(57)【要約】本体に着脱可能に取り付けられ、耐タンパ性を有して構成されるセキュアモジュール（１２０）と、本体に内蔵され、耐タンパ性を有しない構成とされる非セキュアモジュール（１１０）とを備え、セキュアモジュール（１２０）は、決済処理（取引処理）に必要な顧客に関するＰＩＮ情報の取得に際して、セキュア情報をＬＥＤ（１２４）により報知する制御を行うＬＥＤ制御部（１２５）と、ＰＩＮ情報を取得するキーボード（１２２）と、該ＰＩＮ情報を暗号化する暗号処理部（１２１）とを有し、非セキュアモジュール（１１０）は、暗号処理部（１２１）によって暗号化されたＰＩＮ情報を受信し、当該ＰＩＮ情報を利用して決済処理を実行するＣＰＵ（１１１）とを有している。
2004017255.tif 000002
【特許請求の範囲】
【請求項１】
顧客との取引処理を実行する取引端末装置において、
本体に着脱可能に取り付けられ、耐タンパ性を有して構成されるセキュアモジュールと、
前記本体に内蔵され、耐タンパ性を有しない構成とされる非セキュアモジュールとを備え、
前記セキュアモジュールは、前記取引処理に必要な前記顧客に関する機密情報の取得に際して、セキュア情報を報知するセキュア情報報知部と、前記機密情報を取得する取得部と、該機密情報を暗号化する暗号化部とを有し、
前記非セキュアモジュールは、前記暗号化部によって暗号化された機密情報を受信し、当該機密情報を利用して前記取引処理を実行する制御部を有すること、
を特徴とする取引端末装置。
【請求項２】
前記セキュア情報報知部は、前記機密情報の取得に際して、前記セキュアモジュールに設けられた点灯部を点灯させることにより前記セキュア情報を報知することを特徴とする請求の範囲第１項に記載の取引端末装置。
【請求項３】
前記セキュア情報報知部は、前記機密情報の取得に際して、前記セキュアモジュールに設けられた表示部に前記セキュア情報を表示させることにより、前記報知を行うことを特徴とする請求の範囲第１項に記載の取引端末装置。
【請求項４】
前記セキュア情報報知部は、前記機密情報の取得に際して、前記セキュアモジュールに設けられた音声出力部から前記セキュア情報を音声ガイダンスとして音声出力することにより、前記報知を行うことを特徴とする請求の範囲第１項に記載の取引端末装置。
【請求項５】
前記セキュア情報報知部は、前記機密情報の取得に際して、前記本体に挿入されたカードに設けられた点灯部を点灯させることにより前記セキュア情報を報知することを特徴とする請求の範囲第１項に記載の取引端末装置。
【請求項６】
顧客との取引処理を実行し、本体に着脱可能に取り付けられ、耐タンパ性を有して構成されるセキュアモジュールと、前記本体に内蔵され、耐タンパ性を有しない構成とされる非セキュアモジュールとを備えた取引端末装置に適用される取引端末制御方法であって、
前記セキュアモジュールでは、前記取引処理に必要な前記顧客に関する機密情報の取得に際して、セキュア情報を報知するセキュア情報報知工程と、前記機密情報を取得する取得工程と、該機密情報を暗号化する暗号化工程とが実行され、
前記非セキュアモジュールでは、前記暗号化工程によって暗号化された機密情報を受信し、当該機密情報を利用して前記取引処理を実行する制御工程が実行されること、
を特徴とする取引端末制御方法。
【請求項７】
前記セキュア情報報知工程では、前記機密情報の取得に際して、前記セキュアモジュールに設けられた点灯部を点灯させることにより前記セキュア情報を報知することを特徴とする請求の範囲第６項に記載の取引端末制御方法。
【請求項８】
前記セキュア情報報知工程では、前記機密情報の取得に際して、前記セキュアモジュールに設けられた表示部に前記セキュア情報を表示させることにより、前記報知を行うことを特徴とする請求の範囲第６項に記載の取引端末制御方法。
【請求項９】
前記セキュア情報報知工程では、前記機密情報の取得に際して、前記セキュアモジュールに設けられた音声出力部から前記セキュア情報を音声ガイダンスとして音声出力することにより、前記報知を行うことを特徴とする請求の範囲第６項に記載の取引端末制御方法。
【請求項１０】
前記セキュア情報報知工程では、前記機密情報の取得に際して、前記本体に挿入されたカードに設けられた点灯部を点灯させることにより前記セキュア情報を報知することを特徴とする請求の範囲第６項に記載の取引端末制御方法。
【発明の詳細な説明】
【技術分野】  本発明は、顧客との取引を実行するための取引端末装置および取引端末制御方法に関するものであり、特に、ＰＩＮ情報等の機密情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境で機密情報の入力を行うことができ、汎用性、拡張性を高くすることができる取引端末装置および取引端末制御方法に関するものである。
【背景技術】  従来より、クレジットカード、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）カードによる決済や、銀行のキャッシュカードによる決済に用いられる取引端末装置が知られている。
