(57)【特許請求の範囲】
【請求項１】
サービス有効期限とサービス識別子と累積サービス回数を含む履歴データのリストを蓄積する履歴蓄積部と、第１の日付データを格納するカウンタ部とを有し、サービス有効期限とサービス識別子を含む履歴記録要求を受信する手段と、
前記サービス有効期限が前記第１の日付データより大きいか比較する手段と、
大きい場合に前記サービス有効期限とサービス識別子を含む履歴データを前記履歴蓄積部に格納する手段と、
前記履歴記録要求の処理結果を送信する手段と、
第２の日付データを含む履歴消去要求を受信する手段と、
第２の日付データが第１の日付データよりも大きいか比較する手段と、
大きい場合に第２の日付データをカウンタ部に格納する手段と、
第２の日付データより小さい有効期限を有する履歴データを履歴蓄積部から削除する手段と、
前記履歴消去要求の処理結果を送信する手段とを備えた
ことを特徴とする履歴蓄積装置。
【請求項２】
請求項１に記載の履歴蓄積装置において、
前記履歴記録要求はチャレンジを含み、履歴蓄積装置の鍵により前記サービス有効期限と前記サービス識別子とチャレンジを含むデータに対してディジタル署名を行う署名生成手段を備え、
前記履歴記録要求の処理結果は、前記ディジタル署名を含む
ことを特徴とする履歴蓄積装置。
【請求項３】
履歴蓄積装置と接続する接続手段と、
サービスの有効期限を記録する有効期限記録部と、サービスの識別子を記録するサービスＩＤ記録部とを有し、該有効期限記録部及びサービスＩＤ記録部からサービス有効期限及びサービス識別子を取得し、履歴蓄積装置に前記サービス有効期限とサービス識別子を含む履歴記録要求を送信する手段と、
前記履歴記録要求に対し、履歴蓄積装置において前記サービス有効期限と直前の履歴消去日付とどちらが大きいかを比較し、有効期限の方が大きい場合に前記サービス有効期限とサービス識別子と当該サービスを過去に何回受けたかを示す累積サービス回数を含む履歴データを記録する処理を行った結果を該履歴蓄積装置から受信する手段と、
前記履歴記録要求の処理結果を表示部に表示する手段とを備えた
ことを特徴とする検証装置。
【請求項４】
請求項３に記載の検証装置において、
サービスの有効期限を記録する有効期限記録部と、サービスの識別子を記録するサービスＩＤ記録部と、チャレンジを生成する乱数生成部とを有し、該有効期限記録部及びサービスＩＤ記録部からサービス有効期限及びサービス識別子を取得し、履歴蓄積装置に前記サービス有効期限とサービス識別子と前記乱数生成部で生成されたチャレンジを含む履歴記録要求を送信する手段と、
前記履歴記録要求に対し、履歴蓄積装置において前記サービス有効期限と直前の履歴消去日付とどちらが大きいかを比較し、有効期限の方が大きい場合に前記サービス有効期限とサービス識別子と当該サービスを過去に何回受けたかを示す累積サービス回数を含む履歴データを記録し、前記サービス有効期限とサービス識別子と当該サービスを過去に何回受けたかを示す累積サービス回数とチャレンジを含むデータに対して当該履歴蓄積装置の鍵によりディジタル署名する処理を行った結果を該履歴蓄積装置から受信する手段と、
前記履歴記録要求の処理結果に含まれるディジタル署名を検証する署名検証手段とを備えた
ことを特徴とする検証装置。
【請求項５】
前記請求項３又は４に記載の検証装置において、
現在の日付データを生成するタイマ部を有し、該タイマ部から現在の日付データを取得し、該現在の日付データより一日乃至一週間程度前の新たな履歴消去日付を含む履歴消去要求を送信する手段と、
前記履歴消去要求に対し、履歴蓄積装置において前記新たな履歴消去日付と直前の履歴消去日付とどちらが大きいかを比較し、新たな履歴消去日付の方が大きい場合に該新たな履歴消去日付より以前の履歴データを消去する処理を行った結果を該履歴蓄積装置から受信する手段と、
前記履歴消去要求の処理結果を表示部に表示する手段とを備えた
ことを特徴とする検証装置。
【請求項６】
発行装置と電子財布装置と改札装置とから構成される電子権利流通シス
テムにおいて、
発行装置は請求項３乃至５いずれかに記載の検証装置を含み、
電子財布装置は請求項１又は２に記載の履歴蓄積装置を含み、
また、発行装置は履歴記録要求を電子財布装置に送信する手段を有し、
また、電子財布装置は前記履歴記録要求に基づき履歴データをその履歴蓄積部に記録する処理を行った際の累積回数を含む処理結果を発行装置に送信する手段を有し、
また、発行装置は前記処理結果を検証し、累積回数が指定された回数制限以下であるという制約条件を充足しているか検証する手段と、制約条件を充足している時にのみ電子権利を発行する手段とを有する
ことを特徴とする電子権利流通システム。
【請求項７】
請求項６に記載の電子権利流通システムにおいて、
電子財布装置はさらに請求項３乃至５いずれかに記載の検証装置を含み、
また、電子財布装置は履歴記録要求を譲渡先の電子財布装置に送信する手段と、履歴記録要求に基づき履歴データをその履歴蓄積部に記録する処理を行った際の累積回数を含む処理結果を譲渡元の電子財布装置に送信する手段と、前記処理結果を検証し、累積回数が指定された回数制限以下であるという制約条件を充足しているか検証する手段と、制約条件を充足している時にのみ電子権利を譲渡先の電子財布装置に移動する手段とを有する
ことを特徴とする電子権利流通システム。
【請求項８】
発行装置と電子財布装置と改札装置とから構成される電子権利流通システムにおいて、
改札装置は請求項３乃至５いずれかに記載の検証装置を含み、
電子財布装置は請求項１又は２に記載の履歴蓄積装置を含み、
また、改札装置は履歴記録要求を電子財布装置に送信する手段を有し、
