JP5169866B2 - 中継サーバを有するネットワークシステム、その中継サーバ、プログラム - Google Patents

Description

本発明は、ＩＣカード決済システム等のネットワークシステムに係り、特に中継サーバを有するネットワークシステムに関する。

図５に、従来の中継サーバを有するネットワークシステムのシステム構成例を示す。
本手法は、中継サーバを備え、センタ装置−各端末間の通信を中継サーバが中継するネットワークシステムに係るものであり、ここでは一例として中継サーバを備えるＩＣカード決済システムを例示するが、この例に限るものではない。

図５に示す、中継サーバを備えるネットワークシステムの一例としての中継サーバを備えるＩＣカード決済システムは、複数の決済端末１００、中継サーバ１１０、決済センタ１２０から成る。複数の決済端末１００及び中継サーバ１１０は、例えば任意の店舗内に設置されている。店舗内にはＬＡＮ／ＶＰＮ１が敷設されている。

各決済端末１００−中継サーバ１１０間の通信は、比較的高速のネットワークであるＬＡＮ／ＶＰＮ１を介して行われる。中継サーバ１１０−決済センタ１２０間の通信は、比較的低速のネットワークであるＷＡＮ２を介して行われる。この様に中継サーバ１１０−決済センタ１２０間のネットワークが、各決済端末１００−中継サーバ１１０間のネットワークに比べて低速なネットワークである場合に、後述する問題が生じものである。

決済端末１００は、例えば店舗のレジ等に設置されるＩＣカード決済端末であり、多数存在するものである。決済端末１００は、任意の顧客のＩＣカードとの通信を行って、例えば電子マネーによる決済処理を行う。決済端末１００は、ＩＣカードとの通信に必要となる所定のセキュリティ情報（例えば、ＩＣカードと送受信するデータを暗号化／復号化する為の鍵や、認証鍵等）を保持している。

中継サーバ１１０は、決済端末１００−決済センタ１２０間の通信を仲介する役割を持つサーバ装置（ファイアウォール等）である。具体的には、中継サーバ１１０は、各済端末１００から送信される要求メッセージを受信すると、この要求メッセージを決済センタ１２０に転送し、この要求メッセージに対して決済センタ１２０から送信される応答メッセージを受信すると、この応答メッセージを要求元の決済端末１００に転送する。決済端末１００との通信処理は図示の対決済端末通信機能部１１２が行い、決済センタ１２０との通信処理は図示の対決済センタ通信機能部１１１が行う。

尚、図では対決済センタ通信機能部１１１を複数示しているが、これは、決済センタ１２０に対して同時に複数のＴＣＰコネクションを張って通信可能なことを示している。つまり、複数の対決済センタ通信機能部１１１は、それぞれが決済センタ１２０に対する１つのＴＣＰコネクションを受け持つスレッド等と考えてよい。決済センタ１２０は、任意の要求メッセージに対する応答メッセージを、上記ＴＣＰコネクションにより、この要求メッセージの送信元の対決済センタ通信機能部１１１に渡すことになる。

尚、別の言い方をすれば、中継サーバ１１０には例えば上記複数の対決済センタ通信機能部１１１を包含するプロセスがあり、個々の対決済センタ通信機能部１１１はこのプロセス内におけるスレッド動作と見做すこともできる。

また、尚、図では対決済端末通信機能部１１２も複数示しているが、これも上記対決済センタ通信機能部１１１と同様の理由である。この場合、複数の対決済端末通信機能部１１２は、それぞれが任意の１つの決済端末１００に対するＴＣＰコネクションを受け持つスレッド等と考えてよい。

中継サーバ１１０は、例えば任意の店舗内に設置され、当該店舗内にある全ての決済端末１００は、中継サーバ１１０を介して外部の装置（決済センタ１２０等）との通信を行える。

図６に、中継サーバ１１０によるメッセージ中継の一例を示す。
図示の例では、５台の決済端末１００（決済端末ａ，ｂ，ｃ，ｄ，ｅ）が、それぞれ、要求メッセージ（１）〜（５）を送信し、これらを中継サーバ１１０が図示のように順次決済センタ１２０へ転送している。そして、決済センタ１２０が各要求メッセージ（１）〜（５）に対する応答メッセージ（１）〜（５）を返信してくると、各々を対応する決済端末１００へと転送する。

例えば、要求メッセージ（１）に対する応答メッセージ（１）は、要求メッセージ（１）の送信元である決済端末ａに転送する。すなわち、応答メッセージ（１）は、要求メッセージ（１）を送信した対決済センタ通信機能部１１１が受信して、これを要求メッセージ（１）の送信元の決済端末ａとのコネクションを確立している対決済端末通信機能部１１２に渡す。これより、この対決済端末通信機能部１１２がＬＡＮ／ＶＰＮ１を介して決済端末ａへ応答メッセージ（１）を送信する。

尚、中継サーバ１１０は、上記要求メッセージ（１）〜（５）や応答メッセージ（１）〜（５）の転送処理の際には、これらメッセージのＩＰパケットの送信元／送信先ＩＰアドレス等を書き換える。例えば、上記決済端末ａの例では、決済端末ａが中継サーバ１１０へ送信する要求メッセージ（１）は、その送信元が決済端末ａ、送信先が中継サーバ１１０であるが、中継サーバ１１０（その対決済センタ通信機能部１１１等）は、この要求メッセージ（１）の送信元を中継サーバ１１０、送信先を決済センタ１２０に書き換えて転送する。これは応答メッセージ（１）に関しても同様であり、中継サーバ１１０（その対決済端末通信機能部１１２等）によって、送信元は決済センタ１２０→中継サーバ１１０に、送信先は中継サーバ１１０→決済端末ａに、書き換えられて転送される。

ここで、図６に示す例は、例えば各要求メッセージ（１）〜（５）間の送信間隔が長い場合を示している（例えば、中継サーバ１１０が要求メッセージ（１）を受信してから次の要求メッセージ（２）を受信するまでに、ある程度時間が経っているものとする）。もし、要求メッセージ（１）〜（５）が、ある時間帯に集中して送信された場合には、後述する問題が生じることになり、図６に示すようにはならないことになる。詳しくは後述する。

決済端末１００が中継サーバ１１０を介して決済センタ１２０と行う通信には、例えば以下のものがある。
・決済端末１００は、非接触ＩＣカード等の任意のＩＣカードとの通信を行って、決済等を行う。決済の際に、必要に応じて中継サーバ１１０を介して決済センタ１２０に与信の問合せを行う。
・決済端末１００は、上記の通り、非接触ＩＣカード等にアクセスするために必要な暗号鍵等（上記セキュリティ情報）を内部に保持している。セキュリティ情報は決済センタ１２０で管理されており、必要に応じて中継サーバ１１０を介して決済端末１００に配信される。配信の際、セキュリティ情報は決済センタ１２０と決済端末１００で予め共通に保持している転送データ暗号鍵１０３、１２４によって暗号化／復号化される。

決済端末１００には、電源ＯＦＦや鍵の有効期限切れなどの際に、内部に保持しているセキュリティ情報を削除する機能を持つものがある。このような決済端末１００は、起動時や鍵の期限切れの際に、決済センタ１２０からセキュリティ情報を取得する必要がある。

例えば、決済端末１００は、起動時や鍵の期限切れを認識した際に、セキュリティ情報取得機能部１０２が、対中継サーバ通信機能部１０１を介して、中継サーバ１１０に対してセキュリティ情報の要求メッセージを送信する。中継サーバ１１０は、上記のように、この要求メッセージを決済センタ１２０へ転送する。

セキュリティ情報配信機能部１２１は、対中継サーバ通信機能部１２２を介して上記要求メッセージを受信すると、自己が保持・管理しているセキュリティ情報１２３を、転送データ暗号鍵１２４によって暗号化して、この暗号化セキュリティ情報を含む応答メッセージを、中継サーバ１１０へ返信する。中継サーバ１１０は、上記のように、この応答メッセージを決済端末１００へ転送する。

決済端末１００は、上記の通り予め上記転送データ暗号鍵１２４と同じ（もしくは対となる）転送データ暗号鍵１０３を保持しており、この転送データ暗号鍵１０３を用いて応答メッセージにおける暗号化セキュリティ情報を復号化して、セキュリティ情報を取得する。

