JP4598494B2 - 利用者仮識別子を用いるネットワークサービスシステム - Google Patents

Description

本発明は、ネットワークを利用するサービスシステムに係り、さらに詳しくはあるユーザに対して複数のサービスが連携して提供されるネットワークサービスシステムにおける利用者識別子の管理方式に関する。

本発明は、複数のサービスが連携してユーザに提供される分野や、多様なサービスを異なる事業者が独立に分業、あるいは協業してサービスが構成される分野を対象とするものであり、具体例としてはユビキタスサービスなどと呼ばれるサービスがある。このようなサービスとして、日常のあらゆる生活場面でその場面に存在する機能、例えば端末などがネットワーク機能を介してサービスの一部に組み込まれてサービスが提供されるネットワークサービス事業があり、この事業は既存のモバイル機能、例えばノートパソコンを持ち歩いてサービスを受ける事業と基本的に異なるものである。

携帯電話に代表される既存のネットワークサービスの特徴（制限）には第一に、サービスの起動装置と終端装置が同一である、という点がある。また、第二には、サービスを利用する際に、携帯電話やノートパソコンなど、自身が（購入等により）準備した機器を持ち歩くことがサービスの享受に必要であった。

これに対して、ユビキタス・コンピューティング（Ｕｂｉｑｕｉｔｏｕｓ ｃｏｍｐｕｔｉｎｇ）という考え方が８０年代後半ごろから提唱され、近年注目されている。ユビキタスの特徴は現在では各者によって多様な解釈がなされているため、一意な定義はないが、一つの解釈として「その場にある」機能（コンピュータ等）を利用して、日常の多様な目的の行為を支援するシステムと考えられている。

それに対して、現状のモバイルサービスでは、携帯端末の高機能化が加速度的に進んでいるものの、機器の物理的限界（本体、表示装置の寸法、重量）に加えて、高機能化による操作の複雑化と端末価格の上昇が生じ、一般的なユーザの多くは利用しない（使いきれない）機能が盛り込まれている場合も多い。これに対して、ユビキタスサービスは「その場」にある機能（デバイス）を暫定的に利用することが特徴であり、ユーザは必ずしも目的達成の為の機能（例：ノートパソコン）を所有する必要が無い、という点が一つの特徴といえる。

加えて、既存のネットワークシステムは、ユーザ端末からみた場合、サービスの作用（終端点）はその端末自身であって、事前に利用権あるいは所有権のない機器を一時的に利用するための十分な技術、すなわち、複数の異なる事業者の所轄管理する機器どうしを、双方のプライバシーを隠蔽して接続する技術が求められる。

上記課題の実現には、サービスの実行シーケンス全体に渡って、携帯端末の所有者（契約者）に対して、その所有者が直接所有権を持たない第三者等の管理下にある装置（公共的に利用可能な表示装置等）の利用を許可する方式が必要である。この際に、複数の事業者を介してサービスが構成される過程において、サービスを起動した端末契約者に関する個人情報は、当該端末ユーザと直接契約する事業者（例えば、ネットワーク接続事業者）が保持、管理しており、この個人情報を契約者の許諾なしには外部の事業者に渡すことは（主として契約約款上の理由から）困難である。しかも、前述のサービスの作用を受け持つ端末の装置を管理する事業者にとっては、動作内容の指示のみを受けられれば済む場合もあり、必ずしも起動者である端末ユーザの個人情報までは必要としない場合が想定される。

以上に述べたようなネットワークサービスシステムでは、サービスを終端する事業者が、そのサービスを起動したユーザの個人情報をどこまで必要とするか否かに係わりなく、起動したユーザの個人情報の中で事業者間で共有、伝播させるべき個人情報をどのように制限するかについての制御を行うことが必要となる。近年、例えば多様な役割を持つ事業者が機能を分業してサービスを構成する機構も提案されているが、そのような機構では個々の事業者間でのプライバシー制御、すなわち個人を特定不可能にするための情報隠蔽の技術が存在していないという問題点があった。

一般的にネットワークや計算機上で個人を特定する基本的な方法は、個人単位に識別子を付与することである。しかしながら事業者間で共通の識別子を利用すると、契約者の個人情報が契約者がそれを明らかにしたくない事業者にまで伝播する可能性がある。そこで各事業者は自らが対象とするユーザに関して固有の識別子体系を定義して管理するとともに、提携先の個々の事業者との間ではサービスを起動したユーザの識別子を隠蔽し、サービスの実行情報からは起動したユーザを追跡できないようにする技術が必要となっている。

このように通信システムあるいは、サービスシステムにおける通信の安全性保持や個人情報の管理についての従来技術として次の文献がある。
特開平６−８５８１１号公報 「交換網を介する通信を可能とする方法およびシステム、安全ノード、交換網に安全機能を与える方法、暗号化通信を処理する方法、ならびに安全な通信を与える方法」 特開２００３−３４５７２４号公報 「情報管理方法、情報管理システム、サーバ、端末および情報管理プログラム」 特開平７−１７０２５６号公報 「通信相手認証方法及び該方法を用いた暗号通信装置」 特開２００２−２６８９５０号公報 「情報管理システム、情報管理方法、および情報処理装置、情報処理方法、並びにプログラム」 特開２００３−１７８０２２号公報 「識別情報発行装置及び方法、識別情報発行プログラムを記憶した記憶媒体、識別情報発行プログラム、情報処理装置及び方法、情報処理プログラムを記憶した記憶媒体、情報処理プログラム」 米国特許第５７９０６６７号 「個人認証方法」

特許文献１には、第１の形式で暗号化された情報を異なる形式で暗号化された情報、または非暗号化情報に変換し、またその逆変換も行う安全ノードを電気通信網に配置することによって、安全な通信を与える方法が開示されている。

特許文献２には、サービス享受者に質問を行い、その結果によりサービス享受者をグループ化し、サービス享受者のプライバシーをできる限り保護するとともに、サービス享受者側の事情の変化に的確に対応できる情報管理方法が開示されている。

特許文献３には、センタから配布された暗号鍵を用いて作成した情報を送信することにより、通信相手の認証を確実に行うことのできる認証方法が開示されている。
特許文献４には、クライアントの情報を、時間の経過とともに変化する秘密識別子として登録し、特定の検索クライアントに対してのみ開示することにより、クライアントのプライバシーを保護することができる情報管理システムが開示されている。

特許文献５には、管理サーバが作成したＳＰ用ＩＤを用いることにより、サービス業者が機器ＩＤ等の情報を用いずにユーザを特定し、サービス業者の負担を軽減する識別情報発行方法が開示されている。

特許文献６には、被認証局から送られてくる被認証者に関する情報を、第１および第２の認証局が協調して認証するための方法が開示されている。
しかしながらこのような従来技術では、複数のサービスが協調して動作する場合に個人情報、特に利用者識別子を隠蔽して、サービスの実行情報からユーザを特定できないようにすることが不可能であるという問題点があった。また、利用者情報が漏洩した場合に被害の拡大を防止し、利用者のセキュリティを保護するような手段が存在しないという問題点もあった。

本発明の課題は、上述の問題点に鑑み、複数のサービスに対してユーザがそれぞれ利用者識別子を持ち、その複数のサービスが協調して動作する場合に、協調動作のための利用者仮識別子を設定してサービスを提供することによって、複数のサービスの間では相手側の利用者を特定不可能とするとともに、この協調動作のための利用者仮識別子を定期的に更新し、ユーザの個人情報が漏洩した場合は利用者仮識別子を無効にすることによって被害の拡大を防止し、利用者情報の安全性をさらに高めることである。

図１は、本発明のネットワークサービスシステムの原理構成ブロック図である。同図は、複数のサービスを利用する利用者の情報が、複数のサービスにまたがって共有されるネットワークサービスシステムの原理構成ブロック図であり、システム１は、それぞれ相互にネットワーク３で接続される利用者仮識別子更新要求送信側装置２、利用者仮識別子更新要求受信側装置４、および利用者代理装置５によって構成される。

利用者仮識別子更新要求送信側装置２は、利用者に第１のサービスを提供する装置であり、利用者の情報としてネットワークサービスシステム内で共用される利用者仮識別子の更新要求を送信できるものである。利用者仮識別子更新要求受信側装置４は、利用者仮識別子更新要求送信側装置２から送られる利用者仮識別子の更新要求を受信できる装置であり、その更新要求に対応して更新された利用者仮識別子を用いて、前述の第１のサービスと協調する第２のサービスを利用者に提供するものである。

利用者代理装置５は、利用者仮識別子更新要求送信側装置２と、利用者仮識別子更新要求受信側装置４とネットワークによって接続され、利用者が前述の第１のサービスと第２のサービスとを受けるためのものである。

