用于令牌域控制的系统和方法与流程

本申请是国际申请日为2015/5/5，国际申请号为pct/us2015/029267，进入中国国家阶段的申请号为201580023408.3，题为“用于令牌域控制的系统和方法”的发明专利申请的分案申请。

相关申请的交叉引用

本申请是于2014年5月5日提交的美国临时申请号61/988,815的非临时申请并要求其提交日期的优先权，该申请出于所有目的通过引用以其全部内容结合在此。

背景技术：

可以对令牌系统的当前实现方式进行改善。例如，在一些情况下，可能不存在足够量的可能的唯一令牌值。这在为一个用户账户发放多个令牌时可能是个问题。可以为使用支付账号的每个域发放唯一令牌，并且可以定期地对令牌进行刷新(例如，一次性使用令牌)。当前的令牌格式只允许一定量的变化，所以所有可能的唯一令牌值最终可能都被耗尽。

另一个问题在于，用户在历史上已经通过他们的主账号被各种实体所识别。用户活动跟踪、忠诚计划、活动分析以及其他计划基于pan使用。当用多个令牌替换pan时，对于某些实体(例如，收单行)而言每个令牌可能看起来都是不同的账户，并且因此这些实体可能不能够确定针对给定账户的总活动。因此，使用令牌代替主账号可能是破坏性的。

本发明的实施例单独和共同地解决了这些问题和其他问题。

技术实现要素：

本发明的一个实施例涉及一种方法。所述方法包括：令牌服务计算机中的数据处理器从第一令牌请求方计算机接收第一令牌请求；所述第一令牌请求包括价值凭证和第一域标识符。所述方法还包括：识别与所述价值凭证相关联的价值令牌；生成与所述价值令牌相关联的第一令牌代码；将所述价值令牌和所述第一令牌代码分配给所述第一域标识符；以及将所述价值令牌和所述第一令牌代码传输至所述第一令牌请求方计算机。所述第一令牌请求方随后使用所述价值令牌进行交互，并且如果所述价值令牌伴有所述第一令牌代码，则所述第一令牌请求方对所述价值令牌的随后使用是有效的。

在另一个实施例中，所述方法进一步包括：从第二令牌请求方计算机接收第二令牌请求，所述第二令牌请求包括所述价值凭证和第二域标识符。所述方法还包括：识别与所述价值凭证相关联的所述价值令牌；生成与所述价值令牌相关联的第二令牌代码；将所述价值令牌和所述第二令牌代码分配给所述第二域标识符；以及将所述价值令牌和所述第二令牌代码传输至所述第二令牌请求方计算机。所述第二令牌请求方随后使用所述价值令牌进行交互，并且如果所述价值令牌伴有所述第二令牌代码，则所述第二令牌请求方对所述价值令牌的随后使用是有效的。

本发明的另一个实施例涉及被配置成用于执行上述方法的令牌服务计算机。

本发明的另一个实施例涉及一种方法，所述方法包括：由令牌服务系统接收第一授权请求消息；所述第一授权请求消息包括价值令牌、第一令牌代码和第一域标识符。所述方法还包括：确定所述第一令牌代码与所述价值令牌相关联；确定所述价值令牌和所述第一令牌代码被分配给所述第一域标识符；识别与所述价值令牌相关联的价值凭证；将所述价值凭证添加至所述第一授权请求消息；将所述第一授权请求消息发送至授权实体计算机；从所述授权实体计算机接收包括所述价值凭证的第一授权响应消息；用所述第一授权响应消息中的所述价值令牌和所述第一令牌代码替换所述价值凭证；以及转发所述第一授权响应消息。

在另一个实施例中，所述方法进一步包括：由所述令牌服务系统接收第二授权请求消息，所述第二授权请求消息包括价值令牌、第二令牌代码和第二域标识符。所述方法还包括：确定所述第二令牌代码与所述价值令牌相关联；确定所述价值令牌和所述第二令牌代码被分配给所述第二域标识符；识别与所述价值令牌相关联的价值凭证；将所述价值凭证添加至所述第二授权请求消息；将所述第二授权请求消息发送至所述授权实体计算机；从所述授权实体计算机接收包括所述价值凭证的第二授权响应消息；用所述授权响应消息中的所述价值令牌和所述第二令牌代码替换所述价值凭证；以及转发所述授权响应消息。

本发明的另一个实施例涉及被配置成用于执行上述方法的令牌服务系统。

可以在详细描述和附图中找到关于本发明的实施例的进一步细节。

附图说明

图1示出了根据本发明的实施例的系统的框图。

图2示出了根据本发明的实施例的令牌库计算机的框图。

图3示出了根据本发明的实施例的示例性移动设备的框图。

图4示出了根据本发明的实施例的商户计算机的框图。

图5示出了框图，展示了根据本发明的一些实施例的针对各种域的令牌代码的使用。

图6示出了流程图，展示了根据本发明的实施例的方法。

图7示出了流程图，展示了根据本发明的实施例的用于共享令牌的方法。

图8示出了根据本发明的实施例的计算机装置的框图。

具体实施方式

本发明的实施例涉及除价值令牌之外还向令牌请求方提供令牌代码。令牌代码可以充当令牌持有者与令牌库之间的共享秘密。交易过程中，价值令牌和令牌代码两者可以一起被提供，并且令牌代码可以用于认证令牌持有者被授权使用价值令牌。

在一些实施例中，可以提供用于多个域的一个价值令牌。每个域可以接收不同的令牌代码连同价值令牌。如果通过某一域针对交易接收价值令牌，则只有当其伴有针对那个域的合适的令牌代码时，它才可以被认为是有效的。

如以上讨论的，使用价值令牌可能导致令牌数字问题。例如，典型的pan(支付账号)由16个数位组成。如果每个数位的范围可以是从0到9，则有10¹⁶个可能的唯一pan。然而，一个pan中的某些数位有时被各种类型的识别信息所占用。例如，前六个数位可以用于指示bin(银行识别码)。其他数位可以用于其他目的，诸如将最后数位用作校检和。在一些实施例中，用于实际识别特定账户的数位的数量可以低至(或低于)9个数位。在9个数位的示例中，现在只有10⁹或十亿个可能的唯一值。考虑到可以有数百万计的账户持有者、在任何给定的时间上，多个与每个账户相关联的令牌以及每个令牌可以被定期刷新(例如，一周一次、每次交易之后等)，可以看出，十亿个唯一值可能不足以容纳令牌化应用程序。

本发明的实施例通过提供一个价值令牌用于多个令牌域以及提供不同的令牌代码用于每个域来解决这个问题。可以为针对某一支付账户的每个域发放单个价值令牌，而非增加令牌扩散(例如，通过给每个域发放不同的价值令牌、通过不断地刷新价值令牌等)。当前的令牌格式可以提供足够的可能的令牌值以容纳每一支付账户的单个的唯一价值令牌。例如，十亿个值对于每个具有唯一令牌值的账户持有者来说可能都是足够的。在不牺牲安全性的情况下，令牌代码允许单个价值令牌广泛分布，由于在使用价值令牌时可以需要令牌代码，并且令牌代码可以仅提供给(并且是有效的对于)被授权使用价值令牌的域。

这还可以解决跟踪用户的问题。如上所述，合并令牌代码允许跨所有域由单个价值令牌唯一表示支付账户。因此，先前将pan用于跟踪用户活动的实体(例如，收单行和商户)现在可以简单地使用价值令牌取而代之(由于它可以代替pan在交易过程中被提供)。因此，实体可以如往常一样在实质上继续跟踪用户活动。在一些情况下，可以以类似于pan的方式来格式化价值令牌，所以，实体可能不能够在价值令牌与pan之间进行区分，并且它们甚至可以不注意到任何改变。例如，价值令牌是16个数位，诸如“4146723893457895”。收单行和商户可以使用全部数字或这些数字的一部分(诸如字段2、最后四个数位“7895”等)来识别一个账户和/或用户。当关于用户进行通信时，实体可以指通过价值令牌“4146723893457895”的用户。并且，当识别哪个用户正在参与交易，收单行和商户基于价值令牌“4146723893457895”来识别用户记录。

这个令牌代码系统可以被商户、收单行和其他相关实体轻松采用。最小变化需要用于现有系统(例如，如上所述，用户活动跟踪保持相同)。令牌持有者可以简单地存储附加值(令牌代码)，并且其他实体可以在授权请求和响应消息中传送令牌代码。在一些实施例中，在不需要任何改变的情况下，令牌代码可能能够适应现有授权消息格式。因此，增强支付安全性的令牌系统可以以最小的中断被引入。

