JP2002056326A - 履歴蓄積装置、検証装置および電子権利流通システム - Google Patents

Abstract

(57)【要約】 【課題】 一定の回数利用可能な電子権利の利用回数を
オフラインで確実にチェックでき、かつ不要なデータを
安全に消去すること。 【解決手段】 履歴蓄積部１７に蓄積された有効期限、
サービスＩＤ及び累積回数を含む履歴データのうち、有
効期限が切れた履歴データのみ履歴消去部１６による消
去を可能とするとともに、インクリメントしかできない
カウンタ部１４に履歴消去部１６が以前に履歴データを
消去した日付Ｄ０を格納させておき、有効期限Ｄ及びサ
ービスＩＤを含む履歴記録要求を接続部１１を介して履
歴記録部１２が受けた際、Ｄとカウンタ部１４の日付Ｄ
０とを比較し、Ｄの方が小さい場合は例外終了させるこ
とにより、日付を進めて履歴データを消去した後、同じ
履歴データを記録するような不正を防止するとともに履
歴蓄積部１７がデータで一杯になるのを防止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、利用者に提供する
サービスで回数制限が設けられているもの、例えば優待
券利用、バーゲン品購入、試供品引換、人気コンサート
チケット購入、アンケート回答、人気投票等をＩＣカー
ド等の耐タンパ装置を用いて制限回数を超えて不正にサ
ービスを受けることを防止するための方法とその装置に
関するものである。

【０００２】

【従来の技術】近年、紙で流通しているチケットやクー
ポンを電子化して、ネットワーク上で流通させる電子権
利流通システムが多数提案されている。例えば、特願２
０００−０３８８７５号のように、ＩＣカード等の耐タ
ンパ装置を使用して、偽造、改ざん、二重使用を防止
し、安全に流通させるための方法や、特開２０００−１
２３０９５号のように、多様な種別のチケットやクーポ
ンを共通の装置で流通させるための方法に関するもの等
がある。

【０００３】しかし、これら従来の二重使用を防止する
電子権利流通システムは、一旦発行された一枚の電子権
利の二重使用を防止可能にするものであって、バーゲン
品の購入あるいは試供品の受け取りを一人一つ限り等に
制限することや、人気投票において同一人物が複数回投
票券を取得して二重に投票することを防止する方法を提
供するものではない。

【０００４】同じ利用者によって同じ種類の権利が制限
回数以上行使されることを防止する第一の方法として
は、電子権利の発行システムにおいて電子権利の発行履
歴をデータベースに保存し、発行時にこのデータベース
を参照して同一の利用者に対して制限回数を超えて電子
権利を発行しないように制御するという方法がある。

【０００５】しかし、この方法でチェックが可能になる
のは発行時だけであるため、譲渡が許されている電子権
利の場合には効果がない。例えば、紙のチケットと同様
に多くのアルバイトを雇って電子チケットの買い占めを
行い、別の利用者に高く販売する、いわゆるダフ行為は
防止できない。

【０００６】また、同様の方法として、電子権利の改札
履歴をデータベースに保存し、発行時ではなく改札時に
このデータベースを参照して同一の利用者に対して制限
回数を超えて電子権利を改札しないように制御するとい
う方法もある。

【０００７】しかし、この方法でも、発行時のチェック
と同様に譲渡が許されている電子権利の場合には効果が
ない。また、ネットワークに接続してデータベースにア
クセスすることが必要となるため、高速な改札が要求さ
れる応用では、適用することが困難な場合があった。

【０００８】そこで、これらの問題を解決するための第
二の方法としては、これらの各権利の行使あるいはサー
ビスの提供の履歴を利用者自身が保有するＩＣカード等
の耐タンパ装置に記録し、サービスを提供する際に利用
者にＩＣカードの提示を求め、提示されたＩＣカードの
履歴を調べることにより既に制限回数を超えていないか
を確認する方法が考えられる。

【０００９】この方法ではオフライン環境であっても高
速に確認できるが、使用履歴が単調に増加していくた
め、ＩＣカードのように記憶容量が小さい装置では、記
憶領域がすぐに一杯になってしまうという問題があっ
た。

【００１０】

【発明が解決しようとする課題】本発明は、以上の問題
点を解決するためのものであり、例えば試供品引換、優
待券利用、バーゲン品購入、人気コンサートチケット購
入、アンケート回答、人気投票等のように、一利用者が
一定期間内に受けられるサービスに回数制限が設けられ
る場合に、この制限を超えているかどうかをオフライン
で確実にチェックする方法と装置を提供することを目的
としており、特に、上記第二の方法によって利用者自身
が保持するＩＣカード等の耐タンパ装置にサービス提供
の履歴を記録する方法において、不要な履歴を安全に削
除する機能を提供することにより必要となる記憶容量を
削減することにある。

【００１１】

【課題を解決するための手段】前記目的を達成するた
め、本発明の請求項１では、サービス有効期限とサービ
ス識別子と累積サービス回数を含む履歴データのリスト
を蓄積する履歴蓄積部と、第１の日付データを格納する
カウンタ部とを有し、サービス有効期限とサービス識別
子を含む履歴記録要求を受信する手段と、前記サービス
有効期限が前記第１の日付データより大きいか比較する
手段と、大きい場合に前記サービス有効期限とサービス
識別子を含む履歴データを前記履歴蓄積部に格納する手
段と、前記履歴記録要求の処理結果を送信する手段と、
第２の日付データを含む履歴消去要求を受信する手段
と、第２の日付データが第１の日付データよりも大きい
か比較する手段と、大きい場合に第２の日付データをカ
ウンタ部に格納する手段と、第２の日付データより小さ
い有効期限を有する履歴データを履歴蓄積部から削除す
る手段と、前記履歴消去要求の処理結果を送信する手段
とを備えたことを特徴とする履歴蓄積装置を提案する。

