JP3496774B2 - 通信販売システム - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、通信販売システムに関
し、より特定的には、通信ネットワークを用いて、商品
の発注と流通を行うシステムに関する。

【０００２】

【従来の技術】近年、市場ではカタログを用いた通信販
売による物品の売買が盛んになってきており、徐々に販
売高を伸ばしている。また、パーソナルコンピュータ
（以下、パソコンと略称する）通信などのネットワーク
網が普及してきており、電話における口頭での受け渡し
ではどうしても間違いが出るような大量かつ詳細な情報
も、パソコン通信では正確に伝えられることもあって、
パソコン通信を用いた通信ネットワークを用いた通信販
売が、大いに発展しつつある。特に、コンピュータの業
務用ソフトウェアやゲーム用ソフトウェア、そしてマル
チメディア電子百科辞典などの電子的商品が、頻繁に取
り引きされている。さらに、パソコン通信、ディジタル
ＣＡＴＶ網、Ｂ−ＩＳＤＮ網などの通信ネットワークを
用いた通信販売網で、電子的商品の販売や情報サービス
の提供が多く行われつつある。この場合、もちろん無形
商品である電子的商品は、発注を受けたネットワーク網
を介して発注者の元に送られる。

【０００３】図１５は、従来の通信ネットワークを用い
た通信販売システムの構成を示す図である。図１５にお
いて、初めに、各発注者５は、販売会社６に、名前とパ
ソコン通信アドレスと振替指定銀行口座などを記した通
信販売システム申込書を送り、銀行には、販売会社から
正当な請求があった場合には、その口座から口座所有者
の許可なしに振り替えても構わないという内容の契約書
を送っておく。この手続きにより、発注者５は、本シス
テムにおける発注者識別子ＵＩＤを得る。

【０００４】図１５において、発注者５と販売会社６
は、パソコン通信でつながっている。発注者５は、電子
的商品を販売会社６に発注し、販売会社６から送られて
くる電子的商品を受け取る物品購入装置５０を所持して
いる。当該物品購入装置５０は、例えばパソコンのソフ
トウェアとして実現される。また、電子的商品として
は、パソコン上で利用できるコンピュータソフトウェア
やマルチメディアソフトウェアなどが考えられる。また
販売会社６には、発注者から送られてくる発注情報を受
け取る受付装置６０と、電子的商品を保管しておく商品
保管部６１と、各発注者の識別子，パソコン通信アドレ
スおよび振替指定銀行口座等を保管しておく個人データ
格納部６２と、価格などの商品データを格納している商
品データ格納部６３とが設けられている。

【０００５】発注者は、物品購入装置５０に欲しい電子
的商品の商品コードＰＩＤを入力する。応じて、物品購
入装置５０は、発注者の識別子ＵＩＤと商品コードＰＩ
Ｄを、パソコン通信を介して販売会社６に送信する。

【０００６】販売会社６では、受付装置６０が、発注者
から送られてきた識別子ＵＩＤと商品コードＰＩＤとを
受信する。次に、受付装置６０は、商品コードＰＩＤに
対応する電子的商品ＰＤＴを商品保管部６０から取り出
すと共に、商品データ格納部６３を検索して電子的商品
ＰＩＤに対応する価格Ｐｒを求める。次に、受付装置６
０は、送られてきた識別子ＵＩＤをもとに、個人データ
格納部６２から、対応する発注者のパソコン通信アドレ
スと、振替指定銀行口座とを読み出す。次に、受付装置
６０は、価格Ｐｒを発注者の振替指定銀行口座から販売
会社の口座へ振り替えしてもらうように、銀行に依頼す
る。次に、受付装置６０は、パソコン通信アドレスを参
照して、発注者に発注を受けた商品ＰＤＴを送信する。

【０００７】発注者においては、物品発注装置５０が、
発注した電子的商品ＰＤＴを受け取り、当該受け取った
電子的商品ＰＤＴをパソコンなどのハードディスクに保
存して使用する。

【０００８】なお、販売する商品が電子的商品でない場
合にも、パソコン通信を用いて商品の発注を行い、販売
会社は発注者の住所へ物理的な手段で発送することによ
り、商品の売買を行うことができる。

【０００９】

【発明が解決しようとする課題】しかしながら、上記従
来の通信販売システムでは、通信ネットワークを用いて
商品の転送を行う必要性がある以上、通信の相手先を特
定する必要がある。また、銀行振替やクレジットカード
システムなどの代金回収方法を用いようとすると、当然
発注者を特定しなくてはならない。従って、販売会社に
「誰が何を買ったか」という情報が伝わってしまうとい
う特性がある。旧来の店頭での現金による物品販売で
は、発注者である購入者が名前を提示する必要がなく、
販売店が「誰が買っているのか」は完全にはわからなか
ったことに比較し、上述の特性は通信ネットワークを用
いた通信販売を実現するにあたって大きな問題点であ
る。現在、各個人のプライバシの保護が大きく叫ばれて
おり、この問題点は、通信ネットワークを用いた通信販
売システムの普及に影響を及ぼすものと思われる。

【００１０】それゆえに、本発明の目的は、発注者が通
信ネットワークを介して商品を注文購入する際に、発注
者のプライバシ（例えば、「誰が何を買ったか」という
情報）を確実に保護でき、しかもクレジットカードや銀
行引き落しなどの既存の決裁システムをそのまま使用で
きる通信販売システムを提供することである。

【００１１】

【課題を解決するための手段】請求項１に係る発明は、
複数の発注者、受付部門、商品部門を結ぶ通信ネットワ
ークを用いて、電子的商品の発注と流通を行う通信販売
システムであって、発注者、受付部門および商品部門に
は、それぞれ、物品購入装置、受付装置および商品発送
装置が設けられており、物品購入装置は、電子データか
ら成る鍵を発生する鍵発生手段と、鍵を用いて、商品の
発注内容を暗号化する発注内容暗号化手段と、鍵を暗号
化する鍵暗号化手段と、暗号化された商品の発注内容
に、暗号化された鍵と、発注者の識別情報と、本人確認
情報とを付加して、受付装置に送信する第１の送信手段
とを含み、受付装置は、物品購入装置から送信されてく
るデータを受信する第１の受信手段と、第１の受信手段
が受信した本人確認情報が、正当なものか否かを確認す
る確認手段と、確認手段によって本人確認情報が正当な
ものと確認された場合、第１の受信手段が受信した暗号
化された商品の発注内容と暗号化された鍵とに、発注者
の識別情報とは異なる仮名情報を付加して、商品発送装
置に送信する第２の送信手段と、発注者の識別情報と仮
名情報との対応関係を記憶する対応関係記憶手段とを含
み、商品発送装置は、受付装置から送信されてくるデー
タを受信する第２の受信手段と、第２の受信手段が受信
した暗号化された鍵を復号する鍵復号手段と、復号され
た鍵を用いて、第２の受信手段が受信した暗号化された
商品の発注内容を復号する発注内容復号手段と、電子的
商品を保管する商品保管手段と、復号された商品の発注
内容に基づいて、商品保管手段を検索し、対応する電子
的商品を読み出す読み出し手段と、読み出し手段により
読み出された電子的商品を、復号された鍵を用いて暗号
化する商品暗号化手段と、暗号化された電子的商品を、
第２の受信手段が受信した仮名情報と共に、受付装置に
送信する第３の送信手段とを含み、受付装置は、さらに
商品発送装置から送信されてくるデータを受信する第３
の受信手段と、第３の受信手段が受信した仮名情報に基
づいて、対応関係記憶手段を検索することにより、対応
する発注者を特定する発注者特定手段と、第３の受信手
段が受信した暗号化された電子的商品を、発注者特定手
段により特定された発注者の物品購入装置に送信する第
４の送信手段とを含み、物品購入装置は、受付装置から
送られてきた暗号化された電子的商品を復号する手段を
さらに含んでいる。

【００１２】請求項２に係る発明は、請求項１の発明に
おいて、仮名情報としては、各注文毎に異なる情報が使
用されることを特徴とする。

【００１３】請求項３に係る発明は、複数の発注者、受
付部門、中継部門、商品部門を結ぶ通信ネットワークを
用いて、電子的商品の発注と流通を行う通信販売システ
ムであって、発注者、受付部門、中継部門および商品部
門には、それぞれ、物品購入装置、受付装置、中継装置
および商品発送装置が設けられており、物品購入装置
は、電子データから成る第１および第２の鍵を発生する
鍵発生手段と、第１および第２の鍵を用いて、商品の発
注内容を２重に暗号化する発注内容暗号化手段と、第１
および第２の鍵を、それぞれ別個に暗号化する鍵暗号化
手段と、２重に暗号化された商品の発注内容に、暗号化
された第１および第２の鍵と、発注者の識別情報と、本
人確認情報とを付加して、受付装置に送信する第１の送
信手段とを含み、受付装置は、物品購入装置から送信さ
れてくるデータを受信する第１の受信手段と、第１の受
信手段が受信した本人確認情報が、正当なものか否かを
確認する確認手段と、確認手段によって本人確認情報が
正当なものと確認された場合、第１の受信手段が受信し
た２重に暗号化された商品の発注内容と暗号化された第
１および第２の鍵とに、発注者の識別情報とは異なる第
１の仮名情報を付加して、中継装置に送信する第２の送
信手段と、発注者の識別情報と第１の仮名情報との対応
関係を記憶する第１の対応関係記憶手段とを含み、中継
装置は、受付装置から送信されてくるデータを受信する
第２の受信手段と、第２の受信手段が受信した暗号化さ
れた第１の鍵を復号する第１の鍵復号手段と、復号され
た第１の鍵を用いて、第２の受信手段が受信した２重に
暗号化された商品の発注内容を、部分的に復号する第１
の発注内容復号手段と、部分的に復号された商品の発注
内容に、第１の仮名情報とは異なる第２の仮名情報を付
加して、商品発送装置に送信する第３の送信手段と、第
１の仮名情報と第２の仮名情報との対応関係を記憶する
第２の対応関係記憶手段とを含み、商品発送装置は、中
継装置から送信されてくるデータを受信する第３の受信
手段と、第３の受信手段が受信した暗号化された第２の
鍵を復号する第２の鍵復号手段と、復号された第２の鍵
を用いて、第３の受信手段が受信した部分的に復号され
た商品の発注内容を全面的に復号する第２の発注内容復
号手段と、電子的商品を保管する商品保管手段と、全面
的に復号された商品の発注内容に基づいて、商品保管手
段を検索し、対応する電子的商品を読み出す読み出し手
段と、読み出し手段により読み出された電子的商品を、
復号された第２の鍵を用いて暗号化する第１の商品暗号
化手段と、第２の鍵を用いて暗号化された電子的商品
を、第３の受信手段が受信した第２の仮名情報と共に、
中継装置に送信する第４の送信手段とを含み、中継装置
は、さらに商品発送装置から送信されてくるデータを受
信する第４の受信手段と、第４の受信手段が受信した暗
号化された電子的商品を、対応する第１の鍵を用いて２
重に暗号化する第２の商品暗号化手段と、第４の受信手
段が受信した第２の仮名情報に基づいて、第２の対応関
係記憶手段を検索し、当該第２の仮名情報に対応する第
１の仮名情報を特定する仮名情報特定手段と、第２の鍵
を用いて２重に暗号化された電子的商品を、仮名情報特
定手段により特定された第１の仮名情報と共に、受付装
置に送信する第５の送信手段とを含み、受付装置は、さ
らに中継装置から送信されてくるデータを受信する第５
の受信手段と、第５の受信手段が受信した第１の仮名情
報に基づいて、第１の対応関係記憶手段を検索すること
により、対応する発注者を特定する発注者特定手段と、
第５の受信手段が受信した２重に暗号化された電子的商
品を、発注者特定手段により特定された発注者の物品購
入装置に送信する第６の送信手段とを含み、物品購入装
置は、受付装置から送られてきた暗号化された電子的商
品を復号する手段をさらに含んでいる。

