JP5876334B2 - 電子マネーシステムおよび端末装置 - Google Patents

Description

本発明は、電子マネーシステムおよび端末装置に関する。

電子マネーは、現金を介さずに電子的に行われる決済手段であり、電子マネーカード等の決済媒体を電子マネーリーダライタにかざす（近付ける）ことで決済を行える手軽さから広く普及しつつある。プリペイド型の電子マネーでは、例えば、ＰＯＳ（Ｐｏｉｎｔ Ｏｆ Ｓａｌｅｓ）端末装置と電子マネーリーダライタとを組み合わせて構成される電子マネーチャージ機で、予め決済媒体にチャージしておいて決済に使用する。
このＰＯＳ端末装置と電子マネーリーダライタとの組み合わせで盗難に遭うなど、電子マネーチャージ機が盗難に遭った場合、不正な電子マネーチャージが半永久的に行われてしまうおそれがあった。

これに対して、特許文献１に記載の電子マネーチャージシステムは、インターネット等のネットワークを介して電子マネーチャージ機をセンターサーバに接続したシステムであって、電子マネーチャージ機を運用する際、例えば電子マネーチャージ機への電源投入時、又は定期的にセンターサーバとの認証を行い、当該認証を条件に機器の運用を可能とする。
これにより、窃盗等による盗難品を使用した電子マネーの不正書き込みを防止する、とされている。

特開２００５−１５７４９７号公報

しかしながら、特許文献１に記載の電子マネーチャージシステムでは、盗難に遭った電子マネーチャージ機が盗難前に接続されていたネットワークと同一のネットワークに接続された場合、不正な電子マネーチャージが半永久的に可能となってしまうおそれがある。

本発明は、このような事情を考慮してなされたものであり、その目的は、端末装置（電子マネーチャージ機）の安全性をより高めることのできる電子マネーシステム、端末装置およびサーバ装置を提供することにある。

この発明は上述した課題を解決するためになされたもので、本発明の一態様による電子マネーシステムは、サーバ装置と、プリペイド式電子マネーの決済媒体に対する処理を、前記サーバ装置とオンラインの状態で行う第１端末装置と、前記決済媒体に対する処理を、前記サーバ装置からオフラインの状態で行う第２端末装置とを具備し、前記第１端末装置は、プリペイド式電子マネーの決済媒体から、当該決済媒体にチャージを行った端末装置の識別情報を読み取る媒体データ取得部と、前記端末装置の識別情報が、使用停止対象の端末装置を示す不活性端末情報に含まれるか否かの判定を要求する不活性端末判定要求を、サーバ装置に送信する不活性端末判定要求送信部と、前記不活性端末判定要求に対する前記サーバ装置の判定結果を受信する判定結果受信部と、前記判定結果が、前記決済媒体にチャージを行った端末装置の識別情報が不活性端末情報に含まれることを示す場合、当該決済媒体にチャージを行った端末装置の識別情報を、使用停止対象の端末装置を示す識別情報として前記決済媒体に書き込む書込部と、を具備し、前記サーバ装置は、前記不活性端末情報を記憶する不活性端末情報記憶部と、前記不活性端末判定要求を受信する不活性端末判定要求受信部と、前記不活性端末判定要求送信部からの要求に応じて、前記決済媒体にチャージを行った端末装置の識別情報が前記不活性端末情報に含まれるか否かを判定する不活性端末判定部と、判定結果を送信する判定結果送信部と、を具備し、前記第２端末装置は、前記決済媒体が、使用停止対象の端末装置を示す識別情報を記憶しており、かつ、当該使用停止対象の端末装置を示す識別情報と、当該第２端末装置自らの識別情報とが一致すると判定すると、当該第２端末装置自らの機能を停止させる処理を行うロック処理部を具備することを特徴とする。

また、本発明の一態様による端末装置は、プリペイド式電子マネーの決済媒体から、当該決済媒体にチャージを行った端末装置の識別情報を読み取る媒体データ取得部と、前記端末装置の識別情報が、使用停止対象の端末装置を示す不活性端末情報に含まれるか否かの判定を要求する不活性端末判定要求を、サーバ装置に送信する不活性端末判定要求送信部と、前記不活性端末判定要求に対する前記サーバ装置の判定結果を受信する判定結果受信部と、前記判定結果が、前記端末装置の識別情報が不活性端末情報に含まれることを示す場合、前記決済媒体にチャージを行った端末装置の識別情報を、使用停止対象の端末装置を示す識別情報として前記決済媒体に書き込む書込部と、を具備することを特徴とする。

また、本発明の一態様による端末装置は、プリペイド式電子マネーの決済媒体に対する処理を行う端末装置であって、前記決済媒体が、使用停止対象の端末装置を示す識別情報を記憶しており、かつ、当該使用停止対象の端末装置を示す識別情報と、当該端末装置自らの識別情報とが一致すると判定すると、当該端末装置自らの機能を停止させる処理を行うロック処理部を具備することを特徴とする。

本発明によれば、端末装置（電子マネーチャージ機）の安全性をより高めることができる。

本発明の一実施形態における電子マネーシステムの機器構成を示す概略構成図である。 同実施形態における電子マネーシステムの機能構成を示す概略ブロック図である。 同実施形態における加盟店端末装置のハードウェア構成を示す概略構成図である。 同実施形態におけるＰＯＳ端末装置のソフトウェア構成を示す概略ブロック図である。 同実施形態において、加盟店端末装置が１日のうち初回のチャージを行う際の電子マネーシステムの動作の例を示すシーケンス図である。 同実施形態において、加盟店端末装置が１日のうち２回目以降のチャージを行って成功する場合の、電子マネーシステムの動作の例を示すシーケンス図である。 同実施形態において、加盟店端末装置がチャージ累積金額の上限金額超えにてチャージに失敗する場合の、電子マネーシステムの動作の例を示すシーケンス図である。 同実施形態において、前回の取引にて、不活性端末情報に登録されている加盟店端末装置による仮チャージを受けている決済媒体に対する支払処理を行った場合の電子マネーシステムの動作の例を示すシーケンス図である。 同実施形態において、電子マネーシステム１が扱うデータの例を示す説明図である。 同実施形態において、電子マネーシステム１が扱うデータの例を示す説明図である。 同実施形態において、決済媒体へのチャージを行う際に加盟店端末装置（ＯＣＸ処理部）が行う処理の手順を示すフローチャートである。 同実施形態において、決済媒体へのチャージにて端末認証要求を受信したサーバ装置が行う処理の手順を示すフローチャートである。 同実施形態において、決済媒体へのチャージにてチャージ結果通知ファイルを受信したサーバ装置が行う処理の手順を示すフローチャートである。 同実施形態において、電子マネーの支払処理を行う際に加盟店端末装置（ＯＣＸ処理部）が行う処理の手順を示すフローチャートである。 同実施形態において、不正利用情報に該当する加盟店端末装置の機能を停止させる際の電子マネーシステムの第１の動作例を示すシーケンス図である。 同実施形態において、不正利用情報に該当する加盟店端末装置の機能を停止させる際の電子マネーシステムの第２の動作例を示すシーケンス図である。 同実施形態において、決済媒体へのチャージ等の処理をオフラインの状態で受けた加盟店端末装置が行う処理の手順を示すフローチャートである。

以下、図面を参照して、本発明の実施の形態について説明する。
図１は、本発明の一実施形態における電子マネーシステムの機器構成を示す概略構成図である。同図において、電子マネーシステム１は、サーバ装置１００と、ＰＯＳ（Ｐｏｉｎｔ Ｏｆ Ｓａｌｅｓ）端末装置２００と、電子マネーリーダライタ（本発明における、媒体データ取得部、書込部）３００とを具備する。また、電子マネーリーダライタ３００は、ＰＯＳ端末装置２００に接続されている。また、サーバ装置１００とＰＯＳ端末装置２００とは、ネットワーク９１０に接続されている。また、サーバ装置１００はネットワーク９２０に接続され、ネットワーク９２０には事業者が所有する端末装置あるいはサーバ装置（以下、「事業者端末装置」と称する）８００が接続されている。

電子マネーシステム１は、プリペイド式の電子マネーシステムであり、決済媒体に対する電子マネーのチャージ（電子マネーチャージ）や、電子マネーの支払（決済）処理を行う。
ここで、決済媒体とは、カード決済のための各種情報（カード識別情報やチャージ残額情報など）を記憶して、電子マネーシステム１によるチャージや支払の処理を受ける媒体である。例えば、決済媒体は、電子マネーカードであってもよいし、電子マネー機能を有する携帯電話端末（携帯電話機やスマートフォン）であってもよい。

ネットワーク９１０および９２０は、いずれも通信ネットワークである。ネットワーク９１０は、例えばＶＰＮ（Ｖｉｒｔｉａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）などセキュアなネットワークであり、サーバ装置１００とＰＯＳ端末装置２００との通信を媒介する。ネットワーク９２０は、例えば電子マネーシステム１専用の通信ネットワークであり、サーバ装置１００と事業者端末装置８００との通信を媒介する。

ただし、本発明は、ネットワーク９１０および９２０の形態に依存しない。従って、ネットワーク９１０や９２０として、様々な通信ネットワークを用いることができる。

ＰＯＳ端末装置２００と電子マネーリーダライタ３００とは、いずれも電子マネーの加盟店（以下、単に「加盟店」と称する）の店舗に設けられており、ＰＯＳ端末装置２００と電子マネーリーダライタ３００とで加盟店端末装置４００を構成する。この加盟店端末装置４００は、本発明における端末装置、第１端末装置および第２端末装置の一例に該当する。

電子マネーリーダライタ３００は、当該電子マネーリーダライタ３００に接近している（かざされている）決済媒体と通信を行って、当該決済媒体からのデータの読出や、当該決済媒体へのデータの書込を行う。特に、電子マネーリーダライタ３００は、当該決済媒体から、当該決済媒体にチャージを行った加盟店端末装置４００の識別情報（より具体的には、電子マネーリーダライタ３００の識別情報）を読み取る。後述するように、この加盟店端末装置４００の識別情報は、当該加盟店端末装置４００の認証に用いられる。

ここで、加盟店端末装置４００の認証とは、認証対象となっている加盟店端末装置４００が、使用停止対象の端末装置として登録されているか否かを判定する処理である。例えば、盗難に遭った加盟店端末装置４００など不正使用されるおそれのある加盟店端末装置４００が、使用停止対象の端末装置として登録されている。そして、加盟店端末装置４００の認証では、認証対象の加盟店端末装置４００が、使用停止対象の端末装置として登録されているか否かを、サーバ装置１００（不活性端末判定部１２１）が判定する。

なお、以下では、使用停止対象の端末装置を「不活性端末」と称する。また、加盟店端末装置４００の認証を「端末認証」または「不活性端末判定」と称し、当該認証の要求を、「端末認証要求」または「不活性端末判定要求」と称する。
また、以下では、電子マネーリーダライタ３００に接近している決済媒体を、「処理対象の決済媒体」と称する。

また、電子マネーリーダライタ３００は、サーバ装置１００における不活性端末判定の結果が、処理対象の決済媒体にチャージを行った加盟店端末装置４００の識別情報が不活性端末情報に含まれないことを示す場合、当該決済媒体に対して行われたチャージが正当（正規チャージ）であることを示す情報を当該決済媒体に登録する。ここで、決済媒体に対するチャージには仮チャージと正規チャージとがあり、仮チャージされている電子マネーは正規チャージに更新しないと支払に用いることができない。電子マネーリーダライタ３００は、サーバ装置１００からの判定結果に基づいて、仮チャージの電子マネーを正規チャージに更新する処理を行う。更新処理の具体例については後述する。

また、電子マネーリーダライタ３００は、サーバ装置１００（不活性端末判定部１２１）において、処理対象の決済媒体にチャージを行った加盟店端末装置４００の識別情報が不活性端末情報に含まれる判定結果となった場合、当該決済媒体にチャージを行った加盟店端末装置４００の識別情報を、使用停止対象の端末装置を示す識別情報として決済媒体に書き込む。後述するように、当該識別情報は、主制御部２２２がロック処理を行うか否かを判定する際に用いられる。

ＰＯＳ端末装置２００は、電子マネーリーダライタ３００を制御して決済媒体に対するチャージや支払の処理を行う。より具体的には、ＰＯＳ端末装置２００は、電子マネーのチャージを指示するユーザ操作を受け付ける（検出する）と、処理対象の決済媒体が記憶している利用可能残高を増額させるチャージ処理を行う。また、ＰＯＳ端末装置２００は、電子マネーの支払を指示するユーザ操作を受け付けると、処理対象の決済媒体が記憶している利用可能残高を減額させる支払処理を行う。

このチャージ処理や支払処理に際して、ＰＯＳ端末装置２００は、サーバ装置１００に対して、ＰＯＳ端末装置２００自らの構成する加盟店端末装置４００の端末認証要求や、処理対象の決済媒体にチャージを行った加盟店端末装置４００の端末認証要求を行い、認証結果に基づいてチャージ処理や支払処理の可否を判定する。

サーバ装置１００は、例えば、加盟店と電子マネー事業者とを中継する中継センターに設けられたコンピュータである。このサーバ装置１００は、加盟店に設けられた加盟店端末装置４００からの要求に応じて加盟店端末装置４００の認証を行う。また、サーバ装置１００は、加盟店端末装置４００が行ったチャージ処理や支払処理などの明細情報を集計して、電子マネー事業者側に設けられた事業者端末装置８００に送信する。

