JP2014211681A - 情報管理装置および情報管理システム - Google Patents

Abstract

【課題】高いセキュリティで情報を保護できる情報管理装置および情報管理システムを提供する。
【解決手段】実施形態によれば、情報管理装置は、生成手段と、データベースと、受付手段と、返送手段と、を有する。生成手段は、車載器に固定の情報及び当該車載器の利用者情報とは関連付けずに車載器に設定する固有情報を生成する。データベースは、生成手段により生成した固有情報と利用者情報とを対応づけて記憶する。受付手段は、外部装置から固有情報に対応する利用者情報の問合せを受付ける。返送手段は、受付手段により受付けた問合せの固有番号に対応する利用者情報をデータベースから抽出して外部装置へ返送する。
【選択図】図１

Description

本発明の実施形態は、情報管理装置および情報管理システムに関する。

従来、有料道路の決済処理を行うＥＴＣ（Electronic Toll Collection System：電子料金収受システム）用の車載器（ＥＴＣ車載器或いはＤＳＲＣ車載器）を用いてＥＴＣ以外のサービスを提供するシステムが提案されている。ＥＴＣ車載器或いはＤＳＲＣ車載器などの車載器は、ＥＴＣ以外のアプリケーション（サービス）で使用する場合、サービスを提供する事業者へ当該車載器に固定の情報を開示する。個々の車載器が固定の情報を開示すると、特定の車載器が、事業者に追跡される可能性がある。

特開２００７−４９８１４号公報

本発明は、高いセキュリティで情報を保護できる情報管理装置および情報管理システムを提供することを目的とする。

実施形態によれば、情報管理装置は、生成手段と、データベースと、受付手段と、返送手段と、を有する。生成手段は、車載器に固定の情報及び当該車載器の利用者情報とは関連付けずに車載器に設定する固有情報を生成する。データベースは、生成手段により生成した固有情報と利用者情報とを対応づけて記憶する。受付手段は、外部装置から固有情報に対応する利用者情報の問合せを受付ける。返送手段は、受付手段により受付けた問合せの固有番号に対応する利用者情報をデータベースから抽出して外部装置へ返送する。

図１は、本実施形態に係る情報管理システムの概要を説明するための図である。 図２は、本実施形態に係る情報管理システムの各装置におけるハードウエア構成例を概略的に示すブロック図である。 図３は、本実施形態に係る情報管理サーバにおける利用者データベースの構成例を示す図である。 図４は、本実施形態に係る情報管理システムにおける利用者情報の登録、更新および解除を行う処理を概略的に説明するための図である。 図５は、本実施形態に係るユーザ端末に表示する現在の設定内容に対する変更入力を受付ける変更入力画面の表示例である。 図６は、本実施形態に係る情報管理サーバにおける新規登録処理の流れを説明するためのフローチャートである。 図７は、本実施形態に係る情報管理サーバにおける更新及び解除処理の流れを説明するためのフローチャートである。 図８は、本実施形態に係る情報管理システムにおける運用の処理を概略的に説明するための図である。 図９は、本実施形態に係る情報管理サーバにおける検定処理の流れを説明するためのフローチャートである。 図１０は、本実施形態に係る情報管理サーバにおける利用者データベースの変形例を示す図である。 図１１は、本実施形態に係る情報管理サーバにおける利用者データベースの許可リストとしての許可リストファイルの構成例を示す図である。 図１２は、本実施形態に係る情報管理サーバにおいて事業者別の利用者ＩＤを発行するための発行シリアル番号を管理する発行管理テーブルの構成例を示す図である。

以下、本実施形態について、図面を参照して説明する。
図１は、本実施形態に係る情報管理システムの概要を説明するための図である。
図１に示す構成例において、情報管理システムは、情報管理サーバ１、事業者システム２、車載器３、および、ユーザ端末４を有する。

情報管理サーバ１は、本情報管理システム（スキーム）において使用する各種の情報を管理する。情報管理サーバ１は、例えば、サービスを提供する事業者とは別に運営される組織が運用及び管理するサーバ装置である。情報管理サーバ１は、車載器３を用いて各事業者が運用する事業者システムが提供するサービスを利用する利用者に関する情報を管理する。たとえば、情報管理サーバ１は、車載器３に登録する固有情報を発行したり、車載器３に登録されている固有情報を新しい固有情報に更新したり、各事業者が提供するサービスを利用するための情報（車載器の固有番号、顧客番号、および、事業者許可リストなどの情報）を利用者ごとに管理したりする。

情報管理サーバ１は、ネットワークを介して、ユーザが操作するユーザ端末４からのアクセスが可能である。情報管理サーバ１は、ユーザ端末４からのアクセスに応じて（ユーザからの要求に応じて）、各種の情報の登録、削除、および、更新を実行する。たとえば、情報管理サーバ１は、ユーザからの要求に応じて、車載器３に固有情報を登録したり、車載器３の固有情報を更新したりする。また、情報管理サーバ１は、サービスを提供する事業者に関する情報（各事業者システム２に関する情報）も管理する。たとえば、情報管理サーバ１は、本スキームを利用できる事業者の事業者システム２に対して利用者情報などの情報提供を行う。

事業者システム２（２Ａ、２Ｂ、２Ｃ、…）は、ユーザに対してサービスを提供する事業者が運用するシステムである。事業者システム２は、車載器３と通信する機能、および、情報管理サーバ１と通信する機能を有する。事業者システム２は、たとえば、ＤＳＲＣ方式の無線通信により車載器３と通信する。事業者システム２は、車載器３との無線通信により車載器３から固有情報を読み取り、各種のサービスを提供する。また、事業者システム２は、車載器３から読み取った固有情報により情報管理サーバ１からサービスの提供に必要な利用者情報などを取得する。

車載器３は、ユーザが使用する車両に搭載される。車載器３は、データの登録及び更新が可能なメモリ、事業者システム２と通信する無線通信機能、および、ユーザ端末４との通信機能などを有する。たとえば、車載器３は、ＤＳＲＣ通信による通信方式を有し、メモリが民間利用に解放されているＤＳＲＣ車載器が想定される。事業者システム２によるＤＳＲＣ通信の通信範囲を走行する車両に搭載したＤＳＲＣ車載器は、事業者システム２と無線通信する。また、車載器３は、ユーザ端末４との通信によりメモリが記憶する情報を更新する。

ユーザ端末４は、車載器３の利用者が操作する端末装置である。ユーザ端末４は、本スキームを通じて、ＤＳＲＣ車載器３を使ってサービスを受けたい利用者が操作する端末装置である。ユーザ端末４は、たとえば、スマートフォン、パーソナルコンピュータ（ＰＣ）、カーナビシステムなどの機器である。ユーザ端末４は、情報管理サーバ１にアクセスする機能と、車載器３にアクセスする機能とを有する。ただし、ユーザ端末４が情報管理サーバ１と通信する方式、および、ユーザ端末４が車載器３と通信する方式は、有線による通信であっても良いし、無線による通信であっても良い。

次に、情報管理システムを構成する各装置のハードウエア構成について説明する。
図２は、本実施形態に係る情報管理システムの各装置におけるハードウエア構成例を概略的に示すブロック図である。
まず、情報管理サーバ１のハードウエア構成について説明する。
図２に示す構成例において、情報管理サーバ１は、制御部１１、ネットワークインターフェース（ＮＷ Ｉ／Ｆ）１２、インターフェース１３、記憶部１４などを有する。制御部１１は、ＣＰＵなどのプロセッサ、ＲＡＭ、ＲＯＭ、書換え可能な不揮発性メモリなどのメモリ、及び、各種の内部インターフェースを有する。制御部１１は、ＣＰＵなどのプロセッサがメモリに記憶されているプログラムを実行することにより各種の処理を実行する。

ネットワークインターフェース１２は、ネットワークを介してユーザ端末４と通信するためのインターフェースである。図２に示す構成例において、ネットワークインターフェース１２は、インターネットなどのネットワークを介してユーザ端末４と通信する。インターフェース１３は、各事業者システム２（２Ａ、２Ｂ、２Ｃ、…）と通信するためのインターフェースである。図２に示す構成例において、インターフェース１３は、専用の通信回線などを介して各事業者システム２と通信する。ただし、情報管理サーバ１は、ネットワークを介して、各事業者システム２と通信するようにしても良い。この場合、ネットワークインターフェース１２とインターフェース１３とは、共通のインターフェースであっても良い。

