JP2008257365A - 取引システム - Google Patents

Abstract

【課題】携帯端末を用いた生体認証取引システムにおいて携帯端末上の生体情報や端末自身のセキュアな更新方法を実現する。
【解決手段】携帯端末４と、それに搭載された生体認証用デバイスなどの情報と登録／認証などの利用状況を管理し、認証／登録などの生体認証用プログラムを保有するサーバ１と、携帯端末４とサーバ１が直接通信できる手段とを有する。顧客ＤＢに記憶されている携帯端末４毎の利用状況に応じてサーバ１は携帯端末４に更新手続きを行わせる。この際、サーバ１と携帯端末４との間は、常時セキュアな通信により、各種プログラムの通信が行われ、サーバ１に記憶されたプログラムを携帯端末４がダウンロードして実行し、暗号化された生体情報のみを携帯端末４が記憶する。そして、更新手続き後には、ダウンロードしたプログラムは消去される。これにより、セキュアな状態での更新手続きが可能になる。
【選択図】 図５

Description

この発明は、生体認証機能を有する携帯端末を用いてＡＴＭ等の取引チャンネルで各種の取引を実行する取引システムに関するものであり、特に、生体情報や携帯端末の更新に関するものである。

現在、携帯端末を用いて生体認証を実行することで金融取引を行う取引システムが各種開示されている。例えば、特許文献１では、携帯端末内に認証プログラムおよび生体認証情報を記憶している。そして、生体認証を実行する際には、携帯端末が自ら認証プログラムを実行し、取引チャンネルであるモバイルバンキング装置にアクセスする。また、特許文献２では、取引チャンネルであるＡＴＭに認証プログラムを記憶している。そして、生体認証を実行する際には、携帯端末がＡＴＭから認証プログラムをダウンロードして実行することでＡＴＭにアクセスする。この処理は、携帯端末がＡＴＭと取引を行う度に実行される。
特開２００１−１１７８７８公報 特開２００６−２２７７６６公報

このような携帯端末による生体認証が普及すると、一つの携帯端末により複数の取引チャンネルと生体認証の取引を行う等、認証の機会が増加する。そして、認証の機会の増加にともない、悪意のある第三者からの攻撃機会が増加し、悪用される可能性が増える。また、各取引チャンネルで認証方法が同じであることは殆ど無いので、携帯端末の切替や紛失により生体認証に用いる情報を移し替える機会も増加し、情報漏洩の発生する可能性も増加する。

したがって、本発明の目的は、生体認証情報のセキュリティレベルを継続的に高レベルに維持するとともに、切替時のセキュリティレベルも高レベルに保持することができる、携帯端末を用いた生体認証型の取引システムを提供することにある。

上述の効果を奏するため、本発明は以下の各構成を備える。

（１）本発明は、携帯端末と、サーバと、取引チャンネルとを備える取引システムに関するものである。携帯端末は、取引チャンネルおよびサーバと通信を行う携帯端末通信手段、生体情報を入力する生体情報入力手段、入力された生体情報を記憶する生体情報記憶手段、取引チャンネルおよびサーバから送信される実行プログラムを記憶する主記憶手段、および実行プログラムを実行する制御部を有する。サーバは、携帯端末および取引チャンネルと通信を行うサーバ通信手段、携帯端末毎に設定された生体情報を含む携帯端末情報を記憶する携帯端末情報データベース、および、登録プログラム、認証プログラムおよび更新プログラムを含む実行プログラムを記憶するサーバ記憶手段、を有する。取引チャンネルは、携帯端末およびサーバと通信して、所定の登録処理および取引処理を行う。

そして、サーバの携帯端末情報データベースには、携帯端末毎の生体認証登録経過時間、生体認証使用回数が記憶されている。

サーバは、生体認証登録経過時間、生体認証使用回数が所定閾値以上である携帯端末を検知すると、該携帯端末に対して生体認証の更新プログラムを送信する。

携帯端末は、サーバから更新プログラムを受信すると、該更新プログラムを実行して生体認証登録の更新を行う。

取引チャンネルは、更新を行った携帯端末による取引を受け付け、携帯端末を保持するユーザとの取引（例えば、引き落とし取引）を実行する。

これにより、携帯端末の生体認証に関する情報はサーバにより管理され、上述するような特定のタイミング毎に更新される。

（２）また、この発明の取引システムでは、携帯端末が旧携帯端末と新携帯端末とがあり、旧携帯端末から新携帯端末に切り替える場合に、以下の処理を実行する。

サーバは、旧携帯端末から新携帯端末に関する情報を含む端末切替更新の通知を受け付けると旧携帯端末に対して端末切替プログラムを送信し、旧携帯端末による端末切替処理を受け付けると新携帯端末に対して旧携帯端末からの端末切替更新の通知に準じた端末切替情報を送信する。

