CN105359179B

CN105359179B - 移动令牌化枢纽

Info

Publication number: CN105359179B
Application number: CN201480038080.8A
Authority: CN
Inventors: T·A·拉杰; C·弗卢夏姆; K·萨博拉马尼安; B·格林; P·拉克斯米娜拉亚南
Original assignee: Visa International Service Association
Current assignee: Visa International Service Association
Priority date: 2013-05-15
Filing date: 2014-05-15
Publication date: 2019-12-10
Anticipated expiration: 2034-05-15
Also published as: BR112015028628A2; US9978062B2; US20140344153A1; EP2997532A1; SG10202008740YA; AU2014265291B2; AU2014265291A1; US20180247303A1; HK1219163A1; KR20160008619A; KR102058175B1; US11861607B2; SG10201709411RA; WO2014186635A1; EP2997532A4; CA2912695A1; CN105359179A; US20220270086A1; SG11201509386UA; US11341491B2

Abstract

本发明的各实施例涉及用于借助于可以在各种上下文中为各种实体提供令牌化的公共令牌化能力(CTC)模块实现移动令牌化枢纽的系统和方法。例如，CTC模块可以提供和存储用于为移动支付交易、交通交易、数字钱包应用、商家销售点(POS)应用、个性化服务等等的令牌。

Description

移动令牌化枢纽

对相关申请的交叉引用

本申请是于2013年5月15日提交的标题为“移动令牌化枢纽”的美国临时申请第61/823,836号的非临时申请并主张其优先权，该临时申请出于所有目的通过引用整体合并于此。

背景

本发明的各实施例涉及围绕在使用不同设备的多个支付通道上的令牌的产生、使用、管理和协议，且尤其涉及移动令牌化枢纽(tokenization hub)。

日益使用各种不同的通道做出支付，包括诸如移动设备之类的非传统支付通道。与此同时，安全和PCI兼容性问题已经驱动采用令牌和令牌化来限制敏感数据的暴露(例如，在商家系统处和/或在因特网上)。

不同的支付通道可以支持不同类型的移动设备，且不同的移动设备可以支持不同类型的令牌。另外，现有的支付基础设施和交易实体(例如，受让方 (acquirer)、发卡机构(issuer)、商家等等)可能要求或期望具体类型的支付数据以便处理交易。然而，现有系统并未充分考虑移动设备和支付基础设施中的这些差异，以便允许有效使用和管理不同类型。

本发明的各实施例个别地和共同地解决这些问题和其他问题。

概述

本发明的各实施例涉及用于借助于可以在多种不同实体之间出于多种不同目提供公共令牌化的公共令牌化能力(CTC)模块(或系统)实现移动令牌化枢纽(也被称为“令牌化云”或“令牌化云”(VTC))的系统和方法。例如，CTC模块可以提供和存储用于移动支付交易、转账交易、数字钱包应用、商家销售点(POS)应用、个性化服务、账户和令牌管理系统等等的令牌。

根据本发明的一种实施例的一种方法包括接收来自移动设备的令牌请求。该方法进一步包括标识与令牌请求相关联的设备信息并确定对应于设备信息令牌的类型。该方法进一步包括发送对令牌类型的请求；接收具有所请求的类型的令牌；以及向移动设备返回令牌。

根据本发明的一种实施例的一种系统包括与一个或多个移动设备和 CTC模块通信的移动令牌化枢纽服务器计算机。移动令牌化枢纽服务器计算机包括处理器和包括存储在其上的指令的非暂态计算机可读存储介质，所述指令在由处理器执行时，引起处理器实现以下方法：接收来自移动设备的令牌请求，标识与令牌请求相关联的设备信息，确定对应于设备信息令牌的类型。该方法进一步包括把对令牌类型的请求发送到被配置为与移动令牌化枢纽服务器计算机通信的CTC模块；从CTC模块接收具有所请求的类型的令牌；以及向移动设备返回令牌。

本发明的进一步的实施例包括一种用于请求动态标识信息的方法。该方法包括从已注册系统接收对与令牌相关联的动态标识信息的请求并把令牌传输到包括将令牌转换成账户标识符的去令牌化模块的公共令牌化能力模块。该方法进一步包括从去令牌化服务接收账户标识符，把账户标识符传输到支付处理网络以便产生动态标识信息，从支付处理网络接收动态标识信息；以及把动态标识信息传输到已注册系统。

根据一种实施例，令牌化提供多种优点，包括充当敏感信息的附加安全层，例如PAN，且实际上变成对PAN的替代品。由于安全漏洞变得更猖獗，具有对PAN数据的替代品已经变得日益重要。如果包括了PAN，则通常要求用户开设新的账户、迁移账户设置、等待接收新的支付卡等等。然而，如果令牌受到危害，则可以替换令牌而不会影响消费者体验。另外，通过处理令牌而不是敏感数据，令牌化也用于通过允许商家存储PAN的代理来减轻商家系统的PCI兼容性负担。

另外，集中提供令牌化服务可以简化和标准化跨越各种不同的系统和移动设备使用和提供令牌，包括用于安全元件(SE)和非安全(非SE)元件移动支付实现两者。

下面进一步详细描述本发明的这些实施例和其他实施例。

附图简述

图1示出根据本发明的一种实施例的系统的概览。

图2示出根据本发明的一种实施例的移动令牌化枢纽和公共令牌能力模块的框图。

图3示出根据本发明的一种实施例的令牌产生和预设的示例过程。

图4示出根据本发明的一种实施例的令牌产生和预设的过程。

图5示出根据本发明的一种实施例为不同类型的移动设备预设令牌的方法。

图6示出根据本发明的一种实施例的安全元件(SE)和静态令牌激活流。

图7示出根据本发明的一种实施例的令牌激活的序列图。

图8示出根据本发明的一种实施例的安全元件(SE)和静态令牌激活流。

图9示出根据本发明的一种实施例的令牌产生的序列图。

图10示出根据本发明的一种实施例的令牌更新的序列图。

图11示出根据本发明的一种实施例的非安全元件(非SE)和动态令牌用户/账户注册流。

图12示出根据本发明的一种实施例的用户/账户注册流的序列图。

图13示出根据本发明的一种实施例的非安全元件(非SE)和动态令牌产生流。

图14示出根据本发明的一种实施例的非安全元件(非SE)和动态令牌产生流。

图15示出根据本发明的一种实施例的非安全元件(非SE)和动态令牌产生流。

图16示出根据本发明的一种实施例为令牌产生动态标识信息的方法。

图17示出根据本发明的一种实施例确定令牌存在于移动设备上的方法。

图18示出根据在此提供的一些实施例的系统的框图。

图19示出根据一些实施例包括服务器计算机的示例性系统的框图。

图20示出根据一些实施例的金融交易的示例图。

图21示出根据在此提供的一些实施例的示例性移动设备。

图22示出根据一些实施例的以卡的形式的示例性支付设备。

图23示出子系统或组件的示例。

详细描述

下列的本公开内容可以提供用于实施金融交易和相关活动的示例性系统、设备和方法。尽管在下面的示例中可以对这样的金融交易做出引用，但各实施例不限于此。即是说，在此描述的系统、方法和装置可以用于任何合适的目的。

I.定义

在讨论特定的实施例和示例之前，下面提供本文使用的术语的一些描述。

在此所使用的“接入设备”可以是用于与商家计算机或支付处理网络通信且用于与支付设备、用户计算机装置和/或用户移动设备交互的任何合适的设备。接入设备可以通常位于任何合适的位置，例如在商家的位置处。接入设备可以按照任何合适的形式。接入设备的一些示例包括POS设备、蜂窝电话、PDA、个人计算机(PC)、平板PC、手持式专用读取器、机顶盒、电子收银机(ECR)、自动柜员机(ATM)、虚拟收银机(VCR)、信息亭(kiosk)、安全系统、接入系统、网站等等。接入设备可以使用任何合适的接触或非接触操作模式来向支付设备和/ 或用户移动设备发送或从其接收数据，或者与支付设备和/或用户移动设备相关联。在一些实施例中，在接入设备可以包括POS终端的场合，可以使用任何合适的POS 终端，且POS终端可以包括读取器、处理器和计算机可读介质。读取器可以包括任何合适的接触或非接触操作模式。例如，示例性读卡器可以包括与支付设备和/ 或移动设备交互的射频(RF)天线、光学扫描仪、条形码读取器或磁条读取器。

在此所使用的“授权系统(authorization system)”可以是指可利用信息来确定交易为欺诈的概率或可能性的系统、设备或设备的组件。尽管在本公开内容的各部分中可以与“授权系统”分开地提及术语“商家处理器(merchant processor)”，但在一些实施例中它们可以包括可以执行基本相同的功能的一个相同的系统或多个系统，但相对于系统的不同组件(例如向商家或发卡机构提供信息)而执行。在一些实施例中，授权系统可以通过产生“风险分数”来量化欺诈交易的概率或可能性。在一些实施例中，授权系统可以批准或拒绝交易。在授予Bruesewitz等人的、题为“用于提供与交易处理有关的风险信息的方法和系统”的美国专利第7,809,650 号(其通过引用整体纳入于此)中提供了授权系统的示例实现。应理解，各实施例不限于此。

“授权请求消息”可以是发送给支付处理网络和/或支付卡的发卡机构以便请求交易的授权的电子消息。根据一些实施例的授权请求消息可以遵循ISO 8583，ISO 8583是用于交换与消费者使用支付设备或支付账户做出的支付相关联的电子交易信息的系统的标准。授权请求消息可以包括可以与支付设备或支付账户相关联的发卡机构账户标识符。授权请求消息也可以包括对应于“标识信息”的额外数据元素，仅作为示例，包括：服务代码、CVV(卡验证值)、dCVV(动态卡验证值)、到期日期等等。授权请求消息也可以包括“交易信息”，例如与当前交易相关联的任何信息，例如交易额度、商家标识符、商家位置等等，以及可以用来判断是否标识和/或授权交易的任何其他信息。

“授权响应消息”可以是对由发卡金融机构或支付处理网络产生的授权请求消息的电子消息应答。仅作为示例，授权响应消息可以包括下列状态指示器中的一个或多个：批准——交易获得批准；拒绝——交易没有获得批准；或呼叫中心——挂起更多信息的响应，商家必须呼叫免费授权电话号码。授权响应消息也可以包括授权代码，授权代码可以是信用卡发卡银行响应于电子消息中的授权请求消息而返回(直接地或通过支付处理网络)给商家的接入设备(例如POS设备)的表示批准交易的代码。该代码可以充当授权的证明。如上所述，在一些实施例中，支付处理网络可以产生授权响应消息或将其转发给商家。

在此所使用的“通信通道”可以是指用于在两个或更多个实体之间通信的任何合适的路径。合适的通信通道可被直接呈现在两个实体(例如支付处理网络和商家或发卡机构计算机)之间，或者可以包括多个不同的实体。任何合适的通信协议都可以用于产生通信通道。在一些实例中，通信通道可以包括“安全通信通道”，可以按照任何已知的方式建立“安全通信通道”，包括使用相互认证和SSL会话的会话密钥和机构。然而，可以使用创建安全通道的任何方法。通过建立安全通道，可以在两个实体之间安全地传输与支付设备相关的敏感信息(例如账号、CVV值、到期日期等等)以便促进交易。

在此所使用的术语“包括”不预期是限制，但可以是与“包括有”、“包含”或“其特征在于”同义的过渡术语。术语“包括”可以从而是包含性的或开放式的，并且在权利要求中使用时，不排除另外的未陈述的要素或方法步骤。举例来说，在描述的方法时，“包括”表示该权利要求是开放式的，并且允许额外的步骤。在描述设备时，“包括”可以意指(多个)命名元素对一种实施例来说是必不可少的，但可以增加其他元件且仍能形成在权利要求的范围之内的构造。相反，过渡短语“由……组成”排除权利要求中未指定的任何元素、步骤或成分。这与在整个说明书中使用该术语是一致的。

在此所使用的“电子钱包”或“数字钱包”或“移动钱包”可以存储用户简档信息、支付信息(包括令牌)、银行账户信息和/或类似物且可以用于各种交易，例如但不限于用于零售支付、数字货物支付、工具支付、从游戏网站购买游戏或游戏积分、在用户之间转移资金和/或类似物的电子商务、社交网络、汇款/个人支付、移动商务、近端支付、游戏和/或类似物。

在此所使用的“标识信息”可以包括与账户(例如与账户相关联的支付账户和/或支付设备)相关联的任何合适的信息。这样的信息可以直接涉及账户，或者可以从与账户相关的信息导出。账户信息的示例可以包括PAN(主账号或“账号”)、用户名、到期日期、CVV(卡验证值)、dCVV(动态卡验证值)、CVV2 (卡验证值2)、CVC3卡验证值等等。CVV2通常被理解成是与支付设备相关联的静态验证值。CVV2值通常对用户(例如，消费者)可见，而CVV和dCVV值通常嵌入在存储器或授权请求消息中，且用户不容易知道(但它们对发卡机构和支付处理器来说是已知的)。

在此所使用的“移动设备”可以包括可以由用户携带或操作的任何电子设备，它也可以提供到网络的远程通信能力。远程通信能力的示例包括使用移动电话(无线)网络、无线数据网络(例如3G、4G或类似网络)、Wi-Fi、Wi-MAX 或可以提供对诸如因特网或私有网络之类的网络的接入的任何其他通信介质。移动设备的示例包括移动电话(例如蜂窝式电话)、PDA、平板计算机、网络书籍、膝上型计算机、个人音乐播放器、手持式专用读取器等等。移动设备可以包括用于执行这样的功能的任何合适的硬件和软件，且也可以包括多个设备或组件(例如，设备通过连接到另一设备而拥有对网络的远程访问权——即，把其他设备用作调制解调器——把两种设备一起认为是单个移动设备)。移动设备也可以包括以例如在移动设备和/或可以耦合到移动设备的一个或多个外部组件内的受保护硬件或软件组件形式的验证令牌。下面提供示例性移动设备的详细描述。

