(57)【要約】【課題】  システムのコストを抑えつつ、利用者のプライバシの保護を実現するタグ自動認識技術を提供する。【解決手段】  リーダー装置１０がＩＤ読取り要求情報をブロードキャストする際、リーダー装置１０が、これと併せて当該リーダー装置１０を一意に識別させるためのリーダーＩＤ情報を含む読取り申告情報を出力する。このようにＩＤ読取り要求情報とともに出力された読取り申告情報は、タグ装置３０の内部メモリに履歴情報として格納される。この履歴情報を解析することにより事後的に不正な読取り処理を発見できるようになり、その抑止力により不正なタグＩＤ情報の読取り処理を防止できる。【選択図】  図１
2006106830.tif 000002
【特許請求の範囲】
【請求項１】
リーダー装置がＩＤ読取り要求情報を出力し、これを受け取ったタグ装置がタグＩＤ情報を応答するタグ自動認識方法であって、
上記タグ装置の第１の内部記憶領域に、そのタグＩＤ情報が格納されており、
上記リーダー装置が、
第１の出力部において、このリーダー装置を一意に識別するリーダーＩＤ情報を含む読取り申告情報と、上記ＩＤ読取り要求情報と、を出力する手順と、
上記タグ装置が、
第１の入力部において、上記読取り申告情報及び上記ＩＤ読取り要求情報の入力を受け付ける手順と、
入力された上記読取り申告情報を履歴情報として第２の内部記憶領域に追加格納する手順と、
上記第１の入力部に上記ＩＤ読取り要求情報が入力されたことを契機に、第２の出力部において、上記第１の内部記憶領域に格納された上記タグＩＤ情報を出力する手順と、
を有することを特徴とするタグ自動認識方法。
【請求項２】
請求項１記載のタグ自動認識方法であって、
上記タグ装置が、
上記第１の入力部に上記ＩＤ読取り要求情報が入力された後、第１の判定部において、上記第１の入力部に入力された情報をもとに、上記タグＩＤ情報の送出を許可するか否かを判定する手順を、さらに有し、
上記第１の判定部が上記タグＩＤ情報の送出を許可しないと判定した場合、制御部において、上記第１の内部記憶領域に格納された上記タグＩＤ情報を出力する手順の実行を禁止する、
ことを特徴とするタグ自動認識方法。
【請求項３】
請求項２記載のタグ自動認識方法であって、
上記第１の入力部に入力された情報をもとに、タグＩＤ情報の送出を許可するか否かを判定する手順は、
上記読取り申告情報の少なくとも一部が当該第１の入力部に入力されなかった場合に、上記タグＩＤ情報の送出を許可しないと判定する手順である、
ことを特徴とするタグ自動認識方法。
【請求項４】
請求項２記載のタグ自動認識方法であって、
上記第１の入力部に入力された情報をもとに、タグＩＤ情報の送出を許可するか否かを判定する手順は、
上記第１の入力部に入力された上記読取り申告情報が、タグＩＤ情報の送出を許可するか否かの判定条件であるＩＤ送出条件に適合しなかった場合に、上記タグＩＤ情報の送出を許可しないと判定する手順である、
ことを特徴とするタグ自動認識方法。
【請求項５】
請求項１記載のタグ自動認識方法であって、
上記読取り申告情報は、
上記ＩＤ読取り要求情報の出力時刻を示す時刻情報、タグＩＤ情報の利用ポリシを示す利用ポリシ情報、及び上記リーダー装置の署名情報の少なくとも１つを含む情報である、
ことを特徴とするタグ自動認識方法。
【請求項６】
請求項１から５の何れかに記載のタグ自動認識方法であって、
リーダーＩＤ管理データベースに、上記リーダーＩＤ情報と、それに対応する上記リーダー装置の属性情報と、が関連付けられて格納されており、
検査装置が、
第３の出力部において、履歴情報の返信を要求する履歴取得要求情報を出力する手順と、
上記タグ装置が、
上記第１の入力部において、上記履歴取得要求情報の入力を受け付ける手順と、
上記第１の入力部に上記履歴取得要求情報が入力されたことを契機に、上記第２の出力部において、上記第２の内部記憶領域に蓄積された上記読取り申告情報を出力する手順と、
上記検査装置が、
第２の入力部において、上記読取り申告情報の入力を受け付ける手順と、
抽出部において、上記第２の入力部に入力された上記読取り申告情報が具備するリーダーＩＤ情報に対応するリーダー装置の属性情報を、上記リーダーＩＤ管理データベースから抽出する手順と、
を有することを特徴とするタグ自動認識方法。
【請求項７】
リーダー装置がＩＤ読取り要求情報を出力し、これを受け取ったタグ装置がタグＩＤ情報を応答するタグ自動認識方法であって、
上記タグ装置の第１の内部記憶領域に、そのタグＩＤ情報が格納されており、
上記リーダー装置が、
第１の出力部において、このリーダー装置を一意に識別するリーダーＩＤ情報を含む読取り申告情報と、上記ＩＤ読取り要求情報と、を出力する手順と、
上記タグ装置とは別に設けられた監査タグ装置が、
第３の入力部において、上記読取り申告情報の入力を受け付ける手順と、
入力された上記読取り申告情報を履歴情報として第４の内部記憶領域に追加格納する手順と、
上記タグ装置が、
第１の入力部において、上記ＩＤ読取り要求情報の入力を受け付ける手順と、
上記第１の入力部に上記ＩＤ読取り要求情報が入力されたことを契機に、第２の出力部において、上記第１の内部記憶領域に格納された上記タグＩＤ情報を出力する手順と、
を有することを特徴とするタグ自動認識方法。
【請求項８】
請求項７記載のタグ自動認識方法であって、