新携帯端末は、サーバからの端末切替情報に基づいて、サーバに切替更新登録の通知を送信する。

サーバは、新携帯端末から切替更新登録の通知を受信すると、新携帯端末に登録プログラムを送信し、新携帯端末からの生体認証の登録手続きを認証すると、生体認証削除プログラムを、新携帯端末を介して旧携帯端末へ送信する。

旧携帯端末は、受信した生体認証削除プログラムに基づいて、自装置内の生体認証に関する記憶データを削除する。

そして、取引チャンネルは、新携帯端末による取引を受け付け、新携帯端末との取引（例えば、引き落とし取引）を実行する。

これにより、新携帯端末にのみ生体認証情報が存在し、旧携帯端末は、サーバおよび取引チャンネルとの通信の可・不可に関係なく、生体認証情報が削除される。

（３）また、この発明は、旧携帯端末と新携帯端末との通信を近距離無線通信で実行する。これにより、新携帯端末と旧携帯端末との通信が近距離でしか行えず、漏洩を抑制することができる。

（４）また、この発明では、サーバは、携帯端末の使用不能情報を受け付けると、使用不能携帯端末に関する生体認証取引を停止し、新たに使用可能となる携帯端末から使用不能携帯端末に対応する強制更新の通知を受け付けると、新たに使用可能となる携帯端末に対して、強制更新許可情報を送信する。

新たに使用可能となる携帯端末は、取得した強制更新許可情報を用いてサーバへ更新登録を通知する。

サーバは、更新登録を認証すると、新たに使用可能となる携帯端末に登録プログラムを送信する。

新たに使用可能となる携帯端末は、受信した登録プログラムを用いて生体認証の強制更新登録を行う。

取引チャンネルは、強制更新登録により認証された携帯端末による取引を受け付け、新たに使用可能となった携帯端末との取引（例えば、引き落とし取引）を実行する。

これにより、旧携帯端末を紛失したり破損した場合でも、セキュリティレベルを高レベルに維持したまま新たな携帯端末に切替を行うことができる。

この発明によれば、生体認証情報のセキュリティレベルを継続的に高レベルに維持するとともに、切替時のセキュリティレベルも高レベルに保持することができる取引システムを実現することができる。

図１は、本発明の実施形態に係る取引システムの主要構成を示す構成図である。
本実施形態の取引システムは、生体認証による取引用のプログラムや、顧客の生体認証取引に関わるデータベースを保持するサーバ１、現金自動取引装置（ＡＴＭ）２、インターネットバンキングを行うＰＣ（ＩＢ端末）３、携帯通信機用アプリケーション等を用いたモバイルバンキングおよび生体認証が実施される携帯端末４、サーバ１と各種取引チャンネル（ＡＴＭ２、ＩＢ端末３、携帯端末４を含む）との通信に用いるＬＡＮ５および公衆回線６、生体情報の初期登録を行う登録用ＰＣ７を含む。登録用ＰＣ７は、現金自動取引装置２を所有する金融機関の店舗内に設置されている。

ＡＴＭ２、ＩＢ端末３、および登録用ＰＣ７は、携帯端末４と互いに通信可能な無線通信送受手段８を備える。無線通信送受信手段は、例えば、非接触ＩＣ通信、赤外線通信等で実現される。

図２（Ａ）は携帯端末４の機能ブロック図であり、図２（Ｂ）はサーバ１の主要構成を示す機能ブロック図である。

携帯端末４は、主制御部４０、無線通信部４１、回線Ｉ／Ｆ４２、生体認証デバイス４３、メインメモリ４４、入力部４５、表示部４６、生体情報記憶部４７を備える。無線通信部４１は、他の取引チャンネルであるＡＴＭ２やＩＢ端末３と無線通信を行う。回線Ｉ／Ｆ４２は、サーバ１とモバイルバンキングを実行するインタフェースである。生体認証デバイス４３は、例えば、カメラ、マイクやタッチパネル等で構成されており、指静脈、指紋、声紋、および筆跡等の生体情報の入力を受け付け、テンプレート化・暗号化を施す。メインメモリ４４は、サーバ１から受信した生体認証による取引用プログラム（以下、単に「生体取引用プログラム」と称する。）やモバイルバンキングプログラムを記憶する。入力部４５は、キーボードやタッチパネル等からなり、選択／確認等の入力を受け付ける。表示部４６は、後述する処理の際に利用するガイダンス等を表示する。生体情報記憶部４７は、テンプレート化して暗号を掛けた生体情報を記憶する。主制御部４０は、携帯端末４の全体制御を行うとともに、後述する生体認証を用いた各種のプログラムを実行する。

