CN1259215A - 可计数的电子货币系统及其方法 - Google Patents

Abstract

一种智能卡付款系统(51,52,53)使用带系列号(51－L)的电子硬币(51—D)及电子纸币(51－0,52－0,53—0)的形式的存储值,它提供了有效的安全监视而不需要对每个处理完全集中的计算。系统被安全的中心监视包括统计采样技术,它与追溯到其源头的电子硬币(51－D)的处理路径有效跟踪相结合。仅使用小量的电子存储及传输(51－E,52－2,52－11),可除消大型集中的处理记录数据库。由此增强了卡对卡货币转移中的用户隐私性及灵活性,并允许整个系统安全性的检验及快速对安全破坏进行检测及跟踪。多个电子硬币版本(51－D)允许系统透明地及周期性地更新及重建安全性基线,并能对用户丢失及遗弃的存储值提供有规律的恢复。

Description

可计数的电子货币系统及其方法

本发明背景

本发明涉及智能卡付款系统，并具体地涉及设有存储值系统层次监测的此类系统。

智能卡技术能应用于两种用户付款系统：具有增强的安全性(尤其是在离机付款中)的记账(信贷或借贷)卡及存值卡、亦称电子钱包。这两种应用是互补的：记账卡更适合于中等或高值付款，而电子钱包的范围是小值付款。这两种付款应用之间可能的协同作用被本发明人描述在1995年9月25日申请的此时未结案的US专利申请08/533,599及其等同PCT申请WO96/09592两者中。

任何付款系统的主要问题是安全性，即防止未授权的货币的转移及产生。在智能卡存值付款方面，已有大量的专利、出版物及实施方案涉及在银行至用户、用户至商家及商家至银行层次上的保安付款及其他价值转移的交易。也有据称可防止在合适时间使用公知方式进行任何侵袭的硬件、软件及程序的组合。但是，由于安全性对付款系统如此关系重大，以致许多银行家坚持在系统层次上监视货币流通，以便再确认在交易层次上安全装置丝毫无误的操作。安全性要求已普遍地转化成“全面责任”的概念，即对所有单个存值交易进行记录并汇报到中心计算机，用于检验并确认值每次加到第一存值装置上仅发生在相同值已从第二存值装置扣除时。这种责任方案需要极大量的数据存储及转移并对持个人付款卡的用户隐私有很多干扰。

本发明的目的和概述

本发明的主要目的是集中地监测在存值系统中的存储值(以下称为“电子现金”)，用于在系统层次上再确认交易层次上的安全性，而不用记录及汇报每个单一交易。另一目的是减少用于这种监测的存储及传送的数据量。又一目的是能使用户在最少额支付时也可匿名地隐私地进行。另外的目的包括：测量被用户丢失或舍弃的存值量；测量无效存储值的量(如果交易层次的安全性失效或被破坏)；对于电子现金及其保安参数的周期更新提供可控更新的选择；保持本机检查跟踪以便识别欺诈电子现金的源；支持多发行者环境；并能满意地监测卡对卡的电子现金转移。

这里将使用如下的名词：

1、电子货币—电子记录并用于付款的值。

2、账户—在一个机构存储的电子货币或借贷。非限制的例子为银行账户及信贷账户。本发明考虑的账户为用户账户及商家账户。

3、金融机构—建立及维持账户的业务单位。金融机构的例子为银行、信贷公司及电话公司。实际上，金融机构一词通常涉及这些机构中用于存储及保持账户并在之间执行交易的计算机系统。

4、记账—用户指令将电子货币从他的账户转移到另一账户。

5、电子现金—以能转移并存储在用户或商家电子存储装置中的形式出现的电子货币。

6、存储值装置—用于存储电子现金的电子存储装置。

7、付款卡—以电子货币付款的用户装置。付款卡可包括用于产生记账指令的记账卡(例如信贷卡或借贷卡)，和/或电子钱包，后者为用户存储值装置。

8、智能卡—设计用于保护存储在其中的信息及其进行的交易的付款卡。

9、销售点或POS—商家装置，用于接收付款及也可选择地确定购物内容及计算付款量。一个POS可以是专用机(例如超市现金出纳机)或自动机(例如售货机、公共电话或泊车计价器)。

10、电子抽屉或抽屉—商家保安电子存储装置，通常形成POS的一部分，用于存储电子现金(电子现金抽屉)和/或记账指令(记账抽屉)。

11、电子现金池—金融机构的存值装置，用于电子现金的存储及记帐。

12、基本货币值或EMU—对于付款或记账的最小量货币值。

其例子为美国的1￠(美分)或以色列约5Agorot(阿高拉)。

13、系列号—用于标识分散实体并适于用数位表示的数据。系列号的典型的例子是正整数及ASCII字符串。

本发明通过设置实体“电子硬币”使电子现金变为可计数，每个电子硬币具有一货币值及一系列号。当电子硬币移动时，连同其值和系列号一起移动。随机电子硬币的百分数通过金融机构电子硬币池流通，在这里将找出禁用重复的或范围外的系列号。如果发现了这种重复或范围外的情况，则作出报告以发出信号：在交易层次有安全的漏洞，并评价损坏的程度。

通过建立电子硬币类型的级别，每种具有一个面值，各是前一面值的多倍，本发明将极有效地支持付款并减少了电子硬币存储的需要，尤其是付款卡上的存储需要。本发明将指导如何在卡上分配数十或几百存储器字节，用于以1￠的分辨率在数亿卡群中存储数百美元，并对于每个电子硬币有一个唯一的系列号。最少量的存储需要量也意味着在交易期间最少量数据交换的需要，这减小了交易时间及增强了可靠性。

本发明也考察了在根据本发明构成并操作的货币系统中的货币流动，显示出大多数电子现金真正运转在销售点及付款卡之间，而真实货币的转移主要是由记账(信贷或借贷)交易和/或由电子纸币进行的，后者是更大面值的电子硬币并允许付款卡的手工重加载。

另一个方面涉及管理本机检查跟踪，在这里每个存储值装置将接收到的电子硬币的系列号与源装置识别码一起记录。这些记录被保存有限的时间，并用于追溯可疑电子硬币以鉴别源装置并作进一步考察。

通过周期性地改变版本，本发明指导更新保安参数，有效并自动地调用老版本的电子硬币，以单“分“值的精确度计数，精确地识别保安缺陷，并对由持卡人丢失或舍弃的电子现金、即在旧版本终止日期前未索换的电子现金记帐。

本发明其它重要成就包括：对系统层次检查的卡对卡电子现金转移的非常有效的支持，并在大多数交易时提供根本的匿名。本发明在支持不同需要及喜好的人群的不同卡型方面提供了灵活性，包括具有记账及存值卡功能的个人卡及仅存值的“白“卡的共同存在。本发明也提供了加速版本更新及提高安全采样速率和可靠性的方法，包括电子硬币的强制交换及随机或FIFO(先进先出)电子硬币选择。

本发明还指导如何管理多发行者环境，这里每个发行者被分配一个系列号的不同范围。也提供了一种半计数系统，其中高面值电子硬币根据本发明来计数，而低面值的则统计地检验。在电子地转移货币值的领域中具有多种现有技术方案，但本发明在对象、组织、使用及操作环境上均与现有技术系统大相径庭。

例如，授予Jones等人的美国专利US5,440,634及US5,623,547的“值转移系统”公开了一种无硬币的钱包系统，它需要分开的加载操作及对个体存储交易的独立账户调解。这与本发明形成了对比，本发明应用电子硬币并且不需要单独的加载操作或帐户协调。

尤其应该指出，不可分的数字标记形式的方便付款证券的总概念有时称为“ecoins(电子币)”，这也是该技术领域中公知的。但是本发明在其对象、操作环境及电子硬币转移协议方面与现有技术的“ecoin”付款系统实施方式截然不同。

例如，荷兰阿姆斯特丹的数字现金公司的现有技术的“ecoin”付款系统旨在在可能不可靠的通信通道(如数据网络)上方便付款的进行及减小由于存储及传输错误而丢失值的危险。在DigiCash(数字现金)系统中，“ecoin”有唯一系列号，任何“ecoin”持有者可以为合法目的无限制地复制“ecoin”，例如为了防不小心丢失的备用。事实上，具有具体系列号的复制的数字现金“ecoin”彼此不能区分，因此若说“原始”数字现金“ecoin”与复制的“ecoin”不同，则是无意义的。在数字现金系统中，“ecoin”从付款人到收款人的转移在于将复制“ecoin”从付款人发送到收款人。付款人保留复制的“ecoin”，因此在通信误差或另外丢失的情况下“ecoin”可重复地发送给收款人。

Digi Cash系统以其保持已使用的“ecoin”系列号的中心数据库来维持防止未批准的建值的完善性。因此任何给定的“ecoin”仅能一次地用来从任何付款人转换到任何收款人。接收“ecoin”的收款人立即地将复制的“ecoin”发送到发行者(通常为银行)，后者将该“ecoin”系列号存储到花掉的“ecoin”的中心数据库中，并使付款生效，即或是通过将值记入收款人账户或是通过将一个等值的新(未用的)“ecoin”的返回给收款人，让收款人能用它，来使付款生效。但是，随后使用登记在中心数据库中作为已“花掉的钱”的“ecoin”从任何付款人转移到任何收款人的企图将被拒绝，以此方式，使“ecoin”的复制不会影响Digi Cash系统中的货币值。

相反地，本发明的电子硬币系统旨在方便账户对账户转移(信贷或借贷)的累积小付款的使用，并使用高可靠性通信通道(智能卡)，其中装置本身通信或存储失败的可能性小到可以忽略。在根据本发明的系统中，电子硬币具有唯一的系列号，但转移协议排除进行复制。因此在根据本发明的系统中，至多存在相应于任何一个给定系列号的单一电子硬币，及一个电子硬币从付款人到收款人的转移在于以这样方式将电子硬币发送给收款人，即在付款人处不保留复制的电子硬币。在根据本发明的系统中，电子硬币类似它们的实体硬币地流通，因此具体的电子硬币可不止一次地使用，与现有技术系统相反，后者仅允许每个“e-coin”的单项付款。本发明的典型交易显著地涉及在两个存值装置之间双向地对所需值记账流通的不同面值的电子硬币。本发明的电子硬币池也不同于现有技术的中心数据库，其区别在于，在电子硬币池中的电子硬币仍是有效的并可返回流通以继续使用，而现有技术的数据库仅是一个对交易不再有效的“e-coin”的表。

因此，根据本发明，设置了一种可计数的电子货币系统，用于转移基本货币单位整数倍值的电子货币，该电子货币的转移可在从多个付款卡、多个销售点及多个金融机构中选择的两个之间进行，该可计数的电子货币系统包括：

(a)至少一种电子硬币类型，该至少一种电子硬币类型中每种电子硬币类型具有基本货币单位的整数倍面值；

(b)多个电子硬币，每个属于至少一种电子硬币类型中的一种，多个电子硬币中的每个电子硬币具有一个系列号；

(c)多个存储值装置，每个用于存储多个电子硬币中的电子硬币，该装置包括：

*多个电子硬币钱包，每个包括在多个付款卡中的一个付款卡内；

*多个电子硬币抽屉，每个包括在多个销售点中的一个销售点内；及

*多个电子硬币池，每个包括在多个金融机构的一个金融机构内；

以及处理装置，用于将属于可选择电子硬币类型的可选择数目的电子硬币由从多个存值装置中选出的源存值装置传送到另一个从多个存储装置中选出的第二存值装置，该处理装置的操作是在目标存值装置中记录每一个被传送的电子硬币的系列号及从第一存值装置中删除该系列号。

