JP2017215994A - 決済システム - Google Patents

Abstract

【課題】生体認証に用いる利用者の生体データを容易かつ効率良く登録し、決済時の利便性及び安全性を高めることができる決済システムを提供する。【解決手段】情報処理装置は、情報処理装置に記憶されている第１の生体データと決済操作時に得たユーザの第２の生体データとに基づく第１の生体認証を実行し、認証成功データを含む第１の決済データをサーバ装置に送信し、第１の生体データが記憶されていない場合に、セキュリティデータと第２の生体データとを含む第２の決済データをサーバ装置に送信する。サーバ装置は、受信した第１の決済データに基づく決済処理を実行し、第２の決済データを受信した場合に、ユーザの第３の生体データに対しセキュリティデータによりセキュリティを解除した第４の生体データと第２の生体データとに基づく第２の生体認証及び第２の決済データに基づく決済処理を実行する。【選択図】図１

Description

本発明は、決済システムに関する。

例えば偽のサイン、暗証番号の解析、スキミング、カード偽造、親族による無断利用などのようなクレジットカードの不正利用は、阻止されるべきである。近年では、セキュリティを高めるために生体認証が用いられている。

生体認証に基づいて利用者を確認するシステムの一例として、銀行の預貯金の残高照会、入出金、振込処理を行うＡＴＭ（Automated teller machine：現金自動預け払い機）などがある。このような銀行システムにおいて、ＡＴＭは、利用者の生体データを取得して銀行のサーバに送信する。サーバは、ＡＴＭから受信した利用者の生体データと、データベースに登録されている生体データとを照合する生体認証を実行する。

また、クレジットカードに指紋センサが取り付けられており、クレジットカード内部でクレジットカードに格納されている指紋データと指紋センサによって取得された利用者の指紋データとを照合する技術がある。

さらに、カード決済端末がクレジットカードに格納されている生体データを取得し、当該カード決済端末に備えられているセンサによって利用者の生体データを取得し、カード決済端末が取得された生体データを照合する技術が、日本特許第５７１３５１６号に開示されている。

特許第５７１３５１６号公報 特開２００８−１０７９３４号公報 特開２００７−５２６８０号公報 特開２００５−２７５４５９号公報

生体認証に基づいて利用者を確認するシステムでは、あらかじめ利用者の生体データを登録する必要がある。しかしながら、利用者の数が多くなるほど、及び、生体データの登録先が多くなるほど、生体データの登録の負担は大きくなる。

本発明は上記事情を考慮してなされたものであり、利用者の生体データを容易にかつ効率良く登録し、決済時の利便性及び安全性を高める決済システムを提供する。

本発明の一態様に係る決済システムは、ユーザに対応する予め登録されたセキュリティデータ、又は、ユーザの予め登録された第１の生体データを記憶し、決済のための操作を受け付ける第１の情報処理装置と、第１の情報処理装置と通信可能であり、ユーザに対する決済処理を実行する第２の情報処理装置と、を具備する。第１の情報処理装置は、決済のための操作を受け付けた場合に、第１の生体データが第１の情報処理装置に記憶されているか否か判断し、第１の生体データが第１の情報処理装置に記憶されている場合に、第１の生体データと決済のための操作によって受け付けられたユーザの第２の生体データとに基づいて第１の生体認証を実行し、第１の生体認証が成功の場合に、認証成功データを含む第１の決済データを第２の情報処理装置に送信し、第１の生体データが第１の情報処理装置に記憶されていない場合に、セキュリティデータと第２の生体データとを含む第２の決済データを第２の情報処理装置に送信する。第２の情報処理装置は、第１の決済データを受信した場合に、第１の決済データに基づいて決済処理を実行し、第２の決済データを受信した場合に、データベースから、セキュリティデータを用いてセキュリティが確保された状態のユーザの第３の生体データを読み出し、第３の生体データに対して第２の決済データに含まれているセキュリティデータを用いてセキュリティを解除した第４の生体データを生成し、第２の決済データに含まれている第２の生体データと、第４の生体データとに基づいて第２の生体認証を実行し、第２の生体認証が成功の場合に、第２の決済データに基づいて決済処理を実行する。

本発明によれば、生体認証に用いる利用者の生体データを容易かつ効率良く登録し、決済時の利便性及び安全性を高めることができる。

図１は、本実施形態に係る生体データ登録システムの構成の一例を示すブロック図である。 図２は、本実施形態に係る生体データ登録処理の第１の例を示すフローチャートである。 図３は、本実施形態に係る登録処理を例示するフローチャート。 図４は、本実施形態に係る生体データ登録処理の第２の例を示すフローチャートである。 図５は、本実施形態に係る生体データ登録システムにおける画面遷移の一例を示す図である。 図６は、生体認証を用いたカード決済端末の構成の一例を示すブロック図である。 図７は、生体認証を用いた電子決済システムの構成の一例を示すブロック図である。

以下、本発明の実施形態を、図面を参照して説明する。なお、以下の説明において、略又は実質的に同一の機能及び構成要素については、同一符号を付し、必要な場合にのみ説明を行う。

本実施形態においては、利用者の生体データを登録する生体データ登録システム、及び、登録された生体データを用いて利用者の生体認証を行う電子決済システムについて説明する。

本実施形態において、識別情報はＩＤと称する。

本実施形態において、生体データは、例えば指紋データ、静脈データ、動脈データ、掌形データ、網膜データ、虹彩データ、顔データ、血管データ、音声データ、声紋データ、耳型データ、又は、その他のデータであってもよい。

本実施形態においては、利用者が行う決済はカード決済である場合について説明する。カードの種類は、例えばクレジットカード、デビットカード、プリペイドカード、電子マネーカード、ポイントカード、キャッシュカード、又は、その他の電子決済を行うためのカードであってもよい。しかしながら、本実施形態は、決済に用いられる媒体又はプロダクトがカードでない場合にも同様に適用可能である。

本実施形態において、データのセキュリティがオンとは、データがプロテクトされることを意味し、データのセキュリティがオフとは、データがプロテクトされていないことを意味する。

図１は、本実施形態に係る生体データ登録システム１の構成の一例を示すブロック図である。

生体データ登録システム１は、例えば、情報処理装置２と、イシュア（カード発行会社）のコンピュータシステム４と、アクワイアラ（カード決済会社）のコンピュータシステム５と、カードブランドのコンピュータシステム６と、第三者認証機関のコンピュータシステム７とを含む。

情報処理装置２は、利用者Ｕが生体データＢＤの取得、生体データＢＤの登録、生体データＢＤを用いた生体認証及び決済などを行う端末である。情報処理装置２は、例えば、スマートフォン、携帯電話、決済端末、ＡＴＭ、電話機、ＰＯＳ（Point-Of-Sale）端末、又は、パーソナルコンピュータなどでもよい。

情報処理装置２は、例えば、通信部２２、操作受付部２３、プロセッサＰ１、表示部２６、メモリ２Ｍを含む。また、情報処理装置２は、利用者Ｕの生体データＢＤを取得する生体データ取得装置２７と接続される。情報処理装置２は、生体データ取得装置２７を含むとしてもよい。通信部２２、操作受付部２３、表示部２６、メモリ２Ｍのうちの少なくとも１つは、情報処理装置２に外付けされる装置でもよい。

通信部２２は、例えばイシュアのコンピュータシステム４、アクワイアラのコンピュータシステム５、カードブランドのコンピュータシステム６、第三者認証機関のコンピュータシステム７など他の装置との間で、コマンド、アドレス、データ、情報、指示、信号などを送受信する。

操作受付部２３は、利用者Ｕの操作を受け付ける装置であり、例えば、ポインティングデバイス、キーボード、タッチパネル、各種のセンサなどでもよい。

プロセッサＰ１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro-Processing Unit）、又は、ＤＳＰ（Digital Signal Processor）などであってもよい。メモリ２Ｍは、例えば、主記憶装置として用いられてもよい。メモリ２Ｍは、プロセッサＰ１からの制御に従う。メモリ２Ｍには、プロセッサＰ１の制御に基づいて、プロセッサＰ１により処理されるデータなどが一時的に格納される。メモリ２Ｍは、例えば、不揮発性記憶領域に、制御ソフトウェア２ＳＷを格納する。なお、メモリ２Ｍは、プロセッサＰ１に含まれるとしてもよい。

プロセッサＰ１は、メモリ２Ｍの制御ソフトウェア２ＳＷを実行することにより、制御部２４、生体認証部２５としての機能を実現するとしてもよい。

制御部２４は、情報処理装置２に含まれる通信部２２、操作受付部２３、生体認証部２５、メモリ２Ｍ、及び表示部２６と、生体データ取得装置２７とを制御する。例えば、制御部２４は、情報処理装置２に接続された生体データ取得装置２７にコマンドを送ることにより、生体データ取得装置２７に利用者Ｕの登録対象の生体データＢＤを取得させる。

