JP5185336B2 - 価値保持装置、価値保持方法、コンピュータプログラム及び精算システム - Google Patents

Description

本発明は、支払の請求に対する支払処理を行う価値保持装置に関し、特に、不当な支払いを防ぐ技術に関する。

近年、定期券の機能や、プリペイドカードの機能を兼ね備えた高機能なメモリカードが、電子マネー分野で利用されている。
以下、前記メモリカードを、前記電子マネー分野の一例である鉄道に関する精算システムに利用した例について説明する。

前記鉄道の利用者は、鉄道利用時には前記メモリカードを所持しておく。
前記利用者は鉄道の駅へ入退場する際に、精算に関する請求装置である改札機において、前記メモリカードを使用して改札する。

前記利用者が、定期券の機能で定められた利用可能区間外で鉄道を利用した場合には、前記改札機と前記メモリカードとが追加支払料金の精算に係る情報を通信し、前記メモリカードは、前記プリペイドカードの機能により保持している前払い金額から、前記料金の減額を行うことにより追加支払料金を精算する。

前記メモリカードと前記改札機との間の通信の際には、セキュリティ確保の必要のため、特許文献１に記載の相互認証や情報の暗号化処理、或いは、特許文献２に記載のカードの正当性を証明する処理等が行われる。

特開平１０−２２９３９２号公報 特公平８−２７８２２号公報

しかしながら、前記システムにおいては、前記改札機が、誤動作等により同一のサービスに係る料金を前記メモリカードに対し複数回請求し、前記メモリカードにおいて、複数回の精算処理が行われ、前記料金を誤徴収してしまうという問題がある。

また、前記改札機が、誤動作等により定期券の利用可能区間を誤判定した場合に、前記誤判定に基づき料金を前記メモリカードに対し請求し、前記メモリカードにおいて、前記料金を誤徴収してしまうという問題がある。

上記の問題に鑑み、本発明は、請求装置の不具合等により、不当な支払の請求が行われた場合であっても、支払を正当な支払の請求に対するもののみに制限することができる価値保持装置の提供を目的とする。

上記課題を解決するために、本発明に係る価値保持装置は、請求装置からの支払の請求に対する支払処理を行う価値保持装置であって、前記請求装置から、支払の請求を示す請求情報を受信する受信手段と、受信した請求情報が、不当な支払の請求であるか否かを判断する判断手段と、不当な支払の請求であると判断された場合に、前記請求情報を棄却する棄却手段とを備える。

本発明の価値保持装置は、上述の構成を備えることにより、前記請求装置による、支払の請求を示す請求情報が不当な支払の請求である場合には、当該請求情報を棄却するので、請求装置の不具合等により不当な支払の請求が行われた場合であっても、支払を正当な支払の請求に対するもののみに制限することができる。

また、前記支払は、通貨と同等の価値を用いて行われ、前記受信手段は、前記請求情報として、前記価値の除去を示す情報を受信してもよい。
この構成によれば、請求装置による支払の請求を示す請求情報が不当な支払の請求である場合には、当該請求情報を棄却するので、請求装置の不具合等により不当な、価値の除去の請求が行われた場合であっても、価値の除去を正当な価値の除去の請求に対するもののみに制限することができる。

また、前記判断手段は、前記受信手段が前回受信した請求情報を保持しており、当該保持している請求情報と、受信した請求情報とを用いて、当該受信した請求情報が不当な支払の請求であるか否かを判断してもよい。

この構成によれば、前回受信した請求情報と、今回受信した請求情報とを用いて、今回受信した請求情報が不当な支払の請求であるか否かを判定するので、請求情報により支払の請求が繰り返して行われた場合であっても、当該支払を、必要な一回の処理に制限し、料金の誤徴収を防ぐことができる。

また、前記判断手段は、保持している請求情報と受信した請求情報とが一致する場合に、当該受信した請求情報が不当な支払の請求であると判断してもよい。
この構成によれば、保持している請求情報と受信した請求情報とが一致する場合に、今回の請求が不当な支払の請求であると判定するので、同一の請求情報を繰り返し受信した場合であっても、当該支払を、必要な一回の処理に制限し、料金の誤徴収を防ぐことができる。

また、前記請求情報は、請求装置を識別する装置識別情報を含み、前記判断手段は、保持している請求情報に含まれる装置識別情報と、受信した請求情報に含まれる装置識別情報とが一致する場合に、当該受信した請求情報が不当な支払の請求であると判断してもよい。 この構成によれば、前回受信した請求情報に含まれる装置識別情報と、今回受信した請求情報に含まれる装置識別情報とが一致する場合に、今回受信した請求情報が不当な支払の請求であると判断するので、同一の請求装置から繰り返し請求情報を受信した場合であっても、支払を、必要な一回の処理に制限し、料金の誤徴収を防ぐことができる。

また、前記請求情報は、請求装置が設置されている場所を識別する場所識別情報を含み、前記判断手段は、保持している請求情報に含まれる場所識別情報と、受信した請求情報に含まれる場所識別情報とが一致する場合に、当該受信した請求情報が不当な支払の請求であると判断してもよい。

この構成によれば、前回受信した請求情報に含まれる場所識別情報と、今回受信した請求情報に含まれる場所識別情報とが一致する場合に、今回受信した請求情報が不当な支払の請求であると判断するので、同一の場所に設置された請求装置から繰り返し請求情報を受信した場合であっても、支払を、必要な一回の処理に制限し、料金の誤徴収を防ぐことができる。

また、前記請求情報は、当該請求情報を識別する請求識別情報を含み、前記判断手段は、保持している請求情報に含まれる請求識別情報と、受信した請求情報に含まれる請求識別情報とが一致する場合に、当該受信した請求情報が不当な支払の請求であると判断してもよい。

この構成によれば、前回受信した請求情報に含まれる指示識別情報と、今回受信した請求情報に含まれる指示識別情報とが一致する場合に、今回受信した請求情報が不当な支払の請求であると判断するので、同一の請求情報を繰り返して受信した場合であっても、支払を、必要な一回の処理に制限し、料金の誤徴収を防ぐことができる。

また、前記判断手段は、保持している請求情報と、受信した請求情報との差分が所定の範囲内である場合に、当該受信した請求情報が不当な支払の請求であると判断してもよい。

この構成によれば、保持している請求情報と、受信した請求情報との差分が所定の範囲内である場合に、今回受信した請求情報が不当な支払の請求であると判断するので、差分が所定の範囲内である請求情報を連続して受信した場合であっても、支払を、必要な一回の処理に制限し、料金の誤徴収を防ぐことができる。

また、前記請求情報は、請求に係る日時を示す日時情報を含み、前記判断手段は、保持している請求情報に含まれる日時情報が示す日時と、受信した請求情報に含まれる日時情報が示す日時との差分が所定の時間内である場合に、当該受信した請求情報が不当な支払の請求であると判断してもよい。

この構成によれば、前回受信した請求情報に含まれる日時情報と、今回受信した請求情報に含まれる日時情報との差分が所定の範囲内である場合に、今回受信した請求情報が不当な支払の請求であると判断するので、指示装置の不具合等により、短時間に連続して請求情報があった場合でも、支払を、必要な一回の処理に制限し、料金の誤徴収を防ぐことができる。

また、前記価値保持装置は、携帯端末と、メモリカードとから構成され、前記携帯端末は、前記受信手段を含み、前記メモリカードは、前記判断手段と前記棄却手段とを含んでもよい。

この構成によれば、請求情報の受信を携帯端末が行い、メモリカードが当該携帯端末から取得した当該請求情報に基づき、不当な支払の請求を検出し、支払を、必要な一回の処理に制限し、料金の誤徴収を防ぐことができる。

また、前記価値保持装置は、メモリカードであってもよい。
この構成によれば、メモリカードにおいて、請求装置からの請求情報が不当な支払の請求である場合には当該不当な請求情報を棄却し、請求装置の不具合等により、繰り返して支払の請求が行われた場合であっても、当該支払を、必要な一回の処理に制限することができる。

また、前記価値保持装置は、携帯端末であってもよい。
この構成によれば、携帯端末において、請求装置からの請求情報が不当な支払の請求である場合には当該不当な請求情報を棄却し、請求装置の不具合等により、繰り返して支払の請求が行われた場合であっても、当該支払を、必要な一回の処理に制限することができる。 本発明の価値保持方法は、請求装置からの支払の請求に対する支払処理を行う価値保持装置において用いられる価値保持方法であって、前記請求装置から、支払の請求を示す請求情報を受信する受信ステップと、受信した請求情報が不当な支払の請求であるか否かを判断する判断ステップと、不当な支払の請求であると判断された場合に、前記請求情報を棄却する棄却ステップとを含む。

この構成によれば、請求装置からの請求情報が不当な支払の請求である場合には、当該請求情報を棄却するので、請求装置の不具合等により不当な支払の請求が行われた場合であっても、支払を正当な支払の請求に対するもののみに制限することができる。

本発明のコンピュータプログラムは、請求装置からの支払の請求に対する支払処理を行う価値保持装置において用いられるコンピュータプログラムであって、前記請求装置から、支払の請求を示す請求情報を受信する受信ステップと、受信した請求情報が不当な支払の請求であるか否かを判断する判断ステップと、不当な支払の請求であると判断された場合に、前記請求情報を棄却する棄却ステップとの各ステップをコンピュータに実行させる。

