(57)【要約】【課題】電子決済手段におけるユーザの識別情報を代替するデータの更新を、ユーザの端末装置と管理装置との通信を少なくしつつ、且つ更新が必要なタイミングで行う。【解決手段】無線通信端末１０は、クレジットカード機能におけるＰＡＮを代替するトークンを記憶し、電子決済が行われる場合には、当該トークンをトークン管理サーバ４０へ送信する。無線通信端末１０は、トークン更新条件を満たした場合、トークン生成プログラムに基づいてトークンを更新する。トークン管理サーバ４０は、ＰＡＮを、当該ＰＡＮを代替するトークンと対応付けて記憶し、無線通信端末１０からのトークンを受信すると、当該トークンに対応付けて記憶したＰＡＮに基づいて決済要求を決済サーバ６０へ送信する。、トークン管理サーバ４０は、無線通信端末１０と同じトークン更新条件を満たした場合、無線通信端末１０と同じトークン生成プログラムに基づいてトークンを更新する。【選択図】図１
2017111667.tif 000002
【特許請求の範囲】
【請求項１】
ユーザの端末装置と、管理装置とを備える決済システムにおいて、
前記端末装置は、
電子決済手段の識別情報を代替する第１データを記憶する第１記憶部と、
電子決済が行われる場合において、前記第１データを前記管理装置へ送信する送信部と、
所定の条件を満たした場合、所定のアルゴリズムで前記第１データを更新する第１更新部と
を有し、
前記管理装置は、
前記識別情報を、当該識別情報を代替する第２データと対応付けて記憶する第２記憶部と、
前記端末装置により送信された前記第１データを受信する受信部と、
受信した前記第１データと所定の関係である第２データに対応付けて前記第２記憶部に記憶された前記識別情報に基づいて、前記電子決済を要求する決済要求を送信する決済制御部と、
前記所定の条件を満たした場合、前記所定のアルゴリズムで前記第２データを更新する第２更新部と
を有する決済システム。
【請求項２】
前記端末装置は、前記第１データの送信に応じて前記電子決済が行われたことを検知する第１検知部を有し、
前記第１更新部は、前記第１検知部により前記電子決済が行われたことが検知された場合、前記第１データを更新し、
前記管理装置は、前記決済要求の送信に応じて前記電子決済が行われたことを検知する第２検知手段を有し、
前記第２更新部は、前記第２検知部により前記電子決済が行われたことが検知された場合、前記第２データを更新する
ことを特徴とする請求項１に記載の決済システム。
【請求項３】
前記第１更新部は、
前記電子決済の利用履歴に基づいて、前記所定の条件を満たした場合の前記第１データの更新が未完了と判定したときは、当該更新を行う
ことを特徴とする請求項１又は請求項２に記載の決済システム。
【請求項４】
前記第１記憶部は、前記第１データに加え、第３データを記憶し、
前記第２記憶部は、前記第２データに加え、第４データを記憶し、
前記送信部は、
前記第１データと前記第２データとが前記所定の関係にない場合には、前記第３データを送信し、
前記決済制御部は、
受信した前記第３データが前記第４データと前記所定の関係にある場合、前記決済要求を送信する
ことを特徴とする請求項１から請求項３のいずれか１項に記載の決済システム。
【請求項５】
前記ユーザを認証する認証部を有し、
前記決済制御部は、
前記認証に成功した場合には、前記決済要求を送信する
ことを特徴とする請求項４に記載の決済システム。
【請求項６】
前記端末装置として、第１端末装置と第２端末装置とがあり、
前記第１端末装置及び前記第２端末装置は、互いに通信を行うことにより前記第１記憶部に記憶された前記第１データを同期させる同期制御部を有する
ことを特徴とする請求項１から請求項５のいずれか１項に記載の決済システム。
【請求項７】
前記端末装置として、第１端末装置と第２端末装置とがあり、
前記第１端末装置は、前記電子決済が行われる前の所定のタイミングで、前記第１記憶部に記憶された前記第１データを、前記第２端末装置へ送信する同期制御部を有し、
前記第２端末装置は、前記第１端末装置から受信された前記第１データを、自装置の前記第１記憶部に記憶させ、前記電子決済が行われない場合でも、所定の条件を満たしたときには、当該第１データを削除する同期制御部を有する
ことを特徴とする請求項１から請求項６のいずれか１項に記載の決済システム。
【請求項８】
電子決済手段の識別情報を代替する第１データを記憶する第１記憶部と、電子決済が行われる場合において、前記第１データを送信する送信部と、所定の条件を満たした場合、所定のアルゴリズムで前記第１データを更新する第１更新部とを有する端末装置により送信された前記第１データを受信する受信部と、
前記識別情報を、当該識別情報を代替する第２データと対応付けて記憶する第２記憶部と、
受信した前記第１データと所定の関係である第２データに対応付けて前記第２記憶部に記憶された前記識別情報に基づいて、前記電子決済を要求する決済要求を送信する決済制御部と、
前記所定の条件を満たした場合、前記所定のアルゴリズムで前記第２データを更新する第２更新部と
を備える管理装置。
【請求項９】
電子決済手段の識別情報を代替する第１データを記憶する記憶部と、
電子決済が行われる場合において、前記第１データを、当該第１データと所定の関係である第２データに対応付けて記憶された前記識別情報に基づいて前記電子決済を要求する決済要求を送信するとともに、所定の条件を満たした場合、所定のアルゴリズムで前記第２データを更新する管理装置へ送信する送信部と、
前記所定の条件を満たした場合、前記所定のアルゴリズムで前記第１データを更新する更新部と
を備える端末装置。
【請求項１０】
電子決済手段の識別情報を代替する第１データを記憶する記憶部にアクセスする端末装置のコンピュータに、
電子決済が行われる場合において、前記第１データを、当該第１データと所定の関係である第２データに対応付けて記憶された前記識別情報に基づいて前記電子決済を要求する決済要求を送信するとともに、所定の条件を満たした場合、所定のアルゴリズムで前記第２データを更新する管理装置へ送信するステップと、
前記所定の条件を満たした場合、前記所定のアルゴリズムで前記第１データを更新するステップと
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子決済手段の不正使用を防止するための技術に関する。
【背景技術】
【０００２】
パスワードのような秘匿性の高い情報をネットワーク経由で送受信するシステムでは、当該ネットワークからの情報の漏洩が懸念される。これに対し、特許文献１，２には、パスコードがネットワークを伝送しないようにしつつ、複数の装置でパスコードの共有を可能にする技術が記載されている。具体的には、特許文献１には、ワンタイムパスコードを生成するための元となるシードを携帯電話のＵＳＩＭ（Universal Subscriber Identity Module）カードに記憶させ、シードと現在時刻とＰＩＮを用いてワンタイムパスコードを生成することが記載されている。特許文献３には、携帯電話とユーザ認証サーバとが、ユーザＩＤと、現在時刻情報と、共通の秘密情報とを用いて、ワンタイムパスワードを生成することが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８-４０９０７号公報
