"小売店端末でストアドバリューの支払い取引中に、カードによって実行される方法であって、前記方法が、前記小売店端末とインタフェースをとることと、ストアドバリューの正の第1の金額を、前記第1の金額より少なくない、対応する第2の金額が、前記小売店端末で前記カードによって支払われることを確認した場合に限り、前記カード内に受け取ることとを含む方法。前記第2の金額がチャージによって支払われる、請求項1に記載の方法。チャージ取引を含まない支払い取引に対して、コインベースのストアドバリューシステム内で動作する、前記支払い取引が前記小売店端末から前記カードに流れるように指定されたゼロ個以上のコインの第1のグループおよび前記カードから前記小売店端末に流れるように指定された1つ以上のコインの第2のグループから構成され、前記第1の金額が前記第1のグループの総価値に等しく、かつ、前記第2の金額が前記第2のグループの総価値に等しい、請求項1に記載の方法。チャージ取引およびストアドバリュー取引の両方を含む支払い取引において、コインベースのストアドバリューシステム内で動作する、前記支払い取引が前記小売店端末から前記カードに流れるように指定された1つ以上のコインの第1のグループおよび前記カードから前記小売店端末に流れるように指定されたゼロ個以上のコインの第2のグループから構成され、前記第1の金額が前記第1のグループの総価値に等しく、前記第2の金額が前記第2のグループの総価値および前記チャージ取引の価値の合計に等しい、請求項1に記載の方法。前記第1の金額を前記第2の金額から差し引くことにより支払い金額を計算することと、前記支払い金額に対する検証可能な支払いレコードを前記小売店端末に提供することとをさらに含む、請求項1に記載の方法。前記小売店端末から受信した端末証明書の有効性を検証すること、および前記検証が否定の場合は前記ストアドバリュー支払い取引を中止することと、前記検証が肯定の場合には、前記カードの時間レジスターからカード時間を読み取ることと、前記小売店端末から端末時間を受信することと、前記端末証明書から端末満了時間を取り出すことと、前記端末時間が、前記カード時間よりも小さくなく、かつ、前記端末満了時間よりも大きくないかを確認することと、前記確認が否定の場合は前記支払い取引を中止することとをさらに含む、請求項1に記載の方法。前記確認が肯定の場合、前記端末時間に従って前記カード時間を前記時間レジスターに設定することをさらに含む、請求項6に記載の方法。小売店端末でストアドバリューの支払い取引中に、カードによって実行される方法であって、前記ストアドバリューがデジタルコインで表され、各コインがシリアル番号および複数の額面金額からの額面金額を有し、前記方法が、前記小売店端末とインタフェースをとることと、総価値が第1の金額と等しい正数のコインを、前記第1の金額より少なくない、対応する第2の金額が、前記小売店端末で前記カードによって支払われることを確認した場合に限り、前記小売店端末から受け取ることとを含む方法。チャージ取引および前記カードから前記小売店端末への0個以上のコインの転送を含む支払い取引において、前記第2の金額が前記チャージ取引の価値および前記0個以上のコインの総価値の合計に等しい、請求項8に記載の方法。チャージ取引を含まないが、前記カードから前記小売店端末への1つ以上のコインの転送を含む支払い取引において、前記第2の金額が前記1つ以上のコインの総価値に等しい、請求項8に記載の方法。マイクロプロセッサーと支払い取引を行うために、選択可能な小売店端末と選択的にインタフェースをとるための端末インタフェースと、リモートアカウントにチャージするために、前記マイクロプロセッサーと協働するチャージモジュールと、前記ペイメントカードと小売店端末との間で選択可能な金額のストアドバリューを前記端末インタフェースを介して転送するために、前記マイクロプロセッサーと協働して、ストアドバリューを保存するためのストアドバリュー財布とを備えるペイメントカードであって、前記ペイメントカードが、選択された小売店端末とインタフェースをとりながら、ストアドバリューの正の第1の金額を、前記第1の金額より少なくない、対応する第2の金額が、前記選択された小売店端末で前記ペイメントカードによって支払われることを確認した場合に限り、受け取るように機能する、ペイメントカード。チャージ取引およびストアドバリュー取引の両方を含む支払い取引において、前記第1の金額が、前記ストアドバリュー財布によって受信されたストアドバリューの正味金額であり、前記第2の金額が前記チャージモジュールによって支払われる、請求項11に記載のペイメントカード。チャージ取引を含まない支払い取引において、コインベースのストアドバリューシステム内で動作する、前記支払い取引が、前記小売店端末から前記財布に流れるように指定されたゼロ個以上のコインの第1のグループおよび前記財布から前記小売店端末に流れるように指定された1つ以上のコインの第2のグループから構成され、前記第1の金額が前記第1のグループの総価値に等しく、前記第2の金額が前記第2のグループの総価値に等しい、請求項11に記載のペイメントカード。チャージ取引およびストアドバリュー取引の両方を含む支払い取引において、コインベースのストアドバリューシステム内で動作し、前記第1の金額が、前記選択された小売店端末から前記ストアドバリュー財布によって受信されたコインの総価値であり、前記第2の金額が前記選択された小売店端末で前記チャージモジュールによって支払われたチャージ金額と、前記ストアドバリュー財布から前記選択された小売店端末に転送されたコインの総価値との合計に等しい、請求項11に記載のペイメントカード。前記第1の金額を前記第2の金額から差し引くことにより支払い金額を計算し、前記支払い金額に対する検証可能な支払いレコードを前記選択された小売店端末に提供するようにさらに機能する、請求項11に記載のペイメントカード。カード時間レジスターをさらに含み、前記ペイメントカードが、前記選択された小売店端末から受信した端末証明書の有効性を検証し、前記検証が否定の場合は取引を中止し、前記検証が肯定の場合には、前記カード時間レジスターからカード時間を読み取り、前記選択された小売店端末から端末時間を受信し、前記端末証明書から端末満了時間を取り出し、前記端末時間が、前記カード時間よりも小さくなく、かつ、前記端末満了時間よりも大きくないかを確認し、前記検証が否定の場合は前記取引を中止するようにさらに機能する、請求項11に記載のペイメントカード。前記確認が肯定の場合、前記端末時間に従って前記カード時間を前記カード時間レジスターに設定するようにさらに機能する、請求項16に記載のペイメントカード。ペイメントカードと通信するためのカードインタフェースと、ネットワークを経由して、ストアドバリュー処理サーバーとインタフェースをとるためのネットワークインタフェースと、端末IDおよび端末満了時間を含む端末証明書を保存するための端末証明書レジスターと、プロセッサーであって、ストアドバリュー処理サーバーとの決済中に、端末証明書レジスター内に保存されている端末証明書を更新し、カードとのインタフェース中に、端末証明書をカードに提示するように構成されたプロセッサーとを備える、小売店端末。ストアドバリュー処理サーバーを操作するための方法であって、前記方法が、小売店端末とインタフェースをとることと、前記小売店端末から端末識別を受信することと、前記端末識別に関して不正が識別されない場合は、前記小売店端末に対して、少なくとも前記端末識別および端末満了時間を含む、新たな端末証明書を発行すること、および前記小売店端末に対して前記新たな端末証明書を提供することとを含む、方法。不正が識別されない場合かつその場合に限り、前記小売店端末でストアドバリュー決済を実行することをさらに含む、請求項19に記載の方法。本発明は、安全なストアドバリュー決済システム内で信頼できない小売店端末の使用を提供するためのシステムおよび機能を提供しようとする。《定義》カード保有者またはユーザーは、小売店に対して支払いを行う消費者を意味する。小売店端末または端末は、電子的に支払いを受けるための小売店の装置を意味する。スマートカードまたはカードは、小売店端末で支払いを行うために使用される、安全な、チップベースの持ち運び可能な装置を意味する。カードは、例えば、従来のプラスチックカード、キーフォブkey-fob、ステッカー/タグ、マイクロSDカード、または携帯電話など、任意の形状因子を有し得る。カードは、非接触型インタフェースの接触によって小売店端末と通信する。発行者は、カードをカード保有者に供給し、カードによって行われた電子決済に対して金銭をカード保有者から収集する機関を意味する。チャージ取引またはチャージは、カードから離れたアカウントにチャージするクレジット、デビットまたはプリペイド支払い取引を意味する。ストアドバリューは、カードにロードして保存でき、支払いのために小売店端末に転送できる通貨の電子的表現を意味する。電子財布は、ストアドバリューを保存するために考案されたスマートカードチップ内の保護領域を意味する。SecureApplicationModuleまたはSAMは、ストアドバリューの保存およびストアドバリューの小売店端末との取引のために、小売店端末に含まれているチップベースの安全な構成要素を意味する。一般的に言えば、本発明は、SAMなしで、または端末にSAMが物理的に存在している場合でさえSAMを使用することなく、ストアドバリューの保存および取引を行う小売店端末に焦点を合わせており、かかる端末はSAMなし端末とも呼ばれる。