この構成によれば、請求装置からの請求情報が不当な支払の請求である場合には、当該請求情報を棄却するので、請求装置の不具合等により不当な支払の請求が行われた場合であっても、支払を正当な支払の請求に対するもののみに制限することができる。

本発明の精算システムは、請求装置と、価値保持装置とからなる精算システムであって、前記請求装置は、前記価値保持装置に対し、支払の請求を示す請求情報を送信し、前記価値保持装置は、前記請求装置から、前記請求情報を受信する受信手段と、受信した請求情報が、不当な支払の請求であるか否かを判断する判断手段と、不当な支払の請求であると判断された場合に、前記請求情報を棄却する棄却手段とを備える。

この構成によれば、請求装置からの請求情報が不当な支払の請求である場合には、当該請求情報を棄却するので、請求装置の不具合等により不当な支払の請求が行われた場合であっても、支払を正当な支払の請求に対するもののみに制限することができる。

また、前記精算システムにおいて、前記価値保持装置は、メモリカードであってもよい。
この構成によれば、請求装置からの請求情報が不当な支払の請求である場合には、当該請求情報を棄却するので、請求装置の不具合等により不当な支払の請求が行われた場合であっても、支払を正当な支払の請求に対するもののみに制限することができる。

また、前記精算システムにおいて、前記価値保持装置が、携帯端末であってもよい。
この構成によれば、請求装置からの請求情報が不当な支払の請求である場合には、当該請求情報を棄却するので、請求装置の不具合等により不当な支払の請求が行われた場合であっても、支払を正当な支払の請求に対するもののみに制限することができる。

また、前記精算システムにおいて、前記価値保持装置は、携帯端末と、メモリカードとから構成され、前記携帯端末は、前記受信手段を含み、前記メモリカードは、前記判断手段と前記棄却手段とを含んでもよい。

この構成によれば、請求情報の受信を携帯端末が行い、メモリカードが当該携帯端末から取得した当該請求情報に基づき、当該請求情報が不当な支払の請求である場合には、当該請求情報を棄却するので、支払を正当な支払の請求に対するもののみに制限することができる。

また、価値保持装置において、前記支払は、ポイントを用いて行われ、前記受信手段は、前記請求情報として、前記ポイントの除去を示す情報を受信してもよい。
この構成によれば、請求装置からの、ポイントの除去を示す請求情報が不当な支払の請求である場合には、当該請求情報を棄却するので、請求装置の不具合等により不当な支払の請求が行われた場合であっても、支払を正当な支払の請求に対するもののみに制限することができる。

鉄道会社における精算システムの構成を示す図である。 メモリカードの構成を示すブロック図である。 改札装置の構成を示すブロック図である。 精算処理の全体の動作を示すフローチャートである。 相互の機器認証と鍵共有の動作を示すフローチャートである。 相互の機器認証と鍵共有の動作を示すフローチャートである。 請求内容のチェックの処理を示すフローチャートである。 精算システムの構成を示す図である。 メモリカードの構成を示すブロック図である。 レジスタ装置の構成を示すブロック図である。 精算処理の全体の動作を示すフローチャートである。

以下、本発明の実施の形態を図示例と共に説明する。
なお、「サービス」は、役務の提供のみならず、物の販売等も含めた概念であるとする。
＜１ 第１実施形態＞
１．１ 構成
本発明の第１実施形態における精算システム１について、図面を参照しながら説明する。

図１は、鉄道会社における精算システム１の構成を示す図である。
利用者１０は、乗車駅１１から、降車駅１３へ、電車１２に乗って移動するものとする。

前記鉄道会社が設置した乗車駅１１、降車駅１３及びその他の駅（図示せず）には、駅を識別する駅識別情報が予め割り振られている。
前記駅のそれぞれには、請求装置である、扉を備えた改札装置が設置されている。

前記改札装置のそれぞれは、当該改札装置が設置されている駅の前記駅識別情報と、前記改札装置を識別する装置識別情報とを保持している。
乗車駅１１には改札装置３００が設置され、降車駅１３には、改札装置２００が設置されている。

支払処理装置であるメモリカード１００は、前記鉄道会社が発行する、定期券の機能とプリペイドカードの機能を備えた非接触メモリカードである。
利用者１０は、前記鉄道会社から、所定の代金の支払いと引き換えにメモリカード１００を受け取る。

利用者１０は、電車１２を利用する場合には、メモリカード１００を所持しておく。
利用者１０は、乗車駅１１において、電車１２へ乗車するために改札内への入場を希望する場合に、メモリカード１００を、改札装置３００にかざす。

改札装置３００とメモリカード１００との間で無線通信により情報の送受信が行われ、改札装置３００が、前記情報に基づき入場許可と判断した場合に、改札装置３００が備える扉を開扉する。

前記開扉の後、利用者１０は、改札内へ入場する。
利用者１０は、電車１２に乗車し、乗車駅１１から降車駅１３へ移動する。
利用者１０は、降車駅１３において、改札内から改札外への出場を希望する場合に、メモリカード１００を、改札装置２００にかざす。

改札装置２００とメモリカード１００との間で無線通信により情報の送受信が行われ、改札装置２００が、受信した前記情報を用いて出場許可と判定した場合に、改札装置２００が備える扉を開扉する。

前記出場の際、利用者１０が、定期券の機能で乗車可能な範囲外で乗車していた場合、追加料金の支払いが発生し、メモリカード１００が前記プリペイド機能により精算処理を行う。

以後、前記精算処理について説明する。
１．１．１ メモリカード１００
メモリカード１００は、ハードウェアとしてはＣＰＵ、ＲＯＭ、ＲＡＭ等から構成され、ＲＯＭには、コンピュータプログラムが記憶され、前記ＣＰＵが、前記コンピュータプログラムに従って動作することにより、メモリカード１００は、その機能を実現する。

図２は、メモリカード１００の構成を示すブロック図である。
（通信部１０１）
通信部１０１は、改札装置２００と無線通信により、情報を送受信する。
（認証部１０２）
認証部１０２は、通信部１０１を介して、改札装置２００との間で相互の機器認証と鍵共有を行う。

なお、相互の機器認証と鍵共有の詳細については、後述する。
認証部１０２は、前記機器認証と前記鍵共有が正常に終了した場合、定期券情報管理部１０４と、カード識別情報管理部１０５とに対し、認証終了通知を送信する。
（暗号処理部１０３）
暗号処理部１０３は、通信部１０１と改札装置２００との間の通信内容の暗号化、復号化を行う。

暗号処理部１０３は、前記認証部１０２において前記機器認証と前記鍵共有が正常に終了した場合、認証部１０２からセッション鍵Ｋ’を取得する。
認証部１０２において機器認証と鍵共有が正常に終了した後に、通信部１０１が改札装置２００へ情報を送信する場合、通信部１０１は、暗号処理部１０３がセッション鍵Ｋ’を用いて前記送信すべき情報を暗号化した後、前記暗号化した情報を送信する。

また、認証部１０２において機器認証と鍵共有が正常に終了した後に、通信部１０１が改札装置２００から受信した情報は、暗号処理部１０３がセッション鍵Ｋ’を用いて復号化してから、メモリカード１００の内部処理に用いられる。

記載の簡潔化のため、以降の説明において、「通信部１０１を介して、情報を送信する」等の記載は、暗号処理部１０３が前記情報を暗号化してから、通信部１０１が当該情報を送信していることを示すものとする。

同様に、「通信部１０１を介して、情報を受信する」等の記載は、通信部１０１が情報をした後、続けて暗号処理部１０３が前記情報に対し復号化処理を行っているものとする。
（定期券情報管理部１０４）
定期券情報管理部１０４は、定期券の機能に係る利用区間情報を保持し、管理する。

定期券情報管理部１０４は、認証終了通知を受信した後で、乗車駅１１において、改札装置３００から、乗車駅１１に対応する駅識別情報である乗車駅情報を受信し、保持しているものとする。

前記利用区間情報は、区間開始情報と、区間終了情報の組からなる。
定期券情報管理部１０４は、利用者１０が降車駅１３において改札外へ出場しようとする場合、改札装置２００から、通信部１０１を介し、降車駅１３を示す駅識別情報である降車駅情報を受信する。

前記利用区間情報である前記区間開始情報、前記区間終了情報、前記乗車駅情報、前記降車駅情報は、予め定められた整数値である。
定期券情報管理部１０４は、前記降車駅情報を受信した場合、前記利用区間情報と前記乗車駅情報と前記降車駅情報とを用いて、乗車区間が、前記利用区間情報の利用区間内であるか、利用区間外であるかを判定する。

ここで、前記乗車駅情報、並びに降車駅情報が、前記区間開始情報以上かつ前記区間終了情報以下である場合を、前記利用区間内とする。
前記乗車駅情報、又は前記降車駅情報のいずれかが、前記区間開始情報未満あるいは前記区間終了情報より大きい場合を、前記利用区間外とする。

例えば、前記区間開始情報が１０であり、前記区間終了情報が２０であるとする。
前記乗車駅１１の前記乗車駅情報が１２であり、前記降車駅１３の前記降車駅情報が１５である場合、定期券情報管理部１０４は、利用区間内であると判定する。