発明の実施の形態においては、利用者代理装置５は、利用者が受けるサービスにおける利用者識別子などを保持するサービス情報管理手段と、各利用者識別子に対応して利用者仮識別子を生成する仮識別子生成手段と、利用者仮識別子更新要求送信側装置２と、利用者仮識別子更新要求受信側装置４とに対して、利用者識別子と利用者仮識別子との組を含むメッセージを送信する通信処理手段とを備える。

また利用者仮識別子更新要求送信側装置２は、利用者代理装置５から送られる第１のサービスに対応する利用者識別子と利用者仮識別子との組を含むメッセージを受信する通信処理手段と、利用者仮識別子の有効期間を管理するセッション管理手段と、利用者識別子の有効期間が満了する以前に新しい利用者仮識別子を生成する仮識別子生成手段と、ユーザへの通知用情報を管理する利用者情報管理手段とを備え、通信処理手段が新しい利用者仮識別子を含んだ仮識別子更新要求を、利用者仮識別子更新要求受信側装置４に送信し、該利用者仮識別子が無効になった場合には、該ユーザへの通知用情報を用いて該利用者代理装置へ通知するものである。

さらに利用者仮識別子更新要求受信側装置４は、利用者代理装置５から送られる第２のサービスにおける利用者識別子と利用者仮識別子との組を含むメッセージと、利用者仮識別子更新要求送信側装置２からの仮識別子更新要求を受信する通信処理手段と、仮識別子更新要求に対応して新しい利用者仮識別子と、その有効期間を管理するセッション管理手段と、ユーザへの通知用方法を管理する利用者情報管理手段とを備え、該利用者仮識別子が無効になった場合には、該ユーザへの通知用情報を用いて該利用者代理装置へ通知する。

また実施の形態においては、利用者代理装置５が利用者仮識別子更新要求送信側装置２と、利用者仮識別子更新要求受信側装置４とのそれぞれに対する利用者の利用者識別子に対応して利用者仮識別子を生成し、生成した仮識別子とその有効期間を含む関連付け登録要求メッセージをこれら２つの装置に送信し、これら２つの装置が仮識別子とその有効期間とを設定した後に利用者代理装置５に対して関連付け応答メッセージを送信し、利用者代理装置５が２つの装置からの関連付け応答メッセージの受信後に前述の生成した仮識別子の有効期間の設定を行うシーケンスが用いられる。

また前述のネットワークサービスシステムにおいて、利用者仮識別子更新要求送信側装置２が、ネットワークサービスシステム内で共用されている利用者仮識別子の有効期間の満了以前に新しい仮識別子を生成し、生成した仮識別子とその有効期間を含む仮識別子更新要求メッセージを利用者仮識別子更新要求受信側装置４に送信し、受信側装置４がその更新要求に対応して新しい利用者仮識別子を設定した後に、利用者仮識別子更新応答メッセージを利用者仮識別子更新要求送信側装置２に送信するシーケンスが用いられる。

実施の形態においては、これらの２つのシーケンスにおいて利用者代理装置５、または利用者仮識別子更新要求送信側装置２とが、利用者識別子に対応して乱数を用いて利用者仮識別子を生成することも、また不可逆演算を用いて利用者仮識別子を生成することもできる。

また実施の形態においては、利用者代理装置５が、例えばサービスの享受を終了するに当たり、関連付け削除要求メッセージを利用者仮識別子更新要求送信側装置２と利用者仮識別子更新要求受信側装置４とに送り、それぞれの装置は、その利用者に対する利用者仮識別子、および関連付け情報としての利用者識別子との組を削除する。さらに、受信した要求に含まれる利用者識別子が他の利用者仮識別子との関連付けを持っていないかを検索し、持っていない場合はその利用者識別子に対するユーザへの通知用情報を削除して、関連付け削除応答メッセージを返すシーケンスが用いられる。

また別の実施の形態においては、サービス利用者の個人情報の漏洩を利用者仮識別子更新要求送信側装置２または利用者仮識別子更新要求受信側装置４が検知できるようにし、漏洩を検知した装置により関連付け削除の要求を行い、要求を受信した装置がその利用者に対する利用者仮識別子、および関連付け情報としての利用者識別子との組を削除した後関連付け削除応答メッセージを返し、利用者代理装置５に関連付け削除通知を行うシーケンスを用いることも可能である。

また本発明のネットワークサービスシステムは、利用者が協調して実行される複数のサービスを受けるための装置であって、複数のサービスにおける各利用者識別子に対応する利用者仮識別子を生成して、各サービスを提供する装置側に送る利用者代理装置と、利用者代理装置とネットワークによって接続され、協調して実行されるサービスのそれぞれを利用者に提供する装置であって、利用者代理装置から送られる利用者仮識別子を用いて、利用者にサービスを提供する複数の利用者仮識別子更新要求受信側装置とによって構成される。

発明の実施の形態においては、利用者代理装置が利用者仮識別子の有効期間を管理するセッション管理手段と、利用者識別子の有効期間が満了する以前に新しい利用者仮識別子を生成する仮識別子生成手段と、新しい仮識別子を用いて複数の利用者仮識別子更新要求受信側装置に対して、仮識別子更新要求を送信する通信処理手段とを備えることもできる。

本発明によれば、複数のサービスが協調して利用者にサービスが提供される場合に、それぞれのサービスにおける利用者識別子をサービスの相互間で隠蔽することを可能とし、利用者の個人情報の伝播を防止することが可能となる。また協調動作のために生成される利用者の仮識別子を定期的に更新し、さらにユーザの個人情報が漏洩した場合は、それを検知したユーザまたはサービス提供装置が利用者仮識別子を無効にすることによって、さらに個人情報の安全性を高めたネットワークサービスシステムを実現することが可能となる。

図２は本発明において、ユーザが複数のサービスを利用する際に、各サービスシステムの間ではそのユーザの利用者仮識別子が用いられるネットワークシステムの構成例である。同図においてユーザは、ユーザ端末１０からユーザエージェント、例えばインターネット・サービス・プロバイダ（ＩＳＰ）１１に対して、ユーザエージェント１１を利用するための利用者識別子とともにコンテキストの登録などを行い、レンタルビデオ業者端末１２に対してはビデオ情報受取などのための利用者識別子を登録するものとする。ここでユーザエージェント１１に対する利用者識別子とレンタルビデオ業者端末１２に対する利用者識別子とは同じであってもよく、また異なってもよい。ただし、ここではユーザエージェント１１とレンタルビデオ業者端末１２とはそれぞれ相手側におけるユーザの利用者識別子は知らないことが前提である。

ユーザエージェント１１に登録されるコンテキストは、そのユーザと現時点において関連のある人、物、場所などのオブジェクト、及びユーザの状態（仕事中など）、並びに回りの状況、履歴や未来の予定など、そのユーザに関する各種の情報である。

レンタルビデオ業者端末１２は、ユーザエージェント１１に対して起動トリガの設定を行う。この起動トリガは、レンタルビデオ業者端末１２がユーザ端末１０に対してビデオ情報配信などのサービスを行うための起動条件の設定であり、例えばユーザが仕事を終わって自宅付近の駅に到着した時点でビデオ情報を配信することを希望する場合には、そのような条件を起動トリガとしてユーザエージェント１１に対して設定する。

ユーザエージェント１１は、そのような起動条件が満足された時点、すなわちユーザが自宅付近の駅に到着する時刻においてレンタルビデオ業者端末１２側に対してサービス起動を指示し、レンタルビデオ業者端末１２はさらにユーザエージェント１１に対してユーザが登録したコンテキストの情報をユーザエージェント１１から受け取り、ユーザの同店での過去の利用履歴などから興味のありそうなビデオ情報を選択して、ユーザ端末１０に対してその情報を配信する。

ここでは、ユーザ端末１０がユーザエージェント１１とレンタルビデオ業者端末１２とに対してそれぞれ利用者識別子を登録するものとしたが、ユーザ側はユーザエージェント１１だけに利用者識別子を登録し、レンタルビデオ業者端末１２側には利用者識別子の登録を行わなくても、例えばコンテキストの内容として自分が興味を持つビデオのジャンルなどをユーザエージェント１１にさらに登録し、レンタルビデオ業者端末１２側からそのようなビデオ情報の配信を希望することをユーザエージェント１１側に伝えることによって、レンタルビデオ業者端末１２からのビデオ情報の配信を受けることも当然可能である。

いずれにしても本実施形態では、ユーザエージェント１１、及び／またはレンタルビデオ業者端末１２に対して登録されたユーザの利用者識別子は、それぞれユーザ端末１０との間の識別子であり、ユーザエージェント１１とレンタルビデオ業者端末１２との間でのデータの交換などにおいては、その利用者識別子を用いることなく、利用者仮識別子が設定されてその仮識別子が用いられることにより、ユーザエージェント１１とレンタルビデオ業者端末１２とが連携してユーザに対するサービスを行うことになる。

