(57)【特許請求の範囲】
【請求項１】
ＩＣチップの搭載された利用者ポイントカードを挿脱自在に保持する店舗端末と、この店舗端末に接続された店舗ホスト計算機とを備えたポイントカードシステムであって、
前記利用者ポイントカードに設けられ、前記店舗ホスト計算機により発行された「利用者ＩＤ」、「各利用者ポイントカード固有の利用者公開鍵ペア」及び「少なくとも利用者公開鍵の値、店舗ホスト計算機名、及びこの店舗ホスト計算機名と利用者公開鍵の値との組を店舗ホスト秘密鍵でデジタル署名した署名、の３つを有する利用者公開鍵証明書」が格納されるメモリと、
前記利用者ポイントカードが前記店舗端末に保持され、利用者により代金が支払われるとき、この支払われる代金に基づいて、ポイントデータを生成するポイント生成手段と、
前記店舗ホスト計算機に設けられ、少なくとも前記ポイント生成手段により生成されたポイントデータ及び前記代金を支払う利用者に関する利用者データに対し、前記店舗ホスト秘密鍵を用いて店舗ホスト計算機固有のデジタル署名を施してバリューデータを生成するバリュー生成手段と、
前記バリュー生成手段により生成されたバリューデータを前記店舗端末に送信するバリュー送信手段と、
前記バリュー送信手段から受信したバリューデータのデジタル署名を店舗ホスト公開鍵を用いて検証し、この検証結果が正当性を示すとき、当該バリューデータを前記利用者ポイントカードに入力するバリュー入力手段と、
前記店舗端末に設けられ、前記利用者ポイントカードが店舗端末に保持された際に、前記利用者ポイントカードから受ける利用者公開鍵証明書及びバリューデータの各々のデジタル署名を、前記店舗ホスト公開鍵を用いて検証する手段と
を備えたことを特徴とするポイントカードシステム。
【請求項２】
請求項１に記載のポイントカードシステムに使用される耐タンパー性の利用者ポイントカードであって、
前記バリュー入力手段から入力されたバリューデータを格納するバリュー格納手段と、
前記バリュー格納手段内のバリューデータの残高を示すカウンタと、
前記店舗端末から残高要求を受けたとき、この残高要求に基づいて、少なくとも前記バリュー格納手段内のバリューデータ及び前記カウンタの値を前記店舗端末に送信する残高送信手段と、
前記店舗端末からポイント使用額が入力されたとき、このポイント使用額に相当する分だけ前記カウンタの値を実質的に減額するカウンタ値減額手段と、
前記カウンタ値減額手段により減額された前記カウンタの値を前記店舗端末に送信する減額値送信手段と
を備えており、
前記バリュー格納手段は、前記店舗ホスト計算機により発行された「利用者ＩＤ」、「各利用者ポイントカード固有の利用者公開鍵ペア」、「少なくとも利用者公開鍵の値、店舗ホスト計算機名、及びこの店舗ホスト計算機名と利用者公開鍵の値との組を店舗ホスト秘密鍵でデジタル署名した署名、の３つを有する利用者公開鍵証明書」及び「前記バリューデータ」が格納されており、
前記バリューデータは、少なくとも前記店舗ホスト計算機により生成されたポイントデータ及び前記代金を支払う利用者に関する利用者データに対し、前記店舗ホスト秘密鍵を用いて店舗ホスト計算機固有のデジタル署名を施して生成されたデータであることを特徴とする利用者ポイントカード。
【請求項３】
請求項１に記載のポイントカードシステムにおいて、
前記バリュー生成手段は、前記利用者がポイントを使用しないとき、少なくとも、前記ポイント生成手段により生成されたポイントデータに前記利用者ポイントカード内のバリューデータの残高を加算して得られた額のポイントデータ、及び前記利用者データに対し、前記店舗ホスト秘密鍵を用いて店舗ホスト計算機固有のデジタル署名を施してバリューデータを生成することを特徴とするポイントカードシステム。
【請求項４】
請求項１に記載のポイントカードシステムにおいて、
前記店舗ホスト計算機は、
前記利用者を登録するとき、前記店舗端末から利用者登録情報を受けると、前記利用者ＩＤを発行し、この利用者ＩＤと前記利用者登録情報との組を登録する利用者登録手段と、
前記利用者登録手段により発行された利用者ＩＤに基づいて、前記利用者公開鍵ペア及び利用者公開鍵証明書を発行する鍵データ生成手段と、
前記利用者登録手段により発行された利用者ＩＤ、前記鍵データ生成手段により発行された利用者公開鍵ペア並びに利用者公開鍵証明書、及び所定の前記店舗ホスト公開鍵を前記店舗端末に送信する鍵送信手段とを備え、
前記店舗端末は、
前記鍵送信手段から受けた利用者ＩＤ、利用者公開鍵ペア、利用者公開鍵証明書及び店舗ホスト公開鍵を前記利用者ポイントカードに入力する鍵情報入力手段を備えたことを特徴とするポイントカードシステム。
【請求項５】
請求項４に記載のポイントカードシステムにおいて、
前記店舗端末は複数台が設けられ、これら各店舗端末が個別に複数の店舗に配置されており、
前記店舗ホスト計算機は１台であり、前記店舗ホスト公開鍵は各利用者ポイントカード間で共通化されていることを特徴とするポイントカードシステム。
【請求項６】
ＩＣチップの搭載された利用者ポイントカードを挿脱自在に保持する複数台の店舗端末と、この店舗端末に接続された複数台の店舗ホスト計算機と、前記各店舗ホスト計算機に接続された共通の第三者機関装置とを備えたポイントカードシステムであって、
前記各店舗端末は個別に複数の店舗に配置されており、
前記各店舗ホスト計算機は個別に各店舗端末に接続され、且つそれぞれ個別の店舗ホスト公開鍵を有しており、
前記利用者ポイントカードに設けられ、いずれかの店舗ホスト計算機により発行された「利用者ＩＤ」、「各利用者ポイントカード固有の利用者公開鍵ペア」及び「少なくとも利用者公開鍵の値、第三者機関名、及びこの第三者機関名と利用者公開鍵の値との組を第三者機関秘密鍵でデジタル署名した署名、の３つを有する利用者公開鍵証明書」が格納されるメモリと、
前記利用者ポイントカードが前記店舗端末に保持され、利用者により代金が支払われるとき、この支払われる代金に基づいて、ポイントデータを生成するポイント生成手段と、
前記各店舗ホスト計算機に設けられ、少なくとも前記ポイント生成手段により生成されたポイントデータ及び前記代金を支払う利用者に関する利用者データに対し、前記店舗ホスト秘密鍵を用いて店舗ホスト計算機固有のデジタル署名を施してバリューデータを生成し、当該バリューデータには各店舗に固有の店舗識別子を付すバリュー生成手段と、
前記バリュー生成手段により生成されたバリューデータを前記店舗端末に送信するバリュー送信手段と、
前記バリュー送信手段から受信したバリューデータのデジタル署名を店舗識別子に該当する店舗ホスト公開鍵を用いて検証し、この検証結果が正当性を示すとき、当該バリューデータを前記利用者ポイントカードに入力するバリュー入力手段と、
前記各店舗端末に設けられ、前記利用者ポイントカードが店舗端末に保持された際に、前記利用者ポイントカードから受ける利用者公開鍵証明書のデジタル署名を前記第三者機関公開鍵により検証し、前記利用者ポイントカードから受けるバリューデータのデジタル署名を店舗識別子に該当する店舗ホスト公開鍵により検証する手段とを備えており、
前記各店舗ホスト計算機に設けられ、前記利用者を登録するとき、前記店舗端末から利用者登録情報を受けると、前記利用者ＩＤを発行し、この利用者ＩＤと前記利用者登録情報との組を登録する利用者登録手段と、
前記第三者機関装置に設けられ、前記利用者登録手段により発行された利用者ＩＤに基づいて、前記利用者公開鍵ペアを発行すると共に、共通の第三者機関公開鍵を用いたデジタル署名により前記利用者公開鍵証明書を発行する鍵データ生成手段と、