在此所使用的“在线购买”可以是经由诸如因特网之类的网络购买数字或物理货物或服务。

在此所使用的“支付账户”(可以与一个或多个支付设备相关联)可以是指任何合适的支付账户，包括信用卡账户、支票账户(checking account)或预付费账户。

在此所使用的“支付设备”可以是指可用来实施金融交易例如以便向商家提供支付信息的任何设备。支付设备可以以任何合适的形式。例如，合适的支付设备可以是手持式的和紧凑的，以使得它们可以装进消费者的钱包和/或口袋(例如，口袋大小)。它们可以包括智能卡、磁条卡、钥匙扣设备(例如可从Exxon-Mobil 公司商购的Speedpass^TM(快刷^TM))等等。支付设备的其他示例包括蜂窝式电话、个人数字助理(PDA)、传呼机、支付卡、安全卡、访问卡、智能介质、应答器、二维码、电子或数字钱包等等。如果支付设备是以借记卡、信用卡或智能卡的形式，则支付设备也可以可选地具有诸如磁条之类的特征。这样的设备可以以接触或非接触模式操作。下面描述示例性支付设备。

术语“交易数据”可以包括与一个或多个交易相关联的任何数据。在一些实施例中，交易数据可以仅仅包括账户标识符(例如，PAN)或支付令牌。替代地，在其他实施例中，交易数据可以包括所产生、存储与商家、消费者、账户相关联的任何信息或与交易相关的任何其他信息，或者与这样的信息相关联。例如，交易数据可以在包括响应于由消费者与商家启动启动的支付交易而产生的授权请求消息中的数据。替代地，交易数据可以包括与先前已经处理的一个或多个交易相关联的信息以及已经存储在商家数据库或其他商家计算机上的交易信息。交易数据可以包括与用来启动交易的支付设备相关联的账户标识符、消费者个人信息、所购买的产品或服务或可以涉及或适用于交易处理的任何其他信息。另外，交易信息可以包括支付令牌或可以用来完成交易并保护消费者的底层账户信息的其他令牌化或已屏蔽的账户标识符替代品。

在此所使用的“服务器计算机”是通常强大的计算机或计算机的群集。例如，服务器计算机可以是大型机、小型计算机群集或作为一个单元起作用的一组服务器。在一个示例中，服务器计算机可以是耦合到Web服务器的数据库服务器。参考图19中的支付处理网络26描述服务器计算机的示例。

在此所使用的“短距离通信”或“短距离无线通信”可以包括提供短距离接触或非接触通信能力的任何方法，例如RFID、蓝牙TM、红外或可以用来在支付设备和接入设备之间交换数据的其他数据传输能力。在一些实施例中，短距离通信可以与标准化协议或数据传输机制(例如，ISO 14443/NFC)一致。短距离通信通常包括少于2米的距离内的通信。在一些实施例中，出于安全、技术和/或实际的考虑，可能优选限制短距离通信的距离(例如限制为少于1米的距离、少于10 厘米的距离或少于2.54厘米的距离)。举例来说，可能不期望POS终端与在2米半径内的每一支付设备通信，这是因为那些支付设备中的每一个可能不涉及交易，或者这样的通信可能干扰涉及不同的金融交易设备的当前交易。通常，支付设备或接入设备也包用于确定冲突(即，在两个支付设备同时与接入设备通信的时候)解决的协议。当商家和消费者地理上紧邻时可以使用短距离通信，例如在消费者是出处于商家的营业场所时。

本发明的各实施例涉及用于借助于可以在各种上下文中向各种实体提供令牌化服务的公共令牌化能力(CTC)模块实现移动令牌化枢纽的系统和方法。例如，CTC模块可以产生和存储用于移动支付交易、转账交易、数字钱包应用、商家销售点(POS)应用、个性化服务或可以与令牌或令牌化关联、兼容或借助于其实现的任何其他服务的令牌。CTC模块可以与提供和/或消费令牌化服务的支付处理网络(PPN)系统和/或第三方系统连接并向其提供服务。移动令牌化枢纽可以包括服务层，该服务层可以与CTC模块连接或通信，以便管理令牌并向钱包提供商、发卡机构支付应用和/或PPN参考应用提供公共令牌化服务。

每一应用或实体可以使用为具体应用和/或用户、设备、实体和/或在其上传输令牌的支付通道而格式化或以另外方式定制的令牌。例如，可以与存储在不同的移动设备的非安全元件上的令牌不同地格式化存储在移动设备的安全元件中的令牌。类似地，由一个发卡机构产生的令牌可以使用与由第二发卡机构产生的令牌不同的编号方案。这给令牌产生和管理带来确保在请求令牌时适当地格式化所产生和返回的令牌的询问。

II.令牌格式

本发明的各实施例可以向多种不同的系统提供令牌，且令牌格式可以取决于请求令牌系统、实体或设备的类型、所请求的令牌类型(例如，静态或动态) 以及令牌请求的上下文而改变。例如，用于要在交易中使用的安全元件(SE)设备的令牌格式可以包括含有静态元素和动态元素的令牌。令牌格式的静态元素可以包括静态或不改变的标识符，例如，主账号(PAN)替代品(即，静态账户替代品)。可以使用静态元素、其他消费者账户或设备信息来产生动态元素，或者可以从一个或多个交易的第三方接收动态元素。

在一些实施例中，可以根据用来替换的账户标识符令牌的格式格式化令牌。令牌格式可以包括任何配置，包括16或19位数字，且为具体的类型、长度、独特性和关联规则而定义。令牌可以与主账号(PAN)、银行标识号(BIN)或产品相关联。例如，令牌可以是N位数字或字母数字字符的序列，其中N是表示序列长度的整数。N的值可以改变取决于所替换的账户标识符的长度。例如表示PAN 的令牌可以是19位数字序列。在一些实施例中，数字或字母数字的系统的基底也可能改变，包括二进制、十进制、十六进制等等。

在一些实施例中，动态元素可以包括轨道2数据(Track 2data)，或者使用轨道2数据来产生。例如，轨道2数据可以排除PAN，但可以包括动态卡验证值(dCVV)、密码数据和近场通信(NFC)/POS数据。

另外，令牌可以是静态的或动态的，其中每一种都可以用于支付交易或与支付交易相关联。例如，如果令牌被存储在移动设备上，则在支付交易期间可以激活并从移动设备发送令牌以便发起交易。静态令牌可以具有长寿命，且可以被存储在移动设备的安全元件(或其他安全存储器)中。在另一实施例中，静态令牌可以从不到期。动态令牌可以具有直到已配置时间轴的结束都有效的较短的寿命。一旦到期，不可以再次使用和再次发布该令牌。可以在非安全元件(非SE)设备(即，不使用安全元件来发起或存储交易的设备)中留存(即，存储)动态令牌。

在一些实施例中，可以把令牌格式化为使得可以将其从设备传送给商家的POS终端，而无需在终端做出改变，也不要求改变终端所支持的消息格式。终端可以基于从设备接收到的信息创建授权请求，包括令牌。令牌可以提供用于打印收据(receipt)、退货(reutn)、退款(chargeback)和其他商家要求的信息。

令牌可以遵循与提交通道和设备能力无关的标准格式。一些通道和设备能力的示例可以包括近场通信(NFC)和经由QR码传输数据。

如上所述，可以由令牌化枢纽管理令牌的生命周期。在一种实施例中，令牌生命周期可以由包括用于创建、再次发行或到期的过程的CTC模块管理。

令牌可以遵循其他实体的要求。例如，令牌可以遵循来自银行(例如，受让方或发卡机构)、第三方、国际标准(例如，EMV全球标准)或数字钱包的要求。令牌可以包括众多标识符，包括发卡机构银行标识号(BIN)、钱包标识符或用户账户标识符。

令牌可以支持商家/受让方结账并满足在交易之前、在交易期间或在交易之后帮助确定向何处发送信息(例如，国际、国内)的交易路由判决。令牌可以遵循受让方级(acquirer level)的到期日期检查、欺诈检查和受让方分析报告。

可以映射令牌。例如，令牌可以对应于或映射到设备、钱包、账户、卡或消费者。在一种实施例中，多个钱包、多个设备和多个消费者可以对应于一个或多个令牌。另外，多个设备可以映射到相同的令牌。在各实施例中，可以得到一个设备对多个令牌的映射或多个设备对一个令牌的映射。例如，令牌可以是通道专用的，以使得令牌可以取决于令牌的请求通道、为交易返回令牌的响应通道、使用令牌来启动交易的交易通道等等而改变。因此，令牌可以取决于所使用的通道而改变，且基于用于令牌的通道可以从相同的底层数据产生多个不同的令牌。

在一些实施例中，多个主账号(PAN)可以被映射到单个静态令牌。移动令牌化枢纽可以允许包括发卡机构、钱包提供商或参考应用的已注册实体使用 PAN序列号(PSN)为相同的静态令牌注册多个PAN。在一些实施例中，可以在设备制造期间在消费者的设备中预先预设静态令牌。移动令牌化枢纽可以把PAN 细节发送给CTC模块并捕捉由CTC为该PAN产生的PAN。可以通过发卡机构、钱包提供商或其他参考应用把信息发送给消费者。

多个设备可以支持单个PAN。该系统可以支持为相同的消费者和账号注册多于一个的设备，以便促进来自这些设备中的任何的交易。

令牌可以是数字、字母数字、十六进制、二进制，或包括字符、标识符或可以用来传递信息的信息的任何其他组合。例如，令牌可以是数字和字符的19 位字母数字序列。在另一示例中，令牌可以是已知的消费者元素，例如个人识别号 (PIN)或密码。

本发明的各实施例提供若干优点。例如，在传统的交易中，个人的账号 (PAN)信息暴露于交易生命周期中所涉及的各种元素，例如钱包提供商(支付处理网络、发卡机构和第三方)、商家、网关和处理器。引入代替实际PAN的令牌可以减少暴露且可以使得对商家和钱包提供商的安全牵涉最小。这是有益的，因为如果令牌受到危害，则PAN和/或底层金融工具可以保持不打折扣。

III.通用体系结构

本发明的各实施例涉及用于借助于可以在各种上下文中为各种实体提供令牌化的公共令牌化能力(CTC)模块实现移动令牌化枢纽的系统和方法。例如， CTC模块可以提供和存储用于移动支付交易、转账交易、数字钱包应用、商家销售点(POS)应用、个性化服务等等的令牌。

图1阐释根据本发明的一种实施例的系统100。如图1中所示出，移动令牌化枢纽102可以充当用于各种实体的多种令牌相关服务例如102a-102g的中央提供者。例如，移动令牌化枢纽可以包括用于账户注册、令牌注册、令牌预设、去令牌化、令牌移除、审查/报告和令牌生命周期管理的模块。如上所述，令牌可以用来代替账户信息以便更安全地实施交易(例如移动支付交易、转账交易等等)并使得商家系统和钱包提供商免受PCI兼容性问题。然而，使得令牌广泛可用且消费者容易使用要求协调从发卡银行和支付处理网络到移动设备生产商和移动网络运营商的多种不同的实体，这些实体中的每一种都潜在地具有它们自己的数据格式、通信和安全要求。如在此描述的，移动令牌化枢纽102可以与这些各种实体连接以便管理和协调令牌和令牌服务。

为了使用由移动令牌化枢纽提供的服务，各实体(例如，消费者、钱包提供商、发卡机构等等)可以向移动令牌化枢纽注册。例如，参与者注册模块102a 可以提供接口，各实体可以通过这些接口提供注册信息和与移动令牌化枢纽102 集成的其他配置要求。

在一些实施例中，可以实现管理用户接口，以便为每一参与者执行注册和配置功能。例如，该接口可以帮助把参与者系统(例如，发卡机构、钱包提供商系统)登记为使用移动令牌化枢纽。该接口也可以帮助管理终端系统公钥以便在移动设备或合作方应用和移动令牌化枢纽之间交换信息。该接口也可以帮助定义配置参数，配置参数可以全局定义或逐个参与者地定义，例如令牌的生存时间(TTL)、诸如令牌预设之类的所订阅的服务、账户持有人注册、凭证存储、通道和其他服务。

在一些实施例中，在实体向移动令牌化枢纽注册时，可以给它们指派唯一标识号。参与实体可以包括发起金融机构、PPN品牌的钱包、第三方钱包提供商、第三方支付应用提供商、商家或提供交通应用的交通机构。

可以由参与者注册模块102a捕捉参与者注册信息以便向移动令牌化枢纽注册实体。该信息可以包括客户机企业标识符(BID)、合作方平台标识符(例如产生、获得)、合作方平台名称、合作方平台类型(例如钱包应用、web应用)、集成类型、集成信息(例如web服务连接器(WSC)或联合)、订阅的服务(例如令牌预设、账户持有人注册登记、凭证存储、令牌生命周期管理)和登记的通道 (例如NFC、在线等等)。

在一些实施例中，参与者注册模块102a也可以接收和存储令牌交易配置信息。该系统可以存储用于令牌产生和预设的配置参数，例如令牌到期时间、向与给定日期组合的给定账户持有人或设备提供的最大令牌量、在单次请求中向给定账户持有人或设备提供的最大令牌量、以及所允许的单个令牌的最大交易额度。每一参与者可以提供不同的交易配置信息。

在一些实施例中，消费者和/或发卡机构和钱包提供商可以通过由账户/ 卡注册模块102b提供的一个或多个接口注册它们的账户和移动设备。账户/卡注册模块102b可以实现由移动令牌化枢纽、CTC模块、支付处理网络或其他参与者指定的注册和登记要求。这些要求可以包括在注册和登记期间收集设备信息和消费者信息。

在一些实施例中，账户/卡注册模块可以提供服务注册接口和/或客户机应用程序接口(API)，它们可以允许发卡机构应用、钱包应用或PPN参考应用注册消费者设备和账户、请求新的令牌、停用令牌、注销消费者设备、请求令牌到 PAN的映射或请求PAN到令牌的映射。API可以接收每一消费者的信息。该信息可以包括合作方平台标识符(在令牌化云服务内注册的、被注册为使用这样的服务的唯一标识符)、应用标识符(在合作方平台内的启动应用或服务识别的唯一标识符)、版本号、应用名称、MSISDN、PAN、CVV2、到期日期和PAN绰号(别名)。其他信息可以包括UUID、IMEI、IMSI或其他移动应用标识符(例如、MAID)、 OS类型/版本(例如iOS/安卓等等)、静态令牌(例如用于把静态令牌存储在安全元件的设备)、消费者凭证(例如，用于消费者账户验证的SSN/DOB的最后4 位数字)、消费者的名字、姓氏、消费者地址、邮政编码和设备注册标识符(在安装支付应用的同时产生)。如果移动设备具有安全元件且把静态令牌存储在设备中，则可以接收静态令牌。

