JP3950025B2 - Mobile device - Google Patents

Mobile device Download PDF

Info

Publication number
JP3950025B2
JP3950025B2 JP2002254127A JP2002254127A JP3950025B2 JP 3950025 B2 JP3950025 B2 JP 3950025B2 JP 2002254127 A JP2002254127 A JP 2002254127A JP 2002254127 A JP2002254127 A JP 2002254127A JP 3950025 B2 JP3950025 B2 JP 3950025B2
Authority
JP
Japan
Prior art keywords
coupon
data
information
additional
basic
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2002254127A
Other languages
Japanese (ja)
Other versions
JP2004094543A (en
Inventor
浩一郎 秋山
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toshiba Corp
Original Assignee
Toshiba Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toshiba Corp filed Critical Toshiba Corp
Priority to JP2002254127A priority Critical patent/JP3950025B2/en
Publication of JP2004094543A publication Critical patent/JP2004094543A/en
Application granted granted Critical
Publication of JP3950025B2 publication Critical patent/JP3950025B2/en
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Landscapes

  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Description

【０００１】
【発明の属する技術分野】
本発明は、電子的なクーポンサービスを実現する際に用いられる携帯端末、クーポン処理装置、およびクーポン管理サーバに関する。
【０００２】
【従来の技術】
クーポンサービスは店舗において新規顧客の獲得のために広く行なわれ、来店客に対する値引き等のサービス形態として定着している。これらのクーポンサービスでは店舗が新聞広告等にクーポンを印刷し、顧客はこれを店舗に持参することにより、クーポンに印刷されたサービスを受けることができる。また最近ではインターネット上に当該店舗の広告を載せるとともに、クーポン券を表示し、そのサイトを参照した者が当該クーポン券を印刷し、店舗に持参した際には、クーポン券に記載のサービスを実施するなどのクーポンサービスを実施している店舗もある。
【０００３】
従来のクーポンサービスは、クーポンを配布する際にこれを不特定多数向けに配布するため、他社のサービスを受けている顧客であっても、自社のサービスを受けている顧客であっても、同一のクーポン券で同一のサービスしか提供できない。また、クーポン券の偽造も容易である。
【０００４】
さらに、新聞広告によるクーポンサービスは広告費用がかかる上、小規模店舗などでは実施できる機会が少ない。また、インターネットによるクーポン配布では広告費はあまりかからないが、広告サイトにアクセスしてもらわないとクーポンが配布できないという問題もある。
【０００５】
一方、携帯電話や電子手帳に代表されるような携帯端末が普及してきている。これらの携帯端末は通信機能と計算機能を兼ね備えており、通信機能に関して言えば電話ができるばかりでなく、電話回線を利用したインターネット接続サービスなども普及しつつある。また近年ではBluetooth(商標)やIrDAに代表されるような近距離無線機能を兼ね備えた携帯端末も普及してきている。これらの無線機能を利用すると、近距離通信に限定されるものの、料金負担のない通信を実現できる。これら携帯端末には、計算機能が備えられているため、通信の際にデジタル署名の生成及び検証を実現することも可能である。
【０００６】
さらに、従来の地上波放送、衛星放送以外にも自動車のように移動体する物体の中、若しくは携帯端末のように移動しながら利用する機器でも視聴できるような衛星放送（モバイル放送）が計画されている。
【０００７】
【発明が解決しようとする課題】
上述のように携帯端末が普及していること、および衛星放送のように公衆が利用可能な通信手段に着目して、従来にはない電子的なクーポンを実現し、その特徴に応じた柔軟なクーポンサービスを実現することが望まれている。この場合、従来と同様、クーポンの偽造等によるクーポンサービスの不正利用を回避することが必要とされる。
【０００８】
本発明はこのような事情を考慮してなされたものであり、柔軟性と安全性を兼ね備えたクーポンサービスを実現するための携帯端末、クーポン処理装置、クーポン管理サーバを提供することを目的とする。
【０００９】
【課題を解決するための手段】
本発明に係る携帯端末は、クーポン処理装置と接続してクーポンサービスを享受可能な携帯端末であって、前記クーポンサービスの供給元からクーポンデータを取得する手段と、当該携帯端末の利用者に固有のクーポンサービスを享受するため用いることが可能な情報を該携帯端末の内部プロファイルから所定の処理手順に従い取得すると共に、該情報に基づいて前記クーポンデータに変更を加える手段と、変更が加えられた前記クーポンデータを前記クーポン処理装置に送信する手段と、を具備することを特徴とする携帯端末である。
【００１０】
本発明に係るクーポン処理装置は、クーポンサービスの供給元から発行され、携帯端末を通じて該クーポンサービスの利用者から送信されたクーポンデータを受信する手段と、当該携帯端末の利用者に固有のクーポンサービスを享受するため該携帯端末において付加された付加クーポンデータを、受信した前記クーポンデータから抽出するとともに、該付加クーポンデータに応じて前記クーポンサービスの提供内容を決定する手段と、を具備することを特徴とするクーポン処理装置である。
【００１１】
本発明に係るクーポン管理サーバは、クーポンサービスの供給元から発行され、携帯端末を通じて該クーポンサービスの利用者から送信されたクーポンデータを受信し、該クーポンデータを処理して該クーポンサービスを提供するクーポン処理装置を管理するクーポン管理サーバであって、前記利用者のプロファイル情報を記録する手段と、前記クーポンサービスの利用において前記クーポン処理装置が処理した前記携帯端末からのクーポンデータについての履歴データを記録する手段と、前記プロファイル情報及び前記履歴データに基づいて、前記クーポンデータの妥当性を検査する手段と、を具備することを特徴とするクーポン管理サーバである。
【００１２】
本発明に係るクーポン処理方法は、クーポン処理装置と接続してクーポンサービスを享受可能な携帯端末におけるクーポン処理方法であって、前記クーポンサービスの供給元からクーポンデータを取得するステップと、当該携帯端末の利用者に固有のクーポンサービスを享受するため用いることが可能な情報を該携帯端末の内部プロファイルから所定の処理手順に従い取得すると共に、該情報に基づいて前記クーポンデータに変更を加えるステップと、変更が加えられた前記クーポンデータを前記クーポン処理装置に送信するステップと、を具備することを特徴とするクーポン処理方法である。
【００１３】
本発明に係るプログラムは、コンピュータをクーポン処理装置に接続してクーポンサービスを享受するためのクーポン処理プログラムであって、前記クーポンサービスの供給元からクーポンデータを取得する機能と、前記コンピュータの利用者に固有のクーポンサービスを享受するため用いることが可能な情報を該コンピュータの内部プロファイルから所定の処理手順に従い取得すると共に、該情報に基づいて前記クーポンデータに変更を加える機能と、変更が加えられた前記クーポンデータを前記クーポン処理装置に送信する機能と、を具備することを特徴とするクーポン処理プログラムである。
【００１４】
本発明に係るデータ構造は、クーポンサービスの供給元から発行されたクーポンデータに携帯端末が変更を加えるとともに該クーポンデータを該クーポンサービスの利用時にクーポン処理装置に送信するクーポンサービスシステムに適用されるクーポンデータのデータ構造であって、前記クーポンデータは、付加クーポンデータを含み、該付加クーポンデータは、前記クーポンサービスを前記携帯端末が享受する際の変更内容と、前記携帯端末のデジタル署名と、前記デジタル署名の検証に用いられる公開鍵についての所定の認証局による公開鍵証明書と、を具備することを特徴とするクーポンデータのデータ構造である。
【００１５】
【発明の実施の形態】
以下、図面を参照しながら本発明の実施形態を説明する。まずは実施形態の説明における用語およびその意味について述べる。
【００１６】
実施形態でいう「携帯端末」とは携帯電話や電子手帳のように計算機能と通信機能を有し、移動しながらの利用を前提とした機器を意味する。また、「クーポン処理装置」とは店舗等に備えられ、計算機能と通信機能を有する機器をいい、クーポン処理機能を有する例えばＰＯＳ（point-of-sale；販売時点情報管理システム）端末などがこれにあたる。
【００１７】
実施形態でいう「利用者」及び「店舗従業員」とは、不正を起こす可能性がある者と想定しているが、その一方で、「クーポン管理サーバ」は不正を起こさないという意味で信頼できると仮定している。また、携帯端末やクーポン処理装置は、これら信頼できるサイトと信頼できないサイトとの中間的な位置付けである。例えば、携帯端末およびクーポン処理装置はたとえ出荷段階で正常であったとしても、ハッカーによる解析等によって内部構造が明らかになり、内部構造の弱点をついた不正利用の可能性が否定できない。このような不正利用の可能性は、利用者が自宅でも利用できる携帯端末によって著しく高くなる。このため携帯端末にはそのデータ格納部やデータ処理部（後述する）へのアクセスに関し、データを勝手に読み込めない、勝手に書き込めない、あるいは勝手に改竄できないという意味での耐タンパ性が必要となる。
【００１８】
いずれの実施形態においても、携帯端末、クーポン処理装置にはいくつもの機種が存在し、機種毎に解析され易さが異なるのも事実である。このため、解析された機器を排除する仕組みが導入される。この仕組みは「リボケーション」と呼ばれ、各携帯端末、クーポン処理装置に「リボケーションリスト」と呼ばれるブラックリストを配信することによって実現される。
【００１９】
同様に、利用者や店舗従業員が不正を起こすとしても、その可能性は未知数である。そこで本実施形態では過去に不正行為を行ったことのある利用者や従業員、あるいは店舗についての情報をリボケーションリストという形態で各携帯端末、クーポン処理装置に配信し、該当する利用者、従業員、あるいは店舗をクーポンシステムから排除することができるような仕組みを導入している。尚、リボケーションリスト等を参考にして不正者を排除することは「リボーク」と呼ばれている。
【００２０】
リボケーションを実現するためには、不正が起こった場合に不正行為者を確実に特定できる仕組みが重要である。本発明は柔軟なクーポンサービスを提供し、利便性を向上させる一方で、不正が起こった際に不正行為者を確実に特定できる仕組みを提供する。これにより不正行為者をシステムから排除し、不正行為自体を防止できるようにする。
【００２１】
実施形態でいうクーポンデータは、図１に示すように基本クーポンデータと付加クーポンデータから構成され、それぞれ図２および図６に示すような内部構成を有する。尚、本実施形態では説明の簡単のため、特に断らない限り全てのデータ属性は固定長であるものとする。これは、後に述べるデータ抽出方式を簡単にするためであって、固定長のデータを可変長のデータにすることは自明な変形により可能である。
【００２２】
基本クーポンデータは、例えば放送局から放送配信されるデータであり、全ての視聴者に共通のクーポン情報である。図２に示すように、基本クーポンデータは情報識別子、キーワード情報、基本クーポンデータ本体、サービス業者の公開鍵証明書、サービス業者のデジタル署名から構成されている。情報識別子はこのデータが基本クーポンデータであることを示す情報である。サービス業者のデジタル署名は、後に説明するようにサービス業者の公開鍵暗号による基本クーポンデータへのデジタル署名である。尚、デジタル署名の対象となる範囲は情報識別子と基本ポイントデータ本体である。キーワード情報は、この基本クーポンデータが何に関するクーポンであるかをキーワードの形で表現したものである。図４に示すようにキーワード情報はキーワードの個数ｎと、それに引き続くｎ個のキーワードデータから構成される。キーワードデータは、例えばハンバーガー店のクーポンの場合、「飲食店」、「軽食」、「ハンバーガー」など複数考えられ、それらが言語データもしくはコードとして記録されている。これらのキーワードは携帯端末がクーポンデータを受信する際に、受信するクーポンの選択に利用される。
【００２３】
基本クーポンデータ本体は、例えば図３のような構成であり、クーポン識別子、サービス業者ＩＤ、放送業者ＩＤ、割引額、有効期限、クーポンポリシーから構成されている。
【００２４】
サービス業者ＩＤは本クーポンサービスを提供する業者の識別子である。クーポン識別子は当該クーポンデータを他のクーポンデータから識別するためのものであって、この情報により（後に述べるように）携帯端末に重複してクーポンデータが保存されるのを防ぐことができる。サービス業者ＩＤはクーポンサービスを行う業者を特定するための情報である。放送業者ＩＤは本クーポンを送信する放送業者の識別子である。また、割引額は本クーポンを利用することにより、ディスカウントできる金額を示している。実運用されているクーポンには一律に割引金額を提示する以外に割引率で定めたり、商品毎に割り引き額（率）が異なったり、割引サービスではなく、例えば１０００円以上の買上げに付き粗品を進呈するなどのサービスも実施されている。なお、本実施形態においては説明の簡単のため全商品一律の割引額による割引サービスとする。ただし、これは実サービスにおける様々なクーポンサービスに対する本発明の適用を妨げるものではない。有効期限は本クーポンサービスの有効期限を示している。
【００２５】
クーポンポリシーデータは、図９（ａ）に示すようにクーポンポリシーの数lと、l個のクーポンポリシーからなる。個々のクーポンポリシーには、後に詳しく述べる付加クーポンデータをどのように生成するかという生成方法が示されている。本実施形態におけるクーポンポリシーは、図９（ｂ）に示すように種別情報、ポリシー識別子、適用条件、割引加算額、有効期間、有効期限延長フラグからなる。
【００２６】
種別情報は当該クーポンポリシーが必須条件であるのか、許可条件であるのかを示す情報である。ここでの必須条件とは、この条件が満たされなければクーポンサービスを実施しないというクーポンサービスを受ける際の必須の条件である。許可条件とは、条件が満たされれば記述されているクーポンサービスが受けられることを示す条件である。ポリシー識別子とは当該クーポンポリシーの識別子である。適用条件は以下の割引加算額、有効期間、有効期限延長フラグを持つ付加クーポンデータが発行されるための条件であり、本実施形態においては携帯端末のプロファイル（内部データ）に対する条件である。具体的な記述には、サービス業者側で定めた適用条件ＩＤが用いられる。例えば、「Ａ社での累積購入実績が一万円未満」を０ｘ０００１、「Ａ社での累積購入実績が１万円以上」を０ｘ０００２、「Ａ社での累積購入実績が１０万円以上」を０ｘ０００３などと定める。適用条件としては、これ以外にも後の第６のバリエーションで利用するような「個人情報（住所、氏名、年齢）の入力」などが考えられる。また、もちろんこれらの組み合わせ、「Ａ社での購入実績が１万円以上で、個人情報（住所、氏名、年齢）の入力」なども有用である。このような適用条件の記述には組み合わせ毎に適用条件ＩＤを定めるという定め方以外にも、適用条件ＩＤを併記することによって記述する方法も考えられ、後者の方がよりエレガントである。
【００２７】
尚、適用条件の記述の仕方に関しては、個々のサービス業者が都合の良いように定めるものであり、どのように定めても、サービス業者のクーポンサービスアプリケーション上で矛盾なく実装されていれば、本実施形態の処理では問題にならない。割引加算額は、基本クーポンデータが示す割引額について、適用条件が満たされた場合どのくらい加算できるかを示すものであり、有効期間は、付加クーポンデータを作成した時点からの当該付加クーポンデータがどのくらいの期間有効かを示したものである。例えば、適用条件が位置情報に関するものである場合、位置が変ってしまえばクーポンの条件が変ってしまう。即ち、店舗から遠くにいる人には割引率を高く、近くの人には割引率を低く設定するような場合、付加クーポンデータを作るのが常に会計する直前であると、誰でも一律の低い割引率になってしまう。そこで、店舗から遠い位置にいるうちにクーポンデータを確定しておく必要がある。しかし、無期限でそのクーポンが使えるのは問題なので一定の有効期間を決めるための情報である。
【００２８】
有効期限延長フラグは、有効期間から算出された有効期限が基本クーポンデータにおける有効期限を越えてしまった場合、これを延長して適用できるかを示すものであり、１の場合は延長可、０の場合は延長不可としている。
【００２９】
尚、上述の必須条件を持つクーポンポリシーが複数あった場合は、どれか１つに適用しなかった場合はクーポンの発行ができない。一方、複数の許可条件が存在した場合は次のように処理する。割引額１００円の基本クーポンデータに対し、購入実績に対するクーポン割引加算額を決めるポリシーが３つあって、それぞれ購入実績０であれば−１００円（即ち、割引なし）、１万円の購入実績があれば＋１００円、１０万円の購入実績に対しては＋１０００円という記述がなされていたとする。この場合３万円の購入実績がある顧客は１万円の購入実績はあるが１０万円の購入実績はないので、＋１００円のクーポン増額が実施され、当該基本クーポンデータは実質的に２００円の割引クーポンとして利用できる。
【００３０】
サービス業者の公開鍵証明書は、公開鍵を、後に説明する認証局によって当該公開鍵が確かにサービス業者ＩＤの公開鍵であることを証明したものである。サービス業者の公開鍵証明書は、図５に示すようにサービス業者ＩＤ、サービス業者名、有効期限、サービス業者の公開鍵、認証局のデジタル署名からなる。
【００３１】
ここで、デジタル署名に関して簡単に説明する。本実施形態でいうデジタル署名は公開鍵暗号を用いた方法であり、秘密鍵Ｋｓで署名したものを公開鍵Ｋｐで検証することによって実現される。公開鍵暗号では、公開鍵から秘密鍵を導出することは極めて困難であり、公開鍵を公開しても秘密鍵が漏れない限り、第三者がデジタル署名を作成することは事実上困難である。しかも署名を検証する公開鍵は文字通り公開しても構わない。したがって、初来店の顧客との間でも署名検証ができ、クーポンサービスのような不特定多数向けのシステムに最適である。公開鍵暗号には現在RSA暗号や楕円曲線暗号等の方式が提案されており実用化が進んでいる。
【００３２】
しかし、便利な公開鍵暗号も全く問題がないわけではない。何故なら、公開鍵暗号を実現するには公開鍵と秘密鍵のペアを生成しなくてはならないが、この生成にはそれほど時間が掛かるわけではなく、しかもソフトウェアがあれば誰でも簡単に実現できるからである。従って、通信している相手がデジタル署名付きのクーポンデータと検証用の公開鍵を送信してきても、当該公開鍵がサービス業者ＩＤから示されたサービス業者の公開鍵か否かは直ちには分からない。即ち、当該従業員になりすました何者かが、公開鍵と秘密鍵のペアを生成し、作成した秘密鍵を使ってクーポンデータに署名を付け、公開鍵を当該サービス業者のものだと偽って送信すれば、これを受信したクーポン処理装置は、送信された公開鍵でクーポンデータのデジタル署名の正当性を確認することができる。したがって、当該クーポンデータが確かにサービス業者ＩＤをＩＤに持つサービス業者によって発行されたものであると誤解されてしまう。このような不正を防ぐためには、第三者によって受信した公開鍵が確かに当該サービスのものだと証明してもらう必要がある。この証明に用いられるのが公開鍵証明書である。
【００３３】
付加クーポンデータは、視聴者固有の情報（プロファイル）に基づいて作成されるデータであり、基本クーポンデータを修正する役割を持つ。このデータが本実施形態において特徴的な部分であり、クーポンデータを視聴者毎に適切に変更することによって、より効果的なサービスを実現するとともに、不特定多数の視聴者にクーポンデータを配布してもクーポンサービスが破綻せず、販売促進につながる仕組みを提供できる。ここで、視聴者固有の情報とは携帯端末の内部情報（携帯端末内部に蓄えられた情報）であり、例えば、クーポンを発行している企業の製品購入実績、クーポンを発行している企業の関連企業の製品購入実績、配信されている放送の契約情報、あるいは携帯端末の位置情報であったりする。付加クーポン情報は例えば製品購入実績の多い顧客に対しては割引額（もしくは割り引き率）を増加させたり、製品購入実績が全くない顧客に対しては割引額（もしくは割り引き率）を減額させるために利用される。
【００３４】
携帯端末の内部情報としては、上記したものの他に、電話機能に付随する電話番号、住所、氏名やメールアドレスなどの個人情報、携帯端末の製造メーカ、および型番などのように複数の携帯端末に共通の情報など、携帯端末内部に格納され得る幅広い情報が含まれる。住所などの個人情報は、後に本実施形態のバリエーションで述べるように、クーポンに個人情報を付加することを条件にサービスを提供する時に利用される。また、携帯端末の製造メーカなどの情報は、当該製造メーカの発売する関連機器を割引する場合などに利用される。
【００３５】
図６は付加クーポンデータの構成を示す図である。情報識別子は当該情報が付加クーポンデータであることを示す識別子である。また、携帯端末の公開鍵証明書は上記サービス業者の公開鍵証明書と同様に携帯端末の公開鍵であることが認証局によって証明されたデータである。携帯端末の公開鍵証明書は図５に示したサービス業者の公開鍵証明書と同様、図８のように構成される。各構成要素の意味も原則として同様であるので繰り返さないが、サービス業者が利用者もしくは携帯端末になっていることは多少注意を要する。即ち、サービス業者への公開鍵証明書の場合は対象はサービス業者であるが、携帯端末への公開鍵証明書の場合は、認証の直接の対象は携帯端末である。これにより本来なら利用者ＩＤであるべきところを携帯端末ＩＤとしている。そのため携帯端末ＩＤ以外に利用者ＩＤを発行しているサービスにおいては、携帯端末ＩＤを利用者ＩＤに読み替えて本実施形態を適用することができる。また携帯端末のデジタル署名は携帯端末の公開鍵暗号による本データへのデジタル署名である。ここでデジタル署名の対象となる範囲は情報識別子と付加ポイントデータ本体である。
【００３６】
付加クーポンデータ本体は図７のような構成であり、携帯端末ＩＤ、割引加算額、有効期限からなる。携帯端末ＩＤは付加クーポンデータを発行した携帯端末の識別子である。割引加算額は基本クーポンデータに示された割引額に対してどれだけ加算するのかを示している。ここでは加算と述べているが、この値をマイナス値にすることによって割引額を減ずることもできる。このため結果的に割引額を０として、クーポンを無効にすることも可能である。有効期限は本付加クーポンデータの有効期限を示している。この有効期限は基本クーポンデータから内部情報に基づいてクーポンデータを作成する時に生成されるため、内部情報がクーポン割引額に有利な状態でクーポンデータを生成して格納しておく場合にその有効期限を決めている。従って、付加クーポンデータにおける有効期限と基本ポイントデータにおける有効期限との関係は主にサービス業者によって解釈される。即ち、サービス業者Ａは基本クーポンデータに示された有効期限内でしかクーポンサービスを提供しないため、付加クーポンデータにおける有効期限は基本クーポンデータにおける有効期限の範囲を出ないと解釈する。一方で、サービス業者Ｂは基本クーポンデータに示された有効期限以外でもクーポンサービスを実施しているので、付加クーポンデータの有効期限を優先する。これらの条件は基本クーポンデータ内の上記クーポンポリシーにおける有効期限延長フラグに記述される。
【００３７】
図１１は本発明の一実施形態に係るクーポンサービスシステム全体の構成を示すブロック図である。本実施形態は携帯端末１、クーポン処理装置２、クーポンサーバ３、放送衛星４、従業員カード５及び認証局６からなる。認証局６は予め各携帯端末機器向けの公開鍵証明書、各クーポン処理装置機器向けの公開鍵証明書を発行する。また、各利用者向けに各携帯端末１の公開鍵証明書、各従業員向けの公開鍵証明書を発行する。携帯端末機器向けの公開鍵証明書と利用者向けの公開鍵証明書は携帯端末１に、クーポン処理装置機器向けの公開鍵証明書はクーポン処理装置２に、従業員向けの公開鍵証明書は従業員カード５にそれぞれシステム構築時に準備される。本システムにおいて認証局６はこのような公開鍵証明書を本人（もしくは機器）を確認して、作成する役割のみを担う。
【００３８】
本発明においては後に詳しく説明するように、放送の視聴者が放送配信により基本クーポンデータを受信し、携帯端末１はユーザの指示に従って当該基本クーポンデータから携帯端末１内の情報に基づいて付加クーポン情報が付加されてクーポンデータを生成し、携帯端末１の内部に格納される。
【００３９】
生成されたクーポンデータの使用に関する全体的な処理手順を図１２に示すフローチャートに沿って、図１１を参照しながら説明する。まず携帯端末１はクーポン処理装置２と無線通信で結び、当該無線通信によって後に各装置の処理の説明で詳しく述べるプロトコルに従って顧客の持っている携帯端末１はクーポン処理装置２を、クーポン処理装置２は顧客の持っている携帯端末１をお互いに本発明の安全性規格に則った正当な機器であることを認証する（Ｓ１２０〜Ｓ１２７）。認証が成功した場合は、携帯端末１は当該クーポンデータをクーポン処理装置２に送信する。認証に成功しなかった場合、当該携帯端末１もしくはクーポン処理装置２は本実施形態で必要なだけの安全規格に則っていない可能性があるので、その時点で処理を中止する（Ｓ１２４，Ｓ１２７）。
【００４０】
次に、クーポン処理装置２は携帯端末１から携帯端末ＩＤを取得し（Ｓ１２８）、クーポン処理装置２が持っている携帯端末リボケーションリストを検索して当該携帯端末１がリボークされているか否かチェックする（Ｓ１２９）。ここでリボークされていれば直ちに処理を終了する（Ｓ１２１０）。リボークされていない時は、携帯端末１に従業員が信頼できる人かを確かめさせるためにクーポン処理装置２は従業員カード５から店舗ＩＤ、従業員ＩＤ、従業員の公開鍵証明書を取得して（Ｓ１２１１）、そのうち店舗ＩＤ、従業員ＩＤを携帯端末１に送信する。携帯端末１はこれを受けて、独自に所有している店舗従業員リボケーションリストを検索して当該店舗ＩＤ、従業員ＩＤがリボークされているか否かチェックする（Ｓ１２１２，Ｓ１２１３）。リボークされていた時は直ちに処理を終了する（Ｓ１２１４）。リボークされていなかった時は携帯端末１はクーポンデータ本体をクーポン処理装置２に送信する（Ｓ１２１５）。クーポン処理装置２ではこれを受信し（Ｓ１２１６）、当該データに含まれる基本クーポンデータと付加クーポンデータのデジタル署名をそれぞれ検証する（Ｓ１２１７）。検証に成功した場合は当該クーポンデータのうち付加クーポンデータは改竄されていないと認められるので、クーポン処理装置２はこれに対してディスカウントを行い（Ｓ１２２０）、後に詳しく述べる処理手順でクーポンログデータを作成する（Ｓ１２２１）。ステップＳ１２１８において検証不成功の場合はエラー出力して直ちに処理を終了する（Ｓ１２１９）。一方、携帯端末１は当該クーポンデータを消去して処理を終える（Ｓ１２２２）。
【００４１】
以下では携帯端末１、クーポン処理装置２、クーポンサーバ３の順に各装置の構成と処理の内容を詳しく説明する。尚、図１１のシステム構成図中の認証局６、従業員カード５については構成及びその処理手順が極めて単純であるためここでは詳しく説明しない。
【００４２】
図１３は携帯端末の全体構成を示すブロック図である。図１３において限定受信部１３１、クーポン処理部１３２、クーポン使用部１３３に関しては後に詳しく説明する。また、以下では携帯端末の処理手順を放送受信処理、受信されたクーポンの処理、店舗でのクーポン使用時の処理の順に詳しく説明する。
【００４３】
図２０は限定受信部１３１の構成を示すブロック図である。限定受信は有料放送において視聴契約者のみが受信可能とするための仕組みをいう。限定受信は、放送コンテンツを暗号化して送信し、これを復号する鍵を視聴契約者だけに配信することによって実現される。
【００４４】
限定受信を行なうためチャネル毎の契約状態を記述した情報をチャネル契約情報と呼ぶ。例えば各チャネルにチャネル番号を付け、例えば図１４（ａ）のようにチャネル番号に対応したビットが１であるか否かによりチャネルの契約状態を表したビット列がチャネル契約情報である。図１４（ａ）では第２、第５、第７、第８チャネルが契約済であることを示している。また、図１４（ｂ）のようなチャネル契約情報の形式も考えられる。即ち、１チャネルに４ビットを割り当てることで、より詳細な契約状態を表現する。ここでは上記４ビット中、１ビット目に視聴の可否（１なら可、０なら否）が、２ビット目にはクーポンの割引額１００円アップの可否（１から可、０なら否）が、３ビット目には同じくクーポンの割引額２００円アップの可否が、４ビット目には同じくクーポンの割引額５００円アップの可否が示されている。即ち、図１４（ｂ）の例においては第１チャネルは視聴契約なし、第２チャネルはクーポン割引額２００円アップの視聴契約、第８チャネルはクーポン割引額５００円アップの視聴契約が表現されている。本発明では図１４（ｂ）に示すようなチャネル契約情報を利用して当該チャネルに放送配信された基本クーポンデータに対して付加クーポンデータを作成し、視聴者個別のクーポンデータを作成する。
【００４５】
また、チャネル契約情報に当該チャネル契約情報の有効期限などチャネル契約情報に制限を加える情報や、加入者の契約形態をより詳細に表現する情報を付加して契約情報が構成される。
【００４６】
更に、上記契約情報などの個別の加入者向けの限定受信情報を個別限定受信情報、チャネルキー情報など複数の加入者に共通の限定受信情報を共通限定受信情報という。これらは限定受信情報であることが明確である文脈においては、簡単のためそれぞれ個別情報、共通情報という。
【００４７】
本実施形態においては、限定受信に図１５のような鍵構成を採用している。即ちチャネル毎に定められている全ての携帯端末に共通のワーク鍵Ｋｗを個別のマスター鍵Ｋｍで暗号化して送信する。更に、そのワーク鍵Ｋｗを使ってチャネルキーＫｃｈを暗号化して送信する。放送コンテンツはチャネルキーＫｃｈを使って慣用暗号方式で暗号化されているので、このチャネルキーで復号できる。ここでチャネルキーは解読を防ぐため通常１０分程度の短時間で変更しなくてはならない。これを送信するために個別のマスター鍵を使っていたのでは送信量が膨大となる。そのため全携帯端末に共通のワーク鍵を使う必要がある。またワーク鍵も何ヵ月という単位で同じ鍵を使うと危険なので、変更する必要があり、これを個別のマスター鍵で暗号化する仕組みとなっている。このことにより、例えマスター鍵が知られても、ワーク鍵を変更することによって無料視聴を防止することができる。
【００４８】
さて、本実施形態の限定受信システムにおいて放送携帯端末が受信するデータはコンテンツパケット、共通限定受信情報パケット、個別限定受信パケットの３種類である。コンテンツパケットは図１６に示すパケットデータ構造であり、情報識別子、チャネル識別子、チャネルキー識別子、スクランブルされた放送コンテンツからなっている。情報識別子は当該パケットの種別を示すもので、ここではコンテンツパケットであることを示す識別子を記述する。チャネル識別子は当該放送コンテンツがどのチャネルのコンテンツかを示すものである。また、チャネルキー識別子は当該放送コンテンツを復号するチャネルキーの識別子を示す。本実施形態における放送コンテンツは生の番組データもしくはクーポンパケットで、チャネルキー識別子で指定されたチャネルキーＫｃｈで暗号化されている。
【００４９】
共通限定受信パケットはチャネルキー情報パケットとも呼ばれ、図１９に示すようなパケットデータ構造を有する。この共通限定受信パケットは、情報識別子、ワーク鍵識別子、チャネル識別子、チャネルキー識別子１、チャネルキー１、チャネルキー識別子２、チャネルキー２により構成されており、チャネル識別子からチャネルキー２までの部分は、ワーク鍵識別子で示されたワーク鍵で暗号化されている。情報識別子は当該パケットの種別を示すもので、ここでは共通限定受信パケット（チャネルキー情報パケット）であることを示す識別子を記述する。チャネル識別子は当該共通限定受信情報がどのチャネルのものかを示すものである。また、ワーク鍵識別子は当該共通限定受信パケットがどのワーク鍵Ｋｗによって暗号化されているかを示す情報である。チャネルキー識別子は次に記述されているチャネルキーの識別子であり、チャネルキーはチャネル識別子で指定されているチャネルの放送コンテンツの暗号化に使われているチャネルキーを示している。ここで、チャネルキー識別子とチャネルキーが２組存在するのは、上記のようにチャネルキーは比較的短時間で変更されるため、チャネルキーの切り替えをスムーズに行う必要から現在使っているチャネルキーと次回使うチャネルキーを同時に送っているからである。もちろん、このように２組送信することは本発明には直接影響しないので、１組であっても構わない。
【００５０】
個別限定受信パケットは図１７に示すように、情報識別子、携帯端末ＩＤ、マスター鍵識別子、暗号化された契約情報からなっている。情報識別子は当該パケットの種別を示すもので、ここでは個別限定受信パケットであることを示す識別子を記述する。携帯端末ＩＤは当該契約情報を受信するべき携帯端末の識別子である。マスター鍵識別子は当該個別限定受信パケットを復号可能なマスター鍵の識別情報であり、正しく送受信されていれば、ここには当該パケットを受信した携帯端末の有するマスター鍵識別子が記述されている。
【００５１】
契約情報は、図１８に示すように、携帯端末ＩＤ、チャネル契約情報、有効期限、ワーク鍵の数ｋ及びｋ個のワーク鍵とワーク鍵識別子のペア、デジタル署名からなっている。携帯端末ＩＤは当該契約関連情報を受信するべき携帯端末の識別子であり、正常に送受信されていれば携帯端末内部の限定受信部１３１にある携帯端末ＩＤと一致したＩＤである。チャネル契約情報は上述した通り、当該携帯端末ＩＤを有する携帯端末の契約状態を示すものである。ワーク鍵識別子ｉは続くワーク鍵ｉの識別子である。本実施形態においてワーク鍵はチャネル毎に設定されているため、チャネル契約情報に対応したワーク鍵とワーク鍵識別子の組が入る。デジタル署名は当該契約情報の正当性を確認するための情報であり、主に偽造防止のために用いる。
【００５２】
尚、本実施形態ではこれら全ての情報は固定長で表現されたデータであるので、受信されたパケットから各情報を抽出する処理手順は改めて述べない。
【００５３】
次に、限定受信部１３１の構成と処理の流れを、図２０（もしくは図１３）を参照しながら図２１に示す処理手順に沿って説明する。図１３において、携帯端末は放送波を受信すると（Ｓ２１０）、それをＡ／Ｄ変換によりデジタルデータに変換する（Ｓ２１１）。次に、誤り検出／訂正を行い（Ｓ２１２）、正しく受信できたパケットのみをチャンネル選択部１３４に送信する。ここで、当該パケットが放送コンテンツ情報（パケット）である場合（Ｓ２１３）は現在視聴中のチャネルをチャネルＩ／Ｆ１３５を介して得て、チャネル選択部により視聴チャネルのみを選択するとともに限定受信部１３１内の放送フィルター部２０１に送信する。図２０に示すように、放送フィルター部２０１ではこれをデスクランブル部２０２へ送る（Ｓ２１５）。一方、共通限定受信パケット（共通制御パケット）である場合（Ｓ２１６）はチャネル選択部１３４を経て、放送フィルター部２０１から共通限定受信情報復号部２０３へ送られ（Ｓ２１７）、復号が開始される。あるいは個別限定受信パケット（個別制御パケット）である場合（Ｓ２１８）はチャネル選択部１３４を経て、放送フィルター部２０１から個別限定受信情報復号部２０４へ送られる（Ｓ２１９）。
【００５４】
コンテンツパケットに対する処理を図２２のフローチャートに沿って詳しく説明する。上記処理によって放送フィルター部２０１からデスクランブル部２０２へ送られたコンテンツパケットはチャネル識別子とチャネルキー識別子を分離され、それらをチャネルキー出力部２０５に送信し、チャネルキー出力部２０５に対してチャネルキーの出力を要請する。チャネルキー出力部２０５は契約判定部２０６での当該チャネルに対する契約判定を基に受信チャネルのチャネルキーをチャネルキー格納部２０７から抽出する（Ｓ２２０）。また、契約判定部２０６ではチャネルキー出力部２０５から送信されるチャネル識別子を受けて当該チャネルが視聴契約されているか否かをチャネル契約情報を参照して出力する。チャネルキー出力部２０５では送られてきた判定が許可であれば（Ｓ２２１）、チャネルキー格納部２０７から当該チャネルの当該チャネルキー識別子を保持したチャネルキーを得てデスクランブル部２０２へ送信し、不許可であればそこで当該コンテンツパケットに関する処理を終了する。デスクランブル部２０２では、スクランブルされたコンテンツを対応したチャネルキーで復号する（Ｓ２２２）。復号されたコンテンツデータは第２フィルター部１３４へ送信される。第２フィルター部１３４ではこれがクーポンデータであれば、クーポン処理部１３２へ送り（Ｓ２２４）、そうでなければ外部のディスプレイ等の出力装置に送信する（Ｓ２２５）。
【００５５】
次に共通限定受信パケットに関する処理手順を図２３に沿って説明する。共通限定受信パケットは放送フィルター部２０１から共通限定受信情報復号部２０３に送られる。ここで、共通情報の未暗号部に含まれるワーク鍵識別子を基にワーク鍵格納部２０８からワーク鍵を取得する（Ｓ２３０）。ここでワーク鍵が取得できなかった場合（Ｓ２３１）、処理を終了する。ワーク鍵が取得できたら、当該ワーク鍵で共通情報を復号する（Ｓ２３２）。復号された共通情報からチャネルキーＫｃｈを取得し、チャネルキー格納部２０７に格納する（Ｓ２３３）。
【００５６】
次に個別限定受信パケットに関する処理手順を図２４に沿って説明する。個別限定受信パケットは放送フィルター部２０１から個別限定受信情報復号部２０４に送られる。ここで、個別情報の未暗号部に含まれる携帯端末ＩＤを読み込み、自装置の携帯端末ＩＤと照合する（Ｓ２４０）。当該携帯端末ＩＤが自装置のそれと一致しなかった場合は本パケットの処理を終了する。一致した場合は未暗号化部に含まれるマスター鍵識別子をキーにしてマスター鍵格納部２０９からマスター鍵を取得する。更に、当該マスター鍵を使って当該個別限定受信情報を復号し（Ｓ２４１）、復号して得られたワーク鍵をワーク鍵格納部２０８に格納する（Ｓ２４２）。次に契約情報は契約情報認証部２０１０に送られ、契約情報認証部２０１０ではデジタル署名検証鍵を、デジタル署名検証鍵格納部２０１１から取得してデジタル署名を検証する（Ｓ２４３）。検証が成功した場合は契約情報を契約情報格納部２０１２へ格納して処理を終える（Ｓ２４４）。検証が失敗した場合は契約情報が偽造されたか、受信不良によって壊された可能性があるので格納せずに終了する。
【００５７】
以上で限定受信部１３１の説明を終了する。
【００５８】
次にクーポン処理部１３２について詳しく説明する。図２５はクーポン処理部１３２の構成を示すブロック図である。クーポン処理部１３２の処理には放送配信された基本クーポンデータを格納する処理と基本クーポンデータから付加クーポンデータを作成し、クーポンデータを生成する処理がある。
【００５９】
図２６は、基本クーポンデータの格納処理の処理手順を示すフローチャートである。以下では基本クーポンデータの格納処理に関して図２５の全体構成図を参照しながら、図２６のフローチャートに沿って説明する。基本クーポンデータが第２フィルター部１３４からクーポン処理部１３２へ入力されると（Ｓ２６０）、クーポンフィルター部２５１はキーワードデータ格納部２５２から格納するクーポンを絞り込むためのキーワードを抽出し、入力された基本クーポンデータのキーワード情報と比較する（Ｓ２６１）。比較の結果、マッチングが取れた場合は基本クーポンＤＢ２５３に対してクーポン識別子などをキーにして検索し（Ｓ２６３）。当該基本クーポンデータが未登録であることを確認し（Ｓ２６４）、そうである場合に登録することにより、当該基本クーポンデータに関する処理は終了する（Ｓ２６５）。ここで、入力された基本クーポンデータがキーワード情報とマッチングしなかったり（Ｓ２６２）、基本クーポンデータが基本クーポンデータＤＢ２５３に存在した場合には本基本クーポンデータに関する処理をその時点で終了する（Ｓ２６４）。
【００６０】
図２７は付加クーポンデータの生成処理の処理手順を示すフローチャートである。以下、基本クーポンデータの格納処理について、図２５の全体構成図を参照しながら図２７のフローチャートに沿って説明する。クーポン処理部１３２はクーポン使用部１３３もしくは携帯端末のインターフェースからの要請で、付加クーポンデータの生成（即ちクーポンデータの生成）処理を開始する。ここでは簡単のため、クーポンデータを作成する対象の基本クーポンデータは処理開始の段階で入力によって（クーポン識別子などをキーとして）指定されるものとする。そうでないときは本処理に先立って基本クーポンデータＤＢ２５３を検索して必要となるクーポンに対応する基本クーポンデータを抽出する必要があるが、この処理はユーザインターフェースを経由して制御部から基本クーポンデータＤＢ２５３を検索すれば行えるので、ここではあえて説明を省略する。
【００６１】
入力された基本クーポンデータのクーポンＩＤをキーにして基本クーポンデータＤＢ２５３を検索し（Ｓ２７０）、該当する基本クーポンデータを抽出する（Ｓ２７１〜Ｓ２７３）。さらに抽出した基本クーポンデータからクーポンポリシーを抽出し（Ｓ２７４）、このクーポンポリシー中の種別情報を参照して必須条件を取り出し、それらを後程詳しく述べる手段で検査する（Ｓ２７５）。ここで必須条件を満たさない場合は本基本クーポンデータに関する処理は終了する（Ｓ２７６，Ｓ２７７）。必須条件を満たす場合は種別情報を参照して許可条件を取り出し、後に詳しく述べる手段で内部情報を参照することにより、最も有利なものを選択する（Ｓ２７８）。この詳しい処理の手順も後に詳しく述べる。
【００６２】
以上の処理により、何らかのクーポンポリシーが選択されたかをチェックする。即ち、必須条件をクリアしても当該基本クーポンデータと内部情報に関して許可条件に該当するポリシーがないことがあり得るのである（Ｓ２７９）。クーポンポリシーが存在した場合には当該クーポンポリシーの割引額を付加クーポンデータの割引額として付加クーポンデータを作成する（Ｓ２７１１）。そうでないときは割引加算額を０として付加クーポンデータを作成する（Ｓ２７１０）。いずれの場合も作成されたクーポンデータを制御部２５４を経由してクーポン使用部１３３へ送信し（Ｓ２７１２）、クーポン使用部１３３では後に詳しく述べる手段により、クーポンデータＤＢに格納する（Ｓ２７１３）。
【００６３】
次に、上記クーポンポリシーから付加クーポンデータを生成する処理において必須条件のチェックに関わる処理を図２８のフローチャートに沿って説明する。先ず、基本クーポンデータの中からクーポンポリシーを抽出し（Ｓ２８０）、クーポンポリシーデータの先頭にあるクーポンポリシー数ｋを取り出し変数ｋにセットする。次にｉ＝０、ｉ＝ｉ＋１として、ｉ＞ｋをチェックする（Ｓ２８１〜Ｓ２８３）。ここで、ｉ＞ｋであれば以下で詳しく述べる必須条件のチェックを終了する。すなわち、必須条件が全て満たされていたということであり、必須条件にあてはまる旨出力して終了する（Ｓ２８４）。
【００６４】
ｉ＞ｋを満たさなかったときは、クーポンポリシーｉを抽出し（Ｓ２８５）、当該クーポンポリシーが必須条件であるかを種別情報を参照して判断する（Ｓ２８６）。必須条件でなかった場合は本処理手順における検査対象ではないので、ｉを１インクリメントして次のクーポンポリシーを検査する。
【００６５】
必須条件であった場合は、まずそれがクーポン発行回数に関するポリシーかどうかをポリシー識別子を参照してチェックする（Ｓ２８７）。もしクーポン発行回数に関するポリシーであったら、クーポン作成実績ＤＢ２５５を検索し（Ｓ２８８）、適用条件に当てはまるか否かを判定する（Ｓ２８９）。ここで、クーポン発行回数によるポリシーは、同じクーポンが複数回発行されている場合、発行回数の上限を設定するためのものである。即ち、本発明に係るクーポンデータは放送により何回も発行されるため、何回でも利用可能となってしまう。このため、その上限を定めようとするのが本必須条件の趣旨である。即ちここでの条件チェックはクーポン作成実績ＤＢ２５５からクーポン識別子をキーに検索し、その作成回数がクーポンポリシーにおける制限回数を超えないことを確認することになる。ここで作成回数が超えていた場合は必須条件に当てはまらない旨出力し、処理を終了する（Ｓ２８１０）。
【００６６】
作成回数が上限以下であった場合、もしくはそもそも当該クーポンポリシーがクーポン発行回数に関するものでなかった場合には、当該クーポンポリシーが購入実績に関するものか否かをポリシー識別子を用いてチェックする（Ｓ２８１１）。購入実績に関するクーポンポリシーとは例えば購入金額１０００円以上の顧客のみにクーポン発行を行うというように「一定額の購入実績があった人のみクーポン発行を行う」もしくは逆に「一定額未満の人のみクーポン発行を行う」といったクーポンポリシーである。このようにクーポンポリシーを定めることにより、無制限なクーポン利用を防止し、クーポンを有効な販促手段とすることが可能となる。これを実現するため、クーポン作成部２５６から購入実績ＤＢ２５７を検索し（Ｓ２８１２）、該当の購入がどのくらいあったかを調査する。そこで得られた購入金額をクーポンポリシーと比較することによって必須条件に当てはまるか否かを判定する（Ｓ２８１３）。当てはまる場合はｉを１つインクリメントし、次のクーポンポリシーを検査する（Ｓ２８２）。当てはまらなかった場合には必須条件に当てはまらなかった旨を出力して終了する（Ｓ２８１４）。
【００６７】
本実施形態では、必須条件としてクーポン発行実績と商品購入実績とを示しているので、それ以外のクーポンポリシーが入力されても、無視されるが、一般には一定額以上のポイントが溜まっているなど他の実績要素やクーポン発行団体の会員であるなどの身分情報によって決まる必須条件もあり得る。これらの必須条件を実現するためには、条件に対応するＤＢなりメモリーが必要な以外は、これまで説明してきた処理手順で可能である。
【００６８】
更に許可条件のチェックに関わる処理に関しても上述した必須条件に関する処理と同様なのでここでは省略する。
【００６９】
次に許可条件の中から一番有利な許可条件を探索する処理に関して図２９のフローチャートに沿って説明する。まず、基本クーポンデータの中からクーポンポリシーを抽出し、クーポンポリシーデータの先頭にあるクーポンポリシー数ｋを取り出し（Ｓ２９０）、変数ｋについてのカウンタｉを０にセットする。次に、付加クーポン条件（付加クーポンを作成するに当たって最も有利な条件）を格納するメモリーを初期化する（Ｓ２９２）。初期化とは、ここでは割引加算額、有効期間、有効期限延長フラグをいずれも０にセットすることである。続いてｉ＝ｉ＋１として、ｉ＞ｋをチェックする（Ｓ２９３，Ｓ２９４）。ここで、ｉ＞ｋであれば以下で詳しく述べる許可条件のチェックを終了し、付加クーポン条件に記載されている条件を最も有利な許可条件として、これを出力する（Ｓ２９１０）。
【００７０】
ｉ＞ｋを満たさなかったときは、クーポンポリシーｉを抽出し（Ｓ２９５）、当該クーポンポリシーが許可条件であるかを種別情報を参照して判断する（Ｓ２９７）。許可条件でなかった場合は本処理手順での検査対象ではないので、ｉを１インクリメントして次のクーポンポリシーを検査する。
【００７１】
許可条件であった場合は、当該クーポンポリシーに書かれている適用条件を、内部情報を参照することによって検査する。これに当てはまる場合は割引加算額、有効期間、有効期限延長フラグの情報と現在の付加クーポン条件とを比較し（Ｓ２９８）、当該クーポンポリシーで提示された条件よりも付加クーポン条件の方が有利ならば、ｉを１インクリメントして次のセキュリティポリシーを検査する。当該クーポンポリシーで提示された条件の方が有利であれば付加クーポン条件を当該クーポンポリシーで置き換える（Ｓ２９９）。
【００７２】
ここで、付加クーポンデータとクーポンポリシーの比較には、いろいろな実現形態があるが、たとえば本実施形態では次のように実現される。即ち、割引加算額、有効期間、有効期限延長フラグの順で重要度を定め、比較して割引加算額が大きい方が有利とする。割引加算額が同じ場合は有効期間が長い方を有利とする。有効期間も同じ場合は有効期限延長フラグが１のものを優先する。もちろん実際にはもっと複雑なクーポンポリシーも考えられ、このような比較が妥当でない場合もあり得る。一般の場合にはユーザビリティを向上させるため、より複雑な比較を行わなければならないばかりか、場合によっては有利な条件をユーザがユーザＩ／Ｆを通して選択する必要がある。
【００７３】
このような処理をｉをインクリメントしつつ全てのクーポンポリシーについて繰り返し、最後に付加クーポン条件を出力して終了する。尚、クーポンポリシーには購入実績の他、限定受信の契約情報、ＧＰＳによる位置情報などがある。特に位置情報に関しては携帯端末が存在する位置が店舗から遠いところであれば割引き加算額をアップし、近いところであれば割引加算額を抑えることで、効果的な集客が可能となる。これらの実現にはクーポン処理部１３２の外にあるデータが必要になるが、それは制御部を通じて収集される。
