(57)【要約】【課題】不正取引の防止に優れた取引決済用アプリケーションのプログラムを提供することである。【解決手段】実施形態に係るプログラムは、取引管理装置により対応付けて管理される第１及び第２の取引決済用アプリケーションのうちの、情報通信装置に記憶される前記第１の取引決済用アプリケーションのプログラムである。また、このプログラムは、以下の判定手順と取引手順と更新手順とをコンピュータに実行させるためのプログラムである。前記判定手順は、前記第１の取引決済用アプリケーションの取引履歴に基づき、前記第１の取引決済用アプリケーションによる取引可否を判定する。前記取引手順は、前記取引可否の判定結果に基づき、前記第１の取引決済用アプリケーションにより取引する。前記更新手順は、ＩＣカードに記憶される前記第２の取引決済用アプリケーションによる取引に基づく前記取引管理装置からの更新要求により、前記取引履歴を更新する。【選択図】      図７
2018169896.tif 000002
【特許請求の範囲】
【請求項１】
取引管理装置により対応付けて管理される第１及び第２の取引決済用アプリケーションのうちの、情報通信装置に記憶される前記第１の取引決済用アプリケーションのプログラムであって、
前記第１の取引決済用アプリケーションの取引履歴に基づき、前記第１の取引決済用アプリケーションによる取引可否を判定する判定手順と、
前記取引可否の判定結果に基づき、前記第１の取引決済用アプリケーションにより取引する取引手順と、
ＩＣカードに記憶される前記第２の取引決済用アプリケーションによる取引に基づく前記取引管理装置からの更新要求により、前記取引履歴を更新する更新手順と、
をコンピュータに実行させるためのプログラム。
【請求項２】
前記判定手順は、前記第１の取引決済用アプリケーションの取引回数に基づき、取引の可否を判定する請求項１のプログラム。
【請求項３】
前記判定手順は、前記第１の取引決済用アプリケーションの１回の取引金額及び累積取引金額のうちの少なくとも一方に基づき、取引の可否を判定する請求項１又は２のプログラム。
【請求項４】
前記取引手順は、取引許可の判定結果に基づき、前記第１の取引決済用アプリケーションによる取引を要求する請求項１乃至３の何れか一つのプログラム。
【請求項５】
前記取引手順は、取引不許可の判定結果に基づき、前記第２の取引決済用アプリケーションによる取引を要求する請求項１乃至４の何れか一つのプログラム。
【請求項６】
前記更新要求は、前記第２の取引決済用アプリケーションによる取引の成立に基づく前記取引管理装置からの要求である請求項１乃至５の何れか一つのプログラム。
【請求項７】
前記更新手順は、前記更新要求により、前記取引履歴に含まれる取引回数を初期値に更新する請求項１乃至６の何れか一つのプログラム。
【請求項８】
前記更新手順は、前記更新要求により、前記取引履歴に含まれる累積取引金額を初期値に更新する請求項１乃至７の何れか一つのプログラム。
【請求項９】
前記第１の取引決済用アプリケーションによる取引回数、及び前記取引回数の上限値のうちの少なくとも一方を表示部に表示させる手順をコンピュータに実行させるための請求項１乃至８の何れか一つのプログラム。
【請求項１０】
前記取引は、金融決済である請求項１乃至９の何れか一つのプログラム。
【請求項１１】
情報通信装置に記憶される第１の取引決済用アプリケーションとＩＣカードに記憶される第２の取引決済用アプリケーションとを対応付けて管理する管理部と、
前記第１の取引決済用アプリケーションの取引履歴に基づき前記第１の取引決済用アプリケーションによる取引可否を判定する前記情報通信装置に対して、前記第２の取引決済用アプリケーションの取引の実行に基づき前記取引履歴の更新要求を送信する通信部と、
を備える取引管理装置。
【請求項１２】
前記更新要求は、前記取引履歴を初期値へ更新する要求である請求項１１の取引管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、取引決済用アプリケーションのプログラム及び取引管理装置に関する。
【背景技術】
【０００２】
ＩＣ（integrated circuit）カードは、外部に読み出すことができない暗号鍵等の情報を記憶し、これにより高い安全性が確保されている。このような安全面で優れたＩＣカードに記憶された金融決済アプリケーションによる金融決済の仕組みが知られている。
【０００３】
また、近年、通信機能を備えたスマートフォン等の携帯型の情報通信端末の普及が目覚ましい。例えば、スマートフォンにより金融決済アプリケーションをダウンロードし、スマートフォンにダウンロードされた金融決済アプリケーションによる金融決済の仕組みが普及し始めている。例えば、スマートフォンのＨＣＥ（Host-based Card Emulation）機能を用いた金融決済では、スマートフォン上で動作する金融決済用アプリケーションがＩＣカードをエミュレートすることで金融決済を行う。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１５−２０７２５２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
スマートフォンにダウンロードされる金融決済用アプリケーションは、スマートフォンのＯＳ（operating System）が提供する通信機能を用いて、上位システムおよびリーダライタ端末と通信を行う。上位システムは、スマートフォンにダウンロードされる金融決済用アプリケーションに発行データを提供する。例えば、この発行データの中には、取引金額の上限値、取引回数の制限値、暗号処理に用いる鍵などが含まれる。
【０００６】
リーダライタ端末は、スマートフォンにダウンロードされる金融決済用アプリケーションと取引コマンドを交換する。店頭などに設置されたリーダライタ端末にスマートフォンをかざすと、スマートフォンにダウンロードされる金融決済用アプリケーションにより取引通貨や金額に関する情報が交換され、取引の可否が判断される。リーダライタ端末は、取引の可否をもとに、上位システムに取引承認要求を送信する。
【０００７】
スマートフォン上の金融決済用アプリケーションは、ＩＣカードに比べて耐タンパ性に劣る実行環境上で動作するため、悪意ある攻撃に対する脆弱性が指摘されている。例えば、スマートフォン上で動作する金融決済用アプリケーションはセキュリティ攻撃を受けても、そのことを検知できないおそれがある。そこで、スマートフォン上で動作する金融決済用アプリケーションでの取引上限額をＩＣカードでの取引上限額より低く設定して、リスクを軽減する対応等が取られている。このような状況下において、スマートフォン上で動作する各種取引決済用アプリケーションによる不正取引を防止する仕組みが要望されている。
【０００８】
本発明の目的は、不正取引の防止に優れた取引決済用アプリケーションのプログラム及び取引管理装置を提供することである。
【課題を解決するための手段】
【０００９】
実施形態に係るプログラムは、取引管理装置により対応付けて管理される第１及び第２の取引決済用アプリケーションのうちの、情報通信装置に記憶される前記第１の取引決済用アプリケーションのプログラムである。また、このプログラムは、以下の判定手順と取引手順と更新手順とをコンピュータに実行させるためのプログラムである。前記判定手順は、前記第１の取引決済用アプリケーションの取引履歴に基づき、前記第１の取引決済用アプリケーションによる取引可否を判定する。前記取引手順は、前記取引可否の判定結果に基づき、前記第１の取引決済用アプリケーションにより取引する。前記更新手順は、ＩＣカードに記憶される前記第２の取引決済用アプリケーションによる取引に基づく前記取引管理装置からの更新要求により、前記取引履歴を更新する。
【図面の簡単な説明】
【００１０】
【図１】実施形態に係る取引決済システムの一例を示す図である。
【図２】実施形態に係る上位システムの一例を示す図である。
【図３】実施形態に係るＩＣカードリーダライタ端末の一例を示す図である。
【図４】実施形態に係るスマートフォンの一例を示す図である。
【図５】実施形態に係るＩＣカードの一例を示す図である。
【図６】実施形態に係るスマートフォンにインストールされた金融決済用アプリケーションによる通算取引回数をリセットするときの流れの一例を示す図である。