図３は、図２の具体例に対応する、本発明の前提となる実施形態におけるより一般的なネットワークシステムの構成例である。同図において、図２のユーザ端末１０に相当する利用者代理装置１３は、ネットワークを介して利用者仮識別子更新要求送信側装置１４と、利用者仮識別子更新要求受信側装置１５とに接続され、２つの装置１４、１５もネットワークを介して接続されている。

利用者仮識別子更新要求送信側装置１４は、例えば図２のユーザエージェント１１に、また利用者仮識別子更新要求受信側装置１５はレンタルビデオ業者端末１２に相当するものである。前述のようにユーザエージェント１１とレンタルビデオ業者端末１２との間では仮識別子を用いてデータ交換などが行われるが、後述するようにその仮識別子に対してはライフタイムが設定され、そのライフタイムの満了以前に仮識別子の更新が行われ、その後更新された仮識別子が利用される。

図３において、利用者仮識別子更新要求送信側装置１４と利用者仮識別子更新要求受信側装置１５の名称は便宜的なものであり、一般的にはどちらの装置から更新要求が行われるかはケースバイケースである。その意味で図２のユーザエージェント１１とレンタルビデオ業者端末１２とは、ともに更新要求を送信も受信も可能な装置として実現されることになるが、ここでは後の説明の便宜上、一方を送信側装置１４として、他方を受信側装置１５として発明の実施形態を説明する。ただし、送信側装置１４と受信側装置１５とは同一の管理者によって管理されるものではなく、異なった管理単位に属することが原則である。

図３において、利用者代理装置１３から利用者仮識別子更新要求送信側装置１４と、利用者仮識別子更新要求受信側装置１５に対して関連付け登録が行われる。この関連付け登録では、サービスの開始にあたって、例えば送信側装置１４によって提供されるサービス１と、更新要求受信側装置１５によって提供されるサービス２のそれぞれに対して、利用者識別子と利用者仮識別子との組が登録されることになる。

図４は、この関連付け登録における利用者識別子と仮識別子との登録例の説明図である。あるユーザは、サービス１における本来の利用者識別子としてＵＩＤ１を、サービス２における利用者識別子としてＵＩＤ２を登録しているものとする。ユーザはサービス１とサービス２とが連携して行われるサービスに対応する仮識別子を生成して、それぞれのサービス側に通知する。

この仮識別子としては、後述するように乱数だけを用いることもできるが、ここでは不可逆演算としてのハッシュ演算を用いて仮識別子を生成するものとする。例えば、サービス１に対してはユーザは本来の利用者識別子ＵＩＤ１と乱数、およびそれと組となる利用者仮識別子を通知する。ここで通知される乱数はサービス２へのアクセスに用いられる。仮識別子の生成には、そのユーザのサービス２に対する本来の利用者識別子ＵＩＤ２と乱数とを利用する。すなわちＵＩＤ２と乱数とをつなぎ合わせたものに対してハッシュ演算を行い、その結果を仮識別子としてサービス１側に通知する。なお、この乱数はサービス１に対してＵＩＤ１とともに通知する乱数とは同一であっても、また異なってもよい。

サービス２に対しては、本来の利用者識別子ＵＩＤ２と乱数、および仮識別子の組を通知する。仮識別子としては、サービス１に対する本来の利用者識別子ＵＩＤ１と乱数のつなぎ合わせに対するハッシュ演算の結果を通知する。

図５は、サービス１とサービス２の協調動作における仮識別子の利用方法の説明図である。例えば、サービス１側は、サービス２との協調動作で必要となるデータ交換などにおいて、ユーザの利用者仮識別子としてそのユーザのサービス１に対する本来の利用者識別子ＵＩＤ１と、乱数とのつなぎ合わせに対するハッシュ演算を行い、その結果を仮識別子として利用する。この仮識別子は図４においてユーザからサービス２側に通知されており、サービス２側はその仮識別子によってユーザの特定を行うことができる。同様にサービス２側からサービス１側に対しては、仮識別子としてＵＩＤ２と乱数のつなぎ合わせに対するハッシュ演算の結果が用いられ、これによってサービス１側ではそのユーザを特定することが可能となる。

図６は図３における利用者代理装置１３の構成例のブロック図である。同図において利用者代理装置１３は、図３の更新要求送信側装置１４、更新要求受信側装置１５によって提供されるサービスの識別子や、その装置のアドレスなどを管理するサービス情報管理部１６、サービス開始時の関連付け登録などにおいて使用される仮識別子を生成する仮識別子生成部１７、２つの装置１４、および１５との間の通信を行う通信処理部１８、例えば利用者代理装置１３側から利用者仮識別子の更新を強制的に行う場合における仮識別子のライフタイムを管理するセッション管理部１９を備えている。なお、セッションとは仮識別子の有効な期間を意味するものとする。

図７は図３の仮識別子更新要求送信側装置１４の構成ブロック図である。例えばサービスごとの各ユーザの利用者識別子と仮識別子の組などを管理する利用者情報管理部２０、仮識別子の更新にあたってその生成を行う仮識別子生成部２１、更新要求受信側装置１５、および利用者代理装置１３との間の通信を行う通信処理部２２、仮識別子のライフタイムを管理するセッション管理部２３を備えている。

図８は図３の仮識別子更新要求受信側装置１５の構成ブロック図である。同図において受信側装置１５は、図７におけると同様の利用者情報管理部２５、利用者代理装置１３、更新要求送信側装置１４との通信を行う通信処理部２６、および設定されている仮識別子のライフタイムを管理するセッション管理部２７を備えている。

次に図３の各装置間で行われる処理のシーケンスについて、図９から図２３を用いて説明する。図９は、関連付け登録処理のシーケンスである。同図において利用者代理装置１３から、仮識別子更新要求送信側装置１４と仮識別子更新要求受信側装置１５とに対してそれぞれ関連付け登録要求が行われる。それぞれの装置において、関連付け登録要求に対応して仮識別子とライフタイムおよびユーザへの通知用情報の設定が行われ、それぞれの装置から利用者代理装置１３に対して関連付け登録応答が行われる。なお、関連付け登録要求メッセージにライフタイムを含めず、利用者代理装置１３の内部でライフタイムの管理を行い、利用者代理装置１３が仮識別子更新要求を行うことや、仮識別子更新要求送信側装置１４がライフタイムの管理を行い、仮識別子更新要求送信側装置１４が仮識別子更新要求を行うことも可能である。これら登録要求、および登録応答のメッセージ、仮識別子更新要求の内容については後述する。

ここで利用者代理装置１３と仮識別子更新要求送信側装置１４との間、あるいは仮識別子更新要求受信側装置１５との間の関連付け登録の処理はそれぞれ独立のものであり、基本的には同時に行われてもよく、あるいはどちらか一方が先に行われる場合には、その順序は問題にならない。

図１０は利用者代理装置１３における関連付け登録処理のシーケンスである。同図においてサービス情報管理部１６から仮識別子生成部１７に対して仮識別子生成要求が行われ、仮識別子生成部１７から生成された仮識別子がサービス情報管理部１６を介して通信処理部１８に通知され、通信処理部１８から更新要求送信側装置１４と更新要求受信側装置１５とに対してそれぞれ関連付け登録要求が送信され、それに対して２つの装置から送られる関連付け登録応答が通信処理部１８によって受信される。

その応答に対応して、サービス情報管理部１６によって関連付け情報のメモリなどへの格納が行われるとともに、セッション管理部１９に対して生成された仮識別子のライフタイムの設定要求がなされ、設定されたライフタイムの値はセッション管理部１９によってメモリなどに格納されるとともに、その応答がサービス情報管理部１６に通知される。ここで関連付け登録要求の送信前に生成された仮識別子に対して同時にライフタイムが設定されない理由は、関連付け登録応答によって更新要求送信側装置１４と更新要求受信側装置１５からその仮識別子の利用を承認する応答が受信された後にライフタイムを設定するためである。

図１１は、仮識別子更新要求送信側装置における関連付け登録処理のシーケンスである。同図において、通信処理部２２によって利用者代理装置１３から送られた関連付け登録要求が受信され、その要求が利用者情報管理部２０に通知され、関連付け情報が例えばメモリに格納され、利用者情報管理部２０からセッション管理部２３に対してライフタイムの設定要求がなされる。そしてセッション管理部２３によって、例えば関連付け登録要求のメッセージ内に含まれる仮識別子とライフタイムの値がメモリなどに格納され、その設定応答が利用者情報管理部２０に通知され、利用者情報管理部２０から通信処理部２２に対して関連付け登録応答の指示がなされ、利用者代理装置１３側への関連付け登録応答の送信が行われる。

