WO2003079256A1

WO2003079256A1 - Systeme et dispositif de reglement mobile

Info

Publication number: WO2003079256A1
Application number: PCT/JP2003/003299
Authority: WO
Inventors: Hisashi Takayama
Original assignee: Matsushita Electric Industrial Co., Ltd.
Priority date: 2002-03-20
Filing date: 2003-03-19
Publication date: 2003-09-25
Also published as: US20050144142A1; JPWO2003079256A1; EP1489541A1; KR20040091063A; CN1610918A

Description

明細書

モパイル決済システムと装置

技術分野

本発明は、自動販売機やコイン駐車場、パーキングメータ、コイン口ッカーなどの無人機器でのサービス提供に対して、携帯電話などのモパィル端末を使って決済を行うモパイル決済システムと、そのシステムを実現する装置に関し、特に、モパイル端末による決済と、モパイル端末を介した無人機器の制御とを可能にするものである。

背景技術

近年、無人機器でサービスを提供する自動販売機やパーキングメータ、コインロッカーなどのシステムが広く普及している。ユーザは、小銭（コイン）を自動販売機のコイン投入口に投入し、商品選択スィッチで商品を選択すれば、好みの商品を入手することができる。また、パーキングメータにコインを投入することにより、一定時間の駐車が可能になる。また、コインロッカーでは、ロッカーに荷物を入れてコインを投入すると、ロッカーの施錠が可能になる。ユーザは、施錠後の鍵を保持し、口ッカーから荷物を出すときに、その鍵を使用する。

これらの無人機器に投入されたコィンは、サービス提供側の担当者が巡廻して回収する。

また、最近、携帯電話を鍵の代わりに用いるコインロッカーシステムが考案されている。コインロッカーを使用する利用者が、コインロッカ —の設置場所ごとに割り振られた特定の電話番号に携帯電話から発信すると、このシステムに繋がり、利用可能なロッカーの番号が携帯電話の画面に表示される。指定されたロッカーに荷物を入れ、通常どおり料金を投入すると、携帯電話の番号がコインロッカーに組み込まれたメモリに記憶され、施錠される。再度同じ電話番号からシステムへの発信を行うと、ロッカーが解錠される。発明の開示

しかしながら、無人機器によるサービス提供では、次のような問題点が存在する。

パーキングメータやコインロッカー等の機器では、小銭（コイン）を持っていないと利用することができない。自動販売機の多くは釣銭機構を備えており、紙幣での利用も可能であるが、その分、機器の構成が複雑化し、製造コストが高くなる。

また、無人機器に投入されたコインや紙幣を回収するために、多くの人手が必要であり、コストが掛かる。

また、変造コインを使用して無人機器を悪用する事例や、無人機器に溜まっているコィンゃ釣金用の現金を狙って無人機器を破壊する犯罪が増えている。

また、コインロッカーの場合では、ユーザが使用中のロッカーの鍵を紛失するケースがある。鍵の紛失事故が発生すると、錠前自体を取り替える必要があり、コストが掛かる。また、錠前の交換が完了するまで、そのロッカーの使用を止めなければならないため、稼働率にも影響を与える。

携帯電話を鍵の代わりに用いるコインロッカーシステムでは、各コィンロッカーが設置場所毎にネットワークに繋がる機能を備える必要があり、また、設置場所毎に電話番号を割り振る必要がある為、コインロッ力一システムの運営会社は、電話会社との間で設置場所の数に応じた電話契約をする必要があり、コストが掛かっていた。

本発明は、こうした従来の問題点を解決するものであり、モパイル端末による決済を導入し、無人機器でのサービス提供の効率化及び利便性の向上を可能にしたモパイル決済システムを提供し、また、そのシステムを実現する装置を提供することを目的としている。

そこで、本発明のモパイル決済システムでは、携帯通信機器が、ネットワークを通じて、サービス提供装置から受けるサービスの決済処理を行い、前記携帯通信機器が、前記サービス提供装置に前記サービスを実行させる管理サーバの制御情報を、ネットワークを通じて受信して、前記サービス提供装置に伝送するように構成している。

また、携帯通信機器は、電子パリユーカードを保持する保持手段と、ネットワークを通じて無線通信を行う第 1通信手段と、口一カル無線による無線通信を行う第 2通信手段とを設け、前記第 2通信手段を通じて、サービス提供装置が提供するサービスの契約情報を受信し、前記第 1通信手段を通じて、前記サービスを受けるための決済処理を行うとともに、前記サービス提供装置に前記サービスを実行させるための制御情報を受信し、前記制御情報を、前記第 2通信手段を通じて前記サービス提供装置に送信するように構成している。

また、電子パリユーカードは、デバイスプライペート鍵とそれに対応するデパイス公開鍵とを耐タンパ性のメモリ領域に格納し、クレジットカードを特定する識別情報と前記デバイス公開鍵とを証明するクレジットカード証明書を非耐タンパ領域に格納し、受信した契約情報に前記デパイスプライベート鍵を用いてデジタル署名を施し、前記クレジットカード証明書とともに出力するように構成している。また、電子パリユー力一ドは、デバイスプライベート鍵とそれに対応するデバィス公開鍵.とを耐タンパ性のメモリ領域に格納し、受信した制御情報を非耐タンパ領域に格納し、前記デパイスプライべ一ト鍵を用いてデジタル署名を行うように構成している。

また、サービス提供装置を管理する管理サーバは、前記サービス提供装置が提供するサービスを受ける携帯通信機器に対して、ネットワークを通じて、前記サービス提供装置に前記サービスを実行させるための制御情報を送信するように構成している。

また、管理サーバによって管理されるサービス提供装置は、ローカル無線通信手段と、サービスを実行する機構手段と、前記サービス提供装置の動作を制御する制御手段とを設け、前記サービスを要求する携帯通信機器から、前記口一カル無線通信手段を通じて、前記管理サーバの制御情報を受信したとき、前記制御手段が、前記制御情報に従って前記機構手段を制御するように構成している。

本発明のシステムでは、特に、ネットワーク通信機能を持たないサービス提供装置から受けるサービスの決済処理を、ネットワークを通じて行うことができ、また、このサービス提供装置に対して、ユーザの携帯電話等を介して、サーバからモパイル制御命令を送り、サービス提供装置を制御することができる。

従って、サービス提供装置に対して現金の投入が不要になり、現金の回収がいらなくなる。サービス提供装置には紙幣や貨幣の検出機構を設けることが不要になり、製造コストを引き下げることができる。

また、管理サーバは、各サービス提供装置との間のネットワークを構築しなくても、各サービス提供装置に対する制御が可能になる。また、各サービス提供装置の利用状況をリアルタイムで把握することができる図面の簡単な説明

図 1 は本発明の第 1 の実施形態におけるモパイル決済システムの構成図である。

図 2 は本発明の第 1 の実施形態における電子バリューカードを示す図である。

図 3 は本発明の第 1 の実施形態におけるクレジットカード証明書のデータ構成図である。

図 4 は本発明の第 1 の実施形態における携帯電話の構成を示す図である。

図 5 は本発明の第 1 の実施形態におけるサービス提供案内のデータ構成図である。

図 6 は本発明の第 2の実施形態におけるオペレータ収納代行によるモパイル決済システムの構成図である。

図 7 は本発明の第 2の実施形態における代行収納業者によるモパイル決済システムの構成図である。

図 8 は本発明の第 3 の実施形態におけるパーキングメータシステムの構成図である。

図 9 は本発明の第 4の実施形態におけるコィン駐車場システムの構成図である。

図 1 0は本発明の第 5 の実施形態における自動販売機システムの構成図である。

図 1 1 は本発明の第 6 の実施形態におけるコインロッカ^ "システムの構成図である。

図 1 2は本発明の第 6の実施形態における電子バリューカードを示す図である。図 1 3は本発明の第 7の実施形態におけるコインロッカーシステムの構成図である。

図 1 4は本発明の第 7の実施形態におけるデジタル鍵のデータ構成図である。

図 1 5 は本発明の第 7の実施形態における電子バリユーカードを示す図である。

図 1 6 は本発明の第 8の実施形態におけるオペレータ収納代行によるコイン口ッカーシステムの構成図である。

図 1 7は本発明の第 8の実施形態における電子バリユーカードを示す図である。

図 1 8 は本発明の第 8の実施形態における代行収納業者によるコインロッカーシステムの構成図である。発明を実施するための最良の形態

本発明のモパイル決済システムでは、無人機器（サービス提供装置）が提供する有料サービスの代金を、ユーザは、携帯電話を用いてリモート決済する。リモート決済の相手は、サービス提供装置の管理事業者の管理サーバ、または、その代行機関である。このとき、管理サーバは、サービス提供装置に対する制御命令（モパイル制御命令）をダイナミツクに生成する。このモパイル制御命令は、携帯電話を介して、サービス提供装置に伝送され、サービス提供装置はユーザへのサービス提供を開始する。