サーバ１は、メイン制御部１０、通信制御部１１、実行処理用メモリ１２、顧客データベース（顧客ＤＢ）１３を備える。メイン制御部１０は、サーバ１の全体制御を行うともに、後述する生体認証を用いた各種のプログラムを実行する。通信制御部１１は、ＬＡＮ５および公衆回線６による通信を制御する。実行処理用メモリ１２は、登録プログラム、認証プログラム、生体更新プログラム、端末更新プログラム、削除プログラム等の各種プログラムを記憶するとともに、メイン制御部１０が各プログラムを実行する際の作業領域として機能する。顧客ＤＢ１３は、顧客の生体認証による取引用情報として、氏名、携帯端末情報、認証方式、登録日等を記憶する。

次に、各種処理時のフローについて、図を参照して詳細に説明する。

（１）初期登録時（図３参照）
図３は登録操作時のフローを示すフローチャートである。
まず、利用者は金融機関の窓口に行き、登録の手続きを要求する。金融機関の係員は、登録ＰＣ７を用いて、登録取引の開始処理を行う（Ｓ２０１）。この登録にあたって、利用者は金融機関取引用プログラムを、携帯端末用アプリ等を実行することでダウンロードして、携帯端末４で予め起動する（Ｓ１０１）。登録ＰＣ７には、携帯端末４の設置案内が表示され（Ｓ２０２）、利用者は、携帯端末４を登録ＰＣ７に対して所定の位置にセットする（Ｓ１０２）。これにより、登録ＰＣ７と携帯端末４とが無線通信可能な状態となる。携帯端末４は、登録ＰＣ７との通信により、携帯端末４自身の装置種類、識別番号、可能な生体認証方式等の情報をデバイス情報として、登録ＰＣ７に送信する（Ｓ１０３）。登録ＰＣ７は、デバイス情報を受信すると（Ｓ２０３）、当該デバイス情報と登録取引を実施する旨の情報とをサーバ１に送信する（Ｓ２０４）。

サーバ１は、これらの情報を受信すると、顧客ＤＢとしてデバイス情報を新規に記憶する（Ｓ３０１→Ｓ３０２）。サーバ１は、登録プログラムを、登録ＰＣ７を介して携帯端末４へ送信する（Ｓ３０３→Ｓ２０５→Ｓ２０６）。携帯端末４は、登録プログラムを受信すると（Ｓ１０４）、受信が正常に完了したことを、登録ＰＣ７を介してサーバ１に送信する（Ｓ１０５→Ｓ２０７→Ｓ２０８）。この際、登録ＰＣ７は、登録要求情報を付け加えてサーバ１へ送信する。サーバ１は、登録要求情報を受信すると（Ｓ３０４）、登録指示情報を、登録ＰＣ７を介して携帯端末４へ送信する（Ｓ３０５→Ｓ２０９→Ｓ２１０）。

携帯端末４は、登録指示情報を受信すると、登録プログラムを起動し、ガイダンスを表示部４６に表示させる（Ｓ１０６→Ｓ１０７）。利用者は、表示ガイダンスに沿って、携帯端末４の生体認証デバイス４３で生体認証情報を登録する（Ｓ１０８）。登録を完了すると、携帯端末４は登録完了情報を送信する（Ｓ１０９）。

登録完了情報は、登録ＰＣ７を介してサーバ１へ送信され、サーバ１は、登録完了情報を受信する（Ｓ２１１→Ｓ２１２→Ｓ３０７）。サーバ１は、登録完了情報に基づいて、生体登録日等の顧客ＤＢの更新を行う（Ｓ３０８）。サーバ１は、顧客ＤＢを更新すると、ＤＢ更新情報を登録ＰＣ７を介して携帯端末４へ送信する（Ｓ３０９→Ｓ２１３→Ｓ２１４）。携帯端末４は、ＤＢ更新情報を受信すると、実行中の登録プログラムを終了し、自装置内に記憶されている登録プログラムを強制的に削除する（Ｓ１０９→Ｓ１１０）。そして、携帯端末４は、金融機関取引プログラムを停止させ、初期登録処理を終了する（Ｓ１１１）。