第１４図は、従来の取引端末装置１０の構成を示すブロック図である。同図に示した取引端末装置１０は、店員により操作されるハンディ型の端末であり、上述した各種カードによる決済に用いられる。
取引端末装置１０において、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１１は、決済アプリケーションプログラムや暗号化プログラム等のアプリケーションプログラムを実行し、決済や暗号化等に関する制御を行う。ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）１２は、決済アプリケーションプログラムや暗号化プログラムなどを格納する読み出し専用メモリである。
ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）１３は、一時的にデータを格納するメモリである。表示部１４は、例えば、液晶ディスプレイであり、決済画面等を表示する。キーボード１５は、ユーザ（店員、顧客）が暗証番号や個人識別番号等のＰＩＮ（Ｐｅｒｓｏｎａｌ  Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  Ｎｕｍｂｅｒ）情報（機密情報）を入力するためのキー群（０〜９、記号等）である。
カードリーダ１６は、決済用のカード２０からカード番号等を含むカード情報を読み取る機能を備えている。カード２０は、クレジットカード、ＩＣカード、キャッシュカード等である。
回線接続部１７は、通信回線３０を介して、暗号化プログラムによって暗号化されたＰＩＮ情報を決済サーバ４０へ送信する機能を備えている。決済サーバ４０は、例えば、銀行やクレジットカード会社のホストコンピュータであり、暗号化されたＰＩＮ情報を復号した後、ＰＩＮ情報の照合を行う。
また、決済サーバ４０は、決済許可判定のための信用確認処理を行った後、所定の応答データを通信回線３０を介して取引端末装置１０へ送信する。この場合、取引端末装置１０のＣＰＵ１１は、決済アプリケーションプログラムを実行し、決済処理（取引処理）を実行する。
また、取引端末装置１０においては、キーボード１５より入力されるＰＩＮ情報や、カードリーダ１６で読み取られるカード情報等の個人情報への不正アクセスを防止するために、ＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、キーボード１５およびカードリーダ１６が耐タンパ性を有するようにセキュアモジュール化されている。
つまり、セキュアモジュールにおいては、各部を接続する配線が樹脂で固められていることにより、配線からの信号盗聴が不可能とされており、さらに、不正にこじ開けられたことが所定の検知手段により検知されると、ＲＯＭ１２やＲＡＭ１３の内容が破壊される。
ところで、前述したように従来の取引端末装置１０においては、ＣＰＵ１１、ＲＯＭ１２を含むほぼ全体がセキュアモジュール化されているため、新規のアプリケーションプログラムを追加搭載する場合や、既に搭載されているアプリケーションプログラムをアップデートする場合のように、アプリケーションプログラムの追加・変更を行うことができず、汎用性が低く、拡張性に乏しいという問題があった。
また、従来の取引端末装置１０においては、ユーザ（店員、顧客）がセキュアな環境でＰＩＮ情報の入力が可能となっていることを確認することができないという問題があった。
本発明は、上記に鑑みてなされたもので、ＰＩＮ情報等の機密情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境で機密情報の入力を行うことができ、汎用性、拡張性を高くすることができる取引端末装置および取引端末制御方法を提供することを目的としている。
【発明の開示】
上記目的を達成するために、本発明は、顧客との取引処理を実行する取引端末装置であって、本体に着脱可能に取り付けられ、耐タンパ性を有して構成されるセキュアモジュールと、前記本体に内蔵され、耐タンパ性を有しない構成とされる非セキュアモジュールとを備え、前記セキュアモジュールは、前記取引処理に必要な前記顧客に関する機密情報の取得に際して、セキュア情報を報知するセキュア情報報知部と、前記機密情報を取得する取得部と、該機密情報を暗号化する暗号化部とを有し、前記非セキュアモジュールは、前記暗号化部によって暗号化された機密情報を受信し、当該機密情報を利用して前記取引処理を実行する制御部を有すること、を特徴とする。
また、本発明は、顧客との取引処理を実行し、本体に着脱可能に取り付けられ、耐タンパ性を有して構成されるセキュアモジュールと、前記本体に内蔵され、耐タンパ性を有しない構成とされる非セキュアモジュールとを備えた取引端末装置に適用される取引端末制御方法であって、前記セキュアモジュールでは、前記取引処理に必要な前記顧客に関する機密情報の取得に際して、セキュア情報を報知するセキュア情報報知工程と、前記機密情報を取得する取得工程と、該機密情報を暗号化する暗号化工程とが実行され、前記非セキュアモジュールでは、前記暗号化工程によって暗号化された機密情報を受信し、当該機密情報を利用して前記取引処理を実行する制御工程が実行されること、を特徴とする。