図 1 は、本発明の第 1 の実施形態におけるモパイル決済システムの構成を示している。ここでは、クレジット決済の場合について説明する。このシステムは、無人機器であるサービス提供装置 60 と、ユーザが保持する携帯電話 40と、サービス提供装置管理事業者の管理サーバ 10と、ネットワークを通じて決済を行う決済システム 80 とを備えている。携帯電話 40 には、電子商取引に使用する I Cカード等の電子パリユーカード（ e Vカード） 20が装着されている。

この電子パリユーカード（ _e vカード） 20は、図 2 に示すように、各クレジットカード会社が発行したクレジットカード証明書 31 と電子商取引の領収書 32 とを格納するフラッシュメモリ部 22 と、耐タンパ性の T R M (Tamper Resistant Module) 部 23 と、携帯電話（ホスト）とのホストインターフェース 21 とを備えており、 T RM部 23には、この力ードの動作を制御する C P U24 と、 C P U 24が作業領域に使用する R A M25 と、 C P U 24の動作を規定するプログラムが格納された R OM26 と、 C P U24から任された暗号処理等の演算処理を行うコ · プロセッサ 27 と、デバイスプライべ一ト鍵 29及びデバイス証明書 30 を格納した E E P R O M28 とを備えてレ、る。

デパイスプライべ一ト鍵 29は、この電子バリユーカード 20 に対して設定された公開鍵暗号化方式の秘密鍵である。デパイス証明書 30 は、この電子バリューカード 20 の製造元がデバイスプライベート鍵 29 に対応するデバイス公開鍵の情報を証明する証明書である。

また、クレジットカード証明書 31 は、クレジットカード会社が電子バリユーカード 20に対応するクレジットカードについて証明した証明書であり、図 3 に示すように、このクレジットカード証明書の発行者名とクレジットカード証明書の有効期限と、クレジットカードのカード番号および有効期限、所有者名等のクレジットカードに関する情報を示すクレジットカード情報とデバイスプライべ一ト鍵 29 に対応するデバイス公開鍵とが記述され、クレジットカード会社の秘密鍵を用いてデジタル署名が付されている。

このクレジットカード証明書 31 は、複数個あっても良く、その場合は、どのクレジットカードで決済するかをユーザが選択する。

携帯電話 40は、図 4に示すように、電子バリューカード 20が装着される電子パリューカードスロット 52 と、サービス提供装置 60 との通信を行うローカル無線ィンターフェース ( I / F ) 53 と、アンテナ 41 を通じて管理サーバ 10 と通信を行う無線通信部 42 と、携帯電話 40 の動作を制御する C P U 51 と、 C P U 51 の動作を規定する基本プログラムが格納された R OM50 と、 C P U51 が実行するモパイル決済システム用のァプリケ——ンヨン (決済アプリケーション 54) が書き込まれた E E P R O M49 と、液晶表示画面（ L C D) 48 と、マイク 43やスピーカ 44の音声処理部 45 と、スィッチ 46のキー制御部 47 とを備えている。

サービス提供装置 60は、携帯電話 40 との通信を行う口一カル無線 I Z F 61 と、サービス提供を実行する機構部 62 と、サービス提供装置 60 の動作について規定する機器制御アプリケーション 63 と、マイクロコンピュータによって構成され機器制御アプリケーシヨン 63 に基づいてサ一ビス提供装置 60 をコントロールする制御部（図面には未記載）と、サ一ビス提供装置 60のプライベート鍵であるサービス提供装置プライべート鍵 120 とを備えている。

サービス提供装置 60 と携帯電話 40 との間では、口一カル無線 I ZF (53、 61) を通じて、赤外線通信や Bluetoothなどの通信が行われる。また、非接触 I Cカードの通信であっても良い。

管理サーバ 10は、コンピュータによって構成されるサーバシステムであり、タレジットカード証明書 31 に付されたクレジットカード会社のデジタル署名を検証するためのクレジットカード会社証明書 11 と、サービス提供装置によるデジタル署名を検証するためのサービス提供装置公開鍵 121 と、管理サーバ 10の動作について規定する機器管理アプリケーシヨン 12 とを備えている。サービス提供装置公開鍵 121 は、管理サーバ 10が管理するサービス提供装置番号によって、サービス提供装置毎に管理されている。

次に、このシステムの動作について図 1 を用いて説明する。

サービス提供装置 60 は、サービス提供を受けようとするユーザを検知または、ユーザによるサービス提供を要求する操作を検出すると、サービス提供案内を生成し、ローカル無線 I ZF 61 から生成したサービス提供案内を送信する（ [1]) 。このサービス提供案内には、図 5 に示すように、アプリケーションの種類を示す識別情報 (アプリケーション I D) と、サービス提供装置 60 によって提供されるサービスの内容に関するガィダンス情報（サービス案内）と、提供されるサービスの内容と代金の支払とに関する契約書情報（契約書）と、利用申込メッセージの送信先を示す U R I (Uniform Resource Identifier) (申込先 U R I ) と力 X M Lで記述されており、契約書情報（契約書）には、サービス提供装置をユニークに示すサービス提供装置番号と、契約書番号と、提供されるサービス内容および支払金額の情報が含まれており、サービス提供装置プライべ一ト鍵 120 によるデジタル署名が付加されている。契約書番号には、サービス提供案内が生成される度に、ユニークな番号が設定される。

このサービス提供案内をローカル無線 I / F 53で受信した携帯電話 40は、サービス提供案内で示されたアプリケーション I Dに基づいて決済アプリケーション 54 を起動し、 L C D画面にサービス案內及ぴ契約書の内容を表示して、ユーザに支払操作（契約書へのデジタル署名）を促す。ユーザが支払操作を行うと、決済アプリケーション 54は、契約書へのデジタル署名を実行する（ [2]) 。

このデジタル署名は、電子パリユーカード 20のデパイスプライべ一ト鍵 29 を用いて行われるが、電子バリユーカード 20の T RM部 23の E E P R OM28に格納されたデバイスプライべ一ト鍵 29 は、 T RM部 23 の外に読み出すことが出来ない。そのため、 C P U51 からの署名演算コマンドに対し、 C P U24が署名演算コマンドによって指定されるデバイスプライベート鍵 29 と署名演算対象のデータとをコ . プロセッサ 27に設定し、これらを用いてコ ' プロセッサがデジタル署名の演算を実行し、その演算結果が C P U 51 に返される。

携帯電話 40 は、署名付きの契約書とクレジットカード証明書 31 とを含む利用申込メッセージを、無線通信部 42から、サービス提供案内に含まれる申込先 U R I が示す先である管理サーバ 10 に送信する（ [3]) 。

この利用申込メッセージは、携帯網及びインターネットを通じて管理サーバ 10 に送られる。管理サーバ 10の機器管理ァプリケーシヨン 12 は、まず、契約書のサービス提供装置番号に基づきサービス提供装置公開鍵を検索し、検索したサービス提供装置公開鍵を用いて契約書のサービス提供装置によるデジタル署名を検証し、次に、クレジットカード証明書 31 に含まれるデパイス公開鍵を用いて契約書のデジタル署名を検証し、また、クレジットカード証明書 31 に付されているクレジットカード会社のデジタル署名を、クレジットカード会社証明書 11 に含まれるクレジットカード会社の公開鍵を用いて検証する（ [4] ) 。これらの検証結果が全て正しい場合に、決済システム 80 に与信の照会を行った後（ [5] )、契約書の内容に基づいて、サービス提供装置 60への制御情報であるモバィル制御命令を生成する。このモパイル制御命令には、サービス提供装置番号と契約書番号の情報を含める（ [6]) 。管理サーバ 10は、このモパイル制御命令を暗号化し、また、領収書を作成して、モパイル制御命令と領収書とを携帯電話 40に送信する（ [7] ) 。

携帯電話 40 は、モパイル制御命令と領収書とを受信すると、領収書を電子バリューカード 20 のフラッシュメモリ部 22 に格納し（ [8] ) 、モパィル制御命令をローカル無線 I / F 53 からサービス提供装置 60 に送信する（ [9] ) 。サービス提供装置 60 の機器制御アプリケーション 63 は、モパイル制御命令を復号化し、モパイル制御命令の中のサービス提供装置番号と契約書番号を、それぞれ、サービス提供装置 60のサービス提供装置番号とサービス提供案内の中の契約書の契約書番号と照合して、モパイル制御命令を検証する（ [ 10] ) 。検証結果が O Kである場合、携帯電話 40 に A c kを返し、さらに、モパイル制御命令に基づき機構部 62 を制御してサービスを提供する（ [ 1 1 ] ) 。また、管理サーバ 10 は、後日、決済システム 80 との間で決済処理を行う（ [ 12] ) 。

