JP2004133948A - 通信販売方法 - Google Patents

Abstract

【課題】発注者プライバシー保護可能な通信販売方法。
【解決手段】発注者ｉは、発注商品コードを、２つの暗号鍵で二重暗号化し、２つの暗号鍵を、中継部門ｂ、商品部門ｃ向けに暗号化し、暗号化商品コード、２つの暗号鍵、発注者識別子を受付部門ａに送る。受付部門ａは、暗号化発注内容、照会番号Ｒｅｆ１を中継部門ｂに送る。中継部門ｂは、中継部門向け暗号鍵を復号し、二重暗号化商品コードを一部復号し、一部復号商品コード、商品部門向け暗号鍵、照会番号Ｒｅｆ２を商品部門ｃへ送る。商品部門ｃは、商品部門向け暗号鍵を復号し、商品コードを復号し、発注商品名を知る。商品部門ｃは、対応商品を暗号化し、価格、Ｒｅｆ２と共に中継部門ｂに送る。中継部門ｂは、暗号化商品を暗号化し、価格、Ｒｅｆ１と共に受付部門ａに送る。受付部門ａは、Ｒｅｆ１から発注者ｉを特定し、商品の対価を発注者ｉの銀行口座から引き落とし、暗号化商品を発注者ｉに送る。
【選択図】図１

Description

　本発明は、通信販売方法に関し、より特定的には、通信ネットワークを用いて、商品の発注と流通を行う方法に関する。

　近年、市場ではカタログを用いた通信販売による物品の売買が盛んになってきており、徐々に販売高を伸ばしている。また、パーソナルコンピュータ（以下、パソコンと略称する）通信などのネットワーク網が普及してきており、電話における口頭での受け渡しではどうしても間違いが出るような大量かつ詳細な情報も、パソコン通信では正確に伝えられることもあって、パソコン通信を用いた通信ネットワークを用いた通信販売が、大いに発展しつつある。特に、コンピュータの業務用ソフトウェアやゲーム用ソフトウェア、そしてマルチメディア電子百科辞典などの電子的商品が、頻繁に取り引きされている。さらに、パソコン通信、ディジタルＣＡＴＶ網、Ｂ−ＩＳＤＮ網などの通信ネットワークを用いた通信販売網で、電子的商品の販売や情報サービスの提供が多く行われつつある。この場合、もちろん無形商品である電子的商品は、発注を受けたネットワーク網を介して発注者の元に送られる。

　図１５は、従来の通信ネットワークを用いた通信販売システムの構成を示す図である。図１５において、初めに、各発注者５は、販売会社６に、名前とパソコン通信アドレスと振替指定銀行口座などを記した通信販売システム申込書を送り、銀行には、販売会社から正当な請求があった場合には、その口座から口座所有者の許可なしに振り替えても構わないという内容の契約書を送っておく。この手続きにより、発注者５は、本システムにおける発注者識別子ＵＩＤを得る。

　図１５において、発注者５と販売会社６は、パソコン通信でつながっている。発注者５は、電子的商品を販売会社６に発注し、販売会社６から送られてくる電子的商品を受け取る物品購入装置５０を所持している。当該物品購入装置５０は、例えばパソコンのソフトウェアとして実現される。また、電子的商品としては、パソコン上で利用できるコンピュータソフトウェアやマルチメディアソフトウェアなどが考えられる。また販売会社６には、発注者から送られてくる発注情報を受け取る受付装置６０と、電子的商品を保管しておく商品保管部６１と、各発注者の識別子，パソコン通信アドレスおよび振替指定銀行口座等を保管しておく個人データ格納部６２と、価格などの商品データを格納している商品データ格納部６３とが設けられている。

　発注者は、物品購入装置５０に欲しい電子的商品の商品コードＰＩＤを入力する。応じて、物品購入装置５０は、発注者の識別子ＵＩＤと商品コードＰＩＤを、パソコン通信を介して販売会社６に送信する。

　販売会社６では、受付装置６０が、発注者から送られてきた識別子ＵＩＤと商品コードＰＩＤとを受信する。次に、受付装置６０は、商品コードＰＩＤに対応する電子的商品ＰＤＴを商品保管部６０から取り出すと共に、商品データ格納部６３を検索して電子的商品ＰＩＤに対応する価格Ｐｒを求める。次に、受付装置６０は、送られてきた識別子ＵＩＤをもとに、個人データ格納部６２から、対応する発注者のパソコン通信アドレスと、振替指定銀行口座とを読み出す。次に、受付装置６０は、価格Ｐｒを発注者の振替指定銀行口座から販売会社の口座へ振り替えしてもらうように、銀行に依頼する。次に、受付装置６０は、パソコン通信アドレスを参照して、発注者に発注を受けた商品ＰＤＴを送信する。

　発注者においては、物品発注装置５０が、発注した電子的商品ＰＤＴを受け取り、当該受け取った電子的商品ＰＤＴをパソコンなどのハードディスクに保存して使用する。

　なお、販売する商品が電子的商品でない場合にも、パソコン通信を用いて商品の発注を行い、販売会社は発注者の住所へ物理的な手段で発送することにより、商品の売買を行うことができる。

　しかしながら、上記従来の通信販売システムでは、通信ネットワークを用いて商品の転送を行う必要性がある以上、通信の相手先を特定する必要がある。また、銀行振替やクレジットカードシステムなどの代金回収方法を用いようとすると、当然発注者を特定しなくてはならない。従って、販売会社に「誰が何を買ったか」という情報が伝わってしまうという特性がある。旧来の店頭での現金による物品販売では、発注者である購入者が名前を提示する必要がなく、販売店が「誰が買っているのか」は完全にはわからなかったことに比較し、上述の特性は通信ネットワークを用いた通信販売を実現するにあたって大きな問題点である。現在、各個人のプライバシの保護が大きく叫ばれており、この問題点は、通信ネットワークを用いた通信販売システムの普及に影響を及ぼすものと思われる。

　それゆえに、本発明の目的は、発注者が通信ネットワークを介して商品を注文購入する際に、発注者のプライバシ（例えば、「誰が何を買ったか」という情報）を確実に保護でき、しかもクレジットカードや銀行引き落しなどの既存の決裁システムをそのまま使用できる通信販売システムを提供することである。

　請求項１に係る発明は、通信ネットワークを介して接続される複数の物品購入装置、受付装置、中継装置、および商品発送装置を包含するシステムを用いて、実体的商品の発注と流通とを行うための通信販売方法であって、
　物品購入装置が、電子データから成る鍵を発生する鍵発生ステップと、
　物品購入装置が、鍵を用いて、商品の発注内容を暗号化する発注内容暗号化ステップと、
　物品購入装置が、鍵を暗号化する鍵暗号化ステップと、
　物品購入装置が、暗号化された商品の発注内容に、暗号化された鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する第１の送信ステップと、
　受付装置が、物品購入装置から送信されてくるデータを受信する第１の受信ステップと、
　受付装置が、第１の受信ステップで受信した本人確認情報が、正当なものであるか否かを確認する確認ステップと、
　受付装置が、確認ステップによって本人確認情報が正当なものであると確認された場合、第１の受信ステップで受信した暗号化された商品の発注内容と暗号化された鍵とに、発注者の識別情報とは異なる仮名情報を付加して、商品発送装置に送信する第２の送信ステップと、
　受付装置が、発注者の識別情報と仮名情報との対応関係を対応関係記憶手段に記憶する対応関係記憶ステップと、
　商品発送装置が、受付装置から送信されてくるデータを受信する第２の受信ステップと、
　商品発送装置が、第２の受信ステップで受信した暗号化された鍵を復号する鍵復号ステップと、
　商品発送装置が、復号された鍵を用いて、第２の受信ステップで受信した暗号化された商品の発注内容を復号する発注内容復号ステップと、
　受付装置が、前記商品発送装置から送られてくる仮名情報に基づいて、対応関係記憶手段に記憶している対応関係を参照して、対応する発注者を特定する物品購入装置特定ステップと、を備える。

　請求項２に係る発明は、請求項１の発明において、第２の送信ステップでは、受付装置は、注文毎に、相異なる仮名情報を使用することを特徴とする。

　請求項３に係る発明は、通信ネットワークを介して接続される複数の物品購入装置、受付装置、中継装置、および商品発送装置を包含するシステムを用いて、実体的商品の発注と流通とを行うための通信販売方法であって、
　物品購入装置が、電子データから成る第１および第２の鍵を発生する鍵発生ステップと、
　物品購入装置が、第１および第２の鍵を用いて、商品の発注内容を２重に暗号化する発注内容暗号化ステップと、
　物品購入装置が、前記第１および第２の鍵を、それぞれ別個に暗号化する鍵暗号化ステップと、
　物品購入装置が、前記２重に暗号化された商品の発注内容に、暗号化された第１および第２の鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する第１の送信ステップと、
　受付装置が、物品購入装置から送信されてくるデータを受信する第１の受信ステップと、
　受付装置が、第１の受信ステップで受信した本人確認情報が、正当なものであるか否かを確認する確認ステップと、
　受付装置が、確認ステップによって前記本人確認情報が正当なものであると確認された場合、第１の受信ステップで受信した前記２重に暗号化された商品の発注内容と暗号化された第１および第２の鍵とに、発注者の識別情報とは異なる第１の仮名情報を付加して、中継装置に送信する第２の送信ステップと、
　受付装置が、発注者の識別情報と前記第１の仮名情報との対応関係を第１の対応関係記憶手段に記憶する第１の対応関係記憶ステップと、
　中継装置が、受付装置から送信されてくるデータを受信する第２の受信ステップと、
　中継装置が、第２の受信ステップで受信した暗号化された第１の鍵を復号する第１の鍵復号ステップと、
　中継装置が、復号された第１の鍵を用いて、第２の受信ステップで受信した２重に暗号化された商品の発注内容を、部分的に復号する第１の発注内容復号ステップと、
　中継装置が、部分的に復号された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報を付加して、商品発送装置に送信する第３の送信ステップと、
　中継装置が、第１の仮名情報と前記第２の仮名情報との対応関係を第２の対応関係記憶手段に記憶する第２の対応関係記憶ステップと、
　商品発送装置が、中継装置から送信されてくるデータを受信する第３の受信ステップと、
　商品発送装置が、第３の受信ステップで受信した暗号化された第２の鍵を復号する第２の鍵復号ステップと、
　商品発送装置が、復号された第２の鍵を用いて、第３の受信ステップで受信した部分的に復号された商品の発注内容を全面的に復号する第２の発注内容復号ステップと、
　中継装置が、商品発送装置から送られてくる第２の仮名情報に基づいて、第２の対応関係記憶手段に記憶している対応関係を参照して、当該第２の仮名情報に対応する第１の仮名情報を特定する仮名情報特定ステップと、
　受付装置が、中継装置から送られてくる第１の仮名情報に基づいて、第１の対応関係記憶手段に記憶している対応関係を参照して、対応する発注者を特定する物品購入装置特定ステップと、を備える。

　請求項４に係る発明は、第２の送信ステップでは、受付装置は、注文毎に、相異なる第１の仮名情報を使用し、
　第３の送信ステップでは、中継装置は、注文毎に、相異なる第２の仮名情報を使用することを特徴とする。

　請求項１に係る発明によれば、受付装置は、物品購入装置が発注した商品の内容を暗号化された状態でしか見ることができず、いかなる商品が発注されたかを知ることができない。また、商品発送装置は、暗号化された商品の発注内容に、発注者の識別情報とは異なる仮名情報が付加されて送られてくるので、誰が商品を発注したかを知ることができない。したがって、受付装置と商品装置とが結託しない限り、販売側では「誰が何を買ったのか」を把握することができず、結果として発注者のプライバシーを有効に保護することができる。また、物品購入装置から受付装置に送られる商品の発注内容には、本人確認情報が付加されるため、受付装置で本人確認を行うことにより、クレジットカードや銀行引き落しなどの既存の決裁システムをそのまま使用することができる。
　したがって、請求項１の発明を、実体的商品の梱包・発送等の物流と併せることにより、発注者のプライバシーの保護を図ることができる。

　請求項２の発明によれば、第２の送信ステップにおいて、仮名情報として、各注文毎に異なる情報を使用しているので、仮名情報と発注者との対応関係を突き止めるような不正を有効に防止することができる。

　請求項３の発明によれば、受付装置は、発注者の発注した商品の内容を暗号化された状態でしか見ることができないので、いかなる商品が発注されたかを知ることができない。また、中継装置は、発注者の発注した商品の内容を暗号化された状態でしか見ることができないので、いかなる商品が発注されたかを知ることができない。さらに、中継装置は、暗号化された商品の発注内容に、発注者の識別情報とは異なる第１の仮名情報が付加されて送られてくるので、どの発注者が商品を発注したかを知ることができない。また、商品発送装置は、暗号化された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報が付加されて送られてくるので、どの発注者が商品を発注したかを知ることができない。したがって、受付装置と中継装置と商品装置とが結託しない限り、販売側では「誰が何を買ったのか」を把握することができず、結果として発注者のプライバシーを有効に保護することができる。なお、受付装置と商品装置が結託しようとしても、両装置の持っている情報を結び付ける情報がないので、結託しようがない。したがって、結託によるプライバシーの侵害を有効に防止することができる。また、物品購入装置から受付装置に送られる商品の発注内容には、本人確認情報が付加されるため、受付装置で本人確認を行うことにより、クレジットカードや銀行引き落しなどの既存の決裁システムをそのまま使用することができる。
　したがって、請求項３の発明を、実体的商品の梱包・発送等の物流と併せることにより、発注者のプライバシーの保護を図ることができる。