また、前記乗車駅１１の前記乗車駅情報が１２であり、前記降車駅１３の前記降車駅情報が２２である場合、定期券情報管理部１０４は、前記利用区間外であると判定する。
定期券情報管理部１０４は、前記判定において、乗車区間を前記利用区間内と判定した場合、区間内利用を示す区間利用情報を支払状態管理部１０８に対し送信する。

定期券情報管理部１０４は、前記判定において、乗車区間を前記利用区間外と判定した場合、区間外利用を示す区間利用情報を支払状態管理部１０８に対し送信する。
また、定期券情報管理部１０４は、認証部１０２から前記認証終了通知を受信した場合、前記利用区間情報と、前記乗車駅情報とを、通信部１０１を介して、改札装置２００に送信する。
（カード識別情報管理部１０５）
カード識別情報管理部１０５は、メモリカードを一意に識別するカード識別情報を保持する。

カード識別情報管理部１０５は、認証部１０２から前記認証終了通知を受信する。
カード識別情報管理部１０５は、前記認証終了通知を受信した場合に、通信部１０１を介し改札装置２００に対し、前記カード識別情報を送信する。

また、カード識別情報管理部１０５は、改札装置２００から通信部１０１を介して、カード特定情報を受信する。
前記カード特定情報は、改札装置２００が料金の請求先と認識しているカードを示すカード識別情報である。

カード識別情報管理部１０５は、前記カード特定情報を受信した場合、前記カード特定情報と、前記カード識別情報が一致するか否か判定する。
カード識別情報管理部１０５は、前記カード特定情報と前記カード識別情報とが一致した場合、正常通信を示す通信情報を支払状態管理部１０８に送信し、一致しなかった場合は、他のメモリカードへの請求を受信したことになるので、誤通信を示す前記通信情報を支払状態管理部１０８に対し送信する。
（改札装置管理部１０６）
改札装置管理部１０６は、改札装置２００から通信部１０１を介して前記装置識別情報を受信する。

改札装置管理部１０６は、前回受信した前記装置識別情報を、装置履歴情報として保持する。
但し、前記装置履歴情報の内容は、前記定期券管理部が、前記乗車駅情報を受信した場合に、消去される。

改札装置管理部１０６は、前記装置識別情報を受信した場合に、前記装置識別情報と、前記装置履歴情報とが一致するか否かを判定する。
改札装置管理部１０６は、前記装置識別情報と、前記装置履歴情報とが一致した場合、同一の改札装置と連続して通信していると判断し、支払状態管理部１０８に対し誤通信を示す前記通信情報を送信する。

改札装置管理部１０６は、前記装置識別情報と、前記装置履歴情報とが一致しなかった場合、支払状態管理部１０８に対し、前記正常通信を示す前記通信情報を送信する。
（日時情報管理部１０７）
日時情報管理部１０７は、定期券機能に係る利用期間情報を保持する。

前記利用期間情報は、定期券機能の利用開始許可の日時を示す開始日時情報と、利用終了の日時を示す終了日時情報との２つの数値の組である。
前記開始日時情報は、利用開始許可の日時が２００３年２月１０日１２時１０分３０秒である場合、２００３０２１０１２１０３０である。

同様に前記終了日時情報は、利用終了の日時が２００３年３月１０日１２時１０分３０秒である場合、２００３０３１０１２１０３０である。
日時情報管理部１０７は、利用者１０が降車駅１３において改札外へ出場しようとする場合、改札装置２００から、前記機器認証と鍵共有が終了した時の日時である改札日時情報を受信する。

前記改札日時情報も、前記開始日時情報、或いは前記終了日時情報と同様のフォーマットで表される。
日時情報管理部１０７は、前回受信した改札日時情報を、日時履歴情報として保持する。

日時情報管理部１０７は、前記改札日時情報を受信した場合に、前記改札日時情報と前記利用期間情報とを用いて、前記改札日時情報が、前記利用期間情報の利用期間内であるか、利用期間外であるかを判定する。

日時情報管理部１０７は、前記改札日時情報が、前記開始日時情報以上かつ前記終了日時情報以下である場合、前記利用期間内と判定し、前記改札日時情報が、前記開始日時情報未満あるいは前記終了日時情報より大きい場合、利用期間外と判定する。

日時情報管理部１０７は、前記判定において利用期間内と判定した場合、期間内利用を示す期間利用情報を支払状態管理部１０８に送信する。
日時情報管理部１０７は、前記判定において利用期間外と判定した場合、期間外利用を示す前記期間利用情報を支払状態管理部１０８に送信し、更に、日時情報管理部１０７は、前記改札日時情報と、前記日時履歴情報とのそれぞれが示す日時の差が所定の５秒以下であるか否かを判定する。

日時情報管理部１０７は、前記判定において５秒以下であった場合、改札装置２００の誤動作等により、同一の改札装置と連続して通信していると判断し、誤動作を示す前記動作情報を支払状態管理部１０８に送信する。

日時情報管理部１０７は、前記判定において５秒より大きいと判定した場合、正常動作を示す前記動作情報を支払状態管理部１０８に送信する。
（支払状態管理部１０８）
支払状態管理部１０８は、定期券情報管理部１０４から前記区間利用情報を受信し、カード識別情報管理部１０５と改札装置情報管理部１０６とのそれぞれから前記通信情報を受信し、日時情報管理部１０７から前記期間利用情報と、前記動作情報を受信する。

支払状態管理部１０８は、前記通信情報が誤通信を表すか、前記動作情報が前記誤動作を表す場合であって、改札装置からの料金請求があった場合は、通信部１０１を介して改札装置２００に対し、誤請求を示す支払状態情報を送信する。

さらに、前記区間利用情報と前記期間利用情報が、それぞれ区間内利用と期間内利用を表し、かつ、改札装置からの料金請求があった場合は、通信部１０１を介して改札装置２００に対し、誤請求を示す支払状態情報を送信する。

前記支払状態情報は、支払可、支払不可、誤請求の何れかを示す情報である。
前記受信した全ての情報から正常請求と判断した場合、支払状態管理部１０８は、支払可或いは支払不可を示す支払能力情報を要求するために残金額管理部１０９に対し、能力情報要求を送信する。

支払状態管理部１０８は、残金額管理部１０９から前記支払能力情報を受信した場合、前記支払能力情報が支払可を示す場合、支払可を示す支払状態情報を通信部１０１を介して改札装置２００に送信し、前記支払能力情報が支払不可を示す場合、支払不可を示す支払状態情報を通信部１０１を介して改札装置２００に送信する。
（残金額管理部１０９）
残金額管理部１０９は、プリペイドカードの機能に係る残金額を表す残金額情報を保持する。

ここで、前記プリペイドカードの機能について、補足説明する。
利用者１０は、前払い金額を前記鉄道会社に予め支払う。
前記鉄道会社は、支払われた前記前払い金額に相当する情報を、前記残金額情報に加算する。

利用者１０が前記利用区間情報で示される範囲外において電車１２を利用した場合、残金額管理部１０９は、当該範囲外での利用に対する利用金額を示す利用金額情報を、改札装置２００から通信部１０１を介して受信する。

また、残金額管理部１０９は、支払状態管理部１０８から、前記能力情報要求を受信する。
残金額管理部１０９は、前記能力情報要求を受信した場合、前記利用金額情報が示す金額を、前記残金額情報が示す金額情報で支払可能であるか否かを判定する。

残金額管理部１０９は、前記利用金額情報が示す金額が、前記残金額情報が示す金額以下である場合、支払可と判定し、前記利用金額情報が示す金額が、前記残金額情報が示す金額よりも大きい場合、支払不可と判定する。

残金額管理部１０９は、前記判定において支払可と判定した場合、支払可を示す前記支払能力情報を支払状態管理部１０８に送信し、前記判定において支払不可と判定した場合、支払不可を示す前記支払能力情報を支払状態管理部１０８に送信する。

また、残金額管理部１０９は、改札装置２００から通信部１０１を介して、支払指示を受信する。
残金額管理部１０９は、前記支払指示を受信した場合、前記残金額情報が示す金額から前記利用金額情報に示す金額を減額した情報を前記残金額情報として保持した後、改札装置２００に対し、通信部１０１を介して、支払済通知を送信する。
１．１．２ 改札装置２００
改札装置２００は、ハードウェアとしてはＣＰＵ、ＲＯＭ、ＲＡＭ等から構成され、ＲＯＭには、コンピュータプログラムが記憶され、前記ＣＰＵが、前記コンピュータプログラムに従って動作することにより、改札装置２００は、その機能を実現する。

図３は、改札装置２００の構成を示すブロック図である。
（通信部２０１）
通信部２０１は、メモリカード１００と無線通信により、情報を送受信する。
（認証部２０２）
認証部２０２は、通信部２０１を介して、メモリカード１００との間で相互の機器認証と鍵共有を行う。

なお、相互の機器認証と鍵共有の詳細については、後述する。
認証部２０２は、前記機器認証と前記鍵共有が正常に終了した場合、改札情報管理部２０４と、時計部２０５とに対し、認証終了通知を送信する。
（暗号処理部２０３）
暗号処理部２０３は、通信部２０１と、メモリカード１００の間の通信内容の暗号化、復号化を行う。