上記監査タグ装置が、
上記第３の入力部において、上記タグ装置から出力された上記タグＩＤ情報の入力を受け付ける手順と、
上記第３の入力部に入力された上記タグＩＤ情報を上記第４の内部記憶領域に追加格納する手順と、
をさらに有することを特徴とするタグ自動認識方法。
【請求項９】
請求項７記載のタグ自動認識方法であって、
上記監査タグ装置が、
第２の判定部において、上記第３の入力部に入力された情報をもとに、上記タグＩＤ情報の送出を許可するか否かを判定する手順と、
上記第２の判定部が上記タグＩＤ情報の送出を許可しないと判定した場合、当該判定部が、その旨を示すトリガ信号を出力する手順と、
をさらに有することを特徴とするタグ自動認識方法。
【請求項１０】
請求項９記載のタグ自動認識方法であって、
上記読取り申告情報は、
上記ＩＤ読取り要求情報の出力時刻を示す時刻情報を含み、
上記監査タグ装置は、
時刻情報を出力する時刻情報出力部を有し、
上記第３の入力部に入力された情報をもとに、上記タグＩＤ情報の送出を許可するか否かを判定する手順は、
上記第３の入力部に入力された上記読取り申告情報が有する上記時刻情報と、上記時刻情報出力部から出力された上記時刻情報とを比較し、これらが示す時刻の差が所定の範囲を超えた場合に、上記タグＩＤ情報の送出を許可しないと判定する手順である、
ことを特徴とするタグ自動認識方法。
【請求項１１】
請求項９記載のタグ自動認識方法であって、
上記監査タグ装置が、
上記第３の入力部において上記読取り申告情報の入力を受け付けた後、
位置情報抽出部において、当該読取り申告情報の上記リーダーＩＤ情報から、当該読取り申告情報を出力した上記リーダー装置の位置情報を抽出する手順と、
位置計測部において、当該監査タグ装置の位置情報を抽出する手順と、
をさらに有し、
上記第３の入力部に入力された情報をもとに、上記タグＩＤ情報の送出を許可するか否かを判定する手順は、
上記位置情報抽出部が抽出した上記リーダー装置の位置情報と、上記位置計測部が抽出した上記監査タグ装置の位置情報とを比較し、これらが示す位置の差が所定の範囲を超えた場合に、上記タグＩＤ情報の送出を許可しないと判定する手順である、
ことを特徴とするタグ自動認識方法。
【請求項１２】
請求項９記載のタグ自動認識方法であって、
上記読取り申告情報は、上記リーダー装置の署名情報を含み、
上記第３の入力部に入力された情報をもとに、上記タグＩＤ情報の送出を許可するか否かを判定する手順は、
上記第３の入力部に入力された上記読取り申告情報が有する上記署名情報を検証し、この検証結果が不合格であれば、上記タグＩＤ情報の送出を許可しないと判定する手順である、
ことを特徴とするタグ自動認識方法。
【請求項１３】
請求項９記載のタグ自動認識方法であって、
上記判定部が上記トリガ信号を出力したことを契機に、上記監査タグ装置の警報部において警報出力を行う手順を、さらに有する、
ことを特徴とするタグ自動認識方法。
【請求項１４】
請求項９記載のタグ自動認識方法であって、
上記判定部が上記トリガ信号を出力したことを契機に、上記監査タグ装置の妨害電波出力部において、上記タグ装置から出力された上記タグＩＤ情報がリーダー装置に受信されることを妨害する妨害電波を出力する手順を、さらに有する、
ことを特徴とするタグ自動認識方法。
【請求項１５】
請求項７から１４の何れかに記載のタグ自動認識方法であって、
リーダーＩＤ管理データベースに、上記リーダーＩＤ情報と、それに対応する上記リーダー装置の属性情報と、が関連付けられて格納されており、
検査装置が、
第３の出力部において、履歴情報の返信を要求する履歴取得要求情報を出力する手順と、
上記監査タグ装置が、
上記第３の入力部において、上記履歴取得要求情報の入力を受け付ける手順と、
上記第３の入力部に上記履歴取得要求情報が入力されたことを契機に、上記第４の出力部において、上記第４の内部記憶領域に蓄積された上記読取り申告情報を出力する手順と、
上記検査装置が、
第２の入力部において、上記読取り申告情報の入力を受け付ける手順と、
抽出部において、上記第２の入力部に入力された上記読取り申告情報が具備するリーダーＩＤ情報に対応するリーダー装置の属性情報を、上記リーダーＩＤ管理データベースから抽出する手順と、
を有することを特徴とするタグ自動認識方法。
【請求項１６】
タグＩＤ情報の返送を要求するＩＤ読取り要求情報を出力し、これを受け取ったタグ装置から出力されたタグＩＤ情報の入力を受け付けるリーダー装置であって、
上記ＩＤ読取り要求情報と併せて、当該リーダー装置を一意に識別させるためのリーダーＩＤ情報を含む読取り申告情報を出力する第１の出力部を有する、
ことを特徴とするリーダー装置。
【請求項１７】
リーダー装置から出力されたＩＤ読取り要求情報に対してタグ装置がタグＩＤ情報を応答するタグ装置であって、
そのタグＩＤ情報が格納された第１の内部記憶領域と、
上記ＩＤ読取り要求情報と併せて、当該ＩＤ読取り要求情報を出力した上記リーダー装置を一意に識別するリーダーＩＤ情報を含む読取り申告情報の入力を受け付ける第１の入力部と、
入力された上記読取り申告情報を履歴情報として追加格納する第２の内部記憶領域と、
上記第１の入力部に上記ＩＤ読取り要求情報が入力されたことを契機に、上記第１の内部記憶領域に格納された上記タグＩＤ情報を出力する第２の出力部と、
を有することを特徴とするタグ装置。
