JP6454175B2 - 可搬型決済端末装置 - Google Patents

Description

本発明は、取引における決済処理の手続を行うために使用される可搬型決済端末装置に関する。

例えば、クレジットカードを使用した物品又は役務の（信用）取引においては、取引を行う人物と取引に使用されるクレジットカードの所有者とが同一人物であるかどうかを確認（本人確認）することにより、取引の安全性（セキュリティ）が確保されている。この本人確認は、取引の決済処理時に取引内容の印字された取引伝票に顧客がサインし、このサインとクレジットカードに記載されているサインとを店員が目視により対比することにより行われている。

近年、このような署名の入力及び表示が可能な端末装置は、スマートフォンやタブレット端末を用いて実現されている。スマートフォンやタブレット端末は民生用機器として多数流通しており、安価に調達して決済端末装置を構築することが可能となる。即ち、このような決済端末装置は、スマートフォンやタブレット端末等のように民生用機器として多数流通している情報端末を用いて構成できれば、決済端末装置自体を安価に調達可能である。また、決済処理その他の業務に用いられるアプリケーション（ソフトウェア）の開発プラットフォームの汎用化が可能となるので、開発資産の再利用や流用が容易となる。

しかしながら、民生用機器として使用されることを想定して設計された情報端末には、顧客の情報を保護して取引を安全に行うために必要な「耐タンパ性」が備わっていない。「耐タンパ性」とは、情報端末から情報を盗み出そうとする攻撃に対する耐性である。情報端末から情報を盗み出そうとする攻撃の対策として耐タンパ性を確保するため、決済処理に用いられるカードの認証情報に関わる部分（特許文献１では「セキュア部」と称されている。決済端末装置として必要な耐タンパ性を備える部分。）が汎用部分から分離された移動体装置が提案されている（例えば特許文献１、２参照）。

米国特許出願公開第２０１０／０１４５８５４号明細書 特開２００４−３５５２１１号公報

しかし、上述した特許文献１，２を含む従来の情報処理装置では、セキュアな部分についてはセキュリティが確保されるが、非セキュアな部分については一般的にセキュリティが不十分となる。そのため、非セキュアな部分に、不正なアプリケーションがインストールされた場合、本人確認のための認証情報（例えば、ＰＩＮ（Personal Identification Number）又は署名）を入力するための正規な入力領域が不正に隠される可能性があった。或いは、不正なアプリケーションにより別の不正な入力領域が表示される可能性があった。このような事情から、ユーザは、不正な入力領域を正規な入力領域と錯誤して、不正な入力領域に認証情報を入力した場合に、認証情報を奪取（フィッシング）される可能性があった。

本発明は、上述した従来の状況に鑑みて、セキュアな部分と非セキュアな部分とが共存する場合であっても、認証情報のセキュリティを確保し、操作者の錯誤や誤操作を抑制する可搬型決済端末装置を提供することを目的とする。

本発明は、筐体に収容され、決済に関する金額等を表示する第１の入力表示部を備え、決済アプリケーション以外の業務アプリケーションを単独で実行する非セキュアな第１の情報処理部と、前記筐体に収容され、決済に用いられるカードが正当な者によって保有されているか否かの認証に用いられる認証情報が入力されるとともに、前記カードの認証に必要な認証情報の入力表示を行う第２の入力表示部とを備え、前記決済アプリケーションで実行される決済処理の一部を構成する前記認証情報を用いた認証処理を単独で実行する耐タンパ性を有するセキュアな第２の情報処理部と、耐タンパ性を有するセキュアモードであることを示すセキュア表示、又は、耐タンパ性を有しない非セキュアモードであることを示す非セキュア表示を、前記第１の情報処理部のセキュア状態フラグの変更に応じた、前記第２の情報処理部の点灯および消灯の制御により行うセキュア状態表示部と、を有し、前記認証処理を含む前記決済アプリケーションは、前記第１の情報処理部と前記第２の情報処理部との協働によって実行され、前記第１の入力表示部と前記第２の入力表示部とは、矩形状となる前記筐体の操作面長手方向に沿うように並んで配置される、可搬型決済端末装置である。

本発明によれば、セキュアな部分と非セキュアな部分とが共存する場合であっても、認証情報のセキュリティを確保できるとともに、操作者の錯誤や誤操作を抑制することができる。

（Ａ）第１の実施形態の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 第１の実施形態の決済端末装置における署名入力画面の表示例を示す正面図 第１の実施形態の決済端末装置のハードウェア構成の一例を示すブロック図 （Ａ）第２の実施形態の決済端末装置の正面図、（Ｂ）（Ａ）に示した決済端末装置の側面図、（Ｃ）第２の実施形態の変形例の決済端末装置の正面図 第２の実施形態の決済端末装置の決済処理時における動作手順を詳細に説明するフローチャート 第２の実施形態の変形例の決済端末装置の決済処理時における動作手順を詳細に説明するフローチャート （Ａ）第３の実施形態の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 表示を分割制御するハードウェア構成の一例を示すブロック図 （Ａ）表示面上にセキュア表示領域が表示される第３の実施形態の変形例の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 （Ａ）第３の入力表示部が設けられる第４の実施形態の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図 セキュアＬＥＤと非セキュアＬＥＤとが設けられた第４の実施形態の変形例の決済端末装置の正面図、（Ｂ）（Ａ）に示す決済端末装置の側面図

以下、本発明に係る情報処理装置の各実施形態について、図面を参照して説明する。以下の各実施形態では、本発明に係る情報処理装置の一例として、商品又は役務の取引における決済処理の際に用いられる決済端末装置を例示して説明する。

（第１の実施形態）
図１（Ａ）は、第１の実施形態の決済端末装置１１の正面図である。図１（Ｂ）は、図１（Ａ）に示す決済端末装置１１の側面図である。図２は、第１の実施形態の決済端末装置１１における署名入力画面１３の表示例を示す正面図である。図３は、第１の実施形態に係る決済端末装置１１のハードウェア構成の一例を示すブロック図である。

本実施形態の決済端末装置１１は、可搬型であり、例えば商品又は役務の取引における決済処理を含む各種情報処理を行う第１の情報処理部１５（図３参照）と第２の情報処理部１７を備える。

本実施形態の決済端末装置１１は、筐体１９の操作面２１に第１の入力表示部（具体的には第１のタッチパネル３１）を備える。第１の入力表示部（第１のタッチパネル３１）が設けられた筐体１９には、第１の情報処理部１５が収容される。操作者に把持される筐体１９の第１の情報処理部１５よりも手前には、耐タンパ性を有するセキュアな第２の情報処理部１７が収容される。第２の情報処理部１７は、第２の入力表示部（具体的には第２のタッチパネル３５）を備える。第２の入力表示部（第２のタッチパネル３５）は、第１の入力表示部（第１のタッチパネル３１）よりも手前の操作面２１に配置される。

なお、以下の各実施形態において、「手前」とは、操作面２１を鉛直線に沿う方向で起立させた筐体１９の下側であり、操作面２１を鉛直線に略直交する面に沿うように筐体１９を把持したときの操作者に近い側を言う。したがって本実施形態の決済端末装置１１は、操作面２１にある第１の入力表示部（第１のタッチパネル３１）とセキュアな第２の入力表示部（第２のタッチパネル３５）とが鉛直線に沿う方向に並ぶように筐体１９を起立させたときに、第２の入力表示部（第２のタッチパネル３５）は、第１の入力表示部（第１のタッチパネル３１）よりも筐体１９の下側に配置される。または、本実施形態の決済端末装置１１において、第１の入力表示部（第１のタッチパネル３１）とセキュアな第２の入力表示部（第２のタッチパネル３５）とは、決済端末装置１１の筐体の重心を挟んで互いに反対側に位置する端部に偏らせて、決済端末装置１１の筐体の一面である操作面２１に配置される。