【００７４】
以上により、クーポン処理部１３２における２種類の処理の説明を終了する。
【００７５】
次にクーポン使用部１３３について詳しく説明する。図３０はクーポン使用部１３３の構成を示すブロック図である。クーポン使用部１３３ではクーポンデータＤＢ３０１に蓄えられたクーポンデータを外部のクーポン処理装置に通信手段で送信する処理を行う。しかし、送受信処理といってもここではクーポンサービスを受けるために行う処理であり、お互いに信頼できる人が信頼できる機器を使って送信／着信した正しいデータであることを証明する必要性があるため、認証処理が含まれている。
【００７６】
以下ではクーポン使用時の処理を図３１に示すフローチャートに沿って説明する。尚、送信したいクーポンデータがクーポンデータＤＢ３０１に存在しない場合には、その時点でクーポン処理部１３２へクーポン作成の指示を送り、上述した手順に従ってクーポンデータを作成し、利用する。
【００７７】
クーポンの使用を行う際は、まず顧客の携帯端末からクーポン処理装置を通信で呼び出す（Ｓ３１０）。ここで考えられる通信は電話局経由の通信ではなく、Bluetooth(商標)やIrDAなどに代表されるような近距離無線通信である。これは電話料金が掛からないばかりでなく、高速に通信できるなどのメリットがあるためクーポンサービスに利用しやすい。しかし、以下の実施形態においては電話局を経由する公衆回線型の通信でも同様に適用可能である。
【００７８】
携帯端末の呼びかけに応じてクーポン処理装置が応答したら、所定のプロトコルにより接続が行われる（Ｓ３１１）。接続が行われた後、携帯端末がクーポン処理装置の機器認証を機器認証部３０１により行なう（Ｓ３１２）。ここで、認証処理に関し詳しく説明する。本発明に係る機器で行われる認証は、通信相手が正しい機器であるかということを確かめるための認証である。実施形態の冒頭でも述べた通り、本実施形態では携帯端末、クーポン処理装置の装置自体は耐タンパ性が仮定できれば信頼に足るものと考えられる。逆に言えば、特別な方法で簡単にハッキングでき、装置内部のデータを勝手に書き換えられたり、読み出したりすることができる耐タンパ性が仮定できない装置は、最早信頼に足る装置ではないといえる。機器認証はそのような信頼できなくなった装置、およびクーポンサービスが実施できるレベルの安全性を有しないためクーポンサービスシステムとして使用が認められていない機器を排除するために行う。
【００７９】
図３３は機器認証の処理手順を示すフローチャートである。まずクーポン処理装置の機器ＩＤを問い合わせるチャレンジを作成し（Ｓ３３０）、制御部３０５、送受信部３０４を経由してクーポン処理装置に出力する（Ｓ３３１）。次に、当該チャレンジに対するクーポン処理装置のレスポンスを待つ（Ｓ３３２）。レスポンスを受信したら、そのレスポンスからクーポン処理装置機器ＩＤを機器認証部３０１が機器データ格納部３０２から抽出し、当該クーポン処理装置機器ＩＤで機器リボケーションリスト３０３を検索する（Ｓ３３３）。このリストに当該クーポン処理装置機器ＩＤが記載されていた場合（Ｓ３３４）は、当該クーポン処理装置は既にセキュリティシステムが崩壊している機器か、所定のセキュリティシステムを有しない機器であると判断し、その機器の信用力不足のため認証を終了する旨のエラーメッセージを出力して終了する（Ｓ３３５）。
【００８０】
ここで、当該クーポン処理装置の機器ＩＤがリボケーションリスト３０３に存在しなかった場合は、少なくともレスポンスされた機器の信用力は認められるので、続いて当該クーポン処理装置は本当に当該クーポン処理装置ＩＤの機器であるかの検証に進む。これには先に述べたように当該クーポン処理装置しか知りえない情報を利用した認証を行えばよい。即ち、当該クーポン処理装置の機器公開鍵証明書を問い合わせるチャレンジを作成し（Ｓ３３６）、上記と同様の手順でクーポン処理装置にこれを送り（Ｓ３３７）、レスポンスを受信する（Ｓ３３８）。ここでいう公開鍵証明書は、機器認証用の公開鍵証明書であり、図１０に示すような構成を有する。レスポンスを受信したら、レスポンスの中から公開鍵証明書を取得し、公開鍵証明書の中から機器ＩＤを取得して先にレスポンスされた機器ＩＤと比較する。比較の結果一致しなかった場合は公開鍵証明書か機器ＩＤに偽りがある旨のエラー出力して認証を終了する。一致した場合は更に認証局の公開鍵で公開鍵証明書を認証する（Ｓ３３９）。認証が成功した場合は公開鍵証明書は正しいことが証明されたので、次にチャレンジに進む。認証に失敗した場合には公開鍵証明書の認証に失敗した旨のエラー出力ののち、認証処理を終了する。
【００８１】
機器の公開鍵証明書の認証に成功したら、ｉ＝０に設定し（Ｓ３３１１）、メッセージＭｉに対する当該公開鍵で検証できるデジタル署名の作成を要請するチャレンジを作成し（Ｓ３３１２）、これを出力する（Ｓ３３１３）。レスポンスを受信したら、メッセージＭｉの署名を検証する（Ｓ３３１５）。検証に失敗したら、署名検証に失敗した旨のエラー出力を行う（Ｓ３３１７）。成功した場合はｉを１ずつ増やして同様のチャレンジレスポンスを平文を変えながらＮ回繰り返す（Ｓ３３１２〜Ｓ３３１６）。Ｎ回のいずれも成功した場合、当該クーポン処理装置は当該機器ＩＤだけが知る秘密鍵を使ってメッセージに署名していると認められるので当該機器ＩＤの機器であると確認できる。これにより認証成功して終了する旨の通知を携帯端末に送信する（Ｓ３３１８）。以上がクーポン処理装置の機器認証処理である。
【００８２】
以上の処理手順によりクーポン処理装置の認証に成功した時、同様の処理手順により行われるクーポン処理装置による携帯端末の認証を受ける。この認証処理手順を図３２に示す。まず、携帯端末はクーポン処理装置からのチャレンジを送受信部３０４で受信する（Ｓ３２０）。受信したチャレンジは制御部３０５を経由して機器認証部へ送られる。ここでの「問いかけ」には２種類あり、単純にクーポン処理装置ＩＤを問う問いかけと、携帯端末しか知りえない情報を使わない限り答えられない問いかけがある。前者の問いかけの場合、機器認証部では機器データ格納部から機器ＩＤを取得して制御部３０５、送受信部３０４を経由して携帯端末に送信する。
【００８３】
後者の問いかけであった場合は、同様にして機器認証部３０１で機器データ格納部３０２から秘密データを抽出してチャレンジにある処理を行う。後者の問いかけは具体的には、機器が秘密に保持する公開鍵暗号の秘密鍵を利用して送信した平文（メッセージ）にデジタル署名を生成せよといったものである。尚、ここでいう機器認証は基本的に個々の機器に対して行われるのではなく、たとえば機器の型名に対して行われる。即ち、同じ型名の機器は同一の機器ＩＤを持ち同一の（認証用の）秘密鍵を持っており、同一の基準で認証されるものとする。
【００８４】
上記手順により作成されたレスポンスは制御部３０５を経て送受信部３０４からクーポン処理装置に送信される（Ｓ３２２）。上記レスポンスに対してクーポン処理装置から認証終了か続行の通知を受信し、認証終了の通知を受信したならば（Ｓ３２３）、制御部３０５にて認証に成功したものであるかを判定し（Ｓ３２４）、認証に失敗した場合はその理由を出力し終了する。ここで、認証に成功したか否かの判定は、例えばクーポン処理装置からの終了通知にエラーコードが付加されているか否かによって判定できる。エラーコードが付加されている場合は認証失敗であり、当該エラーコードが示す理由により認証に失敗している。認証が失敗した場合は当該エラーコードに基づいてエラー出力を行なう（Ｓ３２５）。一方、認証終了しない場合は次のチャレンジがクーポン処理装置から送信されてくるのを待ち、当該チャレンジを受信したら上述と同様の処理を行う。
【００８５】
ここで、図３１の説明に戻る。
【００８６】
機器認証をパスしたら、携帯端末は引き続きクーポン処理装置２から携帯端末ＩＤの問いかけを受ける。そこで、携帯端末は限定受信部１３１にある携帯端末ＩＤを抽出し、クーポン処理装置２に携帯端末ＩＤを送信する（Ｓ３１８）。クーポン処理装置２側では図３４に示すようにこれを制御部３４１から携帯端末ＩＤ検証部３４２に送り、携帯端末リボケーションリスト３４３を参照して当該携帯端末ＩＤがリボークされていないかチェックする（Ｓ３１９）。ここでもしリボークされていたら要注意顧客である旨の出力を行い終了する（Ｓ３１１０）。ここで携帯端末リボケーションリスト３４３は過去にクーポンデータの不正取引を行ったことがある顧客で、取引停止期間内である携帯端末ＩＤのリストである。このため本リストに携帯端末ＩＤが登録されていた場合はその時点で取引を終了しなければならない。
【００８７】
もし、リボークされていなかった場合はクーポン処理装置２の制御部３４１は従業員カード読み込み部３４４から従業員カード５に書かれている店舗ＩＤ、従業員ＩＤ、従業員の公開鍵証明書を取得する（Ｓ３１１１）。ここで、従業員カード５とは従業員の電子的な身分証明書であり通常ICカードの形態で実装されている。従業員はクーポン処理装置２を操作する時は必ず自分の従業員カード５をクーポン処理装置２の差込み口に挿入しなくてはならない。これにはクーポンサービスに関する従業員の責任を明らかにするとともに、不正者を排除する狙いがある。従業員カードから取得した店舗ＩＤ、従業員ＩＤは送受信部３４２を経由して携帯端末に送信され（Ｓ３１１２）、携帯端末側で当該店舗あるいは当該従業員がリボークされているか否かをチェックされる。ここで、リボークされていることが分かった場合、携帯端末は直ちに取引中止の旨の情報をクーポン処理装置に送信するので、クーポン処理装置はエラー出力して終了する（Ｓ３１１４）。
【００８８】
リボークされていなかった場合、携帯端末はクーポンデータをクーポン処理装置に送信する（Ｓ３１１５）。クーポン処理装置は当該クーポンデータを受信し（Ｓ３１１６）、後のクーポン処理装置の処理手順の説明の部分で詳しく述べる方法でクーポンデータを検証する（Ｓ３１１７）。ここで、検証が成功した場合はクーポン処理装置はクーポン使用による割引を実施する（Ｓ３１２０）。割引が実施された後当該クーポンデータをクーポンデータＤＢ３０１より削除して処理を終了する（Ｓ３１２１）。検証が成功しなかった場合はクーポンデータに誤りがある旨の出力がクーポン処理装置から出力され、それを基に携帯端末側ではエラー出力を行い終了する。
【００８９】
以上で携帯端末側の処理に関する説明を全て終了する。
【００９０】
続いてクーポン処理装置について詳しく説明する。なお、クーポン処理装置の処理手順は、携帯端末のそれと重複する部分が多いので異なる部分を中心に説明を行う。
【００９１】
図３４は、クーポン処理装置の全体構成を示すブロック図、図３５はクーポンデータを受理し割引を実施するまでの処理手順を示すフローチャートである。以下、受信したクーポンの処理に関して図３４の全体構成図を参照しながら、図３５のフローチャートに沿って説明する。
【００９２】
まず、顧客の携帯端末からクーポン処理装置を通信で呼び出し接続する（Ｓ３５０）。接続が行われたら、上述した携帯端末側の処理手順と同様に、クーポン処理装置との相互機器認証を行ない、認証に失敗したらエラー出力などを行い終了する（Ｓ３５１〜Ｓ３５６）。機器認証に成功したら、制御部３４１は携帯端末に携帯端末ＩＤの出力を要請し、携帯端末は携帯端末内の限定受信部１３１の携帯端末ＩＤ格納部から携帯端末ＩＤを取得して、制御部にこれを渡す（Ｓ３５７）。取得された携帯端末ＩＤは、送受信部を経由してクーポン処理装置に送信され、クーポン処理装置は携帯端末ＩＤのリボケーションリストを利用した認証を行う（Ｓ３５８）。認証が失敗した場合にはエラー出力して処理を終了し（Ｓ３５９）、成功した場合には、制御部３４１は従業員カード読込部３４４に従業員ＩＤ、店舗ＩＤ及び従業員の公開鍵証明書の読込みを命じ（Ｓ３５１０，Ｓ２５１１）、読み込んだ従業員ＩＤ、店舗ＩＤ、従業員の公開鍵証明書を携帯端末に送信する（Ｓ３５１２）。携帯端末はこれを受けて店舗・従業員リボケーションリスト３０６を検索し、当該店舗ＩＤの店舗もしくは当該店舗ＩＤの店舗の当該従業員ＩＤの従業員がリボークされていないかどうか確認する。ここでリボークされていた場合は、要注意従業員である旨のエラー出力が成され、処理をここで終了する（Ｓ３５１４）。リボークされていない場合には検証に成功したので処理を制御部３０５に移す。
【００９３】
制御部３４１は、携帯端末からクーポンデータを受信し（Ｓ３５１６）、当該クーポンデータをクーポンデータ検証部３４５に送信し、クーポンデータの検証を行う。クーポンデータの検証は、まずクーポンデータの基本クーポンデータ部分からサービス業者ＩＤ、クーポン識別子を抽出するとともに、付加クーポンデータから有効期限を抽出して、当該クーポンデータの有効性を判定する。有効性はまずサービス業者ＩＤのマッチングを行い自業者（もしくは提携業者）のものであることを確認した上で、クーポン識別子が現在可能なサービスか否かをチェックし、更に付加ポイントデータの中の有効期限内であることを確認することにより行う（Ｓ３５１７）。利用可能でない場合には、その旨のエラー出力を行い処理を終了する（Ｓ３５１８）。利用可能である場合には引き続き基本クーポンデータの認証を行う（Ｓ３５１９）。基本ポイントデータの認証は基本ポイントデータからサービス業者の公開鍵証明書を取得し、それを認証局公開鍵格納部３４６にある認証局の公開鍵で認証する。認証に失敗した場合にはそこで処理を終了し、エラーを出力する（Ｓ３５２１）。認証に成功した場合には公開鍵証明書の公開鍵を使って、基本ポイントデータに含まれるサービス業者のデジタル署名を検証する。検証に失敗した場合にはエラー出力をして処理を終了する。検証に成功した場合には引き続き付加ポイントデータの認証を行う（Ｓ３５２２）。付加ポイントデータの検証は基本ポイントデータの検証と同様なので省略する。
【００９４】
付加ポイントデータの検証が終了したら、制御部３４１は基本クーポンデータの割引額を付加クーポンデータで修正して割引額を算定し（Ｓ３５２６）、クーポンによる割引を実施し（Ｓ３５２７）、購入額から割引額を減額して請求する。更に、クーポンサービスを実施した旨を携帯端末に送信し（Ｓ３５２８）、携帯端末ではこれを受けて当該クーポンデータを消去する。次に制御部３４１はクーポンログ作成部３４７に処理を移し、図３６のようにクーポンデータにサービス実施時刻と従業員の秘密鍵によるデジタル署名及び従業員の公開鍵証明書とを付けてクーポンログファイルを完成させる（Ｓ３５２９）。このログファイルはクーポンサーバ３に送信され（Ｓ３５３０）、クーポンサーバ３上のデータベースに蓄積され、次に詳しく説明するように不正行為の検出処理に利用される。
【００９５】
続いてクーポンサーバの処理に関して詳しく説明する。図３７はクーポンサーバの全体構成を示すブロック図、図３８はクーポンを検査するための処理手順を示すフローチャートである。以下、クーポンの検査処理に関して図３７の全体構成図を参照しながら、図３８のフローチャートに沿って説明する。
【００９６】
クーポンサーバ３はクーポン処理装置２から送信されてくるクーポンログデータを送受信部３７１経由で受け、クーポンログデータ管理部３７２を経て、クーポンログデータＤＢ３７３に格納する。ここで、放送配信される基本クーポンデータは基本クーポンデータＤＢ３７４に、利用者の購入実績は購入実績ＤＢ３７５に、視聴契約情報は視聴契約ＤＢ３７６に、それぞれ基本クーポンデータ出入力部３７６、購入実績出入力部３７７、視聴契約出入力部３７８から入力され管理される。
【００９７】
以下、クーポログンデータを携帯端末毎に検査することによって不正取引があった場合はその事実を検知し、ならびにクーポンログデータの携帯端末ＩＤ、店舗ＩＤ、従業員ＩＤなどからかかる不正者を特定する処理手順を示す。各クーポン処理装置からのクーポンログデータの収集が完了した段階で、本処理手順は制御部３７９によって開始される。制御部３７９ではクーポンログ検査部３７１０にクーポンログデータの検査を行うように指示する。クーポンログデータ検査部３７１０ではこれを受けてｉ＝０にセットして検査を開始する（Ｓ３８２）。
【００９８】
検査は以下の手順で行う。尚、全ての携帯端末ＩＤは０からＭＡＸＩＤまでの間で設定されていると考える。まず、ｉを携帯端末ＩＤとして含むようなクーポンデータの存在をクーポンログデータＤＢ３７３を検索してチェックする（Ｓ３８３）。もしそのような携帯端末ＩＤを含むようなクーポンデータが存在しなかったら、ｉ＜ＭＡＸＩＤであることを確かめて、ｉを１インクリメントし、再度クーポンログデータの存在を検索する。ここで、もしｉ＜ＭＡＸＩＤでなかった場合は、処理が全て終了したことを意味するので終了する（Ｓ３８１）。
【００９９】
ｉを携帯端末ＩＤに持つようなクーポンログデータがクーポンログＤＢ３７３内に存在したら、クーポンログデータを全て検索してそのようなクーポンログデータを全て抽出する（Ｓ３８４）。そしてこれをクーポンログデータにある利用時刻情報に基づいてソートし、時間の早い順に並べる（Ｓ３８５）。
【０１００】
そして、その中のそれぞれのクーポンログデータに関し、まずクーポンログデータに付加された従業員のデジタル署名の検証を行う（Ｓ３８６）。この認証はまず、クーポンログデータに付けられた従業員の公開鍵証明書を認証局の公開鍵で認証し、認証に成功したら、上記公開鍵証明書に埋め込まれている公開鍵でデジタル署名を検証する。ここで、公開鍵証明書の認証、デジタル署名の認証のいずれかで認証に失敗した際には異常出力（Ｓ３８９）を行い、当該携帯端末の検証処理を中断してｉを１インクリメントし（Ｓ３８０）、次のクーポンログデータの処理（Ｓ３８３〜）に移行する。
【０１０１】
デジタル署名の認証に成功したら（Ｓ３８７）、次に基本クーポンデータを認証する（Ｓ３８８）。認証の方式はクーポン処理装置における同じ処理と同じなので、ここでは省略する。ここで、認証に失敗するクーポンログデータが存在した場合には（Ｓ３８１０）、異常出力を行い（Ｓ３８１１）、当該携帯端末の検証処理を中断してｉを１インクリメントし、次のクーポンログデータの処理に移行する。全てのクーポンログデータにおいて基本クーポンデータの異常が発生しなかった場合は、次に付加クーポンログデータの認証を行う（Ｓ３８１２）。この処理もクーポン処理装置におけるそれと同じであり、認証に失敗したときの処理も基本クーポンデータの場合と同様である。
【０１０２】
全てのクーポンログデータで付加クーポンデータの異常が発生しなかったときは、次に、付加ポイントデータとそれに対応する前回までにクーポン使用履歴、購入実績、放送契約の状態をそれぞれ、前回までにクーポンログＤＢ３７３、購入実績ＤＢ３７５、視聴契約ＤＢ３７６を参照して付加ポイントデータの正当性を検証する（Ｓ３８１５）。即ち、付加クーポンデータの作成時にそのような条件の付加クーポンデータを作ることが可能であったかを検査する。これによって仮に特定の携帯端末、クーポン処理装置のセキュリティ機能が破られていたとしても、不正を検出することができる。全てのクーポンログデータに関して付加クーポンデータが正当であった場合は当該携帯端末のクーポンログデータは正常であると判断し（Ｓ３８１６）、ｉを１インクリメントさせ、次の携帯端末ＩＤの携帯端末のクーポンログデータを検証する。しかし、いずれかに矛盾が生じたときには異常出力を行い（Ｓ３８１７）、当該携帯端末の検証処理を中断し、ｉを１インクリメントさせ、次の携帯端末ＩＤの携帯端末のクーポンログデータを検証する。
【０１０３】
さて、検査の結果異常であると判定された携帯端末ＩＤに関してはリボケーションリスト出入力部３７１１のインターフェースを利用してクーポンログデータＤＢ３７３を含む上記複数のＤＢを検索して異常の原因を探り、不正者を特定する。ここで注意しなくてはならないのは、不正者は必ずしも携帯端末の保持者とは限らないことである。何故なら従業員が利用者のデータをコピーするなどして不正利用している可能性もあるからである。後者のような場合、クーポンログデータの従業員ＩＤが常に同じ人物であることなどから犯人を特定することができる。このような理由のため不正者を特定する処理を誤りなく自動化することは難しい。
【０１０４】
尚、不正者が特定された場合、本実施形態ではリボケーションリスト入出力部３７１１を利用して店舗や従業員の不正であれば店舗・従業員リボケーションリスト管理部３７１２、利用者の不正であれば携帯端末リボケーションリスト管理部３７１３、また機器のハッキングが発覚した場合には機器リボケーションリスト管理部３７１４を経由してそれぞれのリボケーションリストＤＢ（３７１５、３７１６、３７１７）に登録する。
【０１０５】
また、これらのリボケーションリストを実際の携帯端末、クーポン処理装置に対して反映するには以下のような処理を行えばよい。まずクーポン処理装置に対しては例えば毎営業日の開始時までにクーポンサーバから各クーポン処理装置に新しい機器リボケーションリストと携帯端末リボケーションリストもしくはそれらの昨日との差分を送信する。携帯端末については機器リボケーションリストと店舗・従業員リボケーションリストを１ヶ月に１回程度の割合で公衆回線を通じて変更しても良いし、携帯端末自らがインターネットのホームページからダウンロードしてもよい。
【０１０６】
以上で実施形態の基本的な構成とその処理の説明を終了する。次にいくつかのバリエーションを述べる。
【０１０７】
第１のバリエーションは本実施形態におけるクーポン配信を放送でなく、公衆回線を使った電話などの双方向通信で行う方法である。双方向通信を利用することによってクーポンデータが視聴者に確実に送信される。これによって、放送では視聴者によって視聴している時間が異なるため、繰り返し配信しなければならないという点が解消される。しかし、比較的広い地域に配信するには通信費が掛かってしまう。そこで、インターネットを利用してアクセスしてくれる視聴者のみにクーポンをダウンロードする方法が考えられる。この手法では上述した通信費の問題は解決する。しかし、たまたまアクセスしてくれた特定の視聴者のみにクーポンを配信することになる。以上のように双方向通信によってクーポン配信を行う場合は現実的には受信者が偏るという問題がある。しかし、狭い地域住民への商店の販売促進のためのクーポンや一部の人しか使わないような専門的な物品の販売などの場合は本バリエーションの方式が放送配信よりも費用の点で優れている。
【０１０８】
第２のバリエーションは本実施形態では放送として有料放送を考えてきたが、有料放送でなくとも本発明は実施できる。例えば商店街が当該商店街内で流している無料放送で基本クーポンデータを送信するバリエーションが考えられている。この場合放送コンテンツを暗号化しないならば携帯端末の限定受信部は必要ない。もっともこの場合でも限定受信部に含まれる携帯端末ＩＤは限定受信部とは別に設けなくてはならない。このように構成することでより小さな構成で構成できるばかりでなく、複雑な処理がなくなるので面倒な操作もなくなる。
【０１０９】
第３のバリエーションは付加クーポンデータに携帯端末ＩＤではなく利用者ＩＤを付けるというバリエーションである。このようにすることによって不正者が携帯端末を変更した場合でも確実にリボークすることができる。しかし、このように構成するためには利用者側に利用者固有の情報を持ったＩＣカードを所有してもらわなくてはならない。このためコストが掛かり普及が困難な場合もある。更に携帯電話にこれを導入しようと考えると通常のＩＣカードではなくＳＩＭカードのようなＩＣカードを利用するようになる。尚、このバリエーションもそれぞれの機器の構成や処理手順に変化を加えなくても実現できる。
【０１１０】
第４のバリエーションはリボケーションを行わない構成方法である。このようにすると不正者が特定できても捕まえることができないように思えるが、利用者も店舗もまたその従業員も予めしっかり登録をしてサービスを開始すれば、その住所などから不正者に直接不正に対する補償を求めることができる。そればかりか本実施形態の様々なところで出現したリボケーションに関する処理が省略できるため高速なサービスが提供できる。実際、現行の携帯端末の無線通信機能を利用した一部のサービスにはサービスに掛かる処理時間が問題となっているものがありそのような場合に本バリエーションは有効である。
【０１１１】
第５のバリエーションは本実施形態では携帯端末でこれを構成したが、モバイルであることが本質的なので、従来技術のところで述べたような車に搭載された、受信端末でも利用可能である。この場合、受信端末を車の中から取り出せないことから受信端末とクーポン処理装置との接続処理が問題となるが従来技術で述べたBluetooth(商標)による通信を利用すると、指向性なく10mは届くため、十分接続が可能である。
【０１１２】
第６のバリエーションは付加ポイントデータに氏名、住所、年齢、メールアドレスなどの個人情報を入力する構成方法である。ここまで本実施形態では付加ポイントに追加するデータは購入履歴などの情報から得られた割引加算率情報のみであり、必ずしも顧客個人を特定する情報ではなかった。しかし、従来からクーポンサービスは新規顧客の開拓に利用されてきたため、住所、氏名などの個人情報は（サービス業者にとって）極めて有用である。このため本バリエーションのように単に割引加算額だけでなく、個人情報を付加する必要がある。
【０１１３】
この要請を満たすためには、クーポンポリシー中の許可条件の中に「個人情報（住所、氏名、メールアドレス）の追加」を入れ、個人情報の追加をクーポン発行の条件とするとともに、図３９に示す通り、付加ポイントデータ本体に利用者氏名、利用者住所、利用者メールアドレスを追加すればよい。
【０１１４】
第７のバリエーションはセキュリティを重視しない構成方法である。本実施形態の割引額加算のように金銭に直結するサービス形態においては、セキュリティを重視した構成にならざるを得ないが、クーポンサービスには粗品を進呈するなどのように例え不正が起きても影響が少ないものも存在する。このようなクーポンサービスにおいてはセキュリティを重視した本実施形態のような構成であると、認証処理に相当の処理時間が掛かり、かえって使いにくいという問題点がある。このような場合、あえてセキュリティ処理を省略した方式とすることが望ましい。
【０１１５】
本バリエーションのクーポンデータにおける基本クーポンデータ、付加クーポンデータは図４０、図４１に示す構成であり、上述した実施形態の基本クーポンデータ、付加クーポンデータのそれぞれから公開鍵証明書とデジタル署名を除いた形態となっている。実際のところ、十分な安全性を満たすためにはこれらのデータはその他のデータと比較してサイズが大きく、この部分を削除することにより通信量を減らせるという２次的な効果も期待できる。
【０１１６】
また、基本クーポンデータと付加クーポンデータの一方のみを上述のように構成するというバリエーションも考えられる。このような構成は一般に基本クーポンデータと付加クーポンデータで情報の価値が相当違う場合に価値がある。例えば基本クーポンデータで割引額を１０００円とし、付加クーポンデータにおいて割引加算額が±１００円である場合には基本クーポンデータだけの安全性を守れば足りるという考え方もある。逆に基本クーポンデータでの割り引き額が１００円で、付加クーポンデータにおける割引加算額が±１０００円の時は上述とは反対に付加クーポンデータだけの安全性を守れば足りるという考え方もある。
【０１１７】
第８のバリエーションは上記第６のバリエーションと上記第７のバリエーションとの組み合わせに係る。即ち、許可条件として「個人情報（住所、氏名、メールアドレス）の提示」であり、クーポンサービスとして粗品進呈のような不正によるリスクが少ないサービスを考えたとき、サービス業者側は認証という意味で高度なセキュリティを考慮する必要がない。このような場合、上記第７のバリエーションにおける図４０に示すような基本クーポンデータに図４２に示すような付加クーポンデータを付加することによって、これを実現することが好ましい。更に進んで、図４３のように基本クーポンデータを付加クーポンデータの情報によって変更することにより実施することも可能である。この構成方法では関連付けられたデータを連結することにより、データ量を減らせるばかりか、データ処理も容易になる。図４３の例では基本クーポンデータと付加クーポンデータを別々に構成したときよりも、クーポンＩＤ、クーポンポリシーデータ、基本クーポンデータの有効期限が少なくなっている。
【０１１８】
実際、現状のクーポン券によるクーポンサービスはこのように個人情報を提示することにより、粗品を進呈するという形で実施されているものが殆どであり、本バリエーションは現状のサービスへの本発明の適用を示したものである。
【０１１９】
尚、本バリエーションにおいては基本クーポンデータを変更することにより、データを簡素化することが目的であり、この意味では変更後のクーポンデータに携帯端末や利用者のデジタル署名と公開鍵証明書を付加することは妨げない。実際、このように構成することによって、（不正の確率が高い）携帯端末利用者の不正を防ぐことができる。
【０１２０】
なお、本発明は上述した実施形態に限定されず種々変形して実施可能である。
【０１２１】
【発明の効果】
以上説明したように、本発明によれば、柔軟性と安全性を兼ね備えたクーポンサービスを実現するための携帯端末、クーポン処理装置、クーポン管理サーバを提供できる。
【図面の簡単な説明】
【図１】 本発明の実施形態に係るクーポンデータのデータ構造を示す図
【図２】 本発明の実施形態に係る基本クーポンデータのデータ構造を示す図
【図３】 本発明の実施形態に係る基本クーポンデータ本体のデータ構造を示す図
【図４】 本発明の実施形態に係るキーワード情報のデータ構造を示す図
【図５】 本発明の実施形態に係るサービス業者の公開鍵証明書のデータ構造を示す図
【図６】 本発明の実施形態に係る付加クーポンデータのデータ構造を示す図
【図７】 本発明の実施形態に係る付加クーポンデータ本体のデータ構造を示す図
【図８】 本発明の実施形態に係る携帯端末の公開鍵証明書のデータ構造を示す図
【図９】 本発明の実施形態に係るクーポンポリシーデータのデータ構造を示す図
【図１０】 本発明の実施形態に係る機器認証用の公開鍵証明書のデータ構造を示す図
【図１１】 本発明の一実施形態に係るクーポンサービスシステム全体の構成を示すブロック図
【図１２】 本発明の実施形態に係るクーポンデータの使用に関する全体的な処理手順を示すフローチャート
【図１３】 本発明の実施形態に係る携帯端末の全体構成を示すブロック図
【図１４】 本発明の実施形態に係るチャネル契約情報に相当するビット列を示す図
【図１５】 本発明の実施形態に係る限定受信における鍵構成を示す図
【図１６】 本発明の実施形態に係るコンテンツパケットのデータ構造を示す図
【図１７】 本発明の実施形態に係る個別限定受信パケットのデータ構造を示す図
【図１８】 本発明の実施形態に係る契約情報のデータ構造を示す図
【図１９】 本発明の実施形態に係る共通限定受信パケットのデータ構造を示す図
【図２０】 本発明の実施形態に係る限定受信部の構成を示すブロック図
【図２１】 本発明の実施形態に係る限定受信部の処理手順を示すフローチャート
【図２２】 本発明の実施形態に係るコンテンツパケットに対する処理手順を示すフローチャート
【図２３】 本発明の実施形態に係る共通限定受信パケットに関する処理手順を示すフローチャート
【図２４】 本発明の実施形態に係る個別限定受信パケットに関する処理手順を示すフローチャート
【図２５】 本発明の実施形態に係るクーポン処理部の構成を示すブロック図
【図２６】 本発明の実施形態に係る基本クーポンデータの格納処理の処理手順を示すフローチャート
【図２７】 本発明の実施形態に係る付加クーポンデータの生成処理の処理手順を示すフローチャート
【図２８】 本発明の実施形態に係るクーポンポリシーから付加クーポンデータを生成する処理における必須条件のチェックの処理手順を示すフローチャート
【図２９】 本発明の実施形態に係る許可条件の中から一番有利な許可条件を探索する際の処理手順を示すフローチャート
【図３０】 本発明の実施形態に係るクーポン使用部の構成を示すブロック図
【図３１】 本発明の実施形態に係るクーポン使用時の処理手順を示すフローチャート
【図３２】 本発明の実施形態に係るクーポン処理装置による携帯端末の認証処理手順を示すフローチャート
【図３３】 本発明の実施形態に係る機器認証の処理手順を示すフローチャート
【図３４】 本発明の実施形態に係るクーポン処理装置の全体構成を示すブロック図
【図３５】 本発明の実施形態に係るクーポンデータを受理し割引を実施するまでの処理手順を示すフローチャート
【図３６】 本発明の実施形態に係るクーポンログファイルのデータ構造を示す図
【図３７】 本発明の実施形態に係るクーポンサーバの全体構成を示すブロック図
【図３８】 本発明の実施形態に係るクーポンを検査するための処理手順を示すフローチャート
【図３９】 本発明の実施形態の変形例に係る付加ポイントデータ本体のデータ構造を示す図
【図４０】 本発明の実施形態の変形例に係る基本クーポンデータのデータ構造を示す図
【図４１】 本発明の実施形態の変形例に係る付加クーポンデータのデータ構造を示す図
【図４２】 本発明の実施形態の変形例に係る付加クーポンデータのデータ構造を示す図
【図４３】 本発明の実施形態の変形例に係る基本クーポンデータと付加クーポンデータの連結を示す図
【符号の説明】
１…携帯端末
２…クーポン処理装置
３…クーポンサーバ
４…放送衛星
５…従業員カード
６…認証局[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a mobile terminal, a coupon processing device, and a coupon management server used when realizing an electronic coupon service.
[0002]
[Prior art]
Coupon services are widely used in stores to acquire new customers, and have become established as service forms such as discounts for customers. In these coupon services, a store prints a coupon on a newspaper advertisement or the like, and the customer can receive the service printed on the coupon by bringing the coupon to the store. In addition, recently, the advertisement of the store was put on the Internet, a coupon was displayed, and when the person who referred to the site printed the coupon and brought it to the store, the service described in the coupon was implemented. There are also stores that offer coupon services.
[0003]
Conventional coupon service is distributed to unspecified number of coupons when distributing coupons, so it is the same for customers who receive services from other companies or customers who receive their services Only the same service can be provided with the coupon. It is also easy to forge coupons.
[0004]
Furthermore, coupon services based on newspaper advertisements cost advertising and have few opportunities to be implemented in small stores. In addition, the coupon distribution over the Internet does not cost much advertising, but there is also a problem that the coupon cannot be distributed unless the advertisement site is accessed.
[0005]
On the other hand, mobile terminals such as mobile phones and electronic notebooks are becoming popular. These portable terminals have both a communication function and a calculation function. In terms of the communication function, not only can a telephone be used, but also an Internet connection service using a telephone line is becoming widespread. In recent years, portable terminals having a short-range wireless function represented by Bluetooth (trademark) and IrDA have also become widespread. When these wireless functions are used, communication with no charge burden can be realized, although it is limited to short-range communication. Since these portable terminals are provided with a calculation function, it is possible to generate and verify a digital signature during communication.
[0006]
In addition to conventional terrestrial broadcasting and satellite broadcasting, satellite broadcasting (mobile broadcasting) is planned that can be viewed in moving objects such as automobiles or on devices that are used while moving like mobile terminals. ing.
[0007]
[Problems to be solved by the invention]
Focusing on the widespread use of mobile terminals as described above and communication means that can be used by the public, such as satellite broadcasting, realizes an electronic coupon that has never existed before and is flexible according to its characteristics It is desired to realize a coupon service. In this case, it is necessary to avoid the illegal use of the coupon service due to the forgery of the coupon or the like as in the past.
[0008]
The present invention has been made in view of such circumstances, and an object thereof is to provide a portable terminal, a coupon processing device, and a coupon management server for realizing a coupon service having both flexibility and safety. .
[0009]
[Means for Solving the Problems]
A portable terminal according to the present invention is a portable terminal that can be connected to a coupon processing apparatus and enjoy a coupon service, and is specific to a means for obtaining coupon data from a supplier of the coupon service and a user of the portable terminal Information that can be used to enjoy the coupon service of the mobile terminal is obtained from the internal profile of the portable terminal according to a predetermined processing procedure, and the coupon data is changed based on the information, and the change is added Means for transmitting the coupon data to the coupon processing device.
[0010]
A coupon processing apparatus according to the present invention includes a means for receiving coupon data issued from a coupon service supplier and transmitted from a user of the coupon service through a mobile terminal, and a coupon service specific to the user of the mobile terminal And means for extracting the additional coupon data added in the portable terminal from the received coupon data and determining the offer content of the coupon service according to the additional coupon data. This is a featured coupon processing apparatus.
[0011]
The coupon management server according to the present invention receives coupon data issued from a coupon service supplier and transmitted from a user of the coupon service through a mobile terminal, and processes the coupon data to provide the coupon service. A coupon management server for managing a coupon processing device, the history data about the coupon data from the portable terminal processed by the coupon processing device in use of the coupon service, and means for recording the profile information of the user A coupon management server comprising: a recording unit; and a unit for checking validity of the coupon data based on the profile information and the history data.
[0012]
The coupon processing method which concerns on this invention is a coupon processing method in the portable terminal which can connect with a coupon processing apparatus and can receive a coupon service, Comprising: The step which acquires coupon data from the supply source of the said coupon service, The said portable terminal Acquiring information that can be used to enjoy a coupon service unique to the user of the user according to a predetermined processing procedure from the internal profile of the mobile terminal, and changing the coupon data based on the information; Transmitting the changed coupon data to the coupon processing device. A coupon processing method comprising:
[0013]
A program according to the present invention is a coupon processing program for connecting a computer to a coupon processing device and enjoying a coupon service, a function of acquiring coupon data from a supplier of the coupon service, and a user of the computer Information that can be used to enjoy a coupon service unique to the computer is obtained from the internal profile of the computer according to a predetermined processing procedure, and the coupon data is changed based on the information, and the change is added And a function of transmitting the coupon data to the coupon processing device.
[0014]
The data structure according to the present invention is applied to a coupon service system in which a mobile terminal modifies coupon data issued from a coupon service supplier and transmits the coupon data to a coupon processing device when using the coupon service. It is a data structure of coupon data, and the coupon data includes additional coupon data, and the additional coupon data includes a change content when the portable terminal enjoys the coupon service, a digital signature of the portable terminal, A coupon data structure, comprising: a public key certificate by a predetermined certificate authority for a public key used for verification of the digital signature.
[0015]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings. First, terms and meanings in the description of the embodiments will be described.
[0016]
