CN108764865A

CN108764865A - 一种用于移动支付的方法和系统

Info

Publication number: CN108764865A
Application number: CN201810371519.9A
Authority: CN
Inventors: 谢祥臻; 许良盛; 潘昕
Original assignee: Shenzhen Kebing Asset Management Partnership (limited Partnership)
Current assignee: Shenzhen Kebing Asset Management Partnership (limited Partnership)
Priority date: 2012-04-01
Filing date: 2013-03-31
Publication date: 2018-11-06
Also published as: CN108830586A; CN103258266A; CN108846661A

Abstract

本发明公开了一种用于移动支付的方法，其包括：使移动装置从销售点装置以无线方式接收电子账单；在所述移动装置的显示器上显示所述电子账单以显示待由所述移动装置的用户支付的金额；由所述移动装置接收来自所述用户输入的额外金额；通过将所述额外金额添加到所述电子账单中的所述金额来计算总金额；在所述用户已选择支付工具之后响应于所述电子账单而产生支付请求，其中所述支付请求包含所述总金额；在所述显示器上为所述用户显示所述电子账单以核实所述支付请求以及所选择的支付工具；将所述支付请求从所述移动装置发送到支付网关，所述支付网关将所述支付请求已执行的通知发送到所述销售点装置。这样，可以实现快速、方便的支付。

Description

一种用于移动支付的方法和系统

本专利申请是专利申请号为：201310109741.9，发明名称为：使用移动装置结算支付的装置和方法，申请日为：2013年03月31日，的中国发明专利申请的分案申请。

【技术领域】

本发明通常涉及电子商务领域，特别地，本发明涉及利用一个移动装置在近场通信范围内(near field communication range)从另一个移动装置读取电子账单(bill)或发票(invoice)以在移动装置上结算支付(payment)的装置和方法。

【背景技术】

对于许多信用卡或借记卡交易，消费者(customer)在因购买而结账时会请求一个账单，这样开始了支付过程。出纳员(cashier)或服务工作人员将一个账单带给所述客户核实。随后，所述消费者会拿出信用卡或借记卡给所述服务工作人员。所述服务工作人员将所述信用卡或借记卡带至销售点(Point of Sales)柜台以开始交易支付。随后，所述服务工作人员会拿回一个收据给所述消费者签名以批准所述交易。这是一个漫长的过程，通常需要花费几分钟甚至更长时间，所述服务工作人员不得不同时照顾多个支付交易。此外，在借记卡交易的情况下，当在所述销售点上进行的交易需要使用身份证号码时，所述流程可能会更为麻烦。

因此确实有必要简化所述支付流程。随着移动装置的发展，可以预见的是很多客户都会随身携带一个移动装置。这样，就有机会使用移动装置在销售点(POS)上快速的结算支付。

【发明内容】

本部分的目的在于概述本发明的实施例的一些方面以及简要介绍一些较佳实施例。在本部分以及本申请的说明书摘要和发明名称中可能会做些简化或省略以避免使本部分、说明书摘要和发明名称的目的模糊，而这种简化或省略不能用于限制本发明的范围。

本发明提供一种一种用于移动支付的方法，所述方法包括：使移动装置从销售点装置以无线方式接收数据，所述数据包含与所述销售点装置相关的商家的电子账单；在所述移动装置的显示器上显示所述电子账单以展示待由所述移动装置的用户支付的金额，其中所述移动装置配置成执行安装于其中的应用程序以与所述销售点装置通信；由所述移动装置接收来自所述用户输入的额外金额；通过将所述额外金额添加到所述电子账单中的所述金额来计算总金额；在所述用户已选择支付工具之后响应于所述电子账单而产生支付请求，其中所述支付请求包含所述总金额；在所述显示器上为所述用户显示所述电子账单以核实所述支付请求以及所选择的支付工具；将所述支付请求从所述移动装置发送到支付网关，其中当等于所述总金额的金额从与所述用户相关的账户扣除时，所述支付网关将所述支付请求已执行的通知发送到所述销售点装置。

进一步的，所述销售点装置包含加载有所述电子账单的非接触式卡，且所述使移动装置从销售点装置以无线方式接收电子账单包括读取所述非接触式卡以由所述移动装置获得所述电子账单。

根据本发明的另一个方面，本发明一种一种用于移动支付的系统，所述系统包括：销售点装置，其提供来在接收到条目时产生电子账单，其中当所述销售点装置存在于所述移动装置附近时，包含所述电子账单的数据将发送到移动装置，所述移动装置正在执行配置成读取所述数据且显示所述电子账单中表示的金额的模块；且其中所述销售点装置从支付网关接收所述电子账单已结算包含额外金额及所述电子账单中表示的所述金额的总金额的电子通知，所述额外金额由所述用户添加，在所述移动装置的所述用户核实所述移动装置上显示的所述电子账单且授权支付所述电子账单之后，所述移动装置配置成产生待发送到所述支付网关的支付请求以根据所述支付请求继续进行支付。

根据本发明的另一个方面，消费者使用的NFC移动装置是他自己的电子钱包。这样，在所述NFC移动装置收到并显现所述电子账单后，所述消费者可以操作他自己的NFC移动装置来结算所述电子账单中的费用。

根据本发明的另一个方面，所述消费者使用的移动装置是NFC装置，其属于移动支付生态系统中的一部分，在移动支付生态系统中的各方互相配合工作以使得移动支付生态系统顺利运行。通过提供可信服务管理(Trusted Service Management，简称TSM)的服务器，可以远程的个人化所述移动装置的安全元件，各种应用在经由可信服务管理器(比如TSM服务器)配置后可以被下载、更新、管理或替换。其中的一个名为智能账单管理的模块被下载并安装于商家使用的销售点装置或NFC装置上。所述模块用来帮助商家(他的装置)和消费者(他的移动装置)之间的通讯及数据交换，其中消费者使用的移动装置也安装有与智能账单支付相关的应用。

与现有技术相比，本发明的一个重要特征、优点和好处是利用NFC移动装置读取关于电子账单的数据以结算所述电子账单的费用。本发明可以实现为一个单独的装置、服务器、系统或系统的一部分。

在一个优选的实施例中，本发明是一种结算支付的方法，所述方法包括：提供在嵌入有安全元件的第一移动装置上执行的软件模块，其中所述安全元件已经被个人化，经由所述安全元件配置所述软件模块，所述第一移动装置包括有关于一个电子账单的数据；在第二移动装置的用户批准了针对从所述第一移动装置无线的传输来的电子账单的支付后，接收来自所述第二移动装置的支付请求，其中所述第二移动装置是近场通信装置，其用来执行与所述第一移动装置中的软件模块进行通讯的一个应用以从所述第一移动装置读取所述数据；实所述支付请求；和，在所述支付请求被处理后，发送支付响应给所述第一移动装置的用户。

作为本发明的一个优选的实施例，所述核实所述支付请求包括：当所述第二移动装置的用户提供的结算金额少于所述电子账单上的应付金额时，发送拒绝信息给所述第二移动装置；或，当所述第二移动装置的用户提供的结算金额等于或大于所述电子账单上的应付金额时，继续支付流程。

根据本发明的另一个实施例，本发明是一种结算支付的网关，所述网关包括：一个门户和一个服务器，所述门户提供在嵌入有安全元件的第一移动装置上执行的软件模块，其中所述安全元件已经被个人化，经由所述安全元件配置所述软件模块，所述第一移动装置包括有关于一个电子账单的数据。所述服务器包括：一个处理器和与所述处理器连接的存储器，其用来存储在所述处理器上执行的代码，以使得所述服务器能够执行如下操作：在第二移动装置的用户批准了针对从所述第一移动装置无线的传输来的电子账单的支付后，接收来自所述第二移动装置的支付请求，其中所述第二移动装置是近场通信装置，其用来执行与所述第一移动装置中的软件模块进行通讯的一个应用以从所述第一移动装置读取所述数据；核实所述支付请求；和，在所述支付请求被处理后，发送支付响应给所述第一移动装置的用户。

与现有技术相比，本发明中消费者可以利用其NFC移动装置读取关于电子账单的数据以结算所述电子账单的费用，从而实现了快速、方便的支付。

【附图说明】

接下来的具体实施方式、后面的权利要求以及附图将有助于了解本发明的具体特征，各实施例以及优点，其中：

图1示出了根据本发明的一个实施例的系统架构，其中支付网络表示由金融机构提供的结算支付的服务或网络的集合；

图2A示出了一个移动支付生态系统，其中移动支付生态系统中的相关方(parties)依次被列出；

图2B示出了根据本发明的一个实施例的配置一个或多个应用的流程或过程；

图2C示出了当配置一个应用时不同方之间交互的数据流程；

图2D示出了在配置一个应用过程中准备应用数据时不同方交互的数据流程；

图2E示出了锁定或非使能一个已安装应用的流程或过程；

图2F根据本发明的一个具体实施例，示出了便携装置作为电子钱包执行电子商务和移动商务时的架构示意图；

图3A示出了有关模块相互作用，以完成前述电子钱包由授权人进行个人化处理的结构图；

图3B示出了有关模块相互作用，以完成前述电子钱包由其用户进行个人化处理的结构图；

图3C根据本发明的一个具体实施例，示出了个人化电子钱包的流程或过程图；

图4A和图4B根据本发明的一个具体实施例，一同示出了给电子钱包筹资、注资、载入或充值时的流程或过程；

图4C示出了有关模块相互作用，以完成图4A和图4B中所示过程的结构示意图；

图5A根据本发明的一个具体实施例，示出了第一种便携设备的架构示意图，使之能够在蜂窝通信网络(比如，3G、LTE或GPRS网络)上执行电子商务和移动商务的各种功能；