【００１４】請求項４に係る発明は、請求項３の発明に
おいて、第１および第２の仮名情報としては、各注文毎
に異なる情報が使用されることを特徴とする。

【００１５】請求項５に係る発明は、複数の発注者、受
付部門、ｎ個（ｎは２以上の整数）の中継部門、商品部
門を結ぶ通信ネットワークを用いて、電子的商品の発注
と流通を行う通信販売システムであって、発注者、受付
部門、中継部門および商品部門には、それぞれ、物品購
入装置、受付装置、中継装置および商品発送装置が設け
られており、物品購入装置は、電子データから成る第１
および第２の鍵を発生する鍵発生手段と、第１および第
２の鍵を用いて、商品の発注内容を２重に暗号化する発
注内容暗号化手段と、第１および第２の鍵を、それぞれ
別個に暗号化する鍵暗号化手段と、２重に暗号化された
商品の発注内容に、暗号化された第１および第２の鍵
と、発注者の識別情報と、本人確認情報とを付加して、
受付装置に送信する第１の送信手段とを含み、受付装置
は、物品購入装置から送信されてくるデータを受信する
第１の受信手段と、第１の受信手段が受信した本人確認
情報が、正当なものか否かを確認する確認手段と、確認
手段によって本人確認情報が正当なものと確認された場
合、第１の受信手段が受信した２重に暗号化された商品
の発注内容と、暗号化された第１および第２の鍵とに、
発注者の識別情報とは異なる第１の仮名情報を付加し
て、第１番目の中継部門に属する中継装置に送信する第
２の送信手段と、発注者の識別情報と第１の仮名情報と
の対応関係を記憶する第１の対応関係記憶手段とを含
み、第１番目の中継部門に属する中継装置は、受付装置
から送信されてくるデータを受信する第２の受信手段
と、第２の受信手段が受信した暗号化された第１の鍵を
復号する第１の鍵復号手段と、復号された第１の鍵を用
いて、第２の受信手段が受信した２重に暗号化された商
品の発注内容を、部分的に復号する第１の発注内容復号
手段と、部分的に復号された商品の発注内容に、第１の
仮名情報とは異なる第２の仮名情報を付加して、第２番
目の中継装置に属する中継装置に送信する第３の送信手
段と、第１の仮名情報と第２の仮名情報との対応関係を
記憶する第２の対応関係記憶手段とを含み、第ｍ番目
（ｍは、２≦ｍ≦ｎ−１の整数）の中継部門に属する中
継装置は、第（ｍ−１）番目の中継部門に属する中継装
置から送信されてくるデータを受信する第３の受信手段
と、第３の受信手段が受信した部分的に復号された商品
の発注内容に、第ｍの仮名情報とは異なる第（ｍ＋１）
の仮名情報を付加して、第（ｍ＋１）番目の中継部門に
属する中継装置に送信する第４の送信手段と、第ｍの仮
名情報と第（ｍ＋１）の仮名情報との対応関係を記憶す
る第３の対応関係記憶手段とを含み、第ｎ番目の中継部
門に属する中継装置は、第（ｎ−１）番目の中継部門に
属する中継装置から送信されてくるデータを受信する第
４の受信手段と、第４の受信手段が受信した部分的に復
号された商品の発注内容に、第ｎの仮名情報とは異なる
第（ｎ＋１）の仮名情報を付加して、商品発送装置に送
信する第５の送信手段と、第ｎの仮名情報と第（ｎ＋
１）の仮名情報との対応関係を記憶する第４の対応関係
記憶手段とを含み、商品発送装置は、第ｎ番目の中継部
門に属する中継装置から送信されてくるデータを受信す
る第５の受信手段と、第５の受信手段が受信した暗号化
された第２の鍵を復号する第２の鍵復号手段と、復号さ
れた第２の鍵を用いて、第５の受信手段が受信した部分
的に復号された商品の発注内容を全面的に復号する第２
の発注内容復号手段と、電子的商品を保管する商品保管
手段と、全面的に復号された商品の発注内容に基づい
て、商品保管手段を検索し、対応する電子的商品を読み
出す読み出し手段と、読み出し手段により読み出された
電子的商品を、復号された第２の鍵を用いて暗号化する
第１の商品暗号化手段と、第２の鍵を用いて暗号化され
た電子的商品を、第５の受信手段が受信した第（ｎ＋
１）の仮名情報と共に、第ｎ番目の中継部門に属する中
継装置に送信する第６の送信手段とを含み、第ｎ番目の
中継部門に属する中継装置は、さらに商品発送装置から
送信されてくるデータを受信する第６の受信手段と、第
６の受信手段が受信した第（ｎ＋１）の仮名情報に基づ
いて、第４の対応関係記憶手段を検索し、当該第（ｎ＋
１）の仮名情報に対応する第ｎの仮名情報を特定する第
１の仮名情報特定手段と、第６の受信手段が受信した暗
号化された電子的商品を、仮名情報特定手段により特定
された第ｎの仮名情報と共に、第ｍ番目の中継部門に属
する中継装置に送信する第７の送信手段とを含み、第ｍ
番目の中継部門に属する中継装置は、さらに第（ｍ＋
１）番目の中継部門に属する中継装置から送信されてく
るデータを受信する第７の受信手段と、第７の受信手段
が受信した第ｍの仮名情報に基づいて、第３の対応関係
記憶手段を検索し、当該第ｍの仮名情報に対応する第
（ｍ−１）の仮名情報を特定する第２の仮名情報特定手
段と、第７の受信手段が受信した暗号化された電子的商
品を、仮名情報特定手段により特定された第（ｍ−１）
の仮名情報と共に、第（ｍ−１）番目の中継部門に属す
る中継装置に送信する第８の送信手段とを含み、第１番
目の中継部門に属する中継装置は、さらに第２番目の中
継部門に属する中継装置から送信されてくるデータを受
信する第８の受信手段と、第８の受信手段が受信した暗
号化された電子的商品を、対応する第１の暗号鍵を用い
て２重に暗号化する第２の商品暗号化手段と、第８の受
信手段が受信した第２の仮名情報に基づいて、第３の対
応関係記憶手段を検索し、当該第２の仮名情報に対応す
る第１の仮名情報を特定する第３の仮名情報特定手段
と、第８の受信手段が受信した暗号化された電子的商品
を、仮名情報特定手段により特定された第１の仮名情報
と共に、受付装置に送信する第９の送信手段とを含み、
受付装置は、さらに第１番目の中継部門に属する中継装
置から送信されてくるデータを受信する第９の受信手段
と、第９の受信手段が受信した第１の仮名情報に基づい
て、第１の対応関係記憶手段を検索することにより、対
応する発注者を特定する発注者特定手段と、第９の受信
手段が受信した２重に暗号化された電子的商品を、発注
者特定手段により特定された発注者の物品購入装置に送
信する第６の送信手段とを含み、物品購入装置は、受付
装置から送られてきた暗号化された電子的商品を復号す
る手段をさらに含んでいる。

【００１６】

【００１７】

【００１８】

【００１９】

【００２０】

【作用】請求項１に係る発明においては、発注者、受付
部門および商品部門は、相互に通信ネットワークで結ば
れており、物品購入装置、受付装置および商品発送装置
がそれぞれ設けられている。物品購入装置は、電子デー
タから成る鍵を発生し、当該鍵を用いて商品の発注内容
を暗号化する。また、当該鍵を暗号化する。さらに、暗
号化された商品の発注内容に、暗号化された鍵と、発注
者の識別情報と、本人確認情報とを付加して、受付装置
に送信する。受付装置は、物品購入装置から受信した本
人確認情報が、正当なものか否かを確認し、正当な場合
は、物品購入装置から受信した暗号化された商品の発注
内容および暗号化された鍵に、発注者の識別情報とは異
なる仮名情報を付加して、商品発送装置に送信する。ま
た、発注者の識別情報と仮名情報との対応関係を対応関
係記憶手段に記憶する。商品発送装置は、受付装置から
受信した暗号化された鍵を復号し、当該復号された鍵を
用いて、受付装置から受信した暗号化された商品の発注
内容を復号する。また、復号された商品の発注内容に基
づいて、対応する電子的商品を商品保管手段から読み出
し、この読み出した電子的商品を、復号された鍵を用い
て暗号化し、仮名情報と共に、受付装置に送信する。受
付装置は、さらに商品発送装置から受信した仮名情報に
基づいて、対応関係記憶手段を検索し、対応する発注者
を特定する。そして、暗号化された電子的商品を、特定
された発注者の物品購入装置に送信する。物品購入装置
は、受付装置から送られてきた暗号化された電子的商品
を復号する。

【００２１】請求項２に係る発明においては、仮名情報
として、各注文毎に異なる情報を使用することにより、
プライバシーの機密性をより一層向上させている。

【００２２】請求項３に係る発明においては、発注者、
受付部門、中継部門および商品部門は、相互に通信ネッ
トワークで結ばれており、物品購入装置、受付装置、中
継装置および商品発送装置がそれぞれ設けられている。
物品購入装置は、電子データから成る第１および第２の
鍵を発生し、当該第１および第２の鍵を用いて、商品の
発注内容を２重に暗号化する。また、第１および第２の
鍵を、それぞれ別個に暗号化する。さらに、２重に暗号
化された商品の発注内容に、暗号化された第１および第
２の鍵と、発注者の識別情報と、本人確認情報とを付加
して、受付装置に送信する。受付装置は、物品購入装置
から受信した本人確認情報が、正当なものか否かを確認
し、正当な場合は、物品購入装置から受信した２重に暗
号化された商品の発注内容と暗号化された第１および第
２の鍵とに、発注者の識別情報とは異なる第１の仮名情
報を付加して、中継装置に送信する。また、発注者の識
別情報と第１の仮名情報との対応関係を第１の対応関係
記憶手段に記憶する。中継装置は、受付装置から受信し
た暗号化された第１の鍵を復号し、この復号された第１
の鍵を用いて、受付装置から受信した２重に暗号化され
た商品の発注内容を、部分的に復号する。また、部分的
に復号された商品の発注内容に、第１の仮名情報とは異
なる第２の仮名情報を付加して、商品発送装置に送信す
る。さらに、第１の仮名情報と第２の仮名情報との対応
関係を第２の対応関係記憶手段に記憶する。商品発送装
置は、中継装置から受信した暗号化された第２の鍵を復
号し、この復号された第２の鍵を用いて、中継装置から
受信した部分的に復号された商品の発注内容を全面的に
復号する。また、全面的に復号された商品の発注内容に
基づいて、商品保管手段を検索し、対応する電子的商品
を読み出し、この読み出した電子的商品を、復号された
第２の鍵を用いて暗号化する。さらに、第２の鍵を用い
て暗号化された電子的商品を、第３の受信手段が受信し
た第２の仮名情報と共に、中継装置に送信する。中継装
置は、さらに商品発送装置から受信した暗号化された電
子的商品を、対応する第１の鍵を用いて２重に暗号化す
る。また、商品発送装置から受信した第２の仮名情報に
基づいて、第２の対応関係記憶手段を検索し、当該第２
の仮名情報に対応する第１の仮名情報を特定する。さら
に、２重に暗号化された電子的商品を、特定された第１
の仮名情報と共に、受付装置に送信する。受付装置は、
さらに中継装置から受信した第１の仮名情報に基づい
て、第１の対応関係記憶手段を検索し、対応する発注者
を特定する。また、中継装置から受信した２重に暗号化
された電子的商品を、特定された発注者の物品購入装置
に送信する。物品購入装置は、受付装置から送られてき
た暗号化された電子的商品を復号する。

【００２３】請求項４に係る発明においては、第１およ
び第２の仮名情報として、各注文毎に異なる情報を使用
することにより、プライバシーの機密性をより一層向上
させている。

