浅谈金融ＩＣ卡在轨道交通领域的应用研究

　　伴随着银行ＩＣ 卡产业升级，非接触式金融ＩＣ卡的发卡量将逐步增加，受理环境也会有很大改善，未来金融ＩＣ卡的脱机消费交易量将会有很大的增长。如何实现金融ＩＣ卡在城市轨道交通领域的应用，是各发卡银行和轨道交通公司共同关心的问题。２００５年３月，中国人民银行正式颁发了《中国金融集成电路（ＩＣ）卡规范》（业内简称“ＰＢＯＣ２．０”）。该规范补充完善了电子钱包和存折应用，增加了与ＥＭＶ（欧陆卡（Ｅｕｒｏｐａｙ）、万事达卡（ＭａｓｔｅｒＣａｒｄ）、威士卡（ＶＩＳＡ）联系组织）标准兼容的借或贷记应用，增加了非接触式ＩＣ卡物理特性标准及电子钱包扩展应用指南、借或贷记应用个人化指南等内容［１］。在此基础上，为了拓展金融ＩＣ卡的行业应用，２０１１年２月，中国银联制订了《基于非接触式小额支付的扩展应用规范》。该规范制定了复合消费交易流程，明确了复合应用个人化要求，为金融ＩＣ 卡在城市轨道交通中的应用提供了可能。 

　　根据中国人民银行规划，国内所有银行将停止磁条卡的发放，新发卡全部为智能ＩＣ卡，因此，由磁条卡向ＰＢＯＣ２．０标准的智能卡发展的产业升级成为大势所趋。新的金融ＩＣ卡以其便利的小额脱机支付优势，将逐步进入各行各业。城市轨道交通作为集中的小额支付领域，将是各金融ＩＣ卡进入的重点行业。实现金融ＩＣ卡在城市轨道交通中的应用，既可以方便乘客便捷乘车，也减少了各城市轨道交通公司的发卡成本，避免资源浪费，具有良好的经济效益和社会效益。 

　　１　金融ＩＣ卡总体应用架构 

　　为实现金融ＩＣ卡在城市轨道交通中的应用，需要城市轨道交通的ＡＦＣ（自动售检票）系统、清分中心，以及金融ＩＣ卡发卡行、收单行甚至银联等单位的共同配合。金融ＩＣ卡应用系统一般性总体架构如图１所示。 

　　在金融ＩＣ卡应用系统建设初期，发卡行和收单行可能为同一银行，此时所有清算均可以由发卡行完成，脱机交易文件及清算均不需要通过银联；但随着可以受理的发卡行的逐步增加，最终需要由银联完成清算。 

　　从清算角度而言，城市轨道交通整体作为一个商户，通过清分中心与收单行接入银联清算体系，由银联完成与发卡行和收单行的资金清算；银联清算完成后，由收单行与清分中心完成清算，城市轨道交通各条线路间的清算由清分中心完成。收单行具体是接入中国银联还是地方银联，可依据收单行接入情况而定。 

　　以宁波轨道交通ＡＦＣ和ＡＣＣ（清结算中心）系统建设为例，根据规划设计，宁波轨道交通开通运营能受理宁波市民卡的金融ＩＣ 卡。该卡采用ＴＹＰＥ　Ａ　ＣＰＵ卡，首次发放该卡的发卡行有中国建设银行、鄞州银行。按照系统总体结构图，宁波市民卡公司作为收单行完成与宁波轨道交通清分中心的对接，脱机消费文件由宁波市民卡公司接收并转宁波银联，宁波银联通过中国银联转发卡行，由发卡行最终完成脱机消费文件的交易合法性验证，中国银联完成与各行的资金清算，宁波市民卡公司完成与宁波轨道交通的清算。 