決済端末装置１１は、可搬型であり、第１の情報処理部１５と、「セキュア」な第２の情報処理部１７とを含む構成である。「セキュア」とは、耐タンパ性を備えることを意味する。「タンパ」とは、情報処理装置（例えば決済端末装置１１）内部のソフトウェアやハードウェアの不正な解析、改変や、情報処理装置（例えば決済端末装置１１）内部の情報の不正な奪取、改変、利用不能にする攻撃を指す。したがって「耐タンパ性」とは、そのような攻撃に対する耐性を指す。耐タンパ性を有することで、例えば、決済処理において顧客の情報を保護し、取引を安全に実施できる。

決済端末装置１１は、第１の情報処理部１５及び第２の情報処理部１７が、単一の筐体１９の結合面２３において互いに結合可能に構成される。なお、第１の情報処理部１５及び第２の情報処理部１７は、分離可能でなくてもよい。また、第１の情報処理部１５は、「セキュア」に構成されても、「非セキュア」に構成されてもよい。「非セキュア」とは、耐タンパ性を備えていない、または耐タンパ性能が低いことを意味する。

決済端末装置１１は、第１の入力表示部を挟んで第２の入力表示部の反対側（非セキュア側）に磁気カードリーダ部２５が配置される。磁気カードリーダ部２５は、スリット２７を、第１の情報処理部１５の前面２９に備える。スリット２７は、磁気カードがスライド（スワイプ）され、磁気カードの情報（磁気ストライプ）を読み取るためのパスとなる。なお、スリット２７は、第１の情報処理部１５に設けられず、第２の情報処理部１７に設けられてもよい。

決済端末装置１１は、２つの入力部及び表示部（第１の入力表示部、第２の入力表示部）、即ち２つのタッチパネル（第１のタッチパネル３１、第２のタッチパネル３５）を備える。具体的には、第１の情報処理部１５が備える前面２９には、第１の入力表示部である第１のタッチパネル３１が設けられ、第２の情報処理部１７が備える前面３３には、第２の入力表示部である第２のタッチパネル３５が設けられる。第１のタッチパネル３１は、例えば非セキュアな内容としての金額情報を表示し、更に、金額の入力を受け付ける。また、第２のタッチパネル３５は、例えばセキュアな内容としてのＰＩＮ入力画面を表示し、更に、ＰＩＮの入力を受け付ける。

図２では、本実施形態の決済端末装置１１における署名入力画面１３の表示例が示されている。第１のタッチパネル３１には、例えば金額情報が表示され、第２のタッチパネル３５は、例えば非セキュアな内容としての署名入力画面１３が表示され、更に、操作者（例えばクレジットカード取引を行った商品の購入者）の署名が入力される。

図３に示す決済端末装置１１は、第１の情報処理部１５及び第２の情報処理部１７を備える。第１の情報処理部１５は、第１のＣＰＵ３７（Central Processing Unit）と、局所無線通信部３９と、広域無線通信部４１と、音声入出力部４３と、第１の表示部４５と、第１のタッチ入力検出部４７とを含む構成である。また、第１の情報処理部１５は、第１のフラッシュＲＯＭ４９（Read Only Memory）と、第１のＲＡＭ５１（Random Access Memory）と、キー入力部５３と、磁気カードリーダ部２５と、第１の電源部５５と、第１のバッテリ５７と、第１のＩＦ（Interface）部５９とを含む構成である。また、第１の情報処理部１５は、向き検知部６１を更に備えてもよい。

第１の情報処理部１５では、第１のＣＰＵ３７に対して、各部が接続される。第１のＣＰＵ３７は、第１の情報処理部１５の全体を統括し、例えば、各種制御、処理、設定、判定、決定、確認を行う。

局所無線通信部３９は、局所無線通信アンテナ６３と接続され、局所無線通信路（図示略）を用いて、例えば無線ＬＡＮ通信する機能を有する。局所無線通信部３９は、無線ＬＡＮ通信以外の通信（例えばBluetooth（登録商標）通信）を行ってもよい。

広域無線通信部４１は、広域無線通信アンテナ６５と接続され、図示しない広域無線通信路（例えばＷＡＮ（Wide Area Network））を介して通信する機能を有する。広域無線通信路における通信は、例えばＷ−ＣＤＭＡ（Wideband Code Division Multiple Access）、ＵＭＴＳ（Universal Mobile Telecommunications System）、ＣＤＭＡ（Code Division Multiple Access）２０００、ＬＴＥ（Long Term Evolution）等の移動体通信を用いて行われてもよい。

音声入出力部４３は、マイク６７及びスピーカ６９と接続され、音声の入出力を制御する機能を有する。例えば、音声入出力部４３、マイク６７、スピーカ６９、及び無線電話回線通信部（図示略）により、他の携帯電話や固定電話との通話が可能となる。また、スピーカ６９は、例えば、ユーザ（店員又は顧客）が決済端末装置１１を操作する際に、ユーザへ注意喚起する音、操作エラーを示す警告音を発することにも使用される。

第１の表示部４５は、第１のタッチパネル３１（図１参照）の表示を制御する機能を有する。第１のタッチ入力検出部４７は、第１のタッチパネル３１に対するタッチ入力を検出する機能を有する。

第１のフラッシュＲＯＭ４９は、各種のデータを記憶する機能を有する。記憶されるデータは、業務に関わるデータでもよいし、決済端末装置１１（例えば第１の情報処理部１５）を制御するためのプログラムでもよい。

第１のＲＡＭ５１は、例えば、決済端末装置１１（例えば第１の情報処理部１５）の動作に伴う演算処理の際に、演算処理の途中において発生する処理データを、一時的に記憶するために用いられるメモリである。

キー入力部５３は、例えば、図１に示す入力キー７１からの入力を受け付ける機能を有する。磁気カードリーダ部２５は、図１におけるスリット２７の内部に配置され、磁気カードの磁気ストライプを読み取る機能を有する。

第１の電源部５５は、主に第１の情報処理部１５の電源であり、第１のバッテリ５７から電源の供給を受けて、第１の情報処理部１５の各部（例えば第１のＣＰＵ３７）へ電源を供給する。第１のＣＰＵ３７は、第１の電源部５５を制御することにより、第１の情報処理部１５を構成する一部又は全体の回路に対して、電源供給及び電源供給の停止が可能である。第１のＣＰＵ３７は、第１の電源部５５を制御することにより、第２の情報処理部１７に対して電源供給してもよい。

第１の情報処理部１５及び第２の情報処理部１７は、第１のインタフェース部（以下「第１のＩＦ部５９」）及び第２のインタフェース部（以下「第２のＩＦ部７３」）を介して、互いに接続され、各種のデータやコマンドの受け渡しが行われる。第１のＩＦ部５９と第２のＩＦ部７３とは、互いに結合可能である。

第２の情報処理部１７は、第２のＩＦ部７３と、第２のＣＰＵ７５と、第２の表示部７７と、第２のタッチ入力検出部７９と、第２のフラッシュＲＯＭ８１と、第２のＲＡＭ８３と、セキュア入力部８５と、第２の電源部８７とを含む構成である。なお、本実施形態において、向き検出部は第１の情報処理部１５に設けられているが、その代わりに第２の情報処理部１７に設けられてもよい。