本发明的其他方面将描述在以下的详细说明中。

附图的简要说明

为简化附图，电子硬币用标记“EC”表示，及电子纸币用标记“E-Bill”表示。

图1是表示根据本发明一优选实施例的付款系统基本形式主要单元的流向图；

图2是表示在根据本发明的卡及POS的优选实施例中存储器组织的框图；

图3是表示根据本发明的金融机构计算机的优选实施例的存储器组织的框图；

图4是表示图1实施例的存储器需要的计算表；

图5是表示本发明另一优选实施例的结构及操作的框图及流向图；

图6是表示图5实施例的付款程序的流程图；

图7是表示图5实施例中存储器需要的计算表；

图8是表示图5实施例主单元细节的框图；

图9、9A及9B是表示本发明另一优选实施例的框图；

图10A及10B是分别表示图9A及9B所述例子中存储器需要的计算表；

图11是表示本发明另一优选实施例的结构及操作的框图及流向图；

图12是表示图11实施例中存储器中需要的计算表；

图13是表示在图9、11、14及17的实施例中电子现金付款程序的流程图；

图14是表示本发明另一优选实施例的结构及操作的框图及流向图；

图15是图14的实施例中存储器需要的计算表；

图16是表示本发明另一优选实施例的框图；

图17是表示本发明一优选实施例的结构及操作的框图及流向图；

图18是表示图17的实施例中存储器需要的计算表；

图19及20是表示本发明各存储值装置中存储器组织的框图，其中同时使用了两个版本的电子现金；

图21是概括本发明各种交易用的电子货币流出的框图及流向图；

图22是表示涉及“半计数”特征的本发明另一实施例的框图；

图23是表示图22实施例的操作的流程图；

图24是表示图22的实施例中存储器需要的计算表；

图25是表示关于电子纸币系列号的卡识别数据存储的示意图；

图26是表示由加载终端发出的确认纸收据的示意图；

图27A、27B、27C及27D是表示转移电子硬币的简单协议的操作的框图；

图28是图27中所示简单转移协议的流程图；

图29是表示图27及图28中简单转移协议因电子硬币复制引起其失败的框图；

图30A、30B、30C、30D、30E、30F、30H及30I是表示转移电子硬币的防复制转移协议的操作的框图；

图31是表示图30中所示防复制转移协议的流程图；

图32是表示基于连续电子硬币采样以检测复制电子硬币的、根据本发明的“看门狗”的示意图；

图33是表示接收的电子现金文件及它们如何用于执行检查的示意图；

图34是表示连续电子硬币采样如何检测伪电子硬币源的流程图；

图35是表示用于产生电子硬币的交易路径的递归方法的流程图。

优选实施例的描述

1、电子硬币及电子硬币交易

付款是以基本货币单元(EMU)的倍数值进行的。以下，作为EMU的例子使用1￠(美分)的值，虽然，在其他国家中具体的EMU可具有譬如5、10或100单位的最小货币面值。

本发明的基本概念是电子硬币。它是一个信息实体，可以以电子方式存储在存储值装置中并在这些装置间移动。一个电子硬币具有EMU整数倍的面值及一个系列号。最好，系列号对一特定面值的每个电子硬币是唯一的；但是，相同系列号的预定数目的重复可预编程到系统中并可允许。并且，应指出系列号可用对人们阅读接收的任何形式如阿拉伯数字、字母等来表示；但是，它的计算机存储将是标准计算机存储形式、例如二进制。

根据本发明，当将一个电子硬币从一个存值装置(源)转移到另一存值装置(目标)中时，该电子硬币的系列号从源装置中删除并写入到目标存值装置中。因此，每当以下与电子硬币结合地描述动词“移动”或“转移”时，应理解，该电子硬币的系列号从源存值装置删除并写入到目标存值装置中。但是，涉及到数字存储的“删除”一词是基本逻辑并在以下应正确译释；例如，删除可以通过逻辑特征位来实行，该特征位指示电子硬币系列号的存储空间已空出并可用于存储另一电子硬币系列号，这样，不必重设置代表删除系列号的位，就使得驻留“删除的”系列号在逻辑上变成无法访问。

在同一系统中不同面值的电子硬币可以共存。在该情况下，具有同样面值的电子硬币将在下面称为属于相同的“电子硬币类型”。

2、付款系统结构

2.1仅使用基本电子硬币的基本付款系统(图1-4)

基于本发明的基本付款系统的一个实施例使用单一电子硬币类型，该类型具有一EMU(基本货币值)的面值，例如1￠。该电子硬币类型称为基本电子硬币或电子硬币-0。

图1是描述本发明付款系统基本形式的主单元的框图，该系统总地用1表示。付款卡2是由用户为付款所使用的大量付款卡中的一个。付款卡2或是公知信用卡形式的带有埋设芯片的塑料卡，或是任何其他形式、如钥匙链形式的付税用脉冲转发器、或个人计算机的一部分、或蜂窝电话的一部分。付款卡2包括电子硬币-0钱包11，它是一个以图2所示方式包含保安信息及基本电子硬币的存值装置。POS3是商家从用户接收付款所用的多个销售点中的一个。POS3可人工操作或是自动的，并也可包括用于确定购买内容及计算应付款的量的装置。POS3包括电子硬币-0抽屉，该抽屉是以图2所示方式包含保安参数及基本电子硬币的存值装置。金融机构的计算机设备用4表示，它包括电子硬币-0池13，后者是一个存值装置，其中以图3所示方式包含了保安参数及基本电子硬币。当卡2插到POS3中或以任何其它方式(例如通过英特网)与POS3通信时，付款处理4则被执行；该付款处理将规定数目的基本电子硬币从电子硬币-0钱包11移动到电子硬币-0抽屉12，每个基本电子硬币的转移包括：从钱包11中删除该电子硬币的系列号并将它记录到抽屉12中。在结算处理5中，POS3与金融机构4通信，以将基本电子硬币从电子硬币-0抽屉12转移到电子硬币-0池13中并申报它们的总值；POS3与金融机构4之间的通信可通过电话或数据通信硬件或蜂窝通信链路、通过手持式装置或实际将抽屉12移送到金融机构4的终端来作出。在装载处理6中，卡2与金融机构计算机4通信，最好通过将卡放置到与计算机4相连接的终端上(如在银行柜台中的计算机，ATM，专用电话或专用家庭装置)；然后用户在该终端上以任何可被接收的货币票证支付可选择的款量，接着等值款量的基本电子硬币从池13移动到钱包11，每个基本电子硬币的转移包括：从池13中删除该电子硬币系列号及将其记录到钱包11中。

图2是表示电子硬币存值装置如图1中钱包11或抽屉12内的电子硬币存储的框图。寄存器21包含存储在该存值装置中的电子硬币的面值。寄存器22存储存值单元的目前数目；将该数目乘以面值21可获得存储在该存值装置中的总值。寄存器23表示电子硬币存值装置的容量，即在其中能存储的电子硬币的最大数目。寄存器24-1至24-N包括目前存储的电子硬币的系列号，最好在每寄存器中加上几个奇偶检验位，以保证数据的完整性及安全性；其余寄存器(24-N+1至24-MAXN)包括数“零”，这意味着在其中目前未存储电子硬币。

图3表示存储电子硬币的一个替换方式，它旨在存储极大量的单位，典型地用于电子硬币池13。寄存器31包括存储的电子硬币的面值。寄存器32存储参数FIRST，它是发行的所述面值的电子硬币的最小系列号(例如1)，而寄存器33存储参数LAST，它是发行的所述面值的电子硬币的最大系列号。寄存器34-1至34-M构成了由位组成的长度为M-LAST-FIRST+1的矢量，其中每个发行的电子硬币相应于由公式SERIAL NUMBR＝BIT ADDRESS+FIRST-1表示的一个位。每当电子硬币从池13中移走(例如用于加载钱包11)时，相应的位被关断；当具体的电子硬币加入到池13中(例如通过与抽屉12的结算)，相应的位被启动。在上述结构中，其中允许有每个系列号的小倍数K，其矢量将由(LAST-FIRST+1)乘K大小的矩阵代替。任何启动一个已启动位的企图将指示在系统中具有一个无效的电子硬币。这提供了一种简单、成本低及有效的系统安全性的装置，它是本发明的一个主要目的。

图4表示涉及所考虑实施例的数字计算表，它被合理地设想在全美(U.S)市场上实施。假定有150百万卡在流通(41-1)，每张卡的容量是$200(200美元)并以1￠为单位(41-2)，并假定在系统中的全部电子现金可由总的卡容量来估价(在现实即时观察中，大部分卡仅是部分装载，但货币也存储在POS及现金池中)，我们获得的1￠电子硬币的总数是3*10¹²(41-3)。用于该范围的系列号需要42位(41-4)。为了奇偶检验对每系列号加3位，得到对每个根据图2的存储方案存储在付款卡2或POS3中的基本电子硬币需要45位。这需要在每个钱包11(它可包含20,000个电子硬币)中保留900,000位(41-7)或112,500字节(41-8)。假定在执行与金融机构的结算处理前商家希望积累$1,000的电子现金，他必须在抽屉12中预留用于1000,000个电子硬币的存储器(41-9)，这需要每个POS有562,500字节。需要监视3*10¹²个电子硬币的现金池(当应用图3存储方案时)将需要该数目的位或375*10⁹字节(41-12)，它约为350GB。

图4的数字结果表明对于卡及对于许多类型的POS，存储器的需要量非常大。并且由于大量的数据流，付款、结算及装载处理所花费的平均时间及最差情况下的时间将是不能接受的。

以下的替换实施便将表明大量减少存储器及数据流需要的方式，这就简化了本发明的实施并增加了其可靠性及减少了其成本。

2.2使用记账及一种电子硬币类型的付款系统(图5-8)

图5是概要表示根据本发明的付款系统一个优选实施例的主单元的框图。关于该实施例操作的许多信息可从此时未结案的申请日为1995年9月25日的美国专利申请08/533,599及等同PCT申请公开文献WO96/09592中得到。

付款卡51包括记账卡51-C及用于容纳具有一EMU值(基本货币值)的基本电子硬币的“电子硬币-0钱包”。类似地，POS52包括：记账抽屉52-C，用于在其中暂存离线时作出的记账指令；及在其中存储基本电子硬币的“电子硬币-0抽屉”52-0。金融机构53的计算机系统包括记账(信贷和/或借贷)账户53-C及用于容纳基本电子硬币的“电子硬币-0池”。

现在参照图6来说明所考虑的该实施例的付款程序。涉及该实施例的一个主要概念是通常由卡发行者或商家规定的参数$LIMIT，它规定了记账处理允许的最小值，如$25。

当在其电子硬币-0钱包51-0中具有当前量$BALANCE的付款卡51与POS52接口(步骤61)用于付值$SUM时，将$SUM与$LIMIT比较(步骤62)以决定是否通过记账卡51-C作出付款(步骤64)。如果否定，付款将涉及钱包51-0。在步骤63中，将$SUM与$BALANCE相比较，以得出付款是否可由存储在钱包中的值进行(步骤65，处理55)；如果否定(步骤66)，则$LIMIT将被记账卡51-C支付到记账抽屉52-C中，及$LIMIT-$SUM的找钱从抽屉52-0中转移到钱包51-0中(处理56)。

图6的付款程序具有以下优点：

(a)付款总是可对任何值作出，它仅受到记账卡的最大值的限制；在该实施例中不需对钱包51-0手工装载；

(b)存在钱包51-0中的值将不超过$LIMIT，它减少了在丢失情况下的损失；

(c)对于任何具体的POS52，通过付款处理55流入的电子硬币平均量等于通过记账处理56流出的电子硬币的平均量。这意味着电子硬币实际在卡及POS之间循环。

现在回到图5，在结算处理57中，通过图6的步骤64及66的处理从用户接收到的记账指令被传送到记账账户53-C中以与相关账户清算。在将卡提供给用户以前，处理59对付款卡提供电子钱币的初始值。在所考虑的该实施例中，在金融机构及用户之间不再需要附加传送电子硬币。在处理58中，在POS52与金融机构53之间对于电子硬币执行四个过程：

(a)起动：电子硬币抽屉52-0必须总具有足够量的电子硬币以对钱包51-0返回找钱(图6的步骤66)，在开始业务周期(例如工作日)以前必需对抽屉提供初始量的电子硬币；该量由商户向金融机构请求并从池53-0转移到抽屉52-0。用在业务周期期间预期的电子硬币的15％来起动对于具有很高概率的无误操作是有效的。

(b)调节：在业务周期结束时，期望电子硬币抽屉52-0中的电子硬币量相对初始量在统计上未变化。但是由于统计的波动，实际量通常需要小的增加或减少，以便在起动时用预定量的电子硬币起动下个业务周期。

(c)监测：为了检验系统的安全性，必需在池53-0上保证来自抽屉52-0的流通量。通过调节处理的自然流通可能是足够的，或者在POS及金融机构之间用于另外57及58的处理的常规通信期间可起动抽屉52-0及池53-0之间的某些附加电子硬币交换(以下对监测再详细讨论)。