暗号処理部２０３は、前記認証部２０２における前記機器認証と前記鍵共有が正常に終了した場合、認証部２０２から、セッション鍵Ｋを取得する。
認証部２０２において機器認証と鍵共有が正常に終了した後に、通信部２０１がメモリカード１００へ情報を送信する場合、必ず暗号処理部２０３がセッション鍵Ｋを用いて前記情報を暗号化し、前記暗号化した情報を通信部２０１が送信する。

また、認証部２０２において機器認証と鍵共有が正常に終了した後に、通信部２０１がメモリカード１００から受信した情報は、暗号処理部２０３がセッション鍵Ｋを用いて復号化してから、前記復号化した情報を改札装置２００の内部処理に用いる。

認証部２０２において機器認証と鍵共有が正常に終了した後は、メモリカード１００と改札装置２００との間の通信は、前述のように、全て暗号化した情報を用いて行われる。
記載の簡潔化のため、以降の説明において、「通信部２０１を介して、情報を送信する」等の記載は、暗号処理部２０３が前記情報を暗号化してから、通信部２０１が当該情報を送信していることを示すものとする。

同様に、「通信部２０１を介して、情報を受信する」等の記載は、通信部２０１が情報をした後、続けて暗号処理部２０３が前記情報に対し復号化処理を行っているものとする。
（改札情報管理部２０４）
改札情報管理部２０４は、前記駅識別情報と、前記装置識別情報とを予め保持している。

改札情報管理部２０４は、認証部２０２から前記認証終了通知を受信した場合、前記駅識別情報と前記装置識別情報とを通信部２０１を介してメモリカード１００に送信する。
（時計部２０５）
時計部２０５は、日時を刻む時計である。

時計部２０５は、認証部２０２から前記認証終了通知を受信した場合、前記認証終了通知を受信した時に刻んだ日時である前記改札日時情報を、通信部２０１を介してメモリカード１００に送信する。
（料金請求部２０６）
料金請求部２０６は、メモリカード１００に対し、利用金額情報の送信を行う。

料金請求部２０６は、予め、２つの駅識別情報で表される駅間で電車を利用した場合の利用金額を利用金額表として保持している。
前記利用金額表は、前記２つの駅識別情報と前記利用金額とを対応づけたものである。

また、前記駅識別情報、前記利用情報は整数値である。
前記料金金額表は、例えば対応づけられた３と１０と２００という３つの数値であり、駅識別情報が３である駅から駅識別情報が１０である駅まで電車を利用した場合の利用金額は２００円であることを示している。

料金請求部２０６は、メモリカード１００から、前記利用区間情報と、前記利用期間情報と、前記乗車駅情報とを受信する。
料金請求部２０６は、前記改札日時情報が示す日時が、前記利用期間情報が示す範囲の範囲外であるか否か判定する。

料金請求部２０６は、前記改札日時情報が示す日時が、前記利用期間情報が示す範囲の範囲外であると判定した場合、前記乗車駅情報で示す駅と、前記降車駅情報で示す駅の間で電車を利用した場合の利用金額を示す利用金額情報を、通信部２０１を介して、メモリカード１００に送信する。

料金請求部２０６は、前記改札日時情報が示す日時が、前記利用期間情報が示す範囲の範囲内であった場合、改札情報管理部２０４が保持する駅識別情報と、前記利用区間情報とを用いて、前記駅識別情報が、利用区間外であるか否かを判定する。

料金請求部２０６は、前記判定において利用区間外であると判定した場合、利用者１０が支払うべき利用金額を前記利用金額表から算出し、メモリカード１００に対し通信部２０１を介して、利用者１０が支払うべき利用料金に対応する前記利用金額情報を、通信部２０１を介して、メモリカード１００に対し送信する。

また、料金請求部２０６は、前記判定において、前記利用区間内であると判定した場合、扉制御部２０７に対し、開扉指示を送信する。
（扉制御部２０７）
扉制御部２０７は、前記扉の開閉の制御を行う。

扉制御部２０７は、料金請求部２０６、または、支払管理部２０８から、開扉指示或いは閉扉指示を受信する。
扉制御部２０７は、前記開扉指示を受信した場合、前記扉が閉状態であった場合に、扉を開ける。

扉制御部２０７は、前記閉扉指示を受信した場合、前記扉が開状態であった場合に、扉を閉める。
（支払管理部２０８）
支払管理部２０８は、メモリカード１００から、前記利用金額に関する支払可、支払不可、誤請求の３つの状態のいずれかを示す前記支払状態情報を受信する。

支払管理部２０８は、前記支払状態情報が支払可を示す場合、メモリカード１００に対し通信部２０１を介して、支払指示を送信する。
支払管理部２０８は、前記支払状態情報が支払不可を示す場合、扉制御部２０７に対し、閉扉指示を送信する。

支払管理部２０８は、前記支払状態情報が誤請求を示す場合、処理を終了する。
＜１．２ 動作＞
図４は、前記精算処理の全体の動作を示すフローチャートである。

改札装置２００と、メモリカード１００は、相互の機器認証と鍵共有を行う（ステップＳ１０１）。
ステップＳ１０１の詳細動作の説明として、改札装置２００の認証部２０２と、メモリカード１００の認証部１０２との間で行われる相互の機器認証及び鍵共有の動作について、図５〜図６に示すフローチャートを用いて説明する。

改札装置２００の認証部２０２は、著作権保護ライセンサ（ＣＡ）の公開鍵ＰＫ−ＣＡ、秘密鍵ＳＫ−Ａ及び公開鍵証明書Ｃｅｒｔ−Ａを予め記憶しており、楕円曲線Ｅによる暗号処理部を有している。

また、メモリカード１００の認証部１１２は、著作権保護ライセンサの公開鍵ＰＫ−ＣＡ、秘密鍵ＳＫ−ｉ及び公開鍵証明書Ｃｅｒｔ−ｉを予め記憶しており、楕円曲線Ｅによる暗号処理部を有している。

また、Ｓｉｇ（ＳＫ、Ｄ）は、秘密鍵ＳＫを用いてデータＤにデジタル署名を施す演算である。
また、Ｇは、楕円曲線Ｅ上のベースポイントであり、本認証システムに固有の値である。

また、「＊」は、楕円曲線Ｅ上の乗算を示す演算子である。例えば、「ｘ＊Ｇ」は、楕円曲線Ｅ上の点Ｇをｘ個、加算する演算である。
「｜｜」は、結合を示す演算子であり、例えば、「Ａ｜｜Ｂ」は、「Ａ」と「Ｂ」との結合結果である。

以下において、「認証部２０２は、認証部１０２へ情報を出力する」及び「認証部１０２は、認証部２０２へ情報を出力する」などは、簡略化した記載であり、それぞれ、「認証部２０２は、通信部２０１及び通信部１０１を介して、認証部１０２へ情報を出力する」及び「認証部１０２は、通信部１０１及び通信部２０１を介して、認証部２０２へ情報を出力する」を意味するものである。

認証部１０２は、乱数ｙを生成し（ステップＳ２０１）、生成した乱数ｙ及び公開鍵証明書Ｃｅｒｔ−ｉを認証部２０２へ出力する（ステップＳ２０２）。
認証部２０２は、乱数ｙ及び公開鍵証明書Ｃｅｒｔ−ｉを受け取り（ステップＳ２０２）、ＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｉｏｎ Ｌｉｓｔ）を用いて、メモリカード１００の公開鍵証明書Ｃｅｒｔ−ｉが無効化されていないかどうかを確認する（ステップＳ２０３）。
無効化されている場合（ステップＳ２０４）、処理を終了する。

無効化されていない場合（ステップＳ２０４）、認証部２０２は、公開鍵ＰＫ−ＣＡを用いて公開鍵証明書Ｃｅｒｔ−ｉの検証を行う（ステップＳ２０５）。
検証に失敗すると（ステップＳ２０６）、認証部２０２は、処理を終了する。

検証に成功すると（ステップＳ２０６）、認証部２０２は、乱数ｘを生成し（ステップＳ２０７）、生成した乱数ｘ及び公開鍵証明書Ｃｅｒｔ−Ａを認証部１０２へ出力する（ステップＳ２０８）。

認証部１０２は、認証部２０２から乱数ｘ及び公開鍵証明書Ｃｅｒｔ−Ａを受け取る（ステップＳ２０８）。
次に、認証部１０２は、ＣＲＬを用いて、改札装置２００の公開鍵証明書Ｃｅｒｔ−Ａが無効化されていないかどうかを確認する（ステップＳ２０９）。無効化されている場合（ステップＳ２１０）、認証部１０２は、処理を終了する。

無効化されていない場合（ステップＳ２１０）、認証部１０２は、公開鍵ＰＫ−ＣＡを用いて公開鍵証明書Ｃｅｒｔ−Ａの検証を行う（ステップＳ２１１）。
検証に失敗すると（ステップＳ２１２）、認証部１０２は、処理を終了する。

検証に成功すると（ステップＳ２１２）、認証部１０２は、乱数ｙ’を生成し（ステップＳ２１３）、署名データＳ１＝Ｓｉｇ（ＳＫ−ｉ、（ｙ’＊Ｇ）｜｜ｘ）を生成し（ステップＳ２１４）、ｙ’＊Ｇ及びＳ１を認証部２０２へ出力する（ステップＳ２１５）。

