JP6719079B2 - 情報機器、データ処理システム、データ処理方法およびコンピュータプログラム - Google Patents

Description

本発明はデータ処理技術に関し、特に、情報機器、データ処理システム、データ処理方法およびコンピュータプログラムに関する。

メモリ搭載デバイスのメモリに格納されたデータファイルに対する、アクセス機器からのアクセスを管理するデータアクセス管理システムが提案されている（例えば特許文献１参照）。このデータアクセス管理システムでは、アクセス機器は、自機器に対して許容されるアクセスモードを設定したサービス許可チケットをチケット発行手段から受領して、そのサービス許可チケットをメモリ搭載デバイスに対して出力する。メモリ搭載デバイスは、アクセス機器からサービス許可チケットを受領して、そのサービス許可チケットに記述されたアクセスモードにしたがった処理を実行する。

特開２００２−２７８８３９号公報

本発明者は、車両に搭載されるヘッドユニット等の情報機器のセキュリティを高めるために、情報機器におけるデータ処理の権限を示すチケットの利用が有効であるが、チケットが漏洩した際のリスクを低減する仕組みが必要と考えた。チケットが漏洩した際のリスクを低減するために、上記特許文献１に記載されたようにチケット利用者に関する情報をチケットに格納することも考えられるが、例えば情報機器の保守作業等においてチケット利用者を限定すると、作業に不都合が生じることがある。

本発明は本発明者の上記課題認識に鑑みてなされたものであり、主な目的は、情報機器によるデータ処理を制御するチケットが漏洩した場合のリスクを低減することである。

上記課題を解決するために、本発明のある態様の情報機器は、認証に成功したサーバから提供されてリムーバブルメディアに格納されたチケットデータであって、認証の成功により実行可能なデータ処理の内容を示すチケットデータをリムーバブルメディアから読み込む読込部と、読込部により読み込まれたチケットデータが示すデータ処理を実行するデータ処理部と、を備える。

本発明の別の態様は、情報処理システムである。この情報処理システムは、リムーバブルメディアからデータを読み込み可能な情報機器と、サーバと、を備える。サーバは、ユーザを認証する認証部と、認証部がユーザの認証に成功した場合に、当該ユーザにより指定されたデータ処理の内容を示すチケットデータをリムーバブルメディアに格納させる出力部と、を含む。情報機器は、リムーバブルメディアからチケットデータを読み込む読込部と、読込部により読み込まれたチケットデータが示すデータ処理を実行するデータ処理部と、を含む。

本発明のさらに別の態様は、データ処理方法である。この方法は、認証に成功したサーバから提供されてリムーバブルメディアに格納されたチケットデータであって、認証の成功により実行可能なデータ処理の内容を示すチケットデータをリムーバブルメディアから読み込むステップと、読み込まれたチケットデータが示すデータ処理を実行するステップと、を情報機器が実行する。

なお、以上の構成要素の任意の組合せ、本発明の表現を、装置、方法、コンピュータプログラム、コンピュータプログラムを記録した記録媒体、本装置を搭載した車両などの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、情報機器によるデータ処理を制御するチケットが漏洩した場合のリスクを低減することができる。

実施例に係る情報処理システムの構成を示す図である。 図１の認証チケットの構成を示す図である。 図２のチケットデータの構成を示す図である。 図２のチケットデータの文書例を示す図である。 図１のヘッドユニットの機能構成を示すブロック図である。 図１のＰＣの機能構成を示すブロック図である。 図１のサーバの機能構成を示すブロック図である。 情報処理システムにおける各装置の相互作用を示すシーケンス図である。 ヘッドユニットの動作を示すフローチャートである。 図９のＳ４８のチケット検証処理を詳細に示すフローチャートである。 変形例に係る情報処理システムの構成を示す図である。

実施例を具体的に説明する前に、実施例の概要を述べる。
実施例においてデータ処理のセキュリティを高める対象の情報機器は、車両に搭載されるヘッドユニットである。ヘッドユニットは、例えば、カーナビゲーション装置、音声映像再生装置、テレビ受像装置、またはラジオ受信装置であってもよく、これら複数の装置の機能を有する情報処理装置であってもよい。

実施例のヘッドユニットは、サーバによる認証の成功を条件とした認証チケットに基づいてデータ処理を実行する。この認証チケットは、サーバから提供されてリムーバブルメディアに格納され、ヘッドユニットは、リムーバブルメディアから認証チケットを読み込む。これにより、有線または無線にてサーバに接続できない場合のあるヘッドユニットであり、言わば、サーバによる認証を受けられないヘッドユニットであっても、サーバによる認証の成功を条件としてデータ処理を実行することとなるため、ヘッドユニットのセキュリティを高めることができる。

また実施例の認証チケットは、サーバによる所定の認証が成功したことを示すデータであって、ヘッドユニットに対してデータ処理の権限を与えるデータである。具体的には、認証チケットは、ヘッドユニットに対して許可されるデータ処理の内容（例えば種類やパラメータ値）を規定するデータを含む。ヘッドユニットは、認証チケットに規定されたデータ処理を実行するが、認証チケットに規定されないデータ処理の実行を抑制する。これにより、認証チケットが漏洩した場合の影響を低減することができる。また、実施例の認証チケットは、チケット利用者の制限を含まない。これにより、チケット利用者の特定が難しいヘッドユニットの保守作業等において、ヘッドユニットの操作性の低下を抑制でき、また、ヘッドユニットに対する作業効率の低下を抑制できる。

なお、ヘッドユニットは、リプログラミング（既存プログラムの更新）、車載パラメータの更新、またはログ取得等、予め定められた種類のデータ処理について、認証チケットによる許可を実行の条件としてもよい。例えば、音声映像処理等のヘッドユニットにおいて当然に実行すべき処理については認証チケットの有無にかかわらず実行する一方、ヘッドユニットにおけるシステムプログラムの追加・変更・削除等、保守用として分類される所定のデータ処理については認証チケットによる許可を実行の条件としてもよい。

（第１実施例）
図１は、実施例に係る情報処理システム１０の構成を示す。情報処理システム１０は、ヘッドユニット１４、ＰＣ１６、サーバ２０を備える。実施例では、認証チケットによりヘッドユニット１４に保守用のデータ処理（以下「保守処理」と呼ぶ。）を実行させるが、実施例に記載の技術は、保守処理に限らず、様々なデータ処理をヘッドユニット１４に実行させる際に有用である。

サーバ２０は、ヘッドユニット１４のメーカのデータセンタに設置される情報処理装置である。ＰＣ１６は、ヘッドユニット１４のメーカの担当者（エンジニア等、以下「ユーザ」と呼ぶ。）により操作される情報端末である。なお、サーバ２０は、車両１２のメーカのデータセンタに設置されてもよく、また、ユーザは、カーディーラーの担当者（エンジニア等）であってもよい。ＰＣ１６とサーバ２０は、イントラネット２２を介して接続される。ＰＣ１６とサーバ２０は、ＬＡＮ・ＷＡＮ・エクストラネット・インターネット等、他の種類の通信網を介して接続されてもよい。また、ＰＣ１６は、スマートフォンまたはタブレット端末に置き換えることも可能である。

ヘッドユニット１４は、車両１２に搭載され、本実施例ではユーザによる保守作業が実施される。ヘッドユニット１４は、サーバ２０と直接通信可能なインタフェースを備えず、ＵＳＢメモリ１８を介してＰＣ１６とデータを交換する。

ＵＳＢメモリ１８は、データの読み書きが可能な半導体メモリを備える補助記憶装置（マスストレージ装置）であり、ＵＳＢを介してヘッドユニット１４およびＰＣ１６に接続されるリムーバブルメディアである。このリムーバブルメディアは、少なくとも記憶機能を備えればよく、演算等の情報処理機能は必須ではない。また、リムバブルメディアは、ＵＳＢメモリ１８に限られず、任意のマスストレージ装置でよく、例えばＳＤメモリカード、ドングルであってもよい。

ＵＳＢメモリ１８には、ＩＤファイル２４と認証チケット２６とが格納される。ＩＤファイル２４は、ヘッドユニット１４固有の識別情報であり、特定のヘッドユニット１４を他の装置と区別して一意に識別可能な識別情報（以下「ＨＵ−ＩＤ」とも呼ぶ。）を格納した電子ファイルである。

図２は、図１の認証チケット２６の構成を示す。認証チケット２６は、署名データ２７およびチケットデータ２８を含み、最大４キロバイトのデータである。チケットデータ２８は、認証チケット２６の本体データであり、後述するようにＸＭＬ文書である。署名データ２７は、チケットデータ２８の改ざん有無を検出可能なようにサーバ２０が付加した電子署名データである。例えば、署名データ２７は、所定のハッシュ関数（ＳＨＡ−２５６等）により生成されたチケットデータ２８のハッシュ値を、ＲＳＡ等の公開鍵暗号方式により暗号化したデータであってもよい。例えば、署名データ２７は、サーバ２０の秘密鍵により暗号化したデータであってもよく、後述するように、ヘッドユニット１４にてサーバ２０の公開鍵により復号されて検証されてもよい。

図３は、図２のチケットデータ２８の構成を示す。ＴｉｃｋｅｔタグのＩＤ属性値を以下「チケットＩＤ」とも呼ぶ。図３では、チケットの権限情報（目的）として、リプログラミングとログ出力を例示している。実際には、チケットの権限情報（目的）として、不図示の様々なデータ処理を設定可能である。例えば、チケットデータ２８において指定可能な権限情報（Ｔａｒｇｅｔタグのｋｉｎｄ属性値）と、データ処理の内容との対応関係をヘッドユニット１４に予め記憶させればよい。チケットデータ２８において指定可能な権限情報（言い換えればデータ処理の種類）は、診断モードまたはテストモードへの切り替えを含んでもよく、また、デバッグ機能またはテストポートの有効化を含んでもよい。

