JP6792229B1 - 利用管理システム、管理装置、利用制御装置、利用管理方法、およびプログラム - Google Patents

Abstract

【課題】利用対象の利用管理技術において、利便性を向上させつつ、セキュリティ上のリスクを低減する。【解決手段】利用制御装置１は、提供者端末３からホールデータを第１の署名とともに受信すると、この第１の署名を第１の公開鍵で検証し、署名検証が成立したならば、このホールデータを自装置１に設定する。また、利用者端末４から利用許可証を第２の署名とともに受信すると、ホールデータに含まれている第２の公開鍵でこの第２の署名を検証するとともに、利用者端末４にナンスを送信して、このナンスに対する第３の署名を利用者端末４から受信し、この第３の署名を、利用許可証に含まれている第３の公開鍵で検証する。第２、３の署名検証がともに成立したならば、利用制御装置１は、この利用許可証に含まれている取引情報を参照し、この取引情報により特定される条件を満足するならば、利用対象（家屋５０）の利用制限を解除する。【選択図】図１

Description

本発明は、ホテル、旅館、民泊施設、家屋、倉庫、部屋等の出入口、自動車、自転車等の移動体、保管庫、および電子カルテ、電子書籍等の電子媒体の閲覧端末を含む、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用を制限可能な利用対象の利用管理技術に関する。

特許文献１には、企業、病院、遊技場、公共施設等の施設内において、ルームキーを携帯するだけで、部屋の解錠および施錠を含む各種サービスを利用することができるシステムが開示されている。このシステムは、ルームナンバ、暗証番号、顧客情報等の情報を記憶した読み書き可能なＲＦＩＤ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）無線タグを有するルームキーと、ルームキーのＲＦＩＤ無線タグに対して情報の読み書きをするために施設内の各所に設置されたＲＦＩＤリーダと、施設内の各部屋および各設備に関する情報を記憶したデータベースと、ネットワークを介してＲＦＩＤリーダおよびデータベースに接続され、施設内の各部屋および各設備の管理を行うサーバと、を備えている。そして、例えば、施設内の各部屋のドア、部屋内等に設置されたＲＦＩＤリーダが、ルームキーのＲＦＩＤ無線タグに記憶されている情報を読み取ってサーバに送信し、これを受けたサーバが、ＲＦＩＤリーダから受信した情報に含まれているルームナンバとこのＲＦＩＤリーダが設置されている部屋のルームナンバとを照合して、この部屋の解錠および施錠を行う。

特開２００３−１３２４３５号公報

しかしながら、特許文献１のシステムは、企業、病院、遊技場、公共施設等の施設の受付において、ルームキーの貸与および返却が行われることを前提としている。このため、ユーザは、例えば、インターネット上で施設の予約をした場合でも、この施設を管理する管理部門の受付に立ち寄ってルームキーを借りてから、予約した施設に移動しなければならない。また、施設の利用後には、この管理部門の受付に立ち寄ってルームキーを返却しなければならない。したがって、例えば、予約した施設とこの施設を管理する管理部門の受付とが地理的に離れている場合、利便性が悪い。

また、特許文献１のシステムでは、施設内の各所に設置されたＲＦＩＤリーダが、ルームキーのＲＦＩＤ無線タグに記憶されている情報を読み取って、ネットワーク経由でサーバに送信している。このため、例えばサーバが施設外に設置されており、施設内の各所に設置されたＲＦＩＤリーダと施設外に設置されたサーバとがインターネット経由で接続されている場合、ＲＦＩＤリーダがルームキーのＲＦＩＤ無線タグから情報を読み取る都度、この読み取った情報がインターネット上を伝送することとなる。したがって、セキュリティ上のリスクが高くなる。

本発明は上記事情に鑑みてなされたものであり、その目的は、ホテル、旅館、民泊施設、家屋、倉庫、部屋等の出入口、自動車、自転車等の移動体、および電子カルテ、電子書籍等の電子媒体の閲覧端末を含む、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用を制限可能な利用対象の利用管理技術において、利便性を向上させつつ、セキュリティ上のリスクを低減することを目的とする。

上記課題を解決するために、本発明は、利用許可証に基づいて、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用対象の利用を制御する利用制御装置と、利用対象を利用制御装置に対応付けて管理する管理装置と、利用制御装置に利用許可証の検証に必要なホールデータを設定する提供者端末と、利用制御装置に利用許可証を通知する利用者端末と、を備えている。

ここで、利用制御装置は、近距離無線通信でのみ通信可能であり、ネットワークから切り離されている。また、利用制御装置は、自装置に対応付けられて管理装置に記憶されている第１の秘密鍵と対の第１の公開鍵を記憶している。そして、利用制御装置は、近距離無線通信を介して、提供者端末からホールデータを第１の署名とともに受信すると、この第１の署名を第１の公開鍵で検証し、署名検証が成立したならば、このホールデータを自装置に設定する。このホールデータは、自装置に対応付けられて管理装置に記憶されている第２の秘密鍵と対の第２の公開鍵を含んでいる。

また、利用者端末は、自端末に対応付けられて管理装置に記憶されている第３の公開鍵と対の第３の秘密鍵を記憶している。そして、利用制御装置は、近距離無線通信を介して利用者端末から利用許可証を第２の署名とともに受信すると、この第２の署名を第２の公開鍵で検証するとともに、この署名検証後あるいはこの署名検証に先立って、ナンス（Ｎｕｍｂｅｒ Ｕｓｅｄ Ｏｎｃｅ）を利用者端末に送信する。これを受けて、利用者端末は、第３の秘密鍵を用いてナンスに対する署名を生成し、これを第３の署名として利用制御装置に送信する。そして、利用制御装置は、利用許可証に含まれている第３の公開鍵を用いて第３の署名を検証する。それから、利用制御装置は、第２および第３の署名検証がともに成立したならば、利用許可証に含まれている取引情報を取得して、取得した取引情報を参照し、この取引情報により特定される条件を満足するならば、利用対象の利用制限を解除する。

例えば、本発明は、
利用対象の利用を管理する利用管理システムであって、
利用許可証に基づいて、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用対象の利用を制御する利用制御装置と、
前記利用対象を前記利用制御装置に対応付けて管理する管理装置と、
前記利用制御装置に、前記利用許可証の検証に必要なホールデータを設定する提供者端末と、
前記利用制御装置に前記利用許可証を通知する利用者端末と、を備え、
前記管理装置は、
前記利用対象の利用に関する条件を含む取引情報を管理する取引管理手段と、
前記利用制御装置に対応付けて第１の秘密鍵・公開鍵を管理するオブジェクト管理手段と、
前記利用制御装置に対応付けて第２の秘密鍵・公開鍵を管理するホール管理手段と、
前記利用者端末に対応付けて第３の公開鍵を管理する利用者管理手段と、
前記オブジェクト管理手段により管理されている前記第１の秘密鍵を用いて、前記ホール管理手段により管理されている前記第２の公開鍵を含む前記ホールデータに対する第１の署名を生成し、前記ホールデータおよび前記第１の署名を前記提供者端末に送信するホールデータ処理手段と、
前記ホール管理手段により管理されている前記第２の秘密鍵を用いて、前記取引管理手段により管理されている前記取引情報および前記利用者管理手段により管理されている前記第３の公開鍵を含む前記利用許可証に対する第２の署名を生成し、前記利用許可証および前記第２の署名を前記利用者端末に送信する利用許可証処理手段と、を有し、
前記提供者端末は、
前記管理装置から受信した前記ホールデータおよび前記第１の署名を、近距離無線通信により前記利用制御装置に送信し、
前記利用者端末は、
自身に対応付けられて前記管理装置の前記利用者管理手段に記憶されている前記第３の公開鍵と対の第３の秘密鍵を記憶する秘密鍵記憶手段と、
前記管理装置から受信した前記利用許可証および前記第２の署名を、近距離無線通信により前記利用制御装置に送信する利用許可証送信手段と、
前記秘密鍵記憶手段に記憶されている前記第３の秘密鍵を用いて、前記利用制御装置から受信したナンスに対する第３の署名を生成し、近距離無線通信により当該第３の署名を前記利用制御装置に送信するナンス処理手段と、を有し、
前記利用制御装置は、
近距離無線通信でのみ通信可能であり、
前記提供者端末から前記ホールデータとともに受信した前記第１の署名を、予め登録されている前記第１の公開鍵で検証し、検証成立したならば、前記ホールデータを自装置に設定するホール設定手段と、
前記利用者端末から前記利用許可証および前記第２の署名を受信した場合に、当該利用者端末に前記ナンスを送信して、当該利用者端末から前記第３の署名を取得する署名取得手段と、
前記利用者端末から前記利用許可証とともに受信した前記第２の署名を、自装置に設定されている前記ホールデータに含まれている前記第２の公開鍵で検証するとともに、前記署名取得手段により取得された前記第３の署名を、前記利用許可証に含まれている前記第３の公開鍵で検証し、前記第２および第３の署名に対する検証が成立したならば、前記利用許可証に含まれている前記取引情報を取得する取引情報取得手段と、
前記取引情報取得手段により取得された前記取引情報を参照し、前記取引情報により特定される条件を満足するならば、前記利用対象の利用制限を解除する解除手段と、を有する。

本発明において、利用制御装置は、近距離無線通信でのみ通信可能であり、ネットワークから切り離されている。このため、利用制御装置がインターネット等のネットワークを介して外部から攻撃されることはない。また、利用対象の利用制限を解除するために用いる利用許可証は、ホールデータに含まれている第２の公開鍵を用いて、この利用許可証に付加されている第２の署名を検証することによりその正当性が証明され、さらに、ホールデータは、第１の公開鍵を用いて、このホールデータに付加されている第１の署名を検証することによりその正当性が証明される。また、利用者端末が、第３の秘密鍵を用いて、利用制御装置から取得したナンスに対する第３の署名を生成し、利用制御装置が、利用許可証に含まれている第３の公開鍵を用いて、利用者端末から取得した第３の署名を検証することにより、利用者端末の、利用許可証入手先としての正当性が証明される。したがって、本発明によれば、セキュリティ上のリスクが低減される。

また、本発明では、利用許可証に含まれている取引情報により特定される条件を満足する場合にのみ利用対象の利用制限が解除され、満足しない場合には利用対象の利用制限は解除されない。このため、利用可能期間、利用回数等の条件を取引情報に含めておくことで、これらの条件に合致しない利用許可証は、たとえその正当性が証明されても無効となるため、利用対象の利用者（利用者端末の利用者）から利用許可証を返却してもらう必要がない。したがって、本発明によれば、利便性が向上する。

このように、本発明によれば、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用を制限可能な利用対象の利用管理技術において、利便性を向上させつつ、セキュリティ上のリスクを低減することができる。

