JP3542603B2

JP3542603B2 - Ｉｃカードで記憶されたトークンの再評価用システムおよび方法

Info

Publication number: JP3542603B2
Application number: JP50099795A
Authority: JP
Inventors: ナカムラ、ランス・エス; ロバーツ、アラン・ビー; シーツ、ジョン・エフ
Original assignee: ヒューレット‐パッカード、カンパニー
Priority date: 1993-06-02
Filing date: 1994-06-02
Publication date: 2004-07-14
Anticipated expiration: 2019-07-14
Also published as: AU675550B2; BR9406733A; CN1096648C; WO1994028498A1; US5917168A; CN1127045A; EP0701718A4; CA2163365C; EP0701718A1; CA2163365A1; JPH09500743A; AU6960094A

Description

［発明の技術的背景］
本発明は呼称スマートカードとも呼ばれるICカードに記憶された（“電子キャッシュ”または例えば電話利用クレジット等の“サービス利用クレジット”のような）トークン情報のオンライン再評価を行うシステムおよび方法に関し、特に、私設位置でこのような再評価を行うシステムおよび方法に関する。
既知のICカードの１使用例はキャッシュレス処理の実行に利用するためカード所有者にトークン情報を記憶することを含んでいる。この目的で使用されるICカードおよび関連する処理端末は権限のないカード製造と、権限のないカードの発行または不正なカード使用を防止するため、精巧な秘密性保持構造の利用が広く行われている。秘密性保持特性を説明している例えば米国特許第4,810,862号明細書と第4,839,504号明細書はICカード製造と発行期間中に導入されており、カードとカード所有者の真実性の確認のために使用期間に利用されている。
ある商業上の応用は最初のトークン値とカードの論理回路またはプログラミングによるICカードの発行を含んでおり、これは完全に消耗されるまで記憶されたトークン値の漸減を許容するだけであり、この後にカードは廃棄され新しいカードが購入されなければならない。
他の商業上の応用は最初のトークン値とカード論理回路またはプログラミングを有するICカードの発行を含んでおり、これは再評価即ち、漸減に加えてトークン値の増加を許容する。これらの応用は“電子パース”として通常知られている。
ある電子パース応用ではICカードは秘密性保持再評価局、例えば精巧な自動話者機械（前述の米国特許第′504号明細書参照）または精巧なホストコンピュータ（米国特許第5,175,416号明細書参照）とオンラインの特別な基金転送端末でのみ再評価されてもよい。これらの秘密性保持再評価局はカードと端末秘密性保持特性の十分な利用を行うことができ、典型的に秘密性保持環境で維持され不正使用を防止し、不正カードの発行または再評価方式の一部として再評価局をクローンするために使用される秘密性保持特性の精巧な捜査を権限がなく行うことを阻止する。
ICカードの電子パース使用の１つの制定は、処理完了で用いるようにカード提出するまで、カード所有者がカードに記憶された残りのキャッシュトークン値を容易に決定することができないことである。記憶されたキャッシュトークン値が購入量をカバーするのに十分でないならば、カード保有者は処理を無効にするかある他の形態の支払いを使用しなければならない。別の制限は、カード所有者が典型的にカードにキャッシュトークン値を付加する特別な端末位置へ行かなければならず、電子パース応用の便利さを失わせて基本的にATMにおける実際の現金（即ち政府発行紙幣）の支払いと同じになる。
家庭または会社のような私設位置での電子パースICカードの再評価ができることが好ましいことは一般に米国特許第4,656,342号明細書で認識されている。この第′342号明細書は一般的に、電子パースICカードに複数のトークンを具備し、各トークンが権限のあるエンティティにより与えられる特定のサービスと関連されるとが望ましいと認められている。通常、権限のある電子パース処理端末を有する位置で商品およびサービスを購入するために使用されることができる記憶されたキャッシュトークン値に加えて、例えば電子パースはまた権限のあるICカードインターフェイス装置を有する公共電話で使用されてもよい電話使用トークン値を有する。
前記第′342号明細書に記載されている電子パース再評価処理は特別なオペレータへの音声ベースの電話呼びの組合わせを含んでおり、キャッシュトークン量またはカード所有者の電子パースICカード中の他の権限あるトークン量を再評価するように特別なオペレータに要求する。オペレータとカード所有者は、カード所有者の区域のICカードインターフェイスユニットとオペレータ位置の権限のある端末との間に電話データリンクを設定し、オペレータは権限のある端末とカード所有者のカードインターフェイスユニットを利用することが可能であり、適切に実行されたならば新しいトークン値を関連するトークン値メモリ位置に書込む特別なカードとサービス真実性の確認機能を行う。
［発明の目的］
本発明の主要な目的は、私設位置のカード所有者によってICカードに記憶されている１以上のトークン値の再評価のための改良されたシステムおよび方法を提供することである。本発明の別の目的はICカードに関連した処理（transaction;トランザクション）動作を行うための改良された私設処理端末を提供することである。
［本発明の特徴および利点］
本発明の１観点は、遠隔位置において動作的に匹敵する（compatible;コンパチブル）端末によるオンライン処理セッションを介してカード所有者に発行されたICカードに記憶されたトークン値の変更を私設位置で行う方法を特徴とする。この方法は、マイクロ制御装置と、関連するマイクロ制御装置プログラムメモリとを有するICカードと、トークン値データとカード秘密性保持データの秘密性保持のための保護されたメモリ位置と、データ通信インターフェイスと、前記プログラムメモリに記憶された予め整列されたカード秘密性保持プログラムとを利用し、カード所有者アクセスの秘密性保持と関連するデータ読取りおよび書込み動作を処理する秘密性保持のための保護されたメモリ位置に対する端末アクセスの秘密性保持とを管理する。
遠隔位置における動作的に匹敵する端末はデータ通信インターフェイスと、前記予め配置されたカード秘密性保持プログラムに匹敵する予め配置された処理秘密性保持プログラムとを含んでいる。
