特開 2023-130136 情報処理方法、コンピュータプログラム、及び情報処理装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023130136

(43)【公開日】2023-09-20

(54)【発明の名称】情報処理方法、コンピュータプログラム、及び情報処理装置

(51)【国際特許分類】

   G06Q 20/40 20120101AFI20230912BHJP

【ＦＩ】

G06Q20/40

【審査請求】未請求

【請求項の数】12

【出願形態】ＯＬ

(21)【出願番号】P 2022034633

(22)【出願日】2022-03-07

(71)【出願人】

【識別番号】302064762

【氏名又は名称】株式会社日本総合研究所

(74)【代理人】

【識別番号】100114557

【弁理士】

【氏名又は名称】河野 英仁

(74)【代理人】

【識別番号】100078868

【弁理士】

【氏名又は名称】河野 登夫

(72)【発明者】

【氏名】松下 祐也

【テーマコード（参考）】

5L055

【Ｆターム（参考）】

5L055AA75

(57)【要約】

【課題】複数ユーザの端末に記憶した検証情報により、残高の正確性を担保可能とする情報処理方法等を提供すること。
【解決手段】情報処理方法は、施設に設けられた決済端末と通信可能なコンピュータが、 第１ユーザを特定するための識別情報、残高、及び、日時を含む検証情報を前記第１ユーザの端末装置から取得し、取得した検証情報を前記第１ユーザとは異なる他の複数のユーザの端末装置へ出力し、前記第１ユーザの決済時に前記第１ユーザの端末装置から新たに取得した検証情報、及び、他の複数のユーザの端末装置から近距離無線通信により取得した検証情報に基づき、決済を許可するか否かを判定する処理を行う。
【選択図】図１０

【特許請求の範囲】

【請求項1】

施設に設けられた決済端末と通信可能なコンピュータが、
第１ユーザを特定するための識別情報、残高、及び、日時を含む検証情報を前記第１ユーザの端末装置から取得し、
取得した検証情報を前記第１ユーザとは異なる他の複数のユーザの端末装置へ出力し、
前記第１ユーザの決済時に前記第１ユーザの端末装置から新たに取得した検証情報、及び、他の複数のユーザの端末装置から近距離無線通信により取得した検証情報に基づき、決済を許可するか否かを判定する
処理を行うことを特徴とする情報処理方法。

【請求項2】

前記決済端末と、決済を行うサーバとの間の通信障害が生じている場合に、判定処理を行う
ことを特徴とする請求項１に記載の情報処理方法。

【請求項3】

前記施設への訪問頻度に基づき常連ユーザを特定し、特定した前記常連ユーザの端末装置から検証情報を取得する
ことを特徴とする請求項１又は請求項２に記載の情報処理方法。

【請求項4】

前記施設への訪問頻度に基づき常連ユーザを特定し、特定した前記常連ユーザの端末装置へ前記第１ユーザの検証情報を出力する
ことを特徴とする請求項１から請求項３のいずれか一項に記載の情報処理方法。

【請求項5】

前記常連ユーザの端末装置から取得した検証情報、又は、該常連ユーザの端末装置からＰ２Ｐで検証情報を取得した他のユーザの端末装置から取得した検証情報に基づき決済を許可するか否かを判定する
ことを特徴とする請求項４に記載の情報処理方法。

【請求項6】

前記端末装置は、前記検証情報を所定タイミングで消去する
ことを特徴とする請求項１から請求項５のいずれか一項に記載の情報処理方法。

【請求項7】

前記第１ユーザの残高が、他のユーザから取得した残高よりも高い場合には決済を許可しないと判定する
ことを特徴とする請求項１から請求項６のいずれか一項に記載の情報処理方法。

【請求項8】

前記第１ユーザの残高が、所定数以上の他のユーザの端末装置から取得した残高と一致した場合に、決済を許可すると判定する
ことを特徴とする請求項１から請求項７のいずれか一項に記載の情報処理方法。

【請求項9】

第１ユーザを特定するための識別情報、残高、及び、日時を含む検証情報を前記第１ユーザの端末装置から取得し、
前記第１ユーザの決済時に決済端末との間の近距離無線通信により取得した検証情報を出力する
処理をコンピュータに実行させることを特徴とするコンピュータプログラム。

【請求項10】

自身を特定するための識別情報及び残高を含む検証情報を決済端末に出力し、
自身で決済を行う場合に、他の端末装置に拡散された自身の検証情報との比較のために再度決済情報を決済端末に出力する
ことを特徴とする請求項９に記載のコンピュータプログラム。

【請求項11】

第１ユーザを特定するための識別情報、残高、及び、日時を含む検証情報を前記第１ユーザの端末装置から取得する取得部と、
取得した検証情報を前記第１ユーザとは異なる他の複数のユーザの端末装置へ出力する出力部と、
前記第１ユーザの決済時に前記第１ユーザの端末装置から新たに取得した検証情報、及び、他の複数のユーザの端末装置から近距離無線通信により取得した検証情報に基づき、決済を許可するか否かを判定する判定部と
を備えることを特徴とする情報処理装置。

【請求項12】

決済端末と通信可能なコンピュータに、
第１ユーザを特定するための識別情報、残高、及び、日時を含む検証情報を前記第１ユーザの端末装置から取得し、
取得した検証情報を前記第１ユーザとは異なる他の複数のユーザの端末装置へ出力し、
前記第１ユーザの決済時に前記第１ユーザの端末装置から新たに取得した検証情報、及び、他の複数のユーザの端末装置から近距離無線通信により取得した検証情報に基づき、決済を許可するか否かを判定する
処理を実行させることを特徴とするコンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、電子決済システムに係る情報処理方法等に関する。

【背景技術】

【0002】

商品やサービスの購入代金を電子的なデータ送信で決済する電子決済システムが普及している。電子決済システムにおいて、ユーザが用いる決済手段では残高が改ざんされる危険性がある。この対策として、オンラインでリアルタイムに正当性を確認する技術が提案されている。

【0003】

決済時にリアルタイムでサーバとの通信を必要とするシステムは、店舗等でのオフライン決済には適用できないため、リアルタイムでのチェックを必要とせず、電子マネーの正当な利用を保証できる決済装置等が提案されている（特許文献１）。特許文献１に記載の決済装置は、決済の度に、現在のハッシュ値、及び決済のトランザクションから生成されるデータに基づいて、現在のハッシュ値を新たな値に更新し、現在のハッシュ値に対して秘密鍵によって署名を行う。また、決済装置はハッシュ値の署名を生成する署名部と、秘密鍵及びハッシュ値の署名を保護するセキュアエレメントとを備えている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１６－１３９２９１号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、上記決済装置はオフライン時には自身が保有する残高に基づいて決済を行う。そのため、残高の保証は決済装置のみで行なわれており、残高の正確性が十分に担保できているとは言い難い。本発明はこのような状況に鑑みてなされたものである。その目的は、複数ユーザの端末に記憶した検証情報により、残高の正確性を担保可能とする情報処理方法等の提供である。

【課題を解決するための手段】

【0006】

本願に開示する情報処理方法は、施設に設けられた決済端末と通信可能なコンピュータが、第１ユーザを特定するための識別情報、残高、及び、日時を含む検証情報を前記第１ユーザの端末装置から取得し、取得した検証情報を前記第１ユーザとは異なる他の複数のユーザの端末装置へ出力し、前記第１ユーザの決済時に前記第１ユーザの端末装置から新たに取得した検証情報、及び、他の複数のユーザの端末装置から近距離無線通信により取得した検証情報に基づき、決済を許可するか否かを判定する処理を行うことを特徴とする。