（２）認証操作時（図４参照）
図４は認証操作時のフローを示すフローチャートである。なお、以下の例では、取引チャンネル、具体的にはＡＴＭを利用して出金取引を行う場合を示す。
まず、利用者は携帯端末４を操作し、金融機関取引プログラムを起動する（Ｓ１３１）。また、利用者は、ＡＴＭ２にて出金取引を選択する（Ｓ２３１）。ＡＴＭ２は、出金取引の受け付けをすると、携帯端末４をセットする案内表示を行う（Ｓ２３２）。

利用者は、ＡＴＭ２の案内表示を参考に、携帯端末４をＡＴＭ２に対する所定位置にセットする（Ｓ１３２）。これにより、ＡＴＭ２と携帯端末４とは無線通信手段８による通信が可能な状態となる。この状態で、携帯端末４は、自身の装置種類、識別番号、可能な生体認証方式等からなるデバイス情報をＡＴＭ２に送信する（Ｓ１３３）。ＡＴＭ２は、デバイス情報を受信すると（Ｓ２３３）、認証取引を実行する旨を表す情報とデバイス情報とをサーバ１へ送信する（Ｓ２３４）。

サーバ１は、これらの情報を受信すると（Ｓ３３１）、顧客ＤＢを検索して（Ｓ３３２）、今回アクセスした携帯端末４に合った認証プログラムを、ＡＴＭ２を介して携帯端末４へ送信する（Ｓ３３３→Ｓ２３５→Ｓ２３６）。携帯端末４は、認証プログラムを受信すると（Ｓ１３４）、受信が正常に完了したことを、ＡＴＭ２を介してサーバ１へ送信する（Ｓ１３５→Ｓ２３７→Ｓ２３８）。サーバ１は、認証プログラムの受信完了の通知を受信すると（Ｓ３３４）、ＡＴＭ２を介して携帯端末４に認証指示制御を行う（Ｓ３３５→Ｓ２３９→Ｓ２４０）。携帯端末４は、認証指示制御を受け付けると（Ｓ１３６）、認証ガイダンスを表示部４６に表示する（Ｓ１３７）。

利用者は、表示されたガイダンスに沿って携帯端末４の生体認証デバイス４３を用いた生体情報入力処理（生体認証処理）を実行し、携帯端末４はこれを受け付ける（Ｓ１３８）。携帯端末４は、認証完了を検出すると認証完了通知を、ＡＴＭ２を介してサーバ１へ送信する（Ｓ１３９→Ｓ２４１→Ｓ２４２）。

サーバ１は、認証完了通知を受信すると（Ｓ３３７）、生体認証日等の顧客ＤＢに含まれる情報を更新し（Ｓ３３８）、顧客ＤＢの更新完了を、ＡＴＭ２を介して携帯端末４へ送信する（Ｓ３３９→Ｓ２４３→Ｓ２４４）。携帯端末４は、顧客ＤＢ更新完了を受信すると（Ｓ１４０）、金融機関取引用プログラムの更新を確認して、自装置内に記憶されている認証プログラムを消去する（Ｓ１４１）。これにより、携帯端末４による金融機関取引用プログラムの実行停止が行われる（Ｓ１４２）。

ＡＴＭ２は、顧客ＤＢ更新完了を携帯端末４に送信したことで、本人認証の確認が採れたものとして、暗証番号の入力受け付け（Ｓ２４５）、出金額の入力受け付けを行い（Ｓ２４６）、出金処理を行う（Ｓ２４７）。

（３）生体情報の更新時（図５参照）
図５は生体情報更新操作のフローを示すフローチャートである。
本実施例は、例えば、同じ生体情報で一定期間以上取り引きし続けた場合に、同一携帯端末上で生体情報を更新する際の処理を示す。

サーバ１は、自装置が保持する顧客管理機能により、顧客ＤＢの登録日と認証回数等の情報を基準にして（Ｓ５０１）、公衆回線６や前述の取引チャンネル（ＡＴＭ２等）の取引時の無線通信手段８を介して、携帯端末４へ生体情報更新案内を送信する（Ｓ５０２）。携帯端末４は、利用者から金融機関取引用プログラムの起動を受け付けると（Ｓ４０１）、生体情報更新要求と前述のデバイス情報とを、公衆回線６等を用いて、直接サーバ１へ送信する（Ｓ４０２）。サーバ１は、これらの情報を受信すると（Ｓ５０３）、顧客ＤＢを検索して（Ｓ５０４）、携帯端末４に合った生体更新プログラムを携帯端末４へ送信する（Ｓ５０５）。携帯端末４は、生体更新プログラムを受信すると（Ｓ４０４）、プログラム受信完了情報をサーバ１へ送信し（Ｓ４０５）、サーバ１は、プログラム受信完了情報を受信すると（Ｓ５０６）、認証指示制御を携帯端末４へ送信する（Ｓ５０７）。この際、サーバ１は、認証指示制御の回数をカウントする（Ｓ５０８）。