(d)更新：如果同时使用旧及新版本的电子硬币时，可在常规通信时将旧电子硬币有意地从POS排放到金融机构中(以下对更新再详细讨论)。

应该指出，上述电子硬币在图5的处理55、56、58和59上的所有转移涉及到每个转移的电子硬币系列号的移动，正如参照现在还将参照的图1已描述的。

图7将计算对于执行所考虑的实施例所需信息的存储量及转移量。假定有150百万张卡(71-1)(与图4中一样)，每卡容纳$25，它们为2500个1￠的电子硬币(71-2)。硬币的总数被估计为卡总数乘以每卡的最大容量(实际上，在卡上将存储该值的一半，而其余的将在POS抽屉及金融机构的池中)，这导致有3750亿个电子硬币(71-3)，对于一个单独系列号它需要39位(71-4)。加上3个奇偶位，我们得到每个电子硬币系列号需42位。对于2500个电子硬币，这意味着每个付款卡有13,125个字节。容纳至多$1000的1￠电子硬币的POS将需要525,000字节的存储器来记录它们的系列号(71-11)，而分配每电子硬币1个位的现金池(根据图3的存储器管理)将需要48,875百万字节(71-12)。

图7的结果所表示的存储器需要量是对金融机构及POS能够接受的并且是合理的，对于卡也是如此。数据存储及流通需要量的进一步减小将在下面的实施例中讨论。

现在参照图8，它是图5实施例中更详细描述的框图。付款卡51包括基本电子硬币钱包51-0及记账卡51-C。钱包51-0包括电子硬币面值寄存器51-D，总差额寄存器51-B，及存储器51-L、它用于容纳当前存储在钱包51-0中的所有电子硬币的系列号。记账卡51-C包括一个账目信息(INFO)寄存器51-A，它具有从相应的金融机构53的记账账户53-C中存取相应账目并执行处理所需的信息。外部接口允许卡51与销售点52通过接口装置连接，接口装置可用触点、无触点或遥控式通信连接。POS52包括：卡接口52-5，用于与付款卡51接口；及用户接口52-4，以允许用户键入参数、例如用于记账处理的PIN码。付款值寄存器52-6从计算单元52-6接收付款值，并通过从购物接口85接收信号来确定购物内容及其价格，购物接口可为键盘、条形码扫描器、购货机控制器等。自动处理管理器52-1根据从寄存器52-3接收的应付款值及从卡接口52-2接收的电子硬币钱包参数执行图6的处理程序。自动处理管理器52-1用于起动：电子硬币付款单元52-8，以从钱包51-0接收付款并将付款投入到电子硬币抽屉52-0中；电子硬币找钱装载单元52-10，用于从抽屉52-0将找钱返回到电子硬币钱包51-0；及记账处理单元52-7，用于根据记账卡51-C将相应的账目记到记帐帐户53-C中。记账抽屉52-C容纳记账处理指令直到与金融机构53结算为止。金融机构53的计算机系统保持记账账户53-C及电子硬币池53-0，用于图5的处理57、58及59。

2.3使用记账及两个电子硬币类型的付款系统(图9-10)

现在将参照的图9中所示实施例与上述图5中实施例相比较减少了数据存储及转移的量。在该实施例中，电子硬币钱包91-S再分成：包含一个EMU值的基本电子硬币的电子硬币-0钱包91-0，及包含电子硬币-1的硬币的电子硬币-1钱包91-1，电子硬币-1的面值是EMU(基本货币单位)的预定整数倍。电子硬币抽屉92-S及电子硬币池90-S也类似地再划分。每个子存值装置令可包含相应类型的电子硬币，及各装置之间电子硬币的处理仅是在匹配的子存值装置之间转移电子硬币。

用于多种电子硬币类型钱包的处理程序将在下面描述：

图9的实施例以类似与图5中实施例的效率地工作。钱包的再划分可对卡持有者及商家保留透明度。

每个电子硬币的子级各表现出与图5单个电子硬币级类似的特性。因此，在每个子级上电子硬币的流入及流出在统计上是平均相等的。

图9A描述$25找钱处理的最小限，它使用一种程序及再划分的电子硬币钱包，以容纳最大数目为24的$1电子硬币及为99的1￠电子硬币。量24及99是根据下述准则来确定的。这些量是些例子而绝不是对本发明范围的限制。图10A中计算出在处理期间要存储及转移所需的数据量。可以看到，现在该卡需要563字节用于电子硬币存储，POS的工作需要8,956字节，及金融机构现在甚至可使用个人计算机来存储全部电子硬币池状态。

图9B及10B分别类似于图9A及10A，并使用了50￠电子硬币(取代作为电子硬币-1的$1电子硬币)。

2.4使用三个电子硬币类型的付款系统(图11-12)

图11表示使用付款卡及电子钱包的电子硬币存储，允许自动付款及根据图6功能在POS上的找钱处理，而在处理选择中未包括记账功能。

用于建立及操作多电子硬币类型系统的规则将描述于下。图11表示一个系统，其中每个付款卡可用$10、$1及$1￠的电子硬币容纳0至$199.99之间的任何值(这些值不是最佳的，实际上，对于$200的钱包，面值为$7.84，28￠及1￠的电子硬币可获得更好的结果，但是会引起混乱)。图12中所示结果对于150百万张卡、每卡载有近$200最大值的情况表明：在卡上有581字节将足够用于存储所有的电子硬币，而最小存储需要量也是POS及金融机构的计算机所期望的。

图11中所示的另一重要方面是装载原则。在一个“纯”存值卡、即无记账功能的卡中装载需要由任何装置对与金融机构连接的终端付款，及使电子硬币(每个以其系列号)从那里转移到各子钱包。允许仅用较高面值硬币或甚至用单个最高面值硬币的装载处理既合理又高效。允许用来装载的面值的电子硬币将被称为电子纸币，它们相应的存储装置在图中用圆角方块表示(见图11中111-2，112-2及110-2)。如以上将描述的，电子纸币主要运行在循环：池—钱包—抽屉—池中，较小的电子硬币(不允许用来装载)主要运行在钱包及抽屉之间。

2.5使用多电子硬币类型的付款系统(图13-15)

设置多电子硬币类型系统能允许用小数目的电子硬币交付任何整数倍的EMU(基本货币单位)。以下是使用J+1类型的这种系统的说明：假定以单调上升次序设置不同面值$D(0)…$D(J)的电子硬币(0)…电子硬币(J)。下述所有值是根据共同的最小货币单位、如1￠的，因此$200实际将表示为20,000￠。

对于最佳操作可优选以下参数：

(a)$D(0)等于一个EMU。

(b)R(I)＝$D(I+1)/$D(I)是一个＞1的整数，对于所有0≤I≤J-1。

(c)在付款卡中分配给电子硬币(I)的存储器空间为：

R(I)-1，对于0≤I≤J-1。对于电子硬币(J)，其分配的空间是任意的并为确定能被存在卡上的最大值的主要因素。

(d)存储在POS中的每种电子硬币类型的电子硬币量被考虑实际上是无限的。

(e)用电子硬币付款是根据图13的程序执行的，该程序将在下面描述。

图13是描述根据以上规则构成的多电子硬币类型系统中付款程序的流程图。“陈述”130中重复了这些规则。在步骤13中，给出一个包括每类型I的值$INPURSE(I)的钱包(例如，如果电子硬币(3)类型具有值300￠并有该类型的7个电子硬币，则$INPURSE(3)将有值2100￠)，以付款值$AMOUNT(也用1￠为单位表达)。在决定点132上，检验钱包内容以观察对于付款是否具有足够值。如果回答为“否”，步骤133检验其替换选择(例如，如果卡包含记账卡，则图6的付款替换64或66可变为有效)，或拒绝付款。否则，在步骤中134-1上，设置作为“无限”的人为面值$D(J+1)(保证高付款时环路的正确完成及停止在138上；实际上，任何大于$AMOUNT+$D(J)的值能足够作为“无限”)，然后通过从0到J所有整数值的环路134开始。在步骤135上，通过检验什么值不能用下个更高面值$D(I+1)付款来计算需用电子硬币(I)作出的付款$PAY。在决定点136上，使$PAY与该类型硬币$INPURSE(I)中可得到的货币相比较。如果可得到的货币足够的话，在步骤136-1上通过将相应量的电子硬币(I)单位从付款卡移动到POS中(每个以系列号移动)。如果该量不能满足，则在步骤136-2上，使$AMOUNT增加下一个较高的电子硬币的货币面值$D(I+1)，及在步骤136-3上，该处理通过以等量的电子硬币(I)单位贷入卡一个量$D(I+1)来补偿。但是，由于$PAY仍需扣除，最后结果是找钱处理136-3。每个移动的电子硬币用其电子硬币系列号从POS转移到卡。在步骤137中，量$PAY的付款从应付数量$AMOUNT中扣除，及程序用下个更高面值来继续，直到从决定点138到退出步骤139完成为止。

如上所述，在决定点132上，如果所有$INPURES(I)总量被检验为不够的情况下，仍可能借助记账处理来完成付款，如步骤133所指，并也表示在步骤66上(图6)。当执行记账处理以便作出小于最小记账量的付款时，记账处理将对于最小记账值作出，及最小记账值与所需付款之差将作为电子硬币形式的找钱返给付款卡。但是，如前所述，不可能将任意面值的、任意数目的电子硬币送到付款卡，因为各个钱包的容量对不同电子硬币面值是有限的。例如，如果1￠钱包已装满，则不可能再将任何1￠电子硬币送到付款卡。通常，以电子硬币形式将找钱发送到付款卡涉及到：电子硬币从POS转移到付款卡连同电子硬币从付款卡到POS的转移的组合。为了计算必需在每个方向上转移的电子硬币的正确组合，可使用上述并表示在图13中的相同算法，其如下：

首先，必须使最小记帐量等于最大电子硬币面值乘以1+付款卡能保持的电子硬币的量。例如，如果最大电子硬币值为$5及付款卡可保持它们4个，则最少记帐量必须为$25。这是个易于实现的条件，因为最小记帐量易于向上调节以适合付款卡的面值及容量。例如，如果最大电子硬币值为$7及具有它们5个，则最少记帐可简单地设为$42。然后，使用图13中所示算法，该记帐可考虑为：好比“虚拟”电子硬币从付款卡发送到POS。因为具有该附加的“虚拟”电子硬币，因此，电子硬币面值的序数从J+1增加到J+2，其中EC(J+1)是记帐(“虚拟电子硬币)及$D(J+1)是最小记帐值。当这些条件满足时，该算法的应用(上述及图13所示)将产生电子硬币的转移，从而即付款卡将收到正确的找钱，并观察对每种面值允许的电子硬币数目的限制。

上述规定的规则设置及图13付款程序的无误操作是基于基本数学原理的考虑。以这样方式，即将它们的值加成一具体总数来选择代表不同整数值的对象的总问题是数学文献中公知的，并被称为“子集和问题”(有时也称为“渐缩问题”)。已知，如果代表值(在此情况下是电子硬币的面值)被随机地预设定时，该问题难以解决并对于每种所需和值可能没有解。另一方面，如果该组代表值根据一定条件选择，则不仅总是有一个解，而且该解易于被求出。保证解易于被求出的条件仅是，每个对象必须代表一个大于所有小对象的和的值。符合该条件的集被称为“超增集”(“Superincreasing set”)，及其解如果存在的话，可通过比较及迭代快速地求出(如下面例子中所示)。保证解总能求得的条件仅是，每个对象必须代表比所有小对象之和大1的值。符合该条件的集被称为“最小超增集”。例如，集{1，3，5，5，23，47}是一个超增集。求出其和为34的集的元是方便的。首先，将47放在子集中太大，但23可在子集中。从34减去23得到11。然后可看出，5必需在该子集中，还剩下6。另一个5必需也在该子集中，还剩下1。最后，将3放在该子集中太大，可以看出该子集中最后的元是1，余数为零，表明34具有一个解。该所需子集则为{1，5，5，23}。另一方面，对于等于7的和则无解。作为另一例子，集{1，1，1，1，5，10，10，10，10，50，100}是对于和各为1至199均存在解的最小超增集。在此范围内的任何数、如137可容易地用与前相同的迭代步骤由子集{1，1，5，10，10，10，100}来表达。通过考察上述给定条件能容易地产生出最小超增集。可容易地看出，为了正确地工作，付款卡的电子硬币钱包必需构成一个最小超增集。详细讨论子集和问题的一些数学参考著作包括：Henry Beker及Fred Piper著的“密码系统”，Wiley-Interscience，1982年，第373-380页；及Bruce Schneier，John Wiley著的“应用密码”，1994年，第278页。

