KR100329802B1

KR100329802B1 - 수탁 대리 기관들을 사용하는 상업 지불을 위한 시스템 및 방법

Info

Publication number: KR100329802B1
Application number: KR1019980700960A
Authority: KR
Inventors: 솔롬 에스. 로쎈
Original assignee: 헬렌 브이. 단요; 시티 뱅크, 엔.에이.
Priority date: 1995-08-30
Filing date: 1996-03-22
Publication date: 2002-06-20
Also published as: EP0952562A3; JPH11500555A; CA2229012A1; EP0952562A2; PT886839E; ES2151157T3; DK0886839T3; AU699117B2; AU5426496A; PL325154A1; WO1997008665A1; NZ306096A; DE69610719D1; EP0886839A1; HUP9801636A3; CA2229012C; MX9801523A; KR19990036292A; HUP9801636A2; JP3390017B2

Abstract

제 1 화폐 모듈과 관련된 고객 수탁 대리 기관 및 상기 고객 수탁 대리 기관과 제 1 의 암호적으로 보안관리된 세션을 설정하고 제 2 화폐 모듈과 관련된 상인 수탁 대리 기관을 포함하는 전자 상업 지불 시스템이 제공된다. 상기 화폐모듈들은 제 2 의 암호적으로 보안관리된 세션을 설정한다. 상기 고객 수탁 대리 기관은 상기 상인 수탁 대리 기관에게 송금 통지서 정보를 제공하고, 상기 상인 수탁 대리 기관은 상기 고객 수탁 대리 기관에게 상업 지불 전표를 제공한다. 상기 상업 지불 전표를 받자마자, 상기 고객 수탁 대리 기관은, 상기 제 1 화폐 모듈로부터 상기 제 2 화폐 모듈로의 전자 화폐 이송을 개시한다.

Description

수탁 대리 기관들을 사용하는 상업 지불을 위한 시스템 및 방법

전자 거래의 성장에 순응하기 위해 수많은 전자 지불 시스템들이 현재 개발되고 있다. 전자 지불의 한가지 방법이 본 발명자의 공동 계류중인 1991년 11월 15일자 제출된 미국 특허 출원 07/794,112 와 1994년 4월 28일자 제출된 미국 특허 출원 08/234,461 및 1995년 4월 21일자 제출된 미국 특허 출원 08/427,287에 기술되어 있으며, 그 개시내용은 본 명세서에 참고자료로 통합된다. 이들 출원들은 현금, 수표, 크레디트 카드들, 데빗 카드들 및 전자 자금 이체에 대한 교환의 대안적인 매체로서 전자 화폐 지불을 이행하기 위한 전자 화폐 시스템을 개시한다. 특히 기술된 시스템은 전자 기록 전표들을 저장하고 이송하기 위하여 부정조작이 불가능한 하우징들에 패키징되어 있는 화폐 모듈들을 사용한다. 화폐 모듈 지불은 화폐 모듈들간의(예를 들어, 고객의 "전자 지갑"내에 보관된 화폐 모듈과 상인의 매장 단말기 내에 보관된 화폐 모듈간의) 실시간, 오프-라인 지불이나, 정보 검색 및 전화 걸기와 같은 네트워크 서비스를 위한 온라인 지불 또는 항공표, 극장표 등을 구입하기 위한 온라인 지불일 수 있다.

여기서 논의되는 수탁 대리 기관들은 1994년 4월 28일자 제출된 본 발명자의 공동 계류중인 미국 특허 출원 08/234,461에 충분히 기술되어 있으며, 그 개시내용은 본 명세서에 참고자료로 통합된다. 그 출원은 실시간 익명 지불 또는 인가에 근거한 지불로써 전자 상품의 안전한 배달을 가능하게 하는 시스템을 기술하고 있다. 상기 시스템은 고객과 상인 모두에게 그들의 이익이 만족된다고 안전하게 느끼는 것을 허용한다.

상업 지불은 주로 수표에 의해 행해지지만, 점점 전자 자금 대체(electronic funds transfer: EFT)로 이동되고 있다. 상업 지불은, 수표에 의해서든 EFT에 의해서든, 수취인이 그 지불을 고객의 미제의 송장(들)에 적용하도록 허용하는 송금 통지서를 수반한다. 분쟁이 있는 경우, 지불인과 수취인 모두 그들의 케이스를 증명할 수 있도록 지불액과 송금 통지서를 비교하는 것은 중요하다.

수표 지불의 경우에 있어서, 송금 통지서는 통상적으로 그 수표와 함께 프린트된다. 수표 지불은 지불인과 수취인 모두에게 비용이 많이 든다. 지불인은 그 수표들을 프린트하고, 메일링하며 조정해야 하고, 수취인은 그 메일을 오픈하고 그 정보를 다시 키잉하며 그 수표가 클리어 되는 것을 기다려야 한다. 이러한 비능률 때문에 중개자 제공 지급 및 록 박스 서비스(lock box services)가 점점 더 사용되고 있다.

또한, EFT가 지불인과 수취인 모두에 대해 비용을 경감시켜줄 것이기 때문에 EFT로의 움직임이 있다. 현재, EFT 지불은 상업 지불의 5% 미만이다. EFT를 확장하는 데 대한 장애중의 하나는 은행이 그 트랜잭션을 중개하는 필요성이다. 프로세싱은 은행 시스템들의 이용도에 제한되며, 만약 지불인의 은행과 수취인의 은행이 EFT 장치를 가지고 있지 않다면 사용될 수 없다. EFT 시스템은 지불 정보가 지불액과 일치할 수 있도록 지불 메시지를 가진 송금 통지서를 전송할 수 있어야 한다. EFT는 은행들과 지불인들 및 수취인들 사이에서 고정된 관계를 필요로 한다. 그것은 당사자들을 개정하기 어려운 관계에 가두어 넣는다.

본 발명은 상업 지불이 중개자들에 대한 필요없이 지불인과 수취인 사이에서 안전하고 전자적으로 행해지도록 허용하며, 지불액과 송금 통지서를 일치시키는 시스템을 기술한다. 트랜잭션은 당사자들이 편리한 때에 수행될 수 있고 분쟁이 있는 경우 지불인과 수취인에게 지불의 증거를 제공한다.

본 발명은 제 3 의 중개자없이 전자 상업 지불을 촉진하기 위한 시스템에 관한 것이다. 특히, 상기 시스템은, 상업 지불과 그에 수반하는 송금 정보를 처리하기 위한 안전한 트랜잭션 환경을 생성하기 위하여 화폐 모듈들과 협력하여 "수탁 대리 기관들"로 지칭되는 부정조작이 불가능한 전자 유니트들을 활용한다.

본 발명은 첨부된 도면을 참조하여 이하에서 보다 상세히 설명될 것이다.

도 1은 수탁 대리 기관/화폐 모듈 상호 작용을 도시한 도면이다.

도 2a-2b는 고객 계정 지불 가능 시스템에 의해 생성되는 "송금 통지서"에 포함된 데이터를 보여준다.

도 3은 "상업 지불" 전표의 섹션들과 필드들을 보여준다.

도 4는 트랜잭션 장치의 구성 요소들을 보여준다.

도 5a-5d는 수탁 대리 기관들의 기능적인 구성요소를 보여준다.

도 6은 상업 화폐 모듈 지불을 위한 네트워크 구조를 도시한 도면이다.

도 7a는 "완료" 프로토콜을 보여준다.

도 7b는 "중단" 프로토콜을 보여준다.

도 8a-8d는 "상업 화폐 모듈 지불"을 보여준다.

도 9a-9e는 "세션 설정" 프로토콜을 보여준다.

도 10은 "메시지 발송" 프로토콜을 보여준다.

도 11은 "신임장 검사" 프로토콜을 보여준다.

도 12는 "트랜잭션 중지" 프로토콜을 보여준다.

도 13a-13e는 "화폐 모듈 지불" 프로토콜을 보여준다.

도 14는 수탁 대리 기관들과 화폐 모듈들 사이에 설정된 다양한 메시지 암호화 층들을 보여준다.

도 15a-15e는 화폐 모듈에 대한 "세션 설정" 프로토콜을 보여준다.

도 16은 "발송된 메시지 발송" 프로토콜을 보여준다.

도 17은 "MM/TA 메시지 발송" 프로토콜을 보여준다.

도 18은 "TA/MM 메시지 발송" 프로토콜을 보여준다.

도 19a-19b는 화폐 모듈들에 대한 "트랜잭션 중지" 프로토콜을 보여준다.

도 20은 "E-발송된 메시지 발송" 프로토콜을 보여준다.

도 21a-21b는 "기록 전표 이송" 프로토콜을 보여준다.

도 22는 화폐 모듈들에 대한 "완료" 프로토콜을 보여준다.

본 발명의 목적은 아무런 중개자들없이 지불인으로부터 수취인으로의 전자적인 상업 지불을 가능하게 하는 수탁 대리 기관들을 사용하는 안전한 시스템을 제공하는 데 있다.

본 발명의 다른 목적은 지불이 최종적으로 되고 그 지불이 행해진 후 지불 정보를 실제 지불액과 맞출 필요가 없도록 지불 정보를 지불액과 합체시키는 지불 시스템을 제공하는 데 있다.

본 발명의 또 다른 목적은 수취인이 지불되었다는 것을 부인할 수 없도록 지불 정보가 수취인의 수탁 대리 기관에 의해 전자적으로 서명되는 지불 시스템을 제공하는 데 있다.

본 발명에 있어서, 고객 수탁 대리 기관, 상기 고객 수탁 대리 기관과 관련되며 상기 고객 수탁 대리 기관과 보안관리된 통신을 행하는 제 1 화폐 모듈, 상기 고객 수탁 대리 기관과 제 1 의 암호적으로 보안관리된 세션을 설정하는 상인 수탁 대리 기관 및 상기 상인 수탁 대리 기관과 관련되고 상기 상인 수탁 대리 기관과 보안관리된 통신을 행하는 제 2 화폐 모듈을 포함하는 지불 시스템이 제공된다. 상기 제 1 및 제 2 화폐 모듈들은 제 2 의 암호적으로 보안관리된 세션을 설정한다. 상기 고객 수탁 대리 기관은 상기 상인 수탁 대리 기관에게 송금 통지서를 제공하고, 상기 상인 수탁 대리 기관은 상기 고객 수탁 대리 기관에게 상업 지불 전표를 제공한다. 상기 상업 지불 전표를 수신하자마자, 상기 상인 수탁 대리 기관은 상기 제 1 화폐 모듈로부터 상기 제 2 화폐 모듈로의 전자 화폐 이송을 개시한다.

상기 상업 지불 전표는 상기 송금 정보상에 상기 상인 수탁 대리 기관의 디지털 서명을 포함하는 것이 바람직하다. 그다음 상기 고객 수탁 대리 기관은 전자 화폐 지불을 시작하기 전에 상기 디지털 서명을 확인한다.

본 발명자의 공동 계류중인 미국 출원 08/234,461에 기술된 바와 같이, 수탁 대리 기관은 하드웨어와 소프트웨어 구성요소들의 결합물이다. 그것은 부정조작이 불가능하고 안전한 지불을 배달에 동기시키기 위하여 화폐 모듈과 협력하는 보안 프로토콜을 포함한다. 화폐 모듈들은 전자 화폐를 저장하고 이송할 수 있는 부정조작이 불가능한 장치들이다. 전자 화폐는 통화 또는 크레디트의 표시물인 전자적인 기록 전표의 형태인 것이 바람직하다. 화폐 모듈들은 또한, 다른 장치들과 암호적으로 보안관리된 통신 세션을 설정할 수 있다. 본 발명의 바람직한 실시예는 본 발명자의 공동 계류중인 미국 특허 출원들 07/794,112 및 08/427,287을 활용한다.