図１は、本発明の一実施の形態に係る利用管理システムの概略構成図である。 図２は、本発明の一実施の形態に係る利用管理システムにおいて、利用制御装置１を管理装置２に登録するオブジェクト登録動作の一例を示すシーケンス図である。 図３は、本発明の一実施の形態に係る利用管理システムにおいて、利用制御装置１にホールデータを設定するホール設定動作の一例を示すシーケンス図である。 図４は、本発明の一実施の形態に係る利用管理システムにおいて、利用対象の利用に関する条件を含む取引情報を管理装置２に登録する取引情報登録動作の一例を示すシーケンス図である。 図５は、本発明の一実施の形態に係る利用管理システムにおいて、管理装置２が利用者端末４に利用許可証を発行する利用許可証発行動作の一例を示すシーケンス図である。 図６は、本発明の一実施の形態に係る利用管理システムにおいて、利用制御装置１が利用対象の利用制限を解除する利用制限解除動作の一例を示すシーケンス図である。 図７は、利用制御装置１の概略機能構成図である。 図８は、利用制御装置１の動作を説明するためのフロー図である。 図９は、利用者端末４の概略機能構成図である。 図１０は、利用者端末４の動作を説明するためのフロー図である。 図１１は、管理装置２の概略機能構成図である。 図１２は、利用者情報記憶部２２１の登録内容例を模式的に表した図である。 図１３は、提供者情報記憶部２２２の登録内容例を模式的に表した図である。 図１４は、オブジェクトデータ記憶部２２３の登録内容例を模式的に表した図である。 図１５は、ホールデータ記憶部２２４の登録内容例を模式的に表した図である。 図１６は、取引情報記憶部２２５の登録内容例を模式的に表した図である。 図１７は、管理装置２の動作を説明するためのフロー図である。 図１８は、図１７に示すオブジェクト登録要求処理Ｓ４０５を説明するためのフロー図である。 図１９は、図１７に示すホール生成要求処理Ｓ４０６を説明するためのフロー図である。 図２０は、図１７に示す取引要求処理Ｓ４０９を説明するためのフロー図である。 図２１は、図１７に示す利用許可証要求処理Ｓ４１０を説明するためのフロー図である。

以下、本発明の一実施の形態について、図面を参照して説明する。

図１は、本実施の形態に係る利用管理システムの概略構成図である。

図示するように、本実施の形態に係る利用管理システムは、利用制御装置１と、管理装置２と、提供者端末３と、利用者端末４と、を備えている。

利用制御装置１は、利用対象毎に設けられ、ＩｒＤＡ（Ｉｎｆｒａｒｅｄ Ｄａｔａ Ａｓｓｏｃｉａｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の近距離無線通信６３でのみ通信可能であり、利用許可証に基づいて、施錠・解錠、アクセス制御、あるいは暗号化・復号化により利用対象の利用を制御する。ここでは、利用対象を家屋５０とし、家屋５０の出入口５１の施錠・解錠により家屋５０の利用を制御している。管理装置２は、利用制御装置１を管理する。また、管理装置２は、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）６０を介して、利用許可証の検証に用いるホールデータを提供者端末３に送信するとともに、利用許可証を利用者端末４に送信する。提供者端末３は、提供者毎に設けられ、無線ネットワーク６２および無線基地局、アクセスポイント等の中継装置６１を介してＷＡＮ６０に接続されて、管理装置２からホールデータを受信する。また、提供者端末３は、管理装置２から受信したホールデータを近距離無線通信６３により利用制御装置１に送信する。利用者端末４は、利用者毎に設けられ、無線ネットワーク６２および中継装置６１を介してＷＡＮ６０に接続されて、管理装置２から利用許可証を受信する。また、利用者端末４は、管理装置２から受信した利用許可証を近距離無線通信６３により利用制御装置１に送信する。

図２は、本実施の形態に係る利用管理システムにおいて、利用制御装置１を管理装置２に登録するオブジェクト登録動作の一例を示すシーケンス図である。

まず、提供者端末３は、利用対象（家屋５０）の利用サービスを提供する提供者からログイン操作を受け付けると（Ｓ１００）、提供者のユーザＩＤおよびパスワードを含むログイン情報を伴うログイン要求を管理装置２に送信する（Ｓ１０１）。これを受けて、管理装置２は、ログイン要求に含まれているパスワードと、このログイン要求に含まれているユーザＩＤに紐付けて管理しているパスワードと、を用いて認証処理を実施する（Ｓ１０２）。そして、認証成立ならば、ログイン要求の送信元である提供者端末３のログインを許可し、この提供者端末３にログイン許可通知を送信する（Ｓ１０３）。

つぎに、提供者端末３は、利用対象である家屋５０の物件名、住所等を含む施設情報を伴うオブジェクト登録要求操作を提供者から受け付けると（Ｓ１０４）、家屋５０の施設情報を含むオブジェクト登録要求を管理装置２に送信する（Ｓ１０５）。これを受けて、管理装置２は、家屋５０の利用制御（出入口５１の施錠・解錠制御）に用いる利用制御装置１に付与するオブジェクトＩＤを発行するとともに、公開鍵暗号方式に従って第１の秘密鍵・公開鍵を生成する。そして、オブジェクトＩＤおよび第１の秘密鍵・公開鍵と、オブジェクト登録要求に含まれている施設情報と、を含むオブジェクトデータを生成する（Ｓ１０６）。それから、管理装置２は、生成したオブジェクトデータを提供者のユーザＩＤに紐付けて登録・管理する（Ｓ１０７）。その後、管理装置２は、オブジェクトＩＤおよび第１の公開鍵を含むオブジェクト登録通知を提供者端末３に送信する（Ｓ１０８）。

提供者端末３は、利用制御装置１と近距離無線通信６３が可能な距離まで利用制御装置１に近づいた状態において、提供者からオブジェクト設定操作を受け付けると（Ｓ１０９）、管理装置２から受信したオブジェクト登録通知を近距離無線通信６３により利用制御装置１に送信する（Ｓ１１０）。これを受けて、利用制御装置１は、オブジェクト登録通知に含まれているオブジェクトＩＤおよび第１の公開鍵を自装置１に設定する（Ｓ１１１）。

図３は、本実施の形態に係る利用管理システムにおいて、利用制御装置１にホールデータを設定するホール設定動作の一例を示すシーケンス図である。

まず、提供者端末３は、利用対象（家屋５０）の利用サービスを提供する提供者からログイン操作を受け付けると（Ｓ１２０）、提供者のユーザＩＤおよびパスワードを含むログイン情報を伴うログイン要求を管理装置２に送信する（Ｓ１２１）。これを受けて、管理装置２は、ログイン要求に含まれているパスワードと、このログイン要求に含まれているユーザＩＤに紐付けて管理しているパスワードと、を用いて認証処理を実施する（Ｓ１２２）。そして、認証成立ならば、ログイン要求の送信元である提供者端末３のログインを許可し、この提供者端末３にログイン許可通知を送信する（Ｓ１２３）。

提供者端末３は、利用制御装置１のオブジェクトＩＤの指定を伴うホール生成要求操作を提供者から受け付けると（Ｓ１２４）、オブジェクトＩＤを含むホール生成要求を管理装置２に送信する（Ｓ１２５）。これを受けて、管理装置２は、共通鍵暗号方式に従って共通鍵を生成するとともに、公開鍵暗号方式に従って第２の秘密鍵・公開鍵を生成する。そして、オブジェクトＩＤ、共通鍵、および第２の公開鍵を含むホールデータを生成する（Ｓ１２６）。それから、管理装置２は、ホールデータを第２の秘密鍵とともに登録・管理する（Ｓ１２７）。また、管理装置２は、自身が管理しているオブジェクトデータから、ホール生成要求操作で指定されているオブジェクトＩＤを含むオブジェクトデータを特定し、このオブジェクトデータに含まれている第１の秘密鍵を用いて、ホールデータに対する第１の署名を生成する（Ｓ１２８）。その後、管理装置２は、生成したホールデータおよび第１の署名を提供者端末３に送信する（Ｓ１２９）。

つぎに、提供者端末３は、利用制御装置１と近距離無線通信が可能な距離まで利用制御装置１に近づいた状態において、提供者からホール設定操作を受け付けると（Ｓ１３０）、管理装置２から受信したホールデータおよび第１の署名を近距離無線通信６３により利用制御装置１に送信する（Ｓ１３１）。これを受けて、利用制御装置１は、提供者端末３より受信したホールデータと、自身に設定されている第１の公開鍵とを用いて、提供者端末３より受信した第１の署名を検証する（Ｓ１３２）。そして、署名検証に成功したならば、ホールデータを自装置１に設定する（Ｓ１３３）。

図４は、本実施の形態に係る利用管理システムにおいて、利用対象（家屋５０）の利用に関する条件を含む取引情報を管理装置２に登録する取引情報登録動作の一例を示すシーケンス図である。

まず、利用者端末４は、利用対象（家屋５０）の利用サービスを享受する利用者からログイン操作を受け付けると（Ｓ１４０）、利用者のユーザＩＤおよびパスワードを含むログイン情報を伴うログイン要求を管理装置２に送信する（Ｓ１４１）。これを受けて、管理装置２は、ログイン要求に含まれているパスワードと、このログイン要求に含まれているユーザＩＤに紐付けて管理しているパスワードと、を用いて認証処理を実施する（Ｓ１４２）。そして、認証成立ならば、ログイン要求の送信元である利用者端末４のログインを許可し、この利用者端末４にログイン許可通知を送信する（Ｓ１４３）。

つぎに、利用者端末４は、利用者が希望している利用対象（家屋５０）の利用サービスを提供する提供者のユーザＩＤ、この利用対象に設置された利用制御装置１のオブジェクトＩＤ、および、利用対象の利用に関する希望情報（利用希望開始・終了時刻、利用回数等）の指定を伴う取引要求操作を、利用者から受け付けると（Ｓ１４４）、これらの指定された情報（提供者のユーザＩＤ、オブジェクトＩＤ、および利用対象の利用に関する希望情報）を含む取引要求を、管理装置２に送信する（Ｓ１４５）。

これを受けて、管理装置２は、取引要求に含まれている情報に基づいて取引内容を確認する（Ｓ１４６）。具体的には、取引要求に含まれている提供者のユーザＩＤに紐付けて管理しているオブジェクトデータのなかに、取引要求に含まれているオブジェクトＩＤを有するオブジェクトデータがあることを確認することにより、利用者が希望する利用サービスを提供可能であることを確認する。それから、管理装置２は、取引要求に含まれているオブジェクトＩＤおよび利用対象の利用に関する希望情報を含む取引認否問合せを生成し、この取引認否問合せを、取引要求に含まれている提供者のユーザＩＤに紐付けて管理しているアドレス情報により特定される提供者端末３に送信する（Ｓ１４７）。

提供者端末３は、管理装置２から取引認否問合せを受信すると、この取引認否問合せに含まれているオブジェクトＩＤおよび利用対象の利用に関する希望情報を表示して、提供者に取引認否を確認する。そして、提供者から取引を許諾する（オブジェクトＩＤにより特定される利用制御装置１によって利用が制限される利用対象の利用サービスを利用者に提供する）旨の取引許諾操作を受け付けると（Ｓ１４８）、取引認否問合せに対する返信として、管理装置２に取引許諾応答を送信する（Ｓ１４９）。

