(57)【要約】ストアドバリュー決済システムは、信頼できるカードおよび信頼できない小売店端末を含む。セキュリティは、少なくとも受信した金額に等しい金額が、そのカードによって端末で支払われることをカードが確認した場合に限り、ストアドバリューの金額を受信するカードによって強化される。カードは、カードによって受信される値をカードによって支払われる値から差し引くことでカードによって計算される金額に対する検証可能な支払いレコードを端末に提供し得る。さらなるセキュリティ機能は、決済時に更新される端末証明書を含み得、端末満了時間、および支払い取引時に失効していない有効な端末で更新されるカード時間レジスターを含む。【選択図】図１
2013527944.tif 000002
【特許請求の範囲】
【請求項１】
小売店端末でストアドバリューの支払い取引中に、カードによって実行される方法であって、前記方法が、
・前記小売店端末とインタフェースをとることと、
・ストアドバリューの正の第１の金額を、前記第１の金額より少なくない、対応する第２の金額が、前記小売店端末で前記カードによって支払われることを確認した場合に限り、前記カード内に受け取ることと
を含む方法。
【請求項２】
前記第２の金額がチャージによって支払われる、請求項１に記載の方法。
【請求項３】
チャージ取引を含まない支払い取引に対して、コインベースのストアドバリューシステム内で動作する、前記支払い取引が
・前記小売店端末から前記カードに流れるように指定されたゼロ個以上のコインの第１のグループおよび
・前記カードから前記小売店端末に流れるように指定された１つ以上のコインの第２のグループから構成され、
前記第１の金額が前記第１のグループの総価値に等しく、かつ、前記第２の金額が前記第２のグループの総価値に等しい、
請求項１に記載の方法。
【請求項４】
チャージ取引およびストアドバリュー取引の両方を含む支払い取引において、コインベースのストアドバリューシステム内で動作する、前記支払い取引が
・前記小売店端末から前記カードに流れるように指定された１つ以上のコインの第１のグループおよび
・前記カードから前記小売店端末に流れるように指定されたゼロ個以上のコインの第２のグループから構成され、
・前記第１の金額が前記第１のグループの総価値に等しく、
・前記第２の金額が
・前記第２のグループの総価値および
・前記チャージ取引の価値
の合計に等しい、
請求項１に記載の方法。
【請求項５】
・前記第１の金額を前記第２の金額から差し引くことにより支払い金額を計算することと、
・前記支払い金額に対する検証可能な支払いレコードを前記小売店端末に提供することとをさらに含む、請求項１に記載の方法。
【請求項６】
・前記小売店端末から受信した端末証明書の有効性を検証すること、および前記検証が否定の場合は前記ストアドバリュー支払い取引を中止することと、
・前記検証が肯定の場合には、
・前記カードの時間レジスターからカード時間を読み取ることと、
・前記小売店端末から端末時間を受信することと、
・前記端末証明書から端末満了時間を取り出すことと、
・前記端末時間が、前記カード時間よりも小さくなく、かつ、前記端末満了時間よりも大きくないかを確認することと、
・前記確認が否定の場合は前記支払い取引を中止することとをさらに含む、
請求項１に記載の方法。
【請求項７】
前記確認が肯定の場合、前記端末時間に従って前記カード時間を前記時間レジスターに設定することをさらに含む、請求項６に記載の方法。
【請求項８】
小売店端末でストアドバリューの支払い取引中に、カードによって実行される方法であって、前記ストアドバリューがデジタルコインで表され、各コインがシリアル番号および複数の額面金額からの額面金額を有し、前記方法が、
・前記小売店端末とインタフェースをとることと、
・総価値が第１の金額と等しい正数のコインを、前記第１の金額より少なくない、対応する第２の金額が、前記小売店端末で前記カードによって支払われることを確認した場合に限り、前記小売店端末から受け取ることと
を含む方法。
【請求項９】
チャージ取引および前記カードから前記小売店端末への０個以上のコインの転送を含む支払い取引において、前記第２の金額が前記チャージ取引の価値および前記０個以上のコインの総価値の合計に等しい、請求項８に記載の方法。
【請求項１０】
チャージ取引を含まないが、前記カードから前記小売店端末への１つ以上のコインの転送を含む支払い取引において、前記第２の金額が前記１つ以上のコインの総価値に等しい、請求項８に記載の方法。
【請求項１１】
・マイクロプロセッサーと
・支払い取引を行うために、選択可能な小売店端末と選択的にインタフェースをとるための端末インタフェースと、
・リモートアカウントにチャージするために、前記マイクロプロセッサーと協働するチャージモジュールと、
・前記ペイメントカードと小売店端末との間で選択可能な金額のストアドバリューを前記端末インタフェースを介して転送するために、前記マイクロプロセッサーと協働して、ストアドバリューを保存するためのストアドバリュー財布とを備えるペイメントカードであって、
前記ペイメントカードが、選択された小売店端末とインタフェースをとりながら、ストアドバリューの正の第１の金額を、前記第１の金額より少なくない、対応する第２の金額が、前記選択された小売店端末で前記ペイメントカードによって支払われることを確認した場合に限り、受け取るように機能する、ペイメントカード。
【請求項１２】
チャージ取引およびストアドバリュー取引の両方を含む支払い取引において、前記第１の金額が、前記ストアドバリュー財布によって受信されたストアドバリューの正味金額であり、前記第２の金額が前記チャージモジュールによって支払われる、請求項１１に記載のペイメントカード。
【請求項１３】
チャージ取引を含まない支払い取引において、コインベースのストアドバリューシステム内で動作する、前記支払い取引が、
・前記小売店端末から前記財布に流れるように指定されたゼロ個以上のコインの第１のグループおよび
・前記財布から前記小売店端末に流れるように指定された１つ以上のコインの第２のグループから構成され、
前記第１の金額が前記第１のグループの総価値に等しく、前記第２の金額が前記第２のグループの総価値に等しい、請求項１１に記載のペイメントカード。
【請求項１４】
チャージ取引およびストアドバリュー取引の両方を含む支払い取引において、コインベースのストアドバリューシステム内で動作し、前記第１の金額が、前記選択された小売店端末から前記ストアドバリュー財布によって受信されたコインの総価値であり、前記第２の金額が
・前記選択された小売店端末で前記チャージモジュールによって支払われたチャージ金額と、
・前記ストアドバリュー財布から前記選択された小売店端末に転送されたコインの総価値との合計に等しい、
請求項１１に記載のペイメントカード。
【請求項１５】
前記第１の金額を前記第２の金額から差し引くことにより支払い金額を計算し、前記支払い金額に対する検証可能な支払いレコードを前記選択された小売店端末に提供するようにさらに機能する、請求項１１に記載のペイメントカード。
【請求項１６】
カード時間レジスターをさらに含み、前記ペイメントカードが、
・前記選択された小売店端末から受信した端末証明書の有効性を検証し、
・前記検証が否定の場合は取引を中止し、
・前記検証が肯定の場合には、
・前記カード時間レジスターからカード時間を読み取り、
・前記選択された小売店端末から端末時間を受信し、
・前記端末証明書から端末満了時間を取り出し、
・前記端末時間が、前記カード時間よりも小さくなく、かつ、前記端末満了時間よりも大きくないかを確認し、
・前記検証が否定の場合は前記取引を中止するように
さらに機能する、請求項１１に記載のペイメントカード。
【請求項１７】
前記確認が肯定の場合、前記端末時間に従って前記カード時間を前記カード時間レジスターに設定するようにさらに機能する、請求項１６に記載のペイメントカード。
【請求項１８】
・ペイメントカードと通信するためのカードインタフェースと、
・ネットワークを経由して、ストアドバリュー処理サーバーとインタフェースをとるためのネットワークインタフェースと、
・端末ＩＤおよび端末満了時間を含む端末証明書を保存するための端末証明書レジスターと、
・プロセッサーであって、
・ストアドバリュー処理サーバーとの決済中に、端末証明書レジスター内に保存されている端末証明書を更新し、
・カードとのインタフェース中に、端末証明書をカードに提示するように構成されたプロセッサーとを備える、
小売店端末。
【請求項１９】
ストアドバリュー処理サーバーを操作するための方法であって、前記方法が、
・小売店端末とインタフェースをとることと、
・前記小売店端末から端末識別を受信することと、
・前記端末識別に関して不正が識別されない場合は、前記小売店端末に対して、少なくとも前記端末識別および端末満了時間を含む、新たな端末証明書を発行すること、および前記小売店端末に対して前記新たな端末証明書を提供することとを含む、方法。
【請求項２０】
不正が識別されない場合かつその場合に限り、前記小売店端末でストアドバリュー決済を実行することをさらに含む、請求項１９に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、カード決済システムに関し、詳細にはストアドバリュー（ｓｔｏｒｅｄ−ｖａｌｕｅ：保存された価値）の保存および取引を行う消費者カード決済システムに関する。
【背景技術】
【０００２】
〔カード決済システム〕
カード払いはありふれたことであり、世界中で、非常に多くの消費者支払いにおいて現金に取って代わってきた。カード支払い方法は、「チャージ」および「ストアドバリュー」に分類できる。
【０００３】
チャージ払いにおいて、カードは、金融機関またはサービス会社（例えば、携帯電話会社、支払機関、大規模小売業者など）のサーバーで管理されているカード保有者のアカウントに対応する。アカウントは、カード保有者の負債を表すことができ、そのためカードは「クレジットカード」と見なされ、または銀行預金口座にすることができ、そのためカードは「デビットカード」と見なされ、または前払いアカウントにすることができ、そのためカードは「プリペイドカード」と見なされる。
【０００４】
「ストアドバリュー払い」では、カードは、従来の現金またはチャージを用いて購入された仮想通貨（ストアドバリュー）でロードされ、ストアドバリューを収集および累算する互換の小売店ストアドバリュー端末で支払いを行うために使用される。小売店は、累算したストアドバリューを決済のために定期的に提示し、それは、その小売店の銀行預金口座に追加されている累算ストアドバリューの総金銭的価値となる。
【０００５】
チャージ払いおよびストアドバリュー払いは、共存することができ、実際、相互に補完する。決済システムを稼働する金融機関の観点から見れば、チャージはストアドバリューよりも安全と考えられるが、ストアドバリューよりも処理に費用がかかる。それ故、カード決済システムは、チャージを、大規模な支払いおよびカードにロードするストアドバリューの購入の両方に対して使用し、一方、より小規模の支払いに対してストアドバリューを用いることにより最適化できる。
【０００６】
標準的なチャージ決済システムは、次の５人の重要な参加者が関わる：
・支払いを行う「カード保有者」。
・支払いを受ける「小売店」。
・発行者−カードを提供し、カードで支払いが行われた金銭を収集することにより、カード保有者とインタフェースをとる金融機関。
・取得者  −  小売店端末を提供または承認し、かつカードで受けた支払いに対して金銭で小売店に返済することにより、小売店とインタフェースをとる金融機関。
・決済機構（別名、決済スキームまたは決済ネットワーク）、決済システムを運営し、発行者と取得者との間の決済を調整するＶｉｓａおよびＭａｓｔｅｒＣａｒｄなど。
