JP2005512234A6 - 顧客中心コンテキストアウェア切換モデル - Google Patents

Abstract

ウェブサイト等の異なるアクセスポイント間で使用可能にされるコンテキストアウェア切換モデルのためのシステム及び方法を開示する。本発明により、ユーザは、例えば冗長な入力作業等のユーザによる操作を必要とすることなく、現在のウェブサイトから他のウェブサイトに自動的に且つ安全に移動できる。他の実施例においては、本発明は、１つのアプリケーションから他のアプリケーションへの切換に利用できる。また、本発明はコンテキストに応じた情報（context sensitive information）を収集し、このコンテキストに応じた情報を他のロケーションに渡すことができる。一実施例においては、安全な商取引、自動的なフィールドの収集、デジタル権利管理、管理コンテンツアクセス等に本発明を適用することもできる。一実施例においては、コンテキストデータは、商取引装置（８１０）によって捕捉され、ストレージ装置に保存され、このストレージ装置からリモートロケーション（８２０）に配信される。

Description

電子商取引（electronic commerce）が広く実用化されている。電子商取引は、インターネット上で、ポイントオブセール（ＰＯＳ）システム又は銀行システムによって毎日行われている。そのような電子商取引は、一般的に、ある情報にアクセスしようとしている個人が認証され、例えばその個人の金融、医療、他の種類の機密的な記録等のプライベート情報（private information）にアクセスされた後に行われる。現在のシステムは、ユーザのクレジットカード、デビットカード及び口座番号の保全性を確保するように設計されている。しかしながら、成りすまし犯（potential thief）による許可されていないアクセスを防ぐための、確実なユーザ認証を保証する対策は取られていない。

現在のアプリケーションは、成りすまし犯が比較的容易に盗用することができる情報に基づいて、機密情報（sensitive information）へのアクセスを与えている。例えば、機密資料へのアクセスを許可するために必要な情報として用いられてる個人の社会保障番号（Social Security Number）、誕生日、母親の旧姓等の幾つかの情報は、第三者でも容易に知ることができる。成りすまし犯がこのような情報の２つを一旦入手すると、個人のファイナンス情報、診療情報又は他の個人情報にアクセスすることができてしまう。更に、最も安全なアクセス方式でも、適切なパスワード及び／又は秘密の質問に対する正しい回答が入力されると、個人のファイル全体が閲覧できる状態となるよう設定されている。したがって、成りすまし犯が例えば個人の識別情報（identity）を盗用すると、その個人の信用が損なわれてしまう。

更に、インターネット以外の分野での従来のデジタル権利管理（digital rights management：以下、ＤＲＭという。）は複雑であり、インターネット対応のデジタルコンテンツＤＲＭはより複雑である。現在のＤＲＭ処理（DRM activities）は、多くの場合、販売後の及び納品後の（post-sales and post-fulfillment ）ＤＲＭに関し、支払決済に関する。ＤＲＭを販売後及び納品後に遅らせることにより、販売業者は、詐欺や資金不足に陥りやすい。

更に、ユーザが異なるウェブサイトに移動すると、ユーザ情報は、現在のウェブサイトと先のウェブサイトとの間に予め何らかの設定がなされていない限り、ユーザの情報は現在のウェブサイトに転送されない。

ウェブサイト等の異なるアクセスポイント間で使用可能にされるコンテキストアウェア切換モデルのためのシステム及び方法を開示する。本発明により、ユーザは、例えば冗長な入力作業等のユーザによる操作を必要とすることなく、現在のウェブサイトから他のウェブサイトに自動的に且つ安全に移動できる。また、他の実施例において、本発明は、１つのアプリケーションから他のアプリケーションへの切換に利用できる。また、本発明では、コンテキストに応じた情報（context sensitive information）を収集し、このコンテキストに応じた情報を他の場所に渡すことができる。一実施例において、本発明は、安全な商取引、自動的なフィールドの収集、デジタル権利管理、管理コンテンツアクセスの制御等に関連して用いられる。一実施例においては、コンテキストデータは、商取引装置によって集められ、ストレージ装置に保存され、このストレージ装置からリモートロケーションに配信される。

以下の説明においては、本発明の内容が完全に理解されるように、多数の詳細事項を記載して説明する。なお、以下に示す詳細事項が本発明を実施するために必ずしも必要でないことは、当業者にとって明らかである。また、よく知られた電気的構成及び電気回路は、本発明を不必要に曖昧にしないようにブロック図で示す。

以下では、例えばウェブサイト等の異なるアクセスポイント間で使用可能なコンテキストアウェア切換モデル（context-aware switching model）に関する装置及び方法について説明する。本発明により、ユーザは、後述するように、例えば情報の重複した入力等のユーザの介在なしに、現在のウェブサイトから他のウェブサイトに自動的且つ安全に移動することができる。他の実施例では、本発明により、あるアプリケーションから他のアプリケーションへの切換が可能となる。更に、本発明は、コンテキストに応じた情報（context sensitive information）を収集し、このコンテキストに応じた情報を他の場所（location）に渡すことができる。一実施例において、本発明は、安全性が保証された相互取引（secured transaction exchange）、自動的なフィールドの収集（automatic population of fields）、デジタル権利管理（digital rights management）、管理コンテンツアクセス（controlled content access）等に関連して用いられる。

ユーザの識別情報の安全性は、様々な方法で確保される。一実施例においては、単一の信頼された機関（trusted location）がこれを行う。例えば、取引秘密決済機関（transaction privacy clearing house：以下、ＴＰＣＨという。）は、ユーザデータを保持する。ユーザは、ユーザの個人用商取引装置を用いてこのＴＰＣＨに接続する。したがって、ユーザは、いかなる製品ベンダのウェブサイトにおいても、オンラインで電子購入フォームに記入することはない。ＴＰＣＨは、金融取引仲介代理人の働きをし、商取引からユーザ識別情報を取り除く。この結果、ユーザのプライベート情報は、インターネット及び民間事業ネットワークの中の複数のデータベースに格納されることはない。財務データ（financial data）が保管された安全な場所は、ハッカー（hacker）がデータにアクセスする可能性、或いはデータが偶発的に公表（release）される可能性を最小限にする。