【特許文献２】特開２００８-４０９０８号公報
【特許文献３】特開２００２-２５９３４４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
電子決済を利用するためのユーザの識別情報として、例えば、クレジットカード機能におけるＰＡＮ（Primary Account Number）がある。また、ＰＡＮを代替する文字列であるトークンを利用した電子決済として、トークン決済と呼ばれる方法がある。このトークン決済では、ＰＡＮを扱うことなく電子決済を行うことが可能となるため、仮にトークンが漏洩したとしても、電子決済手段の不正利用を防止することができる。しかし、トークンは、ドメイン毎に作成されることが多く、同一ドメイン内では、トークンの漏洩によって電子決済手段が不正利用されてしまうおそれがある。また、決済時にトークンを店舗端末に通知する必要があるため、トークンが店舗端末に保存されて不正利用されるおそれがある。ネットワークを介してトークンを随時更新すれば不正利用の可能性は低減するが、ユーザの端末装置とサーバ装置との通信に係るネットワークの負荷の増大や、トークンの更新に係るユーザ操作の手間や費用、通信費用が発生するため、トークンの更新が頻繁に発生することは望ましくない。また、トークンを更新する必要がある場合であっても、ユーザの端末装置が圏外にある場合はネットワークに接続できないため、トークンを更新できない場合も想定される。
そこで、本発明は、電子決済手段におけるユーザの識別情報を代替するデータの更新を、ユーザの端末装置と管理装置との通信を少なくしつつ、且つ更新が必要なタイミングで行うことを目的とする。
【課題を解決するための手段】
【０００５】
上述した課題を解決するため、本発明の決済システムは、ユーザの端末装置と、管理装置とを備える決済システムにおいて、前記端末装置は、電子決済手段の識別情報を代替する第１データを記憶する第１記憶部と、電子決済が行われる場合において、前記第１データを前記管理装置へ送信する送信部と、所定の条件を満たした場合、所定のアルゴリズムで前記第１データを更新する第１更新部とを有し、前記管理装置は、前記識別情報を、当該識別情報を代替する第２データと対応付けて記憶する第２記憶部と、前記端末装置により送信された前記第１データを受信する受信部と、受信した前記第１データと所定の関係である第２データに対応付けて前記第２記憶部に記憶された前記識別情報に基づいて、前記電子決済を要求する決済要求を送信する決済制御部と、前記所定の条件を満たした場合、前記所定のアルゴリズムで前記第２データを更新する第２更新部とを有する。
【０００６】
本発明の決済システムにおいて、前記端末装置は、前記第１データの送信に応じて前記電子決済が行われたことを検知する第１検知部を有し、前記第１更新部は、前記第１検知部により前記電子決済が行われたことが検知された場合、前記第１データを更新し、前記管理装置は、前記決済要求の送信に応じて前記電子決済が行われたことを検知する第２検知部を有し、前記第２更新部は、前記第２検知部により前記電子決済が行われたことが検知された場合、前記第２データを更新してもよい。
【０００７】
本発明の決済システムにおいて、前記第１更新部は、前記電子決済の利用履歴に基づいて、前記所定の条件を満たした場合の前記第１データの更新が未完了と判定したときは、当該更新を行ってもよい。
【０００８】
本発明の決済システムにおいて、前記第１記憶部は、前記第１データに加え、第３データを記憶し、前記第２記憶部は、前記第２データに加え、第４データを記憶し、前記送信部は、前記第１データと前記第２データとが前記所定の関係にない場合には、前記第３データを送信し、前記決済制御部は、受信した前記第３データが前記第４データと前記所定の関係にある場合、前記決済要求を送信してもよい。
【０００９】
本発明の決済システムにおいて、前記端末装置として、第１端末装置と第２端末装置とがあり、前記第１端末装置及び前記第２端末装置は、互いに通信を行うことにより前記第１記憶部に記憶された前記第１データを同期させる同期制御部を有してもよい。
【００１０】
本発明の決済システムにおいて、前記端末装置として、第１端末装置と第２端末装置とがあり、前記第１端末装置は、前記電子決済が行われる前の所定のタイミングで、前記第１記憶部に記憶された前記第１データを、前記第２端末装置へ送信する同期制御部を有し、前記第２端末装置は、前記第１端末装置から受信された前記第１データを、自装置の前記第１記憶部に記憶させ、前記電子決済が行われない場合でも、所定の条件を満たしたときには、当該第１データを削除する同期制御部を有してもよい。
【００１１】
本発明の管理装置は、電子決済手段の識別情報を代替する第１データを記憶する第１記憶部と、電子決済が行われる場合において、前記第１データを送信する送信部と、所定の条件を満たした場合、所定のアルゴリズムで前記第１データを更新する第１更新部とを有する端末装置により送信された前記第１データを受信する受信部と、前記識別情報を、当該識別情報を代替する第２データと対応付けて記憶する第２記憶部と、受信した前記第１データと所定の関係である第２データに対応付けて前記第２記憶部に記憶された前記識別情報に基づいて、前記電子決済を要求する決済要求を送信する決済制御部と、前記所定の条件を満たした場合、前記所定のアルゴリズムで前記第２データを更新する第２更新部とを備える。
【００１２】
本発明の端末装置は、電子決済手段の識別情報を代替する第１データを記憶する記憶部と、電子決済が行われる場合において、前記第１データを、当該第１データと所定の関係である第２データに対応付けて記憶された前記識別情報に基づいて前記電子決済を要求する決済要求を送信するとともに、所定の条件を満たした場合、所定のアルゴリズムで前記第２データを更新する管理装置へ送信する送信部と、前記所定の条件を満たした場合、前記所定のアルゴリズムで前記第１データを更新する更新部とを備える。
【００１３】
本発明のプログラムは、子決済手段の識別情報を代替する第１データを記憶する記憶部にアクセスする端末装置のコンピュータに、電子決済が行われる場合において、前記第１データを、当該第１データと所定の関係である第２データに対応付けて記憶された前記識別情報に基づいて前記電子決済を要求する決済要求を送信するとともに、所定の条件を満たした場合、所定のアルゴリズムで前記第２データを更新する管理装置へ送信するステップと、前記所定の条件を満たした場合、前記所定のアルゴリズムで前記第１データを更新するステップとを実行させるためのプログラムである。
【発明の効果】
【００１４】
本発明によれば、電子決済手段におけるユーザの識別情報を代替するデータの更新を、ユーザの端末装置と管理装置との通信を少なくしつつ、且つ更新が必要なタイミングで行うことができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態に係る決済システムの全体構成を示す図。