【請求項１８】
リーダー装置から出力されたＩＤ読取り要求情報に対してタグ装置がタグＩＤ情報を応答するタグ装置とは別に設けられた監査タグ装置であって、
上記ＩＤ読取り要求情報を出力した上記リーダー装置を一意に識別するリーダーＩＤ情報を含む読取り申告情報の入力を受け付ける第３の入力部と、
入力された上記読取り申告情報を履歴情報として追加格納する第４の内部記憶領域と、
を有することを特徴とする監査タグ装置。
【請求項１９】
請求項１６記載のリーダー装置としてコンピュータを機能させるためのリーダープログラム。
【請求項２０】
請求項１７記載のタグ装置としてコンピュータを機能させるためのタグプログラム。
【請求項２１】
請求項１８記載の監査タグ装置としてコンピュータを機能させるための監査タグプログラム。
【請求項２２】
請求項１９記載のリーダープログラムを格納したコンピュータ読取り可能な記録媒体。
【請求項２３】
請求項２０記載のタグプログラムを格納したコンピュータ読取り可能な記録媒体。
【請求項２４】
請求項２１記載の監査タグプログラムを格納したコンピュータ読取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、タグ装置を利用したタグ自動認識技術に関し、特に、タグ装置に関する利用者のプライバシ保護を実現する技術に関する。
【背景技術】
【０００２】
近年、ＲＦＩＤ（Radio Frequency Identification：電波方式認識）等のタグ自動認識システムの導入が進んでいる。このシステムの標準化規格としては、例えば、ＩＳＯ−１５６９３，ＩＳＯ−１８０００，ＥＰＣタグ（例えば、非特許文献１参照。）等が候補として挙げられているが、いずれも「タグ(tag)装置」と呼ばれる小型の情報記録媒体、「リーダー(reader)装置」と呼ばれる読取り機、及び「バックエンド(back-end)装置」と呼ばれるデータベースサーバから構成され、物流管理等に利用されるものである。以下、この技術を概説する。
〔タグ装置の処理〕
基本的なタグ自動認識システムでは、各タグ装置に固有なタグＩＤ情報（例えば、ＭＩＴによるＡｕｔｏ‐ＩＤセンターが定めるタグＩＤは、製造者コードと、商品の種別を示す商品コードと、商品個体の番号を示す個体番号とからなっている。）がタグ装置に格納される。また、タグ装置は物品等に付され、無線通信により、各タグ装置固有のタグＩＤ情報を店舗等に設置されたリーダー装置に送信する。
【０００３】
〔リーダー装置の処理〕
リーダー装置は、無線通信によりタグ装置からタグＩＤ情報を読取り、そのタグＩＤ情報をバックエンド装置へ送って、物流情報の取得等を依頼する。
〔バックエンド装置の処理〕
バックエンド装置は、各タグ装置のＩＤと物流情報等のデータベースを管理する。そして、バックエンド装置は、リーダー装置から送られたタグＩＤ情報をキーに、このデータベースの物流情報等を検索し、その検索結果をリーダー装置に送信する。
【０００４】
〔基本的なタグ自動認識システムの問題点〕
ＩＳＯ−１５６９３，ＩＳＯ−１８０００，ＥＰＣタグなどが定める従来のシステムでは、リーダー装置がタグ装置のタグＩＤ情報を読取る場合、リーダー装置が読取り要求情報をブロードキャストし、これを受信できたタグ装置が順にタグＩＤ情報を応答するようになっていた。また、タグ装置は、リーダー装置の所有者などに関係なく応答するようになっていた。こうした制約のないタグＩＤ情報の応答は、所持品情報の漏洩や所有者の追跡といったプライバシの問題を引き起こす要因となっている。
【０００５】
［従来の解決策］
このようなプライバシ問題に対処する手法として、ＥＰＣタグなどでは、タグ装置の機能を無効化するＫＩＬＬ機能が実装されている（例えば、非特許文献２参照）。これにより、機能を無効化（ＫＩＬＬ）したタグ装置から利用者のプライバシ情報が漏洩することを防止できるが、ＫＩＬＬしたタグ装置は、正当な利用者でさえ利用できなくなるという問題がある。
そこで最近では、ＫＩＬＬ以外のプライバシ保護方法として、タグＩＤ情報を秘匿化する方法も提案されている（例えば、非特許文献３，４参照。）。
【０００６】
例えば、非特許文献３では、タグ装置内に暗号化機能を搭載し、タグ装置が暗号化されたタグＩＤ情報を出力するたびに、タグ装置内のタグＩＤ情報の暗号文を異なる暗号文に暗号化する方法が提案されている。また、例えば、非特許文献４では、タグ装置内には暗号化機能を搭載しないが、外部の計算機を利用して定期的にタグ装置内のタグＩＤ情報の暗号文を異なる値に変更する方法が提案されている。
【非特許文献１】EPC global, Inc.、”EPCglobal”、[online]、[平成１６年９月２４日検索]、インターネット＜URL: http://www.epcglobalinc.org/＞
【非特許文献２】Auto-ID Center, "860MHz-960MHz Class I Radio Frequency Identification Tag Radio Frequency & Logical Communication Interface Specification Proposed Recommendation, Version 1.0.0," Technical Report MIT-AUTOID-TR-007, Nov. 2002.