前記各店舗ホスト計算機に設けられ、前記利用者登録手段により発行された利用者ＩＤ、前記鍵データ生成手段により発行された利用者公開鍵ペア並びに利用者公開鍵証明書、及び所定の店舗ホスト公開鍵を前記店舗端末に送信する鍵送信手段と、
前記各店舗端末に設けられ、前記鍵送信手段から受けた利用者ＩＤ、利用者公開鍵ペア、利用者公開鍵証明書及び店舗ホスト公開鍵を前記利用者ポイントカードに入力する鍵情報入力手段と
を備えたことを特徴とするポイントカードシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、購入金額に基づきポイントを利用者のカードに記録し、また、カードのポイントの累積額に応じて購入金額を割引するポイントカードシステム及び利用者ポイントカードに係り、特に、店舗側の処理の負担を軽減し得るポイントカードシステム及び利用者ポイントカードに関する。
【０００２】
【従来の技術】
一般に、商取引の分野では、購入金額に基づきポイントを利用者のカードに記録し、また、カードのポイントの累積額に応じて購入金額を割引するポイントカードシステムが広く知られている。
【０００３】
図１３は係るポイントカードシステムの概略構成を示す模式図である。このポイントカードシステムは、不特定多数の利用者に店舗毎に発行されたｎ種類のポイントカード１１〜１ｎ、各店舗毎に配置されたｎ種類の店舗端末２１〜２ｎ、各店舗端末２１〜２ｎを統括する店舗ホスト３及び店舗ホスト３に接続された顧客ポイント管理ＤＢ(data base)４から構成されている。
【０００４】
ここで、ポイントカード１１〜１ｎは、利用者ＩＤ(identification number)の記録された磁気カードである。店舗端末２１〜２ｎは、ポイントカード１１〜１ｎ内の利用者ＩＤを読出可能で且つ各情報を店舗ホスト３に対して送受信可能なものであり、具体的には、後述する利用者登録情報の入力部をも兼用したキャッシュレジスタ及びリーダ（又はリーダライタ）が一体化されたカード処理装置である。
【０００５】
店舗ホスト３は、各情報を店舗端末２１〜２ｎに対して送受信可能で且つ各情報を顧客ポイント管理ＤＢ４に対して読出／書込可能なホスト計算機である。顧客ポイント管理ＤＢ４は、店舗ホスト３から読出／書込可能で且つ利用者ＩＤ、利用者登録情報並びにポイント残高情報が記録されるデータベース装置である。
【０００６】
係るポイントカードシステムでは、新規登録の際に、図１４に示すように、利用者が店舗に行き、例えばポイントカード１１の発行を店員に申込む。店員は、利用者から聴取した利用者の姓名、住所並びに電話番号等の利用者登録情報を店舗端末２１に入力し、店舗端末２は、これら利用者登録情報を店舗ホスト３に送信する（ＳＴ１）。
【０００７】
また、店舗ホスト３は、利用者登録情報を受信すると、識別用の利用者ＩＤを発行し、これら利用者情報と利用者ＩＤとの組を顧客ポイント管理ＤＢ４に登録し、利用者ＩＤを店舗端末２１に返信する（ＳＴ２）。
【０００８】
店舗端末２１は、この利用者ＩＤをポイントカード１１に書込み（ＳＴ３）、新規登録処理を完了する。但し、このような手順に限らず、例えば、予め利用者ＩＤの記録されたポイントカード１１を用い、このポイントカード１１から読取った利用者ＩＤと、利用者から得た利用者登録情報との組を店舗ホスト３に送信し、利用者ＩＤと利用者登録情報との組を顧客ポイント管理ＤＢ４に登録する方式としてもよい。いずれにしても、利用者ＩＤと利用者情報とをリンク付けして顧客ポイント管理ＤＢ４に登録する方式であればよい。
【０００９】
一方、代金支払の際には、利用者は、図１５に示すように、携帯するポイントカード１１を店員に提示する。店員は、店舗端末２１のリーダを用い、ポイントカード１１から利用者ＩＤを読出す（ＳＴ１１）。また、店舗端末２１は、読み出した利用者ＩＤを店舗ホスト３に送信する（ＳＴ１２）。
【００１０】
店舗ホスト３は、店舗端末２１から利用者ＩＤを受けると、その利用者ＩＤに基づいて、顧客ポイント管理ＤＢ４内のポイント残高情報（ポイント累積額）を検索し、得られたポイント残高情報を店舗端末２１に送る（ＳＴ１３）。
【００１１】
店員は、店舗端末２１を用いて、利用者に割引前の支払い代金を提示し（ＳＴ１４）、利用者がポイントを使用するか否かを尋ねる。利用者がポイントを使用する場合は、そのポイント残高情報の値を上限として支払い代金から割引するように店舗端末２１を操作し、店舗端末２１に最終的な支払い代金を提示させる。
【００１２】
次に、店員は、利用者から支払い代金を受取ると（ＳＴ１５）、その旨を店舗端末２１に入力する。店舗端末２１は、ポイントを使用した旨を示すポイント使用情報、及び利用者の代金支払いに応じたポイント発生額を店舗端末２１から店舗ホスト３ヘ送信する（ＳＴ１６）。
【００１３】
店舗ホスト３は、ポイント使用情報を受けると、利用者ＩＤに対応するポイント残高情報をクリアし、ポイント発生額の値を新規のポイント残高情報として顧客ポイント管理ＤＢ４に更新する。その後、店舗ホスト３は、新たなポイント残高情報を店舗端末２１へ送信する（ＳＴ１７）。店舗端末２１は、利用者から受取った支払い代金と、新たなポイント残高情報とをレシート等に印字出力し、店員はこのレシートを利用者に渡す（ＳＴ１８）。
【００１４】
一方、ステップＳＴ１４の際に、利用者がポイントを使用しない旨を述べた場合には、割引前の支払い代金が最終的な支払い代金として確定される。
【００１５】
店員は、図１６に示すように、利用者から支払い代金を受取ると（ＳＴ１９）、その旨を店舗端末２１に入力する。店舗端末２１は、利用者がポイントを使用しない旨を示すポイント使用情報、及び利用者の代金の支払いに応じたポイント発生額を店舗端末２１から店舗ホスト３ヘ送信する（ＳＴ２０）。
【００１６】
店舗ホスト３は、利用者ＩＤに対応する残高ポイント情報にこのポイント発生額の値を加算し、得られた結果を新規の残高ポイント情報として顧客ポイント管理ＤＢ４に更新する。以下同様に、店舗ホスト３は、新たなポイント残高情報を店舗端末２１に送信し（ＳＴ２１）、店舗端末２１は、受取った支払い代金と、新たなポイント残高情報とをレシート等に印字出力し、店員はこのレシートを利用者に渡す（ＳＴ２２）。
【００１７】
【発明が解決しようとする課題】
しかしながら、以上のようなポイントカードシステムでは、店舗ホスト３がポイント残高情報を顧客ポイント管理ＤＢ４に更新するが、この更新処理は、店舗数の増加に伴い、店舗ホスト３に多大な負担をかけると共に、通信コストの増大を招いてしまう。
【００１８】
また、利用者が各店舗毎に異なるポイントカード１１〜１ｎを所持する必要がある。
さらに、ポイントカード１１内の利用者ＩＤにより顧客ポイント管理ＤＢ４内のポイント残高情報を得るため、スキニングという不正な読出行為により、簡単に他人のポイントカード１からポイント残高情報や利用者情報を読出可能となるため、秘密保持の度合が低い。
【００１９】
本発明は上記実情を考慮してなされたもので、店舗側での処理の負担を軽減し得るポイントカードシステム及び利用者ポイントカードを提供することを目的とする。
【００２０】
また、本発明の他の目的は、異なる店舗でも共通のカードでポイントサービスを実現し得るポイントカードシステム及び利用者ポイントカードを提供することを目的とする。
【００２１】
