JP2015171105A - 決済端末装置 - Google Patents

Abstract

【課題】非セキュアな部分を有する場合でも、情報セキュリティを担保するための耐タンパ性を確保した上で、ユーザの錯誤が少なく安心して認証処理、決済処理等を実行できる。【解決手段】オペレーティングシステムＳＷ０は、セキュアフラグを「Ｔｒｕｅ」に設定し、セキュアモードに遷移する（Ｓ５）。ＬＥＤディスプレイ３の点灯動作が行われ、「ＳＥＣＵＲＥＤ」の文字が現れる。画面ＵＩアプリケーションＳＷ１１は、タッチパネル１０に対し、ＰＩＮ入力を促すメッセージ及びＰＩＮパッドを表示する（Ｓ６、ＳＴ１、ＳＴ２）。タッチパネル入出力／実行制御部ＳＷ１２は、タッチパネルドライバＳＷ１４を介して、タッチパネル１０からＰＩＮを入力する（Ｓ７、ＳＴ３）。ＰＩＮが入力されると、オペレーティングシステムＳＷ０は、セキュアフラグを「Ｆａｌｓｅ」に設定し、非セキュアモードに遷移する（Ｓ８）。ＬＥＤディスプレイ３の消灯動作が行われる。【選択図】図４

Description

本発明は、取引における決済処理の手続を行うために使用される情報処理装置及び情報処理方法に関する。

例えば、クレジットカードを使用した物品又は役務の（信用）取引においては、取引を行う人物と取引に使用されるクレジットカードの所有者とが同一人物であるかどうかを確認（本人確認）することにより、取引の安全性（セキュリティ）が確保されている。この本人確認は、取引の決済処理時に取引内容の印字された取引伝票に顧客がサインし、このサインとクレジットカードに記載されているサインとを店員が目視により対比することにより行われている。

近年、このような署名の入力及び表示が可能な端末装置は、スマートフォンやタブレット端末を用いて実現されている。スマートフォンやタブレット端末は民生用機器として多数流通しており、安価に調達して決済端末装置を構築することが可能となる。即ち、このような決済端末装置は、スマートフォンやタブレット端末等のように民生用機器として多数流通している情報端末を用いて構成できれば、決済端末装置自体を安価に調達可能である。また、決済処理その他の業務に用いられるアプリケーション（ソフトウェア）の開発プラットフォームの汎用化が可能となるので、開発資産の再利用や流用が容易となる。

しかしながら、民生用機器として使用されることを想定して設計された情報端末には、顧客の情報を保護して取引を安全に行うために必要な「耐タンパ性」が備わっていない。「耐タンパ性」とは、情報端末から情報を盗み出そうとする攻撃に対する耐性である。情報端末から情報を盗み出そうとする攻撃の対策として耐タンパ性を確保するため、決済処理に用いられるカードの認証情報に関わる部分（特許文献１では「セキュア部」と称されている。決済端末装置として必要な耐タンパ性を備える部分。）が汎用部分から分離された移動体装置が提案されている（例えば特許文献１参照）。

また、汎用な端末装置であっても、特に、暗証番号等のＰＩＮ(Personal Identification Number)を入力する際の情報セキュリティを確保することは必要であり、この種の耐タンパ性を確保するために、決済処理においてユーザにより入力されるＰＩＮを暗号化するＰＩＮＰＡＤを含むバンキングシステム（Banking System）が知られている（例えば特許文献２参照）。また、タッチスクリーン上で入力された情報を暗号化して送信するタッチスクリーン装置も知られている（例えば特許文献３参照）。

米国特許出願公開第２０１０／０１４５８５４号明細書 米国特許第８３７６２１９号明細書 特開２００６−１８５４４９号公報

しかしながら、上述した特許文献１〜特許文献３を含む従来の情報処理装置では、セキュアな部分についてはセキュリティが確保されるが、非セキュアな部分についてはセキュリティが不十分となる可能性があった。例えば、非セキュアな部分に、不正なアプリケーションがインストールされた場合、本人確認のための認証情報（例えば、ＰＩＮ，署名）を入力するための正規な入力領域が不正に隠される可能性があった。あるいは、不正なアプリケーションにより別の不正な入力領域が表示される可能性があった。そして、ユーザは、不正な入力領域を正規なものと錯誤して、不正な入力領域に認証情報を入力し、認証情報を奪取（フィッシング）される可能性があった。

本発明は、上述した従来の問題を解決するために、非セキュアな部分を有する場合でも、情報セキュリティを担保するための耐タンパ性を確保した上で、ユーザの錯誤が少なく安心して認証処理、決済処理等を実行できる情報処理装置及び情報処理方法を提供することを目的とする。

本発明は、耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない非セキュアな実行環境と、耐タンパ性を有するセキュアモード状態、又は耐タンパ性を有しない非セキュアモード状態を報知する報知部と、前記セキュアな実行環境に設けられ、前記報知部を制御する報知制御部と、を備える、情報処理装置である。

この構成では、情報処理装置は、セキュアな実行環境と非セキュアな実行環境とを提供し、耐タンパ性を有するセキュアモード状態又は耐タンパ性を有しない非セキュアモード状態を報知する。また、報知部の動作を制御する報知制御部は、セキュアな実行環境に設けられる。

これにより、情報処理装置は、セキュアモード状態又は非セキュアモード状態のいずれかを報知する動作をセキュアな実行環境において制御できるので、非セキュアな実行環境を提供する場合でも、情報セキュリティを担保するための耐タンパ性を確保した上で、ユーザの錯誤が少なく安心して認証処理、決済処理等を実行できる。

また、本発明は、２次元表示部、を更に備え、前記２次元表示部は、前記セキュアな実行環境において制御される、情報処理装置である。

この構成では、２次元表示部は、セキュアな実行環境において制御される。

これにより、情報処理装置は、セキュアな実行環境において、２次元表示部の動作を制御できるので、ユーザに対して、２次元表示部に表示された情報又はデータの信憑性を向上できる。

また、本発明は、前記報知部は、前記２次元表示部において報知する、情報処理装置である。

この構成では、報知部は、２次元表示部に対して報知する。

これにより、情報処理装置は、セキュアな実行環境において、セキュアモード状態であるのか又は非セキュアモード状態であるのかの報知を制御できるので、ユーザの錯誤が少なく安心して認証処理、決済処理等を実行できる。

また、本発明は、タッチパネルと、耐タンパ性を有するセキュアモードの状態と、耐タンパ性を有しない非セキュアモードの状態とを制御するモード制御部と、前記タッチパネルにより入力された入力情報を暗号化する暗号化部と、前記セキュアモード又は前記非セキュアモードの状態を報知する報知部と、所定の決済先装置に対する決済処理を実行する決済処理部と、を備え、前記モード制御部は、前記セキュアモードである場合に、前記報知部に前記セキュアモードの状態を報知させ、前記暗号化部により生成された暗号化入力情報を用いた前記決済処理を前記決済処理部に実行させる、情報処理装置である。

この構成では、情報処理装置は、セキュアモードの状態と非セキュアモードの状態とを区別して制御するとともにどちらかの状態をユーザに対して報知し、セキュアモードの状態である場合には、タッチパネルにより入力された入力情報を暗号化することで生成した暗号化入力情報を用いた決済処理を、決済処理部に実行させる。

これにより、情報処理装置は、セキュアモードの状態では、セキュアモードの状態であることがユーザに対して明示的に示すことができ、更に、タッチパネルの構造を複雑化することなく、タッチパネルにより入力された入力情報（例えばＰＩＮ情報）の暗号化により生成した暗号化入力情報を用いて決済先装置と決済処理を実行できる。従って、情報処理装置は、非セキュアな部分を有する場合でも、セキュアモードの状態である場合には、ユーザの入力操作によりタッチパネルに入力された入力情報に対する耐タンパ性を確保した上で、ユーザの錯誤が少なく安心して、安全に決済処理を実行することができる。

また、本発明は、タッチパネルと、耐タンパ性を有するセキュアモードの状態と、耐タンパ性を有しない非セキュアモードの状態とを制御するモード制御部と、前記タッチパネルにより入力された入力情報を暗号化する暗号化部と、前記セキュアモード又は前記非セキュアモードの状態を報知する報知部と、所定の決済先装置に対する決済処理を実行する決済処理部と、を備え、前記モード制御部は、前記非セキュアモードである場合に、前記報知部に前記非セキュアモードの状態を報知させ、前記入力情報を用いた前記決済処理を前記決済処理部に実行させる、情報処理装置である。

この構成では、情報処理装置は、セキュアモードの状態と非セキュアモードの状態とを区別して制御するとともにどちらかの状態をユーザに対して報知する。

これにより、情報処理装置は、非セキュアモードの状態では、非セキュアモードの状態であることがユーザに対して明示的に示すことができ、ＰＩＮ等の認証情報がユーザによって錯誤少なく安心感を持って入力され、安全に決済先装置と決済処理を実行できる。

また、本発明は、前記モード制御部は、前記セキュアモードから前記非セキュアモードに変更された場合に、前記セキュアモードの状態の報知を中止する、情報処理装置である。

この構成では、情報処理装置は、セキュアモードから非セキュアモードに変更された場合には、セキュアモードの状態の報知を中止する。

これにより、情報処理装置は、セキュアモードから非セキュアモードに変更された場合、非セキュアモードに変更されたことをユーザに容易に知らせることができる。

また、本発明は、前記モード制御部は、前記非セキュアモードから前記セキュアモードに変更された場合に、前記非セキュアモードの状態の報知を中止する、情報処理装置である。

この構成では、情報処理装置は、非セキュアモードからセキュアモードに変更された場合には、非セキュアモードの状態の報知を中止する。

これにより、情報処理装置は、非セキュアモードからセキュアモードに変更された場合、非セキュアモードに変更されたことをユーザに容易に知らせることができる。

また、本発明は、前記報知部は、前記セキュアモード又は前記非セキュアモードの状態を、ＬＥＤの点灯又は画面表示により報知する、情報処理装置である。

この構成により、情報処理装置は、セキュアモード又は非セキュアモードの状態を、ユーザに対して視覚的に分かり易く知らせることができる。

また、本発明は、タッチパネル及び決済処理部を含む情報処理装置における情報処理方法であって、耐タンパ性を有するセキュアモードと、耐タンパ性を有しない非セキュアモードとを制御するステップと、前記セキュアモード又は前記非セキュアモードの状態を報知するステップと、前記タッチパネルによる情報の入力を受け付けるステップと、前記セキュアモードである場合に、前記タッチパネルにより入力された入力情報を暗号化するステップと、前記暗号化により生成された暗号化入力情報を用いた決済処理を前記決済処理部に実行させるステップと、を有する、情報処理方法である。