認証部２０２は、認証部１０２からｙ’＊Ｇ及びＳ１を受け取る（ステップＳ２１５）。
次に、認証部２０２は、Ｓ１の検証を行う（ステップＳ２１６）。

検証に失敗した場合は（ステップＳ２１７）、認証部２０２は、処理を終了する。
検証に成功した場合（ステップＳ２１７）、認証部２０２は、乱数ｘ’を生成し（ステップＳ２１８）、署名データＳ０＝Ｓｉｇ（ＳＫ−Ａ、（ｘ’＊Ｇ）｜｜ｙ）を生成し（ステップＳ２１９）、ｘ’＊Ｇ及びＳ０を認証部１０２へ出力する（ステップＳ２２０）。

認証部１０２は、認証部２０２からｘ’＊Ｇ及びＳ０を受け取り（ステップＳ２２０）、次に、認証部１０２は、Ｓ０の検証を行う（ステップＳ２２１）。検証に失敗すると（ステップＳ２２２）、認証部１０２は、処理を終了する。

検証に成功すると（ステップＳ２２２）、認証部１０２は、セッション鍵Ｋ’＝ｙ’（ｘ’＊Ｇ）を算出する（ステップＳ２２３）。
一方、認証部２０２は、認証部２０２は、セッション鍵Ｋ＝ｘ’（ｙ’＊Ｇ）を算出する（ステップＳ２２４）。

以上のようにして、改札装置２００及びメモリカード１００の間の相互の機器認証と鍵共有とが行われる。
セッション鍵Ｋ及びＫ’は、それぞれ改札装置２００及びメモリカード１００において共有される同一の値を有する鍵である。

ステップＳ１０１の認証が成功した場合、メモリカード１００は、前記利用区間情報と、前記利用期間情報と、前記カード識別情報と、前記乗車駅情報とを改札装置２００に対し送信する（ステップＳ１０２）。

ステップＳ１０１の認証が成功した場合、改札装置２００は、前記降車駅情報と、前記装置識別情報と、前記改札日時情報とをメモリカード１００に対し送信する（ステップＳ１０３）。

改札装置２００は、受信した前記利用区間情報と、前記利用期間情報と、前記乗車駅情報とを用いて、前記利用料金の追加が必要であるか否かを判定する（ステップＳ１０４）。

改札装置２００は、前記利用料金の追加が必要でないと判定した場合、ステップＳ１１３に進む。
改札装置２００は、前記利用料金の追加が必要であると判定した場合、メモリカード１００に対し、請求として前記利用金額情報と、前記カード特定情報とを送信する（ステップＳ１０５）。

メモリカード１００は、前記利用金額情報と、前記カード特定情報とを受信し、請求内容のチェックを行う（ステップＳ１０６）。
図７は、ステップＳ１０６の内容を詳細に説明するフローチャートである。

カード識別情報管理部１０５は、前記カード特定情報が前記カード識別情報と一致するか否かを判定する（ステップＳ３０１）。
カード識別情報管理部１０５が、前記カード特定情報が前記カード識別子とが一致しないと判定した場合、ステップＳ３０９に進む。

カード識別情報管理部１０５が、前記カード特定情報が前記カード識別子とが一致すると判定した場合、ステップＳ３０２に進む。
改札装置情報管理部１０６は、前記装置識別情報が、前記装置履歴情報と一致するか否かを判定する（ステップＳ３０２）。

改札装置情報管理部１０６は、前記装置識別情報が、前記装置履歴情報と一致すると判定した場合、ステップＳ３０９に進む。
改札装置情報管理部１０６は、前記装置識別情報が、前記装置履歴情報と一致しないと判定した場合、ステップＳ３０３に進む。

日時情報管理部１０７は、前記改札日時情報と、前記日時履歴情報が表す日時の差分が、所定の値である５秒以内であるか否かを判定する（ステップＳ３０３）。
日時情報管理部１０７が前記差分が５秒を以内を表す値であると判定した場合、ステップＳ３０９に進む。

日時情報管理部１０７が前記差分が５秒を以内を表す値であると判定しなかった場合、ステップＳ３０４に進む。
定期券情報管理部１０４は、前記駅識別情報が前記利用区間情報の利用区間内であるか否かを判定する（ステップＳ３０４）。

定期券情報管理部１０４が、前記判定において、利用区間内であると判定した場合、利用期間内であるか否か判定する（ステップＳ３０５）。
定期券情報管理部１０４が、前記判定において利用期間内であると判定した場合、ステップＳ３０６へ進む。

定期券情報管理部１０４が、前記判定において利用期間外であると判定した場合、ステップＳ３０９へ進む。
定期券情報管理部１０４が、前記判定において、利用区間内でないと判定した場合、ステップＳ３０６へ進む。

残金額管理部１０９は、前記利用料金を支払可であるか支払不可であるかを判定する（ステップＳ３０６）。
残金額より大きいと判定した場合、ステップＳ３０８へ進む。

残金額以下であると判定した場合、ステップＳ３０７へ進む。
メモリカード１００は、支払可を示す前記支払状態情報を生成する（ステップＳ３０７）。

メモリカード１００は、支払不可を示す前記支払状態情報を生成する（ステップＳ３０８）。
メモリカード１００は、誤徴収を示す前記支払状態情報を生成する（ステップＳ３０９）。

メモリカード１００は、前記支払状態情報を改札装置２００に対し送信する（ステップＳ１０７）。
改札装置２００は、前記支払状態情報を受信する（ステップＳ１０８）。

改札装置２００は、前記受信した支払状態情報が誤請求を示す場合、処理を終了する。
改札装置２００は、前記支払状態情報が、支払不可を示す場合、ステップＳ１１２に進む。

改札装置２００は、前記支払状態情報が、支払可を示す場合、前記支払指示をメモリカード１００に送信する（ステップＳ１０９）。
メモリカード１００は、前記支払指示を受信する（ステップＳ１１０）。

メモリカード１００は、残金額情報から、前記利用料金を減額する。
メモリカード１００は、前記支払済通知を改札装置２００に対し送信する（ステップＳ１１１）。

改札装置２００は、備えている前記扉を閉扉し、処理を終了する（ステップＳ１１２）。
改札装置２００は、備えている前記扉を開扉し、処理を終了する（ステップＳ１１３）。
＜２ 第２実施形態＞
＜２．１ 構成＞
本発明の第２実施形態における精算システム２について、図面を参照しながら説明する。

図８は、精算システム２の構成を示す図である。
利用者５０は、メモリカード５００を所持し、店舗６０において買い物を行う。
メモリカード５００は、店舗６０の運営会社が発行した、プリペイドカードの機能を備える非接触メモリカードである。

利用者５０は、購入を希望する物品を、店舗６０内の精算場所に持っていく。
前記精算場所には、レジスタ装置６００が設置され、店員７０が、レジスタ装置６００を操作する。

レジスタ装置６００は、レジスタ装置を識別する装置識別情報を保持している。
店員７０は、前記物品に付与されているバーコードを、レジスタ装置６００が備えるバーコードリーダーに読み取らせる。

店員７０は、レジスタ装置６００が備える計算指示ボタンを押す。
レジスタ装置６００は、前記利用者５０が前記物品と引き換えに払うべき支払金額を計算する。

レジスタ装置６００は、前記支払金額の請求を示す請求情報をメモリカード５００に無線通信を用いて送信する。
メモリカード５００は、受信した前記請求情報に基づき、前記プリペイドカードの機能を用いて、前記支払金額の精算処理を行う。

前記精算処理において、レジスタ装置６００からメモリカード５００に送信された支払金額の請求が、再度の請求である再請求の場合には、メモリカード５００は、前記支払金額の請求を棄却する。

以下、前記精算処理について、詳細に説明する。
２．１．１ メモリカード５００
メモリカード５００は、ハードウェアとしてはＣＰＵ、ＲＯＭ、ＲＡＭ等から構成され、ＲＯＭには、コンピュータプログラムが記憶され、前記ＣＰＵが、前記コンピュータプログラムに従って動作することにより、メモリカード５００は、その機能を実現する。

図９は、メモリカード５００の構成を示すブロック図である。
（通信部５０１）
通信部５０１は、レジスタ装置６００と無線通信により、情報を送受信する。
（認証部５０２）
認証部５０２は、通信部５０１を介して、レジスタ装置６００との間で相互の機器認証と鍵共有を行う。

前記相互の機器認証と鍵共有については、前述のステップＳ１０１と同じ動作であるので説明を省略する。
また、前記相互の機器認証と鍵共有の処理を表す図は、図５において改札装置２００をレジスタ装置６００に置き換え、メモリカード１００をメモリカード５００と置き換えた図で表すことが出来る。

認証部５０２は、前記機器認証と鍵共有が正常に終了した場合、カード識別情報管理部５０４に、認証終了通知を送信する。
（暗号処理部５０３）
暗号処理部５０３は、通信内容の暗号化、復号化を行う。

暗号処理部５０３は、前記認証部５０２における機器認証と鍵共有が正常に終了した場合、認証部５０２から、セッション鍵Ｋ’を取得する。
認証部５０２において機器認証と鍵共有が正常に終了した後は、メモリカード５００とレジスタ装置６００との間の通信は、全て暗号化した情報で行われる。

認証部５０２において機器認証と鍵共有が正常に終了した後に、通信部５０１がレジスタ装置６００へ情報を送信する場合、通信部５０１は、暗号処理部５０３がセッション鍵Ｋ’を用いて前記情報を暗号化してから、前記暗号化した情報を送信する。

