JP5985103B2 - 携帯端末、配布サーバ、制御方法、ならびに、プログラム - Google Patents

Description

本発明は、電子バリューの支払者に操作者が提示する携帯端末、当該携帯端末で実行されるプログラムを配布する配布サーバ、当該携帯端末の制御方法、ならびに、当該プログラムに関する。

対価を支払うことで商品やサービスの提供を受ける取引において、電子マネーを利用するシステムが種々提案されている。電子マネーシステムでは、現金を財布に入れて持ち歩くかわりに、可搬デバイス(財布に相当する。)に対応付けられ、電子情報により表現される電子バリュー(財布の中の現金に相当する。)により、支払を行う。

電子バリューの支払の際には、支払者は、可搬デバイスを、商品やサービスの提供者が操作するリーダ/ライタに近接させることにより、短時間だけ翳して、可搬デバイスとリーダ/ライタの間でNFC(Near Field Communication;近接場通信)を確立し、この通信によって、可搬デバイスに対応付けられる電子バリューを、支払分だけ減少させる。NFCでは、可搬デバイスとリーダ/ライタは接触する必要はないが、距離を典型的には数mm程度まで近付ける必要がある。

可搬デバイスとしては、キャッシュカードやクレジットカードにNFC用の電子回路を組み込んだものが広く使われている。この電子回路は、一般的には、リーダ/ライタから発せられるNFC用の電波による電磁誘導で生じる電力によって動作する。

一方、携帯電話やスマートフォンなどの携帯端末では、上記と同様にNFC用の電子回路を内部に組み込むものも広く利用されているほか、電話通信用のSIM(Subscriber Identity Card)カード内にNFC用の通信機能を設けたものも提案されている。これらの場合には、リーダ/ライタが発した電波を電力源とすることができるほか、携帯端末の本体が備えるバッテリから電力の供給を受けることができる。

ここで、携帯端末本体から電力供給を受けることが可能なNFC用の電子回路には、(a)当該電子回路に割り当てられたアカウントにおける電子バリューの出し入れを行うために可搬デバイスとして働くカードエミュレーションモード、(b)他の可搬デバイスに割り当てられた電子バリューに係る情報を処理し、リーダ/ライタとして機能するためのリーダ/ライタモード、(c)電子回路同士がメールアドレス等の種々のメッセージを送受するためのP2P(Peer To Peer)モードを持つことが多い。

すなわち、携帯電話やスマートフォン等の携帯端末は、電子マネーの財布として機能することができるほか、リーダ/ライタとして機能することも可能である。この機能を利用して、携帯端末を電子マネーシステムのリーダ/ライタとして機能させ、電子マネーカードを携帯端末に近接させて通信を確立することにより、電子マネーカードから電子バリューの支払をさせる技術が提案されている(特許文献1段落0072、0073参照)。

この機能によれば、個人営業の商店にて、店主が電話通話用に使用している携帯端末を、電子マネーシステムのリーダ/ライタとして機能させることで、設備投資のコストを抑制しつつ、客から電子バリューによる支払を受けることができるようになる。この際には、店主は、電子マネー事業者の配布サーバから携帯端末用のプログラムをダウンロードして、当該プログラムを携帯端末で実行することになる。

このほか、劇場や野球場など各種の娯楽施設においては、観客席の間を売り子が歩きまわり、飲食物やパンフレットなどを販売する態様がとられている。そこで、販売者が旧機種の安価なスマートフォンを大量に購入して、上記プログラムをインストールして動作させ、売り子に操作させれば、観客は電子マネーによる支払が可能となる。

特開2013-140453号公報

しかしながら、各種の携帯端末が電子マネー用のリーダ/ライタとして利用できるようになると、安易な不正使用がされる可能性がある。たとえば、リーダ/ライタとして動作する携帯端末を、街中の人込みやバスや電車等の公共交通機関内で、他人の鞄に近付けて、鞄内の可搬デバイスから電子バリューを盗み取る等である。そこで、このような不正使用を抑制するための技術が強く求められている。

本発明は、上記の課題を解決しようとするもので、電子バリューの支払者に操作者が提示する携帯端末において、不正使用を抑制するのに好適な携帯端末、当該携帯端末で実行されるプログラムを配布する配布サーバ、当該携帯端末の制御方法、ならびに、当該プログラムを提供することを目的とする。

本発明においては、
電子バリューの支払者へ操作者により提示される携帯端末は、配布サーバ等から入手されたプログラムを実行することにより、
支払者の第1生体情報を取得し、
過去に取得された第2生体情報が、第1生体情報にマッチしなければ、支払者により電子バリューの支払に供される可搬デバイスとの近接場通信を開始する。

本発明の実施例に係る携帯端末の概要を示す説明図である。 本発明の実施例に係る携帯端末にて実行される処理の流れを示すフローチャートである。 提供者がシンクライアント用サーバにログインするための入力フォームの表示例である。 操作者が生体情報を登録するための指紋登録フォームの表示例である。 生体情報が保持される保持部の態様を説明するための説明図である。 生体情報が保持される保持部の他の態様を説明するための説明図である。 ログインおよび登録の概要を示すための概要フォームの表示例である。 支払に係る電子バリューの額の入力を求める金額フォームの表示例である。 支払に同意するアクションをとることを支払者に求める支払確認フォームの表示例である。 可搬デバイスとのNFCを開始しようとする旨を表す通信フォームの表示例である。 端末ハードウェアの裏側の様子を示す説明図である。 端末ハードウェアに可搬デバイスを近付けた様子を示す説明図である。 電子バリューの支払が完了した旨を表すメッセージフォームの表示例である。 電子バリューの残額が不足している旨を表す通信フォームの表示例である。 高いレベルの確認を支払者に求める支払確認フォームの表示例である。 電子バリューの支払ができない旨を表すメッセージフォームの表示例である。

以下に本発明の実施形態を説明する。なお、本実施形態は説明のためのものであり、本願発明の範囲を制限するものではない。したがって、当業者であればこれらの各要素もしくは全要素をこれと均等なものに置換した実施形態を採用することが可能であるが、これらの実施形態も本発明の範囲に含まれる。

電子マネーシステムにおける電子バリューは、現金に類する価値を有するものである。電子バリューは、現金と相互もしくは一方から他方へ交換が可能なように、同じ通貨単位で管理されることもあるし、独自の単位を採用して交換の際に換算することもある。また、ユーザのアクション(商品の購入やアンケートへの回答、店舗への来店等)に応じて付与される各種のポイントを、電子バリューとして利用することも可能である。

本実施例は、ストアドバリュー(stored-value)型と呼ばれる電子マネーシステムに適用が可能である。ストアドバリュー型システムでは、ユーザが取引において対価として支払うことが可能な電子バリュー(「残高」とも称される。)を、電子回路を組み込んだカードや携帯電話、スマートフォンなどの各種の可搬デバイスに対応付けて管理する。

ストアドバリュー型システムでは、可搬デバイスが有する電子回路に、利用可能な電子バリューの数値を記憶させるのが一般的である。この態様は、財布に現金が入っている状態に相当する。以下では、可搬デバイスに対応付けられるバリューを、「財布の中に残っている現金」になぞらえて、「残存バリュー(remaining value)」と呼ぶ。

商品やサービスの提供者は、可搬デバイスと通信可能なリーダ/ライタを利用することにより、ユーザからの対価の支払を受け付ける。ユーザが可搬デバイスをリーダ/ライタに翳すと、可搬デバイスとリーダ/ライタの通信が可能となり、リーダ/ライタから可搬デバイスへ、各種のコマンドを送信すると、そのコマンドの実行結果が可搬デバイスからリーダ/ライタへ送信される。

たとえば、問い合わせコマンドを利用することにより、実行結果として、現在可搬デバイスに対応付けられている残存バリューの数値を取得することができる。

減少コマンドでは、当該コマンドに指定された電子バリューだけ、可搬デバイスに対応付けられている残存バリューを減少させる。これは、財布から現金を取り出したことに対応する。すなわち、減少コマンドは、商品やサービスの提供を受ける取引において、対価を支払う際、すなわち「課金」の際に利用される。以下では、減少コマンドに指定される電子バリューを、「対価バリュー(price value)」と呼ぶ。

増加コマンドは、当該コマンドに指定された電子バリューだけ、可搬デバイスに対応付けられている残存バリューを増加させる。これは、財布に現金を入れることに対応する。増加コマンドは、たとえば店頭で、ユーザが店員に現金を支払うかわりに、当該現金に相当する電子バリューを可搬デバイスにチャージする際に利用される。

なお、可搬デバイスが、インターネット等のコンピュータ通信網を介した通信を行う機能を有する場合には、可搬デバイス内で動作するアプリケーションが、コンピュータ通信網を介して送られたコマンドに呼応して、可搬デバイスに対応付けられる残存バリューの取得や増減を行うことも可能である。この場合には、リーダ/ライタを利用せずに、対価の支払や残存バリューのチャージが可能となる。

