JPH07182426A - スマートカードシステム - Google Patents

Abstract

(57)【要約】 （修正有） 【目的】 スマートカード上に記憶された複数の口座の
うちの任意の口座から引き落としすることによって１組
の消費者商品を購入することを可能にする。 【構成】 ＰＯＳ端末は、端末プロセッサ、商品識別装
置、端末メモリ、及びスマートカードリーダを有する。
商品識別装置は、商品から商品識別子を取得し、商品又
は商品の種別を特定する。価格表及び複数の商品表が端
末メモリに電子的に記憶され、各商品識別子を対応する
価格に関係づける。各商品表は、商品識別子のリストを
含み、特定の商品識別子を対応する口座に関係づける。
各商品表は、商品表識別子を使用して一意的に識別され
る。端末メモリ、商品識別装置、及びスマートカードリ
ーダはすべて端末プロセッサに接続される。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、携帯型スマートカード
に関し、特に、複数の銀行預金口座のうちの任意の口座
から選択的に引き落としする機能を有するスマートカー
ドを実現するシステムおよび方法に関する。

【０００２】

【従来の技術】マイクロエレクトロニクスにおける進展
により、小さい空間内に多大な計算能力を備えることが
可能となっている。実際、クレジットカード内に実質的
にコンピュータ全体を入れることが可能となっており、
これによって「スマートカード」が作成されている。ス
マートカードの大きな処理能力およびメモリ能力のため
に、スマートカードは従来のクレジットカードにとって
代わり、代表的には、所定の口座から引き落としするカ
ード保有者の権利を確認するために使用されることが期
待されている。

【０００３】

【発明が解決しようとする課題】現在のスマートカード
のメモリは、複数のサービス提供者のプログラムおよび
データを保持するのに十分な大きさである。すなわち、
単一のスマートカード上に、例えば、ビザ、マスターカ
ード、ディスカバーおよびアメリカン・エクスプレスが
共存するのに十分な大きさのメモリがある。しかし、現
在のＰＯＳ環境では、従来のスマートカードが提供する
のは、１組の商品は単一の口座から引き落とすことによ
って支払をしなければならないような支払構造である。
１組の商品を複数の口座から引き落とすことによって支
払をすることを選択した場合、各口座に対して別々の引
き落とし取引が必要となる。このようなシステムの例
は、米国特許第４，８１６，６５３号（発明者：アンダ
ール(Anderl)他）および米国特許第４，８３７，４２２
号（発明者：デスロフ(Dethloff)他）に記載されてい
る。

【０００４】現在のスマートカードシステムのもう１つ
の欠点は、複数のサービス提供者に対して金融取引を行
うという問題に対する商業的に実現可能な解決法をもた
ないことである。この状況は、いくつかのセキュリティ
問題が解決していないためであると考えられる。例え
ば、スマートカードのメモリ内のファイルについてカー
ドの所有者およびこの所有者に与えられた権限に関して
問題が生じる。商業的に言えば、他のサービス提供者が
求めるセキュリティに一致しないスマートカードには、
スマートカードの所有者（これもサービス提供者である
こともある）はどの程度の権限を有するかという問題で
ある。例えば、前掲のデスロフの米国特許に記載された
システムでは、新たなサービス提供者がサービスをスマ
ートカード上に提供することができるようになるために
は、その前に、もとのサービス提供者がそのカードに追
加情報を入力することを必要とする。この情報は、たと
え新たなサービス提供者がもとのサービス提供者とは別
の口座を使用する場合でも、もとのサービス提供者によ
って入力されなければならない。このように、従来のシ
ステムは競合するサービス間に商業的な衝突を生じ、こ
のため、競合するサービスへの顧客のアクセスを制限し
たいという希望を提供者に対して助長することになって
いる。

【０００５】

【課題を解決するための手段】スマートカード上に記憶
された複数の口座のうちの任意の口座から引き落としす
ることによって１組の消費者商品を購入することが可能
なシステムおよび方法を実現する。本発明の実施例によ
れば、ＰＯＳ端末は端末プロセッサ、商品識別装置、端
末メモリ、およびスマートカードリーダを有する。商品
識別装置は、複数の消費者商品のうちの任意の商品から
商品識別子を取得する。この商品識別子は、商品または
商品の種別を特定する。商品識別装置は、さまざまな消
費者商品に取り付けられ、または、印刷された通常のＵ
ＰＣバーコードを読み取る通常のＵＰＣバーコードリー
ダを有する。その代わりに、または、バーコードリーダ
に加えて、商品識別装置は、与えられた商品に対応する
コードまたは記載をマニュアル入力するマニュアルデー
タ入力装置を有することも可能である。価格表および複
数の商品表が端末メモリに電子的に記憶される。価格表
は、各商品識別子を対応する価格に関係づける。各商品
表は商品識別子のリストを含み、オプションとして、特
定の商品識別子を対応する口座に関係づけることも可能
である。各商品表は、商品表識別子を使用して一意的に
識別される。端末メモリ、商品識別装置、およびスマー
トカードリーダはすべて端末プロセッサに接続される。

【０００６】スマートカードには、複数のデータファイ
ルを記憶するスマートカードメモリと、その複数のデー
タファイルを管理するソフトウェアオペレーティングシ
ステムを実行するためのスマートカードプロセッサが装
着されている。各データファイルは、口座を一意的に指
定する口座識別子を、口座残高および１以上の商品表識
別子と関係づける。口座は、例えば、ビザ、マスターカ
ード、ディスカバー、ＡＴＭネットワーク、フードスタ
ンプ（食券）プログラム、他の種類の福祉プログラム、
失業補償、などのようなサービス提供者によって提供さ
れる。

【０００７】任意に選択された複数の商品がＰＯＳ端末
に提示され、１組の商品を構成する。端末プロセッサは
スマートカードリーダを起動し、スマートカードメモリ
から端末プロセッサにデータファイルをアップロードす
る。スマートカードメモリからアップロードしたデータ
ファイルに応答して、端末プロセッサは端末メモリから
１以上の商品表を検索する。次に端末プロセッサは商品
識別装置を起動する。各商品を識別するごとに、端末プ
ロセッサは、その商品から取得される商品識別子を、端
末メモリから検索した商品表にリストされた商品と比較
する。商品識別子が商品表の商品に対応した場合、価格
表でその商品識別子を検索し、その商品の価格または新
たな口座残高を端末プロセッサからすかプロセッサにダ
ウンロードすることによって、商品表によって指定され
る口座からその商品の価格を引き落とす。口座残高がス
マートカードプロセッサにダウンロードされる場合、こ
のステップは、１組の商品のうちの最後の商品が商品識
別装置によって識別された後に実行することも可能であ
る。この場合、商品価格は、前に端末プロセッサにアッ
プロードされた口座残高から減算される。商品識別子が
商品表のいずれの商品にも対応しない場合、その商品の
価格を価格表から検索し、商品識別装置によって取得さ
れた商品識別子のうち商品表のいずれの商品にも対応し
ない商品識別子を有するすべての商品の価格を含む残余
勘定に加えられる。商品識別装置によって取得された商
品識別子が複数の商品表のうちに存在する場合、端末プ
ロセッサによって引き落とし優先アルゴリズムが実行さ
れ、複数の商品表に対応する複数の口座の間で商品の価
格を割り当てる。１組の商品全体がＰＯＳ端末によって
識別された後、残余勘定の全残高が、ＰＯＳ端末で、ま
たは、引き落とし優先アルゴリズムを実行することによ
って、選択された特定の口座に対応する口座残高から、
引き落とされる。

【０００８】

【実施例】ＰＯＳ環境でスマートカードに適用可能なシ
ステムおよび方法の改良を図１〜図１４に示す。一般
に、ＰＯＳ取引は以下のようにして行われる。カード保
有者（すなわち消費者）は、購入する複数の消費者商品
を選択し、スマートカードリーダを含むＰＯＳ装置に持
ってくる。消費者商品はそれぞれ通常の統一商品コード
（ＵＰＣ）バーコード識別子を有する。これは、商品識
別子として概念化することができる。消費者はスマート
カードをスマートカードリーダに挿入することにより、
複数の口座からの引き落としの動作のシーケンスを起動
する。この動作シーケンスは以下の機能を実行する。購
入する消費者商品の統一商品コード（ＵＰＣ）、すなわ
ち、商品識別子は、例えば、その商品のバーコードをス
キャンすることによって、または、ＰＯＳ端末のキーパ
ッドにコードをマニュアル入力することによって、商品
識別装置により読み取られる。ＵＰＣコードおよびスマ
ートカード上に保持されている１以上のアプリケーショ
ン識別子に基づいて、ＰＯＳ端末は、そのＵＰＣを、メ
モリに記憶されている商品表と比較する。商品表は、カ
ード保有者の１以上の口座に対するその商品の引き落と
しの適格性を識別する。商品が複数の口座に適格である
場合、引き落とし優先アルゴリズムが、どの口座から引
き落とすべきかを決定する。引き落とし優先アルゴリズ
ムは１以上の引き落とし割当表を利用する。この表は、
複数の商品識別子のそれぞれに対して、複数の口座の優
先順位を示す。購入商品の商品ＵＰＣコードと、商品配
列に記憶されたＵＰＣコードとの比較は、各商品のＵＰ
ＣコードがＰＯＳ端末に入力されるときに行うことがで
きる。その代わりに、各商品のＵＰＣコードは、与えら
れたＰＯＳ取引のすべての商品が入力されるまでバッフ
ァリングすることも可能である。次に、各商品はそれぞ
れ口座から引き落とされる。さらに、カード保有者は、
複数の口座に対応する単一の取引に対して単一のカード
上で口座残高種別（ドル、特定商品識別、商品数量、な
ど）を混合することができる。以上述べた機能は後で詳
細に説明する。まず、スマートカードのソフトウェアオ
ペレーティングシステムについて考える。

【０００９】図１を参照すれば、本発明の特徴は、階層
的ソフトウェアオペレーティングシステムの利用によっ
て実現される。このようなオペレーティングシステムで
は、サービス提供者またはスマートカードの所有者が、
事前に許可なく、既存の各サービス提供者のためにまた
は既存の各サービス提供者によって作成されたファイル
にアクセスすることなく、異なるサービス提供者がスマ
ートカード上で共存することを可能にすべきである。

【００１０】スマートカードのオペレーティングシステ
ムは、ＵＮＩＸ（ＵＮＩＸシステム・ラボラトリーズの
登録商標）にやや似ており、スマートカードの発行者／
所有者によって所有される「ルート」（一次ソース）デ
ィレクトリを有し、各サービス提供者は発行者／所有者
によってインストールされる「ユーザ」である。このよ
うな各ユーザには、「ルート」（一次ソース）ディレク
トリのサブディレクトリが与えられ、そのサブディレク
トリ内にユーザはファイルおよびファイルを含むサブデ
ィレクトリを、ユーザが必要とするだけ作成する。

【００１１】オペレーティングシステムは、スマートカ
ードの発行者／所有者およびスマートカードの保有者を
含むスマートカードの全ユーザに対して、ユーザが、所
有するファイルに他のユーザからアクセスできないよう
にすることを選択した場合に、そのようなアクセスがで
きないようにする。この排他能力は、ユーザによって所
有され、スマートカードの発行者／所有者を含む他のユ
ーザは変更できないパスワードファイルによって実現さ
れる。オプションとして、スマートカードの発行者／所
有者には、与えられたユーザのすべてのファイルを消去
する能力が与えられる。

【００１２】また、オペレーティングシステムは、ディ
ジタル署名つき通信手段と、完全暗号化通信手段とを有
する。この機能は、リモート通信における信頼性を与え
る。リモート通信により、リモート発給と、各スマート
カードに含まれるすべてのサービスを追跡するデータベ
ースの効果的な保守と、スマートカードの紛失または一
般的故障の場合のスマートカードの再発給とが可能とな
る。

【００１３】いくつかのスマートカードオペレーティン
グシステムが既に知られている。１つの例は、前掲のア
ンダール他の米国特許に記載されている。以下で説明す
るオペレーティングシステムは、そのオペレーティング
システムおよび周知のＵＮＩＸオペレーティングシステ
ムと多くの類似点を有する。ここで説明するスマートカ
ードオペレーティングシステムの理解を助けるため、Ｕ
ＮＩＸオペレーティングシステムのいくつかの周知の事
項を簡単に説明しておく。

【００１４】［ＵＮＩＸオペレーティングシステム］Ｕ
ＮＩＸオペレーティングシステムはファイルの集合から
なる。ファイルのうちのいくつかは、関連するファイル
に関する情報を主に含み、ディレクトリファイルまたは
ディレクトリと呼ばれる。他のファイルはユーザデータ
を含み、「通常」ファイルという。また、ＵＮＩＸオペ
レーティングシステムでは、ユーザは、ファイルの「ｏ
ｗｎｅｒ（所有者）」であるか、ファイルによって認識
される指定された「ｇｒｏｕｐ（グループ）」に属する
か、または、「ｏｔｈｅｒ」に属することができる。各
ファイルは、所有権、３種類のユーザに関する情報アク
セス能力などのようなファイル特徴を指定するデータ部
分を含む。ファイルの所有者はすべてのファイル特徴を
変更することができる。