リプログラミングは、ヘッドユニット１４内の既存プログラムの書き換えと、既存パラメータの書き換えを含む。既存プログラムおよび既存パラメータを書き換えるための更新用プログラムおよび更新用パラメータは、ＵＳＢメモリ１８に格納されてもよい。リプログラミングの対象は、セキュリティ情報を含むプログラム（または当該プログラムの格納領域）であってもよく、ＯＳ起動前部分とＯＳ起動後部分であってもよく、ＮＯＲメモリまたはＮＡＮＤメモリであってもよく、これらの組み合わせであってもよい。更新用プログラムおよび更新用パラメータには、署名データ２７とは異なる署名が付加されてもよい。ヘッドユニット１４（後述の保守処理部５８）は、既存プログラムおよび既存パラメータを書き換える前に、更新用プログラムおよび更新用パラメータに付加された署名を検証し、その検証に成功した場合のみ、書き換えを実行してもよい。

ログ出力は、ヘッドユニット１４に蓄積されたログの少なくとも一部をＵＳＢメモリ１８へ出力することを指示するものである。本実施例では、出力するログの種別を指定可能である。なお、チケットデータ２８では、ＵＳＢメモリ１８へ出力するログの暗号化（例えばＰＣ１６の公開鍵による暗号化、または、所定の共通鍵による暗号化）をさらに指定可能であってもよい。

図４は、図２のチケットデータ２８の文書例を示す。図４のチケットデータ２８では、認証チケットの権限情報として、ヘッドユニット１４の記憶領域のうちセキュリティモジュール領域のリプログラミングが指定されている。また、図４のチケットデータ２８では、チケット利用の上限回数が３回に設定されている。

図３、図４には不図示だが、チケットデータ２８は、不正なチケットデータの識別情報であり、すなわち不正なチケットデータのチケットＩＤを示す情報（以下「不正チケット情報」とも呼ぶ。）を含んでもよい。不正なチケットデータは、外部（チケットの正当な利用者ではない第三者等）に漏洩したチケットを含み、また、不正利用されたことが判明したチケットを含む。不正チケット情報の設定例として、チケットデータ２８は、１つ以上の不正なチケットデータそれぞれに対応する１つ以上の「ｕｎａｕｔｈｏｒｉｚｅｄ＿ｔｉｃｋｅｔ」タグを含んでもよい。そして、各「ｕｎａｕｔｈｏｒｉｚｅｄ＿ｔｉｃｋｅｔ」タグの「ＩＤ」属性値として、不正なチケットデータそれぞれのチケットＩＤが設定されてもよい。

図５は、図１のヘッドユニット１４の機能構成を示すブロック図である。本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ・メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。

ヘッドユニット１４は、制御部３０、記憶部３２、ＵＳＢ−ＩＦ３４を備える。制御部３０は、ヘッドユニット１４における各種データ処理を実行する。記憶部３２は、制御部３０により参照または更新される各種データを記憶する。ＵＳＢ−ＩＦ３４は、ＵＳＢとのインタフェース機能を提供する。制御部３０は、ＵＳＢ−ＩＦ３４を介して、ＵＳＢメモリ１８に格納されたデータを読み出し、または、ＵＳＢメモリ１８に対してデータを格納する。

記憶部３２は、ハードディスクまたはフラッシュメモリ等の不揮発性記録媒体により実現されてよい。記憶部６２は、プログラム保持部３６、ログ保持部３８、証明書保持部４０、実行情報保持部４２、不正チケット情報保持部４４を含む。

プログラム保持部３６は、制御部３０により実行される各種プログラムを保持する。プログラム保持部３６に保持されるプログラムは、システムソフトウェア（例えばＯＳソフトウェア）、アプリケーションソフトウェア（例えばナビゲーションソフトウェア）、保守用ソフトウェアを含む。保守用ソフトウェアは、後述の保守部５０の機能が実装されたプログラム群である。

ログ保持部３８は、ヘッドユニット１４の状態を示すログを保持する。ログには、例えば、システムソフトウェア、アプリケーションソフトウェア、保守ソフトウェアそれぞれの実行状態を示す情報（正常終了または異常終了を示す情報）が記録される。証明書保持部４０は、サーバ２０の公開鍵を含むサーバ２０の証明書データを保持する。

実行情報保持部４２は、現在までの認証チケットの利用状態（使用状態）を示す情報を保持する。具体的には、実行情報保持部４２は、現在までに認証チケットに基づいてデータ処理を実行した回数を保持する。不正チケット情報保持部４４は、不正とされる１つ以上の認証チケットのチケットＩＤを保持し、言わば、不正な認証チケットを示すブラックリストを保持する。

制御部３０は、ハードウェア資源とソフトウェア資源の協働、又はハードウェア資源のみにより実現できる。ハードウェア資源としてプロセッサ、ＲＯＭ、ＲＡＭ、その他のＬＳＩを利用でき、ソフトウェア資源としてオペレーティングシステム、アプリケーション、ファームウェア等のプログラムを利用できる。制御部３０は、音声映像処理部４６、ログ記録部４８、保守部５０を含む。

音声映像処理部４６は、ヘッドユニット１４におけるユーザ向け機能として、音声または映像の出力に関する処理を実行する。例えば、音声映像処理部４６は、プログラム保持部３６に保持されたナビゲーションソフトウェアに基づいて、ナビゲーションの音声を再生してその音声をスピーカ（不図示）から出力させ、また、ナビゲーションの映像を再生してその映像をディスプレイ（不図示）に表示させてもよい。

保守部５０は、ヘッドユニット１４における保守機能を実現する。保守部５０は、プログラム保持部３６に格納された保守用ソフトウェアをＣＰＵが実行することにより実現されてよい。保守部５０は、ＩＤ出力部５２、チケット読込部５４、チケット検証部５６、保守処理部５８を含む。

ＩＤ出力部５２は、所定の条件が満たされた場合に、ＵＳＢメモリ１８にＩＤファイル２４を生成し、生成したＩＤファイル２４に、ヘッドユニット１４において予め定められたＨＵ−ＩＤを格納する。上記所定の条件は、ヘッドユニット１４に対して所定の操作が入力されたことが検出された場合に満たされてもよい。また、上記所定の条件は、ＵＳＢメモリ１８が接続され、かつ、ＨＵ−ＩＤの出力契機として予め定められた所定のファイルがＵＳＢメモリ１８に存在することが検出された場合に満たされてもよい。上記所定のファイルは、予め定められた特定の名称のファイルであってもよく、予め定められた特定のデータ（コマンド等）を含むファイルであってもよい。

チケット読込部５４は、ＵＳＢメモリ１８が接続され、かつ、ＵＳＢメモリ１８に認証チケット２６が存在することを検出した場合に、ＵＳＢメモリ１８から認証チケット２６のデータを読み込む。チケット読込部５４は、ファイル名称に基づいて認証チケット２６の存在を検出してもよく、ファイルの内容（認証チケットの形式に整合するＸＭＬ文書か否か）に基づいて認証チケット２６の存在を検出してもよい。図２で示したように、認証チケット２６は、署名データ２７とチケットデータ２８を含む。チケットデータ２８は、サーバ２０による認証の成功によりヘッドユニット１４が実行可能なデータ処理の内容を示すデータを含む。

また、チケット読込部５４は、ＵＳＢメモリ１８固有の識別情報であり、ＵＳＢメモリ１８を他の装置と区別して一意に識別可能な識別情報（以下「ＵＳＢ−ＩＤ」とも呼ぶ。）を、認証チケット２６とは別にＵＳＢメモリ１８から読み込む。図３で示したように、ＵＳＢ−ＩＤは、ベンダＩＤ、プロダクトＩＤ、シリアルＩＤを含む。

チケット検証部５６は、チケット読込部５４により読み込まれた認証チケット２６が正規のものか否かを確認するための検証処理を実行する。言い換えれば、チケット検証部５６は、認証チケット２６により規定されたデータ処理を実行すべきか否かを確認するための検証処理を実行する。

具体的には、チケット検証部５６は、証明書保持部４０に格納されたサーバ２０の公開鍵（サーバ証明書）を使用して、署名データ２７からチケットデータ２８のハッシュ値を復号する。またチケット検証部５６は、所定のハッシュ関数（ＳＨＡ−２５６等）を使用してチケットデータ２８のハッシュ値を生成する。両者のハッシュ値が一致する場合に、チケット検証部５６は、認証チケット２６が正規のものと判定し、認証チケット２６により規定されたデータ処理を実行すべきと判定する。

さらに、チケット検証部５６は、チケットデータ２８に設定されたＨＵ−ＩＤ（ＨＵタグのＩＤ属性値）が、ヘッドユニット１４において予め定められたＨＵ−ＩＤと一致するか否かを判定する。両者のＨＵ−ＩＤが一致する場合に、チケット検証部５６は、認証チケット２６が自機に対して発行された正規のものと判定し、認証チケット２６により規定されたデータ処理を実行すべきと判定する。

さらにまた、チケット検証部５６は、チケットデータ２８に設定されたＵＳＢ−ＩＤ（ＵＳＢタグのＶｅｎｄｏｒＩＤ属性値、ＰｒｏｄｕｃｔＩＤ属性値、およびＳｅｒｉａｌＩＤ属性値）が、チケット読込部５４がＵＳＢメモリ１８から取得したＵＳＢ−ＩＤと一致するか否かを判定する。両者のＵＳＢ−ＩＤが一致する場合に、チケット検証部５６は、認証チケット２６が自機に接続されたＵＳＢメモリ１８に対して発行された正規のものと判定し、認証チケット２６により規定されたデータ処理を実行すべきと判定する。