信頼できない小売店端末または信頼できない端末は、最初は安全であるが、物理的なタンパリングによるそのデジタルコンテンツのコピーまたは変更に対して保護されていない、小売店端末を意味する。小売店端末の信頼できない端末としての指定は、ストアドバリューの発行者に特有で主観的なものであり、端末が本当に容易にアクセスされ、危険に曝されることを意味するものではない。チャージおつりchargeChangeまたはCCは、チャージ取引および小売店端末からカードへのストアドバリューの転送の両方を伴う、小売店端末とスマートカードとの間の支払取引を意味し、これについては、米国特許第5,744,787号および第6,076,075号で教示されており、その両方が参照によりその全体が本明細書に記載されているかのように組み込まれる。例えば、Pを支払うためのチャージおつり取引は、Pより大きな金額Xがカードにチャージされ、X-Pの金額のストアドバリューがチャージとして端末からカードに転送されることによって行われる。電子コインまたはコインは、ストアドバリューの電子的表現を意味し、各コインは額面金額およびシリアル番号を有する。コインは、例えば、米国特許第6,119,946号および第6,467,685号によって示されているように、効率的なシステムレベルの監査機構を提供するために考案されており、その両方の特許の全体が参照により本明細書に記載されているかのように組み込まれる。デジタル的に検証可能なまたは検証可能なデータは、その信頼性が、例えば、暗号化/暗号解読、メッセージ認証コードおよび/またはデジタル署名検証などの技術で知られる暗号方式で検証できるデータ例えば、証明書または取引レコードなどを意味する。正味金額という用語は、一般に、小売店端末からペイメントカードpaymentcardまたはペイメントカードから小売店端末に転送されたストアドバリューの金銭的価値に関連する。ストアドバリューの表現および転送のために電子コインを使用する特定の場合米国特許第6,119,946号および第6,467,685号を参照、電子コインは、単一のストアドバリュー取引内において、ペイメントカードと小売店端末との間で両方向に転送され得、正味金額は、かかる転送の差額であり、例えば、4¢コインがペイメントカードから小売店端末に転送され、1¢コインが小売店端末からペイメントカードに転送される場合、正味金額は、ペイメントカードから小売店端末への3¢の転送である。《脅威分析》以下の分析は、本発明が撲滅するかまたは減少させる犯罪脅威の源および状況を表現する。分析は必ずしも完全なものではなく、本状況において別の脅威が存在し得、そのうちのいくつかも、本発明で克服または減少し得る。また、いくつかの脅威は減らし得るが、本発明では撲滅し得ない。本発明で対象とする脅威の範囲小売店端末は、小売店に対して当初供給されるままで、ストアドバリュー発行者によって信頼できると推定され、その当初のセキュリティは、カードから、または通信ネットワークを介したリモートコンピューターからの攻撃に関して、SAMのセキュリティに類似すると推定される。本議論の目的のため、物理的に盗まれていないか、または盗聴されていない端末に関して、セキュリティ脅威は、従来のセキュリティソリューションで満足のいくように応じられると考えられ、本明細書では議論しない。また、小売店端末は認定されると仮定され、好ましくは、しかし、必ずしもではなく、EMV規格の下で、オンラインおよびオフラインモードの両方において、チャージクレジットおよび/またはデビットおよび/またはプリペイド取引を行うのに十分に安全であると見なされる。対象の脅威は、SAMで提供されていたタンパー保護の欠如によって暗示されるさらなる脅威である。SAMは、そのデジタルコンテンツへの物理的なアクセスを防ぐが、そのコンテンツには、通常、構成および取引データ、プログラムコードおよび暗号化キーが含まれ、その全てがSAMなし端末では、小売店端末に物理的にアクセスする熟達した犯罪者に曝されるようになる。小売店端末に備わっているSAMがないことが必ずしも暗示されているのではなく、SAMまたは他の任意の耐タンパーチップもしくは回路が小売店端末に存在する場合でさえ、SAM固有の耐タンパーへの依存がないことが暗示されている。決済システムに関する仮定支払いのために定期的にカード保有者にサービスを提供する多くの小売店端末があると仮定する。小売店は、通常、小売店の端末を窃盗および盗聴から保護し、端末の大部分は危険に曝されていないと推定される。カード保有者は、複数の端末で支払いを行うために自分のカードを使用すると仮定され、その端末のほとんどは、危険に曝されていない。犯罪者、犯罪パターンおよび対抗手段関係する脅威は、デジタルコンテンツにアクセスしてそれを操作するために、端末への物理的なアクセスを伴う。物理的なアクセスは、端末の窃盗、または稼働している端末の物理的な盗聴のいずれかを必要とする。犯罪者は、窃盗犯、小売業者、小売店の従業員、および、自動販売機またはパーキングメーターなど、公共の場に置かれている容易にアクセス可能な端末を盗聴する人であり得る。犯罪パターンには、決済のために偽のストアドバリューを提示して利益を得ること購入のために偽のストアドバリューを使用して利益を得ること他の人に偽のストアドバリューを販売して利益を得ること個人的な満足のためにシステムをハッキングすることを含み得る。対抗手段は、通常、端末およびハードウェアをタンパーから物理的に保護すること、および/またはタンパーされた端末を無効にすること危険に曝された端末および悪用されたカードを効果的に識別することにより、犯罪者を阻止すること潜在的な利益を最小限にし、そのため、攻撃を経済的に魅力のないものにすること潜在的損害を阻止および測定すること犯罪事件から素早く回復することを目的とする。従来型のシステムおよび従来の改善で提供される固有の対抗手段小売店端末は、通常、窃盗および盗聴から物理的に保護されている。これにより、ほとんどの端末は、危険に曝されていない状態になる。盗まれたかまたはタンパーされた小売店端末を無効にして、そのメモリを消去する追加のハードウェアを提供すると、討議中のリスクおよび動機をさらに削減できる。安全な一意のIDのチップを小売店端末に追加し、その小売店端末のソフトウェアをそのチップにリンクすると、盗まれたかまたはタンパーされた小売店端末がコピーされるのを効果的に防ぎ得る。ストアドバリューをロードするためのチャージおつり機構米国特許第5,744,787号および第6,076,075号の採用により、ストアドバリューで使うことができる金額を少額例えば、25~50に制限し、それは、買物のための偽のストアドバリューの使用または販売に関連した犯罪の動機を著しく減少させた。ストアドバリューを監査するためのコイン米国特許第6,119,946号および第6,467,685号の採用により、偽のストアドバリューを供給するペイメントカードおよび端末を素早く効率的に見分け、それによって、偽のストアドバリューの決済、使用または販売から利益を得ることの実現可能性および動機を著しく減少させる。本発明は、SAMがないか、またはSAMを備えているがSAMのセキュリティに頼らない小売店端末に特有のさらなる脅威に重点を置いて、前述の対抗手段に加えてさらなる改善を探し求める。《概要》本発明は、上で検討した固有の対抗手段に加え、そしてそれを超越して、SAMのないストアドバリュー決済システムに対する犯罪的な攻撃に関する動機を減少させ、ストアドバリューの発行者が曝される脅威を最小限にするようになる。その最も広い意味において、本発明の好ましい実施形態は、取引が端末で悪用されないことを確実にするための取引の明細の監視および/または小売店端末の有効性の検証のため、ペイメントカードに対する新しいセキュリティの役割を課す。本発明のために、ペイメントカードは、危険に曝されておらず、ストアドバリューの発行者によって信頼されているタンパー防止のスマートカードであると推定される。1の態様によれば、カードは、正味金額よりも大きいチャージ取引が成功して完了した場合に限り、ストアドバリューの正味金額がカードに追加されることを確実にすることにより、各支払い取引の明細を確認し、ストアドバリューのカードへの違法な注入を防ぐ。第2の態様によれば、ストアドバリューが、連番の振られた、いくつかの額面金額の電子マネーから成る場合、カードは、カードに注入されているコインの総価値が、カードから端末に流れるコインの総価値ストアドバリュー支払い取引でチャージ取引が関わらない場合またはカードから端末に流れるコインの総価値とチャージ金額の合計ストアドバリュー支払い取引でチャージ取引が含まれる場合のいずれかより小さいことを確認する。前述の第1および第2の態様におけるカードが確認するという用語は、小売店端末からの支払い要求に基づいて、カードが、カード上での操作に関連するすべてのストアドバリューの計算および実行のいずれも行うか、または計算および操作に関連するストアドバリューの全てもしくは一部が端末によって開始され、カードがかかる操作をモニタリングしてそれらの値をチェックし、前述の第1および第2の態様のいずれかもしくは両方の条件に違反するストアドバリュー転送の試みを拒絶または中止することを意味することに留意されたい。支払い取引がチャージ操作を伴う場合には、オンラインおよびオフライン状況の両方で、カードは、チャージ払いプロトコルでチャージ金額を知っていると推定される。第3の態様によれば、端末証明書は、決済が成功すると、各小売店端末に対して、ストアドバリューの発行者または信頼できるサービス会社によって発行される。