　請求項４の発明によれば、第２の送信ステップにおいて、注文毎に異なる第１の仮名情報を使用し、さらに、第３の送信ステップにおいて、注文毎に異なる第２の仮名情報を使用しているので、第１および第２の仮名情報と発注者との対応関係を突き止めるような不正をさらに有効に防止することができる。

　図１は、本発明の一実施例に係る通信ネットワークを用いた通信販売システムの構成を示すブロック図である。図１において、本実施例のネットワークを用いた通信販売システムは、複数の発注者ｉと販売会社から成り立っている。販売会社は、受付部門ａ、中継部門ｂ、商品部門ｃとに分かれており、各部門は独立に業務を遂行しており、各部門間で情報の公開は無いものとする。また、本システムに加入している発注者ｉには、各個人を識別できる発注者識別子ＩＤｉが付与されている。また、本実施例の通信ネットワークを用いた通信販売システムは、商品として、ゲームや業務用のソフトウェア、マルチメディア情報などの電子的商品を取り扱うものとする。

　図１において、発注者ｉは、販売会社の受付部門ａとパソコン通信でつながっていて、双方向に情報をやりとりする。受付部門ａは、発注者ｉおよび中継部門ｂとパソコン通信でつながっていて、双方向に情報をやりとりする。中継部門ｂは、受付部門ａおよび商品部門ｃとパソコン通信でつながっていて、双方向に情報をやりとりする。商品部門ｃは、中継部門ｂとパソコン通信でつながっていて、双方向に情報をやりとりする。

　次に、図１に示す通信販売システムの概略的な動作を説明する。まず、発注者ｉは、欲しい商品の商品コードを二重に暗号化し、それを解読するための２つの暗号鍵をそれぞれ、中継部門ｂ、商品部門ｃ向けに暗号化する。そして、発注者ｉは、二重に暗号化された商品コードと、中継部門ｂおよび商品部門ｃ向けに暗号化した暗号鍵とを合わせた暗号化発注内容を、発注者の識別子と共に、販売会社の受付部門ａに送る。受付部門ａは、発注者ｉから送られてきた情報、すなわち暗号化発注内容を、そのまま、照会番号（仮名情報）Ｒｅｆ１と共に、中継部門ｂに送る。中継部門ｂは、受付部門ａから送られてきた暗号化発注内容の内、中継部門ｂ向けに暗号化された暗号鍵を復号し、それを用いて二重に暗号化されている商品コードを一部復号する。そして、中継装置ｂは、一部復号された暗号化された商品コードと、商品部門ｃ向けに暗号化された暗号鍵とを合わせて、照会番号Ｒｅｆ２と共に、商品部門ｃへ送る。商品部門ｃは、商品部門ｃ向けに暗号化された暗号鍵を復号し、当該復号された暗号鍵を用いて、暗号化されている商品コードを復号する。これによって、発注されている商品名を知ることができる。

　次に、商品部門ｃは、復号した商品コードに対応する商品そのものを暗号化し、当該暗号化された商品を、その価格および照会番号Ｒｅｆ２と共に、中継部門ｂに送る。中継部門ｂは、商品部門ｃから送られてきた暗号化商品をさらに暗号化し、当該二重に暗号化された商品を、その価格および照会番号Ｒｅｆ１と共に、受付部門ａに送る。受付部門ａは、照会番号Ｒｅｆ１から発注者ｉを対応づけ、商品の価格に等しい金額を発注者ｉの銀行口座から引き落とし、また中継部門ｂから送られてきた暗号化商品を、通信ネットワークを介して発注者ｉに送る。発注者ｉは、受付部門ａから送られてきた暗号化商品を復号し、発注した商品を手に入れる。

　図２は、図１に示す発注者ｉが所持している物品購入装置１０の構成の一例を示すブロック図である。図２において、この物品購入装置１０は、制御部１０１と、ＲＯＭ１０２と、ＲＡＭ１０３と、入力操作器１０４と、表示器１０５と、商品カタログ格納部１０６と、乱数発生部１０７と、秘密鍵保管部１０８と、通信部１０９と、発注データ格納部１１０とを備えている。

　ＲＯＭ１０２には、プログラムデータと、受付部門ａの公開鍵、中継部門ｂの公開鍵、商品部門ｃの公開鍵が格納され、制御部１０１は、このプログラムデータに従って動作する。ＲＡＭ１０３は、制御部１０１の動作に必要な種々のデータを記憶する。入力操作器１０４は、発注者によって操作されるキーボードやマウス等を含み、制御部１０１に種々のデータや指示を入力する。表示器１０５は、ＣＲＴディスプレイや液晶表示器によって構成され、制御部１０１から与えられる画像データを表示する。商品カタログ格納部１０６は、受付部門ａから定期的に送られてくる電子的な画像データを含む商品カタログを格納する。乱数発生部１０７は、発注内容の暗号化に必要な２つの乱数を生成する。秘密鍵保管部１０８は、発注者ｉ固有の秘密鍵を保管する。ただし秘密鍵は外部から読み出すことはできない。通信部１０９は、受付部門ａとパソコン通信でつながっており、各入力されたデータを送受信する。発注データ格納部１１０は、商品発注データをやりとりする際に必要なデータを記憶している。

　図３は、図１に示す受付部門ａに設けられている受付装置２０の構成の一例を示すブロック図である。図３において、この受付装置２０は、制御部２０１と、ＲＯＭ２０２と、ＲＡＭ２０３と、個人データ格納部２０４と、秘密鍵保管部２０５と、通信部２０６と、発注データ格納部２０７と、照会番号発行部２０８とを備えている。

　ＲＯＭ２０２には、プログラムデータならびに中継部門ｂの公開鍵が格納され、制御部２０１は、このプログラムデータに従って動作する。ＲＡＭ２０３は、制御部２０１の動作に必要な種々のデータを記憶する。個人データ格納部２０４には、本システムに加入している全ユーザの公開鍵、パソコン通信アドレス、銀行口座などの個人情報が、個人識別子と組にされて保管されている。秘密鍵保管部２０５は、受付部門ａ固有の秘密鍵を保管する。ただし秘密鍵は外部から読み出すことはできない。通信部２０６は、各発注者および中継部門ｂと、パソコン通信でつながっており、各入力されたデータを送受信する。発注データ格納部２０７は、商品発注データをやりとりをする際に必要なデータを記憶している。照会番号発行部２０８は、商品発注データのやりとりをする際に必要な照会番号を発行する。

　図４は、図１に示す中継部門ｂに設けられている中継装置３０の構成の一例を示すブロック図である。図４において、この受付装置３０は、制御部３０１と、ＲＯＭ３０２と、ＲＡＭ３０３と、秘密鍵保管部３０４と、通信部３０５と、発注データ格納部３０６と、照会番号発行部３０７とを備えている。

　ＲＯＭ３０２には、プログラムデータならびに受付部門ａの公開鍵が格納され、制御部３０１は、このプログラムデータに従って動作する。ＲＡＭ３０３は、制御部３０１の動作に必要な種々のデータを記憶する。秘密鍵保管部３０４は、受付部門ｂ固有の秘密鍵を保管する。ただし秘密鍵は外部から読み出すことはできない。通信部３０５は、受付部門ａと、商品部門ｃと、パソコン通信でつながっており、各入力されたデータを送受信する。発注データ格納部３０６は、商品発注データをやりとりをする際に必要なデータを記憶している。照会番号発行部３０７は、商品発注データのやりとりをする際に必要な照会番号を発行する。

　図５は、図１に示す商品部門ｃに設けられた商品発送装置４０の構成の一例を示すブロック図である。図５において、この商品発送装置４０は、制御部４０１と、ＲＯＭ４０２と、ＲＡＭ４０３と、秘密鍵保管部４０４と、通信部４０５と、発注データ格納部４０６と、商品データ格納部４０７と、商品保管部４０８とを備えている。

　ＲＯＭ４０２には、プログラムデータならびに中継部門ｂの公開鍵が格納され、制御部４０１は、このプログラムデータに従って動作する。ＲＡＭ４０３は、制御部４０１の動作に必要な種々のデータを記憶する。秘密鍵保管部４０４は、受付部門ｃ固有の秘密鍵を保管する。ただし秘密鍵は外部から読み出すことはできない。通信部４０５は、中継部門ｂと、パソコン通信でつながっており、各入力されたデータを送受信する。発注データ格納部４０６は、商品発注データをやりとりをする際に必要なデータを記憶している。商品データ格納部４０７は、各商品の価格などが格納されている。商品保管部４０８は、商品部門ｃが販売する全電子的商品が記録されている。ただし外部から読み出すことはできない。

　図６は、図１に示す通信ネットワークを用いた通信販売システム全体の動作を示すシーケンスチャートである。図７は、図１の物品購入装置１０の商品発注時の動作を示すフローチャートである。図８は、図１の受付装置２０の発注受付時の動作を示すフローチャートである。図９は、図１の中継装置３０の発注中継時の動作を示すフローチャートである。図１０は、図１の商品発送装置４０の動作を示すフローチャートである。図１１は、図１の中継装置３０の商品中継時の動作を示すフローチャートである。図１２は、図１の受付装置２０の商品発送時の動作を示すフローチャートである。図１３は、図１の物品購入装置１０の商品受取時の動作を示すフローチャートである。以下、これら図６〜１３を参照して、上記実施例の動作を説明する。

　各発注者ｉは、本システム加入時に、システム管理者に対して名前，パソコン通信アドレス，振替指定銀行口座などを書いたシステム加入申込書を送る。また同時に、振替指定銀行口座のある銀行に対して、銀行に受付部門ａから正当な料金振替請求があった場合には、銀行は発注者ｉの許可なしで振り替えできる、という内容の契約書を送っておく。システム管理者は、発注者ｉから送られてきたシステム加入申込書の内容の確認を行い、確認が取れた場合、発注者ｉに個人識別子ＩＤｉと、発注者毎に異なりかつ秘密にしておく必要のある秘密鍵などを格納した物品購入装置１０を配布（貸与、販売）する。また、システム管理者は、受付部門ａに、発注者ｉの個人識別子ＩＤｉと、公開鍵ｐｉと、振替指定口座とを組にして伝え、受付部門ａは、そのデータを図１の受付装置１０内にある個人データ格納部２０４（図３参照）に格納しておく。

　システム管理者は、各発注者ｉ、中継部門ｂ、商品部門ｃに対して、秘密鍵暗号アルゴリズムＦと秘密鍵復号アルゴリズムＦ−１を配布しておく。このとき、鍵Ｋを用いて秘密鍵暗号アルゴリズムＦによりデータＸを暗号化した関数Ｆ（Ｋ，Ｘ）を復号できるのは、秘密鍵復号アルゴリズムＦ−１と鍵Ｋの双方を保持しているものに限られる。すなわち、
　　Ｘ＝Ｆ−１（Ｋ，Ｆ（Ｋ，Ｘ））
が成立する。

　次に、システム管理者は、各発注者ｉに対して、公開鍵暗号アルゴリズムＥと、中継部門ｂおよび商品部門ｃの公開鍵ｐｂおよびｐｃとを配布し、中継部門ｂおよび商品部門ｃに対して、公開鍵復号アルゴリズムＤと、各自の秘密鍵ｓｂおよびｓｃとを配布する（公開鍵，秘密鍵は、商品部門毎に異なる）。このとき、ｙ（ｙは、ｂかｃのいずれか）の公開鍵ｐｙを用いて公開鍵暗号アルゴリズムＥによりデータＸを暗号化した関数Ｅ（ｐｙ，Ｘ）を復号できるのは、公開鍵復号アルゴリズムＤと秘密鍵ｓｙを保持しているものに限られる。すなわち、
　　Ｘ＝Ｄ（ｓｙ，Ｅ（ｐｙ，Ｘ））
が成立する。また、秘密鍵ｓｙは、ｙしか知らない。また、各公開鍵ｐｙから対応する秘密鍵ｓｙは類推できない。