図１２は、仮識別子更新要求受信側装置における関連付け登録処理のシーケンスである。同図において、通信処理部２６によって利用者代理装置１３から送られた関連付け登録要求が受信され、その要求が利用者情報管理部２５に通知され、関連付け情報が例えばメモリに格納され、利用者情報管理部２５からセッション管理部２７に対して仮識別子とライフタイムの設定要求がなされる。そしてセッション管理部２７によって、例えば関連付け登録要求のメッセージ内に含まれる仮識別子とライフタイムの値がメモリなどに格納され、その設定応答が利用者情報管理部２５に通知され、利用者情報管理部２５から通信処理部２６に対して関連付け登録応答の指示がなされ、利用者代理装置１３側への関連付け登録応答の送信が行われる。

次に仮識別子更新処理のシーケンスについて、仮識別子の更新が更新要求送信側装置１４からの要求によって行われる場合を図１３から図１５を用いて説明する。図１３はその更新シーケンスの全体説明図であり、仮識別子更新要求送信側装置１４から仮識別子更新要求受信側装置１５に対して仮識別子の更新要求が送られ、更新要求受信側装置１５側で、その送信要求のメッセージに含まれる新しい仮識別子とライフタイムがメモリなどに格納され、受信側装置１５から更新要求送信側装置１４に対して仮識別子更新応答が行われる。

図１４は仮識別子更新要求送信側装置１４における仮識別子更新処理のシーケンスである。同図において現在設定されている仮識別子のライフタイムが満了する前に、セッション管理部２３から利用者情報管理部２０に対してライフタイム満了の通知が行われ、利用者情報管理部２０から仮識別子生成部２１に対して新しい仮識別子の生成要求が成され、生成された仮識別子は、利用者情報管理部２０を介して通信処理部２２に通知される。そして通信処理部２２から仮識別子更新要求が利用者仮識別子更新要求受信側装置１５に送られ、それに対応して更新要求受信側装置１５から送られる更新応答が通信処理部２２によって受信され、その応答が利用者情報管理部２０に通知される。そして利用者情報管理部２０によって関連付け情報が更新され、セッション管理部２３に対してライフタイムの設定要求が成され、新仮識別子とそのライフタイムがメモリなどに格納された後に、ライフタイムの設定応答が利用者情報管理部２０に通知される。

図１５は仮識別子更新要求受信側装置１５における仮識別子更新処理のシーケンスである。同図において通信処理部２６によって更新要求受信側装置１５に送られた仮識別子更新要求が受信され、その要求は利用者情報管理部２５に伝えられ、関連付け情報の更新が行われると同時に、新しい仮識別子に対するライフタイムの設定要求が利用者情報管理部２５からセッション管理部２７に送られる。新しい仮識別子とライフタイムの値がメモリなどに格納された後に、ライフタイムの設定応答が利用者情報管理部２５に通知され、利用者情報管理部２５から通信処理部２６に対して仮識別子更新応答の指示がなされ、通信処理部２６から更新要求送信側装置１４に対して仮識別子更新応答が送信される。

図１６、および図１７は、利用者代理装置１３からの要求によって仮識別子の更新が行われる場合のシーケンスの説明図である。以上の説明においては、図３で説明したようにサービスの利用開始時に利用者代理装置１３から、最初に使用される仮識別子が更新要求送信側装置１４と更新要求受信側装置１５とに送られ、その最初の仮識別子のライフタイムの満了後には、更新要求送信側装置１４によって生成された新しい仮識別子を用いて送信側装置１４と受信側装置１５との間でのデータの交換などが行われるものとしたが、利用者代理装置１３が２つの装置１４と１５に対して常に仮識別子の更新要求を送り、２つの装置１４と１５がその更新要求のメッセージに含まれる新しい仮識別子を用いてデータ交換などを行うことなども可能であり、図１６、図１７はそのような場合のシーケンスの説明図である。

図１６においては、図３と異なり利用者代理装置１３から２つの仮識別子更新要求受信側装置に対して仮識別子の更新要求が送られ、図９と同様に２つの装置側で新しい仮識別子とライフタイムの設定が行われて、更新応答が利用者代理装置１３に返される。

図１７は、利用者代理装置１３における仮識別子更新処理のシーケンスである。同図を図１０の関連付け登録処理のシーケンスと比較すると、まずセッション管理部１９から現在設定されている仮識別子のライフタイムの満了通知がサービス情報管理部１６に出され、サービス情報管理部１６から新しい仮識別子の生成要求が仮識別子生成部１７に与えられるが、その後のシーケンスは図１０における例と基本的に同様である。

次に、関連付け削除処理のシーケンスについて、図１８および図１９を用いて説明する。図１８は、本発明の実施形態において、関連付け削除処理が利用者代理装置１３からの要求によって行われる場合の関連付け削除シーケンスの全体説明図である。同図において、利用者代理装置１３が、例えばサービスの享受を終了するに当たり、関連付け削除要求を利用者仮識別子更新要求送信側装置１４と利用者仮識別子更新要求受信側装置１５とに送り、それぞれの装置は、その利用者に対する利用者仮識別子、および関連付け情報としての利用者識別子との組を削除する。さらに、受信した要求に含まれる利用者識別子が他の利用者仮識別子との関連付けを持っていないかを検索し、持っていない場合はその利用者識別子に対するユーザへの通知用情報を削除して、関連付け削除応答を返す。この動作は２つの装置に対して同時に行われてもよく、また順次行う場合には、その順序はどちらでもよいことは図９における例と同様である。

また、利用者代理装置１３が利用者仮識別子更新要求送信側装置１４と利用者仮識別子更新要求受信側装置１５によって提供されるサービスを利用中に、利用者の個人情報が漏洩してしまうことも考えられる。このような問題に対応するため、個人情報の漏洩を利用者仮識別子更新要求送信側装置１４または利用者仮識別子更新要求受信側装置１５が検知できるようにし、漏洩を検知した装置により関連付け削除の要求を行うことも可能である。図１９は、本発明の実施形態において、上述のように関連付け削除処理が利用者仮識別子更新要求送信側装置１４または利用者仮識別子更新要求受信側装置１５からの要求によって行われる場合のシーケンスの全体説明図である。同図においては、利用者にサービスを提供するどちらの装置から関連付けの削除要求がされてもよく、各装置を区別する必要がないため、利用者にサービスを提供する装置を利用者仮識別子更新要求送信側／受信側装置と記述する。まず、利用者仮識別子更新要求送信側／受信側装置１が、利用者仮識別子更新要求送信側／受信側装置２に対して関連付け削除要求を送り、利用者仮識別子更新要求送信側／受信側装置２が、その利用者に対する利用者仮識別子、および関連付け情報としての利用者識別子との組を削除して、関連付け削除応答を返す。そして、利用者仮識別子更新要求送信側／受信側装置２が、関連付けが削除された利用者の通知方法を検索し、検索された情報を用いて利用者代理装置１３に関連付け削除通知を送信する。

次に、関連付け削除要求を送信する各装置におけるシーケンスについて、図２０〜図２２を用いて説明する。
図２０は、本発明の実施形態において、利用者代理装置１３における関連付け削除処理のシーケンスである。同図において、例えばユーザの意思またはユーザ情報の漏洩等により関連付けの削除を行うことが可能である。まず、サービス情報管理部１６が利用者識別子と利用者仮識別子との組を通信処理部１８に通知し、これを通信処理部１８が関連付け削除要求として利用者仮識別子更新要求送信側装置１４と利用者仮識別子更新要求受信側装置１５に対して送信する。通信処理部１８が関連付け削除応答を受信すると、その応答がサービス情報管理部１６に通知され、サービス情報管理部１６によって関連付け情報が削除される。そして、サービス情報管理部１６がセッション管理部１９に対して利用者仮識別子のライフタイム設定の削除を要求し、セッション管理部１９が利用者仮識別子のライフタイム設定を削除してサービス情報管理部１６に応答を返す。なお、図１９に示したような関連付け削除処理シーケンスによって関連付けが削除された後、利用者代理装置１３が関連付け削除通知を受信した場合は、上述のサービス情報管理部１６による関連付け情報削除とそれ以降のシーケンスの処理が行われる。

図２１は、本発明の実施形態において、利用者仮識別子更新要求送信側装置１４が関連付け削除要求を送信する場合の利用者仮識別子更新要求送信側装置１４におけるシーケンスである。同図において、例えばユーザ情報の漏洩等により関連付けの削除を行う場合、まず利用者情報管理部２０が利用者識別子と利用者仮識別子との組を削除し、利用者情報管理部２０がセッション管理部２３に対して利用者仮識別子のライフタイム設定の削除を要求し、セッション管理部２３が利用者仮識別子のライフタイム設定を削除して利用者情報管理部２０に応答を返す。さらに、利用者情報管理部２０が利用者識別子と利用者仮識別子との組を通信処理部２２に通知し、これを通信処理部２２が関連付け削除要求として利用者仮識別子更新要求受信側装置１５に対して送信する。なお、利用者仮識別子更新要求受信側装置１５が関連付け削除要求を送信する場合についてもこれと同様のシーケンスで処理が行われるため、ここでは説明を省略する。

