(57)【要約】【課題】  利用不能な状況を生じさせることなしに、不正による被害を確実に回避する。【解決手段】  実施形態の決済端末は、読取ユニットに、読取、第１の記憶、書替、暗号化及び送信の各手段を、処理ユニットに、第２の記憶、復号、第１の取得、要求、第２の取得、第３の記憶、変更、指示及び更新の各手段を備える。第２の取得手段は、通信ネットワークの構成に関するネットワーク情報を取得する。第３の記憶手段は、ネットワーク情報を記憶する。変更手段は、新たに取得されたネットワーク情報が、既に記憶されているネットワーク情報とは異なる場合に、複数の第２のプログラムのうちの有効とする第２のプログラムを変更する。指示手段は、新たに有効とされた第２のプログラムと組をなす第１のプログラムへの書き換えを指示する。更新手段は、書替の指示を行ったのちに、記憶されているネットワーク情報を新たに取得されたネットワーク情報に更新する。【選択図】      図４
2018050228.tif 000002
【特許請求の範囲】
【請求項１】
読取ユニットと処理ユニットとを含み、決済システムを利用した決済のための処理を行う決済端末であって、
前記読取ユニットは、
記憶媒体に記憶された記録情報を読み取る読取手段と、
第１のプログラムを１つ記憶する第１の記憶手段と、
前記処理ユニットからの書替指示に応じて前記第１の記憶手段に記憶された第１のプログラムを書き替える書替手段と、
前記第１の記憶手段に記憶された前記第１のプログラムに基づき、前記読取手段により読み取られた前記記録情報のうちの少なくとも一部を前記第１のプログラムに予め対応付けられた暗号鍵を用いて暗号化する暗号化手段と、
前記暗号化手段により暗号化済みの記録情報を前記処理ユニットへと送信する送信手段と、
を具備し、
前記処理ユニットは、
互いに同一の暗号鍵が対応付けられた第１のプログラム及び第２のプログラムの組を複数記憶する第２の記憶手段と、
前記送信手段により送信された前記暗号化済みの記録情報を受信する受信手段と、
前記第２の記憶手段に記憶された第２のプログラムのうちの有効とされた１つに基づき、前記受信手段により受信された前記暗号化済みの記録情報を、前記有効とされた第２のプログラムに対応付けられた暗号鍵を用いて復号する復号手段と、
決済対象となる取引の内容を表した取引データを取得する第１の取得手段と、
前記第１の取得手段により取得された取引データが表す取引を、前記復号手段により復号された前記記録情報を用いて決済するように通信ネットワークを介して決済システムに要求する要求手段と、
前記通信ネットワークの構成に関する予め定められたネットワーク情報を取得する第２の取得手段と、
前記第２の取得手段により取得された前記ネットワーク情報を記憶するための第３の記憶手段と、
前記第２の取得手段により新たに取得された前記ネットワーク情報が、前記第３の記憶手段により既に記憶されている前記ネットワーク情報とは異なる場合に、前記第２の記憶手段に記憶された複数の第２のプログラムのうちの有効とする第２のプログラムを変更する変更手段と、
前記変更手段により新たに有効とされた第２のプログラムと組として前記第２の記憶手段に記憶された第１のプログラムへの書き換えを指示する書替指示を前記読取ユニットに対して行う指示手段と、
前記指示手段により前記書替指示を行ったのちに、前記第３の記憶手段が記憶する前記ネットワーク情報を前記第２の取得手段により新たに取得された前記ネットワーク情報に更新する更新手段と、
を具備した、
決済端末。
【請求項２】
前記第２の取得手段は、前記通信ネットワークにて前記決済端末を識別するための識別情報を前記ネットワーク情報として取得する、
請求項１に記載の決済端末。
【請求項３】
前記変更手段は、前記第２の記憶手段に記憶された複数の第２のプログラムのそれぞれについて過去に有効としたか否かを管理し、過去に有効としたことのない第２のプログラムを有効とする、
請求項１又は請求項２に記載の決済端末。
【請求項４】
前記第１の取得手段は、前記取引の内容を登録する登録装置から前記取引データを取得し、
前記処理ユニットはさらに、
前記前記第２の取得手段により新たに取得された前記ネットワーク情報が、前記第３の記憶手段により既に記憶されている前記ネットワーク情報とは異なる場合に、前記登録装置に対してプログラム変更の要否を問い合わせる問い合わせ手段と、
前記問い合わせ手段による問い合わせに対して前記登録装置から変更の指示がなされたことに応じて、前記変更手段、前記指示手段及び前記更新手段を動作させる第１の制御手段と、
を具備する、
請求項１−請求項３のいずれか一項に記載の決済端末。
【請求項５】
前記処理ユニットはさらに、
権限者を認証するための認証情報を取得する第３の取得手段と、
前記第３の取得手段により前記認証情報が取得された場合は、前記変更手段及び前記指示手段を動作させない第２の制御手段と、
を具備する請求項１−請求項４のいずれか一項に記載の決済端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、決済端末に関する。
【背景技術】
【０００２】
クレジットカードによる決済を行うカード決済端末に代表される種々の決済端末においては、クレジットカードから読み取ったクレジット情報などのような決済のために用いる記録情報を外部に出力するように改変される不正が懸念されている。
