用を伴う動作を電子機器３０に許可する動作可否情報を鍵Ｔ１で暗号化して電子機器３０に送信する第１の制御手段と、を備える。
【解決手段】センタサーバ１０は、ＳＡＭ４０が接続された電子機器３０と通信を行う第１の通信手段と、ＳＡＭ４０が有する鍵Ｔ１に相応する鍵Ｔ１を記憶する第１の記憶手段と、鍵Ｔ１で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を電子機器３０から受信し、当該暗号化された第１の情報を前記記憶された鍵Ｔ１で復号化し、当該復号化した第１の情報と前記第２の情報とが対応するか否かを判別し、対応する場合に、ＳＡＭ４０のデータの使用を伴う動作を電子機器３０に許可する動作可否情報を鍵Ｔ１で暗号化して電子機器３０に送信する第１の制御手段と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証装置、認証システム及びプログラムに関する。
【背景技術】
【０００２】
従来、顧客との取引を行う端末が実施されている。端末としては、耐タンパモジュールを有する端末が考えられている（例えば、特許文献１参照）。耐タンパ性は、取引端末の筐体のこじ開けなどの不正アクセスから機密情報の漏洩を防止する能力である。耐タンパ性は、例えば、配線を樹脂で固めることで、配線からの信号盗聴を不可能にしたり、所定の検知手段により端末の筐体が開けられたことが検知されると、内部のフラッシュＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）の内容を破壊する機能を付加することなどにより実現されている。
【０００３】
このため、不正な第三者に耐タンパモジュールが開けられても、その中の記録媒体に記録されたデータを盗まれることがない。
【特許文献１】特開２００３−１６５２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、今日、電子機器（端末装置）を用いた取引等が広がりを見せており、従来の耐タンパ性を有する端末よりもセキュリティを高める要請がある。
【０００５】
例えば、音楽や画像コンテンツの購入のための電子機器は、従来の店頭に設置されたクレジットカード端末とは台数も、その価格も異なる。このような端末は、利用者からは音楽／画像プレーヤに見えるが、コンテンツを購入／決済可能という意味では取引端末装置である。
【０００６】
また、プリペイドやクレジットを応用した小額電子決済方式は、従来型の取引端末装置の応用範囲を広げ、その設置台数が増加するとともに電子機器自体の価格も引き下げられつつある。このような電子機器は、価格が低下し入手しやすくなるとともにリバースエンジニアリングの対象になりやすいという特性を持つ。従って、筐体をこじ開けてもその電子機器そのものは利用する必要がなく、その解析結果を用いて他の電子機器に細工を施すというような事態が想定できるようになってきている。
【０００７】
このため、低価格な電子機器であっても、従来の構成を凌ぐ、強力な耐タンパー性とセキュリティ対策との要請がある。
【０００８】
本発明の課題は、セキュリティを高めるとともに、排除したい端末の動作を確実に排除することである。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、請求項１に記載の発明の認証装置は、
耐タンパモジュールが接続された端末装置と通信を行う第１の通信手段と、
前記耐タンパモジュールが有する第１の鍵に相応する第２の鍵を記憶する第１の記憶手段と、
前記第１の鍵で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を前記第１の通信手段を介して当該端末装置から受信し、当該暗号化された第１の情報を前記記憶された第２の鍵で復号化し、当該復号化した第１の情報と前記第２の情報とが対応するか否かを判別し、対応する場合に、前記耐タンパモジュールのデータの使用を伴う動作を当該端末装置に許可する動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する第１の制御手段と、
を備える。
【００１０】
請求項２に記載の発明の認証システムは、請求項１に記載の認証装置において、
前記耐タンパモジュール及び前記端末装置と、を備え、
前記耐タンパモジュールは、
前記第１の鍵を含むデータを記憶する第２の記憶手段と、
情報の暗号化又は復号化を行う暗号演算手段と、
第１の情報を前記暗号演算手段に前記第１の鍵で暗号化させ、当該暗号化された第１の情報を前記端末装置に送出する第２の制御手段と、を備え
前記端末装置は、
前記認証装置と通信を行う第２の通信手段と、
前記暗号化された第１の情報を前記耐タンパモジュールから取得して第２の情報とともに前記第１の通信手段を介して前記認証装置に送信し、前記暗号化された動作可否情報を前記認証装置から受信し、当該暗号化された動作可否情報を前記耐タンパモジュールに送出する第３の制御手段と、を備え、
前記第２の制御手段は、前記暗号化された動作可否情報を前記端末装置から取得して前記暗号演算手段に前記第１の鍵で復号化させ、復号化された動作可否情報が動作許可であるか否かを判別し、動作許可である場合に、前記第２の記憶手段に記憶されたデータの使用を前記端末装置に許可設定する。
【００１１】
請求項３に記載の発明は、請求項２に記載の認証システムにおいて、
前記第１の制御手段は、前記一致した第１の情報が、当該第１の情報の送信元の端末装置及び前記認証装置の関係に関する第３の情報に対応するか否かを判別し、当該第３の情報に対応する場合に、前記動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する。
【００１２】
請求項４に記載の発明は、請求項２又は３に記載の認証システムにおいて、
前記第１の制御手段は、前記第２の情報に対応した第１の情報が、当該第１の情報の送信元の端末装置及び前記認証装置の関係に関する第３の情報に対応するか否かを判別し、当該第３の情報に対応する場合に、前記動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する。
【００１３】
請求項５に記載の発明は、請求項４に記載の認証システムにおいて、
前記端末装置は、前記認証装置と接続されて前記第３の情報を有する外部機器に接続され、
前記第１の制御手段は、前記第３の情報を前記外部機器から取得する。
【００１４】
請求項６に記載の発明は、請求項２から５のいずれか一項に記載の認証システムにおいて、
前記端末装置は、
第３の記憶手段を備え、
前記第３の制御手段は、前記第２の制御手段により前記第２の記憶手段に記憶されたデータが使用許可された場合に、処理に用いる第４の情報が前記第３の記憶手段に記憶されているか否かを判別し、当該第４の情報が記憶されていない場合に、前記第２の通信手段を介して、当該第４の情報の要求を前記認証装置に送信して当該第４の情報を受信し、
前記第１の制御手段は、前記第１の通信手段を介して、前記第４の情報の要求を前記端末装置から受信すると当該第４の情報を当該端末装置に送信する。
【００１５】
請求項７に記載の発明は、請求項２から６のいずれか一項に記載の認証システムにおいて、
前記端末装置に接続される第４の記憶手段を備え、
前記第３の制御手段は、前記第２の制御手段により前記第２の記憶手段に記憶されたデータが使用許可された場合に、各種処理を行い、各種処理結果のデータを前記第４の記憶手段に記憶させる。
【００１６】
請求項８に記載の発明は、請求項６又は７に記載の認証システムにおいて、
前記第１の記憶手段は、前記第４の情報を前記端末装置に提供することを許可するか否かを示す提供可否情報を記憶し、
前記第１の制御手段は、前記第１の記憶手段に記憶された提供可否情報に基づいて前記第４の情報が提供許可であるか否かを判別し、提供許可である場合に、動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する。
【００１７】
請求項９に記載の発明のプログラムは、
コンピュータを、
耐タンパモジュールが接続された端末装置と通信を行う第１の通信手段、
前記耐タンパモジュールが有する第１の鍵に相応する第２の鍵を記憶する第１の記憶手段、
前記第１の鍵で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を前記第１の通信手段を介して当該端末装置から受信し、当該暗号化された第１の情報を前記記憶された第２の鍵で復号化し、当該復号化した第１の情報が前記第２の情報に対応するか否かを判別し、対応する場合に、前記耐タンパモジュールのデータの使用を伴う動作を当該端末装置に許可する動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する第１の制御手段、
として機能させる。
【発明の効果】
【００１８】
本発明によれば、耐タンパモジュールによりセキュリティを高めることができるとともに、動作可否情報により排除したい端末装置の動作を確実に排除できる。
【発明を実施するための最良の形態】
【００１９】
以下、添付図面を参照して本発明に係る好適な第１の実施の形態及び変形例並びに第２、第３の実施の形態を詳細に説明する。なお、本発明は、図示例に限定されるものではない。
【００２０】
（第１の実施の形態）
図１〜図８を参照して、本発明に係る第１の実施の形態を説明する。先ず、図１〜図４を参照して、本実施の形態の装置構成を説明する。図１に、本実施の形態の認証システムとしての決済システム１の構成を示す。
【００２１】
図１に示すように、決済システム１は、認証装置としてのセンタサーバ１０と、端末装置としての電子機器３０と、耐タンパモジュールとしてのＳＡＭ（Secure Application Module）４０と、を備えて構成される。センタサーバ１０は、通信ネットワークＮを介して電子機器３０と通信接続されている。電子機器３０は、ＳＡＭ４０と通信接続されている。
【００２２】
決済システム１では、例えば、店舗等に、電子機器３０、ＳＡＭ４０が設置され、カード会社等のセンタサーバ１０に管理される。カード情報を有するカード情報を有するクレジットカード等のＩＣ（Integrated Circuit）カードにより顧客が商品購入の決済をする場合に、電子機器３０でＩＣカードの情報を読み取りセンタサーバ１０に送信する。センタサーバ１０は、ＩＣカードの認証後に決済処理を行う。本実施の形態では、電子機器３０、ＳＡＭ４０の認証を行い、正当な電子機器３０、ＳＡＭ４０である場合に、ＩＣカードの認証等を含む決済処理を行う。
【００２３】
ＳＡＭ４０は、耐タンパ性を有するモジュールであり、中に記憶しているデータを第三者が読み取り又は変更しようとする異常状態を検出し、異常検出時に、その記憶しているデータを自動的に消去する。また、ＳＡＭ４０は、異常検出時に、ＳＡＭ４０自体の動作を停止させる構成等としてもよい。通信ネットワークＮは、例えば、ＷＡＮ（Wide Area Network）とするが、ＬＡＮ（Local Area Network）等の通信ネットワークとしてもよく、電話回線、専用線、移動体通信網、通信衛星網、ＣＡＴＶ（Cable Television）回線、インターネットプロバイダ等を含めてもよい。
【００２４】
次いで、センタサーバ１０の内部構成を説明する。図２に、センタサーバ１０の内部構成を示す。
【００２５】
図２に示すように、センタサーバ１０は、第１の制御手段としてのＣＰＵ（Central Processing Unit）１１と、入力部１２と、ＲＡＭ１３と、表示部１４と、第１の記憶手段としての記憶部１５と、第１の通信手段としての通信部１６と、を備えて構成され、各部がバス１７を介して接続される。
【００２６】
ＣＰＵ１１は、センタサーバ１０の各部を中央制御する。ＣＰＵ１１は、記憶部１５に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ１３に展開し、ＲＡＭ１３に展開されたプログラムとの協働で、各種処理を実行する。
【００２７】
ＣＰＵ１１は、第１の端末管理プログラムとの協働で、暗号化された第１の情報としての暗号化端末ＩＤ及び第２の情報としての端末ＩＤを電子機器３０から受信し、暗号化端末ＩＤを鍵Ｔ１で復号化し、復号化した端末ＩＤ及び受信した端末ＩＤが一致し且つ許可情報が許可であるか否かを判別し、端末ＩＤが一致し許可情報が許可である場合に、動作ＯＫ情報を鍵Ｔ１で暗号化して電子機器３０に送信する。
【００２８】
入力部１２は、カーソルキー、文字、数字入力キー及び各種機能キーなどを備えたキーボードを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ１１に出力する。また、入力部１２は、マウス等のポインティングデバイスを含み、位置入力信号を受け付けてＣＰＵ１１に送信することとしてもよい。
【００２９】
ＲＡＭ１３は、揮発性のメモリであり、実行される各種プログラムやこれら各種プログラムに係るデータ等を格納するワークエリアを有し、その情報を一時的に格納する。
【００３０】
表示部１４は、ＬＣＤ（Liquid Crystal Display）、ＣＲＴ（Cathode Ray Tube）等で構成され、ＣＰＵ１１からの表示信号に従って画面表示を行う。
【００３１】
記憶部１５は、磁気記録媒体を有するＨＤＤ（Hard Disk Drive）等により構成され、各種プログラム及び各種データを記録媒体から読み出し及び書き込み可能に記憶する。
【００３２】
また、記憶部１５は、第１の端末管理プログラムと、後述する認証テーブル１５１と、鍵Ｔ１と、を記憶する。
【００３３】
通信部１６は、モデム、ＴＡ（Terminal Adapter）、ルータ、ネットワークカード等により構成され、接続される通信ネットワークＮ上の電子機器３０等の外部機器と情報を送受信する。
【００３４】
次いで、電子機器３０の構成を説明する。図３に、電子機器３０の内部構成を示す。
【００３５】
図３に示すように、電子機器３０は、第３の制御手段としてのＣＰＵ３１と、入力部３２と、ＲＡＭ３３と、表示部３４と、第３の記憶手段としてのフラッシュメモリ３５と、第２の通信手段としての通信部３６と、接続部３７と、カードリーダ３８と、接続部３９と、を備えて構成され、各部がバス３９ａを介して接続される。
【００３６】
ＣＰＵ３１、入力部３２、ＲＡＭ３３については、センタサーバ１０のＣＰＵ１１、入力部１２、ＲＡＭ１３の構成と同様であり、異なる部分を主として説明する。
【００３７】
ＣＰＵ３１は、フラッシュメモリ３５に記憶された第１の情報処理プログラムとの協働で、端末ＩＤを取得し鍵Ｔ１で暗号化させ、暗号化端末ＩＤ及び端末ＩＤをセンタサーバ１０に送信し、センタサーバ１０から暗号化情報を受信してＳＡＭ４０に鍵Ｔ１で復号化させ、ＳＡＭ使用許可が設定された場合に、ＳＡＭ４０のデータ（鍵Ｄ１，Ｒ）を用いて、プログラム、暗号化データｄ１等のデータを復号化して各種処理を行う。
【００３８】
入力部３２は、数字入力キー及び各種機能キーなどを備えたキーパッドを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ３１に出力する。表示部３４は、ＬＣＤ等で構成され、ＣＰＵ３１からの表示信号に従って画面表示を行う。また、入力部３２は、表示部３４と一体的にタッチパネルを構成することとしてもよい。
【００３９】
フラッシュメモリ３５は、各種プログラム及び各種データを読み出し及び書き込み可能に記憶する。フラッシュメモリ３５は、第１の情報処理プログラムと、鍵Ｄ１で暗号化された暗号化データｄ１と、を記憶する。
【００４０】
通信部３６は、通信制御部により構成され、通信ネットワークＮを介してセンタサーバ１０と情報を送受信する。
【００４１】
接続部３７は、ソケット等から構成され、ＳＡＭ４０が接続され、ＣＰＵ３１の指示により、接続されたＳＡＭ４０と情報を送受信する。
【００４２】
カードリーダ３８は、図示しないＣＰＵ、ＲＡＭ、ＲＯＭ、フラッシュメモリ、接続部等を備える。カードリーダ３８において、ＲＯＭから読み出されＲＡＭに展開されたプログラムとＣＰＵとの協働で各種処理を実行する。また、接続部は、接続されたＩＣカード６０の情報を読み取る。カードリーダ３８において、フラッシュメモリには、後述する鍵Ｒが記憶されており、ＣＰＵは、ＩＣカード６０から読み出した情報を、鍵Ｒを使って暗号化し、暗号化した情報を電子機器３０を介してＳＡＭ４０に送信する。
【００４３】
ＩＣカード６０は、各顧客が有する決済用の記録媒体としてのカードである。ＩＣカード６０は、接触式又は非接触式のカードであり、各ＩＣカードでユニークなカード情報を記憶するＩＣチップを備える。決済用の記録媒体としては、ＩＣカード６０に代えて、磁気カード、生体認証カード等、他の記録媒体としてもよい。
【００４４】
接続部３９は、ソケット等から構成され、メモリカード７０が接続され、ＣＰＵ３１の指示により、接続されたメモリカード７０に記録された各種情報の読み出しや、情報の書き込みを行う。
【００４５】
次いで、ＳＡＭ４０の構成を説明する。図４に、ＳＡＭ４０の内部構成を示す。
【００４６】
図４に示すように、ＳＡＭ４０は、第２の制御手段としてのＣＰＵ４１と、暗号演算手段としての暗号演算部４２と、ＲＡＭ４３と、異常検出部４４と、ＲＯＭ４５と、通信部４６と、第２の記憶手段としてのフラッシュメモリ４７と、を備えて構成され、各部がバス４８を介して接続される。
【００４７】
ＣＰＵ４１、ＲＡＭ４３、フラッシュメモリ４７については、電子機器３０のＣＰＵ３１、ＲＡＭ３３、フラッシュメモリ３５の構成と同様であり、異なる部分を主として説明する。
【００４８】
ＣＰＵ４１は、ＲＯＭ４５やフラッシュメモリ４７に記憶されたプログラムとの協働で、各種処理を実行する。例えば、ＣＰＵ４１は、異常検出部４４により異常が検出された場合に、ＲＡＭ４３及びフラッシュメモリ４７に記憶された情報を破壊（消去）する。また、ＣＰＵ４１は、フラッシュメモリ４７に記憶された鍵を用いて、暗号演算部４２により情報を暗号化又は復号化させる。
【００４９】
また、ＣＰＵ４１は、第１のＳＡＭ使用許可プログラムとの協働で、電子機器３０から送信された暗号化情報を鍵Ｔ１で復号化し、暗号化情報が動作ＯＫ情報であるか否かを判別し、動作ＯＫ情報である場合に、電子機器３０の動作（認証）（ＳＡＭ４０のデータ（鍵Ｔ１，Ｄ１，Ｒ）の使用）を許可設定する。
【００５０】
暗号演算部４２は、ＣＰＵ４１の指示により、フラッシュメモリ４７に記憶された鍵を用いて、各種情報を暗号化し、また暗号化された各種情報を復号化する。
【００５１】
異常検出部４４は、例えば、電圧センサ、温度センサ、光センサ等の少なくとも一つを備え、善意又は悪意によらず第三者がＳＡＭ４０のデータを読み取ろうと又は変更しようとする際の異常電圧、異常温度、異常光量等を検出し、その異常の旨を示す検出信号をＣＰＵ４１に出力する。
【００５２】
ＲＯＭ４５には、書き換えが不要であるデータが予め記憶されている。例えば、ＳＡＭ４０のシステムプログラムである。
【００５３】