【図２】同実施形態に係る無線通信端末の構成を示すブロック図。
【図３】同実施形態に係るカード型端末のハードウェア構成を示すブロック図。
【図４】同実施形態に係るトークン管理サーバのハードウェア構成を示すブロック図。
【図５】同実施形態に係る無線通信端末、カード型端末及びトークン管理サーバの機能構成を示すブロック図。
【図６】同実施形態に係る決済システムで実行される初期設定を示すシーケンスチャート。
【図７】同実施形態に係る決済システムで実行される電子決済〜トークンの更新に関する処理を示すシーケンスチャート。
【図８】同実施形態に係る決済システムで実行されるトークン生成プログラムの更新処理を示すシーケンスチャート。
【図９】同実施形態に係るトークン管理テーブルの更新の様子を示す図。
【図１０】同実施形態に係る決済システムにおける無線通信端末の動作の異常発生時の動作を示すシーケンスチャート。
【図１１】同実施形態に係る決済システムにおけるＳＩＭカードが差し替えられた場合の動作を示すシーケンスチャート。
【図１２】同実施形態に係る決済システムにおけるトークンが不一致となった場合の動作を示すシーケンスチャート。
【図１３】同実施形態に係る決済システムで扱われるトークンを示す図。
【図１４】同実施形態に係る決済システムにおける無線通信端末とカード型端末とのトークンの同期制御を示すシーケンスチャート。
【発明を実施するための形態】
【００１６】
以下、図面を参照して本発明の実施形態を説明する。以下、本発明の電子決済が、クレジットカード機能による電子決済手段を利用して行われる場合を説明する。クレジットカード機能の識別情報は、ＰＡＮとも呼ばれるクレジットカード番号である。
【００１７】
図１は、本発明の一実施形態に係る決済システム１の全体構成を示す図である。決済システム１は、無線通信端末１０と、カード型端末２０と、店舗端末３０と、トークン管理サーバ４０と、ウェブサーバ５０と、決済サーバ６０とを備える。店舗端末３０とトークン管理サーバ４０とは、専用回線等のネットワーク１００Ａを介して接続される。トークン管理サーバ４０と無線通信端末１０とは、インターネット等の公衆の通信回線であるネットワーク１００Ｂを介して接続される。
【００１８】
無線通信端末１０、及びカード型端末２０は、同一のユーザであるユーザＵによって携帯、使用される端末装置である。無線通信端末１０は、本実施形態ではスマートフォンであるが、フィーチャーフォンやタブレット型コンピュータ、ノート型パソコン、各種のウェアラブル型コンピュータ等の端末装置（本発明の第１端末装置の一例。）であってもよい。カード型端末２０は、カード型の端末装置（本発明の第２端末装置の一例。）である。なお、カード型端末２０は、ウェアラブル型やキーホルダ型等の、カード型でない端末装置で代用されてもよい。無線通信端末１０、及びカード型端末２０は、クレジットカード機能により電子決済を行う機能を有する。ユーザＵは、この電子決済を行う際、店舗端末３０（例えば電子レジスタ）のリーダライタ装置にカード型端末２０又は無線通信端末１０を近接させる。図１に示す店舗Ｐは、商品又はサービスを顧客に提供し、その提供の対価として顧客から金銭を受け取る商業施設の一例である。顧客は、提供された商品又はサービスの対価として、金銭（代金、料金或いは費用）を店舗へ支払う。
【００１９】
無線通信端末１０とカード型端末２０とは、或る距離以内に近接した場合に無線により接続することで無線通信（以下「近距離無線通信」という。）を行う機能を有する。無線通信端末１０とカード型端末２０とは、近距離無線通信を利用して、電子決済に係るデータの送受信を行う。
【００２０】
トークン管理サーバ４０は、電子決済に用いられるトークンを管理する管理装置である。トークンは、ＰＡＮを代替するデータで、換言すると、所定の規則に従ってＰＡＮから置き換えられた文字列を示す。ここにおいて、文字列は、複数の文字が連なって構成される。また、文字は、例えば数字又はアルファベットであるが、文字コードによって表される他の文字であってもよい。本実施形態のトークンは、特に断りのない限り、１つのＰＡＮを代替する。即ち、トークンは、１つのＰＡＮから置き換えられた単一の文字列を示す。なお、１つのＰＡＮから複数のトークンを生成することも可能である。
【００２１】
ウェブサーバ５０は、各種のウェブページを、ネットワーク１００Ｂを介して無線通信端末１０に配信する。本実施形態のウェブページとして、オンライン・ショッピング・サイト（ＥＣ（Electronic Commerce）サイトともいう。）が含まれる。オンライン・ショッピング・サイトを介して商品の購入が行われた場合も、無線通信端末１０からトークン管理サーバ４０にトークンが送信される。
【００２２】
決済サーバ６０は、トークン管理サーバ４０から受信したＰＡＮに基づいて、決済金額の引落処理等の決済処理を行うサーバ装置である。図１には決済サーバ６０が１台だけ示されているが、互いに異なるクレジットカード発行会社（イシュア）によって管理、運用される決済サーバ６０が複数存在してもよい。
【００２３】
図２は、無線通信端末１０のハードウェア構成を示す図である。図２に示すように、無線通信端末１０は、制御部１１と、ＵＩ（User Interface）部１２と、近距離無線通信部１３と、ネットワーク通信部１４と、非接触式ＩＣチップ１５と、記憶部１６と、ＳＩＭインタフェース部１７とを備える。
制御部１１は、演算処理装置としてのＣＰＵ、ＲＯＭ（Read Only Memory）及びＲＡＭ（Random Access Memory）を含むメモリを含むプロセッサを備える。ＣＰＵは、ＲＯＭ又は記憶部１６に記憶されたプログラムを、ＲＡＭに読み出して実行することにより、無線通信端末１０の各部を制御する。
【００２４】
ＵＩ部１２は、表示面に画像を表示する表示部（例えば液晶ディスプレイ）と、当該表示部の表示面に重ねて設けられ、ユーザの接触による操作入力を受け付けるためのタッチセンサとを備えるユーザインタフェースである。無線通信端末１０は、更に物理キー等の他の操作手段を備えてもよいし、音声入力による操作を受け付ける機能を備えてもよい。
【００２５】
近距離無線通信部１３は、外部装置と近距離無線通信を行う。近距離無線通信として、本実施形態ではＢｌｕｅｔｏｏｔｈ（登録商標）４．０（いわゆるBluetooth Low Energy）であるが、Ｗｉ−Ｆｉ（登録商標）やＡＮＴ等の他方式が採用されてもよい。
ネットワーク通信部１４は、例えば無線通信回路及びアンテナを有し、ネットワーク１００Ｂに接続して通信を行う。
非接触式ＩＣチップ１５は、プロセッサやアンテナ、データの読み書きに用いられるメモリ領域を有し、近接型の非接触通信を行うためのＩＣチップである。本実施形態では、非接触式ＩＣチップ１５は、電子決済が行われるときにトークンを送信する。
記憶部１６は、ＥＥＰＲＯＭ（Electronically Erasable and Programmable ROM）やフラッシュメモリ等の記憶装置を備え、制御部１１により実行されるＯＳ（Operating System）や、このＯＳ上で動作するプログラム等のデータを記憶する第１記憶部の一例である。更に、記憶部１６は、ＰＡＮを代替するトークン１６１（本発明の第１データの一例）が記憶されている。