この方法では、情報処理装置は、セキュアモードの状態と非セキュアモードの状態とを区別して制御するとともにどちらかの状態をユーザに対して報知し、セキュアモードの状態である場合には、タッチパネルにより入力された入力情報を暗号化することで生成した暗号化入力情報を用いた決済処理を、決済処理部に実行させる。

これにより、情報処理装置は、セキュアモードの状態では、セキュアモードの状態であることがユーザに対して明示的に示すことができ、更に、タッチパネルの構造を複雑化することなく、タッチパネルにより入力された入力情報（例えばＰＩＮ情報）の暗号化により生成した暗号化入力情報を用いて決済先装置と決済処理を実行できる。従って、情報処理装置は、非セキュアな部分を有する場合でも、セキュアモードの状態である場合には、ユーザの入力操作によりタッチパネルに入力された入力情報に対する耐タンパ性を確保した上で、ＰＩＮ等の認証情報がユーザによって錯誤少なく安心感を持って入力され、安全に決済処理を実行することができる。

更に、本発明は、タッチパネル及び決済処理部を含む情報処理装置における情報処理方法であって、耐タンパ性を有するセキュアモードと、耐タンパ性を有しない非セキュアモードとを制御するステップと、前記セキュアモード又は前記非セキュアモードの状態を報知するステップと、前記タッチパネルによる情報の入力を受け付けるステップと、前記非セキュアモードである場合、前記タッチパネルにより入力された入力情報を用いた決済処理を前記決済処理部に実行させるステップと、を有する、情報処理方法である。

この方法では、情報処理装置は、セキュアモードの状態と非セキュアモードの状態とを区別して制御するとともにどちらかの状態をユーザに対して報知する。

これにより、情報処理装置は、非セキュアモードの状態では、非セキュアモードの状態であることがユーザに対して明示的に示すことができ、ＰＩＮ等の認証情報がユーザによって錯誤少なく安心感を持って入力され、安全に決済先装置と決済処理を実行できる。

本発明によれば、セキュアモードにおいてタッチパネルで入力された情報が暗号化されるので、ＰＩＮ等の認証情報がユーザによって錯誤少なく安心感を持って入力され、耐タンパ性を確保することができる。そして、情報処理装置は、安全に決済処理を実行することができる。

（Ａ）第１の実施形態の決済端末装置の外観を示す正面図、（Ｂ）図１（Ａ）に示す決済端末装置の外観を示す側面図 第１の実施形態の決済端末装置のハードウェア構成の一例を具体的に示すブロック図 第１の実施形態の決済端末装置のソフトウェア機能を主としたシステム構成の一例を具体的に示すブロック図 第１の実施形態の決済端末装置の決済処理時における第一の動作手順を説明するフローチャート 第１の実施形態の決済端末装置の決済処理時における第二の動作手順を説明するフローチャート ＬＥＤディスプレイの点灯・消灯動作手順を説明するフローチャート セキュアモードにおける決済端末装置の外観を示す正面図 第１の実施形態の変形例のセキュアモードにおける決済端末装置の外観を示す正面図 非セキュアモードにおける決済端末装置の外観を示す正面図 第２の実施形態の決済端末装置の外観を示す正面図 第２の実施形態の決済端末装置の決済処理時における第一の動作手順を説明するフローチャート 第２の実施形態の決済端末装置の決済処理時における第二の動作手順を説明するフローチャート ＬＥＤディスプレイの点灯・消灯動作手順を説明するフローチャート セキュアモードにおける決済端末装置の外観を示す正面図 第２の実施形態の変形例の非セキュアモードにおける決済端末装置の外観を示す正面図 セキュアモードにおける決済端末装置の外観を示す正面図

以下、本発明に係る情報処理装置及び情報処理方法の実施形態（以下、「本実施形態」という）について、図面を参照して説明する。以下の本実施形態では、本発明に係る情報処理装置の一例として、商品又は役務の取引における決済処理の際に用いられる決済端末装置を例示して説明する。なお、本発明は、情報処理装置及び情報処理方法に限らず、情報処理装置に対して情報処理方法の動作を実行させるためのコンピュータ読み取り可能な記録媒体や、情報処理装置に対して情報処理方法の動作を実行させるためのプログラムとして表現しても良い。

（第１の実施形態）
図１（Ａ）は、第１の実施形態における決済端末装置１の外観を示す正面図である。図１（Ｂ）は、図１（Ａ）に示す決済端末装置１の外観を示す側面図である。本実施形態の決済端末装置１は、可搬型であり、例えば商品又は役務の取引における決済処理を含む各種情報処理を行う情報処理部２を備える構成である。

以下の説明において、「セキュア」とは、決済端末装置として、第三者（悪意のある第三者や、マルウェア等のウイルス若しくは不正アプリケーション）からの情報に対する中間者攻撃に対して必要な耐タンパ性を備えることを意味し、「非セキュア」とは、そのような耐タンパ性を備えていないことを意味する。

図１（Ａ）に示す決済端末装置１は、決済端末装置１の前面９の略中央に配置されたタッチパネル１０と、タッチパネル１０の上方に配置され、ＬＥＤ（Light Emitting Diode）素子の点灯により、「ＳＥＣＵＲＥＤ」の文字を明示的に示すＬＥＤディスプレイ３とを備える。図１（Ａ）では、ＬＥＤディスプレイ３のＬＥＤ素子は点灯していないので、「ＳＥＣＵＲＥＤ」の文字は明示的に示されていない状態である。なお、「ＳＥＣＵＲＥＤ」の文字が明示的に示された状態は、図６に示す状態を参照されたい。

また、図１（Ａ）に示す決済端末装置１は、例えば磁気カードに記録されたカード状オフを読み取るために磁気カードのスライド用のパスとなるスリット５を、情報処理部２の上側面６に備える。決済端末装置１は、例えば接触型ＩＣカードに記録されたカード情報を読み取るために接触型ＩＣカードが挿入される挿入口７を、情報処理部２の下側面８に備える。決済端末装置１は、例えば非接触型ＩＣカードに記録されたカード情報を読み取るためのループアンテナ３８を決済端末装置１の内部に備える。

（決済端末装置のハードウェア構成）
図２は、本実施形態の決済端末装置１のハードウェア構成の一例を具体的に示すブロック図である。図２に示す決済端末装置１は、ＣＰＵ２１と、局所無線通信アンテナ２３が接続された局所無線通信部２２と、広域無線通信アンテナ２５が接続された広域無線通信部２４と、マイクロホン２７及びスピーカ２８が接続された音声Ｉ／Ｆ（Interface）部２６と、表示部２９と、タッチ入力検出部３０と、フラッシュＲＯＭ３２と、ＲＡＭ３３と、ＬＥＤディスプレイ３と、磁気カードリーダ部３５と、電源部３６と、バッテリ３７と、ループアンテナ３８が接続された非接触型ＩＣカードリーダライタ部４３と、接触型ＩＣカードリーダ部４４とを含む構成である。

また、決済端末装置１は、図３に示すように、例えばＣＰＵ２１を用いて実現可能なＯＳ（Operating System：オペレーティングシステム）ＳＷ０において、仮想的にセキュアな実行環境と仮想的に非セキュアな実行環境とを提供する。オペレーティングシステム（ＯＳ）ＳＷ０は、例えばセキュアな実行環境と非セキュアな実行環境とを、例えば仮想マシン（ＶＭ：Virtual Machine）にて提供する。

決済端末装置１の情報処理部２は、図２に示す決済端末装置１の各部の処理を全体的に司るＣＰＵ（Central Processing Unit）２１を備える。図２では、決済端末装置１の各部がＣＰＵ２１に接続されている。

局所無線通信部２２は、局所無線通信アンテナ２３と接続されており、不図示の局所無線通信路を用いて、例えば無線ＬＡＮ（Local Area Network）による無線通信を行う。局所無線通信は、例えば無線ＬＡＮに限定されず、Ｂｌｕｅｔｏｏｔｈ（登録商標）その他でも良い。

広域無線通信部２４は、広域無線通信アンテナ２５と接続されており、不図示の広域無線通信路（ＷＡＮ：Wide Area Network）を介して、広域無線通信を行う。広域無線通信は、例えばＷ−ＣＤＭＡ（Wideband Code Division Multiple Access）、ＵＭＴＳ（Universal Mobile Telecommunications System）、ＣＤＭＡ（Code Division Multiple Access）２０００、ＬＴＥ（Long Term Evolution）等の携帯電話回線による通信を用いることができる。

報知部の一例としての音声Ｉ／Ｆ部２６は、マイクロホン２７及びスピーカ２８と接続され、音声の入出力を制御する。なお、マイクロホン２７、スピーカ２８及び音声Ｉ／Ｆ部２６と、広域無線通信部２４とにより、他の携帯電話や固定電話との通話が可能となる。また、スピーカ２８は、ＣＰＵ２１からの指示に応じて、後述するセキュアモードの状態或いは非セキュアモードの状態であることをユーザに対して明示的に報知し、又はユーザが決済端末装置１を操作する際に、ユーザへの注意を喚起するアラーム音や操作エラーを示すアラーム音を出力しても良い。

表示部２９は、例えばＬＣＤ（Liquid Crystal Display）又は有機ＥＬ（Electroluminescence）を用いて構成され、ＣＰＵ２１が表示を指示した情報又はデータを図１に示すタッチパネル１０に対して表示する。タッチ入力検出部３０は、タッチパネル１０に対するユーザ（例えばクレジットカード取引を取扱うクレジットカード加盟店（例えば店舗；以下では加盟店という）の店員、商品を購入した顧客）のタッチ入力を検出する。

フラッシュＲＯＭ（Read Only Memory）３２は、各種のデータを記憶する。記憶されるデータは、例えば業務に関わるデータでも良いし、決済端末装置１（主に情報処理部２）の動作を制御するためのプログラムでも良い。また、プログラムには、決済処理用のアプリケーション（ソフトウェア）等、決済端末装置１の動作に係る各種プログラムが含まれる。このため、フラッシュＲＯＭ３２は、プログラムを記録する記録媒体としての機能を有する。