証明書は、少なくとも端末ID、および次の予期される決済時間安全マージンに等しい満了時間を含む。例えば、次の決済が24時間後に予期される場合、証明書は現在の決済時間から48時間の満了時間を含み得る。証明書は、デジタル的に検証可能な、すなわち、任意の有効なカードによって可読かつ検証可能であるが、権限のない者が偽造するのは現実的ではない方法で、端末証明書の発行者によりデジタル署名されているか、または暗号化されている。カードは、証明書の満了時間を検証し、それをカード時間と比較して、カード時間が満了時間よりも遅ければ、その取引を中止する。第4の態様によれば、カードは、端末から端末時間を受信し、端末時間がカード時間より小さいか、または端末の証明書満了時間より大きい場合、取引を中止する。プラスチックのスマートカードと同様に、カードが組み込みのリアルタイムクロックを有していなければ、端末証明書が認証されていて、端末時間がカード時間より大きく、かつ、端末満了時間より大きくないという条件で、カード時間が、スマートカードのチップ内の不揮発性レジスターに保存され、そこから読み出され、端末時間に従って購入時に進められる。第5の態様によれば、小売店端末でのストアドバリューの支払いの成功終結に向けて、カードは、カードが知っているストアドバリューおよびチャージの実際の流れに従って取引額を計算し、カードによりデジタル署名および/または暗号化された、その取引額に対する支払いレコードを発行する。支払いレコードは、小売店端末に送信され、そこで保持されて、ビジネスサイクルの終わりに決済の根拠として、その端末で受信した他の支払いレコードと共に小売店端末によって収集される。カードによって発行および署名された支払いレコードは、ストアドバリューの発行者によって可読および検証可能な任意の形式を取ることができることに留意されたい。例えば、それは、ファイル、または端末の取引レコード内の行項目であり得、その場合、カードによって提供されたデジタル署名またはメッセージ認証コードは行の一部を形成する。したがって、本発明の好ましい実施形態によれば、小売店端末でストアドバリューの支払い取引を行う間に、カードによって実行される方法が提供され、その方法は、a小売店端末とインタフェースをとること、およびbストアドバリューの正の第1の金額を、第1の金額よりも小さくない、対応する第2の金額が小売店端末でカードによって支払われる場合に限り、カード内に受け入れることを含む。第2の金額は、チャージによって支払われ得る。ストアドバリューがコインによって表され、各コインが額面金額およびシリアル番号を有する場合、そして、チャージ取引が関係しない場合、支払い取引は、小売店端末からカードに流れるように指定された、ゼロ個以上のコインの第1のグループ、およびカードから小売店端末に流れるように指定された、1つ以上のコインの第2のグループから構成され得、その場合、第1の金額は第1のグループの総価値と等しく、第2の金額は第2のグループの総価値と等しい。チャージ取引も含まれる場合、第1の金額は第1のグループの総価値に等しく、第2の金額は、第2のグループの総価値とチャージ取引の価額の合計に等しい。本方法は、第1の金額を第2の金額から差し引くことによりカードによって計算される支払い金額に対する検証可能な支払いレコードを小売店端末に提供することも含み得る。本方法は、小売店端末から受信した端末証明書の有効性を検証すること、および検証が否定の場合にストアドバリューの支払い取引を中止すること、検証が肯定の場合に、aカードの時間レジスターからカード時間を読み取ること、b小売店端末から端末時間を受信すること、c端末証明書から端末満了時間を取り出すこと、端末時間がカード時間より小さくなく、かつ、端末満了時間より大きくないかの両方を確認すること、および確認が否定であれば支払い取引を中止することをさらに含む。しかし、確認が肯定の場合、本方法は、時間レジスター内のカード時間を端末時間に従って設定することをさらに含む。本発明の好ましい実施形態は、1マイクロプロセッサー、b支払い取引を行うための選択可能な小売店端末と選択可能にインタフェースをとるための端末インタフェース、cリモートアカウントにチャージするためにマイクロプロセッサーと協働するチャージモジュール、および、ペイメントカードと小売店端末との間で端末インタフェースを用いてストアドバリューの選択可能な額を転送するためにマイクロプロセッサーと協働し、ストアドバリューを保存するためのストアドバリュー財布を含むペイメントカードも含み、ペイメントカードは、選択された小売店端末とインタフェースを取りながら、選択された小売店端末で、正の第1の金額のストアドバリューを、第1の金額より小さくない、対応する第2の金額がペイメントカードで支払われたことを確認した場合に限り、受け入れるように動作する。チャージおよびストアドバリュー取引の両方を含む支払い取引では、第1の金額は、ストアドバリュー財布によって受信されたストアドバリューの正味金額であり、第2の金額は、チャージモジュールで支払われる。ペイメントカードが、チャージ取引を含まない支払い取引で、コインベースのストアドバリューシステム内で機能する場合、支払い取引は、小売店端末から財布に流れるように指定されたゼロ個以上のコインの第1のグループ、および財布から小売店端末に流れるように指定された1つ以上のコインの第2のグループから構成され、第1の金額は第1のグループの総価値に等しく、第2の金額は第2のグループの総価値に等しい。チャージおよびストアドバリュー取引の両方を含む支払い取引では、第1の金額は、選択された小売店端末からストアドバリュー財布で受信されたコインの総価値に等しく、第2の金額は、選択された小売店端末でチャージモジュールによって支払われたチャージ金額と、ストアドバリュー財布から選択された小売店端末に転送されたコインの総価値の合計に等しい。カードは、第1の金額を第2の金額から差し引くことにより支払い金額を計算し、その支払い金額に対する検証可能な支払いレコードを選択された小売店端末に提供するよう、さらに動作し得る。カードは、カード時間レジスターを含み、選択された小売店端末から受信した端末証明書の有効性を検証し、検証が否定の場合には取引を中止し、端末証明書が有効であると分かった場合、端末は、カード時間レジスターからカード時間を読み取り、選択された小売店端末から端末時間を受信し、証明書から端末満了時間を取り出し、端末時間がカード時間より小さくなく、かつ、端末満了時間より大きくないかの両方を確認し、確認が否定の場合は取引を中止するように動作し得る。確認が肯定の場合、カードは、カード時間レジスター内のカード時間を端末時間に従って設定するように動作する。本発明の好ましい実施形態は、1ペイメントカードと通信するためのカードインタフェース、bネットワークを経由して、ストアドバリュー処理サーバーとインタフェースをとるためのネットワークインタフェース、c端末IDおよび端末満了時間を含む端末証明書を保存するための端末証明書レジスター、およびdiストアドバリュー処理サーバーでの決済中に、端末証明書レジスター内に保存された端末証明書を更新し、iiカードとのインタフェース中に、端末証明書をカードに提示するように構成されたプロセッサーを含む小売店端末も含む。本発明の好ましい実施形態は、ストアドバリュー処理サーバーを操作するための方法も含み、本方法は、小売店端末とインタフェースをとること、小売店端末から端末識別を受信すること、ならびに、端末識別に関して不正が識別されない場合は、小売店端末に対して、少なくとも端末識別および端末満了時間を含む、新たな端末証明書を発行すること、および小売店端末に対して新たな端末証明書を提供することを含む。不正が識別されない場合かつその場合に限り、本方法は、小売店端末でストアドバリュー決済を実行することも含む。本発明は、図と併せて、以下の詳細な説明からより良く理解されるであろう。《決済システム》本発明の好ましい実施形態による決済システム100を説明する図1について述べる。本システムは、複数のペイメントカードのうちの1つであるペイメントカード110、複数の小売店端末のうちの1つである小売店端末140、クレジットおよび/またはデビット処理を担当するチャージ処理サーバー180、ならびにストアドバリューの生成、決済、監査およびセキュリティに関連するあらゆる側面を管理および監視するストアドバリュー処理サーバー190を含む。ペイメントカード110は、データの保存および処理のためのセキュアチップを含むスマートカードであり、例えば、プラスチックカード、キーフォブ、または携帯電話など、任意の持ち運び可能な形状因子を有し得る。好ましいが、必ずしも必要ではなく、ペイメントカード110は、EMV規格の下で認定された多用途カードmulti-applicationcardである。カードのマイクロプロセッサー126は、カード時間レジスター114、チャージモジュール118および以下で説明するストアドバリュー財布122の全てまたは一部を含む、ペイメントカード110の通信および機能の処理を管理し、残りは、随意に、以下で説明する任意の専用ハードウェア構成要素上で実行する。チャージモジュール118は、アカウントおよびカード保有者データ、クレジットおよびデビット支払いの技術分野で周知のように、小売店端末140およびチャージ処理サーバー180と協働して、ペイメントカード110がクレジットおよび/またはデビット取引を実行できるようにするための暗号化キーおよび取引パラメーターを含む。