【図７】実施形態に係るスマートフォンにインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えていないときの流れの一例を示す図である。
【図８】実施形態に係るスマートフォンにインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えているとき（スマートフォンにインストールされた金融決済用アプリケーションのデータが正常なとき）の流れの一例を示す図である。
【図９】実施形態に係るスマートフォンにインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えているとき（スマートフォンにインストールされた金融決済用アプリケーションのデータが悪意ある攻撃により異常な値に変更されているとき）の流れの一例を示す図である。
【図１０】実施形態に係るスマートフォンにインストールされた金融決済用アプリケーション通算取引上限額を変更するときの流れの一例を示す図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照して実施形態について説明する。まず、図１乃至図５を参照し、実施形態に係る取引決済システムの構成について説明する。  
図１は、実施形態に係る取引決済システムの一例を示す図である。図１に示すように、取引決済システムは、上位システム１（取引管理装置）、ＩＣカードリーダライタ端末２、スマートフォン３、ＩＣカード４（情報通信装置）を備える。
【００１２】
スマートフォン３は、近距離無線通信により、ＩＣカードリーダライタ端末２との間で金融取引に関する各種データＤ１を送受信する。また、スマートフォン３は、モバイルネットワークを介して、上位システム１との間で金融取引に関する各種データＤ２を送受信する。上位システム１、ＩＣカードリーダライタ端末２、スマートフォン３、ＩＣカード４については、図２、図３、図４、図５を参照して詳しく説明する。
【００１３】
なお、本実施形態では、携帯型の情報通信端末の一例として、スマートフォン３を取り上げて説明するが、これに限定されるものではなく、プロセッサー、記憶部（メモリ）、通信インタフェース等を備え、金融決済用アプリケーションプログラム（以下、金融決済用アプリケーション）のインストール及び実行が可能なものであればよい。
【００１４】
また、本実施形態では、スマートフォン３に記憶された金融決済用アプリケーションプログラムによる金融決済について説明するが、金融決済に限定されるものではない。例えば、サービス提供事業者により発行されるポイント等の取引決済に適用することもできる。この場合、スマートフォン３に記憶されたポイント等の取引決済用アプリケーションプログラムによる取引決済が対象となる。  
また、本実施形態では、非接触型のＩＣカード４を取り上げて説明するが、接触型ＩＣカードであってもよい。
【００１５】
図２は、実施形態に係る上位システム１の一例を示す図である。図２に示すように、上位システム１（コンピュータ）は、プロセッサー１１、記憶部１２、通信インタフェース１３、ディスプレイ１４、及び操作部１５等を備える。  
プロセッサー１１は、ＣＰＵ（Central Processing Unit）等であり、記憶部１２に記憶されたＯＳ及びアプリケーションソフトウェアなどのプログラムに基づいて、上位システム１における各種の機能を実現するべく処理及び制御を実行する。例えば、プロセッサー１１は、各スマートフォン３に記憶（インストール）される金融決済用アプリケーション（第１の取引決済用アプリケーション）と各ＩＣカード４（各ＩＣカード４に記憶される金融決済用アプリケーション（第１の取引決済用アプリケーション））とを対応付けて管理する。また、プロセッサー１１は、スマートフォン３に記憶され金融決済用アプリケーションによる金融決済の可否を判定することもできる。
【００１６】
記憶部１２は、プロセッサー１１の動作プログラム及び各種データを記憶する。例えば、記憶部１２は、スマートフォン３に記憶（インストール）される金融決済用アプリケーションの識別情報とＩＣカード４に記憶される金融決済用アプリケーションの識別情報とを対応付けて記憶する。さらに、記憶部１２は、ＩＣカード４の識別情報とこのＩＣカード４に記憶される金融決済用アプリケーションの識別情報とを記憶するようにしてもよい。これにより、上位システム１は、各スマートフォン３に記憶される金融決済用アプリケーションと各ＩＣカード４に記憶される金融決済用アプリケーションとを対応付けて管理することができる。また、各ＩＣカード４と各ＩＣカード４に記憶される金融決済用アプリケーションとを対応付けて管理することもできる。なお、スマートフォン３に記憶される金融決済用アプリケーションの識別情報とＩＣカード４に記憶される金融決済用アプリケーションの識別情報とは同一の識別情報であってもよいし、異なる識別情報であってもよい。例えば、スマートフォン３に記憶される金融決済用アプリケーションの識別情報とＩＣカード４に記憶される金融決済用アプリケーションの識別情報を、後述するPrimary Account Numberとしてもよい。
【００１７】
通信インタフェース１３は、例えば、金融決済ネットワーク等に接続可能に構成され、通信インタフェース１３は、金融決済ネットワークを介してＩＣカードリーダライタ端末２と通信する。また、通信インタフェース１３は、モバイルネットワーク等に接続可能に構成され、通信インタフェース１３は、モバイルネットワーク等を介してスマートフォン３と通信する。
【００１８】
ディスプレイ１４は、上位システム１の管理者などに各種情報を通知するための画面を表示する。ディスプレイ１４は、例えば、液晶ディスプレイ又は有機ＥＬ（electro-luminescence）ディスプレイなどである。操作部１５は、上位システム１の管理者による操作を受け付ける。操作部１５は、例えば、キーボード、キーパッド、タッチパッド又はマウスなどである。
【００１９】
図３は、実施形態に係るＩＣカードリーダライタ端末の一例を示す図である。ＩＣカードリーダライタ端末２は、近距離無線通信により、ＩＣカード４との間でコマンド及びレスポンスを送受信する。  
図３に示すように、ＩＣカードリーダライタ端末２は、プロセッサー２１、記憶部２２、第１の通信インタフェース２３、ディスプレイ２４、操作部２５、及びリーダライタ２６を備える。プロセッサー２１は、ＣＰＵ等であり、記憶部２２に記憶されたオペレーティングシステム及びアプリケーションソフトウェアなどのプログラムに基づいて、ＩＣカードリーダライタ端末２の各種の機能を実現するべく処理及び制御を実行する。
【００２０】
記憶部２２は、オペレーティングシステム又はアプリケーションソフトウェアなどのプログラムを記憶する。また、記憶部２２は、プロセッサー２１が各種の処理を行う上で使用するデータなどを記憶する。例えば、ＩＣカードリーダライタ端末２は、制御プログラムが記憶部２２に記憶された状態で利用者などへと譲渡される。或いは、ＩＣカードリーダライタ端末２は、各種の制御処理に関して記述した制御プログラムが記憶部２２に記憶されない状態で利用者などへ譲渡されても良い。そして、制御プログラムが別途に利用者などへと譲渡され、利用者又はサービスマンなどによる操作の下に記憶部２２へ書き込まれても良い。このときの制御プログラムの譲渡は、例えば、磁気ディスク、光磁気ディスク、光ディスク、半導体メモリなどのようなリムーバブルな記録媒体に記録して、あるいはネットワークを介したダウンロードにより実現できる。
【００２１】
第１の通信インタフェース２３は、他の機器と通信するためのインタフェースである。第１の通信インタフェース２３は、例えば、金融決済ネットワーク等に接続可能に構成され、第１の通信インタフェース２３は、金融決済ネットワーク等を介して上位システム１と通信する。
【００２２】
ディスプレイ２４は、ＩＣカードリーダライタ端末２の操作者などに各種情報を通知するための画面を表示する。ディスプレイ２４は、例えば、液晶ディスプレイ又は有機ＥＬ（electro-luminescence）ディスプレイなどである。
【００２３】