【００１５】構造的には、最初のファイルは「ルート」
（一次ソース）ディレクトリファイルである。このディ
レクトリの所有者であるユーザは、実際、スマートカー
ド全体の所有者である。このユーザは「ルート」（一次
ソース）ファイルによって指される他のファイルを作成
することができる。そのファイルは、他の「ディレクト
リ」ファイルであることも「通常」ファイルであること
も可能であり、ツリー上（階層）構造において「ルー
ト」（一次ソース）ディレクトリの「下」にあるとみな
される。

【００１６】多くのＵＮＩＸオペレーティングシステム
では、「ルート」（一次ソース）の下のディレクトリの
うちの１つは「ｅｔｃ」と命名され、このディレクトリ
はその下に「ｐａｓｓｗｄ」というファイルを有する。
このファイルの全アドレスすなわちパス名は「／ｅｔｃ
／ｐａｓｓｗｄ」である（パス名の最初のファイル
「／」は「ルート」（一次ソース）アドレスを表す）。
「ｅｔｃ」および「ｐａｓｓｗｄ」ファイルは、一般に
「ルート」（一次ソース）と呼ばれ「ルート」（一次ソ
ース）ディレクトリの所有者でもあるシステム管理者に
よって所有される。「ｐａｓｓｗｄ」ファイルは「ルー
ト」（一次ソース）のパスワードの暗号化表現を含み、
オペレーティングシステムへの「ルート」（一次ソー
ス）のアクセスは「ルート」（一次ソース）がパスワー
ドを提示することによってログインした後でのみ許され
る。提示されるパスワードは暗号化され、「ｐａｓｓｗ
ｄ」ファイルに格納された暗号化パスワードと比較され
る。比較が成功した場合、ユーザは認められ、他のファ
イルへのアクセスを許可される。すなわち、このユーザ
は「ログイン」したことになる。

【００１７】「ルート」（一次ソース）が、「ルート」
（一次ソース）ディレクトリ（または「ルート」（一次
ソース）の下のサブディレクトリ）の下にサブディレク
トリを作成し、そのサブディレクトリの所有権を他のユ
ーザに割り当てることにより、マルチユーザ機能を実現
することができる。次に、「ルート」（一次ソース）
は、「ｐａｓｓｗｄ」ファイル内にそのユーザのパスワ
ードをインストールし、そのユーザがそのパスワードを
提示したときにそのサブディレクトリファイルにおいて
システムに入ることを可能にする。このユーザは自己の
パスワードを変更する能力を有するが、それはオペレー
ティングシステムによって提供されるコマンドを通じて
のみ可能である。そのパスワードは、システムにおい
て、暗号化された形式でのみ、かつ、「ｐａｓｓｗｄ」
ファイル内にのみ存在する。このアーキテクチャを図１
に示す。

【００１８】ログインプロセスは次のように要約するこ
とができる。ＵＮＩＸオペレーティングシステムのもと
で動作するコンピュータは、コンピュータの入力ポート
をスキャンするループを実行することによって始動す
る。ユーザによる接続が検出されると、制御は、そのル
ープからそのユーザとの対話を開始したプログラムに移
る。そのプログラムは「ｌｏｇｉｎ：」メッセージをユ
ーザに送り、ユーザの応答を待つ。ユーザが（例えばス
トリング「ｈｔｂ」を返すことによって）自己を表示
し、これが、そのユーザをオペレーティングシステムに
対して識別させる。次に、プログラムは、要求メッセー
ジ「Ｐａｓｓｗｏｒｄ：」を出し、ユーザはパスワード
ストリングを提示しなければならない。プログラムはそ
のパスワードストリングを暗号化し、それを、「／ｅｔ
ｃ／ｐａｓｓｗｄ」ファイル内にあるその識別したユー
ザの暗号化パスワードと比較する。一致した場合、ユー
ザは真正である（確認された）と判定され、制御は「ル
ート」（一次ソース）によって所有されるファイル（代
表的には、「．ｐｒｏｆｉｌｅ」と命名されている）に
渡される。このファイルはそのユーザに対してさまざま
なパラメータを設定し、制御を、ユーザによって所有さ
れるもう１つのファイル（代表的にはこれも「．ｐｒｏ
ｆｉｌｅ」と命名されるが、このファイルはそのユーザ
によって所有されるディレクトリ内にある）に渡され
る。そのユーザの「．ｐｒｏｆｉｌｅ」内にある命令が
実行された後、コンピュータはもう１つのループに入
り、ユーザからの次の命令を待つ。

【００１９】「ルート」（一次ソース）は、「ｐａｓｓ
ｗｄ」ファイルを含めて、オペレーティングシステムを
構成するすべてのファイルの所有者である。従って、
「ルート」（一次ソース）は、任意のファイルを変更す
ることが可能であり、従って「スーパーユーザ」であ
る。「ルート」（一次ソース）によって所有されていな
いファイルであっても、「ルート」（一次ソース）のコ
マンドに従うことが重要である。「ルート」（一次ソー
ス）にすべてのファイルの実質的な所有権を与えること
は、ファイルが正式には他のユーザによって所有されて
いる場合であっても、十分意味をなす。それは、「ルー
ト」（一次ソース）が、「ｐａｓｓｗｄ」ファイルとと
もに、「ルート」（一次ソース）の能力を制御するファ
イルをも一般的に変更する能力を有するためである。こ
のため、「ルート」（一次ソース）はパスワードを変更
する能力を有し、従って、「ルート」（一次ソース）は
常にファイルの所有者になることができる。従って、
「ルート」（一次ソース）に所有者のすべての能力を直
接持たせることは意味がある。簡潔に言えば、「ルー
ト」（一次ソース）は、システム内のすべてのファイル
の絶対的制御および全情報を有する。

【００２０】（正確なパスワードを提示することによっ
て）ログインすることができることに加えて、ユーザに
は、ファイルの読み出し、ファイルへの書き込み、ファ
イルの実行（すなわち、プログラム制御をファイルに渡
すこと）の能力が与えられる。指定したファイルにプロ
グラム制御を渡す能力がなければ、何も行うことができ
ない。プログラムを実行することは、制御をファイルに
渡すことにほかならないからである。「ルート」（一次
ソース）はシステムのすべてのファイルにアクセスする
ことができるため、「ルート」（一次ソース）はすべて
のファイルを読み出し、書き込み、実行することができ
る。

【００２１】ＵＮＩＸオペレーティングシステムのすべ
ての命令は、単に実行可能なファイルであり、これらの
ファイルは、そのファイルがどこにあるかをシステムが
知っている限り、どのディレクトリにも存在することが
できる。「ルート」（一次ソース）はそのようなすべて
のディレクトリおよびファイルを所有する。「ルート」
（一次ソース）はそれらのすべてのディレクトリおよび
ファイルの読み出しおよび実行の許可を制御するため、
「ルート」（一次ソース）は、任意のユーザ（必要な場
合には、自分自身を含めて）が、任意のファイルを実行
しないように制限することが可能であり、これにより、
「ルート」（一次ソース）は、ユーザの特定のグループ
による実行が制限されたファイルのカスタム化したセッ
トを作成することができる。換言すれば、「ルート」
（一次ソース）は、システムで利用可能なすべてのコマ
ンドより少ないコマンドを含む、さまざまな制限された
オペレーティングシステム、すなわち、「制限シェル」
を作成することができる。

【００２２】［スマートカードオペレーティングシステ
ム］ＵＮＩＸオペレーティングシステムで「ルート」
（一次ソース）が有する絶対的な能力は、スマートカー
ドには不適当である。明らかに、ビザ、マスターカー
ド、およびアメリカン・エクスプレスのような提供者は
相互に「ルート」（一次ソース）であることを許容しな
いであろうが、明白に十分なセキュリティ手段がなけれ
ば、それら以外の第三者が「ルート」（一次ソース）と
なることも望まないと考えられる。このため、スマート
カードは、あまり商業的成功を収めないことになる。

【００２３】図２に、このサービス提供者の敏感さに対
応する構造を示す。図２の構造によれば、「ルート」
（一次ソース）は、「ルート」（一次ソース）ディレク
トリおよび作成したい任意の数のファイル（ディレクト
リファイルまたは通常ファイル）を所有する。例えば、
図２は、「ルート」（一次ソース）ディレクトリファイ
ル１０を含み、その下には、「．ｐｒｏｆｉｌｅ」ファ
イル１１、「ｐａｓｓｗｄ」ファイル１２、「ｌｏｇ」
ファイル１７、「ｆｉｌｅｘ」ファイル１３、「ｆｉｌ
ｅｙ」ファイル１４、および「ＩＤ」ファイル１８があ
る。「ルート」（一次ソース）の下にはいくつかのサブ
ディレクトリも存在し、それぞれユーザ（サービス提供
者）の「ＨＯＭＥ」ディレクトリとして使用され、ま
た、そのような各ユーザＨＯＭＥディレクトリに対して
パスワードファイルが作成される。例えば、図２は、
「ｈｔｂ」という名前（スマートカードの保有者）のデ
ィレクトリファイル１５、「ｂａｎｋＡ」という名前の
ディレクトリファイル２０、および、「ａｉｒｌｉｎｅ
Ａ」という名前のディレクトリファイル２５を含む。各
ディレクトリは、対応するユーザのＨＯＭＥディレクト
リの下に、「ｐａｓｓｗｄ」ファイル（それぞれ１６、
２１、および２６）と、「．ｐｒｏｆｉｌｅ」ファイル
を含む。パスワードファイルのこの配置はいくつかの利
点を有するが、これは必須ではない。重要なことは、こ
のような各パスワードファイルの所有権はそのファイル
およびそのうえのディレクトリに対応するユーザに割り
当てられることである。ファイル（ディレクトリ）１
５、２０および２５の所有権を各ユーザに与えることも
有益である。

【００２４】図２は、もう１つの重要なディレクトリ
（およびユーザ）を含む。それは、「Ｖｉｓｉｔｏｒ」
ディレクトリ３０であり、これは、スマートカードと対
話したい非サービス提供者のエントリポイントである。

【００２５】図２のファイルアーキテクチャは、ＵＮＩ
Ｘオペレーティングシステムとは異なるオペレーティン
グシステムと結合される。図２の構造のオペレーティン
グシステムは、主に、そのオペレーティングシステムで
は「ルート」（一次ソース）が所有しないファイルを変
更する能力が「ルート」（一次ソース）には与えられな
いという点でＵＮＩＸオペレーティングシステムとは異
なる。この機能が「ルート」（一次ソース）によって迂
回されないことを保証するために、このオペレーティン
グシステムでは、「ルート」（一次ソース）が、オペレ
ーティングシステムを定義するいくつかのファイルを変
更することを許容しない（ある意味では、「ルート」
（一次ソース）はそれらのファイルを所有しない）。こ
の結果を実現する１つの手段は、それらの（非「ルー
ト」（一次ソース）所有オペレーティングシステム）フ
ァイルを読み出し専用メモリ（ＲＯＭ）に格納すること
である。少なくとも、このＲＯＭは、ファイルへの書き
込み（上書きまたは追加）を行うコマンド／モジュール
／ファイルを含む。特に、ファイルへの書き込みは、フ
ァイルの所有者が指定したものに制限され（ファイルの
所有者は、最初は、そのファイルを作成したユーザであ
る）、「ルート」（一次ソース）は単に他のユーザとし
て扱われる。ファイルへの書き込みを行うコマンドは、
例えば、ファイルの移動、ファイルのコピー、ファイル
の保存、ファイル属性（例えば所有権）の変更、および
ファイル名の変更のようなオペレーティングシステムコ
マンドである。（各スマートカードに固有であるため）
ＲＯＭ（さらに一般的には「一回書き込み」メモリ）に
インストールされる他の事項は、「ルート」（一次ソー
ス）パスワードおよびスマートカードのＩＤ情報（すな
わち、ファイル１２および１８）である。ＩＤ情報は、
単に任意のストリングであることも、保有者の名前を含
むことも可能である（後者は、おそらくは、ＩＤ情報を
得た商人によって参照される）。実際には、「ルート」
（一次ソース）パスワードおよびスマートカードのＰＩ
Ｎはいずれも「ルート」（一次ソース）ディレクトリを
構成するファイルに格納することが可能である。図２で
は、説明のために、これらは独立のファイルとなってい
る。

【００２６】スマートカードオペレーティングシステム
のいくつかの実施例では、１つのファイル書き込み能力
が「ルート」（一次ソース）に与えられ、これは、任意
のファイルを全体として削除する能力である（そして、
そのプロセスで、実質的には、削除されたファイルが指
しているファイルを削除する）。これには、ディレクト
リファイルおよび通常ファイルが含まれ、「ルート」
（一次ソース）が所有するファイルにも「ルート」（一
次ソース）が所有しないファイルにも適用される。この
ような能力は、与えられたサービス提供者がスマートカ
ードの保有者にもはやサービスを提供していないときに
メモリ空間が再使用されるような実施例で与えられるこ
とが可能である。