記憶部１４は、データを記憶するメモリである。記憶部１４は、ハードディスクドライブ（ＨＤＤ）、或いは、ソリッドステートドライブ（ＳＳＤ）などの書換可能な大容量の不揮発性メモリにより構成する。記憶部１４は、利用者情報を記憶する利用者データベース１５を有する。利用者データベース１５は、各利用者の利用者情報を記憶する。利用者データベース１５は、各事業者システム２が提供するサービスを受けるための利用者情報を記憶する。たとえば、利用者データベース１５は、利用者情報として、利用者ごとに車載器３に記録した固有情報および利用者の識別情報（利用者ＩＤ）などを含む情報を記憶する。なお、後述する変形例では、利用者データベース１５´の他に、各利用者の許可リストファイル５１（５１ａ、５１ｂ、５１ｃ、…）および事業者別の顧客シリアル番号を記憶するテーブル５２なども記憶部１４に記憶する。

次に、事業者システム２（２Ａ、２Ｂ、２Ｃ、…）のハードウエア構成例について説明する。
図２に示す構成例において、事業者システム２は、制御部２１、無線通信器２２、記憶部２３、および、インターフェース２４などを有する。たとえば、事業者システム２は、制御部２１、記憶部２３及びインターフェース２４を有する制御装置と制御装置に接続した無線通信器２２とにより構成する。

事業者システム２における制御部２１は、ＣＰＵなどのプロセッサ、ＲＡＭ、ＲＯＭ、書換え可能な不揮発性メモリなどのメモリ、及び、各種の内部インターフェースを有する。制御部２１は、事業者システム２全体の制御を司る。制御部２１は、ＣＰＵなどのプロセッサがメモリに記憶されているプログラムを実行することにより各種の処理を実行する。たとえば、制御部２１は、無線通信器２２による車載器３との通信、インターフェースを介した情報管理サーバ１との通信などを制御する。

無線通信器２２は、車載器３と無線通信するための機器である。本実施形態において、無線通信器２２は、ＤＳＲＣ通信により所定の通信範囲に存在する車載器３と無線通信する。無線通信器２２は、たとえば、アンテナとアンテナに接続した通信制御部とにより構成する。この場合、無線通信器２２のアンテナは、車載器３を搭載した車両が走行する路側に設け、所定の通行エリアでＤＳＲＣ通信が行えるように電波を送受信する。

記憶部２３は、事業者システム２が提供するサービスに関する情報を記録する。たとえば、事業者システム２が車載器３を搭載した車両に対して駐車場のサービスを提供する場合、記憶部２３は、車載器３を搭載した車両の駐車場の利用状況を示す情報（入出場情報など）を記憶する。

インターフェース２４は、情報管理サーバ１と通信するためのインターフェースである。図２に示す構成例において、インターフェース２４は、専用の通信回線などを介して情報管理サーバ１と通信する。ただし、インターフェース２４は、ネットワークを介して、情報管理サーバ１と通信するようにしても良い。

次に、車載器３のハードウエア構成例について説明する。
図２に示す構成例において、車載器３は、制御部３１、無線通信器３２、メモリ３３、および、インターフェース３４などを有する。

車載器３における制御部３１は、ＣＰＵなどのプロセッサ、ＲＡＭ、ＲＯＭ、書換え可能な不揮発性メモリなどのメモリ、及び、各種の内部インターフェースを有する。制御部３１は、車載器３全体の制御を司る。制御部３１は、ＣＰＵなどのプロセッサがメモリに記憶されているプログラムを実行することにより各種の処理を実行する。たとえば、制御部３１は、無線通信器３２による事業者システムの無線通信器２２との通信処理、インターフェース３４を介したユーザ端末４との通信処理、あるいは、送受信するデータのデータ処理などを実行する。

無線通信器３２は、事業者システム２の無線通信器２２と無線通信するための機器である。無線通信器３２は、当該車載器３を搭載した車両が、事業者システム２の無線通信器２２による通信エリアを走行する場合にＤＳＲＣ通信により無線通信器２２と無線通信する。

メモリ３３は、固有情報を記憶する。メモリ３３は、書換え可能な不揮発性メモリで構成する。メモリ３３に記憶する固有情報は、ユーザ端末４から処理要求に応じて更新することが可能である。メモリ３３に記憶する固有情報は、車載器３の無線通信器３２と事業者システム２の無線通信器２２とのＤＳＲＣ通信によって、車載器３から事業者システム２へ通知される。

インターフェース３４は、ユーザ端末４に接続するためのインターフェースである。インターフェース３４は、ユーザ端末４から固有情報に対する更新情報を取得できるものであれば良く、有線で車載器３と接続するものであっても良いし、無線により車載器３と通信接続するものであっても良い。

次に、ユーザ端末４のハードウエア構成例について説明する。
図２に示す構成例において、ユーザ端末４は、制御部４１、ネットワークインターフェース（Ｉ／Ｆ）４２、操作部４３、表示部４４、および、インターフェース（Ｉ／Ｆ）４５を有する。制御部４１は、ＣＰＵなどのプロセッサ、ＲＡＭ、ＲＯＭ、書換え可能な不揮発性メモリなどのメモリ、および、各種の内部インターフェースを有する。制御部４１は、ＣＰＵなどのプロセッサがメモリに記憶されているプログラムを実行することにより各種の処理を実行する。

ネットワークインターフェース４２は、情報管理サーバ１と通信するためのインターフェースである。図２に示す構成例において、ネットワークインターフェース４２は、インターネットなどのネットワークに接続するネットワークインターフェースである。ネットワークインターフェース４２は、ネットワークを介して情報管理サーバ１と通信する。たとえば、ユーザ端末４は、ネットワークインターフェース４２により接続するインターネットを介して情報管理サーバ１が提供するＷＥＢページにアクセスする。

操作部４３は、利用者が情報を入力するものである。操作部４３は、キーボード、テンキー、あるいは、タッチパネルなどにより構成する。表示部４４は、情報を表示するものである。たとえば、操作部４３及び表示部４４は、タッチパネル付きの液晶表示装置により構成する。

インターフェース４５は、車載器３に接続するためのインターフェースである。インターフェース４５は、固有情報の更新情報および固有情報の更新要求を車載器３へ供給できるものであれば良く、有線（例えば、ＵＳＢ、ＲＳ２３２Ｃなど）で車載器３と接続するものであっても良いし、無線（例えば、無線ＬＡＮ、ＢｌｕｅＴｏｏｔｈ（登録商標）、ＮＦＣなど）により車載器３と通信接続するものであっても良い。

なお、ユーザ端末４としては、情報管理サーバ１、および、車載器３に接続でき、利用者からの指示を入力できる装置であれば良く、特定の装置に限定されるものではない。たとえば、ユーザ端末４は、スマートフォン、カーナビゲーション装置、パーソナルコンピュータ（ＰＣ）、タブレットＰＣ、携帯電話機などが想定されるが、これらの装置に限定されるものはない。

次に、利用者データベース１５の構成について説明する。
図３は、利用者データベース１５の構成例を示す図である。
図３に示す構成例において、利用者データベース１５は、利用者毎に、ユーザ名、固有情報、利用者ＩＤ、および、事業者許可リスト（許可リスト）を含む利用者情報を記憶する。

ユーザ名は、利用者を識別する名称である。固有情報は、利用者の車載器３に記録する識別情報である。固有情報は、情報管理サーバ１により更新可能な情報である。つまり、固有情報は、任意のタイミングで更新される可能性がある。たとえば、利用者データベース１５における固有情報は、ユーザ端末４からの更新要求を受けた情報管理サーバ１が新たな固有情報に更新（再設定）される。利用者ＩＤは、利用者を識別する情報である。利用者ＩＤは、事業者システム２がサービスを提供するために利用する識別情報である。利用者ＩＤは、事業者システム２からの問合せに対する応答として、事業者システム２へ提示される。

事業者許可リスト（許可リスト）は、サービスの提供を許可する事業者（事業者システム２）を示す情報である。許可リストは、各事業者システム２に対して利用者ＩＤなどの利用者情報を提供するか否かを判断するための情報である。言い換えれば、許可リストは、各事業者システム２に対するアクセスの可否を示す情報である。たとえば、許可リストとしては、当該利用者がサービスの提供を許可する事業者を示す情報がリストアップされる。また、許可リストとしては、当該利用者がサービスの提供を拒否する事業者を示す情報をリストアップしても良い。

以下、情報管理システムの運用を想定した各種の処理について説明する。
まず、情報管理システムにおける運用上の制限の例について説明する。
本実施形態に係る情報管理システムの車載器３は、ＥＴＣ機能を有するＥＴＣ車載器或いはＤＳＲＣ車載器を想定する。すなわち、情報管理システムは、ＥＴＣ車載器或いはＤＳＲＣ車載器としての車載器３を用いて種々の事業者が提供するＥＴＣ以外のサービスを受けるシステムであるものする。ＥＴＣ車載器或いはＤＳＲＣ車載器としての車載器３は、ＥＴＣ機能を実現するため、運用上の制限が設けられる。たとえば、本実施形態に係る車載器３は、運用上の制限として、以下のような特性（ａ）〜（ｅ）を有する。