图5B根据本发明的另一个具体实施例，示出了第二种便携设备的架构示意图，使之能够在有线和/或无线数据网络(例如国际互联网)上执行电子商务和移动商务的各种功能；

图5C是一幅流程图，根据本发明的一个具体实施例，说明了使图5A 中的便携设备能够运行一个或多个服务提供商提供的服务应用的过程示意图；

图6A根据本发明的一个具体实施例，展示了一个架构示意图，其中的便携设备能够作为移动销售点执行电子商务和移动商务；

图6B根据本发明的一个具体实施例，展示了一个架构示意图，其中的便携设备能够作为移动销售点在网络上执行交易上传操作；

图6C是一幅流程图，根据本发明的一个具体实施例，说明了使用用作移动销售点的便携设备和支持电子代币的单功能卡装置，执行移动商务的过程示意图；

图6D是一幅流程图，说明了使用用作移动销售点的便携设备以及支持电子代币的多功能卡装置，执行移动商务的过程示意图；

图7描述了便携设备用于电子票务应用时的结构示意图；

图8A示出了由一个业务运作或安排的TSM所涉及的多方的示意图；

图8B示出了在一个实施例中的TSM的各方之间的有关操作过程；

图8C示出了一个示例的TSM中在各方之间建立互相同意协议的工作流程；

图8D示出了SE发行者和TSM之间ISD映射(mapping)的数据流程；

图8E示出了在TSM、SE发行者和服务提供者之间的相应数据流程；

图8F示出了由SE发行者批准一个应用的数据流程；

图8G示出了替换安全元件的流程；以及

图9示出了个人化的安全元件的一个账户的显示屏的快照示例。

图10示出了根据本发明的结算支付的流程或过程图，其中在软件中或在软件和硬件的结合中实现所述过程；

【具体实施方式】

本发明的详细描述主要通过程序、步骤、逻辑块、过程或其他象征性的描述来直接或间接地模拟本发明技术方案的运作。为透彻的理解本发明，在接下来的描述中陈述了很多特定细节。而在没有这些特定细节时，本发明则可能仍可实现。所属领域内的技术人员使用此处的这些描述和陈述向所属领域内的其他技术人员有效的介绍他们的工作本质。换句话说，为避免混淆本发明的目的，由于熟知的方法和程序已经容易理解，因此它们并未被详细描述。

此处所称的“一个实施例”或“实施例”是指可包含于本发明至少一个实现方式中的特定特征、结构或特性。在本说明书中不同地方出现的“在一个实施例中”并非均指同一个实施例，也不是单独的或选择性的与其他实施例互相排斥的实施例。此外，表示一个或多个实施例的方法、流程图或功能框图中的模块顺序并非固定的指代任何特定顺序，也不构成对本发明的限制。本文中的密钥集是指一组密钥。本发明中“卡”也可以称之为卡片。本文中的支付也有付款、需要付出的款项等含义。

下面参考图1-图10来介绍本发明的各个实施例。然而，所属领域内的普通技术人员容易理解的是这里根据这些附图列出的细节描述仅仅是解释性的，本发明并不仅限于这些实施例。

当具有近场通信(Near Field Communication，简称NFC)功能的移动电话用于诸如支付服务、交通票务、信用服务、物理访问控制和其他令人兴奋的新服务时，NFC显示出重大的商机。为了支持这种快速演变的商务环境，各种NFC功能的移动电话或装置(或称为NFC装置)正在发展以支持日常生活中的各种应用。

图1示出了根据本发明的一个实施例的一个系统架构100。网络102 表示由金融机构提供的结算支付的服务或网络的集合。换句话说，它是一个提供电子转账或结算支付服务的系统。传统支付中采用的现金替代是可兑现的文件，比如汇票(draft)(例如支票(check))和跟单信用证(documentary credit)，比如信用证。随着计算机和电子通讯的出现，很多可选择的电子支付系统开始出现，这包括借记卡、信用卡、电子资金转账(electronic funds transfer)、直接信用(direct credits)、直接借记(direct debits)、网上银行和电子商务支付(payment)系统。支付系统用来替代在国内或国际交易时提出现金，其包括由银行或其他金融机构提供的主要服务。

所述支付系统或网络102可以是物理的或电子的，其具有它自己的规程和协议。已经全球使用的支付系统的一个例子是Visa或Master卡、真正的全球信用卡(trueglobal credit card)和自动柜员机(automated teller machine)网络。商家和消费者都使用支付系统来结算交易。

根据一个实施例，智能账单支付网关104包括服务器或服务器的集合，简称网关或服务器104，它用来提供一个应用(或称程序)，所述应用可以由用户安装于其移动装置中以享受本发明带来的好处。在这里，所述应用可以被命名为智能账单支付(smart billpayment)程序，所述应用被发布至互联网上，可以从指定地方(比如一个服务器的入口或门户(portal))下载。用户使用移动装置下载所述应用，并将其安装在所述移动装置中。可以自动的或手动的执行所述应用以批准针对显示的电子账单的支付，其中根据所述移动装置的安全元件与另一个移动装置的交互数据产生所述电子账单。另有特别说明的除外，“计算装置”、“移动装置”、 “手持装置”、“移动电话”、“智能电话”、“手持电话”或类似用语将在本文中可互相替代的使用，然而所属领域内的普通技术人员能够理解上述词汇也可以指其他装置，比如可穿戴手表、平板电脑、笔记本电脑、具有NFC能力的其他便携式装置。

附图标记106是指销售点(point of sale，简称POS)装置。基于实现，所述POS装置106可以是单独装置(single device)或具有一个或多个便携式装置(比如非接触卡)的静止装置。所述装置106的一个目的是产生电子账单 (electronic bill or invoice)，该电子账单会被装载至一个便携式装置108(比如非接触卡或NFC装置)，该便携式装置108可以用来与消费者的NFC装置接触以结算所述电子账单。

根据一个实施例，所述POS装置是一个嵌入有安全元件(secure element)的单独装置。所述单独装置可以是NFC装置，所述NFC装置用来输入信息以生成一个电子账单。比如，消费者在餐馆中点了几盘菜，出纳员在所述 NFC装置中输入各个菜的单价以生成一个电子账单，该电子账单显示了包括税费的总价，有时还可以包括一些小贴士。出纳员或服务员将所述NFC装置拿给所述消费者以批准和支付。根据另一个实施例，所述POS装置包括对应图1中的106的静止装置和对应图1中的108的一个或多个非接触卡(contactlesscard)。所述出纳员使用所述静止装置输入收费信息以生成电子账单。将所述电子账单装载入所述非接触卡，随后将装载有所述电子账单的非接触卡带给所述消费者以批准和支付。在下文的描述中，除非特别说明，POS装置可以指任何一种例子，下面假设其是一个单独装置进行介绍。这里给出的细节描述，使得所属领域内的普通技术人员能够充分理解在实现本发明的一个实施例时，使用哪种 POS装置。

如下面进一步描述的那样，所述POS装置嵌入有一个安全元件。所述安全元件可以提供在两个装置间支持安全数据通讯所属需要的安全和保密性，以帮助服务器和移动装置之间的通讯。总的来说，安全元件是一个防篡改平台(比如单片安全微控制器)，其能够根据由一批精心确定的可信任当专家 (well-identified trusted authorities)提出的规则和安全要求安全的管理各种应用和他们的机密的和加密的数据(比如密钥管理)。安全元件的常见形式包括：嵌入安全元件的通用集成电路卡(Universal IntegratedCircuit Card，UICC)和 mircroSD卡(microSD card)。所述UICC和microSD卡都是移除的。在一个实施例中，软件模块(soft module)被设置来作为一个安全元件，通过重写其内的一些或全部组件来可以更新所述安全元件。不管什么形式，每个形式都可以针对不同商业实现，满足不同市场需求。对于使用的安全元件，必须要将其个人化。个人化一个安全元件的细节描述请参看审查中的申请号为13/749,696的美国专利申请。

根据一个实施例，软件模块(比如一个JAVA程序applet)在这里是指智能账单支付程序(smart bill payment applet)，其对应上文描述的一个应用，将其装载入所述POS装置106中，通过所述POS装置中的安全元件配置所述智能账单支付程序。所述软件模块可以由运营所述网关或服务器104的服务提供者发布，通过无线或有线网络被下载至一个NFC装置。一旦下载，所述软件模块必须经由所述服务提供者才能被配置，随后可以与所述服务器104进行安全数据的交互。审查中的申请号为13/749,96的美国专利申请描述了通过个人化的安全元件配置一个应用的细节，具体请参考此专利申请。

图10示出了根据本发明的一个实施例的结算支付的流程或过程120。所述过程120可以实现为软件或软件和硬件的结合。没有任何隐含的限制，结合图1能够更好的理解所述过程120。

为了方便所述过程120的描述，假设一个消费者(customer)在餐馆中进餐，所述餐馆已经安装了包括一个静止装置的POS装置，出纳员在所述静止装置中管理/输入各种收费数据以为所述消费者产生一个电子账单。所述POS装置还包括与一个或多个无接触卡交换数据的读写器。换句话说，所述出纳员在所述静止装置上输入必要的信息后可以产生一个电子账单，并可以将所述电子账单装载入一个非接触性卡。