ICカードはただ１つの例えばキャッシュトークン等の記憶されたトークン値を有してもよく、または多重トークン値カードであってもよいことが理解されるべきである。用語“ICカード”および“スマートカード”は本発明の記載では交換可能に使用されることも理解すべきである。
本発明の方法は最初にICカードの前記データ通信インターフェイスに対するカードデータリンクを設定し、前記カードデータリンクを介して前記ICカードへカード所有者データ秘密性保持メッセージを通信し、前記カード秘密性保持プログラムが秘密性保持カード所有者識別データを発生するようにエネーブルする。この方法はまた遠隔位置で外部端末への端末データリンクを設定し、前記カードデータリンクと前記端末データリンクを介して前記ICカードと前記外部端末との間で秘密性保持処理メッセージを通信し、前記カード所有者からのトークン変化ベクトルデータを含み、前記ICカードと前記外部端末が相互真実性の確認機能を行い、秘密性保持トークン値変化処理を行うことを可能にする。
ICカードと遠隔端末の間の処理の終了後、本発明の方法は引き続き前記カードデータリンクを経て前記ICカードに記憶された変更したトークン値を読取り、前記変更されたトークン値を前記カード所有者に通信する。ICカード自身で発生された全ての秘密性保持真実性の確認および処理メッセージデータ項目を有し、単にこれらのメッセージを遠隔データリンクを経て通過することによって、本発明の方法は簡単な方法でICカードトークンの遠隔再評価をエネーブルし、処理カード所有者端部で簡単で廉価なハードウェアの使用を容易にする。本発明の別の観点は、私設位置で処理を行う端末を特徴とし、この処理は遠隔位置における動作的に匹敵する端末をによってオンライン処理セッションを介してカード所有者に発行されるICカードに記憶されたトークン値の変更からなる。ICカードおよび動作的に匹敵する端末は前述の特徴を有する。
カード所有者により使用される私設端末は、カードデータリンクを前記ICカードの前記データ通信インターフェイスに設定する手段と、カード所有者とカード真実性の確認データ項目を処理し、戻すように前記カード秘密性保持プログラムをエーブルするため秘密性保持データ項目のカード所有者エントリーを受け前記秘密性保持データ項目を前記カードデータリンクを介して前記ICカードと通信する手段とを具備する。
私設端末はさらにトークン値変化処理を始めるように前記カード所有者をエネーブル手段を含んでおり、これはトークン変化ベクトルのカード所有者エントリーを受ける手段と、公共交換電話回路網を介して端末データリンクを遠隔位置の外部端末に設定するためのトークン変化処理を開始する前記カード所有者に応答する手段とを含んでいる。
私設端末の別の素子は前記カードデータリンクと前記端末データリンクを介して前記ICカードと前記外部端末との間で一連の秘密性保持メッセージを通信する手段である。これらのメッセージは各端末の真実性の確認とICカードの真実性の確認プログラムを実行するために前記ICカードと前記外部端末をエネーブルするための秘密性保持真実性の確認メッセージと、秘密性保持トークン値変化処理を行うために前記ICカードと前記外部端末をエネーブルするための前記トークン変化ベクトルを含んだ秘密性保持処理メッセージとを含んでいる。
私設端末はまた前記カードデータリンクを介して前記ICに記憶された変更されたトークン値を読取り、前記変更されたトークン値を前記カード所有者に通信する手段を含んでいる。変更されたトークン値と通信するこの手段はアルファベットと数字の表示またはプリンタまたはコンピュータ発生音声読取り装置であってもよい。
主としてメッセージ通過エンティティとして動作する私設端末によってICカードおよび遠隔端末は全ての秘密性保持メッセージを構成しプログラム処理活動を行うので本発明の私設端末は簡単で廉価である利点を有する。これは私設端末自身が処理活動を行うためICカードと相互作用することができないので詐欺の危険性を減少する。私設端末は秘密性保持環境で維持されなければならないものではなく、従ってこのような端末はカード所有者の家庭およびオフィスその他の私設位置で使用されるように分布されることができる。
本発明の私設端末はまた特定のカード所有者に専用されず、従って匹敵するICカードを保持するどのカード所有者によっても利用されることができる。従って、私設端末はポータブルに構成されることができるが、そうである必要はない。各オフィス位置の単一の端末はカード上のトークン値を読取り、端末の施設を使用して所望によりトークンを再評価するために複数のカード所有者によって使用されることができる。
遠隔端末電話番号とICカードに記憶された他のバンキングデータを有することにより、私設端末はICカード上のトークン再評価と共に、他のバンキング処理用の無言（dumb）の通信端末として基本的に機能することができる。遠隔端末とICカードが秘密性保持を基礎として会計そのデータを交換すると、遠隔端末および私設端末は遠隔端末とカード所有者による機能の選択により与えられるバンキング機能メッセージと相互作用することができる。パーソナルATMタイプの処理のための私設端末において与えられるインテリジェンスの程度は勿論任意選択的である。例えば、私設端末は会計バランス質問と、短いステートメントの質問と、預金とチェック支払い質問等の基本的な機能キーを含んでもよい。
本発明の他の目的、特徴、利点は本発明の実施例の後述の説明から明白になるであろう。
【図面の簡単な説明】
図１は本発明に関連した便利な従来技術のカード発行システムの素子を示した基本的なシステム図である。
図2Aおよび2Bは本発明に関連した有用な従来技術の処理システムのポイントの素子を示した基本的なシステム図である。
図３は本発明のよる、本発明の方法で実行するのに有効な私設再評価および処理システムの基本的なシステムブロック図である。
図４は本発明の方法を実行するための本発明によるシステムの部品およびモジュールを示したブロック図である。
図５は本発明による有効なスマートカードデータリンク構造の一部分を示した図である。
図6A乃至6Cは本発明による私設端末で実行される方法のステップを示したフローチャートである。
図7Aおよび7Bは本発明のよるスマートカードで実行される方法のステップを示したフローチャートである。
図８は本発明によるホストコンピュータ中で実行される方法のステップを示したフローチャートである。
［本発明の実施例の詳細な説明］
カード発行
図１は本発明に関連した特に有効なカード発行システムの通常の素子を示している。例えば米国特許第5,175,416号、第4,810,862号、第4,968,873号明細書はICカード発行の詳細を説明している。