在一些实施例中，账户/卡注册模块102b可以提供用于接收用来唯一地标识向移动令牌化枢纽注册的每一移动设备的设备信息的接口。在参与实体是发卡机构时，可以使用发卡机构提供的或PPN提供的钱包应用。该系统可以在注册期间捕捉设备信息并将其与在随后交易期间捕捉的设备信息进行比较，以便确认请求是来自有效的源或合法的移动设备所有者。如果激活请求是来自具有适当的用户名和密码的任何第三方钱包提供商，那么，该请求可以被看作是合法的请求。

可以实现验证过程以便确定判断设备唯一性。该系统可以通过验证设备标识符来验证注册请求。如果存在设备标识符，则可以把账户关联到活动令牌。如果设备/账户/令牌组合对于系统中的相同的钱包提供商/发卡机构/参考应用来说是活动的，那么，该系统可以拒绝该请求。该请求可以是激活或注册请求。该系统可以向请求应用发送适当的消息，例如“设备已经注册且是活动的”。

在一些实施例中，账户/卡注册模块102b可以提供允许发卡机构/钱包提供商注销消费者设备的设备注销接口。可以通过提供包括合作方平台标识符、应用标识符、版本和MSISDN的信息来注销该设备。也可以提供其他信息，包括UUID、 IMEI、IMSI和移动应用标识符(MAID)。

在一些实施例中，账户/卡注册模块102b还可以包括在注册期间从参与实体接收账户持有人信息并验证账户持有人的接口。在一些实施例中，通过输入到支付处理网络(PPN)的数据或使用由发卡机构公布的web服务消息，通过对照账户中由发卡机构提供的文件细节的方面来检查用户凭证，移动令牌化枢纽可以验证账户持有人细节。在一些实施例中，参与实体可以执行账户持有人验证，包括发卡机构、PPN品牌的钱包和标记白色的第三方钱包提供商。移动令牌化枢纽可以支持一种或多种验证方法以便获得合格参与实体。一种方法可以包括基于由参与实体通过文件提供给PPN的数据的账号、CVV2、到期日期的验证。另一种方法可以是去往参与实体的实时web服务集成消息，以便验证包括账户持有人名字、姓氏、和社会安全号码(SSN)或生日数据(DOB)的最后4位数字在内的账户持有人信息。另一方法可以是借助于在线银行业务系统通过带有账户持有人凭证发起金融机构直接验证账户持有人。

在注册期间，可由账户/卡注册模块102b提供账户持有人凭证持久性。通过与凭证数据库注册API通信，该系统可以存储消费者的账户和设备细节，包括通过注册过程在凭证数据库110a中接收的用户凭证，以便得到成功的激活或注册请求。账户持有人凭证信息可以包括合作方平台标识符、MSISDN、PAN、CVV2、到期日期、PAN绰号(别名)、UUID、IMEI、IMSI、MAID、消费者凭证(例如，用于账户验证的SSN/DOB的最后4位数字)、消费者名字、姓氏、消费者地址或邮政编码。

在一些实施例中，在注册期间可以指定默认账户。例如，消费者可以在他们的支付应用中把账户的别名指定为默认账户，以便用于其中没有选择了账户或账户别名的交易。在一些实施例中，消费者的默认账户或对应于该账户的别名可以被存储在凭证数据库110a中。在消费者启动交易时而无需选择别名，支付应用(例如，钱包应用、发卡机构应用或支付处理网络参考应用)可以从移动令牌化枢纽请求与默认账户相关联的令牌。移动令牌化枢纽可以查询凭证数据库110a以便得到默认账户，并且，如果指定了默认账户，则返回对应的令牌或请求新的令牌。

如图1中所示出，移动令牌化枢纽102也可以包括令牌预设模块102c，令牌预设模块102c可以允许移动令牌化枢纽102与诸如移动预设系统(VMPS)、可信服务管理器(TSM)和/或移动网关之类的预设服务集成，以便把令牌信息安全地写在消费者的移动设备的安全元件上。

在一些实施例中，令牌预设模块102c可以被配置为一旦CTC模块104 已经接收和登记令牌，就把由诸如发卡机构或钱包提供商系统之类的外部实体产生的令牌预设到安全元件。移动令牌化枢纽可以通过与移动网关API通信来预设消费者设备的安全元件中的令牌信息。

在一些实施例中，移动令牌化枢纽102也可以包括审查/报告模块102f，审查/报告模块102f可以提供数据审查能力、报告、性能、业务分析和用于移动令牌化枢纽102、CTC模块104和/或支付处理网络110的其他相关服务。移动令牌化枢纽可以提供审查结果以便结束令牌请求和响应活动。在一些实施例中，移动令牌化枢纽也可以提供交易登录API。发卡机构和/或钱包提供商可以使用API来向移动令牌化枢纽提供由移动设备做出的交易的细节。交易数据可以用于忠诚计划。该信息可以包括合作方平台标识符、应用标识符、MSISDN、交易标识符、交易额度、交易日期/时间、商家标识符、商家名称、商家城市、商家街道、商家国别、商家邮政编码、UUID、IMEI或商家地址。

在一些实施例中，移动令牌化枢纽可以提供周期性报告以便列出产生和指派给各设备且还没有被使用和/或到期的动态令牌。可以把这种报告提供给CTC 模块，且用来根据需要回收令牌。例如，在到期之后，未经使用的令牌可以在将来被再次分派给不同的应用/PAN。信息可以包括合作方平台标识符、应用标识符、 PAN和令牌。

另外，在一些实施例中，移动令牌化枢纽102可以公布供外部系统(例如，钱包提供商、发卡机构支付、参考应用)与移动令牌化枢纽集成的规范文档和 API。在一种实施例中，通过使用由移动令牌化枢纽102公布的客户机软件开发工具箱(SDK)来做出到移动令牌化枢纽的安全连接并使用移动令牌化枢纽服务，发卡机构和/或钱包提供商可以增强其支付应用。类似地，通过使用客户机SDK来连接到移动令牌化枢纽并在启动交易的同时请求新的令牌，发卡机构和/或钱包提供商也可以增强客户机支付应用(例如，移动钱包应用)。在一些实施例中，通过具有双重因素认证(例如，用户名/密码和X509认证)的web服务集成(WSI)基础设施而发生在移动令牌化枢纽和发卡机构或钱包提供商系统之间的集成。

如图1中所示出，移动令牌化枢纽102可以与CTC模块104通信，CTC 模块104可以产生、激活、存储和/或去令牌化令牌。在一些实施例中，可以在支付处理网络内的服务器计算机上实现CTC模块104。CTC模块104可以包括多个服务模块，例如用于令牌激活104a、令牌产生104b、卡/账户注册104c和去令牌化104d的模块。CTC模块可以控制逻辑背后如何产生令牌。在一些实施例中，CTC 模块可以响应于来自移动令牌化枢纽102的请求而产生令牌，且用令牌回应移动令牌化枢纽，移动令牌化枢纽又可以把令牌传送给例如与消费者、钱包提供商、发卡机构系统、或其他已连接系统或服务相关联的请求移动设备。在一些实施例中，CTC模块104可以存储由诸如发卡机构系统之类的第三方产生的令牌。

在一些实施例中，移动令牌化枢纽可以充当业务流程层或网关，其他系统和服务可以通过其请求令牌、发送令牌、用令牌建立控制、调整与令牌相关联的控制和请求其他服务和/或访问其他系统。如图1中所示出，移动令牌化枢纽102 可以与移动设备106和移动设备制造商108、支付处理网络110和多个第三方系统 112连接。

移动设备106可以包括带有安全元件的设备以及不带有安全元件的设备。带有安全元件的设备可以在安全元件内安全地存储静态和/或动态令牌。动态令牌可以被存储在不包括安全元件的设备上。取决于如何存储动态令牌，可以把不同的支付控制和生命周期控制到动态令牌。例如，如果动态令牌被存储在移动OS 存储器内，则可以产生具有较短的寿命且对低价值交易有效的令牌。在一些实施例中，可以基于作为登记的一部分的合作方配置来请求多个令牌并将其留存在移动设备中。令牌生命周期管理可以决定合适到期或请求一组新的令牌。

在一些实施例中，移动令牌化枢纽可以从移动设备生产商108接收到在发货之前把多个令牌预先预设给移动设备的请求。如下面进一步描述的，一旦消费者用预先预设的令牌支付移动设备，则消费者可以通过移动设备向移动令牌化枢纽 102发送激活令牌和并用该令牌注册卡账户的请求。在一些实施例中，支付处理网络110可以包括凭证数据库110a、预设服务/移动网关110b和支付控制服务110c，凭证数据库110a存储每一消费者的设备信息，预设服务/移动网关110b可以把令牌安全地传输给移动设备，且支付控制服务110c可以给令牌提供生命周期或其他控制数据。在一些实施例中，移动设备可以不包括预先预设的令牌，且消费者可以直接地通过诸如网络运营商112a、发卡机构系统112b(例如发卡机构专用的移动应用)和/或来自移动钱包提供商112c的移动钱包应用之类的第三方合作方向令牌化枢纽发送请求。

在一些实施例中，支付控制模块110c可以向移动令牌化枢纽102提供用于令牌的支付控件。支付控制模块110c可以定义支付控件，例如设置额度规则以便接受准确的交易额度、商家类别代码(MCC)规则或时间规则。移动令牌化枢纽102可以在令牌生命周期管理模块102g中维护支付控制规则并把支付控制规则传送给CTC模块104。支付控制规则可以包括合作方平台标识符、应用标识符、令牌、支付控制类型、值或操作(例如添加、删除、更新)中的一种或多种。在一些实施例中，移动令牌化枢纽102可以把支付控件与令牌关联起来，持续特定量的时间。支付控制可以在令牌到期时到期。

在一些实施例中，凭证存储可以提供API以便允许应用注册或添加消费者设备/账户细节、编辑消费者设备/账户细节、删除消费者设备/账户细节或检索消费者设备/账户细节。API可以允许应用存储消费者设备、账户和凭证细节。API 可以接收每一消费者的信息。该信息可以包括应用标识符、应用名称、合作方平台标识符、MSISDN、UUID、IMEI、IMSI、静态令牌/动态令牌、PAN、CVV、消费者名字、姓氏、消费者地址、邮政编码或消费者凭证。凭证数据库可以是PCI兼容的，且实现安全标准。

API也可以允许应用通过提供应用标识符、IMEI、MSISDN或PAN来编辑/更新消费者账户/设备细节。一种应用可以通过提供应用标识符、IMEI、 MSISDN或PAN来删除消费者账户/设备细节。该应用也可以通过提供应用标识符、 IMEI、MSISDN或PAN来检索消费者账户/设备细节。

在一些实施例中，可以在云服务器或云环境中的多个服务器上实现移动令牌化枢纽。可以通过安全连接(例如，安全套接字层(SSL)、传输安全层(TSL)) 实现在应用、交易实体和移动令牌化枢纽102之间的安全通信。在一些实施例中，移动令牌化枢纽可以支持被配置为并行运行的多个令牌化云实例，以便改善性能和 /或服务于不同的地理位置。移动令牌化枢纽可以向内部/外部的应用提供接口，以便请求用于给定PAN和从给定日期开始指定的所有令牌以及它们的属性。信息可以包括合作方平台标识符、应用标识符、PAN和起始日期。移动令牌化枢纽可以向内部/外部的参与应用提供接口，以便请求特定的令牌和PAN组合的细节，例如所指定的属性。移动令牌化枢纽可以给已注册内部/外部应用提供接口，以便请求给定令牌/PAN组合和日期范围的授权和结算数据。

图2示出根据本发明的一种实施例的移动令牌化枢纽和公共令牌能力模块的框图。如图2中所示出，除了图1中所示出的模块之外，移动令牌化枢纽服务器可以包括额外的模块，例如令牌请求接口102h。令牌请求接口102h可以从消费者、发卡机构、钱包应用和/或其他支付处理网络服务和/或第三方服务接收令牌请求。令牌请求可以包括：产生新令牌的请求、注册或更新现有令牌的请求、去令牌化令牌的请求、产生动态标识信息(dCVV)的请求和其他令牌相关的请求。

在一些实施例中，令牌请求接口102h可以允许发卡机构/钱包提供商指定令牌的配置细节。令牌请求接口102h可以接收与具体的消费者、一组消费者和/ 或服务提供商相关联的令牌配置文件。令牌请求接口102h可以把令牌配置文件传送给令牌配置模块102i，其可以解析令牌配置文件并把令牌配置设置存储在凭证数据库或其他存储系统中。在接收到令牌请求时，移动令牌化枢纽可以在凭证数据库中查找请求者以便标识与该请求者相关联的令牌配置设置。在一些实施例中，令牌配置设置可以包括：

●每一令牌请求上向给定消费者的账户/设备指派多少新令牌(例如1到5 个，以便允许消费者即使在缺乏数据连接时也能进行购买)；

●一旦可用活动令牌达到设备上的某种限制，就自动指派新的令牌；

●每一令牌的有效时间帧；

●低价(low ticket)交易的令牌有效时间周期(例如，1日或3日等等)；

●高价(high ticket)交易的令牌有效性(例如，仅一次、6小时内不多于一次、每日一次)；或

●低价/高价限制(例如，小于$1000、大于$3000)。

如下面进一步描述的，在一些实施例中，移动令牌化枢纽102可以从服务提供商(例如钱包提供商或发卡机构)接收批量注册文件以便向移动令牌化枢纽注册多个现有消费者。令牌请求接口102h可以接收批量注册文件并把批量注册文件发送给批量注册模块102j，批量注册模块102j解析批量注册文件以便标识该文件中所包括的消费者并确定要为批量注册文件中的每一消费者产生的令牌或多个令牌的类型。在一些实施例中，批量注册文件可以包括令牌配置设置，或者可以包括先前提供或与令牌配置设置文件并发地提供的指向令牌配置设置文件的指针。然后，移动令牌化枢纽可以向CTC模块104发送请求以便根据批量请求文件和令牌配置文件产生令牌。

在一些实施例中，可以而响应于批量令牌请求分配令牌，无需向令牌指派PAN(无PAN令牌)。可以把令牌分配给设备生产商，设备生产商可以在制造期间在移动设备中预先配置令牌。CTC模块可以把这些少PAN令牌中的每一个维持在活动状态，直到接收到来自移动令牌化枢纽请求的激活请求。然后，令牌激活模块104a可以根据激活请求激活令牌。在一些实施例中，CTC模块可以停用或禁用来自移动令牌化枢纽的请求上的令牌。