かかる発明によれば、セキュアモジュールで取引処理に必要な顧客に関する機密情報の取得に際して、セキュア情報を報知した後、機密情報を取得し、機密情報を暗号化し、非セキュアモジュールで、暗号化された機密情報を受信し、機密情報を利用して取引処理を実行することとしたので、特に、機密情報の取得時のセキュリティを確保しつつ、非セキュアモジュールにおける汎用性、拡張性を高くすることができる。
【図面の簡単な説明】  第１図は、本発明にかかる実施の形態１の外観構成を示す斜視図であり、第２図は、同実施の形態１の外観構成を示す一部裁断平面図であり、第３図は、同実施の形態１の電気的構成を示すブロック図であり、第４図は、同実施の形態１の動作を説明するフローチャートであり、第５図は、本発明にかかる実施の形態２の外観構成を示す一部裁断平面図であり、第６図は、同実施の形態２の電気的構成を示すブロック図であり、第７図は、同実施の形態２の動作を説明するフローチャートであり、第８図は、本発明にかかる実施の形態３の外観構成を示す一部裁断平面図であり、第９図は、同実施の形態３の電気的構成を示すブロック図であり、第１０図は、同実施の形態３の動作を説明するフローチャートであり、第１１図は、本発明にかかる実施の形態４の外観構成を示す一部裁断平面図であり、第１２図は、同実施の形態４の電気的構成を示すブロック図であり、第１３図は、同実施の形態４の動作を説明するフローチャートであり、第１４図は、従来の取引端末装置１０の電気的構成を示すブロック図である。
【発明を実施するための最良の形態】  以下、図面を参照して本発明にかかる実施の形態１〜４について詳細に説明する。
（実施の形態１）
第１図は、本発明にかかる実施の形態１の外観構成を示す斜視図である。同図に示した取引端末装置１００は、店員により操作されるハンディ型の端末として例示されている。第２図は、同実施の形態１の外観構成を示す一部裁断平面図である。第３図は、同実施の形態１の電気的構成を示すブロック図である。第１図〜第３図においては、対応する部分に同一の符号を付ける。
第１図〜第３図に示した取引端末装置１００においては、セキュリティが必要な一部の要素だけがセキュアモジュール１２０として着脱可能に本体１０１に取り付けられており、その他の要素が非セキュアモジュール１１０（第３図参照）として本体１０１に組み込まれている。
第３図に示した非セキュアモジュール１１０においては、外部からのアクセスが可能とされており、新規のアプリケーションプログラムを追加搭載する場合や、既に搭載されているアプリケーションプログラムをアップデートする場合のように、アプリケーションプログラムの追加・変更を行うことが可能とされでいる。
非セキュアモジュール１１０において、ＣＰＵ１１１は、決済アプリケーションプログラムや暗号化プログラム等のアプリケーションプログラムを実行し、決済や暗号化等に関する制御を行う。
ＲＯＭ１１２は、決済アプリケーションプログラム、暗号化プログラム、通常業務アプリケーションプログラムなどを格納するメモリである。このＲＯＭ１１２は、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ  Ｅｒａｓａｂｌｅ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｒｅａｄ−Ｏｎｌｙ  Ｍｅｍｏｒｙ）等であり、プログラム、データの書き換えが可能とされている。
ＲＡＭ１１３は、一時的にデータを格納するメモリである。表示部１１４は、例えば、液晶ディスプレイであり、決済画面等を表示する。
回線接続部１１５は、通信回線３００を介して、後述する暗号処理部１２１より入力され、暗号化プログラムによって暗号化されたＰＩＮ情報（暗証番号や個人識別番号等の機密情報）を決済サーバ４００へ送信する機能を備えている。決済サーバ４００は、例えば、銀行やクレジットカード会社のホストコンピュータであり、暗号化されたＰＩＮ情報を復号した後、ＰＩＮ情報の照合を行う。
また、決済サーバ４００は、決済許可判定のための信用確認処理を行った後、所定の応答データを通信回線３００を介して取引端末装置１００へ送信する。この場合、取引端末装置１００のＣＰＵ１１１は、決済アプリケーションプログラムを実行し、決済処理（取引処理）を実行する。
セキュアモジュール１２０は、耐タンパ性を有するようにセキュアモジュール化された暗号処理部１２１、キーボード１２２、カードリーダ１２３、ＬＥＤ（Ｌｉｇｈｔ  Ｅｍｉｔｔｉｎｇ  Ｄｉｏｄｅ：発光ダイオード）１２４およびＬＥＤ制御部１２５から構成されている。