図１は、例えば電子商取引（electronic commerce）で用いられる安全な商取引システムの具体的構成を簡易的に示すブロック図である。この実施例では、図１に示すように、取引秘密決済機関（ＴＰＣＨ）１１５は、ユーザ（消費者）１４０及びベンダ１２５に接続されている。

この特定の実施例では、例えば、プライバシカード（privacy card）１０５又は電子財布（digital wallet）１５０に接続されたプライバシカード１０５等である個人用商取引装置（personal transaction device：以下、ＰＴＤという。）１７０を用いて、ユーザの取引を実現しながら、ユーザのプライバシを保護している。ＰＴＤ１７０は、プライバシカード、電子財布、ポイントオブセール（point of sale：以下、ＰＯＳともいう。）端末装置、ラップトップコンピュータ、デスクトップコンピュータ、携帯情報端末（personal digital assistant：ＰＤＡ）、又はユーザ１４０によって制御される他のいかなる装置であってもよい。

個人用商取引装置１７０は、情報を交換するためのインタフェースをユーザに提供する。この情報の交換には、次のものに限定されるものではないが、ＰＴＤ１７０からユーザ１４０にオーディオ及び／又はビジュアルコンテンツ、命令、要求等を供給する処理が含まれる。更に、この情報の交換は、以下に限定されるものではないが、認証されたユーザ１４０からＰＴＤ１７０に命令、支払の許可、認証等を送信する処理であってもよい。一実施例においては、ＰＴＤ１７０は、標準的なクレジットカードに似た構成を有している。詳しくは、ＰＴＤ１７０は、標準的なクレジットカードと同様な機能を有する磁気ストライプ（magnetic stripe）を有していてもよい。更に、ＰＴＤ１７０は、後述する電子財布、ＰＯＳ端末装置、パーソナルコンピュータ、デジタルテレビジョン等の他の機器と選択的に通信を行うための無線データ通信、データストレージ及び通信プロトコルを有していてもよい。

一実施例においては、ＰＴＤ１７０は、埋込コンテンツ（embedded content）を受信するように構成されている。埋込コンテンツは、データ情報と、データ情報に関連した様々なパラメータを含むヘッダ情報とを含んでいる。

一実施例においては、個人用商取引装置１７０は、個人用商取引装置１７０のユーザに関連する個々のアカウントによって受信されるコンテンツ及び／又は取引へのアクセスを管理及び制御するよう構成されている。

他の実施例においては、アカウントの管理及びコンテンツへのアクセスの制御は、ＰＴＤ１７０を介して行われる。ＰＴＤ１７０は、特定のアカウントと、様々なレベルのコンテンツアクセス権とを関連付け、アカウント管理のためにアカウントを適切にグループ化する。

一実施例においては、ＰＴＤ１７０は、コンテキスト情報（contextual information）を自動的に処理し、この情報を適切なパーティと共有するように構成されている。

更に他の実施例では、個人用商取引装置１７０は、取引秘密決済機関１１５に無制限にアクセスすることのできるいかなる装置であってもよい。一実施例において、個人用商取引装置１７０は、例えばカードの一方の面全体を覆う画面を有する。或いは、個人用商取引装置１７０が具体的にはプライバシカードである一実施例においては、プライバシカード１０５は、例えば画面を有する装置、例えばここに示す電子財布１５０に接続されている。一実施例において、画面は例えばタッチセンサ機能を備えていてもよく、データ出力だけではなく、データ入力にも用いられる。一実施例において、例えば、指紋認識装置又は他の機構のようなユーザ認証機構は、プライバシカード１０５の中に直接組み込まれている。更に、プライバシカード１０５は、例えば入出力を行う無線通信機構を有していてもよい。

ここでは、様々なユーザインタフェースを用いることができる。一実施例において、入力装置をＰＴＤ１７０に組み込んでもよい。また、これに代えて又はこれに加えて、入力装置をＰＴＤ１７０に接続してもよい。一実施例として、入力装置を、プライバシカード１０５に接続された電子財布１５０上に設けてもよい。また、ユーザ入力装置を、個人用ＰＯＳ端末装置を含むＰＯＳ端末装置に設けてもよい。

個人用商取引装置１７０の情報は、取引秘密決済機関１１５に送られ、取引秘密決済機関１１５は、ベンダ１２５及びユーザ１４０にこれから行われる取引の承認を示す。個人用商取引装置１７０は、個人用商取引装置１７０の識別情報及び商取引を行うエンティティ（entity）、すなわち実体のアイデンティティ（identity）を利用することによって、識別情報を利用したユーザのアイデンティティの秘密を守る。したがって、全ての商取引は、ベンダ１２５の観点からは、個人用商取引装置１７０で行われる。

ユーザ１４０のアイデンティティの秘密を守るために、個人用商取引装置１７０の識別情報には、ユーザ１４０の識別情報は含まれていない。したがって、ベンダ１２５又は他のエンティティは、ユーザ１４０の情報を有するのではなく、個人用商取引装置１７０の情報を有する。取引秘密決済機関１１５は、個人用商取引装置１７０の情報及びユーザ１４０の情報のデータベースを安全に守る。一実施例において、取引秘密決済機関１１５は、少なくとも１つの会計処理システム１２０に接続しており、会計処理システム１２０は、例えば取引を実行するのに十分な資金があるかを確認し、関連した金融取引を実行するとともに、ベンダ１２５に、取引を完了するために必要な料金を送金する。更に、ＴＰＣＨ１１５は、一実施例において、購入された製品をユーザに提供することができる配送システム（distribution system）１３０に必要な情報を提供することができ、ここでも、ベンダ１２５は、ユーザ１４０の識別情報を知ることはない。変形例として、会計処理システム１２０は、独立したエンティティである必要はなく、他の機構に組み込まれていてもよい。例えば、一実施例において、会計処理システム１２０は、取引秘密決済機関１１５の機構と統合されていてもよい。