在一些实施例中，设备信息模块102k可以在注册期间接收移动设备信息并与凭证数据库110a连接以便存储该设备信息。该设备信息可以与消费者相关联，且与和消费者相关联的任何令牌相关联。如上所述，可以在注册期间接收的设备信息可以包括应用标识符、应用名称、合作方平台标识符、MSISDN、UUID、 IMEI、IMSI、静态令牌/动态令牌、PAN、CVV、消费者名字、姓氏、消费者地址、邮政编码和/或消费者凭证。该设备信息也可以包括可以指示该设备是否包括安全元件的设备类型标识符。

在一些实施例中，dCVV模块102l可以产生用于令牌的dCVV值。移动令牌化枢纽102可以从已注册系统接收对令牌的dCVV值的请求。移动令牌化枢纽向CTC模块104发送去令牌化令牌(使用去令牌化模块104d)并返回相应的 PAN的请求。然后，dCVV模块102l可以产生PAN的dCVV值并向已注册系统返回dCVV值。在一些实施例中，dCVV模块102l可以向支付处理网络发送请求以便基于去令牌化的PAN产生dCVV。

在一些实施例中，dCVV模块102l可以被配置为在令牌请求期间产生其他类型的标识信息，例如令牌的伪卡安全代码(CVV2)和到期日期。可以把CVV2 和到期日期两者都提供给请求应用和CTC模块。请求应用或其用户可以使用令牌、 CVV2和到期日期来做出交易，且CTC可以在去令牌化期间用移动令牌化枢纽提供的值来验证各值。移动令牌化枢纽也可以去令牌化标识信息，以便获得对应于 PAN的真实CVV2和到期日期值，可以把该真实CVV2和到期日期值提供给发卡机构以供认证。

移动令牌化枢纽102可以包括令牌类型模块102m，令牌类型模块102m 配置成基于令牌请求的来源标识所请求的令牌类型(例如，静态或动态)。例如，基于存储在凭证数据库110a中的设备信息，令牌类型模块可以判断请求设备是带有安全元件的移动设备还是没有安全元件的移动设备。如果该请求起源于带有安全元件的移动设备，那么，可以产生静态令牌以便预设到安全元件。如果请求设备不包括安全元件，则可以产生带有预先确定的生存时间(TTL)值的动态令牌。在一些实施例中，在设定的时间限制期间，该设备可以使用所指派的动态令牌来启动任何数量的交易。如果该请求来自另一内部或外部系统，则可以基于在合作方注册期间的配置设置决定令牌类型。

在一些实施例中，未经登记的设备模块102n可以检测到消费者的账户已经安装在多个设备上，但是每一设备都没有注册。例如，消费者可以把移动钱包应用安装在他们的智能手机上并向移动令牌化枢纽102注册智能手机和支付账户。随后，相同的消费者可以把移动钱包应用安装在他们的平板计算机上。如果消费者随后尝试使用平板计算机上的移动钱包应用执行交易，则提供有交易数据的设备信息将不匹配已注册设备信息。然后，未经登记的设备模块可以通过平板计算机向消费者返回消息，提示用户注册平板计算机，然后才可以完成交易。

令牌产生模块104b可以响应于来自移动令牌化枢纽的请求而产生令牌。在一些实施例中，令牌产生模块104b可以从编号方案选择令牌并激活令牌。例如，借助于静态令牌，然后，CTC模块可以创建在令牌和一个或多个账户标识符之间的关联。借助于动态令牌，CTC模块可以设定控制并使得配对对于支付处理网络来说可用，以便完成交易处理。CTC模块可以在交易授权期间使用去令牌化模块104d来帮助去令牌化。

在一些实施例中，令牌映射模块104e可以维护用于向移动令牌化枢纽注册的消费者的令牌到PAN的映射。如上所述，该映射可以包括多个令牌到一个 PAN以及多个PAN到一个令牌。在一些实施例中，令牌映射模块104e也可以维护用于为外部产生的令牌的映射。例如，在移动令牌化枢纽102通过令牌请求接口 102h接收到例如由发卡机构产生的令牌时，可以把外部产生的令牌转发给CTC模块104。令牌映射模块104e可以更新其用于相应的消费者的令牌映射以便包括外部产生的令牌。在一些实施例中，外部产生的令牌可以伴随有合作方平台标识符、应用标识符、版本、PAN或令牌属性中的一种或多种。该系统可以通过与CTC注册API通信在CTC系统中注册令牌，并把响应发送回去给发卡机构或钱包提供商应用。

在一些实施例中，令牌产生规则模块104f可以接收来自已注册系统的用于产生令牌的规则。例如，规则可以包括令牌的类型、令牌的格式、令牌的安全和存储要求。在一些实施例中，令牌产生规则模块可以包括自动与新近产生的令牌相关联的支付控制规则。在一些实施例中，每一已注册实体可以维护通常在请求新的令牌时使用的一组规则。例如，发卡机构可以请求把令牌产生为具有特定BIN 范围的特定长度。

图3示出根据本发明的一种实施例的令牌产生和预设的示例过程。如图 3中所示出，令牌可以由CTC模块104产生，且然后，被预设到移动设备106。在一些实施例中，CTC模块可以响应于与移动设备相关联的令牌请求而产生令牌。取决于与该请求相关联的移动设备的类型，移动令牌化枢纽可以请求不同的令牌类型。例如，在系统300中，CTC模块108可以产生令牌并将其发送302给移动令牌化枢纽102，以便递送304(即，预设)到移动设备。如上所述，移动令牌化枢纽可以包括令牌预设模块，其允许移动令牌化模块把令牌直接预设到移动设备，或者与移动网关或可信服务管理器(TSM)系统连接以便把令牌预设到移动设备。可以实现任何其他预设方法。

系统306示出根据本发明的另一实施例在移动设备中的令牌产生和预设的过程。如上所述，可以由CTC模块104响应于来自移动令牌化枢纽、发卡机构和/或移动钱包提供商的请求而产生令牌，且可以基于由请求实体和/或支付处理网络建立的规则而产生该令牌。例如，发卡机构和/或钱包提供商可以通过应用编程接口(API)向移动令牌化枢纽发送接收令牌信息(例如，接收已经产生的令牌或请求产生新的令牌)的请求。然后，发卡机构和/或钱包提供商可以把(多个) 令牌直接地或通过可信服务管理器服务器(TSM)预设到移动设备。

在一些实施例中，支付处理网络、移动令牌化枢纽、CTC模块和发卡机构可以具有各种角色和责任。例如，可以由支付处理网络(PPN)和/或移动令牌化枢纽管理账户注册。令牌产生可以由PPN和/或CTC模块管理。令牌预设可以由PPN和/或移动令牌化枢纽管理。令牌生命周期管可以由PPN和/或移动令牌化枢纽管理理。可以由PPN和/或CTC模块管理令牌映射。争议解决可以由发卡机构管理。设备和/或账户持有人数据持久性可以由PPN和/或已存储的凭证数据库 (SCD)管理。

图4示出根据本发明的一种实施例的令牌产生和预设的过程。如系统 400中所示出，发卡机构和/或钱包提供商可以产生令牌并将其发送402给移动令牌化枢纽。发卡机构和/或钱包提供商可以指示移动令牌化枢纽服务把令牌预设406 到移动设备。发卡机构和/或钱包提供商也可以请求使用移动令牌化枢纽API来向 CTC模块注册令牌，以便提供令牌的注册信息。在一些实施例中，注册信息可以包括合作方平台标识符、版本号、主账号(PAN)、令牌和/或令牌属性中的一种或多种。

在一些实施例中，支付处理网络、移动令牌化枢纽、CTC模块和发卡机构可以具有各种角色和责任。例如，账户注册可以由发卡机构管理。令牌产生可以由发卡机构管理。令牌预设可以由PPN和/或移动令牌化枢纽管理。令牌生命周期管理可以由发卡机构管理。令牌映射可以由PPN和/或CTC模块管理。争议解决可以由发卡机构管理。设备和/或账户持有人数据持久性可以由发卡机构管理。

替代地或作为补充，如在408所示出，发卡机构和/或钱包提供商可以通过可信服务管理器服务器(TSM)、移动网关或其他预设服务产生令牌并将其预设410给(多个)移动设备。发卡机构和/或钱包提供商也可以把令牌的副本发送412给移动令牌化枢纽，以便存储414在CTC模块数据存储中。在发卡机构和/ 或钱包提供商请求把令牌的副本存储在CTC模块中时，发卡机构和/或钱包提供商可以提供注册信息以便向CTC模块注册令牌。注册信息可以包括合作方平台标识符、版本号、PAN、令牌和/或令牌属性中的一种或多种。

在一些实施例中，支付处理网络、移动令牌化枢纽、CTC模块和发卡机构可以具有各种角色和责任。例如，账户注册可以由发卡机构管理。令牌产生可以由发卡机构管理。令牌预设可以由发卡机构管理。令牌生命周期管理可以由发卡机构管理。令牌映射可以由PPN和/或CTC模块管理。争议解决可以由发卡机构管理。设备和/或账户持有人数据持久性可以由发卡机构管理。

IV.令牌产生和预设

如上所述，并非所有令牌请求都可以请求相同的令牌类型。例如，来自在其安全元件中具有预先预设的令牌的移动设备的令牌请求可以是激活请求，而先前没有得到预先预设的移动设备可以请求新的令牌。移动令牌化枢纽可以判断该设备是包含安全元件(SE)还是非安全元件(非SE)，且基于该判断改变处理。对于带有安全元件的移动设备，令牌请求可以是针对可用于扩展时间周期的静态令牌，而来自不带有安全元件的移动设备的令牌请求可以是针对在它活动多久或可以使用它的交易的类型或额度方面受到限制的动态令牌。而且，取决于将如何使用令牌，令牌本身可以不同地格式化。例如，交通令牌可以具有一种格式，而用于信用卡账户的令牌可以具有不同的格式。如下面进一步描述的，本发明的各实施例可以确定适当的令牌以便产生并预设，以便满足给定的请求。这简化了请求令牌的过程并使得它可供消费者和合作方系统更容易地在更多过程中获得和使用令牌。

图5示出根据本发明的一种实施例预设用于不同类型的移动设备的令牌的方法。在步骤500，由移动令牌化枢纽接收令牌请求。本发明的各实施例可以提供对来自移动设备(包括非安全元件(非SE)移动设备和安全元件(SE)移动设备)的数据的不同的处理和加工。可以在中央实体例如支付处理网络(例如，)、移动令牌化枢纽或交易流中的任何其他实体处区分处理。

在步骤502，可以标识与令牌请求相关联的设备信息。例如，在启动令牌请求时，移动设备上的支付应用可以捕捉设备信息且在该设备信息中包括对移动令牌化枢纽的令牌请求。作为补充或替代地，对应于请求设备的设备信息可以存储在凭证数据库中，以供用于验证随后的交易。在一些实施例中，可以查询凭证数据库以确定与令牌请求相关联的设备信息。

在步骤504，移动令牌化枢纽可以确定对应于该设备信息令牌的类型。例如，凭证数据库可以区分SE和非SE设备并告知移动令牌化枢纽请求是与SE 设备还是非SE设备相关联以及应实现的令牌化的类型。在一些实施例中，可以基于预设给移动设备的先前的令牌的类型确定令牌类型。如在此描述的，令牌类型可以包括可以存储在移动设备的安全元件上的静态令牌和可以存储在移动设备上的存储器中的动态令牌。

在步骤506，向CTC模块发送产生已确定类型的令牌的请求。例如，如果判断该请求起源于带有安全元件的设备，则可以把对静态令牌的请求发送给 CTC模块，而如果判断请求设备不包括安全元件，则可以发送对动态令牌的请求。替代地，如果该请求起源于带有具有预先预设的令牌的安全元件的设备，则可以把激活请求发送给CTC模块以便把预先预设的令牌与PAN进行关联并激活预先预设的令牌。

在步骤508，接收所请求的令牌。该请求令牌属于所请求的类型，且可以基于该设备、支付应用、在其上接收到请求的通道等等根据一个或多个令牌产生规则产生该请求。

在步骤510，把所请求的令牌返回给请求设备。在一些实施例中，预设服务可以用来打开到该设备的安全连接并把令牌在该设备的安全元件中。在其他实施例中，可以对令牌进行加密并直接地或通过支付应用将其返回给该设备。

在本发明的一些实施例中，移动令牌化枢纽可以接收与第一移动设备相关联的令牌请求，其中第一移动设备包括安全元件，且接收与第二移动设备相关联的令牌请求，其中第二移动设备包括非安全元件，且移动令牌化枢纽能够区分第一移动设备和第二移动设备，以使得为第一移动设备产生的第一令牌不同于为第二移动设备产生的第二令牌。

在SE移动设备中，可以从令牌化系统(例如，移动令牌化云或移动令牌化枢纽)接收“PAN替代品”，且可以使用PAN替代品或其他信息来在移动设备上构建动态令牌。在一种实施例中，与SE通信的移动设备上的应用可以在令牌化系统中产生动态令牌。可以使用任何可用的信息产生动态令牌，在一些实施例中，这些信息包括该应用可用的动态和静态数据的组合。

在一种实施例中，可以在制造移动设备时嵌入静态令牌，且可以由消费者日后激活和认证该静态令牌。因此，原始设备制造商(OEM)可以把静态令牌与设备合并起来，或者可以在消费者拥有时或在此之前由移动网络运营商(MNO) 或其他方提供静态令牌。然后，消费者可以输入信息以便确认账户持有人的身份。可以在制造移动设备之后提供动态令牌。

在非SE移动设备中，可以从移动令牌化枢纽接收“PAN替代品”和动态元素。例如，CTC模块可以产生数据和/或经由网关将其传输给移动设备。可以基于PAN替代品或基于其他设备、交易和/或移动设备可用的消费者信息产生动态元素。

如下面参考图6-15进一步描述的，取决于所接收的令牌请求以及与令牌请求相关联的设备，移动令牌化枢纽可以提供不同的处理。例如，如果从包括存储在安全元件中的预先预设的令牌的设备接收到令牌请求，则移动令牌化枢纽可以提供令牌激活处理。如果从带有安全元件但没有预先预设的令牌的移动设备接收到令牌请求，则移动令牌化枢纽可以提供令牌化和预设服务。如果从不带有安全元件的设备接收到令牌请求，则移动令牌化枢纽可以确定要产生并预设动态令牌，且作为响应提供令牌化和预设服务。因而，可以由移动令牌化枢纽基于设备信息区分令牌请求，且可以根据需要提供不同的令牌化服务。

