(57)【特許請求の範囲】
【請求項１】
耐タンパ性を有し、通信ネットワークを介して認証装置に接続される電子機器であって、
前記通信ネットワークを介して前記認証装置との通信を行う通信手段と、
前記通信手段を介して前記認証装置から認証を許可する認証許可情報を受信した際、前記認証装置との認証が成功したことを示す認証成功情報を生成する生成手段と、
前記生成手段により生成された認証成功情報を記憶する不揮発性の第１記憶手段と、
前記生成手段により生成された認証成功情報を記憶し、電池の給電により記憶内容を保持する揮発性の第２記憶手段と、
障害から復帰した際、前記第２記憶手段に前記認証成功情報が記憶されている場合に、前記第２記憶手段により記憶された認証成功情報と前記第１記憶手段により記憶された認証成功情報とが一致するか否かを検証し、一致する場合に、前記認証装置との認証状態を継続させる第１の制御手段と、
を備える電子機器。
【請求項２】
情報を暗号化又は復号化する暗号演算手段と、
前記認証成功情報を前記暗号演算手段に暗号鍵で暗号化させる暗号化手段と、
を備える請求項１に記載の電子機器。
【請求項３】
第１の時刻情報を計時する計時手段を備え、
前記生成手段は、
前記通信手段を介して前記認証許可情報とともに、認証を許可した時刻を示す認証時刻情報を前記認証装置から受信した場合に、当該受信した認証時刻情報を含めて前記認証成功情報を生成し、
前記第１の制御手段は、
前記計時手段により計時された第１の時刻情報と前記生成手段により生成された認証成功情報に含まれる認証時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内か否かを検証し、予め定められた時間以内であり、且つ、前記第１記憶手段に記憶された認証成功情報と前記第２記憶手段に記憶された認証成功情報とが一致する場合に、前記認証装置との認証状態を継続させる請求項１又は２に記載の電子機器。
【請求項４】
前記通信手段は、
時刻情報を計時する時刻サーバ装置と通信接続し、
前記生成手段は、
前記通信手段を介して前記認証許可情報を前記認証装置から受信するとともに、前記通信手段を介して認証を許可した時刻を示す認証時刻情報を前記認証装置又は前記時刻サーバ装置から受信した場合に、当該受信した認証時刻情報を含めて前記認証成功情報を生成し、
前記第１の制御手段は、
前記通信手段を介して前記時刻サーバ装置で計時された第２の時刻情報を前記時刻サーバ装置から定期又は不定期に受信し、当該受信した第２の時刻情報と前記生成手段により生成された認証成功情報に含まれる認証時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内か否かを検証し、予め定められた時間以内であり、且つ、前記第１記憶手段に記憶された認証成功情報と前記第２記憶手段に記憶された認証成功情報とが一致する場合に、前記認証装置との認証状態を継続させる請求項１又は２に記載の電子機器。
【請求項５】
前記第１の制御手段により前記認証装置との認証状態が継続された場合に、前記認証成功情報を更新する更新手段を備える請求項１から４のいずれか一項に記載の電子機器。
【請求項６】
請求項４又は５に記載の電子機器と、
前記認証装置と、を備え、
前記認証装置は、
前記電子機器と通信を行う認証装置側通信手段と、
前記認証装置側通信手段を介して決済処理に関する決済データ及び前記更新手段により更新された認証成功情報を前記電子機器から受信し、前記認証時刻情報と当該認証成功情報に含まれる前記第２の時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内か否かを検証し、予め定められた時間でない場合に、前記電子機器を無効にする第２の制御手段と、
を備える決済システム。
【請求項７】
コンピュータを、
通信ネットワークを介して認証装置との通信を行う通信手段、
前記通信手段を介して前記認証装置から認証を許可する認証許可情報を受信した際、前記認証装置との認証が成功したことを示す認証成功情報を生成する生成手段、
前記生成手段により生成された認証成功情報を記憶する不揮発性の第１記憶手段と、
前記生成手段により生成された認証成功情報を記憶し、電池の給電により記憶内容を保持する揮発性の第２記憶手段と、
障害から復帰した際、前記第２記憶手段に前記認証成功情報が記憶されている場合に、前記第２記憶手段により記憶された認証成功情報と前記第１記憶手段により記憶された認証成功情報とが一致するか否かを検証し、一致する場合に、前記認証装置との認証状態を継続させる第１の制御手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は電子機器、決済システム及びプログラムに関する。
【背景技術】
【０００２】
近年、パスワード等の機密性を担保する耐タンパ性を有するＳＡＭ（Secure Application Module）を備えた端末装置が知られている。例えば、ＳＡＭを、端末装置の本体に着脱可能なモジュールとして構成する技術が知られている（例えば、特許文献１参照）。
【０００３】
また、ＳＡＭを用いた決済システムも知られている。図１６を参照して決済システム１００の動作について説明する。図１６（Ａ）、（Ｂ）にＳＡＭ１０３及び端末装置１０４を有する電子機器１０１と、センタサーバ１０２と、を備えた決済システム１００を示す。
【０００４】
ＳＡＭ１０３及びセンタサーバ１０２は、それぞれ認証鍵１０５を有している。認証鍵１０５とは、認証に用いられる暗号用又は復号用のための暗号鍵のことをいう。認証とは、センタサーバ１０２がＳＡＭ１０３の有するデータの使用を端末装置１０４に許可することをいう。ＳＡＭ１０３が有する認証鍵１０５と、センタサーバ１０２が有する認証鍵１０５とを用いて、認証が行われる。認証が得られた（認証ＯＫ）場合、端末装置１０４において、ＳＡＭ１０３が有するデータ（例えば、他の鍵１０６等）の利用が可能となる。これにより、例えば、ＳＡＭ１０３が有する他の鍵１０６を用いて、決済処理等を行うことができる（図１６（Ａ）参照）。
【特許文献１】特開２００３−１６５２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記の技術では、電子機器が障害から復帰した場合に、センタサーバとの認証を行う手間を要していた。
例えば、認証後、ＳＡＭ１０３が有する他の鍵１０６を用いて決済処理を行っている途中に、電子機器１０１に落雷による停電が起きたとする。ここで、ＳＡＭ１０３及び端末装置１０４は、連動して電子機器１０１の電源供給部（図示省略）から電源供給されている。このため、電子機器１０１に停電が起きると、ＳＡＭ１０３に対する電源供給が遮断される。そうすると、ＳＡＭ１０３は、センタサーバ１０２との認証状態（センタサーバ１０２がＳＡＭ１０３のデータの使用を端末装置１０４に許可した状態）を忘却してしまう。ＳＡＭ１０３がセンタサーバ１０２との認証状態を忘却すると、他の鍵１０６は利用不可となる（図１６（Ｂ）参照）。このため、停電（障害）から復帰した際に、再度、センタサーバ１０２（認証装置）と通信して認証を行う手間が必要であった。
【０００６】
本発明の課題は、障害から復帰した際に、認証を行う手間をなくすことである。
【課題を解決するための手段】
【０００７】
以上の課題を解決するため、請求項１に記載の発明の電子機器は、
耐タンパ性を有し、通信ネットワークを介して認証装置に接続される電子機器であって、
前記通信ネットワークを介して前記認証装置との通信を行う通信手段と、
前記通信手段を介して前記認証装置から認証を許可する認証許可情報を受信した際、前記認証装置との認証が成功したことを示す認証成功情報を生成する生成手段と、
前記生成手段により生成された認証成功情報を記憶する不揮発性の第１記憶手段と、
前記生成手段により生成された認証成功情報を記憶し、電池の給電により記憶内容を保持する揮発性の第２記憶手段と、
障害から復帰した際、前記第２記憶手段に前記認証成功情報が記憶されている場合に、前記第２記憶手段により記憶された認証成功情報と前記第１記憶手段により記憶された認証成功情報とが一致するか否かを検証し、一致する場合に、前記認証装置との認証状態を継続させる第１の制御手段と、を備える。
【０００８】
請求項２に記載の発明は、請求項１に記載の電子機器において、
情報を暗号化又は復号化する暗号演算手段と、
前記認証成功情報を前記暗号演算手段に暗号鍵で暗号化させる暗号化手段と、
を備える。
【０００９】
請求項３に記載の発明は、請求項１又は２に記載の電子機器において、
第１の時刻情報を計時する計時手段を備え、
前記生成手段は、
前記通信手段を介して前記認証許可情報とともに、認証を許可した時刻を示す認証時刻情報を前記認証装置から受信した場合に、当該受信した認証時刻情報を含めて前記認証成功情報を生成し、
前記第１の制御手段は、
前記計時手段により計時された第１の時刻情報と前記生成手段により生成された認証成功情報に含まれる認証時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内か否かを検証し、予め定められた時間以内であり、且つ、前記第１記憶手段に記憶された認証成功情報と前記第２記憶手段に記憶された認証成功情報とが一致する場合に、前記認証装置との認証状態を継続させる。