好ましいが、必ずしも必要ではなく、決済システム100は、ペイメントカード110が、当技術分野で周知の規定および規則の下、小売店端末140でオンラインおよびオフラインの両方のチャージを行うことができるようにする。カード時間レジスター114は、カードのマイクロプロセッサー126にペイメントカード110に知られている最後の時間を提供する。いくつかの好ましい実施形態では、ペイメントカード110が携帯電話に組み込まれている場合など、カード時間レジスター114は、リアルタイムクロックであり得る。他方、一般的なプラスチックカードの形状因子の場合には、カードは、リアルタイムクロックを実現不可能にする独自の電源を有していない。かかる場合、カード時間レジスター114は、不揮発性メモリ記憶装置であり、以下で図4を参照して詳しく述べるように、小売店端末の現在の時間に従って、有効な支払い取引時に調整される。ストアドバリュー財布122は、好ましくは、ストアドバリューを保存するための安全な記憶装置、ストアドバリュー取引データおよび以下で説明する端末証明書を有効にするための暗号化キー、取引ログ情報、カードのマイクロプロセッサー126のストアドバリュー関連操作のためのソフトウェア、ならびに、おそらくは、ストアドバリュー特有の計算または暗号化計算を実行するための自律的コントローラーを含む。いくつかの実施形態では、カード時間レジスター114は、ストアドバリュー財布122の一部として実施され得る。端末インタフェース130は、支払い取引中に、カードのマイクロプロセッサー126が小売店端末140と通信できるようにする。ペイメントカード110が独自の電源を有していない場合、端末インタフェース130は、取引中に、ペイメントカード110にエネルギーを供給するため、小売店端末140から電気エネルギーも取得する。端末インタフェース130は、例えば、標準的なスマートカードの接触型インタフェース例えば、ISO7816下、データ交換のため、および、おそらくは、電磁誘導例えば、ISO14443下によりペイメントカード110にエネルギーを供給するためにも、電磁信号を使用する非接触型電磁気インタフェース、または、ペイメントカード110が自己エネルギー供給型の場合は、赤外線もしくはブルートゥースのインタフェースであり得る。小売店端末140は、支払い取引のためにペイメントカード110とインタフェースをとる。支払いは、商品またはサービスの購入のためであり得るが、しかし、本開示との関連で、ストアドバリュー金額のストアドバリュー財布122へのロードおよびチャージモジュール118によるその金額のチャージおそらくは、適用可能な手数料を追加しながらに終わる、純粋なロード取引も、支払い取引と見なされるだろう。カードインタフェース144は、例えば、標準的なスマートカードの接触型インタフェース、非接触型電磁気インタフェース、またはブルートゥースもしくは赤外線インタフェースなどの、照合技術を使用して、ペイメントカード110の端末インタフェース130とリンク134経由でインタフェースをとる。ペイメントカード110が自己エネルギー供給型でない場合、カードインタフェース144は、取引中に、ペイメントカード110にエネルギーを供給するためにも使用される。購入装置142は、カードで支払われる支払い金額を決定する。購入装置142の例には、スキャナーに接続されたキャッシュレジスター、自動販売装置例えば、自動販売機、パーキングメーター、または公衆電話など、または人間のオペレーターから支払い金額を受け取るためのキーパッドを含む。購入装置142は、小売店端末140の一体型装置であり得るか、または小売店端末140の他のブロックの物理的構造の外部にあって、通信リンクを介して端末のマイクロプロセッサー148と通信できる。端末のマイクロプロセッサー148は、小売店端末140の計算タスクおよび通信タスクを実行するため、小売店端末140の他の装置と接続する。チャージハンドラー156は、好ましくは、端末のマイクロプロセッサー148により、一方ではペイメントカード110のチャージモジュール118で、および他方ではチャージ処理サーバー180で、クレジットおよび/またはデビット取引を実行するための、ソフトウェアおよび小売店端末140の認証情報を含む不揮発性メモリである。ストアドバリューハンドラー152は、好ましくは、端末のマイクロプロセッサー148により、ペイメントカード110のストアドバリュー財布122を用いてストアドバリュー取引を実行するため、およびストアドバリュー処理サーバー190のストアドバリュープロセッサーモジュール194を用いてストアドバリューを決済するために、ソフトウェアおよび小売店端末140の認証情報を含む不揮発性メモリである。ストアドバリュー取引は、以下で説明するように、様々なストアドバリュー方式に従って実行できる。リアルタイムクロック160は、端末のマイクロプロセッサー148に現在の日時データを、報告および運用用途のための入力として提供する。端末証明書レジスター168図2も参照は、決済の成功時に、ストアドバリュー処理サーバー190の端末証明書発行者モジュール192から受信し、図4に関連して後述するように、ペイメントカード110によって確認される、端末証明書を保存する。ネットワークインタフェース164は、小売店端末140が、チャージ処理サーバー180およびストアドバリュー処理サーバー190とネットワーク170を介して通信できるようにする。チャージ処理サーバー180は、通常のクレジットおよび/またはデビット承認ならびに決済取引のために、小売店端末140をそれぞれの取得者および発行者と接続する、金融機関のサーバーまたは専用取引プロセッサーである。ストアドバリュー処理サーバー190は、使用するストアドバリュー決済システムの明細に従い、小売店端末140とのストアドバリュー転送の安全な処理のため、およびかかる転送に対して責任をもつために、プログラムおよび認証情報に加え、データ記憶および処理ハードウェアを含む、ストアドバリュープロセッサーモジュール194によってほとんどが実行される、ストアドバリューに関連する決済およびサービスのために、小売店端末140とインタフェースをとる。チャージおつり米国特許第5,744,787号および第6,076,075号、コインベースの監査米国特許第6,119,946号および第6,467,685号およびブランドによる決済米国特許第6,065,675号を採用する改善された決済システムの本発明の好ましい実施形態では、ストアドバリュープロセッサーモジュール194は、成功した決済中の小売店端末140でのストアドバリューの準備、コインの確認およびリフレッシュ、ならびにカードのブランドによる決済の集計も管理する。端末証明書発行者モジュール192は、小売店端末140との決済の成功時に、端末証明書レジスター168に保存される、新たな証明書を発行する。証明書は、端末IDおよび、次に予期される決済時間事前定義した安全マージンに等しい満了時間を含む。例えば、次の決済が24時間後に予期されている場合、証明書は、現在の決済時間から48時間の満了時間を含み得る。証明書は、任意の有効なカードによってデジタル的に検証可能であり、権限のない者が偽造するのが現実的ではないか、または少なくとも過度に高価になるように、デジタルセキュリティの技術分野で周知の技術によって暗号で保護されている。しかし、危険に曝されている小売店端末140の証明書は可読であり、端末のクローンにコピーできると推定されるが、証明書の満了時間を延長することはない。ネットワーク170は、専用の金融ネットワークまたは公衆ネットワーク例えば、インターネットまたは移動通信ネットワークのいずれかである。ネットワーク170は、小売店端末140をチャージ処理サーバー180およびストアドバリュー処理サーバー190と選択的に接続する働きをする。リンク134は、カード保有者がペイメントカード110を支払いのために小売店端末140で提示すると、ペイメントカード110と小売店端末140との間に一時的確立され、カードのマイクロプロセッサー126と端末のマイクロプロセッサー148との間のデータ通信を可能にする。いくつかの状況では、リンク134は、電気エネルギーを小売店端末140からペイメントカード110に供給もする。リンク134の技術は、前述した、端末インタフェース130およびカードインタフェース144の技術に合致する。リンク174は、小売店端末140を、承認ならびにクレジットおよび/またはデビット支払いの決済のためのチャージ処理サーバー180、ならびに、ネットワーク経由によるストアドバリューに関連する取引のためのストアドバリュー処理サーバー190と選択可能に接続する。好ましいが、必ずしも必要ではなく、小売店端末140は、オフラインモードでも動作でき、そして、リンク174は、切断またはアイドル状態にできる。リンク174は、ネットワークインタフェース164およびネットワーク170の通信技術に合致する任意の通信技術を採用できる。《端末証明書》図2は、端末証明書発行者モジュール192によって生成され、端末証明書レジスター168に保存され、そして、カードのマイクロプロセッサー126によって確認される、端末証明書200の署名済み端末証明書202および暗号化端末証明書204の2つの好ましい実施形態について説明する。