The “portable terminal” in the embodiment means a device that has a calculation function and a communication function, such as a mobile phone and an electronic notebook, and is assumed to be used while moving. The “coupon processing device” means a device provided in a store or the like and having a calculation function and a communication function. For example, a POS (point-of-sale) terminal having a coupon processing function is used. It hits.
[0017]
In the embodiment, “user” and “store employee” are assumed to be persons who may cause fraud, while “coupon management server” is trusted in the sense that it does not cause fraud. It is assumed that it is possible. Moreover, the portable terminal and the coupon processing apparatus are positioned between these reliable sites and unreliable sites. For example, even if the portable terminal and the coupon processing apparatus are normal at the shipping stage, the internal structure becomes clear by analysis by a hacker and the like, and the possibility of unauthorized use with weak points of the internal structure cannot be denied. The possibility of such unauthorized use is remarkably increased by a portable terminal that can be used by a user at home. For this reason, the portable terminal needs tamper resistance in the sense that data cannot be read, written, or tampered with in relation to access to the data storage unit or data processing unit (described later). Become.
[0018]
In any of the embodiments, there are several types of portable terminals and coupon processing apparatuses, and it is also true that the ease of analysis differs for each model. For this reason, a mechanism for excluding analyzed devices is introduced. This mechanism is called “revocation” and is realized by distributing a black list called “revocation list” to each portable terminal and coupon processing apparatus.
[0019]
Similarly, if a user or store employee causes fraud, the possibility is unknown. Therefore, in the present embodiment, information on users, employees, or stores who have been cheating in the past is distributed to each mobile terminal and coupon processing device in the form of a revocation list, and the corresponding user, employee Introduces a mechanism that allows employees or stores to be excluded from the coupon system. The removal of unauthorized persons with reference to a revocation list or the like is called “revocation”.
[0020]
In order to realize revocation, it is important to have a mechanism that can reliably identify fraudsters when fraud occurs. The present invention provides a flexible coupon service and improves convenience, while providing a mechanism that can reliably identify a fraudster when fraud occurs. This eliminates fraudsters from the system and prevents fraud itself.
[0021]
The coupon data referred to in the embodiment is composed of basic coupon data and additional coupon data as shown in FIG. 1, and has an internal configuration as shown in FIGS. 2 and 6, respectively. In the present embodiment, for simplicity of explanation, it is assumed that all data attributes have a fixed length unless otherwise specified. This is for simplifying the data extraction method described later, and it is possible to convert fixed-length data into variable-length data by obvious modifications.
[0022]
The basic coupon data is, for example, data broadcast from a broadcasting station, and is coupon information common to all viewers. As shown in FIG. 2, the basic coupon data is composed of an information identifier, keyword information, a basic coupon data body, a public key certificate of the service provider, and a digital signature of the service provider. The information identifier is information indicating that this data is basic coupon data. The digital signature of the service provider is a digital signature on the basic coupon data by the public key encryption of the service provider as will be described later. Note that the range that is the subject of the digital signature is the information identifier and the basic point data body. The keyword information represents what the basic coupon data is about a coupon in the form of a keyword. As shown in FIG. 4, the keyword information is composed of the number n of keywords followed by n keyword data. For example, in the case of a coupon for a hamburger store, a plurality of keyword data such as “restaurant”, “snack”, “hamburger”, and the like are recorded as language data or codes. These keywords are used to select a coupon to be received when the mobile terminal receives coupon data.
[0023]
The basic coupon data body is configured as shown in FIG. 3, for example, and includes a coupon identifier, a service provider ID, a broadcaster ID, a discount amount, an expiration date, and a coupon policy.
[0024]
The service trader ID is an identifier of a trader that provides the coupon service. The coupon identifier is for identifying the coupon data from other coupon data, and this information can prevent duplicate coupon data from being stored in the mobile terminal (as will be described later). The service trader ID is information for specifying a trader that performs a coupon service. The broadcaster ID is an identifier of the broadcaster who transmits this coupon. The discount amount indicates the amount that can be discounted by using this coupon. For coupons that are actually used, in addition to presenting the discount amount uniformly, the discount rate is set, the discount amount (rate) is different for each product, and it is not a discount service. Services such as presentation are also being implemented. In the present embodiment, for simplicity of explanation, a discount service with a uniform discount amount for all products is used. However, this does not prevent the application of the present invention to various coupon services in the actual service. The expiration date indicates the expiration date of the coupon service.
[0025]
As shown in FIG. 9A, the coupon policy data includes the number l of coupon policies and l coupon policies. Each coupon policy indicates a generation method of how to generate additional coupon data described in detail later. As shown in FIG. 9B, the coupon policy in this embodiment includes type information, a policy identifier, application conditions, a discount addition amount, a validity period, and a validity period extension flag.
[0026]
The type information is information indicating whether the coupon policy is an indispensable condition or a permission condition. The indispensable condition here is an indispensable condition when receiving a coupon service that the coupon service is not performed unless this condition is satisfied. The permission condition is a condition indicating that the described coupon service can be received if the condition is satisfied. The policy identifier is an identifier of the coupon policy. The application condition is a condition for issuing additional coupon data having the following discount addition amount, valid period, and valid period extension flag, and is a condition for the profile (internal data) of the mobile terminal in the present embodiment. For the specific description, an application condition ID determined by the service provider is used. For example, “Accumulated purchase record at Company A is less than 10,000 yen” is 0x0001, “Accumulated purchase record at Company A is 10,000 yen or more” is 0x0002, and “Accumulated purchase record at Company A is 100,000 yen or more” Is defined as 0x0003. As other applicable conditions, “input of personal information (address, name, age)” used in the sixth variation later can be considered. Of course, a combination of these, such as “Purchase record at company A is 10,000 yen or more and input of personal information (address, name, age)” is also useful. In addition to the method of defining the application condition ID for each combination, a method of describing the application condition by writing the application condition ID together can be considered, and the latter is more elegant.
[0027]
Note that the description method of the applicable conditions is determined by each service provider for convenience, and no matter what the method is, if it is implemented consistently on the service provider's coupon service application, this There is no problem in the processing of the embodiment. The discount addition amount indicates how much can be added if the applicable conditions are satisfied for the discount amount indicated by the basic coupon data, and the validity period is how much the additional coupon data from when the additional coupon data was created It is shown whether the period is valid. For example, when the application condition relates to position information, the coupon condition changes if the position changes. In other words, if the discount rate is set high for people who are far from the store and the discount rate is set low for nearby people, it is always low if anyone makes the additional coupon data immediately before accounting. It becomes a discount rate. Therefore, it is necessary to determine the coupon data while being far from the store. However, since it is a problem that the coupon can be used indefinitely, it is information for determining a certain valid period.
[0028]
The validity period extension flag indicates whether the validity period calculated from the validity period exceeds the validity period in the basic coupon data and can be extended and applied. In the case of, it is impossible to extend.
[0029]
In addition, when there are a plurality of coupon policies having the above-mentioned essential conditions, coupons cannot be issued unless applied to any one of them. On the other hand, when there are a plurality of permission conditions, the following processing is performed. For basic coupon data with a discount of 100 yen, there are three policies that determine the coupon discount addition amount for purchase results. If each purchase result is 0, the purchase result is -100 yen (ie no discount) and 10,000 yen. Suppose there is a description of +1000 yen for a purchase record of +100 yen and 100,000 yen. In this case, a customer with a purchase record of 30,000 yen has a purchase record of 10,000 yen but no purchase record of 100,000 yen, so a coupon increase of +100 yen is implemented, and the basic coupon data is substantially 200 yen. Can be used as a discount coupon.
[0030]
The public key certificate of the service provider is obtained by certifying that the public key is indeed the public key of the service provider ID by a certificate authority described later. As shown in FIG. 5, the service provider public key certificate includes a service provider ID, a service provider name, an expiration date, a service provider public key, and a digital signature of a certificate authority.
[0031]
Here, the digital signature will be briefly described. The digital signature referred to in this embodiment is a method using public key cryptography, and a secret key K s Public key K signed with p It is realized by verifying with. In public key cryptography, it is extremely difficult to derive a private key from a public key, and it is practically difficult for a third party to create a digital signature unless the private key is leaked even if the public key is disclosed. . Moreover, the public key for verifying the signature may be disclosed literally. Therefore, it is possible to verify the signature even with the customer of the first visit, and it is most suitable for a system for an unspecified number of people like a coupon service. Public key cryptosystems such as RSA cryptosystem and elliptic curve cryptosystem have been proposed and put into practical use.
[0032]
However, convenient public key cryptography is not without problems. Because, in order to realize public key cryptography, a public / private key pair must be generated, but this generation does not take much time, and anyone with software can easily implement it. Because. Therefore, even if the communicating party transmits coupon data with a digital signature and a public key for verification, it is not immediately known whether the public key is the public key of the service provider indicated by the service provider ID. . In other words, someone impersonating the employee generates a public / private key pair, signs the coupon data using the created private key, and sends the public key as if it belongs to the service provider. Then, the coupon processing apparatus which received this can confirm the validity of the digital signature of coupon data with the transmitted public key. Therefore, it is misunderstood that the coupon data is certainly issued by a service provider having the service provider ID as an ID. In order to prevent such fraud, it is necessary to prove that the public key received by a third party is indeed for the service. A public key certificate is used for this proof.
[0033]
The additional coupon data is data created based on viewer-specific information (profile) and has a role of correcting the basic coupon data. This data is a characteristic part in the present embodiment. By appropriately changing the coupon data for each viewer, a more effective service is realized and coupon data is distributed to an unspecified number of viewers. However, the coupon service does not fail, and a mechanism that leads to sales promotion can be provided. Here, the viewer-specific information is internal information of the mobile terminal (information stored in the mobile terminal). For example, the product purchase record of the company issuing the coupon, the information of the company issuing the coupon This may be product purchase results of related companies, broadcast contract information being distributed, or location information of mobile terminals. Additional coupon information, for example, to increase the discount (or discount rate) for customers with a lot of product purchases, or to reduce the discount (or discount rate) for customers who have no product purchases Used.
[0034]
In addition to the above-mentioned internal information of mobile terminals, in addition to the above-mentioned information, there are multiple mobile terminals such as telephone numbers, addresses, personal information such as names and email addresses associated with telephone functions, mobile terminal manufacturers, and model numbers. It includes a wide range of information that can be stored inside the mobile terminal, such as common information. Personal information such as an address is used when a service is provided on condition that personal information is added to a coupon, as will be described later in a variation of this embodiment. Also, information on the manufacturer of the mobile terminal is used when discounting related devices released by the manufacturer.
[0035]
FIG. 6 is a diagram showing the configuration of additional coupon data. The information identifier is an identifier indicating that the information is additional coupon data. Further, the public key certificate of the portable terminal is data that is certified by the certificate authority to be the public key of the portable terminal, like the public key certificate of the service provider. The public key certificate of the portable terminal is configured as shown in FIG. 8, like the public key certificate of the service provider shown in FIG. Since the meaning of each component is the same in principle, it is not repeated, but it should be noted that the service provider is a user or a portable terminal. That is, in the case of a public key certificate for a service provider, the target is a service provider, but in the case of a public key certificate for a mobile terminal, the direct target of authentication is a mobile terminal. Thereby, the place which should be a user ID is made into portable terminal ID. Therefore, in a service that issues a user ID other than the mobile terminal ID, the present embodiment can be applied by replacing the mobile terminal ID with the user ID. The digital signature of the mobile terminal is a digital signature for this data by public key encryption of the mobile terminal. Here, the range to be digitally signed is an information identifier and an additional point data body.
[0036]
The additional coupon data body is configured as shown in FIG. 7, and includes a mobile terminal ID, a discount addition amount, and an expiration date. The mobile terminal ID is an identifier of the mobile terminal that issued the additional coupon data. The discount addition amount indicates how much is added to the discount amount indicated in the basic coupon data. Although the addition is described here, the discount amount can be reduced by making this value a negative value. As a result, the discount can be set to 0 and the coupon can be invalidated. The expiration date indicates the expiration date of the additional coupon data. This expiration date is generated when coupon data is created based on internal information from basic coupon data, so when the coupon information is generated and stored in a state where the internal information is advantageous to the coupon discount amount, the expiration date Have decided. Therefore, the relationship between the expiration date in the additional coupon data and the expiration date in the basic point data is mainly interpreted by the service provider. That is, since the service provider A provides the coupon service only within the expiration date indicated in the basic coupon data, it is interpreted that the expiration date in the additional coupon data does not fall within the range of the expiration date in the basic coupon data. On the other hand, since service provider B is carrying out a coupon service other than the expiration date indicated in the basic coupon data, priority is given to the expiration date of the additional coupon data. These conditions are described in the expiration date extension flag in the coupon policy in the basic coupon data.
[0037]
FIG. 11 is a block diagram showing a configuration of the entire coupon service system according to an embodiment of the present invention. This embodiment includes a mobile terminal 1, a coupon processing device 2, a coupon server 3, a broadcast satellite 4, an employee card 5, and a certificate authority 6. The certificate authority 6 issues a public key certificate for each portable terminal device and a public key certificate for each coupon processing device device in advance. Also, a public key certificate for each portable terminal 1 and a public key certificate for each employee are issued for each user. The public key certificate for the portable terminal device and the public key certificate for the user are in the portable terminal 1, the public key certificate for the coupon processing device is in the coupon processing device 2, and the public key certificate for the employee is Each employee card 5 is prepared at the time of system construction. In this system, the certificate authority 6 is responsible only for creating such a public key certificate by confirming the principal (or device).
[0038]
In the present invention, as will be described in detail later, a broadcast viewer receives basic coupon data by broadcast distribution, and the mobile terminal 1 adds an additional coupon based on information in the mobile terminal 1 from the basic coupon data according to a user instruction. Information is added to generate coupon data, which is stored inside the portable terminal 1.
[0039]
The overall processing procedure regarding the use of the generated coupon data will be described along the flowchart shown in FIG. 12 with reference to FIG. First, the portable terminal 1 is connected to the coupon processing device 2 by wireless communication, and the portable terminal 1 held by the customer in accordance with the protocol described in detail in the description of the processing of each device by the wireless communication later, the coupon processing device 2, the coupon processing device 2. Authenticates that the mobile terminal 1 owned by the customer is a legitimate device according to the safety standard of the present invention (S120 to S127). If the authentication is successful, the mobile terminal 1 transmits the coupon data to the coupon processing device 2. If the authentication is not successful, the portable terminal 1 or the coupon processing device 2 may not comply with the safety standards required in the present embodiment, so the processing is stopped at that time (S124, S127). .
[0040]
Next, the coupon processing apparatus 2 acquires the portable terminal ID from the portable terminal 1 (S128), searches the portable terminal revocation list held by the coupon processing apparatus 2, and determines whether or not the portable terminal 1 has been revoked. A check is made (S129). If it is revoked, the process is immediately terminated (S1210). When not revoked, the coupon processing device 2 acquires the store ID, the employee ID, and the employee's public key certificate from the employee card 5 in order to make the portable terminal 1 check whether the employee can be trusted. (S1211), of which the store ID and employee ID are transmitted to the portable terminal 1. In response to this, the portable terminal 1 searches the store employee revocation list owned by itself to check whether or not the store ID and employee ID are revoked (S1212 and S1213). If it has been revoked, the processing is immediately terminated (S1214). When it is not revoked, the portable terminal 1 transmits the coupon data body to the coupon processing device 2 (S1215). The coupon processing apparatus 2 receives this (S1216) and verifies the digital signatures of the basic coupon data and the additional coupon data included in the data (S1217). If the verification is successful, it is recognized that the additional coupon data of the coupon data is not falsified, so the coupon processing device 2 discounts the coupon data (S1220), and the coupon log data is processed in the processing procedure described in detail later. Create (S1221). If the verification is unsuccessful in step S1218, an error is output and the process is immediately terminated (S1219). On the other hand, the portable terminal 1 deletes the coupon data and finishes the process (S1222).