【００１０】
請求項４に記載の発明は、請求項１又は２に記載の電子機器において、
前記通信手段は、
時刻情報を計時する時刻サーバ装置と通信接続し、
前記生成手段は、
前記通信手段を介して前記認証許可情報を前記認証装置から受信するとともに、前記通信手段を介して認証を許可した時刻を示す認証時刻情報を前記認証装置又は前記時刻サーバ装置から受信した場合に、当該受信した認証時刻情報を含めて前記認証成功情報を生成し、
前記第１の制御手段は、
前記通信手段を介して前記時刻サーバ装置で計時された第２の時刻情報を前記時刻サーバ装置から定期又は不定期に受信し、当該受信した第２の時刻情報と前記生成手段により生成された認証成功情報に含まれる認証時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内か否かを検証し、予め定められた時間以内であり、且つ、前記第１記憶手段に記憶された認証成功情報と前記第２記憶手段に記憶された認証成功情報とが一致する場合に、前記認証装置との認証状態を継続させる請求項１又は２に記載の電子機器。
【００１１】
請求項５に記載の発明は、請求項１から４のいずれか一項に記載の電子機器において、
前記第１の制御手段により前記認証装置との認証状態が継続された場合に、前記認証成功情報を更新する更新手段を備える。
【００１２】
請求項６に記載の発明の決済システムは、
請求項４又は５に記載の電子機器と、
前記認証装置と、を備え、
前記認証装置は、
前記電子機器と通信を行う認証装置側通信手段と、
前記認証装置側通信手段を介して決済処理に関する決済データ及び前記更新手段により更新された認証成功情報を前記電子機器から受信し、前記認証時刻情報と当該認証成功情報に含まれる前記第２の時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内か否かを検証し、予め定められた時間でない場合に、前記電子機器を無効にする第２の制御手段と、を備える。
【００１３】
請求項７に記載の発明のプログラムは、
コンピュータを、
通信ネットワークを介して認証装置との通信を行う通信手段、
前記通信手段を介して前記認証装置から認証を許可する認証許可情報を受信した際、前記認証装置との認証が成功したことを示す認証成功情報を生成する生成手段、
前記生成手段により生成された認証成功情報を記憶する不揮発性の第１記憶手段と、
前記生成手段により生成された認証成功情報を記憶し、電池の給電により記憶内容を保持する揮発性の第２記憶手段と、
障害から復帰した際、前記第２記憶手段に前記認証成功情報が記憶されている場合に、前記第２記憶手段により記憶された認証成功情報と前記第１記憶手段により記憶された認証成功情報とが一致するか否かを検証し、一致する場合に、前記認証装置との認証状態を継続させる第１の制御手段、
として機能させる。
【発明の効果】
【００１４】
本発明によれば、障害から復帰した際に、認証を行う手間をなくすことができる。  
【発明を実施するための最良の形態】
【００１５】
以下、添付図面を参照して本発明に係る好適な第１の実施の形態、第２の実施の形態、及び第３の実施の形態、及び第４の実施の形態を詳細に説明する。なお、本発明は、図示例に限定されるものではない。
【００１６】
（第１の実施の形態）
図１〜図７を参照して、本発明に係る第１の実施の形態を説明する。先ず、図１〜図４を参照して本実施の形態の装置構成を説明する。図１に、本実施の形態の決済システム１の構成を示す。
【００１７】
図１に示すように、決済システム１は、電子機器としてのＳＡＭ１０と、電子機器としての端末装置３０と、認証装置としてのセンタサーバ４０と、を備えて構成される。センタサーバ４０は、通信ネットワークＮを介して端末装置３０と通信接続されている。端末装置３０は、ＳＡＭ１０と通信接続されている。
【００１８】
決済システム１では、例えば、店舗等に、端末装置３０、ＳＡＭ１０が設置され、カード会社等のセンタサーバ４０に管理される。カード情報を有するクレジットカード等のＩＣ（Integrated Circuit）カードにより顧客が商品購入の決済をする場合に、端末装置３０でＩＣカードの情報を読み取り、センタサーバ４０に送信する。センタサーバ４０は、ＩＣカード認証後に決済処理を行う。本実施の形態では、端末装置３０、ＳＡＭ１０の認証を行い、正当な端末装置３０、ＳＡＭ１０である場合に、ＩＣカードの認証等を含む決済処理を行う。
【００１９】
ＳＡＭ１０は、耐タンパ性を有するモジュールであり、中に記憶しているデータを第三者が読み取り又は変更しようとする異常状態を検出し、異常検出時に、その記憶しているデータを自動的に消去する。また、ＳＡＭ１０は、異常検出時に、ＳＡＭ１０自体の動作を停止させる構成等としてもよい。
【００２０】
通信ネットワークＮは、例えば、ＷＡＮ（Wide Area Network）とするが、ＬＡＮ（Local Area Network）等の通信ネットワークとしてもよく、電話回線、専用線、移動体通信網、通信衛星網、ＣＡＴＶ（Cable Television）回線、インターネットプロバイダ等を含めてもよい。
【００２１】
次いで、ＳＡＭ１０の内部構成を説明する。図２に、ＳＡＭ１０の内部構成を示す。図２に示すように、ＳＡＭ１０は、生成手段、第１の制御手段、暗号化手段、更新手段としてのＣＰＵ（Central Processing Unit）１１と、暗号演算部１２と、ＲＡＭ（Random Access Memory）１３と、異常検出部１４と、ＲＯＭ（Read Only Memory）１５と、通信手段としての通信部１６と、第１記憶手段としてのＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）１７と、を備えて構成され、各部がバス１８を介して接続される。  
【００２２】
ＣＰＵ１１は、ＳＡＭ１０の各部を中央制御する。ＣＰＵ１１は、ＲＯＭ１５やＥＥＰＲＯＭ１７に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ１３に展開し、ＲＡＭ１３に展開されたプログラムとの協働で、各種処理を実行する。
【００２３】
ＣＰＵ１１は、第１のＳＡＭ使用許可プログラムとの協働により、端末装置３０の通信部３６及び通信部１６を介してセンタサーバ４０から認証許可情報としての動作ＯＫ信号を受信した際、認証成功情報としての認証トークンを生成する。認証トークンとは、センタサーバ４０との認証が成功したことを示す情報のことをいう。本実施の形態では、認証トークンは、乱数により生成される。
【００２４】
ＣＰＵ１１は、第１の認証トークン比較プログラムとの協働により、障害から復帰した際、端末装置３０のＲＡＭ３３に認証トークンが記憶されている場合に、ＲＡＭ３３により記憶された認証トークンとＥＥＰＲＯＭ１７により記憶された認証トークンとが一致するか否かを検証し、一致する場合に、センタサーバ４０との認証状態を継続させる。
障害とは、例えば、落雷による停電が発生し、ＳＡＭ１０及び端末装置３０に電源供給部（図示省略）から電源の供給が遮断された状態のことをいう。認証状態とは、センタサーバ４０がＳＡＭ１０のデータの使用を端末装置３０に許可した状態のことをいう。
【００２５】
また、ＣＰＵ１１は、異常検出部１４により異常が検出された場合に、ＲＡＭ１３及びＥＥＰＲＯＭ１７に記憶された情報を破壊（消去）する。また、ＣＰＵ１１は、ＥＥＰＲＯＭ１７に記憶された鍵を用いて、暗号演算部１２により情報を暗号化又は復号化させる。
【００２６】
暗号演算部１２は、ＣＰＵ３１の指示により、ＥＥＰＲＯＭ１７に記憶された鍵を用いて、各種情報を暗号化し、また暗号化された各種情報を復号化する。
【００２７】
ＲＡＭ１３は、揮発性のメモリであり、実行される各種プログラムやこれら各種プログラムに係るデータ等を格納するワークエリアを有し、その情報を一時的に格納する。
【００２８】
異常検出部１４は、例えば、電圧センサ、温度センサ、光センサ等の少なくとも１つを備え、善意又は悪意によらず第三者がＳＡＭ１０のデータを読み取ろうと又は変更しようとする際の異常電圧、異常温度、異常光量等を検出し、その異常の旨を示す検出信号をＣＰＵ１１に出力する。
【００２９】
ＲＯＭ１５には、書き換えが不要であるデータが予め記憶されている。例えば、ＳＡＭ１０のシステムプログラムである。
【００３０】
通信部１６は、通信制御部により構成され、有線又は無線で端末装置３０と通信接続して情報を送受信する。
【００３１】
ＥＥＰＲＯＭ１７は、各種プログラム及び各種データを読み出し又は書き込み可能に記憶する不揮発性のメモリである。
【００３２】