署名済み端末証明書202は、次の3つのフィールド:1決済時に小売店端末140をストアドバリュー処理サーバー190に対して、および、おそらくは、ペイメントカード110に対しても、一意に識別する端末ID200T、2次の予期される決済時間好ましくは、決済が正当に遅れる場合のための安全マージンに従い、ストアドバリュー処理サーバー190によって決定される端末満了時間200E、および3端末ID200Tおよび端末満了時間200Eに署名し、カードのマイクロプロセッサー126によって検証可能なデジタル署名200D、を含むプレーンテキスト文字列である。このように、署名済みデジタル証明書200の内容は明らかで、誰でも読むことができるが、デジタル署名200Dは、偽の証明書が権限なく生成されるのを防ぐ。暗号化端末証明書204は、署名済み端末証明書202にあるような、端末ID200Tおよび端末満了時間200Eのデータを暗号化形式で含む。証明書は、好ましくは、端末証明書発行者モジュール192によって生成され、決済時に小売店端末140に提供され、そして、端末証明書レジスター168に暗号化形式で保存される。支払い時に任意のペイメントカード110に対して提示されると、そのカードは、暗号化デジタル証明書204を受信し、カードと端末証明書発行モジュール192との間で共有される適切な暗号化キーを使用して好ましくは、秘密鍵が端末証明書発行者モジュール192によって保持され、公開鍵がストアドバリュー財布122に含まれる、非対称暗号鍵を使用して、解読する。このように、暗号化端末証明書204の内容は、小売店端末140の端末証明書レジスター168に保存されるが、その暗号化により、小売店端末140をハッキングする人には判読不能にし、さらに、偽の証明書の作成は実行不可能である。端末証明書200の目的は、盗まれた端末によって引き起こされ得る有害な操作を通常は2、3日に制限することであり、その後、証明書が失効し、カードは期限切れの端末では取引を中止する以下の図4を参照ため、その端末を動作不能にするであろう。盗まれた端末は、識別されて、ストアドバリュー処理サーバー190に報告される可能性が高く、その後、端末証明書発行者モジュール192は、その証明書をそれ以上延長しない。それ故、たとえ盗まれた端末がその証明書と一緒に複製されても、全てのクローンによるどんな活動も、証明書の満了時間に終わるであろう。端末が盗まれることなく、盗聴されてハッキングされた場合、かかる危険に曝された端末は、当初は識別および報告されず、その証明書が正常に更新されて、それにより、その端末がさらに侵害されるであろう。しかし、例えば、米国特許第6,119,946号および第6,467,685号のコインベースの監査など、効果的な監査機構が盗聴された端末を決済時に効率的に見分けて、その証明書の更新が一時停止されるだけでなく、端末が押収されて、その端末を盗聴している犯罪者が識別され得る。時間単位および時計精度本説明には、3つの時間の値:カード時間レジスター114のカード時間、端末のリアルタイムクロック160から取り出された端末時間、および端末証明書200の検証から取得された満了時間が関係する。この3つの時間の値は、常に日付を含み、異なる時間単位で表され得る。例えば、端末時間は1秒の解像度で表され得、カード時間は1時間の解像度を使用し得、そして、端末満了時間は1日の解像度で表され得るすなわち、満了時間は実際のところ満了日である。かかる状況下での時間の比較は、当技術分野では一般的である。また、時間帯およびサマータイムが必要に応じて考慮に入れられることが推定され、本明細書ではさらに議論はしない。時計精度も時間比較に影響し得る。これは、猶予期間例えば、I分を時間比較基準に取り入れることにより考慮に入れられる。かかる事前定義したマージンは、任意の時間比較ベースの決定に含まれ得、本明細書ではさらに議論はしない。図3は、カード時間レジスター114のカード時間、端末のリアルタイムクロック160から受信した端末時間、および端末証明書200の検証時に取得した満了時間の比較に基づいて、支払い中に小売店端末とインタフェースをとる際にカードに直面し得る6つのシナリオA~Fを示す。シナリオAは、カード時間が、カード時間レジスター114がリアルタイムクロックである場合には実質的に端末時間に等しく、かつ、カード時間レジスター114が以前の購入取引で更新された不揮発性記憶レジスターである場合には端末時間より早いと予測され、また、端末時間が満了時間よりも遅くないと予測されるため、適切である。シナリオB、D、EおよびFでは、カードおよび/または端末時間に関して端末証明書が期限切れとなり、また、C、DおよびFでは、端末時間がカード時間より早いこれは、通常の合法的な状態下では予期されないため、シナリオB~Fの各々は例外を示し、好ましくは、カードによる取引の中止を引き起こすであろう。《端末証明書の有効性の検証およびカード時間の更新》図4は、小売店端末の有効性確認のため、支払い時にペイメントカード110によって実行される手続きを示す。ステップ201では、ペイメントカード110が、小売店端末140で支払い取引を行うためにカード保有者によって提示され、カードおよび端末が、端末インタフェース130、リンク134およびカードインタフェース144を介して通信し、カードが、端末によって端末証明書レジスター168から取り出される端末証明書200を受信する。また、カードは、端末がリアルタイムクロック160から取り出す端末時間、および購入装置142によって決定される支払い金額要求を端末から受信する。ステップ205で、カードは、端末証明書200の有効性を確認する;例えば、署名済み端末証明書202が使用される場合には、端末ID200Tおよび端末満了時間200Eの真偽を検証するためにデジタル署名200Dが確認され、暗号化端末証明書204が使用される場合には、端末ID200Tおよび端末満了時間200Eを取り出すためにペイメントカード110によって解読される。証明書が無効であることが分かった場合、取引はステップ229で中止され、カードはそれ以上端末と協働することはない。ステップ205で、証明書が有効であると分かった場合、ステップ213は、端末時間がカード時間より早くなく、端末満了時間より遅くないこと図3のシナリオAを検証する。検証が否定の場合、取引はステップ229で中止され、そうでない場合、ステップ221で、端末時間に従ってカード時間が随意に設定される。ステップ221は、カードがリアルタイムクロックを含む例えば、カードが携帯電話の一部を形成する場合か、またはカード時間が既に端末時間に等しい場合これは、例えば、カード時間が実際のところカード日付であって、その日付が、同じ日の以前の成功した購入取引で既に適切に設定されている場合に起こり得るにスキップされ得る。ステップ225では、以下で図5に関連してさらに説明するように、取引が実行される。図4の処理は、端末の証明書が期限切れになると、盗まれたか、または盗聴された端末を無効にすることが理解されるであろう。カード時間レジスター114が最近更新されていない、いくつかのカードは、リアルタイムクロックが証明書の満了日付より早い時間に設定されているハッキングされた端末と、まだ協働し得るが、複数の端末で購入を行うためにカードが規則通りに使用されているという想定、および大多数の端末が危険に曝されておらず、それ故、カード時間を適切に保持しているという別の想定の下で、ハッキングされた端末、およびハッキングされた端末のクローンは、それらの証明書が失効すると、最終的に動作不能になり、ストアドバリュー処理サーバー190の端末証明書発行者モジュール192によってそれ以上は更新されない。まだ有効な、ハッキングされた端末は、ステップ213での条件が、カード時間を検証済み満了時間通常、1日~2日以内よりも遅く設定するのを許可しないステップ221ため、ステップ221で、その時間を設定することにより、カードに遠い将来まで損害を与えることはできないそれは、カードが、ステップ213で正当な端末を失効した端末として解釈するようになり得ることを理解されるであろう。《支払い取引》図5は、小売店端末140図1でペイメントカード110によって行われた支払い取引を示す。以下で説明する操作および判断のいくつかは、小売店端末によって実行され、他は、小売店端末またはペイメントカードのいずれかによって実行され得、さらに他はセキュリティ上の理由からペイメントカードによって実行する必要がある;すなわち、ペイメントカードは安全で信頼できると考えられ、他方、小売店端末は、本状況では信頼できないと考えられることに留意されたい。以下で説明する支払い取引は、チャージおつり米国特許第5,744,787号および第6,076,075号の論理に従う。ステップ241で、ストアドバリュー財布122の中に金額Vの入っているペイメントカード110は、P>0の支払いを行うために、小売店端末140とインタフェースをとる。好ましいが、必ずしも必要ではなく、ステップ241は、小売店端末140が有効な失効していない証明書をもつことをカードが確認する図4の手続きの実行の後、実行される。簡潔さのため、カードと端末の相互認証の慣習的方法については、本明細書および以降の図では説明しない。チャージおつり米国特許第5,744,787号および第6,076,075号によれば、従来型のチャージクレジットまたはデビット取引の実行に適した閾値を定義するパラメーターMINCHARGEがある。ステップ245で、支払い金額Pは、端末によってMINCHARGEと比較され、MINCHARGEに等しいか大きい場合は、ステップ253で、チャージモジュール118に従い、従来の方式でPをペイメントカード110にチャージするため、取引が、小売店端末140のチャージハンドラー156に照会される。