JPH11505348A - 価値振替システムにおける取引回復 - Google Patents

Abstract

(57)【要約】 電子キャッシュとして電子財布間のトランザクションで価値を移転する価値振替システムは、トランザクション・メッセージが送信された後に保留ログがそれを記憶する、トランザクション失敗回復手順を有する。エラーを検出するとインターフェイス装置（ＩＦＤ）が支払再開コマンドを発行し、最後のトランザクション・メッセージを再送信してトランザクションを再開することができる。

Description

【発明の詳細な説明】 価値振替システムにおける取引回復 本発明は、キャッシュレス・トランザクションにおける価値振替システムに関 し、具体的には失敗したトランザクションの回復に関する。価値振替システムは 、「電子財布」間での貨幣価値の交換を可能とするために提案されてきた。この ようなシステムは、例えば、国際特許公告ＷＯ ９１／１６６９１号およびＷＯ ９３／０８５４５号に記載されている。「スマート・カード」としても知られ るＩＣカード（ＩＣＣ）のような不正操作がきかないキャリヤは、マイクロプロ セッサおよび電子メモリを内蔵し、電子財布を携帯する。電子財布は厳密には、 プログラムおよび関連データからなるコンピュータ「アプリケーション」であり 、スマート・カードは、アプリケーション・キャリヤ・デバイス（ＡＣＤ）の１ 例である。 電子財布間で価値を交換するため、それぞれが財布を携帯するカード（ＡＣＤ ）どうしが１つまたは複数のインターフェイス装置（ＩＦＤ）を介して通信をお こなう。例えば銀行から自分の財布に価値、ここでは「電子キャッシュ」をロー ドする場合、顧客は自分のカードを、その銀行に関連の自動受払機（ＡＴＭ）に 提示することになる。ＡＴＭは、インターフェイス装置であり、銀行の電子財布 を携帯するＡＣＤに結合される。インターフェイス装置（ＩＦＤ）が財布間で情 報を交換し、要求された電子キャッシュが銀行の財布から顧客の財布に移される 。銀行に関する限り、これはオンライン・トランザクションである。 インターフェイス装置の別の形態は小売業者の店舗にあるポイント・オブ・セ ール（ＰＯＳ）端末である。この場合は、顧客は、自分のカードを端末に提示し 、結果として、自分の電子財布を小売業者の電子財布に接続する。顧客の財布か ら小売業者の財布に電子キャッシュを移すことによって商品を購入することがで きるのである。銀行に関する限り、これはオフライン・トランザクションである 。遠隔トランザクションも可能であり、そこでは、財布を携帯する２枚のカード が、モデムおよび通信網を介して相互通信するそれぞれのインターフェイス装置 に提示される。したがって例えば、電話を介したトランザクション、またはイン ターネット上でのトランザクションで価値を交換することができる。 トランザクション、特に価値交換のトランザクションは、所定のプロトコルに 従っていくつかのメッセージを財布間で交換することから成立している。いくつ かの理由でメッセージ・シーケンスが中断されることがある。この理由には例え ば、装置故障、電力低下、電気雑音または同期障害によるメッセージの破壊など がある。ほとんどのネットワーク・システムは、モデムレベルでのエラー訂正機 構を備えている。とはいえ、・トランザクションメッセージのシーケンスが中断 されることによりトランザクションが失敗に終わる可能性がある。本発明は、中 断したトランザクションを回復し完遂さ せる機構を有するシステムを追求する。 本発明にしたがって、複数の電子財布と、電子財布を携帯する複数のアプリケ ーション・キャリヤ・デバイス（ＡＣＤ）と、電子財布対の間での価値移転トラ ンザクションの実施を可能とする、ＡＣＤ対を結合するための複数のインターフ ェイス装置（ＩＦＤ）とを含み、ＩＦＤによって結合されたＡＣＤ中の電子財布 対の間のトランザクションが、所定のプロトコルに基づいた一連のトランザクシ ョン・メッセージの交換を含み、各トランザクション・メッセージが、対の一方 の電子財布からＩＦＤに、さらにＩＦＤから対のもう一方の電子財布に送信され 、トランザクション・メッセージが送信されたあとこれらを記憶している記憶手 段が提供され、所定のトランザクション・メッセージのシーケンスが失敗した場 合に、送信された最後のトランザクション・メッセージを記憶手段から取り出し 、これを再送信してシーケンスを再開する段階を含む回復手順の呼出しにＩＦＤ が有効である価値振替システムを提供する。 各電子財布は、現在または最後のトランザクションの明細を保持する保留ログ を含むことが好ましい。前記財布対の保留ログは前記記憶手段を構成する。さら に、各電子財布は、失敗したトランザクションの詳細を記憶する除外ログを有す ることが好ましい。