次に、関連付け削除要求を受信する各装置におけるシーケンスについて、図２２および図２３を用いて説明する。
図２２は、本発明の実施形態において、利用者仮識別子更新要求送信側装置１４が関連付け削除要求を受信する場合の利用者仮識別子更新要求送信側装置１４におけるシーケンスである。同図において、通信処理部２２によって利用者代理装置１３または利用者仮識別子更新要求受信側装置１５から送られた関連付け削除要求が受信され、その要求が利用者情報管理部２０に通知される。利用者情報管理部２０はここで要求送信元をチェックし、送信元が利用者代理装置１３でない場合、後で利用者代理装置１３に対して関連付けが削除されたことを通知するためユーザへの通知情報を検索し、情報を保持しておくこともできる。次に、利用者識別子と利用者仮識別子との組を検索して削除し、さらに、利用者情報管理部２０からセッション管理部２３に対してライフタイム設定の削除要求がなされる。セッション管理部２３はライフタイム設定を削除し、利用者情報管理部２０に応答を返す。なお、要求送信元が利用者代理装置１３でない場合は、ここで利用者情報管理部２０が保持しているユーザへの通知情報を通信処理部２２に通知し、通信処理部２２がこれを用いて利用者代理装置１３に対して関連付け削除通知を送信することができる。

図２３は、本発明の実施形態において、利用者仮識別子更新要求受信側装置１５が関連付け削除要求を受信する場合の利用者仮識別子更新要求受信側装置１５におけるシーケンスである。同図において、通信処理部２６によって利用者代理装置１３または利用者仮識別子更新要求送信側装置１４から送られた関連付け削除要求が受信され、その要求が利用者情報管理部２５に通知される。利用者情報管理部２５はここで要求送信元をチェックし、送信元が利用者代理装置１３でない場合、後で利用者代理装置１３に対して関連付けが削除されたことを通知するためユーザへの通知情報を検索し、情報を保持しておくこともできる。次に、利用者識別子と利用者仮識別子との組を検索して削除し、さらに、利用者情報管理部２５からセッション管理部２７に対してライフタイム設定の削除要求がなされる。セッション管理部２７はライフタイム設定を削除し、利用者情報管理部２５に応答を返す。なお、要求送信元が利用者代理装置１３でない場合は、ここで利用者情報管理部２５が保持している利用者への通知情報を通信処理部２６に通知し、通信処理部２６がこれを用いて利用者代理装置１３に対して関連付け削除通知を送信することができる。

続いて利用者代理装置、仮識別子更新要求送信側装置、および仮識別子更新要求受信側装置が、以上に述べたシーケンスに対応して保持する情報、および各装置間のメッセージ、例えば図９の関連付け登録における要求メッセージや応答メッセージに含まれる情報について説明する。図２４は、仮識別子更新要求送信側装置が保持する情報の説明図である。同図は、仮識別子に乱数の値を用いる場合、すなわち図４で説明したように相手側のサービスにおける利用者識別子と乱数とをつなぎ合わせたものにハッシュ演算を施した結果を仮識別子とするのではなく、利用者識別子に対応して乱数値を用いて仮識別子を生成し、その仮識別子の関連付けが行われた後に更新要求送信側装置と更新要求受信側装置との間で必要なデータ交換などが行われる場合に仮識別子更新要求送信側装置が保持する情報を示す。

図２４において、まずアクセス用情報と被アクセス用情報とが保持される。これらの情報は、仮識別子更新要求受信側装置との間でのデータ交換などに必要な情報であって、アクセス用情報は更新要求送信側装置から更新要求受信側装置にアクセスする場合の情報である。その情報としては、ユーザの利用者識別子、相手側のサービス、すなわち仮識別子更新要求受信側装置によって提供されるサービスの識別子、そのサービスを利用するための利用者の仮識別子、およびアクセス先のアドレスが格納されている。

被アクセス用情報としては、相手側、すなわち更新要求受信側装置からのアクセスを識別するための情報として、ユーザの利用者識別子、相手側のサービスの識別子、更新要求送信装置側での利用者の仮識別子、およびアクセス元としての更新要求受信側装置のアドレスが格納されている。

更新要求送信側装置が保持する情報としては、さらにセッション情報として２つの仮識別子に対するライフタイムが保持されている。すなわち、相手側の更新要求受信側装置において利用者を識別するための仮識別子ｂｂｂと、更新要求送信側装置において利用者を識別するための仮識別子ｅｅｅとに対して、それぞれライフタイムが保持されている。また、さらに関連付けが削除された時に使用するユーザへの通知用情報として、利用者識別子毎に通知手段および識別情報を保持することもできる。通知手段としては、例えば「Ｅ−ｍａｉｌ」や「ＩＭ」等のような通信手段の種類、識別情報としては、通知手段に対応する電子メールアドレス等を保持しておくことができる。

図２５は、仮識別子更新要求受信側装置が保持する情報であり、図２４と同様に仮識別子として乱数の値を用いる場合の情報である。図２４における仮識別子更新要求送信側装置が保持する情報と同様にアクセス用情報、すなわち更新要求送信側装置にアクセスするための情報と、被アクセス用情報、すなわち更新要求送信側装置からのアクセスを識別するための情報と、２つの仮識別子に対するライフタイムが保持されている。また、図２４と同様にさらにユーザへの通知用情報を保持することもできる。

図２６は利用者代理装置が保持する情報の説明図である。同図において仮識別子更新要求送信側装置と受信側装置とに対するアクセスを行うためのアクセス用情報として、それぞれの装置に対するユーザの利用者識別子、その装置におけるサービスの識別子、利用者識別子に対応する利用者仮識別子、およびアクセス先としてのアドレスが格納されている。アクセス用情報の一行目は、図２４と図２５とに対応させると更新要求受信側装置に対するものであり、二行目は更新要求送信側装置に対するアクセス用情報である。

利用者代理装置は、更に被アクセス用情報として、更新要求受信側装置と送信側装置からのアクセスをそれぞれ識別するための情報と、２つの仮識別子に対するライフタイムを示すセッション情報とを保持している。なお後述する図３０までは仮識別子として乱数の値を用いる場合の情報の説明図である。

図２７は関連付け登録要求のメッセージに含まれる情報、例えば図９における関連付け登録要求メッセージに含まれる情報の説明図である。まずメッセージタイプが関連付け登録要求であることを示す情報と、そのメッセージの送信先と協調してサービスを提供する装置のアドレスが格納され、さらに利用者識別子と対応する仮識別子、および仮識別子のライフタイムが格納されている。また、ユーザへの通知手段、および関連付け削除通知を受ける際の識別情報をさらにメッセージに含めることもできる。

図２８は関連付け登録応答のメッセージに含まれる情報の説明図である。その情報としては、メッセージタイプとして関連付け登録応答であることと、関連付け登録要求に対応する処理、すなわち利用者識別子と仮識別子の組やライフタイムの格納の処理結果がＯＫか、ＮＧであるかの区別、および仮識別子のライフタイムが格納されている。ここで仮識別子のライフタイムが格納される理由は、例えば利用者代理装置から送られた関連付け登録要求に対して、仮識別子更新要求送信側装置などがサービスの状況などに応じて、例えばさらに短いライフタイムを設定したい場合などに、そのライフタイムを登録応答メッセージに格納して利用者代理装置に返すことを可能とするためである。

図２９は仮識別子更新要求のメッセージ、例えば図１３において更新要求送信側装置から更新要求受信側装置に送られるメッセージに含まれる情報の説明図である。同図においてメッセージには、メッセージのタイプとしての仮識別子更新要求と、そのメッセージのアクセス先のアドレス、古い仮識別子と新しい仮識別子、および新しい仮識別子のライフタイムが格納されている。なおこのアクセス先アドレスや仮識別子の名称などについては、例えば図２４などと厳密に統一が取れているものではない。

図３０は、仮識別子更新応答のメッセージに含まれる情報の説明図である。メッセージにはメッセージタイプとしての仮識別子更新応答と、図２８における例と同様の処理結果、および仮識別子のライフタイムが格納されている。

続いて図４で説明したように、ハッシュ演算などの不可逆演算を用いて仮識別子を生成する場合の各装置の保持する情報や、メッセージ内の情報について図３１〜図３５を用いて説明する。ただし、まず例えばハッシュ演算を用いて生成された仮識別子が更新されずに使用される場合について説明する。