操作部２５は、ＩＣカードリーダライタ端末２の操作者による操作を受け付ける。操作部２５は、例えば、キーボード、キーパッド、タッチパッド又はマウスなどである。また、操作部２５としては、ディスプレイ２４の表示パネルに重ねて配置されたタッチパッドを用いることもできる。すなわち、タッチパネルが備える表示パネルをディスプレイ２４として、タッチパネルが備えるタッチパッドを操作部２５として用いることができる。
【００２４】
例えば、リーダライタ２６は、スマートフォン３又はＩＣカード４と近距離通信を行う第２の通信インタフェースである。リーダライタ２６は、通信によりＩＣカード４にコマンドを送信する。また、リーダライタ２６は、通信によりＩＣカード４から送信されたレスポンスを受信する。以下、各実施形態において、リーダライタ２６とＩＣカード４とが通信するケースについて説明するが、ＩＣカード４を非接触型ＩＣチップと読み替えても良い。
【００２５】
図４は、実施形態に係るスマートフォン３の一例を示す図である。図４に示すように、スマートフォン３は、上位システム１及びＩＣカードリーダライタ端末２と通信する。例えば、スマートフォン３は、近距離無線通信により、ＩＣカードリーダライタ端末２との間でコマンド及びレスポンスを送受信する。また、スマートフォンは、モバイルネットワーク等を介して上位システム１と通信する。
【００２６】
図４に示すように、スマートフォン３（コンピュータ）は、プロセッサー３１、記憶部３２、第１の通信インタフェース３３、ディスプレイ３４、操作部３５、及び第２の通信インタフェース３６を備える。プロセッサー３１は、ＣＰＵ等であり、記憶部２２に記憶されたオペレーティングシステム及びアプリケーションソフトウェアなどのプログラムに基づいて、スマートフォン３の各種の機能を実現するべく処理及び制御を実行する。
【００２７】
記憶部３２は、オペレーティングシステム又はアプリケーションソフトウェアなどのプログラムを記憶する。また、記憶部３２は、プロセッサー３１が各種の処理を行う上で使用するデータなどを記憶する。例えば、スマートフォン３は、上位システム１から金融決済用アプリケーションをダウンロードすることができる。記憶部３２は、ダウンロードされた金融決済用アプリケーションを記憶する。
【００２８】
第１の通信インタフェース３３は、他の機器と通信するためのインタフェースである。第１の通信インタフェース３３は、例えば、モバイルネットワーク等に接続可能に構成され、第１の通信インタフェース２３は、モバイルネットワーク等を介して上位システム１と通信する。
【００２９】
ディスプレイ３４は、スマートフォン３の利用者などに各種情報を通知するための画面を表示する。ディスプレイ３４は、例えば、液晶ディスプレイ又は有機ＥＬ（electro-luminescence）ディスプレイなどである。
【００３０】
操作部３５は、スマートフォン３の利用者による操作を受け付ける。操作部３５は、例えば、キーボード、タッチパッドなどである。また、操作部３５としては、ディスプレイ３４の表示パネルに重ねて配置されたタッチパッドを用いることもできる。すなわち、タッチパネルが備える表示パネルをディスプレイ３４として、タッチパネルが備えるタッチパッドを操作部３５として用いることができる。
【００３１】
例えば、第２の通信インタフェース３６は、ＩＣカードリーダライタ端末２と近距離通信を行う。第２の通信インタフェース３６は、この近距離無線通信によりＩＣカードリーダライタ端末２との間でコマンド及びレスポンスを送受信する。
【００３２】
図５は、実施形態に係るＩＣカードの一例を示す図である。ＩＣカード４は、接触型ＩＣカード又は非接触型ＩＣカードなどである。本実施形態では、非接触型ＩＣカードのケースについて説明する。  
図５に示すように、ＩＣカード４は、例えば、カード状の本体４Ａと、本体４Ａに内蔵されたＩＣモジュール４Ｂを備え、ＩＣモジュール４Ｂは、ＩＣチップ４Ｃと、ＩＣチップ４Ｃに接続された通信用の回路とを備える。通信用の回路は、例えば、アンテナ又は接触端子（コンタクトパターン）として構成される。通信用の回路は、ＩＣカードリーダライタ端末２のリーダライタ２６と電気的に接続される。
【００３３】
ＩＣチップ４Ｃは、プロセッサー４１、ＲＯＭ（read-only memory）４２、ＲＡＭ（random-access memory）４３、不揮発性メモリ４４、電源部４５、通信インタフェース４６を備える。  
プロセッサー４１は、ＣＰＵ等であり、ＲＯＭ４２及び不揮発性メモリ４４の少なくとも一方に記憶されたオペレーティングシステム及びアプリケーションソフトウェアなどのプログラムに基づいて、ＩＣカード４の各種の機能を実現するべく処理及び制御を実行する。
【００３４】
ＲＯＭ４２は、読み出し専用の不揮発性メモリであり、オペレーティングシステム又はアプリケーションソフトウェアなどのプログラムを記憶する。  
ＲＡＭ４３は、揮発性のメモリである。ＲＡＭ４３は、プロセッサー４１が各種の処理を行う上で一時的に使用するデータを記憶しておく、いわゆるワークエリアとして利用される。  
不揮発性メモリ４４は、アプリケーションソフトウェアなどのプログラムを記憶する。例えば、不揮発性メモリ４４は、金融決済用アプリケーションを記憶する。また、不揮発性メモリ４４は、プロセッサー４１が各種の処理を行う上で使用するデータなどを保存する。
【００３５】
通信インタフェース４６は、近距離無線通信等により、ＩＣカードリーダライタ端末２と通信する。通信インタフェース４６は、前記の通信用の回路を介して非接触通信によりＩＣカードリーダライタ端末２とコマンド及びレスポンス等の信号を送受信する。通信インタフェース４６は、取得した信号をプロセッサー４１に渡す。また、通信インタフェース４６は、プロセッサー４１から渡された信号をＩＣカードリーダライタ端末２に送信する。
【００３６】
電源部４５は、ＩＣカード４の各部に電力を供給する。電源部４５は、上記の通信用の回路を介してＩＣカードリーダライタ端末２から供給される電力を各部の定格電圧に変換して各部に供給する。なお、電源部４５は、バッテリーを備え、バッテリーの電力を各部に供給する構成であっても良い。
【００３７】
（動作の概要）
次に、実施形態に係る取引決済システムの動作概要について説明する。
【００３８】
上位システム１は、スマートフォン３にインストールされ実行される取引決済用アプリケーション（第１の取引決済用アプリケーション）と、ＩＣカード４に記憶され実行される取引決済用アプリケーション（第２の取引決済用アプリケーション）とを対応付けて管理する。例えば、上位システム１の記憶部１２は、第１の取引決済用アプリケーションに対応する識別情報（以下説明するPrimary Account Number）と、第２の取引決済用アプリケーションに対応する識別情報（以下説明するPrimary Account Number）とを対応付けて記憶する。これにより、あるスマートフォン３にインストールされ実行される取引決済用アプリケーションと、ＩＣカード４に記憶され実行される取引決済用アプリケーションとが紐付けられる。
【００３９】
また、スマートフォン３の記憶部３２は、取引決済用アプリケーションを記憶（インストール）する。例えば、スマートフォン３にインストールされる取引決済用アプリケーションは、この取引決済用アプリケーションよる取引を管理する管理プログラムを含む。なお、或いは、この管理プログラムは、スマートフォン３にインストールされる取引決済用アプリケーションから独立した別のプログラムであってもよい。スマートフォン３のプロセッサー３１は、管理プログラムにより、スマートフォン３にインストールされる取引決済用アプリケーションの取引履歴に基づき、スマートフォン３にインストールされる取引決済用アプリケーションよる取引を管理又は制御し、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を安全に実行することができる。或いは、管理プログラムにより、ＩＣカード４に記憶される取引決済用アプリケーションの取引（少なくとも１回の取引及び前回取引からの経過時間のうちの少なくとも一つ）に関する上位システム１からの通知に基づき、スマートフォン３にインストールされる取引決済用アプリケーションよる取引を管理又は制御し、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を安全に実行することができる。