为了最佳结果(即，系统中，具体卡上的最小货币需要量)，最好有两个附加规则：

(1)比例系数R(I)应设置得彼此相等(这是10B优于10A的理由)

(2)钱包的数目，即J+1应为最大值但不超过卡上存储所需的容量。

结合这两个规则，我们获得最有效的结构，它是具有电子硬币面值为1EMU，2EMU，4EMU，8EMU等的二进制卡，每种面值在付款卡上具有单一款项。下面图14及15的例子展示了二进制卡的效率。

图14表示根据本发明的付款系统的一个实施例，其中每个存值装置包括16个电子硬币子存储装置，用于面值：1￠，2￠，4￠，…32768￠。付款卡可容纳每面值的单个电子硬币；POS及金融机构则可容纳每种面值多个电子硬币。三种最高电子硬币值被选择出也具有电子纸币功能。即允许卡持有者手动装载$81.92的整数倍值。当根据图13的程序操作时，下面参考图21所述的处理统计指导：最高电子硬币类型($327.68)将在池—钱包—抽屉—池的循环中流通；另外两种电子纸币($163.84及$81.92)将以某种百分比在该循环中及在钱包—抽屉—钱包循环中流通，这取决于用户的典型装载模式(希望装载较高电子纸币值的用户愈多，要观察的小电子纸币值的电子纸币找钱就愈多)。较小的电子硬币(1￠至$40.96)将在钱包—抽屉—钱包循环中流通。

图15对于150百万张卡(150-1)计算了图14的二进制方案的存储需要量。卡中可容纳每类型一个电子硬币，这导致每类型150百万电子硬币的估值(150-3)，对于属于一种具体类型的每个电子硬币的唯一系列号需要28位(150-4)。加上3个奇偶位(150-5)，我们得到每类型31位(150-7)。对于16种类型将此数乘以16，并除以8以便从位转换为字节，就获得了每卡62字节的最低需要量。假定POS需要对每类型提供100个硬币的空间，则对于每个POS将需要6200字节的存储量(150-11)。由于每个电子硬币在金融机构的池中需要一个位(图3)，150,000,000张卡乘以16种类型并除以8(用于位—字节转换)得到在池中300,000,000字节存储需要量(150-12)，这是个人计算机的盘易于提供的。

2.6使用混合卡类型的付款系统(图16)

根据本发明的单个付款系统可用于各种类型的卡。图16表示单个付款系统。根据本发明的该优选实施例，按照上述规则对整个系统选择了多种电子硬币类型。在该实施例中选择的最高电子硬币级也用作电子纸币。这就是允许手工装载这种硬币的整数倍。每个POS160具有一个记账抽屉及根据所选电子硬币类型的系统级的多个电子硬币抽屉。另一类型的POS161省掉记账卡功能，例如用于售货机的应用。金融机构162的计算机系统具有记账账户及根据所选电子硬币类型的系统级的多个电子硬币池。该系统用于各种付款卡，包括电子硬币-0钱包163(见图1)；具有自动重装载功能的组合式记账/钱包卡164(见图5及9)；多级“纯”钱包卡165，它的重装载仅受到最高值电子硬币的限制(见图11及14)。该系统也用于付款卡166，此时该卡允许或是通过手工装载电子纸币钱包(如果用户希望在绝对匿名及隐私的情况下购物，这些有意重装载是重要的)，或为了最大的方便，根据图6的方案自动从其记账卡来重装载。

2.7推荐的付款系统(图17-18)

“优选”构型的选择取决于具体环境的需要。一个主要的考虑是效率，另一主要考虑是便利。例如上述参考图16的最有效的二进制16级系统可能对许多人难以理解，并且所需的$81.92整数倍的重装载可能生疏及不方便。

图17表示一个推荐的多级付款系统，它是根据上述规则构成的。根据图13的操作可对用户选择提供两种重装载选择：根据图6为了最大限度的便利从记账卡自动重装载(这也将保持低于$25的总电子硬币值)，或为了最大限度的匿名和隐私用$25的整数倍的手工装载(具有最大钱包容量：$274.99)。虽然在这些电子硬币面值之间无最佳(二进制)的分度，所选择值体现出非常高效的性能(图18)，因为使用了实用的面值并易于理解，因为它们类似于现实生活中传统硬币及纸币的面值。(但是应理解，对于装载处理例外，整体划分成各面值仅是技术问题，这可对用户及商家保持透明)。

图18计算出图17构型的存储需要量。根据取自于图17的171的多重性180-4，不同的电子硬币面值在行180-1中分组。流通中的卡数目180-3假设为150百万张。电子硬币的总数被估算为所有卡容量(实际上，卡期望容纳该容量的50％，而其余的分配在POS及金融机构计算机中)。行180-5对于行180-1的每组通过将行180-3的值与180-4的值相乘来计算电子硬币的总数。对于每卡类型唯一的系列号所需的位数计算在行180-6中，及在180-7上加上3个奇偶位，便在180-8上获得结果位数。每组(见180-1)的规模给在行180-10中，再乘以行180-9的数目得到每组的总位数。总位数总计在行180-12上，并在行180-13中转化成字节。

POS计算是对于每面值准备100电子硬币的空间估计的，$25面值除外，对它设置了200电子硬币的空间。行180-14表示整个组的空间。当乘以行180-8的每电子硬币的位数时，在180-15中得到每组位数，在行180-6中总计总位数，并在行180-17中转换成字节。

金融机构的计算是将电子硬币180-5的总数乘以180-4中的每组规模再除以8(位—字节系数)，便获得行180-18，在180-19中将它们相加起来。

由图18得到的数表示非常合理的数据存储量及用于具有150,000,000张卡的系统的转移需要量，它对于覆盖全美国的需要是足够的。将相同系统扩展到极大的50亿卡系统，将得到每卡需要137字节，每POS3775字节，及金融机构计算机系统约17GB；这些数目再次证实了本发明的任何需要规模上实施的可行性。

2.8处理统计

在涉及图5、9、11、14及17的说明中，已经提及：从卡到POS作为付款流通的规定值的电子硬币值平均上应等于从同一POS作为找钱流通到卡上的类似电子硬币值。

现在参照图5及6，及上述详细规则来集中说明决定63及处理65、66。

第一个重要结论是，存值量($BALANCE)将保持小于$LIMIT。甚至当起初$BALANCE是较大值时，处理65将消耗钱包，直到钱包内容小于$BALANCE为止。然后，在下个处理中，$BALANCE将由处理65进一步减少，或通过处理66加上找钱而增加。但是，在66中加到$BALANCE上的量($LIMIT-$SUM)等于$LIMIT-($SUM-$BALANCE)，它小于条件63中的$LIMIT。

第二个重要点是，在用许多钱包及许多POS的大量处理后(由于用户及商家均对$BALANCE无任何影响或偏重)，该值将是在小于$LIMIT的零及1EMU之间均匀分布的随机数。

因此，在63中的决定将获得从POS向卡传送($LIMIT-$SUM)的概率$SUM/$LIMIT(它是63为否定的可能性)，及从卡向POS传送$SUM的概率(1-$SUM/$LIMIT)。两个方向的期望值(将转移值乘以其概率获得值)是相同的。这就证明了所提出的：平均上讲付款55与记帐56彼此相等。

对图13的类似讨论将获得类似结果，这是基于图136；决定13663；转移136-165及136-366；和值$PAY$SUM，$D(I+1)$LIMIT及$INPURSE(I)$BALANCE；各自之间的相似性。这就解释了为什么在图9、11、14及17中不允许手工重装载的所有处理级上电子硬币实际流通在同一面值的电子硬币钱包及电子硬抽屉之间。

3、电子硬币的版本(图19-20)

一种公知的对安全方案的侵袭是通过对安全参数猜测的重复试探。本发明提供了一种有效的对抗措施：周期性(如每6个月)地发行电子硬币的新版本，它具有一组新的安全参数，并将新版本发行后的合理时间(如，又4个月)设为前一版本的期满日期，及在所有处理级上设置装置，以在所有处理类型期间使付款卡及POS排除上一版本的电子硬币。这些电子硬币被导入相应版本的现金池内，在那里每个电子硬币被计数及算账。在该版本期满日期，对所有未被申报的电子硬币值(即所有被卡持有者遗失或丢弃的旧版本现金)进行计算并可能精确结算，这是本发明的另一目的。

图19表示电子硬币钱包中的数据体制，用于在两种电子硬币版本之间共用具体电子硬币类型的分配存储器。寄存器192存储该电子硬币类型的面值，而寄存器193存储能存在卡中的相应类型的电子硬币的最大数目。将两种版本称为“A”及“B”，寄存器194及197保存涉及这两种版本的安全参数(口令，特征符，等)，寄存器195及198包含相应的期满日期，而寄存器196及199保存对每版本当前存储的电子硬币数目。寄存器190-1至190-NA及191-1至191-NB保存当前存在钱包中的电子硬币的系列号。以此方式，可在两版本之间有效地划分最小存储空间(甚至对于单个电子硬币，例如对于图17的卡171中50￠的电子硬币)。在POS抽屉级上，可使用类似技术在两版本之间划分存储空间，而在金融机构池中，这两个版本最好分开管理。图20表示1￠电子硬币的两版本电子硬币的存储(寄存器200)，类似于图3中的存储技术。寄存器201、202、205及206保存每种版本的电子硬币的发行限额，寄存器203及207保存每版本的安全参数，及寄存器204及208包含相应的期满日期。

最好，每当在卡与POS或在POS及金融机构之间必需传送电子硬币时，将首先选择旧版本的，而在相反方向传送时，将最好用新版本的电子硬币。这将通过从卡及POS抽出旧版本的电子硬币并将其移送到电子硬币池中来有效地更新流通中的电子现金。

4、货币流通及系统级控制(图21)

最好，当本发明的货币系统建立时，所有的电子现金将被产生并被投放在一个或多个电子硬币池中。然后，在将新付款卡供给用户前，该卡将通过从电子硬币池向卡传送电子硬币来预装载。一个与系统连接的POS将用具体量的电子硬币来初始启动，以保证其无误的操作。在这些初始化后，电子货币将如下所述地通过各种处理流通。

在本发明的系统中货币流通的路径表示在图21中，并参考图17的实施例及图6及图13的付款程序。

当电子纸币由用户执行手工重装载时(即，允许用较高面值的电子硬币来手工重装载)，从池到钱包发生电子纸币流通210。在将预装载卡供给用户前，仅对每卡发生一次低面值电子硬币的电子硬币池至钱包的装载211。从卡到POS的电子纸币流通212及记帐指令流213的发生是为了对高值购买付款或对购物自动支付小面值电子硬币(图6中框66及图13中136-2及136-3)。POS将经常地与金融机构通信，以启动记帐指令流219及电子纸币流218，用于结算。比电子纸币面值小的电子硬币实际在卡与POS之间流通：在每次小购物时，电子硬币从卡至POS作为付款(214)或从POS至卡作为找钱(215)流动。在上述§2.8中已经说明，从统计上看，对于每种电子硬币面值，在双向上的平均流量是相同的，这就解释了“流通”一词的用意。

在POS与金融机构之间的电子硬币流(217及216)有几种目的：

(a)在业务周期开始前，用足够量的各电子硬币类型来启动POS，以便有足够的找钱来补偿统计的波动(见图5中58)。

(b)在业务日结束时清空POS的电子现金，这样作是出于安全考虑或法规的要求。

(c)在一个业务周期结束及下一个开始之间调整电子硬币在POS中的量；如果在业务周期结束时POS示清空可能需要这样作，以补偿统计的波动，后者会引起在下个业务周期开始时每面值的电子硬币量实质上低于或高于所需的量。

这两个电子硬币循环(214/215及216/217)虽然平均地转移了零货币值，但在金融机构、POS及卡之间引起电子硬币的持续扩散及混合。该混合程序具有两个重要作用：