さらに、本発明の他の目的は、秘密保持の度合を向上し得るポイントカードシステム及び利用者ポイントカードシステムを提供することにある。
【００２２】
【課題を解決するための手段】
上記目的を達成するために本発明の第１の局面は、ＩＣチップの搭載された利用者ポイントカードを挿脱自在に保持する店舗端末と、この店舗端末に接続された店舗ホスト計算機とを備えたポイントカードシステムであって、前記利用者ポイントカードに設けられ、前記店舗ホスト計算機により発行された「利用者ＩＤ」、「各利用者ポイントカード固有の利用者公開鍵ペア」及び「少なくとも利用者公開鍵の値、店舗ホスト計算機名、及びこの店舗ホスト計算機名と利用者公開鍵の値との組を店舗ホスト秘密鍵でデジタル署名した署名、の３つを有する利用者公開鍵証明書」が格納されるメモリと、前記利用者ポイントカードが前記店舗端末に保持され、利用者により代金が支払われるとき、この支払われる代金に基づいて、ポイントデータを生成するポイント生成手段と、前記店舗ホスト計算機に設けられ、少なくとも前記ポイント生成手段により生成されたポイントデータ及び前記代金を支払う利用者に関する利用者データに対し、前記店舗ホスト秘密鍵を用いて店舗ホスト計算機固有のデジタル署名を施してバリューデータを生成するバリュー生成手段と、前記バリュー生成手段により生成されたバリューデータを前記店舗端末に送信するバリュー送信手段と、前記バリュー送信手段から受信したバリューデータのデジタル署名を店舗ホスト公開鍵を用いて検証し、この検証結果が正当性を示すとき、当該バリューデータを前記利用者ポイントカードに入力するバリュー入力手段と、前記店舗端末に設けられ、前記利用者ポイントカードが店舗端末に保持された際に、前記利用者ポイントカードから受ける利用者公開鍵証明書及びバリューデータの各々のデジタル署名を、前記店舗ホスト公開鍵を用いて検証する手段とを備えたポイントカードシステムである。
【００２３】
また、本発明の第２の局面は、上記ポイントカードシステムに使用される耐タンパー性の利用者ポイントカードであって、前記バリュー入力手段から入力されたバリューデータを格納するバリュー格納手段と、前記バリュー格納手段内のバリューデータの残高を示すカウンタと、前記店舗端末から残高要求を受けたとき、この残高要求に基づいて、少なくとも前記バリュー格納手段内のバリューデータ及び前記カウンタの値を前記店舗端末に送信する残高送信手段と、前記店舗端末からポイント使用額が入力されたとき、このポイント使用額に相当する分だけ前記カウンタの値を実質的に減額するカウンタ値減額手段と、前記カウンタ値減額手段により減額された前記カウンタの値を前記店舗端末に送信する減額値送信手段とを備えており、前記バリュー格納手段としては、前記店舗ホスト計算機により発行された「利用者ＩＤ」、「各利用者ポイントカード固有の利用者公開鍵ペア」、「少なくとも利用者公開鍵の値、店舗ホスト計算機名、及びこの店舗ホスト計算機名と利用者公開鍵の値との組を店舗ホスト秘密鍵でデジタル署名した署名、の３つを有する利用者公開鍵証明書」及び「前記バリューデータ」が格納されており、前記バリューデータとしては、少なくとも前記店舗ホスト計算機により生成されたポイントデータ及び前記代金を支払う利用者に関する利用者データに対し、前記店舗ホスト秘密鍵を用いて店舗ホスト計算機固有のデジタル署名を施して生成されたデータである利用者ポイントカードである。
【００２４】
（作用）
従って、本発明は以上のような手段を講じたことにより、ポイント残高を利用者ポイントカード側に記録するようにしたので、店舗側での処理の負担を軽減させることができる。
【００２５】
また、例えば複数の店舗において各店舗ホスト公開鍵を共通化することにより、利用者は１つの耐タンパーデバイスを所持するだけで、異なる店舗でも共通のカードでポイントサービスを実現することができる。
【００２６】
さらに、ＩＣチップの搭載された利用者ポイントカードと、デジタル署名や公開鍵暗号などの暗号技術とを用いた方式により、従来の磁気カードに比べ、秘密保持の度合いを向上させることができる。
【００２７】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照しながら説明する。なお、各実施形態中、利用者の所持する耐タンパーデバイスはデジタル署名の計算機能をもつＩＣカードであり、このＩＣカードにバリュー、利用者情報及びポイント情報が格納されるものとする。また、公開鍵暗号方式において公開される鍵を公開鍵、秘匿される鍵を秘密鍵、両者を公開鍵ペアと呼ぶ。ここでは、例えばＲＳＡ公開鍵方式が使用されるものとする。
【００２８】
（第１の実施形態）
図１は本発明の第１の実施形態に係るポイントカードシステムの構成を示すブロック図である。このポイントカードシステムは、利用者ポイントカード１０によりポイントサービスを実行するための店舗端末２０がホスト計算機としての店舗ホスト３０に接続されている。
【００２９】
ここで、利用者ポイントカード１０は、耐タンパー性を有し、店舗端末２０に装着されて使用される署名演算可能な携帯用電子機器（例、ＩＣカード）であり、ポイントバリューを保持するためのメモリ１１、メモリ１１内のポイントバリューの残高（以下、ポイント残高という）を計数処理するための残高カウンタ１２、残高カウンタ１２に記録されるポイント残高を管理するための残高管理部１３、及び残高管理部１３から店舗端末２０に対して各情報を送受信するためのＩ／Ｏインターフェイス１４を備えている。なお、メモリ１１、残高カウンタ１２及び残高管理部１３は、耐タンパー性をもつＩＣチップにより実現されている。
【００３０】
メモリ１１は、利用する店舗毎で且つ利用者ポイントカード１０毎に付けられるユニークな番号であるカードＩＤ、各利用者ポイントカード固有の利用者公開鍵・利用者秘密鍵のペア（以下、利用者公開鍵ペアという）、利用者公開鍵証明書、店舗ホスト公開鍵が格納されており、また、支払い代金に応じたポイントバリューが書込み可能であって、ＩＣチップの耐タンパー性によって改ざんやコピー等の不正なアクセスから保護されている。特に、利用者秘密鍵は、通常の手段では読出不可能な領域に格納される。
【００３１】
利用者公開鍵証明書は、店舗ホスト３０により生成され、少なくとも利用者公開鍵の値、この利用者公開鍵証明書を発行した店舗ホスト名、及びこの店舗ホスト名と利用者公開鍵の値との組を店舗ホスト３０の秘密鍵でデジタル署名した署名の３つを有するデータである。なお、利用者公開鍵ペア及び利用者公開鍵証明書は、Trusted Third Partyと呼ばれる第三者機関により発行されたものでもよい。
【００３２】
ポイントバリューは、店舗ホスト３０により生成され、利用者ＩＤ、ポイントバリュー生成時のポイント額、日付、といった情報に店舗ホスト３０のディジタル署名が施されたデータである。
【００３３】
残高管理部１３は、印紙残高の管理の他、ポイントバリューの記録並びに更新に関する処理を実行するものであり、具体的には、店舗端末２０から入力された残高要求をＩ／Ｏインターフェイス１４を介して受けたとき（以下の説明では、記載の簡潔化のため、店舗端末２０と利用者ポイントカード１０内との間にてＩ／Ｏインターフェイス１４を介する旨の記載を省略する）、この残高要求に基づいて、メモリ１１内の利用者ＩＤ、利用者公開鍵証明書並びにポイントバリューと、残高カウンタ１２内のポイント残高とを店舗端末２０に送出する機能と、正当性有りを示す検証結果とポイント使用額とが店舗端末２０から入力されたとき、ポイント使用額を残高カウンタ１２の値から減額し、得られたポイント残高を店舗端末２０に送出する機能と、店舗端末２０から入力された新規ポイントバリューをメモリ１１に上書き更新すると共に、残高カウンタ１２の値を新規ポイントバリューに対応して再設定する機能と、再設定処理が終了すると完了通知を店舗端末２０に送出する機能とをもっている。