【００１２】前記構成によれば、サービス有効期限が第
１の日付データより大きい場合のみ履歴データが記録ま
たは更新されて履歴記録要求の処理結果が返却され、サ
ービス提供の可否の判断が可能になり、また、第２の日
付データが第１の日付データよりも大きい場合のみ第２
の日付データより小さい有効期限を有する履歴データが
削除されるため、サービスの回数制限をオフラインで確
実にチェックできるとともに不要な履歴データのみを安
全に削除できる。

【００１３】また、本発明の請求項２では、請求項１に
記載の履歴蓄積装置において、前記履歴記録要求はチャ
レンジを含み、履歴蓄積装置の鍵により前記サービス有
効期限と前記サービス識別子とチャレンジを含むデータ
に対してディジタル署名を行う署名生成手段を備え、前
記履歴記録要求の処理結果は、前記ディジタル署名を含
むことを特徴とする履歴蓄積装置を提案する。

【００１４】前記構成によれば、前述した履歴蓄積装置
がディジタル署名を付与された履歴記録要求の処理結果
を生成でき、前記処理結果の不正な改ざん防止が可能に
なる。

【００１５】また、本発明の請求項３では、履歴蓄積装
置と接続する接続手段と、履歴蓄積装置にサービス有効
期限とサービス識別子を含む履歴記録要求を送信する手
段と、前記履歴記録要求の処理結果を履歴蓄積装置から
受信する手段とを備えたことを特徴とする検証装置を提
案する。

【００１６】前記構成によれば、前述した履歴蓄積装置
の履歴データを取得でき、サービス提供の可否を確実に
チェックできる。

【００１７】また、本発明の請求項４では、請求項３に
記載の検証装置において、チャレンジを生成する手段
と、履歴蓄積装置にサービス有効期限とサービス識別子
とチャレンジを含む履歴記録要求を送信する手段と、前
記履歴記録要求の処理結果に含まれるディジタル署名を
検証する署名検証手段とを備えたことを特徴とする検証
装置を提案する。

【００１８】前記構成によれば、前述した履歴蓄積装置
が生成した履歴記録要求の処理結果に付与されたディジ
タル署名を検証でき、前記処理結果の不正な改ざん防止
が可能になる。

【００１９】また、本発明の請求項５では、前記請求項
３又は４に記載の検証装置において、日付データを含む
履歴消去要求を送信する手段を備えたことを特徴とする
検証装置を提案する。

【００２０】前記構成によれば、前述した履歴蓄積装置
中の不要な履歴データのみを安全に削除できる。

【００２１】また、本発明の請求項６では、発行装置と
電子財布装置と改札装置とから構成される電子権利流通
システムにおいて、発行装置は請求項３乃至５いずれか
に記載の検証装置を含み、電子財布装置は請求項１又は
２に記載の履歴蓄積装置を含み、また、発行装置は履歴
記録要求を電子財布装置に送信する手段を有し、また、
電子財布装置は前記履歴記録要求の処理結果を発行装置
に送信する手段を有し、また、発行装置は前記処理結果
を検証し制約条件を充足しているか検証する手段と、制
約条件を充足している時にのみ電子権利を発行する手段
とを有することを特徴とする電子権利流通システムを提
案する。

【００２２】前記構成によれば、サービスの利用回数に
制限があるような電子権利を安全に発行させることが可
能になる。

【００２３】また、本発明の請求項７では、請求項６に
記載の電子権利流通システムにおいて、電子財布装置は
さらに請求項３乃至５いずれかに記載の検証装置を含
み、また、電子財布装置は履歴記録要求を譲渡先の電子
財布装置に送信する手段と、履歴記録要求の処理結果を
譲渡元の電子財布装置に送信する手段と、前記処理結果
を検証し制約条件を充足しているか検証する手段と、制
約条件を充足している時にのみ電子権利を譲渡する手段
とを有することを特徴とする電子権利流通システムを提
案する。

【００２４】前記構成によれば、サービスの利用回数に
制限があるような電子権利を安全に譲渡させることが可
能になる。

【００２５】また、本発明の請求項８では、発行装置と
電子財布装置と改札装置とから構成される電子権利流通
システムにおいて、改札装置は請求項３乃至５いずれか
に記載の検証装置を含み、電子財布装置は請求項１又は
２に記載の履歴蓄積装置を含み、また、改札装置は履歴
記録要求を電子財布装置に送信する手段を有し、また、
電子財布装置は前記履歴記録要求の処理結果を改札装置
に送信する手段を有し、また、改札装置は前記処理結果
を検証し制約条件を充足しているか検証する手段と、制
約条件を充足している時にのみ電子権利を改札する手段
とを有することを特徴とする電子権利流通システムを提
案する。

【００２６】前記構成によれば、サービスの利用回数に
制限があるような電子権利を安全に改札させることが可
能になる。

【００２７】

【発明の実施の形態】［実施の形態１］図１は、利用者
が行った行為の履歴を格納する、本発明の履歴蓄積装置
の実施の形態の一例を示す構成図である。

【００２８】本発明では、この履歴蓄積装置は行政機関
やクレジットカード発行機関等によって各利用者に一個
ずつ配布されるものとする。同一の利用者に対して複数
個配布しないようにするためには、免許証、保険証、指
紋等を提示させ、既に配布していないかをチェックする
等の方法がある。

【００２９】図１に示すように、履歴蓄積装置１０は、
接続部１１、履歴記録部１２、署名生成部１３、カウン
タ部１４、加算部１５、履歴消去部１６および履歴蓄積
部１７から構成される。