このため、例えば筐体がこじ開けられるなどのような改変の兆候となる様々な事象を監視し、そのような事象が発生した場合には、例えば正常な動作のために必要なプログラム又はデータを削除することにより、それ以降において正常に動作することを禁止していた。
【０００３】
しかしながら、例えばスイッチなどを用いた周知のタンパ検出技術は、その構成が知られてしまうと比較的容易に検出を回避されてしまう恐れがある。
また、プログラム又はデータを削除するなどの処置をとった場合は、その削除されたプログラム又はデータを復元しなければ、正常な動作を復帰させることができない。
このような事情から、利用不能な状況を生じさせることなしに、不正による被害を確実に回避できることが望まれていた。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−２４３２７５号公報
【特許文献２】特開２００５−２６７０３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明が解決しようとする課題は、利用不能な状況を生じさせることなしに、不正による被害を確実に回避できる決済端末を提供することである。
【課題を解決するための手段】
【０００６】
実施形態の決済端末は、読取ユニットと処理ユニットとを含み、決済システムを利用した決済のための処理を行う決済端末であって、読取ユニットは、読取手段、第１の記憶手段、書替手段、暗号化手段及び送信手段を備え、処理ユニットは、第２の記憶手段、復号手段、第１の取得手段、要求手段、第２の取得手段、第３の記憶手段、変更手段、指示手段及び更新手段を備える。読取手段は、記憶媒体に記憶された記録情報を読み取る第１の記憶手段は、第１のプログラムを１つ記憶する。書替手段は、処理ユニットからの書替指示に応じて第１の記憶手段に記憶された第１のプログラムを書き替える。暗号化手段は、第１の記憶手段に記憶された第１のプログラムに基づき、読取手段により読み取られた記録情報のうちの少なくとも一部を第１のプログラムに予め対応付けられた暗号鍵を用いて暗号化する。送信手段は、暗号化手段により暗号化済みの記録情報を処理ユニットへと送信する送信手段する。第２の記憶手段は、互いに同一の暗号鍵が対応付けられた第１のプログラム及び第２のプログラムの組を複数記憶する。受信手段は、送信手段により送信された暗号化済みの記録情報を受信する。復号手段は、第２の記憶手段に記憶された第２のプログラムのうちの有効とされた１つに基づき、受信手段により受信された暗号化済みの記録情報を、有効とされた第２のプログラムに対応付けられた暗号鍵を用いて復号する。第１の取得手段は、決済対象となる取引の内容を表した取引データを取得する。要求手段は、第１の取得手段により取得された取引データが表す取引を、復号手段により復号された記録情報を用いて決済するように通信ネットワークを介して決済システムに要求する。第２の取得手段は、通信ネットワークの構成に関する予め定められたネットワーク情報を取得する。第３の記憶手段は、第２の取得手段により取得されたネットワーク情報を記憶する。変更手段は、第２の取得手段により新たに取得されたネットワーク情報が、第３の記憶手段により既に記憶されているネットワーク情報とは異なる場合に、第２の記憶手段に記憶された複数の第２のプログラムのうちの有効とする第２のプログラムを変更する。指示手段は、変更手段により新たに有効とされた第２のプログラムと組として第２の記憶手段に記憶された第１のプログラムへの書き換えを指示する書替指示を読取ユニットに対して行う。更新手段は、指示手段により書替指示を行ったのちに、第３の記憶手段が記憶するネットワーク情報を第２の取得手段により新たに取得されたネットワーク情報に更新する。
【図面の簡単な説明】
【０００７】
【図１】第１の実施形態に係る決済端末の要部回路構成を示すブロック図。
【図２】図１に示される記憶領域におけるファイルの記憶状況を示す図。
【図３】図１に示される構成検知部における処理の手順を示すフローチャート。
【図４】図１に示される決済処理部における処理の手順を示すフローチャート。
【図５】第２の実施形態に係る決済端末の要部回路構成を示すブロック図。
【図６】図５に示される無線部における処理の手順を示すフローチャート。
【図７】図５に示される構成検知部における処理の手順を示すフローチャート。
【発明を実施するための形態】
【０００８】
以下、実施の形態について図面を用いて説明する。なお、本実施の形態では、クレジットカードによる決済を処理する決済端末を例に説明する。
【０００９】
（第１の実施形態）
図１は第１の実施形態に係る決済端末１００の要部回路構成を示すブロック図である。
決済端末１００は、読取ユニット１０、決済処理ユニット２０及び記憶ユニット３０を含む。なお図示は省略しているが、決済端末１００は、他に、印刷ユニット及びユーザインタフェースユニットなどの、他の同種の決済端末が備えるユニットを備える。
【００１０】
読取ユニット１０は、読取部１１及び読取制御部１２を含む。