通信部４６は、通信制御部により構成され、有線又は無線で電子機器３０と通信接続して情報を送受信する。
【００５４】
フラッシュメモリ４７は、各種プログラム及び各種データを読み出し又は書き込み可能に記憶する。フラッシュメモリ４７に代えてＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリを用いる構成としてもよい。
【００５５】
フラッシュメモリ４７は、第１のＳＡＭ使用許可プログラムと、鍵Ｔ１，Ｄ１，Ｒと、を記憶する。第１のＳＡＭ使用許可プログラムは、ＲＯＭ４５に記憶される構成としてもよい。
【００５６】
次に、図５及び図６を参照して、決済システム１の各装置に記憶される情報を説明する。図５に、決済システム１の各装置に記憶される情報を示す。図６に、認証テーブル１５１の構成を示す。
【００５７】
図５に示すように、決済システム１において、センタサーバ１０の記憶部１５には、鍵Ｔ１が記憶されている。鍵Ｔ１は、センタサーバ１０が電子機器３０を認証するための鍵であり、電子機器ごとにユニークな鍵である。
【００５８】
電子機器３０のカードリーダ３８には、内部のフラッシュメモリに鍵Ｒが記憶されている。鍵Ｒは、カードリーダ３８が電子機器３０を認証するための鍵である。
【００５９】
電子機器３０のフラッシュメモリ３５には、鍵Ｄ１で暗号化された暗号化データｄ１が記憶されている。鍵Ｄ１は、電子機器３０にあるデータを暗号化または復号化するための鍵である。暗号化データｄ１は、例えば、決済処理に使用されるカード判別データである。カード判別データは、ＩＣカード６０の機能を判別したり、ＩＣカードのカード情報のリストを含み、使えないＩＣカードを判定するための情報である。ＳＡＭ４０には、フラッシュメモリ４７に鍵Ｔ１と、鍵Ｒと、鍵Ｄ１と、端末ＩＤ２０１と、が記憶されている。端末ＩＤとは、電子機器毎にユニークな識別情報である。
【００６０】
各鍵の暗号化及び復号化には、互いに相応する鍵を用いて行われる。例えば、ある鍵を用いて情報を暗号化した場合に、その鍵に相応する鍵を用いると暗号化された情報の復号化が可能となる。本実施の形態では、暗号化する鍵と、復号化する鍵とが、同一である共通の共通鍵方式で暗号化及び復号化するものとして説明する。しかし、公開鍵方式や、セション鍵方式等の方式で暗号化及び復号化する構成としてもよい。公開鍵方式では、公開鍵と秘密鍵のペアが互いに相応する鍵となる。
【００６１】
また、図６に示すように、センタサーバ１０の記憶部１５には、電子機器の管理情報としての認証テーブル１５１が記憶される。認証テーブル１５１は、ログインＩＤ１５２と、端末ＩＤ１５３と、鍵１５４と、許可情報１５５と、を有する。
【００６２】
ログインＩＤ１５２は、電子機器毎にユニークなログインＩＤである。ログインＩＤ１０１は、電子機器３０に付与された端末ＩＤとする。端末ＩＤ１５３は、電子機器毎にユニークな端末ＩＤである。端末ＩＤ２０１は、電子機器３０Ａに付与された端末ＩＤとする。鍵１５４は、電子機器毎の認証用の鍵を特定する情報である。許可情報１５５は、電子機器の動作が許可されているか否かを示す情報である。
【００６３】
例えば、電子機器が故障する等で、センタサーバ１０側にユーザから連絡があった場合や、電子機器の契約者とセンタサーバ１０側の会社との契約が完了してない又は切れている場合等に、センタサーバ１０側で許可情報１５５が動作不許可に設定される。逆に、センタサーバ１０側に動作すべきでない旨の連絡がない場合や、電子機器の契約者とセンタサーバ１０側の会社との契約が完了しており切れていない場合に、許可情報１５５が動作許可に設定される。
【００６４】
以下、電子機器３０のログインＩＤ１５２、端末ＩＤ１５３、鍵１５４、許可情報１５５は、順に、ログインＩＤ１０１、端末ＩＤ２０１、鍵Ｔ１、動作許可、に設定されているものとする。
【００６５】
次に、図７及び図８を参照して、決済システム１の動作を説明する。図７に、第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理の流れを示す。図８に、図７の第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理の続きの流れを示す。また、各処理の実行前に、ログインＩＤを用いた電子機器３０からセンタサーバ１０へのログイン処理が行われるものとするが、その説明を省略する。
【００６６】
センタサーバ１０で実行される第１の端末管理処理を説明する。センタサーバ１０において、例えば、通信部１６を介して、暗号化端末ＩＤと、端末ＩＤと、が電子機器３０から受信開始されたことをトリガとして、記憶部１５から読み出されて適宜ＲＡＭ１３に展開された第１の端末管理プログラムとＣＰＵ１１との協働で、第１の端末管理処理が実行される。
【００６７】
先ず、ステップＳ１１において、通信部１６を介して、暗号化端末ＩＤと、端末ＩＤと、が電子機器３０から受信され、記憶部１５から認証テーブル１５１が読み出される。そして、認証テーブル１５１が参照され、受信した端末ＩＤ１５３に対応する鍵１５４が特定され、特定された鍵（ここでは鍵Ｔ１）が記憶部１５から読み出される。そして、読み出された鍵を用いて暗号化端末ＩＤが復号化される（ステップＳ１１）。
【００６８】
そして、復号化した端末ＩＤと、受信した端末ＩＤとが比較され、同一であるか否かにより、ステップＳ１１の復号がＯＫであるか否かが判別される（ステップＳ１２）。復号ＯＫである場合（ステップＳ１２；ＹＥＳ）、認証テーブル１５１が参照され、対応する端末ＩＤの許可情報１５５が許可であるか否かが判別される（ステップＳ１３）。
【００６９】
許可されている場合（ステップＳ１３；ＹＥＳ）、電子機器動作ＯＫ（認証許可）の旨のＯＫ信号が生成されて、動作ＯＫの端末（電子機器３０）に対応する鍵（ここでは鍵Ｔ１）を用いてＯＫ信号が暗号化され、暗号化ＯＫ信号として通信部１６を介して電子機器３０に送信され（ステップＳ１４）、第１の端末管理処理が終了する。ＯＫ情報は、電子機器３０にＳＡＭ４０のデータの使用を伴う動作を許可する旨の信号である。
【００７０】
復号ＯＫでない場合（ステップＳ１２；ＮＯ）、又は許可されていない場合（ステップＳ１３；ＮＯ）、電子機器動作拒否（認証拒否）の旨の拒否信号が生成されて、動作拒否の端末（電子機器３０）に対応する鍵（ここでは鍵Ｔ１）を用いて拒否信号が暗号化され、暗号化拒否信号として通信部１６を介して電子機器３０に送信され（ステップＳ１５）、第１の端末管理処理が終了する。拒否情報は、電子機器３０にＳＡＭ４０のデータの使用を伴う動作を拒否する旨の信号である。
【００７１】
次いで、電子機器３０で実行される第１の情報処理を説明する。電子機器３０において、例えば、電源投入されたことをトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第１の情報処理プログラムとＣＰＵ３１との協働で、第１の情報処理が実行される。
【００７２】
先ず、ステップＳ２１において、接続部３７を介して、ＳＡＭ４０に端末ＩＤの要求が送信され、その端末ＩＤがＳＡＭ４０から受信される（ステップＳ２１）。そして、接続部３７を介して、受信された端末ＩＤが暗号化のためにＳＡＭ４０に送信され、暗号化端末ＩＤをＳＡＭ４０から受信する（ステップＳ２２）。そして、ステップＳ１１に対応して、通信部３６を介して、端末ＩＤと、暗号化端末ＩＤとがセンタサーバ１０へ送信される（ステップＳ２３）。
【００７３】
そして、ステップＳ１４又はＳ１５に対応して、通信部３６を介して、暗号化ＯＫ信号又は暗号化拒否信号をセンタサーバ１０から受信して、接続部３７を介して、暗号化ＯＫ信号又は暗号化拒否信号がＳＡＭ４０に送信される（ステップＳ２４）。
【００７４】
そして、フラッシュメモリ３５、カードリーダ３８に記憶され、ＳＡＭ４０に記憶される鍵で暗号化された所望のプログラム及びデータの少なくとも一つが読み出され、接続部３７を介して、暗号化されたプログラム及びデータの少なくとも一つがＳＡＭ４０に送信され、復号化されたプログラム及びデータがＳＡＭ４０から受信される（ステップＳ２５）。そして、復号化されたプログラム及びデータを用いて各種処理が実行される（ステップＳ２６）。
【００７５】
ステップＳ２５，Ｓ２６では、例えば、カードリーダ３８によりＩＣカード６０から読み出されたカード情報が、鍵Ｒで暗号化されて電子機器３０に送信される。そして、入力部３２で暗証番号等の暗証情報が入力される。電子機器３０において、鍵Ｒで暗号化されたカード情報がＳＡＭ４０に送信される。ＳＡＭ４０でカード情報が鍵Ｒで復号化され、電子機器３０に送信される。そして、ステップＳ２６で、復号化されたカード情報と、暗証番号とがＳＡＭ４０に送信されて鍵Ｔ１で暗号化され、購入した商品代金の情報等とともに決済情報としてセンタサーバ１０に端末ＩＤとともに送信される。そして、センタサーバ１０で受信された決済情報のカード情報及び暗証番号が、端末ＩＤに対応する鍵Ｔ１で復号化される。そのカード情報及び暗証番号を用いて、ＩＣカードが正当であると認証された場合に、決済情報の代金情報を用いて決済処理が実行される。センタサーバ１０の決済結果は、電子機器３０に送信される。
【００７６】
また、ステップＳ２５，Ｓ２６では、例えば、フラッシュメモリ３５に記憶された使用していないカード情報の暗号化データｄ１がＳＡＭ４０に送信される。ＳＡＭ４０で暗号化データｄ１が鍵Ｄ１で復号化され、その復号化データを用いて、上記鍵Ｒで復号化されたカード情報が使用していないものであるか判別され、使用していないものである場合に、そのＩＣカード６０の決済が禁止に設定される。
【００７７】
ステップＳ２６の実行後、セキュリティを守るため、復号化されたプログラム及びデータの少なくとも一つが消去され（ステップＳ２７）、第１の情報処理が終了する。
【００７８】
次いで、ＳＡＭ４０で実行される第１のＳＡＭ使用許可処理を説明する。ＳＡＭ４０において、例えば、ステップＳ２１に対応して、通信部４６を介して、端末ＩＤ要求を電子機器３０から受信開始したことをトリガとして、フラッシュメモリ４７から読み出されて適宜ＲＡＭ４３に展開された第１のＳＡＭ使用許可プログラムとＣＰＵ４１との協働で、第１のＳＡＭ使用許可処理が実行される。
【００７９】
先ず、通信部４６を介して、端末ＩＤ要求が電子機器３０から受信され、フラッシュメモリ４７から端末ＩＤが読み出されて電子機器３０に送信される（ステップＳ３１）。そして、ステップＳ２２に対応して、通信部４６を介して、端末ＩＤが電子機器３０から受信され、フラッシュメモリ４７から電子機器３０認証用の鍵（ここでは鍵Ｔ１）が読み出され、端末ＩＤが読み出した鍵で暗号演算部４２を介して暗号化され暗号化端末ＩＤとして電子機器３０に送信される（ステップＳ３２）。
【００８０】
そして、ステップＳ２４に対応して、通信部４６を介して、暗号化ＯＫ信号又は暗号化拒否信号が電子機器３０から受信され、鍵（ここでは鍵Ｔ１）で暗号演算部４２を介して復号化される（ステップＳ３３）。そして、ステップＳ３３で復号化された信号がＯＫ信号であるか否かにより、電子機器３０の動作がＯＫであるか否かが判別される（ステップＳ３４）。電子機器３０の動作がＯＫである場合（ステップＳ３４；ＹＥＳ）、ＳＡＭ４０のデータが使用許可に設定される（ステップＳ３５）。ＳＡＭ４０のデータの使用許可の旨の信号は、電子機器３０に送信される構成としてもよい。
【００８１】
そして、ステップＳ２５に対応して、通信部４６を介して、暗号化されたプログラム及びデータの少なくとも一つが電子機器３０から受信され、フラッシュメモリ４７から鍵Ｒ又は鍵Ｄ１が読み出される。そして、暗号化されたプログラム及びデータの少なくとも一つが暗号演算部４２を介して鍵（ここでは鍵Ｒ又は鍵Ｄ１）で復号化されて電子機器３０に送信され（ステップＳ３６）、第１のＳＡＭ使用許可処理が終了する。
【００８２】
ステップＳ３３で復号化された信号が拒否信号である、又は復号に失敗し、電子機器３０の動作がＯＫでない場合（ステップＳ３４；ＮＯ）、ＳＡＭ４０のデータ使用禁止が設定され（ステップＳ３７）、第１のＳＡＭ使用許可処理が終了する。ＳＡＭ４０のデータの使用不許可の旨の信号は、電子機器３０に送信される構成としてもよい。
【００８３】
センタサーバ１０が許可を出していない場合に鍵Ｄ１，Ｒを使用できないため、電子機器３０のＣＰＵ３１は、鍵Ｄ１，Ｒを用いた動作を行うことができない。このため、悪意を持って電子機器３０からクレジットカード等の番号を盗もうとしても、電子機器３０は動作しないので悪意から防御することが可能である。
【００８４】
以上、本実施の形態によれば、ＳＡＭ４０を中心にセキュリティを構築する。このため、従来のものより格段にセキュリティを高めることができる。従来型の、筐体の開封センサでは安いドリルでセンサをバイパスできるのに対し、ＳＡＭ４０の半導体のサブミクロンレベルで対策を施されたものを解析するには高価な専用機器と技術力が必要になるためである。
【００８５】
加えて、強力なセキュリティ機能を備えたＳＡＭ４０内の鍵Ｔ１に相対するセンタサーバ１０の鍵Ｔ１を用いて電子機器３０の動作の可否を制御する。このため、排除したい電子機器の動作を確実に排除できる。この構成により、電子機器の不正使用、不正流用、解析の試みを阻止できるとともに、契約が終了した電子機器や廃棄された電子機器を確実に動作禁止にすることができる。
【００８６】
また、ＳＡＭ４０により電子機器３０で使用する鍵を管理する。このため、悪意のあるＳＡＭ４０内の鍵の解析の試みを確実に防御できる。加えて、センタサーバ１０の許可がなければそれらの鍵の使用の試みすらできない。このため、ＳＡＭ４０が物理的な耐タンパー性を持っている上、電流・電力解析も防御できている。
【００８７】
また、鍵Ｄ１，Ｒにより、ＳＡＭ４０と、ＳＡＭ４０外（例えば電子機器３０内）とのデータの鍵の組み合わせが特定される。このため、第三者のデータを紛れ込ませることができなくなる。例えば、ＳＡＭ４０外のデータをねつ造して不正な利益を得ようとするような試みが阻止できる。万一、ＳＡＭ４０内の一つの鍵の解読に成功したとしても、その鍵はその電子機器でしか利用できない。このため、他の電子機器とその利用に影響を与えずに済む。
【００８８】
また、上記構成により、パスワードなどによる本人確認に頼らなくてもセキュリティが確保でき、業務システム構築上わずらわしいパスワードの管理を不要にしている。
【００８９】
なお、鍵Ｔ１は、１組である必要はなく、必要な確認・認証を実現するために１つの電子機器に数組使用されることもあり、以下、同様である。
【００９０】
（変形例）
図９〜図１１を参照して、上記第１の実施形態の変形例を説明する。先ず、図９を参照して、本実施の形態の装置構成を説明する。図９に、本変形例の決済システム２の構成を示す。
【００９１】
図９に示すように、決済システム２は、センタサーバ１０ａと、電子機器３０Ａ〜３０Ｃと、ＳＡＭ４０Ａ〜４０Ｃと、を備えて構成される。センタサーバ１０ａは、通信ネットワークＮを介して電子機器３０Ａ〜３０Ｃと通信接続される。電子機器３０Ａは、ＳＡＭ４０Ａと通信接続される。電子機器３０Ｂは、ＳＡＭ４０Ｂと通信接続される。電子機器３０Ｃは、ＳＡＭ４０Ｃと通信接続される。
【００９２】
本変形例では、電子機器及びＳＡＭの組み合わせが３系統ある構成を説明するが、２系統又は４系統以上としてもよい。
【００９３】
センタサーバ１０ａ、電子機器３０Ａ〜３０Ｃ、ＳＡＭ４０Ａ〜４０Ｃは、それぞれ、第１の実施の形態のセンタサーバ１０、電子機器３０、ＳＡＭ４０と同様であり、異なる部分を主として説明する。
【００９４】
センタサーバ１０ａの記憶部１５は、後述する認証テーブル１５１ａと、鍵Ｔ１，Ｔ２と、を記憶する。電子機器３０Ａ〜３０Ｃのフラッシュメモリ３５内のデータ、ＳＡＭ４０Ａ〜４０Ｃのフラッシュメモリ４７内のデータは、後述する。
【００９５】
次に、図１０及び図１１を参照して、決済システム２の各装置に記憶される情報を説明する。図１０に、決済システム２の各装置に記憶される情報を示す。図１１に、認証テーブル１５１ａの構成を示す。
【００９６】
図１０においては、鍵Ｒは省略されている。鍵Ｒは、ＳＡＭ４０Ａ〜４０Ｃにそれぞれ格納される。また、鍵Ｒは、電子機器（ＳＡＭ）毎にユニークな鍵が好ましく、以下同様である。
【００９７】
図１０に示すように、決済システム２において、センタサーバ１０ａの記憶部１５には、鍵Ｔ１，Ｔ２が記憶されている。鍵Ｔ１，Ｔ２は、センタサーバ１０ａが電子機器３０Ａ，３０Ｂを認証するための鍵である。
【００９８】
電子機器３０Ａのフラッシュメモリ３５には、鍵Ｄ１で暗号化された暗号化データｄ１が記憶されている。鍵Ｄ１は、電子機器３０Ａにあるデータを暗号化または復号化するためのデータである。ＳＡＭ４０Ａには、フラッシュメモリ４７に、鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、が記憶されている。端末ＩＤ２０１は、電子機器３０Ａに付与された端末ＩＤとする。
【００９９】
電子機器３０Ｂのフラッシュメモリ３５には、鍵Ｄ２で暗号化された暗号化データｄ１が記憶されている。鍵Ｄ２は、電子機器３０Ｂにあるデータを暗号化または復号化するためのデータである。ＳＡＭ４０Ｂには、フラッシュメモリ４７に鍵Ｔ２と、鍵Ｄ２と、端末ＩＤ２０２と、が記憶されている。端末ＩＤ２０２は、電子機器３０Ａに付与された端末ＩＤとする。
【０１００】
電子機器３０Ｃのフラッシュメモリ３５には、鍵Ｄ２で暗号化された暗号化データｄ２が記憶されている。ＳＡＭ４０Ｃには、フラッシュメモリ４７に鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、が記憶されている。つまり、悪意のある無しに関わらず、電子機器３０Ｃ及びＳＡＭ４０Ｃは、電子機器３０ＢにＳＡＭ４０Ａを接続した構成と同等の構成の例である。
【０１０１】
また、図１１に示すように、センタサーバ１０ａの記憶部１５には、認証テーブル１５１ａが記憶される。認証テーブル１５１ａは、ログインＩＤ１５２と、端末ＩＤ１５３と、鍵１５４と、許可情報１５５と、を有する。ログインＩＤ，端末ＩＤ１５３、鍵１５４、許可情報１５５は、端末ＩＤ２０１，２０２に関し設定されているものとする。
【０１０２】
センタサーバ１０ａは、認証する電子機器に対応した図７及び図８に示される第１の端末管理処理を実行する。同様に、第１の情報処理及び第１のＳＡＭ使用許可処理は、電子機器３０Ａ及びＳＡＭ４０Ａと、電子機器３０Ｂ及びＳＡＭ４０Ｂと、電子機器３０Ａ及びＳＡＭ４０Ａとのいずれか一つの組み合わせにより実行される。このように、センタサーバ１０ａは、動作許可対象の電子機器及びＳＡＭに対応した第１の端末管理処理を実行する。電子機器３０Ａ〜３０Ｃは、第１の情報処理を実行する。ＳＡＭ４０Ａ〜４０Ｃは、第１のＳＡＭ使用許可処理を実行する。
【０１０３】