このように、このシステムでは、サービス提供装置 60が提供する有料サービスの代金を、携帯電話 40 を用いてリモート決済しているため、サ一ビス提供装置管理事業者は、サービス提供装置 60から現金を回収する必要がない。

また、サービス提供装置 60は、紙幣や貨幣の検出装置が必要なくなり、装置をコストダウン出来る。また、管理サーバ 10では、サービス提供装置 60 の利用状況がリアルタイムに把握できる。

また、ネットワークを構築せずに、管理サーバ 10から個々のサービス提供装置 60 を制御できるので、サービス提供装置 60にはリモート通信機能が必要ない。

このシステムは、自動販売機、パーキングメータシステム、コイン駐車場、コインロッカーシステム等、無人機器を利用して自動的に有料サ一ビスを提供するシステムに広く利用することができる。なお、携帯電話 40 と管理サーバ 10 との間の通信は、 S S L ( S e cure So cket Lay er) によるセキュアセッションを確立した状態で行うようにしても良い。この場合、通信の盗聴等の行為に対するセキュリティを向上させることが出来る。

また、管理サーバ 10が生成するモパイル制御命令の中に、有効期間の情報を含め、サービス提供装置 60 の機器制御アプリケーシヨン 63が、この有効期間を検証するようにしても良い。この場合、既に使用済のモパイル制御命令を不正に再使用するといつた不正行為に対するセキユリティを向上させることが出来る。

また、管理サーバ 10が生成するモパイル制御命令に管理サーバ 10 のデジタル署名を付し、サービス提供装置 60 の機器制御アプリケーション 63が、このデジタル署名を検証するようにしても良い。この場合、モパィル制御命令の偽造等の不正行為に対するセキュリティを向上させることが出来る。

また、決済アプリケーション 54は、契約書へのデジタル署名を行わず、契約書をユーザが入力したクレジットカードのカード番号おょぴ有効期限と共に、管理サーバ 10 に ¾信するようにしても良い。この場合、管理サーバ 10 は、受信したクレジットクレジットカードのカード番号および有効期限を基に、決済サーバ 80 との間で与信照会および決済処理を行う , 署名検証によるユーザ認証を行わないのでセキュリティ的には劣るが、携帯電話 40 にデジタル署名の機能を必要ないので、容易にシステムを構築することが出来る。

第 2の実施形態では、第 1 の実施形態でのクレジット決済に代えて収納代行による決済を行うシステムについて説明する。

図 6 は、携帯電話のオペレータが運用する課金サーバ 1 3で収納代行を行うシステムについて示している。課金サーバ 13は、収納代行アプリケーション 14を備えており、決済システム 80 は、課金サーバ 13 との間で決済処理を行う。また、携帯電話 40 に保持された電子バリューカード 20 には、クレジットカード証明書は格納されていなくても良い。その他の構成およびサービス提供装置 60 の動作は第 1 の実施形態（図 1 ) と変わりがない。

オペレータが運営する課金サーバ 13 には、予め、携帯電話 40の端末番号こ対応して P I N (Personal Identity Number) カ登録される。

このシステムの動作は次のようになる。

サービス提供装置 60 は、サービス提供を受けようとするユーザを検知. または、ユーザによるサービス提供を要求する操作を検出すると、申込先 U R I において課金サーバ 13 を申込先として指定するサービス提供案内を携帯電話 40に送信する（ [1]) 。このサービス提供案内をロー力ル無線 I /F 53で受信した携帯電話 40は、サービス提供案内で示されたアプリケーション I Dに基づいて決済アプリケーション 54 を起動し、 L C D画面にサービス案内及び契約書の内容を表示して、ユーザにサービスの利用申込みの確認操作を促す（ [2])。ユーザが確認操作を行うと、決済アプリケーション 54は、契約書を含む利用申込メッセージを、無線通信部 42から、サービス提供案内に含まれる申込先 U R I が示す先である課金サーバ 13 に送信する（ [3]) 。

課金サーバ 13の収納代行アプリケーション 14は、ユーザ認証によつてユーザの契約意志を確認する契約承認要求を携帯電話 40 に送る（ [4] ), 契約承認要求を受信した携帯電話 40の決済アブリケーシヨン 54は、 P I N入力画面を表示してユーザに P I Nの入力を促す（ [5]) 。ユーザが P I Nを入力すると、携帯電話 40の決済アプリケーション 54は、承認情報として P I N情報を課金サーバ 13 に送信する（ [6]) 。課金サーバ 13 の収納代行アプリケーション 14 は、携帯電話 40の端末番号と対応付けて登録されている P I Nと照合し（ [7]) 、一致した場合に、管理サーパにモパイル制御命令の生成を要求する制御命令生成要求を管理サーバ 10 に送信する（ [8]) 。制御命令生成要求には、課金サーバ 13が利用申込メッセージとして携帯電話 40 を介して受信した契約書が含まれる。管理サーバ 10 の機器管理アプリケーション 12 は、契約書のサービス提供装置番号に基づきサービス提供装置公開鍵を検索し、検索したサービス提供装置公開鍵を用いて契約書のサービス提供装置によるデジタル署名を検証する（ [9]) 。この検証結果が正しい場合に、管理サーバ 10の機器管理アプリケーション 12 は、契約書の内容に基づいて、サービス提供装置 60への制御情報であるモパイル制御命令を生成して、これにュニークな U R I を割り付ける（ [10]) 。そして、生成したモパイル制御命令の U R I 情報を含む制御命令生成要求応答メッセージを課金サーバに送信する。また、契約書のデジタル署名の検証においてエラーが検出された場合には、エラーを示す制御命令生成要求応答メッセージを課金サーパに送信する（ [11])

モパイル制御命令の U R I 情報を含む制御命令生成要求応答メッセージを受信した課金サーバ 13 は、ユーザのための支払履歴情報として契約書の内容に基づき領収書を生成し（ [12]) 、モパイル制御命令の U R I 情報と共にモパイル制御命令 U R I メッセージとして携帯電話 40に送信する（ [13]) 。これを受けて携帯電話 40の決済アプリケーション 54 は、受信した領収書を電子パリカード 20のフラッシュメモリ部 22 に格納し（ [14]) 、管理サーバ 10 にモパイル制御命令取得要求を送信してモパイル制御命令の U R I 情報が示すモパイル制御命令を要求し ( [15]) 、管理サーバ 10はモパイル制御命令を携帯電話 40に送信する次に、携帯電話 40 は、受信したモパイル制御命令をサービス提供装置 60に送信する（ [17]) 。サービス提供装置 60の機器制御アプリケーション 63 は、モパイル制御命令を復号化し、サービス提供装置番号と契約書番号を契約書に含まれていたサービス提供装置番号と契約書番号とそれぞれ照合して、モパイル制御命令を検証する（ [18]) 。検証結果が O Kである場合、携帯電話 40 に A c k を返し、さらに、モパイル制御命令に基づき機構部 62 を制御してサービスを提供する（ [19]) 。また、課金サーバ 13 は、後日、決済システム 80 との間で決済処理を行う（ [20] ) 。

このように、このシステムでは、端末番号と P I Nとを用いてォペレ —タが個人を認証し、通信料金と共にサービス提供装置 60のサービスの代金を回収する。また、管理サーバ 10は、その認証結果を受けて、その個人にサービス提供装置 60のサービス制御命令を送信する。

また、図 7は、収納代行業者の課金サーバ 113で収納代行を行うシステムについて示している。この課金サーバ 113 には、予め会員 I Dに対応して P I Nが登録されている。この場合、契約承認要求を受信した携帯電話 40の決済アプリケーション 54は、ユーザに会員 I Dと P I Nの入力を促す。ユーザが会員 I D と P I Nを入力すると、携帯電話 40 の決済アプリケーション 54は、承認情報として会員 I D と P I N情報を課金サーバ 113 に送信し、課金サーバ 113の収納代行アプリケーション 114 は、会員 I D と P I Nとを用いて個人を認証する。その他の構成は図 6 の場合と同じである。

このシステムでは、代行収納業者が、会員 I Dと P I Nとを用いて個人を認証し、サービス提供装置 60のサービスの代金を回収する。また、管理サーバ ₁₀ は、その認証結果を受けて、その個人にサービス提供装置 60のサービス制御命令を送信する。図 6、図 7 に示したシステムは、第 1 の実施形態の場合と同様に、ネットワークを構築せずに、管理サーバ 10から個々のサービス提供装置 60 を制御できるので、サービス提供装置 60にはリモート通信機能が必要ない。また、このシステムは、自動販売機、パーキングメータシステム、コイン駐車場、コインロッカーシステム等、無人機器を利用して自動的に有料サービスを提供するシステムに広く利用することができる。なお、携帯電話 40 と課金サーバ 1 3 (または 1 1 3 ) との間の通信、および、携帯電話 40 と管理サーバ 10 との間の通信は、 S SL ( S e cur e S o cke t Lay er)によるセキュアセッションを確立した状態でそれぞれ行うようにしても良い。この場合、通信の盗聴等に対するセキュリティを向上させることが出来る。