【００２７】図２のオペレーティングシステムと標準的
なＵＮＩＸオペレーティングシステムのもう１つの相違
点は、前者が、「ルート」（一次ソース）によって所有
されるファイルに（例えば「ｆｉｌｅｘ」１３に）イン
ストールされた暗号キー対を含み、このキー対は各スマ
ートカードに固有であるという点である。この対は、ス
マートカードによって秘密に保持される私的キーｆと、
スマートカードが秘密に保持するようには注意しない公
開キーｇとを含む。もちろん、両方のキーは、スマート
カードの「ルート」（一次ソース）ユーザ（すなわち、
スーパーユーザ）でもあるスマートカードの所有者／発
行者には最初から既知であるが、「ルート」（一次ソー
ス）は私的キーを保持する必要はない（そしておそらく
その情報を破壊することを選択することになる）。この
キー対は「ルート」（一次ソース）のパスワードを含む
メモリのような適当なメモリに「焼き付けられ」、また
は、「ルート」（一次ソース）ディレクトリを定義する
ファイルに含められることも可能である。公開キー暗号
化については後でさらに詳細に説明する。

【００２８】ユーザのディレクトリのパスワードがその
ユーザによって所有されるファイルに格納されるという
ことは、ＵＮＩＸオペレーティングシステムと図２のオ
ペレーティングシステムの重要な相違点である。書き込
みに対する制限とともにこの構成によって、「ルート」
（一次ソース）は任意のファイル（通常ファイルまたは
ディレクトリファイル）の所有者になることはできなく
なり、従って、「ルート」（一次ソース）はファイルの
所有者によって設定された許可を迂回することができな
くなる。この重要な相違点によって、あるユーザのファ
イルは、スマートカードにアクセス可能な「ルート」
（一次ソース）および他のユーザに対して完全に不透明
となる。このようにして、図２の構成は、サービスの提
供者とスマートカードの発行者／所有者の間の「信頼問
題」を克服する。

【００２９】［取引セキュリティ］解決すべき次の問題
はスマートカードの取引セキュリティである。この概念
は、スマートカードの保有者またはサービス提供者に悪
影響を及ぼすような無許可の取引が起こらないことを保
証するために、スマートカードのオペレーティングシス
テムによって、および、通信プロトコルに同意した者に
よって、使用される手段を含む。これは、「ルート」
（一次ソース）、保有者、サービス提供者、ビジター
（Ｖｉｓｉｔｏｒ）ユーザ、または侵入者による活動を
含む。（侵入者とは、スマートカードと他者の間の通信
セションに介入し、自己のメッセージを真のメッセージ
と置き換える者のことである。）

【００３０】侵入者に対抗する１つの方法は、日付およ
び時刻のタイムスタンプを含むメッセージを構成し、メ
ッセージの少なくともその部分を暗号化することであ
る。また、必要な場合には、通信プロトコルが、確認シ
ーケンス（これはセションごとに異なる）を当事者間で
交換することを要求することも可能である。また、パス
ワードのような微妙な情報の明文で（すなわち、暗号化
なしで）のフローを最小にするのも有効な一般的方法で
ある。これらの技術は、後述のログインおよび通信プロ
トコルで使用される。

【００３１】［暗号化］暗号化の分野は新しくない。以
下の説明は、単に、本発明のスマートカードに関連して
使用可能な２つの暗号化方式の要約である。

【００３２】周知のように、暗号化のための「秘密共
有」方式は、２つの通信者が秘密の関数ｆを共有するこ
とを要求する。メッセージｍを送信したいほうの側は、
その秘密関数でそのメッセージを暗号化して暗号化メッ
セージｆ（ｍ）を形成する。この暗号化メッセージは送
信され、受信側は関数ｆ（ｆ（ｍ））を形成することに
よって受信した信号を復号する。関数ｆは、ｆ（ｍ）か
らメッセージｍを発見することが計算量的に非常に困難
であるが、その関数を２回適用することによってもとの
メッセージが復元されるような関数（すなわち、ｆ（ｆ
（ｍ））＝ｍ）である。

【００３３】暗号化のための「秘密共有」方式は非常に
有効であるが、その弱点は、秘密関数を通信する（すな
わち、共有する）必要があることである。その関数が伝
送されているときの稀な通信セション中にその共有の秘
密が傍受者によって取得されてしまうと、もはやそれは
秘密ではなくなる。

【００３４】公開キー暗号化では、各当事者はキーの対
ｆおよびｇのうちの一方を保持する。すなわち、一方の
当事者が一方のキー（ｆ）を秘密に保持し、それを通信
することはないが、他方のキー（ｇ）は、他方の当事者
を含めてすべての者に知らせる（従って、キーｇは「公
開される」）。対ｆおよびｇは次の３条件を満たすよう
なものである。 １．ｇ（ｆ（ｍ））＝ｍ。 ２．ｇが既知である場合でも関数ｆは決定することがで
きない。 ３．ｆ（ｍ）からメッセージｍを決定することは計算量
的に実現不可能である。

【００３５】公開キー方式は、前述のキー分配／管理の
問題を解決するが、この方法は１つの欠点を有する。そ
れは、公開キーの暗号化および復号が共有キー方式より
も遅い（より多くの計算時間を必要とする）ということ
である。

【００３６】スマートカードに関しては、通信速度は、
スマートカードと通信している当事者の種類に基づい
て、異なる重要度を有する。スマートカードの発行者／
所有者およびサービス提供者に関しては、通信は稀であ
ることが予想され、従って、処理時間は「最重要」では
ないため、低速度は主要な欠点ではない。しかし、それ
以外の者（すなわち、ビジターユーザとしてログインす
る商人）との通信では、速度は重要である。

【００３７】速度の問題は、必要であれば、「共有秘
密」方式を公開キー方式と組み合わせることによって解
決される。すなわち、通信を開始するとき、公開キー方
式を使用して一時的な「共有秘密」をスマートカードと
商人の間で通信する。特に、公開キーを有する側は「共
有秘密」を提示し、それを、私的キーを有する側へ通信
する。その後、より高速に、「共有秘密」方式を使用し
て全メッセージを暗号化する。

【００３８】あるいは、（共有秘密を用いて）認証方式
を使用することも可能である。認証方式では、メッセー
ジは明文で送信され、「ディジタル署名」が追加される
（すなわち、「署名される」）。「ディジタル署名」
は、符号化されるメッセージのハッシング（例えば、あ
る数を法としての、メッセージ内の文字のＡＳＣＩＩコ
ードの加算）である。もちろん、侵入者が真のデータを
偽データで置き換えることができないことが保証される
ようなアプリケーションでは、（おそらくは、公開キー
を使用した確認プロセスの後で）情報は明文で送ること
ができる。

【００３９】公開キー方式の使用は、キー管理のほとん
どの問題を解決する。スマートカードと通信したい当事
者の公開キーの初期情報の問題がなお残るが、スマート
カード自体がその情報を提供することができるので、そ
れは問題ではない。

【００４０】［「ルート」（一次ソース）によるログイ
ンおよびサービス提供者／ユーザのインストール］暗号
化が安全な通信を保証するため、スマートカードの発行
者／所有者はサービスのリモートインストールを信頼す
ることができる。もちろん、発行者／所有者（すなわ
ち、「ルート」（一次ソース））は、最初に、スマート
カードにログインしなければならない。ログインのため
のプロトコルを図３に示す。また、サービスインストー
ルプロセスのためのプロトコルを図４に示す。

【００４１】図３に示したように、プロセスは、スマー
トカードの所持者（Ｐ）がスマートカード（Ｓ）の真正
な保有者として認証されることから開始する。この方式
は、ＰＩＮ（個人識別番号）を捕捉する可能性のある装
置に所持者のＰＩＮストリングを通信しないことが好ま
しいような実施例で特に有用である。例えば、Ｐおよび
Ｓが商人の構内に存在するようなアプリケーションで
は、商人の装置は、電池で動作し、キーボード入力手段
およびディスプレイ出力手段を有し、他のポートや書き
込み可能メモリを有しないことが確認された、スタンド
アローン型の装置とすることが可能である。動作時に、
ＰはＳをこのスタンドアローン装置に挿入し、キーボー
ドでＰＩＮを入力し、正しければその装置のディスプレ
イはメッセージ「ＯＫ」を出力する。このことは、取引
に使用した装置が何らかの将来の不正使用のために保有
者のＰＩＮストリングを捕捉することがないというもう
１つの意味でのセキュリティを保有者に与える。このよ
うなスタンドアローン装置が利用可能でない場合（また
は、例えば所持者の家庭で「ダム」カードリーダを使用
するときのように通信がリモートである場合）、提示さ
れるＰＩＮはカード内で処理されるべきであり、スマー
トカードからの「ＯＫ」メッセージは「タイムスタン
プ」され、暗号化されるべきである。このことは、適当
な暗号化キーが確立され日付および時刻の情報がＳに伝
えられた後まで、ＰがＨとして確認されることは延期さ
れなければならないことを示唆する。

【００４２】図３に戻って、Ｈの真正な地位が確立され
た後、Ｓは自己を表示し、ログイン中のユーザが正当な
ユーザであることを確認する。特に、図３のプロトコル
は次のように進行する。

【００４３】ａ．Ｓは入力を促し、ＰはＰＩＮストリン
グを提示する。スマートカード内では、ＰＩＮは、保有
者が変更するためにオープンされた「ルート」（一次ソ
ース）所有のファイル（例えば、図２のファイル１４）
内に存在する。Ｓは、提示されたＰＩＮストリングを、
格納されているＰＩＮストリングと比較し、一致すれ
ば、ＰはＨとして確認されたことになる。

【００４４】ｂ．Ｈが確認されると、ＳとＯの間の通信
に注意を向けることができる。Ｓは、そのＩＤ番号と、
ランダムストリングの形式でのパスワードチャレンジＲ
ＮＤ１とをＯに提示することによって自己を表示する。

【００４５】ｃ．ＯはＯのパスワードでＲＮＤ１を暗号
化してストリングＫ₁（ＲＮＤ１）を形成し、それをＳ
に返す。このパスワード応答の形式は明白にセションご
とに変化し、Ｏの真のパスワードが侵入者によって盗ま
れないことを保証する。Ｏが所有するすべてのスマート
カードのパスワードをどこに保持し、このようなデータ
ベースはどのくらい安全かという問題が残っている。し
かし、実際にはＯはパスワードのデータベースを保持す
る必要はない。Ｏに必要なのは、Ｓによって提示される
ＩＤ情報の一部であるスマートカードの固有の識別スト
リング（または、識別ストリングは、スマートカードに
よって送られない場合には、このＩＤ情報に基づくデー
タベースから導出される）と組み合わせると変換後には
スマートカードに割り当てられたパスワードとなる単一
のシードのみである。

【００４６】ｄ．スマートカードによって提示されるス
トリングは、常に、同一であるか、Ｏには事前には未知
であるかのいずれかであるため、初期ストリング（Ｉ
Ｄ，ＲＮＤ１）が記録の再生でないことを保証するため
に追加の認証ステップが所望されることもある。これ
は、Ｏが、例えば、そのＩＤとランダムストリングＲＮ
Ｄ２とからなるチャレンジメッセージをＳに送ることに
よって実現される。このストリングは、ＳがＯにログイ
ンした後に送ることも可能であり、また、（図３のよう
に）パスワード応答とともに送ることも可能である。Ｓ
はＳの「ルート」（一次ソース）パスワードでＲＮＤ２
を暗号化し、その結果のストリングＫ₁（ＲＮＤ２）を
Ｏへ転送する。

【００４７】ｅ．ＲＮＤ２ストリングに含まれるＩＤに
基づいて、Ｓは、Ｏがユーザであると判定し、必要なキ
ー（すなわち、Ｏのパスワード）を取得し、Ｋ₁（ＲＮ
Ｄ１）を復号する。復号の結果ＲＮＤ１となると、Ｓ
は、Ｏが真正であると判定する。

【００４８】ｆ．その後、ＳはＳの「ルート」（一次ソ
ース）パスワードでストリングＲＮＤ２を暗号化し、そ
の結果のストリングＫ₁（ＲＮＤ２）をＯへ転送する。

【００４９】ｇ．ＯはＫ１（ＲＮＤ２）応答を復号し、
その結果のストリングがＲＮＤ２である場合、ＯはＳが
正当であることに満足する。これでログインプロセスは
終了し、ＯはＳにプロンプトを提示し、サービスの要求
を受ける準備ができた状態になる。