【００２４】請求項５に係る発明においては、複数の発
注者、受付部門、ｎ個（ｎは２以上の整数）の中継部
門、商品部門は、通信ネットワークを用いて相互に結ば
れており、物品購入装置、受付装置、中継装置および商
品発送装置がそれぞれ設けられている。物品購入装置
は、電子データから成る第１および第２の鍵を発生し、
この第１および第２の鍵を用いて、商品の発注内容を２
重に暗号化する。また、第１および第２の鍵を、それぞ
れ別個に暗号化する。さらに、２重に暗号化された商品
の発注内容に、暗号化された第１および第２の鍵と、発
注者の識別情報と、本人確認情報とを付加して、受付装
置に送信する。受付装置は、物品購入装置から受信した
本人確認情報が、正当なものか否かを確認し、正当な場
合は、物品購入装置から受信した２重に暗号化された商
品の発注内容と、暗号化された第１および第２の鍵と
に、発注者の識別情報とは異なる第１の仮名情報を付加
して、第１番目の中継部門に属する中継装置に送信す
る。また、発注者の識別情報と第１の仮名情報との対応
関係を第１の対応関係記憶手段に記憶する。第１番目の
中継部門に属する中継装置は、受付装置から受信した暗
号化された第１の鍵を復号し、この復号された第１の鍵
を用いて、受付装置から受信した２重に暗号化された商
品の発注内容を、部分的に復号する。また、部分的に復
号された商品の発注内容に、第１の仮名情報とは異なる
第２の仮名情報を付加して、第２番目の中継装置に属す
る中継装置に送信する。さらに、第１の仮名情報と第２
の仮名情報との対応関係を第２の対応関係記憶手段に記
憶する。第ｍ番目（ｍは、２≦ｍ≦ｎ−１の整数）の中
継部門に属する中継装置は、第（ｍ−１）番目の中継部
門に属する中継装置から受信した部分的に復号された商
品の発注内容に、第ｍの仮名情報とは異なる第（ｍ＋
１）の仮名情報を付加して、第（ｍ＋１）番目の中継部
門に属する中継装置に送信する。また、第ｍの仮名情報
と第（ｍ＋１）の仮名情報との対応関係を第３の対応関
係記憶手段に記憶する。第ｎ番目の中継部門に属する中
継装置は、第（ｎ−１）番目の中継部門に属する中継装
置から受信した部分的に復号された商品の発注内容に、
第ｎの仮名情報とは異なる第（ｎ＋１）の仮名情報を付
加して、商品発送装置に送信する。また、第ｎの仮名情
報と第（ｎ＋１）の仮名情報との対応関係を第４の対応
関係記憶手段に記憶する。商品発送装置は、第ｎ番目の
中継部門に属する中継装置から受信した暗号化された第
２の鍵を復号し、この復号された第２の鍵を用いて、第
ｎ番目の中継部門に属する中継装置から受信した部分的
に復号された商品の発注内容を全面的に復号する。ま
た、全面的に復号された商品の発注内容に基づいて、商
品保管手段から対応する電子的商品を読み出し、この読
み出した電子的商品を、復号された第２の鍵を用いて暗
号化する。さらに、第２の鍵を用いて暗号化された電子
的商品を、第ｎ番目の中継部門に属する中継装置から受
信した第（ｎ＋１）の仮名情報と共に、第ｎ番目の中継
部門に属する中継装置に送信する。第ｎ番目の中継部門
に属する中継装置は、さらに商品発送装置から受信した
第（ｎ＋１）の仮名情報に基づいて、第４の対応関係記
憶手段を検索し、当該第（ｎ＋１）の仮名情報に対応す
る第ｎの仮名情報を特定する。また、商品発送装置から
受信した暗号化された電子的商品を、特定された第ｎの
仮名情報と共に、第ｍ番目の中継部門に属する中継装置
に送信する。第ｍ番目の中継部門に属する中継装置は、
さらに第（ｍ＋１）番目の中継部門に属する中継装置か
ら受信した第ｍの仮名情報に基づいて、第３の対応関係
記憶手段を検索し、当該第ｍの仮名情報に対応する第
（ｍ−１）の仮名情報を特定する。また、第（ｍ＋１）
番目の中継部門に属する中継装置から受信した暗号化さ
れた電子的商品を、特定された第（ｍ−１）の仮名情報
と共に、第（ｍ−１）番目の中継部門に属する中継装置
に送信する。第１番目の中継部門に属する中継装置は、
さらに第２番目の中継部門に属する中継装置から受信し
た暗号化された電子的商品を、対応する第１の暗号鍵を
用いて２重に暗号化する。また、第２番目の中継部門に
属する中継装置から受信した第２の仮名情報に基づい
て、第３の対応関係記憶手段を検索し、当該第２の仮名
情報に対応する第１の仮名情報を特定する。さらに、第
２番目の中継部門に属する中継装置から受信した暗号化
された電子的商品を、特定された第１の仮名情報と共
に、受付装置に送信する。受付装置は、さらに第１番目
の中継部門に属する中継装置から受信した第１の仮名情
報に基づいて、第１の対応関係記憶手段を検索すること
により、対応する発注者を特定する。また、第１番目の
中継部門に属する中継装置から受信した２重に暗号化さ
れた電子的商品を、特定された発注者の物品購入装置に
送信する。物品購入装置は、受付装置から送られてきた
暗号化された電子的商品を復号する。

【００２５】

【００２６】

【００２７】

【００２８】

【００２９】

【実施例】図１は、本発明の一実施例に係る通信ネット
ワークを用いた通信販売システムの構成を示すブロック
図である。図１において、本実施例のネットワークを用
いた通信販売システムは、複数の発注者ｉと販売会社か
ら成り立っている。販売会社は、受付部門ａ、中継部門
ｂ、商品部門ｃとに分かれており、各部門は独立に業務
を遂行しており、各部門間で情報の公開は無いものとす
る。また、本システムに加入している発注者ｉには、各
個人を識別できる発注者識別子ＩＤｉが付与されてい
る。また、本実施例の通信ネットワークを用いた通信販
売システムは、商品として、ゲームや業務用のソフトウ
ェア、マルチメディア情報などの電子的商品を取り扱う
ものとする。

【００３０】図１において、発注者ｉは、販売会社の受
付部門ａとパソコン通信でつながっていて、双方向に情
報をやりとりする。受付部門ａは、発注者ｉおよび中継
部門ｂとパソコン通信でつながっていて、双方向に情報
をやりとりする。中継部門ｂは、受付部門ａおよび商品
部門ｃとパソコン通信でつながっていて、双方向に情報
をやりとりする。商品部門ｃは、中継部門ｂとパソコン
通信でつながっていて、双方向に情報をやりとりする。

【００３１】次に、図１に示す通信販売システムの概略
的な動作を説明する。まず、発注者ｉは、欲しい商品の
商品コードを二重に暗号化し、それを解読するための２
つの暗号鍵をそれぞれ、中継部門ｂ、商品部門ｃ向けに
暗号化する。そして、発注者ｉは、二重に暗号化された
商品コードと、中継部門ｂおよび商品部門ｃ向けに暗号
化した暗号鍵とを合わせた暗号化発注内容を、発注者の
識別子と共に、販売会社の受付部門ａに送る。受付部門
ａは、発注者ｉから送られてきた情報、すなわち暗号化
発注内容を、そのまま、照会番号（仮名情報）Ｒｅｆ１
と共に、中継部門ｂに送る。中継部門ｂは、受付部門ａ
から送られてきた暗号化発注内容の内、中継部門ｂ向け
に暗号化された暗号鍵を復号し、それを用いて二重に暗
号化されている商品コードを一部復号する。そして、中
継装置ｂは、一部復号された暗号化された商品コード
と、商品部門ｃ向けに暗号化された暗号鍵とを合わせ
て、照会番号Ｒｅｆ２と共に、商品部門ｃへ送る。商品
部門ｃは、商品部門ｃ向けに暗号化された暗号鍵を復号
し、当該復号された暗号鍵を用いて、暗号化されている
商品コードを復号する。これによって、発注されている
商品名を知ることができる。

【００３２】次に、商品部門ｃは、復号した商品コード
に対応する商品そのものを暗号化し、当該暗号化された
商品を、その価格および照会番号Ｒｅｆ２と共に、中継
部門ｂに送る。中継部門ｂは、商品部門ｃから送られて
きた暗号化商品をさらに暗号化し、当該二重に暗号化さ
れた商品を、その価格および照会番号Ｒｅｆ１と共に、
受付部門ａに送る。受付部門ａは、照会番号Ｒｅｆ１か
ら発注者ｉを対応づけ、商品の価格に等しい金額を発注
者ｉの銀行口座から引き落とし、また中継部門ｂから送
られてきた暗号化商品を、通信ネットワークを介して発
注者ｉに送る。発注者ｉは、受付部門ａから送られてき
た暗号化商品を復号し、発注した商品を手に入れる。

【００３３】図２は、図１に示す発注者ｉが所持してい
る物品購入装置１０の構成の一例を示すブロック図であ
る。図２において、この物品購入装置１０は、制御部１
０１と、ＲＯＭ１０２と、ＲＡＭ１０３と、入力操作器
１０４と、表示器１０５と、商品カタログ格納部１０６
と、乱数発生部１０７と、秘密鍵保管部１０８と、通信
部１０９と、発注データ格納部１１０とを備えている。

【００３４】ＲＯＭ１０２には、プログラムデータと、
受付部門ａの公開鍵、中継部門ｂの公開鍵、商品部門ｃ
の公開鍵が格納され、制御部１０１は、このプログラム
データに従って動作する。ＲＡＭ１０３は、制御部１０
１の動作に必要な種々のデータを記憶する。入力操作器
１０４は、発注者によって操作されるキーボードやマウ
ス等を含み、制御部１０１に種々のデータや指示を入力
する。表示器１０５は、ＣＲＴディスプレイや液晶表示
器によって構成され、制御部１０１から与えられる画像
データを表示する。商品カタログ格納部１０６は、受付
部門ａから定期的に送られてくる電子的な画像データを
含む商品カタログを格納する。乱数発生部１０７は、発
注内容の暗号化に必要な２つの乱数を生成する。秘密鍵
保管部１０８は、発注者ｉ固有の秘密鍵を保管する。た
だし秘密鍵は外部から読み出すことはできない。通信部
１０９は、受付部門ａとパソコン通信でつながってお
り、各入力されたデータを送受信する。発注データ格納
部１１０は、商品発注データをやりとりする際に必要な
データを記憶している。

【００３５】図３は、図１に示す受付部門ａに設けられ
ている受付装置２０の構成の一例を示すブロック図であ
る。図３において、この受付装置２０は、制御部２０１
と、ＲＯＭ２０２と、ＲＡＭ２０３と、個人データ格納
部２０４と、秘密鍵保管部２０５と、通信部２０６と、
発注データ格納部２０７と、照会番号発行部２０８とを
備えている。

【００３６】ＲＯＭ２０２には、プログラムデータなら
びに中継部門ｂの公開鍵が格納され、制御部２０１は、
このプログラムデータに従って動作する。ＲＡＭ２０３
は、制御部２０１の動作に必要な種々のデータを記憶す
る。個人データ格納部２０４には、本システムに加入し
ている全ユーザの公開鍵、パソコン通信アドレス、銀行
口座などの個人情報が、個人識別子と組にされて保管さ
れている。秘密鍵保管部２０５は、受付部門ａ固有の秘
密鍵を保管する。ただし秘密鍵は外部から読み出すこと
はできない。通信部２０６は、各発注者および中継部門
ｂと、パソコン通信でつながっており、各入力されたデ
ータを送受信する。発注データ格納部２０７は、商品発
注データをやりとりをする際に必要なデータを記憶して
いる。照会番号発行部２０８は、商品発注データのやり
とりをする際に必要な照会番号を発行する。

【００３７】図４は、図１に示す中継部門ｂに設けられ
ている中継装置３０の構成の一例を示すブロック図であ
る。図４において、この受付装置３０は、制御部３０１
と、ＲＯＭ３０２と、ＲＡＭ３０３と、秘密鍵保管部３
０４と、通信部３０５と、発注データ格納部３０６と、
照会番号発行部３０７とを備えている。

【００３８】ＲＯＭ３０２には、プログラムデータなら
びに受付部門ａの公開鍵が格納され、制御部３０１は、
このプログラムデータに従って動作する。ＲＡＭ３０３
は、制御部３０１の動作に必要な種々のデータを記憶す
る。秘密鍵保管部３０４は、受付部門ｂ固有の秘密鍵を
保管する。ただし秘密鍵は外部から読み出すことはでき
ない。通信部３０５は、受付部門ａと、商品部門ｃと、
パソコン通信でつながっており、各入力されたデータを
送受信する。発注データ格納部３０６は、商品発注デー
タをやりとりをする際に必要なデータを記憶している。
照会番号発行部３０７は、商品発注データのやりとりを
する際に必要な照会番号を発行する。

【００３９】図５は、図１に示す商品部門ｃに設けられ
た商品発送装置４０の構成の一例を示すブロック図であ
る。図５において、この商品発送装置４０は、制御部４
０１と、ＲＯＭ４０２と、ＲＡＭ４０３と、秘密鍵保管
部４０４と、通信部４０５と、発注データ格納部４０６
と、商品データ格納部４０７と、商品保管部４０８とを
備えている。

