CN1802637A

CN1802637A - 密码变更系统

Info

Publication number: CN1802637A
Application number: CN200480016011.3A
Authority: CN
Inventors: 里村尚; 三田村俊朗; 相泽里香; 板原美佐纪
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 2003-04-10
Filing date: 2004-04-12
Publication date: 2006-07-12
Also published as: EP1612692A1; US20060271789A1; WO2004090738A1

Abstract

本发明的目的在于提供一种在通过同一密码进行使用者的合法性认证的多个应用服务器的环境中，即使当多个应用服务器之中的任何一个密码变更失败的情况下，也能够使多个应用服务器的密码保持统一的管理服务器。管理服务器在进行密码变更时，当任何一个应用服务器的密码变更失败的情况下，将已经结束密码变更的应用服务器的密码改回原来的密码。

Description

密码变更系统

技术领域

本发明涉及一种密码变更系统。

背景技术

目前，在向使用者提供多种服务的情况下，广泛采用的是提供服务的各应用程序使用同一密码对使用者的合法性进行认证。

依照此种方式，在对多个服务使用同一密码的情况下，为了确保安全性，使用者必须经常变更密码。

在专利文献1中公开了使用同一密码的多个服务的密码变更方法。借助于该密码变更方法，密码管理装置依次起动提供服务的各应用程序，指示密码变更。此时，有时候会发生多个应用程序之中的某一个无法正常变更密码的故障。

密码无法正常变更的情况有可能是例如系统的外部磁盘的硬件故障或瞬间断电等电源问题，或者是网络电缆的连接问题。

如果发生了这样的故障，密码管理装置在为了让使用者使用该服务而重新起动应用程序后，会提示用户再次针对无法正常变更密码的应用程序进行密码变更操作。

因此，就能够以上述应用程序的重新起动为契机，保持针对多个服务的密码的一致性。

但是，专利文献1的方法中产生的问题是，密码变更失败后的服务的密码直到下一次应用起动为止都不能与其他服务的密码保持一致。

专利文献1特开2002-169777号公报

发明内容

因此，本发明借鉴了上述问题点，目的在于提供一种即使当多个应用装置之中的某一个变更密码失败的情况下也能够使多个应用装置的密码保持统一的管理服务器装置、应用装置、密码变更系统。

为实现上述目的，本发明是一种针对向根据一个密码认证后的一个使用者提供各种服务的多个应用装置指示该密码的更新的管理服务器装置，其具备：第1单元，用来尝试更新全部应用装置的密码；第2单元，用来针对各应用装置判断是否不可以进行密码更新；第3单元，当至少有1台应用装置判断为不可以更新时，将全部应用装置的密码置为更新前的密码。

借助于这种结构，即使在利用上述第2单元判断发现存在不可以进行密码更新的应用装置的情况下，通过将全部应用装置的密码置为更新前的密码，也能够使多个应用装置的密码保持统一。

上述管理服务器装置也可以进一步包含用来从使用者装置接收密码更新请求的第4单元；上述第1单元也可以基于接收到的上述更新请求尝试进行密码更新。

利用这种结构，上述管理服务器装置就能够基于使用者的意愿尝试更新密码。

另外，在上述管理服务器装置中，上述第1单元针对全部应用装置指示密码更新，上述第2单元针对各应用装置判断密码更新是否失败，上述第3单元在至少有1台应用装置判断为更新失败时，针对密码更新成功的其他应用装置指示复原为更新前的密码。

由此，由于上述第2判断单元判断某个应用装置的密码更新是否失败、上述第3判断单元在判断发现至少有1台应用装置的密码更新失败时针对已经成功更新了密码的应用装置指示复原为更新前的密码，因此，即使当上述应用装置之中的某一个更新密码失败的情况下也能够迅速地将全部应用装置的密码统一起来。

本发明的特征在于，上述第4单元接收包含使用者的新密码和旧密码的上述更新请求；上述第1单元生成包含了所接收到的更新请求中包含的新密码和旧密码的更新指示，将生成的上述更新指示发送到全部应用装置。

利用这种结构，上述第4单元从使用者接收包含上述新密码的上述密码更新指示。由此，使用者能够自己指定任意的新密码。

另外，本发明的特征在于，上述第2单元包含：应答接收部，用来从各应用装置接收表示密码更新是成功还是失败的应答；断定部，当接收到的上述应答表示成功时，断定该应用装置的密码更新已经成功，当接收到的上述应答表示失败时，断定该应用装置的密码更新已经失败。

利用这种结构，上述应答接收部从各应用装置接收应答，上述判断部在上述应答表示失败的情况下断定应用装置的密码变更失败。由此，能够正确地检测到各应用装置的密码更新的失败。

另外，本发明是一种管理服务器装置，其特征在于，上述第2单元包含：计时部，用来伴随着时间的经过计测经过时间；初始化部，在利用上述第1单元发送更新指示的时候，将由计时部计测的经过时间重置为初始值；等候接收部，用来等候接收来自各应用装置的表示密码更新是成功还是失败的应答；判断部，用来判断所计测的经过时间是否大于预定的阈值；断定部，当判断部判断发现经过时间等于或小于上述阈值并且等候接收部从各应用装置接收到应答、并且该应答表示成功的情况下，断定该应用装置的密码更新已经成功，在其他情况下则断定该应用装置的密码更新已经失败。

利用这种结构，上述断定部当超过了上述阈值仍然没有接收到上述应答的情况下断定为密码变更失败，因此，能够减少超过上述阈值的无益的等待时间。

本发明也是一种具备以下特征的管理服务器装置：上述第1单元针对全部应用装置指示密码更新准备；上述第2单元针对各应用装置判断密码更新准备是否尚未结束；上述第3单元当判断发现至少有1台应用装置的更新准备尚未结束时，向更新准备已经结束的其他应用装置取消上述更新准备的指示。

利用这种结构，即使只有1台应用装置的密码更新准备尚未结束，也取消上述密码更新准备已经结束的应用装置的密码更新准备。由此，各应用装置的密码更新直到全部应用装置的密码更新准备结束才会被执行，因此，能够避免硬盘的无用写入。

本发明的特征在于，上述第4单元接收包含使用者的新密码和旧密码的上述更新请求，上述第1单元生成包含了所接收到的更新请求中包含的新密码和旧密码的更新准备的指示，将生成的上述更新准备指示发送到全部应用装置。

另外，本发明的管理服务器装置的特征在于，上述第2单元包含：应答接收部，用来从应用装置接收表示密码更新准备是结束还是尚未结束的应答；断定部，当接收到的上述应答表示结束时，断定该应用装置的密码更新准备已经结束，当接收到的上述应答表示尚未结束时，断定该应用装置的密码更新准备尚未结束。

利用这种结构，上述应答接收部从各应用装置接收应答，上述判断部在上述应答表示尚未结束的情况下断定应用装置的密码变更准备尚未结束。由此，能够正确地检测出各应用装置的密码更新准备尚未结束。

本发明的特征在于，上述第2单元包含：计时部，用来伴随着时间的经过计测经过时间；初始化部，在利用上述第1单元发送更新准备指示的时候，将由计时部计测的经过时间重置为初始值；等候接收部，用来等候接收来自应用装置的表示密码更新准备是结束还是尚未结束的应答；判断部，用来判断所计测的经过时间是否大于预定的阈值；断定部，当判断部判断发现经过时间等于或小于上述阈值并且等候接收部从应用装置接收到应答、并且该应答表示结束的情况下，断定密码更新准备已经结束，在其他情况下则断定密码更新准备尚未结束。

利用这种结构，当超过了上述阈值仍然没有接收到上述应答的情况下断定为密码变更失败，由此能够减少超过上述阈值的无益的等待时间。

本发明的上述管理服务器装置的特征在于，其进一步包含消息发送单元，用来在上述第2单元判断发现不可以进行密码更新的情况下向上述使用者装置发送旨在复原为原密码的消息。

利用这种结构，上述消息发送单元向上述使用者装置发送上述消息，因此，使用者能够得知应该使用的密码为更新前的密码。

上述管理服务器装置的特征在于，进一步具备管理存储单元，用来存储各应用装置是否处于维护中；上述第1单元在不存在处于维护中的应用装置的情况下尝试更新密码。

利用这种结构，上述第1单元在不存在处于维护中的应用装置的情况下尝试更新密码，因此，能够预先避免由于更新处于维护中的应用装置的密码而妨碍其他应用装置的密码变更。

另外，上述第1单元在存在处于维护中的应用装置的情况下中止密码更新，上述管理服务器装置的特征在于，其进一步包含消息发送单元，用来在由上述第1单元中止了密码更新的情况下向上述使用者装置发送旨在中止密码更新的消息。

利用这种结构，上述消息发送单元向上述使用者装置发送旨在中止密码更新的消息，因此，使用者能够确实地知道密码无法更新。

另外，本发明的特征在于，上述应用装置经由第1网络与上述管理服务器装置连接，上述使用者装置经由不与第1网络连接的第2网络与上述管理服务器装置连接。

利用这种结构，上述应用装置与上述使用者装置经由上述管理服务器装置相连接，因此，上述管理服务器装置能够监视上述应用装置与上述使用者装置之间的通信。

本发明的特征在于，上述第1网络及上述第2网络是企业内部互联网。

利用这种结构，上述应用装置与上述使用者装置分别经由不同的企业内部互联网与管理服务器装置连接，因此，能够很容易地利用因特网中普及的技术构造而成。

另外，本发明中，上述管理服务器装置与各应用装置经由专用线路相连接，在更新密码时，上述管理服务器装置也可以经由上述专用线路与各应用装置之间发送接收用于密码更新的信息，在提供各种服务时，上述管理服务器装置则可以经由第1和第2网络在上述使用者装置和各应用装置之间进行上述服务相关信息的发送接收的中转。

利用这种结构，上述管理服务器装置在更新密码时经由上述专用线路与各应用装置之间发送接收用于密码更新的信息。利用专用线路的通信由于被第三者窃听的危险性较小，因此，能够省略密码更新时信息发送接收的加密处理。

另外，在提供各种服务时，上述管理服务器装置经由第1和第2网络在上述使用者装置和各应用装置之间进行上述服务相关信息的发送接收的中转，因此，用于更新密码的信息的发送接收与上述服务相关信息的发送接收不会相互影响。

另外，本发明的上述应用装置及上述使用者装置经由网络与上述管理服务器装置连接，上述管理服务器装置也可以进一步包含：存储单元，用来存储将应用种类及各应用装置在网络上的位置信息对应起来的对应表；接收单元，用来从上述使用者装置接收表示应用的种类信息和表示处理内容的处理信息；取得单元，用来利用上述对应表取得与接收到的种类信息相对应的应用装置的位置信息；发送单元，用来向由取得的位置信息所示的应用装置发送上述处理信息。

利用这种结构，上述取得单元利用上述对应表取得与上述种类信息相对应的应用装置的位置信息，上述发送单元向上述位置信息所示的应用装置发送从上述使用者装置接收到的上述处理信息。由此，上述管理服务器装置能够将从上述使用者装置发送过来的处理信息正确地转送到应用装置。

另外，上述网络也可以是因特网。

利用这种结构，上述管理服务器装置能够经由因特网在存在很远距离的使用者装置与各应用装置之间转送上述处理信息。

本发明也是一种具备以下特征的管理服务器装置：更新后的新密码是最初分配给使用者的初始密码；上述第1单元尝试将全部应用装置更新为初始密码；上述第2单元针对各应用装置判断是否不可以更新为初始密码；上述第3单元，当至少有1台应用装置判断为不可以时，将全部应用装置的密码置为更新前的密码。

利用这种结构，上述第1单元尝试更新为上述初始密码。由此，即使在使用者无法指定新密码的情况下，也能够尝试进行密码更新。

本发明是一种向根据一个密码认证后的一个使用者提供服务、根据管理服务器装置的指示更新密码的应用装置，其特征在于，具备：旧密码存储单元，用来存储更新前的密码；认证用密码存储单元，存储了使用者认证时使用的密码；接收单元，用来从管理服务器装置接收复原将密码复原为更新前的密码的复原指示；写入单元，用来在接收到上述复原指示后从旧密码存储单元中读出更新前的密码，将所读出的密码覆盖到认证用密码存储单元中。

利用这种结构，从管理服务器装置接收到复原指示后，从旧密码存储单元存储的旧密码存储单元之中读出更新前的密码，将所读出的密码覆盖到认证用密码存储单元中，因此，能够根据管理服务器装置的指示，迅速地将认证用密码变更为更新前的密码。

另外，上述应用装置的特征在于，经由上述管理服务器装置在使用者的使用者装置之间发送接收上述服务相关的信息。

利用这种结构，上述应用装置经由上述管理服务器装置在使用者终端之间发送接收信息，因此，能够通过拒绝接收来自上述管理服务器装置以外的信息来避免合法的使用者之外的访问。

本发明的应用装置的特征在于，处在维护中的情况下，将此情况通报给上述管理服务器装置。

利用这种结构，上述应用装置预先将处在维护中的情况通报给管理服务器装置，因此，上述管理服务器装置事先意识到上述应用装置处于维护中，能够中止或延迟向该应用装置发送信息和发送指示。

上述应用装置的特征在于，经由第1网络与上述管理服务器装置连接，上述使用者装置经由不与第1网络连接的第2网络与上述管理服务器装置连接。

另外，也可以具有以下特征：上述应用装置及上述管理服务器装置经由专用线路相连接，在更新密码时，上述管理服务器装置经由上述专用线路在上述管理服务器之间发送接收用于密码更新的信息，在提供各种服务时，经由第1和第2网络发送接收上述服务相关的信息。

利用这种结构，上述应用装置在发送接收密码更新相关的信息时使用上述专用线路，因此，第三者难以窃听，通信安全性高。

另外，在发送接收各服务相关的信息时使用第1网络和第2网络，因此，密码更新相关信息的发送接收与服务相关信息的发送接收不会相互影响。

另外，本发明的上述应用装置及上述使用者装置的特征在于经由因特网与上述管理服务器装置相连接。

利用这种结构，上述应用装置及上述使用者装置经由因特网与上述管理服务器装置相连接，因此，上述应用装置、上述使用者装置及上述管理服务器装置即使分别相距很远，也能够进行信息发送和接收。

本发明是一种由使用者的终端装置、向根据一个密码认证后的一个使用者的终端装置提供各种服务的多个应用装置、向上述应用装置指示该密码的更新的管理服务器装置构成的密码更新系统，其特征在于，上述管理服务器装置具备：第1单元，用来尝试更新全部应用装置的密码；第2单元，用来针对各应用装置判断是否不可以进行密码更新；第3单元，当至少有1台应用装置判断为不可以更新时，将全部应用装置的密码置为更新前的密码；各应用装置具备：旧密码存储单元，用来存储更新前的密码；认证用密码存储单元，存储了使用者认证时使用的密码；接收单元，用来从管理服务器装置接收将密码复原为更新前的密码的复原指示；写入单元，用来在接收到上述复原指示后从旧密码存储单元中读出更新前的密码，将所读出的密码覆盖到认证用密码存储单元中。

利用这种结构，即使当判断发现多个应用装置之中的某一个不可以更新密码的情况下也能够通过将全部应用装置的密码置为更新前的密码从而使全部应用装置的密码保持统一。

本发明的特征在于，上述终端装置与各应用装置经由上述管理服务器装置进行信息发送接收。

另外，其特征在于，在上述密码更新系统中，上述第1网络及上述第2网络是企业内部互联网。

在上述密码更新系统中，也可以是，上述管理服务器装置与各应用装置经由专用线路相连接，在更新密码时，上述管理服务器装置经由上述专用线路在上述管理服务器之间发送接收用于密码更新的信息，在提供各种服务时，经由第1和第2网络发送接收上述服务相关的信息。