第２の情報処理部１７では、第２のＣＰＵ７５に対して、各部が接続される。第２のＣＰＵ７５は、第２の情報処理部１７の全体を統括し、例えば、各種制御、処理（例えば決済処理）、設定、判定、決定、確認、認証、照合（例えば、ＰＩＮ、署名、の照合）を行う。

第２の表示部７７は、第２のタッチパネル３５（図１参照）の表示を制御する機能を有する。第２のタッチ入力検出部７９は、第２のタッチパネル３５に対するタッチ入力を検出する機能を有する。

第２のフラッシュＲＯＭ８１は、各種のデータを記憶する機能を有する。記憶されるデータは、業務に関わるデータでもよいし、決済端末装置１１（例えば第２の情報処理部１７）を制御するためのプログラムでもよい。

第２のＲＡＭ８３は、例えば、決済端末装置１１（例えば第２の情報処理部１７）の動作に伴う演算処理等の際に、演算処理の途中において発生する処理データを、一時的に記憶するために用いられるメモリである。

セキュア入力部８５は、例えば、ＰＩＮを入力するための物理的なキー又はソフトキーを有してもよい。セキュア入力部８５には、例えば、署名が入力されてもよい。セキュア入力部８５には、例えば、指又はスタイラスペンを用いて、ＰＩＮが手書き入力されてもよい。

セキュア入力部８５は、図１，図２において図示されていないが、例えば図１において、第２の情報処理部１７の裏面に配置されてよい。第２の情報処理部１７の裏面は、第２のタッチパネル３５が設けられた前面２９（表示面）に対して反対側に位置する面である。

第２の電源部８７は、主に第２の情報処理部１７の電源であり、第２のバッテリ８９から電源の供給を受けて、第２の情報処理部１７の各部（例えば第２のＣＰＵ７５）へ電源を供給する。第２のＣＰＵ７５は、第２の電源部８７を制御することにより、第２の情報処理部１７を構成する一部又は全体の回路に対して、電源供給及び電源供給の停止が可能である。第２のＣＰＵ７５は、第２の電源部８７を制御することにより、第１の情報処理部１５に対して電源供給してもよい。

また、決済端末装置１１は、重力に対する決済端末装置１１の向きを検知する向き検知部６１を備える。向き検知部６１は、例えば、第１の情報処理部１５及び第２の情報処理部１７の少なくとも一方に設けられる。向き検知部６１は、例えば加速度センサを用いて構成されても良い。図３では、向き検知部６１が第１の情報処理部１５に設けられることを例示している。

決済端末装置１１は、「セキュア」又は「非セキュア」な第１の情報処理部１５と、「セキュア」な第２の情報処理部１７とが、互いに結合可能となる。決済に用いられるカードの認証情報（例えば署名、ＰＩＮ情報）の入力及び表示は、「セキュア」な第２の情報処理部１７が備える第２のタッチパネル３５に対して行われる。従って、決済端末装置１１は、決済に用いられるカードの認証情報の入力と表示が可能であり、「耐タンパ性」も確保できる。「耐タンパ性」を必要とする「セキュア」な部分は、第２の情報処理部１７に局所化されたセキュアモジュール９１として構成されている。

セキュアモジュール９１は、耐タンパ性を有することで、非正規な手段による機密データの読み取りを防ぐ。耐タンパ性を高めるには、外部から読み取りにくいよう機密性を高める方法と、セキュアモジュール９１の物理的な閉塞が破られていないか否かを検出する機構を設ける方法とがある。セキュアモジュール９１は、セキュアモジュール９１の物理的な閉塞が破られたことを検出すると、外部からの読み取りを困難にしてもよいし、セキュアモジュール９１の内部にあるプログラムやデータを破壊してもよい。セキュアモジュール９１は、これらの双方を備えることができる。外部から読み取りを困難にする方法としては、プログラム自体を暗号化し、実行時に必要な分だけ復号して実行するソフトウェアを格納することで実現される。また、外部から読み取りに対し、プログラムやデータを破壊する方法としては、セキュアモジュール９１の閉塞が破られると、秘密情報を消去または所定の値で上書きして安全に書き潰す回路、或いは動作できなくなる回路など設けることで実現される。

一方、第１の情報処理部１５としては、例えば、民生用に多数流通している情報端末（例えばスマートフォン、タブレット端末）が用いられてもよい。第１の情報処理部１５には、例えば、汎用的なオペレーティングシステムがソフトウェア・プラットフォームとして採用される。

従って、決済用のアプリケーション・ソフトウェア（以下「決済アプリケーション」、及びその他の業務に用いられるアプリケーション・ソフトウェア（以下「業務アプリケーション」）の開発資産の再利用や流用は、容易となる。また、決済アプリケーション及びその他の業務アプリケーションは、例えば高い演算処理能力を備える第１の情報処理部１５により処理されることで、ストレスなく柔軟に動作する。

決済端末装置１１は、第１の情報処理部１５にインストールされた決済アプリケーション（図示略）を実行させて、決済手続を開始する。決済端末装置１１は、決済に関する情報（例えば、金額情報、支払方法、決済に使用されるカードブランド情報）を、決済アプリケーションへの入力により、又は決済端末装置１１の外部から受け取る。

決済端末装置１１は、決済に関する情報を受け取ると、例えば図１に示すように、第１のＣＰＵ３７及び第１のタッチパネル３１が、決済に使用されるカードの読取り操作を促す処理及び表示を行う。

決済に使用されるカードの読取り操作を促す処理及び表示は、カードの読取りが行われたことが確認されるまで行われる。カードの読取りが行われたことが確認されたら、決済端末装置１１は、カードの認証手続に入る。

カードの認証方法は、例えば、決済に使用されるカードの種類、カードの情報、又は、決済端末装置１１を使用する加盟店（クレジットカード取引を取扱うクレジットカード加盟店）と決済センタとの間で結ばれている契約、に基づいて決定される。

認証方法がＰＩＮによる場合、決済端末装置１１は、ＰＩＮ入力画面の表示を、第２の情報処理部１７に配置された第２のタッチパネル３５に対して行い、カードの使用者（例えばクレジットカード取引における商品の購入者）によるＰＩＮの入力完了を待つ。ＰＩＮ入力画面は、ＰＩＮの入力が可能な画面である。ＰＩＮ入力画面の表示は、例えば、ＰＩＮの入力が完了したことが確認されるまで行われる。

ＰＩＮの入力が完了したことが確認されると、決済端末装置１１は、入力されたＰＩＮが、決済に使用されるカードに登録されたＰＩＮ又は決済センタに登録されたＰＩＮ、と一致するか否かの照合結果が得られるのを待つ。

ＰＩＮの照合は、例えば決済センタにおいて行われる。決済端末装置１１は、入力されたＰＩＮを暗号化して、その暗号化されたＰＩＮを、カード情報とともに決済センタに送信する。

決済センタは、決済端末装置１１から受信したＰＩＮを復号し、復号されたＰＩＮと決済センタにおいて管理されているＰＩＮとを照合する。これら２つのＰＩＮが一致し、ＰＩＮとともに送信されてきたカード情報を有するカードが取引上問題無いと確認された（例えばブラックリストに載っていない）場合、決済センタは、決済端末装置１１に対して与信を行う。