【非特許文献３】Miyako Ohokubo, Koutarou Suzuki and Shingo Kinoshita, "Cryptographic Approach to a Privacy Friendly Tag," RFID Privacy Workshop @MIT
【非特許文献４】木下、星野、小室、大久保、”ローコストＲＦＩＤプライバシ保護方法”，情報処理学会誌，VOL.45，NO.8，August 2004
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかし、非特許文献３，４のように暗号化技術を用いる方法では、プライバシの保護レベル、すなわち安全性に優れている反面、システムのコストが高くなってしまうという問題点がある。
例えば、非特許文献３の方法の場合、高価な暗号化回路を各タグ装置に搭載しなければならず、タグ装置のコストが高くなってしまう。これはシステム全体のコストアップにつながる。
また、非特許文献３，４のようにタグＩＤ情報を暗号化する場合、正当な権限を持つ者はこの暗号文を復号できなければならない。そのため、このタグＩＤ情報を復号できる権限（復号権）をシステム内で安全に運用管理しなければならず、その運用管理コストが必要となる。特にこの復号権が、タグ装置が使用される商品、その管理権限を持つ商品所有者、タグ装置からの読取りを許可するリーダー装置等と関連付けて管理される場合、商品の所有権登録／変更／削除や、タグ装置からの読取りを許可するリーダー装置の登録／変更／削除に伴う運用管理コストの増加は無視できるものではない。
【０００８】
本発明はこのような点に鑑みてなされたものであり、システムのコストを抑えつつ、利用者のプライバシの保護を実現するタグ自動認識技術を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明では上記課題を解決するために、リーダー装置がＩＤ読取り要求情報を出力し、これを受け取ったタグ装置がタグＩＤ情報を応答する処理において、リーダー装置がＩＤ読取り要求情報を出力する際、これと併せて、当該リーダー装置を一意に識別させるためのリーダーＩＤ情報を含む読取り申告情報を出力する。
このようにＩＤ読取り要求情報とともに出力された読取り申告情報は、例えば、タグ装置の内部メモリに履歴情報として格納しておくことができる。この場合、この履歴情報を解析することによって事後的に不正な読取り処理を発見できる。また、タグ装置の所有者は、タグＩＤ情報の読取り要求の履歴を知ることができるため、利用者にセキュリティ上の安心感を与えることもできる。さらに、タグ装置に高価な回路を設ける必要もなく、システム内で復号権限等を管理する必要もない。
【００１０】
また、例えばタグ装置が受け取った読取り申告情報が所定の条件を満たす場合にのみ、リーダー装置がこのタグ装置のタグＩＤ情報を読取ることを許可する、といった処理も可能である。この場合、不正なリーダー装置にタグＩＤ情報が読取られてしまうことを抑制でき、より悪意のあるリーダー装置にタグＩＤ情報が漏洩してしまうことを防止できる。
また、例えばタグ装置とは別に監査専用の監査タグ装置を用意し、この監査タグ装置がリーダー装置から送信された読取り申告情報を履歴情報として蓄積したり、この読取り申告情報が所定の条件を満たすか否かを判断したりする構成をとることもできる。これにより、タグ装置のコストを上昇させることなく高度なプライバシ保護を実現することができる。
【発明の効果】
【００１１】
以上のように、本発明では、タグ自動認識システムにおいて、システムのコストを抑えつつ、利用者のプライバシの保護を実現することが可能となる。
【発明を実施するための最良の形態】
【００１２】
以下、この発明の実施の形態を図面を参照して説明する。
〔第１の実施の形態〕
まず、本形態における構成について説明する。
図１は、本形態におけるタグ自動認識システム１の全体構成を例示した概念図である。また、図２はリーダー装置１０の詳細構成を、図３はタグ装置３０の詳細構成を、図４は検査装置５０及びリーダーＩＤ管理サーバ装置６０の詳細構成を、それぞれ例示したブロック図である。
【００１３】
図１に例示するように、本形態のタグ自動認識システム１は、商品８０に付されたリーダー装置１０、内部記憶領域３１ｂを備えるタグ装置３０、バックエンド装置４０、検査装置５０、及びリーダーＩＤデータベース６１を備えるリーダーＩＤ管理サーバ装置６０を有しており、リーダー装置１０、バックエンド装置４０、検査装置５０及びリーダーＩＤ管理サーバ装置６０は、インターネット等のネットワークを通じ通信可能に接続されている。なお、説明の簡略化のため、図１では、リーダー装置１０、タグ装置３０、バックエンド装置４０、検査装置５０及びリーダーＩＤ管理サーバ装置６０を１つずつ示しているが、各装置の個数はこれに限定されない。すなわち、通常タグ装置３０やリーダー装置１０は複数であり、バックエンド装置４０、検査装置５０及びリーダーＩＤ管理サーバ装置６０を複数設けてもよい。