生体認証部２５は、例えば、生体データ取得装置２７より受信した利用者Ｕの生体データを用いて生体認証を行う。生体データ取得装置２７は、情報処理装置２に含まれていてもよい。生体認証部２５は、制御部２４に含まれていてもよい。

表示部２６は、例えばディスプレイを含む。表示部２６は、例えば、プロセッサＰ１によって実行されるブラウザ（ウェブサイト閲覧用ソフトウェア）の制御にしたがってデータを表示するとしてもよい。

イシュアのコンピュータシステム４は、例えば、サーバ装置４１、データベース４２、カード生成装置４３、コールセンター装置４４を含む。

本実施形態においては、イシュアのコンピュータシステム４が、生体データＢＤを登録するための主な処理を実行する場合を例として説明する。しかしながら、イシュアのコンピュータシステム４ではない他のコンピュータシステムが生体データＢＤを登録するための主な処理を実行してもよい。例えば、生体データＢＤの登録サービスを提供するサービス業者のコンピュータシステムが、生体データＢＤを登録するための主な処理を実行してもよい。例えば、イシュアのコンピュータシステム４は、生体データＢＤの登録先がカードＣの場合、サービス業者のコンピュータシステムから生体データＢＤを受信し、受信した生体データＢＤをカードＣに格納してもよい。

サーバ装置４１は、ネットワーク回線に接続される。ネットワーク回線は、例えばインターネット、又はイントラネットなどでもよい。利用者Ｕの操作する情報処理装置２はネットワーク回線経由でサーバ装置４１にアクセス可能である。サーバ装置４１は、利用者Ｕの生体データＢＤの登録及び生体認証などの処理を行う。

本実施形態では、サーバ装置４１が情報処理装置２へ表示部２６が表示するデータを送信し、情報処理装置２が表示部２６によって表示されたデータにそって利用者Ｕによって入力されるデータを受け付け、サーバ装置４１が情報処理装置２から生体データＢＤ及び生体データＢＤの登録に必要なデータを受信することで、サーバ装置４１が生体データＢＤの登録を受け付ける。しかしながら、例えば、サーバ装置４１は、情報処理装置２にアプリケーション・プログラムをダウンロードし、このアプリケーション・プログラムとサーバ装置４１とが連携動作することで、生体データＢＤの登録を受け付けてもよい。

本実施形態において、サーバ装置４１が情報処理装置２から受信する生体データＢＤの登録に必要なデータは、例えば、セキュリティアルゴリズム４２２、利用者データ４２３、又は、セキュリティデータＤＤを含むとする。利用者データ４２３は、例えば、利用者Ｕの氏名、住所、電話番号、職業などを含む。セキュリティアルゴリズム４２２は、例えば、利用者Ｕのカード決済の安全性を高める処理又は手順である。セキュリティデータＤＤは、生体データＢＤのセキュリティをオン（ロック）及びオフ（アンロック）するために使用されるデータである。生体データＢＤのセキュリティは、生体データＢＤが暗号化、復号されること、又は、生体データＢＤがパスワードによりロック又はアンロックされることで、オンとオフとが切り替えられる。セキュリティデータＤＤは、例えば、暗号鍵及び復号鍵、又は、パスワードを含むとしてもよい。

サーバ装置４１は、例えば、通信部４１２、プロセッサＰ２、メモリ４Ｍを含む。通信部４１２とメモリ４Ｍとのうちの少なくとも１つは、サーバ装置４１に外付けされる装置でもよい。

通信部４１２は、例えば、情報処理装置２、アクワイアラのコンピュータシステム５、カードブランドのコンピュータシステム６、第三者認証機関のコンピュータシステム７など他の装置との間で、コマンド、アドレス、データ、情報、指示、信号などを送受信する。

通信部４１２は、利用者Ｕが生体データＢＤの登録を行う場合、情報処理装置２より生体データＢＤ及び生体データＢＤの登録に必要なデータを受信する。

また、通信部４１２は、他のコンピュータシステムと、生体データＢＤ、生体データＢＤの登録に必要なデータ、及び、決済データなどを送受信する。

本実施形態において、通信部４１２が他のコンピュータシステムと送受信する生体データＢＤの登録に必要なデータは、例えば、セキュリティアルゴリズム４２２、利用者データ４２３、セキュリティデータＤＤ、又は、カードデータＣＤを含む。カードデータＣＤは、例えば、カードＣによる決済で必要な利用者Ｕの氏名、住所、電話番号、職業、及び、カードＣのカード番号、有効期限などを含む。

プロセッサＰ２は、例えば、ＣＰＵ、ＭＰＵ、又は、ＤＳＰなどであってもよい。メモリ４Ｍは、例えば、主記憶装置として用いられてもよい。メモリ４Ｍは、プロセッサＰ２からの制御に従う。メモリ４Ｍには、プロセッサＰ２の制御に基づいて、プロセッサＰ２により処理されるデータなどが一時的に格納される。メモリ４Ｍは、例えば、不揮発性記憶領域に、制御ソフトウェア４ＳＷを格納する。なお、メモリ４Ｍは、プロセッサＰ２に含まれるとしてもよい。

プロセッサＰ２は、メモリ４Ｍの制御ソフトウェア４ＳＷを実行することにより、制御部４１３、登録部４１４、セキュリティ登録部４１５、生体認証部４１６としての機能を実現するとしてもよい。

制御部４１３は、サーバ装置４１に含まれる通信部４１２、登録部４１４、セキュリティ登録部４１５、生体認証部４１６、及び、メモリ４Ｍを制御する。

登録部４１４は、利用者Ｕが生体データＢＤの登録を行う場合に、利用者Ｕに生体データＢＤの入力を指示する画面データを情報処理装置２に送信する。当該画面データは、情報処理装置２の表示部２６により表示される。情報処理装置２に表示される画面データは、例えば、イシュアのコンピュータシステム４が提供する生体データ登録用のウェブサイトのデータでもよい。具体的には、利用者Ｕは情報処理装置２のブラウザ上で生体データ登録用のウェブサイトのＵＲＬ（Uniform Resource Locator）を指定する。これにより、情報処理装置２は、ＵＲＬで指定されるサーバ装置４１へリクエストを送信し、サーバ装置４１の通信部４１２は、情報処理装置２からリクエストを受信し、登録部４１４によって提供される画面データを情報処理装置２に送信する。情報処理装置２は画面データを受信し、表示部２６は画面データを表示する。利用者Ｕは、表示された画面データを閲覧し、生体データＢＤをカードＣと複数のコンピュータシステムとのうちの少なくとも１つに登録するための入力又は操作を行う。

登録部４１４は、サーバ装置４１が、通信部４１２を経由して情報処理装置２より取得した生体データＢＤと利用者データ４２３とを互いに関連づけてデータベース４２に格納する。ここで、登録部４１４から通信部４１２を経由で他のサーバ装置に送信される生体データＢＤのセキュリティは、後述のセキュリティ登録部４１５によってオンされていてもよい。登録部４１４によって実行される生体データ登録処理の詳細については、図２乃至図４を用いて後述する。

登録部４１４は、データベース４２の利用者データ４２３に基づいて、カードデータＣＤを生成し、生体データＢＤと利用者データ４２３とカードデータＣＤとを互いに関連づけてデータベース４２に格納してもよい。例えば、登録部４１４は、利用者データ４２３に、カード番号、有効期間などの情報を加えることで、カードデータＣＤを生成する。なお、カードデータＣＤの生成とデータベース４２への格納とは、制御部４１３又はカード生成装置４３などで実行されてもよい。

登録部４１４は、生体データＢＤの登録先が他のコンピュータシステムの場合は、他のコンピュータシステムのサーバ装置（例えば、サーバ装置５１、サーバ装置６１、又は、サーバ装置７１）に、生体データＢＤ及び生体データＢＤの登録に必要なデータを、通信部４１２経由で送信する。

本実施形態において、登録部４１４から通信部４１２経由で他のサーバ装置に送信される生体データＢＤの登録に必要なデータは、例えば、利用者データ４２３、セキュリティデータＤＤ、又は、カードデータＣＤを含む。

セキュリティ登録部４１５は、例えば利用者Ｕが、表示部２６によって表示されたセキュリティ設定を指示するセキュリティ画面データを閲覧し、設定したセキュリティアルゴリズム４２２及び設定されたセキュリティデータＤＤを、利用者Ｕの生体データＢＤ、利用者データ４２３、カードデータＣＤと関連づけてデータベース４２に格納する。１つの生体データＢＤに対して複数のセキュリティアルゴリズム４２２及び複数のセキュリティデータＤＤが関連づけられてデータベース４２に格納されてもよい。

セキュリティデータＤＤは、利用者Ｕ又は決済に関わる事業者が自由に設定可能でもよい。なお、生体データＢＤのセキュリティは必ずしもオンされる必要はなく、生体データのセキュリティがオフでよい場合は、セキュリティデータＤＤはなくてもよい。

