JP2003187194A - 端末装置、個人情報処理装置および失効情報ファイル作成装置 - Google Patents

Abstract

(57)【要約】 【課題】 オフライン環境の医療機関等の事業所であっ
てもICカード等の携帯可能な個人情報処理装置に格納さ
れているデータの更新を可能にすることにある。 【解決手段】 端末装置103は、ICカード101が挿入され
ると、カード番号を読み取り、失効情報ファイル104に
更新レコードがあれば、更新レコード内の更新要求コー
ドをICカードに送る。ICカード101では更新要求コード
内とICカード内のバージョン番号を比較し、ICカード内
のバージョン番号の方が古い場合、更新レコード内の更
新要求コードの電子署名の認証を行い正しければ、その
通知を受けて端末装置103は更新レコード内の更新デー
タをICカードに送る。ICカードは更新データ内のサービ
スデータでICカード内のサービスデータを更新し、電子
署名の認証を行い、更新結果レコードを生成して端末装
置に送る。端末装置は受理した更新結果レコードにより
更新結果ファイル105を更新する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、個人情報処理装置
に格納された情報を用いてサービスを提供する情報処理
システムに係り、特に、該システムにおける端末装置、
個人情報処理装置および失効情報ファイル作成装置に関
する。

【０００２】

【従来の技術】ICカードのような個人情報処理装置内に
個人情報を格納し、その格納データを用いてサービスを
提供する業務がある。ICキャッシュカードにおいては、
ICカード内のデータにより利用者の認証を行い、キャッ
シュサービスを提供している。ICカードの有効性は、失
効情報ファイルの検索による方法とサーバーに問い合わ
せる方法がある。失効情報ファイルは無効になっている
カードの一覧表であり、このリストと比較することによ
り失効しているカードが使われてしまうことを防止す
る。失効情報ファイルによる方法はオフラインでも利用
できるという特徴がある。特開平11-345263は、オンラ
インにより有効性の確認とデータの更新を行っている。

【０００３】

【発明が解決しようとする課題】上記のようにICカード
等の個人情報処理装置を利用するサービスが種々検討さ
れているが、格納データの更新方法に問題を抱えてい
る。例えば、サービスの利用証には有効期限が設定され
ていることが多いため、カードの内容を定期的に更新す
る必要がある。通常、利用証を管理している事業者の窓
口に持参してカード内容を更新する。利用者の利便性を
考えれば、実際にサービスを利用する事業所の窓口でカ
ードを更新できることが望ましい。特開平11-345263で
は、医療機関と保険者をオンライで接続して、医療機関
に設置された端末でカードの内容を更新する方法が提案
されている。しかし、この方法ではオンライン接続環境
を持たない医療機関では、ICカード内データの更新がで
きないという問題がある。本発明の目的は、上記問題を
解決することにあり、オフライン環境の医療機関等の事
業所であってもICカード等の携帯可能な個人情報処理装
置に格納されているデータの更新を可能にすることにあ
る。

【０００４】

【課題を解決するための手段】上記目的を達成するた
め、個人情報処理装置との間でデータの転送を行う端末
装置は、失効情報ファイルと更新結果ファイルを有し、
個人情報処理装置から転送された個人情報処理装置番号
に対応する更新レコードが前記失効情報ファイルに存在
する場合には、更新レコード内の電子署名を有する更新
情報を個人情報処理装置に転送し、個人情報処理装置か
ら該個人情報処理装置おける該更新情報による更新処理
の更新結果を示す電子署名を有する更新結果レコードの
転送を受け該更新結果レコードを前記更新結果ファイル
に格納するよう構成される。また、端末装置との間でデ
ータの転送を行う個人情報処理装置は、認証手段を有
し、端末装置から転送された電子署名を有する更新情報
を前記認証手段により認証し、認証した更新情報により
既に記憶されている情報を更新し、更新結果の情報に電
子署名を付した更新結果レコードを生成し、生成した更
新結果レコードを端末装置に転送するように構成され
る。また、夫々の端末装置に格納する失効情報ファイル
を作成する失効情報ファイル作成装置は、記録媒体の種
類に対して割り当てられる制限ポイントと１以上の端末
装置を利用する個人情報処理装置所有者（以下、利用者
という）の各端末装置の利用状況に対して割り当てられ
る付与ポイントを記憶手段と、利用者に関する情報及び
利用者の夫々の端末装置の利用履歴情報を蓄積したＤＢ
および各端末装置で作成された更新結果ファイルから指
定された利用者に関する各端末装置の利用状況情報を取
得する手段を有し、失効情報ファイルを作成される端末
装置の種類に対応する前記制限ポイントを前記記憶手段
から取得し、前記取得した指定された利用者に関する各
端末装置の利用状況情報の夫々に対応する付与ポイント
を前記記憶手段から取得し、夫々の付与ポイントを合計
し合計付与ポイントを算出し、前記算出した合計付与ポ
イントが前記取得した制限ポイントを越えるとき、指定
された利用者の利用者情報を失効情報ファイルに追加す
るように構成される。