失敗が生じると、保留ログの内容は除外ログのレコードに複 写され、失敗したトランザクションを回復する。 回復手順は、試行錯誤法を含むことができる。この方法に 従うとＩＦＤは以下に対して有効となる。 （ａ）対の第１の電子財布に問い合わせて、この電子財布が送信した最後のト ランザクション・メッセージを保留ログから取り出す。 （ｂ）このトランザクション・メッセージを、対のもう一方の電子財布に送り トランザクションを再開する。これがエラーとなった場合は、 （ｃ）対の前記もう一方の電子財布に問い合わせて、この電子財布が送信した 最後のトランザクション・メッセージを保留ログから取り出す。 （ｄ）このトランザクション・メッセージを対の第１の電子財布に送りトラン ザクションを再開する。 試行錯誤法では、不必要なメッセージが送られることがあり、ある状況では、 より構造化された事前決定による回復方法を用いた方がよいこともある。この方 法では、ＩＦＤは以下に対して有効である。 （ａ）対の両方の電子財布に問い合わせて、失敗したトランザクションでどち らの電子財布がより進行していたかをこれらの保留ログから判定する。 （ｂ）失敗したトランザクションでより進行していた電子財布に問い合わせて 、この電子財布が送信した最後のトランザクション・メッセージを保留ログから 取り出す。 （ｃ）このトランザクション・メッセージを対のもう一方の電子財布に送り、 トランザクションを再開する。 電子財布の保留ログにトランザクション・メッセージを記 憶する代わりに、またはこのようにするのに加えて、送信後、トランザクション ・メッセージをＩＦＤのバッファに記憶してもよい。こうするとＩＦＤが、最後 に送信したメッセージを電子財布から回収する必要がなくなる。 トランザクションの失敗の多くは一時的であり、ＩＦＤが、ユーザに透明な方 法で、自動的かつ即座に回復手順を呼び出すのに有効であることが好ましい。し かし、例えばカードをＩＦＤから取り出すことなどより、トランザクションが大 幅に中断されることがある。この場合には、遅れてトランザクションを回復する 手順が必要であり、好ましい解決は、提案されたトランザクションの始めにＩＦ Ｄが、電子財布に問い合わせて、これらの財布間に再開することのできる未解決 の失敗トランザクションがあるかどうかを判定してから、遅延回復手順を開始す ることである。 本発明を、添付図面に関してさらに説明する。 図１は、本発明に基づいた価値振替システムの概略図である。 図２は、図１のシステムのＰＯＳ端末の配置をしめす概略図である。 図３は、電子財布間の遠隔通信を示す線図である。 図４は、図１のシステムの電子財布のログを示す線図である。 図５は、価値振替システムのＰＯＳ端末における、一般的な価値移転トランザ クションのコマンド・トランザクション・メッセージおよび応答トランザクショ ン・メッセージの流 れを示す線図である。 図６ないし図８は、価値振替システムにおけるトランザクション回復手順の自 動的かつ即時の実施態様の３つのそれぞれの例のコマンド・トランザクション・ メッセージおよび応答トランザクション・メッセージの流れを示す線図である。 図９は、価値振替システムの事前決定遅延回復手順の実施態様におけるコマン ド・トランザクションメッセージおよび応答トランザクション・メッセージの流 れを示す線図である。 図１０は、価値振替システムの事前決定遅延回復手順の実施態様におけるコマ ンド・トランザクションメッセージおよび応答トランザクション・メッセージの 流れを示す線図である。 図１および図２について説明する。本発明に基づいた価値振替システムは、国 際特許公告ＷＯ ９１／１６６９１号およびＷＯ ９３／０８５４５号に説明さ れた種類の電子キャッシュ・システムである。いくつかのスマートカード１はそ れぞれ、マイクロプロセッサ、ＲＡＭ、および電気的に消去可能なプログラム可 能（ＥＥＰＲＯＭ）型のＲＯＭを有するアプリケーション・キャリヤ・デバイス （ＡＣＤ）である。電子財布は、ＡＣＤ上のアプリケーションであり、プログラ ム、および価値データすなわち電子キャッシュを含むデータを保持する。電子キ ャッシュは、１つまたは２つのインターフェイス装置（ＩＦＤ）を介してそれぞ れのＡＣＤを電気的に結合し、トランザクション・メッセージを交換することに よって財布から財布へ伝送される。メッセージは、ＩＦＤが出すコマンドと財布 が与える応答の形態をとる。応答は、価値移転メッセージを含み、これによって 支払人の電子財布中の価値レコードがある量だけ減らされ、受取人の電子財布の 価値レコードが同じ量だけ増やされる。前記国際特許公告の説明のとおり、電子 財布およびトランザクション・メッセージは、公開鍵／秘密鍵暗号システムによ って安全が保証される。 