图6示出根据本发明的一种实施例的安全元件(SE)和静态令牌激活流。支付应用可以与发卡机构相关联和/或由支付处理网络提供。在一些实施例中，包括安全元件的移动设备可以使用存储在安全元件上的静态令牌来启动交易。可以在制造时在安全元件中预设静态令牌，或可以在消费者已经购买了移动设备之后预设静态令牌。在令牌已经激活之后，使用发卡机构支付应用和/或支付处理网络 (PPN)参考应用，可以使用移动设备通过近场通信(NFC)/销售点(POS)终端启动交易。交易数据类型可以包括芯片交易，芯片交易可以包括轨道2数据、动态卡验证值(dCVV)、应用密文、发卡机构应用数据和运行序列号(ATC)。

在图6中所示出的示例中，移动设备600包括在设备的已经预先配置的安全元件中预设的静态令牌。在一些实施例中，消费者可能已经从与移动设备相关联的应用存储和/或消费者的移动网络运营商下载支付应用。在一些实施例中，消费者可以使用先前提供给发卡机构和/或支付处理网络的凭证来登录到该应用，且该应用可以基于登录凭证认证用户。在一些实施例中，已经向移动令牌化枢纽注册钱包提供商或发卡机构支付应用，它们可以接收合作方应用标识符，它们可以为现有的消费者做出批量注册，且消费者可能已经在设备中下载钱包提供商或发卡机构品牌的支付应用。

在602，通过提供消费者凭证和/或关于他们的移动设备的信息，消费者可以经由因特网604通过应用向发卡机构608注册移动设备通过应用。在606，可以捕捉关于用户设备的信息。这可以包括静态令牌或各种设备标识符，包括移动站国际订户目录号(MSISDN)和国际移动站设备标识符(IMEI)。

在610，发卡机构可以经由安全连接(例如，SSL)访问在移动令牌化枢纽处的注册web服务。可以在经加密的有效载荷中传送信息。在一些实施例中，可以使用双重因素认证(two factor authentication)来向连接提供额外的安全。例如，双重因素可以包括用户名/密码和公钥/私钥互换。在614，移动令牌化枢纽可以与 CTC模块通信以便激活静态令牌并把该静态令牌与PAN关联起来。

在一些实施例中，由发卡机构可以把在606捕捉的设备信息提供给移动令牌化枢纽608。该设备信息可以被映射到与该设备相关联的令牌。在使用令牌启动交易时，这可以用来提供附加的验证检查。如果从不同的设备启动交易，则可以拒绝该交易，或者可以要求来自消费者的附加信息，然后才能完成交易。在步骤5，移动令牌化枢纽可以与支付处理网络处的凭证数据库通信。可以传输所捕捉的消费者信息和/或映射信息并将其存储在凭证数据库中。

图7示出根据本发明的一种实施例的令牌激活的序列图。在步骤1，消费者使用他们的移动设备700发起账户注册。消费者通过移动设备700上的支付应用702启动账户注册。在一些实施例中，支付应用702可以是发卡机构应用、支付处理网络应用或移动钱包应用。应用可以从移动设备的安全元件访问和检索静态令牌。然后，可以给用户呈现消费者可以从中选择以便注册的、与该应用相关联的一个或多个账户。在一种实施例中，用户可以输入卡信息以便向钱包提供商或发卡机构应用注册。对于每一新卡，该应用可以产生新的标识符，例如PAN序列号(PSN)，以便区分关联到相同的令牌的多个PAN。在注册期间，支付应用702可以捕捉移动设备700的移动设备细节。这可以包括静态令牌或各种设备标识符，包括移动站国际订户目录号(MSISDN)和国际移动站设备标识符(IMEI)。

在步骤2，支付应用702向移动令牌化枢纽704发送注册请求。在一些实施例中，发卡机构应用通过API把包括令牌、PAN、PSN和设备信息的注册请求发送给移动令牌化枢纽704。在步骤3，移动令牌化枢纽704基于设备信息确定该设备包括预先预设的令牌并在CTC706中发起令牌激活。移动令牌化枢纽704 可以向CTC 706发送激活静态令牌并把PAN与令牌以及PSN关联起来的请求。

在步骤4，CTC 706激活令牌并把令牌与PAN以及PSN关联起来。CTC 706可以验证静态令牌并存储PAN、令牌和PSN的关联。CTC可以把PAN、发卡机构BIN和产品信息存储在CTC模块内用将来处理。在步骤5，移动令牌化枢纽可以留存先前在步骤1捕捉的设备信息。移动令牌化枢纽可以把该设备信息留存在支付处理网络中的凭证数据库中。

在步骤6，在已经存储了设备信息且已经激活了令牌之后，可以把状态响应发送给支付应用702。在步骤7，把响应消息返回给用户的移动设备，确认已经用活动令牌激活了该设备，且准备好通过支付应用702执行交易。如果激活不成功，则可以返回错误。

图8示出根据本发明的一种实施例的安全元件(SE)和静态令牌激活流。在图8中所示出的示例中，移动设备800包括安全元件，但没有给安全元件预先预设令牌。可以在设备购买之后产生令牌并将其预设给该设备。消费者可以把支付应用下载到移动设备800以便注册移动设备并接收令牌。支付应用可以基于由用户提供的登录凭证认证用户。

在802，消费者可以通过因特网808从在线零售商(例如与移动设备或消费者的移动网络运营商相关联的在线应用商店)下载支付应用。在804，消费者可以通过支付应用发起注册。在图8中所示出的示例中，支付应用是移动钱包应用且消费者启动向关联钱包提供商注册。然而，在备选的实施例中，支付应用可以与发卡机构或支付处理网络相关联。

在810，可以由钱包提供商812捕捉关于用户设备的信息。该信息可以包括各种设备标识符，例如MSISDN、载体或IMEI。在814，钱包提供商可以经由安全连接(SSL)访问在支付处理网络816上的移动令牌化枢纽处的注册web服务。尽管移动令牌化枢纽被示出为与支付处理网络集成，但在一些实施例中，可以分离地实现移动令牌化枢纽。可以在经加密的有效载荷中传送信息。在一些实施例中，可以使用双重因素认证来向连接提供额外的安全。例如，双重因素可以包括用户名/密码和公钥/私钥互换。在818，移动令牌化枢纽可以向CTC模块发送令牌产生请求。在820，移动令牌化枢纽可以把在804中提供的消费者信息和在810中捕捉的设备信息存储在凭证数据库中。可以把消费者和设备信息可以映射到新近产生的令牌，并在启动交易时将其用作附加的验证检查。如果在交易期间使用令牌提供的消费者或设备信息不匹配在注册期间存储的消费者或设备信息，则可以拒绝该交易或者要求来自消费者的附加的信息。一旦已经产生了令牌且存储了消费者和设备信息，可以把令牌从CTC模块发送给移动令牌化枢纽。在822，令牌化枢纽可以通过诸如TSM 824之类的移动预设服务打开到移动设备的安全连接800，且可以把新近产生的静态令牌写入到设备SE。

图9示出根据本发明的一种实施例的令牌产生的序列图。在步骤1，消费者通过支付应用902在移动设备900上启动账户注册。在一些实施例中，支付应用可以是移动钱包应用、发卡机构品牌的应用或支付处理网络参考应用。在一些实施例中，可以在相同的设备上注册多个账户，且用户可以从支付应用选择账户以便注册。

在步骤2，支付应用可以向移动令牌化枢纽906发送注册请求。支付应用可以通过API向移动令牌化枢纽发送PAN和设备信息。在步骤3，移动令牌化枢纽906可以基于设备信息确定该移动设备包括安全元件并在CTC模块908中启动令牌产生。移动令牌化枢纽可以向CTC模块发送产生存储在移动设备的安全元件中的静态令牌的请求，并注册该令牌的PAN。可以为一个设备产生多个令牌，每一个均用于向该设备注册的每一账户。在一些实施例中，向设备注册的多个账户可以与相同的令牌相关联，且可以使用PSN来区分账户。

在步骤4，CTC模块908可以产生新的令牌并把该令牌映射到PAN和设备信息。在一些实施例中，CTC模块908可以把PAN、发卡机构BIN和/或产品信息存储在CTC模块内以供将来处理。在步骤5，移动令牌化枢纽906可以把该设备信息留存在支付处理网络中的凭证数据库中。该设备信息可以被映射到令牌和 /或为该设备注册的账户，且用作附加的验证机制，如上所述。

在步骤6，移动令牌化枢纽可以向预设服务904发起预设该设备中的令牌信息的请求。在步骤7，预设服务可以打开到移动设备900的安全连接并预设移动设备的安全元件中的令牌。在步骤8，在已经预设了该设备中的令牌之后，可以把成功/状态响应从移动令牌化枢纽906发送给支付应用902。在步骤9，可以向移动设备发送确认消息，向消费者指出已经用准备好参加交易的活动令牌激活了移动设备。然后，移动设备通过支付应用使用静态令牌准备好做出交易。

图10示出根据本发明的一种实施例的令牌更新的序列图。移动设备 1000可以具有向其预设令牌信息的安全元件。如果令牌受到危害，或者消费者添加账户，或者以另外方式启动令牌更新过程，则可以把新的令牌预设给消费者的移动设备1000。在步骤1，消费者可以通过支付应用1002启动更新。支付应用可以是移动钱包应用、发卡机构品牌的应用或支付处理网络应用。在步骤2，支付应用 1002通过API向移动令牌化枢纽1006发送包括一个或多个新的PAN和设备信息的更新请求。

在步骤3，对于每一PAN更新请求，移动令牌化枢纽1006可以从CTC 模块1008请求新的静态令牌。在一种实施例中，移动令牌化枢纽可以把更新请求看作是新的静态令牌产生请求。移动令牌化枢纽可以向CTC模块发送对每一新的 PAN的请求，以便产生令牌并把新的PAN与新的令牌关联起来。在步骤4，CTC 模块1008可以产生新的令牌并存储与新的PAN的关联。在步骤5，移动令牌化枢纽可以把设备信息留存在凭证数据库中。

在步骤6，移动令牌化枢纽1006可以向预设服务1004发起把每一新的令牌信息预设给该设备的请求。在步骤7，预设服务可以在移动设备的安全元件中预设每一新的令牌。在步骤8，在已经在该设备中预设令牌之后，移动令牌化枢纽可以向支付应用发送成功或状态响应。在一些实施例中，在把多个令牌预设给相同的设备的场合，移动令牌化枢纽可以在已经预设了每一令牌之后发送状态更新，或者可以在已经预设了所有令牌之后发送反映每一令牌的状态的单个更新。在步骤 9，可以把确认消息发送给移动设备1000，指示移动设备已经加载了一个或多个新的静态令牌，准备好通过支付应用进行交易。

图11示出根据本发明的一种实施例的非安全元件(非SE)和动态令牌用户/账户注册流。因为移动设备1100不包括安全元件，可以把具有有限生命周期的动态令牌提供给该设备以便完成交易。移动设备可以包括诸如钱包应用、发卡机构支付应用或PPN应用之类的支付应用。支付应用可以基于由用户提供的登录凭证认证用户。

如图11中所示出，在1102，消费者可以从在线应用商店下载支付应用。在1104，消费者可以向诸如钱包提供商1108、支付处理网络或发卡机构之类的应用提供商注册移动设备。在1106，可以捕捉关于移动设备的信息，这种信息可以包括设备标识符(例如，MSISDN、载体、IMEI)。在1110，钱包提供商可以与移动令牌化枢纽通信。移动令牌化枢纽可以被定位为用于云注册的云格式。钱包提供商可以经由安全连接(SSL)访问注册web服务。可以在经加密的有效载荷中传送该信息。移动令牌化枢纽可以把移动设备和消费者信息存储在凭证存储中。在 1114，在已经存储了移动设备和消费者信息之后，可以在移动令牌化枢纽和推送通知云816之间传输共享秘密注册。共享秘密注册信息可以包括由移动令牌化枢纽提供的代码，或者可以包括由移动令牌化枢纽提供的问题以及由消费者提供的回答。

在一些实施例中，可以通过API提供共享秘密设置接口，以便允许支付应用提供商(发卡机构、钱包提供商、支付处理网络等等)把共享秘密(例如，一组N个问题)设置为在交易期间请求动态令牌时的附加的安全措施。例如，每一令牌请求可以用已配置共享秘密询问用户并验证响应。该请求可以起源于非SE设备发卡机构支付应用或钱包应用。

图12示出根据本发明的一种实施例的用户/账户注册流的序列图。在步骤1，消费者通过诸如钱包应用1200之类的支付应用启动账户注册。支付应用可以替代地包括发卡机构支付应用或PPN参考应用。应用可以基于由用户提供的登录凭证认证用户。用户可以从该应用选择账户以便注册。

在步骤2，应用提供商1202可以通过API向移动令牌化枢纽1204发送 PAN和设备信息。在步骤3，移动令牌化枢纽1204可以基于该设备信息判断移动设备是否与账户相关联。如果还没有注册移动设备，则移动令牌化枢纽可以向支付应用推送设置共享秘密的通知。例如，该设置可以包括通过钱包应用1200发送给消费者的一组3个问题。在步骤4，消费者可以输入例如步骤3中提供的一组问题的共享秘密答案。支付应用可以加密答案并通过API向移动令牌化枢纽发送响应。

在步骤5，移动令牌化枢纽1204可以把设备或平台信息留存在凭证存储1206。在步骤6，一旦已经更新了凭证，则可以向应用提供商发送确认注册的激活响应。在步骤7，应用提供商可以通过支付应用向用户发送确认。一旦经确认，该设备就得到激活并准备好通过支付应用使用动态令牌进行交易。

图13示出根据本发明的一种实施例的非安全元件(非SE)和动态令牌产生和交易流。如上面参考图12所述的，具有不包括安全元件的移动设备的消费者可以下载和安装支付应用1300，例如钱包应用、发卡机构支付应用或支付处理网络应用。该应用可以基于用户提供的登录凭证认证用户。该设备可以在移动令牌化枢纽中注册了有效账户。因为移动设备不包括安全元件，它不与静态令牌相关联。相反，移动设备需要请求动态令牌以便完成交易。

在一些实施例中，可以与动态令牌一起使用不包括安全元件(非SE) 的移动设备。移动设备可以是包括支付应用的个人计算机(PC)。支付应用可以包括允许消费者执行无卡(例如，在线)交易的发卡机构支付应用、钱包提供商应用和/或PPN参考应用。在启动交易时，交易数据可以包括PAN、到期日期和/或卡验证值(CVV)。