電子機器３０Ａ又は３０Ｂで第１の情報処理が実行されると、センタサーバ１０ａで電子機器３０Ａ又は３０Ｂが動作許可され、ＳＡＭ４０Ａ又は４０Ｂのデータ使用が許可され、暗号化データｄ１又はｄ２等を用いて、各種処理がなされる。しかし、電子機器３０Ｃで第１の情報処理が実行されると、センタサーバ１０ａで電子機器３０Ｃが動作許可され、ＳＡＭ４０Ｃのデータ使用が許可されるが、ＳＡＭ４０Ｃ内の鍵Ｄ１が電子機器３０Ｃ内の鍵Ｄ２の暗号化データｄ３を復号化できない。このため、実質的に電子機器３０Ｃは動作できない。このように、正しい設定のみでしか電子機器は動作しないのでＩＣカード６０の番号を盗みとろうとするような試みを防止することになる。
【０１０４】
以上、本変形例によれば、ＳＡＭ４０Ａ〜４０Ｃを中心にセキュリティを構築する。このため、従来のものより格段にセキュリティを高めることができる。加えて、強力なセキュリティ機能を備えたＳＡＭ４０Ａ〜４０Ｃ内の鍵Ｔｎに相対するセンタサーバ１０ａの鍵Ｔｎを用いて電子機器の動作の利用可否を電子機器毎に制御する。このため、排除したい電子機器の動作を確実に排除できる。
【０１０５】
（第２の実施の形態）
図１２〜図１６を参照して、本発明に係る第２の実施の形態を説明する。図１２に、本実施の形態の決済システム３の構成を示す。
【０１０６】
図１２に示すように、決済システム３は、センタサーバ１０ｂと、外部機器としてのＥＣＲ（Electronic Cash Register）２０Ａ〜２０Ｃと、電子機器３０Ａ〜３０Ｃと、ＳＡＭ４０Ａ〜４０Ｃと、を備えて構成される。センタサーバ１０ｂは、通信ネットワークＮを介してＥＣＲ２０Ａ〜２０Ｃと通信接続される。電子機器３０Ａは、ＥＣＲ２０Ａ及びＳＡＭ４０Ａと通信接続される。電子機器３０Ｂは、ＥＣＲ２０Ｂ及びＳＡＭ４０Ｂと通信接続される。電子機器３０Ｃは、ＥＣＲ２０Ｃ及びＳＡＭ４０Ｃと通信接続される。
【０１０７】
本実施の形態では、ＥＣＲ、電子機器及びＳＡＭの組み合わせが３系統ある構成を説明するが、３系統以外の系統数としてもよい。
【０１０８】
センタサーバ１０ｂ、電子機器３０Ａ〜３０Ｃ、ＳＡＭ４０Ａ〜４０Ｃは、それぞれ、第１の実施の形態のセンタサーバ１０、電子機器３０、ＳＡＭ４０と同様であり、異なる部分を主として説明する。
【０１０９】
センタサーバ１０ｂの記憶部１５は、第２の端末管理プログラムと、後述する認証テーブル１５１ｂと、鍵Ｔ１，Ｔ２と、を記憶する。
【０１１０】
次いで、ＥＣＲ２０Ａ〜２０Ｃの構成を説明する。図１３に、ＥＣＲ２０Ａ〜２０Ｃの内部構成を示す。
【０１１１】
図１３に示すように、ＥＣＲ２０Ａ〜２０Ｃは、それぞれ、ＣＰＵ２１と、入力部２２と、ＲＡＭ２３と、表示部２４と、記憶部２５と、通信部２６と、プリント部２７と、ドロア２８と、接続部２９と、を備えて構成され、各部がバス２９ａを介して接続される。
【０１１２】
ＣＰＵ２１、入力部２２、ＲＡＭ２３、表示部２４については、第１の実施の形態のセンタサーバ１０のＣＰＵ１１、入力部１２、ＲＡＭ１３、表示部１４の構成と同様であり、異なる部分を主として説明する。
【０１１３】
ＥＣＲ２０Ａ〜２０ＣのＣＰＵ２１は、記憶部２５に記憶されたログインプログラムとの協働で、センタサーバ１０ｂにログインを行い、センタサーバ１０ｂと電子機器３０Ａ〜３０Ｃとの通信を中継する。
【０１１４】
入力部２２は、カーソルキー、文字、数字入力キー及び各種機能キーなどを備えたレジ用のキーボードを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ２１に出力する。表示部２４は、ＬＣＤ等で構成され、ＣＰＵ２１からの表示信号に従って画面表示を行う。また、入力部２２は、表示部２４と一体的にタッチパネルを構成することとしてもよい。
【０１１５】
記憶部２５は、ＲＯＭやフラッシュメモリ等により構成される。記憶部２５は、各種プログラム及び各種データを、ＲＯＭから読み出し可能に、又はフラッシュメモリから読み出し及び書き込み可能に記憶する。また、記憶部２５は、ＨＤＤ等により構成してもよい。また、記憶部２５は、ログインプログラムを記憶する。
【０１１６】
通信部２６は、ネットワークカード等の通信制御部により構成され、センタサーバ１０ｂと通信ネットワークＮを介して通信接続するとともに、有線又は無線で電子機器３０Ａ、３０Ｂ又は３０Ｃと通信接続し、センタサーバ１０、電子機器３０Ａ、３０Ｂ又は３０Ｃと情報を送受信する。
【０１１７】
プリント部２７は、例えば、サーマルプリンタであり、レシート用、ジャーナル用（商品登録内容の記録用）のロール紙を有し、ＣＰＵ２１から入力される指示に従って、各ロール紙に対して金額データ、店舗ロゴマーク等をプリントアウトする。
【０１１８】
ドロア２８は、現金を収納する引出しであり、例えば、ＣＰＵ２１の指示により、引出しを開ける。
【０１１９】
接続部２９は、ソケット等から構成され、メモリカード５０Ａ〜５０Ｃが接続され、ＣＰＵ２１の指示により、接続されたメモリカード５０Ａ〜５０Ｃに記録された各種情報の読み出しや、情報の書き込みを行う。ＥＣＲ２０Ａ〜２０Ｃの接続部２９には、それぞれ、メモリカード５０Ａ〜５０Ｃが接続されるものとする。
【０１２０】
メモリカード５０Ａ〜５０Ｃは、例えば、半導体メモリを備え、各種情報を半導体メモリに読み出し及び書き込み可能に記憶するメモリカードである。
【０１２１】
電子機器３０Ａ〜３０Ｃのフラッシュメモリ３５は、第２の情報処理プログラムを記憶する。電子機器３０Ａ〜３０Ｃの通信部３６は、ＥＣＲ２０Ａ〜２０Ｃとの通信を介する構成とする。ＳＡＭ４０Ａ〜４０Ｃのフラッシュメモリ４７は、第２のＳＡＭ使用許可プログラムを記憶する。フラッシュメモリ３５及びフラッシュメモリ４７の、プログラム以外の他の情報は、後述する。
【０１２２】
次に、図１２及び図１４を参照して、決済システム３の各装置に記憶される情報を説明する。図１４に、認証テーブル１５１ｂの内部構成を示す。
【０１２３】
図１２に示すように、決済システム３において、センタサーバ１０ｂの記憶部１５には、鍵Ｔ１，Ｔ２が記憶されている。
【０１２４】
ＥＣＲ２０Ａには、接続部２９を介してメモリカード５０Ａが接続される。メモリカード５０Ａには、ログインＩＤ１０１が記録されている。ログインＩＤは、ＥＣＲ（電子機器）毎にユニークなＩＤである。ログインＩＤ１０１は、電子機器３０Ａに付与された端末ＩＤとする。電子機器３０Ａのフラッシュメモリ３５には、鍵Ｄ１で暗号化された暗号化データｄ１が記憶されている。また、ＳＡＭ４０Ａには、フラッシュメモリ４７に、鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、鍵Ｒ（図示略）と、が記憶されている。
【０１２５】
ＥＣＲ２０Ｂには、接続部２９を介してメモリカード５０Ｂが接続される。メモリカード５０Ｂには、ログインＩＤ１０２が記録されている。ログインＩＤ１０２は、電子機器３０Ｂに付与された端末ＩＤとする。電子機器３０Ｂのフラッシュメモリ３５には、鍵Ｄ２で暗号化された暗号化データｄ２が記憶されている。また、ＳＡＭ４０Ａには、フラッシュメモリ４７に、鍵Ｔ２と、鍵Ｄ２と、端末ＩＤ２０２と、鍵Ｒ（図示略）と、が記憶されている。
【０１２６】
ＥＣＲ２０Ｃには、接続部２９を介してメモリカード５０Ｃが接続される。メモリカード５０Ｃには、ログインＩＤ１０２が記録されている。電子機器３０Ｃのフラッシュメモリ３５には、鍵Ｄ１で暗号化された暗号化データｄ３が記憶されている。また、ＳＡＭ４０Ｃには、フラッシュメモリ４７に、鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、鍵Ｒ（図示略）と、が記憶されている。つまり、悪意のある無しに関わらず、ＥＣＲ２０Ｃ、電子機器３０Ｃ及びＳＡＭ４０Ｃは、ＥＣＲ２０Ｂに電子機器３０Ａ及びＳＡＭ４０Ａを接続した構成と同等の構成の例である。
【０１２７】
また、図１４に示すように、センタサーバ１０ｂの記憶部１５には、認証テーブル１５１ｂが記憶される。認証テーブル１５１ｂは、ログインＩＤ１５２と、端末ＩＤ１５３と、鍵１５４と、許可情報１５５と、を有する。電子機器のログインＩＤ１５２、端末ＩＤ１５３、鍵１５４、許可情報１５５は、端末ＩＤ２０１，２０２に関し設定されているものとする。
【０１２８】
ＥＣＲ２０Ａ〜２０Ｃは、非決済業務のためにセンタサーバ１０ｂと通信路で接続されている。例えばＥＣＲ２０Ａ〜２０Ｃで商品コード及び商品名をセンタサーバ１０ｂからダウンロードして利用する場合には、決済と比較して高度なセキュリティは不要であり、ＥＣＲ２０Ａ〜２０Ｃを識別するためのログインＩＤなどをメモリカード５０Ａ〜５０Ｃに保持しておけば十分である。決済端末としての電子機器３０Ａ〜３０Ｃは、別の通信路を使用する必要はなく、ＥＣＲ２０Ａ〜２０Ｃの通信路を利用して動作を行う。
【０１２９】
次に、図１５及び図１６を参照して、決済システム３の動作を説明する。図１５に、第２の端末管理処理、ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理の流れを示す。図１６に、図１５の第２の端末管理処理、ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理の続きの流れを示す。ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理は、ＥＣＲ２０Ａ、電子機器３０Ａ、ＳＡＭ４０Ａの組み合わせ、ＥＣＲ２０Ｂ、電子機器３０Ｂ、ＳＡＭ４０Ｂの組み合わせ、又はＥＣＲ２０Ｃ、電子機器３０Ｃ、ＳＡＭ４０Ｃの組み合わせ、で実行される。
【０１３０】
センタサーバ１０ｂで実行される第２の端末管理処理を説明する。センタサーバ１０ｂにおいて、例えば、通信部１６を介して、ログインＩＤがＥＣＲから受信開始されたことをトリガとして、記憶部１５から読み出されて適宜ＲＡＭ１３に展開された第２の端末管理プログラムとＣＰＵ１１との協働で、第２の端末管理処理が実行される。
【０１３１】
先ず、ステップＳ４１において、通信部１６を介して、ログインＩＤがＥＣＲから受信され、ログインＩＤに対応するＥＣＲが識別され、そのＥＣＲのログインが受け付けられる。そして、通信部１６を介して、ログインＯＫの旨がログインＩＤ送信元のＥＣＲに送信され、通信が確立する（ステップＳ４１）。ステップＳ４２、Ｓ４３は、第１の端末管理処理のＳ１１，Ｓ１２と同様である。
【０１３２】
復号化がＯＫである場合（Ｓ４３；ＹＥＳ）、記憶部１５から認証テーブル１５１ｂが読み出され、ステップＳ４１で受信されたログインＩＤ１５２と、ステップＳ４３で復号化された端末ＩＤ１５３とが整合（対応）しているか否かが判別される（ステップＳ４４）。認証テーブル１５１ｂにおいて、ログインＩＤと端末ＩＤとは一対一に対応するものとする。
【０１３３】
ログインＩＤと端末ＩＤ１５３とが整合している場合（ステップＳ４４；ＹＥＳ）、ステップＳ４５に移行される。ログインＩＤと端末ＩＤ１５３とが整合していない場合（ステップＳ４４；ＮＯ）、ステップＳ４７に移行される。ステップＳ４５〜Ｓ４７は、第１の端末管理処理のＳ１３〜Ｓ１５と同様である。ステップＳ４７の実行後、第２の端末管理処理が終了する。
【０１３４】
次いで、ＥＣＲ２０Ａ〜２０Ｃで実行されるログイン処理を説明する。ＥＣＲ２０Ａ〜２０Ｃにおいて、例えば、入力部２２を介してユーザ（店員等）からログイン処理の実行指示が入力されたことをトリガとして、記憶部２５から読み出されて適宜ＲＡＭ２３に展開されたログインプログラムとＣＰＵ２１との協働で、ログイン処理が実行される。
【０１３５】
先ず、ステップＳ５１において、ステップＳ４１に対応して、接続部２９を介してメモリカード５０Ａ〜５０Ｃに記録されたログインＩＤが読み出され、そのログインＩＤが通信部２６を介してセンタサーバ１０ｂに送信される。そして、ログインＯＫの旨が通信部２６を介してセンタサーバ１０ｂから受信され、通信が確立する（ステップＳ５１）。
【０１３６】
そして、ステップＳ６３，Ｓ４２に対応して、通信部２６を介して、電子機器から受信される端末ＩＤ及び暗号化端末ＩＤがセンタサーバ１０ｂに送信され、通信中継される（ステップＳ５２）。そして、ステップＳ４６又はＳ４７及びＳ６４に対応して、通信部２６を介して、センタサーバ１０ｂから受信された暗号化ＯＫ信号又は暗号化拒否信号が端末ＩＤ等の送信元の電子機器に送信され、通信中継され（ステップＳ５３）、ログイン処理が終了する。
【０１３７】
次いで、電子機器３０Ａ〜３０Ｃで実行される第２の情報処理を説明する。電子機器３０Ａ〜３０Ｃにおいて、例えば、電源投入されたことをトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第２の情報処理プログラムとＣＰＵ３１との協働で、第２の情報処理処理が実行される。
【０１３８】
ステップＳ６１〜Ｓ６７は、第１の情報処理のステップＳ２１〜Ｓ２７と同様である。ステップＳ６７の実行後、第２の情報処理が終了する。
【０１３９】
次いで、ＳＡＭ４０Ａ〜ＳＡＭ４０Ｃで実行される第２のＳＡＭ使用許可処理を説明する。ＳＡＭ４０Ａ〜ＳＡＭ４０Ｃにおいて、例えば、ステップＳ６１に対応して、通信部４６を介して、端末ＩＤ要求を電子機器３０Ａ〜３０Ｃから受信開始したことをトリガとして、フラッシュメモリ４７から読み出されて適宜ＲＡＭ４３に展開された第２のＳＡＭ使用許可プログラムとＣＰＵ４１との協働で、第２のＳＡＭ使用許可処理が実行される。
【０１４０】
ステップＳ７１〜Ｓ７７は、第１のＳＡＭ使用許可処理のステップＳ３１〜Ｓ３７と同様である。ステップＳ７７の実行後、第２のＳＡＭ使用許可処理が終了する。
【０１４１】
ステップＳ４４により、ＥＣＲのログインＩＤと、ＳＡＭの端末ＩＤとの組み合わせを確認することが可能である。例えば、ＥＣＲ２０Ａ，電子機器３０Ａ及びＳＡＭ４０Ａの組み合わせ、ＥＣＲ２０Ｂ、電子機器３０Ｂ及びＳＡＭ４０Ｂの組み合わせ、では、ステップＳ４４でログインＩＤと端末ＩＤとの整合がとれ、電子機器が３０Ａ，３０Ｂが動作許可され、ＳＡＭ４０Ａ，４０Ｂのデータ使用が許可される。
【０１４２】
しかし、ＥＣＲ２０Ｃ，電子機器３０Ｃ及びＳＡＭ４０Ｃの組み合わせでは、ステップＳ４４でログインＩＤ１０２と端末ＩＤ２０１との整合がとれず、電子機器３０Ｃが動作許可されず、ＳＡＭ４０Ｃのデータ使用が許可されない。つまり、正当なＥＣＲ、電子機器及びＳＡＭの組み合わせにおいて、悪意のある無しに関わらず別の、ログインＩＤが記憶された機器（ここではメモリカード）及び電子機器を、ＳＡＭに付け替えた場合のＳＡＭのデータ使用を防ぐことができる。
【０１４３】
本実施の形態によれば、ＥＣＲ２０Ａ〜２０Ｃに電子機器３０Ａ〜３０Ｃをそれぞれ接続して使用するようなケースでは、ＥＣＲと電子機器（ＳＡＭ）との組み合わせをセンタサーバ１０ｂでチェックできる。このため、契約外の使用や、不正な使用・流用を止めることができる。よって、不正に遺棄された（本来は返却されるべき）電子機器を流用しようとしても不可能であり、利用者の契約は守られることになる。また、本来認められない取引（フロアリミット超過等）を防いだりすることが可能である。また、センタサーバ１０ｂがＥＣＲを介して電子機器（ＳＡＭ）をチェックできる。
【０１４４】
また、第１の実施の形態よりも電子機器の動作条件を厳しくしている。このため、例えば廃棄された電子機器やＳＡＭの利用の試みなどを確実に排除できる。本来、返却されなければならないこれらの電子機器やＳＡＭの、想定外の状況への対策となっている。
【０１４５】
なお、本実施の形態では、第２の情報としてのログインＩＤがメモリカード５０Ａ〜５０Ｃに記録されているものとしたが、特にメモリカードである必要も、ログインＩＤである必要もない。例えば、本実施の形態において、第３の情報として、ＥＣＲ２０Ａ〜２０Ｂの代わりにＰＣ等の外部機器に登録された契約者情報等を使用しても良いし、接続のために使用したルータ等のネットワーク機器のＭＡＣ（Media Access Control）アドレス等を第３の情報として利用してその組み合わせを監視するようにしても、同様の効果が期待できる。
【０１４６】
（第３の実施の形態）
図１７〜図２０を参照して、本発明に係る第３の実施の形態を説明する。図１７に、本実施の形態の決済システム４の構成を示す。
【０１４７】
図１７に示すように、決済システム４は、センタサーバ１０ｃと、電子機器３０Ａ〜３０Ｃと、ＳＡＭ４０Ａ〜４０Ｃと、を備えて構成される。センタサーバ１０ｃは、通信ネットワークＮを介して電子機器３０Ａ〜３０Ｃと通信接続される。電子機器３０Ａは、ＳＡＭ４０Ａと通信接続される。電子機器３０Ｂは、ＳＡＭ４０Ｂと通信接続される。電子機器３０Ｃは、ＳＡＭ４０Ｃと通信接続される。
【０１４８】
本実施の形態では、電子機器及びＳＡＭの組み合わせが３系統ある構成を説明するが、３系統以外の系統数としてもよい。
【０１４９】
センタサーバ１０ｃ、電子機器３０Ａ〜３０Ｃ、ＳＡＭ４０Ａ〜４０Ｃは、それぞれ、第１の実施の形態のセンタサーバ１０、電子機器３０、ＳＡＭ４０と同様であり、異なる部分を主として説明する。
【０１５０】
電子機器３０Ａ〜３０Ｃは、それぞれ第４の記憶手段としてのメモリカード７０Ａ〜７０Ｃが接続される。センタサーバ１０ｃの記憶部１５は、第３の端末管理プログラムと、後述する認証テーブル１５１ｃと、鍵Ｔ１，Ｔ２，Ｔ３と、共有情報ｄ１０と、固有情報ｄ１１と、を記憶する。電子機器３０Ａ〜３０Ｃのフラッシュメモリ３５は、第３の情報処理プログラムを記憶する。ＳＡＭ４０Ａ〜４０Ｃのフラッシュメモリ４７は、第３のＳＡＭ使用許可プログラムを記憶する。フラッシュメモリ３５及びフラッシュメモリ４７の、プログラム以外の情報と、メモリカード７０Ａ〜７０Ｃに記憶される情報とは、後述する。
【０１５１】
次に、図１７及び図１８を参照して、決済システム４の各装置に記憶される情報を説明する。図１８に、認証テーブル１５１ｃの内部構成を示す。
【０１５２】
図１７に示すように、決済システム４において、センタサーバ１０ｃの記憶部１５には、鍵Ｔ１，Ｔ２，Ｔ３と、共有情報ｄ１０と、固有情報ｄ１１と、が記憶されている。
【０１５３】
鍵Ｔ３は、センタサーバ１０ｃが電子機器３０Ｃを認証するための鍵である。共有情報ｄ１０は、電子機器３０Ａ〜３０Ｃで共有の情報である。共有情報ｄ１０は、例えば、ＩＣカード６０のカード情報のブラックリストである。固有情報ｄ１１は、電子機器３０Ａ〜３０Ｃのそれぞれ固有に設定されている情報である。固有情報ｄ１１は、例えば、決済できるＩＣカード６０のカード種である。また、共有情報ｄ１０及び固有情報ｄ１１は、電子機器３０Ａ〜３０Ｃに送信可能な情報であり、決済処理データ（例えば、カード判別情報）を構成する情報である。
【０１５４】
電子機器３０Ａのフラッシュメモリ３５には、鍵Ｄ１で暗号化された決済処理データｄ４が記憶されている。また、電子機器３０Ａは、接続部３９を介してメモリカード７０Ａが接続される。メモリカード７０Ａには、ログインＩＤ１０１と、売上データｄ７と、が記録されている。売上データｄ７は、電子機器３０Ａで生成され、鍵Ｄ１で暗号化されたデータである。また、ＳＡＭ４０Ａには、フラッシュメモリ４７に、鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、鍵Ｒ（図示略）と、が記憶されている。
【０１５５】