[0041]
Below, the structure of each apparatus and the content of a process are demonstrated in detail in order of the portable terminal 1, the coupon processing apparatus 2, and the coupon server 3. FIG. Note that the certificate authority 6 and the employee card 5 in the system configuration diagram of FIG. 11 are very simple in configuration and processing procedure, and therefore will not be described in detail here.
[0042]
FIG. 13 is a block diagram showing the overall configuration of the mobile terminal. In FIG. 13, the limited reception unit 131, the coupon processing unit 132, and the coupon use unit 133 will be described in detail later. In the following, the processing procedure of the portable terminal will be described in detail in the order of broadcast reception processing, received coupon processing, and processing at the time of using a coupon at a store.
[0043]
FIG. 20 is a block diagram illustrating a configuration of the limited reception unit 131. Limited reception refers to a mechanism that allows only viewing subscribers to receive in pay broadcasting. The limited reception is realized by encrypting and transmitting the broadcast content and distributing a key for decrypting the broadcast content only to the viewing contractor.
[0044]
Information describing the contract status for each channel for performing limited reception is called channel contract information. For example, a channel number is assigned to each channel. For example, as shown in FIG. 14A, a bit string representing a channel contract state depending on whether or not a bit corresponding to the channel number is 1 is channel contract information. FIG. 14A shows that the second, fifth, seventh, and eighth channels have been contracted. Further, a format of channel contract information as shown in FIG. That is, a more detailed contract state is expressed by assigning 4 bits to one channel. Here, out of the above 4 bits, the first bit indicates whether viewing is possible (1 is possible, 0 is not possible), and the second bit is whether the coupon discount is increased by 100 yen (from 1 is possible, 0 is not). Similarly, the third bit indicates whether the coupon discount can be increased by 200 yen, and the fourth bit indicates whether the coupon discount can be increased by 500 yen. That is, in the example of FIG. 14B, the first channel represents a viewing contract with no viewing contract, the second channel represents a viewing contract with a coupon discount increase of 200 yen, and the eighth channel represents a viewing contract with a coupon discount increase of 500 yen. Yes. In the present invention, additional coupon data is created for basic coupon data broadcast to the channel using channel contract information as shown in FIG. 14B, and coupon data for each viewer is created.
[0045]
Further, the contract information is configured by adding information that restricts the channel contract information such as the expiration date of the channel contract information to the channel contract information and information that expresses the subscriber contract form in more detail.
[0046]
Further, the limited reception information for individual subscribers such as the contract information is referred to as individual limited reception information, and the limited reception information common to a plurality of subscribers such as channel key information is referred to as common limited reception information. In the context where it is clear that they are limited reception information, they are called individual information and common information for simplicity.
[0047]
In this embodiment, a key configuration as shown in FIG. 15 is adopted for limited reception. That is, the work key K common to all mobile terminals defined for each channel w Individual master key K m Encrypt with and send. Furthermore, the work key K w To use channel key K ch Is encrypted and sent. Broadcast content is channel key K ch Since it is encrypted by a conventional encryption method using this, it can be decrypted with this channel key. Here, the channel key must be changed in a short time of about 10 minutes in order to prevent decryption. If an individual master key is used to transmit this, the amount of transmission becomes enormous. Therefore, it is necessary to use a common work key for all portable terminals. Also, since it is dangerous to use the same key in units of months, it is necessary to change the work key, and this is a mechanism that encrypts it with an individual master key. Thus, even if the master key is known, free viewing can be prevented by changing the work key.
[0048]
Now, there are three types of data received by the broadcast portable terminal in the conditional access system of this embodiment: a content packet, a common limited reception information packet, and an individual limited reception packet. The content packet has a packet data structure shown in FIG. 16, and includes an information identifier, a channel identifier, a channel key identifier, and scrambled broadcast content. The information identifier indicates the type of the packet. Here, an identifier indicating a content packet is described. The channel identifier indicates which channel the broadcast content is. The channel key identifier indicates an identifier of a channel key for decoding the broadcast content. The broadcast content in this embodiment is raw program data or a coupon packet, and a channel key K specified by a channel key identifier. ch It is encrypted with.
[0049]
The common limited reception packet is also called a channel key information packet and has a packet data structure as shown in FIG. This common limited reception packet is composed of an information identifier, a work key identifier, a channel identifier, a channel key identifier 1, a channel key 1, a channel key identifier 2, and a channel key 2. The portion from the channel identifier to the channel key 2 is And encrypted with the work key indicated by the work key identifier. The information identifier indicates the type of the packet. Here, an identifier indicating a common limited reception packet (channel key information packet) is described. The channel identifier indicates which channel the common conditional access information is for. In addition, the work key identifier indicates which work key K is the common limited reception packet. w It is information indicating whether or not it is encrypted. The channel key identifier is an identifier of a channel key described next. The channel key indicates a channel key used for encrypting broadcast content of the channel specified by the channel identifier. Here, there are two sets of channel key identifier and channel key. Since the channel key is changed in a relatively short time as described above, it is necessary to smoothly switch the channel key. This is because the channel key to be used next time is sent simultaneously. Of course, the transmission of two sets in this manner does not directly affect the present invention, and therefore one set may be used.
[0050]
As shown in FIG. 17, the individual limited reception packet includes an information identifier, a portable terminal ID, a master key identifier, and encrypted contract information. The information identifier indicates the type of the packet, and here, an identifier indicating the individual limited reception packet is described. The mobile terminal ID is an identifier of the mobile terminal that should receive the contract information. The master key identifier is identification information of a master key that can decrypt the individual limited reception packet. If the master key identifier is correctly transmitted and received, the master key identifier of the portable terminal that has received the packet is described here.
[0051]
As shown in FIG. 18, the contract information includes a mobile terminal ID, channel contract information, an expiration date, the number k of work keys, a pair of k work keys and work key identifiers, and a digital signature. The portable terminal ID is an identifier of the portable terminal that should receive the contract-related information, and is an ID that matches the portable terminal ID in the limited receiving unit 131 inside the portable terminal if it is normally transmitted and received. The channel contract information indicates the contract status of the mobile terminal having the mobile terminal ID as described above. The work key identifier i is an identifier of the subsequent work key i. In this embodiment, since the work key is set for each channel, a set of a work key and a work key identifier corresponding to the channel contract information is entered. The digital signature is information for confirming the validity of the contract information, and is mainly used for preventing forgery.
[0052]
In the present embodiment, since all of these pieces of information are data expressed in a fixed length, the processing procedure for extracting each piece of information from the received packet will not be described again.
[0053]
Next, the configuration of the limited reception unit 131 and the flow of processing will be described along the processing procedure shown in FIG. 21 with reference to FIG. 20 (or FIG. 13). In FIG. 13, when the portable terminal receives a broadcast wave (S210), it converts it into digital data by A / D conversion (S211). Next, error detection / correction is performed (S212), and only packets that have been correctly received are transmitted to the channel selection unit 134. Here, when the packet is broadcast content information (packet) (S213), the channel currently being viewed is obtained via the channel I / F 135, and only the viewing channel is selected by the channel selection unit and the limited reception unit 131 is selected. To the broadcast filter unit 201. As shown in FIG. 20, the broadcast filter unit 201 sends this to the descrambling unit 202 (S215). On the other hand, if it is a common limited reception packet (common control packet) (S216), it is sent from the broadcast filter unit 201 to the common limited reception information decoding unit 203 via the channel selection unit 134 (S217), and decoding is started. Alternatively, if it is an individual limited reception packet (individual control packet) (S218), it is sent from the broadcast filter unit 201 to the individual limited reception information decoding unit 204 via the channel selection unit 134 (S219).
[0054]
The processing for the content packet will be described in detail with reference to the flowchart of FIG. The content packet sent from the broadcast filter unit 201 to the descrambling unit 202 by the above processing is separated into a channel identifier and a channel key identifier, and these are transmitted to the channel key output unit 205. Request output. The channel key output unit 205 extracts the channel key of the reception channel from the channel key storage unit 207 based on the contract determination for the channel in the contract determination unit 206 (S220). Further, the contract determination unit 206 receives the channel identifier transmitted from the channel key output unit 205 and outputs whether or not the channel is contracted for viewing by referring to the channel contract information. If the determination sent by the channel key output unit 205 is permitted (S221), a channel key holding the channel key identifier of the channel is obtained from the channel key storage unit 207, and is transmitted to the descrambling unit 202. If it is permitted, the processing relating to the content packet is terminated. The descrambling unit 202 decrypts the scrambled content with the corresponding channel key (S222). The decrypted content data is transmitted to the second filter unit 134. If this is coupon data, the second filter unit 134 sends it to the coupon processing unit 132 (S224), otherwise sends it to an output device such as an external display (S225).
[0055]
Next, a processing procedure related to the common limited reception packet will be described with reference to FIG. The common limited reception packet is sent from the broadcast filter unit 201 to the common limited reception information decoding unit 203. Here, the work key is acquired from the work key storage unit 208 based on the work key identifier included in the unencrypted part of the common information (S230). If the work key cannot be acquired (S231), the process ends. If the work key is acquired, the common information is decrypted with the work key (S232). From the decrypted common information, the channel key K ch Is stored in the channel key storage unit 207 (S233).
[0056]
Next, a processing procedure related to the individual limited reception packet will be described with reference to FIG. The individual limited reception packet is sent from the broadcast filter unit 201 to the individual limited reception information decoding unit 204. Here, the mobile terminal ID included in the unencrypted part of the individual information is read and collated with the mobile terminal ID of its own device (S240). If the portable terminal ID does not match that of the own device, the processing of this packet is terminated. If they match, the master key is acquired from the master key storage unit 209 using the master key identifier included in the unencrypted unit as a key. Further, the individual limited reception information is decrypted using the master key (S241), and the work key obtained by decryption is stored in the work key storage unit 208 (S242). Next, the contract information is sent to the contract information authentication unit 2010. The contract information authentication unit 2010 acquires the digital signature verification key from the digital signature verification key storage unit 2011 and verifies the digital signature (S243). If the verification is successful, the contract information is stored in the contract information storage unit 2012 and the process is terminated (S244). If verification fails, the contract information may be forged or destroyed due to poor reception, and the process ends without storing.
[0057]
This is the end of the description of the limited reception unit 131.
[0058]
Next, the coupon processing unit 132 will be described in detail. FIG. 25 is a block diagram showing a configuration of the coupon processing unit 132. The process of the coupon processing unit 132 includes a process of storing basic coupon data broadcasted and a process of generating additional coupon data from the basic coupon data and generating coupon data.
[0059]
FIG. 26 is a flowchart showing a processing procedure of basic coupon data storage processing. The basic coupon data storage process will be described below with reference to the flowchart of FIG. 26 with reference to the overall configuration diagram of FIG. When basic coupon data is input from the second filter unit 134 to the coupon processing unit 132 (S260), the coupon filter unit 251 extracts keywords for narrowing down the coupons to be stored from the keyword data storage unit 252, and the input basics It is compared with the keyword information of the coupon data (S261). As a result of the comparison, if matching is obtained, the basic coupon DB 253 is searched using a coupon identifier or the like as a key (S263). It is confirmed that the basic coupon data is not registered (S264), and if so, the processing related to the basic coupon data is completed (S265). Here, if the input basic coupon data does not match the keyword information (S262), or if the basic coupon data exists in the basic coupon data DB 253, the processing related to the basic coupon data is terminated at that time (S264). .
[0060]
FIG. 27 is a flowchart showing a processing procedure for generating additional coupon data. The basic coupon data storage process will be described below with reference to the flowchart of FIG. 27 with reference to the overall configuration diagram of FIG. The coupon processing unit 132 starts a process of generating additional coupon data (that is, generating coupon data) in response to a request from the coupon using unit 133 or the interface of the mobile terminal. Here, for the sake of simplicity, it is assumed that basic coupon data for which coupon data is to be created is designated by input (using a coupon identifier or the like as a key) at the stage of starting processing. If not, it is necessary to retrieve the basic coupon data corresponding to the required coupon by searching the basic coupon data DB 253 prior to this processing. This processing is performed from the control unit via the user interface. This can be done by searching the DB 253, so the explanation is omitted here.
[0061]
The basic coupon data DB 253 is searched using the coupon ID of the input basic coupon data as a key (S270), and the corresponding basic coupon data is extracted (S271 to S273). Further, a coupon policy is extracted from the extracted basic coupon data (S274), essential conditions are extracted by referring to the type information in the coupon policy, and they are inspected by means described in detail later (S275). Here, when the essential condition is not satisfied, the processing related to the basic coupon data ends (S276, S277). When the essential condition is satisfied, the permission condition is extracted by referring to the type information, and the most advantageous one is selected by referring to the internal information by means described in detail later (S278). This detailed processing procedure will also be described in detail later.
[0062]
By the above processing, it is checked whether any coupon policy has been selected. That is, even if the essential conditions are cleared, there may be no policy corresponding to the permission conditions for the basic coupon data and the internal information (S279). If there is a coupon policy, additional coupon data is created using the discount amount of the coupon policy as the discount amount of the additional coupon data (S2711). If not, the additional coupon data is created with the discount addition amount set to 0 (S2710). In any case, the created coupon data is transmitted to the coupon using unit 133 via the control unit 254 (S2712), and the coupon using unit 133 stores the coupon data in the coupon data DB by means described in detail later (S2713).
[0063]
Next, a process related to a check of essential conditions in the process of generating additional coupon data from the coupon policy will be described with reference to the flowchart of FIG. First, a coupon policy is extracted from the basic coupon data (S280), and the coupon policy number k at the head of the coupon policy data is extracted and set in a variable k. Next, i> k is checked with i = 0 and i = i + 1 (S281 to S283). If i> k, the essential condition check described in detail below is completed. That is, all the essential conditions are satisfied, and the fact that the essential conditions are met is output and the process ends (S284).
[0064]
When i> k is not satisfied, the coupon policy i is extracted (S285), and it is determined with reference to the type information whether the coupon policy is an essential condition (S286). If it is not an indispensable condition, it is not an inspection target in this processing procedure, so i is incremented by 1 and the next coupon policy is inspected.
[0065]
If it is an indispensable condition, first, it is checked by referring to the policy identifier whether it is a policy relating to the coupon issue frequency (S287). If the policy is related to the coupon issue count, the coupon creation result DB 255 is searched (S288), and it is determined whether or not the application condition is met (S289). Here, the policy based on the coupon issue count is for setting an upper limit of the issue count when the same coupon is issued a plurality of times. That is, since the coupon data according to the present invention is issued many times by broadcasting, it can be used any number of times. For this reason, the purpose of this essential condition is to set the upper limit. That is, in this condition check, the coupon creation result DB 255 is searched using the coupon identifier as a key, and it is confirmed that the number of creation does not exceed the limit number in the coupon policy. If the number of creations has exceeded, a message indicating that the essential condition is not met is output, and the process is terminated (S2810).
[0066]
If the number of creations is less than or equal to the upper limit, or if the coupon policy is not related to the coupon issuance number, it is checked using the policy identifier whether the coupon policy is related to the purchase record (S2811). . The coupon policy for purchase results is, for example, “issue coupons only for customers with a certain amount of purchases”, such as issuing coupons only to customers with a purchase amount of 1000 yen or more. The coupon policy is “issue coupon”. By defining the coupon policy in this way, unlimited coupon usage can be prevented and the coupon can be used as an effective sales promotion means. In order to realize this, the purchase record DB 257 is searched from the coupon creation unit 256 (S2812), and it is investigated how much the corresponding purchase has been made. It is determined whether the required condition is satisfied by comparing the purchase amount obtained therewith with the coupon policy (S2813). If so, i is incremented by 1 and the next coupon policy is inspected (S282). If not, the fact that the essential condition is not met is output and the process ends (S2814).
[0067]