(a)安全性：该混合程序允许在金融机构电子硬币池中连续地采样流通中的电子硬币，以识别每种类型无效的电子硬币。这种无效的电子硬币通过从已发行区中找出系列号(图3中32及33)或通过发现相同系列号禁止的重复来识别。当发现这种无效电子硬币时，混合程序揭示了系统故障或安全的破坏。并且，这种无效电子硬币的数目及采样的规模对总受损规模提供了可靠的估价。

(b)更新；混合程序允许通过在金融机构方向上优先流通旧的电子硬币来有效地以新的电子硬币版本代替旧的版本。

为了提高在卡-POS及POS-金融机构等级上混合电子硬币的效率，钱包—抽屉及抽屉—池的处理程序最好也包括以下程序：

(a)采集某种版本及类型的每个电子硬币，以从一个存值装置传送到另一存值装置，这将根据预定的采集准则、例如先进先出或随机采集来作出。

(b)强迫交换特征将允许在两个通信存值装置之间交换选择面值的可选择相等量的电子硬币，这将允许在常规程序处理期间，系统操作器对用户及商家透明地加速旧版本的排除和/或增加上述安全性采样的效率及可靠性。当用于加速更新时，这种强迫交换将使选出面值的可选择数目的旧版本电子硬币从钱包移动到抽屉或从抽屉移动到池，而相同面值的相同数目的新版本电子硬币分别从抽屉移动到钱包或从池移动到抽屉。当更新时，装置建立了第一版本的电子硬币转移相对第二版本电子硬币转移的优先权，这里优先权取决于相对金融机构的转移方向。如果第一装置作出转移以更新一个离金融机构更“远”的(就装置等级而论)第二装置，第一装置将新电子硬币发送到第二装置并接收一个旧的电子硬币以便交换。以此方式，旧的电子硬币优先移回金融机构，在这里它们被收集及从流通中退出。相反地，当用于加速混合时，同一版本及面值的可选择数目的电子硬币将在钱包与抽屉或在抽屉与池之间根据在每存值装置上的先进先出或随机采集进行交换。

以下是相对图17的实施例使用图13的程序进行强迫交换的例子。假定执行当前付款处理的付款卡容纳了两个旧的及两个新的10￠电子硬币(“旧”及“新”是指版本)和两个旧的及两个新的$1电子硬币，并根据图13的程序，有一个10￠电子硬币但无$1电子硬币必需转移到POS中。根据在先前处理期间从金融机构卸载到POS的准则，POS从卡中取出两个旧的及一个新的10￠电子硬币，及返回两个新的10￠电子硬币；POS也从卡中取出一个旧的及一个新的$1电子硬币，并返回两个新的$1电子硬币。通过这些强迫交换，既加速了版本更新又加速了硬币混合。在POS及金融机构之间程序处理期间执行类似的强迫交换。

4.1防复制电子硬币转移协议

在本发明的所有实施例中，有一个原则，就是电子硬币不能在付款卡或POS中产生，并如这里所述的，该系统具有统计地监测电子硬币池并检测复制的电子硬币的特征。如果无复制品被检测出来，可认为该系统工作完善。否则，该系统允许跟踪复制硬币至其源头以便调查及采取校正行动。但是，理想的是具有一种能预防值的复制的电子硬币转移协议。这里将给出一个这样的转移协议的实施例。

复制电子硬币可以是产生未批准值的故意企图结果(“伪造”)，或是简单处理故障的结果。例如，考虑这样的情况，即，使用简单的转移协议将电子硬币从付款卡传送到POS，如图27A-27D及图28中所示。付款卡500包括待被转移到POS502中的电子硬币500-1(图27)。转移在于：在复制操作504中(图27B)，在POS502内作出原始电子硬币500-1的复制电子硬币，然后，用删除操作506删除付款卡500内的原始电子硬币500-1(图27C)。复制操作504及删除操作506两者均由处理管理器501监视。在完成该协议后，在付款卡500中的原始电子硬币500-1就被转换成POS502中的复制电子硬币502-1(图27D)。因为电子硬币的复制品是与该系统中的原始电子硬币不可区分的，该程序具有将电子硬币从付款卡转移到POS的单纯功能。该简单协议的各步骤表示在图28上，及其组成为：复制操作504后跟着一个删除操作506，它们分别被表示在图27B及图27C中。遗憾的是，该简单协议带有缺点，即如果任何事情阻碍了协议的完成，则有可能存在多个单一电子硬币的多个复制品。例如，假定在复制操作504发生后但在删除操作506发生前付款卡500与处理管理器501断接。这可能通过多个自然且可能的事件发生。除了使处理管理器501失电的纯电源故障外，用户可能在删除操作执行前突然从POS中抽出其付款卡，这可能是无意地未实现删除功能或是故意地希望引起这种故障。在任何情况下，其结果将是POS已接收到一个电子硬币款项，但付款卡仍具有能再使用的该电子硬币(图29)。在某些现有技术的该简单协议实施方案中，电子硬币在转移前被付款卡加上“特征位”并在这种故障情况时保留该内部特征位。这将可置信地防止该电子硬币被错认成可使用的硬币，但包括在特征位中的信息不足以使中断的转移能被完成。

为了消除该问题，可使用根本上能防止电子硬币复制的转移协议。这样一个协议表示在图30A-30I及图31中，并也涉及从付款卡到POS的转移，尽管该协议是通用的并在反向上也能同样好地使用。如上述简单转移协议那样，这里也有一个处理管理器，但为了简明起见，在图30A-30I或图31中来画出该处理管理器。首先应当指出，货币转移通常定义为“处理”，其中一个账户支出一定量及另一账户记入完全相同的量。处理如同“原子”是“不可分的”(理想上)：或是整个处理被执行或是不能执行部分的处理。例如“在线”系统中设置了：或是“调动”该处理(将两个账户转移到已执行处理状态)，或是“退回”处理(使两个帐户返回到处理启动前的状态)。传统上，在处理中断的情况下(如由于电源故障)，将选择“退回”，在此情况下，转移未成功。转移可被再尝试，或是使两账户保持未执行，如同它们原来那样。仅当处理成功完成才选择“调动”。在每种情况下，系统及涉及的账户的完整性受到保护。在现在付款卡及电子硬币的情况下，设置“调动”及“退回”选择将用来保证，电子硬币的转移将被完全执行或根本未执行，并由此保证在转移或试图转移的过程中电子硬币既不会“创生”又不会“消灭”。遗憾的是，当前实施例的“调动”及“退回”特征需要一个中央管理器(如中央在线计算机)来监管处理，但它在付款卡的销售点之间转移的流通环境中难于或不可能被设立。因此，在本发明的一个实施例中，在转移协议中使用密码技术来在本发明系统内尽可能接近地近似“调动”及“退回”选择。

在该协议中，付款卡500具有由公用密钥500-3及私用密钥500-5组成的公—私密钥对(图30A)。类似地，POS502具有由公用密钥502-3及私用密钥502-5组成的公—私密钥对。该协议可使用任何本领域中公知的合适密钥加密方法。为了实现该协议，公用密钥不需验证或授权，因此涉及转移的任一方可获得另一方的公用密钥，以通过简单的请求转移到另一方。在此协议中，公用密钥加密用于从电子硬币发送方的观点来看的单向功能，以阻止电子硬币无意地变为可第二次被发送方使用。但是该硬币不是立即被消毁，而是以加密形式保留在发送方一段时间，以便在需要“退回”时控制其恢复。

在该协议的具体实施例中，公用密钥500-3及私用密钥500-5不用于从付款卡500到POS502的电子硬币500-7的转移，但它们在这里给出是因为需要用它们从POS502到付款卡500转移电子硬币。

在转移协议的第一步骤中，在密钥交换操作510(图30B)中付款卡500从POS502获得公用密钥502-3。在第二步骤中，在加密操作512(图30C)中付款卡500用公用密钥502-3加密电子硬币500-1，以获得加密的电子硬币500-2。在一个优选实施例中，该加密是在“原地”作出的，因此电子硬币500-1被加密电子硬币500-2取代。然后，就付款卡500而言，电子硬币500-1已被有效地“消毁”，因此无复制品存在，该复制品可被付款卡500用于向POS502转移以外的任何用途。但是，电子硬币500-1仍然存在并能在故障情况下被恢复，尽管它不能被付款卡500使用。在第三步骤中，在删除操作514(图30D)中付款卡500删除本卡复制的公用密钥502-3。在第四步骤中，在复制操作516(图30E)中付款卡500将加密电子硬币500-2的复制品502-2发送到POS502。在此时刻，原始电子硬币的两个复制品均存在，但任何一个都不能立即使用，因为这两个均被用公用密钥502-3加密。在第五步骤中，在解密操作518中，POS502用私用密钥502-5解密已加密的电子硬币502-2，以获得一个有效的电子硬币502-4，它与原始电子硬币500-1一样(图30G)。在该协议的第六步骤中，在通知操作520(图30G)中POS502通知付款卡500：它已具有电子硬币502-4。在该协议的第七即最后步骤中，在删除操作522中付款卡500删除加密的电子硬币500-2，由此完成转移(图30H)。在该协议完成后，付款卡500不再具有电子硬币500-1，而POS502具有电子硬币502-4(图30I)。

该防复制协议的一个重要特征是，在付款卡及POS两者中任何时刻不存在以未加密形式出现的被转移电子硬币。这意味着无意或故意的复制电子硬币均不会发生。此外，虽然在短期内加密电子硬币的多个复制品可同时存在，但这些仅对指定的接收者有用，如果在处理完成时它们万一继续存在，不会对系统产生不利影响。这些加密的电子硬币仅能对原始指定的接收者发送多次，及原则上，该电子硬币的系列号可识别同一硬币对接收者的多次转移，在此情况下，接收者将忽略额外的转移。

应当指出，该防复制转移协议假定发送者及接收者(付款卡及POS)两者均是可信任的、可靠的装置。该防复制转移协议本身未提供抗侵袭者的电子硬币复制，其中侵袭者模仿一个授权的发送者，例如通过出示伪造的或损坏的付款卡。在些情况下，该侵袭者显然未受到协议要求的约束，例如，在“原地”加密电子硬币并由此能以未加密方式保留同一电子硬币的多个复制品，或作出无限制的电子硬币复制品。需要附加的措施来防范这种侵袭，并且该转移协议应在适当安全的环境中进行。例如，付款卡从POS之间的整个交换可以(也应该)根据本领域中公知方法加密。这里所述的该转移协议的目的是提供处理电子硬币转移的一个基础，它作为以安全装置上下关系的处理，但不能保证这些装置的互联性和/或依赖电源的可操作性。

一旦待被转移的电子硬币被用指定接收者的公用密钥加密，它将永久的不能用于除向指定接收者发送以外的其它任何用途。为此原因，虽然该防复制转移协议比上述简单转移协议(图27及28)提供了对错误状态更好的恢复，但不直接地提供真正的“调动”及“退出”操作。而是，该防复制转移协议在可恢复状态下保留了中断的转移，它可在某一将来时刻被完成；下面的程序能有效地实现“调动”及“退回”操作。图31表示图30中所示防复制转移协议的流程，它以某些附加特征来适应维护在中断情况下的处理完整性。例如，在复制操作516后面，在决定点S17上检验并确定复制是否已成功。如果没有，复制操作516再被尝试。应着重地指出，该再尝试不需要被立即地作出，但在再尝试前可经过一段任意时间。例如，假定一个用户将一个付款卡置入POS(例如售货机)中，但是电子硬币从付款卡向POS的转移因某原因被中断，以致付款卡加密了电子硬币，但电子硬币未被复制到POS中并因此保留在付款卡中。在一将来时刻，用户可返回同一POS，并完成交易或得到偿还。但是，假定该被加密的电子硬币已成功地复制到POS中，而在被加密硬币能被从付款卡中删除前该转移协议被中断。在此情况下，如果用户返回到同一POS以恢复处理，在决定点519(图31)上检验并确定电子硬币是否在先已被转移。如果是这样，POS删除已解密的电子硬币(该电子硬币是复制品)并通知付款卡作类似处理。如果该电子硬币未在先前转移，处理被恢复并正常结束。

应当指出，虽然对于本发明的系统内产生复制的电子硬币仍是不能令人满意的，但电子硬币的偶然损失被考虑为可容许的状态。如果因某原因，转移如上述地中断，但POS变为持久地不能对付款卡存取，通常将无法恢复或使用该被加密的电子硬币，并由此使该电子硬币实际丢失。但是，对于POS的发行者可能保持POS中私用密钥的复制品，并借此可能从付款卡中恢复该丢失的电子硬币，如此来考虑这种可能性。