一実施例において、会計処理システム（ＦＰ）１２０は、各商取引において、ユーザのアカウントとベンダのアカウント間で資金を移動する業務を行う。一実施例において、取引秘密決済機関１１５が存在することによって、商取引額及び他の基本情報以外の商取引に関する詳細が会計処理システム１２０に知られることはない。取引秘密決済機関１１５は、非常に安全なチャネルを介し、ユーザ１４０に代わって会計処理システム１２０の機能に取引認可を匿名で発行する。会計処理システム１２０は、従来の会計処理システムと異なり、資金移動の要求を受信するために多くの電子チャネルを必要とすることはない。一実施例において、この非常に安全なチャネルは、取引秘密決済機関１１５と会計処理システム１２０間に設定されている。このことによって、会計処理システム１２０は、スプーフィング（spoofing）による被害を受けるということがなくなる。

一実施例において、取引秘密決済機関１１５は、会計処理システム１２０と連絡をとって、特定のアカウントの全般的な信用確認を要請する。このように、会計処理システム１２０は、必要最小限の情報量を受け取ることになる。一実施例において、信頼できる状況のもとで購入された商品の識別情報を含む商取引情報は、会計処理システム１２０に送られる必要はない。取引秘密決済機関１１５は、ユーザに送られる月次利用明細書（monthly credit statement）に載っているダミーチャージＩＤ（dummy charge ID）を用いて残高(credit)を請求することができ、したがって、ユーザはユーザ自身の利用明細書を承諾させることができる。更に、個人用商取引装置１７０は、ダミーチャージＩＤを商取引のときの情報に戻すために、利用明細書を作成する機能を備えることができ、この利用明細書は、購入された商品及び関連して課せられた代金が載せられた従来の明細書のように表示される。

ユーザ１４０、又は幾つかの実施例ではベンダ１２５に対し、個人用商取引装置１７０に関する状態を表示し、情報を入力し、及び実行すべき取引の状態を表示する表示入力装置１６０（ファントム（phantom）で示される）を設けてもよい。

更に他の実施例において、エントリポイント（entry point）１１０は、個人用商取引装置１７０に接続され、また取引秘密決済機関１１５と通信する。エントリポイント１１０は既存の端末（ここでは、レガシー（legacy）ＰＯＳ端末という）、又は小売商の環境に置かれた新たに設計されたポイントオブセール（ＰＯＳ）端末であってもよい。ユーザ１４０は、個人用商取引装置１７０を用いて、クレジットカード及びデビットカードがＰＯＳ端末に接続する方法と同じ方法で、ＰＯＳ端末に接続する。更に、エントリポイント１１０は不特定多数の人が利用するキオスク、パーソナルコンピュータ、又はその種のものであってもよい。

他の実施例において、個人用商取引装置１７０は、ブルートゥース（BlueTooth）及び赤外線伝送のような無線インタフェースを始めとする様々なインタフェースを介して、又は、ＦｅｌｉＣａ及びＡｍｅｘＢｌｕｅのような非接触の伝送、ＵＳＢ及びＲＳ―２３２Ｃのようなプラグインポート（plug-in port）伝送によって接続する。代用プロセッサ（ＳＴＩＰ）１５５は、フロントエンドとバックエンド間の接続が何らかの理由で切断されたときに、個人用商取引装置１７０に接続することができる。このように、個人用商取引装置１７０は、バックエンドからの認可を必ずしも受け取ることなく、指定された小売信用限度額以内で認可を得ることができる。更に、このことは、認可される商取引の額を制限し、詐欺行為や残高不足になることを最小にする。

ここに記載される商取引システムは、更に、この商取引システムを介して購入される製品を配送する配送システム１３０を備える。一実施例において、配送システム１３０は、取引秘密決済機関１１５の機構と統合される。他の実施例において、配送システム１３０は第三者によって扱われてもよい。どちらの方法を適用しても、この商取引システムはユーザのプライバシ及びデータの安全性を保証する。配送システム１３０は、個人用商取引装置１７０を介してユーザ１４０と連絡し、製品を適切な場所（location）に出荷する。配送システム１３０としては様々なものがあり、例えば、ネットワークに接続されたＰＯＳ端末を介した電子配信システム、１つ以上のプライバシカード及び／又は電子財布に接続された電子配信システム、又は物理的な製品配送システムがある。物理的な製品配送システムにおいては、例えばコンビニエンスストアを始め他の至る所に存在する場所が「匿名の引渡しポイント」として用いられる。他の実施例において、ユーザが安全な方法でキオスクからパッケージを取り出すことができる「パッケージ配送キオスク」も用いられる。なお、一実施例において、ユーザは配送サイクルの間のいかなるときでも製品の送り先住所を変更するために、個人用商取引装置１７０を用いることができる。

ユーザは、固有の識別子（ＩＤ）を有する個人用商取引装置（ＰＴＤ）１７０を介して（図１に示すような）安全な商取引システムに接続し、この商取引システムで商取引を行う。この商取引システムでは、一実施例において、プライバシカード１０５が用いられる。また、この商取引システムでは、他の実施例において、電子財布１５０が用いられる。また、この商取引システムでは、更に他の実施例において、電子財布１５０と連携したプライバシカード１０５が用いられる。

図２は、個人用商取引装置１７０で用いられるプライバシカード２０５の具体的構成を簡易的に示したブロック図である。図２に示すように、一実施例において、プライバシカード２０５はクレジットカードの大きさと等しい大きさに構成されている。プライバシカード２０５は、プロセッサ２１０、メモリ２１５、及び入力／出力論理回路２２０を備える。プロセッサ２１０は、命令を実行することによってここでその機能を実行するように構成されている。この命令は、メモリ２１５に格納してもよい。メモリ２１５は、例えば取引データ等のデータも格納する。一実施例においては、メモリ２１５は、本発明の教示に従って、取引を実行するために用いる取引ＩＤを格納している。また、プロセッサ２１０を、ここに説明する機能を実行するよう特別に構成された論理回路に置き換えてもよい。

