JP6527440B2 - 情報処理装置及び情報処理方法 - Google Patents

Description

本発明は、情報処理装置及び情報処理方法に係り、特にマスタデバイスとセキュリティデバイスを含む情報処理装置及び情報処理方法に関する。

従来から、複数の制御部を備えており、マスタ（主）デバイスと、このマスタデバイスにより制御されるセキュリティデバイスとからなる情報処理装置が存在する。
このような情報処理装置では、例えば、マスタデバイスがセキュリティデバイスに指示（コマンド）を送信する。これを受信したセキュリティデバイスは、コマンドに対する応答をマスタデバイスに送信する。

特許文献１を参照すると、従来のマスタデバイスと、一部の機能を分担処理するセキュリティデバイスとで構成される情報処理装置の一例であるカードリーダの技術が記載されている。特許文献１のカードリーダでは、通常運用時にリセットを行う必要がある場合、セキュリティデバイスの揮発性メモリ内のデータのうち、認証情報等を含む保持すべきデータ（以下、「保持データ」という。）を自身の不揮発性メモリに一時的に退避させておき、リセット処理が完了したら元の揮発性メモリに書き戻す処理を行う。
これにより、リセットの際に保持すべきデータが消失するのを防ぐことができる。

特開２００９−２６６１４３号公報

しかしながら、特許文献１に記載された技術では、セキュリティデバイスが搭載する不揮発性メモリの空き容量が十分でなく、保持データを格納する領域を確保することができない場合、保持データを退避させることができず、通常運用状態を継続させることができなかった。これは、ユーザから要求される新たな機能のソフトウェアやセキュリティ性の高いソフトウェアに変更等することで、不揮発性メモリに記憶させるデータの容量が当初設計時よりも大きくなること等が原因であった。

本発明は、このような状況に鑑みてなされたものであり、セキュリティデバイスの不揮発性メモリの容量が少なくても、リセット時に保持データを保持し、通常運用状態を継続させることが可能な情報処理装置及び情報処理方法を提供することを目的とする。

本発明の情報処理装置は、マスタデバイスとセキュリティデバイスとを含む情報処理装置であって、前記セキュリティデバイスは、通常運用状態を継続させるために保持しておく必要のある保持データを記憶する揮発性メモリと、前記揮発性メモリに記憶された前記保持データを前記マスタデバイスに送信する保持データ送信部と、前記保持データ送信部により前記マスタデバイスに送信された前記保持データを再び受信して前記揮発性メモリに書き込む保持データ書込部とを備え、前記マスタデバイスは、前記セキュリティデバイスの前記保持データを受信する保持データ受信部と、前記保持データ受信部により受信された前記保持データを一時的に記憶する保持データ一時記憶部と、前記保持データ一時記憶部に前記保持データが記憶された後、前記セキュリティデバイスをリセットするリセット制御部と、前記リセット制御部による前記セキュリティデバイスのリセットが完了したら、前記保持データ一時記憶部に記憶された前記保持データを、前記セキュリティデバイスに送信する保持データ送信部とを備え、前記マスタデバイスの前記リセット制御部は、前記セキュリティデバイスにより不正行為が検知された場合に、前記セキュリティデバイスに前記保持データを送信するよう要求することを特徴とする。
このように構成することで、セキュリティデバイスの不揮発性メモリの容量が少なくても、リセット時に保持データを保持し、通常運用状態を継続させることができる。
さらに、不正行為が検知されたことをマスタデバイスで把握し、通常運用状態を継続させるよう指示させることができる。

本発明の情報処理装置は、マスタデバイスとセキュリティデバイスとを含む情報処理装置であって、前記セキュリティデバイスは、通常運用状態を継続させるために保持しておく必要のある保持データを記憶する揮発性メモリと、前記揮発性メモリに記憶された前記保持データを前記マスタデバイスに送信する保持データ送信部と、前記保持データ送信部により前記マスタデバイスに送信された前記保持データを再び受信して前記揮発性メモリに書き込む保持データ書込部とを備え、前記マスタデバイスは、前記セキュリティデバイスの前記保持データを受信する保持データ受信部と、前記保持データ受信部により受信された前記保持データを一時的に記憶する保持データ一時記憶部と、前記保持データ一時記憶部に前記保持データが記憶された後、前記セキュリティデバイスをリセットするリセット制御部と、前記リセット制御部による前記セキュリティデバイスのリセットが完了したら、前記保持データ一時記憶部に記憶された前記保持データを、前記セキュリティデバイスに送信する保持データ送信部とを備え、前記マスタデバイスの前記リセット制御部は、複数の前記セキュリティデバイスが接続されている場合、不揮発性メモリを備えており該不揮発性メモリに前記保持データを記憶する空き容量がある他のセキュリティデバイスを検索し、リセットする前記セキュリティデバイスに記憶された前記保持データを、空き容量がある前記他のセキュリティデバイスに送信させることを特徴とする。
このように構成することで、セキュリティデバイスの不揮発性メモリの容量が少なくても、リセット時に保持データを保持し、通常運用状態を継続させることができる。
さらに、マスタデバイスの揮発性メモリの記憶容量が少ない場合でも、リセット時のセキュリティデバイスの保持データを退避できる。