読取部１１は、クレジットカードに記録されたカードデータを読み取る。読取部１１としては、例えば磁気カードリーダなどを含んで構成された周知のデバイスを利用できる。この読取部１１は、読取手段の一例である。読取制御部１２は、読取部１１により読み取られたカードデータを暗号化した上で決済処理ユニット２０へと送る。従って読取制御部１２は、暗号化手段及び送信手段としての機能を備える。読取制御部１２は、例えばマイクロコンピュータユニットを用いて構成され、プロセッサ及びメモリを含む。メモリには、読取プログラムＰ１が保存される。そして、プロセッサが読取プログラムＰ１に基づく処理を実行することにより読取制御部１２としての動作が実現される。読取プログラムは、第１のプログラムに相当する。従って読取制御部１２は、第１の記憶手段としての機能を備える。
【００１１】
決済処理ユニット２０は、決済制御部２１、構成検知部２２及び切替部２３を含む。
決済制御部２１は、例えばマイクロコンピュータユニットを用いて構成され、プロセッサ及びメモリを含む。メモリには、決済プログラムＰ２が保存される。この決済プログラムＰ２は、第２のプログラムに相当する。そして、プロセッサが決済プログラムＰ２に基づく処理を実行することにより決済制御部２１としての動作が実現される。決済制御部２１には、構成検知部２２、読取ユニット１０、記憶ユニット３０及びＰＯＳ（point-of-sale）端末２００がそれぞれ接続されている。決済制御部２１は、ＰＯＳ端末２００から決済の対象となる取引に関する決済金額などを表した取引データを取得する。かくして決済制御部２１は、第１の取得手段としての機能を備える。決済制御部２１は、読取ユニット１０が送った暗号化されたカードデータを受信し、復号する。かくして決済制御部２１は、受信手段及び復号手段としての機能を備える。決済制御部２１は、取引データ及びカードデータを含んだ決済データを、決済サーバ６００により提供される決済サービスで定められた方式で暗号化する。決済制御部２１は、暗号化済みの決済データを、切替部２３を介して接続されるＬＡＮ（local area network）３００へと決済サーバ６００に宛てて送信する。これにより、決済サーバ６００を含んだ決済システムへの決済の要求がなされるのであり、決済制御部２１は要求手段としての機能を備える。決済制御部２１は、決済データに基づく決済の結果を表し、決済サーバ６００から送信された応答データに基づいて、決済結果を表した伝票を印刷するように印刷ユニットを制御する。また決済制御部２１は、読取制御部１２が有する読取プログラムＰ１及び決済制御部２１が有する決済プログラムＰ２を更新するための後述する処理を行う。
【００１２】
構成検知部２２は、例えばマイクロコンピュータユニットを用いて構成され、プロセッサ及びメモリを含む。メモリには、構成検知プログラムＰ３が保存される。そして、プロセッサが構成検知プログラムＰ３に基づく処理を実行することにより構成検知部２２としての動作が実現される。構成検知部２２は、決済端末１００に割り当てられたＩＰアドレスをＬＡＮ３００から取得し、このＩＰアドレスに基づいて決済端末１００のＬＡＮ３００への接続状況の変化を検知するための後述する処理を行う。またメモリは、初期値Ｖ１及び起動値Ｖ２を記憶する。さらに構成検知部２２は、常に計時動作を行い、現在の日時を得る時計機能Ｔ１を備える。
切替部２３は、構成検知部２２から与えられる切替信号に応じて決済制御部２１及び構成検知部２２を選択的にＬＡＮ３００に接続する。
なお、図示は省略するが、決済処理ユニット２０は、読取ユニット１０、記憶ユニット３０のそれぞれと決済制御部２１との間でデータを授受するための各種のインタフェース部を含む。また決済処理ユニット２０は、決済制御部２１及び構成検知部２２がＬＡＮ３００を介してデータを授受するためのインタフェース部を含む。
【００１３】
記憶ユニット３０は、記憶部３１、アクセス制御部３２、暗号鍵出力部３３、暗号化処理部３４及びインタフェース部３５を含む。
記憶部３１は、プログラムファイル及びデータファイルなどを記憶するデバイスであり、例えばＥＥＰＲＯＭ（electric erasable programmable read-only memory）、ＨＤＤ（hard disc drive）、ＳＳＤ（solid state drive）などが適用できる。記憶部３１は、論理的に１つ又は複数の記憶領域を設定することができる。図１では、ｎ個の記憶領域３１−１〜３１−ｎが設定された状態を一例として示している。記憶領域３１−１〜３１−ｎは、いずれも暗号化されたファイルを記憶するための領域である。図示は省略しているが、記憶部３１には、記憶領域３１−１〜３１−ｎ以外の領域も設定される。そのような領域の１つは、プリブート認証処理のためのプログラムファイルを記憶するプリブート認証領域である。またそのような領域の１つには、決済制御部２１によるプログラム更新処理のためのプログラムファイルを記憶する領域である。
【００１４】
アクセス制御部３２は、記憶領域３１−１〜３１−ｎのそれぞれについて、ロック状態及びアンロック状態のいずれとするかを管理する。アクセス制御部３２は、記憶領域３１−１〜３１−ｎのそれぞれのアドレスのいずれかと、そのアドレスの記憶領域に対して定められたアクセスキーがインタフェース部３５から与えられた場合に、該当する記憶領域のロック状態及びアンロック状態を反転させる。アクセス制御部３２は、ある記憶領域をアンロック状態とする場合は、当該記憶領域に対して予め定められた暗号鍵を暗号鍵出力部３３から取得し、この暗号鍵を暗号化処理部３４にセットする。アクセス制御部３２は、ある記憶領域をロック状態とする場合は、上記のように暗号化処理部３４にセットしてある暗号鍵を破棄する。
