JP2008033888A - Ｉｃカード決済システム、その制御装置、接客端末 - Google Patents

Abstract

【課題】セキュリティモジュールが盗難によって解析される可能性を極めて低くする。
【解決手段】セキュリティモジュール２２は、各店舗等に設置される接客端末１０には一切搭載されることなく、より安全性の高い場所に（制御装置２０）に隔離されている。そして、各接客端末１０は、ＩＣカードによる決済処理が必要となる毎に、ネットワーク１を介して、制御装置２０内のセキュリティモジュール２２に依頼する。セキュリティモジュール２２−リーダ／ライタ１２間で、従来よりやり取りしていた、“決済処理に必要なコマンド／データ”は、ＣＰＵ１１とＣＰＵ１２が中継することになる（当然、ネットワーク１を介する）。
【選択図】図１

Description

本発明は、ＩＣカード決済システムに関する。

今日、電子マネーを使って電子的に即時決済することができるＩＣカードを利用して、コンビニ等の店舗で買い物をした場合の料金支払いを行えるようにする、ＩＣカード決済システムが、広く知られている。利用者は、随時、自己が所有するＩＣカードに任意の金額の電子マネーをチャージしておき、支払いの際には店舗のレジ等に備えられた決済端末において、利用者がＩＣカードリーダライタ等に自己のＩＣカード（又はＩＣカード内蔵の携帯電話等）をかざすことで、上記電子マネーから料金の支払いが行われる。

利用者が、所定の入金機において現金を入金することにより、当該入金額に見合う電子マネーがＩＣカードの記憶装置内に記憶されるようになっている。商品購入等によってＩＣカードを使用する毎に、電子マネーの残高が減ることになるが、再度入金機から入金して電子マネーを充填することにより、繰り返し使用できる。この様に、ＩＣカード決済システムを利用すれば、ＩＣカードはほぼ現金と同様に機能するのであり、カード使用者を特定せずにキャッシュレスで商品購入できる。

図１２に、上記ＩＣカード決済システムを構成する上記決済端末の構成の一例を示す。
図示の決済端末１００は、ＣＰＵ１０１、セキュリティモジュール１０２、リーダ／ライタ１０３等を有する。更に、図示の例では決済端末１００は既存のＰＯＳレジスタ等（レジと記す）に決済機能を内蔵させた構成であるので、既存のレジの構成として表示装置１０４、キー入力装置１０５、印字装置１０６等を有する。例えば表示装置５３は各商品金額、支払い金額等を表示するものであり、印字装置１０６はレシートを印字するものである。

ＣＰＵ１０１は、決済端末１００全体を制御する中央処理装置である。
リーダ／ライタ１０３は、利用者によって提示されるＩＣカードとの間で非接触通信を行うＩＣカード・リーダ／ライタである。

セキュリティモジュール１０２は、例えば電子マネーサービス事業会社提供のセキュリティモジュールであり、上記リーダ／ライタ１０３を介して上記ＩＣカードとの間で通信を行なって電子マネ−決済処理を実行するモジュールである。セキュリティモジュール１０２は、電子マネ−決済処理に必要な各種データ、すなわち認証鍵や暗号鍵のデータ、ＩＣカードとの取引データ等の重要情報を保持しており、認証鍵や暗号鍵等を用いてＩＣカードとの間でセキュアな通信を実現する。

尚、セキュリティモジュール１０２は、２つの通信ポート１０７，５８を有しており、通信ポート１０７はＣＰＵ１０１に接続し、通信ポート１０８はリーダ／ライタ１０３に接続している。

図１３に、上記電子マネ−決済処理の動作の概要を示す。
キー入力装置１０５は、テンキーや各種コマンドキー等から成り、電子マネ−決済を指示する決済指示キーも存在する。通常、店員は、商品の金額等を入力後、この決済指示キーを操作した後、顧客に対して自己のＩＣカード１１０をリーダ／ライタ１０３前にかざすように要望する。決済指示キーが操作されると、ＣＰＵ１０１は、セキュリティモジュール１０２に対して「決済指示」を出力する。この「決済指示」を入力したセキュリティ
モジュール１０２は、リーダ／ライタ１０３に対して「カードデータ読出し」コマンドを出力する。このコマンドを受信したリーダ／ライタ１０３は、客によって提示されたＩＣカードからデータを読み出して、これを(「カードデータ読出し結果」データを)をセキュリティモジュール１０２に出力する。この「カードデータ読出し結果」データ（暗号化データ）を入力したセキュリティモジュール１０２は、この暗号化データに基づいて、所定の処理（暗号化データの復号化処理、上記ＩＣカードの電子マネー残高から商品代金を差し引く等の処理や正当性確認等）を行い、この処理結果をＩＣカードに書き込ませる為に、「カードデータ書き込み」コマンドを、リーダ／ライタ１０３に出力する（当然、書き込みデータは暗号化されている）。

このコマンドを受信したリーダ／ライタ１０３は、ＩＣカード１１０との非接触通信を行ってデータ書き込みを行い、「カードデータ書き込み結果」を、セキュリティモジュール１０２に返信する。これを受信したセキュリティモジュール１０２は、「決済結果」をＣＰＵ１０１に返信する。これを受信したＣＰＵ１０１は、表示装置１０４に処理結果（決済後の電子マネー残高）を表示させ、更に印字装置１０６によりレシートを印字させる。

上記「カードデータ読出し」、「カードデータ読出し結果」、「カードデータ書き込み」、及び「カードデータ書き込み結果」が、セキュリティモジュール１０２−リーダ／ライタ１０３間でやり取りする、“決済処理に必要なコマンド／データ”である。

上記従来のＩＣカード決済システムは、例えば特許文献１，２に開示されている。
特許文献１，２において上記セキュリティモジュール１０２に相当する構成、すなわち例えば特許文献２におけるＩＣカードモジュール等は、各店舗のレジ等に設けられている。