また、図示の例では、転送データ暗号鍵１０３は複数種類存在し（ここでは図示の転送データ暗号鍵No.1、No.2の２種類）、各決済端末１００はそれぞれ何れか１種類の転送データ暗号鍵１０３を保持している。これより、図示の例では、転送データ暗号鍵No.1を保持する決済端末１００のグループ（図示の決済端末グループ１）と、転送データ暗号鍵No.2を保持する決済端末１００のグループ（図示の決済端末グループ２）とに分けることができる。この場合、転送データ暗号鍵１２４も複数種類存在することになる。図示の例では、転送データ暗号鍵１２４は、転送データ暗号鍵No.1に対応するものと転送データ暗号鍵No.2に対応するものが存在する（２種類存在する）ことになる。

よって、例えば、転送データ暗号鍵No.1を保持する決済端末１００は、転送データ暗号鍵No.2に対応する転送データ暗号鍵１２４によって暗号化されたセキュリティ情報を受け取っても、これを復号化できないことになる。これより、決済端末１００は、例えば、自己が保持する転送データ暗号鍵１０３の種類を示す情報を、上記要求メッセージに含めて送信する。あるいは、予め各決済端末１００が保持する転送データ暗号鍵１０３の種類を登録しておく。これは、決済端末１００の端末識別番号に対応付けて登録しておく。これより、決済端末１００は、自己の端末識別番号を上記要求メッセージに含めて送信する。

あるいは、セキュリティ情報１２３が複数種類存在する場合もある。例えば、各決済端末１００の機種毎に異なるセキュリティ情報１２３を用いる場合がある。この様な場合、決済センタ１２０は、複数種類のセキュリティ情報１２３（各機種それぞれに対応するセキュリティ情報１２３）を保持しており、要求元の決済端末１００の機種に対応するセキュリティ情報１２３を、要求元の決済端末１００に配信する。勿論、セキュリティ情報１２３は暗号化して配信する。

よって、例えば、転送データ暗号鍵No.1を保持する決済端末１００は、転送データ暗号鍵No.1に対応する転送データ暗号鍵１２４によって暗号化されたセキュリティ情報を受け取っても、このセキュリティ情報が他の機種に対応するセキュリティ情報である場合には、暗号化されたセキュリティ情報を復号化することは出来るが、実質的にセキュリティ情報取得に失敗したことになる。この様に、暗号鍵とセキュリティ情報の両方で自端末に対応する「暗号化されたセキュリティ情報」が配信されることが必要となる。

また、特許文献１記載の従来技術がある。この従来技術では、リーダ／ライタ端末はアクセス鍵を記憶エリアに保管し、電源断若しくは外部からの攻撃を検出したとき、このアクセス鍵を消去するものである。また、特許文献１には、電源投入時にリーダ／ライタ端末が中央管理装置に対してアクセス鍵の配信要求を行い、それを受けて中央管理装置がアクセス鍵を暗号化し、暗号化した鍵データをリーダ／ライタ端末に配信することが開示されている。

特開２００４−２９５５０２号公報

上述した中継サーバを有するネットワークシステム構成において、決済端末等の多数存在する端末が、起動時にセキュリティ情報をセンタ装置から取得するような運用の場合（セキュリティ上、夜間等のように店舗営業時間外の時間帯には、決済端末にセキュリティ情報を保持させない運用等の場合）、店舗の営業形態によっては、開店準備中のある時間帯に、各店舗に設置されている複数の決済端末から一斉に中継サーバへのアクセスが発生する。

ここで、例えば、店舗内（各決済端末−中継サーバ間）がＬＡＮ（Local Area Network）やＶＡＮ（Value-Added Network）等による高速なネットワークであるのに対して、中継サーバ−センタ装置間のネットワークは、例えばＩＳＤＮなどのWAN（Wide Area Network）のような、ＬＡＮ等に比べて低速なネットワークであるケースがある。このようなケースでは、上記のように各決済端末からほぼ同時期に配信要求が発生してほぼ一斉に中継サーバへアクセスした場合、中継サーバの対決済センタ通信機能部１１１が単位時間に転送できる要求メッセージ数に対して、決済端末から中継サーバに到着する要求メッセージの数が非常に大きくなってしまう。この結果、中継サーバと決済センタの間の通信がボトルネックとなり、決済端末に応答メッセージを返すまでにかかる時間が非常に長くなってしまうという問題が生じる。

本発明の課題は、複数台の端末と中継サーバとセンタ装置から成り、端末−センタ装置間の通信を中継サーバが中継するシステムにおいて、特に中継サーバ−センタ装置間のネットワークが中継サーバ−各端末間のネットワークよりも低速なシステムにおいて各端末からほぼ同時期に配信要求がある場合においても、中継サーバ−センタ装置間の通信がボトルネックとなることはなく、短時間で各端末に必要な情報を配信できる、中継サーバを有するネットワークシステム、その中継サーバ、プログラム等を提供することにある。

本発明の中継サーバを有するネットワークシステムは、複数台の端末と中継サーバとセンタ装置から成り、各端末−中継サーバ間を接続する第１ネットワークと中継サーバ−センタ装置間を接続する第２ネットワークを有し、端末−センタ装置間の通信を中継サーバが中継するネットワークシステムにおいて、前記各端末は、所定の要求メッセージを送信することで、該要求メッセージによる要求に応じた所定暗号化情報を含む応答メッセージを配信させる情報取得手段を有し、前記センタ装置は、任意の端末からの前記要求メッセージを受信すると、この要求メッセージによる要求に応じた前記所定暗号化情報を含む応答メッセージを生成して該応答メッセージを返信する情報配信手段を有し、前記要求メッセージ／応答メッセージを中継・転送する前記中継サーバは、前記第１ネットワークを介して前記各端末とのメッセージ送受信を行う第１通信処理手段と、前記第２ネットワークを介して前記センタ装置とのメッセージ送受信を行う複数の第２通信処理手段と、前記第１通信手段により受信した各端末からの各要求メッセージを前記複数の第２通信処理手段の何れかに振り分ける手段であって、該各要求メッセージ内の特定の情報に基づいて、その要求メッセージに対する応答メッセージの前記所定暗号化情報が同じであるはずの要求メッセージは同じ第２通信処理手段に振り分ける要求メッセージ振分手段とを有し、前記各第２通信処理手段は、自己に振り分けられた1以上の要求メッセージのうちの何れか１つの要求メッセージのみを前記センタ装置へ転送し、該転送した要求メッセージに対するセンタ装置からの応答メッセージを受信すると、自己に振り分けられた要求メッセージが複数ある場合には、該受信した応答メッセージに基づいて自己に振り分けられた他の各要求メッセージに対応する応答メッセージをそれぞれ生成し、前記第１通信処理手段は、前記センタ装置からの応答メッセージと前記第２通信処理手段により生成された応答メッセージを、それぞれ対応する端末へ送信する。

上記構成の中継サーバを有するネットワークシステムでは、上記要求メッセージ振分手段によって、その要求メッセージに対する応答メッセージの前記所定暗号化情報が同じであるはずの要求メッセージは全て同じ第２通信処理手段に振り分ける。そして、各第２通信処理手段は、自己に振り分けられる要求メッセージが複数ある場合でも、そのうちの１つのだけをセンタ装置に転送して、この要求メッセージに対する応答メッセージを得る。また、転送しなかった他の要求メッセージに関しても、その要求メッセージに対する応答メッセージの所定暗号化情報は、上記転送した要求メッセージに対する応答メッセージの所定暗号化情報と同じであるはずなので、上記得られた応答メッセージに基づいて、他の各要求メッセージに対応する応答メッセージを生成できる。

この様に、上記構成の中継サーバを有するネットワークシステムによれば、特にその中継サーバの機能処理によって、中継サーバが受け付ける要求メッセージの数が多くてもセンタ装置へ転送する要求メッセージの数を減らすことができる。よって、特に、前記第２ネットワークが前記第１ネットワークよりも低速のネットワークである場合であっても、中継サーバ−センタ装置間の通信がボトルネックとなることはなく、短時間で各端末に必要な情報を配信できる。また、転送しなかった要求メッセージに関しても上記の通り適切な応答メッセージを生成して配信できる。