（ａ）車載器３は、車両に搭載される。ＥＴＣシステムにおいては、走行中の車両に搭載されている車載器と路側装置とがＤＳＲＣ通信する。車載器３は、事業者からサービスを受けるための固有情報を多数設定することは難しい。たとえば、車載器３は、スマートフォン或いはＰＣのように、事業者が提供するサービスごとに固有情報を設定することは難しい。このため、車載器３が複数の事業者或いは複数のアプリケーションに開示する固有情報（当該車載器３あるいは利用者を特定するための情報）は、共通化される。

（ｂ）車載器３は、車両に搭載しての使用であるため、一部の事業者からのアクセスだけをケースバイケースで拒否することが困難である。また、車載器３は、安全性などの理由から、一部の事業者からのアクセスだけをケースバイケースで拒否するような構成を有していない。

（ｃ）車載器３は、スマートフォン或いはＰＣのように、任意にアプリケーションを導入することができない。つまり、車載器３は、ユーザの了解がある場合であっても容易にアプリケーションを導入することはできない。
（ｄ）車載器３は、事業者システム２からの固有情報の読出し要求に対して、固有情報の読出し許可を事業者（アプリケーション）ごとに設定できない。
（ｅ）車載器３は、本来のサービス以外の目的（例えば、車両の追跡等など）を意図する場合であっても、事業者システム２からのアクセスを拒否できない。

なお、上述したような車載器３の性質（運用上の制限）は、一例であって、必ずしも上述した特性（ａ）〜（ｅ）の全てが必要となるものではない。つまり、車載器３に対する運用上の制限は、運用形態に応じて決定されるものであって、上述する特性（ａ）〜（ｅ）に限定されるものではない。たとえば、車載器３に対する運用上の制限は、上述する特性（ａ）〜（ｅ）の何れか１つ、又は、上述した特性（ａ）〜（ｅ）の何れか複数を組み合わせたものであっても良い。

次に、情報管理システム全体における処理の流れを概略的に説明する。
図１に示すように、情報管理システムは、利用者情報を登録及び更新する機能と利用者に事業者からのサービスを提供する機能とを有する。

まず、情報管理システムにおける利用者情報の登録及び更新について概略的に説明する。
情報管理サーバ１は、利用者情報を登録する機能（登録処理機能）、及び、利用者情報を更新する機能（更新処理機能）を有する。例えば、情報管理サーバ１は、ネットワーク上に提供するＷＥＢサービスによって、ユーザ端末４から利用者情報の登録及び更新の要求を受付ける。情報管理サーバ１は、ユーザ端末４からの要求に応じて、利用者情報の登録及び更新を行う。

情報管理サーバ１は、機能（登録処理機能）、及び、利用者データベースの情報を更新する機能（更新処理機能）を有する。例えば、情報管理サーバ１は、ネットワーク上に提供するＷＥＢサービスによって、ユーザ端末４から利用者情報の登録及び更新の要求を受付ける。情報管理サーバ１は、ユーザ端末４からの要求に応じて、利用者情報の登録及び更新を行う。

情報管理サーバ１は、ユーザ端末４からの新規登録の要求に応じて、利用者情報の新規登録処理を行う。情報管理サーバ１は、利用者情報の新規登録処理として、利用者データベース１５に登録者の情報を登録するとともに、ユーザ端末４を介して車載器３に固有情報を記録する。利用者情報の新規登録処理において、ユーザ端末４は、情報管理サーバ１から供給される固有情報を車載器３に記録する。

また、情報管理サーバ１は、ユーザ端末４からの更新の要求に応じて、利用者情報の更新処理を行う。情報管理サーバ１は、利用者情報の更新処理として、利用者データベース１５に登録されている利用者情報を更新するとともに、ユーザ端末４を介して車載器３に記録されている固有情報を更新する。利用者情報の更新処理において、ユーザ端末４は、情報管理サーバ１から取得する固有情報を車載器３に記録（更新）する。

また、情報管理サーバ１は、ユーザ端末４からの登録解除の要求に応じて、利用者情報の解除（削除）処理を行う。情報管理サーバ１は、利用者情報の解除処理として、利用者データベース１５に登録されている利用者情報を抹消（無効化）するとともに、ユーザ端末４を介して車載器３に記録されている固有情報を抹消（無効化）する。利用者情報の解除処理において、ユーザ端末４は、車載器３に記録されている固有情報を抹消（無効化）する。

情報管理サーバ１は、登録処理又は更新処理において、利用者の車載器３に記録する固有情報を生成（発行）する。情報管理サーバ１が生成する固有情報は、各事業者システム２が当該利用者にサービスを提供するための情報（利用者ＩＤなどの利用者の識別情報）を情報管理サーバ１から取得するための情報である。情報管理サーバ１が生成し、利用者の車載器３に記録する固有情報は、車載器３が各事業者システム２へ開示する情報であって、当該情報管理システムにおける他のどの車載器３の固有情報とも重複しないユニークな情報である。また、情報管理サーバ１が生成する固有情報は、過去に生成したどの固有番号とも重複しない情報（或いは、過去に生成した固有情報と関連付けられない情報）であるものとする。

また、情報管理サーバ１が生成し、利用者の車載器３に記録される固有情報は、利用者の要望（ユーザ端末４からの要求）に応じて任意のタイミングで更新される情報であって、個々の車載器３に固定の情報ではない。すなわち、情報管理サーバ１は、ユーザ端末４からの要求に応じて任意のタイミングで新たにユニークな固有情報を発行し、新たな固有情報による利用者情報の更新処理を行う。

また、ユーザ端末４は、情報管理サーバ１による固有情報の生成（新規発行、或いは、再発行）に伴って、車載器３に固有情報を設定（新規登録、或いは、再設定）する機能を有する。すなわち、利用者情報の新規登録処理において、ユーザ端末４は、情報管理サーバ１が新規発行した固有情報を車載器３に新規登録する。また、利用者情報の更新処理において、ユーザ端末４は、情報管理サーバ１が再発行した固有情報を車載器３に記録（再設定）する。

情報管理サーバ１が管理する固有情報と車載器３が記録する固有情報とは、一致する必要がある。このため、情報管理システム全体としては、情報管理サーバ１が発行した固有情報が車載器３に登録及び更新されるまでの一連の処理を、固有情報の登録及び更新処理とする。情報管理サーバ１は、車載器３への固有情報の登録及び更新が完了したのを確認したのに基づいて固有情報の登録及び更新処理を完了とする。

また、情報管理サーバ１は、各利用者がサービスを受ける事業者（利用者ＩＤの開示を許可する事業者システム２）を指定する情報を利用者情報として利用者データベース１５に記録（登録又は更新）する。本情報管理システムにおいて、サービスを受ける事業者（利用者ＩＤの開示を許可する事業者システム２）は、各利用者がユーザ端末４を用いて指定する。情報管理サーバ１は、各利用者によるユーザ端末４からの指定に従って、サービスを受ける事業者（利用者ＩＤの開示を許可する事業者システム２）を示す情報（事業者許可リスト）を登録又は更新する。

次に、情報管理システムにおいて利用者に事業者がサービスを提供する機能について概略的に説明する。
図１に示すように、情報管理システムにおいて、事業者システム２は、車載器３から取得した情報（固有情報）に基づいて、サービスを提供する利用者を特定するための利用者ＩＤを情報管理サーバ１から取得する。つまり、情報管理サーバ１は、事業者システム２からの固有番号に基づく問合せに応じて、当該固有番号に対応する利用者に関する情報（利用者ＩＤ、又は、サービスの拒否を示す情報）を事業者システム２へ提供する。

たとえば、事業者システム２は、無線通信器（ＤＳＲＣの無線通信器）２２の通信範囲を通行する車両に搭載された車載器３から固有情報を読み取る。事業者システム２は、車載器３から読み取った固有情報に対応する利用者ＩＤを情報管理サーバ１へ問い合わせる。情報管理サーバ１は、事業者システム２から問合せ（固有情報に対応する利用者ＩＤの転送要求）を受けた場合、問合せの対象となる固有情報をキーとして利用者データベース１５を検索する。当該固有情報を検出すると、情報管理サーバ１は、当該固有情報に対応する利用者情報に含まれている許可リストに従って問合せ元の事業者システム２へ利用者ＩＤを開示しても良いか否か（サービスを受けるか否か）を判断する。

情報管理サーバ１は、利用者ＩＤを開示しても良い（サービスを受ける）と判断した場合には当該事業者システム２に利用者ＩＤを提供し、利用者ＩＤを開示しない（サービスの利用を拒否する）と判断した場合には当該事業者システム２に利用を拒否する旨を通知する。事業者システム２は、情報管理サーバ１から利用者ＩＤを取得した場合には取得した利用者ＩＤを用いて車載器３の利用者に対するサービスを提供し、情報管理サーバ１からサービスの利用を拒否する旨の通知を受信した場合には当該利用者（車載器）に対するサービスを実施しない。