本発明の情報処理装置は、前記マスタデバイスの前記保持データ一時記憶部は、不揮発性メモリであることを特徴とする。
このように構成することで、電源供給が切断された場合であっても、マスタデバイスに送信された保持データの消失を防ぐことができる。

本発明の情報処理方法は、マスタデバイスとセキュリティデバイスとを含む情報処理装置により実行される情報処理方法であって、前記セキュリティデバイスにより、通常運用状態を継続させるために保持しておく必要のある保持データを揮発性メモリに記憶し、前記セキュリティデバイスにより、記憶された前記保持データを前記マスタデバイスに送信し、前記マスタデバイスにより、前記セキュリティデバイスの前記保持データを受信し、前記マスタデバイスにより、受信された前記保持データを一時的に記憶し、前記マスタデバイスにより、前記保持データが記憶された後、前記セキュリティデバイスをリセットし、前記マスタデバイスにより、前記セキュリティデバイスのリセットが完了したら、一時的に記憶された前記保持データを、前記セキュリティデバイスに送信し、前記セキュリティデバイスにより、前記マスタデバイスに送信された前記保持データを再び受信して前記揮発性メモリに書き込み、前記マスタデバイスにより、前記セキュリティデバイスにより不正行為が検知された場合に、前記セキュリティデバイスに前記保持データを送信するよう要求することを特徴とする。
このように構成することで、セキュリティデバイスの不揮発性メモリの容量が少なくても、リセット時に保持データを保持し、通常運用状態を継続させることができる。
さらに、不正行為が検知されたことをマスタデバイスで把握し、通常運用状態を継続させるよう指示させることができる。

本発明の情報処理方法は、マスタデバイスとセキュリティデバイスとを含む情報処理装置により実行される情報処理方法であって、前記セキュリティデバイスにより、通常運用状態を継続させるために保持しておく必要のある保持データを揮発性メモリに記憶し、前記セキュリティデバイスにより、記憶された前記保持データを前記マスタデバイスに送信し、前記マスタデバイスにより、前記セキュリティデバイスの前記保持データを受信し、前記マスタデバイスにより、受信された前記保持データを一時的に記憶し、前記マスタデバイスにより、前記保持データが記憶された後、前記セキュリティデバイスをリセットし、前記マスタデバイスにより、前記セキュリティデバイスのリセットが完了したら、一時的に記憶された前記保持データを、前記セキュリティデバイスに送信し、前記セキュリティデバイスにより、前記マスタデバイスに送信された前記保持データを再び受信して前記揮発性メモリに書き込み、前記マスタデバイスにより、複数の前記セキュリティデバイスが接続されている場合、不揮発性メモリを備えており該不揮発性メモリに前記保持データを記憶する空き容量がある他のセキュリティデバイスを検索し、前記マスタデバイスにより、リセットする前記セキュリティデバイスに記憶された前記保持データを、空き容量がある前記他のセキュリティデバイスに送信させることを特徴とする。
このように構成することで、セキュリティデバイスの不揮発性メモリの容量が少なくても、リセット時に保持データを保持し、通常運用状態を継続させることができる。
さらに、マスタデバイスの揮発性メモリの記憶容量が少ない場合でも、リセット時のセキュリティデバイスの保持データを退避できる。

本発明によれば、セキュリティデバイスの保持データをマスタデバイスに一時的に送信して記憶させた後でリセットをかけ、その後に、マスタデバイスからセキュリティデバイスに保持データを送信して書き込むことで、セキュリティデバイスの不揮発性メモリの容量が少なくても、リセット時に保持データを保持し、通常運用状態を継続させることが可能である情報処理装置を提供することができる。

本発明の実施の形態に係る情報処理システムのシステム構成図である。 本発明の実施の形態に係る保持データ退避復元処理のフローチャートである。

＜実施の形態＞
図１を参照して、本発明の実施の形態に係る情報処理システムＸの構成について説明する。
情報処理システムＸは、本実施形態においては、カード発行機能を備えたＡＴＭ（Automated Teller Machine）、キオスク（Kiosk）の端末、交通機関のチケット発行システム、コンビニエンスストア等のポイントカード発行システム、小売店のメンバーカード発行システム、遊技機のカード発行／支払システム、入退場管理システム等（以下、単に「ＡＴＭ等」と省略して記載する。）である。

また、情報処理システムＸは、カード媒体４を読み出し／書き込むカードリーダ１（情報処理装置）、ＡＴＭ等の上位装置であるホスト装置２、周辺装置３、及び不正行為検知部６を含んでいる。各部は、通信ライン５で接続される。

カードリーダ１は、接触型又は非接触型のＩＣカード及び／又は磁気ストライプを備えた磁気カードであるカード媒体４（情報媒体）を読み込み（リード）又は書き込み（ライト）可能な装置である。
カードリーダ１の詳細な構成については後述する。