ＩＦＤの１つの形態は、それぞれのＡＣＤを受け入れる２つのスロットを有し 、その中の電子財布間での資金の伝送を制御するパーソナル「札入れ」である。 図２に、２枚のスマート・カード１ｃおよび１ｄが挿入されている札入れＩＦＤ ５を示す。ＩＦＤは、画面６およびキーボード７を有する。内部にＩＦＤは、マ イクロプロセッサ８、ＲＡＭ９およびＥＥＰＲＯＭ１０を有する。ＲＡＭ９の内 部には、２つのバッファ１１および１２がある。各バッファは、メモリの一部で あり、トランザクション・メッセージがＩＦＤからそれぞれＡＣＤ１ｃおよび１ ｄに送信された後にこれらを維持する。別の配置は、どちらのＡＣＤに送られた かに関わらず最後に送信されたメッセージを維持するバッファを１つだけ提供す ることである。バッファまたはバッファ群は、ＲＡＭ中ではなくＥＥＰＲＯＭ中 に置いてもよい。図２には、マイクロプロセッサ１３ｃおよび１３ｄ、ＲＡＭ１ ４ｃ、１４ｄ、ＥＥＰＲＯＭ１５ｃおよび１５ｄを有するＡＣＤも示されている 。 価値移転トランザクションの１つの例は、図１の銀行１６のような銀行から顧 客の電子財布へ電子キャッシュをロードするものである。この場合、顧客のＡＣ Ｄを銀行のＡＣＤに結合するＩＦＤは現金自動受払機１７である。顧客は、小売 業者のＡＣＤが結合されているポイント・オブ・セール（ＰＯＳ）端末に自分の ＡＣＤを提示することによって小売業者から商品を購入することができる。電子 キャッシュ価値を伝送するトランザクションが開始できる。銀行に関する限り、 これはオフライン・トランザクションである。小売業者は、現金自動受払機型の ＩＦＤまたは図３に概略を示す電話のいずれかでの・トランザクションをさらに おこなうことよって、累積した電子キャッシュを自分の銀行に預けることができ る。この場合、小売業者のＡＣＤ１ａは、カード読取機とモデムを組み合わせた ＩＦＤ１８に結合される。ＩＦＤ１８は電話回線により、やはりモデムとカード 読取機を組み合わせた小売業者の銀行のＩＦＤ１９に接続され、このＩＦＤ１９ に銀行のＡＣＤ１ｂが結合される。 図４に、３つの支払レコードを維持している電子財布データを保持するＡＣＤ のＥＥＰＲＯＭ４の部分を概略的に示す。 現在または最後の支払いの明細が保留ログのレコード２０に保持されている。 支払いが限界点に到達したが、まだ完了していないとき、この支払いは回復に適 格である。保留ログのレコードに明細が残っている間、この支払中に財布が送信 した最新の支払プロトコル・メッセージがあれば、それを再 び取り出すことができる。この限界点は、受取人支払開始コマンド（受取人の財 布中にある）、または支払要求コマンド（支払人の財布中にある）のいずれかの 処理がうまく実行されている間に起こる。この段階で保持された支払は、回復に 適格であることができる。保留ログ・レコードは１つだけある。 除外ログ２１は、うまく完了することができなかったがもはや回復することが できない支払の明細を記憶する。このログのエントリは、上書きすることができ ないが、財布供給者（例えば銀行）によって消去することはできる。除外ログが いっぱいのときは支払いをおこなうことができない。 支払ログ２２は、成功した最後の支払いの明細を保持する。これは、循環ログ であり、これがいっぱいになると最も古いエントリが新しい支払いの明細で上書 きされる。 財布の残高が変化すると直ぐに、支払ログ・レコードがつくられる。これは、 支払要求コマンドの処理（支払人の財布内）または支払価値コマンドの処理（受 取人の財布内）の最中におこなわれる。支払人の財布の場合、この段階で、支払 ログ・レコードは不完了の印をつけられる。（受取人の財布では、これ以上のメ ッセージが予想されないので、支払はここで有効に完了したことになる。） 電子財布間の各トランザクションは、ＩＦＤが生成するコマンド・トランザク ションメッセージ・セットおよび各電子財布が生成する対応する応答トランザク ション・メッセージから構成される。電子財布およびＩＦＤのプログラムは、所 定のコマンド応答シーケンスに従う。シーケンスが故障またはある種の妨害によ って妨げられた場合、トランザクションは、「シーケンス以外のメッセージ」エ ラーを発して、停止する。 次に、通常のコマンド応答シーケンスを説明する。 コマンドは、支払前コマンド、支払開始コマンドおよび支払プロトコル・コマ ンドの３つのセットで説明される。一般的な技術は、支払前コマンドおよび支払 開始コマンドを、支払いの準備として発行し、その後に最小限の支払プロトコル ・メッセージの流れが続き、それは全ての事前チェックが完了して初めて実行さ れ、失敗することなく正常に完了すべきであるというものである。 