セキュリティ登録部４１５は、セキュリティデータＤＤを用いて、データベース４２に格納されている生体データＢＤのセキュリティをオンする。この生体データＢＤのセキュリティのオンは、セキュリティデータＤＤを用いてオフに変更可能である。セキュリティデータＤＤは、生体データＢＤに加えて、利用者データ４２３及びカードデータＣＤへの不正アクセスを防御するために用いられてもよい。

セキュリティアルゴリズム４２２は、利用者Ｕのカード決済の安全性を高める処理又は手順である。より具体的には、例えば、セキュリティアルゴリズム４２２は、生体認証にあらかじめ設定された回数失敗すると生体認証又は決済をロック又は生体データＢＤを破壊する処理でもよい。例えば、セキュリティアルゴリズム４２２は、ある時間内での決済金額が利用者Ｕのあらかじめ設定したしきい値を超えた場合に、異常通知を行う又はカードＣを利用不可に設定する処理でもよい。例えば、セキュリティアルゴリズム４２２は、ある時間内での決済回数がしきい値を超えた場合に、異常通知を行う又はカードＣを利用不可に設定する処理でもよい。例えば、セキュリティアルゴリズム４２２は、利用者Ｕのあらかじめ設定した地域でのみ決済可能とする処理でもよい。セキュリティアルゴリズム４２２は上述の処理に限られず、利用者Ｕ又は決済に係わる事業者が自由に設定可能でもよい。

セキュリティ登録部４１５は、生体データＢＤが他のコンピュータシステムのデータベースに格納される場合は、通信部４１２経由で、生体データＢＤの登録先のコンピュータシステムにセキュリティデータＤＤを送信してもよい。

セキュリティ登録部４１５は、決済が他のコンピュータシステムで実行される場合には、通信部４１２経由で、決済を行うコンピュータシステムにセキュリティアルゴリズム４２２を送信してもよい。

なお、通信部４１２、登録部４１４、セキュリティ登録部４１５、生体認証部４１６のうちの一部又は全部は制御部４１３に含まれていてもよい。セキュリティ登録部４１５は、登録部４１４に含まれていてもよい。

データベース４２は、サーバ装置４１と有線又は無線で接続される。データベース４２は、例えば、利用者Ｕの生体データＢＤと、利用者Ｕによって入力された利用者データ４２３と、決済に用いられる利用者ＵのカードデータＣＤと、セキュリティアルゴリズム４２２と、セキュリティデータＤＤとを、互いに関連づけて格納してもよい。

カード生成装置４３は、データベース４２に格納される生体データＢＤ、セキュリティデータＤＤ、カードデータＣＤなどに基づいて、利用者Ｕの生体データ格納カードＣを生成する。カード生成装置４３に格納される生体データＢＤは、セキュリティデータＤＤを用いてセキュリティがオンされていてもよい。カード生成装置４３は、例えば、データベース４２に含まれる生体データＢＤ、セキュリティデータＤＤ、カードデータＣＤなどより必要な情報を選択し、生体データＢＤ、セキュリティデータＤＤ、カードデータＣＤをカードＣ内のメモリに格納する。例えば、カードＣに生体データＢＤを格納しない場合は、カード生成装置４３は、カードＣに生体データＢＤの代わりにセキュリティデータＤＤを格納してもよい。この場合、決済時には、カードＣに格納されたセキュリティデータＤＤが、セキュリティのオンされている生体データＢＤを管理しているコンピュータシステムに送信され、データベースに格納されている生体データＢＤのセキュリティがセキュリティデータＤＤによりオフされ、サーバ装置において生体認証が可能となる。例えば、カードＣにセキュリティがオフの生体データＢＤを格納する場合は、カード生成装置４３は、カードＣにセキュリティデータＤＤを格納しなくてもよい。カードＣは、利用者Ｕに対して発行される。カードＣは、セキュリティデータＤＤのうちセキュリティをオフするために用いられるデータのみを格納するとしてもよい。

コールセンター装置４４は、例えば電話回線に接続される。利用者Ｕの電話機３は、電話回線経由でコールセンター装置４４に接続可能である。オペレータＯは、利用者Ｕと対話し、コールセンター装置４４を操作し、生体データＢＤの登録、生体認証などを行う。コールセンター装置４４は、例えば、オペレータＯの操作にしたがって、生体データ（例えば音声データ）ＢＤの登録、セキュリティアルゴリズム４２２の設定、利用者データ４２３の登録、セキュリティデータＤＤの設定、カードデータＣＤの生成を受け付け、利用者Ｕの生体データＢＤ、セキュリティアルゴリズム４２２、利用者データ４２３、セキュリティデータＤＤを、サーバ装置４１経由で、互いに関連づけてデータベース４２に格納する。コールセンター装置４４は自動応答システムであり、イシュアのコンピュータシステム４は、オペレータＯの操作を必要とせず、無人で、利用者Ｕの電話機３から、音声入力又はボタン操作に基づいて、データベース４２に生体データＢＤ、セキュリティアルゴリズム４２２、利用者データ４２３、セキュリティデータＤＤを格納してもよい。

本実施形態において、コールセンター装置４４は、イシュアのコンピュータシステム４に接続可能であれば、イシュアのコンピュータシステム４に含まれなくてもよい。情報処理装置２が電話回線に接続される場合、情報処理装置２は、コールセンター装置４４に接続可能としてもよい。生体データ登録システム１は、情報処理装置２と電話機３との双方を含むとしてもよく、どちらか一方を含むとしてもよい。

生体データ登録システム１に含まれるアクワイアラのコンピュータシステム５、カードブランドのコンピュータシステム６、第三者認証機関のコンピュータシステム７は、イシュアのコンピュータシステム４と同様に、ネットワーク回線に接続される。イシュアのコンピュータシステム４、アクワイアラのコンピュータシステム５、カードブランドのコンピュータシステム６は、それぞれ連携して決済処理を行う。決済処理の詳細については、図６及び図７を用いて後述する。第三者認証機関のコンピュータシステム７は、決済時に利用者Ｕの認証を行う。

アクワイアラのコンピュータシステム５は、例えば、サーバ装置５１、データベース５２を含む。サーバ装置５１は、生体認証部５１１を含む。サーバ装置５１は、イシュアのコンピュータシステム４のサーバ装置４１より生体データＢＤ、決済データ、利用者データ４２３、カードデータＣＤ、セキュリティデータＤＤなどを受信する。データベース５２は、サーバ装置５１と有線又は無線で接続される。サーバ装置５１は、受信した生体データＢＤ、決済データ、利用者データ４２３、カードデータＣＤ、セキュリティデータＤＤなどを互いに関連づけてデータベース５２に格納する。なお、サーバ装置５１は、他のコンピュータシステムのサーバ装置（例えば、サーバ装置６１又はサーバ装置７１）より生体データＢＤ、決済データ、利用者データ４２３、カードデータＣＤ、セキュリティデータＤＤなどを受信してもよい。

カードブランドのコンピュータシステム６は、例えば、サーバ装置６１、データベース６２を含む。サーバ装置６１は、生体認証部６１１を含む。サーバ装置６１は、イシュアのコンピュータシステム４より生体データＢＤ、決済データ、利用者データ４２３、カードデータＣＤ、セキュリティデータＤＤなどを受信する。データベース６２は、サーバ装置６１と有線又は無線で接続される。サーバ装置６１は、受信した生体データＢＤ、決済データ、利用者データ４２３、カードデータＣＤ、セキュリティデータＤＤなどを互いに関連づけてデータベース６２に格納する。なお、サーバ装置６１は、他のコンピュータシステムのサーバ装置（例えばサーバ装置５１又はサーバ装置７１）より生体データＢＤ、決済データ、利用者データ４２３、カードデータＣＤ、セキュリティデータＤＤなどを受信してもよい。

第三者認証機関のコンピュータシステム７は、例えば、サーバ装置７１、データベース７２を含む。サーバ装置７１は、生体認証部７１１を含む。サーバ装置７１は、イシュアのコンピュータシステム４より生体データＢＤ、利用者データ４２３、カードデータＣＤ、セキュリティデータＤＤなどを受信する。データベース７２は、サーバ装置７１と有線又は無線で接続される。サーバ装置７１は、受信した生体データＢＤ、利用者データ４２３、カードデータＣＤ、セキュリティデータＤＤなどを互いに関連づけてデータベース７２に格納する。なお、サーバ装置７１は、他のコンピュータシステムのサーバ装置（例えばサーバ装置５１又はサーバ装置６１）より生体データＢＤ、利用者データ４２３、カードデータＣＤ、セキュリティデータＤＤなどを受信してもよい。