수탁 대리 기관들은, 네트워크를 거쳐 구매를 할 때 전자 상품과 지불액을 교환한다. 도 1에 도시된 바와 같이 상업 지불을 하기 위한 본 발명에 있어서, 고객 수탁 대리 기관(2, customer's trusted agent: CTA)은 상인 수탁 대리 기관(4, merchant's trusted agent: MTA)으로 송금 통지 정보를 발송한다. 그 다음에 상인 수탁 대리 기관(4, MTA)은 고객 수탁 대리 기관(2)으로 상업 지불 전표를 발송한다. 이에 답하여 고객 화폐 모듈(6)은 CTA(2) 및 MTA(4)를 경유하여 상인 화폐 모듈(6)로 전자 화폐를 발송한다.

송금 통지서

고객 계정 지불 가능 시스템은 고객 수탁 장치에 의해 지불될 송금 통지서를 생성한다. 송금 통지서는 고객 네트워크 상의 수탁 장치로 발송된다. 도 2a에 도시된 바와 같이, 송금 통지서는 예를 들면, 고객과 상인의 이름과 주소, 고객 참조 번호 및 상인의 네트워크 주소와 같은 고객 및 상인 정보(46, 47), 지불될 액수(49), 지불 날짜(48), 및 지불될 송장 리스트(50)와 같은 트랜잭션을 완성하는 데 필요한 정보를 포함한다. 도 2b에 도시된 바와 같이, 송장은 상인이 계정 수신 가능 시스템에 맞는 것을 찾을 수 있고 분쟁시 사용할 충분한 정보를 포함한다. 그런 송장 정보는 송장 번호(51), 구매 주문 번호(52), 만기일(53), 송장의 액수(54) 및 판매 가격(56)을 포함할 수 있다.

전표들

도 1 및 도 3을 참조하면, 전표(8)는 트랜잭션 동안 MTA(4)에 의해 생성되고 CTA(2)로 이송되는 전자적인 항목이다. 전표들은 수탁 대리 기관들의 자산으로서 간주될 수 있다. 그의 CTA(2)가 전표(8)를 방금 수신한 고객은 트랜잭션이 성공적으로 완성될 때 그 전표만을 사용할 수 있다.

8/234,461 출원에 기술된 바와 같이, 수탁 대리 기관들은 다양한 목적을 위해 사용되는 다양한 전표 형태들을 지원한다. 그러나, 본 발명에 대한 주된 중요한 전표 형태는 상업 지불 전표들이다. 상업 지불 전표는 상업 지불의 상세를 식별하고, 송금 통지서에 수취인의 디지털 서명을 가지며 분쟁 시나리오에서 고객에 의해 사용될 수 있다.

도 3은 식별자(10), 구성요소(12), 발행자 서명(14), 발행자 증명서(16), 이송 이력(18) 및 발송자 서명들(20)의 6개의 주된 섹션을 포함하는 전표(8)의 바람직한 실시예를 보여준다. 이들 섹션들은 차례로 필드들을 구비하는 다양한 정보를 포함한다.

식별자 섹션(10)은 전표를 생성하는 상인 또는 권위자를 식별하는 정보를 보관하는 필드(22)를 구비한다. 예를 들어 상인 또는 권위자의 이름과 같은 정보는 전표 발행자에 의해 보유되는 상인 또는 권위자 신임장으로부터 복사된다. 필드(22)는 또한, 상인 또는 권위자 신임장의 만료 날짜를 포함한다. 필드(24)는 수신하는 수탁 대리 기관의 식별 번호를 포함한다. 필드(24)는 또한, 전표 수신자의 수탁 대리 기관 신임장의 만료 날짜를 포함한다. 필드(26)는 전표 형태(예를 들어, 크레디트 또는 데빗 카드 전표, 영수증 전표 등)를 나타낸다.

구성요소 섹션(12)은 전표 형태 및 특정한 목적에 따라 변경되는 기본 전표 내용을 포함한다. 도 3은 상업 지불 전표에서 발견되는 구성요소들의 예를 보여준다.

상업 지불 전표는, 고객 정보 필드(36); 상인 정보 필드(38); 지불 날짜 필드(40); 지불 액수 필드(42); 및 송금 통지서 정보상의 MTA의 디지털 서명인 송금 통지서 서명 필드(44)를 가질 수 있다.

전표(8)의 발행자 서명 섹션(14)은 식별자 및 구성요소 섹션들(10, 12) 위에 전표 생성기에 의해 형성된 디지털 서명을 보유한다. 그러한 서명은 발행자의 수탁 대리 기관에 속한 개인키를 사용하여 만들어진다. 발행자 증명서 섹션(16)은 발행된 전표(8)의 신빙성을 입증하기 위하여 발행자 서명과 함께 사용된 수탁 삼자(여기서부터는 "수탁 대리 기관"으로 지칭한다)에 의한 증명서를 포함한다. 그러한 증명서는 발행자의 수탁 대리 기관에 속한 증명서의 형태이다. 증명서들과 디지털 서명들의 일반적인 사용은 예를 들어, 데이비스(D.W. Davies) 와 프라이스(W.L. Price)의 컴퓨터 네트워크를 위한 보안(John Wiley & Sons, 1984)에 알려지고 설명되어 있다.

이송 이력 섹션(18)은, 상인 또는 권위자에 의한 전표(8)의 초기 발행 후에 전표들이 수탁 대리 기관들 사이에서 이송될 때 발생되는 정보를 포함한다. 수신자 ID 필드(28)는 수신하는 수탁 대리 기관의 식별 번호를 포함한다. 발송자 ID 필드(30)는 발송하는 수탁 대리 기관의 식별 번호를 포함한다. 발송자 증명서 필드(32)는 발송하는 수탁 대리 기관의 증명서를 포함한다. 날짜/시간 필드(34)는 전표(8)의 이송 날짜 및 시간을 포함한다. 계속해서 이송이 행해지면, 부가적인 수신자 및 발송자 ID들, 발송자 증명서들 및 시간과 날짜들이 각 필드에 첨부되고, 이에 따라 이송 이력 정보의 리스트가 생성된다. 식별자 섹션의 수신자 필드에 있는 수탁 대리 기관 ID가 발송자 ID 필드에 있는 첫 번째 ID 와 동일해야함은 주목할 만하다.

더욱이, 전표(8)가 수탁 대리 기관들 사이에서 이송될 때마다, 발송자는 발송자의 수탁 대리 기관에 속한 개인 키를 사용하여 5개의 이전 전표 섹션들에 걸쳐 전표에 디지털적으로 서명한다. 발송자 서명 섹션(20)은 그 다음 새로 생성된 서명을 첨부함으로써 갱신되며, 이에 따라 송신자 서명들의 리스트를 형성한다.

트랜잭션 장치들

도 4를 참조하면, 수탁 대리 기관(120)은 트랜잭션 장치(122)에 내장된다. 트랜잭션 장치(122)는 상인 및 고객 모두에 대해 3개의 주요 구성요소로 구성된다. 호스트 프로세서(124), 수탁 대리 기관(120) 및 화폐 모듈(6)이 있다. 이들 구성요소들은 예를 들어, 버스(126)에 의해 접속되어 있다. 수탁 대리 기관(120)이 MTA(2)일 때, 장치(122)는 상인 트랜잭션 장치(merchant transaction device: MTD)로 지칭된다. 수탁 대리 기관(120)이 CTA(4)일 때, 장치(122)는 고객 트랜잭션 장치(customer transaction device: CTD)로 지칭된다.

도 4는 호스트 프로세서(124)의 기능적인 구성요소를 보여준다. 호스트 프로세서는 다음 기능을 제공한다: 통신(128), 트랜잭션 응용 프로그램(130), 인간/기계 인터페이스(132), 날짜/시간(136) 및 메시지 관리자(134).

"통신" 기능(128)은 트랜잭션 장치(122)와 외부 세계 사이의 통신을 지원한다. 그러한 통신은, 통신이 장치들간에 호환성이 있는 한, 유선 또는 무선, 광대역 또는 협대역일 수 있다. "통신" 기능(128)은 2개의 트랜잭션 장치들(122) 사이의 접속을 설정하거나, 다른 트랜잭션 장치 또는 수탁 서버로의 간접적인 접속을 위하여 트랜잭션 장치를 네트워크에 연결한다.

"트랜잭션 응용 프로그램"(130)은 다양한 임무를 수행할 수 있다. 예를 들어, 트랜잭션 응용 프로그램은 이전 트랜잭션들로부터 수신된 송장들을 지불할 수 있다. 일반적으로 트랜잭션 장치(122)는 전자적인 객체, 전자 화폐, 신임장들, 및 다른 전표들(8)을 선택하거나 구매하고 가능하게는 사용하기 위한 모든 프로세스들 또는 그것들을 팔기 위한 프로세스들을 포함한다.

"인간/기계 인터페이스" 기능(132)은 트랜잭션 장치(122)의 외관 및 감각을 제공한다. 그것은 키보드, 마우스, 펜, 음성, 터치 스크린, 아이콘들, 메뉴들 등을 포함할 수 있다. "인간/기계 인터페이스" 기능(132)은 메시지 관리자(134)를 통하여 화폐 모듈(6)에 있는 다른 기능들 및 수탁 대리 기관(120)과 통신한다. 충분히 자동화된 상인 트랜잭션 장치와 같은 몇몇 응용물에 있어서, "인간/기계 인터페이스" 기능(132)은 필요하지 않을 수 있다.

"날짜/시간" 기능(136)은 트랜잭션 장치(122)의 소유자에 의해 설정되고 날짜, 시간 및 표준 시간대를 포함한다. 날짜/시간 정보는 수탁 대리 기관이 사용을 위해 개방될 때마다 내장된 수탁 대리 기관(120)으로 공급된다.

"메시지 관리자"(134)는 호스트간 메시지들(즉, 트랜잭션 장치들 사이의 메시지들)과 호스트 프로세서(124), 수탁 대리 기관(120) 및 화폐 모듈(6) 사이의 메시지들을 발송한다.

수탁 대리 기관들

도 5a는 수탁 대리 기관(120)의 기능적인 구성요소들을 보여준다. 개방 전자 거래를 위한 예측되는 시스템은 그들이 제공하는 어떤 유일한 "트랜잭터" 기능(146)에서 상이한 3가지 형태의 수탁 대리 기관(120)을 사용한다. 도 5b는 CTA(2)에 있는 트랜잭터 기능을 보여준다. 도 5c는 MTA(4)에 있는 트랜잭터 기능을 보여준다. 도 5d는 차례로 권위자 트랜잭션 장치(Authority Transaction Device: ATD)에 내장된 권위자 수탁 대리 기관(Authority Trusted Agent: ATA)에 있는 트랜잭터 기능을 보여준다. ATD들은 은행과 같은 신임장 발행 권위자들과 연합된다.

"외부 인터페이스" 기능(138)은 호스트 프로세서(124)와 수탁 대리 기관(120)이 내장된 트랜잭션 장치(122)의 화폐 모듈(6)과의 물리적인 통신을 제공한다. "메시지 인터페이스" 기능(140)은 기관간 및 기관내의 메시지들을 처리하고 발송한다. "세션 관리자" 기능(142)은 기관간의 세션들 및 기관의 수탁 서버에 대한 세션을 설정하고 분류한다. "보안 관리자" 기능(144)은 (호스트 프로세서(124)를 경유하여) 보안 정보(예를 들어, 수탁 대리 기관 증명서 및 미수탁 대리 기관 리스트)를 유지하고 대응 수탁 대리 기관과 안전한 통신을 설정하고 동일한 트랜잭션 장치(122)내의 근거리 화폐 모듈(6)과 안전한 통신을 설정한다. "트랜잭터" 기능(146)은 트랜잭션을 수행하기 위한 프로토콜을 제공한다. 고객, 상인 및 권위자 트랜잭터들은 각각 CTA들, MTA들, 및 ATA들을 위해 사용된다.