ＥＥＰＲＯＭ１７は、第１のＳＡＭ使用許可プログラム、第１の認証トークン比較プログラムと、認証トークンと、鍵と、端末ＩＤと、を記憶する。鍵は、複数の鍵が記憶されている。例えば、センタサーバ４０が端末装置３０を認証するための鍵であり、電子機器ごとにユニークな鍵（鍵Ｔ１）と、端末装置３０にあるデータを暗号化または復号化するための鍵（鍵Ｄ１）と、カードリーダ３８が端末装置３０を認証するための鍵（鍵Ｒ）と、が記憶されている。端末ＩＤは、電子機器毎にユニークな識別情報である。また、第１のＳＡＭ使用プログラム、第１の認証トークン比較プログラムは、ＲＯＭ１５に記憶される構成としてもよい。
【００３３】
各鍵の暗号化及び復号化には、互いに相応する鍵を用いて行われる。例えば、ある鍵を用いて情報を暗号化した場合に、その鍵に相応する鍵を用いると暗号化された情報の復号化が可能となる。本実施の形態では、暗号化する鍵と、復号化する鍵とが、同一である共通の共通鍵方式で暗号化及び復号化するものとして説明する。しかし、公開鍵方式や、セション鍵方式等の方式で暗号化及び復号化する構成としてもよい。公開鍵方式では、公開鍵と秘密鍵のペアが互いに相応する鍵となる。
【００３４】
次いで、端末装置３０の構成を説明する。図３に端末装置３０の内部構成を示す。図３に示すように、端末装置３０は、ＣＰＵ３１と、入力部３２と、第２記憶手段としてのＲＡＭ３３と、バックアップ電池３３Ａと、表示部３４と、フラッシュメモリ３５と、通信手段としての通信部３６と、接続部３７と、カードリーダ３８と、接続部３９と、計時部３９ａと、を備えて構成され、各部がバス３９ｂを介して接続される。
【００３５】
ＣＰＵ３１、ＲＡＭ３３、フラッシュメモリ３５については、ＳＡＭ１０のＣＰＵ１１、ＲＡＭ１３、ＥＥＰＲＯＭ１７の構成と同様であり、異なる部分を主として説明する。
【００３６】
ＣＰＵ３１は、第１の情報プログラムとの協働により、認証トークンをＲＡＭ３３に記憶させる。また、ＣＰＵ３１は、第２の情報プログラムとの協働により、障害から復帰した際、端末装置３０のＲＡＭ３３に認証トークンが記憶されているか否かを判別する。
【００３７】
入力部３２は、数字入力キー及び各種機能キーなどを備えたキーパッドを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ３１に出力する。
【００３８】
ＲＡＭ３３は、認証トークンを記憶する。また、ＲＡＭ３３は、バックアップ時間の間、不揮発性を有する。ここで、バックアップ時間とは、例えば、端末装置３０の電源がＯＦＦの状態において、バックアップ電池３３ＡによりＲＡＭ３３に給電が可能な時間のことをいう。当該バックアップ時間の間、ＲＡＭ３３は、端末装置３０の電源がＯＦＦとなっても、不揮発性を有する。また、ＲＡＭ３３は、フラッシュメモリ等の不揮発性のメモリを用いる構成としても良い。
【００３９】
バックアップ電池３３Ａは、ＲＡＭ３３にバックアップ時間の間、給電を行うバックアップ用の電池である。
【００４０】
表示部３４は、ＬＣＤ（Liquid Crystal Display）等で構成され、ＣＰＵ３１からの表示信号に従って画面表示を行う。また、入力部３２は、表示部３４と一体的にタッチパネルを構成することとしてもよい。
【００４１】
フラッシュメモリ３５は、各種プログラム及び各種データを読み出し及び書き込み可能に記憶する不揮発性のメモリである。フラッシュメモリ３５は、第１の情報プログラム、第２の情報プログラムと、鍵Ｄ１で暗号化された暗号化データｄ１と、を記憶する。暗号化データｄ１は、例えば、決済処理に使用されるカード判別データである。カード判別データは、ＩＣカード６０の機能を判別したり、ＩＣカードのカード情報のリストを含み、使えないＩＣカードを判定するための情報である。
【００４２】
通信部３６は、通信制御部により構成され、通信ネットワークＮを介してセンタサーバ４０と情報を送受信する。
【００４３】
接続部３７は、ソケット等から構成され、ＳＡＭ１０が接続され、ＣＰＵ３１の指示により、接続されたＳＡＭ１０と情報を送受信する。
【００４４】
カードリーダ３８は、図示しないＣＰＵ、ＲＡＭ、ＲＯＭ、フラッシュメモリ、接続部等を備える。カードリーダ３８において、ＲＯＭから読み出されＲＡＭに展開されたプログラムとＣＰＵとの協働で各種処理を実行する。また、接続部は、接続されたＩＣカード６０の情報を読み取る。カードリーダ３８において、フラッシュメモリには、後述する鍵Ｒが記憶されており、ＣＰＵは、ＩＣカード６０から読み出した情報を、鍵Ｒを使って暗号化し、暗号化した情報を端末装置３０を介してＳＡＭ１０に送信する。
【００４５】
ＩＣカード６０は、各顧客が有する決済用の記録媒体としてのカードである。ＩＣカード６０は、接触式又は非接触式のカードであり、各ＩＣカードでユニークなカード情報を記憶するＩＣチップを備える。決済用の記録媒体としては、ＩＣカード６０に代えて、磁気カード、生体認証カード等、他の記録媒体としてもよい。
【００４６】
接続部３９は、ソケット等から構成され、メモリカード７０が接続され、ＣＰＵ３１の指示により、接続されたメモリカード７０に記録された各種情報の読み出しや、情報の書き込みを行う。
【００４７】
計時部３９ａは、図示しない発振回路部から入力される信号を計数して、現在時刻を得る。そして当該現在時刻をＣＰＵ３１に出力する。
【００４８】
次いで、センタサーバ４０の内部構成を説明する。図４に、センタサーバ４０の内部構成を示す。図４に示すように、センタサーバ４０は、第２の制御手段としてのＣＰＵ４１と、入力部４２と、ＲＡＭ４３と、表示部４４と、記憶部４５と、認証装置側通信手段としての通信部４６と、計時部４７と、を備えて構成され、各部がバス４８を介して接続される。
【００４９】
ＣＰＵ４１、ＲＡＭ４３、計時部４７については、ＳＡＭ１０のＣＰＵ１１、ＲＡＭ１３、計時部３９ａの構成と同様であり、異なる部分を主として説明する。
【００５０】
ＣＰＵ４１は、第１の端末管理プログラムとの協働で、暗号化端末ＩＤ及び端末ＩＤを端末装置３０から受信し、暗号化端末ＩＤを鍵Ｔ１で復号化する。そして、ＣＰＵ４１は、復号化した端末ＩＤ及び受信した端末ＩＤが一致し且つ許可情報が許可であるか否かを判別し、端末ＩＤが一致し許可情報が許可である場合に認証許可情報（動作ＯＫ信号）を鍵Ｔ１で暗号化して端末装置３０に送信する。
【００５１】
入力部４２は、カーソルキー、文字、数字入力キー及び各種機能キーなどを備えたキーボードを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ４１に出力する。また、入力部４２は、マウス等のポインティングデバイスを含み、位置入力信号を受け付けてＣＰＵ４１に出力することとしてもよい。
【００５２】
表示部４４は、ＬＣＤ、ＣＲＴ（Cathode Ray Tube）等で構成され、ＣＰＵ４１からの表示信号に従って画面表示を行う。
【００５３】
記憶部４５は、磁気記憶媒体を有するＨＤＤ（Hard Disk Drive）等により構成され、各種プログラム及び各種データを記録媒体から読み出し及び書き込み可能に記憶する。
【００５４】
また、記憶部４５は、第１の端末管理プログラムと、鍵Ｔ１と、認証テーブル（図示省略）と、を記憶する。認証テーブルは、ログインＩＤと、端末ＩＤと、鍵情報と、許可情報と、を有する。ログインＩＤは、電子機器毎にユニークなログインＩＤである。端末ＩＤは、電子機器毎にユニークな端末ＩＤである。鍵情報は、電子機器毎の認証用の鍵を特定する情報である。許可情報は、電子機器の動作が許可されているか否かを示す情報である。
【００５５】
通信部４６は、モデム、ＴＡ（Terminal Adapter）、ルータ、ネットワークカード等により構成され、接続される通信ネットワークＮ上の端末装置３０等の外部機器と情報を送受信する。
【００５６】
次に、図５〜図７を参照して、決済システム１の動作を説明する。図５に第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理の流れを示す。図６に、図５の第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理の続きの流れを示す。また、各処理の実行前に、ログインＩＤを用いた端末装置３０からセンタサーバ４０へのログイン処理が行われるものとするが、その説明を省略する。
【００５７】
センタサーバ４０で実行される第１の端末管理処理を説明する。センタサーバ４０において、例えば、通信部４６を介して、暗号化端末ＩＤと、端末ＩＤと、が端末装置３０から受信開始されたことをトリガとして、記憶部４５から読み出されて適宜ＲＡＭ４３に展開された第１の端末管理プログラムとＣＰＵ１１との協働で、第１の端末管理処理が実行される。
【００５８】
先ず、ステップＳ１１において、通信部４６を介して、暗号化端末ＩＤと、端末ＩＤと、が端末装置３０から受信され、記憶部４５から認証テーブル（図示省略）が読み出される。そして、認証テーブルが参照され、受信した端末ＩＤに対応する鍵が特定され、特定された鍵（鍵Ｔ１）が記憶部４５から読み出される。そして、読み出された鍵Ｔ１を用いて暗号化端末ＩＤが復号化される（ステップＳ１１）。
【００５９】