在讨论本发明的特定实施例之前，某些术语可以被详细描述。

“交互”可以包括各方、各设备和/或各实体之间的通信、联系或交换。在一些实施例中，数据可以在两个设备之间的交互中交换(例如，移动设备与访问设备之间的交互)。

“价值凭证(valuecredential)”可以是与价值相关联的信息。价值凭证的示例包括支付凭证、获得推广活动所需的信息等。

“支付凭证”可以包括与账户相关联的任何合适的信息(例如，支付账户和/或与账户相关联的支付设备)。此类信息可以与账户直接相关或可以从与账户相关的信息中导出。账户信息的示例包括pan(主账号或“账号”)、用户名、失效日期、cvv(卡验证值)、dcvv(动态卡验证值)、cvv2(卡验证值2)、cvc3卡验证值等。cvv2通常被理解为是与支付设备相关联的静态验证值。cvv2值通常对用户(例如，消费者)是可见的，而cvv和dcvv值通常嵌入存储器或授权请求消息中，并且不易于被用户所熟知(尽管它们为发卡行和支付处理器所熟知)。支付凭证可以是识别或与支付账户相关联的任何信息。可以提供支付凭证以便从支付账户进行支付。支付凭证还可以包括用户名、失效日期、礼品卡卡号或代码以及任何其他合适的信息。

“令牌化”是用替代数据替换数据的过程。例如，支付账户标识符(例如，主账号(pan))可以通过使用可以与支付账户标识符相关联的替代号码(例如，令牌)替换主账户标识符来进行令牌化。另外，令牌化可以应用于可以用替代值(即令牌)替换的任何其他信息。令牌化可以用于提高交易效率、提升交易安全性性、增强服务透明性或提供一种用于第三方实现的方法。

“价值令牌”可以是价值的标识符。价值令牌的示例包括支付令牌、优惠券标识符等。

“支付令牌”可以包括账户标识符的替代物的支付账户的标识符，诸如主账号(pan)。例如，令牌可以包括一系列可以用作原始账户标识符的替代物的字母数字字符。例如，可以使用令牌“4900000000000001”代替pan“4147090000001234”。在一些实施例中，令牌可以是“格式保护”并且可以具有符合现有支付处理网络中所使用的账户标识符的数字格式(例如，iso8583金融交易消息格式)。在一些实施例中，可以使用令牌替换pan来发起、授权、结算或解决支付交易或表示通常将提供原始凭证的其他系统中的原始凭证。在一些实施例中，可以生成令牌值，使得原始pan或其他账户标识符从令牌值的恢复可以不以计算的方式得出。进一步地，在一些实施例中，令牌格式可以被配置成用于允许接收令牌的实体将其识别为令牌并且识别发行令牌的实体。

“令牌代码”可以是充当可以用于使用价值令牌(例如，支付令牌)的许可证明的字符串。在一些实施例中，令牌代码可以是十六进制值。在其他实施例中，令牌代码可以是任何其他的字母的、数字的或字母数字的值。例如，在一些实施例中，令牌代码可以由五个字符或任何其他合适的数目的字符组成。令牌代码还可以是随机的或以其他方式不可推测的值。令牌代码可以发放给价值令牌的持有者，并且令牌代码可能能够验证价值令牌。令牌代码和价值令牌的组合可以构成唯一组合。令牌代码还可以与域id(例如，指示令牌域)相关联，从而使得价值令牌由令牌代码和相关联的域id所验证。在一些实施例中，令牌代码可能对于分配给的价值令牌是唯一的。然而，令牌代码可以不必是全球唯一的。例如，相同的令牌代码可能是随机生成并且针对不同的价值令牌分配的。因此，唯一令牌代码的耗尽可能不是所关注的问题。

“令牌服务系统”或“令牌服务计算机”可以包括服务支付令牌的系统。在一些实施例中，令牌服务系统可以有助于请求、确定(例如，生成)和/或发放令牌，以及维护令牌的所建立的映射至储存库(例如，令牌库)中的主账号(pan)。在一些实施例中，令牌服务系统可以建立针对给定令牌的令牌保证等级，从而指示令牌至pan绑定的置信等级。令牌服务系统可以包括或与存储所生成的令牌的令牌库进行通信。令牌服务系统可以支持通过不使令牌令牌化使用令牌提交的支付交易的令牌处理，从而获取实际的pan。在一些实施例中，令牌服务系统可以包括单独的或与其他计算机(诸如交易处理网络计算机)结合的令牌服务计算机。令牌化生态系统的各种实体可以承担令牌服务计算机的角色。例如，支付网络和发卡行或他们的代理商根据本发明的实施例通过实现令牌服务可能变成令牌服务提供商。

除了生成和处理支付令牌之外，令牌服务计算机可以生成、发放以及处理令牌代码。例如，令牌服务计算机可以为每个分配的支付令牌生成并且提供令牌代码。在一些实施例中，单个支付令牌可以被分配给多个令牌请求方，但是不同的令牌代码可以被提供给针对单个支付令牌的每个令牌请求方。类似地，当去令牌化支付令牌时，令牌服务计算机可以验证支付令牌伴有适当的令牌代码和/或域id。

“令牌库”可以是令牌服务计算机的示例，并且可以包括维护所确立的令牌至pan映射的储存库。根据各实施例，令牌库还可以维护注册时可以确定的令牌请求方的其他属性。属性可以被令牌服务提供商所使用，以便在交易处理过程中施加域限制或其他控制。在一些实施例中，令牌库可以是令牌服务系统或令牌服务提供商的一部分。可替代地，令牌库可以是可访问令牌服务提供商的远程储存库。由于数据映射的敏感性质存储在令牌库中且在其中进行管理，令牌库可以由强大的下层物理和逻辑安全性进行保护。

“令牌交换”或“去令牌化”可以包括恢复令牌化过程中所替代的数据的过程。例如，令牌交换可以包括在pan的令牌化过程中使用与支付令牌相关联的相应的主账号(pan)替代支付令牌。因此，去令牌化可以指基于所存储的令牌至pan映射兑换针对相关联的pan值的令牌的过程，例如，在令牌库中。交换相关联的令牌找回pan的能力可以局限于特别授权的实体、个人、应用程序或系统。另外，去令牌化或令牌交换可以应用于任何其他信息。在一些实施例中，令牌交换可以经由交易消息(诸如iso消息)、应用编程接口(api)或另一类型的网站界面(例如，网站请求)来实现。

“令牌请求方”包括请求令牌的实体。令牌请求方可以发起主账号(pan)通过将令牌请求消息提交给令牌服务提供商被令牌化的请求。根据各实施例，一旦请求方已经接收到被请求的令牌，令牌请求方可以不再需要存储与令牌相关联的pan。请求方可以是被配置成用于执行与令牌相关联的动作的应用程序、设备、进程或系统。令牌请求方可以向网络令牌系统请求注册，请求令牌生成、令牌激活、令牌去激活、令牌交换、与令牌生命周期相关的进程和/或与任何其他的令牌相关的进程。请求方可以通过任何合适的通信网络和/或协议(例如，使用https、soap和/或xml界面以及其他)与网络令牌系统相连接。令牌请求方的一些非限制性示例可以包括例如由用户、存留卡信息的商户、收单行操作的通信设备(例如，移动电话和计算机)、收单行处理器以及代表商户、支付使能者(例如，原始设备制造商、移动网络运营商等)、数字钱包提供商、发卡行、第三方钱包提供商操作的支付网关和/或交易处理网络。在一些实施例中，令牌请求方可以针对多个域和/或通道请求令牌。令牌请求方可以由令牌化生态系统中的令牌服务提供商注册且唯一识别。在令牌请求方注册过程中，令牌服务提供商可以正式地处理令牌请求方的申请以参与令牌服务系统。令牌服务提供商可以收集与请求方的性质相关的信息以及令牌的相关使用，从而验证并正式地批准令牌请求方，并且确立合适的域限制控制。成功注册的令牌请求方可以被分配有还可以在令牌库中输入并且维护的域id。令牌请求方可以被撤销或被分配新的域id。这个信息可能受到令牌服务提供商的上报和审计。

“令牌域”可以指示令牌可以使用的区域和/或环境。令牌域的示例可以包括但不限于：支付通道(例如，电子商务、物理销售点等)、pos进入模式(例如，非接触式、磁条等)以及唯一识别令牌可以使用的商户标识符。一组参数(即令牌域限制控制)可以确立为由可以允许加强支付交易中令牌的合适用途的令牌服务提供商发放的令牌的一部分。例如，令牌域限制控制可以限制具有特定呈现模式(例如，非接触式或电子商务呈现模式)的令牌的使用。在一些实施例中，令牌域限制控制可以限制可以被唯一识别的特定商户处的令牌的使用。一些示例性令牌域限制控制可能需要验证对给定交易唯一的令牌密码的存在。在一些实施例中，令牌域可以与令牌请求方相关联。例如，令牌请求方可以请求某个域的令牌，并且令牌请求方和域可以均由某个域id识别。