電子機器３０Ｂのフラッシュメモリ３５には、鍵Ｄ２で暗号化された決済処理データｄ５が記憶されている。また、電子機器３０Ｂは、接続部３９を介してメモリカード７０Ｂが接続される。メモリカード７０Ｂには、ログインＩＤ１０２と、売上データｄ８と、が記録されている。売上データｄ８は、決済に関する処理実行により電子機器３０Ａで生成され、鍵Ｄ１で暗号化された決済記録としてのデータである。また、ＳＡＭ４０Ｂには、フラッシュメモリ４７に、鍵Ｔ２と、鍵Ｄ２と、端末ＩＤ２０２と、鍵Ｒ（図示略）と、が記憶されている。
【０１５６】
電子機器３０Ｃのフラッシュメモリ３５には、鍵Ｄ３で暗号化された決済処理データｄ６が記憶されている。また、電子機器３０Ｃは、接続部３９を介してメモリカード７０Ｃが接続される。メモリカード７０Ｃには、ログインＩＤ１０３と、売上データｄ９と、が記録されている。売上データｄ９は、電子機器３０Ａで生成され、鍵Ｄ１で暗号化されたデータである。また、ＳＡＭ４０Ｃには、フラッシュメモリ４７に、鍵Ｔ３と、鍵Ｄ３と、端末ＩＤ２０３と、鍵Ｒ（図示略）と、が記憶されている。
【０１５７】
メモリカード７０Ａ〜７０Ｃに記憶されるデータは、売上データｄ７〜ｄ９の他に、買い物を返品されたときなどの取消処理で生成された取消記録でもよい。これらはメモリカード７０Ａ〜７０Ｃに記録されているので、電子機器を別の代替機材に替えてもセンタサーバ１０ｃに決済金を請求することが可能である。
【０１５８】
また、図１８に示すように、センタサーバ１０ｃの記憶部１５には、認証テーブル１５１ｃが記憶される。認証テーブル１５１ｃは、ログインＩＤ１５２と、端末ＩＤ１５３と、鍵１５４と、第４の情報としての許可情報１５５と、電子機器３０Ａ〜３０Ｃに対応する固有情報を特定するための固有情報１５６と、を有する。電子機器のログインＩＤ１５２、端末ＩＤ１５３、鍵１５４、許可情報１５５、固有情報１５６は、端末ＩＤ２０１，２０２，２０３に関し設定されているものとする。固有情報は、電子機器３０Ａ〜３０Ｃにそれぞれ対応して、固有情報３０１〜３０３が設定されている。
【０１５９】
許可情報１５５は、本実施の形態では、電子機器が故障した場合に、その復旧処理を許可するか否かの情報、その代替機器を提供したか否かの情報などが含まれる。例えば、ある電子機器の復旧を許可し、代替機器を提供した場合に、許可情報１５５が動作許可に設定される。例えば、ある電子機器が故障しているとの連絡があり、代替機器を提供していない場合に、許可情報１５５が動作不許可に設定される。
【０１６０】
次に、図１９及び図２０を参照して、決済システム４の動作を説明する。図１９に、第３の端末管理処理、第３の情報処理、第３のＳＡＭ使用許可処理の流れを示す。図２０に、図１９の第３の端末管理処理、第３の情報処理、第３のＳＡＭ使用許可処理の続きの流れを示す。第３の情報処理、第３のＳＡＭ使用許可処理は、電子機器３０Ａ、ＳＡＭ４０Ａの組み合わせ、電子機器３０Ｂ、ＳＡＭ４０Ｂの組み合わせ、又は電子機器３０Ｃ、ＳＡＭ４０Ｃの組み合わせ、で実行される。また、電子機器３０Ａ〜３０Ｃにおけるログイン処理の説明は省略する。
【０１６１】
センタサーバ１０ｃで実行される第３の端末管理処理を説明する。センタサーバ１０ｃにおいて、例えば、通信部１６を介して、端末ＩＤ及び暗号化端末ＩＤを受信開始したことをトリガとして、記憶部１５から読み出されて適宜ＲＡＭ１３に展開された第３の端末管理プログラムとＣＰＵ１１との協働で、第３の端末管理処理が実行される。
【０１６２】
ステップＳ８１〜Ｓ８５は、第１の端末管理処理のＳ１１〜Ｓ１５と同様である。そして、ステップＳ８６において、通信部１６を介して、決済処理データに対応するデータ要求が電子機器から受信されると、記憶部１５から認証テーブル１５１ｃが読み出される。そして、決済処理データの構成に必要な共有情報ｄ１０と、データ要求送信元の端末ＩＤ１５３に対応する固有情報１５６に対応する固有情報ｄ１１と、が記憶部１５から読み出され、読み出した共有情報及び固有情報がマージされる（ステップＳ８６）。
【０１６３】
そして、通信部１６を介して、ステップＳ８６でマージされた共有情報及び固有情報が、データ要求送信元の電子機器に送信され（ステップＳ８７）、第３の端末管理処理が終了する。
【０１６４】
次いで、電子機器３０Ａ〜３０Ｃで実行される第３の情報処理を説明する。電子機器３０Ａ〜３０Ｃにおいて、例えば、電源投入されたことをトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第３の情報処理プログラムとＣＰＵ３１との協働で、第３の情報処理処理が実行される。
【０１６５】
ステップＳ９１〜Ｓ９４は、第１の情報処理のステップＳ２１〜Ｓ２４と同様である。そして、フラッシュメモリ３５に決済処理データが記憶されているか否かが判別される（ステップＳ９５）。決済処理データが記憶されていない場合（ステップＳ９５；ＮＯ）、ステップＳ８６に対応して、通信部３６を介して決済処理データに対応するデータのデータ要求がセンタサーバ１０ｃに送信される（ステップＳ９６）。
【０１６６】
そして、ステップＳ８７に対応して、通信部３６を介して、共有情報及び固有情報がセンタサーバ１０ｂから受信され、共有情報及び固有情報に基づいて決済処理データが生成される（ステップＳ９７）。生成された共有情報及び固有情報は、鍵Ｄｎ（ｎ：１，２又は３）で暗号化されフラッシュメモリ３５に記憶される。決済処理データが記憶されている場合（ステップＳ９５；ＹＥＳ）、ステップＳ９８に移行される。
【０１６７】
ステップＳ９８〜Ｓ１００は、第１の情報処理のステップＳ２５〜Ｓ２７と同様である。また、ステップＳ９８、Ｓ９９において、売上データｄ７〜ｄ９は、鍵ＤｎでＳＡＭ４０Ａ〜４０Ｃにより復号化され、鍵Ｔｎで暗号化されてセンタサーバ１０ｃに送信される。センタサーバ１０ｃは、暗号化された売り上げデータを電子機器３０Ａ〜３０Ｃから受信して鍵Ｔｎで復号化して記憶部１５に記憶する。ステップＳ１００の実行後、第３の情報処理が終了する。
【０１６８】
次いで、ＳＡＭ４０Ａ〜ＳＡＭ４０Ｃで実行される第３のＳＡＭ使用許可処理を説明する。ＳＡＭ４０Ａ〜ＳＡＭ４０Ｃにおいて、例えば、通信部４６を介して、端末ＩＤ要求を電子機器３０Ａ〜３０Ｃから受信開始したことをトリガとして、ＲＯＭ４５から読み出されて適宜ＲＡＭ４３に展開された第３のＳＡＭ使用許可プログラムとＣＰＵ４１との協働で、第３のＳＡＭ使用許可処理が実行される。
【０１６９】
ステップＳ１０１〜Ｓ１０７は、第１のＳＡＭ使用許可処理のステップＳ３１〜Ｓ３７と同様である。ステップＳ１０７の実行後、第３のＳＡＭ使用許可処理が終了する。
【０１７０】
この結果、例えば、ＳＡＭ４０Ｃとメモリカード７０Ｃとを除く部分の電子機器３０Ｃが故障した場合、ＳＡＭ４０Ｃとメモリカード７０Ｃとを代替の電子機器に差し替えることで復旧を行わせることが可能になる。代替の電子機器は、決済処理データｄ６をフラッシュメモリ３５に記憶していないが、ステップＳ９６，Ｓ９７でセンタサーバ１０ｃから共有情報及び固有情報をダウンロードして決済処理データｄ６を復元できる。ＳＡＭ及びメモリカードの故障率は、他の部分に比べれば低いため、故障時の停止時間を大幅に少なくすることが可能である。
【０１７１】
本実施の形態によれば、電子機器が故障し、決済処理データを使用できなくても、電子機器の代替の電子機器が用意できれば、その電子機器の動作許可後に、決済処理データに対応する共有情報及び固有情報をセンタサーバ１０ｃからダウンロードできる。このため、電子機器が故障しても、代替機材さえ用意できれば、決済システム４（電子機器）を即時に復旧でき、故障時の復旧を迅速化できる。
【０１７２】
また、許可情報１５５を参照して、代替機材を用意したことをセンタサーバ１０ｃでチェックした上で復旧作業を許可する。このため、資格のある電子機器にのみ復旧データをダウンロード許可し、セキュリティ強度を高めることができる。
【０１７３】
また、電子機器で決済処理した処理結果の売上データｄ７〜ｄ９は、メモリカード７０Ａ〜７０Ｃに記憶する。このため、電子機器が故障しても処理結果のデータを保存でき、電子機器の復旧を容易にできる。
【０１７４】
なお、上記各実施の形態及び変形例における記述は、本発明に係る認証装置、認証システム及びプログラムの一例であり、これに限定されるものではない。
【０１７５】
上記実施の形態及び変形例では、ＳＡＭが電子機器から取り外せる構成としたが、取り外せなくてもセキュリティ強度上は同じである。
【０１７６】
また、例えば、上記実施の形態及び変形例で説明したこの電子機器を音楽プレーヤのようなものとすれば、この仕組みで契約者を特定するような用途にも使用できる。すなわち、センタサーバでオンライン販売の契約を確認できなければ楽曲のダウンロードを許可しない、というような形態も可能である。
【０１７７】
また、センタサーバは、電子機器に接続されたＳＡＭの異常検出部４４の動作情報、電池バックアップされているはずの情報の正当性チェック情報、電子機器を構成するコンポーネント類における認証可否情報、復号化したデータの正当性情報を、電子機器を介して入手し、管理上の判断材料とすることができる。
【０１７８】
また、上記各実施の形態及び変形例では、ＳＡＭ内の鍵の暗号化及び復号化をＳＡＭ内で行う構成として説明したが、これに限定されるものではない。例えば、電子機器の動作許可後に、その電子機器内でＳＡＭの鍵を用いて暗号化及び復号化可能な構成としてもよい。
【０１７９】
また、上記各実施の形態及び変形例では、電子機器（ＳＡＭ）で第１の情報としての端末ＩＤを鍵Ｔｎで暗号化し、センタサーバに暗号化端末ＩＤ及び暗号化していない端末ＩＤを送信する構成としたが、これに限定されるものではない。端末ＩＤに代えて、他の情報を第１の情報とする構成としてもよい。
【０１８０】
さらに、鍵Ｔ１で暗号化した第１の情報と、当該第１の情報を識別するための第２の情報とを、電子機器からセンタサーバに送信し、センタサーバにおいて、受信した暗号化された第１の情報を鍵Ｔ１で復号化し、復号化した第１の情報と、受信した第２の情報とが対応するか否かを判別し、対応する場合に、暗号化ＯＫ信号を生成して電子機器に送信し、対応しない場合に、暗号化拒否信号を生成して電子機器に送信する構成としてもよい。この構成では、例えば、センタサーバが、第１の情報と第２の情報との対応関係を示すテーブル等のデータを記憶部１５に記憶し、当該テーブルを参照して第１の情報と第２の情報とが対応するか否かを判別する構成としてもよい。第２の情報としては、例えば、電子機器、ＥＣＲ等のログインＩＤ等の情報としてもよく、電子機器（ＳＡＭ）側において他の鍵で暗号化した端末ＩＤ等の情報を第２の情報とする構成としてもよい。
【０１８１】
また、上記各実施の形態及び変形例のうちの少なくとも２つを適宜組み合わせる構成としてもよい。
【０１８２】
また、上記各実施の形態及び変形例における決済システム１〜４の各構成要素の細部構成及び細部動作に関しては、本発明の趣旨を逸脱することのない範囲で適宜変更可能であることは勿論である。
【図面の簡単な説明】
【０１８３】
【図１】本発明に係る第１の実施の形態の決済システム１の構成を示すブロック図である。
【図２】センタサーバ１０の内部構成を示すブロック図である。
【図３】電子機器３０の内部構成を示すブロック図である。
【図４】ＳＡＭ４０の内部構成を示すブロック図である。
【図５】決済システム１の各装置に記憶される情報を示す図である。
【図６】認証テーブル１５１の構成を示す図である。
【図７】第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理を示すフローチャートである。
【図８】図７の第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理の続きを示すフローチャートである。
【図９】第１の実施の形態の変形例の決済システム２の構成を示すブロック図である。
【図１０】決済システム２の各装置に記憶される情報を示す図である。
【図１１】認証テーブル１５１ａの構成を示す図である。
【図１２】本発明に係る第２の実施の形態の決済システム３の構成を示すブロック図である。
【図１３】ＥＣＲ２０Ａ〜２０Ｃの内部構成を示すブロック図である。
【図１４】認証テーブル１５１ｂの内部構成を示す図である。
【図１５】第２の端末管理処理、ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理を示すフローチャートである。
【図１６】図１５の第２の端末管理処理、ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理の続きを示すフローチャートである。
【図１７】本発明に係る第３の実施の形態の決済システム４の構成を示すブロック図である。
【図１８】認証テーブル１５１ｃの内部構成を示す図である。
【図１９】第３の端末管理処理、第３の情報処理、第３のＳＡＭ使用許可処理のを示すフローチャートである。
【図２０】図１９の第３の端末管理処理、第３の情報処理、第３のＳＡＭ使用許可処理の続きを示すフローチャートである。
【符号の説明】
【０１８４】
１，２，３，４ 決済システム
１０，１０ａ，１０ｂ，１０ｃ センタサーバ
１１ ＣＰＵ
１２ 入力部
１３ ＲＡＭ
１４ 表示部
１５ 記憶部
１６ 通信部
１７ バス
３０，３０Ａ，３０Ｂ，３０Ｃ 電子機器
３１ ＣＰＵ
３２ 入力部
３３ ＲＡＭ
３４ 表示部
３５ フラッシュメモリ
３６ 通信部
３７ 接続部
３８ カードリーダ
３９ 接続部
３９ａ バス
４０，４０Ａ，４０Ｂ，４０Ｃ ＳＡＭ
４１ ＣＰＵ
４２ 暗号演算部
４３ ＲＡＭ
４４ 異常検出部
４５ ＲＯＭ
４６ 通信部
４７ フラッシュメモリ
４８ バス
２０Ａ，２０Ｂ，２０Ｃ ＥＣＲ
２１ ＣＰＵ
２２ 入力部
２３ ＲＡＭ
２４ 表示部
２５ 記憶部
２６ 通信部
２７ プリント部
２８ ドロア
２９ 接続部
２９ａ バス
５０Ａ，５０Ｂ，５０Ｃ メモリカード
６０ ＩＣカード
７０，７０Ａ，７０Ｂ，７０Ｃ メモリカード
【技術分野】
【０００１】
本発明は、認証装置、認証システム及びプログラムに関する。
【背景技術】
【０００２】
従来、顧客との取引を行う端末が実施されている。端末としては、耐タンパモジュールを有する端末が考えられている（例えば、特許文献１参照）。耐タンパ性は、取引端末の筐体のこじ開けなどの不正アクセスから機密情報の漏洩を防止する能力である。耐タンパ性は、例えば、配線を樹脂で固めることで、配線からの信号盗聴を不可能にしたり、所定の検知手段により端末の筐体が開けられたことが検知されると、内部のフラッシュＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）の内容を破壊する機能を付加することなどにより実現されている。
【０００３】
このため、不正な第三者に耐タンパモジュールが開けられても、その中の記録媒体に記録されたデータを盗まれることがない。
【特許文献１】特開２００３−１６５２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、今日、電子機器（端末装置）を用いた取引等が広がりを見せており、従来の耐タンパ性を有する端末よりもセキュリティを高める要請がある。
【０００５】
例えば、音楽や画像コンテンツの購入のための電子機器は、従来の店頭に設置されたクレジットカード端末とは台数も、その価格も異なる。このような端末は、利用者からは音楽／画像プレーヤに見えるが、コンテンツを購入／決済可能という意味では取引端末装置である。
【０００６】
また、プリペイドやクレジットを応用した小額電子決済方式は、従来型の取引端末装置の応用範囲を広げ、その設置台数が増加するとともに電子機器自体の価格も引き下げられつつある。このような電子機器は、価格が低下し入手しやすくなるとともにリバースエンジニアリングの対象になりやすいという特性を持つ。従って、筐体をこじ開けてもその電子機器そのものは利用する必要がなく、その解析結果を用いて他の電子機器に細工を施すというような事態が想定できるようになってきている。
【０００７】
このため、低価格な電子機器であっても、従来の構成を凌ぐ、強力な耐タンパー性とセキュリティ対策との要請がある。
【０００８】
本発明の課題は、セキュリティを高めるとともに、排除したい端末の動作を確実に排除することである。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、請求項１に記載の発明の認証装置は、
耐タンパモジュールが接続された端末装置と通信を行う第１の通信手段と、
前記耐タンパモジュールが有する第１の鍵に相応する第２の鍵を記憶する第１の記憶手段と、
前記第１の鍵で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を前記第１の通信手段を介して当該端末装置から受信し、当該暗号化された第１の情報を前記記憶された第２の鍵で復号化し、当該復号化した第１の情報と前記第２の情報とが対応するか否かを判別し、対応する場合に、前記耐タンパモジュールのデータの使用を伴う動作を当該端末装置に許可する動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する第１の制御手段と、
を備える。
【００１０】
請求項２に記載の発明の認証システムは、請求項１に記載の認証装置において、
前記耐タンパモジュール及び前記端末装置と、を備え、
前記耐タンパモジュールは、
前記第１の鍵を含むデータを記憶する第２の記憶手段と、
情報の暗号化又は復号化を行う暗号演算手段と、
第１の情報を前記暗号演算手段に前記第１の鍵で暗号化させ、当該暗号化された第１の情報を前記端末装置に送出する第２の制御手段と、を備え
前記端末装置は、
前記認証装置と通信を行う第２の通信手段と、
前記暗号化された第１の情報を前記耐タンパモジュールから取得して第２の情報とともに前記第１の通信手段を介して前記認証装置に送信し、前記暗号化された動作可否情報を前記認証装置から受信し、当該暗号化された動作可否情報を前記耐タンパモジュールに送出する第３の制御手段と、を備え、
前記第２の制御手段は、前記暗号化された動作可否情報を前記端末装置から取得して前記暗号演算手段に前記第１の鍵で復号化させ、復号化された動作可否情報が動作許可であるか否かを判別し、動作許可である場合に、前記第２の記憶手段に記憶されたデータの使用を前記端末装置に許可設定する。
【００１１】
請求項３に記載の発明は、請求項２に記載の認証システムにおいて、
前記第１の制御手段は、前記一致した第１の情報が、当該第１の情報の送信元の端末装置及び前記認証装置の関係に関する第３の情報に対応するか否かを判別し、当該第３の情報に対応する場合に、前記動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する。
【００１２】
請求項４に記載の発明は、請求項２又は３に記載の認証システムにおいて、