また、管理サーバ 1 0が生成するモパイル制御命令の中に、有効期間の情報を含め、サービス提供装置 60 の機器制御アプリケーション 63が、この有効期間を検証するようにしても良い。この場合、既に使用済のモパイル制御命令を不正に再使用するといつた不正行為に対するセキユリティを向上させることが出来る。

また、管理サーバ 10が生成するモパイル制御命令に管理サーバ 10のデジタル署名を付し、サービス提供装置 60 の機器制御アプリケーション 63が、このデジタル署名を検証するようにしても良い。この場合、モバィル制御命令の偽造等の不正行為に対するセキュリティを向上させることが出来る。

第 3の実施形態では、本発明を適用したパーキングメータシステムについて説明する。

このシステムは、図 8 に示すように、サービス提供装置としてパーキングメータ 160を備えており、このパーキングメータ 160は、ローカル無線 I Z F 61及ぴ機器制御ァプリケーシヨン 63 と、マイクロコンピュータによって構成され機器制御アプリケーション 63 に基づいてパーキングメータ 160 をコントロールする制御部（図面には未記载）の他に、パーキングメータ 160 のプライべ一ト鍵であるサービス提供装置プライベート鍵 120 と、機構部として車两を検知する車両センサ 64 と、表示用の L E D 65 とを備えている。また、管理サーバとして、パーキングメータ管理事業者のパーキングメータ管理サーバ 1 10 を備えている。その他の構成は第 1 の実施形態（図 1 ) と変わりがない。

このシステムのパーキングメータ 160 は、車両センサ 64が車両を検出したとき、 L E D 65 に未払い状態を表示し、サービス提供案内（ [ 1 ] ) の連続送信を開始する。

携帯電話 40 は、第 1 の実施形態と同様の手順で利用申込みを行い、パ一キングメータ管理サーバ 1 10からモパイル制御命令を受信してパーキングメータ 160 に送信する（ [9 ] ) 。このモパイル制御命令には、サービス提供案内の契約書に記述されていた料金の支払いによってパーキングメータ 160が利用可能となる時間（例えば、 3 0 0 円で 1 時間利用可能など）に対応する利用時間が設定されている。

パーキングメータ _{1 60} の機器制御アプリケーション 63 は、受信したモパイル制御命令を復号化し、モパイル制御命令の中のサービス提供装置番号と契約書番号を、それぞれ、パーキングメータ 160 のサービス提供装置番号とサービス提供案内の中の契約書の契約書番号と照合して、モパイル制御命令を検証する。検証結果が O Kである場合、携帯電話 40 に A c kを返し、さらに、モパイル制御命令に利用時間の間、支払い済みを表示するように制御する。

このパ一キングメータシステムでは、電子決済を採用しているため、コインの回収が不要である。また、コイン検出装置が必要なくなり、パ —キングメータの製造コストを引き下げることができる。また、パーキングメータ管理事業者は、パーキングメータの利用状況がリアルタイムに把握できる。また、パーキングメータにリモート通信機能を設けなくても、パーキングメータ管理サーバから個々のパーキングメータを制御することができる。また、機器制御アプリケーション 63 を、日時の応じてサービス提供案内の中の契約書の内容を切り替えるように設定しておくことにより、日時の応じてパーキングメータ 160の利用料金を切り替えるなどのパーキングメータシステムの柔軟な運用が可能となる。

なお、このシステムの場合も、第 2 の実施形態のように、オペレータや業者による収納代行を採用することが可能である。

第 4 の実施形態では、本発明を適用したコイン駐車場システムについて説明する。

このシステムは、図 9 に示すように、サービス提供装置として駐車場装置 260 を備えており、この駐車場装置 260 は、ローカル無線 I / F 61、機器制御ァプリケ一ション 63 と、マイクロコンピュータによつて構成され機器制御アプリケーション 63に基づいて駐車場装置 260をコントロールする制御部（図面には未記载）の他に、駐車場装置 260 のプライべ一ト鍵であるサービス提供装置プライべ一ト鍵 120 と、機構部として車両センサ 64 と、迫り上がって車両の出庫を止める車止フラップ 67 と、ォン時にモパイル決済処理を起動する支払いスィツチ 66 とを備えている。また、管理サーバとして、駐車場管理事業者の駐車場管理サーバ 210 を備えている。その他の構成は第 1 の実施形態（図 1 ) と変わりがない。

このコイン駐車場システムの駐車場装置 260 は、車両センサ 64が車両を検出すると、車止フラップ 67 を上げる。ユーザが駐車場から出庫する際、支払スィッチ、サービス提供案内（ [ 1 ] ) の連続送信を開始する。携帯電話 40 は、第 1 の実施形態と同様の手順で利用申込みを行い、駐車場管理サーバ 210からモパイル制御命令を受信して駐車場装置 260に送信する（ [9] ) 。

駐車場装置 260 の機器制御アプリケーション 63 は、受信したモパイル制御命令を復号化し、モパイル制御命令の中のサービス提供装置番号と契約書番号を、それぞれ、駐車場装置 260のサービス提供装置番号とサ一ビス提供案内の中の契約書の契約書番号と照合して、モパイル制御命令を検証する。検証結果が O Kである場合、携帯電話 40に A c k を返し、さらに、モパイル制御命令に基づき、車止フラップ 67 を下げる。

このコイン駐車場システムでは、電子決済を採用しているため、コィンを回収する必要がない。また、駐車場装置には、紙幣や貨幣の検出装置が不要であり、駐車場装置の製造コストを引き下げることができる。また、駐車場管理事業者は、駐車場の利用状況がリアルタイムに把握できる。

また、駐車場装置にリモート通信機能を設けなくても、駐車場管理サーパから個々の駐車場装置を制御することができる。

第 5 の実施形態では、本発明を適用した自動販売機のシステムについて説明する。

このシステムは、図 1 0 に示すように、サービス提供装置として自動販売機 360 を備えており、この自動販売機 360は、ローカル無線 I Z F 61及ぴ機器制御ァプリケーシヨン 63 と、マイクロコンピュータによつて構成され機器制御アプリケーション 63に基づいて自動販売機 360をコントロールする制御部（図面には未記载）の他に、自動販売機 360 のプライべ一ト鍵であるサービス提供装置プライべ一ト鍵 120 と、機構部として自販機機構部 68 と、商品選択スィッチ 166 とを備えている。また、管理サーバとして、自動販売機管理事業者の自販機管理サーバ 310を備えている。その他の構成は第 1 の実施形態（図 1 ) と変わりがない。このシステムの自動販売機 360 は、商品選択スィッチ 166が押されると、機器制御アプリケーション 63が起動して、選択された商品の価格に応じた契約書を生成し、サービス提供案内（ [ 1 ] )の連続送信を開始する。携帯電話 40は'、第 1 の実施形態と同様の手順で利用申込みを行い、自販機管理サーバ 310からモパイル制御命令を受信して自動販売機 360 に送信する（ [9] ) 。

自動販売機 360 の機器制御アブリケーシヨン 63 は、受信したモパイル制御命令を復号化し、モパイル制御命令の中のサービス提供装置番号と契約書番号を、それぞれ、自動販売機 360 のサービス提供装置番号とサ一ビス提供案内の中の契約書の契約書番号と照合して、モパイル制御命令を検証する。検証結果が O Kである場合、携帯電話 40 に A c k を返し、さらに、モパイル制御命令に基づいて自販機機構部 68 を制御し、指定された商品を出力する。

この自動販売機システムでは、電子決済を採用しているため、現金を回収する必要がない。また、自動販売機には、紙幣や貨幣の検出装置が不要であり、自動販売機の製造コストを引き下げることができる。

また、自動販売機管理事業者は、自動販売機の販売状況をリアルタイムで把握することができ、それを基に自動販売機への商品の補充などを実施することができる。

また、自動販売機にリモート通信機能を設けなくても、自販機管理サーパから個々の自動販売機を制御することができる。

なお、このシステムの場合も、第 2の実施形態のように、オペレータや業者による収納代行を採用することが可能である。第 6 の実施形態では、本癸明を適用したコインロッカーシステムについて説明する。このシステムでは、ロッカー利用の有効期間が設定され、その期間内であれば、何回でもロッ'カーに物を出し入れすることができる。