しかし、いくつかの端末では、小売店端末140がパーキングメーター、券売機または自動販売機と一緒に協働するような場合と同様に、その端末における全ての支払い金額Pが、MINCHARGEを下回ることが分かっているため、ステップ245および253は、余分であり、使用されないことに留意されたい。ステップ249では、ペイメントカード110のストアドバリュー財布122に保存されている現在のストアドバリュー残高Vが、支払い金額Pを支払うために十分であるか否かを判断するために、端末またはカードのいずれかによって確認される。ステップ249の結果が正であれば、ステップ257で、支払い取引中に犯罪者がストアドバリューを有効にカードに注入するのを防ぐため、カードによって正であると確認されている、金額Pが、カードから小売店端末にストアドバリューによって転送され、それにより、ストアドバリュー財布122に有効に残高V-Pを残す。随意に、Pのストアドバリューの転送は、米国特許第6,119,946号および第6,467,685号によるコイン交換に基づき、これは、図5Aに関連して後述するように、ストアドバリュー転送のための費用効率が高い監査機構を提供する。ステップ265で、カードは、金額Pに対するストアドバリュー支払いレコードを生成して、端末に提供し、それは、以下で図6に関連してさらに説明するように、カードによって署名され、ストアドバリュー処理サーバー190のストアドバリュープロセッサーモジュール194によって検証可能である。ステップ249で、金額Vのストアドバリューが金額Pの支払いに不十分であれば、ステップ251で、カードまたは端末がチャージ金額Xおよびおつりの金額Yを決定する。米国特許第5,744,787号および第6,076,075号に記載されているチャージおつりによれば、Xは、通常、前述のMINCHARGEパラメーターに等しいが、小売店端末140のストアドバリューハンドラー152またはペイメントカード110のストアドバリュー財布122内にプログラミングされている運用規則によって決定される、もっと大きな値にも設定できる。チャージ金額のYは、X-Pとして、端末またはカードによって計算される。ステップ261で、金額Xが、小売店端末140のチャージハンドラー156により、ペイメントカード110のチャージモジュール118と協働して、カードにチャージされ、カードは、チャージモジュール118で、Xの支払いが成功したことを検証する。その後、ステップ269で、の場合に限り、ペイメントカード110のストアドバリュー財布122が、小売店端末140のストアドバリューハンドラー152からYのストアドバリュー正味金額を受け取ることに同意し、このストアドバリュー転送は、VYを含むストアドバリュー財布122で終わる。随意に、ストアドバリュー転送は、米国特許第6,119,946号および第6,467,685号によるコイン交換に基づき、これは、ストアドバリュー転送のための費用効率が高い監査機構を提供する。最後に、カードは、X-Yの計算、すなわち、チャージ額から、おつりとして端末から受け取ったストアドバリュー金額を引き、そして、以下で図6に関連してさらに説明するように、カードによって署名および/または暗号化され、ストアドバリュー処理サーバー190のストアドバリュープロセッサーモジュール194によって検証可能な、X-Yに対するストアドバリュー支払いレコードを生成して、端末に提供する。端末はP、XおよびYに関する決定の全てまたは一部を行い得るが、カードは、もっぱら、そして厳格に以下の操作の制御を行うことに留意されたい:カードは、について、オンラインまたはオフラインチャージの成功完了を検証した場合にのみ、ストアドバリューで正味金額Yを受け取るステップ269。これは、ハッカーが、ハッキングした小売店端末を使用して、多額のストアドバリューを他のどこかで使うためにカードに注入するのを防ぎ、また、カードへのストアドバリューの追加を、カードへの多額のチャージによって決まるようにもし、これは、かかる取引をカード保有者にとって魅力のないものにする。さらに、そして、好ましくは、Xは、チャージおつり取引が比較的少額例えば、MINCHARGEに等しいかまたはMINCHARGEの2倍までに制限されるように、小売店端末140のチャージハンドラー156およびペイメントカード110のストアドバリュー財布122のいずれかまたは両方によって制限され、それはさらに、損害および、他の端末で購入に使用するためにカードにストアドバリューを追加する目的で犯罪者がハッキングした小売店端末を使用する動機を制限する。端末によってカードにチャージされた金額例えば、この場合はXは、図1の決済システム100に関与するスマートカードベースのチャージ例えば、クレジットまたはデビット方式により、オンラインおよびオフラインの両方の取引で、ペイメントカード110のチャージモジュール118図1に知られていると推定される。例えば、チャージ方式がEMV規格に基づく場合、チャージ金額は、EMVCo.,LLCによって2005年12月に発行された、CommonPaymentApplicationSpecification,Version1.0の§15.4オフラインチャージおよび§17.4オフラインチャージにより、カードに知られている。チャージモジュール118とペイメントカード110のストアドバリュー財布122との間の通信は、ストアドバリュー財布122が、チャージモジュール118でXの成功したチャージを知ることができるように、例えば、ペイメントカード110内部のカードのマイクロプロセッサー126がアクセス可能なメッセージを保存すること、または小売店端末140のチャージモジュール118によって署名されたメッセージを保存することなどにより、様々な方法で行うことができる。カードは、Xチャージ金額-Yおつりの金額、またはP正の受信したストアドバリュー金額の金額に対する署名済みおよび/または暗号化ストアドバリュー支払いレコードを生成および提供しステップ273およびステップ265、全ての値は、直接カードに知られている。それ故、カードによって署名および/または暗号化され、ストアドバリュー処理サーバー190によって支払われた金額を判断するため、決済時に小売店端末により小売店に対して提出される、ストアドバリュー支払いレコードは、決済時にストアドバリューに関連する過剰な金額を請求するために、小売店端末によって自己の判断では決定できない。これは、損害および、決済時にストアドバリューに関連した過剰な金額の請求のために、ハッキングした小売店端末を使用する小売店の犯罪の動機づけを、著しく制限する。監査のためのコインの使用米国特許第6,119,946号および第6,467,685号に記載のとおり、ストアドバリューを表すため、各コインが額面金額および一意のシリアル番号を有する、コインの任意使用により、ストアドバリュー処理サーバー190のストアドバリュープロセッサーモジュール194が、効率的かつ素早く、危険に曝されている端末および、かかる端末と協働しているカードを、偽コインかかるコインは、重複または未発行のシリアル番号をもつことで識別されるを供給する中心として検出することにより、識別できるようにする。疑わしい端末またはカードを見分けると、調査で小売店/カード保有者を識別し、その結果、直ちに、危険に曝されている端末に対して新たな証明書を供給するのを終了して、小売店およびカード保有者の犯罪に対する主要な抑止力として機能する。コインベースのストアドバリューが使用される場合、図5のステップ257およびステップ269の2つのストアドバリュー転送取引は、それぞれ、カードからPまたは端末からカードへYを移動するためにコインを使用する。両方の場合で、異なる額面金額のコインが両方の方向に移動し得、カードに良く知られている、正味金額すなわち、PまたはYの転送のみが、ペイメントカードにより小売店端末に提供されるストアドバリュー支払いレコード内に報告される取引金額を決定するために役立つ。コインベースのストアドバリューシステム内での本発明の使用に関する詳細な説明については、以下で図5Aに関連して記述する。ストアドバリュー決済方式図5に含まれるストアドバリュー支払い取引は、小売店端末で記録された、PまたはX-Yに対するストアドバリュー支払いレコードで終わる。適正な端末は、X-Y=Pと計算し、したがって、どちらの場合も、実際の支払い金額Pが、さらなるストアドバリュー関連決算のための根拠として、小売店端末で累算される支払いレコードに記録されることを理解されたい。レコードがカードのブランド別に合計され、加盟店手数料がブランドごとに計算される、かかる取引レコードに基づく決済のための詳細な方式は、米国特許第6,065,675号に記載に記載されており、その内容が参照により本明細書に組み込まれる。図5のプロセスは、小売店端末が偽のストアドバリュー支払いレコードを生成できないように、支払いレコードが、それぞれのカードによって生成され署名されることを確実にする。もちろん、危険に曝されている端末は、合法的な支払いレコードの複製を提出できるが、各レコードは一意であるため以下の図6を参照、かかる重複は、ストアドバリュー処理サーバー190のストアドバリュープロセッサーモジュール194によって直ちに見分けられ、いかなる損害も回避して、犯罪者予備軍をかかる構想から大いに阻止する。《コインベースのストアドバリューシステム内での支払い取引》図5に関連して前述した説明では、米国特許第6,119,946号および第6,467,685号による、ストアドバリューを表すためのコインの任意使用について述べた。