JP5810329B1 - 決済端末装置 - Google Patents

Abstract

【課題】セキュアな部分と非セキュアな部分とが共存する場合であっても、堅牢性（耐落下衝撃性）を備え、操作中において指または入力用のスタイラスペンなどがセキュア部と汎用部との間を行き来する際の操作性を確保する。【解決手段】情報処理装置である決済端末装置１１は、操作者に把持される筐体１９に収容され、筐体の一面（操作表示面２１）に第１のユーザ・インタフェース（第１のタッチパネル３１）が設けられた第１の情報処理部と、筐体に収容され、筐体の一面にセキュアな操作が可能な耐タンパ性を有する第２のユーザ・インタフェース（第２のタッチパネル３５）が設けられたセキュアな第２の情報処理部と、第１のユーザ・インタフェースの表面と前記第２のユーザ・インタフェースの表面とを覆って配置される一つの光透過部材（表面パネル３６）と、を備える。【選択図】図１

Description

本発明は、取引における決済処理の手続を行うために使用される決済端末装置に関する。

例えば、クレジットカードを使用した物品又は役務の（信用）取引においては、取引を行う人物と取引に使用されるクレジットカードの所有者とが同一人物であるかどうかを確認（本人確認）することにより、取引の安全性（セキュリティ）が確保されている。この本人確認は、取引の決済処理時に取引内容の印字された取引伝票に顧客がサインし、このサインとクレジットカードに記載されているサインとを店員が目視により対比することにより行われている。

近年、このような署名の入力及び表示が可能な端末装置は、スマートフォンやタブレット端末を用いて実現されている。スマートフォンやタブレット端末は民生用機器として多数流通しており、安価に調達して決済端末装置を構築することが可能となる。即ち、このような決済端末装置は、スマートフォンやタブレット端末等のように民生用機器として多数流通している情報端末を用いて構成できれば、決済端末装置自体を安価に調達可能である。また、決済処理その他の業務に用いられるアプリケーション（ソフトウェア）の開発プラットフォームの汎用化が可能となるので、開発資産の再利用や流用が容易となる。

しかしながら、民生用機器として使用されることを想定して設計された情報端末には、顧客の情報を保護して取引を安全に行うために必要な「耐タンパ性」が備わっていない。「耐タンパ性」とは、情報端末から情報を盗み出そうとする攻撃に対する耐性である。情報端末から情報を盗み出そうとする攻撃の対策として耐タンパ性を確保するため、決済処理に用いられるカードの認証情報に関わる部分（特許文献１では「セキュア部」と称されている。決済端末装置として必要な耐タンパ性を備える部分。）が汎用部分から分離された移動体装置が提案されている（例えば特許文献１、２参照）。

米国特許出願公開第２０１０／０１４５８５４号明細書 特開２００４−３５５２１１号公報

しかし、上述した特許文献１，２を含む従来の決済端末装置では、「耐タンパ性」が備わっていない非セキュア部が、汎用のスマートフォンやタブレット端末と同等の入力画面サイズを備え、さらにセキュア部が追加される構成となる。したがってこれらの情報処理装置では、筐体の強度が確保できなくなる。さらに、決済端末装置がこのような非セキュア部とセキュア部とのハイブリット構成となっても、その操作中において指または入力用のスタイラスペンなどがセキュア部と汎用部との間を行き来する際には、良好な操作性が確保されなければならない。

本発明は、上述した従来の状況に鑑みて、セキュアな部分と非セキュアな部分とが共存する場合であっても、堅牢性（耐落下衝撃性）を備え、操作中において指または入力用のスタイラスペンなどがセキュア部と汎用部との間を行き来する際の操作性を確保する決済端末装置を提供することを目的とする。

本発明は、操作者に把持される筐体に収容され、筐体の一面に決済に関する非セキュアな内容としての金額の表示及び操作入力を可能とする第１のユーザ・インタフェースが設けられた第１の情報処理部と、筐体に収容され、前記第１のユーザ・インタフェースが設けられた筐体の一面にセキュアな操作が可能な耐タンパ性を有する第２のユーザ・インタフェースが設けられたセキュアな第２の情報処理部と、第１のユーザ・インタフェースの表面と前記第２のユーザ・インタフェースの表面とを覆って配置される一つの光透過部材と、を備え、前記第１のユーザ・インタフェースは、少なくともその一部で前記決済に関する金額を表示し非セキュアな入力操作が可能な非セキュア操作領域を有し、前記光透過部材は、前記非セキュア操作領域と、少なくとも前記第２のユーザ・インタフェースを含み前記決済に用いられる認証情報の入力及び前記認証情報の入力を可能とする表示を行うセキュア操作領域と、の境界を跨いで配置される決済端末装置である。

本発明によれば、上述した従来の状況に鑑みて、セキュアな部分と非セキュアな部分とが共存する場合であっても、堅牢性（耐落下衝撃性）を備え、操作中において指または入力用のスタイラスペンなどがセキュア部と汎用部との間を行き来する際のスムーズで快適な操作性を備えた決済端末装置を提供することができる。さらには、セキュア部と非セキュア部とに物理的な連続性が生まれ、外観的にも一体感を有し、デザイン性に優れた決済端末装置（取引端末装置）を提供できる。

（Ａ）第１の実施形態の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 第１の実施形態の決済端末装置における署名入力画面の表示例を示す正面図 第１の実施形態の決済端末装置のハードウェア構成の一例を示すブロック図 （Ａ）第２の実施形態の決済端末装置のセキュアモードの正面図、（Ｂ）（Ａ）示した決済端末装置の側面図、（Ｃ）（Ａ）に示した決済端末装置の非セキュアモードの正面図 第２の実施形態の決済端末装置の決済処理時における第一の動作手順を説明するフローチャート 第２の実施形態の決済端末装置の決済処理時における第二の動作手順を説明するフローチャート （Ａ）第３の実施形態の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 表示を分割制御するハードウェア構成の一例を示すブロック図 （Ａ）第３の実施形態の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 （Ａ）表示面上にセキュア状態表示領域が表示される第３の実施形態の変形例の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 （Ａ）第３のユーザ・インタフェースが設けられる第４の実施形態の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 （Ａ）セキュアＬＥＤと非セキュアＬＥＤとが設けられた第４の実施形態の変形例の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 第３のユーザ・インタフェースが設けられる第４の実施形態の決済端末装置の正面図、 第５の実施形態に係るサービス提供者の操作状況の一例を、決済端末装置の表面側から見た動作説明図 第５の実施形態に係るサービス提供者が決済端末装置の第１のユーザ・インタフェースを挟んで第２のユーザ・インタフェースとは反対側の筐体端部を持ち、サービス享受者が第２のユーザ・インタフェースを操作する状況を表す動作説明図

以下、本発明に係る情報処理装置の各実施形態について、図面を参照して説明する。以下の各実施形態では、本発明に係る情報処理装置の一例として、商品又は役務の取引における決済処理の際に用いられる決済端末装置を例示して説明する。
（第１の実施形態）
図１（Ａ）は、第１の実施形態の決済端末装置１１の正面図である。図１（Ｂ）は、図１（Ａ）に示す決済端末装置１１の側面図である。図２は、第１の実施形態の決済端末装置１１における署名入力画面１３の表示例を示す正面図である。図３は、第１の実施形態に係る決済端末装置１１のハードウェア構成の一例を示すブロック図である。

本実施形態の決済端末装置１１は、可搬型であり、例えば商品又は役務の取引における決済処理を含む各種情報処理を行う第１の情報処理部１５（図３参照）と第２の情報処理部１７を備える。

本実施形態の決済端末装置１１は、筐体１９の操作表示面２１に第１のユーザ・インタフェース（具体的には第１のタッチパネル３１）を備える。第１のユーザ・インタフェース（第１のタッチパネル３１）が設けられた筐体１９には、第１の情報処理部１５が収容される。操作者に把持される筐体１９の第１の情報処理部１５よりも手前には、耐タンパ性を有するセキュアな第２の情報処理部１７が収容される。第２の情報処理部１７は、第２のユーザ・インタフェース（具体的には第２のタッチパネル３５）を備える。第２のユーザ・インタフェース（第２のタッチパネル３５）は、第１のユーザ・インタフェース（第１のタッチパネル３１）よりも手前の操作表示面２１に配置される。

なお、以下の各実施形態において、「手前」とは、操作表示面２１を鉛直線に沿う方向で起立させた筐体１９の下側であり、操作表示面２１を鉛直線に略直交する面に沿うように筐体１９を把持したときの操作者に近い側を言う。したがって本実施形態の決済端末装置１１は、操作表示面２１にある第１のユーザ・インタフェースとセキュアな第２のユーザ・インタフェースとが鉛直線に沿う方向に並ぶように筐体１９を起立させたときに、第２のユーザ・インタフェースは、第１のユーザ・インタフェースよりも筐体１９の下側に配置される。または、本実施形態の決済端末装置１１において、第１のユーザ・インタフェースとセキュアな第２のユーザ・インタフェースとは、筐体１９の重心を挟んで互いに反対側に位置する端部に偏らせて、筐体１９の一面である操作表示面２１に配置される。

決済端末装置１１は、可搬型であり、第１の情報処理部１５と、「セキュア」な第２の情報処理部１７とを含む構成である。「セキュア」とは、耐タンパ性を備えることを意味する。「タンパ」とは、情報処理装置内部のソフトウェアやハードウェアの不正な解析、改変や、情報処理装置内部の情報の不正な奪取、改変、利用不能にする攻撃を指す。したがって「耐タンパ性」とは、そのような攻撃に対する耐性を指す。耐タンパ性を有することで、例えば、決済処理において顧客の情報を保護し、取引を安全に実施できる。

第１の情報処理部１５及び第２の情報処理部１７は、分離可能でなくてよい。また、第１の情報処理部１５は、「セキュア」に構成されても、「非セキュア」に構成されてもよい。「非セキュア」とは、耐タンパ性を備えていない、または耐タンパ性能が低いことを意味する。

決済端末装置１１は、第１のユーザ・インタフェースを挟んで第２のユーザ・インタフェースの反対側（非セキュア側）に磁気カードリーダ部２５が配置される。磁気カードリーダ部２５は、スリット２７を、第１の情報処理部１５の上側面２９に備える。スリット２７は、磁気カードがスライド（スワイプ）され、磁気カードの情報（磁気ストライプ）を読み取るためのパスとなる。なお、スリット２７は、第１の情報処理部１５に設けられず、第２の情報処理部１７に設けられてもよい。

決済端末装置１１は、２つの入力部及び表示部（第１のユーザ・インタフェース、第２のユーザ・インタフェース）、即ち２つのタッチパネル（第１のタッチパネル３１、第２のタッチパネル３５）を備える。具体的には、第１の情報処理部１５が備える前面２９には、第１のユーザ・インタフェースである第１のタッチパネル３１が設けられ、第２の情報処理部１７が備える前面３３には、第２のユーザ・インタフェースである第２のタッチパネル３５が設けられる。第１のタッチパネル３１は、例えば非セキュアな内容としての金額情報を表示し、更に、金額の入力を受け付ける。また、第２のタッチパネル３５は、例えばセキュアな内容としてのＰＩＮ入力画面を表示し、更に、ＰＩＮの入力を受け付ける。

決済端末装置１１の筐体１９の操作表示面２１には、第１のユーザ・インタフェース、すなわち第１のタッチパネル３１が配置される第１開口部と、第２のユーザ・インタフェース、すなわち第２のタッチパネル３５が配置される第２開口部と、が形成される。第１開口部と第２開口部とが形成された筐体１９の操作表示面２１は、光透過性を備えた一枚の表面パネル３６（光透過部材）によって覆われる。第１のユーザ・インタフェースは表示機能のみを備えるものであってもよいし、第２のユーザ・インタフェースは入力機能のみを備えるものであってもよい。

図２では、本実施形態の決済端末装置１１における署名入力画面１３の表示例が示されている。第１のタッチパネル３１には、例えば金額情報が表示され、第２のタッチパネル３５は、例えば非セキュアな内容としての署名入力画面１３が表示され、更に、操作者（例えばクレジットカード取引を行った商品の購入者）の署名が入力される。

図３に示す決済端末装置１１は、第１の情報処理部１５及び第２の情報処理部１７を備える。第１の情報処理部１５は、第１のＣＰＵ３７（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、局所無線通信部３９と、広域無線通信部４１と、音声入出力部４３と、第１の表示部４５と、第１のタッチ入力検出部４７とを含む構成である。また、第１の情報処理部１５は、第１のフラッシュＲＯＭ４９（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）と、第１のＲＡＭ５１（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）と、キー入力部５３と、磁気カードリーダ部２５と、第１の電源部５５と、第１のバッテリ５７と、第１のＩＦ（Ｉｎｔｅｒｆａｃｅ）部５９とを含む構成である。また、第１の情報処理部１５は、向き検知部６１を更に備えてもよい。

第１の情報処理部１５では、第１のＣＰＵ３７に対して、各部が接続される。第１のＣＰＵ３７は、第１の情報処理部１５の全体を統括し、例えば、各種制御、処理、設定、判定、決定、確認を行う。

局所無線通信部３９は、局所無線通信アンテナ６３と接続され、局所無線通信路（図示略）を用いて、例えば無線ＬＡＮ通信する機能を有する。局所無線通信部３９は、無線ＬＡＮ通信以外の通信（例えばＢｌｕｅｔｏｏｔｈ（登録商標）通信）を行ってもよい。