通常、ICカード発行は端末10を経て行われ、これはスマートカード12が挿入されるスマートカード読取り装置／書込み装置11を含むかそれにインターフェイスされている。この場合のスマートカード12は、複数のトークン値が複数の個々のトークンメモリ位置で記録されることができるスマートカードであり、各トークンはバンクA14と関連する電子キャッシュトークン、頻繁な買い物客サービス15と関連する頻繁な買い物客トークン、電話会社16と関連する電話使用トークン等の特定のサービスまたは処理エンティティと関連されている。スマートカード12はまたクレジットカードまたはデビットカードのどちらか一方またはその両者として機能することができる秘密性保持会計メモリ位置を有することもできる。
端末10は前述した各サービスエンティティへに対する処理データリンクを有するホストコンピュータシステム13とインターフェイスされている。カード所有者は１以上の利用可能なトークンで負荷されたスマートカードを有するように選択する。キャッシュトークンで負荷され、電話使用トークンで負荷され、それぞれカード所有者の会計をカードに負荷されたトークン値で借り方記入するためバンクＡとの処理を含んでいる。電話会社の場合、電話使用トークンの値はカード所有者の会計に借り方記入されると同時に電話会社の会計に貸し方記入される。カードに負荷されたキャッシュトークンの値は閉カードシステムにおいてバンクにより特別に蓄えられた会計中に維持されるか、あるいは開カードシステムにおいて清算または手形交換装置に転送されてもよい。このカード発行の会計面は本発明では重要ではないので、ここでは詳細に説明しない。
本発明で重要であるのは、これらのトークンが負荷されるスマートカードが適切な秘密性保持レベルを有する多重トークンメモリ位置を有して製造されたタイプの１つであることであり、スマートカードそれ自身はメッセージ暗号化／解読化のような秘密性保持特性と本発明によりトークン再評価を処理するようにプログラミングならびにカードに対する端末真実性の確認を有する。多重トークンまたは多重会計スマートカードは米国特許第4,656,342号と第4,736,094号明細書で開示されており、その説明は多重トークン記憶能力を有するICカードの例示的な構造と機能を示す必要のあるときに参照する。
本発明の実施に利用する特定の形態のスマートカードはPCOSスマートカードであり、これは文献（PCOS Technical SpecificationsのVersion 1.0、GemPlus Card International of Gemenos Cedex出版、フランス）に記載されている。この文献はICカードの例示的構造と機能を示す必要のあるときに参照する。
カード使用
背景情報として、図2Aは処理位置のあるポイントについて典型的な従来技術のカード使用を示している。処理端末20のポイントは磁気条帯カードを用いてデビットまたはクレジットタイプのオンライン処理を行うことができることである。またスマートカード12の電子パース形態を用いてデビットタイプのオンライン処理を行うことができる。
オンライン処理では端末20は磁気条帯カード25を読取ることに使用される磁気条帯カード読取り装置21を有する。このようなオンライン処理ではクレジット許可またはデビット処理のために端末20は公共電話回路網（または賃貸しライン）を経てホストコンピュータ27までのデータ通信リンクを有する。図2Aのシステムはまたカード所有者の真実性の確認用の個人識別番号を入力するためPIN入力モジュールとしての機能をするキーパッドを含むスマートカード読取り／書込みモジュール22を含む。スマートカード12がキャッシュ値トークンで負荷されるならば、オフライン処理で商品またはサービスの購入の支払いに使用されてもよい。このようなオフライン処理の典型的なステップは最初に、PINの入力と、カード12に記憶された対応するデータに基づいたPINの確認を請求することによってカード所有者の真実性の確認するための端末20とピンパッド22に対するステップである。これは権限のない人によるカード12の詐欺的な使用を防止する。
選択的に、ある電子パース応用では、このPIN確認は処理の処理速度を上げるため削除される。この場合、電子パースはキャッシュと同一に扱われ、持参者が電子パースの正しい所有者であるものと推測される。PIN入力のない電子パースデビット動作に与えられた販売端末点の１例は1993年10月26日出願の“METHOD ＆ APPARATUS FOR ELECTRONIC CASH TRANSACTIONS"と題する米国特許第08/143,573号明細書に記載されている。
別の選択は処理量が予め選択されたフロア限定を越えるときのみ電子パースでキャッシュを使うためのPIN入力を必要とすることである。
端末20とカード12は、両者のカードと端末真実性の確認と相互の一致性をチェックする相互の真実性の確認処理を経て相互に真実性の確認する。この相互真実性の確認は処理を終了するように詐欺的に発行されたカードの使用を阻止し、権限のない端末の使用によってカードから値を引出すかカード12に付加することをを阻止する。秘密性保持真実性の確認が終了すると、端末20とカード12は処理メッセージを前後に通過し、カード12からキャッシュ値を引き出して端末20の処理項目メモリに入れ、新しいキャッシュ値をカード12に再度書込む。これらのステップはよく知られているのでこれ以上ここでは詳細に説明する必要はない。
端末20は種々の支払いカード媒体を用いてその日の処理を清算するためホストコンピュータ27またはホストコンピュータ13またはその両者を呼出してもよい。キャッシュトークン支持体および政府発行紙幣に相当するものとしてスマートカード12を使用する利点は処理のオフライン特性と、実際のキャッシュ取扱いおよび現金の交換、計算、照合にかかる関連時間を避けることである。
処理が終了している商人に関する頻繁な買い物客のトークン（カードに記録されたデータ）をスマートカード12が有するならば、処理は頻繁な買い物客のトークンを確認する別々のステップを含み、適当ならば、処理量に基づいてカード12の頻繁な買い物客トークンの値を変化するステップを含む。頻繁な買い物客プログラムの性質に応じて、カード12のトークン値は所定のレベルのポイント（点数）の累積に基づく報奨の買い物客への還元のような、現在の購入または同様の行動に対する報奨割引（award discount）に使用されてもよい。
図2Bは、スマートカード12に電話を使用した場合のトークン値が入力されるならば、同一のスマートカード12が公共電話支払い局29で使用されることを示している。同一の処理ステップがこのタイプの使用に含まれてもよい。その代りに、カード所有者が権限のある持参人であることを推定するような秘密性保持性の少ない処理ステップが使用され、秘密性保持目的のためにカードの真実性の確認をチェックするのみの電話に使用される単一モードのスマートカードとコンパチブルなスマートカード12を作るために使用されてもよい。