従って、セキュアモジュール１２０においては、各部を接続する配線が樹脂で固められていることにより、配線からの信号盗聴（ＰＩＮ情報等の盗聴）が不可能とされており、さらに、所定の検知手段により不正にこじ開けられたことが検知されると、各データが破壊される。
セキュアモジュール１２０において、暗号処理部１２１は、非セキュアモジュール１１０のＣＰＵ１１１との間で暗号化通信（暗号化／復号化）を行う機能を備えている。このように、セキュアモジュール１２０と非セキュアモジュール１１０との間では、暗号化通信が行われるため、高いセキュリティが確保されている。
キーボード１２２は、決済時にＰＩＮ情報を入力するためのキー群（０〜９、記号等）である。
カードリーダ１２３は、第１図に示したセキュアモジュール１２０の近傍に設けられており、第２図に示した決済用のカード２００からカード番号等を含むカード情報を読み取る機能を備えている。このカード２００は、クレジットカード、ＩＣカード、キャッシュカード等である。
ＬＥＤ１２４は、第１図に示したセキュアモジュール１２０の操作面１２０ａに設けられており、セキュアな環境で決済に必要なＰＩＮ情報を入力可能である旨をユーザ（店員、顧客）に報知するための機能を備えており、ＬＥＤ制御部１２５により点灯制御される。操作面１２０ａには、ＬＥＤ１２４の近傍に「ＰＩＮ」等の文字がプリントされている。
ここで、セキュアな環境とは、セキュアモジュール１２０により、キーボード１２２より入力されたＰＩＮ情報が不正に読み取られることが無い環境であること、セキュアモジュール１２０内でＬＥＤ１２４の点灯制御を行い、点灯に対する信頼性が高い環境であることをいう。
ＬＥＤ制御部１２５は、決済時にセキュアモジュール１２０に異常があるか否かのセキュリティチェックを行い、異常が無い場合にＬＥＤ１２４を点灯させる。
つぎに、第４図に示したフローチャートを参照して、実施の形態１の動作について説明する。
同図に示したステップＳＡ１では、ＣＰＵ１１１は、通常業務アプリケーションプログラム（例えば、商品管理用のアプリケーションプログラム）を起動する。ステップＳＡ２では、ＣＰＵ１１１は、通常業務アプリケーションプログラムに従って、通常業務処理（キー入力、ＬＥＤ１２４が非点灯）を実行する。
ステップＳＡ３では、ＣＰＵ１１１は、キーボード１２２の所定のキー入力により店員からの決済指示があるか否かを判断し、この場合、判断結果を「Ｎｏ」とする。以後、ステップＳＡ３の判断結果が「Ｙｅｓ」になるまで、ステップＳＡ２の通常業務処理が実行される。
そして、当該店員が応対した顧客がカード決済により商品を購入する場合、店員は、所定のキー入力により決済を指示する。これにより、ＣＰＵ１１１は、ステップＳＡ３の判断結果を「Ｙｅｓ」とする。
ステップＳＡ４では、ＣＰＵ１１１は、ＲＯＭ１１２に格納されている決済アプリケーションプログラムを起動する。ステップＳＡ５では、ＣＰＵ１１１は、暗号化通信により、セキュアモジュール１２０のＬＥＤ制御部１２５へセキュリティチェックを依頼する。
ステップＳＡ６では、ＬＥＤ制御部１２５は、セキュアモジュール１２０の各部に破損等の異常があるか否かをチェックする。ステップＳＡ７では、ＬＥＤ制御部１２５は、セキュリティチェック結果がＯＫ（異常無し）であるか否かを判断し、この場合、判断結果を「Ｙｅｓ」とする。
ステップＳＡ８では、ＬＥＤ制御部１２５は、ＬＥＤ１２４を点灯させる。これにより、ユーザ（店員、顧客）は、セキュアな環境で決済に必要なＰＩＮ情報を入力可能であることを認識する。
ステップＳＡ９では、暗号処理部１２１は、キーボード１２２よりＰＩＮ情報が入力されたか否かを判断し、この場合、判断結果を「Ｎｏ」として、同判断を繰り返す。
そして、店員は、顧客よりカード２００を受け取り、カードリーダ１２３（第２図参照）に挿入した後、顧客にキーボード１２２よりＰＩＮ情報を入力させる。これにより、暗号処理部１２１は、ステップＳＡ９の判断結果を「Ｙｅｓ」とする。
ステップＳＡ１０では、暗号処理部１２１は、入力されたＰＩＮ情報を暗号化して、ＣＰＵ１１１へ通知する。なお、カード２００からは、カードリーダ１２３によりカード情報が読み取られる。このカード情報は、暗号処理部１２１により暗号化されてＣＰＵ１１１へ通知される。
ステップＳＡ１１では、ＬＥＤ制御部１２５は、ＬＥＤ１２４を消灯させる。ステップＳＡ１２では、ＣＰＵ１１１は、セキュアモジュール１２０より通知されたＰＩＮ情報（カード情報）により、決済サーバ４００との間で決済処理（取引処理）を実行する。以後、ステップＳＡ１以降の処理が実行される。
一方、ステップＳＡ７の判断結果が「Ｎｏ」である場合、ステップＳＡ１３では、ＬＥＤ制御部１２５により、セキュアモジュール１２０に異常があることがＣＰＵ１１１へ通知された後、ＣＰＵ１１１により、表示部１１４にエラーが発生した旨が表示されるという、エラー処理が実行される。