広域無線通信部４１は、広域無線通信アンテナ６５と接続され、図示しない広域無線通信路（例えばＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ））を介して通信する機能を有する。広域無線通信路における通信は、例えばＷ−ＣＤＭＡ（Ｗｉｄｅｂａｎｄ Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ）、ＵＭＴＳ（Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｙｓｔｅｍ）、ＣＤＭＡ（Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ）２０００、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）等の移動体通信を用いて行われてもよい。

音声入出力部４３は、マイク６７及びスピーカ６９と接続され、音声の入出力を制御する機能を有する。例えば、音声入出力部４３、マイク６７、スピーカ６９、及び無線電話回線通信部（図示略）により、他の携帯電話や固定電話との通話が可能となる。また、スピーカ６９は、例えば、ユーザ（店員又は顧客）が決済端末装置１１を操作する際に、ユーザへ注意喚起する音、操作エラーを示す警告音を発することにも使用される。

第１の表示部４５は、第１のタッチパネル３１（図１参照）の表示を制御する機能を有する。第１のタッチ入力検出部４７は、第１のタッチパネル３１に対するタッチ入力を検出する機能を有する。第１のユーザ・インタフェースである第１のタッチパネル３１は、例えば感圧式の透明シート状の第１のタッチ入力検出部４７が第１の表示部（例えば液晶パネルや有機ＥＬディスプレイなど）４５に積層されて構成される。

第１のフラッシュＲＯＭ４９は、各種のデータを記憶する機能を有する。記憶されるデータは、業務に関わるデータでもよいし、決済端末装置１１（例えば第１の情報処理部１５）を制御するためのプログラムでもよい。

第１のＲＡＭ５１は、例えば、決済端末装置１１（例えば第１の情報処理部１５）の動作に伴う演算処理の際に、演算処理の途中において発生する処理データを、一時的に記憶するために用いられるメモリである。

キー入力部５３は、例えば、図１に示す入力キー７１からの入力を受け付ける機能を有する。磁気カードリーダ部２５は、図１におけるスリット２７の内部に配置され、磁気カードの磁気ストライプを読み取る機能を有する。

第１の電源部５５は、主に第１の情報処理部１５の電源であり、第１のバッテリ５７から電源の供給を受けて、第１の情報処理部１５の各部（例えば第１のＣＰＵ３７）へ電源を供給する。第１のＣＰＵ３７は、第１の電源部５５を制御することにより、第１の情報処理部１５を構成する一部又は全体の回路に対して、電源供給及び電源供給の停止が可能である。第１のＣＰＵ３７は、第１の電源部５５を制御することにより、第２の情報処理部１７に対して電源供給してもよい。

第１の情報処理部１５及び第２の情報処理部１７は、第１のインタフェース部（以下「第１のＩＦ部５９」）及び第２のインタフェース部（以下「第２のＩＦ部７３」）を介して、互いに接続され、各種のデータやコマンドの受け渡しが行われる。第１のＩＦ部５９と第２のＩＦ部７３とは、互いに結合可能である。

第２の情報処理部１７は、第２のＩＦ部７３と、第２のＣＰＵ７５と、第２の表示部７７と、第２のタッチ入力検出部７９と、第２のフラッシュＲＯＭ８１と、第２のＲＡＭ８３と、セキュア入力部８５と、第２の電源部８７とを含む構成である。なお、本実施形態において、向き検出部は第１の情報処理部１５に設けられているが、その代わりに第２の情報処理部１７に設けられてもよい。

第２の情報処理部１７では、第２のＣＰＵ７５に対して、各部が接続される。第２のＣＰＵ７５は、第２の情報処理部１７の全体を統括し、例えば、各種制御、処理（例えば決済処理）、設定、判定、決定、確認、認証、照合（例えば、ＰＩＮ、署名、の照合）を行う。

第２の表示部７７は、第２のタッチパネル３５（図１参照）の表示を制御する機能を有する。第２のタッチ入力検出部７９は、第２のタッチパネル３５に対するタッチ入力を検出する機能を有する。第２のユーザ・インタフェースである第２のタッチパネル３５は、例えば感圧式の透明シート状の第２のタッチ入力検出部７９が第２の表示部（例えば液晶パネルや有機ＥＬディスプレイなど）７７に積層されて構成される。

第２のフラッシュＲＯＭ８１は、各種のデータを記憶する機能を有する。記憶されるデータは、業務に関わるデータでもよいし、決済端末装置１１（例えば第２の情報処理部１７）を制御するためのプログラムでもよい。

第２のＲＡＭ８３は、例えば、決済端末装置１１（例えば第２の情報処理部１７）の動作に伴う演算処理等の際に、演算処理の途中において発生する処理データを、一時的に記憶するために用いられるメモリである。

セキュア入力部８５は、例えば、ＰＩＮを入力するための物理的なキー又はソフトキーを有してもよい。セキュア入力部８５には、例えば、署名が入力されてもよい。セキュア入力部８５には、例えば、指又はスタイラスペンを用いて、ＰＩＮが手書き入力されてもよい。

セキュア入力部８５は、図１，図２において図示されていないが、例えば図１において、第２の情報処理部１７の裏面に配置されてよい。第２の情報処理部１７の裏面は、第２のタッチパネル３５が設けられた前面２９（表示面）に対して反対側に位置する面である。

第２の電源部８７は、主に第２の情報処理部１７の電源であり、第２のバッテリ８９から電源の供給を受けて、第２の情報処理部１７の各部（例えば第２のＣＰＵ７５）へ電源を供給する。第２のＣＰＵ７５は、第２の電源部８７を制御することにより、第２の情報処理部１７を構成する一部又は全体の回路に対して、電源供給及び電源供給の停止が可能である。第２のＣＰＵ７５は、第２の電源部８７を制御することにより、第１の情報処理部１５に対して電源供給してもよい。

また、決済端末装置１１は、重力に対する決済端末装置１１の向きを検知する向き検知部６１を備える。向き検知部６１は、例えば、第１の情報処理部１５及び第２の情報処理部１７の少なくとも一方に設けられる。向き検知部６１は、例えば加速度センサを用いて構成されても良い。図３では、向き検知部６１が第１の情報処理部１５に設けられることを例示している。

決済端末装置１１は、「セキュア」又は「非セキュア」な第１の情報処理部１５と、「セキュア」な第２の情報処理部１７とが、互いに結合可能となる。決済に用いられるカードの認証情報（例えば署名、ＰＩＮ情報）の入力及び表示は、「セキュア」な第２の情報処理部１７が備える第２のタッチパネル３５に対して行われる。従って、決済端末装置１１は、決済に用いられるカードの認証情報の入力と表示が可能であり、「耐タンパ性」も確保できる。「耐タンパ性」を必要とする「セキュア」な部分は、第２の情報処理部１７に局所化されたセキュアモジュール９１として構成されている。

セキュアモジュール９１は、耐タンパ性を有することで、非正規な手段による機密データの読み取りを防ぐ。耐タンパ性を高めるには、外部から読み取りにくいよう機密性を高める方法と、セキュアモジュール１００の物理的な閉塞が破られていないか否かを検出する機構を設ける方法とがある。セキュアモジュール９１は、自身の物理的な閉塞が破られたことを検出すると、外部からの読み取りを困難にしてもよいし、セキュアモジュール１０９の内部にあるプログラムやデータを破壊してもよい。セキュアモジュール９１は、これらの双方を備えることができる。外部から読み取りを困難にする方法としては、プログラム自体を暗号化し、実行時に必要な分だけ復号して実行するソフトウェアを格納することで実現される。また、外部から読み取りに対し、プログラムやデータを破壊する方法としては、セキュアモジュール９１の閉塞が破られると、秘密情報を消去または所定の値で上書きして安全に書き潰す回路、或いは動作できなくなる回路など設けることで実現される。

一方、第１の情報処理部１５としては、例えば、民生用に多数流通している情報端末（例えばスマートフォン、タブレット端末）が用いられてもよい。第１の情報処理部１５には、例えば、汎用（オペレーティング・システム）がソフトウェア・プラットフォームとして採用される。

従って、決済用のアプリケーション・ソフトウェア（以下「決済アプリケーション」、及びその他の業務に用いられるアプリケーション・ソフトウェア（以下「業務アプリケーション」）の開発資産の再利用や流用は、容易となる。また、決済アプリケーション及びその他の業務アプリケーションは、例えば高い演算処理能力を備える第１の情報処理部１５により処理されることで、ストレスなく柔軟に動作する。

決済端末装置１１は、第１の情報処理部１５にインストールされた決済アプリケーション（図示略）を実行させて、決済手続を開始する。決済端末装置１１は、決済に関する情報（例えば、金額情報、支払方法、決済に使用されるカードブランド情報）を、決済アプリケーションへの入力により、又は決済端末装置１１の外部から受け取る。

決済端末装置１１は、決済に関する情報を受け取ると、例えば図１に示すように、第１のＣＰＵ３７及び第１のタッチパネル３１が、決済に使用されるカードの読取り操作を促す処理及び表示を行う。

決済に使用されるカードの読取り操作を促す処理及び表示は、カードの読取りが行われたことが確認されるまで行われる。カードの読取りが行われたことが確認されたら、決済端末装置１１は、カードの認証手続に入る。

カードの認証方法は、例えば、決済に使用されるカードの種類、カードの情報、又は、決済端末装置１１を使用する加盟店（クレジットカード取引を取扱うクレジットカード加盟店）と決済センタとの間で結ばれている契約、に基づいて決定される。

認証方法がＰＩＮによる場合、決済端末装置１１は、ＰＩＮ入力画面の表示を、第２の情報処理部１７に配置された第２のタッチパネル３５に対して行い、カードの使用者（例えばクレジットカード取引における商品の購入者）によるＰＩＮの入力完了を待つ。ＰＩＮ入力画面は、ＰＩＮの入力が可能な画面である。ＰＩＮ入力画面の表示は、例えば、ＰＩＮの入力が完了したことが確認されるまで行われる。

ＰＩＮの入力が完了したことが確認されると、決済端末装置１１は、入力されたＰＩＮが、決済に使用されるカードに登録されたＰＩＮ又は決済センタに登録されたＰＩＮ、と一致するか否かの照合結果が得られるのを待つ。

ＰＩＮの照合は、例えば決済センタにおいて行われる。決済端末装置１１は、入力されたＰＩＮを暗号化して、その暗号化されたＰＩＮを、カード情報とともに決済センタに送信する。

決済センタは、決済端末装置１１から受信したＰＩＮを復号し、復号されたＰＩＮと決済センタにおいて管理されているＰＩＮとを照合する。これら２つのＰＩＮが一致し、ＰＩＮとともに送信されてきたカード情報を有するカードが取引上問題無いと確認された（例えばブラックリストに載っていない）場合、決済センタは、決済端末装置１１に対して与信を行う。

決済端末装置１１は、決済センタからの与信を受けて、その後の決済処理としての売上処理を行い、決済センタとの通信を終了する。決済端末装置１１は、その売上処理のデータの決済センタへの送信を、売上処理の完了後から決済センタとの通信を終了するまでの間に行ってもよいし、他の決済の売上処理データと併せて後ほど行ってもよい。

２つのＰＩＮが一致しない場合、決済センタは、決済端末装置１１に対して与信できない旨の通知を行う。決済端末装置１１は、決済センタからの通知を受けて売上処理を行わず、決済は中止される。

認証方法がＰＩＮによる場合において、ＰＩＮの照合は、決済端末装置１１と、その決済端末装置１１に読み取られるクレジットカード（図示略）との間で行ってもよい。決済端末装置１１は、入力されたＰＩＮと、クレジットカード内のチップ（図示略）に予め記録されているＰＩＮと、が一致するという照合結果が、クレジットカード内のチップから得られれば、その後の決済処理としての売上処理を行う。

決済端末装置１１は、その売上処理のデータの決済センタへの送信を、売上処理の完了直後かつ決済センタとの通信を終了する前に行ってもよいし、他の決済の売上処理データと併せて後ほど行ってもよい。２つのＰＩＮが一致しないという照合結果が得られた場合には、決済端末装置１１における売上処理は中止され、決済は中止される。

認証方法が署名による場合、決済端末装置１１は、署名入力画面１３の表示を、第２の情報処理部１７に配置された第２のタッチパネル３５に対して行い、カードの使用者による署名の入力完了を待つ。署名入力画面１３は、例えば、図２に示す署名の入力が可能な画面である。署名入力画面１３の表示は、例えば、署名の入力が完了したことが確認されるまで行われる。署名の入力が完了したことが確認されると、決済端末装置１１は、決済処理を実行する。

以上の動作例は、決済端末装置１１が備える第１の情報処理部１５と、「セキュア」な第２の情報処理部１７と、の協働により行われる。決済アプリケーションは、第１の情報処理部１５において動作する。決済に関する情報（例えば、金額情報、支払方法、決済に使用されるカードブランドの情報）の表示や、決済に使用されるカードの読取り操作を促す表示は、第１の情報処理部１５又は「セキュア」な第２の情報処理部１７のいずれかにおいて行われてよい。

一方、ＰＩＮ入力画面又は署名入力画面１３の表示は、「セキュア」な第２の情報処理部１７に配置された第２のタッチパネル３５により行われる。ＰＩＮ入力画面又は署名入力画面１３の表示は、決済に使用されるカードの読取り操作を促す表示が行われ、使用されるカードの読取りが行われてから、カードの使用者によるＰＩＮ又は署名の入力が完了するまで行われる。

以上に述べたように、決済端末装置１１は、顧客によって決済に用いられるカードの認証情報（例えば署名又はＰＩＮ）の入力と表示が可能であり、「耐タンパ性」も確保できる。決済端末装置１１は、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを明示的に認知させることができる。その結果、認証情報の安全な入力が可能となり、かつ入力された認証情報のセキュアな処理が実現する。