保守処理部５８は、チケット検証部５６による認証チケット２６の検証が成功し、すなわち、認証チケット２６が正規のものと判定された場合に、認証チケット２６が示すデータ処理（本実施例では保守処理）を実行する。具体的には、保守処理部５８は、チケット読込部５４により読み込まれたチケットデータ２８におけるＴａｒｇｅｔタグのｋｉｎｄ属性値で示される保守処理を実行する。保守処理部５８は、外部装置による制御に依存せずに、言い換えれば、外部装置による制御を契機とすることなく、チケットデータ２８により規定されたデータ処理を能動的に、言い換えれば、自律的に実行する。なお、保守処理部５８は、チケット検証部５６による認証チケット２６の検証が成功した場合に、サーバ２０による認証が成功したと判定して、認証チケット２６が示すデータ処理を実行可能にしてもよい。その一方、チケット検証部５６による認証チケット２６の検証が失敗した場合、保守処理部５８は、サーバ２０による認証が失敗したと判定して、認証チケット２６が示すデータ処理の実行を禁止（抑制）してもよい。

保守処理部５８は、チケットデータ２８におけるＴａｒｇｅｔタグのｋｉｎｄ属性に設定されうる複数種類の属性値と、各属性値により指定されるデータ処理の内容との対応関係を保持してもよい。例えば、属性値とデータ処理の内容との組み合わせを定めたテーブルを保持してもよい。保守処理部５８は、予め定められた対応関係にしたがって、読み込まれたチケットデータ２８におけるＴａｒｇｅｔタグのｋｉｎｄ属性値に対応するデータ処理を識別し、識別したデータ処理を実行してもよい。

例として、チケットデータ２８におけるＴａｒｇｅｔタグのｋｉｎｄ属性値が「０ｘ０８」（セキュリティモジュール領域のリプログラミング）に設定されたとする。この場合、保守処理部５８は、セキュリティモジュール領域用の更新プログラムとして予め定められた名称のファイルをＵＳＢメモリ１８から読み込み、読み込んだ更新プログラムにより、プログラム保持部３６におけるセキュリティモジュール領域の既存プログラムを更新してもよい。すなわち、セキュリティモジュール領域の既存プログラムを、ＵＳＢメモリ１８から読み込んだあらたなプログラムへ置換してもよい。なお、チケットデータ２８では、リプログラミング用のプログラムファイルを指定するデータ（例えば既存プログラムと更新プログラムの名称またはパス名）がさらに指定されてもよい。

別の例として、チケットデータ２８におけるＴａｒｇｅｔタグのｋｉｎｄ属性値が「０ｘＣ２」（ログ出力、重要ログの出力なし）に設定されたとする。この場合、保守処理部５８は、ログ保持部３８に格納されたログのデータのうち、重要度が高いログ（例えば重要フラグが設定されたログ、または重要度のスコアが所定値以上のログ）を除外した残りのログのデータをＵＳＢメモリ１８へ格納する。なお、チケットデータ２８では、ログの出力位置を規定する情報（例えばＵＳＢメモリ１８におけるパス名等）がさらに指定されてもよい。また、ログが出力日時または事象発生日時を含む場合、チケットデータ２８では、出力対象とするログの日時の制限がさらに指定されてもよい。なお、ログ保持部３８に記憶されたログのうち、所定タイトルのログ、所定内容を示すログ、または所定領域に出力されるログ等の特定のログが、重要度が高いログとして予め定められてもよい。保守処理部５８は、重要ログの出力が指定された場合、予め重要ログとして定められた特定のログを抽出してもよい。

また、保守処理部５８は、チケット検証部５６による検証が成功した認証チケット２６が、保守処理の上限回数を規定する場合に、その上限回数の範囲内で、認証チケット２６が示す保守処理を実行する。

具体的には、チケットデータ２８がチケット利用の上限回数（Ａｖａｉｌａｂｉｌｉｔｙタグのｔｉｍｅｓ属性）を規定する場合、保守処理部５８は、保守処理の実行回数を示す情報を実行情報保持部４２へ格納し、保守処理を実行する都度、その実行回数をインクリメントする。保守処理部５８は、チケット検証部５６による認証チケット２６の検証が成功した場合に、実行情報保持部４２に格納された実行回数が、チケットデータ２８が定める上限回数未満であれば、チケットデータ２８が定める保守処理を実行する。その一方、実行情報保持部４２に格納された実行回数が、チケットデータ２８が定める上限回数に達していれば、チケットデータ２８が定める保守処理の実行を抑制する。

変形例として、チケットＩＤを、チケットデータ２８のＸＭＬの要素として含めない構成としてもよい。この場合、ヘッドユニット１４（ＩＤ出力部５２）は、ＵＳＢメモリ１８への出力の都度、ＨＵ−ＩＤを固定値ではなくランダムな値、言い換えれば、タイミングにより値が異なるデータとして発行（ＵＳＢメモリ１８へ記録）してもよい。それとともに、ヘッドユニット１４（ＩＤ出力部５２）は、ヘッドユニット１４の記憶部３２に、発行したＨＵ−ＩＤ（ランダム値）を保存してもよい。ヘッドユニット１４のチケット検証部５６または保守処理部５８は、チケットデータ２８が示すＨＵ−ＩＤ（ランダム値）を、予め記憶部３２に保存されたＨＵ−ＩＤ（ランダム値）と比較することで、そのチケットデータ２８が自機に対して発行されたものか否かを判定できる。

また、チケットデータ２８がデータ処理の上限回数を定める場合、保守処理部５８は、ＨＵ−ＩＤ（ランダム値）と保守処理の実行回数とを対応付けて実行情報保持部４２に保存してもよい。例えば、第１のチケットデータ２８に基づくデータ処理を実行した場合に、保守処理部５８は、そのデータ処理の回数（実行済回数Ａ）を示す情報を第１のチケットデータ２８が示すＨＵ−ＩＤに対応付けて記録してもよい。その一方、第１のチケットデータ２８とは異なる第２のチケットデータ２８に基づくデータ処理を実行した場合に、保守処理部５８は、そのデータ処理の回数（実行済回数Ｂ）を示す情報を第１のチケットデータ２８が示すＨＵ−ＩＤとは異なる第２のチケットデータ２８が示すＨＵ−ＩＤに対応付けて記録してもよい。この態様では、１つのヘッドユニット１４が、異なる複数種類のＨＵ−ＩＤを発行するため、ＨＵ−ＩＤ毎（すなわちチケット毎）に実行回数を管理できる。例えば、第１のチケットデータ２８に基づくデータ処理の回数を実行済回数Ａとして管理でき、第２のチケットデータ２８に基づくデータ処理の回数を実行済回数Ｂとして管理できる。また、複数のチケットデータ２８それぞれの利用回数制限をＨＵ−ＩＤだけで実現できる。

また、あるタイミングでのＨＵ−ＩＤ発行後に、別のタイミングで新たなＨＵ−ＩＤを発行した場合、発行タイミングが古いＨＵ−ＩＤに対応付けられた実行回数がチケットデータ２８の上限回数未満であっても（すなわち残り１回以上のデータ処理が許可される場合でも）、古いＨＵ−ＩＤに対応付けられた実行回数を無効化してもよい。そして、新たなＨＵ−ＩＤによりチケットデータ２８の実行回数を管理するように切り替えてもよい。これにより、有効回数が残った古いチケットデータ２８（認証チケット２６）を無効化することができる。

また、保守処理部５８は、認証チケット２６が不正チケット情報を含む場合、その不正チケット情報が示すチケットＩＤを不正チケット情報保持部４４へ格納する。保守処理部５８は、チケット検証部５６による検証が成功したチケットデータ２８が示すチケットＩＤが、不正チケット情報保持部４４に格納されたチケットＩＤと一致する場合、当該チケットデータ２８を不正と判定し、当該チケットデータ２８が示す保守処理の実行を抑制する。

ログ記録部４８は、ヘッドユニット１４の状態を示すログのデータをログ保持部３８へ格納する。例えば、ログ記録部４８は、音声映像処理部４６と保守部５０がデータ処理を実行する都度、データ処理の結果または異常の有無を示すログのデータをログ保持部３８へ格納してもよい。また、ログ記録部４８は、予め定められた基準にしたがって、各ログデータに当該ログの重要度を示すデータを付加する。例えば、正常を示すログには相対的に低い重要度を設定し、異常を示すログには相対的に高い重要度を設定してもよい。

図６は、図１のＰＣ１６の機能構成を示すブロック図である。ＰＣ１６は、制御部６０、記憶部６２、ＵＳＢ−ＩＦ６４、通信部６６を備える。制御部６０は、ＰＣ１６における各種データ処理を実行する。記憶部６２は、制御部６０により参照または更新される各種データを記憶する。ＵＳＢ−ＩＦ６４は、ＵＳＢとのインタフェース機能を提供する。制御部６０は、ＵＳＢ−ＩＦ６４を介して、ＵＳＢメモリ１８に格納されたデータを読み出し、または、ＵＳＢメモリ１８に対してデータを格納する。通信部６６は、各種通信プロトコルにしたがって外部装置と通信する。制御部６０は、通信部６６を介して、サーバ２０とデータを送受する。