これを受けて、管理装置２は、取引成立と判断して取引ＩＤを発行し、この取引ＩＤと、利用者のユーザＩＤと、取引要求に含まれている情報（提供者のユーザＩＤ、オブジェクトＩＤ、および利用対象の利用に関する希望情報）と、利用対象の利用に関する希望情報に含まれている利用希望開始時刻に基づいて定められる利用許可証取得可能時刻（例えば利用希望開始時刻の２４時間前）と、を含む取引情報を生成する（Ｓ１５０）。つぎに、管理装置２は、生成した取引情報を登録・管理する（Ｓ１５１）。それから、管理装置２は、取引情報を含む取引成立通知を利用者端末４に送信し（Ｓ１５２）、この取引情報を利用者端末４に表示させる。

図５は、本実施の形態に係る利用管理システムにおいて、管理装置２が利用者端末４に利用許可証を発行する利用許可証発行動作の一例を示すシーケンス図である。

利用者が希望する利用対象について利用者端末４が管理装置２から受信した取引成立通知に含まれている取引情報の利用許可証取得可能時刻を経過したものとする（Ｓ１６０）。

利用者端末４は、利用許可証取得可能時刻の経過を認識した利用者からログイン操作を受け付けると（Ｓ１６１）、利用者のユーザＩＤおよびパスワードを含むログイン情報を伴うログイン要求を管理装置２に送信する（Ｓ１６２）。これを受けて、管理装置２は、ログイン要求に含まれているパスワードと、このログイン要求に含まれているユーザＩＤに紐付けて管理しているパスワードと、を用いて認証処理を実施する（Ｓ１６３）。そして、認証成立ならば、ログイン要求の送信元である利用者端末４のログインを許可し、この利用者端末４にログイン許可通知を送信する（Ｓ１６４）。

つぎに、利用者端末４は、取引情報に含まれている取引ＩＤの指定を伴う利用許可証要求操作を利用者から受け付けると（Ｓ１６５）、この取引ＩＤを含む利用許可証要求を管理装置２に送信する（Ｓ１６６）。

これを受けて、管理装置２は、管理している取引情報のなかから、利用許可証要求に含まれている取引ＩＤを有する取引情報を特定し、この取引情報に基づいて、利用許可証の発行条件を満足していることを確認する（Ｓ１６７）。具体的には、利用者端末４の利用者のユーザＩＤが、取引情報に含まれている利用者のユーザＩＤと一致し、かつ取引情報に含まれている利用許可証取得可能時刻を経過していることを確認する。

それから、管理装置２は、管理している利用者情報のなかから、利用者のユーザＩＤに紐付けられている利用者情報を特定するとともに、管理しているホールデータのなかから、取引情報に含まれているオブジェクトＩＤを有するホールデータを特定する。そして、特定したホールデータの共通鍵を用いて取引情報を暗号化し、この暗号化された取引情報と、特定した利用者情報に含まれている第３の公開鍵（利用者端末４が秘密裏に保持する第３の秘密鍵と対の公開鍵）と、を含む利用許可証を発行する（Ｓ１６８）。

つぎに、管理装置２は、特定したホールデータに対応付けて管理している第２の秘密鍵を用いて、利用許可証に対する第２の署名を生成する（Ｓ１６９）。その後、管理装置２は、利用許可証および第２の署名を利用者端末４に送信する（Ｓ１７０）。

図６は、本実施の形態に係る利用管理システムにおいて、利用制御装置１が利用対象の利用制限を解除する利用制限解除動作の一例を示すシーケンス図である。

利用者が希望する利用対象について利用者端末４が管理装置２から受信した取引成立通知に含まれる取引情報において、利用対象の利用に関する希望情報に含まれている利用希望開始時刻を経過したものとする（Ｓ１８０）。

利用者端末４は、利用者が利用サービスの提供を希望する利用対象（家屋５０）に設置された利用制御装置１と近距離無線通信６３が可能な距離まで利用制御装置１に近づいた状態において、現在日時が、取引情報の利用に関する希望情報に含まれている利用希望開始・終了時刻により特定される期間内であることを認識した利用者から利用操作を受け付けると（Ｓ１８１）、管理装置２から受信した利用許可証および第２の署名を近距離無線通信６３により利用制御装置１に送信する（Ｓ１８２）。

これを受けて、利用制御装置１は、ナンス（Ｎｕｍｂｅｒ Ｕｓｅｄ Ｏｎｃｅ）を生成し（Ｓ１８３）、この生成したナンスを、近距離無線通信６３により利用者端末４に送信する（Ｓ１８４）。利用者端末４は、利用制御装置１からナンスを受信すると、秘密裏に保持している第３の秘密鍵を用いてこのナンスに対する第３の署名を生成し（Ｓ１８５）、この生成した第３の署名を、近距離無線通信６３により利用制御装置１に送信する（Ｓ１８６）。

つぎに、利用制御装置１は、利用者端末４より受信した利用許可証と、自装置１に設定されているホールデータに含まれている第２の公開鍵とを用いて、利用者端末４より受信した第２の署名を検証するとともに、利用者端末４に送信したナンスと、利用許可証に含まれている第３の公開鍵とを用いて、利用者端末４より受信した第３の署名を検証する（Ｓ１８７）。そして、第２および第３の署名の検証にともに成功したならば、ホールデータに含まれている共通鍵を用いて、利用許可証に含まれている暗号化された取引情報を復号する（Ｓ１８８）。

つぎに、利用制御装置１は、復号した取引情報に含まれている利用対象の利用に関する希望情報により特定される条件を満足していることを確認する（Ｓ１８９）。具体的には、現在日時が、利用対象の利用に関する希望情報に含まれている利用希望開始・終了時刻により特定される期間内であることを確認する。また、取引情報の取引ＩＤに紐付けて管理している利用回数が、利用対象の利用に関する希望情報に含まれている利用回数未満であることを確認する。利用制御装置１は、利用対象の利用に関する希望情報により特定される条件を満足していることを確認できたならば、利用対象の利用制限を解除する（Ｓ１９０）。ここでは、利用対象である家屋５０の出入口５１のオートロック装置を解錠する。

その後、利用制御装置１は、利用者端末４に利用制限解除通知を近距離無線通信６３により送信する（Ｓ１９１）。それから、取引情報の取引ＩＤに紐付けて管理している利用回数を１つインクリメントする（Ｓ１９２）。ここで、取引情報の取引ＩＤに紐付けて利用回数が管理されていないならば、利用回数「１」を取引情報の取引ＩＤに紐付けて管理する。

つぎに、本実施の形態に係る利用管理システムを構成する利用制御装置１、利用者端末４、および管理装置２の詳細を説明する。なお、提供者端末３には、スマートホン、タブレットＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等の近距離無線通信機能を備えた既存のネットワーク端末を利用することができるので、これらの詳細な説明を省略する。

まず、利用制御装置１の詳細を説明する。

図７は、利用制御装置１の概略機能構成図である。

図示するように、利用制御装置１は、近距離無線通信部１０と、設定情報等記憶部１１と、オブジェクト設定部１２と、ホール設定部１３と、署名取得部１４と、利用制限解除部１５と、署名検証部１６と、復号部１７と、を備えている。

近距離無線通信部１０は、ＩｒＤＡ、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の近距離無線通信６３により、提供者端末３および利用者端末４と通信を行う。

設定情報等記憶部１１は、オブジェクトＩＤ、第１の公開鍵、ホールデータ等の設定情報を記憶する。また、利用回数等、利用対象の利用に関する条件を満足しているか否かを判断するために用いられる判断情報を記憶する。

オブジェクト設定部１２は、提供者端末３より取得したオブジェクトＩＤおよび第１の公開鍵を設定情報として設定情報等記憶部１１に記憶する。

ホール設定部１３は、提供者端末３よりホールデータとともに取得した第１の署名の検証が成立した場合に、このホールデータを設定情報として設定情報等記憶部１１に記憶する。

署名取得部１４は、利用制限解除部１５の指示に従い利用者端末４にナンスを送信して、このナンスに対する第３の署名を利用者端末４から取得する。

利用制限解除部１５は、利用者端末４より利用許可証とともに取得した第２の署名の検証が成立するとともに、署名取得部１４が利用者端末４より取得した第３の署名の検証が成立し、かつ利用許可証の取引情報に含まれる利用対象の利用に関する希望情報により特定される条件を満足している場合に、利用対象の利用制限を解除する。本実施の形態では、家屋５０の出入口５１のオートロック装置に解錠命令を出力する。また、利用制限解除部１５は、利用回数等の判断情報を設定情報等記憶部１１に登録・更新する。

署名検証部１６は、ホール設定部１３の指示に従い、設定情報等記憶部１１に記憶されている第１の公開鍵を用いて、ホールデータに対する第１の署名を検証する。また、署名検証部１６は、利用制限解除部１５の指示に従い、設定情報等記憶部１１に記憶されているホールデータに含まれている第２の公開鍵を用いて、利用許可証に対する第２の署名を検証するとともに、利用許可証に含まれている第３の公開鍵を用いて、ナンスに対する第３の署名を検証する。

復号部１７は、利用制限解除部１５の指示に従い、設定情報等記憶部１１に記憶されているホールデータに含まれている共通鍵を用いて、利用許可証に含まれている暗号化された取引情報を復号する。

なお、図７に示す利用制御装置１の概略機能構成は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の集積ロジックＩＣによりハード的に実現されるものでもよいし、あるいはＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等の計算機によりソフトウエア的に実現されるものでもよい。または、ＣＰＵと、メモリと、フラッシュメモリ、ハードディスクドライブ等の補助記憶装置と、ＩｒＤＡ通信装置、Ｂｌｕｅｔｏｏｔｈ（登録商標）通信装置等の近距離無線通信装置と、を備えた汎用コンピュータにおいて、ＣＰＵが所定のプログラムを補助記憶装置からメモリ上にロードして実行することにより実現されるものでもよい。

図８は、利用制御装置１の動作を説明するためのフロー図である。

オブジェクト設定部１２は、近距離無線通信部１０を介して提供者端末３よりオブジェクト登録通知を受信すると（Ｓ２００でＹＥＳ）、このオブジェクト登録通知に含まれているオブジェクトＩＤおよび第１の公開鍵を設定情報として設定情報等記憶部１１に記憶する（Ｓ２０１）。

また、ホール設定部１３は、近距離無線通信部１０を介して提供者端末３よりホールデータおよび第１の署名を受信すると（Ｓ２０２でＹＥＳ）、署名検証部１６に、このホールデータおよび第１の署名を渡して第１の署名の検証を依頼する。これを受けて、署名検証部１６は、設定情報等記憶部１１に記憶されている第１の公開鍵を用いて、ホールデータに対する第１の署名を検証する（Ｓ２０３）。具体的には、第１の公開鍵を用いて第１の署名を復号し、その復号化情報がホールデータあるいはそのメッセージダイジェスト（ハッシュ値）と一致するか否かを判断することにより、第１の署名の正当性を検証する。そして、署名検証部１６は、第１の署名の検証結果をホール設定部１３に通知する。