【０００５】

【発明の実施の形態】以下、本発明の一実施形態につい
て図面を用いて説明する。図１は本発明の実施形態であ
るシステムの全体構成を示している。ここでは携帯可能
な個人情報処理装置としてICカード101を使っている。I
Cカード101はサービスデータ格納領域113に利用者の個
人情報を格納している。個人情報は、通常、利用者の氏
名や住所、識別番号、有効期限、利用者認証キーのよう
な、サービスの提供に必要な情報である。端末装置103
は、このデータを読み取り、利用者に所定のサービスを
提供する。端末装置103は、制御装置106、通信装置107
を有し、さらに内部に失効情報ファイル104と更新結果
ファイル105を保持している。失効情報ファイル104はカ
ード管理サーバー102から定期的に入手する。入手する
手段は媒体送付でも良いしネットワーク経由でも良い。
更新結果ファイル105は定期的にカード管理サーバ102に
送付する。ネットワークを使う場合は、失効情報を入手
するときにカード管理サーバーに送信するようにすれ
ば、更新結果を送付するために新たな通信コネクション
を張る必要がない。媒体交換で送付する場合は、失効情
報が格納されていた媒体を利用してカード管理サーバー
に送付すれば良い。

【０００６】ICカード101は、通信装置108、制御装置10
9、データを暗号化・復号化する暗号装置110、電子署名
を認証する認証装置111を有し、記憶手段内の記憶領域
として、管理データ領域112とサービスデータ格納領域1
13を有する。管理データ領域112には、サービスデータ
を管理するために必要な情報が格納されている。カード
番号114とバージョン番号115は、サービスデータの更新
が必要であるかどうか判断するために使う。更新フラグ
117は、サービスデータの更新を行うときの作業の状況
を示している。ICカードのような装置は、作業中に端末
装置から強制的に抜き取られる可能性に曝されている。
更新フラグ117によって、データの更新が正常に終了し
たか判断する。更新認証鍵116は、端末装置103からのサ
ービスデータ更新要求が正当なものであるかどうか検証
するために使う。これにより既存のデータが不正に更新
されることを防止する。更新データ認証鍵118は、更新
されたデータの正当性を確認するために使う。正当性が
確認されたら当該データを有効化する。更新完了署名鍵
119は、データの更新が正常に完了したことを示す完了
メッセージを作成するために使う。完了メッセージは、
ICカード101から端末装置103に送信され、更新結果ファ
イル105の中に蓄積される。サービスデータ格納領域113
には、個人情報、サービスデータ等が格納される。