決済端末装置１１は、決済センタからの与信を受けて、その後の決済処理としての売上処理を行い、決済センタとの通信を終了する。決済端末装置１１は、その売上処理のデータの決済センタへの送信を、売上処理の完了後から決済センタとの通信を終了するまでの間に行ってもよいし、他の決済の売上処理データと併せて後ほど行ってもよい。

２つのＰＩＮが一致しない場合、決済センタは、決済端末装置１１に対して与信できない旨の通知を行う。決済端末装置１１は、決済センタからの通知を受けて売上処理を行わず、決済は中止される。

認証方法がＰＩＮによる場合において、ＰＩＮの照合は、決済端末装置１１と、その決済端末装置１１に読み取られるクレジットカード（図示略）との間で行ってもよい。決済端末装置１１は、入力されたＰＩＮと、クレジットカード内のチップ（図示略）に予め記録されているＰＩＮと、が一致するという照合結果が、クレジットカード内のチップから得られれば、その後の決済処理としての売上処理を行う。

決済端末装置１１は、その売上処理のデータの決済センタへの送信を、売上処理の完了直後かつ決済センタとの通信を終了する前に行ってもよいし、他の決済の売上処理データと併せて後ほど行ってもよい。２つのＰＩＮが一致しないという照合結果が得られた場合には、決済端末装置１１における売上処理は中止され、決済は中止される。

認証方法が署名による場合、決済端末装置１１は、署名入力画面１３の表示を、第２の情報処理部１７に配置された第２のタッチパネル３５に対して行い、カードの使用者による署名の入力完了を待つ。署名入力画面１３は、例えば、図２に示す署名の入力が可能な画面である。署名入力画面１３の表示は、例えば、署名の入力が完了したことが確認されるまで行われる。署名の入力が完了したことが確認されると、決済端末装置１１は、決済処理を実行する。

以上の動作例は、決済端末装置１１が備える第１の情報処理部１５と、「セキュア」な第２の情報処理部１７と、の協働により行われる。決済アプリケーションは、第１の情報処理部１５において動作する。決済に関する情報（例えば、金額情報、支払方法、決済に使用されるカードブランドの情報）の表示や、決済に使用されるカードの読取り操作を促す表示は、第１の情報処理部１５又は「セキュア」な第２の情報処理部１７のいずれかにおいて行われてよい。

一方、ＰＩＮ入力画面又は署名入力画面１３の表示は、「セキュア」な第２の情報処理部１７に配置された第２のタッチパネル３５により行われる。ＰＩＮ入力画面又は署名入力画面１３の表示は、決済に使用されるカードの読取り操作を促す表示が行われ、使用されるカードの読取りが行われてから、カードの使用者によるＰＩＮ又は署名の入力が完了するまで行われる。

以上に述べたように、決済端末装置１１は、顧客によって決済に用いられるカードの認証情報（例えば署名又はＰＩＮ）の入力と表示が可能であり、「耐タンパ性」も確保できる。

本実施形態に係る決済端末装置１１では、セキュアな第２の情報処理部１７が、第１の情報処理部１５と隔絶して配置可能となる。これにより、第２の情報処理部１７は、必要最小スペースでのセキュアモジュール９１として集中配置が可能となる。従って、第２の情報処理部１７は、耐タンパ性（セキュリティ）の確保が容易となる。また、第１のタッチパネル３１とは別に、セキュア専用の第２のタッチパネル３５が設けられることで、操作者は、セキュアが保証された入力領域であることを容易に認識できる。このように、決済端末装置１１は、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを知らしめることができる。その結果、認証情報の安全な入力が可能となり、かつ入力された認証情報のセキュアな処理が実現する。さらに、第２のタッチパネル３５が設けられた第２の情報処理部１７は、第１の情報処理部１５とは異なる色（および表面処理）の筐体を備えてもよい。または、セキュア専用の第２のタッチパネル３５における表示の背景色は、第１の情報処理部１５に設けられた第１のタッチパネル３１における表示の背景色とは異なるものであってもよい。これらによっても、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを知らしめることができる。

また、決済端末装置１１では、磁気カードリーダ部２５がセキュアな第２の情報処理部１７から外れた第１の情報処理部１５に配置される。従って、第２の情報処理部１７は、必要最小スペースでの集中配置が可能となる。これにより、第２の情報処理部１７において、耐タンパ性の確保が物理的に容易となる。その結果、決済端末装置１１は、ＰＩＮなどの認証情報をセキュアに入力するセキュリティの高さを確保しながら、磁気カード読取りスワイプ操作の使い易さも同時に実現できる。

（第２の実施形態）
図４（Ａ）は、第２の実施形態の決済端末装置９３Ａの正面図である。図４（Ｂ）は、図４（Ａ）に示した決済端末装置９３Ａの側面図である。なお、以下の各実施形態において、図１〜図３に示した部材・部位と同等のものには同一の符号を付して重複する説明は省略する。図５は、第２の実施形態の決済端末装置９３Ａの決済処理時における動作手順を詳細に説明するフローチャートである。

本実施形態の決済端末装置９３Ａは、例えば認証情報（例えばＰＩＮ又は署名）の入力時に、第１の情報処理部１５が非セキュアモードであることを示す非セキュアＬＥＤ（セキュア状態表示部）９５Ａを消灯させ、認証情報の入力時以外では第１の情報処理部１５が非セキュアモードであることを示す非セキュアＬＥＤ９５Ａを点灯させる。非セキュアＬＥＤ９５Ａは、第１のタッチパネル３１と第２のタッチパネル３５との間の操作面２１に配置される（図４（Ａ）参照）。

次に、本実施形態の決済端末装置９３Ａの決済処理時における動作について、図５を参照して説明する。決済端末装置９３Ａは、第２の情報処理部１７にインストールされた端末ＵＩ決済アプリケーション（図示略）を実行させて、決済処理の手続を開始する。図５の説明の前提として、決済端末装置９３Ａは、非セキュアモードの状態とする。非セキュアＬＥＤ９５Ａは、点灯状態である。

図５において、まず、オペレーティングシステム（図示略）は、第１の情報処理部１５が非セキュアモードの状態であることを示すために、非セキュアフラグを「Ｔｒｕｅ」に設定する（Ｓ１Ａ）。非セキュアフラグが「Ｔｒｕｅ」に設定されると、第２のＣＰＵ７５は、非セキュアＬＥＤ９５Ａに、「ＮＯＮ ＳＥＣＵＲＥＤ」を点灯させる（図４（Ａ）参照）。

例えば第１の情報処理部１５にインストールされた端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）は、決済金額情報及び支払方法の入力を受け付けると（Ｓ２）、カードの読取り操作を促すためのメッセージを第１のタッチパネル３１に表示させる（Ｓ３）。

ＩＣカード入出力ドライバ（図示略）は、ユーザのＩＣカードのスリットへのスライド、挿入口への挿入又は決済端末装置９３Ａの前面２９への近接のいずれかの操作により、ＩＣカードを読み取るまで待機する（Ｓ４）。ＩＣカードが読み取られると（Ｓ４、ＹＥＳ）、オペレーティングシステム（図示略）は、第１の情報処理部１５がセキュアモードの状態に変更されたことを示すために、非セキュアフラグを「Ｆａｌｓｅ」に変更する（Ｓ５Ａ）。非セキュアフラグが「Ｆａｌｓｅ」に変更されると、第２のＣＰＵ７５は、非セキュアＬＥＤ９５Ａに、ステップＳ１Ａにおいて点灯された「ＮＯＮ ＳＥＣＵＲＥＤ」を消灯させる。