在进餐结尾时，服务生让一个出纳员在对应图1中的106的POS机上准备好一个电子账单。所述POS机产生一个电子账单，并在操作122中将所述电子账单传送至非接触卡，其中所述非接触卡嵌入有个人化安全元件和经过所述个人化的安全元件配置的智能账单支付程序或应用。在操作124中，所述服务生将所述非接触卡带给所述消费者。在操作126中，所述消费者使用他的移动装置读取所述非接触卡。如上描述，假设所述消费者的移动装置也已经安装有相应的智能账单支付应用，所述消费者的移动装置在近距离内检测到所述非接触卡时，会执行所述智能账单支付应用，并在操作128中从所述非接触卡中读取关于所述电子账单的数据，随后在所述移动装置的显示屏上显示所述电子账单以供所述消费者核实。与通常在屏幕上看到的传统账单不同，在所述非接触性卡中的并被传输至所述移动装置中的所述电子账单包括与所述餐馆或所述商家相关的注册用户的安全信息。所述安全信息包括但不限于所述餐馆的银行信息和账户、在所述非接触卡或所述POS机中的安全元件的标识符。在一个实施例中，所述数据还包括地址或链接(比如移动电话号码)，通过它在所述支付结算完成后所述商家得到一个通知(比如支付响应)。在实现时，所述通知可以以短信或电子邮件的方式发送至指定移动装置。

在看到显示屏上显示的电子账单后，所述消费者可以选择一个方法以结算所述电子账单。基于实现，所述消费者可以选择通过已经安装于所述移动装置上的电子钱包应用来结算所述电子账单，也可以选择通过现金、传统的信用或借记卡、电子转账/支付或其他方式来结算所述电子账单。通过电子钱包的结算方式将在下文中详细描述。

图10示出了使用所述电子支付的一个实施例，所述电子支付是如图 1所示的支付网关102提供的转账服务的一种。在操作130中，所述消费者已经选择了安装的智能账单支付应用提供的电子支付，并输入需要为所述电子账单支付的金额。需要知道的是，所述消费者可以输入较所述电子账单中应付金额更多的金额以作为给所述餐馆提供的服务的小费。一旦所述消费者输入总的金额，在操作132中，消费者的移动装置中的智能账单支付应用发送一个支付请求给所述服务器104以进行处理，所述支付请求包括关于所述电子账单的数据。如下文进一步所描述的，在一个实施例中，在所述移动装置和所述网关或服务器104之间的数据交换是在安全通道中进行的，所述安全通道是根据关于所述电子账单的数据中的安全信息建立的。

在收到所述支付请求后，在操作134中，所述服务器104用来核实由所述消费者输入的金额是否能够覆盖所述电子账单中的费用。如果所述金额小于在所述电子账单中所需支付的费用时，比如，所述消费者可能输入了一个错误数额或在打字时输入错误，所述服务器104将会退回所述支付请求给所述移动装置。在接收到拒绝信息后，在所述移动装置中的智能账单支付应用将会显示所述拒绝信息以提示给所述消费者，这样所述消费者可以采取一个适当的步骤以继续所述支付流程。如果所述金额等于或大于所述电子账单中应付的金额(比如所述消费者希望在所述费用外另给一部分小费)，所述服务器104将在操作136中继续所述支付请求。

如图10所示，所述服务器104接收到由所述消费者批准的支付请求后，继续联合所述支付网络102处理所述支付请求。在一个实施例中，所述服务器 104提供类似在美国和其他国家常用的贝宝(Paypal)或主要在中国使用的支付宝 (Alipay)的支付服务。在操作138中，一旦所述交易完成或失败，所述服务器104 会发送一个通知给所述商家(比如餐馆)。

如上指出的，在一个实施例中，图1中的所述NFC装置110被设置来用作电子钱包，其可以用来直接结算显示在其显示屏上的费用。电子钱包在移动支付生态系统中如何工作将在下文中详细描述。

现在参考图2A所示，其示出了一个移动生态系统200，其中参与入所述移动生态系统中的相关方依次列出。在一个实施例中，允许一个NFC装置从相应指定服务器202(比如应用管理提供者)中下载或安装一个或多个应用，其中这些应用是由应用开发者204最初开发出来，并由服务提供者210、应用管理提供者202或其他相关方发布。假设有安全元件提供者208提供的安全元件206 已经经由TSM或可信赖第三方(比如，金融机构212)个人化。

一旦在所述NFC装置上安装上一个应用(比如，在所述NFC装置110 中的智能账单支付应用或在图1中的POS装置106中的智能账单支付应用)，下一步将是通过所述安全元件配置所述应用。应用的配置过程可以以几种方式开始。其中的一种方式是一个安全元件拥有者在移动装置上从TSM入口中选择一个应用，并开始配置过程。另一种方式是所述安全元件拥有者在移动装置上接收来自代表应用提供者的TSM的应用配置通知。

所述TSM或应用提供者可以在TSM入口或门户上发布他们的应用，以供下载到具有安全元件和/或签订用户请求(比如SE拥有者)的移动装置上。在一个实施例中，所述TSM为多个SE发行者提供云服务。这样，来自各个服务提供者的许多应用可以从TSM入口处获取。然而，当登入所述TSM入口时，安全元件拥有者只可以看那些经过他的安全元件提供者认证的应用。基于安全元件和服务提供者之间的协议，使用安全元件的ISD密钥集或服务提供者的指定的SSD密钥集可以实现应用的下载/安装/个人化。如果在所述安全元件中并未安装有SSD密钥集，则可以在一个应用安装的过程中安装它。

所述TSM知晓安全元件针对各个SSD的存储状态。基于SSD的存储分配策略和所述安全元件的存储状态，对于在应用商店中的针对各种SSD的可用应用可以标记为不同的指示，比如“可以安装”或“安装存储不足”。这样可以防止用户不必要的失败。

一旦在一个NFC装置上安装一个应用，所述应用自己启动配置过程，或TSM服务器通过蜂窝网络或无线数据网络给所述NFC装置发送配置通知。根据所述NFC装置的类型，有很多种发送消息(PUSH message，或称为推广消息)的方式以使得所述NFC装置开始所述配置过程。发送方法的一个例子包括短信发送或安卓谷歌发送。一旦用户收到所述通知，所述配置过程开始。在认为合适的时候，将详细描述配置过程。

作为所述应用配置的一个部分，TSM服务器执行一些保护性机制。一个是防止安全元件意外锁定。另一个是如果在安全元件中没有足够存储空间时阻止应用的下载。在一些实例中，在安全通道建立期间如果有太多的相互认证失败，则安全元件可能永久性锁定自己。为了防止所述安全元件意外锁定，当在两方 (entities)之间建立安全通道时，所述TSM持续跟踪安全元件和TSM之间的认证失败的数目。在一个实施例中，如果达到预定极限，所述TSM将拒绝任何进一步的请求。如果在服务中心手动的重启所述安全元件，所述TSM可以继续处理 SE请求。

所述TSM也持续跟踪每个安全元件的存储使用。所述TSM基于由所述SE发行者分配给每个服务提供者的存储分配决定一个应用是否可以安装于一个安全元件上。根据一个实施例，有三种类型的策略：

●预分配一个固定存储空间，这是保证空间；

●预分配一个最小存储空间，这是保证最小空间(暗示所述容量在一些情况下可以被扩展)；

●最大努力(比如，合同规定，需要安全元件发行者使用他最大的努力执行他的责任，以使得用户得到的利益最大化)。

在一个实施例中，所述安全元件发行者使用所述TSM网页入口完成这项工作。

1.对于一批安全元件，所述安全元件发行者可以为服务提供者预分配一个存储策略以通过TSM网页入口安装它的应用；

2.当移动装置请求安装一个应用时，TSM服务器认证相应的服务提供者的空间是否符合它的存储策略；如果不符合，则拒绝这个请求；否则，所述TSM 服务器将处理所述配置请求；

3.如果配置成功，所述TSM将积累这个应用服务的存储大小。

当一个移动用户订阅一个移动应用(假如它已经安装)，在所述应用使用之前该应用需要经由移动装置上的安全元件配置。在一个实施例中，所述配置过程包括四个主要阶段；

●如果需要，在所述安全元件上创建补充安全域(SSD)；

●在所述安全元件上下载并安装一个应用；

●在所述安全元件个人化所述应用；

●下载UI(用户界面)组件至移动装置上。

图2B示出了根据本发明的一个实施例的配置一个或多个应用的流程或过程220。所述过程220可以实现为软件或软件和硬件的组合。在一个实施例中，所述应用配置过程220需要进入在移动装置上的配置管理器(比如代理)以与其内的安全元件交互。

如图2B所示，在操作222处，所述应用配置过程220可以是自动或手动开始。比如，假设它还未被配置，用户可以通过选择一个已安装应用去订购相关服务以启动所述配置过程，或在激活所述已安装应用时启动所述配置过程。在另一个实施例中，应用提供者发送一个信息(比如短信)至所述移动电话以开始所述配置过程。

在任何情况下，所述程序220进入操作224，从移动装置的安全元件中提取所述装置信息(比如，CPLC)后，与专用服务器(比如TSM服务器或由应用发行者运营的服务器)建立通信。在操作226处，所述装置信息与识别应用的标识符一起被传送至所述服务器。在操作228，所述服务器首先基于所述装置信息识别所述安全元件的发行者，以在230操作中确定是所述安全元件是否已经被个人化。如果所述安全元件还未被个人化，所述过程220进入操作232，以个人化所述安全元件，所述操作232的一个实施例可以根据图10中的过程110来实现。

现假设移动装置中的安全元件已经被个人化。所述过程220进入操作 234，在这里使用派生ISD与所述安全元件建立安全通道。根据谁为ISD提供硬件安全模块HSM(比如TSM或SE发行者)，所述服务器将联系所述硬件安全模块去为所述安全元件计算派生ISD，并使用该派生ISD与所述安全元件建立安全通道。随后，在操作中236，所述服务器检查是否有与该应用相关的一个SSD。如果该应用没有一个对应的SSD，所述服务器将检查数据库看它是否已经安装于所述安全元件上。如果需要SSD安装，所述流程220进入240去安装所述SSD。在一个实施例中，提醒所述用户所述SSD(密钥)的安装。在操作238，假设用户拒绝安装所述SSD，所述过程220停止并进入操作222，重新开始所述配置过程220。