次に、情報管理システムの情報管理サーバ１、ユーザ端末４及び車載器３による固有情報を含む利用者情報の登録及び更新の処理例について説明する。
図４は、情報管理システムの情報管理サーバ１、ユーザ端末４および車載器３による、利用者情報の登録、更新および解除を行う処理の流れを説明するための図である。
利用者情報の登録、更新或いは解除を行うユーザは、ユーザ端末４を操作し、情報管理サーバ１へ接続する。たとえば、ユーザ端末４は、情報管理サーバ１が提供するＷＥＢサイト（利用者情報の登録変更画面）にアクセスする。情報管理サーバ１は、まず、ログイン画面をユーザ端末４の表示部４４に表示させる。ユーザは、表示部４４に表示された登録変更画面上で要求されるログイン情報をユーザ端末４の操作部４３により入力する。ユーザ端末４は、操作部４３で入力されたログイン情報をログイン要求とともに情報管理サーバ１へ送信する（ステップＳ１）。情報管理サーバ１は、ユーザ端末４から受信したログイン情報によりユーザのログインを受付ける。

ログインを受付けると、情報管理サーバ１は、ユーザ端末４に対して、新規登録の入力画面（新規登録画面）、あるいは、利用者情報に対する変更（更新或いは解除など）の入力画面（変更入力画面）をユーザ端末４の表示部４４に表示させる（ステップＳ２）。たとえば、ログインした利用者が利用者情報を登録していない利用者（新規登録の利用者）であれば、情報管理サーバ１は、登録情報の入力を受付ける登録入力画面を表示部４４に表示させる。この場合、ユーザは、表示部４４に表示された変更入力画面において設定の変更内容を入力する。設定の変更内容が入力されると、ユーザ端末４は、入力された変更内容への変更を指示する
また、ログインした利用者が利用者情報を登録済みの利用者であれば、情報管理サーバ１は、当該利用者データベースに記録されている当該利用者の現在の設定内容を案内するとともに、設定内容の変更入力を受付ける変更入力画面を表示部４４に表示させる。

たとえば、図５は、現在の設定内容に対する変更入力を受付ける変更入力画面の表示例である。図５に示す表示例において、ユーザ端末４の表示部４４は、ログインした利用者が、各事業者のサービスを受けるか否かを示す設定情報を表示する。図５に示す表示例では、サービスを提供する事業者名と各事業者に対応するチェックボックスとが表示されている。チェックボックスは、対応する事業者のサービスを受けるか否かを示す。チェックボックスは、操作部４３を操作することにより、チェックの有無が変更される。ユーザは、チェックボックスの表示状態を変更することにより現在の設定を変更する。チェックボックスにおける設定内容を変更した状態で確定ボタンを入力すると、ユーザ端末４は、入力された変更内容での登録内容の変更（更新）を情報管理サーバ１へ要求する。

すなわち、ユーザは、表示部４４に表示された新規登録画面、あるいは、変更入力画面において設定の変更内容を入力する。新規登録情報が入力されると、ユーザ端末４は、入力された登録内容による新規登録を情報管理サーバ１へ要求する（ステップＳ３）。また、登録内容の変更が入力されると、ユーザ端末４は、入力された変更内容による登録内容の変更（更新）を情報管理サーバ１へ要求する（ステップＳ３）。

たとえば、ユーザ端末４から固有情報以外の変更が要求すると、情報管理サーバ１は、指示された変更内容に従って利用者データベース１５に記録されている利用者情報を更新する。指示された変更内容に従って利用者情報を更新すると、情報管理サーバ１は、新しい固有情報の設定（固有情報の再設定）を利用者に促す案内をユーザ端末４の表示部４４に表示させる（ステップＳ４）。固有情報の再設定を促す案内を表示した状態において、ユーザ端末４は、ユーザによる固有情報の再設定の指示を受付ける。ユーザ端末４は、操作部４３による固有情報の再設定の指示に応じて、固有情報の再設定を情報管理サーバ１へ要求する（ステップＳ５）。なお、固有情報の再設定を行わない場合、ユーザ端末４は、ログアウトしても良いし、別の設定を行うようにしても良い。

情報管理サーバ１は、ユーザ端末４から固有情報の再設定が要求された場合、当該利用者の車載器３に記録する固有情報を生成する（ステップＳ６）。情報管理サーバ１は、管理対象となる他の利用者の固有番号と重複せず、かつ、過去に生成した固有番号とも重複しない固有情報を生成する。

固有情報を生成すると、情報管理サーバ１は、当該固有情報を利用者の車載器３に記録させる処理を行う。情報管理サーバ１は、直接的に車載器３に対して直接的に固有情報を書き込めない。このため、情報管理サーバ１は、ユーザ端末４に対して生成した新たな固有情報を車載器３へ書込むこと（設定すること）を要求する（ステップＳ７）。

車載器３への新たな固有情報の書込みを要求されると、ユーザ端末４は、インターフェースにより車載器３に通信接続する。車載器３に接続すると、ユーザ端末４は、車載器３のメモリに新たな固有情報を書き込む処理（設定処理）を実行する（ステップＳ８）。車載器３への固有情報の書込みが完了すると、ユーザ端末４は、車載器３への固有情報の書込み完了を示す通知を情報管理サーバ１へ通知する（ステップＳ９）。

情報管理サーバ１は、ユーザ端末４からの車載器３への固有情報の書込み完了を示す通知を受けた場合、情報管理サーバ１は、利用者データベース１５に記憶されている当該利用者の固有情報を更新する。利用者データベース１５への固有情報の書込みが完了した場合、情報管理サーバ１は、固有情報の更新処理の完了をユーザ端末４へ通知する（ステップＳ１０）。情報管理サーバ１から更新処理の完了通知を受けた場合、ユーザ端末４は、ログアウトする（ステップＳ１１）。

また、ユーザ端末４から新規登録が指示された場合、情報管理サーバ１は、ステップＳ４及びＳ５の処理を省略し、新規に車載器３に登録する新固有情報を生成する（ステップＳ６）。ここでも、情報管理サーバ１が生成する新固有情報は、管理対象となる他の利用者の固有番号と重複せず、かつ、過去に生成した固有番号とも重複しない情報であるものとする。新固有情報を生成すると、情報管理サーバ１は、ユーザ端末４に生成した新固有番号の車載器３への新規登録を要求する（ステップＳ７）。ユーザ端末４は、情報管理サーバ１からの新規登録要求に応じて車載器３に新固有情報を新規登録する（ステップＳ８）。車載器３への固有情報の新規登録が正常終了すると、ユーザ端末４は、情報管理サーバへ車載器３に対する固有情報の新規登録の正常終了を通知する。車載器３に対する新規登録の正常終了を受信すると、情報管理サーバ１は、利用者データベース１５に新固有情報を含む利用者情報を新規登録し（ステップＳ９）、新規登録処理の完了をユーザ端末４へ通知する（ステップＳ１０）。

また、ユーザ端末４から登録解除が指示された場合、情報管理サーバ１は、ステップＳ４−Ｓ６の処理を省略し、ユーザ端末４に車載器３に対する固有情報の初期化（解除）を要求する（ステップＳ７）。ユーザ端末４は、情報管理サーバ１からの初期化要求に応じて車載器３の固有情報を初期化する（ステップＳ８）。車載器３に対する固有情報の初期化が正常終了すると、ユーザ端末４は、情報管理サーバ１へ車載器３に対する固有情報の初期化終了を通知する。車載器３に対する固有情報の初期化終了を受信すると、情報管理サーバ１は、利用者データベース１５に登録されている当該利用者の固有情報を含む利用者情報を登録解除し（ステップＳ９）、登録解除処理の完了をユーザ端末４へ通知する（ステップＳ１０）。

次に、情報管理サーバ１による利用者情報の新規登録、更新および解除の処理手順について詳細に説明する。

図６は、情報管理サーバ１における新規登録処理の流れを説明するためのフローチャートである。また、図７は、情報管理サーバ１における更新及び解除処理の流れを説明するためのフローチャートである。
まず、利用者情報の新規登録、更新或いは解除を行うユーザは、ユーザ端末４を操作し、情報管理サーバ１へ接続する。たとえば、ユーザ端末４は、情報管理サーバ１が提供するＷＥＢサイト（利用者情報の登録変更画面）にアクセスし、ログイン画面によりログイン情報を入力する。情報管理サーバ１の制御部１１は、ユーザ端末４から受信したログイン情報によりユーザのログインを受付ける（ステップＳ２１）。新規登録の場合、情報管理サーバ１の制御部１１は、ユーザ端末４から受信したログイン情報により新規登録者としてログインを受付ける。また、更新或いは解除の場合、情報管理サーバ１は、ユーザ端末４から受信したログイン情報と登録済みの利用者情報（ユーザ名等）とが一致すれば、登録済みの利用者のログインを受付ける。