入力／出力論理回路２２０は、プライバシカード２０５が情報を送信及び受信するように構成されている。一実施例において、入力／出力論理回路２２０は、有線、すなわち接触接続によって通信するように構成されている。他の実施例において、入力／出力論理回路２２０は、無線、すなわち非接触接続によって通信するように構成されている。プライバシカード２０５の通信には、様々な通信技術が用いられる。

一実施例において、表示装置２２５は、接続されている装置によって読み取られるバーコードを生成し、ここで述べられた処理を実行するのに用いられる。プライバシカード２０５は、例えば、レガシーＰＯＳ端末のような装置によって読み出される磁気ストライプをシミュレートする磁気ストライプ生成器２４０を備える。

一実施例においては、認可されたユーザのプライバシカード２０５へのアクセスを制限するセキュリティ対策として、生体照合情報、例えば指紋認識情報が用いられる。一実施例においては、これらの機能を実行するために、指紋タッチパッド及びそれに関連した論理回路２３０が設けられている。或いは、セキュリティ対策として、例えば、これらの機能を実行する既知のスマートカード技術を用いたスマートカードチップインタフェース２５０を用いてもよい。

メモリ２１５は、商取引履歴記憶領域を有することが可能である。この商取引履歴記憶領域は、ＰＯＳ端末から送られてくる取引記録（電子領収書）を格納する。データをプライバシカード２０５に入力する方法としては、無線通信と、既存のスマートカードインタフェースに類似した機能を有するスマートカードチップインタフェースとを用いる方法がある。これらの方法は、ともにＰＯＳ端末が対応するインタフェースを備えており、データをプライバシカード２０５に送ることができるときに用いられる。

更に、メモリ２１５は、ユーザアイデンティティ／アカウント情報ブロックを有することができる。このユーザアイデンティティ／アカウント情報ブロックは、ユーザ及びプライバシカード２０５によってアクセスされたアカウントについてのデータを格納する。格納されたデータには、用いられるアカウントを識別するメタアカウント情報が含まれる。

他の実施例において、メモリ２１５は、プライバシカード２０５によって受信された埋込コンテンツも格納する。

他の実施例において、メモリ２１５は、例えば、コンテンツのカテゴリ及びアカウントアクセスレベルなどのアカウント管理情報も格納する。

他の実施例において、メモリ２１５は、個人用商取引装置１７０によって集められたコンテクスチャル情報（contextual information）も格納する。

図３は、個人用商取引装置１７０の電子財布３０５の具体的構成を簡易的に示したブロック図である。図３に示すように、電子財布３０５は、プライバシカード２０５が接続される入力部３１０と、プロセッサ３１５と、メモリ３２０と、入力／出力論理回路３２５と、表示装置３３０と、周辺装置ポート３３５と、アカウント管理モジュール３４０と、コンテキスト依存（context sensitive）データモジュール３５０とを備える。プロセッサ３１５は、メモリ３２０に格納されている命令を実行し、ここに記載されている機能を行うように構成されている。メモリ３２０は、また、例えば財政情報（financial information）、電子クーポン（eCoupon）、買物リスト、埋込コンテンツなどのデータを格納する。電子財布３０５は、記憶装置が追加して接続されていてもよい。一実施例において、この追加記憶装置はカードの形状をしており、周辺装置ポート３１０を介して電子財布３０５に接続される。

一実施例においては、アカウント管理モジュール３４０は、メモリ３２０に格納されている個々のアカウントに関連するアカウント管理情報と、アクセス制御データとを格納する。

コンテキスト依存データモジュール３５０は、コンテキストデータの取込と、コンテンツデータの保管と、コンテンツデータの配信とを調整する。

一実施例において、プライバシカード２０５は、ポート３１０を介して電子財布３０５に接続される。或いは、無線接続などの他の接続方式によってプライバシカード２０５を電子財布３０５に接続してもよい。

入力／出力論理回路３２５は、電子財布３０５に、情報を送受する機構を与える。一実施例において、入力／出力論理回路３２５は、データをＰＯＳ端末又はプライバシカード２０５に予め指定されたフォーマットで供給する。データは、例えば有線方式又は無線方式によって送られる。

電子財布３０５は、更に、ユーザにステータス情報を表示するための表示装置３３０を備えていてもよい。表示装置３３０は、ユーザに入力を促してもよく、タッチセンサ機能付きの表示装置であってもよく、これによりユーザは、表示装置３３０を介して情報を入力することができる。

電子財布３０５における多くの技術は、プライバシカード２０５における技術とは物理的に異なって見える。これは、主に、技術を実装する物理的な実際の状況（physical real estate）が異なるためである。異なる物理的表現の具体例としては、例えば画面、指紋認識ユニット等が含まれる。

個人用商取引装置１７０は、プライバシカード２０５が使用される前にそのプライバシカード２０５のユーザを認証し、万一、紛失又は盗難により、プライバシカード２０５が権限のない人の手に渡った場合に、プライバシカード２０５が使用不可能となるようにすることによってセキュリティを高めている。認証を行うための１つの方法として、ある種のピンコード入力がある。或いは、認証は、例えば生体照合ソリューションのようなより精巧な技術を用いて成し遂げられる。この生体照合ソリューションには、指紋認識、音声認識、虹彩認識などがある。更に、複数の個人用商取引装置１７０が用いられる一実施例において、例えば、最初の装置は、２台目以降の装置を安全な方法で動作できるように設計することが望ましい。このように、最初の装置と次位の装置の間の通信においては、認可されていない最初の装置は同一ユーザ又は認可されたユーザに属さない特定の次位の装置を操作可能にするようには用いられないという相互の装置検証を行ってもよい。