도 5b는 고객 트랜잭터 기능들을 보여준다. "구매" 기능(158)은 지불액을 전표(8) 및 전자 객체와 교환한다. "호스트에게" 기능(160)은 트랜잭션 장치의 호스트 프로세서(124)에 인터페이스를 제공한다. "전표 제공" 기능(164)은 정보 또는 서비스를 얻기 위하여 전표(8)를 제공한다. "신임장 획득" 기능(166)은 신임장 전표를 수신하기 위해 상호 작용한다. "트랜 로그" 기능(162)은 수탁 대리 기관 트랜잭션들의 로그를 유지한다. CTA들(2)과 MTA들(4) 모두는 다음 정보를 저장하는 트랜잭션 로그를 유지한다: 트랜잭션 형태(예를 들어, 전표 형태); 이전 트랜잭션 전표 이미지; 다음 트랜잭션 전표 이미지; 분쟁 날짜(분쟁 대화에서 각 수탁 대리 기관에 의해 유지된 것과 같은), 상태 및 상인 해결안(예를 들어, 대체, 반환, 거절)을 포함하는 분쟁 정보; 및 재증명 정보(예를 들어, 재증명 날짜). "분쟁 개시" 기능(168)은 고객이 불만을 나타내면, 전자 상품을 제공한다.

도 5c는 상인 트랜잭터 기능을 보여준다. "구매" 기능(170)은 전표(8) 및 전자 객체를 지불액과 교환한다. "호스트에게" 기능(172)은 트랜잭션 장치의 호스트 프로세서(124)에 인터페이스를 제공한다. "전표 수신" 기능(176)은 서비스 또는 정보를 제공하기 위하여 수신된 전표(8)를 처리한다. "신임장 획득" 기능(177)은 상인 신임장을 획득한다. "트랜 로그" 기능(174)은 수탁 대리 기관 트랜잭션들의 로그를 유지한다. "분쟁 해결" 기능(178)은 고객 불만을 해결하기 위하여 전표들(8)과 전자 객체들을 수신한다.

도 5d는 권위자 트랜잭터 기능을 보여준다. "신임장 생성" 기능(180)은 신임장 전표를 작성하여 청구자에게 전달한다. "호스트에게" 기능(182)은 트랜잭션 장치의 호스트 프로세서(124)에 인터페이스를 제공한다. "전표 수신" 기능(184)은 서비스 또는 정보를 제공하기 위하여 수신된 전표(8)를 처리한다. "신임장 갱신" 기능(186)은 현재의 신임장을 수용하고 새로운 만료 날짜를 갖는 신임장을 재발행한다. "트랜 로그" 기능(183)은 트랜잭션들의 로그를 유지한다. "신임장 획득" 기능(185)은 권위자 신임장을 획득한다.

도 5a를 다시 참조하면, "화폐 모듈에게" 기능(150)은 지불액을 제공하기 위하여 동일한 트랜잭션 장치(122)에 있는 화폐 모듈(6)과 통신한다. "암호화" 기능(152)은 공용키 및 대칭키 암호화 기능을 제공한다. 예를 들어, RSA 및 DES와 같은 어떤 공지된 공용 및 대칭키 암호화 기술도 사용될 수 있다. "전표 보유자" 기능(148)은 MTA(4)에서 전표들(8)을 생성하거나 저장하고 CTA(2)에서 전표들(8)을 회수한다. "난수 발생기" 기능(156)은 암호화 키들을 생성하기 위하여 난수들을 발생한다. "날짜/시간" 기능(154)은 전표들(8)에 날짜를 기재하고 증명서들과 제공된 전표들을 확인하기 위하여 호스트 프로세서(124)로부터 배달된 날짜와 시간을 관리한다. 현재의 시계 정보는 수탁 대리 기관이 개방될 때마다(즉, 사용을 위해 서명될 때마다) 수탁 대리 기관(120)으로 공급되고, 수탁 대리 기관이 폐쇄될 때까지 유지된다.

수탁 대리 기관/화폐 모듈 하드웨어는 다음과 같이 구성될 수 있다: 트랜잭션 프로토콜들을 실행하기 위한 마이크로콘트롤러(예를 들어, 인텔 196 계열); 실행중에 운영 체제, 응용 프로그램의 일부, 암호 등을 저장하기 위한 고속 휘발성 메모리(예를 들면, SRAM); 운영 체제, 응용 프로그램, 전표들, 전자 화폐, 로그들 등을 저장하기 위한 불휘발성 메모리(예를 들면, 플래시 메모리); 시간 기준을 제공하기 위한 집적회로 시계; 시계를 위한 배터리; 및 난수 발생기를 위한 노이즈 다이오드 또는 다른 랜덤 소스.

시스템 개요

도 6은 상업 지불을 위한 예측되는 시스템의 총괄적인 네트워크 구조를 보여준다. 고객 트랜잭션 장치(188)는 고객 네트워크(191)를 통하여 고객 계정 지불 가능 시스템(189)과 통신할 수 있다. 고객 계정 지불 가능 시스템은 지불될 송장들의 리스트를 갖는 송금 통지서를 생성하여 이 정보를 CTD(188)로 발송한다.

일단 CTD(188)가 송금 정보를 가지면, 본 발명자의 공동 계류중인 미국 특허 출원 07/794,112, 08/234,461, 및 08/427,287에 설명된 바와 같이, 그것은, 그것의 화폐 모듈(6)이 지불을 위한 충분한 자금을 가지고 있으며 다른 트랜잭션 장치 또는 고객의 은행 계정으로부터 전자 화폐를 획득한다는 것을 보장한다. 크레디트로 지불한다면, CTD(188)는 크레디트를 손에 넣거나 그것을 얻으러 은행에 가야한다.

CTD(188)이 송금 통지서 및 전자 화폐를 모두 가질 때, 그것은 몇몇 게이트웨이 네트워크(190)상의 상인 네트워크(134)와 연결할 수 있다. 상인 네트워크는 MTD(198) 및 상인 계정 수신 가능 시스템(193)에 통신을 제공한다. 계정 수신 가능 시스템(193)은 미제의 송장을 수신된 송금 정보와 매치하는 데 사용된다. 본 발명의 상업 지불 시스템은, 그 다음 고객이 상인으로 안전한 화폐 모듈 지불을 행하고, 이에 답하여 송금 정보상에 MTD의 서명을 갖는 상업 지불 전표를 수신하도록 허용한다.

흐름도

다음 도면들에서 도시된 흐름도들은 두개의 상호 작용하는 수탁 대리 기관들(120)에 대한 상호 작용을 나타내기 위하여 "A"와 "B"라는 지정자를 사용한다. 동일한 지정자 A와 B는 특정 수탁 대리 기관(120)과 관련된(즉, 동일한 트랜잭션 장치(122) 내에 있는) 호스트 프로세서(124) 또는 화폐 모듈(6)에도 적용될 수 있다. 흐름도들은 주어진 임무를 기본적으로 수행할 책임이 있는 기능적 구성요소를 나타낸다. 예를 들어, "보안 관리자 A"는 언급된 임무가 수탁 대리 기관 A에 있는 "보안 관리자" 기능(144)(도 5a 참조)에 의해 수행된다는 것을 의미한다.

흐름도들은 또한 서브루틴을 호출하는데 이러한 서브루틴 중의 일부는 매개변수 지정자 X 및 Y를 사용한다. 예를 들면, "세션 설정 A → B"는 "세션 설정 서브루틴에 대한 호출이다. 그 다음에 흐름 전체에 걸쳐 X = A이고 Y = B라는 것을 조건으로 "세션 설정" 흐름도가 뒤따라야 한다.

중단과 완료

예기되는 형태의 트랜잭션 처리에 있어서 제로섬 게임을 유지하면서, 두 당사자 사이에 전표들(8)과 전자 기록 전표들과 같은 전자적인 항목들을 전달하는 것이 바람직하다. 바꾸어 말하면, 전자 트랜잭션의 완성 시점에서 트랜잭션 이전에 비해 두배의 항목이 있도록 하기 위하여 전자 항목들을 중복시키는 것은 바람직하지 않다. 유사하게, 트랜잭션 이전보다 이후에 더 적은 항목이 있도록 하기 위하여 전자 항목들을 없애버리는 것은 바람직하지 않다. 예를 들어, 트랜잭션의 시작 시점에서 A가 전자 전표(8)를 갖고 있고 그것을 B에 전달하고자 한다면, 트랜잭션의 끝에 B가 전자 전표(8)를 가지고 A가 전자 전표(8)를 가지지 않는 것을 보장하는 것이 바람직하다. 그러나 실제 세계에 있어서, A와 B 모두 같은 전자 전표(8)를 가지는 것(중복)과 A와 B 중 아무도 전자 전표(8)를 가지지 못하는 것(손실)과 같은 두개의 다른 결과를 가지는 것이 가능하다.

중복 또는 손실의 가능성을 무시해도 좋을 정도로 하기 위해서는, 자연발생적인 또는 의도적인 사건이 전형적인 트랜잭션 흐름을 인터럽트할 수 있다는 것을 트랜잭션 프로토콜은 고려하여야만 한다. 자연발생적인 인터럽트는 트랜잭션 도중에 A와 B 사이의 통신 링크의 고장에 의해 예시된다. 그와 같은 불시의 사건으로부터 중복과 손실의 가능성을 최소화하기 위하여 중복과 손실을 생성하는 기회의 창구를 최소화해야 한다. 의도적인 인터럽트를 최소화하기 위해서는(즉, 명백한 공격), 그러한 공격에 대해 경제적인 인센티브를 제거하는 것이 바람직하다. 예를 들어, 만약 공격자가 트랜잭션에 대한 인터럽트를 시도함으로써 단지 전표 및/또는 화폐를 손실할 수 있다면, 공격자는 먼저 공격을 시작하려는 인센티브를 가지지 않을 것이다.

이러한 개념들은 기술된 시스템의 효율적인 트랜잭션 프로토콜에 구현되어 있다. 특히, 두개의 트랜잭팅하는 수탁 대리 기관들(120)(또는 화폐 모듈들(6)) 사이에서 일관된 중단과 완료를 보장하는 것이 바람직하다. 예를 들어, 만약 A가 트랜잭션을 완료한다면, B도 또한 그 트랜잭션을 완료해야 한다; 또는 A가 그 트랜잭션을 중단한다면, B도 또한 그 트랜잭션을 중단해야 한다. 일관성을 이루고 중복과 손실의 가능성을 최소화하기 위하여(일관성이 없는 경우) 트랜잭션 프로토콜은 A와 B의 주어진 트랜잭션을 완료하는 순서 및 타이밍을 고려한다.

도 7은 두 개의 서브루틴인 "중단" 및 "완료"를 보여준다. 중단 서브루틴은 그것이 관련된 트랜잭션이 실패한 때 주어진 수탁 대리 기관(120)내에서 내부적으로 수행된다. 중단 서브루틴은 수탁 대리 기관(120)을 실패한 트랜잭션과 관련되기 전의 바로 그 상태로 후퇴시키거나 복귀시킨다. 반대로, 완료 트랜잭션은 관련된 트랜잭션이 성공적으로 완성되었을 때 주어진 수탁 대리 기관(120)내에서 내부적으로 수행된다. 그래서, 수탁 대리 기관(120)은 완성된 트랜잭션을 그것의 트랜잭션 로그에 기록하고 새로운 트랜잭션에 대한 준비를 한다. 예를 들어, 전표 이송 트랜잭션 동안에 전자 전표(8)는 수탁 대리 기관 A로부터 수탁 대리 기관 B로 전달된다. 이 시점에서 A도 B도 때를 맞춰 트랜잭션을 완료하거나 중단하지 않기 때문에, A는 잠정적으로 그 전표(8)를 보유하고 한편으로 B 또한 잠정적으로 그 전표(8)를 가진다. 만약 A와 B 모두 완료한다면, A는 그것의 전표(8)를 삭제할 것이고, B의 전표(8)에 대한 보유는 더 이상 잠정적으로 되지 않을 것이다. A와 B 모두가 중단한다면, A는 그것의 전표(8)를 보유할 것이고 B가 잠정적으로 보유하고 있는 전표(8)는 그 트랜잭션을 되돌림에 의해 삭제될 것이다. 삭제 동작은 이 기술에서 잘 알려진 여러 가지 방법에 의해 구현될 수 있다는 것을 주목하라. 앞에서 언급된 바와 같이, 다른 수탁 대리 기관(120)이 중단하는 동안 어떤 수탁 대리 기관(120)이 완료할 가능성을 최소화하는 것이 바람직한데, 그 이유는 이것이 어떤 제한된 상황에서 전자 항목들을 중복하거나 잃어버리는 결과를 낳기 때문이다.