減少コマンドや増加コマンドなどで、電子バリューの増減が行われる、ということは、支払者と提供者との間でバリューの移動が起きたことを意味する。提供者は、このバリューの移動の情報を、電子マネーの管理サーバに伝達する。電子マネーの管理サーバは、電子マネーサービス全体の運営者により運営されている。電子マネーの管理サーバに蓄積された決済情報を合算すれば、提供者がその期間内に得た、あるいは、失った電子バリューの総額が得られる。

提供者は、電子バリューを獲得しているのであれば、運営者から現金等に交換して手に入れることができる。一方、電子バリューを失っているのであれば、提供者は、運営者に対して、当該電子バリューに対する現金等の支払いをする責務を負う。

なお、提供者と、電子マネーサービス全体の運営者と、の間に、中間的な業者が介在することもある。この業者は、電子マネーサービスの事業者と呼ばれ、提供者が電子バリューによる支払を受けるために必要なインフラストラクチャの準備や電子バリューの取扱いについての助言やサポートを行う。本実施例では、電子バリューの支払を受けるために、提供者が用意した携帯電話やスマートフォン等の携帯端末をリーダ/ライタとして利用するが、携帯端末をリーダ/ライタとして機能させるためのプログラムは、運営者や事業者が用意した配布サーバが携帯端末に配布する。

本実施例では、リーダ/ライタとして機能する携帯端末と、その通信可能範囲に入っている可搬デバイスと、の通信にはNFCを採用するが、赤外線通信やブルートゥース(Bluetooth(登録商標))を採用してもよい。

なお、本実施例は、サーババリュー方式と呼ばれる電子マネーシステムに適用することも可能である。サーババリュー方式では、可搬デバイスからは、電子バリューの財布に相当するアカウントの識別情報が取得され、運営者もしくは事業者のサーバ内において、当該アカウントと、当該アカウントにおける残存バリューと、が管理される。すなわち、サーババリュー方式では、可搬デバイスは、アカウントを識別するための識別タグとして機能するが、残存バリューそのものを記憶することはない。

さて、本実施例では、いわゆるシンクライアント方式を想定する。シンクライアント方式では、携帯端末は、リーダ/ライタならびに各種の情報のやりとりを人間と行うユーザインターフェースとして機能し、可搬デバイスとのコマンドの送受は、シンクライアント用サーバにより制御される。このシンクライアント用サーバは、提供者自身が用意したものであっても良いし、事業者が提供者に利用権を設定したものであっても良い。シンクライアント用サーバは、提供者における電子バリューの出納の役割を担う。シンクライアント用サーバと運営者の間では定期的に、典型的には一日に一回、管理情報の交換がなされ、提供者が所有する電子バリューの総額が求められることになる。

ただし、本実施例は、いわゆるリッチクライアント方式にも適用が可能である。シンクライアント方式では、携帯端末は、可搬デバイスとサーバとの通信の中継を行うとともに、ユーザとのインタラクションを担うが、リッチクライアント方式では、携帯端末が、さらに、サーバとしての役割も果たすことになる。すなわち、携帯端末が、可搬デバイスとのコマンド送受の吟味を行うとともに、運営者との定期的な通信も担うこととなる。

本実施例の携帯端末は、スマートフォンや携帯電話などのハードウェアを利用することもできるし、専用の電子回路により構成することも可能であるし、プログラムをコンピュータに実行させることにより実現することも可能である。このほか、コンピュータと専用電子回路の中間形態として、プログラムを電子回路の設計スクリプトにコンパイルして、当該設計スクリプトに基づいて電子回路を動的に構成するFPGA(Field Programmable Gate Array)などの技術を適用することにより、本実施例の携帯端末を構成することも可能である。

本実施例の携帯端末においては、携帯端末の操作者(提供者や、提供者に雇用された者のほか、提供者から携帯端末を盗み出した者も含む。)による不正行為をできるだけ防止するため、種々の技術を利用する。以下では、まず、これらの技術を概説する。

第1の技術は、電子バリューの支払者の生体情報を用いるものである。一般に電子バリューによる支払では、携帯端末の所定の部位にタッチする等のアクションを支払者に求めて、支払に同意する旨の意思の確認を行う。しかしながら、物品の販売の現場では、同じ支払者が連続して支払に同意する状況は極めて稀である。一方、不正行為者は、不正行為により他人の電子バリューを盗み出すため、繰り返し上記のアクションをとると考えられる。

本技術では、支払者の生体情報を取得して、過去の支払者と同一人と推定される者に対しては、不正行為の可能性があると判断して、電子マネーの支払が一切できないようにする、あるいは、他の高いレベルのチェックを通過しない限り電子マネーの支払はできないようにする。

第2の技術では、携帯端末の傾きを用いる。一般に、カード型の可搬デバイスを用いて電子バリューの支払を行う際には、カードの表面もしくは裏面が支払者に見えるような向きで、NFC用の電子回路に可搬デバイスを近接させるのが一般的である。一方、携帯電話やスマートフォン等の携帯端末は、板状の形状を持つことが多く、板の表面もしくは裏面にNFC用の電子回路が配置されている。

そこで、携帯端末の表面ならびに裏面が水平面に略平行である場合に限って、携帯端末を介した電子バリューの支払を受けることができるようにするのである。この技術によれば、不正行為者が電子バリューを盗み出すために他人の鞄等に携帯端末を近付ける際には、鞄の底に平行になるように携帯端末を近付けることとなる。このときの不正行為者の姿勢は不自然で目立つ。したがって、不正行為を抑制することができると考えられる。

第3の技術は、電子バリューによる支払がされる際に、可聴音、可視光、もしくは、振動により、その旨を、支払者等携帯端末の周囲にいる人に通知するというものである。ここで行われる通知は、最大音量、最大光量、最大振動で行われることが望ましい。この通知により、可搬デバイスの所有者に、当該可搬デバイスのアカウントから電子バリューが支払われることを警告するのである。この通知は、電子バリューの支払前(たとえば、支払者に同意のアクションを促している間)、支払中(たとえば、近傍の可搬デバイスをNFCチップが検索している間)、支払後(たとえば、支払が成功し、可搬デバイスをしまっても良い状態となった後)のいずれに行うのでも良い。

第4の技術では、携帯端末を介した支払に場所の制限を設ける。すなわち、当該携帯端末が、特定の地域内になければ、電子バリューの支払がされないようにする。個人経営の店舗ではその店舗内に利用可能地域を限定し、劇場や球場等ではその施設内に利用可能地域を限定することにより、携帯端末が盗み出された場合であっても、利用可能地域から離れれば、不正行為はできなくなる。なお、各種イベントに出店する等のために利用可能地域から離れた場合には、利用地域の再登録を行うか、高いレベルのチェックを通過することで、電子マネーの支払ができるようにしても良い。

これらの技術は、単独で利用しても良いし、適宜組み合わせても良い。以下では、これらの技術の詳細についても詳細に説明する。

図1は、本発明の実施例に係る携帯端末の概要を示す説明図である。以下、本図を参照して説明する。

本実施例に係る携帯端末101は、電子マネーシステムの事業者や運営者が配布サーバから配布したプログラムをスマートフォンや携帯電話等の端末ハードウェアにダウンロードすることによって実現される。

一般に、端末ハードウェアで実行されるプログラムは、コンパクトディスク、フレキシブルディスク、ハードディスク、光磁気ディスク、ディジタルビデオディスク、磁気テープ、ROM(Read Only Memory)、EEPROM(Electrically Erasable Programmable ROM)、フラッシュメモリ、半導体メモリ等のコンピュータ読み取り可能な非一時的(non-transitory)情報記録媒体に記録することができる。この情報記録媒体は、端末ハードウェアとは独立して配布・販売することもできる。

端末ハードウェアでは、フラッシュメモリ等の非一時的(non-transitory)情報記録媒体に記録されたプログラムを、一時的(temporary)記憶装置であるRAM(Random Access Memory)に読み出してから、読み出されたプログラムに含まれる指令をCPU(Central Processing Unit)が実行する。ただし、ROMとRAMを一つのメモリ空間にマッピングして実行することが可能なアーキテクチャでは、ROMに格納されたプログラムに含まれる指令を、直接CPUが読み出して実行する。

さらに、上記のプログラムは、プログラムが実行されるコンピュータとは独立して、コンピュータ通信網等の一時的(transitory)伝送媒体を介して、事業者が管理する配布サーバ等から端末ハードウェア等へ配布・販売することができる。

ここで、携帯端末101は、取得部102、制御部103を備える。また、省略可能な要素として、プロンプト部104、保持部105、消去部106、通知部107、設定部108、検知部109を備える。以下、各部の動作について概説する。