一実施例において、例えば、個人用商取引装置１７０、ポイントオブセール端末及び／又は取引秘密決済機関１１５は、互いの正当性を検証するように機能する。例えば、個人用商取引装置１７０は、ＰＯＳ端末装置及び／又は取引秘密決済機関１１５の合法性を検証するように構成されている。様々な検証技術が用いられる。例えば、アカウント及び／又はアクセスの結果によって受信装置（listen device）を保守してもよい。また、一実施例において、公開鍵インフラ（public key infrastructure）を用いてユーザの合法性を検証してもよい。

通信プロトコルには、電子財布１５０が商取引を行うことのできる幾つかのデータ構造のうちどれを用いるべきかについて指定することができる通信プロトコル、及び電子財布１５０及び他の装置が個人用商取引装置１７０と安全にデータを共有することができる通信プロトコルがある。個人用商取引装置１７０は、例えば、特定のクレジットカードのアカウントのような１つのアカウント、或いはクレジットカード、テレホンカード、デビットカードなどの複数のアカウントを表示する。

一実施例において、個人用商取引装置１７０は、ユーザが本発明に基づくシステムを利用するためのインタフェースとして機能する。一実施例において、個人用商取引装置１７０は、ユーザが商取引を行えるように、取引履歴、商取引システムの取引秘密決済機関１１５の機能を用いた取引を行うために必要なメタアカウント情報、様々なコンテンツなどの電子商取引関連のデータを格納する。一実施例において、メタアカウント情報は、例えばユーザの本当の名前及び住所等に対するユーザの実際のアイデンティティの抜粋である。例えば、取引秘密決済機関１１５は、ユーザの実際の銀行口座番号の記録を保持するが、小売店及びポイントオブセール端末で使用するためには異なる番号を割り当てる。例えば、実際の銀行口座番号１２３４ ００００ ９８７６ １４２３のときに、９９９９ ９９９９ ９９９９ ９９９９と表示される。取引カードの識別番号に関連付けられたこの番号は、取引秘密決済機関１１５に、銀行口座番号１２３４ ００００ ９８７６ １４２３が実際に用いられているアカウントであることを知らせることができる。

このデータの目的は、取引を完了させるために必要な情報を提供する一方で、ユーザの識別情報を抽象化することである。

一実施例において、個人用商取引装置１７０の個人専用化処理が例えば以下のように行われる。この実施例では、個人用商取引装置１７０は電子財布である。ユーザは、個人用商取引装置１７０をオン状態にする。この動作は、指紋認識パッドに触れるか、単にスイッチをオンにすることによって行われる。個人用商取引装置１７０は起動処理を開始するとともに、個人用商取引装置１７０がまだ個人専用化されてないことを確認する。したがって、個人用商取引装置１７０は、最初にユーザに秘密のピンコードを入力するように指示する。ピンコード入力が正しく行われなかった場合、再びピンコードを入力するようユーザに指示する。好ましくは、ユーザがデータを入力できる回数を所定の回数に制限するとよい。最終的にピンコード入力が失敗に終わったとき、個人用商取引装置１７０は、例えばこの装置自体の使用を永久に禁止し、したがってこの個人用商取引装置１７０は使用不可能になる。或いは、個人用商取引装置１７０は、例えば、この個人用商取引装置１７０を認可された機関に返却することを要求を表すメッセージを表示する。

ピンコード入力が成功したとき、ユーザは例えばセキュリティに関する幾つかの質問に答えるように指示され、それに対する答えは処理センタの商取引装置に送られる。これらの質問のうち、幾つかの質問は実際のデータの入力を要求し、また、幾つかの質問は、正しくない回答及び正しい回答からなる多数の項から正しい回答を選択する多項選択式で構成されている。これらの質問に対する回答がうまく行われたとき、次に、ユーザは、例えば指紋データのような確実な個人の識別情報を入力するように指示される。指紋データが用いられる一実施例において、ユーザは、１本以上の指で認識パッドを連続して押すことによって指紋データを入力するように指示される。個人用商取引装置１７０は、入力する指を示す手のグラフィックイメージを用いて、ユーザに各指紋のデータを入力するように指示する。

指紋データ入力処理は、ユーザが正しいデータを入力したことを確認するために、例えば少なくとも２回行われる。指紋データの入力が正しく行われたことが確認されると、個人用商取引装置１７０は、それらの指紋画像データを追記型メモリへ又は不測の変更を防ぐことができる他のメモリに書き込む。指紋データの入力が正しく行われたことが確認されなかった場合、ユーザは、再び最初から指紋データを入力するように指示される。指紋データの入力を何度か行ったにもかかわらず正確に指紋データを入力することができなかった場合、個人用商取引装置１７０は、その装置自体の使用を永久に禁止して、この処理を行うことのできる銀行のような安全な処理機関へ行くようにという指示を画面上でユーザに任意に表示する。個人専用化が成功した後、個人用商取引装置１７０は、ユーザが登録処理の間に要求していたサービスの初期設定を行える状態になる。一旦、個人用商取引装置１７０が安全な取引のために初期化されると、追加的なサービスを個人用商取引装置１７０にダウンロードできるようになる。

図４は、ＰＯＳ端末を利用した商取引システムの具体的構成を簡易的に示したブロック図である。この実施例において、プライバシカード４０５はＰＯＳ端末４１０と接続し、このＰＯＳ端末装置４１０は取引秘密決済機関４１５と通信する。その取引秘密決済機関４１５は、会計処理システム４２０、ベンダ４２５及び配送システム４３０と接続する。ＰＯＳ端末４１０は、例えば小売店に設置された既存のＰＯＳ端末、或いは新たに設計されたＰＯＳ端末である。ユーザ４４０は、プライバシカード４０５を用いて、クレジットカード及びデビットカードがＰＯＳ端末と接続する方法と同じ方法でＰＯＳ端末４１０と接続する。或いは、例えば、電子財布４５０はそれ自体で或いはプライバシカード４０５とともに用いられ、ＰＯＳ端末４１０に接続する。或いは、例えばメモリ装置を、単にＰＯＳ端末４１０に接続するインタフェースとして用いてもよい。