本发明的密码更新系统的特征也可以是，上述应用装置及上述使用者装置经由网络与上述管理服务器装置相连接，上述管理服务器装置进一步包含：存储单元，用来存储将应用种类及各应用装置在网络上的位置信息对应起来的对应表；接收单元，用来从上述使用者装置接收表示应用的种类信息和表示处理内容的处理信息；取得单元，用来利用上述对应表取得与接收到的种类信息相对应的应用装置的位置信息；发送单元，用来向由取得的位置信息所示的应用装置发送上述处理信息。

另外，上述网络的特征在于是因特网。

利用这种结构，上述应用装置及上述使用者装置经由因特网与上述管理服务器装置相连接，因此，上述应用装置、上述使用者装置及上述管理服务器装置即使分别相隔很远的距离，也能够进行信息发送和接收。

附图说明

图1是密码变更系统的结构图。

图2是表示用户终端100的结构的框图。

图3是表示存储部110中存储的信息的一个实例。

图4表示本实施方式中各设备之间发送接收的信息的形式。

图5表示了连接到用户终端100的监视器上显示的登录画面和菜单画面的一个实例。

图6表示了连接到用户终端100的监视器上显示的细算画面和细算完成画面的一个实例。

图7表示了连接到用户终端100的监视器上显示的密码变更画面和变更完成画面的一个实例。

图8表示了连接到用户终端100的监视器上显示的变更失败画面和强制结束画面的一个实例。

图9是表示应用服务器200的结构的框图。

图10是信息存储部210中存储的信息的一个实例。

图11表示了密码表221的详细内容。

图12表示了应用登录表231的详细内容。

图13是表示管理服务器600的结构的框图。

图14是表示信息存储部610中存储的信息的一个实例。

图15表示了登录表631的详细内容。

图16表示了路由表641的详细内容。

图17表示了密码变更表651的详细内容。

图18是管理服务器600的显示部613中显示的错误画面的一个实例。

图19是表示用户终端100、管理服务器600及应用服务器200的动作的流程图。

图20是表示用户终端100、管理服务器600及应用服务器200的动作的流程图。续图19。

图21是表示用户终端100、管理服务器600及应用服务器200的动作的流程图。续图19。

图22是表示用户终端100、管理服务器600及应用服务器200的动作的流程图。续图19。

图23是表示用户终端100、管理服务器600及应用服务器200的动作的流程图。续图19。

图24是表示用户终端100、管理服务器600及应用服务器200的动作的流程图。续图19。

图25是表示用户终端100、管理服务器600及应用服务器200的动作的流程图。续图19。

图26是表示用户终端100、管理服务器600及应用服务器200的动作的流程图。续图19。

图27是表示管理服务器600的密码变更处理动作的流程图。

图28是表示管理服务器600的密码变更处理动作的流程图。续图27。

图29是表示管理服务器600的密码变更处理动作的流程图。续图27。

图30是表示应用服务器200的密码变更处理动作的流程图。

图31是表示应用服务器200的密码变更处理动作的流程图。续图30。

图32是表示管理服务器600的密码复原动作的流程图。

图33是表示应用服务器200的密码复原动作的流程图。

图34是表示应用服务器200的密码复原动作的流程图。续图33。

图35是表示2台设备之间的相互认证动作的流程图。

图36是表示2台设备之间的相互认证动作的流程图。续图35。

图37表示了第1实施方式中密码变更执行过程中各应用服务器200所存储的密码。

图38是表示第2实施方式的结构的结构图。

图39是表示第2实施方式中管理服务器600b的结构的框图。

图40是表示第3实施方式的结构的结构图。

图41是表示第2实施方式中管理服务器600c的结构的框图。

图42表示了变形例(1)中密码表621b的详细内容。

图43表示了变形例(6)中路由表641b的详细内容。

具体实施方式

1.第1实施方式

下面，参照附图详细说明本发明的第1实施方式。

1.1密码变更系统的概要

本发明的密码变更系统如图1所示，由用户终端100、第1应用服务器200a、第2应用服务器200b、第3应用服务器200c、第4应用服务器200d和管理服务器600构成。各装置都连接到因特网20。

第1应用服务器200a～第4应用服务器200d分别提供出差费细算、休假申请、会议室预约、工作人员采购服务。

管理服务器600和第1应用服务器200a～第4应用服务器200d预先存储合法使用者的用户ID。

使用者利用用户终端100经由因特网20和管理服务器600使用第1应用服务器200a～第4应用服务器200d所提供的服务。

这时，用户终端100向管理服务器600发送使用者的用户ID和密码。

管理服务器600和第1应用服务器200a～第4应用服务器200d验证用户I D和密码，确认用户终端100的使用者是合法的使用者；各应用服务器则分别提供其具备的服务。

另外，管理服务器600从用户终端100接收密码变更指示，从用户终端100接收当前的密码和新密码。管理服务器600依次向第1应用服务器200a～第4应用服务器200d发送所接收到的新密码，指示进行密码变更。

这里，当第1应用服务器200a～第4应用服务器200d的任意一个没有正常执行密码变更的情况下，管理服务器600向密码变更已经结束的应用服务器发送当前的密码，指示其将密码重新变为当前的密码。

在以下说明中，在不需要特意区分第1应用服务器200a～第4应用服务器200d的情况下及对第1应用服务器200a～第4应用服务器200d全部适用的情况下，将它们简单称为应用服务器200。

1.2用户终端100

用户终端100如图2所示，由发送接收部101、认证部103、控制部107、存储部110、输入部112及图像显示部113构成。

用户终端100具体是由没有图示出来的微处理器、RAM、ROM及硬盘构成的。上述RAM、ROM及硬盘中存储了计算机程序，上述微处理器按照这些计算机程序动作，由此用户终端100发挥其功能。

(1)存储部110

存储部110由硬盘、RAM及ROM构成，存储了各种信息。

作为一个实例，如图3所示，存储了应用编号表120、终端ID130、秘密密钥135、公开密钥证书136、CRL(Certificate RevocationList：证书注销列表)137、及认证局公开密钥138。

应用编号表120是将应用服务器200及管理服务器600所提供的服务与分配给各服务的应用编号对应起来的表。应用编号“001”是表示出差费细算服务的识别编号，应用编号“002”是表示休假申请服务的识别编号。应用编号“003”是表示会议室预约服务的识别编号，应用编号“004”是表示工作人员采购服务的识别编号。应用编号“005”是表示登录处理、密码变更等管理服务器所提供的服务的识别编号。

终端ID130是用户终端100特有的识别信息。

公开密钥证书136用来证明与秘密密钥135成对的公开密钥的合法性，包含证书ID、上述公开密钥及认证局的签名数据。认证局的签名数据是使用认证局的秘密密钥对上述公开密钥实施签名生成算法S而生成的。这里，认证局是第三方机构，负责发行属于密码变更系统的各设备的公开密钥证书。此外，签名生成算法S的一个实例是有限域中的ElGama1签名。ElGama1签名是众所周知的，因此省略其说明。

CRL137由认证局发行，包含已经无效的公开密钥证书的证书ID。

认证局公开密钥138是与认证局的秘密密钥成对的公开密钥。

(2)发送接收部101

发送接收部101在连接到因特网20的外部设备与控制部107及认证部103之间进行信息发送和接收。

发送接收部101存储了用户终端100及管理服务器600的IP地址。

发送接收部101所接收发送的各种信息是如图4所示的数据包140的形式。数据包140由发送目的地地址141、发送源地址142及数据部143构成。发送目的地地址是发送目的地的IP地址，发送源地址142是发送源的IP地址。作为一个实例，数据部143包含应用编号146、终端ID147及数据148。

应用编号146与第1应用服务器200a～第4应用服务器及管理服务器600所提供的服务种类相对应，与应用编号表120中包含的应用编号相同。

发送接收部101从控制部107接收由应用编号146、终端I D147及数据148构成的数据部143，当接收到发送指示时，就在所接收到的数据部143中设定用户终端100的IP地址作为发送源地址，设定管理服务器600的IP地址作为发送目的地地址，然后进行发送。

这里，为了易于说明，列举了数据部143中包含的应用编号146、终端ID147及数据148，但实际上数据部143是可变长的，由于规定了其最大比特长度，当数据部143超出了最大比特长度时，就将数据部143分割，在分割后的数据部143中分别设定发送目的地地址和发送源地址后进行发送。

(3)输入部112

输入部112与键盘、鼠标这样的外设连接，接收使用者对外设的操作，将与接收到的操作相对应的操作指示信息输出到控制部107。

(4)控制部107

控制部107通过由上述处理器按照计算机程序进行动作来控制在用户终端100执行的各种信息处理。

本申请中，控制部107接收来自输入部112的各种操作指示信息。根据接收到的操作指示信息，执行登录处理、各种服务的使用及密码变更处理等。

另外，在执行这些处理的过程中，从管理服务器600接收登录画面数据、终端用菜单画面数据、终端用细算画面数据、终端用细算完成画面数据、终端用密码变更画面数据、终端用变更完成画面数据、终端用变更失败画面数据、终端用强制结束画面数据等画面数据、各种服务、密码变更、相互认证、加密处理相关的各种信息，对接收到的各种画面数据和各种信息进行处理。

在上述处理中，控制部107经由发送接收部101向管理服务器600发送的信息采用如图4所示的数据包140的形式。控制部107从存储部110读出终端ID130，从应用编号表120提取应用编号，生成由读出的终端ID130和提取的应用编号及各种信息构成的数据部143。所生成的数据部143被输出到发送接收部101，指示发送。

在以下说明中，简化了对数据部143的生成的说明，只表示为应用编号、终端ID和各种信息。

以下说明登录处理、各种服务的使用处理及密码变更处理。

(登录处理)

控制部107从输入部112接收到表示电子申请的操作指示信息后，向认证部103发出与管理服务器600之间进行相互认证的指示。

认证部103所进行的相互认证成立后，从认证部103接收终端通用密钥，存储所接收到的终端通用密钥。其次，经由发送接收部101从管理服务器600接收登录画面数据，根据所接收到的登录画面数据生成登录画面151，将生成的登录画面151输出到图像显示部113，指示显示登录画面151。图5所示的登录画面151是这里显示的画面的一个实例。登录画面数据是用来生成登录画面151的数据，使用HTML记述。

接着，经由输入部112接收使用者的输入。当接收到表示发送按钮154被按下的操作指示信息时，将填入到密码框153内的密码和终端通用密钥输出到加密处理部108，指示加密。接着，从加密处理部108接收加密密码，从存储部110读出应用编号“005”和终端ID130。将读出的应用编号“005”和终端ID130、接收到的加密密码和用户ID框152中输入的用户ID输出到发送接收部101，指示向管理服务器600发送。

(各种服务的使用)

接着，从管理服务器600接收终端用菜单画面数据，根据接收到的终端用菜单画面数据生成菜单画面161，将生成的菜单画面161输出到图像显示部113，指示显示菜单画面161。图5是这里显示的菜单画面161的一个实例。终端用菜单画面数据是用来生成菜单画面161的数据，使用HTML记述。

接着，从输入部112接收表示菜单画面161上显示的按钮162～166被按下的操作指示信息。

控制部107从输入部112接收表示按钮162、163、164或165被按下的操作指示信息，分别开始出差费细算、休假申请、会议室预约或工作人员采购的服务使用处理。

这里，作为一个实例，只具体说明出差费细算服务的使用。

从输入部112接收到表示按钮162被按下的操作指示信息后，控制部107从存储部110的应用编号表120中提取应用编号“001”，读出终端I D130，将提取的应用编号“001”和读出的终端ID130经由发送接收部101发送到管理服务器600，请求开始服务。

其次，控制部107经由发送接收部101从管理服务器600接收wait消息、终端用强制结束画面数据或终端用细算画面数据。终端用强制结束画面数据和终端用细算画面数据是用来生成强制结束画面321和细算画面171的数据，使用HTML记述。

接收到wait消息后，经由图像显示部113将接收到的wait消息显示到监视器，接着，经由图像显示部113在监视器上显示菜单画面161，从菜单选择接收开始重新进行处理。

接收到终端用强制结束画面数据后，根据所接收的终端用强制结束画面数据生成强制结束画面321，将生成的强制结束画面321输出到图像显示部113，指示显示强制结束画面321，结束处理。图8所示的强制结束画面321是这里显示的画面的一个实例。

接收到终端用细算画面数据后，根据所接收的终端用细算画面数据生成细算画面171，将生成的细算画面171输出到图像显示部113，指示显示细算画面171。图6是这里显示的细算画面171的一个实例。

接着，经由输入部112接收使用者的输入。从输入部112接收表示细算画面171的发送按钮173被按下的操作指示信息，将细算画面171上输入的输入数据和终端通用密钥输出到加密处理部108，指示进行加密。图4所示的数据149是这里输出的输入数据的一个实例，包含目的地、交通机构名称、费用等。

从加密处理部108接收加密输入数据，从存储部110读出应用编号“001”和终端ID130，将读出的应用编号“001”和终端ID130及接收到的加密输入数据经由发送接收部101发送到管理服务器600。

接着，从管理服务器600接收终端用细算结束画面数据，根据接收到的终端用细算结束画面数据生成细算结束画面181，将生成的细算结束画面181输出到图像显示部113，指示其进行显示。图6所示的细算结束画面181是这里显示的画面的一个实例。终端用细算结束画面数据是用来生成细算结束画面的数据，使用HTML记述。

接着，从输入部112接收表示细算结束画面181上的菜单按钮182或注销按钮183被按下的操作指示信息。

接收到表示菜单按钮182被按下的操作指示信息后，指示在图像显示部113上显示菜单画面161，接收菜单选择。

接收到表示注销按钮183被按下的操作指示信息后，控制部107生成注销通知，从存储部110读出应用编号“005”和终端ID，将读出的应用编号“005”和终端ID、注销通知经由发送接收部101发送到管理服务器600后，结束处理。

(密码变更)

接收到表示菜单画面161上的按钮166被按下的操作指示信息后，控制部107生成请求密码变更的密码变更指示，从存储部110读出应用编号“005”和终端ID130，将读出的应用编号“005”和终端ID130、生成的密码变更指示经由发送接收部601发送到管理服务器600。

接着，经由发送接收部101从管理服务器600接收终端用密码变更画面数据。根据接收到的终端用密码变更画面数据生成密码变更画面191，将生成的密码变更画面191输出到图像显示部113，指示其进行显示。图7是这里显示的密码变更画面191的一个实例。终端用密码变更画面数据是用来生成密码变更画面191的数据，使用HTML记述。

接着，经由输入部112接收使用者的输入。在以下说明中，由使用者输入到空栏192中的密码称为当前密码、输入到空栏193及194中的密码称为新密码。

当从输入部112接收到表示发送按钮195被按下的操作指示信息时，将接收到的当前密码和新密码及终端通用密钥输出到加密处理部108，指示加密。接着，从加密处理部108接收加密的当前密码和加密的新密码。从存储部110读出应用编号“005”和终端ID130，将读出的应用编号“005”和终端ID130及接收到的加密的当前密码和加密的新密码经由发送接收部101发送到管理服务器600。

