CN106327183A - 一种用于现场事务处理的数据交换系统及数据交换方法 - Google Patents

Abstract

本发明公开了一种用于现场事务处理的数据交换系统，包括微端感应卡、微端APP、读卡器、应用前端、应用服务器和发行服务器。微端感应卡存储身份识别信息，微端APP是安装在移动智能终端上负责用户身份认证和事务处理操作的程序，发行服务器是进行数据交换与事务处理操作处理的程序模块。读卡器、应用前端与应用服务器组成应用方块。微端感应卡和微端APP之间的数据交换通过应用前端和应用服务器、发行服务器之间的通路进行。本发明还公开一种用于现场事务处理的数据交换方法，包括微端用户注册与认证、应用接入与加注、现场事务处理和异常事务拦截处理。本发明能取代各种支付卡、消费卡和身份证明验证卡，具有良好的安全性和抗攻击性。

Description

一种用于现场事务处理的数据交换系统及数据交换方法

技术领域

本发明涉及数据交换、现场事务、电子支付处理技术领域，尤其涉及一种现场事务处理的数据交换系统及利用该系统进行数据交换的方法。

背景技术

随着互联网的普及，电子商务、电子政务和办公自动化等各种基于Web的应用取得了蓬勃的发展。人们每天利用这些系统处理各式各样的事务。这些事务背后的业务流程呈现跨系统、跨应用、跨地域的特性，要求用户能够安全高效地提交事务处理所需要的数据。一般地，事务处理是由一组相关操作组成的，用于有效记录特定业务活动（称为事务）的数据处理过程。

在各种事务处理应用中，有一类特殊的现场事务处理的情景，如超市的收银刷卡、医保的结算刷卡、单位的门禁刷卡、公交的车资刷卡等。这类应用系统的客户端通常部署在事务处理现场，用户（消费者）不是通过登录或者输入的方式提交其身份和授权信息，而是通过刷卡的动作读入。应用系统的客户端然后将待处理的事务（如待支付的账单、待授权的划拨、待认证的身份等）和持卡的信息（如银行卡、会员卡、医保卡、公交卡、门禁卡等）提交给后台服务器和（或）其他方的处理系统（如银联卡结算系统、医保结算系统等）来进行多方信息的确认和交互，最终达到完成现场事务处理的目的。这类现场事务处理中,广泛使用的是接触式和非接触式IC卡或者ID卡。这些卡具有体系小、易于使用的优点。但是，由于数据异构和信息安全的原因，不同系统发行的卡通常不能交叉使用。随着现场事务处理系统的日益普及，用户不得不办理、携带和管理大量的卡，在人们日常生活和工作中造成很多不便，同时也给应用方带来了很高的发行成本。本发明的目的，就是采用本发明的系统，能够在各种应用系统中安全可靠地使用，一个感应卡取代大量的卡，用户在生活工作中不用携带大量的卡，并获得更好的效率和用户体验。

总体而言，涉及多方数据交换的事务处理过程可从身份标识、身份确认位置、数据交换三个维度来刻画，以服务端—客户端为例可如表1所示。

表1 刻画事务处理过程的三个维度

身份标识	身份确认位置	数据交换
			物理身份标识	服务端	远程
虚拟身份标识	客户端	近程

（1）身份标识

身份标识包括物理身份标识和虚拟身份标识。物理身份标识通常采用卡片的形式，以使用方便的非接触式近场微端感应卡为主。技术上非接触式近场微端感应卡可分为三类：⑴ID卡，即射频加密卡（RF ID），主机和射频之间没有机械接触点，射频卡的信息存取是通过无线电波来完成的；⑵非接触普通IC卡，即射频储存卡（RF IC），它在存储卡基础上增加了射频收发电路；⑶智能IC卡，即射频CPU卡（RF CPU）。它拥有自己的操作系统COS。ID卡和后两类IC卡的读卡器一般不兼容。ID卡成本最低，安全性最差，基本只用于安全要求低的应用。IC卡的安全性完全依赖应用方的业务系统在发行过程中对卡上的数据加密方法，它的数据在未被授权的其他系统中无法使用。物理卡片标识身份在市场中已被广泛应用，如超市卡、门禁卡、公交卡等。物理卡存量大，发行成本较高。

虚拟身份标识是近年来随移动互联发展而兴起的身份标识方法。其常采用二维码、条形码等技术将身份标识投射于移动终端界面。虚拟身份标识不受固定物理形态的约束，可以在移动设备上随需展示，迎合了人们对业务移动、快速处理的诉求，但存在安全方面的隐患。

（2）身份确认位置

在事务处理过程中，身份标识确认在业务流中数据的步骤至关重要。确认过程所处位置也成为事务处理过程中的重要维度。确认操作发生的位置可以发生在服务端或者客户端。服务端确认有助于统一管理、资料归档，但容易风险集中，形成瓶颈。客户端确认有助于分担风险，但资料分散，归档缓慢。

（3）数据交换

由于业务流中的数据需要在所涉多方之间进行带身份标识的确认，多方之间的业务流数据交换方法对事务处理过程有重要影响。根据通信方式的不同，业务流数据交换方法可分为远程数据交换和近程数据交换。远程数据交换依赖WIFI、以太网、4G等网络设备，借助专用的数据服务器在服务端与客户端之间交换数据。近程数据交换则依赖NFC、蓝牙、红外等短距通信设备，在客户端与服务器之间建立直接连接，交换数据。

目前，已有涉及多方数据交换的事务处理过程包括：（1）以传统银行卡为代表的刷卡支付过程，其特点为物理身份标识及服务端确认；（2）以卡拉卡为代表的刷卡支付过程，其特点为物理身份标识、客户端确认及远程数据交换；（3）以NFC主动工作模式为代表的支付过程，其特点为物理身份标识、客户端确认及近程数据交换；（4）以客户端二维码为代表的被动扫码支付过程，其特点为虚拟身份标识、客户端确认及远程数据交换。综上所述，在以物理卡为基础的事务处理过程中尚缺乏一种以物理身份标识由客户端确认进行高效远程数据交换的方法，该问题亟待解决。