【０００７】
ストアドバリュー決済システムは、さらなる重要な参加者、すなわち、ストアドバリューを生成し、それをカード保有者に販売し、またそれを小売店から購入する「ストアドバリュー発行者」を伴う。ストアドバリュー発行者は、カード発行者の１つであるか、またはストアドバリューの発行および決済を専門とする専門団体であり得る。
【０００８】
〔セキュリティおよび監査〕
決済システムは、詐欺行為を引き寄せ、それは、カード発行者を実質的なリスクに曝す。結果として、全ての決済システムは、技術的手段と管理上の手段を組み合わせたセキュリティ機構を伴う。セキュリティ機構に加えて、決済システムは、決済システムの動作をモニタリングし、セキュリティの有効性を持続的に検証して、セキュリティ違反を検出し、それらの源を識別して、損害の測定を行う監査機構を利用する。
【０００９】
チャージ決済システムは、慣例的に、個々の各チャージ取引に対するオンライン承認、個々の各取引の清算、決済および報告、ならびに監査機構としての完全な説明責任を実施してきた。これは、チャージ払いを比較的高くつくものにし、また、その操作性および信頼性は、電子通信の可用性、性能および信頼性によって決まる。オフラインの操作性が必要であった場合は、発行者から小売店への法的責任の移行またはオフライン決済の少額のみへの制限など、管理上の手段が実施可能な解決策を提供した。
【００１０】
ストアドバリュー払いのセキュリティは、ストアドバリューの保存および取引に使用する技術に強く依存する。スマートカードが出現するまで、価値を保存するための全ての技術は、汎用のストアドバリューベースの決済システムを保護するには不十分であり、それ故、ストアドバリュー払いは、テレフォンカードおよびいくつかの公共交通機関のチケットに関する事例など、カード払いの利点が、実質的な詐欺による損害の容認を正当化する、特定の用途に限定されていた。かかるシステムにおける監査は、ストアドバリューの販売からの総収入と各サービスの総消費の比較に基づいており、それは通常、キャッシュレス払いの各運用上の利点によって正当化された、実質的であるが許容可能な損害を示していた。
【００１１】
〔スマートカード〕
スマートカードは、耐タンパーチップ（ｔａｍｐｅｒ−ｒｅｓｉｓｔａｎｔ  ｃｈｉｐ）ならびにデータ保存および交換のための前例のないレベルのセキュリティを提供する高度な暗号化を組み合わせる。スマートカードが性能と費用の十分なバランスに達したとき、決済業界は、２つのスマートカードの支払い用途、すなわち、チップベースのクレジットカードおよび汎用のストアドバリューカードを開発および商品化した。
【００１２】
クレジットカードの大部分は、各地の銀行で国境を越えて相互に利用可能であるため、それらは、業界標準を採用する傾向がある。Ｅｕｒｏｐａｙ、ＭａｓｔｅｒＣａｒｄおよびＶｉｓａは、その後、スマートカードベースのチャージ払いに対する業者標準を確立し、それは、「ＥＭＶ規格」として知られている。ＥＭＶ規格は、磁気ストライプを採用するクレジットカードおよびデビットカードに比較して、改善されたオフライン操作性のみならず、より高いセキュリティを提供する。
【００１３】
スマートカード以前には実質的なバンキング製品として存在していなかった、ストアドバリューの最先端では、様々なバンキングに関する試みにより、例えば、Ｍｏｎｄｅｘ、Ｐｒｏｔｏｎ、ＭａｓｔｅｒＣａｒｄ  ＣａｓｈおよびＶｉｓａ  Ｃａｓｈなど、様々な製品が生み出された。これらの製品全ては、十分なセキュリティを示したが、手操作による手順でストアドバリューをカードに定期的に再ロードする必要があるためにほとんどの消費者が興味を失い、他方、費用効率の高い監査ソリューションの欠如および不透明なビジネス状況のためにほとんどの銀行の役員が興味を失って、商業的に失敗した。
【００１４】
〔ストアドバリュー決済システムにおける従来の改善〕
本発明人および本譲受人は、ストアドバリュースマートカードの欠点を克服するために考案された３つの基本的な技術革新を発明および開発した。
【００１５】
「Ｓｙｓｔｅｍ  ａｎｄ  ｍｅｔｈｏｄ  ｆｏｒ  ｒｅｔａｉｌ」という名称の米国特許第５，７４４，７８７号、および「Ｒｅｔａｉｌ  ｕｎｉｔ  ａｎｄ  ａ  ｐａｙｍｅｎｔ  ｕｎｉｔ  ｆｏｒ  ｓｅｒｖｉｎｇ  ａ  ｃｕｓｔｏｍｅｒ  ｏｎ  ａ  ｐｕｒｃｈａｓｅ  ａｎｄ  ｍｅｔｈｏｄ  ｆｏｒ  ｅｘｅｃｕｔｉｎｇ  ｔｈｅ  ｓａｍｅ」という名称の米国特許第６，０７６，０７５号は、その両方が参照によりその全体が本明細書に記載されているかのように組み込まれ、「チャージ＆おつり（ｃｈａｒｇｅ  ＆  ｃｈａｎｇｅ）」機構を教示する。チャージ＆おつりでは、カードおよび支払い端末は、チャージおよびストアドバリュー機能の両方を含み、大規模な支払いは自動的にチャージを参照し、一方、小規模な支払いはカードからのストアドバリューで支払われる（適切なストアドバリュー金額が利用可能な場合）か、または最小チャージ金額（例えば、＄２５）がカードにチャージされて、残り（＄２５−購入価格）がストアドバリューによって支払い端末からカードに返される。チャージ＆おつりの利点は、カード保有者がストアドバリューをロードする負担を取り除き、また、最小チャージ金額より少ないチャージ取引の処理費用も取り除く。
【００１６】
共に「Ｃｏｕｎｔａｂｌｅ  ｅｌｅｃｔｒｏｎｉｃ  ｍｏｎｅｔａｒｙ  ｓｙｓｔｅｍ  ａｎｄ  ｍｅｔｈｏｄ」という名称の米国特許第６，１１９，９４６号および第６，４６７，６８５号は、参照によりその全体が本明細書に記載されているかのように組み込まれるが、様々な額面金額の連番が振られた電子コインによりストアドバリューを表すことで、ストアドバリューに対する費用効率が高い監査機能を追加する。各ストアドバリュー取引は、カードと小売店端末との間を、多くの場合両方向に、移動するコインを伴う。コインは、中心点で系統的にサンプリングされ、それは、偽のストアドバリューを素早く効率的に検出可能、測定可能およびバックトレース可能にする。
【００１７】
「Ｐｒｏｃｅｓｓｉｎｇ  ｓｙｓｔｅｍ  ａｎｄ  ｍｅｔｈｏｄ  ｆｏｒ  ａ  ｈｅｔｅｒｏｇｅｎｅｏｕｓ  ｅｌｅｃｔｒｏｎｉｃ  ｃａｓｈ  ｅｎｖｉｒｏｎｍｅｎｔ」という名称の米国特許第６，０６５，６７５号も、参照によりその全体が本明細書に記載されているかのように組み込まれるが、ストアドバリューシステムの、既存のクレジットおよびデビット決済システムの動作モードおよびビジネスモデルへのシームレスな統合を教示する。
【００１８】
前述した３つの改善を組み合わせると、前述したストアドバリューのマイクロペイメント／少額決済の以前の欠陥を克服する。しかし、莫大なインストールベースのクレジットおよびデビットカードの、ストアドバリューマイクロペイメントも収容するための移行は、まだ大幅な運用上および商業上のチャレンジであることが分かる。
【００１９】
〔ストアドバリュー払いの将来の改善の必要性〕
ＥＭＶチャージ（クレジットおよびデビット）システムは、ますます多くの市場で勢いを増している。他のチャージ機構も金融機関および非金融機関によって提供されている。ＥＭＶチャージ払いに移行する市場では、カード保有者のカードをスマートカードに、小売店端末を、スマートカードとインタフェース可能な端末にアップグレードする。クレジットおよびデビット払いの現行方式では、ほとんどのセキュリティ負担はカード側にあり、他方、小売店端末は、主に取引情報の容器およびパイプとして機能し、システムに対する実質的なリスクを示さない。したがって、いくつかの小売店端末は高度に安全なハードウェアを特徴とするが、コストを考慮すると、他の多くの小売店端末をより簡略で安価な設計に基づくように追いやり、したがって、前述のように、ＥＭＶ払いまたはその相当物にふさわしいセキュリティより低いものになる。
【００２０】
ストアドバリュー払いを考慮する場合、状況は様々である。慣例的に、ストアドバリュー払いは、ストアドバリューの記憶および転送が、「カード保有者のスマートカード」および、通常は携帯電話のＳＩＭに似たスマートカードのチップパッケージで、小売店端末の専用スロットに挿入される、小売店の「ＳＡＭ（Ｓｅｃｕｒｅ  Ａｐｐｌｉｃａｔｉｏｎ  Ｍｏｄｕｌｅ）」として知られるセキュアチップで処理され、それらのセキュアチップ間で行われた場合に限り、十分に安全であると考えられてきた。何年もの間、多くの小売店端末は、ストアドバリューアプリケーションを収容するための準備として、ＳＡＭスロットを備えていた。しかし、ストアドバリューアプリケーションが計画および期待に遅れたため、市場に配備されている多くの小売店端末は、ＳＡＭスロットを備えていない。
【００２１】
したがって、ストアドバリューを保存および取引するための小売店端末にＳＡＭを含む従来のアプローチでは、ＥＭＶクレジット／デビットシステムへのストアドバリュー機能の追加は、カードおよび小売店端末のソフトウェア／ファームウェアをアップグレードするだけでなく、多くの小売店端末をＳＡＭスロットを備えるように置き換えるか、または物理的にアップグレードして、ＳＡＭを配備および管理する必要がある。これは、ストアドバリューの実施態様を利用可能にするための閾値を著しく高め、かかる実施態様を商業的に非実用的にさえし得る。
【００２２】
それ故、ＳＡＭセキュリティに頼らない小売店端末の利用を提供する十分に安全なストアドバリュー決済システムに対する解決策の必要性があり、それを有することは非常に有利であろう。
【発明の概要】
【発明が解決しようとする課題】
【００２３】
本発明は、安全なストアドバリュー決済システム内で信頼できない小売店端末の使用を提供するためのシステムおよび機能を提供しようとする。
【００２４】
《定義》
「カード保有者」または「ユーザー」は、小売店に対して支払いを行う消費者を意味する。
【００２５】
「小売店端末」または「端末」は、電子的に支払いを受けるための小売店の装置を意味する。
【００２６】
「スマートカード」または「カード」は、小売店端末で支払いを行うために使用される、安全な、チップベースの持ち運び可能な装置を意味する。カードは、例えば、従来のプラスチックカード、キーフォブ（ｋｅｙ−ｆｏｂ）、ステッカー／タグ、マイクロＳＤカード、または携帯電話など、任意の形状因子を有し得る。カードは、非接触型インタフェースの接触によって小売店端末と通信する。
【００２７】
「発行者」は、カードをカード保有者に供給し、カードによって行われた電子決済に対して金銭をカード保有者から収集する機関を意味する。
【００２８】
「チャージ取引」または「チャージ」は、カードから離れたアカウントにチャージするクレジット、デビットまたはプリペイド支払い取引を意味する。
【００２９】
「ストアドバリュー」は、カードにロードして保存でき、支払いのために小売店端末に転送できる通貨の電子的表現を意味する。
【００３０】
「電子財布」は、ストアドバリューを保存するために考案されたスマートカードチップ内の保護領域を意味する。
【００３１】
「Ｓｅｃｕｒｅ  Ａｐｐｌｉｃａｔｉｏｎ  Ｍｏｄｕｌｅ」または「ＳＡＭ」は、ストアドバリューの保存およびストアドバリューの小売店端末との取引のために、小売店端末に含まれているチップベースの安全な構成要素を意味する。一般的に言えば、本発明は、ＳＡＭなしで、または端末にＳＡＭが物理的に存在している場合でさえＳＡＭを使用することなく、ストアドバリューの保存および取引を行う小売店端末に焦点を合わせており、かかる端末は「ＳＡＭなし」端末とも呼ばれる。
【００３２】
「信頼できない小売店端末」または「信頼できない端末」は、最初は安全であるが、物理的なタンパリングによるそのデジタルコンテンツのコピーまたは変更に対して保護されていない、小売店端末を意味する。小売店端末の信頼できない端末としての指定は、ストアドバリューの発行者に特有で主観的なものであり、端末が本当に容易にアクセスされ、危険に曝されることを意味するものではない。