事業者端末装置８００は、例えば、電子マネー事業者が所有する端末装置あるいはサーバ装置である。この事業者端末装置８００は、サーバ装置１００から送信される、加盟店端末装置４００が行ったチャージ処理や支払処理などの明細情報の集計や、各加盟店との精算処理を行う。また、事業者端末装置８００は、ある加盟店端末装置４００の使用停止設定を要求するユーザ操作を受けると、サーバ装置１００に対して、当該加盟店端末装置４００を使用停止対象の端末装置として登録するよう要求する。サーバ装置１００は、当該要求に応じて登録を行い、以後の加盟店端末装置４００の認証に際して、当該加盟店端末装置４００を使用停止対象の端末装置として扱う。

図２は、電子マネーシステム１の機能構成を示す概略ブロック図である。同図において、電子マネーシステム１は、サーバ装置１００と、ＰＯＳ端末装置２００と、電子マネーリーダライタ（本発明における媒体データ取得部、書込部）３００とを具備する。サーバ装置１００は、通信部（本発明における、不活性端末判定要求受信部、判定結果送信部）１１０と、制御部１２０と、データベース部１３０とを具備する。制御部１２０は、不活性端末判定部１２１を具備する。データベース部１３０は、チャージ結果通知ＤＢ（Ｄａｔａｂａｓｅ、データベース）１３１と、不活性端末情報ＤＢ（本発明における不活性端末情報記憶部）１３２と、電子マネーチャージ明細ＤＢ１３３とを具備する。ＰＯＳ端末装置２００は、ＰＯＳアプリケーション処理部２１０と、ＯＣＸ（ＯＬＥ（Ｏｂｊｅｃｔ Ｌｉｎｋｉｎｇ Ａｎｄ Ｅｍｂｅｄｄｉｎｇ） Ｃｕｓｔｏｍ Ｃｏｎｔｒｏｌ）処理部２２０と、記憶部２３０とを具備する。ＯＣＸ処理部２２０は、通信処理部（本発明における、不活性端末判定要求送信部、判定結果受信部）２２１と、主制御部（本発明における、利用停止処理部、ロック処理部）２２２と、累積金額判定部２２４と、回数判定部２２５と、前回状況判定部２２６とを具備する。

また、電子マネーリーダライタ３００は、ＰＯＳ端末装置２００に接続されている。また、サーバ装置１００とＰＯＳ端末装置２００とは、ネットワーク９１０に接続されている。また、サーバ装置１００はネットワーク９２０に接続され、ネットワーク９２０には事業者端末装置８００が接続されている。
同図において、図１の各部と同一の部分には同一の符号（１、１００、２００、３００、８００、９１０、９２０）を付して説明を省略する。

サーバ装置１００において、通信部１１０は、ネットワーク９１０に接続してＰＯＳ端末装置２００と通信を行う。
この通信部１１０は、本発明における不活性端末判定要求受信部の一例であり、ＰＯＳ端末装置２００からの不活性端末判定要求（端末認証要求）を受信して不活性端末判定部１２１に出力する。また、通信部１１０は、本発明における判定結果送信部の一例であり、不活性端末判定要求に対する不活性端末判定部１２１の判定結果（認証結果）を送信する。

また、通信部１１０は、加盟店端末装置４００が上限金額超え（所定期間内にチャージを行った累積金額が所定の上限金額を超えたこと）を検知してサーバ装置１００に上限金額超えの通知を送信すると、上限金額超えを検出したことを示す電子メール（警告メール）を、予め設定されている宛先に送信する。例えば、通信部１１０は、電子マネー事業者のメールアドレスに当該電子メールを送信する。

ここで、加盟店端末装置４００のチャージの累積金額の上限金額は、店舗における通常のチャージでは超えない金額に設定されており、かかる上限金額を超えた場合、不正チャージの可能性が高い。そこで、上限金額を超えた場合に通信部１１０が電子メールを送信することで、電子マネーシステム１の関係者に対して注意喚起することができる。

また、通信部１１０は、処理対象の決済媒体にチャージを行った加盟店端末装置４００の識別情報が不活性端末情報に含まれていると不活性端末判定部１２１が判定すると、使用停止対象の端末装置によるチャージを検出したことを示す電子メールを、予め設定されている宛先に送信する。

ここで、不活性端末情報とは、使用停止の対象となっている端末装置を示す情報である。具体的には、不活性端末情報は、使用停止の対象となっている端末装置の識別情報のリストを含む。
この使用停止の対象となっている端末装置によるチャージは、不正チャージであると考えられる。そこで、不活性端末判定部１２１が、チャージ前の端末認証（不活性端末判定）において、かかる使用停止の対象となっている端末装置によるチャージが行われようとしていることを検出した際に、通信部１１０が電子メールを送信することで、電子マネーシステム１の関係者に対して注意喚起することができる。

また、通信部１１０は、本発明における不活性端末登録要求取得部の一例であり、不活性端末情報への加盟店端末装置４００の登録要求（以下、「不活性端末登録要求」と称する）を取得して、不活性端末情報ＤＢ１３２に出力する。なお、不活性端末情報への加盟店端末装置４００の登録とは、不活性端末情報に、当該加盟店端末装置４００の識別情報、すなわち電子マネーリーダライタ３００の識別情報を含めることである。

制御部１２０は、サーバ装置１００の具備するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置）が、サーバ装置１００の具備する記憶デバイスからプログラムを読み出して実行することで実現され、サーバ装置１００の各部を制御して各種処理を実行する。
不活性端末判定部１２１は、ＰＯＳ端末装置２００（通信処理部２２１）からの端末認証要求に応じて、認証対象の加盟店端末装置４００に対する端末認証を行う（すなわち、当該加盟店端末装置４００の識別情報が不活性端末情報に含まれるか否かを判定する）。

データベース部１３０は、加盟店端末装置４００からのチャージ結果通知や、不活性端末情報や、電子マネーチャージの明細等の記憶および管理を行う。ここでいうデータベースは、データを記憶（格納）し、管理（例えば、検索や読出や削除）するシステムである。
データベース部１３０は、例えば、サーバ装置１００の具備するＣＰＵが、サーバ装置１００の具備する記憶デバイスからデータベースソフトウェアを読み出して実行することで実現される。そして、データベース部１３０は、当該記憶デバイスの記憶領域を用いて、データの記憶や管理を行う。
ただし、本発明はデータベース部１３０の実現形態に依存しない。例えば、データベース部１３０が、外付け（制御部１２０と別の筐体）のデータベースマシンにて実現されていてもよい。

チャージ結果通知ＤＢ１３１は、加盟店端末装置４００が電子マネーのチャージを行った際に送信するチャージ結果通知の記憶および管理を行う。このチャージ結果通知にはエラーコードが含まれており、当該エラーコードに基づいて、不活性端末情報ＤＢ１３２が不活性端末情報の更新を行う。
電子マネーチャージ明細ＤＢ１３３は、加盟店端末装置４００が締め処理を行った際に送信する電子マネーチャージ明細の記憶および管理を行う。電子マネーチャージ明細ＤＢ１３３が記憶する電子マネーチャージ明細は、電子マネー事業者が指定したフォーマットに変換されて事業者端末装置８００に送信される。

不活性端末情報ＤＢ１３２は、不活性端末情報の記憶および管理を行う。特に、不活性端末情報ＤＢ１３２は、加盟店端末装置４００からのチャージ結果通知や、通信部１１０が取得（受信）した不活性端末登録要求に基づいて、不活性端末情報への当該加盟店端末装置４００の登録を行う。

具体的には、まず、不活性端末情報ＤＢ１３２は、加盟店端末装置４００が上限金額超え（所定期間内にチャージを行った累積金額が所定の上限金額を超えたこと）を検知してサーバ装置１００に上限金額超えの通知を送信すると、当該加盟店端末装置４００の識別情報を不活性端末情報に含める（すなわち、当該加盟店端末装置４００を不活性端末情報に登録する）。上述したように、チャージの累積金額が上限金額を超えた場合、不正チャージの可能性が高い。そこで、上限金額を超えた場合に不活性端末情報ＤＢ１３２が当該加盟店端末装置４００を不活性端末情報に登録する（すなわち、使用停止の対象とする）ことで、以後の不正チャージや、後述するように、不正チャージされた電子マネーの使用を阻止し得る。

また、不活性端末情報ＤＢ１３２は、加盟店端末装置４００が所定期間内にチャージを行った回数が所定の上限回数を超えていると当該加盟店端末装置４００（回数判定部２２５）が判定すると、当該加盟店端末装置４００の識別情報を不活性端末情報に含める。

ここで、加盟店端末装置４００のチャージの上限回数は、店舗における通常のチャージでは超えない回数に設定されており、かかる上限回数を超えた場合、不正チャージの可能性が高い。そこで、上限回数を超えた場合に不活性端末情報ＤＢ１３２が当該加盟店端末装置４００を不活性端末情報に登録する（すなわち、使用停止の対象とする）ことで、以後の不正チャージや、後述するように、不正チャージされた電子マネーの使用を阻止し得る。

また、不活性端末情報ＤＢ１３２は、通信部１１０が取得した、不活性端末登録要求の示す加盟店端末装置４００の識別情報を不活性端末情報に含める。例えば、ある加盟店が、加盟店端末装置４００（ＰＯＳ端末装置２００および電子マネーリーダライタ３００）の盗難に遭った場合、当該加盟店が電子マネー業者に連絡し、電子マネー業者の操作を受けた事業者端末装置８００が、不活性端末登録要求を送信する。そして、不活性端末情報ＤＢ１３２は、当該登録要求に基づいて、不活性端末情報への当該加盟店端末装置４００の登録を行う。不活性端末情報ＤＢ１３２が当該登録を行うことで、盗難に遭った加盟店端末装置４００からのアクセスがあった場合などに、この加盟店端末装置４００の使用を停止させ得る。

ＰＯＳ端末装置２００において、ＰＯＳアプリケーション処理部２１０は、ＰＯＳ端末としての各種機能を実行する。特に、ＰＯＳ端末装置２００は、キャッシュレジスターとして支払金額（代金ないし料金）を計算し、支払方法の選択を受け付ける。支払方法として電子マネーが選択された場合、ＰＯＳ端末装置２００は、支払金額をＯＣＸ処理部２２０に出力して、電子マネーでの支払（決済）処理を行わせる。
また、ＰＯＳ端末装置２００は、電子マネーチャージ機としてチャージ金額の入力を受け付ける。そして、ＰＯＳ端末装置２００は、入力された支払金額をＯＣＸ処理部２２０に出力して、チャージ処理を行わせる。

ＯＣＸ処理部２２０は、ＰＯＳ端末装置２００の通信ドライバとしてサーバ装置１００と通信を行うと共に、電子マネーのチャージ処理や支払処理を実行する。ＯＣＸ処理部２２０は、例えば、ＰＯＳ端末装置２００の具備するＣＰＵが組み込みソフトウェアを実行することで実現される。特に、ＯＣＸ処理部２２０が記憶する、ＰＯＳ端末装置２００の識別情報や、当該チャージの累積金額の上限金額や、当該チャージの上限回数は、変更不可能に組み込まれている。

通信処理部２２１は、ネットワーク９１０を介してサーバ装置１００と通信を行う。特に、通信処理部２２１は、本発明における不活性端末判定要求送信部の一例であり、不活性端末判定要求をサーバ装置１００に送信する。例えば、通信処理部２２１は、電子マネーリーダライタ３００が、電子マネーリーダライタ３００にかざされた決済媒体に対して行われたチャージの正当性確認が必要であることを示す情報を当該決済媒体から読み取ると、当該決済媒体にチャージを行った加盟店端末装置４００の識別情報が前記不活性端末情報に含まれるか否かの判定（すなわち、当該加盟店端末装置４００の端末認証）を要求する不活性端末判定要求（端末認証要求）を送信する。
また、通信処理部２２１は、本発明における判定結果受信部の一例であり、不活性端末判定要求に対するサーバ装置１００の判定結果を受信する。

主制御部２２２は、ＯＣＸ処理部２２０の各部を制御して各種機能を実行させる。特に、主制御部２２２は、各種通知や各種要求などのデータを生成し、通信処理部２２１に、サーバ装置１００へ送信させる。例えば、主制御部２２２は、チャージ処理の完了時にチャージ結果通知ファイルを生成して記憶部２３０に記憶させ（書き込み）、通信処理部２２１に、当該ファイルをサーバ装置１００へ送信させる。

また、主制御部２２２は、本発明におけるロック処理部の一例であり、処理対象の決済媒体が、使用停止対象の加盟店端末装置４００を示す識別情報を記憶しており、かつ、当該使用停止対象の加盟店端末装置４００を示す識別情報と、主制御部２２２自らを具備する加盟店端末装置４００の識別情報とが一致すると判定すると、当該主制御部２２２自らを具備する加盟店端末装置４００の機能を停止させる処理（ロック処理）を行う。

このように、主制御部２２２が、決済媒体の記憶する情報に基づいて加盟店端末装置４００の機能を停止させることで、後述するように加盟店端末装置４００がオフラインで処理を行う場合でも、当該加盟店端末装置４００が使用停止対象となっていることを検出して、以後の処理（特にチャージ処理）を行えなくすることができる。従って、加盟店端末装置４００の安全性をより高めることができる。
主制御部２２２が行うロック処理の具体例については後述する。