전자 기록 전표들을 교환하는 화폐 모듈들(6)에 대해서도 유사한 상황이 존재한다. 구매 트랜잭션 동안에, 전자 기록 전표들은 화폐 모듈 A로부터 화폐 모듈 B로 전달되어, A는 잠정적으로 그의 전자 기록 전표들을 감소시키고(전달된 액수만큼), 반면에 B는 잠정적으로 전자 기록 전표를 가진다(이송된 액수에 있어서). A와 B 모두 완료한다면, A는 감소된 액수만큼의 기록 전표를 보유하고 전자 기록 전표에 대한 B의 보유는 더 이상 잠정적으로 되지 않는다.

도 7a는 완료 서브루틴을 보여준다. "트랜 로그 X"는 트랜잭션 로그를 갱신한다. "호스트에게 X"는 그 호스트에게 트랜잭션이 완성되었다는 것을 알려준다. "세션 관리자 X"는 세션의 종료를 기록한다(230 - 234 단계).

도 7b는 중단 서브루틴을 보여준다. "세션 관리자 X"는 변경을 철회하고 중단된 대리 기관을 기록한다. "세션 관리자"는 세션의 개시 이래로 무엇이 이루어졌는지 그리고 철회가 언제 모든 단계를 원상태로 되돌리는 지를 추적한다(236 - 238 단계).

중단 서브루틴은, 예를 들면 수탁 대리 기관(120)이 증명서가 유효하지 않다고 결정할 때, 흐름도로부터 직접 호출될 것이다. 중단 서버루틴은 또한 예상된 활동이 발생하지 않을 때 호출될 것이다. 특히, 두개의 수탁 대리 기관들(120)이 통신하고 있을 때, 그들은 타임아웃 프로토콜을 감시할 것이다. 예를 들면, 첫 번째 수탁 대리 기관(120)이 두 번째 수탁 대리 기관(120)으로 메시지를 발송한 후에 첫 번째 수탁 대리 기관(A)의 "세션 관리자"는 응답이 필요할 때 응답에 대한 타이머를 설정할 것이다. "세션 관리자"는 또한 발송된 메시지에 번호를 매길 것이다. 이 번호는 두 번째 수탁 대리 기관(B)의 "세션 관리자"로부터의 응답 메시지에 나타날 것이다.

만약 메시지가 수신되기 전에 타이머가 만료된다면, "세션 관리자 A"는 트랜잭션이 아직도 B에서 처리되고 있는지를 결정하기 위하여 "세션 관리자 B"에 조회할 것이다. 만약 B가 응답하지 않으면, "세션 관리자 A"는 그 트랜잭션을 중단할 것이다. 그 트랜잭션이 처리 중이라는 응답이 수신되면, 타이머는 새로운 시간으로 다시 리셋될 것이다. 만약 A가 원래의 메시지에 대한 응답을 수신하지 않고 소정 횟수만큼 B에 조회한다면, A는 그 트랜잭션을 중단할 것이다. 유사한 타임아웃 기능이 화폐 모듈(6)에도 존재한다.

상업 화폐 모듈 지불

도 8은 상업 화폐 모듈 지불에 대한 흐름도를 보여준다. 최초로 계정 지불 가능 시스템(189)으로부터의 송금 정보가 호스트 트랜잭션 응용 프로그램 A(HTA)로 발송된다. 비록 계정 지불 가능 시스템(189)이 자동화된 시스템인 것이 바람직할지라도 본 발명의 가르침은 (예를 들어, 송금 데이터가 HTA로 키입력되는)수동 시스템에도 여전히 적용된다. 그 다음 HTA는 바람직하게는 고객 네트워크(191), 게이트웨이 네트워크(190) 및 상인 네트워크(134)를 경유하여 호스트 트랜잭션 응용 프로그램 B(HTB)에 접속하고(700 단계), 고객은 상업 지불을 행하기 위해 선택한다. HTA는 상업 지불을 행하기 위하여 그의 수탁 대리 기관 A에 메시지를 발송하고, HTB는 상업 지불을 수신하기 위해 그의 수탁 대리 기관 B로 메시지를 발송한다(702 - 704 단계).

그 다음 고객과 상인의 수탁 대리 기관들(A 및 B)은 공동 계류중인 미국 출원 08/234,461에 기술된 바와 같은 세션을 설정한다. 특히, "세션 설정" 서브루틴은 수탁 대리 기관 A와 수탁 대리 기관 B 사이의 암호적으로 보안관리된 통신 채널을 설정하기 위해 호출된다(706 단계). 도 9를 참조하면, 수탁 대리 기관 A의 "세션 관리자"는 "보안 관리자"로부터 A의 증명서(즉, cert(TA))를 요청하여 받는다(296 - 298 단계). "세션 관리자 A"는 그 다음에 수탁 대리 기관 B의 "세션 관리자"에게 cert(TA)를 발송하고, 수탁 대리 기관 B의 "세션 관리자"는 다음에 "보안 관리자"에게 그것을 전달한다(300 - 304 단계).

수탁 대리 기관 B의 "공용 키" 기능은 공동 계류중인 미국 출원 08/234,461 및 08/427,287에 설명된 바와 같은 확인 프로토콜을 사용하여 cert(TA)를 확인한다(306 - 308 단계).

만약 cert(TA)가 유효하지 않다면, "세션 관리자 B"는 세션이 종결되었다는 것을 기록하고, "세션 관리자 A"에게 트랜잭션이 거절되었다는 것을 알려준다. "세션 관리자 A" 또한 세션이 종결되었다는 것을 기록한다(310 - 312 단계). 만약 cert(TA)가 유효하다면, "보안 관리자 B"는 수탁 대리 기관 A가 미수탁 리스트에 있는지 여부를 검사한다(314 - 316 단계). 만약 수탁 대리 기관 A가 미수탁되었다면, 세션이 종결된다(310 - 312 단계).

만약 A가 미수탁 리스트에 없다면, "난수 발생기 B"는 난수 R(B)와 B 확인 메시지를 생성한다(318 단계). 난수 R(B)는 결국 세션 키를 형성하기 위해 사용될 것이다. B 확인 메시지는 메시지 재생을 방지하기 위하여 B에 의해 사용된 난수이다. 다음에, 수탁 대리 기관 A를 위해 "보안 관리자 B"는 R(B), B 확인 메시지, 및 cert(TA)를 하나의 메시지로 조합한다(320 단계). "공용 키 B"는 수탁 서버 B가 A의 cert(TA)와 함께 받은 수탁 대리 기관 A의 공용키(TA(PK))를 사용하여 그 메시지를 암호화한다(322 단계). "세션 관리자 B"는 A의 "세션 관리자"에게 암호화된 메시지를 발송한다(324 - 326 단계).

"공용 키 A"는 그것의 개인 키(그것의 공용키에 대응하는)를 사용하여 그 메시지를 해독하고 cert(TA)의 유효성을 확인한다(328 - 330 단계). 만약 cert(TA)가 유효하지 않다면, "세션 관리자 A"는 세션이 종료됨에 따라 그 세션을 기록하고, B에게 트랜잭션 거절 메시지를 보내는데 B의 "세션 관리자" 역시 세션이 종료됨에 따라 그 세션을 기록한다 (332 - 334 단계). 만약 cert(TA)가 유효하다면, "보안 관리자 A"는 수탁 대리 기관 B가 미수탁 리스트 상에 있는지 검사한다(336 - 338 단계). 만약 수탁 서버 B가 그 리스트 상에 있다면, 그 세션은 종료된다(332 - 334단계).

만약 B가 미수탁 리스트 상에 없다면, "난수 발생기 A"는 난수 R(A)와, A 확인 메시지(예를 들면, 또 다른 난수)를 생성한다(340 단계). "날짜/시간" 기능은 현재의 시간을 "보안 관리자"에 전달한다(342 단계). 완료동안 그들의 트랜 로그에 최종적으로 기록하기 위하여 날짜와 시간은 A와 B에 의해 교환된다. "보안 관리자 A"는 그 다음에 난수 R(A)와 R(B)의 배타적 논리합에 의해 세션 키(TA/TA)를 형성하고 저장한다(344 단계). 세션 키(TA/TA)는 두개의 수탁 대리 기관들(120) 사이의 통신을 암호화하기 위하여 사용된다. "세션 관리자 A"는 A와 B 확인 메시지, 날짜/시간 정보 및 R(A)를 포함하는 하나의 메시지를 조합한다(344 단계). "공용 키 A"는 수탁 서버 B의 공용 키(cert(TA)에서 A에 의해 수신된)로 그 메시지를 암호화하고 암호화된 메시지를 수탁 서버 B의 "세션 관리자"에게 발송한다(346 - 350 단계).

"공용 키 B"는 그것의 비밀 키(그것의 공용키에 대응하는)를 사용하여 수신된 메시지를 해독한다(352 단계). "보안 관리자 B"는 A로부터 받은 B 확인 메시지가 그것이 이전에 A에게 보낸 B 확인 메시지와 동일한 지 여부를 검사한다(354 - 356 단계). 만약 그것이 같지 않다면, 그 세션은 종료된다(310 - 312 단계). 만약 같다면, "세션 관리자 B"는 그 세션의 시작을 기록한다(358 단계).

"보안 관리자 B"는 R(A) XOR R(B)에 의해 세션 키(TA/TA)를 형성하고 그 다음에 그 세션 키를 저장한다(360 단계). 이 시점에서, A와 B 모두는 현재의 상호 작용을 위해 사용되도록 동일한 세션 키(즉, 세션 키(TA/TA))를 생성하고 저장한 상태이다. 다음에, "날짜/시간 B"는 현재의 날짜와 시간 정보를 "보안 관리자 B"에게 발송한다(362 단계). "보안 관리자 B"는 A에 대한 전송확인서, A 확인 메시지 및 B의 날짜/시간 정보를 갖는 메시지를 조합한다(364 단계). 그 다음에 "메시지 발송" 서브루틴은 B에서 A로 메시지를 발송하기 위하여 호출된다(366 단계).

도 10을 참조하면, 수탁 대리 기관 B의 "대칭 키" 기능은 세션 키(TA/TA)를 사용하여 그 메시지를 암호화한다(376 단계). "메시지 인터페이스 B"는 그 다음에 그 메시지를 포맷팅하고, 그것을 호스트 프로세서의 "메시지 관리자"에게 발송한다 (378 단계). "호스트 메시지 관리자 B"는 그 다음에 수탁 대리 기관 A의 호스트 프로세서내에 있는 "호스트 메시지 관리자 A"에게 그 메시지를 "통신"을 통하여 발송한다(380 단계). "호스트 메시지 관리자 A"는 그 다음에 메시지를 해체하는 수탁 대리 기관 A의 "메시지 인터페이스"에게 그 메시지를 발송한다(382 - 384 단계). "대칭 키 A"는 세션 키(TA/TA)로 메시지를 해독하여, 세션 키(TA/TA)를 사용하는 수탁 대리 기관과 수탁 대리 기관 사이의 메시지에 대한 보안관리된 통신을 완성한다(386 단계).

도 9를 다시 참조하면, "보안 관리자 A"는 전송 확인서, A 확인 메시지 및 B의 날짜/시간 정보를 수신한다(368 단계). "보안 관리자 A"는 A 확인 메시지가 A가 이전에 B에게 보낸 A 확인 메시지와 동일한 지 여부를 검사한다(370 - 372 단계). 만약 동일하지 않다면, "세션 관리자 A"는 그 세션을 종료한다(332 - 334 단계). 만약 그것이 동일하다면, "세션 관리자 A"는 세션의 시작을 기록한다(374 단계).