In this embodiment, since the coupon issue results and the product purchase results are shown as indispensable conditions, even if a coupon policy other than that is entered, it is ignored, but in general, points of a certain amount or more are accumulated. There may be indispensable conditions determined by other performance elements and identification information such as being a member of a coupon issuing organization. In order to realize these essential conditions, the processing procedure described so far is possible except that a DB or memory corresponding to the conditions is required.
[0068]
Further, the process related to checking the permission condition is the same as the process related to the indispensable condition described above, and is omitted here.
[0069]
Next, a process for searching for the most advantageous permission condition from among the permission conditions will be described with reference to the flowchart of FIG. First, the coupon policy is extracted from the basic coupon data, the coupon policy number k at the head of the coupon policy data is extracted (S290), and the counter i for the variable k is set to zero. Next, the memory for storing the additional coupon condition (the most advantageous condition for creating the additional coupon) is initialized (S292). Here, initialization is to set the discount addition amount, the valid period, and the valid period extension flag to 0. Subsequently, i> k is checked with i = i + 1 (S293, S294). If i> k, the permission condition check described in detail below is terminated, and the condition described in the additional coupon condition is output as the most advantageous permission condition (S2910).
[0070]
If i> k is not satisfied, the coupon policy i is extracted (S295), and it is determined with reference to the type information whether the coupon policy is a permission condition (S297). If it is not a permission condition, it is not an inspection target in this processing procedure, so i is incremented by 1 and the next coupon policy is inspected.
[0071]
If it is a permission condition, the application condition written in the coupon policy is inspected by referring to the internal information. If this is the case, the information on the discount addition amount, the validity period, and the extension of the expiration date is compared with the current additional coupon condition (S298), and if the additional coupon condition is more advantageous than the condition presented in the coupon policy. For example, i is incremented by 1 and the next security policy is checked. If the condition presented in the coupon policy is more advantageous, the additional coupon condition is replaced with the coupon policy (S299).
[0072]
Here, there are various implementation modes for comparing the additional coupon data and the coupon policy. For example, in the present embodiment, the comparison is realized as follows. That is, the importance is determined in the order of the discount addition amount, the valid period, and the expiration date extension flag, and it is advantageous that the discount addition amount is large in comparison. If the discount is the same, the longer validity period is advantageous. If the validity period is the same, the one with the validity period extension flag of 1 is prioritized. Of course, more complex coupon policies are actually conceivable, and such a comparison may not be valid. In general cases, in order to improve usability, not only a more complicated comparison has to be performed, but also in some cases it is necessary for the user to select advantageous conditions through the user I / F.
[0073]
Such a process is repeated for all coupon policies while incrementing i, and finally the additional coupon condition is output and the process ends. The coupon policy includes purchase information, contract information for limited reception, position information by GPS, and the like. In particular, with regard to location information, if the location where the mobile terminal is located is far from the store, the discount addition amount is increased, and if the location is close, the discount addition amount is suppressed, thereby making it possible to attract customers effectively. These implementations require data outside the coupon processing unit 132, which is collected through the control unit.
[0074]
This is the end of the description of the two types of processing in the coupon processing unit 132.
[0075]
Next, the coupon use unit 133 will be described in detail. FIG. 30 is a block diagram showing the configuration of the coupon usage unit 133. The coupon use unit 133 performs a process of transmitting the coupon data stored in the coupon data DB 301 to an external coupon processing device using a communication unit. However, the transmission / reception process is a process performed to receive a coupon service here, and it is necessary to prove that the mutually trusted people use the reliable equipment to send / receive the correct data. Authentication processing is included.
[0076]
Below, the process at the time of coupon use is demonstrated along the flowchart shown in FIG. If coupon data to be transmitted does not exist in the coupon data DB 301, a coupon creation instruction is sent to the coupon processing unit 132 at that time, and coupon data is created and used according to the above-described procedure.
[0077]
When using a coupon, the coupon processing device is first called by communication from the customer's mobile terminal (S310). The communication considered here is not communication via a telephone station but short-range wireless communication represented by Bluetooth (trademark), IrDA, or the like. This is not only free of telephone charges, but also has advantages such as high-speed communication, so it is easy to use for coupon services. However, the following embodiments can be similarly applied to public line type communication via a telephone office.
[0078]
When the coupon processing apparatus responds in response to the call from the portable terminal, connection is made by a predetermined protocol (S311). After the connection is made, the portable terminal performs device authentication of the coupon processing device by the device authentication unit 301 (S312). Here, the authentication process will be described in detail. The authentication performed by the device according to the present invention is authentication for confirming whether the communication partner is a correct device. As described at the beginning of the embodiment, in the present embodiment, the portable terminal and the coupon processing apparatus itself are considered to be reliable if tamper resistance can be assumed. In other words, a device that can be easily hacked by a special method and can rewrite or read data inside the device without any tamper resistance can no longer be considered a reliable device. Device authentication is performed in order to eliminate such untrusted devices and devices that are not approved for use as a coupon service system because they do not have the level of security that coupon services can be implemented.
[0079]
FIG. 33 is a flowchart showing a device authentication processing procedure. First, a challenge for inquiring about the device ID of the coupon processing apparatus is created (S330), and output to the coupon processing apparatus via the control unit 305 and the transmission / reception unit 304 (S331). Next, it waits for the response of the coupon processing apparatus to the challenge (S332). When receiving the response, the device authentication unit 301 extracts the coupon processing device ID from the response from the device data storage unit 302, and searches the device revocation list 303 with the coupon processing device ID (S333). When the coupon processing apparatus device ID is described in this list (S334), it is determined that the coupon processing apparatus is a device that has already collapsed the security system or a device that does not have a predetermined security system, An error message indicating that the authentication is terminated due to insufficient creditworthiness of the device is output and the process is terminated (S335).
[0080]
Here, when the device ID of the coupon processing device does not exist in the revocation list 303, at least the creditworthiness of the device that has responded is recognized, so that the coupon processing device really does not have the coupon processing device ID. Proceed to verification of the device. For this purpose, as described above, authentication using information that only the coupon processing apparatus can know may be performed. That is, a challenge for inquiring about the device public key certificate of the coupon processing apparatus is created (S336), this is sent to the coupon processing apparatus in the same procedure as above (S337), and a response is received (S338). The public key certificate here is a public key certificate for device authentication, and has a configuration as shown in FIG. When the response is received, a public key certificate is acquired from the response, a device ID is acquired from the public key certificate, and is compared with the device ID that has been previously responded. If they do not match as a result of the comparison, an error message indicating that the public key certificate or device ID is false is output and the authentication is terminated. If they match, the public key certificate is further authenticated with the public key of the certificate authority (S339). If the authentication is successful, the public key certificate is proved to be correct, so the next step is to challenge. If the authentication fails, an error message indicating that the authentication of the public key certificate has failed is output, and the authentication process is terminated.
[0081]
If the authentication of the device public key certificate is successful, i = 0 is set (S3311), and the message M i A challenge requesting the creation of a digital signature that can be verified with the public key is created (S3312) and output (S3313). When a response is received, message M i Is verified (S3315). If the verification fails, an error output indicating that the signature verification failed is output (S3317). If successful, i is incremented by 1 and the same challenge response is repeated N times while changing the plaintext (S3312 to S3316). If all N times are successful, the coupon processing apparatus is recognized as signing the message using a secret key known only to the device ID, so that it can be confirmed that the device has the device ID. As a result, a notification to the effect that authentication has been completed and transmitted is sent to the portable terminal (S3318). The above is the apparatus authentication process of the coupon processing apparatus.
[0082]
When the coupon processing apparatus is successfully authenticated by the above processing procedure, the mobile terminal is authenticated by the coupon processing apparatus performed by the same processing procedure. This authentication processing procedure is shown in FIG. First, the mobile terminal receives a challenge from the coupon processing apparatus by the transmission / reception unit 304 (S320). The received challenge is sent to the device authentication unit via the control unit 305. There are two types of “questions” here: a question that simply asks for a coupon processing device ID, and a question that cannot be answered unless information that is known only to a mobile terminal is used. In the case of the former inquiry, the device authentication unit acquires the device ID from the device data storage unit and transmits it to the portable terminal via the control unit 305 and the transmission / reception unit 304.
[0083]
In the case of the latter question, similarly, the device authentication unit 301 extracts secret data from the device data storage unit 302 and performs the process in the challenge. Specifically, the latter question is to generate a digital signature on a plaintext (message) transmitted using a secret key of public key cryptography held secretly by the device. The device authentication here is not basically performed for each device, but for example for the device type name. That is, devices having the same model name have the same device ID, the same (authentication) secret key, and are authenticated by the same standard.
[0084]
The response created by the above procedure is transmitted from the transmission / reception unit 304 to the coupon processing apparatus via the control unit 305 (S322). In response to the response, the end of authentication or continuation is received from the coupon processing apparatus, and if the end of authentication is received (S323), the control unit 305 determines whether the authentication is successful (S324). ) If the authentication fails, output the reason and exit. Here, the determination as to whether or not the authentication is successful can be made based on, for example, whether or not an error code is added to the end notification from the coupon processing apparatus. If an error code is added, authentication has failed, and authentication has failed for the reason indicated by the error code. If the authentication fails, an error is output based on the error code (S325). On the other hand, when the authentication is not completed, it waits for the next challenge to be transmitted from the coupon processing device, and when the challenge is received, the same processing as described above is performed.
[0085]
Here, it returns to description of FIG.
[0086]
If the device authentication is passed, the mobile terminal continues to receive an inquiry about the mobile terminal ID from the coupon processing device 2. Therefore, the mobile terminal extracts the mobile terminal ID in the limited receiving unit 131 and transmits the mobile terminal ID to the coupon processing apparatus 2 (S318). On the coupon processing device 2 side, as shown in FIG. 34, this is sent from the control unit 341 to the mobile terminal ID verification unit 342, and it is checked whether the mobile terminal ID has been revoked by referring to the mobile terminal revocation list 343 ( S319). If it is revoked, an output indicating that it is a customer requiring attention is output and the process ends (S3110). Here, the mobile terminal revocation list 343 is a list of mobile terminal IDs that are customers who have made illegal transactions of coupon data in the past and are within the transaction suspension period. For this reason, if the mobile terminal ID is registered in this list, the transaction must be terminated at that time.
[0087]
If it is not revoked, the control unit 341 of the coupon processing apparatus 2 obtains the store ID, employee ID, and employee public key certificate written on the employee card 5 from the employee card reading unit 344. (S3111). Here, the employee card 5 is an electronic identification of the employee and is usually mounted in the form of an IC card. When an employee operates the coupon processing apparatus 2, the employee must insert his / her employee card 5 into the insertion slot of the coupon processing apparatus 2. This aims to clarify employee responsibilities for coupon services and to eliminate fraudsters. The store ID and employee ID acquired from the employee card are transmitted to the mobile terminal via the transmission / reception unit 342 (S3112), and it is checked on the mobile terminal side whether the store or the employee has been revoked. . Here, when it is found that the revocation has been made, the mobile terminal immediately transmits information indicating that the transaction has been canceled to the coupon processing apparatus, so that the coupon processing apparatus outputs an error and ends (S3114).
[0088]
If not revoked, the mobile terminal transmits coupon data to the coupon processing device (S3115). The coupon processing device receives the coupon data (S3116), and verifies the coupon data by a method described in detail in the description of the processing procedure of the later coupon processing device (S3117). Here, when the verification is successful, the coupon processing apparatus performs a discount by using the coupon (S3120). After the discount is implemented, the coupon data is deleted from the coupon data DB 301 and the process is terminated (S3121). If the verification is not successful, an output indicating that there is an error in the coupon data is output from the coupon processing apparatus, and based on this, an error is output on the portable terminal side and the process is terminated.
[0089]
Above, the description regarding the process by the side of a portable terminal is complete | finished.
[0090]
Next, the coupon processing device will be described in detail. Since the processing procedure of the coupon processing apparatus has many portions that overlap with those of the mobile terminal, the description will focus on the different portions.
[0091]
FIG. 34 is a block diagram showing the overall configuration of the coupon processing apparatus, and FIG. 35 is a flowchart showing a processing procedure until coupon data is received and a discount is implemented. Hereinafter, processing of the received coupon will be described along the flowchart of FIG. 35 with reference to the overall configuration diagram of FIG.
[0092]
First, a coupon processing apparatus is called and connected by communication from a customer's mobile terminal (S350). If the connection is made, the mutual device authentication with the coupon processing apparatus is performed in the same manner as the processing procedure on the portable terminal side described above, and if the authentication fails, an error output or the like is performed and the process ends (S351 to S356). If the device authentication is successful, the control unit 341 requests the portable terminal to output the portable terminal ID, and the portable terminal acquires the portable terminal ID from the portable terminal ID storage unit of the limited receiving unit 131 in the portable terminal, and the control unit (S357). The acquired mobile terminal ID is transmitted to the coupon processing apparatus via the transmission / reception unit, and the coupon processing apparatus performs authentication using the revocation list of the mobile terminal ID (S358). If the authentication fails, an error is output and the process ends (S359). If the authentication is successful, the control unit 341 sends the employee ID, store ID, and employee public key certificate to the employee card reading unit 344. Is read (S3510, S2511), and the read employee ID, store ID, and employee public key certificate are transmitted to the portable terminal (S3512). In response to this, the portable terminal searches the store / employee revocation list 306 and confirms whether the store with the store ID or the employee with the employee ID at the store with the store ID has been revoked. If it has been revoked, an error output indicating that the employee is a watchful employee is made, and the process ends here (S3514). If it has not been revoked, verification has succeeded, and the process moves to the control unit 305.
[0093]
The control unit 341 receives coupon data from the mobile terminal (S3516), transmits the coupon data to the coupon data verification unit 345, and verifies the coupon data. Verification of coupon data first extracts the service provider ID and coupon identifier from the basic coupon data portion of the coupon data, and also extracts the expiration date from the additional coupon data to determine the validity of the coupon data. First of all, the service provider ID is matched to confirm the validity of the service provider ID (or partner), and whether the coupon identifier is a currently available service is checked. It is performed by confirming that it is within the expiration date (S3517). If it is not available, an error is output to that effect and the process is terminated (S3518). If it is available, the basic coupon data is continuously authenticated (S3519). The basic point data is authenticated by obtaining a public key certificate of the service provider from the basic point data and authenticating it with the public key of the certificate authority in the certificate authority public key storage unit 346. If the authentication fails, the process ends there and an error is output (S3521). When the authentication is successful, the digital signature of the service provider included in the basic point data is verified using the public key of the public key certificate. If the verification fails, an error is output and the process ends. If the verification is successful, the additional point data is subsequently authenticated (S3522). The verification of the additional point data is the same as the verification of the basic point data, and will be omitted.
[0094]
When the verification of the additional point data is completed, the control unit 341 calculates the discount amount by correcting the discount amount of the basic coupon data with the additional coupon data (S3526), performs the discount using the coupon (S3527), and discounts from the purchase amount. Reduce the amount and charge. Further, the fact that the coupon service has been implemented is transmitted to the portable terminal (S3528), and the portable terminal receives this and erases the coupon data. Next, the control unit 341 moves the processing to the coupon log creation unit 347, and adds the service execution time, the digital signature with the employee's private key, and the employee's public key certificate to the coupon data as shown in FIG. The file is completed (S3529). This log file is transmitted to the coupon server 3 (S3530), stored in a database on the coupon server 3, and used for fraud detection processing as will be described in detail below.
[0095]
Next, the processing of the coupon server will be described in detail. FIG. 37 is a block diagram showing the overall configuration of the coupon server, and FIG. 38 is a flowchart showing a processing procedure for inspecting a coupon. The coupon inspection process will be described below with reference to the flowchart of FIG. 38 with reference to the overall configuration diagram of FIG.
[0096]