现假设在操作240中执行安装SSD过程。安装所述SSD与安装ISD 类似。所述TSM服务器联系其内有主SSD密钥的硬件安全模块HSM，为所述安全元件计算派生SSD密钥集。所述主SSD密钥可以在TSM、服务提供者、或安全元件发行者中，这主要取决于各方是如何协定的。

为了在安全元件中下载/安装应用，在操作242，所述服务器用来使用派生SSD与所述安全元件建立安全通道。在一个实施例中，这类似于如何基于派生ISD建立安全通道。在操作244，准备所述应用的数据，它的细节将在下文详细描述。根据一个实施例，所述服务器联系所述服务提供者，以准备存储数据应用协议数据单元APDUs。根据安装于移动装置中一个应用，所述服务器可以重复发布存储数据以个人化所述应用。假如成功执行了所述配置程序，包括一个适当接口(比如，每个移动装置的应用的用户接口)的额外数据可以被下载。在操作246，所述服务器向一个应用提供者通知已经配置的应用的状态。根据一个实施例和上文所述，图2C示出了当配置一个应用时不同方之间交互的数据流程 250。

如图2B中的操作244，配置应用的一个重要应用在于为目标安全元件准备定制应用数据。比如，对于电子钱包应用，该应用的个人化数据包括基于安全元件的装置信息(比如CPLC信息)产生的各种个人化交易密钥。为了搬运电子钱包，个人化数据的部分包括源自Mifare卡片的标识符的Mifare访问密钥，所述服务器既可以个人化Java卡片应用，也可以个人化Mifare4Mobile服务对象。通常，至少有两种不同的准备数据的方式，以方便随后的交易。

为了数据准备，本发明的一个实施例支持与所述服务提供者交互的两种模式以计算个人化应用数据。对于第一种模式，所述TSM服务器不直接访问与服务提供者关联的硬件安全模块。所述服务提供者可以使与它的硬件安全模块交互的服务器产生应用密钥(比如，传输、电子钱包或Mifare密钥)。所述TSM 数据准备实现是使用应用程序接口(API)或服务器提供的协议去请求派生应用密钥(derived application key)。第二种模式是数据准备实现可以直接访问与服务提供者相关的硬件安全模块以产生应用密钥。

根据一个实施例，图2D示出了在配置一个应用过程中准备应用数据时不同方交互的数据流程255。图2D为第一模式，其中所述TSM服务器不直接访问与服务提供者关联的硬件安全模块。除了所述应用数据准备实现将直接与服务提供者的硬件安全模块交互外，第二种模式具有相似的流程。

除了支持配置过程，本发明的一个实施例还支持安全元件的寿命周期管理。所述寿命周期管理包括但不限于，安全元件锁定、安全元件解锁和应用删除(非使能)。可以通过TSM通知来开始这些活动。在移动装置的实际使用中，图2E示出了锁定已安装应用的流程或过程260。一个NFC装置可能已经安装了一定数量的运行于安全元件上的应用。因为一些原因(比如，长时间没有活动或期满)，一个应用需要由其发行者或提供者非使能或锁定。

图2E示出了非使能一个已安装应用的过程260。非使能一个已安装应用的过程260开始于操作262。在一个实施例中，所述过程260由操作者通过 TSM网页入口手动启动。在另一个实施例中，所述过程260由服务提供者内部工作流程(比如使用TSM网页服务API)自动启动。一旦所述过程260启动，发送一条信息至一个NFC装置(比如移动装置内)，其内的一个应用需要被非使能。在实现时，这样的消息可以有不同格式。在一个实施例中，所述消息是一个PUSH 命令。在另一个实施例中，所述消息是一个通过网络传递至所述NFC装置内的 TCP/IP请求。在操作264中，服务器(比如TSM服务器)发送所述消息。在实现时，这样的一个消息包括标识将被锁定或非使能的应用的标识符。在接收到这样的消息时，在操作266，所述NFC装置上的卡管理器代理(card manager proxy) 用来通过回复一条信息来认证这样的信息是否确实来自它的原始发行者或提供者。在一个实施例中，将所述消息发送至TSM服务器进行认证。如果认证失败，即对这样的查询没有回应，所述过程260将结束。

假设所述认证通过，即来自所述装置的针对所述应用的提供者的查询收到了回复确认，所述原始请求被证明是真实的。通常，在操作268，这样的回复确认包括将要锁定的应用的标识符。所述TSM服务器用来建立一个与安全元件的安全通道。随后，所述TSM服务器通过所述卡管理器代理为所述安全元件准备适当的APDUs(比如SET STATUS(设置状态)，或/和DELETE(删除))。在操作270，所述装置向所述安全元件发出操作请求，以锁定特定应用。

不管怎样，响应所述命令，在步骤272，所述安全元件SE锁定或非使能所述应用。根据一个实施例，所述SE被致使与应用分离，这样使得该已安装的应用不再能使用所述安全元件。在操作274，所述安全元件用来发出确认以通知相关方，这个应用不再运行于所述装置中了。在一个实施例中，所述确认发送至TMS服务器，所述TMS服务器中有一个记录哪些应用安装于哪些装置中以及每个应用的相应状态的数据库。所述数据库根据来自所述安全元件的确认 (acknowledgement)进行更新。

图2E示出了非使能或锁定已安装应用的流程或过程。对于本领域内的普通技术人员来说，其它操作，比如解锁或使能一个已安装应用，延长一个已安装应用的期限，是与图2E示出的过程相似的。

参照图2F，图2F根椐本发明的一个具体实施例，展示了便携设备作为电子钱包执行电子商务和移动商务时的架构示意图280。所述图280包括内嵌了智能卡模块的便携式电话282。此类便携式电话的一个实例是支持近距离通信 (NFC，Near FieldCommunication)，并且包含SmartMX(SMX)模块的便携式电话。需要注意的是安全元件和应用可以是集成的。除非特别说明，接下来的描述将不会指出哪个部分来执行安全元件的功能，哪个部分来作为应用。本领域内的普通技术人员应该可以理解的是根据下文给定的详细描述合适的部分或功能将被执行。

所述SMX模块预先装载有Mifare模拟器288(即单功能卡)，以用来存储数值(values)。所述便携式电话装有非接触界面(例如ISO14443RFID)，以允许所述便携式电话起到标签的作用。此外，所述SMX模块是能够运行Java applet程序的Java卡片(JavaCard)。所述电子钱应用包被设置为能够通过密码访问所述Mifare模拟器的数据结构，所述密码由所述访问密钥在所述安全元件被个人化时经过适当的转换后得到。

所述便携式电话282中提供了电子钱包管理器MIDlet程序284。为了实现移动商务，所述MIDlet程序284充当了电子钱包applet程序286及一个或多个支付网络和服务器290之间的通信代理，以使各方之间的交易顺利进行。此处所说的MIDlet程序是适合在便携设备上运行的软件组件。所述电子钱包管理器MIDlet程序284可以被实现为Java便携式电话上的“MIDlet程序”，或个人数字助理(PDA)设备上的“可执行应用程序”。所述电子钱包管理器MIDlet程序 284的功能之一是接入无线网络，并与运行在相同的设备或外部智能卡上的电子钱包applet程序进行通信。此外，MIDlet程序284还被设置为可以提供管理功能，例如更改个人识别号码(PIN)、查看电子钱包余额和交易历史日志。在一例应用中卡片发行商提供了用于支持和认证在卡片和对应服务器(亦即支付服务器) 之间进行的任意交易的安全识别模块(SAM)292。如图2F所示，应用协议数椐模块(APDU)命令由能够访问安全识别模块(SAM)292的服务器290所创建，其中所述APDU模块是读取器和卡片之间的通信模块。所述APDU模块的构造根据ISO7816标准制定。通常，APDU命令被嵌入网络消息中并被传送至所述服务器290或所述电子钱包applet程序286以接受处理。

为了进行电子商务，在计算机(未示出)上运行的web代理294负责与一个非接触读取器(例如一个ISO 14443 RFID读取器)以及所述网络服务器290 交互。在实际操作中，所述代理294通过所述非接触读取器296向在便携式电话282上运行的所述电子钱包applet程序286发送APDU命令，或通过相同途径从所述电子钱包applet程序286处接收相应回复。另一方面，所述代理294 可生成网络请求(例如HTTP)并从所述支付服务器290处接收相应回复。

当个人化便携式电话282时，图3A中的结构图300展示了相关模块互相作用，以完成电子钱包由授权人进行个人化的过程。图3B中的结构图320 展示了相关模块互相作用，以完成如图2F所示的电子钱包由其用户进行个人化的过程。

图3C中的流程或过程图350展示了根据本发明的一个具体实施例，个人化电子钱包applet程序的过程。图3C建议与图3A和图3B结合起来一同理解。过程图350可以通过软件、硬件或软硬件结合的方式实现。

如前所述，电子钱包管理器建立于已经个人化的安全元件之上，以提供个人化电子钱包applet程序时所需的安全机制。在实际操作中，安全域被用来建立连接个人化应用服务器与所述电子钱包applet程序的安全通道。根据一个具体实施例，经过个人化并被存入所述电子钱包applet程序的关键数据包括一个或多个操作密钥(例如载入或充值密钥和购买密钥)，预设的个人识别号码，管理密钥(例如阻塞解除PIN密钥和重新载入PIN密钥)，以及密码〔例如来自 Mifare的密码〕。