“域标识符(id)”可以包括令牌域和/或令牌请求方的标识符。它可以包括与实体相关联的任何字符、数字或其他标识符，所述实体与网络令牌系统相关联。在一些实施例中，唯一域id可以针对与相同的令牌请求方相关联的每个域被分配。例如，域id可以使用令牌域(例如，电子商务、非接触式等)识别一对令牌请求方(例如，移动设备、商户、移动钱包提供商等)。域id可以包括任何格式或类型的信息。例如，在一个实施例中，域id可以包括字母数字值，诸如十个数位或十一个数位字母和/或数字(例如，4678012345)。在一些实施例中，域id可以包括用于令牌服务提供商(诸如网络令牌系统)的代码(例如，前三个数位)，并且剩余的数位可以由令牌服务提供商分配给每个请求实体(例如，移动钱包提供商)以及令牌域(例如，非接触式、电子商务等)。

“令牌有效期”可以指令牌的失效日期/时间。令牌有效期可以在交易处理过程中令牌化生态系统的实体之间变化，从而确保互操作性。令牌失效日期可以是数值(例如，四个数位数值)。

“移动设备”可以包括可以由用户转移和操作的任何合适的电子设备，其还可以提供到网络的远程通信能力。远程通信能力的示例包括使用移动电话(无线)网络、无线数据网络(例如3g、4g或者类似的网络)、wi-fi、wi-max或者可以提供对网络如因特网或专用网络的访问的任何其他通信介质。移动设备的示例包括移动电话(例如，蜂窝电话)、pda、平板计算机、上网本、膝上计算机、个人音乐播放器、手持式专用读取器等。移动设备的进一步示例包括可穿戴设备(诸如智能手表、健身带、脚链、戒指、耳环等)以及具有远程通信能力的汽车。移动设备可以包括用于执行此类功能的任何合适的硬件和软件，并且还可以包括多个设备或部件(例如，当设备通过拴系到另一设备(即，使用另一设备作为调制解调器)而可以远程访问网络时，两个设备可以一起被认为是单个移动设备)。

移动设备可以包括用于进行金融交易(诸如用于将支付凭证提供给商户)的任何合适的设备。此类移动设备可以呈任何合适的形式。例如，合适的移动设备可以是手持式且紧凑型的，从而使得它们可以适合放入用户的钱包和/或口袋中(例如，袖珍型)。它们可以包括智能卡、磁条卡、钥匙链设备(如可从埃克森美孚公司(exxon-mobilcorp.)商购的speedpass^tm)等。移动设备的另一个示例包括传呼机、支付卡、安全性卡、赊购卡、智能媒介、转发器等等。如果移动设备是借记卡、信用卡或智能卡的形式，则移动设备还可以可选地具有如磁条的特征。这类设备可以用接触式或非接触式模式操作。

“短距离通信”或“短距离无线通信”可以包括用于提供短距离联系或非接触式通信能力(诸如rfid、bluetooth^tm、红外线或者可以用于在移动设备与访问设备之间交换数据的其他数据传递能力)的任何方法。在一些实施例中，短距离通信可以符合标准化协议或数据传输机制(例如，iso14443/nfc)。短距离通信通常包括在小于两米的范围处的通信。在一些实施例中，较优地是针对安全性、技术的和/或实际的考虑限制短距离通信的范围(例如，小于1米、小于10厘米或小于2.54厘米的范围)。

“应用程序”可以是存储在可以由处理器执行来完成任务的计算机可读介质(例如，存储器元件或安全元件)上的计算机代码或其他数据。

“数字钱包”可以包括允许个人进行电子商务交易的电子设备。数字钱包可以存储用户简档信息、支付凭证、银行账户信息、一个或多个数字钱包标识符和/或等等，并且可以在各种各样的交易(如但不限于针对零售购买、数字产品购买、实用程序支付、从游戏网站购买游戏或游戏信用、在用户之间划拨资金和/或等等的电子商务、社交网络、转账/个人支付、移动商务、近距离支付、游戏和/或等等)中使用。数字钱包可以被设计成用于简化购买和支付过程。数字钱包可以允许用户将一个或多个支付卡加载到数字钱包中，从而在不输入账号或出示实物卡的情况下进行支付。

“数字钱包提供商”可以包括将数字钱包发放给用户并使得用户进行金融交易的实体，诸如发卡行或第三方服务提供商。数字钱包提供商可以提供代表持卡者(或其他用户)存储账号或账号表示(例如，支付令牌)的独立的面向用户的软件应用程序，以便于在多于一个不相关的商户处进行支付、执行面对面支付或将金融价值输入数字钱包。数字钱包提供商可以使得用户经由个人电脑、移动设备或访问设备访问其账户。另外，数字钱包提供商还可以提供以下功能中的一项或多项：代表用户表存储多个支付卡和其他支付产品，存储包括账单地址、运输地址以及交易历史的其他信息，通过一种或多种方法发起交易，诸如提供用户名和密码、nfc或物理令牌，并且可以促进传递或两步交易。

“用户”可以包括可以与一个或多个个人账户和/或移动设备相关联的个人。用户还可以被称为持卡者、账户持有者或消费者。

“发卡行”或“授权实体”通常可以指为用户维护账户的商业实体(例如，银行)。

“商户”通常可以是参与交易和可以销售商品或服务、或提供商品或服务渠道的实体。

“收单行”通常可以是与具体商户或其他实体具有业务关系的业务实体(例如，商业银行)。一些实体可执行发卡行和收单行两者的功能。一些实施例可以包含这种单个实体发卡行-收单行。

“访问设备”可以是提供远程系统访问的任何合适的设备。访问设备还可以用于与商户计算机、交易处理网络、认证计算机或任何其他合适的系统进行通信。访问设备通常可以位于任何合适的位置上，如在商户的位置处。访问设备可以呈任何合适的形式。访问设备的一些示例包括pos或销售点设备(例如，pos终端)、蜂窝电话、pda、个人计算机(pc)、平板pc、手持式专用读取器、机顶盒、电子现金出纳机(ecr)、自动柜员机(atm)、虚拟现金出纳机(vcr)、自助服务终端、安全性系统、访问系统等等。访问设备可以使用任何合适的接触式或非接触式操作模式来发送或从用户移动设备接收数据或与其相关联的数据。在一些实施例中，在访问设备可以包括pos终端时，任何合适的pos终端可以被使用并且可以包括读取器、处理器、和计算机可读介质。读取器可以包括任何合适的接触式或非接触式操作模式。例如，示例性读卡器可以包括射频(rf)天线、光学扫描仪、条形码读取器或磁条读取器来与支付设备和/或移动设备交互。在本文中所提供的示例中，访问设备和商户计算机可以被称为单独系统部件。然而，应当认识到，访问设备和商户计算机可以是单个部件，例如，一台商户移动设备或pos设备。

“授权请求消息”可以是被发送至交易处理网络和/或用于请求授权交易的支付卡的发卡行的电子消息。根据一些实施例的授权请求消息可以符合iso8583，其是交换与用户使用支付设备或支付账户进行的支付相关联的电子交易信息的系统的标准。授权请求消息可以包括发卡行账户标识符，所述发卡行账户标识符与支付设备或支付账户相关联。授权请求消息还可以包括对应于“识别信息”的附加数据元素，包括(仅举例来讲)：服务代码、cvv(卡验证值)、dcvv(动态卡验证值)、pan(主账号或“账号”)、支付令牌、用户名、失效日期等。授权请求消息还可以包括“交易信息”，诸如与当前交易相关联的任何信息，诸如交易金额、商户标识符、商户位置、收单行识别号(bin)、卡片受理部id等以及可以用于确定是否识别和/或授权交易的任何其他信息。

“授权响应消息”可以是由发卡金融机构或交易处理网络所生成的对授权请求消息的电子消息回复。授权响应消息可以包括(仅举例来讲)以下状态指示符中的一项或多项：同意--同意交易；拒绝--不同意交易；或呼叫中心--响应未决的更多信息，商户必须呼叫免费授权电话号码。授权响应消息还可以包括授权代码，所述授权代码可以是信用卡发行银行响应于电子消息中的授权请求消息而返回(直接地或通过交易处理网络)至表明同意交易的商户的访问设备(例如，pos设备)的代码。所述代码可以用作授权的证明。如以上指出的，在一些实施例中，交易处理网络可以生成或转发授权响应消息至商户。

“服务器计算机”可以包括强大的计算机或计算机集群。例如，服务器计算机可以是大型主机、微型计算机集群、或起到单元作用的一组服务器。在一个示例中，服务器计算机可以是耦合到web服务器的数据库服务器。服务器计算机可以联接至数据库并且可以包括用于服务于来自一个或多个客户端计算机的请求的任何硬件、软件、其他逻辑、或以上内容的组合。服务器计算机可以包括一个或多个计算装置并且可以使用各种计算结构、安排、和编译中的任一者来服务于来自一个或多个客户端计算机的请求。

图1示出了包括多个部件的系统100。系统100包括令牌库110，所述令牌库110可以是令牌服务提供商计算机的至少一部分的示例。令牌库110可以与令牌请求方115、商户计算机130、收单行计算机135、交易处理网络140以及授权实体计算机150中的一个或多个进行通信。令牌请求方115、商户计算机130、收单行计算机135、交易处理网络140以及授权实体计算机150中的每一个都可以由一个或多个计算机实现。