【０００７】図２は、失効情報ファイルに格納されるデ
ータのレコード構成を示している。１レコードが１枚の
ICカードの更新データに対応している。失効フラグはIC
カードの失効状態を示している。失効にもいろいろな段
階がある。利用者の資格そのものが失効している場合
は、サービスの提供を拒否する。利用資格の内容が変更
になっている場合は、カードデータの更新を行ってから
サービスを提供する。カード番号は当該更新処理の対象
となってるICカードを一意に識別する識別子である。更
新要求コードは、ICカードに対して、サービスデータの
更新を要求するために必要とされる情報を格納してい
る。バージョン番号は更新データの版を示している。カ
ード内のバージョン番号よりも新しい番号である場合
は、カード内データが古いことを示している。更新要求
コードの電子署名は、カード番号とバージョン番号を合
わせた情報に対して、カード管理者の鍵で生成した電子
署名である。この電子署名を認証装置111で認証するこ
とにより、ICカードは、カード管理者が発行したデータ
に基づく更新要求であることを確認する。電子署名が食
い違う場合、ICカードは更新処理を拒否する。更新デー
タのサービスデータは、サービス提供者が利用者にサー
ビスを提供する際に参照するデータである。通常、利用
者の資格を確認するためのデータとそれに付随するデー
タを格納している。なおサービスデータは盗聴を防ぐた
めに暗号化されている。サービスデータはICカード内で
復号化されるので、不正な第三者による盗聴を防ぐこと
ができる。更新データの電子署名は、カード番号とバー
ジョン番号とサービスデータを合わせた情報に対して、
カード管理者の鍵で生成した電子署名である。ICカード
は取り込んだデータと電子署名の照合を行い、一致した
場合はカード内データを更新する。一致しない場合は更
新を拒否する。これにより、ICカード内のデータが不正
に更新されてしまうことを防止する。

【０００８】図３は、更新結果ファイル105のレコード
構成を示している。更新フラグは更新処理結果を示して
る。更新フラグ領域は、単に更新処理の成功・失敗を示
すだけの場合もあれば、さらに細かく失敗の状況を示す
フラグを定義して格納する場合もある。カード番号は更
新処理を行った当該ICカードを一意に識別する識別子で
ある。バージョン番号は、更新されたデータのバージョ
ンを示している。電子署名は、カード番号とバージョン
番号を含めた情報に対して、ICカード内の更新完了署名
鍵により生成された署名である。この署名を照合するこ
とにより、カード管理サーバーは当該カードのデータが
正しく更新されたことを確認することができる。カード
管理サーバー102は、次回以降発行される失効情報ファ
イルから当該カードのレコードを削除する。

【０００９】図４は、ICカード内データの更新手順を示
すフローチャートである。ステップ401で端末装置103は
ICカード101のカード番号を読み取る。すなわち、端末
装置103からICカード101に読み取りコマンドを通信装置
107を介して送り、ICカード101ではこのコマンドを通信
装置108を介して制御装置109で受取り、管理データ領域
112内のカード番号114を読み取り、通信装置108を介し
て端末装置103に送る。ステップ402で、ICカードから読
み取ったカード番号と、失効情報ファイル内のレコード
のカード番号を比較する。同一のカード番号を持つレコ
ードが存在しなければ、当該ICカードは特に更新する必
要がないと判断できるので、ステップ408に処理を移
し、そのまま通常のサービス業務の処理を行う。存在す
る場合は、ステップ403に処理を移す。ステップ403で、
失効ファイルからレコードを取り出して失効フラグを確
認する。失効フラグが失効状態になっていたら、当該IC
カードは現在使用できない。サービス提供者の定める運
用手順に従って処理を行う。失効フラグが更新を示して
いる場合は、ステップ404に処理を移す。ステップ404
で、レコードから更新要求コードを取り出して通信装置
を介してICカードに送り、ICカード対してカード更新の
認証を要求する。ステップ405で、ICカードは現在の自
分のデータのバージョンと更新要求コードのバージョン
の比較を行う。ICカード内データのバージョンの方が新
しいか同じであれば、データの更新を行う必要はない。
ステップ407に処理を移して、既に更新済みである旨の
更新結果レコードを生成して通信装置107を介して端末
装置103に返信する。ICカード内データの方が古い場合
は更新要求コードの電子署名の認証を行う。電子署名が
正しければ、ステップ406の更新処理に移し、不正なら
ばエラーを通信装置108を介して端末装置103に返す。ス
テップ406で、端末装置103は、ICカード101から更新許
可の応答を受け取り、更新レコード内の更新データより
更新コマンドを生成して通信装置107を介してICカード
に送信する。ICカードはこのコマンドに応じて、サービ
スデータの更新を行う。更新処理の最後に電子署名の認
証を行う。署名が一致したらステップ407に処理を移
す。署名が一致しない場合はサービスデータが改竄され
ている可能性が考えられる。そこで更新を無効化して、
エラーを通信装置108を介して端末装置103に返す。ステ
ップ407でICカード101は更新結果レコードを生成して通
信装置108を介して端末装置103に返信する。端末装置10
3は送られた更新結果レコードにより更新結果ファイル
を更新する。これで更新処理は完了なので、ステップ40
8に処理を移し、サービスの処理を行う。なお、サービ
スデータは盗聴を防ぐために暗号化されており、ICカー
ド内で復号化してからサービスデータ格納領域に書き込
む必要がある。