【００５０】上記の「ログイン」プロセスは、アクセス
したいコンピュータが全ログインプロセスを制御するよ
うな周知のログインプロセスとは異なるように見えるこ
とに気づくかもしれない。そのような周知のログインプ
ロセスでは、コンピュータはユーザの初期識別情報を要
求し、次にパスワードを要求する。その初期識別情報に
基づいて、コンピュータはどのパスワードが期待される
かを知る。一方、スマートカードは、（Ｏとの）通信を
開始するという意味では制御されているように見える。
しかし、初期識別情報を要求する（情報を得る）代わり
に、スマートカードは、ＩＤおよびＲＮＤ１の形式で情
報を提供する。これは、Ｏからの応答が初期識別情報な
のか、それとも、パスワードなのかという問題を引き起
こす。これがパスワードであれば、Ｓはそのパスワード
が正しいか否かをどのようにして知るのであろうか。そ
の答えは、Ｏからの応答が３つの目的のために使用され
るということである。Ｏは、（ＲＮＤ１に含まれるＩＤ
によって）初期識別情報の意味で自己を表示し、ＲＮＤ
１を暗号化するために正しいキーを使用することによっ
て自己を認証し、暗号化モードで返されるＲＮＤ２によ
ってＳの正当性を問う。

【００５１】Ｏがログインされると、Ｈは、サービス提
供者（ＳＰ）によって提供されるサービスのインストー
ルの要求を通信することができる。Ｏによってインスト
ールされるよう要求された特定のサービスに関する通信
は、人間との対話を含むこともあるが、自動化も可能で
ある。例えば、Ｈは、所望されるサービスをＳに通信
し、ＳがＯと通信することが可能である。図４に、サー
ビスのインストールのためのプロトコルを示す。

【００５２】ａ．Ｈはサービス要求をＳに転送する。

【００５３】ｂ．Ｓはこの要求を暗号化し、それをＯへ
転送する。ＯとＳの間の電子通信は、Ｓ内の公開キーの
私的キー要素で暗号化可能である。Ｓはその公開キーを
Ｏに送っておく。あるいは、通信は、スマートカードの
「共有秘密」でも暗号化可能である。「共有秘密」とし
て「ルート」（一次ソース）パスワードを選択すること
が可能であり、または、一時的な「共有秘密」を（上記
のように、公開キー暗号化を使用して）ＯからＳへ提供
することが可能である。図４では、「ルート」（一次ソ
ース）パスワードを暗号化に使用して、要求ストリング
Ｋ₁（ＲＥＱ）を作成している。

【００５４】ｃ．要求されたサービスを知ると、ＯはＳ
Ｐと交信し、ＳＰがサービスをＨに提供することに同意
することを確認する。

【００５５】ｄ．サービスの提供がＳＰに同意される
と、Ｏは一時的パスワードを選択し、そのパスワードを
ＳＰに（おそらくは暗号化通信によって）通知してか
ら、Ｓ内にＳＰのためのディレクトリおよびパスワード
ファイルを作成する。

【００５６】ｅ．パスワードファイルがＳＰユーザのた
めに設定されると、その一時的パスワードがＳに（上記
のように、暗号化通信によって）送られ、このディレク
トリおよびパスワードファイルの所有権はＳＰに移転さ
れる（このパスワードは、将来のＳＰとの通信セション
において「共有秘密」キーとして利用可能である）。ま
た、ＳＰが必要とするその他のアプリケーションソフト
ウェアはこのときにインストールすることが可能であ
り、Ｏがそれらのファイルを暗号化モードで送信する。
あるいは、アプリケーションソフトウェアはＯによって
インストールされないようにも設定可能である。

【００５７】ｆ．この時点でＨには、最終セットアップ
のためにＳＰと交信するよう通知される。

【００５８】ｇ．Ｈは、図３のようなログインシーケン
スを使用して、ただし、暗号化キーとして一時的ＳＰパ
スワードを使用して、ＳとＳＰの間の通信路を設定す
る。

【００５９】ｈ．ＳＰへのログインが確立すると、Ｓは
サービス要求を送出し、ＳＰは応答して、新しいパスワ
ードと、Ｏによってインストールされなかった必要なフ
ァイルと、データとをインストールする。これでサービ
スインストールは完了する。

【００６０】［サービス提供者によるサービスの提供］
上記のように、サービス提供者は、単に、スマートカー
ドに割り当てられたディレクトリを有するユーザであ
る。サービス提供者は、スマートカードのプロセッサ
（Ｐ）がスマートカードとサービス提供者の間の通信を
確立するとログインする。前のように、ログインプロト
コルには３つの要素がある。 （１）ＳＰは、ＰがＨであることを確定したい。 （２）Ｓは、ログインするユーザが真のＳＰであること
を判定したい。 （３）ＳＰは、正当なＳと通信していることを判定した
い。

【００６１】これらの３つの要素は、図３について説明
したプロトコルで実行される。ログイン成功後にのみ、
サービス要求を進めることができる。サービス要求は、
例えば、ＨがＳＰ（例えば銀行）に、Ｓの「電子財布」
を満たすことにより、Ｓに「お金」をインストールする
ことを要求することである。電子財布の充填とは、例え
ば、単に、ＳＰによって所有されるあるファイルにある
値をインストールすることである。

【００６２】［商人との対話］十分ゆとりがある場合、
スマートカード保有者は、スマートカードとビジター
（Ｖ）ユーザである商人とを対話させたいと思うことが
予想される。上記の方式によれば、このような対話は２
つの方法で可能である。１つは、スマートカードと商人
との直接対話であり、もう１つは、スマートカード、商
人、およびサービス提供者を含む三者間対話である。三
者間対話方式のためのプロトコルは、図６に示すとおり
であり、以下のようになる。

【００６３】ａ．ＰはＳとＶの間に（ＳをＶに渡すこと
によって、または、ＳをＶにリモート接続することによ
って）通信を確立する。

【００６４】ｂ．Ｓは入力を促し、ＰはＰＩＮストリン
グを提示する。これが正しく一致すれば、Ｓは、ＰがＨ
であると判定し、標準の「ログイン」シーケンスに進
み、そのＩＤ情報およびＲＮＤ１を送る。

【００６５】ｃ．ＶはＳＰとの通信路を設定し、ＳＰに
自己を表示し、ＩＤ情報およびＲＮＤ１を中継する。

【００６６】ｄ．ＩＤ情報が与えられると、ＳＰはその
パスワードを決定し、そのパスワードでＲＮＤ１を暗号
化する。その結果のストリングＫ₂（ＲＮＤ１）が、ラ
ンダムストリングＲＮＤ２とともにＳに送られる。

【００６７】ｅ．Ｓは、ＳＰがＫ２（ＲＮＤ１）を形成
する際に正しいパスワードを使用したかどうかを判定
し、その結論が真であれば、ＲＮＤ２を暗号化し、その
結果Ｋ₂（ＲＮＤ２）をＳＰに転送する。

【００６８】ｆ．ＳＰは、Ｓが正しいパスワードを使用
してＲＮＤ２を暗号化したことを確認すると、プロンプ
トをＶに送り、商人に、Ｓの使用の要求に進むことがで
きることを通知する。

【００６９】ｇ．ＶはＳＰからのアクション（例えば、
ＳＰにあるＨの口座からある値を削除する、または、Ｓ
にありＳＰによって所有されるファイルのある値を変更
する）を要求する。

【００７０】ｈ．ＳＰはその要求を満たし、必要であれ
ば、ＳＰパスワードで暗号化した適当なコマンドをＳに
送る。

【００７１】スマートカードに商人（または、商人の銀
行、もしくは、商人にサービスを提供し商人の代わりを
する者と提携した商人）と直接対話させたい場合、スマ
ートカードと事前に確立した関係を有しない者がスマー
トカードにログインすることを可能にするメカニズムを
確立する必要がある。「ビジター」ユーザディレクトリ
がこの要求を満たし、このユーザはパスワードを有しな
い。結果として、ビジターユーザは非常にセキュリティ
のないユーザであるため、Ｖのアクセスは厳格に制御さ
れなければならない。

【００７２】例えば、解く必要のある１つの問題は、こ
のようなビジターユーザが、商人によって指定されるサ
ービス提供者のみのアプリケーションファイル（プログ
ラム）にアクセスすることができるのか、それとも、す
べてのサービス提供者のアプリケーションファイルにア
クセスすることができるのか、ということである。すべ
てのサービス提供者のアプリケーションファイルへのア
クセスが許可される場合、最も簡単な方式は、「ルー
ト」（一次ソース）が、パスワードなしでビジターユー
ザディレクトリを設定し、ビジターユーザがオペレーテ
ィングシステムコマンドの制限されたセットのみを実行
することを可能にする制限シェルを与えることである。
すなわち、変数ＰＡＴＨを、「ルート」（一次ソース）
によって所有される１つのディレクトリ（いくつかのオ
ペレーティングシステムコマンドのみを含む）と、ＳＰ
がビジターユーザに実行アクセスを許可したい実行可能
ファイルを含むＳＰサブディレクトリ（またはサービス
提供者／ユーザの選択したサブディレクトリ）とを含む
ように設定する。

【００７３】指定したＳＰのみのアプリケーションファ
イルにアクセスを許可する場合は、もちろん、ＳＰを指
定しなければならず、指定したＳＰの実行可能ファイル
のみを含む手段を設けなければならない。この場合も、
これは制限シェルによって容易に実現され、ＰＡＴＨ変
数は指定したＳＰのディレクトリ（または選択したサブ
ディレクトリ）を含む。プロトコルは、図７に示すとお
りであり、次のようになる。

【００７４】ａ．Ｓは入力を促し、ＰはＰＩＮストリン
グを提示する。これが正しく一致すれば、Ｓは、ＰがＨ
であると判定し、標準の「ログイン」シーケンスに進
み、そのＩＤ情報およびＲＮＤ１を送る。

【００７５】ｂ．Ｖは、パスワードを有しないため、単
にストリングＲＮＤ１を返す。

【００７６】ｃ．この応答によって、Ｓは、ユーザがビ
ジターユーザであることを認識し、公開キーＫ_puを送出
する。（公開キーは、ＩＤ情報の一部として既に送って
しまっていることも可能である。）この時点で、Ｓは、
公開キー、ＩＤ情報およびＲＮＤ１を含むメッセージか
ら導出される「ディジタル署名」を送ることもできる。
また、Ｓは、提案する「共有秘密」（図７には図示せ
ず）を構成する暗号化ストリングを送ることもできる。
提案した「共有秘密」およびディジタル署名はいずれも
公開キーで暗号化される。

【００７７】ｄ．Ｍは、提供された公開キーを使用して
「ディジタル署名」を解読する。解読した「ディジタル
署名」が適当なストリングと一致した場合、ＶはＲＮＤ
２を送出する。

【００７８】ｅ．Ｓは、公開キーでＲＮＤ２を暗号化
し、Ｋ_pr（ＲＮＤ２）によって応答する。

【００７９】ｆ．Ｖは、このメッセージをＫｐｕで復号
し、ＲＮＤ２を取得した場合、Ｓと通信していることを
確定する。

【００８０】ｇ．Ｖは、時刻および日付の情報を、Ｋ_pu
で暗号化してＳに送り、Ｓはプロンプトを返す。

【００８１】ｈ．Ｖは、同じくＫ_puで暗号化して要求
（Ｖが求めるアクションおよび使用されるＳＰを識別す
る）をＳに送信し、Ｓは、指定されたＳＰと交信する許
可によって応答する。この許可は、公開キーＫ_prで暗号
化される。

【００８２】一般的に、商人は、商人によって提供され
る商品またはサービスと引き換えに、Ｈに属する資金を
得たいと考える。上記のように、銀行のようなサービス
提供者が、ある値を保持する「電子財布」をインストー
ルすることは全く可能である。この値は、電子財布ファ
イルというファイル内にあり、サービス提供者によって
所有される。

【００８３】商人は、電子財布ファイルにアクセスした
いと考え、ＳＰ（Ｈと提携している）はこのファイルへ
のアクセスを許可するが、その許可は非常に制限され厳
格に制御されてのみなされる。このように、このファイ
ルはすべてのログインしたユーザにとってアクセス可能
であるが、ＳＰによってインストールされＳＰによって
所有されるコマンドを通じてのみそれは可能である。こ
のコマンドは、ファイル内の値から金額を差し引く（そ
の結果が負にならない限り）一時的な許可を他のユーザ
に与える。また、このコマンドは、ログファイルにその
取引を記録し、図７のように暗号化された許可ストリン
グを提示する。このように、ＳＰは、オペレーティング
システムによって期待される規定の名前で電子財布ファ
イルを作成し、そのファイルに、ある値および特定のオ
ペレーティングシステムコマンド（これは「ルート」
（一次ソース）によって所有されない）を入れ、そのフ
ァイルにアクセスし、そのファイル内のその値から金額
を差し引く。