【００２６】
ＳＩＭインタフェース部１７は、ＳＩＭカード７０を着脱可能なスロットを備え、このスロットに装着されたＳＩＭカード７０に記録された情報を読み出す。ＳＩＭカード７０は、ここでは、ネットワーク１００Ｂに接続して通信サービスを利用するための情報を記憶したカード型の記録媒体である。ＳＩＭカード７０は、各カードを識別するために割り当てられた媒体識別情報を記憶する。媒体識別情報は、本実施形態では、ＳＩＭカード７０に記憶されたＩＣＣＩＤ（Integrated Circuit Card ID）である。また、ＳＩＭカード７０は、トークン生成プログラムを記憶する。トークン生成プログラムは、ＩＣＣＩＤからトークンを生成するためのアルゴリズムが記述されたプログラムである。トークン生成プログラムは、１つのＩＣＣＩＤに基づいて複数通りのトークンを生成可能に構成されている。このため、トークン生成プログラムは、例えば、ＩＣＣＩＤと、何番目に生成されるトークンかを示す値とを引数とした関数によって、トークンを生成するための演算処理を規定する。このようにＩＣＣＩＤを引数とすることで、端末装置に固有、換言するとユーザに固有のトークンが生成される。また、ＩＣＣＩＤ及びトークン生成プログラムは、ＳＩＭカード７０に記憶されているので、これらの情報の漏洩によって電子決済に利用されるトークンの不正な生成、更にはクレジットカード機能の不正利用の可能性を低減させることができる。
【００２７】
図３は、カード型端末２０のハードウェア構成を示すブロック図である。図３に示すように、カード型端末２０は、制御部２１と、非接触式ＩＣチップ２２と、近距離無線通信部２３と、記憶部２４とを備える。制御部２１、非接触式ＩＣチップ２２、近距離無線通信部２３、及び記憶部２４の各々は、例えば、無線通信端末１０が備える同名のハードウェア回路と同じ構成である。
制御部２１において、ＣＰＵは、ＲＯＭ又は記憶部２４に記憶されたプログラムを、ＲＡＭに読み出して実行することにより、カード型端末２０の各部を制御する。記憶部２４は、トークン２４１を記憶する。制御部２１は、近距離無線通信部２３を介してトークン１６１の複製を無線通信端末１０から取得し、これをトークン２４１として記憶させる。
【００２８】
図４は、トークン管理サーバ４０のハードウェア構成を示す図である。図４に示すように、トークン管理サーバ４０は、制御部４１と、通信部４２と、記憶部４３とを備える。
制御部４１は、演算処理装置としてのＣＰＵ、ＲＯＭ及びＲＡＭを含むメモリを含むプロセッサを備える。ＣＰＵは、ＲＯＭ又は記憶部４３に記憶されたプログラムを、ＲＡＭに読み出して実行することにより、トークン管理サーバ４０の各部を制御する。
通信部４２は、例えばモデムを備え、店舗端末３０、決済サーバ６０、ウェブサーバ５０及び無線通信端末１０の各々と通信する。
【００２９】
記憶部４３は、例えばハードディスク装置を備え、制御部４１により実行されるＯＳや、このＯＳ上で動作するプログラム等のデータを記憶する第２記憶部の一例である。また、記憶部４３は、トークン管理テーブル４３１を記憶する。
トークン管理テーブル４３１は、複数のユーザの各々に関し、「トークン」と、「ＰＡＮ」と、「トークン生成プログラム」の各情報を対応付けたテーブルである。図４の例では、トークン「ＴＯＫＥＮ＿Ａ１１」に、ＰＡＮ「０１２３４ＸＸＸＸＸ」が対応付けられ、更に、「トークン生成プログラムｖｅｒＡ１」が対応付けられている。これは、トークン「ＴＯＫＥＮ＿Ａ１１」が、ＰＡＮ「０１２３４ＸＸＸＸＸ」を代替するトークンで、更に、このトークンの更新が行われる場合には、「トークン生成プログラムｖｅｒＡ１」が用いられることを意味する。トークン「ＴＯＫＥＮ＿Ａ１１」は、ユーザＵの無線通信端末１０が用いるトークン（本発明の第２データの一例）であるものとする。「トークン生成プログラムｖｅｒＡ１」は、無線通信端末１０に記憶されたトークン生成プログラムと同じアルゴリズムで構成される。
なお、トークン管理テーブル４３１では、トークン「ＴＯＫＥＮ＿Ｂ１１」に、ＰＡＮ「５６７８９ＹＹＹＹＹ」が対応付けられ、更に、「トークン生成プログラムｖｅｒＢ１」が対応付けられ、トークン「ＴＯＫＥＮ＿Ｃ１１」に、ＰＡＮ「１３５７９ＺＺＺＺＺ」が対応付けられ、更に、「トークン生成プログラムｖｅｒＣ１」が対応付けられている。「ＴＯＫＥＮ＿Ｂ１１」や「ＴＯＫＥＮ＿Ｃ１１」は、「ＴＯＫＥＮ＿Ａ１１」を利用するユーザと異なるユーザにより利用されてもよいし、同じユーザにより利用されてもよい。ただし、同じユーザにより利用される場合には、「ＴＯＫＥＮ＿Ｂ１１」や「ＴＯＫＥＮ＿Ｃ１１」には、「ＴＯＫＥＮ＿Ａ１１」と同じトークン生成プログラムである「トークン生成プログラムｖｅｒＡ１」が対応付けられてもよい。
【００３０】
図５は、無線通信端末１０、カード型端末２０及びトークン管理サーバ４０の機能構成を示すブロック図である。図５に示すように、無線通信端末１０は、プログラムを実行することにより、トークン送信部１０１と、第１検知部１０２と、第１更新部１０３と、同期制御部１０４とに相当する機能を実現する。
トークン送信部１０１は、電子決済が行われる場合において、トークン１６１を、店舗端末３０又はウェブサーバ５０へ送信する送信部として機能する。
第１検知部１０２は、トークン１６１の送信に応じて電子決済が行われたことを検知する。第１検知部１０２は、例えば、トークンの送信先である店舗端末３０又はウェブサーバ５０から電子決済の完了信号を受信することで、当該電子決済が行われたことを検知する。
第１更新部１０３は、トークンの更新に関する条件であるトークン更新条件を満たした場合、ＳＩＭカード７０に記憶されたトークン生成プログラムに基づいてトークン１６１を更新する。トークン更新条件は、ここでは、トークン１６１を用いて電子決済が行われたことを示す。このため、第１更新部１０３は、第１検知部１０２により電子決済が行われたことが検知された場合、トークン１６１を更新する。
【００３１】
同期制御部１０４は、カード型端末２０と近距離無線通信を行うことにより、無線通信端末１０とカード型端末２０とで記憶するトークンを同期させるための制御を行う同期制御部として機能する。具体的には、同期制御部１０４は、近距離無線通信を介して、カード型端末２０にトークン１６１を送信する。また、同期制御部１０４は、カード型端末２０によりトークンを用いた電子決済が利用された場合は、カード型端末２０からその利用の旨の通知を受け付けて、更に第１更新部１０３に通知する。第１更新部１０３は、この通知に応じてトークンを更新する。
なお、トークン送信部１０１及び第１検知部１０２は、制御部１１、ネットワーク通信部１４及び非接触式ＩＣチップ１５によって実現される。第１更新部１０３は、制御部１１によって実現される。同期制御部１０４は、制御部１１及び近距離無線通信部１３によって実現される。
【００３２】
カード型端末２０は、プログラムを実行することにより、同期制御部２０１と、トークン送信部２０２と、第１検知部２０３とに相当する機能を実現する。