また、認証部５０２において機器認証と鍵共有が正常に終了した後に、通信部５０１がレジスタ装置６００から受信した情報は、暗号処理部５０３がセッション鍵Ｋ’を用いて復号化してから、メモリカード５００の内部処理に用いられる。
（カード識別情報管理部５０４）
カード識別情報管理部５０４は、メモリカードを一意に識別するカード識別情報を保持する。

カード識別情報管理部５０４は、認証部５０２から前記認証終了通知を受信する。
カード識別情報管理部５０４は、前記認証終了通知を受信した場合に、通信部５０１を介しレジスタ装置６００に対し、前記カード識別情報を送信する。

また、カード識別情報管理部５０４は、レジスタ装置６００から通信部５０１を介して、カード特定情報を受信する。
前記カード特定情報は、レジスタ装置６００が前記支払金額の請求先と認識しているカードを示すカード識別情報である。

カード識別情報管理部５０４は、前記カード特定情報を受信した場合、前記カード特定情報と、前記カード識別情報が一致するか否か判定する。
カード識別情報管理部５０４は、前記カード特定情報と前記カード識別情報とが一致した場合、情報管理部５０５に、判定指示を送信し、一致しなかった場合、他のメモリカードへの請求であるので誤請求を示す支払状態情報を通信部５０１を介して、レジスタ装置６００に送信する。

前記支払状態情報は、誤請求、支払済、支払不可の何れかを示す情報である。
（情報管理部５０５）
情報管理部５０５は、レジスタ装置６００から通信部５０１を介して、前記装置識別情報と、請求識別情報と、請求日時情報と、前記利用料金を受信する。

前記請求識別情報は、前記請求情報を識別するための情報である。
前記請求日時情報は、レジスタ装置６００が保持する時計が、前記請求情報を送信開始する時に刻んだ日時を示す情報である。

情報管理部５０５は、カード識別情報管理部５０４から前記判定指示を受信した場合、前記装置識別情報と、前記請求識別情報と、前記請求日時情報とを用いて、前記請求情報が示す前記支払金額の請求が、再度の請求であるか否かを判定する。

例えば、利用者５０が２００円のパンを購入する場合、店員７０の操作に基づきレジスタ装置６００は、メモリカード５００へ支払料金として２００円を請求するための請求情報を送信する。

前記請求情報は、正常請求である。
メモリカード５００は、残金額管理部５０６が管理する残金額から２００円分を減額する。

前記減額の後、レジスタ装置６００が、誤動作等により、前記パンの購入に関する請求情報をメモリカード５００に送信した場合、メモリカード５００は、前記請求情報が、再度の請求であると判定する。

情報管理部５０５が行う前記再度の請求の判定について説明する。
情報管理部５０５は、前回受信した装置識別情報を装置履歴情報として保持し、前回受信した請求識別情報を請求履歴情報として保持し、前回受信した請求日時情報を日時履歴情報として保持する。

情報管理部５０５は、下記（１）或いは（２）の場合に、前記請求情報による請求が、再度の請求であると判定する。
（１）前記装置識別情報と前記装置履歴情報が一致し、かつ、前記請求日時情報と、前記日時履歴情報のそれぞれが示す日時の差が所定の値である５秒以下である場合。

（２）前記請求識別情報と前記請求履歴情報が一致し、かつ、前記請求日時情報と、前記日時履歴情報のそれぞれが示す日時の差が所定の値である５秒以下である場合。
情報管理部５０５は、前記再度の請求であると判定した場合、前記誤請求を表す支払状態情報を、通信部５０１を介し、レジスタ装置６００に送信する。

情報管理部５０５は、前記再度の請求でないと判定した場合、支払指示情報を、残金額管理部５０６に送信する。
（残金額管理部５０６）
残金額管理部５０６は、プリペイドカードの機能に係る残金額を表す残金額情報を保持する。

利用者５０は、前払い金額を前記運営会社に予め支払う。
前記運営会社は、支払われた前記前払い金額に相当する情報を、前記残金額情報に加算する。

残金額管理部５０６は、レジスタ装置６００から通信部５０１を介して、前記支払金額を示す支払金額情報を受信する。
残金額管理部５０６は、前記支払金額情報が示す金額が前記残金額以下である場合、前記残金額情報から前記支払金額情報に相当する金額分を減額し、支払済を示す前記支払状態情報を通信部５０１を介してレジスタ装置６００に対し送信する。

残金額管理部５０６は、前記支払金額情報が示す金額が前記残金額より大きい場合、支払不可を示す前記支払状態情報を通信部５０１を介してレジスタ装置６００に対し送信する。
２．１．２ レジスタ装置６００
図１０は、レジスタ装置６００の構成を示すブロック図である。

レジスタ装置６００は、ハードウェアとしてはＣＰＵ、ＲＯＭ、ＲＡＭ等から構成され、ＲＯＭには、コンピュータプログラムが記憶され、前記ＣＰＵが、前記コンピュータプログラムに従って動作することにより、レジスタ装置６００は、その機能を実現する。
（バーコードリーダー６０１）
バーコードリーダー６０１は、前記物品に付された、物品の代金情報が示されたバーコードを読み取り、読み取った前記代金情報を料金請求部６０３へ送信する。
（計算指示取得部６０２）
計算指示取得部６０２は、計算指示ボタンを備える。

計算指示取得部６０２は、店員７０が前記計算指示ボタンを押下することにより指示する、計算指示を取得する。
計算指示取得部６０２は、前記計算指示を取得した場合、料金請求部６０３に対し、計算指示を送信する。
（料金請求部６０３）
料金請求部６０３は、バーコードリーダー６０１から、前記代金情報を受信する。

料金請求部６０３は、計算指示取得部６０２から、前記計算指示を受信する。
料金請求部６０３は、前記計算指示を受信した場合、バーコードリーダー６０１から受信した代金情報が複数ある場合は、それぞれの前記代金情報が表す金額を合計し、前記合計した金額を示す前記支払金額情報を生成する。

料金請求部６０３は、前記受信した代金情報が１つであった場合は、前記代金情報と同内容の情報である前記支払金額情報を生成する。
料金請求部６０３は、前記支払金額情報を生成した場合に、認証部６０５に認証指示を送信する。

料金請求部６０３は、前記支払金額情報を生成した場合、前記生成した支払金額情報を識別するための請求識別情報を生成する。
料金請求部６０３は、認証部６０５から、認証終了通知を受信した場合、前記認証終了通知を受信した時に時計部６０８が刻んだ日時である請求日時情報と、前記支払金額情報と、前記請求識別情報とを通信部６０４を介しメモリカード５００に送信する。
（通信部６０４）
通信部６０４は、メモリカード５００と無線通信により、情報を送受信する。
（認証部６０５）
認証部６０５は、通信部６０４を介して、メモリカード５００との間で相互の機器認証と鍵共有を行う。

なお、相互の機器認証と鍵共有の詳細については、後述する。
認証部６０５は、前記機器認証と前記鍵共有が正常に終了した場合、料金請求部６０３と、識別情報管理部６０７とに対し、認証終了通知を送信する。
（暗号処理部６０６）
暗号処理部６０６は、通信内容の暗号化、復号化を行う。

暗号処理部６０６は、前記認証部６０５における機器認証と鍵共有が正常に終了した場合、認証部６０５から、セッション鍵Ｋを取得する。
認証部６０５において機器認証と鍵共有が正常に終了した後は、メモリカード５００とレジスタ装置６００との間の通信は、全て暗号化した情報で行われる。

認証部６０５において機器認証と鍵共有が正常に終了した後に、通信部６０４がメモリカード５００へ情報を送信する場合、必ず暗号処理部６０６がセッション鍵Ｋを用いて前記情報を暗号化し、前記暗号化した情報を通信部６０４が送信する。

また、認証部６０５において機器認証と鍵共有が正常に終了した後に、通信部６０４がメモリカード５００から受信した情報は、暗号処理部６０６がセッション鍵Ｋを用いて復号化してから、前記復号化した情報をレジスタ装置６００の内部処理に用いる。
（識別情報管理部６０７）
識別情報管理部６０７は、各レジスタ装置を識別するために予め割り振られた前記装置識別情報を保持している。

識別情報管理部６０７は、認証部６０５から前記認証終了通知を受信した場合、前記装置識別情報を通信部６０４を介してメモリカード５００に送信する。
（時計部６０８）
時計部６０８は、日時を刻む時計である。
（表示部６０９）
表示部６０９は、液晶表示装置であり、文字等を表示する。

表示部６０９は、通信部６０４を介してメモリカード５００から、前記支払状態情報を受信し、前記支払状態情報に基づき表示を行う。
例えば、表示部６０９は、受信した前記支払状態情報が、支払済を示す場合、「支払完了」と表示し、前記支払状態情報が支払不可を示す場合、「プリペイドカード料金不足」と表示する。

また、メモリカードとの間の通信エラー等エラーステータスや、支払処理の進行度合を示す棒グラフ等と、精算処理に関する情報を表示してもよい。
＜２．２ 動作＞
図１１は、精算処理の全体の動作を示すフローチャートである。

利用者５０は、メモリカード５００を所持し、店舗６０において買い物を行う（ステップＳ５０１）。
店員７０は、前記物品に付与されているバーコードを、レジスタ装置６００が備えるバーコードリーダーに読み取らせる。