ＲＡＭ（Random Access Memory）３３は、決済端末装置１（主に情報処理部２）の動作に伴う演算処理等の際に、その途中において発生する処理データを一時的に記憶する等のために用いられるワークメモリである。また、ＲＡＭ３３の特定領域には、後述するセキュアモードの状態の有無を示すセキュアフラグ（例えば、True又はFalse）や非セキュアモードの状態の有無を示す非セキュアフラグ（例えば、True又はFalse）が割り当てられる。

磁気カードリーダ部３５は、図１に示すスリット５の内部に配置され、磁気カードに印字されたカード情報としての磁気ストライプを読み取る。磁気カードリーダ部３５により読み取られたカード情報はＣＰＵ２１に入力される。

非接触型ＩＣカードリーダライタ部４３は、ループアンテナ３８と接続されており、非接触型ＩＣカードに記録されたカード情報を読み取る。非接触型ＩＣカードリーダライタ部４３により読み取られたカード情報はＣＰＵ２１に入力される。

接触型ＩＣカードリーダ部４４は、図１に示す挿入口７の内部に配置され、挿入口７に挿入された接触型ＩＣカードの電極を介して、接触型ＩＣカードに記録されたカード情報を読み取る。接触型ＩＣカードリーダ部４４により読み取られたカード情報はＣＰＵ２１に入力される。

報知部の一例としてのＬＥＤディスプレイ３は、複数のＬＥＤ素子を含むディスプレイであり、ＣＰＵ２１からの指示に応じて、複数のＬＥＤ素子を点灯又は消灯する。例えば、ＬＥＤディスプレイ３は、複数のＬＥＤ素子の点灯により、図１（Ａ）に示す「ＳＥＣＵＲＥＤ」の文字を、図６に示す「ＳＥＣＵＲＥＤ」の文字のように明示的に示すことで、セキュアモードの状態であることをユーザに対して視覚的に分かり易く知らせることができる。

電源部３６は、主に情報処理部２の電源であり、バッテリ３７に蓄積された電力の供給を受けて、ＣＰＵ２１を含む情報処理部２の各部へ電源を供給する。ＣＰＵ２１は、電源部３６を制御することで、情報処理部２を構成する一部又は全体の回路に対して電源供給を行ったり停止したりすることが可能である。電源部３６の電源供給先としては、ＣＰＵ２１以外に、局所無線通信部２２、広域無線通信部２４、表示部２９、タッチ入力検出部３０、非接触型ＩＣカードリーダライタ部４３、接触型ＩＣカードリーダ部４４、磁気カードリーダ部３５、ＬＥＤディスプレイ３の各部である。

以上の構成を含む決済端末装置１は、以下のような特徴を有する。

本実施形態では、情報処理部２は、表示部２９とタッチ入力検出部３０とにより構成されるタッチパネル１０（図１及び図２参照）と、外部の接続先機器（例えば決済センタ５０）との通信が可能な局所無線通信部２２或いは広域無線通信部２４とを含む。

近年、カードを用いた取引の決済として従来から使用されてきた磁気カードに、接触型ＩＣカード、非接触型ＩＣカード、電子マネーが加わり、カードを用いた取引の決済のスキームは多様化している。新たな決済のスキームの追加に伴って、決済端末装置１の開発費や価格は上昇する一方である。ここで、情報処理部２がスマートフォンやタブレット端末等の多数流通している民生用機器であれば、決済端末装置１自体の価格を安価にすることが可能となるので、決済端末装置１としての開発費の上昇は、最小限に抑えられる。

この場合、情報処理部２には、汎用ＯＳ（例えば図３に示すオペレーティングシステム（ＯＳ）ＳＷ０参照）がソフトウェアプラットフォームとして採用されている。従って、決済用のアプリケーション（決済アプリケーション）及びその他の業務に用いられるアプリケーション（以下、「業務アプリケーション」という）の開発プラットフォームが汎用化されるので、開発資産の再利用や流用は容易となる。また、情報処理部２の構成に民生用機器を用いることができれば、情報処理部２は、動画の録画及び再生がストレスなく可能な程度に高い演算処理能力を備えるため、決済アプリケーションと業務アプリケーションとを、ストレスなく柔軟に動作させることができる。

（決済端末装置のソフトウェア構成）
図３は、本実施形態の決済端末装置１のソフトウェア機能を主としたシステム構成の一例を具体的に示すブロック図である。図３では、決済端末装置１の情報処理部２のＣＰＵ２１において実行される各動作がソフトウェアの機能ブロックとして示されている。具体的には、オペレーティングシステム（ＯＳ）ＳＷ０と、セキュア画面ＵＩアプリケーションＳＷ１１と、タッチパネル入出力／実行制御部ＳＷ１２と、暗号化処理部ＳＷ１３と、タッチパネルドライバＳＷ１４と、ディスプレイドライバＳＷ１５と、ＩＣカード入出力ドライバＳＷ１６と、ＩＣカードリーダドライバＳＷ１７と、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８と、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９と、端末ＵＩ決済アプリケーションＳＷ３１と、ディスプレイドライバＳＷ３２と、センタ接続アプリケーションＳＷ３３との各機能がＣＰＵ２１において実行（実装）される。なお、図３において、符号ＳＴ１〜ＳＴ７は、セキュアな実行環境において、タッチパネル１０により入力されたＰＩＮ情報に関する処理の手順を示す。

本実施形態の決済端末装置１は、オペレーティングシステム（ＯＳ）ＳＷ０において、仮想化アプリケーションを用いることで、決済端末装置１のハードウェアＨＷ０に対し、セキュアな実行環境ＳＷ１と非セキュアな実行環境ＳＷ３とを別個に提供する。

セキュアな実行環境ＳＷ１には、セキュア画面ＵＩアプリケーションＳＷ１１と、タッチパネル入出力／実行制御部ＳＷ１２と、暗号化処理部ＳＷ１３と、タッチパネルドライバＳＷ１４と、ディスプレイドライバＳＷ１５と、ＩＣカード入出力ドライバＳＷ１６と、ＩＣカードリーダドライバＳＷ１７と、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８と、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９と、オペレーティングシステム（ＯＳ）ＳＷ０とが設けられる。

モード制御部の一例としてのオペレーティングシステム（ＯＳ）ＳＷ０は、決済端末装置１のセキュアモードの状態と非セキュアモードの状態とを区別して管理し、セキュアな実行環境及び非セキュアな実行環境を管理する基本ソフトウェアであり、例えばＷｉｎｄｏｗｓ（登録商標）又はＬｉｎｕｘ（登録商標）である。なお、各実施形態ではオペレーティングシステム（ＯＳ）ＳＷ０がセキュアモード及び非セキュアモードの各状態を区別して管理するとして説明するが、タッチパネル入出力／実行制御部ＳＷ１２により管理されても良く、以下の各実施形態においても同様である。

ここで、セキュアモードとは、決済端末装置１が取り扱う情報又はデータとして、例えば決済端末装置１のタッチパネル１０により入力された入力情報の情報セキュリティ（機密性、完全性、可用性）を担保可能な耐タンパ性を仮想的に与える状態である。従って、本実施形態では、セキュアモードの状態が継続していることをセキュアフラグによって示し、セキュアフラグが「Ｔｒｕｅ」である場合にはセキュアモードの状態であり、セキュアフラグが「Ｆａｌｓｅ」である場合には非セキュアモードの状態である。

一方、非セキュアモードとは、決済端末装置１が取り扱う情報又はデータとして、例えば決済端末装置１のタッチパネル１０により入力された入力情報の情報セキュリティ（機密性、完全性、可用性）を担保可能な耐タンパ性を仮想的に与えない状態である。従って、第２の実施形態では、非セキュアモードの状態が継続していることを非セキュアフラグによって示し、非セキュアフラグが「Ｔｒｕｅ」である場合には非セキュアモードの状態であり、非セキュアフラグが「Ｆａｌｓｅ」である場合にはセキュアモードの状態である。

タッチパネルドライバＳＷ１４は、タッチパネル１０の動作を制御し、タッチパネル１０により入力された認証情報（例えば暗証番号であるＰＩＮ情報）を取得してタッチパネル入出力／実行制御部ＳＷ１２に出力する。

タッチパネル入出力／実行制御部ＳＷ１２は、オペレーティングシステム（ＯＳ）ＳＷ
から出力されたセキュアフラグ又は非セキュアフラグに応じて、タッチパネルドライバＳＷ１４から出力された認証情報の入出力の管理、及び当該ＰＩＮ情報の入出力に関する動作の実行を制御する。タッチパネル入出力／実行制御部ＳＷ１２は、セキュアフラグ又は非セキュアフラグに応じて、暗号化処理部ＳＷ１３をアクティブ化したり非アクティブ化したりする。

具体的には、タッチパネル入出力／実行制御部ＳＷ１２は、セキュアフラグが「Ｆａｌｓｅ」（非セキュアフラグが「Ｔｒｕｅ」）である場合には、暗号化処理部ＳＷ１３を非アクティブ化し、セキュアフラグが「Ｔｒｕｅ」（非セキュアフラグが「Ｆａｌｓｅ」）である場合には、暗号化処理部ＳＷ１３をアクティブ化する。

タッチパネル入出力／実行制御部ＳＷ１２は、タッチパネルドライバＳＷ１４から出力されたＰＩＮ情報とＩＣカードに登録されたＰＩＮ情報とを照合し、照合の結果、両者が一致すると判断した場合に、セキュアモードであればＰＩＮ情報を暗号化処理部ＳＷ１３を出力し、ＰＩＮ情報を暗号化処理部ＳＷ１３に暗号化させる。

一方、タッチパネル入出力／実行制御部ＳＷ１２は、タッチパネルドライバＳＷ１４から出力されたＰＩＮ情報とＩＣカードに登録されたＰＩＮ情報とが一致すると判断した場合でも、非セキュアモードであればＰＩＮ情報の暗号化を実行させない。また、タッチパネル入出力／実行制御部ＳＷ１２は、ＰＩＮ情報をユーザに対して入力を促す旨のメッセージの表示をセキュア画面ＵＩアプリケーションＳＷ１１に指示する。