また、電子財布装置は前記履歴記録要求に基づき履歴データをその履歴蓄積部に記録する処理を行った際の累積回数を含む処理結果を改札装置に送信する手段を有し、
また、改札装置は前記処理結果を検証し、累積回数が指定された回数制限以下であるという制約条件を充足しているか検証する手段と、制約条件を充足している時にのみ電子権利を改札する手段とを有する
ことを特徴とする電子権利流通システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、利用者に提供するサービスで回数制限が設けられているもの、例えば優待券利用、バーゲン品購入、試供品引換、人気コンサートチケット購入、アンケート回答、人気投票等をＩＣカード等の耐タンパ装置を用いて制限回数を超えて不正にサービスを受けることを防止するための方法とその装置に関するものである。
【０００２】
【従来の技術】
近年、紙で流通しているチケットやクーポンを電子化して、ネットワーク上で流通させる電子権利流通システムが多数提案されている。例えば、特願２０００−０３８８７５号のように、ＩＣカード等の耐タンパ装置を使用して、偽造、改ざん、二重使用を防止し、安全に流通させるための方法や、特開２０００−１２３０９５号のように、多様な種別のチケットやクーポンを共通の装置で流通させるための方法に関するもの等がある。
【０００３】
しかし、これら従来の二重使用を防止する電子権利流通システムは、一旦発行された一枚の電子権利の二重使用を防止可能にするものであって、バーゲン品の購入あるいは試供品の受け取りを一人一つ限り等に制限することや、人気投票において同一人物が複数回投票券を取得して二重に投票することを防止する方法を提供するものではない。
【０００４】
同じ利用者によって同じ種類の権利が制限回数以上行使されることを防止する第一の方法としては、電子権利の発行システムにおいて電子権利の発行履歴をデータベースに保存し、発行時にこのデータベースを参照して同一の利用者に対して制限回数を超えて電子権利を発行しないように制御するという方法がある。
【０００５】
しかし、この方法でチェックが可能になるのは発行時だけであるため、譲渡が許されている電子権利の場合には効果がない。例えば、紙のチケットと同様に多くのアルバイトを雇って電子チケットの買い占めを行い、別の利用者に高く販売する、いわゆるダフ行為は防止できない。
【０００６】
また、同様の方法として、電子権利の改札履歴をデータベースに保存し、発行時ではなく改札時にこのデータベースを参照して同一の利用者に対して制限回数を超えて電子権利を改札しないように制御するという方法もある。
【０００７】
しかし、この方法でも、発行時のチェックと同様に譲渡が許されている電子権利の場合には効果がない。また、ネットワークに接続してデータベースにアクセスすることが必要となるため、高速な改札が要求される応用では、適用することが困難な場合があった。
【０００８】
そこで、これらの問題を解決するための第二の方法としては、これらの各権利の行使あるいはサービスの提供の履歴を利用者自身が保有するＩＣカード等の耐タンパ装置に記録し、サービスを提供する際に利用者にＩＣカードの提示を求め、提示されたＩＣカードの履歴を調べることにより既に制限回数を超えていないかを確認する方法が考えられる。
【０００９】
この方法ではオフライン環境であっても高速に確認できるが、使用履歴が単調に増加していくため、ＩＣカードのように記憶容量が小さい装置では、記憶領域がすぐに一杯になってしまうという問題があった。
【００１０】
【発明が解決しようとする課題】
本発明は、以上の問題点を解決するためのものであり、例えば試供品引換、優待券利用、バーゲン品購入、人気コンサートチケット購入、アンケート回答、人気投票等のように、一利用者が一定期間内に受けられるサービスに回数制限が設けられる場合に、この制限を超えているかどうかをオフラインで確実にチェックする方法と装置を提供することを目的としており、特に、上記第二の方法によって利用者自身が保持するＩＣカード等の耐タンパ装置にサービス提供の履歴を記録する方法において、不要な履歴を安全に削除する機能を提供することにより必要となる記憶容量を削減することにある。
【００１１】
【課題を解決するための手段】
前記目的を達成するため、本発明の請求項１では、サービス有効期限とサービス識別子と累積サービス回数を含む履歴データのリストを蓄積する履歴蓄積部と、第１の日付データを格納するカウンタ部とを有し、サービス有効期限とサービス識別子を含む履歴記録要求を受信する手段と、前記サービス有効期限が前記第１の日付データより大きいか比較する手段と、大きい場合に前記サービス有効期限とサービス識別子を含む履歴データを前記履歴蓄積部に格納する手段と、前記履歴記録要求の処理結果を送信する手段と、第２の日付データを含む履歴消去要求を受信する手段と、第２の日付データが第１の日付データよりも大きいか比較する手段と、大きい場合に第２の日付データをカウンタ部に格納する手段と、第２の日付データより小さい有効期限を有する履歴データを履歴蓄積部から削除する手段と、前記履歴消去要求の処理結果を送信する手段とを備えたことを特徴とする履歴蓄積装置を提案する。
【００１２】
前記構成によれば、サービス有効期限が第１の日付データより大きい場合のみ履歴データが記録または更新されて履歴記録要求の処理結果が返却され、サービス提供の可否の判断が可能になり、また、第２の日付データが第１の日付データよりも大きい場合のみ第２の日付データより小さい有効期限を有する履歴データが削除されるため、サービスの回数制限をオフラインで確実にチェックできるとともに不要な履歴データのみを安全に削除できる。
【００１３】