【００１４】
＜リーダー装置の構成＞
図２に例示するように、この例のリーダー装置１０は、内部メモリ１１、読取り部１２、時刻情報出力部１３、署名生成部１４、出力情報生成部１５、出力部１６、入力部１７、通信部１８、一時メモリ１９及び制御部２０を有している。
内部メモリ１１は、例えば、物流情報メモリ１２１は、例えば、ハードディスク装置、フレキシブルディスク等の磁気記録装置、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等の光ディスク装置、ＭＯ（Magneto-Optical disc）等の光磁気記録装置、ＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）、フラッシュメモリ（flash memory）等の半導体メモリ等である。
【００１５】
読取り部１２は、内部メモリ１１に対するデータの読書きを行うハードウェアであり、時刻情報出力部１３は、年月日日時秒等の時刻情報を出力する時計である。署名生成部１４、出力情報生成部１５及び制御部２０には、例えば、各機能を実現する専用の集積回路を用いてもよく、或いはＣＰＵ（Central Processing Unit）に所定のプログラムを実行させたものを用いてもよい。
出力部１６及び入力部１７は、例えば、無線或いは有線でデータを出力・入力するハードウェアである。具体的には、出力部１６及び入力部１７は、例えば、ＮＲＺ符号やマンチェスター符号化やミラー符号や単極ＲＺ符号化等によって符号化・復号化を行う符号化・復号化回路、ＡＳＫ（Amplitude Shift Keying）やＰＳＫ（Phase Shift Keying）やＦＳＫ（Frequency Shift Keying）等によって変・復調を行う変・復調回路、ダイポールアンテナやマイクロストリップアンテナやループコイルやコア入りコイル等のアンテナを有し、長周帯やＩＳＭ帯（Industry Science Medical band）の周波数を用いて信号の送受信を行う。なお、通信方式は、例えば、電磁誘導方式や電波方式を利用する。
【００１６】
通信部１８は、例えば、ＬＡＮカード、モデム、ターミナルアダプター等であり、制御部２０は、例えば、ＣＩＳＣ（Complex Instruction Set Computer）方式、ＲＩＳＣ（Reduced Instruction Set Computer）方式等のＣＰＵ（Central Processing Unit）である。
一時メモリ１９は、例えば、ＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）、フラッシュメモリ（flash memory）等の半導体メモリ等である。
なお、以下では説明を省略するが、リーダー装置１０は、制御部２０の制御のもと各処理を実行し、各処理過程におけるデータは、必要に応じて一時メモリ１９に格納され、必要なときに読み出される。また、図２〜図４における矢印はデータの流れを示しているが、一時メモリ１９及び制御部２０に対して出入りするデータの流れは省略してある。
【００１７】
＜タグ装置の構成＞
図３に例示するように、タグ装置３０は、内部メモリ３１、入力部３２、読書き部３３、出力部３４、一時メモリ３５及び制御部３６を有している。
内部メモリ３１及び一時メモリ３５は、例えば、ＥＥＰ−ＲＯＭ、フラッシュメモリ等の半導体メモリ等である。入力部３２、読書き部３３、出力部３４及び制御部３６は、例えば、上述したリーダー装置の具体的構成例と同様に構成される。
なお、以下では説明を省略するが、タグ装置３０は、制御部３６の制御のもと各処理を実行し、各処理過程におけるデータは、必要に応じて一時メモリ３５に格納され、必要なときに読み出される。また、一時メモリ３５及び制御部３６に対して出入りするデータの流れは省略してある。
【００１８】
＜検査装置の構成＞
図４に例示するように、検査装置５０は、内部メモリ５１、読書き部５２、出力部５３、入力部５４、通信部５５、署名検証部５６、表示部５７、一時メモリ５８及び制御部５９を有している。
内部メモリ５１、読書き部５２、出力部５３、入力部５４、通信部５５、一時メモリ５８及び制御部５９は、例えば、上述したリーダー装置の具体的構成例と同様に構成される。また、署名検証部５６は、例えば、各機能を実現する専用の集積回路を用いてもよく、或いはＣＰＵに所定のプログラムを実行させたものを用いてもよい。また、表示部５７は、例えば、液晶ディスプレイ、ＣＲＴ（Cathode Ray Tube）ディスプレイ等である。