【００１０】図５は、カード管理サーバー102と端末装
置103との間での失効情報ファイル及び更新結果ファイ
ルをやりとりする手順を示している。図の手順は、1日1
回程度ネットワークに接続を行ってデータをやりとりす
る場合である。媒体交換によりデータを交換する場合
は、単に端末装置に媒体を装着し、失効情報ファイルを
読み取り、更新結果ファイルを書き込むだけである。フ
ァイルのアップロードとダウンロードが完了したら通常
のカード利用業務を行うことができる。ステップ501で
カード端末装置103を起動すると共にネットワークへの
接続を行う。ステップ502でカード管理サーバー102へ接
続を行う。セキュリティを重視する場合はここで端末装
置103の認証を行う。ステップ503でカード管理サーバー
102から最新版の失効情報ファイルを検索して端末装置1
03にダウンロードする。ステップ504で折り返しに端末
装置103が保持している更新結果ファイルをカード管理
サーバー102にアップロードする。一連の処理が正常に
終了したら端末装置103とカード管理サーバー102の接続
を閉じる。ステップ507に移り、続けて業務を行うかど
うか選択する。朝一番の業務開始時に失効情報ファイル
をダウンロードするような運用であれば、ステップ508
に移り業務を行う。通信料金の安い深夜の時間帯を利用
して失効情報ファイルをダウンロードするような運用で
あればそのまま終了する。

【００１１】図６は、カスタマイズした失効情報ファイ
ル104を生成するときの処理システムの全体構成を示し
ている。カード管理サーバー102は、利用者の移動情報
を格納している利用者移動情報ファイル601、利用者に
関する情報を格納している利用者情報ＤＢ602、利用者
のカード利用履歴を格納した利用履歴ＤＢ603、事業所
に関する情報を格納した事業所情報ＤＢ604に接続さ
れ、また、事業所Ａ、Ｂ、Ｃから更新結果ファイル105
を受理し、個別事業所向け失効情報ファイル104Ａ、
Ｂ、Ｃを作成し、事業所605Ａ、Ｂ、Ｃに送る。

【００１２】システムが大規模化すると失効情報ファイ
ルのサイズが極めて大きくなってしまう可能性がある。
失効情報ファイルが大きくなり過ぎると実際にサービス
を行う事業所に配布することが困難となってしまう。そ
こで、失効情報ファイルに含まれる情報のうち、更新情
報を削減することにより失効情報ファイルの肥大化を抑
制する。一般に、利用者が利用する事業所は限られてい
る。多くの利用者は自宅周辺の事業所を利用することが
多く、自宅から遥かに離れた事業所を利用する場合は少
ない。そこで事業所に配布する失効情報ファイルを事業
所ごとにカスタマイズし、当該事業所でサービスを利用
する可能性の高い利用者の更新情報のみを格納するよう
にすれば、失効情報ファイルのサイズを大幅に削減する
ことができる。この場合の判断基準としては以下のよう
なものが考えられる。 (1)当該事業所で過去にサービスを利用した履歴があ
る。 (2)当該事業所の所在地と利用者の住所が近い。 (3)利用歴のある事業所が近くにある。 (4)利用者の勤務先が近くにある。 これらの条件はさらに精密化することができる。例えば
(1)であれば、最近5年程度の履歴に限定すれば、更新情
報を送付しなければならない事業所を限定できる。ま
た、事業所側の設備によって条件を厳しくすることも考
えられる。FDで失効情報ファイルを送付している事業所
であれば、ファイルサイズは厳しく制限される。ISDN回
線で失効情報ファイルを入手してる事業所であれば、比
較的ファイルサイズの制限は緩くなる。判断基準を改良
していけば、更新に失敗するケースをゼロに近づけるこ
とができる。なお、更新情報がなくて更新に失敗した場
合は、更新結果ファイルに書き込んでカード管理サーバ
ーに通知する。更新に失敗した場合は、少なくとも次回
のサービス利用時に確実に更新できるように配慮すべき
である。