暗号化部の一例としての暗号化処理部ＳＷ１３は、決済センタ５０において復号可能な暗号鍵を所持しており、この暗号鍵を用いて、タッチパネル入出力／実行制御部ＳＷ１２から出力されたＰＩＮ情報を暗号化してタッチパネル入出力／実行制御部ＳＷ１２に出力する。なお、暗号化処理には、決済センタ５０と同じ鍵を用いた共通鍵方式による暗号化でも良いし、暗号化処理部ＳＷ１３及び決済センタ５０が各自の秘密鍵を所持し、かつ相手の公開鍵を所持する公開鍵暗号方式による暗号化でも良い。

セキュア画面ＵＩアプリケーションＳＷ１１は、タッチパネル入出力／実行制御部ＳＷ１２からの指示に応じて、セキュアな情報が入力される表示画面をタッチパネル１０に表示する。具体的には、セキュア画面ＵＩアプリケーションＳＷ１１は、ＰＩＮ情報の入力をユーザに対して促すためのメッセージを表示し、入力されるＰＩＮ情報を隠すためにアスタリスク（＊）を桁単位で表示し、又は決済処理を中止した旨のメッセージを表示する。

ディスプレイドライバＳＷ１５は、タッチパネル１０を構成する表示部２９の動作を制御し、例えばタッチパネル入出力／実行制御部ＳＷ１２やセキュア画面ＵＩアプリケーションＳＷ１１から出力された文字若しくは画像のデータを取得して表示部２９に表示させる。

ＩＣカードリーダドライバＳＷ１７は、接触型ＩＣカードリーダ部４４や非接触型ＩＣカードリーダライタ部４３の動作を制御し、読み取られたカード情報をＩＣカード入出力ドライバＳＷ１６に渡す。このＩＣカードリーダドライバＳＷ１７は、非接触型ＩＣカードリーダライタ部４３及び接触型ＩＣカードリーダ部４４のそれぞれに対して、独立した個別のカードリーダドライバが実装されてもよい。

ＩＣカード入出力ドライバＳＷ１６は、ＩＣカードリーダドライバＳＷ１７から出力されたカード情報をタッチパネル入出力／実行制御部ＳＷ１２に出力する。

非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８は、セキュアフラグ（本実施形態参照）又は非セキュアフラグ（第２の実施形態参照）に応じて、ＬＥＤディスプレイ３の複数のＬＥＤ素子を点灯（オン）又は消灯（オフ）に設定する。

非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９は、ＬＥＤディスプレイ３の動作を制御し、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８の設定に従って、ＬＥＤディスプレイ３の一つまたは複数のＬＥＤ素子の点灯又は消灯を制御する。ＬＥＤディスプレイ３における「ＳＥＣＵＲＥＤ」の点灯／消灯は、セキュアな実行環境ＳＷ１の下で、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８がタッチパネル入出力／実行制御部ＳＷ１２からの指示を受けて、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９を制御することにより行われる。

例えば、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９は、セキュアフラグが「Ｔｒｕｅ」である場合には、セキュアモードである状態をユーザに対して明示的に知らせるために、ＬＥＤディスプレイ３を点灯させる（図６参照）。一方、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９は、セキュアフラグが「Ｆａｌｓｅ」である場合には、非セキュアモードである状態をユーザに対して明示的に知らせるために、ＬＥＤディスプレイ３を消灯させる（図１（Ａ）参照）。

以上に述べた構成において重要なのは、非セキュア／セキュアの表示を行うＬＥＤディスプレイ３の点灯／消灯の制御が、セキュアな実行環境ＳＷ１の下で行われる、ということである。セキュアモードの状態においては、セキュアモードであることがユーザに対して明示的に示される。従って、情報処理装置は、非セキュアな部分を有する場合でも、セキュアモードの状態において、ユーザは錯誤が少なく安心して、タッチパネル１０への情報入力を行うことができる。それとともに情報処理装置は、ユーザの入力操作によりタッチパネル１０に入力された入力情報に対する耐タンパ性を確保することができる。

次に、非セキュアな実行環境ＳＷ３には、端末ＵＩ決済アプリケーションＳＷ３１と、ディスプレイドライバＳＷ３２と、センタ接続アプリケーションＳＷ３３と、オペレーティングシステム（ＯＳ）ＳＷ０とが設けられる。

端末ＵＩ決済アプリケーションＳＷ３１は、オペレーティングシステム（ＯＳ）ＳＷ０からの指示に応じて、非セキュアな情報が入力される表示画面をタッチパネル１０に表示する。例えば、端末ＵＩ決済アプリケーションＳＷ３１は、決済処理における各種の情報（決済関連情報）を表示させ、各種の入力操作を受け付ける。更に、端末ＵＩ決済アプリケーションＳＷ３１は、センタ接続アプリケーションＳＷ３３によって接続された決済センタ５０と通信を行い、暗号化処理部ＳＷ１３により生成された暗号化ＰＩＮ情報又は暗号化されなかった平文の情報（例えば決済金額、支払方法）をオペレーティングシステム（ＯＳ）ＳＷ０から取得し、この暗号化ＰＩＮ情報又は平文の情報を含む決済関連情報（暗号化ＰＩＮ情報、カード情報（例えばＩＣカードのカード発行会社、対応するブランド、カード番号）、売上処理情報（例えば決済金額、支払い方法）など）の送受信を、決済センタ５０との間で行う。

ディスプレイドライバＳＷ３２は、タッチパネル１０を構成する表示部２９の動作を制御し、例えばタッチパネル入出力／実行制御部ＳＷ１２や端末ＵＩ決済アプリケーションＳＷ３１から出力された決済画面、文字若しくは画像のデータを取得して表示部２９に表示させる。

センタ接続アプリケーションＳＷ３３は、端末ＵＩ決済アプリケーションＳＷ３１から出力された決済関連情報のデータを、接続先機器である決済センタ５０等に送信するように、局所無線通信部２２又は広域無線通信部２４に指示する。

決済端末装置１は、図３に示すソフトウェアの機能ブロックを有することにより、例えばユーザの入力操作に応じて、セキュアな実行環境において主体的に動作するセキュアモードと、非セキュアな実行環境において主体的に動作する非セキュアモードとを交互に切り替えて動作可能である。

（決済端末装置１の決済処理時における動作手順）
次に、本実施形態の決済端末装置１の決済処理時における動作について、図４及び図５を参照して説明する。図４は、第１の実施形態の決済端末装置１の決済処理時における第一の動作手順を詳細に説明するフローチャートである。図５は、第１の実施形態の決済端末装置の決済処理時における第二の動作手順を説明するフローチャートである。決済端末装置１は、情報処理部２（図１及び図２参照）にインストールされた端末ＵＩ決済アプリケーションＳＷ３１（図３参照）を実行させて、決済処理の手続を開始する。図４及び図５の説明の前提として、決済端末装置１は、非セキュアモードの状態とする。また、図５の説明では、図４の説明と異なる内容について説明し、同一の内容については同一のステップ番号を付して説明を簡略化又は省略する。

図４又は図５において、まず、オペレーティングシステムＳＷ０は、非セキュアモードの状態であることを示すために、セキュアフラグを「Ｆａｌｓｅ」に設定する（Ｓ１）。セキュアフラグが「Ｆａｌｓｅ」に設定されると、ＬＥＤディスプレイ３の消灯動作が行われる（図５に示すステップＳ２２参照）。

端末ＵＩ決済アプリケーションＳＷ３１は、決済金額情報及び支払方法の入力を受け付けると（Ｓ２）、カードの読取り操作を促すためのメッセージをタッチパネル１０の画面（図１（Ａ）参照）に表示させる（Ｓ３）。

ＩＣカード入出力ドライバＳＷ１６は、ユーザのＩＣカードのスリット５へのスライド、挿入口７への挿入又は決済端末装置１の前面９への近接のいずれかの操作により、ＩＣカードを読み取るまで待機する（Ｓ４）。ＩＣカードが読み取られると（Ｓ４、ＹＥＳ）、オペレーティングシステムＳＷ０は、セキュアモードの状態に変更されたことを示すために、セキュアフラグを「Ｔｒｕｅ」に変更する（Ｓ５）。セキュアフラグが「Ｔｒｕｅ」に変更されると、ＬＥＤディスプレイ３の点灯動作が行われる（図５に示すステップＳ２５参照）。

セキュア画面ＵＩアプリケーションＳＷ１１は、タッチパネル１０に対し、ＰＩＮ情報の入力をユーザに対して促すためのメッセージと、ソフトウェアキーボードの一例としてのＰＩＮパッド６４（図６参照）を表示する（Ｓ６、図３のＳＴ１、ＳＴ２参照）。

タッチパネル入出力／実行制御部ＳＷ１２は、タッチパネルドライバＳＷ１４を介して、タッチパネル１０により入力されたＰＩＮ情報を入力する（Ｓ７、図４のＳＴ３参照）。

ＰＩＮ情報がタッチパネル入出力／実行制御部ＳＷ１２に入力されると、オペレーティングシステムＳＷ０は、非セキュアモードの状態に変更されたことを示すために、セキュアフラグを「Ｆａｌｓｅ」に変更する（Ｓ８）。セキュアフラグが「Ｆａｌｓｅ」に変更されると、ＬＥＤディスプレイ３の消灯動作が行われる（図５に示すステップＳ２２参照）。ＬＥＤディスプレイ３Ａにおける「ＳＥＣＵＲＥＤ」の点灯／消灯は、セキュアな実行環境ＳＷ１の下で、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８がタッチパネル入出力／実行制御部ＳＷ１２からの指示を受けて、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９を制御することにより行われる。

図４に示すＰＩＮ照合が必要な決済処理時における第一の動作手順において、ステップＳ７において入力されたＰＩＮ情報は、ステップＳ４において読み取りを行ったＩＣカード（不図示）が復号可能な鍵によって暗号化されてもよい（Ｓ９）。ステップＳ７においてタッチパネル１０により入力されたＰＩＮ情報は、暗号化処理部ＳＷ１３に出力され、暗号化処理部ＳＷ１３により暗号化されてもよい。又は、このようなＰＩＮ情報の暗号化は、暗号化処理部ＳＷ１３とは別に設けられた不図示の暗号化処理部により行われてもよい。そして、暗号化処理部ＳＷ１３又は不図示の暗号化処理部により暗号化されたＰＩＮ情報（暗号化ＰＩＮ情報）は、タッチパネル入出力／実行制御部ＳＷ１２に出力されてもよい。