　また、システム管理者は、各発注者ｉ、受付部門ａ、中継部門ｂ、商品部門ｃに対して、署名生成アルゴリズムｓｉｇｎおよび署名確認アルゴリズムｖｅｒｉｆｙと、受付部門ａ，中継部門ｂ，商品部門ｃの公開鍵とを配布する（先に公開鍵暗号アルゴリズムの説明の時に述べた公開鍵・秘密鍵の値と同じである）。このとき、データＸに対して自分の秘密鍵ｓｙ（ｙは、ｉ、ａ、ｂ、ｃのいずれか）を用いて署名生成アルゴリズムｓｉｇｎにより作成した電子署名ｓｉｇｎ（ｓｙ，Ｘ）は、秘密鍵ｓｙを保持していないと作成できない。また、ｙの公開鍵ｐｙと署名確認アルゴリズムｖｅｒｉｆｙとを用いることにより、電子署名ｓｉｇｎ（ｓｙ，Ｘ）が、確かにｙの作成したデータＸに対する電子署名であるか否かを確認できる。

　各発注者ｉ、受付部門ａ、中継部門ｂ、商品部門ｃにおいては、配布されたアルゴリズムと各公開鍵とが、各装置の内部にあるＲＯＭ１０２、２０２、３０２、４０２にそれぞれ格納してある。また、各自の秘密鍵は、各装置内部の秘密鍵保管部１０８、２０５、３０４、４０４に保管され、外部からは読み出しできない。

　なお、秘密鍵暗号アルゴリズム、公開鍵暗号アルゴリズム、署名生成アルゴリズムに関しては、「現代暗号理論」池野信一・小山謙二著（電子通信学会）に詳しく述べられているので、それを参照されたい。

　以下の処理は、ある発注者ｉが、商品コードＰＩＤの電子的商品ＰＤＴを購入する場合の処理について述べている。

　発注者ｉには、定期的に受付部門ａから電子カタログが送付されてきて、商品カタログ格納部１０６に格納されている。発注者ｉは、商品カタログ格納部１０６に格納されている電子カタログが、表示器１０５に表示されるのを見て、欲しいと思った商品があった場合、入力操作器１０４で画面をマークすることにより、購入商品を選択してその結果を制御部１０１に入力する（図７のステップＳ１０１）。なお、購入商品の選択方法には、これ以外にも種々の方法（例えば、キー入力）を取り得ることを指摘しておく。次に、制御部１０１は、入力された購入商品に対応する商品コードＰＩＤを、商品カタログ格納部１０６から読みとる（ステップＳ１０２）。

　次に、制御部１０１は、乱数発生部１０７を用いて２つの乱数ｒｂ，ｒｃを発生する（ステップＳ１０３）。次に、制御部１０１は、ＲＯＭ１０２から秘密鍵暗号アルゴリズムＦを読み込み、発生された乱数ｒｂ，ｒｃを鍵として、商品コードＰＩＤを次のように二重暗号化する（ステップＳ１０４）。
　まず、ｒｃを鍵としてＰＩＤを暗号化する。
　　　　Ｆ（ｒｃ，ＰＩＤ）
　さらに、上記データＦ（ｒｃ，ＰＩＤ）を、ｒｂを鍵として暗号化する。
　　　　Ｆ（ｒｂ，Ｆ（ｒｃ，ＰＩＤ））

　次に、制御部１０１は、ＲＯＭ１０２から、公開鍵暗号アルゴリズムＥと、中継部門ｂの公開鍵ｐｂと、購入しようとしている商品を販売する商品部門ｃの公開鍵ｐｃとを読み込み、下式（１）のように乱数ｒｂを公開鍵ｐｂを用いて公開鍵暗号アルゴリズムＥにより暗号化し、下式（２）のように乱数ｒｃを公開鍵ｐｃを用いて公開鍵暗号アルゴリズムＥにより暗号化する（ステップＳ１０５）。　　Ｅ（ｐｂ，ｒｂ）　　…（１）
　　Ｅ（ｐｃ，ｒｃ）　　…（２）

　次に、制御部１０１は、Ｆ（ｒｂ，Ｆ（ｒｃ，ＰＩＤ））、Ｅ（ｐｂ，ｒｂ）、Ｅ（ｐｃ，ｒｃ）を連結して、下式（３）のように、暗号化発注内容ＥＯｒｄ１を生成する（ステップＳ１０６）。
　　ＥＯｒｄ１＝Ｆ（ｒｂ，Ｆ（ｒｃ，ＰＩＤ））‖
　　　　　　　　Ｅ（ｐｂ，ｒｂ）‖Ｅ（ｐｃ，ｒｃ）　…（３）
ただし、上式（３）において、‖は情報の連結を表している。

　次に、制御部１０１は、秘密鍵保管部１０８から発注者ｉの秘密鍵ｓｉを、そしてＲＯＭ１０２から署名生成アルゴリズムｓｉｇｎを、それぞれ読み取り、下式（４）を用いて、ＥＯｒｄ１に対する電子署名を生成する（ステップＳ１０７）。
　　ｓｉｇｎ（ｓｉ，ＥＯｒｄ１）　　…（４）
ここで、データＸと、データＸに対するｙの電子署名ｓｉｇｎ（ｓｙ，Ｘ）の連結を、Ｘ［ｙ］で簡単に表すことにする。すなわち、
　　Ｘ［ｙ］＝Ｘ‖ｓｉｇｎ（ｓｙ，Ｘ）
となる。

　次に、制御部１０１は、個人識別子ＩＤｉとＥＯｒｄ１［ｉ］とを、通信部１０９からパソコン通信を用いて、受付部門ａに送信する（ステップＳ１０８）。

　受付部門ａは、パソコン通信を用いて発注者ｉから送られてきたデータＩＤｉとＥＯｒｄ１［ｉ］とを、図３の通信部２０６を介して受信する（図８のステップＳ２０１）。次に、受付装置２０の制御部２０１は、送られてきたデータのＩＤｉから対応する公開鍵ｐｉを、個人データ格納部２０４から検索して、読み出す（ステップＳ２０２）。次に、制御部２０１は、ＲＯＭ２０２から署名確認アルゴリズムｖｅｒｉｆｙを読み出し、ＥＯｒｄ１［ｉ］の電子署名ｓｉｇｎ（ｓｉ，ＥＯｒｄ１）がＥＯｒｄ１に対する発注者ｉの電子署名であるか否かを、下式（５）を用いて確認する（ステップＳ２０３）。
　　ｖｅｒｉｆｙ（ｐｉ，ｓｉｇｎ（ｓｉ，ＥＯｒｄ１））　　…（５）
制御部２０１は、電子署名の正当性が確認できれば、ステップＳ２０４へ進み、確認できない場合は、署名の正当性が確認できなかった旨を、通信部２０６を介して発注者ｉへ伝える（ステップＳ２０５）。

　次に、制御部２０１は、照会番号発行部２０８を用いて照会番号Ｒｅｆ１を発行する（ステップＳ２０４）。次に、制御部２０１は、Ｒｅｆ１，ＩＤｉ，ＥＯｒｄ１［ｉ］を組にして、発注データ格納部２０７に格納する（ステップＳ２０６）。次に、制御部２０１は、ＲＯＭ２０２から署名生成アルゴリズムｓｉｇｎを、そして秘密鍵保管部２０５から秘密鍵ｓａを、それぞれ読み出し、次式（６）を用いて、照会番号Ｒｅｆ１に対する電子署名を生成する（ステップＳ２０７）。
　　ｓｉｇｎ（ｓａ，Ｒｅｆ１）　　…（６）

　次に、制御部２０１は、Ｒｅｆ１［ａ］を受付番号として、発注者ｉに、通信部２０６からパソコン通信を用いて送信する（ステップＳ２０８）。

　発注者は、受付部門ａから送られてきたＲｅｆ１［ａ］と、暗号化発注内容ＥＯｒｄ１と、２つの乱数ｒｂ，ｒｃとを組にして、発注データ格納部１１０に保管する。

　次に、受付部門ａの制御部２１０は、照会番号Ｒｅｆ１と暗号化発注内容ＥＯｒｄ１とを連結したものに対して、次式（７）を用いて、電子署名を施す（ステップＳ２０９）。
　　ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＯｒｄ１）　　…（７）
次に、制御部２０１は、（Ｒｅｆ１‖ＥＯｒｄ１）［ａ］を、中継部門ｂに、通信部２０６からパソコン通信を用いて送信する（ステップＳ２１０）。

　中継部門ｂは、パソコン通信を用いて受付部門ａから送られてきたデータ（Ｒｅｆ１‖ＥＯｒｄ１）［ａ］を、図４の通信部３０５を介して受信する（図９のステップＳ３０１）。中継装置３０の制御部３０１は、ＲＯＭ３０２から、署名確認アルゴリズムｖｅｒｉｆｙと、受付部門ａの公開鍵ｐａとを読み出し、（Ｒｅｆ１‖ＥＯｒｄ１）［ａ］の電子署名ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＯｒｄ１）が、（Ｒｅｆ１‖ＥＯｒｄ１）に対する受付部門ａの電子署名であるか否かを、次式（８）を用いて確認する（ステップＳ３０２）。
　　ｖｅｒｉｆｙ（ｐａ，ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＯｒｄ１））…（８）制御部３０１は、電子署名の正当性が確認できればステップＳ３０３へ進み、確認できない場合は、通信部３０５を介して受付部門ａへ署名の正当性が確認できなかった旨を伝える（ステップＳ３０４）。

　次に、制御部３０１は、ＥＯｒｄ１からＥ（ｐｂ，ｒｂ）を取り出し、秘密鍵保管部３０４から秘密鍵ｓｂを、そしてＲＯＭ３０２から公開鍵復号アルゴリズムＤを読み込み、次式（９）に示すように、Ｅ（ｐｂ，ｒｂ）を鍵ｓｂを用いてＤにより復号し、ｒｂを得る（ステップＳ３０３）。
　　Ｄ（ｓｂ，Ｅ（ｐｂ，ｒｂ））＝ｒｂ　　…（９）
次に、制御部３０１は、ＲＯＭ３０２から秘密鍵復号アルゴリズムＦ−１を読み出し、次式（１０）に示すように、ＥＯｒｄ１のＦ（ｒｂ，Ｆ（ｒｃ，ＰＩＤ））をｒｂを用いて一部だけ復号する（ステップＳ３０５）。
　　Ｆ−１（ｒｂ，Ｆ（ｒｂ，Ｆ（ｒｃ，ＰＩＤ）））
　　＝Ｆ（ｒｃ，ＰＩＤ）　　…（１０）

　次に、制御部３０１は、Ｆ（ｒｃ，ＰＩＤ）とＥＯｒｄ１のＥ（ｐｃ，ｒｃ）とを連結して、次式（１１）で示されるＥＯｒｄ２を生成する（ステップＳ３０６）。
　　ＥＯｒｄ２＝Ｆ（ｒｃ，ＰＩＤ）‖Ｅ（ｐｃ，ｒｃ）　　…（１１）

　次に、制御部３０１は、照会番号発行部３０７を用いて、照会番号Ｒｅｆ２を発行する（ステップＳ３０７）。次に、制御部３０１は、（Ｒｅｆ１‖ＥＯｒｄ１）［ａ］と、照会番号Ｒｅｆ２とを組にして、発注データ格納部３０６に格納する（ステップＳ３０７）。次に、制御部３０１は、ＲＯＭ３０２から署名生成アルゴリズムｓｉｇｎを読み出し、Ｒｅｆ２とＥＯｒｄ２とを連結したものに対して、次式（１２）を用いて、電子署名を施す（ステップＳ３０９）。
　　ｓｉｇｎ（ｓｂ，Ｒｅｆ２‖ＥＯｒｄ２）　　…（１２）

　次に、制御部３０１は、（Ｒｅｆ２‖ＥＯｒｄ２）［ｂ］を、商品部門ｃに、通信部３０５からパソコン通信を用いて送信する（ステップＳ３１０）。

　商品部門ｃは、パソコン通信を用いて中継部門ｂから送られてきたデータ（Ｒｅｆ２‖ＥＯｒｄ２）［ｂ］を、図５の通信部４０５を介して受信する（図１０のステップＳ４０１）。商品発送装置４０の制御部４０１は、ＲＯＭ４０２から、署名確認アルゴリズムｖｅｒｉｆｙと、中継部門ｂの公開鍵ｐｂとを読み出し、（Ｒｅｆ２‖ＥＯｒｄ２）［ｂ］の電子署名ｓｉｇｎ（ｓｂ，Ｒｅｆ２‖ＥＯｒｄ２）が、（Ｒｅｆ２‖ＥＯｒｄ２）に対する中継部門ｂの電子署名であるか否かを、次式（１３）を用いて確認する（ステップＳ４０２）。
　　ｖｅｒｉｆｙ（ｐｂ，ｓｉｇｎ（ｓｂ，Ｒｅｆ２‖ＥＯｒｄ２））
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　…（１３）
制御部４０１は、電子署名の正当性が確認できればステップＳ４０３へ進み、確認できない場合は、通信部４０５を介して中継部門ｂへ署名の正当性が確認できなかった旨を伝える（ステップＳ４０４）。