例えば第２の情報処理部１７にインストールされたセキュア画面ＵＩアプリケーション（具体的には、第２のＣＰＵ７５）は、第２のＩＦ部７３、第１のＩＦ部５９及び第１のＣＰＵ３７を介して、第１のタッチパネル３１に対し、ＰＩＮ情報の入力をユーザに対して促すためのメッセージと、ソフトウェアキーボードの一例としてのＰＩＮパッドとの表示を指示する（Ｓ６）。

第２のＣＰＵ７５は、第２のタッチ入力検出部７９を介して、第２のタッチパネル３５により入力されたＰＩＮ情報を入力する（Ｓ７）。

ＰＩＮ情報が第２のタッチ入力検出部７９に入力されると、オペレーティングシステムは、第１の情報処理部１５が非セキュアモードの状態に変更されたことを示すために、非セキュアフラグを「Ｔｒｕｅ」に変更する（Ｓ８Ａ）。非セキュアフラグが「Ｔｒｕｅ」に変更されると、第２のＣＰＵ７５は、非セキュアＬＥＤ９５Ａに、ステップＳ５Ａにおいて消灯された「ＮＯＮ ＳＥＣＵＲＥＤ」を点灯させる（図４（Ａ）参照）。なお、非セキュアＬＥＤ９５Ａにおける「ＮＯＮ ＳＥＣＵＲＥＤ」の点灯および消灯は、セキュアな第２の情報処理部１７の第２のＣＰＵ７５、即ち、セキュアな実行環境の下で制御される。

図５に示すＰＩＮ照合が必要な決済処理時における動作手順において、ステップＳ７において入力されたＰＩＮ情報は、ステップＳ４において読み取りを行ったＩＣカードが復号可能な鍵によって暗号化されてもよい。ステップＳ７において第２のタッチパネル３５により入力されたＰＩＮ情報は暗号化されてもよい。暗号化されたＰＩＮ情報（暗号化ＰＩＮ情報）は、第２のＣＰＵ７５に出力される。

第２のＣＰＵ７５は、ＰＩＮ情報又は暗号化ＰＩＮ情報を、不図示の所定のドライバ（例えばＩＣカード入出力ドライバ及びＩＣカードリーダドライバ）を介して、ＩＣカードに渡す。

ＩＣカードは、第２のＣＰＵ７５より得られたＰＩＮ情報又は暗号化ＰＩＮ情報を復号したデータとＩＣカードに予め登録されているＰＩＮ情報とを照合し（Ｓ９）、それらのＰＩＮの照合結果を出力する。第２のＣＰＵ７５は、ＩＣカードから出力されたＰＩＮの照合結果を、上述したＩＣカードリーダドライバ及びＩＣカード入出力ドライバを介して入力する。

第２のＣＰＵ７５は、ステップＳ７において入力されたＰＩＮ情報とステップＳ４において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果がＩＣカードから得られれば、オペレーティングシステムを介して、第１の情報処理部１５にインストールされた端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）に対して、その後の決済処理としての売上処理を指示する（Ｓ１０）。

第１の情報処理部１５において、端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）は、ステップＳ７において入力されたＰＩＮ情報とステップＳ４において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果が得られれば、その後の決済処理としての売上処理を行う。売上処理後の売上処理データは、第１の情報処理部１５にインストールされたセンタ接続アプリケーション（具体的には、第１のＣＰＵ３７）を介して、決済センタへと送信される。なお、ステップＳ１０に示す売上処理データの売上処理は、顧客が商品を購入した場合又は役務の提供を受けた場合に都度、実行されてもよいし、決済端末装置９３Ａと決済センタとの通信が所定のタイミング（例えば１週間に１回）において行われ、その際に他の売上処理データとともに一括で処理されてもよい。

一方、第２のＣＰＵ７５は、ステップＳ９におけるＰＩＮ情報の照合の結果、両者が一致しないと判断した場合には、第２の情報処理部１７にインストールされたセキュア画面ＵＩアプリケーション（具体的には、第２のＣＰＵ７５）に対し、第１のタッチパネル３１に決済処理を中止する旨のメッセージの表示を実行させる（Ｓ１１）。第２のＣＰＵ７５は、第１の情報処理部１５にインストールされた端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）に対して売上処理を指示せず、その後の決済処理の手続は中止される。

この決済端末装置９３Ａでは、非セキュアＬＥＤ９５Ａによって、非セキュア表示（例えば「ＮＯＮ ＳＥＣＵＲＥＤ」）が点灯または消灯される。この非セキュアＬＥＤ９５Ａが、セキュアな第２のタッチパネル３５と共に、手前に互いに隣接してまとまった位置で設けられる。このように、決済端末装置９３Ａは、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、近傍に配置した非セキュアＬＥＤ９５Ａを視認させることで、知らしめることができる。その結果、認証情報の安全な入力が可能となり、かつ入力された認証情報のセキュアな処理が実現する。

（第２の実施形態の変形例）
図４（Ｃ）は、第２の実施形態の変形例の決済端末装置９３Ｂの正面図である。図６は、第２の実施形態の変形例（以下、「本変形例」という）の決済端末装置９３Ｂの決済処理時における動作手順を詳細に説明するフローチャートである。決済端末装置９３Ｂは、第２の情報処理部１７にインストールされた端末ＵＩ決済アプリケーション（図示略）を実行させて、決済処理の手続を開始する。図６の説明の前提として、決済端末装置９３Ｂは、非セキュアモードの状態とする。セキュアＬＥＤ９５Ｂは、消灯状態である。

本変形例の決済端末装置９３Ｂは、例えば認証情報（例えばＰＩＮ又は署名）の入力時に、第１の情報処理部１５がセキュアモードであることを示すセキュアＬＥＤ（セキュア状態表示部）９５Ｂを点灯させ、認証情報の入力時以外では第１の情報処理部１５がセキュアモードであることを示すセキュアＬＥＤ９５Ｂを消灯させる。セキュアＬＥＤ９５Ｂは、第１のタッチパネル３１と第２のタッチパネル３５との間の操作面２１に配置される（図４（Ｃ）参照）。

図６において、まず、オペレーティングシステム（図示略）は、第１の情報処理部１５が非セキュアモードの状態であることを示すために、セキュアフラグを「Ｆａｌｓｅ」に設定する（Ｓ１Ｂ）。セキュアフラグが「Ｆａｌｓｅ」に設定されると、第２のＣＰＵ７５は、セキュアＬＥＤ９５Ｂに、「ＳＥＣＵＲＥＤ」を消灯させる。図４（Ｃ）における「ＳＥＣＵＲＥＤ」（セキュアＬＥＤ９５Ｂ）は点灯状態を示しているが、ステップＳ１Ｂにおいて「ＳＥＣＵＲＥＤ」は消灯状態である。

例えば第１の情報処理部１５にインストールされた端末ＵＩ決済アプリケーション（具体的には、第１のＣＰＵ３７）は、決済金額情報及び支払方法の入力を受け付けると（Ｓ２）、カードの読取り操作を促すためのメッセージを第１のタッチパネル３１に表示させる（Ｓ３）。