【００３０】接続部１１は、後で述べる検証装置とデー
タの授受を行う部分である。履歴記録部１２は、接続部
１１から受信した履歴記録要求に基づき履歴を記録する
部分である。署名生成部１３は、この履歴蓄積装置が保
有する秘密鍵によりディジタル署名を生成する部分であ
る。

【００３１】カウンタ部１４は、履歴消去日付を格納す
る部分であり、後で詳しく述べるように履歴消去要求に
よって指定された日付データが格納される。加算部１５
は、カウンタ部１４の値を増加させる部分である。履歴
消去部１６は、接続部１１から受信した履歴消去要求に
基づき履歴を消去する部分である。

【００３２】履歴蓄積部１７は、履歴データを蓄積する
部分であり、蓄積される履歴データの一例を図２に示
す。図２に示すように、履歴蓄積部１７には、＜有効期
限、サービスＩＤ、累積回数＞の３つの組を含む履歴デ
ータの集合が格納される。

【００３３】サービスＩＤ（ＳＩＤ）は、サービス提供
者が利用者に対して提供するサービスを識別するための
識別子であり、例えば特定の試供品の引換、特定のバー
ゲン品の購入、特定の人気投票等を識別するための識別
子であり、サービス提供者によって付与される。

【００３４】また、人気コンサートチケットの購入枚数
の制限という例においても制限を与える範囲、対象によ
って様々なＳＩＤの付与方法がある。例えば、ある特定
のアーティストがある特定の年に開催するイベントに対
して全てに同じＳＩＤを付与しても良いし、ある特定の
アーティストの特定の日時に開催されるイベントに対し
て同じＳＩＤを付与しても良い。さらには、全てのイベ
ントに対して異なるＳＩＤを付与しても良い。

【００３５】このようにＳＩＤは基本的にサービス提供
者の意図によって自由に設定することができる。但し、
異なる事業者間で同じＳＩＤが使用されることを防止す
るため、本実施の形態では、サービス提供者の秘密鍵と
サービス提供者が特定のサービスに対して付与した識別
子との連結に対するハッシュ値を利用するものとする。

【００３６】なお、別の実施の形態としては、ＩＥＴＦ
で標準化されているＵＲＩ（Ｉｎｔｅｒｎｅｔ Ｒｅｓ
ｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）の形式で付与し、
各事業者が管理しているドメインネームをそのＵＲＩに
含めることで、同じＳＩＤが使用されるのを防いでも良
い。

【００３７】有効期限はＳＩＤによって指定されるサー
ビスが有効な期限であり、本実施の形態ではＳＩＤ毎に
一意の有効期限が与えられるものとする。例えば、バー
ゲン品の購入の場合にはその購入期限、人気投票の場合
には投票期限がそれに相当する。

【００３８】累積回数はＳＩＤによって指定されるサー
ビスを過去何回受けたかを記録する領域であり、サービ
スを受ける度に１増加する。

【００３９】履歴蓄積装置１０は、基本的に履歴記録要
求と履歴消去要求の２つの要求を受け付ける。これらの
要求は、接続部１１によって検証装置から受信し、それ
ぞれ履歴記録部１２および履歴消去部１６で処理され
る。履歴記録要求を受け取った場合の履歴記録部１２の
処理フローを図３に示す。履歴消去要求を受け取った場
合の履歴消去部１６の処理フローを図４に示す。

【００４０】履歴記録部１２は次のようなフローで履歴
記録要求を処理する（図３）。

【００４１】（１）接続部１１から有効期限Ｄ、サービ
スＩＤ（ＳＩＤ）、チャレンジＣを含む履歴記録要求Ｒ
ｅｃｏｒｄ（Ｄ，ＳＩＤ，Ｃ）を受信する（ｓ１）。な
お、チャレンジＣは検証装置によって生成される乱数等
である。

【００４２】（２）Ｄと、カウンタ部１４に格納されて
いる履歴消去日付とどちらが大きい（どちらが新しい）
か比較し（ｓ２）、Ｄの方が小さい（古い）場合には、
例外終了する。

【００４３】（３）履歴蓄積部１７から同じＤ，ＳＩＤ
を有する履歴データを検索する（ｓ３）。

【００４４】（４）上記（２）により既に履歴データ＜
Ｄ，ＳＩＤ，Ｎ＞が存在した場合（ｓ４）には、累積回
数ＮをＮ＋１に加算して履歴データを更新する（ｓ
５）。

【００４５】（５）上記（２）により履歴データが存在
しなかった場合には、新しい履歴データとして＜Ｄ，Ｓ
ＩＤ，１＞を履歴蓄積部１７に記録する（ｓ６）。

【００４６】（６）上記（５）において履歴蓄積部１７
の容量不足のため、履歴が記録できなかった場合（ｓ
７）には、履歴域不足例外を発生し終了する。

【００４７】（７）ＤとＳＩＤとＮとＣの連結を署名生
成部１３へ送り、履歴蓄積装置１０が保有する秘密鍵Ｋ
により、署名Ｓ_K（Ｄ‖ＳＩＤ‖Ｃ‖Ｎ）を生成する
（ｓ８）（但し、履歴データが存在しなかった場合（上
記（４））はＮ＝０とする）。

【００４８】（８）接続部１１により要求元に対してＮ
とＳ_K（Ｄ‖ＳＩＤ‖Ｃ‖Ｎ）を送信（返却）する（ｓ
９）。

【００４９】なお、過去のサービス提供回数を調べるだ
けで履歴を追加しない履歴参照要求を備えても良いが、
本実施の形態では、履歴記録要求の処理結果で過去のサ
ービス提供回数を返すことで、その機能を包含するよう
にした。しかし、上記履歴参照要求は上記（４），
（５），（６）のステップを省略することで容易に実現
できる。