　次に、制御部４０１は、ＥＯｒｄ２からＥ（ｐｃ，ｒｃ）を取り出し、秘密鍵保管部４０４から秘密鍵ｓｃを、そしてＲＯＭ４０２から公開鍵復号アルゴリズムＤを読み込み、Ｅ（ｐｃ，ｒｃ）を鍵ｓｃを用いてＤにより復号し、次式（１４）で示されるｒｃを得る（ステップＳ４０３）。
　　Ｄ（ｓｃ，Ｅ（ｐｃ，ｒｃ））＝ｒｃ　　…（１４）
次に、制御部４０１は、ＲＯＭ４０２から秘密鍵復号アルゴリズムＦ−１を読み出し、ＥＯｒｄ２のＦ（ｒｃ，ＰＩＤ）をｒｃだけを用いて次式（１５）のように復号する（ステップＳ４０５）。
Ｆ−１（ｒｃ，Ｆ（ｒｃ，ＰＩＤ））＝ＰＩＤ　　…（１５）
次に、制御部４０１は、（Ｒｅｆ２｜｜ＥＯｒｄ２）［ｂ］を、発注データ格納部４０６に格納する（ステップＳ４０６）。

　次に、制御部４０１は、ＰＩＤの価格Ｐｒを商品データ格納部４０６から読み出し（ステップＳ４０７）、商品保管部４０８からＰＩＤが対応する電子的商品ＰＤＴを取り出す（ステップＳ４０８）。次に、制御部４０１は、ＲＯＭ４０２から秘密鍵暗号アルゴリズムＦを読み込み、ＰＤＴを鍵ｒｃを用いてＦにより暗号化することにより、次式（１６）で示されるＥＰＤＴ１を生成する（ステップＳ４０９）。
　　ＥＰＤＴ１＝Ｆ（ｒｃ，ＰＤＴ）　　…（１６）

　次に、制御部４０１は、ＲＯＭ４０２から署名生成アルゴリズムｓｉｇｎを読み込み、Ｒｅｆ２、ＥＤＰＴ１、Ｐｒを連結したものに対して、次式（１７）で示されるような電子署名を作成する（ステップＳ４１０）。
　　ｓｉｇｎ（ｓｃ，Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）　　…（１７）

　次に、制御部４０１は、（Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）［ｃ］を、中継部門ｂに、通信部４０５からパソコン通信を用いて送信する（ステップＳ４１１）。

　中継部門ｂは、パソコン通信を用いて商品部門ｃから送られて来たデータ（Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）［ｃ］を、図４の通信部３０４を介して受信する（図１１のステップＳ５０１）。中継装置３０の制御部３０１は、ＲＯＭ３０２から、署名確認アルゴリズムｖｅｒｉｆｙと、商品部門ｃの公開鍵ｐｃとを読み出し、（Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）［ｃ］の電子署名ｓｉｇｎ（ｓｃ，Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）が、（Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）に対する商品部門ｃの電子署名であるか否かを、次式（１８）を用いて確認する（ステップＳ５０２）。
　　ｖｅｒｉｆｙ（ｐｃ，ｓｉｇｎ（ｓｃ，Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ））
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　…（１８）
制御部４０１は、電子署名の正当性が確認できればステップＳ５０３へ進み、確認できない場合は、通信部３０５を介して商品部門ｃへ署名の正当性が確認できなかった旨を伝える（ステップＳ５０４）。

　次に、制御部３０１は、送られてきた（Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）［ｃ］に含まれている照会番号Ｒｅｆ２に基づいて、発注データ格納部３０６を検索し、当該照会番号Ｒｅｆ２と共に記録されている（Ｒｅｆ１‖ＥＯｒｄ１）［ａ］から、図９のステップＳ３０３と同じようにして、乱数ｒｂを取り出す（ステップＳ５０３）。

　次に、制御部３０１は、ＲＯＭ３０２から秘密鍵暗号アルゴリズムＦを読み出し、鍵ｒｂを用いて、ＥＰＤＴ１を暗号化し、次式（１９）で示されるＥＰＤＴ２を生成する（ステップＳ５０５）。
　　ＥＰＤＴ２＝Ｆ（ｒｂ，ＥＰＤＴ１）
　　　　　　　＝Ｆ（ｒｂ，Ｆ（ｒｃ，ＰＤＴ））　　…（１９）

　次に、制御部３０１は、ＲＯＭ３０２から署名生成アルゴリズムｓｉｇｎを、秘密鍵保管部３０４から秘密鍵ｓｂを、それぞれ読み出し、照会番号Ｒｅｆ２と共に記録されている（Ｒｅｆ１‖ＥＯｒｄ１）［ａ］から取り出した照会番号Ｒｅｆ１と、商品部門から送られてきたＥＰＤＴ２とＰｒとを連結した（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）に対し、次式（２０）を用いて、電子署名を施す（ステップＳ５０６）。
　　ｓｉｇｎ（ｓｂ，Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）　　…（２０）

　次に、制御部３０１は、商品部門ｃから送られてきた（Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）［ｃ］を、（Ｒｅｆ１‖ＥＯｒｄ１）［ａ］と組にして発注データ格納部３０６に格納する（ステップＳ５０７）。次に、制御部３０１は、（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）［ｂ］を、受付部門ａに、通信部３０５からパソコン通信を用いて送信する（ステップＳ５０８）。

　受付部門ａは、パソコン通信を介して中継部門ｂから送られてきたデータ（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）［ｂ］を、図３の通信部２０６を介して受信する（図１２のステップＳ６０１）。受付装置２０の制御部２０１は、ＲＯＭ２０２から、署名確認アルゴリズムｖｅｒｉｆｙと、中継部門ｂの公開鍵ｐｂとを読み出し、（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）［ｂ］の電子署名ｓｉｇｎ（ｓｂ，Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）が、（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）に対する中継部門ｂの電子署名であるか否かを、次式（２１）を用いて確認する（ステップＳ６０２）。
　　ｖｅｒｉｆｙ（ｐｂ，ｓｉｇｎ（ｓｂ，Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ））
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　…（２１）
制御部２０１は、電子署名の正当性が確認できればステップＳ６０３へ進み、確認できない場合は、通信部２０６を介して中継部門ｂへ署名の正当性が確認できなかった旨を伝える（ステップＳ６０４）。

　次に、制御部２０１は、発注データ格納部２０７を検索して、中継部門ｂから送られてきた（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）［ｂ］からＲｅｆ１を取り出し、（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）［ｂ］を、ＩＤｉおよびＥＯｒｄ１［ｉ］と組にして、発注データ格納部２０７に記録する（ステップＳ６０３）。

　次に、制御部２０１は、ＲＯＭ２０２から署名生成アルゴリズムｓｉｇｎを、秘密鍵保管部２０５から秘密鍵ｓａを、それぞれ取り出し、Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒに対する電子署名を、次式（２２）を用いて生成する（ステップＳ６０５）。
　　ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）　　…（２２）

　次に、制御部２０１は、照会番号Ｒｅｆ１とともに発注データ格納部２０７に格納されている個人識別子ＩＤｉを求め、そして当該ＩＤｉに対応するパソコン通信アドレスを個人データ格納部２０４から検索し、発注者ｉに、（Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）［ａ］を、通信部２０６からパソコン通信を用いて送信する（ステップＳ６０６）。

　発注者ｉは、パソコン通信を介して受付部門ａから送られてきたデータ（Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）［ａ］を、図２の通信部１０９を介して受信する（図１３のステップＳ７０１）。物品購入装置１０の制御部１０１は、ＲＯＭ１０２から、署名確認アルゴリズムｖｅｒｉｆｙと、受付部門ａの公開鍵ｐａとを読み出し、（Ｒｅｆ１‖ＥＤＰＴ２‖ＺＰｒ）［ａ］の電子署名ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）が、（Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）に対する受付部門ａの電子署名であるか否かを、次式（２３）を用いて確認する（ステップＳ７０２）。
　　ｖｅｒｉｆｙ（ｐａ，ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ））
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　…（２３）
制御部１０１は、電子署名の正当性が確認できればステップＳ７０３へ進み、確認できない場合は、通信部１０９を介して受付部門ａへ署名の正当性が確認できなかった旨を伝える（ステップＳ７０４）。

　次に、制御部１０１は、送られてきた（Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）［ａ］からＲｅｆ１を取り出し、発注データ格納部１１０に格納されているＲｅｆ１［ａ］を検索し、その中で発注した商品の価格と、送られてきた（Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）［ａ］のＰｒとが一致するかどうか確かめる（ステップＳ７０３）。制御部１０１は、一致した場合は、ステップＳ７０５へ進み、一致しなかった場合は、通信部１０９を介して受付部門ａへ値段が違うとアピールする（ステップＳ７０６）。

　制御部１０１は、ＲＯＭ１０２から署名生成アルゴリズムｓｉｇｎを、秘密鍵保管部１０８から秘密鍵ｓｉを、それぞれ読み出し、Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒに対する電子署名を次式（２４）を用いて生成し、商品受取票Ｒｅｃｅｉｐｔとする（ステップＳ７０５）。
　　Ｒｅｃｅｉｐｔ＝ｓｉｇｎ（ｓｉ，Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　…（２４）
次に、制御部１０１は、商品受取票ＲｅｃｅｉｐｔをＲｅｆ１と共に、通信部１０９からパソコン通信を用いて、受付部門ａに送信する（ステップＳ７０７）。

　次に、制御部１０１は、ＲＯＭ１０２から秘密鍵復号アルゴリズムＦ−１を読み出し、Ｒｅｆ１と組にして発注データ保管部に保管されている２つの乱数ｒｂ，ｒｃを読み出す。そして、制御部１０１は、次式（２５）のように、鍵ｒｂをＦ−１に代入することにより、ＥＰＤＴ２を復号し、ＥＰＤＴ１を得る（ステップＳ７０８）。
　　Ｆ−１（ｒｂ，ＥＰＤＴ２）＝ＥＰＤＴ１　　…（２５）
次に、制御部１０１は、鍵ｒｃをＦ−１に代入することにより、ＥＰＤＴ１を復号し、発注した電子的商品ＰＤＴを得る（ステップＳ７０９）。
　　Ｆ−１（ｒｃ，ＥＰＤＴ１）＝ＰＤＴ　　…（２６）

　なお、復号した商品ＰＤＴが発注したものと異なる場合は、制御部１０１は、パソコン通信を使って受付部門ａに商品違いをアピールする（ステップＳ７１０）。

　受付部門ａにおいて、制御部２０１は、発注者ｉ送られてきたＲｅｆ１が発注データ格納部２０７に記録されているかどうかを検索し、発注者ｉから送られてきたＲｅｃｅｉｐｔを、Ｒｅｆ１と共に格納されているＩＤｉ、ＥＯｒｄ１［ｉ］、（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）と組にして保管する。そして、制御部２０１は、発注者ｉの予め登録されている振替指定銀行口座から、商品ＰＤＴの価格Ｐｒを引き落とし受付部門ａの口座に振替えるように、銀行に依頼する。

　次に、以上説明した通信ネットワークを用いた通信販売システムにおいて、「誰が何を買ったのかわからない」というプライバシー保護が実現できていることについて述べる。まず初めに、受付部門ａ、中継部門ｂ、商品部門ｃの３つ全てが結託しないと「誰が何を買った」という情報がわからないことを示す。その後、各手続きにおいて、発注者ｉ、受付部門ａ、中継部門ｂ、商品部門ｃが通常の手続きをしなかった場合の対策についても述べる。

　図１４は、先に説明した通信ネットワークを用いた通信販売システムにおいて、受付部門ａ、中継部門ｂ、商品部門ｃのそれぞれが、各手続きにおいて登場する情報のどれを知っているかを示している。○はその情報を保持していて、×は保持していないことを示している。

　発注者ｉの個人識別子ＩＤｉは、受付部門ａしか知らず、商品名ＰＩＤは商品部門ｃしか知らない。これは、商品に関する情報は、受付部門ａ、中継部門ｂでは暗号化された状態で処理されるからである。しかも、受付部門ａと商品部門ｃが共有している情報は、商品の価格Ｐｒしかないので、商品の価格がほとんど均一でしかも情報量が多いならば、仮に受付部門ａと商品部門ｃが互いに自分の持つ情報を相手に渡したとしても、それぞれが保持する情報を結び付ける情報がない。すなわち「誰が何を買ったのか」がわからない。また、中継部門ｂには、商品に関する情報も、発注者ｉに関する情報も無いので、受付部門ａ、商品部門ｃのいずれかと、互いに自分の持つ情報を相手に渡したとしても、「誰が何を買ったのか」がわからない。したがって、「誰が何を買った」という情報がわかるためには、受付部門ａ、中継部門ｂ、商品部門ｃの３つが結託し、互いに自分の持つ情報を相手に渡すことが必要となる。各部門が正常な組織倫理に基づいて運用される限り、３部門共が結託する可能性は非常に小さい。よって、「誰が何を買ったのかわからない」というプライバシー保護が実現できている。すなわち、発注者は匿名で通信ネットワークを介して商品を注文購入できる。