用户120(即由用户120操作的设备)可以与令牌请求方115、授权实体计算机150以及商户计算机130进行通信。此外，商户计算机130、收单行计算机135、交易处理网络140、授权实体计算机150以及令牌网络145都可以通过任何合适的通信通道或通信网络彼此可操作地通信。合适的通信网络可以是以下各项中的任何一项和/或组合：直接互连；互联网；局域网(lan)；城域网(man)；将任务作为互联网上的节点操作(omni)；安全自定义连接；广域网(wan)；无线网络(例如，利用协议，诸如但不限于无线应用协议(wap)、i-模式和/或等等)；和/或等等。

令牌库110可以与交易处理网络140、授权实体计算机150、收单行计算机135或商户计算机130相关联。例如，在一些实施例中，令牌服务提供商可以包括相关联的令牌库110和交易处理网络140。令牌库110可能能够发放支付令牌、令牌代码和域id。令牌库110还可能能够认证并且使支付令牌、令牌代码和域id去令牌化。

图2示出了根据本发明的一些实施例的令牌库110的示例。令牌库110包括处理器110a、网络接口110b、令牌数据库110c、令牌代码数据库110d、令牌请求方数据库110e以及计算机可读介质110f。

计算机可读介质110f可以包括认证模块110g、令牌生成模块110h、令牌识别模块110j、令牌代码生成模块110k、通信模块110l、去令牌化模块110m、注册模块110n以及任何其他合适的模块。它还可以包括可由处理器110a执行的用于实现方法的代码，所述方法包括：从第一令牌请求方计算机接收第一令牌请求，其中，所述第一令牌请求包括价值凭证和第一域标识符；识别与价值凭证相关联的价值令牌；生成与所述价值令牌相关联的第一令牌代码；将所述价值令牌和所述第一令牌代码分配给所述第一域标识符；将所述价值令牌和所述第一令牌代码传输至所述第一令牌请求方计算机，其中，所述第一令牌请求方随后使用所述价值令牌进行交互，并且其中，如果所述价值令牌伴有所述第一令牌代码，则所述第一令牌请求方对所述价值令牌的随后使用是有效的；从第二令牌请求方计算机接收第二令牌请求，其中，所述第二令牌请求包括所述价值凭证和第二域标识符；识别与所述价值凭证相关联的所述价值令牌；生成与所述价值令牌相关联的第二令牌代码；将所述价值令牌和所述第二令牌代码分配给所述第二域标识符；以及将所述价值令牌和所述第二令牌代码传输至所述第二令牌请求方计算机，其中，所述第二令牌请求方随后将所述价值令牌用于交互，并且其中，如果所述价值令牌伴有所述第二令牌代码，则所述第二令牌请求方的所述价值令牌的随后使用是有效的。

认证模块110g可以包括使处理器110a认证令牌请求方115的代码。例如，令牌库110可以从令牌请求方115接收令牌请求，所述请求包括识别令牌请求方115的域id以及识别支付账户的一组支付凭证。认证模块110g可以包含使处理器110a认证域id或以其他方式认证令牌请求方的逻辑。认证模块110g可以利用来自令牌请求方数据库110e的信息，诸如所存储的域id。

令牌生成模块110h可以包括使处理器110a生成支付令牌的代码。例如，令牌生成模块110h可以包含使处理器110a发放可以支付令牌的逻辑，所述支付令牌可以用作针对令牌请求中包括的一组支付凭证的代理支付账户信息。可以使用任何合适的令牌生成过程。此类过程可以利用散列、加密或随机的令牌生成过程。令牌的记录可以存储在令牌数据库110c中，并且所述记录可以包括令牌、令牌失效日期、相关联的支付账户信息、令牌保证信息、令牌请求方信息(例如，域id)和/或任何其他合适的信息。

令牌生成模块110h可能能够定期更新支付令牌。例如，新的支付令牌可以被生成并且发送以替代旧的支付令牌，并且支付令牌可以被存储在令牌数据库110c中。

令牌识别模块110j可以包括使处理器110a识别支付令牌的代码。例如，令牌识别模块110j可以包含使处理器110a识别与令牌请求中接收的一组支付凭证相关联的支付令牌的逻辑。在一些实施例中，支付令牌可以被分配给多于一个令牌请求方115。当第一令牌请求方115初始地请求针对支付凭证的令牌时，支付令牌可以被生成。当第二令牌请求方115请求针对相同的支付凭证的令牌时，令牌识别模块110j可以用于识别现有的支付令牌，而不是生成另一个支付令牌。令牌识别模块110j还可以在令牌数据库110c处更新支付令牌的记录，以表明第二令牌请求方115(例如，第二域id)还与支付令牌相关联。

令牌代码生成模块110k可以包括使处理器110a生成令牌代码的代码。例如，令牌代码生成模块110k可以包含使处理器110a生成与针对某个令牌请求方115的支付令牌相关联的令牌代码的逻辑。可以使用任何合适的令牌代码生成过程。此类过程可以利用散列、加密或随机的令牌生成过程。在一些实施例中，当支付令牌被提供给令牌请求方115时，还提供令牌代码。令牌代码可以充当用于利用支付令牌的密码。令牌库110可以向请求相同的支付令牌的每个令牌请求方提供不同的令牌代码。因此，多个令牌请求方115可以拥有相同的支付令牌，但是他们每个可以具有针对那个支付令牌的不同的令牌代码。为了使用支付令牌，令牌请求方115还可能需要提供他们的令牌代码。

令牌代码生成模块110k还可以在令牌代码数据库110d处存储令牌代码的记录。所述记录可以指示域id和/或与令牌代码相关联的支付令牌。另外或替代地，令牌代码生成模块110k可以使令牌数据库110c处的支付令牌的记录指示一个或多个令牌代码和/或与支付令牌相关联的域id。

令牌生成模块110k可能能够定期更新令牌代码。例如，新的令牌代码可以被生成并且发送以替代旧的令牌代码，并且新的令牌代码可以被存储在令牌代码数据库110d中。

通信模块110l可以包括使处理器110a与一个或多个实体进行通信的代码。例如，通信模块110l可以包含使处理器110a接收令牌请求并且将支付令牌发送至令牌请求方115的逻辑。通信模块110l还可能能够接收去令牌化请求并且将支付凭证发送至交易处理网络140以及任何其他合适的实体。

去令牌化模块110m可以包括使处理器110a去令牌化支付令牌的代码。例如，去令牌化模块110m可以包含使处理器110a识别与支付令牌(例如，如令牌数据库110c中所指示的)相关联的一组支付凭证的逻辑。去令牌化模块110m还可能能够通过验证所接收到的令牌代码和/或域id与支付令牌(例如，如令牌代码数据库110d中所指示的)相关联来认证支付令牌。例如，令牌库110可以从交易处理网络140、授权实体计算机150以及任何其他合适的实体接收针对支付账户信息的请求。令牌库110可以接收包括支付令牌、令牌代码和/或域id的这类去令牌化请求，令牌库110可以认证所述信息并且识别相关联的支付凭证，然后令牌库110可以向去令牌化请求方提供支付账户信息。

令牌库110还可以允许令牌请求方115在令牌库110处注册。注册模块110n可以包括使处理器110a注册令牌请求方115的代码。例如，注册模块110n可以包含使处理器110a从令牌请求方115接收注册请求的逻辑，所述请求包括令牌请求方115的信息、令牌将如何使用的信息(例如，令牌域信息)、期望的令牌保证等级或任何其他合适的信息。令牌库110可以认证令牌请求方115的身份，并且令牌库110可以同意或拒绝注册请求。如果同意的话，则令牌库110可以生成并且发放针对令牌请求方115的域id。域id可以用于识别令牌请求方115以及将使用所发放的支付令牌的令牌域。

注册模块110n可能能够定期更新域id。例如，新的域id可以被生成并且发送以替代旧的域id，并且新的域id可以被存储在令牌请求方数据库110e中。

返回参照图1，根据本发明的实施例，许多不同实体可以充当令牌请求方115。例如，在一些实施例中，令牌请求方115可以是与用户120相关联的移动设备。用户120可以在移动设备上激活移动支付功能并且要求某一组支付凭证可用于移动支付。在这种情况下，移动设备可以要求与支付凭证相关联的支付令牌。然后，用户120可以使用移动设备来向商户计算机130提供支付。