図５は、取引秘密決済機関の具体的構成を簡易的に示したブロック図である。一実施例において、取引秘密決済機関５００は、安全な場所に設置されており、個人用商取引装置１７０にアクセスすることができる。取引秘密決済機関５００は、ユーザのアイデンティティ情報を漏洩させることなく商取引の認可をユーザに与える。取引秘密決済機関５００は、例えば、安全なサーバとして、何らかの直接接続によって、或いはインターネット又はＰＯＳネットワークを介した直接接続形式によって個人用商取引装置１７０に接続される。

入力通信機構５０５及び出力通信機構５１０は、電子財布のような個人用商取引装置１７０と同様に、外部の小売店及びベンダと通信する。例えば、インターネット、ダイレクトダイヤルアップモデム接続装置、無線装置、携帯通信装置等の様々な通信装置が用いられる。

取引秘密決済機関エージェント５１５は、システム管理及びポリシー制御を行い、取引秘密決済機関５００のコア機能に知らせる。一実施例において、全システムにおいて、取引決済機関５００で永久に存在する１つの決済機関エージェントがある。決済機関エージェントによって取り扱われる責務には、例えばデータマイニング、内部及び外部のアカウントへの支払の計上及び決済などの内部システム管理機能、埋込コンテンツ管理、及びシステムに加入する新規ユーザ登録がある。

セキュリティ管理部５２０は、取引秘密決済機関５００の内部の構成要素間及び取引秘密決済機関５００の外部の構成要素間の安全な通信を確実にする。この機能は、安全な通信プロトコルで行われ、安全な接続状態を開放して維持する。これは、認可されたエンティティだけがデータへのアクセスを許可されることを確実にし、認可された個人用商取引装置１７０だけがユーザのアカウントに対して取引を行うことができる。

また、取引秘密決済機関エージェント５１５は、一実施例において、データアクセス制御機構であり、様々な顧客及びそれらのデータベース間の個々の安全なアクセスを維持するダイレクトマーケティング及び顧客問合せ管理部５２５を有する。データアクセス制御機構は、ベンダ１２５がシステムの仕事を行うための適切なデータだけにアクセスすることを確実とする。取引秘密決済機関５００の主な特長のうちの１つである、消費者のプライバシ及び識別情報の保護を維持しながら直接販売に重点を置く機能は、この仕組みによって処理される。

取引秘密決済機関エージェント５１５は、ユーザに代わって積極的にコンテンツを探すとともに、入って来る不必要な情報をフィルタリングするように構成することができる。一実施例において、データは例えばＸＭＬによって記述され、エージェントは例えばジャバアプレット（Java applets）（登録商標）を介して動作する。

安全な商取引システムにおいて配信することができるコンテンツの具体例を図６に示す。埋込コンテンツ（embedded content）６００は、ヘッダ情報６１０と、データ情報６２０とから構成されている。一実施例においては、埋込コンテンツ６００は、ベンダ１２５（図１）からユーザ１４０（図１）に配信される。他の実施例においては、埋込コンテンツ６００は、エンドユーザから他のエンドユーザに直接転送される。更に他の実施例においては、埋込コンテンツ６００は、２つ以上のベンダ１２５から収集される。

いずれの実施例においても、埋込コンテンツ６００は、元のベンダまで出所を突き止める（traced back）ことができる。ヘッダ６１０は、データ６２０に添付され、取り除くことができない。ヘッダ６１０は、関連するデータ６２０の様々な属性を記述する。データ６２０は、オーディオ表現、ビジュアル表現、オーディオ／ビジュアル表現、ソフトウェアアプリケーション、テキストデータ、グラフィックデータ等を含んでいてもよい。例えば、埋込コンテンツ６００は、アルバム、曲、曲の一部、映画又は映画のひとコマを表すデータであってもよい。

図７は、ヘッダ６１０内に格納されている、データ６２０に関する属性のリストの一部を示している。一実施例においては、この属性リストは、ソース／作者、ロケーション履歴、現在のロケーション、料金の額／分配（payment amount/split）、暗号化等を含んでいてもよい。ソース／作者は、関連するデータの元の制作者を表す。添付された関連するデータに複数のソース／作者が存在してもよい。

ロケーション履歴は、埋込コンテンツが保存された物理的な場所を記述する。例えば、埋込コンテンツが異なる媒体に転送される毎に、ロケーション履歴は新たな場所に関する情報を保存し、過去の場所に関する情報を保管する。埋込コンテンツの現在のロケーションは、アクセスを容易にするために他の位置に保存されている。

料金の額／分配（payment amount/split）は、埋込コンテンツが新たなメディア装置において使用される毎にソース／作者に送金される金額を表す。複数のソース／作者が存在する場合、徴収された金額は、複数のソース／作者の間で分配される。ヘッダ６１０における暗号化の項目は、埋込コンテンツ内のデータを利用可能とする又は利用不可能とするために選択される暗号化の種類を表す。この暗号化の項目には、データをいつ暗号化又は復号するかに関する規則に関する記述も含まれる。

図８は、本発明の一実施例を示す。一実施例においては、本発明に基づく商取引システムは、商取引装置８１０と、リモートロケーション（remote location）８２０と、取引秘密決済機関（ＴＰＣＨ）８３０とを備える。商取引装置８１０は、上述した商取引装置１７０（図１）と同様な装置である。一実施例においては、この商取引システムは、コンテキストデータ機能を取り扱うコンテキスト依存データモジュール３５０を備える。一実施例においては、得られたコンテキストデータは、単一のリレーショナルオブジェクト（single relational object）として保存される。このコンテキストデータは、商取引装置８１０のメモリに保存してもよい。他の実施例においては、コンテキストデータをＴＰＣＨ８３０内に保存してもよい。リモートロケーション８２０は、ストレージ、コンテンツ、サポート、サービス及び／又は製品を提供するウェブサイトを含んでいてもよい。