それに加えて、先に述べたように、決済端末装置１１の筐体１９の操作表示面２１には、第１のユーザ・インタフェース、即ち第１のタッチパネル３１が配置される第１開口部と、第２のユーザ・インタフェース、即ち第２のタッチパネル３５が配置される第２開口部と、が形成される。そして、第１開口部と第２開口部とが形成された筐体１９の操作表示面２１は、光透過性を備えた一枚の表面パネル３６（光透過部材）によって覆われる。例えば汎用のスマートフォンまたはタブレット端末と同等の入力画面サイズを有する第１のタッチパネル３１を備えた第１の情報処理部１５と、セキュアな第２の情報処理部１７との両方が、薄型の筺体１９に収容される。そして、筺体１９の厚み方向と直交する一方向が、その一方向および筺体１９の厚み方向と直交する他の方向と比較して長くなり、落下時による変形力がその一方向に加わっても、一つの光透過部材が操作表示面を補強する形で筺体を支持する。したがって、落下時の衝撃による筐体１９の破損の可能性は低減される。

特に、本実施形態１における決済端末装置１１の筐体１９の操作表示面２１において、第１のタッチパネル３１が配置される第１開口部の周辺部分と、第２のタッチパネル３５が配置される第２開口部の周辺部分は、側部および上下端部までの距離が小さい。すなわち第１開口部および第２開口部の周辺部分は、決済端末装置１１の落下により破損されやすくなっている。したがって、光透過性を備えた一枚の表面パネル３６が操作表示面２１を補強する形で支持するので、落下時の衝撃による筐体１９の破損の可能性は低減される。

第１のタッチパネル３１とは別に、セキュア専用の第２のタッチパネル３５が設けられている。操作者は、決済端末装置１１の操作中において、指または入力用のスタイラスペンなどを第１のタッチパネル３１とセキュアが保証された入力領域である第２のタッチパネル３５（第２のユーザ・インタフェース）との間を行き来して入力する必要が生じる。しかしながら、第１のタッチパネル３１および第２のタッチパネル３５は、両方とも一つの光透過部材によって覆われている。したがって操作者は、双方の表示内容を視認しながら、第１のタッチパネル３１と第２のタッチパネル３５の間に設けられた溝または突起部に、指または入力用のスタイラスペンなどを引っ掛けることなく、スムーズに行き来させることができる。

すなわち表面パネル３６は、筺体１９の操作表示面２１において、第２の情報処理部１７の収容部分を含むセキュア領域と、第１の情報処理部１５の収容部分の少なくとも一部を含む非セキュア領域との筺体境界ＣＢを跨いで配置される。操作者は、筺体においてセキュアが保証された入力領域を備える部分と、それ以外の領域との境界を明示的に認識しながら、指または入力用のスタイラスペンなどをそれら２つの領域の間で行き来させることができる。言い替えると、表面パネル３６は、筺体１９の操作表示面２１において、第１の情報処理部１５の収容部分の少なくとも一部を含む第１の筐体領域と、第２の情報処理部１７の収容部分を含む第２の筐体領域との筺体境界ＣＢを跨いで配置される。決済端末装置１１は、第２のタッチパネル３５が、認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、近傍に配置した筺体境界を操作者に視認させることで、明示的に認知させることができる。そして操作者は、操作中において指または入力用のスタイラスペンなどを、筺体境界を跨いで第２のタッチパネル３５と第１のタッチパネル３１との間を行き来させることができる。

さらに、決済端末装置１１の筐体１９において、第２のタッチパネル３５は、認証情報を入力する操作者から見て第１の情報処理部１５よりも手前に収容され、操作表示面２１の第１のタッチパネル３１よりも手前に設けられる。このような構成により、ＰＩＮＰＡＤまたは署名欄などの認証情報の入力画面が表示される第２のタッチパネル３５が、認証情報を入力する操作者から見て、第１のタッチパネル３１より近い位置に配置される。したがってこの決済端末装置１１によれば、操作者またはセキュア入力／非セキュア入力の相違に応じて、快適な操作性が提供される。認証情報を入力する操作者は、第１のタッチパネル３１に表示される情報を、認証情報を入力する手などに遮られることなく確認しながら、認証情報を入力することができる（これらの点については後述する第５の実施形態においても説明する）。

入力キー７１が物理的なキーである場合、表面パネル３６における入力キー７１の配置部分には開口部が設けられる。決済端末装置１１の操作者は、入力キー７１を押下可能となる。入力キー７１の押下面は、表面パネル３６の外側の面（筐体１９との対向面とは反対側の面）と同一面であることが望ましい。操作者は、筐体１９の操作表示面２１において、第１のタッチパネル３１と第２のタッチパネル３５との間に溝または突起部に設けられても、指または入力用のスタイラスペンなどを引っ掛けることなく、スムーズに行き来させることができる。

以上に述べたように、本第１の実施形態の決済端末装置１１は、セキュアな部分と非セキュアな部分とが共存する場合であっても、認証情報の安全な入力を可能とし、入力された認証情報のセキュアな処理を実現する。そして決済端末装置１１は、堅牢性（耐落下衝撃性）を有する筐体１９を備える。さらに決済端末装置１１は、操作中において指または入力用のスタイラスペンなどがセキュア部（第２の情報処理部１７）の第２のタッチパネル３５と汎用部（第１の情報処理部１５）の第１のタッチパネル３１との間を、スムーズに行き来させることができる。すなわち決済端末装置１１は、快適な操作性を備えることができる。そしてさらに、セキュア部と非セキュア部とに物理的な連続性が生まれ、外観的にも一体感を有し、デザイン性に優れた決済端末装置１１が提供される。

本実施形態に係る決済端末装置１１では、セキュアな第２の情報処理部１７が、第１の情報処理部１５と隔絶して配置可能となる。これにより、第２の情報処理部１７は、必要最小スペースでのセキュアモジュール９１として集中配置が可能となる。従って、第２の情報処理部１７は、耐タンパ性（セキュリティ）の確保が容易となる。また、第１のタッチパネル３１とは別に、セキュア専用の第２のタッチパネル３５が設けられることで、操作者は、セキュアが保証された入力領域であることを容易に認識できる。このように、決済端末装置１１は、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを知らしめることができる。その結果、認証情報の安全な入力が可能となり、かつ入力された認証情報のセキュアな処理が実現する。さらに、第２のタッチパネル３５が設けられた第２の情報処理部１７は、第１の情報処理部１５とは異なる色（および表面処理）の筐体１９を備えてもよい。筐体１９の色または表面処理は、筐体１９の少なくとも一部において、第１の情報処理部１５と第２の情報処理部１７との境界を境に異なってもよい。例えば、操作表示面２１においては、第１の情報処理部１５と第２の情報処理部１７との境界を境に、第２の情報処理部１７と第１の情報処理部１５とは互いに異なる色または表面処理が施され、それ以外の部分（例えば背面）については同じ色または表面処理が施されてもよい。または、セキュア専用の第２のタッチパネル３５における表示の背景色は、第１の情報処理部１５に設けられた第１のタッチパネル３１における表示の背景色とは異なるものであってもよい。これらによっても、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを知らしめることができる。

また、決済端末装置１１では、磁気カードリーダ部２５がセキュアな第２の情報処理部１７から外れた第１の情報処理部１５に配置される。従って、第２の情報処理部１７は、必要最小スペースでの集中配置が可能となる。これにより、第２の情報処理部１７において、耐タンパ性の確保が物理的に容易となる。その結果、決済端末装置１１は、ＰＩＮなどの認証情報をセキュアに入力するセキュリティの高さを確保しながら、磁気カード読取りスワイプ操作の使い易さも同時に実現できる。
（第２の実施形態）
図４（Ａ）は、第２の実施形態の決済端末装置９３Ａの正面図である。図４（Ｂ）は、図４（Ａ）に示した決済端末装置９３Ａの側面図である。なお、以下の各実施形態において、図１〜図３に示した部材・部位と同等のものには同一の符号を付して重複する説明は省略する。図５は、第２の実施形態の決済端末装置９３Ａの決済処理時における動作手順を詳細に説明するフローチャートである。

本実施形態の決済端末装置９３Ａは、例えば認証入力時に、第１の情報処理部１５が非セキュアモードであることを示す非セキュア表示ＬＥＤ（セキュア状態表示部）９５Ａを消灯させ、認証入力時以外では第１の情報処理部１５が非セキュアモードであることを示す非セキュア表示ＬＥＤ９５Ａを点灯させる。非セキュアＬＥＤ９５Ａは、第１のタッチパネル３１と第２のタッチパネル３５との間の操作表示面２１に配置される。

次に、本実施形態の決済端末装置９３Ａの決済処理時における動作について、図５を参照して説明する。図５は、第２の実施形態の決済端末装置９３Ａの決済処理時における動作手順を詳細に説明するフローチャートである。決済端末装置９３Ａは、第２の情報処理部１７にインストールされた端末ＵＩ決済アプリケーション（図示略）を実行させて、決済処理の手続を開始する。図５の説明の前提として、決済端末装置９３Ａは、非セキュアモードの状態とする。非セキュアＬＥＤ９５Ａは、点灯状態である。

図５において、まず、オペレーティングシステム（図示略）は、第１の情報処理部１５が非セキュアモードの状態であることを示すために、非セキュアフラグを「Ｔｒｕｅ」に設定する（Ｓ１Ａ）。非セキュアフラグが「Ｔｒｕｅ」に設定されると、第２のＣＰＵ７５は、非セキュアＬＥＤ９５Ａ、すなわち「ＮＯＮ ＳＥＣＵＲＥＤ」を点灯させる（図４（Ａ）参照）。

例えば第１の情報処理部１５にインストールされた端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）は、決済金額情報及び支払方法の入力を受け付けると（Ｓ２）、カードの読取り操作を促すためのメッセージを第１のタッチパネル３１に表示させる（Ｓ３）。

ＩＣカード入出力ドライバ（図示略）は、ユーザのＩＣカードのスリットへのスライド、挿入口への挿入又は決済端末装置９３Ａの前面２９への近接のいずれかの操作により、ＩＣカードを読み取るまで待機する（Ｓ４）。ＩＣカードが読み取られると（Ｓ４、ＹＥＳ）、オペレーティングシステム（図示略）は、第１の情報処理部１５がセキュアモードの状態に変更されたことを示すために、非セキュアフラグを「Ｆａｌｓｅ」に変更する（Ｓ５Ａ）。非セキュアフラグが「Ｆａｌｓｅ」に変更されると、第２のＣＰＵ７５は、非セキュアＬＥＤ９５Ａ、すなわち「ＮＯＮ ＳＥＣＵＲＥＤ」を消灯させる。

例えば第２の情報処理部１７にインストールされたセキュア画面ＵＩアプリケーション（具体的には、第２のＣＰＵ７５）は、第２のＩＦ部７３、第１のＩＦ部５９及び第１のＣＰＵ３７を介して、第１のタッチパネル３１に対し、ＰＩＮ情報の入力をユーザに対して促すためのメッセージと、ソフトウェアキーボードの一例としてのＰＩＮパッドとの表示を指示する（Ｓ６）。

第２のＣＰＵ７５は、第２のタッチ入力検出部７９を介して、第２のタッチパネル３５により入力されたＰＩＮ情報を入力する（Ｓ７）。

ＰＩＮ情報が第２のタッチ入力検出部７９に入力されると、オペレーティングシステムは、第１の情報処理部１５が非セキュアモードの状態に変更されたことを示すために、非セキュアフラグを「Ｔｒｕｅ」に変更する（Ｓ８Ａ）。非セキュアフラグが「Ｔｒｕｅ」に変更されると、第２のＣＰＵ７５は、非セキュアＬＥＤ９５Ａ、すなわち「ＮＯＮ ＳＥＣＵＲＥＤ」を点灯させる（図４（Ａ）参照）。なお、非セキュアＬＥＤ９５Ａにおける「ＮＯＮ ＳＥＣＵＲＥＤ」の点灯および消灯は、セキュアな第２の情報処理部１７の第２のＣＰＵ７５、即ち、セキュアな実行環境の下で制御される。

図５に示すＰＩＮ照合が必要な決済処理時における動作手順において、ステップＳ７において入力されたＰＩＮ情報は、ステップＳ４において読み取りを行ったＩＣカードが復号可能な鍵によって暗号化されてもよい。ステップＳ７において第２のタッチパネル３５により入力されたＰＩＮ情報は暗号化されてもよい。暗号化されたＰＩＮ情報（暗号化ＰＩＮ情報）は、第２のＣＰＵ７５に出力される。

第２のＣＰＵ７５は、ＰＩＮ情報又は暗号化ＰＩＮ情報を、不図示の所定のドライバ（例えばＩＣカード入出力ドライバ及びＩＣカードリーダドライバ）を介して、ＩＣカードに渡す。

ＩＣカードは、第２のＣＰＵ７５より得られたＰＩＮ情報又は暗号化ＰＩＮ情報を復号したデータとＩＣカードに予め登録されているＰＩＮ情報とを照合し（Ｓ９）、それらのＰＩＮの照合結果を出力する。第２のＣＰＵ７５は、ＩＣカードから出力されたＰＩＮの照合結果を、上述したＩＣカードリーダドライバ及びＩＣカード入出力ドライバを介して入力する。

第２のＣＰＵ７５は、ステップＳ７において入力されたＰＩＮ情報とステップＳ４において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果がＩＣカードから得られれば、オペレーティングシステムを介して、第１の情報処理部１５にインストールされた端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）に対して、その後の決済処理としての売上処理を指示する（Ｓ１０）。