【００３３】
「チャージ＆おつり（ｃｈａｒｇｅ  ＆  Ｃｈａｎｇｅ）」または「Ｃ＆Ｃ」は、チャージ取引および小売店端末からカードへのストアドバリューの転送の両方を伴う、小売店端末とスマートカードとの間の支払取引を意味し、これについては、米国特許第５，７４４，７８７号および第６，０７６，０７５号で教示されており、その両方が参照によりその全体が本明細書に記載されているかのように組み込まれる。例えば、＄Ｐを支払うためのチャージ＆おつり取引は、＄Ｐより大きな金額＄Ｘがカードにチャージされ、＄Ｘ−＄Ｐの金額のストアドバリューがチャージとして端末からカードに転送されることによって行われる。
【００３４】
「電子コイン」または「コイン」は、ストアドバリューの電子的表現を意味し、各コインは額面金額およびシリアル番号を有する。コインは、例えば、米国特許第６，１１９，９４６号および第６，４６７，６８５号によって示されているように、効率的なシステムレベルの監査機構を提供するために考案されており、その両方の特許の全体が参照により本明細書に記載されているかのように組み込まれる。
【００３５】
「デジタル的に検証可能な」または「検証可能な」データは、その信頼性が、例えば、暗号化／暗号解読、メッセージ認証コードおよび／またはデジタル署名検証などの技術で知られる暗号方式で検証できるデータ（例えば、証明書または取引レコードなど）を意味する。
【００３６】
「正味金額」という用語は、一般に、小売店端末からペイメントカード（ｐａｙｍｅｎｔ  ｃａｒｄ）またはペイメントカードから小売店端末に転送されたストアドバリューの金銭的価値に関連する。ストアドバリューの表現および転送のために電子コインを使用する特定の場合（米国特許第６，１１９，９４６号および第６，４６７，６８５号を参照）、電子コインは、単一のストアドバリュー取引内において、ペイメントカードと小売店端末との間で両方向に転送され得、正味金額は、かかる転送の差額であり、例えば、４¢コインがペイメントカードから小売店端末に転送され、１¢コインが小売店端末からペイメントカードに転送される場合、正味金額は、ペイメントカードから小売店端末への３¢の転送である。
【課題を解決するための手段】
【００３７】
《脅威分析》
以下の分析は、本発明が撲滅するかまたは減少させる犯罪脅威の源および状況を表現する。分析は必ずしも完全なものではなく、本状況において別の脅威が存在し得、そのうちのいくつかも、本発明で克服または減少し得る。また、いくつかの脅威は減らし得るが、本発明では撲滅し得ない。
【００３８】
〔本発明で対象とする脅威の範囲〕
小売店端末は、小売店に対して当初供給されるままで、ストアドバリュー発行者によって信頼できると推定され、その当初のセキュリティは、カードから、または通信ネットワークを介したリモートコンピューターからの攻撃に関して、ＳＡＭのセキュリティに類似すると推定される。本議論の目的のため、物理的に盗まれていないか、または盗聴されていない端末に関して、セキュリティ脅威は、従来のセキュリティソリューションで満足のいくように応じられると考えられ、本明細書では議論しない。
【００３９】
また、小売店端末は認定されると仮定され、好ましくは、しかし、必ずしもではなく、ＥＭＶ規格の下で、オンラインおよびオフラインモードの両方において、チャージ（クレジットおよび／またはデビットおよび／またはプリペイド）取引を行うのに十分に安全であると見なされる。
【００４０】
対象の脅威は、ＳＡＭで提供されていたタンパー保護の欠如によって暗示されるさらなる脅威である。ＳＡＭは、そのデジタルコンテンツへの物理的なアクセスを防ぐが、そのコンテンツには、通常、構成および取引データ、プログラムコードおよび暗号化キーが含まれ、その全てがＳＡＭなし端末では、小売店端末に物理的にアクセスする熟達した犯罪者に曝されるようになる。
【００４１】
小売店端末に備わっているＳＡＭがないことが必ずしも暗示されているのではなく、ＳＡＭまたは他の任意の耐タンパーチップもしくは回路が小売店端末に存在する場合でさえ、ＳＡＭ固有の耐タンパーへの依存がないことが暗示されている。
【００４２】
〔決済システムに関する仮定〕
支払いのために定期的にカード保有者にサービスを提供する多くの小売店端末があると仮定する。小売店は、通常、小売店の端末を窃盗および盗聴から保護し、端末の大部分は危険に曝されていないと推定される。カード保有者は、複数の端末で支払いを行うために自分のカードを使用すると仮定され、その端末のほとんどは、危険に曝されていない。
【００４３】
〔犯罪者、犯罪パターンおよび対抗手段〕
関係する脅威は、デジタルコンテンツにアクセスしてそれを操作するために、端末への物理的なアクセスを伴う。物理的なアクセスは、端末の窃盗、または稼働している端末の物理的な盗聴のいずれかを必要とする。犯罪者は、窃盗犯、小売業者、小売店の従業員、および、自動販売機またはパーキングメーターなど、公共の場に置かれている容易にアクセス可能な端末を盗聴する人であり得る。
【００４４】
犯罪パターンには、
・決済のために偽のストアドバリューを提示して利益を得ること
・購入のために偽のストアドバリューを使用して利益を得ること
・他の人に偽のストアドバリューを販売して利益を得ること
・個人的な満足のためにシステムをハッキングすること
を含み得る。
【００４５】
対抗手段は、通常、
・端末およびハードウェアをタンパーから物理的に保護すること、および／またはタンパーされた端末を無効にすること
・危険に曝された端末および悪用されたカードを効果的に識別することにより、犯罪者を阻止すること
・潜在的な利益を最小限にし、そのため、攻撃を経済的に魅力のないものにすること
・潜在的損害を阻止および測定すること
・犯罪事件から素早く回復すること
を目的とする。
【００４６】
〔従来型のシステムおよび従来の改善で提供される固有の対抗手段〕
小売店端末は、通常、窃盗および盗聴から物理的に保護されている。これにより、ほとんどの端末は、危険に曝されていない状態になる。
【００４７】
盗まれたかまたはタンパーされた小売店端末を無効にして、そのメモリを消去する追加のハードウェアを提供すると、討議中のリスクおよび動機をさらに削減できる。安全な一意のＩＤのチップを小売店端末に追加し、その小売店端末のソフトウェアをそのチップにリンクすると、盗まれたかまたはタンパーされた小売店端末がコピーされるのを効果的に防ぎ得る。
【００４８】
ストアドバリューをロードするためのチャージ＆おつり機構（米国特許第５，７４４，７８７号および第６，０７６，０７５号）の採用により、ストアドバリューで使うことができる金額を少額（例えば、＄２５〜＄５０）に制限し、それは、買物のための偽のストアドバリューの使用または販売に関連した犯罪の動機を著しく減少させた。
【００４９】
ストアドバリューを監査するためのコイン（米国特許第６，１１９，９４６号および第６，４６７，６８５号）の採用により、偽のストアドバリューを供給するペイメントカードおよび端末を素早く効率的に見分け、それによって、偽のストアドバリューの決済、使用または販売から利益を得ることの実現可能性および動機を著しく減少させる。
【００５０】
本発明は、ＳＡＭがないか、またはＳＡＭを備えているがＳＡＭのセキュリティに頼らない小売店端末に特有のさらなる脅威に重点を置いて、前述の対抗手段に加えてさらなる改善を探し求める。
【発明の効果】
【００５１】
《概要》
本発明は、上で検討した固有の対抗手段に加え、そしてそれを超越して、ＳＡＭのないストアドバリュー決済システムに対する犯罪的な攻撃に関する動機を減少させ、ストアドバリューの発行者が曝される脅威を最小限にするようになる。
【００５２】
その最も広い意味において、本発明の好ましい実施形態は、取引が端末で悪用されないことを確実にするための取引の明細の監視および／または小売店端末の有効性の検証のため、ペイメントカードに対する新しいセキュリティの役割を課す。本発明のために、ペイメントカードは、危険に曝されておらず、ストアドバリューの発行者によって信頼されているタンパー防止のスマートカードであると推定される。
【００５３】
１の態様によれば、カードは、正味金額よりも大きいチャージ取引が成功して完了した場合に限り、ストアドバリューの正味金額がカードに追加されることを確実にすることにより、各支払い取引の明細を確認し、ストアドバリューのカードへの違法な注入を防ぐ。
【００５４】
第２の態様によれば、ストアドバリューが、連番の振られた、いくつかの額面金額の電子マネーから成る場合、カードは、カードに注入されているコインの総価値が、カードから端末に流れるコインの総価値（ストアドバリュー支払い取引でチャージ取引が関わらない場合）またはカードから端末に流れるコインの総価値とチャージ金額の合計（ストアドバリュー支払い取引でチャージ取引が含まれる場合）のいずれかより小さいことを確認する。
【００５５】
前述の第１および第２の態様における「カードが確認する」という用語は、小売店端末からの支払い要求に基づいて、カードが、カード上での操作に関連するすべてのストアドバリューの計算および実行のいずれも行うか、または計算および操作に関連するストアドバリューの全てもしくは一部が端末によって開始され、カードがかかる操作をモニタリングしてそれらの値をチェックし、前述の第１および第２の態様のいずれかもしくは両方の条件に違反するストアドバリュー転送の試みを拒絶または中止することを意味することに留意されたい。支払い取引がチャージ操作を伴う場合には、オンラインおよびオフライン状況の両方で、カードは、チャージ払いプロトコルでチャージ金額を知っていると推定される。
【００５６】
第３の態様によれば、端末証明書は、決済が成功すると、各小売店端末に対して、ストアドバリューの発行者または信頼できるサービス会社によって発行される。証明書は、少なくとも端末ＩＤ、および次の予期される決済時間＋安全マージンに等しい満了時間を含む。例えば、次の決済が２４時間後に予期される場合、証明書は現在の決済時間から４８時間の満了時間を含み得る。証明書は、デジタル的に検証可能な、すなわち、任意の有効なカードによって可読かつ検証可能であるが、権限のない者が偽造するのは現実的ではない方法で、端末証明書の発行者によりデジタル署名されているか、または暗号化されている。カードは、証明書の満了時間を検証し、それをカード時間と比較して、カード時間が満了時間よりも遅ければ、その取引を中止する。
【００５７】
第４の態様によれば、カードは、端末から端末時間を受信し、端末時間がカード時間より小さいか、または端末の証明書満了時間より大きい場合、取引を中止する。プラスチックのスマートカードと同様に、カードが組み込みのリアルタイムクロックを有していなければ、端末証明書が認証されていて、端末時間がカード時間より大きく、かつ、端末満了時間より大きくないという条件で、カード時間が、スマートカードのチップ内の不揮発性レジスターに保存され、そこから読み出され、端末時間に従って購入時に進められる。
【００５８】
第５の態様によれば、小売店端末でのストアドバリューの支払いの成功終結に向けて、カードは、カードが知っているストアドバリューおよびチャージの実際の流れに従って取引額を計算し、カードによりデジタル署名および／または暗号化された、その取引額に対する支払いレコードを発行する。支払いレコードは、小売店端末に送信され、そこで保持されて、ビジネスサイクルの終わりに決済の根拠として、その端末で受信した他の支払いレコードと共に小売店端末によって収集される。
【００５９】
カードによって発行および署名された支払いレコードは、ストアドバリューの発行者によって可読および検証可能な任意の形式を取ることができることに留意されたい。例えば、それは、ファイル、または端末の取引レコード内の行項目であり得、その場合、カードによって提供されたデジタル署名またはメッセージ認証コードは行の一部を形成する。