そして、復号化した端末ＩＤと、受信した端末ＩＤとが比較され、同一であるか否かにより、ステップＳ１１の復号がＯＫであるか否かが判別される（ステップＳ１２）。復号ＯＫである場合（ステップＳ１２；ＹＥＳ）、認証テーブルが参照され、対応する端末ＩＤの許可情報が許可であるか否かが判別される（ステップＳ１３）。
【００６０】
許可されている場合（ステップＳ１３；ＹＥＳ）、電子機器動作ＯＫ（認証許可）の旨の動作ＯＫ信号が生成されて、動作ＯＫの端末（端末装置３０）に対応する鍵（鍵Ｔ１）を用いて動作ＯＫ信号（認証を許可する情報である認証許可信号）が暗号化され、暗号化ＯＫ信号として通信部４６を介して端末装置３０に送信され（ステップＳ１４）、第１の端末管理処理が終了する。
【００６１】
復号ＯＫでない場合（ステップＳ１２；ＮＯ）、又は許可されていない場合（ステップＳ１３；ＮＯ）、電子機器動作拒否（認証拒否）の旨の拒否信号が生成されて、動作拒否の端末（端末装置３０）に対応する鍵（鍵Ｔ１）を用いて拒否信号が暗号化され、暗号化拒否信号として通信部４６を介して端末装置３０に送信され（ステップＳ１５）、第１の端末管理処理が終了する。拒否情報は、端末装置３０にＳＡＭ１０のデータの使用を伴う動作を拒否する旨の信号である。
【００６２】
次いで、端末装置３０で実行される第１の情報処理を説明する。端末装置３０において、例えば、電源投入されたことをトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第１の情報プログラムとＣＰＵ３１との協働で、第１の情報処理が実行される。
【００６３】
先ず、ステップＳ２１において、接続部３７を介して、ＳＡＭ１０に端末ＩＤの要求が送信され、その端末ＩＤがＳＡＭ１０から受信される（ステップＳ２１）。そして、接続部３７を介して、受信された端末ＩＤが暗号化のためにＳＡＭ１０に送出（送信）され、暗号化端末ＩＤをＳＡＭ１０から受信する（ステップＳ２２）。そして、ステップＳ１１に対応して、通信部３６を介して、端末ＩＤと、暗号化端末ＩＤとがセンタサーバ４０へ送信される（ステップＳ２３）。
【００６４】
そして、ステップＳ１４又はＳ１５に対応して、通信部３６を介して、暗号化ＯＫ信号又は暗号化拒否信号をセンタサーバ４０から受信して、接続部３７を介して、暗号化ＯＫ信号又は暗号化拒否信号がＳＡＭ１０に送信される（ステップＳ２４）。
【００６５】
そして、ステップＳ３８に対応して、接続部３７を介して認証トークンをＳＡＭ１０から受信して、認証トークンがＲＡＭ３３に保管（記憶）される（ステップＳ２５）。  
【００６６】
そして、フラッシュメモリ３５、カードリーダ３８に記憶され、ＳＡＭ１０に記憶される鍵で暗号化された所望のプログラム及びデータの少なくとも一つが読み出され、接続部３７を介して、暗号化されたプログラム及びデータの少なくとも一つがＳＡＭ１０に送信され、復号化されたプログラム及びデータがＳＡＭ１０から受信される（ステップＳ２６）。そして、復号化されたプログラム及びデータを用いて各種処理が実行される（ステップＳ２７）。
【００６７】
ステップＳ２６，Ｓ２７では、例えば、カードリーダ３８によりＩＣカード６０から読み出されたカード情報が、鍵Ｒで暗号化されて端末装置３０に送信される。そして、入力部３２で暗証番号等の暗証情報が入力される。端末装置３０において、鍵Ｒで暗号化されたカード情報がＳＡＭ１０に送信される。ＳＡＭ１０でカード情報が鍵Ｒで復号化され、端末装置３０に送信される。そして、ステップＳ２７で、復号化されたカード情報と、暗証番号とがＳＡＭ１０に送信されて鍵Ｔ１で暗号化される。
【００６８】
また、ステップＳ２６，Ｓ２７では、例えば、フラッシュメモリ３５に記憶された使用していないカード情報の暗号化データｄ１がＳＡＭ１０に送信される。ＳＡＭ１０で暗号化データｄ１が鍵Ｄ１で復号化され、その復号化データを用いて、上記鍵Ｒで復号化されたカード情報が使用していないものであるか判別され、使用していないものである場合に、そのＩＣカード６０の決済が禁止に設定される。
【００６９】
ステップＳ２７の実行後、認証トークンがＲＡＭ３３から削除される（ステップＳ２８）。そして、セキュリティを守るため、復号化されたプログラム及びデータの少なくとも一つが消去され（ステップＳ２９）、第１の情報処理が終了する。
【００７０】
次いで、ＳＡＭ１０で実行される第１のＳＡＭ使用許可処理を説明する。ＳＡＭ１０において、例えば、ステップＳ２１に対応して、通信部１６を介して、端末ＩＤ要求を端末装置３０から受信開始したことをトリガとして、ＥＥＰＲＯＭ１７から読み出されて適宜ＲＡＭ１３に展開された第１のＳＡＭ使用許可プログラムとＣＰＵ１１との協働で、第１のＳＡＭ使用許可処理が実行される。
【００７１】
先ず、通信部１６を介して、端末ＩＤ要求が端末装置３０から受信され、ＥＥＰＲＯＭ１７から端末ＩＤが読み出されて端末装置３０に送信される（ステップＳ３１）。そして、ステップＳ２２に対応して、通信部１６を介して、端末ＩＤが端末装置３０から受信され、ＥＥＰＲＯＭ１７から端末装置３０認証用の鍵（鍵Ｔ１）が読み出され、端末ＩＤが読み出した鍵で暗号演算部１２を介して暗号化され暗号化端末ＩＤとして端末装置３０に送信される（ステップＳ３２）。
【００７２】
そして、ステップＳ２４に対応して、通信部１６を介して、暗号化ＯＫ信号又は暗号化拒否信号が端末装置３０から受信され、鍵（鍵Ｔ１）で暗号演算部１２を介して復号化される（ステップＳ３３）。そして、ステップＳ３３で復号化された信号がＯＫ信号であるか否かにより、端末装置３０の動作がＯＫであるか否かが判別される（ステップＳ３４）。端末装置３０の動作がＯＫである場合（ステップＳ３４；ＹＥＳ）、ＳＡＭ１０のデータが使用許可に設定される（ステップＳ３５）。ＳＡＭ１０のデータの使用許可の旨の信号は、端末装置３０に送信される構成としてもよい。
【００７３】
そして、乱数が生成され、生成された乱数が認証トークンとして設定される（ステップＳ３６）。ステップＳ３６の実行後、認証トークンがＥＥＰＲＯＭ１７に保管（記憶）される（ステップＳ３７）。そして、通信部１６を介して認証トークンが端末装置３０に出力（送信）される（ステップＳ３８）。
【００７４】
そして、ステップＳ２６に対応して、通信部１６を介して、暗号化されたプログラム及びデータの少なくとも一つが端末装置３０から受信され、ＥＥＰＲＯＭ１７から鍵Ｒ又は鍵Ｄ１が読み出される。そして、暗号化されたプログラム及びデータの少なくとも一つが暗号演算部１２を介して鍵（鍵Ｒ又は鍵Ｄ１）で復号化されて端末装置３０に送信される（ステップＳ３９）。ステップＳ３９の実行後、認証トークンがＥＥＰＲＯＭ１７から削除され（ステップＳ４０）、第１のＳＡＭ使用許可処理が終了する。
【００７５】
ステップＳ３３で復号化された信号が拒否信号である、又は復号に失敗し、端末装置３０の動作がＯＫでない場合（ステップＳ３４；ＮＯ）、ＳＡＭ１０のデータ使用禁止が設定され（ステップＳ４１）、第１のＳＡＭ使用許可処理が終了する。ＳＡＭ１０のデータの使用不許可の旨の信号は、端末装置３０に送信される構成としてもよい。
【００７６】
センタサーバ４０が許可を出していない場合に鍵Ｄ１，Ｒを使用できないため、端末装置３０のＣＰＵ３１は、鍵Ｄ１，Ｒを用いた動作を行うことができない。このため、悪意を持って端末装置３０からクレジットカード等の番号を盗もうとしても、端末装置３０は動作しないので悪意から防御することが可能である。    
【００７７】
次いで、図７を参照して、障害から復帰した際の決済システム１の動作を説明する。図７に、第２の情報処理、第１の認証トークン比較処理の流れを示す。
【００７８】
端末装置３０で実行される第２の情報処理を説明する。例えば、第１の情報処理のステップＳ２５において、認証トークンがＲＡＭ３３に記憶された後に、停電等によりＳＡＭ１０及び端末装置３０への電源の供給が遮断し、所定時間経過後に電源の供給が復帰したとする。この場合、電源復帰されたこと等をトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第２の情報プログラムとＣＰＵ３１との協働で、第２の情報処理が実行される。
【００７９】
先ず、ＲＡＭ３３に認証トークンが記憶（残存）されているか否かが判別される（ステプＳ５１）。認証トークンが残存されていないと判別された場合（ステップＳ５１；ＮＯ）、通常処理へ移行される（ステップＳ５２）。認証トークンが残存されていると判別された場合（ステップＳ５１；ＹＥＳ）、接続部３７を介して認証トークンがＳＡＭ１０に送出される（ステップＳ５３）。
【００８０】
そして、ステップＳ６７に対応して、接続部３７を介して認証トークンをＳＡＭ１０から受信して、受信した認証トークンがＲＡＭ３３に保管（記憶）される（ステップＳ５４）。
【００８１】
ステップＳ５５〜Ｓ５８は、第１の情報処理のステップＳ２６〜Ｓ２９と同様である。ステップＳ５８の実行後、第２の情報処理が終了する。
【００８２】
次いで、ＳＡＭ１０で実行される第１の認証トークン比較処理を説明する。例えば、ステップＳ５３に対応して、通信部１６を介して、認証トークンを端末装置３０から受信開始したことをトリガとして、ＥＥＰＲＯＭ１７から読み出されて適宜ＲＡＭ１３に展開された第１の認証トークン比較プログラムとＣＰＵ１１との協働で、第１の認証トークン比較処理が実行される。