【００３４】
店舗端末２０は、利用者ポイントカード１０を挿脱自在に保持する機能と、未登録の利用者ポイントカード１０を新規登録する機能と、登録済の利用者ポイントカード１０が挿入されているとき、店員の操作により、利用者ポイントカード１０の検証、未使用残高の表示、ポイントバリューの授受などを実行する機能を有するものである。
【００３５】
具体的には店舗端末２０は、通常のキャッシュレジスタ機能（金銭出納機能及び画面表示機能など）に加え、データ読出／書込部２１、登録部２２、ディジタル署名検証部２３、ポイント残高検証部２４、ポイント更新部２５、データ格納部２６及び通信Ｉ／Ｆ２７を備えている。
【００３６】
データ読出／書込部２１は、店舗端末２０内の各処理部２２〜２５に制御され、利用者ポイントカード１０内のデータの読出処理及び書込処理を実行する機能を有するものであり、ここではＩＣカード用リーダライタが使用されている。なお、以下の説明は、前述同様に記載の簡潔化のため、利用者ポイントカード１０とのデータ授受に関してデータ読出／書込部２１を介する旨の記載を省略する。
【００３７】
登録部２２は、利用者ポイントカード１０が挿入されると、氏名、住所及び電話番号等の利用者登録情報の入力を促すための画面表示を行なう機能と、入力された利用者登録情報をデータ格納部２６及び通信Ｉ／Ｆ２７を介して店舗ホスト３０に送信する機能と、店舗ホスト３０から通信Ｉ／Ｆ２７及びデータ格納部２６を介して受けた利用者ＩＤ、利用者公開鍵ペア、利用者公開鍵証明書及び店舗ホスト公開鍵を利用者ポイントカード１０に書込むと共に、登録完了の旨を画面表示する機能とを備えている。なお、登録部２２に限らず、以下の説明は、前述同様に記載の簡潔化のため、店舗ホスト３０とのデータ授受に関してデータ格納部２６及び通信Ｉ／Ｆ２７を介する旨の記載を省略する。
【００３８】
ディジタル署名検証部２３は、検証用の店舗ホスト公開鍵を保持し、利用者ポイントカード１０が店舗端末２０（のカード読出／書込部２１）に挿入された際に、利用者ポイントカード１０から受ける利用者公開鍵証明書及びポイントバリューの各々のディジタル署名を検証する機能と、店舗ホスト３０から受ける新規ポイントバリューのディジタル署名を検証する機能と、それぞれの検証結果をポイント更新部２５に通知する機能とをもっている。
【００３９】
ポイント残高検証部２４は、ポイントバリューとポイント残高の値との比較に基づいて、ポイント残高の正当性を検証する機能と、検証結果をポイント更新部２５に通知する機能とをもっている。具体的には、ポイント残高の値は、ポイントバリューの値以下のとき、正当と判定される。
【００４０】
ポイント更新部２５は、ディジタル署名検証部２３及びポイント残高検証部２４による正当性の検証の後、現在のポイント残高の画面表示とポイント使用額の入力を促すための画面表示とを行なう機能と、入力されたポイント使用額を利用者ポイントカード１０に入力する機能と、利用者ポイントカード１０から受けた利用者ＩＤ、ポイント残高及び新規ポイント額とを店舗ホスト３０に送信する機能と、店舗ホスト３０から受けた新規ポイントバリューをディジタル署名検証部２３による検証の後に利用者ポイントカード１０に入力する機能と、利用者ポイントカード１０から受けた完了通知により処理を終了する機能とを備えている。
【００４１】
データ格納部２６は、店舗端末２０内で店舗ホスト３０との間で授受されるデータが一時的に格納されるバッファメモリ機能をもっている。
【００４２】
通信Ｉ／Ｆ２７は、データ格納部２６と店舗ホスト３０との間で通信を実行するためのインタフェース機能をもっている。
【００４３】
一方、店舗ホスト３０は、通信Ｉ／Ｆ３１、利用者データ登録部３２、鍵データ生成部３３、利用者情報管理ＤＢ３４及びポイントバリュー生成部３５を備えている。
【００４４】
通信Ｉ／Ｆ３１は、店舗端末２０との通信を実行するためのインタフェースである。また、以下の説明は、前述同様に記載の簡潔化のため、店舗端末２０とのデータ授受に関して通信Ｉ／Ｆ３１を介する旨の記載を省略する。
【００４５】
利用者データ登録部３２は、利用者を新規登録するための機能を有し、具体的には店舗端末２０から利用者登録情報を受けると、利用者ＩＤを発行してこの利用者ＩＤと利用者登録情報との組を利用者情報管理ＤＢ３４に登録する機能と、鍵データ生成部３３を起動して利用者公開鍵ペア及び利用者公開鍵証明書を発行させる機能と、利用者ＩＤ、利用者公開鍵ペア、利用者公開鍵証明書及び店舗ホスト公開鍵を店舗端末２０に送信する機能とを備えている。
【００４６】
鍵データ生成部３３は、利用者登録部３２に起動されると、例えば利用者ＩＤに基づいて利用者公開鍵ペア及び利用者公開鍵証明書を発行し、これら利用者公開鍵ペア及び利用者公開鍵証明書を利用者登録部３２に送出する機能をもっている。
【００４７】
利用者情報管理ＤＢ３４は、利用者データ登録部３２により、利用者ＩＤと利用者登録情報（氏名、住所及び電話番号など）との組が記録されるＤＢである。
【００４８】
ポイントバリュー生成部３５は、店舗端末２０から利用者ＩＤ、ポイント残高、新規ポイント額を受信すると、ポイント残高と新規ポイント額とを加算して新規ポイントバリューを生成し、この新規ポイントバリューを店舗端末２０宛に返信する機能をもっている。
【００４９】
次に、以上のように構成されたポイントカードシステムの動作について図２及び図３を用いて説明する。
（新規登録時）
図２に示すように、利用者が店舗に行き、ポイントカードの発行を店員に申込む。店員は、利用者ポイントカード１０を店舗端末２０に挿入する。店舗端末２０においては、登録部２２が、この挿入により、氏名、住所及び電話番号等の利用者登録情報の入力を促すための画面表示を行なう。また、登録部２２は、店員が利用者から聴取した利用者登録情報を入力すると、この入力された利用者登録情報をデータ格納部２６及び通信Ｉ／Ｆ２７を介して店舗ホスト３０に送信する（ＳＴ３１）。
【００５０】
店舗ホスト３０においては、利用者データ登録部３２が、利用者登録情報を受けると、利用者ＩＤを発行してこの利用者ＩＤと利用者登録情報との組を利用者情報管理ＤＢ３４に登録し、鍵データ生成部３３を起動して利用者公開鍵ペア及び利用者公開鍵証明書を発行させ、これら利用者ＩＤ、利用者公開鍵ペア、利用者公開鍵証明書及び店舗ホスト公開鍵を店舗端末２０に送信する（ＳＴ３２）。
【００５１】
店舗端末２０においては、登録部２２が、店舗ホストから受けた利用者ＩＤ、利用者公開鍵ペア、利用者公開鍵証明書及び店舗ホスト公開鍵を利用者ポイントカードのメモリに書込むと共に（ＳＴ３３）、登録完了の旨を画面表示し、登録処理を終了する。
【００５２】
（登録後の代金支払い時）
また、代金支払の際には、利用者は、図３に示すように、携帯する利用者ポイントカード１０を店員に提示する。店員は、利用者ポイントカード１０を店舗端末２０に挿入し、店舗端末２０は、残高要求を利用者ポイントカード１０に入力する。利用者ポイントカード１０は、この残高要求に基づいて、メモリ１１内の利用者ＩＤ、利用者公開鍵証明書及びポイントバリュー（有る場合）と、残高カウンタ１２内のポイント残高とを店舗端末２０に送出する（ＳＴ４１）。