支払前コマンド 財布レジスタ・コマンドおよびレジスタ・コマンド これらは、ＩＦＤが発行し、財布から各種項目の情報を得る。この情報には、 可変長データ要素長が含まれる。 財布レジスタ・コマンドは、レジスタ・コマンドの応答の長さおよびメモリ書 込みフラグを提供する。レジスタ・コマンドに対する応答は以下を提供する。 財布が有するポケット数、支払ログおよび除外ログの容量および個人コードの 許容試行回数などの財布のアプリケーションについての構成情報。 使っていない除外ログレコードの数、連続的に実施された誤った個人コード試 行の現在のカウント数、および内部記憶の使用程度（パーセントで表現される） を示す現況情報。 財布の注釈に使用する文字セットを示す文字セット・コード。 レジスタ・コマンドは、以前に試みて完了に失敗し、回復に適格な支払いの有 無も示す。これについては後に論じる。 支払レジスタ・コマンド このコマンドは、支払開始コマンド中に相手方の財布に供給されるべき情報を 提供する。この情報はＩＦＤも使用することができる。 支払開始コマンド これには、支払人支払開始コマンドおよび受取人支払開始コマンドの２つの異 形がある。これらのコマンドは類似しているが、受取人支払開始コマンドのみが その応答の中にデータを返す。 支払人支払開始コマンド このコマンドは、支払人の財布に送られる。このコマンドは、支払人の財布に 、実施されるべき支払の明細（方向、価値および通貨）および相手方の財布の明 細を提供する。 次いで、支払人の財布が以下をチェックする（必ずしもこの順序ではなくても よい）。 支払いに対して十分な資金を有するこの通貨のポケットがあるか。 失敗した場合に支払いの明細を保持する開放できる要素が除外ログにあるか。 ２つの財布が異なる財布識別子を有しているか。（常にこうでなければならな い。） 受取人の財布のクラスが、支払人の財布のクラス・リストにあるか。 財布は、ロックまたはロック・アウトされていないか。 これらのチェックが成功し、不完全な以前の支払いが保留ログにある場合は、 この支払いは除外ログに移動される。除外ログがいっぱいの場合は、支払いを先 に進めることができない。 このコマンドに対してステータス応答がおこなわれる。全てのチェックが成功 した場合、供給された明細は記憶され、続く支払プロトコル・コマンドはこの同 じ情報に基づいて実行されなければならない。財布のデフォールトの通貨は、こ の支払いに対して通知されたものとなる。 次に支払人の財布は、支払要求コマンドを予想する。 受取人支払開始コマンド 支払人支払開始コマンドは、支払人の財布に、実施されるべき支払の明細（方 向、価値および通貨）および相手方の財布の明細を提供する。 次いで財布は以下をチェックする（この場合も必ずしもこの順序ではなくても よい）。 この財布が、指示された通貨の支払を扱うことができるか。（それがサポート されている通貨であり、この通貨に使用できるポケットがあるか。） この支払いによって、通貨価値の限度を超えるようなことはないか。 失敗した場合に支払明細を保持する開放できる要素が除外 ログにあるか。 ２つの財布が異なる財布識別子を有しているか。（これは常に該当しなければ ならない。） 財布は、ロック・アウトされていないか。 これらのチェックが成功し、不完全な以前の支払いが、保留ログにある場合は 、この支払いは除外ログに移動される。除外ログがいっぱいの場合は、支払いを 先に進めることができない。 全てのチェックが成功した場合、供給された明細は記憶され、続く支払コマン ドは同じ情報に基づいて実行されなければならない。適当なら、１つのポケット が指定された通貨に割り当てられ、この通貨がこの財布のデフォールトの通貨に なる。応答の中のデータは、支払要求コマンドの署名であり、支払人の財布への 支払要求コマンドのデータとして使われる。 支払プロトコル・コマンド 支払プロトコル・コマンドは、１つの財布からもう１つの財布に価値を移す３ つのコマンドを含む。 支払要求コマンド。受取人の財布が価値を要求する。 支払価値コマンド。支払人の財布が価値を送信する。 支払確認コマンド。受取人の財布が支払いを確認する。 財布は互いが直接に交信するのではなく１つまたは複数のＩＦＤを介して交信 するので、このシーケンスは、より複雑な方法で実現される。これは、次のよう に機能する。 支払要求コマンドのデータは、受取人の財布に送信された 受取人支払開始コマンドの応答から得られる。これはコマンドに変えられ、支払 要求コマンドとして支払人の財布に送られる。 支払人の財布は、この支払要求コマンドに支払価値メッセージで応答する。こ れは支払価値コマンドとして受取人の財布に送られる。 受取人の財布は、この支払価値コマンドに支払確認メッセージで応答する。