【００８３】
先ず、通信部１６を介して、認証トークンが端末装置３０から受信され、ＥＥＰＲＯＭ１７から認証トークンが読み出され、受信した認証トークンと、ＥＥＰＲＯＭ１７から読み出した認証トークンとの比較が行われる（ステップＳ６１）。比較は、乱数が一致するか否かにより行われる。
【００８４】
そして、受信した認証トークンと、ＥＥＰＲＯＭ１７から読み出した認証トークンとが同一であるか否かにより、比較ＯＫであるか否かが判別される（ステップＳ６２）。比較ＯＫである場合（ステップＳ６２；ＹＥＳ）、ステップＳ６３に移行される。比較ＯＫでない場合（ステップＳ６２；ＮＯ）、ステップＳ６４に移行される。ステップＳ６３、ステップＳ６４は、それぞれ第１のＳＡＭ使用許可処理のステップＳ３５、ステップＳ４１と同様である。
【００８５】
ステップＳ６３の実行後、新たな乱数が生成され、生成された乱数が認証トークンとして設定されることにより認証トークンが更新される（ステップＳ６５）。
【００８６】
ステップＳ６６〜Ｓ６９は、第１のＳＡＭ使用許可処理のステップＳ３７〜Ｓ４０と同様である。ステップＳ６９の実行後、認証トークン比較処理は終了する。
【００８７】
以上、本実施の形態によれば、障害から復帰した際に、ＥＥＰＲＯＭ１７に記憶された認証トークンとＲＡＭ３３に記憶された認証トークンとが一致する場合に、センタサーバ４０との認証状態を継続する。これにより、障害から復帰した際、認証を行う手間をなくすことができる。例えば、電子機器（ＳＡＭ１０及び端末装置３０）がノイズなどによる電源不安定状況から復帰した場合や、電池寿命による電池交換後に復帰した場合などにおいて、センタサーバ４０との認証を再度行う手間をなくすことができる。また、センタサーバ４０との認証を行う必要がないので、センタサーバ４０との通信不通の問題を考慮する必要がない。
【００８８】
また、認証トークンを新しい乱数を用いた認証トークンに更新する。これにより、古い認証トークンの再利用が不可能となるので、認証トークンの脆弱性を回避することができる。
【００８９】
また、従来、管理者のみが知っているパスワードで認証を行っている場合に障害が発生すると、管理者が現場にいなければ再認証を行うことができなかった。しかし、本発明の構成であれば、再認証を行う必要がないので、管理者がいないことにより処理（例えば、決済処理）の機能が停止することを防止することができる。
【００９０】
また、不揮発のメモリ（ＲＡＭ３３、ＥＥＰＲＯＭ１７）に記憶された認証トークンを比較することにより認証状態を継続させるので、例えば、停電になったとしても電子機器の処理を継続させることができる。  
【００９１】
（第２の実施の形態）
図８〜図１０を参照して、本発明に係る第２の実施の形態を説明する。本実施の形態の装置構成は、第１の実施の形態と同様であり、同様な部分には同一の符号を付し、その詳細な説明を援用する。以下、異なる部分について説明する。
【００９２】
ＣＰＵ１１は、第２のＳＡＭ使用許可プログラムとの協働により、端末装置３０の通信部３６及び通信部１６を介して動作ＯＫ信号とともに、認証時刻情報をセンタサーバ４０から受信した場合に、当該受信した認証時刻情報を含めて認証トークンを生成する。認証時刻情報とは、認証を許可した時刻を示す情報である。本実施の形態では、認証時刻情報は、センタサーバ時刻情報に該当する。センタサーバ時刻情報は、計時部４７により計時された時刻情報である。
【００９３】
また、ＣＰＵ１１は、第２の認証トークン比較プログラムとの協働により、計時部３９ａにより計時された第１の時刻情報としての端末装置時刻情報と認証トークンに含まれる認証時刻情報との差分時間を算出する。そして、ＣＰＵ１１は、算出した差分時間が予め定められた時間以内か否かを検証し、予め定められた時間以内であり、且つ、ＥＥＰＲＯＭ１７に記憶された認証トークンとＲＡＭ３３に記憶された認証トークンとが一致する場合に、センタサーバ４０との認証状態を継続させる。  
【００９４】
ＥＥＰＲＯＭ１７は、第２のＳＡＭ使用許可プログラム及び第２の認証トークン比較プログラムを記憶する。フラッシュメモリ３５は、第３の情報プログラム及び第４の情報プログラムを記憶する。記憶部４５は、第２の端末管理プログラムを記憶する。
【００９５】
図８〜図１０を参照して、決済システム１の動作を説明する。図８に第２の端末管理処理、第３の情報処理、第２のＳＡＭ使用許可処理の流れを示す。図９に第２の端末管理処理、第３の情報処理、第２のＳＡＭ使用許可処理の流れの続きを示す。
【００９６】
センタサーバ４０で実行される第２の端末管理処理を説明する。例えば、通信部４６を介して、暗号化端末ＩＤと、端末ＩＤと、が端末装置３０から受信開始されたことをトリガとして、記憶部４５から読み出されて適宜ＲＡＭ４３に展開された第２の端末管理プログラムとＣＰＵ４１との協働で、第２の端末管理プログラムが実行される。
【００９７】
ステップＳ７１〜Ｓ７３は、第１の端末管理処理のステップＳ１１〜Ｓ１３と同様である。ステップＳ７３において、許可されていると判別された場合（ステップＳ７３；ＹＥＳ）、暗号化ＯＫ信号及びセンタサーバ時刻情報が通信部４６を介して端末装置３０に送信される（ステップＳ７４）。ステップＳ７４の実行後、第２の端末管理処理が終了する。
【００９８】
ステップＳ７５は、第１の端末管理処理のステップＳ１５と同様である。ステップＳ７５の実行後、第２の端末管理処理が終了する。
【００９９】
次いで、端末装置３０で実行される第３の情報処理を説明する。端末装置３０において、例えば、電源投入されたことをトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第３の情報プログラムとＣＰＵ１１との協働で、第３の情報処理が実行される。
【０１００】
先ず、接続部３７を介して端末装置時刻情報がＳＡＭ１０に送出される（ステップＳ８１）。端末装置時刻情報は、計時部３９ａで計時された時刻情報である。ステップＳ８２〜ステップＳ８４は、第１の情報処理のステップＳ２１〜ステップＳ２３と同様である。
【０１０１】
ステップＳ８４の実行後、接続部３７を介して暗号化信号（暗号化ＯＫ信号又は暗号化拒否信号）及びセンタサーバ時刻情報をセンタサーバ４０から受信して、接続部３７を介して暗号化信号及びセンタサーバ時刻情報がＳＡＭ１０に送出される（ステップＳ８５）。
【０１０２】
そして、ステップＳ１０７に対応して、接続部３７を介してＳＡＭ１０からＳＡＭ時刻情報を受信して、受信したＳＡＭ時刻情報に端末装置時刻情報が較正される（ステップＳ８６）。ここで、受信したＳＡＭ時刻情報はセンタサーバ時刻情報に設定されている。すなわち、端末装置時刻情報がセンタサーバ時刻情報に設定される。
【０１０３】
ステップＳ８７〜ステップＳ９１は、第１の情報処理のステップＳ２５〜ステップＳ２９と同様である。ステップＳ９１の実行後、第３の情報処理は終了する。
【０１０４】
次いで、ＳＡＭ１０で実行される第２のＳＡＭ使用許可処理を説明する。ＳＡＭ１０において、例えば、ステップＳ８１に対応して、通信部１６を介して、端末装置時刻情報を端末装置３０から受信開始したことをトリガとして、ＥＥＰＲＯＭ１７から読み出されて適宜ＲＡＭ１３に展開された第２のＳＡＭ使用許可プログラムとＣＰＵ１１との協働で、第２のＳＡＭ使用許可処理が実行される。
【０１０５】
先ず、通信部１６を介して、端末装置時刻情報が端末装置３０から受信され、受信された端末装置時刻情報がＳＡＭ時刻情報として設定される（ステップＳ１０１）。ＳＡＭ時刻情報は、例えば、ＥＥＰＲＯＭ１７に格納される。
【０１０６】
ステップ１０２〜ステップＳ１０３は、第１のＳＡＭ使用許可処理のステップＳ３１〜ステップＳ３２と同様である。ステップＳ１０３の実行後、ステップＳ８５に対応して、通信部１６を介して暗号化信号及びセンタサーバ時刻情報が端末装置３０から受信され、暗号化信号（暗号化ＯＫ信号又は暗号化拒否信号）及びセンタサーバ時刻情報が鍵（鍵Ｔ１）で暗号演算部１２を介して復号化される（ステップＳ１０４）。
【０１０７】
ステップＳ１０５、ステップＳ１０６、ステップＳ１１４は、第１のＳＡＭ使用許可処理のステップＳ３４、ステップＳ３５、ステップＳ４１と同様である。ステップＳ１０６の実行後、ＳＡＭ時刻情報が較正される（ステップＳ１０７）。すなわち、ＳＡＭ時刻情報がセンタサーバ時刻情報に設定される。較正されたＳＡＭ時刻情報は、通信部１６を介して端末装置３０に送信される。
【０１０８】
そして、乱数が生成される（ステップＳ１０８）。そして、乱数とＳＡＭ時刻情報とが認証トークンとして設定される（ステップＳ１０９）。ここで、ＳＡＭ時刻情報はセンタサーバ時刻情報に該当する。すなわち、乱数とセンタサーバ時刻情報とが認証トークンとして設定される。
【０１０９】