【００６０】
したがって、本発明の好ましい実施形態によれば、小売店端末でストアドバリューの支払い取引を行う間に、カードによって実行される方法が提供され、その方法は、（ａ）小売店端末とインタフェースをとること、および（ｂ）ストアドバリューの正の第１の金額を、第１の金額よりも小さくない、対応する第２の金額が小売店端末でカードによって支払われる場合に限り、カード内に受け入れることを含む。第２の金額は、チャージによって支払われ得る。
【００６１】
ストアドバリューがコインによって表され、各コインが額面金額およびシリアル番号を有する場合、そして、チャージ取引が関係しない場合、支払い取引は、小売店端末からカードに流れるように指定された、ゼロ個以上のコインの第１のグループ、およびカードから小売店端末に流れるように指定された、１つ以上のコインの第２のグループから構成され得、その場合、第１の金額は第１のグループの総価値と等しく、第２の金額は第２のグループの総価値と等しい。チャージ取引も含まれる場合、第１の金額は第１のグループの総価値に等しく、第２の金額は、第２のグループの総価値とチャージ取引の価額の合計に等しい。
【００６２】
本方法は、第１の金額を第２の金額から差し引くことによりカードによって計算される支払い金額に対する検証可能な支払いレコードを小売店端末に提供することも含み得る。
【００６３】
本方法は、小売店端末から受信した端末証明書の有効性を検証すること、および検証が否定の場合にストアドバリューの支払い取引を中止すること、検証が肯定の場合に、（ａ）カードの時間レジスターからカード時間を読み取ること、（ｂ）小売店端末から端末時間を受信すること、（ｃ）端末証明書から端末満了時間を取り出すこと、端末時間がカード時間より小さくなく、かつ、端末満了時間より大きくないかの両方を確認すること、および確認が否定であれば支払い取引を中止することをさらに含む。しかし、確認が肯定の場合、本方法は、時間レジスター内のカード時間を端末時間に従って設定することをさらに含む。
【００６４】
本発明の好ましい実施形態は、（１）マイクロプロセッサー、（ｂ）支払い取引を行うための選択可能な小売店端末と選択可能にインタフェースをとるための端末インタフェース、（ｃ）リモートアカウントにチャージするためにマイクロプロセッサーと協働するチャージモジュール、および、ペイメントカードと小売店端末との間で端末インタフェースを用いてストアドバリューの選択可能な額を転送するためにマイクロプロセッサーと協働し、ストアドバリューを保存するためのストアドバリュー財布を含むペイメントカードも含み、ペイメントカードは、選択された小売店端末とインタフェースを取りながら、選択された小売店端末で、正の第１の金額のストアドバリューを、第１の金額より小さくない、対応する第２の金額がペイメントカードで支払われたことを確認した場合に限り、受け入れるように動作する。チャージおよびストアドバリュー取引の両方を含む支払い取引では、第１の金額は、ストアドバリュー財布によって受信されたストアドバリューの正味金額であり、第２の金額は、チャージモジュールで支払われる。ペイメントカードが、チャージ取引を含まない支払い取引で、コインベースのストアドバリューシステム内で機能する場合、支払い取引は、小売店端末から財布に流れるように指定されたゼロ個以上のコインの第１のグループ、および財布から小売店端末に流れるように指定された１つ以上のコインの第２のグループから構成され、第１の金額は第１のグループの総価値に等しく、第２の金額は第２のグループの総価値に等しい。チャージおよびストアドバリュー取引の両方を含む支払い取引では、第１の金額は、選択された小売店端末からストアドバリュー財布で受信されたコインの総価値に等しく、第２の金額は、選択された小売店端末でチャージモジュールによって支払われたチャージ金額と、ストアドバリュー財布から選択された小売店端末に転送されたコインの総価値の合計に等しい。カードは、第１の金額を第２の金額から差し引くことにより支払い金額を計算し、その支払い金額に対する検証可能な支払いレコードを選択された小売店端末に提供するよう、さらに動作し得る。
【００６５】
カードは、カード時間レジスターを含み、選択された小売店端末から受信した端末証明書の有効性を検証し、検証が否定の場合には取引を中止し、端末証明書が有効であると分かった場合、端末は、カード時間レジスターからカード時間を読み取り、選択された小売店端末から端末時間を受信し、証明書から端末満了時間を取り出し、端末時間がカード時間より小さくなく、かつ、端末満了時間より大きくないかの両方を確認し、確認が否定の場合は取引を中止するように動作し得る。確認が肯定の場合、カードは、カード時間レジスター内のカード時間を端末時間に従って設定するように動作する。
【００６６】
本発明の好ましい実施形態は、（１）ペイメントカードと通信するためのカードインタフェース、（ｂ）ネットワークを経由して、ストアドバリュー処理サーバーとインタフェースをとるためのネットワークインタフェース、（ｃ）端末ＩＤおよび端末満了時間を含む端末証明書を保存するための端末証明書レジスター、および（ｄ）（ｉ）ストアドバリュー処理サーバーでの決済中に、端末証明書レジスター内に保存された端末証明書を更新し、（ｉｉ）カードとのインタフェース中に、端末証明書をカードに提示するように構成されたプロセッサーを含む小売店端末も含む。
【００６７】
本発明の好ましい実施形態は、ストアドバリュー処理サーバーを操作するための方法も含み、本方法は、小売店端末とインタフェースをとること、小売店端末から端末識別を受信すること、ならびに、端末識別に関して不正が識別されない場合は、小売店端末に対して、少なくとも端末識別および端末満了時間を含む、新たな端末証明書を発行すること、および小売店端末に対して新たな端末証明書を提供することを含む。不正が識別されない場合かつその場合に限り、本方法は、小売店端末でストアドバリュー決済を実行することも含む。
【００６８】
本発明は、図と併せて、以下の詳細な説明からより良く理解されるであろう。
【図面の簡単な説明】
【００６９】
【図１】本発明の好ましい実施形態による決済システムを説明する、簡略化したブロック図である。
【図２】端末証明書を説明する、簡略化したブロック図である。
【図３】カード時間、端末時間および端末満了時間の置換を示す、簡略化したブロック図である。
【図４】小売店端末とインタフェースをとる際のカードの動作を説明する、簡略化した流れ図である。
【図５】本発明の好ましい実施形態による支払い取引を説明する、簡略化した流れ図である。
【図５Ａ】本発明の別の好ましい実施形態による支払い取引を説明する、簡略化した流れ図である。
【図５Ｂ】本発明の好ましい実施形態による、小売店端末での選択可能な支払いおよび／またはロード取引を説明する、簡略化した流れ図である。
【図５Ｃ】本発明の好ましい実施形態による、小売店端末での選択可能な支払い取引、またはロード端末での安全なロード取引を説明する、簡略化した流れ図である。
【図６】ストアドバリュー支払いレコードの例示的な内容を示す、簡略化したブロック図である。
【図７】本発明の好ましい実施形態による決済手続きを説明する、簡略化した流れ図である。
【発明を実施するための形態】
【００７０】
《決済システム》
本発明の好ましい実施形態による決済システム１００を説明する図１について述べる。本システムは、複数のペイメントカードのうちの１つであるペイメントカード１１０、複数の小売店端末のうちの１つである小売店端末１４０、クレジットおよび／またはデビット処理を担当するチャージ処理サーバー１８０、ならびにストアドバリューの生成、決済、監査およびセキュリティに関連するあらゆる側面を管理および監視するストアドバリュー処理サーバー１９０を含む。
【００７１】
ペイメントカード１１０は、データの保存および処理のためのセキュアチップを含むスマートカードであり、例えば、プラスチックカード、キーフォブ、または携帯電話など、任意の持ち運び可能な形状因子を有し得る。好ましいが、必ずしも必要ではなく、ペイメントカード１１０は、ＥＭＶ規格の下で認定された多用途カード（ｍｕｌｔｉ−ａｐｐｌｉｃａｔｉｏｎ  ｃａｒｄ）である。カードのマイクロプロセッサー１２６は、カード時間レジスター１１４、チャージモジュール１１８および以下で説明するストアドバリュー財布１２２の全てまたは一部を含む、ペイメントカード１１０の通信および機能の処理を管理し、残りは、随意に、以下で説明する任意の専用ハードウェア構成要素上で実行する。
【００７２】
チャージモジュール１１８は、アカウントおよびカード保有者データ、クレジットおよびデビット支払いの技術分野で周知のように、小売店端末１４０およびチャージ処理サーバー１８０と協働して、ペイメントカード１１０がクレジットおよび／またはデビット取引を実行できるようにするための暗号化キーおよび取引パラメーターを含む。好ましいが、必ずしも必要ではなく、決済システム１００は、ペイメントカード１１０が、当技術分野で周知の規定および規則の下、小売店端末１４０でオンラインおよびオフラインの両方のチャージを行うことができるようにする。
【００７３】
カード時間レジスター１１４は、カードのマイクロプロセッサー１２６にペイメントカード１１０に知られている最後の時間を提供する。いくつかの好ましい実施形態では、ペイメントカード１１０が携帯電話に組み込まれている場合など、カード時間レジスター１１４は、リアルタイムクロックであり得る。他方、一般的なプラスチックカードの形状因子の場合には、カードは、リアルタイムクロックを実現不可能にする独自の電源を有していない。かかる場合、カード時間レジスター１１４は、不揮発性メモリ記憶装置であり、以下で図４を参照して詳しく述べるように、小売店端末の現在の時間に従って、有効な支払い取引時に調整される。
【００７４】
ストアドバリュー財布１２２は、好ましくは、ストアドバリューを保存するための安全な記憶装置、ストアドバリュー取引データおよび以下で説明する端末証明書を有効にするための暗号化キー、取引ログ情報、カードのマイクロプロセッサー１２６のストアドバリュー関連操作のためのソフトウェア、ならびに、おそらくは、ストアドバリュー特有の計算または暗号化計算を実行するための自律的コントローラーを含む。いくつかの実施形態では、カード時間レジスター１１４は、ストアドバリュー財布１２２の一部として実施され得る。
【００７５】
端末インタフェース１３０は、支払い取引中に、カードのマイクロプロセッサー１２６が小売店端末１４０と通信できるようにする。ペイメントカード１１０が独自の電源を有していない場合、端末インタフェース１３０は、取引中に、ペイメントカード１１０にエネルギーを供給するため、小売店端末１４０から電気エネルギーも取得する。端末インタフェース１３０は、例えば、標準的なスマートカードの接触型インタフェース（例えば、ＩＳＯ  ７８１６下）、データ交換のため、および、おそらくは、電磁誘導（例えば、ＩＳＯ  １４４４３下）によりペイメントカード１１０にエネルギーを供給するためにも、電磁信号を使用する非接触型電磁気インタフェース、または、ペイメントカード１１０が自己エネルギー供給型の場合は、赤外線もしくはブルートゥースのインタフェースであり得る。
【００７６】