取得部102は、これから電子マネーの支払をしようとする支払者の生体情報を取得する。生体情報としては、支払者の指紋、声紋、顔の形状、網膜の形状、虹彩の形状などを用いることができる。生体情報は、端末ハードウェアが備える指紋センサ、タッチパネル、マイク、カメラなどを利用して取得される。

プロンプト部104は、支払に同意するためのアクションをすることを支払者に促すメッセージを出力する。当該メッセージは、端末ハードウェアが備えるCPUの制御の下、端末ハードウェアが備えるタッチスクリーン等の表示装置に表示されるが、端末ハードウェアが備えるスピーカ等から音声によりアクションを促すこととしても良い。

アクションとしては、タッチスクリーンに表示されたボタンを支払者にタッチさせたり、支払者に声で支払に同意する旨を言わせるなどが考えられる。ここで、支払者が行うアクションから生体情報を取得すれば、支払者の心理的な抵抗が少なくなり、取引がスムースに進むと考えられる。また、生体情報を取得する処理とアクションを求める処理とを別々に行う態様に比べて、支払者の手間を削減できる。

たとえば、生体情報として指紋を採用する場合には、支払に同意する場合には、端末ハードウェアが有する指紋センサにタッチするよう支払者に促し、指紋センサから指紋が取得できたことをもって、アクションがされたものとみなす。このほか、端末ハードウェアが有するタッチスクリーンから支払者の指紋を取得しても良い。

生体情報として音声を採用する場合には、支払に同意する旨の支払者の発声を端末ハードウェアが有するマイクにより取得して、当該発声を音声認識した結果からアクションがされたか否かを判定するとともに、アクションがされた場合には、当該発声から声紋を取得する。

生体情報として顔の形状、網膜の形状、虹彩の形状を採用する場合には、端末ハードウェアの自分撮影用のカメラを利用することができる。この態様では、表示装置には、カメラで撮影されている画像を映すほか、ガイドとなる枠線の図形を映す。そして、支払に同意するのであれば、撮影された支払者の顔や瞳の輪郭が、ガイドの枠線にほぼ一致するように、端末ハードウェアや支払者の顔を移動させた後、所定時間(数秒程度)その姿勢を維持するアクションをとるよう、支払者に促す。アクションが完了したときには、顔や網膜、虹彩の形状も取得されたことになる。

なお、本実施例では、センサやマイク、カメラにより取得された画像や音声の情報をそのまま生体情報とするのではなく、これらの情報から抽出された特徴量を生体情報とする。これにより、プライバシーの観点でより好適なシステムが実現される。なお、取得された画像や音声の情報から特徴量を抽出する処理は、端末ハードウェアが有するCPU、もしくは、生体情報処理のための専用チップなどを利用して行われ、そのような抽出処理には、公知の技術が採用されても良い。

保持部105には、過去に取得された支払者の生体情報が、所定期間もしくは所定個数保持される。このほか、保持部105には、店員や売子等、端末ハードウェアを操作する操作者の生体情報を、別途保持させることとしても良い。保持部105は、不揮発な非一時的な記憶装置、たとえば、端末ハードウェアが有するフラッシュメモリ等により実現される。

制御部103は、電子バリューによる支払の制御を行うもので、端末ハードウェアが有するCPUにより実現される。制御部103は、不正行為が行われている可能性を判断し、その可能性に応じて、このまま電子バリューの支払を受け付けるか否かを決定する。このまま電子バリューの支払を受け付けるならば、端末ハードウェアが有するNFCチップを制御して、近傍の可搬デバイスを検索する。可搬デバイスが検出されたら、当該可搬デバイスに減少コマンドを送信して、その結果を受信し、減少コマンドが成功したら、電子バリューの支払が完了したものとする。

それ以外の場合には、当該支払者からの電子バリューの支払を拒否しても良いし、他の高いレベルのチェックをパスした後に、電子バリューの支払の処理を開始することとしても良い。

生体情報による不正行為の有無の判断のうち、単純な態様としては、過去の取引や支払において取得された支払者の生体情報のそれぞれと、今回電子バリューの支払をしようとしている支払者から取得された生体情報と、を照合するものがある。この態様では、前者のいずれかが、後者にマッチした場合、すなわち、過去の支払者が今回も支払者であると判定される場合には、不正行為の可能性が高く、今回の支払者が過去の支払者のいずれとも異なると判定される場合には、不正行為の可能性は低い、と判断する。

電子バリューの支払がされたら、消去部106は、支払者の最古に取得された生体情報を、保持部105から消去する。すなわち、保持部105は、端末ハードウェアが有するCPUが、フラッシュメモリ等と協働することにより実現される。上記のように、保持部105は、所定期間もしくは所定個数、過去に取得された支払者の生体情報を保持する。

ここで、保持部105が、過去に取得された支払者の生体情報を1個だけ保持する態様や、消去部106が電子バリューの支払後に最古の生体情報を消去して、今回完了した支払に係る支払者の生体情報に入れ換える態様では、保持部105に保持される支払者の生体情報は、直前に電子バリューの支払がなされた支払者の生体情報のみとなり、それ以前の支払者の生体情報は保持されない。このため、支払者のプライバシーに対して、一層の配慮をすることができる。

なお、取得部102により取得された生体情報が、保持部105に保持された操作者の生体情報にマッチする場合には、支払者の明示の同意がされておらず、操作者がかわりにアクションをとった可能性が高いと考えられる。そこでこのような場合には、不正行為の可能性があるものと考えて、より高いレベルのチェックをパスしなければ、電子バリューの支払はしないものとすることが望ましい。

通知部107は、端末ハードウェアが有する表示装置、スピーカ、バイブレータ、LED(Light Emitting Diode)やランプなどにより、可聴音、可視光、振動を発して、電子バリューの支払がされることを、携帯端末101の近傍にいる人に知らせる。端末ハードウェアでは、設定部108を介して、表示装置、スピーカ、バイブレータ、LEDやランプの出力の強さ(明るさや明滅のパターン、音声のボリューム、振動の大きさやパターン)を操作者が設定できるのが一般的であるが、電子バリューの支払がされる旨の通知については、操作者の設定があらかじめ定めた強さより弱くとも、当該あらかじめ定めた強さで出力されることが望ましい。操作者の設定があらかじめ定めた強さ以上であれば、当該あらかじめ定めた強さで出力しても良いし、操作者の設定にしたがっても良い。目立つ通知がされることで、人込み等での不正行為を抑制することができる。

検知部109は、端末ハードウェアの種々の状態を検知する各種のセンサにより実現される。たとえば、傾きセンサによれば、端末ハードウェアの向きまたは姿勢を取得することができる。そこで、板状の端末ハードウェアの表面ならびに裏面が広がる面と、水平面とのなす角が、所定の閾値より小さく、略平行であるときに限って、制御部103が、可搬デバイスとの間のNFCを行い、当該角が所定範囲外であれば、NFCを制限することとすれば、電子マネーの支払を受けるときの操作者の姿勢に制限を設けることができ、人込み等での不正行為を抑制することができる。

このほか、傾きセンサを利用すれば、端末ハードウェアの傾きの変化を取得することができる。マイクを利用すれば、端末ハードウェアの周囲の可聴音を取得することができる。また、LED等によるフラッシュ撮影の必要性を判断するため、明度センサやカメラにより撮影された画像に基づいて、現在の周囲の明るさを取得するものもある。

そこで、端末ハードウェアが有するCPUや専用チップが、センサにより測定された音声や明るさ、傾きの変化を、通知部107による通知の変化のパターンと照合することにより、通知が実際に周囲の人に看取されている大きさが検知できる。

検知された通知の大きさが、当該通知を出力しているときの強さと対比して、十分に大きければ、端末ハードウェアの不正改造(たとえば、スピーカをふさぐ、LEDを覆う、バイブレータを外す等)や故障はない、と考えることができる。一方で、検知された通知の大きさが、当該通知を出力しているときの強さと対比して、所定の判断基準で小さい場合には、端末ハードウェアの不正改造や故障の可能性があり、不正行為の可能性あり、と判断することができる。

さらに、GPSを利用すれば、端末ハードウェアの位置を検知することができる。携帯端末101の利用地域を制限することにより不正行為を抑制する態様では、GPSの検知結果に基づいて、利用地域内か否かを判定することができる。

このほか、端末ハードウェアが無線LAN(Local Area Network)の通信機能を有する場合には、検知されたアクセスポイントのSSID(Service Set IDentifier)により、端末ハードウェアの位置を検知することが可能である。

さらに、アクセスポイントを経由して接続されたネットワーク内の特定のノード(たとえば、シンクライアント用サーバ、レジスタ、ネットワークプリンタ等)へ、端末ハードウェアから到達可能か否かをping等により調査して、その結果により、端末ハードウェアが特定の地域内にあるか否かを検知することもできる。