第１の情報処理部１５において、端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）は、ステップＳ７において入力されたＰＩＮ情報とステップＳ４において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果が得られれば、その後の決済処理としての売上処理を行う。売上処理後の売上処理データは、第１の情報処理部１５にインストールされたセンタ接続アプリケーション（具体的には、第１のＣＰＵ３７）を介して、決済センタへと送信される。なお、ステップＳ１０に示す売上処理データの売上処理は、顧客が商品を購入した場合又は役務の提供を受けた場合に都度、実行されてもよいし、決済端末装置９３Ａと決済センタとの通信が所定のタイミング（例えば１週間に１回）において行われ、その際に他の売上処理データとともに一括で処理されてもよい。

一方、第２のＣＰＵ７５は、ステップＳ９におけるＰＩＮ情報の照合の結果、両者が一致しないと判断した場合には、第２の情報処理部１７にインストールされたセキュア画面ＵＩアプリケーション（具体的には、第２のＣＰＵ７５）に対し、第１のタッチパネル３１に決済処理を中止する旨のメッセージの表示を実行させる（Ｓ１１）。第２のＣＰＵ７５は、第１の情報処理部１５にインストールされた端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）に対して売上処理を指示せず、その後の決済処理の手続は中止される。

この決済端末装置９３Ａでは、非セキュアＬＥＤ９５Ａによって、非セキュア表示（「ＮＯＮ ＳＥＣＵＲＥＤ」）が点灯または消灯される。非セキュアＬＥＤ９５Ａは、耐タンパ性を有しない非セキュアモードであることを示す非セキュア表示を行うセキュア状態表示部である。この非セキュアＬＥＤ９５Ａが、第１のタッチパネル３１と第２のタッチパネル３５との間の操作表示面２１に配置され、セキュアな第２のタッチパネル３５と共に、手前に互いに隣接してまとまった位置で設けられる。このように、決済端末装置９３Ａは、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、近傍に配置した非セキュアＬＥＤ９５Ａを視認させることで、知らしめることができる。その結果、認証情報の安全な入力が可能となり、かつ入力された認証情報のセキュアな処理が実現する。

決済端末装置９３Ａの筐体１９の操作表示面２１には、第１のユーザ・インタフェース、即ち第１のタッチパネル３１が配置される第１開口部と、第２のユーザ・インタフェース、即ち第２のタッチパネル３５が配置される第２開口部と、が形成される。そして、第１開口部と第２開口部とが形成された筐体１９の操作表示面２１は、光透過性を備えた一枚の表面パネル３６（光透過部材）によって覆われる。表面パネル３６は、筺体１９の操作表示面２１において、第２の情報処理部１７の収容部分を含むセキュア領域と、第１の情報処理部１５の収容部分の少なくとも一部を含む非セキュア領域との筺体境界ＣＢを跨いで配置される。または、表面パネル３６は、筺体１９の操作表示面２１において、第１の情報処理部１５の収容部分の少なくとも一部を含む第１の筐体領域と、第２の情報処理部１７の収容部分を含む第２の筐体領域との筺体境界ＣＢを跨いで配置される。決済端末装置９３Ａの筐体１９において、第２のタッチパネル３５は、認証情報を入力する操作者から見て第１の情報処理部１５よりも手前に収容され、操作表示面２１の第１のタッチパネル３１よりも手前に設けられる。これらの点については第１の実施形態における決済端末装置１１と同様である。さらに、本第２の実施形態における決済端末装置９３Ａの表面パネル３６は、筺体１９の操作表示面２１において、セキュア状態表示部である非セキュアＬＥＤ９５Ａを跨いで配置される。すなわち非セキュアＬＥＤ９５Ａは、第１のユーザ・インタフェースおよび第２のユーザ・インタフェースとともに、一つの表面パネル３６で覆われる。

決済端末装置９３Ａは、近傍に配置した非セキュアＬＥＤ９５Ａの消灯状態を操作者に視認させることによって、第２のタッチパネル３５が認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、暗示的に示す。したがって操作者は、第２のタッチパネル３５が認証情報を入力するための安全性を保証する領域であることを認知し、認証情報の安全な入力をセキュアが保証された入力領域に対して確実に行うことができる。そして操作者は、第１のタッチパネル３１および第２のタッチパネル３５の表示内容を視認しながら、セキュアな第２のタッチパネル３５と、非セキュアな第１のタッチパネル３１との間をスムーズに行き来させることができる。すなわち操作者は、第１のタッチパネル３１と第２のタッチパネル３５との間を、その双方の間に設けられた溝、突起部または非セキュアＬＥＤ９５Ａに、指または入力用のスタイラスペンなどを引っ掛けることなく、スムーズに行き来させることができる。

図４（Ｃ）は、第２の実施形態の変形例に係る決済端末装置９３Ｂの正面図である。図６は、第２の実施形態の変形例に係る決済端末装置９３Ｂの決済処理時における動作手順を詳細に説明するフローチャートである。決済端末装置９３Ｂは、第２の情報処理部１７にインストールされた端末ＵＩ決済アプリケーション（図示略）を実行させて、決済処理の手続を開始する。図６の説明の前提として、決済端末装置９３Ｂは、非セキュアモードの状態とする。セキュアＬＥＤ９５Ｂは、消灯状態である。

本実施形態の決済端末装置９３Ｂは、例えば認証入力時に、第１の情報処理部１５がセキュアモードであることを示すセキュアＬＥＤ（セキュア状態表示部）９５Ｂを点灯させ、認証入力時以外では第１の情報処理部１５がセキュアモードであることを示すセキュアＬＥＤ９５Ｂを消灯させる。セキュアＬＥＤ９５Ｂは、第１のタッチパネル３１と第２のタッチパネル３５との間の操作表示面２１に配置される。

図６において、まず、オペレーティングシステム（図示略）は、第１の情報処理部１５が非セキュアモードの状態であることを示すために、セキュアフラグを「Ｆａｌｓｅ」に設定する（Ｓ１Ｂ）。セキュアフラグが「Ｆａｌｓｅ」に設定されると、第２のＣＰＵ７５は、セキュアＬＥＤ９５Ｂ、すなわち「ＳＥＣＵＲＥＤ」を消灯状態とする。図４（Ｃ）における「ＳＥＣＵＲＥＤ」（セキュアＬＥＤ９５Ｂ）は点灯状態を示しているが、ステップＳ１Ｂにおいて「ＳＥＣＵＲＥＤ」は消灯状態である。

例えば第１の情報処理部１５にインストールされた端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）は、決済金額情報及び支払方法の入力を受け付けると（Ｓ２）、カードの読取り操作を促すためのメッセージを第１のタッチパネル３１に表示させる（Ｓ３）。

ＩＣカード入出力ドライバ（図示略）は、ユーザのＩＣカードのスリットへのスライド、挿入口への挿入又は決済端末装置９３Ｂの前面２９への近接のいずれかの操作により、ＩＣカードを読み取るまで待機する（Ｓ４）。ＩＣカードが読み取られると（Ｓ４、ＹＥＳ）、オペレーティングシステム（図示略）は、第１の情報処理部１５がセキュアモードの状態に変更されたことを示すために、セキュアフラグを「Ｔｒｕｅ」に変更する（Ｓ５Ｂ）。セキュアフラグが「Ｔｒｕｅ」に変更されると、第２のＣＰＵ７５は、セキュアＬＥＤ９５Ｂ、すなわち「ＳＥＣＵＲＥＤ」を点灯させる（図４（Ｃ）参照）。

例えば第２の情報処理部１７にインストールされたセキュア画面ＵＩアプリケーション（具体的には、第２のＣＰＵ７５）は、第２のＩＦ部７３、第１のＩＦ部５９及び第１のＣＰＵ３７を介して、第１のタッチパネル３１に対し、ＰＩＮ情報の入力をユーザに対して促すためのメッセージと、ソフトウェアキーボードの一例としてのＰＩＮパッドとの表示を指示する（Ｓ６）。

第２のＣＰＵ７５は、第２のタッチ入力検出部７９を介して、第２のタッチパネル３５により入力されたＰＩＮ情報を入力する（Ｓ７）。

ＰＩＮ情報が第２のタッチ入力検出部７９に入力されると、オペレーティングシステムは、第１の情報処理部１５が非セキュアモードの状態に変更されたことを示すために、セキュアフラグを「Ｆａｌｓｅ」に変更する（Ｓ８Ｂ）。セキュアフラグが「Ｆａｌｓｅ」に変更されると、第２のＣＰＵ７５は、セキュアＬＥＤ９５Ｂ、すなわち「ＳＥＣＵＲＥＤ」を消灯させる。なお、セキュアＬＥＤ９５Ｂにおける「ＳＥＣＵＲＥＤ」の点灯および消灯は、セキュアな第２の情報処理部１７の第２のＣＰＵ７５、即ち、セキュアな実行環境の下で制御される。

第２の実施形態の変形例に係る決済端末装置９３Ｂの決済処理時におけるステップＳ９以降の動作手順については、第２の実施形態の決済端末装置９３Ａの決済処理時におけるステップＳ９以降の動作手順と同様である。

この決済端末装置９３Ｂでは、セキュアＬＥＤ９５Ｂによって、セキュア表示（「ＳＥＣＵＲＥＤ」）が点灯または消灯される。セキュアＬＥＤ９５Ｂは、耐タンパ性を有するセキュアモードであることを示すセキュア表示を行うセキュア状態表示部である。このセキュアＬＥＤ９５Ｂが、第１のタッチパネル３１と第２のタッチパネル３５との間の操作表示面２１に配置され、セキュアな第２のタッチパネル３５と共に、手前に互いに隣接してまとまった位置で設けられる。このように、決済端末装置９３Ｂは、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、近傍に配置したセキュアＬＥＤ９５Ｂを視認させることで、知らしめることができる。その結果、認証情報の安全な入力が可能となり、かつ入力された認証情報のセキュアな処理が実現する。

決済端末装置９３Ｂの筐体１９の操作表示面２１には、第１のユーザ・インタフェース、即ち第１のタッチパネル３１が配置される第１開口部と、第２のユーザ・インタフェース、即ち第２のタッチパネル３５が配置される第２開口部と、が形成される。そして、第１開口部と第２開口部とが形成された筐体１９の操作表示面２１は、光透過性を備えた一枚の表面パネル３６（光透過部材）によって覆われる。表面パネル３６は、筺体１９の操作表示面２１において、第２の情報処理部１７の収容部分を含むセキュア領域と、第１の情報処理部１５の収容部分の少なくとも一部を含む非セキュア領域との筺体境界ＣＢを跨いで配置される。または、表面パネル３６は、筺体１９の操作表示面２１において、第１の情報処理部１５の収容部分の少なくとも一部を含む第１の筐体領域と、第２の情報処理部１７の収容部分を含む第２の筐体領域との筺体境界ＣＢを跨いで配置される。決済端末装置９３Ｂの筐体１９において、第２のタッチパネル３５は、認証情報を入力する操作者から見て第１の情報処理部１５よりも手前に収容され、操作表示面２１の第１のタッチパネル３１よりも手前に設けられる。これらの点については第１の実施形態における決済端末装置１１と同様である。

さらに、本第２の実施形態の変形例における決済端末装置９３Ｂの表面パネル３６は、筺体１９の操作表示面２１において、さらにセキュアＬＥＤ９５Ｂを跨いで配置される。すなわちセキュアＬＥＤ９５Ｂは、第１のユーザ・インタフェースおよび第２のユーザ・インタフェースとともに、一つの表面パネル３６で覆われる。

決済端末装置９３Ｂは、近傍に配置したセキュアＬＥＤ９５Ｂの点灯状態を操作者に視認させることによって、第２のタッチパネル３５が認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、明示的に示す。したがって操作者は、第２のタッチパネル３５が認証情報を入力するための安全性を保証する領域であることを認知し、認証情報の安全な入力をセキュアが保証された入力領域に対して確実に行うことができる。そして操作者は、第１のタッチパネル３１および第２のタッチパネル３５の表示内容を視認しながら、セキュアな第２のタッチパネル３５と、非セキュアな第１のタッチパネル３１との間をスムーズに行き来させることができる。すなわち操作者は、第１のタッチパネル３１と第２のタッチパネル３５との間を、その双方の間に設けられた溝、突起部またはセキュアＬＥＤ９５Ｂに、指または入力用のスタイラスペンなどを引っ掛けることなく、スムーズに行き来させることができる。

さらに、図４（Ａ）の決済端末装置９３Ａまたは図４（Ｃ）の決済端末装置９３Ｂのいずれにおいても、第２のタッチパネル３５が設けられた筐体１９の第２の情報処理部１７側は、第１の情報処理部１５側とは異なる色（および表面処理）を有してもよい。具体的には、第１のタッチパネル３１と、非セキュアＬＥＤ９５Ａ（図４（Ａ））またはセキュアＬＥＤ９５Ｂ（図４（Ｂ））との間にある筺体境界ＣＢを境に、決済端末装置９３Ａまたは決済端末装置９３Ｂの筐体１９の色（および表面処理）が異なってよい。筐体１９の色または表面処理は、筐体１９の少なくとも一部において、第１の情報処理部１５と第２の情報処理部１７との境界を境に異なってもよい。例えば、操作表示面２１においては、第１の情報処理部１５と第２の情報処理部１７との境界を境に、第２の情報処理部１７と第１の情報処理部１５とは互いに異なる色または表面処理が施され、それ以外の部分（例えば背面）については同じ色または表面処理が施されてもよい。もしくは、セキュア専用の第２のタッチパネル３５における表示の背景色は、第１のタッチパネル３１における表示の背景色とは異なるものであってもよい。これらのことによっても、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを知らしめることができる。
（第３の実施形態）
図７（Ａ）は、第３の実施形態の決済端末装置９７の正面図である。図７（Ｂ）は、（Ａ）に示す決済端末装置９７の側面図である。本実施形態の決済端末装置９７は、第１のタッチパネル３１と第２のタッチパネル３５との間に、第１の情報処理部１５がセキュアモードであることを示すセキュア報知（例えば表示、点灯）を行うセキュア報知部の一例としてのセキュアＬＥＤ（セキュア状態表示部）９９が配置される。また、本実施形態の決済端末装置９７は、第１のタッチパネル３１を挟んでセキュアＬＥＤ９９の反対側に、第１の情報処理部１５が非セキュアモードであることを示す非セキュア報知（例えば表示、点灯）を行う非セキュア報知部の一例としての非セキュアＬＥＤ（セキュア状態表示部）１０１が配置される。そして表面パネル３６は、筺体１９の操作表示面２１において、セキュア報知部を跨いで配置される。