【００４０】ＲＯＭ４０２には、プログラムデータなら
びに中継部門ｂの公開鍵が格納され、制御部４０１は、
このプログラムデータに従って動作する。ＲＡＭ４０３
は、制御部４０１の動作に必要な種々のデータを記憶す
る。秘密鍵保管部４０４は、受付部門ｃ固有の秘密鍵を
保管する。ただし秘密鍵は外部から読み出すことはでき
ない。通信部４０５は、中継部門ｂと、パソコン通信で
つながっており、各入力されたデータを送受信する。発
注データ格納部４０６は、商品発注データをやりとりを
する際に必要なデータを記憶している。商品データ格納
部４０７は、各商品の価格などが格納されている。商品
保管部４０８は、商品部門ｃが販売する全電子的商品が
記録されている。ただし外部から読み出すことはできな
い。

【００４１】図６は、図１に示す通信ネットワークを用
いた通信販売システム全体の動作を示すシーケンスチャ
ートである。図７は、図１の物品購入装置１０の商品発
注時の動作を示すフローチャートである。図８は、図１
の受付装置２０の発注受付時の動作を示すフローチャー
トである。図９は、図１の中継装置３０の発注中継時の
動作を示すフローチャートである。図１０は、図１の商
品発送装置４０の動作を示すフローチャートである。図
１１は、図１の中継装置３０の商品中継時の動作を示す
フローチャートである。図１２は、図１の受付装置２０
の商品発送時の動作を示すフローチャートである。図１
３は、図１の物品購入装置１０の商品受取時の動作を示
すフローチャートである。以下、これら図６〜１３を参
照して、上記実施例の動作を説明する。

【００４２】各発注者ｉは、本システム加入時に、シス
テム管理者に対して名前，パソコン通信アドレス，振替
指定銀行口座などを書いたシステム加入申込書を送る。
また同時に、振替指定銀行口座のある銀行に対して、銀
行に受付部門ａから正当な料金振替請求があった場合に
は、銀行は発注者ｉの許可なしで振り替えできる、とい
う内容の契約書を送っておく。システム管理者は、発注
者ｉから送られてきたシステム加入申込書の内容の確認
を行い、確認が取れた場合、発注者ｉに個人識別子ＩＤ
ｉと、発注者毎に異なりかつ秘密にしておく必要のある
秘密鍵などを格納した物品購入装置１０を配布（貸与、
販売）する。また、システム管理者は、受付部門ａに、
発注者ｉの個人識別子ＩＤｉと、公開鍵ｐｉと、振替指
定口座とを組にして伝え、受付部門ａは、そのデータを
図１の受付装置１０内にある個人データ格納部２０４
（図３参照）に格納しておく。

【００４３】システム管理者は、各発注者ｉ、中継部門
ｂ、商品部門ｃに対して、秘密鍵暗号アルゴリズムＦと
秘密鍵復号アルゴリズムＦ^-1を配布しておく。このと
き、鍵Ｋを用いて秘密鍵暗号アルゴリズムＦによりデー
タＸを暗号化した関数Ｆ（Ｋ，Ｘ）を復号できるのは、
秘密鍵復号アルゴリズムＦ^-1と鍵Ｋの双方を保持してい
るものに限られる。すなわち、 Ｘ＝Ｆ^-1（Ｋ，Ｆ（Ｋ，Ｘ）） が成立する。

【００４４】次に、システム管理者は、各発注者ｉに対
して、公開鍵暗号アルゴリズムＥと、中継部門ｂおよび
商品部門ｃの公開鍵ｐｂおよびｐｃとを配布し、中継部
門ｂおよび商品部門ｃに対して、公開鍵復号アルゴリズ
ムＤと、各自の秘密鍵ｓｂおよびｓｃとを配布する（公
開鍵，秘密鍵は、商品部門毎に異なる）。このとき、ｙ
（ｙは、ｂかｃのいずれか）の公開鍵ｐｙを用いて公開
鍵暗号アルゴリズムＥによりデータＸを暗号化した関数
Ｅ（ｐｙ，Ｘ）を復号できるのは、公開鍵復号アルゴリ
ズムＤと秘密鍵ｓｙを保持しているものに限られる。す
なわち、 Ｘ＝Ｄ（ｓｙ，Ｅ（ｐｙ，Ｘ）） が成立する。また、秘密鍵ｓｙは、ｙしか知らない。ま
た、各公開鍵ｐｙから対応する秘密鍵ｓｙは類推できな
い。

【００４５】また、システム管理者は、各発注者ｉ、受
付部門ａ、中継部門ｂ、商品部門ｃに対して、署名生成
アルゴリズムｓｉｇｎおよび署名確認アルゴリズムｖｅ
ｒｉｆｙと、受付部門ａ，中継部門ｂ，商品部門ｃの公
開鍵とを配布する（先に公開鍵暗号アルゴリズムの説明
の時に述べた公開鍵・秘密鍵の値と同じである）。この
とき、データＸに対して自分の秘密鍵ｓｙ（ｙは、ｉ、
ａ、ｂ、ｃのいずれか）を用いて署名生成アルゴリズム
ｓｉｇｎにより作成した電子署名ｓｉｇｎ（ｓｙ，Ｘ）
は、秘密鍵ｓｙを保持していないと作成できない。ま
た、ｙの公開鍵ｐｙと署名確認アルゴリズムｖｅｒｉｆ
ｙとを用いることにより、電子署名ｓｉｇｎ（ｓｙ，
Ｘ）が、確かにｙの作成したデータＸに対する電子署名
であるか否かを確認できる。

【００４６】各発注者ｉ、受付部門ａ、中継部門ｂ、商
品部門ｃにおいては、配布されたアルゴリズムと各公開
鍵とが、各装置の内部にあるＲＯＭ１０２、２０２、３
０２、４０２にそれぞれ格納してある。また、各自の秘
密鍵は、各装置内部の秘密鍵保管部１０８、２０５、３
０４、４０４に保管され、外部からは読み出しできな
い。

【００４７】なお、秘密鍵暗号アルゴリズム、公開鍵暗
号アルゴリズム、署名生成アルゴリズムに関しては、
「現代暗号理論」池野信一・小山謙二著（電子通信学
会）に詳しく述べられているので、それを参照された
い。

【００４８】以下の処理は、ある発注者ｉが、商品コー
ドＰＩＤの電子的商品ＰＤＴを購入する場合の処理につ
いて述べている。

【００４９】発注者ｉには、定期的に受付部門ａから電
子カタログが送付されてきて、商品カタログ格納部１０
６に格納されている。発注者ｉは、商品カタログ格納部
１０６に格納されている電子カタログが、表示器１０５
に表示されるのを見て、欲しいと思った商品があった場
合、入力操作器１０４で画面をマークすることにより、
購入商品を選択してその結果を制御部１０１に入力する
（図７のステップＳ１０１）。なお、購入商品の選択方
法には、これ以外にも種々の方法（例えば、キー入力）
を取り得ることを指摘しておく。次に、制御部１０１
は、入力された購入商品に対応する商品コードＰＩＤ
を、商品カタログ格納部１０６から読みとる（ステップ
Ｓ１０２）。

【００５０】次に、制御部１０１は、乱数発生部１０７
を用いて２つの乱数ｒｂ，ｒｃを発生する（ステップＳ
１０３）。次に、制御部１０１は、ＲＯＭ１０２から秘
密鍵暗号アルゴリズムＦを読み込み、発生された乱数ｒ
ｂ，ｒｃを鍵として、商品コードＰＩＤを次のように二
重暗号化する（ステップＳ１０４）。まず、ｒｃを鍵と
してＰＩＤを暗号化する。 Ｆ（ｒｃ，ＰＩＤ） さらに、上記データＦ（ｒｃ，ＰＩＤ）を、ｒｂを鍵と
して暗号化する。 Ｆ（ｒｂ，Ｆ（ｒｃ，ＰＩＤ））

【００５１】次に、制御部１０１は、ＲＯＭ１０２か
ら、公開鍵暗号アルゴリズムＥと、中継部門ｂの公開鍵
ｐｂと、購入しようとしている商品を販売する商品部門
ｃの公開鍵ｐｃとを読み込み、下式（１）のように乱数
ｒｂを公開鍵ｐｂを用いて公開鍵暗号アルゴリズムＥに
より暗号化し、下式（２）のように乱数ｒｃを公開鍵ｐ
ｃを用いて公開鍵暗号アルゴリズムＥにより暗号化する
（ステップＳ１０５）。 Ｅ（ｐｂ，ｒｂ） …（１） Ｅ（ｐｃ，ｒｃ） …（２）

【００５２】次に、制御部１０１は、Ｆ（ｒｂ，Ｆ（ｒ
ｃ，ＰＩＤ））、Ｅ（ｐｂ，ｒｂ）、Ｅ（ｐｃ，ｒｃ）
を連結して、下式（３）のように、暗号化発注内容ＥＯ
ｒｄ１を生成する（ステップＳ１０６）。 ＥＯｒｄ１＝Ｆ（ｒｂ，Ｆ（ｒｃ，ＰＩＤ））‖ Ｅ（ｐｂ，ｒｂ）‖Ｅ（ｐｃ，ｒｃ） …（３） ただし、上式（３）において、‖は情報の連結を表して
いる。

【００５３】次に、制御部１０１は、秘密鍵保管部１０
８から発注者ｉの秘密鍵ｓｉを、そしてＲＯＭ１０２か
ら署名生成アルゴリズムｓｉｇｎを、それぞれ読み取
り、下式（４）を用いて、ＥＯｒｄ１に対する電子署名
を生成する（ステップＳ１０７）。 ｓｉｇｎ（ｓｉ，ＥＯｒｄ１） …（４） ここで、データＸと、データＸに対するｙの電子署名ｓ
ｉｇｎ（ｓｙ，Ｘ）の連結を、Ｘ［ｙ］で簡単に表すこ
とにする。すなわち、 Ｘ［ｙ］＝Ｘ‖ｓｉｇｎ（ｓｙ，Ｘ） となる。

【００５４】次に、制御部１０１は、個人識別子ＩＤｉ
とＥＯｒｄ１［ｉ］とを、通信部１０９からパソコン通
信を用いて、受付部門ａに送信する（ステップＳ１０
８）。

【００５５】受付部門ａは、パソコン通信を用いて発注
者ｉから送られてきたデータＩＤｉとＥＯｒｄ１［ｉ］
とを、図３の通信部２０６を介して受信する（図８のス
テップＳ２０１）。次に、受付装置２０の制御部２０１
は、送られてきたデータのＩＤｉから対応する公開鍵ｐ
ｉを、個人データ格納部２０４から検索して、読み出す
（ステップＳ２０２）。次に、制御部２０１は、ＲＯＭ
２０２から署名確認アルゴリズムｖｅｒｉｆｙを読み出
し、ＥＯｒｄ１［ｉ］の電子署名ｓｉｇｎ（ｓｉ，ＥＯ
ｒｄ１）がＥＯｒｄ１に対する発注者ｉの電子署名であ
るか否かを、下式（５）を用いて確認する（ステップＳ
２０３）。 ｖｅｒｉｆｙ（ｐｉ，ｓｉｇｎ（ｓｉ，ＥＯｒｄ１）） …（５） 制御部２０１は、電子署名の正当性が確認できれば、ス
テップＳ２０４へ進み、確認できない場合は、署名の正
当性が確認できなかった旨を、通信部２０６を介して発
注者ｉへ伝える（ステップＳ２０５）。

【００５６】次に、制御部２０１は、照会番号発行部２
０８を用いて照会番号Ｒｅｆ１を発行する（ステップＳ
２０４）。次に、制御部２０１は、Ｒｅｆ１，ＩＤｉ，
ＥＯｒｄ１［ｉ］を組にして、発注データ格納部２０７
に格納する（ステップＳ２０６）。次に、制御部２０１
は、ＲＯＭ２０２から署名生成アルゴリズムｓｉｇｎ
を、そして秘密鍵保管部２０５から秘密鍵ｓａを、それ
ぞれ読み出し、次式（６）を用いて、照会番号Ｒｅｆ１
に対する電子署名を生成する（ステップＳ２０７）。 ｓｉｇｎ（ｓａ，Ｒｅｆ１） …（６）