小売店端末１４０は、支払い取引のためにペイメントカード１１０とインタフェースをとる。支払いは、商品またはサービスの購入のためであり得るが、しかし、本開示との関連で、ストアドバリュー金額のストアドバリュー財布１２２へのロードおよびチャージモジュール１１８によるその金額のチャージ（おそらくは、適用可能な手数料を追加しながら）に終わる、純粋なロード取引も、支払い取引と見なされるだろう。カードインタフェース１４４は、例えば、標準的なスマートカードの接触型インタフェース、非接触型電磁気インタフェース、またはブルートゥースもしくは赤外線インタフェースなどの、照合技術を使用して、ペイメントカード１１０の端末インタフェース１３０とリンク１３４経由でインタフェースをとる。ペイメントカード１１０が自己エネルギー供給型でない場合、カードインタフェース１４４は、取引中に、ペイメントカード１１０にエネルギーを供給するためにも使用される。
【００７７】
購入装置１４２は、カードで支払われる支払い金額を決定する。購入装置１４２の例には、スキャナーに接続されたキャッシュレジスター、自動販売装置（例えば、自動販売機、パーキングメーター、または公衆電話など）、または人間のオペレーターから支払い金額を受け取るためのキーパッドを含む。購入装置１４２は、小売店端末１４０の一体型装置であり得るか、または小売店端末１４０の他のブロックの物理的構造の外部にあって、通信リンクを介して端末のマイクロプロセッサー１４８と通信できる。
【００７８】
端末のマイクロプロセッサー１４８は、小売店端末１４０の計算タスクおよび通信タスクを実行するため、小売店端末１４０の他の装置と接続する。チャージハンドラー１５６は、好ましくは、端末のマイクロプロセッサー１４８により、一方ではペイメントカード１１０のチャージモジュール１１８で、および他方ではチャージ処理サーバー１８０で、クレジットおよび／またはデビット取引を実行するための、ソフトウェアおよび小売店端末１４０の認証情報を含む不揮発性メモリである。
【００７９】
ストアドバリューハンドラー１５２は、好ましくは、端末のマイクロプロセッサー１４８により、ペイメントカード１１０のストアドバリュー財布１２２を用いてストアドバリュー取引を実行するため、およびストアドバリュー処理サーバー１９０のストアドバリュープロセッサーモジュール１９４を用いてストアドバリューを決済するために、ソフトウェアおよび小売店端末１４０の認証情報を含む不揮発性メモリである。ストアドバリュー取引は、以下で説明するように、様々なストアドバリュー方式に従って実行できる。リアルタイムクロック１６０は、端末のマイクロプロセッサー１４８に現在の日時データを、報告および運用用途のための入力として提供する。端末証明書レジスター１６８（図２も参照）は、決済の成功時に、ストアドバリュー処理サーバー１９０の端末証明書発行者モジュール１９２から受信し、図４に関連して後述するように、ペイメントカード１１０によって確認される、端末証明書を保存する。ネットワークインタフェース１６４は、小売店端末１４０が、チャージ処理サーバー１８０およびストアドバリュー処理サーバー１９０とネットワーク１７０を介して通信できるようにする。
【００８０】
チャージ処理サーバー１８０は、通常のクレジットおよび／またはデビット承認ならびに決済取引のために、小売店端末１４０をそれぞれの取得者および発行者と接続する、金融機関のサーバーまたは専用取引プロセッサーである。
【００８１】
ストアドバリュー処理サーバー１９０は、使用するストアドバリュー決済システムの明細に従い、小売店端末１４０とのストアドバリュー転送の安全な処理のため、およびかかる転送に対して責任をもつために、プログラムおよび認証情報に加え、データ記憶および処理ハードウェアを含む、ストアドバリュープロセッサーモジュール１９４によってほとんどが実行される、ストアドバリューに関連する決済およびサービスのために、小売店端末１４０とインタフェースをとる。チャージ＆おつり（米国特許第５，７４４，７８７号および第６，０７６，０７５号）、コインベースの監査（米国特許第６，１１９，９４６号および第６，４６７，６８５号）およびブランドによる決済（米国特許第６，０６５，６７５号）を採用する改善された決済システムの本発明の好ましい実施形態では、ストアドバリュープロセッサーモジュール１９４は、成功した決済中の小売店端末１４０でのストアドバリューの準備、コインの確認およびリフレッシュ、ならびにカードのブランドによる決済の集計も管理する。
【００８２】
端末証明書発行者モジュール１９２は、小売店端末１４０との決済の成功時に、端末証明書レジスター１６８に保存される、新たな証明書を発行する。証明書は、端末ＩＤおよび、次に予期される決済時間＋事前定義した安全マージンに等しい満了時間を含む。例えば、次の決済が２４時間後に予期されている場合、証明書は、現在の決済時間から４８時間の満了時間を含み得る。証明書は、任意の有効なカードによってデジタル的に検証可能であり、権限のない者が偽造するのが現実的ではないか、または少なくとも過度に高価になるように、デジタルセキュリティの技術分野で周知の技術によって暗号で保護されている。しかし、危険に曝されている小売店端末１４０の証明書は可読であり、端末のクローンにコピーできると推定されるが、証明書の満了時間を延長することはない。
【００８３】
ネットワーク１７０は、専用の金融ネットワークまたは公衆ネットワーク（例えば、インターネットまたは移動通信ネットワーク）のいずれかである。ネットワーク１７０は、小売店端末１４０をチャージ処理サーバー１８０およびストアドバリュー処理サーバー１９０と選択的に接続する働きをする。
【００８４】
リンク１３４は、カード保有者がペイメントカード１１０を支払いのために小売店端末１４０で提示すると、ペイメントカード１１０と小売店端末１４０との間に一時的確立され、カードのマイクロプロセッサー１２６と端末のマイクロプロセッサー１４８との間のデータ通信を可能にする。いくつかの状況では、リンク１３４は、電気エネルギーを小売店端末１４０からペイメントカード１１０に供給もする。リンク１３４の技術は、前述した、端末インタフェース１３０およびカードインタフェース１４４の技術に合致する。
【００８５】
リンク１７４は、小売店端末１４０を、承認ならびにクレジットおよび／またはデビット支払いの決済のためのチャージ処理サーバー１８０、ならびに、ネットワーク経由によるストアドバリューに関連する取引のためのストアドバリュー処理サーバー１９０と選択可能に接続する。好ましいが、必ずしも必要ではなく、小売店端末１４０は、オフラインモードでも動作でき、そして、リンク１７４は、切断またはアイドル状態にできる。リンク１７４は、ネットワークインタフェース１６４およびネットワーク１７０の通信技術に合致する任意の通信技術を採用できる。
【００８６】
《端末証明書》
図２は、端末証明書発行者モジュール１９２によって生成され、端末証明書レジスター１６８に保存され、そして、カードのマイクロプロセッサー１２６によって確認される、端末証明書２００の署名済み端末証明書２０２および暗号化端末証明書２０４の２つの好ましい実施形態について説明する。署名済み端末証明書２０２は、次の３つのフィールド：（１）決済時に小売店端末１４０をストアドバリュー処理サーバー１９０に対して、および、おそらくは、ペイメントカード１１０に対しても、一意に識別する端末ＩＤ  ２００Ｔ、（２）次の予期される決済時間＋好ましくは、決済が正当に遅れる場合のための安全マージンに従い、ストアドバリュー処理サーバー１９０によって決定される端末満了時間２００Ｅ、および（３）端末ＩＤ  ２００Ｔおよび端末満了時間２００Ｅに署名し、カードのマイクロプロセッサー１２６によって検証可能なデジタル署名２００Ｄ、を含むプレーンテキスト文字列である。このように、署名済みデジタル証明書２００の内容は明らかで、誰でも読むことができるが、デジタル署名２００Ｄは、偽の証明書が権限なく生成されるのを防ぐ。
【００８７】
暗号化端末証明書２０４は、署名済み端末証明書２０２にあるような、端末ＩＤ  ２００Ｔおよび端末満了時間２００Ｅのデータを暗号化形式で含む。証明書は、好ましくは、端末証明書発行者モジュール１９２によって生成され、決済時に小売店端末１４０に提供され、そして、端末証明書レジスター１６８に暗号化形式で保存される。支払い時に任意のペイメントカード１１０に対して提示されると、そのカードは、暗号化デジタル証明書２０４を受信し、カードと端末証明書発行モジュール１９２との間で共有される適切な暗号化キーを使用して（好ましくは、秘密鍵が端末証明書発行者モジュール１９２によって保持され、公開鍵がストアドバリュー財布１２２に含まれる、非対称暗号鍵を使用して）、解読する。このように、暗号化端末証明書２０４の内容は、小売店端末１４０の端末証明書レジスター１６８に保存されるが、その暗号化により、小売店端末１４０をハッキングする人には判読不能にし、さらに、偽の証明書の作成は実行不可能である。
【００８８】
端末証明書２００の目的は、盗まれた端末によって引き起こされ得る有害な操作を通常は２、３日に制限することであり、その後、証明書が失効し、カードは期限切れの端末では取引を中止する（以下の図４を参照）ため、その端末を動作不能にするであろう。盗まれた端末は、識別されて、ストアドバリュー処理サーバー１９０に報告される可能性が高く、その後、端末証明書発行者モジュール１９２は、その証明書をそれ以上延長しない。それ故、たとえ盗まれた端末がその証明書と一緒に複製されても、全てのクローンによるどんな活動も、証明書の満了時間に終わるであろう。
【００８９】
端末が盗まれることなく、盗聴されてハッキングされた場合、かかる危険に曝された端末は、当初は識別および報告されず、その証明書が正常に更新されて、それにより、その端末がさらに侵害されるであろう。しかし、例えば、米国特許第６，１１９，９４６号および第６，４６７，６８５号のコインベースの監査など、効果的な監査機構が盗聴された端末を決済時に効率的に見分けて、その証明書の更新が一時停止されるだけでなく、端末が押収されて、その端末を盗聴している犯罪者が識別され得る。
【００９０】
〔時間単位および時計精度〕
本説明には、３つの時間の値：カード時間レジスター１１４のカード時間、端末のリアルタイムクロック１６０から取り出された端末時間、および端末証明書２００の検証から取得された満了時間が関係する。この３つの時間の値は、常に日付を含み、異なる時間単位で表され得る。例えば、端末時間は１秒の解像度で表され得、カード時間は１時間の解像度を使用し得、そして、端末満了時間は１日の解像度で表され得る（すなわち、満了時間は実際のところ満了日である）。かかる状況下での時間の比較は、当技術分野では一般的である。また、時間帯およびサマータイムが必要に応じて考慮に入れられることが推定され、本明細書ではさらに議論はしない。
【００９１】
時計精度も時間比較に影響し得る。これは、「猶予期間」（例えば、I分）を時間比較基準に取り入れることにより考慮に入れられる。かかる事前定義したマージンは、任意の時間比較ベースの決定に含まれ得、本明細書ではさらに議論はしない。
【００９２】
図３は、カード時間レジスター１１４のカード時間、端末のリアルタイムクロック１６０から受信した端末時間、および端末証明書２００の検証時に取得した満了時間の比較に基づいて、支払い中に小売店端末とインタフェースをとる際にカードに直面し得る６つのシナリオＡ〜Ｆを示す。シナリオ（Ａ）は、カード時間が、カード時間レジスター１１４がリアルタイムクロックである場合には実質的に端末時間に等しく、かつ、カード時間レジスター１１４が以前の購入取引で更新された不揮発性記憶レジスターである場合には端末時間より早いと予測され、また、端末時間が満了時間よりも遅くないと予測されるため、適切である。シナリオ（Ｂ）、（Ｄ）、（Ｅ）および（Ｆ）では、カードおよび／または端末時間に関して端末証明書が期限切れとなり、また、（Ｃ）、（Ｄ）および（Ｆ）では、端末時間がカード時間より早い（これは、通常の合法的な状態下では予期されない）ため、シナリオ（Ｂ）〜（Ｆ）の各々は例外を示し、好ましくは、カードによる取引の中止を引き起こすであろう。
【００９３】
《端末証明書の有効性の検証およびカード時間の更新》