また、主制御部２２２は、所定の事象（不正なチャージと考えられる事象）が検出された場合に、処理対象の決済媒体の利用を停止させる。
例えば、主制御部２２２は、処理対象の決済媒体にチャージを行った加盟店端末装置４００が不活性端末情報に登録されている場合、当該処理対象の決済媒体の利用を停止させる。すなわち、主制御部２２２は、処理対象の決済媒体の不活性端末判定要求に対するサーバ装置１００の判定結果が、当該加盟店端末装置４００の識別情報が不活性端末情報に含まれることを示す場合、処理対象の決済媒体の利用を停止させる。

また、主制御部２２２は、主制御部２２２自らを具備する加盟店端末装置４００が所定期間内にチャージを行った累積金額が所定の上限金額を超えていると当該加盟店端末装置４００（累積金額判定部２２４）が判定すると、処理対象の決済媒体の利用を停止させる。
また、主制御部２２２は、主制御部２２２自らを具備する加盟店端末装置４００が前回のチャージ結果を送信していないと前回状況判定部２２６が判定すると、処理対象の決済媒体の利用を停止させる。具体的には、主制御部２２２は、当該決済媒体に対して実行中のチャージ処理ないし支払処理を停止させる（失敗させる）。

累積金額判定部２２４は、累積金額判定部２２４自らを具備する加盟店端末装置４００が所定期間内にチャージを行った累積金額が所定の上限金額を超えているか否かを判定する。
回数判定部２２５は、回数判定部２２５自らを具備する加盟店端末装置４００が所定期間内にチャージを行った回数が所定の上限回数を超えているか否かを判定する。

前回状況判定部２２６は、前回状況判定部２２６自らを具備する加盟店端末装置４００が前回のチャージ結果を送信済みか否かを判定する。上記のように、加盟店端末装置４００が前回のチャージ結果を送信していないと前回状況判定部２２６が判定すると、利用停止処理部２２３が、処理対象の決済媒体の利用を停止させる。具体的には、前回状況判定部２２６は、記憶部２３０がチャージ結果通知ファイルを記憶しているか否かを判定する。このチャージ結果通知ファイルは、チャージ処理が完了する毎に、主制御部２２２が生成して記憶部２３０に一時保存しておき、通信処理部２２１が、サーバ装置１００に送信するファイルである。通信処理部２２１と通信部１１０との通信が切断された場合など通信処理部２２１がサーバ装置１００への送信に失敗した場合、当該ファイルは記憶部２３０に留まる。そこで、前回状況判定部２２６は、記憶部２３０が当該ファイルを記憶しているか否かを判定する。

ここで、不正処理防止のため、加盟店端末装置４００は、常にオンライン（サーバ装置１００と通信可能な状態）にて動作するように設定されている。これに対して、加盟店端末装置４００が前回のチャージ結果を送信していない場合、サーバ装置１００が不正処理を検出することを防止するために、処理の途中で通信が切断された可能性がある。そこで、加盟店端末装置４００が前回のチャージ結果を送信するまで利用停止処理部２２３が処理を停止させることで、オフラインでの連続した処理を防止することができる。そして、加盟店端末装置４００がオンラインで動作することで、サーバ装置１００が、加盟店端末装置４００の端末認証など加盟店端末装置４００のチェックを行うことができる。

記憶部２３０は、ＰＯＳ端末装置２００が具備する記憶デバイスにて実現され、各種データを記憶する。特に、記憶部２３０は、後述するチャージ金額累積ファイルを保存（記憶）し、また、主制御部２２２が生成したチャージ結果通知ファイルを一時保存する。

なお、電子マネーシステム１が具備する加盟店端末装置４００の数は、図２に示す２つに限らず、１つであってもよいし、３つ以上であってもよい。例えば、加盟店の数が３つ以上であってもよいし、１つの加盟店に複数の加盟店端末装置４００が設置されていてもよい。
また、電子マネーシステム１が具備する事業者端末装置８００の数は、図２に示す１つに限らず、２つ以上であってもよい。例えば、電子マネー事業者の数が２つ以上であってもよいし、１つの電子マネー事業者が複数の事業者端末装置８００を備えていていもよい。

図３は、加盟店端末装置４００のハードウェア構成を示す概略ブロック図である。同図において、加盟店端末装置４００は、ＰＯＳ端末装置２００と、電子マネーリーダライタ３００とを具備する。ＰＯＳ端末装置２００は、ＣＰＵ２６１と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２６２と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２６３と、記憶装置２６４と、入力装置２６５と、表示装置２６６と、対サーバ装置インタフェース（Ｉｎｔｅｒｆａｃｅ；Ｉ／Ｆ）回路２６７と、対リーダライタインタフェース回路２６８とを具備する。電子マネーリーダライタ３００は、ＣＰＵ３６１と、メモリ３６２と、インタフェース回路３６３と、暗号モジュール３６４と、ユーザインタフェース装置３６５と、非接触ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ、集積回路）処理回路３６６と、アンテナ３６７とを具備する。
なお、図２を参照して説明したＰＯＳアプリケーション処理部やＯＣＸ処理部は、図３における記憶装置２６４に記憶されているプログラム等をＣＰＵ２６１が読み出し、ＲＡＭ１６３との間で処理を実行することで実現されている。
また、同図において、図２の各部と同一の部分には同一の符号（１、２００、３００）を付して説明を省略する。

記憶装置２６４は、例えばハードディスクドライブを具備し、ＣＰＵ３６１が実行するプログラムなど各種データを記憶する。
ＲＡＭ２６３は、半導体メモリを具備して、記憶装置２６４よりも容量が小さいがデータアクセス速度の速い記憶領域を実現する。このＲＡＭ２６３は、例えばＣＰＵ３６１がプログラムを実行する際に記憶装置２６４から読み出されたプログラムを記憶するなど、ＣＰＵ３６１のワーキングメモリとして機能する。

ＲＯＭ２６２は、例えば加盟店端末装置４００のブート情報等を記憶している。また、このＲＯＭ２６２をフラッシュＲＯＭなどデータ更新（上書き）不可能な部品で構成することにより、例えばＰＯＳ端末装置２００の識別情報や、チャージの累積金額の上限金額や、当該チャージの上限回数などの各種情報を変更不可能に記憶することが可能である。
これらＲＯＭ２６２とＲＡＭ２６３と記憶装置２６４とで、記憶部２３０（図２）を実現する。

ＣＰＵ２６１は、記憶装置２６４の記憶するプログラムを（上述したようにＲＡＭ２６３から）読み出して実行することで、ＰＯＳアプリケーション処理部２１０やＯＣＸ処理部２２０における各機能など、ＰＯＳ端末装置２００における各機能を実現する。
表示装置２６６は、例えば液晶パネルなどの表示画面を具備し、ＰＯＳ端末装置２００のレジスタ機能における金額表示など各種表示を行う。

入力装置２６５は、例えば金額入力用や操作指示用の押ボタンや、表示装置２６６の表示画面に設置されたタッチパネル（タッチセンサ）を具備してユーザ操作を受け付ける。
対サーバ装置インタフェース回路２６７は、ネットワーク９１０（図２）に対する通信インタフェース回路である。対サーバ装置インタフェース回路２６７は、ＣＰＵ２６１が出力する送信データを例えばインターネットプロトコルに応じた送信信号に変換してネットワーク９１０に送信し、また、自らを具備するＰＯＳ端末装置２００宛の信号をネットワーク９１０から受信してデータを抽出し、抽出したデータをＣＰＵ２６１に出力する。

対リーダライタインタフェース回路２６８は、電子マネーリーダライタ３００（インタフェース回路３６３）との通信を行うための通信インタフェース回路である。対リーダライタインタフェース回路２６８として、例えばＲＳ４２２、またはＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）などのシリアルインタフェースを用いることができる。但し、本発明は、ＰＯＳ端末装置２００と電子マネーリーダライタ３００との通信方式に依存しない。例えば、ＰＯＳ端末装置２００と電子マネーリーダライタ３００とがＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を介して通信を行うようにしてもよい。この場合、対リーダライタインタフェース回路２６８は、ＬＡＮインタフェース回路として構成される。

メモリ３６２は、例えばＲＡＭやＲＯＭを有し、ＣＰＵ３６１が実行するプログラムなど各種データを記憶する。
ＣＰＵ３６１は、メモリ３６２が記憶するプログラムを読み出して実行することで、電子マネーリーダライタ３００と、電子マネーリーダライタ３００にかざされた決済媒体との通信を制御する。

インタフェース回路３６３は、対リーダライタインタフェース回路２６８と通信を行う通信インタフェースである。
暗号モジュール３６４は、決済媒体との暗号通信のためのセキュリティ情報を内蔵して、送信データの暗号化や受信データの復号を行う。なお、暗号モジュール３６４は、セキュリティボックスのようにハードウェアにて実現されていてもよいし、暗号ドライバのようにソフトウェアにて実現されていてもよい。

ユーザインタフェース装置３６５は、例えば決済媒体を電子マネーリーダライタ３００にかざすように促すための発光など、ユーザへの通知を行う。
アンテナ３６７は、決済媒体と無線通信を行うためのアンテナである。
非接触ＩＣ処理回路３６６は、アンテナ３６７を介して決済媒体と無線通信を行って、データの読出や書込を行う。
なお、ＰＯＳ端末装置２００に代えて電子マネーリーダライタ３００が対サーバ装置インタフェース回路を備えてサーバ装置１００と通信を行うようにしてもよい。

図４は、ＰＯＳ端末装置２００のソフトウェアの階層構造の概念を示す概略ブロック図である。同図において、ＰＯＳ端末装置２００（ＣＰＵ２６１（図３））が実行するソフトウェアは、ＰＯＳアプリケーションソフトウェア２８１と、ＰＯＳコントロール２８２と、オペレーティングシステム（Ｏｐｅｒａｔａｉｎｇ Ｓｙｓｔｅｍ；ＯＳ）２８４と、インタフェースソフトウェア２８５とを含む。ＰＯＳコントロール２８２は、通信用ドライバ２８３を含む。

ＰＯＳアプリケーションソフトウェア２８１は、ＰＯＳアプリケーション処理部２１０（図２）を実現するためのソフトウェアである。
ＰＯＳコントロール２８２は、ＯＣＸ処理部２２０を実現するためのソフトウェアである。ＰＯＳコントロール２８２において、ＯＣＸがオペレーティングシステム２８４とのインタフェースとなり、ＰＯＳ用ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍ Ｉｎｔｅｒｆａｃｅ）として処理（ＯＳからの指示）を受け付ける。

通信用ドライバ２８３は、サーバ装置１００との通信のためのドライバであり、通信処理部２２１を実現する。なお、通信用ドライバ２８３は、ＰＯＳコントロール２８２と別に構成されていてもよい。例えば、通信用ドライバ２８３が、オペレーティングシステム２８４に組み込まれていてもよい。また、上述したように、決済媒体との通信のためのセキュリティ機能もソフトウェアにて実現されていてもよい。例えば、ＰＯＳコントロール２８２がセキュリティ機能用のドライバを含むようにしてもよい。あるいは、ＰＯＳコントロール２８２から独立したアプリケーションソフトウェアにてセキュリティ機能を実現するようにしてもよい。

オペレーティングシステム２８３は、各ソフトウェアのスケジューリングなど、ソフトウェアの管理を行う。
インタフェースソフトウェア２８４は、対サーバ装置インタフェース回路２６７（図３）や、対リーダライタインタフェース回路２６８を制御するためのソフトウェアである。
上述したように、これらのソフトウェアは、記憶装置２６４に記録されており、起動時にＲＡＭ２６３に読み込まれて動作する。

次に、図５〜図１４を参照して、電子マネーシステム１の動作および通信メッセージの例について説明する。
図５は、加盟店端末装置４００が１日のうち初回のチャージを行う際の電子マネーシステム１の動作の例を示すシーケンス図である。同図の例では、店舗Ａに設置された加盟店端末装置４００がチャージを行っている。

同図の例において、まず、ＰＯＳアプリケーション処理部２１０が、１万５千円の電子マネーチャージを指示するユーザ操作（例えば、レジ係の操作、あるいは顧客の入金操作）を受けて、１万５千円の電子マネーチャージ指示をＯＣＸ処理部２２０に出力する（シーケンスＳ１０１）。

指示を受けたＯＣＸ処理部２２０では、前回状況判定部２２６が、加盟店端末装置４００が前回のチャージ結果を送信済みか否かを判定する（シーケンスＳ１０２）。図５の例では、記憶部２３０はチャージ結果通知ファイルを記憶しておらず、前回状況判定部２２６は、加盟店端末装置４００が前回のチャージ結果を送信済みであると判定している。

次に、主制御部２２２は、通信処理部２２１を介して電子マネーリーダライタ３００に、処理対象の決済媒体から、当該決済媒体に対して前回行われた取引（チャージまたは支払）の情報を読み出すよう要求する（シーケンスＳ１０３）。
そして、電子マネーリーダライタ３００は、処理対象の決済媒体から当該情報を読み出してＰＯＳ端末装置２００に送信し、通信処理部２２１が当該情報を受信して主制御部２２２に出力する（シーケンスＳ１０４）。