図１４に、ＩＣカード決済システムを構成する決済端末の他の構成例を示す。
図１４において図１２と同様の構成には同一符号を付してあり、説明は省略する。
図１４の構成における決済端末１２０には、上記セキュリティモジュール１０２が存在しない。代わりに、ＣＰＵ１２１にセキュリティモジュール１０２の機能が備えられている。すなわち、ＣＰＵ１２１の不図示の内蔵メモリ等には、セキュリティモジュール１０２の機能を実現する為のデータ、アプリケーションプログラム等が格納されている。つまり、ＣＰＵ１２１の不図示の内蔵メモリ等には、上述した電子マネ−決済処理に必要な各種データ、すなわち認証鍵や暗号鍵のデータ、ＩＣカードとの取引データ等の重要情報が保持されると共に、これら認証鍵や暗号鍵等を用いてＩＣカードとの間でセキュアな通信を実現する所定のアプリケーションプログラムが格納されている。

図１５に、上記図１４の構成における電子マネ−決済処理の動作の概要を示す。
上記の通り、図１４の構成ではセキュリティモジュールが無いので、図１５の動作を図１３の動作と比較すると、ＣＰＵ−セキュリティモジュール間の送受信処理が無くなっており、図１５においては、図１３においてセキュリティモジュールがリーダ／ライタとの間で行っていた処理を、ＣＰＵ１２１が実行している。

上記の通り、図１２の構成であっても図１４の構成であっても、ＩＣカードとの通信、決済処理を実行できる点では同じであるが、よく知られているようにセキュリティモジュールは所謂タンパ技術（開封検知による重要情報消去等）によって厳重に保護されており、図１２の構成の方がセキュリティ性能が高い。逆に言えば、図１４の構成の場合、図１２の構成よりはコストが抑えられるかもしれないが、セキュリティ上問題がある。
特開２０００−６７１８６号公報 特開２００５−２５８８８５号公報

上記の通り、従来では、店舗内のレジ等に設けられている決済端末にセキュリティモジュールが内蔵されている為、盗難等によって決済端末が悪意の第３者の手に渡ることで、内蔵するセキュリティモジュールを解析されるおそれがある。従来より、セキュリティモジュールには、開封検知によるデータ破棄等のセキュリティ機能が搭載されているが、それでも完全に安全性が保障されるわけではない。

また、例えばデパート等の大型店舗やゲームセンタ、パチンコ店等の遊技場のように、１つのロケーション内に複数の決済端末が設けられるシステムでは、この複数の決済端末各々にセキュリティモジュールを設ける必要がある。セキュリティモジュールは高価である為、非常にコスト高になるという問題が生じる。

また、複数種類の電子マネーに対応した決済端末は、各種電子マネー毎に対応するセキュリティモジュールを搭載する必要があり、非常にコスト高となる。また、この様な決済端末で更に新たな種類の電子マネーにも対応可能とする為には、この新たな種類の電子マネーに対応するセキュリティモジュールを追加・搭載する必要があり、特に決済端末の台数が多い場合には非常に手間が掛かっていた。これは、図１４に示す、セキュリティモジュールが無い構成においても同様である。すなわち、新たな種類の電子マネーにも対応可能とする為には、この新たな種類の電子マネーに対応する為のソフトウェアを、各決済端末毎にそのＣＰＵ１２１に追加する必要があり、手間が掛かっていた。

また、図１４の構成の場合、上記の通り、セキュリティ上、問題がある。
本発明の課題は、セキュリティモジュールが盗難によって解析される可能性を極めて低くし、セキュリティ性を更に高めることができ、また１つのセキュリティモジュールを複数の接客端末で共有させることでコストを低減でき、更にこの様に共有させることで生じる問題を解決でき、あるいは複数種類の電子マネーに対応する場合のコスト低減を図ることもでき、更に容易且つ低コストで新たな種類の電子マネーに対応可能とするＩＣカード決済システム等を提供することである。

本発明のＩＣカード決済システムは、ＩＣカード・リーダ／ライタを備える接客端末と制御装置とがネットワークに接続されたシステムであって、前記制御装置は、ＩＣカード内の電子マネーを用いる決済処理を行うセキュリティモジュールと、該セキュリティモジュールに接続した第１の制御手段とを有し、前記接客端末は、前記ＩＣカード・リーダ／ライタに接続した第２の制御手段を有し、前記セキュリティモジュールが前記決済処理を行う為に必要な該セキュリティモジュールと前記ＩＣカード・リーダ／ライタとの間のコマンド／データのやりとりを、前記第１の制御手段と第２の制御手段とが中継することで前記決済処理を実行することを特徴とする。

上記ＩＣカード決済システムでは、セキュリティモジュールは、各店舗等に設置される接客端末には一切搭載されておらず、より安全性の高い場所に（制御装置）に隔離されている。そして、各接客端末は、ＩＣカードによる決済処理が必要となる毎に、ネットワークを介して、制御装置内のセキュリティモジュールに依頼する。セキュリティモジュール−ＩＣカード・リーダ／ライタ間で、従来よりやり取りしていた、“決済処理に必要なコマンド／データ”は、第１の制御手段と第２の制御手段とが中継することになる（勿論、ネットワークを介する）。勿論、その際、ＩＣカード・リーダ／ライタは、顧客によって提示されたＩＣカードと通信を行い、ＩＣカードから所定のデータ（暗号化データ）を読出し、ＩＣカードへデータを書き込む等の処理を実行し、セキュリティモジュールは暗号
化データの復号化や正当性の確認、決済等の所定の処理を実行する。

上記構成のＩＣカード決済システムにおいて、例えば、前記接客端末又は／及び前記制御装置は、複数台、前記ネットワークに接続され、１台の制御装置の前記セキュリティモジュールを複数台の接客端末が共有する。

このように、１つのセキュリティモジュールを複数の接客端末で共有させることでコストを低減できる。
１つのセキュリティモジュールを複数の接客端末で共有させる為、他の接客端末がセキュリティモジュールを占有している間は処理を行えない問題が生じる。この問題を解決する為に以下の２つの方法を提示する。

第１の方法は、例えば、前記接客端末は、前記決済処理の依頼先として複数の制御装置とその優先度を記憶する第１の記憶手段を更に有し、該優先度が高い順に決済処理依頼が受け付けられるまで順次、制御装置に対して決済処理を依頼する。

第２の方法は、例えば、前記接客端末は、決済指示を受けると、前記ＩＣカードを捕捉できるまで、前記決済処理を依頼しないようにする。これによって、セキュリティモジュールの占有時間を短くする。