タッチパネル入出力／実行制御部ＳＷ１２は、ＰＩＮ情報又は暗号化ＰＩＮ情報を、ＩＣカード入出力ドライバＳＷ１６及びＩＣカードリーダドライバＳＷ１７を介して、ＩＣカードに渡す（Ｓ１０）。

ＩＣカードは、タッチパネル入出力／実行制御部ＳＷ１２より得られたＰＩＮ情報又は暗号化ＰＩＮ情報を復号したデータとＩＣカードに予め登録されているＰＩＮ情報とを照合し、それらのＰＩＮの照合結果を出力する（Ｓ１１）。タッチパネル入出力／実行制御部ＳＷ１２は、ＩＣカードから出力されたＰＩＮの照合結果を、ＩＣカードリーダドライバＳＷ１７及びＩＣカード入出力ドライバＳＷ１６を介して入力する。

タッチパネル入出力／実行制御部ＳＷ１２は、ステップＳ７において入力されたＰＩＮ情報とステップＳ４において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果がＩＣカードから得られれば、オペレーティングシステムＳＷ０を介して、非セキュアな実行環境ＳＷ３上にある端末ＵＩ決済アプリケーションＳＷ３１に対して、その後の決済処理としての売上処理を指示する（Ｓ１２、図３のＳＴ７参照）。

非セキュアな実行環境ＳＷ３において、端末ＵＩ決済アプリケーションＳＷ３１は、ステップＳ７において入力されたＰＩＮ情報とステップＳ４において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果が得られれば、その後の決済処理としての売上処理を行う。売上処理後の売上処理データは、センタ接続アプリケーションＳＷ３３を介して、決済センタ５０へと送信される。なお、ステップＳ１２に示す売上処理データの売上処理は、顧客が商品を購入した場合又は役務の提供を受けた場合に都度、実行されても良いし、決済端末装置１と決済センタ５０との通信が所定のタイミング（例えば１週間に１回）において行われ、その際に他の売上処理データとともに一括で処理されても良い。

一方、タッチパネル入出力／実行制御部ＳＷ１２は、ステップＳ１１におけるＰＩＮ情報の照合の結果、両者が一致しないと判断した場合には、セキュア画面ＵＩアプリケーションＳＷ１１に対し、タッチパネル１０に決済処理を中止する旨のメッセージの表示を実行させる（Ｓ１３）。タッチパネル入出力／実行制御部ＳＷ１２は端末ＵＩ決済アプリケーションＳＷ３１に対して売上処理を指示せず、その後の決済処理の手続は中止される。

図５に示すＰＩＮ照合が必要な決済処理時における第二の動作手順において、タッチパネル入出力／実行制御部ＳＷ１２は、ステップＳ７においてタッチパネル１０により入力されたＰＩＮ情報を暗号化処理部ＳＷ１３に出力し、ＰＩＮ情報を暗号化処理部ＳＷ１３に暗号化させる。

暗号化処理部ＳＷ１３は、決済センタ５０（若しくはアクワイアラ、以下同じ）において復号可能な暗号鍵を用いて、タッチパネル入出力／実行制御部ＳＷ１２から出力されたＰＩＮ情報を暗号化してタッチパネル入出力／実行制御部ＳＷ１２に出力する（Ｓ９Ａ、図３のＳＴ５、ＳＴ６参照）。タッチパネル入出力／実行制御部ＳＷ１２は、暗号化ＰＩＮ情報（暗号化入力ＰＩＮ）を、オペレーティングシステムＳＷ０を介して、非セキュアな実行環境ＳＷ３（非セキュアＶＭ）上の端末ＵＩ決済アプリケーションＳＷ３１に渡す（Ｓ１０Ａ、図３のＳＴ７参照）。

非セキュアな実行環境ＳＷ３において、端末ＵＩ決済アプリケーションＳＷ３１は、センタ接続アプリケーションＳＷ３３を介して決済センタ５０と通信し、ステップＳ９Ａにおいて生成された暗号化ＰＩＮ情報を送信し、ステップＳ４において読み取られたカードのカード情報を用いた与信照会を行う（Ｓ１１Ａ）。

決済センタ５０は、決済端末装置１の端末ＵＩ決済アプリケーションＳＷ３１から受信したＰＩＮ情報を復号し、決済センタ５０において管理されているＰＩＮ情報と復号されたＰＩＮとを照合する。これら２つのＰＩＮ情報が一致し、かつ照合対象のカードが取引上問題無いと確認された（例えばブラックリストに載っていない）場合（Ｓ１１Ａ、ＹＥＳ）、決済センタ５０は、決済端末装置１のセンタ接続アプリケーションＳＷ３３を介して、端末ＵＩ決済アプリケーションＳＷ３１に対して与信を行う。

決済端末装置１の端末ＵＩ決済アプリケーションＳＷ３１は、ステップＳ１１Ａにおける決済センタ５０の与信を受けて、その後の決済処理としての売上処理を行い（Ｓ１２）、決済センタ５０との通信を終了する。なお、ステップＳ１２に示す売上処理データの売上処理は、顧客が商品を購入した場合又は役務の提供を受けた場合に都度実行されても良いし、決済端末装置１と決済センタ５０との通信が所定のタイミング（例えば１週間に１回）において行われ、その際に他の売上処理データとともに一括で処理されても良い。

一方、暗号化ＰＩＮ情報の照合又はカード情報を用いた与信照会が失敗した旨が決済センタ５０から返信された場合には（Ｓ１１Ａ、ＮＯ）、端末ＵＩ決済アプリケーションＳＷ３１は、決済処理を中止する旨のメッセージの表示を指示する。タッチパネル入出力／実行制御部ＳＷ１２は、セキュア画面ＵＩアプリケーションＳＷ１１に対し、タッチパネル１０に決済処理を中止する旨のメッセージの表示を実行させる（Ｓ１３）。タッチパネル入出力／実行制御部ＳＷ１２は端末ＵＩ決済アプリケーションＳＷ３１に対して売上処理を指示せず、その後の決済処理の手続は中止される。

なお、図４のステップＳ９又は図５のステップＳ９Ａにおいて暗号化処理部ＳＷ１３における暗号化処理は、ステップＳ７とステップＳ８との間のタイミングに実行されても良い。

次に、本実施形態の決済端末装置１におけるＬＥＤディスプレイ３の点灯・消灯動作手順について、図６を参照して説明する。図６は、ＬＥＤディスプレイ３の点灯・消灯動作手順を説明するフローチャートである。図６の説明の前提として、決済端末装置１は、非セキュアモードの状態とする。

図６において、タッチパネル入出力／実行制御部ＳＷ１２は、非セキュアモードの状態である場合には、暗号化処理部ＳＷ１３を非アクティブ化し（Ｓ２１）、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８に対し、ＬＥＤディスプレイ３の消灯を指示する。非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８は、タッチパネル入出力／実行制御部ＳＷ１２からの指示に応じて、ＬＥＤディスプレイ３を消灯に設定し、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９に対し、ＬＥＤディスプレイ３の消灯を指示する（Ｓ２２）。これにより、ＬＥＤディスプレイ３は消灯し、図１（Ａ）に示すように、「ＳＥＣＵＲＥＤ」の文字は点灯しない。

この後、オペレーティングシステム（ＯＳ）ＳＷ０又はタッチパネル入出力／実行制御部ＳＷ１２は、セキュアフラグが「Ｔｒｕｅ」に変更されたか否かを判別する（Ｓ２３）。なお、セキュアフラグの変更は、オペレーティングシステム（ＯＳ）ＳＷ０又はタッチパネル入出力／実行制御部ＳＷ１２によって、例えばユーザの入力操作に応じて変更されても良いし、所定のタイミング（例えばＰＩＮ情報が入力されるタイミング、ＰＩＮ情報の入力が完了したタイミング）に変更されても良い。

セキュアフラグが「Ｆａｌｓｅ」である場合には（Ｓ２３、ＮＯ）、タッチパネル入出力／実行制御部ＳＷ１２は、暗号化処理部ＳＷ１３の非アクティブ化を継続する。このため、ＬＥＤディスプレイ３の消灯した状態が維持される。

一方、セキュアフラグが「Ｔｒｕｅ」に変更された場合には（Ｓ２３、ＹＥＳ）、タッチパネル入出力／実行制御部ＳＷ１２は、暗号化処理部ＳＷ１３をアクティブ化し（Ｓ２４）、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８に対し、ＬＥＤディスプレイ３の点灯を指示する。非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８は、タッチパネル入出力／実行制御部ＳＷ１２からの指示に応じて、ＬＥＤディスプレイ３を点灯に設定し、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９に対し、ＬＥＤディスプレイ３の点灯を指示する（Ｓ２５）。これにより、ＬＥＤディスプレイ３は点灯し、図７に示すように、「ＳＥＣＵＲＥＤ」の文字が点灯する。

この後、オペレーティングシステムＳＷ０又はタッチパネル入出力／実行制御部ＳＷ１２は、セキュアフラグが「Ｆａｌｓｅ」であるか否かを判別する（Ｓ２６）。セキュアフラグが「Ｔｒｕｅ」である場合には（Ｓ２６、ＮＯ）、ステップＳ２４〜Ｓ２６の動作が繰り返され、一方、セキュアフラグが「Ｆａｌｓｅ」に変更された場合には（Ｓ２６、ＹＥＳ）、ステップＳ２１以降の動作に戻る。

なお、本実施形態では、図６に示す点灯・消灯動作の処理は、図４又は図５に示す処理とは別ルーチンで繰り返し実行されるが、図４又は図５のステップＳ１でセキュアフラグが設定されたことや、ステップＳ５、Ｓ８でセキュアフラグが変更されたことをトリガとして実行されても良い。

図７は、セキュアモードにおける決済端末装置１の外観を示す正面図である。セキュアモードの状態である場合には、「ＳＥＣＵＲＥＤ」の文字を点灯するための複数のＬＥＤ素子を含むＬＥＤディスプレイ３Ａが点灯する。

図４又は図５に示すステップＳ６に対応したＰＩＮ情報の入力を促すためのメッセージとして、図７に示すタッチパネル１０には、「暗証番号を入力して下さい。」の文字６１と、入力された暗証番号（ＰＩＮ）が表示される入力ボックス６２と、矢印マーク６３と、暗証番号（ＰＩＮ）を入力させるためのソフトウェアキーボードであるＰＩＮパッド６４とが表示される。また、図４又は図５に示すステップＳ７において、ＰＩＮ情報が入力されると、タッチパネル１０に表示された入力ボックス６２には、入力の度にアスタリスク「＊」が表示される。

