JP2006121726A - 通信システム - Google Patents

Abstract

【課題】認証手順を複雑にすることなく、セキュリティ性能の向上を図る。
【解決手段】本発明に係る通信システムは、顧客が所持する携帯端末1と、この携帯端末1との間で近距離無線通信を行うキャッシュレジスタ２と、キャッシュレジスタ２による売上情報を管理するＰＯＳサーバ３と、各顧客に対して各種のサービスを提供するセンタ４とを備えている。キャッシュレジスタ２で支払いを行う顧客が所持している携帯端末1でPINコードを生成し、生成したPINコードをキャッシュレジスタ２のオペレータに提示し、オペレータがPINコードをキャッシュレジスタ２に入力した後に、このPINコードを利用して携帯端末1とキャッシュレジスタ２の双方で認証処理を行うため、PINコードを不正に入手されるおそれがなくなり、セキュリティ性能を向上できる。
【選択図】図１

Description

本発明は、認証処理を行いつつ通信リンクを設定する通信システム、無線通信端末及び無線通信装置に関し、例えば、無線通信端末と無線通信装置との間でBluetoothなどの近距離無線通信により情報の送受信を行う場合を対象とする。

最近、伝送距離が１０ｍ程度である近距離無線通信方式が注目を集めている。従来の無線ＬＡＮの有効な伝送距離範囲が１００ｍ以上であるのに対し、近距離無線通信方式は、伝送範囲が狭い分、使用する電力が少ないので、携帯電話などバッテリー容量に制限がある情報処理装置に適している。

Bluetoothは、このような近距離無線通信方式の１つであり、近年、このBluetoothによる通信手段を搭載した携帯電話やＰＤＡ等の携帯型情報処理装置（以下、単に携帯端末と呼ぶ）が普及し始めている。Bluetoothの詳細は、非特許文献１の仕様書を参照されたい。

Bluetoothが広範囲に普及すれば、任意の場所で、各場所に適したサービスを提供できる。例えば、コンビニエンスストア、スーパまたは小売店などでは、電子クーポンサービスや、電子ポイントサービス、電子決済、レシート、領収書発行などの購買者向けのサービスを実現できる。さらには、電子チケットによるゲート開閉の制御、自動販売機の決済及び割引、情報配信、道案内などへの適用が期待されている。

以下では、Bluetoothによる通信手段を備えた携帯端末（以下、単にBluetooth携帯端末と呼ぶ）と、Bluetoothを備えた情報通信装置（以下、Bluetooth装置と呼ぶ）との間で、Bluetoothによるコネクションを設定し、当該携帯端末を所持するユーザに、Bluetooth装置がサービスを提供する場合を一例として説明する。

Bluetoothは、商用に公開された周波数帯を使用しており、同じ周波数帯を利用する他の装置による妨害を受けやすい。それゆえ、他の装置からの妨害を受けにくくするために、使用する周波数を定期的に変化させる周波数ホッピング技術を使用している。周波数ホッピングでは、最初に通信を行う２つの装置間で同期を取る作業が必要である。

携帯端末は、その通信エリア内に存在する他のBluetooth装置を探索する際、Bluetooth装置探索機能により、決められた周波数帯を順番にスキャンし、接続可能状態で待機しているBluetooth装置を発見する。

探索信号を受信した接続可能状態のBluetooth装置は、自身の端末識別情報とクロック情報を探索信号送信者に送信する。接続可能状態のBluetooth装置も周期的に、使用する周波数を変更しているため、周波数が一致するまでに数秒必要である。同じ周波数を使用する無線通信手段が近隣に存在しないような理想条件でも、状況によっては１つの端末を発見するのに５秒以上かかることがある。同じ周波数を使用する装置が近くに存在する場合には、さらに長い時間を必要とする可能性がある。

携帯端末は、発見した幾つかのBluetooth装置から、その４８ビットの端末識別情報を収集し、そのうちの２８ビットと相手のクロック情報を用いて、接続フェーズで、所望の（選択された）Bluetooth装置との間で周波数のホッピングパターンの同期を行う。ホッピングパターンの同期後、物理的なリンクを確立し、以後、各レイヤーが接続されて必要なパラメータの交換と設定が行われ、アプリケーションレベルでデータ交換ができるようになる。必要なら相手認証を実行し、アプリケーションレベルでのコネクションが確立すると、Bluetooth装置は所定のサービスを提供する。
http://www.bluetooth.org/のＷｅｂサイトから入手可能な仕様書

一般に、無線通信は、赤外線を利用した通信と比較して、２つの装置の位置関係や遮断物の影響がないという利点がある一方、特定の位置に存在する端末のみとコネクションを設定することが困難であるという性質を有する。

これにより発生する問題を説明する。以下では、電子クーポンを携帯端末に保存しているユーザが、コンビニのレジで料金を支払う時に、Bluetooth通信機能を有するキャッシュレジスタとの間で通信を行い、保持している電子クーポンを利用する場面を想定して説明する。

顧客が一人（携帯端末が１つ）で、レジが１つ（Bluetooth装置が１つ）の場合は、支払いを行う顧客の有する携帯端末とキャッシュレジスタとの関係は一意に決定されるため、接続に関する問題は生じない。つまり、携帯端末を操作する人が、上記のようなBluetooth装置探索機能を用いて、Bluetooth装置を発見した場合は、発見した装置を、支払いを行うキャッシュレジスタとみなすことができる。

しかし、キャッシュレジスタが複数存在する場合には、隣のラインのキャッシュレジスタも発見してしまうため、携帯端末を有する利用者は、発見されたキャッシュレジスタの中から、これから支払いを行うキャッシュレジスタがどれなのか、キャッシュレジスタの名称などを確認し、選択する必要がある。

また、支払いを待つ他の顧客が同様に携帯端末を所有している場合には、間違って支払い待ちの顧客が支払いを行う顧客より先にキャッシュレジスタに接続してしまうケースが想定される。

それゆえ、キャッシュレジスタのオペレータが、携帯端末に付随する何らかの情報を用いて、接続した携帯端末が正しいか否かを顧客に確認する必要がある。

このような選択や確認作業は、支払いを行う顧客にとって良いインタフェースではなく、また、オペレータのレジ作業を阻害する。

さらに、携帯端末を操作する人が、間違ったキャッシュレジスタを指定すると、クーポンが使用されるにもかかわらず、支払い金額から値引きされていない、あるいは、他人のポイントが自分に加算されてしまうといった不具合が生じる。取り消し作業は、携帯端末とキャッシュレジスタ双方で行う必要があり、多大な労力を必要とする。

加えて、無線を使用するシステムでは、任意の人が無線通信にアクセス可能なため、悪意をもつ利用者からの攻撃、たとえば、本来の利用者より先にリンクを設定し、本来の利用者が接続できなくなる、あるいは、キャッシュレジスタのふりをして個人情報を密かに取得したりクーポンの盗難などの業務妨害やプライバシーにかかわる問題が発生する可能性がある。

このように、従来は、近距離無線通信を使用して、携帯端末とBluetooth装置を正しく、簡易にかつ迅速に一対一に対応させるのは困難であった。

本発明は、このような点に鑑みてなされたものであり、その目的は、認証手順を複雑にすることなく、セキュリティ性能を向上できる通信システム、無線通信端末及び無線通信装置を提供することにある。

本発明の一態様によれば、互いに通信を行う通信装置および携帯端末を備え、前記通信装置および前記携帯端末の間で通信リンクを設定する通信システムにおいて、前記通信装置は、表示部と、自装置が所持する通信用識別子を取得する第１の識別子取得部と、前記通信用識別子を前記表示部に表示するための表示用パターンに変換する変換部と、前記表示部に前記表示用パターンを表示させる表示制御部と、を有し、前記携帯端末は、前記表示部に表示された前記表示用パターンを撮像するための撮像部と、前記撮像部で撮像された前記表示用パターンから前記通信用識別子を復元する復元部と、前記復元部で復元された前記通信用識別子を用いて前記通信装置に対して接続要求を行う接続要求部と、を有することを特徴とする通信システムが提供される。

本発明によれば、通信装置で生成した通信用識別子に対応する表示用パターンを携帯端末に提示し、携帯端末で表示用パターンから通信用識別子を復元して、通信装置に対して接続要求を行うため、通信用識別子を不正に入手されるおそれがなくなり、セキュリティ性能を向上できる。

また、本発明によれば、通信装置の表示部に表示された表示用パターンを携帯端末で取得することにより接続情報の伝達を行うため、所望の携帯端末に対して簡易かつ確実に接続でき、セキュリティ性能がより向上する。

以下、本発明に係る実施形態について、図面を参照しながら具体的に説明する。

（第１の実施形態）
図１は本発明に係る通信システムの第1の実施形態の概略構成を示すブロック図であり、ＰＯＳ（Point Of Sales)システムの一例を示している。図１の通信システムは、顧客が所持する携帯端末1と、この携帯端末1との間で近距離無線通信を行うキャッシュレジスタ２と、キャッシュレジスタ２による売上情報を管理するＰＯＳサーバ３と、各顧客に対して各種のサービスを提供するセンタ４とを備えている。

キャッシュレジスタ２とＰＯＳサーバ３とは例えばＬＡＮ５で接続され、ＰＯＳサーバ３とセンタ４とは公衆回線や専用回線６で接続され、センタ４と各顧客が所持する携帯端末1とは公衆無線回線で接続されている。携帯端末1とキャッシュレジスタ２は、例えばBluetoothの規格に従って互いに通信を行う。