携帯端末４は、認証指示制御を受信すると（Ｓ４０５）、生体更新プログラムを実行し、認証ガイダンスを表示部４３に表示する（Ｓ４０６）。利用者は、表示されたガイダンスに沿って携帯端末４の生体認証デバイス４３を用いた生体情報入力処理（生体認証処理）を実行し、携帯端末４はこれを受け付ける（Ｓ４０７）。携帯端末４は、認証完了を検出すると認証完了通知をサーバ１へ送信する（Ｓ４０８）。

サーバ１は、認証完了通知を受信すると（Ｓ５０９）、生体情報更新指示を携帯端末４へ送信する（Ｓ５１０）。この際、サーバ１は、生体情報更新指示回数をカウントする（Ｓ５１１）。携帯端末４は、生体情報更新指示を受信すると（Ｓ４０９）、更新登録ガイダンスを表示部４６に表示する（Ｓ４１０）。利用者は、表示されたガイダンスに沿って携帯端末４の生体認証デバイス４３を用いた更新生体情報入力処理（更新生体認証処理）を実行し、携帯端末４はこれを受け付ける（Ｓ４１１）。携帯端末４は、認証更新完了を検出すると生体情報更新完了通知をサーバ１へ送信する（Ｓ４１２）。

サーバ１は、生体情報更新完了通知を受信すると（Ｓ５１２）、各カウント値や生体登録日などの顧客ＤＢの情報を更新する（Ｓ５１３）。サーバ１は、顧客ＤＢの更新完了を携帯端末４へ送信し（Ｓ５１４）、携帯端末４は、生体情報更新による顧客ＤＢの更新完了を受信して（Ｓ４１３）、金融機関取引用プログラムが更新したとして、生体更新プログラムを消去する（Ｓ４１４）。これにより、携帯端末４による生体情報更新プログラムの実行停止が行われる（Ｓ４１５）。

このような処理を行うことで、生体情報を変更させずに記憶し続けることによる第３者からの攻撃されやすさを抑制し、よりセキュリティレベルを高く維持することができる。

（４）端末の更新時（図６、図７参照）
図６、図７は端末更新のフローを示すフローチャートである。
本実施例は、例えば、１人の利用者が旧携帯端末４から新携帯端末４’に買い換えを行った場合の端末更新処理を示す。

旧携帯端末４から新携帯端末４’に切り替える利用者は、旧携帯端末４による金融機関取引用プログラムの起動操作を行い、旧携帯端末４は、金融機関取引用プログラムを実行する（Ｓ６０１）。旧携帯端末４は、端末更新要求と前述のデバイス情報とを、公衆回線６を介してサーバ１へ送信する（Ｓ６０２）。サーバ１は、これらの情報を受信すると（Ｓ７０１）、顧客ＤＢを検索して（Ｓ７０２）、旧携帯端末４に合った端末更新プログラムを旧携帯端末４に送信する（Ｓ７０３）。

旧携帯端末４は、端末更新プログラムを受信すると（Ｓ６０３）、プログラム受信完了情報をサーバ１へ送信し（Ｓ６０４）、サーバ１は、プログラム受信完了情報を受信すると（Ｓ７０４）、認証指示制御を旧携帯端末４へ送信する（Ｓ７０５）。この際、サーバ１は、認証指示制御の回数をカウントする（Ｓ７０６）。

旧携帯端末４は、認証指示制御を受信すると（Ｓ６０５）、端末更新プログラムを実行し、認証ガイダンスを表示部４６に表示する（Ｓ６０６）。利用者は、表示されたガイダンスに沿って旧携帯端末４の生体認証デバイス４３を用いた生体情報入力処理（生体認証処理）を実行し、旧携帯端末４はこれを受け付ける（Ｓ６０７）。旧携帯端末４は、認証完了を検出すると認証完了通知をサーバ１へ送信する（Ｓ６０８）。この際、旧携帯端末４は端末更新プログラムの消去を行い（Ｓ６０９）、サーバ１との取り引きを一時中断する（Ｓ６１０）。