图3示出了根据本发明的一些实施例可以充当令牌请求方115和/或可以用于移动支付的这类移动设备315的示例。移动设备315可以包括用于启用某些设备功能(诸如电话技术)的电路。负责启用这些功能的功能元件可以包括可以执行实现设备的这些功能和操作的指令的处理器315a。处理器315a可以访问存储器315e(或另一种合适的数据存储区域或元件)以检索指令或用于执行这些指令的数据，诸如配置脚本和移动应用程序。数据输入/输出元件315c(诸如键盘或触摸屏)可以用于使用户操作移动设备315和输入数据(例如，用户认证数据)。数据输入/输出元件还可以被配置成用于输出数据(例如，经由扬声器)。显示器315b还可以用于将数据输出给用户。通信元件315d可以用于启用移动设备315与有线或无线网络(例如，经由天线315h)之间的数据传输，以帮助互联网或其他网络的连接，并且启用数据传输功能。移动设备315还可以包括用于启用非接触式元件315g与设备的其他元件之间的数据传送的非接触式元件接口315f，其中，非接触式元件315g可以包括安全存储器和近场通信数据传送元件(或短距离通信技术的另一种形式)。如所指出的，蜂窝电话或类似设备是可以根据本发明的实施例使用的移动设备315的示例。然而，设备的其他形式或类型可以在不偏离本发明的基本概念的情况下被使用。例如，移动设备315可以替代地是支付卡、钥匙坠、平板计算机、可穿戴设备等的形式。

存储器315e可以包括数字钱包应用程序315j、支付模块315k、令牌请求模块315l、凭证存储315m、支付令牌315n、域id315p、令牌代码315q以及任何其他合适的模块或数据。移动设备315可以具有安装或存储在存储器315e上的任意数量的移动应用程序并且不限于图3所示。

数字钱包应用程序315j可以包括使处理器315a提供数据钱包服务的代码。例如，数字钱包应用程序315j可以包含使处理器315a向用户提供用户界面的逻辑，以提供使用移动设备315输入、发起、促进以及管理交易。数字钱包应用程序315f可能能够访问支付凭证，诸如存储在凭证存储315m中的令牌315n、令牌代码315q以及域id315p。进一步地，数字钱包应用程序315f可能能够从令牌库110获取支付令牌(例如，经由令牌请求模块315l)。例如，令牌请求模块315l可以发送包括(可能已经由用户120提供的)一组支付凭证的令牌请求以及与移动设备315相关联的域id315p。

数字钱包应用程序315f可能能够向交易提供支付凭证(例如，经由支付模块315l)。在一些实施例中，数字钱包应用程序315f可能能够向在线支付和/或亲身(in-person)交易提供支付凭证(例如，经由短距离通信)。在一个示例中，数字钱包应用程序315f可以生成单个数据元件(诸如包括令牌315n、令牌代码315q以及域id315p的nfc交易包或qr代码)以及任何其他合适的信息。

凭证存储315m可能能够存储一个或多个令牌315n、令牌代码315q以及域id315p。例如，凭证存储315m可以存储针对一个或多个支付账户的凭证，并且可以存在针对每个支付账户的不同的令牌315n和令牌代码315q。移动设备315还可能能够向支付令牌请求多于一个令牌域，并且移动设备315可以将不同的域id315p用于每个不同的令牌域。如果一个令牌315n被用于多个域(例如，亲身非接触式支付和在线支付)，则移动设备315可以拥有针对每个域(和域id315p)的不同的令牌代码315q。

返回参照图1中的令牌请求方115，在一些实施例中，商户计算机130可以充当令牌请求方115。例如，商户计算机130可以具有针对用户120的存留卡信息。商户计算机130可能能够要求并且存储相关联的支付令牌，而非存储用户的敏感支付凭证。在这种情况下，当用户120在商户计算机130处进行支付时，商户计算机130可以提交针对交易的所存储的支付令牌。在其他实施例中，商户计算机130可以不是令牌持有者，并且可以反而在交易过程中替代从移动设备315接收支付令牌。

图4示出了根据本发明的一些实施例的商户计算机130(例如，由商户操作的服务器计算机)的示例。商户计算机130包括处理器130a、通信接口130b、网络接口130c、凭证数据库130d、用户数据库130e以及计算机可读介质130f。

计算机可读介质130f可以包括交易处理模块130g、全局分析模块130h、授权模块130j、令牌请求模块130k、令牌接收模块130l以及任何其他合适的模块。

交易处理模块130g可以包括使处理器130a处理交易的代码。例如，交易处理模块130g可以包括使处理器130a从用户120接收针对交易的支付凭证(例如，支付令牌)的逻辑。在一些实施例中，商户计算机130可以存储与用户120(例如，在凭证数据库130d处)相关联的支付令牌，并且当用户120发起购买时，交易处理模块130g识别支付令牌。交易处理模块130g可能能够发起交易授权(使用所接收的支付凭证或所识别的支付令牌)，并且还可能能够完成交易，从而使得商品和/或服务可以被释放。

全局分析模块130h可以包括使处理器130a分析支付凭证的代码。例如，全局分析模块130h可以包含使处理器130a将支付令牌用于跟踪用户120花费习惯的逻辑。

在一些实施例中，全局分析模块130h可以将支付令牌用作用户120标识符，而非pan。全局分析模块130h可以通过记录涉及支付令牌的交易来保存用户120趋势的记录(例如，在用户数据库130e处)。如以上所解释的，在一些实施例中，表示某个支付账户的相同的支付令牌可以被提供给多个令牌请求方115。结果，支付令牌可以是静态的，从而使得当用户120在商户计算机130处使用某个支付账户时，相同的支付令牌被每次提供，即使令牌代码、域id和/或令牌域可以变化。例如，在一些实施例中，一个支付账户可以与多个数字钱包相关联，并且每个数字钱包可以具有与相同的支付账户相关联的相同的支付令牌。商户计算机130可以接收相同的支付令牌，无论何时任何这些不同的数字钱包都可以被使用。因此，全局分析模块130h可能能够通过所接收的支付令牌识别支付账户。

在一些实施例中，支付令牌可以包括16、18或19个数位并且可以被格式化为pan，从而使得商户130可以轻易地将支付令牌集成到通常将pan用于用户跟踪的现有的用户跟踪系统中。例如，用户有时可以由被称为“字段2”的pan的一部分所识别。支付令牌还可以包括可以类似地识别支付账户或用户的“字段2”。支付令牌可以出于任何合适的识别目的替代pan。支付令牌还可以被格式化成指示认证实体150和/或令牌库110。

在一些实施例中，商户计算机130(例如，经由全局分析模块130h)可以将支付令牌和相关联的用户购买记录用于其他应用程序，其中包括增值服务，诸如忠诚计划、后端应用程序以及上报。例如，支付令牌可以用作用于跟踪忠诚点(例如，在用户数据路130e处)以及提供奖励或特别优惠的用户120忠诚标识符。

商户计算机130(或其他实体)还可以将支付令牌用于授权过程中的欺诈/风险检查。例如，商户计算机130(例如，经由全局分析模块130h)可能能够检测高速率交易。如果与支付令牌相关联的太多交易在特定时间量内出现，则商户计算机130可以怀疑欺诈活动。商户计算机130然后可以拒绝涉及支付令牌的进一步交易。可替代地，商户计算机130可以将支付令牌标记为高风险或将支付令牌添加在“黑名单”上。当交易被授权之后，商户计算机130还可以将支付令牌用于审核欺诈/风险等级。

商户计算机130可以将支付令牌用于访问过去的交易。例如，商户计算机130可以将支付令牌用于识别针对退款或查询的过去的交易(例如，存储在用户数据库130e中)。

支付令牌还可以用于向第三方增值应用程序提供交易馈送。例如，商户计算机130可以将经由支付令牌跟踪的用户120购买和趋势通知给第三方应用程序。第三方可以将交易馈送用于向用户120提供实时或离线(例如，信用声明)奖励或提议。

授权模块130j可以包括使处理器130a发送并且接收授权消息的代码。例如，授权模块130j可以包含使处理器130a生成授权请求消息的逻辑，所述授权请求消息包括支付凭证(例如，支付令牌、令牌代码、域id、名称等)、交易数据以及任何其他相关的信息，然后将授权请求消息发送至收单行计算机135。来自收单行计算机135的授权请求消息还可以被接收并且处理。

令牌请求模块130k可以包括使处理器130a请求支付令牌的代码。例如，令牌请求模块130k可以包含使处理器130a将令牌请求发送至令牌库110的逻辑，所述令牌请求包括(可能已经由用户120提供的)一组支付凭证以及与商户计算机130相关联的域id315p。

令牌接收模块130l可以包括使处理器130a接收并且存储支付令牌以及其他相关联的凭证的代码。例如，令牌接收模块130l可以包含使处理器130a接收连同相关联的令牌代码、域id和/或任何其他合适的信息的所请求的支付令牌。令牌接收模块130l可能能够存储凭证数据库130d中的任何所接收的支付令牌以及相关联的信息。商户计算机130可以存储针对想要在商户计算机130处存储支付账户信息(例如，为了方便起见)的用户120的支付令牌。商户计算机130可能能够提交针对由用户120所发起的一个或多个购买的所存储支付令牌。

凭证数据库130d可能能够存储一个或多个支付令牌、令牌代码和/或域id。例如，凭证数据库130d可以存储针对一个或多个支付账户的凭证，并且可以存在针对每个支付账户的不同的支付令牌和令牌代码。商户计算机130还可能能够向支付令牌请求多于一个令牌域，并且商户计算机130可以将不同的域id用于每个不同的令牌域。