【００５０】上記の履歴記録要求を受信し上記のように
処理すると、履歴データが単調に増加し、ＩＣカード等
の記憶容量が小さい装置では、すぐに記憶領域が一杯に
なってしまうという問題がある。そこで本発明では、図
４に示すフローで有効期限を過ぎた履歴を削除する機能
を持たせ、電子媒体の永続的な取引を可能にする。

【００５１】履歴消去部１６は、次のようなフローで履
歴消去要求を処理する（図４）。

【００５２】（１）接続部１１から履歴消去日付Ｄ１を
含む履歴消去要求Ｃｌｅａｒ（Ｄ１）を受信する（ｓ１
１）。履歴消去日付は過去に履歴消去要求によって指定
された履歴消去日付より後であり、かつ現在日付より以
前である値を指定されるものとする。例えば、検証装置
等により現在日付より一日乃至一週間程度前の日付を指
定すれば良い。

【００５３】（２）カウンタ部１４に記録されている以
前に与えられた履歴消去日時Ｄ０を取得してＤ１と比較
し、Ｄ１がＤ０以下の時は例外を発生させる（ｓ１
２）。

【００５４】（３）Ｘ＝Ｄ１−Ｄ０を計算し、加算部１
５でカウンタ部１４にＸを加算する（ｓ１３）。これに
よってカウンタ部１４に記録される履歴消去日時はＤ１
となる。カウンタ部１４に対する演算はこのように加算
しかなく、減算は存在しない一方向性のものとする。カ
ウンタをこのように増加のみ設定可能とする方法として
は、例えば、特許第１８８４１３５号等に記載された専
用回路を使う方法やＲＯＭに書き込まれたソフトウェア
によって実現する方法等がある。

【００５５】（４）履歴蓄積部１７に格納された履歴デ
ータの中で、上記Ｄ１より以前の履歴データを検索し、
消去する（ｓ１４）。

【００５６】（５）接続部１１により要求元に対して正
常終了を送信する（ｓ１５）。

【００５７】上記のステップにより、悪意のある利用者
が上記（１）のステップで将来の日付を履歴消去日付と
して与えて履歴消去要求を行い取引履歴を消去すると、
カウンタ部１４に記録されている履歴消去日時が将来の
日付となるため、再度、同じ履歴を格納しようとして
も、図３に示した履歴記録要求のフローのステップ
（２）により例外終了するため、不正があったことを検
出することができる。また、カウンタ部１４に記録され
ている履歴消去日時を過去の日付に戻そうとしても、前
述したようにカウンタ部１４の値は減算することができ
ないので、このような不正を防止できる。

【００５８】図５は、サービス提供者がサービスを提供
する前に利用者から提示された履歴蓄積装置を検証し、
サービスを提供して良いか判断するための、本発明の検
証装置の実施の形態の一例を示す構成図である。

【００５９】図５に示すように、検証装置２０は、乱数
生成部２１、サービスＩＤ記録部２２、有効期限記録部
２３、検証制御部２４、署名検証部２５、履歴消去制御
部２６、タイマ部２７、接続部２８および表示部２９か
ら構成される。

【００６０】乱数生成部２１は、履歴蓄積装置１０を認
証するためのチャレンジを生成するための部分である。
サービスＩＤ記録部２２および有効期限記録部２３は、
それぞれ検証装置２０が検証したいサービスに対するサ
ービスＩＤおよび有効期限を記録する部分である。検証
制御部２４は、検証処理を制御する部分である。

【００６１】署名検証部２５は、履歴蓄積装置１０から
送信された署名データを検証し履歴蓄積装置１０を認証
する部分である。履歴消去制御部２６は、履歴消去要求
を生成し送信する部分である。タイマ部２７は、現在時
刻を生成する部分である。接続部２８は、履歴蓄積装置
１０と接続する部分である。表示部２９は、検証者およ
び利用者に対してサービスを提供できるかどうかを表示
する部分である。

【００６２】図６に検証装置による検証処理フローを示
す。検証制御部２４は次のフローで履歴蓄積装置１０に
記録された履歴を調べ、サービスを提供して良いか検証
する。

【００６３】（１）履歴蓄積装置１０を検証装置２０に
接続する（ｓ２１）。履歴蓄積装置１０が接触型ＩＣカ
ードで実現されている場合には、カードが挿入された契
機、非接触型ＩＣカードで実現されている場合には、カ
ードが近づけられたことを感知した契機で接続される。

【００６４】（２）乱数生成部２１により乱数Ｃを生成
する（ｓ２２）。

【００６５】（３）サービスＩＤ記録部２２および有効
期限記録部２３からＳＩＤおよびＤを取得し、履歴記録
要求Ｒｅｃｏｒｄ（Ｄ，ＳＩＤ，Ｃ）を接続部１１によ
り履歴蓄積装置１０に送信する（ｓ２３）。別の実施の
形態では表示装置を使って利用者に提供できるいくつか
のサービスを表示し、利用者あるいは検証者によって選
択されたサービスに対応するＳＩＤ，Ｄを取得しても良
い。

【００６６】（４）接続部１１から前記要求の結果とし
て、過去のサービス提供回数Ｎと履歴蓄積装置１０によ
る署名Ｓ_K（Ｄ‖ＳＩＤ‖Ｃ‖Ｎ）を受信する（ｓ２
４）。また、履歴域不足例外が通知された場合は、それ
を表示部２９で表示する。