接着，从管理服务器600接收终端用变更完成画面数据、终端用变更失败画面数据和终端强制结束画面数据。终端用变更完成画面数据、终端用变更失败画面数据分别是用来生成变更完成画面301、变更失败画面311的数据，作为一个实例，使用HTML记述。

接收到终端用强制结束画面数据后，根据所接收的终端用强制结束画面数据生成强制结束画面321，将生成的强制结束画面321经由图像显示部113显示到监视器，结束处理。

接收到终端用变更完成画面数据后，根据所接收的终端用变更完成画面数据生成变更完成画面301，将生成的变更完成画面301经由图像显示部113显示到监视器。图7表示了这里显示的变更完成画面301的一个实例。

接着，经由输入部112接收使用者的按钮操作。从输入部112接收到表示变更完成画面301上的菜单按钮302被按下的操作指示信息后，指示在图像显示部113上显示菜单画面161，返回由使用者进行的菜单的选择。

在接收到表示注销按钮303被按下的操作指示信息后，控制部107生成注销通知，从存储部110读出应用编号“005”和终端ID130，将读出的应用编号“005”和终端ID130、注销通知经由发送接收部101发送到管理服务器600后，结束处理。

在接收到终端用变更失败画面数据后，控制部107根据所接收的终端用变更失败画面数据生成变更失败画面311，将生成的变更失败画面311经由图像显示部113显示到监视器。图8表示了这里显示的变更失败画面311的一个实例。接着，经由输入部112接收使用者的按钮操作。在从输入部112接收到表示变更失败画面311上的菜单按钮312被按下的操作指示信息后，指示在图像显示部113上显示菜单画面161，返回菜单选择的接收。

在接收到表示注销按钮313被按下的操作指示信息后，控制部107生成注销通知，从存储部110读出应用编号“005”和终端ID130，将读出的应用编号“005”和终端ID130、注销通知经由发送接收部101发送到管理服务器600后，结束处理。

(5)认证部103

认证部103在控制部107和外部设备通信之前，使用秘密密钥135和公开密钥证书136与外部设备之间进行相互认证，仅当相互认证成功时允许控制部107与外部设备进行通信，并生成与外部设备相同的终端通用密钥。这里所说的外部设备具体是管理服务器600。

(6)加密处理部108

加密处理部108从控制部107接收各种信息和终端通用密钥，被指示进行加密。接收到加密指示后，使用接收到的终端通用密钥对所接收的各种信息实施加密算法E1生成加密信息，将生成的加密信息输出到控制部107。

加密处理部108从控制部107接收到的各种信息具体是密码、输入信息、当前密码和新密码。

另外，从控制部107接收各种加密信息和终端通用密钥，被指示进行解密。接收到解密指示后，加密处理部对接收到的加密信息使用终端通用密钥实施解密算法D2，生成各种信息。

这里，解密算法D2是用来解密由加密算法E2生成的密文的算法，作为一个实例，加密算法E1和E2使用DES加密方式等通用密钥加密方式。DES加密方式是众所周知的，因此省略其说明。

(7)图像显示部113

图像显示部113与外部的监视器连接。

图像显示部113从控制部107接收各种画面，被指示进行画面显示。根据接收到的画面生成图像信号及垂直同步信号、水平同步信号，按照生成的垂直同步信号和水平同步信号，将图像信号输出到监视器。

1.3应用服务器200

第1应用服务器200a～第4应用服务器200d向用户终端100提供各种服务。在本实施方式中，第1应用服务器200a提供出差费细算服务，第2应用服务器200b提供休假申请服务，第3应用服务器200c提供会议室预约服务，第4应用服务器200d提供工作人员采购服务。

如图9所示，应用服务器200由发送接收部201、认证部203、控制部207、加密处理部208、信息存储部210、输入部212及显示部213构成。

应用服务器200具体地由未图示的微处理器及RAM、ROM等构成。上述RAM、ROM中存储了计算机程序，上述微处理器按照这些计算机程序所示的步骤进行动作，由此，应用服务器200实现其功能。

(1)信息存储部210

信息存储部210由硬盘单元构成，作为一个实例，如图10所示，存储了密码表221、应用登录表231、秘密密钥242、公开密钥证书243、CRL244及认证局公开密钥245。另外，具体内容没有图示，但也存储了用来执行应用服务器200所提供的服务的各种计算机程序及图像数据。

密码表221如图11所示，由多个密码信息223、224、225……构成，各密码信息包含用户ID、姓名、及密码。用户ID与应用服务器200的合法使用者一一对应，姓名是与用户ID对应的使用者的姓名。密码是用来判断与用户ID对应的使用者是否是应用服务器200的合法使用者的字符串或数字串。

应用登录表231如图12所示，由多个登录信息232、233……构成。各登录信息包含用户ID、姓名、密码及终端ID。

用户ID与当前结束了由应用服务器200进行的密码认证、正在使用应用服务器200所提供的服务的使用者相对应，姓名和密码是与用户ID相对应的使用者的姓名和密码。终端ID是使用者当前使用的用户终端所特有的识别信息。

公开密钥证书243用来证明与秘密密钥242成对的公开密钥的合法性，包含证书ID、上述公开密钥及认证局的签名数据。

CRL244及认证局公开密钥245与用户终端100所存储的CRL137及认证局公开密钥138相同，因此省略其说明。

(2)发送接收部201

发送接收部201存储了应用服务器200的IP地址及管理服务器600的IP地址。

发送接收部201执行控制部207及认证部203与管理服务器600之间的信息发送和接收。

发送接收部201在控制部207与管理服务器600之间发送接收的各种信息为图4所示的数据包140的形式。从控制部207接收由应用编号、终端ID及各种信息构成的数据部143，被指示进行发送。

从控制部207指示发送后，在接收到的数据部143中设定应用服务器200的IP地址作为发送源，设定应用服务器200的IP地址作为发送目的地，进行发送。

另外，发送接收部201拒绝接收来自管理服务器600以外的外部装置的信息。具体地，确认接收到的数据包中包含的发送源地址是否是管理服务器600的IP地址，如果不是管理服务器600的IP地址，则删除接收到的数据包。

(3)输入部212和显示部213

输入部212接收操作者的信息和指示的输入，将与接收到的信息及接收到的指示相应的操作指示信息输出到控制部207。

显示部213根据控制部207的控制显示各种信息。

(4)控制部207

控制部207通过由上述处理器按照计算机程序进行动作来控制在应用服务器20000执行的各种信息处理。

控制部207从管理服务器600接收公开密钥证书，将接收到的公开密钥证书输出到认证部203，指示进行与管理服务器600的相互认证。认证部203所进行的相互认证成功后，从认证部203接收服务器通用密钥，存储所接收到的服务器通用密钥。使用所存储的服务器通用密钥执行加密通信，在以下说明的各处理中，安全地进行信息发送和接收。

另外，控制部207存储了表示应用服务器200自身所提供的服务的应用编号，在以下处理中，经由发送接收部201进行信息发送时，生成由所存储的应用编号及作为处理对象的使用者所使用的用户终端100的终端ID和发送信息构成的数据部143，将生成的数据部143输出到发送接收部201。在以下说明中，省略对数据部143的生成的说明，只表示为应用编号、终端ID和各种信息。

控制部207从管理服务器600接收应用服务器200的应用编号和终端ID、用户ID、加密密码和服务开始请求。另外，从管理服务器600接收应用编号、终端ID和注销通知。

控制部207从管理服务器600接收与应用服务器200相对应的应用编号、终端ID、用户ID、加密的当前密码、加密的新密码、密码变更指示。另外，从管理服务器600接收与应用服务器200相对应的应用编号、用户ID、加密的当前密码、加密的新密码和密码复原指示。

下面说明控制部207所执行的服务提供处理、密码变更处理、密码复原处理及注销处理。

(i)服务提供处理

在服务提供处理中，控制部207在每次从管理服务器600接收各种信息时，确认与各种信息一起接收的包含用户终端100的终端ID的登录信息232是否存在于应用登录表231中，并确认用户终端100的使用者是否已经登录。在以下的服务提供的说明中，省略关于接收时的已经登录的确认的说明。

控制部207当从管理服务器600接收到应用编号、作为处理对象的使用者正在使用的用户终端100的终端ID、用户ID、加密的密码和服务开始请求后，开始服务提供处理。这里，作为一个实例说明第1应用服务器200a所提供的出差费细算服务。

控制部207将接收到的加密密码、由相互认证生成的服务器通用密钥输出到加密处理部108，指示进行解密。从加密处理部208接收到密码后，判断密码表221中是否存在包含接收到的用户ID和密码的密码信息。如果判断发现密码表221中不存在包含接收到的用户ID和密码的密码信息，控制部207就向管理服务器600发送表示管理服务器600中存储的密码与第1应用服务器200a所存储的密码不一致的密码错误信号、所接收到的用户ID，结束服务提供处理。

如果判断发现存在包含接收到的用户ID和密码的密码信息223，则选择包含接收到的用户ID和从加密处理部208接收到的密码的密码信息223。接着，根据接收到的终端ID、所提取的终端ID、所选择的密码信息223生成登录信息232，将生成的登录信息232追加写入应用登录表231。

接着，控制部207从信息存储部210读出细算画面数据，从登录信息232提取用户ID和姓名，根据读出的细算画面数据和提取的用户ID和姓名生成终端用细算画面数据。接着，从登录信息232提取终端ID，将控制部207本身存储的应用编号“001”、所提取的终端ID、所生成的终端用细算画面数据经由发送接收部201发送到管理服务器600。

接着，从管理服务器600接收应用编号“001”、终端ID、加密输入数据。将所接收到的加密输入数据和服务器通用密钥输出到加密处理部208，指示进行解密。从加密处理部108接收输入数据，根据接收到的输入数据，执行使用者的出差费用细算处理。

出差费用细算处理结束后，从信息存储部210读出细算结束画面数据，根据读出的细算结束画面数据和登录信息232生成终端用细算结束画面数据，将应用编号“001”和登录信息232中包含的终端ID、所生成的终端用细算结束画面数据发送到管理服务器600，结束出差费用细算服务。

(ii)密码变更

控制部207从管理服务器600接收到与应用服务器200相对应的应用编号、作为密码变更对象的使用者正在使用的用户终端100的终端ID、用户ID、加密的当前密码、加密的新密码、密码变更指示后，暂时存储接收到的终端ID。

接着，将所接收到的加密的当前密码、加密的新密码、服务器通用密钥输出到加密处理部208，指示进行解密。从加密处理部208接收当前密码和新密码，从密码表221中选择包含所接收到的当前密码和所接收到的用户ID的密码信息223。接着，将所选择的密码信息223的密码改写为新密码。

改写正常结束后，控制部207生成结束信号“1”。由于硬盘故障等导致改写失败时，则生成结束信号“0”，将应用服务器200本身的应用编号、暂时存储的终端ID、生成的结束信号经由发送接收部201发送到管理服务器600，结束密码变更处理。

(iii)密码复原处理

从管理服务器600接收到与应用服务器200相对应的应用编号、终端ID、用户ID、加密的当前密码、加密的新密码、密码复原指示后，暂时存储终端ID。接着，控制部207将所接收到的加密的当前密码、加密的新密码、服务器通用密钥输出到加密处理部208，指示进行解密。

从加密处理部208接收当前密码和新密码，从密码表221中选择包含所接收到的新密码和所接收到的用户ID的密码信息223。将所选择的密码信息223中包含的密码改写为所接收到的当前密码。

密码的改写正常结束后，生成结束信号“1”。密码的改写失败的话，则生成结束信号“0”。接着，将与应用服务器200本身对应的应用编号、暂时存储的终端ID、生成的结束信号经由发送接收部201发送到管理服务器600，结束处理。

(iv)注销处理

控制部207经由发送接收部201从管理服务器600接收到应用编号、用户终端100的终端ID、注销通知后，在应用登录表231内检索包含所接收的终端ID的登录信息232。如果应用登录表231中不存在包含所接收的终端ID的登录信息，则就此结束注销处理。

如果应用登录表231中存在包含所接收的终端ID的登录信息232，则删除包含所接收的终端ID的登录信息232，结束注销处理。

(5)认证部203

认证部203在控制部207和外部设备通信之前，使用秘密密钥242和公开密钥证书243与外部设备之间进行相互认证，仅当相互认证成功时允许控制部207与外部设备进行通信，并生成与外部设备相同的服务器通用密钥。这里所说的外部设备具体是管理服务器600。

(6)加密处理部208

加密处理部208从控制部207接收各种信息和服务器通用密钥，被指示进行加密。接收到加密指示后，使用接收到的服务器通用密钥对所接收的信息实施加密算法E4生成加密信息，将生成的加密信息输出到控制部207。

另外，从控制部207接收各种加密信息和服务器通用密钥，被指示进行解密。接收到解密指示后，使用接收到的服务器通用密钥对所接收的加密信息实施解密算法D3生成信息，将生成的信息输出到控制部207。

加密处理部208从控制部207接收到的加密信息具体是加密密码、加密输入数据、加密的当前密码和加密的新密码。

这里，解密算法D3是用来解密由加密算法E3生成的密文的算法，作为一个实例，加密算法E3和E4是DES加密方式等通用密钥加密方式。

1.4管理服务器600

管理服务器600如图13所示，由发送接收部601、认证部603、密码变更部606、控制部607、加密处理部608、密码复原部614、变更判定部609、变更结果通知部615、信息存储部610、输入部612及显示部613构成。

管理服务器600具体是由没有图示出来的微处理器、RAM、ROM及硬盘构成的。上述RAM、ROM及硬盘中存储了计算机程序，上述微处理器按照上述计算机程序动作，由此管理服务器600实现其功能。

(1)信息存储部610

信息存储部610由硬盘单元构成，作为一个实例，如图14所示，存储了密码表621、登录表631、路由表641、密码变更表651、秘密密钥661、公开密钥证书662、CRL663及认证局公开密钥664。

密码表621与应用服务器200所存储的密码表221结构相同，因此省略其说明。

登录表631如图15所示，由多个登录信息632、633、634……构成，各登录信息包含用户ID、姓名、密码、终端ID及处理状况。

用户ID与结束了由管理服务器600进行的密码认证、正在使用各种服务的使用者相对应，姓名和密码是用户ID所示的使用者的姓名和密码。终端ID是用户ID所示的使用者当前正在使用的用户终端所特有的识别信息。处理状况表示终端ID所示的用户终端与管理服务器600及应用服务器200之间正在进行的处理的种类，在正在执行密码变更处理时设定为“密码变更中”，在正在执行与应用服务器200提供的各种服务相关的处理时设定为“通常”。

路由表641如图16所示，由多个路由信息642、643……构成，各路由信息包含应用编号、主机名、IP地址及端口号。

应用编号与第1应用服务器200a～第4应用服务器200d相对应，是表示各应用服务器所提供的服务的识别信息。这与用户终端100所存储的应用编号表120中包含的应用编号相同。主机名是用来确定与应用编号相对应的应用服务器200的识别信息。IP地址是表示上述应用服务器在网络上的位置的IP地址，端口号是管理服务器600在向应用服务器200发送信息时指定的发送目的地端口号。

密码变更表651如图17所示，由多个变更信息652、653、654……构成。各变更信息包含用户ID、当前密码和新密码。

用户ID是分配给应用服务器200及管理服务器600的合法使用者的识别信息。当前密码是在执行密码变更处理的时刻使用者正在使用的密码，新密码是在密码变更处理中使用者设定的新密码。具体地，当前密码是如图7所示的密码变更画面191中的空栏192中输入的字符串，新密码是空栏193和194中输入的字符串。