【００１５】
暗号鍵出力部３３は、アクセス制御部３２から指定された記憶領域に応じた暗号鍵をアクセス制御部３２に与える。暗号鍵出力部３３は、記憶領域のそれぞれに対して予め生成された暗号鍵をそれぞれ記憶しておいてもよいし、アクセス制御部３２から与えられた情報を元に、例えばハッシュ関数などの特定の計算式により計算してもよい。
【００１６】
暗号化処理部３４は、対応する暗号鍵がセットされている記憶領域を指定してのファイルの書き込みが要求された場合には、当該ファイルを上記のセットされている暗号鍵を用いて暗号化する。そして暗号化処理部３４は、暗号化済みのファイルを指定された記憶領域に書き込む。暗号化処理部３４は、対応する暗号鍵がセットされている記憶領域を指定してのファイルの読み出しが要求された場合には、当該ファイルを上記のセットされている暗号鍵を用いて復号する。そして暗号化処理部３４は、復号済みのファイルをインタフェース部３５へと出力する。暗号化処理部３４は、指定された記憶領域に対応する暗号鍵がセットされていなければ、書き込み及び読み出しの要求を拒否する。
【００１７】
インタフェース部３５は、決済処理ユニット２０の決済制御部２１から送られたアドレス及びアクセスキーをアクセス制御部３２に与える。インタフェース部３５は、決済制御部２１からのファイルの読み出し又は書き込みの要求を暗号化処理部３４に与える。インタフェース部３５は、暗号化処理部３４から与えられる復号済みのファイルを決済制御部２１へと与える。インタフェース部３５としては、例えばＳＡＴＡ（serial advanced technology attachment）などの汎用のインタフェース規格に準拠したデバイスを用いることができる。
【００１８】
図２は記憶領域３１−１〜３１−ｎにおけるファイルの記憶状況を示す図である。
記憶領域３１−１〜３１−ｎには、読取プログラムＰ１−１〜Ｐ１−ｎのプログラムファイル、決済プログラムＰ２−１〜Ｐ２−ｎのプログラムファイル、ならびにデータファイルＤ−１〜Ｄ−ｎの組を１つずつ記憶する。記憶領域３１−１〜３１−ｎの１つに記憶された読取プログラムと決済プログラムとは、互いに同一の暗号鍵が割り当てられていて、その暗号鍵で暗号化されたカードデータを授受するために互いに整合するように作成されている。かくして記憶部３１は、第２の記憶手段に相当する。記憶領域３１−１〜３１−ｎの１つに記憶されたデータファイルは、同じ記憶領域に記憶された読取プログラム又は決済プログラムに基づく処理において利用されるデータを含む。
【００１９】
ＬＡＮ３００は、有線ＬＡＮ及び無線ＬＡＮのいずれかとして、あるいは有線ＬＡＮ及び無線ＬＡＮの組み合わせとして構成されてよい。なおＬＡＮ３００は、光通信ネットワーク又はBluetooth（登録商標）などの別の種類の通信ネットワークに置き換えられるか、あるいは組み合わせられてもよい。つまりＬＡＮ３００は、伝送されるデータに送信元の機器の識別子が含まれるものであれば、任意の通信ネットワークに置き換えることができる。つまりＬＡＮは、通信ネットワークの一例である。
【００２０】
なお、複数のＰＯＳ端末２００は、１つのＰＯＳシステムに属し、主として同じＰＯＳシステムに属するＰＯＳサーバ４００と通信するためにＬＡＮ３００に接続されている。図示の決済端末１００が接続されていないＰＯＳ端末２００は、カード決済を許容する場合には、図示されているのとは別の決済端末１００が、ＬＡＮ３００を介さずに接続される。つまり、図１では決済端末１００を１つのみ示しているが、それぞれ他のＰＯＳ端末２００に接続された状態で複数の決済端末１００を含んでＰＯＳシステムが構成されてもよい。
【００２１】
次に以上のように構成された決済端末１００の動作について説明する。なお、以下に説明する処理の内容は一例であって、同様な結果を得ることが可能な様々な処理を適宜に利用できる。
【００２２】
決済端末１００が起動されると、決済制御部２１は、プログラム更新処理のためのプログラムを記憶部３１から読み出し、このプログラムに基づく処理を開始する。
図３は決済制御部２１によるプログラム更新処理のフローチャートである。
Ａｃｔ１において決済制御部２１は、構成検知部２２へと動作開始信号を出力することにより構成検知部２２を起動する。
【００２３】
構成検知部２２は、上記の動作開始信号が到来すると、構成検知プログラムＰ３に基づく処理を開始する。
図４は構成検知部２２による構成検知プログラムＰ３に基づく処理の手順を示すフローチャートである。
【００２４】
Ａｃｔ１１において構成検知部２２は、ＬＡＮ３００に対してＩＰアドレスを問い合わせる。なお、構成検知部２２は、このときには切替信号をLowレベルとしている。切替部２３は、切替信号がLowレベルであるならば、構成検知部２２を選択する。従って構成検知部２２は、切替部２３によりＬＡＮ３００に接続された状態にある。
【００２５】
Ａｃｔ１２において構成検知部２２は、ＬＡＮ３００からＩＰアドレスが通知されたか否かを確認する。そして構成検知部２２は、ＩＰアドレスが通知されていなければＮｏと判定し、Ａｃｔ１３へと進む。
Ａｃｔ１３において構成検知部２２は、ＩＰアドレス通知の待機時間がタイムアウトしたか否かを確認する。そして構成検知部２２は、タイムアウトしていないためにＮｏと判定したならば、Ａｃｔ１２へと戻る。なお、待機時間は、例えば構成検知プログラムＰ３の作成者又は決済端末１００の管理者などにより任意に定められてよい。