　次に、各手続きにおいて、発注者ｉ、受付部門ａ、中継部門ｂ、商品部門ｃ（以下、単にまとめてセクションと呼ぶ）が通常の手続きをしなかった場合の対策について述べる。ここで、通常の手続きをしないとは、送られてきた情報を処理して次の手続きへ送る際に、情報を改ざんしたりすることである。たとえば、先に説明した通信ネットワークを用いた通信販売システムにおいて、受付部門ａが発注者ｉから受け付けた暗号化発注内容ＥＯｒｄ１の内容の全部または一部を別のものにするといった場合がある。

　各手続きにおいて、各セクションが、送られてきた情報を書き替えて次の手続きへ送った場合は、各手続きにおいて情報を送る時に、そのセクションしか作成できない電子署名を一緒に送付している。電子署名は、送信途中で内容が改ざんされた場合でも署名確認時に判明する。すなわち、各セクションの発注データ格納部には、送られてきた情報とその電子署名が格納されているため、その情報を元にたどっていけば誰が情報を書き換えたかが判明する。したがって、各セクションは、情報を無断で書き換えることができない。

　以上説明したように、上記実施例の通信ネットワークを用いた通信販売システムにおいては、「誰が何を買ったのかわからない」というプライバシー保護が実現できていて、発注者ｉ、受付部門ａ、中継部門ｂ、商品部門ｃのいずれかが通常の手続きをしなかった場合も、そのような手続きをどの部門で行ったかが特定できる。

　なお、上記実施例においては、発注者ｉ、受付部門ａ、中継部門ｂ、商品部門ｃの双方向通信を、パソコン通信を用いて行なっているが、デジタルＣＡＴＶ網、Ｂ−ＩＳＤＮなどの双方向通信が行なえる他の通信ネットワークを採用してもよく、この場合も上記実施例と同様の効果が得られる。

　また、上記実施例においては、発注者ｉから受付部門ａへの商品代金の受渡しを、システム申込時に振替指定銀行口座をシステム管理者に知らせ、受付部門ａがその振替指定銀行口座から受付部門ａの口座へ振り替えてもらうように銀行に依頼することで実現しているが、システム加入時に予め発注者ｉが加入しているクレジットカード部門の会員番号を知らせ、受付部門ａは商品代金を指定されたクレジット部門から立て替え払いしてもらうことで実現してもよく、この場合も上記実施例と同様の効果が得られる。

　また、上記実施例においては、受付部門ａと商品部門ｃとの間に中継部門ｂを設定しているが、中継部門を省略することもできる。この場合、受付部門ａは発注者が誰であるかを特定できるが、発注内容ならびに商品そのものは暗号化されているので何を買ったのかを特定できない。また、商品部門ｃは、何を買ったのかは特定できるが、受付部門ａから送られてくる照会番号は発注者とは対応づけられない。すなわち、誰が買ったのかを特定できない。よって、この場合も、いずれの部門も、単独では「誰が何を買ったのか」がわからず、プライバシー保護が実現できている。

　また、上記実施例においては、購入する商品を電子的商品としたが、電子的ではない一般的な商品に対しても、プライバシを保護する本発明の通信ネットワークを用いた通信販売システムを適用することが可能である。ただし、この場合、上記実施例の手続きを若干手変更する必要がある。このことを以下に述べる。

　発注者ｉが商品を発注して、その発注情報を受付部門ａが受け付けて、中継部門ｂを介して、商品部門ｃにパソコン通信を用いて送るところまでは同じである。しかしながら、電子的ではない一般的な商品は暗号化できないので、商品部門ｃは、商品を物理的に包装した後、商品部門ｃしか持っていない用紙で封印をして、当該封印された商品をＲｅｆ２と共に、中継部門ｂに物理的に送る。中継部門ｂでは、送られてきた商品部門ｃの封印のついた商品を、さらに包装し、中継部門ｂしか持っていない用紙で封印する。そして、当該二重に封印された商品を、Ｒｅｆ２に対応するＲｅｆ１と共に受付部門ａに物理的に送る。受付部門ａは、二重に封印された商品を、発注者ｉに物理的に届ける。また、上記実施例においては、商品部門ｃから中継部門ｂおよび受付部門ａを介して、発注者ｉに商品を送付する際に、電子署名を付加して送信しているが、この点は、物品受領書と通常の印鑑に変わる。

　上記のように、電子的ではない一般的な商品に対しても、プライバシを保護する本発明の通信ネットワークを用いた通信販売システムを適用することが可能である。

　また、上記実施例においては、中継部門を１つとして説明したが、中継部門を複数設けたシステム、すなわち第１〜第ｎ（ｎは２以上の整数）の中継部門を揺するシステムにも本発明を適用することが可能である。ただし、この場合、上記実施例の手続きを若干変更する必要があるので、以下にこのことを述べる。

　上記実施例における中継部門ｂは、第１の中継部門ｂ１が代わる。この時、第１の中継部門ｂ１から直接に商品部門ｃに、
　　（Ｒｅｆ２‖ＥＯｒｄ２）［ｂ１］
を送るのではなく、第２の中継部門ｂ２から第ｎの中継部門ｂｎを介して送られる。すなわち、第ｍの中継部門ｂｍから第（ｍ＋１）の中継部門ｂ（ｍ＋１）へは、
　　（Ｒｅｆ（ｍ＋１）‖ＥＯｒｄ２）［ｂｍ］
が送信される。ただし、Ｒｅｆ（ｍ＋１）は、第（ｍ＋１）の照会番号である。また、Ｒｅｆ１からＲｅｆ（ｎ＋１）までは、各値がすべて異なる。そして、第ｎの中継部門ｂｎから商品部門ｃへは、
　　（Ｒｅｆ（ｎ＋１）‖ＥＯｒｄ２）［ｂｎ］
が送られる。商品部門ｃでは、受信した（Ｒｅｆ（ｎ＋１）‖ＥＯｒｄ２）［ｂｎ］からＰＩＤを得て、ＰＤＴを暗号化し、
　　（Ｒｅｆ（ｎ＋１）‖ＥＰＤＴ１‖Ｐｒ）［ｃ］
を第ｎの中継部門ｂｎへ送信する。また、第ｍの中継部門ｂｍから第（ｍ−１）の中継部門ｂ（ｍ−１）へは、
　　（Ｒｅｆ（ｍ＋１）‖ＥＰＤＴ１‖Ｐｒ）［ｂｍ］
が送信される。そして、第１の中継部門ｂ１から受付部門ａには、
　　（Ｒｅｆ２‖ＥＰＤＴ１‖Ｐｒ）［ｂ１］
が送信される。以下の手順は、上記実施例と同じである。この場合のプライバシーの安全性は、上記実施例の安全性のところで述べたように、各部門の結託の可能性に依存しており、その可能性は上記実施例に比べて低くなる。

　また、上記実施例では、受付部門ａ、中継部門ｂ、商品部門ｃを、１つの会社内に設けるようにしたが、これら各部門を別会社として組織するようにしてもよい。

　以上、説明した実施例には、少なくともさらに以下の発明が包含されている。

　第１に係る発明は、複数の発注者、受付部門、商品部門を結ぶ通信ネットワークを用いて、電子的商品の発注と流通を行う通信販売システムであって、
　発注者、受付部門および商品部門には、それぞれ、物品購入装置、受付装置および商品発送装置が設けられており、
　物品購入装置は、
　　電子データから成る鍵を発生する鍵発生手段と、
　　鍵を用いて、商品の発注内容を暗号化する発注内容暗号化手段と、
　　鍵を暗号化する鍵暗号化手段と、
　　暗号化された商品の発注内容に、暗号化された鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する第１の送信手段とを含み、
　受付装置は、
　　物品購入装置から送信されてくるデータを受信する第１の受信手段と、
　　第１の受信手段が受信した本人確認情報が、正当なものか否かを確認する確認手段と、
　　確認手段によって本人確認情報が正当なものと確認された場合、第１の受信手段が受信した暗号化された商品の発注内容と暗号化された鍵とに、発注者の識別情報とは異なる仮名情報を付加して、商品発送装置に送信する第２の送信手段と、
　　発注者の識別情報と仮名情報との対応関係を記憶する対応関係記憶手段とを含み、
　商品発送装置は、
　　受付装置から送信されてくるデータを受信する第２の受信手段と、
　　第２の受信手段が受信した暗号化された鍵を復号する鍵復号手段と、
　　復号された鍵を用いて、第２の受信手段が受信した暗号化された商品の発注内容を復号する発注内容復号手段と、
　　電子的商品を保管する商品保管手段と、
　　復号された商品の発注内容に基づいて、商品保管手段を検索し、対応する電子的商品を読み出す読み出し手段と、
　　読み出し手段により読み出された電子的商品を、復号された鍵を用いて暗号化する商品暗号化手段と、
　　暗号化された電子的商品を、第２の受信手段が受信した仮名情報と共に、受付装置に送信する第３の送信手段とを含み、
　受付装置は、さらに
　　商品発送装置から送信されてくるデータを受信する第３の受信手段と、
　　第３の受信手段が受信した仮名情報に基づいて、対応関係記憶手段を検索することにより、対応する発注者を特定する発注者特定手段と、
　　第３の受信手段が受信した暗号化された電子的商品を、発注者特定手段により特定された発注者の物品購入装置に送信する第４の送信手段とを含み、
　物品購入装置は、受付装置から送られてきた暗号化された電子的商品を復号する手段をさらに含んでいる。

　第２に係る発明は、第１の発明において、
　仮名情報としては、各注文毎に異なる情報が使用されることを特徴とする。

　第３に係る発明は、複数の発注者、受付部門、中継部門、商品部門を結ぶ通信ネットワークを用いて、電子的商品の発注と流通を行う通信販売システムであって、
　発注者、受付部門、中継部門および商品部門には、それぞれ、物品購入装置、受付装置、中継装置および商品発送装置が設けられており、
　物品購入装置は、
　　電子データから成る第１および第２の鍵を発生する鍵発生手段と、
　　第１および第２の鍵を用いて、商品の発注内容を２重に暗号化する発注内容暗号化手段と、
　　第１および第２の鍵を、それぞれ別個に暗号化する鍵暗号化手段と、
　　２重に暗号化された商品の発注内容に、暗号化された第１および第２の鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する第１の送信手段とを含み、
　受付装置は、
　　物品購入装置から送信されてくるデータを受信する第１の受信手段と、
　　第１の受信手段が受信した本人確認情報が、正当なものか否かを確認する確認手段と、
　　確認手段によって本人確認情報が正当なものと確認された場合、第１の受信手段が受信した２重に暗号化された商品の発注内容と暗号化された第１および第２の鍵とに、発注者の識別情報とは異なる第１の仮名情報を付加して、中継装置に送信する第２の送信手段と、
　　発注者の識別情報と第１の仮名情報との対応関係を記憶する第１の対応関係記憶手段とを含み、
　中継装置は、
　　受付装置から送信されてくるデータを受信する第２の受信手段と、
　　第２の受信手段が受信した暗号化された第１の鍵を復号する第１の鍵復号手段と、
　　復号された第１の鍵を用いて、第２の受信手段が受信した２重に暗号化された商品の発注内容を、部分的に復号する第１の発注内容復号手段と、
　　部分的に復号された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報を付加して、商品発送装置に送信する第３の送信手段と、
　　第１の仮名情報と第２の仮名情報との対応関係を記憶する第２の対応関係記憶手段とを含み、
　商品発送装置は、
　　中継装置から送信されてくるデータを受信する第３の受信手段と、
　　第３の受信手段が受信した暗号化された第２の鍵を復号する第２の鍵復号手段と、
　　復号された第２の鍵を用いて、第３の受信手段が受信した部分的に復号された商品の発注内容を全面的に復号する第２の発注内容復号手段と、
　　電子的商品を保管する商品保管手段と、
　　全面的に復号された商品の発注内容に基づいて、商品保管手段を検索し、対応する電子的商品を読み出す読み出し手段と、
　　読み出し手段により読み出された電子的商品を、復号された第２の鍵を用いて暗号化する第１の商品暗号化手段と、
　　第２の鍵を用いて暗号化された電子的商品を、第３の受信手段が受信した第２の仮名情報と共に、中継装置に送信する第４の送信手段とを含み、
　中継装置は、さらに
　　商品発送装置から送信されてくるデータを受信する第４の受信手段と、
　　第４の受信手段が受信した暗号化された電子的商品を、対応する第１の鍵を用いて２重に暗号化する第２の商品暗号化手段と、
　　第４の受信手段が受信した第２の仮名情報に基づいて、第２の対応関係記憶手段を検索し、当該第２の仮名情報に対応する第１の仮名情報を特定する仮名情報特定手段と、
　　第２の鍵を用いて２重に暗号化された電子的商品を、仮名情報特定手段により特定された第１の仮名情報と共に、受付装置に送信する第５の送信手段とを含み、
　受付装置は、さらに
　　中継装置から送信されてくるデータを受信する第５の受信手段と、
　　第５の受信手段が受信した第１の仮名情報に基づいて、第１の対応関係記憶手段を検索することにより、対応する発注者を特定する発注者特定手段と、
　　第５の受信手段が受信した２重に暗号化された電子的商品を、発注者特定手段により特定された発注者の物品購入装置に送信する第６の送信手段とを含み、　物品購入装置は、受付装置から送られてきた暗号化された電子的商品を復号する手段をさらに含んでいる。