本発明は、上記ＩＣカード決済システムを構成する接客端末自体、又は制御装置自体として構成することもできる。すなわち、
本発明のＩＣカード決済システムにおける接客端末は、ＩＣカード・リーダ／ライタを備える接客端末と制御装置とがネットワークに接続されたシステムにおける前記接客端末であって、前記ＩＣカード・リーダ／ライタに接続し、ＩＣカードによる決済処理が指示されると、前記制御装置が備えるセキュリティモジュールに対して前記ネットワークを介して決済処理を依頼し、前記制御装置から前記ネットワークを介して送られてくる、前記セキュリティモジュールによるＩＣカードからのデータ読出し又はデータ書き込み命令を前記ＩＣカード・リーダ／ライタに出力し、該ＩＣカード・リーダ／ライタから出力されるＩＣカードデータ読出し結果又は書き込み結果を、前記ネットワークを介して前記制御装置に送信する第２の制御手段を有するように構成する。

あるいは、本発明のＩＣカード決済システムにおける制御装置は、ＩＣカード・リーダ／ライタを備える接客端末と制御装置とがネットワークに接続されたシステムにおける前記制御装置であって、ＩＣカード内の電子マネーを用いる決済処理を行うセキュリティモジュールと、該セキュリティモジュールに接続し、前記接客端末から前記ネットワークを介してＩＣカードによる決済処理の依頼があると、該セキュリティモジュールに決済処理を指示し、該セキュリティモジュールから出力される、前記ＩＣカード・リーダ／ライタに対するＩＣカードからのデータ読出し又はデータ書き込み命令を、前記ネットワークを介して前記接客端末に送信し、前記接客端末からＩＣカードデータ読出し結果又は書き込み結果が送られてくると、該ＩＣカードデータ読出し結果又は書き込み結果を前記セキュリティモジュールに転送する第１の制御手段とを有するように構成する。

あるいは、前記複数台の制御装置は、各々、特定の電子マネー種別に対応するセキュリティモジュールを有し、前記各接客端末は、各々、各電子マネー種別毎に対応する制御装置を記憶する接続先制御装置記憶手段を更に有し、任意に指定された電子マネー種別に対応する制御装置を該接続先制御装置記憶手段を参照して求め、該求めた制御装置にアクセスすることで前記決済処理を実行可能とするようにしてもよい。

上記構成によれば、１台の接客端末で複数種類のＩＣカード決済を実行可能とする場合
でも、各接客端末毎に複数種類のセキュリティモジュールを搭載する必要はなく、複数種類の電子マネーに対応する場合のコスト低減を図ることができる。

また、上記構成において更に、新たな電子マネー種別に対応するセキュリティモジュールを有する制御装置が前記ネットワークに接続されると、該制御装置は該ネットワーク上にマルチキャストで登録通知電文を送出し、該登録通知電文を受信した前記各接客端末は、該登録通知電文の送信元の前記制御装置とアクセスして登録処理を実行することで、前記新たな電子マネー種別と該新たな電子マネー種別に対応する前記制御装置とを、前記接続先制御装置記憶手段に登録するようにしてもよい。

各接客端末で新たな種類のＩＣカードの決済を実行可能とする場合でも、各接客端末毎に新たな種類のセキュリティモジュールを追加する等の手間・コストが掛かることは必要なく、新たな電子マネー種別に対応するセキュリティモジュールを有する制御装置をネットワークに接続するだけで済むようになる。

本発明のＩＣカード決済システム等によれば、セキュリティモジュールを安全性の高い場所に隔離することにより、セキュリティモジュールが盗難によって解析される可能性を極めて低くし、セキュリティ性を更に高めることができる。更に、接客端末は、セキュリティモジュールを搭載する必要がない分、その筐体サイズの小型化を測ることができる。また１つのセキュリティモジュールを複数の接客端末で共有させることでコストを低減できる。更にこの様に共有させることで生じる問題を解決できる。あるいは複数種類の電子マネーに対応する場合のコスト低減を図ることもでき、更に容易且つ低コストで新たな種類の電子マネーに対応可能とすることもできる。

以下、図面を参照して、本発明の実施の形態について説明する。
図１に、本実施の形態によるＩＣカード決済システムの構成図を示す。
図示の通り、従来の構成と比較して最大の違いは、セキュリティモジュールが、店舗内に設置されるＰＯＳレジスタ等（以下、レジと記す）（接客端末１０）には一切搭載されておらず、店舗内の別の場所に設置されるサーバ等である制御装置２０のみに搭載されている点である。これによって、セキュリティモジュールが盗難される可能性を、極めて低くすることができる。接客端末１０と制御装置２０とはネットワーク１（例えば接客端末１０と制御装置２０とを１対１で接続する専用線、又はＬＡＮ等）に接続しており、接客端末１０は、ＩＣカードによる決済処理が必要なときには、その都度、ネットワーク１を介して制御装置２０に決済依頼して、決済処理を実現する。

尚、従来では、店舗内のレジ等に設置される端末が、各々、セキュリティモジュールを有しており決済処理機能を有していた為、決済端末と呼んだが、本例ではレジ等に設置される端末は、決済処理機能を有していないので、接客端末１０と呼ぶものとする。

また、制御装置２０は、店舗内において客の目に触れない安全な場所（例えば、バックヤード、従業員ロッカールーム、店長室等）に設置される。この様な場所でも強引に進入されてセキュリティモジュールが盗難される可能性はあり、盗難される可能性は‘０’ではないが、レジに設ける場合に比べれば、盗難の可能性は極めて低くなる。尚、この例に限らず、制御装置２０は店舗外の安全な場所に設置してもよい。

接客端末１０は、接客端末内ＣＰＵ１１、リーダ／ライタ１２、表示装置１３、キー入力装置１４、印字装置１５等を有する。表示装置１３、キー入力装置１４、印字装置１５は、従来の表示装置１０４、キー入力装置１０５、印字装置１０６と同じである。また、
リーダ／ライタ１２も、それ自体は、従来のリーダ／ライタ１０３と同じであるが、本例ではセキュリティモジュールが外部（制御装置２０）にあるので、接客端末内ＣＰＵ１１を介して制御される点が、従来とは異なる。尚、リーダ／ライタ１２は、非接触型に限らず、接触型であってもよい。