また、本発明の請求項２では、請求項１に記載の履歴蓄積装置において、前記履歴記録要求はチャレンジを含み、履歴蓄積装置の鍵により前記サービス有効期限と前記サービス識別子とチャレンジを含むデータに対してディジタル署名を行う署名生成手段を備え、前記履歴記録要求の処理結果は、前記ディジタル署名を含むことを特徴とする履歴蓄積装置を提案する。
【００１４】
前記構成によれば、前述した履歴蓄積装置がディジタル署名を付与された履歴記録要求の処理結果を生成でき、前記処理結果の不正な改ざん防止が可能になる。
【００１５】
また、本発明の請求項３では、履歴蓄積装置と接続する接続手段と、サービスの有効期限を記録する有効期限記録部と、サービスの識別子を記録するサービスＩＤ記録部とを有し、該有効期限記録部及びサービスＩＤ記録部からサービス有効期限及びサービス識別子を取得し、履歴蓄積装置に前記サービス有効期限とサービス識別子を含む履歴記録要求を送信する手段と、前記履歴記録要求に対し、履歴蓄積装置において前記サービス有効期限と直前の履歴消去日付とどちらが大きいかを比較し、有効期限の方が大きい場合に前記サービス有効期限とサービス識別子と当該サービスを過去に何回受けたかを示す累積サービス回数を含む履歴データを記録する処理を行った結果を該履歴蓄積装置から受信する手段と、前記履歴記録要求の処理結果を表示部に表示する手段とを備えたことを特徴とする検証装置を提案する。
【００１６】
前記構成によれば、前述した履歴蓄積装置の履歴データを取得でき、サービス提供の可否を確実にチェックできる。
【００１７】
また、本発明の請求項４では、請求項３に記載の検証装置において、サービスの有効期限を記録する有効期限記録部と、サービスの識別子を記録するサービスＩＤ記録部と、チャレンジを生成する乱数生成部とを有し、該有効期限記録部及びサービスＩＤ記録部からサービス有効期限及びサービス識別子を取得し、履歴蓄積装置に前記サービス有効期限とサービス識別子と前記乱数生成部で生成されたチャレンジを含む履歴記録要求を送信する手段と、前記履歴記録要求に対し、履歴蓄積装置において前記サービス有効期限と直前の履歴消去日付とどちらが大きいかを比較し、有効期限の方が大きい場合に前記サービス有効期限とサービス識別子と当該サービスを過去に何回受けたかを示す累積サービス回数を含む履歴データを記録し、前記サービス有効期限とサービス識別子と当該サービスを過去に何回受けたかを示す累積サービス回数とチャレンジを含むデータに対して当該履歴蓄積装置の鍵によりディジタル署名する処理を行った結果を該履歴蓄積装置から受信する手段と、前記履歴記録要求の処理結果に含まれるディジタル署名を検証する署名検証手段とを備えたことを特徴とする検証装置を提案する。
【００１８】
前記構成によれば、前述した履歴蓄積装置が生成した履歴記録要求の処理結果に付与されたディジタル署名を検証でき、前記処理結果の不正な改ざん防止が可能になる。
【００１９】
また、本発明の請求項５では、前記請求項３又は４に記載の検証装置において、現在の日付データを生成するタイマ部を有し、該タイマ部から現在の日付データを取得し、該現在の日付データより一日乃至一週間程度前の新たな履歴消去日付を含む履歴消去要求を送信する手段と、前記履歴消去要求に対し、履歴蓄積装置において前記新たな履歴消去日付と直前の履歴消去日付とどちらが大きいかを比較し、新たな履歴消去日付の方が大きい場合に該新たな履歴消去日付より以前の履歴データを消去する処理を行った結果を該履歴蓄積装置から受信する手段と、前記履歴消去要求の処理結果を表示部に表示する手段とを備えたことを特徴とする検証装置を提案する。
【００２０】
前記構成によれば、前述した履歴蓄積装置中の不要な履歴データのみを安全に削除できる。
【００２１】
また、本発明の請求項６では、発行装置と電子財布装置と改札装置とから構成される電子権利流通システムにおいて、発行装置は請求項３乃至５いずれかに記載の検証装置を含み、電子財布装置は請求項１又は２に記載の履歴蓄積装置を含み、また、発行装置は履歴記録要求を電子財布装置に送信する手段を有し、また、電子財布装置は前記履歴記録要求に基づき履歴データをその履歴蓄積部に記録する処理を行った際の累積回数を含む処理結果を発行装置に送信する手段を有し、また、発行装置は前記処理結果を検証し、累積回数が指定された回数制限以下であるという制約条件を充足しているか検証する手段と、制約条件を充足している時にのみ電子権利を発行する手段とを有することを特徴とする電子権利流通システムを提案する。
【００２２】
前記構成によれば、サービスの利用回数に制限があるような電子権利を安全に発行させることが可能になる。
【００２３】
また、本発明の請求項７では、請求項６に記載の電子権利流通システムにおいて、電子財布装置はさらに請求項３乃至５いずれかに記載の検証装置を含み、また、電子財布装置は履歴記録要求を譲渡先の電子財布装置に送信する手段と、履歴記録要求に基づき履歴データをその履歴蓄積部に記録する処理を行った際の累積回数を含む処理結果を譲渡元の電子財布装置に送信する手段と、前記処理結果を検証し、累積回数が指定された回数制限以下であるという制約条件を充足しているか検証する手段と、制約条件を充足している時にのみ電子権利を譲渡先の電子財布装置に移動する手段とを有することを特徴とする電子権利流通システムを提案する。
【００２４】
前記構成によれば、サービスの利用回数に制限があるような電子権利を安全に譲渡させることが可能になる。
【００２５】