ＰＯＳサーバ３は、キャッシュレジスタ２の売上情報に基づいて、販売商品名、販売価格、及び販売数量などを管理するとともに、在庫管理や売れ筋商品の分類を行う。

センタ４は、ＰＯＳサーバ３が収集管理した情報に基づいて、各顧客への各種サービスを行う。より具体的には、顧客ＩＤを利用して、顧客の購入実績の分析や顧客の連絡先などを調べ、顧客が興味を示すと思われる情報を、公衆無線回線を介して電子メールやダイレクトメール等で提供したり、顧客の購入実績に応じて電子クーポンや電子ポイントを発行したりする。センタ４は、各顧客が所持する電子ポイントの管理も行う。

ＰＯＳサーバ３とセンタ４は、電子クーポン（クーポン情報）や電子ポイント（ポイント情報）を格納しており、必要に応じて、キャッシュレジスタ２や顧客の携帯端末１にこれらの電子クーポンや電子ポイントを送信する。

電子クーポンは特定の品物の値段をディスカウントできる情報であり、例えば、店名、品物の識別子、ディスカウント金額及び有効期限などの情報で構成され、予め、公衆網１４０や前回支払時にキャッシュレジスタ２から取得することにより、顧客の携帯端末１（例えば、EEPROM14）に格納されているものとする。顧客は支払い時に携帯端末１から電子クーポンをキャッシュレジスタ２に送信して値引き等のサービスを受けることができる。

電子ポイントは、一定の金額の支払いごとに与えられる得点を含む情報であり、例えば、百円ごとに1点与えられる。また、代金支払時に顧客の携帯端末１に、キャッシュレジスタ２からBluetoothによる通信にて、例えば、店名、得点、有効期限などの情報から構成される電子ポイントのパケットが送信されて、顧客の携帯端末１（例えば、EEPROM14）に格納されているものとする。

顧客は、電子ポイントの得点が一定の点数たまると、公衆回線６を介してセンタ４に請求することにより、あるいは、キャッシュレジスタ２との間のBluetoothによる通信を通じて、それに応じたサービスを受ける（たとえば、所望の景品を郵送してもらう、電子クーポンを配信してもらう等）。

なお、キャッシュレジスタ２を通じて、あるいはセンタ４に請求してなされた電子クーポン、電子ポイントを用いたサービス提供履歴も、ＰＯＳサーバ３に顧客情報として記録され、個人の嗜好の解析等に利用され、また、各顧客に応じた電子クーポンの発行や、新製品の案内にも利用できる。

図２は本実施形態における携帯端末1の内部構成を示すブロック図である。図２の携帯端末1は、バス１０に接続された所定のプログラムを実行するＣＰＵ１１、プログラムや辞書データを記憶するＲＯＭ１２、一時的な変数やデータを格納するメモリ１３、個人登録情報や電子クーポンなどを保存するEEPROM１４、マイク１５で音声信号をデジタル信号に変換するＡ／Ｄ１６、デジタル信号を音声信号に変換してスピーカ１７に出力するＤ／Ａ１８、筐体を振動させる偏心モータ１９、基地局２０との通信を行う通信部２１、各種情報を表示する表示部２２、顧客が文字を入力するキー入力部２３、メニューの選択等を行う選択指示部２４、及びBluetooth送受信部（以下、ＢＴ送受信部と呼ぶ）２５を有する。

ＢＴ送受信部２５は、２．４ＧＨｚ帯で無線通信を行うためのアンテナ、ベースバンド部、及びL2CAP（Logical Link Controlled Adaptation Protocol）などの例えばBluetooth仕様書第１版（Bluetooth Version1.0）に記載されているプロトコル制御部などを有する。あるいは、ＰＯＳ端末と同様に、Bluetoothのプロトコルは、携帯端末1のＲＡＭ上にロードされて実行される場合もありうる。Bluetooth対応の端末（装置）には、48Bitの全てグローバルユニークな識別情報が付されている。この識別情報は、ＢＴ送受信部２５に格納されていて、ＣＰＵ３により必要に応じて読み出し可能になっている。48Bitは図５に示すように３つフィールドf1,f2,f3から構成される。

フィールドｆ１は24ビットからなるＬＡＰ（lower address part）、フィールドｆ２は８ビットからなるＵＡＰ（upper address part）、フィールドｆ３は16ビットからなるＮＡＰ（non-significant address part）である。

NAPとUAPをあわせた24ビットは、Organizationally Unique Identifiers (OUIs)と呼ばれるメーカ固有のＩＤであり、IEEEでユニークに管理され、各製造メーカはIEEEに申請することにより自社の番号を取得する。LUPの24ビットは一部のアドレス（0x9E8B00-0x9E8B3F）を除いて、各製造メーカがユニークになるように自由に割り振ったものである。

ＢＴ送受信部２５は、例えば、キャッシュレジスタ２との間で無線通信路を確立し、メモリ１３やＥＥＰＲＯＭ１４に格納されている電子クーポン（クーポン情報）や電子ポイント（ポイント情報）を用いた顧客サービスを受けるためのデータの送受信を行う。

携帯端末1における音声通話に関する構成は、従来の携帯電話と同様であり、例えば、通信部２１は、基地局２０との間で位置登録、発呼・着呼時の呼制御を行ってデータの送受信を行い、通信が終了した際には切断の呼制御、さらに、通信中にはハンドオーバ等を行う。

通信部２１は、基地局２０から接続要求を受信した場合には、スピーカ１７から呼出音を出力したり、偏芯モータ１９を駆動して携帯端末1の筐体を振動させることにより、携帯端末1の所持者である顧客の注意を喚起する。顧客の接続了解指示の後、キャリアは２地点間の回線接続を行い、通信を開始する。

携帯端末1は、通信時に、マイクから入力された音声をＡ／Ｄ変換部１６でアナログ信号からディジタル信号に変換し、ＣＰＵ１１の制御の下、デジタルデータの圧縮処理を行い、通信部２１を通じて近接の基地局に送信する。また、通信部２１で受信された信号は、ＣＰＵ１１の制御の下、伸張処理等を施して元の信号に戻され、Ｄ／Ａ変換部１８でデジタル信号からアナログ信号に変換され、スピーカ１７から出力される。

携帯端末1は、通話の他に、JAVA（登録商標）の仮想マシンを実行することにより、通信部２１を利用したパケット通信を行い、特定のサーバからプログラムをダウンロードして、端末所持者の指示により実行できる機能を有する。

図３は本実施形態におけるキャッシュレジスタ２の模式図、図４は本実施形態におけるキャッシュレジスタ２の内部構成を示すブロック図である。本実施形態のキャッシュレジスタ２は、バス３０に接続されたＣＰＵ３１、メモリ３２、ＲＯＭ３３、商品金額等を入力するキー入力部３４、RS-232Cコントローラ３５、及びドローア３６等を制御するレジ制御部３７を有し、RS-232Cコントローラ３５には、バーコードリーダ３８とＢＴ送受信部３９が接続されている。

キャッシュレジスタ２の正面パネルには、図３に示すように、キー入力部３４の他に、表示部４０と印刷部４１が設けられている。

本実施形態のキャッシュレジスタ２は、商品に印刷あるいは貼り付けられたバーコードに記録された会社コードや商品コード等をバーコードリーダで読み取り、ＬＡＮ５カードとＬＡＮ５を介してキャッシュレジスタ２に接続されたＰＯＳサーバ３に対して当該商品の金額を問い合わせる。ＰＯＳサーバ３から金額情報が送られてくると、その金額情報にキー入力部３４で入力された個数を乗じて合計金額に加算する。そして、合計金額のみ、あるいは、個々の商品の価格と合計金額を表示部に出力したり、印刷部でレシートの発行を行い、かつその商品の購入履歴情報をＰＯＳサーバ３に送る。ＰＯＳサーバ３は、購入履歴情報を保存して、後に、商品売上管理や在庫管理等で用いる。

図４では、RS-232Cコントローラ３５を介してＢＴ送受信部３９を内部バスに接続する例を説明したが、ＢＴ送受信部３９は必ずしもRS-232Cコントローラ３５を介して接続する必要はなく、例えば内部バス３０に直接接続してもよいし、ＵＳＢ（Universal Serial Bus）を介して接続してもよい。ただし、RS-232Cコントローラを介して接続すれば、汎用的なキャッシュレジスタ２を若干変更するだけで本実施形態のキャッシュレジスタ２を実現できる。

ＢＴ送受信部３９は、２．４ＧＨｚ帯で無線通信を行うためのアンテナ、RF部、ベースバンド部、L2CAPやRFCOMMなどの例えばBluetooth仕様書第１版（Bluetooth Version1.0）に記載されているプロトコル制御部などから構成されている。ＣＰＵ３１は、実装に依存したコマンドやイベントを使用して、ＢＴ送受信部３９にBluetoothの制御命令とデータの送受信を命令する。

あるいは、ＢＴ送受信部３９は、例えば仕様書で定義されたHCI(Host Controller Interfaceコマンドを送信し、その結果をイベントとして受信する。Bluetoothプロトコルは、レジ処理を行うアプリケーションプログラム、顧客へのサービス提供を行うアプリケーションプログラムと共に、ＣＰＵ３１によりメモリ３２にロードされ実行する構成でもよい後者のような構成の場合は、
ＢＴ送受信部３９は、必ずしもRS-232Cを介してホストに接続する必要がなく、例えば、ホストの内部バス３０に直接接続してもよいし、ＵＳＢ（Universal Serial Bus）を介して、接続するようにしてもよい。RS-232Cコントローラを介して接続可能とすれば、現行のキャッシュレジスタにも容易に対応可能である。