假定用户想要个人化内嵌在便携设备(例如一台便携式电话)中的电子钱包applet程序。在图3C的步骤352中，个人化过程被启动。根据具体实现的不同，个人化过程可能在便携设备内的模块中实现，并由手动或自动方式激活，也可能实现为由授权人(通常是与卡片发行商有联系的人员)启动的一个物理过程。如图3A所示，授权人启动个人化过程304，以个人化用户的电子钱包applet 程序，所述个人化过程304在现有的(existing)新电子钱包安全识别模块306 和现有的安全识别模块308上，通过作为界面的非接触读取器310来进行。卡片管理器311执行至少两项功能：(1)通过安全域建立安全通道，以在卡片个人化过程中，安装和个人化外部应用程序〔例如电子钱包applet程序〕；以及〔2〕创建安全措施(例如个人识别号码)，以在后续的操作中保护所述应用程序。作为所述个人化过程使用个人化应用服务器304的结果，所述电子钱包applet 程序312和模拟器314被个人化。

相似地，如图3B所示，电子钱包用户希望启动个人化过程，以通过无线方式(例如通过图2中的移动商务路径)个人化电子钱包applet程序。与图 3A不同，图3B允许所述个人化过程由手动或自动方式激活。例如，便携式电话上装有一个装置，如果该装置被按下，则激活所述个人化过程。在另一种方案中，“未个人化”的状态提示可被提交给用户以启动所述个人化过程。如前所述，便携设备中的MIDlet程序322〔即一个服务管理器〕充当代理以协助支付服务器324与电子钱包applet程序312以及模拟器314之间的通信，其中支付服务器324拥有访问现有的新电子钱包安全识别模块306和现有的安全识别模块 308的权限。经过所述个人化过程，电子钱包applet程序312和模拟器314被个人化。

现在转回参见图3C，在图3A中所示的个人化过程被启动以后，非接触读取器310被激活并在步骤354中从设备内的智能卡中读取标签标识符(ID) (即RFID标签ID)和关键数据。通过应用安全域(例如卡片发行商的默认安全设置)，在步骤356中建立连接新电子钱包安全识别模块(例如图3A中的安全识别模块306)与便携设备中电子钱包applet程序(例如图3A中的电子钱包 applet程序312)的安全通道。

全球平台的每个应用安全域都包括三个DES密钥。例如：

密钥1：255/1/DES-ECB/404142434445464748494a4b4c4d4e4f

密钥2：255/2/DES-ECB/404142434445464748494a4b4c4d4e4f

密钥3：255/3/DES-ECB/404142434445464748494a4b4c4d4e4f

安全域被用来为两个实体之间的安全会话生成会话密钥，所述两个实体可以是卡片管理器applet程序和主应用程序(host application)，其中所述主应用程序可能是桌面机中的个人化应用程序，也可能是由后端服务器提供的网络化的个人化服务。

默认的应用域可由卡片发行商安装，并分配给不同的应用/服务提供商。各应用程序所有者可在个人化过程之前(或在所述过程的最初阶段)变更各自密钥组的数值。之后应用程序可以使用所述的新密钥组来创建用于执行个人化过程的安全通道。

通过由应用提供商的应用安全域建立的所述安全通道，第一组数据可被个人化并存入电子钱包applet程序。第二组数椐同样可以通过同一条通道进行个人化。但是，如果所述数据保存在不同的安全识别模块中，则一条使用相同密钥组(或不同密钥组)的新的安全通道可被用于个人化所述第二组数据。

在步骤358中，通过新电子钱包安全识别模块306生成一组电子钱包操作密钥和个人识别号码，以用于新电子钱包安全识别模块与电子钱包applet 程序之间的数据交换，并在实质上个人化所述电子钱包applet程序。

在步骤360中第二条安全通道在现有安全识别模块(例如图3A中的安全识别模块308)与便携设备中的电子钱包applet程序(例如图3A中的电子钱包applet程序312〕之间被建立。步骤362中使用所述现有安全识别模块和标签ID生成一组转换后的密钥。所述转换后的密钥保存在所述模拟器中以用于之后的数据访问认证。步骤358中使用所述现有安全识别模块和标签ID生成一组 MF密码，并将所述密码存入电子钱包applet程序以用于之后的数据访问认证。上述操作全部完成后，所述电子钱包，包括所述电子钱包applet程序和对应的模拟器，将被设置为“已个人化”状态。

基于本发明的一个具体实施例，图4A和图4B一起展示了为电子钱包筹资或注资的流程或过程图400。过程400通过图2中的移动商务路径实施。为了更好地理解过程400，图4C展示了一幅具有代表性的方块图450，图中相关方块相互作用以完成所述的过程400。根据本发明实际应用的不同情况，所述过程400可能通过软件、硬件、或软硬件结合的方式实现。

假设用户得到了一台安装了电子钱包的便携设备(例如一台便携式电话〕。所述用户希望从银行的账户中向所述电子钱包注入资金。在步骤402，所述用户输入一组个人识别号码(PIN)。假定所述个人识别号码有效，便携设备中的电子钱包管理器被激活，并在步骤404中发起请求(也被称为空中(OTA， Over-the-Air)充值请求)。在步骤406中便携设备内的MIDlet程序向电子钱包 applet程序发送请求，图4C中描绘了所述步骤406中电子钱包管理器MIDlet 程序434与电子钱包applet程序436之间通信的过程。

在步骤408中，电子钱包applet程序生成用于回应所述MIDlet程序请求的回复。收到所述回复后，所述MIDlet程序将所述回复通过蜂窝通信网络发送至支付网络和服务器。如图4C所示，电子钱包管理器MIDlet程序434与电子钱包applet程序436通信以获取回复，所述回复随即被发送至支付网络和服务器440。在步骤410，过程400需要核实所述回复的有效性。如果所述回复无法被核实，过程400将终止。如果所述回复被核实为有效，则过程400进入步骤412并查对银行中相对应的账户。如果所述账户的确存在，资金过户请求将被启动。在步骤414中，所述银行收到所述请求后会返回回复以回应所述请求。通常，所述支付网络和服务器与所述银行之间的信息交换需遵守网络协议〔例如国际互联网使用的HTTP协议〕。

在步骤416中，所述银行返回的回复被传送至支付网络和服务器。在步骤418中，MIDlet程序从所述回复中提取出处APDU命令并将所述命令转发给电子钱包applet程序。在步骤420中所述电子钱包applet程序核实所述命令，如果所述命令被核实为已被授权，则将该命令发送至步骤420中的模拟器，同时更新交易日志。步骤422中生成标签(ticket)以用来制定向所述支付服务器发送的回复(例如APDU格式的回复)。在步骤424中，所述支付服务器收到回复后更新并向所述MIDlet程序发送成功状态信息，同时保存所述APDU回复以便以后查对。

如图4C所示，支付网络和服务器440收到电子钱包管理器MIDlet程序434发出的回复，并与安全识别模块444核实所述回复最初是由经过授权的电子钱包applet程序436所发出。所述回复被核实之后，支付网络和服务器440 向提供资金的银行442发出请求，假定用户432在所述银行中有帐户。所述银行会核实并授权所述请求，然后按照预定的消息格式返回授权号码。从银行442 接收到所述回复之后，支付服务器440会向MIDlet程序434发送一个网络回复以拒绝或批准所述请求。

电子钱包管理器434核实所述网络回复的有效性(例如是否是APDU 格式)，然后向模拟器438发送命令并更新交易日志。至此，电子钱包applet 程序436完成了所需的步骤并向而MIDlet程序434返回一个回复，所述MIDlet 程序434再向支付服务器440转发一条内嵌(APDU)回复的网络请求。

尽管过程400被描述为向电子钱包中注入资金，本领域中的其他技术人员能够容易地得出使用电子钱包通过网络进行购买的过程与过程400本质上是一样的结论，因此所述进行购买的过程不再在此单独讨论。

根据本发明的一个具体实施例，图5A中展示了使便携设备530能够在蜂窝通信网络520(例如一个GPRS网络)上进行电子商务和移动商务的第一个示例架构500。所述便携设备530由基带524和安全元件529(例如智能卡) 组成。所述便携设备的一个实例是支持近距离通信或近场通信(NFC，Near Field Communication)的便携设备(例如便携式电话或个人数字助理(PDA))。所述基带524提供了一个电子平台或环境(例如微型版Java(JME，JavaMicro Edition)，或移动信息设备框架(MIDP，Mobile Information Device Profile))，在其上可执行或运行应用MIDlet程序523和服务器管理器522。所述安全元件529包含有全球平台(GP)卡片管理器526，模拟器528以及其他组件比如个人识别号码管理器〔未示出〕。

为支持所述便携设备530执行电子商务和移动商务，需要在其上预先安装和设置一个或多个服务/应用。服务管理器522的一个实例(例如一个有图形用户界面的MIDlet程序)需要被激活。在一个具体实施例中，服务管理器522 可以被下载并安装。在另一个具体实施例中，服务管理器522可以被预先载入。无论采用何种方式，一旦服务管理器522被激活，包含各种服务的目录列表将被显示。所述目录列表可能包含与用户的签约信息有关的服务项目，也可能包括独立于用户签约信息的推荐项目。所述目录列表可从目录服务器512上的目录库502中得到。目录服务器512为各种可能向注册者提供产品和/或服务的服务提供者(例如安装服务器，个人化服务器)起到了交流中心(central hub)的作用(如黄页功能)。所述目录服务器512的黄页功能可以包括服务规划信息(例如服务收费，开始日期，结束日期等〕、安装、个人化和/或MIDlet程序下载地点(如国际互联网地址)。所述安装和个人化过程可能是由两个不同的商业实体所提供，比如所述安装过程可能由安全元件529的发行商所提供，而所述个人化过程可能由持有特定应用程序的应用处理密钥的服务提供商所提供。