また、この決済端末装置９７は、第１のタッチパネル３１の第２のタッチパネル３５に近接する側の表示面上に、セキュア表示領域１０３が表示される。セキュア表示領域１０３には、例えば「暗証番号を入力して下さい。」等が表示される。第１のタッチパネル３１では、セキュア表示領域１０３以外の表示領域が、非セキュア表示領域１０５となる。非セキュア表示領域１０５は、セキュア表示領域１０３よりも広い面積が設定される。

図８は、表示を分割制御するハードウェア構成の一例を示すブロック図である。決済端末装置９７は、図３に示す第１の情報処理部１５に、第１のタッチ入力処理部１０７と、第１の表示生成部１０９とを更に含む構成であり、更に、図３に示す第２の情報処理部１７に、切替部１１１と、第２のタッチ入力処理部１１３と、第２の表示生成部１１５と、タッチ・表示切替制御部１１７とを更に含む構成である。

第１のタッチ入力処理部１０７は、第１のタッチパネル３１の非セキュア表示領域１０５で入力された第１のタッチ入力検出部４７の入力値を取得する。第１の表示生成部１０９は、第１のタッチ入力検出部４７で取得された入力値に基づき、第１のＣＰＵ３７によって非セキュア表示領域１０５での表示データ（例えば「購入金額合計」）を生成する。そして第１の表示生成部１０９は、第２のＣＰＵ７５によってセキュア表示領域１０３での表示データ（例えば「暗証番号を入力して下さい。」）を生成し、第１のタッチ入力検出部４７からＰＩＮを入力する。操作者がＰＩＮの入力を開始したら、決済端末装置９７は、ＰＩＮの入力状況を示すために、入力されたＰＩＮの数に応じた個数のアスタリスク（＊）などのマークを、第１のタッチパネル３１のセキュア表示領域１０３に表示してもよい。

切替部１１１は、タッチ・表示切替制御部１１７からの表示領域切替の指示に応じて、第１のタッチ入力検出部４７及び第１の表示部４５を、第１のタッチ入力処理部１０７及び第１の表示生成部１０９、又は、第２のタッチ入力処理部１１３及び第２の表示生成部１１５に切り替えて接続する。

第２のタッチ入力処理部１１３は、第１のタッチパネル３１のセキュア表示領域１０３で入力された第１のタッチ入力検出部４７の入力値を取得する。第２の表示生成部１１５は、第１のタッチ入力検出部４７で取得された入力値に基づき、第２のＣＰＵ７５によってセキュア表示領域１０３での表示データを生成する。

タッチ・表示切替制御部１１７は、第２のＣＰＵ７５からの指示によって切替部１１１に表示領域切替の指示を送る。これにより、第１のタッチパネル３１は、セキュアな第２の情報処理部１７におけるタッチ・表示切替制御部１１７によって表示制御権が常に握られる（プロンプトコントロールされる）。すなわち、決済端末装置９７は、セキュアな第２の情報処理部１７が、第１のタッチパネル３１への表示制御権を常に管理するように構成される。

再び図７（Ａ）において、決済端末装置９７の筐体１９の操作表示面２１には、第１のユーザ・インタフェース、即ち第１のタッチパネル３１が配置される第１開口部が形成される。そして操作表示面２１には、第２のユーザ・インタフェース、即ち第２のタッチパネル３５が配置される第２開口部、が形成される。第１開口部と第２開口部とが形成された筐体１９の操作表示面２１は、光透過性を備えた一枚の表面パネル３６（光透過部材）によって覆われる。表面パネル３６は、筺体１９の操作表示面２１において、第２の情報処理部１７の収容部分を含むセキュア領域と、第１の情報処理部１５の収容部分の少なくとも一部を含む非セキュア領域との筺体境界ＣＢを跨いで配置される。または、表面パネル３６は、筺体１９の操作表示面２１において、第１の情報処理部１５の収容部分の少なくとも一部を含む第１の筐体領域と、第２の情報処理部１７の収容部分を含む第２の筐体領域との筺体境界ＣＢを跨いで配置される。決済端末装置９７の筐体１９において、第２のタッチパネル３５は、認証情報を入力する操作者から見て第１の情報処理部１５よりも手前に収容され、操作表示面２１の第１のタッチパネル３１よりも手前に設けられる。これらの点については第１の実施形態における決済端末装置１１と同様である。

この決済端末装置９７では、第２の実施形態に係る決済端末装置９３Ｂにも設けられている非セキュアＬＥＤ１０１が、第１のタッチパネル３１を挟んでセキュアＬＥＤ９９の反対側に設けられる。非セキュアＬＥＤ１０１は、耐タンパ性を有しない非セキュアモードであることを示す非セキュア表示を行うセキュア状態表示部である。

決済端末装置９７は、この非セキュアＬＥＤ１０１の点灯状態を操作者に視認させることによって、第１のタッチパネル３１に対する認証情報（ＰＩＮ等）の入力についての安全性が非保証の領域であることを明示的に示す。操作者は、第１のタッチパネル３１に対する認証情報の入力についての安全性が非保証の領域であることを認知し、第１のタッチパネル３５に対する認証情報の入力を回避することができる。または、決済端末装置９７は、非セキュアＬＥＤ１０１の点灯状態を操作者に視認させることによって、非セキュアモードにおいては、認証情報（ＰＩＮ等）の入力についての安全性が非保証であることを、操作者に対して明示的に示す。操作者は、非セキュアモードにおいては、認証情報（ＰＩＮ等）の入力についての安全性が非保証であることを認知し、認証情報の入力を回避することができる。

そして、この決済端末装置９７には、第２の実施形態の変形例に係る決済端末装置９３Ｂと同様に、第２のタッチパネル３５とセキュアＬＥＤ９９が、互いに隣接してまとまった状態で手前の位置に設けられる。セキュアＬＥＤ９５Ｂは、耐タンパ性を有するセキュアモードであることを示すセキュア表示を行うセキュア状態表示部であり、第１のタッチパネル３１と第２のタッチパネル３５との間の操作表示面２１に配置される。本第３の実施形態における決済端末装置９７の表面パネル３６は、第２の実施形態の変形例における決済端末装置９３Ｂと同様に、筺体１９の操作表示面２１において、さらにセキュアＬＥＤ９５Ｂを跨いで配置される。すなわちセキュアＬＥＤ９５Ｂは、第１のタッチパネル３１および第２のタッチパネル３５とともに、一つの表面パネル３６で覆われる。

さらに決済端末装置９７には、第１のタッチパネル３１において第２のタッチパネル３５に近接する側に、セキュアモードにおいてセキュアな内容が表示されるセキュア表示領域１０３が設けられる。そして表面パネル３６は、第１のタッチパネル３１の表示面におけるセキュア表示領域１０３と非セキュア表示領域１０５（その他の表示領域）との表示境界を跨いで配置される。決済端末装置９７は、第１のタッチパネル３１のセキュア表示領域１０３において、操作者に対して認証情報（ＰＩＮ等）の入力を促す表示と、セキュアが保証された入力領域の位置を示す表示、とを操作者に視認させる。具体的にこのセキュア表示領域１０３には、例えば「暗証番号を入力して下さい。」等が表示される。決済端末装置９７は、非セキュアな第１のタッチパネル３１が備える広い表示面積の一部分をセキュアに使用することにより、第２のタッチパネル３５がセキュアモードであることを示す表示の視認性を高めることができる。したがって操作者は、第１のユーザ・インタフェースにおいて、セキュアが保証された表示領域を備える部分と、それ以外の領域との境界を認識しながら、指または入力用のスタイラスペンなどをそれら２つの領域の間でスムーズに行き来させることができる。

したがって操作者は、双方の表示内容を視認しながら、第１のタッチパネル３１と第２のタッチパネル３５の間に設けられた溝、突起部またはセキュアＬＥＤ９９に、指または入力用のスタイラスペンなどを引っ掛けることなく、スムーズに行き来させることができる。それとともに、この決済端末装置９７に対して、操作者またはセキュア入力／非セキュア入力の相違に応じて、快適な操作性が提供される。認証情報を入力する操作者は、第１のタッチパネル３１、特にセキュア表示領域１０３に表示される情報を、認証情報を入力する手などに遮られることなく確認しながら、認証情報を入力することができる。先ほども述べたように、セキュア表示領域１０３には、暗証番号や署名などの認証情報の入力を操作者に促す表示、入力されたＰＩＮの数に応じた個数のアスタリスク（＊）などの、ＰＩＮの入力状況を示すマークが表示される。操作者は、認証情報を入力する手などに遮られることなくこれらの表示を確認しながら、認証情報を入力することができる。

それに加えて、第２のタッチパネル３５とセキュアＬＥＤ９９が、第１のタッチパネル３１と非セキュアＬＥＤ１０１から位置的に分離される配置となることで、操作者は、セキュアであることが保証された入力領域であることを容易に認識でき、認証情報を安全に入力できる。すなわち操作者は、第２のタッチパネル３５が、セキュアを保証された入力領域であることを容易に認識できる。そして操作者は、第１のタッチパネル３１のうち表示境界ＤＢよりも第２のタッチパネル３５およびセキュアＬＥＤ９９に近い側の領域が、セキュアモードにおいてはセキュアを保証された表示領域であることを認識できる。

セキュア専用の第２のタッチパネル３５における表示の背景色は、第１のタッチパネル３１の非セキュア表示領域１０５における表示の背景色とは異なるものであってよい。第１のタッチパネル３１のセキュア表示領域１０３における表示の背景色と、セキュア専用の第２のタッチパネル３５における表示の背景色とは、同一色または同系色であってもよい。そして、第１のタッチパネル３１のセキュア表示領域１０３における表示の背景色は、第１のタッチパネル３１の非セキュア表示領域１０５における表示の背景色とは異なるものであってよい。決済端末装置９７は、第１のタッチパネル３１において、セキュアが保証された入力領域を備える部分と、それ以外の領域との境界を、操作者に対してさらに明示的に認識させることができる。

さらに、第１のタッチパネル３１の非セキュア表示領域１０５とセキュア表示領域１０３との間にある破線を境に、決済端末装置９７の筐体１９の色（および表面処理）が異なってよい。筐体１９の色または表面処理は、筐体１９の少なくとも一部において、第１の情報処理部１５と第２の情報処理部１７との境界を境に異なってもよい。例えば、操作表示面２１においては、第１の情報処理部１５と第２の情報処理部１７との境界を境に、第２の情報処理部１７と第１の情報処理部１５とは互いに異なる色または表面処理が施され、それ以外の部分（例えば背面）については同じ色または表面処理が施されてもよい。あるいは、操作表示面２１において、セキュア表示領域１０３と非セキュア表示領域１０５との表示境界ＤＢと、第１の情報処理部１５の収容部分の少なくとも一部を含む第１の筐体領域と、第２の情報処理部１７の収容部分を含む第２の筐体領域との筺体境界ＣＢとが、第１のタッチパネル３１と第２のタッチパネル３５との並び方向において、平行かつ異なる位置に配置されてもよい。そしてさらに、筺体境界ＣＢとは別に、第１のタッチパネル３１の非セキュア表示領域１０５とセキュア表示領域１０３との間にある表示境界ＤＢの延長線上にある筐体１９上の部位には、境界を示すための溝または線状の凸部が設けられてもよい。これらのことによっても、第１のタッチパネル３１のセキュア表示領域１０３および第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の表示または入力の安全性を保証する領域であることを知らしめることができる。

すなわち、第１のタッチパネル３１と第２のタッチパネル３５の間に一つのセキュア状態表示部（非セキュアＬＥＤまたはセキュアＬＥＤ９５、図４参照）が存在する配置に比べ、非セキュア、セキュアの区別がより明確となる。このように、決済端末装置９７は、操作者に対して認証情報の入力の安全性を保証する領域であることを知らしめ、入力された認証情報をセキュアに処理することができる。さらに、第１のタッチパネル３１の非セキュア表示領域１０５の広さを、第２のタッチパネル３５のセキュア表示領域１０３の広さ（長さ、幅）に比べて広く確保することにより、第１のタッチパネル３１において、アプリケーションからの表示の柔軟性、多様性を高めることができる。