【００５７】次に、制御部２０１は、Ｒｅｆ１［ａ］を
受付番号として、発注者ｉに、通信部２０６からパソコ
ン通信を用いて送信する（ステップＳ２０８）。

【００５８】発注者ｉは、受付部門ａから送られてきた
Ｒｅｆ１［ａ］と、暗号化発注内容ＥＯｒｄ１と、２つ
の乱数ｒｂ，ｒｃとを組にして、発注データ格納部１１
０に保管する。

【００５９】次に、受付部門ａの制御部２１０は、照会
番号Ｒｅｆ１と暗号化発注内容ＥＯｒｄ１とを連結した
ものに対して、次式（７）を用いて、電子署名を施す
（ステップＳ２０９）。 ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＯｒｄ１） …（７） 次に、制御部２０１は、（Ｒｅｆ１‖ＥＯｒｄ１）
［ａ］を、中継部門ｂに、通信部２０６からパソコン通
信を用いて送信する（ステップＳ２１０）。

【００６０】中継部門ｂは、パソコン通信を用いて受付
部門ａから送られてきたデータ（Ｒｅｆ１‖ＥＯｒｄ
１）［ａ］を、図４の通信部３０５を介して受信する
（図９のステップＳ３０１）。中継装置３０の制御部３
０１は、ＲＯＭ３０２から、署名確認アルゴリズムｖｅ
ｒｉｆｙと、受付部門ａの公開鍵ｐａとを読み出し、
（Ｒｅｆ１‖ＥＯｒｄ１）［ａ］の電子署名ｓｉｇｎ
（ｓａ，Ｒｅｆ１‖ＥＯｒｄ１）が、（Ｒｅｆ１‖ＥＯ
ｒｄ１）に対する受付部門ａの電子署名であるか否か
を、次式（８）を用いて確認する（ステップＳ３０
２）。 ｖｅｒｉｆｙ（ｐａ，ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＯｒｄ１））…（８） 制御部３０１は、電子署名の正当性が確認できればステ
ップＳ３０３へ進み、確認できない場合は、通信部３０
５を介して受付部門ａへ署名の正当性が確認できなかっ
た旨を伝える（ステップＳ３０４）。

【００６１】次に、制御部３０１は、ＥＯｒｄ１からＥ
（ｐｂ，ｒｂ）を取り出し、秘密鍵保管部３０４から秘
密鍵ｓｂを、そしてＲＯＭ３０２から公開鍵復号アルゴ
リズムＤを読み込み、次式（９）に示すように、Ｅ（ｐ
ｂ，ｒｂ）を鍵ｓｂを用いてＤにより復号し、ｒｂを得
る（ステップＳ３０３）。 Ｄ（ｓｂ，Ｅ（ｐｂ，ｒｂ））＝ｒｂ …（９） 次に、制御部３０１は、ＲＯＭ３０２から秘密鍵復号ア
ルゴリズムＦ^-1を読み出し、次式（１０）に示すよう
に、ＥＯｒｄ１のＦ（ｒｂ，Ｆ（ｒｃ，ＰＩＤ））をｒ
ｂを用いて一部だけ復号する（ステップＳ３０５）。 Ｆ^-1（ｒｂ，Ｆ（ｒｂ，Ｆ（ｒｃ，ＰＩＤ））） ＝Ｆ（ｒｃ，ＰＩＤ） …（１０）

【００６２】次に、制御部３０１は、Ｆ（ｒｃ，ＰＩ
Ｄ）とＥＯｒｄ１のＥ（ｐｃ，ｒｃ）とを連結して、次
式（１１）で示されるＥＯｒｄ２を生成する（ステップ
Ｓ３０６）。 ＥＯｒｄ２＝Ｆ（ｒｃ，ＰＩＤ）‖Ｅ（ｐｃ，ｒｃ） …（１１）

【００６３】次に、制御部３０１は、照会番号発行部３
０７を用いて、照会番号Ｒｅｆ２を発行する（ステップ
Ｓ３０７）。次に、制御部３０１は、（Ｒｅｆ１‖ＥＯ
ｒｄ１）［ａ］と、照会番号Ｒｅｆ２とを組にして、発
注データ格納部３０６に格納する（ステップＳ３０
７）。次に、制御部３０１は、ＲＯＭ３０２から署名生
成アルゴリズムｓｉｇｎを読み出し、Ｒｅｆ２とＥＯｒ
ｄ２とを連結したものに対して、次式（１２）を用い
て、電子署名を施す（ステップＳ３０９）。 ｓｉｇｎ（ｓｂ，Ｒｅｆ２‖ＥＯｒｄ２） …（１２）

【００６４】次に、制御部３０１は、（Ｒｅｆ２‖ＥＯ
ｒｄ２）［ｂ］を、商品部門ｃに、通信部３０５からパ
ソコン通信を用いて送信する（ステップＳ３１０）。

【００６５】商品部門ｃは、パソコン通信を用いて中継
部門ｂから送られてきたデータ（Ｒｅｆ２‖ＥＯｒｄ
２）［ｂ］を、図５の通信部４０５を介して受信する
（図１０のステップＳ４０１）。商品発送装置４０の制
御部４０１は、ＲＯＭ４０２から、署名確認アルゴリズ
ムｖｅｒｉｆｙと、中継部門ｂの公開鍵ｐｂとを読み出
し、（Ｒｅｆ２‖ＥＯｒｄ２）［ｂ］の電子署名ｓｉｇ
ｎ（ｓｂ，Ｒｅｆ２‖ＥＯｒｄ２）が、（Ｒｅｆ２‖Ｅ
Ｏｒｄ２）に対する中継部門ｂの電子署名であるか否か
を、次式（１３）を用いて確認する（ステップＳ４０
２）。 ｖｅｒｉｆｙ（ｐｂ，ｓｉｇｎ（ｓｂ，Ｒｅｆ２‖ＥＯｒｄ２）） …（１３） 制御部４０１は、電子署名の正当性が確認できればステ
ップＳ４０３へ進み、確認できない場合は、通信部４０
５を介して中継部門ｂへ署名の正当性が確認できなかっ
た旨を伝える（ステップＳ４０４）。

【００６６】次に、制御部４０１は、ＥＯｒｄ２からＥ
（ｐｃ，ｒｃ）を取り出し、秘密鍵保管部４０４から秘
密鍵ｓｃを、そしてＲＯＭ４０２から公開鍵復号アルゴ
リズムＤを読み込み、Ｅ（ｐｃ，ｒｃ）を鍵ｓｃを用い
てＤにより復号し、次式（１４）で示されるｒｃを得る
（ステップＳ４０３）。 Ｄ（ｓｃ，Ｅ（ｐｃ，ｒｃ））＝ｒｃ …（１４） 次に、制御部４０１は、ＲＯＭ４０２から秘密鍵復号ア
ルゴリズムＦ^-1を読み出し、ＥＯｒｄ２のＦ（ｒｃ，Ｐ
ＩＤ）をｒｃだけを用いて次式（１５）のように復号す
る（ステップＳ４０５）。 Ｆ^-1（ｒｃ，Ｆ（ｒｃ，ＰＩＤ））＝ＰＩＤ …（１５） 次に、制御部４０１は、（Ｒｅｆ２｜｜ＥＯｒｄ２）
［ｂ］を、発注データ格納部４０６に格納する（ステッ
プＳ４０６）。

【００６７】次に、制御部４０１は、ＰＩＤの価格Ｐｒ
を商品データ格納部４０６から読み出し（ステップＳ４
０７）、商品保管部４０８からＰＩＤが対応する電子的
商品ＰＤＴを取り出す（ステップＳ４０８）。次に、制
御部４０１は、ＲＯＭ４０２から秘密鍵暗号アルゴリズ
ムＦを読み込み、ＰＤＴを鍵ｒｃを用いてＦにより暗号
化することにより、次式（１６）で示されるＥＰＤＴ１
を生成する（ステップＳ４０９）。 ＥＰＤＴ１＝Ｆ（ｒｃ，ＰＤＴ） …（１６）

【００６８】次に、制御部４０１は、ＲＯＭ４０２から
署名生成アルゴリズムｓｉｇｎを読み込み、Ｒｅｆ２、
ＥＤＰＴ１、Ｐｒを連結したものに対して、次式（１
７）で示されるような電子署名を作成する（ステップＳ
４１０）。 ｓｉｇｎ（ｓｃ，Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ） …（１７）

【００６９】次に、制御部４０１は、（Ｒｅｆ２‖ＥＤ
ＰＴ１‖Ｐｒ）［ｃ］を、中継部門ｂに、通信部４０５
からパソコン通信を用いて送信する（ステップＳ４１
１）。

【００７０】中継部門ｂは、パソコン通信を用いて商品
部門ｃから送られて来たデータ（Ｒｅｆ２‖ＥＤＰＴ１
‖Ｐｒ）［ｃ］を、図４の通信部３０４を介して受信す
る（図１１のステップＳ５０１）。中継装置３０の制御
部３０１は、ＲＯＭ３０２から、署名確認アルゴリズム
ｖｅｒｉｆｙと、商品部門ｃの公開鍵ｐｃとを読み出
し、（Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）［ｃ］の電子署名
ｓｉｇｎ（ｓｃ，Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）が、
（Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）に対する商品部門ｃの
電子署名であるか否かを、次式（１８）を用いて確認す
る（ステップＳ５０２）。 ｖｅｒｉｆｙ（ｐｃ，ｓｉｇｎ（ｓｃ，Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）） …（１８） 制御部４０１は、電子署名の正当性が確認できればステ
ップＳ５０３へ進み、確認できない場合は、通信部３０
５を介して商品部門ｃへ署名の正当性が確認できなかっ
た旨を伝える（ステップＳ５０４）。

【００７１】次に、制御部３０１は、送られてきた（Ｒ
ｅｆ２‖ＥＤＰＴ１‖Ｐｒ）［ｃ］に含まれている照会
番号Ｒｅｆ２に基づいて、発注データ格納部３０６を検
索し、当該照会番号Ｒｅｆ２と共に記録されている（Ｒ
ｅｆ１‖ＥＯｒｄ１）［ａ］から、図９のステップＳ３
０３と同じようにして、乱数ｒｂを取り出す（ステップ
Ｓ５０３）。

【００７２】次に、制御部３０１は、ＲＯＭ３０２から
秘密鍵暗号アルゴリズムＦを読み出し、鍵ｒｂを用い
て、ＥＰＤＴ１を暗号化し、次式（１９）で示されるＥ
ＰＤＴ２を生成する（ステップＳ５０５）。 ＥＰＤＴ２＝Ｆ（ｒｂ，ＥＰＤＴ１） ＝Ｆ（ｒｂ，Ｆ（ｒｃ，ＰＤＴ）） …（１９）

【００７３】次に、制御部３０１は、ＲＯＭ３０２から
署名生成アルゴリズムｓｉｇｎを、秘密鍵保管部３０４
から秘密鍵ｓｂを、それぞれ読み出し、照会番号Ｒｅｆ
２と共に記録されている（Ｒｅｆ１‖ＥＯｒｄ１）
［ａ］から取り出した照会番号Ｒｅｆ１と、商品部門か
ら送られてきたＥＰＤＴ２とＰｒとを連結した（Ｒｅｆ
１‖ＥＰＤＴ２‖Ｐｒ）に対し、次式（２０）を用い
て、電子署名を施す（ステップＳ５０６）。 ｓｉｇｎ（ｓｂ，Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ） …（２０）

【００７４】次に、制御部３０１は、商品部門ｃから送
られてきた（Ｒｅｆ２‖ＥＤＰＴ１‖Ｐｒ）［ｃ］を、
（Ｒｅｆ１‖ＥＯｒｄ１）［ａ］と組にして発注データ
格納部３０６に格納する（ステップＳ５０７）。次に、
制御部３０１は、（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）
［ｂ］を、受付部門ａに、通信部３０５からパソコン通
信を用いて送信する（ステップＳ５０８）。