次に、主制御部２２２が、端末認証要求を生成して通信処理部２２１に出力し、通信処理部２２１は、当該端末認証要求をサーバ装置１００へ送信する（シーケンスＳ１０５）。
図９および図１０は、電子マネーシステム１が扱うデータの例を示す説明図である。図９（Ａ）は、ＰＯＳ端末装置２００（通信処理部２２１）が送信する端末認証要求の例を示す。同図（Ａ）において、端末認証要求は、電文種別欄と、端末年月日時分秒欄と、端末ローカルＩＤ（Ｉｄｅｎｔｉｆｉｅｒ、識別情報）欄と、前回取引情報として、仮チャージフラグ欄と、利用年月日時分秒欄と、端末ローカルＩＤ欄と、カード番号欄と、チャージ金額欄とを有する。

電文種別欄は、通信データの種別を示す情報を格納する欄であり、図９（Ａ）の例では、端末認証（端末認証要求およびそれに対する結果通知）を示す値「２３０１０００１」が格納されている。
端末年月日時分秒欄は、当該データの送信日時情報（主制御部２２２が当該データを生成した日時の情報）を格納する欄であり、図９（Ａ）の例では、２０１１年１１月２２日１６時２３分５９秒を示す値が格納されている。

端末ローカルＩＤ欄は、当該データを送信した加盟店端末装置４００（今現在、処理対象の決済媒体と取引を実施しようとしている加盟店端末装置４００）の識別情報を格納する欄であり、図９（Ａ）の例では、店舗Ａに設置された電子マネーリーダライタ３００の識別情報（識別番号）「０５２０８０１８」が格納されている。
前回取引情報の各欄には、この加盟店端末装置４００（電子マネーリーダライタ３００）が、処理対象の決済媒体から読み出した情報が格納されている。
ここで、前回取引情報とは、当該処理対象の決済媒体を用いて前回実施された取引に関する情報であり、前回取引を行った加盟店端末装置４００が、当該処理対象の決済媒体に対して書き込んだ取引履歴情報に含まれる情報である。

前回取引情報における仮チャージフラグ欄は、処理対象の決済媒体が前回受けた処理が仮チャージか否かを示す仮チャージフラグを格納する欄である。仮チャージフラグの値「１」は、仮チャージであることを示し、値「０」は、仮チャージでない（当該決済媒体に対して行われたチャージが、正規チャージとなっている）ことを示す。

ここで、仮チャージとは、チャージされた電子マネーを支払に用いるためには、サーバ装置１００の正規チャージ判定（チャージの正当性確認）を受けて正規チャージに更新する必要のあるチャージである。本実施形態では、加盟店端末装置４００は常に仮チャージにてチャージを行い、支払処理の際にサーバ装置１００の正規チャージ判定を受ける。サーバ装置１００は、正規チャージ判定として、仮チャージを行った加盟店端末装置４００の端末認証を行う。

このように、加盟店端末装置４００が仮チャージを行って、支払の際に正規チャージ判定を受けることで、不正チャージが行われた場合でも、支払の段階で使用を停止して被害を防止し得る。
なお、本発明は、仮チャージか否かを示す情報の形式に依存しない。従って、仮チャージフラグに換えて、仮チャージと正規チャージとを区別可能な様々な形式の情報を用いることができる。

利用年月日時分秒欄は、前回の取引（図９（Ａ）の例では仮チャージ）が行われた日時情報を格納する欄であり、図９（Ａ）の例では、２０１１年１１月１５日２１時５６分２２秒を示す値が格納されている。
（前回取引情報の）端末ローカルＩＤ欄は、前回の取引処理を行った加盟店端末装置４００の識別情報を格納する欄であり、図９（Ａ）の例では、店舗Ｂに設置された電子マネーリーダライタ３００の識別情報（識別番号）「０５２０８０２２」が格納されている。

カード番号欄は、処理対象の決済媒体の識別情報であるカード番号を格納する欄であり、図９（Ａ）の例では、当該カード番号「４５６８５６１２３２１６１１２２」が格納されている。
チャージ金額欄は、前回の取引処理においてチャージされた金額を格納する欄であり、図９（Ａ）の例では、当該金額「１５０００」（円）が格納されている。

特に、加盟店端末装置４００が、自らの識別情報を端末認証要求に含めて送信することで、サーバ装置１００は、当該加盟店端末装置４００の端末認証（当該加盟店端末装置４００が使用停止対象の端末装置として不活性端末情報に登録されているか否かの判定）を行うことができる。また、加盟店端末装置４００が、仮チャージを行った加盟店端末装置４００の識別情報を端末認証要求に含めて送信することで、サーバ装置１００は、当該仮チャージを行った加盟店端末装置４００の端末認証を行うことができる。

図５の例では、通信部１１０が端末認証要求を受信して不活性端末判定部１２１に出力し、不活性端末判定部１２１は、当該端末認証要求から、要求元の加盟店端末装置４００の識別情報と、仮チャージを行った加盟店端末装置４００の識別情報とを読み出して、不活性端末情報ＤＢ１３２に出力する。そして、不活性端末情報ＤＢ１３２は、それぞれの識別情報について、不活性端末情報に含まれるか否かデータ検索を行い、検索結果を不活性端末判定部１２１に出力する。

図９（Ｂ）は、不活性端末情報ＤＢ１３２が記憶する不活性端末情報の例を示す。同図（Ｂ）において、不活性端末情報は、センター登録年月日時分秒欄と、端末ローカルＩＤ欄と、電子マネー端末ＩＤ欄と、登録理由欄とを有する。また、不活性端末情報の各行が、１つの加盟店端末装置４００についての情報を示している。

センター登録年月日時分秒欄は、不活性端末情報への登録日時を示す情報を格納する欄である。例えば、不活性端末情報ＤＢ１３２は、不活性端末登録要求の受信日時情報をセンター登録年月日時分秒欄に書き込む。あるいは、不活性端末登録要求に含まれる送信日時情報をセンター登録年月日時分秒欄に書き込むなど、不活性端末情報ＤＢ１３２が、受信日時情報以外の情報を書き込むようにしてもよい。

端末ローカルＩＤ欄は、不活性端末情報に登録された加盟店端末装置４００の識別情報（すなわち、使用停止の対象となっている加盟店端末装置４００が具備する電子マネーリーダライタ３００の識別情報）を格納する欄である。不活性端末情報ＤＢ１３２は、端末認証の際、認証対象の加盟店端末装置４００の識別情報と、端末ローカルＩＤ欄に格納されている識別情報のいずれかとが一致するか否かを判定する。

電子マネー端末ＩＤ欄は、電子マネー業者が設定している、加盟店端末装置４００（電子マネーリーダライタ３００）の識別情報を格納する欄である。
登録理由欄は、加盟店端末装置４００が不活性端末情報に登録された理由を示すコードを格納する欄である。登録理由「Ｅ９９」は、チャージ金額累積値が上限金額を超えたことによる登録を示している。また、登録理由「Ａ０１」は、事業者端末装置８００からの登録要求に基づく登録を示している。いずれの登録理由も、加盟店端末装置４００の使用停止理由に該当し、不活性端末情報ＤＢ１３２は、端末認証の際、認証対象の加盟店端末装置４００の識別情報と、端末ローカルＩＤ欄に格納されている識別情報のいずれかとが一致することを検出すると、端末認証失敗（登録あり）と判定する。

図５の例では、端末認証要求を送信した加盟店端末装置４００、仮チャージを行った加盟店端末装置４００のいずれも不活性端末情報に登録されていない。そこで、不活性端末判定部１２１は、通信部１１０を介して端末認証要求元の加盟店端末装置４００（加盟店Ａの加盟店端末装置４００）に、端末認証成功を示す結果通知を送信（回答）している（シーケンスＳ１０６）。

図９（Ｃ）は、サーバ装置１００（通信部１１０）が送信する端末認証の結果通知の例を示す。同図（Ｃ）において、端末認証の結果通知は、電文種別欄と、センター処理年月日時分秒欄と、端末ローカルＩＤ欄と、エラーコード欄とを有する。
電文種別欄には、端末認証要求（図９（Ａ））の場合と同様、端末認証を示す値「２３０１０００１」が格納されている。

センター処理年月日時分秒欄は、当該結果通知の送信日時情報（不活性端末判定部１２１が当該結果通知を生成した日時を示す情報）を格納する欄であり、図９（Ｃ）の例では、２０１１年１１月２２日１６時２４分３２秒を示す値が格納されている。
端末ローカルＩＤ欄は、端末認証要求の送信元の加盟店端末装置４００の識別情報を格納する欄であり、図９（Ｃ）の例では、店舗Ａに設置された電子マネーリーダライタ３００の識別情報（識別番号）「０５２０８０１８」が格納されている。

エラーコード欄は、端末認証の結果を示すコードを格納する欄であり、図９（Ｃ）の例では、認証対象の加盟店端末装置４００が不活性端末情報に登録されていたことを示す値（コード）「Ｅ９９」が格納されている。以下では、この値「Ｅ９９」のように、決済媒体に対する処理続行禁止を示す結果通知を「拒否応答」と称し、処理続行許可を示す結果通知を「正常応答」と称する。正常応答のエラーコード欄には、認証対象の加盟店端末装置４００が不活性端末情報に登録されていなかったことを示す値（例えば、「Ｒ００」）が格納されている。

通信処理部２２１が正常応答を受信すると、主制御部２２２が、チャージ金額累積ファイルを生成して記憶部２３０に記憶させる（シーケンスＳ１０７）。
ここで、主制御部２２２は、チャージ金額累積ファイルとして空ファイルを生成し、ファイル名にチャージの累積金額（初回チャージの場合は、当該チャージにおけるチャージ金額）を含める。さらに、主制御部２２２は、チャージ金額累積ファイル偽造防止のため、当該チャージ金額累積ファイルの生成年月日情報をファイル名に含め、ファイル名を暗号化する。そして、主制御部２２２は、このファイル名の空ファイルを、チャージ金額累積ファイルとして記憶部２３０に記憶させる。

ただし、本発明は、チャージ金額累積ファイルの形式に依存せず、チャージの累積金額を示す様々な形式のチャージ金額累積ファイルを用いることができる。例えば、主制御部２２２が、チャージ金額累積ファイルの内容に、チャージの累積金額とファイル生成年月日とを含むデータを暗号化したデータを含めるようにしてもよい。

次に、主制御部２２２は、決済媒体の利用可能残高をチャージ金額の１万５千円分増加させる仮チャージ実行指示を生成し、通信処理部２２１を介して電子マネーリーダライタ３００に送信する（シーケンスＳ１０８）。
当該指示を受信した電子マネーリーダライタ３００は、処理対象の決済媒体の利用可能残高を１万５千円増額させる仮チャージ処理を行い、仮チャージ完了通知をＰＯＳ端末装置２００に送信する（シーケンスＳ１０９）。仮チャージ処理において、電子マネーリーダライタ３００は、主制御部２２２からの仮チャージ実行指示に従って、利用可能残高を更新すると共に、取引履歴を当該決済媒体に書き込む。

図１０（Ａ）は、電子マネーリーダライタ３００が決済媒体に書き込む取引履歴情報の例を示す。同図（Ａ）において、取引履歴情報は、取引年月日時分秒欄と、端末ローカルＩＤ欄と、カード番号欄と、残高欄と、利用／チャージ金額欄と、取引種別欄と、仮チャージフラグ欄と、伝票番号欄と、取引通番欄とを有する。

取引年月日時分秒欄は、当該取引（チャージ処理又は支払処理）を行った日時情報を格納する欄であり、図１０（Ａ）の例では、２０１１年１１月１５日２１時５６分２２秒を示す情報が格納されている。
端末ローカルＩＤ欄は、当該取引を行った加盟店端末装置４００の識別情報を格納する欄であり、図１０（Ａ）の例では、店舗Ｂに設置された電子マネーリーダライタ３００の識別情報「０５２０８０２２」が格納されている。

カード番号欄は、処理対象の決済媒体の識別情報を格納する欄であり、図１０（Ａ）の例では、当該識別情報「４５６８５６１２３２１６１１２２」が格納されている。
残高欄は、当該取引開始時点での、処理対象の決済媒体の利用可能残高を格納する欄であり、図１０（Ａ）の例では、当該残高「５５０」（円）が格納されている。

利用／チャージ金額欄は、当該取引における支払金額またはチャージ金額を格納する欄であり、図１０（Ａ）の例では、チャージ金額「１５０００」（円）が格納されている。
取引種別欄は、当該取引の種別を示すコードを格納する欄であり、図１０（Ａ）の例では、現金チャージ（現金を支払ってのチャージ）を示すコード「１」が格納されている。

仮チャージフラグ欄は、当該取引が仮チャージか否かを示す仮チャージフラグを格納する欄である。図９（Ａ）の場合と同様、仮チャージフラグの値「１」は、仮チャージであることを示し、値「０」は、仮チャージでない（本実施形態では、支払処理である）ことを示す。図１０（Ａ）の例では、仮チャージを示す値「１」が格納されている。

伝票番号欄は、当該取引に付与された伝票番号（加盟店端末装置４００における取引番号）を格納する欄であり、図１０（Ａ）の例では、当該伝票番号「２３５６４」が格納されている。
取引通番欄は、決済媒体上における取引の通番を格納する欄であり、図１０（Ａ）の例では、当該通番「１２」が格納されている。