【００５３】
次に、店舗端末２０においては、ディジタル署名検証部２３が、利用者公開鍵証明書及びポイントバリューの各々のディジタル署名を検証し、検証結果をポイント更新部２５に通知する。また、ポイント残高検証部２４は、ポイントバリューとポイント残高の値との比較に基づいて、ポイント残高の正当性を検証し、検証結果をポイント更新部２５に通知する。
【００５４】
ポイント更新部２５は、各々の検証結果が正当性有りを示すとき、現在のポイント残高の画面表示と、ポイント使用額の入力を促すための画面表示とを行なう。
続いて、利用者は、現在のポイント残高のうち、利用するポイント額（ポイント使用額）を店員に告げ、店員は、このポイント使用額を店舗端末２０に入力すると共に、利用者から支払い代金を受取る。なお、ポイントを使用しない場合（貯める場合）、ポイント使用額を「０」とする。
【００５５】
店舗端末２０においては、ポイント更新部２５が、入力されたポイント使用額及び両検証部２３，２４の検証結果を利用者ポイントカード１０に入力する（ＳＴ４２）。
【００５６】
利用者ポイントカード１０では、残高管理部１３が、これら検証結果とポイント使用額とを受けると、ポイント使用額を残高カウンタ１２の値から減額し、得られたポイント残高を店舗端末２０に送出する（ＳＴ４３）。
【００５７】
店舗端末２０では、ポイント更新部２５が、これら利用者ＩＤ、ポイント残高及び新規ポイント額を店舗ホスト３０に送信する（ＳＴ４４）。
【００５８】
店舗ホスト３０では、ポイントバリュー生成部３５が、店舗端末２０から利用者ＩＤ、ポイント残高、新規ポイント額を受信すると、ポイント残高と新規ポイント額とを加算して得たポイント額に利用者ＩＤと日付とを連接してなる情報に対して店舗ホスト秘密鍵を用いてディジタル署名を施すことにより、新規ポイントバリューを生成し、この新規ポイントバリューを店舗端末２０宛に返信する（ＳＴ４５）。
【００５９】
店舗端末２０では、ディジタル署名検証部２３が、店舗ホスト公開鍵を用いて新規ポイントバリューのディジタル署名を検証し、検証結果をポイント更新部２５に通知する。
【００６０】
ポイント更新部２５は、この検証結果が正当性を示すとき、新規ポイントバリューを利用者ポイントカード１０に入力する（ＳＴ４６）。
【００６１】
利用者ポイントバリューでは、残高管理部１３が、新規ポイントバリューをメモリ１１に上書き更新すると共に、残高カウンタ１２の値を新規ポイントバリューに対応して再設定し、しかる後、完了通知を店舗端末２０に送出する。
店舗端末２０は、この完了通知を受けると、ポイントの更新処理を終了する。
【００６２】
上述したように本実施形態によれば、ポイント残高を利用者ポイントカード１０側に記録するようにしたので、店舗側での処理の負担を軽減させることができる。
【００６３】
また、例えば複数の店舗において各店舗ホスト公開鍵を共通化することにより、利用者は１つの耐タンパーデバイスを所持するだけで、異なる店舗でも共通の利用者ポイントカードでポイントサービスを実現することができる。
【００６４】
さらに、ＩＣチップの搭載された利用者ポイントカードと、デジタル署名や公開鍵暗号などの暗号技術とを用いた方式により、従来の磁気カードに比べ、秘密保持の度合いを向上させることができる。
【００６５】
（第２の実施形態）
図４は本発明の第２の実施形態に係るポイントカードシステムを説明するための模式図であり、前述した図面と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。
【００６６】
すなわち、本実施形態は、第１の実施形態の変形例であり、商店街における利用者ポイントカード１０の種類の共通化を図るものであり、具体的には前述した店舗ホスト３０を各店舗２８１〜２８ｎからなる商店街で１つだけ設け、且つ前述したカードＩＤ、利用者公開鍵ペア、利用者公開鍵証明書及び店舗ホスト公開鍵のうち、店舗ホスト公開鍵と、利用者公開鍵証明書のディジタル署名（店舗ホスト秘密鍵）とを商店街の各店舗２８１〜２８ｎで共通化させた構成となっている。
【００６７】
また、前述した店舗端末２０は、各店舗２８１〜２８ｎ毎に配置され、それぞれ共通の店舗ホスト３０に接続されている。
以上のような構成によれば、例えば１つの店舗で複数の店舗端末２０１〜２０ｎを用いる場合と同一の接続関係となるので、第１の実施形態の効果に加え、商店街で共通種類の利用者ポイントカード１０（又はポイントカードサービス）を提供することができる。
【００６８】
（第３の実施形態）
図５は本発明の第３の実施形態に係るポイントカードシステムを説明するための模式図である。
本実施形態は、第２の実施形態の変形例であり、１枚の利用者ポイントカード１０に複数の店舗のポイントバリューを格納可能としたものであり、具体的には公開鍵ペア及び公開鍵証明書を発行する計算機システムとしての第三者機関（Trusted Third Party）４０を設けている。
【００６９】
ここで、第三者機関４０は、いわゆる認証局（Certification Authority）に相当するものであり、いずれかの店舗ホスト３０ｉ（但し、１≦ｉ≦ｎ）から利用者ＩＤを添付して鍵の発行を要求されたとき、利用者公開鍵ペア及び利用者公開鍵証明書を発行して要求のあった店舗ホスト３０ｉに送信する機能をもっている。
【００７０】
各店舗端末２０１〜２０ｎは、前述した図１の機能ブロックにおいて、ディジタル署名検証部２３の機能が変更されたものである。具体的には、ディジタル署名検証部２３は、店舗ホスト公開鍵に加え、検証用の第三者機関公開鍵を保持し、利用者ポイントカード１０が店舗端末２０ｉに挿入された際に、利用者ポイントカード１０から受ける利用者公開鍵証明書を第三者機関公開鍵により検証する機能と、利用者ポイントカード１０から受けるポイントバリューを後述する店舗識別子に該当する店舗ホスト公開鍵により検証する機能とを備えた構成に変形されている。
【００７１】
但し、自己の店舗ホスト３０ｉから受ける新規ポイントバリューのディジタル署名を店舗ホスト公開鍵により検証する機能と、それぞれの検証結果をポイント更新部２５に通知する機能とは前述同様に有している。
【００７２】
また、ここでいう利用者公開鍵証明書は、第三者機関４０により生成され、少なくとも利用者公開鍵の値、この利用者公開鍵証明書を発行した第三者機関名、及びこの第三者機関名と利用者公開鍵の値との組を第三者機関４０の秘密鍵でデジタル署名した署名の３つを有するデータである。
【００７３】
一方、店舗ホスト３０１〜３０ｎは、各店舗２８１〜２８ｎ毎に設けられ、前述した各機能のうち、鍵の生成機能に関する鍵データ生成部３３が省略（＝第三者機関４０に移転）された構成となっている。
【００７４】
また、各ポイントバリューは、各店舗２８１〜２８ｎ毎に固有の店舗識別子が付され、店舗識別子に該当する店舗２８ｉの店舗ホスト公開鍵によりディジタル署名が検証可能となっている。
【００７５】
以上のような構成により、１枚の利用者ポイントカード１０に複数の店舗２８１〜２８ｎのポイントバリューを記録でき、各店舗２８１〜２８ｎ毎にポイントカードサービスを実行することができる。
【００７６】
（第４の実施形態）
図６は本発明の第４の実施形態に係るポイントカードシステムを説明するための模式図である。