図４は、小売店端末の有効性確認のため、支払い時にペイメントカード１１０によって実行される手続きを示す。ステップ２０１では、ペイメントカード１１０が、小売店端末１４０で支払い取引を行うためにカード保有者によって提示され、カードおよび端末が、端末インタフェース１３０、リンク１３４およびカードインタフェース１４４を介して通信し、カードが、端末によって端末証明書レジスター１６８から取り出される端末証明書２００を受信する。また、カードは、端末がリアルタイムクロック１６０から取り出す端末時間、および購入装置１４２によって決定される支払い金額要求を端末から受信する。
【００９４】
ステップ２０５で、カードは、端末証明書２００の有効性を確認する；例えば、署名済み端末証明書２０２が使用される場合には、端末ＩＤ  ２００Ｔおよび端末満了時間２００Ｅの真偽を検証するためにデジタル署名２００Ｄが確認され、暗号化端末証明書２０４が使用される場合には、端末ＩＤ  ２００Ｔおよび端末満了時間２００Ｅを取り出すためにペイメントカード１１０によって解読される。証明書が無効であることが分かった場合、取引はステップ２２９で中止され、カードはそれ以上端末と協働することはない。
【００９５】
ステップ２０５で、証明書が有効であると分かった場合、ステップ２１３は、端末時間がカード時間より早くなく、端末満了時間より遅くないこと（図３のシナリオ（Ａ））を検証する。検証が否定の場合、取引はステップ２２９で中止され、そうでない場合、ステップ２２１で、端末時間に従ってカード時間が随意に設定される。ステップ２２１は、カードがリアルタイムクロックを含む（例えば、カードが携帯電話の一部を形成する場合）か、またはカード時間が既に端末時間に等しい場合（これは、例えば、カード時間が実際のところカード日付であって、その日付が、同じ日の以前の成功した購入取引で既に適切に設定されている場合に起こり得る）にスキップされ得る。ステップ２２５では、以下で図５に関連してさらに説明するように、取引が実行される。
【００９６】
図４の処理は、端末の証明書が期限切れになると、盗まれたか、または盗聴された端末を無効にすることが理解されるであろう。カード時間レジスター１１４が最近更新されていない、いくつかのカードは、リアルタイムクロックが証明書の満了日付より早い時間に設定されているハッキングされた端末と、まだ協働し得るが、複数の端末で購入を行うためにカードが規則通りに使用されているという想定、および大多数の端末が危険に曝されておらず、それ故、カード時間を適切に保持しているという別の想定の下で、ハッキングされた端末、およびハッキングされた端末のクローンは、それらの証明書が失効すると、最終的に動作不能になり、ストアドバリュー処理サーバー１９０の端末証明書発行者モジュール１９２によってそれ以上は更新されない。
【００９７】
まだ有効な、ハッキングされた端末は、ステップ２１３での条件が、カード時間を検証済み満了時間（通常、１日〜２日以内）よりも遅く設定するのを許可しない（ステップ２２１）ため、ステップ２２１で、その時間を設定することにより、カードに遠い将来まで損害を与えることはできない（それは、カードが、ステップ２１３で正当な端末を失効した端末として解釈するようになり得る）ことを理解されるであろう。
【００９８】
《支払い取引》
図５は、小売店端末１４０（図１）でペイメントカード１１０によって行われた支払い取引を示す。以下で説明する操作および判断のいくつかは、小売店端末によって実行され、他は、小売店端末またはペイメントカードのいずれかによって実行され得、さらに他はセキュリティ上の理由からペイメントカードによって実行する必要がある；すなわち、ペイメントカードは安全で信頼できると考えられ、他方、小売店端末は、本状況では信頼できないと考えられることに留意されたい。以下で説明する支払い取引は、チャージ＆おつり（米国特許第５，７４４，７８７号および第６，０７６，０７５号）の論理に従う。
【００９９】
ステップ２４１で、ストアドバリュー財布１２２の中に金額＄Ｖの入っているペイメントカード１１０は、＄Ｐ＞０の支払いを行うために、小売店端末１４０とインタフェースをとる。好ましいが、必ずしも必要ではなく、ステップ２４１は、小売店端末１４０が有効な失効していない証明書をもつことをカードが確認する図４の手続きの実行の後、実行される。簡潔さのため、カードと端末の相互認証の慣習的方法については、本明細書および以降の図では説明しない。
【０１００】
チャージ＆おつり（米国特許第５，７４４，７８７号および第６，０７６，０７５号）によれば、従来型のチャージ（クレジットまたはデビット）取引の実行に適した閾値を定義するパラメーター＄ＭＩＮＣＨＡＲＧＥがある。ステップ２４５で、支払い金額＄Ｐは、端末によって＄ＭＩＮＣＨＡＲＧＥと比較され、＄ＭＩＮＣＨＡＲＧＥに等しいか大きい場合は、ステップ２５３で、チャージモジュール１１８に従い、従来の方式で＄Ｐをペイメントカード１１０にチャージするため、取引が、小売店端末１４０のチャージハンドラー１５６に照会される。しかし、いくつかの端末では、小売店端末１４０がパーキングメーター、券売機または自動販売機と一緒に協働するような場合と同様に、その端末における全ての支払い金額＄Ｐが、＄ＭＩＮＣＨＡＲＧＥを下回ることが分かっているため、ステップ２４５および２５３は、余分であり、使用されないことに留意されたい。
【０１０１】
ステップ２４９では、ペイメントカード１１０のストアドバリュー財布１２２に保存されている現在のストアドバリュー残高＄Ｖが、支払い金額＄Ｐを支払うために十分であるか否かを判断するために、端末またはカードのいずれかによって確認される。ステップ２４９の結果が正であれば、ステップ２５７で、支払い取引中に犯罪者がストアドバリューを有効にカードに注入するのを防ぐため、カードによって正であると確認されている、金額＄Ｐが、カードから小売店端末にストアドバリューによって転送され、それにより、ストアドバリュー財布１２２に有効に残高＄Ｖ−＄Ｐを残す。随意に、＄Ｐのストアドバリューの転送は、米国特許第６，１１９，９４６号および第６，４６７，６８５号によるコイン交換に基づき、これは、図５Ａに関連して後述するように、ストアドバリュー転送のための費用効率が高い監査機構を提供する。ステップ２６５で、カードは、金額＄Ｐに対するストアドバリュー支払いレコードを生成して、端末に提供し、それは、以下で図６に関連してさらに説明するように、カードによって署名され、ストアドバリュー処理サーバー１９０のストアドバリュープロセッサーモジュール１９４によって検証可能である。
【０１０２】
ステップ２４９で、金額＄Ｖのストアドバリューが金額＄Ｐの支払いに不十分であれば、ステップ２５１で、カードまたは端末がチャージ金額＄Ｘおよびおつりの金額＄Ｙを決定する。米国特許第５，７４４，７８７号および第６，０７６，０７５号に記載されているチャージ＆おつりによれば、＄Ｘは、通常、前述の＄ＭＩＮＣＨＡＲＧＥパラメーターに等しいが、小売店端末１４０のストアドバリューハンドラー１５２またはペイメントカード１１０のストアドバリュー財布１２２内にプログラミングされている運用規則によって決定される、もっと大きな値にも設定できる。チャージ金額の＄Ｙは、＄Ｘ−＄Ｐとして、端末またはカードによって計算される。
【０１０３】
ステップ２６１で、金額＄Ｘが、小売店端末１４０のチャージハンドラー１５６により、ペイメントカード１１０のチャージモジュール１１８と協働して、カードにチャージされ、カードは、チャージモジュール１１８で、＄Ｘの支払いが成功したことを検証する。その後、ステップ２６９で、
【数１】
2013527944.tif 000003
の場合に限り、ペイメントカード１１０のストアドバリュー財布１２２が、小売店端末１４０のストアドバリューハンドラー１５２から＄Ｙのストアドバリュー正味金額を受け取ることに同意し、このストアドバリュー転送は、＄Ｖ＋＄Ｙを含むストアドバリュー財布１２２で終わる。随意に、ストアドバリュー転送は、米国特許第６，１１９，９４６号および第６，４６７，６８５号によるコイン交換に基づき、これは、ストアドバリュー転送のための費用効率が高い監査機構を提供する。最後に、カードは、＄Ｘ−＄Ｙの計算、すなわち、チャージ額から、おつりとして端末から受け取ったストアドバリュー金額を引き、そして、以下で図６に関連してさらに説明するように、カードによって署名および／または暗号化され、ストアドバリュー処理サーバー１９０のストアドバリュープロセッサーモジュール１９４によって検証可能な、＄Ｘ−＄Ｙに対するストアドバリュー支払いレコードを生成して、端末に提供する。
【０１０４】
端末は＄Ｐ、＄Ｘおよび＄Ｙに関する決定の全てまたは一部を行い得るが、カードは、もっぱら、そして厳格に以下の操作の制御を行うことに留意されたい：
・カードは、
【数２】
2013527944.tif 000004
について、オンラインまたはオフラインチャージの成功完了を検証した場合にのみ、ストアドバリューで正味金額＄Ｙを受け取る（ステップ２６９）。これは、ハッカーが、ハッキングした小売店端末を使用して、多額のストアドバリューを他のどこかで使うためにカードに注入するのを防ぎ、また、カードへのストアドバリューの追加を、カードへの多額のチャージによって決まるようにもし、これは、かかる取引をカード保有者にとって魅力のないものにする。さらに、そして、好ましくは、＄Ｘは、チャージ＆おつり取引が比較的少額（例えば、＄ＭＩＮＣＨＡＲＧＥに等しいかまたは＄ＭＩＮＣＨＡＲＧＥの２倍まで）に制限されるように、小売店端末１４０のチャージハンドラー１５６およびペイメントカード１１０のストアドバリュー財布１２２のいずれかまたは両方によって制限され、それはさらに、損害および、他の端末で購入に使用するためにカードにストアドバリューを追加する目的で犯罪者がハッキングした小売店端末を使用する動機を制限する。
・端末によってカードにチャージされた金額（例えば、この場合は＄Ｘ）は、図１の決済システム１００に関与するスマートカードベースのチャージ（例えば、クレジットまたはデビット）方式により、オンラインおよびオフラインの両方の取引で、ペイメントカード１１０のチャージモジュール１１８（図１）に知られていると推定される。例えば、チャージ方式がＥＭＶ規格に基づく場合、チャージ金額は、ＥＭＶＣｏ．，ＬＬＣによって２００５年１２月に発行された、Ｃｏｍｍｏｎ  Ｐａｙｍｅｎｔ  Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ，Ｖｅｒｓｉｏｎ  １．０の§１５．４（オフラインチャージ）および§１７．４（オフラインチャージ）により、カードに知られている。
・チャージモジュール１１８とペイメントカード１１０のストアドバリュー財布１２２との間の通信は、ストアドバリュー財布１２２が、チャージモジュール１１８で＄Ｘの成功したチャージを知ることができるように、例えば、ペイメントカード１１０内部のカードのマイクロプロセッサー１２６がアクセス可能なメッセージを保存すること、または小売店端末１４０のチャージモジュール１１８によって署名されたメッセージを保存することなどにより、様々な方法で行うことができる。
・カードは、＄Ｘ（チャージ金額）−＄Ｙ（おつりの金額）、または＄Ｐ（正の受信したストアドバリュー金額）の金額に対する署名済みおよび／または暗号化ストアドバリュー支払いレコードを生成および提供し（ステップ２７３およびステップ２６５）、全ての値は、直接カードに知られている。それ故、カードによって署名および／または暗号化され、ストアドバリュー処理サーバー１９０によって支払われた金額を判断するため、決済時に小売店端末により小売店に対して提出される、ストアドバリュー支払いレコードは、決済時にストアドバリューに関連する過剰な金額を請求するために、小売店端末によって自己の判断では決定できない。これは、損害および、決済時にストアドバリューに関連した過剰な金額の請求のために、ハッキングした小売店端末を使用する小売店の犯罪の動機づけを、著しく制限する。