发明内容

本发明的目的在于克服上述现有技术之不足而提供一种用于现场事务处理的数据交换系统。该系统由微端感应卡、微端APP、读卡器、应用前端、应用服务器、发行服务器六个部分组成。其中，微端APP运行在智能移动终端上。微端APP不能直接读取微端感应卡内的任何数据，微端感应卡和微端APP之间的数据交换通过应用前端和应用服务器、发行服务器进行。

为实现上述目的，本发明提供一种用于现场事务处理的数据交换系统，包括：

微端感应卡：包含近场感应卡的部件，卡内存储有用户身份识别信息，如非接触式IC卡芯片和非接触式ID卡芯片；

微端APP：运行在用户智能移动终端上的程序模块，供用户进行身份确认和事务处理的操作；

发行服务器：进行数据交换与事务处理操作处理的程序模块，并且，所有应用相关的数据、用户相关的数据以及现场事务处理过程中产生的数据都将由发行服务器存储管理；

读卡器：读取微端感应卡身份识别信息的部件，它是所述应用前端的外部设备；

应用前端：部署在事务处理现场的程序模块，用于受理和响应各种事务；

应用服务器：汇总和处理现场事务、负责应用前端和发行服务器之间通讯的程序模块；

其中，所述微端感应卡和所述微端APP组成微端，供用户使用。安装所述微端APP的智能终端不需向所述微端感应卡供电，不需访问所述微端感应卡的数据，也不需与所述微端感应卡物理上相连；

其中，所述读卡器、所述应用前端、与所述应用服务器组成应用方模块。所述读卡器是所述前端的外部设备，应用前端能通过读卡器读取到微端感应卡内的身份识别信息；

其中，所述应用前端、所述应用服务器、所述发行服务器和所述微端APP通过网络串联在一起，它们之间可互相传送用于现场事务处理的数据。

优选的，所述发行服务器通过网络与涉及事务处理数据流的其他方系统相连，并交换事务处理中涉及其他方的数据。

优选的，所述发行服务器部署在Web上，通过Internet与应用服务器相连，通过无线数据网络与微端APP相连。

优选的，还包括有应用方的业务系统，所述应用方的业务系统包括有业务系统客服端、与所述业务系统客服端相连的业务系统服务端；所述应用前端与业务系统客服端相连；所述应用服务器与业务系统服务端相连。

本发明还提供一种用于现场事务处理的数据交换方法，包括4个环节：

S1，微端用户注册与认证；

S2，应用接入与加注；

S3，现场事务处理；

S4，处理异常事务拦截处理。

优选的，所述微端用户注册与认证S1，具体步骤为：

S101，用户注册微端APP的帐号；

S102，发行方验证微端用户的真实身份；

S103，用户将他持有的微端感应卡的识别ID与微端APP的用户ID匹配；

S104，优选的，用户可以将微端APP的用户ID匹配到新的微端感应卡102上；

S105，优选的，用户在其用户ID下绑定他所持有的各种应用中的身份标识帐号；

S106，所有用户注册与认证过程形成的数据都存储在发行服务器中。

优选的，所述应用接入与加注S2，具体步骤为：

S201，发行方验证应用方的身份和可靠性；

S202，发行方对拟接入的应用进行合理性和可行性验证；

S203，发行方向应用方颁发应用前端、应用服务器和发行服务器之间通讯的签名和加密的密码体系；

S204，发行方批准拟接入应用需要的事务处理操作、报文的数据结构；

S205，可选地，应用方可以在应用方ID下绑定所持有的应用方身份标识帐号，如银行卡号等；

S206，可选地，应用方和微端用户达成一致后，发行方允许微端用户加注到特定的应用中。具体地，在步骤S206中，

S2061，发行方批准申请加注的应用，并由发行服务器提供相应的服务和数据的响应；

S2062，应用方或者微端用户两方中的一方提出加注申请，另一方做出批准；

S2063，可选地，应用方或者微端用户任何一方都可以主动退出加注。

S207，为每个应用前端设置ID，标注应用前端的地理位置；

S208，上述应用接入和加注过程形成的信息存储在发行服务器中。

优选的，所述现场事务处理S3，具体步骤为：

S301，应用方的业务系统客户端生成待处理的现场事务处理请求报文T1并发送给应用前端；

S302，应用前端通过读卡器读取微端感应卡识别ID，并将该微端感应卡识别ID纳入报文T1中；

S303，应用前端对报文T1进行签名和加密，生成新报文T2提交给应用服务器；

S304，应用服务器根据报文T2生成报文T3发送给发行服务器；

S305，发行服务器根据报文T3生成新报文T4推送给与微端感应卡ID匹配的微端APP；

S306，用户在微端APP中通过手工输入密码或者生物特征确认身份并操作，将包含用户处理指令的报文T5发送至发行服务器；

S307，可选地，发行服务器与其他方系统进行交互；

S308，发行服务器将该事务的最终处理结果形成报文T6发送给应用服务器；

S309，发行服务器同时将该事务的最终处理结果形成报文T7发送到微端APP；

S310，应用服务器根据报文T6生成新的报文T8发送给应用前端；

S311，应用前端解析报文T8，并将解析结果提交给应用方的业务系统客户端。

优选的，所述异常事务拦截处理S4，具体步骤为：

S401，某非法用户使用伪造的微端感应卡通过应用前端刷卡，执行类似S301至S305的步骤，报文T4将被推送到真实用户的微端APP上；

S402，真实用户将拦截指令作为报文T5发送向发行服务器；

S403，发行服务器拒绝应用服务器提交的任何事务处理操作，并将拦截和报警指令作为报文T6发送给应用服务器；

S404，发行服务器将拦截已经处理的信息作为报文T7反馈给微端APP；

S405，应用服务器收到报文T6后，将拦截和报警指令作为报文T8发送给应用前端；

S406，应用前端解析收到的报文T8后，发出使用伪造卡的报警；

S407，可选地，应用方将拦截发生的具体原因和最终处理结果报告给发行方。

本发明的现将事务处理系统和方法将带来如下有益的效果：

1、本发明通过微端用户的注册与认证，绑定用户在各种应用中的身份和帐号，并加注应用后，一张微端感应卡能够替代许多支付卡、消费卡和身份验证卡。用户在生活工作中不用携带大量的卡，不用为各种预付卡和消费卡充值，同时也避免遗失的损失和补卡的不便。