図３１は、仮識別子更新要求送信側装置が保持する情報の説明図である。図３１においてアクセス用情報と被アクセス用情報とが保持されているが、図２４と比較するとアクセス用情報には仮識別子が含まれていない。ここでは図４の説明とやや異なって、例えば利用者識別子と、サービス識別子、および乱数とがつなぎ合わされた結果に対してハッシュ演算が行われるものとするが、更新要求受信側装置にアクセスが必要となるたびにその計算を行って仮識別子を求め、その仮識別子を用いてアクセスを行うことにすれば、乱数を保持しておくことによってアクセス用情報として仮識別子を持っている必要はない。仮識別子を常時アクセス用情報として格納しておくと、その仮識別子が外部に漏洩する可能性がないとは言えないために、このようにアクセス用情報に仮識別子を格納せずにアクセスのたびに計算するのも１つの方法である。なお、ここでは仮識別子の更新をしないため、図２４と比較して仮識別子のライフタイムを保持していないのは当然である。また、図２４における例と同様に、ユーザへの通知用情報を保持することもできる。

図３２は、仮識別子更新要求受信側装置が保持する情報の説明図である。図３１の更新要求送信側装置と同様に、アクセス用情報、被アクセス用情報およびユーザへの通知用情報とが保持されている。なお図３１、図３２においては、図２４、２５と異なり、利用者識別子やアドレスなどの内容については、装置間での対応などに統一性が取れたものとはなっていない。

図３３は、利用者代理装置が保持する情報の説明図である。図２６と比較すると、仮識別子のライフタイムが保持されていないのは当然のこととして、アクセス用情報と被アクセス用情報とに仮識別子の値が保持されていない。これは関連付け登録が行われた後に仮識別子の更新が行われないために、利用者識別子とサービス識別子を指定すれば、仮識別子の値は更新要求送信側装置、あるいは受信側装置のいずれにおいても明らかであるためであり、また必要に応じて計算可能なためである。

図３４は、関連付け登録要求メッセージに含まれる情報の説明図である。図２７と比較すると、仮識別子の更新が行われないためにそのライフタイムが格納されていない点を除いて、同じ情報が格納されている。

図３５は、関連付け登録応答メッセージに含まれる情報の説明図である。仮識別子の更新が行われないために、図２８と比較すると仮識別子のライフタイムが含まれていない点だけが異なっている。なお図３１〜図３５では、仮識別子の更新が行われないために、図２９と図３０に相当する仮識別子更新要求、および更新応答のメッセージは使用されない。

続いてハッシュ演算などの不可逆演算を用いて仮識別子が生成され、またその仮識別子がライフタイムに対応して更新される場合に各装置が保持する情報について、図３６〜図３８を用いて説明する。図３６は、仮識別子更新要求送信側装置が保持する情報の説明図である。アクセス用情報としては、利用者識別子、サービス識別子、およびアクセス先のアドレスに加えて、仮識別子を作成するための乱数が保持されている。図５で説明したように、例えばサービス１側では自装置側の利用者識別子と利用者から送られた乱数を用いてハッシュ演算を行い、その結果を仮識別子としてサービス２側に送ることになるが、このハッシュ演算のための乱数がアクセス用情報として保持されている。

被アクセス用情報およびユーザへの通知用情報は、例えば図３１における例と同様であり、更新要求受信側装置からのアクセスを識別するための仮識別子および関連付け削除通知を送信するための通知用情報が保持されている。セッション情報としては、乱数と仮識別子のそれぞれに対してライフタイムが保持されている。

図３７は、仮識別子更新要求受信側装置が保持する情報の説明図である。その内容は図３６、すなわち更新要求送信側装置が保持する情報と全く同一形式の情報である。
図３８は、利用者代理装置が保持する情報の説明図である。例えば図２６と比較すると、アクセス用情報としては、仮識別子の代わりに仮識別子を作成するための乱数、すなわち更新要求送信側装置と受信側装置とのそれぞれに対応して用いられるべき乱数の値が保持され、セッション情報としてはこの乱数と、乱数に対するライフタイムの値が保持されている点が異なっている。なおここでは、例えば図５において用いられる乱数の値がサービス１側とサービス２側、すなわち更新要求送信側装置と受信側装置の間で異なる場合が示されている。

仮識別子にハッシュ演算のような不可逆演算を用い、仮識別子の更新をする場合の各メッセージ、すなわち関連付け登録要求メッセージ、登録応答メッセージ、仮識別子更新要求メッセージ、および更新応答メッセージに含まれる情報は、仮識別子に乱数の値を用いる場合の図２７〜図３０で説明した情報と同じ形式であるのでその説明を省略する。

最後に図１８〜図２３の関連付け削除シーケンスにおいて用いられる関連付け削除要求メッセージと、関連付け削除応答メッセージに含まれる情報について図３９、図４０を用いて説明する。

図３９は関連付け削除要求メッセージに含まれる情報である。メッセージタイプとしての関連付け削除要求、アクセス先のアドレス、関連付けが不必要となって削除されるべき仮識別子と、その仮識別子との組を成す利用者識別子が含まれる。この関連付け削除要求メッセージは、図１８において利用者代理装置１３から仮識別子更新要求送信側装置１４および仮識別子更新要求受信側装置１５へ送られる情報であり、図１９において仮識別子更新要求送信側／受信側装置１から仮識別子更新要求送信側／受信側装置２へ送られる情報である。

図４０の関連付け削除応答メッセージには、メッセージタイプとしての関連付け削除応答と、処理結果としてのＯＫ、またはＮＧの情報が含まれる。この関連付け削除応答メッセージは、図１８において仮識別子更新要求送信側装置１４および仮識別子更新要求受信側装置１５から利用者代理装置１３へ送られる情報であり、図１９において仮識別子更新要求送信側／受信側装置２から仮識別子更新要求送信側／受信側装置１へ送られる情報である。

（付記１） 複数のサービスを利用する利用者の情報が、該複数のサービスにまたがって共有されるネットワークサービスシステムにおいて、
前記利用者に第１のサービスを提供する装置であって、前記利用者の情報として、前記ネットワークサービスシステム内で共用される利用者仮識別子の更新要求を送信できる利用者仮識別子更新要求送信側装置と、
該利用者仮識別子更新要求送信側装置とネットワークによって接続され、該利用者仮識別子更新要求送信側装置から送られた利用者仮識別子の更新要求を受信できる装置であって、該更新要求に対応して更新された利用者仮識別子を用いて、前記第１のサービスと協調する第２のサービスを利用者に提供する利用者仮識別子更新要求受信側装置と、
該利用者仮識別子更新要求送信側装置、利用者仮識別子更新要求受信側装置とネットワークによって接続され、利用者が前記第１のサービスと、第２のサービスとを受けるための利用者代理装置とによって構成されることを特徴とする利用者仮識別子を用いるネットワークサービスシステムであって、
該利用者代理装置が、該利用者仮識別子更新要求送信側装置と、該利用者仮識別子更新要求受信側装置とのそれぞれにおけるサービスに対する利用者の利用者識別子に対応して、乱数を用いて利用者仮識別子を生成し、該生成した仮識別子と、仮識別子の有効期間が切れる前に関連付けが削除された際に用いられるユーザへの通知用情報とを含む関連付け登録要求メッセージを、該利用者仮識別子更新要求送信側装置と、利用者仮識別子更新要求受信側装置とに送信し、
該利用者仮識別子更新要求送信側装置と、利用者仮識別子更新要求受信側装置が、該仮識別子と仮識別子の有効期間と該ユーザへの通知用情報を設定した後に、利用者代理装置側に関連付け応答メッセージを送信することを特徴とする、利用者仮識別子を用いるネットワークサービスシステム。

（付記２） 前記ネットワークサービスシステムにおいて、
前記利用者代理装置が、前記利用者仮識別子更新要求送信側装置と前記利用者仮識別子更新要求受信側装置とに対して、前記仮識別子の有効期間が切れる前に利用者識別子と利用者仮識別子との組を含む関連付け削除要求メッセージを送信し、
該利用者仮識別子更新要求送信側装置と該利用者仮識別子更新要求受信側装置が、該利用者識別子と該利用者仮識別子との組を削除した後に該利用者代理装置へ関連付け削除応答メッセージを送信し、
該利用者代理装置が、２つの装置から関連付け削除応答メッセージを受信した後に、該利用者識別子と該利用者仮識別子との組を削除することを特徴とする、付記１記載の利用者仮識別子を用いるネットワークサービスシステム。

（付記３） 前記ネットワークサービスシステムにおいて、
前記利用者仮識別子更新要求送信側または受信側装置が、それぞれ前記利用者仮識別子更新要求受信側または送信側装置に対して、前記仮識別子の有効期間が切れる前に仮識別子を含む関連付け削除要求メッセージを送信し、
該関連付け削除要求メッセージを受信した該利用者仮識別子更新要求受信側または送信側装置が、該仮識別子を削除した後に該利用者仮識別子更新要求送信側または受信側装置に削除応答メッセージを送信することを特徴とする、付記１記載の利用者仮識別子を用いるネットワークサービスシステム。