5.可半计数的电子货币系统(图22-24)

如上参考§2.8及图21的统计分析所述的，已表明，低面值的电子硬币(即其面值不允许用于手工重装载钱包的电子硬币)在卡与POS之间及在POS与金融机构之间流通，而对系统级货币流通无纯粹长期影响。货币流通表明它是通过电子纸币(即高面值允许手动重装载的电子硬币)及记账指令的转移发生的。该特性能使本发明系统通过规定“半计数”概念进一步地简化。

“电子便士”将被规定作为具有一EMU(基本货币单位)值的电子货币证券。电子便士(这里为了方便起见，在附图中称为“E-便士”)在其付款能力上类似于基本电子硬币；但是，电子便士无系列号，因此它不能个别地被追踪。它基本上存储在计数装置中，该计数装置对存储其中的电子便士计数。电子便士从源计数装置到目标计数装置的转移涉及在目标计数装置中递增计数值，而在源计数装置中递减计数值。

现在将参照图22来概要地说明本发明的可半计数的实施例。金融机构220包括记账账户220-A及电子纸币池220-B，后者譬如存储每$25的电子硬币，该金融机构允许对付款卡的电子纸币钱包手工装载。一个电子便士池220-P是一个计数装置，用于在其中具有当前存储在金融机构220中的便士(例如1￠的值)数目。POS221包括记账抽屉221-A，用于在其中存储从付款卡接收的记账指令。POS221具有电子现金钱包221-C，后者包括：电子纸币抽屉221-B，用于在其中存储从付款卡接收的$25电子硬币；及电子便士抽屉221-P，它为计数装置并具有当前存储在其中的1￠便士的数目。

付款卡222、223及224代表可共存在该系统中的三种类型。付款卡222包括具有最小记账限值$25的记账卡(记账限值及电子纸币值最好相等，以简化以下图23中程序的操作)。因此，付款卡222、223及224可用于付款值$25或更多；这些付款卡也包括电子便士钱包222-P，它是具有当前的存储在其中的1￠便士数目的计数装置。付款卡223包括电子纸币钱包223-B，用于对其手动装载及从其付$25电子硬币；付款卡223还包括电子便士钱包223-P。付款卡224包括记账卡224-A及具有电子现金钱包224-C，后者包括电子纸币钱包224-B及电子便士钱包224-P。

图23描述图22中实施例的操作，用于以在其钱包中具有$BALANCE的付款卡支付值$SUM，其中$BALANCE是包括在付款卡中的电子纸币钱包及电子便士钱包两者内容之和。在决定点232上，检验电子现金付款的可行性。如果获得了肯定的决定，则在步骤233中，由电子纸币及电子便士中具有支付电子款项可行性的任一种或两种的电子现金支付$SUM(见图13)。在决定点234上，发现了用钱包中的当前电子现金付款是不可行的，因此检验用记账支付，也就是证明付款卡是类型222或224，但不是类型223。如果记账不可行的，则用户被指令用多个电子纸币手工重装载其卡，或否则拒绝付款。在决定点236上，作出通过记账卡付$SUM的决定，或通过记账卡接收$25并以电子便士将$24-$SUM返回到电子便士钱包。

根据上述统计考虑对该程序的分析得到以下结果：

(a)存储在电子便士钱包222-P、223-P或224-P中的电子便士值将是随机数，并均匀分布在零(含)及$25(不含)的范围上；

(b)流入POS221的平均电子便士等于流出POS221的平均电子便士，故对于货币流没有净影响。

用户允许选择三种付款卡：222，用于最大的方便(无重载选择)；223用于无银行账户的用户；及224，用于希望通过包含记账卡224-A得到最大方便，又能在希望隐私地作出购物前用足够量的电子现金手工装载其电子纸币钱包224-B(电子纸币付款是不可跟踪的)。

银行家可能喜欢本实施例，因为对于卡及POS有最小存储量及数据转移需要量。因为存储器的分配仅用于电子纸币的电子硬币的存储(一个计数2500￠的电子便士钱包关系到一个两字节计数器)，并假定存储40或80个$25的电子纸币，以在每卡或POS中分别容纳$1000，或$2000，图24表示在卡上有180字节(241-8)及在每POS中有360字节(241-11)是足够的。但是，如果不是有40个$25的电子纸币，而是卡容纳面值各为$25、$50、$100及$200的各1个电子纸币及二个$400的电子纸币，则卡上对于等同的性能所需的存储量变为仅24字节。

在可半计数概念后面的安全性是基于如前所述的对电子纸币的计数，并监测每个POS及金融机构之间的电子便士处理的统计，及期望一个长周期上的零平均值。任何与零平均值有实质偏差的POS将指示在系统安全性上可能的漏洞。

6、多发行者环境

可能多于一个的金融机构涉及发行的电子现金。在这种情况下，在本发明的同一系统中将保持多个电子硬币池。在此情况下，将对每个金融机构分配多个单独的系列号。当电子硬币要从POS转移到各金融机构时(图21的处理217及218)，它们将根据它们的系列号被送到相应的金融机构。这种选择及发送或是将发生在POS级上，或是中间处理中心级上(未在图21中示出)，它类似于通常使用来对各金融机构发送记账处理指令的技术(图21中219)。

7、卡对卡的转移

卡对卡的转移是任何电子现金系统中需要的特征，以便能个人对个人(例如父母对孩子)转账处理。这种转账处理与现有技术的“可算账”系统相冲突，但可被本发明支持。当两个卡通过处理装置接口连接时(基本类似于钱包对抽屉的接口)，电子硬币转移(每个用其系列号)将根据本发明维持系统的整体性。

但是，应该指出，不同于卡对POS转移处理，那里POS用每面值的足够量电子硬币启动以便能无误地支付任何量，卡对卡的转移处理受到实际存在两卡中的电子硬币的限制；例如，具有当前仅有两个$5电子硬币的图17中卡的父母将只能转给当前存有一个$1电子硬币的其孩子的卡一个款值：$4，$5，$9或$10。

8、匿名及隐私

应当理解，虽然在系统中具有对每个单独的电子硬币的紧密监视，但该监视不涉及跟踪各个卡或卡持有人，因此保留了用户匿名及隐私，这是本发明的一个重要目的。

9、存储在丢失或损坏卡上的值的恢复(图25-26)

参照图16，卡类型165及166允许手工重载电子纸币。实际上，这种手工重装载可达到较大的值，例如$500至$1,000。如果卡被丢失、偷窃或损坏，对卡主人将引起较大损失。根据本发明的一个方面，可通过将电子纸币的系列号装载到付款卡上并当这些电子纸币期满时恢复未使用的电子纸币的值。因此，当放到负载终端、例如一个专用ATM上，用于手工装载时，以终端可接收的任何货币证券支持需装载的电子纸币(现金，任何记账卡等)，作为进一步的可能要求可记录装载的电子纸币的系列号。

图25描述了一个优选实施例(也见图20及相关说明)，其中用户在装载终端譬如通过其信用卡被识别。用户识别数据被传送到涉及每种装载电子纸币的合适电子纸币池，在这里用户ID 257-i对应系列号i被记录，而状态位256-i转变为0，并发信号表示相应电子纸币已从电子纸币池转移到电子纸币钱包。

图26描述了另一优选实施例，其中被装载电子纸币262的系列号与装载日期261一起被装载终端记录在纸条260上；由终端或电子现金池提供确认码263以证实整个纸条的信息。

在期满日期，未使用的电子纸币(即未返回到相应电子纸币池的电子纸币)可被本发明实施例自动识别。在图25的实施例中，每个未使用的系列号为i的电子纸币的原始最后所有权由相应的寄存器257-i来识别；在图26的实施例中，这种原始最后使用权可由示出具有最近装载日期261的纸条260的用户来确定。当接收到对遗失或损坏卡的值的要求时，金融机构可付给用户未使用电子纸币的值。

为增强所考虑情况的安全性，将需要用于任何涉及使用电子纸币的处理的PIN。以此方式，在丢失或被偷卡中的电子纸币仍保持不能使用，因此在期满日期可恢复。

10、一般说明

应当理解，对于付款卡及POS单元，只要提及多个存储装置，本发明将涉及逻辑存储器管理，而不一定是分开的芯片。例如，在付款卡上的单个硬件中容纳记账卡及多个电子硬币钱包。

也应理解，每当描述一个装置(付款卡、POS或金融机构的计算机)以包括分开的单元以执行分开的功能，这种分开也是基本逻辑意义的，实际上由单个微处理机可执行多个或全部功能；并且，在某些情况下，当描述两个装置互相作用以执行相互功能，例如货币从一个装置转移到另一装置时，所述包括在一个装置中的某些单元实际上也可移到另一装置中从那里来执行它们的功能。

加到每个电子硬币系列号上的奇偶位也可考虑为电子硬币的版本及面值，由此增强了系统的安全性及可靠性。

名词“系列号”可广阔释义为包括在电子硬币的任何可记录的、识别它并与其一起移动的数据。也可包含任何相关识别数据、如发行者识别符、发行日期、期满日期等的电子表述。

11、扩展安全监视器

本发明可扩展及扩充，以提供如下的综合电子现金安全方案(参照图21)：

a.每个从银行流向卡的电子纸币210、每个从卡流向POS的电子纸币212及每个从POS流向金融机构的电子纸币212，包括所涉及的经过所有存值装置的处理路径在内均汇报到金融机构的电子纸币池。任何失配易于由从电子池中得到的数据询问。名词“处理路径”是指对具体的电子现金情况从事连续处理的各装置的序列，其中该装置的序列终止于金融机构。名词“处理”，当其参照处理路径使用时，是指共有两个或多个处理路径的任何装置。

b.电子纸币的卡对卡转移仅允许一次转移(或少量的转移)。在此情况下，第一卡的识别符将连接到系列号，并与系列号一起流到电子纸币池，因此维持了完整的处理路径跟踪。

c.在结算链中的每个POS和每个中间计算机(通常，处理信息从POS经由多个中间计算机，如本地、区域计算机等(未示出)流到中央银行)将接收的电子硬币与提供该电子硬币的源装置的识别号一起记录。该数据通常被动地被保存约一个月，然后它的存储空间被清空用于进一步的数据记录。利用该数据的、根据本发明的实施例在下面详细讨论。

d.在结算链中的每个连接维持一个“统计中断”，以测量通过它流通的电子硬币的统计动差值。因为电子硬币流的统计值是可预计的，异常情况(即超过预定的统计阈值)将在操作发生相应统计中断的装置下的所有中间计算机及POS上启动加速更新速率。

e.在电子硬币池中发现的具有超出范围或复制的系列号的任何电子硬币将地自动触发系统询问，其中将对识别为提供电子硬币的每个装置询问以将关于该电子硬币上提供者的信息卸载到识别该付款卡的相应POS。再构成的路径将用于人员询问及干预。这里，名词“无效的电子硬币”是指具有超出范围系列号的或对当前流通中的另一电子硬币已识别的系列号的任何电子硬币。

11.1连续电子硬币采样监视器

应当理解，上述安全方案包括完整的电子纸币的可计算性，并且，在电子硬币级上对通常暂停地、分配的、地区性的、被动的数据采集的组合设有非常警觉的监视器(连续电子硬币采样；统计中断)。当监视器发出警报时，高效的系统询问将识别无效电子硬币的精确处理路径，以便人为干预。以下将描述根据本发明用于检查系统以发现无效电子硬币的存在及来源的方法。该方法的检查也可用于跟踪任何电子现金的源，包括电子纸币，但仅针对电子硬币作出说明。

在某些时间周期中，发生着多个涉及使用电子硬币的处理。希望能检测到在该时间周期中是否有任何在流通中的电子硬币被复制或是在范围以外，如果是这样，这些无效电子硬币的源在哪里。虽然代表未批准产生的值的复制的或范围外的电子硬币是在本发明的系统中不允许的，但一个偶然的无效电子硬币不是报警的理由，因为电子硬币的值很低，足以限制出现这种伪电子硬币的危险。此外，因为根据本发明电子硬币的版本具有有限的寿命，在规定期限无效电子硬币将会自动从流通中排除。另外，预先考虑到，由于损失(例如遗失或付款卡损坏)引起的电子硬币的损耗量总是超过通过自然随机处理(例如常规数据误差)而产生的无效电子硬币。但是伪造的电子硬币是由侵袭者故意制造以欺骗系统的无效电子硬币，因此对系统的完整性产生威胁。如果真的出现了伪造电子硬币，其出现将不只是偶然性的，因此重要的是，能够追踪伪电子硬币到其源头。这里“虚假电子硬币”一词将用来指以伪造电子硬币出现，但还未被考察确认为伪造电子硬币的无效电子硬币。因此，根据本发明连续电子硬币采样监视器的目的如下：