【発明の効果】

【0007】

本発明の一観点によれば、残高の正確性が担保可能となる。

【図面の簡単な説明】

【0008】

【図1】残高検証システムの構成例を示す説明図である。

【図2】第１端末のハードウェア構成例を示すブロック図である。

【図3】店舗端末のハードウェア構成例を示すブロック図である。

【図4】残高ＤＢの例を示す説明図である。

【図5】他人残高ＤＢの例を示す説明図である。

【図6】常連ＤＢの例を示す説明図である。

【図7】残高ＤＢの例を示す説明図である。

【図8】残高配信処理の手順例を示すフローチャートである。

【図9】残高受信処理の手順例を示すフローチャートである。

【図10】残高検証処理の手順例を示すフローチャートである。

【図11】残高返信処理の手順例を示すフローチャートである。

【図12】他人残高交換処理の手順例を示すフローチャートである。

【図13】削除処理の手順例を示すフローチャートである。

【図14】残高受信処理、又は、他人残高交換処理の一部の処理を示すフローチャートである。

【図15】店舗端末が記憶する取引履歴ＤＢの例を示す説明図である。

【図16】端末が記憶する取引履歴ＤＢの例を示す説明図である。

【図17】復旧処理の手順例を示すフローチャートである。

【図18】通信機のハードウェア構成例を示すブロック図である。

【図19】残高交換処理の手順例を示すフローチャートである。

【図20】残高検証処理の他の手順例を示すフローチャートである。

【発明を実施するための形態】

【0009】

以下実施の形態を、図面を参照して説明する。図１は残高検証システムの構成例を示す説明図である。残高検証システム１００は第１端末１、第２端末２、店舗端末３、決済システム４を含む。第１端末１、第２端末２、店舗端末３及び決済システム４はネットワークＮにより、通信可能に接続されている。また、第１端末１と第２端末２とは近距離通信による通信が可能である。同様に第１端末１及び第２端末２と店舗端末３とは近距離通信による通信が可能である。図１において、第１端末１は１台のみ記載しているが、２台以上でもよい。第２端末２は２台のみ記載しているが、３台以上が好ましい。第２端末２は１台でもよいが、あまり好ましくはない。店舗端末３は１台のみ記載しているが、２台以上でもよい。

【0010】

第１端末１は店舗にて商品等の代金決済を電子決済で行おうとしている第１ユーザが使用する端末装置である。第１端末１はスマートフォン、タブレットコンピュータ、ノートＰＣ（Personal Computer）等で構成する。第２端末２は第１ユーザ以外の第２ユーザが使用する端末装置である。第２端末２はスマートフォン、タブレットコンピュータ、ノートＰＣ等で構成する。第１ユーザ及び第２ユーザは、共に残高検証システム１００を利用するユーザであり、第１ユーザと第２ユーザとの区別は固定的なものではない。各ユーザは、商品等の代金決済を電子決済で行おうとしている場面においては、第１ユーザとなり、それ以外の場面においては、第２ユーザとなる。ユーザが第１ユーザとなっている場面において、端末が第１端末１として機能する。ユーザが第２ユーザとなっている場面において、端末が第２端末として機能する。したがって、同一の端末が第１端末１ともなるし、第２端末２ともなる。また、一つの端末が同時に第１端末１として機能し、第２端末２としても機能することもあり得る。

【0011】

店舗端末３は店舗（施設）の店員が使用する端末である。店舗端末３はスマートフォン、タブレットコンピュータ、ノートＰＣ（Personal Computer）等で構成する。店舗端末３は商品の登録、商品代金の合計金額の計算等の機能を有し、決済システム４と通信し、電子決済を実行してもよい。この場合、店舗端末３は決済端末として機能する。また、店舗端末３をいわゆるＰＯＳ（Point Of Sales）レジ（キャッシュレジスタ、金銭登録機）で構成してもよい。災害発生後、停電している状況においても使用可能である観点から、店舗端末３はバッテリ駆動が可能な機器で構成することが望ましい。決済システム４は電子決済サービスを提供するシステムである。

【0012】

図２は第１端末のハードウェア構成例を示すブロック図である。第１端末１は制御部１１、主記憶部１２、補助記憶部１３、通信部１４、近距離通信部１５、表示パネル１６及び操作部１７を含む。各部はバスＢにより接続されている。

【0013】

制御部１１は、一又は複数のＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro-Processing Unit）、ＧＰＵ（Graphics Processing Unit）等の演算処理装置を有する。制御部１１は、補助記憶部１３に記憶された制御プログラム１Ｐ（プログラム、プログラム製品）を読み出して実行することにより、第１端末１に係る種々の情報処理、制御処理等を行い、各種の機能部を実現する。

【0014】

主記憶部１２は、ＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）、フラッシュメモリ等である。主記憶部１２は主として制御部１１が演算処理を実行するために必要なデータを一時的に記憶する。

【0015】

補助記憶部１３はハードディスク又はＳＳＤ（Solid State Drive）等であり、制御部１１が処理を実行するために必要な制御プログラム１Ｐや各種ＤＢ（Database）を記憶する。補助記憶部１３は、残高ＤＢ１３１及び他人残高ＤＢ１３２並びにユーザＩＤ１３３を記憶する。ユーザＩＤ１３３（識別情報）は端末１を使用している第１ユーザが、残高検証システム１００から付与されたユニークＩＤ（識別情報）である。補助記憶部１３は第１端末１と別体であって、外部接続された外部記憶装置であってもよい。

【0016】

通信部１４はネットワークＮを介して、決済システム４と通信を行う。制御部１１が通信部１４を用い、ネットワークＮ等を介して他のコンピュータから制御プログラム１Ｐをダウンロードし、補助記憶部１３に記憶してもよい。

【0017】

近距離通信部１５は、ＮＦＣ（Near Field Communication）規格、Ｂｌｕｅｔｏｏｔｈ（登録商標）規格、赤外線通信（IrDA（Infrared Data Association））規格、ＷｉＦｉ（登録商標）規格などにしたがった通信を行う。制御部１１は近距離通信部１５を介して、端末とＰ２Ｐ（Peer to Peer）の通信を行う。

【0018】

表示パネル１６は、液晶パネル又は有機ＥＬ（Electro Luminescence）ディスプレイ等で構成することができる。操作部１７は、例えば、表示パネル１６に組み込まれたタッチパネルで構成することができ、ユーザが表示パネル１６上で行う所定の操作を行うことができる。また、操作部１７は、表示パネル１６に表示したソフトウェアキ－ボード上の操作を行うことができる。なお、操作部１７は、ハードウェアキーボード、マウスなどでもよい。

【0019】

第２端末２は第１端末１と同様の構成を有し、制御部２１、主記憶部２２、補助記憶部２３、通信部２４、近距離通信部２５、表示パネル２６及び操作部２７を含む。第２端末２を構成する各部の機能は、第１端末１の対応する各部と同様であるから、図示及び説明を省略する。なお、以下の説明において、第１端末を端末１ともいい、第２端末を端末２ともいう。また、第１端末１と第２端末２とをまとめて端末ともいう。

【0020】

図３は店舗端末のハードウェア構成例を示すブロック図である。店舗端末３は制御部３１、主記憶部３２、補助記憶部３３、通信部３４、近距離通信部３５、表示パネル３６及び操作部３７を含む。各部はバスＢにより接続されている。

【0021】

制御部３１は、一又は複数のＣＰＵ、ＭＰＵ、ＧＰＵ等の演算処理装置を有する。制御部３１は、補助記憶部３３に記憶された制御プログラム３Ｐ（プログラム、プログラム製品）を読み出して実行することにより、店舗端末３に係る種々の情報処理、制御処理等を行い、取得部、出力部、判定部等の各種機能部を実現する。

【0022】

主記憶部３２は、ＳＲＡＭ、ＤＲＡＭ、フラッシュメモリ等である。主記憶部３２は主として制御部１１が演算処理を実行するために必要なデータを一時的に記憶する。

【0023】

補助記憶部３３はハードディスク又はＳＳＤ等であり、制御部３１が処理を実行するために必要な制御プログラム３Ｐや各種ＤＢを記憶する。補助記憶部３３は、常連ＤＢ３３１及び残高ＤＢ３３２を記憶する。補助記憶部３３は店舗端末３と別体であって、外部接続された外部記憶装置であってもよい。

【0024】

通信部３４はネットワークＮを介して、決済システム４と通信を行う。制御部３１が通信部３４を用い、ネットワークＮ等を介して他のコンピュータから制御プログラム３Ｐをダウンロードし、補助記憶部３３に記憶してもよい。

【0025】

近距離通信部３５は、ＮＦＣ規格、Ｂｌｕｅｔｏｏｔｈ（登録商標）規格、赤外線通信規格、ＷｉＦｉ規格などにしたがった通信を行う。

【0026】

表示パネル３６は、液晶パネル又は有機ＥＬディスプレイ等で構成することができる。操作部３７は、例えば、表示パネル３６に組み込まれたタッチパネルで構成することができ、ユーザが表示パネル３６上で行う所定の操作を行うことができる。また、操作部３７は、表示パネル３６に表示したソフトウェアキ－ボード上の操作を行うことができる。なお、操作部３７は、ハードウェアキーボード、マウスなどでもよい。