本実施形態では、イシュアのコンピュータシステム４に含まれるサーバ装置４１及びデータベース４２、アクワイアラのコンピュータシステム５に含まれるサーバ装置５１及びデータベース５２、カードブランドのコンピュータシステム６に含まれるサーバ装置６１及びデータベース６２、第三者認証機関のコンピュータシステム７に含まれるサーバ装置７１及びデータベース７２は、自由に組み合わせることができる。換言すれば、ある事業者が、イシュア、アクワイアラ、カードブランド、第三者認証機関のうちの少なくとも２つを兼任してもよい。

本実施形態では、生体データＢＤの登録に必要な機能（例えば登録部４１４、セキュリティ登録部４１５など）はイシュアのコンピュータシステム４に含まれるとしている。しかしながら、生体データＢＤの登録に必要な機能は、他のコンピュータシステム（アクワイアラのコンピュータシステム５、カードブランドのコンピュータシステム６、第三者認証機関のコンピュータシステム７）に含まれるとしてもよい。この場合、利用者Ｕは、あるコンピュータシステムに備えられている生体データＢＤの登録に必要な機能を用いて、他のコンピュータシステムのデータベースに生体データＢＤを格納してもよい。

本実施形態では、生体データ登録システム１に含まれるコンピュータシステムは４つである場合について説明したが、生体データの登録と決済とに必要な機能を備えるコンピュータシステムを含んでいれば、生体データ登録システム１に含まれるコンピュータシステムは１つ以上でよい。

図２は、本実施形態に係る生体データ登録処理の第１の例を示すフローチャートである。

ステップＳ２０１において、情報処理装置２は、利用者Ｕの操作によりサーバ装置４１に接続し、ログイン画面データを表示する。

ステップＳ２０２において、情報処理装置２は、ログイン画面データを閲覧する利用者Ｕからログイン操作を受け付け、サーバ装置４１の登録部４１４へログインを行う。ログインは、例えば利用者Ｕがイシュアよりあらかじめ発行された利用者ＩＤ及びパスワードを入力することにより行われてもよい。ログインが成功すれば、ステップＳ２０３へ進む。ログインに失敗した場合は、ステップＳ２０１に戻る。なお、ログインに用いられる情報は、利用者ＩＤ及びパスワードに限られず、利用者に固有の情報が用いられればよい。

ステップＳ２０３において、登録部４１４は、カード種別画面データを閲覧する利用者Ｕが操作する情報処理装置２から、新規発行カードに対する入力か又は発行済みカードに対する入力かの選択を受け付ける。すなわち、カード種別画面データは、利用者Ｕに対して生体データＢＤが格納された新規のカードを発行するか、又は、利用者Ｕの所持する既存のカードに対応する利用者データ４２３又はカードデータＣＤに生体データＢＤを関連づけてデータベース４２〜７２に登録するか、を選択するためのメニューを含む。

利用者Ｕによってカードの新規発行が選択された場合は、ステップＳ２０４において、登録部４１４は、利用者データ４２３の入力画面データを閲覧する利用者Ｕが操作する情報処理装置２から、カードに対応するカードデータＣＤの生成に必要な利用者データ４２３を受け付ける。カードの新規発行に必要な利用者データ４２３は、例えば、氏名、住所、電話番号、職業などである。

カードの新規発行が選択されなかった場合、すなわち、利用者Ｕによって発行済みカードに関する入力が選択された場合、処理はステップＳ２０５へ進む。

ステップＳ２０５において、登録部４１４は、利用者ＩＤを選択する画面データを閲覧する利用者Ｕが操作する情報処理装置２から、生体データＢＤに関連づける利用者ＩＤの選択を受け付ける。カードの利用者の候補を示す利用者ＩＤは、データベース４２に格納されていてもよい。候補は、例えば家族などである。この場合、登録部４１４は、データベース４２よりカードの利用者の候補を示す利用者ＩＤを読み出し、利用者ＩＤを選択する画面データに、読み出した候補のリストを含める。なお、カードの利用者の候補が１名である場合は、ステップＳ２０５は省略してもよい。

ステップＳ２０６において、登録部４１４は、生体データＢＤの種別の選択画面データを閲覧する利用者Ｕが操作する情報処理装置２から、登録する生体データの種類の選択を受け付ける。なお、登録する生体データの種類が１つの場合は、ステップＳ２０６は省略してもよい。

ステップＳ２０７において、登録部４１４は、生体データＢＤの登録処理を行う。具体的には、登録部４１４は、情報処理装置２に生体データＢＤの取得リクエストを送信し、情報処理装置２から生体データＢＤを受信し、受信した生体データＢＤを、ステップＳ２０４で取得した利用者データ４２３、ステップＳ２０５で取得した利用者ＩＤなどに関連づけてデータベース４２に格納する。当該登録処理の詳細については、図３で後述する。

ステップＳ２０８において、登録部４１４は、生体データＢＤの追加登録画面データを閲覧する利用者Ｕが操作する情報処理装置２から、生体データＢＤの追加登録の有無の選択を受け付ける。生体データＢＤを追加登録する場合、処理はステップＳ２０５に戻り、登録部４１４は、次に登録する生体データＢＤに関連づける利用者ＩＤの選択を受け付ける。生体データＢＤを追加登録しない場合、処理はステップＳ２０９へ進む。

ステップＳ２０９において、登録部４１４は、データベース４２への登録が成功した生体データＢＤがない場合は、処理を終了する。データベース４２への登録が成功した生体データＢＤがある場合は、処理はステップＳ２１０へ進む。

ステップＳ２１０において、登録部４１４は、登録先の選択を指示する登録先画面データを閲覧する利用者Ｕが操作する情報処理装置２から、生体データＢＤの登録先の選択を受け付ける。登録先としては、例えば、カード、イシュア、アクワイアラ、カードブランド、又は、第三者認証機関が選択される。すなわち、登録先画面データは、生体データＢＤの登録先として、カード、イシュア、アクワイアラ、カードブランド、又は、第三者認証機関、を選択するためのメニューを含む。例えば、ステップＳ２０３においてカードの新規発行が選択された場合、登録部４１４は、利用者の新規発行カード、又は、カード発行会社であるイシュアを登録先として自動的に選択してもよい。

ステップＳ２１１において、登録部４１４は、ステップＳ２１０で選択された登録先に対応する装置に、生体データＢＤ及びステップＳ２０４で受け付けられた利用者データ４２３などを格納する。

例えば、登録先としてカードが選択された場合、登録部４１４は、生体データＢＤと利用者データ４２３とを、互いに関連づけて、カードＣに格納されるデータを管理するデータベース４２に格納する。制御部４１３、登録部４１４、又は、カード生成装置４３は、利用者データ４２３に基づいてカードデータＣＤを生成し、カードデータＣＤを生体データＢＤ及び利用者データ４２３と関連づけてデータベース４２に格納する。カード生成装置４３は、生体データＢＤとカードデータＣＤに基づいて、生体データＢＤとカードデータＣＤとを格納するカードＣを生成する。このカードＣは、利用者Ｕへ送付される。

例えば、登録先としてイシュアが選択された場合、登録部４１４は、生体データＢＤと利用者データ４２３とを互いに関連づけてデータベース４２に格納する。

例えば、登録先としてアクワイアラ、カードブランド、又は、第三者認証機関が選択された場合、登録部４１４は、生体データＢＤと利用者データ４２３とをサーバ装置５１、サーバ装置６１、又は、サーバ装置６１に送信する。サーバ装置５１、サーバ装置６１、又は、サーバ装置７１は、受信した生体データＢＤと利用者データ４２３とを互いに関連づけてデータベース５２、データベース６２、又は、データベース７２に格納する。

ステップＳ２１２において、セキュリティ登録部４１５は、セキュリティ画面データを閲覧する利用者Ｕが操作する情報処理装置２から、例えば暗号化の種類又はパスワードの利用など生体データＢＤの管理に用いるセキュリティデータＤＤの設定と、例えば決済可能な地域、利用回数、利用額などの決済を許可するか否か判断するためのセキュリティアルゴリズム４２２の設定とを受け付ける。セキュリティ登録部４１５は、セキュリティデータＤＤを用いて登録先に対応する装置に格納された生体データＢＤのセキュリティをオンし、当該登録先に対応する装置に対して、セキュリティデータＤＤを、セキュリティがオンされた生体データＢＤ、利用者データ４２３、カードデータＣＤと関連づけて格納する。セキュリティ登録部４１５は、設定されたセキュリティアルゴリズム４２２と生体データＢＤと利用者データ４２３とカードデータＣＤとを互いに関連づけて、決済処理を行うサーバ装置４１に対応するデータベース４２に格納する。セキュリティ登録部４１５は、セキュリティデータＤＤを、生体データＢＤの登録先のサーバ装置へ送信してもよい。登録先のサーバ装置は、例えば、生体データＢＤと利用者データ４２３とカードデータＣＤと受信したセキュリティデータＤＤとを、互いに関連づけて、登録先のサーバ装置に対応するデータベースに格納してもよい。