私設位置の再評価
図３は秘密性保持性の高いシステムと物理的および電子の両者が適用されている公共位置における再評価とは反対に秘密性保持性が少ないかまたは全くない端末システムを使用して“私設”位置でキャッシュトークン値のスマードカードの再評価をする方法と装置を提供する本発明の一般的な原理を示したものである。
図１を再度参照すると、カード発行に含まれるハードウェアは詐欺的または権限のない活動を避けるためにハードウェアアクセスと動作局面との両者からの秘密性保持設備で維持されなければならないことが明白である。図３で示されているように、スマートカード再評価はいかなる応用ソフトウェアが、発行ならびにカード再評価に必要とされても端末に含まれることによってカード発行および再評価局10Aで達成されることができる。同じ装置が含まれ、同じ秘密性保持の必要条件が適用される。カード端末真実性の確認はカードと端末との間で実行される。カード所有者は別々の入力装置で彼のPINを機密に入力するか、または訓練を受けた信用のあるオペレータPINを入力する必要があり、バンクの処理プロトコールにある他のカード所有者認証ステップを行ってもよい。
同じ秘密性保持ステップはカード所有者が処理ステップを行う点を除いてスマートカード再評価機能用に設定された公共ATMユニット36で実行される。
図３はカード再評価のための“私設”端末30の使用も示している。私設端末30は、カード所有者の家庭、オフィスまたはホテル／モーテルのフロントディスクまたは守衛設備のような他の位置に位置されてもよい。ここでの一般的な概念は、モデムまたは他のデータ通信媒体を経て遠隔端末までのスマートカード12と遠隔端末データリンク通信とのためのスマートカードデータインターフェイスを有する簡単な端末30を使用することでり、遠隔端末はホストコンピュータ13または回路網アクセス制御装置40であってもよく、ICカード12と遠隔端末との間に秘密性保持メッセージを通過するためにプログラムされる。用語”秘密性保持メッセージ”を使用することによって、このメッセージは暗号化方法またはその他の手段を使用して、端末30におけるよりもむしろICカードおよび／または遠隔端末における秘密性保持を提供することを意味する。基本的に、端末30はICカード12と遠隔端末の間にリンクを提供し、遠隔端末はICカード12と秘密性保持カード再評価局の端末との間に存在するハードワイヤのデータ通路と等価である。端末30は２つのユニットの間でデータおよび命令メッセージを通過させるものであり、そしてその動作システムはかかる簡単な機能の管理に関する能力に限定されるであろう。勿論、より精巧な機能もまた、全ての秘密性保持メッセージ送信および受信がICカード12と遠隔端末の間で処理された後に、秘密性保持メッセージの発生と受信を必要としない他のATMまたは遠隔顧客サービス機能を端末が処理することができるようにするために含まれてもよい。
図３は、通信販売ハウス35による電話−通信販売注文処理に参加するため、簡単な私設再評価端末30にハードウェアとインテリジェンスが設けられていることも示している。通信販売会社の職員または情報を傍受する人による詐欺使用を生じうるクレジットカード番号を出す代りとして、端末30にはICカードデビット機能を行うため音声からデータへ一時的に切換える能力が与えられている。しかしながら、秘密性保持機能はICカードと遠隔端末、この場合では回路網アクセス制御装置（NAC）40との間で実行され、従って私設端末30も通信販売ハウス35の端末も精巧な秘密性保持特性を有することを必要としない。回路網アクセス制御装置はこの場合、簡単なデビット処理を実行するようにプログラムされている。これはICカード12のキャッシュトークンのキャッシュ処理量をデビットすることを必要とするメッセージおよびパラメータを私設端末30に送信し、通信販売ハウスに処理量をクレジットするため別のメッセージを送信する。これが終了し、NAC40は電子的音声で発生されたメッセージまたはデータディスプレイメッセージによってパーティに電子処理が終了したことを特徴とする。プログラミングに応じて、NAC40は電話リンクアップを終端するかまたはパーティをサインオフの音声通信に戻す。
このICカード再評価機能と注文処理機能は、ホームショッピングまたは家庭処理回路網環境で動作するため付加的なインテリジェント機能が設けられている家庭端末装置に内蔵されることができることは明らかである。例えば、この再評価機能はパーソナル端末30と同一機能を行うようにプログラムされたスマートスクリーン電話で実行されることができる。
好ましくは、ICカードはカード所有者と相互作用せずに遠隔端末データリンクを開始するため端末30に必要な全ての情報を記憶する。これは必要ならばホスト電話番号データおよびバンク会計データを含む。その代りに、ICカード識別番号は直接単一会計またはグループ会計に連結される。
端末30により呼び出される電話番号は、パーソナル端末30がいかなるタイプのトランザクションが要求されたかを示す特別のログ−オン（log−on）メッセージを送信する必要性を避けるために、私設端末のICカード再評価機能に提供される番号であることが好ましい。しかしながら、パーソナル端末30により与えられるログ−オンを有する一般的なホストの電話番号を使用する場合もまた本発明の一般的な原理に含まれるものである。秘密性保持会計とカード所有者識別（PIN）メッセージがICカード12と遠隔端末（ホスト13またはNAC40）の間で一度通過されると、付加的なATMまたは顧客サービス質問処理が端末30とホストコンピュータとの間で行われることが明白である。このような機能のための能力は単に、私設端末30内に簡単なディスプレイとキーボードそして1/○命令解読装置とを有するホストコンピュータに設けることができる。代りに、インテリジェンスはホストコンピュータと私設端末30との間で共有されることができる。例えば、私設端末30はスクロールするディスプレイその他の手段を介して専用の機能キーまたはメニュー選択に基づいて、使用者が処理開始メッセージまたはデータ質問をホストコンピュータに送信することを可能にするようにプログラムされてもよい。
本発明の私設端末30はICカードまたは遠隔端末の秘密性保持性の妥協を冒すことなく人々の家庭、会社、その他の位置で広く分布されることが明白であろう。さらに、各カード所有者はICカードのキャッシュトークンの再評価を行うため任意の私設端末30を使用することができる利点を有する。
システム例
図４は本発明による私設端末再評価システムの組立てに典型的に使用されるモジュールと本発明の方法を実行するモジュールの概略ブロック図を示している。