　　２　金融ＩＣ卡应用分析 

　　２．１　主要交易 

　　２．１．１　进站 

　　根据中国银联制定的非接触式金融ＩＣ卡小额支付扩展应用规范，持卡人使用非接触式金融ＩＣ卡进城市轨道交通闸机时（检票机），闸机将作如下处理：
　　（１）闸机读卡器首先选择和激活卡片，并通过ＡＩＤ（应用标示符）选择判断卡片是否支持复合消费交易。
　　（２）闸机读卡器发出命令查询复合应用，判断卡片是否支持城市轨道交通收费应用。如支持，则读取此特定复合应用专用数据，并根据数据进行处理，如处理结果为不允许进行进站交易，则提示持卡人；如处理结果允许进行进站交易，闸机读卡器进行复合应用消费交易，其中交易金额为０。
　　（３）闸机读卡器更新交易标志、进站时间、线路代码、车站代码、进站闸机代码等字段，卡片缓存要更新的ＣＡＰＰ（复合应用）记录内容。
　　（４）闸机读卡器根据ＡＦＬ（应用文件定位器）记录的内容读取与交易相关的记录，卡片在返回最后一条记录后，完成实际的ＣＡＰＰ数据更新。
　　（５）闸机读卡器根据交易过程中卡片返回的数据，对卡片进行动态数据认证。
　　（６）如果卡片通过认证，闸机读卡器生成进站交易报文发送闸机，闸机生成交易流水，并允许持卡人进站。 

　　２．１．２　出站 

　　持卡人使用非接触式金融ＩＣ卡出城市轨道交通闸机时，闸机将作如下处理：
　　（１）闸机读卡器首先选择和激活卡片，并通过ＡＩＤ选择判断卡片是否支持基于非接触小额支付的复合消费交易。
　　（２）闸机读卡器发出命令查询复合应用，判断卡片是否支持城市轨道交通收费应用。如支持，则读取城市轨道交通收费复合应用专用数据，并根据进出站站点代码从票价表中获取票价金额；如处理结果为不允许进行出站交易，则提示持卡人。
　　（３）闸机读卡器更新城市轨道交通收费复合应用专用数据，填写出站交易时间、出站交易线路代码、出站交易站点代码、出站交易闸机代码、交易金额，保留城市代码、运营企业代码、记录格式版本号、进站交易时间、进站交易线路代码、进站交易站点代码、进站交易闸机代码等字段记录原值；卡片缓存要更新的ＣＡＰＰ记录内容，其中交易金额为票价金额。
　　（４）闸机读卡器根据ＡＦＬ记录的内容读取与交易相关的记录，卡片在返回最后一条记录后，完成实际的ＣＡＰＰ数据更新。
　　（５）闸机读卡器根据交易过程中卡片返回的数据，对卡片进行动态数据认证。
　　（６）如果卡片通过认证，闸机读卡器生成出站交易报文发送闸机，闸机生成交易流水，并允许持卡人出站。 

　　２．１．３　交易更新 

　　当ＩＣ卡因进出站逻辑发生混乱而不能正常使用时，应当进行交易更新。交易更新分为进站更新、出站更新、超时超程更新等。交易更新的规则由运营商制定。处于交易状态的ＩＣ卡读写器收到该命令时，先根据规则和命令参数中的金额对ＩＣ卡进行扣款，然后根据命令参数确定的更新类型更改ＩＣ卡上相应的进出站标志，使ＩＣ卡能够正常进站或出站。具体读写卡流程同进出站交易。
　　ＩＣ卡交易更新在ＢＯＭ（半自动售票机）上完成。 

　　２．１．４　ＩＣ卡充值（圈存） 

　　技术上，系统可以实现在ＢＯＭ 上对金融ＩＣ卡的联机充值（圈存）交易。该交易最好由清分中心作统一接入和转发，车站和线路中央只在网络层传输报文。清分中心应部署发卡行充值认证前置，由该前置直接与发卡行通信，ＢＯＭ 收到发卡行充值报文后完成写卡动作。
从交易成功率和安全角度考虑，一般不建议在ＢＯＭ 上实现对金融ＩＣ卡的充值。 