かくして構成検知部２２はＡｃｔ１２及びＡｃｔ１３において、待機時間がタイムアウトするまでの間、ＩＰアドレスが通知されるのを待ち受ける。そして構成検知部２２は、ＩＰアドレスが通知されたならば、Ａｃｔ１２にてＹｅｓと判定し、Ａｃｔ１４へと進む。
【００２６】
Ａｃｔ１４において構成検知部２２は、通知されたＩＰアドレスと、その時点で時計機能Ｔ１により得られている日時とを取得する。なお、通知されたＩＰアドレスは、このＩＰアドレスで識別される端末がＬＡＮ３００に接続されていることを示すから、通信ネットワークとしてのＬＡＮ３００の構成に関するネットワーク情報の１つである。従って構成検知部２２は、ネットワーク情報を取得する第２の取得手段としての機能を備える。
【００２７】
Ａｃｔ１５において構成検知部２２は、ＩＰアドレスの初期設定が済んでいるか否かを確認する。初期設定が済んでいるか否かは、例えば決済制御部２１によりフラグにより管理されており、動作開始信号により通知される。構成検知部２２は、この通知に基づいて、初期設定済みではないならば、Ｎｏと判定してＡｃｔ１６へと進む。
【００２８】
Ａｃｔ１６において構成検知部２２は、Ａｃｔ１４で取得したＩＰアドレスを初期値Ｖ１として、Ａｃｔ１４で取得した日時と関連付けて構成検知部２２のメモリに記憶する。かくして構成検知部２２は、ＩＰアドレスを記憶するための第３の記憶手段としての機能を備える。
Ａｃｔ１７において構成検知部２２は、上記のように記憶した初期値Ｖ１を決済制御部２１へと通知する。そして構成検知部２２は、図４に示す処理を終了する。
【００２９】
一方、構成検知部２２は、以上の様にして初期値Ｖ１が設定されたのちに決済端末１００が改めて起動されたことに応じてＡｃｔ４に示す処理を開始した場合には、初期設定済みであることが動作開始信号により通知される。構成検知部２２は、この通知に基づいてＡｃｔ１５にてＹｅｓと判定し、Ａｃｔ１８へと進む。
Ａｃｔ１８において構成検知部２２は、Ａｃｔ１４で取得したＩＰアドレスにより起動値Ｖ２を更新するとともに、当該起動値Ｖ２に関連づけてＡｃｔ１４で取得した日時を構成検知部２２のメモリに記憶する。そして構成検知部２２は、この後にＡｃｔ２１へと進む。
【００３０】
これに対して構成検知部２２は、ＩＰアドレスが通知されることなく待機時間がタイムアウトしたならば、Ａｃｔ１３にてＹｅｓと判定し、Ａｃｔ１９へと進む。
Ａｃｔ１９において構成検知部２２は、その時点で時計機能Ｔ１により得られている日時を取得する。
Ａｃｔ２０において構成検知部２２は、起動値Ｖ２をクリアするとともに、起動値Ｖ２に関連付けられた日時を上記の取得した日時に更新する。構成検知部２２は、この後にＡｃｔ２１へと進む。
【００３１】
Ａｃｔ２１において構成検知部２２は、初期値Ｖ１と起動値Ｖ２とが一致するか否かを確認する。そして構成検知部２２は、両値が一致するならばＹｅｓと判定し、Ａｃｔ２２へと進む。
Ａｃｔ２２において構成検知部２２は、起動値Ｖ２を決済制御部２１へと通知する。そして構成検知部２２は、これをもって図４の処理を終了する。
しかしながら構成検知部２２は、初期値Ｖ１と起動値Ｖ２とが一致しないならばＡｃｔ２１にてＮｏと判定し、Ａｃｔ２３へと進む。
Ａｃｔ２３において構成検知部２２は、構成エラー信号を決済制御部２１に対して送る。
Ａｃｔ２４において構成検知部２２は、起動値Ｖ２を決済制御部２１へと通知する。そして構成検知部２２は、これをもって図４の処理を終了する。
【００３２】
構成検知部２２は、図４の処理を終了する際には、切替信号をHighレベルに変更する。切替部２３は、切替信号がHighレベルであるならば、決済制御部２１を選択する。従って構成検知部２２がＬＡＮ３００に接続された状態から、決済制御部２１がＬＡＮ３００に接続された状態に変更される。
【００３３】
決済制御部２１は、図３のＡｃｔ１にて構成検知部２２を起動したのちにはＡｃｔ２へと進む。
Ａｃｔ２において決済制御部２１は、構成エラー信号が送られてきたか否かを確認する。そして決済制御部２１は、構成エラー信号が前述のように送られたのならばＹｅｓと判定し、Ａｃｔ３へと進む。
【００３４】
Ａｃｔ３において決済制御部２１は、決済制御部２１に接続されたＰＯＳ端末２００へとエラー通知を行う。この通知を受けるとＰＯＳ端末２００は、決済端末１００への何らかの不正行為が行われた恐れがあるためにプログラムの更新を行う旨をオペレータに対して知らせるための報知動作を行う。またＰＯＳ端末２００は、オペレータによる確認操作を受け付ける。確認操作としては、プログラムの更新を受領する旨の操作のみを受け付けてもよいし、他にプログラムの更新を拒否する旨の操作を受け付けてもよい。そしてＰＯＳ端末２００は、確認操作がなされたならば、その内容を決済制御部２１へと通知する。ＰＯＳ端末２００は登録装置の一例である。かくして決済制御部２１は、プログラム変更の要否を問い合わせる問い合わせ手段としての機能を備える。
【００３５】
Ａｃｔ４において決済制御部２１は、上記の受領する旨の操作がなされたか否かを確認する。そして決済制御部２１は、上記の拒否する旨の操作がなされた場合、あるいは確認操作についての通知がないままに予め定められた待機時間がタイムアウトした場合には、Ｎｏと判定し、Ａｃｔ５〜Ａｃｔ８を実行することなしにＡｃｔ１に戻る。これに対して決済制御部２１は、オペレータが予め案内された操作手順に従って上記の受領する旨の操作を行った場合は、Ａｃｔ４にてＹｅｓと判定し、Ａｃｔ５へと進む。