2、目前已有的使用支付卡、消费卡和身份验证卡的各种应用系统，只需要在原系统上进行少量升级，即可使用本发明的系统和方法。并且，系统以前发行的老卡可以继续使用，因此对老卡用户不会造成困扰。

3、本发明的系统能取代各种支付卡、消费卡和身份证明卡，应用方在发展新用户时不需要发行传统的老卡，只需要将新用户加注到他的应用中即可。这样能够降低应用方的发卡成本和推广成本，帮助应用方获得更多的商业机会。

4、本发明用户帐号下所绑定的预付卡，可以在需要使用的时候通过微端APP自动即充即用，不需要为预付卡提前充值，也不会出现余额不足的情形，这样能够帮助用户避免资金闲置和浪费。

5、微端APP将记录每一笔现场事务处理的细节，用户可以预先制订各种事务处理策略，获得更好的效率和体验。

6、本发明中微端感应卡内的信息对所有应用方都是透明的，微端感应卡不存储任何与用户相关的个人信息和敏感信息，所有敏感信息都存储在发行服务器中。用户在处理现场事务过程中，应用方不能获取微端用户的个人信息和敏感信息（加注应用中所需的并且用户已经同意的部分敏感信息除外）。所有涉及用户的事务处理操作都必须经过微端App上用户身份的验证。因此具有很高的安全性。

7、使用伪造的微端感应卡的非法用户，其事务处理请求将被拒绝，不会给微端用户、应用方带来可能的损失。并且应用方能够第一时间在事务处理现场发现和处置非法用户，这对非法用户能起显著的威慑作用。因此，本发明的系统和方法具有很好的可靠性和抗攻击性。

附图说明

图1为本发明所述的现场事务处理系统的组成；

图2为本发明所述系统中用户注册与认证的步骤；

图3为本发明所述系统中应用接入与加注的步骤；

图4为本发明所述系统中现场事务处理的步骤；

图5为本发明所述系统中异常事务拦截处理的步骤；

图6为本发明所述系统的门禁应用例；

附图标记：

微端APP101；

微端感应卡102；

发行服务器201；

读卡器301；

应用前端302；

应用服务器303；

业务系统客服端401；

业务系统服务端402；

其他方系统501。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

请参阅图1至图6，本发明所述的一种用于现场事务处理的数据交换系统包括微端用户使用的微端APP101和微端感应卡102，发行方使用的发行服务器201，应用方使用的读卡器301、应用前端302和应用服务器303。其中，读卡器301是应用前端302 配备的外部设备，用于读取微端感应卡102内的识别ID。

本发明的系统，微端APP101并不能直接读取微端感应卡102中的反映用户身份的识别ID，而是借助于“读卡器301-应用前端302-应用服务器303-发行服务器201-微端APP101”组成的通路进行读取。读取的动作通过应用前端302的事务请求所触发，微端感应卡ID将嵌入事务请求的报文中，一并提交给发行服务器201进行处理，并进一步提交给用户通过微端APP101进行身份确认和操作。然后，用户的确认报文经由“微端APP101-发行服务器201-应用服务器303-应用前端302”组成的通路反馈给应用前端302，与应用前端302相连的应用方的业务系统客户端401将执行对应的事务处理的现场动作。

本发明的系统所包括的部件说明如下。

微端感应卡102：微端感应卡102是封装了一个非接触式IC卡芯片和一个非接触式ID卡芯片的部件，它并非出现在安装微端APP101的智能移动终端内部。微端感应卡102内的某个芯片能够在近距离内被应用前端302的读卡器301读取。在微端感应卡102的每个芯片内，存储了反映用户身份的识别ID。每张微端感应卡内所有芯片的识别ID是相同的，即无论应用前端302配备的是哪种读卡器，都将读取到同样的识别ID。微端感应卡内所有芯片的存储结构和加密方法向所有应用方公开，即所有应用方能够读取到微端感应卡的识别ID。为确保用户的隐私和信息安全，除微端感应卡识别ID外，微端感应卡的芯片内不存储任何与特定用户相关的信息。典型地，GUID（Globally Unique Identifier）这种128位的数字标识符可以当成微端感应卡的识别ID来使用。外观形状上，微端感应卡102可以是卡片形状、纽扣形状、腕带形状或者其他任何方便用户携带和使用的形状，如制成智能手环状、智能手表状，以及嵌入各种智能穿戴设备中。微端感应卡102可以粘贴在用户的移动智能终端表面，也可以单独出示使用。移动智能终端不需要向微端感应卡102供电，也不要求支持对微端感应卡102的读写。发行方在发行新微端感应卡时，将微端感应卡识别ID以字符、条形码或者二维码等形式印刷在微端感应卡的包装上，方便新用户注册时完成微端感应卡102的识别ID和微端APP101的用户ID匹配。

微端APP101：微端APP101是运行在智能手机、平板电脑、个人数字助理（PDA）等各种类型的智能移动设备上的应用程序，它负责读取发行服务器201推送的现场事务处理请求，验证微端用户的身份，按照微端用户的授权完成各种现场事务处理操作。这些智能移动设备的操作系统可以是iOS、Android、Symbian、Windows Mobile或者其他操作系统（如Linux、BSD系统、Unix系统等）。用户注册认证微端APP101时，获得唯一的用户ID，并且将微端APP101的用户ID与微端感应卡102的识别ID进行匹配。此后，当微端感应卡102在某个事务处理现场被应用前端302的读卡器读取时，有且仅有与这个微端感应卡102匹配的微端APP101将会收到发行服务器201转发来的事务处理授权请求，有且仅有经过身份验证的、合法持有匹配好的微端感应卡102和微端APP101的用户能操作这一请求。