なお、登録成功した生体データＢＤが複数ある場合は、セキュリティ登録部４１５は、生体データごとに異なったセキュリティアルゴリズム４２２及びセキュリティデータＤＤを登録可能としてもよい。

なお、決済を許可するか否かを判断するサーバ装置は、サーバ装置４１に代えて，サーバ装置５１又はサーバ装置６１としてもよい。セキュリティアルゴリズム４２２は、決済を許可するか否かを判断するサーバ装置に対応するデータベースに格納されることが好ましい。

セキュリティアルゴリズム又はセキュリティデータは複数用意されており、セキュリティ登録部４１５は、複数のセキュリティアルゴリズム又は複数のセキュリティデータの中から特定のセキュリティアルゴリズム又は特定のセキュリティデータを選択してもよい。セキュリティアルゴリズム又はセキュリティデータは、あらかじめイシュアによって設定されていてもよく、利用者Ｕによって設定されてもよい。

上記のステップＳ２０３において、カードを新規発行することが選択された場合、カード生成装置４３は、ステップＳ２１１又はステップＳ２１２の後に、カードＣを発行する。なお、カードを新規発行することが選択された場合、ステップＳ２１１において、生体データＢＤ、セキュリティデータＤＤ、ステップＳ２０４で利用者Ｕが入力した利用者データ４２３などは、データベース４２に格納されることなく直接カード生成装置４３に送信され、カード生成装置４３が受信した生体データＢＤと、セキュリティデータＤＤと、利用者データ４２３に基づいて生成されたカードデータＣＤとを、カードＣに格納してもよい。

図３は、本実施形態に係る登録処理を例示するフローチャートである。

図３の処理は、図２のステップＳ２０７における登録処理に相当する。図３において、情報処理装置２と登録部４１４とは協働及び連携し、利用者Ｕの生体データＢＤを取得するための処理を実行する。

ステップＳ３０１において、情報処理装置２の制御部２４は、登録部４１４から通信部４１２、通信部２２経由で、生体データＢＤの入力を指示する登録画面データを受信し、表示部２６に表示する。

ステップＳ３０２において、制御部２４は、情報処理装置２が生体データＢＤを取得可能であるか否かを判断する。

生体データＢＤを取得可能である場合、処理はステップＳ３０５へ進む。

生体データＢＤを取得可能でない場合、ステップＳ３０３において、制御部２４は、情報処理装置２内に取得済の生体データがあるか否か、例えば、メモリ２Ｍに取得済みの生体データが格納されているか否か、を調べる。取得済の生体データは、例えば、利用者Ｕが他の生体データ取得可能な機器などで取得し、情報処理装置２のメモリ２Ｍに格納した生体データなどでもよい。

取得済の生体データがない場合は、制御部２４は、生体データ取得失敗として処理を終了する。

取得済の生体データがある場合、ステップＳ３０４において、制御部２４は、取得済の生体データを例えばメモリ２Ｍから読み出し、処理はステップＳ３１５へ進む。

ステップＳ３０５において、制御部２４は、情報処理装置２内に取得済の生体データがあるか否かを調べる。

取得済の生体データがない場合、処理はステップＳ３０８に進む。

取得済の生体データがある場合、ステップＳ３０６において、制御部２４は、取得済の生体データを読み出す。

ステップＳ３０７において、制御部２４は、ステップＳ３０６において読み出した取得済みの生体データに対して生体データ登録確認テストを行うか否かを判断する。生体データ登録確認テストを実行する場合、処理はステップＳ３０９へ進む。

生体データ登録確認テストを実行しない場合、処理はステップＳ３１５へ進む。

なお、例えば、生体データ登録確認テストが常に行われる場合、生体データ登録確認テストが不要な場合、又は、生体データ登録確認テストの有無の判断が自動的に行われる場合は、ステップＳ３０７の判断処理は不要である。

ステップＳ３０８において、制御部２４は、生体データ取得装置２７を用いて生体データＢＤを取得する。

ステップＳ３０９において、制御部２４は、ステップＳ３０８で取得した生体データＢＤを情報処理装置２のメモリ２Ｍに仮登録する。なお、生体データＢＤの仮登録先は情報処理装置２に限られない。この場合、生体データＢＤの仮登録先は、例えばサーバ装置４１のメモリ４Ｍ又はデータベース４２でもよい。

ステップＳ３１０及びステップＳ３１１において、制御部２４は、生体データ登録確認テストを実行する。

ステップＳ３１０において、制御部２４は、生体データ取得装置２７によって取得された利用者Ｕの生体データＢＤを受け付ける。

ステップＳ３１１において、制御部２４は、ステップＳ３０９で仮登録した生体データＢＤとステップＳ３１０で利用者Ｕから取得した生体データＢＤとに基づいて生体認証（生体データ登録確認テスト）を実行する。

ステップＳ３１２において、制御部２４は、生体データ登録確認テストが成功したか否か判断する。

生体データ登録確認テストが成功した場合、処理はステップＳ３１５へ進む。

生体データ登録確認テストが失敗した場合、制御部２４は、再度生体データ登録確認テストを行うか、又は、生体データＢＤの仮登録を再度行うとしてもよい。この場合、制御部２４は、生体データ登録確認テストの結果を、通信部２２、通信部４１２経由で、サーバ装置４１の登録部４１４に送信してもよい。ステップＳ３１３において、登録部４１４は、受信した生体データ登録確認テストの結果に基づいて、再度生体データ登録確認テストを行うか、又は、生体データＢＤの仮登録を再度行うかを利用者Ｕに選択させるメニューを含む画面データを通信部４１２経由で情報処理装置２に送信する。情報処理装置２の制御部２４は、画面データを通信部２２経由で受信し、表示部２６は、画面データを表示する。制御部２４は、操作受付部２３により利用者Ｕによる選択を受け付ける。

再度生体データ登録確認テストを行う場合、処理はステップＳ３１０へ戻る。

生体データＢＤの仮登録を再度行う場合、ステップＳ３１４において、制御部２４は、仮登録した生体データＢＤを破棄し、ステップＳ３０８に戻って、再度、生体データ取得装置２７によって取得された利用者Ｕの生体データＢＤを受け付ける。

ステップＳ３１５において、制御部２４は、通信部２２、通信部４１２経由で、登録部４１４へ生体データＢＤを送信する。すると、登録部４１４は、データベース４２に生体データＢＤを格納する。

なお、図３に含まれる任意のステップにおいて、表示部２６は、登録処理の処理結果、処理内容、処理の進捗状況などを表示し、利用者Ｕに通知してもよい。また、図３に含まれる任意のステップにおいて、制御部２４は、登録部４１４に登録処理の処理結果、処理内容、処理の進捗状況などを送信してもよい。この場合、登録部４１４は、処理結果、処理内容、処理の進捗状況などに応じて、メッセージ、ダイアログボックス、メニューなどを画面データに組み込み、制御部２４へ送信してもよい。

なお、ステップＳ３０４で取得済みの生体データを読み出した場合は、読み出した生体データの認証確認テストは実行されないため、登録部４１４は、例えば初回の利用時までに利用者Ｕに生体データ登録確認テストの実行を促す通知などを、画面データに含め、制御部２４に送信してもよい。

図４は、本実施形態に係る生体データ登録処理の第２の例を示すフローチャートである。図４では、コールセンター装置４４を用いて生体データＢＤが登録される場合の処理を例示している。オペレータＯは、コールセンター装置４４に含まれる機能を利用可能である。コールセンター装置４４は、サーバ装置４１にアクセスすることによりサーバ装置４１に含まれる機能を利用可能である。図４において、電話機３は、情報処理装置２に含まれるとしてもよい。

ステップＳ４０１において、コールセンター装置４４は、利用者Ｕの操作に応じて電話機３と接続される。

ステップＳ４０２において、コールセンター装置４４は、オペレータＯの操作に応じて利用者Ｕの本人認証の結果を受け付ける。本人認証は、例えば、利用者Ｕがイシュアよりあらかじめ発行された利用者ＩＤ及びパスワードをオペレータＯに伝え、オペレータＯが、伝えられた利用者ＩＤ及びパスワードと、データベース４２に登録されている利用者Ｕの利用者ＩＤ及びパスワードとを照合することにより行われてもよい。また、本人認証は、利用者Ｕがデータベース４２に登録されている利用者データ４２３のうち一部のデータをオペレータＯに伝達することにより行われてもよい。本人認証の具体的な手法は、上述の手段に限られない。本人認証が成功の場合、処理はステップＳ４０３に移る。本人認証が失敗の場合、処理は終了する。