ホスト装置２は、ＡＴＭ等の各機能を実現するための本体装置である。ホスト装置２は、各部の制御用にＰＣ（Personal Computer）、タブレット端末、携帯電話等の制御演算装置を含み、情報処理システムＸの機能を実現するためのアプリケーション（Application Program、図示せず）を実行する。

周辺装置３は、カード媒体４の表面に印刷を行うプリンタ、ＬＣＤパネルや有機ＥＬパネル等のディスプレイ、タッチパネル、及びボタン等である。

通信ライン５は、汎用のバス、ＲＳ−２３２ＣやＵＳＢ（Universal Serial Bus）等のシリアル、パラレル、又は、各種無線接続、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）やその他のネットワーク等の通信接続を示す。通信ライン５により、各部の間で、各種指示（コマンド）やデータを含む情報を送受信可能である。

不正行為検知部６は、各種不正行為を検知して、セキュリティ上のエラーとして報知するセンサ及び回路である。不正行為検知部６は、例えば、情報処理システムＸの筐体開閉（Chassis Intrusion）やカードリーダ１の筐体からの取り外しを検知するスイッチ、振動センサ、光学センサ、静電容量センサ等と、この検知回路とを含んでいる。具体的には、不正行為検知部６は、例えば、カードリーダ１の筐体からの取り外しを検知する。また、不正行為検知部６は、カード媒体４が挿入されるゲート部の改造等によるセンサ出力の異常等から不正行為を検知することも可能である。また、不正行為検知部６は、セキュリティデバイス２０の揮発性メモリ２３０のＣＲＣ（Cyclic Redundancy Check）値やハッシュ値やチェックサム等を監視して、これが外部のハッキング等で変更された際に、不正行為として検知することも可能である。
不正行為検知部６は、不正行為を検知した場合、下記で説明するカードリーダ１のセキュリティデバイス２０に通知する。

また、カードリーダ１は、マスタデバイス１０、セキュリティデバイス２０、通常電源部３０、及びバックアップ電源部４０を含んでいる。
マスタデバイス１０とセキュリティデバイス２０とは、揮発性メモリ１３０、２３０を内蔵する制御部１１、２１が、それぞれ実装されており、それぞれが分担する機能の処理を実行する。
また、マスタデバイス１０とセキュリティデバイス２０とは、通信ライン５０で接続されている。なお、通信ライン５０は、専用バスやＵＳＢ接続ラインや短距離無線通信やＬＡＮ等の通信接続を示す。

マスタデバイス１０は、カードリーダ１の本体（メインデバイス）の全体を制御する、例えばメイン（主）基板等の各種回路である。マスタデバイス１０は、接続されたセキュリティデバイス２０を、通信ライン５０を介した通信により制御する。

セキュリティデバイス２０（従属デバイス）は、マスタデバイス１０に接続されるセキュリティ基板等であり、従属デバイスの一例である。セキュリティデバイス２０は、カードリーダ１のセキュリティ機能を実現するための各種回路であり、例えば、ＰＣＩ（Payment Card Industry）規格に準拠して構成される。セキュリティデバイス２０は、例えば、カード媒体４に記憶されたＩＤ、暗証番号、パスワード等のセキュリティデータの詐取を防御するためのデータ暗号化機能、復号化機能、カードリーダ１の不正改造検知機能等を備えている。

通常電源部３０は、情報処理システムＸの図示しない主電源（Main Power Supply）からの電力をマスタデバイス１０及びセキュリティデバイス２０に供給する回路等である。カードリーダ１が筐体から取り外されて、その後、図示しない電源コネクタが取り外されると、通常電源部３０からの電力の供給は停止する。

より詳細に説明すると、マスタデバイス１０は、制御部１１、リードライト部１２、及び不揮発性メモリ１４を含んでいる。また、セキュリティデバイス２０は、制御部２１、及び不揮発性メモリ２４を備えている。

制御部１１は、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＧＰＵ（Graphics Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）等の制御演算手段である。また、制御部１１は、外部の水晶振動子や発振回路を含むタイマを内蔵していてもよい。
また、制御部１１は、専用のＲＯＭ（Read-Only Memory）等を備えており、このＲＯＭ等に、制御部１１を動作させるための制御プログラムが記憶されている。この制御用プログラムは、カード媒体４の検知用のセンサの監視、カード媒体４のリード、ライト、セキュリティデバイス２０の制御等の処理を含んでいる。

リードライト部１２は、カード媒体４へのリード、ライトを行う磁気ヘッドや電磁誘導コイルやＩＣ端子等である。また、リードライト部１２は、カード媒体４の検知用のセンサ、駆動機構等も含んでいる。

不揮発性メモリ１４は、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、フラッシュメモリ（Flash Memory）、ＲｅＲＡＭ（Resistance Random Access Memory）、ＭＲＡＭ（Magnetoresistive Random Access Memory）等の一時的でない記憶媒体である。
不揮発性メモリ１４は、マスタデバイス１０のデータの格納用に用いられる。