发行服务器201：发行服务器201是发行方部署在服务器上或者云端负责数据交换的程序模块，通过Internet与应用服务器303和微端APP101相连。发行服务器是本发明系统的数据交换与处理的中心，所有应用接入数据、微端用户注册数据以及现场事务处理过程中产生的数据都将由发行服务器201存储管理。发行服务器201主要包括这些功能模块：⑴微端管理用户模块：管理微端用户帐号与配置；⑵应用管理模块：管理所有应用方及其应用；⑶通信模块：控制和调度发行服务器201和微端APP101之间、发行服务器201和应用服务器303之间通信，包括数据的加密、解密、签名和密钥管理等功能；⑷事务处理模块：响应和推送应用服务器303和微端APP101提交的各种事务处理请求，并执行相关的操作；⑸其他方接口：与其他方系统501（如医保数据系统、银行电子支付网关）进行数据交换的接口定义与管理；⑹系统管理模块：如数据管理、日志管理、交易审计等。

读卡器301：读卡器301是应用前端302配备的外部设备，用于读取微端感应卡102内的识别ID。读卡器301可以是IC卡读卡器，也可以是ID卡读卡器。如果业务系统事务处理现场的计算设备上已经配备了读卡器，则应用前端可以直接使用现有的读卡器，不需要另行配备。如果应用前端302配备的读卡器301是IC卡读卡器，则读取微端感应卡内的IC卡芯片。如果应用前端302配备的读卡器301是ID卡读卡器，则读取微端感应卡内的ID卡芯片。读卡的动作可以通过业务系统的事务处理请求驱动。

应用前端302：应用前端302是运行在事务处理现场的应用方计算设备上的程序模块，用于受理各种现场事务请求并负责与应用服务器303通讯。运行应用前端302配置有读卡器301，用于读取微端感应卡102中的识别ID，这些数据将与具体的事务处理请求一同发往应用服务器303。应用前端302通常与的业务系统中受理现场事务的应用方客户端401（如收银前台系统、门禁系统的控制器模块等）部署在同一台计算设备上。应用前端302可以是独立的可执行程序，也可以是供应用方的业务系统客户端401调用的程序模块（如动态链接库、COM组件）。应用前端302包含的子模块有：⑴读取微端感应卡的驱动；⑵与应用方的业务系统客户端401交换数据的接口；⑶与应用服务器303交换数据的接口；⑷报文响应与处理模块。

应用服务器303：应用服务器303是负责应用前端302和发行服务器201之间通讯的事务数据处理程序模块。应用服务器303与发行服务器201之间通过Internet交换数据，也可以采用其他网络，如移动蜂窝网络等。应用服务器303可以以独立程序的形式，与应用方的业务系统服务端402部署在同一台计算机上，并通过接口与应用方的业务系统服务端402交换数据。应用服务器也可以以服务（Service）或者模块的形式部署在应用方的服务器上，供应用方的业务系统服务端402调用。若干个应用前端302与一个应用服务器303组成整个应用方模块。在只有一个应用前端302的情况下，应用前端302和应用服务器303甚至可以部署在同一个计算设备中。通常，应用服务器303包含的模块有：⑴与业务系统服务端402交换数据的接口与模块；⑵与应用前端302交换数据的接口；⑶与发行服务器201交换数据的接口；⑷报文响应与处理模块。

报文：报文是应用前端302、应用服务器303、发行服务器201和微端APP101之间交换的、用于事务处理的数据。报文的传输可以采用TCP/IP、UDP等协议。为了保证报文的真实性和保密性，报文在发送之前都通过签名和加密，接收端经过解密和验证后得到报文的原文，这样能防止伪造，发送者也不能否认该报文是由他本人发送。同时，报文的内容保密的，只有知道密钥才能解密。签名和加密所使用的密钥和公钥由发行服务器生成和管理。报文的具体格式由发行方和应用方事先约定，通常报文的内容包含了现场事务处理所需要的全部数据。例如，报文的内容如“微端感应卡102的识别ID +应用前端302的ID+应用ID+现场事务的ID+发送精确时间+现场事务请求的具体内容”，报文的格式可以采用XML语言等嵌套格式表达。

本发明还提供一种现场事务处理的数据交换方法，具体阐述如下：

本发明的数据交换方法中，发行服务器201负责微端APP101的密码和生物特征的后台验证，记录微端感应卡102的识别ID与微端APP101的用户ID匹配，并执行用户授权的现场事务处理操作。发行服务器201收到包含特定微端感应卡识别ID的事务处理请求报文时，将推送给与微端感应卡识别ID匹配的微端APP101，微端APP101然后把包含用户确认信息和操作的报文发送给发行服务器201。发行服务器201再将包含事务处理结果的报文推送给提出该事务的应用服务器303，同时将事务处理的结果以报文的形式反馈给微端APP101。

本发明所述系统为了达到能够安全、可靠地、广泛地受理各种现场事务处理，发行方需要对所有发行的微端进行注册和认证，确保微端的操作是由真实的、被验证的用户所进行的。发行方也需要对接入的应用方的身份进行确认，并预先定义好每个应用需要的操作和接口，发行方和应用方相互之间传送的报文才能有效解析。在微端用户正确注册与认证、应用方正确接入的基础上，本发明的系统能够有效地处理各种现场事务。并且，本发明的系统能够有效地拦截那些使用伪造微端感应卡的非法操作。

下面结合附图对本发明的系统上现场事务处理的方法进行详细说明。

利用所述系统进行现场事务处理方法包括以下4个环节：

S1）微端用户注册与认证：微端用户注册和认证是为了⑴为新注册的用户创建唯一的微端APP101的用户ID，并确认用户身份的真实性；⑵将用户ID与所持的微端感应卡102的识别ID匹配，此后微端感应卡102在事务处理现场被使用时，被匹配的微端APP101将收到授权操作的请求；⑶绑定该用户在各种应用系统中的身份和帐号（如银行帐号、医保帐号等），以便发行服务器201获得授权代表用户访问对接的其他方系统501（如操作用户的银行帐号进行支付、从用户的医保帐号划拨消费金额）。用户注册与认证过程产生的信息都将存储在发行服务器201中。