【0027】

次に、残高検証システム１００で使用されるデータベースについて説明する。図４は残高ＤＢの例を示す説明図である。残高ＤＢ１３１は端末１が備えるデータベースである。残高ＤＢ１３１は電子決済可能な金額等を記憶する。残高ＤＢ１３１はサービスコード列、アカウントＩＤ列、残高列及び日時列を含む。サービスコード列は電子決済サービスを特定するコードやＩＤを記憶する。アカウントＩＤ列は電子決済サービスにおけるユーザのＩＤを記憶する。残高列はユーザが電子決済可能な金額を記憶する。電子決済サービスがプリペイド型の場合、残高列はチャージ残高を記憶する。電子決済サービスがポストペイ型の場合、残高列は利用可能額を記憶する。日時列は残高列の値が記憶する値となった日時を記憶する。すなわち、日時列は電子決済サービスを直近に利用した日時を記憶する。なお、残高ＤＢ１３１を電子決済サービス毎に構築する場合、又は、残高検証システム１００が利用できる電子決済サービスをユーザ毎に一つとする場合、残高ＤＢ１３１において、サービスコード列はなくともよい。アカウントＩＤの値により、対応する電子決済サービスが認識可能である場合も、残高ＤＢ１３１において、サービスコード列はなくともよい。また、残高ＤＢ１３１と同様な残高ＤＢ２３１を端末２は備えている。

【0028】

図５は他人残高ＤＢの例を示す説明図である。他人残高ＤＢ１３２は端末１が備えるデータベースである。他人残高ＤＢ１３２は他のユーザが電子決済可能な金額等を記憶する。他人残高ＤＢ１３２はユーザＩＤ列、サービスコード列、残高列、日時列及び受信日時列を含む。ユーザＩＤ列は他のユーザのユーザＩＤを記憶する。ユーザＩＤは残高検証システム１００により付与されたＩＤである。サービスコード列は電子決済サービスを特定するコードやＩＤを記憶する。残高列は他のユーザが電子決済可能な金額を記憶する。残高列は、残高ＤＢ１３１の残高列と同様に、チャージ残高又は利用可能額を記憶する。日時列は残高列の値が記憶する値となった日時を記憶する。すなわち、日時列は他のユーザが電子決済サービスを直近に利用した日時を記憶する。受信日時列は他のユーザの残高データを受信した日時を記憶する。なお、受信日時列は必須ではない。また、他人残高ＤＢ１３２と同様な他人残高ＤＢ２３２を端末２は備えている。以下の説明において、残高は、チャージ残高、及び、利用可能額の一方又は両方を示すものとする。

【0029】

図６は常連ＤＢの例を示す説明図である。常連ＤＢ３３１は店舗端末３が備えるデータベースである。常連ＤＢ３３１は各店舗における常連ユーザの情報を記憶する。常連ＤＢ３３１はユーザＩＤ列、時間帯列及び最終来店列を含む。ユーザＩＤ列は常連ユーザのユーザＩＤを記憶する。時間帯列は常連ユーザが最も店舗に訪れる時間帯を記憶する。図６においては、時間帯列の値は数字で示している。例えば、１は６時から９時を、２は９時から１２時を、３は１２時から１５時を、４は１５時から１８時を、５は１８時から２１時を示す。最終来店列はユーザが最後に店舗に訪れた日時を記憶する。本明細書において、ユーザを常連と判定するロジックは種々のものが考えられる。例えば来店頻度（訪問頻度）が３日間に３回以上、来店したユーザを常連とする。ユーザの来店履歴は、電子決済やポイントシステムの利用履歴から作成可能である。ＰＯＳレジやＰＯＳデータを一括管理するＰＯＳサーバが有する購入履歴を利用してもよい。

【0030】

図７は残高ＤＢの例を示す説明図である。残高ＤＢ３３２は店舗端末３が備えるデータベースである。残高ＤＢ３３２は常連ユーザの残高を記憶する。残高ＤＢ３３２はユーザＩＤ列、サービスコード列、残高列及び日時列を含む。ユーザＩＤ列はユーザＩＤを記憶する。サービスコード列は電子決済サービスを特定するコードやＩＤを記憶する。残高列はユーザが電子決済可能な金額を記憶する。電子決済サービスがプリペイド型の場合、残高列はチャージ残高を記憶する。電子決済サービスがポストペイ型の場合、残高列は利用可能額を記憶する。日時列は残高列の値が記憶する値となった日時を記憶する。

【0031】

続いて、残高検証システム１００で行なわれる処理について説明する。それに先立ち、残高検証システム１００の動作モードについて説明する。残高検証システム１００の動作モードは平常時モード、災害時モードを想定している。ここでの平常時は決済システム４及びネットワークＮ等が正常に機能しており、電子決済を正常に行える状態をいう。災害時は広域地震などの大規模災害により、ネットワークＮや決済システム４に被害が及び、決済システム４との通信が困難で、電子決済が行えない状態をいう。

【0032】

店舗端末３を介して、第１ユーザの電子決済サービスにおける残高が第１端末１から、第２ユーザの第２端末２へ配信される。第２端末２は配信された第１ユーザの残高を所定期間、保持する。

【0033】

災害時モードでは、電子決済の処理が異なる。第１ユーザが店舗にて電子決済を利用して、商品の購入を希望したとする。このとき、ネットワークＮや電子決済サービスに障害が発生していれば決済が行えず、第１ユーザは商品を購入できない。しかし、残高検証システム１００は、正常時に第２端末２へ配信した第１ユーザの残高を、第２端末２から回収し、回収した残高に基づき、第１ユーザが保有している残高が正当である否かを判定する。残高検証システム１００が第１ユーザの電子決済における残高を正当であると保証したときは、当該残高に基づき電子決済の利用を第１ユーザに許可する。

【0034】

残高検証システム１００において、第１ユーザの残高をより正確に、より確実に検証するためには、第２ユーザから回収する残高が、可能な限り新しいものが望ましい。また、より多くの第２ユーザから残高が回収できることが望ましい。これを実現するために、店舗を基準としたユーザのネットワークを形成する。ここでは、当該ネットワークを常連ネットワークと呼ぶ。以下、常連ネットワークを用いた残高検証システム１００の処理を説明する。

【0035】

（平常時モード）
平常時モードにおいて、残高検証システム１００が行う処理について説明する。図８は残高配信処理の手順例を示すフローチャートである。残高配信処理は店舗端末３が実行する処理である。店舗端末３の制御部３１は来店した第１ユーザの端末１から、残高を取得する（ステップＳ１）。例えば、第１ユーザが商品購入に際して電子決済を行ったことを契機に、店舗端末３は残高を取得する。また、店舗端末３がポーリング信号を発信しており、ポーリング信号を受信した端末１が残高を返信する。若しくは、来店したユーザにインセンティブを付与するサービスを設け、端末１において来店を知らせる操作が行われた場合、例えば、店舗に設置された二次元コードが端末１で読み取れた場合、端末１は店舗端末３に対して、残高を送信する仕組みを採用してもよい。店舗端末３と端末１との通信は、近距離無線通信により行なわれることを想定するが、インターネット等を介してもよい。制御部３１はポーリングを行う（ステップＳ２）。当該ポーリングは近距離無線通信により行なわれ、第１ユーザが来店している第２ユーザの端末２が探索される。ポーリングを受けた端末２からユーザＩＤが返信される。制御部３１は返信されたユーザＩＤを取得する（ステップＳ３）。制御部３１は取得したユーザＩＤの中から、処理対象とするユーザＩＤを選択する（ステップＳ４）。制御部３１は常連ＤＢ３３１を参照して、選択したユーザＩＤを持つユーザが常連であるか否かを判定する（ステップＳ５）。選択したユーザＩＤが常連ＤＢ３３１に記憶してあれば、制御部３１は常連と判定する。現在時刻が、常連ＤＢ３３１の時間帯列の時間帯に含まれていなければ、常連と判定しなくともよい。制御部３１は選択したユーザＩＤを持つユーザが常連でないと判定した場合（ステップＳ５でＮＯ）、処理をステップＳ７へ進める。制御部３１は選択したユーザＩＤを持つユーザが常連であると判定した場合（ステップＳ５でＹＥＳ）、当該ユーザの端末２へ第１ユーザの残高情報を送信する（ステップＳ６）。残高情報は、残高に、第１ユーザのユーザＩＤ、及び、残高の更新日時を付加したものである。制御部３１は未処理のユーザＩＤがあるか否かを判定する（ステップＳ７）。制御部３１は処理のユーザＩＤがあると判定した場合（ステップＳ７でＹＥＳ）、処理をステップＳ４に戻し、未処理ユーザＩＤについての処理を行う。制御部３１は処理のユーザＩＤがないと判定した場合（ステップＳ７でＮＯ）、処理を終了する。なお、残高情報は、店舗端末３の残高ＤＢ３３２にも記憶される。