記憶部６２は、証明書保持部６７を含む。証明書保持部６７は、サーバ２０におけるクライアント認証のためにＰＣ１６に対して予め発行されたクライアント証明書を保持する。

制御部６０は、ログイン試行部７０、ＩＤ取得部７２、設定情報取得部７４、チケット要求部７６、チケット保存部７８を含む。これらのブロックが示す機能は、ＰＣ１６の記憶部６２に予めインストールされたチケット発行アプリ６８をＰＣ１６のＣＰＵが実行することにより実現されてもよい。

ログイン試行部７０は、サーバ２０へのログイン処理を実行する。具体的には、ログイン試行部７０は、サーバ２０に対して接続要求電文を送信し、サーバ２０と連携して公知の認証シーケンスを実行する。

例えば、ログイン試行部７０は、証明書保持部６７に記憶されたクライアント証明書をサーバ２０へ送信することにより、サーバ２０によるクライアント認証を要求してもよい。また、ログイン試行部７０は、ユーザにより入力された、または、予め記憶部６２に記憶されたユーザのＩＤとパスワードをサーバ２０へ送信することにより、サーバ２０によるパスワード認証を要求してもよい。また、ログイン試行部７０は、認証シーケンスの中でサーバ２０からチャレンジ（例えばランダムな数値列）を受け付けた場合に、ユーザのパスワードとチャレンジを合成してレスポンスを生成し、生成したレスポンスをサーバ２０へ送信することにより、サーバ２０による認証を要求してもよい。

ＩＤ取得部７２は、ログイン試行部７０によるサーバ２０へのログイン処理が成功した場合、言い換えれば、サーバ２０によるユーザおよび／またはＰＣ１６の認証が成功した場合に、ＵＳＢメモリ１８のＩＤファイル２４からＨＵ−ＩＤを読み込む。さらにＩＤ取得部７２は、ＵＳＢメモリ１８からＵＳＢ−ＩＤを読み込む。

設定情報取得部７４は、ユーザにより入力された、認証チケット２６に対して設定すべき各種パラメータを示すチケット設定情報を読み込む。チケット設定情報は、ヘッドユニット１４に実行させるべき（実行を許可する）データ処理の内容を示すデータを含み、すなわちチケットデータ２８のＴａｒｇｅｔタグのｋｉｎｄ属性に設定されるべきデータを含む。また、チケット設定情報は、認証チケット２６の利用の上限回数を規定するデータを含み、すなわちチケットデータ２８のＡｖａｉｌａｂｉｌｉｔｙタグのｔｉｍｅｓ属性に設定されるべきデータを含む。設定情報取得部７４は、ユーザにチケット設定情報を入力させるための画面をＰＣ１６のディスプレイ（不図示）に表示させ、その画面に入力されたパラメータ値をチケット設定情報として取得してもよい。

チケット要求部７６は、ＩＤ取得部７２により取得されたＨＵ−ＩＤとＵＳＢ−ＩＤ、および、設定情報取得部７４により取得されたチケット設定情報を含むチケット要求電文をサーバ２０へ送信する。チケット保存部７８は、チケット要求電文への応答としてサーバ２０から提供された認証チケット２６のデータ（署名データ２７およびチケットデータ２８）を受信すると、その認証チケット２６のデータをＵＳＢメモリ１８へ格納する。

図７は、図１のサーバ２０の機能構成を示すブロック図である。サーバ２０は、制御部８０、記憶部８２、通信部８４を備える。制御部８０は、サーバ２０における各種データ処理を実行する。記憶部８２は、制御部８０に参照または更新される各種データを記憶する。通信部８４は、各種通信プロトコルにしたがって外部装置と通信する。制御部８０は、通信部８４を介して、ＰＣ１６とデータを送受する。

記憶部８２は、不正チケット情報保持部８６を含む。不正チケット情報保持部８６は、不正と認定された１つ以上の認証チケットのチケットＩＤを保持し、言わば、不正な認証チケットを示すブラックリストを保持する。記憶部８２は、ユーザを認証するための情報（例えばユーザのＩＤとパスワード）をさらに保持してもよい。

制御部８０は、認証部８８、要求受付部９０、チケット生成部９２、チケット出力部９４を含む。認証部８８は、ＰＣ１６から接続要求電文を受信すると、ＰＣ１６と連携して予め定められた公知の認証シーケンスを実行することにより、ユーザおよび／またはＰＣ１６を認証する。言い換えれば、認証部８８は、ユーザおよび／またはＰＣ１６の正当性を確認する（以下、単に「ユーザを認証する」と示す）。認証部８８は、ユーザの認証に成功し、言い換えれば、ユーザの正当性が確認されると、認証の成功を示す接続応答をＰＣ１６へ送信する。

例えば、認証部８８は、ＰＣ１６から送信されたクライアント証明書に基づいてユーザを認証してもよい（クライアント認証）。また、認証部８８は、ＰＣ１６からユーザのＩＤとパスワードを受信し、受信したＩＤとパスワードを、記憶部８２に予め保持されたＩＤとパスワードと照合することによりユーザを認証してもよい（パスワード認証）。また、認証部８８は、ＰＣ１６へチャレンジを送信し、ＰＣ１６から送信されたレスポンスに基づいてユーザを認証してもよい（チャレンジ・レスポンス認証）。

要求受付部９０は、ＰＣ１６から送信されたチケット要求電文を受信する。チケット生成部９２は、ユニークなチケットＩＤを採番する。チケット生成部９２は、要求受付部９０により受信されたチケット要求電文に含まれるＨＵ−ＩＤ、ＵＳＢ−ＩＤ、チケット設定情報と、ユニークなチケットＩＤとを設定したＸＭＬ文書であるチケットデータ２８を生成する。また、チケット生成部９２は、所定のハッシュ関数（ＳＨＡ−２５６等）に基づいてチケットデータ２８のハッシュ値を取得し、そのハッシュ値をサーバ２０の秘密鍵で暗号化することにより署名データ２７を生成する。

また、チケット生成部９２は、不正チケット情報保持部８６に保持された不正チケット情報（不正チケットのチケットＩＤ）を、チケットデータ２８に設定する。既述したように、不正チケットの個数分の「ｕｎａｕｔｈｏｒｉｚｅｄ＿ｔｉｃｋｅｔ」タグを設定し、各タグのＩＤ属性値としてチケットＩＤを設定してもよい。

チケット出力部９４は、チケット要求電文への応答として、チケット生成部９２により生成された署名データ２７とチケットデータ２８を含む認証チケット２６をＰＣ１６へ送信する。既述したように、この認証チケット２６は、ＰＣ１６を介してＵＳＢメモリ１８に格納される。

以上の構成による情報処理システム１０の動作を説明する。
図８は、情報処理システム１０における各装置の相互作用を示すシーケンス図である。ヘッドユニット１４の保守作業を行うべきユーザはまず、ヘッドユニット１４のＵＳＢ−ＩＦ３４にＵＳＢメモリ１８を接続する。ヘッドユニット１４のＩＤ出力部５２は、ＨＵ−ＩＤをＵＳＢメモリ１８へ格納する（Ｓ１０）。続いてユーザは、ＰＣ１６のＵＳＢ−ＩＦ６４にＵＳＢメモリ１８を接続し、ＰＣ１６でチケット発行アプリ６８を起動する。ＰＣ１６のログイン試行部７０は、接続要求電文をサーバ２０へ送信する（Ｓ１２）。ＰＣ１６のログイン試行部７０と、サーバ２０の認証部８８は、互いに連携して所定の認証シーケンスを実行する（Ｓ１４）。

ここでは認証に成功したこととし、サーバ２０の認証部８８は、認証成功を示す接続応答をＰＣ１６へ送信する（Ｓ１６）。認証に失敗した場合、サーバ２０は、認証の失敗を示す接続応答をＰＣ１６へ送信し、再度のログインの試行をＰＣ１６へ要求してもよく、認証に成功していないＰＣ１６からの以降の要求を拒否してもよい。認証成功を示す接続応答が受信されると、ＰＣ１６のＩＤ取得部７２は、ＨＵ−ＩＤおよびＵＳＢ−ＩＤをＵＳＢメモリ１８から取得する（Ｓ１８）。ＰＣ１６の設定情報取得部７４は、所定の画面を介してユーザが入力したチケット設定情報を取得する（Ｓ２０）。

ＰＣ１６のチケット要求部７６は、ＨＵ−ＩＤ、ＵＳＢ−ＩＤ、およびチケット設定情報をサーバ２０へ送信し、認証チケット２６の発行を要求する（Ｓ２２）。認証に成功したＰＣ１６から認証チケット２６の発行が要求されると、サーバ２０のチケット生成部９２は、ＰＣ１６から受け付けたＨＵ−ＩＤ、ＵＳＢ−ＩＤ、およびチケット設定情報を含む認証チケット２６を生成する（Ｓ２４）。サーバ２０のチケット出力部９４は、認証チケット２６をＰＣ１６へ送信し（Ｓ２６）、ＰＣ１６のチケット保存部７８は、サーバ２０から送信された認証チケット２６をＵＳＢメモリ１８へ格納する（Ｓ２８）。

ユーザは、ヘッドユニット１４のＵＳＢ−ＩＦ３４にＵＳＢメモリ１８を接続する。ヘッドユニット１４のチケット読込部５４は、ＵＳＢメモリ１８から認証チケット２６を読み込み（Ｓ３０）、チケット検証部５６は、認証チケット２６の正当性を検証する（Ｓ３２）。認証チケット２６で規定される処理内容がリプログラミングの場合、ヘッドユニット１４の保守処理部５８は、更新用プログラムをＵＳＢメモリ１８から読み込み（Ｓ３４）、認証チケット２６で指定された領域の既存プログラムをその更新用プログラムにより更新する（Ｓ３６）。また、認証チケット２６で規定される処理内容がログ出力の場合、保守処理部５８は、ログ保持部３８に格納されたログの少なくとも一部をＵＳＢメモリ１８へ格納する（Ｓ３８）。