S2）应用接入与加注：应用接入的作用是：⑴确认应用方的身份；⑵添加应用，确定需要提交的事务处理流程；⑶确定数据接口，以便应用服务器303和发行服务器201之间传送的报文能够有效解析；⑷加注需要微端用户个人信息的应用（如会员信息、真实身份信息等）。应用方接入过程产生的信息都将存储在发行服务器201中。

S3）现场事务处理：本发明的核心方法。微端感应卡102在事务处理现场被应用前端302的读卡器301读取后，有且仅有与之匹配的微端APP101将收到发行服务器推送的提示，事务处理数据以报文的形式通过“应用前端302-应用服务器303-发行服务器201-微端APP101”组成的通路传输，微端用户将授权和确认他所卷入的现场事务操作请求，达到现场事务处理的目的。

S4）异常事务拦截处理：由于微端感应卡102芯片内的身份数据对所有应用方是开放的，完全存在这种可能性：不法者复制真实用户的微端感应卡（其识别ID与某个真实用户的微端感应卡的识别ID相同，称为套卡），然后使用非法复制的套卡来冒充真实用户进行现场事务处理（套卡盗刷）。此时，非法的套卡能够被应用前端302的读卡器读取，并且相应事务处理请求的报文会被发送到发行服务器201，但发行服务器201会将该请求推送给被套卡的真实用户。真实用户能够立即知晓被套卡盗刷，因为他本人没有使用自己的微端感应卡102进行现场事务处理。真实用户将在微端APP101上反馈拦截和报警的报文，通过发行服务器201并进一步通知应用服务器303和应用前端302。特别地，发行服务器201和应用服务器303将拒绝套卡所涉及的事务处理请求，并且，应用方能够立即在事务处理现场发现并处理使用套卡的非法用户。因此，本发明的系统和方法能够第一时间在事务处理现场发现和锁定使用套卡的非法用户，这将对企图套卡的非法用户具有很大的威慑。同时，本发明的系统和方法不会执行套卡所提交的事务处理的实际操作，对应用方和微端用户不会造成实质损失，本发明的系统和方法的安全性是具有保障的。

进一步，如图2所示，所述微端注册与认证S1）的步骤为：

S101）新用户利用微端APP101注册新的用户帐号，获得唯一的微端APP的用户ID，设置字符形式的密码或生物特征密码。

S102）并且，在指定现场，发行方对新注册的微端用户的真实身份进行当面确认；或者，新注册的用户采用远程视频的方式，发行方对新用户的真实身份进行远程确认；或者采用让新注册的用户执行特定的手势进行认证，如眨眼、扭头等操作。

S103）并且，发行方颁发一张新的微端感应卡102给新注册的用户。新注册的用户在微端APP101上扫描新微端感应卡包装上的条码或二维码，或者手工键入包装上的字符标识来录入微端感应卡102的识别ID，实现微端APP101的用户ID与微端感应卡102的识别ID的匹配。

S104）并且，如果用户遗失微端感应卡102，或者需要更换微端感应卡102时，重复步骤S103）实现微端APP101的用户ID和微端感应卡102的识别ID的重新匹配。为安全起见，旧的微端感应卡作废，不再与任何微端用户ID绑定。

S105）并且，可选地，微端用户可以在其用户ID下绑定他在其他方系统的身份和（或）帐号（如消费卡、社保卡、医保卡、校园卡帐号等），实现他的微端感应卡102和他所拥有的各种消费卡、身份卡和支付卡的关联，达到一个微端感应卡代替很多卡的目的。用户绑定他所拥有的其他方系统的身份和（或）帐号后，发行服务器将获得用户授权，根据用户发出的操作指示，与相应的其他方系统501通过网络进行交互和数据交换（如银行转账的方式支付和社保信息的读取）。

S106）并且，所有微端用户的上述注册过程形成的信息，如用户身份验证、密码验证、匹配的微端感应卡识别ID、其他方身份帐号的绑定与授权等信息，都将存储在发行方的发行服务器201中。发行服务器与其他方系统501交互时，发行方必须对这些敏感信息的安全和秘密负责，其前提是发行方需要获得用户的充分授权和信任，这是电子支付平台所必须具备的。

进一步，如图3所示，所述应用接入与加注S2）的步骤为：

S201）应用方向发行方提出应用接入申请，发行方验证应用方身份的真实性和可靠性后，应用方获得惟一的应用方ID。

S202）并且，发行方对拟接入的应用进行合理性和可行性评估，确保该应用对微端用户不存在欺诈和潜在的风险。

S203）并且，发行方向应用方颁发应用前端302、应用服务器303和发行服务器201之间通讯的签名和加密的密码体系（如公钥和密钥）。此后，应用前端302和应用服务器303之间、应用服务器303和发行服务器201之间交换的报文是保密的、真实的。即除收发双方之外的其他人不能知晓报文的内容，除发送方本人外的其他人不能伪造具有该签名的报文，发送方也不能否认由他签名发出的报文；

S204）并且，发行方然后批准拟接入应用需要的事务处理操作、报文的数据结构。这样，发行方和应用方之间传送的报文才能有效解析，解析后的报文将用于事务处理所需要的操作。例如，在门禁类应用中，应用前端302向应用服务器303发出某个微端感应卡102在某个现场的门禁开启请求，应用服务器303向发行服务器201发出请求该微端感应卡102的用户真实身份报文，发行服务器201向应用服务器303返回包含用户真实身份信息的报文，应用服务器303进一步向应用前端302反馈是否能打开该门禁的报文。

S205）并且，可选地，应用方可以在应用方ID下绑定所他持有的其他方帐号和身份信息（如应用方的银行帐号、单位社保帐号等）。在以后的事务处理应用中，发行服务器201将完成应用方授权的对其他方的数据访问和操作（如将用户消费金额从微端用户的医保账户划入应用方在医保中心的结算账户，并向医保中心提交消费的明细等）。