公开密钥证书662用来证明与秘密密钥661成对的公开密钥的合法性，包含证书ID、上述公开密钥及认证局的签名数据。

CRL663及认证局公开密钥664与用户终端100所存储的CRL137及认证局公开密钥138相同，因此省略其说明。

另外，信息存储部610具体内容虽然没有图示出来，但其存储了各种画面数据。

(2)发送接收部601

发送接收部601将用户终端100的终端ID与用户终端100的IP地址对应存储起来。另外，也存储了管理服务器600的IP地址。

发送接收部601执行管理服务器600内的各部分与外部设备之间的信息发送和接收。

作为一个实例，发送接收部601所发送接收的各种信息是如图4所示的数据包140的形式。

发送接收部601从控制部607、密码变更部606或密码复原部614接收由应用编号、用户终端100的终端ID、各种信息构成的数据部143，被指示进行发送。

从控制部607接收到向用户终端100发送的指示时，将发送源设定为管理服务器600的IP地址，根据终端ID将发送目的地设定为用户终端100的IP地址，发送所接收到的数据部143。另外，从控制部607或密码变更部606接收信息，如果被指示向应用服务器200发送，则根据应用编号从路由表641选择路由信息，从所选择的路由信息中提取IP地址和端口号，将发送目的地地址设定为所提取的I P地址，将发送源设定为管理服务器600的IP地址，将发送目的地端口号设定为所提取的端口号后进行发送。

(3)输入部612和显示部613

输入部612接收操作者的信息和指示的输入，将与接收到的信息及接收到的指示相应的操作指示信息输出到控制部607。

显示部613根据控制部607的指示显示各种信息。

(4)密码变更部606

密码变更部606从控制部607接收应用编号、终端ID、用户ID、加密的当前密码、加密的新密码，被指示进行密码变更。从控制部607被指示密码变更后，执行以下说明的密码变更处理。此外，在以下说明中，省略对数据部143的生成的说明，只表示为应用编号、终端ID和各种信息的输出。

(密码变更处理)

密码变更部606从控制部607接收应用编号、终端ID、加密的当前密码、加密的新密码，被指示进行密码变更时，生成指示应用服务器200进行密码变更的密码变更指示，将接收到的用户ID、应用编号、终端ID、加密的当前密码、加密的新密码、生成的密码变更指示输出到发送接收部601，指示向应用服务器200发送。

在发送的同时，密码变更部606生成表示已经向应用服务器200发送了密码变更指示的变更指示发送完成信号，将生成的变更指示发送完成信号和从控制部607接收到的应用编号、终端ID输出到变更判定部609。

(5)密码复原部614

密码复原部614从控制部607接收应用编号、终端ID、用户ID、加密的当前密码、加密的新密码，被指示进行密码复原。

另外，由变更判定部609指示密码复原指示的再次发送。

从控制部607被指示密码复原后，开始以下说明的密码复原处理。此外，在以下说明中，省略对数据部143的生成的说明，只表示为应用编号、终端ID和各种信息的输出。

(密码复原处理)

密码复原部614从控制部607接收应用编号、终端ID、用户ID、加密的当前密码、加密的新密码，被指示进行密码复原时，生成指示应用服务器200将密码复原为当前密码的密码复原指示，将接收到的应用编号、终端ID、加密的当前密码、加密的新密码、生成的密码复原指示暂时存储起来。接着，将接收到的应用编号、终端ID、加密的当前密码、加密的新密码、生成的密码复原指示输出到发送接收部601，指示向与应用编号相对应的应用服务器200发送。

在发送的同时，密码复原部614生成表示已经向应用服务器200发送了密码复原指示的复原发送完成信号，将生成的复原发送完成信号和所存储的应用编号、终端ID输出到变更判定部609。

从变更判定部609被指示再次发送密码复原指示时，密码复原部614读出所存储的应用编号、终端ID、加密的当前密码、加密的新密码、密码复原指示，经由发送接收部601再次发送所读出的应用编号、终端ID、加密的当前密码、加密的新密码、密码复原指示。

与再次发送同时，将复原发送完成信号输出到变更判定部609。

(6)变更判定部609

变更判定部609具备用来计测伴随着时间经过的经过时间的time计时器和用来计数密码复原指示的发送次数的次数计数器。

另外，变更判定部609预先存储了最大等待时间和限制次数。最大等待时间是密码变更部606或密码复原部614发送密码变更指示或密码复原指示后直到接收到结束信号的等待时间的上限值“1秒”。发送密码变更指示后超过最大等待时间仍然没有接收到结束信号时，则生成表示密码变更失败的变更结束信号“0”。发送密码复原指示后超过最大等待时间仍然没有接收到结束信号时，则指示密码复原部614再次发送密码复原指示。

限制次数是允许向1台应用服务器200发送密码复原指示的次数的最大值“3次”。密码复原指示的发送次数超过“3次”时，则生成表示密码复原失败的复原结束信号“0”。

变更判定部609从密码变更部606接收变更指示发送完成信号、应用编号、终端ID。

变更判定部609从密码复原部614接收复原指示发送完成信号、应用编号、终端ID。或从密码复原部614只接收复原指示发送完成信号。

以下说明变更判定部609所执行的(i)密码变更判定处理和(ii)密码复原判定处理。

(i)密码变更判定处理

变更判定部609从密码变更部606接收到变更指示发送完成信号和应用编号、终端ID后，将接收到的应用编号和终端ID暂时在内部存储起来。

另外，在接收到变更指示发送完成信号的同时，将time计时器初始化为0，开始计测经过时间。

接着，经由发送接收部601从应用服务器200接收到结束信号后，判别接收到的结束信号，如果结束信号为“1”，则生成表示应用服务器200的密码变更成功的变更结束信号“1”。如果判断所接收到的结束信号为“0”，则生成表示应用服务器200的密码变更失败的变更结束信号“0”。

另外，当从应用服务器200没有接收到结束信号时，比较time计时器的值和最大等待时间。如果判断发现time计时器没有超过最大等待时间，则重复time计时器与最大等待时间的比较，直到接收到结束信号或time计时器超过了最大等待时间。

如果判断发现time计时器超过了最大等待时间，变更判定部609则判定应用服务器200的密码变更失败，生成变更结束信号“0”。

接着，将所存储的应用编号、终端ID和生成的变更结束信号输出到控制部607。

(ii)密码复原判定处理

变更判定部609从密码复原部614接收到复原指示发送完成信号和应用编号、终端ID后，将接收到的应用编号和终端ID暂时在内部存储起来，并将次数计数器初始化为0。

另外，在接收到复原指示发送完成信号的同时，密码变更部606将time计时器初始化为0，开始计测经过时间。

如果从密码复原部614只接收到复原指示发送完成信号，则不执行次数计数器初始化，将time计时器初始化为0，开始计测经过时间。

接着，经由发送接收部601从应用服务器200接收到结束信号后，判别接收到的结束信号，如果结束信号为“1”，则生成表示应用服务器200的密码复原成功的复原结束信号“1”。

如果判断发现接收到的结束信号为“0”，则将次数计数器加1。接着，比较次数计数器的值和限制次数。如果判断发现次数计数器没有超过限制次数，则指示再次向密码复原部614发送密码复原指示。

另外，当从应用服务器200没有接收到结束信号时，比较time计时器和最大等待时间。如果判断发现time计时器没有超过最大等待时间，则重复time计时器与最大等待时间的比较，直到接收到结束信号或经过时间超过了最大等待时间。

如果判断发现time计时器超过了最大等待时间，则将次数计数器加1。接着，比较次数计数器和限制次数。如果次数计数器在限制次数以内，则指示再次向密码复原部614发送密码复原指示。

当判断发现次数计数器已经超过了限制次数，则生成表示密码复原失败的复原结束信号“0”。

生成复原结束信号后，接着，将所存储的应用编号、终端ID和生成的复原结束信号输出到控制部607。

(7)控制部607

控制部607通过由上述处理器按照计算机程序进行动作来控制在管理服务器600执行的各种信息处理。

控制部607将应用服务器200与表示应用服务器200所提供的服务的应用编号对应存储起来。

控制部607经由发送接收部601从用户终端100接收公开密钥证书。

从用户终端100接收到公开密钥证书后，将所接收到的公开密钥证书输出到认证部603，指示进行相互认证。认证部603的相互认证结束后，接收终端通用密钥。使用所接收到的终端通用密钥进行加密通信，由此在与用户终端100之间安全地执行以下说明的处理。

另外，控制部607经由发送接收部601发送接收的信息为如图4所示的数据包140的形式。控制部607对接收到的应用编号进行判定，判断用来提供使用者即将使用的服务的设备是否是应用服务器200或管理服务器600之一。控制部607在发送各种信息时，生成由要发送的信息、作为处理对象的使用者正在使用的用户终端100的终端I D、与执行处理的设备对应的应用编号构成的数据部143，将生成的数据部143输出到发送接收部601，指示进行发送。这里所说的执行处理的设备是应用服务器200和管理服务器600。

在以下说明的控制部607所执行的处理中，省略与上述数据部143的生成相关的说明，只表示为应用编号、终端ID和各种信息。

控制部607执行使用者的登录处理、各种服务的中转处理、密码变更控制、密码复原控制及注销处理。以下说明使用者的登录处理、各种服务的中转处理、密码变更控制、密码复原控制及注销处理。

(i)使用者登录处理

控制部607在由认证部603执行的相互认证结束后，从认证部603接收终端通用密钥，存储所接收到的终端通用密钥。控制部607从信息存储部610读出登录画面数据，经由发送接收部601将读出的登录画面数据发送到用户终端100。

接着，从用户终端100接收应用编号“005”和终端ID、用户ID、加密密码，将接收到的加密密码和终端通用密钥输出到加密处理部608，指示进行解密。从加密处理部608接收密码后，在密码表621内检索包含所接收到的用户ID和所接收到的密码的密码信息。如果判断发现包含所接收到的用户ID和所接收到的密码的密码信息不存在，则再次向用户终端100发送登录画面数据。

如果判断发现存在包含所接收到的用户ID和所接收到的密码的密码信息，则选择包含所接收到的用户ID和所接收到的密码的密码信息。根据所接收到的终端ID和所选择的密码信息生成登录信息632，将生成的登录信息632追加写入登录表631。这时，处理状况设定为“通常”。由此判定登录处理完成。

在此后的处理中，在每次从用户终端100接收各种信息时，确认包含与各种信息一起接收的终端ID的登录信息632是否存在于登录表631中，并确认用户终端100的使用者是否已经登录。在以下说明中，省略关于已经登录的确认的详细说明。

接着，从信息存储部610读出菜单画面数据，根据读出的菜单图像数据和写入的登录信息632中所包含的用户ID及姓名，生成终端用菜单画面数据，将生成的终端用菜单画面数据经由发送接收部601发送到用户终端100。接着，经由发送接收部601从用户终端100接收应用编号、终端ID、服务开始请求或应用编号、终端ID、密码变更指示。如果接收到应用编号、终端ID、服务开始请求，则执行用户终端100与应用服务器200的中转处理；如果接收到应用编号、终端ID、密码变更指示，则执行密码变更处理和密码复原处理。

(ii)各种服务的中转处理

控制部607接收到应用编号、终端ID、服务开始请求时，按照以下说明的步骤在接收到的应用编号所表示的应用服务器200与用户终端100之间进行中转处理。

这里，针对第1应用服务器200a与用户终端100之间的中转处理进行说明。

控制部607确认用户终端100的使用者已经登录，指示认证部603与应用服务器200a相互认证。认证部603所进行的相互认证结束后，从认证部603接收服务器通用密钥，存储所接收到的服务器通用密钥。

接着，在登录表631内选择包含所接收到的终端ID的登录信息632，从选择出来的登录信息632中提取用户ID和密码。将提取的密码和服务器通用密钥输出到加密处理部608，指示进行密码加密。接着，从加密处理部608接收加密密码。将从用户终端100接收到的应用编号“001”、终端ID、服务开始请求、所读出的用户ID、从加密处理部608接收到的加密密码输出到发送接收部601，指示向第1应用服务器200a发送。

接着，控制部607经由发送接收部601从应用服务器200a接收应用编号“001”、终端ID、密码错误信号、用户ID或应用编号“001”、终端ID、终端用细算画面数据。

如果接收到应用编号“001”、终端ID、密码错误信号、用户ID，控制部607从信息存储部610读出强制结束画面数据。接着从包含所接收到的用户ID的登录信息632中提取用户ID和姓名。

根据读出的强制结束画面数据和提取的用户ID、姓名，生成终端用强制结束画面数据，经由发送接收部601将接收到的终端ID、生成的终端用强制结束画面数据发送到用户终端100。接着，根据接收到的用户I D和错误画面数据生成错误画面331，输出到显示部613，通知管理服务器600的操作者发生了密码不一致。

如果接收到应用编号“001”、终端ID、终端用细算画面数据，则经由发送接收部601将接收到的应用编号“001”、终端ID、终端用细算画面数据发送到用户终端100。

接着，经由发送接收部601从用户终端100接收应用编号“001”、终端ID、加密的输入数据。根据接收到的终端ID，确认用户终端100的使用者已经登录。

接着，将接收到的加密输入数据和终端通用密钥输出到加密处理部608，指示进行加密的输入数据的解密。从加密处理部608接收输入数据。接着，将接收到的输入数据和服务器通用密钥输出到加密处理部608，指示进行输入数据的加密。从加密处理部608接收加密的输入数据。

接着，控制部607经由发送接收部601将应用编号“001”、接收到的终端ID、从加密处理部608接收的加密的输入数据发送到第1应用服务器200a。

接着，经由发送接收部601从应用服务器200a接收应用编号“001”、终端ID、终端用细算结束画面数据。将接收到的应用编号“001”、终端I D、终端用细算结束画面数据发送到用户终端100。

(iii)密码变更控制

控制部607按照接收处理、密码变更指示、结果通知的顺序进行密码变更控制。下面说明接收处理、密码变更指示及结果通知的处理。

(iii-a)接收处理

控制部607经由发送接收部601从用户终端100接收应用编号“005”、终端ID、密码变更指示。接着，确认用户终端100的使用者已经登录。

接着，从信息存储部610读出密码变更画面数据，根据读出的密码变更画面数据和登录信息632生成终端用密码变更画面数据，将生成的终端用密码变更画面数据经由发送接收部601发送到用户终端100。

接着，经由发送接收部601从用户终端100接收应用编号“005”、终端ID、加密的当前密码和加密的新密码。控制部607选择包含接收到的终端ID的登录信息632，将选择出来的登录信息632的处理状况改写为“密码变更中”。

接着，将所接收到的加密的当前密码、加密的新密码、终端通用密钥输出到加密处理部608，指示对加密的当前密码和加密的新密码进行解密。从加密处理部608接收所生成的当前密码和新密码。

接着，从改写后的登录信息632读出用户ID，确认密码表621上有没有包含读出的用户ID与接收到的当前密码的密码信息。如果判断发现不存在包含读出的用户ID与接收到的当前密码的密码信息，则经由发送接收部601向用户终端100再次发送密码变更画面，催促再次输入当前密码和新密码。

如果判断发现密码表621上存在包含读出的用户ID与接收到的当前密码的密码信息，则接着从密码变更表651选择包含读出的用户ID的密码变更信息652。将选择出来的密码变更信息652中包含的当前密码改写为从加密处理部608接收到的当前密码，将选择出来的密码变更信息中包含的新密码改写为从加密处理部608接收到的新密码。