これを受けて、ホール設定部１３は、第１の署名の検証に成功し、第１の署名の正当性を立証できたならば（Ｓ２０４でＹＥＳ）、このホールデータを設定情報として設定情報等記憶部１１に記憶する（Ｓ２０５）。一方、第１の署名の検証に失敗し、第１の署名の正当性を立証できなかったならば（Ｓ２０４でＮＯ）、ホール設定部１３は、近距離無線通信部１０を介して提供者端末３にエラーメッセージを送信する等の所定のエラー処理を実施する（Ｓ２０６）。

また、利用制限解除部１５は、近距離無線通信部１０を介して利用者端末４より利用許可証および第２の署名を受信すると（Ｓ２０７でＹＥＳ）、署名取得部１４に第３の署名取得を指示する。これを受けて、署名取得部１４は、ナンスを生成し、このナンスを、近距離無線通信部１０を介して利用者端末４に送信する。そして、近距離無線通信部１０からこのナンスに対する第３の署名を取得して、この第３の署名をナンスとともに利用制限解除部１５に渡す（Ｓ２０８）。

つぎに、利用制限解除部１５は、利用許可証および第２の署名と、ナンスおよび第３の署名と、を署名検証部１６に渡して、第２および第３の署名の検証を指示する。これを受けて、署名検証部１６は、設定情報等記憶部１１に記憶されているホールデータに含まれている第２の公開鍵を用いて、利用許可証に対する第２の署名を検証するとともに、利用許可証に含まれている第３の公開鍵を用いて、ナンスに対する第３の署名を検証する（Ｓ２０９）。具体的には、第２の公開鍵を用いて第２の署名を復号し、その復号化情報が利用許可証あるいはそのメッセージダイジェストと一致するか否かを判断することにより、第２の署名の正当性を検証する。また、第３の公開鍵を用いて第３の署名を復号し、その復号化情報がナンスあるいはそのメッセージダイジェストと一致するか否かを判断することにより、第３の署名の正当性を検証する。

つぎに、署名検証部１６は、第２および第３の署名の検証結果を利用制限解除部１５に通知する。

第２および第３の署名の少なくとも一方の検証に失敗し、両方の正当性を立証できなかったならば（Ｓ２１０でＮＯ）、これを受けて、利用制限解除部１５は、近距離無線通信部１０を介して利用者端末４にエラーメッセージを送信する等の所定のエラー処理を実施する（Ｓ２１５）。

一方、第２および第３の署名双方ともに検証に成功し、両者の正当性を立証できたならば（Ｓ２１０でＹＥＳ）、利用制限解除部１５は、復号化部１７に、利用許可証に含まれている暗号化された取引情報を渡して復号を指示する。

つぎに、復号部１７は、利用制限解除部１５より復号の指示とともに暗号化された取引情報を受け取ったならば、この暗号化された取引情報を、設定情報等記憶部１１に記憶されているホールデータに含まれている共通鍵を用いて復号する（Ｓ２１１）。そして、復号された取引情報を利用制限解除部１５に渡す。

これを受けて、利用制限解除部１５は、復号された取引情報に含まれている利用対象の利用に関する希望情報により特定される条件を満足しているか否かを判断する（Ｓ２１２）。具体的には、現在日時が、利用対象の利用に関する希望情報に含まれている利用希望開始・終了時刻により特定される期間内であるか否かを判断する。また、取引情報の取引ＩＤに紐付けて設定情報等記憶部１１に記憶されている判断情報に含まれる利用回数が、利用対象の利用に関する希望情報に含まれている利用回数未満であるか否かを判断する。なお、取引情報の取引ＩＤに紐付けて設定情報等記憶部１１に記憶されている利用回数が存在しない場合は、この利用回数を「０」と判断する。

つぎに、利用制限解除部１５は、取引情報に含まれている利用対象の利用に関する希望情報により特定される条件を満足していると判断したならば（Ｓ２１２でＹＥＳ）、利用対象の利用制限を解除する（Ｓ２１３）。本実施の形態では、家屋５０の出入口５１のオートロック装置に解錠命令を出力する。また、利用制限解除部１５は、取引情報の取引ＩＤに紐付けて設定情報等記憶部１１に記憶されている利用回数を更新（１インクリメント）する（Ｓ２１４）。ここで、取引情報の取引ＩＤに紐付けられて設定情報等記憶部１１に利用回数が登録されていないならば、利用回数「１」を取引情報の取引ＩＤに紐付けて設定情報等記憶部１１に登録する。

一方、利用制限解除部１５は、取引情報に含まれている利用対象の利用に関する希望情報により特定される条件を満足していないと判断したならば（Ｓ２１２でＮＯ）、近距離無線通信部１０を介して利用者端末４にエラー通知を送信する等の所定のエラー処理を実施する（Ｓ２１５）。

つぎに、利用者端末４の詳細を説明する。

図９は、利用者端末４の概略機能構成図である。

図示するように、利用者端末４は、無線ネットワークインターフェース部４０と、近距離無線通信部４１と、マンマシンインターフェース部４２と、記憶部４３と、ログイン要求部４４と、取引要求部４５と、利用許可証要求部４６と、利用許可証送信部４７と、ナンス処理部４８と、を備えている。

無線ネットワークインターフェース部４０は、無線ネットワーク６２および中継装置６１を介してＷＡＮ６０に接続するためのインターフェースである。

近距離無線通信部４１は、ＩｒＤＡ、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の近距離無線通信６３により利用制御装置１と通信を行う。

マンマシンインターフェース部４２は、ユーザに情報を提示したり、ユーザから各種操作を受け付けたりするためのインターフェースであり、例えばタッチパネルディスプレイを有する。

記憶部４３は、ログイン情報記憶部４３０と、鍵情報記憶部４３１と、利用許可証記憶部４３２と、を有する。

ログイン情報記憶部４３０には、利用者のユーザＩＤおよびパスワードを含む、利用者端末４が管理装置２にログインするためのログイン情報が記憶される。

鍵情報記憶部４３１には、利用制御装置１から受信するナンスに対する第３の署名を生成するために用いる第３の秘密鍵が記憶される。

利用許可証記憶部４３２には、管理装置２から取得する利用許可証および第２の署名が記憶される。

ログイン要求部４４は、マンマシンインターフェース部４２を介して利用者から受け付けたログイン操作に従い、ログイン情報記憶部４３０に記憶されているログイン情報を含むログイン要求を管理装置２に送信して、管理装置２にログインする。

取引要求部４５は、管理装置２にログインしている状態において、マンマシンインターフェース部４２を介して利用者から受け付けた取引要求操作に従い、この取引要求操作で利用者から受け付けた提供者のユーザＩＤ、オブジェクトＩＤ、および利用対象の利用に関する希望情報を含む取引要求を管理装置２に送信して、取引ＩＤを含む取引情報を管理装置２から取得する。そして、この取引情報をマンマシンインターフェース部４２に表示する。

利用許可証要求部４６は、管理装置２にログインしている状態において、マンマシンインターフェース部４２を介して利用者から受け付けた利用許可証要求操作に従い、この利用許可証要求操作で利用者から受け付けた取引ＩＤを含む利用許可証要求を管理装置２に送信して、管理装置２から利用許可証を第２の署名とともに取得する。そして、利用許可証および第２の署名を利用許可証記憶部４３２に記憶する。

利用許可証送信部４７は、マンマシンインターフェース部４２を介して利用者から受け付けた利用操作に従い、利用許可証記憶部４３２に記憶されている利用許可証および第２の署名を利用制御装置１に送信する。

ナンス処理部４８は、鍵情報記憶部４３１に記憶されている第３の公開鍵を用いて、利用制御装置１から受信したナンスに対する第３の署名を生成し、生成した第３の署名を利用制御装置１に送信する。

なお、図７に示す利用者端末４の概略機能構成は、ＡＳＩＣ、ＦＰＧＡ等の集積ロジックＩＣによりハード的に実現されるものでもよいし、あるいはＤＳＰ等の計算機によりソフトウエア的に実現されるものでもよい。または、ＣＰＵと、メモリと、フラッシュメモリ等の補助記憶装置と、ＩｒＤＡ通信装置、Ｂｌｕｅｔｏｏｔｈ（登録商標）通信装置等の近距離無線通信装置と、を備えたスマートホン、タブレットＰＣ等のネットワーク端末において、ＣＰＵが所定のプログラムを補助記憶装置からメモリ上にロードして実行することにより実現されるものでもよい。

図１０は、利用者端末４の動作を説明するためのフロー図である。

ログイン要求部４４は、マンマシンインターフェース部４２を介して利用者からログイン操作を受け付けると（Ｓ３００でＹＥＳ）、ログイン情報記憶部４３０に記憶されているログイン情報を含むログイン要求を、無線ネットワークインターフェース部４０を介して管理装置２に送信する（Ｓ３０１）。そして、管理装置２からログイン許可通知を受信したならば（Ｓ３０２でＹＥＳ）、自端末４を管理装置２にログインする（Ｓ３０３）。一方、管理装置２からログイン拒否通知を受信した場合（Ｓ３０２でＮＯ）、ログイン要求部４４は、ログインが拒否された旨のメッセージをマンマシンインターフェース部４２に出力するなどの所定のエラー処理を実施する（Ｓ３０４）。

また、取引要求部４５は、自端末４が管理装置２にログイン中である場合に、マンマシンインターフェース部４２を介して利用者から、希望する利用対象の利用サービスを提供する提供者のユーザＩＤ、この利用対象に設置された利用制御装置１のオブジェクトＩＤ、および、利用対象の利用に関する希望情報（利用希望開始・終了時刻、利用回数等）の指定を伴う取引要求操作を受け付けると（Ｓ３０５でＹＥＳ）、取引要求操作で指定された情報（提供者のユーザＩＤ、オブジェクトＩＤ、および利用対象の利用に関する希望情報）を含む取引要求を、無線ネットワークインターフェース部４０を介して管理装置２に送信する（Ｓ３０６）。そして、管理装置２から取引成立通知を受信したならば（Ｓ３０７でＹＥＳ）、この取引成立通知に含まれている取引情報をマンマシンインターフェース部４２に表示する（Ｓ３０８）。一方、管理装置２から取引不成立通知を受信した場合（Ｓ３０７でＮＯ）、取引要求部４５は、取引が成立しなかった旨のメッセージをマンマシンインターフェース部４２に出力するなどの所定のエラー処理を実施する（Ｓ３０９）。

また、利用許可証要求部４６は、自端末４が管理装置２にログイン中である場合に、マンマシンインターフェース部４２を介して利用者から、取引ＩＤの指定を伴う利用許可証要求操作を受け付けると（Ｓ３１０でＹＥＳ）、利用許可証要求操作で指定された取引ＩＤを含む利用許可証要求を、無線ネットワークインターフェース部４０を介して管理装置２に送信する（Ｓ３１１）。そして、管理装置２から利用許可証を第２の署名とともに受信したならば（Ｓ３１２でＹＥＳ）、この利用許可証および第２の署名を利用許可証記憶部４３２に記憶する（Ｓ３１３）。一方、管理装置２から発行拒否通知を受信した場合（Ｓ３１２でＮＯ）、利用許可証要求部４６は、利用許可証の発行が拒否された旨のメッセージをマンマシンインターフェース部４２に出力するなどの所定のエラー処理を実施する（Ｓ３１４）。