一方、利用者は別途の手続きにより新携帯端末４’を使用可能状態にして、金融機関取引用プログラムをダウンロードする（Ｓ８０１）。利用者は、新携帯端末４’による金融機関取引用プログラムの起動操作を行い、新携帯端末４’は、金融機関取引用プログラムを実行する（Ｓ８０２）。そして、新携帯端末４’は、サーバ１へ端末更新連絡情報を送信する（Ｓ８０３）。

サーバ１は、端末更新連絡情報を受信すると（Ｓ７０８）、インターネットメール等を用いて新携帯端末４’へ端末更新パスワードを送信する（Ｓ７０９）。新携帯端末４’は、端末更新パスワードを受信すると（Ｓ８０４）、実行中の金融機関取引用プログラムにより、端末更新パスワードとデバイス情報とを、公衆回線６を介して直接にサーバ１へ送信する（Ｓ８０５）。

サーバ１は、端末更新パスワードとデバイス情報とを新携帯端末４’から受信すると（Ｓ７１０）、パスワード検証を行い（Ｓ７１１）、認証できれば顧客ＤＢの更新を行う（Ｓ７１２：Ｙ→Ｓ７１３）。この際、サーバ１は、パスワードの認証がされなければ（Ｓ７１２：Ｎ）、取り引きを中止する。サーバ１は、顧客ＤＢの更新を行うと、新携帯端末４’に合った登録プログラムを選択して、新携帯端末４’へ送信する（Ｓ７１４）。

新携帯端末４’は、登録プログラムを受信すると（Ｓ８０６）、プログラム受信完了情報をサーバ１へ送信し（Ｓ８０７）、サーバ１は、プログラム受信完了情報を受信すると（Ｓ７１５）、端末更新登録指示制御を新携帯端末４’へ送信する（Ｓ７１６）。この際、サーバ１は、端末更新登録指示制御の回数をカウントする（Ｓ７１７）。

新携帯端末４’は、端末更新登録指示制御を受信する（Ｓ８０８）と、端末更新用の登録プログラムを起動し、端末更新登録ガイダンスを表示部４６に表示する（Ｓ８０９）。利用者は、表示されたガイダンスに沿って新携帯端末４’の生体認証デバイス４３を用いた端末更新用生体情報入力処理（生体認証処理）を実行し、新携帯端末４’はこれを受け付ける（Ｓ８１０）。新携帯端末４’は、端末更新認証完了を検出すると端末更新認証完了通知をサーバ１へ送信する（Ｓ８１１）。

サーバ１は、端末更新認証完了通知を受信すると（Ｓ７１８）、端末登録日等の顧客ＤＢの情報を更新して（Ｓ７１９）、新携帯端末４’へ旧携帯端末４用の削除プログラムを送信する（Ｓ７２０）。新携帯端末４’は、削除プログラムを受信すると（Ｓ８１２）、当該削除プログラムを赤外線通信等の近距離無線通信により、旧携帯端末４へ送信する（Ｓ８１３）。

旧携帯端末４は、公衆回線による通信は不能であるが、利用者により再度取り引きが可能なように起動されており（Ｓ６１１）、新携帯端末４’からの削除プログラムを受信し（Ｓ６１２）、削除プログラムの受信完了通知を新携帯端末４’へ送信する（Ｓ６１３）。新携帯端末４’は、削除プログラム受信完了通知を受信すると（Ｓ８１４）、削除指示を旧携帯端末４へ送信する（Ｓ８１５）。

旧携帯端末４は削除指示を受信すると（Ｓ６１４）、旧携帯端末４内の生体情報記憶部００８にある生体テンプレート（暗号化された生体情報）を削除する（Ｓ６１５）。旧携帯端末４は、生体テンプレートの削除を確認すると、削除完了通知を新携帯端末４’へ送信する（Ｓ６１６）。そして、旧携帯端末４は、削除プログラムを消去し（Ｓ６１７）、金融機関取引用プログラムを終了する（Ｓ６１８）。

新携帯端末４’は、削除完了通知を旧携帯端末４から受信すると（Ｓ８１６）、削除完了情報をサーバ１へ送信する（Ｓ８１７）。サーバ１は、削除完了情報を受信すると（Ｓ７２１）、削除取引のカウントとともに旧携帯端末４の情報を削除する等の顧客ＤＢの情報を更新する（Ｓ７２２→Ｓ７２３）。サーバ１は、顧客ＤＢ更新完了情報を新携帯端末４’へ送信する（Ｓ７２４）。