以下、Bluetoothの接続方法について簡単に説明する。最初に通信可能な相手装置を発見するインクワイアリ・フェーズを実行する。インクワイアリとページを行う側をマスター、インクワイアリ・スキャン、ページスキャンを行う側をスレーブと呼ぶ。インクワイアリ・スキャン状態に設定されたスレーブ端末のみ、マスターからのインクワイアリに返答する。

マスターは、インクワイアリを行うために、IQパケットを通常１０秒間周囲にブロードキャストする。IQパケットにはIAC(Inquiry Access Code)が含まれており、このコードを使用して、すべての、あるいは、特定のデバイスの発見を行う。自装置に関連するIACを含むIQパケットを受信したスレーブは、ランダムに決められた時間待機後、再度IQパケットを受信すると、スレーブのBluetoothアドレス、クロック、デバイスクラスなどの属性をマスターに返信する。

スレーブの情報の収集を終えると、端末所持者の指示により、通信対象である装置が選択され、リンクレベルのコネクションを確立するページフェーズに遷移する。ページフェーズでは、スレーブは、マスターのクロック情報を取得することにより、マスターのBluetoothアドレスとクロック情報を元に計算されるチャネル周波数ホッピングパターンに変更する。

最初に、マスターは、スレーブのLAP 24ビットとUAPの下位4ビット、スレーブのクロックをパラメータとし、スレーブのページスキャンホッピング周波数の推定を行い、推定した周波数およびその近傍の周波数に対して、ページ用のIDパケット送信する。マスターはスレーブのBluetoothアドレスのLAP 24ビットを使用して計算したDAC（呼び出しアクセスコード）を、IDパケットに含めることによりスレーブの指定を行う。

ページスキャン状態のスレーブが、マスターが送信するIDパケットを受信すると、同一のIDパケットをマスターに送信する。

次に、マスターはFHSパケットをスレーブに送信する。マスターが送信するFHSパケットには16bitの誤り検出符号CRCが付加される。CRCを計算する時の初期値にスレーブのBluetoothアドレスのUAP 8bitを使用する。

FHSパケットを受信したスレーブは再度IDパケットをマスターに送信することで、マスターはスレーブが情報を受信したことを確認し、マスター、スレーブ双方チャネル周波数ホッピングパターンに変更する。

その後、リンクレベルでの接続手順と、リンクレベルでのパラメータのコンフィグレーションが行われ接続完了となる。これまでの手順はLMPと呼ばれるプロトコルで実現され、リンクレベルのコネクション生成完了後、L2CAPやRFCOMMなどの上位プロトコルの接続とパラメータのコンフィグレーションが順番に実行され、最後にアプリケーションレベルでのコネクションが生成される。

通常は、上記のようなインクワイアリフェーズを得て相手端末の情報を取得し、取得した情報を用いてページフェーズでマスターとスレーブの周波数の同期を行い、リンクを確立する。

ところが、通信相手のBluetooth情報が既知である場合は、直接相手装置のBluetoothアドレスを指定して、ページフェーズから処理を開始することが可能である。この場合は、インクワイアリフェーズがないため、相手端末の探索に要する時間約１０秒をスキップできる。

スレーブのクロック情報が正しく推定できれば短時間で接続することが可能であるが、スレーブのクロック情報の推定が間違っている場合や、クロック情報がなくて、Bluetoothのデフォルトの値で推定した場合は、スレーブの待ち受け周波数と一致するには1.28秒あるいは2.56秒余分に必要とする。

ただし、スレーブのクロック情報がない場合でも、ページスキャンインターバルを短くし、スキャンウィンドウを長くする、あるいは、ページスキャンのモードを変更するなどのパラメータの調整により、時間を短縮することができる。

このような手順により、ページフェーズと接続フェーズが実現され、２つの装置の間にリンクレベルのコネクションを確立できる。また、これらのフェーズで最低限必要なパラメータは、スレーブのBluetoothアドレス 32bit(LAP+UAP)である。スレーブのクロックがあれば、ページにかかる時間を短縮できる。

図６は第１の実施形態における携帯端末1の処理動作の一例を示すフローチャートである。このフローチャートは、携帯端末1を所持する顧客がキャッシュレジスタ２にて料金決済を行う際の携帯端末1の接続にかかわる処理動作を示している。

顧客は携帯端末1を取り出して、所定のアプリケーションを起動する。このアプリケーションは、ＢＴ送受信部２５を初期化する（ステップＳ１）。

アプリケーションは、内部で乱数を生成し（ステップＳ２）、この乱数を認証に使用する一時的なPINコードとしてメモリ１３に記憶するとともに、このPINコードを表示部２２に提示する（ステップＳ３）。

また、通信可能なＢＴ送受信部３９を有するキャッシュレジスタ２を探索するために、ＢＴ送受信部２５に対して限定インクワイアリコマンドの送信を要求する（ステップＳ４）。この要求を受けて、ＢＴ送受信部２５は、限定インクワイアリコマンドを所定時間送信する。このとき、専用のインクワイアリアクセスコードを用いることにより、通信可能なキャッシュレジスタ２の探索時間を短縮することができる。

限定インクワイアリコマンドを送信してから、あらかじめ定めた時間を経過してもキャッシュレジスタ２から応答がなければ、タイムアウトと判断して（ステップＳ５）、接続エラー処理を行う（ステップＳ６）。

通信可能な装置が近くに存在する場合は、ＢＴ送受信部２５は、キャッシュレジスタ２からの限定インクワイアリレスポンスを受信する(ステップＳ７）。

携帯端末1のＢＴ送受信部２５は、限定インクワイアイリ・レスポンスを受信すると、アプリケーションに装置発見イベントを通知する。アプリケーションは、発見された装置の識別子を検出し、新規の装置か否かを判断する（ステップＳ８）。ここでは、発見された装置が接続拒否リストに登録されているか否かを判断する。

新規の装置、すなわち接続拒否リストに登録されていなければ、Class of Device(以後CODと呼ぶ)を検出し（ステップＳ９）、発見された装置がキャッシュレジスタ２か否かを判断する（ステップＳ１０）。より具体的には、検出されたCODがキャッシュレジスタ２を示す値であれば、限定インクワイアリの中止をＢＴ送受信部２５に要求し（ステップＳ１１）、このキャッシュレジスタ２に対してリンク接続要求を行う（ステップＳ１２）。ＢＴ送受信部２５はこのキャッシュレジスタ２に対してリンク接続要求信号を送信する。

CODがキャッシュレジスタ２を示す値でなければ、発見された装置の識別子を接続拒否リストに登録する（ステップＳ１３）。接続拒否リストに登録された装置は、以後、接続が拒否される。

上述した新規装置の検査やCODの検査は、パラメータをセットしてＢＴで行い、該当する装置を発見したときのみ、装置発見イベントを通知する方法もありうる。

なお、あらかじめ決められた時間内に発見できない場合は（ステップＳ１４）、接続要求をエラーとして顧客に通知する（ステップＳ６）。

上述した接続用要求ステップＳ１２の後に、リンクキー入力イベントを受信すると（ステップＳ１５）、リンクキー拒否を返答する（ステップＳ１６）。その後、キャッシュレジスタ２からのPINコード入力イベントを受信すると（ステップＳ１７）、メモリ１３に記憶されているPINコードを読み出す（ステップＳ１８）。ＢＴ送受信部２５は、読み出したPINコードを制御パケットLMP_acceptedとしてキャッシュレジスタ２に送信する。

以上により、携帯端末1とキャッシュレジスタ２の双方で初期化キーが生成される。

続いて、リンクキーのネゴシエーションを行うことにより、マスタである携帯端末1のＢＴ送受信部２５の単体キーを認証に使用する合意を行い、キャッシュレジスタ２とのリンク接続の手順を実行し、リンク接続要求を行ったキャッシュレジスタ２からリンク接続結果信号を受信する（ステップＳ１９）。ステータスを検査することによりリンク接続が成功したか否かを判定する（ステップＳ２０）。

リンク接続が成功すると、以後、SDP接続、など、サービスを受けるために必要なプロトコルの接続や、サービスのためのデータを送受信する。

リンク接続が成功しなかった場合は、キャッシュレジスタ２との認証に成功したか否かを判断し(ステップＳ２１）、認証に成功しなかった場合は接続エラー処理を行い（ステップＳ６）、認証に成功した場合は規定時間以内か否かを判定する（ステップＳ２２）。規定時間以内でなければ接続エラー処理を行い（ステップＳ６）、規定時間以内であれば接続拒否リストに登録する（ステップＳ２３）。

図７は図６のステップＳ１９及びＳ２０の処理の詳細フローチャートである。認証に使用するキーとして、単体キーと複合キーの２種類があるが、通常、リンク管理のメモリの制約や処理手順の簡易さの面で単体キーが使用される。複合キーは、メモリの増加と、手順が複雑になるが、単体キーに比べてセキュリティ性能は優れている。