このシステムは、図 1 1 に示すように、サービス提供装置としてロッカー 460を備えている。この口ッカー 460 は、ローカル無線 I / F 61 と、機器制御アプリケーションとしての錠前アプリケーション 69 と、マイク口コンピュータによって構成され錠前アプリケーション 69に基づいてロッカー 460 をコントロールする制御部（図面には未記載）の他に、口ッカー 460のプライベート鍵であるサービス提供装置プライべ一ト鍵

120 と、機構部として錠前の施錠または開錠を行う錠前機構部 70 と、口ッカー 460 の扉に設けられた起動スィツチ 266 とを備えている。また、管理サーバとして、口ッカー管理事業者の口ッカー管理サーバ 410 を備えている。

また、ロッカー管理サーバ 410から受信したモパイル制御命令は、領収書と共に電子パリューカード 20に格納される（ [8] ) 。図 1 2は、電子バリユーカード 20 のフラッシュメモリ部 22 に、モパイル制御命令 33 が格納されている状態を示しており、モパイル制御命令 33 を取得した際に受信した領収書 32と関連付けられて管理される。領収書 32の中には、ロッカー 460 を示すサービス提供装置番号が含まれており、サービス提供装置番号に基づいて、ロッカー 460 に対応するモパイル制御命令を検索できるようになつている。その他の構成は第 1 の実施形態（図 1 ) と変わりがない。

このシステムの口ッカー 460 は、扉に手を掛けると、起動スィツチ 266 がオンとなり、錠前アプリケーション 69 を起動する。錠前アプリケーシヨン 69は、開錠状態の場合にはサービス提供案内（ [ 1 ] ) を一定期間に渡って連続送信し、また、施錠状態の場合には携帯電話にモパイル制御命令の送信を要求するモパイル制御命令要求（[ 12] )を一定期間に渡って連続送信する。モパイル制御命令要求の中には、ロッカー 460 を示すサ一ビス提供装置番号が含まれている。

携帯電話 40は、ロッカー 460からサービス提供案內（[ 1 ] )を受信すると、サービス提供案内の契約書の中のサービス提供装置番号に対応するモパイル制御命令が電子パリユーカード 20 に格納されている場合には、そのモパイル制御命令をロッカー 460に送信し（[9 ] ) 、サービス提供装置番号に対応するモパイル制御命令が電子パリユーカード 20に格納されていない場合には、第 1 の実施形態と同様の手順で利用申込みを行い、口ッカー管理サーバ 410からモパイル制御命令を受信して口ッカー 460 に送信する（ [9 ] ) 。このモパイル制御命令には、サービス提供案内の契約書に記述されていた料金の支払いによってロッカー 460が利用可能となる時間（例えば、 3 0 0 円で 3時間利用可能など）に対応する有効期間が設定されている。

一方、口ッカー 460からモパイル制御命令要求（[ 12] )を受信すると、携帯電話 40の決済アプリケーション 54 は、電子パリユーカード 20に格納されている対応するモパイル制御命令の中からモパイル制御命令要求に含まれるサービス提供装置番号に基づいて、ロッカー 460に対応するモパイル制御命令を読み出してロッカー 460に送信する（[ 13] ) 。

ロッカー 460の錠前アプリケーション 69 は、開錠状態の場合にモバイル制御命令を受信すると、これを復号化し、モパイル制御命令の中のサ —ビス提供装置番号と口ッカー 460 のサービス提供装置番号を照合し、さらに、モパイル制御命令の有効期間が過ぎていないかを検証する ( [ 10] ) 。これらの検証結果が全て O Kである場合、携帯電話 40 に A c k を返し、さらに、モパイル制御命令に基づき錠前機構部 70 を制御して施錠状態とし、モパイル制御命令に含まれていた契約書番号をマイクロコンビタのメモリに保持する（ [ 1 1 ] )

また、ロッカー 460の錠前アプリケーション 69 は、施錠状態の場合にモパイル制御命令を受信すると、これを復号化し、モパイル制御命令の中のサービス提供装置番号と契約書番号を、それぞれ、ロッカー 460のサ一ビス提供装置番号と施錠時に保持した契約書番号と照合し、さらに、モパイル制御命令の有効期間が過ぎていないかを検証する（ [ 14] ) 。これらの検証結果が全て O Kである場合、携帯電話 40 に A c k を返し、さらに、モパイル制御命令に基づき錠前機構部 70を制御して開錠状態とし. 保持していた契約書番号を消去する（ [ 15] ) 。また、ロッカー管理サーバ 410 は、後日、決済システム 80 との間で決済処理を行う（ [ 16] ) また、施錠の状態で、受信したモパイル制御命令の有効期間の検証のみが失敗した（時間超過の）場合は、新たに生成したサービス提供案内 ( [ 1 ] )を一定期間に渡って連続送信する。これを受けて携帯電話 40は、口ッカー管理サーバ 410から新たなモパイル制御命令 33をダウンロードする。このとき、新たに生成されるサービス提供案内の契約書の契約書番号には、マイクロコンピュータのメモリに保持していた契約書番号と同じ番号を用い、支払い金額には、超過分を加算した金額が設定される。ロッカー管理サーバ 410は、同じ契約書番号を持つ契約書のうち、新しい契約書の方を有効とし、後 3、決済システム 80 との間で超過分を加算した金額に基づいて決済を行う。このように、このシステムでは、モパィル制御命令に設定された有効期間内であれば、ロッカーから何回でも物を出し入れすることができる。また、時間が超過した場合は、新たなモパイル制御命令をダウンロードすることによって対処できる。

このコインロッカーシステムでは、有効期間の過ぎたモパイル制御命令は自動的に無効になるので、鍵を紛失したとしても、錠前を取り替える必要もない。そのため、コインロッカーシステムの運用管理のコストダウンを図ることができる。また、電子決済を採用しているため、コィンを回収する必要がない。

また、ロッカー管理サーバは、コインロッカーの売上状況をリアルタィムで把握することができる。

また、コインロッカーにリモート通信機能を設けなくても、ロッカー管理サーバから個々のコインロッカーを制御することができる。

また、このシステムの場合も、第 2の実施形態のように、オペレータや業者による収納代行を採用することが可能である。

第 7の実施形態では、第 6の実施形態のセキュリティをさらに高めたコィンロッカーシステムについて説明する。

このシステムでは、ロッカー管理サーバが、モパイル制御命令に代えて、携帯電話 40に装着された電子パリユーカード 20 のデバイスプライベート鍵 29 に対応するデバイス公開鍵を含むデジタル鍵を発行する。図 1 4 は、このデジタル鍵のデータ構造を示している。デジタル鍵には、錠前を特定する錠前 I Dと、デジタル鍵を特定するデジタル鍵 I D と、携帯電話 40 に装着された電子パリユーカード 20のデパイスプライべ一ト鍵 29 に対応するデパイス公開鍵と、デジタル鍵の名称や種類、その使い方や利用先等のデジタル鍵に関する付加情報を示すデジタル鍵付加情報と、デジタル鍵の利用ルールを規定する情報と、このデジタル鍵の有効期限と、デジタル鍵の発行日時と、デジタル鍵の発行者を示す発行者 I D とが記述され、これらにロッカー管理サーバのプライベート鍵によるデジタル署名が施されている。利用ルールでは、このデジタル鍵が一回のみの使い切りか否か、このデジタル鍵を他人に譲渡したときに、讓渡者のデジタル鍵は消去されるのか否か等の規定について決められている。このように、口ッカー管理サーバ 410が、電子パリユーカード 20のデバイスプライベート鍵 29 に対応するデパイス公開鍵について証明し、このデジタル証明書がデジタル鍵として用いられる。

携帯電話は、ロッカーにデジタル鍵を提示して開錠または施錠を求めるが、このとき、デジタル鍵に、ロッカーから受信した乱数に対する電子パリユーカード 20 のデバイスプライべ一ト鍵 29 によるデジタル署名を付加して提示する。ロッカーは、デジタル鍵及びデジタル署名を検証し、検証結果が正しい場合に開錠または施錠を実行する。

図 1 3 は、デジタル鍵の代金の支払いにクレジット決済を利用する場合のコインロッカーシステムについて示している。

このシステムは、デジタル鍵を発行するロッカー管理サーバ 510を備えており、また、サービス提供装置としてロッカー 560 を備えている。このロッカー 560 は、口一カル無線 I ノ F 61 と、機器制御アプリケーシヨンとしての錠前アプリケーション 69 と、マイクロコンピュータによつて構成され錠前アプリケーション 69に基づいてロッカー 560をコント口ールする制御部（図面には未記載）と、ロッカー 560 のプライベート鍵であるサービス提供装置プライベート键 120 と、デジタル鍵を発行する口ッカー管理サーバ 510の公開鍵を証明するデジタル鍵発行サーバ証明書 71 と、機構部として錠前の施錠または開錠を行う錠前機構部 70 と、ロッカー 460の扉に設けられた起動スィッチ 266とを備えている。また、ロッカー管理サーバ 510から受信したデジタル鍵は、領収書と共に電子バリューカード 20に格納される（ [8] ) 。その他の構成は第 6 の実施形態（図 1 1 ) と変わりがない。