返回参照图1中的令牌请求方115，在一些实施例中，令牌请求方115可以是令牌聚合器。例如，令牌聚合器可以代表一个或多个数字钱包提供商请求令牌。数字钱包提供商可能不喜欢向令牌库110注册，反而从令牌聚合器接收令牌。数字钱包提供商可以从令牌聚合器接收令牌，然后向使用数字钱包的用户和移动设备提供令牌。在一些实施例中，令牌请求方115可能能够从多个令牌库110或令牌服务提供商请求并且收集令牌，并且可以请求针对多个交易处理网络140有效的令牌。令牌请求方115可以单独向每个令牌库110注册。

返回参照图1，收单行计算机135可以与商户计算机130相关联，并且可以代表商户计算机130管理授权请求。收单行计算机135可以从商户计算机130接收包括支付信息的授权请求消息，并且将授权请求消息发送至交易处理网络140。

如以上所解释的，在一些实施例中，表示某个支付账户的相同的支付令牌可以由不同的令牌请求方115(例如，移动设备315、商户130、第三方令牌提供商等)维护并且使用。结果，在每次支付账户被用于交易时，不管支付域，收单行计算机135可以接收授权请求消息中的相同的支付令牌。结果，收单行计算机135还可能能够将支付令牌用于跟踪用户120活动，如上针对商户计算机130已经描述的。

例如，收单行计算机135可以将支付令牌用于在线欺诈分析、离线欺诈分析、忠诚服务、第三方忠诚计划、上报给商户或任何其他合适的目的。例如，在一些实施例中，收单行计算机135可以标记支付账户(由支付令牌所识别)以及针对欺诈/风险等级评分的相关联的商户计算机130。在另一个示例中，支付令牌可以用于提供卡联供给项。在另一个示例中，收单行计算机135可以向商户提供用户交易报告，所述报告包括涉及某个支付令牌的交易。

如图1所示，交易处理网络140可以在收单行计算机135与授权实体计算机150之间布置。交易处理网络140可以包括用于支持和提供授权服务、例外文件服务和清算与结算服务的数据处理子系统、网络和操作。例如，交易处理网络140可以包括耦合到网络接口(例如，通过外部通信接口)的服务器以及信息数据库。示例性交易处理网络140可以包括visanet^tm。交易处理网络(诸如visanet^tm)能够处理信用卡交易、借记卡交易以及其他类型的商业交易。具体地，visanet^tm包括处理授权请求的vip系统(visa集成支付系统)和进行清算与结算服务的巴塞尔协议ii系统。交易处理网络140可以使用任何合适的有线或无线网络，包括互联网。

交易处理网络140可能能够去令牌化授权请求消息中的令牌。例如，交易处理网络140可以接收包括支付令牌、令牌代码和/或域id的授权请求消息。交易处理网络140可能能够将所接收的信息发送至令牌库110，然后从令牌库110接收相关联的支付账户信息，然后将授权请求消息转发至具有支付账户信息的授权实体计算机150。在将消息转发至收单行计算机135之前，交易处理网络140还可以接收具有支付账户消息的授权响应消息并且使用支付令牌、令牌代码和/或域id(例如，经由令牌库110)替代支付账户信息的一些或全部。

在一些实施例中，令牌库110和交易处理网络140可以形成令牌服务系统。

交易处理网络140、收单行计算机135以及授权实体计算机150可以使用账户标识符(诸如pan或令牌)操作合适的路由表来路由授权请求消息。令牌路由数据可以由令牌库110提供并且维护，并且可以传达至图1中的任何实体。

返回参照图1，授权实体计算机150可以管理用户120的支付账户。授权实体计算机150可能能够授权涉及支付账户的交易。

令牌网络145还可能能够提供去令牌化服务。令牌网络145可以包括另一个交易处理网络、另一个令牌库和/或另一个令牌请求方。例如，在一些实施例中，交易处理网络140可以接收与令牌网络145相关联的支付令牌而不是令牌库110。为了去令牌化用于授权的令牌，交易处理网路140可以将令牌、令牌代码和/或域id发送至然后可以认证信息并且返回支付凭证的令牌网络145。在一些实施例中，令牌网络145可能希望使与交易处理网络140相关联的令牌去令牌化，并且可以通过与交易处理网络140和令牌库110进行类似的通信来获取相关联的支付账户信息。

图5示出了框图，展示了根据本发明的一些实施例的针对各种域的令牌代码的使用。图5描绘了支付卡510、支付令牌520以及(在一些实施例中，可以是其他类型的令牌请求方的)多个商户，包括第一商户530、第二商户540以及第三商户550。支付卡510可以与用户以及pan相关联，例如“4123456789101112”。每个商户可能希望存储与用户相关联的支付凭证。每个商户可以请求支付令牌，而非存储pan。令牌服务提供商(例如，令牌库110)可以生成将与pan相关联的支付令牌520，如关于图1所描述的那样。例如，与pan相关联的支付令牌520可以是“4999111122223333”。每个商户可以接收支付令牌520，然后支付令牌520可以在交易过程中在各种授权请求中通过，而非pan。在一些实施例中，商户中的一个或多个可以可替代地是移动设备315。为了启用移动设备315上的非接触式交易，用户可以向移动设备315上的数字钱包应用程序或支付应用程序登记支付卡510，并且支付令牌520可以被配置成移动设备315。而且，在一些实施例中，域可以是交易中涉及的各种收单行。

如在图5中可见的，相同的支付令牌520可以被分配给各个域(例如，第一域530、第二域540、第三域550)。这可以与现有的实现方式形成对照，在现有的实现方式中，不同的支付令牌520可能需要针对每个单独的域被生成。每个域可以与域id相关联。例如，第一域530可以具有123456789101(也被称为“101”)的域id，第二域540可以具有123456789102(也被称为“102”)的域id，并且第三域550可以具有123456789103(也被称为“103”)的域id。

除了支付令牌520之外，与支付令牌相关联的令牌代码还可以被生成。当请求访问支付令牌520时，不同的令牌代码可以被分配给每个域。例如，第一域530可以具有“a53b9”的令牌代码，第二域540可以具有“1d5f6”的令牌代码，并且第三域550可以具有“6789a”的令牌代码。令牌代码可以是域与令牌提供商之间的共享秘密。因此，令牌代码可以由加密、安全存储和任何其他合适的安全防护所保护。在一些实施例中，令牌代码还可以被用于创建密码。令牌代码还可以被定期地替换并且更新。

支付令牌520和令牌代码的组合可以构成唯一组合。因此，当每个域可以拥有相同的支付令牌520时，每个域可以拥有针对支付令牌520的唯一令牌代码。

令牌代码可以是十六进制值，尽管令牌代码可以是任何其他的字母的、数字的或字母数字的值。在一些实施例中，令牌代码可以指示针对其所获取的特定域。

令牌代码可以由生成支付令牌520的相同的令牌提供商生成。支付令牌520的持有者(例如，商户、数字钱包应用程序等)可以同时接收并且存储支付令牌520以及令牌代码。支付令牌520和令牌代码还可以出于许多原因(包括为了防止安全性威胁)(例如，欺诈性交易)在任何时候被更新。

令牌代码可以特定于域，从而使得交易认证可以在支付令牌520、令牌代码和/或域id(连同商户id、收单行bin/pcr等)的组合上出现。因此，为了使第一商户530利用用于交易的支付令牌520，第一商户530可能需要提供令牌代码“a53b9”和/或域id“101”连同用于交易的支付令牌520。然后，令牌库110可以认证支付令牌520、令牌代码“a53b9”和/或域id“101”。进一步地，令牌库110可以认证彼此相互关联的支付令牌520、令牌代码“a53b9”和/或域id“101”。令牌库110由此认证第一商户530被授权利用支付令牌520。因此，支付令牌520可以被分配给多个实体，但是只有当其伴有真实的令牌代码和/或域id时，支付令牌520才可以是可使用的。

例如，第二商户540可能能够使用支付令牌520，但是第二商户540可能需要提供其令牌代码“1d5f6”及其域id“102”。如果欺诈者尝试使用支付令牌520并且提供非法的令牌代码，非法的域id或失配的令牌代码和域id(例如，令牌代码“a53b9”和域id“103”)，交易将作为潜在的欺诈而被拒绝。

因此，域(例如，商户、收单行等)可能能够具有用于跟踪针对风险、欺诈以及其他分析度量的交易的唯一的标识符(即支付令牌520)。交易可以基于交易中所使用的不同的域id被进一步地跟踪、划分、分析。

支付令牌可以是pan的安全替换，并且可以被类似地格式化为pan。因此，这种实现方式将不需要大量地改变域的一部分的基础设施，并且可以允许所述域的一部分的风险以及忠诚管理。由于跨各个域的支付令牌520可以是相同的，与针对每个域实现方式涉及提供唯一支付令牌520会需要的相比，域的一部分可能需要少量的基础设施变化。

可以认识到，针对图5所描述的实现方式可以允许使用跨多个域的单个支付令牌520。单个支付令牌520与大量可能的令牌代码的组合可以允许大量唯一组合。这对于共享的bin会是有效的。