前記第１の制御手段は、前記第２の情報に対応した第１の情報が、当該第１の情報の送信元の端末装置及び前記認証装置の関係に関する第３の情報に対応するか否かを判別し、当該第３の情報に対応する場合に、前記動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する。
【００１３】
請求項５に記載の発明は、請求項４に記載の認証システムにおいて、
前記端末装置は、前記認証装置と接続されて前記第３の情報を有する外部機器に接続され、
前記第１の制御手段は、前記第３の情報を前記外部機器から取得する。
【００１４】
請求項６に記載の発明は、請求項２から５のいずれか一項に記載の認証システムにおいて、
前記端末装置は、
第３の記憶手段を備え、
前記第３の制御手段は、前記第２の制御手段により前記第２の記憶手段に記憶されたデータが使用許可された場合に、処理に用いる第４の情報が前記第３の記憶手段に記憶されているか否かを判別し、当該第４の情報が記憶されていない場合に、前記第２の通信手段を介して、当該第４の情報の要求を前記認証装置に送信して当該第４の情報を受信し、
前記第１の制御手段は、前記第１の通信手段を介して、前記第４の情報の要求を前記端末装置から受信すると当該第４の情報を当該端末装置に送信する。
【００１５】
請求項７に記載の発明は、請求項２から６のいずれか一項に記載の認証システムにおいて、
前記端末装置に接続される第４の記憶手段を備え、
前記第３の制御手段は、前記第２の制御手段により前記第２の記憶手段に記憶されたデータが使用許可された場合に、各種処理を行い、各種処理結果のデータを前記第４の記憶手段に記憶させる。
【００１６】
請求項８に記載の発明は、請求項６又は７に記載の認証システムにおいて、
前記第１の記憶手段は、前記第４の情報を前記端末装置に提供することを許可するか否かを示す提供可否情報を記憶し、
前記第１の制御手段は、前記第１の記憶手段に記憶された提供可否情報に基づいて前記第４の情報が提供許可であるか否かを判別し、提供許可である場合に、動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する。
【００１７】
請求項９に記載の発明のプログラムは、
コンピュータを、
耐タンパモジュールが接続された端末装置と通信を行う第１の通信手段、
前記耐タンパモジュールが有する第１の鍵に相応する第２の鍵を記憶する第１の記憶手段、
前記第１の鍵で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を前記第１の通信手段を介して当該端末装置から受信し、当該暗号化された第１の情報を前記記憶された第２の鍵で復号化し、当該復号化した第１の情報が前記第２の情報に対応するか否かを判別し、対応する場合に、前記耐タンパモジュールのデータの使用を伴う動作を当該端末装置に許可する動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する第１の制御手段、
として機能させる。
【発明の効果】
【００１８】
本発明によれば、耐タンパモジュールによりセキュリティを高めることができるとともに、動作可否情報により排除したい端末装置の動作を確実に排除できる。
【発明を実施するための最良の形態】
【００１９】
以下、添付図面を参照して本発明に係る好適な第１の実施の形態及び変形例並びに第２、第３の実施の形態を詳細に説明する。なお、本発明は、図示例に限定されるものではない。
【００２０】
（第１の実施の形態）
図１〜図８を参照して、本発明に係る第１の実施の形態を説明する。先ず、図１〜図４を参照して、本実施の形態の装置構成を説明する。図１に、本実施の形態の認証システムとしての決済システム１の構成を示す。
【００２１】
図１に示すように、決済システム１は、認証装置としてのセンタサーバ１０と、端末装置としての電子機器３０と、耐タンパモジュールとしてのＳＡＭ（Secure Application Module）４０と、を備えて構成される。センタサーバ１０は、通信ネットワークＮを介して電子機器３０と通信接続されている。電子機器３０は、ＳＡＭ４０と通信接続されている。
【００２２】
決済システム１では、例えば、店舗等に、電子機器３０、ＳＡＭ４０が設置され、カード会社等のセンタサーバ１０に管理される。カード情報を有するカード情報を有するクレジットカード等のＩＣ（Integrated Circuit）カードにより顧客が商品購入の決済をする場合に、電子機器３０でＩＣカードの情報を読み取りセンタサーバ１０に送信する。センタサーバ１０は、ＩＣカードの認証後に決済処理を行う。本実施の形態では、電子機器３０、ＳＡＭ４０の認証を行い、正当な電子機器３０、ＳＡＭ４０である場合に、ＩＣカードの認証等を含む決済処理を行う。
【００２３】
ＳＡＭ４０は、耐タンパ性を有するモジュールであり、中に記憶しているデータを第三者が読み取り又は変更しようとする異常状態を検出し、異常検出時に、その記憶しているデータを自動的に消去する。また、ＳＡＭ４０は、異常検出時に、ＳＡＭ４０自体の動作を停止させる構成等としてもよい。通信ネットワークＮは、例えば、ＷＡＮ（Wide Area Network）とするが、ＬＡＮ（Local Area Network）等の通信ネットワークとしてもよく、電話回線、専用線、移動体通信網、通信衛星網、ＣＡＴＶ（Cable Television）回線、インターネットプロバイダ等を含めてもよい。
【００２４】
次いで、センタサーバ１０の内部構成を説明する。図２に、センタサーバ１０の内部構成を示す。
【００２５】
図２に示すように、センタサーバ１０は、第１の制御手段としてのＣＰＵ（Central Processing Unit）１１と、入力部１２と、ＲＡＭ１３と、表示部１４と、第１の記憶手段としての記憶部１５と、第１の通信手段としての通信部１６と、を備えて構成され、各部がバス１７を介して接続される。
【００２６】
ＣＰＵ１１は、センタサーバ１０の各部を中央制御する。ＣＰＵ１１は、記憶部１５に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ１３に展開し、ＲＡＭ１３に展開されたプログラムとの協働で、各種処理を実行する。
【００２７】
ＣＰＵ１１は、第１の端末管理プログラムとの協働で、暗号化された第１の情報としての暗号化端末ＩＤ及び第２の情報としての端末ＩＤを電子機器３０から受信し、暗号化端末ＩＤを鍵Ｔ１で復号化し、復号化した端末ＩＤ及び受信した端末ＩＤが一致し且つ許可情報が許可であるか否かを判別し、端末ＩＤが一致し許可情報が許可である場合に、動作ＯＫ情報を鍵Ｔ１で暗号化して電子機器３０に送信する。
【００２８】
入力部１２は、カーソルキー、文字、数字入力キー及び各種機能キーなどを備えたキーボードを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ１１に出力する。また、入力部１２は、マウス等のポインティングデバイスを含み、位置入力信号を受け付けてＣＰＵ１１に送信することとしてもよい。
【００２９】
ＲＡＭ１３は、揮発性のメモリであり、実行される各種プログラムやこれら各種プログラムに係るデータ等を格納するワークエリアを有し、その情報を一時的に格納する。
【００３０】
表示部１４は、ＬＣＤ（Liquid Crystal Display）、ＣＲＴ（Cathode Ray Tube）等で構成され、ＣＰＵ１１からの表示信号に従って画面表示を行う。
【００３１】
記憶部１５は、磁気記録媒体を有するＨＤＤ（Hard Disk Drive）等により構成され、各種プログラム及び各種データを記録媒体から読み出し及び書き込み可能に記憶する。
【００３２】
また、記憶部１５は、第１の端末管理プログラムと、後述する認証テーブル１５１と、鍵Ｔ１と、を記憶する。
【００３３】
通信部１６は、モデム、ＴＡ（Terminal Adapter）、ルータ、ネットワークカード等により構成され、接続される通信ネットワークＮ上の電子機器３０等の外部機器と情報を送受信する。
【００３４】
次いで、電子機器３０の構成を説明する。図３に、電子機器３０の内部構成を示す。
【００３５】
図３に示すように、電子機器３０は、第３の制御手段としてのＣＰＵ３１と、入力部３２と、ＲＡＭ３３と、表示部３４と、第３の記憶手段としてのフラッシュメモリ３５と、第２の通信手段としての通信部３６と、接続部３７と、カードリーダ３８と、接続部３９と、を備えて構成され、各部がバス３９ａを介して接続される。
【００３６】
ＣＰＵ３１、入力部３２、ＲＡＭ３３については、センタサーバ１０のＣＰＵ１１、入力部１２、ＲＡＭ１３の構成と同様であり、異なる部分を主として説明する。
【００３７】
ＣＰＵ３１は、フラッシュメモリ３５に記憶された第１の情報処理プログラムとの協働で、端末ＩＤを取得し鍵Ｔ１で暗号化させ、暗号化端末ＩＤ及び端末ＩＤをセンタサーバ１０に送信し、センタサーバ１０から暗号化情報を受信してＳＡＭ４０に鍵Ｔ１で復号化させ、ＳＡＭ使用許可が設定された場合に、ＳＡＭ４０のデータ（鍵Ｄ１，Ｒ）を用いて、プログラム、暗号化データｄ１等のデータを復号化して各種処理を行う。
【００３８】
入力部３２は、数字入力キー及び各種機能キーなどを備えたキーパッドを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ３１に出力する。表示部３４は、ＬＣＤ等で構成され、ＣＰＵ３１からの表示信号に従って画面表示を行う。また、入力部３２は、表示部３４と一体的にタッチパネルを構成することとしてもよい。
【００３９】
フラッシュメモリ３５は、各種プログラム及び各種データを読み出し及び書き込み可能に記憶する。フラッシュメモリ３５は、第１の情報処理プログラムと、鍵Ｄ１で暗号化された暗号化データｄ１と、を記憶する。
【００４０】
通信部３６は、通信制御部により構成され、通信ネットワークＮを介してセンタサーバ１０と情報を送受信する。
【００４１】
接続部３７は、ソケット等から構成され、ＳＡＭ４０が接続され、ＣＰＵ３１の指示により、接続されたＳＡＭ４０と情報を送受信する。
【００４２】
カードリーダ３８は、図示しないＣＰＵ、ＲＡＭ、ＲＯＭ、フラッシュメモリ、接続部等を備える。カードリーダ３８において、ＲＯＭから読み出されＲＡＭに展開されたプログラムとＣＰＵとの協働で各種処理を実行する。また、接続部は、接続されたＩＣカード６０の情報を読み取る。カードリーダ３８において、フラッシュメモリには、後述する鍵Ｒが記憶されており、ＣＰＵは、ＩＣカード６０から読み出した情報を、鍵Ｒを使って暗号化し、暗号化した情報を電子機器３０を介してＳＡＭ４０に送信する。
【００４３】
ＩＣカード６０は、各顧客が有する決済用の記録媒体としてのカードである。ＩＣカード６０は、接触式又は非接触式のカードであり、各ＩＣカードでユニークなカード情報を記憶するＩＣチップを備える。決済用の記録媒体としては、ＩＣカード６０に代えて、磁気カード、生体認証カード等、他の記録媒体としてもよい。
【００４４】
接続部３９は、ソケット等から構成され、メモリカード７０が接続され、ＣＰＵ３１の指示により、接続されたメモリカード７０に記録された各種情報の読み出しや、情報の書き込みを行う。
【００４５】
次いで、ＳＡＭ４０の構成を説明する。図４に、ＳＡＭ４０の内部構成を示す。
【００４６】
図４に示すように、ＳＡＭ４０は、第２の制御手段としてのＣＰＵ４１と、暗号演算手段としての暗号演算部４２と、ＲＡＭ４３と、異常検出部４４と、ＲＯＭ４５と、通信部４６と、第２の記憶手段としてのフラッシュメモリ４７と、を備えて構成され、各部がバス４８を介して接続される。
【００４７】
ＣＰＵ４１、ＲＡＭ４３、フラッシュメモリ４７については、電子機器３０のＣＰＵ３１、ＲＡＭ３３、フラッシュメモリ３５の構成と同様であり、異なる部分を主として説明する。
【００４８】
ＣＰＵ４１は、ＲＯＭ４５やフラッシュメモリ４７に記憶されたプログラムとの協働で、各種処理を実行する。例えば、ＣＰＵ４１は、異常検出部４４により異常が検出された場合に、ＲＡＭ４３及びフラッシュメモリ４７に記憶された情報を破壊（消去）する。また、ＣＰＵ４１は、フラッシュメモリ４７に記憶された鍵を用いて、暗号演算部４２により情報を暗号化又は復号化させる。
【００４９】
また、ＣＰＵ４１は、第１のＳＡＭ使用許可プログラムとの協働で、電子機器３０から送信された暗号化情報を鍵Ｔ１で復号化し、暗号化情報が動作ＯＫ情報であるか否かを判別し、動作ＯＫ情報である場合に、電子機器３０の動作（認証）（ＳＡＭ４０のデータ（鍵Ｔ１，Ｄ１，Ｒ）の使用）を許可設定する。
【００５０】
暗号演算部４２は、ＣＰＵ４１の指示により、フラッシュメモリ４７に記憶された鍵を用いて、各種情報を暗号化し、また暗号化された各種情報を復号化する。
【００５１】
異常検出部４４は、例えば、電圧センサ、温度センサ、光センサ等の少なくとも一つを備え、善意又は悪意によらず第三者がＳＡＭ４０のデータを読み取ろうと又は変更しようとする際の異常電圧、異常温度、異常光量等を検出し、その異常の旨を示す検出信号をＣＰＵ４１に出力する。
【００５２】
ＲＯＭ４５には、書き換えが不要であるデータが予め記憶されている。例えば、ＳＡＭ４０のシステムプログラムである。
【００５３】
通信部４６は、通信制御部により構成され、有線又は無線で電子機器３０と通信接続して情報を送受信する。
【００５４】
フラッシュメモリ４７は、各種プログラム及び各種データを読み出し又は書き込み可能に記憶する。フラッシュメモリ４７に代えてＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリを用いる構成としてもよい。
【００５５】
フラッシュメモリ４７は、第１のＳＡＭ使用許可プログラムと、鍵Ｔ１，Ｄ１，Ｒと、を記憶する。第１のＳＡＭ使用許可プログラムは、ＲＯＭ４５に記憶される構成としてもよい。
【００５６】
次に、図５及び図６を参照して、決済システム１の各装置に記憶される情報を説明する。図５に、決済システム１の各装置に記憶される情報を示す。図６に、認証テーブル１５１の構成を示す。
【００５７】
図５に示すように、決済システム１において、センタサーバ１０の記憶部１５には、鍵Ｔ１が記憶されている。鍵Ｔ１は、センタサーバ１０が電子機器３０を認証するための鍵であり、電子機器ごとにユニークな鍵である。
【００５８】
電子機器３０のカードリーダ３８には、内部のフラッシュメモリに鍵Ｒが記憶されている。鍵Ｒは、カードリーダ３８が電子機器３０を認証するための鍵である。
【００５９】
電子機器３０のフラッシュメモリ３５には、鍵Ｄ１で暗号化された暗号化データｄ１が記憶されている。鍵Ｄ１は、電子機器３０にあるデータを暗号化または復号化するための鍵である。暗号化データｄ１は、例えば、決済処理に使用されるカード判別データである。カード判別データは、ＩＣカード６０の機能を判別したり、ＩＣカードのカード情報のリストを含み、使えないＩＣカードを判定するための情報である。ＳＡＭ４０には、フラッシュメモリ４７に鍵Ｔ１と、鍵Ｒと、鍵Ｄ１と、端末ＩＤ２０１と、が記憶されている。端末ＩＤとは、電子機器毎にユニークな識別情報である。
【００６０】
各鍵の暗号化及び復号化には、互いに相応する鍵を用いて行われる。例えば、ある鍵を用いて情報を暗号化した場合に、その鍵に相応する鍵を用いると暗号化された情報の復号化が可能となる。本実施の形態では、暗号化する鍵と、復号化する鍵とが、同一である共通の共通鍵方式で暗号化及び復号化するものとして説明する。しかし、公開鍵方式や、セション鍵方式等の方式で暗号化及び復号化する構成としてもよい。公開鍵方式では、公開鍵と秘密鍵のペアが互いに相応する鍵となる。
【００６１】
また、図６に示すように、センタサーバ１０の記憶部１５には、電子機器の管理情報としての認証テーブル１５１が記憶される。認証テーブル１５１は、ログインＩＤ１５２と、端末ＩＤ１５３と、鍵１５４と、許可情報１５５と、を有する。
【００６２】
ログインＩＤ１５２は、電子機器毎にユニークなログインＩＤである。ログインＩＤ１０１は、電子機器３０に付与された端末ＩＤとする。端末ＩＤ１５３は、電子機器毎にユニークな端末ＩＤである。端末ＩＤ２０１は、電子機器３０Ａに付与された端末ＩＤとする。鍵１５４は、電子機器毎の認証用の鍵を特定する情報である。許可情報１５５は、電子機器の動作が許可されているか否かを示す情報である。
【００６３】
例えば、電子機器が故障する等で、センタサーバ１０側にユーザから連絡があった場合や、電子機器の契約者とセンタサーバ１０側の会社との契約が完了してない又は切れている場合等に、センタサーバ１０側で許可情報１５５が動作不許可に設定される。逆に、センタサーバ１０側に動作すべきでない旨の連絡がない場合や、電子機器の契約者とセンタサーバ１０側の会社との契約が完了しており切れていない場合に、許可情報１５５が動作許可に設定される。
【００６４】
以下、電子機器３０のログインＩＤ１５２、端末ＩＤ１５３、鍵１５４、許可情報１５５は、順に、ログインＩＤ１０１、端末ＩＤ２０１、鍵Ｔ１、動作許可、に設定されているものとする。
【００６５】
次に、図７及び図８を参照して、決済システム１の動作を説明する。図７に、第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理の流れを示す。図８に、図７の第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理の続きの流れを示す。また、各処理の実行前に、ログインＩＤを用いた電子機器３０からセンタサーバ１０へのログイン処理が行われるものとするが、その説明を省略する。
【００６６】
センタサーバ１０で実行される第１の端末管理処理を説明する。センタサーバ１０において、例えば、通信部１６を介して、暗号化端末ＩＤと、端末ＩＤと、が電子機器３０から受信開始されたことをトリガとして、記憶部１５から読み出されて適宜ＲＡＭ１３に展開された第１の端末管理プログラムとＣＰＵ１１との協働で、第１の端末管理処理が実行される。
【００６７】
先ず、ステップＳ１１において、通信部１６を介して、暗号化端末ＩＤと、端末ＩＤと、が電子機器３０から受信され、記憶部１５から認証テーブル１５１が読み出される。そして、認証テーブル１５１が参照され、受信した端末ＩＤ１５３に対応する鍵１５４が特定され、特定された鍵（ここでは鍵Ｔ１）が記憶部１５から読み出される。そして、読み出された鍵を用いて暗号化端末ＩＤが復号化される（ステップＳ１１）。
【００６８】
そして、復号化した端末ＩＤと、受信した端末ＩＤとが比較され、同一であるか否かにより、ステップＳ１１の復号がＯＫであるか否かが判別される（ステップＳ１２）。復号ＯＫである場合（ステップＳ１２；ＹＥＳ）、認証テーブル１５１が参照され、対応する端末ＩＤの許可情報１５５が許可であるか否かが判別される（ステップＳ１３）。
【００６９】
許可されている場合（ステップＳ１３；ＹＥＳ）、電子機器動作ＯＫ（認証許可）の旨のＯＫ信号が生成されて、動作ＯＫの端末（電子機器３０）に対応する鍵（ここでは鍵Ｔ１）を用いてＯＫ信号が暗号化され、暗号化ＯＫ信号として通信部１６を介して電子機器３０に送信され（ステップＳ１４）、第１の端末管理処理が終了する。ＯＫ情報は、電子機器３０にＳＡＭ４０のデータの使用を伴う動作を許可する旨の信号である。