【００３６】
Ａｃｔ５において決済制御部２１は、記憶領域３１−１〜３１−ｎのうちの未使用の記憶領域の１つを活性化する。ここで未使用とは、その記憶領域に記憶された読取プログラムが読取プログラムＰ１として読取制御部１２に書き込まれたことがないことである。決済制御部２１は具体的には、ここで活性化した記憶領域を管理しておき、過去に活性化していない記憶領域のうちの１つを選択する。そして決済制御部２１は、選択した記憶領域のアドレスと、当該記憶領域に対応付けられたアクセスキーとをインタフェース部３５へと与える。そうすると記憶ユニット３０では、各部の前述した機能により、選択された記憶領域がアンロック状態とされ、活性化される。
【００３７】
Ａｃｔ６において決済制御部２１は、活性化した記憶領域に記憶された読取プログラムを読取制御部１２に送信する。このとき、決済制御部２１が読取プログラムを暗号化し、この暗号化済みの読取プログラムを送信することが好ましい。読取制御部１２は、このように決済制御部２１から読取プログラムが送られてくると、当該読取プログラムを読取プログラムＰ１として読取制御部１２のメモリに書き込む。つまり読取制御部１２は、読取プログラムＰ１を更新する。かくして読取制御部１２は、第１のプログラムとしての読取プログラムＰ１を書き替える書替手段としての機能を備える。また決済制御部２１は、読取プログラムを送信することにより、読取プログラムＰ１の書き替えを指示しているのであり、指示手段としての機能を備える。
【００３８】
Ａｃｔ７において決済制御部２１は、活性化した記憶領域に記憶された決済プログラムを決済プログラムＰ２として決済制御部２１のメモリに書き込む。つまり決済制御部２１は、決済プログラムＰ２を更新する。これにより、記憶領域３１−１〜３１−ｎにそれぞれ記憶された決済プログラムＰ２−１〜Ｐ２−ｎのうちいずれを有効とするかが変更されることになるのであり、決済制御部２１は変更手段としての機能を備える。
【００３９】
Ａｃｔ８において決済制御部２１は、ネット構成の監視状況を初期化する。具体的には決済制御部２１は、プログラム更新の履歴をＰＯＳ端末２００で管理可能とするためにＰＯＳ端末２００へと異常日時を通知する。そして決済制御部２１は、その後のＰＯＳ端末からの設定により、初期設定が済んでいるか否かを管理するためのフラグを初期設定が済んでいないことを表す状態とする。なお、このときに決済制御部２１は、構成検知部２２に指示して、初期値Ｖ１及び起動値Ｖ２をクリアしておいてもよい。
【００４０】
こののちに決済制御部２１は、Ａｃｔ１へと戻る。かくして、決済制御部２１は、初期設定を構成検知部２２に行わせることとなり、プログラム更新した際に決済端末１００に割り当てられていたＩＰアドレスが初期値Ｖ１として構成検知部２２のメモリに記憶されることになる。つまり決済制御部２１及び構成検知部２２の協働により、更新手段としての機能が実現される。
このように決済制御部２１は、更新の通知に対する受領する旨の操作による指示が成されたことに応じて、変更手段、指示手段及び更新手段としての機能を実現する処理を実行しているのであり、第１の制御手段としての機能を備える。
【００４１】
さて決済制御部２１は、構成エラー信号が受信されない状態で初期値又は起動値が通知されたならば、すなわち図４中のＡｃｔ１７又はＡｃｔ２２での初期値又は起動値の通知がなされたならば、図３中のＡｃｔ２にてＮｏと判定し、Ａｃｔ９へと進む。
Ａｃｔ９において決済制御部２１は、通知された初期値又は起動値が表すＩＰアドレスを、ＬＡＮ３００を介した通信のためのＬＡＮ処理のための情報としてセットする。また決済制御部２１は、ＬＡＮ処理のために必要な、ネットワーク環境及びネットワーク構成に関する情報をＬＡＮ処理のためにセットする。当該情報は、例えばＬＡＮ３００との間に設けられた図示しないＬＡＮインタフェース部のＭＡＣアドレスなどである。
【００４２】
Ａｃｔ１０において決済制御部２１は、決済プログラムＰ２に基づく決済処理を、例えば別スレッドの処理として開始する。そして決済制御部２１は、図３に示す処理は終了する。
【００４３】
さて、この決済端末１００に対する不正行為として、決済端末１００が本来設置されている店舗から、その営業時間外などに不正者によって不正に持ち出され、プログラムファイルが解析又は改変された上で上記の店舗に戻される、といった行為に着目する。
【００４４】
決済端末１００は、本来設置されている店舗から不正者によって持ち出される場合には、ＬＡＮ３００から切断される。そして決済端末１００が上記店舗に戻され、ＬＡＮ３００に再接続された上で、決済端末１００が起動された場合には、ＬＡＮ３００からの切断前とは異なる新たなＩＰアドレスが決済端末１００に対して割り当てられる。
【００４５】
このため、ＬＡＮ３００からの切断前に割り当てられていたＩＰアドレスを表す初期値Ｖ１と、ＬＡＮ３００に再接続されたのちに割り当てられたＩＰアドレスを表す起動値Ｖ２とは、それぞれ別々の値となる。そしてこの結果、構成検知部２２は、図４のＡｃｔ２１で一致しないと判定することになり、読取制御部１２の読取プログラムＰ１及び決済制御部２１の決済プログラムＰ２は、これまでに使用されていない新たなものに更新される。従って、このようなプログラム更新が行われる前に行われた読取プログラムＰ１及び決済プログラムＰ２の解析及び改変を意味のないものとすることができ、そのような不正が行われたとしても、それによる被害を回避できる。しかも決済端末１００によれば、起動時に即座に読取プログラムＰ１及び決済プログラムＰ２を更新するので、決済端末１００を利用できない期間はほとんど生じない。