【００６７】（５）署名検証部２５により、上記（４）
によって取得した署名データが正しいかを検証する（ｓ
２５）。検証するためには、履歴蓄積装置１０の検証
鍵、即ち公開鍵方式の場合には公開鍵、共通鍵方式の場
合には共通鍵が必要であるが、本実施の形態では、これ
らは予め署名検証部２５が保持しているものとする。

【００６８】（６）表示部２９に過去のサービス提供回
数Ｎを表示する（ｓ２６）。検証者は、制限回数以下で
あればサービス提供を許可する。例えば、試供品引換の
場合には、過去に引き渡されていないこと（Ｎ＝０）、
バーゲン品購入の場合にはその購入制限数以下である時
に、サービスを提供する。

【００６９】図７に、履歴域不足例外等のエラーにより
履歴が記録できなかった場合に、履歴消去要求を行う履
歴消去制御部２６の処理フローを示す。

【００７０】（１）表示部２９から履歴消去の指示が入
力される（ｓ３１）。

【００７１】（２）タイマ部２７から現在日付を取得す
る（ｓ３２）。

【００７２】（３）現在日付より一日乃至一週間程度前
の日付を履歴消去日時Ｄ１として指定し、利用者に履歴
を消去することを通知（表示）する（ｓ３３）。

【００７３】（４）利用者からＯＫの指示が出ると、接
続部２８により履歴蓄積装置１０に対して履歴消去要求
Ｃｌｅａｒ（Ｄ１）を送信する（ｓ３４）。

【００７４】（５）接続部２８から結果を受信し、表示
部２９に表示する（ｓ３５）。

【００７５】［実施の形態２］上記実施の形態は、予め
履歴蓄積装置を会員カード等の形態で配布しておくこと
により、会員全員に一律等しいサービスを提供するよう
な場合、例えば会員全員に対して記念品を１個配布する
場合では、会員にメール等で周知するだけで、引換券等
の権利を予め発行することなく、会員カード一枚に一個
だけを安全に配布できるという従来にはない特徴があ
る。

【００７６】実施の形態２では、この機能と従来から存
在する電子権利の流通システムとを組み合わせて、会員
全員ではなく、特定の電子権利の発行あるいは行使に伴
う制限回数を制御する例を示す。典型例としては人気コ
ンサートチケットの購入を一人限定枚に限る場合等であ
る。

【００７７】図８は、前述した履歴蓄積装置と検証装置
を利用した、本発明の電子権利流通システムの実施の形
態の一例を示す構成図である。

【００７８】図８に示すように、本システムは、発行装
置１００、電子権利格納装置２００、改札装置３００お
よびネットワーク装置４００から構成される。

【００７９】発行装置１００は電子権利を発行する機
関、電子権利格納装置２００は利用者、改札装置３００
は電子権利を改札する機関によって保有されるものと
し、それぞれ発行者毎、利用者毎、改札者毎に複数個存
在して良い。

【００８０】発行装置１００は、電子権利生成部１０
１、電子権利発行部１０２、通信部１０３および検証装
置１０４から構成される。

【００８１】電子権利格納装置２００は、通信部２０
１、格納制御部２０２、行使制御部２０３、電子権利格
納部２０４、履歴蓄積装置２０５および検証装置２０６
から構成される。なお、本装置は電子財布とも称する。

【００８２】改札装置３００は、電子権利改札部３０
１、通信部３０２および検証装置３０３から構成され
る。

【００８３】なお、履歴蓄積装置２０５および検証装置
１０４，２０６，３０３は、実施の形態１で述べたもの
と同じである。

【００８４】ネットワーク装置４００は、インターネッ
トや電話網等のパブリックネットワークあるいはＬＡＮ
や専用線等を利用したプライベートネットワークであ
り、発行装置１００、電子権利格納装置２００および改
札装置３００は、本装置を介して相互に通信可能とす
る。

【００８５】電子権利は、上記装置間で次に述べる発
行、譲渡、消費、提示の４種類のトランザクションによ
って流通する。

【００８６】発行トランザクション：電子権利を生成
し、その電子権利の所有権を利用者に与えるトランザク
ションである。本実施の形態では、発行装置１００が電
子権利を生成し、これを利用者が保有する電子権利格納
装置２００の電子権利格納部２０４に格納することによ
って実現するものとする。

【００８７】譲渡トランザクション：電子権利の所有権
をある利用者から別の利用者に移転させるトランザクシ
ョンである。本実施の形態では、譲渡側の利用者が保有
する電子権利格納装置２００の電子権利格納部２０４に
格納されている電子権利を取り出し削除し、譲受側の利
用者が保有する電子権利格納装置２００の電子権利格納
部２０４に格納することによって実現するものとする。

【００８８】消費トランザクション：電子権利の所有権
を無効にするトランザクションである。本実施の形態で
は、利用者が保有する電子権利格納装置２００の電子権
利格納部２０４に格納されている電子権利を取り出し削
除し、改札装置３００に削除したことを通知することに
よって実現するものとする。

【００８９】なお、発行、譲渡、消費のトランザクショ
ンの過程で、不正に複製が作られ、電子権利が多重使用
されることを防止する方法については本発明の対象とす
るところではなく、既に提案されている電子権利の多重
使用防止方法を本発明と組み合わせて実施することが容
易であるので、詳細は省略する。