在一些实施例中，可与动态令牌一起使用非SE移动设备。移动设备可以包括支付应用，例如发卡机构支付应用、钱包提供商应用和/或PPN参考应用。非SE移动设备可以使用动态令牌来执行芯片交易。用于芯片交易的交易数据可以包括轨道2数据、dCVV、应用密文、支付应用数据和ATC。在一些实施例中，移动设备处的支付应用可以产生包括动态令牌的QR码(例如，快速响应码、条形码)。交易数据类型可以包括芯片交易，它可以包括轨道2数据、dCVV、应用密文、发卡机构应用数据和ATC。

在1302，消费者从移动令牌化枢纽1310请求令牌。使用在注册期间创建的共享秘密信息，在1304，移动令牌化枢纽通过推送通知云向消费者应用发送询问请求。在1306，消费者向令牌化枢纽输入在账户注册期间创建的秘密响应。在1308，如果在1306返回的秘密响应是正确的，则令牌化枢纽向消费者应用发送动态令牌。

在1312，消费者可以使用令牌启动与商家1314的交易。例如，令牌可以被封装到QR码中且显示在移动设备上。然后，消费者可以在商家销售点终端上扫描所显示的代码。替代地，可以使用NFC或其他射频通信把令牌从用户设备传输给商家POS。也可以从支付应用在线执行交易，而不要求与商家POS进行任何交互。在1316，商家1314可以把带有动态令牌的交易提交给商家的受让方1318。因为动态令牌被格式化为匹配预期账户标识符，所以不要求商家或受让方系统不需要进行修改就可以使用该令牌。在1320，受让方1318把带有该令牌的交易提交给支付处理网络(PPN)1322。

在1324，PPN把动态令牌识别为PAN替代品。例如，该令牌的一部分可以包括指示该令牌是令牌的代码。PPN向CTC模块发送对与该令牌相关联的 PAN的请求。该请求可以包括经由商家和受让方从移动设备接收的交易数据(例如消费者和设备信息)。CTC模块可以通过把该设备信息和与令牌相关联的设备信息进行比较来验证交易请求。如果CTC验证该交易，则它可以查找与令牌相关联的PAN，并把该PAN返回给PPN。在1326，PPN可以与发卡机构1328一起使用从CTC检索的PAN处理交易。PPN可以向受让方和商家提供指示是否批准该交易的响应。

图14示出根据本发明的一种实施例的非安全元件(非SE)和动态令牌产生流。在步骤1，消费者例如通过在钱包应用、发卡机构支付应用、支付处理应用或消费者的移动设备1400上的其他数字钱包中选择账户别名来发起交易。在步骤2，支付应用1402通过移动令牌化枢纽API向移动令牌化枢纽1406发送对动态令牌的请求。支付应用可以在新的令牌请求中包括PAN别名、设备信息和购买额度(amount)。

在步骤3，移动令牌化枢纽1406可以从凭证存储1408检索该设备的共享秘密细节。共享秘密细节可以由消费者在设备注册期间提供，如上所述。在步骤 4，移动令牌化枢纽可以选择共享秘密问题中的至少一个并将其发送给支付应用。在步骤5，支付应用可以在移动设备1400上向用户显示秘密问题。在步骤6，支付应用接收消费者对秘密问题的响应，且在步骤7，加密该响应并将该响应发送给移动令牌化枢纽1406。

在步骤8，移动令牌化枢纽1406可以验证对由消费者提供的共享秘密的响应。如果该响应正确，则移动令牌化枢纽可以基于该设备信息确定为该设备产生的令牌的类型，且随后，可以向CTC模块1410发送产生该类型的新令牌并为该令牌注册PAN的请求。在这一示例中，移动令牌化枢纽可以确定该设备不包括安全元件，且可以向CTC发送为该设备产生动态令牌的请求。在步骤9，CTC模块可以产生新的令牌并存储新的令牌与PAN的关联。CTC可以把真实PAN、发卡机构BIN或产品信息存储在CTC内以供将来处理。

在步骤10，移动令牌化枢纽1406可以向支付控制模块1410发送为该令牌创建支付控制的请求。支付控制可以基于交易的额度。在步骤11，移动令牌化枢纽可以向支付应用1402发送动态令牌。在步骤12，支付应用1402可以把带有从移动令牌化枢纽1406接收的动态令牌的交易提交给应用提供商1404。然后，如上面参考图13描述的，可以处理该交易。

图15示出根据本发明的一种实施例的备选的非安全元件(非SE)和动态令牌产生流。在图15中所示出的实施例中，可以产生动态令牌并将其发送给消费者的移动设备1500而无需首先使用先前供应的秘密答案来确认消费者的身份。类似于图14，在步骤1，消费者通过在诸如钱包应用、发卡机构支付应用或其他数字钱包之类的支付应用1502中选择对应于支付账户的别名账户来发起支付过程。在步骤2，支付应用可以向诸如钱包提供商或发卡机构系统之类的应用提供商1504 发送令牌请求。该令牌请求可以包括PAN别名、设备信息和购买额度。在步骤3，应用提供商1504通过移动令牌化枢纽令牌请求API向移动令牌化枢纽1506发送令牌请求和设备信息。在步骤4，移动令牌化枢纽1506可以基于设备信息确定为该设备产生的令牌的类型且可以从凭证存储1508检索PAN细节。例如，凭证存储可以包括把账户别名映射到账户标识符的数据结构。

在步骤5，移动令牌化枢纽可以向CTC模块1510发送产生具有在步骤 4中确定的类型的新令牌并为该令牌注册PAN的请求。在一些实施例中，在向CTC 模块发送该请求之前，移动令牌化枢纽可以把随令牌请求提供的设备信息和在消费者首次注册账户时提供的设备信息进行比较。如果该设备信息匹配，则把令牌请求发送给CTC模块1510。如果该设备信息不匹配，则可以执行附加的认证方法以便确认消费者的身份。在步骤6，CTC模块1510可以产生新的令牌并存储与PAN的关联。在步骤7，移动令牌化枢纽可以向支付控制模块发送例如基于交易数据中所包括的购买额度为给定PAN创建支付控制的请求。

在步骤8，移动令牌化枢纽可以把所产生的动态令牌递送给支付应用提供商。在步骤9，支付应用提供商可以把令牌发送给支付应用。在步骤10，支付应用可以提交带有从移动令牌化枢纽接收的动态令牌的交易。然后，如上面参考图 13描述的，可以处理该交易。

V.批量请求

在一些实施例中，可以以批量格式接收令牌请求。例如，设备生产商可以发送对令牌的批量令牌请求以便在递送给消费者之前预先预设给多个不同的移动设备。在一些实施例中，钱包提供商、发卡机构和/或PPN参考应用可以向移动令牌化枢纽发送批量令牌注册请求，以便在移动令牌化枢纽中注册所有现有的消费者的设备/卡信息。批量令牌请求可以包括批量注册文件。

响应于接收批量令牌请求，移动令牌化枢纽可以为注册文件中存在的每一消费者记录调用凭证存储服务以便验证凭证存储中的卡信息和持久设备信息和其他消费者信息。然后，移动令牌化枢纽可以向CTC模块发送执行批量令牌激活/ 产生的请求。对于带有SE且批量注册文件中存在的预先预设的令牌的每个设备，移动令牌化枢纽在CTC中启动令牌激活。对于带有SE的每个设备(该设备没有静态令牌)，移动令牌化枢纽可以在CTC中发起令牌产生。CTC可以激活/产生令牌并且在已知的场合把PAN与令牌关联起来。然后，移动令牌化枢纽可以向预设服务(例如移动网关或TSM)发送批量预设文件以及已产生的令牌和相应的移动设备信息。然后，预设服务可以安全地连接到每一移动设备并把令牌预设给移动设备的安全元件。在成功预设时，从每一移动设备接收确认消息，且预设服务向移动令牌化枢纽提供指示每一预设操作的状态的响应文件。移动令牌化枢纽可以把注册响应文件详细地递送给钱包提供商、发卡机构或参考应用。这些细节可以包括以下中的一种或多种：该请求文件中存在的注册的总数；成功注册的数量；不成功注册的数量；不成功注册的细节；以及等待预设的设备注册以及估计的预设时间。

VI.动态标识信息产生

图16示出根据本发明的一种实施例为令牌产生动态标识信息的方法。本发明的各实施例可以提供诸如dCVV值或交易处理器所提供的其他动态验证值之类的、用于从已注册系统接收的令牌的动态标识信息的产生。

在步骤1600，移动令牌化枢纽可以从已注册系统接收对与令牌相关联的动态标识信息的请求。在一些实施例中，移动令牌化枢纽可以提供用于验证与从已注册服务或实体接收的令牌相关联的dCVV的服务，或者可以产生新的dCVV 并把该新的dCVV提供给请求服务或实体，以便用来验证交易数据。

例如，交易中的一些发卡机构、钱包提供商、让受方或其他实体可以通过在交易期间使用dCVV比较来验证交易以便确保交易是合法的。然而，当用交易启动时不存在的账户标识符替换令牌时，可能要求新的dCVV以供由当前存在的交易系统验证交易。因此，移动令牌化枢纽可以确定替代dCVV以便在授权请求消息、交易请求或其他交易信息中替换，以供发卡机构、钱包提供商或其他实体授权、认证或继续交易。因此，在一些实施例中，移动令牌化枢纽可以请求由CTC 在交易期间产生的新的dCVV值。

在一些实施例中，可以在发起交易时请求令牌的dCVV值。移动令牌化枢纽可以公布应用编程接口(API)，以便允许已注册系统(例如，钱包提供商、发卡机构、移动设备或先前已经向移动令牌化枢纽注册服务的其他实体)为了把交易验证为合法而从移动令牌化枢纽请求令牌的dCVV值。

在一种实施例中，移动令牌化枢纽可以通过与CTC去令牌化API通信来把所接收的令牌转换成真实账户标识符(例如，PAN)。如在步骤1602中所示出的，移动令牌化枢纽可以把令牌传输给包括把令牌转换成账户标识符的去令牌化模块的公共令牌化能力模块。CTC模块把令牌去令牌化成与消费者账户相关联的账户标识符(例如，PAN)。

在步骤1604，移动支付枢纽从去令牌化服务接收账户标识符。如上所述，账户标识符可以是PAN。在一些实施例中，在请求去令牌化或对去令牌化的账户标识符执行任何操作之前，移动令牌化枢纽可以认证请求者(例如，移动令牌化枢纽可以从请求实体请求附加的信息)。在一些实施例中，移动令牌化枢纽可以通过dCVV API与支付处理网络通信以便请求通过去令牌化过程确定或转换的真实账户标识符(例如，PAN)的dCVV值。

在步骤1606，移动令牌化枢纽把账户标识符传输给支付处理网络以便产生动态标识信息。在一些实施例中，移动令牌化枢纽可以与支付处理网络集成。在这样的实施例中，移动令牌化枢纽可以包括产生dCVV值的dCVV产生模块。在步骤1608，移动令牌化服务可以从支付处理网络接收动态标识信息。

在步骤1610，移动令牌化枢纽可以把动态标识信息传输给已注册系统。例如，移动令牌化枢纽可以把与账户标识符相关联的dCVV值提供给请求应用或交易实体，以便可以基于使用已替换的账户标识符的dCVV值来验证或校验该交易。

在一些实施例中，移动令牌化枢纽可以代表其他服务、服务器或交易实体与CTC模块交互。然而，在其他实施例中，交易中所涉及的其他服务、实体或服务器可以直接与CTC模块通信。例如，在一些实施例中，可以给已注册系统提供到CTC的接口，该接口可以向已注册系统提供比移动令牌化枢纽更有限数量的服务。

在一些实施例中，可以产生dCVV并将其随交易数据发送给发卡机构以便进行授权。发卡机构可以为去令牌化的PAN产生dCVV并将其与由移动令牌化枢纽产生的dCVV进行比较以便验证该令牌。在一些实施例中，受让方系统、支付处理网络或钱包提供商可以通过为去令牌化的PAN产生dCVV并将其与从移动令牌化枢纽接收的值进行比较来类似地验证令牌。如果由移动令牌化枢纽产生的 dCVV匹配由发卡机构、受让方、支付处理网络或钱包提供商产生的dCVV，那么，交易通过验证。

VII.令牌存在和验证

图17示出根据本发明的一种实施例确定令牌存在于移动设备上的方法。在步骤1700，移动令牌化枢纽可以通过移动设备上的应用接收对发起交易的请求。该应用可以包括钱包提供商、发卡机构和/或支付处理网络参考应用。可以由用户通过选择该账户的“别名”来启动该请求。例如，用户可以给借记卡账户指定“支票账户”的别名或其他容易记忆的指定。

在步骤1702，可以查询移动设备以便得到用于与别名相关联的账户的活动令牌。例如，响应于该请求，移动令牌化枢纽可以打开到移动设备上的安全元件的安全连接，并判断是否存在与该账户相关联的任何令牌。如果存在令牌，则移动令牌化枢纽可以判断该令牌是否仍然活动。例如，移动令牌化枢纽可以判断该令牌是否已经到期、已经达到预设消费限额或该令牌是否有资格进行当前交易(例如，交易额度是否处于该令牌的预设值域内)。作为补充或替代地，该应用可以查询该设备的安全元件和/或应用存储器，以判断是否存在与该账户相关联的任何令牌。如果标识了一个或多个令牌，那么，该应用可以判断该令牌是否活动和/或可用于当前交易。

在步骤1704，判断没有活动令牌与账户别名相关联。例如，能发现的所有令牌可能到期或没有资格进行交易(例如，因为已经达到令牌的消费限额或额度不处于该令牌的预先设定的消费值范围内)。

在步骤1706，与移动令牌化枢纽服务器计算机建立安全连接，启动地所选择的账户别名的新令牌请求。在步骤1708，把对与账户相关联的一个或多个新令牌的令牌请求传输给移动令牌化枢纽服务器计算机。

该系统可以验证令牌存在。在消费者通过在钱包提供商、发卡机构、PPN 参考应用中选择账户绰号(别名)启动交易时，该应用可以在该设备的安全元件中且然后在应用存储器中检查该令牌。如果对于所选择的账户没有找到有效令牌，则可以与移动令牌化枢纽建立安全连接。可以启动对所选择的账户绰号(别名)的新的令牌请求。

可以提供令牌有效性更新接口。该系统可以箱请求应用(内部/外部) 提供API以便通过提供令牌细节来更新令牌有效时限(扩展或减少)。该信息可以包括合作方平台标识符、应用标识符、令牌或新的有效时限。