取引履歴情報の各欄のうち、取引年月日時分秒欄と、端末ローカルＩＤ欄と、カード番号欄と、利用／チャージ金額欄と、仮チャージフラグ欄との値は、処理対象の決済媒体に対する次回の取引の際、端末認証要求（図９（Ａ））における前回取引情報の、それぞれ、利用年月日時分秒欄と、端末ローカルＩＤ欄と、カード番号欄と、チャージ金額欄と、仮チャージフラグ欄とに格納される。

なお、決済媒体が、複数の取引履歴情報を記憶しておくようにしてもよいし、最新の取引履歴情報１つのみを記憶しておくようにしてもよい。いずれの場合も、主制御部２２２は、端末認証要求を生成する際、最新の取引履歴情報からデータを読み出して端末認証要求に含める。

ここで、処理対処の決済媒体における前回の取引がチャージであった場合、取引履歴情報の仮チャージフラグ欄には値「１」が格納されている。このため、当該決済媒体は仮チャージ扱いとなり、サーバ装置１００の正規チャージ判定（端末認証）を受けるまで支払に用いる（支払処理を受ける）ことができない。

一方、前回の取引が支払であった場合、前回の取引が仮チャージでないことから、取引履歴情報の仮チャージフラグ欄には値「０」が格納されている。このため、当該決済媒体は正規チャージ扱いとなり、支払に用いることができる。すなわち、前回の取引の支払処理において、サーバ装置１００の正規チャージ判定（仮チャージを行った加盟店端末装置４００に対する端末認証）を受けたことで、当該決済媒体のチャージは正規チャージに更新されている。

仮チャージ完了通知を受けたＰＯＳ端末装置２００では、主制御部２２２がチャージ結果通知ファイルを生成し（シーケンスＳ１１０）、通信処理部２２１を介してサーバ装置１００に送信する（シーケンスＳ１１１）。
図１０（Ｂ）は、仮チャージを正常に行った際にＰＯＳ端末装置２００（通信処理部２２１）が送信するチャージ結果通知ファイルの例を示す。同図（Ｂ）において、チャージ結果通知ファイルは、電文種別欄と、センター処理年月日時分秒欄と、端末ローカルＩＤ欄と、電子マネー端末ＩＤ欄と、カード番号欄と、チャージ金額欄と、チャージ累計金額欄と、エラーコード欄とを有する。

電文種別欄は、図９（Ａ）で説明したように、通信データの種別を示す情報を格納する欄であり、図１０（Ｂ）の例では、チャージ結果通知を示す「２３０５００５０」が格納されている。
センター処理年月日時分秒欄は、当該チャージ結果通知ファイルの送信日時情報（主制御部２２２が当該チャージ結果通知ファイルを生成した日時を示す情報）を格納する欄であり、図１０（Ｂ）の例では、２０１１年１１月２２日１６時４６分５９秒を示す値が格納されている。

端末ローカルＩＤ欄は、当該チャージ結果通知ファイルを送信する加盟店端末装置４００の識別情報を格納する欄であり、図１０（Ｂ）の例では、店舗Ａに設置された電子マネーリーダライタ３００の識別情報「０５２０８０１８」が格納されている。
電子マネー端末ＩＤ欄は、図９（Ｂ）の場合と同様、電子マネー業者が設定している、加盟店端末装置４００の識別情報を格納する欄であり、図１０（Ｂ）の例では、店舗Ａに設置された電子マネーリーダライタ３００の当該識別情報「２３０４５３８７４６００２」が格納されている。

カード番号欄は、処理対象の決済媒体（すなわち、仮チャージを行った決済媒体）の識別情報（識別番号）を格納する欄であり、図１０（Ｂ）の例では、当該識別情報「４５６８５６１２３２１６１１２２」が格納されている。
チャージ金額欄は、今回の仮チャージにてチャージした金額を格納する欄であり、図１０（Ｂ）の例では、チャージ金額２万円が格納されている。

チャージ累計金額欄は、当該チャージ結果通知ファイルが１日のうちにチャージを行った累計金額を格納する欄であり、図１０（Ｂ）の例では、累計金額９９万９９９９円が格納されている。
エラーコード欄は、チャージ結果を示すコードを格納する欄であり、図１０（Ｂ）の例では正常終了を示す値「０」が格納されている。

一方、図１０（Ｃ）は、仮チャージに際して累積金額の上限金額超えを検出した際に、ＰＯＳ端末装置２００（通信処理部２２１）が送信するチャージ結果通知ファイルの例を示す。
同図（Ｃ）の例では、仮チャージ処理開始時点でチャージ累計金額が９９９万９９９９円となっており、チャージ金額１万５０００円をチャージすると上限金額を超えてしまう。このため加盟店端末装置４００は仮チャージに失敗し、主制御部２２２は、累積金額の上限金額超えを示すエラーコード「−１２３００００」をエラーコード欄に格納したチャージ結果通知ファイルを生成している。かかるチャージ結果通知ファイルを受信したサーバ装置１００は、当該加盟店端末装置４００を、不活性端末情報に登録する。

図５の例では、加盟店端末装置４００は、仮チャージに成功しており、当該加盟店端末装置４００は、仮チャージを正常に行った際のチャージ結果通知ファイルをサーバ装置１００に送信する。そして、サーバ装置１００では、チャージ結果通知ＤＢ１３１が、当該チャージ結果通知ファイルを記憶する。

また、ＯＣＸ処理部２２０（主制御部２２２）は、仮チャージ完了を示す情報をＰＯＳアプリケーション処理部２１０に出力する（シーケンスＳ１１２）。ＰＯＳアプリケーション処理部２１０は、当該情報に基づいて、仮チャージの完了通知をＰＯＳ端末装置２００の表示画面に表示させる。
以上により、電子マネーシステム１は、仮チャージに成功して仮チャージ処理を終了する。

図６は、加盟店端末装置４００が１日のうち２回目以降のチャージを行って成功する場合の、電子マネーシステム１の動作の例を示すシーケンス図である。
同図のシーケンスＳ１３１〜Ｓ１３６は、図５のシーケンスＳ１０１〜Ｓ１０６と同様である。

シーケンスＳ１３７において、主制御部２２２は、チャージ金額累積ファイルの新規生成に換えて、記憶部２３０が記憶しているチャージ金額累積ファイルのリネームを行う。具体的には、主制御部２２２は、まず、今回のチャージに成功した場合の、チャージの累積金額を算出する。次に、主制御部２２２は、今日（主制御部２２２が当該処理を行っている日）の年月日を示す文字列と、算出した累積金額とを、シーケンスＳ１０７の場合と同様に暗号化したファイル名を生成し、チャージ金額累積ファイルのファイル名を生成したファイル名に変更する。

シーケンスＳ１３８〜Ｓ１４２は、図５のシーケンスＳ１０８〜Ｓ１１２と同様である。
このように、２回目以降のチャージにおいて、加盟店端末装置４００（主制御部２２２）は、チャージの累積金額を更新する。

図７は、加盟店端末装置４００がチャージ累積金額の上限金額超えにてチャージに失敗する場合の、電子マネーシステム１の動作の例を示すシーケンス図である。
同図のシーケンスＳ１６１〜Ｓ１６６は、図５のシーケンスＳ１０１〜Ｓ１０６と同様である。

シーケンスＳ１６７において、シーケンスＳ１３７（図６）で説明したように、主制御部２２２は、今回のチャージに成功した場合の、チャージの累積金額を算出する。図７の例では、主制御部２２２が算出した累積金額が、予め設定されている上限金額を超えており、累積金額判定部２２４が、通信処理部２２１の算出した累積金額と、上限金額とを比較して、当該上限金額超えを検出する。

次に、主制御部２２２は、上限金額超えを検出したことを示すチャージ結果通知ファイルを生成して（シーケンスＳ１７０）、通信処理部２２１を介してサーバ装置１００に送信する（シーケンスＳ１７１）。

チャージ結果ファイルを受信したサーバ装置１００では、チャージ結果通知ＤＢ１３１が、当該チャージ結果ファイルを記憶するとともに、制御部１２０が、チャージ結果ファイルのエラーコード欄を参照してエラーを検出し、不活性端末情報ＤＢ１３２に、取引を行った（チャージに失敗した）加盟店端末装置４００を不活性端末情報に登録させる。

また、ＯＣＸ処理部２２０（主制御部２２２）は、エラー（取引実施不可）を示す情報をＰＯＳアプリケーション処理部２１０に出力する（シーケンスＳ１７２）。ＰＯＳアプリケーション処理部２１０は、当該情報に基づいて、取引実施不可の通知（エラー表示）をＰＯＳ端末装置２００の表示画面に表示させる。
以上により、電子マネーシステム１は、仮チャージに失敗して仮チャージ処理を終了する。

このように、不正な仮チャージが行われた際、当該仮チャージを行った加盟店端末装置４００を不活性端末情報に登録することで、当該加盟店端末装置４００にて仮チャージされた決済媒体の利用を停止させることができる。この点について、図８を参照して説明する。

図８は、前回の取引にて、不活性端末情報に登録されている加盟店端末装置４００による仮チャージを受けている決済媒体に対する支払処理を行った場合の電子マネーシステム１の動作の例を示すシーケンス図である。
同図の例における処理対象の決済媒体は、店舗Ａに設置されていた加盟店端末装置４００にて不正にチャージされている。また、チャージを行った加盟店端末装置４００は、当該決済媒体へのチャージの累積金額が上限金額を超えて不活性端末情報に登録されている。そして、図８の例では、この不正チャージされた決済媒体が、店舗Ｂに設置されている加盟店端末装置４００での支払処理に利用されている。

同図の例において、まず、ＰＯＳアプリケーション処理部２１０が、電子マネーでの支払を選択するユーザ操作（例えば、あるいは顧客が行う選択ボタン押下）を受けて、１万８０００円の支払（決済）指示をＯＣＸ処理部２２０に出力する（シーケンスＳ２０１）。

シーケンスＳ２０２〜Ｓ２０５は、図５のシーケンスＳ１０２〜Ｓ１０５と同様である。特に、シーケンスＳ２０４において、主制御部２２２は、前回取引情報に、仮チャージフラグの値「１」や、当該チャージを行った加盟店端末装置４００の識別情報として、店舗Ａに設定されていた加盟店端末装置４００の識別情報を含んで取得している。そして、シーケンスＳ２０５において、主制御部２２２は、これらの値を含む端末認証要求を、通信処理部２２１を介してサーバ装置１００に送信している。

当該端末認証要求を受信したサーバ装置１００では、不活性端末情報ＤＢ１３２が、前回チャージを行った加盟店端末装置４００（店舗Ａに設定されていた加盟店端末装置４００）の識別情報が不活性端末情報に登録されていることを検出する。かかる検出結果を受けて、制御部１２０は、端末認証要求に対する応答として拒否応答を生成し、通信部１１０を介して、端末認証要求元である、店舗Ｂに設置されている加盟店端末装置４００に送信（回答）する（シーケンスＳ２０６）。

かかる拒否応答により、加盟店端末装置４００（主制御部２２２）は、取引（支払）を中止し、エラー（取引実施不可）を示す情報をＰＯＳアプリケーション処理部２１０に出力する（シーケンスＳ２０７）。ＰＯＳアプリケーション処理部２１０は、当該情報に基づいて、取引実施不可の通知（エラー表示）をＰＯＳ端末装置２００の表示画面に表示させる。

このように、不活性端末情報に登録されている加盟店端末装置４００からの仮チャージが前回の取引となっている決済媒体は、支払処理を受けることができない。同様に、当該決済媒体は、チャージ処理を受けることもできない。従って、仮チャージを行った加盟店端末装置４００の不活性端末情報への登録が解除（削除）されるまで、当該決済媒体は仮チャージから正規チャージへの変更を受けることができず、使用不可の状態となる。

次に、図１１〜図１４を参照して、加盟店端末装置４００、サーバ装置１００各々の動作について説明する。
図１１は、決済媒体へのチャージを行う際に加盟店端末装置４００（ＯＣＸ処理部２２０）が行う処理の手順を示すフローチャートである。ＯＣＸ処理部２２０は、ＰＯＳアプリケーション処理部２１０からのチャージ指示を受けると同図の処理を開始する。

同図の処理において、まず、前回状況判定部２２６が記憶部２３０を参照して（ステップＳ３０１）、前回のチャージ結果通知ファイルが存在するか否かを判定する（ステップＳ３０２）。存在すると判定した場合（ステップＳ３０２：ＹＥＳ）、ＯＣＸ処理部２２０（主制御部２２２）は、チャージを停止する旨のメッセージをＰＯＳ端末装置２００の表示画面に表示させるなど、チャージ実行停止処理を行う（ステップＳ３２１）。
その後、同図の処理を終了する。
前回のチャージ結果通知ファイルが存在することによるチャージ停止は、当該チャージ結果通知ファイルがサーバ装置１００に送信されて記憶部２３０に存在しなくなることで解除される。

一方、ステップＳ３０２において、前回のチャージ結果通知ファイルが存在しないと判定した場合（ステップＳ３０２：ＮＯ）、主制御部２２２が、電子マネーリーダライタ３００を介して決済媒体から前回取引情報（図１０（Ａ）の取引履歴情報に含まれる情報）を取得する（ステップＳ３０３）。
そして、主制御部２２２は、前回取引情報に基づいて端末認証要求（図９（Ａ）参照）を生成して、通信処理部２２１を介してサーバ装置１００に送信し、サーバ装置１００からの結果通知（図９（Ｃ）参照）を待ち受ける（ステップＳ３０４）。