ステップＳ４０３において、コールセンター装置４４は、オペレータＯの操作に応じて、利用者Ｕにカードの新規発行を行うか否かの選択を受け付ける。カードの新規発行を行う場合、ステップＳ４０４において、コールセンター装置４４は、オペレータＯの操作に応じて、カードの新規発行に必要な利用者Ｕの利用者データ４２３を入力し、サーバ装置４１を用いてデータベース４２に格納する。カードの新規発行に必要な利用者データ４２３は、あらかじめデータベース４２に格納されており、コールセンター装置４４は、データベース４２から利用者データ４２３を読み出し、更新してもよい。コールセンター装置４４は、データベース４２から利用者データ４２３を読み出し、利用者データ４２３に基づいてカードデータＣＤを生成し、カードデータＣＤをデータベース４２に格納してもよい。カードの新規発行を行わない場合、処理はステップＳ４０５へ進む。

ステップＳ４０５において、コールセンター装置４４は、電話機３から利用者Ｕの声の生体データＢＤを取得する。具体的には、オペレータＯは、利用者Ｕに電話機３に対して一定期間発声させる。そして、コールセンター装置４４は、電話機３より電話回線を通じて取得した音声データを、声の生体データＢＤとしてコールセンター装置４４内の記憶装置又はデータベース４２に仮登録する。

ステップＳ４０６において、コールセンター装置４４は、サーバ装置４１の生体認証部４１６を利用して、生体データ登録確認テストを行う。具体的には、コールセンター装置４４は、利用者Ｕより声の生体データＢＤを取得し、取得した生体データＢＤを生体認証部４１６に送る。生体認証部４１６は、ステップＳ４０５で仮登録した声の生体データＢＤとステップＳ４０６で利用者Ｕから取得した声の生体データＢＤとに基づいて生体認証を行い、仮登録の生体データＢＤと取得した生体データＢＤとが整合するか否かを判断する。生体認証結果が失敗の場合、コールセンター装置４４は、ステップＳ４０６に戻って再度生体データ登録確認テストを行うか、又は、ステップＳ４０７において仮登録した声の生体データＢＤを破棄し、ステップＳ４０５に戻って利用者Ｕより再度声の生体データＢＤを仮登録してもよい。

生体認証結果が失敗の場合、処理はステップＳ４０８に進む。

ステップＳ４０８において、コールセンター装置４４は、生体データＢＤの登録先の選択を受け付ける。登録先の選択は、図２のステップＳ２１０と同様の選択により、利用者ＵのリクエストにそってオペレータＯが入力してもよい。なお、登録先としては、利用者のカード、又は、カード発行会社であるイシュアが自動的に選択されてもよい。

ステップＳ４０９において、コールセンター装置４４は、登録部４１４を用いて、ステップＳ４０８で選択された登録先に対応する装置に対し、生体データＢＤと利用者データ４２３などを互いに関連づけて格納する。このステップＳ４０９の処理は、上記ステップＳ２１１と同様である。

ステップＳ４１０において、コールセンター装置４４は、セキュリティアルゴリズム及びセキュリティデータＤＤの設定を受け付ける。そして、コールセンター装置４４は、セキュリティ登録部４１５を用いてセキュリティアルゴリズム４２２及びセキュリティデータＤＤの登録を行う。このステップＳ４１０の処理は、上記ステップＳ２１２と同様である。

図５は、本実施形態に係る生体データ登録システム１における画面遷移の一例を示す図である。

情報処理装置２は、サーバ装置４１から、カードを新規発行するための処理か又は発行済みカードに生体データＢＤを関連付けるための処理を選択するためのカード種別画面データＩ１を受信し、表示する。

カードの新規発行の場合、情報処理装置２は、サーバ装置４１から、利用者Ｕの利用者データ４２３を入力するための入力画面データＩ２を受信し、表示する。

発行済みカードに生体データＢＤを関連付けることが選択された場合、又は、利用者Ｕの利用者データ４２３の入力後、情報処理装置２は、サーバ装置４１から、利用者Ｕに生体データＢＤを入力することを指示する登録画面データＩ３を受信し、表示する。

情報処理装置２は、サーバ装置４１から、生体データＢＤの登録先の選択を指示する登録先画面データＩ４を受信し、表示する。

そして、情報処理装置２は、サーバ装置４１から、セキュリティアルゴリズム４２２及びセキュリティデータＤＤの設定を指示するセキュリティ画面データＩ５を受信し、表示する。

情報処理装置２は、上記画面遷移にしたがって利用者Ｕから入力された選択、指示、データを、サーバ装置４１に送信する。

図６及び図７では、電子決済システムによるカード決済処理について説明する。

図６は、生体認証を用いたカード決済端末の構成の一例を示すブロック図である。

本実施形態において、利用者ＵのカードＣは、例えば、カードＩＤの一例であるカード番号Ｄ１、有効期限Ｄ２、氏名Ｄ３、生体データＢＤ、セキュリティデータＤＤなどを含むカードデータＣＤを格納する。

生体データＢＤ及びセキュリティデータＤＤはカードデータＣＤに含まれなくてもよい。生体データＢＤは、カードデータＣＤに含まれる場合は、生体認証において、決済時に取得された利用者Ｕの生体データＤ４と照合される。セキュリティデータＤＤは、カードデータＣＤに含まれており、いずれかのサーバ装置で生体認証が行われる場合に、生体認証を行うサーバ装置へ送信される。

カードデータＣＤは、例えばカード発行時に既にカードＣに格納されている。カードデータＣＤは、例えば、カードＣの磁気情報とカードＣのＩＣ（Integrated Circuit）チップの情報とのうちの少なくとも一方として格納される。

カード決済端末２Ａは、カードデータ読み取り部２Ａａ、決済受付部２Ａｂ、処理部２Ａｃ、通信部２２を備える。

カード決済端末２Ａは、情報処理装置２であってもよい。この場合、カード決済端末２Ａの決済受付部２Ａｂ、処理部２Ａｃは、情報処理装置２の操作受付部２３、制御部２４に対応する。

本実施形態において、カード決済端末２Ａは、カード決済サービスの加盟店に設置される場合を例として説明する。カード決済端末２Ａは、生体データ取得機能、カードデータ読み取り機能、決済受付機能、生体認証機能、通信機能を備えた情報処理装置でもよい。カード決済端末２Ａは、カードデータＣＤをカード決済端末２Ａのメモリに格納し、メモリに格納されているカードデータＣＤを用いて決済処理を実行してもよい。

カード決済端末２Ａの各機能は、ソフトウェアで実現されてもよく、ハードウェアで実現されてもよく、ソフトウェアとハードウェアとの協働により実現されてもよい。カード決済端末２Ａの各機能を実現するために必要なハードウェアは、カード決済端末２Ａに内蔵されていてもよく、カード決済端末２Ａに外付けされてもよい。

本実施形態に係る商品又はサービスの購入は、店舗で行われてもよく、ネットワーク回線上の電子商取引ウェブサイト又はサービス提供ウェブサイトで行われてもよい。

決済受付部２Ａｂは、例えば加盟店の店員Ｂなどの操作に基づいて支払金額、支払方法（例えば一括払い、分割払い）などを受け付け、支払金額、支払方法を処理部２Ａｃに送る。カードデータ読み取り部２Ａａは、利用者ＵのカードＣに格納されているカードデータＣＤを読み取り、カードデータＣＤを処理部２Ａｃに送る。

生体データ取得装置２７は、利用者Ｕのカード決済時の生体データＤ４を取得し、生体データＤ４をカード決済端末２Ａの処理部２Ａｃに送る。

処理部２Ａｃは、生体データ取得装置２７によって決済時の利用者Ｕの生体データＤ４が読み取られたか否かを判断する。

処理部２Ａｃは、生体認証部２５を含む。

処理部２Ａｃは、カードデータ読み取り部２Ａａによって読み取られたカードデータＣＤに生体データＢＤが含まれているか否か判断する。カードデータＣＤに生体データＢＤが含まれている場合は、生体認証部２５は、カードＣの生体データＢＤと利用者Ｕの決済時の生体データＤ４とに基づいて生体認証（照合）を行う。生体データＢＤのセキュリティがオンの場合は、利用者Ｕはセキュリティをオフするために必要なデータを決済端末２Ａに入力し、生体認証部２５は生体データＢＤのセキュリティをオフにしてもよい。カードデータＣＤにセキュリティデータＤＤが含まれている場合は、生体認証部２５はセキュリティデータＤＤを用いて生体データＢＤのセキュリティをオフにしてもよい。

処理部２Ａｃは、決済時の利用者Ｕの生体データＤ４が読み取られ、かつ、カードデータＣＤに生体データＢＤが含まれていない場合に、カードデータＣＤ、支払金額、支払方法、利用者Ｕの決済時の生体データＤ４に基づいて、カード番号Ｄ１、有効期限Ｄ２、氏名Ｄ３、利用者Ｕの決済時の生体データＤ４、支払金額Ｄ５、支払方法Ｄ６、セキュリティデータＤＤを含む決済データＳＤａを生成する。