1、确定是否有虚假电子硬币在流通；

2、如果没有虚假电子硬币在流通，对此进行确认并由此建立系统完整性的置信度；

3、如果有虚假电子硬币在流通，确定是否严重，确有必要进一步考察；及

4、如果虚假电子硬币的出现有必要进一步考察，则提供直接导致虚假电子硬币源头的信息。

连续电子硬币采样监视器必须能有效地工作及在所有时间上启动，且不能将过大的数据处理负担强加于系统。这就是，连续电子硬币采样监视器应在背景上观察不出地操作。该目的由本发明来实现，在下面描述一个例子，它涉及以已由同一付款卡在流通中投入两项的无效电子硬币形式出现的虚假电子硬币。

首先应指出，使用一个付款卡不止一次地支付同一电子硬币原本没有什么错误。因为根据本发明的电子硬币在流通，可以预料，一个付款卡将会偶然地接收到包括一个先前被同一付款卡付出的电子硬币的找钱。但是，引起了一个问题，当一个付款卡(或另外装置)付出了一个电子硬币，而该电子硬币当前又在系统另外地方流通时，这就代表一个值的复制。根据本发明在电子硬币池处检测该无效电子硬币的方法是既有效又经济的，并还能识别源或复制电子硬币的源。该方法也可用来检测范围以外的电子硬币的源。

本发明的用于检测重复的电子硬币的一个优选实施例表示在图32中，现在将参照它来说明。付款卡600、610、620、630及640分别支付电子硬币680、682、684、686及688。但是，付款卡600支持电子硬币680不止一次，因此电子硬币680作为重复的电子硬币出现。例如，付款卡600可能损坏，或被侵袭者破坏以产生并支付伪造的电子硬币。在任何情况下，电子硬币680是在POS650上支付的，并在相同的总时间周期期间也在POS660上支付。(在图32中付款卡600及电子硬币680被加重地表示，以便更易于区别它们)。对于该例子，假定电子硬币680是伪造电子硬币，而非偶然由于自然随机处理、如数据误差引起的无效电子硬币。但是，设有彻底调查，不能绝对地确定电子硬币680是一个有意的伪造。因此对于此例电子硬币680被称为虚假电子硬币。

POS650保持接收的电子现金文件655，及POS660保持接收的电子现金文件665。如图33中所示及如下详细所述，接收的电子现金文件包括在具体时间周期过程中由装置接收的每项电子现金的记录。具体地，接收的电子现金文件660及接收的电子现金文件665包括在该时间周期中POS接收的每个电子硬币的系列号以及提供电子硬币的转移装置的识别码，在该情况下转移装置为付款卡。如前指出的，该数据被POS被动地保持有限时间。对于这些处理记录分配了一定量的存储器，一旦这些存储器存满，新的处理记录系统地取代相应于具有最早处理日期的处理的处理记录。保留一个具体的接收电子现金文件的时间值可通过增加在POS中用于接收电子现金文件所设置的存储器来增加，并将足以将该具体处理记录保持得足够长，以使得该转移的电子硬币将流回金融机构，用于统计检证，如下所述。通常，一个接收电子现金文件包括具有电子现金识别区的处理记录，该识别区相应于任何形式的接收电子现金，如电子纸币及电子硬币。通常，接收电子现金文件也包括具有转移装置识别区的处理记录，该识别区包括用于转移电子现金的装置的识别码。转移装置包括(但不限于)付款卡、销售点及如下所述的中间存值装置。

再回到图32，在POS650及POS660上起始处理的后面是增加了根据本发明的混合及刷新处理的常规流通处理，它引起电子硬币680、682、684、686及688从POS650及POS660通过在金融机构670及POS650和POS660之间可选的一个或多个中间存值装置到达金融机构670。中间存值装置包括：计算机、服务器及用于选择或从一个装置向另一装置转移电子现金的专用装置。某些通用的中间存值装置(以下简称为“中间装置”)，在图32上表示为中间装置652及中间装置662，及省略号(…)表示在此链中选择的附加中间装置。中间装置652保持接收的电子现金文件657及中间装置662保持接收的电子现金文件667。因为在具体时间间隔中(即使在不同的POS终端上)电子硬币680被使用两次，这两个重复的电子硬币680随后在重叠时间中在金融机构670中被发现的概率很高。在电子硬币池被更新时，该重复的出现将立即被金融机构670检测出来，因为电子硬币池中硬币的出现是由设置相应于电子硬币680的系列号的位指示的。金融机构670保持接收的电子现金文件675，其中列出了提供电子硬币给金融机构670的转移装置(例如销售点或中间装置)的识别码及每个电子硬币。通常，转移装置可为适于将电子现金转移到接收装置的任何装置，包括付款卡、销售点及中间装置。

图33表示接收电子现金文件675、接收电子现金文件665及接收电子现金文件655的细节。为简明起见，图33表示电子硬币直接从POS650及POS660转移到金融机构670(图32)的链，而无中间装置、如装置652及662(图32)。因此，接收电子现金文件675表示出：POS650及POS660为金融机构670从其接收所述电子硬币的装置。但是，这里所示方法是通用的并能有效地工作，不管在POS与金融机构之间的链中具有怎样的装置(如果有的话)。该方法对于一般的情况表示在图35的流程图中，以下将详细描述。再回到图33，处理记录675-1具有规定处理日期、电子硬币系列号及值，和从那里接收电子硬币的装置的区。当金融机构670(图32)检测到电子硬币池中重复的电子硬币680时，接收电子现金文件675被咨询以确定电子硬币680的直接源(图33)。可以看出，处理记录675-1及另一处理记录675-2均表示电子硬币680的到达。处理记录675-1表示来自POS650的第一个重复的电子硬币680，及处理记录675-2表示来自POS660的第二个重复的电子硬币680。在该点上，POS650被询问，以从接收电子现金文件655中获得选择数据，及POS660被询问以从接收电子现金文件665获得选择数据。在这两种情况中，选择数据由来自于各接收电子现金文件的相关记录组成，如图33的例子所示。接着可看到，电子现金文件655包括处理记录655-1，它表示第一个重复的电子硬币680来源于付款卡600；及接收电子硬币文件665包括处理记录665-1，它表示第二个重复的电子硬币680也来源于付款卡600。在此点上，重复电子硬币源已被正确指出及相关信息可被报告并用于进一步调查—如果有理的话。

以上述方式，可快速且经济地确定出虚假电子硬币的来源。应指出，该方法不需要存储及预保留大量涉及处理的存档数据，而仅存储适当数量的涉及较近处理的数据。此外，该数据在系统中分配，而不需集中，并可由已存在系统中的装置以可忽略的成本获得并保持。此外，除非需要这样做，不需对处理数据进行分析，甚至在有需要但分析相当简单时也是如此。因此，根据本发明，处理数据的保持及需要的分析不会对系统造成过分的负担，而是直接对有必要关心的任何状态负责。

在图34及图35中表示出一个通用程序，用于获得关于到达金融机构电子硬币池的虚假电子硬币的源的信息。该方法表示用来定位虚假电子硬币的来源并也可用来定位真实电子硬币的源。如前指出的，在电子硬币池中的电子硬币被表示为系列号矢量中的设置位，因此如果重复电子硬币或范围外的硬币达到电子硬币池时，将使用可忽略的处理立即检测出来，而不需要任何数据搜索或比较。关于进入虚假电子硬币的该报告在图34中用决定点700表示，如果没有检测出虚假电子硬币则闭环自返回。如果检测虚假电子硬币，则在步骤710中从电子硬币池的接收电子硬币的接收电子现金文件中检索出用于该电子硬币的处理记录。其后是一个环路，它起源于环路起点720及结束于环路终点740，该环路包括步骤730，其中将相应于每个检索记录的处理路径加到处理路径表中。当环路结束点740达到在步骤710上检索的记录中的最后记录时，退出该环路，及在步骤750中处理该处理路径表，以找出处理路径的交叉点。最好，报告输出程序760发出一个报告，用于在必要时从事调查的人员使用。

获得电子硬币池中电子硬币处理路径的递归方法表示在图35的流程图中。该方法在步骤800上通过对金融机构的电子硬币池设置当前装置来开始。接着，在步骤810中，获得当前装置的接收电子硬币的接收电子现金文件。在该递归方法开始时，这意味着将获得电子硬币池的接收电子硬币的接收电子硬币现金文件。但是，在回归处理中，当前装置将改变。然后，所属电子硬币(其处理路径是所需的电子硬币)的系列号作为数据820输入，及在步骤830上，获得先前处理所属电子硬币的装置，及在步骤840上，将该在先装置加到处理路径中。在决定点860上，确定该在先装置是否具有接收电子硬币的接收电子现金文件。如果在先装置不具有接收电子硬币的接收电子现金文件(例如，付款卡不保持接收电子硬币的接收电子现金文件)，该方法将结束并输出处理路径870。但是，如果在先装置具有接收电子硬币的接收电子现金文件，则在步骤850上对在先装置设置当前装置及环路返回步骤810。

因此，通常根据本发明的定位虚伪电子硬币源的方法是搜集多个虚假电子硬币的处理路径及检验与同一装置或多个装置交叉的处理路径。在这些交叉点上或其附近出现的装置可能是虚假电子硬币的源并应进一步调查。

应该指出，人工调查终究是需要的，因为当处理虚假电子硬币时可能具有各种不同的电子硬币跟踪情况，由上述获得的自动信息其本身可能不是确定的，但仅提供了虚假电子硬币源的线索。例如，可以想象，POS650(图32)可能具有作为找钱发送给另一付款卡605(未示出)的电子硬币680，而非将电子硬币680发送给金融机构670，及付款卡605可能具有随后在POS652上支付的电子硬币680(未示出)，然后该POS652将电子硬币680发送到金融机构670。在此情况下，在金融机构670上将未记录：POS650曾涉及电子硬币680的处理路径。当金融机构670跟踪电子硬币680的路径到原始源头时，该结果仅表明：付款卡600在POS660上支付了重复电子硬币中一个及付款卡605在POS652上支付了重复电子硬币中的另一个。但这对于将付款卡600作为两重复电子硬币的源识别不是充分的信息。但是，如果一个付款卡是大量虚假电子硬币的源，则该付款卡将出现在涉及虚假电子硬币的大量统计处理路径中，并因此能检测出来。

也应指出，当跟踪虚假电子硬币源时付款卡不是唯一的怀疑对象。如果譬如一个POS被一个不正当的商人作了一些手脚，它也可能是虚假电子硬币的源。在此情况下，可预计POS将发出它的虚假电子硬币作为找钱，而不将其直接发送到金融机构。以此方式，该虚假电子硬币在进入金融机构并被检测前将被一个未知顾客用在各个其它(非作假的)POS装置上。其结果将是，产生并发送虚假电子硬币的作假POS不会出现在任何处理路径中。而是可预计，将具有一组位于作假POS附近的虚假电子硬币的处理路径。为了揭开作假POS的识别码，必需进行人工调查，以基于处理路径推导出各付款卡之间的连接。该连接可能是作假的POS，而自动化工具将会辅助该调查，对指导该调查，人为干预也是必需的。

12、由商家处理的集合

图21描述单个POS、卡及金融机构之间的关系，表明如何用记帐及电子纸币得到收入，而电子硬币通过付款、找钱、调节及更新流通并具有零平均值的效果，可以理解，一个操作多个POS单元(例如一个超市)的商家可能实际将相同功能的各个POS抽屉(例如见图17中的172)联合成单个商家级抽屉，以作为在单个POS中维持相似统计特性的抽屉。因此图21也代表一种情况，其中“POS”框被真实代表电子纸币，记帐及电子硬币通过联合的多个POS流通的“MERCHANT”框代替。