図９は、ヘッドユニット１４の動作を示すフローチャートであり、認証チケット２６に関連する処理を示している。図９には不図示であるが、ヘッドユニット１４の音声映像処理部４６は、ユーザの操作に応じて、音声と映像の再生処理・出力処理を実行する。また、ヘッドユニット１４のログ記録部４８は、音声映像処理部４６および保守部５０のデータ処理の状態および異常の有無等を示すログをログ保持部３８へ逐次格納する。

ＵＳＢ−ＩＦ３４にＵＳＢメモリ１８が接続されて所定の条件が満たされると（Ｓ４０のＹ）、ＩＤ出力部５２は、ＨＵ−ＩＤをＵＳＢメモリ１８へ格納する（Ｓ４２）。所定条件が満たされていなければ（Ｓ４０のＮ）、Ｓ４２をスキップする。チケット読込部５４は、ＵＳＢ−ＩＦ３４にＵＳＢメモリ１８が接続され、ＵＳＢメモリ１８に認証チケット２６が存在することを検出すると（Ｓ４４のＹ）、ＵＳＢメモリ１８から認証チケット２６を読み込む（Ｓ４６）。チケット検証部５６は、読み込まれた認証チケット２６に対する検証処理を実行する（Ｓ４８）。

認証チケット２６に対する検証処理が成功し、すなわち正当な認証チケット２６と確認された場合（Ｓ５０のＹ）、保守処理部５８は、認証チケット２６に不正チケット情報が含まれていればそのことを検出し（Ｓ５２のＹ）、不正チケット情報を不正チケット情報保持部４４へ格納する（Ｓ５４）。認証チケット２６に不正チケット情報が含まれていなければ（Ｓ５２のＮ）、Ｓ５４をスキップする。認証チケット２６のチケットＩＤが、不正チケット情報保持部４４に保持されたチケットＩＤと不一致であり（Ｓ５６のＮ）、かつ、認証チケット２６に利用回数の制限が規定されていなければ（Ｓ５８のＮ）、保守処理部５８は、認証チケット２６に規定された保守処理を実行して本図のフローを終了する（Ｓ６０）。

認証チケット２６に利用回数の制限が規定されている場合（Ｓ５８のＹ）、保守処理部５８は、実行情報保持部４２に保持された認証チケット２６の実行済回数を取得する。認証チケット２６の実行済回数が利用回数の制限値未満であれば（Ｓ６２のＮ）、保守処理部５８は、認証チケット２６に規定された保守処理を実行する（Ｓ６４）。さらに保守処理部５８は、実行情報保持部４２に保持された認証チケット２６の実行済回数をインクリメントして本図のフローを終了する（Ｓ６６）。なお、実行済回数が未保持であれば実行済回数「１」を新規に格納する。認証チケット２６の実行済回数が利用回数の制限値に達していれば、言い換えれば、認証チケット２６これ以上実行すると利用回数の制限値を超過する場合は（Ｓ６２のＹ）、Ｓ６４およびＳ６５をスキップする。

ＵＳＢメモリ１８に認証チケット２６が格納されていなければ（Ｓ４４のＮ）、以降の処理をスキップして本図のフローを終了する。認証チケット２６に対する検証処理が失敗し、すなわち、少なくとも自機に対する不正な認証チケット２６と判定された場合（Ｓ５０のＮ）、当該認証チケット２６に対する処理を終了する。すなわち、Ｓ４６以降の処理をスキップして本図のフローを終了する。認証チケット２６のチケットＩＤが、不正チケット情報保持部４４に保持されたチケットＩＤと一致する場合（Ｓ５６のＹ）、保守処理部５８は、当該認証チケット２６で規定された保守処理を実行することなく本図のフローを終了する。

図１０は、図９のＳ４８のチケット検証処理を詳細に示すフローチャートである。チケット検証部５６は、認証チケット２６の署名データ２７に基づいてチケットデータ２８の改ざん有無を検証する。また、チケット検証部５６は、認証チケット２６（チケットデータ２８）が示すＨＵ−ＩＤが自機のＩＤと一致するか否かを判定する。また、チケット検証部５６は、認証チケット２６（チケットデータ２８）が示すＵＳＢ−ＩＤが、自機に接続されたＵＳＢメモリ１８のＩＤと一致するか否かを判定する。

署名データ２７に基づく検証に成功し（Ｓ７０のＹ）、かつ、認証チケット２６が示すＨＵ−ＩＤが自機のＩＤと一致し（Ｓ７２のＹ）、かつ、認証チケット２６が示すＵＳＢ−ＩＤがＵＳＢメモリ１８のＩＤと一致する場合（Ｓ７４のＹ）、チケット検証部５６は、認証チケット２６の検証に成功したと判定する（Ｓ７６）。すなわち、ＵＳＢメモリ１８から読み込まれた認証チケット２６を、自機で実行すべきデータ処理を定めた正当な認証チケットと判定する。その一方、署名データ２７の検証に失敗し（Ｓ７０のＮ）、または、認証チケット２６が示すＨＵ−ＩＤが自機のＩＤと不一致であり（Ｓ７２のＮ）、または、認証チケット２６が示すＵＳＢ−ＩＤがＵＳＢメモリ１８のＩＤと不一致であれば（Ｓ７４のＮ）、チケット検証部５６は、認証チケット２６の検証に失敗したと判定する（Ｓ７８）。すなわち、ＵＳＢメモリ１８から読み込まれた認証チケット２６を不正な認証チケットと判定する。

第１実施例の情報処理システム１０によると、サーバ２０は、認証済みのユーザにより指定されたデータ処理を定める認証チケット２６を発行し、ヘッドユニット１４は、認証チケット２６で規定されたデータ処理を実行する。これにより、ヘッドユニット１４に実行させるデータ処理を、正当な権限を有するユーザにより指定されたデータ処理に制限して、ヘッドユニット１４のセキュリティを高めることができる。また万が一、認証チケット２６が漏洩してもヘッドユニット１４が実行可能な処理は、正当な権限を有するユーザにより指定されたデータ処理に留まる。これにより、認証チケット２６漏洩のリスクを低減することができる。

また、認証チケット２６にてデータ処理を許可する上限回数を定めることにより、認証チケット２６を利用したヘッドユニット１４のデータ処理回数をその上限回数の範囲内に制限できる。これにより、認証チケット２６漏洩のリスクを一層低減することができる。

また、ヘッドユニット１４は、認証チケット２６が改ざんされておらず、かつ、認証チケット２６が自機に対して発行されたものであり、かつ、認証チケット２６が自機に接続されたＵＳＢメモリ１８に対して発行されたものである場合に、認証チケット２６が定めるデータ処理を実行する。これにより、正当なユーザが指定したデータ処理とは異なる不正なデータ処理をヘッドユニット１４が実行することを防止できる。また、ヘッドユニット１４とは異なる装置、または、ヘッドユニット１４に接続されたＵＳＢメモリ１８とは異なる装置に対して発行された認証チケット２６によって、ヘッドユニット１４が不正なデータ処理を実行することを防止できる。

（第２実施例）
第２実施例では、同一のヘッドユニット１４が、複数の認証チケット２６のそれぞれに基づくデータ処理の実行済回数を個別に管理する技術を提案する。以下、第１実施例と異なる点を説明する。

ヘッドユニット１４のＩＤ出力部５２は、自機の固有ＩＤであるＨＵ−ＩＤに加えて、タイミングに応じて値が異なる付加データをＵＳＢメモリ１８へ格納する。付加データは、例えば所定の乱数発生器により生成された乱数値であってもよく、すなわち生成タイミングに応じて値が異なるデータ（ランダム値）であってもよい。サーバ２０のチケット生成部９２は、ＨＵ−ＩＤと付加データとの組み合わせをヘッドユニット１４の識別情報として認証チケット２６（チケットデータ２８のＴｉｃｋｅｔタグのＩＤ属性）に設定する。

したがって、第１のタイミングで生成される第１の認証チケット２６と、第１のタイミングとは異なるタイミングで生成される第２の認証チケット２６では、付加データが異なり、双方のチケット間ではヘッドユニット１４の識別情報が異なるものになる。典型的には、第１の認証チケット２６と第２の認証チケット２６は、それぞれが定めるデータ処理の内容も異なる。なお、第１の認証チケット２６と第２の認証チケット２６のいずれにも、チケットの利用の上限回数が定められていることとする。

ヘッドユニット１４のチケット検証部５６は、認証チケット２６が示すヘッドユニット１４の識別情報からＨＵ−ＩＤを抽出し、抽出したＨＵ−ＩＤと自機の固有ＩＤとが一致する場合に認証チケット２６の検証に成功したと判定する。ヘッドユニット１４は、ＩＤ出力時に付加した付加データを記憶しておき、チケット検証部５６は、認証チケット２６が示すヘッドユニット１４の識別情報が、自機の固有ＩＤ＋付加データに整合する場合に認証チケット２６の検証に成功したと判定してもよい。