ストアドバリューを表すため、異なる額面金額の連番の振られたコインの使用は、本発明にとっても有益である、費用効率が高い監査機構を提供する。図5Aに関連した本説明では、図5の機構を、コインベースのストアドバリューを使用する実施態様に対して、さらに適合する方法を教示する。図5Aは、小売店端末140図1でペイメントカード110によって行われた支払い取引を示す。以下で説明する操作および判断のいくつかは、小売店端末によって実行され、他は、小売店端末またはペイメントカードのいずれかによって実行され得、さらに他はセキュリティ上の理由からペイメントカードによって実行する必要がある;すなわち、ペイメントカードは安全で信頼できると考えられ、他方、小売店端末は、本状況では信頼できないと考えられることに留意されたい。以下で説明する支払い取引は、チャージおつり米国特許第5,744,787号および第6,076,075号の論理およびコインベースの監査米国特許第6,119,946号および第6,467,685号に従い、その全てが参照により本明細書に組み込まれる。ステップ241Aで、ストアドバリュー財布122の中に、コインで表される、金額Vの入っているペイメントカード110は、Pの支払いを行うために、小売店端末140とインタフェースをとる。好ましいが、必ずしも必要ではなく、ステップ241Aは、小売店端末140が有効な失効していない証明書をもつことをカードが確認する図4の手続きの実行の後、実行される。チャージおつり米国特許第5,744,787号および第6,076,075号によれば、従来型のチャージクレジットまたはデビット取引の実行に適した閾値を定義するパラメーターMINCHARGEがある。ステップ245で、支払い金額Pは、端末によってMINCHARGEと比較され、MINCHARGEに等しいか大きい場合は、ステップ253で、チャージモジュール118に従い、従来の方式でPをペイメントカード110にチャージするため、取引が、小売店端末140のチャージハンドラー156に照会される。しかし、いくつかの端末では、小売店端末140がパーキングメーター、券売機または自動販売機と一緒に協働するような場合と同様に、その端末における全ての支払い金額Pが、MINCHARGEを下回ることが分かっているため、ステップ245および253は、余分であり、使用されないことに留意されたい。ステップ249では、ペイメントカード110のストアドバリュー財布122に保存されている現在のストアドバリュー残高Vが、支払い金額Pを支払うために十分であるか否かを判断するために、端末またはカードのいずれかによって確認される。ステップ249の結果が正であれば、ステップ255で、カードから小売店端末に転送する必要があって米国特許第6,119,946号および第6,467,685号の図13のステップ131-1で教示されるとおり、その総価値がストアドバリュー財布122により現在Bとして計算されるコインを判断するため、および小売店端末からカードに転送する必要があって米国特許第6,119,946号および第6,467,685号の図13のステップ131-1で教示されるとおり、その総価値がストアドバリュー財布122により現在Aとして計算されるコインを判断するために、金額Pが、ペイメントカード110のストアドバリュー財布122または小売店端末140のストアドバリューハンドラー152のいずれかで処理される。ステップ257Aで、カードは、ステップ255で決定され、その総価値がBであるコインを端末に送信し、ステップ255で決定され、その総価値がAであるコインを、A<Bであることを検証した場合、すなわち、購入取引中に、ストアドバリュー財布122内のストアドバリューの総価値の有効な増加が起こらない場合に限り、小売店端末から受信することを同意し、そうでない場合、カードは、ストアドバリューのカードへの転送を拒絶するか、または取引を中止する。カードがコイン交換の計算および実行を制御する場合、好ましくは、端末からコインを受け取る前に、カードがまずコインを端末に送信し、そうでない場合は、コインがカードによって決定されたとおりに交換されなければ、コイン交換取引を中止するコイン交換プロトコルを使用する。これは、たとえ、小売店端末がカードと小売店端末との間で交換するコインを計算する場合でさえ、小売店端末のハッカーが、偽のストアドバリューをカードに有効に注入するためのコイン交換機構を悪用するのを防ぐ。ステップ265Aで、カードは、カードによって計算されるとおり、カードから小売店端末に転送されるストアドバリューの正味金額を表す、B-Aの金額に対する支払いレコードを端末に提供する。支払いレコードは、以下で図6に関連してさらに説明するように、カードによって署名および/または暗号化され、ストアドバリュー処理サーバー190のストアドバリュープロセッサーモジュール194によって決済時に検証可能である。ステップ249で、ストアドバリューの金額VがPの金額の支払いに対して不十分な場合、ステップ251Aで、チャージ金額X図5のステップ251のように、カードから小売店端末に転送される必要があって、その総価値がストアドバリュー財布122によって現在Bとして計算されるコイン、および小売店端末からカードに転送される必要があって、その総価値がストアドバリュー財布122によって現在Aとして計算されるコインを決定するため、金額P、Vが、ペイメントカード110のストアドバリュー財布122および/または小売店端末140のストアドバリューハンドラー152のいずれかで処理される。チャージXのコンテキストにおける各コイン転送は、米国特許第6,119,946号のコラム14~15によって教示される。ステップ261で、金額Xが、小売店端末140のチャージハンドラー156により、ペイメントカード110のチャージモジュール118と協働して、カードにチャージされ、カードは、チャージモジュール118で、Xの支払いが成功したことを検証する。ステップ269Aで、カードは、ステップ251Aで決定され、その総価値がBであるコインを端末に送信し、ステップ251Aで決定され、その総価値がAであるコインを、であることを検証した場合、すなわち、チャージおつり取引中に金額Xがカードにチャージされた後、ストアドバリュー財布122内のストアドバリューの総価値の有効な増加が起こらない場合に限り、小売店端末から受信することを同意する。これは、たとえ、小売店端末がカードと小売店端末との間で交換するコインを計算する場合でさえ、小売店端末のハッカーが、偽のストアドバリューをカードに有効に注入するためのコイン交換機構を悪用するのを防ぐ。ステップ273Aで、カードは、カードによって計算されるとおり、カードから小売店端末に転送されるチャージストアドバリューの正味金額を表す、XB-Aの金額に対する支払いレコードを端末に提供する。支払いレコードは、以下で図6に関連してさらに説明するように、カードによって署名され、ストアドバリュー処理サーバー190のストアドバリュープロセッサーモジュール194によって検証可能である。支払い端末での安全でないロード図5Bは、信頼できない端末でのPの支払いおよび/またはロードのセッションを示す。ステップ241Bで、カードは、PPは、人間または自動の小売店から受信した入力によって決定しているの支払いを行うために支払い端末とインタフェースをとる。任意選択のステップ245Bで、支払い金額によって自動的に、またはカード保有者もしくは小売店から受信した入力に従って手動でのいずれかで、チャージにより支払いが行われるか否かが決定され、その場合、支払いは、ステップ253で従来の方式でチャージされる。ステップ249Bで、次のステップが支払いまたはロード取引を開始するか否かが決定され、例えば、ロード取引は、財布内の現在の残高がPより少ない場合、またはカード保有者が将来の使用のためにバリューをロードしたい場合に必要であり得る。支払いがステップ249Bで決定されている場合、ステップ257で、ストアドバリューの正の正味金額Pがコインまたはストアドバリューの任意の他の形式のいずれかを使用してカードから端末に転送され、ステップ265で、カードは署名済みおよび/または暗号化P支払いレコードを端末に提供する。ステップ275で、カード保有者から端末によって受信した入力は、カード保有者が、例えば、将来の使用のために追加のストアドバリューをカードに手動でロードするため、別の取引に興味があることを示し得、この場合、手続きはステップ249Bに進む。ステップ249Bでロードが選択された場合、手続きは、例えば、カード保有者から受信した入力に従って、ロード金額Xを決定するために、ステップ251Bに進む。図5Bの状況下では、ロードセッションは安全でない、すなわち、そのセッションは、小売店端末140が単に通信パイプcommunicationconduitとして機能する、ペイメントカード110とストアドバリュー処理サーバー190との間の安全なセッション図1を参照を介して完了していない、と推定される。ステップ261で、カードは端末でチャージによりXを支払い、その支払いを検証するが、これは、ペイメントカード110のチャージモジュール118を介して、オンラインまたはオフラインで行うことができる図1。ステップ269Bで、カードは、YがXに等しいか、またはロード手数料が適用される場合はおそらく若干少ないかのいずれかであることを検証した場合に限り、金額Yのストアドバリューをストアドバリュー財布122に受け取る。