【００１３】そこで以下の基準を追加する。 (5)更新に失敗したときは、当該事業所とその近隣事業
所に送付する失効情報ファイルに利用者情報の更新デー
タを入れておく。更新ができなかった場合は、電話等の
手段で利用者の確認をする。オフラインでかつ限られた
計算資源という条件下で更新処理をするので、100％の
利用者のデータを自動更新できるように準備することは
不可能である。しかし、本発明を適用することによりデ
ータを自動更新できる確率を100％に近づけることがで
きれば、電話等の手作業で照会が行われる場合を極めて
少なくすることができる。これにより利用者の資格確認
業務の作業効率を飛躍的に向上することが可能となる。
カード管理サーバー102は、利用者移動情報ファイル60
1、利用者情報DB601や、利用者履歴DB603、事業所情報D
B604から基礎的なデータを得る。各事業所605から送付
される更新結果ファイル105も重要な判断データであ
る。これらの情報を総合して、カード管理サーバー102
は、個別事業所向け失効情報ファイル104を生成する。

【００１４】図７は、各事業所向けにカスタマイズした
失効情報ファイルを生成する手順を示している。手順中
で参照している表の詳細は後で述べる。ステップ701
で、事業所情報DB604から個別事業所の情報を読み取
る。ステップ702で、後述する図８の(ａ)に示す制限表
を参照して個別事業所に対する制限値を求める。ステッ
プ703では、利用者異動情報ファイル601、利用者情報DB
602、利用履歴DB603および更新結果ファイル105から更
新対象になっている利用者に関連する情報、すなわち利
用者に関する各端末装置の利用状況情報、を取り出す。
ステップ704で、取り出した情報と後述する図８の(ｂ)
に示す表を比較して該当する項目を選択する。ステップ
705で、選択した各項目のポイントを合計して、合計ポ
イントを算出する。ステップ706で、合計ポイントと制
限値の比較を行う。合計ポイントが制限値を越えていれ
ばステップ708に処理を移し、越えていなければステッ
プ709に処理を移す。ステップ708では当該利用者の更新
情報を失効情報ファイル104に追加する。ステップ709
で、利用者情報が残っていればステップ703に処理を移
して、前記の手順を繰返す。利用者情報が終わりだった
らステップ710に処理を移す。ステップ710で当該事業所
向けにカスタマイズした失効情報ファイル104を出力す
る。ステップ711ですべての事業所についての処理を終
えたかどうか判断する。事業所が残っていればステップ
701に戻って処理を繰返す。なお、オンライン常時接続
環境を持つ事業所は、サーバーから直接更新情報をダウ
ンロードすることができるので、対象外である。

【００１５】図８は、各事業所向けの失効情報ファイル
に利用者の更新情報を入れるかどうか判定するときに参
照する表の一例である。具体的な付与ポイントや制限ポ
イントはシステムの規模や運用形態に合わせて最適化す
る必要がある。図８の(ａ)に示す制限ポイントは、事業
所側の設備等の要件によって失効情報ファイルのサイズ
が制限される度合いの高さを数値化したものである。通
信速度が遅くなるほどファイルサイズを制限しなくては
ならない。特にFDでファイルを送付する場合は、物理的
にサイズの上限が決められている。一定ポイント以上の
更新情報のみを失効情報ファイルに取り込むことによ
り、失効情報ファイルのサイズを押さえる。すなわち、
図７のステップ705で得られた利用者の合計ポイントが
ステップ702で得られた制限値を越える場合に、この利
用者に対する更新情報のみを失効情報ファイルに取り込
む。