私設端末30はキーボード63、ディスプレイ64、モデム66、スマートカードデータリンク65のような入力／出力装置と共に関連するプログラムメモリ61とデータメモリ62を有するマイクロプロセッサシステム60を具備している。銀行サービスおよび／または通信販売用の結合された音声データ処理がシステムにより与えられる場合には、音声データスイッチ67もまた含まれる。スマートカードデータリンク65はデータ通信サービスをスマートカード12に提供し、DC動作電力をスマートカード12に提供することを含む。スマートカード12は内蔵および／または補助プログラムおよびデータメモリ71,72を有する内部マイクロ制御装置70を具備している。データ通信は暗号化／解読モジュール73と共にデータI/O74により管理される。この暗号化／解読モジュール73はハードウェアまたはソフトウェアであってもよい。
ホスト側において、所有カードシステムでは、ホストコンピュータ13は秘密性保持認証および処理メッセージの発生と、スマートカード12の類似機能に匹敵する暗号化／解読モジュール76を有する機能を制御するスマートカード秘密性保持モジュールを有する。
開カードシステムでは、NAC40はスマートカード秘密性保持モジュール81と暗号化／解読モジュール82を有する。音声データ処理制御装置83は、音声発生による購入の清算時に、顧客サービスと、スマートカード12から電子キャッシュを受ける通信販売ハウス35の音声を使用するバンクＢと関係して、NACの音声およびデータインターフェイスの動作のために設けられている。
図５はICカード読取り装置／書込み装置のインターフェイスユニットの形態の従来技術のスマートカードデータリンク装置65の一部を示しており、これはスマートカード12が読取り装置のカード受け空洞に十分に挿入されカードへの接触が行われるときを感知するカード挿入センサ90であり、従って電力がカードに与えられる。
読取りバランス−−付加されたキャッシュプログラムおよび関連するスマートカードおよびホストプログラムステップ
図6A乃至6Cは私設端末30で動作する“READ BALANCE−−ADD CASH"という名称のプログラムステップを示している。このプログラムの主要なステップはキャッシュクレジットをスマートカード12のキャッシュトークンに付加する目的のものである。この説明の目的で、ICカードは文献（“PCOS Technical Specifications"、GemPlus Card International、Gemenos Cedex、フランス）に記載されているようなPCOSスマートカードの電子パース明細にしたがって行われるカードであるとする。このPCOS明細は使用者により入力されるPINの暗号化を行い、またホストコンピュータから受信されるクレジット暗号文の暗号化を行うために端末を使用する従来技術の方法を記載している。本発明によると、端末は暗号秘密性保持プログラムを有しておらず、全ての暗号動作はスマートカード12とホストコンピュータで実行される。図6Bで示され後述されているように、端末はスマートカード12によりPINの暗号動作を設定するようにXOR動作を行う。その代りに、コードは全てのPIN暗号化動作を行うためスマートカード12に付加されることもできる。
このプログラムモジュールの第１のステップでは、読取り装置65内のカードの存在をチェックし、カードの挿入が感知されるまでこれを続ける。このチェックステップがイエスとなるとき、ルーチンはパワーをスマートカード12に供給し、リセット指令をICカードに送信する。カードがカードのタイプを識別する私設端末30へ応答する。次のステップは受けた応答がICカードがPCOSカードであることを指示するか否かをチェックする。このチェックステップがノーの応答をするならば、エラーが宣告され、適切なエラーメッセージが私設端末30のディスプレイ表示される。イエスの返答がされるならば、BALANCE（CASH）指令がスマートカードに送信される。スマートカードはカードのキャッシュトークンメモリ位置に記憶された値の簡単な参照を行うことにより応答し、その値を２つの装置間の通信リンクにわたって私設端末30に戻す。
スマートカード12に送信された各指令に続いてGetResponse指令が送信されることを理解すべきである。また、良好なソフトウェア実施によると、応答タイムアウト機能（図示せず）と応答確認機能（図示せず）は各GetResponse指令の発生後に含まれる。応答タイムアウト機能は最初にタイマーのスタートと、応答が受信されたかまたはタイマー期間が終わったかを連続的にチェックすることを含んでいる。応答が受信される前にタイマー期間が終わったならば、エラーが宣告される。
タイムアウト前に応答が戻ったならば、応答の確認は別々のチェックステップでチェックされる。応答が確認されていないならば、適切なエラーが宣告される。例示的なプログラムのステップを説明したが、私設端末30とスマートカード12のハードウェアとソフトウェアは適切に作動するものと仮定され、タイマーと確認チェックステップが満たされる。
次にスマートカード12から受信したキャッシュバランスはディスプレイ64で表示される。この後に続くあるいは付随するのは“ADD CASH?"メニュー項目の表示である。好ましくは私設端末30はメニューディスプレイに応答してイエスとノー応答の少なくとも２つのソフト機能キーを有する。代りに、特別なイエスとノー共有または専用の機能キーがキーボードに含まれることができる。
図6A乃至6Cで示されているプログラムフロー図における種々の位置では、タイムアウトが生じる前にスマートカード12が除去するか否かを検出するためのステップ（図示せず）が含まれている。このことは、更なる操作を望まない場合に、使用者がカードを引き出すことを可能にするため、更にプログラムの実行を遅延させる。これが有効に含まれる１つの位置はCash Balanceが表示される後である。使用者が丁度、カードバランスをチェックしているならばカードはバランスが表示されるとすぐに引出される。カードが引出されたならば、実行は別のカードの挿入を待機するためプログラムの開始に戻る。技術でよく知られているように、私設端末30は処理中にカード除去を感知するルーチンを含み、カード接触構造との実際の通信を失う前にカード電力を停止する。換言すると、カード挿入スイッチは、カード接触への端末が遮断される前にカード除去を感知し、それによって電力低下ステップは物理的接触破壊が生じる前に行われることができる。
このキャッシュバランス読取りおよび表示ステップは秘密性保持ステップなしに行われ、カード挿入で自動的に生じることに注意すべきである。これはカード所有者が私設端末30にスマートカードを単に挿入することによりスマートカードのキャッシュバランスをチェックすることを可能にする。この動作は中のキャッシュ金額を見るために財布を開けるのとほぼ同じ速さであり、本発明によって私設端末30を与える主要な利点である。