【００８４】図では、許可ストリングは、Ｓの公開キー
で暗号化されているが、これは、指定されたＳＰパスワ
ードで暗号化することも可能である。このストリング
は、商人がそれを単に何回か複製してその応答をＳＰに
送るということがないことを保証するように十分強固で
なければならない。これはいくつかの方法で実現するこ
とができる。それには、日付および時刻のタイムスタン
プを有すること、「電子財布」内の「前」および「後」
の値の表示、Ｓによって供給されるシーケンス番号、な
どが含まれる。この許可ストリングはＶによって解読可
能でなく、従って、変更不能であるため、セキュリティ
は保持される。

【００８５】前述のオペレーティングシステムコマンド
に関して、そのようなコマンドの流れ図を図９に示す。
ブロック２００で、コマンドは、ビジターユーザディレ
クトリ内の（規定された名前の）ファイルを参照するこ
とにより開始する。このファイルは、例えば改行文字に
よって区切られた４個のエントリを含まなければなら
ず、オペレーティングシステムは、この４個のエントリ
が、ａ）日付および時刻と、ｂ）商人のＩＤ（例えば、
名前、住所、およびおそらくはコード）と、ｃ）差し引
く金額と、ｄ）使用する「電子財布」を有するサービス
提供者とからなると仮定する。

【００８６】このファイルが存在しない場合、または、
要求された数のエントリを有しない場合、制御はブロッ
ク２１０に移り、商人（ビジターユーザ）にこの不足を
通知する。ファイルが存在する場合、ブロック２２０
で、コマンドは、サービス提供者（ＳＰ）の電子財布フ
ァイル内の値を読み出す。ブロック２３０は、商人が引
き出したい金額が電子財布内の値より大きいかどうか評
価する。金額のほうが大きい場合、制御はブロック２４
０に移り、拒絶メッセージを構成しそれを商人に、およ
び、スマートカード内のログファイルに転送する。金額
が値より低い場合、制御はブロック２５０に移り、ログ
ファイルで、さまざまな不正の兆候がないかどうか検査
する。これは、実行中のコマンドによって呼び出される
別のコマンドとすることも可能である。図３に示すよう
に、ブロック２５０は、３種類の出力を生じる可能性が
ある。第１の出力は、潜在的不正条件（例えば、この商
人は、事前に選択されている時間間隔内に規定の回数よ
り多くスマートカードを使用した）を示唆する。第２の
出力は、ＳＰによって提供され商人にＳＰと取引につい
て協議させるしきい値ファイルに応答する。第３の出力
は、標準状態を表示する。

【００８７】潜在的不正条件は、保有者のログファイル
に格納されている情報によって処理され（ブロック２６
０）、その後制御はブロック２４０に移る。格納されて
いる情報は、商人、引き出そうとした額、拒絶理由など
を識別する。これは、保有者に、カードの発行者／所有
者と、および必要であれば政府当局と対話するのに必要
な情報を提供する。必要に応じて、不正条件の疑いがあ
るときにスマートカードは無効にされる。

【００８８】ＳＰによって設定されたしきい値を超過し
た（例えば、ＳＰが、１０００ドルを超える引き出し許
可を「リアルタイムで」求めた）場合、ブロック２７０
でメッセージが構成され、制御はブロック２８０に移
る。

【００８９】ブロック２８０は、標準状態が示されたと
きにもブロック２５０から直接到達する。ブロック２８
０は、スマートカードのログファイル内にあるシーケン
ス番号をインクリメントし、値ファイル内の金額から商
人が要求する金額を差し引く。その後、ブロック２９０
は、新しいシーケンス番号、日付および時刻、商人の識
別情報、金額、およびＳＰからなるストリングを作成す
る。ブロック３００は、ストリングのディジタル署名を
作成し、ブロック３１０は、ブロック２２０で構成され
たメッセージと、ブロック３００で構成されたストリン
グと、ディジタル署名とからなるメッセージを作成す
る。最後に、このメッセージが、商人に、および、スマ
ートカードのログファイルに送られる。

【００９０】商人の装置は２つのことのうちの１つを行
う。ＳＰと協議するようにとのメッセージが存在する場
合、商人の装置はＳＰに接続され、ブロック３１０で作
成されたメッセージを転送する。その後、商人は、金額
に対する即時クレジットを得ることができる（もちろ
ん、署名に基づいて、そのメッセージが正当であると結
論される限り）。商人によって受信されたメッセージが
ブロック２２０によって構成されたメッセージを含まな
い場合、商人は単に、許可ストリングを格納し、選択さ
れた時間間隔（例えば就業日全体）にわたりこのような
許可ストリングを収集し、その後、その許可ストリング
を適当なＳＰに転送する。

【００９１】許可ストリングはＳの公開キーで暗号化さ
れているように示されているが、指定されたＳＰのパス
ワードで暗号化することも可能である。許可ストリング
は、商人が単にそれを所定回数複製してＳＰに送ること
がないことを保証するように十分強固でなければならな
い。これはいくつかの方法で実現することができる。そ
れには、日付および時刻のタイムスタンプを有するこ
と、値ファイル内の「前」および「後」の値の表示を有
すること、Ｓによって供給されるシーケンス番号を有す
ること、などが含まれる。この許可ストリングはＶによ
って解読可能でなく、従って、変更不能であるため、セ
キュリティは保持される。

【００９２】［サービスセンタとしてのスマートカード
発行者／所有者］本発明の１つの特徴は、スマートカー
ドの発行者／所有者（Ｏ）が、スマートカード上に存在
する「アプリケーション」を有するサービス提供者の一
般的知識を有し、そのサービス提供者を制御することで
ある。第１に、Ｏはサービス提供者のディレクトリの設
定を制御する。第２に、Ｏは、保有者の要求に応じて、
または、Ｏがスマートカードにアクセスすることができ
るときには、（保有者の同意の有無に関わらず）任意の
ディレクトリを削除することができる。第３に、Ｏはス
マートカードを共有するすべてのサービス提供者の識別
情報と、それらのサービス提供者のさまざまな詳細を知
る唯一の当事者である。第４に、オペレーティングシス
テムの設計を通じて、Ｏは、各サービス提供者がアクセ
スすることができるメモリの量を制御し、従って、スマ
ートカード上に「共存」することが可能なサービス提供
者の数を制御することができる。第５に、Ｏは特定の種
類の取引に対してサービス提供者のグループ化を定義す
ることができる。第６に、Ｏは、サービス提供者によっ
て占有される空間に比例して、スマートカード上に存在
する権利に対してそのような各サービス提供者に課金す
ることができる。

【００９３】上記のすべてのことから明らかなように、
本発明の方式からいくつかの利益が生じる。例えば、そ
の１つは、保有者がアクセスすることができる他のサー
ビスについての知識を有するサービス提供者はないこと
である。もう１つは、任意のおよびすべてのディレクト
リを削除する能力を有するのが、利害関係のない当事
者、すなわちＯであるということである。この当事者
は、欠陥のあるカードを「修理」し、すべてのサービス
を再インストールする能力も有する（所有者の代表的能
力）。反対に、Ｏは、すべてのディレクトリを削除する
能力を有し、この能力は、スマートカードが盗難にあっ
たと判定されたときに執行される。

【００９４】セキュリティに関しては、考慮する必要の
ある４つの形式の攻撃がある。第１は、侵入者が「ルー
ト」（一次ソース）になろうとする場合である。第２
は、侵入者がサービス提供者になろうとする場合であ
る。第３は、当事者（「ルート」（一次ソース）、サー
ビス提供者、侵入者、ビジター、保有者）が、許可され
ている以外のことをしようとする場合である。第４は、
所持者が真正の保有者でない場合である。

【００９５】第１の形式の攻撃に関しては、最初の主要
な関門は「ルート」（一次ソース）パスワードである。
これは、「ルート」（一次ソース）としてのログインが
試みられたが失敗したときにオペレーティングシステム
がスマートカードを完全に無効にするように設定される
という意味で有効な関門である。例えば、すべてのディ
レクトリを消去することができる。

【００９６】サービス提供者としてログインしようと試
みることは、わずかにゆるい方法でのみ扱われるべきで
ある。すなわち、カウンタが、サービス提供者としてロ
グインしようとして失敗した試行を追跡するように設定
することが可能である。試行失敗回数が事前に選択した
値（例えば４）を超えた場合には、スマートカードは無
効になる。このような状況では、スマートカードの無効
を、攻撃の対象であったサービス提供者のディレクトリ
のみにすることも、「ルート」（一次ソース）ディレク
トリ以外のすべてのサービス提供者ディレクトリにする
ことも可能である。

【００９７】スマートカードとの最も多数の交信はビジ
ターユーザによるものである。これらの交信はフレキシ
ブルにする必要があるが、用心深いものである必要もあ
る。ＵＮＩＸオペレーティングシステムでは、ＰＡＴＨ
にないコマンドの実行に対しては親切なメッセージが出
るが、スマートカードは、許されないコマンドにアクセ
スしようとするこれらの試行を監視する必要がある。こ
の場合も、カウンタを使用して、事前に選択したカウン
トを超えた場合に、ビジターとの通信を終了し、メッセ
ージをスマートカードに格納し、保有者以外の者に対し
てカードを無効にすることができる。保有者のディレク
トリに格納されることになるそのメッセージは、中断し
た取引の詳細からなる。

【００９８】もう１つのセキュリティ手段は、ビジター
による正当な取引にも関係することがある。上記のよう
に、「ルート」（一次ソース）によって所有されるファ
イルのうちの１つにログファイルがあり、これはスマー
トカードによって実行されたすべての取引の記録を保持
する。このファイルは、与えられた時間間隔に１つのビ
ジターによってあまりに多くの取引があった場合、与え
られた時間間隔にあまりに多くの取引があった場合など
のような特定の状況が存在するようなときに、特定のビ
ジターユーザまたはすべてのビジターユーザを許可しな
いようにチェックすることが可能である。

【００９９】スマートカードと交信する当事者はＯＫで
あるが、カードの所持者に問題がある場合には、わずか
に異なるセキュリティ問題が生じる。この場合、スマー
トカードと対話している当事者は、その時点およびそれ
以降では、スマートカードの使用を防止するのに協力し
たいと考えると容易に仮定される。これはいくつかの方
法で実現される。例えばスマートカードが盗まれたもの
であるために、ログインシーケンス中に所持者によって
提示されたＩＤが誤りである場合、商人は「ルート」
（一次ソース）に属するファイルにメッセージを書き込
むコマンドを実行しカードを無効にすることができる。
この場合、カードを復元する唯一の方法は「ルート」
（一次ソース）と交信することである。「ルート」（一
次ソース）がそのメッセージを読んだ場合、所持者が実
際は真の保有者であるか否かを判定し、適当なアクショ
ンをとることができる。

【０１００】あるいは、商人の装置はスマートカードを
カードの発行者／所有者に接続することも可能である。
所有者はまずスマートカードを無効にしてから、スマー
トカードの所持者と対話して、その所持者がそのスマー
トカードを所持する権限を有するか否かを判定する。そ
の所持者がその権限を有する場合、発行者／所有者はス
マートカードを再び有効にする。

【０１０１】［スマートカードサービスの貯蔵所として
のサービスセンタ］スマートカードの上記の構造および
オペレーティングシステムが与えられると、スマートカ
ード上のすべてのサービスをインストールする発行者／
所有者がそれらのサービスの知識を有することは明らか
である。すなわち、発行者／所有者は（スマートカード
の「ルート」（一次ソース）所有者ではあるが）さまざ
まなサービス提供者によって所有されるファイル内を調
べる能力を有しないが、それにもかかわらず、発行者／
所有者は各スマートカード上にどのサービス提供者が存
在するかについて知っている。この知識は、（各スマー
トカードが自分自身に関するそのような情報を保持する
こともできるが）発行者／所有者によって所有されるデ
ータベースに保持することができる。

【０１０２】スマートカードを紛失しまたは破損した場
合、すべてのサービス提供者をインストールした新しい
スマートカードを保有者に発行することができる。回復
できない唯一の項目は、旧ファイル内にさまざまなユー
ザによって作成されたデータファイルと、サービス提供
者のパスワードである。初期インストールについては、
一時的なパスワードファイルのセットをインストールす
ることができる。その後、発行者／所有者はサービス提
供者と交信して、一時パスワードについて通知し、保有
者はサービス提供者と交信してそのパスワードを変更
し、それぞれのディレクトリに必要なファイルを入れる
ことができる。

【０１０３】［監査証跡］上記のように、「ルート」
（一次ソース）はログファイルを保持し、その中に各取
引の記録を格納する。その後、このファイルは、保有者
またはサービス提供者が課したいさまざまなしきい値を
追跡するために使用することができる。

【０１０４】スマートカードの過度の使用は不正使用の
表示の可能性がある。上記のように、このような使用
は、ログファイルの注意深い監視によって検出すること
ができ、それによって停止される。