【0036】

残高配信処理において、残高を送信した常連ユーザの数が所定数に達しなかった場合、制御部３１は、残高を送信した常連ユーザの数が所定数に達するか、所定時間が経過するまでステップＳ２以降の処理を繰り返してもよい。また、残高配信処理において、ポーリングは行なわなくともよい。この場合、制御部３１は、宛先として常連ユーザのユーザＩＤを含むパケット生成し、送信する。受信した端末２はパケットに含まれるユーザＩＤが補助記憶部２３に記憶しているユーザＩＤ２３３と一致する場合、制御部２１はパケットを受け入れる。パケットに含まれるユーザＩＤがユーザＩＤ２３３と不一致の場合、制御部２１はパケットを破棄する。

【0037】

図９は残高受信処理の手順例を示すフローチャートである。残高受信処理は残高配信処理に対応する処理であり、ポーリングを受けた端末２が実行する処理である。端末２の制御部２１は店舗端末３が送信したポーリング信号を受信する（ステップＳ２１）。制御部２１は補助記憶部２３に記憶しているユーザＩＤ２３３を店舗端末３へ送信する（ステップＳ２２）。制御部２１はインターバルタイマを開始する（ステップＳ２３）。制御部２１は店舗端末３から残高情報を受信したか否かを判定する（ステップＳ２４）。制御部２１は店舗端末３から残高情報を受信したと判定した場合（ステップＳ２４でＹＥＳ）、他人残高ＤＢ２３２に残高情報を記憶する（ステップＳ２５）。すでに同一の第１ユーザの情報が記憶されていた場合、制御部２１は上書きをする。制御部２１は店舗端末３から残高情報を受信していないと判定した場合（ステップＳ２４でＮＯ）、タイムアウトであるか否かを判定する（ステップＳ２７）。制御部２１はタイムアウトでないと判定した場合（ステップＳ２７でＮＯ）、処理をステップＳ２４へ戻す。制御部２１はタイムアウトであると判定した場合（ステップＳ２７でＹＥＳ）、またはステップＳ２５の後、インターバルタイマを停止し（ステップＳ２６）、処理を終了する。

【0038】

残高配信処理においてポーリングを行なわない場合、ステップＳ２４での判定で、パケットを受信した場合であっても、宛先が自端末で無い場合、制御部３１は受信していないと判定する。

【0039】

残高配信処理により、第１ユーザが使用する第１端末１に記憶された残高情報が配信される。配信された残高情報は、残高受信処理により、第２ユーザが使用する第２端末２に記憶される。これにより、平常時モードにおいて、第１ユーザの残高は第２端末２にも記憶されることになる。なお、繰り返しになるが、第１ユーザは第２ユーザの立場ともなり、第２ユーザは第１ユーザの立場ともなるので、常連ネットワークに属するユーザ間で互いに残高を持ち合う事になる。常連ネットワークは、同一の時間帯に同一の店舗へ来店するユーザの集まりとなるため、店舗内で出会う可能性が高く、互いに持ち合う残高は、最新の値を維持できる可能性が高くなる。

【0040】

（災害時モード）
災害時モードにおいて、残高検証システム１００が行う処理について説明する。図１０は残高検証処理の手順例を示すフローチャートである。残高検証処理は店舗端末３が実行する処理である。店舗に来店した第１ユーザは購入代金の支払いとして、電子決済を要求する。端末１の制御部１１は店舗端末３へ決済要求を送信する。決済要求には、ユーザＩＤ、残高、サービスコード（必須ではない、以下同様。）が含まれている。店舗端末３の制御部３１は要求を受信する（ステップＳ４１）。制御部３１はポーリングを行う（ステップＳ４２）。ポーリングとして送信する信号には第１ユーザのユーザＩＤ、サービスコードが含まれている。制御部３１はインターバルタイマを開始する（ステップＳ４３）。制御部３１は残高情報を受信したか否かを判定する（ステップＳ４４）。制御部３１は残高情報（検証情報）を受信していないと判定した場合（ステップＳ４４でＮＯ）、処理をステップＳ４６へ移す。制御部３１は残高情報を受信したと判定した場合（ステップＳ４４でＹＥＳ）、残高情報を補助記憶部１３等に設けた一時記憶領域に記憶する（ステップＳ４５）。制御部３１はタイムアウトであるか否かを判定する（ステップＳ４６）。制御部３１はタイムアウトでないと判定した場合（ステップＳ４６でＮＯ）、処理をステップＳ４４へ戻す。制御部３１はタイムアウトであると判定した場合（ステップＳ４６でＹＥＳ）、インターバルタイマを停止する（ステップＳ４７）。制御部３１は一時記憶領域に記憶した端末２から回収した残高（以下、「回収残高」という。）と、端末１から取得した残高（以下、「申告残高」という。）とを対照し、申告残高が正当であるか否かを判定する（ステップＳ４８）。判定方法については後述する。制御部３１は判定結果に基づき決済を許可するか否かを判定する（ステップＳ４９）。申告残高が正当であり、決済金額を上回っている場合、制御部３１は許可と判定し、それ以外は許可しないと判定する。制御部３１は決済を許可すると判定した場合（ステップＳ４９でＹＥＳ）、決済を行い（ステップＳ５０）、処理を終了する。なお、決済を行う機器が、ＰＯＳレジなど他の機器である場合は、当該機器へ決済指示を送信する。決済指示には決済情報（ユーザＩＤ、申告残高、決済金額、サービスコード等）を含める。制御部３１は決済を許可しないと判定した場合（ステップＳ４９でＮＯ）、その旨のメッセージを表示パネル３６に出力し（ステップＳ５１）、処理を終了する。

【0041】

ステップＳ４８で行う判定処理は、例えば以下の内容である。回収残高の値がすべて一致し、申告残高がその値に一致するか、その値未満の場合、申告残高は正当であると、制御部３１は判定する。すべての回収残高の値が一致しないが、申告残高が回収残高の最低値以下である場合、申告残高は正当であると、制御部３１は判定する。また、回収残高の値がすべて一致し、申告残高がその値を超えている場合、申告残高は不当であると、制御部３１は判定する。すべての回収残高の値が一致せず、申告残高が回収残高の最低値を超えている場合、申告残高は不当であると、制御部３１は判定する。さらに、回収できた回収残高の数が所定数より少ない場合、申告残高の値に関わらず、正当性の判断は不能であるとして、決済を許可しないとしてもよい。

【0042】

図１１は残高返信処理の手順例を示すフローチャートである。残高返信処理は残高検証処理に対応する処理であり、ポーリングを受けた端末２が実行する処理である。端末２の制御部２１は店舗端末３が送信したポーリング信号を受信する（ステップＳ６１）。制御部２１はポーリング信号に含まれるユーザＩＤを持つユーザの残高情報を保有しているか否か判定する（ステップＳ６２）。制御部２１は、受信したユーザＩＤをキーに、補助記憶部２３に記憶している他人残高ＤＢ２３２を検索する。ポーリング信号にサービスコードが含まれている場合、制御部２１は検索条件に受信したサービスコードを含める。検索にヒットした場合、制御部２１は保有していると判定する。検索にヒットしなかった場合、制御部２１は保有していないと判定する。検索にヒットした場合であっても、残高情報が更新された日時や残高情報を受信した日時が、所定時間以上過去、例えば、３日前よりも過去の場合、制御部２１は保有していないと判定してもよい。制御部２１はユーザの残高情報を保有していると判定した場合（ステップＳ６２でＹＥＳ）、保有している残高情報を店舗端末３へ送信し（ステップＳ６３）、処理を終了する。制御部２１はユーザの残高を保有していないと判定した場合（ステップＳ６２でＮＯ）、処理を終了する。

【0043】

災害時モードにおいて、第１ユーザが決済を許可された場合、決済後の第１ユーザの残高も、第２ユーザに配信される。すなわち、店舗端末３は、図１０の示した残高検証処理において、ステップＳ５０を実行した後に、図８に示した残高配信処理と同様な処理を実行する。それに対応して、図９に示した残高受信処理が実行される。

【0044】

（すれ違いネットワーク）
第１ユーザの残高の正当性判定の信頼性を高めるためには、所定数以上の第２ユーザからの残高情報を得る必要がある。常連ネットワークは同じ店舗の常連をグループ化することにより、平常時に残高情報の配信を受ける確率を上げ、災害時に残高情報を返信できる確率を上げることを目指している。しかしながら、常連ネットワークだけでは、災害時に十分な数の第２ユーザから残高情報を回収できない場合も考えられる。そこで、常連ネットワークを補完するものとして、すれ違いネットワークを形成する。すれ違いネットワークは、残高検証システム１００のユーザであれば、参加可能とするものである。