上記構成において、例えば、前記各端末は、暗号鍵集合番号と、複数種類の第１暗号鍵の何れかとを保持しており、前記情報取得手段は、前記要求メッセージに該暗号鍵集合番号と該自己が保持する第１暗号鍵の識別情報とを含めて送信し、前記センタ装置は、前記各端末の各暗号鍵集合番号毎に対応する各種特定情報と、前記各種第１暗号鍵それぞれに対応する各種第２暗号鍵とを保持しており、前記情報配信手段は、前記受信した要求メッセージの前記暗号鍵集合番号と第１暗号鍵識別情報に基づいて、該当する特定情報を該当する第２暗号鍵によって暗号化することで前記所定暗号化情報を生成して、該生成した所定暗号化情報を含む応答メッセージを生成して該応答メッセージを返信し、前記中継サーバの要求メッセージ振分手段は、その前記暗号鍵集合番号及び第１暗号鍵識別情報が同一である要求メッセージは同じ第２通信処理手段に振り分ける。

また、例えば、前記端末はＩＣカード決済端末であり、前記特定情報はＩＣカードとの通信処理に必要となるセキュリティ情報である。

本発明の中継サーバを有するネットワークシステム、その中継サーバ、プログラム等によれば、複数台の端末と中継サーバとセンタ装置から成り、端末−センタ装置間の通信を中継サーバが中継するシステムにおいて、特に中継サーバ−センタ装置間のネットワークが中継サーバ−各端末間のネットワークよりも低速なシステムにおいて各端末からほぼ同時期に配信要求がある場合においても、中継サーバ−センタ装置間の通信がボトルネックとなることはなく、短時間で各端末に必要な情報を配信できる。

本例の中継サーバを有するネットワークシステムの構成・機能ブロック図である。 （ａ），（ｂ）は、セキュリティ情報要求／応答メッセージのパケット構成例である。 本例のＩＣカード決済システムにおいてセキュリティ情報を配信する際の通信シーケンスを示す図である。 中継サーバ等（コンピュータ）のハードウェア構成例である。 従来のネットワークシステムのシステム構成例を示す。 従来の中継サーバによるメッセージ中継シーケンスの一例を示す図である。

以下、図面を参照して本発明の実施の形態について説明する。
図１は、本例の中継サーバを有するネットワークシステムの構成・機能ブロック図である。

ここでは一例としてＩＣカード決済システムを例にするが、この例に限らない。この例のネットワークシステムは、複数の決済端末１０と中継サーバ２０と決済センタ３０より成る。そして、上記図５と同様、各決済端末１０と中継サーバ２０はＬＡＮ／ＶＡＮ１等の比較的高速のネットワークにより接続され、中継サーバ２０と決済センタ３０はＷＡＮ２等の比較的低速のネットワークにより接続されている。また、以下の説明では、各決済端末１０が要求する（取得すべき）情報（特定情報という）の一例としてセキュリティ情報を例にして説明するが、この例に限るものではない。但し、基本的に、この特定情報は暗号化されて配信されるものとする。尚、暗号化された特定情報は、所定暗号化情報というものとする。また、更に、特定情報は決済端末１０の暗号鍵集合番号に応じて複数種類存在し、要求元の決済端末１０の暗号鍵集合番号に応じた特定情報（所定暗号化情報）が配信されるものであってもよい。暗号鍵集合番号は、決済端末１０が設置される場所や設置される店舗（たとえばチェーン展開している店舗でもよい）に基づき定められる番号であってもよく、また決済端末１０のメーカや機種に基づき定められる番号であってもよい。

決済端末１０と決済センタ３０の構成・機能は、上記従来の構成・機能と略同様であってよい。すなわち、決済端末１０は、対中継サーバ通信機能部１１、セキュリティ情報取得機能部１２等を有し、また転送データ暗号鍵１３を記憶する記憶装置（メモリ等）を有している。対中継サーバ通信機能部１１はＬＡＮ／ＶＡＮ１に接続して中継サーバ２０と通信を行う通信モジュールである。セキュリティ情報取得機能部１２は、例えば電源投入時等にセキュリティ情報要求メッセージ（以下、省略して「要求メッセージ」という場合もある）を対中継サーバ通信機能部１１を介して送信し、この要求に対するセキュリティ情報応答メッセージ（以下、省略して「応答メッセージ」という場合もある）を受信すると、この応答メッセージに含まれる暗号化データ（決済センタ３０がセキュリティ情報３３を転送データ暗号鍵３４によって暗号化したもの；以下、「暗号化セキュリティ情報」というものとする）を、転送データ暗号鍵１３を用いて復号化することでセキュリティ情報を取得し、このセキュリティ情報を不図示のメモリ等に記憶する。このメモリ等は例えば耐タンパ機能等により保護されている。

尚、セキュリティ情報３３とは、上述したように、非接触ＩＣカードにアクセスするために必要な暗号鍵などである。また、転送データ暗号鍵１３は、上記「暗号化セキュリティ情報」を復号化する為の鍵である。尚、暗号化方式は、共通鍵暗号方式でも公開鍵暗号方式でもよい。共通鍵暗号方式の場合、転送データ暗号鍵１３は転送データ暗号鍵３４と同一であってもよい。公開鍵暗号方式の場合、例えば、転送データ暗号鍵３４は秘密鍵、転送データ暗号鍵１３は公開鍵であることになる。

各決済端末１０には、その決済端末の暗号鍵集合番号（たとえば、機種をあらわす決済端末機種コード）と、個々の決済端末を識別するための決済端末識別情報、暗号化セキュリティ情報の復号に使う上記転送データ暗号鍵１３が、予め付与されている（不図示のメモリ等に記憶されている）。暗号鍵集合番号は、決済端末１０が設置される場所や設置される店舗（たとえばチェーン展開している店舗でもよい）に基づき定められる番号であってもよく、また決済端末１０のメーカや機種に基づき定められる番号であってもよい。なお本実施例では、暗号鍵集合番号を、決済端末機種コードとして説明する。

ここで、本例では、図示のように、転送データ暗号鍵１３は複数種類存在する。すなわち、図示の例では、転送データ暗号鍵１３として、転送データ暗号鍵No.1と転送データ暗号鍵No.2とが存在する。各決済端末１０は、転送データ暗号鍵No.1、No.2の何れか一方を格納・使用するものであり、これによってグループ分けできる。つまり、図示の決済端末グループ１は転送データ暗号鍵No.1を使用する決済端末１０のグループであり、決済端末グループ２は転送データ暗号鍵No.2を使用する決済端末１０のグループである。

例えば、上記決済端末グループ１の各決済端末１０には、例えば機種コードが‘０００１’、転送データ暗号鍵１３として上記No.1の鍵が付与されて予め記憶されている。上記決済端末グループ２の決済端末１０には、例えば機種コードが‘０００１’、転送データ暗号鍵１３として上記No.2の鍵が付与されて予め記憶されている。但し、後述するように、これは一例であり、転送データ暗号鍵１３だけでなく更に機種によってグループ分けしてもよい。詳しくは後述する。

決済センタ３０は、セキュリティ情報配信機能部３１、対中継サーバ通信機能部３２、セキュリティ情報３３、転送データ暗号鍵３４等の各種データを記憶する記憶装置（ハードディスク等）を有している。

対中継サーバ通信機能部３２はＷＡＮ２に接続して中継サーバ２０と通信を行う通信モジュールである。セキュリティ情報配信機能部３１は、任意の決済端末１０からのセキュリティ情報要求メッセージが中継サーバ２０を介して送られてくると、セキュリティ情報３３を転送データ暗号鍵３４によって暗号化して、この「暗号化セキュリティ情報」を含むセキュリティ情報応答メッセージを生成して中継サーバ２０へ返信する。尚、以下に説明するように、本例では、転送データ暗号鍵３４は複数種類存在し、要求元の決済端末１０に応じたものを選択して使用することになる。

ここで、本例では、上述したように、転送データ暗号鍵１３は複数種類存在する。これに応じて、転送データ暗号鍵３４も複数種類存在する。すなわち、転送データ暗号鍵３４も、転送データ暗号鍵No.1、No.2それぞれに対応して２種類存在することになる。そして、決済センタ３０は、グループ１に属する任意の決済端末１０からの要求に対しては、転送データ暗号鍵No.1に対応する転送データ暗号鍵３４を用いてセキュリティ情報を暗号化して配信することになる。同様に、グループ２の決済端末１０に対しては、転送データ暗号鍵No.2に対応する転送データ暗号鍵３４を用いてセキュリティ情報を暗号化して配信することになる。