新携帯端末４’は、顧客ＤＢ更新完了情報を受信すると（Ｓ８１８）、金融機関取引用プログラムが更新したことを受け登録プログラムを消去して（Ｓ８１９）、金融機関取引用プログラムを終了する（Ｓ８２０）。

このような処理を行うことで、旧携帯端末から新携帯端末へ、秘匿性を保ちながら端末更新を行うことができる。そして、旧携帯端末には、生体情報や各種のプログラムが残っていないので、旧携帯端末を仮に第３者に取得されても、悪用されることがない。

（５）強制的な端末の更新時（図８参照）
図８は、強制的な端末更新のフローを示すフローチャートである。
本実施例は、例えば、携帯端末を紛失・破損した場合で、新携帯端末４’を登録する場合の強制的端末更新処理を示す。

携帯端末４を紛失・破損した利用者は、金融機関へ生体取引用の携帯端末が紛失・破損し利用できなくなっていることを伝える（Ｓ８５１）。サーバ１は、届け出された携帯端末での生体取引の停止を行なう（Ｓ９５１）。

新携帯端末４’を用意した利用者は、別途の手続きにより新携帯端末４’を使用可能状態にして、金融機関取引用プログラムをダウンロードする（Ｓ８５２）。利用者は、新携帯端末４’による金融機関取引用プログラムの起動操作を行い、新携帯端末４’は、金融機関取引用プログラムを実行する（Ｓ８５３）。そして、新携帯端末４’は、サーバ１へ端末更新連絡情報を送信する（Ｓ８５４）。

サーバ１は、端末更新連絡情報を受信すると（Ｓ９５２）、インターネットメール等を用いて新携帯端末４’へ強制端末更新パスワードを送信する（Ｓ９５３）。これと同時に、サーバ１は顧客ＤＢを更新する（Ｓ９５４）。

新携帯端末４’は、強制端末更新パスワードを受信すると（Ｓ８５５）、実行中の金融機関取引用プログラムにより、端末更新パスワードとデバイス情報とを、公衆回線６を介して直接にサーバ１へ送信する（Ｓ８５６）。

サーバ１は、強制端末更新パスワードとデバイス情報とを新携帯端末４’から受信すると（Ｓ９５５）、パスワード検証を行い（Ｓ９５６）、認証できれば顧客ＤＢの更新を行う（Ｓ９５７：Ｙ→Ｓ９５８）。この際、サーバ１は、パスワードの認証がされなければ（Ｓ９５７：Ｎ）、取り引きを中止する。サーバ１は、顧客ＤＢの更新を行うと、新携帯端末４’に合った登録プログラムを選択して、新携帯端末４’へ送信する（Ｓ９５９）。

新携帯端末４’は、登録プログラムを受信すると（Ｓ８５７）、プログラム受信完了情報をサーバ１へ送信し（Ｓ８５８）、サーバ１は、プログラム受信完了情報を受信すると（Ｓ９６０）、強制端末更新登録指示制御を新携帯端末４’へ送信する（Ｓ９６１）。この際、サーバ１は、強制端末更新登録指示制御の回数をカウントする（Ｓ９６２）。

新携帯端末４’は、強制端末更新登録指示制御を受信する（Ｓ８５９）と、強制端末更新用の登録プログラムを起動し、強制端末更新登録ガイダンスを表示部４６に表示する（Ｓ８６０）。利用者は、表示されたガイダンスに沿って新携帯端末４’の生体認証デバイス４３を用いた強制更新用生体情報入力処理（生体認証処理）を実行し、新携帯端末４’はこれを受け付ける（Ｓ８６１）。新携帯端末４’は、強制端末更新認証完了を検出すると強制端末更新認証完了通知をサーバ１へ送信する（Ｓ８６２）。

サーバ１は、強制端末更新認証完了通知を受信すると（Ｓ９６３）、端末登録日などの顧客データベース情報を更新し、紛失・破損した旧携帯端末の情報を消去する（Ｓ９６４）。サーバ１は、顧客ＤＢの更新完了とともにＤＢ更新完了通知を新携帯端末４’へ送信する（Ｓ９６５）。

新携帯端末４’は、ＤＢ更新完了通知を受信すると（Ｓ８６３）、登録プログラムを消去して（Ｓ８６４）、金融機関取引用プログラムを終了する（Ｓ８６５）。

このような処理を行うことで、携帯端末を紛失・破損した場合でも、秘匿性を保ちながら新携帯端末への端末更新を行うことができる。

本発明の実施形態に係る取引システムの主要構成を示す構成図である。 携帯端末４の機能ブロック図、および、サーバ１の主要構成を示す機能ブロック図である。 登録操作時のフローを示すフローチャートである。 認証操作時のフローを示すフローチャートである。 生体情報更新操作のフローを示すフローチャートである。 端末更新のフローを示すフローチャートである。 端末更新のフローを示すフローチャートである。 強制的な端末更新のフローを示すフローチャートである。