【００１９】
なお、以下では説明を省略するが、検査装置５０は、制御部５９の制御のもと各処理を実行し、各処理過程におけるデータは、必要に応じて一時メモリ５８に格納され、必要なときに読み出される。また、一時メモリ５８及び制御部５９に対して出入りするデータの流れは省略してある。
＜リーダーＩＤ管理サーバ装置の構成＞
図４に例示するように、リーダーＩＤ管理サーバ装置６０は、リーダーＩＤデータベース６１、読取り部６２、通信部６３、一時メモリ６４及び制御部６５を有する。
【００２０】
リーダーＩＤデータベース６１は、例えば、ハードディスク装置、フレキシブルディスク等の磁気記録装置、光ディスク装置、光磁気記録装置、半導体メモリ等であり、読取り部６２は、例えば、リーダーＩＤデータベース６１からデータを読取るハードウェアである。また、通信部６３、一時メモリ６４及び制御部６５は、例えば、上述したリーダー装置の具体的構成例と同様に構成される。
なお、以下では説明を省略するが、リーダーＩＤ管理サーバ装置６０は、制御部６５の制御のもと各処理を実行し、各処理過程におけるデータは、必要に応じて一時メモリ６４に格納され、必要なときに読み出される。また、一時メモリ６４及び制御部６５に対して出入りするデータの流れは省略してある。
【００２１】
＜前処理＞
次に、本形態におけるタグ自動認識システム１を稼動させるための前処理について説明する。
まず、図２に例示するように、各リーダー装置１０の内部メモリ１１に、ＩＤ読取り要求情報、リーダーＩＤ情報（図２の例では"001135"）、利用ポリシを示す利用ポリシ情報（図２の例では”Level 4”）及び秘密鍵（図２の例では"$g'8jd"）を格納しておく。また、図３に例示するように、各タグ装置３０の内部メモリ３１の内部記憶領域３１ａ（「第１の内部記憶領域」に相当）に、それぞれのタグＩＤ情報を格納しておく（図３の例では"123456789ABC"）。さらに、図４に例示するように、検査装置５０の内部メモリ５１に履歴取得要求情報を格納しておき、リーダーＩＤ管理サーバ装置６０のリーダーＩＤデータベース６１に、各リーダー装置１０のリーダーＩＤ情報、それらの所有者を示す所有者情報、それらの設置位置を示す位置情報、及び公開鍵証明書を相互に対応付けて格納しておく。
【００２２】
ここで、「ＩＤ読取り要求情報」とは、タグ装置３０にタグＩＤ情報の出力を要求する情報であり、「履歴取得要求情報」とは、タグ装置３０に履歴情報の返信を要求する情報である。また、「リーダーＩＤ情報」とは、各リーダー装置１０を一意に識別する識別子であり、「タグＩＤ情報」とは、各タグ装置３０を一意に識別する識別子である。また、「秘密鍵」は例えばＲＳＡ（Rivest Shamir Adleman）等の公開鍵暗号方式における秘密鍵であり、各リーダー装置１０に対応する。「公開鍵証明書」は、この「秘密鍵」に対応する公開鍵とその証明書とを具備する情報である。
【００２３】
さらに「利用ポリシ」とは、バックエンド装置４０に蓄積されるタグＩＤ情報及びそれに対応する情報の利用制約条件を示すものである。例えば、以下のようなレベル表示（Ｌｅｖｅｌ １〜４）された利用ポリシを例示できる。
Ｌｅｖｅｌ １：利用制約なし。
Ｌｅｖｅｌ ２：バックエンド装置に蓄積されるタグＩＤ情報に個人情報の関連付けを行う。かつ、バックエンド装置に蓄積されたタグＩＤ情報には誰でもアクセスできる。
Ｌｅｖｅｌ ３：バックエンド装置に蓄積されるタグＩＤ情報に個人情報の関連付けを行う。かつ、バックエンド装置に蓄積されたタグＩＤ情報にアクセスできるのは、そのタグＩＤ情報が割り当てられた者（自然人や法人）のみである。
【００２４】
Ｌｅｖｅｌ ４：バックエンド装置に蓄積されるタグＩＤ情報には個人情報を関連付けない。かつ、バックエンド装置に蓄積されたタグＩＤ情報にアクセスできるのは、そのタグＩＤ情報が割り当てられた者（自然人や法人）のみである。
＜タグＩＤ情報読取り処理＞
図５は、リーダー装置１０がタグ装置３０からタグＩＤ情報を読取る際の処理を説明するためのフローチャートである。以下では、この図を用い、このタグＩＤ情報の読取り処理について説明する。
【００２５】