こ れは支払確認コマンドとして支払人の財布に送られる。 支払人の財布は、ステータス情報で応答する。 支払トランザクションにおける通常のコマンド応答シーケンスを図５に示す。 図中、枠の中のテキストはコマンドを表し、矢印は応答（データの流れ）を表す 。 トランザクション中に、技術上の故障が生じることがある。例えば、トランザ クションメッセージが汚染されたり、電源が破壊または中断されたり、ＡＣＤが ＩＦＤから抜き取られたりすることが起こる。故障には、一時的なものと重大な ものとがある。本発明は、中断されたトランザクションを回復する方法を提供す る。回復には即時回復（故障検出後直ぐ）および遅延回復（支払失敗後ＩＦＤに 財布を再提示したとき）がある。 これらの回復形式の範囲内に、ＩＦＤが回復を操作する２つの異なる可能な方 法がある。 試行錯誤法。これは支払いの正確な状態を直接に確認することに基づいたもの である。この場合、ＩＦＤは単に支払い を継続する。（試行錯誤法は、メッセージが財布に送られ、応答がまだ届いてい ないときに故障が起きた場合に適用される。ＩＦＤは、財布がメッセージを受け 取り、処理したかどうかが分からないので、同じメッセージを再送しても財布か らエラーメッセージが戻ってくる可能性がある。場合によっては、支払いが既に 完了していて回復が適当でない可能性もある。） 事前決定法。ＩＦＤが、財布から返された値を検討し、これにより支払いを回 復するためにどの財布に、支払再開コマンドを送らなければならないかを判定す ることができる。 両方の財布が１つのＩＦＤに対してローカルな財布である場合は、始めに間違 ったコマンドを発行することによるオーバヘッドが大きなものになる可能性は低 いので、試行錯誤法による回復が最も適当であろう。２つの遠隔ＩＦＤが関与す る場合には、試行錯誤法は、理想的とは言えない。通信リンクを横断したメッセ ージの送信が無駄になることがあるからである。この場合は、試行錯誤法を使用 するよりも、ＩＦＤは事前決定による回復法を使用するほうがよい。なお、事前 決定回復の機構は、遠隔回復だけでなくどんな環境でも使用することができるこ とに留意されたい。また、適当なら回復を呼び出すことができるように、以前に 失敗が起きたことをユーザに知らせる必要もある。 以下の例証は、両方の財布がＩＦＤに対してローカルな財布である場合の即時 回復に基づいたものである。 図６に示すシーケンスを以下に説明する。 Ａ．ＩＦＤは、支払人の財布に送った支払要求コマンドに対する応答を受け取 るのに失敗する。 Ｂ．ＩＦＤは、支払要求コマンドを支払人の財布に再び送る。 Ｃ．２回目の試行後ＩＦＤは、支払人の財布から支払価値メッセージを受け取 る。（この場合、支払要求コマンドは、受取人の財布によって事前に処理されて いなかった。） この例では、トランザクション・メッセージを送信後も、ＩＦＤはこれらをバ ッファに保持していることに留意されたい。バッファは、図２に示されている。 図７に示すシーケンスを以下に説明する。 Ａ．ＩＦＤは、支払人の財布に送った支払要求コマンドに対する応答を受け取 るのに失敗する。 Ｂ．この場合、支払要求メッセージを維持していなかったため、支払再開コマ ンドを受取人の財布に送り、支払要求コマンドを回復する。 Ｃ．支払要求コマンドを２回目に支払人の財布に送った後、支払人の財布は支 払価値コマンドを成功裏に戻す。（図６と同様に、支払人の財布は１回目の支払 要求コマンドを受け取らず、処理もしなかったので、回復は成功する。） 図８に示すシーケンスを以下に説明する。 Ａ．ＩＦＤは、支払人の財布に送った支払要求コマンドに対する応答を受け取 るのに失敗する。 Ｂ．ＩＦＤは支払再開コマンドを受取人の財布に送り、支払要求メッセージを 回復する。 Ｃ．支払要求コマンドを２回目に支払人に送ったところ、支払人の財布は以前 に支払要求を処理してしまっているので、「シーケンス以外のメッセージ」であ ると応答する。 Ｄ．ＩＦＤは、支払再開コマンドを支払人の財布に送り、ＩＦＤが１回目の受 け取りに失敗した支払価値メッセージを得る。 図示しない他の例は、ＩＦＤと財布のインタフェースにエラーが再発した場合 である。例えば、ＩＦＤが支払価値メッセージを受取人の財布に送ったが有効な 応答を受け取らない場合である。ＩＦＤは、支払人の財布から支払価値コマンド を回復し、所定の回数シーケンスを反復し、成功しなければ、停止して、ユーザ に失敗を知らせる。 事前決定による回復 ＩＦＤが事前決定法（試行錯誤法でなく）でどのように支払いを回復するかを 説明する前に、財布がＩＦＤに、財布が支払いに到達した段階をどのように示す かを説明する必要がある。 以下の回復管理データ・フィールドを使ってこれを示す。 