ステップＳ１０９の実行後、認証トークンがＥＥＰＲＯＭ１７に保管される（ステップＳ１１０）。そして、認証トークンが鍵（鍵Ｂ）で暗号化され、暗号化された認証トークンが通信部１６を介して端末装置３０に出力（送信）される（ステップＳ１１１）。ここで、鍵Ｂとは、認証トークンを暗号化又は復号化するための鍵のことをいう。
【０１１０】
ステップＳ１１２〜ステップＳ１１３は、第１のＳＡＭ使用許可処理のステップＳ３９〜ステップＳ４０と同様である。ステップＳ１１３の実行後、第２のＳＡＭ使用許可処理は終了する。
【０１１１】
次いで、図１０を参照して、障害から復帰した際の決済システム１の動作を説明する。図１０に、第４の情報処理、第２の認証トークン比較処理の流れを示す。
【０１１２】
端末装置３０で実行される第４の情報処理を説明する。例えば、第３の情報処理のステップＳ８７において、認証トークンがＲＡＭ３３に記憶された後に、停電により電源の供給が遮断したとする。そして、所定時間経過後に電源の供給が復帰したとする。この場合、電源の供給が復帰されたこと等をトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第２の情報処理プログラムとＣＰＵ３１との協働で、第４の情報処理が実行される。
【０１１３】
先ず、接続部３７を介して端末装置時刻情報がＳＡＭ１０に送出される（ステップＳ１２１）。ステップＳ１２２〜ステップＳ１２９は、第２の情報処理の第ステップＳ５１〜ステップＳ５８と同様である。ステップＳ１２９の実行後、第４の情報処理は終了する。
【０１１４】
次いで、ＳＡＭ１０で実行される第２の認証トークン比較処理を説明する。例えば、ステップＳ１２１に対応して、通信部１６を介して端末装置３０から端末装置時刻情報を受信開始したことをトリガとして、ＥＥＰＲＯＭ１７から読み出されて適宜ＲＡＭ１３に展開された第２の認証トークン比較プログラムと、ＣＰＵ１１との協働で第２の認証トークン比較処理が実行される。
【０１１５】
先ず、通信部１６を介して端末装置時刻情報が受信される。そして、ＳＡＭ時刻情報が受信した端末装置時刻情報に設定される（ステップＳ１３１）。そして、ステップＳ１２４に対応して、通信部１６を介して端末装置３０から認証トークンが受信され、受信した認証トークンが鍵（鍵Ｂ）で復号される（ステップＳ１３２）。
【０１１６】
そして、ＥＥＰＲＯＭ１７に記憶した認証トークンと、復号された認証トークンと、が一致するか否かが比較される（ステップＳ１３３）。具体的には、ＥＥＰＲＯＭ１７に記憶した認証トークンに含まれる乱数と、復号された認証トークンに含まれる乱数と、が一致するか否かが比較される。そして、認証トークンの発行時刻（認証時刻情報）は予め定められた時間以内であるか否かが検証される（ステップＳ１３４）。具体的には、ステップＳ１３１でＳＡＭ時刻情報として設定された端末装置時刻情報と、ステップＳ１０９で設定された認証トークンに含まれるセンタサーバ時刻情報と、の差分時間が算出される。そして、算出された差分時間が予め定められた時間以内か否かが検証される。予め定められた時間は、認証トークンの有効期限に該当する。また、予め定められた時間は、任意の時間（例えば、２４時間）であり、ＥＥＰＲＯＭ１７に記憶されている。
【０１１７】
そして、ＥＥＰＲＯＭ１７に記憶した認証トークンと、復号された認証トークンとが同一であるか否か、及び認証トークンの発行時刻は予め定められた時間以内であるか否かにより、検証ＯＫか否かが判別される（ステップＳ１３５）。
【０１１８】
ステップＳ１３６〜ステップＳ１３７は、第１の認証トークン比較処理のステップＳ６３〜ステップＳ６４と同様である。ステップＳ１３７の実行後、新しい乱数が生成される（ステップＳ１３８）。そして、新しい乱数と、ステップＳ１３１でＳＡＭ時刻情報として設定された端末装置時刻情報と、が認証トークンとして設定される（ステップＳ１３９）。すなわち、認証トークンが新しい乱数及び端末装置時刻情報を含んだ認証トークンに更新される。そして、認証トークンがＥＥＰＲＯＭ１７に保管される（ステップＳ１４０）。
【０１１９】
そして、認証トークンが鍵（鍵Ｂ）を用いて暗号化され、暗号化された認証トークンが通信部１６を介して端末装置３０に出力される（ステップＳ１４１）。ステップＳ１４２〜ステップＳ１４３は、第１の認証トークン比較処理のステップＳ６８〜ステップＳ６９と同様である。ステップＳ１４３の実行後、第２の認証トークン比較処理は終了する。
【０１２０】
以上、本実施の形態によれば、端末装置時刻情報とセンタサーバ時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内であり、且つ、ＥＥＰＲＯＭ１７に記憶された認証トークンとＲＡＭ３３に記憶された認証トークンとが一致する場合に、センタサーバ４０との認証状態を継続する。これにより、認証トークンの有効期限に基づいて、認証状態を継続するか否かを検証できるので、認証トークンの安全性を高めることができる。
【０１２１】
また、暗号鍵（鍵Ｂ）を用いて認証トークンを暗号化させる。これにより、悪意のあるＳＡＭ１０内の鍵の解析の試みを確実に防御できる。また、暗号鍵（鍵Ｂ）により、耐タンパ手段（ＳＡＭ１０）と端末装置３０との認証トークンの暗号鍵（鍵Ｂ）の組み合わせが特定されるので、認証トークンの妥当性を確認することができる。  
【０１２２】
また、認証トークンを新しい乱数及び端末装置時刻情報を含んだ認証トークンに更新する。これにより、古い認証トークンの再利用が不可能となるので、認証トークンの脆弱性を回避することができる。
【０１２３】
（第３の実施の形態）
図１１〜図１３を参照して、第３の実施の形態を説明する。本実施の形態の装置構成において、第１の実施の形態の装置構成と同様の部分は、同一の符号を付し、その詳細な説明を援用する。以下、異なる部分について説明する。先ず、図１１を参照して、本実施の形態の装置構成を説明する。図１１に決済システム２の構成を示す。
【０１２４】
図１１に示すように、決済システム２は、ＳＡＭ１０と、端末装置３０と、センタサーバ４０と、タイムサーバ５０と、通信ネットワークＮと、を備えて構成される。
【０１２５】
タイムサーバ５０は、時刻を計時するサーバ装置である。タイムサーバ５０は、通信ネットワークＮを介して端末装置３０と通信接続される。
【０１２６】
図１２に示すように、タイムサーバ５０は、ＣＰＵ５１と、入力部５２と、ＲＡＭ５３と、表示部５４と、記憶部５５と、通信部５６と、計時部５７と、を備えて構成される。ＣＰＵ５１と、入力部５２と、ＲＡＭ５３と、表示部５４と、記憶部５５と、通信部５６と、計時部５７とは、センタサーバ４０のＣＰＵ４１と、入力部４２と、ＲＡＭ４３と、表示部４４と、記憶部４５と、通信部４６と、計時部４７とそれぞれ同様である。
【０１２７】
ＣＰＵ５１は、時刻情報送信プログラムとの協働により通信部５６を介して署名付きタイムサーバ時刻情報を送信する。タイムサーバ時刻情報とは、計時部５７により計時された時刻である。署名とは、タイムサーバ時刻情報から一定の法則で割り出した固定長のデータ（ハッシュ値）を、鍵（鍵Ｃ）で暗号化した情報のことをいう。鍵Ｃとは、タイムサーバ時刻情報のハッシュ値を暗号化又は復号化するための鍵のことをいう。また、記憶部５５は時刻情報送信プログラムを記憶する。
【０１２８】
ＣＰＵ１１は、第３の認証トークン比較プログラムとの協働により、端末装置３０の通信部３６及び通信部１６を介してタイムサーバ５０で計時された第２の時刻情報としてのタイムサーバ時刻情報をタイムサーバ５０から定期的又は不定期に受信する。そして、ＣＰＵ１１は、受信したタイムサーバ時刻情報と認証トークンに含まれる認証時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内か否かを検証し、予め定められた時間以内であり、且つ、ＥＥＰＲＯＭ１７に記憶された認証トークンとＲＡＭ３３に記憶された認証トークンとが一致する場合に、センタサーバ４０との認証状態を継続させる。本実施の形態では、認証時刻情報は、センタサーバ時刻情報に該当する。
【０１２９】
ＥＥＰＲＯＭ１７は、第３の認証トークン比較プログラムを記憶する。フラッシュメモリ３５は、第５の情報プログラムを記憶する。
【０１３０】
次いで、決済システム２の動作を説明する。図１３に、時刻情報送信処理、第５の情報処理、第３の認証トークン比較処理の流れを示す。なお、図１３に示す各処理の前に、センタサーバ４０において第２の端末管理処理、端末装置３０において第３の情報処理、ＳＡＭ１０において第２のＳＡＭ使用許可処理が予め実行されているものとして、以下説明する。
【０１３１】
タイムサーバ５０で実行される時刻情報送信処理について説明する。タイムサーバ５０において、例えば、通信部５６を介して端末装置３０の電源の供給が復帰されたことを示す信号を端末装置３０から受信開始したことをトリガとして、記憶部５５から読み出されて適宜ＲＡＭ５３に展開された時刻情報送信プログラムと、ＣＰＵ５１との協働で、時刻情報送信処理が実行される。
【０１３２】
先ず、通信部５６を介して署名付きのタイムサーバ時刻情報が端末装置３０に送信される（ステップＳ１５１）。ステップＳ１５１の実行後、時刻情報送信処理は終了する。