また、利用許可証送信部４７は、近距離無線通信部４１が利用制御装置１と通信可能な状態において、マンマシンインターフェース部４２を介して利用者から利用操作を受け付けると（Ｓ３１５でＹＥＳ）、利用許可証記憶部４３２から利用許可証および第２の署名を読み出して、利用許可証および第２の署名を、近距離無線通信部４１により利用制御装置１に送信する（Ｓ３１６）。それから、ナンス処理部４８は、近距離無線通信部４１を介して利用制御装置１からナンスを受信すると（Ｓ３１７）、鍵情報記憶部４３１に記憶されている第３の秘密鍵を用いて、このナンスに対する第３の署名を生成し、近距離無線通信部４１を介して利用制御装置１に第３の署名を送信する（Ｓ３１８）。その後、ナンス処理部４８は、近距離無線通信部４１を介して利用制御装置１から通知（利用制限解除通知あるいはエラー通知）を受信して、この通知をマンマシンインターフェース部４２に出力する（Ｓ３１９）。

つぎに、管理装置２の詳細を説明する。

図１１は、管理装置２の概略機能構成図である。

図示するように、管理装置２は、ＷＡＮインターフェース部２００と、記憶部２０１と、ユーザ管理部２０２と、オブジェクト管理部２０３と、ホール管理部２０４と、取引管理部２０５と、ログイン処理部２０６と、オブジェクト登録要求処理部２０７と、ホール生成要求処理部２０８と、取引認否問合せ部２０９と、取引要求処理部２１０と、利用許可証要求処理部２１１と、を備えている。

ＷＡＮインターフェース部２００は、ＷＡＮ６０に接続するためのインターフェースである。

記憶部２０１は、利用者情報記憶部２２１と、提供者情報記憶部２２２と、オブジェクトデータ記憶部２２３と、ホールデータ記憶部２２４と、取引情報記憶部２２５と、を有する。

利用者情報記憶部２２１には、利用者毎に利用者情報が記憶される。

図１２は、利用者情報記憶部２２１の登録内容例を模式的に表した図である。

図示するように、利用者情報記憶部２２１には、利用者毎に利用者情報のレコード２２１０が記憶されている。利用者情報のレコード２２１０は、利用者のユーザＩＤを登録するフィールド２２１１と、利用者のパスワードを登録するフィールド２２１２と、利用者端末４のＷＡＮ６０上のアドレス情報を登録するフィールド２２１３と、利用者の氏名、住所、連絡先等の個人情報を登録するフィールド２２１４と、利用者端末４が秘密裏に保持する第３の秘密鍵と対の第３の公開鍵を登録するフィールド２２１５と、を有する。

提供者情報記憶部２２２には、提供者毎に提供者情報が記憶される。

図１３は、提供者情報記憶部２２２の登録内容例を模式的に表した図である。

図示するように、提供者情報記憶部２２２には、提供者毎に提供者情報のレコード２２２０が記憶されている。提供者情報のレコード２２２０は、提供者のユーザＩＤを登録するフィールド２２２１と、提供者のパスワードを登録するフィールド２２２２と、提供者端末３のＷＡＮ６０上のアドレス情報を登録するフィールド２２２３と、提供者の氏名、住所、連絡先等の個人情報を登録するフィールド２２２４と、を有する。

オブジェクトデータ記憶部２２３には、利用制御装置１毎にオブジェクトデータが記憶される。

図１４は、オブジェクトデータ記憶部２２３の登録内容例を模式的に表した図である。

図示するように、オブジェクトデータ記憶部２２３には、利用制御装置１毎にオブジェクトデータのレコード２２３０が記憶されている。オブジェクトデータのレコード２２３０は、識別子であるオブジェクトＩＤを登録するフィールド２２３１と、第１の公開鍵を登録するフィールド２２３２と、第１の秘密鍵を登録するフィールド２２３３と、利用対象である家屋５０の物件名、住所等を含む施設情報を登録するフィールド２２３４と、この利用対象の利用サービスを提供する提供者のユーザＩＤを登録するフィールド２２３５と、を有する。

ホールデータ記憶部２２４には、利用制御装置１毎に、ホールデータを含む情報が記憶される。

図１５は、ホールデータ記憶部２２４の登録内容例を模式的に表した図である。

図示するように、ホールデータ記憶部２２４には、利用制御装置１毎にホールデータのレコード２２４０が記憶されている。ホールデータのレコード２２４０は、識別子であるホールＩＤを登録するフィールド２２４１と、第２の公開鍵を登録するフィールド２２４２と、第２の秘密鍵を登録するフィールド２２４３と、共通鍵を登録するフィールド２２４４と、ホールデータが設定される利用制御装置１に付与されたオブジェクトＩＤを登録するフィールド２２４５と、を有する。ここで、フィールド２２４２、２２４４、２２４５に登録されている第２の公開鍵、共通鍵、オブジェクトＩＤが利用制御装置１に設定されるホールデータを構成している。

取引情報記憶部２２５には、提供者および利用者間で成立した利用対象の利用サービスの取引毎に取引情報が記憶される。

図１６は、取引情報記憶部２２５の登録内容例を模式的に表した図である。

図示するように、取引情報記憶部２２５には、利用サービスの取引毎に取引情報のレコード２２５０が記憶されている。取引情報のレコード２２５０は、識別子である取引ＩＤを登録するフィールド２２５６と、利用サービスの取引対象となる利用対象に設置された利用制御装置１に付与されたオブジェクトＩＤを登録するフィールド２２５１と、利用者のユーザＩＤを登録するフィールド２２５２と、提供者のユーザＩＤを登録するフィールド２２５３と、利用希望開始・終了時刻、利用回数を含む、利用対象の利用に関する希望情報を登録するフィールド２２５４と、利用許可証を取得可能となる利用許可証取得可能時刻を登録するフィールド２２５５と、を有する。

ユーザ管理部２０２は、利用者情報記憶部２２１を用いて利用者情報を管理するとともに、提供者情報記憶部２２２を用いて提供者情報を管理する。

オブジェクト管理部２０３は、オブジェクトデータ記憶部２２３を用いてオブジェクトデータを管理する。

ホール管理部２０４は、ホールデータ記憶部２２４を用いてホールデータを管理する。

取引管理部２０５は、取引情報記憶部２２５を用いて取引情報を管理する。

ログイン処理部２０６は、ユーザ管理部２０２と連携して、提供者端末３および利用者端末４から受信したログイン要求を処理する。

オブジェクト登録要求処理部２０７は、オブジェクト管理部２０３と連携して、提供者端末３から受信したオブジェクト登録要求を処理する。

ホール生成要求処理部２０８は、オブジェクト管理部２０３およびホール管理部２０４と連携して、提供者端末３から受信したホール生成要求を処理する。

取引認否問合せ部２０９は、取引要求処理部２１０の指示に従い、提供者端末３に、利用対象の利用サービスの取引認否を問い合わせる。

取引要求処理部２１０は、取引管理部２０５および取引認否問合せ部２０９と連携して、利用者端末４から受信した取引要求を処理する。

そして、利用許可証要求処理部２１１は、ホール管理部２０４および取引管理部２０５と連携して、利用者端末４から受信した利用許可証要求を処理する。

なお、図１１に示す管理装置２の概略機能構成は、ＡＳＩＣ、ＦＰＧＡ等の集積ロジックＩＣによりハード的に実現されるものでもよいし、あるいはＤＳＰ等の計算機によりソフトウエア的に実現されるものでもよい。または、ＣＰＵと、メモリと、フラッシュメモリ、ハードディスクドライブ等の補助記憶装置と、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｅ Ｃａｒｄ）等の通信装置と、を備えた汎用コンピュータにおいて、ＣＰＵが所定のプログラムを補助記憶装置からメモリ上にロードして実行することにより実現されるものでもよい。また、複数台の汎用コンピュータの連携からなる分散システム上に実現されるものでも構わない。

図１７は、管理装置２の動作を説明するためのフロー図である。

このフローは、ＷＡＮインターフェース部２００がＷＡＮ６０を介して提供者端末３あるいは利用者端末４からログイン要求を受信することにより開始される。

まず、ＷＡＮインターフェース部２００は、受信したログイン要求をログイン処理部２０６に通知する。これを受けて、ログイン処理部２０６は認証処理を実施する（Ｓ４００）。

具体的には、提供者端末３からログイン要求を受信した場合、このログイン要求に含まれている提供者のユーザＩＤの指定を伴うパスワード検索をユーザ管理部２０２に通知する。これを受けて、ユーザ管理部２０２は、ログイン処理部２０６により指定された提供者のユーザＩＤをキーにして、提供者情報記憶部２２２からレコード２２２０を検索する。そして、該当するレコード２２２０を検出できたならば、このレコード２２２０に登録されているパスワードをログイン処理部２０６に通知し、該当するレコード２２２０を検出できなかったならば、該当レコードが存在しない旨をログイン処理部２０６に通知する。一方、利用者端末４からログイン要求を受信した場合、このログイン要求に含まれている利用者のユーザＩＤの指定を伴うパスワード検索をユーザ管理部２０２に通知する。これを受けて、ユーザ管理部２０２は、ログイン処理部２０６により指定された利用者のユーザＩＤをキーにして、利用者情報記憶部２２１からレコード２２１０を検索する。そして、該当するレコード２２１０を検出できたならば、このレコード２２１０に登録されているパスワードをログイン処理部２０６に通知し、該当するレコード２２１０を検出できなかったならば、該当レコードが存在しない旨をログイン処理部２０６に通知する。ログイン処理部２０６は、ユーザ管理部２０２から受け取ったパスワードと受信したログイン要求に含まれているパスワードとが一致するならば、ログインを許可し（認証成立）、一致しないならば、あるいはユーザ管理部２０２から該当レコードが存在しない旨を通知されたならば、ログインを拒否する（認証不成立）。

認証不成立である場合（Ｓ４０１でＮＯ）、ログイン処理部２０６は、ＷＡＮインターフェース部２００を介してログイン要求の送信元にエラーメッセージを送信する等の所定のエラー処理を実施する（Ｓ４１１）。一方、認証成立である場合（Ｓ４０１でＹＥＳ）、ログイン処理部２０６は、ＷＡＮインターフェース部２００を介してログイン要求の送信元にログイン許可通知を送信して、ログイン要求の送信元のログイン状態を管理するとともに、ログイン要求の送信元が提供者端末３であるならば（Ｓ４０２で「提供者」）、Ｓ４０３に進み、利用者端末４であるならば（Ｓ４０２で「利用者」）、Ｓ４０７に進む。