ＩＣカード入出力ドライバ（図示略）は、ユーザのＩＣカードのスリットへのスライド、挿入口への挿入又は決済端末装置９３Ｂの前面２９への近接のいずれかの操作により、ＩＣカードを読み取るまで待機する（Ｓ４）。ＩＣカードが読み取られると（Ｓ４、ＹＥＳ）、オペレーティングシステム（図示略）は、第１の情報処理部１５がセキュアモードの状態に変更されたことを示すために、セキュアフラグを「Ｔｒｕｅ」に変更する（Ｓ５Ｂ）。セキュアフラグが「Ｔｒｕｅ」に変更されると、第２のＣＰＵ７５は、セキュアＬＥＤ９５Ｂに、ステップＳ１Ｂにおいて消灯された「ＳＥＣＵＲＥＤ」を点灯させる（図４（Ｃ）参照）。

例えば第２の情報処理部１７にインストールされたセキュア画面ＵＩアプリケーション（具体的には、第２のＣＰＵ７５）は、第２のＩＦ部７３、第１のＩＦ部５９及び第１のＣＰＵ３７を介して、第１のタッチパネル３１に対し、ＰＩＮ情報の入力をユーザに対して促すためのメッセージと、ソフトウェアキーボードの一例としてのＰＩＮパッドとの表示を指示する（Ｓ６）。

第２のＣＰＵ７５は、第２のタッチ入力検出部７９を介して、第２のタッチパネル３５により入力されたＰＩＮ情報を入力する（Ｓ７）。

ＰＩＮ情報が第２のタッチ入力検出部７９に入力されると、オペレーティングシステムは、第１の情報処理部１５が非セキュアモードの状態に変更されたことを示すために、セキュアフラグを「Ｆａｌｓｅ」に変更する（Ｓ８Ｂ）。セキュアフラグが「Ｆａｌｓｅ」に変更されると、第２のＣＰＵ７５は、非セキュアＬＥＤ９５Ｂに、ステップＳ５Ｂにおいて点灯された「ＳＥＣＵＲＥＤ」を消灯させる。なお、セキュアＬＥＤ９５Ｂにおける「ＳＥＣＵＲＥＤ」の点灯および消灯は、セキュアな第２の情報処理部１７の第２のＣＰＵ７５、即ち、セキュアな実行環境の下で制御される。

本変形例の決済端末装置９３Ｂの決済処理時におけるステップＳ９以降の動作手順については、第２の実施形態の決済端末装置９３Ａの決済処理時におけるステップＳ９以降の動作手順と同様である。

この決済端末装置９３Ｂでは、セキュアＬＥＤ９５Ｂによって、セキュア表示（「ＳＥＣＵＲＥＤ」）が点灯または消灯される。このセキュアＬＥＤ９５Ｂが、セキュアな第２のタッチパネル３５と共に、手前に互いに隣接してまとまった位置で設けられる。このように、決済端末装置９３Ｂは、第２のタッチパネル３ BR>Tが、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、操作者の近傍に配置されたセキュアＬＥＤ９５Ｂを操作者に視認させることで、知らしめることができる。その結果、認証情報の安全な入力が可能となり、かつ入力された認証情報のセキュアな処理が実現する。

さらに、図４（Ａ）の決済端末装置９３Ａまたは図４（Ｃ）の決済端末装置９３Ｂのいずれにおいても、第２のタッチパネル３５が設けられた第２の情報処理部１７側の筐体は、第１の情報処理部１５側の筐体とは異なる色（および表面処理）を有してもよい。具体的には、第１のタッチパネル３１と、非セキュアＬＥＤ９５Ａ（図４（Ａ））またはセキュアＬＥＤ９５Ｂ（図４（Ｃ））との間にある破線を境に、決済端末装置９３Ａまたは決済端末装置９３Ｂの筐体の色（および表面処理）が異なってよい。もしくは、セキュア専用の第２のタッチパネル３５における表示の背景色は、第１のタッチパネル３１における表示の背景色とは異なるものであってもよい。これらのことによっても、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを知らしめることができる。

（第３の実施形態）
図７（Ａ）は、第３の実施形態の決済端末装置９７の正面図である。図７（Ｂ）は、（Ａ）に示す決済端末装置９７の側面図である。本実施形態の決済端末装置９７は、第１のタッチパネル３１と第２のタッチパネル３５との間に、第１の情報処理部１５がセキュアモードであることを示すセキュア報知（例えば表示、点灯）を行うセキュア報知部の一例としてのセキュアＬＥＤ（セキュア状態表示部）９９が配置される。また、本実施形態の決済端末装置９７は、第１のタッチパネル３１を挟んでセキュアＬＥＤ９９の反対側に、第１の情報処理部１５が非セキュアモードであることを示す非セキュア報知（例えば表示、点灯）を行う非セキュア報知部の一例としての非セキュアＬＥＤ（セキュア状態表示部）１０１が配置される。

また、この決済端末装置９７は、第１のタッチパネル３１の第２のタッチパネル３５に近接する側の表示面上に、セキュア表示領域１０３が表示される。セキュア表示領域１０３には、例えば「暗証番号を入力して下さい。」等が表示される。第１のタッチパネル３１では、セキュア表示領域１０３以外の表示領域が、非セキュア表示領域１０５となる。非セキュア表示領域１０５は、セキュア表示領域１０３よりも広い面積が設定される。

図８は、表示を分割制御するハードウェア構成の一例を示すブロック図である。決済端末装置９７は、図３に示す第１の情報処理部１５に、第１のタッチ入力処理部１０７と、第１の表示生成部１０９とを更に含む構成であり、更に、図３に示す第２の情報処理部１７に、切替部１１１と、第２のタッチ入力処理部１１３と、第２の表示生成部１１５と、タッチ・表示切替制御部１１７とを更に含む構成である。

第１のタッチ入力処理部１０７は、第１のタッチパネル３１の非セキュア表示領域１０５で入力された第１のタッチ入力検出部４７の入力値を取得する。第１の表示生成部１０９は、第１のタッチ入力検出部４７で取得された入力値に基づき、第１のＣＰＵ３７によって非セキュア表示領域１０５での表示データ（例えば「購入金額合計」）を生成する。そして、第１の表示生成部１０９は、第２のＣＰＵ７５によってセキュア表示領域１０３での表示データ（例えば「暗証番号を入力して下さい。」）を生成し、操作者に対して第１のタッチ入力検出部４７からＰＩＮを入力させる。

切替部１１１は、タッチ・表示切替制御部１１７からの表示領域切替の指示に応じて、第１のタッチ入力検出部４７及び第１の表示部４５を、第１のタッチ入力処理部１０７及び第１の表示生成部１０９、又は、第２のタッチ入力処理部１１３及び第２の表示生成部１１５に切り替えて接続する。

第２のタッチ入力処理部１１３は、第１のタッチパネル３１のセキュア表示領域１０３で入力された第１のタッチ入力検出部４７の入力値を取得する。第２の表示生成部１１５は、第１のタッチ入力検出部４７で取得された入力値に基づき、第２のＣＰＵ７５によってセキュア表示領域１０３での表示データを生成する。

タッチ・表示切替制御部１１７は、第２のＣＰＵ７５からの指示によって切替部１１１に表示領域切替の指示を送る。これにより、第１のタッチパネル３１は、セキュアな第２の情報処理部１７におけるタッチ・表示切替制御部１１７によって表示制御権が常に握られる（プロンプトコントロールされる）。

この決済端末装置９７では、第２のタッチパネル３５とセキュアＬＥＤ９９が、手前に互いに隣接してまとまった位置で設けられる。第２のタッチパネル３５とセキュアＬＥＤ９９が、第１のタッチパネル３１と非セキュアＬＥＤ１０１から位置的に分離される配置となることで、操作者は、セキュアであることが保証された入力領域であることを容易に認識でき、認証情報を安全に入力できる。