ログインを受付けると、情報管理サーバ１の制御部１１は、ログインした利用者が新規登録者であるか否かを判断する（ステップＳ２２）。新規登録者であると判断した場合（ステップＳ２２、ＹＥＳ）、情報管理サーバ１の制御部１１は、新規登録画面をログインしたユーザ端末４の表示部４４に表示させる（ステップＳ２３）。たとえば、新規登録画面には、利用者の個人情報の入力欄、ユーザ名の入力欄、サービスの提供を受ける事業者を選択する選択欄、および、登録を指示するアイコンなどが表示される。ユーザは、ユーザ端末４の操作部４３を用いて、表示部４４に表示された新規登録画面に対して、新規登録情報を入力し、新規登録を指示する。新規登録が指示されると、ユーザ端末４の制御部４１は、新規登録要求とともに新規登録画面において入力された情報（新規登録情報）を情報管理サーバ１へ送信する。

ユーザ端末４から新規登録要求と新規登録情報とを受信すると、情報管理サーバ１の制御部１１は、受信した新規登録情報を利用者データベース１５に登録する（ステップＳ２４）。新規登録情報を利用者データベース１５に登録する場合、制御部１１は、当該利用者に対する利用者ＩＤを発行し、利用者情報の一部として利用者データベース１５に記憶する。利用者ＩＤは、利用者を一意に特定できるユニークな情報であれば良い。また、利用者ＩＤは、その情報自体が後述する固有情報とは関連しないものとする。

また、ユーザ端末４から新規登録要求を受信した場合、情報管理サーバ１の制御部１１は、当該新規登録者（利用者）の車載器３に割り当てる固有情報を生成する（ステップＳ２５）。制御部１１が生成する固有情報は、利用者ＩＤなどの利用者を直接的に識別できる情報ではなく、車載器３に固定の情報（例えば、ＥＴＣで利用されるワイヤレスコールナンバー（ＷＣＮ））とは直接的に関連しない情報である。また、制御部１１は、他の利用者（車載器）の固有番号と重複せず、過去に生成したどの固有番号とも重複しない固有情報を生成する。

固有情報を生成すると、制御部１１は、ユーザ端末４に対して車載器３への固有番号の記録を要求する（ステップＳ２６）。制御部１１は、ユーザ端末４に対して車載器３への固有情報の書込み要求とともに、車載器３に記録すべき固有情報とを送信する。ユーザ端末４に車載器３への固有情報の記録を要求した後、制御部１１は、ユーザ端末４からの車載器３に対する固有情報の記録の終了通知待ちとなる（ステップＳ２７）。

ユーザ端末４の制御部４１は、情報管理サーバ１からの車載器３に対する固有番号の記録要求に応じて、インターフェース４５により車載器３に接続する。車載器３に接続したユーザ端末４の制御部４１は、車載器３のメモリ３３に固有番号を記録する処理を実行する。車載器３に対する固有番号の記録が正常終了すると、ユーザ端末４の制御部４１は、ネットワークインターフェース４２により車載器３に対する固有情報の記録が正常終了したことを情報管理サーバ１へ通知する。

ユーザ端末４から車載器３に対する固有情報の記録が正常終了したことを示す通知を受信した場合（ステップＳ２７、ＹＥＳ）、制御部１１は、車載器３に記録した固有情報（新規に生成した固有情報）を当該利用者の利用者情報として利用者データベース１５に記憶する（ステップＳ２８）。利用者データベース１５に固有情報を記憶すると、制御部１１は、新規登録が完了したと判断する。新規登録処理が完了したと判断した場合、制御部１１は、新規登録の完了を示す通知をユーザ端末４へ通知し（ステップＳ２９）、処理を終了する。

また、ユーザ端末４から車載器３に対する固有情報の記録が正常終了したことを示す通知が受信できない場合（ステップＳ２７、ＮＯ）、制御部１１は、新規登録が未了（失敗）であると判断する。たとえば、ユーザ端末４から固有情報の記録が正常終了したことを示す通知が所定時間内に受信できない場合、あるいは、ユーザ端末４から車載器３に対する固有情報の記録に失敗した旨の通知を受けた場合、制御部１１は、新規登録が失敗したと判断する。

新規登録が失敗したと判断した場合、制御部１１は、固有情報を登録することなく、利用者データベース１５に登録した固有情報以外の利用者情報を無効化する（ステップＳ３０）。たとえば、制御部１１は、利用者情報の無効化として、利用者データベース１５に登録した利用者情報を削除しても良いし、利用者データベース１５に登録した利用者情報を固有情報無し（無効な状態）のままとしておくようにしても良い。利用者データベース１５に登録した利用者情報を無効化すると、制御部１１は、新規登録が失敗したことを示す通知をユーザ端末４へ通知し（ステップＳ３１）、処理を終了する。

次に、図７を参照して、情報管理サーバ１にログインした利用者が新規登録者でない場合の処理（更新処理及び解除処理）について説明する。
ログインした利用者が新規登録者でないと判断した場合（ステップＳ２２、ＮＯ）、情報管理サーバ１の制御部１１は、登録内容の変更入力を受付ける変更入力画面をログインしたユーザ端末４の表示部４４に表示させる（ステップＳ４１）。たとえば、変更入力画面は、固有番号の再設定（更新）、固有番号以外の設定情報の更新（例えば、サービスの提供を許可する事業者の再設定）、および、登録解除などの指示入力を受付ける入力画面である。

ユーザは、ユーザ端末４の操作部４３により、表示部４４に表示された変更入力画面に対して登録情報の変更内容を入力する。固有情報を再設定（更新）する場合、ユーザ端末４の制御部４１は、操作部４３による固有情報の再設定（更新）の指示に応じて、固有情報の再設定要求を情報管理サーバ１へ送信する。また、固有情報以外の利用者情報を更新する場合、ユーザ端末４の制御部４１は、操作部４３による利用者情報の変更内容の入力に応じて、入力された変更内容を示す更新情報を更新要求とともに情報管理サーバ１へ送信する。

例えば、サービスを受ける事業者の再設定（更新）が指示された場合、ユーザ端末４の制御部４１は、図４に示すような入力画面を表示部４４に表示し、当該入力画面において入力された事業者の設定情報を更新要求とともに情報管理サーバ１へ送信する。また、利用者情報の登録を解除する場合、ユーザ端末４の制御部４１は、操作部４３による登録解除の指示に応じて登録解除要求を情報管理サーバ１へ送信する。

ここで、情報管理サーバ１が固有情報を再設定（更新）する処理の流れについて説明する。
ユーザ端末４から固有情報の再設定（更新）が要求された場合（ステップＳ４２、ＹＥＳ）、情報管理サーバ１の制御部１１は、ログインしている利用者の車載器３に再設定する新たな固有情報を生成する（ステップＳ４７）。制御部１１が生成する固有情報は、利用者ＩＤなどの利用者を直接的に識別できる情報ではなく、車載器３に固定の情報とは直接的に関連しない情報であって、制御部１１は、他の利用者（車載器）の固有番号と重複せず、過去に生成したどの固有番号とも重複しない固有情報を生成する。

再設定する新たな固有情報を生成すると、制御部１１は、ユーザ端末４に対して車載器３への固有番号の再設定（更新）を要求する（ステップＳ４８）。たとえば、制御部１１は、車載器３の固有情報の再設定要求とともに、新たな固有情報をユーザ端末４に送信する。ユーザ端末４に車載器３の固有情報の再設定を要求した後、制御部１１は、ユーザ端末４からの車載器３に対する固有情報の再設定の終了通知待ちとなる（ステップＳ４９）。

ユーザ端末４の制御部４１は、情報管理サーバ１からの車載器３への固有番号の再設定要求に応じて、インターフェース４５により車載器３に接続する。車載器３に接続すると、ユーザ端末４の制御部４１は、車載器３に記録されている固有情報を情報管理サーバ１から取得した新たな固有番号に再設定（更新）する。車載器３の固有番号の再設定が正常終了すると、ユーザ端末４の制御部４１は、ネットワークインターフェース４２により車載器３の固有情報の更新が正常終了したことを情報管理サーバ１へ通知する。

ユーザ端末４から車載器３に対する固有情報の更新が正常終了したことを示す通知を受信した場合（ステップＳ４９、ＹＥＳ）、制御部１１は、生成した固有情報を当該利用者の利用者情報として利用者データベース１５に記憶されている当該利用者の固有情報を生成した固有情報に更新する（ステップＳ５０）。利用者データベース１５の固有情報を更新すると、制御部１１は、固有情報の更新が完了したものと判断する。固有情報の更新が完了したと判断した場合、制御部１１は、固有情報の更新の完了を示す通知をユーザ端末４へ通知し（ステップＳ５１）、処理を終了する。