また、上記の説明では、グループ１の決済端末１０とグループ２の決済端末１０は同一機種であるものとしている（両方とも機種コードが‘０００１’）。よって、この例では、セキュリティ情報自体は、グループ１とグループ２とで異なるものではなく、同じものが配信される。但し、この例に限らず、上記従来技術で説明したように、機種が異なる場合もあり得るので、例えばグループ１とグループ２とでは機種が異なる場合もあり得る。あるいは、不図示のグループ３もあるものとし、このグループ３はグループ１とは機種が異なるが暗号鍵は同じ（転送データ暗号鍵No.1）である等という場合もあり得る（勿論、機種も暗号鍵も両方異なるケースもあり得る）。

これは、一方で、同じグループ内の各決済端末１０には同一の「暗号化セキュリティ情報」が配信されることになる。つまり、例えばグループ１を例にすると、グループ１に属する全ての決済端末１０は、同一機種であることから同じセキュリティ情報を用いるものであり、且つ、同じ暗号鍵（転送データ暗号鍵No.1）を用いるものであることから転送データ暗号鍵No.1に対応する転送データ暗号鍵３４によって暗号化された上記セキュリティ情報が配信されることになる。

これより、後述するように、中継サーバ２０は、各決済端末１０からの複数のセキュリティ情報要求メッセージを全て決済センタ３０に転送することなく、一部のセキュリティ情報要求メッセージのみを決済センタ３０に転送する。つまり、その送信元の決済端末１０の機種及び転送データ暗号鍵が同じである複数の要求メッセージがある場合、そのうちの１つのみを代表して決済センタ３０に転送し、他の要求メッセージは転送しない。そして、転送した要求メッセージに対する応答メッセージを受信すると、この応答メッセージを「転送した要求メッセージ」の送信元決済端末１０に転送するだけでなく、この応答メッセージに基づいて上述した他の要求メッセージ（「転送した要求メッセージ」と機種及び転送データ暗号鍵が同じである要求メッセージ）の各々に対応する要求メッセージを生成して、これを他の要求メッセージの送信元の決済端末１０に送信する。

この様にすることで、中継サーバ２０−決済センタ３０間のネットワークが、中継サーバ２０−各決済端末１０間のネットワークに比べて低速である場合であって、特に中継サーバ２０が複数の（多数の）決済端末１０からの要求メッセージを短時間に集中して受ける場合でも、この複数の（多数の）の要求メッセージの全てを決済センタ３０に送信しなくても済むので、上記従来システムの問題、すなわち「中継サーバと決済センタの間の通信がボトルネックとなり、決済端末に応答メッセージを返すまでにかかる時間が非常に長くなってしまうという問題」を解決することができる。

勿論、決済センタ３０に転送しなかった要求メッセージの送信元の決済端末１０に対しても、その決済端末１０が必要とするセキュリティ情報すなわちその決済端末１０の機種に応じたセキュリティ情報が、その決済端末１０の転送データ暗号鍵で復号化可能なように暗号化された「暗号化セキュリティ情報」を、配信することができる。

上記のように、本発明の特徴は主に中継サーバ２０にある。以下、中継サーバ２０の構成・機能・処理について、詳細に説明する。
中継サーバ２０は、要求メッセージ振分機能部２１、複数の対決済端通信機能部２２、複数の対決済センタ通信機能部２４（図示の例では通信機能部Ａ，Ｂ，Ｃの３つ）等を有する。各対決済センタ通信機能部２４は、それぞれ自己用の待ち行列２３（キュー；ＦＩＦＯレジスタ等）を備える。尚、待ち行列２３はキュー２３と記す場合もある。

尚、上記従来の対決済センタ通信機能部１１１と同様、複数の対決済センタ通信機能部２４（Ａ，Ｂ，Ｃ）は、それぞれが決済センタ２０に対する１つのＴＣＰコネクションを受け持つスレッド等と考えてよい。これは、複数の対決済端通信機能部２２についても、上記従来の対決済端通信機能部１１２と同様、それぞれが任意の１つの決済端末１０に対するＴＣＰコネクションを受け持つスレッド等と考えてよい。

また尚、待ち行列（キュー）２３は一例であり、この例に限るものではない。基本的に、各対決済センタ通信機能部２４毎に、その対決済センタ通信機能部２４が決済センタ３０に転送した要求メッセージと機種コード及び転送データ暗号鍵が同じである（つまり、同じ「暗号化セキュリティ情報」を要求する）要求メッセージを、全て記憶しておく構成であればなんでも良い。但し、待ち行列（キュー）を用いることで、要求があった順番通りに各決済端末に応答メッセージを返信することが容易となる。すなわち、要求があった順番通りに待ち行列（キュー）から要求メッセージを取り出して、その要求メッセージに対応する応答メッセージを生成して（後述する）、これをその要求メッセージの送信元の決済端末に送信する。

要求メッセージ振分機能部２１は、対決済端通信機能部２２を介して受信した任意の決済端末１０からの上記セキュリティ情報要求メッセージを、上記複数の対決済センタ通信機能部２４の何れか１つに振り分ける（そのキュー２３に格納する）。

この振分方法は、基本的には、決済センタ３０からの応答メッセージの内容（ここでは転送データ暗号鍵３４で暗号化されたセキュリティ情報３３；上記「暗号化セキュリティ情報」）が、同一であるはずの要求メッセージは、全て同じ対決済センタ通信機能部２４に割り当てる。同一の情報内容が期待できるかどうかは、要求メッセージ内の特定の項目（転送データ暗号鍵の識別番号など）によって判断する。ここでは、一例として上記の通り、機種コード及び転送データ暗号鍵によって判断する。すなわち、機種コード及び転送データ暗号鍵NO.が同一である要求メッセージは全て、応答メッセージの内容（「暗号化セキュリティ情報」）が同じであるはずである。

これより、この例では、要求メッセージ振分機能部２１は、機種コード及び転送データ暗号鍵NO.が同一である要求メッセージは全て、同じ対決済センタ通信機能部２４に割り当てる。つまり、要求メッセージ振分機能部２１は、決済センタ３０からの応答メッセージの内容が同一であると考えられる要求メッセージは全て、同じ対決済センタ通信機能部２４に割り当てる。換言すれば、同じセキュリティ情報を要求するものであって（各機種毎にセキュリティ情報が異なる場合を想定）、且つ、セキュリティ情報が同じ転送データ暗号鍵によって暗号化されたものが、応答メッセージとして返信されてくることが期待される要求メッセージは、同じ対決済センタ通信機能部２４に振り分けるようにする。

要求メッセージ振分機能部２１は、例えば、各対決済センタ通信機能部２４に最初に振り分けた要求メッセージの後述する図２（ａ）の暗号鍵集合番号４３（たとえば決済端末機種コード）及び転送データ暗号鍵No.４４を、その対決済センタ通信機能部２４の識別情報等に対応付けて記憶しておく。そして、任意の決済端末１０からの要求メッセージを受信する毎に、この要求メッセージの暗号鍵集合番号４３及び転送データ暗号鍵No.４４が、上記記憶している暗号鍵集合番号４３及び転送データ暗号鍵No.４４と一致するか否か（複数記憶されている場合には、その何れかと一致するか否か）を判定し、一致するものがある場合には、その対決済センタ通信機能部２４に当該要求メッセージを振り分ける。一方、一致するものが無い場合には、新たな対決済センタ通信機能部２４を起動する等して当該要求メッセージを振り分けると共に、当該要求メッセージの暗号鍵集合番号４３及び転送データ暗号鍵No.４４を、新たな対決済センタ通信機能部２４の識別情報等に対応付けて記憶しておく。
なお、暗号鍵集合番号は、決済端末１０が設置される場所や設置される店舗（たとえばチェーン展開している店舗でもよい）に基づき定められる番号であってもよく、また決済端末１０のメーカや機種に基づき定められる番号であってもよい。なお本実施例では、暗号鍵集合番号を、決済端末機種コードとして説明する。

尚、ここでは、全ての決済端末１０が決済センタ３０に対してセキュリティ情報を要求する状況を前提としているが、もしセキュリティ情報以外の情報を要求する場合も考慮するならば、上記“暗号鍵集合番号及び転送データ暗号鍵が同一”の条件に加えて更に、要求する情報が同一であること（後述するメッセージ種別４１が同一であること；“セキュリティ情報要求”であること）も、条件に加えてもよいが、これは本発明の本質には直接関係しないものである。