ヘッドユニット１４の保守処理部５８は、第１の認証チケット２６の検証が成功した場合、実行情報保持部４２において、第１の認証チケット２６が示すヘッドユニット１４の識別情報（ＨＵ−ＩＤ＋付加データ）に対応付けて記憶された実行済回数を取得する。保守処理部５８は、取得した実行済回数が、第１の認証チケット２６が示す上限回数未満であれば、第１の認証チケット２６が規定するデータ処理を実行する。保守処理部５８は、第１の認証チケット２６に基づくデータ処理を実行した場合に、第１の認証チケット２６に基づくデータ処理の実行済回数を、第１の認証チケット２６が示すヘッドユニット１４の識別情報（ＨＵ−ＩＤ＋付加データ）に対応付けて実行情報保持部４２に記録する。

また、保守処理部５８は、第２の認証チケット２６の検証が成功した場合、実行情報保持部４２において、第２の認証チケット２６が示すヘッドユニット１４の識別情報（ＨＵ−ＩＤ＋付加データ）に対応付けて記憶された実行済回数を取得する。保守処理部５８は、取得した実行済回数が、第２の認証チケット２６が示す上限回数未満であれば、第２の認証チケット２６が規定するデータ処理を実行する。保守処理部５８は、第２の認証チケット２６に基づくデータ処理を実行した場合に、第２の認証チケット２６に基づくデータ処理の実行済回数を、第２の認証チケット２６が示すヘッドユニット１４の識別情報（ＨＵ−ＩＤ＋付加データ）に対応付けて実行情報保持部４２に記録する。なお、実行済回数は、各認証チケット２６が示す付加データのみと対応付けて記録されてもよい。

第２実施例によると、１つのヘッドユニット１４において、複数の認証チケット２６のそれぞれに基づくデータ処理の回数を、認証チケット２６ごとに区別して管理することができる。これにより、同一のヘッドユニット１４による複数の認証チケット２６のそれぞれに基づくデータ処理を、各認証チケット２６が定める上限回数の範囲内に制限することができる。

第２実施例の構成は、認証チケット２６がチケットＩＤを含まない場合に特に有用である。認証チケット２６がチケットＩＤを含む場合、付加データではなくチケットＩＤを使用して、認証チケット２６ごとにデータ処理の上限回数を管理してもよい。この場合、ヘッドユニット１４のＩＤ出力部５２の構成、および、認証チケット２６の構成は第１実施例と同様でよい。ヘッドユニット１４の保守処理部５８は、第１の認証チケット２６に基づくデータ処理を実行した場合に、第１の認証チケット２６に基づくデータ処理の実行済回数を、第１の認証チケット２６が示すチケットＩＤに対応付けて記録してもよい。また、保守処理部５８は、第２の認証チケット２６に基づくデータ処理を実行した場合に、第２の認証チケット２６に基づくデータ処理の実行済回数を、第２の認証チケット２６が示すチケットＩＤに対応付けて記録してもよい。

（第３実施例）
ヘッドユニット１４の記憶部３２には、ヘッドユニット１４の使用が想定されるエリア、または許可されるエリア（以下「使用可能エリア」と呼ぶ。）を示す情報が、出荷時等に予め格納されてもよい。また、ヘッドユニット１４の記憶部３２には、ヘッドユニット１４が出荷されたエリア（以下「出荷エリア」と呼ぶ。）を示す情報が、出荷時等に予め格納されてもよい。また、ヘッドユニット１４は、ＧＰＳ（Global Positioning System）によりヘッドユニット１４の現在位置を検出する位置検出部をさらに備えてもよい。エリアは様々な粒度が想定され、例えば国レベル、州・地域レベル、または県レベルで設定されてもよい。

サーバ２０のチケット生成部９２は、データ処理を実行すべきエリアを示す情報（以下「エリア制限情報」と呼ぶ。）を認証チケット２６にさらに設定してもよい。例えば、データ処理を実行すべきエリアを日本に制限する場合、チケット生成部９２は、チケットデータ２８のＡｖａｉｌａｂｉｌｉｔｙタグのａｒｅａ属性にエリア制限情報「日本」を設定してもよい。ＰＣ１６のユーザがエリア制限情報を入力し、エリア制限情報を含むチケット発行要求をＰＣ１６からサーバ２０へ送信してもよい。また、サーバ２０は、ユーザのＩＤ（またはＨＵ−ＩＤ）とエリアとの対応関係を予め保持し、チケット生成部９２は、認証に成功したユーザのＩＤまたはそのユーザから通知されたＨＵ−ＩＤに対応付けられたエリアを示すエリア制限情報を認証チケット２６に設定してもよい。

ヘッドユニット１４の保守処理部５８は、認証チケット２６のエリア制限情報が示すエリアが使用可能エリアに整合する場合に、認証チケット２６が規定するデータ処理を実行してもよい。また、保守処理部５８は、認証チケット２６のエリア制限情報が示すエリアが出荷エリアに整合する場合に、認証チケット２６が規定するデータ処理を実行してもよい。さらにまた、保守処理部５８は、認証チケット２６のエリア制限情報が示すエリアがヘッドユニット１４の現在位置に整合する場合、言い換えれば、認証チケット２６のエリア制限情報が示すエリア内にヘッドユニット１４が存在する場合に、認証チケット２６が規定するデータ処理を実行してもよい。保守処理部５８は、認証チケット２６のエリア制限情報が示すエリアが、使用可能エリア・出荷エリア・現在位置のうち少なくとも１つと不整合の場合に、認証チケット２６が規定するデータ処理の実行を抑制してもよい。

第３実施例によると、ヘッドユニット１４の属性としてのエリアに基づいて、ヘッドユニット１４によるデータ処理を制限することができる。また、認証チケット２６にエリア制限情報を設定することにより、その認証チケット２６に基づいてデータ処理を実行可能なヘッドユニット１４を制限することができる。

以上、本発明を第１〜第３実施例をもとに説明した。これらの実施例は例示であり、それらの各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

変形例を説明する。第１実施例の認証チケット２６では、ヘッドユニット１４によるデータ処理の上限回数を規定した。変形例として、認証チケット２６では、ヘッドユニット１４によるデータ処理の上限回数に代えて、または上限回数とともに、ヘッドユニット１４によるデータ処理を許可する期間を規定してもよい。

例えば、ＰＣ１６のユーザは、認証チケット２６の開始日と有効期間をチケット設定情報として入力し、サーバ２０のチケット生成部９２は、チケットデータ２８のＡｖａｉｌａｂｉｌｉｔｙタグの属性としてその開始日と有効期間を設定してもよい。また、ＰＣ１６のユーザは、認証チケット２６の開始日と終了日をチケット設定情報として入力し、サーバ２０のチケット生成部９２は、チケットデータ２８のＡｖａｉｌａｂｉｌｉｔｙタグの属性としてその開始日と終了日を設定してもよい。

ヘッドユニット１４の保守処理部５８は、当日日付（システム日付）が、認証チケット２６が示す期間内である場合に、認証チケット２６で規定されるデータ処理を実行してもよい。これにより、ヘッドユニット１４によるデータ処理の期間を制限でき、ヘッドユニット１４のセキュリティを一層高めることができる。なお、保守処理部５８は、認証チケット２６が示す上限回数と期間の両方の条件が満たされる場合に、認証チケット２６で規定されるデータ処理を実行してもよい。

なお、サーバ２０のチケット生成部９２は、ヘッドユニット１４によるデータ処理の上限回数または期間を自動的に設定してもよい。例えば、チケット生成部９２は、予め定められた上限回数または期間の値を認証チケット２６へ自動的に設定してもよい。また、チケット生成部９２は、ユーザのＩＤまたはＨＵ−ＩＤに基づいて、特定のユーザまたは特定のヘッドユニット１４に対して予め対応付けられた上限回数または期間の値を認証チケット２６へ自動的に設定してもよい。

別の変形例を説明する。上記実施例では言及していないが、サーバ２０は、複数の情報機器に対して有効な認証チケット２６を発行してもよい。複数の情報機器は、複数の車両１２に搭載された複数のヘッドユニット１４であってもよく、または、１つの車両１２に搭載された複数のヘッドユニット１４であってもよい。なお、複数のヘッドユニット１４はいずれも、リムーバブルメディアとのインタフェース（ここではＵＳＢインタフェース）を備えることを前提とする。

複数のヘッドユニット１４のそれぞれは、自機のＨＵ−ＩＤをＵＳＢメモリ１８のＩＤファイル２４に格納する。複数のヘッドユニット１４それぞれのＨＵ−ＩＤは、ＰＣ１６から送信されたチケット発行要求によりサーバ２０へ通知される。サーバ２０のチケット生成部９２は、例えば図４で示すように、複数のＨＵ−ＩＤを含む認証チケット２６を生成する。複数のＨＵ−ＩＤを含む認証チケット２６は、それら複数のＨＵ−ＩＤに対応する複数のヘッドユニット１４で有効に作用する。すなわち、ユーザは、複数のＨＵ−ＩＤを含む認証チケット２６が格納されたＵＳＢメモリ１８を、複数のヘッドユニット１４に順次接続することで、複数のヘッドユニット１４のそれぞれに、認証チケット２６で規定されるデータ処理を実行させることができる。

この変形例によると、複数のヘッドユニット１４に同じデータ処理を実行させる場合、サーバ２０に発行させる認証チケット２６は１つでよいため、ユーザの作業増加を抑制することができる。

さらに別の変形例を説明する。図１１は、変形例に係る情報処理システム１０の構成を示す。車両１２には複数のヘッドユニット１４（ヘッドユニット１４ａ、ヘッドユニット１４ｂ）が搭載される。ヘッドユニット１４ａはＵＳＢ−ＩＦ３４を備えるが、ヘッドユニット１４ｂはＵＳＢ−ＩＦ３４を備えない。ただし、ヘッドユニット１４ａとヘッドユニット１４ｂは接続（連結）され、ヘッドユニット１４ｂは、ヘッドユニット１４ａのＵＳＢ−ＩＦ３４を介してＵＳＢメモリ１８へアクセス可能に構成される。