以上に述べた構成において重要なのは、非セキュア／セキュアの表示を行うＬＥＤディスプレイ３の点灯／消灯の制御が、セキュアな実行環境ＳＷ１の下で行われる、ということである。セキュアモードの状態においては、セキュアモードであることがユーザに対して明示的に示される。従って、決済端末装置１（情報処理装置）は、非セキュアな部分を有する場合でも、セキュアモードの状態において、ユーザは錯誤が少なく安心して、タッチパネル１０への情報入力を行うことができる。それとともに決済端末装置１（情報処理装置）は、ユーザの入力操作によりタッチパネル１０に入力された入力情報に対する耐タンパ性を確保することができる。

以上により、第１の実施形態の決済端末装置１は、セキュアフラグの「Ｔｒｕｅ」と「Ｆａｌｓｅ」とによってセキュアモードであるか非セキュアモードであるかを明確に区別して管理し、セキュアモードの状態では、セキュアモードであることをユーザに対して視覚的に分かり易く知らせることができ、更に、タッチパネル１０により入力されたＰＩＮ情報を暗号化するので、特許文献２のようにタッチパネルを特別な構造とすることなく、入力されたＰＩＮ情報のセキュリティを的確に確保することができる。従って、本実施形態の決済端末装置１は、ＰＩＮ等の認証情報がユーザによって錯誤少なく安心感を持って入力され、タッチパネル１０により入力されたＰＩＮ情報のセキュリティを担保するための耐タンパ性を確保することができる。そして情報処理装置は、安全に決済処理を実行することができる。

また、本実施形態の決済端末装置１は、セキュアモードから非セキュアモードに変更された場合には、セキュアモードであることを示すための報知（ＬＥＤディスプレイ３の点灯）を中止するので、非セキュアモードに変更されたことをユーザに対して容易に知らせることができる。

（第１の実施形態の変形例）
第１の実施形態の変形例の決済端末装置１Ａは、ＬＥＤディスプレイ３の構成を有さず、ＬＥＤディスプレイ３の代わりに、タッチパネル１０に対してセキュアモードの状態であることを示す画像を表示する。

図８は、第１の実施形態の変形例のセキュアモードにおける決済端末装置１Ａの外観を示す正面図である。図７と図８との違いは、ユーザがＰＩＮ情報を入力する場合に、ＬＥＤディスプレイ３によりセキュアモードの状態が示されるのではなく、タッチパネル１０に、セキュアモードの状態であることを示す「ＳＥＣＵＲＥＤ」の文字を含むセキュア画像７１が表示されることである。「ＳＥＣＵＲＥＤ」のタッチパネル１０への表示／非表示は、セキュアな実行環境ＳＷ１の下で、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８がタッチパネル入出力／実行制御部ＳＷ１２からの指示を受けて、ディスプレイドライバＳＷ１５を制御することにより行われる。

図９は、非セキュアモードにおける決済端末装置１Ａの外観を示す正面図である。非セキュアモードの状態では、図８のようにセキュア画像７１は表示されず、ＩＣカードの読み取りをユーザに対して促す場合には、図１（Ａ）と比べて、「カードの読み取りを行って下さい。」の文字７３が表示されるだけである。

このように、第１の実施形態の変形例では、決済端末装置１Ａは、タッチパネル１０にセキュア画像７１を表示することで、ユーザに対してセキュアモードの状態であることを視覚的に分かり易く示すことができる。

以上に述べた構成において重要なのは、非セキュア／セキュアの表示を行うタッチパネル１０の表示制御が、セキュアな実行環境ＳＷ１の下で行われる、ということである。セキュアモードの状態においては、セキュアモードであることがユーザに対して明示的に示される。従って、決済端末装置１Ａ（情報処理装置）は、非セキュアな部分を有する場合でも、セキュアモードの状態において、ユーザは錯誤が少なく安心して、タッチパネル１０への情報入力を行うことができる。それとともに決済端末装置１Ａ（情報処理装置）は、ユーザの入力操作によりタッチパネル１０に入力された入力情報に対する耐タンパ性を確保することができる。

（第２の実施形態）
上述した第１の実施形態では、決済端末装置１は、図７に示す「ＳＥＣＵＲＥＤ」の文字を点灯するための複数のＬＥＤ素子を含むＬＥＤディスプレイを点灯することで、セキュアモードの状態であることを視覚的に分かり易く示した。

第２の実施形態では、決済端末装置１Ｂは、「ＮＯＮ−ＳＥＣＵＲＥＤ」の文字を点灯するための複数のＬＥＤ素子を含むＬＥＤディスプレイ３Ａを点灯することで、非セキュアモードの状態であることを視覚的に分かり易く示す場合について説明する。

また、第２の実施形態の決済端末装置１Ｂは第１の実施形態の決済端末装置１とほぼ同一の構成を有するので、第１の実施形態の決済端末装置１と同一の構成要素については同一の符号を用いることで、説明を簡略化又は省略し、異なる内容について説明する。

図１０は、第２の実施形態の決済端末装置１Ｂの外観を示す正面図である。第２の実施形態では、決済端末装置１Ｂの前面９の上部には、ＬＥＤディスプレイ３Ａが配置されている。ＬＥＤディスプレイ３Ａは、決済端末装置１Ｂが非セキュアモードである場合に、「ＮＯＮ−ＳＥＣＵＲＥＤ」の文字を点灯するための複数のＬＥＤ素子を含む。また、ＲＡＭ３３には、上述した非セキュアフラグが割り当てられている。

（決済端末装置１Ｂの決済処理時における動作手順）
次に、本実施形態の決済端末装置１Ｂの決済処理時における動作について、図１１及び図１２を参照して説明する。図１１は、第２の実施形態の決済端末装置１Ｂの決済処理時における第一の動作手順を説明するフローチャートである。図１２は、第２の実施形態の決済端末装置１Ｂの決済処理時における第二の動作手順を説明するフローチャートである。図１１又は図１２に示すフローチャートの説明では、第１の実施形態の決済端末装置１に対応する図４又は図５に示すフローチャートの説明と同一の内容については同一のステップ番号を付して説明を簡略化又は省略し、異なる内容について説明する。図１１及び図１２の説明の前提として、決済端末装置１Ｂは、非セキュアモードの状態とする。

図１１又は図１２において、まず、オペレーティングシステムＳＷ０は、非セキュアモードの状態であることを示すために、非セキュアフラグを「Ｔｒｕｅ」に設定する（Ｓ１Ａ）。非セキュアフラグが「Ｔｒｕｅ」に設定されると、ＬＥＤディスプレイ３Ａの点灯動作が行われる（図１３に示すステップＳ２２Ａ参照）。

また、ステップＳ４においてＩＣカードが読み取られると（Ｓ４、ＹＥＳ）、オペレーティングシステムＳＷ０は、セキュアモードの状態に変更されたことを示すために、非セキュアフラグを「Ｆａｌｓｅ」に変更する（Ｓ５Ａ）。非セキュアフラグが「Ｆａｌｓｅ」に変更されると、ＬＥＤディスプレイ３Ａの消灯動作が行われる（図１３に示すステップＳ２５Ａ参照）。

また、ステップＳ７でＰＩＮ情報がタッチパネル入出力／実行制御部ＳＷ１２に入力されると、オペレーティングシステムＳＷ０は、非セキュアモードの状態に変更されたことを示すために、非セキュアフラグを「Ｔｒｕｅ」に変更する（Ｓ８Ａ）。非セキュアフラグが「Ｔｒｕｅ」に変更されると、ＬＥＤディスプレイ３Ａの点灯動作が行われる（図１３に示すステップＳ２２Ａ参照）。ＬＥＤディスプレイ３Ａにおける「ＮＯＮ−ＳＥＣＵＲＥＤ」の点灯／消灯は、セキュアな実行環境ＳＷ１の下で、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８がタッチパネル入出力／実行制御部ＳＷ１２からの指示を受けて、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９を制御することにより行われる。

次に、本実施形態の決済端末装置１ＢにおけるＬＥＤディスプレイ３Ａの点灯・消灯動作手順について、図１３を参照して説明する。図１３は、ＬＥＤディスプレイ３Ａの点灯・消灯動作手順を説明するフローチャートである。図１３に示すフローチャートの説明では、第１の実施形態の決済端末装置１に対応する図６に示すフローチャートの説明と同一の内容については同一のステップ番号を付して説明を簡略化又は省略し、異なる内容について説明する。図１３の説明の前提として、決済端末装置１Ｂは、非セキュアモードの状態とする。

図１３において、タッチパネル入出力／実行制御部ＳＷ１２は、非セキュアモードの状態である場合には、暗号化処理部ＳＷ１３を非アクティブ化し（Ｓ２１）、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８に対し、ＬＥＤディスプレイ３Ａの点灯を指示する。非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８は、タッチパネル入出力／実行制御部ＳＷ１２からの指示に応じて、ＬＥＤディスプレイ３Ａを点灯に設定し、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９に対し、ＬＥＤディスプレイ３Ａの点灯を指示する（Ｓ２２Ａ）。これにより、ＬＥＤディスプレイ３Ａは点灯し、図１０に示すように、「ＮＯＮ−ＳＥＣＵＲＥＤ」の文字が点灯する。

この後、オペレーティングシステムＳＷ０又はタッチパネル入出力／実行制御部ＳＷ１２は、非セキュアフラグが「Ｆａｌｓｅ」に変更されたか否かを判別する（Ｓ２３Ａ）。なお、非セキュアフラグの変更は、オペレーティングシステム（ＯＳ）ＳＷ０又はタッチパネル入出力／実行制御部ＳＷ１２によって、例えばユーザの入力操作に応じて変更されても良いし、所定のタイミング（例えばＰＩＮ情報が入力されるタイミング、ＰＩＮ情報の入力が完了したタイミング）に変更されても良い。

非セキュアフラグが「Ｔｒｕｅ」である場合には（Ｓ２３Ａ、ＮＯ）、タッチパネル入出力／実行制御部ＳＷ１２は、暗号化処理部ＳＷ１３の非アクティブ化を継続する。このため、ＬＥＤディスプレイ３Ａの点灯した状態が維持される。