決済端末装置９７は、第１のタッチパネル３１の第２のタッチパネル３５に近接する側に、切り替え表示領域１０３Ａを、先ほど述べたセキュア表示領域１０３の代わりに設けてもよい。切り替え表示領域１０３Ａは、セキュアモードにおいてセキュア内容が表示され、非セキュアモードにおいて非セキュア内容が表示される領域である。そして、非セキュア表示領域１０５には、上記と同様に、セキュアモードまたは非セキュアモードのいずれにおいても非セキュア内容が表示される。非セキュアモードにおいては、切り替え表示領域１０３Ａと非セキュア表示領域１０５とが併せて使用され、第１のタッチパネル３１が汎用アプリケーションにより最大限に使用される。したがって、決済端末装置９７における汎用アプリケーションの操作性および表示の視認性が向上する。そして、筺体１９におけるセキュア／非セキュアの境界と、第１のタッチパネル３１および第２のタッチパネル３５におけるセキュア表示／非セキュア表示の境界との間にあるセキュアレベル不定領域のセキュアレベルは、動作モードによって変化する。セキュアレベル不定領域は、本第３の実施形態において第１のタッチパネル３１の切り替え表示領域１０３Ａである。そのことを決済端末装置は、操作者に視認させることができる。

筐体１９の色または表面処理あるいはタッチパネルの背景表示色は、第１の情報処理部１５と第２の情報処理部１７との境界の他に、第１のタッチパネル３１の切り替え表示領域１０３Ａと非セキュア表示領域１０５との境界の延長上にある筐体１９上の境界を境に異なってもよい。決済端末装置９７は、セキュアモード／非セキュアモードのそれぞれにおいて、第１のタッチパネル３１のセキュア性が保証された領域を備える部分とそれ以外の領域との境界を、操作者に対してさらに明示的に認識させることができる。または、第１のタッチパネル３１の切り替え表示領域１０３Ａの背景表示色は、セキュアモードにおいては第２のタッチパネルと同様であり、非セキュアモードにおいては第１のタッチパネル３１の非セキュア表示領域１０５と同様であってもよい。操作者は、第１のタッチパネル３１の非セキュア表示領域１０５、切り替え表示領域１０３Ａ、第２の情報処理部１７に設けられた第２のタッチパネル３５の各セキュアレベルを、操作モードに応じて把握することができる。

以上、図７を用いて説明した第１のタッチパネル３１のセキュア性が保証された表示領域であるセキュア表示領域１０３または切り替え表示領域１０３Ａには、例えば図９に示すように、認証情報としての署名を入力するための署名欄が表示されてもよい。図９におけるセキュア表示領域１０３または切り替え表示領域１０３Ａは、表示だけでなく入力についても、セキュアモードにおいてセキュア性が保証された表示入力領域である。

図１０（Ａ）は、表示面上にセキュア状態表示領域１１９が表示される第３の実施形態の変形例に係る決済端末装置１２１の正面図である。図１０（Ｂ）は、図１０（Ａ）に示す決済端末装置１２１の側面図である。以下、第３の実施形態とは異なる部分を中心に説明する。その他の点については第３の実施形態と同様である。

決済端末装置１２１は、第１のタッチパネル３１の第２のタッチパネル３５に近接する側の表示面上に、セキュア表示領域１０３と、セキュアモードであることを示すセキュア表示（ＳＥＣＵＲＥＤ）又は非セキュアモードであることを示す非セキュア表示（ＮＯＮ ＳＥＣＵＲＥＤ）を切り替え表示するセキュア状態表示領域１１９と、を表示する。決済端末装置１２１は、セキュア状態表示領域１１９において、セキュアモードであることを示すセキュア表示（ＳＥＣＵＲＥＤ）が表示または非表示とするか、もしくは非セキュアモードであることを示す非セキュア表示（ＮＯＮ ＳＥＣＵＲＥＤ）を表示または非表示としてもよい。表面パネル３６は、第２のタッチパネル３５および第１のタッチパネル３１の表示面におけるセキュア表示領域１０３とその他の領域１０５との表示境界を跨いで配置される。

この決済端末装置１２１では、第１のタッチパネル３１の第２のタッチパネル３５側の表示面上に、セキュア表示領域１０３と、セキュア状態表示領域１１９と、が表示される。すなわち決済端末装置１２１は、第１のタッチパネル３１において、耐タンパ性を有するセキュアモードであることを示すセキュア表示と、耐タンパ性を有しない非セキュアモードであることを示す非セキュア表示の少なくともいずれかが表示されるセキュア状態表示領域１１９を、第２のタッチパネル３５に近接する側にあるセキュア表示領域１０３に表示する。具体的に、セキュア表示領域１０３には、例えば「暗証番号を入力して下さい。」などの、認証情報の入力を促す内容が表示される。セキュア状態表示領域１１９には、例えば「ＳＥＣＵＲＥＤ」が表示される。第２の情報処理部１７の第２のＣＰＵ７５は、第１のタッチパネル３１への表示制御権を常に握る（プロンプトコントロールする）ように構成される。

これにより、第１のタッチパネル３１の第２のタッチパネル３５に近接する側の表示面上で、セキュア又は非セキュアの表示が行われる。セキュアモード時のセキュア表示（ＳＥＣＵＲＥＤ）と、非セキュアモード時の非セキュア表示（ＮＯＮ ＳＥＣＵＲＥＤ）は、その少なくとも一方が必ず表示される。その結果、セキュア又は非セキュア専用の表示部（セキュアＬＥＤ９９、非セキュアＬＥＤ１０１）が不要となり、セキュア又は非セキュアを表示するための構造を簡素にすることができる。そして決済端末装置１２１は、第３の実施の形態における決済端末装置９７と比較して、同じ大きさの操作表示面２１であれば、第１のタッチパネル３１または第２のタッチパネル３５の画面サイズを大きくすることができる。したがって決済端末装置１２１は、さらに快適な操作性／視認性を備えることができる。セキュア表示と非セキュア表示とが同じ箇所で切り替えて表示されるので、操作者が決済端末装置１２１のセキュア状態を把握する際に、視線移動などの余計な時間が低減される。

決済端末装置１２１は、認証情報の入力を促す内容と、セキュア表示とを、第１のタッチパネル３１の表示面のうち、第２のタッチパネル３５に近接する側の一部の表示面上に、交互に行ってもよい。決済端末装置１２１は、認証情報の入力を促す内容と、セキュア表示と、をそれぞれ大きく表示することができ、操作者の決済時における視認性がさらに向上する。あるいは、決済端末装置１２１は、認証情報の入力を促す内容と、セキュア表示と、をそれぞれ少ない面積で表示することができ、操作者の操作性がさらに向上する。
（第４の実施形態）
図１１（Ａ）は、第３のユーザ・インタフェースが設けられる第４の実施形態の決済端末装置１２３の正面図である。図１１（Ｂ）は、図１１（Ａ）に示す決済端末装置１２３の側面図である。

決済端末装置１２３の筐体１９の操作表示面２１には、第１のユーザ・インタフェース、即ち第１のタッチパネル３１が配置される第１開口部と、第２のユーザ・インタフェース、即ち第２のタッチパネル３５が配置される第２開口部と、が形成される。そして、第１開口部と第２開口部とが形成された筐体１９の操作表示面２１は、光透過性を備えた一枚の表面パネル３６（光透過部材）によって覆われる。表面パネル３６は、筺体１９の操作表示面２１において、第２の情報処理部１７の収容部分を含むセキュア領域と、第１の情報処理部１５の収容部分の少なくとも一部を含む非セキュア領域との筺体境界ＣＢを跨いで配置される。または、表面パネル３６は、筺体１９の操作表示面２１において、第１の情報処理部１５の収容部分の少なくとも一部を含む第１の筐体領域と、第２の情報処理部１７の収容部分を含む第２の筐体領域との筺体境界ＣＢを跨いで配置される。決済端末装置９３Ｂの筐体１９において、第２のタッチパネル３５は、認証情報を入力する操作者から見て第１の情報処理部１５よりも手前に収容され、操作表示面２１の第１のタッチパネル３１よりも手前に設けられる。これらの点については第１の実施形態における決済端末装置１１、他と同様である。

本実施形態に係る決済端末装置１２３は、第１のタッチパネル３１と第２のタッチパネル３５との間に、セキュア表示領域１０３を有する第３の入力表示部である第３のタッチパネル１２５が配置される。そして、表面パネル３６はさらに、第３のタッチパネル１２５を跨いで配置される。第３のタッチパネル１２５は、第３の表示部１２７（図３参照）と、第３のタッチ入力検出部１２９とを含む構成である。第３の表示部１２７は、第３のタッチパネル１２５の表示を制御する機能を有する。第３のタッチ入力検出部１２９は、第３のタッチパネル１２５に対するタッチ入力を検出する機能を有する。

この決済端末装置１２３では、第２のタッチパネル３５と第３のタッチパネル１２５が、手前に互いに隣接してまとまった位置で設けられる。それら第２のタッチパネル３５と第３のタッチパネル１２５は、非セキュアな第１のタッチパネル３１から位置的に分離される配置となる。このように、決済端末装置１２３では、第２のタッチパネル３５と第３のユーザ・インタフェースが、グループ化されて、第１のタッチパネル３１から分離される。これにより、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、より明確に知らしめることができる。その結果、認証情報の安全な入力が可能となり、かつ入力された認証情報のセキュアな処理が実現する。また、非セキュア、セキュアの区別がより容易となることで、第１のタッチパネル３１の非セキュア表示領域１０５を、第２のタッチパネル３５のセキュア表示領域１０３の広さ（長さ、幅）に比べて広く確保することが可能となる。これにより、第１のタッチパネル３１において、アプリケーションからの表示の柔軟性、多様性を高めることができる。

さらに、第３のタッチパネル１２５における表示の背景色は、第１のタッチパネル３１における表示の背景色とは異なるものであってよい。そして、セキュア専用の第２のタッチパネル３５における表示の背景色も、第１のタッチパネル３１における表示の背景色とは異なるものであってよい。そしてさらに、第３のタッチパネル１２５における表示の背景色と、セキュア専用の第２のタッチパネル３５における表示の背景色とは、同一色または同系色であってもよい。そしてさらに、第１のタッチパネル３１と第３のタッチパネル１２５との間にある筺体境界ＣＢを境に、決済端末装置１２３の筐体１９の色（および表面処理）が異なってよい。筐体１９の色または表面処理は、筐体１９の少なくとも一部において、第１の情報処理部１５と第２の情報処理部１７との境界を境に異なってもよい。例えば、操作表示面２１においては、第１の情報処理部１５と第２の情報処理部１７との境界を境に、第２の情報処理部１７と第１の情報処理部１５とは互いに異なる色または表面処理が施され、それ以外の部分（例えば背面）については同じ色または表面処理が施されてもよい。そしてさらに、第１のタッチパネル３１と第３のタッチパネル１２５との間にある筺体境界ＣＢの延長線上にある筐体１９上の部位には、境界を示すための溝または線状の凸部が設けられてもよい。これらのことによっても、第２のタッチパネル３５および第３のタッチパネル１２５が、操作者に対して認証情報（ＰＩＮ等）の表示／入力の安全性を保証する領域であることを知らしめることができる。

またさらに、決済端末装置１２３は、第３のタッチパネル１２５をセキュア専用の表示領域とせず、セキュアモードにおいてセキュア内容が表示され、非セキュアモードにおいて非セキュア内容が表示される切り替え表示領域としてもよい。非セキュアモードにおいては、第１のタッチパネル３１と第３のタッチパネル１２５とが、汎用アプリケーションにより最大限に使用される。したがって、決済端末装置１２３における汎用アプリケーションの操作性および表示の視認性が向上する。そしてセキュアモードにおいては、第２のタッチパネル３５と第３のタッチパネル１２５とが併せて使用される。したがって、決済端末装置１２３における認証情報の入力において、その操作性および表示の視認性が向上する。さらに、筺体１９におけるセキュア／非セキュアの境界と、第３のタッチパネル１２５と非セキュア表示専用である第１のタッチパネル３１との境界との間にあるセキュアレベル不定領域のセキュアレベルは、動作モードによって変化する。セキュアレベル不定領域は、本第４の実施形態において第３のタッチパネル１２５である。そのことを決済端末装置は、操作者に視認させることができる。

筐体１９の色または表面処理あるいはタッチパネルの背景表示色は、第１の情報処理部１５と第２の情報処理部１７との境界（すなわち第１のタッチパネル３１と第３のタッチパネル１２５との間）の他に、第２のダッチパネル３５と第３のタッチパネル１２５との間を境に異なってもよい。または、第３のタッチパネル１２５の背景表示色は、セキュアモードにおいては第２のタッチパネルと同様であり、非セキュアモードにおいては第１のタッチパネル３１と同様であってもよい。決済端末装置１２３は、セキュアモード／非セキュアモードのそれぞれにおいて、セキュア性が保証された入力表示領域を備える部分とそれ以外の領域との境界を、操作者に対してさらに明示的に認識させることができる。操作者は、第１のタッチパネル３１の非セキュア表示領域１０５、切り替え表示領域である第３のタッチパネル１２５および第２の情報処理部１７に設けられた第２のタッチパネル３５の各セキュアレベルを、操作モードに応じて把握することができる。

さらに、第２のタッチパネル３５と第３のタッチパネル１２５との間に筺体境界を設け、その筺体境界を境に、決済端末装置１２３の筐体１９の色（および表面処理）が異なってよい。筐体１９の色または表面処理は、筐体１９の少なくとも一部において、第１の情報処理部１５と第２の情報処理部１７との境界を境に異なってもよい。例えば、操作表示面２１においては、第１の情報処理部１５と第２の情報処理部１７との境界を境に、第２の情報処理部１７と第１の情報処理部１５とは互いに異なる色または表面処理が施され、それ以外の部分（例えば背面）については同じ色または表面処理が施されてもよい。そしてさらに、第１のタッチパネル３１と第３のタッチパネル１２５との間に表示境界を設け、その表示境界の延長線上にある筐体１９上の部位には、筐体境界とは別に、表示境界を示すための溝または線状の凸部が設けられてもよい。これらのことによって、第３のタッチパネル１２５が、セキュアモードにおいては認証情報（ＰＩＮ等）の表示／入力の安全性を保証する領域であることを、操作者に対して知らしめることができる。