(iii-b)密码变更处理

接着，控制部607按照以下说明的步骤进行第1应用服务器200a～第4应用服务器200d的密码变更。

控制部607向认证部603指示与第1应用服务器200a的相互认证。认证部603的相互认证结束后，从认证部603接收并存储服务器通用密钥。接着，从密码变更信息652提取当前密码和新密码，将提取的当前密码和新密码、通过与第1应用服务器200a相互认证而生成的服务器通用密钥输出到加密处理部608，指示进行当前密码和新密码的加密。

接着，从加密处理部608接收加密的当前密码和加密的新密码。从密码变更信息652提取用户ID。接着，控制部607将与第1应用服务器200a相对应的应用编号“001”、用户终端100的终端ID、所提取的用户ID、接收到的加密的当前密码和加密的新密码输出到密码变更部606，指示进行密码变更。

接着，从变更判定部609接收应用编号“001”和终端ID、变更结束信号。如果所接收到的变更结束信号是表示密码变更成功的“1”，则判定第1应用服务器200a的密码变更成功。

如果判断发现接收到的变更结束信号为“0”，则判定第1应用服务器200a的密码变更失败，中止第2应用服务器200b以后的密码变更，处理转至密码复原控制。

如果判断发现第1应用服务器200a的密码变更成功，则同样地按照相互认证、当前密码和新密码的加密、密码变更指示及变更结束信号的取得这样的步骤进行第2应用服务器200b的密码变更。

如果第2应用服务器200b的密码变更成功，则同样地进行第3应用服务器200c的密码变更；如果失败，则中止第3应用服务器200c及第4应用服务器200d的密码变更，转至密码复原处理。

如果第3应用服务器200c的密码变更成功，则接着进行第4应用服务器200d的密码变更；如果失败，则中止第4应用服务器200d的密码变更，转至密码复原处理。

如果第4应用服务器200d的密码变更成功，则执行以下的结果通知；如果失败，则执行密码复原处理。

(iii-c)结果通知

第1应用服务器200a～第4应用服务器200d的密码变更全部成功后，控制部607在信息存储部610所存储的密码表621内选择包含向密码变更部606输出的用户ID的密码信息，将所选择的密码信息中包含的密码改写为新密码。接着，从登录表631选择包含所输出的用户ID的登录信息632，将选择出来的登录信息632中包含的密码改写为新密码。

接着，生成表示密码变更完成的完成信号，从改写的登录信息632中提取用户ID和姓名，将生成的完成信号和用户ID、终端ID输出到变更结果通知部615，指示向用户终端100进行结果通知。

接着，将登录信息632的处理状况改写为“通常”。

(iv)密码复原处理

在上述的(iii)中说明的密码变更处理的中途，如果某个应用服务器200的密码变更失败，控制部607执行密码复原处理。

具体地，控制部607根据从变更判定部609与变更结束信号“0”一起接收到的应用编号判别密码变更失败的应用服务器200。如果判断发现第1应用服务器200a～第3应用服务器200c的密码变更处理成功、第4应用服务器200d的密码变更处理失败，则按照第3应用服务器200c～第1应用服务器200a的顺序执行应用服务器的密码复原处理，接着进行失败通知处理。

如果判断发现第1应用服务器200a与第2应用服务器200b的密码变更处理成功、第3应用服务器200c的密码变更处理失败，则按照第2应用服务器200b～第1应用服务器200a的顺序执行应用服务器的密码复原处理，接着进行失败通知处理。

如果判断发现第1应用服务器200a的密码变更处理成功、第2应用服务器200c的密码变更处理失败，则在第1应用服务器200a执行应用服务器的密码复原处理，接着进行失败通知处理。

如果判断发现第1应用服务器200a的密码变更处理失败，则只进行失败通知处理。

另外，在某个应用服务器200，如果应用服务器的密码复原处理失败，则进行错误处理。

以下详细说明应用服务器的密码复原处理、失败通知处理和错误处理。

(iv-a)应用服务器的密码复原处理

控制部607从密码变更信息652提取当前密码和新密码，将提取的当前密码和新密码、对应的应用服务器200的服务器通用密钥输出到加密处理部608，指示进行当前密码和新密码的加密。从加密处理部608接收加密的当前密码和加密的新密码，将与应用服务器200相对应的应用编号、用户终端100的终端ID、密码变更信息652中包含的用户ID、接收到的加密的当前密码和加密的新密码输出到密码变更部606，指示进行密码复原。

接着，从密码变更部606接收应用编号和终端ID、复原结束信号。如果接收到的复原结束信号是表示密码复原成功的“1”，则判定与接收到的应用编号相对应的应用服务器200的密码复原成功，进行下一个应用服务器200的密码复原或失败通知处理。

如果接收到的复原结束信号是表示密码复原失败的“0”，则判定对应的应用服务器200的密码复原失败。

如果判定应用服务器200的密码复原失败，则不执行其他应用服务器200的复原处理和失败通知处理，而是执行后述的错误处理。

(iv-b)失败通知处理

控制部607生成表示密码复原失败的失败信号，选择包含从变更判定部609接收到的终端ID的登录信息632，从选择出来的登录信息632中提取用户ID和姓名，将生成的失败信号、提取的用户ID和姓名输出到变更结果通知部615，指示进行结果通知。

接着，将登录信息632的处理状况改写为“通常”，结束处理。

(iv-c)错误处理

如果应用服务器200的某一个的密码复原处理判定为失败，则控制部607从信息存储部610读出强制结束画面数据，根据读出的强制结束画面数据和登录信息632中包含的用户ID和姓名生成终端用强制结束画面数据，将生成的终端用强制结束画面数据经由发送接收部601发送到用户终端100。

接着，从信息存储部610读出错误画面数据，根据读出的错误画面数据和登录信息632中包含的用户ID生成错误画面331，在显示部613上显示生成的错误画面331，通知操作者发生了错误。图18是这里显示的错误画面331的一个实例。

(v)注销处理

控制部607经由发送接收部601从用户终端100接收应用编号“005”、终端ID、注销通知。接收到注销通知后，将接收到的终端ID和注销通知经由发送接收部601发送到第1应用服务器200a～第4应用服务器200d。接着，从登录表631删除包含接收到的终端I D的登录信息632。

(8)变更结果通知部615

变更结果通知部615从控制部607接收完成信号、用户ID、终端ID、结果通知指示。

另外，从控制部607接收失败信号、用户ID、姓名、结果通知指示。

接收到完成信号、用户ID、终端ID和结果通知指示后，变更结果通知部615从信息存储部610读出变更完成画面数据，根据读出的变更完成画面数据和接收到的用户ID和姓名生成终端用变更完成画面数据，将生成的终端用变更完成画面数据发送到用户终端100。

接收到失败信号、用户ID、终端ID和结果通知指示后，变更结果通知部615从信息存储部610读出变更失败画面数据，根据读出的变更失败画面数据和接收到的用户ID和姓名生成终端用变更失败画面数据，将生成的终端用变更失败画面数据经由发送接收部601发送到用户终端100。

(9)认证部603

认证部603根据控制部607的指示执行与连接到因特网20的外部设备的相互认证，生成通用密钥。

这里，所谓的外部装置是指用户终端100和应用服务器200，与用户终端100之间共享终端通用密钥，与各应用服务器200之间则与各个应用服务器共享服务器通用密钥。

(10)加密处理部608

加密处理部608根据来自控制部607的指示进行各种信息的加密和解密。

具体地，从控制部607接收加密密码和终端通用密钥、加密的输入数据和终端通用密钥或加密的当前密码和加密的新密码和终端通用密钥。使用接收到的终端通用密钥对接收到的加密密码、加密输入数据、加密的当前密码和加密的新密码实施解密算法D1，生成密码，将生成的密码输出到控制部607。

另外，接收密码和服务器通用密钥、输入数据和服务器通用密钥、或当前密码和新密码和服务器通用密钥。使用接收到的服务器通用密钥，对接收到的密码、输入数据、当前密码和新密码实施加密算法E3，生成加密密码、加密输入数据、加密的当前密码和加密的新密码，将生成的加密密码、加密输入数据、加密的当前密码和加密的新密码输出到控制部607。

1.5密码变更系统的动作

以下说明密码变更系统的动作。

(1)用户终端100的处理

使用图19～图26所示的流程图说明用户终端100的处理。此外，虽然图中没有具体表示出来，但在以下动作中，在设备之间进行各种信息的发送接收时，执行处理的应用服务器200或管理服务器600的应用编号和用户终端100的终端ID随着各种信息一起被发送和接收。

用户终端100接收使用者的按钮操作(步骤S101)，当接收到表示电子申请的按钮操作时，将处理转至步骤S102。当接收到表示其他处理的按钮操作时，执行其他处理(步骤S100)。

用户终端100执行与管理服务器600的相互认证，共享终端通用密钥(步骤S102)。

与用户终端100的相互认证完成后，管理服务器600读出登录画面数据(步骤S103)，将读出的登录画面数据发送到用户终端100(步骤S104)。

用户终端100从管理服务器600接收登录画面数据，根据接收到的登录画面数据生成登录画面151，显示到监视器(步骤S105)。接着，接收使用者的用户ID和密码的输入(步骤S107)，利用终端通用密钥将接收到的密码加密，生成加密密码(步骤S108)。将用户ID和生成的加密密码经由因特网20发送到管理服务器600(步骤S109)。

管理服务器600经由因特网20接收用户ID和加密密码，利用终端通用密钥将接收到的加密密码解密，生成密码(步骤S111)。接着，确认密码表621中有没有包含接收到的用户ID和密码的密码信息(步骤S112)，如果不存在包含接收到的用户ID和密码的密码信息，则判定认证失败(步骤S113的否)，从步骤S103重新进行处理。如果存在包含接收到的用户ID和密码的密码信息，则判定认证成功(步骤S113的是)，根据包含接收到的用户ID和密码的密码信息及接收到的用户终端100的终端ID生成登录信息632，追加写入登录表631中(步骤S115)。

接着，从信息存储部610读出菜单画面数据，根据读出的菜单画面数据和追加到登录表631中的登录信息632生成终端用菜单画面数据(步骤S116)，将生成的终端用菜单画面数据经由因特网20发送到用户终端100(步骤S117)。

用户终端100经由因特网20接收终端用菜单画面数据，根据接收到的终端用菜单画面数据生成菜单画面161，显示到监视器(步骤S121)。接着，接收使用者的菜单选择(步骤S122)。

根据使用者的按钮操作当选择密码变更时(步骤S122)，转至密码变更处理(步骤S127)。

如果使用者选择了出差费细算(步骤S122)，则读出应用编号“001”(步骤S123)。如果使用者选择了休假申请(步骤S122)，则读出应用编号“002”(步骤S124)。如果使用者选择了会议室预约(步骤S122)，则读出应用编号“003”(步骤S125)。如果使用者选择了工作人员采购(步骤S122)，则读出应用编号“004”(步骤S126)。接着，将读出的应用编号和服务开始请求发送到管理服务器600(步骤S128)。

管理服务器600经由因特网20从用户终端100接收应用编号和服务开始请求。选择包含与服务开始请求一起接收到的终端ID的登录信息632，确认选择出来的登录信息632中包含的处理状况是否是“通常”(步骤S131)。如果判断发现处理状况不是“通常”(步骤S131的否)，则从信息存储部610读出wait消息(步骤S146)，将读出的wait消息经由因特网20发送到用户终端100(步骤S147)。

用户终端100从管理服务器600接收wait消息，将接收到的wait消息显示出来(步骤S148)。

如果判断发现选择出来的登录信息632的处理状况为“通常”(步骤S131的是)，接着判断接收到的应用编号(步骤S132)，如果判断发现应用编号为“002”(步骤S132的002)，则开始与第2应用服务器200b进行通信。如果判断发现应用编号为“003”(步骤S132的003)，则开始与第3应用服务器200c进行通信。如果判断发现应用编号为“004”(步骤S132的004)，则开始与第4应用服务器200d进行通信(步骤S135)。

如果判断发现应用编号为“001”(步骤S132的001)，则开始与第1应用服务器200a进行通信。首先，管理服务器600与第1应用服务器200a进行相互认证，共享服务器通用密钥(步骤S136)。

其次，读出所选择的登录信息632中包含的用户ID和密码(步骤S139)，利用服务器通用密钥对读出的密码进行加密，生成加密密码(步骤S141)。将接收到的服务开始请求、应用编号“001”、读出的用户ID、生成的加密密码发送到第1应用服务器200a(步骤S142)。

第1应用服务器200a经由因特网20从管理服务器600接收服务开始请求和应用编号“001”、用户ID、加密密码，利用服务器通用密钥对接收到的加密密码进行解密，生成密码(步骤S151)。确认密码表221中有没有包含接收到的用户ID和生成的密码的密码信息(步骤S152)，如果不存在包含接收到的用户ID和生成的密码的密码信息，则判定认证失败(步骤S153的否)，将表示管理服务器600所存储的密码与第1应用服务器200a所存储的密码不一致的密码错误信号、接收到的用户ID经由因特网20发送到管理服务器600(步骤S166)。

管理服务器600接收来自第1应用服务器200a的密码错误信号和用户ID，生成终端用强制结束画面数据(步骤S167)，将生成的终端用强制结束画面数据发送到用户终端100(步骤S168)。接着，管理服务器600生成错误画面331(步骤S169)，将生成的错误画面显示到显示部613，通知操作者密码不一致(步骤S171)。

用户终端100经由因特网20从管理服务器600接收终端用强制结束画面数据，根据接收到的终端用强制结束画面数据生成强制结束画面321，将生成的强制结束画面321显示到监视器(步骤S172)，结束处理。

如果密码表221中存在包含接收到的用户I D和生成的密码的密码信息223，则第1应用服务器200a判定认证成功(步骤S153的是)，根据密码信息223和与服务开始请求一起接收到的终端ID生成登录信息232，将生成的登录信息232追加写入应用登录表231中(步骤S154)。

接着，第1应用服务器200a生成终端用细算画面数据(步骤S155)，将生成的终端用细算画面数据发送到管理服务器600(步骤S156)。

管理服务器600经由因特网20从第1应用服务器200a接收终端用细算画面数据，将接收到的终端用细算画面数据发送到用户终端100(步骤S158)。

用户终端100经由因特网20从管理服务器600接收终端用细算画面数据，根据接收到的终端用细算画面数据生成细算画面171，显示到监视器(步骤S159)。接着，接收使用者的数据输入(步骤S161)，利用终端通用密钥对接收的输入数据进行加密，生成加密输入数据(步骤S162)。接着，将生成的加密输入数据发送到管理服务器600(步骤S176)。

管理服务器600经由因特网20从用户终端100接收加密输入数据(步骤S177)，利用终端通用密钥对接收到的加密输入数据进行解密，生成输入数据(步骤S177)。接着，利用服务器通用密钥对生成的输入数据进行加密，生成加密输入数据(步骤S179)，将生成的加密输入数据发送到第1应用服务器200a(步骤S181)。

第1应用服务器200a经由因特网20接收加密输入数据，利用服务器通用密钥对接收到的加密输入数据进行解密，生成输入数据(步骤S182)。接着，根据生成的输入数据进行出差费细算处理(步骤S183)。出差费细算处理结束后，第1应用服务器200a生成终端用细算结束画面数据(步骤S184)，将生成的终端用细算结束画面数据发送到管理服务器600(步骤S186)。