【０１０５】しかし、ログファイルのもう１つの使用法
として、完全に正当な使用に関するものも可能である。
例えば、クレジット提供サービス提供者は、すべての小
さい取引に対しては商人から「バッチ」送信（おそらく
は就業日の終わりに）をさせながら、ある限界を超える
負担を受ける場合には直ちに通知してもらうことができ
る。スマートカードの「電子財布」に関して、保有者
は、スマートカード内の金額値がある限界を下回った場
合に保有者の銀行と自動的に交信し、さらに追加の資金
をスマートカードに振り替えるように命令することがで
きる。

【０１０６】監査証跡のさらにもう１つの使用法は、紛
争解決に関するものである。商人が、スマートカードが
ある商品またはサービスを取得するために使用されたと
主張し、保有者がその主張を争う場合、ログファイル
は、その紛争を解決するために使用することができる。

【０１０７】［サービス提供者間の協力］サービス提供
者が協力的提携をすることも全く可能である。このよう
な提携は、スマートカードがアクセスされるときはいつ
でも、または、スマートカードが特定のユーザによって
アクセスされるときに、スマートカードで実行されるさ
まざまな活動を指定することができる。このような可能
性の数は無制限であり、以下の例は単なる例示のための
ものである。

【０１０８】例えば、会社Ａが、ガソリンを頻繁に購入
する必要がある巡回販売員を雇用しているとする。Ａ
は、Ｏと交信して、各販売員（保有者）にスマートカー
ドを発行させ、Ａをサービス提供者として、および、Ｇ
をガソリン提供者としてインストールするようにＯに要
求する。しばらく後に、Ａは、銀行Ｂと、販売員に対す
るクレジットの提供者として契約を結ぶ。このサービス
は、例えばＧの協力を得ることによって、販売員に属す
るすべてのスマートカードにリモートでインストールす
ることが可能である。

【０１０９】特に、Ａは、スマートカードがＧと対話
し、ＡがユーザであるがＢがユーザでないことを発見し
たときには、Ｏとの通信を要求するようインストールす
ることをＧに要求することができる。Ｇがする必要のあ
ることは、ＨがＧと通信するためにログインしたときに
実行されるファイルを変更し、スマートカードがＯを呼
び出すようにすることのみである。

【０１１０】［ＰＯＳ環境でのスマートカードオペレー
ティングシステムの使用］図１０に、理解を容易にする
ためにいくつかのサブシステムに分割したスマートカー
ドＰＯＳ配置を示す。第１のサブシステムは、携帯型ス
マートカード４１０であり、ユーザの情報を格納し交信
することが可能なメモリを含む。第２のサブシステム
は、スマートカードリーダ／ライタ４１５であり、これ
は、第３のサブシステムであるＰＯＳ端末４１８を連結
する。このＰＯＳ端末４１８は、スマートカード内のメ
モリにアクセスするのに必要なアプリケーションソフト
ウェアを実行するコンピュータまたは専用ワークステー
ションからなる、適当に設定されたアプリケーションス
テーションである。アプリケーションソフトウェアは、
ＰＯＳ端末４１８のメモリ４２０内にあり、スマートカ
ード４１０のメモリに格納された情報の取得および変更
をすることができる。メモリ４２０は、例えば、ランダ
ムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（Ｒ
ＯＭ）などでよい。

【０１１１】スマートカード４１０は、オペレーティン
グシステムコマンドのセットを通じてアクセスされる実
行可能オペレーティングシステムを実行する。それらの
コマンドは、図２〜図９について既に説明したように、
カードセキュリティによって要求される規則に従って、
カード上のファイルシステムを操作する。このオペレー
ティングシステムは、ＰＯＳ端末プロセッサ４２４上で
実行可能なアプリケーションソフトウェアによって実現
される。プロセッサ４２４は、当業者に周知の種類のマ
イクロプロセッサ装置でよい。

【０１１２】スマートカード４１０内にある主要な要素
には、スマートカードプロセッサ４１１０、電気的消去
可能プログラマブル読み出し専用メモリ（ＥＥＰＲＯ
Ｍ）４１１５、アナログインタフェース回路４１３０、
変成器４１２０の二次巻線４１２１、および、容量性プ
レート４１２５〜４１２８がある。

【０１１３】スマートカードプロセッサ４１１０は、中
央処理装置と、ランダムアクセスメモリおよび読み出し
専用メモリの形のメモリ装置とを有する。インテル社か
ら入手可能な部品番号８０Ｃ５１というマイクロコンピ
ュータを適当にプログラミングすることによってスマー
トカードプロセッサ４１１０として使用可能である。こ
のプログラミングは当業者に周知である。その内部の読
み出し専用メモリによって提供されるファームウェア制
御下で動作して、スマートカードプロセッサ４１１０
は、ＥＥＰＲＯＭ４１１５に直接転送されるデータと、
リーダ／ライタ４１５を通じてＰＯＳ端末４１８に転送
されるデータとをフォーマットする。ＥＥＰＲＯＭ４１
１５全体またはその一部は、スマートカードプロセッサ
４１１０の統合部分であることも可能であり、あるい
は、別個の要素とすることも可能である。また、スマー
トカードプロセッサ４１１０は、リーダ／ライタ４１５
を通じてＰＯＳ端末４１８から受信されるコマンドを解
釈する。

【０１１４】スマートカード４１０内のＥＥＰＲＯＭ４
１１５を使用することによって、許可ユーザは、許可さ
れたアプリケーションステーションで、必要に応じて新
しい異なるデータによって、カードのメモリセクション
内のあるアプリケーションファイルを再プログラムする
ことができる。ＥＥＰＲＯＭ４１１５はいくつかの供給
元から入手可能であり、その多くは、ジェー．ロバート
・ラインバック(J. Robert Lineback)による「ＥＥＰＲ
ＯＭが売れ出す準備は完了したか(Are EEPROMSFinally
Ready To Take Off?)」、Electronics、第５９巻第７号
（１９８６年２月１７日）第４０〜４１ページ、という
記事に記載されている。動作電源が加えられている間
は、繰り返し、ＥＥＰＲＯＭにデータを書き込みこと、
および、ＥＥＰＲＯＭからデータを読み出すことまたは
消去することが可能である。動作電源が除かれると、Ｅ
ＥＰＲＯＭ内のデータに対する変化は残り、スマートカ
ード４１０に再び電源が入るとそれは取得可能である。

【０１１５】アナログインタフェース回路４１３０は、
スマートカード４１０をリーダ／ライタ４１５にインタ
フェースする手段を提供する。このインタフェースは多
くの機能を実行する。それには、リーダ／ライタ４１５
からスマートカード４１０に結合される磁気エネルギー
からの動作電源を供給することと、リーダ／ライタ４１
５とスマートカード４１０内のスマートカードプロセッ
サ４１１０との間でデータを結合することとが含まれ
る。スマートカード４１０を動作させるための電源は、
変成器４１２０の二次巻線４１２１によって提供される
誘導性インタフェースを通じてアナログインタフェース
回路４１３０に要求される。この変成器は、スマートカ
ード４１０内のこの二次巻線がリーダ／ライタ４１５内
の一次巻線４１２２に物理的に接近して配置されると形
成される。ＰＯＳ端末４１８は、リーダ／ライタ４１５
とスマートカード４１０の両方の動作のための電源を供
給する。

【０１１６】変成器４１２０は、変成器の一次巻線４１
２２と二次巻線４１２１の間の結合を増大させるために
リーダ／ライタ４１５内にフェライトコア４１２３を含
むことも可能である。結合効率をさらに増大させるため
に、カード内の二次巻線４１２１に付随して変成器４１
２０内に第２のそのようなコア４１２４を含めることも
可能である。大電力が利用可能で効率が問題ではないよ
うな装置では、これらのコアの一方または両方を省略す
ることができる。クレジットカードに電力を結合するた
めに変成器を使用することは、米国特許第４，６９２，
６０４号（発明者：アール．エル．ビリングズ(R. L. B
illings)、発行日：１９８７年９月８日）で提案されて
いる。

【０１１７】スマートカード４１０へのデータ受信およ
びスマートカード４１０からのデータ送信は、アナログ
インタフェース４１３０に接続された容量性インタフェ
ースによって提供される。この容量性インタフェース
は、スマートカード４１０上の電極すなわちプレート４
１２５〜４１２８がリーダ／ライタ４１５内の対応する
電極すなわちプレート４１５５〜４１５８に物理的に接
近して配置されるときに形成される４個のキャパシタか
らなる。これらのキャパシタのうちの２個は、リーダ／
ライタ４１５からスマートカード４１０にデータを転送
するために使用され、残りの２個は、スマートカード４
１０からリーダ／ライタ４１５にデータを転送するため
に使用される。誘導性インタフェースと容量性インタフ
ェースの組合せは、リーダ／ライタ４１５とスマートカ
ード４１０の間の完全な通信インタフェースを提供す
る。

【０１１８】リーダ／ライタ４１５内のいくつかの要素
の構成は、スマートカード４１０内のものを機能的に反
映したものである。そのような要素は、例えば、アナロ
グインタフェース回路４１４０およびＰＯＳ端末プロセ
ッサ４２４であり、後者はマイクロプロセッサとするこ
とが可能である。さらに、リーダ／ライタ４１５は電源
４１６２を有し、これは、変成器４１２０を通じてリー
ダ／ライタ４１５からスマートカード４１０に、電源を
供給し、さらに、クロック信号を結合するために使用さ
れる。

【０１１９】アナログインタフェース回路４１４０は、
リーダ／ライタ４１５をＰＯＳ端末プロセッサ４２４に
インタフェースする。ＰＯＳ端末プロセッサ４２４は、
電源４１６２の動作を制御し、この電源は、誘導的に電
力をスマートカード４１０に転送するために使用され
る。ＰＯＳ端末プロセッサ４２４はメモリ４２０に接続
される。メモリ４２０は、従来のランダムアクセスメモ
リ（ＲＡＭ）装置、読み出し専用メモリ（ＲＯＭ）、消
去可能プログラマブル読み出し専用メモリ（ＥＰＲＯ
Ｍ）などでよい。

【０１２０】ＰＯＳ端末プロセッサ４２４は従来のＵＰ
Ｃバーコードリーダ４２６の動作を制御する。バーコー
ドリーダ４２６としての使用に適した装置は、例えば、
米国特許第５，１５５，３４３号（発明者：チャンドラ
ー(Chandler)他、発行日：１９９２年１０月１３日）、
米国特許第５，１２４，５３７号（発明者：チャンドラ
ー(Chandler)他、発行日：１９９２年６月２３日）、お
よび米国特許第５，０７９，４１２号（発明者：スギヤ
マ(Sugiyama)、発行日：１９９２年１月７日）に記載さ
れている。いくつかの従来のＵＰＣバーコードリーダ４
２６は統合されたＰＯＳ端末プロセッサ４２６を有する
が、他の従来のＵＰＣバーコードリーダ４２６には、単
に、光学的なＵＰＣバーコードを、マイクロプロセッサ
によって解釈可能なディジタルデータストリームに変換
するものもある。

【０１２１】ＵＰＣバーコードリーダ４２６は、従来の
ＵＰＣバーコードを読み取る。このＵＰＣバーコードは
現在では、食料品、建材、電子製品、健康用品、雑誌、
書籍などのさまざまな消費者商品に貼付され、または、
印刷されている。商品４２８は、ＵＰＣバーコードを有
するこのようなある消費者商品を代表する。ＵＰＣバー
コードは、特定の商品または商品種別を識別するために
使用される。従来のＵＰＣバーコードの特徴は当業者に
は周知である。

【０１２２】図１１に、ＥＥＰＲＯＭ４１１５内に格納
されスマートカード４１０によって使用されるデータ構
造を示す。１つ以上のアプリケーション識別子１１０
９、１１１０、１１１１が利用される。各アプリケーシ
ョン識別子１１０９、１１１０、１１１１はそれぞれ口
座識別子１１１４、１１１６、１１１７を含み、口座識
別子は、与えられた口座を一意的に指定する。各口座識
別子１１１４、１１１６、１１１７はそれぞれ口座残高
フィールド１１０１、１１０３、１１０５を有し、これ
らのフィールドはそれぞれ口座残高を表す数値を格納し
ている。オプションの個人識別番号レジスタ１１０７
は、スマートカードユーザが保有する個人識別番号（Ｐ
ＩＮ）に対応する数値を格納している。オプションの割
引識別子１１１２、１１１５は、さまざまな購買に割引
を適用するために利用可能である。

【０１２３】各アプリケーション識別子１１０９、１１
１０、１１１１は、ＰＯＳ端末４１８のメモリ４２０に
格納された１つ以上の特定の商品表の使用を指定する。
（メモリ４２０の構造は後で図１２を参照して説明す
る。）このようにして、アプリケーション識別子は、対
応する商品表に特定の口座を割り当てる。例えば、第１
アプリケーション識別子１１０９は２つの商品表識別子
１１１８、１１２０を含み、これらはそれぞれ「商品表
ＩＩＩ使用」および「商品表ＩＶ使用」を指定する。各
口座識別子１１１４、１１１６、１１１７は、１つ以上
の対応する商品表識別子と関連しており、それぞれフィ
ールド１１１８、１１２０、１１２２、および１１２４
として図示されている。フィールド１１１８は商品表Ｉ
ＩＩの使用を指定し、フィールド１１２０は商品表ＩＶ
の使用を指定する。