도 8을 다시 참조하면, 세션 설정 후에, 수탁 대리 기관 A는, 미국 출원 08/234,461에 기술된 바와 같이 수탁 대리 기관 B의 상인 신임장을 요청하고 검사한다. 특히, 도 11을 참조하면, "신임장 검사" 서브루틴이 호출된다(708 단계). 모든 MTDs(198)는 소유자/상인을 식별하는 신임장(예를 들면, 니넥스(NYNEX), 티케트론(Ticketron) 등)을 포함한다. 그와 같은 상인 신임장은, 예를 들면 "수탁 대리 기관"에 의해 제어되는 상인 신원확인 권위자에 의해 발행될 수 있다. 다른 한편으로, CTDs(188)에 의해 보유되는 고객 신임장은 운전 면허증 또는 여러 신원확인 권위자에 의해 발행되는 신용 카드를 포함할 수 있다. 도 11을 참조하면, "구매 A"는 그것의 상인 신임장을 요구하는 메시지를 수탁 대리 기관 B의 "구매 B"에 발송한다(444 - 448 단계). "전표 보유자 B"는 그것의 상인 신임장을 회수하여 확인을 위해 그 신임장을 A에게 발송한다(450 - 456 단계).

신임장 또는 어떠한 다른 형태의 전표(8)는 다음과 같이 확인된다.

1) 발행자 증명서를 확인하고 발행자 서명을 검사한다.

2) 각 이송을 입증한다 - 수령자와 발송자 식별자를 매치시킨다(즉, S_o= 발행자, R_o=첫번째 수령자이면 R_i= S_i+1, i≥0).

3) 각 발송자 증명서를 확인하고 각 발송자 서명을 검사한다.

4) 최후의 수령자 식별자가 현재 세션에 있는 수탁 대리 기관의 증명서 (cert(TA))의 식별자(TA(id))에 필적한다는 것을 확인한다.

만약 상인 신임장이 유효하지 않다면, 그 트랜잭션은 "트랜잭션 중지" 서브루틴을 호출함으로써 중단된다(458 단계). 도 12를 참조하면, 수탁 대리 기관 A는 중단하고(388 단계) 그의 "세션 관리자"는, A가 중단하였다는 것을 B에게 알리는 메시지를 수탁 대리 기관 B의 "세션 관리자"에게 발송한다(390 - 394 단계). 수탁 대리 기관 B는 그 다음에 중단한다(396 단계). 도 11을 다시 참조하면, 만약 상인 신임장이 유효하다면, "호스트에게 A"는 확인(예를 들면, 호스트 프로세서에 의한 송금 통지서내에 있는 상인 신원의 확인)을 위해 호스트 이송 응용 프로그램에게 신임장 정보를 발송한다(460 - 462 단계).

도 8을 다시 참조하면, 상업 화폐 모듈 지불을 위한 흐름이 계속된다. "구매 A"는 "B가 A의 신임장을 요구하는가?"라는 메시지를 수탁 대리 기관 B로 발송한다(710 - 712 단계). 그 다음 "호스트에게 B"는 "A의 신임장을 요구하는가"라는 메시지를 HTB로 발송한다(714 - 716 단계). 만약 지불인을 확인하기 위해 고객의 신임장이 요구된다면, 신임장 검사 서브루틴이 실행되고 그 후 "구매 B"는 지불을 개시하기 위하여 A로 메시지를 발송한다(718 - 724 단계). 만약 아무런 신임장도 요구되지 않는다면, "구매 B"는 A의 신임장이 요구되지 않는다는 메시지를 발송한다(722 - 724 단계). 수탁 대리 기관 B의 메시지는 "구매 A"에 의해 수신되고 "호스트에게 A"는 HTA로부터 송금 통지서를 요청한다(728 단계). 그 다음 HTA는, "호스트에게 A"에 의해 수신되고 수탁 대리 기관 B로 발송되는(732 - 734 단계) 송금 통지서를 수탁 대리 기관 A로 발송한다(730 단계).

"구매 B"는 상기 송금 통지서를 수신하고 상기 송금 통지서에 의해 커버되는 송장 액수(들)에 대해 송금 통지서 총액을 확인한다(736 단계). 만약 총액이 정확하지 않다면 트랜잭션은 중단된다(738 - 740 단계). 만약 총액이 정확하다면 "공용 키 B"는 송금 통지서에 디지털적으로 서명하고 서명을 "전표 보유자 B"로 발송한다(742 단계). "전표 보유자 B"는 상업 지불 전표를 생성하고(744 단계) 전표를 A에게 발송한다(746 - 748 단계).

"구매 A"는 전표를 수신하고 확인한다(750 단계). 만약 유효하지 않다면, 트랜잭션은 중단된다(752 - 754 단계). 만약 유효하다면, "구매 A"는 전표를 "전표 보유자 A"에게 발송하고 확인을 위해 송금 통지서 서명을 발송한다(756 단계).

공용 키 A는 상인의 신임장과 함께 수신하였던 상인의 공용 키를 사용하여 상기 디지털 서명을 입증한다(758 단계). 만약 서명이 정확하지 않다면 트랜잭션은 중단된다(760, 754 단계). 만약 서명이 정확하다면 화폐 모듈 지불이 수행된다(760 - 762 단계).

그 다음 수탁 대리 기관 A는 미국 출원 08/234,461에 설명된 바와 같이 수탁 대리 기관 B에게 화폐 모듈 지불을 행한다. 특히, "화폐 모듈 지불" 서브루틴이 호출된다(762 단계). 도 13을 참조하면, "난수 발생기 A"는 난수 R(1)을 생성한다(520 단계). "구매 A"는 그 다음에 "화폐 모듈 지불"이 행해질 것이라는 것을 나타내고 또한 R(1)을 포함하는 메시지를 수탁 대리 기관 B에게 발송한다(522 - 524 단계). "구매 B"는 그 메시지를 수신하고 "보안 관리자 B"에게 R(1)을 발송한다(526 - 528 단계). "난수 발생기 B"는 난수 R(2)를 생성하고, 그것을 수탁 대리 기관 A에게 발송한다 (530 - 532 단계). "보안 관리자 A와 B" 모두는 R(1)과 R(2)를 배타적 논리합 함에 의하여 세션 키(TA/MM)를 형성한다(534 - 536 단계).

도 14를 참조하면, 트랜잭션 중에 설정된 4개의 암호화 채널이 도시되어 있다. 상기 두 개의 수탁 대리 기관(120) 사이의 암호화 채널(436)은 세션 키(TA/TA)에 의해 암호화된 메시지들을 나른다. 수탁 대리 기관(120)과 그것의 화폐 모듈들(6) 사이의 채널들(438 및 440)은 세션 키(TA/MM)를 공유한다. 다른 트랜잭션 장치들(122)에 있는 화폐 모듈들(6) 사이의 채널(442)은 세션 키(MM/MM)를 사용한다.

세션 키(TA/MM)는 암호화 채널들(438과 440)에 의하여 수탁 대리 기관(120)과 그것과 연관된 화폐 모듈(6) 사이에서 전달된 메시지를 암호화하기 위해 사용된다. 흐름도의 현재 상태에서, 단지 두 개의 수탁 대리 기관(120)만이 세션 키(TA/MM)를 가진다. 양 화폐 모듈들(6)은 수탁 대리 기관들(120)과 그들의 화폐 모듈들(6) 사이에 암호화된 통신을 가능하도록 하기 위하여 흐름도에서 나중에 세션 키(TA/MM)의 복사본들을 만든다.

수탁 대리 기관(120)과 화폐 모듈(6)이 분리된 부정 조작을 할 수 없는 구성요소들로서 구체화되는 대신에 그들이 하나의 부정 조작할 수 없는 모듈로서 제조될 수 있다는 것은 주목할 만한 것이다. 이러한 경우에, 같은 트랜잭션 장치(122)에 있는 수탁 대리 기관(120)과 화폐 모듈(6) 사이의 통신을 위한 보안관리된 세션을 설정하는 것은 필요하지 않을 것이다. 그러나, 분리된 화폐 모듈(6)과 수탁 대리 기관 (120)은 그와 같은 구성이 더 큰 응용 프로그램을 신축성 있게 한다는 점에서 바람직하다.

도 13을 다시 참조하면, "화폐 모듈에게 A"는 "지불하기" 메시지와 R(1)을 그것과 관련된 "화폐 모듈 A"에게 발송한다. 또한, "화폐 모듈에게 B"는 "지불받기" 메시지와 R(2)를 그것과 관련된 "화폐 모듈 B"에게 발송한다(538 - 544 단계).

이 단계에서, "화폐 모듈 A" (CTA(2) 내에 있는)와 "화폐 모듈 B"(MTA(4) 내에 있는)는 각 화폐 모듈(6)이 결국에는 새로운 세션 키(MM/MM)를 보유하게 되도록 그들 사이에 세션을 설정한다(546 단계). 이 화폐 모듈에 화폐 모듈 세션을 설정함에 있어서, 화폐 모듈은 이미 존재하는 수탁 대리 기관의 세션을 경유하여 메시지를 교환한다. 도 14를 참조하면, 암호화 채널(442)에 대한 세션 키는 채널(436)에 의해 암호화된 메시지를 교환함으로써 형성된다. 화폐 모듈 세션이 설정된 후에, 화폐 모듈들 사이에 발송된 메시지는 수탁 대리 기관(120)들 사이의 통신 경로의 일부를 따라 세션 키(MM/MM)와 세션 키(TA/TA) 양쪽 모두에 의해 두번 암호화될 것이다.

바람직한 실시예에 의하면, 화폐 모듈 세션은 수탁 대리 기관 세션의 설정과 비슷한 방법으로 설정된다. 따라서, 화폐 모듈(6)은 그들의 공용키를 포함하는 그들 자신의 증명서를 보유한다. (XOR하는 것에 의한) 증명서와 난수의 교환은 세션 키(MM/MM)의 안전한 생성을 가능하게 한다. 화폐 모듈들에 의해 사용되는 "세션 설정" 프로토콜은 미국 출원 08/427,287에 기술되어 있으며 도 15에 도시되어 있다. "보안 관리 A"는 모듈 증명서를 세션 관리자에게 발송하고, "세션 관리자 A"는 그 증명서를 수신하고 화폐 모듈 A가 네트워크에 연결되었는지를 검사한다(1464 - 1466 단계). 만약 화폐 모듈 A가 네트워크에 연결되지 않았다면, "세션 관리자 A는 "보안 관리 A"로부터 수신된 증명서를 목적지 B로 발송한다(1476 단계).

택일적으로, 만약 화폐 모듈 A가 네트워크에 연결되었다면, "대칭 키 A"는 K로 증명서를 암호화하고 "세션 관리자 A"는 암호화된 증명서를 네트워크 서버로 발송한다(1468 - 1472 단계). "네트워크 서버"는 K를 가지고 증명서를 해독하고 증명서를 목적지 B로 발송한다.

증명서가 "네트워크 서버" 또는 "세션 관리자 A"에 의해 발송되었는지 여부에 상관없이, "세션 관리자 B"는 그 증명서를 수신하고 "보안 관리 B" (만일 B가 보안 서버라면 이 기능은 "세션 관리자"에 의해 수행된다)는 그 증명서를 확인한다(단계 1480-1482). 만약 증명서가 유효하지 않다면, "세션 관리자 B"는 세션이 종료된다는 것을 기록하고 가입자 혹은 은행에 알린다(만일 B가 보안 서버라면 B는 단지 그 트랜잭션이 종료된다는 것을 기록한다)(1486 - 1492 단계).

만약 증명서가 유효하다면 "보안 관리 B"는 A가 불량 id 리스트 상에 있는지 검사한다(1494 - 1496 단계). 만약 A가 리스트 상에 있다면, 세션은 종료된다. 만약 A가 리스트 상에 없다면, "난수 발생기 B"는 난수 R(B)와 B 입증 메시지를 생성한다(1498 단계). "시계/타이머 B"는 시간과 날짜를 복구한다(1500 단계). "보안 관리 B"는 메시지 내에 R(B), B 입증 메시지, 시간과 날짜 및 B의 증명서를 재정렬한다(1502 단계). "공용키 B"는 A의 공용키를 가지고 메시지를 암호화하고, "세션 관리자 B"는 그 메시지를 A에게 발송한다(1504 - 1506 단계).