【００７５】受付部門ａは、パソコン通信を介して中継
部門ｂから送られてきたデータ（Ｒｅｆ１‖ＥＰＤＴ２
‖Ｐｒ）［ｂ］を、図３の通信部２０６を介して受信す
る（図１２のステップＳ６０１）。受付装置２０の制御
部２０１は、ＲＯＭ２０２から、署名確認アルゴリズム
ｖｅｒｉｆｙと、中継部門ｂの公開鍵ｐｂとを読み出
し、（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）［ｂ］の電子署名
ｓｉｇｎ（ｓｂ，Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）が、
（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）に対する中継部門ｂの
電子署名であるか否かを、次式（２１）を用いて確認す
る（ステップＳ６０２）。 ｖｅｒｉｆｙ（ｐｂ，ｓｉｇｎ（ｓｂ，Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）） …（２１） 制御部２０１は、電子署名の正当性が確認できればステ
ップＳ６０３へ進み、確認できない場合は、通信部２０
６を介して中継部門ｂへ署名の正当性が確認できなかっ
た旨を伝える（ステップＳ６０４）。

【００７６】次に、制御部２０１は、発注データ格納部
２０７を検索して、中継部門ｂから送られてきた（Ｒｅ
ｆ１‖ＥＰＤＴ２‖Ｐｒ）［ｂ］からＲｅｆ１を取り出
し、（Ｒｅｆ１‖ＥＰＤＴ２‖Ｐｒ）［ｂ］を、ＩＤｉ
およびＥＯｒｄ１［ｉ］と組にして、発注データ格納部
２０７に記録する（ステップＳ６０３）。

【００７７】次に、制御部２０１は、ＲＯＭ２０２から
署名生成アルゴリズムｓｉｇｎを、秘密鍵保管部２０５
から秘密鍵ｓａを、それぞれ取り出し、Ｒｅｆ１‖ＥＤ
ＰＴ２‖Ｐｒに対する電子署名を、次式（２２）を用い
て生成する（ステップＳ６０５）。 ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ） …（２２）

【００７８】次に、制御部２０１は、照会番号Ｒｅｆ１
とともに発注データ格納部２０７に格納されている個人
識別子ＩＤｉを求め、そして当該ＩＤｉに対応するパソ
コン通信アドレスを個人データ格納部２０４から検索
し、発注者ｉに、（Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）
［ａ］を、通信部２０６からパソコン通信を用いて送信
する（ステップＳ６０６）。

【００７９】発注者ｉは、パソコン通信を介して受付部
門ａから送られてきたデータ（Ｒｅｆ１‖ＥＤＰＴ２‖
Ｐｒ）［ａ］を、図２の通信部１０９を介して受信する
（図１３のステップＳ７０１）。物品購入装置１０の制
御部１０１は、ＲＯＭ１０２から、署名確認アルゴリズ
ムｖｅｒｉｆｙと、受付部門ａの公開鍵ｐａとを読み出
し、（Ｒｅｆ１‖ＥＤＰＴ２‖ＺＰｒ）［ａ］の電子署
名ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）が、
（Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）に対する受付部門ａの
電子署名であるか否かを、次式（２３）を用いて確認す
る（ステップＳ７０２）。 ｖｅｒｉｆｙ（ｐａ，ｓｉｇｎ（ｓａ，Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）） …（２３） 制御部１０１は、電子署名の正当性が確認できればステ
ップＳ７０３へ進み、確認できない場合は、通信部１０
９を介して受付部門ａへ署名の正当性が確認できなかっ
た旨を伝える（ステップＳ７０４）。

【００８０】次に、制御部１０１は、送られてきた（Ｒ
ｅｆ１‖ＥＤＰＴ２‖Ｐｒ）［ａ］からＲｅｆ１を取り
出し、発注データ格納部１１０に格納されているＲｅｆ
１［ａ］を検索し、その中で発注した商品の価格と、送
られてきた（Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ）［ａ］のＰ
ｒとが一致するかどうか確かめる（ステップＳ７０
３）。制御部１０１は、一致した場合は、ステップＳ７
０５へ進み、一致しなかった場合は、通信部１０９を介
して受付部門ａへ値段が違うとアピールする（ステップ
Ｓ７０６）。

【００８１】制御部１０１は、ＲＯＭ１０２から署名生
成アルゴリズムｓｉｇｎを、秘密鍵保管部１０８から秘
密鍵ｓｉを、それぞれ読み出し、Ｒｅｆ１‖ＥＤＰＴ２
‖Ｐｒに対する電子署名を次式（２４）を用いて生成
し、商品受取票Ｒｅｃｅｉｐｔとする（ステップＳ７０
５）。 Ｒｅｃｅｉｐｔ＝ｓｉｇｎ（ｓｉ，Ｒｅｆ１‖ＥＤＰＴ２‖Ｐｒ） …（２４） 次に、制御部１０１は、商品受取票ＲｅｃｅｉｐｔをＲ
ｅｆ１と共に、通信部１０９からパソコン通信を用い
て、受付部門ａに送信する（ステップＳ７０７）。

【００８２】次に、制御部１０１は、ＲＯＭ１０２から
秘密鍵復号アルゴリズムＦ^-1を読み出し、Ｒｅｆ１と組
にして発注データ保管部に保管されている２つの乱数ｒ
ｂ，ｒｃを読み出す。そして、制御部１０１は、次式
（２５）のように、鍵ｒｂをＦ ^-1に代入することによ
り、ＥＰＤＴ２を復号し、ＥＰＤＴ１を得る（ステップ
Ｓ７０８）。 Ｆ^-1（ｒｂ，ＥＰＤＴ２）＝ＥＰＤＴ１ …（２５） 次に、制御部１０１は、鍵ｒｃをＦ^-1に代入することに
より、ＥＰＤＴ１を復号し、発注した電子的商品ＰＤＴ
を得る（ステップＳ７０９）。 Ｆ^-1（ｒｃ，ＥＰＤＴ１）＝ＰＤＴ …（２６）

【００８３】なお、復号した商品ＰＤＴが発注したもの
と異なる場合は、制御部１０１は、パソコン通信を使っ
て受付部門ａに商品違いをアピールする（ステップＳ７
１０）。

【００８４】受付部門ａにおいて、制御部２０１は、発
注者ｉ送られてきたＲｅｆ１が発注データ格納部２０７
に記録されているかどうかを検索し、発注者ｉから送ら
れてきたＲｅｃｅｉｐｔを、Ｒｅｆ１と共に格納されて
いるＩＤｉ、ＥＯｒｄ１［ｉ］、（Ｒｅｆ１‖ＥＰＤＴ
２‖Ｐｒ）と組にして保管する。そして、制御部２０１
は、発注者ｉの予め登録されている振替指定銀行口座か
ら、商品ＰＤＴの価格Ｐｒを引き落とし受付部門ａの口
座に振替えるように、銀行に依頼する。

【００８５】次に、以上説明した通信ネットワークを用
いた通信販売システムにおいて、「誰が何を買ったのか
わからない」というプライバシー保護が実現できている
ことについて述べる。まず初めに、受付部門ａ、中継部
門ｂ、商品部門ｃの３つ全てが結託しないと「誰が何を
買った」という情報がわからないことを示す。その後、
各手続きにおいて、発注者ｉ、受付部門ａ、中継部門
ｂ、商品部門ｃが通常の手続きをしなかった場合の対策
についても述べる。

【００８６】図１４は、先に説明した通信ネットワーク
を用いた通信販売システムにおいて、受付部門ａ、中継
部門ｂ、商品部門ｃのそれぞれが、各手続きにおいて登
場する情報のどれを知っているかを示している。○はそ
の情報を保持していて、×は保持していないことを示し
ている。

【００８７】発注者ｉの個人識別子ＩＤｉは、受付部門
ａしか知らず、商品名ＰＩＤは商品部門ｃしか知らな
い。これは、商品に関する情報は、受付部門ａ、中継部
門ｂでは暗号化された状態で処理されるからである。し
かも、受付部門ａと商品部門ｃが共有している情報は、
商品の価格Ｐｒしかないので、商品の価格がほとんど均
一でしかも情報量が多いならば、仮に受付部門ａと商品
部門ｃが互いに自分の持つ情報を相手に渡したとして
も、それぞれが保持する情報を結び付ける情報がない。
すなわち「誰が何を買ったのか」がわからない。また、
中継部門ｂには、商品に関する情報も、発注者ｉに関す
る情報も無いので、受付部門ａ、商品部門ｃのいずれか
と、互いに自分の持つ情報を相手に渡したとしても、
「誰が何を買ったのか」がわからない。したがって、
「誰が何を買った」という情報がわかるためには、受付
部門ａ、中継部門ｂ、商品部門ｃの３つが結託し、互い
に自分の持つ情報を相手に渡すことが必要となる。各部
門が正常な組織倫理に基づいて運用される限り、３部門
共が結託する可能性は非常に小さい。よって、「誰が何
を買ったのかわからない」というプライバシー保護が実
現できている。すなわち、発注者は匿名で通信ネットワ
ークを介して商品を注文購入できる。

【００８８】次に、各手続きにおいて、発注者ｉ、受付
部門ａ、中継部門ｂ、商品部門ｃ（以下、単にまとめて
セクションと呼ぶ）が通常の手続きをしなかった場合の
対策について述べる。ここで、通常の手続きをしないと
は、送られてきた情報を処理して次の手続きへ送る際
に、情報を改ざんしたりすることである。たとえば、先
に説明した通信ネットワークを用いた通信販売システム
において、受付部門ａが発注者ｉから受け付けた暗号化
発注内容ＥＯｒｄ１の内容の全部または一部を別のもの
にするといった場合がある。

【００８９】各手続きにおいて、各セクションが、送ら
れてきた情報を書き替えて次の手続きへ送った場合は、
各手続きにおいて情報を送る時に、そのセクションしか
作成できない電子署名を一緒に送付している。電子署名
は、送信途中で内容が改ざんされた場合でも署名確認時
に判明する。すなわち、各セクションの発注データ格納
部には、送られてきた情報とその電子署名が格納されて
いるため、その情報を元にたどっていけば誰が情報を書
き換えたかが判明する。したがって、各セクションは、
情報を無断で書き換えることができない。

【００９０】以上説明したように、上記実施例の通信ネ
ットワークを用いた通信販売システムにおいては、「誰
が何を買ったのかわからない」というプライバシー保護
が実現できていて、発注者ｉ、受付部門ａ、中継部門
ｂ、商品部門ｃのいずれかが通常の手続きをしなかった
場合も、そのような手続きをどの部門で行ったかが特定
できる。

【００９１】なお、上記実施例においては、発注者ｉ、
受付部門ａ、中継部門ｂ、商品部門ｃの双方向通信を、
パソコン通信を用いて行なっているが、デジタルＣＡＴ
Ｖ網、Ｂ−ＩＳＤＮなどの双方向通信が行なえる他の通
信ネットワークを採用してもよく、この場合も上記実施
例と同様の効果が得られる。

【００９２】また、上記実施例においては、発注者ｉか
ら受付部門ａへの商品代金の受渡しを、システム申込時
に振替指定銀行口座をシステム管理者に知らせ、受付部
門ａがその振替指定銀行口座から受付部門ａの口座へ振
り替えてもらうように銀行に依頼することで実現してい
るが、システム加入時に予め発注者ｉが加入しているク
レジットカード部門の会員番号を知らせ、受付部門ａは
商品代金を指定されたクレジット部門から立て替え払い
してもらうことで実現してもよく、この場合も上記実施
例と同様の効果が得られる。

【００９３】また、上記実施例においては、受付部門ａ
と商品部門ｃとの間に中継部門ｂを設定しているが、中
継部門を省略することもできる。この場合、受付部門ａ
は発注者が誰であるかを特定できるが、発注内容ならび
に商品そのものは暗号化されているので何を買ったのか
を特定できない。また、商品部門ｃは、何を買ったのか
は特定できるが、受付部門ａから送られてくる照会番号
は発注者とは対応づけられない。すなわち、誰が買った
のかを特定できない。よって、この場合も、いずれの部
門も、単独では「誰が何を買ったのか」がわからず、プ
ライバシー保護が実現できている。

【００９４】また、上記実施例においては、購入する商
品を電子的商品としたが、電子的ではない一般的な商品
に対しても、プライバシを保護する本発明の通信ネット
ワークを用いた通信販売システムを適用することが可能
である。ただし、この場合、上記実施例の手続きを若干
手変更する必要がある。このことを以下に述べる。