また、ユーザ端末４から車載器３に対する固有情報の更新が正常終了したことを示す通知が受信できない場合（ステップＳ４９、ＮＯ）、制御部１１は、固有情報の更新が未了（失敗）であると判断する。たとえば、ユーザ端末４から車載器３に対する固有情報の再設定が正常終了したことを示す通知が所定時間内に受信できない場合、あるいは、ユーザ端末４から車載器３に対する固有情報の再設定（更新）に失敗した旨の通知を受けた場合、制御部１１は、固有情報の更新が未了と判断する。

車載器３に対する固有情報の更新が失敗したと判断した場合、制御部１１は、利用者データベース１５に利用者情報として新たに生成した固有情報を無効化する（ステップＳ５２）。制御部１１は、固有情報の無効化として、利用者データベース１５における当該利用者の固有情報を更新要求前の固有情報のままとしても良いし、利用者データベース１５における当該利用者の固有情報を削除しても良い。生成した固有番号を無効化すると、制御部１１は、更新が失敗したことを示す通知をユーザ端末４へ通知し（ステップＳ５３）、処理を終了する。なお、固有情報の再設定（更新）が失敗した場合、情報管理サーバ１は、更新要求前の固有情報で各事業者システムが提供するサービスを受けられるようにしても良いし、再度の固有情報の更新が完了するまでは各事業者システムが提供するサービスを受けられないようにしても良い。

次に、情報管理サーバ１が固有番号以外の利用者情報を更新する場合の処理の流れについて説明する。
ユーザ端末４から固有情報以外の利用者情報の更新が要求された場合（ステップＳ４３、ＹＥＳ）、情報管理サーバ１の制御部１１は、ログインしている利用者の利用者情報をユーザ端末４から情報（変更内容）に応じて利用者データベース１５に記憶している利用者情報を更新する（ステップＳ４４）。固有情報以外の利用者情報を更新すると、制御部１１は、ユーザ端末４に対して固有情報の再設定を案内（要請）する（ステップＳ４５）。たとえば、制御部１１は、固有情報の再設定を促す案内表示をユーザ端末４の表示部４４に表示させる。

固有情報の再設定を案内した後にユーザ端末４から固有情報の再設定が指示された場合（ステップＳ４６、ＹＥＳ）、制御部１１は、上記ステップＳ４７へ進み、新たな固有情報の生成、車載器３に対する固有情報の更新、および、利用者データベース１５の固有情報の更新などの処理を実行する（ステップＳ４７−Ｓ５１）。また、固有情報の再設定の指示が無ければ（ステップＳ４６、ＮＯ）、制御部１１は、上記ステップＳ５１へ進み、ユーザ端末４に対して更新完了を通知し、処理を終了する。

次に、情報管理サーバ１が利用者情報の登録を解除する場合の処理の流れについて説明する。
ユーザ端末４から利用者情報の登録解除が要求された場合（ステップＳ６１、ＹＥＳ）、情報管理サーバ１の制御部１１は、ユーザ端末４に対して車載器３の固有番号の削除（初期化）を要求する（ステップＳ６２）。たとえば、制御部１１は、車載器３の固有情報の初期化要求をユーザ端末４に送信する。ユーザ端末４に車載器３の固有情報の初期化を要求した後、制御部１１は、ユーザ端末４からの車載器３に対する固有情報の初期化終了の通知待ちとなる（ステップＳ６３）。

ユーザ端末４の制御部４１は、情報管理サーバ１からの車載器３の固有番号の初期化要求に応じてインターフェース４５により車載器３に接続する。車載器３に接続すると、ユーザ端末４の制御部４１は、車載器３に記録されている固有情報を初期化（削除）する。車載器３の固有番号の初期化が正常終了すると、ユーザ端末４の制御部４１は、ネットワークインターフェース４２により車載器３の固有情報の初期化が正常終了したことを情報管理サーバ１へ通知する。

ユーザ端末４から車載器３の固有情報の初期化が正常終了したことを示す通知を受信した場合（ステップＳ６３、ＹＥＳ）、制御部１１は、当該利用者の固有番号を含む利用者情報を利用者データベース１５から登録解除する（ステップＳ６４）。利用者データベース１５に対する利用者情報の登録解除としては、利用者情報を削除するようにしても良いし、当該利用者に対する全サービスを利用不可の状態に更新するようにしても良いし、利用者情報を無効とする情報を追記するようにしても良い。利用者データベース１５の利用者情報を登録解除すると、制御部１１は、利用者情報の登録解除が完了したことを示す通知をユーザ端末４へ通知し（ステップＳ６５）、処理を終了する。

ユーザ端末４からの車載器３に対する固有情報の初期化が正常終了したことを示す通知が受信できなかった場合（ステップＳ６３、ＮＯ）、制御部１１は、利用者情報の登録解除が未了（失敗）したことを示す通知をユーザ端末４へ通知し（ステップＳ６６）、処理を終了する。

なお、車載器３における固有情報の初期化完了が確認できない場合、制御部１１は、車載器３の状態に係らずに、当該利用者の固有番号を含む利用者情報を利用者データベース１５から登録解除することにより、当該利用者に対するサービスの利用を停止するようにしても良い。また、車載器３における固有情報の初期化完了が確認できない場合、制御部１１は、車載器３の初期化完了が確認できるまで当該利用者の利用者情報を利用者データベース１５から削除せずに、当該利用者に対する全サービスの利用不可の状態とするようにしても良い。

以上の処理によって、情報管理サーバ１は、利用者情報の登録、更新および解除を実施する。上記の登録処理によれば、情報管理サーバ１は、事業者システム２に読み取られる車載器の固有情報を個々の車載器に固定のＷＣＮなどの情報でなく、利用者ごとに発行及び管理する更新可能な情報として登録できる。また、上記の更新処理によれば、情報管理サーバ１は、事業者システム２に読み取られる車載器３に記録する固有情報を利用者に要求に応じて任意のタイミングで更新できる。

次に、情報管理システムにおいて事業者システム２が利用者にサービスを提供する運用の動作例（運用例）について説明する。
図８は、情報管理システムの情報管理サーバ１、事業者システム２および車載器３による運用の処理の流れを説明するための図である。
情報管理システムの運用として、事業者システム２は、ＤＳＲＣ通信によって無線通信器２２の通信圏内を走行する車両に登録された車載器３から固有情報を読み取る（ステップＳ１０１）。たとえば、事業者システム２の制御部２１は、無線通信器２２によりリクエスト要求を送信し、車載器３から応答を待つ。車両が無線通信器２２の通信圏内に入ると、当該車両の車載器３の無線通信器３２は、リクエスト要求を受信する。リクエスト要求を受信した車載器３の制御部３１は、無線通信器３２により受信したリクエスト要求に対する応答を出力する。車載器３からの応答を受信した事業者システム２の制御部２１は、無線通信器２２により当該車載器３に対して固有情報の読み出し要求を出力する。固有情報の読み出し要求を受信した車載器３の制御部３１は、メモリ３３に記録している固有情報を読み出し、読み出した固有情報を事業者システム２へ出力する。

車載器３から固有情報を読み取ると、事業者システム２の制御部２１は、読み取った固有情報に対応する利用者ＩＤの問合せを情報管理サーバ１へ送信する（ステップＳ１０２）。たとえば、事業者システム２の制御部２１は、車載器３から読み取った固有情報と当該事業者システムを識別するための事業者情報（例えば、各事業者に割り当てた事業者番号）とを含む問合せを情報管理サーバ１へ送信する。

事業者システム２からの問合せを受信すると、情報管理サーバ１の制御部１１は、問合せに対する検定処理を実行する（ステップＳ１０３）。検定処理は、問合せを受けた固有情報に対応する利用者に対して、問合せ元の事業者（事業者システム）からのサービスの提供が許可されているか否かを判定する処理である。

たとえば、図９は、情報管理サーバ１における検定処理の例を説明するためのフローチャートである。
図９に示す処理例において、制御部１１は、検定処理として、まず、問合せを受けた固有情報を含む利用者情報を利用者データベース１５から検索する（ステップＳ１１１）。問合せを受けた固有情報を含む利用者情報が利用者データベース１５から検出された場合（ステップＳ１１２、ＹＥＳ）、制御部１１は、当該固有情報に対応する許可リスト（サービスの提供を許可する事業者システムを示す情報）に問合せ元の事業者システム２が存在するか否かをチェックする（ステップＳ１１３）。許可リストに問合せ元の事業者システム２が存在する場合、つまり、問合せ元の事業者システム２からのサービスの提供を許可する設定となっている場合（ステップＳ１１４、ＹＥＳ）、制御部１１は、当該事業者システム２に対してサービスの提供を許可する旨の通知とともに、当該固有情報に対応する利用者ＩＤを回答（送信）する（ステップＳ１１５）。