【００７０】
復号ＯＫでない場合（ステップＳ１２；ＮＯ）、又は許可されていない場合（ステップＳ１３；ＮＯ）、電子機器動作拒否（認証拒否）の旨の拒否信号が生成されて、動作拒否の端末（電子機器３０）に対応する鍵（ここでは鍵Ｔ１）を用いて拒否信号が暗号化され、暗号化拒否信号として通信部１６を介して電子機器３０に送信され（ステップＳ１５）、第１の端末管理処理が終了する。拒否情報は、電子機器３０にＳＡＭ４０のデータの使用を伴う動作を拒否する旨の信号である。
【００７１】
次いで、電子機器３０で実行される第１の情報処理を説明する。電子機器３０において、例えば、電源投入されたことをトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第１の情報処理プログラムとＣＰＵ３１との協働で、第１の情報処理が実行される。
【００７２】
先ず、ステップＳ２１において、接続部３７を介して、ＳＡＭ４０に端末ＩＤの要求が送信され、その端末ＩＤがＳＡＭ４０から受信される（ステップＳ２１）。そして、接続部３７を介して、受信された端末ＩＤが暗号化のためにＳＡＭ４０に送信され、暗号化端末ＩＤをＳＡＭ４０から受信する（ステップＳ２２）。そして、ステップＳ１１に対応して、通信部３６を介して、端末ＩＤと、暗号化端末ＩＤとがセンタサーバ１０へ送信される（ステップＳ２３）。
【００７３】
そして、ステップＳ１４又はＳ１５に対応して、通信部３６を介して、暗号化ＯＫ信号又は暗号化拒否信号をセンタサーバ１０から受信して、接続部３７を介して、暗号化ＯＫ信号又は暗号化拒否信号がＳＡＭ４０に送信される（ステップＳ２４）。
【００７４】
そして、フラッシュメモリ３５、カードリーダ３８に記憶され、ＳＡＭ４０に記憶される鍵で暗号化された所望のプログラム及びデータの少なくとも一つが読み出され、接続部３７を介して、暗号化されたプログラム及びデータの少なくとも一つがＳＡＭ４０に送信され、復号化されたプログラム及びデータがＳＡＭ４０から受信される（ステップＳ２５）。そして、復号化されたプログラム及びデータを用いて各種処理が実行される（ステップＳ２６）。
【００７５】
ステップＳ２５，Ｓ２６では、例えば、カードリーダ３８によりＩＣカード６０から読み出されたカード情報が、鍵Ｒで暗号化されて電子機器３０に送信される。そして、入力部３２で暗証番号等の暗証情報が入力される。電子機器３０において、鍵Ｒで暗号化されたカード情報がＳＡＭ４０に送信される。ＳＡＭ４０でカード情報が鍵Ｒで復号化され、電子機器３０に送信される。そして、ステップＳ２６で、復号化されたカード情報と、暗証番号とがＳＡＭ４０に送信されて鍵Ｔ１で暗号化され、購入した商品代金の情報等とともに決済情報としてセンタサーバ１０に端末ＩＤとともに送信される。そして、センタサーバ１０で受信された決済情報のカード情報及び暗証番号が、端末ＩＤに対応する鍵Ｔ１で復号化される。そのカード情報及び暗証番号を用いて、ＩＣカードが正当であると認証された場合に、決済情報の代金情報を用いて決済処理が実行される。センタサーバ１０の決済結果は、電子機器３０に送信される。
【００７６】
また、ステップＳ２５，Ｓ２６では、例えば、フラッシュメモリ３５に記憶された使用していないカード情報の暗号化データｄ１がＳＡＭ４０に送信される。ＳＡＭ４０で暗号化データｄ１が鍵Ｄ１で復号化され、その復号化データを用いて、上記鍵Ｒで復号化されたカード情報が使用していないものであるか判別され、使用していないものである場合に、そのＩＣカード６０の決済が禁止に設定される。
【００７７】
ステップＳ２６の実行後、セキュリティを守るため、復号化されたプログラム及びデータの少なくとも一つが消去され（ステップＳ２７）、第１の情報処理が終了する。
【００７８】
次いで、ＳＡＭ４０で実行される第１のＳＡＭ使用許可処理を説明する。ＳＡＭ４０において、例えば、ステップＳ２１に対応して、通信部４６を介して、端末ＩＤ要求を電子機器３０から受信開始したことをトリガとして、フラッシュメモリ４７から読み出されて適宜ＲＡＭ４３に展開された第１のＳＡＭ使用許可プログラムとＣＰＵ４１との協働で、第１のＳＡＭ使用許可処理が実行される。
【００７９】
先ず、通信部４６を介して、端末ＩＤ要求が電子機器３０から受信され、フラッシュメモリ４７から端末ＩＤが読み出されて電子機器３０に送信される（ステップＳ３１）。そして、ステップＳ２２に対応して、通信部４６を介して、端末ＩＤが電子機器３０から受信され、フラッシュメモリ４７から電子機器３０認証用の鍵（ここでは鍵Ｔ１）が読み出され、端末ＩＤが読み出した鍵で暗号演算部４２を介して暗号化され暗号化端末ＩＤとして電子機器３０に送信される（ステップＳ３２）。
【００８０】
そして、ステップＳ２４に対応して、通信部４６を介して、暗号化ＯＫ信号又は暗号化拒否信号が電子機器３０から受信され、鍵（ここでは鍵Ｔ１）で暗号演算部４２を介して復号化される（ステップＳ３３）。そして、ステップＳ３３で復号化された信号がＯＫ信号であるか否かにより、電子機器３０の動作がＯＫであるか否かが判別される（ステップＳ３４）。電子機器３０の動作がＯＫである場合（ステップＳ３４；ＹＥＳ）、ＳＡＭ４０のデータが使用許可に設定される（ステップＳ３５）。ＳＡＭ４０のデータの使用許可の旨の信号は、電子機器３０に送信される構成としてもよい。
【００８１】
そして、ステップＳ２５に対応して、通信部４６を介して、暗号化されたプログラム及びデータの少なくとも一つが電子機器３０から受信され、フラッシュメモリ４７から鍵Ｒ又は鍵Ｄ１が読み出される。そして、暗号化されたプログラム及びデータの少なくとも一つが暗号演算部４２を介して鍵（ここでは鍵Ｒ又は鍵Ｄ１）で復号化されて電子機器３０に送信され（ステップＳ３６）、第１のＳＡＭ使用許可処理が終了する。
【００８２】
ステップＳ３３で復号化された信号が拒否信号である、又は復号に失敗し、電子機器３０の動作がＯＫでない場合（ステップＳ３４；ＮＯ）、ＳＡＭ４０のデータ使用禁止が設定され（ステップＳ３７）、第１のＳＡＭ使用許可処理が終了する。ＳＡＭ４０のデータの使用不許可の旨の信号は、電子機器３０に送信される構成としてもよい。
【００８３】
センタサーバ１０が許可を出していない場合に鍵Ｄ１，Ｒを使用できないため、電子機器３０のＣＰＵ３１は、鍵Ｄ１，Ｒを用いた動作を行うことができない。このため、悪意を持って電子機器３０からクレジットカード等の番号を盗もうとしても、電子機器３０は動作しないので悪意から防御することが可能である。
【００８４】
以上、本実施の形態によれば、ＳＡＭ４０を中心にセキュリティを構築する。このため、従来のものより格段にセキュリティを高めることができる。従来型の、筐体の開封センサでは安いドリルでセンサをバイパスできるのに対し、ＳＡＭ４０の半導体のサブミクロンレベルで対策を施されたものを解析するには高価な専用機器と技術力が必要になるためである。
【００８５】
加えて、強力なセキュリティ機能を備えたＳＡＭ４０内の鍵Ｔ１に相対するセンタサーバ１０の鍵Ｔ１を用いて電子機器３０の動作の可否を制御する。このため、排除したい電子機器の動作を確実に排除できる。この構成により、電子機器の不正使用、不正流用、解析の試みを阻止できるとともに、契約が終了した電子機器や廃棄された電子機器を確実に動作禁止にすることができる。
【００８６】
また、ＳＡＭ４０により電子機器３０で使用する鍵を管理する。このため、悪意のあるＳＡＭ４０内の鍵の解析の試みを確実に防御できる。加えて、センタサーバ１０の許可がなければそれらの鍵の使用の試みすらできない。このため、ＳＡＭ４０が物理的な耐タンパー性を持っている上、電流・電力解析も防御できている。
【００８７】
また、鍵Ｄ１，Ｒにより、ＳＡＭ４０と、ＳＡＭ４０外（例えば電子機器３０内）とのデータの鍵の組み合わせが特定される。このため、第三者のデータを紛れ込ませることができなくなる。例えば、ＳＡＭ４０外のデータをねつ造して不正な利益を得ようとするような試みが阻止できる。万一、ＳＡＭ４０内の一つの鍵の解読に成功したとしても、その鍵はその電子機器でしか利用できない。このため、他の電子機器とその利用に影響を与えずに済む。
【００８８】
また、上記構成により、パスワードなどによる本人確認に頼らなくてもセキュリティが確保でき、業務システム構築上わずらわしいパスワードの管理を不要にしている。
【００８９】
なお、鍵Ｔ１は、１組である必要はなく、必要な確認・認証を実現するために１つの電子機器に数組使用されることもあり、以下、同様である。
【００９０】
（変形例）
図９〜図１１を参照して、上記第１の実施形態の変形例を説明する。先ず、図９を参照して、本実施の形態の装置構成を説明する。図９に、本変形例の決済システム２の構成を示す。
【００９１】
図９に示すように、決済システム２は、センタサーバ１０ａと、電子機器３０Ａ〜３０Ｃと、ＳＡＭ４０Ａ〜４０Ｃと、を備えて構成される。センタサーバ１０ａは、通信ネットワークＮを介して電子機器３０Ａ〜３０Ｃと通信接続される。電子機器３０Ａは、ＳＡＭ４０Ａと通信接続される。電子機器３０Ｂは、ＳＡＭ４０Ｂと通信接続される。電子機器３０Ｃは、ＳＡＭ４０Ｃと通信接続される。
【００９２】
本変形例では、電子機器及びＳＡＭの組み合わせが３系統ある構成を説明するが、２系統又は４系統以上としてもよい。
【００９３】
センタサーバ１０ａ、電子機器３０Ａ〜３０Ｃ、ＳＡＭ４０Ａ〜４０Ｃは、それぞれ、第１の実施の形態のセンタサーバ１０、電子機器３０、ＳＡＭ４０と同様であり、異なる部分を主として説明する。
【００９４】
センタサーバ１０ａの記憶部１５は、後述する認証テーブル１５１ａと、鍵Ｔ１，Ｔ２と、を記憶する。電子機器３０Ａ〜３０Ｃのフラッシュメモリ３５内のデータ、ＳＡＭ４０Ａ〜４０Ｃのフラッシュメモリ４７内のデータは、後述する。
【００９５】
次に、図１０及び図１１を参照して、決済システム２の各装置に記憶される情報を説明する。図１０に、決済システム２の各装置に記憶される情報を示す。図１１に、認証テーブル１５１ａの構成を示す。
【００９６】
図１０においては、鍵Ｒは省略されている。鍵Ｒは、ＳＡＭ４０Ａ〜４０Ｃにそれぞれ格納される。また、鍵Ｒは、電子機器（ＳＡＭ）毎にユニークな鍵が好ましく、以下同様である。
【００９７】
図１０に示すように、決済システム２において、センタサーバ１０ａの記憶部１５には、鍵Ｔ１，Ｔ２が記憶されている。鍵Ｔ１，Ｔ２は、センタサーバ１０ａが電子機器３０Ａ，３０Ｂを認証するための鍵である。
【００９８】
電子機器３０Ａのフラッシュメモリ３５には、鍵Ｄ１で暗号化された暗号化データｄ１が記憶されている。鍵Ｄ１は、電子機器３０Ａにあるデータを暗号化または復号化するためのデータである。ＳＡＭ４０Ａには、フラッシュメモリ４７に、鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、が記憶されている。端末ＩＤ２０１は、電子機器３０Ａに付与された端末ＩＤとする。
【００９９】
電子機器３０Ｂのフラッシュメモリ３５には、鍵Ｄ２で暗号化された暗号化データｄ１が記憶されている。鍵Ｄ２は、電子機器３０Ｂにあるデータを暗号化または復号化するためのデータである。ＳＡＭ４０Ｂには、フラッシュメモリ４７に鍵Ｔ２と、鍵Ｄ２と、端末ＩＤ２０２と、が記憶されている。端末ＩＤ２０２は、電子機器３０Ａに付与された端末ＩＤとする。
【０１００】
電子機器３０Ｃのフラッシュメモリ３５には、鍵Ｄ２で暗号化された暗号化データｄ２が記憶されている。ＳＡＭ４０Ｃには、フラッシュメモリ４７に鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、が記憶されている。つまり、悪意のある無しに関わらず、電子機器３０Ｃ及びＳＡＭ４０Ｃは、電子機器３０ＢにＳＡＭ４０Ａを接続した構成と同等の構成の例である。
【０１０１】
また、図１１に示すように、センタサーバ１０ａの記憶部１５には、認証テーブル１５１ａが記憶される。認証テーブル１５１ａは、ログインＩＤ１５２と、端末ＩＤ１５３と、鍵１５４と、許可情報１５５と、を有する。ログインＩＤ，端末ＩＤ１５３、鍵１５４、許可情報１５５は、端末ＩＤ２０１，２０２に関し設定されているものとする。
【０１０２】
センタサーバ１０ａは、認証する電子機器に対応した図７及び図８に示される第１の端末管理処理を実行する。同様に、第１の情報処理及び第１のＳＡＭ使用許可処理は、電子機器３０Ａ及びＳＡＭ４０Ａと、電子機器３０Ｂ及びＳＡＭ４０Ｂと、電子機器３０Ａ及びＳＡＭ４０Ａとのいずれか一つの組み合わせにより実行される。このように、センタサーバ１０ａは、動作許可対象の電子機器及びＳＡＭに対応した第１の端末管理処理を実行する。電子機器３０Ａ〜３０Ｃは、第１の情報処理を実行する。ＳＡＭ４０Ａ〜４０Ｃは、第１のＳＡＭ使用許可処理を実行する。
【０１０３】
電子機器３０Ａ又は３０Ｂで第１の情報処理が実行されると、センタサーバ１０ａで電子機器３０Ａ又は３０Ｂが動作許可され、ＳＡＭ４０Ａ又は４０Ｂのデータ使用が許可され、暗号化データｄ１又はｄ２等を用いて、各種処理がなされる。しかし、電子機器３０Ｃで第１の情報処理が実行されると、センタサーバ１０ａで電子機器３０Ｃが動作許可され、ＳＡＭ４０Ｃのデータ使用が許可されるが、ＳＡＭ４０Ｃ内の鍵Ｄ１が電子機器３０Ｃ内の鍵Ｄ２の暗号化データｄ３を復号化できない。このため、実質的に電子機器３０Ｃは動作できない。このように、正しい設定のみでしか電子機器は動作しないのでＩＣカード６０の番号を盗みとろうとするような試みを防止することになる。
【０１０４】
以上、本変形例によれば、ＳＡＭ４０Ａ〜４０Ｃを中心にセキュリティを構築する。このため、従来のものより格段にセキュリティを高めることができる。加えて、強力なセキュリティ機能を備えたＳＡＭ４０Ａ〜４０Ｃ内の鍵Ｔｎに相対するセンタサーバ１０ａの鍵Ｔｎを用いて電子機器の動作の利用可否を電子機器毎に制御する。このため、排除したい電子機器の動作を確実に排除できる。
【０１０５】
（第２の実施の形態）
図１２〜図１６を参照して、本発明に係る第２の実施の形態を説明する。図１２に、本実施の形態の決済システム３の構成を示す。
【０１０６】
図１２に示すように、決済システム３は、センタサーバ１０ｂと、外部機器としてのＥＣＲ（Electronic Cash Register）２０Ａ〜２０Ｃと、電子機器３０Ａ〜３０Ｃと、ＳＡＭ４０Ａ〜４０Ｃと、を備えて構成される。センタサーバ１０ｂは、通信ネットワークＮを介してＥＣＲ２０Ａ〜２０Ｃと通信接続される。電子機器３０Ａは、ＥＣＲ２０Ａ及びＳＡＭ４０Ａと通信接続される。電子機器３０Ｂは、ＥＣＲ２０Ｂ及びＳＡＭ４０Ｂと通信接続される。電子機器３０Ｃは、ＥＣＲ２０Ｃ及びＳＡＭ４０Ｃと通信接続される。
【０１０７】
本実施の形態では、ＥＣＲ、電子機器及びＳＡＭの組み合わせが３系統ある構成を説明するが、３系統以外の系統数としてもよい。
【０１０８】
センタサーバ１０ｂ、電子機器３０Ａ〜３０Ｃ、ＳＡＭ４０Ａ〜４０Ｃは、それぞれ、第１の実施の形態のセンタサーバ１０、電子機器３０、ＳＡＭ４０と同様であり、異なる部分を主として説明する。
【０１０９】
センタサーバ１０ｂの記憶部１５は、第２の端末管理プログラムと、後述する認証テーブル１５１ｂと、鍵Ｔ１，Ｔ２と、を記憶する。
【０１１０】
次いで、ＥＣＲ２０Ａ〜２０Ｃの構成を説明する。図１３に、ＥＣＲ２０Ａ〜２０Ｃの内部構成を示す。
【０１１１】
図１３に示すように、ＥＣＲ２０Ａ〜２０Ｃは、それぞれ、ＣＰＵ２１と、入力部２２と、ＲＡＭ２３と、表示部２４と、記憶部２５と、通信部２６と、プリント部２７と、ドロア２８と、接続部２９と、を備えて構成され、各部がバス２９ａを介して接続される。
【０１１２】
ＣＰＵ２１、入力部２２、ＲＡＭ２３、表示部２４については、第１の実施の形態のセンタサーバ１０のＣＰＵ１１、入力部１２、ＲＡＭ１３、表示部１４の構成と同様であり、異なる部分を主として説明する。
【０１１３】
ＥＣＲ２０Ａ〜２０ＣのＣＰＵ２１は、記憶部２５に記憶されたログインプログラムとの協働で、センタサーバ１０ｂにログインを行い、センタサーバ１０ｂと電子機器３０Ａ〜３０Ｃとの通信を中継する。
【０１１４】
入力部２２は、カーソルキー、文字、数字入力キー及び各種機能キーなどを備えたレジ用のキーボードを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ２１に出力する。表示部２４は、ＬＣＤ等で構成され、ＣＰＵ２１からの表示信号に従って画面表示を行う。また、入力部２２は、表示部２４と一体的にタッチパネルを構成することとしてもよい。
【０１１５】
記憶部２５は、ＲＯＭやフラッシュメモリ等により構成される。記憶部２５は、各種プログラム及び各種データを、ＲＯＭから読み出し可能に、又はフラッシュメモリから読み出し及び書き込み可能に記憶する。また、記憶部２５は、ＨＤＤ等により構成してもよい。また、記憶部２５は、ログインプログラムを記憶する。
【０１１６】
通信部２６は、ネットワークカード等の通信制御部により構成され、センタサーバ１０ｂと通信ネットワークＮを介して通信接続するとともに、有線又は無線で電子機器３０Ａ、３０Ｂ又は３０Ｃと通信接続し、センタサーバ１０、電子機器３０Ａ、３０Ｂ又は３０Ｃと情報を送受信する。
【０１１７】
プリント部２７は、例えば、サーマルプリンタであり、レシート用、ジャーナル用（商品登録内容の記録用）のロール紙を有し、ＣＰＵ２１から入力される指示に従って、各ロール紙に対して金額データ、店舗ロゴマーク等をプリントアウトする。
【０１１８】
ドロア２８は、現金を収納する引出しであり、例えば、ＣＰＵ２１の指示により、引出しを開ける。
【０１１９】
接続部２９は、ソケット等から構成され、メモリカード５０Ａ〜５０Ｃが接続され、ＣＰＵ２１の指示により、接続されたメモリカード５０Ａ〜５０Ｃに記録された各種情報の読み出しや、情報の書き込みを行う。ＥＣＲ２０Ａ〜２０Ｃの接続部２９には、それぞれ、メモリカード５０Ａ〜５０Ｃが接続されるものとする。
【０１２０】
メモリカード５０Ａ〜５０Ｃは、例えば、半導体メモリを備え、各種情報を半導体メモリに読み出し及び書き込み可能に記憶するメモリカードである。
【０１２１】
電子機器３０Ａ〜３０Ｃのフラッシュメモリ３５は、第２の情報処理プログラムを記憶する。電子機器３０Ａ〜３０Ｃの通信部３６は、ＥＣＲ２０Ａ〜２０Ｃとの通信を介する構成とする。ＳＡＭ４０Ａ〜４０Ｃのフラッシュメモリ４７は、第２のＳＡＭ使用許可プログラムを記憶する。フラッシュメモリ３５及びフラッシュメモリ４７の、プログラム以外の他の情報は、後述する。
【０１２２】
次に、図１２及び図１４を参照して、決済システム３の各装置に記憶される情報を説明する。図１４に、認証テーブル１５１ｂの内部構成を示す。
【０１２３】
図１２に示すように、決済システム３において、センタサーバ１０ｂの記憶部１５には、鍵Ｔ１，Ｔ２が記憶されている。
【０１２４】