本実施形態において、処理部２Ａｃは、決済時の利用者Ｕの生体データＤ４が読み取られ、かつ、カードデータＣＤに生体データＢＤが含まれていない場合に、第三者認証機関のコンピュータシステム７を利用して生体認証を行ってもよい。具体的には、処理部２Ａｃは、通信部２２を経由して、第三者認証機関のコンピュータシステム７のサーバ装置７１に生体データＤ４及びセキュリティデータＤＤを送信する。サーバ装置７１の生体認証部７１１は、データベース７２に利用者Ｕのセキュリティがオンされている生体データＢＤが登録されている場合は、受信したセキュリティデータＤＤを用いてデータベース７２に登録されている利用者Ｕの生体データＢＤのセキュリティをオフし、生体データＤ４とセキュリティのオフされた生体データＢＤに基づいて生体認証を実行する。生体認証部７１１は、受信したセキュリティデータＤＤとデータベース７２に格納されているセキュリティデータＤＤとを比較し、両者が一致した場合に生体データＢＤのセキュリティをオフするとしてもよく、又は、サーバ装置７１が受信したセキュリティデータＤＤのみを用いて生体データＢＤのセキュリティをオフしてもよい。サーバ装置７１は、生体認証結果を処理部２Ａｃに送信する。なお、生体データＢＤのセキュリティはオンされていなくてもよい。

他のサーバ装置の生体認証部（生体認証部４１６、生体認証部５１１、生体認証部６１１）で実行される生体データＢＤのセキュリティのオフは、上述の生体認証部７１１で実行されるセキュリティのオフと同様である。

処理部２Ａｃは、生体データ取得装置２７によって決済時の利用者Ｕの生体データＤ４が読み取られており、カードデータＣＤの生体データＢＤが取得されており、カードＣの生体データＢＤと利用者Ｕの決済時の生体データＤ４とに基づく生体認証が成功した場合に、カードデータＣＤ、支払金額、支払方法に基づいて、カード番号Ｄ１、有効期限Ｄ２、氏名Ｄ３、認証成功通知Ｄ７、支払金額Ｄ５、支払方法Ｄ６を含む決済データＳＤｂを生成する。

認証成功通知Ｄ７は、生体認証を実行した者を特定する認証実行者ＩＤ（識別情報）を含む。処理部２Ａｃで生体認証が成功した場合、認証実行者ＩＤは、例えば、カード決済端末２Ａを利用する加盟店のＩＤ、カード決済端末２ＡのＩＤ、加盟店の口座ＩＤなどであってもよい。

処理部２Ａｃは、生体データ取得装置２７が決済時の利用者Ｕの生体データＤ４を取得できなかった場合、又は、カードＣの生体データＢＤと利用者Ｕの決済時の生体データＤ４とに基づく生体認証が失敗した場合、生体認証失敗に基づく取引の中止を決定する。

処理部２Ａｃは、決済データＳＤａ又は決済データＳＤｂが生成された場合に、決済データＳＤａ又は決済データＳＤｂを通信部２２へ送る。

通信部２２は、ネットワーク回線経由で、イシュアのコンピュータシステム４のサーバ装置４１を宛先として、決済データＳＤａ又は決済データＳＤｂを送信する。なお、通信部２２は、アクワイアラのコンピュータシステム５のサーバ装置５１とカードブランドのコンピュータシステム６のサーバ装置６１とのうちの少なくとも１つを経由して、イシュアのコンピュータシステム４のサーバ装置４１へ決済データＳＤａ又は決済データＳＤｂを送信してもよい。

図７は、生体認証を用いた電子決済システム１Ａの構成の一例を示すブロック図である。

カード決済端末２Ａ、イシュアのコンピュータシステム４、アクワイアラのコンピュータシステム５、カードブランドのコンピュータシステム６、第三者認証機関のコンピュータシステム７は、ネットワーク回線により相互に接続される。

図６で上述した通り、カード決済端末２Ａは、カード決済端末２Ａで生体認証が成功した場合は認証成功通知Ｄ７を含む決済データＳＤｂを、カード決済端末２Ａで生体認証が行われなかった場合は決済データＳＤａを、例えば、アクワイアラのコンピュータシステム５、カードブランドのコンピュータシステム６経由で、イシュアのコンピュータシステム４のサーバ装置４１へ送信する。また、カード決済端末２Ａは、第三者認証機関のコンピュータシステム７のサーバ装置７１に生体データＤ４及びセキュリティデータＤＤを送信し、サーバ装置７１より生体認証結果を受信してもよい（矢印Ａ７０１）。

カード決済端末２Ａは、決済データＳＤａ又は決済データＳＤｂをアクワイアラのコンピュータシステム５に送信する（矢印Ａ７０２）。

アクワイアラのコンピュータシステム５のサーバ装置５１は、カード決済端末２Ａから受信した決済データが決済データＳＤｂである場合は、認証成功通知Ｄ７を含むため、生体認証を実行することなく、必要な各種の処理を実行し、決済データＳＤｂをカードブランドのコンピュータシステム６に送信する（矢印Ａ７０５）。

一方、サーバ装置５１は、カード決済端末２Ａから受信した決済データが決済データＳＤａである場合は、データベース５２に利用者Ｕの生体データＢＤが格納されているか否かを判断する。データベース５２に生体データＢＤが含まれる場合は、サーバ装置５１に含まれる生体認証部５１１は、データベース５２に含まれる利用者Ｕの生体データＢＤと、決済データＳＤａに含まれる生体データＤ４及びセキュリティデータＤＤとに基づいて生体認証を行う。生体認証が成功した場合は、サーバ装置５１は、決済データＳＤａの生体データＤ４を認証成功通知Ｄ７に置き換えた決済データＳＤｂを作成し、作成した決済データＳＤｂをカードブランドのコンピュータシステム６に送信する。利用者Ｕの生体データＢＤがデータベース５２に格納されていない場合は、サーバ装置５１は、決済データＳＤａをカードブランドのコンピュータシステム６に送信する（矢印Ａ７０５）。

サーバ装置５１は、カード決済端末２Ａより決済データＳＤａを受信した場合、すなわち電子決済システム１Ａにおいて生体認証が未完了である場合に、第三者認証機関のコンピュータシステム７を利用して生体認証を行ってもよい。具体的には、サーバ装置５１は、第三者認証機関のコンピュータシステム７のサーバ装置７１に決済データＳＤａに含まれる生体データＤ４及びセキュリティデータＤＤを送信する。この場合、サーバ装置７１の生体認証部７１１は、データベース７２に利用者Ｕの生体データＢＤが登録されている場合は、セキュリティデータＤＤを用いてデータベース７２に登録されている利用者Ｕの生体データＢＤのセキュリティをオフし、生体データＤ４とセキュリティがオフされた生体データＢＤとに基づいて生体認証を実行する。サーバ装置７１は、生体認証結果をサーバ装置５１に送信する（矢印Ａ７０４）。

サーバ装置５１は、サーバ装置５１における生体認証、又は、第三者認証機関のコンピュータシステム７を利用した生体認証が失敗した場合、取引を中止し、カード決済端末２Ａへ取引の中止を通知する（矢印Ａ７０３）。

カードブランドのコンピュータシステム６においても、上述のアクワイアラのコンピュータシステム５における決済処理と同様の決済処理が行われる。すなわち、サーバ装置６１は、アクワイアラのコンピュータシステム５より決済データＳＤｂを受信した場合、生体認証を実行することなく、必要な各種の処理を実行し、決済データＳＤｂをイシュアのコンピュータシステム４に送信する（矢印Ａ７０８）。一方、サーバ装置６１は、アクワイアラのコンピュータシステム５より決済データＳＤａを受信した場合、データベース６２に利用者Ｕの生体データＢＤが格納されているか否かを判断する。データベース６２に生体データＢＤが含まれる場合は、サーバ装置６１に含まれる生体認証部６１１は、データベース６２に含まれる利用者Ｕの生体データＢＤと、決済データＳＤａに含まれる生体データＤ４及びセキュリティデータＤＤとに基づいて生体認証を行う。生体認証が成功した場合は、サーバ装置６１は、認証成功通知Ｄ７を含む決済データＳＤｂを作成し、作成した決済データＳＤｂをイシュアのコンピュータシステム４に送信する。利用者Ｕの生体データＢＤがデータベース６２に格納されていない場合は、サーバ装置６１は、決済データＳＤａをイシュアのコンピュータシステム４に送信する（矢印Ａ７０８）。

サーバ装置６１は、アクワイアラのコンピュータシステム５より決済データＳＤａを受信した場合、すなわち電子決済システム１Ａにおいて生体認証が未完了である場合に、第三者認証機関のコンピュータシステム７を利用して生体認証を行ってもよい（矢印Ａ７０７）。この場合のサーバ装置６１がサーバ装置７１を利用して生体認証を行う処理は、上述のサーバ装置５１がサーバ装置７１を利用して生体認証を行う処理と同様である。