S206）并且，可选地，应用方和微端用户达成一致后，发行方将允许微端用户加注到特定的应用中。加注后，应用方可以访问到微端用户的个人信息（如微端用户的真实身份），或者微端用户能获得更多的服务（如门禁的授权、会员消费的折扣和积分等）。例如，具有学生身份的微端用户入校以后，可以申请加注学校的门禁应用和就餐应用。学校批准加注这两个应用以后，该用户使用他的微端感应卡102在门禁刷卡时，学校的门禁应用服务器303能从发行服务器201获得该用户的真实身份；该用户使用微端感应卡就餐结算时，学校的就餐应用服务器303能够向发行服务器201请求支付，并且发行服务器201按照学生的优惠价格予以结算，并且按照该用户在微端APP201上的授权和操作，从该用户的银行帐号划拨相应金额的费用至学校绑定的帐号。当学生或者学校任何一方取消加注时，这些针对特定用户在特定应用中的加注不再有效，发行服务器201将不再提供更多的服务或者更多的信息。

需要指出的是，为了电子商务的安全性，可以采用现有的加密体系对数据传输进行加密，如对称式或者非对称式加密系统。

更进一步，应用加注S206的步骤为：

S2061）应用方就他的某个特定应用向发行方提出加注许可，发行方根据应用的情况予以批准并设计必要的报文响应格式，包括哪些微端用户的个人信息可以提供给加注的特定应用，哪些特别的服务需要发行服务器201提供。

S2062）应用方或者微端用户中的任何一方都可以主动向发行方提出应用加注的申请，发行方将这一申请转交给另一方批准，另一方批准后该用户将加注到该应用中；

S2063）可选地，对已经加注的特定应用，应用方或者微端用户任何一方都可以主动取消它。

S207）并且，可选地，应用方为每个应用前端302编制唯一的前端ID，并设置应用前端302所在的地理位置（经纬度坐标）。以后，每个特定的应用前端302发送出来的报文都将包含其应用前端ID，关于这一特定应用前端ID的响应报文也只有这个特定的前端能够收到（别的应用前端不能收到）。进一步，微端用户能够根据当前所处地理位置，搜索附近有哪些应用前端可供使用，以便获得更多的现场事务处理服务。特别地，如果应用前端302的地理位置是不固定的（如公共汽车上的车资刷卡应用），则应用前端302可以通过GPS系统获取实时经纬度坐标不断向应用服务器303和发行服务器201更新其最新的地理位置。

S208）并且，上述应用接入和加注过程产生的信息，如应用方的身份、批准的应用、绑定的其他方身份帐号与授权、应用的加注信息等，都将存储在发行方的发行服务器201中。

此后，发行服务器201中包含了微端用户注册和认证、应用接入和加注所形成的信息，为响应各种应用的现场事务处理作好了充分的准备。

进一步，如图4所示，所述现场事务处理方法S3）的步骤为：

S301)应用方的业务系统客户端401生成待处理的现场事务处理请求报文T1（如账单的支付请求，门禁的授权请求等），并将报文T1发送给应用前端302。可选地，在报文T1发送给应用前端302之前，应用方的业务系统客户端401可以通过读卡器301读取微端用户持有的微端感应卡102，并将微端感应卡识别ID纳入T1中（即关于某微端感应卡102的事务处理请求报文）一并发送给应用前端302。

S302)应用前端302解析报文T1。如果报文T1中不包含微端感应卡识别ID，则应用前端302通过读卡器301读取用户的微端感应卡识别ID，并将该微端感应卡识别ID纳入待T1中。

S303)应用前端302对T1进行签名和加密，生成关于该微端感应卡识别ID的事务处理请求报文T2（如该微端感应卡识别ID需要支付的账单请求，或者该微端感应卡识别ID需要通过某个门禁的请求），并将报文T2提交给应用服务器303。

S304)应用服务器303解析收到的报文T2，将T2按照应用服务器303与发行服务器201之间通讯的协议进行签名和加密，生成报文T3发送给发行服务器201。可选地，在报文T3生成之前，应用服务器303可以与业务系统服务端402交互，根据业务逻辑对报文T2的解析结果进行加工处理。

S305)发行服务器201解析收到的报文T3，按照发行服务器201与微端APP101之间的通讯协议进行签名和加密，生成新报文T4，通过无线网络推送给与微端感应卡ID匹配的微端APP101（由于微端App安装在微端用户的移动设备上，报文需要通过无线网络达到）。可选地，在生成报文T4之前，发行服务器201可以根据应用加注的情况，或者微端用户事先制订的操作策略，对报文T3的解析结果进行加工处理（如会员采用折扣计费和积分计算，门禁请求获得身份的确认）。

S306)微端APP101解析收到的报文T4，微端用户根据事务的具体内容进行处理（如选择某个绑定的其他方帐号进行支付），并通过手工输入密码或者生物特征验证该处理是由认证的用户本人操作的。微端用户使用微端APP101，将包含用户处理指令的报文T5通过无线网络发送至发行服务器201。

S307)可选地，发行服务器201在收到微端APP101发送的报文T5后，按照应用预先设置的操作策略与用户的操作指令，与其他方系统501进行交互（如将医保消费账单提交医保结算中心系统，请求医保结算中心系统将消费金额从微端用户绑定的医保账户划拨到应用方的单位收入账户）。在这一步骤中，发行服务器201必要时可以与微端APP101多次报文交互，以便获得用户进一步的操作指令。

S308)发行服务器201将该事务的最终处理结果，按照应用服务器303-发行服务器201之间的通讯协议，处理成报文T6后发送给提出事务请求的应用服务器303。可选地，如果发行服务器201在指定的时间内没有收到微端APP101的响应，也将超时或者用户拒绝处理的信息作为报文T6发送给提出事务请求的应用服务器303。

S309)发行服务器201同时将该事务的最终处理结果，按照发行服务器201-微端APP101之间的通讯协议，生成报文T7发送到微端APP101，以便让微端用户知晓最终处理结果。

S310)应用服务器303解析从发行服务器201收到的报文T6，生成新的报文T8，进一步发送给微端用户所在现场的应用前端302。可选地，在报文T8发送之前，应用服务器303可以与应用方的业务系统服务端402交互，对收到的报文T6加工。例如，在门禁类应用中，收到的报文包含了用户的真实身份信息，门禁系统调度中心（即应用方的业务系统服务端402）将判断该用户是否具有访问所在现场的门禁访问权限。应用服务器303将这一判断的结果写入报文T6中。