ヘッドユニット１４ａのＵＳＢ−ＩＦ３４にＵＳＢメモリ１８を接続し、ヘッドユニット１４ａに所定の操作を入力すると、ヘッドユニット１４ａは自機のＨＵ−ＩＤをＵＳＢメモリ１８のＩＤファイル２４へ出力する。続いてヘッドユニット１４ｂに所定の操作を入力すると、ヘッドユニット１４ｂは自機のＨＵ−ＩＤを、ヘッドユニット１４ａを介してＵＳＢメモリ１８のＩＤファイル２４へ出力する。以降、先の変形例と同様に、サーバ２０のチケット生成部９２は、例えば図４で示すように、複数のＨＵ−ＩＤ（ここではヘッドユニット１４ａのＨＵ−ＩＤとヘッドユニット１４ｂのＨＵ−ＩＤ）を含む認証チケット２６を生成する。

ヘッドユニット１４ａのＵＳＢ−ＩＦ３４にＵＳＢメモリ１８を接続すると、ヘッドユニット１４ａは、ＵＳＢメモリ１８の認証チケット２６を検出する。認証チケット２６にはヘッドユニット１４ａのＨＵ−ＩＤが含まれるため、ヘッドユニット１４ａは、認証チケット２６の検証に成功し、認証チケット２６で規定されたデータ処理を実行する。同様に、ヘッドユニット１４ｂは、ＵＳＢメモリ１８の認証チケット２６を検出する。認証チケット２６にはヘッドユニット１４ｂのＨＵ−ＩＤが含まれるため、ヘッドユニット１４ｂは、認証チケット２６の検証に成功し、認証チケット２６で規定されたデータ処理を実行する。

このように、複数の情報機器の一部のみがリムーバブルメディアとのインタフェースを備える場合、これら複数の情報機器が連結して、いずれの情報機器もリムーバブルメディアにアクセス可能であれば、これら複数の情報機器のデータ処理を認証チケット２６で制御することができる。すなわち、リムーバブルメディアとのインタフェースを備えない情報機器を含む複数の情報機器のセキュリティを認証チケット２６により効率的に高めることができる。

さらに別の変形例を説明する。第１実施例では、不正チケット情報が認証チケット２６に格納され、ヘッドユニット１４は、認証チケット２６から不正チケット情報を抽出することとした。変形例として、ヘッドユニット１４は、通信網を介して外部装置と通信する通信部（不図示）を備え、その通信部を介して、所定の外部装置から不正チケット情報を定期的に取得してもよい。

さらに別の変形例を説明する。第１実施例では、ヘッドユニット１４とサーバ２０とのデータ交換（ＩＤの伝達および認証チケット２６の伝達）を仲介する装置として、ＰＣ１６とＵＳＢメモリ１８を使用した。変形例として、上記仲介する装置は、ヘッドユニット１４に対してリムーバブルメディアとして接続可能であり、サーバ２０に対してクライアント装置として通信可能な単一の装置であってもよい。例えば、仲介する装置は、単一のスマートフォンまたはタブレット端末であってもよい。

上述した実施例および変形例に記載の技術は、車両に搭載されたヘッドユニットに限らず、車両以外に設置されるヘッドユニットにも適用可能であり、さらに、ヘッドユニット以外の様々な情報機器に適用可能であることは当業者には理解されるところである。例えば、実施例および変形例に記載の技術は、リムーバブルメディアと接続可能な機器であればヘッドユニットに限らず、車両に搭載される全ての情報機器（ＥＣＵ）にも適用可能である。これらの情報機器（ＥＣＵ）は、メーター、通信モジュール、セントラルゲートウェイ、エンジンＥＣＵ、ステアリングＥＣＵ、ＡＤＡＳ（Advanced Driver Assistance System） ＥＣＵ等を含む。

また、上述した実施例および変形例の任意の組み合わせもまた本発明の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。

なお、実施例および変形例に記載の技術は、以下の項目によって特定されてもよい。
［項目１］
認証に成功したサーバから提供されてリムーバブルメディアに格納されたチケットデータであって、認証の成功により実行可能なデータ処理の内容を示すチケットデータをリムーバブルメディアから読み込む読込部と、読込部により読み込まれたチケットデータが示すデータ処理を実行するデータ処理部と、を備える情報機器。
これにより、サーバによる認証の成功により実行可能なデータ処理を、サーバから提供されたチケットデータに基づいて実行する情報機器を実現でき、情報機器のセキュリティを高めることができる。リムーバブルメディアからチケットデータを読み込むため、サーバに接続できない場合のある情報機器（車両に搭載されたヘッドユニット等）に好適である。
［項目２］
チケットデータは、データ処理を許可する回数または期間をさらに示し、データ処理部は、チケットデータが示す回数または期間の範囲内で、チケットデータが示すデータ処理を実行してもよい。
これにより、情報機器におけるデータ処理の回数または期間を制限でき、情報機器のセキュリティを一層高めることができる。
［項目３］
本情報機器の識別情報をリムーバブルメディアに格納させる出力部をさらに備えてもよい。サーバは、リムーバブルメディアに格納された識別情報を取得してチケットデータに設定し、データ処理部は、チケットデータが示す識別情報が本情報機器の識別情報と整合する場合に、チケットデータが示すデータ処理を実行してもよい。
これにより、情報機器は自機器に対して発行されたチケットデータであることを条件にデータ処理を実行するため、情報機器のセキュリティを一層高めることができる。
［項目４］
本情報機器の識別情報と、タイミングに応じて値が異なる付加データとをリムーバブルメディアに格納させる出力部をさらに備えてもよい。サーバは、リムーバブルメディアに格納された識別情報と付加データとを取得してチケットデータに設定し、データ処理部は、チケットデータが示す識別情報が本情報機器の識別情報と整合する場合に、チケットデータが示すデータ処理を実行し、データ処理部は、チケットデータとしての第１のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、第１のチケットデータが示す第１の付加データに対応付けて記録し、チケットデータとしての第１のチケットデータとは異なる第２のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、第２のチケットデータが示す付加データであって第１の付加データとは異なる第２の付加データに対応付けて記録してもよい。
これにより、情報機器は自機に対して複数のチケットデータが発行された場合にも、付加データによって各チケットデータを区別でき、各チケットデータが規定するデータ処理の回数をチケット別に管理できる。
［項目５］
本情報機器の識別情報として、ランダムな値に決定された識別情報をリムーバブルメディアに格納させるとともに、所定の記憶部にも格納させる出力部をさらに備えてもよい。サーバは、リムーバブルメディアに格納された識別情報を取得してチケットデータに設定し、データ処理部は、チケットデータが示す識別情報が記憶部に格納された識別情報と整合する場合に、チケットデータが示すデータ処理を実行し、データ処理部は、チケットデータとしての第１のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、第１のチケットデータが示す第１の識別情報に対応付けて記録し、チケットデータとしての第１のチケットデータとは異なる第２のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、第２のチケットデータが示す識別情報であって第１の識別情報とは異なる第２の識別情報に対応付けて記録してもよい。
これにより、情報機器は自機に対して複数のチケットデータが発行された場合にも、ランダム値に設定された自機の識別情報によって各チケットデータを区別でき、各チケットデータが規定するデータ処理の回数をチケット別に管理できる。
［項目６］
記憶部をさらに備えてもよい。チケットデータは、他のチケットデータと識別するための自身の識別情報を含み、かつ、不正なチケットデータの識別情報を示す不正チケット情報を含んでもよい。記憶部は、チケットデータが示す不正チケット情報を記憶し、データ処理部は、読込部により読み込まれたチケットデータ自身の識別情報が、記憶部に記憶された不正チケット情報に該当する場合に、当該チケットデータが示すデータ処理の実行を抑制してもよい。
このように情報機器が不正なチケットに関するいわばブラックリストを保持することで、不正なチケットに基づく不正なデータ処理の実行を抑制することができる。
［項目７］
サーバは、リムーバブルメディアの識別情報を取得してチケットデータに設定し、読込部は、チケットデータとは別にリムーバブルメディアの識別情報をリムーバブルメディアから読み込み、データ処理部は、チケットデータが示す識別情報がリムーバブルメディアの識別情報と整合する場合に、チケットデータが示すデータ処理を実行してもよい。
これにより、情報機器は自機に接続されたリムーバブルメディアに対して発行されたチケットデータであることを条件にデータ処理を実行するため、情報機器のセキュリティを一層高めることができる。
［項目８］
チケットデータは、データ処理を実行すべきエリアを示す情報をさらに含んでもよい。データ処理部は、チケットデータが示すエリアが所定の条件を満たす場合に、チケットデータが定めるデータ処理を実行してもよい。
これにより、データ処理の実行条件としてエリアの条件が付加されるため、情報機器のセキュリティを一層高めることができる。例えば、想定エリア外でのデータ処理の実行を抑制できる。
［項目９］
リムーバブルメディアからデータを読み込み可能な情報機器と、サーバと、を備える情報処理システム。サーバは、ユーザを認証する認証部と、認証部がユーザの認証に成功した場合に、当該ユーザにより指定されたデータ処理の内容を示すチケットデータをリムーバブルメディアに格納させる出力部と、を含む。情報機器は、リムーバブルメディアからチケットデータを読み込む読込部と、読込部により読み込まれたチケットデータが示すデータ処理を実行するデータ処理部と、を含む。
これにより、サーバがユーザの認証に成功した場合にそのユーザにより指定されたデータ処理を、サーバから提供されたチケットデータに基づいて実行する情報機器を実現でき、情報機器のセキュリティを高めることができる。リムーバブルメディアからチケットデータを読み込むため、サーバに接続できない場合のある情報機器に好適である。
［項目１０］
認証に成功したサーバから提供されてリムーバブルメディアに格納されたチケットデータであって、認証の成功により実行可能なデータ処理の内容を示すチケットデータをリムーバブルメディアから読み込むステップと、読み込まれたチケットデータが示すデータ処理を実行するステップと、を情報機器が実行するデータ処理方法。
これにより、サーバによる認証の成功により実行可能なデータ処理を、サーバから提供されたチケットデータに基づいて実行する情報機器を実現でき、情報機器のセキュリティを高めることができる。リムーバブルメディアからチケットデータを読み込むため、サーバに接続できない場合のある情報機器に好適である。
［項目１１］
認証に成功したサーバから提供されてリムーバブルメディアに格納されたチケットデータであって、認証の成功により実行可能なデータ処理の内容を示すチケットデータをリムーバブルメディアから読み込む機能と、読み込む機能により読み込まれたチケットデータが示すデータ処理を実行する機能と、を情報機器に実現させるためのコンピュータプログラム。
これにより、サーバによる認証の成功により実行可能なデータ処理を、サーバから提供されたチケットデータに基づいて実行する情報機器を実現でき、情報機器のセキュリティを高めることができる。リムーバブルメディアからチケットデータを読み込むため、サーバに接続できない場合のある情報機器に好適である。