このコィンロッカーシステムの口ッカー 560 は、扉に手を掛けると、起動スィッチ 266がオンとなり、錠前アプリケーション 69 を起動する。錠前アプリケーション 69 は、開錠状態の場合には、サービス提供案内と鍵チャレンジとを一定期間に渡って連続送信する（ [ 1 ] ) 。鍵チャレンジには、口ッカー 560 を一意に特定する錠前 I D と口ッカー 560が生成した乱数とが含まれており、また、サービス提供案内の契約書の中にも、サ一ビス提供装置番号の代わりに、口ッカー 560 を特定する錠前 I Dが含まれる。また、施錠状態の場合には、鍵チャレンジのみを一定期間に渡つて連続送信する（ [ 13] ) 。

まず、開錠状態の口ッカ一 560をデジタル鍵によって施錠する場合の動作について説明する。 - サービス提示案内と鍵チャレンジとを受信した携帯電話 40は、サービス提供案内で示されたアプリケーション I Dに基づいて決済アプリケーション 54を起動して、键チヤレンジの中の錠前 I Dに対応するデジタル鍵が電子バリューカード 20 に格納されている場合には、鍵チャレンジの中の乱数に対する電子バリューカード 20のデバイスプライベート鍵 29 によるデジタル署名を生成して（ [9] ) 、デジタル鍵と生成したデジタル署名とを含む鍵レスポンスをロッカー 560 に送信する（ [ 10] ) 。錠前 I Dに対応するデジタル鍵が電子パリユーカード 20に格納されていない場合には、決済アプリケーション 54は、口ッカー管理サーバ 510からデジタル鍵を取得する処理を開始する。

まず、 L C D画面にサービス提供案内の中のサービス案内及ぴ契約書の内容を表示して、ユーザに支払操作（契約書へのデジタル署名）を促し、ユーザが支払操作を行うと、決済アプリケーション 54は、契約書へのデジタル署名を実行する（ [ 2] ) 。次に、署名付き契約書とクレジットカード証明書 31 とを含む利用申込メッセージを口ッカー管理サーバ 5 10 に送信する（[ 3] ) 。

,利用申込メッセージを受信したロッカー管理サーバ 510の機器管理ァプリケーシヨン 12は、契約書のデジタル署名の.検証（[4] ) や決済システム 80への照会処理（ [5]) を実施した後、クレジットカード証明書 31 の中の公開鍵（デバイス公開鍵）を用いてデジタル鍵を生成する（ [6])。さらに、ロッカー管理サーバ 510 は、領収書を作成して、生成したデジタル鍵と領収書とを携帯電話 40 に送信する（ [7]) 。携帯電話 40 の決済アプリケーション 54は、このデジタル鍵と領収書とを電子バリュー力ード 20 に格納する（ [8]) 。図 1 5 に示すように、電子バリューカード 20 のフラッシュメモリ部 22 には、クレジットカード証明書 31、領収書 32 と共にデジタル鍵 34が格納される。

次に、携帯電話 40 の決済アプリケーション 54は、鍵チャレンジの中の乱数に対する電子パリユーカード 20のデバイスプライべ一ト鍵 29 によるデジタル署名を生成して（ [9]) 、デジタル鍵 34 と生成したデジタル署名とを含む鍵レスポンスをロッカー 560 に送信する（ [10]) 。

鍵レスポンスを受信した口ッカー 560 の錠前アプリケーション 69 は、鍵レスポンスの中に含まれているデジタル鍵 34 とデジタル署名の検証とを行う。デジタル鍵 34 の検証では、まず、デジタ.ル鍵 34の錠前 I D を照合し、次に、デジタル鍵 34 の有効期限が満了していないかを検証し、さらに、デジタル鍵 34に付されている口ッカー管理サーバ 510の署名を、デジタル鍵発行サーバ証明書 71 として保持しているロッカー管理サーパ 510 の公開鍵を用いて検証して、デジタル鍵 34 の有効性を検証する。また、デジタル署名の検証では、デジタル鍵 34に含まれているデバイス公開鍵を用いて、対応するデバイスプライべ一ト鍵を持つ電子パリユーカード 20によって生成されたデジタル署名であることを検証する

( [11]) 。これらの検証においてエラーが起こらなければ、ロッカー 560 の錠前アプリケーション 69は、携帯電話 40 に A c kを返し、錠前機構部 70を制御して施錠状態とする（ [12]) 。次に、施錠状態のロッカー 560 をデジタル鍵によって開錠する場合の動作について説明する。

鍵チャレンジ（ [ 13] ) を受信した携帯電話 40 は、決済アプリケーション 54を起動して、鍵チャレンジの中の錠前 I Dに対応するデジタル鍵を電子パリユーカード 20 に格納されているデジタル鍵の中から検索し、鍵チャレンジの中の乱数に対する電子バリユーカード 20のデパイスプラィベート鍵 29 によるデジタル署名を生成して（ [ 14] ) 、検索したデジタル鍵と生成したデジタル署名とを含む鍵レスポンスをロッカー 560に送信する（ [ 15] ) 。

鍵レスポンスを受信したロッカー 560 の錠前アプリケーション 69 は、施錠時と同様に、鍵レスポンスの中に含まれているデジタル键 34 とデジタル署名の検証とを行う（ [ 16] ) 。これらの検証においてエラーが起こらなければ、ロッカー 560の錠前アプリケーション 69 は、携帯電話 40 に A c kを返し、錠前機構部 70 を制御して開錠状態とする（[ 17] ) 。ロッカー管理サーバ 510は、後日、決済システム 80 との間で決済処理を行う（ [ 18] ) 。

また、ロッカー 560の錠前アプリケーション 69 は、施錠の状態で、鍵レスポンスの中に含まれているデジタル键 34 とデジタル署名の検証において、デジタル鍵 34の有効期間の検証のみが失敗した（時間超過の）場合、新たに生成したサービス提供案内と鍵チャレンジとを一定期間に渡って連続送信する（ [ 1 ] ) 。これを受けて携帯電話 40は、ロッカー管理サーバ 510から有効期間が更新された新たなデジタル鍵をダゥンロードする。このとき、新たに生成されるサービス提供案内の契約書の支払い金額には、超過分の支払金額が設定される。ロッカー管理サーバ 510 は、後日、決済システム 80 との間で超過分を支払金額に基づいて決済を行う。このように、このコインロッカーシステムでは、鍵チャレンジに対する鍵レスポンスのデジタル署名を棱証しており、このデジタル署名は、デジタル鍵に対応する電子パリユーカード 20がなければ生成できない。したがって、仮に、第三者がデジタル鍵を盗み取ることが出来たとしても、デジタル鍵に対応する電子バリユーカード 20がなければデジタル鍵を使用することは出来ないので、第 6 の実施形態のシステムに比ぺてセキユリティを高めることができる。

第 8の実施形態では、第 7の実施形態でのクレジット決済に代えて収納代行による決済を行うデジタル鍵を用いたコイン口ッカーシステムについて説明する。

図 1 6 は、携帯電話のオペレータが運用する課金サーバ 13で収納代行を行うシステムについて示している。課金サーバ 13 は、収納代行アプリケーション 14を備えており、決済システム 80 は、課金サーバ 1 3 との間で決済処理を行う。また、携帯電話 40に保持された電子バリューカード 20 には、クレジットカード証明書は格納されていなくても良い。その他の構成およびロッカー 560 の動作は第 7 の実施形態（図 1 3 ) と変わりがない。

オペレータが運営する課金サーバ 13 には、予め、携帯電話 40 の端末番号に対応して： P I N ( P er s ona l I dent i t y Numb er) が登録される。まず、開錠状態のロッカー 560 をデジタル鍵によって施錠する場合の動作について説明する。

サービス提示案内と鍵チャレンジとを受信した携帯電話 40 は、サービス提供案内で示されたアプリゲーシヨン I Dに基づいて決済アプリケーション 54 を起動して、鍵チャレンジの中の錠前 I Dに対応するデジタル鍵が電子パリユーカード 20に格納されている場合には、鍵チャレンジの中の乱数に対する電子パリユーカード 20のデバイスプライべ一ト鍵 29 によるデジタル署名を生成して（ [18]) 、デジタル鍵と生成したデジタル署名とを含む鍵レスポンスをロッカー 560に送信する（ [19]) 。この後の携帯電話 40 とロッカー 510 との間の処理は、第 7の実施形態の場合と同じである。