S311)应用前端302解析收到的报文T8，并将解析结果提交给应用方的业务系统客户端401。应用方的业务系统客户端401将进一步完成应用的操作，如提示付款成功和打印支付凭证，打开或者拒绝门禁等。

进一步，如图5所示，所述异常事务拦截处理的步骤为：

S401)在现场事务处理请求中，某不法者使用伪造的微端感应卡102（该卡和某真实用户的微端感应卡具有相同的识别ID）通过应用前端302刷卡，执行类似S301)-S305)的步骤，报文T4将被推送到真实用户的微端APP101；

S402)真实用户发现这个事务处理请求不是由他本人发起的，意识到发生了套卡盗刷的情形，将拦截指令作为报文T5发送给发行服务器201；

S403)发行服务器201解析收到的报文T5后，拒绝应用服务器303提交的任何事务处理操作（如支付或者身份认证等）。同时，将拦截和报警指令作为报文T6发送给应用服务器303；

S404)发行服务器201将拦截已经处理的消息作为报文T7反馈给微端APP101，通知用户拦截动作已经发出；

S405)应用服务器303解析收到的报文T6后，将拦截和报警信息通知业务系统服务端402，业务系统服务端402作出避免危害和损失的操作（如订单作废、门禁异常入侵启动）。同时，将拦截和报警指令作为报文T8发送给应用前端302；

S406)应用前端302解析收到的报文T8后，发出使用伪造卡的报警。同时，应用前端302的现场工作人员将对持有套卡的非法用户进行进一步处置。

S407)可选地，应用方将拦截发生的具体原因和最终处理结果报告给发行方。进一步，发行方评估如果继续使用该识别ID的微端感应卡102，是否存在安全隐患。如果发行方认为该识别ID的微端感应卡102存在安全风险，则注销该卡，通知用户微端APP101绑定新的微端感应卡102。

一般地，广泛使用各种支付卡、消费卡和身份验证卡的传统事务处理系统，经过必要的调整升级，将本发明的应用前端302和应用服务器303分别与事务处理系统的客户端（业务系统客户端401）和事务处理系统的服务器（业务系统服务端402）对接，完成与发行服务器的对接，微端感应卡102即可在这些事务处理系统中使用，达到一张微端感应卡102代替许多支付卡、消费卡和身份验证卡的目的。同时，这些业务系统以前发行的老卡可以继续使用，即事务处理现场的读卡器上既可以识别老卡，也可以识别微端感应卡。

通常，微端感应卡102的使用和各种传统的近场感应卡的使用没有区别，但刷卡后必须通过微端APP101进行身份确认和操作。用户对一些常用的并且安全要求不高的现场事务，可以事先制订事务快速处理策略，用户只需要身份确认，微端APP101按照相关策略自动执行相关操作，这样可以大大提高响应速度。

本发明可以使用在各种跨系统的现场事务处理场合，如支付、消费、身份验证等应用。一方面，微端用户通过绑定其他方的身份和帐号，刷微端感应卡102就能起到刷他绑定的卡同样的效果，因此在生活中不需要携带大量的卡。另一方面，应用方甚至不用发行传统的卡给新用户，直接将新用户的加注到特定的应用中即可。例如，学校不用为使用本发明的新生发行校园卡，直接将该生的微端用户帐号加注到学校的就餐、门禁、图书等应用中即可。因此，本发明有利于应用的推广, 并降低发行成本。

支付是本发明的一种重要应用。本发明的核心在于用户通过微端App101进行身份验证后，将现场事务处理所涉及的操作提交发行服务器201，由发行服务器201代表微端用户与涉及电子支付的其他方系统501交互，达到资金从微端用户绑定的帐号划拨到应用方帐号的目的。所绑定的帐号可以是银行借记卡帐号、信用卡帐号、支付宝帐号、微信支付帐号或Paypal帐号等。所采用的支付可以是直接支付，也可以是第三方支付，都是本发明的保护范围。本发明不涉及具体的支付安全策略和方法，本发明仅保护所述用户身份标识、身份验证和数据交换的系统和方法。

本发明的现将事物处理系统和方法将带来如下有益的效果。

本发明通过微端用户的注册与认证，绑定支付卡、消费卡和身份验证卡和加注应用后，一张微端感应卡能够替代各种支付卡、消费卡和身份验证卡。用户使用本发明的微端APP和微端感应卡后，在生活工作中不用携带大量的卡，同时也避免遗失后的损失和补卡的不便。

目前生活中广泛使用支付卡、消费卡和身份验证卡的各种应用系统，只需要在原系统上进行软件升级，即可使用本发明的系统和方法。并且，系统以前发行的老卡可以继续使用，因此对已有的持卡客户不会造成困扰。

本发明的系统能取代各种支付卡、消费卡和身份证明卡，从而降低应用方的发卡成本和推广成本。同时，出现在事务处理现场附近的微端用户都是应用方的潜在客户，能够帮助应用方获得更多的商业机会。

本发明中，针对用户帐号下所绑定的预付卡，用户可以在需要使用的时候通过微端APP自动即充即用，不需要为预付卡提前充值，也不会出现余额不足的情形，这样能够帮助用户避免资金闲置和浪费。

本发明中，微端APP能记录每一笔现场事务处理的细节（如消费的账单明细），用户能优化事务处理的策略，如选择更多折扣的支付方式，同一应用前端反复发生的小额支付或者简单事务采用默认操作来提高响应速度，发生在新现场的事务处理请求需要用复杂密码验证来提高安全性等，从而获得更好的用户体验。

本发明中微端感应卡内的信息对所有应用方都是透明的，微端感应卡不存储任何与用户相关的敏感信息，所有敏感信息都存储在发行服务器中。用户在处理现场事务过程中，应用方也不能获取微端用户的个人信息和敏感信息（加注应用中所需的并且用户已经同意披露给应用方的部分信息除外）。所有涉及用户的事务处理操作都必须经过微端APP上用户身份的验证。因此，本发明能够有效验证操作者的身份和避免用户信息的泄露，具有很高的安全性。