Ｓ４０３において、ＷＡＮインターフェース部２００は、ログイン許可通知の送信先の提供者端末３から要求が送られてくるのを待つ。そして、この提供者端末３から受信した要求がオブジェクト登録要求ならば（Ｓ４０４で「オブジェクト登録要求」）、このオブジェクト登録要求を、この提供者端末３から受信したログイン要求に含まれている提供者のユーザＩＤとともにオブジェクト登録要求処理部２０７に通知して、後述のオブジェクト登録要求処理を実施し（Ｓ４０５）、ホール生成要求ならば（Ｓ４０４で「ホール生成要求」）、このホール生成要求を、この提供者端末３から受信したログイン要求に含まれている提供者のユーザＩＤとともにホール生成要求処理部２０８に通知して、後述のホール生成要求処理を実施する（Ｓ４０６）。

また、Ｓ４０７において、ＷＡＮインターフェース部２００は、ログイン許可通知の送信先の利用者端末４から要求が送られてくるのを待つ。そして、この利用者端末４から受信した要求が取引要求ならば（Ｓ４０８で「取引要求」）、この取引要求を、この利用者端末４から受信したログイン要求に含まれている利用者のユーザＩＤとともに取引要求処理部２１０に通知して、後述の取引要求処理を実施し（Ｓ４０９）、利用許可証要求ならば（Ｓ４０８で「利用許可証要求」）、この利用許可証要求を、この利用者端末４から受信したログイン要求に含まれている利用者のユーザＩＤとともに利用許可証要求処理部２１１に通知して後述の利用許可証要求処理を実施する（Ｓ４１０）。

図１８は、図１７に示すオブジェクト登録要求処理Ｓ４０５を説明するためのフロー図である。

まず、オブジェクト登録要求処理部２０７は、オブジェクトＩＤを発行するとともに（Ｓ４０５０）、公開鍵暗号方式に従って第１の秘密鍵・公開鍵を生成する（Ｓ４０５１）。そして、オブジェクトＩＤおよび第１の秘密鍵・公開鍵と、オブジェクト登録要求に含まれている施設情報と、を含むオブジェクトデータを生成し、このオブジェクトデータを提供者のユーザＩＤとともにオブジェクト管理部２０３に通知して、オブジェクトデータの管理を指示する。

これを受けて、オブジェクト管理部２０３は、オブジェクトデータ記憶部２２３にオブジェクトデータのレコード２２３０を追加して、このレコード２２３０に、オブジェクトデータ（オブジェクトＩＤ、第１の公開鍵、第１の秘密鍵、施設情報）を提供者のユーザＩＤに紐付けて登録する（Ｓ４０５２）。それから、オブジェクト管理部２０３は、オブジェクトＩＤおよび第１の公開鍵をオブジェクト登録要求処理部２０７に通知する。

つぎに、オブジェクト登録要求処理部２０７は、オブジェクト管理部２０３より通知されたオブジェクトＩＤおよび第１の公開鍵を含むオブジェクト登録通知を生成し、このオブジェクト登録通知を、オブジェクト登録要求の送信元である提供者端末３に送信する（Ｓ４０５３）。

図１９は、図１７に示すホール生成要求処理Ｓ４０６を説明するためのフロー図である。

まず、ホール生成要求処理部２０８はホールＩＤを発行する（Ｓ４０６０）。また、公開鍵暗号方式に従って第２の秘密鍵・公開鍵を生成するとともに（Ｓ４０６１）、共通鍵暗号方式に従って共通鍵を生成する（Ｓ４０６２）。

つぎに、ホール生成要求処理部２０８は、ホール生成要求に含まれているオブジェクトＩＤ、第２の公開鍵、および共通鍵を含むホールデータを生成し、このホールデータを、ホールＩＤおよび第２の秘密鍵とともにホール管理部２０４に通知して、ホールデータの管理を指示する。これを受けて、ホール管理部２０４は、ホールデータ記憶部２２４にホールデータのレコード２２４０を追加して、このレコード２２４０にホールデータ（オブジェクトＩＤ、第２の公開鍵、共通鍵）をホールＩＤおよび第２の秘密鍵とともに登録する（Ｓ４０６３）。

つぎに、ホール生成要求処理部２０８は、ホール生成要求に含まれているオブジェクトＩＤをオブジェクト管理部２０３に通知して、第１の秘密鍵の検索を指示する。これを受けて、オブジェクト管理部２０３は、オブジェクトＩＤをキーにして、オブジェクトデータ記憶部２２３からオブジェクトデータのレコード２２３０を検索し、このレコード２２３０に含まれている第１の秘密鍵をホール生成要求処理部２０８に通知する。そして、ホール生成要求処理部２０８は、オブジェクト管理部２０３から通知された第１の秘密鍵を用いて、ホールデータに対する第１の署名を生成する（Ｓ４０６４）。

それから、ホール生成要求処理部２０８は、ホールデータを第１の署名とともに、ホール生成要求の送信元である提供者端末３に送信する（Ｓ４０６５）。

図２０は、図１７に示す取引要求処理Ｓ４０９を説明するためのフロー図である。

まず、取引要求処理部２１０は、取引要求に含まれている提供者のユーザＩＤをユーザ管理部２０２に通知して、取引相手となる提供者の提供者端末３の特定を指示する。これを受けて、ユーザ管理部２０２は、提供者のユーザＩＤをキーにして、提供者情報記憶部２２２から提供者のレコード２２２０を検索する。そして、検出したレコード２２２０に含まれている提供者端末３のアドレス情報を取引要求処理部２１０に通知する（Ｓ４０９０）。

つぎに、取引要求処理部２１０は、取引要求に含まれている利用制御装置１のオブジェクトＩＤおよび利用対象の利用に関する希望情報を、ユーザ管理部２０２から通知されたアドレス情報とともに取引認否問合せ部２０９に通知して、取引認否の問合せを指示する。これを受けて、取引認否問合せ部２０９は、利用制御装置１のオブジェクトＩＤおよび利用対象の利用に関する希望情報を含む取引認否問合せを生成し、ＷＡＮインターフェース部２００を介して、ユーザ管理部２０２から通知されたアドレス情報により特定される提供者端末３に、この取引認否問合せを送信する（Ｓ４０９１）。そして、この取引認否問合せに対する応答を提供者端末３から受信したならば（Ｓ４０９２でＹＥＳ）、この受信した応答を取引要求処理部２１０に通知する。

取引要求処理部２１０は、取引認否問合せに対する応答が取引拒否応答である場合（Ｓ４０９３でＮＯ）、ＷＡＮインターフェース部２００を介して取引要求の送信元である利用者端末４にエラーメッセージを送信する等の所定のエラー処理を実施する（Ｓ４０９７）。

一方、取引要求処理部２１０は、取引認否問合せに対する応答が取引許諾応答である場合（Ｓ４０９３でＹＥＳ）、取引成立と判断し、取引ＩＤを発行するとともに、取引要求に含まれている利用対象の利用に関する希望情報の利用希望開始時刻に基づいて、利用許可証取得可能時刻を決定する（Ｓ４０９４）。例えば、利用許可証取得可能時刻を利用希望開始時刻の２４時間前に決定する。

それから、取引要求処理部２１０は、取引ＩＤと、利用者のユーザＩＤと、取引要求に含まれている提供者のユーザＩＤ、オブジェクトＩＤ、および利用対象の利用に関する希望情報と、利用許可証取得可能時刻と、を含む取引情報を生成する。そして、この生成した取引情報の管理を取引管理部２０５に指示する。これを受けて、取引管理部２０５は、取引情報記憶部２２５に取引情報のレコード２２５０を追加して、このレコード２２５０に取引情報（取引ＩＤ、オブジェクトＩＤ、利用者のユーザＩＤ、提供者のユーザＩＤ、利用対象の利用に関する希望情報、利用許可証取得可能時刻）を登録する（Ｓ４０９５）。

つぎに、取引要求処理部２１０は、取引情報を含む取引成立通知を、取引要求の送信元である利用者端末４に送信する（Ｓ４０９６）。

図２１は、図１７に示す利用許可証要求処理Ｓ４１０を説明するためのフロー図である。

まず、利用許可証要求処理部２１１は、利用許可証要求に含まれている取引ＩＤを取引管理部２０５に通知して、取引情報の検索を指示する。これを受けて、取引管理部２０５は、取引ＩＤをキーにして、取引情報記憶部２２５から取引情報のレコード２２５０を検索する。そして、このレコード２２５０に登録されている取引情報を利用許可証要求処理部２１１に通知する（Ｓ４１００）。

つぎに、利用許可証要求処理部２１１は、取引管理部２０５から通知された取引情報に含まれている利用者のユーザＩＤが、利用許可証要求の送信元である利用者端末４の利用者のユーザＩＤ（ログイン処理部２０６から通知された利用者のユーザＩＤ）であることを確認するとともに、現在時刻が、この取引情報に含まれている利用許可証取得可能時刻を経過していることを確認する（Ｓ４１０１）。

取引情報に含まれている利用者のユーザＩＤが、利用許可証要求の送信元である利用者端末４の利用者のユーザＩＤでない場合、あるいは、現在時刻が、取引情報に含まれている利用許可証取得可能時刻の経過前である場合（Ｓ４１０１でＮＯ）、利用許可証要求処理部２１１は、ＷＡＮインターフェース部２００を介して利用許可証要求の送信元である利用者端末４にエラーメッセージを送信する等の所定のエラー処理を実施する（Ｓ４１０８）。

一方、取引情報に含まれている利用者のユーザＩＤが、利用許可証要求の送信元である利用者端末４の利用者のユーザＩＤであり、かつ、現在時刻が、取引情報に含まれている利用許可証取得可能時刻を経過している場合（Ｓ４１０１でＹＥＳ）、利用許可証要求処理部２１１は、ホール管理部２０４に、特定した取引情報に含まれているオブジェクトＩＤを通知して、共通鍵および第２の秘密鍵の検索を指示する。これを受けて、ホール管理部２０４は、オブジェクトＩＤをキーにして、ホールデータ記憶部２２４からホールデータのレコード２２４０を検索する。そして、検出したレコード２２４０に含まれている共通鍵および第２の秘密鍵を利用許可証要求処理部２１１に通知する（Ｓ４１０２）。

また、利用許可証要求処理部２１１は、ユーザ管理部２０２に、特定した取引情報に含まれている利用者のユーザＩＤを通知して、第３の公開鍵の検索を指示する。これを受けて、ユーザ管理部２０２は、ユーザＩＤをキーにして、利用者情報記憶部２２１から利用者情報のレコード２２１０を検索する。そして、検出したレコード２２１０に含まれている第３の公開鍵を利用許可証要求処理部２１１に通知する（Ｓ４１０３）。

つぎに、利用許可証要求処理部２１１は、ホール管理部２０４から通知された共通鍵を用いて取引情報を暗号化し（Ｓ４１０４）、この暗号化された取引情報と、ユーザ管理部２０２から通知された第３の公開鍵と、を含む利用許可証を生成する（Ｓ４１０５）。そして、利用許可証要求処理部２１１は、ホール管理部２０４から通知された第２の秘密鍵を用いて、利用許可証に対する第２の署名を生成する（Ｓ４１０６）。