店員７０は、レジスタ装置６００が計算指示ボタンを押す。
レジスタ装置６００は、前記利用者５０が前記物品と引き換えに払うべき前記支払金額を計算する。

利用者５０は、メモリカード５００を、レジスタ装置６００に対しかざす。
レジスタ装置６００と、メモリカード５００は相互の機器認証と鍵共有処理を行う（ステップＳ５０２）。

ステップＳ５０２の動作は、前記相互の機器認証と鍵共有については、前述のステップＳ１０１において改札装置２００をレジスタ装置６００に置き換え、メモリカード１００をメモリカード５００に置き換えたものの動作と同じであるので説明は省略する。

ステップＳ５０２の認証が成功した場合、メモリカード５００は、前記カード識別情報をレジスタ装置６００に対し送信する（ステップＳ５０３）。
また、ステップＳ５０２の認証が成功した場合、レジスタ装置６００は、前記カード特定情報と、前記装置識別情報と、前記請求日時情報と、前記支払金額情報をメモリカード５００に対し送信する（ステップＳ５０４）。

メモリカード５００は、前記カード特定情報と、前記カード識別情報が一致するか否か判定する（ステップＳ５０５）。
メモリカード５００は、一致しないと判定した場合、他のメモリカードに対する料金請求であるので、誤請求を示す支払状態情報をレジスタ装置６００に送信する（ステップＳ５０６）。

メモリカード５００は、一致すると判定した場合、ステップＳ５０７へ進む。
メモリカード５００は、前記装置識別情報と前記装置履歴情報が一致し、かつ、前記請求日時情報と、前記日時履歴情報のそれぞれが示す日時の差が所定の値である５秒以下である場合（ステップＳ５０７、Ｓ５０８）、誤請求を示す支払状態情報をレジスタ装置６００に送信する（ステップＳ５０９）。

メモリカード５００は、前記請求識別情報と前記請求履歴情報が一致し、かつ、前記請求日時情報と、前記日時履歴情報のそれぞれが示す日時の差が所定の値である５秒以下である場合（ステップＳ５１０、Ｓ５１１）、誤請求を示す支払状態情報をレジスタ装置６００に送信する（ステップＳ５１２）。

残金額管理部５０６は、前記支払金額情報が示す金額が前記残金額以下である場合（ステップＳ５１３）、前記残金額情報から前記支払金額情報に相当する金額分を減額し（ステップＳ５１５）、支払済を示す前記支払状態情報を通信部５０１を介してレジスタ装置６００に対し送信する（ステップＳ５１６）。

残金額管理部５０６は、前記支払金額情報が示す金額が前記残金額より大きい場合、支払不可を示す前記支払状態情報を通信部５０１を介してレジスタ装置６００に対し送信する（ステップＳ５１４）。

レジスタ装置６００は、メモリカード５００から受信した前記支払状態情報に基づき表示を行う（ステップＳ５１７）。
＜３．その他の変形例＞
本発明は、上述の実施例にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。
（１）実施形態の説明中で、前記利用区間情報、前記利用期間情報、前記乗車駅情報、前記降車駅情報、金額、日時に係る情報等、情報を整数値としているが、前記各情報は、整数値に限るものではなく、識別情報の場合は識別が可能であればよく、範囲指定の場合は範囲の指定や、範囲内か範囲外かの判定に使用が可能であればよいので、整数値以外の数値や、駅名、装置名などの名称等であってもよい。
（２）メモリカードと、請求装置との間で、楕円暗号を利用した認証処理を行っているが、それに限定するものではなく、他の公開鍵暗号（例えば、ＲＳＡ暗号等）を利用してもよい。

また、両者が共通鍵を持った共通鍵暗号ベースの認証であってもよいし、その他、両者が相互に認証でき、鍵共有できれば如何なる手法でもよい。
前記認証処理は相互認証である必要はなく、片方向認証であってもよい。

すなわち、改札装置がメモリカードを認証するだけでもよく、メモリカードが改札装置を認証するだけでもよい。
（３）利用者は、利用可能区間にある駅から乗車する場合のみにメモリカードの使用を限られるものではなく、（ａ）定期券の利用区間外で乗車の後、利用区間内で降車する場合、（ｂ）定期券の利用区間内で乗車し、利用区間内で降車する場合、（ｃ）定期券の利用区間外で乗車し、利用区間を含む乗車を行い、利用区間外で降車する場合、（ｄ）利用区間内で乗車し、利用区間内で降車する場合のいずれの場合においても、使用出来る。

メモリカードは、乗車駅で取得する乗車駅情報を用い、降車駅において利用区間外での電車の利用に関する利用料金を精算する。
（４）メモリカードにおけるプリペイド機能の利用は、降車時のみに限るものではない。

精算システムに合わせ、例えば、乗車時に所定の初乗り運賃を予めメモリカード内の残金額から減額しておき、更に、降車時に料金の不足分を精算してもよい。
（５）メモリカードは、定期券とプリペイドの両機能を持つ必要はなく、どちらか一方でもよい。

プリペイド機能のみを持つカードは、利用区間のチェックを行わず、同一改札機、或いは時間情報だけのチェックを行えばよい。
（６）メモリカードをショッピング用途で用いる場合、装置識別情報のチェック、及び請求識別情報のチェックは、両方を行う必要はなく、少なくともいずれか一方のチェックを行えばよい。
（７）認証処理は、乗車時と降車時の双方において、実施する必要はない。

利用者は、乗車時には認証処理なしで乗車し、降車時のみ認証処理を実施してもよい。
また、逆に乗車時のみ認証処理を実施し、降車時の認証処理を行わなくてもよい。
（８）利用者が所持する精算処理装置は、メモリカードに限るものではなく、当該メモリカードの機能と同等の機能を有していれば、携帯端末であってもよい。

前記携帯端末は、携帯電話、ＰＤＡ等の受信装置と、可搬型のＩＣ内蔵半導体メモリ等の請求処理装置とから構成し、前記受信装置が請求装置との通信を行い、前記請求処理装置が前記メモリカードにおける通信処理以外の処理を行う構成としてもよい。

また、前記携帯端末は、前記メモリカードの機能と同等の機能を有する携帯電話、ＰＤＡ等の携帯可能な装置であってもよい。
（９）実施形態で説明したメモリカードにおいては、改札装置管理部を省略した構成としてもよい。

この場合、定期券情報管理部が、保持する乗車駅の情報を利用して、料金請求が同一改札装置からの２重請求であるか否か判定してもよい。
また、メモリカードにおいて、改札装置管理部を省略して、日時情報管理部で日時情報のみを管理してもよい。
（１０）メモリカードは、実施形態において説明した全ての機能を有する必要はなく、誤徴収防止を実現する機能が含まれる構成であれば如何なる構成であってもよい。
（１１）日時情報は、秒単位である必要はなく、時間単位、日単位、その他の単位であってもよい。

また、メモリカードが持つ定期券の期間情報と、改札装置から送られてくる日時情報が同一のフォーマットである必要もない。
例えば、メモリカードが持つ定期券の期間情報が日単位で、改札装置から送られる日時情報が秒単位であってもよいし、またその逆であってもいい。
（１２）利用期間情報による判定方法として、乗車日時、或いは降車日時のいずれかと、利用期間情報を比較し、利用期間内か利用期間外かを判定してもよい。
（１３）本発明を料金の支払に利用する例について説明してきたが、料金の支払に限らず、ポイントを付与するシステムに用いてもよい。

前記ポイントは、例えば、サービスに対する支払金額等に応じて、当該サービスの利用者にポイントが与えられ、前記利用者は、後ほど、与えられたポイントと、与えられたポイントに対応する価格の商品とを交換することができるというものである。

ポイントを付与するシステムは、請求装置と支払処理システムで構成する。
前記請求装置は、例えば、スーパーマーケットにおけるレジスタ装置であり、前記支払処理システムは、メモリカードと携帯端末とから成るシステムであり、メモリカードに前述のポイントを記録する。

前記請求装置は、ポイント付与の請求を支払処理システムに対し送信する。
支払処理システムは、ポイント付与の請求が、多重請求等不正でないか否かを判定する。

前記請求が正当であるか否かの判定は、これまで説明してきた方法を用いる。
支払処理システムは、付与されたポイントを示すポイント情報を記録しており、前記ポイント付与の請求が正当であると判断した場合に、当該請求に係るポイント数を、記録しているポイント情報に付与し、正当でないと判断した場合には、前記請求を棄却する。

ここで、「ポイントの付与」の文言は、ポイントの加算及び減算の両方を含む概念として使用しており、請求装置が、ポイント加算の請求を行った場合、請求が不正でなければ、支払処理システムはポイントを加算し、ポイント減算の請求を行った場合は、請求が不正でなければ、支払処理システムはポイントを減算する。
（１４）本発明は、実施の形態で説明したステップを含む方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本発明は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ―ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなど、に記録したものとしてもよい。また、これらの記録媒体に記録されている前記コンピュータプログラム又は前記デジタル信号であるとしてもよい。

また、本発明は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送するものとしてもよい。

また、本発明は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。

また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

利用者が提供を受けたサービスや購入した物品等に対して発生する支払金額を、電子マネーを用いて精算するシステムに利用することが出来る。
特に、当該精算処理を短時間で行う必要がある、鉄道の駅における乗り越しを精算するシステムや、スーパーマーケット等商店における品物の購入金額を精算するシステムに好適である。