以上説明したように、実施の形態１によれば、第２図に示したセキュアモジュール１２０で決済処理（取引処理）に必要な顧客に関するＰＩＮ情報（機密情報）の取得に際して、セキュア情報をＬＥＤ１２４の点灯により報知した後、ＰＩＮ情報を取得し、さらにＰＩＮ情報を暗号化し、非セキュアモジュールで、暗号化されたＰＩＮ情報を受信し、ＰＩＮ情報を利用して取引処理を実行することとしたので、ＰＩＮ情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境でＰＩＮ情報の入力を行うことができ、非セキュアモジュール１１０（第３図参照）における汎用性、拡張性を高くすることができる。
（実施の形態２）
さて、上述した実施の形態１においては、ＬＥＤ１２４（第２図参照）の点灯により、セキュアな環境でＰＩＮ情報の入力が可能である旨をユーザ（店員、顧客）に報知する構成例について説明したが、ＬＥＤ１２４に代えて、表示部５１１（第５図参照）にセキュア情報を表示するように構成してもよい。以下では、この構成例を実施の形態２として説明する。
第５図は、本発明にかかる実施の形態２の外観構成を示す一部裁断平面図である。第６図は、同実施の形態２の電気的構成を示すブロック図である。第５図および第６図においては、第２図および第３図に対応する部分に同一の符号を付ける。
第５図に示した取引端末装置５００においては、第２図に示したセキュアモジュール１２０に代えて、セキュアモジュール５１０が設けられている。セキュアモジュール５１０においては、第２図に示したＬＥＤ１２４に代えて、表示部５１１が設けられている。
また、第６図に示した取引端末装置５００においては、セキュアモジュール１２０に代えてセキュアモジュール５１０が設けられている。セキュアモジュール５１０においては、第３図に示したＬＥＤ１２４およびＬＥＤ制御部１２５に代えて、表示部５１１および表示制御部５１２が設けられている。
表示部５１１は、第５図に示した操作面５１０ａに設けられた、例えば、液晶ディスプレイである。この表示部５１１は、セキュアな環境で決済に必要なＰＩＮ情報を入力可能である旨をユーザ（店員、顧客）に報知するための機能を備えており、決済時にセキュア情報（「決済中  暗証番号を入力してください。□□□□」）を表示する。
ここで、セキュアな環境とは、セキュアモジュール５１０により、キーボード１２２より入力されたＰＩＮ情報が不正に読み取られることが無い環境であること、セキュアモジュール５１０内で表示部５１１の表示制御を行い、セキュア情報の表示に対する信頼性が高い環境であることをいう。
表示制御部５１２は、決済時にセキュアモジュール５１０に異常があるか否かのセキュリティチェックを行い、異常が無い場合にセキュア情報を表示部５１１（第５図参照）に表示させる。
つぎに、第７図に示したフローチャートを参照して、実施の形態２の動作について説明する。
同図に示したステップＳＢ１では、ステップＳＡ１（第４図参照）と同様にして、ＣＰＵ１１１は、通常業務アプリケーションプログラムを起動する。以後、前述したステップＳＡ２〜ステップＳＡ４（第４図参照）と同様にして、ステップＳＢ２〜ステップＳＢ４が実行される。
ステップＳＢ５では、ＣＰＵ１１１は、暗号化通信により、セキュアモジュール５１０の表示制御部５１２へセキュリティチェックを依頼する。
ステップＳＢ６では、表示制御部５１２は、セキュアモジュール５１０の各部に破損等の異常があるか否かをチェックする。ステップＳＢ７では、表示制御部５１２は、セキュリティチェック結果がＯＫ（異常無し）であるか否かを判断し、この場合、判断結果を「Ｙｅｓ」とする。
ステップＳＢ８では、表示制御部５１２は、表示部５１１（第５図参照）にセキュア情報（「決済中  暗証番号を入力してください。□□□□」）を表示させる。これにより、ユーザ（店員、顧客）は、セキュアな環境で決済に必要なＰＩＮ情報を入力可能であることを認識する。
ステップＳＢ９では、暗号処理部１２１は、キーボード１２２よりＰＩＮ情報が入力されたか否かを判断し、この場合、判断結果を「Ｎｏ」として、同判断を繰り返す。
そして、店員は、顧客よりカード２００を受け取り、カードリーダ１２３（第５図参照）に挿入した後、顧客にキーボード１２２よりＰＩＮ情報を入力させる。これにより、暗号処理部１２１は、ステップＳＢ９の判断結果を「Ｙｅｓ」とする。
ステップＳＢ１０では、暗号処理部１２１は、入力されたＰＩＮ情報を暗号化して、ＣＰＵ１１１へ通知する。なお、カード２００からは、カードリーダ１２３によりカード情報が読み取られる。このカード情報は、暗号処理部１２１により暗号化されてＣＰＵ１１１へ通知される。
ステップＳＢ１１では、表示制御部５１２は、表示部５１１のセキュア情報を非表示とする。ステップＳＢ１２では、ＣＰＵ１１１は、セキュアモジュール５１０より通知されたＰＩＮ情報（カード情報）により、決済サーバ４００との間で決済処理（取引処理）を実行する。以後、ステップＳＢ１以降の処理が実行される。
一方、ステップＳＢ７の判断結果が「Ｎｏ」である場合、ステップＳＢ１３では、表示制御部５１２により、セキュアモジュール５１０に異常があることがＣＰＵ１１１へ通知された後、ＣＰＵ１１１により、エラー処理が実行される。