錠前 I Dに対応するデジタル鍵が電子バリューカード 20に格納されていない場合には、決済アプリケーション 54は、ロッカー管理サーバ 510からデジタル鍵を取得する処理を開始する。

まず、 L C D画面にサービス案内及び契約書の内容を表示して、ユーザにサービスの利用申込みの確認操作を促す（ [2]) 。ユーザが確認操作を行うと、決済アプリケーション 54 は、契約書を含む利用申込メッセ一ジを、無線通信部 42 から、サービス提供案内に含まれる申込先 U R I が示す先である課金サーバ 13 に送信する（ [3]) 。

課金サーバ 13の収納代行アプリケーション 14は、ユーザ認証によつてユーザの契約意志を確認する契約承認要求を携帯電話 40に送る（ [4] ), 契約承認要求を受信した携帯電話 40の決済アプリケーション 54は、 P I N入力画面を表示してユーザに P I Nの入力を促す（ [5]) 。ユーザが P I Nを入力すると、携帯電話 40の決済アプリケーション 54は、入力された P I N情報と電子パリユーカード 20のデバイス証明書 30 を、承認情報として課金サーバ 13 に送信する（ [6]) 。課金サーバ 13 の収納代行アプリケーション 14は、携帯電話 40の端末番号と対応付けて登録されている P I Nと照合し（ [7]) 、一致した場合に、口、クカー管理サーバにデジタル鍵の生成を要求するデジタル鍵生成要求をロッカー管理サーパ 510 に送信する（ [8]) 。デジタル鍵生成要求には、課金サーバ 13が利用申込メッセージとして携帯電話 40 を介して受信した契約書と電子パリュ一カード 20のデバイス証明書 30が含まれる。ロッカー管理サーバ 510の機器管理アプリケーションは、契約書のサービス提供装置番号に基づきサービス提供装置公開鍵を検索し、検索したサービス提供装置公開鍵を用いて契約書のサービス提供装置によるデジタル署名を検証する（[9]) 。この検証結果が正しい場合に、ロッカー管理サーバ 510の機器管理アブリケーションは、デパイス証明書 30 の中の公開鍵 (デバイス公開鍵）を用いてデジタル鍵を生成して、これにユニークな U R I を割り付ける（[10]) 。そして、生成したデジタル鍵の U R I 情報を含むデジタル鍵生成要求応答メッセージを課金サーバに送信する。また、契約書のデジタル署名の検証においてエラーが検出された場合には、エラーを示すデジタル鍵生成要求応答メッセージを課金サーバに送信する ( [11]) 。

デジタル鍵の U R I 情報を含むデジタル鍵生成要求応答メッセージを受信した課金サーバ 13 は、ユーザのための支払履歴情報として契約書の内容に基づき領収書を生成し ( [12]) 、デジタル鍵の U R I情報と共にデジタル鍵 U R I メッセージとして携帯電話 40 に送信する（ [13] ) 。これを受けて携帯電話 40の決済アプリケーション 54は、受信した領収書を電子バリューカード 20のフラッシュメモリ部 22 に格納し（ [14]) 、口ッカー管理サーバ 510にデジタル鍵取得要求を送信してデジタル鍵の U R I 情報が示すデジタル鍵を要求し（ [15]) 、ロッカー管理サーバ 510 はデジタル鍵 34 を携帯電話 40 に送信する（ [16]) 。携帯電話 40の決済アプリケーション 54は、このデジタル鍵 34を電子パリユーカード 20 のフラッシュメモリ部 22 に格鈉する（ [17] ) 。図 1 7 に示すように、電子パリユーカード 20 のフラッシュメモリ部 22 には、領収書 32 と共にデジタル鍵 34が格納される。

次に、携帯電話 40の決済アプリケーション 54は、鍵チャレンジの中の乱数に対する電子パリユーカード 20のデバイスプライベート鍵 29 によるデジタル署名を生成して（ [18]) 、デジタル鍵 34 と生成したデジタル署名とを含む鍵レスポンスをロッカー 560 に送信する（ [19]) 。この後の携帯電話 40 と口ッカー 510 との間の処理は、第 7 の実施形態の場合と同じである。

また、施錠状態のロッカー 560をデ^タル鍵によって開錠する場合の動作は、第 7 の実施形態の場合と同じである。

このように、このシステムでは、端末番号と P I Nとを用いてォペレータが個人を認証し、通信料金と共に口ッカー 560 の利用代金が回収される。

また、図 1 8 は、収納代行業者の課金サ"バ 113で収納代行を行うシステムについて示している。この課金サーバ 113 には、予め会員 I Dに対応して P I Nが登録されている。この場合、契約承認要求を受信した携帯電話 40の決済アプリケーション 54は、ユーザに会員 I Dと P I N の入力を促す。ユーザが会員 I D と P I Nを入力すると、携帯電話 40 の決済アプリケーション 54は、承認情報として会員 I D と P I N情報と電子バリユーカード 20のデパイス証明書 30を課金サーバ 113に送信し、課金サーバ 113の収納代行アプリケーション 114は、会員 I D と P I N とを用いて個人を認証する。その他の構成は図 1 7 の場合と同じである。このシステムでは、代行収納業者が、会員 I D と P I Nとを用いて個人を認証し、ロッカー 560の利用代金が回収される。

第 7 の実施形態の場合と同様に、デジタル鍵を用いることで、第 6 の実施形態のシステムに比べてセキュリティを高めることができる。産業上の利用可能性

以上の説明から明らかなように、本発明のシステムでは、ネットヮーク通信機能を持たないサービス提供装置から受けるサービスの決済処理を、ネットワークを通じて行うことができ、また、このサービス提供装置に対して、ユーザの携帯電話等を介して、サーバからモパイル制御命令を送り、サービス提供装置を制御することができる。

また、管理サーバは、各サービス提供装置との間のネットワークを構築しなくても、各サービス提供装置に対する制御が可能になる。また、各サービス提供装置の利用状況をリアルタイムで把握することができる本発明は、自動販売機システム、コインロッカーシステム、パーキングメータ、自動駐車場装置など、広い分野への適用が可能である。

Claims

請求の範囲

1 . 携帯通信機器が、ネットワークを通じて、サービス提供装置から受けるサービスの決済処理を行い、前記携帯通信機器が、前記サービス提供装置に前記サービスを実行させる管理サーバの制御情報を、ネットヮークを通じて受信して、前記サービス提供装置に伝送することを特徴とするモパイル決済システム。

2 . 前記携帯通信機器は、ローカル無線通信を通じて前記サービス提供装置から前記サービスの契約情報を受信し、前記ローカル無線通信を通じて前記サービス提供装置に前記制御情報を送信することを特徴とする請求の範囲第 1項に記載のモパイル決済システム。

3 . 前記携帯通信機器は、電子バリューカードのデバイスプライベート鍵を用いてデジタル署名を施した前記契約情報と、前記デバイスプライペート鍵に対応するデバイス公開鍵を証明する証明書とをネットワークを通じて前記管理サーバに送信し、前記管理サーバは、前記証明書の前記デバイス公開鍵を用いて前記デジタル署名を検証し、検証結果が正しい場合に、前記制御情報を前記携帯通信機器に送信し、且つ、決済システムとの間で決済処理を行うことを特徴とする請求の範囲第 2項に記載のモパイル決済システム。

4 . 前記携帯通信機器は、前記契約情報をネットワークを通じて課金サーバに送信し、前記課金サーバは、前記携帯通信機器から受信した P I N情報を用いてユーザを認証した後、決済システムとの間で決済処理を行い、前記管理サーバは、前記課金サーバの認証結果を受けて前記制御情報を前記携帯通信機器に送信することを特徴とする請求の範囲第 2項に記載のモパイル決済システム。

5 . 前記サービス提供装置がパーキングメータであり、前記携帯通信機器を通じて前記制御情報を受信したとき、前記制御情報で指定された期間だけ支払い済みの表示を行うことを特徴とする請求の範囲第 1項から請求の範囲第 4項のいずれか一に記載のモパイル決済システム。

6 . 前記サービス提供装置が駐車場装置であり、車両を検出して前記車両の出庫を規制し、前記携帯通信機器を通じて前記制御情報を受信したとき、前記規制を解除することを特徴とする請求の範囲第 1項から請求の範囲第 4項のいずれか一に記载のモパイル決済システム。

7 . 前記サービス提供装置が自動販売機であり、商品選択スィッチで商品が選択された後、前記携帯通信機器を通じて前記制御情報を受信したとき、選択された前記商品を出力することを特徴とする請求の範囲第 1 項から請求の範囲第 4項のいずれか一に記載のモパイル決済システム。