制御部２１は、ＣＰＵ、ＭＰＵ、ＧＰＵ、ＤＳＰ、ＡＳＩＣ等の制御演算手段である。制御部２１は、ＡＥＳ（Advanced Encryption Standard）等の方式で、各種暗号化や復号化のためのハッシュ演算を専用に実行するアクセレレータ（Accelerator）を含んでいてもよい。また、制御部２１は、独自のタイマを内蔵していてもよい。
また、制御部２１は、不正行為検知部６からの信号を取得して、不正行為があった場合に、マスタデバイス１０やホスト装置２に報知可能である。この際、制御部２１は、セキュリティ上のエラー状態として動作を停止する。制御部２１は、このエラー状態を解除するためには、後述するように、マスタデバイス１０の制御部１１からのエラー解除命令を受けて、内部のエラー情報をクリア（消去）した後、その情報変更状態を有効にするためリセット（再起動）をかける必要がある。このリセット時に、揮発性メモリ１３０の記憶内容も消去される。
なお、制御部２１は、マスタデバイス１０や筐体や他の装置が備えるセンサの情報を取得することも可能である。また、制御部２１は、専用のＲＯＭ等を備えており、このＲＯＭ等に、制御部２１を動作させるための制御プログラムを記憶している。

不揮発性メモリ２４は、バッテリバックアップ対応のＳＲＡＭ（Static Random Access Memory）等である。
また、不揮発性メモリ２４は、暗号化のための鍵情報や、セキュリティ検査のためのＣＲＣ値、ハッシュ値、チェックサム等を記憶している。
また、本実施形態においては、不揮発性メモリ２４は、後述する保持データ３００を記憶する容量が足りない場合の処理の例について記載している。

なお、不揮発性メモリ２４は、通常電源部３０からの電源供給が絶たれても、リチウムイオン一次電池やキャパシタ等の電量供給手段とこの制御回路等であるバックアップ電源部４０から特定時間、電源供給されて、記憶内容が保持される。
また、不揮発性メモリ２４は、電源を供給しなくても記憶内容を保持するフラッシュメモリ、ＲｅＲＡＭ、ＭＲＡＭ等であってもよい。この場合、バックアップ電源部４０が存在しなくてもよい。

また、マスタデバイス１０において、制御部１１、及び不揮発性メモリ１４は、ＳＯＣ（System-on-a-chip）や同一パッケージ（System in a Package）等として一体的に構成されていてもよい。また、セキュリティデバイス２０においても、制御部２１、及び不揮発性メモリ２４は、一体的に構成されていてもよい。更に、セキュリティデバイス２０において、バックアップ電源部４０の制御用の回路等が組み込まれていてもよい。

より詳細に説明すると、マスタデバイス１０の制御部１１は、機能構成のブロックとして、リセット制御部１００、保持データ受信部１１０、及び保持データ送信部１２０を備えている。また、マスタデバイス１０の制御部１１は、揮発性メモリ１３０を内蔵している。

リセット制御部１００は、不正行為検知部６によりセキュリティデバイス２０への不正行為が検知された場合等に、ホスト装置２からのエラークリア指示処理を受信する。この場合、リセット制御部１００は、保持データ退避復元処理を開始させる。この際、まず、リセット制御部１００は、セキュリティデバイス２０に、保持データ３００を送信するよう要求するコマンドを送信する。
また、リセット制御部１００は、揮発性メモリ１３０に保持データ３００が記憶された後、セキュリティデバイス２０をリセットする。

保持データ受信部１１０は、セキュリティデバイス２０の保持データ３００を受信する。具体的には、保持データ受信部１１０は、リセット制御部１００による指示によりセキュリティデバイス２０から送信された保持データ３００を受信して、揮発性メモリ１３０に記憶させる。

保持データ送信部１２０は、リセット制御部１００によるセキュリティデバイス２０のリセットが完了したら、揮発性メモリ１３０に一時的に記憶された保持データ３００を、セキュリティデバイス２０に送信する。保持データ送信部１２０は、例えば、セキュリティデバイス２０からのリセット完了の通知を受信した場合、保持データ３００をセキュリティデバイス２０に送信する。なお、保持データ送信部１２０は、保持データ３００を暗号化して送信してもよい。また、保持データ送信部１２０は、送信後に、揮発性メモリ１３０に記憶された保持データ３００を削除してもよい。

揮発性メモリ１３０は、例えば、ＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ等の揮発性の一時的でない記憶媒体である。また、揮発性メモリ１３０には、カードリーダ１を動作させるための制御プログラムの実行時に使用されるデータが一時的に記憶される。
また、本実施形態において、揮発性メモリ１３０は、セキュリティデバイス２０から受信された保持データ３００を一時的に記憶する保持データ一時記憶部として機能する。

また、セキュリティデバイス２０の制御部２１は、保持データ送信部２２０及び保持データ書込部２１０を備えている。
また、セキュリティデバイス２０の制御部２１は、揮発性メモリ２３０を内蔵している。