管理服务器600经由因特网20从第1应用服务器200a接收终端用细算结束画面数据，将接收到的终端用细算结束画面数据发送到用户终端100(步骤S188)。

用户终端100经由因特网20从管理服务器600接收终端用细算结束画面数据，根据接收到的终端用细算结束画面数据生成细算结束画面181，显示到监视器(步骤S191)。接着，接收使用者的按钮操作(步骤S192)，如果接收到菜单按钮182的按下，则返回步骤S121，接收菜单选择。

如果接收到注销按钮183的按下(步骤S192)，用户终端100则向管理服务器600发送表示注销的注销通知(步骤S193)。

管理服务器600经由因特网20从用户终端100接收注销通知，将接收到的注销通知发送到第1应用服务器200a(步骤S194)。接着，选择包含与注销通知一起接收到的终端ID的登录信息632，将所选择的登录信息632从登录表631删除(步骤S195)。另外，虽然没有图示出来，也同样地向第2应用服务器200b～第3应用服务器200d发送注销通知。

第1应用服务器200a经由因特网20从管理服务器600接收注销通知。检索包含与注销通知一起接收到的终端ID的登录信息，如果包含接收到的终端ID的登录信息232存在，则将登录信息232从应用登录表231删除(步骤S196)。在第2应用服务器200b～第4应用服务器200d中，如果包含接收到的终端ID的登录信息存在，也同样地从自身存储的应用登录表中删除。

(2)管理服务器600的密码变更处理

利用图27～图29的流程图说明管理服务器600的密码变更处理。这是图20的步骤S127的详细内容。

用户终端100读出应用编号“005”(步骤S300)，将读出的应用编号“005”和密码变更指示发送到管理服务器600(步骤S301)。

管理服务器600经由因特网20接收应用编号“005”和密码变更指示。接收到密码变更指示后，生成终端用密码变更画面数据(步骤S302)，将生成的终端用密码变更画面数据发送到用户终端100(步骤S303)。

用户终端100经由因特网20从管理服务器600接收终端用密码变更画面数据，根据接收到的终端用密码变更画面数据生成密码变更画面191，显示到监视器(步骤S304)。接着，接收使用者的当前密码和新密码的输入(步骤S306)。利用终端通用密钥将接收到的当前密码和新密码加密，生成加密的当前密码和加密的新密码(步骤S307)。接着，将生成的加密的当前密码和加密的新密码发送到管理服务器600(步骤S308)。

管理服务器600经由因特网20从用户终端100接收加密的当前密码和加密的新密码。根据与加密的当前密码和加密的新密码一起接收到的终端ID选择登录表631中的登录信息632，将选择出来的登录信息632的处理状况改写为“密码变更中”(步骤S309)。

接着，利用终端通用密钥将接收到的加密的当前密码和加密的新密码进行解密，生成当前密码和新密码(步骤S311)。读出改写后的登录信息632中包含的用户ID(步骤S312)，确认密码表621中有没有包含读出的用户ID与生成的当前密码的密码信息(步骤S313)。

如果密码表621中不存在包含读出的用户ID与生成的当前密码的密码信息，则判定认证失败(步骤S316的否)，返回步骤S302，再次发送终端用密码变更画面数据。

如果密码表621中存在包含读出的用户ID与生成的当前密码的密码信息，则判定认证成功(步骤S316的是)。

接着，从密码变更表651中选择包含读出的用户ID与生成的当前密码的密码变更信息652(步骤S317)，将选择出来的密码变更信息652中包含的当前密码和新密码改写为所生成的当前密码和新密码(步骤S318)。

接着，执行第1应用服务器200a的密码变更处理(步骤S319)，如果正常结束，执行第2应用服务器200b的密码变更处理(步骤S321)，如果没有正常结束，处理则转至图32所示的密码复原处理的步骤S364。第2应用服务器200b的密码变更正常结束时，执行第3应用服务器200c的密码变更(步骤S322)，如果没有正常结束，处理则转至图32所示的步骤S363。第3应用服务器200c的密码变更正常结束时，执行第4应用服务器200d的密码变更(步骤S323)，如果没有正常结束，处理则转至图32所示的步骤S362。如果第4应用服务器200d的密码变更没有正常结束，处理则转至图32所示的步骤S361。

第1应用服务器200a～第4应用服务器200d的密码变更全部正常结束后，管理服务器600从密码表621选择包含所发送的用户ID的密码信息，将选择出来的密码信息中包含的密码改写为新密码。另外，从登录表631选择包含所发送的用户ID的登录信息632，将选择出来的登录信息632中包含的密码改写为新密码(步骤S326)。

接着，生成终端用变更完成画面数据(步骤S327)，将生成的终端用变更完成画面数据发送到用户终端100(步骤S328)，将登录信息632的处理状况改写为“通常”(步骤S329)。

用户终端100经由因特网20从管理服务器600接收终端用变更完成画面数据，根据接收到的终端用变更完成画面数据生成变更完成画面301，将生成的变更完成画面301显示到监视器(步骤S331)。接着，接收使用者的按钮操作(步骤S332)，如果接收到菜单按钮302的按下，则返回步骤S121，显示菜单画面。

如果接收到注销按钮303的按下，则向管理服务器600发送注销通知，结束处理(步骤S333)。

管理服务器600经由因特网20从用户终端100接收注销通知。将接收到的注销通知发送到第1应用服务器200a～第4应用服务器200d(步骤S336)。接着，根据与注销通知一起接收到的终端ID选择登录信息632，将选择出来的登录信息632删除(步骤S334)。

应用服务器200从管理服务器600接收注销通知，在应用登录表231中检索包含与注销通知一起接收到的终端ID的登录信息，如果存在包含接收到的终端I D的登录信息的登录信息，则将该登录信息删除(步骤S337)。

(3)应用服务器200的密码变更处理

使用图30～31所示的流程图说明各应用服务器200的密码变更处理。此外，这是图28的步骤S319、步骤S321、步骤S322及步骤S323的详细内容。

管理服务器600与应用服务器200进行相互认证，生成服务器通用密钥(步骤S341)。从在步骤S318改写的密码变更信息652中提取用户ID及当前密码和新密码，使用服务器通用密钥对提取的当前密码和新密码进行加密，生成加密的当前密码和加密的新密码(步骤S342)。将提取的用户ID和生成的加密的当前密码和加密的新密码发送到应用服务器200，指示进行密码变更(步骤S343)。接着，将用来计测从密码变更指示发送开始的经过时间的time计时器设定为0，开始计测经过时间(步骤S344)。

应用服务器200经由因特网20从管理服务器600接收用户ID、加密的当前密码和加密的新密码，被指示进行加密。利用服务器通用密钥将接收到的加密的当前密码和加密的新密码进行解密，生成当前密码和新密码(步骤S345)。

从密码表221选择包含所接收的用户ID的密码信息223，将选择出来的密码信息223中包含的密码改写为新密码(步骤S346)。如果判断发现密码改写成功(步骤S347的是)，则生成结束信号“1”(步骤S349)。如果判断发现密码改写失败(步骤S347的否)，则生成结束信号“0”(步骤S348)。

接着，将生成的结束信号经由因特网20发送到管理服务器600(步骤S351)。

管理服务器600从应用服务器200接收到结束信号后(步骤S355的是)，对接收到的结束信号进行判断(步骤S356)，如果判断发现是结束信号“1”，则结束应用服务器200的密码变更。

如果判断发现是结束信号“0”(步骤S356的“0”)，则转至密码复原处理(步骤S359)。

如果从应用服务器200没有接收到结束信号(步骤S355的否)，则对t ime计时器的值与最大等待时间进行比较(步骤S358)，如果判断发现time计时器没有超过最大等待时间(步骤S358的否)，则返回步骤S355，重复步骤S355～步骤S358的处理，直到从应用服务器200接收到结束信号或time计时器超过了最大等待时间。

如果判断发现time计时器超过了最大等待时间(步骤S358的是)，则判定应用服务器200的密码变更失败，执行密码复原处理(步骤S359)。

(4)管理服务器600的密码复原处理

利用图32的流程图说明管理服务器600的密码复原处理。这是图31的步骤S359的详细内容。

如果正处于图28的步骤S319的处理过程中，则从步骤S364开始密码复原处理。如果处于步骤S321的处理过程中，则从步骤S363开始密码复原处理；如果处于步骤S322的处理过程中，则从步骤S362开始密码复原处理；如果正处于图28的步骤S323的处理过程中，则从步骤S361开始密码复原处理。

管理服务器600执行第3应用服务器200c的密码复原(步骤S361)，如果正常结束，则执行第2应用服务器200b的密码复原(步骤S362)。如果步骤S362正常结束，则执行第1应用服务器200a的密码复原(步骤S363)。

步骤S364正常结束后，管理服务器600根据变更失败画面和登录信息632生成终端用变更失败画面数据(步骤S364)，将生成的终端用变更失败画面数据发送到用户终端100(步骤S366)。

用户终端100经由因特网20从管理服务器600接收终端用变更失败画面数据，根据接收到的终端用变更失败画面数据生成变更失败画面311，将生成的变更失败画面311显示到监视器(步骤S367)。接着，接收使用者的按钮操作(步骤S368)，如果接收到菜单按钮312的选择，则移至步骤S121。

如果接收到注销按钮313的选择，则向管理服务器600发送注销通知(步骤S371)。

管理服务器600经由因特网20从用户终端100接收注销通知，根据与注销通知一起接收到的终端ID选择登录信息632，将选择出来的登录信息632删除(步骤S372)。

另外，图中没有具体表示出来，接收到的注销通知被发送到应用服务器200。应用服务器200经由因特网20从管理服务器600接收注销通知，在应用登录表231中检索包含与注销通知一起接收到的终端ID的登录信息，如果存在包含终端ID的登录信息，则将该登录信息删除。

(5)应用服务器200的密码复原处理

使用图33所示的流程图说明应用服务器200的密码复原处理。这是图32的步骤S361、步骤S362、步骤S363的详细内容。

管理服务器600将用来计数密码复原指示的发送次数的次数计数器设定为0(步骤S380)。接着，读出密码变更信息652中包含的用户ID、当前密码和新密码，利用服务器通用密钥对读出的当前密码和新密码进行加密，生成加密的当前密码和加密的新密码(步骤S381)。接着，将读出的用户ID和生成的加密的当前密码和加密的新密码发送到应用服务器200，指示进行密码复原(步骤S382)。接着，将用来计测从密码复原指示发送开始的经过时间的time计时器设定为0，开始计测经过时间(步骤S383)。

应用服务器200经由因特网20从管理服务器600接收用户ID、加密的当前密码和加密的新密码，接收密码复原指示。利用服务器通用密钥将接收到的加密的当前密码和加密的新密码进行解密，生成当前密码和新密码(步骤S384)。接着，在密码表221中选择包含接收到的用户ID和生成的新密码的密码信息，将选择出来的密码信息的密码改写为当前密码(步骤S385)。

如果密码改写成功(步骤S386的是)，则生成结束通知“1”(步骤S387)。如果密码改写失败(步骤S 386的否)，则生成结束信号“0”(步骤S388)。接着，将生成的结束信号发送到管理服务器600(步骤S389)。

管理服务器600经由因特网20从应用服务器200接收到结束信号后(步骤S391的是)，对接收到的结束信号进行判断(步骤S392)，如果判断发现是结束信号“1”，则以此正常结束应用服务器200的密码复原。

如果判断发现是结束信号“0”(步骤S392)，处理则转至步骤S396。

如果从应用服务器200没有接收到结束信号(步骤S391的否)，则对time计时器的值与最大等待时间进行比较(步骤S394)，如果判断发现time计时器没有超过最大等待时间(步骤S 394的否)，则返回步骤S391，重复步骤S391～步骤S394的处理，直到从应用服务器200接收到结束信号或time计时器超过了最大等待时间。

如果判断发现time计时器超过了最大等待时间(步骤S394的是)，则将次数计数器加1(步骤S396)，接着对次数计数器的值与限制次数进行比较(步骤S397)，如果没有超过限制次数(步骤S397的否)，处理则转至步骤S382。

如果判断发现超过了限制次数(步骤S397的是)，则判定密码复原失败，生成终端用强制结束画面数据(步骤S398)，将生成的终端用强制结束画面数据发送到用户终端100(步骤S399)。

接着生成错误画面331(步骤S402)，将生成的错误画面显示到显示部613(步骤S403)。

用户终端100经由因特网20从管理服务器600接收终端用强制结束画面数据。根据接收到的终端用强制结束画面数据生成强制结束画面321，显示到监视器(步骤S401)，结束处理。

(6)相互认证处理

使用图35～图36说明设备间的相互认证动作。

此外，该相互认证的方法只是一个实例，也可以使用其他的认证方法、密钥共享方法。另外，由于相互认证在用户终端100与管理服务器600之间或管理服务器600与应用服务器200之间进行，因此，将这里所说的两方的设备作为设备A和设备B进行说明。在上述说明中，通过用户终端100与管理服务器600之间的相互认证而生成的通用密钥称为终端通用密钥、通过管理服务器600与应用服务器200之间的相互认证而生成的通用密钥称为服务器通用密钥。

这里，假定Gen()为密钥生成函数，Y为系统特有参数。假定密钥生成函数Gen()满足Gen(x，Gen(z，Y))＝Gen(z，Gen(x，Y))的关系。密钥生成函数可以使用任意的公开技术实施，因此这里不对其进行详细说明。

设备A读出公开密钥证书Cert_A(步骤S201)，将读出的公开密钥证书Cert_A发送到设备B(步骤S202)。

接收到公开密钥证书Cert_A的设备B使用认证局的公开密钥PK_CA对包含在公开密钥证书Cert_A中接收的认证局的签名数据Sig_CA实施签名验证算法V，进行签名验证(步骤S203)。这里，签名验证算法V是对利用签名生成算法S生成的签名数据进行验证的算法。如果签名验证的结果是失败(步骤S204的否)，则结束处理。

如果签名验证的结果是成功(步骤S204的是)，设备B则读出CRL(步骤S205)，判断包含在公开密钥证书Cert_A中接收下来的ID编号ID_A是否登录在读出的CRL中(步骤S206)。如果判断发现已登录(步骤S206的是)，则结束处理。

如果判断发现没有登录(步骤S206的否)，设备B则读出公开密钥证书Cert_B(步骤S207)，将读出的公开密钥证书Cert_B发送到设备A。

接收到公开密钥证书Cert_B的设备A使用认证局的公开密钥PK_CA对包含在公开密钥证书Cert_B中接收的认证局的签名数据Sig_CA实施签名验证算法V，进行签名验证(步骤S209)。如果签名验证的结果是失败(步骤S210的否)，则结束处理。

如果签名验证的结果是成功(步骤S210的是)，设备A则读出CRL(步骤S211)，判断包含在公开密钥证书Cert_B中接收下来的ID编号ID_B是否登录在读出的CRL中(步骤S212)。如果判断发现已登录(步骤S212的是)，则结束处理。如果判断发现没有登录(步骤S212的否)，则继续处理。

设备B生成随机数Cha_B(步骤S213)，将生成的随机数Cha_B发送到设备A(步骤S214)。

设备A接收随机数Cha_B，利用设备A的秘密密钥SK_A对接收到的随机数Cha_B实施签名生成算法S以生成签名数据Sig_A(步骤S215)，将生成的签名数据Sig_A发送到设备B(步骤S216)。