【０１０５】
〔監査のためのコインの使用〕
米国特許第６，１１９，９４６号および第６，４６７，６８５号に記載のとおり、ストアドバリューを表すため、各コインが額面金額および一意のシリアル番号を有する、コインの任意使用により、ストアドバリュー処理サーバー１９０のストアドバリュープロセッサーモジュール１９４が、効率的かつ素早く、危険に曝されている端末および、かかる端末と協働しているカードを、偽コイン（かかるコインは、重複または未発行のシリアル番号をもつことで識別される）を供給する中心として検出することにより、識別できるようにする。疑わしい端末またはカードを見分けると、調査で小売店／カード保有者を識別し、その結果、直ちに、危険に曝されている端末に対して新たな証明書を供給するのを終了して、小売店およびカード保有者の犯罪に対する主要な抑止力として機能する。
【０１０６】
コインベースのストアドバリューが使用される場合、図５のステップ２５７およびステップ２６９の２つのストアドバリュー転送取引は、それぞれ、カードから＄Ｐまたは端末からカードへ＄Ｙを移動するためにコインを使用する。両方の場合で、異なる額面金額のコインが両方の方向に移動し得、カードに良く知られている、正味金額（すなわち、＄Ｐまたは＄Ｙ）の転送のみが、ペイメントカードにより小売店端末に提供されるストアドバリュー支払いレコード内に報告される取引金額を決定するために役立つ。
【０１０７】
コインベースのストアドバリューシステム内での本発明の使用に関する詳細な説明については、以下で図５Ａに関連して記述する。
【０１０８】
〔ストアドバリュー決済方式〕
図５に含まれるストアドバリュー支払い取引は、小売店端末で記録された、＄Ｐまたは＄Ｘ−＄Ｙに対するストアドバリュー支払いレコードで終わる。適正な端末は、＄Ｘ−＄Ｙ＝＄Ｐと計算し、したがって、どちらの場合も、実際の支払い金額＄Ｐが、さらなるストアドバリュー関連決算のための根拠として、小売店端末で累算される支払いレコードに記録されることを理解されたい。レコードがカードのブランド別に合計され、加盟店手数料がブランドごとに計算される、かかる取引レコードに基づく決済のための詳細な方式は、米国特許第６，０６５，６７５号に記載に記載されており、その内容が参照により本明細書に組み込まれる。図５のプロセスは、小売店端末が偽のストアドバリュー支払いレコードを生成できないように、支払いレコードが、それぞれのカードによって生成され署名されることを確実にする。もちろん、危険に曝されている端末は、合法的な支払いレコードの複製を提出できるが、各レコードは一意であるため（以下の図６を参照）、かかる重複は、ストアドバリュー処理サーバー１９０のストアドバリュープロセッサーモジュール１９４によって直ちに見分けられ、いかなる損害も回避して、犯罪者予備軍をかかる構想から大いに阻止する。
【０１０９】
《コインベースのストアドバリューシステム内での支払い取引》
図５に関連して前述した説明では、米国特許第６，１１９，９４６号および第６，４６７，６８５号による、ストアドバリューを表すためのコインの任意使用について述べた。ストアドバリューを表すため、異なる額面金額の連番の振られたコインの使用は、本発明にとっても有益である、費用効率が高い監査機構を提供する。図５Ａに関連した本説明では、図５の機構を、コインベースのストアドバリューを使用する実施態様に対して、さらに適合する方法を教示する。
【０１１０】
図５Ａは、小売店端末１４０（図１）でペイメントカード１１０によって行われた支払い取引を示す。以下で説明する操作および判断のいくつかは、小売店端末によって実行され、他は、小売店端末またはペイメントカードのいずれかによって実行され得、さらに他はセキュリティ上の理由からペイメントカードによって実行する必要がある；すなわち、ペイメントカードは安全で信頼できると考えられ、他方、小売店端末は、本状況では信頼できないと考えられることに留意されたい。以下で説明する支払い取引は、チャージ＆おつり（米国特許第５，７４４，７８７号および第６，０７６，０７５号）の論理およびコインベースの監査（米国特許第６，１１９，９４６号および第６，４６７，６８５号）に従い、その全てが参照により本明細書に組み込まれる。
【０１１１】
ステップ２４１Ａで、ストアドバリュー財布１２２の中に、コインで表される、金額＄Ｖの入っているペイメントカード１１０は、＄Ｐの支払いを行うために、小売店端末１４０とインタフェースをとる。好ましいが、必ずしも必要ではなく、ステップ２４１Ａは、小売店端末１４０が有効な失効していない証明書をもつことをカードが確認する図４の手続きの実行の後、実行される。
【０１１２】
チャージ＆おつり（米国特許第５，７４４，７８７号および第６，０７６，０７５号）によれば、従来型のチャージ（クレジットまたはデビット）取引の実行に適した閾値を定義するパラメーター＄ＭＩＮＣＨＡＲＧＥがある。ステップ２４５で、支払い金額＄Ｐは、端末によって＄ＭＩＮＣＨＡＲＧＥと比較され、＄ＭＩＮＣＨＡＲＧＥに等しいか大きい場合は、ステップ２５３で、チャージモジュール１１８に従い、従来の方式で＄Ｐをペイメントカード１１０にチャージするため、取引が、小売店端末１４０のチャージハンドラー１５６に照会される。しかし、いくつかの端末では、小売店端末１４０がパーキングメーター、券売機または自動販売機と一緒に協働するような場合と同様に、その端末における全ての支払い金額＄Ｐが、＄ＭＩＮＣＨＡＲＧＥを下回ることが分かっているため、ステップ２４５および２５３は、余分であり、使用されないことに留意されたい。
【０１１３】
ステップ２４９では、ペイメントカード１１０のストアドバリュー財布１２２に保存されている現在のストアドバリュー残高＄Ｖが、支払い金額＄Ｐを支払うために十分であるか否かを判断するために、端末またはカードのいずれかによって確認される。
【０１１４】
ステップ２４９の結果が正であれば、ステップ２５５で、カードから小売店端末に転送する必要があって（米国特許第６，１１９，９４６号および第６，４６７，６８５号の図１３のステップ１３１−１で教示されるとおり）、その総価値がストアドバリュー財布１２２により現在＄Ｂとして計算されるコインを判断するため、および小売店端末からカードに転送する必要があって（米国特許第６，１１９，９４６号および第６，４６７，６８５号の図１３のステップ１３１−１で教示されるとおり）、その総価値がストアドバリュー財布１２２により現在＄Ａとして計算されるコインを判断するために、金額＄Ｐが、ペイメントカード１１０のストアドバリュー財布１２２または小売店端末１４０のストアドバリューハンドラー１５２のいずれかで処理される。
【０１１５】
ステップ２５７Ａで、カードは、ステップ２５５で決定され、その総価値が＄Ｂであるコインを端末に送信し、ステップ２５５で決定され、その総価値が＄Ａであるコインを、＄Ａ＜＄Ｂであることを検証した場合、すなわち、購入取引中に、ストアドバリュー財布１２２内のストアドバリューの総価値の有効な増加が起こらない場合に限り、小売店端末から受信することを同意し、そうでない場合、カードは、ストアドバリューのカードへの転送を拒絶するか、または取引を中止する。カードがコイン交換の計算および実行を制御する場合、好ましくは、端末からコインを受け取る前に、カードがまずコインを端末に送信し、そうでない場合は、コインがカードによって決定されたとおりに交換されなければ、コイン交換取引を中止するコイン交換プロトコルを使用する。これは、たとえ、小売店端末がカードと小売店端末との間で交換するコインを計算する場合でさえ、小売店端末のハッカーが、偽のストアドバリューをカードに有効に注入するためのコイン交換機構を悪用するのを防ぐ。
【０１１６】
ステップ２６５Ａで、カードは、カードによって計算されるとおり、カードから小売店端末に転送されるストアドバリューの正味金額を表す、＄Ｂ−＄Ａの金額に対する支払いレコードを端末に提供する。支払いレコードは、以下で図６に関連してさらに説明するように、カードによって署名および／または暗号化され、ストアドバリュー処理サーバー１９０のストアドバリュープロセッサーモジュール１９４によって決済時に検証可能である。
【０１１７】
ステップ２４９で、ストアドバリューの金額＄Ｖが＄Ｐの金額の支払いに対して不十分な場合、ステップ２５１Ａで、チャージ金額＄Ｘ（図５のステップ２５１のように）、カードから小売店端末に転送される必要があって、その総価値がストアドバリュー財布１２２によって現在＄Ｂとして計算されるコイン、および小売店端末からカードに転送される必要があって、その総価値がストアドバリュー財布１２２によって現在＄Ａとして計算されるコインを決定するため、金額＄Ｐ、＄Ｖが、ペイメントカード１１０のストアドバリュー財布１２２および／または小売店端末１４０のストアドバリューハンドラー１５２のいずれかで処理される。チャージ＄Ｘのコンテキストにおける各コイン転送は、米国特許第６，１１９，９４６号のコラム１４〜１５によって教示される。
【０１１８】
ステップ２６１で、金額＄Ｘが、小売店端末１４０のチャージハンドラー１５６により、ペイメントカード１１０のチャージモジュール１１８と協働して、カードにチャージされ、カードは、チャージモジュール１１８で、＄Ｘの支払いが成功したことを検証する。
【０１１９】
ステップ２６９Ａで、カードは、ステップ２５１Ａで決定され、その総価値が＄Ｂであるコインを端末に送信し、ステップ２５１Ａで決定され、その総価値が＄Ａであるコインを、
【数３】
2013527944.tif 000005
であることを検証した場合、すなわち、チャージ＆おつり取引中に金額＄Ｘがカードにチャージされた後、ストアドバリュー財布１２２内のストアドバリューの総価値の有効な増加が起こらない場合に限り、小売店端末から受信することを同意する。これは、たとえ、小売店端末がカードと小売店端末との間で交換するコインを計算する場合でさえ、小売店端末のハッカーが、偽のストアドバリューをカードに有効に注入するためのコイン交換機構を悪用するのを防ぐ。
【０１２０】
ステップ２７３Ａで、カードは、カードによって計算されるとおり、カードから小売店端末に転送されるチャージ＋ストアドバリューの正味金額を表す、＄Ｘ＋＄Ｂ−＄Ａの金額に対する支払いレコードを端末に提供する。支払いレコードは、以下で図６に関連してさらに説明するように、カードによって署名され、ストアドバリュー処理サーバー１９０のストアドバリュープロセッサーモジュール１９４によって検証可能である。
【０１２１】
〔支払い端末での安全でないロード〕
図５Ｂは、信頼できない端末での＄Ｐの支払いおよび／またはロードのセッションを示す。ステップ２４１Ｂで、カードは、＄Ｐ（＄Ｐは、人間または自動の小売店から受信した入力によって決定している）の支払いを行うために支払い端末とインタフェースをとる。任意選択のステップ２４５Ｂで、支払い金額によって自動的に、またはカード保有者もしくは小売店から受信した入力に従って手動でのいずれかで、チャージにより支払いが行われるか否かが決定され、その場合、支払いは、ステップ２５３で従来の方式でチャージされる。ステップ２４９Ｂで、次のステップが支払いまたはロード取引を開始するか否かが決定され、例えば、ロード取引は、財布内の現在の残高が＄Ｐより少ない場合、またはカード保有者が将来の使用のためにバリューをロードしたい場合に必要であり得る。支払いがステップ２４９Ｂで決定されている場合、ステップ２５７で、ストアドバリューの正の正味金額＄Ｐが（コインまたはストアドバリューの任意の他の形式のいずれかを使用して）カードから端末に転送され、ステップ２６５で、カードは署名済みおよび／または暗号化＄Ｐ支払いレコードを端末に提供する。ステップ２７５で、カード保有者から端末によって受信した入力は、カード保有者が、例えば、将来の使用のために追加のストアドバリューをカードに手動でロードするため、別の取引に興味があることを示し得、この場合、手続きはステップ２４９Ｂに進む。