8 . 前記サービス提供装置がロッカーであり、起動時の錠前が開錠状態であれば、前記携帯通信機器から前記制御情報を受信したときに施錠し、起動時の錠前が施錠状態であれば、前記携帯通信機器から前記制御情報を受信したときに開錠することを特徴とする請求の範囲第 1項から請求の範囲第 4項のいずれか一に記載のモパイル

9 . 前記管理サーバは、前記制御情報として、前記管理サーバによるデジタル署名を付したデジタル鍵を発行し、前記携帯通信機器は、前記管理サ一パから受信した前記デジタル鍵に前記電子バリユーカードのデバイスプライべ一ト鍵によるデジタル署名を付して前記口ッカ一に送信し前記口ッカーは、前記デジタル署名を基に前記デジタル鍵及ぴ携帯通信機器を認証することを特徴とする請求の範囲第 8項に記載のモパイル決済システム。

1 0 . 電子バリューカードを保持する保持手段と、ネットワークを通じて無線通信を行う第 1通信手段と、ローカル無線による無線通信を行う第 2通信手段とを備え、前記第 2通信手段を通じて、サービス提供装置が提供するサービスの契約情報を受信し、前記第 1通信手段を通じて、前記サービスを受けるための決済処理を行うとともに、前記サービス提供装置に前記サービスを実行させるための制御情報を受信し、前記制御情報を、前記第 2通信手段を通じて前記サービス提供装置に送信することを特徴とする携帯通信機器。

1 1 . 前記契約情報に前記電子バリューカードのデバイスプライベート鍵を用いてデジタル署名を施し、前記第 1通信手段を通じて、前記契約情報に含まれるアドレスに、前記デジタル署名を施した契約情報と、前記デバイスプライべ一ト鍵に対応するデバイス公開鍵を公開鍵として含むクレジットカード証明書とを送信することを特徴とする請求の範囲第

1 0項に記載の携帯通信機器。

1 2 . 前記第 1通信手段を通じて、前記契約情報に含まれる課金サーバのアドレスに前記契約情報と個人認証用の P I N情報とを送信することを特徴とする請求の範囲第 1 0項に記載の携帯通信機器。

1 3 . 前記第 1通信手段を通じて受信した前記制御情報を前記電子パリユーカードに格納し、前記サービス提供装置の求めに応じて、前記制御情報を、前記第 2通信手段を通じて前記サービス提供装置に送信することを特徴とする請求の範囲第 1 0項から請求の範囲第 1 2項のいずれか一に記載の携帯通信機器。

1 4 . デバイスプライベート鍵とそれに対応するデバイス公開鍵とを耐タンパ性のメモリ領域に格納し、クレジットカードを特定する識別情報と前記デバイス公開鍵とを証明するクレジットカード証明書を非耐タンパ領域に格納し、受信した契約情報に前記デバイスプライベート鍵を用いてデジタル署名を施し、前記クレジットカード証明書とともに出力することを特徴とする電子パリユーカード。

1 5 . デパイスプライベート鍵とそれに対応するデパイス公開鍵とを耐タンパ性のメモリ領域に格納し、受信した制御情報を非耐タンパ領域に格納し、前記デバイスプライベート鍵を用いてデジタル署名を行うことを特徴とする電子パリュ一カード。

1 6 . サービス提供装置を管理する管理サーバであって、前記サービス提供装置が提供するサービスを受ける携帯通信機器に対して、ネットヮークを通じて、前記サービス提供装置に前記サービスを実行させるための制御情報を送信することを特徴とする管理サーバ。

1 7 . 前記携帯通信機器からネットワークを通じて、前記サービス提供装置が提供するサービスの契約情報を受信したとき、前記契約情報に付されているデジタル署名を検証し、検証結果が正しい場合に、前記制御情報を前記携帯通信機器に送信し、且つ、決済システムとの間で決済処理を行うことを特徴とする請求の範囲第 1 6項に記載の管理サーバ。

1 8 . 課金サーバが認証した前記携帯通信機器に対して、前記制御情報を送信することを特徴とする請求の範囲第 1 6項に記載の管理サーバ。

1 9 . 管理サーバによって管理されるサービス提供装置であって、ローカル無線通信手段と、サービスを実行する機構.手段と、前記サービス提供装置の動作を制御する制御手段とを備え、

前記サービスを要求する携帯通信機器から、前記ローカル無線通信手段を通じて、前記管理サーバの制御情報を受信したとき、前記制御手段が、前記制御情報に従って前記機構手段を制御することを特徴とするサ一ビス提供装置。

2 0 . 前記制御手段は、前記制御情報に付されているデジタル署名を検証して、検証結果が正しければ前記機構手段を制御することを特徴とする請求の範囲第 1 9項に記載のサービス提供装置。

2 1 . 前記制御手段は、前記ローカル無線通信手段を通じて、提供するサービスの案内情報を送信し、前記案内情報の中にサービス提供の契約情報と前記管理サーバのネットワーク上のァドレスが含まれていることを特徴とする請求の範囲第 1 9項に記載のサ一ビス提供装置。

2 2 . 前記制御手段は、前記ローカル無線通信手段を通じて、提供するサービスの案内情報を送信し、前記案内情報の中にサービス提供の契約情報とサースの利用代金の課金処理を行う課金サーバのネットワーク上のァドレスが含まれていることを特徴とする請求の範囲第 1 9項に記載のサービス提供装置。 .. ,

2 3 . 前記機構手段として、車両を検知する車两センサと、表示手段とを備え、前記ローカル無線通信手段を通じて前記携帯通信機器から前記管理サーバの制御情報を受信したとき、前記制御手段が、前記表示手段に、前記制御情報で指定された期間だけ支払い済みの表示を行うように制御するパーキングメータであることを特徴とする請求の範囲第 1 9項から請求の範囲第 2 2項のいずれか一に記載のサービス提供装置。

2 4 . 前記機構手段として、車両を検知する車两センサと、車両の出庫を規制する規制手段と、支払い時に押される支払いスィツチとを備え、前記ローカル無線通信手段を通じて前記携帯通信機器から前記管理サーパの制御情報を受信したとき、前記制御手段が、前記規制手段の規制を解除する駐車場装置であることを特徴とする請求の範囲第 1 9項から請求の範囲第 2 2項のいずれか一に記載のサービス提供装置。

2 5 . 前記車両センサが車两を検知すると、前記ローカル無線通信手段を用いて、前記サービスの案内情報を一定期間の間、連続して送信することを特徴とする請求の範囲第 2 3項または請求の範囲第 2 4項に記載のサービス提供装置。

2 6 . 前記機構手段として、商品選択スィッチと、商品を排出する自販機機構手段とを備え、前記ローカル無線通信手段を通じて前記携帯通信機器から前記管理サーバの制御情報を受信したとき、前記制御手段が、前記商品選択スィツチで選択された商品を前記自販機機構手段から排出するように制御する自動販売機であることを特徴とする請求の範囲第 1 9項から請求の範囲第 2 2項のいずれか一に記載のサービス提供装置。

2 7 . 前記商品選択スィッチが押されると、前記ローカル無線通信手段を用いて、前記サービスの案内情報を一定期間の間、連続して送信することを特徴とする請求の範囲第 2 6項に記載のサービス提供装置。

2 8 .前記機構手段として、錠前を開錠または施錠する錠前機構手段と、口ッカーの扉に手を掛けたときにオンする起動スィツチとを供え、前記ローカル無線通信手段を通じて前記携帯通信機器から前記管理サーバの制御情報を受信したとき、前記制御手段が、前記起動スィッチのオン時の錠前が開錠状態であれば、前記錠前機構手段に施錠するように制御し、前記起動スィッチのオン時の錠前が施錠状態であれば、前記錠前機構手段に開錠するように制御する口ッカーであることを特徴とする請求の範囲第 1 9項から請求の範囲第 2 2項のいずれか一に記載のサービス提供装置。

2 9 . 前記起動スィッチがオンになると、前記ローカル無線通信手段を用いて、前記サービスの案内情報を一定期間の間、連続して送信することを特徴とする請求の範囲第 2 8項に記載のサービス提供装置。

3 0 . 錠前を施錠状態の場合、前記受信した制御情報の識別情報と施錠時に受信した制御情報の識別情報とを照合し、その識別情報が一致した場合に、前記錠前機構手段を制御して施錠することを特徴とする請求の範囲第 2 8項に記載のサービス提供装置。

3 1 . 前記受信した制御情報の有効性を検証する処理において、前記制御情報の有効期間の検証のみが、期間超過のためにエラーとなった場合、前記口一カル無線通信手段を用いて、前記サービスの案内情報を一定期間の間、連続して送信することを特徴とする請求の範囲第 3 0項に記載のサービス提供装置。