さらに、セキュア専用の第２のタッチパネル３５における表示の背景色も、第１のタッチパネル３１の非セキュア表示領域１０５における表示の背景色とは異なるものであってよい。そしてさらに、第１のタッチパネル３１のセキュア表示領域１０３における表示の背景色と、セキュア専用の第２のタッチパネル３５における表示の背景色とは、同一色または同系色であってもよい。そして、第１のタッチパネル３１のセキュア表示領域１０３における表示の背景色は、第１のタッチパネル３１の非セキュア表示領域１０５における表示の背景色とは異なるものであってよい。そしてさらに、第１のタッチパネル３１の非セキュア表示領域１０５とセキュア表示領域１０３との間にある破線を境に、決済端末装置９７の筐体の色（および表面処理）が異なってよい。そしてさらに、第１のタッチパネル３１の非セキュア表示領域１０５とセキュア表示領域１０３との間にある破線部分の筐体には、境界を示すための溝または線状の凸部が設けられてもよい。これらのことによっても、第１のタッチパネル３１のセキュア表示領域１０３および第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の表示または入力の安全性を保証する領域であることを知らしめることができる。

すなわち、第１のタッチパネル３１と第２のタッチパネル３５の間に一つの切り替え表示部９５（図４参照）が存在する配置に比べ、非セキュア、セキュアの区別がより明確となる。このように、決済端末装置９７は、操作者に対して認証情報の入力の安全性を保証する領域であることを知らしめ、入力された認証情報をセキュアに処理することができる。また、非セキュア、セキュアの区別がより容易となることで、第１のタッチパネル３１の非セキュア表示領域１０５を、第２のタッチパネル３５のセキュア表示領域１０３の広さ（長さ、幅）に比べて広く確保することが可能となる。これにより、第１のタッチパネル３１において、アプリケーションからの表示の柔軟性、多様性を高めることができる。

また、この決済端末装置９７では、第１のタッチパネル３１の第２のタッチパネル側の表示面上に、セキュア表示領域１０３が表示される。具体的にこのセキュア表示領域１０３には、例えば「暗証番号を入力して下さい。」等が表示される。非セキュアな第１のタッチパネル３１の一部分を使用して、第２のタッチパネル３５がセキュアモードであることの視認性を広い表示面積によって高めることができる。なお、この場合、第１のタッチパネル３１は、セキュアな第２の情報処理部１７によって表示制御権が常に握られる（プロンプトコントロールされる）ように構成される。

図９（Ａ）は、表示面上にセキュア状態表示領域１１９が表示される第３の実施形態の変形例に係る決済端末装置１２１の正面図である。図９（Ｂ）は、図９（Ａ）に示す決済端末装置１２１の側面図である。決済端末装置１２１は、第１のタッチパネル３１の第２のタッチパネル３５に近接する側の表示面上に、セキュア表示領域１０３と、セキュアモードであることを示すセキュア表示（ＳＥＣＵＲＥＤ）又は非セキュアモードであることを示す非セキュア表示（ＮＯＮ ＳＥＣＵＲＥＤ）を切り替えて表示する切り替え表示領域の一例としてのセキュア状態表示領域１１９と、を表示する。決済端末装置１２１は、セキュア状態表示領域１１９において、セキュアモードであることを示すセキュア表示（ＳＥＣＵＲＥＤ）が表示または非表示とするか、もしくは非セキュアモードであることを示す非セキュア表示（ＮＯＮ ＳＥＣＵＲＥＤ）を表示または非表示としてもよい。ここで、セキュアモード時のセキュア表示（ＳＥＣＵＲＥＤ）と、セキュアモードモード時の非セキュア表示（ＮＯＮ ＳＥＣＵＲＥＤ）は、その少なくとも一方が必ず表示される。

この決済端末装置１２１では、第１のタッチパネル３１の第２のタッチパネル側の表示面上に、セキュア表示領域１０３と、セキュア状態表示領域１１９と、が表示される。具体的に、セキュア表示領域１０３には、例えば「暗証番号を入力して下さい。」が表示される。セキュア状態表示領域１１９には、例えば「ＳＥＣＵＲＥＤ」が表示される。第２の情報処理部１７の第２のＣＰＵ７５は、第１のタッチパネル３１への表示制御権を常に握る（プロンプトコントロールする）ように構成される。これにより、第１のタッチパネル３１の第２のタッチパネル３５に近接する側の表示面上で、セキュア又は非セキュアの表示が行われる。その結果、セキュア又は非セキュア専用の表示部（セキュアＬＥＤ９９、非セキュアＬＥＤ１０１）が不要となり、セキュア又は非セキュアを表示するための構造を簡素にすることができる。

さらに、第１のタッチパネル３１のセキュア表示領域１０３における表示の背景色は、第１のタッチパネル３１の非セキュア表示領域１０５における表示の背景色とは異なるものであってよい。そして、セキュア専用の第２のタッチパネル３５における表示の背景色も、第１のタッチパネル３１の非セキュア表示領域１０５における表示の背景色とは異なるものであってよい。さらに、第１のタッチパネル３１のセキュア表示領域１０３における表示の背景色と、セキュア専用の第２のタッチパネル３５における表示の背景色とは、同一色または同系色であってもよい。そしてさらに、第１のタッチパネル３１の非セキュア表示領域１０５とセキュア表示領域１０３との間にある破線を境に、決済端末装置９７の筐体の色（および表面処理）が異なってよい。そしてさらに、第１のタッチパネル３１の非セキュア表示領域１０５とセキュア表示領域１０３との間にある破線部分の筐体には、境界を示すための溝または線状の凸部が設けられてもよい。これらのことによっても、第１のタッチパネル３１のセキュア表示領域１０３および第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の表示／入力の安全性を保証する領域であることを知らしめることができる。

（第４の実施形態）
図１０（Ａ）は、第３の入力表示部が設けられる第４の実施形態の決済端末装置１２３の正面図である。図１０（Ｂ）は、図１０（Ａ）に示す決済端末装置１２３の側面図である。本実施形態に係る決済端末装置１２３は、第１のタッチパネル３１と第２のタッチパネル３５との間に、セキュア表示領域１０３を有する第３の入力表示部である第３のタッチパネル１２５が配置される。第３のタッチパネル１２５は、第３の表示部１２７（図３参照）と、第３のタッチ入力検出部１２９とを含む構成である。第３の表示部１２７は、第３のタッチパネル１２５の表示を制御する機能を有する。第３のタッチ入力検出部１２９は、第３のタッチパネル１２５に対するタッチ入力を検出する機能を有する。

この決済端末装置１２３では、第２のタッチパネル３５と第３の入力表示部が、手前に互いに隣接してまとまった位置で設けられる。それら第２のタッチパネル３５と第３の入力表示部は、非セキュアな第１のタッチパネル３１から位置的に分離される配置となる。このように、決済端末装置１２３では、第２のタッチパネル３５と第３の入力表示部が、グループ化されて、第１のタッチパネル３１から分離される。これにより、第２のタッチパネル３５が、操作者に対して認証情報（ＰＩＮ等）の入力の安全性を保証する領域であることを、より明確に知らしめることができる。その結果、認証情報の安全な入力が可能となり、かつ入力された認証情報のセキュアな処理が実現する。また、非セキュア、セキュアの区別がより容易となることで、第１のタッチパネル３１の非セキュア表示領域１０５を、第２のタッチパネル３５のセキュア表示領域１０３の広さ（長さ、幅）に比べて広く確保することが可能となる。これにより、第１のタッチパネル３１において、アプリケーションからの表示の柔軟性、多様性を高めることができる。