【００９０】電子権利の多重使用防止方法については、
例えば、特開平１１−２１３０６８号、特開２０００−
１２３０９５号等に記載されているように、流通対象の
電子権利に譲渡リストを添付し、二重使用が発覚した場
合に不正者を特定できるようにすることで不正を抑止す
る方法、特願２０００−０３８８７５号等に記載されて
いるようなＩＣカード等の耐タンパ装置に原本情報（ト
ークン）を保管し、原本情報を安全に流通可能にさせる
プロトコルを提供することにより不正な複製を防止する
方法、特願平１１−３１００９０号等に記載されている
ようなネットワーク上に各電子権利に対する所有者認証
情報を管理することで正当な所有者を認証する方法等、
多数の方法が提案されている。

【００９１】図９は電子権利格納部２０４に格納される
電子権利のデータ構造の一例を示す説明図である。本図
に示すように、一つの電子権利は、サービス（権利）Ｉ
Ｄ、有効期限、回数制限およびその他の電子権利の内容
が定義された権利情報の４つのデータ域を含んでいる。
電子権利の取引制限を与えるために、実施の形態１で示
したサービスＩＤ、有効期限が電子権利に設定されてい
る。

【００９２】回数制限は、上記有効期限内に取引が許さ
れる回数の上限値が指定される。本実施の形態では、発
行あるいは譲渡トランザクションによって新たな電子権
利が電子権利格納装置２００に格納されることを取引と
みなす。即ち、取引回数の上限値とは、電子権利格納装
置２００への格納回数の上限値となる。なお、実施の形
態によっては、電子権利の発行、譲渡、消費の各トラン
ザクション毎に、取引制限を別々に設ける等、多様な条
件を指定することも可能である。

【００９３】権利情報は、電子権利毎の固有情報が定義
される。例えば、発行機関の識別子、権利の内容、発行
者の署名等が定義される。

【００９４】次に、これらの装置を用いて行う電子権利
の取引（発行処理）について詳細に説明する。

【００９５】（１）発行装置１００は、電子権利生成部
１０１により、有効期限（Ｄ）、サービスＩＤ（ＳＩ
Ｄ）、回数制限、権利内容を含む電子権利を生成する。
また、検証装置１０４は乱数Ｃを生成する。

【００９６】（２）発行装置１００は、上記（１）によ
って生成されたＤ，ＳＩＤ，Ｃを含む電子権利格納要求
を電子権利格納装置２００に送信する。なお、電子権利
格納要求の送信では、電子権利自体（所有権）はまだ移
動していない。電子権利の移動については本発明では詳
細に記載しないが、例えば特願２０００−０３８８７５
号等に記載されている権利情報固有の原本情報等の移動
で実現される。

【００９７】（３）電子権利格納装置２００は、格納制
御部２０２により、履歴記録要求Ｒｅｃｏｒｄ（Ｄ，Ｓ
ＩＤ，Ｃ）を生成し、履歴蓄積装置２０５に送る。

【００９８】（４）電子権利格納装置２００は、履歴蓄
積装置２０５により履歴データをその履歴蓄積部に記録
し、結果を格納制御部２０２に送信する。

【００９９】（５）電子権利格納装置２００は、格納制
御部２０２により上記（４）の結果を発行装置１００に
送る。

【０１００】（６）発行装置１００は、検証装置１０４
により上記（４）の結果を検証する。詳細は実施の形態
１と同じである。

【０１０１】（７）発行装置１００は、さらに累積回数
Ｎがその電子権利に指定された回数制限以下であること
を検証する。

【０１０２】（８）発行装置１００は、上記（６），
（７）の検証に成功した場合には、その電子権利を電子
権利格納装置２００に移動する。

【０１０３】（９）電子権利格納装置２００は、格納制
御部２０２により受理した電子権利を電子権利格納部２
０４に格納する。

【０１０４】電子権利格納装置に対する電子権利の格納
は、発行だけではなく、別の電子権利格納装置からの譲
渡によっても行われる。そこで、第一の電子権利格納装
置（以下、符号２００Ａで表す。）から第二の電子権利
格納装置（以下、符号２００Ｂで表す。）に対して電子
権利を譲渡する場合の流れについて以下に示す。

【０１０５】（１）第一の電子権利格納装置２００Ａ
は、行使制御部２０３により、譲渡対象の電子権利の有
効期限Ｄ、サービスＩＤ（ＳＩＤ）を電子権利格納部２
０４から取得する。また、検証装置２０６は乱数Ｃを生
成する。

【０１０６】（２）第一の電子権利格納装置２００Ａ
は、Ｄ，ＳＩＤ，Ｃを含む電子権利格納要求を第二の電
子権利格納装置２００Ｂに送信する。

【０１０７】（３）第二の電子権利格納装置２００Ｂ
は、格納制御部２０２により履歴記録要求Ｒｅｃｏｒｄ
（Ｄ，ＳＩＤ，Ｃ）を生成し、履歴蓄積装置２０５に送
る。

【０１０８】（４）第二の電子権利格納装置２００Ｂ
は、履歴蓄積装置２０５により履歴データをその履歴蓄
積部に記録し、結果を格納制御部２０２に送信する。

【０１０９】（５）第二の電子権利格納装置２００Ｂ
は、格納制御部２０２により上記（４）の結果を第一の
電子権利格納装置２００Ａに送る。

【０１１０】（６）第一の電子権利格納装置２００Ａ
は、検証装置２０６により上記（４）の結果を検証す
る。詳細は実施の形態１と同じである。

【０１１１】（７）第一の電子権利格納装置２００Ａ
は、さらに累積回数Ｎがその電子権利に指定された回数
制限以下であることを検証する。

【０１１２】（８）第一の電子権利格納装置２００Ａ
は、上記（６），（７）の検証に成功した場合には、そ
の電子権利を第二の電子権利格納装置２００Ｂに移動す
る。

【０１１３】（９）第二の電子権利格納装置２００Ｂ
は、格納制御部２０２により受理した電子権利を電子権
利格納部２０４に格納する。

【０１１４】以上のステップにより、電子権利格納装置
に電子権利が格納される前に、過去の取引履歴、上記実
施の形態では電子権利のＳＩＤ毎の格納履歴がチェック
されるため、同一ＳＩＤを持つ電子権利が制限回数以上
格納されることを防止することができる。しかも、発行
時だけではなく譲渡時もチェックすることが可能にな
る。