　第４に係る発明は、第３の発明において、
　第１および第２の仮名情報としては、各注文毎に異なる情報が使用されることを特徴とする。

　第５に係る発明は、複数の発注者、受付部門、ｎ個（ｎは２以上の整数）の中継部門、商品部門を結ぶ通信ネットワークを用いて、電子的商品の発注と流通を行う通信販売システムであって、
　発注者、受付部門、中継部門および商品部門には、それぞれ、物品購入装置、受付装置、中継装置および商品発送装置が設けられており、
　物品購入装置は、
　　電子データから成る第１および第２の鍵を発生する鍵発生手段と、
　　第１および第２の鍵を用いて、商品の発注内容を２重に暗号化する発注内容暗号化手段と、
　　第１および第２の鍵を、それぞれ別個に暗号化する鍵暗号化手段と、
　　２重に暗号化された商品の発注内容に、暗号化された第１および第２の鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する第１の送信手段とを含み、
　受付装置は、
　　物品購入装置から送信されてくるデータを受信する第１の受信手段と、
　　第１の受信手段が受信した本人確認情報が、正当なものか否かを確認する確認手段と、
　　確認手段によって本人確認情報が正当なものと確認された場合、第１の受信手段が受信した２重に暗号化された商品の発注内容と、暗号化された第１および第２の鍵とに、発注者の識別情報とは異なる第１の仮名情報を付加して、第１番目の中継部門に属する中継装置に送信する第２の送信手段と、
　　発注者の識別情報と第１の仮名情報との対応関係を記憶する第１の対応関係記憶手段とを含み、
　第１番目の中継部門に属する中継装置は、
　　受付装置から送信されてくるデータを受信する第２の受信手段と、
　　第２の受信手段が受信した暗号化された第１の鍵を復号する第１の鍵復号手段と、
　　復号された第１の鍵を用いて、第２の受信手段が受信した２重に暗号化された商品の発注内容を、部分的に復号する第１の発注内容復号手段と、
　　部分的に復号された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報を付加して、第２番目の中継装置に属する中継装置に送信する第３の送信手段と、
　　第１の仮名情報と第２の仮名情報との対応関係を記憶する第２の対応関係記憶手段とを含み、
　第ｍ番目（ｍは、２≦ｍ≦ｎ−１の整数）の中継部門に属する中継装置は、
　　第（ｍ−１）番目の中継部門に属する中継装置から送信されてくるデータを受信する第３の受信手段と、
　　第３の受信手段が受信した部分的に復号された商品の発注内容に、第ｍの仮名情報とは異なる第（ｍ＋１）の仮名情報を付加して、第（ｍ＋１）番目の中継部門に属する中継装置に送信する第４の送信手段と、
　　第ｍの仮名情報と第（ｍ＋１）の仮名情報との対応関係を記憶する第３の対応関係記憶手段とを含み、
　第ｎ番目の中継部門に属する中継装置は、
　　第（ｎ−１）番目の中継部門に属する中継装置から送信されてくるデータを受信する第４の受信手段と、
　　第４の受信手段が受信した部分的に復号された商品の発注内容に、第ｎの仮名情報とは異なる第（ｎ＋１）の仮名情報を付加して、商品発送装置に送信する第５の送信手段と、
　　第ｎの仮名情報と第（ｎ＋１）の仮名情報との対応関係を記憶する第４の対応関係記憶手段とを含み、
　商品発送装置は、
　　第ｎ番目の中継部門に属する中継装置から送信されてくるデータを受信する第５の受信手段と、
　　第５の受信手段が受信した暗号化された第２の鍵を復号する第２の鍵復号手段と、
　　復号された第２の鍵を用いて、第５の受信手段が受信した部分的に復号された商品の発注内容を全面的に復号する第２の発注内容復号手段と、
　　電子的商品を保管する商品保管手段と、
　　全面的に復号された商品の発注内容に基づいて、商品保管手段を検索し、対応する電子的商品を読み出す読み出し手段と、
　　読み出し手段により読み出された電子的商品を、復号された第２の鍵を用いて暗号化する第１の商品暗号化手段と、
　　第２の鍵を用いて暗号化された電子的商品を、第５の受信手段が受信した第（ｎ＋１）の仮名情報と共に、第ｎ番目の中継部門に属する中継装置に送信する第６の送信手段とを含み、
　第ｎ番目の中継部門に属する中継装置は、さらに
　　商品発送装置から送信されてくるデータを受信する第６の受信手段と、
　　第６の受信手段が受信した第（ｎ＋１）の仮名情報に基づいて、第４の対応関係記憶手段を検索し、当該第（ｎ＋１）の仮名情報に対応する第ｎの仮名情報を特定する第１の仮名情報特定手段と、
　　第６の受信手段が受信した暗号化された電子的商品を、仮名情報特定手段により特定された第ｎの仮名情報と共に、第ｍ番目の中継部門に属する中継装置に送信する第７の送信手段とを含み、
　第ｍ番目の中継部門に属する中継装置は、さらに
　　第（ｍ＋１）番目の中継部門に属する中継装置から送信されてくるデータを受信する第７の受信手段と、
　　第７の受信手段が受信した第ｍの仮名情報に基づいて、第３の対応関係記憶手段を検索し、当該第ｍの仮名情報に対応する第（ｍ−１）の仮名情報を特定する第２の仮名情報特定手段と、
　　第７の受信手段が受信した暗号化された電子的商品を、仮名情報特定手段により特定された第（ｍ−１）の仮名情報と共に、第（ｍ−１）番目の中継部門に属する中継装置に送信する第８の送信手段とを含み、
　第１番目の中継部門に属する中継装置は、さらに
　　第２番目の中継部門に属する中継装置から送信されてくるデータを受信する第８の受信手段と、
　　第８の受信手段が受信した暗号化された電子的商品を、対応する第１の暗号鍵を用いて２重に暗号化する第２の商品暗号化手段と、
　　第８の受信手段が受信した第２の仮名情報に基づいて、第３の対応関係記憶手段を検索し、当該第２の仮名情報に対応する第１の仮名情報を特定する第３の仮名情報特定手段と、
　　第８の受信手段が受信した暗号化された電子的商品を、仮名情報特定手段により特定された第１の仮名情報と共に、受付装置に送信する第９の送信手段とを含み、
　受付装置は、さらに
　　第１番目の中継部門に属する中継装置から送信されてくるデータを受信する第９の受信手段と、
　　第９の受信手段が受信した第１の仮名情報に基づいて、第１の対応関係記憶手段を検索することにより、対応する発注者を特定する発注者特定手段と、
　　第９の受信手段が受信した２重に暗号化された電子的商品を、発注者特定手段により特定された発注者の物品購入装置に送信する第６の送信手段とを含み、
　物品購入装置は、受付装置から送られてきた暗号化された電子的商品を復号する手段をさらに含んでいる。

　第６に係る発明は、複数の発注者、受付部門、商品部門を結ぶ通信ネットワークを用いて、実体的商品の発注と流通を行う通信販売方法であって、
　発注者においては、
　　電子データから成る鍵を発生する鍵発生ステップと、
　　鍵を用いて、商品の発注内容を暗号化する発注内容暗号化ステップと、
　　鍵を暗号化する鍵暗号化ステップと、
　　暗号化された商品の発注内容に、暗号化された鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する第１の送信ステップとを実行し、
　受付部門においては、
　　発注者から送信されてくるデータを受信する第１の受信ステップと、
　　第１の受信ステップで受信した本人確認情報が、正当なものか否かを確認する確認ステップと、
　　確認ステップによって本人確認情報が正当なものと確認された場合、第１の受信ステップで受信した暗号化された商品の発注内容と暗号化された鍵とに、発注者の識別情報とは異なる仮名情報を付加して、商品発送装置に送信する第２の送信ステップと、
　　発注者の識別情報と仮名情報との対応関係を記憶する対応関係記憶ステップとを実行し、
　商品部門においては、
　　受付部門から送信されてくるデータを受信する第２の受信ステップと、
　　第２の受信ステップで受信した暗号化された鍵を復号する鍵復号ステップと、
　　復号された鍵を用いて、第２の受信ステップで受信した暗号化された商品の発注内容を復号する発注内容復号ステップと、
　　復号された商品の発注内容に基づいて、対応する商品を特定し、その内容が受付部門にわからないように梱包封印する梱包封印ステップと、
　　梱包封印された商品を、第２の受信ステップで受信した仮名情報と共に、受付部門に発送する第１の発送ステップとを実行し、
　受付部門においては、さらに
　　商品部門から受け取った仮名情報に基づいて、対応関係記憶ステップで記憶した対応関係を検索することにより、対応する発注者を特定する発注者特定ステップと、
　　商品部門から受け取った梱包封印された商品を、発注者特定ステップで特定された発注者に発送する第２の発送ステップとを実行することを特徴とする。

　第７に係る発明は、第６の発明において、
　仮名情報としては、各注文毎に異なる情報が使用されることを特徴とする。

　第８に係る発明は、複数の発注者、受付部門、中継部門、商品部門を結ぶ通信ネットワークを用いて、実体的商品の発注と流通を行う通信販売方法であって、
　発注者においては、
　　電子データから成る第１および第２の鍵を発生する鍵発生ステップと、
　　第１および第２の鍵を用いて、商品の発注内容を２重に暗号化する発注内容暗号化ステップと、
　　第１および第２の鍵を、それぞれ別個に暗号化する鍵暗号化ステップと、
　　２重に暗号化された商品の発注内容に、暗号化された第１および第２の鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する第１の送信ステップとを含み、
　受付部門においては、
　　物品購入装置から送信されてくるデータを受信する第１の受信ステップと、　　第１の受信ステップで受信した本人確認情報が、正当なものか否かを確認する確認ステップと、
　　確認ステップによって本人確認情報が正当なものと確認された場合、第１の受信ステップで受信した２重に暗号化された商品の発注内容と暗号化された第１および第２の鍵とに、発注者の識別情報とは異なる第１の仮名情報を付加して、中継装置に送信する第２の送信ステップと、
　　発注者の識別情報と第１の仮名情報との対応関係を記憶する第１の対応関係記憶ステップとを実行し、
　中継部門においては、
　　受付装置から送信されてくるデータを受信する第２の受信ステップと、
　　第２の受信ステップで受信した暗号化された第１の鍵を復号する第１の鍵復号ステップと、
　　復号された第１の鍵を用いて、第２の受信ステップで受信した２重に暗号化された商品の発注内容を、部分的に復号する第１の発注内容復号ステップと、
　　部分的に復号された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報を付加して、商品発送装置に送信する第３の送信ステップと、
　　第１の仮名情報と第２の仮名情報との対応関係を記憶する第２の対応関係記憶ステップとを実行し、
　商品部門においては、
　　中継装置から送信されてくるデータを受信する第３の受信ステップと、
　　第３の受信ステップで受信した暗号化された第２の鍵を復号する第２の鍵復号ステップと、
　　復号された第２の鍵を用いて、第３の受信ステップで受信した部分的に復号された商品の発注内容を全面的に復号する第２の発注内容復号ステップと、
　　全面的に復号された商品の発注内容に基づいて、対応する商品を特定し、その内容が受付部門にわからないように梱包封印する第１の梱包封印ステップと、　　梱包封印された商品を、第２の受信ステップで受信した仮名情報と共に、中継部門に発送する第１の発送ステップとを実行し、
　中継部門においては、さらに
　　商品部門から受け取った梱包封印された商品を、さらに２重に梱包封印する第２の梱包封印ステップと、
　　商品部門から受け取った第２の仮名情報に基づいて、第２の対応関係記憶ステップで記憶した対応関係を検索し、当該第２の仮名情報に対応する第１の仮名情報を特定する仮名情報特定ステップと、
　　２重に梱包封印された商品を、仮名情報特定ステップにより特定された第１の仮名情報と共に、受付部門に発送する第２の発送ステップとを実行し、
　受付部門においては、さらに
　　中継部門から受け取った第１の仮名情報に基づいて、第１の対応関係記憶ステップで記憶した対応関係を検索することにより、対応する発注者を特定する発注者特定ステップと、
　　中継部門から受け取った２重に梱包封印された商品を、発注者特定ステップにより特定された発注者に発送する第３の発送ステップとを実行することを特徴とする。