次のステップは使用者により入力される応答をチェックする。イエスが入力されなければ、プログラムは図6Cの点Ｄにジャンプし、これは他の私設端末30機能が使用者により呼出されるか否かを決定する。使用者がより多くのキャッシュをスマートカード12にクレジットしたいものと仮定すると、チェックステップはイエスの返答をし、私設端末30はDDA＃を要求するため指令をスマートカード12に送信する。
次のステップは“ENTER PIN"を表示し、その後に使用するPINコード番号のキーボード入力を受ける。これに続いて入力されたPINの機能的操作:PIN_BLK＝XOR（PIN,DDA＃）を行う。この機能を私設端末30で行うことにより、既にPCOSスマートカード中に与えられた暗号化コードは、キャッシュクレジット動作を行うために設定されたホストコンピュータのPIN真実性の確認コードに一致するPIN暗号化動作を完了するために使用されることができる。
次のステップはPIN_BLKの値でPIN暗号化を行うため指令をスマートカード12に送信する。スマートカード12は図7Aで示されているプログラムステップを行うことにより応答する。PIN_BLKパラメータが受信され、一連の機能が行われる。CTC（カード端末カウンタ）が増分され、その後に、Kauthと呼ばれる真実性の確認キーを使用して暗号化されたCTCの結果に等しく真実性の確認セッションキーKsaを設定するための暗号化ステップが続く。これに続いて、セッションキーKsaを使用してPIN_BLKパラメータを暗号化する結果に等しく暗号化されたPINの値Ｐを設定するための暗号化ステップが行われる。ＰとCTCの値はスマートカード12により私設端末30に戻される。
私設端末30で行われる次のステップは、値ＰおよびCTCの値を受信してそして記憶することであり、このためこれらはホストコンピュータへのメッセージパケット内に含まれる。これに続いて、使用者にプロンプトメッセージ“AMT.TO ADD?"を表示する。次に入力値Caがスマートカード12のキャッシュトークンに付加されるキャッシュ量として受信される。付加されるキャッシュ量の選択は番号または方法で実行されることが理解されるべきである。ある種のATM装置のように、私設端末30は例えば＄40.00.等の“迅速キャッシュ”量を示唆することができる。私設端末30はキャッシュ量を付加する使用者の習慣を追跡し、使用者の選択する典型的な量を提案する。このステップは広範囲の量選択サブプロセスを含むものとして理解されるべきである。
Caに付加する量が入力され受信された後、私設端末30はキャッシュの引出しとカードクレジット動作を行うための呼びのためにホストコンピュータの電話番号を得るように指令をスマートカード12に送信する。これはホスト電話番号を記憶するため端末により知られているスマートカード12のメモリ位置またはファイルの直接読取りを含んでいる。これらのトークンに連結されているカード中の他のトークンおよび他のホストコンピュータ電話番号が存在することが理解されよう。例えば買い物ボーナストークンはボーナスを費やすために呼びを行うようにホストコンピュータの電話番号を有する。
私設端末30がホスト電話番号を受信した後、これは番号をダイヤルしたホストコンピュータとの通信リンクを設定する。これは公共電話ラインによってモデムまたはセルモデムまたは他のデータ通信媒体により行われる。ホストコンピュータへのリンクが設けられるとき、私設端末30はホストへ、含まれる処理とパラメータのタイプ、例えばこの場合、DDA＃,P,CTC,Caを伝えるためWITHDRAWAL_CD_CRDパケットを送信する。
このメッセージパケットに応答してホストコンピュータにより行われる典型的なステップが図８で示されている。ホストがWITHDRAWAL_CD_CRDメッセージパケットを受信した後、真実性の確認キーKauthを用いて、受信したCTCパラメータでDES暗号化を行うことにより真実性の確認セッションキーKsaを得る。PIN_BLKは得られたセッションキーを用いてＰパラメータのDES解読により得られる。これはセッション秘密性保持性のための標準的な暗号化／解読活動であり、ここでは詳細に説明する必要はない。PIN_BLKが有効であるならば、このことはホストコンピュータがPIN入力および真実性の確認されたスマートカード12を、PIN_BLK暗号化において適切な真実性の確認キーKauthを使用しているものと確認することを意味する。
これらの機能の実行に続いて、ホストコンピュータは、会計に十分な資金が存在するか否かを決定し、例えば日常の引出し限度のように処理制限パラメータが超過するか否かを決定するためにPIN_BLKが有効か否かを見るように一連のチェックステップを行う。これらのチェックステップがノーの返答をするならば、適切なエラーパケットが私設端末30に送り戻すように発生される。PIN入力エラーが含まれているならば、PIN_ERRORカウントが更新されてもよく、従ってホストコンピュータは使用者が非常に多数回無効なPIN入力で会計をアクセスしようとしたかどうかを決定することができる。
チェックステップが全てイエスの返答をするならば、ホストコンピュータは一連の機能を行う。ホストセッションキーはクレジットキーKcreを使用してCTCでDES暗号化を行うことにより得られる。クレジット暗号文CCは機能XOR（Ca,DDA＃）を行うことにより計算される。
２つの連続的な解読ステップはこの機能ブロックで示されているように行われる。クレジット暗号文のCC′バージョンはホストセッションキーKshを用いてCCの解読により生成される。CC"バージョンは真実性の確認セッションキーKsaを用いてＣ′の解読により生成される。このCC"値はVALID CC"承認パケットの一部としてホストコンピュータにより私設端末30に送り戻され、DN_MSGが私設端末30から受信されるときホストコンピュータはDONEである。私設端末30は、オンラインのホストコンピュータを有する場合、他の私設ATM機能を行うようにプログラムすることができるものと理解すべきである。そうであるならば、ホストコンピュータは他の私設バンク処理ステップを私設端末30からの指令の下で行うか、または異なった送信データパケットに応答して行う。このような付加的な機能は本発明の一部ではない。
図6Cを再度参照すると、私設端末30はホストメッセージを受信しチェックする。ある種のエラーメッセージパケットが受信されたならば、私設端末30は処理が失敗であることを決定し、適切なエラーメッセージを表示し最初のプログラムステップに戻る。故障の理由に応じて使用者は再度の試行する。