また、本発明の請求項８では、発行装置と電子財布装置と改札装置とから構成される電子権利流通システムにおいて、改札装置は請求項３乃至５いずれかに記載の検証装置を含み、電子財布装置は請求項１又は２に記載の履歴蓄積装置を含み、また、改札装置は履歴記録要求を電子財布装置に送信する手段を有し、また、電子財布装置は前記履歴記録要求に基づき履歴データをその履歴蓄積部に記録する処理を行った際の累積回数を含む処理結果を改札装置に送信する手段を有し、また、改札装置は前記処理結果を検証し、累積回数が指定された回数制限以下であるという制約条件を充足しているか検証する手段と、制約条件を充足している時にのみ電子権利を改札する手段とを有することを特徴とする電子権利流通システムを提案する。
【００２６】
前記構成によれば、サービスの利用回数に制限があるような電子権利を安全に改札させることが可能になる。
【００２７】
【発明の実施の形態】
［実施の形態１］
図１は、利用者が行った行為の履歴を格納する、本発明の履歴蓄積装置の実施の形態の一例を示す構成図である。
【００２８】
本発明では、この履歴蓄積装置は行政機関やクレジットカード発行機関等によって各利用者に一個ずつ配布されるものとする。同一の利用者に対して複数個配布しないようにするためには、免許証、保険証、指紋等を提示させ、既に配布していないかをチェックする等の方法がある。
【００２９】
図１に示すように、履歴蓄積装置１０は、接続部１１、履歴記録部１２、署名生成部１３、カウンタ部１４、加算部１５、履歴消去部１６および履歴蓄積部１７から構成される。
【００３０】
接続部１１は、後で述べる検証装置とデータの授受を行う部分である。履歴記録部１２は、接続部１１から受信した履歴記録要求に基づき履歴を記録する部分である。署名生成部１３は、この履歴蓄積装置が保有する秘密鍵によりディジタル署名を生成する部分である。
【００３１】
カウンタ部１４は、履歴消去日付を格納する部分であり、後で詳しく述べるように履歴消去要求によって指定された日付データが格納される。加算部１５は、カウンタ部１４の値を増加させる部分である。履歴消去部１６は、接続部１１から受信した履歴消去要求に基づき履歴を消去する部分である。
【００３２】
履歴蓄積部１７は、履歴データを蓄積する部分であり、蓄積される履歴データの一例を図２に示す。図２に示すように、履歴蓄積部１７には、＜有効期限、サービスＩＤ、累積回数＞の３つの組を含む履歴データの集合が格納される。
【００３３】
サービスＩＤ（ＳＩＤ）は、サービス提供者が利用者に対して提供するサービスを識別するための識別子であり、例えば特定の試供品の引換、特定のバーゲン品の購入、特定の人気投票等を識別するための識別子であり、サービス提供者によって付与される。
【００３４】
また、人気コンサートチケットの購入枚数の制限という例においても制限を与える範囲、対象によって様々なＳＩＤの付与方法がある。例えば、ある特定のアーティストがある特定の年に開催するイベントに対して全てに同じＳＩＤを付与しても良いし、ある特定のアーティストの特定の日時に開催されるイベントに対して同じＳＩＤを付与しても良い。さらには、全てのイベントに対して異なるＳＩＤを付与しても良い。
【００３５】
このようにＳＩＤは基本的にサービス提供者の意図によって自由に設定することができる。但し、異なる事業者間で同じＳＩＤが使用されることを防止するため、本実施の形態では、サービス提供者の秘密鍵とサービス提供者が特定のサービスに対して付与した識別子との連結に対するハッシュ値を利用するものとする。
【００３６】
なお、別の実施の形態としては、ＩＥＴＦで標準化されているＵＲＩ（Ｉｎｔｅｒｎｅｔ  Ｒｅｓｏｕｒｃｅ  Ｉｄｅｎｔｉｆｉｅｒ）の形式で付与し、各事業者が管理しているドメインネームをそのＵＲＩに含めることで、同じＳＩＤが使用されるのを防いでも良い。
【００３７】
有効期限はＳＩＤによって指定されるサービスが有効な期限であり、本実施の形態ではＳＩＤ毎に一意の有効期限が与えられるものとする。例えば、バーゲン品の購入の場合にはその購入期限、人気投票の場合には投票期限がそれに相当する。
【００３８】
累積回数はＳＩＤによって指定されるサービスを過去何回受けたかを記録する領域であり、サービスを受ける度に１増加する。
【００３９】
履歴蓄積装置１０は、基本的に履歴記録要求と履歴消去要求の２つの要求を受け付ける。これらの要求は、接続部１１によって検証装置から受信し、それぞれ履歴記録部１２および履歴消去部１６で処理される。履歴記録要求を受け取った場合の履歴記録部１２の処理フローを図３に示す。履歴消去要求を受け取った場合の履歴消去部１６の処理フローを図４に示す。
【００４０】
履歴記録部１２は次のようなフローで履歴記録要求を処理する（図３）。
【００４１】
（１）接続部１１から有効期限Ｄ、サービスＩＤ（ＳＩＤ）、チャレンジＣを含む履歴記録要求Ｒｅｃｏｒｄ（Ｄ，ＳＩＤ，Ｃ）を受信する（ｓ１）。なお、チャレンジＣは検証装置によって生成される乱数等である。
【００４２】
（２）Ｄと、カウンタ部１４に格納されている履歴消去日付とどちらが大きい（どちらが新しい）か比較し（ｓ２）、Ｄの方が小さい（古い）場合には、例外終了する。
【００４３】
（３）履歴蓄積部１７から同じＤ，ＳＩＤを有する履歴データを検索する（ｓ３）。
【００４４】
（４）上記（３）により既に履歴データ＜Ｄ，ＳＩＤ，Ｎ＞が存在した場合（ｓ４）には、累積回数ＮをＮ＋１に加算して履歴データを更新する（ｓ５）。
【００４５】
（５）上記（３）により履歴データが存在しなかった場合には、新しい履歴データとして＜Ｄ，ＳＩＤ，１＞を履歴蓄積部１７に記録する（ｓ６）。
【００４６】
（６）上記（５）において履歴蓄積部１７の容量不足のため、履歴が記録できなかった場合（ｓ７）には、履歴域不足例外を発生し終了する。
【００４７】