制御装置２０は、制御装置内ＣＰＵ２１、セキュリティモジュール２２を有する。セキュリティモジュール２２は、その機能自体は、従来のセキュリティモジュール１０２と略同様であり、暗号鍵を用いた暗号化データの復号化処理又はデータの暗号化処理や正当性判定、電子マネーの処理等を行う。但し、リーダ／ライタ１０３と直接通信することは出来ないので、制御装置内ＣＰＵ２１と接客端末内ＣＰＵ１１が中継することになる。

制御装置内ＣＰＵ２１は、２つの通信ポート２１ａ、２１ｂによってセキュリティモジュール２２に接続しており、通信ポート２１ａを介してセキュリティモジュール２２に決済指示等を出力し、通信ポート２１ｂを介してセキュリティモジュール２２からの出力を受け取る。尚、この様に２つの通信ポートを必要としているのは、上記の通り、セキュリティモジュール２２自体は従来の構成と同じであるからである。すなわち、従来より、セキュリティモジュールは、リーダ／ライタと接続する通信ポートと、ＣＰＵと接続する通信ポートとを有しており、このセキュリティモジュールをそのまま制御装置２０内に組み込んでいる為、制御装置内ＣＰＵ２１にも２つの通信ポートが必要となっている。

上記構成のＩＣカード決済システムによる決済動作手順を図２に示す。
図２において、まず、接客端末１０において店員等がキー入力装置１４からＩＣカードによる決済指示を入力すると、接客端末内ＣＰＵ１１は、ネットワーク１を介して制御装置２０に対して、「セキュリティモジュール宛」電文（決済指示）を送信する。この電文（パケット）を受信した制御装置２０の制御装置内ＣＰＵ２１は、通信ポート２１ａを介して、セキュリティモジュール２２に対して、上記「決済指示」を出力する。自己の通信ポート２２ａを介してこの「決済指示」を受け取ったセキュリティモジュール２２は、その通信ポート２２ｂから「カードデータ読出し」コマンドを出力する。接客端末内ＣＰＵ１１は、この出力を、自己の通信ポート２１ｂを介して入力することになる。「カードデータ読出し」コマンドを入力した制御装置内ＣＰＵ２１は、ネットワーク１を介して上記決済依頼元の接客端末１０に対して、「リーダライタ宛」電文（上記「カードデータ読出し」コマンドを含む）を送信する。

この電文を受信した接客端末１０の接客端末内ＣＰＵ１１は、リーダ／ライタ１２に対して、上記「カードデータ読出し」コマンドを出力する。このコマンドを受けたリーダ／ライタ１２は、顧客が提示したＩＣカード２から所定のデータを読み出す。このデータは、所定の暗号化データ（電子マネー残高、購入金額、その他、正当性判定に必要なデータ等）等である。そして、当該読み出したデータ（「カードデータ読出し結果」データ）を接客端末内ＣＰＵ１１に出力する。この読出しデータを入力した接客端末内ＣＰＵ１１は、ネットワーク１を介して制御装置２０に対して、「リーダライタ応答」電文（上記「カードデータ読出し結果」データを含む）を送信する。

この電文を受信した制御装置２０の制御装置内ＣＰＵ２１は、セキュリティモジュール２２に対して、上記「カードデータ読出し結果」データを出力する。これを受けたセキュリティモジュール２２は、所定の処理（暗号鍵を用いた暗号化データの復号化処理や正当性判定等）を実行し、問題が無ければ決済処理を実行し（上記電子マネー残高から購入金額を差し引く等）、この決済処理結果データ（差し引き後残高等）を含む「カードデータ書き込み」コマンドを、制御装置内ＣＰＵ２１へ出力する。このコマンドを入力した制御装置内ＣＰＵ２１は、ネットワーク１を介して上記決済依頼元の接客端末１０に対して、「リーダライタ宛」電文（上記「カードデータ書き込み」コマンドを含む）を送信する。

この電文を受信した接客端末１０の接客端末内ＣＰＵ１１は、リーダ／ライタ１２に対して、上記「カードデータ書き込み」コマンドを出力する。このコマンドを受けたリーダ／ライタ１２は、顧客から提示されたＩＣカード２に、上記決済処理結果データを書き込む。そして、「カードデータ書き込み結果」データを接客端末内ＣＰＵ１１に出力する。これに応じて、接客端末内ＣＰＵ１１は、ネットワーク１を介して制御装置２０に対して、「リーダライタ応答」電文（上記「カードデータ書き込み結果」データを含む）を送信する。

この電文を受信した制御装置２０の制御装置内ＣＰＵ２１は、セキュリティモジュール２２に対して、上記「カードデータ書き込み結果」データを出力する。このデータを受けたセキュリティモジュール２２は、「決済結果」データを制御装置内ＣＰＵ２１へ出力する。このデータを受けた制御装置内ＣＰＵ２１は、ネットワーク１を介して上記決済依頼元の接客端末１０に対して、「セキュリティモジュール応答」電文（上記「決済結果」データを含む）を送信する。この電文を受信した接客端末１０の接客端末内ＣＰＵ１１は、上記「決済結果」を表示装置１３に表示させると共に印字装置１５によりレシートに印字させる。

尚、上記接客端末内ＣＰＵ１１、制御装置内ＣＰＵ２１は、上記ネットワーク１上に上記各種電文を送出する際には、盗聴等を防止する為にデータの暗号化を行ったり、各端末の成り済ましを防止する為に、端末１０−装置２０間の相互認証を行うことが望ましい(何れも既存技術を用いればよい。例えば公開鍵暗号化方式による暗号化や、ＳＳＬをベースとした通信方式を用いる)。

上記動作を簡単にまとめると、以下の通りとなる。
まず、リーダ／ライタ１２とセキュリティモジュール２２は、それ自体は、従来のリーダ／ライタ１０３、セキュリティモジュール１０２と同じである。但し、本例のリーダ／ライタ１２とセキュリティモジュール２２は、それぞれ別の装置に搭載されているので、セキュリティモジュール２２はリーダ／ライタ１２を直接制御することができない。それ故、接客端末内ＣＰＵ１１及び制御装置内ＣＰＵ２１が、セキュリティモジュール２２−リーダ／ライタ１２間のコマンド／データ（“決済処理に必要なコマンド／データ”）のやりとりを中継している。