【００４０】
例えば、管理プログラムは、ＩＣカード４に記憶される取引決済用アプリケーションの取引履歴（少なくとも１回の取引及び前回取引からの経過時間のうちの少なくとも一つ）、又はスマートフォン３にインストールされる取引決済用アプリケーションの取引履歴（取引回数、１回の取引金額、及び累積取引金額のうちの少なくとも一つ）に関する上位システム１からの通知に基づき、スマートフォン３にインストールされる取引決済用アプリケーションによる取引可否を判定する。また、管理プログラムは、取引許可の判定結果に基づき、ＩＣカードリーダライタ端末２に対して、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を要求し、また、取引不許可の判定結果に基づき、ＩＣカードリーダライタ端末２に対して、ＩＣカード４に記憶される取引決済用アプリケーションによる取引を要求する。また、管理プログラムは、ＩＣカード４に記憶される取引決済用アプリケーションの取引（取引の実行）に基づく上位システム１からの更新要求従い、スマートフォン３にインストールされる取引決済用アプリケーションの取引履歴を更新する。例えば、更新要求は、上記した取引履歴（取引回数、１回の取引金額、累積取引金額等）を初期値に更新する。なお、本実施形態で述べる「更新」を「変更」又は「リセット」と読み替えてもよい。また、「取引履歴を初期値に更新する」を「取引履歴をリセットする」と読み替えてもよい。
【００４１】
例えば、スマートフォン３（プロセッサー３１）は、第１の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可する。第１の取引条件は、ＩＣカード４（ＩＣカード４に記憶される第２の取引決済用アプリケーション）による少なくとも１回の取引の実行とする。例えば、ＩＣカードリーダライタ端末２が、ＩＣカード４（ＩＣカード４に記憶される取引決済用アプリケーション）による取引を実行した場合、上位システム１に対して、ＩＣカード４による取引の実行を通知する。上位システム１は、スマートフォン３に対して、ＩＣカード４による取引の実行を通知する。スマートフォン３は、第１の取引条件及びＩＣカード４による取引の実行通知に基づき、スマートフォン３にインストールされる取引決済用アプリケーションによる取引の可否を判定する。例えば、スマートフォン３は、第１の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可し、満たさない場合に、取引を許可しない。これにより、セキュリティの高いＩＣカード４に記憶される第２の取引決済用アプリケーション）による取引前には、スマートフォン３（スマートフォン３にインストールされた取引決済用アプリケーション）による取引が許可されない。従って、スマートフォン３上の不正な取引決済用アプリケーション又は改ざんされた取引決済用アプリケーションによる取引を防止することができる。
【００４２】
なお、スマートフォン３に替えて、上位システム１が、第１の取引条件に基づき、スマートフォン３にインストールされる取引決済用アプリケーションによる取引の可否を判定するようにしてもよい。この場合、上位システム１は、スマートフォン３に対して、取引許可又は取引不許可を通知し、スマートフォン３は、取引許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行し、また、取引不許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行しないようにしてもよい。
【００４３】
また、スマートフォン３（プロセッサー３１）は、第２の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可する。第２の取引条件は、スマートフォン３にインストールされた取引決済用アプリケーションによる取引回数が上限値未満とする。スマートフォン３は、スマートフォン３にインストールされた取引決済用アプリケーションによる取引回数をカウントし、第２の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可し、満たさない場合に取引を許可しない。これにより、スマートフォン３にインストールされる取引決済用アプリケーションによる取引のリスクを軽減することができる。
【００４４】
また、ＩＣカードリーダライタ端末２が、ＩＣカード４（ＩＣカード４に記憶される取引決済用アプリケーション）による取引を実行した場合、上位システム１に対して、ＩＣカード４による取引の実行を通知する。上位システム１は、スマートフォン３に対して、スマートフォン３にインストールされた取引決済用アプリケーションの取引履歴の更新要求を送信する。スマートフォン３は、更新要求に基づき、スマートフォン３にインストールされた取引決済用アプリケーションの取引履歴（取引回数）を初期値（例えば０回）に戻す。これにより、第２の取引条件が満たされ、スマートフォン３にインストールされる取引決済用アプリケーションによる取引が可能となる。
【００４５】
なお、スマートフォン３に替えて、上位システム１が、第２の取引条件に基づき、スマートフォン３にインストールされる取引決済用アプリケーションによる取引の可否を判定するようにしてもよい。例えば、スマートフォン３は、上位システム１に対して、スマートフォン３にインストールされる取引決済用アプリケーションによる取引履歴を通知する。上位システム１は、スマートフォン３にインストールされる取引決済用アプリケーションによる取引履歴及び第２の取引条件に基づき、スマートフォン３にインストールされる取引決済用アプリケーションによる取引の可否を判定し、スマートフォン３に対して、取引許可又は取引不許可を通知する。スマートフォン３は、取引許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行し、また、取引不許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行しない。
【００４６】
また、スマートフォン３（プロセッサー３１）は、第３の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可する。第３の取引条件は、スマートフォン３にインストールされた取引決済用アプリケーションによる１回の取引金額が上限額未満とする。スマートフォン３は、スマートフォン３にインストールされる取引決済用アプリケーションによる１回の取引金額から第３の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可し、満たさない場合に取引を許可しない。これにより、スマートフォン３にインストールされる取引決済用アプリケーションによる取引のリスクを軽減することができる。
【００４７】
また、ＩＣカードリーダライタ端末２が、ＩＣカード４（ＩＣカード４に記憶される取引決済用アプリケーション）による取引を実行した場合、上位システム１に対して、ＩＣカード４による取引の実行を通知する。例えば、上位システム１は、ＩＣカード４による取引の実績に基づき、１回の取引上限額の更新要求（新たな１回の取引上限額）を送信するようにしてもよい。例えば、上位システム１は、ＩＣカード４に記憶される取引決済用アプリケーションによる取引回数が基準回数を超える第１の取引実績、及び累積取引額が基準額を超える第２の取引実績のうちの少なくとも一方を満たす場合に、１回の取引上限額の更新要求（新たな１回の取引上限額）を送信する。スマートフォン３は、更新要求に基づき、スマートフォン３にインストールされた取引決済用アプリケーションによる現在の１回の取引上限額（例えば20,000円）を新たな１回の取引上限額（例えば50,000円）へ更新する。これにより、信頼度に応じた利便性の高い金融取引決済の環境を提供することができる。
【００４８】