（７）ＤとＳＩＤとＮとＣの連結を署名生成部１３へ送り、履歴蓄積装置１０が保有する秘密鍵Ｋにより、署名ＳK（Ｄ‖ＳＩＤ‖Ｃ‖Ｎ）を生成する（ｓ８）（但し、履歴データが存在しなかった場合（上記（４））はＮ＝０とする）。
【００４８】
（８）接続部１１により要求元に対してＮとＳK（Ｄ‖ＳＩＤ‖Ｃ‖Ｎ）を送信（返却）する（ｓ９）。
【００４９】
なお、過去のサービス提供回数を調べるだけで履歴を追加しない履歴参照要求を備えても良いが、本実施の形態では、履歴記録要求の処理結果で過去のサービス提供回数を返すことで、その機能を包含するようにした。しかし、上記履歴参照要求は上記（４），（５），（６）のステップを省略することで容易に実現できる。
【００５０】
上記の履歴記録要求を受信し上記のように処理すると、履歴データが単調に増加し、ＩＣカード等の記憶容量が小さい装置では、すぐに記憶領域が一杯になってしまうという問題がある。そこで本発明では、図４に示すフローで有効期限を過ぎた履歴を削除する機能を持たせ、電子媒体の永続的な取引を可能にする。
【００５１】
履歴消去部１６は、次のようなフローで履歴消去要求を処理する（図４）。
【００５２】
（１）接続部１１から履歴消去日付Ｄ１を含む履歴消去要求Ｃｌｅａｒ（Ｄ１）を受信する（ｓ１１）。履歴消去日付は過去に履歴消去要求によって指定された履歴消去日付より後であり、かつ現在日付より以前である値を指定されるものとする。例えば、検証装置等により現在日付より一日乃至一週間程度前の日付を指定すれば良い。
【００５３】
（２）カウンタ部１４に記録されている以前に与えられた履歴消去日時Ｄ０を取得してＤ１と比較し、Ｄ１がＤ０以下の時は例外を発生させる（ｓ１２）。
【００５４】
（３）Ｘ＝Ｄ１−Ｄ０を計算し、加算部１５でカウンタ部１４にＸを加算する（ｓ１３）。これによってカウンタ部１４に記録される履歴消去日時はＤ１となる。カウンタ部１４に対する演算はこのように加算しかなく、減算は存在しない一方向性のものとする。カウンタをこのように増加のみ設定可能とする方法としては、例えば、特許第１８８４１３５号等に記載された専用回路を使う方法やＲＯＭに書き込まれたソフトウェアによって実現する方法等がある。
【００５５】
（４）履歴蓄積部１７に格納された履歴データの中で、上記Ｄ１より以前の履歴データを検索し、消去する（ｓ１４）。
【００５６】
（５）接続部１１により要求元に対して正常終了を送信する（ｓ１５）。
【００５７】
上記のステップにより、悪意のある利用者が上記（１）のステップで将来の日付を履歴消去日付として与えて履歴消去要求を行い取引履歴を消去すると、カウンタ部１４に記録されている履歴消去日時が将来の日付となるため、再度、同じ履歴を格納しようとしても、図３に示した履歴記録要求のフローのステップ（２）により例外終了するため、不正があったことを検出することができる。また、カウンタ部１４に記録されている履歴消去日時を過去の日付に戻そうとしても、前述したようにカウンタ部１４の値は減算することができないので、このような不正を防止できる。
【００５８】
図５は、サービス提供者がサービスを提供する前に利用者から提示された履歴蓄積装置を検証し、サービスを提供して良いか判断するための、本発明の検証装置の実施の形態の一例を示す構成図である。
【００５９】
図５に示すように、検証装置２０は、乱数生成部２１、サービスＩＤ記録部２２、有効期限記録部２３、検証制御部２４、署名検証部２５、履歴消去制御部２６、タイマ部２７、接続部２８および表示部２９から構成される。
【００６０】
乱数生成部２１は、履歴蓄積装置１０を認証するためのチャレンジを生成するための部分である。サービスＩＤ記録部２２および有効期限記録部２３は、それぞれ検証装置２０が検証したいサービスに対するサービスＩＤおよび有効期限を記録する部分である。検証制御部２４は、検証処理を制御する部分である。
【００６１】
署名検証部２５は、履歴蓄積装置１０から送信された署名データを検証し履歴蓄積装置１０を認証する部分である。履歴消去制御部２６は、履歴消去要求を生成し送信する部分である。タイマ部２７は、現在時刻を生成する部分である。接続部２８は、履歴蓄積装置１０と接続する部分である。表示部２９は、検証者および利用者に対してサービスを提供できるかどうかを表示する部分である。
【００６２】
図６に検証装置による検証処理フローを示す。検証制御部２４は次のフローで履歴蓄積装置１０に記録された履歴を調べ、サービスを提供して良いか検証する。
【００６３】
（１）履歴蓄積装置１０を検証装置２０に接続する（ｓ２１）。履歴蓄積装置１０が接触型ＩＣカードで実現されている場合には、カードが挿入された契機、非接触型ＩＣカードで実現されている場合には、カードが近づけられたことを感知した契機で接続される。
【００６４】
（２）乱数生成部２１により乱数Ｃを生成する（ｓ２２）。
【００６５】
（３）サービスＩＤ記録部２２および有効期限記録部２３からＳＩＤおよびＤを取得し、履歴記録要求Ｒｅｃｏｒｄ（Ｄ，ＳＩＤ，Ｃ）を接続部１１により履歴蓄積装置１０に送信する（ｓ２３）。別の実施の形態では表示装置を使って利用者に提供できるいくつかのサービスを表示し、利用者あるいは検証者によって選択されたサービスに対応するＳＩＤ，Ｄを取得しても良い。
【００６６】
（４）接続部１１から前記要求の結果として、過去のサービス提供回数Ｎと履歴蓄積装置１０による署名ＳK（Ｄ‖ＳＩＤ‖Ｃ‖Ｎ）を受信する（ｓ２４）。また、履歴域不足例外が通知された場合は、それを表示部２９で表示する。
【００６７】
（５）署名検証部２５により、上記（４）によって取得した署名データが正しいかを検証する（ｓ２５）。検証するためには、履歴蓄積装置１０の検証鍵、即ち公開鍵方式の場合には公開鍵、共通鍵方式の場合には共通鍵が必要であるが、本実施の形態では、これらは予め署名検証部２５が保持しているものとする。