"세션 관리자 A"는 그 메시지를 수신하고, "공용키 A"는 그 메시지를 해독하며, "보안 관리 A"는 B의 증명서를 확인한다(1508 - 1514 단계). 만약 증명서가 유효하지 않다면, "세션 관리자 A"는 세션의 종료를 기록하고, 가입자 혹은 은행에 알린다(1516 - 1522 단계). 만약 증명서가 유효하다면 "보안 관리 A"는 B가 불량 id 리스트 상에 있는지 검사한다(1524 - 1526 단계). 만약 B가 리스트 상에 있다면 세션이 종료된다. 만약 B가 리스트 상에 없다면 "보안 관리 A"는 날짜와 시간을 복구하고, 그것을 B의 날짜 및 시간과 비교한다(1528 - 1530 단계). 만약 날짜와 시간이 범위 밖이라면 세션이 종료된다.

만약 날짜와 시간이 범위 내에 있다면, "난수 발생기 A"는 난수 R(A)와 A 입증 번호를 생성한다(1532 단계). 그 다음 "보안 관리 A"는 연산 R(A) XOR R(B) 에 의해 세션키를 형성한다(1534 단계). A 입증 메시지, B 입증 메시지, 시간, 날짜 및 R(A)는 메시지 내로 재정렬되고 B의 공용키로 암호화된다(1536 단계). 메시지는 "세션 관리자 A"에 의해 B로 발송된다(1538 단계). "세션 관리자 B"는 메시지를 수신하고, 공용키 B는 그 메시지를 해독하며, "보안 관리 B"는 B 입증 메시지를 검사한다(1540 - 1546 단계). 만약 B 입증 메시지가 정확하지 않다면, 세션이 종료된다. 만약 B 입증 메시지가 정확하다면, "보안 관리 B"는 R(A) XOR R(B)에 의해 세션키를 형성한다(1548 단계). 시간과 날짜는 복구되고 그들이 서로의 소정 범위 내에 있는지 검사하기 위하여 A의 시간 및 날짜와 비교된다(1550 단계). 만약 시간과 날짜가 범위 밖이라면 세션이 종료된다. 만약 시간과 날짜가 범위 내에 있다면 "세션 관리자 B"는 세션의 시작을 기록한다(1552 단계).

그 다음 "세션 관리자 B"는 A로 전송 확인서와 A 입증 메시지를 발송한다( 1554 - 1556 단계). "세션 관리자 A"는 메시지를 수신하고 "보안 관리 A"는 A 입증 메시지를 검사한다(1558 - 1562 단계). 만약 입증 메시지가 맞지 않다면, 세션이 종료된다. 만약 입증 메시지가 맞다면, "세션 관리자 A"는 세션의 시작을 기록한다(1564 단계).

화폐 모듈들과 관련된 종합적인 시스템 보안은 수탁 대리 기관들(120)을 위한 그것과 통합될 수 있으나 향상된 시스템 보안과 시스템 신축성을 제공하기 위해 분리되는 것이 바람직하다.

도 13을 다시 참조하면, 화폐 모듈 A는 R(1)을 화폐 모듈 B에게 발송한다. 이 기능은 화폐 모듈 A에 있는 "MM 보안 관리 A" 응용 프로그램에 의해 시작될 수 있다(548 단계). 이 응용 프로그램과 다른 화폐 모듈 응용 프로그램은 "MM"이라는 지정자가 앞에 놓이게 되고. 미국 출원 08/234,461에 개시된 변경 및/또는 부가물과 함께 공동으로 양도된 미국 특허 출원 07/794,112에 기술되어 있다.

난수 R(1)은 "발송된 메시지 발송" 서브루틴에 의해 화폐 모듈 A에서 화폐 모듈 B로 발송된다(550 단계). 도 16을 참조하면, "MM 대칭 키 A"는 세션 키(MM/MM)로 그 메시지(R(1)을 포함하여)를 암호화한다(640 단계). "MM 세션 관리자 A"는 그 메시지를 "호스트 메시지 관리자 A"에게 발송하고, "호스트 메시지 관리자 A"는 다음에 메시지를 수탁 대리 기관 A의 "메시지 인터페이스 A"로 발송한다(642 - 646 단계). 수탁 대리 기관 A는 그 다음에 수탁 대리 기관들 사이에서 세션 키(TA/TA)로 메시지를 암호화하고 해독하는 "메시지 발송" 서브루틴(648 단계)을 사용하여, 수탁 대리 기관 B의 "메시지 인터페이스 B"에게 그 메시지를 발송한다. "메시지 인터페이스 B"는 그 다음에 "호스트 메시지 관리자 B"를 경유하여 화폐 모듈 B에 있는 "MM 세션 관리자 B"에게 그 메시지를 발송한다(650 - 654 단계). 마지막으로, "MM 대칭 키 B"는 세션 키(MM/MM)로 그 메시지를 해독한다(656 단계).

도 13을 다시 참조하면, "MM 보안 관리 B"(화폐 모듈 B에 있는)는 R(1)과 R(2)의 배타적 논리합에 의해 세션 키(TA/MM)를 형성한다. 화폐 모듈 B는 그 다음에 R(1)과 R(2)의 배타적 논리합에 의해 세션 키(TA/MM)를 형성하는 화폐 모듈 A에 R(2)를 발송한다(552 - 556 단계). 도 14를 참조하면, 이 단계에서, 세개의 세션 키가 존재한다: (MM/MM), (MM/TA) 및 (TA/TA). 따라서, 도시된 네개의 암호화 채널은 적절하다.

도 13을 참조하면, "MM 가입자에게 A"는 화폐 유형(예를 들면, 달러, 엔, 파운드 등)에 의한 지불액수를 수탁 대리 기관 A에게 프롬프트한다(558 단계). 이곳에 참고로 통합되어 있는 미국 특허 출원 07/794,112에 기술된 화폐 모듈은 화폐 모듈의 소유자/보유자와의 통신을 위해 "가입자에게" 응용 프로그램을 일반적으로 사용한다. 그러나, 현재의 예에서 사용되는 것처럼, "가입자에게" 응용 프로그램은 여러가지 지시를 얻기 위하여 수탁 대리 기관(120)과 통신한다. 여기서, 수탁 대리 기관(120)은 지불액과 화폐 유형 정보를 배달한다(수탁 대리 기관 A는 선택된 상품의 가격을 확인하기 위하여 CTD(2)의 소유자/보유자와 이전에 통신하였다).

화폐 모듈(6)로부터 수탁 대리 기관(120)으로의 프롬프트는 "MM/TA 메시지 발송" 서브루틴을 경유하여 발송된다(560 단계). 도 17을 참조하면, "MM 대칭 키 A"는 메시지를 세션 키(TA/MM)로 암호화한다(658 단계). "MM 세션 관리자 A"는 메시지를 "호스트 메시지 관리자 A"를 경유하여 수탁 대리 기관 A의 "메시지 인터페이스"로 발송한다(660 - 664 단계). "대칭 키 A"는 세션 키(TA/MM)로 메시지를 해독한다(666 단계). 도 13을 다시 참조하면, 수탁 대리 기관 A의 "구매 A"는 화폐 유형에 의한 액수(선택된 상품의 가격)를 화폐 모듈 A의 "MM 지불/교환 A"로 발송한다 (562 - 566 단계). 이 메시지는 "TA/MM 메시지 발송" 서브루틴을 경유하여 발송된다(564 단계). 도 18을 참조하면, "대칭 키 A"는 세션 키(TA/MM)로 메시지를 암호화한다(668 단계). "메시지 인터페이스 A"는 메시지를 "호스트 메시지 관리자 A"를 경유하여 화폐 모듈 A의 "MM 세션 관리자"로 발송한다(670 - 674 단계). 마지막으로, "MM 대칭 키 A"는 메시지를 세션 키(TA/MM)로 해독한다(676 단계).

도 13을 참조하면, "MM 기록 전표 디렉토리 A"는 화폐 모듈(6)이 그 지불을 감당할 충분한 자금을 가졌는지를 검사한다(568 - 570 단계). 만약 불충분하다면, 화폐 모듈 A와 B는 그 트랜잭션을 중단한다(572 - 582 단계).

"MM 트랜잭션 중단" 프로토콜(582 단계)은 미국 출원 08/427,287에 기술된 바람직한 전자 화폐 시스템의 그것일 수 있으며 도 19에 도시된다. "세션 관리자 X"는 변화를 되돌리고 트랜잭션이 중단된다는 것을 기록한다(단계 1726). 그 다음 "세션 관리자 X"는 "완료 준비" 메시지가 발송되었는지를 검사한다(1728 - 1730 단계). 만약 그렇다면, X가 "완료 준비" 메시지를 발송한 후 완료되었음을 기록함으로써, 그리고 "기록 전표 이송" 프로토콜 중에 수신된 각 기록 전표의 양과 기록 전표 식별자를 기록함으로써 X는 트랜잭션 로그를 갱신한다(단계 1732). 따라서, 중단 프로토콜은 "중단" 서브루틴이 실패한 완료 서브루틴 동안 호출될 때 정보를 기록한다.

만약 X가 트랜잭션 화폐 모듈(1186)이라면, 그리고 "완료 준비" 메시지가 발송되었다면, "가입자에게 X"는 가입자에게 트랜잭션이 중단되었고 화폐 이송 에러가 있었음을 알린다(1734 - 1738 단계).

만약 X가 출납원 화폐 모듈(1188)이라면, "은행에게 X"는 (적절한 데빗과 크레디트로써) 회계 트랜잭션을 취소해야함을 은행에 알린다(1740 - 1742 단계). 만약 X가 트랜잭션 화폐 모듈(1186)이고 아무런 "완료 준비" 메시지도 발송되지 않았다면, "가입자에게 X"는 트랜잭션이 중단되었다는 것을 가입자에게 알린다(1744 단계).

어떤 경우에도 "세션 관리자 X"는 트랜잭션이 완성될 수 없다는 메시지를 Y에게 알린다(1746 - 1748 단계). "세션 관리자 Y"는 그 변화를 되돌리고 트랜잭션이 중단된다고 기록한다(1750 단계). 그 다음 Y는 가입자에게 트랜잭션이 중단됨을 알리거나(1752 - 1754 단계), 은행에 회계 트랜잭션을 취소하라고 알린다(1756 - 1758 단계).

설명된 바와 같이, 만약 트랜잭션이 완료 프로토콜중 중단된다면, 기록이 유실될 가능성이 있다. 만약 이러한 상황이 발생된다면, 수신자는 중단할 것이고 전송자는 기록 전표의 이송을 행할 것이다. 이 경우 수신자 화폐 모듈은 그것이 수신되었어야 할 기록 전표에 대한 정보를 기록하고 가입자에게 잠정적인 문제가 있음을 통지한다(즉, 그것은 A에 의해 발송된 기록 전표를 수신하지 않았다). 이러한 상황에서 전송자 화폐 모듈이 관련되는 한, 그것이 적절히 기록 전표를 이송했다는 것을 기록할 수도 있다.

그 다음 수신자 화폐 모듈 가입자는 증명 기관에 그 돈을 청구할 수 있다. 청구 정보는 실패한 트랜잭션의 로그 기록을 포함할 것이다. 증명 기관은 그 기록이 일치하는지를 알아보기 위하여 발행 은행과 의논할 수 있다. 얼마 후에 만약 기록 전표가 일치하지 않았다면, 가입자는 그의 돈을 재청구 할 수 있다.