根据一个具体实施例，服务管理器522被配置为通过蜂窝通信网络520 连接服务提供商的一个或多个服务器514。假定用户已经从呈现给他的服务目录中选择了一个应用。在所述一台或多台服务器514与全球平台管理器526之间将建立一条安全通道518，以安装/下载所述用户选择的应用applet程序527，然后再个人化此应用applet程序527及可选的模拟器528，并最终下载应用 MIDlet程序523。Applet程序库504和MIDlet程序库506分别提供一般的应用 applet程序和应用MIDlet程序。全球平台安全识别模块516和应用程序安全识别模块517被用来建立安全通道518以进行个人化操作。

根据本发明的另一个具体实施例，图5B展示了使便携设备530能够在公共网络521上执行电子商务和移动商务的第二个示例架构540。所述第二个架构540中的大多数组件本质上与图5A第一个架构500中的组件相类似。不同之处在于第一个架构500是基于蜂窝通信网络520上的操作，而第二个架构540 则使用了公共网络521〔例如国际互联网)。所述公共网络521可能包括局域网 (LAN，Local Area Network)、一个广域网(WAN，Wide AreaNetwork)、WiFi (IEEE 802.11)无线连接、一个Wi-Max(IEEE802.16)无线连接等。为了在所述公共网络521上进行服务操作，服务管理器532的一个实例(即与服务管理器MIDlet程序522功能相同或相似的实例)将被安装在接入公共网络521的计算机538上。所述计算机538可以是桌面个人电脑(PC)、笔记本电脑、或其他能运行服务管理器532的所述实例，并接入公共网络521的计算设备。所述计算机538和便携设备530之间的连接通过一个非接触读取器534来进行。服务管理器532充当了代理的角色，以协助服务提供商的一个或多个服务器514 与全球平台卡片管理器526之间，通过安全通道519进行的安装和个人化过程。

图5C是一张流程图，根据本发明的一个具体实施例，描绘了使便携设备能够进行电子商务和移动商务功能的过程550。所述过程550根据具体实现的不同，可以通过软件、硬件、或软硬件结合的方式实现。为了更好地理解所述过程550，以下的描述中将引用若干较早的图示，尤其是图5A和图5B。

在过程550开始之前，服务管理器522或532的一个实例已被下载或预装在便携设备530或计算机538上。在步骤552，服务管理器被激活并向服务提供商处的服务器514发送服务请求。在用户被识别以及便携设备被核实为有效之后，在步骤554中，所述过程550依据便携设备530的用户的签约 (subscription)信息提供服务/应用程序的目录列表。例如，所述列表可能包含移动销售点应用程序、电子钱包应用程序、电子票务应用程序、以及其他商业化的服务。然后一个服务/应用程序被从所述目录列表中选中。例如，电子钱包或移动销售点可被选中用来配置便携设备530。作为对用户选择的回应，过程550 在步骤556下载并安装所述被选中的服务/应用程序。例如，电子钱包applet应用程序(即应用applet程序527)从applet程序库504中下载并安装在安全元件529中。所述下载或安装的路径可以是安全通道518或519。在步骤558中，如果需要，过程550将个人化所述已被下载的应用applet程序和所述模拟器 528。一些被下载的应用applet程序不需要被个人化，另外一些则需要个人化。在一个具体实施例中，移动销售点应用applet程序(“销售点安全识别模块(POS SAM)”)需要被个人化，则以下信息或数据组是必须提供的：

(a)唯一基于底层安全元件独特标识符的安全识别模块ID；

(b)一组借记主密钥(debit master key)；

(c)一个转换后的消息加密密钥；

(d)一个转换后的消息识别密钥；

(e)每笔线下交易的备注部分可以被允许的最大长度；

(f)一个转换后的批量交易密钥；以及

(g)一个全球平台个人识别号码(GP PIN)。

在另一个具体实施例中，为单功能卡片个人化电子钱包applet程序时，不仅需要将特定数据(即个人识别号码、转换后的密钥、开始日期、结束日期等) 配置在电子钱包中，而且还要将模拟器设置为可以在开放的系统中工作。最后，在步骤560中，过程550下载并根据选择启动应用MIDlet程序523。所述应用 applet程序中的某些个人化数据可被访问和显示，或由用户提供。所述过程550 在所有服务/应用组件均被下载、安装和个人化后结束。

根据一个具体实施例，使便携设备530能够作为一个移动销售点来使用的一个代表性过程如下：

(a)接入安装服务器(即服务提供商的一台服务器514)，并请求所述服务器建立第一条安全通道(例如安全通道518)，以连接一个发行商域〔即applet程序库504〕与运行于安全元件529上的全球平台卡片管理器526；

(b)接收一条或多条网络消息，所述消息中包含封装销售点安全识别模块 applet程序(例如来自applet程序库504的一个Java Cap文件)的若干APDU请求；

(c)从接收到的所述网络消息中提取所述APDU请求；

(d)向全球平台卡片管理器526按照正确的顺序发送提取出的APDU请求，以在安全元件529上安装销售点安全识别模块(即应用applet程序527)；

(e)接入一个个人化服务器〔即一台服务提供商的服务器514〕，以开通第二条连接个人化服务器与新下载的applet程序(即销售点安全识别模块)之间的安全通道(根据服务器和/或路径的不同，所述安全通道可能是也可能不是安全通道518)。

(f)接收一条或多条网络消息以获得一个或多个单独的“数据存储 APDU(STORE DATAAPTU)”；

(g)提取并发送所述“数据存储APDU(STORE DATA APTU)”，以个人化销售点安全识别模块；以及

(h)下载并启动销售点管理器(即应用MIDlet过程序523)。

图6A展示了一个代表性的架构600，根椐本发明的一个具体实施例，其中便携设备630作为移动销售点，以执行电子商务和移动商务。所述便携设备630由基带624和安全元件629组成。销售点管理器623被下载并安装在所述基带624中，销售点安全识别模块628则被个人化并安装在安全元件629中，以使便携设备630能够充当移动销售点的角色。这样实时的交易639可以在支持移动销售点的便携设备630与支持电子代币的装置636(例如单功能卡片或支持电子钱包的移动设备)之间进行。所述电子代币可能代表设备中的电子货币 (e-money)、电子购物券(e-coupon)、电子票(e-ticket)、电子凭单(e-voucher) 或任何其他形式的支付代币。

实时交易639可以在线下进行(即不将便携设备接入后端销售点交易处理服务器613)。但是，在特定的实际情况中，例如交易量超过了预定的门限时，或支持电子代币的设备636需要充值或虚拟充值时，或(单一或批量)交易上传时，所述便携设备630可以通过蜂窝网络520接入所述后端销售点交易处理服务器613。

累积的线下交易记录需要被上传至后端销售点交易处理服务器613进行处理。所述上传操作由通过安全通道618接入销售点交易处理服务器613的便携设备630执行。与所述安装和个人化过程相似，上传操作可以经由两条不同的路线执行：蜂窝通信网络520；或公共网络521。图6A描绘了所述第一条路线。

所述第二条路线如图6B所示，根椐本发明的一个具体实施例，图6B 展示了一个代表性的架构640，其中便携设备630作为移动销售点并在公共网络 521上执行交易批量上传的操作。所述移动销售点中的线下交易记录一般被堆积保存在销售点安全识别模块628中的交易日志中。所述交易日志由非接触读取器634所读取并存入安装在计算机638中的销售点代理633。所述销售点代理 633再在公共网络521上通过安全通道619接入销售点交易处理服务器613。每个包含一条或多条交易记录的上传操作都标记为一个单独的批量上传操作。销售点安全识别模块628、非接触读取器634以及销售点代理632三者之间的数据通信釆用格式并包含所述交易记录。封装APDU(例如HTTP)的网络消息则被用于销售点代理632和销售点交易处理服务器613之间的通信。

在一个具体实施例中，一个来自销售点管理器623或销售点代理633 的具有代表性的批量上传过程包括：

(a)向销售点安全识别模块628发送请求以发起批量上传操作；

(b)在所述销售点安全识别模块628同意所述批量上传请求后，从所述销售点安全识别模块628中被标记的“一批”或“一组”中以APDU命令的形式取回累积的交易记录；

(c)创建一条或多条包含所述取回的APDU命令的网络消息；

(d)通过安全通道619将所述一条或多条网络消息发送至销售点交易处理服务器613；

(e)从所述销售点交易处理服务器613中接收确认签名消息；

(f)将所述确认签名消息以APDU的形式转送至所述销售点安全识别模块 628以进行核实，然后删除经确认已被上传的交易记录；以及

(g)如果所述同一“批”或“组”中仍然有其他未被上传的交易记录，则重复步骤 (b)至步骤(f)。

图6C展示了一幅流程图，根据本发明的一个具体实施例，描绘了使用充当移动销售点的便携设备630与作为单功能卡片使用并支持电子代币的装置 636进行移动商务的过程650。为了更便于理解，最好将过程650与之前的图示，尤其是图6A和图6B关联起来一同考察。所述过程650可以用软件、硬件、或软硬结合的方式实现。