保持データ送信部２２０は、保持データ３００をマスタデバイス１０に送信する。具体的に、保持データ送信部２２０は、マスタデバイス１０のリセット制御部１００から、保持データ３００を送信する要求のコマンドを受信した場合、揮発性メモリ２３０に記憶された保持データ３００をマスタデバイス１０へ送信する。

保持データ書込部２１０は、保持データ送信部２２０によりマスタデバイス１０に送信された保持データ３００を再び受信して揮発性メモリ２３０に書き込む。具体的に、保持データ書込部２１０は、リセット後にマスタデバイス１０から保持データ３００を受信した場合に、これを揮発性メモリ２３０に再び記憶させる。この際、保持データ書込部２１０は、不揮発性メモリ２４に記憶された鍵情報（図示せず）を読み出し、ハッシュ関数等を用いて、不正な保持データ３００でないかチェックしてもよい。

揮発性メモリ２３０は、例えば、制御部２１に内蔵されたＤＲＡＭやＳＲＡＭ等の揮発性の一時的でない記憶媒体である。揮発性メモリ２３０は、通常電源部３０からの電源供給がされている間だけ、記憶内容が保持される。
また、揮発性メモリ２３０は、保持データ３００を記憶する。

保持データ３００は、通常運用状態を継続させるために保持しておく必要のあるデータである。具体的には、保持データ３００は、例えば、ホスト装置２とカードリーダ１との認証処理に使用される認証用データを含む。保持データ３００は、ホスト装置２とカードリーダ１とを含む情報処理システムＸの起動時に、ホスト装置２からカードリーダ１に送信される。このため、保持データ３００は、通常運用期間中は、常に保持しておく必要がある。この通常運用状態を継続させる必要がある状態としては、実際の不正行為が行われて通知された場合ではなく、市場に設置されたＡＴＭ等の保守点検においてカードリーダが検査のために取り外され、その取り外し検知状態を解除する等の場合に、通常運用状態を維持する。

なお、揮発性メモリ１３０、２３０は、それぞれ、制御部１１、２１の外付けのＲＡＭ等として構成されていてもよい。

〔保持データ退避復元処理〕
次に、図２により、本発明の実施の形態に係るカードリーダ１による保持データ退避復元処理の説明を行う。
上述したように、セキュリティデバイス２０の制御部２１は、カードリーダ１の取り外し等を不正行為検知部６で検知して、ホスト装置２に送信する。しかしながら、エラー状態をクリアするためには、マスタデバイス１０からのエラー解除命令を受けて、内部のエラー情報をクリアした後、その情報変更状態を有効にするためのリセット処理が必要となる。
これに対して、本実施形態の保持データ退避復元処理では、このような場合、セキュリティデバイス２０にリセットをかける前に、セキュリティデバイス２０の揮発性メモリ２３０内の保持データ３００を、マスタデバイス１０に送信する。すると、マスタデバイス１０は、保持データ３００を退避させて、一時的に保持しておく。そして、セキュリティデバイス２０のリセットと再起動とが完了したら、マスタデバイス１０は、退避させておいた保持データ３００を、セキュリティデバイス２０に送信する。セキュリティデバイス２０は、この保持データ３００を受信して、揮発性メモリ２３０に書き込む。

これにより、セキュリティデバイス２０の不揮発性メモリ２４の記憶容量が十分でなくても、リセットにより保持データ３００が消失してシステムダウン等することがなくなり、情報処理システムＸの安定運用に資することができる。
本実施形態の保持データ退避復元処理は、主にマスタデバイス１０の制御部１１とセキュリティデバイス２０の制御部２１とが、それぞれ、内蔵するＲＯＭ等に記憶された制御プログラムを、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図２のフローチャートにより、保持データ退避復元処理の詳細をステップ毎に説明する。

（ステップＳ１００）
まず、セキュリティデバイス２０の制御部２１の保持データ送信部２２０が、不正検知処理を行う。
保持データ送信部２２０は、本実施形態では、不正行為検知部６で不正行為を検知した場合に、マスタデバイス１０の制御部１１に通知する。マスタデバイス１０の制御部１１のリセット制御部１００は、この通知を、ホスト装置２に送信する。
その後、制御部２１は、セキュリティ上のエラー状態として動作を停止する。

（ステップＳ１０１）
次に、ホスト装置２がエラークリア指示処理を行う。
ホスト装置２は、工場出荷後の取り外し状態での検査時等、通常運用状態を維持する必要があるかどうか検討する。通常運用状態を維持する必要がある場合には、ホスト装置２は、セキュリティデバイス２０のエラー状態を解除させる指示である「エラー状態クリアコマンド」を、通信ライン５を介してマスタデバイス１０へ送信する。

（ステップＳ１０２）
次に、マスタデバイス１０の制御部１１のリセット制御部１００が、保持データ退避指示処理を行う。
リセット制御部１００は、ホスト装置２からの「エラー状態クリアコマンド」を受信する。すると、リセット制御部１００は、セキュリティデバイス２０の制御部２１に対し、保持データ３００の送信を指示する「保持データ退避コマンド」を送信する。