【０１１５】なお、個別の電子権利毎に異なるＳＩＤを
付与した場合には、二重使用を防止する方法の一つとし
ても利用可能である。

【０１１６】次に、本発明のその他のパリエーションに
ついて述べる。

【０１１７】（１）上記実施の形態では、履歴蓄積装置
は、ＩＣカード等の耐タンパ装置に実現されることを前
提としているが、これをネットワーク装置上のサーバに
記録することとし、累積取引回数が制限値を超えていな
いかのチェックをサーバに問い合わせることで、電子財
布への格納を制御することもできる。このような方法
は、従来の二重使用チェックサーバと類似しているが、
本発明では、単純な二重使用チェックサーバと異なり、
個別の電子権利単位の二重使用だけではなく、ＳＩＤに
よる異なる単位で取引回数を制限できる等、柔軟なチェ
ック機能を提供できる点が従来の方法と異なる。

【０１１８】（２）上記実施の形態では、一つの電子権
利に対して一つのＳＩＤを付与しているが、複数のＳＩ
Ｄを付与して、いくつかの制約条件をＡＮＤやＯＲで与
えることも可能である。

【０１１９】（３）上記実施の形態では、累積回数Ｎを
サービス提供回数としているが、累積回数Ｎをサービス
提供度数として管理し、一回のサービス提供に対して複
数の度数を加算することによって、例えば一ヶ月当たり
のローン限度額等の制御に適用することも可能である。

【０１２０】（４）上記実施の形態では、履歴蓄積装置
に履歴記録要求を送信した場合に累積回数Ｎが返される
が、Ｎを返す代わりに、回数制限値を超えたかどうかの
真偽値を返すように実施しても良い。但し、この場合に
は、履歴蓄積装置内にＳＩＤ毎の回数制限値を記録して
おき、累積取引回数が回数制限値を超えたかどうかを判
定できるようにする必要がある。

【０１２１】（５）上記実施の形態では、履歴データが
格納される履歴蓄積部をＩＣカード等の耐タンパ装置内
に記録することを前提としているが、これをハードディ
スク等の通常の記憶媒体に格納し、履歴データのハッシ
ュ値のみを耐タンパ装置に入れることで、履歴データの
改ざんを防止しても良い。この場合、履歴データを追
加、消去する度にハッシュ値を再計算する必要がある
が、耐タンパ装置の記憶容量をさらに削減することがで
きる。

【０１２２】

【発明の効果】以上述べたように、本発明によれば、利
用者に提供するサービスで回数制限が設けられているも
のを、回数制限を超えて不正に利用したかどうかを、過
去に受けたかどうかを含めて検証することができる。し
かも、ＩＣカード等の耐タンパ装置に履歴が蓄積される
ので、オフラインであっても安全に検証することができ
る。また、オフラインで検証できることは、通信コスト
が削減できるだけではなく、使用履歴を管理するための
センタデータベースの開発コストや運用コストも削減で
きるという効果もある。

【０１２３】本発明の応用例としては、試供品の交換回
数、レストランの試食回数、投票における投票回数、バ
ーゲン品の購入回数、ゲームの出場回数、福利厚生施設
の利用回数、コンサートチケットの購入回数、株主優待
券の利用回数、免許証の違反回数、ローンの融資限度額
等、多岐に渡る。従って、これらの制約条件は応用によ
って多種多様であるが、サービス提供者が勝手にＳＩＤ
と有効期限をセットして履歴を格納しても差し支えない
ので、一枚のＩＣカードを多数のサービス提供者で共用
することができる。また、これにより一サービス提供者
当たりのカードのコストを削減できるという効果があ
る。

【０１２４】履歴消去日時の実現に増加しかできないカ
ウンタを用いることで、有効期限が切れたサービスに関
する履歴を安全に削除することが可能になり、記憶領域
が小さなＩＣカードで実現しても実用的である。また、
タイマ自体は耐タンパ装置の外に置いても安全であるか
ら低コストで実現できるという効果がある。

【０１２５】従来、会員へのサービスの提供のため、紙
のクーポン券を郵送あるいは電子チケットをインターネ
ットで配布していたのは、サービスの提供回数を限定す
るという目的があった。しかし、本発明の履歴蓄積機能
を備える会員カードを持つ全ての会員に対してサービス
を提供する場合には、カード内にサービス提供の履歴を
検査することにより、サービスの提供回数を限定できる
ので、クーポン券等の発行が不要になるという利点があ
る。これは、クーポン券等を発行するためのシステムの
開発コストや運用コストを削減できるという効果があ
る。