一実施例においては、商取引装置８１０は、ＴＰＣＨ８３０を介して、リモートロケーション８２０と通信を行うことができる。この実施例では、コンテキストデータは、ＴＰＣＨ８３０を介してリモートロケーション８２０に供給される。コンテキストデータは、商取引装置８１０からＴＰＣＨ８３０を介してリモートロケーション８２０に供給してもよく、商取引装置８１０からの命令により、ＴＰＣＨ８３０からリモートロケーション８２０にコンテキストデータを供給させてもよい。他の実施例においては、商取引装置８１０は、リモートロケーション８２０と直接接続し、リモートロケーション８２０に直接コンテキストデータを供給してもよい。

図９は、コンテキスト依存データモジュール３５０において実行される処理の具体例を示すフローチャートである。図９に示すフローチャートは、本発明の具体例を例示的に示しているものにすぎない。各ブロックで示される手順は、異なる順番で実行してもよい。また、各ブロックで示される手順は、ブロックの削除、又はブロックの追加を行ってもよい。

まず、ブロック９１０において、コンテキストデータが集められる（capture）。一実施例においては、１つのウェブサイト及び複数のウェブサイトに亘ってＵＲＬ情報が収集される。他の実施例においては、ユーザによって入力された情報が収集される。ユーザによって入力される情報には、テキストフィールドに入力された情報、選択されたボックス、プロファイル情報及び／又は金融情報等がある。他の実施例においては、コンテキストデータは、埋込コンテンツを含む。

ブロック９２０において、コンテキストデータが保存される。一実施例においては、コンテキストデータは、単一のリレーショナルオブジェクト（single relational object）として保存される。他の実施例においては、コンテキストデータは、マルチリレーショナルオブジェクト（multi relational object）として保存される。一実施例においては、コンテキストデータは、商取引装置内に保存される。他の実施例においては、コンテキストデータは、例えばＴＰＣＨ等、商取引装置の外部に保存される。

ブロック９３０において、コンテキストデータは、コンテキストデータを利用することができる他のロケーション及び／又は機器に送信される。一実施例においては、ユーザは、どのエンティティがコンテキストデータを受け取るよう承認されるかを予め選択する。更に、ユーザは、コンテキストデータ内のどの情報を他のエンティティが受け取って使用できるかを予め選択する。これにより、配信の嗜好（distribution preference）が設定され、コンテンツデータの配信は、ユーザの観点から自動化される。他の実施例においては、ユーザが予め選択した配信オプションに加えて、ユーザは、承認されたエンティティがコンテキストデータを要求した際に、コンテキストデータを供給する前に配信を確認又は許可するようにしてもよい。他の実施例においては、ユーザは、非常に個人的なコンテキストデータの配信の前に、配信を確認又は許可する。非常に個人的なコンテキストデータには、例えば、金融情報、クレジットカード情報、社会保障番号、自宅の住所、運転免許番号等が含まれる。

以下、本発明を例示的に説明するための具体例を示す。この具体例では、ソフトウェア製品ＸＹＺについて問題を抱えているユーザがいるとする。このユーザは、ソフトウェア製品ＸＹＺに関するウェブサイトにアクセスし、ウェブサイトのオンラインヘルプ及び診断機能を用いて、ＦＡＱ形式のトラブルシューティング案内操作を実行する。しかしながら、これによってもユーザは、診断及び解決を得られなかったとする。この時点で、ユーザはコールセンタのチャットルームに送られ、ここでは、技術者が完全なコンテキストデータを受け取っている。完全なコンテキストデータには、案内における選択（navigational selection）、質問への回答、ユーザプロファイルデータ等が含まれる。ユーザと技術者は、ユーザが既に提供した情報及び／又はコンテキストデータから得られる情報を繰り返し提供することなく、より詳細な相談及び診断を行うことができる。コールセンタの技術者は、ユーザがウェブサイトにおいて行った予備的な自己診断の結果、遂行された案内及びコンテキストに関する情報を有している。技術者は、最小限の時間及び労力で、ユーザが先に行った自己診断からの情報を得ることができ、このユーザが先に行った自己診断に関する情報を利用して問題を速やかに解決することができる。

更に、他の特定の実施例を例示的に説明する。ユーザがウェブサイト＃１に情報を要求するために、例えば氏名、メールアドレス、年齢等の個人情報を入力したとする。このユーザがウェブサイト＃１を去り、ウェブサイト＃２に訪れたとする。次に、ユーザがウェブサイト＃３に訪れたとする。ユーザがウェブサイト＃１からウェブサイト＃３に進むまでの手順は、異なるセッションにおいて発生している場合もある。更に、ユーザがウェブサイト＃１からウェブサイト＃３に進むまでの手順は、これらのウェブサイト間におけるリンク又は協働が行われることなく発生している場合もある。

ここで、ウェブサイト＃３が例えば氏名やメールアドレス等の個人情報をユーザに要求したとする。ユーザの予備的な選択（pre-selection）に応じて、ユーザの氏名及びメールアドレスを含むコンテキストデータが自動的にウェブサイト＃３に送信される。これにより、ユーザは、個人情報を再び入力する手間を省くことができる。

更に、ウェブサイト＃３が、ユーザのウェブサイトアクセス履歴を含むコンテキストデータを要求したとする。ユーザが予備的に選択した、配信が許可されたコンテキストデータに応じて、ユーザには、このユーザのウェブサイトアクセス履歴の配信の可否が確認される。ユーザは、このコンテキストデータをウェブサイト＃３に送信することを許可するか否かを決定することができる。他の実施例においては、ユーザが予備的に選択した、配信が許可されたコンテキストデータに応じて、ユーザのウェブサイトアクセス履歴を含むコンテンツデータの配信をユーザに確認することなく行ってもよい。

他の実施例においては、ウェブサイト＃３は、ユーザに対し、ユーザのウェブサイトアクセス履歴のコンテキストデータを入手する代わりにサービス及び／又は製品の購入に関する値引きを申し出る。