同期制御部２０１は、無線通信端末１０と近距離無線通信を行うことにより、無線通信端末１０とカード型端末２０とでトークンを同期させるための制御を行う同期制御部として機能する。具体的には、同期制御部２０１は、近距離無線通信を介して無線通信端末１０から受信したトークンを、トークン２４１として記憶させる。また、同期制御部２０１は、カード型端末２０によりトークンを用いた電子決済が利用された場合は、その利用の旨の通知を、近距離無線通信により無線通信端末１０へ通知する。
【００３３】
トークン送信部２０２は、電子決済が行われる場合において、トークン２４１を店舗端末３０へ送信する送信部として機能する。本実施形態では、カード型端末２０はネットワーク１００Ｂに接続する機能を有しないものとする。このため、トークン送信部２０２は、店舗端末３０にトークン２４１を送信するが、ウェブサーバ５０にはトークン２４１を送信しない。カード型端末２０がカード型端末２０はネットワーク１００Ｂに接続する機能を有する場合は、トークン送信部２０２がトークン２４１をウェブサーバ５０へ送信してもよい。
【００３４】
第１検知部２０３は、トークン２４１の送信に応じて電子決済が行われたことを検知する。第１検知部２０３は、例えば、トークンの送信先である店舗端末３０又はウェブサーバ５０から電子決済の完了信号を受信することで、当該電子決済が行われたことを検知する。同期制御部２０１は、第１検知部２０３により電子決済が行われたことが検知されると、その旨を無線通信端末１０に通知する。
なお、同期制御部２０１は、制御部２１及び近距離無線通信部２３によって実現される。トークン送信部２０２及び第１検知部２０３は、制御部２１及び非接触式ＩＣチップ２２によって実現される。
【００３５】
トークン管理サーバ４０は、プログラムを実行することにより、トークン受信部４０１と、決済制御部４０２と、第２検知部４０３と、第２更新部４０４とに相当する機能を実現する。
トークン受信部４０１は、電子決済が行われる場合において、トークン送信部１０１又はトークン送信部２０２により送信されたトークンを受信する受信部として機能する。
決済制御部４０２は、トークン受信部４０１が受信したトークンと対応付けてトークン管理テーブル４３１に格納されたＰＡＮに基づいて、電子決済を要求する決済要求を、決済サーバ６０へ送信する決済制御部である。
【００３６】
第２検知部４０３は、決済制御部４０２による決済要求の送信に応じて電子決済が行われたことを検知する。第２検知部４０３は、例えば、トークンの送信先である決済サーバ６０から電子決済の完了信号を受信することで、当該電子決済が行われたことを検知する。
第２更新部４０４は、所定のトークン更新条件を満たした場合、トークン管理テーブル４３１に格納されたトークンを、同じレコードで対応付けられたトークン生成プログラムに基づいて更新する。トークン更新条件は、無線通信端末１０と同じ条件であり、つまりトークンを用いて電子決済が行われたことを示す。このため、第２更新部４０４は、第２検知部４０３により電子決済が行われたことが検知された場合、トークン管理テーブル４３１に格納されたトークンを更新する。
なお、トークン受信部４０１、決済制御部４０２及び第２検知部４０３は、制御部４１及び通信部４２によって実現される。第２更新部４０４は、制御部４１によって実現される。
【００３７】
次に、本実施形態の動作を説明する。
＜Ａ：初期設定＞
図６は、決済システム１で実行される初期設定を示すシーケンスチャートである。初期設定は、トークンを用いて電子決済を行うために事前に行われる設定である。図９は、トークン管理テーブル４３１の更新の様子を示す図である。
初期設定において、無線通信端末１０は、トークン発行要求をトークン管理サーバ４０へ送信する（ステップＳ１）。トークン発行要求には、電子決済に利用されるＰＡＮと、ＳＩＭカード７０に記憶されたＩＣＣＩＤとが含まれる。
【００３８】
トークン管理サーバ４０は、トークン発行要求に含まれるＰＡＮを、トークン管理テーブル４３１に記憶させる（ステップＳ２）。ここでは、トークン管理サーバ４０は、図９（Ａ）に示すように、ＰＡＮとして「０１２３４ＸＸＸＸＸ」を、トークン管理テーブル４３１に格納する。
【００３９】
次に、トークン管理サーバ４０は、トークン発行要求に含まれるＩＣＣＩＤを用いて、トークン生成プログラムを生成し、これをトークン管理テーブル４３１に格納する（ステップＳ３）。このトークン生成プログラムは、トークンを生成するアルゴリズムであって、ＩＣＣＩＤに応じて異なるアルゴリズムを規定する。ここでは、トークン管理サーバ４０は、図９（Ｂ）に示すように、ＩＣＣＩＤを用いて「トークン生成プログラムｖｅｒＡ１」を生成し、ＰＡＮ「０１２３４ＸＸＸＸＸ」と対応付けてトークン管理テーブル４３１に格納する。
【００４０】
次に、トークン管理サーバ４０は、生成したトークン生成プログラムｖｅｒＡ１を、無線通信端末１０へ送信する（ステップＳ４）。また、トークン管理サーバ４０は、トークン生成プログラムｖｅｒＡ１に基づいて、トークンを生成し、これをトークン管理テーブル４３１に格納する（ステップＳ５）。ここでは、トークン管理サーバ４０は、図９（Ｃ）に示すように、トークン「ＴＯＫＥＮ＿Ａ１１」を生成し、ＰＡＮ「０１２３４ＸＸＸＸＸ」及び「トークン生成プログラムｖｅｒＡ１」と対応付けてトークン管理テーブル４３１に格納する。
【００４１】
一方、無線通信端末１０は、ステップＳ４で送信されたトークン生成プログラムｖｅｒＡ１を受信すると、これをＳＩＭカード７０に記憶させる（ステップＳ６）。そして、無線通信端末１０は、ステップＳ６で記憶させたトークン生成プログラムｖｅｒＡ１に基づいて、トークンを生成し、これをトークン１６１として記憶部１６に記憶させる（ステップＳ７）。無線通信端末１０とトークン管理サーバ４０とは、同じＩＣＣＩＤから生成されたトークン生成プログラムに基づいてトークンを生成するので、ステップＳ５で生成されるトークンと、ステップＳ７で生成されるトークンとは同じである。即ち、無線通信端末１０においても、トークン「ＴＯＫＥＮ＿Ａ１１」が生成される。
以上が初期設定の説明である。
【００４２】
＜Ｂ：電子決済〜トークンの更新＞
図７は、決済システム１で実行される電子決済〜トークンの更新に関する処理を示すシーケンスチャートである。以下では、店舗Ｐで電子決済が行われる場合を説明するが、ウェブサーバ５０にアクセスしてオンライン・ショッピング・サイトを介して商品の購入が行われた場合も、同様の処理が実行される。
無線通信端末１０は、店舗Ｐで電子決済が行われる場合、記憶部１６に記憶されたトークン１６１を店舗端末３０へ送信する（ステップＳ１１）。無線通信端末１０は、ここでは、トークン１６１として「ＴＯＫＥＮ＿Ａ１１」を送信する。店舗端末３０は、無線通信端末１０からトークン１６１を受信すると、これをトークン管理サーバ４０へ送信する（ステップＳ１２）。トークン管理サーバ４０は、トークン管理テーブル４３１を参照して、受信したトークン１６１と同じトークンに対応付けられたＰＡＮを読み出し、当該ＰＡＮを含む決済要求を、決済サーバ６０へ送信する（ステップＳ１３）。ここでは、トークン管理サーバ４０は、トークン「ＴＯＫＥＮ＿Ａ１１」に対応付けられたＰＡＮ「０１２３４ＸＸＸＸＸ」を含む決済要求を送信する。その後、決済サーバ６０と店舗端末３０との間でオーソリゼーションが行われ（ステップＳ１４）、決済サーバ６０で決済処理が完了する。