【００９５】発注者ｉが商品を発注して、その発注情報
を受付部門ａが受け付けて、中継部門ｂを介して、商品
部門ｃにパソコン通信を用いて送るところまでは同じで
ある。しかしながら、電子的ではない一般的な商品は暗
号化できないので、商品部門ｃは、商品を物理的に包装
した後、商品部門ｃしか持っていない用紙で封印をし
て、当該封印された商品をＲｅｆ２と共に、中継部門ｂ
に物理的に送る。中継部門ｂでは、送られてきた商品部
門ｃの封印のついた商品を、さらに包装し、中継部門ｂ
しか持っていない用紙で封印する。そして、当該二重に
封印された商品を、Ｒｅｆ２に対応するＲｅｆ１と共に
受付部門ａに物理的に送る。受付部門ａは、二重に封印
された商品を、発注者ｉに物理的に届ける。また、上記
実施例においては、商品部門ｃから中継部門ｂおよび受
付部門ａを介して、発注者ｉに商品を送付する際に、電
子署名を付加して送信しているが、この点は、物品受領
書と通常の印鑑に変わる。

【００９６】上記のように、電子的ではない一般的な商
品に対しても、プライバシを保護する本発明の通信ネッ
トワークを用いた通信販売システムを適用することが可
能である。

【００９７】また、上記実施例においては、中継部門を
１つとして説明したが、中継部門を複数設けたシステ
ム、すなわち第１〜第ｎ（ｎは２以上の整数）の中継部
門を揺するシステムにも本発明を適用することが可能で
ある。ただし、この場合、上記実施例の手続きを若干変
更する必要があるので、以下にこのことを述べる。

【００９８】上記実施例における中継部門ｂは、第１の
中継部門ｂ１が代わる。この時、第１の中継部門ｂ１か
ら直接に商品部門ｃに、 （Ｒｅｆ２‖ＥＯｒｄ２）［ｂ１］ を送るのではなく、第２の中継部門ｂ２から第ｎの中継
部門ｂｎを介して送られる。すなわち、第ｍの中継部門
ｂｍから第（ｍ＋１）の中継部門ｂ（ｍ＋１）へは、 （Ｒｅｆ（ｍ＋１）‖ＥＯｒｄ２）［ｂｍ］ が送信される。ただし、Ｒｅｆ（ｍ＋１）は、第（ｍ＋
１）の照会番号である。また、Ｒｅｆ１からＲｅｆ（ｎ
＋１）までは、各値がすべて異なる。そして、第ｎの中
継部門ｂｎから商品部門ｃへは、 （Ｒｅｆ（ｎ＋１）‖ＥＯｒｄ２）［ｂｎ］ が送られる。商品部門ｃでは、受信した（Ｒｅｆ（ｎ＋
１）‖ＥＯｒｄ２）［ｂｎ］からＰＩＤを得て、ＰＤＴ
を暗号化し、 （Ｒｅｆ（ｎ＋１）‖ＥＰＤＴ１‖Ｐｒ）［ｃ］ を第ｎの中継部門ｂｎへ送信する。また、第ｍの中継部
門ｂｍから第（ｍ−１）の中継部門ｂ（ｍ−１）へは、 （Ｒｅｆ（ｍ＋１）‖ＥＰＤＴ１‖Ｐｒ）［ｂｍ］ が送信される。そして、第１の中継部門ｂ１から受付部
門ａには、 （Ｒｅｆ２‖ＥＰＤＴ１‖Ｐｒ）［ｂ１］ が送信される。以下の手順は、上記実施例と同じであ
る。この場合のプライバシーの安全性は、上記実施例の
安全性のところで述べたように、各部門の結託の可能性
に依存しており、その可能性は上記実施例に比べて低く
なる。

【００９９】また、上記実施例では、受付部門ａ、中継
部門ｂ、商品部門ｃを、１つの会社内に設けるようにし
たが、これら各部門を別会社として組織するようにして
もよい。

【０１００】

【発明の効果】請求項１の発明によれば、受付部門は、
発注者の発注した商品の内容および商品部門から送られ
てくる電子的商品を、暗号化された状態でしか見ること
ができないので、いかなる商品が発注されたかを知るこ
とができない。また、商品部門は、暗号化された商品の
発注内容に、発注者の識別情報とは異なる仮名情報が付
加されて送られてくるので、誰が商品を発注したかを知
ることができない。したがって、受付部門と商品部門と
が結託しない限り、販売側では「誰が何を買ったのか」
を把握することができず、結果として発注者のプライバ
シーを有効に保護することができる。また、発注者から
受付部門に送られる商品の発注内容には、本人確認情報
が付加されるため、受付部門で本人確認を行うことによ
り、クレジットカードや銀行引き落しなどの既存の決裁
システムをそのまま使用することができる。

【０１０１】請求項２の発明によれば、仮名情報とし
て、各注文毎に異なる情報を使用しているので、商品部
門が仮名情報と発注者との対応関係を突き止めるような
不正を有効に防止することができる。

【０１０２】請求項３の発明によれば、受付部門は、発
注者の発注した商品の内容および中継部門から送られて
くる電子的商品を、暗号化された状態でしか見ることが
できないので、いかなる商品が発注されたかを知ること
ができない。また、中継部門は、発注者の発注した商品
の内容および商品部門から送られてくる電子的商品を、
暗号化された状態でしか見ることができないので、いか
なる商品が発注されたかを知ることができない。さら
に、中継部門は、暗号化された商品の発注内容に、発注
者の識別情報とは異なる第１の仮名情報が付加されて送
られてくるので、誰が商品を発注したかを知ることがで
きない。また、商品部門は、暗号化された商品の発注内
容に、第１の仮名情報とは異なる第２の仮名情報が付加
されて送られてくるので、誰が商品を発注したかを知る
ことができない。したがって、受付部門と中継部門と商
品部門とが結託しない限り、販売側では「誰が何を買っ
たのか」を把握することができず、結果として発注者の
プライバシーを有効に保護することができる。なお、受
付部門と商品部門が結託しようとしても、両部門の持っ
ている情報を結び付ける情報がないので、結託しようが
ない。したがって、結託によるプライバシーの侵害を有
効に防止することができる。また、発注者から受付部門
に送られる商品の発注内容には、本人確認情報が付加さ
れるため、受付部門で本人確認を行うことにより、クレ
ジットカードや銀行引き落しなどの既存の決裁システム
をそのまま使用することができる。

【０１０３】請求項４の発明によれば、第１および第２
の仮名情報として、各注文毎に異なる情報を使用してい
るので、中継部門または商品部門が仮名情報と発注者と
の対応関係を突き止めるような不正を有効に防止するこ
とができる。

【０１０４】請求項５の発明によれば、中継部門が複数
設けられ、商品の発注内容および発注された商品がこれ
ら複数の中継部門を介して伝達されるので、各部門の結
託がより一層困難になり、発注者のプライバシーをより
確実に保護することができる。

【０１０５】

【０１０６】

【０１０７】

【０１０８】

【図面の簡単な説明】

【図１】本発明の一実施例に係る通信ネットワークを用
いた通信販売システムの構成を示すブロック図である。

【図２】図１に示す発注者ｉに設けられた物品購入装置
１０の構成の一例を示すブロック図である。

【図３】図１に示す受付部門ａに設けられた受付装置２
０の構成の一例を示すブロック図である。

【図４】図１に示す中継部門ｂに設けられた中継装置３
０の構成の一例を示すブロック図である。

【図５】図１に示す商品部門ｃに設けられた商品発送装
置４０の構成の一例を示すブロック図である。

【図６】図１に示す通信ネットワークを用いた通信販売
システム全体の動作を示すシーケンスチャートである。

【図７】図１の物品購入装置１０の商品発注時の動作を
示すフローチャートである。

【図８】図１の受付装置２０の発注受付時の動作を示す
フローチャートである。

【図９】図１の中継装置３０の発注中継時の動作を示す
フローチャートである。

【図１０】図１の商品発送装置４０の動作を示すフロー
チャートである。

【図１１】図１の中継装置３０の商品中継時の動作を示
すフローチャートである。

【図１２】図１の受付装置２０の商品発送時の動作を示
すフローチャートである。

【図１３】図１の物品購入装置１０の商品受け取り時の
動作を示すフローチャートである。

【図１４】図１の実施例において、各部門で知り得る情
報を説明するための図である。

【図１５】従来の通信ネットワークを用いた通信販売シ
ステムの構成の一例を示すブロック図である。

【符号の説明】

１…発注者 １０…物品購入装置 ２…受付部門 ２０…受付装置 ３…中継部門 ３０…中継装置 ４…商品部門 ４０…商品発送装置 １０１，２０１，３０１，４０１…制御部 １０２，２０２，３０２，４０２…ＲＯＭ １０３，２０３，３０３，４０３…ＲＡＭ １０４…入力操作器 １０５…表示器 １０６…商品カタログ格納部 １０７…乱数発生部 １０８，２０５，３０４，４０４…秘密鍵保管部 １０９，２０６，３０５，４０５…通信部 １１０，２０７，３０６，４０６…発注データ格納部 ２０４…個人データ格納部 ２０８，３０７…照会番号発行部 ４０７…商品データ格納部 ４０８…商品保管部

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 Ｖａｌｕｅ Ｅｘｃｈａｎｇｅ Ｓｙ ｓｔｅｍｄ Ｅｎａｂｌｉｎｇ Ｓｅｃ ｕｔｉｔｙ ａｎｄ Ｕｎｏｂｓｅｒｖ ａｂｉｌｉｔｙ，Ｖｏｌ．９ Ｎｏ. ８，ｐ．715−721 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 660 C06F 17/60 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (5)