次に、主制御部２２２は、サーバ装置１００との通信異常の有無や、不活性端末情報への加盟店端末装置４００の登録の有無を判定する（ステップＳ３０５）。具体的には、主制御部２２２は、まず、サーバ装置１００からの通信結果を取得できなかったなど、サーバ装置１００との通信異常があるか否かを判定する。通信異常なしと判定した場合、主制御部２２２は、サーバ装置１００からの端末認証の結果に基づいて、主制御部２２２自らを具備する加盟店端末装置４００、または、処理対象の決済媒体に前回取引にてチャージを行った加盟店端末装置４００の少なくとも何れかが、不活性端末情報に登録されているか否かを判定する。
通信異常あり、あるいは、不活性端末情報への登録ありと判定した場合（ステップＳ３０５：ＹＥＳ）、ステップＳ３２１に進む。

一方、ステップＳ３０５において、通信異常なし、かつ、不活性端末情報への登録なしと判定した場合（ステップＳ３０５：ＮＯ）、主制御部２２２は、記憶部２３０を参照して（ステップＳ３０６）、チャージ金額累積ファイルの有無を判定する（ステップＳ３０７）。
チャージ金額累積ファイルが存在すると判定した場合（ステップＳ３０７：ＹＥＳ）、主制御部２２２は、当該ファイルの生成年月日と、現在の年月日（ＰＯＳ端末装置２００の具備するシステム時計が示す、図１１の処理を行っている時点の年月日）とを比較して（ステップＳ３０８）、両者が一致するか否かを判定する（ステップＳ３０９）。

両者が一致すると判定した場合（ステップＳ３０９：ＹＥＳ）、累積金額判定部２２４が、チャージ金額累積ファイルからチャージの累積金額を読み出し、上限金額と比較して（ステップＳ３１０）、許容範囲内か否か（累積金額が上限金額を超えていないか否か）を判定する（ステップＳ３１１）。

許容範囲内であると判定した場合（ステップＳ３１１：ＹＥＳ）、主制御部２２２は、チャージ金額累積ファイルの示す累積金額を更新する（ステップＳ３４１）。
具体的には、主制御部２２２は、チャージ金額累積ファイルのファイル名を復号してチャージの累積金額を読み出し、読み出した累積金額に今回のチャージ金額を加算してチャージ後の累積金額を算出する。そして、主制御部２２２は、算出した累積金額と今日の年月日とに基づく文字列を暗号化し、チャージ金額累積ファイルのファイル名を、暗号化によって得られたファイル名に更新する。

そして、主制御部２２２は、電子マネーリーダライタ３００に対して仮チャージ実行を指示し、電子マネーリーダライタ３００は、決済媒体への仮チャージを行う（ステップＳ３４２）。すなわち、電子マネーリーダライタ３００は、決済媒体の利用可能残高を更新し、また、取引履歴を書き込む。

次に、主制御部２２２は、チャージ結果通知（図１０（Ｂ）および（Ｃ）参照）を生成し、通信処理部２２１を介してサーバ装置１００に送信する（ステップＳ３６１）。
その後、同図の処理を終了する。

一方、ステップＳ３０７において、チャージ金額累積ファイルが存在しないと判定した場合（ステップＳ３０７：ＮＯ）や、ステップＳ３０９において、両者が一致しないと判定した場合（ステップＳ３０９：ＮＯ）、主制御部２２２は、チャージ金額累積ファイルを生成し（ステップＳ３３１）、当該チャージ金額累積ファイルの示す累積金額を、今回のチャージ金額に設定する（ステップＳ３３２）。

具体的には、上述したように、主制御部２２２は、今回のチャージ金額と今日の年月日とに基づく文字列を暗号化して得られるファイル名を、チャージ金額累積ファイルのファイル名とする。
その後、ステップＳ３４１に進む。

一方、ステップＳ３１１において、累積金額が許容範囲外であると判定した場合（ステップＳ３１１：ＮＯ）、主制御部２２２は、チャージを停止する旨のメッセージをＰＯＳ端末装置２００の表示画面に表示させるなど、チャージ実行停止処理を行う（ステップＳ３５１）。
その後、ステップＳ３６１に進む。

図１２は、決済媒体へのチャージにおいて（図１１のステップＳ３０４において加盟店端末装置４００が送信した）端末認証要求を受信したサーバ装置１００が行う処理の手順を示すフローチャートである。
同図の処理において、まず、通信部１１０が受信した端末認証要求に含まれる加盟店端末装置４００の識別情報を、不活性端末判定部１２１が抽出して不活性端末情報ＤＢ１３２に出力し、不活性端末情報ＤＢ１３２は、当該識別情報が不活性端末情報（図９（Ｂ）参照）に含まれるか否かの検索を行う（ステップＳ４０１）。

その際、不活性端末判定部１２１は、端末認証要求送信元の加盟店端末装置４００の識別情報を抽出する。また、仮チャージフラグが「１」の場合、不活性端末判定部１２１は、前回の取引にてチャージを行った加盟店端末装置４００の識別情報も抽出する。そして、不活性端末情報ＤＢ１３２は、不活性端末判定部１２１が抽出した識別情報のそれぞれについて、不活性端末情報に含まれるか否かの検索を行う。

そして、不活性端末判定部１２１は、不活性端末情報ＤＢ１３２の検索結果に基づいて、ステップＳ４０１で抽出した識別情報の少なくともいずれか１つが不活性端末情報に登録されているか否かを判定する（ステップＳ４０２）。
いずれの識別情報も登録されていないと判定した場合（ステップＳ４０２：ＮＯ）、不活性端末判定部１２１は、通信部１１０を介して正常応答を送信（回答）する（ステップＳ４１１）。
その後、同図の処理を終了する。

一方、いずれかの識別情報が登録されていると判定した場合（ステップＳ４０２：ＹＥＳ）、不活性端末判定部１２１は、通信部１１０を介して拒否応答を送信（回答）する（ステップＳ４２１）。
その後、同図の処理を終了する。

図１３は、決済媒体へのチャージにおいて（図１１のステップＳ３６１において加盟店端末装置４００が送信した）チャージ結果通知ファイルを受信したサーバ装置１００が行う処理の手順を示すフローチャートである。
同図の処理において、まず、通信部１１０が、受信したチャージ結果通知ファイルを制御部１２０に出力し、制御部１２０は、当該チャージ結果通知ファイルの電文項目を確認する（５０１）。

次に、制御部１２０は、当該チャージ結果通知ファイルをチャージ結果通知ＤＢ１３１に出力し、チャージ結果通知ＤＢ１３１は、当該チャージ結果通知ファイルを保存（記憶）する（ステップＳ５０２）。
次に、制御部１２０は、当該チャージ結果通知ファイルのエラーコード欄を参照して（ステップＳ５０３）に、アラート対象のコードが格納されているか否かを判定する（ステップＳ５０４）。ここで、アラート対象のコードとは、警告メール送信対象の重大なエラーとして予め設定されているエラーコードである。

アラート対象のコードが格納されていないと判定した場合（ステップＳ５０４：ＮＯ）、制御部１２０は、当該チャージ結果通知ファイルのエラーコード欄を再び参照して（ステップＳ５０５）、一定時間あたりのチャージ回数やチャージ金額に異常（上限超え）があるか否かを判定する（ステップＳ５０６）。
異常なしと判定した場合（ステップＳ５０６：ＮＯ）、同図の処理を終了する。

一方、ステップＳ５０４において、アラート対象のコードが格納されていると判定した場合（ステップＳ５０４：ＹＥＳ）や、ステップＳ５０６において、異常ありと判定した場合（ステップＳ５０６：ＹＥＳ）、制御部１２０は、チャージ結果通知ファイル送信元の加盟店端末装置４００の識別情報等を不活性端末情報ＤＢ１３２に出力して、不活性端末情報に登録させる（ステップＳ５１１）。
なお、不活性端末情報への登録は、電子マネー事業者からの要求によっても行われる。

また、不活性端末判定部１２１は、不正処理の可能性があることを警告する電子メールを生成し、予め設定されている送信先に、通信部１１０を介して送信する。
その後、同図の処理を終了する。

図１４は、電子マネーの支払処理を行う際に加盟店端末装置４００（ＯＣＸ処理部２２０）が行う処理の手順を示すフローチャートである。ＯＣＸ処理部２２０は、ＰＯＳアプリケーション処理部２１０からの支払指示を受けると同図の処理を開始する。
同図の処理において、まず、前回状況判定部２２６が記憶部２３０を参照して（ステップＳ６０１）、前回のチャージ結果通知ファイルが存在するか否かを判定する（ステップＳ６０２）。存在すると判定した場合（ステップＳ６０２：ＹＥＳ）、ＯＣＸ処理部２２０は、支払処理を停止する旨のメッセージをＰＯＳ端末装置２００の表示画面に表示させるなど、支払停止処理を行う（ステップＳ６２１）。
その後、同図の処理を終了する。
前回のチャージ結果通知ファイルが存在することによるチャージ停止は、当該チャージ結果通知ファイルがサーバ装置１００に送信されて記憶部２３０に存在しなくなることで解除される。

一方、ステップＳ６０２において、前回のチャージ結果通知ファイルが存在しないと判定した場合（ステップＳ６０２：ＮＯ）、主制御部２２２が、電子マネーリーダライタ３００を介して決済媒体から前回取引情報を取得する（ステップＳ６１１）。
次に、主制御部２２２は、前回取引情報の仮チャージフラグを参照して、前回の取引が仮チャージか否かを判定する（ステップＳ６１２）。

仮チャージであると判定した場合（ステップＳ６１２：ＹＥＳ）、主制御部２２２は、前回取引情報に基づいて端末認証要求を生成して、通信処理部２２１を介してサーバ装置１００に送信し、サーバ装置１００からの結果通知を待ち受ける（ステップＳ６１３）。

次に、主制御部２２２は、サーバ装置１００との通信異常の有無や、不活性端末情報への加盟店端末装置４００の登録の有無を判定する（ステップＳ６１４）。具体的には、主制御部２２２は、まず、サーバ装置１００からの通信結果を取得できなかったなど、サーバ装置１００との通信異常があるか否かを判定する。通信異常なしと判定した場合、主制御部２２２は、サーバ装置１００からの端末認証の結果に基づいて、主制御部２２２自らを具備する加盟店端末装置４００、または、処理対象の決済媒体に前回取引にてチャージを行った加盟店端末装置４００の少なくとも何れかが、不活性端末情報に登録されているか否かを判定する。
通信異常あり、あるいは、不活性端末情報への登録ありと判定した場合（ステップＳ６１４：ＹＥＳ）、ステップＳ６２１に進む。

一方、ステップＳ６１４において、通信異常なし、かつ、不活性端末情報への登録なしと判定した場合（ステップＳ６１４：ＮＯ）、主制御部２２２は、電子マネーリーダライタ３００に支払処理の実行を指示し、電子マネーリーダライタ３００は、支払処理を行う（ステップＳ６１５）。すなわち、電子マネーリーダライタ３００は、決済媒体の利用可能残高を更新する。
また、電子マネーリーダライタ３００は、取引履歴を更新する（ステップＳ６１６）。当該取引履歴の更新によって、決済媒体のチャージは正規チャージに更新される。
その後、同図の処理を終了する。

一方、ステップＳ６１２において、仮チャージでない（正規チャージ状態である）と判定した場合（ステップＳ６１２：ＮＯ）、ステップＳ６１５に進む。

電子マネーの支払処理において端末認証要求を受信したサーバ装置１００が行う処理の手順は、図１２で説明したのと同様である。

なお、図１１のステップＳ３１１において累積金額が許容範囲外であると判定した場合（ステップＳ３１１：ＮＯ）、加盟店端末装置４００が、決済媒体へのチャージを行わないことに加えて、決済媒体への取引履歴情報の書込を行うようにしてもよい。例えば、電子マネーリーダライタ３００が、主制御部２２２からの指示に従って、チャージ金額を０円とする仮チャージの履歴を決済媒体に書き込む。

このように、加盟店端末装置４００（電子マネーリーダライタ３００）の識別情報と、仮チャージフラグの値「１」（仮チャージであることを示す値）とを取引履歴情報として決済媒体に書き込んでおくことで、この加盟店端末装置４００が不活性端末情報に登録された場合に、図８を参照して説明したように、当該決済媒体を他の加盟店端末装置４００にかざしての利用も停止させることができる。すなわち、不正なチャージの行われた決済媒体の利用を、より確実に停止させることができる。

あるいは、図１１のステップＳ３１１において累積金額が許容範囲外であると判定した場合（ステップＳ３１１：ＮＯ）、主制御部２２２が、処理対象の決済媒体を、利用停止対象の決済媒体としてサーバ装置１００に登録させる（例えば、ネガ情報に登録させる）ようにしてもよい。また、主制御部２２２が、電子マネーリーダライタ３００を介して、利用不可を示す情報を当該決済媒体に書き込むようにしてもよい。あるいは、主制御部２２２が、カードの回収指示またはカード利用不可の通報を、ＰＯＳ端末装置２００の表示画面または事業者端末装置８００の表示画面に表示させるようにしてもよい。
これにより、不正なチャージの行われた決済媒体の利用を、より確実に停止させることができる。

なお、決済媒体に対する利用停止の解除の条件については、利用停止の原因に応じて様々な条件とすることが考えられる。
まず、通信異常によるチャージ停止は、ネットワークが確立され通信異常が解除された場合に加盟店端末装置４００がオンライン処理を行うことで解除される。