ネゴシエーションは、単体キーを使用する場合は、LMP_unit_keyを、複合キーを使用する場合には、LMP_comp_keyの要求コマンドを双方が送信しあい、４種類の要求の組み合わせにより、どのキーを使用するか決定する。双方ともLMP_unit_keyを送信した場合には、マスターの単体キーを使用する。LMP_unit_keyとLMP_comp_keyの場合は、LMP_unit_keyを送信した端末の単体キーを、双方ともLMP_comp_keyを送信した場合には、双方のキーを用いて複合キーを作成する。

単体キーは、接続する端末にかかわらず、１度作成すれば恒久的に使用するキーである。データベースにはペアリングを行った相手端末のBluetoothアドレスのみを記録するのでメモリの効率がよい。単体キーの作成には、内部で発生させた乱数と自端末のBluetoothアドレスを使用してE２１と呼ばれる単体キーアルゴリズムで算出する。

リンクキーのネゴシエーション（本例では単体キーとする）が終了すると、使用する単体キーを所持する携帯端末1は、自端末の単体キーと、上記生成した初期化キーの排他論理和を計算し（ステップＳ３１）、LMP_unit_keyでキャッシュレジスタ２に単体キーを送信する（ステップＳ３２，Ｓ３３）。この単体キーを受信したキャッシュレジスタ２は、先ほど生成した初期化キーを用いて排他論理和を計算することにより、携帯端末1の単体キーを安全に入手することが可能となる。

以上の手続きが終了すると、今度は、携帯端末1とキャッシュレジスタ２がそれぞれ単体キーを使用して相手認証を行う。携帯端末1とキャッシュレジスタ２の一方（以下、装置Ａとする。マスタースレーブどちらでもかまわない）が１２８ビットの乱数を発生させ（ステップＳ３５）、LMP_au_randを用いて通信先の装置Ｂに送信する（ステップＳ３６）。

装置Ａ，Ｂ間で受け渡しした乱数、上記で設定した単体リンクキー、装置Ｂ
のBluetoothアドレスを使用して、E1と呼ばれるアルゴリズムを用いてSignal Result(SRES)と定義される値を計算する（ステップＳ３７）。

装置Ｂは、計算結果をLMP_sresを用いて装置Ａに送信する（ステップＳ３８）。続いて、装置Ａでは、受信したSRESと自分で計算したSRESを比較し（ステップＳ３９）、同一でなければ認証エラーと判断し（ステップＳ４０）、同一であれば接続可能と判定する。同様に装置Ａ，Ｂの役割を入れ替えて、ステップＳ３６〜Ｓ３８と同様の処理を行うことにより、双方で通信相手を認証し、接続の可否を判定する（ステップＳ４１〜Ｓ４４）。

図７の手順により、初めて接続する携帯端末1とキャッシュレジスタ２間で、互いに通信相手の認証を行うことができる。以上の手順はファームウェアで自動的に実行されるため、通常アプリケーションはその処理手順には関与せず、リンクキーの要求や、ＰＩＮコードの要求に対してデータの入力のみを行うだけですむ。

次に、図８のフローチャートに基づいて、第１の実施形態におけるキャッシュレジスタ２の処理動作の一例を説明する。まず、アプリケーションを起動してＢＴ送受信部３９を初期化し（ステップＳ５１）、認証モードに設定する（ステップＳ５２）。

キャッシュレジスタ２のオペレータは、携帯端末1を所持する顧客のために、キャッシュレジスタ２のＢＴ送受信部３９が携帯端末1を発見して接続可能になると（ステップＳ５３）、アプリケーションを通じてＢＴ送受信部３９に通知する。この後、上述したステップＳ５２の処理を行ってもよい
ＢＴ送受信部３９は、限定インクワイアリメッセージを受信すると（ステップＳ５４）、自己のＢＴアドレスやデバイスの種類を示すCODなどの情報を、限定インクワイアリを行った携帯端末1に返信する（ステップＳ５５）。

続いて、携帯端末1から接続要求を受信する。接続要求を行った携帯端末1の識別子が接続拒否リストに登録されていなければ、接続許可を返答する。リストに登録されていれば、接続拒否を返答し、不正端末からの接続要求を受信したことをキャッシュレジスタ２の表示装置に表示する（ステップＳ５９）。

接続許可を返答後、リンクキー入力イベントを受信し、それに対してnegativeの返答を行う。次にPINコード入力要求を受信する（ステップＳ５６）、一時的PINコード入力を行うダイアログをオペレータに提示し、一時的PINコードの入力を促す（ステップＳ６０）。

オペレータは、支払いを行う顧客の携帯端末1の表示部に表示された一時的PINコードをキー入力部３４から入力する。あるいは、リンク接続要求を受信する前にあらかじめ一時的PINコードの入力を促すダイアログを表示し、入力された一時的PINコードデータを一旦メモリに記憶しておき、メッセージを受信した場合は、記憶されたデータを使用しても同等の効果を得られる。あるいは、キー入力部を顧客に渡して、顧客自身がPINコードの入力を行っても同等の効果が得られる。あるいは、携帯端末1の表示部２２にバーコードを示し、スキャナーで読み取る、あるいは、ＣＣＤカメラで画像を撮影し、文字認識を行い、一時的ＰＩＮコードとする。あるいは、ＩｒＤＡを通じて一時的ＰＩＮコードを取得しても同等の効果を有する。

一時的PINコードに乱数を使用しなくても、利用者が、あらかじめ携帯端末1のメモリ１３に暗証コードとして記憶しておき、PINコードの入力を示すイベントを受信したときに、メモリ１３に記憶しておいた数字を使用してもよい。この場合、固定のPINコードを使用するため、セキュリティの強度は、乱数を使用する場合に比べて劣る可能性があるが、表示部に一時的PINコードを提示する必要がないため、携帯端末1での処理を簡略化できる。あるいは、自装置内のクロックから取得したデータの一部あるいは全部を使用しても、乱数を使用した場合と同等の効果が得られる。

続いて、PINコードを取得したか否かを判断し（ステップＳ６１）、取得できなければ、PINコード拒否の返答を行い（ステップＳ６２）、端末発見不可能で、接続不可能な状態に設定する（ステップＳ６３）。

一方、PINコードを取得すると、取得したPINコードをＢＴ送受信部３９に送り、ＢＴ送受信部３９は、一時的PINコードを含むLMP_unit_keyを携帯端末1に送信する（ステップＳ６４）。

その後、携帯端末1からのリンク接続結果を受信する（ステップＳ６５）。続いて、リンク接続処理が成功したか否かを判定し（ステップＳ６６）、成功すると、端末発見不可能で接続不可能な状態に設定し（ステップＳ６７）、上位プロトコルの接続と、アプリケーションの接続処理を行う（ステップＳ６８）。

ステップＳ６６でリンク接続処理が成功しなかった場合は、携帯端末1との認証に成功したか否かを判定し（ステップＳ６９）、認証に成功しなかった場合は、接続拒否リストに登録し（ステップＳ７０）、認証に成功した場合は、端末発見不可能で接続不可能な状態に設定した後（ステップＳ７１）、接続エラー処理を行う（ステップＳ７２）。

上述した携帯端末1が支払いを行うキャッシュレジスタ２と異なるキャッシュレジスタ２のＢＴ送受信部２５に接続要求を行った場合は、間違ったキャッシュレジスタ２のオペレータはキャンセルを指示するか、あるいは間違った一時的PINコードを入力するため、端末の認証に失敗する。この場合、携帯端末1のＢＴ送受信部２５は、リンク接続要求の失敗メッセージをアプリケーションに通知する。アプリケーションは、失敗した旨を利用者に通知する。利用者は、再度接続要求を指示するか、あるいは、アプリケーションが自動で接続要求を行えばよい。

自動的に接続要求を行う場合は、次に、端末発見回数が規定内の回数かどうか判定を行い、規定以内の場合は、認証に失敗した装置（携帯端末1またはキャッシュレジスタ２）に対応するＢＴアドレスを接続拒否リストに加え、限定インクワイアリの送信要求をＢＴ送受信部２５に行う。以降、端末発見時にリストを検査することにより、一度認証に失敗した端末に接続することを回避できる。

次に、キャッシュレジスタ２の近くにキャッシュレジスタ２に成りすました装置が存在する状況を仮定して説明する。成りすました装置は、キャッシュレジスタ２と同様のリモートネームやCODを使用するため、携帯端末1のＢＴ送受信部２５は、CODの検査により成りすました端末もキャッシュレジスタ２として扱ってしまう。

利用者の携帯端末1が発生した一時的PINコードは、キャッシュレジスタ２のオペレータにしか提示されないため、悪意ある成りすましの装置は、表示された一時的PINコード情報を入手できないため、正しい認証手順が実行されず、コネクション接続要求は失敗する。携帯端末1のアプリケーションは、リンク接続要求結果のステータスを検査し、その理由が相手端末の認証に失敗したことを示す状況であった場合は、リンク続要求を行った相手装置のＢＴアドレスを該当しないリストに記録する。

その後、上記と同様に再度限定インクワイアリを実行し、携帯端末1のＢＴが、限定インクワイアイリの返信を受信したならば、アプリケーションに端末発見イベントを通知する。アプリケーションは、発見された端末のBluetoothアドレスを検査し、該当しないリストに記録した端末であると場合は、発見した端末を無視する。

以上の方法により、一旦認証に失敗した端末には２度と接続要求を行わないので、キャッシュレジスタ２に成りすました装置を自動的に排除でき、本来所望する端末との接続が容易に実現可能となる。