また、尚、その逆に、“転送データ暗号鍵が同一”であることのみを条件とすることもあり得る。図１の例において上記の説明では図示の全ての決済端末１０が同一機種であるので（機種コード＝‘０００１’）、この様な前提があれば、要求メッセージ振分機能部２１の処理は、転送データ暗号鍵が同一（後述する転送データ暗号鍵No.４４が同一）である要求メッセージは全て、同じ対決済センタ通信機能部２４に割り当てる処理とすることも考えられる。

図１に示す例では、グループ１に属する決済端末１０から要求メッセージは、全て、同一の対決済センタ通信機能部２４（仮に対決済センタ通信機能部Ａとする）に振り分けられることになる。同様に、グループ２に属する決済端末１０から要求メッセージは、全て、例えば対決済センタ通信機能部Ｂに振り分けられることになる。そして、各対決済センタ通信機能部Ａ，Ｂは、それぞれ、自己に振り分けられた要求メッセージが複数ある場合でも、そのうちの１つのみを決済センタ３０に転送し、他の要求メッセージは転送しない。

上記の通り、各対決済センタ通信機能部２４毎に、その対決済センタ通信機能部２４に振り分けられた全ての要求メッセージは、決済センタ３０からの応答メッセージの内容（「暗号化セキュリティ情報」）が同一であるはずなので、各対決済センタ通信機能部２４毎に任意の１つの要求メッセージのみを決済センタ３０に送信すれば、その応答内容はその対決済センタ通信機能部２４に振り分けられた全ての要求メッセージに対して共通して利用できることになる。

上記図１に示す例では、各グループ毎に任意の１つの要求メッセージのみを決済センタ３０に送信すれば、その応答内容はそのグループ内で共通して利用できることになる。例えば、上記決済端末グループ１の複数の決済端末１０から要求メッセージがあった場合、代表して任意の１つの要求メッセージのみを決済センタ３０に送信すれば、その応答として得られる「転送データ暗号鍵No.1に対応する転送データ暗号鍵３４によって暗号化されたセキュリティ情報３３」は、決済端末グループ１に属する全ての決済端末１０が、自己の要求メッセージに対する応答として得られるはずの情報である。

各対決済センタ通信機能部２４は、それぞれ、例えば要求メッセージ振分機能部２１によって最初の要求メッセージが割り振られると、この最初の要求メッセージだけは決済センタ３０に転送する。例えば自己のキュー２３に何等メッセージが格納されていない状態において上記要求メッセージ振分機能部２１によって任意のセキュリティ情報要求メッセージが自己のキュー２３に格納されると、当該自己のキュー２３に最初に格納されたセキュリティ情報要求メッセージを、決済センタ３０に転送する。そして、この要求メッセージに対する決済センタ３０からの応答（セキュリティ情報応答メッセージ）待ち状態となる。

対決済センタ通信機能部２４は、この“応答待ち”（処理中）状態中に自己のキュー２３に上記要求メッセージ振分機能部２１によって新たな要求メッセージが格納されても、決済センタ３０に転送しない（何も処理しない）。

そして、各対決済センタ通信機能部２４は、自己が決済センタ３０に転送した要求メッセージに対する応答メッセージを受信したら、まず、これを上記決済センタ３０に転送した要求メッセージの送信元の決済端末１０に転送させる。つまり、上記従来技術と同様、この送信元の決済端末１０とコネクションを確立している対決済端通信機能部２２に、受信した応答メッセージを渡して、転送処理を実行させる。

尚、各対決済センタ通信機能部２４、各対決済端通信機能部２２は、上記従来の対決済センタ通信機能部１１１、対決済端通信機能部１１２と同様、それぞれが決済センタ３０とのコネクション、あるいは任意の決済端末１０とのコネクションを確立している。また、各対決済センタ通信機能部２４、各対決済端通信機能部２２は、上記従来で説明したように、転送処理の際には、メッセージのパケットの送信元／送信先ＩＰアドレスを書き換える等の処理も行っている。尚、要求メッセージのパケットには、送信元／送信先ＩＰアドレス以外に、最終着信先（宛先；ここでは決済センタ３０）のＩＰアドレスも含まれていてもよい（但し、これは、中継サーバ２０による転送先が固定的である（決済センタ３０のみに決められている）場合には、特に必要ない）。

上記自己が決済センタ３０に転送した要求メッセージに対する応答メッセージを受信した対決済センタ通信機能部２４は、自己に複数の要求メッセージが振り分けられている場合には、更に、上記決済センタ３０に転送した要求メッセージ以外の他の要求メッセージについて、それぞれに対応する応答メッセージを、上記受信した応答メッセージ（記憶しておく）に基づいて生成する。すなわち、自己のキュー２３に格納されている他の要求メッセージを順次読み出して、読み出す毎に、当該読み出した要求メッセージに対応する応答メッセージを、上記受信した応答メッセージに基づいて生成する。これは、上述したことから、応答メッセージの内容（「暗号化セキュリティ情報」）自体はそのままで良いので、ここでは後述するように、決済端末識別情報４２のみを書き換えればよい。

そして、上記生成した応答メッセージを、該当する対決済端通信機能部２２に渡して、当該読み出した要求メッセージの送信元の決済端末１０に転送させる。そして、対決済センタ通信機能部２４は、自己のキュー２３に格納されている全ての要求メッセージに対して、それに対応する応答メッセージを生成して送信元の決済端末１０に転送させたら、上記受信した応答メッセージを消去する。これにより、暗号化セキュリティ情報が中継サーバ２０から漏洩する事態を回避する。

上記のように、本手法では、ＷＡＮ２上を中継サーバ２０−決済センタ３０間で送受信するメッセージの数を減らすことができ、上記「中継サーバ２０と決済センタ３０の間の通信がボトルネックとなり、決済端末１０に応答メッセージを返すまでにかかる時間が非常に長くなってしまうという問題」を解決することができる。

以下、上記本手法について更に詳しく説明する。 図２（ａ），（ｂ）に、上記セキュリティ情報要求／応答メッセージのパケット構成例を示す。（ａ）が要求メッセージ、（ｂ）が応答メッセージの一例である。

図２（ａ）に示す要求メッセージ４０は、メッセージ種別４１、決済端末識別情報４２、暗号鍵集合番号４３、転送データ暗号鍵Ｎｏ．４４等より成る。メッセージ種別４１は、当該メッセージ４０の種別（コマンド等）を示すものであり、本例では「セキュリティ情報要求」となるが、この例に限るものではない。決済端末識別情報４２は当該要求メッセージ４０の送信元の決済端末１０の識別番号であり、この識別番号は例えば決済端末１０の製造番号等の一意のユニークなＩＤである。本実施例において、暗号鍵集合番号４３は決済端末機種コードを想定しており、当該要求メッセージ４０の送信元の決済端末１０の機種を示す機種コードである。転送データ暗号鍵Ｎｏ．４４は、送信元の決済端末１０が保持している転送データ暗号鍵１３の種類を示す識別情報であり、ここではＮｏ．（番号）を用いるものとし、上記の例ではNo.1、No.2の何れかが格納されることになるが、勿論、この例に限らない。

尚、上記要求メッセージはパケットに含めて送信され、パケットには例えば送信元ＩＰアドレス、宛先ＩＰアドレス等が格納される。これは、以下に説明する応答メッセージ５０においても同様である。そして、上述してあるように、中継サーバ２０におけるメッセージの中継・転送処理の際には、送信元ＩＰアドレス、宛先ＩＰアドレスの書き換えが行われる。

また、図２（ｂ）に示す応答メッセージ５０は、メッセージ種別５１、決済端末識別情報５２、暗号鍵集合番号５３（本実施例では決済端末機種コードを想定）、転送データ暗号鍵Ｎｏ．５４、セキュリティ情報（暗号化されたもの）５５等より成る。

メッセージ種別５１は、当該メッセージ５０の種別（コマンド等）を示すものであり、本例では「セキュリティ情報応答」（セキュリティ情報要求に対する応答）となるが、この例に限るものではない。決済端末識別情報５２、決済端末機種コード５３には、当該応答メッセージ５０に対応する要求メッセージ４０の送信元の決済端末１０の識別情報、機種コードが格納される。つまり、任意の要求メッセージ４０に対する応答メッセージ５０の決済端末識別情報５２、暗号鍵集合番号５３には、当該要求メッセージ４０の決済端末識別情報４２、暗号鍵集合番号４３が格納されることになる。また、同様にして、当該要求メッセージ４０の転送データ暗号鍵Ｎｏ．４４が、転送データ暗号鍵Ｎｏ．５４に格納されることになる。