【０１２４】図１１のアプリケーション識別子としてこ
れ以外のデータ構造も可能である。注意すべき点は、詳
細は図１２を参照して後で説明するが、商品表自体が各
商品識別子を対応する口座に関係づけるものであるた
め、特定の口座を対応する商品表に関係づける必要がな
いことである。アプリケーション識別子が特定の口座を
直接指定しない場合、この識別子は単に１つ以上の商品
表識別子を含むのみである。例えば、第ｎアプリケーシ
ョン識別子１１１１を考えると、口座識別子すなわち口
座「ｎ」１１１７および口座「ｎ」の口座残高フィール
ド１１０５は削除され、商品表識別子１１２４のみが残
ることになる。その結果、アプリケーション識別子は図
１２の表Ｉ（１２１１）および表ＩＩ（１２１３）のデ
ータ構造を有する商品表識別子とともに使用されること
になる。しかし、この結果のアプリケーション識別子
は、表ＩＩＩまたはＩＶ（１２１５、１２１９）ととも
には使用されない。

【０１２５】オプションの割引識別子フィールド１１１
２は、カード保有者が、例えば、高齢者割引、得意様割
引、特別販売促進商品割引などのような資格がある場合
の１つ以上の特別割引を指定するために利用される。割
引は、割引識別子フィールド１１１２に指定された口座
から引き落とされるすべての商品に適用することが可能
である。あるいは、割引識別子フィールド１１１２は１
つ以上の商品表（例えば、表Ｉ、表ＩＩなど）を指定す
ることも可能である。

【０１２６】図１２に、本発明の好ましい実施例による
ＰＯＳ端末メモリによって使用されるデータ構造を示
す。このメモリは、商品表Ｉ（１２１１）、商品表ＩＩ
（１２１３）、商品表ＩＩＩ（１２１５）、および商品
表ＩＶ（１２１９）のような複数の商品表を含む。各商
品表１２１１、１２１３、１２１５、１２１９は、それ
ぞれ、商品表識別子１２０１、１２０３、１２０７、１
２０９を有し、これらは特定の商品表を一意的に識別す
る。また、各商品表１２１１、１２１３、１２１５、１
２１９は商品のリストを含む。例えば、表ＩＩＩ（１２
１５）は、商品１０００、商品１００３、商品１００
４、および商品１００５を指定するリストを含む。表Ｉ
Ｖ（１２１９）は、商品１０１０、商品１０１２、商品
１００２、商品１００１、および商品１０１１を指定す
るリストを含む。これらの商品１０００〜１００５、１
０１０〜１０１２は、例えば、消費者商品を表す。特
に、例えば、商品１０００は特定のブランドのシャンプ
ーを表し、商品１００１はある種の製品を表し、商品１
００２は特定の朝食シリアルを表し、商品１００３は長
いペンチを表し、商品１００４は緑色のカーディガンセ
ーターを表す。

【０１２７】商品表ＩＩＩおよびＩＶ（それぞれ１２１
５、１２１９）は、商品のリストを含む。商品表１２１
５、１２１９は、アプリケーション識別子１１０９、１
１１０、および１１１１の場合のように、図１１のデー
タ構造を有するアプリケーション識別子とともに使用さ
れる。しかし、商品表ＩおよびＩＩ（それぞれ１２１１
および１２１３）のように、オプションとして、商品に
は特定の口座が関係づけられることもある。例えば、商
品表Ｉ（１２１１）は、商品１０００を口座Ａに関係づ
け、商品１００１を口座Ｂに関係づける。このようにし
て、商品１０００が購入されると、口座Ａから商品１０
００の代金が引き落とされ、商品１００１が購入される
と、口座Ｂから商品１００１の代金が引き落とされる。
商品表自体が、与えられた口座を与えられた商品に関係
づける場合、図１１に関して既に述べたように、このよ
うな商品表の使用を指定するアプリケーション識別子
は、口座識別子を含まない。例えば、表ＩおよびＩＩ
（それぞれ１２１１、１２１３）のデータ構造は、特定
の口座を指定しないが表識別子を含むアプリケーション
識別子とともに使用される。口座識別子が存在する場
合、端末プロセッサはそれを無視するようにプログラム
される。

【０１２８】図１３に、本発明の好ましい実施例によっ
て実行される動作シーケンスを説明する流れ図を示す。
プログラム制御はブロック１００から開始する。ブロッ
ク１０６で、プログラムは、消費者によって購入される
特定の商品、例えば、商品１００３（図１２）、に対す
る実行を開始する。ブロック１０８で、プログラムは、
商品１００３が第１の口座、例えば、口座Ａ（図１２）
から引き落とすべきか否かをチェックする。この作用
は、ＰＯＳ端末メモリ４２０に格納され、スマートカー
ドＥＥＰＲＯＭ４１１５に格納された１つ以上のアプリ
ケーション識別子１１０９、１１１０によって指定され
る商品表（図１２）を参照して実行される。口座Ａ（図
１２）は、例えば、ＷＩＣとして一般に知られているプ
ログラムのような福祉プログラムを表すことも可能であ
る。商品１００３が口座Ａから引き落とされるべきであ
る場合、プログラムは、商品１００３の代金をまかなう
のに十分な残高が口座Ａに残っているかどうかをチェッ
クする（ブロック１１２）。不十分な口座残高しかない
場合、プログラム制御はブロック１１６（その実行する
作用は後述）にジャンプする。十分な口座残高が口座Ａ
に存在する場合、プログラムは商品１００３の代金を口
座Ａから差し引き、プログラム制御はブロック１０６に
ループバックし、そこでプログラムは購入する次の商品
（そのような商品が存在すれば）について再び実行され
る。

【０１２９】商品１００３が口座Ａから引き落とされる
べきでない場合、ブロック１０８からのＮＯの分岐によ
ってブロック１１６へ進み、そこで、プログラムは、商
品１００３が口座Ｂから引き落とされるべきかどうかを
テストする。図１３の例では、口座Ｂはフードスタンプ
口座を表す。商品が口座Ｂから引き落とされるべきでな
い場合、プログラム制御はブロック１２６（詳細は後
述）にジャンプする。商品が口座Ｂから引き落とされる
べきである場合、プログラムはブロック１２０に進み、
そこで、口座Ｂに十分な口座残高があるか否かを確認す
るテストを実行する。十分な口座残高がない場合、プロ
グラムはブロック１２６（後述）にジャンプする。口座
Ｂに十分な口座残高がある場合、プログラムはブロック
１２２に進み、そこで、商品の代金が口座Ｂから差し引
かれる。その後、プログラムはブロック１０６にループ
バックし、そこで、次の商品がもしあれば処理される。

【０１３０】ブロック１１６および１２０からのＮＯの
分岐はブロック１２６につながる。実際上、ブロック１
２６は、与えられた商品を購入したいが、その商品につ
いて引き落とす口座には不十分な口座残高しか存在しな
い場合に到達する。ブロック１２６の手続きによって、
例えば現金、小切手、ビザ、マスターカード、ディスカ
バー、またはＡＴＭカードのような代わりの資金源から
の商品の購入が可能となる。購入者は、さまざまな支払
方法のメニューを提示され、利用可能な選択肢からある
方法を選択することが可能である。

【０１３１】図１３の流れ図は２つの口座（口座Ａおよ
び口座Ｂ）を示しているが、本発明の方法は任意の都合
の良い数の口座に適用可能である。上記の例に記載した
口座は福祉プログラムに関するものであるが、通常のビ
ザ、マスターカード、ディスカバー、または他のクレジ
ットカード口座や、銀行、相互銀行、信用組合などを通
じて得られる普通預金口座や当座預金口座のような他の
種類の口座を利用することも可能である。

【０１３２】図１４に、本発明の好ましい実施例によっ
て実行される動作シーケンスの流れ図を示す。この動作
シーケンスは、一般的に、消費者が購入のために１つ以
上の商品を選択した後に、ＰＯＳ端末４１８（図１０）
で実行される。ＰＯＳ端末４１８（図１０）は、一般的
に、スーパーマーケット、食品雑貨店、またはデパート
の勘定台に設置される。消費者商品には、例えば、朝食
シリアルの箱、オレンジジュースの箱、シャンプーの
瓶、洗濯洗剤、プラスチック製ごみ袋、冷凍チキン、お
よびいくつかの棒キャンディが含まれる。

【０１３３】ある種の消費者に関しては、従来のＰＯＳ
端末の使用は問題を生じる。例えば、福祉受給者である
消費者の場合、福祉プログラムはある特定の商品の代金
をまかなうが、他の商品は考慮から除外する。ＷＩＣと
いう福祉プログラムは、「扶養家族」（すなわち、一般
的に、青少年）の健康および福祉に書くことのできない
食料品その他の商品の代金をまかなうように設計されて
いると仮定する。しかし、ＷＩＣプログラムは、ある非
本質的すなわち贅沢な商品を排除するように慎重に設計
され、福祉受給者が不要な、むだな、または有害な商品
にプログラム利益を浪費する自由を有しないようにして
いる。ＷＩＣプログラム受給者は、基本的な生活必需品
をまかなうために利益を使用するように強制される。従
って、ＷＩＣプログラムは、上記の例では、オレンジジ
ュース、朝食シリアル、および洗濯洗剤の代金はまかな
うことになるが、棒キャンディの代金は不要な「贅沢
品」として排除する。さらに、消費者によって洗濯され
る特定のブランドのシャンプーは比較的高価であり、福
祉プログラムはある一定の金額までのシャンプーの代金
しかまかなわないように調整されていると仮定する。現
在のＰＯＳ端末では、消費者または勘定カウンターの店
員が、福祉適格商品を他の商品から分離しなければなら
ない。さらに、その商品を分離した後、さまざまな福祉
プログラムの利益を調整するために追加の計算が必要と
なる。これらのステップは不要な遅延を生じ、勘定カウ
ンターの店員の効率を低下させ、消費者が福祉適格商品
について、または、非適格商品についてよく知らない場
合、誤りを生じる。

【０１３４】前段落で説明した現在のＰＯＳ端末の欠点
は、福祉プログラムに特有のものではない。例えば、非
福祉消費者が、食料品にのみにはクレジットカードを使
用して支払い、非食料品には現金で支払いたいことがあ
る。同様に、消費者は、ある種の商品を購入するのに第
１のクレジットカードを使用し、別の種類の商品を購入
するのに第２のクレジットカードを使用したいことがあ
る。近所のマーケットで夫婦で買い物をする場合に、各
人が自分のクレジットカードを有するとき、その夫婦
は、ある商品の代金は半々に分け、同時にある商品の代
金は全部一方の口座のみに負担させるようにしたいこと
がある。このようなことは、夫婦で別々のＰＯＳ取引を
使用しなければ、現在のＰＯＳ端末を使用して実行する
ことは不可能である。

【０１３５】現在のＰＯＳ端末の上記の制限および欠点
は図１４の動作シーケンスを実行することによって克服
される。図１４の動作シーケンスはブロック１５００か
ら開始し、そこでは、購入する商品の単一のセットを構
成する複数の消費者商品がＰＯＳ端末に集められる。次
に、消費者のスマートカードがＰＯＳ端末のスマートカ
ードリーダ４１５（図１０）によって読み取られる（図
１４、ブロック１５０２）。ブロック１５０４で、デー
タファイルは、スマートカードメモリ（すなわち、図１
０のＥＥＰＲＯＭ４１１５）から端末プロセッサ４２４
（図１０）にアップロードされる。このデータファイル
には図１１のアプリケーション識別子１１０９、１１１
０、１１１１が含まれる。スマートカードメモリから受
信したアプリケーション識別子に応答して、端末プロセ
ッサは端末メモリから１つ以上の商品表（図１２、１２
１１、１２１３、１２１５、１２１９）を取得する。各
商品表は、スマートカードメモリからアップロードされ
たアプリケーション識別子で指定された口座が関係づけ
られる（図１４、ブロック１５０６）か、または、スマ
ートカードからアップロードされた商品表識別子が、Ｐ
ＯＳ端末プロセッサによって使用される口座および商品
表を決定する。