【００４３】
無線通信端末１０は、電子決済が完了したことを示す完了信号を店舗端末３０から受信することで、当該電子決済の完了を検知する（ステップＳ１５，Ｓ１６）。電子決済の完了を検知すると、無線通信端末１０は、決済履歴を更新する（ステップＳ１７）。決済履歴は、トークンを利用した電子決済の利用の履歴を示す。決済履歴は、少なくとも電子決済が行われたことを示す情報を含む。決済履歴は、これ以外にも、同一のトークンを用いて電子決済が行われた回数や、利用先（店舗やサイト）、決済金額、場所（例えば国又は地域）、日時等の電子決済に関する種々の情報を含んでもよい。
更に、無線通信端末１０は、記憶部１６に記憶されたトークン１６１を、トークン生成プログラムｖｅｒＡ１に基づいて更新する（ステップＳ１８）。
【００４４】
一方トークン管理サーバ４０は、電子決済が完了したことを示す完了信号を店舗端末３０から受信することで、当該電子決済の完了を検知する（ステップＳ１９，Ｓ２０）。電子決済の完了を検知すると、トークン管理サーバ４０は、トークン管理テーブル４３１に格納されたトークン「ＴＯＫＥＮ＿Ａ１１」を、トークン生成プログラムｖｅｒＡ１とに基づいて更新する（ステップＳ２１）。ここでは、トークン管理サーバ４０は、図９（Ｄ）に示すように、トークン「ＴＯＫＥＮ＿Ａ１１」からトークン「ＴＯＫＥＮ＿Ａ１２」に更新する。無線通信端末１０とトークン管理サーバ４０とでは、前述したように、同じトークン生成プログラムに基づいてトークンを生成するので、ステップＳ１６で生成されるトークンと、ステップＳ１７で生成されるトークンとは同じである。即ち、無線通信端末１０は、トークン「ＴＯＫＥＮ＿Ａ１２」を生成する。このように、トークン管理サーバ４０と無線通信端末１０とではトークン生成プログラムとトークン更新条件が共通するので、トークンを送受信しなくとも、これらに記憶されるトークンを一致させる（つまり同期させる）ことが可能である。トークンの更新は、本実施形態では、無線通信端末１０において電子決済が行われるたびに実行される。
【００４５】
ところで、トークンの更新は、必ずしも１回の電子決済が行われるたびに実行されなくてもよい。トークン管理サーバ４０と無線通信端末１０とにおいては、同じ規則に従ってトークン更新条件を変化させれば、トークン管理サーバ４０と無線通信端末１０とのトークンを同期させることができる。トークン更新条件は、トークン生成プログラムによって規定されるので、トークン管理サーバ４０と無線通信端末１０とにおいては、当該トークン更新条件を特定するためだけの通信を行わなくてもよい。ただし、新しいトークン更新条件を追加したり、変更したりする場合は、当該トークン更新条件を特定するための通信を要する。
【００４６】
また、トークン更新条件は、決済履歴によって特定される条件でなくてもよい。例えば１年に１度は強制的にトークンを更新する等、時間によってトークン更新条件が特定されてもよい。また、トークン更新条件は、電子決済の利用回数が上限に達したことと、トークンの発行後所定期間が経過したこととのいずれか早いタイミングであってもよい。
【００４７】
更に、トークン管理サーバ４０及び無線通信端末１０は、トークン更新条件を所定の規則に従って変化させてもよい。この規則として、例えば以下のものがある。
【００４８】
（１）イシュア又はブランド
無線通信端末１０及びトークン管理サーバ４０は、クレジットカードの機能のイシュア又はクレジットカード機能のブランドに応じたトークン更新条件で、トークンを更新してもよい。無線通信端末１０及びトークン管理サーバ４０は、例えば、イシュアＡの場合は１０回の電子決済が行われると更新し、イシュアＢの場合は５回の電子決済が行われると更新し、イシュアＣの場合は電子決済が行われると１回の決済で更新する、という具合である。
【００４９】
（２）利用場所
無線通信端末１０及びトークン管理サーバ４０は、電子決済が利用された場所に応じたトークン更新条件で、トークンを更新してもよい。利用場所については、トークン管理サーバ４０又は決済サーバ６０が電子決済に係るデータに基づいて判別してもよいし、無線通信端末１０が、自端末の測位機能を用いて判別してもよい。利用場所は、例えば、国又は地域によって特定される。無線通信端末１０及びトークン管理サーバ４０は、例えば、日本国内が利用場所の場合は、１０回の電子決済が行われると更新し、Ａ国が利用場所の場合は５回の電子決済が行われると更新し、それ以外の国の場合は１回の電子決済が行われると更新する、という具合である。
【００５０】
（３）利用先
無線通信端末１０及びトークン管理サーバ４０は、電子決済の利用先に応じたトークン更新条件で、トークンを更新してもよい。利用先とは、金銭価値の支払先に応じて決まり、例えば店舗、サイト又はドメインによって特定される。無線通信端末１０及びトークン管理サーバ４０は、例えば、実店舗が利用先の場合は、１０回の電子決済が行われると更新し、或るオンライン・ショッピング・サイトが利用先の場合は５回の電子決済が行われると更新し、それ以外のオンライン・ショッピング・サイトの場合は１回の電子決済が行われると更新する、という具合である。
以上のようにトークン更新条件を可変にすることで、電子決済に係るデータの漏洩のおそれを踏まえてトークンを更新しつつ、特に必要のないタイミングでトークンを更新する処理が発生するのを防止できる。
【００５１】
＜Ｃ：トークン生成プログラムの更新＞
図８は、決済システム１で実行されるトークン生成プログラムの更新処理を示すシーケンスチャートである。決済システム１においては、トークン生成プログラムの更新に関する条件であるプログラム更新条件を満たすと、その更新が行われる。
まず、無線通信端末１０及びトークン管理サーバ４０の各々は、無線通信端末１０を利用した決済履歴がプログラム更新条件を満たしたかどうかを判定する（ステップＳ３１，Ｓ３２）。プログラム更新条件は、無線通信端末１０とトークン管理サーバ４０とで同じ条件に決められている。プログラム更新条件は、本実施形態では、例えば決済回数が所定回数（例えば１０回）に達したことである。ただし、プログラム更新条件は、利用先や決済金額、場所（国又は地域）、日時等の電子決済に関する条件であってもよい。
【００５２】
トークン管理サーバ４０は、ステップＳ３１で「ＹＥＳ」と判定した場合、ＩＣＣＩＤを用いて、トークン生成プログラムを生成し、これをトークン管理テーブル４３１に格納する（ステップＳ３３）。ここでは、トークン管理サーバ４０は、ＩＣＣＩＤを引数とする関数で表されるトークン生成プログラムｖｅｒＡ２を生成する。ただし、トークン生成プログラムｖｅｒＡ２は、トークン生成プログラムｖｅｒＡ１とは関数が異なるものとする。
【００５３】