此外，在一些实施例中，结合pan使用令牌代码可以是可能的。在令牌代码应该配备有pan的情况下，pan可以被维护，而非引入支付令牌520。因此，类似于支付令牌520，pan可以被广泛地分配，但是只有当令牌代码和/或域id已经被分配的情况下，针对所授权的域才是可用的。

方法600可以针对图6根据本发明的实施例被描述。还参考了其他图中的一些元件。方法600中所示的步骤可以根据本发明实施例依次或以任何合适的顺序被执行。在一些实施例中，步骤中的一个或多个可以是任选的。

图6中的各消息可以使用任何合适形式的通信。在一些实施例中，请求或响应可以是电子消息格式，诸如电子邮件、短消息服务(sms)消息、多媒体消息服务(mms)消息、超文本传输协议(http)请求消息、传输控制协议(tcp)包、网页形式提交。请求或响应可以涉及任何合适的位置，诸如，电子邮件地址、电话号码、互联网协议(ip)地址或统一资源定位器(url)。在一些实施例中，请求或响应可以包括不同的消息类型的混合，诸如电子邮箱和sms消息。

在如下所描述的方法600中，移动设备315是令牌请求方。然而，如上所讨论的，在一些实施例中，令牌请求方可以可替代地是商户、第三方令牌提供商或任何其他合适的实体。

在步骤s602，用户120可以指示希望具有配备在移动设备315上的支付凭证。例如，用户120可以向数字钱包应用程序315j提供pan或其他合适的支付凭证。

在步骤s604，移动设备315可以将令牌请求发送至令牌库110(例如，经由令牌请求模块315l)。令牌请求可以包括支付凭证(例如，pan、失效日期等)。令牌请求还可以包括移动设备315识别信息(诸如域id315p)以及任何其他合适的信息。

在步骤s606，令牌库110可以认证移动设备315。令牌库110可以检查支付凭证、设备id等。并且，令牌库110可以验证域id315p在令牌请求方数据库110e(例如，经由认证模块110g)中是有效的。

在步骤s608，令牌库110可以识别与令牌数据库110c中支付凭证相关联的支付令牌(例如，经由令牌识别模块110j)。例如，可以已经生成针对另一个令牌请求方的支付凭证的支付令牌。如果没有已经与支付凭证相关联的支付令牌，令牌库110可以生成支付令牌，创建支付令牌与所接收的支付凭证之间的关联，并且存储令牌数据库110c中支付令牌的记录(例如，经由令牌生成模块110h)。

在步骤s610，令牌库110可以生成针对移动设备315的令牌代码，从而结合支付令牌使用(例如，经由令牌代码生成模块110k)。

在步骤s612，令牌库110可以存储指示令牌代码数据库110d和/或令牌数据库110c处令牌代码、支付令牌以及域id之间的关联的记录(例如，经由令牌代码生成模块110k)。例如，令牌代码和域id可以被添加至被授权使用支付令牌的令牌代码和域id的列表中。在另一个示例中，支付令牌和令牌代码可以被添加至域id被授权使用的支付令牌和令牌代码的列表中。

在步骤s614，令牌库110可以将令牌响应发送至移动设备315。令牌响应可以包括支付令牌、令牌代码和/或域id。

在步骤s616，移动设备315可以存储支付令牌315n、令牌代码315q和/或域id315p(例如，凭证存储315m处)。这可以得出结论，令牌配置过程以及移动设备315则可能能够将支付令牌315n用于移动交易。

在步骤s618，用户120可以发起购买。例如，用户120可以激活数字钱包应用程序315j，并且可以指示进行支付的期望(例如，通过选择“支付”选项)。用户120可能希望经由移动设备315在商户计算机130处购买商品或服务。进一步地，用户120可以在数字钱包应用程序315j中选择支付账户(例如，通过选择表示支付账户的在视觉上显示的图标)，并且将移动设备315呈现给用于传输支付信息的访问设备。

在步骤s620，移动设备315可以向商户计算机130提供用于交易的支付令牌315n、令牌代码315q、域id315p和/或任何其他合适的信息(例如，经由支付模块315k)。例如，移动设备315可以向商户访问设备经由短距离通信提供支付信息。令牌代码315q可以在传输过程中被加密或以其他方式被保护，从而使得令牌库110可以解密并且查看令牌代码315q。

在步骤s622，商户计算机130可以分析支付令牌和/或域id。例如，商户计算机130可以基于支付令牌跟踪用户120活动，并且可以使用支付令牌执行欺诈风险分析(例如，检查黑名单并且确定交易速度)，处理忠诚相关的服务，更新用户120记录，并且执行任何其他合适的操作(例如，经由全局分析模块130h)。商户计算机130可以不查看或利用令牌代码，并且可以在授权请求消息中简单地传送令牌代码。

在步骤s624，商户计算机130可以将授权请求消息发送至收单行计算机135。授权请求消息可以包括交易信息、支付令牌、令牌代码、域id以及任何其他合适的信息。

在步骤s626，收单行计算机135可以任选地分析支付令牌315n和/或域id。例如，收单行计算机135可以基于支付令牌跟踪用户120活动，并且可以使用支付令牌执行欺诈风险分析(例如，检查黑名单并且确定交易速度)，处理忠诚相关的服务，更新用户120记录，并且执行任何其他合适的操作。收单行计算机135可以不查看或利用令牌代码，并且可以在授权请求消息中简单地传送令牌代码。

在步骤s628，收单行计算机135可以将授权请求消息转发至交易处理网络140。

在步骤s630，交易处理网络140可以确定支付令牌包括在授权请求消息中。交易处理网络140可以将去令牌化请求发送至令牌库110，去令牌化请求包括支付令牌、令牌代码、域id和/或任何其他合适的信息。

在步骤s632，令牌库110可以认证支付令牌、令牌代码和/或域id(例如，经由认证模块110g、令牌数据库110c和/或令牌代码数据库110d)。例如，令牌库110可以验证彼此相互关联的支付令牌、令牌代码和/或域id。令牌库110可以确认移动设备315被授权使用支付令牌。例如，令牌库110可以确认令牌代码被发放至移动设备315(例如，被分配至域id)。

在步骤s634，令牌库110可以识别与令牌数据库110c中的支付令牌相关联的支付凭证(例如，pan)(例如，经由去令牌化模块110g)。

在步骤s636，令牌库110可以将去令牌化响应发送至交易处理网络140，去令牌化响应包括支付凭证。

在步骤s638，交易处理网络140可以将支付凭证添加至授权请求消息并且将授权请求消息转发至授权实体计算机150。交易处理网络140可以任选地从授权请求消息移除支付令牌、令牌代码和/或域id。

在步骤s640，授权实体计算机150则确定交易是否应该被授权。授权实体计算机150可以检查支付账户的状态，进行任何适当的欺诈或信用检查，并且执行任何其他合适的处理，从而确定交易是否被批准。

在步骤s642，授权实体计算机150则可以生成并将授权响应消息发回交易处理网络140。

在步骤s644，交易处理网络140可以从授权响应消息中移除支付凭证。交易处理网络140还可以重新格式化授权响应消息使其包括支付令牌、令牌代码和/或域id。在一些实施例中，令牌代码可以不被包括在授权响应消息中，由于令牌代码对于收单行计算机135或商户计算机130可以是不可读或不可用的。在一些实施例中，交易处理网络140可以从令牌库110获取支付令牌、令牌代码和/或域id，从而将信息包括在授权响应消息中。

在步骤s646，交易处理网络140则可以将授权响应消息转发至收单行计算机135。

在步骤s648，收单行计算机135可以将授权响应消息转发至商户计算机130。

在步骤s650，商户计算机130可以基于授权响应消息将所购买的商品和/或服务让与给用户120。

在一天结束时或在一些其他预定的时段，授权实体计算机150、交易处理网络140以及收单行计算机135之间的清算和结算过程可以出现。在清算和结算过程中，账户信息以及与上述授权处理步骤中类似的令牌交换可以出现。

因此，使用用于购买的支付令牌替换敏感支付凭证是可能的，但是基于支付凭证跟踪用户120活动也是可能的，由于支付令牌可以保持静态的并且可以由多个实体提交。支付令牌的安全性可以通过合并令牌代码和域id来维护，由于只有当伴有有效的令牌代码和域id时，支付令牌才可以是有效的。因此，随着对现有系统的极小改变，在不牺牲跟踪用户120活动的能力的情况下，提升支付安全性。

图7示出了流程图，展示了根据本发明的实施例的用于共享令牌的方法。

在描述图7之前，讨论为什么令牌会被共享是有益的。商户和其他实体有时共享用户支付凭证。例如，用户可以经由旅馆预定网站(第一商户)预订旅馆，并且网站可以将用户的支付凭证转发至旅馆(第二商户)。这可以允许旅馆处理任何房间费用并且以其他方式利用用户的支付凭证。而且，许多商户系统可以将支付凭证用于通常跟踪用户。例如，网站和/或旅馆可以将支付凭证用作唯一预定号码，而非生成新的预定号码。当以其他方式与用户进行通信时，网站和旅馆通过支付凭证识别用户。除了业务协议之外，当不同的支付凭证持有实体共享用户的支付凭证并且通过支付凭证跟踪用户时，存在许多其他的场景。