なお、スマートフォン３に替えて、上位システム１が、第３の取引条件に基づき、スマートフォン３にインストールされる取引決済用アプリケーションによる取引の可否を判定するようにしてもよい。例えば、スマートフォン３は、上位システム１に対して、スマートフォン３にインストールされる取引決済用アプリケーションによる１回の取引金額を通知する。上位システム１は、スマートフォン３に対して、取引許可又は取引不許可を通知し、スマートフォン３は、取引許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行し、また、取引不許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行しないようにしてもよい。
【００４９】
また、スマートフォン３（プロセッサー３１）は、第４の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可する。第４の取引条件は、スマートフォン３にインストールされる取引決済用アプリケーションによる累積取引金額が上限額未満とする。スマートフォン３は、スマートフォン３にインストールされる取引決済用アプリケーションによる累積取引金額から第４の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可し、満たさない場合に取引を許可しない。これにより、スマートフォン３にインストールされる取引決済用アプリケーションによる取引のリスクを軽減することができる。
【００５０】
また、ＩＣカードリーダライタ端末２が、ＩＣカード４（ＩＣカード４に記憶される取引決済用アプリケーション）による取引を実行した場合、上位システム１に対して、ＩＣカード４による取引の実行を通知する。例えば、上位システム１は、ＩＣカード４による取引の実績に基づき、累積取引上限額の更新要求（新たな累積取引上限額）を送信するようにしてもよい。例えば、上位システム１は、ＩＣカード４に記憶される取引決済用アプリケーションによる取引回数が基準回数を超える第１の取引実績、及び累積取引額が基準額を超える第２の取引実績のうちの少なくとも一方を満たす場合に、累積取引上限額の更新要求（新たな１回の取引上限額）を送信する。スマートフォン３は、更新要求に基づき、スマートフォン３にインストールされた取引決済用アプリケーションによる累積取引上限額（例えば100,000円）を新たな１回の取引上限額（例えば500,000円）へ更新する。これにより、信頼度に応じた利便性の高い金融取引決済の環境を提供することができる。
【００５１】
なお、スマートフォン３に替えて、上位システム１が、第４の取引条件に基づき、スマートフォン３にインストールされる取引決済用アプリケーションによる取引の可否を判定するようにしてもよい。例えば、スマートフォン３は、上位システム１に対して、スマートフォン３にインストールされる取引決済用アプリケーションによる１回の取引金額を毎回通知する。上位システム１は、スマートフォン３にインストールされる取引決済用アプリケーションによる累積取引金額を管理し、第４の取引条件に基づき取引の可否を判定し、スマートフォン３に対して、取引許可又は取引不許可を通知し、スマートフォン３は、取引許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行し、また、取引不許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行しないようにしてもよい。
【００５２】
また、スマートフォン３（プロセッサー３１）は、第５の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可する。第５の取引条件は、ＩＣカード４に記憶される取引決済用アプリケーションによる取引の実行からの経過時間が基準時間未満（ＩＣカード４に記憶される取引決済用アプリケーションによる取引間隔を基準時間未満）とする。スマートフォン３は、上位システム１からＩＣカード４に記憶される取引決済用アプリケーションによる取引履歴（取引の実行日時）を受け取り、第５の取引条件を満たす場合に、スマートフォン３にインストールされる取引決済用アプリケーションによる取引を許可し、満たさない場合に取引を許可しない。これにより、スマートフォン３にインストールされる取引決済用アプリケーションによる取引のリスクを軽減することができる。
【００５３】
また、ＩＣカードリーダライタ端末２が、ＩＣカード４（ＩＣカード４に記憶される取引決済用アプリケーション）による取引を実行した場合、上位システム１に対して、ＩＣカード４による取引の実行を通知する。例えば、上位システム１は、ＩＣカード４による取引の実績に基づき、基準時間の更新要求（新たな基準時間）を送信するようにしてもよい。例えば、上位システム１は、ＩＣカード４に記憶される取引決済用アプリケーションによる取引回数が基準回数を超える第１の取引実績、及び累積取引額が基準額を超える第２の取引実績のうちの少なくとも一方を満たす場合に、基準時間の更新要求（新たな基準時間）を送信する。スマートフォン３は、更新要求に基づき、スマートフォン３にインストールされた取引決済用アプリケーションによる現在の基準時間（例えば100日（2400時間））を新たな基準時間（例えば200日（4800時間））へ更新する。これにより、信頼度に応じた利便性の高い金融取引決済の環境を提供することができる。
【００５４】
なお、スマートフォン３に替えて、上位システム１が、第５の取引条件に基づき、スマートフォン３にインストールされる取引決済用アプリケーションによる取引の可否を判定するようにしてもよい。この場合、上位システム１は、スマートフォン３に対して、取引許可又は取引不許可を通知し、スマートフォン３は、取引許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行し、また、取引不許可の判定結果に基づき、スマートフォン３にインストールされる取引決済用アプリケーションの取引を実行しないようにしてもよい。  
なお、上記した第１乃至第５の取引条件を組み合わせて実施するようにしてもよい。
【００５５】
（取引回数を条件とする動作の一例）
以下、上記説明した第２の取引条件に基づく取引の一例について説明する。つまり、取引回数を条件とする動作の一例について説明する。  
まず、実施形態に係る取引決済システムにおいて発行される発行データ等について説明する。スマートフォン３には金融決済用アプリケーションがインストールされる。例えば、金融決済用アプリケーションは、上位システム１及びＩＣカード発行者イシュアが管理するホスト（イシュアホスト）から提供される発行データを管理する。
【００５６】
スマートフォン３にインストールされた金融決済用アプリケーションと上位システム１は、セキュアな通信路を確立することができる。上位システム１は、金融決済用アプリケーション毎に通信時の認証と暗号化に使用する鍵（以下、金融決済用アプリケーション固有鍵と呼ぶ）を特定することができる。
【００５７】
例えば、１枚のＩＣカード４に対応して発行される１つの発行データには以下のような要素が含まれる。
・Primary Account Number（以下、PANと書く）
・スマートフォン３にインストールされた金融決済用アプリケーションでの取引回数の上限値
・スマートフォン３にインストールされた金融決済用アプリケーションでの１回の取引金額の上限値
・スマートフォン３にインストールされた金融決済用アプリケーションでの通算取引金額の上限値
・取引に使用する暗号鍵
・暗号鍵の使用回数の上限値
スマートフォン３にインストールされた金融決済用アプリケーションは１つの発行データに対して１つの内部データを管理する。例えば、スマートフォン３の記憶部３２は、金融決済用アプリケーション及び内部データを記憶する。例えば、内部データには以下のような要素が含まれる。
・スマートフォン３にインストールされた金融決済用アプリケーションでの通算取引回数（発行データに含まれる上限値に対応するカウンタ）
・スマートフォン３にインストールされた金融決済用アプリケーションでの通算取引金額（発行データに含まれる上限値に対応する通算取引金額）
・暗号鍵の使用回数
【００５８】
上位システム１は、上記した発行データ及び内部データを管理する。例えば、上位システム１の記憶部１２は、上記した発行データ及び内部データを記憶する。例えば、発行データ及び内部データには以下のような要素が含まれる。
・Primary Account Number（以下、PANと書く）
・スマートフォン３にインストールされた金融決済用アプリケーションでの取引回数の上限値