ＥＣＲ２０Ａには、接続部２９を介してメモリカード５０Ａが接続される。メモリカード５０Ａには、ログインＩＤ１０１が記録されている。ログインＩＤは、ＥＣＲ（電子機器）毎にユニークなＩＤである。ログインＩＤ１０１は、電子機器３０Ａに付与された端末ＩＤとする。電子機器３０Ａのフラッシュメモリ３５には、鍵Ｄ１で暗号化された暗号化データｄ１が記憶されている。また、ＳＡＭ４０Ａには、フラッシュメモリ４７に、鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、鍵Ｒ（図示略）と、が記憶されている。
【０１２５】
ＥＣＲ２０Ｂには、接続部２９を介してメモリカード５０Ｂが接続される。メモリカード５０Ｂには、ログインＩＤ１０２が記録されている。ログインＩＤ１０２は、電子機器３０Ｂに付与された端末ＩＤとする。電子機器３０Ｂのフラッシュメモリ３５には、鍵Ｄ２で暗号化された暗号化データｄ２が記憶されている。また、ＳＡＭ４０Ａには、フラッシュメモリ４７に、鍵Ｔ２と、鍵Ｄ２と、端末ＩＤ２０２と、鍵Ｒ（図示略）と、が記憶されている。
【０１２６】
ＥＣＲ２０Ｃには、接続部２９を介してメモリカード５０Ｃが接続される。メモリカード５０Ｃには、ログインＩＤ１０２が記録されている。電子機器３０Ｃのフラッシュメモリ３５には、鍵Ｄ１で暗号化された暗号化データｄ３が記憶されている。また、ＳＡＭ４０Ｃには、フラッシュメモリ４７に、鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、鍵Ｒ（図示略）と、が記憶されている。つまり、悪意のある無しに関わらず、ＥＣＲ２０Ｃ、電子機器３０Ｃ及びＳＡＭ４０Ｃは、ＥＣＲ２０Ｂに電子機器３０Ａ及びＳＡＭ４０Ａを接続した構成と同等の構成の例である。
【０１２７】
また、図１４に示すように、センタサーバ１０ｂの記憶部１５には、認証テーブル１５１ｂが記憶される。認証テーブル１５１ｂは、ログインＩＤ１５２と、端末ＩＤ１５３と、鍵１５４と、許可情報１５５と、を有する。電子機器のログインＩＤ１５２、端末ＩＤ１５３、鍵１５４、許可情報１５５は、端末ＩＤ２０１，２０２に関し設定されているものとする。
【０１２８】
ＥＣＲ２０Ａ〜２０Ｃは、非決済業務のためにセンタサーバ１０ｂと通信路で接続されている。例えばＥＣＲ２０Ａ〜２０Ｃで商品コード及び商品名をセンタサーバ１０ｂからダウンロードして利用する場合には、決済と比較して高度なセキュリティは不要であり、ＥＣＲ２０Ａ〜２０Ｃを識別するためのログインＩＤなどをメモリカード５０Ａ〜５０Ｃに保持しておけば十分である。決済端末としての電子機器３０Ａ〜３０Ｃは、別の通信路を使用する必要はなく、ＥＣＲ２０Ａ〜２０Ｃの通信路を利用して動作を行う。
【０１２９】
次に、図１５及び図１６を参照して、決済システム３の動作を説明する。図１５に、第２の端末管理処理、ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理の流れを示す。図１６に、図１５の第２の端末管理処理、ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理の続きの流れを示す。ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理は、ＥＣＲ２０Ａ、電子機器３０Ａ、ＳＡＭ４０Ａの組み合わせ、ＥＣＲ２０Ｂ、電子機器３０Ｂ、ＳＡＭ４０Ｂの組み合わせ、又はＥＣＲ２０Ｃ、電子機器３０Ｃ、ＳＡＭ４０Ｃの組み合わせ、で実行される。
【０１３０】
センタサーバ１０ｂで実行される第２の端末管理処理を説明する。センタサーバ１０ｂにおいて、例えば、通信部１６を介して、ログインＩＤがＥＣＲから受信開始されたことをトリガとして、記憶部１５から読み出されて適宜ＲＡＭ１３に展開された第２の端末管理プログラムとＣＰＵ１１との協働で、第２の端末管理処理が実行される。
【０１３１】
先ず、ステップＳ４１において、通信部１６を介して、ログインＩＤがＥＣＲから受信され、ログインＩＤに対応するＥＣＲが識別され、そのＥＣＲのログインが受け付けられる。そして、通信部１６を介して、ログインＯＫの旨がログインＩＤ送信元のＥＣＲに送信され、通信が確立する（ステップＳ４１）。ステップＳ４２、Ｓ４３は、第１の端末管理処理のＳ１１，Ｓ１２と同様である。
【０１３２】
復号化がＯＫである場合（Ｓ４３；ＹＥＳ）、記憶部１５から認証テーブル１５１ｂが読み出され、ステップＳ４１で受信されたログインＩＤ１５２と、ステップＳ４３で復号化された端末ＩＤ１５３とが整合（対応）しているか否かが判別される（ステップＳ４４）。認証テーブル１５１ｂにおいて、ログインＩＤと端末ＩＤとは一対一に対応するものとする。
【０１３３】
ログインＩＤと端末ＩＤ１５３とが整合している場合（ステップＳ４４；ＹＥＳ）、ステップＳ４５に移行される。ログインＩＤと端末ＩＤ１５３とが整合していない場合（ステップＳ４４；ＮＯ）、ステップＳ４７に移行される。ステップＳ４５〜Ｓ４７は、第１の端末管理処理のＳ１３〜Ｓ１５と同様である。ステップＳ４７の実行後、第２の端末管理処理が終了する。
【０１３４】
次いで、ＥＣＲ２０Ａ〜２０Ｃで実行されるログイン処理を説明する。ＥＣＲ２０Ａ〜２０Ｃにおいて、例えば、入力部２２を介してユーザ（店員等）からログイン処理の実行指示が入力されたことをトリガとして、記憶部２５から読み出されて適宜ＲＡＭ２３に展開されたログインプログラムとＣＰＵ２１との協働で、ログイン処理が実行される。
【０１３５】
先ず、ステップＳ５１において、ステップＳ４１に対応して、接続部２９を介してメモリカード５０Ａ〜５０Ｃに記録されたログインＩＤが読み出され、そのログインＩＤが通信部２６を介してセンタサーバ１０ｂに送信される。そして、ログインＯＫの旨が通信部２６を介してセンタサーバ１０ｂから受信され、通信が確立する（ステップＳ５１）。
【０１３６】
そして、ステップＳ６３，Ｓ４２に対応して、通信部２６を介して、電子機器から受信される端末ＩＤ及び暗号化端末ＩＤがセンタサーバ１０ｂに送信され、通信中継される（ステップＳ５２）。そして、ステップＳ４６又はＳ４７及びＳ６４に対応して、通信部２６を介して、センタサーバ１０ｂから受信された暗号化ＯＫ信号又は暗号化拒否信号が端末ＩＤ等の送信元の電子機器に送信され、通信中継され（ステップＳ５３）、ログイン処理が終了する。
【０１３７】
次いで、電子機器３０Ａ〜３０Ｃで実行される第２の情報処理を説明する。電子機器３０Ａ〜３０Ｃにおいて、例えば、電源投入されたことをトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第２の情報処理プログラムとＣＰＵ３１との協働で、第２の情報処理処理が実行される。
【０１３８】
ステップＳ６１〜Ｓ６７は、第１の情報処理のステップＳ２１〜Ｓ２７と同様である。ステップＳ６７の実行後、第２の情報処理が終了する。
【０１３９】
次いで、ＳＡＭ４０Ａ〜ＳＡＭ４０Ｃで実行される第２のＳＡＭ使用許可処理を説明する。ＳＡＭ４０Ａ〜ＳＡＭ４０Ｃにおいて、例えば、ステップＳ６１に対応して、通信部４６を介して、端末ＩＤ要求を電子機器３０Ａ〜３０Ｃから受信開始したことをトリガとして、フラッシュメモリ４７から読み出されて適宜ＲＡＭ４３に展開された第２のＳＡＭ使用許可プログラムとＣＰＵ４１との協働で、第２のＳＡＭ使用許可処理が実行される。
【０１４０】
ステップＳ７１〜Ｓ７７は、第１のＳＡＭ使用許可処理のステップＳ３１〜Ｓ３７と同様である。ステップＳ７７の実行後、第２のＳＡＭ使用許可処理が終了する。
【０１４１】
ステップＳ４４により、ＥＣＲのログインＩＤと、ＳＡＭの端末ＩＤとの組み合わせを確認することが可能である。例えば、ＥＣＲ２０Ａ，電子機器３０Ａ及びＳＡＭ４０Ａの組み合わせ、ＥＣＲ２０Ｂ、電子機器３０Ｂ及びＳＡＭ４０Ｂの組み合わせ、では、ステップＳ４４でログインＩＤと端末ＩＤとの整合がとれ、電子機器が３０Ａ，３０Ｂが動作許可され、ＳＡＭ４０Ａ，４０Ｂのデータ使用が許可される。
【０１４２】
しかし、ＥＣＲ２０Ｃ，電子機器３０Ｃ及びＳＡＭ４０Ｃの組み合わせでは、ステップＳ４４でログインＩＤ１０２と端末ＩＤ２０１との整合がとれず、電子機器３０Ｃが動作許可されず、ＳＡＭ４０Ｃのデータ使用が許可されない。つまり、正当なＥＣＲ、電子機器及びＳＡＭの組み合わせにおいて、悪意のある無しに関わらず別の、ログインＩＤが記憶された機器（ここではメモリカード）及び電子機器を、ＳＡＭに付け替えた場合のＳＡＭのデータ使用を防ぐことができる。
【０１４３】
本実施の形態によれば、ＥＣＲ２０Ａ〜２０Ｃに電子機器３０Ａ〜３０Ｃをそれぞれ接続して使用するようなケースでは、ＥＣＲと電子機器（ＳＡＭ）との組み合わせをセンタサーバ１０ｂでチェックできる。このため、契約外の使用や、不正な使用・流用を止めることができる。よって、不正に遺棄された（本来は返却されるべき）電子機器を流用しようとしても不可能であり、利用者の契約は守られることになる。また、本来認められない取引（フロアリミット超過等）を防いだりすることが可能である。また、センタサーバ１０ｂがＥＣＲを介して電子機器（ＳＡＭ）をチェックできる。
【０１４４】
また、第１の実施の形態よりも電子機器の動作条件を厳しくしている。このため、例えば廃棄された電子機器やＳＡＭの利用の試みなどを確実に排除できる。本来、返却されなければならないこれらの電子機器やＳＡＭの、想定外の状況への対策となっている。
【０１４５】
なお、本実施の形態では、第２の情報としてのログインＩＤがメモリカード５０Ａ〜５０Ｃに記録されているものとしたが、特にメモリカードである必要も、ログインＩＤである必要もない。例えば、本実施の形態において、第３の情報として、ＥＣＲ２０Ａ〜２０Ｂの代わりにＰＣ等の外部機器に登録された契約者情報等を使用しても良いし、接続のために使用したルータ等のネットワーク機器のＭＡＣ（Media Access Control）アドレス等を第３の情報として利用してその組み合わせを監視するようにしても、同様の効果が期待できる。
【０１４６】
（第３の実施の形態）
図１７〜図２０を参照して、本発明に係る第３の実施の形態を説明する。図１７に、本実施の形態の決済システム４の構成を示す。
【０１４７】
図１７に示すように、決済システム４は、センタサーバ１０ｃと、電子機器３０Ａ〜３０Ｃと、ＳＡＭ４０Ａ〜４０Ｃと、を備えて構成される。センタサーバ１０ｃは、通信ネットワークＮを介して電子機器３０Ａ〜３０Ｃと通信接続される。電子機器３０Ａは、ＳＡＭ４０Ａと通信接続される。電子機器３０Ｂは、ＳＡＭ４０Ｂと通信接続される。電子機器３０Ｃは、ＳＡＭ４０Ｃと通信接続される。
【０１４８】
本実施の形態では、電子機器及びＳＡＭの組み合わせが３系統ある構成を説明するが、３系統以外の系統数としてもよい。
【０１４９】
センタサーバ１０ｃ、電子機器３０Ａ〜３０Ｃ、ＳＡＭ４０Ａ〜４０Ｃは、それぞれ、第１の実施の形態のセンタサーバ１０、電子機器３０、ＳＡＭ４０と同様であり、異なる部分を主として説明する。
【０１５０】
電子機器３０Ａ〜３０Ｃは、それぞれ第４の記憶手段としてのメモリカード７０Ａ〜７０Ｃが接続される。センタサーバ１０ｃの記憶部１５は、第３の端末管理プログラムと、後述する認証テーブル１５１ｃと、鍵Ｔ１，Ｔ２，Ｔ３と、共有情報ｄ１０と、固有情報ｄ１１と、を記憶する。電子機器３０Ａ〜３０Ｃのフラッシュメモリ３５は、第３の情報処理プログラムを記憶する。ＳＡＭ４０Ａ〜４０Ｃのフラッシュメモリ４７は、第３のＳＡＭ使用許可プログラムを記憶する。フラッシュメモリ３５及びフラッシュメモリ４７の、プログラム以外の情報と、メモリカード７０Ａ〜７０Ｃに記憶される情報とは、後述する。
【０１５１】
次に、図１７及び図１８を参照して、決済システム４の各装置に記憶される情報を説明する。図１８に、認証テーブル１５１ｃの内部構成を示す。
【０１５２】
図１７に示すように、決済システム４において、センタサーバ１０ｃの記憶部１５には、鍵Ｔ１，Ｔ２，Ｔ３と、共有情報ｄ１０と、固有情報ｄ１１と、が記憶されている。
【０１５３】
鍵Ｔ３は、センタサーバ１０ｃが電子機器３０Ｃを認証するための鍵である。共有情報ｄ１０は、電子機器３０Ａ〜３０Ｃで共有の情報である。共有情報ｄ１０は、例えば、ＩＣカード６０のカード情報のブラックリストである。固有情報ｄ１１は、電子機器３０Ａ〜３０Ｃのそれぞれ固有に設定されている情報である。固有情報ｄ１１は、例えば、決済できるＩＣカード６０のカード種である。また、共有情報ｄ１０及び固有情報ｄ１１は、電子機器３０Ａ〜３０Ｃに送信可能な情報であり、決済処理データ（例えば、カード判別情報）を構成する情報である。
【０１５４】
電子機器３０Ａのフラッシュメモリ３５には、鍵Ｄ１で暗号化された決済処理データｄ４が記憶されている。また、電子機器３０Ａは、接続部３９を介してメモリカード７０Ａが接続される。メモリカード７０Ａには、ログインＩＤ１０１と、売上データｄ７と、が記録されている。売上データｄ７は、電子機器３０Ａで生成され、鍵Ｄ１で暗号化されたデータである。また、ＳＡＭ４０Ａには、フラッシュメモリ４７に、鍵Ｔ１と、鍵Ｄ１と、端末ＩＤ２０１と、鍵Ｒ（図示略）と、が記憶されている。
【０１５５】
電子機器３０Ｂのフラッシュメモリ３５には、鍵Ｄ２で暗号化された決済処理データｄ５が記憶されている。また、電子機器３０Ｂは、接続部３９を介してメモリカード７０Ｂが接続される。メモリカード７０Ｂには、ログインＩＤ１０２と、売上データｄ８と、が記録されている。売上データｄ８は、決済に関する処理実行により電子機器３０Ａで生成され、鍵Ｄ１で暗号化された決済記録としてのデータである。また、ＳＡＭ４０Ｂには、フラッシュメモリ４７に、鍵Ｔ２と、鍵Ｄ２と、端末ＩＤ２０２と、鍵Ｒ（図示略）と、が記憶されている。
【０１５６】
電子機器３０Ｃのフラッシュメモリ３５には、鍵Ｄ３で暗号化された決済処理データｄ６が記憶されている。また、電子機器３０Ｃは、接続部３９を介してメモリカード７０Ｃが接続される。メモリカード７０Ｃには、ログインＩＤ１０３と、売上データｄ９と、が記録されている。売上データｄ９は、電子機器３０Ａで生成され、鍵Ｄ１で暗号化されたデータである。また、ＳＡＭ４０Ｃには、フラッシュメモリ４７に、鍵Ｔ３と、鍵Ｄ３と、端末ＩＤ２０３と、鍵Ｒ（図示略）と、が記憶されている。
【０１５７】
メモリカード７０Ａ〜７０Ｃに記憶されるデータは、売上データｄ７〜ｄ９の他に、買い物を返品されたときなどの取消処理で生成された取消記録でもよい。これらはメモリカード７０Ａ〜７０Ｃに記録されているので、電子機器を別の代替機材に替えてもセンタサーバ１０ｃに決済金を請求することが可能である。
【０１５８】
また、図１８に示すように、センタサーバ１０ｃの記憶部１５には、認証テーブル１５１ｃが記憶される。認証テーブル１５１ｃは、ログインＩＤ１５２と、端末ＩＤ１５３と、鍵１５４と、第４の情報としての許可情報１５５と、電子機器３０Ａ〜３０Ｃに対応する固有情報を特定するための固有情報１５６と、を有する。電子機器のログインＩＤ１５２、端末ＩＤ１５３、鍵１５４、許可情報１５５、固有情報１５６は、端末ＩＤ２０１，２０２，２０３に関し設定されているものとする。固有情報は、電子機器３０Ａ〜３０Ｃにそれぞれ対応して、固有情報３０１〜３０３が設定されている。
【０１５９】
許可情報１５５は、本実施の形態では、電子機器が故障した場合に、その復旧処理を許可するか否かの情報、その代替機器を提供したか否かの情報などが含まれる。例えば、ある電子機器の復旧を許可し、代替機器を提供した場合に、許可情報１５５が動作許可に設定される。例えば、ある電子機器が故障しているとの連絡があり、代替機器を提供していない場合に、許可情報１５５が動作不許可に設定される。
【０１６０】
次に、図１９及び図２０を参照して、決済システム４の動作を説明する。図１９に、第３の端末管理処理、第３の情報処理、第３のＳＡＭ使用許可処理の流れを示す。図２０に、図１９の第３の端末管理処理、第３の情報処理、第３のＳＡＭ使用許可処理の続きの流れを示す。第３の情報処理、第３のＳＡＭ使用許可処理は、電子機器３０Ａ、ＳＡＭ４０Ａの組み合わせ、電子機器３０Ｂ、ＳＡＭ４０Ｂの組み合わせ、又は電子機器３０Ｃ、ＳＡＭ４０Ｃの組み合わせ、で実行される。また、電子機器３０Ａ〜３０Ｃにおけるログイン処理の説明は省略する。
【０１６１】
センタサーバ１０ｃで実行される第３の端末管理処理を説明する。センタサーバ１０ｃにおいて、例えば、通信部１６を介して、端末ＩＤ及び暗号化端末ＩＤを受信開始したことをトリガとして、記憶部１５から読み出されて適宜ＲＡＭ１３に展開された第３の端末管理プログラムとＣＰＵ１１との協働で、第３の端末管理処理が実行される。
【０１６２】
ステップＳ８１〜Ｓ８５は、第１の端末管理処理のＳ１１〜Ｓ１５と同様である。そして、ステップＳ８６において、通信部１６を介して、決済処理データに対応するデータ要求が電子機器から受信されると、記憶部１５から認証テーブル１５１ｃが読み出される。そして、決済処理データの構成に必要な共有情報ｄ１０と、データ要求送信元の端末ＩＤ１５３に対応する固有情報１５６に対応する固有情報ｄ１１と、が記憶部１５から読み出され、読み出した共有情報及び固有情報がマージされる（ステップＳ８６）。
【０１６３】
そして、通信部１６を介して、ステップＳ８６でマージされた共有情報及び固有情報が、データ要求送信元の電子機器に送信され（ステップＳ８７）、第３の端末管理処理が終了する。
【０１６４】
次いで、電子機器３０Ａ〜３０Ｃで実行される第３の情報処理を説明する。電子機器３０Ａ〜３０Ｃにおいて、例えば、電源投入されたことをトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第３の情報処理プログラムとＣＰＵ３１との協働で、第３の情報処理処理が実行される。
【０１６５】
ステップＳ９１〜Ｓ９４は、第１の情報処理のステップＳ２１〜Ｓ２４と同様である。そして、フラッシュメモリ３５に決済処理データが記憶されているか否かが判別される（ステップＳ９５）。決済処理データが記憶されていない場合（ステップＳ９５；ＮＯ）、ステップＳ８６に対応して、通信部３６を介して決済処理データに対応するデータのデータ要求がセンタサーバ１０ｃに送信される（ステップＳ９６）。
【０１６６】
そして、ステップＳ８７に対応して、通信部３６を介して、共有情報及び固有情報がセンタサーバ１０ｂから受信され、共有情報及び固有情報に基づいて決済処理データが生成される（ステップＳ９７）。生成された共有情報及び固有情報は、鍵Ｄｎ（ｎ：１，２又は３）で暗号化されフラッシュメモリ３５に記憶される。決済処理データが記憶されている場合（ステップＳ９５；ＹＥＳ）、ステップＳ９８に移行される。
【０１６７】
ステップＳ９８〜Ｓ１００は、第１の情報処理のステップＳ２５〜Ｓ２７と同様である。また、ステップＳ９８、Ｓ９９において、売上データｄ７〜ｄ９は、鍵ＤｎでＳＡＭ４０Ａ〜４０Ｃにより復号化され、鍵Ｔｎで暗号化されてセンタサーバ１０ｃに送信される。センタサーバ１０ｃは、暗号化された売り上げデータを電子機器３０Ａ〜３０Ｃから受信して鍵Ｔｎで復号化して記憶部１５に記憶する。ステップＳ１００の実行後、第３の情報処理が終了する。
【０１６８】