なお、シンクライアント方式では、携帯端末101を介して、可搬デバイスとシンクライアント用サーバとの間で、電子バリューを処理するコマンドのやりとりがなされる。したがって、シンクライアント用サーバがLAN内でのみ動作し、LAN外からは到達できないように設定され、LANの物理的な領域が限られている場合には、携帯端末101がシンクライアント用サーバと通信可能であれば、特定の地域内にある、と判断することも可能である。

以下では、携帯端末101において、第1の技術(支払者の生体情報)、第2の技術(端末ハードウェアの傾き)、第3の技術(可聴音等による通知)、第4の技術(場所の制限)がすべて採用されている態様における処理の流れについて説明する。なお、第1乃至第4の技術は、適宜選択および省略が可能である。また、以下の例では、生体情報として指紋を利用し、指紋の取得はタッチスクリーンから行うことを想定しているが、上記のように、生体情報としては種々のものを採用することが可能である。

また、以下の態様では、事業者が、複数の提供者(ショップ)と電子マネーサービスに係る契約を交わすと、各提供者にショップコードとパスワードを割り当てることを想定する。事業者は、ショップコードとパスワードに基づいて、提供者ごとに、電子バリューの出納の管理が行われる。

図2は、本発明の実施例に係る携帯端末にて実行される処理の流れを示すフローチャートである。以下、本図を参照して説明する。上記のように、本処理は、端末ハードウェア上でプログラムを実行することにより開始され、この処理によって携帯端末101が実現される。

さて、処理が開始されると、まず、携帯端末101は、当該携帯端末101と提供者との紐付けを行うため、提供者に事前に割り当てられたショップコードおよびパスワードの入力を受け付ける(ステップS201)。

本実施例におけるステップS201の処理においては、まず、端末ハードウェアの表面に配置されたタッチスクリーンに、入力フォームが表示される。図3は、提供者がシンクライアント用サーバにログインするための入力フォームの表示例である。以下、本図を参照して説明する。

本図に示すように、端末ハードウェア251の表面には、タッチスクリーン252が用意されているほか、また、タッチスクリーン252を見ている人を撮影するためのカメラ261、電話のための通話や、音声の入出力を行うためのマイク262およびスピーカ263も配置されている。本図では、タッチスクリーン252には、入力フォーム301が表示されている。

入力フォーム301には、ショップコード欄302およびパスワード欄303が用意されている。端末ハードウェアのソフトウェアキーボード(図示せず)を利用して、操作者がこれらに情報を入力した後、次へボタン304をタップすると、入力されたショップコードおよびパスワード、ならびに、端末ハードウェアの識別情報(製造番号やMACアドレス等)がシンクライアント用サーバに無線LAN経由で送信され、携帯端末101と提供者の紐付けが行われる(ステップS202)。

なお、ショップコードやパスワードに入力の誤りがあり、シンクライアント用サーバにおける認証が失敗した場合は、ステップS201に戻って、再度の入力を求める(フローチャートでは図示を省略)。

さて、携帯端末101と提供者の紐付けが行われた後は、携帯端末101は、その操作者の生体情報を取得する(ステップS203)。本実施例では、端末ハードウェアのタッチスクリーンに、指紋登録フォームが表示される。図4は、操作者が生体情報を登録するための指紋登録フォームの表示例である。以下、本図を参照して説明する。

指紋登録フォーム401には、指をタッチするための楕円状のタッチ領域402が用意されている。メッセージ欄405に表示された「操作者(売り子)の指を楕円にタッチ」にしたがって操作者の指がタッチ領域402に触れ、タッチスクリーンに対する接触状況から指紋の特徴情報が取得できれば、メッセージ欄405には「この指紋を登録するなら登録をタップ」と表示される(図示せず)。

これにしたがって、操作者が登録ボタン403をタップすると、携帯端末101は、当該特徴情報をフラッシュメモリ等に書き込むことにより、操作者の生体情報を保持部105に保持する(ステップS204)。一人の操作者の複数の指紋を登録したい場合や、操作者が複数いる場合には、ステップS203-S204の処理を繰り返す。図5Aは、生体情報が保持される保持部の態様を説明するための説明図である。図5Bは、生体情報が保持される保持部の他の態様を説明するための説明図である。以下、これらの図を参照して説明する。

保持部105には、操作者の生体情報を保持するための操作者領域451と、後述するように支払者の生体情報を保持するための支払者領域471と、が設けられている。

本態様の操作者領域451は、操作者の生体情報を配列として保持しており、初期状態では、各要素には、すべて「なし」が記録されている。ステップS204において生体情報を登録しようとする際には、まず、「なし」が記録されている要素を配列から探し、見付かった要素に新たな操作者の生体情報を書き込む。配列の要素数には上限(本図では5)が設けられており、当該上限に達したら、それ以上操作者の生体情報は登録できないことになる。本図では、操作者の生体情報が1個だけ記録された状態を示している。

支払者領域471は、支払者の生体情報を記録するための領域であり、その詳細については後述する。

操作者の指紋がすべて登録し終わったら、操作者が次へボタン404をタップすると、タッチスクリーンに、概要フォームが表示される(ステップS205)。図6は、ログインおよび登録の概要を示すための概要フォームの表示例である。以下、本図を参照して説明する。

概要フォーム501には、ステップS201-S204にて受け付けたショップコードおよび登録された指紋の数が、概要欄502に表示されている。この内容で電子バリューの支払の受付に進んで良い場合には、操作者は、次へボタン503をタップする。すると、処理は、ステップS206に進む。

一方、登録をやり直したい場合には、操作者は、最初からボタン504をタップする。すると、処理は、ステップS201に戻る(フローチャートでは図示を省略)。

なお、ショップコードやパスワードおよび操作者の指紋の特徴情報をフラッシュメモリ等に不揮発に記憶しておけば、次回プログラム起動時には、明示的な提供者情報の入力や操作者の指紋登録を省略することが可能である。すなわち、ステップS201、S203-S204の処理は省略して、すでに記憶されているショップコードおよびパスワードにより、シンクライアント用サーバにおいて、携帯端末101と提供者との紐付けを行い、ステップS205に進む。

さて、ステップS201-S205により、携帯端末101の初期化が終わると、検知部109は、携帯端末101の現在位置を検知する(ステップS206)。この検知には、屋外等ではGPSが利用できる。また、GPSの精度が問題となる状況や、建物の内部で支払を行うためGPSが利用できない状況、GPSの測位に要する時間やバッテリ消費が問題となる状況では、近傍にある無線LANのアクセスポイントのSSIDを取得して、その情報から現在位置を検知することも可能である。

そして、検知された現在位置が、当該ショップコードにあらかじめ割り振られた利用可能地域内にあるか否かを判定する(ステップS207)。ここで、ショップコードに対する利用可能地域の割り振りをシンクライアント用サーバにおいて行う態様では、紐付けを行った際に、シンクライアント用サーバから携帯端末101へ利用可能地域の情報がダウンロードされる。

このほか、操作者の指紋登録時に周囲の無線LANのアクセスポイントのSSIDを収集する態様を採用することもできる。収集されたSSIDのいずれか、あるいは、収集されたSSIDのうち所定の割合のものが無線LANで検知できる間は、利用可能地域内にある、と判定するのである。

なお、物理的な現在位置を検知してから(ステップS206)、その位置が利用可能範囲内にあるか判定する(ステップS207)のではなく、LAN内の特定のノード(たとえば、LAN内にあるPOSレジスターや管理用コンピュータ、ネットワークプリンタ等)との通信ができるか否かにより、現在位置が利用可能地域内にあるか否かを判断しても良い。

これらの手法によって携帯端末101が利用可能地域内にあることがわかったら(ステップS207;Yes)、電子バリューの支払の受付が開始される。一方、携帯端末101が利用可能地域内になければ(ステップS207;No)、本態様では、ステップS201に戻り、再度初期化を行う。ただし、操作者に警告を発した後に、ステップS206に戻ることとしても良いし、プログラムそのものを終了させることとしても良い。

さて、電子バリューの支払の受付が開始されると、まず、タッチスクリーンに金額フォームが表示される(ステップS208)。図7は、支払に係る電子バリューの額の入力を求める金額フォームの表示例である。以下、本図を参照して説明する。

金額フォーム601には、支払を求める電子バリューの額が表示されるバリュー欄602、ならびに、ソフトウェアキーボード603が配置されている。操作者が、ソフトウェアキーボード603の数字キーをタップすれば、そのキーに割り当てられた数字がバリュー欄602に追加される。操作者が、削除キーをタップすれば、バリュー欄602の数値が末尾から削除される。

バリュー欄602に、支払いを求める電子バリューの額が入力されると、操作者は、次へボタン604をタップする。すると、タッチスクリーンに、支払確認フォームが表示され、支払者が支払に同意するためのアクションをとるよう促す(ステップS209)。図8は、支払に同意するアクションをとることを支払者に求める支払確認フォームの表示例である。以下、本図を参照して説明する。