　第９に係る発明は、第８の発明において、
　第１および第２の仮名情報としては、各注文毎に異なる情報が使用されることを特徴とする。

　第１に係る発明においては、発注者、受付部門および商品部門は、相互に通信ネットワークで結ばれており、物品購入装置、受付装置および商品発送装置がそれぞれ設けられている。
　物品購入装置は、電子データから成る鍵を発生し、当該鍵を用いて商品の発注内容を暗号化する。また、当該鍵を暗号化する。さらに、暗号化された商品の発注内容に、暗号化された鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する。
　受付装置は、物品購入装置から受信した本人確認情報が、正当なものか否かを確認し、正当な場合は、物品購入装置から受信した暗号化された商品の発注内容および暗号化された鍵に、発注者の識別情報とは異なる仮名情報を付加して、商品発送装置に送信する。また、発注者の識別情報と仮名情報との対応関係を対応関係記憶手段に記憶する。
　商品発送装置は、受付装置から受信した暗号化された鍵を復号し、当該復号された鍵を用いて、受付装置から受信した暗号化された商品の発注内容を復号する。また、復号された商品の発注内容に基づいて、対応する電子的商品を商品保管手段から読み出し、この読み出した電子的商品を、復号された鍵を用いて暗号化し、仮名情報と共に、受付装置に送信する。
　受付装置は、さらに商品発送装置から受信した仮名情報に基づいて、対応関係記憶手段を検索し、対応する発注者を特定する。そして、暗号化された電子的商品を、特定された発注者の物品購入装置に送信する。
　物品購入装置は、受付装置から送られてきた暗号化された電子的商品を復号する。

　第２に係る発明においては、仮名情報として、各注文毎に異なる情報を使用することにより、プライバシーの機密性をより一層向上させている。

　第３に係る発明においては、発注者、受付部門、中継部門および商品部門は、相互に通信ネットワークで結ばれており、物品購入装置、受付装置、中継装置および商品発送装置がそれぞれ設けられている。
　物品購入装置は、電子データから成る第１および第２の鍵を発生し、当該第１および第２の鍵を用いて、商品の発注内容を２重に暗号化する。また、第１および第２の鍵を、それぞれ別個に暗号化する。さらに、２重に暗号化された商品の発注内容に、暗号化された第１および第２の鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する。
　受付装置は、物品購入装置から受信した本人確認情報が、正当なものか否かを確認し、正当な場合は、物品購入装置から受信した２重に暗号化された商品の発注内容と暗号化された第１および第２の鍵とに、発注者の識別情報とは異なる第１の仮名情報を付加して、中継装置に送信する。また、発注者の識別情報と第１の仮名情報との対応関係を第１の対応関係記憶手段に記憶する。
　中継装置は、受付装置から受信した暗号化された第１の鍵を復号し、この復号された第１の鍵を用いて、受付装置から受信した２重に暗号化された商品の発注内容を、部分的に復号する。また、部分的に復号された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報を付加して、商品発送装置に送信する。さらに、第１の仮名情報と第２の仮名情報との対応関係を第２の対応関係記憶手段に記憶する。
　商品発送装置は、中継装置から受信した暗号化された第２の鍵を復号し、この復号された第２の鍵を用いて、中継装置から受信した部分的に復号された商品の発注内容を全面的に復号する。また、全面的に復号された商品の発注内容に基づいて、商品保管手段を検索し、対応する電子的商品を読み出し、この読み出した電子的商品を、復号された第２の鍵を用いて暗号化する。さらに、第２の鍵を用いて暗号化された電子的商品を、第３の受信手段が受信した第２の仮名情報と共に、中継装置に送信する。
　中継装置は、さらに商品発送装置から受信した暗号化された電子的商品を、対応する第１の鍵を用いて２重に暗号化する。また、商品発送装置から受信した第２の仮名情報に基づいて、第２の対応関係記憶手段を検索し、当該第２の仮名情報に対応する第１の仮名情報を特定する。さらに、２重に暗号化された電子的商品を、特定された第１の仮名情報と共に、受付装置に送信する。
　受付装置は、さらに中継装置から受信した第１の仮名情報に基づいて、第１の対応関係記憶手段を検索し、対応する発注者を特定する。また、中継装置から受信した２重に暗号化された電子的商品を、特定された発注者の物品購入装置に送信する。
　物品購入装置は、受付装置から送られてきた暗号化された電子的商品を復号する。

　第４に係る発明においては、第１および第２の仮名情報として、各注文毎に異なる情報を使用することにより、プライバシーの機密性をより一層向上させている。

　第５に係る発明においては、複数の発注者、受付部門、ｎ個（ｎは２以上の整数）の中継部門、商品部門は、通信ネットワークを用いて相互に結ばれており、物品購入装置、受付装置、中継装置および商品発送装置がそれぞれ設けられている。
　物品購入装置は、電子データから成る第１および第２の鍵を発生し、この第１および第２の鍵を用いて、商品の発注内容を２重に暗号化する。また、第１および第２の鍵を、それぞれ別個に暗号化する。さらに、２重に暗号化された商品の発注内容に、暗号化された第１および第２の鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する。
　受付装置は、物品購入装置から受信した本人確認情報が、正当なものか否かを確認し、正当な場合は、物品購入装置から受信した２重に暗号化された商品の発注内容と、暗号化された第１および第２の鍵とに、発注者の識別情報とは異なる第１の仮名情報を付加して、第１番目の中継部門に属する中継装置に送信する。また、発注者の識別情報と第１の仮名情報との対応関係を第１の対応関係記憶手段に記憶する。
　第１番目の中継部門に属する中継装置は、受付装置から受信した暗号化された第１の鍵を復号し、この復号された第１の鍵を用いて、受付装置から受信した２重に暗号化された商品の発注内容を、部分的に復号する。また、部分的に復号された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報を付加して、第２番目の中継装置に属する中継装置に送信する。さらに、第１の仮名情報と第２の仮名情報との対応関係を第２の対応関係記憶手段に記憶する。
　第ｍ番目（ｍは、２≦ｍ≦ｎ−１の整数）の中継部門に属する中継装置は、第（ｍ−１）番目の中継部門に属する中継装置から受信した部分的に復号された商品の発注内容に、第ｍの仮名情報とは異なる第（ｍ＋１）の仮名情報を付加して、第（ｍ＋１）番目の中継部門に属する中継装置に送信する。また、第ｍの仮名情報と第（ｍ＋１）の仮名情報との対応関係を第３の対応関係記憶手段に記憶する。
　第ｎ番目の中継部門に属する中継装置は、第（ｎ−１）番目の中継部門に属する中継装置から受信した部分的に復号された商品の発注内容に、第ｎの仮名情報とは異なる第（ｎ＋１）の仮名情報を付加して、商品発送装置に送信する。また、第ｎの仮名情報と第（ｎ＋１）の仮名情報との対応関係を第４の対応関係記憶手段に記憶する。
　商品発送装置は、第ｎ番目の中継部門に属する中継装置から受信した暗号化された第２の鍵を復号し、この復号された第２の鍵を用いて、第ｎ番目の中継部門に属する中継装置から受信した部分的に復号された商品の発注内容を全面的に復号する。また、全面的に復号された商品の発注内容に基づいて、商品保管手段から対応する電子的商品を読み出し、この読み出した電子的商品を、復号された第２の鍵を用いて暗号化する。さらに、第２の鍵を用いて暗号化された電子的商品を、第ｎ番目の中継部門に属する中継装置から受信した第（ｎ＋１）の仮名情報と共に、第ｎ番目の中継部門に属する中継装置に送信する。
　第ｎ番目の中継部門に属する中継装置は、さらに商品発送装置から受信した第（ｎ＋１）の仮名情報に基づいて、第４の対応関係記憶手段を検索し、当該第（ｎ＋１）の仮名情報に対応する第ｎの仮名情報を特定する。また、商品発送装置から受信した暗号化された電子的商品を、特定された第ｎの仮名情報と共に、第ｍ番目の中継部門に属する中継装置に送信する。
　第ｍ番目の中継部門に属する中継装置は、さらに第（ｍ＋１）番目の中継部門に属する中継装置から受信した第ｍの仮名情報に基づいて、第３の対応関係記憶手段を検索し、当該第ｍの仮名情報に対応する第（ｍ−１）の仮名情報を特定する。また、第（ｍ＋１）番目の中継部門に属する中継装置から受信した暗号化された電子的商品を、特定された第（ｍ−１）の仮名情報と共に、第（ｍ−１）番目の中継部門に属する中継装置に送信する。
　第１番目の中継部門に属する中継装置は、さらに第２番目の中継部門に属する中継装置から受信した暗号化された電子的商品を、対応する第１の暗号鍵を用いて２重に暗号化する。また、第２番目の中継部門に属する中継装置から受信した第２の仮名情報に基づいて、第３の対応関係記憶手段を検索し、当該第２の仮名情報に対応する第１の仮名情報を特定する。さらに、第２番目の中継部門に属する中継装置から受信した暗号化された電子的商品を、特定された第１の仮名情報と共に、受付装置に送信する。
　受付装置は、さらに第１番目の中継部門に属する中継装置から受信した第１の仮名情報に基づいて、第１の対応関係記憶手段を検索することにより、対応する発注者を特定する。また、第１番目の中継部門に属する中継装置から受信した２重に暗号化された電子的商品を、特定された発注者の物品購入装置に送信する。　物品購入装置は、受付装置から送られてきた暗号化された電子的商品を復号する。

　第６に係る発明においては、複数の発注者、受付部門、商品部門が、通信ネットワークを用いて互いに結ばれており、これらの間で実体的商品の発注と流通を行う。すなわち、
　発注者は、電子データから成る鍵を発生し、この鍵を用いて、商品の発注内容を暗号化する。また、鍵を暗号化する。さらに、暗号化された商品の発注内容に、暗号化された鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する。
　受付部門は、発注者から受信した本人確認情報が、正当なものか否かを確認し、正当な場合は、発注者から受信した暗号化された商品の発注内容と暗号化された鍵とに、発注者の識別情報とは異なる仮名情報を付加して、商品発送装置に送信する。また、発注者の識別情報と仮名情報との対応関係を記憶する。
　商品部門は、受付部門から受信した暗号化された鍵を復号し、この復号された鍵を用いて、受付部門から受信した暗号化された商品の発注内容を復号する。また、復号された商品の発注内容に基づいて、対応する商品を特定し、その内容が受付部門にわからないように梱包封印する。さらに、梱包封印された商品を、第２の受信ステップで受信した仮名情報と共に、受付部門に発送する。
　受付部門は、さらに商品部門から受け取った仮名情報に基づいて、対応する発注者を特定し、商品部門から受け取った梱包封印された商品を、特定された発注者に発送する。

　第７に係る発明においては、仮名情報として、各注文毎に異なる情報を使用することにより、プライバシーの機密性をより一層向上させている。

　第８に係る発明においては、複数の発注者、受付部門、中継部門、商品部門が、通信ネットワークを用いて互いに結ばれており、これらの間で実体的商品の発注と流通を行う。すなわち、
　発注者は、電子データから成る第１および第２の鍵を発生し、この第１および第２の鍵を用いて、商品の発注内容を２重に暗号化する。また、第１および第２の鍵を、それぞれ別個に暗号化する。さらに、２重に暗号化された商品の発注内容に、暗号化された第１および第２の鍵と、発注者の識別情報と、本人確認情報とを付加して、受付装置に送信する。
　受付部門は、物品購入装置から受信した本人確認情報が、正当なものか否かを確認し、正当な場合は、物品購入装置から受信した２重に暗号化された商品の発注内容と暗号化された第１および第２の鍵とに、発注者の識別情報とは異なる第１の仮名情報を付加して、中継装置に送信する。また、発注者の識別情報と第１の仮名情報との対応関係を第１の対応関係記憶手段に記憶する。
　中継部門は、受付装置から受信した暗号化された第１の鍵を復号し、この復号された第１の鍵を用いて、受付装置から受信した２重に暗号化された商品の発注内容を、部分的に復号する。また、部分的に復号された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報を付加して、商品発送装置に送信する。さらに、第１の仮名情報と第２の仮名情報との対応関係を第２の対応関係記憶手段に記憶する。
　商品部門は、中継装置から受信した暗号化された第２の鍵を復号し、この復号された第２の鍵を用いて、中継装置から受信した部分的に復号された商品の発注内容を全面的に復号する。また、全面的に復号された商品の発注内容に基づいて、対応する商品を特定し、その内容が受付部門にわからないように梱包封印する。さらに、梱包封印された商品を、中継装置から受信した仮名情報と共に、中継部門に発送する。
　中継部門は、さらに商品部門から受け取った梱包封印された商品を、さらに２重に梱包封印する。また、商品部門から受け取った第２の仮名情報に基づいて、対応する第１の仮名情報を特定し、２重に梱包封印された商品を、この特定された第１の仮名情報と共に、受付部門に発送する。
　受付部門は、さらに中継部門から受け取った第１の仮名情報に基づいて、対応する発注者を特定し、中継部門から受け取った２重に梱包封印された商品を、この特定された発注者に発送する。