符号の説明

１−サーバ、２−現金自動取引装置（ＡＴＭ）、３−ＰＣ（ＩＢ端末）、４−携帯端末、５−ＬＡＮ、６−公衆回線、７−登録用ＰＣ、
１０−メイン制御部、１１−通信制御部、１２−実行処理用メモリ、１３−顧客データベース（顧客ＤＢ）、
４０−主制御部、４１−無線通信部、４２−回線Ｉ／Ｆ、４３−生体認証デバイス、４４−メインメモリ、４５−入力部、４６−表示部、４７−生体情報記憶部

Claims (4)

1. 取引チャンネルおよびサーバと通信を行う携帯端末通信手段、生体情報を入力する生体情報入力手段、入力された生体情報を記憶する生体情報記憶手段、取引チャンネルおよびサーバから送信される実行プログラムを記憶する主記憶手段、および前記実行プログラムを実行する制御部を有する携帯端末と、
   前記携帯端末および前記取引チャンネルと通信を行うサーバ通信手段、携帯端末毎に設定された前記生体情報を含む携帯端末情報を記憶する携帯端末情報データベース、および、登録プログラム、認証プログラムおよび更新プログラムを含む実行プログラムを記憶するサーバ記憶手段、を有するサーバと、
   前記携帯端末および前記サーバと通信して、所定の登録処理および取引処理を行う取引チャンネルと、
   を備えた取引システムであって、
   前記サーバの携帯端末情報データベースには、前記携帯端末毎の生体認証登録経過時間、生体認証使用回数が記憶されており、
   前記サーバは、生体認証登録経過時間、生体認証使用回数が所定閾値以上である携帯端末を検知すると、該携帯端末に対して生体認証の更新プログラムを送信し、
   前記携帯端末は、前記サーバから前記更新プログラムを受信すると、該更新プログラムを実行して生体認証登録の更新を行い、
   前記取引チャンネルは、前記更新を行った携帯端末による取引を受け付ける、取引システム。
2. 前記携帯端末が旧携帯端末と新携帯端末とがあり、前記旧携帯端末から前記新携帯端末に切り替える場合、
   前記サーバは、前記旧携帯端末から前記新携帯端末に関する情報を含む端末切替更新の通知を受け付けると前記旧携帯端末に対して端末切替プログラムを送信し、前記旧携帯端末による端末切替処理を受け付けると前記新携帯端末に対して前記旧携帯端末からの端末切替更新の通知に準じた端末切替情報を送信し、
   前記新携帯端末は、前記サーバからの前記端末切替情報に基づいて、前記サーバに切替更新登録の通知を送信し、
   前記サーバは、前記新携帯端末から前記切替更新登録の通知を受信すると、前記新携帯端末に登録プログラムを送信し、前記新携帯端末からの生体認証の登録手続きを認証すると、前記新携帯端末を介して生体認証削除プログラムを前記旧携帯端末へ送信し、
   前記旧携帯端末は、受信した生体認証削除プログラムに基づいて、自装置内の生体認証に関する記憶データを削除し、
   前記取引チャンネルは、前記新携帯端末による取引を受け付ける、請求項１に記載の取引システム。
3. 前記旧携帯端末と前記新携帯端末との通信は、近距離無線通信である請求項２に記載の取引システム。
4. 前記サーバは、前記携帯端末の使用不能情報を受け付けると、使用不能携帯端末に関する生体認証取引を停止し、新たに使用可能となる携帯端末から前記使用不能携帯端末に対応する強制更新の通知を受け付けると、前記新たに使用可能となる携帯端末に対して、強制更新許可情報を送信し、
   前記新たに使用可能となる携帯端末は、取得した強制更新許可情報を用いて前記サーバへ更新登録を通知し、
   前記サーバは、前記更新登録を認証すると、前記新たに使用可能となる携帯端末に前記登録プログラムを送信し、
   前記新たに使用可能となる携帯端末は、受信した登録プログラムを用いて生体認証の強制更新登録を行い、
   前記取引チャンネルは、前記強制更新登録により認証された携帯端末による取引を受け付ける請求項１に記載の取引システム。

Images