The coupon server 3 receives the coupon log data transmitted from the coupon processing device 2 via the transmission / reception unit 371 and stores the coupon log data in the coupon log data DB 373 via the coupon log data management unit 372. Here, the basic coupon data distributed by broadcast is in the basic coupon data DB 374, the purchase results of the user are in the purchase result DB 375, the viewing contract information is in the viewing contract DB 376, the basic coupon data input / output unit 376, the purchase result input / output 377 and viewing contract input / output unit 378 are input and managed.
[0097]
In the following, if a fraudulent transaction occurs by inspecting the cupologon data for each mobile terminal, the fact is detected, and the unauthorized person is identified from the mobile terminal ID, store ID, employee ID, etc. of the coupon log data. The processing procedure is shown. This processing procedure is started by the control unit 379 when the collection of coupon log data from each coupon processing apparatus is completed. The control unit 379 instructs the coupon log inspection unit 3710 to inspect coupon log data. In response to this, the coupon log data inspection unit 3710 sets i = 0 and starts the inspection (S382).
[0098]
The inspection is performed according to the following procedure. It is assumed that all portable terminal IDs are set between 0 and MAXID. First, the coupon log data DB 373 is searched for the presence of coupon data that includes i as the mobile terminal ID (S383). If there is no coupon data including such a portable terminal ID, it is confirmed that i <MAXID, i is incremented by 1, and the presence of coupon log data is searched again. Here, if i <MAXID is not satisfied, it means that the process has been completed, and the process ends (S381).
[0099]
If coupon log data having i as the mobile terminal ID exists in the coupon log DB 373, all coupon log data is searched and all such coupon log data is extracted (S384). These are sorted based on the use time information in the coupon log data, and are arranged in order from the earliest time (S385).
[0100]
And about each coupon log data in it, the employee's digital signature added to coupon log data is first verified (S386). In this authentication, first, the employee's public key certificate attached to the coupon log data is authenticated with the public key of the certificate authority, and if the authentication is successful, a digital signature is signed with the public key embedded in the public key certificate. Validate. Here, when authentication fails in either public key certificate authentication or digital signature authentication, an abnormal output (S389) is performed, the verification process of the portable terminal is interrupted, and i is incremented by 1 (S380). ), The process proceeds to the next coupon log data processing (S383-).
[0101]
If the digital signature is successfully authenticated (S387), then the basic coupon data is authenticated (S388). Since the authentication method is the same as the same processing in the coupon processing apparatus, it is omitted here. If there is coupon log data that fails authentication (S3810), an abnormal output is performed (S3811), the verification process of the mobile terminal is interrupted, and i is incremented by 1, and the next coupon log data Transition to processing. If no abnormality has occurred in the basic coupon data in all coupon log data, the additional coupon log data is next authenticated (S3812). This process is the same as that in the coupon processing apparatus, and the process when the authentication fails is the same as in the case of basic coupon data.
[0102]
If there is no abnormality in the additional coupon data in all coupon log data, then the coupon usage history, purchase record, and broadcast contract status up to the previous point will be displayed. The validity of the additional point data is verified with reference to the log DB 373, the purchase record DB 375, and the viewing contract DB 376 (S3815). That is, it is inspected whether the additional coupon data having such conditions can be created when the additional coupon data is created. Accordingly, even if the security function of a specific mobile terminal or coupon processing device is broken, fraud can be detected. If the additional coupon data is valid for all coupon log data, it is determined that the coupon log data of the portable terminal is normal (S3816), i is incremented by 1, and the coupon of the portable terminal of the next portable terminal ID is determined. Validate log data. However, if any contradiction occurs, an abnormal output is made (S3817), the verification process of the mobile terminal is interrupted, i is incremented by 1, and the coupon log data of the mobile terminal with the next mobile terminal ID is verified.
[0103]
Now, for the mobile terminal ID determined to be abnormal as a result of the inspection, the interface of the revocation list input / output unit 3711 is used to search the plurality of DBs including the coupon log data DB 373 to find the cause of the abnormality, Identify fraudsters. It should be noted here that an unauthorized person is not necessarily a holder of a portable terminal. This is because there is a possibility that the employee is illegally using the user's data by copying it. In the latter case, the criminal can be specified because the employee ID of the coupon log data is always the same person. For these reasons, it is difficult to automate the process of identifying unauthorized persons without error.
[0104]
If an unauthorized person is specified, in this embodiment, if the store or employee is illegal using the revocation list input / output unit 3711, the store / employee revocation list management unit 3712 may be used. If there is a mobile device revocation list management unit 3713, and if a device hacking is detected, the device is registered in each revocation list DB (3715, 3716, 3717) via the device revocation list management unit 3714.
[0105]
Further, in order to reflect these revocation lists on the actual portable terminal and coupon processing device, the following processing may be performed. First, to the coupon processing device, for example, by the start of every business day, a new device revocation list and a mobile terminal revocation list or a difference between them yesterday is transmitted from the coupon server to each coupon processing device. For the portable terminal, the device revocation list and the store / employee revocation list may be changed about once a month through a public line, or the portable terminal itself may be downloaded from a homepage on the Internet.
[0106]
This is the end of the description of the basic configuration and processing of the embodiment. Next, some variations are described.
[0107]
The first variation is a method in which coupon distribution in the present embodiment is performed by two-way communication such as a telephone using a public line instead of broadcasting. Coupon data is reliably transmitted to the viewer by using the two-way communication. This eliminates the need for repeated distribution because the viewing time varies depending on the viewer in broadcasting. However, it takes a communication cost to distribute to a relatively large area. Therefore, a method of downloading a coupon only to a viewer who accesses using the Internet can be considered. This method solves the problem of communication costs described above. However, the coupon is distributed only to a specific viewer who happens to access. As described above, when coupon distribution is performed by two-way communication, there is a problem that recipients are actually biased. However, in the case of coupons for sales promotion of shops to small local residents and sales of specialized goods that only some people use, this variation method is superior to broadcasting in terms of cost. Yes.
[0108]
In the second variation, pay broadcasting has been considered as broadcasting in the present embodiment, but the present invention can be implemented without pay broadcasting. For example, a variation is considered in which the basic coupon data is transmitted by a free broadcast broadcasted by the shopping street in the shopping street. In this case, if the broadcast content is not encrypted, the limited receiving unit of the portable terminal is not necessary. However, even in this case, the portable terminal ID included in the limited receiving unit must be provided separately from the limited receiving unit. With this configuration, not only a smaller configuration can be achieved, but also complicated operations are eliminated, eliminating troublesome operations.
[0109]
The third variation is a variation in which a user ID is added to the additional coupon data instead of the mobile terminal ID. In this way, even if an unauthorized person changes the mobile terminal, it can be revoked reliably. However, in order to configure in this way, the user side must have an IC card having user-specific information. For this reason, it may be costly and difficult to spread. Further, when considering introducing this into a mobile phone, an IC card such as a SIM card is used instead of a normal IC card. This variation can also be realized without changing the configuration and processing procedure of each device.
[0110]
The fourth variation is a configuration method that does not perform revocation. In this way, it seems that even if an unauthorized person can be identified, it cannot be caught, but if the user, the store, and the employee register in advance and start the service, they can directly contact the unauthorized person from the address etc. Compensation for fraud can be sought. In addition, since the processing related to revocation that appears in various places in this embodiment can be omitted, a high-speed service can be provided. Actually, some services using the wireless communication function of the current portable terminal have a problem of processing time for the service, and this variation is effective in such a case.
[0111]
In the fifth embodiment, the fifth variation is configured by a mobile terminal. However, since it is essential that the mobile terminal is mobile, it can also be used by a receiving terminal mounted on a car as described in the prior art. In this case, since the receiving terminal cannot be taken out of the car, the connection process between the receiving terminal and the coupon processing apparatus becomes a problem, but when using the communication by Bluetooth (trademark) described in the prior art, 10 m arrives without directivity. Therefore, it can be connected sufficiently.
[0112]
The sixth variation is a configuration method in which personal information such as name, address, age, and mail address is input to the additional point data. So far, in the present embodiment, the data added to the additional points is only the discount addition rate information obtained from the information such as the purchase history, and is not necessarily information for identifying the individual customer. However, since coupon services have been used for new customer development, personal information such as address and name is extremely useful (for service providers). For this reason, it is necessary to add personal information as well as the discount addition amount as in this variation.
[0113]
In order to satisfy this request, "addition of personal information (address, name, email address)" is included in the permission conditions in the coupon policy, and the addition of personal information is a condition for issuing a coupon. As shown, the user name, user address, and user email address may be added to the additional point data body.
[0114]
The seventh variation is a configuration method that does not place importance on security. In the service form that is directly linked to money like the discount amount addition of this embodiment, it must be configured with an emphasis on security, but even if fraud occurs, such as offering a crude product to the coupon service Some are less affected. In such a coupon service, the configuration as in the present embodiment in which security is emphasized has a problem that it takes a considerable amount of processing time for the authentication process and is rather difficult to use. In such a case, it is desirable to adopt a method in which security processing is omitted.
[0115]
The basic coupon data and the additional coupon data in the coupon data of this variation are configured as shown in FIGS. 40 and 41, and the public key certificate and the digital signature are excluded from each of the basic coupon data and the additional coupon data in the embodiment described above. It has a form. Actually, in order to satisfy sufficient safety, these data are larger in size than other data, and a secondary effect of reducing the amount of communication by deleting this portion can be expected.
[0116]
A variation in which only one of the basic coupon data and the additional coupon data is configured as described above is also conceivable. Such a configuration is generally valuable when the value of information is considerably different between basic coupon data and additional coupon data. For example, if the discount amount is set at 1000 yen in the basic coupon data and the discount addition amount is ± 100 yen in the additional coupon data, there is a concept that it is sufficient to protect the safety of only the basic coupon data. Conversely, when the discount amount in the basic coupon data is 100 yen and the discount addition amount in the additional coupon data is ± 1000 yen, there is also an idea that it is sufficient to keep the safety of only the additional coupon data contrary to the above.
[0117]
The eighth variation relates to a combination of the sixth variation and the seventh variation. In other words, the permission condition is “presentation of personal information (address, name, e-mail address)”, and when considering a service with a low risk of fraud as a coupon service, the service provider is advanced in the sense of authentication. There is no need to consider security. In such a case, it is preferable to realize this by adding the additional coupon data as shown in FIG. 42 to the basic coupon data as shown in FIG. 40 in the seventh variation. It is also possible to proceed by changing the basic coupon data according to the information of the additional coupon data as shown in FIG. In this configuration method, not only the amount of data can be reduced but also data processing is facilitated by linking associated data. In the example of FIG. 43, the expiration date of the coupon ID, the coupon policy data, and the basic coupon data is less than when the basic coupon data and the additional coupon data are configured separately.
[0118]
Actually, most coupon services using current coupons are implemented in the form of presenting crude information by presenting personal information in this way, and this variation is an application of the present invention to the current service. Is shown.
[0119]
In this variation, the purpose is to simplify the data by changing the basic coupon data. In this sense, the digital signature and public key certificate of the mobile terminal or user are added to the changed coupon data. It does not prevent you from doing. In fact, such a configuration can prevent fraud of a mobile terminal user (whose fraud probability is high).
[0120]
The present invention is not limited to the above-described embodiment, and can be implemented with various modifications.
[0121]
【The invention's effect】
As described above, according to the present invention, it is possible to provide a mobile terminal, a coupon processing device, and a coupon management server for realizing a coupon service having both flexibility and safety.
[Brief description of the drawings]
FIG. 1 is a diagram showing a data structure of coupon data according to an embodiment of the present invention.
FIG. 2 is a diagram showing a data structure of basic coupon data according to the embodiment of the present invention.
FIG. 3 is a diagram showing a data structure of a basic coupon data body according to the embodiment of the present invention.
FIG. 4 is a view showing a data structure of keyword information according to the embodiment of the present invention.
FIG. 5 is a view showing a data structure of a public key certificate of a service provider according to the embodiment of the present invention.
FIG. 6 is a diagram showing a data structure of additional coupon data according to the embodiment of the present invention.
FIG. 7 is a view showing a data structure of an additional coupon data body according to the embodiment of the present invention.
FIG. 8 is a diagram showing a data structure of a public key certificate of the mobile terminal according to the embodiment of the present invention.
FIG. 9 is a view showing a data structure of coupon policy data according to the embodiment of the present invention.
FIG. 10 is a view showing a data structure of a public key certificate for device authentication according to the embodiment of the present invention.
FIG. 11 is a block diagram showing the overall configuration of a coupon service system according to an embodiment of the present invention.
FIG. 12 is a flowchart showing an overall processing procedure regarding use of coupon data according to the embodiment of the present invention.
FIG. 13 is a block diagram showing the overall configuration of the mobile terminal according to the embodiment of the present invention.
FIG. 14 is a view showing a bit string corresponding to channel contract information according to the embodiment of the present invention.
FIG. 15 is a diagram showing a key configuration in conditional access according to the embodiment of the present invention.
FIG. 16 is a diagram showing a data structure of a content packet according to the embodiment of the present invention.
FIG. 17 is a diagram showing a data structure of an individual limited reception packet according to the embodiment of the present invention.
FIG. 18 is a diagram showing a data structure of contract information according to the embodiment of the present invention.
FIG. 19 is a view showing a data structure of a common limited reception packet according to the embodiment of the present invention.
FIG. 20 is a block diagram showing a configuration of a conditional access unit according to the embodiment of the present invention.
FIG. 21 is a flowchart showing a processing procedure of a conditional access unit according to the embodiment of the present invention.
FIG. 22 is a flowchart showing a processing procedure for a content packet according to the embodiment of the present invention.
FIG. 23 is a flowchart showing a processing procedure regarding a common limited reception packet according to the embodiment of the present invention.
FIG. 24 is a flowchart showing a processing procedure related to an individual limited reception packet according to the embodiment of the present invention.
FIG. 25 is a block diagram showing a configuration of a coupon processing unit according to the embodiment of the present invention.
FIG. 26 is a flowchart showing a processing procedure of basic coupon data storage processing according to the embodiment of the present invention.
FIG. 27 is a flowchart showing a processing procedure for generating additional coupon data according to the embodiment of the present invention.
FIG. 28 is a flowchart showing a procedure for checking essential conditions in the process of generating additional coupon data from the coupon policy according to the embodiment of the present invention.
FIG. 29 is a flowchart showing a processing procedure when searching for the most advantageous permission condition from the permission conditions according to the embodiment of the present invention.
FIG. 30 is a block diagram showing a configuration of a coupon using unit according to the embodiment of the present invention.
FIG. 31 is a flowchart showing a processing procedure when using a coupon according to the embodiment of the present invention.
FIG. 32 is a flowchart showing the authentication processing procedure of the portable terminal by the coupon processing apparatus according to the embodiment of the present invention.
FIG. 33 is a flowchart showing a device authentication processing procedure according to the embodiment of the present invention.
FIG. 34 is a block diagram showing the overall configuration of the coupon processing apparatus according to the embodiment of the present invention.
FIG. 35 is a flowchart showing a processing procedure from receipt of coupon data according to an embodiment of the present invention until execution of a discount.
FIG. 36 is a view showing the data structure of a coupon log file according to the embodiment of the present invention.
FIG. 37 is a block diagram showing the overall configuration of the coupon server according to the embodiment of the present invention.
FIG. 38 is a flowchart showing a processing procedure for inspecting a coupon according to the embodiment of the present invention.
FIG. 39 is a view showing a data structure of an additional point data body according to a modification of the embodiment of the present invention.
FIG. 40 is a diagram showing a data structure of basic coupon data according to a modification of the embodiment of the present invention.
FIG. 41 is a view showing the data structure of additional coupon data according to a modification of the embodiment of the present invention.
FIG. 42 is a diagram showing a data structure of additional coupon data according to a modification of the embodiment of the present invention.
FIG. 43 is a diagram showing the connection of basic coupon data and additional coupon data according to a modification of the embodiment of the present invention.
[Explanation of symbols]
1 ... Mobile terminal
2 ... Coupon processing device
3. Coupon server
4. Broadcast satellite
5 ... Employee card
6 ... Certificate Authority