【０１２２】
ステップ２４９Ｂでロードが選択された場合、手続きは、例えば、カード保有者から受信した入力に従って、ロード金額＄Ｘを決定するために、ステップ２５１Ｂに進む。図５Ｂの状況下では、ロードセッションは安全でない、すなわち、そのセッションは、小売店端末１４０が単に通信パイプ（ｃｏｍｍｕｎｉｃａｔｉｏｎ  ｃｏｎｄｕｉｔ）として機能する、ペイメントカード１１０とストアドバリュー処理サーバー１９０との間の安全なセッション（図１を参照）を介して完了していない、と推定される。ステップ２６１で、カードは端末でチャージにより＄Ｘを支払い、その支払いを検証するが、これは、ペイメントカード１１０のチャージモジュール１１８を介して、オンラインまたはオフラインで行うことができる（図１）。ステップ２６９Ｂで、カードは、＄Ｙが＄Ｘに等しいか、またはロード手数料が適用される場合はおそらく若干少ないかのいずれかであることを検証した場合に限り、金額＄Ｙのストアドバリューをストアドバリュー財布１２２に受け取る。ステップ２７５で、端末は、セッションを終了するか否か、または、例えば、今しがたロードしたストアドバリューで購入を行うためなど、別の取引のためにステップ２４９Ｂに進むかの入力をカード保有者から受信する。
【０１２３】
《コインの安全なロード》
図５Ｃは、ペイメントカード１１０のストアドバリュー財布１２２とストアドバリュー処理サーバー１９０との間の安全なセッションでロードでき、さらに小売店端末１４０でストアドバリューコイン購入を行う、コインパースモードの使用を示す。
【０１２４】
ステップ２４１Ｃおよびステップ２４９Ｃで、カード保有者は、ストアドバリューをカードにロードするためにロード端末にアクセスするか、またはカードで支払いをするために支払い端末にアクセスするかを選択する。本明細書では「ロード端末」は、例えば、小売店端末もしくは有人のロードキオスク（ロードのための現金も受け取り得る）、パーソナルコンピューター、携帯電話または現金自動預払機（ＡＴＭ）などの、ペイメントカード１１０とストアドバリュー処理サーバー１９０との間のデータ通信を提供できる任意の通信装置である。ロード取引が選択されている場合は、ステップ２８１で、安全なロードセッションがペイメントカード１１０とストアドバリュー処理サーバー１９０との間に確立される。ステップ２８５では、随意にサービス手数料を付加して、ロード金額の支払いが、ロード端末の特質に従って、カードのチャージ、または別のカードのチャージ、または現金での支払いのいずれかによって支払われる。ステップ２８９で、ペイメントカード１１０またはストアドバリュー処理サーバー１９０は、コインのストアドバリュー財布１２２へ移動およびそこから移動する必要のあるコインを計算し、ステップ２９３で、そのコインが、ステップ２８１で確立された安全なセッション下で実際にさらに移動される。
【０１２５】
ステップ２８１〜ステップ２９３はロードセッションであり、ペイメントカード１１０およびストアドバリュー処理サーバー１９０の両方が信頼され、それらの間のロードセッションが安全な通信セッションを介して行われるため、カードはコインの流れを監視する必要がない（が、まだあり得る）ということに留意されたい。
【０１２６】
ステップ２４１およびステップ２４９で、カード保有者は、信頼できない小売店端末で＄Ｐの支払いを行うことを選択する場合、ステップ２５５でカードおよび／または小売店端末が、小売店端末からカードへ移す必があって、その総価値が＄Ａのコイン、およびカードから小売店端末へ移す必があって、その総価値が＄Ｂのコインを計算および決定する。ステップ２５７Ａで、カードは、ステップ２５５で決定され、その総価値が＄Ｂであるコインを端末に送信し、ステップ２５５で決定され、その総価値が＄Ａであるコインを、＄Ａ＜＄Ｂであることを確認した場合、すなわち、購入取引中に、ストアドバリュー財布１２２内のストアドバリューの総価値の有効な増加が起こらない場合に限り、小売店端末から受信することを同意し、そうでない場合、カードは、ストアドバリューのカードへの転送を拒絶するか、または取引を中止する。カードがコイン交換の計算および実行を制御する場合、好ましくは、端末からコインを受け取る前に、カードがまずコインを端末に送信し、そうでない場合は、コインがカードによって決定されたとおりに交換されなければ、コイン交換取引を中止するコイン交換プロトコルを使用する。これは、たとえ、小売店端末がカードと小売店端末との間で交換するコインを計算する場合でさえ、小売店端末のハッカーが、偽のストアドバリューをカードに有効に注入するためのコイン交換機構を悪用するのを防ぐ。
【０１２７】
図５Ｃの手続きでは、ストアドバリューのロードは、いくつかの実施形態では、別のカードのチャージまたは現金での支払いによって行われ得るため、カードは必ずしもチャージ機能を含まないことに留意されたい。本実施形態は、例えば、親がロードして子供が使用するストアドバリューカードに対して、魅力的であり得る。
【０１２８】
《ストアドバリュー支払いレコード》
図５に関連して前述したとおり、ストアドバリュー支払い取引は、ステップ２６５またはステップ２７３のいずれかで、カードが、それぞれ、＄Ｐまたは＄Ｘ−＄Ｙのいずれかの金額に対するストアドバリュー支払いレコードを生成し、端末に送信して終わる。図６は、かかるストアドバリュー支払いレコード２８０の内容を示す。支払いレコードは、好ましくは、小売店端末１４０のストアドバリューハンドラー１５２によって読取りおよび解釈が可能なテキスト文字列で表される。そのテキスト文字列は、カード情報２８０Ｃ、端末情報２８０Ｔ、支払い情報２８０Ｐおよびデジタル署名２８０Ｄの４つのフィールドを含む。カード情報２８０Ｃは、例えば、カード番号およびカード発行者など、従来型のデータによって、ペイメントカード１１０を識別する。端末情報２８０Ｔは、端末証明書２００からカードによって取り出された端末ＩＤ  ２００Ｔにより端末を識別する。支払い情報２８０Ｐは、図５のステップ２６５の＄Ｐまたはステップ２７３の＄Ｘ−＄Ｙのいずれかを含み、好ましくは、図４のステップ２０１で受信された端末時間に等しいと推定される取引時間も含み、また、おそらくは、端末から受信した取引シリアル番号も含む。かかる取引が図５のステップ２６１で実行されている場合には、＄Ｘに対するチャージ取引の明細も含む。デジタル署名２８０Ｄは、フィールド２８０Ｃ、２８０Ｔおよび２８０Ｐの内容に関連して、ペイメントカード１１０のストアドバリュー財布１２２によって生成され、それは、決済時にストアドバリュー処理サーバー１９０によって検証可能である。
【０１２９】
《ストアドバリュー決済》
図７は、ネットワーク１７０を経由してストアドバリュー処理サーバー１９０に接続することにより、小売店端末１４０によって定期的に開始される、決済手続きを説明する。かかる決済の標準的な頻度は、好ましくは、夜の遊休時間中、または必要に応じて、１日または２日に一度である。決済の頻度は、ストアドバリュー処理サーバー１９０によって事前に決定され、これは、決済中に、ストアドバリュー処理サーバー１９０によって端末に提供される端末証明書２００の満了時間に影響する。別の決済セッションが、図５のステップ２５３で行われるチャージを従来の方式で清算するために、チャージ処理サーバー１８０と接続することにより、小売店端末１４０によって行われ得ることに留意されたい。
【０１３０】
ステップ３０５で、小売店端末１４０は、決済のために、ストアドバリュー処理サーバー１９０に接続する。ステップ３１３で、端末は、図５のステップ２６５またはステップ２７３で記録された全てのストアドバリュー支払いレコード２８０、図５のステップ２６１でチャージ＆おつりの状況で行われた全ての変更、および監査データをストアドバリュー処理サーバー１９０に報告する。報告された全ての情報は、以前のストアドバリュー決済以後に行われた取引に関連し、データは、次のビジネスサイクルに向けて、小売店端末上でリセットされる。ステップ２６１で行われるチャージ＆おつりのチャージは、前述のように、別々に報告されるか、または、ストアドバリュー支払いレコード２８０の支払い情報２８０Ｐに含まれる。監査データは、好ましいが、必ずしも必要ではなく、米国特許第６，１１９，９４６号および第６，４５７，６８５号によって教示されるように、ストアドバリューハンドラー１５２を次のビジネスサイクルに向けてその指定された初期注入金額（ｐｒｉｍｉｎｇ  ａｍｏｕｎｔ）にリセットするため、ストアドバリュー処理サーバー１９０のストアドバリュープロセッサーモジュール１９４間で交換されるコインの形式である。
【０１３１】
ステップ３１７で、ストアドバリュー処理サーバー１９０のストアドバリュープロセッサーモジュール１９４は、不正を識別するために、受信した監査データ、ステップ２６１のチャージ取引およびストアドバリュー支払いレコード２８０をコンパイルする。不正の１つのタイプは、全てのストアドバリュー支払いレコード２８０の総金銭的価値、ステップ２６１のチャージの総額、および小売店端末１４０のストアドバリューハンドラー１５２を初期注入金額にリセットする必要のあるストアドバリューの（正または負の）金額（米国特許第５，７４４，７８７号および第６，０７６，０７５号）の間の不一致である。別のタイプの不正は、米国特許第６，１１９，９４６号および第６，４５７，６８５号によるコインベースの監査システムを実施するシステムにおいて、重複または未発行のシリアル番号を有するコインの検出である。さらに別のタイプの不正は、適切に署名されていないか、現在の支払い期間内にないか、別のストアドバリュー支払いレコードの複製であるか、または別の小売店端末の支払いレコードである、ストアドバリュー支払いレコード２８０の識別である。不正が検出されると、それらは報告されて、人間による調査、判断、介入および是正処置を引き起こし得る。ステップ３１７で不正が検出されない場合は、ステップ３２１で、米国特許第６，０６５，６７５号で開示のとおり、おそらくは、カードのブランドに従い、ストアドバリュー支払いレコード２８０の合計が、そこから手数料を引かれて、小売店の銀行預金口座に入れられる。
【０１３２】
ステップ３１７で不正が検出されていない場合は、ステップ３２５で、ストアドバリュー処理サーバー１９０の端末証明書発行者モジュール１９２が、次に予期される決済時間に従った満了時間を有する、新たな端末証明書を発行し、端末は、次のビジネスサイクルに対して準備を整えるであろう。
【０１３３】
限られた数の実施形態に関連して発明を説明してきたが、当業者には、本発明は本明細書で具体的に示し、説明してきたものに限定されないことを理解されるであろう。むしろ、本発明の特許請求の範囲は、当業者が本明細書を読むと思い付くような、従来技術にはない、変形形態および修正のみならず、本明細書で説明する様々な機能の組合わせおよび部分的組合わせの両方を含む。
【図１】
2013527944.tif 000006
【図２】
2013527944.tif 000007
【図３】
2013527944.tif 000008
【図４】
2013527944.tif 000009
【図５】
2013527944.tif 000010
【図５Ａ】
2013527944.tif 000011
【図５Ｂ】
2013527944.tif 000012
【図５Ｃ】
2013527944.tif 000013
【図６】
2013527944.tif 000014
【図７】
2013527944.tif 000015
【国際調査報告】
2013527944.tif 000016