VIII.示例性系统

下面提供的是可以在其中使用在此提供的各实施例的示例性系统的描述。尽管实体和组件中的一些可以被叙述为分离的，但在一些实例中，一个或多个组件可以被组合成单个设备或位置(且反之亦然)。类似地，尽管某些功能可以被描述成由在该系统内的单个实体或组件执行，但在一些实例中该功能可以由多个组件和/或实体执行(且反之亦然)。如下面所描述的，在各实体和组件之间的通信可以包括使用电子消息和任何合适的电子通信介质和方法交换数据或信息。

在此所使用的“发卡机构”可以通常是指维护用户30的金融账户且常常向用户30发行诸如信用或借记卡之类的支付设备32的业务实体(例如，银行或其他金融机构)。在此所使用的“商家”可以通常是指参与交易且可以向用户30销售货物或服务的实体。在此所使用的“受让方”可以通常是指与具体的商家或相似的实体有业务关系的业务实体(例如，商业银行或金融机构)。一些实体可以执行发卡机构和受让方功能两者。

图18中示出示例性金融交易系统。系统20可以包括一个或多个商家、一个或多个接入设备34、一个或多个支付设备32、一个或多个让受方和一个或多个发卡机构。例如，系统20可以包括具有商家计算机22的商家，商家计算机22 包括外部通信接口(例如用于与接入设备34和受让方24通信)、包括产生和利用电子消息的一个或模块的系统存储器已以及数据处理器(用于促进金融交易和电子消息的交换)；具有受让方计算机24的受让方，受让方计算机24包括外部通信接口(例如用于与商家计算机22和支付处理网络26通信)、包括产生和利用电子消息的一个或模块的系统存储器以及数据处理器(用于促进金融交易和电子消息的交换)；以及具有发卡机构计算机28的发卡机构，具有发卡机构计算机28包括外部通信接口(例如用于与支付处理网络26通信)、包括产生和利用电子消息的一个或模块的系统存储器以及数据处理器(用于促进金融交易和电子消息的交换)。商家计算机22的外部通信接口可以耦合到接入设备34(以使得可以由接入设备34 接收信息，且传输给商家计算机22)，或者，在一些实施例中，接入设备34可以包括商家计算机22的组件。

如这一上下文中所使用的，“外部通信接口”可以是指允许在系统20的两个或多个组件之间传递数据的任何硬件和/或软件(例如，在驻留在诸如发卡机构、受让方、商家之类的位置处的设备、支付处理网络26等等之间)。外部通信接口的一些示例可以包括调制解调器、网络接口(例如以太网卡)、通信端口、个人计算机存储器卡国际联盟(PCMCIA)插槽和卡等等。经由外部通信接口传递的数据可以按照可以是电、电磁、光或能够由外部通信接口接收的任何其他信号(共同地称为“电子信号”或“电子消息”)的信号的形式。可以经由通信路径或通道在外部通信接口中的一个或多个之间提供可以包括数据或指令的这些电子消息。如上所述，可以使用任何合适的通信路径或通道，诸如例如有线或电缆、光纤、电话线、蜂窝式链路、射频(RF)链路、WAN或LAN网络、因特网或任何其他合适的方法。

本领域中的普通技术人员将理解，可以使用用于在系统20中的组件之间存储、表示和传输数据的任何合适的通信协议。这样的方法的一些示例可以包括利用预定义的和静态的字段(例如在核心TCP/IP协议中)；“字段：值”对(例如 HTTP、FTP、SMTP、POP3和SIP)；基于XML格式；以及/或标签-长度-值格式 (Tag-Length-Value format)。

如图18中的示例性系统20所示出的，可以直接地(例如通过接触或非接触接口)或经由网络40(例如因特网)间接地通过用户计算机或移动设备36(例如在电子商务环境或其他非直接交易)把来自支付设备32的信息提供给接入设备 34。在一些实施例中，用户计算机或移动设备36可以经由网络40与支付处理网络 26交互(或系统20中的其他实体)以便形成第一通信通道，例如透过网际协议网关(IPG)27。IPG 27可以与支付处理网络26进行操作通信。尽管在图18中把IPG 27示出为分离实体，但可以把IPG 27合并到支付处理网络26中，或可以从系统 20中省略IPG 27。在后一种情况中，第一通信通道可以直接地连接支付处理网络 26和用户计算机或移动设备36。一般地，提供从用户30到支付处理网络或其他实体的通信可以允许给用户30增加各种功能，例如高级认证和验证方法(尤其是在电子商务和类似交易中)，在于2010年7月16日提交的美国专利第12/712,148 号和于2011年7月15提交的美国专利第13/184,080号中描述了高级认证和验证方法的示例，每一文献通过引用整体合并于此。然而，各实施例不限于此。

在一些实施例中，电子或数字钱包(即“电子钱包”)可以用作实施金融交易的支付设备。如图18中所示出，这样的示例性系统可以包括电子钱包服务器 29，用户30可以经由网络40访问电子钱包服务器29(直接连接或通过IPG 27)，且电子钱包服务器29也可以与商家和/或支付处理网络26操作通信(或者在一些实施例中，电子钱包服务器29可以包括支付处理网络26的一部分)。电子钱包服务器29可以被编程或被配置为提供与使用电子钱包实施交易相关联的功能中的一些或全部，包括在电子钱包数据库31中维护在用户的电子钱包和一个或多个支付账户(例如银行账户或信用卡账户)之间的关联。为了提供电子钱包服务(即使用与支付账户相关联的电子钱包来实施金融交易)，电子钱包服务器29还可以提供web接口(例如通过一个或多个web页面)以便接收和传输对支付服务的请求，并且/或者可以在用户计算机装置36处提供应用程序接口(API)(被示出为电子钱包客户机37)以便提供web服务。在于2011年3月22日提交的美国专利第 61/466,409号中更详细地描述该过程，该文献通过引用整体合并于此。

如上所述，可以把用户的电子钱包存储在电子钱包数据库31中，电子钱包数据库31可以包括与可以用来和商家实施金融交易的用户的支付账户相关联的信息。例如，电子钱包数据库31可以包括用户30的一个或多个支付账户(例如，与信用卡、借记卡等等相关联的支付账户)的主账号。在用户30输入关于可以与各种发卡机构相关联的支付账户中的一个或多个的信息的最初登记过程期间，可以用这样的信息来增殖(populate)电子钱包。一旦把支付账户信息添加到电子钱包数据库31，用户30可以通过仅利用他的电子钱包来执行交易。在用户30时使用他的电子钱包执行交易，用户30不需要给支付账户信息提供商家，但可以改为提供电子钱包信息。然后，可以在授权请求消息中包括这种信息，又可以把授权请求消息提供给支付处理网络26。然后，支付处理网络26可以经由对电子钱包服务器 29的请求访问用户的电子钱包，或者可以拥有对电子钱包数据库31的直接访问权，以便获得授权请求消息中的信息表示的相应的支付账户信息。

电子钱包客户机37可以包括向用户30提供电子钱包的前端功能的任何合适的软件。例如，电子钱包客户机37可以被实现为可由计算机装置或移动设备 32(例如，移动电话)下载的软件应用。在一些实例中，电子钱包客户机37可以提供允许用户30管理他的(多个)电子钱包的用户界面(例如一系列菜单或其他元素)(即电子钱包客户机37可以允许与电子钱包服务器29交互，且由此与电子钱包数据库31交互)。在一些实施例中，电子钱包客户机37可以把数据存储在计算机可读存储器中以供稍后使用，例如用户30与添加到电子钱包的资金来源相关联的偏好或标识符。

支付处理网络26可以被放置在系统20中的受让方计算机24和发卡机构计算机28之间。下面出于阐释目的参考图19描述示例性支付处理网络26的组件。此外，商家计算机22、受让方计算机24、支付处理网络26和发卡机构计算机 28都可以是相互操作通信(即，尽管在图18中未叙述，但一个或多个通信通道可以存在于在每一实体之间，无论这些通道是否用于实施金融交易)。

支付处理网络26可以包括用来支持和递送授权服务、异常文件服务以及清算和结算服务的数据处理子系统、网络和操作。例如，支付处理网络26可以包括(例如通过外部通信接口)耦合到网络接口的服务器计算机和信息的(多个) 数据库。示例性支付处理网络可以包括VisaNet^TM、CYBERSOURCE、 AUTHORIZE.NET、PLAYSPAN等等。诸如VisaNet^TM之类的支付处理网络是可以处理信用卡交易、借记卡交易和其他类型的商业交易。尤其，VisaNet^TM包括处理授权请求的VIP系统(集成Visa的支付系统)已经执行清算和结算服务的Base II 系统。支付处理网络26可以使用任何合适的有线或无线网络，包括因特网。

尽管一些实施例的多种数据处理功能和特征可以出现在支付处理网络 26(以及其中的服务器计算机)内，但应理解，这样的功能和特征可以出现在诸如发卡机构计算机28之类的其他组件，且不必出现在支付处理网络26或其中的服务器计算机中。

参考图19，示出支付处理网络26中的示例性服务器计算机200。示例性服务器计算机200被阐释为包括多个硬件和软件模块(201-209)。然而，应明白，仅出于阐释目的而提供该图，且模块和关联的功能中的每一种都可以由相同的或不同的组件提供和/或执行。即是说，示例性服务器计算机200可以例如通过使用软件指令和/或硬件配置的任何合适的组合执行在此描述参考支付处理网络26的相关的功能和步骤中的一些。应注意，尽管图19阐释位于单个设备上的所有模块，但不预期本公开内容受限于此。此外，用于实现在此描述的功能的系统可以具有附加的组件或少于所有这些组件。另外，一些模块可以位于诸如功能上连接到(多个) 服务器计算机组件的远程服务器或其他本地设备之类的其他设备上。

示例性服务器200被示出为包括处理器201、诸如例如缓冲存储器、 RAM、DRAM、ROM、闪存或任何其他合适的存储器设备的系统存储器202(它可以包括易失性和/或非易失性存储器的任何组合)以及外部通信接口203。此外，模块204-209中的一个或多个可以被放置在系统存储器202的组件中的一个或多个内，或者可以被放置在外部。如上面提到的，仅出于阐释目的而提供图19中所示出的软件和硬件模块，且不预期各配置是限制。处理器201、系统存储器202和/ 或外部通信接口203可以与下面描述的模块中的任何联合使用，以便提供期望的功能。一些示例性模块和相关的功能可以如下所示：

通信模块204可以被配置或被编程为接收和产生电子消息，包括通过系统20传输给图18中所示出的实体中的任何或从其传输的信息。在服务器计算机 200经由外部通信接口203接收到电子消息时，可以将其它传送给通信模块204。通信模块204可以基于系统20中所使用的具体的消息收发协议来标识和解析相关数据。所接收的信息可以包括，举例来说，标识信息、交易信息和/或支付处理网络26可以用来授权金融交易或执行结算和清算过程的任何其他信息。然后，通信模块204可以把任何所接收的信息传输给在服务器计算机200内的适当模块(例如经由系统总线线250)。通信模块204也可以从服务器计算机200中的模块中的一个或多个接收信息并按照与系统20中所使用的传输协议一致的适当数据格式产生电子消息，以使得可以把该消息发送给在系统20内的一个或多个组件(例如发送给发卡机构计算机28或商家计算机22)。然后，可以把电子消息传送给外部通信接口203以供传输。电子消息可以例如包括授权响应消息(例如传输给实施交易的商家)，或者可以是要传输或转发给发卡机构的授权请求消息。

数据库查找模块205可以被编程或被配置为执行与从一个或多个数据库216检索信息相关联的功能中的一些或全部。在这点上，数据库查找模块205 可以从服务器200的一个或多个模块(例如模块204、授权模块208或结算模块209) 接收对可以存储数据库216中的一个或多个的信息的请求。然后，数据库查找模块 205可以确定和查询适当的数据库。数据库更新模块206可以被编程或被配置为维护和更新数据库216，例如授权数据库215。在这点上，数据库更新模块206可以从在此讨论的模块中的一个接收关于用户、金融机构、支付设备和/或当前或过去的交易信息的信息。然后，可以使用任何合适的存储过程把该信息存储在数据库 210中的适当位置。

报告产生模块207可以被编程或被配置为执行与产生关于用户、账户、交易或多个交易、或关于系统20的任何其他实体或信息类别的报告相关联的功能中的一些或全部。这可以包括，举例来说，标识模式(例如指示欺诈交易或多个欺诈交易的模式)，以及产生可以发送(例如经由通信模块204和外部通信接口203) 给系统20中包括用户、商家或发卡机构在内的一个或多个实体的一个或多个警报。而且，报告产生模块可以例如经由数据库查找模块205从数据库216中的一个或多个请求信息。

授权模块208可以被配置或被编程为执行与授权金融交易相关联的一些或全部功能，所述金融交易与授权请求消息相关联。授权请求消息可以由商家计算机22产生，且可以与涉及支付设备32的交易相关联。授权请求消息可以包括可用来授权或标识交易的任何合适信息，且可以由商家计算机22响应于在支付设备 32或移动设备36和接入设备34之间的交互而产生授权请求消息。授权模块208 可以，举例来说，被编程或被配置为把经由授权请求消息接收到的信息与服务器 200或数据库210处已存储的信息(例如包括验证值)进行比较。在一些实施例中，如果所接收的和已存储的值匹配，则授权模块208可以授权该交易(或者更可能授权该交易)，且可以指示通信模块201产生授权响应消息。授权模块207也可以被编程或被配置为执行与典型授权相关联的任何进一步的操作。如图19中所示出，各种附加的模块210-212也可以出现在服务器计算机200中。例如，如上面参考图 1所描述的，支付处理网络可以包括预设服务模块210，预设服务模块210可以安全地连接到一个或多个移动设备以提供或更新存储在移动设备上的令牌。支付处理网络也可以包括支付控制模块211，如上所述，支付控制模块211可以用来对令牌施加限制，例如生命周期限制、消费限额等等。支付处理网络也可以包括dCVV 产生模块212，如上所述，dCVV产生模块212可以用来为使用令牌的交易产生动态标识信息。

支付处理网络26可以包括一个或多个数据库216，例如授权数据库215。在这一示例中示出的数据库中的每一个都可以包括多于一个的数据库，且可以位于相同的位置或不同的位置。授权数据库215可以包含与支付设备32和/或支付账户相关的信息以及与支付账户相关联的任何其他合适的信息(例如交易信息)。例如，授权数据库215可以包括具有多个关联字段的关系数据库，这些字段包括主账户标识符(例如PAN)、与账户相关联的发卡机构、支付设备32的到期日期、(多个) 验证值、给交易授权的额度、用户名、用户联系信息、先前交易交易数据等等。在一些实施例中，在授权交易时，授权模块208可以利用存储在授权数据库215中的信息中的一些或全部。