【００７７】
本実施形態は、第１の実施形態の変形例であり、ネットワーク通信を用いたポイントカードシステム（オンライン・ショッピング）の実現を図るものであり、図６に示すように、店舗端末２０に代えて、ネットワークＮＷを介して店舗ホスト３０ａと通信可能な利用者端末２０ａが用いられ、これに伴い、店舗ホスト３０ａがネットワークＮＷの通信機能を備えたものとなっている。また、利用者ポイントカード１０ａは、前述した機能をもつＩＣカードであり、且つ予めカード基材にクレジット番号がエンボス加工されたものである。
【００７８】
利用者端末２０ａは、例えば利用者宅に配置されたクライアント端末であり、前述した店舗端末２０と同様の機能に加え（但し、キャッシュレジスタ機能が無く、署名検証部２３，２４が店舗ホスト３０ａに移転されている）、暗号通信用のプロトコルを用いて店舗ホスト３０ａとネットワーク通信を実行可能なものである。ここで、暗号通信用のプロトコルとしては、例えばＳＳＬ(Secure Socket
Layer：ＳＳＬは米国Netscape社の商標)が使用されている。
【００７９】
具体的には、利用者端末２０ａは、前述した登録部２２の機能と、操作者の操作により、例えば購入要求のチェックボックスを画面表示し、このチェックボックスがチェックされた後、提出(submit)アイコンがクリックされると、購入要求を店舗ホスト３０ａに送信する機能と、店舗ホスト３０ａから代金請求を受けると、代金請求の金額を画面表示すると共に、クレジット番号の入力を促すようにメッセージ等の画面表示を行う機能と、利用者の操作により、クレジット番号が入力され、承認(OK)アイコンがクリックされると、クレジット番号、ポイント使用額（２回目以降）、利用者公開鍵証明書及び利用者ＩＤを店舗ホスト３０ａに送信する機能と、店舗ホスト３０ａから代金（クレジット番号）の受付通知及びポイント発生通知を受けると、発生したポイント額を画面表示すると共に、このポイントを受取るか否かの回答を促すメッセージ等を画面表示する機能と、利用者の操作により、受取意志表示ステータス(OK)及びポイント残高（２回目以降）、又は非受取意志表示ステータス(NG)を店舗ホスト３０ａに送信する機能と、店舗ホスト３０ａから受けたポイントバリューを充填すると、受取通知を店舗ホスト３０ａに送信する機能とをもっている。
【００８０】
一方、店舗ホスト３０ａは、例えばコンテンツ販売業者のサーバ装置３６及びそれに接続された利用者情報管理ＤＢ３４からなる計算機システムであり、前述した店舗ホスト３０と同様の機能に加え、暗号通信用のプロトコルを用いて利用者端末２０ａとネットワーク通信を実行可能なものである。
【００８１】
具体的には、店舗ホスト３０ａは、前述した利用者データ登録部３２の機能に加え、クレジット番号を登録する機能と、利用者端末２０ａから購入要求を受けると、購入要求に対応する商品の代金請求を利用者端末２０ａに返信する機能と、利用者端末２０ａからクレジット番号、ポイント使用額（２回目以降）、利用者公開鍵証明書及び利用者ＩＤを受信すると、前述同様に利用者公開鍵証明書のディジタル署名を検証した後、支払い代金の受付通知と、この代金支払いにより生じたポイント額を示すポイント発生通知とを利用者端末２０ａに送信する機能と、利用者端末から受取意志表示ステータスを受けると、ポイントバリューを利用者端末２０ａに送信すると共に、このポイントバリューの識別情報（日付とポイント額、あるいは発行番号など）に対応させて利用者情報管理ＤＢ３４ａ内に受取意志表示ステータスの有を設定する機能と、利用者端末からポイントバリューの受取通知を受けると、利用者情報管理ＤＢ３４ａ内の該当するポイントバリューにおける受取通知の有を設定し、完了通知を利用者端末２０ａに送出し、一連のポイントカード処理を終了する機能とをもっている。
【００８２】
また、店舗ホスト３０ａは、ポイントバリューを送信した後、所定時間が経過しても、受取通知を受信しない際には不正があった旨を検出する機能と、ポイント発生通知の送信後、所定時間が経過しても、受取意志表示ステータス(OK)又は非受取意志表示ステータス(NG)のいずれも受信しないとき（通信事故等）、これらステータスを受信してない旨を出力し、店舗ホスト３０ａの管理者（店員）に対応を促す機能とをもっている。
【００８３】
なお、利用者情報管理ＤＢ３４ａは、前述した利用者ＩＤ、利用者登録情報（氏名、住所及び電話番号など）及びポイント残高の組に加え、ポイントバリューの識別情報（例、日付とポイント額、あるいは発行番号など）毎に、受取意志表示ステータスの有無、受取通知の有無が設定されるものである。
【００８４】
次に、以上のように構成されたポイントカードシステムの動作を図７〜図９のシーケンス図を用いて説明する。
（新規登録時）
図７に示す登録処理のステップＳＴ５１〜ＳＴ５３は、前述した図２と同様に実行される。但し、ステップＳＴ５１中、利用者端末２０ａから店舗ホスト３０ａに送信される利用者登録情報は、前述した氏名、住所及び電話番号に加え、クレジット番号が含まれている。また、ネットワーク通信としては、ＳＳＬなどの暗号通信用のプロトコルが使用される。さらに、以下の通信も全て同様に暗号通信用のプロトコルが使用される。
【００８５】
（初回購入時）
利用者端末２０ａでは、図８に示すように、操作者の操作により、例えば購入要求のチェックボックスが画面表示され、このチェックボックスがチェックされた後、提出(submit)アイコンがクリックされると、購入要求が店舗ホスト３０ａに送信される（ＳＴ６１）。
【００８６】
店舗ホスト３０ａでは、購入要求を受けると、購入要求に対応する商品の代金請求を利用者端末２０ａに返信する（ＳＴ６２）。
【００８７】
利用者端末２０ａでは、代金請求を受けると、代金請求の金額を画面表示すると共に、クレジット番号の入力を促すようにメッセージ等の画面表示を行う。
【００８８】
ここで、利用者端末２０ａでは、利用者の操作により、クレジット番号が入力され、承認(OK)アイコンがクリックされると、クレジット番号、利用者公開鍵証明書及び利用者ＩＤが店舗ホスト３０ａに送信される（ＳＴ６３）。
店舗ホスト３０ａは、これらクレジット番号等を受信すると、前述同様に利用者公開鍵証明書のディジタル署名を検証した後、支払い代金の受付通知と、この代金支払いにより生じたポイント額を示すポイント発生通知とを利用者端末２０ａに送信する（ＳＴ６４）。
【００８９】
利用者端末２０ａは、この受付通知及びポイント発生通知を受けると、発生したポイント額を画面表示すると共に、このポイントを受取るか否かの回答を促すメッセージ等を画面表示する。
【００９０】
利用者端末２０ａは、利用者の操作により、例えば受取意志表示ステータス(OK)を店舗ホスト３０ａに送信する（ＳＴ６５）。
店舗ホスト３０ａは、この受取意志表示ステータスを受けると、ポイントバリューを利用者端末２０ａに送信すると共に（ＳＴ６６）、このポイントバリューの識別情報（日付とポイント額、あるいは発行番号など）に対応させて利用者情報管理ＤＢ３４ａ内に受取意志表示ステータスの有を設定する。
【００９１】
利用者端末２０ａは、このポイントバリューを充填すると、受取通知を店舗ホスト３０ａに送信する（ＳＴ６７）。