设备B接收到签名数据Sig_A后，利用包含在公开密钥证书Cert_A中接收到的设备A的公开密钥PK_A对接收到的签名数据Sig_A实施签名验证算法V，进行签名验证(步骤S217)。如果判断发现签名验证的结果是失败(步骤S218的否)，则结束处理。如果判断发现签名验证的结果是成功(步骤S218的是)，则继续处理。

设备A生成随机数Cha_A(步骤S219)，将生成的随机数Cha_A发送到设备A(步骤S220)。

设备B接收随机数Cha_A，利用设备B的秘密密钥SK_B对接收到的随机数Cha_A实施签名生成算法S以生成签名数据Sig_B(步骤S221)，将生成的签名数据Sig_B发送到设备A(步骤S222)。

设备A接收到签名数据Sig_B后，利用包含在公开密钥证书Cert_B中接收到的设备B的公开密钥PK_B对接收到的签名数据Sig_B实施签名验证算法V，进行签名验证(步骤S223)。如果判断发现签名验证的结果是失败(步骤S224的否)，则结束处理。如果判断发现签名验证的结果是成功(步骤S224的是)，则接着生成随机数“a”(步骤S225)，利用生成的随机数“a”生成Key_A＝Gen(a，Y)(步骤S226)，将生成的Key_A发送到设备B(步骤S227)。

设备B接收到Key_A后，生成随机数“b”(步骤S228)，利用生成的随机数“b”生成Key_B＝Gen(b，Y)(步骤S829)，将生成的Key_B发送到设备A(步骤S230)。

另外，利用生成的随机数“b”和接收到的Key_A生成Key_AB＝Gen(b，Key_A)＝Gen(b，Gen(a，Y))，将其作为通用密钥(步骤S231)。

设备A接收到Key_B，根据生成的随机数“a”和接收到的Key_B生成Key_AB＝Gen(a，Key_B)＝Gen(a，Gen(b，Y))，将其作为通用密钥(步骤S232)。

(7)密码变更的执行实例

以下使用图37说明密码变更的1个执行实例。这里，将用户ID“maeda”的使用者的当前密码“ozy12”变更为新密码“nwy56”。在用户终端100与管理服务器600之间的通信及管理服务器600与应用服务器200之间的通信中，当前密码及新密码通过使用终端通用密钥或服务器通用密钥的保密通信安全地进行发送和接收，在以下说明中，为了简化，省略加密和解密处理的说明。

如图37(a)所示，变更前的各应用服务器200存储了与用户ID“maeda”相对应的密码“ozy12”。

根据来自用户终端100的密码变更指示，管理服务器600向用户终端100发送终端用密码变更画面数据。

用户终端100接收终端用密码变更画面数据，根据接收到的终端用密码变更画面数据生成并显示密码变更画面191。接收使用者输入的当前密码“ozy12”和新密码“nwy56”，将接收到的当前密码“ozy12”和新密码“nwy56”发送到管理服务器600。

管理服务器600从用户终端100接收当前密码“ozy12”和新密码“nwy56”。接着，向第1应用服务器200a发送接收到的当前密码“ozy12”和新密码“nwy56”并指示进行密码变更。

第1应用服务器200a将自身存储的当前密码“ozy12”改写为新密码“nwy56”，发送结束信号“1”。

从第1应用服务器200a接收到表示密码变更正常结束的结束信号“1”后，管理服务器600同样地也向第2应用服务器200b发送当前密码“ozy12”和新密码“nwy56”并指示进行密码变更，接收结束信号“1”。这时，如图37b所示，第1应用服务器200a及第2应用服务器200b存储了新密码“nwy56”，第3应用服务器200c和第4应用服务器200d存储了当前密码“ozy12”。

管理服务器600接着向第3应用服务器200c发送当前密码“ozy12”和新密码“nwy56”并指示进行密码变更。

这里，第3应用服务器200c在密码变更失败时向管理服务器600发送结束信号“0”。

从第3应用服务器200c接收到表示密码变更失败的结束信号“0”后，管理服务器600向第2应用服务器200b发送当前密码“ozy12”和新密码“nwy56”，指示进行密码复原。接着，管理服务器600从第2应用服务器200b接收表示密码复原成功的结束信号“1”。接着，也同样地指示第1应用服务器200a进行密码复原，从第1应用服务器200a接收结束信号“1”。以此完成密码复原。这时，如图37(c)所示，各应用服务器存储了当前密码“ozy12”。

图37(d)表示了第3应用服务器200c及第4应用服务器200d的密码变更成功后各应用服务器所存储的密码。

1.6总结

如上述说明，借助于本实施方式，管理服务器600从用户终端100接收密码变更指示。管理服务器600利用终端秘密密钥进行保密通信，由此安全地从用户终端100接收当前密码和新密码。

其次，利用服务器通用密钥进行保密通信，由此安全地向第1应用服务器200a发送当前密码和新密码，指示进行密码变更。如果第1应用服务器200a的密码变更成功，则同样地按照第2应用服务器200b～第4应用服务器200d的顺序指示密码变更。

如果第1应用服务器200a～第4应用服务器200d的任何一个密码变更失败，则向密码变更已经结束的应用服务器发送当前密码和新密码，指示其进行密码复原。

依照此种方式，即使当多个应用服务器之中的某一个变更密码失败的情况下也能够使多个应用服务器的密码保持统一。

2.第2实施方式

下面说明第2实施方式的密码变更系统。

如图38所示，密码变更系统由用户终端100、内部用户终端150、160……、第1应用服务器200a、第2应用服务器200b、第3应用服务器200c、第4应用服务器200d和管理服务器600b及路由器800构成。

第2应用服务器200b～第4应用服务器200d及管理服务器600b连接到总线31，形成总线型LAN。内部用户终端150、160……及管理服务器600b连接到总线32，形成总线型LAN。总线31及32具体是两端具备终端装置的同轴电缆。

管理服务器600b进一步经由具备防火墙功能的路由器800连接到因特网。

作为一个实例，管理服务器600b、第2应用服务器200b～第4应用服务器200d及内部用户终端150、160……构成了同一建筑物内的LAN。

用户终端100和第1应用服务器200a连接到因特网20。

与第1实施方式相同，管理服务器600b和第1应用服务器200a～第4应用服务器200d预先关联存储了合法使用者的用户ID和密码。

使用者利用用户终端100经由因特网20和管理服务器600b使用这些服务。另外，也可以利用内部用户终端150、160……经由总线31及总线32使用这些服务。

这时，用户终端100或内部用户终端150、160……向管理服务器600b发送使用者的用户I D和密码。

管理服务器600b及第1应用服务器200a～第4应用服务器200d对从用户终端100或内部用户终端150、160……发送过来的用户ID和密码进行验证，确认用户终端100或内部用户终端150、160……的使用者是合法的使用者，各应用服务器则分别提供其具备的服务。

另外，管理服务器600b从用户终端100或内部用户终端150、160……接收密码变更指示以及当前的密码和新密码。管理服务器600b依次向第1应用服务器200a～第4应用服务器200d发送所接收到的新密码，指示进行密码变更。

这里，当第1应用服务器200a～第4应用服务器200d的任意一个没有正常执行密码变更的情况下，管理服务器600b向密码变更已经结束的应用服务器发送当前的密码，指示其将密码重新变为当前的密码。

用户终端100、内部用户终端150、160……的具体结构和动作与第1实施方式的用户终端100相同，因此省略其说明。

第1应用服务器200a～第4应用服务器200d的具体结构和动作与第1实施方式的第1应用服务器200a～第4应用服务器200d相同，因此省略其说明。

如图39所示，管理服务器600b由发送接收部601b、认证部603、密码变更部606、控制部607、加密处理部608、密码复原部614、变更判定部609、变更结果通知部615、信息存储部610、输入部612及显示部613构成。

发送接收部601b连接到总线31、32及总线35。发送接收部601b经由总线31与第2应用服务器200b～第4应用服务器200d及管理服务器600b内的各部分之间进行信息发送和接收，经由总线32与内部用户终端150、160……和管理服务器600b内的各部分之间进行信息发送和接收。另外，经由总线35、路由器20及因特网20与用户终端100及第1应用服务器200a和管理服务器600b内的各部分之间进行信息发送和接收。

此时，在与第2应用服务器200b～第4应用服务器200d的信息发送和接收中，发送接收部601b选择总线31，在与内部用户终端150、160……的信息发送和接收中，选择总线32。另外，在与用户终端100及第1应用服务器200a的信息发送和接收中，选择总线35。

发送接收部601b的其他具体动作与第1实施方式的发送接收部601相同。

另外，认证部603、密码变更部606、控制部607、加密处理部608、密码复原部614、变更判定部609、变更结果通知部615、输入部612、显示部613的具体动作及信息存储部610的结构与使用图13说明的第1实施方式相同。

路由器800具备防火墙功能，对从连接到因特网20的外部设备向以LAN内的各种设备为目的地的发送的各种信息进行通过或隔断控制。具体地，判断经由因特网接收到的数据包中包含的发送源及发送目的地的IP地址或端口号是否满足预先设定的条件，满足条件则使其通过，不满足则将接收到的数据包删除。这样的方法一般称为数据包过虑。另外，这种防火墙功能只是一个实例，也可以使用其他方法。

如上述说明，本实施方式中，借助于路由器800的防火墙功能，能够保护连接到管理服务器600b及LAN的各种设备不受连接到因特网20的非法外部设备的攻击。

3.第3实施方式

下面说明第3实施方式的密码变更系统。

如图40所示，密码变更系统由用户终端170、180……、第1应用服务器200a～第4应用服务器200d及管理服务器600c构成。

第1应用服务器200a～第4应用服务器200d及管理服务器600c连接到总线33，形成总线型LAN。用户终端170、180……及管理服务器600c连接到总线34，形成总线型LAN。总线33及34具体的是两端具备终端装置的同轴电缆。

作为一个实例，管理服务器600c、第1应用服务器200a～第4应用服务器200d及用户终端170、180……构成了同一建筑物内的LAN。

使用者利用用户终端170、180……中的任意一个经由管理服务器600c使用第1应用服务器200a～第4应用服务器200d所提供的服务。

这时，使用者所使用的用户终端170向管理服务器600c发送使用者的用户ID和密码。

管理服务器600c和第1应用服务器200a～第4应用服务器200d验证用户ID和密码，确认用户终端100的使用者是合法的使用者；各应用服务器200则分别提供其具备的服务。

另外，管理服务器600c从用户终端170接收密码变更指示，从用户终端100接收当前的密码和新密码。管理服务器600c依次向第1应用服务器200a～第4应用服务器200d发送所接收到的新密码，指示进行密码变更。

这里，当第1应用服务器200a～第4应用服务器200d的任意一个没有正常执行密码变更的情况下，管理服务器600c向密码变更已经结束的应用服务器发送当前的密码，指示其将密码重新变为当前的密码。

第1应用服务器200a～第4应用服务器200d的具体结构和动作分别与第1实施方式的第1应用服务器200a～第4应用服务器200d相同，因此省略其说明。

用户终端170、180……的具体结构和动作与第1实施方式的用户终端100相同，因此省略其说明。

如图41所示，管理服务器600c由发送接收部601c、认证部603、密码变更部606、控制部607、加密处理部608、密码复原部614、变更判定部609、变更结果通知部615、信息存储部610、输入部612及显示部613构成。

发送接收部601c经由总线33与第1应用服务器200a～第4应用服务器200d及管理服务器600c内的各部分之间进行信息发送和接收。经由总线34与用户终端170、180……及管理服务器600c内的各部分之间进行信息发送和接收。

此时，在与第1应用服务器200a～第4应用服务器200d的信息发送和接收中，发送接收部601c选择总线33，在与用户终端170、180……的信息发送和接收中，选择总线34。

发送接收部601c的具体动作与第1实施方式的发送接收部601相同。

认证部603、密码变更部606、控制部607、加密处理部608、密码复原部614、变更判定部609、变更结果通知部615、输入部612、显示部613的具体动作及信息存储部610的结构与第1实施方式的管理服务器600相同，因此省略其说明。

本实施方式中，应用服务器200经由管理服务器600c连接到用户终端170、180。使用者在利用用户终端170和180使用应用服务器200所提供的服务时所发送和接收的各种信息必定通过管理服务器600c，因此管理服务器600c容易发现恶意的使用者对服务的非法使用。

另外，如本实施方式所示，在封闭LAN或仅在由防火墙保护下的LAN内提供上述服务及进行密码变更相关的通信的情况下，可以省略认证部603所做的相互认证。由此，能够更快速地执行上述服务提供处理及密码变更处理。

4.其他变形例

(1)管理服务器的密码变更开始

在上述第1～3实施方式中，通过从用户终端或内部用户终端接收密码变更请求来开始密码变更处理，但也可以从管理服务器600催促使用者进行密码变更。

具体地，管理服务器600预先存储密码的最长使用期间。另外，将使用者主要使用的用户终端的IP地址与使用者的用户ID关联存储起来。存储密码表621b以取代密码表621。

如图42所示，密码表621b由多个密码信息622b、623b、624b……构成。各密码信息包含用户ID、姓名、密码及更新日期。用户ID、姓名及密码与上述实施方式的密码表621中包含的用户ID、姓名及密码相同，因此省略其说明。更新日期表示密码信息中包含的密码被变更的最近日期，例如，表示密码信息622b中包含的密码在2000年5月10日变更为“ozy12”。

管理服务器600定期检查各密码信息中包含的变更日期，对于超过最长使用期间没有进行密码变更的使用者，向预先存储的用户终端发送通知其密码已经超过了最长使用期间的消息，强制催促其变更密码。

(2)强制密码变更

另外，在上述(1)中，也可以在超过最长使用期间没有进行密码变更的使用者在试图使用各种服务时，催促其强制变更密码。

具体地，在上述第1～3实施方式中，管理服务器600从用户终端接收到用户ID和加密密码后，首先在密码表621b内选择包含所接收到的用户ID的密码信息622b。读出选择出来的密码信息622b中包含的变更日期。计算出在读出的更新日期上加上最长使用期间(例如30天)的变更期限“2000.6.9”，将计算出来的变更期限“2000.6.9”与当前日期比较。如果判断发现当前日期超过了变更期限“2000.6.9”，管理服务器600则向用户终端发送终端用密码变更画面数据，如果不进行密码变更，就使其无法使用服务。

(3)向应用服务器200进行查询

另外，在第1～3实施方式中，管理服务器600向各个应用服务器200同时发送用户ID、加密的当前密码和加密的新密码、密码变更指示，但也可以预先询问各个应用服务器200是否可以进行密码变更，仅在全部应用服务器200可以进行密码变更的情况下指示进行密码变更。

具体地，管理服务器600首先向第1应用服务器200a发送用户ID、加密的当前密码和加密的新密码，询问是否可以进行密码变更。

第1应用服务器200a从管理服务器600接收用户ID、加密的当前密码和加密的新密码、接收是否可以进行密码变更的询问后，生成表示是否可以进行密码变更的应答信号。如果密码变更可以改写，则生成应答信号“1”，如果由于硬盘故障等原因导致密码不能改写，则生成应答信号“0”，将生成的应答信号发送到管理服务器600。

管理服务器从第1应用服务器200a接收应答信号，如果接收到的应答信号为“1”，则同样地向第2应用服务器200b也发送用户ID、加密的当前密码和加密的新密码，询问其可否进行密码变更，如果接收到应答信号“1”，则向下一应用服务器200进行同样的查询。

当从全部应用服务器200接收到应答信号“1”时，管理服务器600向全部应用服务器200指示密码变更。

各应用服务器200从管理服务器600接收密码变更指示，提前将接收到的加密的当前密码和加密的新密码解密，生成当前密码和新密码，选择包含接收到的用户ID和生成的当前密码的密码信息，将选择出来的密码信息中包含的密码改写为生成的新密码。