当支持电子代币装置(例如Mifare卡片或支持电子钱包并模拟单功能卡片的便携式电话)的持有者，希望通过移动销售点(即便携设备630)购买物品或订购服务时，过程650(例如图6A中的销售点管理器623所执行的过程〉便会被启动。在步骤652，便携设备630读取所述支持电子代币的装置并取回电子代币(例如Mifare卡片的标签ID)。然后，过程650在步骤654中核实所述取回的电子代币是否有效。如果图6A中支持电子代币的装置636是单功能卡片(例如Mifare)，则由销售点管理器623执行的所述核实过程包括：(i)读取所述卡片的卡片标识(ID)，所述卡片标识保存在不受保护或仅受公知密钥保护的区域上；(ii)向销售点安全识别模块628发送包含所述卡片标识的请求；(iii)接收一个或多个由销售点安全识别模块628生成的转换后密钥〔例如用于交易计数、发行商数据等的密钥〕。如果所述接收到的一个或多个转换后密钥为无效，即所述取回的电子代币为无效，则结束过程650。否则过程650将沿着“是”分支推进至步骤656，在步骤656中将判定在所述取回的电子代币中是否有足够的余额以支付当前交易所需的费用。如果步骤656判定的结果为“否”，过程650可以选择提议所述持有者在步骤657中为其电子代币充值(即载入、注入或筹集资金)。如果所述持有者选择“否定”所述提议，则过程650结束。否则如果所述持有者同意为所述支持电子代币的装置进行实时充值，则过程650在步骤658中执行充值或虛拟充值操作。之后过程650返回步骤656。如果在电子代币中有足够的币余额，过程650在步骤660中从支持电子代币装置636的电子代币中扣除或借记完成所述购买需要支付的数额。在所述单功能卡片的情况中，所述一个或多个转换后密钥被用来授权所述扣除操作。最后在步骤662，销售点安全识别模块628中积累的一个或多个线下交易记录被上传至销售点交易处理服务器613进行处理。所述上传操作可通过蜂窝通信网络520或公共域网络521对单个交易或批量交易进行。

图4A中的过程400描述了前述的充值操作。虚拟充值操作是所述充值操作的特殊类型，通常被赞助人或捐助者用来提高电子代币的信用额度。为了能够使用虚拟充值操作，所述赞助人需要设立一个账户，并将所述账户与支持电子代币的装置(例如单功能卡片、多功能卡片、支持电子代币的便携式电话等等)绑定。例如，由商业实体(例如企业、银行等等)提供的线上账户。一旦所述赞助人向所述线上账户中充入了电子代币，支持电子代币装置的持有者便能在接入移动销售点时从所述线上账户中收到电子代币。多种不同的安全措施将被贯彻执行以确保所述虚拟充值操作是安全而且可靠的。所述虚拟充值的一个具有代表性的应用情景是父(母)亲(即赞助人)可以向一个线上账户中充入电子代币，所述线上账户与一位儿童(即设备持有人)的便携式电话(即支持电子代币的装置)相连接，因此当所述儿童在移动销售点购买物品时，所述儿童就能收到所述被充入的电子代币。除了此处描述的各种电子商务和移动商务功能以外，销售点管理器623还被设置为可提供多种查询操作，例如，(a)检查销售点安全识别模块中累积的未形成批量(即未被上传)的收支记录，(b)列出销售点安全识别模块中的未形成批量的交易日志，(c)显示保存在销售点安全识别模块中的特定交易的细节，(d)检查支持电子代币的装置的当前余额，(e)列出支持电子代币的装置的交易日志，以及(f)显示支持电子代币的装置的特定交易的细节。

图6D中的流程图，根据本发明的一个具体实施例，描绘了使用可充当移动销售点的便携设备630与作为多功能卡片使用并支持电子代币的装置636，进行移动商务的具有代表性的过程670。为了更便于理解，最好将过程670与之前的图示，尤其是图6A和图6B联系起来一同考察。所述过程670可以用软件、硬件、或软硬结合的方式实现。

当支持电子代币装置636(例如多功能卡片或支持电子钱包并模拟多功能卡片的便携式电话)的持有者希望通过移动销售点(即便携设备630)购买物品或订购服务时，过程670(例如图6A中销售点管理器623所执行的过程)便会被启动。在步骤672，过程670向支持电子代币的装置636发送初始购买请求。购买费用与所述初始购买请求(例如命令)一同发送。然后过程670进行至判定步骤674。当支持电子代币的装置636中没有足够的余额时，销售点管理器 623将收到拒绝所述初始购买请求的回应消息。结果是过程670由于所述购买请求被拒绝而结束。如果支持电子代节的装置636中有足够的余额，判定步骤 674的结果为“是”，过程670将沿着“是”分支进行至步骤676。从支持电子代币的装置636那里收到的回复(例如APDU命令)将被转发至销售点安全识别模块628。所述回复中的信息包括电子代币密钥的版本，以及将被用于建立安全通道的随机数，所述安全通道将连接支持电子代币的装置636上的applet程序(例如电子钱包applet)与便携设备630上安装的销售点安全识别模块628。然后，在步骤678，过程670收到由销售点安全识别模块628为了回应所述转发回复 (即步骤676中的回复)而生成的借记请求(例如APDU命令)。所述借记请求包含消息识别代码(MAC，Message Authentication Code)以便applet程序〔即电子钱包applet程序〕核实即将进行的借记操作，其中所述即将进行的借记操作是为了回应步骤680中发送的借记请求而进行的。过程670推进到步骤682，收到所述借记操作的确认消息。所述确认消息中包含被销售点安全识别模块628 和销售点交易处理服务器613分别用来核实和处理的附加消息识别代码。接下来在步骤684，所述借记确认消息被转发至销售点安全识别模块628以进行核实。一旦所述消息识别代码被核实为有效，并且购买交易被记录在销售点安全识别模块628中，所述被记录的交易在步骤686中被显示，然后过程670结束。需要注意的是前述电子商务交易可在线下或线上通过销售点交易处理服务器 613进行。并且当支持电子代币的装置中的余额不足时，可以按照图4A和图4B 中描绘的过程400执行充值或注资操作。

图7展示了便携设备被用于电子票务应用时的具有代表性的设置。便携设备730被配置为包括电子钱包724。当所述便携设备730的拥有者或持有人希望购买参加一个特定活动的票据(例如音乐会票、球赛门票等)时，所述拥有者可使用电子钱包724通过一个电子票服务提供商720购票。所述电子票服务提供商720可联系传统的票房预定系统716或线上票务应用程序710来预定和购买所述票据。之后电子代币(例如电子货币)被从便携设备730的电子钱包724中扣除，以向信用/借记系统714(例如金融机构，银行)支付票据购买费用。安全识别模块718被接入所述电子票务服务提供商720，以确保便携设备 730中的电子钱包724被正确识别。在收到付款确认后，电子票通过空中连接(例如蜂窝通信网络)被传送至便携设备730，并以电子化的方式被存储在安全元件 726上，例如以电子票代码、密钥或密码的方式。之后，当所述便携设备730 的拥有者，即所述电子票的持有者出席所述特定活动时，所述电子票持有者只需要让入口登记读取器734读取便携设备730中保存的电子票代码或密钥。在一个具体实施例中，所述入口登记读取器734是一个非接触读取器(例如遵守ISO 14443的超短距离耦合装置)。所述便携设备730是支持近距离通信(NFC)的移动电话。

现在参考图8A所示，其示出了在一个实施例中的由一个业务运行或安排的TSM所涉及的多方(multiple parties)的示意图。TSM运营团队802包括负责为用户管理账户的管理者(administration，简称admin，或称之为管理器或管理)，这些用户已经通过TSM或其他任务个人化了他们的安全元件。在一个实施例中，所述TSM运营团队802包括管理所述账户的一些人，管理系统资源(比如管理HSM，创建HSM索引(index)和GP密钥映射)的一些人。此外，所述团队还负责从一个或多个SE制造者离线输入默认ISD信息。所述团队还包括被称为鉴定工程师(certification engineer)的一些人，它们负责根据应用批准流程(application approval process)与服务提供者和SE发行者合作。所述TSM销售团队804，其也被称为业务账户管理者，其负责销售和TSM的供应商(vendor) 的账户管理。所述团队804中的一些成员可以只为所述SE制造者工作，一些成员可以只为所述SE发行者工作，其他人可以为多个类型的供应商工作。所述 TSM合作服务团队806，也可以被称为支持工程师，其负责为TSM的供应商(比如SE发行者和服务提供者)提供技术支持。所述TSM合作服务团队806，不直接与移动用户联系，但是却可以帮助合作伙伴分析审计日志(audit logs)。所述供应商808包括SE发行者、SE制造者和服务提供者中的一个或多个。SE 发行者负责安全元件的发行，并拥有所述安全元件的ISD。SE发行者与所述TSM 团队一起工作，如果需要其可以为服务提供者安装额外的SSD。SE制造者，顾名思义，用来负责制造所述安全元件，并在安全元件内安装默认ISD。它也可以与TSM团队一起工作，提供这些默认的ISD密钥集。所述服务提供者负责开发 NFC移动应用。来自所述服务提供者的应用示例包括但不限于交通钱包、银行电子钱包和信用卡。小服务提供者可以是提供用作房间密钥的应用的那些人。

图8B示出了在一个实施例中的TSM涉及的各方之间的相关关操作过程。所述操作的描述没有在这里详细描述以避免模糊本发明的一个实施例的重点。图8C示出了一个示例的TSM中在各方之间建立互相同意协议的工作流程。 SE发行者或服务提供者要求TSM保存其GP密钥集。在一个实施例中，对于 SE发行者来说，这个GP密钥集最有可能被用作ISD。对于服务提供者来说，这个GP密钥集被用作SSD。如图8C所示，创建密钥集的过程涉及在HSM中创建密钥和在TSM系统中创建映射(mapping)。所述映射的有效范围将被设置到合约失效日期(contract expiring date)。总体来讲，HSM密钥索引(key index) 不能在同一时间对于多个映射有效。

当所述密钥集将要期满时，可以进行更新。所述更新流程与图8C中所示的创建过程相似。根据一个实施例，在所述密钥集期满的几个月前，所述TSM 将会定期的给所述密钥集的拥有者将发送通知。一旦所述密钥集的拥有者更新所述合约，则停止所述通知。所述密钥集的拥有者可以通过创建一个工作请求或项目来开始所述更新过程。一个可靠的TSM业务账户管理者批准或拒绝所述工作项目。在接收到所述已经被批准的工作项目时，所述TSM管理者根据所述更新的合约更新所述密钥集的期满日期。