以上説明したように、実施の形態２によれば、ＰＩＮ情報（機密情報）の取得に際して、第５図に示したセキュアモジュール５１０に設けられた表示部５１１にセキュア情報を表示させることとしたので、ＰＩＮ情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境でＰＩＮ情報の入力を行うことができ、非セキュアモジュール１１０（第６図参照）における汎用性、拡張性を高くすることができる。
（実施の形態３）
さて、上述した実施の形態１においては、ＬＥＤ１２４（第２図参照）の点灯により、セキュアな環境でＰＩＮ情報の入力が可能である旨をユーザ（店員、顧客）に報知する構成例について説明したが、ＬＥＤ１２４に代えて、スピーカ６１１（第８図参照）よりセキュア情報に関する音声ガイダンスをユーザに報知するように構成してもよい。以下では、この構成例を実施の形態３として説明する。
第８図は、本発明にかかる実施の形態３の外観構成を示す一部裁断平面図である。第９図は、同実施の形態３の電気的構成を示すブロック図である。第８図および第９図においては、第２図および第３図に対応する部分に同一の符号を付ける。
第８図に示した取引端末装置５００においては、第２図に示したセキュアモジュール１２０に代えて、セキュアモジュール６１０が設けられている。セキュアモジュール６１０においては、第２図に示したＬＥＤ１２４に代えて、スピーカ６１１が設けられている。
また、第９図に示した取引端末装置６００においては、セキュアモジュール１２０に代えてセキュアモジュール６１０が設けられている。セキュアモジュール６１０においては、第３図に示したＬＥＤ１２４およびＬＥＤ制御部１２５に代えて、スピーカ６１１および音声制御部６１２が設けられている。
スピーカ６１１は、第８図に示した操作面６１０ａに設けられている。このスピーカ６１１は、セキュアな環境で決済に必要なＰＩＮ情報を入力可能である旨をユーザ（店員、顧客）に報知するための機能を備えており、決済時にセキュア情報（「現在、決済中です。暗証番号を入力してください。」）を音声ガイダンスとして音声出力する。
ここで、セキュアな環境とは、セキュアモジュール６１０により、キーボード１２２より入力されたＰＩＮ情報が不正に読み取られることが無い環境であること、セキュアモジュール６１０内でスピーカ６１１の音声制御を行い、セキュア情報（音声ガイダンス）に対する信頼性が高い環境であることをいう。
音声制御部６１２は、決済時にセキュアモジュール６１０に異常があるか否かのセキュリティチェックを行い、異常が無い場合にセキュア情報を音声ガイダンスとしてスピーカ６１１（第８図参照）より音声出力させる。
つぎに、第１０図に示したフローチャートを参照して、実施の形態３の動作について説明する。
同図に示したステップＳＣ１では、ステップＳＡ１（第４図参照）と同様にして、ＣＰＵ１１１は、通常業務アプリケーションプログラムを起動する。以後、前述したステップＳＡ２〜ステップＳＡ４（第４図参照）と同様にして、ステップＳＣ２〜ステップＳＣ４が実行される。
ステップＳＣ５では、ＣＰＵ１１１は、暗号化通信により、セキュアモジュール６１０の音声制御部６１２へセキュリティチェックを依頼する。
ステップＳＣ６では、音声制御部６１２は、セキュアモジュール６１０の各部に破損等の異常があるか否かをチェックする。ステップＳＣ７では、音声制御部６１２は、セキュリティチェック結果がＯＫ（異常無し）であるか否かを判断し、この場合、判断結果を「Ｙｅｓ」とする。
ステップＳＣ８では、音声制御部６１２は、セキュア情報（「現在、決済中です。暗証番号を入力してください。」）を音声ガイダンスとしてスピーカ６１１（第８図参照）より音声出力させる。これにより、ユーザ（店員、顧客）は、セキュアな環境で決済に必要なＰＩＮ情報を入力可能であることを認識する。
ステップＳＣ９では、暗号処理部１２１は、キーボード１２２よりＰＩＮ情報が入力されたか否かを判断し、この場合、判断結果を「Ｎｏ」として、同判断を繰り返す。
そして、店員は、顧客よりカード２００を受け取り、カードリーダ１２３（第８図参照）に挿入した後、顧客にキーボード１２２よりＰＩＮ情報を入力させる。これにより、暗号処理部１２１は、ステップＳＣ９の判断結果を「Ｙｅｓ」とする。
ステップＳＣ１０では、暗号処理部１２１は、入力されたＰＩＮ情報を暗号化して、ＣＰＵ１１１へ通知する。なお、カード２００からは、カードリーダ１２３によりカード情報が読み取られる。このカード情報は、暗号処理部１２１により暗号化されてＣＰＵ１１１へ通知される。ステップＳＣ１１では、ＣＰＵ１１１は、セキュアモジュール６１０より通知されたＰＩＮ情報（カード情報）により、決済サーバ４００との間で決済処理（取引処理）を実行する。以後、ステップＳＣ１以降の処理が実行される。
一方、ステップＳＣ７の判断結果が「Ｎｏ」である場合、ステップＳＣ１２では、音声制御部６１２により、セキュアモジュール６１０に異常があることがＣＰＵ１１１へ通知された後、ＣＰＵ１１１により、エラー処理が実行される。