接着，管理服务器600向用户终端发送终端用变更完成画面数据，通知其密码变更正常结束。

在进行可否进行密码变更查询的过程中，如果从某个应用服务器200接收到应答信号“0”，则判定对应的应用服务器200的密码不可变更，向已经进行了密码变更查询的全部应用服务器200发出密码变更中止的通知。

接着，向用户终端发送终端用变更失败画面数据，通知其密码变更失败。

(4)利用超时进行判断

另外，在上述(3)中，在向各个应用服务器200查询可否进行密码变更时，也可以计测从发送查询开始的时间，当超过了预先设定的最大等待时间后仍然没有收到应答信号时，则判定对应的应用服务器200的密码不可变更。

(5)使用专用线路连接

在第3实施方式中，密码变更系统也可以具备密码变更专用线路。

具体地，管理服务器600与各应用服务器200通过专用线路直接连接。在提供通常的服务时，如上述第3实施方式所说明，经由总线33及34进行信息发送和接收。

(6)应用服务器200的处理状况

在第1～3实施方式中，管理服务器600也可以存储各个应用服务器200的处理状况，据此中止密码变更的实施。

具体地，管理服务器600存储路由表641b以取代路由表641。

如图43所示，路由表641b由多个路由信息642b、643b……构成。各路由信息由应用编号、主机名、IP地址、端口号及处理状况构成。应用编号、主机名、IP地址和端口号与上述路由表641中包含的应用编号、主机名、IP地址和端口号相同，因此省略其说明。处理状况表示应用编号所示的应用服务器200的处理状况。处理状况“通常”表示应用编号所示的应用服务器200正在进行通常的服务提供处理。处理状况“维护中”表示应用编号所示的应用服务器200正处于维护中，管理服务器600在处理状况为“维护中”的情况下，判定不可进行对应的应用服务器200的密码变更处理。

管理服务器600定期地向各应用服务器200发送监视信号。

各应用服务器200从管理服务器600接收监视信号，如果自身的处理状况处于通常状态，则返回应答信号“通常”。如果自身处理状况处于维护中，则返回应答信号“维护”。

管理服务器600从各应用服务器200接收应答信号，根据接收到的应答状况改写所存储的路由表641b的各应用服务器200的处理状况。

从用户终端或内部用户终端接收到密码变更请求后，管理服务器600确认路由表641b的处理状况，如果判断发现全部应用服务器200的处理状况均为“通常”，则开始上述密码变更处理。

即使只有1个应用服务器200的处理状况不是“通常”，也通知用户终端无法进行当前密码的变更。

另外，无论有没有来自管理服务器600的监视信号，各应用服务器200也可以自发地向管理服务器600报告自身处理状况。

(7)利用应用服务器存储当前密码

在第1～3实施方式中，管理服务器600利用密码变更表651存储当前密码和新密码，但也可以由各应用服务器200来存储。

这种情况下，管理服务器600按照从第1应用服务器200a到第4应用服务器200d的顺序发送用户ID、加密的当前密码和加密的新密码，指示进行密码变更。

各应用服务器200接收到用户ID、加密的当前密码和加密的新密码，将接收到的加密的当前密码和加密的新密码解密，选择包含用户ID和当前密码的密码信息，将选择出来的密码信息中包含的密码改写为新密码。如果改写成功，则向管理服务器发送结束信号“1”。接着，与改写后的密码信息对应起来存储当前密码。

管理服务器600从应用服务器200接收结束信号，如果接收到的结束信号为“1”，则向下一个应用服务器200发送用户ID、加密的当前密码和加密的新密码。

如果接收到的结束信号为“0”，或超过一定时间后仍然没有接收到结束信号，则判定密码变更失败，向已经接收到了结束信号“1”的应用服务器200发送密码复原指示。

接收到密码复原指示的应用服务器200将改写后的密码信息的密码改写为所存储的当前密码。

(8)变更为初始密码

在第1～3实施方式中，当使用者忘记了密码的情况下，也可以将密码变更为初始密码。

所谓的初始密码是自密码变更系统的管理者一侧为使用者最初分配的密码，以电子邮件或书面形式发送给使用者。作为一个实例，可以使用“0000”这样的简单字符串或与用户ID相同的字符串。

具体地，管理服务器600预先存储各使用者的初始密码。

在登录画面151，进一步设置密码遗忘按钮，使用者在忘记了密码的情况下选择密码遗忘按钮。

用户终端检测到密码遗忘按钮被按下时，向管理服务器600发出密码遗忘通知。

管理服务器600从用户终端接收到密码遗忘通知后，开始上述密码变更处理。这时，向各个应用服务器200发送初始密码而不是使用者所输入的新密码，指示进行密码变更。

全部应用服务器200的密码变更成功后，向用户终端发出已经将密码变更为初始密码的通知。

工业适用性

本发明的各装置和系统能够经营性地、持续地、反复用于将各种服务经由网络提供给使用者的产业中。另外，构成本发明的各装置、计算机程序和记录介质能够在电器设备制造产业中经营性地、持续地、反复地制造和销售。

Claims

1.一种管理服务器装置，其特征在于，是一种针对向根据一个密码认证后的一个使用者提供各种服务的多个应用装置指示该密码的更新的管理服务器装置，其具备：

第1单元，用来尝试更新全部应用装置的密码；

第2单元，用来针对各应用装置判断是否不可以进行密码更新；

第3单元，当至少有1台应用装置被判断为不可以时，将全部应用装置的密码置为更新前的密码。

2.如权利要求1所述的管理服务器装置，其特征在于，上述管理服务器装置进一步包含：

用来从使用者装置接收密码更新请求的第4单元，

上述第1单元基于接收到的上述更新请求尝试进行密码更新。

3.如权利要求2所述的管理服务器装置，其特征在于，

上述第1单元针对全部应用装置指示密码更新，

上述第2单元针对各应用装置判断密码更新是否失败，

上述第3单元在至少有1台应用装置判断为更新失败时，针对密码更新成功的其他应用装置指示复原为更新前的密码。

4.如权利要求3所述的管理服务器装置，其特征在于，

上述第4单元接收包含使用者的新密码和旧密码的上述更新请求，

上述第1单元生成包含了所接收到的更新请求中包含的新密码和旧密码的更新指示，将生成的上述更新指示发送到全部应用装置。

5.如权利要求3所述的管理服务器装置，其特征在于，上述第2单元包含：

应答接收部，用来从各应用装置接收表示密码更新是成功还是失败的应答；

断定部，当接收到的上述应答表示成功时，断定该应用装置的密码更新已经成功，当接收到的上述应答表示失败时，断定该应用装置的密码更新已经失败。

6.如权利要求3所述的管理服务器装置，其特征在于，上述第2单元包含：

计时部，用来伴随着时间的经过计测经过时间；

初始化部，在利用上述第1单元发送更新指示的时候，将由计时部计测的经过时间重置为初始值；

等候接收部，用来等候接收来自各应用装置的表示密码更新是成功还是失败的应答；

判断部，用来判断所计测的经过时间是否大于预定的阈值；

断定部，当判断部判断发现经过时间等于或小于上述阈值并且等候接收部从备应用装置接收到应答、并且该应答表示成功的情况下，断定该应用装置的密码更新已经成功，在其他情况下则断定该应用装置的密码更新已经失败。

7.如权利要求2所述的管理服务器装置，其特征在于，

上述第1单元针对全部应用装置指示密码更新准备；

上述第2单元针对各应用装置判断密码更新准备是否尚未结束；

上述第3单元当判断发现至少有1台应用装置的更新准备尚未结束时，针对更新准备已经结束的其他应用装置取消上述更新准备的指示。

8.如权利要求7所述的管理服务器装置，其特征在于，

上述第4单元接收包含使用者的新密码和旧密码的上述更新请求；

上述第1单元生成包含了所接收到的更新请求中包含的新密码和旧密码的更新准备的指示，将生成的上述更新准备指示发送到全部应用装置。

9.如权利要求7所述的管理服务器装置，其特征在于，上述第2单元包含：

应答接收部，用来从应用装置接收表示密码更新准备是结束还是尚未结束的应答；

断定部，当接收到的上述应答表示结束时，断定该应用装置的密码更新准备已经结束，当接收到的上述应答表示尚未结束时，断定该应用装置的密码更新准备尚未结束。

10.如权利要求7所述的管理服务器装置，其特征在于，上述第2单元包含：

计时部，用来伴随着时间的经过计测经过时间；

初始化部，在利用上述第1单元发送更新准备指示的时候，将由计时部计测的经过时间重置为初始值；

等候接收部，用来等候接收来自应用装置的表示密码更新准备是结束还是尚未结束的应答；

判断部，用来判断所计测的经过时间是否大于预定的阈值；

断定部，当判断部判断发现经过时间等于或小于上述阈值并且等候接收部从各应用装置接收到应答、并且在该应答表示结束的情况下，断定密码更新准备已经结束，在其他情况下则断定密码更新准备尚未结束。

11.如权利要求2所述的管理服务器装置，其特征在于，上述管理服务器装置进一步包含：

消息发送单元，用来在上述第2单元判断发现不可以进行密码更新的情况下向上述使用者装置发送旨在复原为原密码的消息。

12.如权利要求2所述的管理服务器装置，其特征在于，上述管理服务器装置进一步具备：

管理存储单元，用来存储各应用装置是否处于维护中；

上述第1单元在不存在处于维护中的应用装置的情况下尝试更新密码。

13.如权利要求2所述的管理服务器装置，其特征在于，

上述第1单元在存在处于维护中的应用装置的情况下中止密码更新，

上述管理服务器装置进一步包含：

消息发送单元，用来在上述第1单元中止了密码更新的情况下向上述使用者装置发送旨在中止密码更新的消息。

14.如权利要求2所述的管理服务器装置，其特征在于，

上述应用装置经由第1网络与上述管理服务器装置连接，

上述使用者装置经由不与第1网络连接的第2网络与上述管理服务器装置连接。

15.如权利要求14所述的管理服务器装置，其特征在于，

上述第1网络及上述第2网络是企业内部互联网。

16.如权利要求14所述的管理服务器装置，其特征在于，

上述管理服务器装置与各应用装置经由专用线路相连接，

在更新密码时，上述管理服务器装置经由上述专用线路在与各应用装置之间发送接收用于密码更新的信息，

在提供各种服务时，上述管理服务器装置则经由第1和第2网络在与上述使用者装置和各应用装置之间进行上述服务相关信息的发送接收的中转。

17.如权利要求2所述的管理服务器装置，其特征在于，

上述应用装置及上述使用者装置经由网络与上述管理服务器装置相连接，

上述管理服务器装置进一步包含：

存储单元，用来存储将应用种类与各应用装置在网络上的位置信息对应起来的对应表；

接收单元，用来从上述使用者装置接收表示应用的种类信息和表示处理内容的处理信息；

取得单元，用来利用上述对应表，取得与接收到的种类信息相对应的应用装置的位置信息；

发送单元，用来向由取得的位置信息所示的应用装置发送上述处理信息。

18.如权利要求16所述的管理服务器装置，其特征在于，

上述网络是因特网。

19.如权利要求1所述的管理服务器装置，其特征在于，

更新后的新密码是最初分配给使用者的初始密码；

上述第1单元尝试将全部应用装置更新为初始密码；

上述第2单元针对各应用装置判断是否不可以更新为初始密码；

上述第3单元，当至少有1台应用装置被判断为不可以时，将全部应用装置的密码置为更新前的密码。

20.一种应用装置，其特征在于，是一种针对向根据一个密码认证后的一个使用者提供服务、根据管理服务器装置的指示更新密码的应用装置，其具备：

旧密码存储单元，用来存储更新前的密码；

认证用密码存储单元，存储了使用者认证时使用的密码；

接收单元，用来从管理服务器装置接收将密码复原为更新前的密码的复原指示；

写入单元，用来在接收到上述复原指示后从旧密码存储单元中读出更新前的密码，将所读出的密码覆盖到认证用密码存储单元中。

21.如权利要求20所述的应用装置，其特征在于，

上述应用装置经由上述管理服务器装置在使用者的使用者装置之间发送和接收与上述服务相关的信息。

22.如权利要求21所述的应用装置，其特征在于，

上述应用装置当处在维护中的情况下，将此情况通报给上述管理服务器装置。

23.如权利要求21所述的应用装置，其特征在于，

上述应用装置经由第1网络与上述管理服务器装置连接，

24.如权利要求23所述的应用装置，其特征在于，

上述应用装置及上述管理服务器装置经由专用线路相连接，

在更新密码时，上述管理服务器装置经由上述专用线路在与上述管理服务器装置之间发送接收用于密码更新的信息，

在提供各种服务时，经由第1和第2网络发送接收上述服务相关的信息。

25.如权利要求21所述的应用装置，其特征在于，

上述应用装置及上述使用者装置经由因特网与上述管理服务器装置相连接。

26.一种密码更新系统，其特征在于，是一种由使用者的终端装置、向根据一个密码认证后的一个使用者的终端装置提供各种服务的多个应用装置，针对上述应用装置指示该密码的更新的管理服务器装置构成的密码更新系统，

上述管理服务器装置具备：

第1单元，用来尝试更新全部应用装置的密码；

第3单元，当至少有1台应用装置被判断为不可以时，将全部应用装置的密码置为更新前的密码，

各应用装置具备：

旧密码存储单元，用来存储更新前的密码；

认证用密码存储单元，存储了使用者认证时使用的密码；

27.如权利要求26所述的密码更新系统，其特征在于，

上述终端装置与各应用装置经由上述管理服务器装置进行信息发送和接收。

28.如权利要求27所述的密码更新系统，其特征在于，

上述应用装置经由第1网络与上述管理服务器装置连接，

29.如权利要求28所述的密码更新系统，其特征在于，

上述第1网络及上述第2网络是企业内部互联网。

30.如权利要求28所述的密码更新系统，其特征在于，

上述管理服务器装置与各应用装置经由专用线路相连接，

在更新密码时，上述管理服务器装置经由上述专用线路在与上述管理服务器之间发送和接收用于密码更新的信息，

在提供各种服务时，经由第1和第2网络发送和接收上述服务相关的信息。

31.如权利要求27所述的密码更新系统，其特征在于，

上述管理服务器装置进一步包含：

取得单元，用来利用上述对应表取得与接收到的种类信息相对应的应用装置的位置信息；

32.如权利要求30所述的密码更新系统，其特征在于，

上述网络是因特网。

33.一种管理服务器控制方法，其特征在于，是一种针对向根据一个密码认证后的一个使用者提供各种服务的多个应用装置指示该密码的更新的管理服务器装置中所使用的管理服务器控制方法，其包含：

第1步骤，用来尝试更新全部应用装置的密码；

第2步骤，用来针对各应用装置判断是否不可以进行密码更新；

第3步骤，当至少有1台应用装置被判断为不可以时，将全部应用装置的密码置为更新前的密码。

34.一种管理服务器控制程序，其特征在于，是一种针对向根据一个密码认证后的一个使用者提供各种服务的多个应用装置指示该密码的更新的管理服务器装置中所使用的管理服务器控制程序，其包含：

第1步骤，用来尝试更新全部应用装置的密码；

35.如权利要求34所述的管理服务器控制程序，其特征在于，

上述管理服务器控制程序存储在计算机可读取的计算机程序记录介质中。