中継サーバ２０側では、暗号鍵集合番号５３、転送データ暗号鍵Ｎｏ．５４を参照することで、どの対決済センタ通信機能部２４が処理中の要求メッセージ４０に対する応答メッセージ５０であるのかを、判定することもできる。但し、上記のように各対決済センタ通信機能部２４が個別にコネクションを張っている構成では、この様な判定は特に必要ない。

セキュリティ情報５５は暗号化されたセキュリティ情報３３であり、これは転送データ暗号化鍵Ｎｏ．４４に対応する転送データ暗号鍵３４によって暗号化されるものである。
図３に、本例のＩＣカード決済システムにおいてセキュリティ情報を配信する際の通信シーケンスを示す。

尚、図３の例では、決済端末１０は図示の決済端末ａ，ｂ，ｃ，ｄ，ｅの５台示すものとし、決済端末ａ、ｂ、ｃ、が上記決済端末グループ１、決済端末ｄ，ｅが上記決済端末グループ２であるものとする。また、図示の通り（図５と同様に）、決済端末ａ→ｂ→ｃ→ｄ→ｅの順番で各決済端末１０がセキュリティ情報要求メッセージを中継サーバ２０へ送信するものとする。尚、これより、本説明ではメッセージ種別４１は全て同じ（セキュリティ情報要求）であることを前提とするが、この例に限るものではない。また、ここでは、決済端末ａ，ｂ，ｃ，ｄ，ｅの決済端末識別情報は、それぞれ、‘0001’、‘0002’、‘0003’、‘0004’、‘0005’であるものとする。

また、本例では、決済端末ａ〜ｅは全て同機種であり、従ってその決済端末機種コードは全て同じ（ここでは0001とする）であるが、上述したように、振分処理では基本的に、「転送データ暗号鍵No.と機種コード」によって、振分先を決定する。

これより、中継サーバ２０の要求メッセージ振分機能部２１は、まず最初に、決済端末ａからのセキュリティ情報要求メッセージ（１）（機種コード：０００１、端末識別情報：０００１、転送データ暗号鍵No.：０１）を受信すると、まず所定のチェック処理を実行する。すなわち、この要求メッセージ（１）と同類の他の要求メッセージを処理中の対決済センタ通信機能部２４が存在するかどうかをチェックする。尚、“同類の他の要求メッセージ”とは、上述した「決済センタ３０からの応答メッセージの内容（「暗号化セキュリティ情報」）が同一であるはずの他の要求メッセージ」を意味し、“処理中の”とは要求メッセージを決済センタ３０に転送して応答メッセージ待ち状態となっていることを意味する。

上記チェック処理は、例えば、要求メッセージ振分機能部２１は、各対決済センタ通信機能部２４毎にその通信機能部２４に最初に渡した要求メッセージの暗号鍵集合番号（機種コード）４３と転送データ暗号鍵番号（No.）４４とを記憶しておき、これと上記受信した要求メッセージ（１）の暗号鍵集合番号（機種コード）４３と転送データ暗号鍵番号（No.）４４とを比較して、一致するものがあるか否かを判定するものである。そして、一致するものがある場合には、その通信機能部２４に上記受信した要求メッセージ（１）を渡す（その待ち行列２３（キュー２３；ＦＩＦＯレジスタ等）に、要求メッセージ（１）を格納する）。一致するものが無い場合には、上記“処理中”ではない任意の通信機能部２４に要求メッセージ（１）を渡す（振り分ける）。

尚、ここでは決済端末ａ〜ｅからの要求メッセージのメッセージ種別は全て同じ（セキュリティ情報要求）であることを前提とするが、この前提が無い場合には、上記チェック処理の際にはメッセージ種別４１が同一であることも判定条件の１つとなる。何れにしても、上記“同類の”要求メッセージ、すなわち「決済センタ３０からの応答メッセージの内容（「暗号化セキュリティ情報」）が同一であるはずの要求メッセージ」は全て同じ通信機能部２４に振り分けることを実現させるように、チェック処理を行えばよい。

ここでは、要求メッセージ（１）は最も最初に受信した要求メッセージであり、上記“処理中”の通信機能部２４は存在しないので、任意の通信機能部２４に要求メッセージ（１）を振り分ける。ここでは仮に対決済センタ通信機能部Ａに振り分けるものとする。そして、例えば、この要求メッセージ（１）の暗号鍵集合番号（機種コード）４３と転送データ暗号鍵番号（No.）４４とを、例えば振分先の通信機能部２４（ここでは通信機能部Ａ）の識別情報等に対応付けて記憶しておく。

上記のことから、決済センタ通信機能部Ａは、自己に最初に振り分けられた要求メッセージである（別の言い方をすれば、自己が“処理中”ではないときに自己に振り分けられた要求メッセージである）上記セキュリティ情報要求メッセージ（１）のみは、決済センタ３０へ転送して、決済センタ３０がこの要求メッセージ（１）に対する応答メッセージ（１）を返信してくるのを待つ（上記“処理中”の状態となる）。

続いて、要求メッセージ振分機能部２１は、決済端末ｂからのセキュリティ情報要求メッセージ（２）（機種コード：０００１、端末識別情報：０００２、転送データ暗号鍵No.：０１）を受信すると、上記要求メッセージ（１）受信時と同様に上記チェック処理を実行する。その結果、ここでは対決済センタ通信機能部Ａが該当することになるので、要求メッセージ振分機能部２１は、受信したセキュリティ情報要求メッセージ（２）を、対決済センタ通信機能部Ａのキュー２３に追加格納する。対決済センタ通信機能部Ａは、上記の通り、最初に渡された要求メッセージ以外は、決済センタ３０への転送処理は行わない。すなわち、自己が“処理中”状態のときに自己のキュー２３に新たなメッセージが追加されても、何も処理は行わない。

更に、要求メッセージ振分機能部２１は、決済端末ｃからのセキュリティ情報要求メッセージ（３）（機種コード：０００１、端末識別情報：０００３、転送データ暗号鍵No.：０１）を受信すると、上記チェック処理を実行し、この場合もメッセージ（２）と同様のチェック結果となるので、受信したセキュリティ情報要求メッセージ（３）を決済センタ通信機能部Ａのキュー２３に追加格納する。この場合も、通信機能部Ａは、何も処理は行わない。

次に、要求メッセージ振分機能部２１は、決済端末ｄからのセキュリティ情報要求メッセージ（４）（機種コード：０００１、端末識別情報：０００４、転送データ暗号鍵No.：０２）を受信すると、上記チェック処理を実行するが、この場合、上記の通り対決済センタ通信機能部Ａが“処理中”状態であるが、これは「機種コード＝０００１、転送データ暗号鍵No.＝０１」の要求メッセージを処理中のものであり、上記「機種コード＝０００１、転送データ暗号鍵No.＝０２」とは不一致となるので、該当する対決済センタ通信機能部２４は存在しないと判定することになる。

これより、要求メッセージ振分機能部２１は、“処理中”ではない対決済センタ通信機能部２４のなかから任意の１つを選択して（ここでは対決済センタ通信機能部Ｂとする）、この対決済センタ通信機能部Ｂのキュー２３に、受信したセキュリティ情報要求メッセージ（４）を格納する。更に、この要求メッセージ（４）の上記「機種コード＝０００１、転送データ暗号鍵No.＝０２」を、対決済センタ通信機能部Ｂの識別情報等に対応付けて記憶する。

対決済センタ通信機能部Ｂは、上記要求メッセージ（１）振分時の対決済センタ通信機能部Ａと同様に、この要求メッセージ（４）を決済センタ３０に転送して、決済センタ３０からの応答メッセージを待つ（“処理中”状態となる）。

そして、要求メッセージ振分機能部２１は、決済端末ｅからのセキュリティ情報要求メッセージ（５）（機種コード：０００１、端末識別情報：０００５、転送データ暗号鍵No.：０２）を受信すると、上記と同様のチェック処理を行い、その結果、対決済センタ通信機能部Ｂが該当するので、受信したセキュリティ情報要求メッセージ（５）を対決済センタ通信機能部Ｂのキュー２３に追加格納する。通信機能部Ｂは何も処理は行わない。