次いで、ＳＡＭ４０Ａ〜ＳＡＭ４０Ｃで実行される第３のＳＡＭ使用許可処理を説明する。ＳＡＭ４０Ａ〜ＳＡＭ４０Ｃにおいて、例えば、通信部４６を介して、端末ＩＤ要求を電子機器３０Ａ〜３０Ｃから受信開始したことをトリガとして、ＲＯＭ４５から読み出されて適宜ＲＡＭ４３に展開された第３のＳＡＭ使用許可プログラムとＣＰＵ４１との協働で、第３のＳＡＭ使用許可処理が実行される。
【０１６９】
ステップＳ１０１〜Ｓ１０７は、第１のＳＡＭ使用許可処理のステップＳ３１〜Ｓ３７と同様である。ステップＳ１０７の実行後、第３のＳＡＭ使用許可処理が終了する。
【０１７０】
この結果、例えば、ＳＡＭ４０Ｃとメモリカード７０Ｃとを除く部分の電子機器３０Ｃが故障した場合、ＳＡＭ４０Ｃとメモリカード７０Ｃとを代替の電子機器に差し替えることで復旧を行わせることが可能になる。代替の電子機器は、決済処理データｄ６をフラッシュメモリ３５に記憶していないが、ステップＳ９６，Ｓ９７でセンタサーバ１０ｃから共有情報及び固有情報をダウンロードして決済処理データｄ６を復元できる。ＳＡＭ及びメモリカードの故障率は、他の部分に比べれば低いため、故障時の停止時間を大幅に少なくすることが可能である。
【０１７１】
本実施の形態によれば、電子機器が故障し、決済処理データを使用できなくても、電子機器の代替の電子機器が用意できれば、その電子機器の動作許可後に、決済処理データに対応する共有情報及び固有情報をセンタサーバ１０ｃからダウンロードできる。このため、電子機器が故障しても、代替機材さえ用意できれば、決済システム４（電子機器）を即時に復旧でき、故障時の復旧を迅速化できる。
【０１７２】
また、許可情報１５５を参照して、代替機材を用意したことをセンタサーバ１０ｃでチェックした上で復旧作業を許可する。このため、資格のある電子機器にのみ復旧データをダウンロード許可し、セキュリティ強度を高めることができる。
【０１７３】
また、電子機器で決済処理した処理結果の売上データｄ７〜ｄ９は、メモリカード７０Ａ〜７０Ｃに記憶する。このため、電子機器が故障しても処理結果のデータを保存でき、電子機器の復旧を容易にできる。
【０１７４】
なお、上記各実施の形態及び変形例における記述は、本発明に係る認証装置、認証システム及びプログラムの一例であり、これに限定されるものではない。
【０１７５】
上記実施の形態及び変形例では、ＳＡＭが電子機器から取り外せる構成としたが、取り外せなくてもセキュリティ強度上は同じである。
【０１７６】
また、例えば、上記実施の形態及び変形例で説明したこの電子機器を音楽プレーヤのようなものとすれば、この仕組みで契約者を特定するような用途にも使用できる。すなわち、センタサーバでオンライン販売の契約を確認できなければ楽曲のダウンロードを許可しない、というような形態も可能である。
【０１７７】
また、センタサーバは、電子機器に接続されたＳＡＭの異常検出部４４の動作情報、電池バックアップされているはずの情報の正当性チェック情報、電子機器を構成するコンポーネント類における認証可否情報、復号化したデータの正当性情報を、電子機器を介して入手し、管理上の判断材料とすることができる。
【０１７８】
また、上記各実施の形態及び変形例では、ＳＡＭ内の鍵の暗号化及び復号化をＳＡＭ内で行う構成として説明したが、これに限定されるものではない。例えば、電子機器の動作許可後に、その電子機器内でＳＡＭの鍵を用いて暗号化及び復号化可能な構成としてもよい。
【０１７９】
また、上記各実施の形態及び変形例では、電子機器（ＳＡＭ）で第１の情報としての端末ＩＤを鍵Ｔｎで暗号化し、センタサーバに暗号化端末ＩＤ及び暗号化していない端末ＩＤを送信する構成としたが、これに限定されるものではない。端末ＩＤに代えて、他の情報を第１の情報とする構成としてもよい。
【０１８０】
さらに、鍵Ｔ１で暗号化した第１の情報と、当該第１の情報を識別するための第２の情報とを、電子機器からセンタサーバに送信し、センタサーバにおいて、受信した暗号化された第１の情報を鍵Ｔ１で復号化し、復号化した第１の情報と、受信した第２の情報とが対応するか否かを判別し、対応する場合に、暗号化ＯＫ信号を生成して電子機器に送信し、対応しない場合に、暗号化拒否信号を生成して電子機器に送信する構成としてもよい。この構成では、例えば、センタサーバが、第１の情報と第２の情報との対応関係を示すテーブル等のデータを記憶部１５に記憶し、当該テーブルを参照して第１の情報と第２の情報とが対応するか否かを判別する構成としてもよい。第２の情報としては、例えば、電子機器、ＥＣＲ等のログインＩＤ等の情報としてもよく、電子機器（ＳＡＭ）側において他の鍵で暗号化した端末ＩＤ等の情報を第２の情報とする構成としてもよい。
【０１８１】
また、上記各実施の形態及び変形例のうちの少なくとも２つを適宜組み合わせる構成としてもよい。
【０１８２】
また、上記各実施の形態及び変形例における決済システム１〜４の各構成要素の細部構成及び細部動作に関しては、本発明の趣旨を逸脱することのない範囲で適宜変更可能であることは勿論である。
【図面の簡単な説明】
【０１８３】
【図１】本発明に係る第１の実施の形態の決済システム１の構成を示すブロック図である。
【図２】センタサーバ１０の内部構成を示すブロック図である。
【図３】電子機器３０の内部構成を示すブロック図である。
【図４】ＳＡＭ４０の内部構成を示すブロック図である。
【図５】決済システム１の各装置に記憶される情報を示す図である。
【図６】認証テーブル１５１の構成を示す図である。
【図７】第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理を示すフローチャートである。
【図８】図７の第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理の続きを示すフローチャートである。
【図９】第１の実施の形態の変形例の決済システム２の構成を示すブロック図である。
【図１０】決済システム２の各装置に記憶される情報を示す図である。
【図１１】認証テーブル１５１ａの構成を示す図である。
【図１２】本発明に係る第２の実施の形態の決済システム３の構成を示すブロック図である。
【図１３】ＥＣＲ２０Ａ〜２０Ｃの内部構成を示すブロック図である。
【図１４】認証テーブル１５１ｂの内部構成を示す図である。
【図１５】第２の端末管理処理、ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理を示すフローチャートである。
【図１６】図１５の第２の端末管理処理、ログイン処理、第２の情報処理、第２のＳＡＭ使用許可処理の続きを示すフローチャートである。
【図１７】本発明に係る第３の実施の形態の決済システム４の構成を示すブロック図である。
【図１８】認証テーブル１５１ｃの内部構成を示す図である。
【図１９】第３の端末管理処理、第３の情報処理、第３のＳＡＭ使用許可処理のを示すフローチャートである。
【図２０】図１９の第３の端末管理処理、第３の情報処理、第３のＳＡＭ使用許可処理の続きを示すフローチャートである。
【符号の説明】
【０１８４】
１，２，３，４ 決済システム
１０，１０ａ，１０ｂ，１０ｃ センタサーバ
１１ ＣＰＵ
１２ 入力部
１３ ＲＡＭ
１４ 表示部
１５ 記憶部
１６ 通信部
１７ バス
３０，３０Ａ，３０Ｂ，３０Ｃ 電子機器
３１ ＣＰＵ
３２ 入力部
３３ ＲＡＭ
３４ 表示部
３５ フラッシュメモリ
３６ 通信部
３７ 接続部
３８ カードリーダ
３９ 接続部
３９ａ バス
４０，４０Ａ，４０Ｂ，４０Ｃ ＳＡＭ
４１ ＣＰＵ
４２ 暗号演算部
４３ ＲＡＭ
４４ 異常検出部
４５ ＲＯＭ
４６ 通信部
４７ フラッシュメモリ
４８ バス
２０Ａ，２０Ｂ，２０Ｃ ＥＣＲ
２１ ＣＰＵ
２２ 入力部
２３ ＲＡＭ
２４ 表示部
２５ 記憶部
２６ 通信部
２７ プリント部
２８ ドロア
２９ 接続部
２９ａ バス
５０Ａ，５０Ｂ，５０Ｃ メモリカード
６０ ＩＣカード
７０，７０Ａ，７０Ｂ，７０Ｃ メモリカード
【特許請求の範囲】
【請求項１】
耐タンパモジュールが接続された端末装置と通信を行う第１の通信手段と、
前記耐タンパモジュールが有する第１の鍵に相応する第２の鍵を記憶する第１の記憶手段と、
前記第１の鍵で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を前記第１の通信手段を介して当該端末装置から受信し、当該暗号化された第１の情報を前記記憶された第２の鍵で復号化し、当該復号化した第１の情報と前記第２の情報とが対応するか否かを判別し、対応する場合に、前記耐タンパモジュールのデータの使用を伴う動作を当該端末装置に許可する動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する第１の制御手段と、
を備える認証装置。
【請求項２】
請求項１に記載の認証装置と、
前記耐タンパモジュール及び前記端末装置と、を備え、
前記耐タンパモジュールは、
前記第１の鍵を含むデータを記憶する第２の記憶手段と、
情報の暗号化又は復号化を行う暗号演算手段と、
第１の情報を前記暗号演算手段に前記第１の鍵で暗号化させ、当該暗号化された第１の情報を前記端末装置に送出する第２の制御手段と、を備え
前記端末装置は、
前記認証装置と通信を行う第２の通信手段と、
前記暗号化された第１の情報を前記耐タンパモジュールから取得して第２の情報とともに前記第１の通信手段を介して前記認証装置に送信し、前記暗号化された動作可否情報を前記認証装置から受信し、当該暗号化された動作可否情報を前記耐タンパモジュールに送出する第３の制御手段と、を備え、
前記第２の制御手段は、前記暗号化された動作可否情報を前記端末装置から取得して前記暗号演算手段に前記第１の鍵で復号化させ、復号化された動作可否情報が動作許可であるか否かを判別し、動作許可である場合に、前記第２の記憶手段に記憶されたデータの使用を前記端末装置に許可設定する認証システム。
【請求項３】
前記端末装置及び耐タンパモジュールの組み合わせを複数備え、
前記第１の記憶手段は、前記複数の組み合わせのそれぞれに対応する第２の鍵を記憶し、
前記第１の制御手段は、前記暗号化された第１の情報を、送信元の端末装置に対応する前記第２の鍵で復号化し、前記動作許可の動作可否情報を当該第２の鍵で暗号化する請求項２に記載の認証システム。
【請求項４】
前記第１の制御手段は、前記第２の情報に対応した第１の情報が、当該第１の情報の送信元の端末装置及び前記認証装置の関係に関する第３の情報に対応するか否かを判別し、当該第３の情報に対応する場合に、前記動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する請求項２又は３に記載の認証システム。
【請求項５】
前記端末装置は、前記認証装置と接続されて前記第３の情報を有する外部機器に接続され、
前記第１の制御手段は、前記第３の情報を前記外部機器から取得する請求項４に記載の認証システム。
【請求項６】
前記端末装置は、
第３の記憶手段を備え、
前記第３の制御手段は、前記第２の制御手段により前記第２の記憶手段に記憶されたデータが使用許可設定された場合に、処理に用いる第４の情報が前記第３の記憶手段に記憶されているか否かを判別し、当該第４の情報が記憶されていない場合に、前記第２の通信手段を介して、当該第４の情報の要求を前記認証装置に送信して当該第４の情報を受信し、
前記第１の制御手段は、前記第１の通信手段を介して、前記第４の情報の要求を前記端末装置から受信すると当該第４の情報を当該端末装置に送信する請求項２から５のいずれか一項に記載の認証システム。
【請求項７】
前記端末装置に接続される第４の記憶手段を備え、
前記第３の制御手段は、前記第２の制御手段により前記第２の記憶手段に記憶されたデータが使用許可設定された場合に、各種処理を行い、各種処理結果のデータを前記第４の記憶手段に記憶させる請求項２から６のいずれか一項に記載の認証システム。
【請求項８】
前記第１の記憶手段は、前記第４の情報を前記端末装置に提供することを許可するか否かを示す提供可否情報を記憶し、
前記第１の制御手段は、前記第１の記憶手段に記憶された提供可否情報に基づいて前記第４の情報が提供許可であるか否かを判別し、提供許可である場合に、動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する請求項６又は７に記載の認証システム。
【請求項９】
コンピュータを、
耐タンパモジュールが接続された端末装置と通信を行う第１の通信手段、
前記耐タンパモジュールが有する第１の鍵に相応する第２の鍵を記憶する第１の記憶手段、
前記第１の鍵で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を前記第１の通信手段を介して当該端末装置から受信し、当該暗号化された第１の情報を前記記憶された第２の鍵で復号化し、当該復号化した第１の情報と前記第２の情報とが対応するか否かを判別し、対応する場合に、前記耐タンパモジュールのデータの使用を伴う動作を当該端末装置に許可する動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する第１の制御手段、
として機能させるためのプログラム。
【請求項１】
耐タンパモジュールが接続された端末装置と通信を行う第１の通信手段と、
前記耐タンパモジュールが有する第１の鍵に相応する第２の鍵を記憶する第１の記憶手段と、
前記第１の鍵で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を前記第１の通信手段を介して当該端末装置から受信し、当該暗号化された第１の情報を前記記憶された第２の鍵で復号化し、当該復号化した第１の情報と前記第２の情報とが対応するか否かを判別し、対応する場合に、前記耐タンパモジュールのデータの使用を伴う動作を当該端末装置に許可する動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する第１の制御手段と、
を備える認証装置。
【請求項２】
請求項１に記載の認証装置と、
前記耐タンパモジュール及び前記端末装置と、を備え、
前記耐タンパモジュールは、
前記第１の鍵を含むデータを記憶する第２の記憶手段と、
情報の暗号化又は復号化を行う暗号演算手段と、
第１の情報を前記暗号演算手段に前記第１の鍵で暗号化させ、当該暗号化された第１の情報を前記端末装置に送出する第２の制御手段と、を備え
前記端末装置は、
前記認証装置と通信を行う第２の通信手段と、
前記暗号化された第１の情報を前記耐タンパモジュールから取得して第２の情報とともに前記第１の通信手段を介して前記認証装置に送信し、前記暗号化された動作可否情報を前記認証装置から受信し、当該暗号化された動作可否情報を前記耐タンパモジュールに送出する第３の制御手段と、を備え、
前記第２の制御手段は、前記暗号化された動作可否情報を前記端末装置から取得して前記暗号演算手段に前記第１の鍵で復号化させ、復号化された動作可否情報が動作許可であるか否かを判別し、動作許可である場合に、前記第２の記憶手段に記憶されたデータの使用を前記端末装置に許可設定する認証システム。
【請求項３】
前記端末装置及び耐タンパモジュールの組み合わせを複数備え、
前記第１の記憶手段は、前記複数の組み合わせのそれぞれに対応する第２の鍵を記憶し、
前記第１の制御手段は、前記暗号化された第１の情報を、送信元の端末装置に対応する前記第２の鍵で復号化し、前記動作許可の動作可否情報を当該第２の鍵で暗号化する請求項２に記載の認証システム。
【請求項４】
前記第１の制御手段は、前記第２の情報に対応した第１の情報が、当該第１の情報の送信元の端末装置及び前記認証装置の関係に関する第３の情報に対応するか否かを判別し、当該第３の情報に対応する場合に、前記動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する請求項２又は３に記載の認証システム。
【請求項５】
前記端末装置は、前記認証装置と接続されて前記第３の情報を有する外部機器に接続され、
前記第１の制御手段は、前記第３の情報を前記外部機器から取得する請求項４に記載の認証システム。
【請求項６】
前記端末装置は、
第３の記憶手段を備え、
前記第３の制御手段は、前記第２の制御手段により前記第２の記憶手段に記憶されたデータが使用許可設定された場合に、処理に用いる第４の情報が前記第３の記憶手段に記憶されているか否かを判別し、当該第４の情報が記憶されていない場合に、前記第２の通信手段を介して、当該第４の情報の要求を前記認証装置に送信して当該第４の情報を受信し、
前記第１の制御手段は、前記第１の通信手段を介して、前記第４の情報の要求を前記端末装置から受信すると当該第４の情報を当該端末装置に送信する請求項２から５のいずれか一項に記載の認証システム。
【請求項７】
前記端末装置に接続される第４の記憶手段を備え、
前記第３の制御手段は、前記第２の制御手段により前記第２の記憶手段に記憶されたデータが使用許可設定された場合に、各種処理を行い、各種処理結果のデータを前記第４の記憶手段に記憶させる請求項２から６のいずれか一項に記載の認証システム。
【請求項８】
前記第１の記憶手段は、前記第４の情報を前記端末装置に提供することを許可するか否かを示す提供可否情報を記憶し、
前記第１の制御手段は、前記第１の記憶手段に記憶された提供可否情報に基づいて前記第４の情報が提供許可であるか否かを判別し、提供許可である場合に、動作許可の動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する請求項６又は７に記載の認証システム。
【請求項９】
コンピュータを、
耐タンパモジュールが接続された端末装置と通信を行う第１の通信手段、
前記耐タンパモジュールが有する第１の鍵に相応する第２の鍵を記憶する第１の記憶手段、
前記第１の鍵で暗号化された第１の情報及び当該第１の情報を識別するための第２の情報を前記第１の通信手段を介して当該端末装置から受信し、当該暗号化された第１の情報を前記記憶された第２の鍵で復号化し、当該復号化した第１の情報と前記第２の情報とが対応するか否かを判別し、対応する場合に、前記耐タンパモジュールのデータの使用を伴う動作を当該端末装置に許可する動作可否情報を前記第２の鍵で暗号化して前記第１の通信手段を介して前記端末装置に送信する第１の制御手段、
として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【公開番号】特開２００８−２４２９２２（Ｐ２００８−２４２９２２Ａ）
【公開日】平成２０年１０月９日（２００８．１０．９）
【国際特許分類】
【出願番号】特願２００７−８４０１９（Ｐ２００７−８４０１９）
【出願日】平成１９年３月２８日（２００７．３．２８）
【出願人】（０００００１４４３）カシオ計算機株式会社 (8,748)
【Ｆターム（参考）】
【公開日】平成２０年１０月９日（２００８．１０．９）
【国際特許分類】
【出願日】平成１９年３月２８日（２００７．３．２８）
【出願人】（０００００１４４３）カシオ計算機株式会社 (8,748)
【Ｆターム（参考）】
[ Back to top ]