次に、支払いを行う利用者の所持する携帯端末1以外から、接続要求を受けた場合のキャッシュレジスタ２の処理について説明する。この場合、キャッシュレジスタ２に入力される一時的PINコードと接続要求を行った携帯端末1で入力される一時的PINコードが異なるため、該端末の認証に失敗し、接続要求の結果は失敗する。キャッシュレジスタ２のアプリケーションは、リンク接続要求結果のステータスを検査し、その理由が相手端末の認証に失敗したことを示す状況であった場合は、リンク接続要求をおこなった装置のＢＴアドレスを接続済みリストに記録する。

再度携帯端末１から接続要求を受けた場合、接続要求には要求者のBluetoothアドレスも含まれているので、このアドレスが接続済みリストに含まれているかどうか検査する。もし、含まれていれば、接続要求に拒否を返答し、キャッシュレジスタ２の表示部４０に不正端末からの接続要求を受信したことを表示する。

本発明では、キャッシュレジスタ２を、認証を必要とするモードに設定していたが、携帯端末1が認証を行う設定で合っても問題ない。また、双方認証を必要とするモードでも同様の効果が得られる。

このように、第１の実施形態では、キャッシュレジスタ２で支払いを行う顧客が所持している携帯端末1でPINコードを生成し、生成したPINコードをキャッシュレジスタ２のオペレータに提示し、オペレータがPINコードをキャッシュレジスタ２に入力した後に、このPINコードを利用して携帯端末1とキャッシュレジスタ２の双方で認証処理を行うため、PINコードを不正に入手されるおそれがなくなり、セキュリティ性能を向上できる。

（第２の実施形態）
第１の実施形態は、携帯端末1でPINコードを生成したのに対し、第２の実施形態はキャッシュレジスタ２でPINコードを生成する点に特徴がある。

図９は第２実施形態における携帯端末1の処理動作の一例を示すフローチャート、図１０は第２の実施形態におけるキャッシュレジスタ２の処理動作の一例を示すフローチャートである。図９及び図１０のフローチャートは、図６及び図７のフローチャートと共通する処理が多いため、以下では相違点を中心に説明する。

レジのキャッシュレジスタ２で支払いを行う利用者は、携帯端末1を取り出し、サービスを受けるためのアプリケーションを起動し、アプリケーションは、ＢＴ送受信部を初期化する（ステップＳ８１）。

続いて、ＢＴ送受信部２５に対して接続可能なＢＴ送受信部３９を有するキャッシュレジスタ２を探索するために、ＢＴ送受信部２５に限定インクワイアリコマンド発行を要求し、ＢＴ送受信部は限定インクワイアリコマンドを送信する（ステップＳ８２）。

キャッシュレジスタ２のオペレータは、携帯端末1を所持する顧客のために、キャッシュレジスタ２のＢＴ送受信部３９が端末発見及び接続可能になったときに、アプリケーションを通じてＢＴ送受信部３９に通知する（ステップＳ１１５）。併せて、ＢＴ送受信部３９を、リンクレベルの認証を必要とするモードとペアリングを可能とするモードに設定する（ステップＳ１１２）。（この作業はアプリケーションの初期化ルーチンで行ってもよい）。

このとき、キャッシュレジスタ２のアプリケーションは、内部で乱数を生成し（ステップＳ１１３）、認証に使用する一時的PINコードとしてメモリに記憶するとともに、その数字をキャッシュレジスタ２の表示装置に提示する（ステップＳ１１４）。

キャッシュレジスタ２のＢＴ送受信部３９は、限定インクワイアリメッセージを受信すると、自己のＢＴアドレスやデバイスの種類を示すCODなどの情報を限定インクワイアリを行った端末に返信する。

携帯端末1のＢＴは、限定インクワイアイリの返信を受信すると、アプリケーションに装置発見イベントを通知する。アプリケーションは、発見された装置の識別子を検査し（ステップＳ８６）、新規に発見した装置であれば、CODを検査し（ステップＳ８７）、もし、キャッシュレジスタ２を示すCODの値の場合は、限定インクワイアリの中止をＢＴ送受信部２５に要求し（ステップＳ９１）、発見された装置とのリンク接続をＢＴ送受信部２５に要求する（ステップＳ９２）。ＢＴ送受信部２５は発見された装置に対して接続要求を送信する。

CODが異なる場合には、発見された装置の識別子を接続拒否リストに登録する（ステップＳ８９）。新規装置の検査や、CODの検査はパラメータをセットしてＢＴ送受信部２５で行い、該当する装置を発見した時のみ、装置発見イベントを通知する方法もありうる。あらかじめ決められた時間内に発見できない場合は、接続要求エラーを利用者に通知する。

キャッシュレジスタ２のＢＴ送受信部３９は、リンク接続要求が、リンクレベルのセキュリティを必要としているため、アプリケーションにリンクキー入力イベントを通知する（ステップＳ１１６）。初めて接続する携帯端末1なので、リンクキー入力要求に対してnegativeをＢＴ送受信部３９に入力する（ステップＳ１１７）。ＢＴ送受信部３９はアプリケーションにPINコードの入力を示すイベントを通知する。アプリケーションは、該メッセージを受け取った場合は（ステップＳ１１８）、メモリ３２に記録した一時的PINコードをＢＴ送受信部３９に入力し、ＢＴ送受信部３９は、LMP_unit_keyを携帯端末1に送信する（ステップＳ１２５）。

一方、携帯端末１は、リンクキーの入力を受信すると（ステップＳ９３）、リンクキーの入力拒否を返答する（ステップＳ９４）。その後、PINコード入力要求を受信すると（ステップＳ９５）、携帯端末1のＢＴ送受信部２５は、PINコードの入力を示すイベントをアプリケーションに通知し、アプリケーションは、一時的PINコード入力を行うダイアログをオペレータに提示し（ステップＳ９６）、一時的PINコードの入力を促す。携帯端末1の所持者は、キャッシュレジスタ２の表示部に示された一時的PINコードの入力を行う（ステップＳ９７）。あるいは、リンク接続要求を送信する前に、あらかじめ一時的PINコードの入力を促すダイアログを表示し、入力された一時的PINコードデータを一旦メモリに記録しておき、メッセージを受信した場合は、記録したデータを使用しても同等の効果を得られる。携帯端末1のＢＴ送受信部２５は、LMP_acceptedをキャッシュレジスタ２のＢＴ送受信部３９に送信する。以上により、双方に初期化キーが生成される。

このように、第２の実施形態では、顧客がキャッシュレジスタ２で支払いを行うときに、キャッシュレジスタ２で生成したPINコードを携帯端末1に入力し、このPINコードを利用して携帯端末1とキャッシュレジスタ２の双方で認証処理を行うため、認証手順を複雑にすることなく、セキュリティ性能を向上できる。

（第３の実施形態）
上述した第１及び第２の実施形態では、Bluetoothのリンク認証機能を利用していたが、第３の実施形態はリンク認証機能を利用しない点に特徴がある。

図１１は第３の実施形態における携帯端末1の処理動作の一例を示すフローチャートである。レジのキャッシュレジスタ２で支払いを行う利用者は、携帯端末1を取り出し、サービスを受けるためのアプリケーションを起動する。アプリケーションは、ＢＴ送受信部２５を初期化する（ステップＳ１４１）。

アプリケーションは、携帯端末1の識別子の一部または全部を表示部２２に提示する（ステップＳ１４２）。同時に、接続可能なＢＴ送受信部３９を有するキャッシュレジスタ２を探索するために、ＢＴ送受信部２５に限定インクワイアリコマンド発行を要求し、ＢＴ送受信部２５は限定インクワイアリコマンドをある一定期間送信する（ステップＳ１４３）。このとき、専用のインクワイリアクセスコードを用いることで、通信相手のキャッシュレジスタ２の探索時間をさらに短縮できる。

所定時間探索してもキャッシュレジスタ２が見つからなかった場合は（ステップＳ１４４）、接続エラー処理を行う（ステップＳ１４５）。

キャッシュレジスタ２からの限定インクワイアイリの返信を受信すると（ステップＳ１４６）、アプリケーションに端末発見イベントを通知する。

アプリケーションは、発見された端末の識別子を検査し（ステップＳ１４７）、新規に発見した端末であれば、CODを取得し（ステップＳ１４８）、もし、キャッシュレジスタ２を示すCODの値の場合は、限定インクワイアリの送信中止をＢＴ送受信部２５に要求し（ステップＳ１４９，Ｓ１５０）、このキャッシュレジスタ２に対するリンク接続をＢＴ送受信部２５に要求する（ステップＳ１５１）。ＢＴ送受信部２５はキャッシュレジスタ２に対して接続要求を送信する。

CODが異なる場合は、発見した装置の識別子を接続拒否リストに加える（ステップＳ１５２）。新規装置の検査やCODの検査はパラメータをセットしてＢＴ送受信部２５で行い、該当する装置を発見した時のみ、装置発見イベントを通知する方法もありうる。あらかじめ決められた時間内に発見できない場合は（ステップＳ１５３）、接続要求をエラーとして利用者に通知する（ステップＳ１４５）。

上述したステップＳ１０９の後、キャッシュレジスタ２からのリンク接続要求結果を受信し（ステップＳ１５４）、接続が成功した場合は，Ｓ１５５）、上位プロトコルの接続と、アプリケーションによる接続処理を行う。