Claims (7)

クーポン処理装置と接続してクーポンサービスを享受可能な携帯端末であって、
各々に付加クーポンデータ及び前記付加クーポンデータが発行されるための条件である適用条件が記述された複数のクーポンポリシーを含む基本クーポンデータをクーポンサービスの供給元から取得する手段と、
前記基本クーポンデータを記憶する第１のデータベースと、
当該携帯端末の利用者に固有の情報を表す内部プロファイルを記憶する第２のデータベースと、
ユーザインターフェイスからの指示により、クーポン識別子をキーにして前記第１のデータベースを検索し、基本クーポンデータを抽出する手段と、
抽出された前記基本クーポンデータから一つのクーポンポリシーを抽出するとともに、この抽出したクーポンポリシーに記述された前記適用条件と前記内部プロファイルが示す情報とを比較することにより、前記内部プロファイルが示す情報が該適用条件を満足するか否かを判定し、該適用条件を満足するならば該クーポンポリシーの付加クーポンデータを付加クーポン条件としてメモリーに記憶したのち、前記基本クーポンデータから別のクーポンポリシーを抽出するとともに、この抽出したクーポンポリシーに記述された前記適用条件と前記内部プロファイルが示す情報とを比較することにより、前記内部プロファイルが示す情報が該適用条件を満足するか否かを前記内部プロファイルに基づいて判定し、該適用条件を満足しかつ前記メモリーに記憶された付加クーポン条件よりも当該クーポンポリシーが有利であるか否かを、割引額を含む予め定められた基準に沿って判定し、有利であると判定されたならば該クーポンポリシーの付加クーポンデータによって前記メモリーに記憶された付加クーポン条件を更新する手段と、
前記メモリーに付加クーポン条件として記憶された付加クーポンデータを前記基本クーポンデータに付加することで得られるクーポンデータを前記クーポン処理装置に送信する手段と、
を具備することを特徴とする携帯端末。A portable terminal that can be connected to a coupon processing device and enjoy a coupon service,
Means for acquiring basic coupon data including a plurality of coupon policies each describing additional coupon data and an application condition that is a condition for issuing the additional coupon data from a coupon service supplier;
A first database for storing the basic coupon data;
A second database storing an internal profile representing information unique to the user of the mobile terminal;
In response to an instruction from the user interface, means for searching the first database using a coupon identifier as a key and extracting basic coupon data;
By extracting one coupon policy from the extracted basic coupon data and comparing the application condition described in the extracted coupon policy with the information indicated by the internal profile, the information indicated by the internal profile is obtained. It is determined whether or not the application condition is satisfied. If the application condition is satisfied, the additional coupon data of the coupon policy is stored in the memory as the additional coupon condition, and another coupon policy is extracted from the basic coupon data. In addition, by comparing the application condition described in the extracted coupon policy with the information indicated by the internal profile, the internal profile determines whether the information indicated by the internal profile satisfies the application condition. To satisfy the application condition and The whether the coupon policy is more advantageous than adding coupon conditions stored in Lee, determined along a predetermined criteria, including the discount amount, of the coupons policy if it is determined to be advantageous Means for updating additional coupon conditions stored in the memory with additional coupon data;
Means for transmitting coupon data obtained by adding additional coupon data stored as additional coupon conditions in the memory to the basic coupon data to the coupon processing device;
A portable terminal comprising: 前記携帯端末の内部プロファイルは、当該携帯端末の地理的位置情報、前記クーポンサービスの供給元に係わる商品の購入実績情報、前記クーポンデータの放送に係わる視聴契約情報、および前記クーポンサービスの供給元への当該携帯端末利用者の会員登録情報のいずれかを含むことを特徴とする請求項１記載の携帯端末。  The internal profile of the mobile terminal includes the geographical location information of the mobile terminal, purchase history information of products related to the coupon service supplier, viewing contract information related to the coupon data broadcast, and the coupon service supplier. 2. The mobile terminal according to claim 1, comprising any of member registration information of the mobile terminal user. 前記クーポン処理装置に送信するクーポンデータに、少なくとも当該携帯端末によるデジタル署名を添付する手段を具備することを特徴とする請求項１又は２記載の携帯端末。  3. The portable terminal according to claim 1, further comprising means for attaching at least a digital signature by the portable terminal to the coupon data transmitted to the coupon processing apparatus. 前記デジタル署名のための公開鍵について、所定の認証局により証明された公開鍵証明書を添付する手段を具備することを特徴とする請求項３記載の携帯端末。  4. The portable terminal according to claim 3, further comprising means for attaching a public key certificate certified by a predetermined certificate authority for the public key for the digital signature. 衛星放送による一方向通信に基づいて前記クーポンサービスの供給元から前記基本クーポンデータを受信することを特徴とする請求項１乃至４のいずれかに記載の携帯端末。  The mobile terminal according to any one of claims 1 to 4, wherein the basic coupon data is received from a supplier of the coupon service based on one-way communication by satellite broadcasting. 当該携帯端末からの要求送信を含む双方向通信に基づいて前記クーポンサービスの供給元から前記基本クーポンデータを受信することを特徴とする請求項１乃至４のいずれかに記載の携帯端末。  The mobile terminal according to any one of claims 1 to 4, wherein the basic coupon data is received from a supply source of the coupon service based on bidirectional communication including request transmission from the mobile terminal. クーポン処理装置と接続してクーポンサービスを享受可能な携帯端末におけるクーポン処理方法であって、
各々に付加クーポンデータ及び前記付加クーポンデータが発行されるための条件である適用条件が記述された複数のクーポンポリシーを含む基本クーポンデータをクーポン処理手段がクーポンサービスの供給元から取得するステップと、
前記基本クーポンデータを制御手段が第１のデータベースに記憶させるステップと、
当該携帯端末の利用者に固有の情報を表す内部プロファイルを前記制御手段が第２のデータベースに記憶させるステップと、
ユーザインターフェイスからの指示により、前記制御手段がクーポン識別子をキーにして前記第１のデータベースを検索し、基本クーポンデータを抽出するステップと、
前記制御部が、抽出された前記基本クーポンデータから一つのクーポンポリシーを抽出するとともに、この抽出したクーポンポリシーに記述された前記適用条件と前記内部プロファイルが示す情報とを比較することにより、前記内部プロファイルが示す情報が該適用条件を満足するか否かを前記内部プロファイルに基づいて判定し、該適用条件を満足するならば該クーポンポリシーの付加クーポンデータを付加クーポン条件としてメモリーに記憶させるステップと、
前記制御部が、前記基本クーポンデータから別のクーポンポリシーを抽出するとともに、この抽出したクーポンポリシーに記述された前記適用条件と前記内部プロファイルが示す情報とを比較することにより、前記内部プロファイルが示す情報が該適用条件を満足するか否かを前記内部プロファイルに基づいて判定し、該適用条件を満足しかつ前記メモリーに記憶された付加クーポン条件よりも当該クーポンポリシーが有利であるか否かを、割引額を含む予め定められた基準に沿って判定し、有利であると判定されたならば該クーポンポリシーの付加クーポンデータによって前記メモリーに記憶された付加クーポン条件を更新するステップと、
前記メモリーに付加クーポン条件として記憶された付加クーポンデータを前記基本クーポンデータに付加することで得られるクーポンデータをクーポン使用手段が前記クーポン処理装置に送信するステップとを具備することを特徴とするクーポン処理方法。A coupon processing method in a portable terminal that can be connected to a coupon processing device and enjoy a coupon service,
A coupon processing means for acquiring basic coupon data including a plurality of coupon policies each describing additional coupon data and an application condition that is a condition for issuing the additional coupon data, from a coupon service supplier;
Allowing the control means to store the basic coupon data in a first database;
A step of said control unit an internal profile representing information specific to the user of the mobile terminal causes storage in the second database,
In response to an instruction from the user interface, the control means searches the first database using a coupon identifier as a key, and extracts basic coupon data;
The control unit extracts one coupon policy from the extracted basic coupon data, and compares the application condition described in the extracted coupon policy with information indicated by the internal profile, thereby information indicating the profile is determined based on whether or not to satisfy the 該適for conditions in the internal profile, a step of causing the storage in the memory as an additional coupon conditions additional coupon data of the coupon policy if satisfying該適for conditions ,
The control unit extracts another coupon policy from the basic coupon data, and compares the application condition described in the extracted coupon policy with information indicated by the internal profile, thereby indicating the internal profile. Whether the information satisfies the application condition is determined based on the internal profile, and whether the coupon policy is advantageous over the additional coupon condition that satisfies the application condition and stored in the memory Determining according to a predetermined criterion including a discount amount, and updating the additional coupon condition stored in the memory with the additional coupon data of the coupon policy if determined to be advantageous;
A coupon using means for sending coupon data obtained by adding the additional coupon data stored as an additional coupon condition in the memory to the basic coupon data to the coupon processing device. Processing method.
JP2002254127A 2002-08-30 2002-08-30 Mobile device Expired - Fee Related JP3950025B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2002254127A JP3950025B2 (en) 2002-08-30 2002-08-30 Mobile device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2002254127A JP3950025B2 (en) 2002-08-30 2002-08-30 Mobile device