・スマートフォン３にインストールされた金融決済用アプリケーションでの１回の取引金額の上限値
・スマートフォン３にインストールされた金融決済用アプリケーションでの通算取引金額の上限値
・スマートフォン３にインストールされた金融決済用アプリケーションでの通算取引回数（発行データに含まれる上限値に対応するカウンタ）
・スマートフォン３にインストールされた金融決済用アプリケーションでの通算取引金額（発行データに含まれる上限値に対応する通算取引金額）
・取引に使用する暗号鍵
・暗号鍵の使用回数の上限値
・暗号鍵の使用回数
【００５９】
ＩＣカード４に搭載されている金融決済用アプリケーションには発行データが書き込まれる。例えば、ＩＣカード４の不揮発性メモリ４４は、金融決済用アプリケーション及び発行データを記憶する。発行データには以下のような要素が含まれる。
・Primary Account Number（以下、PANと書く）
・ＩＣカード４に搭載されている金融決済用アプリケーションでの取引回数の上限値
・ＩＣカード４に搭載されている金融決済用アプリケーションでの１回の取引金額の上限値
・ＩＣカード４に搭載されている金融決済用アプリケーションでの通算取引金額の上限値
・取引に使用する暗号鍵
【００６０】
ＩＣカード４が取引レスポンスで応答するApplication Cryptogram（アプリケーション暗号文）は、取引に使用する暗号鍵を使って生成する。ＩＣカード４はセキュリティが確保されているため、ＩＣカード４が取引レスポンスで応答するApplication Cryptogramは、セキュアな環境で生成される。
【００６１】
次に、実施形態に係る取引決済システムによる取引の一例について説明する。上位システム１は、１枚のＩＣカード４と、１台のスマートフォン３にインストールされる金融決済用アプリケーションとを対応付けて管理する。つまり、上位システム１は、１枚のＩＣカード４に記憶される金融決済用アプリケーションと、１台のスマートフォン３にインストールされる金融決済用アプリケーションとを対応付けて管理する。例えば、上位システム１は、１枚のＩＣカード４に記憶される金融決済用アプリケーションに割り当てられるPrimary Account Numberと、１台のスマートフォン３にインストールされる金融決済用アプリケーションに割り当てられるPrimary Account Numberとを対応付けて管理する。
【００６２】
ＩＣカード４はセキュリティが高く、例えば、ＩＣカード４の所有者等は、ＩＣカード４の発行処理においてＩＣカード４の記憶部３２に記憶される金融決済用アプリケーションを読み出すことはできない。一方のスマートフォン３に記憶される金融決済用アプリケーションは、ユーザ操作によりダウンロードされ、ユーザ操作によりスマートフォン３にインストールされる。
【００６３】
図６は、スマートフォン３にインストールされた金融決済用アプリケーションによる通算取引回数をリセットするときの流れの一例を示す図である。  
例えば、ユーザは、ＩＣカードリーダライタ端末２（リーダライタ２６）へＩＣカード４をかざす(ステップST101)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して金融決済用アプリケーションの取引コマンドを送信する(ステップST102)。ＩＣカード４（プロセッサー４１）は、通信インタフェース４６を介して取引コマンドを受信し、金融決済用アプリケーションで受信したコマンドの処理を行い、通信インタフェース４６を介してレスポンス(ＩＣカード４内での処理結果)を応答する(ステップST103)。
【００６４】
ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して受信した取引レスポンス(ＩＣカード４から受信した結果)を、第１の通信インタフェース２３を介して上位システム１に送信する(ステップST104)。上位システム１（プロセッサー１１）は、通信インタフェース１３を介して取引レスポンス(ＩＣカード４から受信した結果)を受信し、取引レスポンスが正常か否かを確認する(ステップST105)。例えば、この確認は、ＩＣカード４から受信したApplication Cryptogramが正しいことなどを確認する。
【００６５】
上位システム１（プロセッサー１１）は、受信した結果が正しい場合、スマートフォン３にインストールされた金融決済用アプリケーションでの通算取引回数をリセットする(ステップST106)。上位システム１（プロセッサー１１）は、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引正常終了)をＩＣカードリーダライタ端末２へ送信する(ステップST107)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、第１の通信インタフェース２３を介して金融決済用アプリケーションの取引結果(取引正常終了)を受信し、ディスプレイ２４は、取引が正常終了したことを表示する(ステップST108)。
【００６６】
また、上位システム１（プロセッサー１１）は、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引正常終了)と通算取引回数リセットとスマートフォン３の取引可能回数（スマートフォン３のみの取引可能回数）をスマートフォン３にインストールされた金融決済用アプリケーションへ送信する(ステップST109)。スマートフォン３（プロセッサー３１）は、第１の通信インタフェース３３を介して上位システム１から送信される情報を受信し、スマートフォン３にインストールされた金融決済用アプリケーションの通算取引回数をリセットする(ステップST110)。スマートフォン３（ディスプレイ３４）は、スマートフォン３にインストールされた金融決済用アプリケーションによる取引が正常終了したこととスマートフォン３の取引可能回数（スマートフォン３のみの取引可能回数）を表示する(ステップST111)。
【００６７】
図７は、スマートフォン３にインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えていないときの流れの一例を示す図である。  
例えば、ユーザは、まず金融決済を行うために、ＩＣカードリーダライタ端末２（リーダライタ２６）へスマートフォン３をかざす(ステップST201)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して金融決済用アプリケーションの取引コマンドを送信する(ステップST202)。スマートフォン３（プロセッサー３１）は、第２の通信インタフェース３６を介して取引コマンドを受信し、HCE（Host-based Card Emulation）機能を用いてスマートフォン３にインストールされた金融決済用アプリケーションで受信したコマンドの処理を行い、スマートフォン３にインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えていないかを確認する(ステップST203)。
【００６８】
超えていない場合、スマートフォン３（プロセッサー３１）は、第２の通信インタフェース３６を介してレスポンス(ＩＣカード４での取引要求無)を応答する(ステップST204)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介してレスポンスを受信し、第１の通信インタフェース２３を介してレスポンスを上位システム１に送信する(ステップST205)。上位システム１（プロセッサー１１）は、通信インタフェース１３を介して取引レスポンスを受信し、スマートフォン３にインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えていないかを確認する(ステップST206)。上限値を超えていない場合、上位システム１（プロセッサー１１）は、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引正常終了)をＩＣカードリーダライタ端末２へ送信する(ステップST207)。
【００６９】