【0045】

図１２は他人残高交換処理の手順例を示すフローチャートである。他人残高交換処理は残高検証システム１００のユーザ間で他人の残高情報を交換する処理である。以下の説明では通信の契機を与えた端末をマスタ、マスタの通信相手の端末をスレーブと呼ぶ。説明の便宜上、マスタは端末１、スレーブは端末２とする。マスタの制御部１１はポーリングを行う（ステップＳ７１）。スレーブの制御部２１はポーリング信号を受信する（ステップＳ７２）。制御部２１はマスタへ応答する（ステップＳ７３）。制御部２１は、応答の信号に、他人残高を保有しているか否かの情報を含める。マスタの制御部１１は応答を受信する（ステップＳ７４）。制御部１１は他人残高情報を要求する否かを判定する（ステップＳ７５）。制御部１１はスレーブが他人残高情報を保有しているか否かを応答信号から判定する。制御部１１は、スレーブが他人残高情報を保有していれば要求すると判定し、スレーブが他人残高情報を保有していなければ要求しないと判定する。制御部１１は他人残高情報を要求しないと判定した場合（ステップＳ７５でＮＯ）、処理をステップＳ８１へ進める。制御部１１は他人残高情報を要求すると判定した場合（ステップＳ７５でＹＥＳ）、残高情報要求をスレーブへ送信する（ステップＳ７６）。スレーブの制御部２１は要求を受信する（ステップＳ７７）。制御部２１は他人残高ＤＢ２３２に記憶している他人残高情報をマスタへ送信する（ステップＳ７８）。なお、送信する他人残高情報に自らの残高情報を含めることは許されない。マスタの制御部１１は他人残高情報を受信する（ステップＳ７９）。制御部１１は他人残高情報を他人残高ＤＢ１３２に記憶する（ステップＳ８０）。受信した他人残高情報に、既に他人残高ＤＢ１３２に記憶してあるユーザの残高情報が含まれている場合、制御部１１は残高の日時を新しいものを残す。また、受信した他人残高情報を他人残高ＤＢ１３２に記憶する場合、受信日時を現在の値ではなく、受信した他人残高情報の受信日時を採用する。制御部１１はスレーブから受信した他人残高情報以外の他人残高情報を保有しているか否かを判定する（ステップＳ８１）。制御部１１は受信した他人残高情報以外の他人残高情報を保有していると判定した場合（ステップＳ８１でＹＥＳ）、受信した他人残高情報以外の他人残高情報をスレーブへ送信する（ステップＳ８２）。スレーブの制御部２１は他人残高情報を受信する（ステップＳ８３）。制御部２１は他人残高情報を他人残高ＤＢ２３２に記憶し（ステップＳ８４）、処理を終了する。記憶する他人残高情報の取捨はスレーブの場合と同様である。制御部１１は受信した他人残高情報以外の他人残高情報を保有していないと判定した場合（ステップＳ８１でＮＯ）、その旨をスレーブへ送信する（ステップＳ８５）。スレーブの制御部２１は、マスタが他人残高情報を保有していない旨を受信した場合（ステップＳ８６）、処理を終了する。

【0046】

端末はランダムな時間間隔で残高交換処理を行う。残高交換処理において、端末がマスタとなるかスレーブとなるかは、ポーリングを送信、又は、受信するタイミングによる。残高交換をしようとする端末が共にマスタ又はスレーブ状態では処理が行われないので、それをなるべく避けるため残高交換処理は、ランダムに実行することが望ましい。また、同じ端末の組み合わせで、繰り返し残高交換処理が行なわれないように、残高交換処理を行った履歴を、所定時間残しておき、直近に残高交換処理を行った端末同士では、再度、残高交換処理を行うことを抑止することが望ましい。

【0047】

すれ違いネットワークにより拡散された他人残高情報の信頼性と、常連ネットワークにより拡散された他人残高情報の信頼性とは、同等であると考えられる。したがって、すれ違いネットワークを運用する場合においても、災害時モードにおける残高検証処理、残高返信処理の内容は同様でよいと考えられる。

【0048】

災害時モードに切り替わった後に、各ユーザが最初に行う決済は、平常時モードで記憶された残高情報により検証するので、信頼性は高い。しかし、災害時モードでは信頼性下がる。災害時モードでは、決済システム４との通信はできないことから、ユーザが端末に記憶している残高の改ざんをしたとしても、発覚しにくいからである。さらに、第１ユーザが自らの残高を書き換え、書き換え後の残高をすれ違いネットワークにより拡散すれば、すれ違いネットワークからの残高情報により、当該第１ユーザの残高が正当であると、店舗端末３が判定してしまうおそれがある。そのような事態を避けるため、以下のようにする。端末１の他人残高ＤＢ１３２及び端末２の他人残高ＤＢ２３２において、残高情報の入手先列を設ける。入手先列には、他人残高の入手先として、店舗端末３であるか、他ユーザの端末であるかの入手先情報を記憶する。そして、残高返信処理において、端末２が店舗端末３へ送信する他人残高情報に、入手先情報を含める。店舗端末３が行う残高検証処理における判定において、第１ユーザの残高が正当であるか否かを判定する際、申告された残高が、入手先が他ユーザの端末とされている残高と一致又は差が小さく、入手先が店舗端末３とされている残高より大きい場合、残高が改ざんされたおそれがあるとして、決済は許可しないとする。このような仕組みを採用することにより、災害時モードに切り替わった後の２回目以降の決済であっても、残高検証システム１００は的確に、ユーザ残高の正当性を判定することが可能となる。

【0049】

災害時モードには、すれ違いネットワークの運用を停止してもよい。すなわち、災害時モードでは、他人残高交換処理は実行しない。災害時モードでは、決済後のユーザの残高情報の配信は店舗端末３のみとする。それよって、ユーザが残高を改ざんし、改ざん結果をすれ違いネットワークで配信することにより、不正な残高を正当であるかのように偽装する行為を抑止することが可能となる。

【0050】

（モード切替）
残高検証システム１００において、平常時モードから災害時モードへの切替を適切に行うことは重要である。平常時モードと災害時モードとでは、店舗端末３が行う電子決済処理が異なるからである。ユーザ等が手動にて適切にモードを切り替えることが望ましい。以下に、各機器が自律的にモードを切り替える動作について説明する。

【0051】

店舗端末３は、決済システム４との通信障害が発生した場合に、平常時モードから災害時モードへ切り替える。災害以外の理由で通信障害が発生する可能性があるので、発生後、更に所定時間（例えば１時間）を経過したときに、災害時モードに切り替えてもよい。

【0052】

災害時モードに切り替わっている店舗端末３が端末（端末１及び端末２）と通信する場合、店舗端末３は通信の冒頭で、端末のモードを問い合わせる。端末から平常時モードで動作していると返答があった場合、通信や決済を拒否する。また、店舗端末３からの指示により、端末のモードを強制的に災害時モードへ切り替えてもよい。なお、店舗端末３及び端末は、災害時モードに切り替わった日時（切替日時）を記憶するものとする。

【0053】

（その他の処理）
以上に説明した以外の処理について、説明する。図１３は削除処理の手順例を示すフローチャートである。削除処理は平常時モードにおいて、端末が行う処理である。削除処理は古い他人残高情報を削除する処理である。以下の説明では端末１が実行する場合について説明する。端末１の制御部１１は他人残高ＤＢ１３２に記憶された１レコードを処理対象として選択する（ステップＳ９１）。制御部１１は選択したレコードの日時列の日時と現在日時とを対照し、選択したレコードが削除対象か否かを判定する（ステップＳ９２）。選択したレコードの日時から、所定期間（例えば、半日から１日）以上経過している場合、制御部１１は削除対象と判定する。選択したレコードの日時から、所定期間は経過していない場合、制御部１１は削除対象でないと判定する。制御部１１は、選択したレコードが削除対象ではないと判定した場合（ステップＳ９２でＮＯ）、処理をステップＳ９４に進める。制御部１１は、選択したレコードが削除対象であると判定した場合（ステップＳ９２でＹＥＳ）、選択したレコードを削除する（ステップＳ９３）。制御部１１は、未処理のレコードが有るか否かを判定する（ステップＳ９４）。制御部１１は、未処理のレコードが有ると判定した場合（ステップＳ９４でＹＥＳ）、処理をステップＳ９１に戻し、未処理のレコードについての処理を行う。制御部１１は、未処理のレコードがないと判定した場合（ステップＳ９４でＮＯ）、処理を終了する。削除対象とするか否かの判定は、日時列に記憶した日時をもとに行うとしたが、受信日時列に記憶した日時を用いてもよい。いずれか一方の日時のみを用いてもよいし、両方の日時を用いてもよい。なお、削除処理は１日１回など、所定タイミングで繰り返し実行される。