１ 精算システム
２ 精算システム
１０ 利用者
１１ 乗車駅
１２ 電車
１３ 降車駅
５０ 利用者
６０ 店舗
７０ 店員
１００ ＩＣカード
１０１ 通信部
１０２ 認証部
１０３ 暗号処理部
１０４ 定期券情報管理部
１０５ カード識別情報管理部
１０６ 改札装置管理部
１０７ 日時情報管理部
１０８ 支払状態管理部
１０９ 残金額管理部
２００ 改札装置
２０１ 通信部
２０２ 認証部
２０３ 暗号処理部
２０４ 改札情報管理部
２０５ 時計部
２０６ 料金請求部
２０７ 扉制御部
２０８ 支払管理部
３００ 改札装置
５００ ＩＣカード
５０１ 通信部
５０２ 認証部
５０３ 暗号処理部
５０４ カード識別情報管理部
５０５ 情報管理部
５０６ 残金額管理部
６００ レジスタ装置
６０１ バーコードリーダー
６０２ 計算指示取得部
６０３ 料金請求部
６０４ 通信部
６０５ 認証部
６０６ 暗号処理部
６０７ 識別情報管理部
６０８ 時計部
６０９ 表示部

Claims (16)

1. 価値情報を保持し、請求装置からの精算の請求に対する精算処理を行う価値保持装置であって、
   前記精算処理が開始すると、前記請求装置の正当性を認証する認証手段と、
   前記請求装置から、前記精算の請求を示す請求情報を受信する受信手段と、
   前記受信手段が前回の精算処理において受信した請求情報を保持し、当該保持している請求情報と、今回の精算処理において受信した請求情報とを用いて、前記受信した請求情報が不当な精算の請求を示すか否かを判断する判断手段と、
   不当な精算の請求であると判断された場合、前記請求情報が示す精算の請求を棄却して前記精算処理を終了する棄却手段と、
   不当な精算の処理でないと判断された場合、請求情報が示す精算の請求を受信し、当該精算の請求に従って前記価値情報を増減させて前記精算処理を終了する価値増減手段と、
   を備え、
   前記判断手段は、保持している請求情報に含まれる第１の情報と、受信した請求情報に含まれる情報であって前記第１の情報に対応し、かつ前記第１の情報とは一致しない第２の情報との差分が、所定の範囲内である場合に、当該受信した請求情報が不当な精算の請求であると判断する
   ことを特徴とする価値保持装置。
2. 前記請求情報は、当該請求情報を識別する請求識別情報を含み、
   前記判断手段は、保持している請求情報に含まれる請求識別情報と、受信した請求情報
   に含まれる請求識別情報とが一致する場合に、当該受信した請求情報が不当な精算の請求
   であると判断する
   ことを特徴とする請求項１に記載の価値保持装置。
3. 前記請求情報は、請求装置を識別する装置識別情報を含み、
   前記判断手段は、保持している請求情報に含まれる装置識別情報と、受信した請求情報
   に含まれる装置識別情報とが一致する場合に、当該受信した請求情報が不当な精算の請求
   であると判断する
   ことを特徴とする請求項１に記載の価値保持装置。
4. 前記請求情報は、請求装置が設置されている場所を識別する場所識別情報を含み、
   前記判断手段は、保持している請求情報に含まれる場所識別情報と、受信した請求情報
   に含まれる場所識別情報とが一致する場合に、当該受信した請求情報が不当な精算の請求
   であると判断する
   ことを特徴とする請求項１に記載の価値保持装置。
5. 前記請求情報は、前記第１情報及び前記第２情報として、請求に係る日時を示す日時情報を含み、
   前記判断手段は、保持している請求情報に含まれる日時情報が示す日時と、受信した請
   求情報に含まれる日時情報が示す日時との差分が所定の時間内である場合に、当該受信し
   た請求情報が不当な精算の請求であると判断する
   ことを特徴とする請求項１に記載の価値保持装置。
6. 前記精算は、通貨と同等の価値を用いて行われ、
   前記受信手段は、前記請求情報として、前記価値の除去を示す情報を受信する
   ことを特徴とする請求項１に記載の価値保持装置。
7. 前記価値保持装置は、携帯端末と、メモリカードとから構成され、
   前記携帯端末は、前記受信手段を含み、
   前記メモリカードは、前記判断手段と前記棄却手段とを含む
   ことを特徴とする請求項１に記載の価値保持装置。
8. 前記価値保持装置は、メモリカードである
   ことを特徴とする請求項１に記載の価値保持装置。
9. 前記価値保持装置は、携帯端末である
   ことを特徴とする請求項１に記載の価値保持装置。
10. 前記請求情報に対する精算は、ポイントを用いて行われ、
    前記受信手段は、前記請求情報として、前記ポイントの除去を示す情報を受信する
    ことを特徴とする請求項１に記載の価値保持装置。
11. 価値情報を保持し、請求装置からの精算の請求に対する精算処理を行う価値保持装置において用いられる価値保持方法であって、
    前記精算処理が開始すると、前記請求装置の正当性を認証する認証ステップと、
    前記請求装置から、前記精算の請求を示す請求情報を受信する受信ステップと、
    前記受信ステップにおける前回の精算処理において受信した請求情報を保持し、当該保持している請求情報と、今回の精算処理において受信した請求情報とを用いて、前記受信した請求情報が不当な精算の請求を示すか否かを判断する判断ステップと、
    不当な精算の請求であると判断された場合に、前記請求情報が示す精算の請求を棄却して前記精算処理を終了する棄却ステップと、
    不当な精算の処理でないと判断された場合に、前記請求情報が示す精算の請求を受信し、当該精算の請求に従って前記価値情報を増減させて前記精算処理を終了する価値増減ステップとを含み、
    前記判断ステップでは、保持している請求情報に含まれる第１の情報と、前記受信ステップで受信した請求情報に含まれる情報であって前記第１の情報に対応し、かつ前記第１の情報とは一致しない第２の情報との差分が所定の範囲内である場合に、当該受信した請求情報が不当な精算の請求であると判断する
    ことを特徴とする価値保持方法。
12. 価値情報を保持し、請求装置からの精算の請求に対する精算処理を行う価値保持装置において用いられるコンピュータプログラムであって、
    前記精算処理が開始すると、前記請求装置の正当性を認証する認証ステップと、
    前記請求装置から、前記精算の請求を示す請求情報を受信する受信ステップと、
    前記受信ステップにおける前回の精算処理において受信した請求情報を保持し、当該保持している請求情報と、今回の精算処理において受信した請求情報とを用いて、前記受信した請求情報が不当な精算の請求を示すか否かを判断する判断ステップと、
    不当な精算の請求であると判断された場合に、前記請求情報が示す精算の請求を棄却して前記精算処理を終了する棄却ステップと、
    不当な精算の処理でないと判断された場合に、前記請求情報が示す精算の請求を受信し、当該精算の請求に従って前記価値情報を増減させて前記精算処理を終了する価値増減ステップと、
    の各ステップをコンピュータに実行させ、
    前記判断ステップでは、保持している請求情報に含まれる第１の情報と、前記受信ステップで受信した請求情報に含まれる情報であって前記第１の情報に対応し、かつ前記第１の情報とは一致しない第２の情報との差分が所定の範囲内である場合に、当該受信した請求情報が不当な精算の請求であると判断させる、
    コンピュータプログラム。
13. 請求装置と、価値情報を保持し、請求装置からの精算の請求に対する精算処理を行う価値保持装置とからなる精算システムであって、
    前記請求装置は、前記価値保持装置に対し、精算の請求を示す請求情報を送信し、
    前記価値保持装置は、
    前記精算処理が開始すると、前記請求装置の正当性を認証する認証手段と、
    前記請求装置から、前記請求情報を受信する受信手段と、
    前記受信手段が前回の精算処理において受信した請求情報を保持し、当該保持している請求情報と、今回の精算処理において受信した請求情報とを用いて、前記受信した請求情報が不当な精算の請求を示すか否かを判断する判断手段と、
    不当な精算の請求であると判断された場合に、前記請求情報が示す精算の請求を棄却して前記精算処理を終了する棄却手段と、
    不当な精算の処理でないと判断された場合、前記請求情報が示す精算の請求を受信し、当該精算の請求に従って前記価値情報を増減させて前記精算処理を終了する価値増減手段と、
    を備え、
    前記判断手段は、保持している請求情報に含まれる第１の情報と、受信した請求情報に含まれる情報であって前記第１の情報に対応し、かつ前記第１の情報とは一致しない第２の情報との差分が、所定の範囲内である場合に、当該受信した請求情報が不当な精算の請求であると判断する
    ことを特徴とする精算システム。
14. 前記価値保持装置は、メモリカードである
    ことを特徴とする請求項１３に記載の精算システム。
15. 前記価値保持装置は、携帯端末である
    ことを特徴とする請求項１３に記載の精算システム。
16. 前記価値保持装置は、携帯端末と、メモリカードとから構成され、
    前記携帯端末は、前記受信手段を含み、
    前記メモリカードは、前記判断手段と前記棄却手段とを含む
    ことを特徴とする請求項１３に記載の精算システム。

Images