【図面の簡単な説明】

【図１】本発明の履歴蓄積装置の実施の形態の一例を示
す構成図

【図２】履歴蓄積部に記録される履歴データの一例を示
す説明図

【図３】履歴蓄積装置が履歴記録要求を受信した際の処
理フローチャート

【図４】履歴蓄積装置が履歴消去要求を受信した際の処
理フローチャート

【図５】本発明の検証装置の実施の形態の一例を示す構
成図

【図６】検証装置が履歴蓄積装置に対して検証を行う際
の処理フローチャート

【図７】検証装置が履歴蓄積装置に対して履歴消去を行
う際の処理フローチャート

【図８】本発明の履歴蓄積装置と検証装置を利用した電
子権利流通システムの実施の形態の一例を示す構成図

【図９】電子権利のデータ構造の一例を示す説明図

【符号の説明】

１０：履歴蓄積装置、１１：接続部、１２：履歴記録
部、１３：署名生成部、１４：カウンタ部、１５：加算
部、１６：履歴消去部、１７：履歴蓄積部、２０：検証
装置、２１：乱数生成部、２２：サービスＩＤ記録部、
２３：有効期限記録部、２４：検証制御部、２５：署名
検証部、２６：履歴消去制御部、２７：タイマ部、２
８：接続部、２９：表示部、１００：発行装置、１０
１：電子権利生成部、１０２：電子権利発行部、１０
３：通信部、１０４：検証装置、２００：電子権利格納
装置、２０１：通信部、２０２：格納制御部、２０３：
行使制御部、２０４：電子権利格納部、２０５：履歴蓄
積装置、２０６：検証装置、３００：改札装置、３０
１：電子権利改札部、３０２：通信部、３０４：検証装
置、４００：ネットワーク装置。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 西原 琢夫 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 Ｆターム(参考） 5B049 AA05 BB00 CC13 CC31 EE02 EE22 FF08 5B055 EE02 KK05 KK15 5D110 AA13 DA11 DA13 DA17 DB09 DC05 DC06 DD13 DD16 DE04

Claims (8)

【特許請求の範囲】
1. 【請求項１】 サービス有効期限とサービス識別子と累
   積サービス回数を含む履歴データのリストを蓄積する履
   歴蓄積部と、第１の日付データを格納するカウンタ部と
   を有し、サービス有効期限とサービス識別子を含む履歴
   記録要求を受信する手段と、 前記サービス有効期限が前記第１の日付データより大き
   いか比較する手段と、 大きい場合に前記サービス有効期限とサービス識別子を
   含む履歴データを前記履歴蓄積部に格納する手段と、 前記履歴記録要求の処理結果を送信する手段と、 第２の日付データを含む履歴消去要求を受信する手段
   と、 第２の日付データが第１の日付データよりも大きいか比
   較する手段と、 大きい場合に第２の日付データをカウンタ部に格納する
   手段と、 第２の日付データより小さい有効期限を有する履歴デー
   タを履歴蓄積部から削除する手段と、 前記履歴消去要求の処理結果を送信する手段とを備えた
   ことを特徴とする履歴蓄積装置。
2. 【請求項２】 請求項１に記載の履歴蓄積装置におい
   て、 前記履歴記録要求はチャレンジを含み、履歴蓄積装置の
   鍵により前記サービス有効期限と前記サービス識別子と
   チャレンジを含むデータに対してディジタル署名を行う
   署名生成手段を備え、 前記履歴記録要求の処理結果は、前記ディジタル署名を
   含むことを特徴とする履歴蓄積装置。
3. 【請求項３】 履歴蓄積装置と接続する接続手段と、 履歴蓄積装置にサービス有効期限とサービス識別子を含
   む履歴記録要求を送信する手段と、 前記履歴記録要求の処理結果を履歴蓄積装置から受信す
   る手段とを備えたことを特徴とする検証装置。
4. 【請求項４】 請求項３に記載の検証装置において、 チャレンジを生成する手段と、 履歴蓄積装置にサービス有効期限とサービス識別子とチ
   ャレンジを含む履歴記録要求を送信する手段と、 前記履歴記録要求の処理結果に含まれるディジタル署名
   を検証する署名検証手段とを備えたことを特徴とする検
   証装置。
5. 【請求項５】 前記請求項３又は４に記載の検証装置に
   おいて、日付データを含む履歴消去要求を送信する手段
   を備えたことを特徴とする検証装置。
6. 【請求項６】 発行装置と電子財布装置と改札装置とか
   ら構成される電子権利流通システムにおいて、 発行装置は請求項３乃至５いずれかに記載の検証装置を
   含み、 電子財布装置は請求項１又は２に記載の履歴蓄積装置を
   含み、 また、発行装置は履歴記録要求を電子財布装置に送信す
   る手段を有し、 また、電子財布装置は前記履歴記録要求の処理結果を発
   行装置に送信する手段を有し、 また、発行装置は前記処理結果を検証し制約条件を充足
   しているか検証する手段と、制約条件を充足している時
   にのみ電子権利を発行する手段とを有することを特徴と
   する電子権利流通システム。
7. 【請求項７】 請求項６に記載の電子権利流通システム
   において、 電子財布装置はさらに請求項３乃至５いずれかに記載の
   検証装置を含み、 また、電子財布装置は履歴記録要求を譲渡先の電子財布
   装置に送信する手段と、履歴記録要求の処理結果を譲渡
   元の電子財布装置に送信する手段と、前記処理結果を検
   証し制約条件を充足しているか検証する手段と、制約条
   件を充足している時にのみ電子権利を譲渡する手段とを
   有することを特徴とする電子権利流通システム。
8. 【請求項８】 発行装置と電子財布装置と改札装置とか
   ら構成される電子権利流通システムにおいて、 改札装置は請求項３乃至５いずれかに記載の検証装置を
   含み、 電子財布装置は請求項１又は２に記載の履歴蓄積装置を
   含み、 また、改札装置は履歴記録要求を電子財布装置に送信す
   る手段を有し、 また、電子財布装置は前記履歴記録要求の処理結果を改
   札装置に送信する手段を有し、 また、改札装置は前記処理結果を検証し制約条件を充足
   しているか検証する手段と、制約条件を充足している時
   にのみ電子権利を改札する手段とを有することを特徴と
   する電子権利流通システム。