支払確認フォーム701のメッセージ欄702には、金額フォーム601にて入力された支払者が支払うべき電子バリューの額と、「支払に同意するなら楕円にタッチ」というメッセージが表示されている。額に間違いがあった場合等は、戻るボタン705をタップすれば、金額を再入力するため、ステップS208に戻ることができる(フローチャートでは図示を省略)。

また、支払確認フォーム701には、支払者が指を触れるための楕円状のタッチ領域703が用意されている。支払者が、電子バリューの支払に同意するアクションとして、タッチ領域703にタッチをすると、携帯端末101の取得部102は、タッチスクリーンに対する接触状況から、指紋の特徴情報を、支払者の生体情報として取得する(ステップS210)。

そして、制御部103は、ステップS210において取得された支払者の生体情報が、保持部105に保持された操作者の生体情報のいずれかとマッチするか調べる(ステップS211)。上述の通り、操作者の生体情報は、保持部105の操作者領域451の配列の各要素の生体情報欄に記録されており、その値が「なし」でない要素の各々と、支払者の生体情報とを照合する。

いずれかとマッチする場合は(ステップS211;Yes)、支払者による支払の同意が得られていないこととなるので、ステップS209に戻る。この際に、適宜警告やメッセージを提示しても良い。

いずれともマッチしない場合は(ステップS211;No)、ステップS210において取得された支払者の生体情報が、保持部105に保持された過去の支払者の生体情報のいずれかとマッチするか調べる(ステップS212)。後述するように、ステップS210において取得された支払者の生体情報は、支払が完了した後に保持部105に登録されて、過去の支払者の生体情報として利用される。

支払者の生体情報は、保持部105の支払者領域471の配列の各要素の生体情報欄に記録されており、その値が「なし」でないものの各々と、支払者の生体情報とを照合する。

いずれともマッチしない場合は(ステップS212;No)、生体情報によるチェックはパスしたこととなり、支払者の可搬デバイスから、電子バリューの支払を受ける処理が開始される。

まず、通知部107は、可搬デバイスの検出中であることを示す通知を、可聴音、可視光、振動などにより、所定の強さで出力し、周囲の人に知得させ(ステップS214)、携帯端末101は、タッチスクリーン252に、可搬デバイスとのNFCに係る通信フォームを表示する(ステップS215)。図9は、可搬デバイスとのNFCを開始しようとする旨を表す通信フォームの表示例である。以下、本図を参照して説明する。

通信フォーム801のメッセージ欄802には、「端末を裏返してマークに可搬デバイスを近付けてください」と表示されている。これにより、操作者に、端末ハードウェア251を裏返して、支払者が可搬デバイスを近付けやすくするよう促す。図10は、端末ハードウェアの裏側の様子を示す説明図である。以下、本図を参照して説明する。

端末ハードウェア251の裏面には、風景や他人を撮影するためのカメラ264が配置されているほか、NFCチップが配置されている場所を示すマーク253が貼付されている。支払者がマーク253に重なるように可搬デバイスを近付けると、NFCチップが可搬デバイスを検出する。

なお、通信フォーム801の戻るボタン803をタップすると、制御はステップS208に戻り、金額の入力からやり直す(フローチャートには図示せず)。これにより、現在の額による電子バリューの支払の受付をキャンセルすることができる。

さて、通信フォーム801により、携帯端末101を裏返すことを促した後、検知部109は、傾きセンサにより、端末ハードウェア251の傾きを検知する(ステップS217)。そして、検知された傾きと目標となる傾きが、所定の誤差範囲内であるか否かを調べる(ステップS218)。本実施例では、表面の外向き法線の向きを検知してこれを端末の傾きとし、目標となる傾きを重力の向きとしている。

両者が所定の誤差範囲内でなければ(ステップS218;No)、ステップS214に戻る。この際に、傾きを正しくするよう、通信フォーム801のメッセージ欄802に表示することとしても良い。したがって、NFCチップと可搬デバイスが十分に近付いて、NFCが可能となっていても、電子バリューの支払は行なわれない。

一方、所定の誤差範囲内であれば(ステップS218;Yes)、端末ハードウェア251の裏面が上方を向いており、支払者がマーク253を視認できるようになっていることなる。そこで、携帯端末101のNFCチップは、近傍の可搬デバイスとNFCが可能か、検出を試みる(ステップS219)。図11は、端末ハードウェアに可搬デバイスを近付けた様子を示す説明図である。以下、本図を参照して説明する。

本図に示すように、支払者が、端末ハードウェア251のマーク253に重なるように、可搬デバイス254を端末ハードウェア251の裏面に近付けると、NFCチップが可搬デバイスを検出して、両者の通信が可能となる。

ここで、可搬デバイスが検出されなければ(ステップS219；No)、ステップS214に戻る。したがって、携帯端末101が可搬デバイスを検出しようとしている間は、繰り返し通知が出力されることになる。

なお、本態様では、支払者が可搬デバイス254を携帯端末101に近付けようとするときには、携帯端末101が裏返されており、タッチスクリーンの表示が支払者にも操作者にも見えない。そこで、携帯端末101の傾きが正しいか否か、すなわち、タッチスクリーンの表面の外向き法線ベクトルと重力の向きとが所定の誤差範囲内であるか否かにより、通知のパターンを変更することが望ましい。たとえば、正しい傾きのときと、誤った傾きのときとで、発せられる通知音の音高や音色、メロディを異なるものとしたり、誤った傾きの間は連続して振動させ、正しい傾きになったら間欠的に振動させるなど、振動パターンを異なるものとすれば、タッチスクリーンによる表示がなくとも、操作者は現在の携帯端末101の状態を知ることができる。

本態様では、可搬デバイス254の裏面を上側に略水平に配置した傾きが検知されている間だけ、可搬デバイスの検出を試みることとしているが、当該検出を試みるための傾きは、端末ハードウェアの形状や店舗での運用に応じて、適宜変更が可能である。

さて、可搬デバイスとのNFCが可能であることが検出されたら(ステップS219;Yes)、携帯端末101は、無線LANを経由してシンクライアント用サーバに、支払うべき額を送信する(ステップS220)。そして、可搬デバイスと、シンクライアント用サーバと、の間の通信の中継を開始する。なお、シンクライアント用サーバは、支払うべき額を携帯端末101から受信すると、当該携帯端末101が、ステップS202において紐付けがなされている携帯端末101であるか否かを確認し、提供者との紐付けがされていない携帯端末であれば決済を拒否することとしても良い。この場合には、携帯端末101は、エラーを報告して、本処理を終了するか、ステップS201に戻り、シンクライアント用サーバへのログインをやり直すこととすれば良い(フローチャートには図示せず)。

具体的には、携帯端末101は、シンクライアント用サーバから送信された減少コマンドを無線LAN経由で受信し(ステップS221)、当該受信された減少コマンドをNFCチップ経由で可搬デバイスへ送信する(ステップS222)。

そして、携帯端末101は、可搬デバイスから送信された減少コマンドの実行結果を受信し(ステップS223)、当該受信された実行結果をシンクライアント用サーバへ送信する(ステップS224)。

可搬デバイスに割り当てられたアカウントに残存する電子バリューが支払額以上であれば、減少コマンドは成功し、支払の決済が完了することとなる。この場合の実行結果には、支払後に可搬デバイスに残存した電子バリューの額が含まれる。

携帯端末101は、シンクライアント用サーバから送信された指示を受信する(ステップS225)。この指示に、支払完了の旨ならびに残存した電子バリューの額が指定されていれば(ステップS226;Yes)、携帯端末101は、保持部105に保持されている過去の支払者の生体情報の個数が所定の上限に以下か否かを判定する(ステップS227)。上限を超えていれば(ステップS227;No)、消去部106は、最古に取得された支払者の生体情報を1つ消去して(ステップS228)、ステップS229に進む。一方、上限以下であれば(ステップS227;Yes)、ステップS210において取得された最新の生体情報、すなわち、今回の支払に係る支払者の生体情報を保持部105に保持させる(ステップS229)。

このように、保持部105に保持される生体情報の個数が所定の数以下となるように制御するのである。この上限を1とした場合には、保持部105は、過去の支払者の生体情報が最大でも1つだけ保持されることになる。このため、過去の支払者の生体情報を携帯端末101内に保持する期間を必要最小限とすることができ、プライバシーに配慮した運用が可能となる。

ここで、支払者の生体情報は、保持部105の支払者領域471に記録される。支払者領域471は配列により実現されており、図5Aに示す例では、各要素には、生体情報欄とタイムスタンプ欄とが用意されており、支払者領域471の要素数は複数(本図では4)である。各要素の生体情報欄には、支払が完了した支払者の生体情報を記録し、タイムスタンプ欄には、当該生体情報が取得された日時もしくは当該支払が完了した日時が記録される。