つぎに、利用許可証要求処理部２１１は、利用許可証要求の送信元である利用者端末４に利用許可証および第２の署名を送信する（Ｓ４１０７）。

以上、本発明の一実施の形態を説明した。

本実施の形態において、利用制御装置１は、近距離無線通信６３でのみ通信可能であり、ＷＡＮ６０から切り離されている。このため、利用制御装置１がＷＡＮ６０を介して外部から攻撃されることはない。また、利用対象である家屋５０の利用制限を解除するために用いる利用許可証は、ホールデータに含まれている第２の公開鍵を用いて、この利用許可証に付加されている第２の署名を検証することによりその正当性が証明され、さらに、ホールデータは、第１の公開鍵を用いて、このホールデータに付加されている第１の署名を検証することによりその正当性が証明される。また、利用者端末４が、第３の秘密鍵を用いて、利用制御装置１から取得したナンスに対する第３の署名を生成し、利用制御装置１が、利用許可証に含まれている第３の公開鍵を用いて、利用者端末４から取得した第３の署名を検証することにより、利用者端末４の、利用許可証入手先としての正当性が証明される。したがって、本実施の形態によれば、セキュリティ上のリスクが低減される。

また、本実施の形態では、利用許可証に含まれている取引情報の利用対象の利用に関する希望情報を満足する場合にのみ利用対象の利用制限が解除され、満足しない場合には利用対象の利用制限は解除されない。このため、利用可能期間（利用希望開始・終了時刻）、利用回数等の条件を取引情報の利用対象の利用に関する希望情報に含めておくことで、これらの条件に合致しない利用許可証は、たとえその正当性が証明されても無効となるので、利用対象の利用者（利用者端末４の利用者）から利用許可証を返却してもらう必要がない。したがって、本実施の形態によれば、利便性が向上する。

このように、本実施の形態によれば、利用対象の利用管理において、利便性を向上させつつ、セキュリティ上のリスクを低減することができる。

また、本実施の形態において、管理装置２は、取引情報に利用許可証取得可能時刻を含めて管理しており、利用者端末４から利用許可証要求を受信した場合に、この利用許可証要求で指定されている取引ＩＤにより特定される取引情報に含まれている利用許可証取得可能時刻を経過している場合に利用許可証を生成する。このように、利用許可証の取得可能時刻を制限することにより、利用許可証に対する改竄等が可能な機会を減らし、セキュリティをより向上させることができる。

また、本実施の形態において、管理装置２は、利用者端末４から取引要求を受信した場合に、この取引要求に含まれている利用対象の利用に関する希望情報を含む取引認否問合せを提供者端末３に送信する。そして、この取引認否問合せに対する応答として取引許諾応答を提供者端末３から受信した場合に、取引情報を生成するとともに、この取引情報に含まれている利用許可証取得可能時刻を含む取引成立通知を利用者端末４に送信する。このため、提供者は、利用対象の利用サービスの取引（提供）毎に、取引の承諾・不承諾の意思を示すことができ、一方、利用者は、取引成立の場合にのみ利用許可証の取得可能時刻を知ることができる。したがって、利用対象の利用サービスの提供者および利用者双方の利便性がさらに向上する。

なお、本発明は上記の実施の形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

例えば、上記の実施の形態において、利用制御装置１は、利用者端末４から利用許可証および第２の署名を受信すると、利用者端末４にナンスを送信して、利用者端末４から第３の署名を取得し、第２および第３の署名の両方を検証している。しかし、本発明はこれに限定されない。まず、第２および第３の署名の一方を先に検証して、この検証が成立した場合にのみ、他方を検証するようにしてもよい。例えば、利用者端末４へのナンス送信に先立って第２の署名を検証し、この検証が成立した場合にのみ、利用者端末４にナンスを送信して、利用者端末４から第３の署名を取得し、第３の署名を検証してもよい。

また、上記の実施の形態では、管理装置２と利用制御装置１との間で鍵共有した共通鍵を用いて、管理装置２は、利用者端末４に送信する利用許可証に含める取引情報を暗号化し、利用制御装置１は、利用者端末４から受信した利用許可証に含まれている暗号化された取引情報を復号している。しかし、本発明はこれに限定されない。取引情報は、暗号化せずに、平文のまま、利用者端末４経由で管理装置２から利用制御装置１へ送信されるようにしてもよい。

また、上記の実施の形態では、取引情報に含める利用対象の利用に関する希望情報として、利用希望開始・終了時刻および利用回数を用いた場合を例にとり説明した。しかし、本発明はこれに限定されない。利用対象の利用に関する希望情報は、利用対象の利用制限の解除に関する条件を定めるものであればよく、利用希望開始・終了時刻および利用回数の一方のみを含むものでもよい。あるいは、利用希望開始・終了時刻および利用回数に代えて、あるいはそれらの一方に代えて、別の条件を含めてもよい。

また、上記の実施の形態では、管理装置２に記憶部２０１を配置している。しかし、本発明はこれに限定されない。記憶部２０１は、ＷＡＮ６０に接続されたファイルサーバに保持させてもよい。この場合、利用者情報記憶部２２１、提供者情報記憶部２２２、オブジェクトデータ記憶部２２３、ホールデータ記憶部２２４、および取引情報記憶部２２５をそれぞれ別のファイルサーバに保持させてもよい。あるいは、それぞれを複数に分割して複数台のファイルサーバに分散保持させてもよい。また、これらの記憶部２２１〜２２５に記憶される情報は、ブロックチェーン技術等を利用してその正当性が保証されていることが好ましい。

また、上記の実施の形態では、利用制御装置１を利用対象である家屋５０の出入口５１に設置されたオートロック装置の解錠に用いる場合を例にとり説明したが、本発明はこれに限定されない。ホテル、旅館、民泊施設、倉庫、部屋等を利用対象とし、これらの出入口に設置されたオートロック装置の解錠に利用制御装置１を用いてもよい。あるいは、自動車、自転車等の移動体を利用対象とし、移動体のドアの解除あるいはイグニションの始動に利用制御装置を用いてもよい。または、電子カルテ、電子書籍等の電子媒体の閲覧端末を利用対象とし、電子媒体のアクセス制限の解除、あるいは暗号化された電子媒体の復号に利用制御装置１を用いてもよいし、例えば秘密情報等が格納された電子的および非電子的な記録媒体が格納された保管庫を利用対象とし、記録媒体へのアクセス制限の解除に利用制御装置１を用いてもよい。これらの場合において、媒体へのアクセスログを、利用制御装置１が記録するようにしてもよい。

１：利用制御装置 ２：管理装置 ３：提供者端末 ４：利用者端末
１０：近距離無線通信部 １１：設定情報等記憶部
１２：オブジェクト設定部 １３：ホール設定部 １４：署名取得部
１５：利用制限解除部 １６：署名検証部 １７：復号部
４０：無線ネットワークインターフェース部 ４１：近距離無線通信部
４２：マンマシンインターフェース部 ４３：記憶部
４４：ログイン要求部 ４５：取引要求部 ４６：利用許可証要求部
４７：利用許可証送信部 ４８：ナンス処理部
５０：家屋 ５１：出入口 ６０：ＷＡＮ ６１：中継装置
６２：無線ネットワーク ６３：近距離無線通信
２００：ＷＡＮインターフェース部 ２０１：記憶部
２０２：ユーザ管理部 ２０３：オブジェクト管理部
２０４：ホール管理部 ２０５：取引管理部 ２０６：ログイン処理部
２０７：オブジェクト登録要求処理部 ２０８：ホール生成要求処理部
２０９：取引認否問合せ部 ２１０：取引要求処理部
２１１：利用許可証要求処理部 ２２１：利用者情報記憶部
２２２：提供者情報記憶部 ２２３：オブジェクトデータ記憶部
２２４：ホールデータ記憶部 ２２５：取引情報記憶部
４３０：ログイン情報記憶部 ４３１：鍵情報記憶部
４３２：利用許可証記憶部

Claims (11)