図１２（Ａ）は、セキュアＬＥＤ９９と非セキュアＬＥＤ１０１が設けられた第４の実施形態の変形例の決済端末装置１３１の正面図である。図１２（Ｂ）は、図１２（Ａ）に示す決済端末装置１３１の側面図である。以下、第４の実施形態とは異なる部分についてのみ説明する。その他の点については第４の実施形態と同様である。

本変形例の決済端末装置１３１は、第３のタッチパネル１２５に加えて、さらにセキュアＬＥＤ（セキュア状態表示部）９９と非セキュアＬＥＤ（セキュア状態表示部）１０１と、を備える。そして表面パネル３６は、筺体１９の操作表示面２１において、これらのセキュア状態表示部を跨いで配置される。

この決済端末装置１３１によれば、第２のタッチパネル３５とセキュアＬＥＤ９９が、手前に互いに隣接してまとまった位置で設けられる。第２のタッチパネル３５とセキュアＬＥＤ９９が、第１のタッチパネル３１と非セキュアＬＥＤ１０１から位置的に分離される配置となることで、操作者は、セキュアであることが保証された入力領域であることを容易に認識でき、認証情報を安全に入力できる。すなわち、非セキュア、セキュアの区別がより明確となる。

したがって操作者は、各タッチパネルの表示内容を視認しながら、第１のタッチパネル３１と第３のタッチパネル１２５の間に設けられた溝、突起部またはセキュアＬＥＤ９９に、指または入力用のスタイラスペンなどを引っ掛けることなく、スムーズに行き来させることができる。それとともにこの決済端末装置１３１によれば、操作者またはセキュア入力／非セキュア入力の相違に応じて、快適な操作性が提供される。認証情報を入力する操作者は、第１のタッチパネル３１および第３のタッチパネル１２５に表示される情報を、認証情報を入力する手などに遮られることなく確認しながら、認証情報を入力することができる。先ほども述べたように、第３のタッチパネル１２５には、暗証番号や署名などの認証情報の入力を操作者に促す表示、入力されたＰＩＮの数に応じた個数のアスタリスク（＊）などの、ＰＩＮの入力状況を示すマークが表示される。操作者は、認証情報を入力する手などに遮られることなくこれらの表示を確認しながら、認証情報を入力することができる。

それに加えて、第２のタッチパネル３５とセキュアＬＥＤ９９が、第１のタッチパネル３１と非セキュアＬＥＤ１０１から位置的に分離される配置となることで、操作者は、セキュアであることが保証された入力領域であることを容易に認識でき、認証情報を安全に入力できる。すなわち操作者は、第２のタッチパネル３５と、第３のタッチパネル１２５とが、少なくともセキュアモードにおいてはセキュアを保証された入力領域であることを容易に認識できる。

決済端末装置１２３または１３１は、セキュアＬＥＤ９９と非セキュアＬＥＤ１０１が設けられる代わりに、セキュア状態表示領域（すなわち「ＳＥＣＵＲＥＤ」「ＮＯＮ−ＳＥＣＵＲＥＤ」表示）が第３のタッチパネル１２５に表示される構成としてもよい。第３のタッチパネル１２５には、例えば「暗証番号を入力して下さい。」などの、認証情報の入力を促す内容も、セキュア状態表示とともに表示される。第２の情報処理部１７の第２のＣＰＵ７５は、第３のタッチパネル１２５への表示制御権を常に握る（プロンプトコントロールする）ように構成される。

これにより、第３のタッチパネル１２５において、セキュア又は非セキュアの表示が行われる。セキュアモード時のセキュア表示（ＳＥＣＵＲＥＤ）と、非セキュアモード時の非セキュア表示（ＮＯＮ ＳＥＣＵＲＥＤ）は、その少なくとも一方が必ず表示される。その結果、セキュア又は非セキュア専用の表示部（セキュアＬＥＤ９９、非セキュアＬＥＤ１０１）が不要となり、セキュア又は非セキュアを表示するための構造を簡素にすることができる。そして決済端末装置１２３または１３１は、同じ大きさの操作表示面２１であれば、第１のタッチパネル３１、第２のタッチパネル３５または第３のタッチパネル１２５のいずれかの画面サイズを大きくすることができる。したがって決済端末装置１２３または１３１は、さらに快適な操作性／視認性を備えることができる。セキュア表示と非セキュア表示とが同じ箇所で切り替えて表示されるので、操作者が決済端末装置１２３または１３１のセキュア状態を把握する際に、視線移動などの余計な時間が低減される。

決済端末装置１２３または１３１は、認証情報の入力を促す内容と、セキュア表示とを、第３のタッチパネル１２５に、交互に行ってもよい。決済端末装置１２３または１３１は、認証情報の入力を促す内容と、セキュア表示と、をそれぞれ大きく表示することができ、操作者の決済時における視認性がさらに向上する。あるいは、決済端末装置１２３または１３１は、認証情報の入力を促す内容と、セキュア表示と、をそれぞれ少ない面積で表示することができ、操作者の操作性がさらに向上する。

以上、図１１または図１２を用いて説明した第３のダッチパネル１２５には、例えば図１３に示すように、認証情報としての署名を入力するための署名欄が表示されてもよい。図１３における第３のダッチパネル１２５は、表示だけでなく入力についても、セキュアモードにおいてセキュア性が保証された表示入力領域である。
（第５の実施形態）
図１４は、第５の実施形態に係るサービス提供者１４０の操作状況を決済端末装置１４１の表面側から見た動作説明図である。図１５は、第５の実施形態に係るサービス提供者１４０が決済端末装置１４１の第１のユーザ・インタフェース（第１のタッチパネル３１）を挟んで第２のユーザ・インタフェース（第２のタッチパネル３５）とは反対側の筐体端部を持ち、サービス享受者１４２が第２のユーザ・インタフェース（第２のタッチパネル３５）を操作する状況を表す動作説明図である。

決済端末装置１４１は、携帯性を備える。入力キー７１が省かれている点を除けば、決済端末装置１４１は、第１の実施形態に係る決済端末装置１１と同様の構成を備える。決済端末１４１は、第２〜第４の実施形態に係る決済端末装置のいずれかの構成であってもよいし、それらを応用した構成であってもよい。

サービス提供者１４０は、例えば、決済処理において、認証情報（例えばＰＩＮ、署名）を入力する段階となるまで、図１４に示すように、第２のタッチパネル３５が第１のタッチパネル３１よりも手前側となる向きで決済端末装置１４１を持つ。また、サービス提供者１４０は、例えば、第１のタッチパネル３１が備える第１のタッチ入力検出部４７（図３参照）を用いて、商品情報、決済方法、支払金額、支払回数等を入力する。この段階では、例えば、磁気カードを磁気カードリーダ部２５に通し、又は、非接触型ＩＣカードを非接触型ＩＣカードリーダライタ部１３３に接続されるアンテナ１３５の直上にかざす。

決済処理におけるここまでの段階において、商品情報、決済方法、支払金額、支払回数等の入力／表示およびカードの読み取りを促す表示は、非セキュアな第１のタッチパネル３１を用いて行われる。カードの読み取りおよび商品情報、決済方法、支払金額、支払回数等の入力が終了すると、認証情報を入力するタイミングとなる。認証情報を入力するまでの段階においては、サービスの提供者１４０が決済端末装置１４１の操作者である。認証情報を入力する段階になると、決済を行う者、すなわちサービス享受者１４２が決済端末装置１４１の操作者となる。

認証情報を入力する段階では、サービス提供者１４０は、図１５に示すように、例えば第１のタッチパネル３１を挟んで第２のタッチパネル３５とは反対側の筐体端部を持って、決済端末装置１４１の第２のタッチパネル３５側をサービス享受者１４２側に向ける。決済端末装置１４１は、第２のタッチパネル３５が、サービス享受者１４２側から見て第１のタッチパネル３１よりも手前側になる。決済端末装置１４１の筐体１９において、第２のタッチパネル３５は、認証情報を入力する操作者、すなわちサービス享受者１４２から見て第１の情報処理部１５よりも手前に収容され、操作表示面２１の第１のタッチパネル３１よりも手前に設けられる。この構成により、ＰＩＮＰＡＤまたは署名欄などの認証情報の入力画面が表示される第２のタッチパネル３５が、認証情報を入力する操作者から見て、第１のタッチパネル３１より近い位置に配置される。したがってこの決済端末装置１４１によれば、操作者またはセキュア入力／非セキュア入力の相違に応じて、快適な操作性が提供される。サービス享受者１４２（認証情報を入力する操作者）は、第１のタッチパネル３１に表示される情報を、認証情報を入力する手などに遮られることなく確認しながら、認証情報を入力することができる。その段階では、認証情報の入力／表示のセキュア性が担保される。

それに加えて、サービス享受者１４２による認証情報の入力中においては、サービス提供者１４０が、決済端末装置１４１のセキュアな第２のタッチパネル３５とは反対側に位置する、非セキュアな第１のタッチパネル３１側の筐体端部を把持して、サービス享受者１４２の入力をサポートする。よって、サービス享受者１４２による認証情報の入力が安定して行われる。

さらに、サービス提供者１４０が操作する各種の業務アプリケーション・ソフトウェアは、汎用プラットフォームを用いた第１の情報処理部１５上で動作する。よって、決済端末装置１４１が新たに設計された端末装置に置き換えられる際には、それらのソフトウェア資産の流用が容易であり、開発工数が削減される。そして、汎用プラットフォームを用いた第１の情報処理部１５により制御される第１のタッチパネル３１（非セキュア表示領域）は、セキュアな表示を行う第２のタッチパネル３５（セキュア表示領域）よりも大きな表示面積を有する。したがって、汎用プラットフォーム上で動作する業務アプリケーション・ソフトウェアによる多様な表示形態に対応可能である。

決済端末装置１４１では、非接触型ＩＣカードリーダライタ部１３３が「セキュア」な第２の情報処理部１７に配置される。磁気カードリーダ部２５のカードスロット２７は、「セキュア」又は「非セキュア」な第１の情報処理部１５に配置される。決済端末装置１４１では、第１のタッチパネル３１を挟んで第２のタッチパネル３５とは反対側の筐体端部を持って、第２のタッチパネル３５をサービス享受者１４２側に向けた場合、第２のタッチパネル３５とは反対側の筐体端部を持つ親指１４３が指置面１４４に配置される。親指１４３が指置面１４４に収まる場合、親指１４３は、第１のタッチパネル３１にかからない。つまり、親指１４３が第１のタッチパネル３１をタッチしない。これにより、不用意に第１のタッチパネル３１に触れて誤操作することを抑制できる。

図１４および図１５には図示していないが、第２のタッチパネル３５が設けられた第２の情報処理部１７を含む第２のセキュア領域は、第１の情報処理部１５の少なくとも一部を含む第１の非セキュア領域とは異なる色（および表面処理）の筐体１９を備えてもよい。または、セキュア専用の第２のタッチパネル３５における表示の背景色は、第１の情報処理部１５に設けられた第１のタッチパネル３１における非セキュア領域の表示の背景色とは異なるものであってもよい。これらの点は、先の示した他の実施形態における図１、図２、図４、図７、図９、図１０または図１１についての説明と同様である。

このように、決済端末装置１１によれば、セキュリティを確保でき、サービス提供者１４０が持ち易くでき、サービス享受者１４２が決済操作し易くできる。

本発明に係る情報処理装置である決済端末装置は、操作者に把持される筐体に収容され、筐体の一面に第１のユーザ・インタフェースが設けられた第１の情報処理部と、筐体に収容され、筐体の一面にセキュアな操作が可能な耐タンパ性を有する第２のユーザ・インタフェースが設けられたセキュアな第２の情報処理部と、第１のユーザ・インタフェースの表面と前記第２のユーザ・インタフェースの表面とを覆って配置される一つの光透過部材と、を備える。

この決済端末装置によれば、その筺体は、第１のユーザ・インタフェースおよび第２のユーザ・インタフェースが設けられた面全体を覆って配置される一枚板の光透過部材により堅牢性（耐落下衝撃性）を備えることができる。そして決済端末装置は、操作者の指または入力用のスタイラスペンなどが、セキュアな第２のユーザ・インタフェースと、例えば非セキュアな第１のユーザ・インタフェースとの間を行き来する際のスムーズで快適な操作性を備えることができる。（上記第１および第２のユーザ・インタフェースは、例えばタッチパネルなどの入力部または表示部のいずれかを備えるものである。）さらには、セキュア部と非セキュア部とに物理的な連続性が生まれ、外観的にも一体感を有し、デザイン性に優れた情報処理装置（取引端末装置）が提供される。

また、決済端末装置は、光透過部材が、筺体の一面において、第２の情報処理部の収容部分を含むセキュア領域と、第１の情報処理部の収容部分の少なくとも一部を含む非セキュア領域との筺体境界を跨いで配置される。

この決済端末装置によれば、操作者は、筺体においてセキュアが保証された入力領域を備える部分と、それ以外の領域との境界を明示的に認識しながら、指または入力用のスタイラスペンなどをそれら２つの領域の間で行き来させることができる。

また、決済端末装置は、耐タンパ性を有するセキュアモードであることを示すセキュア表示と、耐タンパ性を有しない非セキュアモードであることを示す非セキュア表示の少なくともいずれかを行うセキュア状態表示部が、第１のユーザ・インタフェースと第２のユーザ・インタフェースとの間に配置され、光透過部材は、筺体の一面において、セキュア状態表示部を跨いで配置される。