【００１６】図８の(ｂ)に示す付与ポイントは、失効情
報ファイルに利用者の更新情報を入れる必要性の高さを
数値化したものである。ポイントが高いほどカード更新
の必要が発生する可能性が高いと考えられる。まず考慮
しなければならないのは更新の失敗である。これは、利
用者のカードデータを更新しようとしたのだが、失効情
報ファイル内に更新情報がなかったために更新できなか
った場合である。少なくとも次回の利用時には確実に更
新できるように配慮しなければならない。表中では、実
際に利用した事業所と近隣の事業所に更新情報が配布さ
れるように高いポイントを配している。次に考慮すべき
は利用歴である。一度利用した事業所には再び利用する
可能性が高いと考えられる。特に最近利用した事業所を
再び訪れる可能性は高い。これらの事業所に高いポイン
トを配する。３番目に考慮すべきは、利用者の住所と事
業所の距離である。遠くの事業所より近隣の事業所を利
用する可能性の方が高い。表では市町村、都道府県を区
切りとしてポイントを配している。４番目は利用者の勤
務先と事業所の距離である。会社勤務者の場合、会社の
近くにある事業所を利用する可能性が高い。ここでも市
町村、都道府県を区切りとしてポイントを配している。
この他に、時節によってポイントの配分を変えることも
考えられる。行楽シーズンになると観光地を訪れる人が
多くなるので、観光地に隣接する事業所はポイントを多
めに変更する。特定のイベントがある場合も近隣事業所
のポイントを多めに変更する。上記のそれぞれのケース
毎に付与ポイントを定めている。

【００１７】図９は、事業所におけるカスタマイズした
失効情報ファイルによるデータ更新手順を示している。
ステップ901で事業所は最初にカードの認証を行う。認
証方式はサービスの特性に応じて事業者が判断する。ス
テップ902で認証の結果により処理を分岐する。認証に
失敗したら、正しいカードとは見なされないので、サー
ビスを提供することはできない。ステップ912に移りサ
ービスの提供を拒否する。認証に成功したらステップ90
3に処理を移す。ステップ903で失効情報ファイルの検索
を行う。失効情報ファイルに利用者のカードが載ってい
なければ、カードは有効である。ステップ911に遷移
し、サービスを提供する。失効情報ファイルに利用者の
カードが載っていれば、ステップ904に処理を移し、失
効情報ファイルを検索して当該カードの更新情報（図２
における更新レコードでの更新要求コード及び更新デー
タ）が存在するかどうか検索する。更新情報が存在する
場合は、ステップ905に処理を移し、カードの更新を行
い、ステップ906に処理を移し、更新結果ファイルにカ
ード更新作業のログを記録し、ステップ907に処理を移
し、更新済みのカードの情報を読み取り、これで資格が
確認できればステップ911に処理を移し、サービスの提
供を行う。更新情報が存在しない場合は、ステップ909
に処理を移し、更新に失敗したことを更新結果ファイル
に記録する。本処理方式では、更新情報を抜粋して事業
所に提供しているため、更新できない可能性もある。ス
テップ910では、電話等の別の手段で利用者管理部門に
利用者の資格を照会する。これで資格が確認できれば、
ステップ911に遷移してサービスを提供することができ
る。資格が失効している場合はステップ912に遷移す
る。