【００６８】
（６）表示部２９に過去のサービス提供回数Ｎを表示する（ｓ２６）。検証者は、制限回数以下であればサービス提供を許可する。例えば、試供品引換の場合には、過去に引き渡されていないこと（Ｎ＝０）、バーゲン品購入の場合にはその購入制限数以下である時に、サービスを提供する。
【００６９】
図７に、履歴域不足例外等のエラーにより履歴が記録できなかった場合に、履歴消去要求を行う履歴消去制御部２６の処理フローを示す。
【００７０】
（１）表示部２９から履歴消去の指示が入力される（ｓ３１）。
【００７１】
（２）タイマ部２７から現在日付を取得する（ｓ３２）。
【００７２】
（３）現在日付より一日乃至一週間程度前の日付を履歴消去日時Ｄ１として指定し、利用者に履歴を消去することを通知（表示）する（ｓ３３）。
【００７３】
（４）利用者からＯＫの指示が出ると、接続部２８により履歴蓄積装置１０に対して履歴消去要求Ｃｌｅａｒ（Ｄ１）を送信する（ｓ３４）。
【００７４】
（５）接続部２８から結果を受信し、表示部２９に表示する（ｓ３５）。
【００７５】
［実施の形態２］
上記実施の形態は、予め履歴蓄積装置を会員カード等の形態で配布しておくことにより、会員全員に一律等しいサービスを提供するような場合、例えば会員全員に対して記念品を１個配布する場合では、会員にメール等で周知するだけで、引換券等の権利を予め発行することなく、会員カード一枚に一個だけを安全に配布できるという従来にはない特徴がある。
【００７６】
実施の形態２では、この機能と従来から存在する電子権利の流通システムとを組み合わせて、会員全員ではなく、特定の電子権利の発行あるいは行使に伴う制限回数を制御する例を示す。典型例としては人気コンサートチケットの購入を一人限定枚に限る場合等である。
【００７７】
図８は、前述した履歴蓄積装置と検証装置を利用した、本発明の電子権利流通システムの実施の形態の一例を示す構成図である。
【００７８】
図８に示すように、本システムは、発行装置１００、電子権利格納装置２００、改札装置３００およびネットワーク装置４００から構成される。
【００７９】
発行装置１００は電子権利を発行する機関、電子権利格納装置２００は利用者、改札装置３００は電子権利を改札する機関によって保有されるものとし、それぞれ発行者毎、利用者毎、改札者毎に複数個存在して良い。
【００８０】
発行装置１００は、電子権利生成部１０１、電子権利発行部１０２、通信部１０３および検証装置１０４から構成される。
【００８１】
電子権利格納装置２００は、通信部２０１、格納制御部２０２、行使制御部２０３、電子権利格納部２０４、履歴蓄積装置２０５および検証装置２０６から構成される。なお、本装置は電子財布とも称する。
【００８２】
改札装置３００は、電子権利改札部３０１、通信部３０２および検証装置３０３から構成される。
【００８３】
なお、履歴蓄積装置２０５および検証装置１０４，２０６，３０３は、実施の形態１で述べたものと同じである。
【００８４】
ネットワーク装置４００は、インターネットや電話網等のパブリックネットワークあるいはＬＡＮや専用線等を利用したプライベートネットワークであり、発行装置１００、電子権利格納装置２００および改札装置３００は、本装置を介して相互に通信可能とする。
【００８５】
電子権利は、上記装置間で次に述べる発行、譲渡、消費、提示の４種類のトランザクションによって流通する。
【００８６】
発行トランザクション：電子権利を生成し、その電子権利の所有権を利用者に与えるトランザクションである。本実施の形態では、発行装置１００が電子権利を生成し、これを利用者が保有する電子権利格納装置２００の電子権利格納部２０４に格納することによって実現するものとする。
【００８７】
譲渡トランザクション：電子権利の所有権をある利用者から別の利用者に移転させるトランザクションである。本実施の形態では、譲渡側の利用者が保有する電子権利格納装置２００の電子権利格納部２０４に格納されている電子権利を取り出し削除し、譲受側の利用者が保有する電子権利格納装置２００の電子権利格納部２０４に格納することによって実現するものとする。
【００８８】
消費トランザクション：電子権利の所有権を無効にするトランザクションである。本実施の形態では、利用者が保有する電子権利格納装置２００の電子権利格納部２０４に格納されている電子権利を取り出し削除し、改札装置３００に削除したことを通知することによって実現するものとする。
【００８９】
なお、発行、譲渡、消費のトランザクションの過程で、不正に複製が作られ、電子権利が多重使用されることを防止する方法については本発明の対象とするところではなく、既に提案されている電子権利の多重使用防止方法を本発明と組み合わせて実施することが容易であるので、詳細は省略する。
【００９０】
電子権利の多重使用防止方法については、例えば、特開平１１−２１３０６８号、特開２０００−１２３０９５号等に記載されているように、流通対象の電子権利に譲渡リストを添付し、二重使用が発覚した場合に不正者を特定できるようにすることで不正を抑止する方法、特願２０００−０３８８７５号等に記載されているようなＩＣカード等の耐タンパ装置に原本情報（トークン）を保管し、原本情報を安全に流通可能にさせるプロトコルを提供することにより不正な複製を防止する方法、特願平１１−３１００９０号等に記載されているようなネットワーク上に各電子権利に対する所有者認証情報を管理することで正当な所有者を認証する方法等、多数の方法が提案されている。
【００９１】