また、チャージを行っている加盟店端末装置４００が不活性端末情報に登録されていることによるチャージ停止の場合、他の加盟店端末装置４００でのチャージは可能である。
また、前回取引でチャージを行った加盟店端末装置４００が不活性端末情報に登録されていることによるチャージ停止の場合、当該加盟店端末装置４００の識別情報が不活性端末情報から削除されることで、決済媒体の利用停止が解除される。

あるいは、チャージを行っている加盟店端末装置４００、または、前回取引にてチャージを行った加盟店端末装置４００の少なくとも何れかが、不活性端末情報に登録されている場合に、決済媒体を利用不可とする処理（例えばネガ情報への登録）を行う設定の場合は、例えば、不活性端末情報から当該加盟店端末装置４００の識別情報が削除され、かつ、ある一定期間が過ぎた場合に決済媒体の利用停止を解除する（例えばネガ情報から当該決済媒体の識別情報を削除する）ことが考えられる。

また、チャージの累積金額が上限金額を超えたことによるチャージ停止の場合、当該取引の履歴情報を決済媒体に書き込まない設定のときは、他の加盟店端末装置４００での取引は可能である。一方、当該取引の履歴情報を決済媒体に書き込む設定のときは、当該加盟店端末装置４００の識別情報が不活性端末情報から削除されることで、決済媒体の利用停止が解除される。

以上のように、不活性端末判定部１２１が、処理対象の決済媒体にチャージを行った加盟店端末装置４００が不活性端末情報に登録されているか否かを判定し、登録されていると判定した場合、利用停止処理部２２３が、当該決済媒体の利用を停止させる。
従って、加盟店端末装置４００が盗難に遭った場合など不正なチャージが行われた場合でも、チャージされた電子マネーの使用を阻止し得る。この点で、加盟店端末装置４００（電子マネーチャージ機）の安全性をより高めることができる。

また、通信処理部２２１は、電子マネーリーダライタ３００が、決済媒体に対して行われたチャージの正当性確認が必要であることを示す情報（例えば仮チャージフラグの値「１」）を決済媒体から読み取ると、仮チャージを行った加盟店端末装置４００の識別情報が不活性端末情報に含まれるか否かの判定を要求する不活性端末判定要求（端末認証要求）を送信する。
このように、通信処理部２２１が、仮チャージフラグ等、チャージの正当性確認が必要であることを示す情報に基づいて不活性端末判定要求を送信することで、不活性端末判定要求の送信漏れを防止し得る。

また、累積金額判定部２２４が、所定時間内のチャージの累積金額が上限金額を超えていると判定すると、利用停止処理部２２３は、決済媒体の利用を停止させる。
これにより、電子マネーシステム１は、繰り返し行われる不正チャージを検出して、チャージされた電子マネーの使用を阻止し得る。

また、前回状況判定部２２６が、自らを具備する加盟店端末装置４００が前回のチャージ結果を未送信であると判定した場合、利用停止処理部２２３は、決済媒体の利用を停止させる。
これにより、電子マネーシステム１は、オフラインでの不正チャージの繰り返しを阻止し得る。

また、累積金額判定部２２４が、所定時間内のチャージの累積金額が上限金額を超えていると判定すると、通信部１１０は、上限金額超えを検出したことを示す電子メールを、予め設定されている宛先に送信する。

ここで、加盟店端末装置４００のチャージの累積金額の上限金額は、店舗における通常のチャージでは超えない金額に設定されている場合、かかる上限金額を超えたときは、不正チャージの可能性が高い。そこで、上限金額を超えた場合に通信部１１０が電子メールを送信することで、電子マネーシステム１の関係者に対して注意喚起することができる。

また、通信部１１０は、処理対象の決済媒体にチャージを行った加盟店端末装置４００が不活性端末情報に登録されていると不活性端末判定部１２１が判定すると、使用停止対象の端末装置によるチャージを検出したことを示す電子メールを、予め設定されている宛先に送信する。

ここで、不活性端末情報に登録されている加盟店端末装置４００によるチャージは、不正チャージであると考えられる。そこで、不活性端末判定部１２１が当該チャージを検出した際に、通信部１１０が電子メールを送信することで、電子マネーシステム１の関係者に対して注意喚起することができる。

また、不活性端末情報ＤＢ１３２は、不活性端末情報ＤＢ１３２自らを具備する加盟店端末装置４００が所定期間内にチャージを行った累積金額が所定の上限金額を超えていると当該加盟店端末装置４００（累積金額判定部２２４）が判定すると、当該加盟店端末装置４００を不活性端末情報に登録する。このように、チャージの累積金額が上限金額を超えた場合、不正チャージの可能性が高い。そこで、上限金額を超えた場合に不活性端末情報ＤＢ１３２が当該加盟店端末装置４００を不活性端末情報に登録することで、以後の不正チャージや不正チャージされた電子マネーの使用を阻止し得る。

また、不活性端末情報ＤＢ１３２は、加盟店端末装置４００が所定期間内にチャージを行った回数が所定の上限回数を超えていると当該加盟店端末装置４００（累積金額判定部２２４）が判定すると、当該加盟店端末装置４００の識別情報を不活性端末情報に含める。
ここで、加盟店端末装置４００のチャージの上限回数が、店舗における通常のチャージでは超えない回数に設定されている場合、かかる上限回数を超えたときは、不正チャージの可能性が高い。そこで、上限回数を超えた場合に不活性端末情報ＤＢ１３２が当該加盟店端末装置４００を不活性端末情報に登録することで、以後の不正チャージや不正チャージされた電子マネーの使用を阻止し得る。

また、不活性端末情報ＤＢ１３２は、通信部１１０が取得した、不活性端末登録要求の示す加盟店端末装置４００の識別情報を不活性端末情報に含める。不活性端末情報ＤＢ１３２が当該登録を行うことで、加盟店端末装置４００が盗難に遭った場合に、当該加盟店端末装置４００の使用を停止させ得る。

また、サーバ装置１００による不活性端末判定（端末認証）の結果が、処理対象の決済媒体に前回取引にて仮チャージを行った加盟店端末装置４００が不活性端末情報に登録されていないことを示す場合、電子マネーリーダライタ３００は、当該決済媒体における仮チャージを正規チャージに更新する。
このように、電子マネーリーダライタ３００が、サーバ装置１００による不活性端末判定の結果に基づいて仮チャージから正規チャージへの更新を行うことで、仮チャージの際、および、正規チャージへの更新の際と、チャージの正当性について２重のチェックを行うことができ、不正チャージされた電子マネーの利用をより確実に防止することができる。

なお、以上では、決済媒体へのチャージを常に仮チャージとする例について説明したが、チャージの際に仮チャージと正規チャージとを行えるようにしてもよい。
例えば、加盟店端末装置４００は、オンライン処理においては、決済媒体への正規チャージを行う。一方、加盟店端末装置４００とサーバ装置１００との間に通信異常が発生し、加盟店端末装置４００がサーバ装置１００にチャージ履歴を送信できない場合、加盟店端末装置４００は、オフラインにて仮チャージを行う。そして、当該決済媒体がオンラインにて使用された場合に、サーバ装置１００が正規チャージ判定（例えば、仮チャージを行った加盟店端末装置４００の端末認証）を行って、仮チャージから正規チャージに更新する。

これにより、チャージの際の安全を確保しつつ、オフラインでもチャージ可能とすることができる。
なお、加盟店端末装置４００が、仮チャージを行う際に、「ただいまのチャージは『仮チャージ』となっています。『仮チャージ』は使用時のセンター照会で自動的に正規チャージになります」といったメッセージを表示するようにしてもよい。当該メッセージにより、チャージを行った利用者は、チャージの状態を容易に確認することができる。

なお、サーバ装置１００が、正規チャージ判定の際に、端末認証に加えて、カード履歴の確認を行うようにしてもよい。
例えば、チャージを行う際に、加盟店端末装置４００が、カード履歴（当該チャージの履歴）を当該決済媒体に書き込むと共にサーバ装置１００にも送信し、サーバ装置１００は当該カード履歴を記憶しておく。

そして、支払時の正規チャージ判定において、サーバ装置１００は、端末認証に加えて、処理対象の決済媒体が記憶しているカード履歴と、サーバ装置１００が記憶している当該決済媒体のカード履歴とを照合する。両者が一致した場合、サーバ装置１００は、異常なしと判定する。一方、処理対象の決済媒体が記憶しているカード履歴と、サーバ装置１００が記憶している当該決済媒体のカード履歴とが一致しない場合、オフラインで処理が行われたことになり、サーバ装置１００は、不正処理の可能性があると判定する。

このように、サーバ装置１００がカード履歴の照合を行うことで、オフライン処理を検出することができ、オフラインで行われた不正処理を検出し得る。
なお、サーバ装置１００が、例えば１万円以上のチャージあるいは支払の場合にのみカード履歴の照合を行うなど、サーバ装置１００がカード履歴の照合を行う場合を限定して、処理時間の短縮を図るようにしてもよい。

なお、オフラインでのチャージを可能とする場合において、決済媒体が記憶する情報を用いて不正利用されている加盟店端末装置４００を検出し、当該加盟店端末装置４００の機能を停止させるようにしてもよい。
図１５は、不正利用情報に該当する加盟店端末装置４００の機能を停止させる際の電子マネーシステム１の第１の動作例を示すシーケンス図である。同図の例では、不正利用されている加盟店端末装置４００のＯＣＸ処理部２２０が、自らの機能を停止させる。

図１５の例において、端末Ｘは、店舗Ａから盗まれた加盟店端末装置４００である。この端末Ｘは、図８の場合と同様、不活性端末情報に登録されている。一方、店舗Ｂの加盟店端末装置４００は、不活性端末情報に登録されていない。また、図１５で用いられる決済媒体は、端末Ｘを盗んだ不正利用者が所持する決済媒体であり、端末Ｘを用いて仮チャージされている。

同図（Ａ）は、端末Ｘにてチャージされた決済媒体が利用された際の、電子マネーシステム１の動作の例を示す。同図（Ａ）のシーケンスＳ７０１〜Ｓ７０６は、図８のシーケンスＳ２０１〜Ｓ２０６と同様である。シーケンスＳ７０６の後、ＯＣＸ処理部２２０は、サーバ装置１００からの拒否応答に基づいて、不正利用情報として、端末Ｘの識別情報と、当該端末が不活性情報に登録されていることを示す情報とを、利用された決済媒体に書き込む（シーケンスＳ７０７）。また、シーケンスＳ７０８は、図８のシーケンスＳ２０７と同様である。

図１５（Ａ）に示すように決済媒体の利用に失敗した場合、不正利用者は、当該決済媒体を再び利用するために、端末Ｘを用いてチャージまたは残高照会を行うことが考えられる。そこで、図１５の例では、当該決済媒体が端末Ｘに用いられた（例えば、チャージまたは残高照会が行われた）際に、不正利用されている端末ＸのＯＣＸ処理部２２０が、自らの機能を停止する。

同図（Ｂ）は、ＯＣＸ処理部２２０が自らの機能を停止させる際の、電子マネーシステム１の動作の例を示す。同図（Ｂ）の処理において、まず、ＰＯＳアプリケーション処理部２１０が、不正利用者の操作（例えば、チャージ操作または残高照会操作）を受けて、当該操作に応じた処理の指示をＯＣＸ処理部２２０に出力する（シーケンスＳ７１１）。

指示を受けたＯＣＸ処理部２２０では、主制御部２２２が、通信処理部２２１を介して電子マネーリーダライタ３００に、処理対象の決済媒体が不正利用情報を記憶しているか否かの確認を要求する（シーケンスＳ７１２）。当該要求を受けた電子マネーリーダライタ３００は、処理対象の決済媒体の記憶領域から、ステップＳ７０７で書き込まれた不正利用情報を検出し、当該不正利用情報を読み出して主制御部２２２に出力する（シーケンスＳ７１３）。

不正利用情報を取得した主制御部２２２は、当該不正利用情報に含まれる加盟店端末装置４００の識別情報と、主制御部２２２自らを具備する加盟店端末装置４００である端末Ｘの識別情報とが同一か否かを判定（確認）する（シーケンスＳ７１４）。図１５の例では、両者は一致する。

識別情報が同一であると判定した主制御部２２２は、端末認証要求を行うために、サーバ装置１００への強制接続（ユーザ操作を必要としない自動通信）を行うよう通信処理部２２１を制御し、通信処理部２２１は、サーバ装置１００との通信（強制接続）を試みる（シーケンスＳ７１５）。図１５の例では、端末Ｘはネットワーク９１０に接続せずにオフラインで使用されており、通信処理部２２１は、サーバ装置１００との通信に失敗する。

そこで、通信処理部２２１は、強制接続に失敗したことを示す情報を主制御部２２２に出力し、主制御部２２２は、当該情報に基づいて、自滅プログラムを稼働させる（シーケンスＳ７１６）。当該自滅プログラムにより、ＰＯＳ端末装置２００は自己破壊を行う。
ここで、ＰＯＳ端末装置２００が行う自己破壊は、ＰＯＳ端末装置２００の有する機能（特にチャージ機能）を、使用再開不可能または使用再開困難に停止させるものであればよく、様々な方法による自己破壊を用いることができる。