また、固有情報に対応する許可リストに問合せ元の事業者システム２が存在しない場合、つまり、問合せ元の事業者システム２からのサービスの提供を拒否する設定となっている場合（ステップＳ１１４、ＮＯ）、制御部１１は、当該事業者システム２に対してサービスの提供を拒否する回答（送信）する（ステップＳ１１６）。また、問合せを受けた固有情報を含む利用者情報が利用者データベース１５に存在しない場合（ステップＳ１１２、ＮＯ）、制御部１１は、当該事業者システム２に対してサービスの提供を拒否する回答（送信）する（ステップＳ１１６）。

図９に示す検定処理の処理例のように、情報管理サーバ１では、検定処理として、問合せを受けた固有情報に対応する許可リストを参照することにより、固有情報に対応する利用者に対して問合せ元の事業者システムからのサービスの提供が許可されている否かを判定する。

検定処理により当該利用者に対するサービスの提供が許可されていると判定した場合、情報管理サーバ１の制御部１１は、問合せ元の事業者システム２に当該利用者の利用者ＩＤを送信する（ステップＳ１０４）。また、検定処理により当該利用者に対するサービスの提供が許可されていないと判定した場合、情報管理サーバ１の制御部１１は、問合せ元の事業者システム２へ当該固有情報の利用者へのサービスを拒否する旨を通知する（ステップＳ１０５）。

車載器３から読み取った固有情報を含む問合せに対して利用者ＩＤを受信した場合、事業者システム２の制御部２１は、情報管理サーバ１から取得した利用者ＩＤを用いて当該利用者（車載器）に対するサービスを提供する。また、車載器３から読み取った固有情報を含む問合せに対してサービスの提供を拒否する旨の通知を受信した場合、事業者システム２の制御部２１は、当該利用者（車載器）に対するサービスの提供を取りやめる。

上記のような運用によれば、情報管理システムは、事業者システムが車載器から読み取った固有番号と自身の事業者情報とを元に、利用者を識別するための情報（利用者にサービスを提供するための情報）を情報管理サーバに問い合わせる。情報管理サーバは、事業者システムからの問合せされた固有情報の利用者が当該事業者からのサービス提供を受ける設定である場合、当該利用者の識別情報（利用者ＩＤ）を問合せ元の事業者システムへ送信する。事業者システムは、情報管理サーバから取得する利用者ＩＤを用いて当該利用者へサービスを提供する。

上記のような運用によれば、ユーザは、予めサービスの提供を許可した事業者からのサービスだけを受けることができる。また、固有番号はユーザの要求に応じて任意に更新可能な情報であるため、任意の事業者がユーザ（車載器）を追跡することを困難にできる。また、事業者システムは、情報管理サーバから利用者ＩＤを取得する必要があるため、任意の事業者（予め登録していない事業者）が当該情報管理システムを利用するのが困難である。つまり、各事業者は、情報管理サーバの管理する管理者に登録を申請しなければならず、不当な事業者を締め出すことが容易となる。

次に、情報管理システムにおける運用の変形例について説明する。
ここでは、情報管理システムにおける運用の変形例として、車載器３に記録する固有情報に対応する利用者ＩＤの別の運用例について説明する。本実施形態に係る情報管理システムでは、情報管理サーバ１が、個々の事業者システム２からの問合せに対して利用者ＩＤを返信する。このため、情報管理サーバ１は、個々の利用者（車載器）に対して事業者ごとに異なる利用者ＩＤを発行して管理しても良い。ここでは、変形例として、情報管理サーバ１が、個々の利用者に対して事業者ごとに異なる利用者ＩＤを発行して管理する場合について説明する。

図１０は、各利用者に対して、事業者ごとの利用者ＩＤを発行する場合の利用者データベース１５´の構成例を示す図である。図１１は、図１０に示す利用者データベース１５´における許可リストとしての許可リストファイル５１（５１ａ、５１ｂ、５１ｃ、…）の構成例を示す図である。図１１に示すような許可リストファイル５１は、例えば、情報管理サーバ１における記憶部１４に記憶される。

図１０に示す構成例において、利用者データベース１５´は、ユーザ名、固有情報、および、許可リストを記憶する。図１０に示す利用者データベース１５´のユーザ名および固有情報は、図３に示す利用者データベース１５と同様な情報である。また、図１０に示す利用者データベース１５´の許可リストは、当該利用者がサービスの提供を許可する事業者を示す情報と、事業者ごとに発行された利用者ＩＤ（事業者別の顧客番号）と、を記憶する。図１０に示す構成例においては、許可リストは、ファイル（許可リストファイル）で示されるものとなっている。

図１１は、利用者データベース１５´における許可リストとして用いられる許可リストファイル５１の構成例である。図１１に示すような許可リストファイル５１は、利用者ごとの利用者情報における許可リストとして生成される。各利用者の許可リストファイル５１は、サービスの提供を許可する事業者を示す事業者情報と事業者用の利用者ＩＤとを対応づけて記憶する。

図１１に示す例では、許可リストファイル５１ａ（許可リストファイルＡと称する）には、事業者情報が「１２３」、「２２２」、「５４３」、…の事業者によるサービスを許可し、事業者情報が「１２３」の事業者に対する利用者ＩＤ（事業者別の利用者ＩＤ（顧客番号））として「１２３０００１１」が設定されている。また、図１１に示す例では、許可リストファイルＡには、事業者情報が「２２２」の事業者に対する利用者ＩＤ（事業者別の利用者ＩＤ（顧客番号））として「２２２００３３１」が設定され、事業者情報が「５４３」の事業者に対する利用者ＩＤ（事業者別の利用者ＩＤ（顧客番号））として「５４３００１１１」が設定されている。

次に、事業者別の利用者ＩＤとしての各事業者用の顧客番号の発行例について説明する。
図１１に示す事業者別の顧客番号は、事業者番号と事業者ごとの発行シリアル番号との組合せで生成できる。この場合、情報管理サーバ１は、事業者ごとの発行シリアル番号を管理する必要がある。事業者ごとの発行シリアル番号は、当該事業者用の顧客番号を発行するごとにインクリメントされる情報である。

図１２は、事業者ごとの発行シリアル番号を管理する発行管理テーブル５２の構成例を示す図である。図１２に示すような発行管理テーブル５２は、例えば、情報管理サーバ１における記憶部１４に設けられる。
図１２に示す例では、事業者情報が「０２３」の事業者Ａ用の顧客番号が１００人分発行済みであるため、次に発行されるシリアル番号としての発行シリアル番号が「０００１０１」となっており、事業者情報が「１００」の事業者Ｂ用の顧客番号が５０人分発行済みであり、発行シリアル番号が「００００５１」となっている。

たとえば、１００人分の顧客番号を発行済みの事業者Ａ（事業者情報が「０２３」）用の顧客番号を新たに発行する場合、情報管理サーバ１の制御部１１は、事業者情報の「０２３」と発行シリアル番号の「０００１０１」とを組み合わせた「０２３０００１０１」を、新たな事業者用の顧客番号として発行する。また、「０２３０００１０１」の事業者用の顧客番号を発行する場合、情報管理サーバ１の制御部１１は、発行管理テーブル５２において、事業者Ａに対応する発行シリアル番号をインクリメントして「０００１０２」に更新する。

また、５０人分の顧客番号を発行済みの事業者Ｂ（事業者情報が「１００」）用の顧客番号を新たに発行する場合、情報管理サーバ１の制御部１１は、事業者情報の「１００」と発行シリアル番号の「００００５１」とを組み合わせた「１００００００５１」を、新たな事業者用の顧客番号として発行する。また、「１００００００５１」の事業者用の顧客番号を発行する場合、情報管理サーバ１の制御部１１は、発行管理テーブル５２において、事業者Ａに対応する発行シリアル番号をインクリメントして「００００５２」に更新する。

上記のような発行方法によって発行される事業者Ａ用の顧客番号と事業者Ｂ用の顧客番号とは互いに関連性がない。このため、たとえば、事業者Ａが、事業者Ｂが取得した顧客番号を取得しても、ユーザ（車載器）を特定することはできない。

また、上記のような事業者別の利用者ＩＤを用いた情報管理システムにおいては、情報管理サーバ１は、サービスの提供を許可する事業者を示す情報と事業者別の利用者ＩＤ（顧客番号）とを対応づけて記憶した許可リストを有する利用者データベース１５´を用いて、各利用者の利用者ＩＤを管理する。

事業者システム２から固有情報及び事業者情報を含む利用者ＩＤの問合せを受けた場合、情報管理サーバ１の制御部１１は、当該固有情報に対応する許可リストを参照して、当該固有情報の利用者が問合せ元の事業者のサービスの提供を許可しているか否かを判定する。問合せ元の事業者のサービスの提供を許可している場合、情報管理サーバ１の制御部１１は、問合せ元の事業者用の顧客番号を返信する。