無線通信端末１０は、ステップＳ３２で「ＹＥＳ」と判定した場合、トークン生成プログラムのバージョンの問い合わせを、トークン管理サーバ４０に対して行う（ステップＳ３４）。トークン管理サーバ４０は、トークン生成プログラムの更新によりバージョンが変更されたと判定すると、ステップＳ３３で生成したトークン生成プログラムｖｅｒＡ２を無線通信端末１０へ送信する（ステップＳ３５）。また、トークン管理サーバ４０は、トークン生成プログラムｖｅｒＡ２に基づいて、トークンを生成し、これをトークン管理テーブル４３１に格納する（ステップＳ３６）。ここでは、トークン管理サーバ４０は、図９（Ｅ）に示すように、トークン「ＴＯＫＥＮ＿Ａ２１」を生成し、ＰＡＮ「０１２３４ＸＸＸＸＸ」及び「トークン生成プログラムｖｅｒＡ２」と対応付けてトークン管理テーブル４３１に格納する。
【００５４】
一方、無線通信端末１０は、ステップＳ３５で送信されたトークン生成プログラムｖｅｒＡ２を受信すると、これをＳＩＭカード７０に記憶させる（ステップＳ３７）。そして、無線通信端末１０は、トークン生成プログラムｖｅｒＡ２に基づいて、トークンを生成し、これを記憶部２４に記憶させる（ステップＳ３８）。無線通信端末１０とトークン管理サーバ４０とでは、同じトークン生成プログラムとの組み合わせに基づいてトークンを生成するので、ステップＳ３６で生成されるトークンと、ステップＳ３８で生成されるトークンとは同一である。よって、無線通信端末１０は、トークン「ＴＯＫＥＮ＿Ａ２１」を生成することになる。
【００５５】
＜Ｄ：異常発生時の動作＞
図１０は、決済システム１における無線通信端末１０の動作の異常発生時の動作を示すシーケンスチャートである。動作の異常が発生した場合、電子決済が行われたにも関わらず、トークンが更新されないことにより、無線通信端末１０とトークン管理サーバ４０とで、トークンが不一致になる可能性が生じることがある。
そこで、無線通信端末１０は、動作の異常が発生したと判定した場合（ステップＳ４１）、決済履歴を確認する（ステップＳ４２）。動作の異常は、例えば、本実施形態の電子決済に関わる機能を実現するためのアプリケーションプログラムの異常終了である。そして、無線通信端末１０は、電子決済が行われた回数と、トークン生成プログラムのバージョンとの関係が整合しない場合には、トークン生成プログラムに基づいて、トークンを更新する（ステップＳ４３）。このように、無線通信端末１０は、動作の異常発生を原因としてトークンを更新しなかった場合は、決済履歴に基づいて当該更新が未完了と判定したときに、当該更新を行う。よって、無線通信端末１０とトークン管理サーバ４０とでトークンを同期させることが可能となる。
【００５６】
＜Ｅ：ＳＩＭカード７０が差し替えられた場合の動作＞
図１１は、決済システム１におけるＳＩＭカード７０が差し替えられた場合の動作を示すシーケンスチャートである。ＳＩＭカード７０の差し替えがあった場合、現在記憶されているトークン又はトークン生成プログラムの生成の基となったＩＣＣＩＤと、現在のＳＩＭカード７０のＩＣＣＩＤとが不一致となるため、現在記憶されているトークン及びトークン生成プログラムは使用されるべきではない。
そこで、無線通信端末１０は、ＳＩＭインタフェース部１７において、ＳＩＭカード７０が差し替えられたと判定した場合（ステップＳ５１）、例えばＵＩ部１２での表示等によって、ユーザＵにエラーを通知し、初期設定を再び実行するようにユーザＵに促す（ステップＳ５２）。更に、無線通信端末１０は、このエラー通知をした後は、現在記憶しているトークン及びトークン生成プログラムの利用を禁止してもよい。
【００５７】
＜Ｆ：トークンが不一致となった場合の動作＞
図１２は、決済システム１におけるトークンが不一致となった場合の動作を示すシーケンスチャートである。何らかの原因でトークンの更新が正常に行われなかった場合、無線通信端末１０とトークン管理サーバ４０とでトークンが不一致となる。この不一致が電子決済時に発生すると、ユーザの電子決済の利用の支障となるため、以下のように対処する。
なお、この動作例においては、図１３（Ａ）に示すように、現在（最新）のトークンに加え、前回の電子決済に利用されたトークンである「前回トークン」（本発明の第４データの一例）が、トークン管理テーブル４３１に格納されるものとする。また、無線通信端末１０においても、前回トークン（本発明の第３データの一例）が記憶されるものとする。
【００５８】
無線通信端末１０は、店舗Ｐで電子決済が行われる場合、記憶部１６に記憶されたトークン１６１を店舗端末３０へ送信する（ステップＳ６１）。店舗端末３０は、無線通信端末１０からトークン１６１を受信すると、これをトークン管理サーバ４０へ送信する（ステップＳ６２）。トークン管理サーバ４０は、無線通信端末１０から受信したトークンと、トークン管理テーブル４３１に格納されたトークンとが不一致と判定した場合（ステップＳ６３）、その不一致の旨を無線通信端末１０へ通知する（ステップＳ６４）。
【００５９】
無線通信端末１０は、この不一致の旨の通知を受け付けると、ユーザＵの認証を行う（ステップＳ６５）。ユーザＵの認証は、ＰＩＮコード等の入力によって行われてもよいし、指紋等の生体認証が行われてもよく、周知の認証技術を採用可能である。
無線通信端末１０は、ユーザＵの認証に成功した場合には、前回トークンを店舗端末３０へ送信する（ステップＳ６６）。ここでは、無線通信端末１０は、トークン「ＴＯＫＥＮ＿Ａ１１」を送信する。店舗端末３０は、前回トークンを受信すると、これをトークン管理サーバ４０へ送信する（ステップＳ６７）。トークン管理サーバ４０は、受信した前回トークンと、トークン管理テーブル４３１に格納された前回トークンとが一致した場合、当該前回トークンと対応付けられたＰＡＮに基づいて、決済サーバ６０に決済要求を送信する（ステップＳ６８）。このようにトークンの不一致が生じた場合でも、前回利用したトークンで電子決済が行われるので、電子決済の利用の支障になることがない。またユーザの正当性が認証されたことをもって前回トークンが利用されるので、この不正使用による問題も生じにくい。
なお、トークン管理サーバ４０は、ユーザＵの認証に失敗した場合には、前回トークンを利用した電子決済の利用を許可しない。
【００６０】
トークンの不一致が生じた場合に使用されるトークンは、例えば、２回以上前の電子決済で利用されたトークンであってもよいし、別途用意されたトークンでもよい。後者のトークンとして、例えば「マスタートークン」がある。マスタートークンは、複数のクレジットカード機能の各々におけるＰＡＮを代替する文字列であって、当該複数のクレジットカード機能で共通する文字列である。即ち、マスタートークンは、互いに異なる複数のＰＡＮから置き換えられた共通の文字列である。図１３（Ｂ）の例では、トークン管理サーバ４０は、マスタートークン「ＴＯＫＥＮ＿ＭＡ」に対応付けて、ユーザＵが利用可能なクレジットカードのＰＡＮとして「０１２３４ＸＸＸＸＸ」、「２４６８０ＥＥＥＥＥ」及び「４３２１０ＦＦＦＦＦ」を対応付けて記憶する。
【００６１】
マスタートークンを受信した場合、トークン管理サーバ４０は、ユーザＵが利用可能な複数のクレジットカード機能の中から、いずれかのクレジットカード機能を用いて電子決済を行う。このクレジットカード機能の選択の具体的な方法は特に問わず、ユーザが明示的に指定してもよいし、自動選択がなされてもよい。決済履歴に応じた選択は、例えば利用回数が最も多いクレジットカード機能や、利用金額の合計が最も高いクレジットカード機能が選択される。