一方、図5Bに示す例では、支払者領域471の要素は1つだけで、生体情報欄が用意されているが、タイムスタンプ欄はない。

支払者領域471の各要素472における生体情報欄473およびタイムスタンプ欄474には、操作者領域451と同様に、何も登録がなければ「なし」を記録する。図5Aに示す例において、最古の生体情報を消去するには、タイムスタンプ欄474に記録されている日時が最古の要素472を探し出し、その要素472の生体情報欄473およびタイムスタンプ欄474に「なし」を書き込めば良い。図5Bに示す例において、最古の生体情報を消去するには、唯一の要素472が最古の生体情報を持つことになるから、当該要素472の生体情報欄473に「なし」を書き込むだけで良い。

なお、上記の説明では、ステップS228において、最古の生体情報を消去してから、今回の生体情報を保持させているが、これらをまとめて、支払者領域471の配列における最古の要素472に対して、今回の支払者の生体者情報および取得日時もしくは支払完了日時を上書きすれば良い。

なお、携帯端末101と提供者との紐付けが終わった後に初めて電子マネーの支払がされようとする状況下では、保持部105には、過去の支払者の生体情報は保持されていないことになるが、保持部105の過去の支払者の生体情報の初期値として、最後に登録された操作者の生体情報を採用することもできる。この場合には、適宜、操作者の生体情報との照合(ステップS211)を省略しても良い。

そして、通知部107は、決済完了の通知を、可聴音、可視光、振動などにより出力する(ステップS230)。ここでの通知は、可搬デバイスの検出をしている間の通知とは、出力パターンが異なるものとすることが望ましい。

操作者は、通知の出力パターンから電子バリューの支払が完了したことを知得して、携帯端末101を裏返し、タッチスクリーンが見えるようにする。

一方、携帯端末101は、メッセージフォームをタッチスクリーンに表示する(ステップS231)。図12は、電子バリューの支払が完了した旨を表すメッセージフォームの表示例である。以下、本図を参照して説明する。

本図に示すように、メッセージフォーム901のメッセージ欄902には、支払われた電子バリューの額、可搬デバイスのアカウントに残存する電子バリューの額、ならびに、挨拶が表示される。メッセージフォーム901の次へボタン903がタップされると、制御はステップS208に戻り、次の電子バリューの支払の受付が開始される。

可搬デバイスのアカウントから電子バリューの支払ができなかった場合には、シンクライアント用サーバは、支払が完了していない旨の指示を送信する。そこで、携帯端末101が受信した指示に、支払完了の旨が指定されていなければ(ステップS226;No)、通知部107は、決済失敗の通知を、可聴音、可視光、振動などにより出力する(ステップS232)。ここでの通知も他の通知とは、出力パターンが異なるものとすることが望ましい。すると、操作者は、通知の出力パターンから電子バリューの支払が失敗したことを知得できる。

決済が失敗していれば(ステップS226;No)、携帯端末101は、通信フォーム801のメッセージ欄802の表示を残額不足である旨に変更して(ステップS233)、ステップS214に戻る。図13は、電子バリューの残額が不足している旨を表す通信フォームの表示例である。以下、本図を参照して説明する。

通信フォーム801のメッセージ欄802には、「残額不足です。他の可搬デバイスを近付けてください」というメッセージが表示されるので、操作者は、携帯端末101を裏返して、その旨を確認することができる。なお、支払そのものをやめたい場合には、上記のように、通信フォーム801の戻るボタン803を操作者等がタップすれば良い。

さて、本実施形態では、過去の支払者の生体情報と今回の支払者の生体情報とがマッチした場合には(ステップS212;Yes)、操作者による高いレベルの確認を行うことで、電子マネーの支払を可能とする。この確認には時間と手間を要するので、不正行為が繰り返し行われることを抑制することができる。

すなわち、携帯端末101は、支払確認フォーム701をタッチスクリーンに表示する(ステップS234)。図14は、高いレベルの確認を支払者に求める支払確認フォームの表示例である。以下、本図を参照して説明する。

支払確認フォーム701においては、ステップS209とは異なり、メッセージ欄702に「操作者が楕円にタッチして確認」と記載され、操作者がアクションをとることを促している。

操作者がタッチ領域703にタッチをすると、携帯端末101の取得部102は、タッチスクリーンに対する接触状況から、操作者の生体情報を取得する(ステップS235)。

そして、端末装置101の制御部103は、ステップS233において取得された操作者の生体情報が、保持部105に保持された操作者の生体情報のいずれかとマッチするか調べる(ステップS236)。いずれかとマッチする場合は(ステップS236;Yes)、支払者が支払に同意した旨を操作者が確認したものと判断して、ステップS214に進む。

いずれともマッチしない場合(ステップS236;No)、ステップS234における操作者の生体情報の取得が所定のリトライ回数に至っていなければ(ステップS237;No)、ステップS235に戻る。

リトライ回数に至っていれば(ステップS237;Yes)、支払の決済ができないことを通知するため、携帯端末101は、タッチスクリーンにメッセージフォーム901を表示する(ステップS238)。この状況に至るのは、提供者側の作業手順によるミスや指紋センサ等の故障のほか、携帯端末101が盗まれた場合等が考えられる。図15は、電子バリューの支払ができない旨を表すメッセージフォームの表示例である。以下、本図を参照して説明する。

メッセージフォーム901のメッセージ欄902には、電子バリューの支払の決済ができない旨、エラーコード、事業者の連絡先電話番号等が記載されており、提供者からの問い合わせが誘導されている。

ここで、次へボタン903がタップされると、本態様では、処理はステップS208に戻り、電子バリューの支払額の入力が再開される。ただし、ここで、プログラム自体を停止させたり、ステップS201に戻って、提供者の再登録を行うこととしても良い。

なお、タッチスクリーン内に表示されたタッチ領域402、703を操作者や支払者にタッチさせるのではなく、端末ハードウェアに用意された指紋センサをタッチさせるアクションを採用することによって、操作者や支払者の生体情報を取得するとともに、支払者の同意のアクションとしても良い。

電子マネーシステムで、店舗において電子マネーによる支払を可能とするためには、原則として、CCT(Credit Center Terminal)接続型やPOS(Point of Sale)直結型の決済端末を導入する必要があるが、特に小規模な店舗にとっては、決済端末の導入にかかるコストは無視できない。したがって、電子マネーシステムの普及のための重要なキーの一つは、決済端末の導入に要するコストを低減することである。本実施形態によれば、スマートフォンや携帯電話などの安価な端末ハードウェアを利用することで、電子マネーシステムの決済機能の導入にかかるコストを低減し、小規模店舗に電子マネー支払を導入しやすくすることができる。

また、本実施形態によれば、支払者の生体情報、端末ハードウェアの傾き、可聴音等による通知、場所の制限に係る技術を適宜採用することにより、電子バリューの支払についての不正行為が生じるおそれが高いと考えられる場合には、支払をしないように制御フローを進めることで、可搬デバイスとのNFCを制限するので、不正行為を効果的に抑制することができる。

2つの生体情報が同一人から取得されたものか否かは、両者の類似度があらかじめ定めた閾値を超えたか否かにより判定するのが一般的である。すなわち、生体情報の一致が多ければ、類似度は高く、不一致が多ければ、類似度は低い。

そこで、本実施形態では、保持部105に保持される過去の支払者の生体情報のそれぞれと、今回の支払者の生体情報と、の照合を行う際に、両者の類似度を利用する。

上記の実施形態では、一人の支払者が店頭で支払をする状況では、ある物品を購入してレジを離れた後に、またレジに戻って別の商品を購入することは稀である、と想定して、直前の支払者の生体情報と今回の支払者の生体情報がマッチする場合には、操作者による確認を要することとして、支払のためのNFCを制限していた。

しかしながら、ある日に物品を購入した翌日に、当該店舗でまた物品を購入することはよくある。すなわち、一人の支払者が店頭で支払をする際に、その支払者が再度支払をする可能性は、前回の支払と今回の支払との間の経過時間によって変化すると考えられる。

そこで、本実施形態では、生体情報を照合する際に、マッチするか否かの類似度の閾値を、過去の支払者の生体情報が取得されてからの経過時間によって変化させることにより、生体情報の照合を適切に行うこととする。

上記のように、前回の支払から長時間が経過すれば、同じ支払者が再度支払をする可能性は高くなる。したがって、過去の生体情報と今回の生体情報との類似度が高くとも、前回の支払から長時間が経過しているのであれば、支払の制限を解除して良い、と考えられる。

本実施形態では、保持部105に保持されている過去の支払者の生体情報のそれぞれに、閾値を対応付ける。そして、支払者の生体情報が取得されてからの経過時間が長くなればなるほど、当該生体情報に対応付けられる閾値を増大させる。

そして、制御部103は、過去の支払者の生体情報と、今回の支払者の生体情報と、の類似度を求めたら、この類似度を、過去の支払者の生体情報に対応付けられる閾値と比較して、類似度が閾値を超えていれば、両者はマッチするものとして、電子バリューの支払を制限する。類似度が閾値以下であれば、両者はマッチしないものと判断するのである。