ステップ275で、端末は、セッションを終了するか否か、または、例えば、今しがたロードしたストアドバリューで購入を行うためなど、別の取引のためにステップ249Bに進むかの入力をカード保有者から受信する。《コインの安全なロード》図5Cは、ペイメントカード110のストアドバリュー財布122とストアドバリュー処理サーバー190との間の安全なセッションでロードでき、さらに小売店端末140でストアドバリューコイン購入を行う、コインパースモードの使用を示す。ステップ241Cおよびステップ249Cで、カード保有者は、ストアドバリューをカードにロードするためにロード端末にアクセスするか、またはカードで支払いをするために支払い端末にアクセスするかを選択する。本明細書ではロード端末は、例えば、小売店端末もしくは有人のロードキオスクロードのための現金も受け取り得る、パーソナルコンピューター、携帯電話または現金自動預払機ATMなどの、ペイメントカード110とストアドバリュー処理サーバー190との間のデータ通信を提供できる任意の通信装置である。ロード取引が選択されている場合は、ステップ281で、安全なロードセッションがペイメントカード110とストアドバリュー処理サーバー190との間に確立される。ステップ285では、随意にサービス手数料を付加して、ロード金額の支払いが、ロード端末の特質に従って、カードのチャージ、または別のカードのチャージ、または現金での支払いのいずれかによって支払われる。ステップ289で、ペイメントカード110またはストアドバリュー処理サーバー190は、コインのストアドバリュー財布122へ移動およびそこから移動する必要のあるコインを計算し、ステップ293で、そのコインが、ステップ281で確立された安全なセッション下で実際にさらに移動される。ステップ281~ステップ293はロードセッションであり、ペイメントカード110およびストアドバリュー処理サーバー190の両方が信頼され、それらの間のロードセッションが安全な通信セッションを介して行われるため、カードはコインの流れを監視する必要がないが、まだあり得るということに留意されたい。ステップ241およびステップ249で、カード保有者は、信頼できない小売店端末でPの支払いを行うことを選択する場合、ステップ255でカードおよび/または小売店端末が、小売店端末からカードへ移す必があって、その総価値がAのコイン、およびカードから小売店端末へ移す必があって、その総価値がBのコインを計算および決定する。ステップ257Aで、カードは、ステップ255で決定され、その総価値がBであるコインを端末に送信し、ステップ255で決定され、その総価値がAであるコインを、A<Bであることを確認した場合、すなわち、購入取引中に、ストアドバリュー財布122内のストアドバリューの総価値の有効な増加が起こらない場合に限り、小売店端末から受信することを同意し、そうでない場合、カードは、ストアドバリューのカードへの転送を拒絶するか、または取引を中止する。カードがコイン交換の計算および実行を制御する場合、好ましくは、端末からコインを受け取る前に、カードがまずコインを端末に送信し、そうでない場合は、コインがカードによって決定されたとおりに交換されなければ、コイン交換取引を中止するコイン交換プロトコルを使用する。これは、たとえ、小売店端末がカードと小売店端末との間で交換するコインを計算する場合でさえ、小売店端末のハッカーが、偽のストアドバリューをカードに有効に注入するためのコイン交換機構を悪用するのを防ぐ。図5Cの手続きでは、ストアドバリューのロードは、いくつかの実施形態では、別のカードのチャージまたは現金での支払いによって行われ得るため、カードは必ずしもチャージ機能を含まないことに留意されたい。本実施形態は、例えば、親がロードして子供が使用するストアドバリューカードに対して、魅力的であり得る。《ストアドバリュー支払いレコード》図5に関連して前述したとおり、ストアドバリュー支払い取引は、ステップ265またはステップ273のいずれかで、カードが、それぞれ、PまたはX-Yのいずれかの金額に対するストアドバリュー支払いレコードを生成し、端末に送信して終わる。図6は、かかるストアドバリュー支払いレコード280の内容を示す。支払いレコードは、好ましくは、小売店端末140のストアドバリューハンドラー152によって読取りおよび解釈が可能なテキスト文字列で表される。そのテキスト文字列は、カード情報280C、端末情報280T、支払い情報280Pおよびデジタル署名280Dの4つのフィールドを含む。カード情報280Cは、例えば、カード番号およびカード発行者など、従来型のデータによって、ペイメントカード110を識別する。端末情報280Tは、端末証明書200からカードによって取り出された端末ID200Tにより端末を識別する。支払い情報280Pは、図5のステップ265のPまたはステップ273のX-Yのいずれかを含み、好ましくは、図4のステップ201で受信された端末時間に等しいと推定される取引時間も含み、また、おそらくは、端末から受信した取引シリアル番号も含む。かかる取引が図5のステップ261で実行されている場合には、Xに対するチャージ取引の明細も含む。デジタル署名280Dは、フィールド280C、280Tおよび280Pの内容に関連して、ペイメントカード110のストアドバリュー財布122によって生成され、それは、決済時にストアドバリュー処理サーバー190によって検証可能である。《ストアドバリュー決済》図7は、ネットワーク170を経由してストアドバリュー処理サーバー190に接続することにより、小売店端末140によって定期的に開始される、決済手続きを説明する。かかる決済の標準的な頻度は、好ましくは、夜の遊休時間中、または必要に応じて、1日または2日に一度である。決済の頻度は、ストアドバリュー処理サーバー190によって事前に決定され、これは、決済中に、ストアドバリュー処理サーバー190によって端末に提供される端末証明書200の満了時間に影響する。別の決済セッションが、図5のステップ253で行われるチャージを従来の方式で清算するために、チャージ処理サーバー180と接続することにより、小売店端末140によって行われ得ることに留意されたい。ステップ305で、小売店端末140は、決済のために、ストアドバリュー処理サーバー190に接続する。ステップ313で、端末は、図5のステップ265またはステップ273で記録された全てのストアドバリュー支払いレコード280、図5のステップ261でチャージおつりの状況で行われた全ての変更、および監査データをストアドバリュー処理サーバー190に報告する。報告された全ての情報は、以前のストアドバリュー決済以後に行われた取引に関連し、データは、次のビジネスサイクルに向けて、小売店端末上でリセットされる。ステップ261で行われるチャージおつりのチャージは、前述のように、別々に報告されるか、または、ストアドバリュー支払いレコード280の支払い情報280Pに含まれる。監査データは、好ましいが、必ずしも必要ではなく、米国特許第6,119,946号および第6,457,685号によって教示されるように、ストアドバリューハンドラー152を次のビジネスサイクルに向けてその指定された初期注入金額primingamountにリセットするため、ストアドバリュー処理サーバー190のストアドバリュープロセッサーモジュール194間で交換されるコインの形式である。ステップ317で、ストアドバリュー処理サーバー190のストアドバリュープロセッサーモジュール194は、不正を識別するために、受信した監査データ、ステップ261のチャージ取引およびストアドバリュー支払いレコード280をコンパイルする。不正の1つのタイプは、全てのストアドバリュー支払いレコード280の総金銭的価値、ステップ261のチャージの総額、および小売店端末140のストアドバリューハンドラー152を初期注入金額にリセットする必要のあるストアドバリューの正または負の金額米国特許第5,744,787号および第6,076,075号の間の不一致である。別のタイプの不正は、米国特許第6,119,946号および第6,457,685号によるコインベースの監査システムを実施するシステムにおいて、重複または未発行のシリアル番号を有するコインの検出である。さらに別のタイプの不正は、適切に署名されていないか、現在の支払い期間内にないか、別のストアドバリュー支払いレコードの複製であるか、または別の小売店端末の支払いレコードである、ストアドバリュー支払いレコード280の識別である。不正が検出されると、それらは報告されて、人間による調査、判断、介入および是正処置を引き起こし得る。ステップ317で不正が検出されない場合は、ステップ321で、米国特許第6,065,675号で開示のとおり、おそらくは、カードのブランドに従い、ストアドバリュー支払いレコード280の合計が、そこから手数料を引かれて、小売店の銀行預金口座に入れられる。ステップ317で不正が検出されていない場合は、ステップ325で、ストアドバリュー処理サーバー190の端末証明書発行者モジュール192が、次に予期される決済時間に従った満了時間を有する、新たな端末証明書を発行し、端末は、次のビジネスサイクルに対して準備を整えるであろう。限られた数の実施形態に関連して発明を説明してきたが、当業者には、本発明は本明細書で具体的に示し、説明してきたものに限定されないことを理解されるであろう。むしろ、本発明の特許請求の範囲は、当業者が本明細書を読むと思い付くような、従来技術にはない、変形形態および修正のみならず、本明細書で説明する様々な機能の組合わせおよび部分的組合わせの両方を含む。"