【０１３６】ブロック１５０８で、端末プロセッサは、
商品表が複数の口座に関係づけられているか否かを確か
めるテストを、端末メモリから取得した各商品表に対し
て実行する。与えられた商品表が複数の口座に関係づけ
られている場合、プログラム制御はブロック１５１０に
進み、そこで、ＰＯＳ端末プロセッサは、引き落とし優
先アルゴリズムを実行して、ブロック１５０６で端末メ
モリから取得した商品表に関係づけられた複数の口座の
間での引き落とし額の配分を決定する。この引き落とし
優先アルゴリズムは、特定のシステムアプリケーション
の必要を満たすように設計され、１つの商品が複数の口
座に対応する場合の衝突を解決する作用を実行する。例
えば、あるアプリケーションに適した引き落とし優先ア
ルゴリズムでは、第１の口座と第２の口座がいずれも与
えられた商品に関係づけられている場合、この商品は、
十分な残高が第２の口座に存在する限り、常に第２の口
座を使用して代金が支払われる。しかし、第２の口座
が、その商品の代金をまかなうのに十分な残高を有しな
い場合、第１の口座から引き落とされる。別のアプリケ
ーションに適した引き落とし優先アルゴリズムでは、第
１の口座と第２の口座がいずれも与えられた商品に関係
づけられている場合、この商品の代金は、５０：５０ま
たは６０：４０のような一定の引き落とし比率を使用し
て、口座間で比例配分される。ただし、以上の引き落と
し優先配分アルゴリズムの例は単なる例示のためのもの
である。他の引き落とし優先配分アルゴリズムの特徴、
構造、および動作は、当業者の知識の範囲内にある。

【０１３７】ブロック１５１２には、ブロック１５０８
のＮＯの分岐から、または、ブロック１５１０の動作が
実行された後に到達する。ブロック１５１２で、端末プ
ロセッサは、商品識別装置、すなわち、ＵＰＣバーコー
ドリーダ４２６（図１０）を起動する。商品識別装置
は、購入する商品の単一のセット内のある商品から商品
識別子を取得する（図１４、ブロック１５１４）。ブロ
ック１５１６で、端末プロセッサは、ブロック１５１４
で商品識別装置によって取得された商品識別子と同一の
商品識別子を、ブロック１５０６で取得されたすべての
商品表にわたって検索する。

【０１３８】ブロック１５２０で、端末プロセッサが商
品識別子の１つ以上の一致を発見したかどうかを確かめ
るテストを実行する。発見しなかった場合、プログラム
制御はブロック１５２２に進み、そこで、残余口座から
その商品の代金が引き落とされる。この残余口座は、商
品識別装置によって識別されたがブロック１５０６で端
末プロセッサによって取得されたいずれの商品表にもリ
ストされていない商品を追跡するために使用される。購
入するすべての商品が識別された後、例えば、端末プロ
セッサとインタフェースするキーパッドのようなＰＯＳ
端末入力装置を使用して口座を選択することによって、
顧客の口座のうちの１つから残余口座の合計残高を引き
落とすことができる。あるいは、残余口座残高の支払を
するために、ＰＯＳ端末プロセッサは、（１）顧客の最
高残高を有する口座から引き落とすこと、（２）ＰＯＳ
端末入力装置からは、ある口座からの引き落としのみを
許容し、他からの引き落としは許容しないこと、（３）
顧客による現金支払いを可能にすること、ができるよう
にプログラムされる。

【０１３９】ブロック１５２２で、残余口座が引き落と
された後、プログラム制御はブロック１５３０に進み、
そこで、購入のために提示する商品のセットのうちにＰ
ＯＳ端末には他の商品があるか否かを確かめるテストを
実行する。このような商品がない場合、プログラムは終
了する。このような商品がある場合、プログラムはブロ
ック１５１６に戻ってループする。

【０１４０】ブロック１５２０からのＹＥＳの分岐はブ
ロック１５２４につながり、そこで、商品識別子にただ
１つの一致があるかどうかを確かめるテストを実行す
る。ただ１つの一致がある場合、プログラム制御はブロ
ック１５２８に移り、そこで、一致した商品識別子を含
む表に関係づけられた口座が引き落とされる。この口座
は、代金表に示された商品の代金を引き落とされる。こ
の口座の残高が、商品の代金をまかなうには不十分であ
る場合、残余口座から引き落とされる。商品の代金は、
この時点で、端末プロセッサからスマートカードプロセ
ッサにダウンロードすることが可能である。あるいは、
アプリケーション識別子の一部として口座残高がスマー
トカードからＰＯＳ端末にアップロードされたという事
実により、端末プロセッサは、各商品が商品識別装置に
よって識別されると、商品ごとに、アップロードされた
口座残高から商品代金を差し引くことも可能である。こ
の減算は、ＰＯＳ端末内で行われる。最後の商品が商品
識別装置によって識別されると、新しい口座残高が端末
プロセッサからスマートカードプロセッサにダウンロー
ドされる。ブロック１５２８の動作を実行した後、プロ
グラムは上記のブロック１５３０に進む。

【０１４１】ブロック１５２４からのＮＯの分岐はブロ
ック１５２６につながり、そこで、前述の引き落とし優
先アルゴリズムを実行して、一致する商品識別子を含む
表に関係づけられた複数の口座の間で商品の代金を配分
する。その後、プログラムは上記のブロック１５３０に
進む。

【０１４２】

【発明の効果】以上述べたごとく、本発明によれば、ス
マートカード上に記憶された複数の口座のうちの任意の
口座から引き落としすることによって１組の消費者商品
を購入することが可能となる。

【図面の簡単な説明】

【図１】ＵＮＩＸオペレーティングシステムの構造の図
である。

【図２】スマートカードオペレーティングシステムのツ
リー構造の図である。

【図３】スマートカードとその発行者／所有者の間のロ
グインプロトコルの図である。

【図４】スマートカード、その発行者／所有者およびサ
ービス提供者に関わるプロトコルの図である。

【図５】スマートカードがサービス提供者からサービス
を取得するプロトコルの図である。

【図６】スマートカード、ビジターユーザおよびサービ
ス提供者に関わるプロトコルの図である。

【図７】サービス提供者への接続のない、スマートカー
ドとビジターユーザの間のプロトコルの図である。

【図８】電気通信ネットワークを使用してスマートカー
ドをリモート発給する配置の図である。

【図９】サービス提供者のファイルに記憶された値を引
き出すオペレーティングシステムコマンドの流れ図であ
る。

【図１０】本発明の好ましい実施例の特徴を説明するハ
ードウェアブロック図である。

【図１１】本発明の好ましい実施例によるスマートカー
ドによって使用されるデータ構造の図である。

【図１２】本発明の好ましい実施例によるＰＯＳ端末メ
モリによって使用されるデータ構造の図である。

【図１３】本発明の好ましい実施例の特徴を説明する流
れ図である。

【図１４】本発明の好ましい実施例によって実行される
動作シーケンスの流れ図である。

【符号の説明】

１１０１ 口座残高 １１０３ 口座残高 １１０５ 口座残高 １１０７ 個人識別番号レジスタ １１０８ 個人識別番号レジスタ １１０９ アプリケーション識別子 １１１０ アプリケーション識別子 １１１１ アプリケーション識別子 １１１２ 割引識別子 １１１４ 口座識別子 １１１５ 割引識別子 １１１６ 口座識別子 １１１７ 口座識別子 １１１８ 商品表識別子 １１２０ 商品表識別子 １１２２ 商品表識別子 １１２４ 商品表識別子 １２０１ 商品表識別子 １２０３ 商品表識別子 １２０７ 商品表識別子 １２０９ 商品表識別子 １２１１ 商品表Ｉ １２１３ 商品表ＩＩ １２１５ 商品表ＩＩＩ １２１９ 商品表ＩＶ ４１０ 携帯型スマートカード ４１１０ スマートカードプロセッサ ４１１５ 電気的消去可能プログラマブル読み出し専用
メモリ（ＥＥＰＲＯＭ） ４１２０ 変成器 ４１２１ 二次巻線 ４１２２ 一次巻線 ４１２３ フェライトコア ４１２４ フェライトコア ４１２５ 容量性プレート ４１５５ 容量性プレート ４１３０ アナログインタフェース回路 ４１４０ アナログインタフェース回路 ４１５ スマートカードリーダ／ライタ ４１６２ 電源 ４１８ ＰＯＳ端末 ４２０ 端末メモリ ４２４ 端末プロセッサ ４２６ ＵＰＣバーコードリーダ ４２８ 商品

フロントページの続き (72)発明者 リディア アン カーティス アメリカ合衆国、ニュージャージー、ブリ ッジワーター、ドゥーリトル ドライブ 1308 (72)発明者 キャサリン エム．マーフィー アメリカ合衆国、ニュージャージー、ベッ ドミンスター、ウッド ダック ポンド ロード 17 (72)発明者 リチャード ジョン スキボ アメリカ合衆国、ニュージャージー、スキ ルマン、ドーランド ファーム コート 16

Claims (12)

【特許請求の範囲】
1. 【請求項１】 特定の消費者商品または消費者商品の特
   定の種別を識別する商品識別手段と、端末メモリ手段
   と、前記端末メモリ手段および前記商品識別手段に接続
   された端末処理手段とを有するＰＯＳ端末と、 スマートカードメモリ手段とスマートカード処理手段と
   を有するスマートカードとからなるスマートカードシス
   テムにおいて、 前記スマートカードメモリ手段には、口座を一意的に指
   定する口座識別子と、その口座の残高を表す数値と、前
   記端末メモリ手段に格納された複数の商品表から商品表
   を一意的に識別する商品表識別子とを有する１つ以上の
   アプリケーション識別子をロードしたことを特徴とする
   スマートカードシステム。
2. 【請求項２】 特定の消費者商品または消費者商品の特
   定の種別を識別する商品識別手段と、端末メモリ手段
   と、前記端末メモリ手段および前記商品識別手段に接続
   された端末処理手段とを有するＰＯＳ端末と、 スマートカードメモリ手段とスマートカード処理手段と
   を有するスマートカードとからなるスマートカードシス
   テムにおいて、 前記端末メモリ手段には複数の商品表がロードされ、各
   商品表は消費者商品のリストを含み、各商品表はその商
   品表に対応する商品表識別子によって一意的に識別され
   ることを特徴とするスマートカードシステム。
3. 【請求項３】 前記複数の商品表のうちの１つ以上が、
   特定の消費者の商品を特定の口座に関係づけることを特
   徴とする請求項１のシステム。
4. 【請求項４】 前記複数の商品表のうちの１つ以上が、
   特定の消費者の商品を特定の口座に関係づけることを特
   徴とする請求項２のシステム。
5. 【請求項５】 特定の消費者商品または消費者商品の特
   定の種別を識別する商品識別手段と、端末メモリ手段
   と、前記端末メモリ手段および前記商品識別手段に接続
   された端末処理手段とを有するＰＯＳ端末と、 スマートカードメモリ手段とスマートカード処理手段と
   を有するスマートカードとからなるスマートカードシス
   テムにおいて、 前記端末メモリ手段には複数の商品表がロードされ、各
   商品表は消費者商品のリストを含み、各商品表はその商
   品表に対応する商品表識別子によって一意的に識別さ
   れ、 前記スマートカードメモリ手段には、口座を一意的に指
   定する口座識別子と、その口座の残高を表す数値と、前
   記端末メモリ手段に格納された複数の商品表から商品表
   を一意的に識別する商品表識別子とを有する１つ以上の
   アプリケーション識別子をロードしたことを特徴とする
   スマートカードシステム。
6. 【請求項６】 前記商品表のうちの１つ以上が、特定の
   消費者の商品を特定の口座に関係づけることを特徴とす
   る請求項５のシステム。
7. 【請求項７】 複数のアプリケーション識別子をスマー
   トカードにダウンロードするステップを有するスマート
   カードのプログラム方法において、各アプリケーション
   識別子は商品表識別子をスマートカードに格納された複
   数の口座のうちのいずれかに関係づけ、商品表は消費者
   商品のリストを含む商品表を一意的に指定することを特
   徴とするスマートカードのプログラム方法。
8. 【請求項８】 複数の商品表をＰＯＳ端末にロードする
   ステップを有することを特徴とするＰＯＳ端末のプログ
   ラム方法において、各商品表は消費者商品のリストと、
   商品表を一意的に識別する商品表識別子とを有すること
   を特徴とするＰＯＳ端末のプログラム方法。
9. 【請求項９】 スマートカードからＰＯＳ端末に商品表
   識別子をアップロードするステップをさらに有すること
   を特徴とする請求項８の方法。
10. 【請求項１０】 消費者商品のリストを含む商品表を一
    意的に識別する商品表識別子を、スマートカードに格納
    された複数の口座のうちのいずれかにそれぞれ関係づけ
    る複数のアプリケーション識別子を格納する手段と、 前記複数のアプリケーション識別子の１つ以上をＰＯＳ
    端末にアップロードする手段とを有することを特徴とす
    るスマートカード。
11. 【請求項１１】 消費者商品のリストをそれぞれ有する
    複数の商品表を格納する手段と、 前記複数の商品表のうちの特定の１つをそれぞれ一意的
    に識別する複数の商品表識別子を格納する手段とからな
    ることを特徴とするＰＯＳ端末。
12. 【請求項１２】 スマートカードからＰＯＳ端末に商品
    表識別子をアップロードする手段をさらに有することを
    特徴とする請求項１１のＰＯＳ端末。