一方、接続に失敗した場合は、規定時間以内か否かを判定し、規定時間を越えるとステップＳ１４５の接続エラー処理を行い、規定時間以内であれば、接続拒否リストに追加する（ステップＳ１５８）。

図１２は第３の実施形態におけるキャッシュレジスタ２の処理動作の一例を示すフローチャートである。キャッシュレジスタ２のオペレータは、アプリケーションを通じてＢＴ送受信部３９が端末発見可能、接続可能な状態に設定することをＢＴ送受信部３９に指示する（ステップＳ１６１〜Ｓ１６３）。

識別子入力を行うダイアログをオペレータに提示し、識別子の入力を促す（ステップＳ１６４）。オペレータは、支払いを行う顧客の携帯端末1の表示部２２に示された識別子をキー入力部２３から入力する。あるいは、リンク接続要求を受信する前にあらかじめ識別子の入力を促すダイアログを表示し、入力された識別子をデータを一旦メモリ１３に記録しておき、メッセージを受信した場合は、記録したデータを使用しても同等の効果を得られる。あるいは、キー入力部２３を顧客にわたし、顧客自身が識別子の入力を行っても同等の効果が得られる。あるいは、携帯端末1の表示部２２にバーコードを示し、スキャナーで読み取る、あるいは、ＣＣＤカメラで画像を撮影し、文字認識を行い識別子とする。あるいは、ＩｒＤＡを通じて識別子を取得しても同等の効果を有する。

続いて、キャッシュレジスタ２のＢＴ送受信部３９が限定インクワイアリメッセージを受信すると自ＢＴアドレスやデバイスの種類を示すClass Of Device（以下CODと呼ぶ)などの情報を限定インクワイアリを行った端末に返信する。

続いて、接続要求を受信すると（ステップS165）、接続要求を行った携帯端末1が接続拒否リストに登録されているか否かを判断し（ステップＳ１６６）、登録されていれば、携帯端末1に対して接続拒否返答を行い（ステップＳ１６７）、不正端末からの接続要求を受信した旨を表示して（ステップＳ１６８）、ステップＳ１６５に戻る。

上述したステップＳ１６６において、接続要求を行った携帯端末1が接続拒否リストに登録されていないと判断されると、この携帯端末1の識別子を取得しているか否かを判断し（ステップＳ１６９）、取得していない場合は携帯端末1に対して接続拒否返答を行い（ステップＳ１７０）、端末発見不可能で接続不可能状態に設定する（ステップＳ１７１）。

上述したステップＳ１６９において、携帯端末1から識別子が取得している場合には、ステップＳ１６４で入力された識別子と取得した識別子が一致するか否かを判定する（ステップＳ１７２）。両者が一致しなければ、接続拒否返答を行い（ステップＳ１７３）、この携帯端末1を接続拒否リストに追加する（ステップＳ１７４）。

上述したステップＳ１７２で識別子が一致したと判断されると、リンク接続許可の返答を行った後（ステップＳ１７５）、携帯端末1からのリンク接続結果を受信する（ステップＳ１７６）。

リンク接続結果によりリンク接続に成功したか否かを判断し（ステップＳ１７７）、成功した場合には端末発見不可能で接続不可能な状態に設定した後（ステップＳ１７８）、アプリケーションによる接続処理を行う（ステップＳ１７９）。

上述したステップＳ１７７でリンク接続に成功しなかったと判断されると、端末発見不可能で接続不可能な状態に設定した後（ステップＳ１８０）、接続エラー処理を行う（ステップＳ１８１）。

このように、第３の実施形態は、携帯端末1の識別子をキャッシュレジスタ２のオペレータが入力し、入力した識別子と携帯端末1から送信された識別子とが一致すれば、アプリケーションによる接続処理を行うため、第１及び第２の実施形態のようにリンク認証機能を使用するよりも短い時間で、携帯端末1とキャッシュレジスタ２との間で通信を行うことができる。

（第４の実施形態）
第１〜第３の実施形態では、相手を間違えて接続しようとした場合に、端末探索を行うために余計に接続時間がかかってしまう。また、キャッシュレジスタ２の操作者が誤ってPINコードを入力するおそれもある。

第４の実施形態は、携帯端末１の表示部２２に携帯端末１の識別情報をバーコード等で表示させ、その識別情報をキャッシュレジスタ２で読み取って認証処理を行うものである。本実施形態では、キャッシュレジスタ２が携帯端末１に接続を行う場合、すなわちキャッシュレジスタ２がマスターで、携帯端末１がスレーブの場合を想定している。

図１３は第４の実施形態におけるキャッシュレジスタ２の模式図、図１４は図１２のキャッシュレジスタ２の内部構成を示すブロック図である。本実施形態のキャッシュレジスタ２は、図３及び図４に示したキャッシュレジスタ２の構成に加えて、携帯端末１の表示部２２に表示されるバーコードを読み取るためのバーコードリーダ３８ａを備えている。

なお、図３のように、一つのバーコードリーダ３８だけを設けて、このバーコードリーダ３８で商品登録と携帯端末１の識別情報の取得の双方を行ってもよい。この場合、商品登録と携帯端末１の識別情報の取得のいずれを行うのかを、キャッシュレジスタ２のキー入力部３４で切り替えればよい。あるいは、このような切り替えを行うための専用のボタンを設けてもよい。

専用のボタンを設ける場合、キャッシュレジスタ２の操作者は、ボタンを押下して携帯端末１の識別情報の取得を行うモードに設定した状態で、携帯端末１の表示部２２に表示されるバーコードをバーコードリーダ３８ａで読み取って、携帯端末１の識別情報を取得する。バーコードの読み取りに成功すると、自動的にあるいは操作者がボタンを押下して、商品登録モードに切り替える。以後、バーコードリーダ３８は、商品登録を行う目的で使用される。

あるいは、バーコード自体に携帯端末１の識別情報か否かを示す情報を予め埋め込んでおけば、ボタンを設けることなく、自動的にバーコードリーダ３８ａの使用目的を切り替えることができる。すなわち、バーコードの内容をキャッシュレジスタ２で解析することにより、携帯端末１の識別情報を示すバーコードか、商品の識別情報を示すバーコードかを自動的に判別することができる。

また、図１３のように、携帯端末１の識別情報を取得するための専用のバーコードリーダ３８ａを設ける場合は、赤外線センサと組み合わせることにより、携帯端末１とバーコードリーダ３８ａとの距離が近づくと自動的にバーコードリーダ３８ａが読み取り作業を開始するようにすることもできる。

通常のバーコードリーダの読み取り時間は数百ミリ秒なので、上記のように自動読み取りを行うと、端末所持者が携帯端末１をバーコードリーダ３８ａの近くに配置してから数百ミリ秒で端末識別情報をサービス提供装置に伝達でき、Bluetoothの端末探索フェーズに必要な１０数秒の時間を短縮することができる。

また、本実施形態では、キャッシュレジスタ２の操作者が明示的にバーコードリーダ３８ａを携帯端末１に近づけるという操作を行うだけで、通信相手として特定すべき携帯端末１の識別情報をキャッシュレジスタ２に伝達でき、上記と同様に、携帯端末１の探索時間を短縮できる。

バーコードには、１次元バーコードと２次元バーコードの２種類がある。２次元バーコードの方がより多くの情報を伝達できるが、バーコードリーダの価格が高価なため、１次元バーコードほどは普及していない。１次元バーコードを読み取るバーコードリーダは、一般の小売店などに普及している。

このような背景から、本実施形態では、主に１次元バーコードを用いる例を説明するが、２次元バーコードにも適用可能である。１次元バーコードには、JAN13、JAN8、CODE39、CODE128、標準ITF、及びNW-7などがあり、異なる分野ごとに、その特性に合わせて使用されている。

現在、日本の流通業界で汎用的に使用されているバーコードは、JAN13コードと呼ばれるものであり、13桁の数字を使用している。13桁のうち、２桁が国コード、５桁が会社コード、５桁が製品コード、１桁がチェックコードであるが、店ごとに番号を割り振ることもできる。

Bluetoothでの接続手順では、相手アドレスのうち32bit (4294967296)、言い換えれば１０桁のデータを必要とする。このため、JAN13を使用する場合には、図１５に示すように１２桁のうち１０桁を識別情報用に、残り２桁を他の情報を表現するために使用できる。

図１６は第４の実施形態における携帯端末１の処理動作の一例を示すフローチャート、図１７は第４の実施形態におけるキャッシュレジスタ２の処理動作の一例を示すフローチャートである。

最初に、携帯端末１の所持者の指示により、サービス提供を受ける専用のアプリケーションを起動する（ステップＳ２０１）。次に、自端末のBluetoothアドレスである48ビット識別子を、HCIを通じてHCI_READ_BD_ADDRを発行することで取得する（ステップＳ２０２）。あるいは、最初にアプリケーションを起動したときにBluetoothアドレスを取得し、そのアドレスを不揮発性メモリに記録しておき、次回からは不揮発メモリから読み出してもよいし、端末所持者が予め携帯端末１に割り振られた識別子を何らかの手段で入手し、手動でアプリケーションに登録してもよい。

次に、認証処理に使用される乱数を生成し、生成した乱数をメモリ１３に記憶する（ステップＳ２０３）。

次に、ステップＳ２０２で読み出したアドレスの下位３２ビットのみ取得して、１０進の数字に変化する。このとき、識別子の値が小さくて、桁に変換して１０桁に満たない場合は、１０桁になるように頭に０を加える。