（ステップＳ１０３）
次に、セキュリティデバイス２０の制御部２１の保持データ送信部２２０が、保持データ送信処理を行う。
保持データ送信部２２０は、マスタデバイス１０からの「保持データ退避コマンド」を受信すると、マスタデバイス１０の制御部１１に対して認証用データを含む保持データ３００を送信する。
すると、マスタデバイス１０の制御部１１の保持データ受信部１１０は、保持データ３００を受信し、一時的に揮発性メモリ１３０に保持する。

（ステップＳ１０４）
次に、マスタデバイス１０の制御部１１のリセット制御部１００が、リセット指示処理を行う。
リセット制御部１００は、セキュリティデバイス２０の制御部２１に対しても、エラー状態を解除させる指示である「エラー状態クリアコマンド」を送信する。
セキュリティデバイス２０の制御部２１の保持データ送信部２２０は、このコマンドを受信すると、内部のエラー情報をクリアした後、その情報変更状態を有効にするため、自己リセット処理を行う。これにより、制御部２１が再起動され、保持データ３００を含む揮発性メモリ２３０の内容が消去される。

（ステップＳ１０５）
次に、セキュリティデバイス２０の制御部２１の保持データ書込部２１０がリセット完了通知処理を行う。
保持データ書込部２１０は、再起動が完了してエラー状態が解除されたことを、マスタデバイス１０の制御部１１に通知する。
なお、マスタデバイス１０の制御部１１は、タイマをセットして、セキュリティデバイス２０の制御部２１がリセット後、通常動作状態に復帰するまでの特定期間、待ってもよい。

（ステップＳ１０６）
次に、マスタデバイス１０の制御部１１の保持データ送信部１２０が保持データ送信処理を行う。
保持データ送信部１２０は、セキュリティデバイス２０の制御部２１に対して、「保持データ書き戻しコマンド」を送信する。この際、保持データ送信部１２０は、このコマンドに、揮発性メモリ１３０に一時的に保持されていた保持データ３００を含めて送信する。
また、保持データ送信部１２０は、このコマンドに含まれる保持データ３００を圧縮したり、暗号化したりして送信してもよい。

セキュリティデバイス２０の制御部２１の保持データ書込部２１０は、このコマンドを受信すると、保持データ３００を展開させ、揮発性メモリ２３０に書き込む。この際、保持データ書込部２１０は、保持データ３００が暗号化されていた場合、復号化する。また、保持データ書込部２１０は、ハッシュ関数等で、不正な保持データ３００でないか否かをチェックしてもよい。

（ステップＳ１０７）
次に、セキュリティデバイス２０の制御部２１の保持データ書込部２１０が保持データ書き戻し完了通知処理を行う。
保持データ書込部２１０は、保持データ３００の書き込みが完了した場合、その旨をマスタデバイス１０の制御部１１に通知する。

（ステップＳ１０８）
次に、マスタデバイス１０の制御部１１のリセット制御部１００がエラークリア完了通知処理を行う。
リセット制御部１００は、ホスト装置２の「エラー状態クリアコマンド」に対するレスポンスとして、エラー状態が解除された旨の通知を行う。
これにより、以降、エラー状態が解除された状態で、ホスト装置２とセキュリティデバイス２０との間での認証が可能となる。
以上により、本発明の実施の形態に係る保持データ退避復元処理を終了する。

〔本実施形態の主な効果〕
以上のように構成することで、以下のような効果を得ることができる。
従来、機器全体としては通常運用状態を維持しつつも、セキュリティデバイスのみリセットをかける必要が生じた場合、セキュリティデバイスの揮発性メモリに記憶された保持データ３００を、一旦、不揮発性メモリに退避させ、リセット後に揮発性メモリに戻して、通常運用状態を継続させていた。
しかしながら、不揮発性メモリの記憶容量が十分でない場合、通常運用状態中にエラー状態となり、これらのエラー状態をクリアするためにそのままリセットしてしまうと、保持データ３００までクリアされてしまい、以後、ホスト装置との認証処理ができなくなってしまっていた。ホスト装置及びカードリーダでは、通常運用状態が維持されていると認識しているので、機器認証ができない状態は異常な状態であり、最悪の場合はシステムダウンにつながる可能性があった。

これに対して、本発明の実施の形態に係るカードリーダ１は、セキュリティデバイス２０は、通常運用状態を継続させるために保持しておく必要のある保持データ３００を記憶する揮発性メモリ２３０と、揮発性メモリ２３０に記憶された保持データ３００をマスタデバイス１０に送信する保持データ送信部２２０と、保持データ送信部２２０によりマスタデバイス１０に送信された保持データ３００を再び受信して揮発性メモリに書き込む保持データ書込部２１０とを備え、マスタデバイス１０は、セキュリティデバイス２０の保持データ３００を受信する保持データ受信部１１０と、保持データ受信手段により受信された保持データ３００を一時的に記憶する揮発性メモリ１３０と、揮発性メモリ１３０に保持データ３００が記憶された後、セキュリティデバイス２０をリセットするリセット制御部１００と、リセット制御部１００によるセキュリティデバイス２０のリセットが完了したら、揮発性メモリ１３０に記憶された保持データ３００を、セキュリティデバイス２０に送信する保持データ送信部１２０とを備えることを特徴とする。
このように構成することで、セキュリティデバイス２０がリセットされた後も継続して利用が必要な保持データ３００を不揮発性メモリ２４に退避することができなくても、リセット時に保持データ３００を消失させることなく、通常運用状態を継続させることができる。