決済センタ３０のセキュリティ情報配信機能部３１は、対中継サーバ通信機能部３２を介して、上記中継サーバ２０（その通信機能部２４）が転送してきたセキュリティ情報要求メッセージ４０を受信する毎に、この要求に応じた「暗号化セキュリティ情報」を生成して、これを上記要求メッセージ４０の転送元の通信機能部２４へ送信する。すなわち、まず、受信した要求メッセージ４０の暗号鍵集合番号（機種コード）４３に応じたセキュリティ情報３３を選択して、更にその転送データ暗号鍵No.４４に対応する転送データ暗号鍵３４を選択して、当該選択したセキュリティ情報３３を選択した転送データ暗号鍵３４によって暗号化することで、この要求メッセージ４０に応じた「暗号化セキュリティ情報」を生成する。

そして生成した「暗号化セキュリティ情報」を応答メッセージ５０のセキュリティ情報（暗号化されたデータ）５５に格納し、更に上記の通り、受信した要求メッセージ４０に基づいて応答メッセージ５０の他の情報（識別情報５２、暗号鍵集合番号（機種コード）５３等）も格納することで、応答メッセージ５０を生成する。そして、生成した応答メッセージ５０を中継サーバ２０へ返信する。

例えば、セキュリティ情報要求メッセージ（１）に対しては、図示のセキュリティ情報応答メッセージ（１）（機種コード：０００１、端末識別情報：０００１、転送データ暗号鍵No.：０１；更に機種コード＝０００１の機種に応じたセキュリティ情報３３を、転送データ暗号鍵No.１に対応する転送データ暗号鍵３４によって暗号化して成る「暗号化セキュリティ情報」）を生成して、ＷＡＮ２を介して中継サーバ２０へ送信する。

同様にして、セキュリティ情報要求メッセージ（４）に対しては、図示のセキュリティ情報応答メッセージ（４）（機種コード：０００１、端末識別情報：０００４、転送データ暗号鍵No.：０２；更に機種コード＝０００１の機種に応じたセキュリティ情報３３を、転送データ暗号鍵No.２に対応する転送データ暗号鍵３４によって暗号化して成る「暗号化セキュリティ情報」）を生成して、ＷＡＮ２を介して中継サーバ２０へ送信する。

対決済センタ通信機能部Ａは、上記応答メッセージ（１）を受信すると、要求メッセージ（１）の送信元である決済端末ａにこの応答メッセージ（１）を転送させる（決済端末ａとのコネクションを張っている対決済端通信機能部２２に、応答メッセージ（１）を渡すことで、決済端末ａに転送させる）。

対決済センタ通信機能部Ａは、更に、自己のキュー２３から要求メッセージを１つずつ取り出して、各々に対応する応答メッセージを上記応答メッセージ（１）に基づいて生成して、その要求メッセージの送信元の決済端末１０へ転送させる。本例では、応答メッセージ（１）の決済端末識別情報５２を、取り出した要求メッセージの決済端末識別情報４２に書き換えることで、取り出した要求メッセージに対応する応答メッセージが作成される。決済端末識別情報５２以外の情報は、対決済センタ通信機能部Ａに渡された全ての要求メッセージに対する応答メッセージにおいて共通の情報であり（同じであってよいはずであり）、書き換える必要はない。

上記の例では、まず、要求メッセージ（２）を取り出すことになり、その決済端末識別情報４２は“０００２”であることから、応答メッセージ（１）の決済端末識別情報５２を“０００２”に書き換えた応答メッセージ（２）を作成して、これを決済端末ｂへ転送させる。

次に、自己のキュー２３から今度は要求メッセージ（３）を取り出すことになり、その決済端末識別情報４２は“０００３”であるので、応答メッセージ（１）の決済端末識別情報５２を“０００３”に書き換えた応答メッセージ（３）を作成して、これを決済端末ｃへ転送させる。

そして、対決済センタ通信機能部Ａは、自己のキュー２３が空になると、セキュリティ情報要求メッセージや応答メッセージを全て破棄する。
上記応答メッセージ（４）を受信する対決済センタ通信機能部Ｂも、上記対決済センタ通信機能部Ａと同様に、まず、要求メッセージ（４）の送信元である決済端末ｄに、この応答メッセージ（４）を転送させる。続いて、自己のキュー２３からセキュリティ情報要求メッセージ（５）を取り出し、その端末識別情報４２は“０００５”であるので、応答メッセージ（４）の端末識別情報５２を“０００５”に書き換えた応答メッセージ（５）を作成して、これを決済端末ｅへ転送させる。

対決済センタ通信機能部Ｂも、自己のキュー２３が空になると、セキュリティ情報要求メッセージや応答メッセージを全て破棄する。
以上の説明のとおり、本手法によれば、多数の決済端末１０のからセキュリティ情報要求メッセージが中継サーバ２０に短時間に集中した場合でも、中継サーバ２０から決済センタ３０へ転送する要求メッセージの数を絞り込みつつ、要求元の各決済端末１０に適切な応答メッセージを送信することが出来る。中継サーバ２０−決済センタ３０間が比較的低速なネットワーク（ＷＡＮ２等）で接続される場合でも、この低速ネットワーク上を伝送される要求メッセージの数が絞られるので、中継サーバ２０−決済センタ３０間の通信がボトルネックとなることはなく、短時間で各決済端末１０にセキュリティ情報を配信できる。

また、各対決済センタ通信機能部２４は、上記の通り、自己のキュー２３が空になると、セキュリティ情報要求メッセージや応答メッセージを全て破棄する。これにより、中継サーバの内部にセキュリティ情報が滞留する時間を必要最低限に絞ることができ、本発明を使用しない場合と比べてもセキュリティレベルが減じることはない。

図４に、中継サーバ２０等（コンピュータ）のハードウェア構成例を示す。
図４に示すコンピュータ６０は、ＣＰＵ６１、メモリ６２、入力部６３、出力部６４、記憶部６５、記録媒体駆動部６６、及びネットワーク接続部６７を有し、これらがバス６８に接続された構成となっている。

ＣＰＵ６１は、当該コンピュータ６０全体を制御する中央処理装置である。
メモリ６２は、任意の処理実行の際に、記憶部６５（あるいは可搬型記録媒体６９）に記憶されているプログラムあるいはデータを一時的に格納するＲＡＭ等のメモリである。ＣＰＵ６１は、メモリ６２に読み出したプログラム／データを用いて、上述した各種処理を実行する。また、メモリ６２には、上記複数のキュー２３に相当する各記憶領域が割り当てられていても良い。

出力部６４は、例えばディスプレイ等であり、入力部６３は、例えば、キーボード、マウス等であるが、これらは無くてもよい。
ネットワーク接続部６７は、例えば上記ネットワーク１，２等に接続して、他の情報処理装置との通信（コマンド／データ送受信等）を行う為の通信モジュールである。

記憶部６５は、例えばハードディスク等であり、上述した中継サーバ２０の各種処理機能をＣＰＵ６１により実現させる為のアプリケーションプログラムが格納されている。これは、特に、本手法の特徴部分である要求メッセージ振分機能部２１や複数の対決済センタ通信機能部２４の上述した機能・処理を、ＣＰＵ６１により実現させる為のアプリケーションプログラムである。

ＣＰＵ６１は、上記記憶部６５に格納されている各種プログラムを読み出し・実行することにより、上述した各種処理を実現する。
あるいは、上記記憶部６５に格納される各種プログラム／データは、可搬型記録媒体６９に記憶されているものであってもよい。この場合、可搬型記録媒体６９に記憶されているプログラム／データは、記録媒体駆動部６６によって読み出される。可搬型記録媒体６９とは、例えば、ＦＤ（フレキシブル・ディスク）６９ａ、ＣＤ−ＲＯＭ６９ｂ、その他、ＤＶＤ、光磁気ディスク等である。

あるいは、また、上記プログラム／データは、ネットワーク接続部６７により接続しているネットワークを介して、他の装置内に記憶されているものをダウンロードするものであってもよい。あるいは、更に、インターネットを介して、外部の他の装置内に記憶されているものをダウンロードするものであってもよい。

また、本発明は、上記本発明の各種処理をコンピュータ上で実現するプログラムを記録した可搬型記憶媒体として構成できるだけでなく、当該プログラム自体として構成することもできる。

尚、図４の構成は、中継サーバ２０に限らず、決済センタ３０の構成と考えても良い。この場合、記憶部６５には、セキュリティ情報３３、転送データ暗号鍵３４等が格納され、更に上記セキュリティ情報配信機能部３１や対中継サーバ通信機能部３２の各種処理機能をＣＰＵ６１により実現させる為のアプリケーションプログラムが格納されていることになる。