店舗ホスト３０ａは、この受取通知を受けると、利用者情報管理ＤＢ３４ａ内の該当するポイントバリューにおける受取通知の有を設定し、完了通知を利用者端末２０ａに送出すると（ＳＴ６８）、一連のポイントカード処理を終了する。なお、店舗ホスト３０ａは、ポイントバリューを送信した後、所定時間が経過しても、受取通知を受信しない際には不正があった旨を検出する。この不正の検出により、例えば該当するポイントバリューが使用された際には検出可能な処置をとることができる。
また、ステップＳＴ６５にて、店舗ホスト３０ａは、所定時間が経過しても、受取意志表示ステータス(OK)又は非受取意志表示ステータス(NG)のいずれも受信しないとき（通信事故等）、これらステータスを受信してない旨を出力し、店舗ホスト３０ａの管理者（店員）に対応を促す。店員は、この出力により、意志表示に関するステータスを受信してない旨を電話等のオフライン手段で利用者に通知し、利用者の回答が受取承認のとき、ポイント充填用のＵＲＬ（uniform resource locator）を通知する。以下、利用者端末２０ａがこのＵＲＬにアクセスすると、ポイントバリューが充填される。
【００９２】
（２回目以降）
利用者端末２０ａでは、図９に示すように、前述同様に、操作者の操作により、購入要求を店舗ホスト３０ａに送信する（ＳＴ７１）。
【００９３】
店舗ホストでは、購入要求を受けると、購入要求に対応する商品の代金請求を利用者端末３０ａに返信する（ＳＴ７２）。
【００９４】
ここまでは初回時のステップＳＴ６１〜ＳＴ６２と同じである。以下は、ポイント使用額に関する処理が付加されている（初回時は、利用者ポイントカード１０内にポイントバリューがないことにより、ポイント使用額に関する処理が無かった）。
【００９５】
次に、利用者端末２０ａは、代金請求を受けると、代金請求の金額を画面表示すると共に、クレジット番号とポイント使用額との入力を促すようにメッセージ等の画面表示を行なう。
【００９６】
利用者端末２０ａでは、利用者の操作により、クレジット番号及びポイント使用額が入力され、承認アイコンがクリックされると、クレジット番号、ポイント使用額、利用者公開鍵証明書及び利用者ＩＤが店舗ホスト３０ａに送信される（ＳＴ７３）。なお、ポイントを使用しないときにはポイント使用額として「０」が入力される。また、ポイント使用額は、利用者ポイントカード１０ａ内に保存しておく。例えば、１０００ポイントあった場合に、５００ポイント使用すると５００ポイントの残高があるはずであるが、３００ポイントしか残高がなかった場合に、利用者がポイントの修正等を行なう際に利用される。
【００９７】
店舗ホスト３０ａでは、これらクレジット番号等を受信すると、前述同様に利用者公開鍵証明書のディジタル署名を検証した後、支払代金（＝クレジット支払代金＋ポイント使用額）の受付通知と、この代金の支払いにより生じたポイント額を示すポイント発生通知とを利用者端末２０ａに送信する（ＳＴ７４）。
【００９８】
利用者端末２０ａは、この受付通知及びポイント発生通知を受けると、発生したポイント額を画面表示すると共に、このポイントを受取るか否かの回答を促すメッセージを画面表示する。
【００９９】
利用者端末２０ａは、利用者の操作により、例えばポイントを受取る場合、ポイント残高初期化証明書を発行し、そのポイント残高初期化証明書、ポイントバリュー及び受取意志表示ステータスを店舗ホスト３０ａに送信する（ＳＴ７５）。なお、ポイント残高初期化証明書は、ポイント残高と、ポイントバリューの識別番号とが利用者端末２０ａの秘密鍵によりデジタル署名されて得られるデータとポイントバリューからなるデータである。このポイント残高初期化証明書は利用者ポイントカード１０ａ内にログとして保存しておき、例えば、通信途中で障害等で、利用者が新しいポイントバリューを受け取れない場合に後で新しいポイントバリューを再送してもらったり、オフラインで利用者ポイントカード１０ａにポイントバリューを充填する際に利用される。また、店舗ホスト３０ａが受取意志表示ステータス又は非受取意志表示ステータスのいずれも受信しないときの処理は、前述した通りである。
【０１００】
一方、店舗ホスト３０ａは、このポイント残高初期化証明書、ポイントバリュー及び受取意志表示ステータスを受けると、ポイントバリューと利用者端末２０ａの利用者公開鍵とに基づいてポイント残高初期化証明書を検証した後、この証明書内のポイント残高とポイント発生額とを加算した額の新規ポイントバリューを生成し、前述同様に、この新規ポイントバリューを利用者端末２０ａに送信すると共に（ＳＴ７６）、この新規ポイントバリューの識別情報に対応させて利用者情報管理ＤＢ３４ａ内に受取意志表示ステータスの有を設定する。
【０１０１】
利用者端末２０ａは、この新規ポイントバリューを充填（書込）すると共に、ポイント残高を設定すると、受取通知を店舗ホスト３０ａに送信する（ＳＴ７７）。
【０１０２】
店舗ホスト３０ａは、この受取通知を受けると、利用者情報管理ＤＢ３４ａ内の該当するポイントバリューにおける受取通知の有を記入し、完了通知を利用者端末に送信すると（ＳＴ７８）、一連のポイントカード処理を終了する。なお、店舗ホスト３０ａは、受取通知を受信しないとき、前述同様に、不正を検出することができる。
【０１０３】
上述したように本実施形態によれば、第１の実施形態と同様の効果を奏するオンライン・ショッピングを実現することができる。
【０１０４】
（第５の実施形態）
図１０は本発明の第５の実施形態に係るポイントカードシステムを説明するための模式図である。
【０１０５】
本実施形態は、第４の実施形態の変形例であり、ネットワーク通信を用いたポイントカードシステム（オフライン・ショッピング）の実現を図るものであり、図１０に示すように利用者による操作入力に代えて、店員が、ポイント使用の有無、ポイント受取の有無、ポイント使用額などを利用者から聴取して店舗端末２０ｂに入力する構成となっている。
【０１０６】
なお、店舗端末２０ｂは、前述した利用者端末２０ａの機能に対し、キャッシュレジスタ機能が付加されたものである。また、店舗端末２０ｂと店舗ホスト３０ａとの間は、前述したネットワークＮＷに代えて、専用線ＰＮで接続されている。
【０１０７】
以上のような構成によれば、第４の実施形態と同様の効果を奏するオフライン・ショッピングを実現することができる。
【０１０８】
（第６の実施形態）
図１１は本発明の第６の実施形態に係るポイントカードシステムの構成を示す模式図である。
【０１０９】
すなわち、本実施形態は、第４の実施形態の変形例であり、図１１に示すように、ネットワークＮＷに接続された第１及び第２の利用者端末２０ａＡ，２０ａＢを介し、第１の利用者ポイントカード１０ａＡのポイント残高のうち、任意の額のポイント残高を第２の利用者ポイントカード１０ａＢに移転させ、この利用者ポイントカード１０ａＢのポイント残高に加算可能とするものである。
【０１１０】
ここで、第１及び第２の利用者端末２０ａＡ，２０ａＢは、互いに同一構成のため、ここでは、第１の利用者端末２０ａＡを代表に挙げて説明する。また、第１及び第２の利用者ポイントカード１０ａＡ，１０ａＢについても同様である。さらに、第１の利用者端末２０ａＡには第１の利用者ポイントカード１０ａＡが装着され、第２の利用者端末２０ａＢには第２の利用者ポイントカード１０ａＢが装着されているとする。
【０１１１】