【０１３３】
次いで、端末装置３０で実行される第５の情報処理について説明する。例えば、第３の情報処理のステップＳ８７において、認証トークンがＲＡＭ３３に記憶された後に、停電により電源の供給が遮断したとする。そして、所定時間経過後に電源の供給が復帰したとする。この場合、電源の供給が復帰されたこと等をトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第５の情報処理プログラムとＣＰＵ１１との協働で、第５の情報処理が実行される。
【０１３４】
先ず、通信部３６を介して署名付きタイムサーバ時刻情報が受信される。そして、接続部３７を介して受信した署名付きタイムサーバ時刻情報がＳＡＭ１０に送出される（ステップＳ１６１）。
【０１３５】
ステップＳ１６２〜ステップＳ１６９は、第４の情報処理のステップＳ１２２〜ステップＳ１２９と同様である。ステップＳ１６９の実行後、第５の情報処理は終了する。
【０１３６】
次いで、ＳＡＭ１０で実行される第３の認証トークン比較処理について説明する。例えば、ステップＳ１６１に対応して、通信部１６を介して端末装置３０から署名付きタイムサーバ時刻情報を受信開始したことをトリガとして、ＥＥＰＲＯＭ１７から読み出されて適宜ＲＡＭ１３に展開された第３の認証トークン比較プログラムと、ＣＰＵ１１との協働で第３の認証トークン比較処理が実行される。
【０１３７】
先ず、通信部１６を介して端末装置３０から署名付きタイムサーバ時刻情報が受信される。そして、受信した署名チェックの後、ＳＡＭ時刻情報がタイムサーバ時刻情報に設定される（ステップＳ１８１）。署名チェックとは、鍵（鍵Ｃ）で復号化したハッシュ値と、受信したタイムサーバ時刻情報から算出したハッシュ値とを比較することをいう。署名チェックが確認された上で（復号化したハッシュ値と、算出したハッシュ値とが一致したと確認された上で）、ＳＡＭ時刻情報がタイムサーバ時刻情報に設定される。また、このとき、署名付きタイムサーバ時刻情報は、定期又は不定期に受信される。
【０１３８】
ステップＳ１８２〜ステップＳ１８３は、第２の認証トークン比較処理のステップＳ１３２〜Ｓ１３３と同様である。ステップＳ１８３の実行後、認証トークンの発行時刻は予め定められた時刻以内であるか否かが検証される（ステップＳ１８４）。具体的には、ステップＳ１８１でＳＡＭ時刻情報として設定されたタイムサーバ時刻情報と、第２のＳＡＭ使用許可処理のステップＳ１０９で設定された認証トークンに含まれるセンタサーバ時刻情報と、の差分時間が算出される。そして、算出された差分時間が予め定められた時間（認証トークンの有効期限）以内か否かが検証される。
【０１３９】
ステップＳ１８５〜ステップＳ１８８は、第２の認証トークン比較処理のステップＳ１３５〜ステップＳ１３８と同様である。ステップＳ１８８の実行後、新しい乱数と、ステップＳ１８１でＳＡＭ時刻情報として設定されたタイムサーバ時刻情報と、が認証トークンとして設定される（ステップＳ１８９）。すなわち、認証トークンが新しい乱数及びタイムサーバ時刻情報を含んだ認証トークンに更新される。ステップＳ１９０〜ステップＳ１９３は、第２の認証トークン比較処理のステップＳ１４０〜ステップＳ１４３と同様である。ステップＳ１９３の実行後、第３の認証トークン比較処理が終了する。
【０１４０】
以上、本実施の形態によれば、タイムサーバ時刻情報とセンタサーバ時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内であり、且つ、ＥＥＰＲＯＭ１７に記憶された認証トークンとＲＡＭ３３に記憶された認証トークンとが一致する場合に、センタサーバ４０との認証状態を継続する。これにより、認証トークンの有効期限に基づいて、認証状態を継続するか否かを検証できるので、認証トークンの安全性を高めることができる。また、タイムサーバ時刻情報を不定期に受信できるので、時刻精度の高いタイムサーバ時刻情報を用いて認証状態を継続するか否かを検証することができる。
【０１４１】
また、認証トークンを新しい乱数及びタイムサーバ時刻情報を含んだ認証トークンに更新する。これにより、古い認証トークンの再利用が不可能となるので、認証トークンの脆弱性を回避することができる。
【０１４２】
また、タイムサーバ時刻情報の署名チェックを行うので、時間の改ざんのないことを保障することができる。さらに、タイムサーバ時刻情報を含めて認証トークンの更新を行うので、改ざんのないことが保障された時刻情報を用いて認証トークンの更新を行うことができる。
【０１４３】
（第４の実施の形態）
図１４及び図１５を参照して、第４の実施の形態を説明する。本実施の形態の装置構成において、第１の実施の形態及び第３の実施の形態の装置構成と同様の部分は、同一の符号を付し、その詳細な説明を援用する。以下、異なる部分について説明する。
【０１４４】
センタサーバ４０のＣＰＵ４１は、正当性確認プログラムとの協働により、通信部４６を介して決済処理に関する決済データ及び認証トークンを端末装置３０から受信し、認証時刻情報と受信した認証トークンに含まれるタイムサーバ時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内か否かを検証し、予め定められた時間以内でない場合に、端末装置３０を無効にする。本実施の形態では、認証時刻情報は、センタサーバ時刻情報に該当する。
【０１４５】
端末装置３０のフラッシュメモリ３５は、第６の情報プログラムを記憶する。ＳＡＭ１０のＥＥＰＲＯＭ１７は、第４の認証トークン比較プログラムを記憶する。センタサーバ４０の記憶部４５は正当性確認プログラム記憶する。
【０１４６】
次いで、決済システム２の動作を説明する。図１４に、時間情報送信処理、正当性確認処理、第６の情報処理、第４の認証トークン比較処理の流れを示す。図１５に、時間情報送信処理、正当性確認処理、第６の情報処理、第４の認証トークン比較処理の流れの続きを示す。なお、図１４及び図１５に示す各処理の前に、センタサーバ４０において第２の端末管理処理、端末装置３０において第３の情報処理、ＳＡＭ１０において第２のＳＡＭ使用許可処理が予め実行されているものとして、以下説明する。
【０１４７】
本実施の形態のタイムサーバ５０における時間情報送信処理は、第３の実施の形態における時間情報送信処理と同様である。
【０１４８】
センタサーバ４０で実行される正当性確認処理について説明する。例えば、ステップＳ２２２に対応して、通信部４６を介して端末装置１０からデータを受信開始したことをトリガとして、記憶部４５から読み出されて適宜ＲＡＭ４３に展開された正当性確認プログラムとＣＰＵ４１との協働で、正当性確認処理が実行される。
【０１４９】
先ず、ステップＳ２２２に対応して、通信部４６を介して端末装置３０からデータが受信される（ステップＳ２０１）。データとは、決済データ、認証トークン、及び署名のことをいう。決済データとは、カード番号、暗証番号、決済金額のことをいう。認証トークンは、第４の認証トークン比較処理のステップＳ２３９で更新された認証トークン（新しい乱数及びタイムサーバ時刻情報を含んだ認証トークン）に該当する。署名とは、決済データ及び認証トークンをまとめたハッシュ値を鍵（鍵Ｘ）で暗号化した情報である。また、決済データ及び認証トークンは、鍵（鍵Ｙ）で暗号化されており、暗号化された決済データ及び認証トークンが受信される。ステップＳ２０１において、データが受信されると、暗号化された決済データ及び認証トークンが鍵Ｙで復号化され、復号化された決済データ及び認証トークンからハッシュ値が算出される。そして、算出されたハッシュ値と、鍵（Ｘ）で復号化された署名のハッシュ値と、の比較（署名チェック）が行われる。ここで、鍵Ｘとは、決済データ及び認証トークンをまとめたハッシュ値を暗号化又は復号化するための鍵のことをいう。鍵Ｙとは、決済データ及び認証トークンを暗号化又は復号化するための鍵のことをいう。
【０１５０】
そして、データの正当性がＯＫであるか否かが判別される（ステップＳ２０２）。具体的には、第２の端末管理処理のステップＳ７４で設定された認証時刻情報であるセンタサーバ時刻情報と、受信したデータの認証トークンに含まれるタイムサーバ時刻情報と、の差分時間が算出される。すなわち、センタサーバ４０により認証がされた時間から決済処理が行われた時までの時間（差分時間）が算出される。そして、算出された差分時間が予め定められた時間（データの有効期限）以内であるか否かが判別される。差分時間が予め定められた時間以内である場合は、データの正当性ＯＫと検証（判別）される。すなわち、データの有効期限は過ぎていないと判別される。差分時間が予め定められた時間以内でない場合は、データの正当性がない（ＮＧ）と判別される。すなわち、データの有効期限は過ぎていると判別される。
【０１５１】
データの正当性がＯＫである場合（ステップＳ２０２；ＯＫ）、正常処理へ移行される（ステップＳ２０４）。データの正当性がＯＫでない場合（ステップＳ２０２；ＮＧ）、通信部４６を介して端末を無効化する無効化信号が端末装置３０に送信される（ステップＳ２０３）。ステップＳ２０３及びステップＳ２０４の実行後、正当性確認処理は終了する。