1. 利用対象の利用を管理する利用管理システムであって、
   利用許可証に基づいて、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用対象の利用を制御する利用制御装置と、
   前記利用対象を前記利用制御装置に対応付けて管理する管理装置と、
   前記利用制御装置に、前記利用許可証の検証に必要なホールデータを設定する提供者端末と、
   前記利用制御装置に前記利用許可証を通知する利用者端末と、を備え、
   前記管理装置は、
   前記利用対象の利用に関する条件を含む取引情報を管理する取引管理手段と、
   前記利用制御装置に対応付けて第１の秘密鍵・公開鍵を管理するオブジェクト管理手段と、
   前記利用制御装置に対応付けて第２の秘密鍵・公開鍵を管理するホール管理手段と、
   前記利用者端末に対応付けて第３の公開鍵を管理する利用者管理手段と、
   前記オブジェクト管理手段により管理されている前記第１の秘密鍵を用いて、前記ホール管理手段により管理されている前記第２の公開鍵を含む前記ホールデータに対する第１の署名を生成し、前記ホールデータおよび前記第１の署名を前記提供者端末に送信するホールデータ処理手段と、
   前記ホール管理手段により管理されている前記第２の秘密鍵を用いて、前記取引管理手段により管理されている前記取引情報および前記利用者管理手段により管理されている前記第３の公開鍵を含む前記利用許可証に対する第２の署名を生成し、前記利用許可証および前記第２の署名を前記利用者端末に送信する利用許可証処理手段と、を有し、
   前記提供者端末は、
   前記管理装置から受信した前記ホールデータおよび前記第１の署名を、近距離無線通信により前記利用制御装置に送信し、
   前記利用者端末は、
   自身に対応付けられて前記管理装置の前記利用者管理手段に記憶されている前記第３の公開鍵と対の第３の秘密鍵を記憶する秘密鍵記憶手段と、
   前記管理装置から受信した前記利用許可証および前記第２の署名を、近距離無線通信により前記利用制御装置に送信する利用許可証送信手段と、
   前記秘密鍵記憶手段に記憶されている前記第３の秘密鍵を用いて、前記利用制御装置から受信したナンスに対する第３の署名を生成し、近距離無線通信により当該第３の署名を前記利用制御装置に送信するナンス処理手段と、を有し、
   前記利用制御装置は、
   近距離無線通信でのみ通信可能であり、
   前記提供者端末から前記ホールデータとともに受信した前記第１の署名を、予め登録されている前記第１の公開鍵で検証し、検証成立したならば、前記ホールデータを自装置に設定するホール設定手段と、
   前記利用者端末から前記利用許可証および前記第２の署名を受信した場合に、当該利用者端末に前記ナンスを送信して、当該利用者端末から前記第３の署名を取得する署名取得手段と、
   前記利用者端末から前記利用許可証とともに受信した前記第２の署名を、自装置に設定されている前記ホールデータに含まれている前記第２の公開鍵で検証するとともに、前記署名取得手段により取得された前記第３の署名を、前記利用許可証に含まれている前記第３の公開鍵で検証し、前記第２および第３の署名に対する検証が成立したならば、前記利用許可証に含まれている前記取引情報を取得する取引情報取得手段と、
   前記取引情報取得手段により取得された前記取引情報を参照し、前記取引情報により特定される条件を満足するならば、前記利用対象の利用制限を解除する解除手段と、を有する
   ことを特徴とする利用管理システム。
2. 請求項１に記載の利用管理システムであって、
   前記管理装置において、
   前記取引管理手段は、前記取引情報に利用許可証取得可能時刻を含めて管理し、
   前記利用許可証処理手段は、前記取引情報の指定を伴う利用許可証要求を前記利用者端末から受信した場合に、前記取引管理手段により管理されている、前記利用許可証要求で指定された前記取引情報に含まれている利用許可証取得可能時刻を経過しているならば、前記取引情報および前記利用者管理手段により管理されている前記第３の公開鍵を含む前記利用許可証を生成するとともに、前記ホール管理手段により管理されている前記第２の秘密鍵を用いて、前記利用許可証に対する第２の署名を生成し、前記利用許可証および前記第２の署名を前記利用者端末に送信する
   ことを特徴とする利用管理システム。
3. 請求項２に記載の利用管理システムであって、
   前記管理装置は、
   前記利用対象の利用に関する条件を含む利用要求を前記利用者端末から受信した場合に、当該条件を含み、前記利用対象の利用サービスの取引認否を問い合わせる取引認否問合せを前記提供者端末に送信する取引認否問合せ手段と、
   前記取引認否問合せ手段により前記提供者端末に送信された前記取引認否問合せに対する応答として、前記提供者端末から取引許諾応答を受信した場合に、前記取引認否問合せに含まれている前記利用対象の利用に関する条件および前記利用許可証取得可能時刻を含む前記取引情報を生成するとともに、当該利用許可証取得可能時刻を含む取引成立通知を前記利用者端末に送信する取引情報処理手段と、をさらに有する
   ことを特徴とする利用管理システム。
4. 請求項１ないし３のいずれか一項に記載の利用管理システムであって、
   前記管理装置において、
   前記ホールデータ処理手段は、前記利用制御装置の指定を伴うホール生成要求を前記提供者端末から受信した場合に、前記第２の秘密鍵・公開鍵を生成するとともに、前記ホール生成要求に従い、前記第２の公開鍵を含む前記ホールデータに対する前記第１の署名を、前記オブジェクト管理手段により管理されている前記第１の秘密鍵を用いて生成し、前記ホールデータおよび前記第１の署名を前記提供者端末に送信する
   ことを特徴とする利用管理システム。
5. 請求項１ないし４のいずれか一項に記載の利用管理システムであって、
   前記管理装置において、
   前記利用制御装置の指定を伴うオブジェクト登録要求を前記提供者端末から受信した場合に、前記第１の秘密鍵・公開鍵を生成するとともに、当該第１の公開鍵を含むオブジェクト登録通知を前記提供者端末に送信するオブジェクト登録要求処理手段をさらに有し、
   前記提供者端末は、
   前記管理装置から受信した前記オブジェクト登録通知を、近距離無線通信により前記利用制御装置に送信し、
   前記利用制御装置は、
   前記提供者端末から受信した前記オブジェクト登録通知に含まれている前記第１の公開鍵を登録する
   ことを特徴とする利用管理システム。
6. 請求項１ないし５のいずれか一項に記載の利用管理システムであって、
   前記管理装置において、
   前記ホール管理手段は、前記利用制御装置に対応付けて共通鍵も管理しており、
   前記ホールデータ処理手段は、前記ホールデータに前記共通鍵を含めて送信し、
   前記利用許可証処理手段は、前記共通鍵を用いて、前記利用許可証に含める前記取引情報を暗号化し、
   前記利用制御装置において、
   前記取引情報取得手段は、自装置に設定されている前記ホールデータに含まれている前記共通鍵を用いて、前記利用許可証に含まれている暗号化された前記取引情報を復号する
   ことを特徴とする利用管理システム。
7. 利用許可証に基づいて、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用対象の利用を制御する利用制御装置を管理する管理装置であって、
   前記利用対象の利用に関する条件を含む取引情報を管理する取引管理手段と、
   前記利用制御装置に対応付けて第１の秘密鍵・公開鍵を管理するオブジェクト管理手段と、
   前記利用制御装置に対応付けて第２の秘密鍵・公開鍵を管理するホール管理手段と、
   前記利用制御装置に前記利用許可証を通知する利用者端末に対応付けて第３の公開鍵を管理する利用者管理手段と、
   前記オブジェクト管理手段により管理されている前記第１の秘密鍵を用いて、前記ホール管理手段により管理されている前記第２の公開鍵を含む前記利用許可証の検証に必要なホールデータに対する第１の署名を生成し、前記ホールデータおよび前記第１の署名を、前記利用制御装置に前記ホールデータを設定する提供者端末に送信するホールデータ処理手段と、
   前記ホール管理手段により管理されている前記第２の秘密鍵を用いて、前記取引管理手段により管理されている前記取引情報および前記利用者管理手段により管理されている前記第３の公開鍵を含む前記利用許可証に対する第２の署名を生成し、前記利用許可証および前記第２の署名を前記利用者端末に送信する利用許可証処理手段と、を有する
   ことを特徴とする管理装置。
8. 利用許可証に基づいて、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用対象の利用を制御する利用制御装置であって、
   近距離無線通信でのみ通信可能であり、
   提供者端末から前記利用許可証の検証に必要なホールデータとともに受信した第１の署名を、予め登録されている第１の公開鍵で検証し、検証成立したならば、前記ホールデータを自装置に設定するホール設定手段と、
   利用者端末から前記利用許可証を第２の署名とともに受信した場合に、当該利用者端末にナンスを送信して、当該利用者端末から第３の署名を取得する署名取得手段と、
   前記利用者端末から前記利用許可証とともに受信した前記第２の署名を、自装置に設定されている前記ホールデータに含まれている第２の公開鍵で検証するとともに、前記署名取得手段により取得された前記第３の署名を、前記利用許可証に含まれている第３の公開鍵で検証し、前記第２および第３の署名に対する検証が成立したならば、前記利用許可証に含まれている取引情報を取得する取引情報取得手段と、
   前記取引情報取得手段により取得された前記取引情報を参照し、前記取引情報により特定される条件を満足するならば、前記利用対象の利用制限を解除する解除手段と、を有する
   ことを特徴とする利用制御装置。
9. 利用許可証に基づいて、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用対象の利用を制御する利用制御装置と、前記利用対象を前記利用制御装置に対応付けて管理する管理装置と、前記利用制御装置に、前記利用許可証の検証に必要なホールデータを設定する提供者端末と、前記利用制御装置に前記利用許可証を通知する利用者端末と、を用いて、前記利用対象の利用を管理する利用管理方法であって、
   前記管理装置は、
   前記利用制御装置が所持する第１の公開鍵と対の第１の秘密鍵を用いて、第２の公開鍵を含む前記ホールデータに対する第１の署名を生成し、前記ホールデータおよび前記第１の署名を前記提供者端末に送信し、
   前記第２の公開鍵と対の第２の秘密鍵を用いて、前記利用対象の利用に関する条件を含む取引情報および前記利用者端末が所持する第３の秘密鍵と対の第３の公開鍵を含む前記利用許可証に対する第２の署名を生成し、前記利用許可証および前記第２の署名を前記利用者端末に送信し、
   前記提供者端末は、
   前記管理装置から受信した前記ホールデータおよび前記第１の署名を、近距離無線通信により前記利用制御装置に送信し、
   前記利用者端末は、
   前記管理装置から受信した前記利用許可証および前記第２の署名を、近距離無線通信により前記利用制御装置に送信し、
   前記利用制御装置からナンスを受信したならば、予め登録されている前記第３の秘密鍵を用いて、前記ナンスに対する第３の署名を生成し、近距離無線通信により前記第３の署名を前記利用制御装置に送信し、
   前記利用制御装置は、
   近距離無線通信でのみ通信可能であり、
   前記提供者端末から前記ホールデータとともに受信した前記第１の署名を、予め登録されている前記第１の公開鍵で検証し、検証成立したならば、前記ホールデータを自装置に設定し、
   前記利用者端末から前記利用許可証とともに受信した前記第２の署名を、自装置に設定されている前記ホールデータに含まれている前記第２の公開鍵で検証するとともに、前記ナンスを前記利用者端末に送信して、前記利用者端末から前記第３の署名を受信し、当該第３の署名を前記利用許可証に含まれている前記第３の公開鍵で検証し、
   前記第２および第３の署名の検証がともに成立したならば、前記利用許可証に含まれている前記取引情報を参照し、前記取引情報により特定される条件を満足するならば、前記利用対象の利用制限を解除する
   ことを特徴とする利用管理方法。
10. コンピュータを、利用許可証に基づいて、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用対象の利用を制御する利用制御装置を管理する管理装置として機能させるプログラムであって、
    前記プログラムは、前記コンピュータを、
    前記利用対象の利用に関する条件を含む取引情報を管理する取引管理手段、
    前記利用制御装置に対応付けて第１の秘密鍵・公開鍵を管理するオブジェクト管理手段、
    前記利用制御装置に対応付けて第２の秘密鍵・公開鍵を管理するホール管理手段、
    前記利用制御装置に前記利用許可証を通知する利用者端末に対応付けて第３の公開鍵を管理する利用者管理手段、
    前記オブジェクト管理手段により管理されている前記第１の秘密鍵を用いて、前記ホール管理手段により管理されている前記第２の公開鍵を含む前記利用許可証の検証に必要なホールデータに対する第１の署名を生成し、前記ホールデータおよび前記第１の署名を、前記利用制御装置に前記ホールデータを設定する提供者端末に送信するホールデータ処理手段、および、
    前記ホール管理手段により管理されている前記第２の秘密鍵を用いて、前記取引管理手段により管理されている前記取引情報および前記利用者管理手段により管理されている前記第３の公開鍵を含む前記利用許可証に対する第２の署名を生成し、前記利用許可証および前記第２の署名を前記利用者端末に送信する利用許可証処理手段として機能させる
    ことを特徴とするプログラム。
11. 近距離無線通信でのみ通信可能なコンピュータを、利用許可証に基づいて、施錠・解錠、アクセス制御、あるいは暗号化・復号により利用対象の利用を制御する利用制御装置として機能させるプログラムであって、
    前記プログラムは、前記コンピュータを、
    提供者端末から前記利用許可証の検証に必要なホールデータとともに受信した第１の署名を、予め登録されている第１の公開鍵で検証し、検証成立したならば、前記ホールデータを自装置に設定するホール設定手段、
    利用者端末から前記利用許可証を第２の署名とともに受信した場合に、当該利用者端末にナンスを送信して、当該利用者端末から第３の署名を取得する署名取得手段、
    前記利用者端末から前記利用許可証とともに受信した前記第２の署名を、自装置に設定されている前記ホールデータに含まれている第２の公開鍵で検証するとともに、前記署名取得手段により取得された前記第３の署名を、前記利用許可証に含まれている第３の公開鍵で検証し、前記第２および第３の署名に対する検証が成立したならば、前記利用許可証に含まれている取引情報を取得する取引情報取得手段、および、
    前記取引情報取得手段により取得された前記取引情報を参照し、前記取引情報により特定される条件を満足するならば、前記利用対象の利用制限を解除する解除手段として機能させる
    ことを特徴とするプログラム。

Images