また、決済端末１０の構成例は特に示さないが、ＣＰＵ、記憶装置、ネットワーク接続部を有するものであり、記憶装置には上記転送データ暗号鍵１３やセキュリティ情報等の各種データが記憶されると共に、ＣＰＵにより読出し・実行させることにより上記各種機能部１１，１２の機能を実現させる為のアプリケーション・プログラムが記憶されている。

１ ＬＡＮ／ＶＡＮ
２ ＷＡＮ
１０ 決済端末
１１ 対中継サーバ通信機能部
１２ セキュリティ情報取得機能部
２０ 中継サーバ
２１ 要求メッセージ振分機能部
２２ 対決済端通信機能部
２３ 待ち行列（キュー）
２４ 対決済センタ通信機能部
３０ 決済センタ
３１ セキュリティ情報配信機能部
３２ 対中継サーバ通信機能部
３３ セキュリティ情報
３４ 転送データ暗号鍵
４０ 要求メッセージ
４１ メッセージ種別
４２ 決済端末識別情報
４３ 暗号鍵集合番号
４４ 転送データ暗号化鍵Ｎｏ．
５０ 応答メッセージ
５１ メッセージ種別
５２ 決済端末識別情報
５３ 暗号鍵集合番号
５４ 転送データ暗号化鍵Ｎｏ．
５５ セキュリティ情報（暗号化されたもの）
６０ コンピュータ
６１ ＣＰＵ
６２ メモリ
６３ 入力部
６４ 出力部
６５ 記憶部
６６ 記録媒体駆動部
６７ ネットワーク接続部
６８ バス
６９ 可搬型記録媒体
６９ａ ＦＤ（フレキシブル・ディスク）
６９ｂ ＣＤ−ＲＯＭ

Claims (6)

1. 複数台の端末と中継サーバとセンタ装置から成り、各端末−中継サーバ間を接続する第１ネットワークと中継サーバ−センタ装置間を接続する第２ネットワークを有し、端末−センタ装置間の通信を中継サーバが中継するネットワークシステムにおいて、
   前記各端末は、所定の要求メッセージを送信することで、該要求メッセージによる要求に応じた所定暗号化情報を含む応答メッセージを配信させる情報取得手段を有し、
   前記センタ装置は、任意の端末からの前記要求メッセージを受信すると、この要求メッセージによる要求に応じた前記所定暗号化情報を含む応答メッセージを生成して該応答メッセージを返信する情報配信手段を有し、
   前記要求メッセージ／応答メッセージを中継・転送する前記中継サーバは、
   前記第１ネットワークを介して前記各端末とのメッセージ送受信を行う第１通信処理手段と、
   前記第２ネットワークを介して前記センタ装置とのメッセージ送受信を行う複数の第２通信処理手段と、
   前記第１通信手段により受信した各端末からの各要求メッセージを前記複数の第２通信処理手段の何れかに振り分ける手段であって、該各要求メッセージ内の特定の情報に基づいて、その要求メッセージに対する応答メッセージの前記所定暗号化情報が同じであるはずの要求メッセージは同じ第２通信処理手段に振り分ける要求メッセージ振分手段とを有し、
   前記各第２通信処理手段は、自己に振り分けられた1以上の要求メッセージのうちの何れか１つの要求メッセージのみを前記センタ装置へ転送し、該転送した要求メッセージに対するセンタ装置からの応答メッセージを受信すると、自己に振り分けられた要求メッセージが複数ある場合には、該受信した応答メッセージに基づいて自己に振り分けられた他の各要求メッセージに対応する応答メッセージをそれぞれ生成し、
   前記第１通信処理手段は、前記センタ装置からの応答メッセージと前記第２通信処理手段により生成された応答メッセージを、それぞれ対応する端末へ送信することを特徴とする、中継サーバを有するネットワークシステム。
2. 前記各端末は、暗号鍵集合番号と、複数種類の第１暗号鍵の何れかとを保持しており、前記情報取得手段は、前記要求メッセージに該暗号鍵集合番号と該自己が保持する第１暗号鍵の識別情報とを含めて送信し、
   前記センタ装置は、前記暗号鍵集合番号毎に対応する各種特定情報と、前記各種第１暗号鍵それぞれに対応する各種第２暗号鍵とを保持しており、前記情報配信手段は、前記受信した要求メッセージの前記暗号鍵集合番号と第１暗号鍵識別情報に基づいて、該当する特定情報を該当する第２暗号鍵によって暗号化することで前記所定暗号化情報を生成して、該生成した所定暗号化情報を含む応答メッセージを生成して該応答メッセージを返信し、
   前記中継サーバの要求メッセージ振分手段は、その前記暗号鍵集合番号及び第１暗号鍵識別情報が同一である要求メッセージは同じ第２通信処理手段に振り分けることを特徴とする請求項１記載の中継サーバを有するネットワークシステム。
3. 前記第２ネットワークは前記第１ネットワークよりも低速のネットワークであることを特徴とする請求項１または２記載の中継サーバを有するネットワークシステム。
4. 前記端末はＩＣカード決済端末であり、前記特定情報はＩＣカードとの通信処理に必要となるセキュリティ情報であることを特徴とする請求項２記載の中継サーバを有するネットワークシステム。
5. 複数台の端末と中継サーバとセンタ装置から成り、各端末−中継サーバ間を接続する第１ネットワークと中継サーバ−センタ装置間を接続する第２ネットワークを有し、端末−センタ装置間の通信を中継サーバが中継するネットワークシステムにおける前記中継サーバであって、
   前記第１ネットワークを介して前記各端末とのメッセージ送受信を行う第１通信処理手段と、
   前記第２ネットワークを介して前記センタ装置とのメッセージ送受信を行う複数の第２通信処理手段と、
   前記第１通信手段により受信した各端末からの各要求メッセージを前記複数の第２通信処理手段の何れかに振り分ける手段であって、該各要求メッセージ内の特定の情報に基づいて、その要求メッセージに対する応答メッセージの所定暗号化情報が同じであるはずの要求メッセージは同じ第２通信処理手段に振り分ける要求メッセージ振分手段とを有し、
   前記各第２通信処理手段は、自己に振り分けられた1以上の要求メッセージのうちの何れか１つの要求メッセージのみを前記センタ装置へ転送し、該転送した要求メッセージに対するセンタ装置からの応答メッセージを受信すると、自己に振り分けられた要求メッセージが複数ある場合には、該受信した応答メッセージに基づいて自己に振り分けられた他の各要求メッセージに対応する応答メッセージをそれぞれ生成し、
   前記第１通信処理手段は、前記センタ装置からの応答メッセージと前記第２通信処理手段により生成された応答メッセージを、それぞれ対応する端末へ送信することを特徴とする中継サーバ。
6. 複数台の端末と中継サーバとセンタ装置から成り、各端末−中継サーバ間を接続する第１ネットワークと中継サーバ−センタ装置間を接続する第２ネットワークを有し、端末−センタ装置間の通信を中継サーバが中継するネットワークシステムにおける前記中継サーバのコンピュータを、
   前記第１ネットワークを介して前記各端末とのメッセージ送受信を行う第１通信処理手段と、
   前記第２ネットワークを介して前記センタ装置とのメッセージ送受信を行う複数の第２通信処理手段と、
   前記第１通信手段により受信した各端末からの各要求メッセージを前記複数の第２通信処理手段の何れかに振り分ける手段であって、該各要求メッセージ内の特定の情報に基づいて、その要求メッセージに対する応答メッセージの所定暗号化情報が同じであるはずの要求メッセージは同じ第２通信処理手段に振り分ける要求メッセージ振分手段と、
   前記各第２通信処理手段において、自己に振り分けられた1以上の要求メッセージのうちの何れか１つの要求メッセージのみを前記センタ装置へ転送し、該転送した要求メッセージに対するセンタ装置からの応答メッセージを受信すると、自己に振り分けられた要求メッセージが複数ある場合には、該受信した応答メッセージに基づいて自己に振り分けられた他の各要求メッセージに対応する応答メッセージをそれぞれ生成する手段と、
   前記第１通信処理手段において、前記センタ装置からの応答メッセージと前記第２通信処理手段により生成された応答メッセージを、それぞれ対応する端末へ送信する手段、
   として機能させるためのプログラム。

Images