【0054】

図１４は残高受信処理、又は、他人残高交換処理の一部の処理を示すフローチャートである。図１４に示す処理は、端末において、他人残高ＤＢ１３２、２３２のレコード数を抑制する目的で行なわれる処理である。図１４に示す処理を実行する場合、残高受信処理において、ステップＳ２４とステップＳ２５との間に実行する。また、他人残高交換処理において、ステップＳ７９とステップＳ８０との間、及び、ステップＳ８３とステップＳ８４との間に実行する。以下の説明では端末１が実行する場合を説明する。制御部１１はステップＳ２４でＹＥＳの場合、又は、ステップＳ７９若しくはステップＳ８３を実行後、容量オーバーであるか否かを判定する（ステップＳ１０１）。例えば、他人残高ＤＢ１３２には最大レコード数、最大記憶容量等が予め設定されている。制御部１１は最大レコード数、最大記憶容量等を参照して、新たな他人残高情報を他人残高ＤＢ１３２に記憶可能か否かを判定する。新たな他人残高情報を他人残高ＤＢ１３２には記憶できない場合、制御部１１は容量オーバーであると判定する。新たな他人残高情報を他人残高ＤＢ１３２には記憶できる場合、制御部１１は容量オーバーでないと判定する。制御部１１は容量オーバーであると判定した場合（ステップＳ１０１でＹＥＳ）、他人残高ＤＢ１３２のレコードを残高列の値により、昇順にソートする（ステップＳ１０２）。制御部１１は、他人残高ＤＢ１３２のレコードを削除するか否かを判定する（ステップＳ１０３）。制御部１１は、記憶しようとしている他人残高情報の残高の値が、他人残高ＤＢ１３２における残高の最小値より小さいか否かを判定する。例えば、制御部１１は、記憶しようとしている他人残高情報の残高の値が、他人残高ＤＢ１３２における残高の最大値より小さい場合、他人残高ＤＢ１３２のレコードを削除すると判定し、記憶しようとしている他人残高情報の残高の値が、他人残高ＤＢ１３２における残高の最大値を超えている場合、他人残高ＤＢ１３２のレコードを削除しないと判定する。制御部１１は、他人残高ＤＢ１３２のレコードを削除すると判定した場合（ステップＳ１０３でＹＥＳ）、他人残高ＤＢ１３２において、残高の最大値を持つレコードを削除する（ステップＳ１０４）。制御部１１は、制御部１１は容量オーバーでないと判定した場合（ステップＳ１０１でＮＯ）、又は、他人残高ＤＢ１３２のレコードを削除しないと判定した場合（ステップＳ１０３でＮＯ）、ステップＳ２５、又は、ステップＳ８０若しくはステップＳ８４以降を実行する。なお、新たに記憶しようとしている他人残高情報のレコード数が複数の場合、制御部１１はステップＳ１０３を繰り返し実行する。また、ステップＳ１０１では、新たに記憶するレコード数を加味した判定を、制御部１１は行う。ステップＳ１０４にて、残高が最大値のレコードを削除するのは、残高が大きいほど、残高を超過した額の買い物をしてしまう可能性が高く、残高が小さいほど、残高を超過した額の買い物をしてしまう可能性が低いからである。

【0055】

（他人残高の暗号化）
端末２に記憶する第１ユーザの残高情報は、第２ユーザは参照できないよう、制御プログラム２Ｐは設計するが、秘匿性をためるために、第１ユーザの残高情報を暗号化して、他人残高ＤＢ２３２に記憶してもよい。例えば、暗号化に公開鍵暗号方式を用いる。残高配信処理において、店舗端末３の制御部３１は、残高検証システム１００の公開鍵を用いて、第１ユーザの残高情報を暗号化し、暗号化した残高情報を端末２に送信する。端末２の制御部２１は暗号された残高情報を受信し、それを他人残高ＤＢ２３２に記憶する。なお、第１ユーザのユーザＩＤは暗号化の対象とはしない。残高返信処理において、制御部２１は指定されたユーザＩＤと対応付けられ、暗号化された残高情報を他人残高ＤＢ２３２から読み出し、店舗端末３へ送信する。店舗端末３は残高検証処理において、残高検証システム１００の秘密鍵を用いて、残高情報を復号する。

【0056】

本実施の形態は、以下の効果を奏する。ユーザは、災害発生直前の電子決済サービスにおける残高（チャージ残高、利用可能額）を、交換しておくことにより、災害発生後において、残高を互いに検証、保証することが可能になる。そして、ユーザは、決済システム４が機能していない状況においても、店舗端末３にて電子決済を受け、商品・サービスの購入が可能となる。一方、店舗においては、残高が正当であると保証されたユーザにのみ、電子決済にて、商品・サービスの代金決済を行う。それにより、決済システム４が復旧したのちに、決済金額を請求した場合に、ユーザの残高不足を理由に請求が拒否されるリスクを下げることが可能となる。店舗端末３にて電子決済を許可する否かの判定は、残高が不正に増えていないか否かのみの判定となるので、残高以外のデータ（取引履歴、年齢、職業などの与信データ）を用いて判定する場合と比べて、やり取りをするデータ量の削減、使用する電池量を削減することが可能となる。

【0057】

（復旧後の処理）
災害が復旧し、決済システム４の利用が可能となった場合の復旧処理について説明する。まず、復旧処理に用いるデータベースについて説明する。図１５は店舗端末が記憶する取引履歴ＤＢの例を示す説明図である。取引履歴ＤＢ３３３は店舗端末３の補助記憶部３３に記憶される。取引履歴ＤＢ３３３は災害時モードにおいて電子決済した履歴を記憶する。取引履歴ＤＢ３３３はサービスコード列、ユーザＩＤ列、日時列、申告残高列、保証残高列、結果列、及び、決済金額列を含む。サービスコード列は電子決済サービスを特定するコードやＩＤを記憶する。ユーザＩＤ列はユーザＩＤを記憶する。日時列は決済した日時を記憶する。申告残高列は決済実行前にユーザから受信したユーザの残高を記憶する。保証残高列は残高検証処理により判定したユーザの残高を記憶する。結果列は決済可否の判定結果を記憶する。決済金額列は決済金額を記憶する。決済を不許可とした場合、決済金額列の値はＮＵＬＬや０とする。

【0058】

図１６は端末が記憶する取引履歴ＤＢの例を示す説明図である。取引履歴ＤＢ１３４は端末１の補助記憶部１３に記憶される。取引履歴ＤＢ１３４は災害時モードにおいて電子決済した履歴を記憶する。取引履歴ＤＢ１３４と同様な取引履歴ＤＢ２３４が端末２の補助記憶部２３にも記憶される。取引履歴ＤＢ１３４は店舗ＩＤ列、サービスコード列、日時列、申告残高列、結果列、決済金額列及び残高列を含む。店舗ＩＤ列は決済した店舗を一意に特定可能な店舗ＩＤを記憶する。サービスコード列は電子決済サービスを特定するコードやＩＤを記憶する。日時列は決済した日時を記憶する。申告残高列は決済実行前に店舗端末３へ送信した残高を記憶する。結果列は決済可否の結果を記憶する。決済金額列は決済金額を記憶する。決済を不許可とした場合、決済金額列の値はＮＵＬＬや０とする。残高列は決済後の金額を記憶する。

【0059】

取引履歴ＤＢ３３３、取引履歴ＤＢ１３４は、災害時モードに切り替わった後にレコードが追加され、災害時モードが終了するとレコードの追加が停止する。取引履歴ＤＢ３３３、取引履歴ＤＢ１３４とは別に、平常時モードに使用される取引履歴ＤＢを端末１及び端末２並びに店舗端末３は有している。災害時モードでの取引履歴は、取引履歴ＤＢ３３３、取引履歴ＤＢ１３４のみ記憶し、復旧後に、平常時モードに使用される取引履歴ＤＢに転送してよいし、取引履歴ＤＢ３３３、取引履歴ＤＢ１３４と平常時モードに使用される取引履歴ＤＢとで二重に記憶してもよい。