ａ．レジスタ応答の中の支払失敗フラグ。 これは、以下の値をとることができる。 −失敗ではない。 −受取人の財布の失敗。（これは、失敗が受取人の財布で起きたことを示すも のでは必ずしもないことに留意されたい。） −支払人の財布の失敗。 ｂ．レジスタ応答の中の保留除外フラグ。 これは、以下の値をとることができる。 −保留除外ではない。 −保留除外がある。 ｃ．失敗支払レジスタ応答の中の失敗支払段階。 このフィールドの値は、実施態様によって異なる。しかし、ＩＦＤはこのフィ ールドを使って、どの財布がより支払いが進行しているかを判定することができ る。値が大きいほど、財布の進行も大きい。Ｖ１、Ｖ２、Ｖ３、Ｖ４と呼ぶ４つ の論理値がある。ただし、０＜＝Ｖ１＜Ｖ２＜Ｖ３＜Ｖ４＜＝２５５である。状 況によっては、財布は、これらの値を何も返さず、失敗支払レジスタ・コマンド に「支払再開不可能」エラーで応答する。 これらの値にしたがって、ＩＦＤは、支払再開コマンドが機能するかどうかを 予測することができるが、ＩＦＤは、Ｖ１、Ｖ２、Ｖ３、Ｖ４に関連する実効値 を知らないため、どの支払メッセージが返されるかを予測することは必ずしもで きない。 この財布対が、失敗した支払いに関与したのと同じ財布対であることをチェッ クするために、以下のフィールドも必要である。 ｄ．失敗支払レジスタ応答の相手方の財布のＩＤ。 ｅ．失敗支払レジスタ応答の相手方シーケンス番号。 図９に、事前決定回復手順のコマンド応答シーケンスを示す。段階は、以下の 通りである。 Ａ．レジスタ・コマンドを各財布に送り、応答メッセージ中の支払失敗フラグ を調べる。１つの財布が支払人の財布の失敗を返し、もう一方が受取人の財布の 失敗を返した場合は、回復は可能である。 Ｂ．失敗支払レジスタ・コマンドを各財布に送る。各応答が他方の財布のＰＩ Ｄを含み、シーケンス番号が一致した場合には、回復は可能である。 Ｃ．支払再開コマンドを、失敗支払段階のより高い値を報告した財布に送る。 Ｄ．支払再開コマンドからの応答をもう一方の財布へのコマンドに変え、支払 いを継続する。 事前決定回復は、失敗したトランザクション中、故障検出後自動的に開始する ことができることを理解されたい。また、適当ならトランザクションのチェック および再開を通常のトランザクションプロトコルの一部とすることもできる。し たがって各トランザクションの始めに財布はチェックされ、可能なら保留トラン ザクションは次のトランザクションが実行される前に完了される。 図３に示すように、例えばＩＦＤをそれぞれ有する遠く離れた電子財布間で・ トランザクションが実施される場合には特別なプロトコルが必要である。この場 合、ＩＦＤ−ＩＦＤ間のメッセージの流れが生じ、いわゆる仮想ＡＣＤプロトコ ルが使用される。 このプロトコルは、ＩＦＤが、遠隔のＩＦＤを介して遠隔のＡＣＤにコマンド を送るのを可能とする。どちらのＩＦＤ もこれを実施することができる。このようなコマンドを受け取るＩＦＤは、以下 のいずれかの操作を実施することができる。 −コマンドを検査なしでＡＣＤに渡す。 −受け入れ可能なら、コマンドをＡＣＤに渡し、そのメッセージおよび一切の 応答を解読する。 −エラー（「メッセージは処理不可能」）を返す。 −コマンドを再解読し、それがＩＦＤ−ＩＦＤメッセージであるかのように扱 う。 コマンドを発行するＩＦＤは「マスター」と呼ばれ、コマンドを受け取るＩＦ Ｄは以後「従」と呼ばれる。価値移転中、以下に論じるように、２つのＩＦＤを 呼び出す価値移転は、ＩＦＤ−ＩＦＤ開始価値移転コマンドによって開始され、 このコマンドに続いて、どちらのＩＦＤが「マスター」で、どちらが「従」であ るについてが理解されると取り決める。しかし、仮想ＡＣＤ支払コマンドがこの 枠組みの外で受け取られる場合を、ＩＦＤが扱わなくてはならないことがある。 （理論的には、ＩＦＤ間の全二重リンクにより、２つの価値移転を反対向きに交 互配置することを試みることができ、それぞれのＩＦＤが同時に、１つの支払に 対してマスターで、もう１つの支払に対して従であるようすることができる。異 なる財布が呼び出される場合にはこれは許される。） 遠隔価値移転を実行するときには、両方のＩＦＤが、実行直後の支払トランザ クションのステータスを判定することができなければならない。マスターは価値 移転全体で何が起こ っているかを常に知っているので、マスターがこれをおこなうのは容易である。 全てのＩＦＤは、支払人支払開始コマンドを常に監視し、遠隔ＩＦＤからこれが 発行されることを防ぐ。従ＩＦＤに対して３つのオプションがある。 （１）起こったことを支払の終わりに正確に報告できるように、ＡＣＤに渡る 以前に全てのメッセージを調べ、さらに全ての応答を調べる。 （２）受取人支払開始コマンドを監視し、開始価値移転コマンド後の最初のコ マンドを除く全てのコマンドを拒絶し、支払明細を報告できるように支払の前後 に、財布のポケットの価値を全て読んで比較する。 （３）受取人支払開始コマンドを監視し、各支払いの継続を許可し、支払明細 を報告できるように支払の前後に、財布のポケットの価値を全て読んで比較する （オプション（２）と同様）。 オプション（２）および（３）では、ポケットの価値を比較する代わりに、受 取人支払開始コマンドを解読して支払明細を判定することができる。 支払の前後に受取人のＩＦＤがポケットの価値を比較し、その後、最後の財布 ・トランザクションログ・レコードを見て起きたことを判定するのは適切とは言 えない。ＩＦＤは、受取人支払開始コマンドの識別なしでは、生じたトランザク ション数を確実に判定することができないからである。 全てのコマンドを監視すること（第１のオプション）は、カードの所有者を最 大限に保護するものであると言うことが できる。例えば、これにより、先行する開始価値移転コマンドと一致しない支払 を拒絶する選択ができ、これを使って、許可無く遠隔の財布の錠をあけようとす る試みを防ぐことができる。しかし、受取人支払開始コマンドのコマンド見出し またはデータの解読に依存しないオプションは、将来のシステム変更に対する最 良の備えとなる。（従ＩＦＤのシステム・ソフトウェアのリリース・レベルをマ スターと同じにする必要はない。異なってもＩＦＤは相互に機能する。） 図１０に、支払いの遅延回復に関与する一般的なメッセージ・シーケンスを示 す。最初の支払いに関与した２つの財布は、ここでは互いに遠く隔たっている。 段階を以下に示す。 ａ．ユーザ（支払人および受取人）は回復の実行に同意し、該当する財布がそ れぞれのＩＦＤに使用可能なことを保証する。 ｂ．ユーザの１人（この例では、受取人）が自分のＩＦＤに回復を開始するよ う要求する。 ｃ．受取人のＩＦＤが、レジスタ・コマンドおよび失敗支払いレジスタ・コマ ンドを含む適当なローカルコマンドを受取人の財布に発行する。レジスタの支払 失敗フラグが「失敗でない」であるか、または失敗支払レジスタ・コマンドが「 支払再開不可能」を示している場合には、受取人のＩＦＤは回復が不可能である ことを受取人に伝える。 ｄ．全てが良好な場合、失敗した支払いのデータおよび財布のＩＤは回復開始 コマンドに収められてもう一方のＩＦＤ に送られる。 ｅ．支払人のＩＦＤは、回復開始コマンド中の失敗した支払いのデータの中に 指定された相手方の財布のＩＤにしたがって、該当する財布を選択する。 それを発見すると、支払人のＩＦＤが、レジスタ・コマンドおよび失敗支払いレ ジスタ・コマンドを含む適当なローカル・コマンドを支払人の財布に発行する。 以下のいずれかである場合は、支払人のＩＦＤは支払人に回復が不可能であるこ とを伝え、受取人のＩＦＤにエラー応答を返す。 −レジスタから返された支払失敗フラグが「失敗でない」を示す。 −失敗支払レジスタが「支払再開不可能」を示す。 −財布のＩＤおよびシーケンス番号が一致しない。 ｆ．全てが良好な場合、失敗した支払のデータは回復開始応答に収められて支 払人の財布に送られる。 ｇ．受取人のＩＦＤが仮想ＡＣＤプロトコルのマスターとなる。２つの財布か ら返されると、受取人のＩＦＤは失敗した支払段階の値を比較し、失敗した支払 段階のより高い値を報告した財布に支払再開コマンドを送る。（この例では、そ れは支払人の財布であり、支払再開コマンドは仮想ＡＣＤコマンドとして送られ る。） ｈ．受取人のＩＦＤは、支払開始コマンドから応答（この例では支払価値メッ セージ）を受け取る。受取人のＩＦＤは、これを支払価値コマンドに変え、受取 人の財布に送る。以後、支払は通常通りに進行する。 回復開始コマンドの使用は理論的には不要であり、開始するＩＦＤは、仮想Ａ ＣＤコマンドを使用するだけで回復を実行できると言える。しかし、 −従ＩＦＤは、何が起こっているかが分からないので、回復する意図または回 復の結果をユーザに報告することができない。 −従ＩＦＤが２つ以上の財布を有する場合、マスターはどの財布を使用すべき かを伝えることはできない。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 ＦＩ Ｇ０７Ｇ 1/14 Ｇ０７Ｇ 1/14 Ｇ０６Ｆ 15/30 Ｍ ３６０ (31)優先権主張番号 ９５０９７６６．