上述したような実施例の説明は、本発明の内容を具体的に解説及び説明するためのものである。

本発明は、上述した本発明に限定することを目的とせず、したがって当該技術分野の当業者が本発明の主旨を逸脱しない範囲で様々な修正、変更等を行うことが可能であることは明らかである。上述した実施例は、本発明の主旨及びその現実の応用例を説明するために選択されたものであり、当該技術分野の当業者が特定の用途に適応するように様々な修正、変更等を行うことによって本発明を最大限に利用することができる。発明の適用範囲は、特許請求の範囲によって定義される。

安全な商取引システムの具体的構成を簡易的に示したブロック図である。 個人用商取引装置で用いられるプライバシカードの具体的構成を簡易的に示したブロック図である。 個人用商取引装置で用いられるデジタル財布の具体的構成を簡易的に示したブロック図である。 ＰＯＳ端末を利用した商取引システムの具体的構成を簡易的に示したブロック図である。 図５は、取引秘密決済機関の具体的構成を簡易的に示したブロック図である。 埋込コンテンツのデータ構成の具体例を簡易的に示す図である。 埋込コンテンツ内のヘッダのデータ構成の具体例を簡易的に示す図である。 コンテキストデータシステムの具体的構成を簡易的に示す図である。 コンテキストデータを用いた取引の処理を示すフローチャートである。

Claims (26)

1. ユーザとのインタフェースを司る商取引装置において、
   ａ．コンテキストデータを収集及び配信するコンテキストデータモジュール（３５０）と、
   ｂ．上記コンテキストデータモジュールに接続され、上記コンテキストデータを保存するストレージ装置（３２０）とを備える商取引装置。
2. 上記コンテキストデータモジュールに接続され、予め選択された配信に関する嗜好をユーザから受け取るインタフェース（３２５）を更に備える請求項１記載の商取引装置。
3. 上記コンテキストデータモジュールは、上記予め選択された配信に関する嗜好に応じて、上記コンテキストデータを配信することを特徴とする請求項２記載の商取引装置。
4. 上記コンテキストデータモジュールに接続され、予め選択されたコンテキストデータに関する嗜好をユーザから受け取るインタフェース（３２５）を更に備える請求項１記載の商取引装置。
5. 上記コンテキストデータモジュールは、上記予め選択されたコンテキストデータの嗜好に応じて、上記コンテキストデータを収集することを特徴とする請求項４記載の商取引装置。
6. 上記コンテキストデータは、ユーザによって入力された個人連絡先情報を含むことを特徴とする請求項１記載の商取引装置。
7. 上記コンテキストデータは、ユーザによって入力された個人ファイナス情報を含むことを特徴とする請求項１記載の商取引装置。
8. 上記コンテキストデータは、ユーザのウェブサイトアクセス履歴を含むことを特徴とする請求項１記載の商取引装置。
9. ａ．商取引装置（８１０）において、コンテキストデータを収集するステップと、
   ｂ．上記コンテキストデータをストレージ装置に保存するステップと、
   ｃ．上記コンテキストデータを上記ストレージ装置からリモートロケーション（８２０）に配信するステップとを有するコンテキストデータ配信方法。
10. 上記コンテキストデータは、ユーザによって入力された個人連絡先情報を含むことを特徴とする請求項９記載のコンテキストデータ配信方法。
11. 上記コンテキストデータは、ユーザによって入力された個人ファイナス情報を含むことを特徴とする請求項９記載のコンテキストデータ配信方法。
12. 上記コンテキストデータは、ユーザのウェブサイトアクセス履歴を含むことを特徴とする請求項９記載のコンテキストデータ配信方法。
13. 上記リモートロケーションはウェブサイトであることを特徴とする請求項９記載のコンテキストデータ配信方法。
14. 上記リモートロケーションは、取引秘密決済機関であることを特徴とする請求項９記載のコンテキストデータ配信方法。
15. 上記ストレージ装置は、上記商取引装置内に配設されていることを特徴とする請求項９記載のコンテキストデータ配信方法。
16. 上記ストレージ装置は、上記商取引装置外に配設されていることを特徴とする請求項９記載のコンテキストデータ配信方法。
17. 配信するコンテキストデータを予め選択するステップを更に有する請求項９記載のコンテキストデータ配信方法。
18. ａ．ユーザの入力に応じて商取引装置（８１０）においてコンテキストデータを収集するステップと、
    ｂ．リモートロケーション（８２０）においてコンテキストデータを受け取り、ユーザによる冗長な入力作業を省略するステップとを有するコンテキストデータによる入力方法。
19. 収集するコンテキストデータを予め選択するステップを更に有する請求項１８記載のコンテキストデータによる入力方法。
20. 上記ユーザによる冗長な入力作業は、ユーザプロファイル情報の入力作業が含まれることを特徴とする請求項１８記載のコンテキストデータによる入力方法。
21. 上記ユーザによる冗長な入力作業は、ウェブサイト履歴の入力作業が含まれることを特徴とする請求項１８記載のコンテキストデータによる入力方法。
22. コンピュータにより実行されて、
    ａ．商取引装置（８１０）において、コンテキストデータを収集するステップと、
    ｂ．上記コンテキストデータをストレージ装置に保存するステップと、
    ｃ．上記コンテキストデータを上記ストレージ装置からリモートロケーション（８２０）に配信するステップとを有する方法を実現するコンピュータにより実行可能な命令が格納されたコンピュータにより読取可能な媒体。
23. 上記リモートロケーションは、取引秘密決済機関であることを特徴とする請求項２２記載のコンピュータにより読取可能な媒体。
24. 上記ストレージ装置は、上記商取引装置内に配設されていることを特徴とする請求項２２記載のコンピュータにより読取可能な媒体。
25. 上記ストレージ装置は、上記商取引装置外に配設されていることを特徴とする請求項２２記載のコンピュータにより読取可能な媒体。
26. 上記方法は、配信のためのコンテキストデータを予め選択するステップを更に有することを特徴とする請求項２２記載のコンピュータにより読取可能な媒体。
    

Images