（付記４） 前記関連付け削除応答メッセージを送信した前記利用者仮識別子更新要求送信側または受信側装置が、
前記ユーザへの通知用情報を検索し、該検索結果を使用して前記利用者代理装置に対して関連付け削除通知メッセージを送信することを特徴とする、付記３記載の利用者仮識別子を用いるネットワークサービスシステム。

（付記５） 複数のサービスを利用する利用者の情報が、該複数のサービスにまたがって共有されるネットワークサービスシステムにおいて、
前記利用者に第１のサービスを提供する装置であって、前記利用者の情報として、前記ネットワークサービスシステム内で共用される利用者仮識別子の更新要求を送信できる利用者仮識別子更新要求送信側装置と、
該利用者仮識別子更新要求送信側装置とネットワークによって接続され、該利用者仮識別子更新要求送信側装置から送られた利用者仮識別子の更新要求を受信できる装置であって、該更新要求に対応して更新された利用者仮識別子を用いて、前記第１のサービスと協調する第２のサービスを利用者に提供する利用者仮識別子更新要求受信側装置と、
該利用者仮識別子更新要求送信側装置、利用者仮識別子更新要求受信側装置とネットワークによって接続され、利用者が前記第１のサービスと、第２のサービスとを受けるための利用者代理装置とによって構成されることを特徴とする利用者仮識別子を用いるネットワークサービスシステムであって、
該利用者代理装置が、該利用者仮識別子更新要求送信側装置と、該利用者仮識別子更新要求受信側装置とのそれぞれにおけるサービスに対する利用者の利用者識別子に対応して、不可逆演算を用いて利用者仮識別子を生成し、該生成した仮識別子と、仮識別子の有効期間が切れる前に関連付けが削除された際に用いられるユーザへの通知用情報とを含む関連付け登録要求メッセージを、該利用者仮識別子更新要求送信側装置と、利用者仮識別子更新要求受信側装置とに送信し、
該利用者仮識別子更新要求送信側装置と、利用者仮識別子更新要求受信側装置が、該仮識別子と仮識別子の有効期間と該ユーザへの通知用情報を設定した後に、利用者代理装置側に関連付け応答メッセージを送信することを特徴とする、利用者仮識別子を用いるネットワークサービスシステム。

（付記６） 複数のサービスを利用する利用者の情報が、複数のサービスにまたがって共有されるネットワークサービスシステムにおいて、
利用者が協調して実行される複数のサービスをうけるための装置であって、該複数のサービスにおける利用者識別子に対応する利用者仮識別子を生成して、該利用者仮識別子を該複数のサービスを提供するそれぞれの装置に対して送る利用者代理装置と、
該利用者代理装置とネットワークによって接続され、前記協調して実行されるサービスをそれぞれ利用者に提供する装置であって、該利用者代理装置から送られる利用者仮識別子を用いて、利用者にサービスを提供する複数の利用者仮識別子更新要求受信側装置とによって構成されることを特徴とする利用者仮識別子を用いるネットワークサービスシステムであって、
前記利用者代理装置が、さらに関連付けが削除された際に用いられるユーザへの通知用情報を含む関連付け登録要求メッセージを送信し、
前記利用者仮識別子更新要求送信側装置と前記仮識別子更新要求受信側装置が、該ユーザへの通知用情報を設定することを特徴とする、利用者仮識別子を用いるネットワークサービスシステム。

（付記７） 利用者が協調して実行される複数のサービスをネットワークを介して受けるための装置であって、
利用者が受けるサービスにおける利用者識別子を保持するサービス情報管理手段と、
該利用者識別子に対応して、利用者仮識別子を生成する仮識別子生成手段と、
前記複数のサービスを提供するそれぞれの装置に対して、該利用者識別子と利用者仮識別子との組を含むメッセージを送信する通信処理手段とを備えることを特徴とする利用者代理装置において、
該複数のサービスを提供するそれぞれの装置に対して、さらにユーザへの通知用情報を含むメッセージを送信することを特徴とする利用者代理装置。

（付記８） ネットワークサービスシステム内の他の装置によって利用者に提供されるサービスと協調して実行される異なるサービスを利用者に対して提供する装置であって、
利用者側から送られる、該異なるサービスに対応する利用者識別子と、該利用者識別子に対応し、前記他の装置と共用される利用者仮識別子との組を含むメッセージを受信する通信処理手段と、
該利用者仮識別子の有効期間を管理するセッション管理手段と、
該利用者仮識別子の有効期間が満了する以前に新しい利用者仮識別子を生成する仮識別子生成手段とを備え、
該通信処理手段が、前記他の装置側に新しい利用者仮識別子を含んだ利用者仮識別子更新要求を送信することを特徴とする利用者仮識別子更新要求送信側装置において、
該利用者仮識別子が無効になった場合、前記利用者代理装置へ通知を行うために使用するユーザへの通知用情報を管理するユーザ通知手段をさらに備えることを特徴とする利用者仮識別子更新要求送信側装置。

（付記９） ネットワークサービスシステム内の他の装置によって利用者に提供されるサービスと協調して実行される異なるサービスを利用者に提供する装置であって、
利用者側から送られる、該異なるサービスにおける利用者識別子と、該利用者識別子に対応し、前記他の装置と共用される利用者仮識別子との組を含むメッセージと、前記他の装置から送られる仮識別子更新要求を受信する通信処理手段と、
該メッセージに対応して利用者仮識別子を設定した後に、該仮識別子更新要求に対応して新しい利用者仮識別子を設定するセッション管理手段とを備えることを特徴とする利用者仮識別子更新要求受信側装置において、
該利用者仮識別子が無効になった場合、前記利用者代理装置へ通知を行うために使用するユーザへの通知用情報を管理するユーザ通知手段をさらに備えることを特徴とする利用者仮識別子更新要求受信側装置。

（付記１０） 複数のサービスを利用する利用者の情報が、該複数のサービスにまたがって共有されるネットワークサービスシステムにおいて、
前記利用者に第１のサービスを提供する装置である利用者仮識別子更新要求送信側装置と、
該利用者仮識別子更新要求送信側装置とネットワークによって接続され、前記第１のサービスと協調する第２のサービスを利用者に提供する利用者仮識別子更新要求受信側装置と、
該利用者仮識別子更新要求送信側装置、利用者仮識別子更新要求受信側装置とネットワークによって接続され、利用者が前記第１のサービスと、第２のサービスとを受けるための利用者代理装置とによって構成されることを特徴とする利用者仮識別子を用いるネットワークサービスシステムであって、
該利用者代理装置が、該利用者仮識別子更新要求送信側装置と該利用者仮識別子更新要求受信側装置とに対して、利用者識別子と利用者仮識別子との組を含む関連付け削除要求メッセージを送信し、
該利用者仮識別子更新要求送信側装置と該利用者仮識別子更新要求受信側装置が、該利用者識別子と該利用者仮識別子との組を削除し、
該利用者代理装置が他の関連付けを持たない場合は、さらにユーザへの通知用情報を削除した後に該利用者代理装置へ関連付け削除応答メッセージを送信し、
該利用者代理装置が、２つの装置から関連付け削除応答メッセージを受信した後に、該利用者識別子と該利用者仮識別子との組を削除することを特徴とする、付記１記載の利用者仮識別子を用いるネットワークサービスシステム。