なお、別途用意されたトークンは、各々のＰＡＮで異なるバックアップ用のトークンであってもよい。このトークンは、例えば、トークンの不一致が生じた場合にだけ使用される。
【００６２】
＜Ｇ：無線通信端末１０とカード型端末２０とのトークンの同期制御＞
図１４は、決済システム１における無線通信端末１０とカード型端末２０とのトークンの同期制御を示すシーケンスチャートである。カード型端末２０は、小型且つ軽量に形成されている故に、無線通信端末１０よりも紛失の可能性が高い。そこで、この紛失が仮にあった場合でも電子決済の不正使用を防止するために、以下の処理が行われる。
無線通信端末１０とカード型端末２０とは、所定のタイミングで、トークンの同期を行う（ステップＳ７１）。この同期のタイミングは、少なくとも無線通信端末１０とカード型端末２０の電源がオンされた状態の期間内にある。ここでは、カード型端末２０の電源が投入されたときに行われたものとする。無線通信端末１０がトークンを送信すると、カード型端末２０は記憶部２４にトークン２４１を記憶させる。カード型端末２０は電子決済が行われる場合には、このトークン２４１をトークン管理サーバ４０へ送信することとなる。
【００６３】
次に、カード型端末２０は、記憶したトークンを用いた電子決済が完了したかどうかを判定する（ステップＳ７２）。電子決済が完了したと判定した場合（ステップＳ７２；ＹＥＳ）、カード型端末２０は記憶部２４からトークン２４１を削除する（ステップＳ７４）。これにより、カード型端末２０では、トークンがワンタイムパスワードのように１回の決済のみに利用されるため、そのトークンが仮に漏洩したとしても被害が少なくて済む。
【００６４】
また、カード型端末２０は、電子決済が完了していないと判定した場合において（ステップＳ７２；ＮＯ）、電源オフされたかどうかを判定する（ステップＳ７３）。電源オフされたと判定した場合（ステップＳ７３；ＹＥＳ）、カード型端末２０は記憶部２４からトークン２４１を無効にする処理を行う（ステップＳ７４）。つまり、カード型端末２０では、トークンを使用しない場合でも、ユーザが当面は使用の意思がないとして電源オフした場合にはこれを無効にするので、そのトークンが仮に漏洩しても被害が少なくて済む。
なお、上述した説明のうち、電源オンを条件としていた部分を、スクリーンオン等の決済利用行為時になったことに置き換えてもよいし、電源オフを条件としていた部分を、スクリーンオフ等の決済行為回避に置き換えてもよい。
【００６５】
本発明の電子決済は、非接触式ＩＣチップを用いて行われる方法でなくてもよい。本発明の電子決済は、例えば、バッテリを利用して電力を動的磁気ストライプ（Dynamic Magnetic Stripe）に供給するカードが用いられてもよい。また、本発明の電子決済手段は、クレジットカード機能により電子決済を行う手段に限られない。本発明の電子決済手段は、プリペイド式の電子マネー、デビットカード、ポイント（買い物ポイント等）、クーポン（電子クーポン）等の、貨幣と同等又は貨幣に準じた金銭価値を有するデータ（つまりバリュー）と呼ばれる電子データが用いられる電子的な決済手段であればよい。これらの場合のユーザの識別情報は、ユーザが電子決済のために使用するカード等の媒体に割り当てられた識別番号や、会員番号等に相当する。
【００６６】
なお、無線通信端末１０が生成したトークンを表示してもよい。この場合において、ＰＣ等の情報機器にこのトークンが入力され、当該情報機器が当該トークンをトークン管理サーバ４０に送信することで、電子決済が行われてもよい。
【００６７】
無線通信端末１０又はカード型端末２０は、トークンを暗号化等により別の文字列に変換し、この変換後の文字列を送信してもよい。この場合、トークン管理サーバ４０は、受信した文字列からトークンを復元（復号）する。そして、トークン管理サーバ４０は、トークン管理テーブル４３１を参照して、当該トークンに対応付けられたＰＡＮを含む決済要求を、決済サーバ６０へ送信する。このように、電子決済を行うために無線通信端末１０又はカード型端末２０が送信する文字列と、トークン管理テーブル４３１に格納されるトークンである文字列とは所定の関係にあればよい。
【００６８】
上述した実施形態で説明した構成及び処理の一部が省略されてもよい。また、上述した実施形態で説明した各装置の具体的構成や、実行する処理の順番及び内容はあくまで一例である。また、トークン生成プログラムは、ＩＣＣＩＤ以外の媒体識別情報を用いて生成されてもよいし、ユーザに固有の識別情報等を用いて生成されてもよい。
【００６９】
上述した実施形態の無線通信端末１０の制御部１１、カード型端末２０の制御部２１、トークン管理サーバ４０の制御部４１が実現する機能は、複数のプログラムの組み合わせによって実現され、又は、複数のハードウェア資源の連係によって実現され得る。制御部１１，２１，４１の機能がプログラムを用いて実現される場合、このプログラムは、磁気記録媒体（磁気テープ、磁気ディスク（ＨＤＤ（Hard Disk Drive）、ＦＤ（Flexible Disk））等）、光記録媒体（光ディスク等）、光磁気記録媒体、半導体メモリ等のコンピュータ読み取り可能な記録媒体に記憶した状態で提供されてもよいし、ネットワークを介して配信されてもよい。また、本発明は、決済制御方法として把握することも可能である。
【符号の説明】
【００７０】
１…決済システム、１０…無線通信端末、１０１…トークン送信部、１０２…第１検知部、１０３…第１更新部、１０４…同期制御部、１１，２１，４１…制御部、１２…ＵＩ部、１３，２３…近距離無線通信部、１４…ネットワーク通信部、１５，２２…非接触式ＩＣチップ、１６，２４，４３…記憶部、１６１…トークン、１７…ＳＩＭインタフェース部、２０…カード型端末、２０１…同期制御部、２０２…トークン送信部、２０３…第１検知部、３０…店舗端末、４０…トークン管理サーバ、４０１…トークン受信部、４０２…決済制御部、４０３…第２検知部、４０４…第２更新部、４２…通信部、４３１…トークン管理テーブル、５０…ウェブサーバ、６０…決済サーバ、７０…ＳＩＭカード
【図１】
2017111667.tif 000003
【図２】
2017111667.tif 000004
【図３】
2017111667.tif 000005
【図４】
2017111667.tif 000006
【図５】
2017111667.tif 000007
【図６】
2017111667.tif 000008
【図７】
2017111667.tif 000009
【図８】
2017111667.tif 000010
【図９】
2017111667.tif 000011
【図１０】
2017111667.tif 000012
【図１１】
2017111667.tif 000013
【図１２】
2017111667.tif 000014
【図１３】
2017111667.tif 000015
【図１４】
2017111667.tif 000016