この決済端末装置によれば、セキュア状態表示部が、セキュアな第２のユーザ・インタフェースと共に、手前に互いに隣接してまとまった位置で設けられ、第１のユーザ・インタフェースおよび第２のユーザ・インタフェースとともに、一つの光透過部材で覆われる。決済端末装置は、近傍に配置したセキュア状態表示部の点灯／非点灯状態を操作者に視認させることによって、第２のユーザ・インタフェースが認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、操作者に対して明示的または暗示的に示す。したがって操作者は、第２のユーザ・インタフェースが認証情報を入力するための安全性を保証する領域であることを明示的に認知し、セキュアが保証された第２のユーザ・インタフェースに対して認証情報の安全な入力を確実に行うことができる。さらに操作者は、指または入力用のスタイラスペンなどをセキュア状態表示部に引っ掛けることなく、セキュアな第２のユーザ・インタフェースと、例えば非セキュアな第１のユーザ・インタフェースとの間をスムーズに行き来させることができる。

また、決済端末装置は、第１のユーザ・インタフェースにおいて第２のユーザ・インタフェースに近接する側に、セキュアモードにおいてセキュアな表示が可能なセキュア表示領域が設けられ、光透過部材は、セキュア表示領域とその他の表示領域との境界を跨いで配置される。

この決済端末装置によれば、第２の情報処理部が第１のユーザ・インタフェースへの表示制御権を常に管理するように構成される。そして決済端末装置は、第１のユーザ・インタフェースのセキュア表示領域において、操作者に対して認証情報（ＰＩＮ等）の入力を促す表示と、セキュアが保証された入力領域の位置を示す表示と、を操作者に視認させる。したがって操作者は、第１のユーザ・インタフェースにおいて、セキュアが保証された入力領域を備える部分と、それ以外の領域との境界を認識しながら、指または入力用のスタイラスペンなどをそれら２つの領域の間でスムーズに行き来させることができる。

また、決済端末装置は、第１のユーザ・インタフェースのセキュア領域とその他の領域とが互いに異なる背景を表示する。

この情報処理装置によれば、第１のユーザ・インタフェースにおいて、セキュアが保証された領域を備える部分と、それ以外の領域との境界を、操作者に対してさらに明示的に認識させることができる。

また、決済端末装置は、第１のユーザ・インタフェースにおいて、セキュアモードにおいてセキュアな内容が表示され、非セキュアモードにおいて非セキュアな内容が表示される切り替え表示領域が、セキュアモードおよび非セキュアモードのいずれにおいても非セキュアな内容が表示される非セキュア表示領域に対して、第２のユーザ・インタフェースに近接する側に設けられる。

この決済端末装置によれば、第２の情報処理部が第１のユーザ・インタフェースへの表示制御権を常に管理するように構成される。そして決済端末装置は、第１のユーザ・インタフェースの切り替え表示領域が、セキュアモードにおいては認証情報（ＰＩＮ等）の入力を促す表示の安全性を保証する領域であることを操作者に視認させる。操作者は、セキュアモードにおいて、第１のユーザ・インタフェースの切り替え表示領域とそれ以外の領域との境界を認識しながら、指または入力用のスタイラスペンなどをそれら２つの領域の間でスムーズに行き来させることができる。そして操作者は、非セキュアモードにおける第１のユーザ・インタフェース全体が非セキュアな入力領域であることを認知する。非セキュアモードにおいて、操作者は、指または入力用のスタイラスペンなどを、セキュアな第２のユーザ・インタフェースと、例えば非セキュアな第１のユーザ・インタフェースとの間をスムーズに行き来させることができる。

また、本決済端末装置は、非セキュアモードにおいては切り替え表示領域と非セキュア表示領域とが同一の背景を表示し、セキュアモードにおいては切り替え表示領域と非セキュア表示領域とが互いに異なる背景を表示する。

この決済端末装置によれば、セキュアモード／非セキュアモードのそれぞれにおいて、第１のユーザ・インタフェースのセキュア性が保証された領域とそれ以外の領域との境界を、操作者に対してさらに明示的に認識させることができる。

また、決済端末装置は、光透過部材が、筺体の操作表示面において、第１の情報処理部の収容部分の少なくとも一部を含む第１の筐体領域と、第２の情報処理部の収容部分を含む第２の筐体領域との筺体境界を跨いで配置される。

この決済端末装置によれば、セキュア領域と非セキュア領域との筺体境界が、第１のユーザ・インタフェースおよび第２のユーザ・インタフェースとともに、一つの光透過部材で覆われる。筺体は、筺体境界を境に、例えば異なる色を有し、または異なる表面処理が施される。そして、筺体境界には、溝または凸部が設けられてもよい。光透過部材は、そのような溝または凸部を覆って配置される。決済端末装置は、第２のユーザ・インタフェースが、認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、近傍に配置した筺体境界を操作者に視認させることで、明示的に認知させることができる。操作者は、操作中において指または入力用のスタイラスペンなどを、筺体境界を跨いでセキュア表示領域と非セキュア表示領域との間を行き来させることができる。

また、決済端末装置は、第１のユーザ・インタフェースにおいて、耐タンパ性を有するセキュアモードであることを示すセキュア表示と、耐タンパ性を有しない非セキュアモードであることを示す非セキュア表示の少なくともいずれかが表示されるセキュア状態表示領域を、第２のユーザ・インタフェースに近接する側に備える。

この決済端末装置によれば、セキュアモードにおいて、第２のユーザ・インタフェースに対する認証情報の入力が安全であることを、操作者に対して、さらに明示的に認識させることができる。

また、決済端末装置は、第１のユーザ・インタフェースと第２のユーザ・インタフェースとの間に、セキュアな入力または表示が可能な第３のユーザ・インタフェースが配置され、光透過部材は、第３のユーザ・インタフェースを跨いで配置される。

この決済端末装置によれば、第２のユーザ・インタフェースと第３のユーザ・インタフェースとが、手前に互いに隣接してまとまった位置で設けられ、第３のユーザ・インタフェースが、第１のユーザ・インタフェースおよび第２のユーザ・インタフェースとともに、一つの光透過部材で覆われる。それら第２のユーザ・インタフェースと第３のユーザ・インタフェースとは、非セキュアな第１のユーザ・インタフェースから位置的に分離され、グループ化されて、第１のユーザ・インタフェースから分離される。したがって決済端末装置は、第２のユーザ・インタフェースが、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、より明確に知らしめることができる。そして操作者は、操作中において指または入力用のスタイラスペンなどを、第１のユーザ・インタフェース、第２のユーザ・インタフェースおよび第３のユーザ・インタフェースを跨いで、スムーズに行き来させることができる。

また、決済端末装置は、光透過部材が、筺体の操作表示面において、第１の情報処理部の収容部分の少なくとも一部を含む第１の筐体領域と、第２の情報処理部の収容部分を含む第２の筐体領域との筺体境界を跨いで配置され、第１のユーザ・インタフェースおよび第２のユーザ・インタフェースにおけるセキュア表示領域と非セキュア領域との表示境界と、第１の筐体領域と第２の筐体領域との筺体境界とが、少なくとも一部の動作モードにおいて、第１のユーザ・インタフェースと第２のユーザ・インタフェースとの並び方向の異なる位置に配置される。

この決済端末装置によれば、第２の情報処理部の収容部分を含むセキュア領域が常に、認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、操作者に視認させることができる。そして、筐体におけるセキュア／非セキュアの境界と、操作表示面におけるセキュア表示／非セキュア表示の境界との間にあるセキュアレベル不定領域のセキュアレベルは、動作モードによって変化する。そのことを決済端末装置は、操作者に視認させることができる。

以上、図面を参照して各種の実施形態について説明したが、本開示はかかる例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本開示の技術的範囲に属するものと了解される。

１１、９３、９７、１２１，１２３、１３１ 決済端末装置
１５ 第１の情報処理部
１７ 第２の情報処理部
１９ 筐体
２１ 操作表示面
２５ 磁気カードリーダ部
３１ 第１のタッチパネル（第１のユーザ・インタフェース）
３５ 第２のタッチパネル（第２のユーザ・インタフェース）
３６ 表面パネル（光透過部材）
９５Ａ、１０１ 非セキュアＬＥＤ（セキュア状態表示部）
９５Ｂ、９９ セキュアＬＥＤ（セキュア状態表示部）
１０３ セキュア表示領域
１０３Ａ 切り替え表示領域
１０５ 非セキュア表示領域（その他の表示領域）
１１９ セキュア状態表示領域（セキュア状態表示部）
１２５ 第３のタッチパネル（第３のユーザ・インタフェース）

Claims (11)

1. 操作者に把持される筐体に収容され、前記筐体の一面に決済に関する非セキュアな内容としての金額の表示及び操作入力を可能とする第１のユーザ・インタフェースが設けられた第１の情報処理部と、
   前記筐体に収容され、前記第１のユーザ・インタフェースが設けられた前記筐体の一面にセキュアな操作が可能な耐タンパ性を有する第２のユーザ・インタフェースが設けられたセキュアな第２の情報処理部と、
   前記第１のユーザ・インタフェースの表面と前記第２のユーザ・インタフェースの表面とを覆って配置される一つの光透過部材と、を備え、
   前記第１のユーザ・インタフェースは、少なくともその一部で前記決済に関する金額を表示し非セキュアな入力操作が可能な非セキュア操作領域を有し、
   前記光透過部材は、前記非セキュア操作領域と、少なくとも前記第２のユーザ・インタフェースを含み前記決済に用いられる認証情報の入力及び前記認証情報の入力を可能とする表示を行うセキュア操作領域と、の境界を跨いで配置される決済端末装置。
2. 請求項１に記載の決済端末装置であって、
   前記筐体に収容されカードに記憶された情報を読み取るカード読取部と、前記カードの前記カード読取部への挿入口と、をさらに備え、
   前記挿入口は、前記光透過部材の配置面と、前記光透過部材の配置面と対向して前記筐体に設けられる背面とを接続する側面に設けられる決済端末装置。
3. 請求項１に記載の決済端末装置であって、
   前記光透過部材は、前記筺体の一面において、前記第２の情報処理部の収容部分を含むセキュア領域と、前記第１の情報処理部の収容部分の少なくとも一部を含む非セキュア領域との筺体境界を跨いで配置される決済端末装置。
4. 請求項１に記載の決済端末装置であって、
   耐タンパ性を有するセキュアモードであることを示すセキュア表示と、耐タンパ性を有しない非セキュアモードであることを示す非セキュア表示の少なくともいずれかを行うセキュア状態表示部が、前記筺体の一面において、前記第１のユーザ・インタフェースと前記第２のユーザ・インタフェースとの間に配置され、
   前記光透過部材は、前記筺体の一面において、前記セキュア状態表示部を跨いで配置される決済端末装置。
5. 請求項４に記載の決済端末装置であって、
   前記第１のユーザ・インタフェースにおいて前記第２のユーザ・インタフェースに近接する側に、前記セキュアモードにおいてセキュアな表示が可能なセキュア表示領域が設けられ、
   前記光透過部材は、前記セキュア表示領域とその他の表示領域との境界を跨いで配置される決済端末装置。
6. 請求項５に記載の決済端末装置であって、
   前記第１のユーザ・インタフェースの前記セキュア表示領域とその他の領域とが互いに異なる背景を表示する決済端末装置。
7. 請求項４に記載の決済端末装置であって、
   前記第１のユーザ・インタフェースにおいて、前記セキュアモードにおいてセキュアな内容が表示され、前記非セキュアモードにおいて非セキュアな内容が表示される切り替え表示領域が、前記セキュアモードおよび前記非セキュアモードのいずれにおいても非セキュアな内容が表示される非セキュア表示領域に対して前記第２のユーザ・インタフェースに近接する側に設けられる、決済端末装置。
8. 請求項７に記載の決済端末装置であって、
   前記非セキュアモードにおいては前記切り替え表示領域と前記非セキュア表示領域とが同一の背景を表示し、前記セキュアモードにおいては前記切り替え表示領域と前記非セキュア表示領域とが互いに異なる背景を表示する決済端末装置。
9. 請求項１に記載の決済端末装置であって、
   前記第１のユーザ・インタフェースにおいて、
   耐タンパ性を有するセキュアモードであることを示すセキュア表示と、耐タンパ性を有しない非セキュアモードであることを示す非セキュア表示の少なくともいずれかが表示されるセキュア状態表示領域を、前記第２のユーザ・インタフェースに近接する側に備える決済端末装置。
10. 請求項１に記載の決済端末装置であって、
    前記第１のユーザ・インタフェースと前記第２のユーザ・インタフェースとの間に、セキュア内容が表示されるセキュア表示領域を有する第３の入力表示部が配置され、
    前記光透過部材は、前記第３の入力表示部を跨いで配置される決済端末装置。
11. 請求項１に記載の決済端末装置であって、
    前記光透過部材は、前記筺体の操作表示面において、前記第１の情報処理部の収容部分の少なくとも一部を含む第１の筐体領域と、前記第２の情報処理部の収容部分を含む第２の筐体領域との筺体境界を跨いで配置され、
    前記第１のユーザ・インタフェースおよび前記第２のユーザ・インタフェースにおけるセキュア表示領域と非セキュア表示領域との表示境界と、前記第１の筐体領域と前記第２の筐体領域との筺体境界とが、少なくとも一部の動作モードにおいて、前記第１のユーザ・インタフェースと前記第２のユーザ・インタフェースとの並び方向の異なる位置に配置される決済端末装置。

Images