【０１５２】
次いで、端末装置３０で実行される第６の情報処理について説明する。例えば、第３の情報処理のステップＳ８７において、認証トークンがＲＡＭ３３に記憶された後に、停電により電源の供給が遮断したとする。そして、所定時間経過後に電源の供給が復帰したとする。この場合、電源の供給が復帰されたこと等をトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された第６の情報プログラムとＣＰＵ３１との協働で、第６の情報処理が実行される。
【０１５３】
ステップＳ２１１〜ステップＳ２１７は、第５の情報処理のステップＳ１６１〜ステップＳ１６７と同様である。
【０１５４】
ステップＳ２１７の実行後、接続部３７を介して処理結果（決済データ）がＳＡＭ１０に送出される（ステップＳ２１８）。そして、ステップＳ２４４に対応して、接続部３７を介してデータが受信される。そして、受信されたデータがフラッシュメモリ３５に保管される（ステップＳ２１９）。
【０１５５】
ステップＳ２２０〜ステップＳ２２１は、第５の情報処理のステップＳ１６８〜ステップＳ１６９と同様である。ステップＳ２２１の実行後、通信部３６を介してデータがセンタサーバ４０へ送信される（ステップＳ２２２）。
【０１５６】
そして、ステップＳ２０３；ＮＧに対応して、通信部３６を介してセンタサーバ４０から無効化信号が受信され、端末装置３０が無効化される（ステップＳ２２３）。ステップＳ２２３の実行後、第６の情報処理は終了する。
【０１５７】
次いで、ＳＡＭ１０で実行される第４の認証トークン比較処理について説明する。例えば、ステップＳ２１１に対応して、通信部１６を介して端末装置３０から署名付きタイムサーバ時刻情報を受信開始したことをトリガとして、ＥＥＰＲＯＭ１７から読み出されて適宜ＲＡＭ１３に開された第４の認証トークン比較プログラムと、ＣＰＵ１１との協働で第４の認証トークン比較処理が実行される。
【０１５８】
ステップＳ２３１〜ステップＳ２４２は、第３の認証トークン比較処理のステップＳ１８１〜ステップＳ１９２と同様である。ステップＳ２４２の実行後、通信部１６を介して端末装置３０から決済データが受信される（ステップＳ２４３）。そして、受信された決済データと、ステップＳ２３９で設定された認証トークンと、がまとめて鍵Ｘで署名される（ステップＳ２４４）。また、このとき、鍵Ｙで決済データ及び認証トークンが暗号化される。そして、通信部１６を介してデータが端末装置３０に送信される。
【０１５９】
ステップＳ２４５は、第３の認証トークン比較処理のステップＳ１９３と同様である。ステップＳ２４５の実行後、通信部１６を介して端末装置３０から無効化信号を受信したか否かが判別される（ステップＳ２４６）。無効化信号を受信していないと判別された場合（ステップＳ２４６；ＮＯ）、ステップＳ２４６に移行される。無効化信号を受信したと判別された場合、ＥＥＰＲＯＭ１７に記憶されている鍵（例えば、鍵Ｔ１、Ｂ、Ｃ、Ｄ、Ｒ、Ｘ、Ｙ等）が無効化される（ステップＳ２４７）。ステップＳ２４７の実行後、第４の認証トークン比較処理は終了する。
【０１６０】
以上、本実施の形態によれば、センタサーバ時刻情報とタイムサーバ時刻情報との差分時間を算出し、算出した差分時間が予め定められた時間以内か否かを検証する。これにより、センタサーバ４０により認証がされた時刻から決済処理が行われた時刻までの時間（差分時間）を推定し、データの正当性を検討するので、データの安定性を高めることができる。また、差分時間が予め定められた時間以内でない場合（すなわち、データの有効期限が過ぎている場合）に、端末装置３０を無効（端末装置３０の利用停止）にするので、第三者による端末装置３０の無断利用等の被害が広がることを防止することができる。
【０１６１】
また、認証トークンを新しい乱数及びタイムサーバ時刻情報を含んだ認証トークンに更新する。これにより、古い認証成功情報の再利用が不可能となるので、認証成功情報の脆弱性を回避することができる。  
【０１６２】
なお、上記各実施の形態における記述は、本発明に係る電子機器、決済システム、及びプログラムの一例であり、これに限定されるものではない。
【０１６３】
例えば、上記第１の実施の形態では、認証トークンを暗号化することなく端末装置３０へ出力（送信）することとしたが、暗号化した認証トークンを端末装置３０へ送信することとしてもよい。  
【０１６４】
また、上記第３の実施の形態及び第４の実施の形態では、タイムサーバ５０は、センタサーバ４０と異なる構成としたがこれに限定されるものではない。例えば、センタサーバ４０にタイムサーバ５０を含む構成としてもよい。
【０１６５】
また、上記第３の実施の形態及び第４の実施の形態では、認証時刻情報をセンタサーバ時刻情報としたがこれに限定されるものではない。例えば、認証時刻情報をタイムサーバ時刻情報としてもよい。この場合、センタサーバ４０から動作ＯＫ信号が端末装置３０へ送信されると同時にタイムサーバ５０から通信部５６を介して端末装置、ＳＡＭ１０へタイムサーバ時刻情報が送信されることとなる。ＳＡＭ１０は、通信部１６を介して認証成功時刻に該当するタイムサーバ時刻情報を受信すると、当該タイムサーバ時刻情報含めて認証トークンを生成する。そして、障害から復旧した際に、ＳＡＭ時刻情報として設定されたタイムサーバ時刻情報と、生成された認証トークンに含まれるタイムサーバ時刻情報と、の差分時間を算出し、算出時間が予め定められた時間（認証トークンの有効期限）以内であるか否かを検証する。この場合、時間精度は、タイムサーバ５０からタイムサーバ時刻情報を受信する間隔のみで決まる。
【０１６６】
その他、上記の実施の形態における決済システムの細部構成及び詳細動作に関しても、本発明の趣旨を逸脱しない範囲で適宜変更可能である。
【図面の簡単な説明】
【０１６７】
【図１】本発明に係る決済システムを示す概略図である。
【図２】ＳＡＭの内部構成を示すブロック図である。
【図３】端末装置の内部構成を示すブロック図である。
【図４】センタサーバの内部構成を示すブロック図である。
【図５】第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理を示すフローチャートである。
【図６】図５の第１の端末管理処理、第１の情報処理、第１のＳＡＭ使用許可処理の続きを示すフローチャートである。
【図７】第２の情報処理、第１の認証トークン比較処理を示すフローチャートである。
【図８】第２の端末管理処理、第３の情報処理、第２のＳＡＭ使用許可処理を示すフローチャートである。
【図９】図８の第２の端末管理処理、第３の情報処理、第２のＳＡＭ使用許可処理の続きを示すフローチャートである。
【図１０】第４の情報処理、第２の認証トークン比較処理を示すフローチャートである。
【図１１】決済システムの構成を示すブロック図である。
【図１２】タイムサーバの内部構成を示すブロック図である。
【図１３】第５の情報処理、第３の認証トークン比較処理を示すフローチャートである。
【図１４】時刻情報送信処理、第６の情報処理、第４の認証トークン比較処理を示すフローチャートである。
【図１５】時刻情報送信処理、第６の情報処理、第４の認証トークン比較処理の続を示すフローチャートである。
【図１６】決済システム１００を示すブロック図である。
【符号の説明】
【０１６８】
１，２ 決済システム
１０   端末装置
１１，３１，４１  ＣＰＵ
１２   暗号演算部
１３，３３，４３  ＲＡＭ
１４   異常検出部
１５   ＲＯＭ
１６，３６，４６  通信部
１７   ＥＥＰＲＯＭ
１８，３９ｂ，４８   バス
３０   端末装置
３２，４２    入力部
３３Ａ バックアップ電池
３４，４４    表示部
３５   フラッシュメモリ
３７   接続部
３８   カードリーダ
３９   接続部
３９ａ，４７  計時部
４０   センタサーバ
４５   記憶部
５０   タイムサーバ
６０   ＩＣカード
７０   メモリカード
１００ 決済端末
Ｎ     通信ネットワーク
【図１】
0005092629.tif 000002
【図２】
0005092629.tif 000003
【図３】
0005092629.tif 000004
【図４】
0005092629.tif 000005
【図５】
0005092629.tif 000006
【図６】
0005092629.tif 000007
【図７】
0005092629.tif 000008
【図８】
0005092629.tif 000009
【図９】
0005092629.tif 000010
【図１０】
0005092629.tif 000011
【図１１】
0005092629.tif 000012
【図１２】
0005092629.tif 000013
【図１３】
0005092629.tif 000014
【図１４】
0005092629.tif 000015
【図１５】
0005092629.tif 000016
【図１６】
0005092629.tif 000017