以上説明したように、実施の形態３によれば、ＰＩＮ情報（機密情報）の取得に際して、第８図に示したセキュアモジュール６１０に設けられたスピーカ６１１からセキュア情報を音声ガイダンスとして音声出力することとしたので、ＰＩＮ情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境でＰＩＮ情報の入力を行うことができ、非セキュアモジュール１１０（第９図参照）における汎用性、拡張性を高くすることができる。
（実施の形態４）
さて、上述した実施の形態１においては、セキュアモジュール１２０に設けられたＬＥＤ１２４（第２図参照）の点灯により、セキュアな環境でＰＩＮ情報の入力が可能である旨をユーザ（店員、顧客）に報知する構成例について説明したが、ＬＥＤ１２４に代えて、ＩＣカード８００（第１１図参照）に設けられたカードＬＥＤ８０３によりユーザに報知するように構成してもよい。以下では、この構成例を実施の形態４として説明する。
第１１図は、本発明にかかる実施の形態４の外観構成を示す一部裁断平面図である。第１２図は、同実施の形態４の電気的構成を示すブロック図である。第１１図および第１２図においては、第２図および第３図に対応する部分に同一の符号を付ける。
第１１図に示した取引端末装置７００においては、第２図に示したセキュアモジュール１２０に代えて、セキュアモジュール７１０が設けられている。なお、セキュアモジュール７１０においては、第２図に示したＬＥＤ１２４に相当するＬＥＤが設けられていない。
また、第１１図においては、第２図に示したカード２００に代えて、ＩＣカード８００が図示されている。このＩＣカード８００は、決済用のカードであり、カード情報を保持している。このＩＣカード８００において、接点８０２は、カードリーダ１２３（第１２図参照）に電気的に接続される端子である。ＩＣ８０１は、カード情報を保持したり、各部を制御する。
カードＬＥＤ８０３は、ＩＣカード８００の表面に設けられており、セキュアな環境で決済に必要なＰＩＮ情報を入力可能である旨をユーザ（店員、顧客）に報知するための機能を備えており、後述するカードＬＥＤ制御部７１１により点灯制御される。カードＬＥＤ８０３の近傍には、「ＰＩＮ」等の文字がプリントされている。
ここで、セキュアな環境とは、セキュアモジュール７１０により、キーボード１２２より入力されたＰＩＮ情報が不正に読み取られることが無い環境であること、セキュアモジュール７１０内でカードＬＥＤ８０３の点灯制御を行い、点灯に対する信頼性が高い環境であることをいう。
また、第１２図に示した取引端末装置７００においては、セキュアモジュール１２０に代えてセキュアモジュール７１０が設けられている。セキュアモジュール７１０においては、第３図に示したＬＥＤ１２４およびＬＥＤ制御部１２５に代えて、カードＬＥＤ制御部７１１が設けられている。
カードＬＥＤ制御部７１１は、決済時にセキュアモジュール７１０に異常があるか否かのセキュリティチェックを行い、異常が無い場合に、カードリーダ１２３に挿入されたＩＣカード８００のカードＬＥＤ８０３を点灯させる。
つぎに、第１３図に示したフローチャートを参照して、実施の形態４の動作について説明する。
同図に示したステップＳＤ１では、ステップＳＡ１（第４図参照）と同様にして、ＣＰＵ１１１は、通常業務アプリケーションプログラムを起動する。以後、前述したステップＳＡ２〜ステップＳＡ４（第４図参照）と同様にして、ステップＳＤ２〜ステップＳＤ４が実行される。
ステップＳＤ５では、ＣＰＵ１１１は、暗号化通信により、セキュアモジュール７１０のカードＬＥＤ制御部７１１へセキュリティチェックを依頼する。
ステップＳＤ６では、カードＬＥＤ制御部７１１は、セキュアモジュール７１０の各部に破損等の異常があるか否かをチェックする。ステップＳＤ７では、カードＬＥＤ制御部７１１は、セキュリティチェック結果がＯＫ（異常無し）であるか否かを判断し、この場合、判断結果を「Ｙｅｓ」とする。
ここで、店員は、顧客よりＩＣカード８００を受け取り、カードリーダ１２３（第１１図参照）に挿入する。
ステップＳＤ８では、カードＬＥＤ制御部７１１は、カードリーダ１２３、接点８０２、ＩＣ８０１を経由して、カードＬＥＤ８０３を点灯させる。これにより、ユーザ（店員、顧客）は、セキュアな環境で決済に必要なＰＩＮ情報を入力可能であることを認識する。
ステップＳＤ９では、暗号処理部１２１は、キーボード１２２よりＰＩＮ情報が入力されたか否かを判断し、この場合、判断結果を「Ｎｏ」として、同判断を繰り返す。
そして、店員は、顧客にキーボード１２２よりＰＩＮ情報を入力させる。これにより、暗号処理部１２１は、ステップＳＤ９の判断結果を「Ｙｅｓ」とする。
ステップＳＤ１０では、暗号処理部１２１は、入力されたＰＩＮ情報を暗号化して、ＣＰＵ１１１へ通知する。なお、ＩＣカード８００からは、カードリーダ１２３によりカード情報が読み取られる。このカード情報は、暗号処理部１２１により暗号化されてＣＰＵ１１１へ通知される。