また、本発明の実施の形態に係るカードリーダ１は、マスタデバイス１０のリセット制御部１００は、不正行為検知部６により、セキュリティデバイス２０に対する不正行為を検知した場合に、セキュリティデバイス２０に保持データ３００を送信するよう要求することを特徴とする。
このように構成することで、不正行為が検知され、エラー状態となったことをマスタデバイス１０で把握し、ホスト装置２等から通常運用状態の継続の指示をさせることが可能となる。このため、通常運用状態を維持する必要がある場合に、そのままリセットされて機器認証ができない状態になることを防ぐことができ、情報処理システムＸの安定運用に資することができる。

〔他の実施の形態〕
なお、上述の実施の形態では、セキュリティデバイス２０の保持データ３００をマスタデバイス１０で一時保持するように記載した。しかしながら、逆に、セキュリティデバイス２０の揮発性メモリ２３０の容量が十分あり、マスタデバイス１０のみリセットする場合、マスタデバイス１０の保持すべきデータをセキュリティデバイス２０へ退避させて、一時保持するように構成することも可能である。
このように構成することで、マスタデバイス１０のみリセットする場合でも、通常運用状態を継続させることができ、安定運用に資することができる。

また、上述の実施の形態では、セキュリティデバイス２０の保持データ３００をマスタデバイス１０にて一時保持するように記載した。しかしながら、マスタデバイス１０のリセット制御部１００は、複数のセキュリティデバイス２０が接続されている場合、不揮発性メモリ２４を備えており、当該不揮発性メモリ２４に保持データ３００を記憶する空き容量がある他のセキュリティデバイス２０を検索し、リセットするセキュリティデバイス２０に記憶された保持データ３００を、空き容量がある他のセキュリティデバイス２０に送信させてもよい。更に、複数のセキュリティデバイス２０に、保持データ３００を分割して退避させてもよい。
つまり、セキュリティデバイス２０が複数接続されている場合、セキュリティデバイス２０から他のセキュリティデバイス２０へデータを退避してもよい。
このように構成することで、マスタデバイス１０の揮発性メモリ１３０の記憶容量に余裕がない場合でも、リセット時のセキュリティデバイス２０の保持データ３００の退避を確実に行うことができる。

また、上述の実施の形態では、保持データ３００を一時的に記憶する保持データ一時記憶部が、揮発性メモリ１３０である例について説明した。しかしながら、マスタデバイス１０の保持データ一時記憶部は、不揮発性メモリ１４であってもよい。
すなわち、不揮発性メモリ１４を、セキュリティデバイス２０から受信された保持データ３００を一時的に記憶するための保持データ一時記憶部として機能させることも可能である。
このように構成することで、マスタデバイス１０に保持データ３００を退避させた後、停電や取り外し等で通常電源部３０からの電源供給が切断されても、マスタデバイス１０に送信され保持された保持データ３００が失われなくなる。このため、マスタデバイス１０の筐体を解放しての修理、カードリーダ１の取り換え、工場出荷後の検査等を柔軟に行うことができ、メンテナンス性を向上させることができる。
また、同様に、他のセキュリティデバイス２０に保持データ３００を退避させる際、他のセキュリティデバイス２０の不揮発性メモリ２４へ保持データ３００を保存するように構成してもよい。このように構成することで、故障や電池切れ等でバックアップ電源部４０の揮発性メモリ１３０への電源供給が失われても、不揮発性メモリ２４の記憶が保持される構成では、保持データ３００が失われるのを防ぐことができる。

なお、上記実施の形態の構成及び動作は例であって、本発明の趣旨を逸脱しない範囲で適宜変更して実行することができることは言うまでもない。

１ カードリーダ
２ ホスト装置
３ 周辺装置
４ カード媒体
５、５０ 通信ライン
６ 不正行為検知部
１０ マスタデバイス
１１、２１ 制御部
１２ リードライト部
１４、２４ 不揮発性メモリ
２０ セキュリティデバイス
３０ 通常電源部
４０ バックアップ電源部
１００ リセット制御部
１１０ 保持データ受信部
１２０、２２０ 保持データ送信部
１３０、２３０ 揮発性メモリ
２１０ 保持データ書込部
３００ 保持データ
Ｘ 情報処理システム

Claims (5)