Publications (2)

Publication Number Publication Date
JP2004094543A JP2004094543A (en) 2004-03-25
JP3950025B2 true JP3950025B2 (en) 2007-07-25

Family

ID=32059947

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2002254127A Expired - Fee Related JP3950025B2 (en) 2002-08-30 2002-08-30 Mobile device

Country Status (1)

Country Link
JP (1) JP3950025B2 (en)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100716028B1 (en) * 2004-07-29 2007-05-11 (주) 엘지텔레콤 A method for provision of cyber money in satelite dmb system
JP4553127B2 (en) * 2005-01-04 2010-09-29 日本電気株式会社 Coupon management method, coupon management system, information processing terminal, membership card, program
KR100730070B1 (en) * 2005-06-10 2007-06-20 주식회사 엘지텔레콤 System and method for providing a coupon using digital multimedia broadcating system
US9215581B2 (en) 2006-04-14 2015-12-15 Qualcomm Incorported Distance-based presence management
US8886125B2 (en) 2006-04-14 2014-11-11 Qualcomm Incorporated Distance-based association
US8552903B2 (en) 2006-04-18 2013-10-08 Qualcomm Incorporated Verified distance ranging
WO2007138945A1 (en) * 2006-05-31 2007-12-06 Bitwallet, Inc. Information processing device and information processing method
US8837724B2 (en) 2007-03-27 2014-09-16 Qualcomm Incorporated Synchronization test for device authentication
US8239684B2 (en) 2007-03-28 2012-08-07 Nec Corporation Software IC card system, management server, terminal, service providing server, service providing method, and program
US9524502B2 (en) * 2007-06-20 2016-12-20 Qualcomm Incorporated Management of dynamic electronic coupons
US9141961B2 (en) 2007-06-20 2015-09-22 Qualcomm Incorporated Management of dynamic mobile coupons
US9483769B2 (en) 2007-06-20 2016-11-01 Qualcomm Incorporated Dynamic electronic coupon for a mobile environment
JP2009151639A (en) * 2007-12-21 2009-07-09 Bitwallet Inc Discount information providing system, payment terminal, and discount information server
US10542372B2 (en) 2011-03-15 2020-01-21 Qualcomm Incorporated User identification within a physical merchant location through the use of a wireless network
WO2013037029A1 (en) * 2011-09-12 2013-03-21 Simply Good Technologies Inc. Data record management and processing for fungible instruments
JP6674864B2 (en) * 2016-08-18 2020-04-01 株式会社Ｎｔｔドコモ Information processing apparatus and information processing system

Also Published As

Publication number Publication date
JP2004094543A (en) 2004-03-25

Similar Documents

Publication Publication Date Title
JP3950025B2 (en) Mobile device
JP4274421B2 (en) Pseudo-anonymous user and group authentication method and system on a network
JP4574957B2 (en) Group management organization device, user device, service provider device, and program
CN1345494B (en) Wireless electronic authentication system and method for operating same
US7096363B2 (en) Person identification certificate link system, information processing apparatus, information processing method, and program providing medium
US6789193B1 (en) Method and system for authenticating a network user
US6636966B1 (en) Digital rights management within an embedded storage device
US7310732B2 (en) Content distribution system authenticating a user based on an identification certificate identified in a secure container
JP4156129B2 (en) Device that generates survey information for products
US7100044B2 (en) Public key certificate using system, public key certificate using method, information processing apparatus, and program providing medium
US6275934B1 (en) Authentication for information exchange over a communication network
US20050038699A1 (en) System and method for targeted advertising via commitment
US7953974B2 (en) Authentication method, authentication system, and tag device thereof, data reference client, authentication server, and data server
US20030028493A1 (en) Personal information management system, personal information management method, and information processing server
US20110145570A1 (en) Certified Abstracted and Anonymous User Profiles For Restricted Network Site Access and Statistical Social Surveys
US20040260657A1 (en) System and method for user-controlled on-line transactions
US20060167810A1 (en) Multi-merchant purchasing environment for downloadable products
US20060184666A1 (en) Anonymity service providing system, device, and program
US20020002503A1 (en) Business method by internet connection information registration service, internet connection setting method, internet connection information registration method, and computer-readable recording medium which records application program
CN1345514A (en) Secure wireless electronic-commerce system with wireless network domain
JP2004506245A (en) Linking the device&#39;s public key with information during manufacture
JP2001216198A (en) Method and device for issuing use permit card
US20100131760A1 (en) Content using system and content using method
JPH118619A (en) Electronic certificate publication method and system therefor
JP4588529B2 (en) Service system and optimum service providing method

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20051226

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20060110

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20060313

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20070109

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20070312

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20070417

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20070419

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20100427

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110427

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110427

Year of fee payment: 4

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110427

Year of fee payment: 4

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120427

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130427

Year of fee payment: 6

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130427

Year of fee payment: 6

S533 Written request for registration of change of name

Free format text: JAPANESE INTERMEDIATE CODE: R313533

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140427

Year of fee payment: 7

LAPS Cancellation because of no payment of annual fees