図３に、上記ネットワーク上を流れる電文のデータ構成図を示す。
図示の電文３０（パケット）は、ネットワークヘッダ３１とデータ部３２から成る。
ネットワークヘッダ３１には、接客端末情報３３、制御装置情報３４、電子マネー種別３５、及び電文種別３６が格納される。

接客端末情報３３、制御装置情報３４は、それぞれ、当該電文３０の送信元／送信先の接客端末／制御装置のアドレス（ＩＰアドレス等）である。
電子マネー種別３５は、決済依頼するセキュリティモジュールの識別情報である。これは、図１では制御装置２０内にセキュリティモジュールは１つのみであるが、これが複数ある場合に対応する情報である。すなわち、現在、電子マネーは、複数種類の方式が存在しているので、それぞれに対応するセキュリティモジュールを、制御装置２０内に搭載することが考えられる。これより、制御装置内ＣＰＵ２１は、上記電子マネー種別３５によって上記決済指示を出力するセキュリティモジュールを決定することになる。

電文種別３６は、上記各電文の種類である。図２に示す例では、電文の種類としては、セキュリティモジュール宛電文、リーダ／ライタ宛電文、リーダ／ライタ応答電文、及びセキュリティモジュール応答電文の４種類あるが、これを大別すると、リーダ／ライタ１
２−セキュリティモジュール２２間の電文、ＣＰＵ１１−セキュリティモジュール２２間の電文の２種類となる。電文種別３６は、この２種類の電文（又は上記４種類の電文）の何れであるかを示すデータである。尚、図２の例では、ＣＰＵ１１−セキュリティモジュール２２間の電文は、セキュリティモジュール宛電文とセキュリティモジュール応答電文である。リーダ／ライタ１２−セキュリティモジュール２２間の電文を受信した場合、ＣＰＵ１１又はＣＰＵ２１は、単に、この電文のデータ部３２に格納されているコマンド／データを取り出して、これをリーダ／ライタ１２又はセキュリティモジュール２２に出力し、その結果としてリーダ／ライタ１２又はセキュリティモジュール２２から出力されるコマンド／データを、ネットワーク１を介して接客端末１０又は制御装置２０に送信する処理を行う。

データ部３２には、上記決済指示、カードデータ読出し指示、カードデータ読出し結果、カードデータ書き込み指示、カードデータ書き込み結果、決済結果等の各種コマンド／データが格納される。

以上説明した本例のＩＣカード決済システム等によれば、セキュリティモジュールを安全性の高い場所（制御装置２０等）に隔離することにより、セキュリティモジュールが盗難によって解析される可能性を極めて低くし、セキュリティ性を更に高めることができる。更に、レジ等に設置される接客端末１０は、セキュリティモジュールを搭載する必要がない分、その筐体サイズの小型化を測ることができる。

尚、上記制御装置内ＣＰＵ２１によって実行される各種処理は、制御装置内ＣＰＵ２１内のメモリ、又は制御装置２０内の不図示の記憶部（メモリ等）に、予め記憶されている所定のアプリケーションプログラムを、接客端末内ＣＰＵ１１が実行することにより実現される。同様に、上記接客端末内ＣＰＵ１１によって実行される各種処理は、接客端末内ＣＰＵ１１内のメモリ、又は接客端末１０内の不図示の記憶部（メモリ等）に、予め記憶されている所定のアプリケーションプログラムを、制御装置内ＣＰＵ２１が実行することにより実現される。

次に、以下、本例のＩＣカード決済システムの第２の実施例について説明する。
第２の実施例は、特に、上述した“１つのロケーション内に複数の決済端末が設けられる”場合に対応する実施例である。

図４に、第２の実施例におけるＩＣカード決済システムのシステム構成例である。
図４のシステムでは、複数の接客端末１０（接客端末Ａ、Ｂ、Ｃ）と複数の制御装置２０（制御装置Ｄ，Ｅ）が、ネットワーク１に接続している。ネットワーク１は、例えば上記１つのロケーション内に配設されるＬＡＮ等の内部ネットワークである。あるいは、上述した１対１接続の専用線で各端末／装置同士を接続してもよい（配線数が多くなるが）。

接客端末Ａ、Ｂ、Ｃは、上述したデパート等のロケーション内の各レジ等に設けられる。制御装置Ｄ，Ｅは例えば当該ロケーション内の安全性の高い場所（従業員／責任者以外立ち入り禁止の場所等）に設置される。

図示の接客端末Ａ、Ｂ、Ｃ及び制御装置Ｄ，Ｅの構成自体は、図１に示す構成と同じである。但し、本例では、各接客端末Ａ、Ｂ、Ｃの接客端末内ＣＰＵ１１は図５（ａ）に示す例のような制御装置登録テーブル４０を記憶しており、各制御装置Ｄ，Ｅの制御装置内ＣＰＵ２１は図５（ｂ）に示す例のような接客端末登録テーブル５０を記憶している。

図５（ａ）に示す制御装置登録テーブル４０は、電子マネー種別４１、優先度４２、登
録制御装置４３の各データ項目より成る。すなわち、制御装置登録テーブル４０には、各接客端末１０で扱う電子マネーの種別と、この電子マネー種別に応じた決済指示先の制御装置２０が登録されており、更に同一の電子マネー種別に関して決済指示先の制御装置２０が複数登録されている場合には、優先度４２が登録されている。例えば図５（ａ）に示す内容のテーブル４０を記憶している接客端末１０の場合、電子マネーａによる決済を行う場合には、テーブル４０を参照することで、まず、優先度が高い（ここでは優先度‘１’＞優先度‘２’とする）制御装置Ｄに対して、決済指示を送る。

ここで、図４に示す本例のシステムでは、一台の制御装置２０（セキュリティモジュール）を複数台の接客端末１０が共有できるので、従来では各接客端末１０毎にセキュリティモジュールを備える必要があったが、例えば、電子マネーａに関して一台の制御装置２０（１つのセキュリティモジュール）を備えるだけで済み、システム全体としてコストダウンが図れる。しかしながら、一方で、任意の接客端末１０が決済依頼中（セキュリティモジュールを占有している）間は、他の接客端末１０が決済指示を送っても直ちに決済処理を行うことができず、場合によっては長時間待たされることになる。