【0060】

図１７は復旧処理の手順例を示すフローチャートである。決済システム４は店舗端末３に対して、災害時モードであった期間中の取引履歴を要求する（ステップＳ１１１）。店舗端末３の制御部３１は要求を受信する（ステップＳ１１２）。制御部３１は取引履歴ＤＢ３３３に記憶した取引履歴を決済システム４へ送信する（ステップＳ１１３）。決済システム４は取引履歴を受信する（ステップＳ１１４）。決済システム４は受信した取引履歴を記憶する（ステップＳ１１５）。決済システム４はすべての店舗端末３からの取引履歴の受信が完了したか否かを判定する（ステップＳ１１６）。決済システム４は取引履歴の受信が完了していないと判定した場合（ステップＳ１１６でＮＯ）、処理をステップＳ１１４に戻す。決済システム４は取引履歴の受信が完了したと判定した場合（ステップＳ１１６でＹＥＳ）、記憶した取引履歴に含まれるユーザを抽出する（ステップＳ１１７）。決済システム４は、抽出したユーザの端末１へ取引履歴の要求を行う（ステップＳ１１８）。ここでは、ユーザの端末を端末１で代表させている。端末１の制御部１１は要求を受信する（ステップＳ１１９）。制御部１１は取引履歴ＤＢ１３４に記憶した取引履歴を決済システム４へ送信する（ステップＳ１２０）。決済システム４は取引履歴を受信する（ステップＳ１２１）。決済システム４は受信した取引履歴を記憶する（ステップＳ１２２）。決済システム４はＳ１１７で抽出したすべてユーザの端末１からの取引履歴の受信が完了したか否かを判定する（ステップＳ１２３）。決済システム４は取引履歴の受信が完了していないと判定した場合（ステップＳ１２３でＮＯ）、処理をステップＳ１２１に戻す。決済システム４は取引履歴の受信が完了したと判定した場合（ステップＳ１２３でＹＥＳ）、店舗端末３から受信した取引履歴と、端末１から受信した取引履歴とが、整合しているか否かの検証を行う（ステップＳ１２４）。決済システム４は整合の確認が取れた取引履歴についての決済を実行する（ステップＳ１２５）。決済システム４は店舗端末３と端末１へ結果を送信する（ステップＳ１２６）。店舗端末３の制御部３１は結果を受信する（ステップＳ１２７）。制御部３１は動作モードを平常時モードに戻し（ステップＳ１２８）、処理を終了する。端末１の制御部１１は結果を受信する（ステップＳ１２９）。制御部１１は動作モードを平常時モードに戻し（ステップＳ１３０）、処理を終了する。決済システム４から送信する結果には、決済した取引の合計金額や、データ不整合のために決済しなかった取引履歴を含めてもよい。また、決済しなかった取引履歴について、損害保険で補填する場合、当該取引履歴情報を、決済システム４が損害保険会社に送付してもよい。

【0061】

残高検証システム１００は、決済が行なわれる毎に、第１ユーザの残高が減っていくことを利用して、第１ユーザから申告された残高が、第２ユーザが記憶する第１ユーザの残高よりも上回っているか否かにより、残高の検証を行う。そのため、災害時モードにおいては、プリペイド型の電子決済サービスでは、残高を増加させるチャージ機能は無効とする。

【0062】

なお、チャージ機能を有効とする場合は、一度にチャージできる最大額をなるべく小さな額とするのが望ましい。そして、申告残高の正当性の判定において、申告残高が比較対象とする回収残高の値を超えていたとしても、チャージできる最大額を加味して、その幅が小さいとみなせる場合は、残高は正当であると判定し、決済を許可してもよい。残高が配信された後に、チャージによりチャージ残高が増加、又は、利用可能額が増加することも有るからである。

【0063】

（自動販売機での利用）
残高検証システム１００は、電子決済を行う自動販売機でも構成可能である。上述の実施の形態において、店舗端末３が行う残高配信処理、残高検証処理を自動販売機が行う。ただし、自動販売機は店舗と比較して不特定多数が利用すると考えられるため、残高配信処理では、常連であるか否かの判定は行なわない。自動販売機は相手先を限定せずに、残高情報を配信する。

【0064】

（すれ違いネットワークの拡張）
上述のすれ違いネットワークでは、ユーザの端末間で残高情報の交換を行ったが、より多くのユーザが残高を共有し合えるように、仲介する機器を採用する。例えば、交通信号機、又は、電柱等に、通信機を取り付け、残高情報の配信、検証を行う。通信機は図１２に示した他人残高交換処理を、マスタとして、又は、スレーブとして、端末と行う。なお、通信機は自らの残高情報を持たない前提であるから、保有する残高情報を全て他人残高情報として端末へ送信する。

【0065】

図１８は通信機のハードウェア構成例を示すブロック図である。通信機５は制御部５１、主記憶部５２、補助記憶部５３、通信部５４及び近距離通信部５５を含む。各部はバスＢにより接続されている。

【0066】

制御部５１は、一又は複数のＣＰＵ、ＭＰＵ、ＧＰＵ等の演算処理装置を有する。制御部５１は、補助記憶部５３に記憶された制御プログラム５Ｐ（プログラム、プログラム製品）を読み出して実行することにより、種々の情報処理、制御処理等を行い、各種の機能部を実現する。

【0067】

主記憶部５２は、ＳＲＡＭ、ＤＲＡＭ、フラッシュメモリ等である。主記憶部５２は主として制御部５１が演算処理を実行するために必要なデータを一時的に記憶する。

【0068】

補助記憶部５３はハードディスク又はＳＳＤ等であり、制御部５１が処理を実行するために必要な制御プログラム５Ｐや各種ＤＢを記憶する。補助記憶部５３は、残高ＤＢ５３１を記憶する。残高ＤＢ５３１のレコードレイアウトは第１端末１が備える他人残高ＤＢ１３２と同様である。補助記憶部５３は通信機５と別体であって、外部接続された外部記憶装置であってもよい。

【0069】

通信部５４はネットワークＮを介して、店舗端末３等と通信を行う。制御部５１が通信部５４を用い、ネットワークＮ等を介して他のコンピュータから制御プログラム５Ｐをダウンロードし、補助記憶部５３に記憶してもよい。

【0070】

近距離通信部５５は、ＮＦＣ規格、Ｂｌｕｅｔｏｏｔｈ（登録商標）規格、赤外線通信規格、ＷｉＦｉ（登録商標）規格などにしたがった通信を行う。制御部５１は近距離通信部５５を介して、端末とＰ２Ｐの通信を行う。

【0071】

図１９は残高交換処理の手順例を示すフローチャートである。図１９において、端末は第１端末１でも第２端末２でもよいが、以下の説明では第１端末１であるとして説明する。通信機５の制御部５１はポーリングを行う（ステップＳ１４１）。第１端末１の制御部１１はポーリング信号を受信する（ステップＳ１４２）。制御部１１は通信機５へ応答する（ステップＳ１４３）。制御部１１は、応答信号に、他人残高を保有しているか否かの情報を含める。通信機５の制御部５１は応答を受信する（ステップＳ１４４）。制御部５１は他人残高情報を要求する否かを判定する（ステップＳ１４５）。制御部５１は第１端末１が他人残高情報を保有しているか否かを応答信号から判定する。制御部１１は、応答信号が他人残高情報の保有を示していれば要求すると判定し、応答信号が他人残高情報を保有していないことを示していれば要求しないと判定する。制御部５１は他人残高情報を要求しないと判定した場合（ステップＳ１４５でＮＯ）、処理をステップＳ１５２へ進める。制御部５１は他人残高情報を要求すると判定した場合（ステップＳ１４５でＹＥＳ）、残高情報要求を第１端末１へ送信する（ステップＳ１４６）。第１端末１の制御部１１は要求を受信する（ステップＳ１４７）。制御部１１は他人残高ＤＢ１３２に記憶している他人残高情報を通信機５へ送信する（ステップＳ１４８）。なお、送信する他人残高情報に自らの残高情報を含めることは許されない。通信機５の制御部５１は他人残高情報を受信する（ステップＳ１４９）。制御部５１は受信した他人残高情報と、残高ＤＢ５３１に記憶してある残高情報とをユーザＩＤを用いて対照し、古い方の残高情報を破棄する（ステップＳ１５０）。制御部５１は他人残高情報を残高ＤＢ５３１に記憶する（ステップＳ１５１）。受信した残高情報を残高ＤＢ５３２に記憶する場合、受信日時を現在の値ではなく、受信した残高情報の受信日時を採用する。制御部５１は第１端末１へ送信すべき残高情報を保有しているか否かを判定する（ステップＳ１５２）。制御部５１は第１端末１から受信した他人残高情報以外の残高情報、又は、受信した他人残高情報よりも新しい残高情報が１つでもあれば、送信すべき残高情報を保有していると判定する。制御部５１は送信すべき残高情報を保有していると判定した場合（ステップＳ１５２でＹＥＳ）、送信すべき残高情報を選択する（ステップＳ１５３）。制御部５１は選択した残高情報を第１端末１へ送信する（ステップＳ１５４）。第１端末１の制御部１１は他人残高情報を受信する（ステップＳ１５５）。第１端末１の制御部１１は他人残高情報を他人残高ＤＢ１３２に記憶し（ステップＳ１５６）、処理を終了する。制御部５１は送信すべき残高情報を保有していないと判定した場合（ステップＳ１５２でＮＯ）、その旨を第１端末１へ送信する（ステップＳ１５７）。第１端末１の制御部１１は、通信機５が他人送信すべき残高情報を保有していない旨を受信し（ステップＳ１５８）、処理を終了する。なお、通信機５は店舗端末３から、エンドユーザの残高情報を受信し、残高ＤＢ５３１に記憶してもよい。