도 13을 다시 참조하면, 화폐 모듈 A와 화폐 모듈 B 사이의 메시지들은 세개의 세션 키 (MM/MM), (TA/MM), (TA/TA) 모두를 활용하는 "E-발송된 메시지 발송" 서브루틴을 통하여 발송된다. 도 20을 참조하면, "MM 대칭 키 A"는 세션 키(MM/MM)로 메시지를 암호화한다(678 단계). 메시지는 그 다음에 그것이 수탁 대리 기관 A에 발송되기 전에 세션 키(MM/TA)에 의해 두번 암호화된다. 일단 수탁 대리 기관 A에 의해 수신되면, 메시지는 세션 키(MM/TA)에 의해 해독된다(680 단계). "메시지 인터페이스 A"는 그 다음에 "메시지 인터페이스 B"로 메시지를 발송한다(682 - 684 단계). 수탁 대리 기관들(120) 사이에서, 메시지는 세션 키(TA/TA)에 의해 두번 암호화된다. 비슷한 방법으로, "메시지 인터페이스 B"는 마지막 해독을 위해 "MM 대칭 키 B"로 메시지를 발송한다(686 - 690 단계). 도 14는 여러 가지 암호화 계층을 설명한다.

도 13을 다시 참조하면, 화폐 모듈 A와 B의 중단 루틴(582 단계) 동안에, 그들은 그들의 수탁 대리 기관 A와 B로 발송된 메시지를 각각 생성하는데(584 - 586 단계), 메시지들은 그들이 중단되어서 지불이 성공적으로 이루어지지 않았다는 것을 그들에게 알린다. "세션 관리자 A와 B"는 지불이 성공적으로 이루어지지 않았다는 것과 결과적으로 수탁 대리 기관 A와 B가 중단되었다는 것을 기록한다(588 - 598 단계).

다른 한편으로, 만약 고객의 화폐 모듈이 충분한 자금을 가지고 있다면 "MM 지불/교환 A"는 지불할 때 전달되는 화폐 액수와 화폐 유형을 포함하는 메시지를 상인의 화폐 모듈로 발송한다(600 단계). 이 메시지는 "E-발송된 메시지 발송" 서브루틴에 의해 발송된다(602 단계).

화폐 모듈 B는 화폐 모듈 A에 따라 지불 액수를 포함하는 메시지를 수신한다. "MM 가입자에게 B"는 그 다음에 지불 액수를 확인하는 프롬프트를 수탁 대리 기관 B로 발송한다(604 - 606 단계). 따라서, 수탁 대리 기관 B에 있는 "구매 B"는 액수가 정확한지를 확인한다(608 - 610 단계). 만약 정확하다면, 수탁 대리 기관 B는 화폐 모듈 B에 "정확한 액수"라는 메시지를 발송한다. 만약 부정확하다면, "부정확한 액수"라는 메시지가 발송된다(612 - 616 단계). "부정확한 액수" 메시지의 경우에는, 화폐 모듈 B는 화폐 모듈 A에게 알려주는데, 화폐 모듈 A는 그 다음에 그것의 수탁 대리 기관에게 새로운 액수를 재 발송할 것을 요구하거나 중단한다(618 - 622, 572 - 582 단계). 전자 상품 구매동안 이루어진 화폐 모듈 지불에 있어서, 수탁 대리 기관은 새로운 액수를 발송하지 않을 것이므로, 양 화폐 모듈들(6)과 양 수탁 대리 기관들(120)은 모두 중단할 것이다.

다른 한편으로, 만약 화폐 모듈 B가 "정확한 액수" 메시지를 그것의 수탁 대리 기관으로부터 수신한다면 화폐 모듈 B는 "전송확인" 메시지를 다시 고객의 화폐 모듈로 발송한다(624 - 626 단계). "MM 지불/교환 A"가 "전송확인" 메시지를 수신할 때, 그것은 그 다음에 "화폐 보유자 A" (화폐의 전자적 표시를 포함하고 관리하는 응용 프로그램)에게 그 액수를 전달한다(628 단계).

방금 설명한 지불자 시작 프로토콜은 "POS 지불" 프로토콜에 있어서처럼 수취인 시작 지불로서 대신 구현될 수 있다. 이러한 프로토콜에 있어서, 상인의 수탁 대리 기관은 그것의 화폐 모듈에게 그것이 수령할 것으로 예상하는 지불 액수에 관하여 알려주고, 이 지불 정보는 그것의 수탁 대리 기관에게 확인을 촉구하는 고객의 화폐 모듈에 발송되고, 만약 그 액수가 정확하면, 고객의 수탁 대리 기관은 그것의 화폐 모듈에 알려준다.

도 13을 다시 참조하면, 고객의 화폐 모듈 A는 그 다음에 상술된 액수의 전자 기록 전표를 "E-발송된" 메시지 경로를 경유하여 상인의 화폐 모듈(4)로 이송한다(630 단계). 도 21은 미국 출원 08/427,287에 기술된 "기록 전표 이송" 프로토콜을 도시한다. "기록 전표 디렉토리 X"는 기록전표(들)와 이송을 위한 값들을 선택하고, 기록 전표 액수(들)와 일련번호(들)를 갱신한 다음, 메시지를 "기록 전표"로 발송한다(1566 단계). 이송을 위한 기록 전표를 선택하는데 있어서의 가능한 목적들은 예를 들어 (1) (처리시간을 요구하는) 디지털 서명들의 수를 최소화하는 것; (2) 패킷의 크기를 최소화하는 것; (3) 이송하는 가입자에게 남겨진 전자 기록 전표의 유용성을 최대화하는 것(즉, 만료될 때까지 남은 가장 짧은 시간으로 기록 전표들을 통과시키는 것)일 수 있다. 이러한 목적들은 다음과 같은 기록 전표 이송 알고리즘에 의해 달성될 수 있다. (1) 최소수의 기록 전표들을 포함하는 가능한 모든 대안을 결정한다; (2) 이들 대안들 중 어느 것이 최소수의 이송을 갖는지 결정한다; (3) 만약 하나 이상의 선택이 단계 (2)로부터 남는다면, 최소수의 화폐단위 일자를 갖는 것을 선택한다. 화폐단위 일자 = 패킷에 있는 모든 기록 전표에 대해 더해지는, 이송될 기록의 잔여값 × 기록이 만료될 때까지 남은 일자 수.

"기록 전표들 X"는 "기록 전표 디렉토리 X"로부터 메시지를 수신하면, 이송될 각 기록 전표에 부가될 이송증을 생성한다(1568 단계 ). "공용키 X는 그 기록 전표(들)에 대한 서명들을 생성한다(1570 단계). 그 다음 "패킷 관리자 X"는 패킷내에서 그들의 새로운 이송증(들)과 서명(들)을 가지고 기록 전표들을 재정렬하고 패킷을 Y로 발송한다(1572 - 1574 단계). "패킷 관리자 Y"는 패킷을 수신하고 그것을 분해한다(1576 단계).

"입증 Y"는 기록 전표(들)에 있는 모든 증명서들(예를 들어, 화폐 발생기 증명서와 모든 이송 증명서들)을 확인한다. 그 다음 "입증 Y"는, 이송 그룹내의 식별 번호들이 전자 기록 전표의 이력에 걸친 서명 및 증명서 그룹내의 증명서들의 모듈 식별 번호와 부합하는지 확인한다. 또한, 각 기록 전표에 대한 이송액의 일치는, 전자 기록 전표 이력을 통하여 각 후속적인 이송에서 이송된 액수가 직전 이송 액수 미만인지를 보증함으로써 확인된다. 부가적으로, 이송된 총 액수는 그것이 기대되는 양임을 보증하기 위해 검사된다(1578 - 1580 단계). 만약 유효하지 않다면, 트랜잭션은 중단된다(1582 단계).

만약 유효하고 Y가 트랜잭션 화폐 모듈이라면, "입증자 Y"는 그 기록 전표(들)의 만료일자를 입증한다(1584 - 1588 단계). 만약 그 기록 전표(들)중 어느 하나라도 만료되었다면, 트랜잭션은 중단된다. 만약 아무것도 만료되지 않았다면, "입증자 Y"는 불량 id 리스트에 대비하여 기록 전표 이송증으로부터 각 id를 검사한다(1590 - 1592 단계). 만약 이송증 id들중 어느 하나라도 불량 id 리스트 상에 있다면, 트랜잭션이 중단된다.

만약 이송증 id들이 불량 id 리스트 상에 없다면(혹은 Y가 트랜잭션 화폐 모듈이 아니라면), "공용키 Y"는 그 기록 전표(들) 서명들의 유효성을 입증한다( 1594 - 1596 단계). 만약 서명들중 어느 하나라도 유효하지 않다면, 트랜잭션은 중단된다. 만약 서명들이 유효하다면, "입증자 Y"는 그 기록 전표(들) 본문이 "기록 전표들" 응용 프로그램에 의해 저장되거나 "트랜 로그"내에 위치한 기록 전표 본문과 일치하는지를 검사한다(1598 - 1600 단계). 일치하는 각 기록 전표 본문에 대하여, 기록 전표 중복이 있었는지를 결정하기 위해 기록 전표 이송 트리가 생성된다(1602 - 1604 단계). 만약 기록 전표의 어느 하나라도 중복되었다면, 트랜잭션은 중단된다. 중복에 대한 이러한 검사(즉, 1598 - 1604 단계)는 특히, 절충된 트랜잭션 화폐 모듈을 사용하여 "사적 금융 거래"에 의해 기록 전표들을 이송함으로써 화폐를 생성시키려고 시도하는 개인들을 방해하는 데 아주 적합하다.

만약 아무런 중복도 없거나 기록 전표 본문의 어떤 일치도 확인되지 않는다면, "기록 전표 Y"는 기록 전표(들)를 화폐 보유자에 위치시킨다(1606 단계). 마지막으로, "기록 전표 디렉토리 Y"는 기록 전표(들) 위치(들)와 액수(들)를 갱신하고, 또한 일련 번호(들)를 초기화한다(1608 단계).

"기록 전표들 이송" 프로세스가, 기록 전표 조정을 촉진하기 위해 일련 번호를 갱신하고 초기화하는 단계와, 어느 기록 전표의 수신인이 불량 id 리스트에 있는지를 검사하는 단계 및, 기록 전표 중복을 검사하는 단계를 포함한다는 것은 이해될 수 있다. 이들 부가적인 특징들과 단계들은 대항자들에 대해 중복된 기록 전표들을 도입하거나 유통시키는 것을 어렵게 한다.

도 13을 다시 참조하면, "MM 완료" 서브루틴이 호출된다(632 단계). 바람직한 전자 화폐 시스템에서 사용되는 "완료" 프로토콜은 미국 출원 08/427,287에 기술되어 있으며 도 22에 도시되어 있다. "세션 관리자 X"는 "완료 준비" 메시지를 Y로 발송한다(1702 - 1704 단계). 이것은 완료할 의무를 메시지를 수신하는 모듈로 넘긴다. 종래의 화폐 이송 계획안에 있어서, 처음 완료하는 짐을 넘겨주는 기술은 화폐를 복제할 가능성을 없애도록 하기 위하여 화폐를 이송하는 당사자가 우선 완료하도록 보장하는데 사용된다.

그 다음 "세션 관리자 Y"는 X로 전송확인서를 발송하고(1706 - 1708 단계), 그것의 트랜잭션 로그를 갱신함으로써 미제의 트랜잭션을 행한다(1710 단계). 또한, Y가 트랜잭션 화폐 모듈이라면, "가입자에게 Y"는 가입자에게 성공적인 트랜잭션을 알린다(1712 - 1714 단계). "세션 관리자 Y"는 세션의 종료를 기록한다(1716 단계).

"트랜 로그 X"는 Y로부터 전송확인서를 수신하고 그것의 트랜잭션 로그를 갱신하며 이에 따라 미제의 이송을 완료한다. X는 Y와 같은 방법으로 완료를 완성한다(1718 - 1724 단계).