１０ 情報処理システム、 １４ ヘッドユニット、 １８ ＵＳＢメモリ、 ２０ サーバ、 ４４ 不正チケット情報保持部、 ５２ ＩＤ出力部、 ５４ チケット読込部、 ５６ チケット検証部、 ５８ 保守処理部、 ８８ 認証部、 ９２ チケット生成部、 ９４ チケット出力部。

Claims (8)

1. 認証に成功したサーバから提供されてリムーバブルメディアに格納されたチケットデータであって、認証の成功により実行可能なデータ処理の内容を示すチケットデータを前記リムーバブルメディアから読み込む読込部と、
   前記読込部により読み込まれたチケットデータが示すデータ処理を実行するデータ処理部と、
   本情報機器の識別情報として、ランダムな値に決定された識別情報を前記リムーバブルメディアに格納させるとともに、所定の記憶部にも格納させる出力部と、
   を備え、
   前記サーバは、前記リムーバブルメディアに格納された識別情報を取得して前記チケットデータに設定し、
   前記データ処理部は、
   予め定められたデータ処理が許可される回数または期間の範囲内で、前記チケットデータが示す識別情報が前記記憶部に格納された識別情報と整合する場合に、前記チケットデータが示すデータ処理を実行し、
   前記チケットデータとしての第１のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第１のチケットデータが示す第１の識別情報に対応付けて記録し、
   前記チケットデータとしての前記第１のチケットデータとは異なる第２のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第２のチケットデータが示す識別情報であって前記第１の識別情報とは異なる第２の識別情報に対応付けて記録することを特徴とする情報機器。
2. 記憶部をさらに備え、
   前記チケットデータは、他のチケットデータと識別するための自身の識別情報を含み、かつ、不正なチケットデータの識別情報を示す不正チケット情報を含み、
   前記記憶部は、前記チケットデータが示す不正チケット情報を記憶し、
   前記データ処理部は、前記読込部により読み込まれたチケットデータ自身の識別情報が、前記記憶部に記憶された不正チケット情報に該当する場合に、当該チケットデータが示すデータ処理の実行を抑制することを特徴とする請求項１に記載の情報機器。
3. 前記サーバは、前記リムーバブルメディアの識別情報を取得して前記チケットデータに設定し、
   前記読込部は、前記チケットデータとは別に前記リムーバブルメディアの識別情報を前記リムーバブルメディアから読み込み、
   前記データ処理部は、前記チケットデータが示す識別情報が、前記リムーバブルメディアの識別情報と整合する場合に、前記チケットデータが示すデータ処理を実行することを特徴とする請求項１または２に記載の情報機器。
4. 前記チケットデータは、データ処理を実行すべきエリアを示す情報をさらに含み、
   前記データ処理部は、前記チケットデータが示すエリアが所定の条件を満たす場合に、前記チケットデータが定めるデータ処理を実行することを特徴とする請求項１から３のいずれかに記載の情報機器。
5. リムーバブルメディアからデータを読み込み可能な情報機器と、
   サーバと、を備えるデータ処理システムであって、
   前記サーバは、
   ユーザを認証する認証部と、
   前記認証部がユーザの認証に成功した場合に、当該ユーザにより指定されたデータ処理の内容を示すチケットデータを前記リムーバブルメディアに格納させる出力部と、を含み、
   前記情報機器は、
   前記リムーバブルメディアからチケットデータを読み込む読込部と、
   前記読込部により読み込まれたチケットデータが示すデータ処理を実行するデータ処理部と、
   本情報機器の識別情報として、ランダムな値に決定された識別情報を前記リムーバブルメディアに格納させるとともに、所定の記憶部にも格納させる出力部と、を含み、
   前記サーバは、前記リムーバブルメディアに格納された識別情報を取得して前記チケットデータに設定し、
   前記データ処理部は、
   予め定められたデータ処理が許可される回数または期間の範囲内で、前記チケットデータが示す識別情報が前記記憶部に格納された識別情報と整合する場合に、前記チケットデータが示すデータ処理を実行し、
   前記チケットデータとしての第１のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第１のチケットデータが示す第１の識別情報に対応付けて記録し、
   前記チケットデータとしての前記第１のチケットデータとは異なる第２のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第２のチケットデータが示す識別情報であって前記第１の識別情報とは異なる第２の識別情報に対応付けて記録することを特徴とするデータ処理システム。
6. 認証に成功したサーバから提供されてリムーバブルメディアに格納されたチケットデータであって、認証の成功により実行可能なデータ処理の内容を示すチケットデータを前記リムーバブルメディアから読み込む読込部と、
   前記読込部により読み込まれたチケットデータが示すデータ処理を実行するデータ処理部と、
   本情報機器の識別情報と、タイミングに応じて値が異なる付加データとを前記リムーバブルメディアに格納させる出力部と、
   を備え、
   前記サーバによって、前記リムーバブルメディアに格納された識別情報と付加データとが取得されて前記チケットデータに設定され、
   前記データ処理部は、
   予め定められたデータ処理が許可される回数または期間の範囲内で、前記チケットデータが示す識別情報が本情報機器の識別情報と整合する場合に、前記チケットデータが示すデータ処理を実行し、
   前記チケットデータとしての第１のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第１のチケットデータが示す第１の付加データに対応付けて記録し、
   前記チケットデータとしての前記第１のチケットデータとは異なる第２のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第２のチケットデータが示す付加データであって前記第１の付加データとは異なる第２の付加データに対応付けて記録することを特徴とする情報機器。
7. 認証に成功したサーバから提供されてリムーバブルメディアに格納されたチケットデータであって、認証の成功により実行可能なデータ処理の内容を示すチケットデータを前記リムーバブルメディアから読み込む読込ステップと、
   前記読込ステップで読み込まれたチケットデータが示すデータ処理を実行するデータ処理ステップと、
   情報機器の識別情報として、ランダムな値に決定された識別情報を前記リムーバブルメディアに格納させるとともに、所定の記憶部にも格納させる出力ステップと、
   を含む、前記情報機器が実行するデータ処理方法であって、
   前記サーバによって、前記リムーバブルメディアに格納された識別情報が取得されて前記チケットデータに設定され、
   前記データ処理ステップは、
   予め定められたデータ処理が許可される回数または期間の範囲内で、前記チケットデータが示す識別情報が前記記憶部に格納された識別情報と整合する場合に、前記チケットデータが示すデータ処理を実行し、
   前記チケットデータとしての第１のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第１のチケットデータが示す第１の識別情報に対応付けて記録し、
   前記チケットデータとしての前記第１のチケットデータとは異なる第２のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第２のチケットデータが示す識別情報であって前記第１の識別情報とは異なる第２の識別情報に対応付けて記録する、
   データ処理方法。
8. 認証に成功したサーバから提供されてリムーバブルメディアに格納されたチケットデータであって、認証の成功により実行可能なデータ処理の内容を示すチケットデータを前記リムーバブルメディアから読み込む読込機能と、
   前記読込機能により読み込まれたチケットデータが示すデータ処理を実行するデータ処理機能と、
   情報機器の識別情報として、ランダムな値に決定された識別情報を前記リムーバブルメディアに格納させるとともに、所定の記憶部にも格納させる出力機能と、
   を前記情報機器に実行させるためのコンピュータプログラムであって、
   前記サーバによって、前記リムーバブルメディアに格納された識別情報が取得されて前記チケットデータに設定され、
   前記データ処理機能は、
   予め定められたデータ処理が許可される回数または期間の範囲内で、前記チケットデータが示す識別情報が前記記憶部に格納された識別情報と整合する場合に、前記チケットデータが示すデータ処理を実行し、
   前記チケットデータとしての第１のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第１のチケットデータが示す第１の識別情報に対応付けて記録し、
   前記チケットデータとしての前記第１のチケットデータとは異なる第２のチケットデータに基づくデータ処理を実行した場合に、そのデータ処理の回数に関する情報を、前記第２のチケットデータが示す識別情報であって前記第１の識別情報とは異なる第２の識別情報に対応付けて記録する、
   コンピュータプログラム。

Images