【００４６】
また、ＬＡＮ３００から切断された決済端末１００が、不正者により他のＬＡＮに接続された場合には、ＬＡＮ３００からの切断前とは異なる新たなＩＰアドレスが決済端末１００に対して割り当てられる。この場合、決済端末１００からは、ＰＯＳ端末２００も切断されるので、別のＰＯＳ端末が接続されない限りは、プログラムの更新を受領する旨の操作がなされた旨がＰＯＳ端末から決済端末１００へと通知されることがない。従ってこの場合には、プログラムの更新は行われない。しかしながら、さらにＬＡＮ３００に再接続された際には、上記と同様にして読取プログラムＰ１及び決済プログラムＰ２が更新されるので、上記と同様な効果が達成される。
【００４７】
なお、不正者により決済端末１００にＰＯＳ端末が接続され、かつプログラムの更新を受領する旨の操作も行われたならば、前述したような１度の不正行為に対して読取プログラムＰ１及び決済プログラムＰ２が２度更新されることになる。これにより、記憶領域３１−１〜３１−ｎに記憶されたｎ個ずつの読取プログラムＰ１及び決済プログラムＰ２のうちの１つずつが、実際の決済処理には全く使われること無しに使用済みとなってしまう。これに対して上記のように、プログラムの更新を受領する旨の操作がなされない場合にはプログラムを更新しないことにより、記憶領域３１−１〜３１−ｎに記憶された読取プログラム及び決済プログラムを有効利用できる。
【００４８】
（第２の実施形態）
図５は第２の実施形態に係る決済端末１０１の要部回路構成を示すブロック図である。なお、決済端末１０１において決済端末１００と構成が異なるのは、決済処理ユニット２０に代えて決済処理ユニット５０を備える点のみである。そこで図５においては、決済処理ユニット５０の構成のみを示している。図５において図１に示されるのと同一の要素については同一の符号を付し、その詳細な説明は省略する。
【００４９】
決済処理ユニット５０は、決済制御部２１、状態検知部５１及び構成検知部５２を含む。つまり決済処理ユニット５０は、決済処理ユニット２０における構成検知部２２に代えて構成検知部５２を備えるとともに、加えて状態検知部５１を備えて構成されている。
状態検知部５１は、無線部５１ａ、メモリ制御部５１ｂ、共有メモリ５１ｃ及びメモリ制御部５１ｄを含む。
【００５０】
無線部５１ａは、保守端末７００と無線通信する。無線部５１ａは、保守端末７００との通信により受信したＲＦデータに基づいて保守端末７００の認証を行う。無線部５１ａは、保守端末７００を認証できた場合に、共有メモリ５１ｃに記憶されたモードデータを書き換えるようにメモリ制御部５１ｂに指示する。メモリ制御部５１ｂは、無線部５１ａからの指示に応じて、共有メモリ５１ｃが記憶するモードデータを書き換える。共有メモリ５１ｃは、モードデータを記憶する。モードデータは、通常モードデータ又は保守モードデータである。メモリ制御部５１ｄは、共有メモリ５１ｃからモードデータを読み出して構成検知部５２に与える。
【００５１】
構成検知部５２は、そのメモリに、構成検知プログラムＰ３に代えて構成検知プログラムＰ４を記憶する点が構成検知部２２と異なっている。そして、構成検知部５２のプロセッサが構成検知プログラムＰ４に基づく後述の処理を実行することにより構成検知部５２としての動作が実現される。
【００５２】
次に以上のように構成された決済端末１０１の動作について説明する。なお、以下に説明する処理の内容は一例であって、同様な結果を得ることが可能な様々な処理を適宜に利用できる。
【００５３】
保守端末７００は、決済端末１００をメンテナンスする正規の権限を有するメンテナンス者により所持され、無線部５１ａと通信可能な場合に認証情報を含んだＲＦデータを送信する。ＲＦデータの送信には、例えばＲＦＩＤ（radio frequency identification）又はＮＦＣ（near field communication）の仕組みを利用できる。かくして無線部５１ａは、第３の取得手段としての機能を備える。
【００５４】
決済端末１００のメンテナンスのため、あるいはＬＡＮ３００又はＰＯＳシステムの他の要素のメンテナンスの際には、決済端末１００に対するＩＰアドレスの割り当てが変化する恐れがある。このようなメンテナンスを実施する場合にメンテナンス者は、それに先立って保守端末７００を無線部５１ａのアンテナに近接させる。そうすると、保守端末７００からＲＦデータが無線送信され、当該ＲＦデータが無線部５１ａにより受信される。
【００５５】
図６は無線部５１ａの処理手順を示すフローチャートである。
Ａｃｔ３１において無線部５１ａは、ＲＦデータが受信されるのを待ち受ける。そして無線部５１ａは、ＲＦデータを受信したならばＹｅｓと判定し、Ａｃｔ３２へと進む。
【００５６】
Ａｃｔ３２において無線部５１ａは、ＲＦデータに含まれた認証情報を用いて保守端末７００を認証する。