一方、非セキュアフラグが「Ｆａｌｓｅ」に変更された場合には（Ｓ２３Ａ、ＹＥＳ）、タッチパネル入出力／実行制御部ＳＷ１２は、暗号化処理部ＳＷ１３をアクティブ化し（Ｓ２４）、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８に対し、ＬＥＤディスプレイ３Ａの消灯を指示する。非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８は、タッチパネル入出力／実行制御部ＳＷ１２からの指示に応じて、ＬＥＤディスプレイ３Ａを消灯に設定し、非セキュア／セキュアＬＥＤ表示ドライバＳＷ１９に対し、ＬＥＤディスプレイ３Ａの消灯を指示する（Ｓ２５Ａ）。これにより、ＬＥＤディスプレイ３は点灯し、図７に示すように、「ＳＥＣＵＲＥＤ」の文字が点灯する。

この後、オペレーティングシステムＳＷ０又はタッチパネル入出力／実行制御部ＳＷ１２は、非セキュアフラグが「Ｔｒｕｅ」であるか否かを判別する（Ｓ２６Ａ）。非セキュアフラグが「Ｆａｌｓｅ」である場合には（Ｓ２６Ａ、ＮＯ）、ステップＳ２４〜Ｓ２６Ａの動作が繰り返され、一方、非セキュアフラグが「Ｔｒｕｅ」に変更された場合には（Ｓ２６Ａ、ＹＥＳ）、ステップＳ２１以降の動作に戻る。

なお、本実施形態では、図１３に示す点灯・消灯動作の処理は、図１１に示す処理とは別ルーチンで繰り返し実行されるが、図１１のステップＳ１Ａで非セキュアフラグが設定されたことや、ステップＳ５Ａ、Ｓ８Ａで非セキュアフラグが変更されたことをトリガとして実行されても良い。

図１４は、セキュアモードにおける決済端末装置１Ｂの外観を示す正面図である。セキュアモードの状態である場合には、「ＮＯＮ−ＳＥＣＵＲＥＤ」の文字を点灯するための複数のＬＥＤ素子を含むＬＥＤディスプレイ３Ａが消灯する。

図１１に示すステップＳ６に対応したＰＩＮ情報の入力を促すためのメッセージとして、図１４に示すタッチパネル１０には、「暗証番号を入力して下さい。」の文字６１と、入力された暗証番号（ＰＩＮ）が表示される入力ボックス６２と、矢印マーク６３と、暗証番号（ＰＩＮ）を入力させるためのソフトウェアキーボードであるＰＩＮパッド６４とが表示される。また、図１１に示すステップＳ７において、ＰＩＮ情報が入力されると、タッチパネル１０に表示された入力ボックス６２には、入力の度にアスタリスク「＊」が表示される。

以上に述べた構成において重要なのは、非セキュア／セキュアの表示を行うＬＥＤディスプレイ３の点灯／消灯の制御が、セキュアな実行環境ＳＷ１の下で行われる、ということである。非セキュアモードの状態においては、非セキュアモードであることがユーザに対して明示的に示される。従って、決済端末装置１Ｂ（情報処理装置）は、非セキュアな部分を有する場合でも、セキュアモードの状態において、ユーザは錯誤が少なく安心して、タッチパネル１０への情報入力を行うことができる。それとともに決済端末装置１Ｂ（情報処理装置）は、ユーザの入力操作によりタッチパネル１０に入力された入力情報に対する耐タンパ性を確保することができる。

以上により、第２の実施形態の決済端末装置１Ｂは、非セキュアフラグの「Ｔｒｕｅ」と「Ｆａｌｓｅ」とによって非セキュアモードであるかセキュアモードであるかを明確に区別して管理し、非セキュアモードの状態では、非セキュアモードであることをユーザに対して視覚的に分かり易く知らせることができ、更に、タッチパネル１０により入力されたＰＩＮ情報の暗号化を実行せず、セキュアモードの状態である場合に暗号化を実行する。これにより、決済端末装置１Ｂは、タッチパネルの構造の複雑化を最小限に抑制することができ、タッチパネル１０により入力されたＰＩＮ情報のセキュリティを担保するための耐タンパ性を確保することができる。

また、本実施形態の決済端末装置１Ｂは、非セキュアモードからセキュアモードに変更された場合には、非セキュアモードであることを示すための報知（ＬＥＤディスプレイ３Ａの点灯）を中止するので、セキュアモードに変更されたことをユーザに対して容易に知らせることができる。

（第２の実施形態の変形例）
第２の実施形態の変形例の決済端末装置１Ｃは、ＬＥＤディスプレイ３Ａの構成を有さず、ＬＥＤディスプレイ３Ａの代わりに、タッチパネル１０に対して非セキュアモードの状態であることを表す画像を表示する。

図１５は、第２の実施形態の変形例の非セキュアモードにおける決済端末装置１Ｃの外観を示す正面図である。図１０と図１５との違いは、決済端末装置１Ｃがユーザに対してＩＣカードの読み取りを促すためのメッセージを表示する場合等に、ＬＥＤディスプレイ３Ａにより非セキュアモードの状態が示されるのではなく、タッチパネル１０に、非セキュアモードの状態であることを示す「ＮＯＮ−ＳＥＣＵＲＥＤ」の文字を含む非セキュア画像７６が表示されることである。「ＮＯＮ−ＳＥＣＵＲＥＤ」のタッチパネル１０への表示／非表示は、セキュアな実行環境ＳＷ１の下で、非セキュア／セキュアＬＥＤ表示アプリケーションＳＷ１８がタッチパネル入出力／実行制御部ＳＷ１２からの指示を受けて、ディスプレイドライバＳＷ１５を制御することにより行われる。

図１６は、セキュアモードにおける決済端末装置１Ｃの外観を示す正面図である。セキュアモードの状態では、ＰＩＮ情報が入力される場合に、非セキュア画像７６は表示されない。

このように、第２の実施形態の変形例では、決済端末装置１Ｃは、タッチパネル１０に非セキュア画像７６を表示することで、ユーザに対して非セキュアモードの状態であることを視覚的に分かり易く示すことができる。

以上に述べた構成において重要なのは、非セキュア／セキュアの表示を行うタッチパネル１０の表示制御が、セキュアな実行環境ＳＷ１の下で行われる、ということである。非セキュアモードの状態においては、非セキュアモードであることがユーザに対して明示的に示される。従って、決済端末装置１Ｃ（情報処理装置）は、非セキュアな部分を有する場合でも、セキュアモードの状態において、ユーザは錯誤が少なく安心して、タッチパネル１０への情報入力を行うことができる。それとともに決済端末装置１Ｃ（情報処理装置）は、ユーザの入力操作によりタッチパネル１０に入力された入力情報に対する耐タンパ性を確保することができる。

以上、図面を参照しながら各種の実施形態について説明したが、本発明はかかる例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

例えば、上記実施形態では、ホストＯＳと仮想化アプリケーションを組み合わせてセキュアな環境及び非セキュアな環境を実現したが、この代わりに、仮想化ハイパーバイザ（仮想化マシンモニタ）を用いてセキュアな実行環境及び非セキュア実行環境を実現するようにしてもよい。

本発明は、決済端末装置の他、銀行のＡＴＭ装置等、各種のセキュアな入力を必要とする装置に適用可能である。

本発明は、例えば決済処理において使用され、構造の複雑化を最小限に抑制し、非セキュアな部分を有する場合でも、情報セキュリティを担保するための耐タンパ性を確保した上で、ユーザの錯誤が少なく安心して認証処理、決済処理等を実行できる情報端末装置及び情報処理方法として有用である。

１、１Ａ、１Ｂ、１Ｃ 決済端末装置
２ 情報処理部
３、３Ａ ＬＥＤディスプレイ
１０ タッチパネル
２１ ＣＰＵ
２２ 局所無線通信部
２３ 局所無線通信アンテナ
２４ 広域無線通信部
２５ 広域無線通信アンテナ
２６ 音声入出力部
２７ マイク
２８ スピーカ
２９ 表示部
３０ タッチ入力検出部
３２ フラッシュＲＯＭ
３３ ＲＡＭ
３５ 磁気カードリーダ部
３６ 電源部
３７ バッテリ
３８ ループアンテナ
４３ 非接触型ＩＣカードリーダライタ部
４４ 接触型ＩＣカードリーダ部
５０ 決済センタ
ＳＷ０ オペレーティングシステム（ＯＳ）
ＳＷ１ セキュアな実行環境
ＳＷ３ 非セキュアな実行環境
ＳＷ１１ セキュア画面ＵＩアプリケーション
ＳＷ１２ タッチパネル入出力／実行制御部
ＳＷ１３ 暗号化処理部
ＳＷ１４ タッチパネルドライバ
ＳＷ１５ ディスプレイドライバ
ＳＷ１６ ＩＣカード入出力ドライバ
ＳＷ１７ ＩＣカードリーダドライバ
ＳＷ１８ 非セキュア／セキュアＬＥＤ表示アプリケーション
ＳＷ１９ 非セキュア／セキュアＬＥＤ表示ドライラバ
ＳＷ３１ 端末ＵＩ決済アプリケーション
ＳＷ３２ ディスプレイドライバ
ＳＷ３３ センタ接続アプリケーション

本発明は、取引における決済処理の手続を行うために使用される決済端末装置に関する。

本発明は、上述した従来の問題を解決するために、非セキュアな部分を有する場合でも、情報セキュリティを担保するための耐タンパ性を確保した上で、ユーザの錯誤が少なく安心して認証処理、決済処理等を実行できる決済端末装置を提供することを目的とする。

本発明は、筐体に収容され、非セキュアな第１の実行環境において決済に関する金額等を表示する表示部と、セキュアな第２の実行環境において本人確認のための認証情報が入力される入力部とを含む情報処理部と、セキュアモード状態を報知する報知部と、前記セキュアな第２の実行環境に設けられ、前記報知部を制御する報知制御部と、を備え、前記報知制御部は、決済処理開始時においては前記報知部にセキュアモード状態であることを報知させず、その後少なくとも前記入力部に前記認証情報が入力されるまでに、前記報知部にセキュアモード状態を報知させる、決済端末装置である。

この構成では、決済端末装置は、非セキュアな第１の実行環境において決済に関する金額等を表示部において表示し、セキュアな第２の実行環境において本人確認のための認証情報が入力部において入力され、セキュアモード状態を報知する。また、報知部の動作を制御する報知制御部は、セキュアな第２の実行環境に設けられる。報知制御部は、決済処理開始時においてはセキュアモード状態であることを報知部に報知させず、その後少なくとも認証情報が入力部に入力されるまでに、セキュアモード状態を報知部に報知させる。