数据库216也可以包括多个附加的数据库。例如，如上面参考图1所描述的，支付处理网络可以维护包括可以用于认证和验证的设备信息、账户信息和其他凭证的凭证数据库220。

IX.示例性方法

下面参考图20且还参考图18和图19中的系统元素描述用于示例金融交易系统20的方法。下面描述的方法本质上是示例性的，且不预期是限制。根据在此描述的一些实施例的方法可以包括(或省略)下面描述的步骤中的一些或全部，且可以包括与在此描述的不同顺序的步骤。

可以如下描述在接入设备34(例如，POS位置)处使用支付设备32的典型信用卡交易流。(注意，本发明的各实施例不限于信用卡交易，而是也可以包括其他类型的支付交易，包括预付费和借记交易)。用户30把他或她的支付设备 32呈现给接入设备34以便为商品或服务支付。支付设备32和接入设备34交互，以使得由接入设备34(例如经由接触或非接触界面)接收来自支付设备32(例如 PAN、PAN替代品(令牌)、(多个)验证值、到期日期等等)的信息。如图20 中所示出，然后，在步骤401，商家计算机22可以从接入设备34经由外部通信接口接收这种信息。然后，商家计算机22可以产生授权请求消息，该授权请求消息包括从接入设备34接收的该信息(即对应于支付设备32的信息)以及附加的交易信息(例如交易额度、商家专用信息等等)，并且在步骤402把这种信息电子传输给受让方计算机24。受让方通常表示和担保金融交易(例如信用卡交易)中的商家。然后，受让方计算机24可以接收(经由其外部通信接口)、处理授权请求消息且在步骤403把授权请求消息转发给支付处理网络26(例如图19中所示出的服务器计算机200)以供授权。

一般地，在发生信用卡交易之前，支付处理网络26具有每一发卡机构建立的、关于应如何授权发卡机构的交易的协议。在一些情况中，例如当交易额度低于阈值时，支付处理网络26的授权模块208可以被配置为基于它具有的关于用户的账户的信息授权该交易，而无需产生授权请求消息并将其传输给发卡机构计算机28。在其他情况中，例如当交易额度高于阈值时，支付处理网络26可以经由其外部通信接口203接收授权请求消息，确定与支付设备32相关联的发卡机构，且然后在步骤404把该交易的授权请求消息转发给发卡机构计算机28以供验证和授权。作为授权过程的一部分，支付处理网络26或发卡机构计算机28可以分析验证值或由支付设备32提供的其他数据。验证值可以被存储在发卡机构或支付处理网络26处(例如在数据库216中的一个中)。一旦交易获得授权，在步骤405，发卡机构计算机28可以产生授权响应消息(该授权响应消息可以包括指示交易得到批准或拒绝的授权代码)并经由其外部通信接口把该电子消息传输给支付处理网络 26。在步骤406，然后，支付处理网络26可以经由通信通道把授权响应消息转发给受让方计算机24，在步骤407受让方计算机24又可以然后包括授权指示的电子消息传输给商家计算机22。

在信用卡行业中，授权指示通常采取授权代码的形式，按照惯例，授权代码是五位或六位字母数字字符。它用于向商家和卡持有人证明发起银行或支付处理网络已经授权该交易，且如果发起银行稍后例如在结算期间怀疑该交易，则可以由商家或卡持有人用作授权的证明。授权代码与卡验证值(或下面描述的dCVV 值)不相同，这是因为它不具有与卡验证值相同的目的，卡验证值充当在实施交易时把卡呈现给商家的证明，且不能输入到商家POS终端或商家网站的CVV字段(商家POS终端或商家网站仅接受3位或4位数字)。授权代码也与3D安全数据不相同，这是由于它不具有与3D安全数据相同的目的，3D安全数据充当在实施交易时把卡呈现给商家的证明。

在用户30希望在因特网上与商家进行在线购买(即电子商务)时，除了用户30可以使用他的计算机装置或移动设备36来把与支付设备32相关联的信息(例如账号、用户名、到期日期、验证值等等)提供给商家的结账页面(例如充当接入设备34)上的各个字段之外，可以执行如上参考图20所述的相似方法。然后，接入设备34可以把这种信息提供给商家计算机22，且可以执行步骤401-407。

X.示例性支付设备

下面提供的是可以用于以上所描述的系统和方法的一些设备(和那些设备的组件)的描述。例如，这些设备可以用来接收、传输、处理和/或存储与以上所描述的任何功能相关的数据。如本领域中的普通技术人员将明白的，下面描述的各设备可以具有下面描述的组件中的仅一些，或者可以具有附加的组件。

参考图21，示出在一些实施例中可以使用的示例性移动设备36的框图。在一些实施例中，移动设备36可以是可以接收警报消息的通知设备、可以用来做出支付的支付设备、可以从消费者接收实施交易的信息的接入设备(例如POS设备)和/或多用途通用设备。示例性移动设备36可以包括出现在本体(或外壳)36 (h)内的计算机可读介质36(b)，或者，计算机可读介质36(b)可以从该设备卸载(例如计算机可读介质36(b)可以包括可以通过诸如USB连接之类的物理接口连接的外部存储器，或者数据可以远程主控且由该设备无线访问——例如可以在“云”中的远程服务器中主控和存储数据)。计算机可读介质36(b)可以是以存储数据的存储器的形式。存储器可以存储诸如财务信息、交通信息(例如，在地铁或列车通行证中)、访问信息(例如，访问徽章)、序列号、移动账户信息之类的信息和任何其他合适的信息。一般地，任何这种信息都可以由移动设备36经由任何合适的方法传输(例如传输给接入设备34)，这些方法包括使用天线36(a)或非接触元件36(g)。本体36(h)可以是以塑料衬底、机壳或其他结构的形式。

在一些实施例中，移动设备36还可以包括非接触元件36(g)，通常以带有诸如天线之类的关联无线传输(例如，数据传输)元件的半导体芯片(或其他数据存储元件)的形式实现非接触元件36(g)。非接触元件36(g)可以耦合到(例如，嵌入在其中)移动设备36，且可以通过非接触元件接口(未示出)把经由蜂窝式网络传输的数据或控制指令应用到非接触元件36(g)。非接触元件元件用于准许在移动设备电路和可选非接触元件36(g)之间或在具有非接触元件的另一设备(例如POS终端或支付设备)之间交换数据和/或控制指令。非接触元件 36(g)能够使用短距离无线通信能力来传递和接收数据。如上所述，移动设备36 可以包括是询问器设备(例如接收数据)和被询问的设备(例如发送数据)两者的组件。因而，移动设备36能够经由蜂窝式网络(或任何其他合适的无线网络——例如因特网或其他数据网络)和短距离通信两者通信和传递数据或控制指令。

移动设备36也可以包括处理器36(c)(例如，微处理器)，它用于处理电话36和显示器36(d)的功能，以便允许消费者看到电话号码和其他信息和消息。移动设备36还可以包括允许用户把信息输入到设备的输入元件36(e)、允许用户听到语音通信、音乐等等的扬声器36(f)以及允许用户通过移动设备36 传输她的语音的话筒36(i)。移动设备36也可以包括用于无线数据传输(例如，数据传送)的天线36(a)。

图22示出以卡的形式的支付设备32”的示例。正如所示出的，支付设备32”包括塑料衬底32(m)。在一些实施例中，用于与接入设备34连接的非接触元件32(o)可以出现在塑料衬底32(m)上或嵌入在其中。可以把诸如账号、到期日期和/或用户名之类的消费者信息32(p)印刷或压印在卡上。磁条32(n) 也可以是在塑料衬底32(m)上。在一些实施例中，支付设备32″可以包括微处理器和/或存储器芯片，且用户数据存储在它们上。

如上所述和图22中所示出，支付设备32”可以包括磁条32(n)和非接触元件32(o)两者。在一些实施例中，磁条32(n)和非接触元件32(o)两者可以是在支付设备32”中。在一些实施例中，磁条32(n)或非接触元件32(o) 可以出现在支付设备32”中。

XI.子系统和组件

在此描述的各种参与者和元素可以操作一个或多个计算机装置来促进在此描述的功能。以上所描述的图中的任何元素，包括任何服务器或数据库在内，都可以使用任何合适数量的子系统来促进在此描述的功能。

图23中示出这样的子系统或组件的示例。图23 中所示出的子系统经由系统总线445互连。示出了附加的子系统，例如打印机444、键盘448、固定盘449 (或包括计算机可读介质的其他存储器)、耦合到显示适配器482的监视器446 和其他。耦合到I/O控制器441(I/O控制器441可以是处理器或其他合适的控制器)的外围设备和输入/输出(I/O)设备可以通过诸如串行端口484之类的本领域中已知的任何数量的装置连接到计算机系统。例如，串行端口484或外部接口481 可以用来把计算机装置连接到诸如因特网之类的广域网、鼠标输入设备或扫描仪。经由系统总线的互连允许中央处理器443与每一子系统通信并控制来自系统存储器442或固定盘449的指令的执行以及在子系统之间的信息交换。系统存储器442和/或固定盘449可以实现计算机可读介质。

使用诸如例如Java、C++或Perl之类的任何合适的计算机语言，使用例如常规的或面向对象的技术，可以把本申请中所描述的任何软件组件或功能实现为由处理器执行的软件代码。软件代码可以被存储为计算机可读介质(例如a随机存取存储器(RAM)、只读存储器(ROM)、诸如硬盘驱动器或软盘之类的磁介质或诸如CD-ROM之类的光介质)上的一系列指令或命令。任何这样的计算机可读介质可以驻留在单个计算装置上或在单个计算装置内，且可以出现在系统或网络内的不同计算装置上或在系统或网络内的不同计算装置内。

上面的描述是说明性的而不是限制性的。本领域中的技术人员在阅读本公开内容后将明显看出本发明的多种变型。因此，可以不参考上面的描述而确定本发明的范围，而是可以参考待决的权利要求以及它们的完整范围或等效物来确定本发明的范围。

在不偏离本发明的范围的前提下，来自任何实施例的一个或多个特征可以与任何其他实施例的一个或多个特征组合。

除非明确地指出与此相反，否则对“一个(a)”、“一种(an)”或“该(the)”的叙述意指“一个或多个”。

上面提到的所有专利、专利申请、出版物和描述出于全部目的通过引用整体合并于此。不承认任何一种是现有技术。

Claims

1.一种用于实现移动令牌化枢纽的方法，包括：

由令牌化枢纽服务器接收来自第一移动设备的第一令牌请求；

由所述令牌化枢纽服务器标识包含与所述第一令牌请求相关联的第一设备类型标识符的第一设备信息；

由所述令牌化枢纽服务器根据所述第一设备类型标识符，判定所述第一移动设备包括安全元件；

由所述令牌化枢纽服务器根据所述第一移动设备包括安全元件的判定结果，确定静态类型的令牌；

由所述令牌化枢纽服务器将对所述静态类型的令牌的请求发送给公共令牌化能力服务器；

由所述令牌化枢纽服务器从所述公共令牌化能力服务器接收静态令牌；

由所述令牌化枢纽服务器将所述静态令牌写至所述第一移动设备的所述安全元件；

由所述令牌化枢纽服务器接收来自第二移动设备的第二令牌请求；

由所述令牌化枢纽服务器标识包含与所述第二令牌请求相关联的第二设备类型标识符的第二设备信息；

由所述令牌化枢纽服务器根据所述第二设备类型标识符，判定所述第二移动设备包括非安全元件；

由所述令牌化枢纽服务器根据所述第二移动设备包括非安全元件的判定结果，确定动态类型的令牌；

由所述令牌化枢纽服务器将对所述动态类型的令牌的请求发送给所述公共令牌化能力服务器；

由所述令牌化枢纽服务器从所述公共令牌化能力服务器接收动态令牌；以及

由所述令牌化枢纽服务器向所述第二移动设备返回所述动态令牌。

2.如权利要求1所述的方法，其特征在于，将所述静态令牌写至所述第一移动设备的所述安全元件的步骤进一步包括：

把所述静态令牌发送给预设服务，其中所述预设服务打开到所述第一移动设备的安全连接。

3.如权利要求1所述的方法，其特征在于，进一步包括：

把所述第一和第二设备信息留存在支付处理网络中的凭证数据库中，其中所述第一和第二设备信息由在所述第一和第二移动设备上执行的支付应用捕捉，且把所述第一和第二设备信息包含在对激活预先预设的令牌的请求中。

4.如权利要求1所述的方法，其特征在于，所述第一令牌请求是请求激活被存储在所述第一移动设备的所述安全元件上的预先预设的令牌。

5.一种用于实现移动令牌化枢纽的系统，包括：

移动令牌化枢纽服务器计算机，其包括处理器和包括存储在其上的指令的非暂态计算机可读存储介质，所述指令在由所述处理器执行时，使得所述处理器实现一种方法，所述方法包括：

接收来自第一移动设备的第一令牌请求；

标识包含与所述第一令牌请求相关联的第一设备类型标识符的第一设备信息；

所述第一设备类型标识符，判定所述第一移动设备包括安全元件；

根据所述第一移动设备包括安全元件的判定结果，确定静态类型的令牌；

把对所述静态类型的令牌的请求发送到被配置为与所述移动令牌化枢纽服务器计算机通信的公共令牌化能力服务器；

从所述公共令牌化能力服务器接收静态令牌；

将所述静态令牌写至所述第一移动设备的所述安全元件；

接收来自第二移动设备的第二令牌请求；

标识包含与所述第二令牌请求相关联的第二设备类型标识符的第二设备信息；

根据所述第二设备类型标识符，判定所述第二移动设备包括非安全元件；

根据所述第二移动设备包括非安全元件的判定结果，确定动态类型的令牌；

将对动态类型的令牌的请求发送给所述公共令牌化能力服务器；

从所述公共令牌化能力服务器接收动态令牌；以及

向所述第二移动设备返回所述动态令牌。

6.如权利要求5所述的系统，其特征在于，进一步包括：

把所述第一和第二设备信息留存在支付处理网络中的凭证数据库，其中所述第一和第二设备信息由在所述第一和第二移动设备上执行的支付应用捕捉，且把所述第一和第二设备信息包含在对激活预先预设的令牌的请求中。

7.如权利要求5所述的系统，其特征在于，所述第一令牌请求是请求激活被存储在所述第一移动设备的安全元件上的预先预设的令牌。