例えば、主制御部２２２が、ソフトウェア（ＰＯＳアプリケーションソフトウェア２８１（図４）またはＰＯＳコントロール２８２（特にＯＣＸ）、あるいはこれら両方）の中のチャージに関わるモジュールの全部または一部を消去する。あるいは、主制御部２２２が、ＰＯＳに関わるソフトウェア自体を消去するようにしてもよい。あるいは、主制御部２２２が、サーバ装置１００との暗号通信用の鍵情報を消去するようにしてもよい。さらには、これらのうち複数の方法を用いるようにしてもよい。

このように、ＰＯＳ端末装置２００は、自らの機能の少なくとも一部を喪失させることで、チャージを行えない状態となる。これにより、不正利用者が当該ＰＯＳ端末装置２００を用いて繰り返し不正チャージや利用を行うことを防止できる。

なお、ＰＯＳ端末装置２００の自己破壊に代えて、ソフトウェア的またはハードウェア的に処理を進めないようにしてもよい。ただし、この場合、不正利用者が何らかの解析を行って当該処理の進まない状態を解除してしまう可能性があるため、より確実に不正チャージを防止する観点から、単なる処理の進行停止ではなく、上記のようにＰＯＳ端末装置２００の機能の少なくとも一部を喪失させることが好ましい。

図１６は、不正利用情報に該当する加盟店端末装置４００の機能を停止させる際の電子マネーシステム１の第２の動作例を示すシーケンス図である。同図の例では、不正利用されている加盟店端末装置４００の電子マネーリーダライタ３００が、自らの機能を停止させる。
図１５の場合と同様、図１６の例においても、端末Ｘは、店舗Ａから盗まれた加盟店端末装置４００であり、不活性端末情報に登録されている。一方、店舗Ｂの加盟店端末装置４００は、不活性端末情報に登録されていない。また、図１６で用いられる決済媒体は、端末Ｘを盗んだ不正利用者が所持する決済媒体であり、端末Ｘを用いて仮チャージされている。

図１６（Ａ）における処理は、図１５（Ａ）の場合と同様である。図１６（Ａ）の処理の後、利用された決済媒体には、不正利用情報として、端末Ｘの識別情報と、当該端末が不活性情報に登録されていることを示す情報とが書き込まれている。
図１６（Ｂ）は、電子マネーリーダライタ３００が上位からの命令により自らの機能を停止させる際の、電子マネーシステム１の動作の例を示す。同図（Ｂ）のシーケンスＳ７３１〜Ｓ７３５は、図１５（Ｂ）のシーケンスＳ７１１〜Ｓ７１５と同様である。

シーケンスＳ７３５において強制接続に失敗した通信処理部２２１は、強制接続に失敗したことを示す情報を主制御部２２２に出力し、主制御部２２２は、電子マネーリーダライタ３００に自己破壊を指示する指令である閉塞コマンドを電子マネーリーダライタ３００に出力する（シーケンスＳ７３６）。

そして、閉塞コマンドを受けた電子マネーリーダライタ３００は、閉塞処理を実行する（シーケンスＳ７３７）。ここでいう閉塞処理は、電子マネーリーダライタ３００を閉塞（ロック）状態にする処理である。電子マネーリーダライタ３００が閉塞状態になって機能停止することで、ＰＯＳ端末装置２００は決済媒体と通信できなくなり、チャージ等の処理を行えなくなる。

この、電子マネーリーダライタ３００が行う閉塞処理は、電子マネーリーダライタ３００の有する機能（特に決済媒体との通信機能）を、使用再開不可能または使用再開困難に停止させるものであればよく、様々な方法による閉塞処理を用いることができる。
例えば、図１５の例におけるＰＯＳ端末装置２００の場合と同様に、電子マネーリーダライタ３００が自滅プログラムを稼働させてソフトウェアの一部または全部を消去するようにしてもよい。

あるいは、電子マネーリーダライタは、決済媒体との暗号通信のためのセキュリティ情報を内蔵していることが多い。電子マネーリーダライタ３００が、かかるセキュリティ情報を内蔵している場合、当該セキュリティ情報を消去することで、電子マネーリーダライタ３００自らの動作を停止させるようにしてもよい。
より具体的には、電子リーダライタに内蔵されている暗号モジュールには、コマンドにより閉塞させることができるものが多い。電子マネーリーダライタ３００が、かかる暗号モジュールを内蔵している場合、シーケンスＳ７３６において、主制御部２２２が、当該暗号モジュールに対する閉塞コマンドを電子マネーリーダライタ３００に出力するようにしてもよい。

また、電子リーダライタは、分解による解析防止のため、分解された際に自己のセキュリティ情報をハードウェア的に消去できる機能（タンパ機能）を有するものが多い。電子マネーリーダライタ３００において、かかるタンパ機能を主制御部２２２からの閉塞制御信号でも実行可能としておき（例えば、主制御部２２２からの信号と、ハードウェアスイッチによる分解検出信号とのＯＲにてタンパ機能を実行するようにする）、シーケンスＳ７３７において主制御部２２２が閉塞制御信号を出力するようにしてもよい。
あるいは、これらのうち複数の方法を用いるようにしてもよいし、さらには、加盟店端末装置４００が、図１５を参照して説明したＰＯＳ端末装置２００の自己破壊と、図１６を参照して説明した電子マネーリーダライタ３００の閉塞との両方を行うようにしてもよい。

次に、図１７を参照して、オフラインでのチャージ等の処理における加盟店端末装置４００の動作について説明する。
図１７は、決済媒体へのチャージ等の処理をオフラインの状態で受けた加盟店端末装置４００（ＯＣＸ処理部２２０）が行う処理の手順を示すフローチャートである。例えば、チャージ操作または残高照会操作を受けた加盟店端末装置４００は、まず、オンラインかオフライン（すなわち、サーバ装置１００と通信接続されているか否かを判定し、オフラインと判定した場合に同図の処理を実行し、オンラインと判定した場合は、図１３の処理を実行する。

図１７の処理において、まず、ＰＯＳアプリケーション処理部２１０が、不正利用者の操作（例えば、チャージ操作または残高照会操作）を受けて、当該操作に応じた処理の指示をＯＣＸ処理部２２０に出力する（ステップＳ８０１）。指示を受けたＯＣＸ処理部２２０では、主制御部２２２が、通信処理部２２１を介して電子マネーリーダライタ３００に、処理対象の決済媒体が不正利用情報を記憶しているか否かの確認を要求し（ステップＳ８０２）、電子マネーリーダライタ３００から不正利用情報を取得したか否か（すなわち、処理対象の決済媒体が不正利用情報を記憶していたか否か）を判定する（ステップＳ８０３）。

不正利用情報を取得したと判定した場合（ステップＳ８０３：ＹＥＳ）、当該不正利用情報に含まれる加盟店端末装置４００の識別情報と、主制御部２２２自らを具備する加盟店端末装置４００の識別情報とが同一（一致する）か否かを判定する（ステップＳ８０４）。
識別情報が同一であると判定した場合（ステップＳ８０４：ＹＥＳ）、主制御部２２２は、サーバ装置１００への強制接続を行うよう通信処理部２２１を制御し、通信処理部２２１は、サーバ装置１００との通信を試みる（ステップＳ８１１）。

そして、主制御部２２２は、通信処理部２２１がサーバ装置１００との通信に成功したか否かを判定する（ステップＳ８１２）。通信に失敗したと判定した場合（ステップＳ８１２：ＮＯ）、主制御部２２２は、図１５（Ｂ）で説明したＰＯＳ端末装置２００の自己破壊、または、図１６（Ｂ）で説明した電子マネーリーダライタ３００の閉塞、あるいはこれらの両方を行わせる（ステップＳ８２１）。その後、図１７の処理を終了する。

一方、ステップＳ８１２において通信に成功したと判定した場合（ステップＳ８１２：ＹＥＳ）、ＰＯＳ端末装置２００はオンライン処理に移行し、例えばチャージの場合、図１３を参照して説明した処理手順にてオンラインでのチャージを行う（ステップＳ８３１）。その後、図１７の処理を終了する。

一方、ステップＳ８０４において、不正利用情報に含まれる加盟店端末装置４００の識別情報と、主制御部２２２自らを具備する加盟店端末装置４００の識別情報とが異なると判定した場合（ステップＳ８０４：ＮＯ）、主制御部２２２は、電子マネーリーダライタ３００に対して仮チャージ実行を指示し、電子マネーリーダライタ３００は、決済媒体への仮チャージを行う（ステップＳ８４１）。
その後、同図の処理を終了する。

以上のように、加盟店端末装置４００（電子マネーリーダライタ３００）は、決済媒体にチャージを行った加盟店端末装置４００が使用停止対象となっていることをサーバ装置１００が検出すると、当該使用停止対象となっている加盟店端末装置４００の識別情報を決済媒体に書き込む。
これにより、当該決済媒体が使用停止対象となっている加盟店端末装置４００に再度かざされた場合に、当該加盟店端末装置４００がサーバ装置１００からオフラインとなっていても、加盟店端末装置４００自らが使用停止対象となっていることを検出し得る。
特に、加盟店端末装置４００を盗んだ者など不正利用者が、盗んだ加盟店端末装置４００と不正利用者自らの所持する決済媒体とをセットで使うことが考えられ、当該決済媒体を盗んだ加盟店端末装置４００に再度かざすことが考えられる。その際、当該加盟店端末装置４００自らが使用停止対象となっていることを検出し得る。

また、加盟店端末装置４００（主制御部２２２）は、決済媒体が記憶する使用停止対象の加盟店端末装置４００の識別情報が加盟店端末装置４００自らの識別情報と一致すと判定すると（すなわち、加盟店端末装置４００自らが使用停止対象となっていることを検出すると）、加盟店端末装置４００自らの機能を停止させる処理を行う。
これにより、加盟店端末装置４００がオフラインで処理を行う場合でも、当該加盟店端末装置４００が使用停止対象となっていることを検出して、以後の処理（特にチャージ処理）を行えなくすることができる。従って、加盟店端末装置４００の安全性をより高めることができる。

なお、サーバ装置１００またはＰＯＳ端末装置２００または電子マネーリーダライタ３００の全部または一部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各部の処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。

１ 電子マネーシステム
１００ サーバ装置
１１０ 通信部
１２０ 制御部
１２１ 不活性端末判定部
１３０ データベース部
１３１ チャージ結果通知ＤＢ
１３２ 不活性端末情報ＤＢ
１３３ 電子マネーチャージ明細ＤＢ
２００ ＰＯＳ端末装置
２１０ ＰＯＳアプリケーション処理部
２２０ ＯＣＸ処理部
２２１ 通信処理部
２２２ 主制御部
２２３ 利用停止処理部
２２４ 累積金額判定部
２２５ 回数判定部
２２６ 前回状況判定部
２３０ 記憶部
３００ 電子マネーリーダライタ
４００ 加盟店端末装置
８００ 事業者端末装置
９１０、９２０ ネットワーク

Claims (2)

1. サーバ装置と、プリペイド式電子マネーの決済媒体に対する処理を、前記サーバ装置とオンラインの状態で行う第１端末装置と、前記決済媒体に対する処理を、前記サーバ装置からオフラインの状態で行う第２端末装置とを具備し、
   前記第１端末装置は、
   プリペイド式電子マネーの決済媒体から、当該決済媒体にチャージを行った端末装置の識別情報を読み取る媒体データ取得部と、
   前記端末装置の識別情報が、使用停止対象の端末装置を示す不活性端末情報に含まれるか否かの判定を要求する不活性端末判定要求を、サーバ装置に送信する不活性端末判定要求送信部と、
   前記不活性端末判定要求に対する前記サーバ装置の判定結果を受信する判定結果受信部と、
   前記判定結果が、前記決済媒体にチャージを行った端末装置の識別情報が不活性端末情報に含まれることを示す場合、当該決済媒体にチャージを行った端末装置の識別情報を、使用停止対象の端末装置を示す識別情報として前記決済媒体に書き込む書込部と、
   を具備し、
   前記サーバ装置は、
   前記不活性端末情報を記憶する不活性端末情報記憶部と、
   前記不活性端末判定要求を受信する不活性端末判定要求受信部と、
   前記不活性端末判定要求送信部からの要求に応じて、前記決済媒体にチャージを行った端末装置の識別情報が前記不活性端末情報に含まれるか否かを判定する不活性端末判定部と、
   判定結果を送信する判定結果送信部と、
   を具備し、
   前記第２端末装置は、前記決済媒体が、使用停止対象の端末装置を示す識別情報を記憶しており、かつ、当該使用停止対象の端末装置を示す識別情報と、当該第２端末装置自らの識別情報とが一致すると判定すると、当該第２端末装置自らの機能を停止させる処理を行うロック処理部を具備することを特徴とする電子マネーシステム。
2. プリペイド式電子マネーの決済媒体から、当該決済媒体にチャージを行った端末装置の識別情報を読み取る媒体データ取得部と、
   前記端末装置の識別情報が、使用停止対象の端末装置を示す不活性端末情報に含まれるか否かの判定を要求する不活性端末判定要求を、サーバ装置に送信する不活性端末判定要求送信部と、
   前記不活性端末判定要求に対する前記サーバ装置の判定結果を受信する判定結果受信部と、
   前記判定結果が、前記端末装置の識別情報が不活性端末情報に含まれることを示す場合、前記決済媒体にチャージを行った端末装置の識別情報を、使用停止対象の端末装置を示す識別情報として前記決済媒体に書き込む書込部と、
   を具備することを特徴とする端末装置。

Images