1. マスタデバイスとセキュリティデバイスとを含む情報処理装置であって、
   前記セキュリティデバイスは、
   通常運用状態を継続させるために保持しておく必要のある保持データを記憶する揮発性メモリと、
   前記揮発性メモリに記憶された前記保持データを前記マスタデバイスに送信する保持データ送信部と、
   前記保持データ送信部により前記マスタデバイスに送信された前記保持データを再び受信して前記揮発性メモリに書き込む保持データ書込部とを備え、
   前記マスタデバイスは、
   前記セキュリティデバイスの前記保持データを受信する保持データ受信部と、
   前記保持データ受信部により受信された前記保持データを一時的に記憶する保持データ一時記憶部と、
   前記保持データ一時記憶部に前記保持データが記憶された後、前記セキュリティデバイスをリセットするリセット制御部と、
   前記リセット制御部による前記セキュリティデバイスのリセットが完了したら、前記保持データ一時記憶部に記憶された前記保持データを、前記セキュリティデバイスに送信する保持データ送信部とを備え、
   前記マスタデバイスの前記リセット制御部は、
   前記セキュリティデバイスにより不正行為が検知された場合に、前記セキュリティデバイスに前記保持データを送信するよう要求する
   ことを特徴とする情報処理装置。
2. マスタデバイスとセキュリティデバイスとを含む情報処理装置であって、
   前記セキュリティデバイスは、
   通常運用状態を継続させるために保持しておく必要のある保持データを記憶する揮発性メモリと、
   前記揮発性メモリに記憶された前記保持データを前記マスタデバイスに送信する保持データ送信部と、
   前記保持データ送信部により前記マスタデバイスに送信された前記保持データを再び受信して前記揮発性メモリに書き込む保持データ書込部とを備え、
   前記マスタデバイスは、
   前記セキュリティデバイスの前記保持データを受信する保持データ受信部と、
   前記保持データ受信部により受信された前記保持データを一時的に記憶する保持データ一時記憶部と、
   前記保持データ一時記憶部に前記保持データが記憶された後、前記セキュリティデバイスをリセットするリセット制御部と、
   前記リセット制御部による前記セキュリティデバイスのリセットが完了したら、前記保持データ一時記憶部に記憶された前記保持データを、前記セキュリティデバイスに送信する保持データ送信部とを備え、
   前記マスタデバイスの前記リセット制御部は、
   複数の前記セキュリティデバイスが接続されている場合、不揮発性メモリを備えており該不揮発性メモリに前記保持データを記憶する空き容量がある他のセキュリティデバイスを検索し、
   リセットする前記セキュリティデバイスに記憶された前記保持データを、空き容量がある前記他のセキュリティデバイスに送信させる
   ことを特徴とする情報処理装置。
3. 前記マスタデバイスの前記保持データ一時記憶部は、不揮発性メモリである
   ことを特徴とする請求項１又は２に記載の情報処理装置。
4. マスタデバイスとセキュリティデバイスとを含む情報処理装置により実行される情報処理方法であって、
   前記セキュリティデバイスにより、通常運用状態を継続させるために保持しておく必要のある保持データを揮発性メモリに記憶し、
   前記セキュリティデバイスにより、記憶された前記保持データを前記マスタデバイスに送信し、
   前記マスタデバイスにより、前記セキュリティデバイスの前記保持データを受信し、
   前記マスタデバイスにより、受信された前記保持データを一時的に記憶し、
   前記マスタデバイスにより、前記保持データが記憶された後、前記セキュリティデバイスをリセットし、
   前記マスタデバイスにより、前記セキュリティデバイスのリセットが完了したら、一時的に記憶された前記保持データを、前記セキュリティデバイスに送信し、
   前記セキュリティデバイスにより、前記マスタデバイスに送信された前記保持データを再び受信して前記揮発性メモリに書き込み、
   前記マスタデバイスにより、前記セキュリティデバイスにより不正行為が検知された場合に、前記セキュリティデバイスに前記保持データを送信するよう要求する
   ことを特徴とする情報処理方法。
5. マスタデバイスとセキュリティデバイスとを含む情報処理装置により実行される情報処理方法であって、
   前記セキュリティデバイスにより、通常運用状態を継続させるために保持しておく必要のある保持データを揮発性メモリに記憶し、
   前記セキュリティデバイスにより、記憶された前記保持データを前記マスタデバイスに送信し、
   前記マスタデバイスにより、前記セキュリティデバイスの前記保持データを受信し、
   前記マスタデバイスにより、受信された前記保持データを一時的に記憶し、
   前記マスタデバイスにより、前記保持データが記憶された後、前記セキュリティデバイスをリセットし、
   前記マスタデバイスにより、前記セキュリティデバイスのリセットが完了したら、一時的に記憶された前記保持データを、前記セキュリティデバイスに送信し、
   前記セキュリティデバイスにより、前記マスタデバイスに送信された前記保持データを再び受信して前記揮発性メモリに書き込み、
   前記マスタデバイスにより、複数の前記セキュリティデバイスが接続されている場合、不揮発性メモリを備えており該不揮発性メモリに前記保持データを記憶する空き容量がある他のセキュリティデバイスを検索し、
   前記マスタデバイスにより、リセットする前記セキュリティデバイスに記憶された前記保持データを、空き容量がある前記他のセキュリティデバイスに送信させる
   ことを特徴とする情報処理方法。

Images