Ａｃｔ３３において無線部５１ａは、上記の認証に基づき、ＲＦデータを送信したのが正規の保守端末７００であるか否かを確認する。そして無線部５１ａは、正規の保守端末７００ではないならばＮｏと判定し、Ａｃｔ３１の待ち受け状態に戻る。しかしながら無線部５１ａは、正規の保守端末７００であるならばＹｅｓと判定し、Ａｃｔ３４へと進む。
【００５７】
Ａｃｔ３４において無線部５１ａは、共有メモリ５１ｃに記憶されたモードデータを、メモリ制御部５１ｂを介して読み取る。
Ａｃｔ３５において無線部５１ａは、モードデータが保守モードデータであるか否かを確認する。そして無線部５１ａは、モードデータが保守モードデータであるためにＹｅｓと判定したならば、Ａｃｔ３６へと進む。
【００５８】
Ａｃｔ３６において無線部５１ａは、共有メモリ５１ｃが記憶するモードデータを通常モードデータに書き換えるようメモリ制御部５１ｂに指示する。この指示に応じてメモリ制御部５１ｂは、共有メモリ５１ｃが記憶するモードデータを通常モードデータに書き換える。そしてこののちに無線部５１ａは、Ａｃｔ３１の待ち受け状態に戻る。
【００５９】
一方、無線部５１ａは、共有メモリ５１ｃから読み取ったモードデータが通常モードデータであるならば、Ａｃｔ３５にてＮｏと判定し、Ａｃｔ３７へと進む。
Ａｃｔ３７において無線部５１ａは、共有メモリ５１ｃが記憶するモードデータを保守モードデータに書き換えるようメモリ制御部５１ｂに指示する。この指示に応じてメモリ制御部５１ｂは、共有メモリ５１ｃが記憶するモードデータを保守モードデータに書き換える。そしてこののちに無線部５１ａは、Ａｃｔ３１の待ち受け状態に戻る。
【００６０】
このようにメンテナンス者は、保守端末７００を無線部５１ａのアンテナに近接せる毎に、共有メモリ５１ｃが記憶するモードデータは、通常モードデータと保守モードデータとで入れ替えることができる。
【００６１】
図７は構成検知部５２における構成検知プログラムＰ４に基づく処理の手順を示すフローチャートである。なお、図４に示されるのと同一内容の動作については、一部の図示を省略するとともに、図示されるものについては同一の符号を付し、その詳細な説明は省略する。
【００６２】
構成検知部５２は、Ａｃｔ１１〜Ａｃｔ２０の処理については、構成検知部２２と同様に行う。そして構成検知部５２は、Ａｃｔ１８又はＡｃｔ２０を終えたならば、Ａｃｔ４１へと進む。
Ａｃｔ４１において構成検知部５２は、共有メモリ５１ｃに記憶されたモードデータを、メモリ制御部５１ｄを介して読み取り、これが通常モードデータであるか否かを確認する。そして構成検知部５２は、通常モードデータであるためにＹｅｓと判定したならばＡｃｔ２１へと進む。また構成検知部５２は、保守モードデータであるためにＮｏと判定したならばＡｃｔ２１をパスしてＡｃｔ２２へと進む。
こののち構成検知部５２は、Ａｃｔ２１以降の処理を、構成検知部２２と同様に行う。
【００６３】
つまり構成検知部５２は、モードデータを保守モードデータとすることにより保守モードが設定された状態においては、初期値Ｖ１と起動値Ｖ２とが一致するか否かを確認せず、従って読取プログラムＰ１及び決済プログラムＰ２の更新を行わない。つまり構成検知部５２は、第２の制御手段としての機能を備える。
【００６４】
かくして決済端末１０１によれば、決済端末１００と同様な効果を達成できる。加えて決済端末１０１によれば、メンテナンスによりＩＰアドレスの割り当てが変更されてしまう状況であるとしても、メンテナンスモードを設定しておくことにより、読取プログラムＰ１及び決済プログラムＰ２が更新されてしまうことを防止できる。つまり、記憶領域３１−１〜３１−ｎに記憶された読取プログラム及び決済プログラムを有効利用できる。
【００６５】
この実施形態は、次のような種々の変形実施が可能である。
電子マネー決済などのクレジット決済以外の方法の決済を行う決済端末においても上記と同様に実施が可能である。
また、電子マネーカード又は携帯情報端末に搭載されたＮＦＣタグ等の無線タグ、あるいはその他の任意の記憶媒体に記憶された記憶情報を上記実施形態におけるカード情報に代えて用いて実施することも可能である。
【００６６】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【００６７】
１０…読取ユニット、１１…読取部、１２…読取制御部、２０…決済処理ユニット、２１…決済制御部、２２…構成検知部、２３…切替部、３０…記憶ユニット、３１…記憶部、３１−１〜３１−ｎ…記憶領域、３２…アクセス制御部、３３…暗号鍵出力部、３４…暗号化処理部、３５…インタフェース部、５０…決済処理ユニット、５１…状態検知部、５１ａ…無線部、５１ｂ…メモリ制御部、５１ｃ…共有メモリ、５１ｄ…メモリ制御部、５２…構成検知部、１００…決済端末、１０１…決済端末、２００…ＰＯＳ端末、４００…ＰＯＳサーバ、６００…決済サーバ、７００…保守端末、Ｐ１，Ｐ１−１〜Ｐ１−ｎ…読取プログラム、Ｐ２，Ｐ２−１〜Ｐ２−ｎ…決済プログラム、Ｐ３，Ｐ４…構成検知プログラム、Ｐ４…構成検知プログラム。
【図１】
2018050228.tif 000003
【図２】
2018050228.tif 000004
【図３】
2018050228.tif 000005
【図４】
2018050228.tif 000006
【図５】
2018050228.tif 000007
【図６】
2018050228.tif 000008
【図７】
2018050228.tif 000009