ステップＳＤ１１では、ＣＰＵ１１１は、セキュアモジュール７１０より通知されたＰＩＮ情報（カード情報）により、決済サーバ４００との間で決済処理（取引処理）を実行する。ステップＳＤ１２では、カードＬＥＤ制御部７１１は、カードＬＥＤ８０３を消灯させる。以後、ステップＳＤ１以降の処理が実行される。
一方、ステップＳＤ７の判断結果が「Ｎｏ」である場合、ステップＳＤ１３では、カードＬＥＤ制御部７１１により、セキュアモジュール７１０に異常があることがＣＰＵ１１１へ通知された後、ＣＰＵ１１１により、エラー処理が実行される。
以上説明したように、実施の形態４によれば、ＰＩＮ情報（機密情報）の取得に際して、第１１図に示したカードリーダ１２３に挿入されたＩＣカード８００に設けられたカードＬＥＤ８０３を点灯させることによりセキュア情報を報知することとしたので、ＰＩＮ情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境で機密情報の入力を行うことができ、第１２図に示した非セキュアモジュール１１０における汎用性、拡張性を高くすることができる。
以上本発明にかかる実施の形態１〜４について図面を参照して詳述してきたが、具体的な構成例はこれら実施の形態１〜４に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等があっても本発明に含まれる。
以上説明したように、本発明によれば、セキュアモジュールで取引処理に必要な顧客に関する機密情報の取得に際して、セキュア情報を報知した後、機密情報を取得し、機密情報を暗号化し、非セキュアモジュールで、暗号化された機密情報を受信し、機密情報を利用して取引処理を実行することとしたので、機密情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境で機密情報の入力を行うことができ、非セキュアモジュールにおける汎用性、拡張性を高くすることができるという効果を奏する。
また、本発明によれば、機密情報の取得に際して、セキュアモジュールに設けられた点灯部を点灯させることとしたので、機密情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境で機密情報の入力を行うことができ、非セキュアモジュールにおける汎用性、拡張性を高くすることができるという効果を奏する。
また、本発明によれば、機密情報の取得に際して、セキュアモジュールに設けられた表示部にセキュア情報を表示させることとしたので、機密情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境で機密情報の入力を行うことができ、非セキュアモジュールにおける汎用性、拡張性を高くすることができるという効果を奏する。
また、本発明によれば、機密情報の取得に際して、セキュアモジュールに設けられた音声出力部からセキュア情報を音声ガイダンスとして音声出力することとしたので、機密情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境で機密情報の入力を行うことができ、非セキュアモジュールにおける汎用性、拡張性を高くすることができるという効果を奏する。
また、本発明によれば、機密情報の取得に際して、本体に挿入されたカードに設けられた点灯部を点灯させることによりセキュア情報を報知することとしたので、機密情報の取得時のセキュリティを確保しつつ、ユーザがセキュアな環境で機密情報の入力を行うことができ、非セキュアモジュールにおける汎用性、拡張性を高くすることができるという効果を奏する。
【産業上の利用可能性】  以上のように、本発明にかかる取引端末装置および取引端末制御方法は、例えば、店員と顧客との間でセキュアな環境が必要な取引に対して有用である。
【図１】
2004017255.tif 000003
【図２】
2004017255.tif 000004
【図３】
2004017255.tif 000005
【図４】
2004017255.tif 000006
【図５】
2004017255.tif 000007
【図６】
2004017255.tif 000008
【図７】
2004017255.tif 000009
【図８】
2004017255.tif 000010
【図９】
2004017255.tif 000011
【図１０】
2004017255.tif 000012
【図１１】
2004017255.tif 000013
【図１２】
2004017255.tif 000014
【図１３】
2004017255.tif 000015
【図１４】
2004017255.tif 000016
【国際調査報告】
2004017255.tif 000017
2004017255.tif 000018
2004017255.tif 000019
2004017255.tif 000020