　　２．２　脱机消费文件传送 

　　（１）文件生成。城市轨道交通闸机根据读卡器发送的进出站报文信息，按照ＡＦＣ线网规范打包生成脱机消费文件；票房售票机根据读卡器发送的更新报文信息，按照ＡＦＣ线网规范打包生成脱机消费文件。
　　（２）文件传送。脱机消费文件传送按以下流程完成：闸机或ＢＯＭ→车站计算机→线路中央计算机→清分中心→收单行→银联→发卡行。若为行内收单，则不用通过银联。
　　（３）交易验证。发卡行收到脱机消费文件后对每笔交易进行交易证书验证，验证失败的交易需查找原因并做人工调整。 

　　２．３　交易清分 

　　城市轨道交通清分中心收到脱机消费文件后，根据ＡＦＣ线网规范解包并将交易记录入库，通过清分应用系统对入库记录完成交易清分。金融ＩＣ卡交易同单程票和城市通卡的交易一样，适用相同的清分规则。 

　　２．４　资金清算 

　　收单行、发卡行及银联间的资金清算按银联清算办法执行，城市轨道交通公司通过清分中心与收单行完成金融ＩＣ卡交易的资金清算，城市轨道交通路网各收益方的二级清算由清分中心完成。 

　　２．５　难点分析 

　　由于脱机交易的非实时性，系统的安全保障体系是应用的主要难点。根据ＰＢＯＣ　２．０，发卡行发行金融ＩＣ卡时，卡片保存的密钥有应用密文密钥、安全报文认证密钥、安全报文加密密钥和卡片公私钥对等。这些密钥充分保证了卡片本身的安全，并且为卡片交易应用、安全报文ＭＡＣ（报文鉴别码）计算、脱机数据认证等提供了安全密钥。金融ＩＣ卡在城市轨道交通中应用时，系统需完成卡片合法性认证、交易报文安全传送、扩展应用文件保护等安全措施。交易结束后，发卡行还需对每笔交易进行合法性验证。 

　　２．５．１　卡片认证
　　闸机、票房售票机对金融ＩＣ卡卡片的认证采用非对称密码体系，清分中心从收单行获取认证中心公钥，以参数下发交易将公钥下发到闸机和票房售票机，交易时以该公钥完成签名验证。 

　　２．５．２　公钥密码体系
　　公钥密码体系，又称非对称密码体系。它使用二个密钥，一个用于加密信息，另一个用于解密信息。这二个密钥间满足一定数学关系，用二个密钥中的任何一个加密的数据，只能用另外一个进行数据解密。因此，可以保证任何收到该用户公钥的其它用户，发送用此公钥进行加密的数据，只有该用户用自己的私钥才能进行解密。 

　　２．５．３　扩展应用文件保护
　　金融ＩＣ卡卡片扩展应用文件的写保护采用对称密码体系，密钥保存在闸机及票房售票机的ＰＳＡＭ（终端消费安全存取模块）卡中。由于该密钥保护的是复合消费区，因此建议由城市轨道交通公司发行，甚至可与城市轨道交通单程票共用同一密钥，这样既节约投资也节省了机具的ＰＳＡＭ卡插槽。 

　　２．５．４　安全报文传送
　　数据完整性以及对发送方的认证通过使用ＭＡＣ来实现，数据的可靠性通过对数据域的加密来得到保证［４］。金融ＩＣ卡在城市轨道交通应用时的安全控制，是整个金融ＩＣ卡系统安全控制的一部分。从已发行并投入脱机支付使用的金融ＩＣ卡使用情况来看，这些安全措施可以达到用户的安全要求。 

　　２．６　卡片结构示例
　　支持复合消费应用的金融ＩＣ卡卡片内部结构示例如图２所示。 

　　行业应用信息的文件放在同一个应用中，可以避免因应用的切换消耗更多的时间。在卡片容量许可的情况下，可以在一张卡片上建立多个行业应用信息文件，以实现同一张卡的跨行业跨地域使用。