３ (32)優先日 1995年５月15日 (33)優先権主張国 イギリス（ＧＢ） (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ， ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＫＥ，ＬＳ，ＭＷ，ＳＤ，Ｓ Ｚ，ＵＧ)，ＵＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＺ， ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＨＵ，Ｉ Ｓ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＫ，ＬＲ ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ， ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，Ｓ Ｄ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＴＪ，ＴＭ，ＴＲ，ＴＴ ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ (72)発明者 リチャーズ ティモシー フィリップ イギリス国，アールジー24 ８アールワイ ハンツ，ベイジングストーク，リチピッ ト，エルダーベリー バンク 25番地

Claims (1)

1. 【特許請求の範囲】 １．複数の電子財布と、電子財布を携帯する複数のアプリケーション・キャリヤ ・デバイス（ＡＣＤ）と、電子財布対の間での価値移転トランザクションの実施 を可能とする、ＡＣＤ対を結合するための複数のインターフェイス装置（ＩＦＤ ）とを含み、ＩＦＤによって結合されたＡＣＤ中の電子財布対の間のトランザク ションが、所定のプロトコルに基づいた一連のトランザクション・メッセージの 交換を含み、各トランザクション・メッセージが、対の一方の電子財布からＩＦ Ｄに、さらにＩＦＤから対のもう一方の電子財布に送信され、トランザクション ・メッセージが送信されたあとこれらを記憶している記憶手段が提供され、所定 のトランザクション・メッセージのシーケンスが失敗した場合に、送信された最 後のトランザクション・メッセージを記憶手段から取り出し、これを再送信して シーケンスを再開する段階を含む回復手順の呼出しにＩＦＤが有効である価値振 替システム。 ２．各電子財布が、現在または最後のトランザクションの明細を保持する保留ロ グを含み、前記財布の対の保留ログが前記記憶手段を構成することを特徴とする 、請求の範囲第１項に記載の価値振替システム。 ３．回復手順が、試行錯誤法を含み、ＩＦＤが、 （ａ）対の第１の電子財布に問い合わせて、この電子財布が送信した最後のト ランザクション・メッセージを保留ログから取り出し、 （ｂ）このトランザクション・メッセージを、対のもう一方の電子財布に送り トランザクションを再開し、これがエラーとなった場合は、 （ｃ）対の前記もう一方の電子財布に問い合わせて、この電子財布が送信した 最後の・トランザクションメッセージを保留ログから取り出し、 （ｄ）このトランザクション・メッセージを対の第１の電子財布に送りトラン ザクションを再開する方法に従うときに有効となる ことを特徴とする、請求の範囲第２項に記載の価値振替システム。 ４．回復手順が事前決定法を含み、ＩＦＤが、 （ａ）対の両方の電子財布に問い合わせて、失敗したトランザクションでどち らの電子財布がより進行していたかをこれらの保留ログから判定し、 （ｂ）失敗したトランザクションでより進行していた電子財布に問い合わせて 、この電子財布が送信した最後のトランザクション・メッセージを保留ログから 取り出し、 （ｃ）このトランザクション・メッセージを対のもう一方の電子財布に送り、 トランザクションを再開する方法に従うときに有効となる ことを特徴とする、請求の範囲第２項または請求の範囲第３項に記載の価値振替 システム。 ５．記憶手段がＩＦＤ中に含まれることを特徴とする、請求項１に記載の価値振 替システム。 ６．トランザクション・メッセージの事前決定シーケンスにおける失敗の検出後 に、ＩＦＤが、トランザクション中に、自動的かつ即座に回復手順を呼び出すの に有効であることを特徴とする、前述の全ての請求項に記載の価値振替システム 。 ７．提案されたトランザクションの始めにＩＦＤが電子財布に問い合わせて、こ れらの財布間に再開することのできる未解決の失敗トランザクションがあるかど うかを判定してから、遅延回復手順を開始することを特徴とする、請求の範囲第 １項ないし第４項に記載の価値振替システム。 ８．各電子財布が、失敗したトランザクションの明細を記憶する除外ログを有し 、失敗が生じると、失敗したトランザクションを回復するために、保留ログの内 容が除外ログのレコードに複写されることを特徴とする、請求の範囲第２項に記 載の価値振替システム。