認証を使用しない場合は、任意の数字２桁を、上位２けたあるいは下位２けたに追加し、１２桁の数字を生成する（ステップＳ２０４）。

認証を使用する場合は、ステップＳ２０３で生成した乱数を、上位２桁または下位２桁として、Bluetooth識別子である１０桁に追加する。あるいは双方で秘密に共有する２桁の固定の数字を使用してもよい。

このとき、セキュリティ性能を高めるには、生成した１２桁に対して可逆の演算、例えば、秘密の１２桁のデータとの排他論理和を求めるか、あるいは、決められた法則に従って、ビットの交換を行うことにより、接続情報の暗号化を行う方法も考えられる。

次に、ステップＳ２０４で生成した１２桁の数字を用いてJAN１３コード用の画像を生成する（ステップＳ２０５）。JAN１３の画像データは仕様が決められており、仕様に従いチェックサム用の数字（下位１桁）を計算し、得られた１３桁の数字を元に横９５ドットのバーコード画像を作成する。なお、携帯端末１の画面が大きい場合は、９５のN倍のバーコード画像を作成してもよい。

次に、作成したバーコード画像を表示画面に提示し（ステップＳ２０６）、Bluetoothデバイスをページスキャン可能モードに変更する（ステップＳ２０７）。また、スキャンウィンドウやスキャンインターバルのパラメータを、例えば、それぞれ、２２．５ｍｓや１６０ｍｓに変更する。これにより、リンクレベルでの接続時間を短縮できる。

端末所持者は、携帯端末１への画像表示を確認すると、携帯端末１の表示部をキャッシュレジスタ２のバーコードリーダ３８ａに近づけ、バーコードリーダ３８ａにより、バーコード画像の読み取りを行う。

その後、携帯端末１は、図６と同様に、接続と認証処理を行い（ステップＳ２０８〜Ｓ２１７）、リンクの接続が完了するとページスキャンを無効にする（ステップＳ２１８）。

一方、キャッシュレジスタ２は、RS-232Cのポートを監視し、バーコードリーダ３８ａが画像取込みを行った否かを確認し、バーコードリーダ３８ａが画像データの読み取りに成功すると（ステップＳ２２２）、１３桁のJAN13コードを取得する（ステップＳ２２３）。

取得した１３桁の数字から、相手Bluetoothデバイスの３２Bitに相当する認証用データを取得し（ステップＳ２２４）、１６進表記への変換を行う。次に、変換後のデータの上位２バイトを任意の数字で補完し、携帯端末１のみなしBluetoothアドレスを作成する（ステップＳ２２５）。携帯端末１から送られた１２桁の数字に２桁の認証データが含まれている場合は、復号のための演算を行って、識別情報である１０桁の数字と認証用の２桁の数字とを取得する。この認証用の２桁の数字は、リンク接続認証の際に用いられる。

次に、作成したみなしアドレスを用いて、リンク接続要求を携帯端末１に送信し（ステップＳ２２６）、携帯端末１とリンクレベルでの接続を試みる。キャッシュレジスタ２はリンクレベルの接続完了イベントを受信すると（ステップＳ２２７〜Ｓ２３２）、以後、L2CAPの接続、RFCOMMの接続、アプリケーションであるOBEXの接続を行う。

バーコード画像の中に認証データが含まれている場合には、携帯端末１とキャッシュレジスタ２の双方でリンク接続認証を行う際に、リンクキーの入力イベントを受信したときに、取得した２桁の認証用の数字と双方があらかじめ共有する秘密のコードや日時を種に、１２８ビットのリンクキーを生成して、リンクキーとして利用する。あるいは、そのままリンクキーとして用いるのではなく、リンクキーを拒否して、PINデータ人力要求イベントを受信したときに、PINデータとして利用できる。Bluetoothのリンクレベルの認証は図６に示したフローチャートに従って、LMP内部で実行される。

以上の手順により、携帯端末１とキャッシュレジスタ２との間でデータの送受信が可能となる。この状態において、携帯端末１は、ＣＰＵ１１の制御により、例えばEEPROM等のメモリ１３に格納されている電子クーポンを読み出して、ＢＴ送受信部からキャッシュレジスタ２に電子クーポンを送信する
キャッシュレジスタ２は、携帯端末１の接続情報の取得に成功すると、キャッシュレジスタ２の本来の機能であるレジ処理も並行して行う。すなわち、当該顧客が購入しようとしている商品ＰのバーコードＢ１をバーコードリーダ３８ａで読み取り、ＰＯＳサーバ３から当該商品Ｐの価格を取得し、それとキー入力部３４から入力された個数と乗算を行って合計金額を算出し、商品金額と合計金額を表示部３７に表示したり、レシートの発行を行ったりする。当該顧客が購入しようとしている全ての商品のバーコード入力（あるいはキー入力であってもよい）が終了し、それらの合計金額が得られるとき、レジ操作者はキー入力部３４から所定のキー入力を行うことにより、レジ処理の終了を指示する。

キャッシュレジスタ２は、携帯端末１から電子クーポンが送信されてきたときは、それをＢＴ送受信部３９で受信し、ＣＰＵ３の制御のもと、使用可能なクーポンを用いて、その対象商品を値引きするための演算処理を行って、最終的な合計金額を求める。さらに、購入価格に応じた得点を求めて、その得点を電子ポイントとして、ＢＴ送受信部３９から携帯端末１へ送信する。そして、当該顧客の購入履歴として、顧客情報をＰＯＳサーバ３に送信する。

キャッシュレジスタ２のＢＴ送受信部３９は、電子ポイントを送信し終わると、当該携帯端末１との間に確立された無線伝送路の切断処理を実行する。すなわち、コネクションの切断とリンクの切断を行う。

ユーザインタフェースの観点から言えば、携帯端末１の画面から接続情報が正しく取得できた場合、Bluetoothの接続が完了した場合、サービス提供の処理が終了した場合（リンクが切断された場合）などに、携帯端末１とキャッシュレジスタ２のどちらか、あるいは、双方に、効果音や画面表示で状況を知らせるとよい。携帯の場合は、振動させたり、イルミネーションを光らせる方法もありうる。

このように、第４の実施形態では、携帯端末１の識別情報と認証用のデータを示すバーコード画像を携帯端末１の表示部２２に表示するため、このバーコード画像をキャッシュレジスタ２のバーコードリーダ３８ａで読み取ることにより、携帯端末１を簡易かつ正確に特定でき、携帯端末１がサービスの提供を要求してから提供を受けるまでの時間を短縮できる。

特に、本実施形態の場合、携帯端末１の識別情報と認証用データを表すバーコード画像を特定のキャッシュレジスタ２のバーコードリーダ３８ａで読み取るため、この特定のキャッシュレジスタ２のみが携帯端末の識別情報等を取得でき、セキュリティ性能が向上する。

また、本実施形態では、バーコードリーダ３８ａ等で取得した接続情報により、リンクの確立と認証を行い、携帯端末１とキャッシュレジスタ２の双方において、認証用のキーが一致した場合のみ接続を許容するため、所望の携帯端末１のみがキャッシュレジスタ２の提供するサービスを受けることができる。

また、レジ操作者が携帯端末１の指定を間違う余地がなく、確実なコネクションの確立が可能になる。さらに、処理時間のかかるBluetoothの端末探索の手順を実行しないため、レジ本来の作業を阻害せずに、各種のサービスを提供できる。

また、無線伝送路設定のために取得した携帯端末１の識別情報に対応付けた顧客毎の購入履歴等の顧客情報を収集できるので、この購入情報を用いて購入商品売上管理や在庫管理の他、各顧客の嗜好の解析も行うことができ、各顧客別に個別のサービスを提供できる。

なお、携帯端末１とキャッシュレジスタ２との間で接続情報をやり取りするための具体的な方法に特に制限はなく、バーコードリーダ３８ａによりバーコードを読み取る方法の他、携帯端末１に設けられた無線タグから無線で接続情報を送信する方法や、IrDA(Infrared Data Association)通信により接続情報を送信する方法や、撮像素子にてバーコード等の識別情報を読み取る方法など、種々の方法が考えられる。

また、上述した実施形態では、１次元バーコードを使用したが、２次元バーコードを使用してもよい。この場合、４８ビットのBluetooth識別子を縮退させず、かつ、認証用のデータもビット数を増やすことができ、セキュリティ性能をさらに向上できる。また、自端末のBluetoothクロックの取得が可能であるならば、その情報を含めることにより、接続要求時に、携帯端末１の周波数の推測が正しくなり、より短時間での接続が可能となる。

また、本実施形態では、相手端末の認証にリンクレベルの認証機能を使用したが、OBEXを使用する場合には、取得した認証データをそのまま、あるいは、何らかの演算を行って認証キーとして使用する。OBEXの場合はハッシュ関数であるMD5を用いたチャレンジレスポンス方式での認証が可能となる。

あるいは、OBEXでも標準仕様のMD5の認証方式を使用せず、独自の認証方式の認証キーそのもの、あるいは認証キー作成の種として利用しても同等の効果が得られる。

本例では、１次元バーコードを使用しており、相手BTアドレスを縮退している。このような場合、PIN入力を行いリンクキーを作成すると認証ミスが生じる可能性がある。これを防ぐためには、単体キーとしてリンクキーを作成すれば回避できる。

なお、上記実施形態では、キャッシュレジスタ２が電子クーポンによる値引きや電子ポイントの発行を行っているが、このような処理をキャッシュレジスタ２とネットワークを介して通信可能なように接続されているコンピュータに実行させてもよい。