これにより、決済端末装置は、セキュアモード状態又は非セキュアモード状態のいずれかを報知する動作をセキュアな実行環境において制御できるので、非セキュアな実行環境を提供する場合でも、情報セキュリティを担保するための耐タンパ性を確保した上で、ユーザの錯誤が少なく安心して認証処理、決済処理等を実行できる。

これにより、決済端末装置は、セキュアな実行環境において、２次元表示部の動作を制御できるので、ユーザに対して、２次元表示部に表示された情報又はデータの信憑性を向上できる。

これにより、決済端末装置は、セキュアな実行環境において、セキュアモード状態であるのか又は非セキュアモード状態であるのかの報知を制御できるので、ユーザの錯誤が少なく安心して認証処理、決済処理等を実行できる。

この構成では、決済端末装置は、セキュアモードの状態と非セキュアモードの状態とを区別して制御するとともにどちらかの状態をユーザに対して報知し、セキュアモードの状態である場合には、タッチパネルにより入力された入力情報を暗号化することで生成した暗号化入力情報を用いた決済処理を、決済処理部に実行させる。

これにより、決済端末装置は、セキュアモードの状態では、セキュアモードの状態であることがユーザに対して明示的に示すことができ、更に、タッチパネルの構造を複雑化することなく、タッチパネルにより入力された入力情報（例えばＰＩＮ情報）の暗号化により生成した暗号化入力情報を用いて決済先装置と決済処理を実行できる。従って、決済端末装置は、非セキュアな部分を有する場合でも、セキュアモードの状態である場合には、ユーザの入力操作によりタッチパネルに入力された入力情報に対する耐タンパ性を確保した上で、ユーザの錯誤が少なく安心して、安全に決済処理を実行することができる。

この構成では、決済端末装置は、セキュアモードの状態と非セキュアモードの状態とを区別して制御するとともにどちらかの状態をユーザに対して報知する。

これにより、決済端末装置は、非セキュアモードの状態では、非セキュアモードの状態であることがユーザに対して明示的に示すことができ、ＰＩＮ等の認証情報がユーザによって錯誤少なく安心感を持って入力され、安全に決済先装置と決済処理を実行できる。

また、本発明は、前記報知制御部は、前記セキュアモード状態から前記非セキュアモード状態に変更された場合に、前記セキュアモードの状態の報知を終了する、決済端末装置である。

この構成では、決済端末装置は、セキュアモード状態から非セキュアモード状態に変更された場合には、セキュアモード状態の報知を終了する。

これにより、決済端末装置は、セキュアモードから非セキュアモードに変更された場合、非セキュアモードに変更されたことをユーザに容易に知らせることができる。

また、本発明は、筐体に収容され、非セキュアな第１の実行環境において決済に関する金額等を表示する表示部と、セキュアな第２の実行環境において本人確認のための認証情報が入力される入力部とを含む情報処理部と、非セキュアモード状態を報知する報知部と、前記セキュアな実行環境を有する前記第２の情報処理部に設けられ、前記報知部を制御する報知制御部と、を備え、前記報知制御部は、決済処理開始時においては前記報知部に非セキュアモード状態であることを報知させ、その後少なくとも前記入力部に前記認証情報が入力されるまでに、前記報知部に非セキュアモード状態の報知を終了させる、決済端末装置である。また、本発明は、前記報知制御部は、前記セキュアモード状態から前記非セキュアモード状態に変更された場合に、前記非セキュアモード状態の報知を開始する、決済端末装置である。

この構成では、決済端末装置は、非セキュアな第１の実行環境において決済に関する金額等を表示部において表示し、セキュアな第２の実行環境において本人確認のための認証情報が入力部において入力され、非セキュアモード状態を報知する。また、報知部の動作を制御する報知制御部は、セキュアな第２の実行環境に設けられる。報知制御部は、決済処理開始時においては非セキュアモード状態であることを報知部に報知させ、その後少なくとも認証情報が入力部に入力されるまでに、非セキュアモード状態の報知を報知部に終了させる。また、決済端末装置は、セキュアモード状態から非セキュアモード状態に変更された場合には、非セキュアモード状態の報知を開始する。

これにより、決済端末装置は、非セキュアモードからセキュアモードに変更された場合、非セキュアモードに変更されたことをユーザに容易に知らせることができる。

また、本発明は、前記報知部は、前記セキュアモード状態又は前記非セキュアモード状態を、ＬＥＤの点灯又は画面表示により報知する、決済端末装置である。

この構成により、決済端末装置は、セキュアモード又は非セキュアモードの状態を、ユーザに対して視覚的に分かり易く知らせることができる。

本発明は、筐体に収容され、決済に関する金額等を表示部において表示するとともに、ソフトウェアプラットフォームとしての汎用オペレーティングシステムの下で決済アプリケーション及びその他の業務アプリケーションを実行可能な、非セキュアな第１の実行環境と、決済に用いられるカードが正当な者によって保有されているか否かを示す認証情報が入力部を介して入力される画面を表示する、セキュアな第２の実行環境とを有する情報処理部と、セキュアモード状態を報知する報知部と、前記セキュアな第２の実行環境に設けられ、前記報知部を制御する報知制御部と、を備え、前記報知制御部は、決済処理開始時においては前記報知部にセキュアモード状態であることを報知させず、その後少なくとも前記入力部に前記認証情報が入力されるまでに、前記報知部にセキュアモード状態を報知させる、決済端末装置である。

また、本発明は、筐体に収容され、決済に関する金額等を表示部において表示するとともに、ソフトウェアプラットフォームとしての汎用オペレーティングシステムの下で決済アプリケーション及びその他の業務アプリケーションを実行可能な、非セキュアな第１の実行環境と、決済に用いられるカードが正当な者によって保有されているか否かを示す認証情報が入力部を介して入力される画面を表示する、セキュアな第２の実行環境とを有する情報処理部と、非セキュアモード状態を報知する報知部と、前記セキュアな実行環境を有する前記第２の情報処理部に設けられ、前記報知部を制御する報知制御部と、を備え、前記報知制御部は、決済処理開始時においては前記報知部に非セキュアモード状態であることを報知させ、その後少なくとも前記入力部に前記認証情報が入力されるまでに、前記報知部に非セキュアモード状態の報知を終了させる、決済端末装置である。また、本発明は、前記報知制御部は、前記セキュアモード状態から前記非セキュアモード状態に変更された場合に、前記非セキュアモード状態の報知を開始する、決済端末装置である。

Claims (10)

1. 耐タンパ性を有するセキュアな実行環境と、
   耐タンパ性を有しない非セキュアな実行環境と、
   耐タンパ性を有するセキュアモード状態、又は耐タンパ性を有しない非セキュアモード状態を報知する報知部と、
   前記セキュアな実行環境に設けられ、前記報知部を制御する報知制御部と、を備える、
   情報処理装置。
2. 請求項１に記載の情報処理装置であって、
   ２次元表示部、を更に備え、
   前記２次元表示部は、前記セキュアな実行環境において制御される、
   情報処理装置。
3. 請求項２に記載の情報処理装置であって、
   前記報知部は、前記２次元表示部において報知する、
   情報処理装置。
4. タッチパネルと、
   耐タンパ性を有するセキュアモードの状態と、耐タンパ性を有しない非セキュアモードの状態とを制御するモード制御部と、
   前記タッチパネルにより入力された入力情報を暗号化する暗号化部と、
   前記セキュアモード又は前記非セキュアモードの状態を報知する報知部と、
   所定の決済先装置に対する決済処理を実行する決済処理部と、を備え、
   前記モード制御部は、
   前記セキュアモードである場合に、前記報知部に前記セキュアモードの状態を報知させ、前記暗号化部により生成された暗号化入力情報を用いた前記決済処理を前記決済処理部に実行させる、
   情報処理装置。
5. タッチパネルと、
   耐タンパ性を有するセキュアモードの状態と、耐タンパ性を有しない非セキュアモードの状態とを制御するモード制御部と、
   前記タッチパネルにより入力された入力情報を暗号化する暗号化部と、
   前記セキュアモード又は前記非セキュアモードの状態を報知する報知部と、
   所定の決済先装置に対する決済処理を実行する決済処理部と、を備え、
   前記モード制御部は、
   前記非セキュアモードである場合に、前記報知部に前記非セキュアモードの状態を報知させ、前記入力情報を用いた前記決済処理を前記決済処理部に実行させる、
   情報処理装置。
6. 請求項４に記載の情報処理装置であって、
   前記モード制御部は、
   前記セキュアモードから前記非セキュアモードに変更された場合に、前記セキュアモードの状態の報知を中止する、
   情報処理装置。
7. 請求項５に記載の情報処理装置であって、
   前記モード制御部は、
   前記非セキュアモードから前記セキュアモードに変更された場合に、前記非セキュアモードの状態の報知を中止する、
   情報処理装置。
8. 請求項４〜７のうちいずれか１項に記載の情報処理装置であって、
   前記報知部は、
   前記セキュアモード又は前記非セキュアモードの状態を、ＬＥＤの点灯又は画面表示により報知する、
   情報処理装置。
9. タッチパネル及び決済処理部を含む情報処理装置における情報処理方法であって、
   耐タンパ性を有するセキュアモードと、耐タンパ性を有しない非セキュアモードとを制御するステップと、
   前記セキュアモード又は前記非セキュアモードの状態を報知するステップと、
   前記タッチパネルによる情報の入力を受け付けるステップと、
   前記セキュアモードである場合に、前記タッチパネルにより入力された入力情報を暗号化するステップと、
   前記暗号化により生成された暗号化入力情報を用いた決済処理を前記決済処理部に実行させるステップと、を有する、
   情報処理方法。
10. タッチパネル及び決済処理部を含む情報処理装置における情報処理方法であって、
    耐タンパ性を有するセキュアモードと、耐タンパ性を有しない非セキュアモードとを制御するステップと、
    前記セキュアモード又は前記非セキュアモードの状態を報知するステップと、
    前記タッチパネルによる情報の入力を受け付けるステップと、
    前記非セキュアモードである場合、前記タッチパネルにより入力された入力情報を用いた決済処理を前記決済処理部に実行させるステップと、を有する、
    情報処理方法。

Images