この問題の第１の解決方法として、上記の例では、電子マネーａの決済処理を行う制御装置２０を複数台、ネットワーク１に接続すると共に、例えば制御装置Ｄに対して、決済指示を送った後、例えば一定時間経過しても応答がない場合（あるいは、制御装置Ｄから“Busy”の応答があった場合）、制御装置Ｄの次に優先度が高い制御装置Ｅに対して、決済指示を送るように、接客端末１０の接客端末内ＣＰＵ１１は制御を行っている。

また、上記の通り、各制御装置２０は、例えば図５（ｂ）に示す例のような接客端末登録テーブル５０を記憶している。接客端末登録テーブル５０は、登録接客端末５１と電子マネー種別５２の各データ項目を有する。

そして、制御装置２０は、任意の接客端末１０からの決済指示がある毎に、この決済指示の電文３０（パケット）の接客端末情報３３と電子マネー種別３５を用いてテーブル５０を検索して、該当するデータが登録されているか否かを判定する。つまり、接客端末情報３３の接客端末１０が登録済みであり且つ電子マネー種別３５と電子マネー種別５２が一致することを確認したうえで、決済処理実行を許可する。

尚、図５（ｂ）に示す例のテーブル５０を有する制御装置２０は、図示の通り、２種類の電子マネーａ、ｂの決済処理を行うことができる。この場合、この制御装置２０は、電子マネーａ用のセキュリティモジュール２２と電子マネーｂ用のセキュリティモジュール２２を備えることになる。

次に、以下、上記問題の第２の解決方法について説明する。
図６に、第２の実施例におけるＩＣカード決済システムによる決済動作手順を示す。
図６に示す動作は、図示のステップＳ１１の処理が加わっている点以外は、図２と同じであるので、その説明は省略し、ステップＳ１１に関して説明する。

まず、図２の処理では、接客端末１０において店員等がキー入力装置１４からＩＣカードによる決済指示を入力すると、接客端末内ＣＰＵ１１は、直ちに制御装置２０に対して「セキュリティモジュール宛」電文（決済指示）を送信していた。しかし、その後のＩＣカード２からのデータ読出し等の処理は、顧客が自己のＩＣカード２を提示しなければ実行できない。この為、顧客がもたつく等してＩＣカード２の提示が遅れれば、その分、処理完了まで時間が掛かることなる。

本システムでは、決済指示を送信した時点から制御装置２０のセキュリティモジュール
が占有される為、占有時間が長くなり、その間、他の接客端末１０は待たされることになる。この為、図６の処理では、上記キー入力装置１４からの決済指示入力があると、接客端末内ＣＰＵ１１はリーダ／ライタ１２に対して、ＩＣカード２を捕捉させる（ＩＣカード２からの応答信号を捕捉させる）コマンドを定期的に送信し、ＩＣカード２を捕捉できない間（ステップＳ１１，ＮＯ）は、上記決済指示の送信は行わないようにする。ＩＣカード２を捕捉できたら（ステップＳ１１，ＹＥＳ）、決済指示を送信する。

図４に示すような、制御端装置２０を複数の接客端末１０が共有するシステム構成の場合、決済頻度が多くなった場合には他の接客端末１０による決済処理が終わるまで待たされる（あるいは決済サービスが行えない）ケースも増えることが想定される為に、ＩＣカード２を確実に捕捉するまで決済指示電文を送信しないようにすることで、セキュリティモジュールの占有時間を減らし、サービス不可時間を減らすことが可能になる。

次に、以下、第３の実施例について説明する。
図７は、第３の実施例におけるＩＣカード決済システムのシステム構成例である。
図７に示す構成は、基本的には、図４に示す構成と同じであり、複数の接客端末１０（例えば図示の接客端末Ａ〜Ｎ）と複数の制御装置２０（例えば図示の制御装置Ｐ、Ｑ、Ｒ等）が、ネットワーク１に接続しており、ネットワーク１を介して相互に通信可能な構成となっている。また、接客端末１０、制御装置２０の構成は、図１に示すものと同じであってよく、同一符号を付してある。また、上記の通り、複数の制御装置２０は安全な場所に設置されている。

但し、本例では、各制御装置２０のセキュリティモジュール２２は、各々異なる電子マネー種別に対応するものであり、これに応じて各接客端末１０は、図８に示す制御装置登録テーブル６０を、例えばその接客端末内ＣＰＵ１１の内蔵メモリ等に記憶している。

図８に示す制御装置登録テーブル６０は、各電子マネー種別６１に対応する接続先制御装置６２が格納されている。図示の例では、電子マネーａについては制御装置Ｐが、電子マネーｂについては制御装置Ｑが、電子マネーｍについては制御装置Ｒが、それぞれ対応している（対応するセキュリティモジュール２２を搭載している）。つまり、この例では、図７に示す制御装置Ｐのセキュリティモジュール２２は、電子マネーａに対応するセキュリティモジュールである。制御装置Ｑ，Ｒについても図８に示す通りである。

第３の実施例における各接客端末１０は、制御装置登録テーブル６０を参照して接続先の制御装置２０を決定して、この制御装置２０に対して上記図２等に示す通信処理を行うものである。

図９に、第３の実施例における接客端末１０の処理フローチャート図を示す。
図９に示す処理では、まず、係員等がキー入力装置１４を操作して、決済を指示する入力を行うと（ステップＳ２１，ＹＥＳ）、ステップＳ２２以降の処理を開始する。ここで、本例では、係員等は、決済を指示する入力の際に、決済金額の入力と共に、使用する電子マネー種別を選択入力する操作も行う。これより、次のステップＳ２２では、上記係員等が指定した電子マネー種別に対応する制御装置２０を、制御装置登録テーブル６０を参照して求める。つまり、接続先の制御装置２０を決定する。図８に示す例では、例えば電子マネーｂが指定された場合には、制御装置Ｑが接続先の制御装置２０となる。

そして、ステップＳ２２で決定した接続先の制御装置２０との通信処理等を行って、電子マネー決済処理を実行する。この処理がステップＳ２３〜Ｓ３１の処理であるが、これらステップＳ２３〜Ｓ３１の処理は、既に図２等で説明した処理と同じである。よってここでは簡単に説明するのみとする。