さらに、第３のタッチパネル１２５における表示の背景色は、第１のタッチパネル３１における表示の背景色とは異なるものであってよい。そして、セキュア専用の第２のタッチパネル３５における表示の背景色も、第１のタッチパネル３１における表示の背景色とは異なるものであってよい。そしてさらに、第３のタッチパネル１２５における表示の背景色と、セキュア専用の第２のタッチパネル３５における表示の背景色とは、同一色または同系色であってもよい。そしてさらに、第１のタッチパネル３１と第３のタッチパネル１２５との間にある破線を境に、決済端末装置１２３の筐体の色（および表面処理）が異なってよい。そしてさらに、第１のタッチパネル３１と第３のタッチパネル１２５との間にある破線部分の筐体には、境界を示すための溝または線状の凸部が設けられてもよい。これらのことによっても、第２のタッチパネル３５および第３のタッチパネル１２５が、操作者に対して認証情報（ＰＩＮ等）の表示／入力の安全性を保証する領域であることを知らしめることができる。

図１１は、セキュアＬＥＤ９９と非セキュアＬＥＤ１０１が設けられた第４の実施形態の変形例の決済端末装置１３１の正面図である。図１１（Ｂ）は、図１１（Ａ）に示す決済端末装置１３１の側面図である。本変形例の決済端末装置１３１は、第３のタッチパネル１２５に加えて、さらにセキュアＬＥＤ（セキュア状態表示部）９９と非セキュアＬＥＤ（セキュア状態表示部）１０１と、を備える。

この決済端末装置１３１によれば、第２のタッチパネル３５とセキュアＬＥＤ９９が、手前に互いに隣接してまとまった位置で設けられる。第２のタッチパネル３５とセキュアＬＥＤ９９が、第１のタッチパネル３１と非セキュアＬＥＤ１０１から位置的に分離される配置となることで、操作者は、セキュアであることが保証された入力領域であることを容易に認識でき、認証情報を安全に入力できる。すなわち、非セキュア、セキュアの区別がより明確となる。

さらに、第３のタッチパネル１２５における表示の背景色は、第１のタッチパネル３１における表示の背景色とは異なるものであってよい。そして、セキュア専用の第２のタッチパネル３５における表示の背景色も、第１のタッチパネル３１における表示の背景色とは異なるものであってよい。そしてさらに、第３のタッチパネル１２５における表示の背景色と、セキュア専用の第２のタッチパネル３５における表示の背景色とは、同一色または同系色であってもよい。そしてさらに、第１のタッチパネル３１と第３のタッチパネル１２５との間にある破線を境に、決済端末装置１２３の筐体の色（および表面処理）が異なってよい。そしてさらに、第１のタッチパネル３１と第３のタッチパネル１２５との間にある破線部分の筐体には、境界を示すための溝または線状の凸部が設けられてもよい。これらのことによっても、第２のタッチパネル３５および第３のタッチパネル１２５が、操作者に対して認証情報（ＰＩＮ等）の表示／入力の安全性を保証する領域であることを知らしめることができる。

本発明に係る情報処理装置である決済端末装置は、上記した各実施形態で述べた構成の他、以下の特有の構成を有する。すなわち、決済端末装置は、非接触型ＩＣカードリーダライタ部１３３のリード・ライト制御部を、セキュア側となる第２の情報処理部１７に備える。

非接触型ＩＣカードリーダライタ部１３３（図３参照）のリード・ライト制御部をセキュア側に設けた決済端末装置によれば、情報セキュリティを担保できる。

また、決済端末装置は、非接触型ＩＣカードリーダライタ部１３３のループアンテナ１３５を、非セキュア側となる第１の情報処理部１５に備える。

非接触型ＩＣカードリーダライタ部１３３のループアンテナ１３５を第１の情報処理部１５に設けた決済端末装置によれば、第１のタッチパネル３１の重なる広い面積を確保できる。

また、決済端末装置は、セキュア入出力部筐体表面と、非セキュア入出力部筐体表面との色を異ならせることができる。

セキュア入出力部筐体表面と非セキュア入出力部筐体表面との色を異ならせた決済端末装置によれば、ユーザの錯誤が生じにくくなり、安心した認証処理、決済処理等を実行できる。

また、決済端末装置は、セキュア表示領域１０３の背景色を、非セキュア表示領域１０５の背景色と異ならせることができる。

セキュア表示領域１０３の背景色を非セキュア表示領域１０５の背景色と異ならせた決済端末装置によれば、ユーザの錯誤が生じにくくなり、安心した認証処理、決済処理等を実行できる。

従って、上記の各実施形態に係る情報処理装置によれば、セキュアな部分と非セキュアな部分とが共存する場合であっても、認証情報のセキュリティを確保できるとともに、操作者に錯誤や誤操作を誘発させることがない。

以上、図面を参照して各種の実施形態について説明したが、本開示はかかる例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本開示の技術的範囲に属するものと了解される。

１１、９３Ａ、９３Ｂ、９７、１２１，１２３、１３１ 情報処理装置
１５ 第１の情報処理部
１７ 第２の情報処理部
１９ 筐体
２１ 操作面
２５ 磁気カードリーダ部
３１ 第１のタッチパネル（第１の入力表示部）
３５ 第２のタッチパネル（第２の入力表示部）
９５Ａ 非セキュアＬＥＤ（セキュア状態表示部）
９５Ｂ セキュアＬＥＤ（セキュア状態表示部）
９９ セキュアＬＥＤ（セキュア状態表示部）
１０１ 非セキュアＬＥＤ（セキュア状態表示部）
１０３ セキュア表示領域
１１９ セキュア状態表示領域（セキュア状態表示部）
１２５ 第３のタッチパネル（第３の入力表示部）

Claims (3)

1. 筐体に収容され、決済に関する金額等を表示する第１の入力表示部を備え、決済アプリケーション以外の業務アプリケーションを単独で実行する非セキュアな第１の情報処理部と、
   前記筐体に収容され、決済に用いられるカードが正当な者によって保有されているか否かの認証に用いられる認証情報が入力されるとともに、前記カードの認証に必要な認証情報の入力表示を行う第２の入力表示部とを備え、前記決済アプリケーションで実行される決済処理の一部を構成する前記認証情報を用いた認証処理を単独で実行する耐タンパ性を有するセキュアな第２の情報処理部と、
   耐タンパ性を有するセキュアモードであることを示すセキュア表示、又は、耐タンパ性を有しない非セキュアモードであることを示す非セキュア表示を、前記第１の情報処理部のセキュア状態フラグの変更に応じた、前記第２の情報処理部の点灯および消灯の制御により行うセキュア状態表示部と、を有し、
   前記決済アプリケーションは、前記第１の情報処理部と前記第２の情報処理部との協働によって実行され、
   前記第１の入力表示部と前記第２の入力表示部とは、矩形状となる前記筐体の操作面長手方向に沿うように並んで配置される、
   可搬型決済端末装置。
2. 前記第１の入力表示部及び前記第２の入力表示部の各操作面は同一の平面上に形成される、
   請求項１に記載の可搬型決済端末装置。
3. 前記セキュア状態表示部は、前記第１の入力表示部と前記第２の入力表示部との間に配置される、
   請求項１に記載の可搬型決済端末装置。

Images