【００１８】

【発明の効果】本発明により、オフライン環境であって
も携帯可能な個人情報処理装置に格納されたデータを更
新することができる。

【図面の簡単な説明】

【図１】本発明の実施形態であるシステムの全体構成を
示す図である。

【図２】失効情報ファイルに格納されるデータのレコー
ド構成を示す図である。

【図３】更新結果ファイルのレコード構成を示す図であ
る。

【図４】ICカード内データの更新手順を示すフローチャ
ートである。

【図５】カード管理サーバー102と端末装置103との間で
の失効情報ファイル及び更新結果ファイルの転送手順を
示すフローチャートである。

【図６】カスタマイズした失効情報ファイル104を生成
するときの処理システムの全体構成を示す図である。

【図７】各事業所向けにカスタマイズした失効情報ファ
イルを生成する手順を示すフローチャートである。

【図８】各事業所向けの失効情報ファイルに利用者の更
新情報を入れるかどうか判定するときに参照する表の一
例を示す図である

【図９】事業所におけるカスタマイズした失効情報ファ
イルによるデータ更新手順を示すフローチャートであ
る。

【符号の説明】

１０１ ＩＣカード １０２ カード管理サーバー １０３ 端末装置 １０４ 失効情報ファイル １０５ 更新結果ファイル １０６ 端末の制御装置 １０７ 端末の通信装置 １０８ ＩＣカードの通信装置 １０９ ＩＣカードの制御装置 １１０ ＩＣカードの暗号装置 １１１ ＩＣカードの認証装置 １１２ ＩＣカード管理データの格納領域 １１３ サービスで使用するデータの格納領域 １１４ ＩＣカードの識別番号 １１５ ＩＣカードのバージョン番号 １１６ 更新処理レコードの正当性を確認する認証鍵 １１７ 更新フラグ １１８ 更新データの正当性を確認する認証鍵 １１９ 更新完了を示すデータに署名を付けるための鍵 ６０１ 利用者資格異動情報ファイル ６０２ 利用者情報ＤＢ ６０３ 利用履歴ＤＢ ６０４ 事業所情報ＤＢ。所在地やサービス専門分野を
含む。 ６０５ 個別の事業所

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｇ０６Ｆ 17/60 ５１０ Ｇ０６Ｆ 17/60 ５１０ Ｇ０６Ｋ 19/07 Ｈ０４Ｌ 9/00 ６７５Ｂ Ｈ０４Ｌ 9/32 Ｇ０６Ｋ 19/00 Ｎ Ｆターム(参考） 5B035 AA00 BB09 CA11 5B058 CA01 CA25 KA02 KA04 KA08 KA31 KA35 YA20 5B085 AE12 BG04 5J104 AA09 KA05 MA01 NA33

Claims (3)

【特許請求の範囲】
1. 【請求項１】個人情報処理装置との間でデータの転送を
   行う端末装置において、 該端末装置は、失効情報ファイルと更新結果ファイルの
   格納手段と、制御手段と、転送データの受信／送信手段
   を有し、 前記制御手段は、個人情報処理装置から転送された個人
   情報処理装置番号に対応する更新レコードが前記失効情
   報ファイルに存在する場合、該更新レコード内の電子署
   名を有する更新情報を個人情報処理装置に前記受信／送
   信手段を用いて転送する手段と、前記個人情報処理装置
   から該個人情報処理装置おける該更新情報による更新処
   理の更新結果を示す電子署名を有する更新結果レコード
   の転送を受け該更新結果レコードを前記更新結果ファイ
   ルに格納する手段を有することを特徴とする端末装置。
2. 【請求項２】 端末装置との間でデータの転送を行う個
   人情報処理装置において、 該個人情報処理装置は、制御手段と、転送データの受信
   ／送信手段と、認証手段と、記憶手段を有し、 前記制御手段は、前記端末装置から転送された電子署名
   を有する更新情報を前記認証手段により認証し、認証し
   た更新情報により前記記憶手段に格納されている情報を
   更新する手段と、更新結果の情報に電子署名を付した更
   新結果レコードを生成し、該更新結果レコードを端末装
   置に前記受信／送信手段を用いて転送する手段を有する
   ことを特徴とする個人情報処理装置。
3. 【請求項３】 夫々の端末装置に格納する失効情報ファ
   イルを作成する失効情報ファイル作成装置であって、 記録媒体の種類に対して割り当てられる制限ポイントと
   １以上の端末装置を利用する個人情報処理装置所有者
   （以下、利用者という）の各端末装置の利用状況に対し
   て割り当てられる付与ポイントを蓄積した記憶手段と、 利用者に関する情報及び利用者の夫々の端末装置の利用
   履歴情報を蓄積したＤＢから指定された利用者に関する
   各端末装置の利用状況情報を取得する第１の手段と、 各端末装置で作成された更新結果ファイルから指定され
   た利用者に関する各端末装置の利用状況情報を取得する
   第２の手段と、 失効情報ファイルを作成される端末装置の種類に対応す
   る前記制限ポイントを前記記憶手段から取得する第３の
   手段と、 前記第１の手段及び第２の手段で取得した指定された利
   用者に関する各端末装置の利用状況情報の夫々に対応す
   る付与ポイントを前記記憶手段から取得し、夫々の付与
   ポイントを合計し合計付与ポイントを算出する第４の手
   段と、 前記算出した合計付与ポイントが前記取得した制限ポイ
   ントを越えるとき、指定された利用者の利用者情報を失
   効情報ファイルに追加する手段を有することを特徴とす
   る失効情報ファイル作成装置。