処理が適切であることをホストメッセージが示したものと仮定すると、私設端末30は指令パラメータCC"とCa）によってスマートカード12へCREDIT_CASH指令を送信する。スマートカード12は図7Bで示されているようにCREDIT_CASHルーチンを行うことによってこの指令を処理する。指令パラメータ受信され、一連の機能が実行される。最初にパラメータCCa′は真実性の確認セッションキーKsaを用いてCC"のDES暗号化により得られる。これは図８で示されているようにホストコンピュータにより行われる最後の暗号化動作の逆である。それからホストセッションキーはクレジットキーKcreを用いてCTCのDES暗号化により生成される。これはホストコンピュータにより行われる機能の１つを模倣する。次にパラメータCCaはホストセッションキーKshを用いてCCa′のDES暗号化により得られる。最後にCacはCCaとDDA＃についてXOR機能を行うことにより得られる。
次にスマートカード12はその中の全ての暗号化および解読動作がホストコンピュータの対応する動作に一致する場合のようにCacがCaに等しいか否かを発見するためにチェックする。一致が認められないならば、エラーは私設端末30に戻される。一致が認められるならば、キャッシュトークンのキャッシュバランスはCaの値によりそれを増分することにより更新される。その後成功コードが私設端末30に戻される。
再度図6Cを参照すると、CREDIT_CASH指令が発されカードで実行された後に私設端末30がスマートカード12から有効な応答を受信すると仮定すると、BALANCE（CASH）指令は再度発生され、キャッシュバランスは再度TRANSACTION COMPLETEメッセージと共に表示され、そこで使用者は新しいバランスが請求された付加的なキャッシュを含むことを証明することできる。
その後プログラムは他のカード請求が使用者によって所望されているか否かを発見するためにチェックする。発見されなければカードは電力を停止され、DN_MSGがホストコンピュータに送信されプログラムは最初に戻る。他のカード請求が示されなければ、プログラムは他のATM請求が使用者により示されないか否かをチェックする。このような他の請求が示されるならば、これらのパーソナルATM機能は使用者が全ての処理を終了するまで私設端末30により実行される。付加的なパーソナルATM機能は本発明の一部ではなく従ってここでは説明しない。これらはバンク位置でのATM装置を模倣する方法で遠隔位置からの私設端末30により実行される勘定の支払い、会計の転送等を含んでいる。
前述の説明から、簡単なデータ入力と、スマートカード12およびホストコンピュータとのデータ通信を実行するので、本発明による私設端末30は簡単で廉価の装置であることが明白である。端末内に秘密性保持機能がないことは、詐欺から保護するための秘密性保持の予防処置を必要としないため、製造価格を安くする。
図示し説明したこの例示のプログラムにおける多数の変形が実行されることができることも理解されるべきである。例えば、私設端末30で動作するプログラムは他のステップで進行する前に入力されたPINを確認するためスマートカード12への指令を含んでいる。このことは、PIN入力中にエラーが生じたことを発見するためにのみ、ホストコンピュータへの接続を設定するために全てのステップを実行することを防止するであろう。このような変形では、スマートカード12はPINをチェックし、さらに使用しないようにカードをロックする前に使用者に正確なPINを挿入する試みをある回数だけ与えるためのモジュールを含んでいる。
本発明のシステムおよび方法の通常の原理は種々の実施例の説明により示されている。しかしながら当業者は以下の請求の範囲で請求されているように本発明の技術的範囲から逸脱することなく種々の変形を行うことができることを理解すべきである。

Claims

オンライントランザクションセッションを介し、私設位置においてICカードに記憶されたトークン値の変更を行う方法であって、この方法は前記ICカード、前記私設位置における私設端末、そして遠隔位置における遠隔端末を使用し、
前記ICカードは、マイクロ制御装置および関連するマイクロ制御装置プログラムメモリ、トークン値データおよびカード秘密性保持データに関する秘密性の保護されたメモリ位置、データ通信インターフェイス、およびカード所有者のアクセスの秘密性保持、およびトークン値の読取りおよび書込み動作を含むデータ読取りと書込み動作に関するトランザクションに関して、秘密性の保護されたメモリ位置に対する端末のアクセスの秘密性保持を管理するために、前記プログラムメモリに記憶された予め配置されたカード秘密性保持プログラムとを具備し、
前記遠隔端末は、前記予め配置されたカード秘密性保持プログラムとコンパチブルである予め配置されたトランザクション秘密性保持プログラムを含み、
a.前記私設端末と前記ICカードの前記データ通信インターフェイスとの間にカードデータリンクを設定し、
b.カード保有者からカード所有者データ秘密性保持項目およびトークン変化ベクトルデータの入力を受信し、
c.前記カード秘密性保持プログラムが秘密性保持カード所有者識別データを生成することを可能にするために、前記カードデータリンクを介して、前記カード所有者データ秘密性保持項目を含むカード所有者データ秘密性保持メッセージを、前記ICカードへ通信し、
d.前記私設端末と前記遠隔端末の間に端末データリンクを設定し、
e.前記ICカードおよび前記遠隔端末が相互の真実性確認機能を行い、そして前記ICカードの前記秘密性の保護されたメモリ位置の１つに変更されたトークン値の書込みを含む秘密性保持トランザクションを実行することを可能にするために、前記カードデータリンクおよび前記端末データリンクを介して、前記ICカードと前記遠隔端末との間で、前記カード所有者からの前記トークン変化ベクトルデータおよび前記秘密性保持カード所有者識別データを含む秘密性保持トランザクションメッセージを通信し、
f.前記カードデータリンクを介して前記ICカードに記憶された前記変更されたトークン値を読取り、そして
g.前記変更されたトークン値を前記カード所有者へ通信する、
ステップを含む方法。
さらに、
a.1.前記ステップａの後直ちに前記ICカードに記憶された現在のトークン値を読取り、そして
a.2.前記カード所有者へ前記現在のトークン値を通信するステップを有し、そして
ここでステップb.は、前記カード所有者がトークン値の変更要求を開始した後でのみ行われる、
ステップを有する請求項１記載の方法。
前記ICカードに記憶された前記トークン値は電子キャッシュトークンであり、前記方法は前記私設位置において関連する遠隔端末を有する配達サービスビジネスへの音声電話の呼を経て開始されるカード所有者購入トランザクションを行うように適合されており、そして