13、中央电子硬币发行者及多个电子纸币发行者

如图21中所展示的，收入实际是用电子纸币及记帐指令进行的，而电子硬币以“零”净平均值流通在卡与POS之间及POS与金融机构之间。因此，电子硬币的功能主要在技术上变为用大值记帐及电子纸币能付小款。在某些系统中，最好是由单个源如系统操作者或调度者发行小值电子硬币，而由多个发行者发行并结算电子纸币，因此，小值电子硬币将起源于并流经单个电子硬币池，用于调节及更新，而电子纸币将从发行者购得并装载在电子钱包中，后者从销售点指向各发行者池，用于结算。

14、电子便士版本

图22-24中引入了电子便士，它们实际上是EMU值单元的计数器，应该指出，如果发行一个新版本(上述§3及图19-20)，将也发行新的电子便士。新的及旧的电子便士将被存储及分别在所有存值装置的分开部分之间分开地移动(类似于图19及20)，最好将旧的电子便士(通过付款、找钱、调节及更新)移向池，及将新的电子便士移向钱包，以有效地将旧的电子便士从系统中排除。旧的电子便士将被收集在电子便士池的“旧”格中，并在期满目前，以1 EMU的精度对它们计数，以有效地确认该付款系统的安全性及完整性。但是，应当指出，该方法使用电子便士的精度比使用电子硬币的精度小，因为未被使用的电子便士可能不被注意地补尝了伪造的电子便士。

对于本领域的熟练技术人员将会理解，本发明不被限制在以上图示及说明的内容上，而本发明的范围仅由以下的权利书限定。

Claims (27)

1、一种可计数的电子货币系统，用于转移基本货币单位整数倍值的电子货币，该电子货币的转移可在从多个付款卡、多个销售点及多个金融机构中选择的两个之间进行，该可计数的电子货币系统包括：

a.至少一种电子硬币类型，所述至少一种电子硬币类型中每种电子硬币类型具有基本货币单位的整数倍面值；

b.多个电子硬币，每个属于所述至少一种电子硬币类型中的一种，所述多个电子硬币中每个电子硬币具有一个系列号；

c.多个存值装置，每个用于存储所述多个电子硬币中的电子硬币，该存储装置包括：

i.多个电子硬币钱包，每个包括在多个付款卡中的一个付款卡内；

ii.多个电子硬币抽屉，每个包括在多个销售点中的一个销售点内；及

iii.多个电子硬币池，每个包括在多个金融机构中的一个金融机构内；及

d.处理装置，用于将属于可选择电子硬币类型的可选择数目的电子硬币由从所述多个存值装置中选出的源存值装置传送到另一个从所述多个存储装置中选出的目标存值装置，所述处理装置的操作是在所述目标存值装置中记录每一个所述可选择数目的电子硬币的系列号及从所述源存值装置中删除所述系列号。

2、根据权利要求1的系统，其中所述至少一个电子硬币类型中的一种是具有一个所述基本货币单位面值的基本电子硬币类型。

3、根据权利要求1的系统，其中所述处理装置包括：

a.付款处理装置，其中所述源存值装置是一个电子硬币钱包及所述目标存值装置是一个电子硬币抽屉；及

b.找钱处理装置，其中所述源存源装置是一个电子硬币抽屉及所述目标存值装置是一个电子硬币钱包。

4、根据权利要求1的系统，其中所述至少一个电子硬币类型是多个不同面值的电子硬币类型。

5、根据权利要求4的系统，其中所述处理装置包括处理选择装置，它在接收到待付款的值及在选出的销售点与选出的付款卡接口连接时，根据属于存储在选出的付款卡的电子硬币钱包中的所述多个电子硬币类型中的每种的电子硬币值，对于所述多个硬币类型的每个电子硬币类型自动地选择：

a.从所述电子硬币类型中自动地选择第一组非负值数目的电子硬币，以待从所选择出的付款卡的电子硬币钱包传送到所述选出的销售点的电子硬币抽屉；及

b.从所述电子硬币类型中自动地选择第二组非负值数目的电子硬币，以待从所选择出的销售点的电子硬币抽屉传送到所述选出的付款卡的电子硬币钱包。

6.根据权利要求1的系统，还包括：

a.至少一个记帐卡，它包括在多个付款卡的一个中；

b.至少一个记帐抽屉，它包括在多个销售点中的一个中；及

c.至少一个对应于所述至少一个记帐卡的，并包括在多个金融机构的一个中的帐户；

d.及其中所述处理装置包括：

i.付款处理装置，用于从电子硬币钱包向电子硬币抽屉传送电子硬币；

ii.找钱处理装置，用于从电子硬币抽屉向电子硬币钱包传送电子硬币；

iii.记帐处理装置，用于从一个帐户通过相应的记帐卡支付；及

iv.处理选择装置，用于当接收到待付款值及在选出的销售点与选出的包括记帐卡及电子硬币钱包的付款卡接口连接时，根据储存在所述的电子硬币钱包中的电子硬币来自动地选择；

a)待通过记帐卡支付的非负值；

b)第一组非负值数目的电子硬币，以待从所述选出的付款卡的电子硬币钱包传送到所述选出的销售点的电子硬币抽屉；及

c)第二组非负值数目的电子硬币，以待从所述选出的销售点的电子硬币抽屉传送到所述选出的付款卡的电子硬币钱包。

7、根据权利要求1的系统，还具有至少两个版本，及其中：

对所述多个电子硬币中的每个分配一个从所述两个版本中选出的一个版本；

所述多个存值装置中的每个用于根据分配给它们的版本分离电子硬币；及

所述处理装置用于相对第二可选择版本的电子硬币传送建立第一可选择版本的电子硬币传送的优先权。

8、根据权利要求1的系统，其中所述处理装置还当从存值装置转移电子硬币时，根据预定的采集准则来采集被传送的电子硬币。

9、根据权利要求1的系统，对于所述至少一个电子硬币类型中的每个还具有：

a.对于属于所述至少一种电子硬币类型的电子硬币的任何系列号预定数目的允许重复；及

b.所述多个电子硬币池中至少一个具有安全装置以对属于所述电子硬币类型并存储在所述的电子硬币池中的电子硬币的每个所述系列号的重复数目计数，及对超过所述预定数目允许重复的重复进行识别及汇报。

10、根据权利要求1的系统，其中所述多个电子硬币池至少为两个电子硬币池，及其中，对于从所述至少两个电子硬币池的所述至少一种电子硬币类型中选出的电子硬币类型分配属于所述选出电子硬币类型的不同系列号组。

11、根据权利要求1的系统，其中多个销售点的至少一个包括：

a.用于建立及存储接收的电子现金文件的装置，所述接收电子现金文件包括这样的记录，该记录包括对于从付款卡接收的电子现金的每种情况的电子现金识别区及用于所述付款卡的转移装置识别区；及

b.用于从所述接收电子现金文件检索并发送数据的装置。

12、根据权利要求1的系统，其中多个金融机构中的至少一个包括：

a.用于建立及存储接收的电子现金文件的装置，所述接收电子现金文件包括这样的记录，该记录包括对于从转移装置接收的电子现金的每种情况的电子现金识别区及用于所述转移装置的转移装置识别区；及

b.用于从所述接收电子现金文件检索并发送数据的装置。

13、根据权利要求12的系统，其中多个金融机构中的至少一个还包括从来自转移装置的接收电子现金文件请求、存储及发送数据的装置。

14、根据权利要求1的系统，还包括至少一个中间装置，所述至少一个中间装置用于接收、存储及转移电子现金。

15、根据权利要求14的系统，其中所述至少一个中间装置包括：

a.用于建立及存储接收的电子现金文件的装置，所述接收电子现金文件包括这样的记录，该记录包括对于从转移装置接收的电子现金的每种情况的电子现金识别区及用于所述转移装置的转移装置识别区；及

b.用于从所述接收电子现金文件检索并发送数据的装置。

16、根据权利要求15的系统，其中所述至少一个中间装置还包括从来自转移装置的接收电子现金文件请求、存储及发送数据的装置。

17、根据权利要求1的系统还包括不具有系列号的电子便士。

18、一种用于在一个货币系统中建立、存储及转移基本货币单位整数倍的电子货币值的方法，该货币系统具有多个存值装置以在其中以电子方式存储货币值，所述多个存值装置包括多个具有电子硬币钱包的付款卡，多个具有电子硬币抽屉的销售点，及至少一个金融机构的电子硬币池，所述方法包括以下步骤：

确定至少一种电子硬币类型，每种具有基本货币位的整数倍面值；

对于所述至少一种电子硬币类型的每种产生可选择的多个电子硬币，每一个具有所述电子硬币类型的面值及一系列号；

在所述多个存值装置的每个中存入一组非负值数目的电子硬币，存放在该存储装置中的每个电子硬币的系列号被写入该存储装置；及

通过从所述多个存值装置中选出的源存值装置向从所述多个存值装置中选出的目标存值装置转移可选择电子硬币类型的可选择电子硬币，和将每个所述可选择电子硬币系列号写入所述目标存值装置及从所述源存值装置删除所述系列号，来执行处理。

19、根据权利要求18的方法，其中所述至少一种电子硬币类型中的一个是具有一个基本货币单位面值的基本电子硬币类型。

20、根据权利要求18的方法，其中所述执行处理包括：

执行付款处理，其中所述源存值装置是一个钱包及所述目标存值装置是一个抽屉；及

执行找钱处理，其中所述源存值装置是一个抽屉及所述目标存值装置是一个钱包。

21、根据权利要求18的方法，其中所述至少一种电子硬币类型是不同面值的多种电子硬币类型。

22、根据权利要求21的方法，其中在接收到待付款的值及在选出的抽屉与选出的钱包接口连接时，根据属于存储在所述钱包中的所述多个电子硬币类型的每种的电子硬币值，所述执行处理还包括对于所述多个电子硬币类型的每种电子硬币类型自动计算及选择的步骤：

从所述电子硬币类型中自动地选择第一组非负值数目的电子硬币，以待从所述选出的付款卡的电子硬币钱包传送到所述选出的销售点的电子硬币抽屉；及

从所述电子硬币类型中自动地选择第二组非负值数目的电子硬币，以待从所述选出的销售点的电子硬币抽屉传送到所述选出的付款卡的电子硬币钱包。

23、根据权利要求18的方法，其中该货币系统还包括至少一个具有记帐卡的付款卡及至少一个具有记帐抽屉的销售点，该方法还包括以下步骤：

自动地选择一个待由付款卡的记帐卡支付的非负值，所述非负值根据付款卡电子硬币钱包中的电子硬币来选择；

从所述电子硬币类型中自动选择第一组非负值数目的电子硬币，以待从付款卡的电子硬币钱包传送到销售点电子硬币抽屉，所述第一组非负值数目的电子硬币是对每个电子硬币类型及根据电子硬币钱包中的电子硬币选择的；及

从所述电子硬币类型中自动选择第二组非负值数目的电子硬币，以待从销售点的电子硬币抽屉传送到付款卡电子硬币钱包，所述第二组非负值数目的电子硬币是对每个电子硬币类型及根据电子硬币钱包中的电子硬币选择的。

24、根据权利要求18的方法，还包括以下步骤：

确定至少两个版本；

将从所述至少两个版本中选出的一个版本指定给每个电子硬币；及

相对于第二可选择版本的电子硬币转移建立第一可选择版本的电子硬币转移的优先权。

25、根据权利要求18的方法，其中所述执行处理还包括根据预定的采集准则来采集被转移的电子硬币。

26、根据权利要求18的方法，还包括以下步骤：

对于所述至少一种电子硬币类型中的每一种，对于属于该电子硬币类型的任何电子硬币系列号规定预定数目的允许重复；及

对于所述至少一个池中的一个池内的每个电子硬币类型，对属于所述电子硬币类型并存储在所述池中的电子硬币的每个所述系列号的重复数目计数，并识别及汇报这样的系列号，该系列号的重复超过所述预定数目的允许重复。

27、根据权利要求18的方法，其中所述至少一个池为至少二个池，对于从所述至少一种电子硬币类型中选出的电子硬币类型，还包括以下步骤：

对所述至少二个池的每个分配属于所述选出电子硬币类型的电子硬币系列号的不同组；及

当执行所述执行处理以将属于所述选出的电子硬币类型的电子硬币转移到池中时，对于每个转移的电子硬币根据转移电子硬币的系列号所属的所述不同组的分配选择一个池。

Images