また、利用者がある事業者からのサービスの提供を拒否するに設定変更した場合、情報管理サーバ１の制御部１１は、当該利用者の許可リストから拒否するに設定された事業者用の顧客番号を破棄する。また、一旦拒否するに設定した事業者からのサービスを再び許可すると設定変更する場合、情報管理サーバ１の制御部１１は、当該事業者用の新しい顧客番号を発行して当該利用者の許可リストに再登録する。

上記のような事業者別に利用者ＩＤを発行及び管理する運用においては、各事業者別の利用者ＩＤに関連性がない。このため、ある事業者が、違う事業者が取得した顧客番号を取得してもユーザ（車載器）を特定することはできない。すなわち、情報管理サーバ１が、各事業者間で関連性がない事業者別の利用者ＩＤを発行して管理することにより、別の事業者が取得した顧客番号を収集してもしてユーザ（車載器）を特定することはできず、ユーザ（車載器を搭載した車両）を追跡することはできない。

上記のように、本実施形態に係る情報管理システムにおいて、情報管理サーバは、各車載器に記憶する更新可能な固有情報と各事業者がサービス提供するのに必要となる利用者ＩＤとを対応づけて管理し、運用時には事業者システムが車載器から読み取った固有情報を含む問合せに応じてサービスを実施するための利用者ＩＤを問合せ元の事業者システムへ提供するようにしたものである。

まず、本実施形態に係る情報管理システムでは、車載器に記録する固有番号そのものを各事業者に知らせずにユーザの要求に応じて任意のタイミングで変更するため、事業者が独自に固有情報とユーザとの紐付を行っても意味をなさない。
また、本情報管理システムによれば、各車載器に記憶する固有番号は、事業者から見れば、不定期に変更される。このため、車載器からＤＳＲＣ通信により読み取る固有情報は、利用者或いは車載器を追跡するためのキー情報として使う意味がなくなる。
また、サービスを提供する各事業者は、予め情報管理サーバ１を運営する組織に登録しなければならず、情報管理サーバ１を運営する組織が悪意をもった事業者を選別して締め出すことも可能となる。

また、情報管理システムは、車載器に記録する固有情報の登録、更新及び削除をユーザが選択できるため、個人情報保護の観点からも運用しやすい。
また、情報管理システムでは、車載器とのＤＳＲＣ通信においてＷＣＮなどの固定の情報を利用する場合があるが、車載器に固定の情報がサービス等とは結びついていない。このため、ユーザは車載器を変更することも可能であり、ＷＣＮ等の固定の情報による追跡は意味をなさなくなる。
以上のように、本実施形態に係る情報管理システム及び情報管理サーバによれば、利用者の個人情報などの情報を高いセキュリティで保護できる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１…情報管理サーバ、２…事業者システム、３…車載器、４…ユーザ端末、１１…制御部、１２…ネットワークインターフェース、１３…インターフェース、１４…記憶部、１５、１５´…利用者データベース、２１…制御部、２２…無線通信器、２３…記憶部、２４…インターフェース、３１…制御部、３２…無線通信器、３３…メモリ、３４…インターフェース、４１…制御部、４２…ネットワークインターフェース、４３…操作部、４４…表示部、４５…インターフェース、５１…許可リストファイル、５２…発行管理テーブル。

Claims (12)

1. 車載器に固定の情報及び当該車載器の利用者情報とは関連付けずに前記車載器に設定する固有情報を生成する生成手段と、
   前記生成手段により生成した固有情報と前記利用者情報とを対応づけて記憶するデータベースと、
   外部装置から固有情報に対応する利用者情報の問合せを受付ける受付手段と、
   前記受付手段により受付けた問合せの固有番号に対応する利用者情報を前記データベースから抽出して前記外部装置へ返送する返送手段と、
   を有する情報管理装置。
2. さらに、前記生成手段により前記車載器に設定している固有情報と異なる新固有情報を生成し、前記データベースが記憶する固有情報を前記新固有情報に更新する更新手段を有する、
   前記請求項１に記載の情報管理装置。
3. さらに、ユーザ端末との通信手段を有し、
   前記更新手段は、前記通信手段により前記ユーザ端末から受信する固有情報の更新要求に応じて前記生成手段により前記車載器が設定している固有情報と異なる新固有情報を生成し、前記ユーザ端末に対して前記車載器が設定している固有情報を前記新固有情報に更新することを要求する、
   前記請求項２に記載の情報管理装置。
4. さらに、前記受付手段により受け付けた問合せの送信元の外部装置に対して利用者情報の送信を許可するか否かを判定する検定手段を有し、
   前記返送手段は、前記検定手段により送信を許可すると判定した場合には前記利用者情報を返送し、前記検定手段により送信を不可すると判断した場合には前記利用者情報の送信を拒否することを示す情報を返送する、
   前記請求項１又は２の何れか１項に記載の情報管理装置。
5. 前記データベースは、さらに、前記固有情報と対応づけて利用者情報の送信を許可する外部装置を示す許可リストを記憶し、
   前記検定手段は、前記データベースの前記許可リストを参照して問合せの送信元の外部装置への利用者情報の送信を許可するか否かを判定する、
   前記請求項４に記載の情報管理装置。
6. さらに、ユーザ端末との通信手段と、
   前記通信手段により前記ユーザ端末から利用者情報の送信を許可する外部装置の設定変更内容を受信した場合、前記データベースに記憶した許可リストを前記設定変更内容に従って更新するリスト更新手段と、を有する、
   前記請求項５に記載の情報管理装置。
7. 情報管理装置と事業者システムと車載器とを有する情報管理システムにおいて、
   前記情報管理装置は、
   前記車載器に固定の情報及び前記車載器の利用者情報とは関連付けずに前記車載器に設定する固有情報を生成する生成手段と、
   前記生成手段により生成した固有情報と利用者情報とを対応づけて記憶するデータベースと、
   前記事業者システムから固有情報に対応する利用者情報の問合せを受付ける受付手段と、
   前記受信手段により受信した問合せの固有番号に対応する利用者情報を前記データベースから抽出して前記事業者システムへ返送する返送手段と、を有し、
   前記車載器は、
   前記事業者システムと通信する第１の通信手段と、
   前記情報管理装置の前記生成手段により生成された固有情報を記憶するメモリと、を有し、
   前記事業者システムは、
   前記車載器と通信する第２の通信手段と、
   前記第２の通信手段により前記車載器から受信した固有情報に対応する利用者情報の問合せを前記情報管理装置へ送信する問合せ手段と、
   前記問合せ手段により送信した問合せに対して前記情報管理装置から返送される利用者情報を取得する情報取得手段と、を有する、
   を有する情報管理システム。
8. 前記情報管理装置は、さらに、前記生成手段により前記車載器の前記メモリが記憶している固有情報と異なる新固有情報を生成し、前記データベースが記憶する固有情報を前記新固有情報に更新する更新手段を有する、
   前記請求項７に記載の情報管理システム。
9. 前記情報管理装置は、さらに、ユーザ端末との第３の通信手段を有し、
   前記情報管理装置の前記更新手段は、前記第３の通信手段により前記ユーザ端末から受信する固有情報の更新要求に応じて前記生成手段により前記車載器の前記メモリが記憶している固有情報と異なる新固有情報を生成し、前記車載器の前記メモリが記憶する固有情報を前記新固有情報に更新することを前記ユーザ端末に要求し、
   前記車載器は、さらに、前記ユーザ端末に接続する接続手段を有し、
   前記メモリは、前記接続手段により接続した前記ユーザ端末により前記新固有情報が再設定される、
   前記請求項８に記載の情報管理システム。
10. 前記情報管理装置は、さらに、前記受付手段により受け付けた問合せの送信元の事業者システムに対して利用者情報の送信を許可するか否かを判定する検定手段を有し、
    前記情報管理装置の前記返送手段は、前記検定手段により送信を許可すると判定した場合には前記利用者情報を返送し、前記検定手段により送信を不可すると判断した場合には前記利用者情報の送信を拒否することを示す情報を返送する、
    前記請求項７又は８の何れか１項に記載の情報管理システム。
11. 前記情報管理装置の前記データベースは、さらに、前記固有情報と対応づけて利用者情報の送信を許可する外部装置を示す許可リストを記憶し、
    前記情報管理装置の前記検定手段は、前記データベースの前記許可リストを参照して問合せの送信元の外部装置への利用者情報の送信を許可するか否かを判定する、
    前記請求項１０に記載の情報管理システム。
12. 前記情報管理装置は、さらに、ユーザ端末との第３の通信手段と、
    前記第３の通信手段により前記ユーザ端末から利用者情報の送信を許可する外部装置の設定変更内容を受信した場合、前記データベースに記憶した許可リストを前記設定変更内容に従って更新するリスト更新手段と、を有する、
    前記請求項１１に記載の情報管理システム。

Images