ＩＣカードリーダライタ端末２（プロセッサー２１）は、第１の通信インタフェース２３を介して取引結果(取引正常終了)を受信し、ディスプレイ２４は、取引が正常終了したことを表示する(ステップST208)。
【００７０】
上位システム１（プロセッサー１１）は、通信インタフェース１３を介してスマートフォン３の取引可能回数（スマートフォンのみの取引可能回数）と金融決済用アプリケーションの取引結果(取引正常終了)をスマートフォン３にインストールされた金融決済用アプリケーションへ送信する(ステップST209)。スマートフォン３（プロセッサー２１）は、第１の通信インタフェース３３を介して取引結果(取引正常終了)を受信し、スマートフォン３にインストールされた金融決済用アプリケーションは取引が正常終了したこととスマートフォン３の取引可能回数（スマートフォンのみの取引可能回数）を表示する(ステップST210)。
【００７１】
図８は、スマートフォン３にインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えているとき且つ、スマートフォン３にインストールされた金融決済用アプリケーションのデータが正常なときの流れの一例を示す図である。  
例えば、ユーザは、まず金融決済を行うために、ＩＣカードリーダライタ端末２（リーダライタ２６）へスマートフォン３をかざす(ステップST201)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して金融決済用アプリケーションの取引コマンドを送信する(ステップST202)。スマートフォン３（プロセッサー３１）は、第２の通信インタフェース３６を介して取引コマンドを受信し、HCE（Host-based Card Emulation）機能を用いてスマートフォン３にインストールされた金融決済用アプリケーションで受信したコマンドの処理を行い、スマートフォン３にインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えていないかを確認する(ステップST203)。
【００７２】
超えている場合、スマートフォン３（プロセッサー３１）は、第２の通信インタフェース３６を介してレスポンス(ＩＣカード４での取引要求)を応答する(ステップST204)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介してレスポンスを受信し、ディスプレイ２４によりＩＣカード４での取引要求を表示する(ステップST205)。また、スマートフォン３（ディスプレイ３４）は、スマートフォン３にインストールされた金融決済用アプリケーションによりＩＣカード４での取引要求を表示する(ステップST206)。
【００７３】
ユーザは、ＩＣカードリーダライタ端末２（リーダライタ２６）へＩＣカード４をかざす(ステップST207)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して金融決済用アプリケーションの取引コマンドを送信する(ステップST208)。ＩＣカード４（プロセッサー４１）は、通信インタフェース４６を介して取引コマンドを受信し、金融決済用アプリケーションで受信したコマンドの処理を行い、レスポンス(ＩＣカード４内での処理結果)を応答する(ステップST209)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して取引レスポンスを受信し、第１の通信インタフェース２３を介して取引レスポンス(スマートフォン３にインストールされた金融決済用アプリ―ションから受信した結果とＩＣカード４から受信した結果)を上位システム１に送信する(ステップST210)。
【００７４】
上位システム１（プロセッサー１１）は、通信インタフェース１３を介して取引レスポンス(スマートフォン３にインストールされた金融決済用アプリ―ションから受信した結果とＩＣカード４から受信した結果)を受信し、取引レスポンスが正常かを確認する(ステップST211)。この確認は、スマートフォン３にインストールされた金融決済用アプリ―ションから受信したPANとＩＣカード４から受信したPANが等しいこと、スマートフォン３にインストールされた金融決済用アプリ―ションから受信したApplication CryptogramとＩＣカード４から受信したApplication Cryptogramが正しいことを確認する。
【００７５】
上位システム１は、受信した結果が正しい場合、スマートフォン３での通算取引回数のリセットを判定し（ステップST212）、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引正常終了)をＩＣカードリーダライタ端末２へ送信する(ステップST213)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、第１の通信インタフェース２３を介して取引結果(取引正常終了)を受信し、ディスプレイ２４により取引が正常終了したことを表示する(ステップST214)。上位システム１は、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引正常終了、通算取引回数リセット要求)をスマートフォン３にインストールされた金融決済用アプリケーションへ送信する(ステップST215)。スマートフォン３（プロセッサー３１）は、第１の通信インタフェース３３を介して取引結果を受信し、ディスプレイ３４によりインストールされた金融決済用アプリケーションは取引が正常終了したことを表示する(ステップST216)。スマートフォン３（プロセッサー３１）は、インストールされた金融決済用アプリケーションの通算取引回数をリセットする(ステップST217)。
【００７６】
図９は、スマートフォン３にインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えているが、スマートフォン３にインストールされた金融決済用アプリケーションのデータが悪意ある攻撃により異常な値に変更されているときの流れの一例を示す図である。  
例えば、ユーザは、まず金融決済を行うために、ＩＣカードリーダライタ端末２（リーダライタ２６）へスマートフォン３をかざす(ステップST301)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して金融決済用アプリケーションの取引コマンドを送信する(ステップST302)。スマートフォン３（プロセッサー３１）は、第２の通信インタフェース３６を介して取引コマンドを受信し、HCE（Host-based Card Emulation）機能を用いてスマートフォン３にインストールされた金融決済用アプリケーションで受信したコマンドの処理を行い、スマートフォン３にインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えていないかを確認する(ステップST303)。
【００７７】
悪意ある攻撃により異常な値に上限値が変更されていると、超えていないと判定し、スマートフォン３（プロセッサー３１）は、第２の通信インタフェース３６を介してレスポンス(ＩＣカード４での取引要求無)を応答する(ステップST304)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して受信した取引レスポンスを、第１の通信インタフェース２３を介して上位システム１に送信する(ステップST305)。上位システム１（プロセッサー１１）は、通信インタフェース１３を介して取引レスポンスを受信し、スマートフォン３にインストールされた金融決済用アプリケーションによる通算取引回数が上限値を超えていないかを確認し、スマートフォン３にインストールされた金融決済用アプリケーションの異常を検知する(ステップST306)。
【００７８】
上位システム１（プロセッサー１１）は、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引異常終了)とアンインストール要求をＩＣカードリーダライタ端末２へ送信する(ステップST307)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、第１の通信インタフェース２３を介して取引結果とアンインストール要求を受信し、ディスプレイ２４によりスマートフォン３にインストールされた金融決済用アプリケーションでの取引が異常終了したこととユーザへのアンインストール要求を表示する(ステップST308)。さらに、ＩＣカードリーダライタ端末２（プロセッサー２１）は、ディスプレイ２４によりＩＣカード４での取引要求を表示する(ステップST311)。