本発明のネットワークサービスシステムの原理構成ブロック図である。 利用者仮識別子が用いられるネットワークサービスシステムの構成例を示す図である。 本実施形態における一般的なネットワークサービスシステムの構成例を示す図である。 関連付け登録における仮識別子生成の説明図である。 複数のサービス装置の協調動作の説明図である。 利用者代理装置の構成例のブロック図である。 仮識別子更新要求送信側装置の構成例のブロック図である。 仮識別子更新要求受信側装置の構成例のブロック図である。 関連付け登録処理のシーケンスを示す図である。 利用者代理装置における関連付け登録処理のシーケンスを示す図である。 仮識別子更新要求送信側装置における関連付け登録処理のシーケンスを示す図である。 仮識別子更新要求受信側装置における関連付け登録処理のシーケンスを示す図である。 仮識別子更新要求送信側装置からの要求による仮識別子更新シーケンスの全体説明図である。 仮識別子更新要求送信側装置における更新処理シーケンスを示す図である。 仮識別子更新要求受信側装置における更新処理シーケンスを示す図である。 利用者代理装置からの要求による仮識別子更新シーケンスの全体説明図である。 利用者代理装置における仮識別子更新処理シーケンスを示す図である。 利用者代理装置からの要求による関連付け削除シーケンスの全体説明図である。 仮識別子更新要求送信側または受信側装置からの要求による関連付け削除シーケンスの全体説明図である。 利用者代理装置における関連付け削除処理シーケンスを示す図である。 仮識別子更新要求送信側装置における仮識別子更新要求送信側装置からの要求による関連付け削除処理シーケンスを示す図である。 仮識別子更新要求送信側装置が関連付け削除要求を受信する場合の仮識別子更新要求送信側装置における関連付け削除処理シーケンスを示す図である。 仮識別子更新要求受信側装置が関連付け削除要求を受信する場合の仮識別子更新要求受信側装置における関連付け削除処理シーケンスを示す図である。 仮識別子更新要求送信側装置の保持情報の説明図（仮識別子に乱数値を用いる場合）である。 仮識別子更新要求受信側装置の保持情報の説明図（仮識別子に乱数値を用いる場合）である。 利用者代理装置の保持情報の説明図（仮識別子に乱数値を用いる場合）である。 関連付け登録要求メッセージに含まれる情報の説明図（仮識別子に乱数値を用いる場合）である。 関連付け登録応答メッセージに含まれる情報の説明図（仮識別子に乱数値を用いる場合）である。 仮識別子更新要求メッセージに含まれる情報の説明図（仮識別子に乱数値を用いる場合）である。 仮識別子更新応答メッセージに含まれる情報の説明図（仮識別子に乱数値を用いる場合）である。 仮識別子更新要求送信側装置が保持する情報の説明図（仮識別子に不可逆演算の値を用い、仮識別子の更新をしない場合）である。 仮識別子更新要求受信側装置が保持する情報の説明図（仮識別子に不可逆演算の値を用い、仮識別子の更新をしない場合）である。 利用者代理装置が保持する情報の説明図（仮識別子に不可逆演算の値を用い、仮識別子の更新をしない場合）である。 関連付け登録要求メッセージに含まれる情報の説明図（仮識別子に不可逆演算の値を用い、仮識別子の更新をしない場合）である。 関連付け登録応答メッセージに含まれる情報の説明図（仮識別子に不可逆演算の値を用い、仮識別子の更新をしない場合）である。 仮識別子更新要求送信側装置が保持する情報の説明図（仮識別子に不可逆演算の値を用い、仮識別子の更新をする場合）である。 仮識別子更新要求受信側装置が保持する情報の説明図（仮識別子に不可逆演算の値を用い、仮識別子の更新をする場合）である。 利用者代理装置が保持する情報の説明図（仮識別子に不可逆演算の値を用い、仮識別子の更新をする場合）である。 関連付け削除要求メッセージに含まれる情報の説明図である。 関連付け削除応答メッセージに含まれる情報の説明図である。

符号の説明

１ ネットワークサービスシステム
２、１４ 利用者仮識別子更新要求送信側装置
３ ネットワーク
４、１５ 利用者仮識別子更新要求受信側装置
５、１３ 利用者代理装置
１０ ユーザ端末
１１ ユーザエージェント
１２ レンタルビデオ業者端末
１６ サービス情報管理部
１７、２１ 仮識別子生成部
１８、２２、２６ 通信処理部
１９、２３、２７ セッション管理部
２０、２５ 利用者情報管理部

Claims (5)

1. 複数のサービスを利用する利用者の情報が、該複数のサービスにまたがって共有されるネットワークサービスシステムにおいて、
   前記利用者に第１のサービスを提供する装置であって、前記利用者の情報として、前記ネットワークサービスシステム内で共用される利用者仮識別子の更新要求を送信できる利用者仮識別子更新要求送信側装置と、
   該利用者仮識別子更新要求送信側装置とネットワークによって接続され、該利用者仮識別子更新要求送信側装置から送られた利用者仮識別子の更新要求を受信できる装置であって、該更新要求に対応して更新された利用者仮識別子を用いて、前記第１のサービスと協調する第２のサービスを利用者に提供する利用者仮識別子更新要求受信側装置と、
   該利用者仮識別子更新要求送信側装置、利用者仮識別子更新要求受信側装置とネットワークによって接続され、利用者が前記第１のサービスと、第２のサービスとを受けるための利用者代理装置とによって構成されることを特徴とする利用者仮識別子を用いるネットワークサービスシステムであって、
   該利用者代理装置が、該利用者仮識別子更新要求送信側装置と、該利用者仮識別子更新要求受信側装置とのそれぞれにおけるサービスに対する利用者の利用者識別子に対応して、乱数を用いて利用者仮識別子を生成し、該生成した仮識別子と、仮識別子の有効期間が切れる前に関連付けが削除された際に用いられるユーザへの通知用情報とを含む関連付け登録要求メッセージを、該利用者仮識別子更新要求送信側装置と、利用者仮識別子更新要求受信側装置とに送信し、
   該利用者仮識別子更新要求送信側装置と、利用者仮識別子更新要求受信側装置が、該仮識別子と仮識別子の有効期間と該ユーザへの通知用情報を設定した後に、利用者代理装置側に関連付け応答メッセージを送信することを特徴とする、利用者仮識別子を用いるネットワークサービスシステム。
2. 前記ネットワークサービスシステムにおいて、
   前記利用者代理装置が、前記利用者仮識別子更新要求送信側装置と前記利用者仮識別子更新要求受信側装置とに対して、前記仮識別子の有効期間が切れる前に利用者識別子と利用者仮識別子との組を含む関連付け削除要求メッセージを送信し、
   該利用者仮識別子更新要求送信側装置と該利用者仮識別子更新要求受信側装置が、該利用者識別子と該利用者仮識別子との組を削除した後に該利用者代理装置へ関連付け削除応答メッセージを送信し、
   該利用者代理装置が、２つの装置から関連付け削除応答メッセージを受信した後に、該利用者識別子と該利用者仮識別子との組を削除することを特徴とする、請求項１記載の利用者仮識別子を用いるネットワークサービスシステム。
3. 前記ネットワークサービスシステムにおいて、
   前記利用者仮識別子更新要求送信側または受信側装置が、それぞれ前記利用者仮識別子更新要求受信側または送信側装置に対して、前記仮識別子の有効期間が切れる前に仮識別子を含む関連付け削除要求メッセージを送信し、
   該関連付け削除要求メッセージを受信した該利用者仮識別子更新要求受信側または送信側装置が、該仮識別子を削除した後に該利用者仮識別子更新要求送信側または受信側装置に削除応答メッセージを送信することを特徴とする、請求項１記載の利用者仮識別子を用いるネットワークサービスシステム。
4. 前記関連付け削除応答メッセージを送信した前記利用者仮識別子更新要求送信側または受信側装置が、
   前記ユーザへの通知用情報を検索し、該検索結果を使用して前記利用者代理装置に対して関連付け削除通知メッセージを送信することを特徴とする、請求項３記載の利用者仮識別子を用いるネットワークサービスシステム。
5. 複数のサービスを利用する利用者の情報が、該複数のサービスにまたがって共有されるネットワークサービスシステムにおいて、
   前記利用者に第１のサービスを提供する装置であって、前記利用者の情報として、前記ネットワークサービスシステム内で共用される利用者仮識別子の更新要求を送信できる利用者仮識別子更新要求送信側装置と、
   該利用者仮識別子更新要求送信側装置とネットワークによって接続され、該利用者仮識別子更新要求送信側装置から送られた利用者仮識別子の更新要求を受信できる装置であって、該更新要求に対応して更新された利用者仮識別子を用いて、前記第１のサービスと協調する第２のサービスを利用者に提供する利用者仮識別子更新要求受信側装置と、
   該利用者仮識別子更新要求送信側装置、利用者仮識別子更新要求受信側装置とネットワークによって接続され、利用者が前記第１のサービスと、第２のサービスとを受けるための利用者代理装置とによって構成されることを特徴とする利用者仮識別子を用いるネットワークサービスシステムであって、
   該利用者代理装置が、該利用者仮識別子更新要求送信側装置と、該利用者仮識別子更新要求受信側装置とのそれぞれにおけるサービスに対する利用者の利用者識別子に対応して、不可逆演算を用いて利用者仮識別子を生成し、該生成した仮識別子と、仮識別子の有効期間が切れる前に関連付けが削除された際に用いられるユーザへの通知用情報とを含む関連付け登録要求メッセージを、該利用者仮識別子更新要求送信側装置と、利用者仮識別子更新要求受信側装置とに送信し、
   該利用者仮識別子更新要求送信側装置と、利用者仮識別子更新要求受信側装置が、該仮識別子と仮識別子の有効期間と該ユーザへの通知用情報を設定した後に、利用者代理装置側に関連付け応答メッセージを送信することを特徴とする、利用者仮識別子を用いるネットワークサービスシステム。

Images