相似的，所述密钥集可以较早的期满或结束。所述结束流程与图8C所示的创建流程类似。所述密钥集拥有者可以请求在一个未来日期停止所述密钥集。所述可靠的TSM业务账户管理者将会立即核实，并批准或拒绝所述请求。所述TSM管理者设置所述映射的期满日期为指定日期。所述TSM为其他供应商再生所述HSM密钥索引。保存审计日志以记录所述交易的痕迹。

图8D示出了SE发行者和TSM之间ISD映射的数据流程。总体来说，所述ISD映射由每个SE发行者直接管理。SE发行者能够创建一个映射去绑定一个外部或内部密钥集至一个ISD密钥索引(index)。外部密钥集是未存在于与TSM相关的HSM中的密钥集，内部密钥集是存在于所述HSM中的密钥集。通常，所述SE发行者应该不需要指定默认ISD，由于默认ISD是来自所述SE 制造者的。然而，如果需要，SE发行者可以选择去重写这个默认ISD。

如图8D所示，所述SE发行者为卡操作系统(Card OS)创建了一个ISD 映射去绑定密钥集和ISD密钥索引(比如从1-127的范围)。如果密钥集不是不外部的，所述TSM将确保与它的HSM的密钥集映射存在。在操作时，所述 SE发行者可以直接修改或删除所述ISD映射。如上文所述，SE制造者具有所述安全元件的默认ISD信息。所述TSM为SE制造者提供批量和实时方式去共享这些信息。基于与TSM的协议，所述SE制造者可以使用批量或实时方式，其已经被描述过了。

为了安全原因，所述服务提供者(service provider,简称SP)为了个人化他的应用可能希望有他们自己的SSD。所述SSD映射由SE发行者创建以绑定分配给所述服务提供者的一个密钥索引至SP密钥集。图8E示出了在TSM、 SE发行者、服务提供者之间的相应数据流程。类似于所述SSD的创建，服务提供者可以请求所述SE发行者去删除一个SSD映射。所述工作流程与所述SSD 创建过程基本类似。

如上文所示，服务提供者为用户提供的应用。在移动用户订购和下载一个应用前，需要批准或发布所述应用。例如，服务提供者需要提交一个应用给 SE发行者和TSM以待批准。图8F示出了由SE发行者批准一个应用的数据流程。如果需要专用SSD，所述服务提供者可以如上预先请求一个SSD，或在请求中指出。在批准的应用对于普通大众可用之前，所述服务提供者或所述SE发行者可以启动所述公开过程。在所述TSM中为用户公开所述应用前，两方都必须同意。随后，通知所述供应商所述应用的日期和有效性。

在一些实例中，安全元件需要被替换。在移动用户或他的SE发行者请求时，可以替换所述安全元件。通常，为了更多服务和更大的存储空间需要更新安全元件。应当注意以下三点：

●对于这些应用，需要从老的安全元件中迁移出他们的应用状况，所述老的安全元件需要仍能被应用访问(通过TSM)；

●对于不需要状态迁移的这些应用，所述TSM仅仅需要重新设置和个人化所述应用；

●然而，如果一个应用，其状态在安全元件中，但是不支持状态迁移，所述TSM不能迁移他们的状态。对于这些应用，他们将被以第二种方式对待(即，所述应用必须被重新设置和个人化)。

图8G示出了替换安全元件的流程。安全元件发行者通知TSM关于：

●SE发行者通知TSM关于SE替换请求；

●TSM与服务提供者协作以准备APDU命令，以收集在老的SE上的应用的状态；

●对于每个应用，TSM执行命令所述APDU命令以提取应用状态，并锁定所述应用；

●TSM通知移动用户去物理的改变新的安全元件。移动用户可以改变他/她的主意去撤销或返回(rollback)所述替换请求。在这个步骤之后将没有撤销或返回；

●如果它还没有被处理，TSM将更新所述默认ISD；

●与服务提供者协作，TSM将安装和个人化或配置每个应用。如果需要，TSM将为服务提供者安装所述SSD。基于所述服务提供者的静态数据和动态应用状态准备所述个人化数据。

如图9所示，其示出了个人化的安全元件的一个账户的显示屏的快照示例。如所述菜单(menu)，所述账户维持(mantains)有已经个人化的安全元件的详细信息。此外，所述账户包括一系列配置的应用和安全密钥。也可以维持其他信息，比如应用拥有者(开发所述应用的人)、TSM的可靠联系、SE日志和应用日志。

本发明更适合采用软件形式实现，但也可用硬件或软硬件结合的形式实现。本发明也可被实现为计算机可读媒体上的可被计算机读取的代码。所述计算机可读媒体是任何可以保存能够被计算机系统读取的数据的数椐存储装置。计算机可读媒体的实例包括只读存储器，随机存取存储器，CD光盘(CD-ROM)，数字化视频光盘(DVD)，磁带，光学数据存储装置，以及载波。所述计算机可读媒体也可分布在通过网络相连的多台计算机系统中，这样所述可被计算机读取的代码将以分布式的方式存储和运行。

上述说明已经充分揭露了本发明的具体实施方式。需要指出的是，熟悉该领域的技术人员对本发明的具体实施方式所做的任何改动均不脱离本发明的权利要求书的范围。相应地，本发明的权利要求的范围也并不仅仅局限于前述具体实施方式。

Claims

1.一种用于移动支付的方法，所述方法包括：

使移动装置从销售点装置以无线方式接收数据，所述数据包含与所述销售点装置相关的商家的电子账单；

在所述移动装置的显示器上显示所述电子账单以展示待由所述移动装置的用户支付的金额，其中所述移动装置配置成执行安装于其中的应用程序以与所述销售点装置通信；

由所述移动装置接收来自所述用户输入的额外金额；

通过将所述额外金额添加到所述电子账单中的所述金额来计算总金额；

在所述用户已选择支付工具之后响应于所述电子账单而产生支付请求，其中所述支付请求包含所述总金额；

在所述显示器上为所述用户显示所述电子账单以核实所述支付请求以及所选择的支付工具；

将所述支付请求从所述移动装置发送到支付网关，其中当等于所述总金额的金额从与所述用户相关的账户扣除时，所述支付网关将所述支付请求已执行的通知发送到所述销售点装置。

2.根据权利要求1所述的方法，其中所述销售点装置包含加载有所述电子账单的非接触式卡，且所述使移动装置从销售点装置以无线方式接收电子账单包括读取所述非接触式卡以由所述移动装置获得所述电子账单。

3.根据权利要求2所述的方法，其中所述销售点装置包含提供支持所述销售点装置与所述移动装置之间的安全数据通信所需的安全性和机密性的安全元件。

4.根据权利要求1所述的方法，其中所述在所述移动装置的显示器上显示所述电子账单包括：

允许所述用户核实所述电子账单中的所述金额且在需要时对所述金额进行更改；

使用所选择的支付工具支付所述总金额，其中所选择的支付工具选自由以下组成的群组：已在所述移动装置中创建的电子钱包、传统信用卡或借记卡以及电子转账。

5.根据权利要求1所述的方法，其进一步包括：

使所述移动装置在检测到所述移动装置的近场中的所述销售点装置时执行已安装模块，其中执行所述已安装模块以从所述销售点装置接收所述数据。

6.根据权利要求5所述的方法，其中所述数据进一步包含关于与所述销售点装置相关的所述商家的安全性信息，所述安全性信息包含已注册商家的账户及银行信息，所述非接触式卡或所述销售点装置中的所述安全元件的识别符。

7.根据权利要求6所述的方法，其中所述将所述支付请求从所述移动装置发送到支付网关包括：

将所述支付请求通过安全通道传输到所述支付网关，其中所述支付网关配置成通过从所述用户所拥有的账户扣除金额来执行所述支付请求。

8.根据权利要求7所述的方法，其中所述在所述移动装置的所述显示器上显示所述电子账单包括：

允许所述用户在需要时修改所述电子账单中的所述总金额；

使用由所述移动装置中的已安装模块提供的电子支付来支付所述总金额，其中所述移动装置中的所述已安装模块配置成将包含关于所述电子账单的所述数据的所述支付请求产生到所述支付网关以供处理。

9.根据权利要求8所述的方法，其中在安全通道中执行所述移动装置与所述支付网关之间的数据交换，所述安全通道根据关于所述电子账单的所述数据中的所述安全性信息来确立。

10.根据权利要求9所述的方法，其中所述移动装置包含提供支持所述移动装置与所述支付网关之间的安全数据通信所需的安全性和机密性的安全元件。

11.一种用于移动支付的系统，所述系统包括：

销售点装置，其提供来在接收到条目时产生电子账单，其中当所述销售点装置存在于所述移动装置附近时，包含所述电子账单的数据将发送到移动装置，所述移动装置正在执行配置成读取所述数据且显示所述电子账单中表示的金额的模块；且其中

所述销售点装置从支付网关接收所述电子账单已结算包含额外金额及所述电子账单中表示的所述金额的总金额的电子通知，所述额外金额由所述用户添加，在所述移动装置的所述用户核实所述移动装置上显示的所述电子账单且授权支付所述电子账单之后，所述移动装置配置成产生待发送到所述支付网关的支付请求以根据所述支付请求继续进行支付。

12.根据权利要求11所述的系统，其中来自所述销售点装置的所述数据包含所述销售点装置的所述商家的账户和银行信息。

13.根据权利要求11所述的系统，其中所述支付网关用以从与所述移动装置的所述用户相关的账户扣除等于所述总金额的金额。