因此，在支付令牌系统中，令牌持有实体可能想要以其他支付凭证已经在过去共享的相同方式共享支付令牌。然而，在典型的支付令牌系统中，支付令牌被唯一地分配至域。只有令牌持有者才可以使用支付令牌，所以支付令牌不能在功能上被共享。如果支付令牌被用在错误的域，则交易可以被拒绝。例如，旅馆预定网络可以已经被配备有与用户相关联的支付令牌。旅馆预定网络可以将支付令牌发送至旅馆，但是旅馆将不能够使用支付令牌。

典型令牌化系统的另一个问题是用户不再被跟踪。过去，用户可以通过跨商户和收单行的pan被跟踪。然而，在令牌系统中，可以存在与相同的pan相关联的多个支付令牌。因此，不同的商户和域不能通过单个静态号码识别用户，由于它们过去使用pan被完成。

本发明的实施例通过使用单个支付令牌解决了这些问题。用户可以使用跨域的单个支付令牌被识别(例如，商户和收单行)，这类似于过去如何使用pan跟踪用户。然而，实施例比共享pan的先前的系统更安全，由于单个支付令牌仅可以在所授权的域中被使用。如果域被授权使用支付令牌，则它可以具有证明它的令牌代码和域id。

在一些实施例中，如上所讨论的，令牌持有者/请求方可能能够共享支付令牌。然而，为了维护安全性，如果令牌持有者从另一个令牌持有者接收支付令牌，而不是从令牌库接收支付令牌，则那个令牌持有者可能需要寻求使用来自令牌库中令牌的授权。此类令牌共享过程的示例可以针对图7根据本发明的实施例被描述。

第一令牌请求方115可以处理支付令牌、第一令牌代码、第一域id以及与用户支付账户相关联的任何其他合适的信息。第一令牌请求方115可能想要与第二令牌请求方715共享支付令牌。第一令牌请求方115和第二令牌请求方715可以分别是商户、移动设备、第三方令牌提供商或任何其他合适的实体。

在步骤s702，第一令牌请求方115可以将支付令牌发送至第二令牌请求方715。第一令牌代码可以抑制第二令牌请求方715，由于它可以是可仅由第一令牌请求方115使用的共享的秘密。第一域id还被抑制，由于它可以单独是第一令牌请求方115的标识符，并且它只针对第一令牌请求方115有效。

在步骤s704，第二令牌请求方715可以将权限请求发送至令牌库110。权限请求可以包括支付令牌、与第二令牌请求方715相关联的第二域id以及任何其他合适的信息。权限请求可以不同于令牌请求，区别在于权限请求包括支付令牌，而令牌请求包括pan(或其他合适的支付凭证)。

在步骤s706，令牌库110可以认证第二令牌请求方715。例如，令牌库110可以验证第二域id在令牌请求方数据库110e中是有效的(例如，经由认证模块110g)，或以其他方式验证第二令牌请求方715有资格接收支付令牌。如果第二令牌请求方715还没有向令牌库110注册或没有域id，则第二令牌请求方715可以被提示在第二令牌代码生成之前注册。

在步骤s708，令牌库110可以生成针对第二令牌请求方715的第二令牌代码，从而结合支付令牌使用(例如，经由令牌代码生成模块110k)。

在步骤s710，令牌库110可以存储指示令牌代码数据库110d和/或令牌数据库110c处的第二令牌代码、支付令牌以及第二域id之间的关联的记录(例如，经由令牌代码生成模块110k)。例如，第二令牌代码和第二域id可以被添加至被授权使用支付令牌的令牌代码和域id的列表中。在另一个示例中，支付令牌和第二令牌代码可以被添加至域id被授权使用的支付令牌和令牌代码的列表中。

在步骤s712，令牌库110可以将权限响应发送至第二令牌请求方715。令牌响应可以包括支付令牌、第二令牌代码和/或第二域id。

在步骤s714，第二令牌请求方715可以存储支付令牌、第二令牌代码和/或第二域id。这可以得出结论，令牌配置过程以及第二令牌请求方715可以由此被给予授权，从而将支付令牌用于交易。

一旦第二令牌请求方715从第一令牌请求方115接收支付令牌，当与用户120进行通信时，所述两个实体可能能够将支付令牌用于识别用户120。进一步地，第二令牌请求方715具有第二令牌代码，第二令牌请求方715可能能够将支付令牌用于提交与用户120相关联的费用。

本发明的实施例具有许多优点。解决了令牌扩散问题，由于引入令牌代码允许将支付令牌重新用于多个域和交易。在先前的系统中，存在可能的令牌值的总数会被耗尽的风险，由于多个令牌被迅速地分配给单个支付账户。相反，令牌代码允许单个支付令牌安全地分配至多个令牌持有者。在一些实施例中，令牌代码可以有效地用于将单个支付令牌分化为多个唯一(支付令牌+令牌代码)对。而且，由于引入令牌代码减少了所需的唯一支付令牌的数量，可以更易于划分较小发卡行之间的所限制的令牌bin空间。

此外，实施例允许在不中断多个实体(例如，收单行、商户)的用户活动跟踪计划的情况下被引入。基于pan先前跟踪用户的支付账户活动的实体可以继续基于可以现在呈现于每个交易涉及支付账户中类似的格式化支付令牌来跟踪用户活动。

进一步地，可以增强支付安全性。可以使用支付令牌，而非暴露敏感支付凭证(例如，pan)。在一些实施例中，当支付令牌用于交易时，附加认证发生。例如，有效的令牌代码以及相对应的域id可能需要配备支付令牌。令牌代码和域id可能仅对于所注册的令牌请求方是可用的。因此，实体提交支付令牌可以被识别，并且共享秘密(即令牌代码)可以防止支付令牌被欺诈性地使用。此外，可以定期刷新支付令牌、令牌代码和域id。

实施例中的另一个优点是系统可以被相对简单地采用。商户、收单行以及其他所涉及的实体可能能够通过简单地在授权消息中传送令牌代码和/或域id来参与令牌系统。先前依赖于pan的应用程序(诸如忠诚、商户至商户通信以及其他用户跟踪应用程序)还可以通过利用(看起来与pan相类似的)支付令牌起作用。令牌库可能能够协调支付令牌、令牌代码以及域id的发放、认证以及维护，从而使得其他实体不存在负担。而且，在一些实施例中，在不需要添加新的字段或以其他方式改变消息的格式的情况下，当前的授权消息格式可能能够容纳令牌代码和/或域id的增加。因此，实施例可以提供从传统支付系统到令牌系统的简单过渡。

图8是可以用于实现上述任何实体或部件的计算机系统的高级框图11。图8所示的子系统经由系统总线75被相互连接。附加子系统包括打印机74、键盘78、存储设备79以及联接至显示适配器82的监控器76。联接至i/o控制器71的外围设备和输入/输出(i/o)设备可通过本领域中已知的任何数量的装置(诸如串行端口)连接至计算机系统。例如，i/o端口77或外部接口81可以用于将计算机装置连接至广域网(诸如互联网)、鼠标输入设备或扫描仪。经由系统总线75的互连允许中央处理器73与每个子系统通信并控制来自系统存储器72或存储设备79的指令的执行、以及子系统之间信息的交换。系统存储器72和/或存储设备可以体现计算机可读介质。

如所描述的，发明服务可以涉及实现一个或多个功能、过程、操作或方法步骤。在一些实施例中，这些功能、过程、操作或方法步骤可以实现为由适当编程的计算设备、微处理器、数据处理器等执行指令集或软件代码的结果。可以将指令集或软件代码存储在存储器或由计算设备、微处理器等访问的其他形式的数据存储元件中。在其他实施例中，这些功能、过程、操作或方法步骤可以由固件或专用处理器、集成电路等实现。

可以使用(例如)常规的或面向对象的技术来使用任何合适的计算机语言(诸如(例如)java、c++或perl)将在本申请中描述的任何软件组件或功能实现为将由处理器执行的软件代码。软件代码可以作为一系列指令或命令存储在计算机可读介质上，如随机存取存储器(ram)、只读存储器(rom)、磁介质(如硬盘驱动器或软盘)、或光介质(如cd-rom)。任何这种计算机可读介质可以驻留在单个计算装置上或内，并且可以是存在于系统或网络内的不同计算装置上或内。

虽然已经详细描述并在附图中示出了某些示例性实施例，但应当理解的是，此类实施例仅是示意性的并且不旨在限制宽泛的发明，并且本发明不限于所示和所描述的特定安排和构造，因为本领域的普通技术人员可以对这些实施例进行各种其他修改。

除非明确指示有相反的意思，在此所使用的“一个(a)”、“一个(an)”或“所述”旨在指“至少一个”。