前記ステップa.は前記配達サービスビジネスと関連するオペレータへ前記カード所有者が音声購入注文を通信した後に前記遠隔端末により行われ、そして
前記ステップc.は前記方法のステップのバランスを完了するように音声電話リンクが端末データリンクへ切換えられた後に前記私設端末および遠隔端末により行われる、
請求項１記載の方法。
前記ICカードは、複数のサービス提供者の１つとそれぞれ関連する複数のトークン値データ項目および前記プログラムメモリに記憶されている予め配置されたトークン値開始プログラムに関連する秘密性の保護されたメモリ位置を含み、このトークン値開始プログラムは前記遠隔位置における前記遠隔端末に含まれている対応する予め配置されたトークン値開始プログラムとコンパチブルであり、前記ステップe.は、
e.1.前記カード所有者により要求された最初のトークン値の量を含むトークン変化ベクトルと共に、前記カード所有者からのトークン開始要求を前記ICカードおよび前記遠隔端末へ通信し、
e.2.前記ICカードと前記遠隔端末との間で前記カードデータリンクおよび前記端末データリンクを介して、前記ICカードおよび前記遠隔端末における前記それぞれのトークン値開始プログラムに関して必要とされる、秘密性保持トランザクションデータメッセージを通信するステップとを含む、
請求項１記載の方法。
前記私設位置で複数の自動バンキングトランザクションを行うように適合される方法であって、ここで、
前記ICカードはさらに１以上の貯金、チェック、クレジット、そしてローン会計データ項目を含む、複数のバンク会計データ項目に関する秘密性の保護されたメモリ位置を含み、そして
前記遠隔端末は前記カード所有者のバンクに関連するホストコンピュータに対する秘密性保持データおよびプログラムの結合を有しており、ここで前記ステップe.は、前記カードデータリンクおよび前記端末データリンクを介して前記ICカードと前記遠隔端末の間で秘密性保持トランザクションメッセージを通信することを含み、結果としてトークン値変更と前記自動バンキングトランザクションとを生ずる１以上の一連の処理に関連するトランザクションメッセージを含む、請求項１記載の方法。
私設位置において、カード所有者に対して発行されたICカードに記憶されているトークン値の変更を含むトランザクションを行う私設端末であって、
なおこのトークン値の変更トランザクションは前記私設端末および前記ICカードを使用して前記私設位置において行われ、そして遠隔位置において所定の機能を行う遠隔端末を使用し、
前記ICカードは、マイクロ制御装置、関連するマイクロ制御装置のプログラムメモリ、トークン値データおよびカード秘密性保持データに関する秘密性の保護されたメモリ位置、データ通信インターフェイス、そして、関連するデータの読取りおよび書込み動作のトランザクションに関し、カード所有者アクセスの秘密性保持および秘密性の保護されたメモリ位置に対する端末アクセスの秘密性保持を管理するために前記プログラムメモリに記憶された予め配置されたカード秘密性保持プログラムとを有し、
前記遠隔位置における前記遠隔端末は、データ通信インターフェイスおよび前記予め配置されたカード秘密性保持プログラムとコンパチブルである予め配置されたトランザクション秘密性保持プログラムとを含み、
前記私設端末は、ソフトウエアに基づき情報処理を行うために配置されたハードウエアを含み、
前記ICカードの前記データ通信インターフェイスに対してカードデータリンクを設定し、
前記私設端末におけるトークン変更トランザクションを開始する前記カード所有者に応答し、前記遠隔位置における前記遠隔端末に対する端末データリンクを確立し、
トークン変化ベクトルのカード所有者入力を受信し、
秘密性保持データ項目に関するカード所有者入力を受信し、そして前記カード秘密性保持プログラムを準備しそしてカード所有者およびカード真実性確認データ項目に戻すことを可能にするために前記カードデータリンクを介して前記秘密性保持データ項目の再表現を前記ICカードに通信し、
前記ICカードと前記遠隔位置における前記遠隔端末間において、前記カードデータリンクおよび前記端末データリンクを介してメッセージを通信し、
前記メッセージは、
前記ICカードおよび前記遠隔端末が、それぞれ端末真実性の確認およびICカード真実性確認のプログラムを実行可能にする、秘密性保持の真実性確認メッセージと、そして
前記遠隔端末がカード所有者の同一性を立証することを可能にし、そして前記ICカードと前記遠隔端末が秘密性保持トークン値変更トランザクションを実行することを可能にする、前記トークン変化ベクトルおよびカード所有者真実性確認データとを含む秘密性保持トランザクションメッセージとを含み、そして
私設端末は、前記ICカードおよび前記遠隔端末が前記秘密性保持トークン値変更トランザクションの実行を完了した後、さらに前記カードデータリンクを介して前記ICカードに記憶された変更されたトークン値を読取るために配置されており、そして前記変更されたトークン値を前記カード所有者に通信する、
私設端末。
前記カードデータリンクが設定された後直ちに前記ICカードに記憶された現在のトークン値を読取る手段と、前記現在のトークン値を前記カード所有者へ通信する手段とをさらに含む請求項６記載の私設端末。
前記ICカードに記憶される前記トークン値は電子キャッシュトークンであり、そして
前記私設端末は、関連する遠隔端末を有する配達サービスビジネスに対して音声電話の呼を介して開始されたカード所有者購入トランザクションを前記私設位置において行うように適用され、そして前記トークン変更トランザクションを開始するカード所有者に応答する手段は音声電話リンクと端末データリンクとの間の切換え手段を含む、
請求項６記載の私設端末。
前記ICカードは、複数のサービス供給者の１つおよび前記プログラムメモリに記憶されている予め配置されたトークン値変更プログラムにそれぞれ関連する複数のトークン値データ項目に関する秘密性の保護されたメモリ位置を含み、この予め配置されたトークン値変更プログラムは前記遠隔位置における前記遠隔端末に含まれる対応する予め配置されたトークン値変更プログラムとコンパチブルであり、そして
前記私設端末はさらに、
トークン開始要求および関連するトークン変化ベクトルのカード所有者入力を受信する手段を具備しており、そして
一連の前記秘密性保持メッセージを通信する手段は、通信する秘密性保持トランザクションメッセージを含み、このメッセージは前記ICカードおよび前記遠隔端末の前記トークン値開始プログラムにより必要とされる、前記トークン開始要求および前記関連するトークン変化ベクトルとを含む
請求項６記載の私設端末。