（第５の実施形態）
第５の実施形態は、第４の実施形態とは逆で、携帯端末１からキャッシュレジスタ２に接続を行う場合、すなわち携帯端末１がマスターで、キャッシュレジスタ２がスレーブの場合を想定している。

図１８は第５の実施形態における携帯端末１の処理動作の一例を示すフローチャート、図１９は第５の実施形態におけるキャッシュレジスタ２の処理動作の一例を示すフローチャートである。以下では、第４の実施形態とは異なる部分を中心に説明する。

携帯端末１は、接続情報であるバーコード画像を作成した（ステップＳ２５５）後、このバーコード画像を携帯端末１の表示部２２に提示する（ステップＳ２５６）。端末所持者は、携帯端末１の表示部２２に表示されたバーコード画像を確認すると、携帯端末１の表示部２２をキャッシュレジスタ２のバーコードリーダ３８ａの読み取り部分に提示する。

キャッシュレジスタ２は、バーコードリーダ３８ａにより、接続情報であるバーコード画像の読み取りを行う（ステップＳ２８２）。読み取りに成功した場合は、効果音を発生したり、画面に読み取り成功のメッセージを表示して、端末所持者に接続情報の取得成功を伝えてもよい。

端末所持者は、接続情報の取得成功を確認すると、Bluetoothの接続開始指示を行い（ステップＳ２５７）、特定のIACを設定して限定インクワイアリ送信要求を行う（ステップＳ２５８）。新規の端末を発見するとインクワイアリを中断し、発見した端末に対して接続要求を行う。そして、接続要求結果のステータスを調べ、成功ならばL2CAPの接続を、失敗した場合は、概装置のアドレスを既知端末として記録し、再度インクワイアリを行い、他の装置の探索を行う（ステップＳ２５９〜Ｓ２７５）。

キャッシュレジスタ２は、バーコードリーダ３８ａによる接続用データの取得に成功すると（ステップＳ２８４）、インクワイアリスキャンとページスキャンを有効とし（ステップＳ２８５）、取得した１３桁の数字から、相手Bluetoothデバイスの３２Bitに相当する情報を取得し、４バイトの１６進表記に変換を行う（ステップＳ２８７）。

Bluetoothのリンクレベルの接続要求イベントを受信した場合は、接続要求を行った装置のBluetoothアドレスを取得し、下位４バイトの比較を行う（ステップＳ２８８）。このときアドレスが一致したならば、接続許可を行う（ステップＳ２８９）。一致しない場合は、接続拒否を行う（ステップＳ２９０）。

リンクの接続に成功すると、インクワイアリスキャンとページスキャンを無効にする（ステップＳ２９１〜Ｓ３０４）。

また、認証を行う場合は、第４の実施形態と同様の処理を行う。図１９のフローチャートでは、Bluetoothアドレスの下位４バイトを用いて接続要求を行う装置を識別しているが、ユニークＩＤである携帯端末のBluetoothアドレスの下位３バイトのみで携帯端末１の判定を行ってもよい。この場合、同一ＩＤを有する携帯端末１が同一場所で同一のタイミングで接続要求を行う確率は1680万分の１以下なので、その確率はほとんど無視することができる。

このように、第５の実施形態では、携帯端末１が不適切な装置を所望の装置よりも最初に発見すると、再接続に数百ミリの時間を要するが、端末識別情報の桁数を減らし、その分、認証用の情報の伝達に用いることができるため、第４の実施形態と比較して接続時間の面では劣るが、セキュリティの強度の面で勝っている。

なお、上述した各実施形態では、キャッシュレジスタ２が携帯端末１にどのようなサービスを提供するかは、特に限定されない。すなわち、携帯端末１と通信を行う機器はキャッシュレジスタ２に限定されない。

上述した各実施形態では、携帯端末１と通信を行う情報交換装置の一例としてキャッシュレジスタ２を挙げて説明したが、本発明は、携帯端末１と通信可能で接続情報を送受する各種の装置、例えば、携帯端末１と通信を行って改札処理を行う改札機、自動販売機、駐車場や施設のゲート等にも適用可能である。

なお、本発明は、上記第１〜第５の実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。さらに、上記第１〜第５の実施形態には種々の段階の発明は含まれており、開示される複数の構成用件における適宜な組み合わせにより、種々の発明が抽出され得る。例えば、実施形態に示される全構成要件から幾つかの構成要件が削除されても、発明が解決しようとする課題の欄で述べた課題（の少なくとも１つ）が解決でき、発明の効果の欄で述べられている効果（のなくとも１つ）が得られる場合には、この構成要件が削除された構成が発明として抽出され得る。

（その他の実施形態）
最近、携帯端末１にＣＣＤカメラ等の撮像装置を組み込んだものが普及しており、この種の携帯端末１を用いれば、キャッシュレジスタ２の表示部３７に表示された情報を画像として携帯端末１に取り込むことも容易に行える。

そこで、上述した第４及び第５の実施形態とは逆に、キャッシュレジスタ２が、キャッシュレジスタ自身のBluetoothアドレスとＰＩＮコードとに基づいて二次元画像を生成して、キャッシュレジスタ２の表示部３７に表示させ、この二次元画像を携帯端末１の撮像装置で撮像してキャッシュレジスタ２の接続情報を取得し、携帯端末１側あるいはキャッシュレジスタ２側から接続要求を行ってもよい。

この場合も、上述した第４及び第５の実施形態と同様の作用効果が得られる。

本発明に係る通信システムの第1の実施形態の概略構成を示すブロック図。 本実施形態における携帯端末1の内部構成を示すブロック図。 本実施形態におけるキャッシュレジスタ２の模式図。 本実施形態におけるキャッシュレジスタ２の内部構成を示すブロック図。 Bluetooth端末の識別子を説明する図。 第１の実施形態における携帯端末の処理動作の一例を示すフローチャート。 図６のステップＳ１９及びＳ２０の処理の詳細フローチャート。 第１の実施形態におけるキャッシュレジスタの処理動作の一例を示すフローチャート。 第２実施形態における携帯端末の処理動作の一例を示すフローチャート。 第２の実施形態におけるキャッシュレジスタの処理動作の一例を示すフローチャート。 第３の実施形態における携帯端末の処理動作の一例を示すフローチャート。 第３の実施形態におけるキャッシュレジスタの処理動作の一例を示すフローチャート。 第４の実施形態におけるキャッシュレジスタ２の模式図。 図１２のキャッシュレジスタ２の内部構成を示すブロック図。 JAN13のバーコードの内容を説明する図。 第４の実施形態における携帯端末１の処理動作の一例を示すフローチャート。 第４の実施形態におけるキャッシュレジスタ２の処理動作の一例を示すフローチャート。 第５の実施形態における携帯端末１の処理動作の一例を示すフローチャート。 第５の実施形態におけるキャッシュレジスタ２の処理動作の一例を示すフローチャート。

符号の説明

１ 携帯端末
２ キャッシュレジスタ
３ ＰＯＳサーバ
４ センター
１１ ＣＰＵ
１２ ＲＯＭ
１３ メモリ
１４ EEPROM
１５ マイク
１６ Ａ／Ｄ
１７ スピーカ
１８ Ｄ／Ａ
１９ 偏心モータ
２０ 基地局
２１ 通信部
２２ 表示部
２３ キー入力部
２４ 選択指示部
２５ ＢＴ送受信部
３１ ＣＰＵ
３２ メモリ
３３ ＲＯＭ
３４ キー入力部
３５ RS-232Cコントローラ
３６ ドローア
３７ レジ制御部
３８ バーコードリーダ
３９ ＢＴ送受信部

Claims (4)

1. 互いに通信を行う通信装置および携帯端末を備え、
   前記通信装置および前記携帯端末の間で通信リンクを設定する通信システムにおいて、
   前記通信装置は、
   表示部と、
   自装置が所持する通信用識別子を取得する第１の識別子取得部と、
   前記通信用識別子を前記表示部に表示するための表示用パターンに変換する変換部と、
   前記表示部に前記表示用パターンを表示させる表示制御部と、を有し、
   前記携帯端末は、
   前記表示部に表示された前記表示用パターンを撮像するための撮像部と、
   前記撮像部で撮像された前記表示用パターンから前記通信用識別子を復元する復元部と、
   前記復元部で復元された前記通信用識別子を用いて前記通信装置に対して接続要求を行う接続要求部と、を有することを特徴とする通信システム。
2. 前記変換部は、前記通信用識別子のうち、少なくとも前記通信装置を特定するための一部のビットを前記表示用パターンに変換し、
   前記復元部は、前記撮像部で撮像された前記表示用パターンから前記一部のビットを復元し、
   前記接続要求部は、前記復元された前記一部のビットを用いて前記通信装置に対して接続要求を行うことを特徴とする請求項1に記載の通信システム。
3. 前記表示用パターンは、前記通信装置と前記携帯端末との間の通信で用いる認証データを含み、
   前記通信装置および前記携帯端末はそれぞれ、前記認証データを用いて互いに認証処理を行うための認証部をさらに有することを特徴とする請求項１に記載の通信システム。
4. 前記通信装置および携帯端末はそれぞれ、前記認証部が認証に失敗した場合に、不正なアクセスが行われたことを警告する警告部をさらに有することを特徴とする請求項３に記載の通信システム。

Images