【００７９】
また、上位システム１（プロセッサー１１）は、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引異常終了)とアンインストール要求とをスマートフォン３にインストールされた金融決済用アプリケーションへ送信する(ステップST309)。スマートフォン３（プロセッサー３１）は、第１の通信インタフェース３３を介して取引結果とアンインストール要求を受信し、ディスプレイ３４によりスマートフォン３にインストールされた金融決済用アプリケーションでの取引が異常終了したこととユーザへのアンインストール要求を表示する(ステップST310)。
【００８０】
ユーザは、ＩＣカードリーダライタ端末２（リーダライタ２６）へＩＣカード４をかざす(ステップST312)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して金融決済用アプリケーションの取引コマンドを送信する(ステップST313)。ＩＣカード４（プロセッサー４１）は、通信インタフェース４６を介して取引コマンドを受信し、金融決済用アプリケーションで受信したコマンドの処理を行い、レスポンス(ＩＣカード４内での処理結果)を応答する(ステップST314)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介してレスポンスを受信し、第１の通信インタフェース２３を介して受信した取引レスポンス(ＩＣカード４から受信した結果)を上位システム１に送信する(ステップST315)。
【００８１】
上位システム１（プロセッサー１１）は、通信インタフェース１３を介して取引レスポンス(ＩＣカード４から受信した結果)を受信し、取引レスポンスが正常かを確認する(ステップST316)。
【００８２】
上位システム１は、受信した結果が正しい場合、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引正常終了)をＩＣカードリーダライタ端末２へ送信する(ステップST317)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、第１の通信インタフェース２３を介して取引結果(取引正常終了)を受信し、ディスプレイ２４により取引が正常終了したことを表示する(ステップST318)。
【００８３】
図１０は、スマートフォンにインストールされた金融決済用アプリケーション通算取引上限額を変更するときの流れの一例を示す図である。  
例えば、ユーザは、ＩＣカードリーダライタ端末２（リーダライタ２６）へＩＣカード４をかざす(ステップST601)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、リーダライタ２６を介して金融決済用アプリケーションの取引コマンドを送信する(ステップST602)。ＩＣカード４（プロセッサー４１）は、通信インタフェース４６を介して取引コマンドを受信し、金融決済用アプリケーションで受信したコマンドの処理を行い、通信インタフェース４６を介してレスポンス(ＩＣカード４内での処理結果)を応答する(ステップST603)。
【００８４】
ＩＣカードリーダライタ端末２（プロセッサー２１）は、第１の通信インタフェース２３を介して取引レスポンス(ＩＣカード４から受信した結果)を上位システム１に送信する(ステップST604)。上位システム１（プロセッサー１１）は、通信インタフェース１３を介して取引レスポンス(ＩＣカード４から受信した結果)を受信し、取引レスポンスが正常かを確認する(ステップST605)。この確認は、ＩＣカード４から受信したApplication Cryptogramが正しいことなどを確認する。上位システム１（プロセッサー１１）は、受信した結果が正しい場合、スマートフォン３にインストールされた金融決済用アプリケーションでの取引上限額を更新する(ステップST606)。
【００８５】
上位システム（プロセッサー１１）は、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引正常終了)をＩＣカードリーダライタ端末２へ送信する(ステップST607)。ＩＣカードリーダライタ端末２（プロセッサー２１）は、第１の通信インタフェース２３を介しては取引結果を受信し、ディスプレイ２４により取引が正常終了したことを表示する(ステップST608)。
【００８６】
また、上位システム（プロセッサー１１）は、通信インタフェース１３を介して金融決済用アプリケーションの取引結果(取引正常終了)と取引上限額をスマートフォン３にインストールされた金融決済用アプリケーションへ送信する(ステップST609)。スマートフォン３（プロセッサー３１）は、第１の通信インタフェース３３を介して取引結果と取引上限額を受信し、インストールされた金融決済用アプリケーションの取引上限額を更新する(ステップST610)。また、スマートフォン３（プロセッサー３１）は、ディスプレイ３４により、インストールされた金融決済用アプリケーションの取引が正常終了したこととスマートフォン３のみで取引上限額が更新されたことを表示する(ステップST611)。
【００８７】
本実施形態の取引決済システムによれば、ＩＣカード４に比べて耐タンパ性に劣る実行環境上で動作するスマートフォン３上の金融決済用アプリケーションによる取引が取引条件を満たすと判定される場合に、スマートフォン３上の金融決済用アプリケーションによる取引を可能とする。これにより、スマートフォン３上の金融決済用アプリケーションでの決済において、不正取引のリスク低減を図ることができる。例えば、スマートフォン３上の金融決済用アプリケーションによる連続取引回数等の上限を超えた場合に、ＩＣカード４上の金融決済用アプリケーションによる取引を要求することにより、安全性を確保することができる。
【００８８】
また、本実施形態の取引決済システムにおけるスマートフォン３上の金融決済用アプリケーションによる取引は安全性が高いため、本システムを適用しない場合に比べて、スマートフォン３上の金融決済用アプリケーションでの１回の取引金額又は累積取引金額の上限を高く設定することもできる。さらに、ＩＣカード４上の金融決済用アプリケーションによる取引履歴に応じて、スマートフォン３上の金融決済用アプリケーションによる連続取引回数、１回の取引金額、又は累積取引金額の上限値を変更（増加）し、利便性を高めることもできる。
【００８９】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【００９０】
１…上位システム
２…カードリーダライタ端末
３…スマートフォン
４…カード
４Ａ…本体
４Ｂ…モジュール
４Ｃ…チップ
１１…プロセッサー
１２…記憶部
１３…通信インタフェース
１４…ディスプレイ
１５…操作部
２１…プロセッサー
２２…記憶部
２３…第１の通信インタフェース
２４…ディスプレイ
２５…操作部
２６…リーダライタ
３１…プロセッサー
３２…記憶部
３３…第１の通信インタフェース
３４…ディスプレイ
３５…操作部
３６…第２の通信インタフェース
４１…プロセッサー
４２…ＲＯＭ
４３…ＲＡＭ
４４…不揮発性メモリ
４５…電源部
４６…通信インタフェース  
【図１】
2018169896.tif 000003
【図２】
2018169896.tif 000004
【図３】
2018169896.tif 000005
【図４】
2018169896.tif 000006
【図５】
2018169896.tif 000007
【図６】
2018169896.tif 000008
【図７】
2018169896.tif 000009
【図８】
2018169896.tif 000010
【図９】
2018169896.tif 000011
【図１０】
2018169896.tif 000012