이 흐름도는 "메시지 발송" = "E-발송된 메시지 발송"과 "가입자에게" 메시지가 실제로 수탁 대리 기관에게 암호화되어 발송된다는 것을 조건으로, 화폐 모듈(6)이 수탁 대리 기관(120)과 상호 작용하고 있을 때도 여전히 지켜진다. 전술한 것을 마음에 새기면, 화폐 모듈 B의 "MM 세션 관리자"는 "완료 준비" 메시지를 "E-발송된 메시지 발송" 서브루틴을 경유하여 화폐 모듈 A의 "MM 세션 관리자"에게 발송한다 (1702 - 1704 단계). "MM 세션 관리자 A"는 그 다음에 "전송확인" 메시지를 "화폐 모듈 B"로 발송하고 화폐 모듈 A는 완료한다(1706 - 1716 단계). 화폐 모듈 B가 그 "전송확인" 메시지를 수신할 때, 그것 역시 완료한다(1718 - 1724 단계).

화폐 모듈 A와 B의 완료 루틴 동안에, 그들은 그들의 수탁 대리 기관 A와 B로 발송된 메시지를 각각 생성하는데(1714, 1722 단계), 그 메시지들은 그들이 트랜잭션을 완료하여 지불이 성공적으로 이루어졌다는 것을 그들에게 알린다.

도 13을 다시 참조하면, 그 다음에 화폐 모듈들 모두는 전술한 "성공적인 지불" 메시지를 그들의 수탁 대리 기관으로 발송한다(584 - 586 단계). 이들 메시지들은 세션 키(TA/MM)에 의해 암호화된다. "세션 관리자 A"는 성공적인 지불이 이루어졌다는 것과 "전표 보유자 A"가 구매 날짜와 같은 지불 정보를 가지고 전표를 갱신한다는 것을 간파한다(588, 592, 634 단계). 수탁 대리 기관 A는 그 다음에 그것의 전표 보유가 더 이상 "임시적"이 아니므로 완료한다(636 단계). 유사하게, "세션 관리자 B"는 성공적인 지불을 간파하고(590, 594 단계) "수탁 대리 기관 B"는 완료한다(638 단계). 트랜잭션은 이제 완성된다.

도 8을 다시 참조하면, "전표 보유자 A"는 상업 지불 전표를 HTA로 발송한다(764 단계). HTA는 전표를 수신하고 지불의 증거로서 상기 전표와 송금 통지서를 계정 지불 가능 시스템(189)으로 발송한다(766 단계). 전표 보유자 B는 HTB로 상업 지불 전표를 발송한다(768 단계). HTB는 전표를 수신하고 그것을 미제의 송장들과 매치시키기 위하여 전표와 송금 통지서를 계정 수신 가능 시스템(193)으로 발송한다. 택일적으로, 이러한 매칭 기능은 지불 트랜잭션 동안 수행될 수 있다.

본 명세서에서는 본 발명의 바람직한 실시예가 도시되고 설명되었으며, 본 발명이 다양한 다른 조합물 및 환경에서 사용될 수 있고, 여기에 표현된 바와 같은 발명의 사상의 범위 내에서 변경 및 변형이 가능하다는 것은 이해될 수 있다.

Claims

고객 수탁 대리 기관;

상기 고객 수탁 대리 기관과 보안관리된 통신을 행하며 상기 고객 수탁 대리 기관과 관련된 제 1 화폐 모듈;

상기 고객 수탁 대리 기관과 제 1 의 암호적으로 보안관리된 세션을 설정하는 상인 수탁 대리 기관; 및

상기 상인 수탁 대리 기관과 보안관리된 통신을 행하며 상기 상인 수탁 대리 기관과 관련되고, 상기 제 1 화폐 모듈과 제 2 의 암호적으로 보안관리된 세션을 설정하는 제 2 화폐 모듈을 포함하며,

상기 고객 수탁 대리 기관은 상기 상인 수탁 대리 기관에게 송금 통지서 정보를 제공하고, 상기 상인 수탁 대리 기관은 상기 고객 수탁 대리 기관에게 상업 지불 전표를 제공하며,

상기 상업 지불 전표를 수신하자마자, 상기 고객 수탁 대리 기관은 상기 제 1 화폐 모듈로부터 상기 제 2 화폐 모듈로의 전자 화폐 이송을 개시하는 것을 특징으로 하는 전자 상업 지불을 위한 시스템.
제 1 항에 있어서, 상기 상인 수탁 대리 기관은 상기 송금 통지서 정보 상에 디지털 서명을 생성하고 상기 디지털 서명을 상기 상업 지불 전표에 포함시키는 것을 특징으로 하는 전자 상업 지불을 위한 시스템.
제 2 항에 있어서, 상기 상업 지불 전표를 수신하자마자, 상기 고객 수탁 대리 기관은 상기 전자 화폐의 이송 개시 전에 상기 디지털 서명을 입증하는 것을 특징으로 하는 전자 상업 지불을 위한 시스템.
제 3 항에 있어서, 상기 송금 통지서 정보는 송장들의 리스트를 포함하는 것을 특징으로 하는 전자 상업 지불을 위한 시스템.
(a) 고객 수탁 대리 기관과 상인 수탁 대리 기관 사이에서 제 1 의 암호적으로 보안관리된 세션을 설정하는 단계;

(b) 상기 고객 수탁 대리 기관이 상기 제 1 의 암호적으로 보안관리된 세션을 통하여 상기 상인 수탁 대리 기관으로 송금 통지서 정보를 이송하는 단계;

(c) 상기 상인 수탁 대리 기관이 적어도 부분적으로 상기 송금 통지서 정보를 포함하는 상업 지불 전표를 생성하는 단계;

(d) 상기 상인 수탁 대리 기관이 상기 제 1 의 암호적으로 보안관리된 세션을 통하여 상기 전표를 잠정적으로 보유하는 상기 고객 수탁 대리 기관으로 상기 상업 지불 전표를 이송하는 단계;

(e) 상기 제 1 화폐 모듈과 상기 제 2 화폐 모듈 사이에서 제 2 의 암호적으로 보안관리된 세션을 설정하는 단계;

(f) 상기 제 1 화폐 모듈이 상기 제 2 의 암호적으로 보안관리된 세션을 통하여 상기 전자 화폐를 잠정적으로 보유하는 상기 제 1 화폐 모듈로 전자 화폐를 이송하는 단계;

(g) 상기 제 1 화폐 모듈이 완료하고 상기 고객 수탁 대리 기관에게 성공적인 전자 화폐 이송을 알리는 단계;

(h) 상기 제 2 화폐 모듈이 완료하여 상기 전자 화폐의 상기 보유가 더 이상 잠정적으로 되지 않고, 상기 상인 수탁 대리 기관에게 성공적인 전자 화폐의 수령을 안전하게 알리는 단계;

(i) 상기 고객 수탁 대리 기관이 완료하고, 상기 상업 지불 전표의 상기 보유가 더 이상 잠정적으로 되지 않는 단계; 및

(j) 상기 상인 수탁 대리 기관이 완료하는 단계를 포함하는 것을 특징으로 하는 고객 수탁 대리 기관, 제 1 화폐 모듈, 상인 수탁 대리 기관 및 제 2 화폐 모듈을 활용하는 전자 상업 지불 방법.
제 5 항에 있어서, 상기 상인 수탁 대리 기관은 상기 송금 통지서 정보 상에 디지털 서명을 생성하고 상기 디지털 서명을 상기 상업 지불 전표에 포함시키는 것을 특징으로 하는 전자 상업 지불 방법.
제 6 항에 있어서, 상기 상인 수탁 대리 기관이 상기 전자 화폐의 이송 개시 전에 상기 디지털 서명을 입증하는 단계를 더 포함하는 것을 특징으로 하는 전자 상업 지불 방법.
제 1 프로세서를 구비하는 부정조작이 불가능한 제 1 전자 대리 기관;

상기 제 1 전자 대리 기관과 관련되고 상기 제 1 전자 대리 기관과 보안관리된 통신을 행하며 제 2 프로세서를 구비하는 부정조작이 불가능한 제 1 화폐 모듈;

통신 네트워크 상에서 상기 제 1 전자 대리 기관과 제 1 의 암호적으로 보안관리된 세션을 설정하며 제 3 프로세서를 구비하는 부정조작이 불가능한 제 2 전자 대리 기관; 및

상기 제 2 전자 대리 기관과 관련되고 상기 제 2 전자 대리 기관과 보안관리된 통신을 행하며 상기 제 1 화폐 모듈과 제 2 의 암호적으로 보안 관리된 세션을 설정하고 제 4 프로세서를 구비하는 부정조작이 불가능한 제 2 화폐 모듈을 포함하며,

상기 제 1 프로세서는 상기 제 1 의 암호적으로 보안관리된 세션을 통하여 상기 제 2 전자 대리 기관으로 송금 통지서 정보를 이송하는 데 적합하고,

상기 제 3 프로세서는 상기 송금 통지서 정보에 근거하여 상업 지불 전표를 생성하고, 상기 제 1 의 암호적으로 보안관리된 세션을 통하여 상기 제 1 전자 대리 기관으로 상기 상업 지불 전표를 이송하며,

상기 상업 지불 전표를 입증하자마자, 상기 제 1 프로세서는 상기 제 1 화폐 모듈로부터 상기 제 2 화폐 모듈로의 전자 화폐 지불을 행하는 것을 특징으로 하는 통신 네트워크 상에서 전자 상업 지불을 송금 통지서 정보에 안전하게 연결시키기 위한 시스템.
제 8 항에 있어서, 상기 제 3 프로세서는 상기 송금 통지서 정보 상에 디지털 서명을 생성하고 상기 디지털 서명을 상기 상업 지불 전표에 포함시키는 것을 특징으로 하는 상업 지불 시스템.
제 9 항에 있어서, 상기 송금 통지서 정보는 송장들의 리스트를 포함하는 것을 특징으로 하는 상업 지불 시스템.
제 10 항에 있어서, 상기 리스트의 송장들과 관련된 액수는 합계되고 상기 송금 통지서 정보에 포함된 총 액수와 비교되는 것을 특징으로 하는 상업 지불 시스템.
제 1 프로세서를 포함하는 부정조작이 불가능한 제 1 전자 트랜잭션 장치; 및

제 2 프로세서를 포함하며 암호적으로 보안관리된 세션을 통하여 상기 제 1 전자 트랜잭션 장치와 통신하는 부정조작이 불가능한 제 2 전자 트랜잭션 장치를 포함하며,

상기 제 1 프로세서는 송장들의 리스트를 포함하는 송금 통지서 정보를 상기 제 2 전자 트랜잭션 장치로 이송하는 데 적합하고,

상기 제 2 프로세서는 상기 송금 통지서 정보의 적어도 일부에 디지털적으로 서명하고 상기 디지털 서명을 상업 지불 전표에 통합시키며,

상기 제 2 프로세서는 상기 상업 지불 전표를 상기 제 1 전자 트랜잭션 장치로 이송하고,

상기 제 1 전자 트랜잭션 장치는 전자 화폐를 상기 제 2 전자 트랜잭션 장치로 이송하여 제 3 중개자없이 지불인으로부터 수취인에게 최종 지불을 완성하는 것을 특징으로 하는 전자 상업 지불을 송금 통지서 정보에 안전하게 연결시키기 위한 시스템.
제 12 항에 있어서, 상기 상업 지불 전표가 지불의 증거로서 컴퓨터가 구현된 계정 지불 가능 시스템으로 발송되는 것을 특징으로 하는 상업 지불 시스템.
제 12 항에 있어서, 상기 제 2 전자 트랜잭션 장치는 미제의 송장들과 매치시키기 위하여 상기 송금 통지서 정보를 컴퓨터가 구현된 계정 수신 가능 시스템으로 발송하는 것을 특징으로 하는 상업 지불 시스템.
제 12 항에 있어서, 상기 제 1 전자 트랜잭션 장치는 상기 전자 화폐의 이송을 시작하기 전에 상기 디지털 서명을 입증하는 것을 특징으로 하는 상업 지불 시스템.
제 12 항에 있어서, 상기 제 1 전자 트랜잭션 장치는 상기 제 2 전자 트랜잭션 장치와 관련된 전자 상인 신임장의 유효성을 검사하는 것을 특징으로 하는 상업 지불 시스템.