まず、リーダー装置１０は、読取り部１２において、内部メモリ１１からリーダーＩＤ情報（001135）、利用ポリシ情報（Level 4）及び秘密鍵（$g'8jd）を読出し、署名生成部１４に送る（ステップＳ１）。また、時刻情報出力部１３が時刻情報（0401221523）を抽出し、抽出した時刻情報を署名生成部１４に送る（ステップＳ２）。これらを受け取った署名生成部１４は、例えば、受け取ったリーダーＩＤ情報と利用ポリシ情報と時刻情報に対する署名情報（JAjidjei7$%）を生成し、これらリーダーＩＤ情報、利用ポリシ情報、時刻情報及び署名情報（これらをまとめて「読取り申告情報」と呼ぶ）を一時メモリ１９に格納する（ステップＳ３）。具体的には、例えば、受け取ったリーダーＩＤ情報、利用ポリシ情報及び時刻情報のビット結合に対し、受け取った秘密鍵を用いてＲＳＡ等の公開鍵暗号関数を作用させ、その暗号文を署名情報として、リーダーＩＤ情報、利用ポリシ情報及び時刻情報とともに一時メモリ１９に格納する。
【００２６】
次に、読取り部１２が内部メモリ１１からＩＤ読取り要求情報を読出して出力情報生成部１５に送る。さらに出力情報生成部１５は、一時メモリ１９に格納されている読取り申告情報を抽出する（ステップＳ４）。そして、この出力情報生成部１５は、これらのＩＤ読取り要求情報及び読取り申告情報を有する出力情報を生成し、出力部１６に送る（ステップＳ５）。
図７（ａ）は、このように出力情報生成部１５が生成した出力情報１００の構成の例示である。この図に例示するように、出力情報１００は、出力情報１００の構成を示す情報やデータチェック（パリティチェック等）用の検査ビット等を含むヘッダ１０１、ＩＤ読取り要求情報１０２及び読取り申告情報１０３を有し、読取り申告情報は、リーダーＩＤ情報１０３ａ、時刻情報１０３ｂ、利用ポリシ情報１０３ｃ及び署名情報１０３ｄを有している。
【００２７】
出力情報を受け取った出力部１６は、これをブロードキャスト送信する（ステップＳ６）。すなわち、リーダー装置１０は、出力部１６（「第１の出力部」に相当）において、リーダー装置１０を一意に識別するリーダーＩＤ情報を含む読取り申告情報と、ＩＤ読取り要求情報とを出力する。
なお、Ｓ１〜Ｓ６までの処理は、制御部２０の制御のもと、連続的或いは断続的に繰り返し行われる。
タグ装置３０が、ブロードキャストされた出力情報を受信できる範囲内に存在した場合、このタグ装置３０は、入力部３２（「第１の入力部」に相当）において、この出力情報（ＩＤ読取り要求情報と読取り申告情報（リーダーＩＤ情報（001135）、利用ポリシ情報（Level 4）、時刻情報（0401221523）及び署名情報（JAjidjei7$%））とを有する情報）を受信する（ステップＳ７）。
【００２８】
入力部３２に入力された出力情報の読取り申告情報は読書き部３３に送られ、読書き部３３は、この読取り申告情報（（リーダーＩＤ情報（001135）、利用ポリシ情報（Level 4）、時刻情報（0401221523）及び署名情報（JAjidjei7$%）））を履歴情報として、内部メモリ３１の内部記憶領域３１ｂ（「第２の内部記憶領域」に相当）に追加格納する（ステップＳ８）。この例の場合、図１のように、タグ装置３０の内部記憶領域３１ｂに、リーダーＩＤ情報、利用ポリシ情報、時刻情報及び署名情報として、「000111」「0401121334」「Level 3」「&hU」(＃９％」，「000112」「0401121445」「Level 2」「KE＃)JE＃B」，…，「001134」「0401151543」「Level 4」「()($＃HUHDE」が格納されていたところに、図３のように、「001135」「Level 4」「0401221523」「JAjidjei7$%」が追記される。
【００２９】
また、制御部３６は、入力部３２にＩＤ読取り要求情報（出力情報が具備する）が入力されたことを契機に読書き部３３にトリガ信号を送り、これを受け取った読書き部３３は、内部メモリ３１の内部記憶領域３１ａ（「第１の内部記憶領域」に相当）のタグＩＤ情報（123456789ABC）を読み出す（ステップＳ９）。読み出されたタグＩＤ情報は出力部３４に送られ、出力部３４は、このタグＩＤ情報をリーダー装置１０に送信（出力）する（ステップＳ１０）。
リーダー装置１０は、入力部１７において、このタグＩＤ情報（123456789ABC）を受信し、通信部１８からネットワーク７０を通じてバックエンド装置４０に送信し、バックエンド装置４０から必要な情報を取得する。
【００３０】
＜履歴情報読取り処理＞
図６は、検査装置５０がタグ装置３０から通信履歴情報を読取る際の処理を説明するためのフローチャートである。以下では、この図を用い、この履歴情報読取り処理について説明する。
まず、検査装置５０が、読書き部５２において内部メモリ５１から履歴取得要求情報を読出し、これを出力部５３に送る（ステップＳ２１）。出力部５３（「第３の出力部」に相当）は、この検履歴取得要求情報をブロードキャストで送信（出力）する（ステップＳ２２）。
【００３１】
なお、Ｓ２１，２２の処理は、制御部５９の制御のもと、連続的或いは断続的に繰り返し行われる。