　第９に係る発明においては、第１および第２の仮名情報として、各注文毎に異なる情報が使用することにより、プライバシーの機密性をより一層向上させている。

　第１の発明によれば、受付部門は、発注者の発注した商品の内容および商品部門から送られてくる電子的商品を、暗号化された状態でしか見ることができないので、いかなる商品が発注されたかを知ることができない。また、商品部門は、暗号化された商品の発注内容に、発注者の識別情報とは異なる仮名情報が付加されて送られてくるので、誰が商品を発注したかを知ることができない。したがって、受付部門と商品部門とが結託しない限り、販売側では「誰が何を買ったのか」を把握することができず、結果として発注者のプライバシーを有効に保護することができる。また、発注者から受付部門に送られる商品の発注内容には、本人確認情報が付加されるため、受付部門で本人確認を行うことにより、クレジットカードや銀行引き落しなどの既存の決裁システムをそのまま使用することができる。

　第２の発明によれば、仮名情報として、各注文毎に異なる情報を使用しているので、商品部門が仮名情報と発注者との対応関係を突き止めるような不正を有効に防止することができる。

　第３の発明によれば、受付部門は、発注者の発注した商品の内容および中継部門から送られてくる電子的商品を、暗号化された状態でしか見ることができないので、いかなる商品が発注されたかを知ることができない。また、中継部門は、発注者の発注した商品の内容および商品部門から送られてくる電子的商品を、暗号化された状態でしか見ることができないので、いかなる商品が発注されたかを知ることができない。さらに、中継部門は、暗号化された商品の発注内容に、発注者の識別情報とは異なる第１の仮名情報が付加されて送られてくるので、誰が商品を発注したかを知ることができない。また、商品部門は、暗号化された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報が付加されて送られてくるので、誰が商品を発注したかを知ることができない。したがって、受付部門と中継部門と商品部門とが結託しない限り、販売側では「誰が何を買ったのか」を把握することができず、結果として発注者のプライバシーを有効に保護することができる。なお、受付部門と商品部門が結託しようとしても、両部門の持っている情報を結び付ける情報がないので、結託しようがない。したがって、結託によるプライバシーの侵害を有効に防止することができる。また、発注者から受付部門に送られる商品の発注内容には、本人確認情報が付加されるため、受付部門で本人確認を行うことにより、クレジットカードや銀行引き落しなどの既存の決裁システムをそのまま使用することができる。

　第４の発明によれば、第１および第２の仮名情報として、各注文毎に異なる情報を使用しているので、中継部門または商品部門が仮名情報と発注者との対応関係を突き止めるような不正を有効に防止することができる。

　第５の発明によれば、中継部門が複数設けられ、商品の発注内容および発注された商品がこれら複数の中継部門を介して伝達されるので、各部門の結託がより一層困難になり、発注者のプライバシーをより確実に保護することができる。

　第６の発明によれば、受付部門は、発注者の発注した商品の内容を暗号化された状態でしか見ることができず、また商品部門から送られてくる実体的商品が封印梱包されているので、いかなる商品が発注されたかを知ることができない。また、商品部門は、暗号化された商品の発注内容に、発注者の識別情報とは異なる仮名情報が付加されて送られてくるので、誰が商品を発注したかを知ることができない。したがって、受付部門と商品部門とが結託しない限り、販売側では「誰が何を買ったのか」を把握することができず、結果として発注者のプライバシーを有効に保護することができる。また、発注者から受付部門に送られる商品の発注内容には、本人確認情報が付加されるため、受付部門で本人確認を行うことにより、クレジットカードや銀行引き落しなどの既存の決裁システムをそのまま使用することができる。

　第７の発明によれば、仮名情報として、各注文毎に異なる情報を使用しているので、商品部門が仮名情報と発注者との対応関係を突き止めるような不正を有効に防止することができる。

　第８の発明によれば、受付部門は、発注者の発注した商品の内容を暗号化された状態でしか見ることができず、また中継部門から送られてくる実体的商品が封印梱包されているので、いかなる商品が発注されたかを知ることができない。また、中継部門は、発注者の発注した商品の内容を暗号化された状態でしか見ることができず、また商品部門から送られてくる実体的商品が封印梱包されているので、いかなる商品が発注されたかを知ることができない。さらに、中継部門は、暗号化された商品の発注内容に、発注者の識別情報とは異なる第１の仮名情報が付加されて送られてくるので、誰が商品を発注したかを知ることができない。また、商品部門は、暗号化された商品の発注内容に、第１の仮名情報とは異なる第２の仮名情報が付加されて送られてくるので、誰が商品を発注したかを知ることができない。したがって、受付部門と中継部門と商品部門とが結託しない限り、販売側では「誰が何を買ったのか」を把握することができず、結果として発注者のプライバシーを有効に保護することができる。なお、受付部門と商品部門が結託しようとしても、両部門の持っている情報を結び付ける情報がないので、結託しようがない。したがって、結託によるプライバシーの侵害を有効に防止することができる。また、発注者から受付部門に送られる商品の発注内容には、本人確認情報が付加されるため、受付部門で本人確認を行うことにより、クレジットカードや銀行引き落しなどの既存の決裁システムをそのまま使用することができる。

　第９の発明によれば、中継部門が複数設けられ、商品の発注内容および発注された商品がこれら複数の中継部門を介して伝達されるので、各部門の結託がより一層困難になり、発注者のプライバシーをより確実に保護することができる。

本発明の一実施例に係る通信ネットワークを用いた通信販売システムの構成を示すブロック図である。 図１に示す発注者ｉに設けられた物品購入装置１０の構成の一例を示すブロック図である。 図１に示す受付部門ａに設けられた受付装置２０の構成の一例を示すブロック図である。 図１に示す中継部門ｂに設けられた中継装置３０の構成の一例を示すブロック図である。 図１に示す商品部門ｃに設けられた商品発送装置４０の構成の一例を示すブロック図である。 図１に示す通信ネットワークを用いた通信販売システム全体の動作を示すシーケンスチャートである。 図１の物品購入装置１０の商品発注時の動作を示すフローチャートである。 図１の受付装置２０の発注受付時の動作を示すフローチャートである。 図１の中継装置３０の発注中継時の動作を示すフローチャートである。 図１の商品発送装置４０の動作を示すフローチャートである。 図１の中継装置３０の商品中継時の動作を示すフローチャートである。 図１の受付装置２０の商品発送時の動作を示すフローチャートである。 図１の物品購入装置１０の商品受け取り時の動作を示すフローチャートである。 図１の実施例において、各部門で知り得る情報を説明するための図である。 従来の通信ネットワークを用いた通信販売システムの構成の一例を示すブロック図である。

符号の説明

１　発注者
１０　物品購入装置
２　受付部門
２０　受付装置
３　中継部門
３０　中継装置
４　商品部門
４０　商品発送装置
１０１，２０１，３０１，４０１　制御部
１０２，２０２，３０２，４０２　ＲＯＭ
１０３，２０３，３０３，４０３　ＲＡＭ
１０４　入力操作器
１０５　表示器
１０６　商品カタログ格納部
１０７　乱数発生部
１０８，２０５，３０４，４０４　秘密鍵保管部
１０９，２０６，３０５，４０５　通信部
１１０，２０７，３０６，４０６　発注データ格納部
２０４　個人データ格納部
２０８，３０７　照会番号発行部
４０７　商品データ格納部
４０８　商品保管部

Claims (4)

1. 　通信ネットワークを介して接続される複数の物品購入装置、受付装置、中継装置、および商品発送装置を包含するシステムを用いて、実体的商品の発注と流通とを行うための通信販売方法であって、
   　前記物品購入装置が、電子データから成る鍵を発生する鍵発生ステップと、
   　前記物品購入装置が、前記鍵を用いて、商品の発注内容を暗号化する発注内容暗号化ステップと、
   　前記物品購入装置が、前記鍵を暗号化する鍵暗号化ステップと、
   　前記物品購入装置が、前記暗号化された商品の発注内容に、前記暗号化された鍵と、発注者の識別情報と、本人確認情報とを付加して、前記受付装置に送信する第１の送信ステップと、
   　前記受付装置が、前記物品購入装置から送信されてくるデータを受信する第１の受信ステップと、
   　前記受付装置が、前記第１の受信ステップで受信した前記本人確認情報が、正当なものであるか否かを確認する確認ステップと、
   　前記受付装置が、前記確認ステップによって前記本人確認情報が正当なものであると確認された場合、前記第１の受信ステップで受信した前記暗号化された商品の発注内容と前記暗号化された鍵とに、前記発注者の識別情報とは異なる仮名情報を付加して、前記商品発送装置に送信する第２の送信ステップと、
   　前記受付装置が、前記発注者の識別情報と前記仮名情報との対応関係を対応関係記憶手段に記憶する対応関係記憶ステップと、
   　前記商品発送装置が、前記受付装置から送信されてくるデータを受信する第２の受信ステップと、
   　前記商品発送装置が、前記第２の受信ステップで受信した前記暗号化された鍵を復号する鍵復号ステップと、
   　前記商品発送装置が、前記復号された鍵を用いて、前記第２の受信ステップで受信した前記暗号化された商品の発注内容を復号する発注内容復号ステップと、
   　前記受付装置が、前記商品発送装置から送られてくる前記仮名情報に基づいて、前記対応関係記憶手段に記憶している対応関係を参照して、対応する発注者を特定する物品購入装置特定ステップと、
   を備える通信販売方法。
2. 　前記第２の送信ステップでは、前記受付装置は、注文毎に、相異なる仮名情報を使用することを特徴とする、請求項１に記載の通信販売方法。
3. 　通信ネットワークを介して接続される複数の物品購入装置、受付装置、中継装置、および商品発送装置を包含するシステムを用いて、実体的商品の発注と流通とを行うための通信販売方法であって、
   　前記物品購入装置が、電子データから成る第１および第２の鍵を発生する鍵発生ステップと、
   　前記物品購入装置が、前記第１および第２の鍵を用いて、商品の発注内容を２重に暗号化する発注内容暗号化ステップと、
   　前記物品購入装置が、前記第１および第２の鍵を、それぞれ別個に暗号化する鍵暗号化ステップと、
   　前記物品購入装置が、前記２重に暗号化された商品の発注内容に、前記暗号化された第１および第２の鍵と、発注者の識別情報と、本人確認情報とを付加して、前記受付装置に送信する第１の送信ステップと、
   　前記受付装置が、前記物品購入装置から送信されてくるデータを受信する第１の受信ステップと、
   　前記受付装置が、前記第１の受信ステップで受信した前記本人確認情報が、正当なものであるか否かを確認する確認ステップと、
   　前記受付装置が、前記確認ステップによって前記本人確認情報が正当なものであると確認された場合、前記第１の受信ステップで受信した前記２重に暗号化された商品の発注内容と前記暗号化された第１および第２の鍵とに、前記発注者の識別情報とは異なる第１の仮名情報を付加して、前記中継装置に送信する第２の送信ステップと、
   　前記受付装置が、前記発注者の識別情報と前記第１の仮名情報との対応関係を第１の対応関係記憶手段に記憶する第１の対応関係記憶ステップと、
   　前記中継装置が、前記受付装置から送信されてくるデータを受信する第２の受信ステップと、
   　前記中継装置が、前記第２の受信ステップで受信した前記暗号化された第１の鍵を復号する第１の鍵復号ステップと、
   　前記中継装置が、前記復号された第１の鍵を用いて、前記第２の受信ステップで受信した前記２重に暗号化された商品の発注内容を、部分的に復号する第１の発注内容復号ステップと、
   　前記中継装置が、前記部分的に復号された商品の発注内容に、前記第１の仮名情報とは異なる第２の仮名情報を付加して、前記商品発送装置に送信する第３の送信ステップと、
   　前記中継装置が、前記第１の仮名情報と前記第２の仮名情報との対応関係を第２の対応関係記憶手段に記憶する第２の対応関係記憶ステップと、
   　前記商品発送装置が、前記中継装置から送信されてくるデータを受信する第３の受信ステップと、
   　前記商品発送装置が、前記第３の受信ステップで受信した前記暗号化された第２の鍵を復号する第２の鍵復号ステップと、
   　前記商品発送装置が、前記復号された第２の鍵を用いて、前記第３の受信ステップで受信した前記部分的に復号された商品の発注内容を全面的に復号する第２の発注内容復号ステップと、
   　前記中継装置が、前記商品発送装置から送られてくる前記第２の仮名情報に基づいて、前記第２の対応関係記憶手段に記憶している対応関係を参照して、当該第２の仮名情報に対応する前記第１の仮名情報を特定する仮名情報特定ステップと、
   　前記受付装置が、前記中継装置から送られてくる前記第１の仮名情報に基づいて、前記第１の対応関係記憶手段に記憶している対応関係を参照して、対応する発注者を特定する物品購入装置特定ステップと、
   を備える通信販売方法。
4. 　第２の送信ステップでは、前記受付装置は、注文毎に、相異なる第１の仮名情報を使用し、
   　第３の送信ステップでは、前記中継装置は、注文毎に、相異なる第２の仮名情報を使用することを特徴とする、請求項３に記載の通信販売方法。

Images