まず、ステップＳ２２で決定した接続先の制御装置２０に対して、決済指示電文を送信し（ステップＳ２３）、その後は接続先の制御装置２０からの電文受信する毎に（ステップＳ２４，ＹＥＳ）、この電文がリーダ／ライタ宛電文であれば（ステップＳ２５，ＹＥＳ）この電文をリーダ／ライタ１２へ送信して（ステップＳ２６）、その後にリーダ／ライタ１２からの電文を受信したら（ステップＳ２７）、この電文を接続先の制御装置２０へ送信する（ステップＳ２８）。そして、ステップＳ２４で受信した電文が、リーダ／ライタ宛電文ではなく（ステップＳ２５，ＮＯ）、決済結果電文であれば（ステップＳ２９，ＹＥＳ）、この決済結果を出力する（表示装置に表示したり、レシート印字等する）（ステップＳ３０）。

尚、図２、図６には示していないが、制御装置２０は、任意の接客端末１０との通信中に他の接客端末１０からアクセスがあった場合、処理中であることを示す電文を返信する。これより、この電文を受信した場合には、処理中状態である旨を表示する（ステップＳ３１）。

図１０は、第３の実施例におけるＩＣカード決済システムの新規登録動作手順を示す図である。
ＩＣカード決済システムにおいて、新たな電子マネーサービスを追加する場合には、まず、新たに追加する電子マネー種別（ここでは、仮に電子マネー種別ｙとする）に対応するセキュリティモジュールを有する制御装置２０（以下、仮に制御装置Ｘとする）を、ネットワーク１に接続する。すると、制御装置Ｘは、マルチキャストで、特定の電文（登録通知電文というものとする）を、ネットワーク１上に送出する。この登録通知電文は、例えば、図３に示す電文種別３６に登録通知電文であることを示す情報、制御装置情報３４に制御装置Ｘのアドレス等が格納されたものである。

ネットワーク１に接続されている既存の各接客端末１０は、上記登録通知電文を受信すると、制御装置Ｘとの相互登録処理を開始する。すなわち、まず、制御装置Ｘに対して、接続処理を行い、登録開始電文を送信する。この登録開始電文を受信した制御装置Ｘは、制御端末情報通知電文を返信する。この電文には、制御装置Ｘが電子マネー種別ｙを扱う旨を示す情報等が含まれており、この電文を受信した接客端末１０は、この電文に含まれる情報に基づいて自己の制御装置登録テーブル６０に新規レコードを追加すると共に、制御装置Ｘに対して接客端末情報通知電文を送信する。この電文には、自端末に関する各種情報（自端末が扱う電子マネー種別や、自端末のアドレス、識別コード等）が含まれていおり、この電文を受信した制御装置Ｘは、これら各種情報と登録する（例えば、図５（ｂ）に示すテーブル５０を作成する）。

他の各接客端末１０も、上記と同様に、制御装置Ｘとの相互登録処理を実行する。
以上述べた相互登録処理によって、各接客端末１０は、新たな電子マネーサービスに対応する制御装置Ｘを認識・登録し、それ以降は、上記電子マネー種別ｙの電子マネーサービスを顧客に提供できる（顧客は、電子マネー種別ｙのＩＣカードを利用可能となる）。

従来では、新たな電子マネーサービスを追加する場合には、この新規電子マネー種別に対応するセキュリティモジュールを各接客端末１０に追加搭載する必要があり、手間、コストが掛かっていたが、本手法のＩＣカード決済システムでは、上記制御装置Ｘをネットワーク１に接続するだけで済み、手間、コストが掛からず容易に新たな電子マネーサービスを追加することができる。

図１１は、第３の実施例におけるＩＣカード決済システムの他の構成例である。
図１１に示す構成のうち、図７に示す構成と異なる点についてのみ説明する。すなわち
、図１１に示す構成でもネットワーク１に複数の制御装置が接続されているが、そのうち図示の制御装置７０は、従来で説明した図１４の構成に対応する構成である。すなわち、制御装置７０には、セキュリティモジュール２２は備えられていない。代わりに、制御装置７０のＣＰＵ７１に、セキュリティモジュール２２の機能が備えられている。すなわち、ＣＰＵ７１の不図示の内蔵メモリ等には、セキュリティモジュール２２の機能を実現する為のデータ、アプリケーションプログラム等が格納されている。つまり、ＣＰＵ７１の不図示の内蔵メモリ等には、上述した電子マネ−決済処理に必要な各種データ、すなわち認証鍵や暗号鍵のデータ、ＩＣカードとの取引データ等の重要情報が保持されると共に、これら認証鍵や暗号鍵等を用いてＩＣカードとの間でセキュアな通信を実現する所定のアプリケーションプログラムが格納されている。

これより、図１１の構成のＩＣカード決済システムにおける決済動作では、図２の動作ではＣＰＵ２１がＣＰＵ１１とセキュリティモジュール２２とのやり取りを中継していたのに対して、この様な中継処理は必要なくなり、直接、セキュリティモジュール２２と同様の処理を行って、処理結果電文を返信する等の処理を行うものとなる。

従来で説明した図１４の構成の場合でも、新たな電子マネーサービスを追加する場合には、各接客端末毎にそのＣＰＵの内蔵メモリに、新規電子マネー種別に対応するセキュリティモジュールの機能を実現する為の上記データ、アプリケーションプログラム等を追加する必要があり、手間が掛かっていたが、本手法によれば、新たな電子マネー種別に対応するセキュリティモジュールの機能を実現するＣＰＵを備えた制御装置７０を、ネットワーク１に接続すれば済むので、新たな電子マネーサービスの追加に伴う手間が簡略化される。

また、従来で説明した通り、セキュリティモジュールを用いない構成の場合、セキュリティ上問題があったが、本手法では、制御装置７０は、制御装置２０と同様に（第２の実施例で説明したように）安全な場所に設置することにより、盗難によって鍵等の重要情報が解析される可能性を極めて低くすることができ、セキュリティ上の問題をほぼ解消できる。

尚、電子マネーに関する処理は、上記決済処理に限らず、例えば電子マネーの積み増し等、様々な処理があるが、ここでは決済処理には、これら他の処理も含まれるものとして定義する。