なお、支払者の生体情報が取得されてからの経過時間のかわりに、支払者の生体情報に係る支払が完了してからの経過時間を採用することもできる。たとえば、店頭レジにおいて、物品の購入が済んだ後に、レジ横に置いてある物品を追加購入することは、一般消費者がとりうる行動である。この場合には、前回の支払が完了してから、物品の追加購入をする旨を店員に告げ、店員が物品の金額をチェックして入力し、消費者の支払の同意を得るまでに、数十秒程度の時間を要するものと考えられる。

一方で、不正行為により連続して電子バリューを盗み出そうとする者は、前回の不正取得が成功したら直ちに次の不正取得をしようとするものと考えられる。したがって、不正取得者が、前回の支払(略取)を完了してから、次の支払の金額を入力し、生体情報の取得に至るまでの時間は、数秒程度になるものと考えられる。

このような状況を考慮すれば、閾値は、前回の支払が完了してからの経過時間に応じて、以下のように変化させれば良いものと考えられる。すなわち、経過時間が数秒程度であれば、閾値を低く抑え、数十秒程度の間は閾値を高くする。その後は、閾値を急激に減少させてから、緩やかに増大させる。

経過時間に応じた閾値は、提供者の客層の行動パターンと不正利用者の行動パターンとに応じて、適宜設定を変更することとしても良い。

なお、操作者の生体情報と今回の支払者の生体情報とを照合する際の類似度の閾値は、一定値を維持することが望ましい。電子バリューによる支払を受け付けている間、操作者は変わらないからである。

本実施例によれば、支払者の行動に応じて、生体情報の照合判断を適切に行うことができるようになる。

上記の態様では、支払者の生体情報によるチェックを経れば、電子バリューの支払をしていたが、本態様では、不正利用をより一層抑制する観点から、操作者の確認をさらに行うこととする。

すなわち、上記態様では、支払の額がシンクライアント用サーバに伝達される毎に、携帯端末101が提供者に紐付けされたものであるか否かを確認する。本態様では、支払の度に、操作者のチェックを行うこととする。

たとえば、ステップS203-S204において操作者の生体情報を登録するのに加えて、さらに、操作者に決済用パスワードを登録させる。

このほか、シンクライアント用サーバに、有効期限(典型的には、今日のみ)が設定された決済用パスワードを生成させる態様もある。この態様では、携帯端末101と提供者との紐付けがなされると、シンクライアント用サーバが決済用パスワードを生成して、ログイン成功の際に携帯端末101に知らせる。携帯端末101は、シンクライアント用サーバから通知された決済用パスワードをステップS205において概要フォーム501内に表示し、操作者に知得させる。

そして、金額フォーム601における次へボタン604のタップにかえて操作者に再度決済用パスワードを入力させたり、支払者による支払同意のアクションの検知の前後に操作者に再度決済用パスワードを入力させる、等により、操作者の身元を確認する、という手法である。

このほか、ステップS203-S204において、操作者自身が所有する可搬デバイスを検知して、この可搬デバイスの識別番号により、操作者の身元を確認する、という手法もある。この態様では、操作者(売り子)は、自身の可搬デバイスを携帯端末101に翳して、支払のやり方の見本を支払者に見せると同時に、可搬デバイスによる操作者の認証も行うことができる。

この態様では、操作者の登録の際に、操作者が用意した可搬デバイスから一定額(一日の売上額程度)を供託させ、営業が終了した後に同じ可搬デバイスを翳すことで、供託させた電子バリューを返還する、という手順をとることも可能である。

なお、操作者の身元確認は、シンクライアント用サーバにて行っても良いし、携帯端末101に保存された決済用パスワードに基づいて、携帯端末101が判定することとしても良い。

上記態様では、支払者がタッチスクリーンや指紋センサにタッチするアクションにより支払の同意を得ていたが、本態様では、これにかえて、もしくは、これに加えて、支払者が所有するスマートフォン等を利用する。

すなわち、操作者により支払の額が入力された操作者の携帯端末101は、決済用のワンタイムパスワードを生成する。ワンタイムパスワードは、その度にランダムに生成しても良いし、あらかじめ用意したものを適宜利用しても良い。

そして、操作者の携帯端末101は、たとえばBluetooth(登録商標)や赤外線通信等の近距離通信により、支払者のスマートフォンや携帯電話等の表示端末に、支払の額とワンタイムパスワードを送る。

支払者の表示端末は、受信した支払の額とワンタイムパスワードを画面に表示する。この後、支払者は、表示された額の支払に同意するならば、表示されたワンタイムパスワードを操作者の携帯端末101に入力するアクションを行うのである。

本態様では、支払者の生体情報によるチェックを上記態様と同じように利用することもできるが、支払者のスマートフォンや携帯電話に割り当てられた識別情報(MACアドレスや製造番号等)を、上記態様における支払者の生体情報のかわりに利用することもできる。

なお、識別情報の対比においては、一致するか否か、すなわち、類似度が0%か100%か、が判定される。そこで、経過時間が数十秒までは同じ識別情報であっても支払を可能とするが、その後は一旦支払を不可能とし、数時間経過した後はまた支払を可能とする、等、同じ識別情報であっても経過時間に応じて支払を受け入れるか拒否するかを切り替えることとしても良い。この態様は、上述の、経過時間に応じて照合の閾値を変化させる態様に相当する。

支払者のスマートフォン等の識別情報を支払者の生体情報のかわりに利用する態様によれば、不正利用者は「支払者のスマートフォン等」に相当する機器を大量に用意しなければ、不正な引出しを繰り返すことができなくなる。したがって、不正利用を抑制することができる。

本発明によれば、電子バリューの支払者に操作者が提示する携帯端末において、不正使用を抑制するのに好適な携帯端末、当該携帯端末で実行されるプログラムを配布する配布サーバ、当該携帯端末の制御方法、ならびに、当該プログラムを提供することができる。

101 携帯端末
102 取得部
103 制御部
104 プロンプト部
105 保持部
106 消去部
107 通知部
108 設定部
109 検知部
251 端末ハードウェア
252 タッチスクリーン
253 マーク
254 可搬デバイス
301 入力フォーム
302 ショップコード欄
303 パスワード欄
304 次へボタン
401 指紋登録フォーム
402 タッチ領域
403 登録ボタン
404 次へボタン
501 概要フォーム
502 概要欄
503 次へボタン
504 最初からボタン
601 金額フォーム
602 バリュー欄
603 ソフトウェアキーボード
604 次へボタン
701 支払確認フォーム
702 メッセージ欄
703 タッチ領域
705 戻るボタン
801 通信フォーム
802 メッセージ欄
803 戻るボタン
901 メッセージフォーム
902 メッセージ欄
903 次へボタン

Claims (22)