(57)【特許請求の範囲】
1. 【請求項１】 複数の発注者、受付部門、商品部門を結
   ぶ通信ネットワークを用いて、電子的商品の発注と流通
   を行う通信販売システムであって、 前記発注者、前記受付部門および前記商品部門には、そ
   れぞれ、物品購入装置、受付装置および商品発送装置が
   設けられており、 前記物品購入装置は、 電子データから成る鍵を発生する鍵発生手段と、 前記鍵を用いて、商品の発注内容を暗号化する発注内容
   暗号化手段と、 前記鍵を暗号化する鍵暗号化手段と、 前記暗号化された商品の発注内容に、前記暗号化された
   鍵と、発注者の識別情報と、本人確認情報とを付加し
   て、前記受付装置に送信する第１の送信手段とを含み、 前記受付装置は、 前記物品購入装置から送信されてくるデータを受信する
   第１の受信手段と、前記第１の受信手段が受信した前記
   本人確認情報が、正当なものか否かを確認する確認手段
   と、 前記確認手段によって前記本人確認情報が正当なものと
   確認された場合、前記第１の受信手段が受信した前記暗
   号化された商品の発注内容と前記暗号化された鍵とに、
   前記発注者の識別情報とは異なる仮名情報を付加して、
   前記商品発送装置に送信する第２の送信手段と、 前記発注者の識別情報と前記仮名情報との対応関係を記
   憶する対応関係記憶手段とを含み、 前記商品発送装置は、 前記受付装置から送信されてくるデータを受信する第２
   の受信手段と、 前記第２の受信手段が受信した前記暗号化された鍵を復
   号する鍵復号手段と、 前記復号された鍵を用いて、前記第２の受信手段が受信
   した前記暗号化された商品の発注内容を復号する発注内
   容復号手段と、 前記電子的商品を保管する商品保管手段と、 前記復号された商品の発注内容に基づいて、前記商品保
   管手段を検索し、対応する電子的商品を読み出す読み出
   し手段と、 前記読み出し手段により読み出された電子的商品を、前
   記復号された鍵を用いて暗号化する商品暗号化手段と、 前記暗号化された電子的商品を、前記第２の受信手段が
   受信した前記仮名情報と共に、前記受付装置に送信する
   第３の送信手段とを含み、 前記受付装置は、さらに前記商品発送装置から送信され
   てくるデータを受信する第３の受信手段と、 前記第３の受信手段が受信した前記仮名情報に基づい
   て、前記対応関係記憶手段を検索することにより、対応
   する発注者を特定する発注者特定手段と、 前記第３の受信手段が受信した前記暗号化された電子的
   商品を、前記発注者特定手段により特定された発注者の
   前記物品購入装置に送信する第４の送信手段とを含み、 前記物品購入装置は、前記受付装置から送られてきた暗
   号化された電子的商品を復号する手段をさらに含む、通
   信販売システム。
2. 【請求項２】 前記仮名情報としては、各注文毎に異な
   る情報が使用されることを特徴とする、請求項１に記載
   の通信販売システム。
3. 【請求項３】 複数の発注者、受付部門、中継部門、商
   品部門を結ぶ通信ネットワークを用いて、電子的商品の
   発注と流通を行う通信販売システムであって、 前記発注者、前記受付部門、前記中継部門および前記商
   品部門には、それぞれ、物品購入装置、受付装置、中継
   装置および商品発送装置が設けられており、 前記物品購入装置は、 電子データから成る第１および第２の鍵を発生する鍵発
   生手段と、 前記第１および第２の鍵を用いて、商品の発注内容を２
   重に暗号化する発注内容暗号化手段と、 前記第１および第２の鍵を、それぞれ別個に暗号化する
   鍵暗号化手段と、 前記２重に暗号化された商品の発注内容に、前記暗号化
   された第１および第２の鍵と、発注者の識別情報と、本
   人確認情報とを付加して、前記受付装置に送信する第１
   の送信手段とを含み、 前記受付装置は、 前記物品購入装置から送信されてくるデータを受信する
   第１の受信手段と、 前記第１の受信手段が受信した前記本人確認情報が、正
   当なものか否かを確認する確認手段と、 前記確認手段によって前記本人確認情報が正当なものと
   確認された場合、前記第１の受信手段が受信した前記２
   重に暗号化された商品の発注内容と前記暗号化された第
   １および第２の鍵とに、前記発注者の識別情報とは異な
   る第１の仮名情報を付加して、前記中継装置に送信する
   第２の送信手段と、 前記発注者の識別情報と前記第１の仮名情報との対応関
   係を記憶する第１の対応関係記憶手段とを含み、 前記中継装置は、 前記受付装置から送信されてくるデータを受信する第２
   の受信手段と、 前記第２の受信手段が受信した前記暗号化された第１の
   鍵を復号する第１の鍵復号手段と、 前記復号された第１の鍵を用いて、前記第２の受信手段
   が受信した前記２重に暗号化された商品の発注内容を、
   部分的に復号する第１の発注内容復号手段と、 前記部分的に復号された商品の発注内容に、前記第１の
   仮名情報とは異なる第２の仮名情報を付加して、前記商
   品発送装置に送信する第３の送信手段と、 前記第１の仮名情報と前記第２の仮名情報との対応関係
   を記憶する第２の対応関係記憶手段とを含み、 前記商品発送装置は、 前記中継装置から送信されてくるデータを受信する第３
   の受信手段と、 前記第３の受信手段が受信した前記暗号化された第２の
   鍵を復号する第２の鍵復号手段と、 前記復号された第２の鍵を用いて、前記第３の受信手段
   が受信した前記部分的に復号された商品の発注内容を全
   面的に復号する第２の発注内容復号手段と、 前記電子的商品を保管する商品保管手段と、 前記全面的に復号された商品の発注内容に基づいて、前
   記商品保管手段を検索し、対応する電子的商品を読み出
   す読み出し手段と、 前記読み出し手段により読み出された電子的商品を、前
   記復号された第２の鍵を用いて暗号化する第１の商品暗
   号化手段と、 前記第２の鍵を用いて暗号化された電子的商品を、前記
   第３の受信手段が受信した前記第２の仮名情報と共に、
   前記中継装置に送信する第４の送信手段とを含み、 前記中継装置は、さらに前記商品発送装置から送信され
   てくるデータを受信する第４の受信手段と、 前記第４の受信手段が受信した前記暗号化された電子的
   商品を、対応する前記第１の鍵を用いて２重に暗号化す
   る第２の商品暗号化手段と、 前記第４の受信手段が受信した前記第２の仮名情報に基
   づいて、前記第２の対応関係記憶手段を検索し、当該第
   ２の仮名情報に対応する前記第１の仮名情報を特定する
   仮名情報特定手段と、 前記第２の鍵を用いて２重に暗号化された電子的商品
   を、前記仮名情報特定手段により特定された前記第１の
   仮名情報と共に、前記受付装置に送信する第５の送信手
   段とを含み、 前記受付装置は、さらに前記中継装置から送信されてく
   るデータを受信する第５の受信手段と、 前記第５の受信手段が受信した前記第１の仮名情報に基
   づいて、前記第１の対応関係記憶手段を検索することに
   より、対応する発注者を特定する発注者特定手段と、 前記第５の受信手段が受信した前記２重に暗号化された
   電子的商品を、前記発注者特定手段により特定された発
   注者の前記物品購入装置に送信する第６の送信手段とを
   含み、 前記物品購入装置は、前記受付装置から送られてきた暗
   号化された電子的商品を復号する手段をさらに含む、通
   信販売システム。
4. 【請求項４】 前記第１および第２の仮名情報として
   は、各注文毎に異なる情報が使用されることを特徴とす
   る、請求項３に記載の通信販売システム。
5. 【請求項５】 複数の発注者、受付部門、ｎ個（ｎは２
   以上の整数）の中継部門、商品部門を結ぶ通信ネットワ
   ークを用いて、電子的商品の発注と流通を行う通信販売
   システムであって、 前記発注者、前記受付部門、前記中継部門および前記商
   品部門には、それぞれ、物品購入装置、受付装置、中継
   装置および商品発送装置が設けられており、 前記物品購入装置は、 電子データから成る第１および第２の鍵を発生する鍵発
   生手段と、 前記第１および第２の鍵を用いて、商品の発注内容を２
   重に暗号化する発注内容暗号化手段と、 前記第１および第２の鍵を、それぞれ別個に暗号化する
   鍵暗号化手段と、 前記２重に暗号化された商品の発注内容に、前記暗号化
   された第１および第２の鍵と、発注者の識別情報と、本
   人確認情報とを付加して、前記受付装置に送信する第１
   の送信手段とを含み、 前記受付装置は、 前記物品購入装置から送信されてくるデータを受信する
   第１の受信手段と、 前記第１の受信手段が受信した前記本人確認情報が、正
   当なものか否かを確認する確認手段と、 前記確認手段によって前記本人確認情報が正当なものと
   確認された場合、前記第１の受信手段が受信した前記２
   重に暗号化された商品の発注内容と、前記暗号化された
   第１および第２の鍵とに、前記発注者の識別情報とは異
   なる第１の仮名情報を付加して、第１番目の前記中継部
   門に属する中継装置に送信する第２の送信手段と、 前記発注者の識別情報と前記第１の仮名情報との対応関
   係を記憶する第１の対応関係記憶手段とを含み、 第１番目の前記中継部門に属する中継装置は、 前記受付装置から送信されてくるデータを受信する第２
   の受信手段と、 前記第２の受信手段が受信した前記暗号化された第１の
   鍵を復号する第１の鍵復号手段と、 前記復号された第１の鍵を用いて、前記第２の受信手段
   が受信した前記２重に暗号化された商品の発注内容を、
   部分的に復号する第１の発注内容復号手段と、 前記部分的に復号された商品の発注内容に、前記第１の
   仮名情報とは異なる第２の仮名情報を付加して、第２番
   目の前記中継装置に属する中継装置に送信する第３の送
   信手段と、 前記第１の仮名情報と前記第２の仮名情報との対応関係
   を記憶する第２の対応関係記憶手段とを含み、 第ｍ番目（ｍは、２≦ｍ≦ｎ−１の整数）の前記中継部
   門に属する中継装置は、 第（ｍ−１）番目の前記中継部門に属する中継装置から
   送信されてくるデータを受信する第３の受信手段と、 前記第３の受信手段が受信した前記部分的に復号された
   商品の発注内容に、第ｍの仮名情報とは異なる第（ｍ＋
   １）の仮名情報を付加して、第（ｍ＋１）番目の中継部
   門に属する中継装置に送信する第４の送信手段と、 前記第ｍの仮名情報と前記第（ｍ＋１）の仮名情報との
   対応関係を記憶する第３の対応関係記憶手段とを含み、 第ｎ番目の前記中継部門に属する中継装置は、 第（ｎ−１）番目の前記中継部門に属する中継装置から
   送信されてくるデータを受信する第４の受信手段と、 前記第４の受信手段が受信した前記部分的に復号された
   商品の発注内容に、第ｎの仮名情報とは異なる第（ｎ＋
   １）の仮名情報を付加して、前記商品発送装置に送信す
   る第５の送信手段と、 前記第ｎの仮名情報と前記第（ｎ＋１）の仮名情報との
   対応関係を記憶する第４の対応関係記憶手段とを含み、 前記商品発送装置は、 第ｎ番目の前記中継部門に属する中継装置から送信され
   てくるデータを受信する第５の受信手段と、 前記第５の受信手段が受信した前記暗号化された第２の
   鍵を復号する第２の鍵復号手段と、 前記復号された第２の鍵を用いて、前記第５の受信手段
   が受信した前記部分的に復号された商品の発注内容を全
   面的に復号する第２の発注内容復号手段と、 前記電子的商品を保管する商品保管手段と、 前記全面的に復号された商品の発注内容に基づいて、前
   記商品保管手段を検索し、対応する電子的商品を読み出
   す読み出し手段と、 前記読み出し手段により読み出された電子的商品を、前
   記復号された第２の鍵を用いて暗号化する第１の商品暗
   号化手段と、 前記第２の鍵を用いて暗号化された電子的商品を、前記
   第５の受信手段が受信した前記第（ｎ＋１）の仮名情報
   と共に、第ｎ番目の前記中継部門に属する中継装置に送
   信する第６の送信手段とを含み、 第ｎ番目の前記中継部門に属する中継装置は、さらに前
   記商品発送装置から送信されてくるデータを受信する第
   ６の受信手段と、 前記第６の受信手段が受信した前記第（ｎ＋１）の仮名
   情報に基づいて、前記第４の対応関係記憶手段を検索
   し、当該第（ｎ＋１）の仮名情報に対応する第ｎの仮名
   情報を特定する第１の仮名情報特定手段と、 前記第６の受信手段が受信した前記暗号化された電子的
   商品を、前記仮名情報特定手段により特定された前記第
   ｎの仮名情報と共に、第ｍ番目の前記中継部門に属する
   中継装置に送信する第７の送信手段とを含み、 第ｍ番目の前記中継部門に属する中継装置は、さらに第
   （ｍ＋１）番目の前記中継部門に属する中継装置から送
   信されてくるデータを受信する第７の受信手段と、 前記第７の受信手段が受信した前記第ｍの仮名情報に基
   づいて、前記第３の対応関係記憶手段を検索し、当該第
   ｍの仮名情報に対応する第（ｍ−１）の仮名情報を特定
   する第２の仮名情報特定手段と、 前記第７の受信手段が受信した前記暗号化された電子的
   商品を、前記仮名情報特定手段により特定された前記第
   （ｍ−１）の仮名情報と共に、第（ｍ−１）番目の前記
   中継部門に属する中継装置に送信する第８の送信手段と
   を含み、 第１番目の前記中継部門に属する中継装置は、さらに第
   ２番目の前記中継部門に属する中継装置から送信されて
   くるデータを受信する第８の受信手段と、 前記第８の受信手段が受信した前記暗号化された電子的
   商品を、対応する前記第１の暗号鍵を用いて２重に暗号
   化する第２の商品暗号化手段と、 前記第８の受信手段が受信した前記第２の仮名情報に基
   づいて、前記第３の対応関係記憶手段を検索し、当該第
   ２の仮名情報に対応する第１の仮名情報を特定する第３
   の仮名情報特定手段と、 前記第８の受信手段が受信した前記暗号化された電子的
   商品を、前記仮名情報特定手段により特定された前記第
   １の仮名情報と共に、前記受付装置に送信する第９の送
   信手段とを含み、 前記受付装置は、さらに第１番目の前記中継部門に属す
   る中継装置から送信されてくるデータを受信する第９の
   受信手段と、 前記第９の受信手段が受信した前記第１の仮名情報に基
   づいて、前記第１の対応関係記憶手段を検索することに
   より、対応する発注者を特定する発注者特定手段と、 前記第９の受信手段が受信した前記２重に暗号化された
   電子的商品を、前記発注者特定手段により特定された発
   注者の前記物品購入装置に送信する第６の送信手段とを
   含み、 前記物品購入装置は、前記受付装置から送られてきた暗
   号化された電子的商品を復号する手段をさらに含む、通
   信販売システム。