第１の利用者端末２０ａＡは、前述した機能に加え、利用者の操作により、移転させる額及び移転先を指定したポイント残高移転指令を装着された第１の利用者ポイントカード１０ａＡに入力する機能と、ポイント残高移転指令に応じて第１の利用者ポイントカード１０ａＡからポイント残高を受けたとき、このポイント残高を移転先（例、第２の利用者ポイントカード１０ａＢ）宛に送信する機能と、第１の利用者ポイントカードから２つのポイント残高を受けたとき、これらポイント残高を店舗ホスト３０ａに送信する機能とをもっている。
【０１１２】
第１の利用者ポイントカード１０ａＡは、前述した機能に加え、ポイント残高の移転機能が付加されている。係るポイント残高の移転機能は、例えば、移転させる額及び移転先を指定したポイント残高移転指令が第１の利用者端末２０ａＡから入力されたとき、このポイント残高移転指令に基づいて、既存のポイント残高を減算して更新し、且つ減算分（移転分）のポイント残高値を移転先（例、第２の利用者ポイントカード１０ａＢ）宛に送信する機能と、移転されたポイント残高値を受けたとき、このポイント残高値と自己のポイント残高値とを組にして店舗ホスト３０ａ宛に送信する機能とをもっている。
【０１１３】
次に、以上のように構成されたポイントカードシステムの動作を図１２のシーケンス図を用いて説明する。
始めに、第１の利用者ポイントカード１０ａＡのポイント残高が５００円であり、第２の利用者ポイントカード１０ａＢのポイント残高が１０００円であるとする（図１２中、ＳＴ７８の終了時点）。
【０１１４】
ここで、第２の利用者ポイントカード１０ａＢのポイント残高１０００円のうち、１００円を第１の利用者ポイントカード１０ａＡに移転させるとする。
【０１１５】
第２の利用者ポイントカード１０ａＢは、第２の利用者端末２０ａＢから１００円を指定したポイント残高移転指令が入力されると、ポイント残高１０００円から１００円を減算し、ポイント残高を９００円に更新する一方、減算したポイント残高１００円を第２の利用者端末２０ａＢを介して第１の利用者ポイントカード１０ａＡ宛に送信する（ＳＴ８１）。
【０１１６】
第１の利用者ポイントカード１０ａＡは、このポイント残高１００円を受けると、既存のポイント残高５００円と共に、第１の利用者端末２０ａＡを介して店舗ホスト３０ａ宛に送信する（ＳＴ８２）。
【０１１７】
店舗ホスト３０ａは、これらポイント残高５００円，１００円を受けると、両者を互いに加算してその加算結果６００円を示すポイントバリューを新規に生成し、当該ポイントバリュー６００円を第１の利用者ポイントカード１０ａＡ宛に送信する（ＳＴ８３）。
【０１１８】
第１の利用者ポイントカード１０ａＡは、ポイントバリュー６００円を受信すると、当該ポイントバリューを保存すると共に、ポイント残高を６００円に設定する。以下、前述同様に、第１の利用者ポイントカード１０ａＡは、第１の利用者端末２０ａＡを介して受取通知を店舗ホスト３０ａ宛に送信する（ＳＴ８４）。また、店舗ホスト３０ａは、この受取通知を受けると、完了通知を第１の利用者ポイントカード１０ａＡ宛に送信し（ＳＴ８５）、処理を終了する。
【０１１９】
上述したように本実施形態によれば、第４の実施形態の効果に加え、利用者間でポイントの受け渡しを行なうことができる。
【０１２０】
なお、上記各実施形態は、利用者ポイントカード１０，１０ａ，１０ａＡ，１０ａＢとしてＩＣカードを用いた場合について説明したが、ＩＣカード形状に限らず、例えば棒状の如き、カード以外の形状（例、メモリスティック）又はＩＣカード規格外のカード形状（例、メモリカード形状）のように外形状を任意に変更した場合であっても、本発明の範囲に包含される。
【０１２１】
また、上記各実施形態では、代金支払い時に利用者のＰＩＮ（Personal Identity Number）入力を行わない場合について説明したが、これに限らず、代金支払い時に利用者のＰＩＮを入力する構成としても、本発明を同様に実施して同様の効果を得ることができる。但し、店舗での処理を考慮するとＰＩＮの入力を省略した形態の方が好ましいと考えられる。
【０１２２】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０１２３】
【発明の効果】
以上説明したように本発明によれば、店舗側での処理の負担を軽減し得るポイントカードシステム及び利用者ポイントカードを提供できる。また、異なる店舗でも共通のカードでポイントサービスを実現できるポイントカードシステム及び利用者ポイントカードを提供できる。さらに、秘密保持の度合を向上し得るポイントカードシステム及び利用者ポイントカードシステムを提供できる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係るポイントカードシステムの構成を示すブロック図
【図２】同実施形態における新規登録時の動作を説明するためのシーケンス図
【図３】同実施形態における代金支払い時の動作を説明するためのシーケンス図
【図４】本発明の第２の実施形態に係るポイントカードシステムを説明するための模式図
【図５】本発明の第３の実施形態に係るポイントカードシステムを説明するための模式図
【図６】本発明の第４の実施形態に係るポイントカードシステムを説明するための模式図
【図７】同実施形態における新規登録時の動作を説明するためのシーケンス図
【図８】同実施形態における初回購入時の動作を説明するためのシーケンス図
【図９】同実施形態における２回目以降購入時の動作を説明するためのシーケンス図
【図１０】本発明の第５の実施形態に係るポイントカードシステムを説明するための模式図
【図１１】本発明の第６の実施形態に係るポイントカードシステムを説明するための模式図
【図１２】同実施形態における動作を説明するためのシーケンス図
【図１３】従来のポイントカードシステムの概略構成を示す模式図
【図１４】従来の新規登録時の動作を示すシーケンス図
【図１５】従来の代金支払い時の動作を示すシーケンス図
【図１６】従来のポイント未使用時の動作を示すシーケンス図
【符号の説明】
１０，１０ａ，１０ａＡ，１０ａＢ…利用者ポイントカード
１１…メモリ
１２…残高カウンタ
１３…残高管理部
１４…Ｉ／Ｏインターフェイス
２０，２０ｂ…店舗端末
２０ａ，２０ａＡ，２０ａＢ…利用者端末
２１…データ読出／書込部
２２…登録部
２３…ディジタル署名検証部
２４…ポイント残高検証部
２５…ポイント更新部
２６…データ格納部
２７，３１…通信Ｉ／Ｆ
２８１〜２８ｎ…店舗
３０，３０ａ…店舗ホスト
３２…利用者データ登録部
３３…鍵データ生成部
３４…利用者情報管理ＤＢ
３５…ポイントバリュー生成部
ＮＷ…ネットワーク
ＰＮ…専用線
【図１】
0003825606.tif 000002
【図２】
0003825606.tif 000003
【図３】
0003825606.tif 000004
【図４】
0003825606.tif 000005
【図５】
0003825606.tif 000006
【図６】
0003825606.tif 000007
【図７】
0003825606.tif 000008
【図８】
0003825606.tif 000009
【図９】
0003825606.tif 000010
【図１０】
0003825606.tif 000011
【図１１】
0003825606.tif 000012
【図１２】
0003825606.tif 000013
【図１３】
0003825606.tif 000014
【図１４】
0003825606.tif 000015
【図１５】
0003825606.tif 000016
【図１６】
0003825606.tif 000017