図９は電子権利格納部２０４に格納される電子権利のデータ構造の一例を示す説明図である。本図に示すように、一つの電子権利は、サービス（権利）ＩＤ、有効期限、回数制限およびその他の電子権利の内容が定義された権利情報の４つのデータ域を含んでいる。電子権利の取引制限を与えるために、実施の形態１で示したサービスＩＤ、有効期限が電子権利に設定されている。
【００９２】
回数制限は、上記有効期限内に取引が許される回数の上限値が指定される。本実施の形態では、発行あるいは譲渡トランザクションによって新たな電子権利が電子権利格納装置２００に格納されることを取引とみなす。即ち、取引回数の上限値とは、電子権利格納装置２００への格納回数の上限値となる。なお、実施の形態によっては、電子権利の発行、譲渡、消費の各トランザクション毎に、取引制限を別々に設ける等、多様な条件を指定することも可能である。
【００９３】
権利情報は、電子権利毎の固有情報が定義される。例えば、発行機関の識別子、権利の内容、発行者の署名等が定義される。
【００９４】
次に、これらの装置を用いて行う電子権利の取引（発行処理）について詳細に説明する。
【００９５】
（１）発行装置１００は、電子権利生成部１０１により、有効期限（Ｄ）、サービスＩＤ（ＳＩＤ）、回数制限、権利内容を含む電子権利を生成する。また、検証装置１０４は乱数Ｃを生成する。
【００９６】
（２）発行装置１００は、上記（１）によって生成されたＤ，ＳＩＤ，Ｃを含む電子権利格納要求を電子権利格納装置２００に送信する。なお、電子権利格納要求の送信では、電子権利自体（所有権）はまだ移動していない。電子権利の移動については本発明では詳細に記載しないが、例えば特願２０００−０３８８７５号等に記載されている権利情報固有の原本情報等の移動で実現される。
【００９７】
（３）電子権利格納装置２００は、格納制御部２０２により、履歴記録要求Ｒｅｃｏｒｄ（Ｄ，ＳＩＤ，Ｃ）を生成し、履歴蓄積装置２０５に送る。
【００９８】
（４）電子権利格納装置２００は、履歴蓄積装置２０５により履歴データをその履歴蓄積部に記録し、結果を格納制御部２０２に送信する。
【００９９】
（５）電子権利格納装置２００は、格納制御部２０２により上記（４）の結果を発行装置１００に送る。
【０１００】
（６）発行装置１００は、検証装置１０４により上記（４）の結果を検証する。詳細は実施の形態１と同じである。
【０１０１】
（７）発行装置１００は、さらに累積回数Ｎがその電子権利に指定された回数制限以下であることを検証する。
【０１０２】
（８）発行装置１００は、上記（６），（７）の検証に成功した場合には、その電子権利を電子権利格納装置２００に移動する。
【０１０３】
（９）電子権利格納装置２００は、格納制御部２０２により受理した電子権利を電子権利格納部２０４に格納する。
【０１０４】
電子権利格納装置に対する電子権利の格納は、発行だけではなく、別の電子権利格納装置からの譲渡によっても行われる。そこで、第一の電子権利格納装置（以下、符号２００Ａで表す。）から第二の電子権利格納装置（以下、符号２００Ｂで表す。）に対して電子権利を譲渡する場合の流れについて以下に示す。
【０１０５】
（１）第一の電子権利格納装置２００Ａは、行使制御部２０３により、譲渡対象の電子権利の有効期限Ｄ、サービスＩＤ（ＳＩＤ）を電子権利格納部２０４から取得する。また、検証装置２０６は乱数Ｃを生成する。
【０１０６】
（２）第一の電子権利格納装置２００Ａは、Ｄ，ＳＩＤ，Ｃを含む電子権利格納要求を第二の電子権利格納装置２００Ｂに送信する。
【０１０７】
（３）第二の電子権利格納装置２００Ｂは、格納制御部２０２により履歴記録要求Ｒｅｃｏｒｄ（Ｄ，ＳＩＤ，Ｃ）を生成し、履歴蓄積装置２０５に送る。
【０１０８】
（４）第二の電子権利格納装置２００Ｂは、履歴蓄積装置２０５により履歴データをその履歴蓄積部に記録し、結果を格納制御部２０２に送信する。
【０１０９】
（５）第二の電子権利格納装置２００Ｂは、格納制御部２０２により上記（４）の結果を第一の電子権利格納装置２００Ａに送る。
【０１１０】
（６）第一の電子権利格納装置２００Ａは、検証装置２０６により上記（４）の結果を検証する。詳細は実施の形態１と同じである。
【０１１１】
（７）第一の電子権利格納装置２００Ａは、さらに累積回数Ｎがその電子権利に指定された回数制限以下であることを検証する。
【０１１２】
（８）第一の電子権利格納装置２００Ａは、上記（６），（７）の検証に成功した場合には、その電子権利を第二の電子権利格納装置２００Ｂに移動する。
【０１１３】
（９）第二の電子権利格納装置２００Ｂは、格納制御部２０２により受理した電子権利を電子権利格納部２０４に格納する。
【０１１４】
以上のステップにより、電子権利格納装置に電子権利が格納される前に、過去の取引履歴、上記実施の形態では電子権利のＳＩＤ毎の格納履歴がチェックされるため、同一ＳＩＤを持つ電子権利が制限回数以上格納されることを防止することができる。しかも、発行時だけではなく譲渡時もチェックすることが可能になる。
【０１１５】
なお、個別の電子権利毎に異なるＳＩＤを付与した場合には、二重使用を防止する方法の一つとしても利用可能である。
【０１１６】
次に、本発明のその他のパリエーションについて述べる。
【０１１７】
（１）上記実施の形態では、履歴蓄積装置は、ＩＣカード等の耐タンパ装置に実現されることを前提としているが、これをネットワーク装置上のサーバに記録することとし、累積取引回数が制限値を超えていないかのチェックをサーバに問い合わせることで、電子財布への格納を制御することもできる。このような方法は、従来の二重使用チェックサーバと類似しているが、本発明では、単純な二重使用チェックサーバと異なり、個別の電子権利単位の二重使用だけではなく、ＳＩＤによる異なる単位で取引回数を制限できる等、柔軟なチェック機能を提供できる点が従来の方法と異なる。