ＩＣカード決済システムの構成図である。 ＩＣカード決済システムによる決済動作手順を示す図である。 電文のデータ構成図である。 第２の実施例におけるＩＣカード決済システムのシステム構成例である。 （ａ）は制御装置登録テーブル、（ｂ）は接客端末登録テーブルの一例である。 第２の実施例におけるＩＣカード決済システムによる決済動作手順を示す図である。 第３の実施例におけるＩＣカード決済システムのシステム構成例である。 制御装置登録テーブルの一例である。 第３の実施例における接客端末の処理フローチャート図である。 第３の実施例におけるＩＣカード決済システムの新規登録動作手順を示す図である。 第３の実施例におけるＩＣカード決済システムの他の構成例である。 従来の決済端末の構成図（その１）である。 従来の電子マネ−決済処理を示す図（その１）である。 従来の決済端末の構成図（その２）である。 従来の電子マネ−決済処理を示す図（その２）である。

符号の説明

１ ネットワーク
２ ＩＣカード
１０ 接客端末
１１ 接客端末内ＣＰＵ
１２ リーダ／ライタ
１３ 表示装置
１４ キー入力装置
１５ 印字装置
２０ 制御装置
２１ 制御装置内ＣＰＵ
２２ セキュリティモジュール
２１ａ，２１ｂ，２２ａ、２２ｂ 通信ポート
３０ 電文（パケット）
３１ ネットワークヘッダ
３２ データ部
３３ 接客端末情報
３４ 制御装置情報
３５ 電子マネー種別
３６ 電文種別
４０ 制御装置登録テーブル
４１ 電子マネー種別
４２ 優先度
４３ 登録制御装置
５０ 接客端末登録テーブル
５１ 登録接客端末
５２ 電子マネー種別
６０ 制御装置登録テーブル
６１ 電子マネー種別
６２ 接続先制御装置
７０ 制御装置
７１ ＣＰＵ

Claims (9)

1. ＩＣカード・リーダ／ライタを備える接客端末と制御装置とがネットワークに接続されたシステムであって、
   前記制御装置は、ＩＣカード内の電子マネーを用いる決済処理を行うセキュリティモジュールと、該セキュリティモジュールに接続した第１の制御手段とを有し、
   前記接客端末は、前記ＩＣカード・リーダ／ライタに接続した第２の制御手段を有し、
   前記セキュリティモジュールが前記決済処理を行う為に必要な該セキュリティモジュールと前記ＩＣカード・リーダ／ライタとの間のコマンド／データのやりとりを、前記第１の制御手段と第２の制御手段とが中継することで前記決済処理を実行することを特徴とするＩＣカード決済システム。
2. 前記接客端末又は／及び前記制御装置は、複数台、前記ネットワークに接続され、１台の制御装置の前記セキュリティモジュールを複数台の接客端末が共有することを特徴とする請求項１記載のＩＣカード決済システム。
3. 前記接客端末は、前記決済処理の依頼先として複数の制御装置とその優先度を記憶する第１の記憶手段を更に有し、該優先度が高い順に決済処理依頼が受け付けられるまで順次、制御装置に対して決済処理を依頼することを特徴とする請求項２記載のＩＣカード決済システム。
4. 前記接客端末は、決済指示を受けると、前記ＩＣカードを捕捉できるまで、前記決済処理を依頼しないことを特徴とする請求項２記載のＩＣカード決済システム。
5. 前記複数台の制御装置は、各々、特定の電子マネー種別に対応する前記セキュリティモジュールを有し、
   前記各接客端末は、各々、各電子マネー種別毎に対応する制御装置を記憶する接続先制御装置記憶手段を更に有し、任意に指定された電子マネー種別に対応する制御装置を該接続先制御装置記憶手段を参照して求め、該求めた制御装置にアクセスすることで前記決済処理を実行可能とすることを特徴とする請求項２記載のＩＣカード決済システム。
6. 新たな電子マネー種別に対応するセキュリティモジュールを有する制御装置が前記ネットワークに接続されると、該制御装置は該ネットワーク上にマルチキャストで登録通知電文を送出し、
   該登録通知電文を受信した前記各接客端末は、該登録通知電文の送信元の前記制御装置とアクセスして登録処理を実行することで、前記新たな電子マネー種別と該新たな電子マネー種別に対応する前記制御装置とを、前記接続先制御装置記憶手段に登録することを特徴とする請求項５記載のＩＣカード決済システム。
7. 前記各制御装置は、前記セキュリティモジュールを無くし、前記セキュリティモジュールの機能を前記第１の制御手段により実現することを特徴とする請求項１〜５の何れかに記載のＩＣカード決済システム。
8. ＩＣカード・リーダ／ライタを備える接客端末と制御装置とがネットワークに接続されたシステムにおける前記接客端末であって、
   前記ＩＣカード・リーダ／ライタに接続し、ＩＣカードによる決済処理が指示されると、前記制御装置が備えるセキュリティモジュールに対して前記ネットワークを介して決済処理を依頼し、前記制御装置から前記ネットワークを介して送られてくる、前記セキュリティモジュールによるＩＣカードからのデータ読出し又はデータ書き込み命令を前記ＩＣカード・リーダ／ライタに出力し、該ＩＣカード・リーダ／ライタから出力されるＩＣカ
   ードデータ読出し結果又は書き込み結果を、前記ネットワークを介して前記制御装置に送信する第２の制御手段を有することを特徴とするＩＣカード決済システムの接客端末。
9. ＩＣカード・リーダ／ライタを備える接客端末と制御装置とがネットワークに接続されたシステムにおける前記制御装置であって、
   ＩＣカード内の電子マネーを用いる決済処理を行うセキュリティモジュールと、
   該セキュリティモジュールに接続し、前記接客端末から前記ネットワークを介してＩＣカードによる決済処理の依頼があると、該セキュリティモジュールに決済処理を指示し、該セキュリティモジュールから出力される、前記ＩＣカード・リーダ／ライタに対するＩＣカードからのデータ読出し又はデータ書き込み命令を、前記ネットワークを介して前記接客端末に送信し、前記接客端末からＩＣカードデータ読出し結果又は書き込み結果が送られてくると、該ＩＣカードデータ読出し結果又は書き込み結果を前記セキュリティモジュールに転送する第１の制御手段と、
   を有することを特徴とするＩＣカード決済システムの制御装置。

Images