使用伪造的微端感应卡的非法用户，其事务处理请求将被拒绝，不会给微端用户、应用方带来可能的损失。并且应用方能够第一时间在事务处理现场发现和处置非法用户，这对非法用户能起显著的威慑作用。因此，本发明的系统和方法具有很好的可靠性和抗攻击性。

需要指出的是：将本发明的数据交换方法，采用非计算机的方式进行实现，或者某些步骤采用非计算机程序的方式进行实现，也可以完成本发明的功能，也属于本发明的保护范围之内。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统和方法，可以通过其它的方式实现。例如，以上所描述的系统实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

尽管上面已经给出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (10)

1.一种用于现场事务处理的数据交换系统，其特征在于，包括：

微端，所述微端包括微端感应卡和微端APP；

发行服务器；

应用方模块，所述应用方模块包括有读卡器、与所述读卡器相连的应用前端、与所述应用前端相连的应用服务器；

其中，所述发行服务器与所述微端APP通过网络相连；所述发行服务器与应用服务器通过网络相连。

2.根据权利要求1所述的用于现场事务处理的数据交换系统，其特征在于，

所述微端感应卡是存储有用户身份识别信息的部件，这些身份识别信息存储在非接触式IC卡芯片和非接触式ID卡芯片中；

所述微端APP是运行在用户智能移动终端上的程序模块，供用户进行身份确认和事务处理的操作；

所述发行服务器是进行数据交换与事务处理操作处理的计算机模块，并且，所有应用相关的数据、用户相关的数据以及现场事务处理过程中产生的数据都将由发行服务器存储管理；

所述读卡器是用于读取所述微端感应卡身份识别信息的部件，它是所述应用前端的外部设备；

所述应用前端是部署在事务处理现场的程序模块，用于受理和响应各种事务；

所述应用服务器是汇总和处理现场事务、负责应用前端和发行服务器之间通讯的程序模块；

所述应用前端、应用服务器、发行服务器和微端APP通过网络相连，他们之间可互相传送用于现场事务处理的数据；

所述发行服务器通过网络与其他方系统相连，并交换事务处理中涉及其他方的数据；

所述发行服务器部署在Web上，通过Internet与应用服务器和微端APP相连。

3.根据权利要求1和2所述的用于现场事务处理的数据交换系统，其特征在于，所述应用前端与业务系统客服端相连，所述应用服务器与业务系统服务端相连，所述发行服务器与其他方系统相连。

4.根据权利要求1和2所述的用于现场事务处理的数据交换系统，其特征在于，

所述微端APP通过读卡器-应用前端-应用服务器-发行服务器-微端APP组成的通路进行读取所述微端感应卡中反映用户身份的识别ID；

用户的确认反馈报文经由微端APP-发行服务器-应用服务器-应用前端组成的通路反馈给所述应用前端。

5.一种用于现场事务处理的数据交换方法，其特征在于，包括如下4个环节：

微端用户注册与认证；

应用接入与加注；

现场事务处理；

异常事务拦截处理；

其中，微端用户的注册与认证、应用的接入与加注是为现场事务处理过程提供数据准备。

6.根据权利要求5所述用于现场事务处理的数据交换方法，其特征在于，

所述微端用户注册与认证具体包括：

用户注册新的微端APP帐号；

所述微端感应卡的识别ID与所述微端APP的用户ID匹配；

用户在其用户ID下绑定他所持有的各种应用中的身份标识帐号；

所有用户注册与认证过程形成的数据都存储在所述发行服务器中。

7.根据权利要求5所述用于现场事务处理的数据交换方法，其特征在于，所述应用接入与加注具体包括：

发行方颁发所述应用前端、所述应用服务器和所述发行服务器之间通讯的、用于签名和加密的密码体系；

发行方批准拟接入应用需要的事务处理操作、报文的数据结构；

应用方在应用方ID下绑定所持有的应用方身份标识帐号；

应用方和微端用户达成一致后，发行方允许微端用户加注到特定的应用中；

为所述应用前端设置ID，标注所述应用前端的地理位置；

应用接入和加注过程形成的信息存储在所述发行服务器中。

8.根据权利要求5所述用于现场事务处理的数据交换方法，其特征在于，所述现场事务处理具体包括：

所述业务系统客户端生成待处理的现场事务处理请求报文T1并发送给所述应用前端；

所述应用前端通过所述读卡器读取所述微端感应卡识别ID，并将该微端感应卡识别ID纳入报文T1中；

所述应用前端对报文T1进行签名和加密，生成新报文T2提交给所述应用服务器；

所述应用服务器根据报文T2生成报文T3发送给所述发行服务器；

所述发行服务器根据报文T3生成新报文T4推送给与微端感应卡ID匹配的所述微端APP；

用户在所述微端APP中通过手工输入密码或者生物特征确认身份并操作，将包含用户处理指令的报文T5发送至所述发行服务器；

所述发行服务器将该事务的最终处理结果形成报文T6发送给所述应用服务器；

所述发行服务器同时将该事务的最终处理结果形成报文T7发送到所述微端APP；

所述应用服务器根据报文T6生成新的报文T8发送给所述应用前端；

所述应用前端解析报文T8，并将解析结果提交给应用方的所述业务系统客户端。

9.根据权利要求5所述用于现场事务处理的数据交换方法，其特征在于，所述处理异常事务拦截处理具体包括：

真实用户在所述微端APP上收到由某非法用户使用伪造的微端感应卡所推送的报文T4；

真实用户将拦截指令作为报文T5发送给所述发行服务器；

所述发行服务器拒绝所述应用服务器提交的任何事务处理操作，并将拦截和报警指令作为报文T6发送给所述应用服务器；

所述发行服务器将拦截已经处理的信息作为报文T7反馈给所述微端APP；

所述应用服务器收到报文T6后，将拦截和报警指令作为报文T8发送给所述应用前端；

所述应用前端解析收到的报文T8后，发出使用伪造卡的报警。

10.根据权利要求7所述应用接入与加注环节，其特征在于，所述应用加注具体包括：

发行方批准申请加注的应用，并由所述发行服务器提供相应的服务和数据的响应；

应用方或者微端用户两方中的一方提出加注申请，另一方做出批准；

应用方或者微端用户任何一方都可以主动退出加注。