1. 電子バリューの支払者へ支払を求める操作者により前記支払者へ提示される携帯端末であって、当該携帯端末はプログラムを実行することにより、
   前記支払者の第1生体情報を取得する取得部、
   前記取得部により過去に取得された生体情報に係る電子バリューの支払が前記携帯端末を介して過去に完了した生体情報として保持部に保持された生体情報である第2生体情報が、前記第1生体情報にマッチしなければ、前記支払者による前記電子バリューの支払の支払元となる可搬デバイスとの近接場通信を開始する制御部
   を備え、
   前記開始された近接場通信により前記携帯端末を介した前記電子バリューの支払が完了すれば、前記保持部は、前記取得部により過去に取得された生体情報に係る電子バリューの支払が前記携帯端末を介して過去に完了した生体情報として、前記第1生体情報を保持する
   ことを特徴とする携帯端末。
2. 請求項1に記載の携帯端末であって、
   前記支払に同意するためのアクションとして、前記携帯端末が有する指紋センサにタッチし、前記携帯端末が有するマイクに発声し、もしくは、前記携帯端末が有するカメラにより所定時間姿勢を維持した姿を撮影することを前記支払者に促すメッセージを出力するプロンプト部をさらに備え、
   前記取得部は、前記指紋センサにより検知された指紋、前記マイクにより検知された声紋、もしくは、前記カメラにより撮影された写真から前記第1生体情報を取得する
   ことを特徴とする携帯端末。
3. 請求項1または2に記載の携帯端末であって、
   前記第2生体情報が、前記第1生体情報にマッチすれば、前記制御部は、前記近接場通信を制限する
   ことを特徴とする携帯端末。
4. 請求項1から3のいずれか1項に記載の携帯端末であって、
   前記制御部は、前記操作者の生体情報を、前記保持部に保持される生体情報の初期値とすることにより、前記操作者の生体情報を、前記取得部により過去に取得された生体情報に係る電子バリューの支払が前記携帯端末を介して過去に完了した生体情報とみなす
   ことを特徴とする携帯端末。
5. 請求項1または2に記載の携帯端末であって、
   前記保持部は、前記取得部により取得された生体情報を所定期間保持し、もしくは前記取得部により過去に取得された生体情報のうち新しい所定個数の生体情報を保持し、
   前記保持部に保持された生体情報のいずれかが、前記第1生体情報にマッチすれば、前記制御部は、前記近接場通信を制限する
   ことを特徴とする携帯端末。
6. 電子バリューの支払者へ支払を求める操作者により前記支払者へ提示される携帯端末であって、当該携帯端末はプログラムを実行することにより、
   前記支払者の第1生体情報を取得する取得部、
   前記取得部により過去に取得された第2生体情報が、前記第1生体情報にマッチしなければ、前記支払者により前記電子バリューの支払に供される可搬デバイスとの近接場通信を開始する制御部、
   前記取得部により取得された生体情報を所定期間保持し、もしくは前記取得部により過去に取得された生体情報のうち新しい所定個数の生体情報を保持する保持部
   を備え、
   前記保持部に保持される生体情報のそれぞれには、当該それぞれの生体情報が取得されて以降もしくは当該生体情報に係る支払が完了して以降の時間経過とともに変化する閾値が対応付けられ、
   前記それぞれの生体情報と、前記第1生体情報と、の類似度が、当該それぞれの生体情報に対応付けられる閾値を超えれば、当該それぞれの生体情報は、前記第1生体情報にマッチする
   ことを特徴とする携帯端末。
7. 請求項6に記載の携帯端末であって、
   前記保持部は、前記操作者の生体情報をさらに保持し、
   前記操作者の生体情報に対応付けられる閾値は一定である
   ことを特徴とする携帯端末。
8. 請求項5から7のいずれか1項に記載の携帯端末であって、
   前記電子バリューの支払が完了すれば、前記保持部に保持される生体情報のうち最古に取得された生体情報を消去する消去部
   をさらに備えることを特徴とする携帯端末。
9. 請求項1から8のいずれか1項に記載の携帯端末であって、
   前記携帯端末の傾きを検知する検知部
   をさらに備え、前記検知された傾きが所定範囲内でなければ、前記制御部は、前記近接場通信を制限する
   ことを特徴とする携帯端末。
10. 請求項1から9のいずれか1項に記載の携帯端末であって、
    可聴音、可視光もしくは振動の少なくとも一つにより通知を出力する通知部、
    前記通知が出力されるべき強さを設定する設定部、
    前記出力された前記通知の大きさを検知する検知部
    をさらに備え、
    前記通知部は、前記近接場通信がされる旨の通知を出力し、
    前記通知部は、前記設定された強さにかかわらず、前記近接場通信がされる旨の前記通知を、あらかじめ定められた強さで出力し、
    前記検知された大きさが所定下限未満であれば、前記制御部は、前記近接場通信を制限する
    ことを特徴とする携帯端末。
11. 請求項10に記載の携帯端末であって、
    前記検知された大きさが前記所定下限以上であれば、前記制御部は、前記近接場通信を開始する
    ことを特徴とする携帯端末。
12. 請求項1から10のいずれか1項に記載の携帯端末であって、
    前記携帯端末が所定地域内になければ、前記制御部は、前記近接場通信を制限する
    ことを特徴とする携帯端末。
13. 請求項12に記載の携帯端末であって、
    前記携帯端末が前記所定地域に対応付けられるノードと無線通信ができれば、前記携帯端末が前記所定地域内にあるものとする
    ことを特徴とする携帯端末。
14. 請求項2に記載の携帯端末であって、
    前記携帯端末は、前記支払者により前記アクションがされた旨を無線通信によりサーバに通知し、当該サーバと前記可搬デバイスとの間を中継することにより、前記近接場通信をする
    ことを特徴とする携帯端末。
15. 電子バリューの支払者へ支払を求める操作者により前記支払者へ提示される携帯端末であって、当該携帯端末はプログラムを実行することにより、
    前記携帯端末の傾きを検知する検知部、
    前記検知された傾きが所定範囲外であれば、前記支払者による前記電子バリューの支払の支払元となる可搬デバイスとの近接場通信を制限する制御部
    を備えることを特徴とする携帯端末。
16. 電子バリューの支払者へ操作者により提示される携帯端末であって、当該携帯端末はプログラムを実行することにより、
    可聴音、可視光もしくは振動の少なくとも一つにより通知を出力する通知部、
    前記通知が出力されるべき強さを設定する設定部、
    前記支払者により前記電子バリューの支払に供される可搬デバイスとの近接場通信を開始する制御部、
    前記出力された前記通知の大きさを検知する検知部
    を備え、
    前記通知部は、前記近接場通信がされることを通知し、
    前記通知部は、前記設定された強さにかかわらず、前記近接場通信がされる旨の前記通知を、あらかじめ定められた強さで出力し、
    前記検知された大きさが所定下限未満であれば、前記制御部は、前記近接場通信を制限する
    ことを特徴とする携帯端末。
17. 電子バリューの支払者へ支払を求める操作者により前記支払者へ提示される携帯端末であって、当該携帯端末はプログラムを実行することにより、
    ワンタイムパスワードを生成する生成部、
    前記支払に同意するために前記生成されたワンタイムパスワードを前記支払者の表示端末との近距離通信を介して当該表示端末に送り、当該ワンタイムパスワードを当該表示端末に表示させることにより、当該表示されたワンタイムパスワードを当該携帯端末に入力するアクションをすることを前記支払者に促すプロンプト部、
    前記支払者がしたアクションに係るパスワードが前記生成されたワンタイムパスワードに一致すれば、前記支払者による前記電子バリューの支払の支払元となる可搬デバイスとの近接場通信を開始する制御部
    を備えることを特徴とする携帯端末。
18. 請求項17に記載の携帯端末であって、
    前記支払者の表示端末の第1識別情報を前記近距離通信を介して取得する取得部
    をさらに備え、
    前記制御部は、前記取得部により過去に取得された第2識別情報が、前記第1識別情報にマッチすれば、前記近接場通信を制限する
    ことを特徴とする携帯端末。
19. 請求項14から18のいずれか1項に記載の携帯端末であって、
    前記携帯端末が所定地域内になければ、前記制御部は、前記近接場通信を制限する
    ことを特徴とする携帯端末。
20. 電子バリューの支払者へ支払を求める操作者により前記支払者へ提示される携帯端末にプログラムを配布する配布部を備える配布サーバであって、
    当該携帯端末は前記プログラムを実行することにより、
    前記支払者の第1生体情報を取得する取得部、
    前記取得部により過去に取得された生体情報に係る電子バリューの支払が前記携帯端末を介して過去に完了した生体情報として保持部に保持された生体情報である第2生体情報が、前記第1生体情報にマッチしなければ、前記支払者による前記電子バリューの支払の支払元となる可搬デバイスとの近接場通信を開始する制御部
    として機能し、
    前記開始された近接場通信により前記携帯端末を介した前記電子バリューの支払が完了すれば、前記保持部は、前記取得部により過去に取得された生体情報に係る電子バリューの支払が前記携帯端末を介して過去に完了した生体情報として、前記第1生体情報を保持する
    プログラムを配布することを特徴とする配布サーバ。
21. 電子バリューの支払者へ支払を求める操作者により前記支払者へ提示される携帯端末の制御方法であって、
    前記支払者の第1生体情報を取得する取得ステップ、
    前記取得ステップにて過去に取得された生体情報に係る電子バリューの支払が前記携帯端末を介して過去に完了した生体情報として保持された生体情報である第2生体情報が、前記第1生体情報にマッチしなければ、前記支払者による前記電子バリューの支払の支払元となる可搬デバイスとの近接場通信を開始する制御ステップ、
    前記開始された近接場通信により前記携帯端末を介した前記電子バリューの支払が完了すれば、前記取得ステップにて過去に取得された生体情報に係る電子バリューの支払が前記携帯端末を介して過去に完了した生体情報として、前記第1生体情報を保持する保持ステップ
    を備えることを特徴とする制御方法。
22. 電子バリューの支払者へ支払を求める操作者により前記支払者へ提示される携帯端末により実行されるプログラムであって、前記プログラムは当該携帯端末を、
    前記支払者の第1生体情報を取得する取得部、
    前記取得部により過去に取得された生体情報に係る電子バリューの支払が前記携帯端末を介して過去に完了した生体情報として保持部に保持された生体情報である第2生体情報が、前記第1生体情報にマッチしなければ、前記支払者による前記電子バリューの支払の支払元となる可搬デバイスとの近接場通信を開始する制御部
    として機能させ、
    前記開始された近接場通信により前記携帯端末を介した前記電子バリューの支払が完了すれば、前記保持部は、前記取得部により過去に取得された生体情報に係る電子バリューの支払が前記携帯端末を介して過去に完了した生体情報として、前記第1生体情報を保持する
    ことを特徴とするプログラム。

Images