サーバ装置６１は、サーバ装置６１における生体認証、又は、第三者認証機関のコンピュータシステム７を利用した生体認証が失敗した場合、取引を中止し、コンピュータシステム５経由で、カード決済端末２Ａへ取引の中止を通知する（矢印Ａ７０６、矢印Ａ７０３）。

イシュアのコンピュータシステム４のサーバ装置４１は、カードブランドのコンピュータシステム６より決済データＳＤａを受信した場合に、データベース４２に利用者Ｕの生体データＢＤが格納されているか否かを判断する。データベース４２に生体データＢＤが含まれる場合は、サーバ装置４１に含まれる生体認証部４１６は、データベース４２に含まれる利用者Ｕの生体データＢＤと、決済データＳＤａに含まれる生体データＤ４及びセキュリティデータＤＤとに基づいて生体認証を行う。生体認証が成功した場合は、サーバ装置４１は、認証成功通知Ｄ７を含む決済データＳＤｂを作成してもよい。

サーバ装置４１は、カードブランドのコンピュータシステム６より決済データＳＤａを受信した場合、すなわち電子決済システム１Ａにおいて生体認証が未完了である場合に、第三者認証機関のコンピュータシステム７を利用して生体認証を行ってもよい（矢印Ａ７１０）。この場合のサーバ装置６１がサーバ装置７１を利用して生体認証を行う処理は、上述のサーバ装置５１がサーバ装置７１を利用して生体認証を行う処理と同様である。

サーバ装置４１は、例えば生体認証の成功の有無、その他決済データに含まれる情報により、与信判断処理を行い、与信結果がＯＫ又はＮＧを示す与信結果データＲＤを作成する。

さらに、サーバ装置４１は、与信結果データＲＤをサーバ装置６１及びサーバ装置５１経由で、カード決済端末２Ａに送信する（矢印Ａ７０９、矢印Ａ７０６、矢印Ａ７０３）。サーバ装置６１及びサーバ装置５１は、与信結果データＲＤに基づいて、必要な各種の処理を実行してもよい。カード決済端末２Ａは、与信結果データＲＤに基づいて、決済完了又は決済不成立を出力してもよい。

コンピュータシステム４のサーバ装置４１は、データベース４２に格納されているセキュリティアルゴリズム４２２にそって決済を許可するか否か判断し、決済を許可する場合に決済処理を実行する。

以上説明した本実施形態においては、カードＣ、イシュアのコンピュータシステム４のデータベース４２、アクワイアラのコンピュータシステム５のデータベース５２、カードブランドのコンピュータシステム６のデータベース６２、第三者認証機関のコンピュータシステム７のデータベース７２のうちの少なくとも１つに生体データＢＤが格納される。これにより、生体データＢＤを用いた生体認証により決済可能か否かを判断可能なカードＣを発行することができる。

本実施形態においては、生体データＢＤを格納するカードＣを再発行しなくても、いずれかのコンピュータシステムで生体認証を行うことができ、発行済みのカードによる決済に対して生体認証を適用することができる。

本実施形態においては、利用者Ｕが生体データＢＤの登録先を選択可能である。本実施形態に係る生体データ登録システム１を用いることによって、どの登録先へ生体データＢＤを登録する場合であっても、登録の処理の流れと利用者Ｕに必要とされる手順とを統一することができ、利用者Ｕの手続きを容易化することができる。

本実施形態においては、利用者Ｕが情報機器の操作に不慣れな場合であっても、電話を用いてコールセンター装置４４に接続し、声の生体データＢＤを登録可能である。

本実施形態においては、生体データＢＤを登録する際に、利用者Ｕから取得した生体データＢＤを仮登録した後に、生体データ登録確認テストを実施し、テスト成功となった生体データＢＤカードＣ又はデータベース４２〜７２などに格納する。これにより、不完全な生体データ（生体認証に失敗する可能性の高い生体データ）が登録されることを防止することができ、生体データの変更、修正、再登録の頻度を減らすことができ、効率の良い生体データの登録が可能となる。

本実施形態においては、生体データＢＤが登録される際に、登録部４１４は生体データＢＤに関連づけてセキュリティデータＤＤを用いた暗号化などのセキュリティを設定できる。例えば、カード決済端末２Ａは、決済時にカードＣに登録されたセキュリティデータＤＤを生体認証が行われるサーバ装置へ送信し、サーバ装置に含まれる生体認証部がセキュリティデータＤＤを用いて生体データＢＤのセキュリティをオフする。これにより、例えば不正に生成されたカードＣによる決済を排除可能かつ生体データＢＤへの不正アクセスに対して防御可能であるため、生体認証の安全性を高めることができる。

本実施形態においては、決済を許可するか否か判断するためのセキュリティアルゴリズム４２２を設定することができる。これにより、不正な決済を防止することができる。

本実施形態において、カードＣがデビットカードの場合には、イシュアのコンピュータシステム４、アクワイアラのコンピュータシステム５と、カードブランドのコンピュータシステム６のうちの少なくとも１つは、銀行のコンピュータシステムでもよい。

本実施形態において、セキュリティアルゴリズム４２２は、生体データＢＤ又はカードデータＣＤと関連付けられた状態とすることにより、電子決済システム１Ａのどのデータベース４２〜７２に格納されてもよい。

上記の実施形態は、例示であり、発明の範囲を限定することは意図していない。上記の実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で種々の省略、置き換え、変更を行うことができる。上記の実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１…生体データ登録システム、２…情報処理装置、３…電話機、４，５，６，７…コンピュータシステム、２２，４１２…通信部、２３…操作受付部、２４，４１３…制御部、２５，４１６，５１１，６１１，７１１…生体認証部、２６…表示部、２７…生体データ取得装置、２Ｍ，４Ｍ…メモリ、２ＳＷ，４ＳＷ…制御ソフトウェア、４１，５１，６１，７１…サーバ装置、４２，５２，６２，７２…データベース、４３…カード生成装置、４４…コールセンター装置、５１…サーバ装置、４１４…登録部、４１５…セキュリティ登録部、４２２…セキュリティアルゴリズム、４２３…利用者データ、Ｃ…カード、Ｏ…オペレータ、Ｕ…ユーザ、ＢＤ…生体データ、ＣＤ…カードデータ、ＤＤ…セキュリティデータ、Ｐ１，Ｐ２…プロセッサ。

Claims (2)

1. ユーザに対応する予め登録されたセキュリティデータ、又は、前記ユーザの予め登録された第１の生体データを記憶し、決済のための操作を受け付ける第１の情報処理装置と、
   前記第１の情報処理装置と通信可能であり、前記ユーザに対する決済処理を実行する第２の情報処理装置と、
   を具備し、
   前記第１の情報処理装置は、
   前記決済のための操作を受け付けた場合に、前記第１の生体データが前記第１の情報処理装置に記憶されているか否か判断し、
   前記第１の生体データが前記第１の情報処理装置に記憶されている場合に、前記第１の生体データと前記決済のための操作によって受け付けられた前記ユーザの第２の生体データとに基づいて第１の生体認証を実行し、
   前記第１の生体認証が成功の場合に、認証成功データを含む第１の決済データを前記第２の情報処理装置に送信し、
   前記第１の生体データが前記第１の情報処理装置に記憶されていない場合に、前記セキュリティデータと前記第２の生体データとを含む第２の決済データを前記第２の情報処理装置に送信し、
   前記第２の情報処理装置は、
   前記第１の決済データを受信した場合に、前記第１の決済データに基づいて前記決済処理を実行し、
   前記第２の決済データを受信した場合に、データベースから、前記セキュリティデータを用いてセキュリティが確保された状態の前記ユーザの第３の生体データを読み出し、
   前記第３の生体データに対して前記第２の決済データに含まれている前記セキュリティデータを用いて前記セキュリティを解除した第４の生体データを生成し、
   前記第２の決済データに含まれている前記第２の生体データと、前記第４の生体データとに基づいて第２の生体認証を実行し、
   前記第２の生体認証が成功の場合に、前記第２の決済データに基づいて前記決済処理を実行する、
   決済システム。
2. 前記ユーザより生体データの登録先を前記第１の情報処理装置とするか前記第２の情報処理装置とするかの選択を受け付ける受付部と、
   前記選択が前記第１の情報処理装置を示す場合に、前記第１の生体データを前記第１の情報処理装置に格納し、前記選択が前記第２の情報処理装置を示す場合に、前記セキュリティデータを前記第１の情報処理装置に格納し、前記セキュリティデータを用いて前記セキュリティが確保された状態の前記第３の生体データを前記第２の情報処理装置に格納する登録部と、
   をさらに具備する請求項１に記載の決済システム。

Images