【0072】

図２０は残高検証処理の他の手順例を示すフローチャートである。当該残高検証処理は、図１０に示した処理と同様に、災害時モードにおいて行なわれる処理である。店舗に来店した第１ユーザは購入代金の支払いとして、電子決済を要求する。端末１の制御部１１は店舗端末３へ決済要求を送信する。決済要求には、ユーザＩＤ、残高、サービスコード（必須ではない、以下同様。）が含まれている。店舗端末３の制御部３１は要求を受信する（ステップＳ１７１）。制御部３１は検証要求を通信機５へ送信する（ステップＳ１７２）。検証要求には少なくともユーザＩＤ、残高が含まれている。通信機５の制御部５１は検証要求を受信する（ステップＳ１７３）。制御部５１はポーリングを行う（ステップＳ１７４）。ポーリングとして送信する信号には第１ユーザのユーザＩＤ、サービスコードが含まれている。制御部５１はインターバルタイマを開始する（ステップＳ１７５）。制御部５１は残高情報を受信したか否かを判定する（ステップＳ１７６）。制御部５１は残高情報を受信していないと判定した場合（ステップＳ１７６でＮＯ）、処理をステップＳ１７８へ移す。制御部５１は残高情報を受信したと判定した場合（ステップＳ１７６でＹＥＳ）、残高情報を補助記憶部５３等に設けた一時記憶領域に記憶する（ステップＳ１７７）。制御部５１はタイムアウトであるか否かを判定する（ステップＳ１７８）。制御部５１はタイムアウトでないと判定した場合（ステップＳ１７８でＮＯ）、処理をステップＳ１７６へ戻す。制御部５１はタイムアウトであると判定した場合（ステップＳ１７８でＹＥＳ）、インターバルタイマを停止する（ステップＳ１７９）。制御部５１は一時記憶領域に記憶した回収残高と、申告残高とを対照し、申告残高が正当であるか否か、決済を許可するか否かを判定する（ステップＳ１８０）。判定方法は上述した方法と同様である。制御部５１は申告残高が正当であり、決済金額を上回っている場合、制御部５１は許可と判定し、それ以外は許可しないと判定する。制御部５１は判定結果を店舗端末３へ送信する（ステップＳ１８１）。店舗端末３の制御部３１は判定結果を受信する（ステップＳ１８２）。制御部３１は判定結果が許可であるか否かを判定する（ステップＳ１８３）。制御部３１は判定結果が許可であると判定した場合（ステップＳ１８３でＹＥＳ）、決済を行い（ステップＳ１８４）、処理を終了する。なお、決済を行う機器が、ＰＯＳレジなど他の機器である場合は、当該機器へ決済指示を送信する。決済指示には決済情報（ユーザＩＤ、申告残高、決済金額、サービスコード等）を含める。制御部３１は判定結果が許可しないであると判定した場合（ステップＳ１８３でＮＯ）、その旨のメッセージを表示パネル３６に出力し（ステップＳ１８５）、処理を終了する。

【0073】

（常連ネットワークの広域化）
上述において、常連ネットワークを利用した残高情報の配信、検証情報の回収は、店舗端末３が近距離無線通信で行うため、配信及び回収可能な地理的範囲が限定される。そこで、店舗端末３以外の端末の利用することにより、範囲の広域化を行う。例えば、上述した通信機５を交通信号機、又は、電柱等に取り付け、残高情報の配信、検証情報の回収を行ってもよい。通信機５が取り付け対象となるのは、人通りがある場所に設置され、電源供給が容易な設置物である。当該通信機５は、店舗端末３、並びに第１端末１及び第２端末２（ユーザ端末）と通信可能である。通信機５と店舗端末３との通信は、有線又は無線のいずれでも構わないが、データの改ざんを防ぐため、暗号化通信することが望ましい。また、通信機５と第１端末１及び第２端末２との通信は、暗号化された近距離無線通信を想定するが、それに限らない。

【0074】

通信機５の動作について説明する。図８に示した残高配信処理において、店舗端末３は通信機５へ、残高情報（残高、第１ユーザのユーザＩＤ、及び、残高の更新日時）を送信し、配信依頼を行う。通信機５は残高情報の配信を行う。このとき、図８と同様にポーリングを行い、常連ユーザにのみに残高情報を配信してもよいが、そのためには、店舗端末３が備える常連ＤＢ３３１を通信機が備える必要がある。又は、通信機５は、応答したユーザが常連ユーザであるか否かを店舗端末３へ問い合わせすることが必要となる。通信機５の記憶容量を節約し、又は、通信機５と店舗端末３との通信量を減らすために、配信先を常連ユーザの端末に限らなくともよい。そのようなとき、通信機５は相手先を限定せずに、残高情報を配信する。また、通信機５は、所定時間が経過するまで、繰り返し配信を行ってもよい。

【0075】

各実施の形態で記載されている技術的特徴（構成要件）はお互いに組み合わせ可能であり、組み合わせすることにより、新しい技術的特徴を形成することができる。
今回開示された実施の形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

【0076】

以上の実施の形態に関し、さらに以下の付記を開示する。

【0077】

（付記１３）
ユーザ端末、及び、該ユーザ端末と通信可能な端末、と通信可能なコンピュータが、
第１ユーザを特定するための識別情報、残高、及び、日時を含む検証情報を前記第１ユーザの端末装置から取得し、
取得した検証情報を前記第１ユーザとは異なる他の複数のユーザの端末装置へ出力し、
前記第１ユーザの決済時に前記第１ユーザの端末装置から新たに取得した検証情報、及び、他の複数のユーザの端末装置から近距離無線通信により取得した検証情報に基づき、決済を許可するか否かを判定する
処理を行うことを特徴とする情報処理方法。

【0078】

（付記１４）
施設に設けられた決済端末と、決済を行うサーバとの間の通信障害が生じている場合に、判定処理を行う
ことを特徴とする付記１３に記載の情報処理方法。

【符号の説明】

【0079】

１００ 残高検証システム
１ 第１端末、端末
１１ 制御部
１２ 主記憶部
１３ 補助記憶部
１３１ 残高ＤＢ
１３２ 他人残高ＤＢ
１３３ ユーザＩＤ
１３４ 取引履歴ＤＢ
１４ 通信部
１５ 近距離通信部
１６ 表示パネル
１７ 操作部
１Ｐ 制御プログラム
２ 第２端末、端末
２１ 制御部
２２ 主記憶部
２３ 補助記憶部
２３１ 残高ＤＢ
２３２ 他人残高ＤＢ
２３３ ユーザＩＤ
２３４ 取引履歴ＤＢ
２４ 通信部
２５ 近距離通信部
２６ 表示パネル
２７ 操作部
２Ｐ 制御プログラム
３ 店舗端末
３１ 制御部
３２ 主記憶部
３３ 補助記憶部
３３１ 常連ＤＢ
３３２ 残高ＤＢ
３３３ 取引履歴ＤＢ
３４ 通信部
３５ 近距離通信部
３６ 表示パネル
３７ 操作部
３Ｐ 制御プログラム
４ 決済システム
５ 通信機
５１ 制御部
５２ 主記憶部
５３ 補助記憶部
５３１ 残高ＤＢ
５３２ 残高ＤＢ
５４ 通信部
５５ 近距離通信部
５Ｐ 制御プログラム
Ｂ バス
Ｎ ネットワーク

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】