【０１１８】
（２）上記実施の形態では、一つの電子権利に対して一つのＳＩＤを付与しているが、複数のＳＩＤを付与して、いくつかの制約条件をＡＮＤやＯＲで与えることも可能である。
【０１１９】
（３）上記実施の形態では、累積回数Ｎをサービス提供回数としているが、累積回数Ｎをサービス提供度数として管理し、一回のサービス提供に対して複数の度数を加算することによって、例えば一ヶ月当たりのローン限度額等の制御に適用することも可能である。
【０１２０】
（４）上記実施の形態では、履歴蓄積装置に履歴記録要求を送信した場合に累積回数Ｎが返されるが、Ｎを返す代わりに、回数制限値を超えたかどうかの真偽値を返すように実施しても良い。但し、この場合には、履歴蓄積装置内にＳＩＤ毎の回数制限値を記録しておき、累積取引回数が回数制限値を超えたかどうかを判定できるようにする必要がある。
【０１２１】
（５）上記実施の形態では、履歴データが格納される履歴蓄積部をＩＣカード等の耐タンパ装置内に記録することを前提としているが、これをハードディスク等の通常の記憶媒体に格納し、履歴データのハッシュ値のみを耐タンパ装置に入れることで、履歴データの改ざんを防止しても良い。この場合、履歴データを追加、消去する度にハッシュ値を再計算する必要があるが、耐タンパ装置の記憶容量をさらに削減することができる。
【０１２２】
【発明の効果】
以上述べたように、本発明によれば、利用者に提供するサービスで回数制限が設けられているものを、回数制限を超えて不正に利用したかどうかを、過去に受けたかどうかを含めて検証することができる。しかも、ＩＣカード等の耐タンパ装置に履歴が蓄積されるので、オフラインであっても安全に検証することができる。また、オフラインで検証できることは、通信コストが削減できるだけではなく、使用履歴を管理するためのセンタデータベースの開発コストや運用コストも削減できるという効果もある。
【０１２３】
本発明の応用例としては、試供品の交換回数、レストランの試食回数、投票における投票回数、バーゲン品の購入回数、ゲームの出場回数、福利厚生施設の利用回数、コンサートチケットの購入回数、株主優待券の利用回数、免許証の違反回数、ローンの融資限度額等、多岐に渡る。従って、これらの制約条件は応用によって多種多様であるが、サービス提供者が勝手にＳＩＤと有効期限をセットして履歴を格納しても差し支えないので、一枚のＩＣカードを多数のサービス提供者で共用することができる。また、これにより一サービス提供者当たりのカードのコストを削減できるという効果がある。
【０１２４】
履歴消去日時の実現に増加しかできないカウンタを用いることで、有効期限が切れたサービスに関する履歴を安全に削除することが可能になり、記憶領域が小さなＩＣカードで実現しても実用的である。また、タイマ自体は耐タンパ装置の外に置いても安全であるから低コストで実現できるという効果がある。
【０１２５】
従来、会員へのサービスの提供のため、紙のクーポン券を郵送あるいは電子チケットをインターネットで配布していたのは、サービスの提供回数を限定するという目的があった。しかし、本発明の履歴蓄積機能を備える会員カードを持つ全ての会員に対してサービスを提供する場合には、カード内にサービス提供の履歴を検査することにより、サービスの提供回数を限定できるので、クーポン券等の発行が不要になるという利点がある。これは、クーポン券等を発行するためのシステムの開発コストや運用コストを削減できるという効果がある。
【図面の簡単な説明】
【図１】本発明の履歴蓄積装置の実施の形態の一例を示す構成図
【図２】履歴蓄積部に記録される履歴データの一例を示す説明図
【図３】履歴蓄積装置が履歴記録要求を受信した際の処理フローチャート
【図４】履歴蓄積装置が履歴消去要求を受信した際の処理フローチャート
【図５】本発明の検証装置の実施の形態の一例を示す構成図
【図６】検証装置が履歴蓄積装置に対して検証を行う際の処理フローチャート
【図７】検証装置が履歴蓄積装置に対して履歴消去を行う際の処理フローチャート
【図８】本発明の履歴蓄積装置と検証装置を利用した電子権利流通システムの実施の形態の一例を示す構成図
【図９】電子権利のデータ構造の一例を示す説明図
【符号の説明】
１０：履歴蓄積装置、１１：接続部、１２：履歴記録部、１３：署名生成部、１４：カウンタ部、１５：加算部、１６：履歴消去部、１７：履歴蓄積部、
２０：検証装置、２１：乱数生成部、２２：サービスＩＤ記録部、２３：有効期限記録部、２４：検証制御部、２５：署名検証部、２６：履歴消去制御部、２７：タイマ部、２８：接続部、２９：表示部、１００：発行装置、１０１：電子権利生成部、１０２：電子権利発行部、１０３：通信部、１０４：検証装置、２００：電子権利格納装置、２０１：通信部、２０２：格納制御部、２０３：行使制御部、２０４：電子権利格納部、２０５：履歴蓄積装置、２０６：検証装置、３００：改札装置、３０１：電子権利改札部、３０２：通信部、３０４：検証装置、４００：ネットワーク装置。
【図１】
0003723429.tif 000002
【図２】
0003723429.tif 000003
【図３】
0003723429.tif 000004
【図４】
0003723429.tif 000005
【図５】
0003723429.tif 000006
【図６】
0003723429.tif 000007
【図７】
0003723429.tif 000008
【図８】
0003723429.tif 000009
【図９】
0003723429.tif 000010