タグ装置３０が、ブロードキャストされた検履歴取得要求情報を受信できる範囲内に存在した場合、このタグ装置３０は、入力部３２（「第１の入力部」に相当）において、この履歴取得要求情報を受信する（入力を受け付ける）（ステップＳ２３）。これを契機に制御部３６は、読書き部３３に指示を与え、読書き部３３は、内部メモリ３１の内部記憶領域３１ｂ（「第２の内部記憶領域」に相当）に履歴情報として格納されている読取り申告情報を読み出す（ステップＳ２４）。なお、ここで、読書き部３３が内部記憶領域３１ｂに格納されているすべての読取り申告情報を読み出すこととしてもよく、また、所定の条件（例えば、時刻情報や利用ポリシ情報等の条件）を満たす読取り申告情報のみを読み出すこととしてもよい。
【００３２】
読み出された読取り申告情報は出力部３４に送られ、出力部３４（「第２の出力部」に相当）は、これらの読取り申告情報を検査装置５０に送信（出力）する（ステップＳ２５）。
検査装置５０は、入力部５４（「第２の入力部」に相当）において、これらの読取り申告情報を受信し（入力を受け付け）、読書き部５２において内部メモリ５１に格納する（ステップＳ２６）。次に、読出し部５２は、内部メモリ５１に格納された読取り申告情報が有する各リーダーＩＤ情報を読出し、これらを通信部５５に送る（ステップＳ２７）。通信部５５（「抽出部」に相当）は、受け取った各リーダーＩＤ情報を、ネットワーク７０を通じ、リーダーＩＤ管理サーバ装置６０に送信する（ステップＳ２８）。
【００３３】
リーダーＩＤ管理サーバ装置６０は、通信部６３において、この各リーダーＩＤ情報を受信する（ステップＳ２９）。制御部６５は、これらの各リーダーＩＤ情報をキーとしてリーダーＩＤデータベース６１を検索し、これらの各リーダーＩＤ情報に対応付けられている所有者情報、位置情報及び公開鍵証明書（「リーダー装置の属性情報」に相当）を読み出す（ステップＳ３０）。読み出された所有者情報、位置情報及び公開鍵証明書は通信部６３に送られ、そこからネットワーク７０を通じ、リーダーＩＤ情報に対応付けられて検査装置５０に送信される（ステップＳ３１）。
【００３４】
検査装置５０の通信部５５（「抽出部」に相当）は、上述の所有者情報、位置情報及び公開鍵証明書を受信する。受信された所有者情報、位置情報及び公開鍵証明書は、例えば、読書き部５２が、各リーダーＩＤ情報に対応付けて内部メモリ５１に格納する（ステップＳ３２）。なお、ステップＳ２７〜３２の処理は、「抽出部において、第２の入力部５４に入力された読取り申告情報が具備するリーダーＩＤ情報に対応するリーダー装置の属性情報を、リーダーＩＤ管理データベース６１から抽出する手順」に相当する。
次に、読書き部５２は、内部メモリ５１から、公開鍵証明書と読取り申告情報とをリーダーＩＤ情報ごとに読出し、これらを署名検証部５６に送る。署名検証部５６は、受け取った公開鍵証明書の公開鍵で読取り申告情報の署名情報を検証する（ステップＳ３３）。具体的には、例えば、署名検証部５６は、受け取った公開鍵証明書の公開鍵で読取り申告情報の署名情報を復号し、その復号結果と読取り申告情報のリーダーＩＤ情報、時刻情報及び利用ポリシ情報とを比較し、これらが一致すれば署名情報が正当であると判断する。なお、各署名検証結果は、例えば各リーダーＩＤ情報に対応つけて一時メモリ５８に格納される。
【００３５】
次に、読書き部５２は、内部メモリ５１から対応付けられた所有者情報、位置情報及び読取り申告情報をリーダーＩＤ情報ごとに読出し、これを表示部５７に送る。また、表示部５７は、一時メモリ５８から各検証結果を読み出す。そして、表示部５７は、例えば、取得した所有者情報と、位置情報と、読取り申告情報の時刻情報及び利用ポリシ情報と、署名検証結果とを、リーダーＩＤ情報を介して関連つけて表示する（履歴情報表示）。
図７（ｂ）は、このように表示部５７が表示した履歴情報の例示である。この図に例示するように、この例の表示部５７は、所有者情報、位置情報、時刻情報、利用ポリシ情報及び署名検証結果が、それぞれ「BBB」「×××」「0401121334」「Level 3」「OK」，「XYZ」「○○○」「0401121445」「Level 2」「NG」，「XYZ」「○○○」「0401122523」「Level 2」「OK」，…，「QRS」「△△△」「0401208520」「Level 4」「OK」である履歴情報を表示している。
【００３６】
＜第１の実施の形態の特徴＞
本形態では、リーダー装置１０がＩＤ読取り要求情報をブロードキャストする際、そのリーダー装置１０を一意に識別するリーダーＩＤ情報を含む読取り申告情報を送信し、これを受信したタグ装置３０が、この読取り申告情報を内部記憶領域３１ｂに追加格納することとした。そのため、この内部記憶領域３１ｂに格納された読取り申告情報を用いることにより、タグ装置３０のリーダー装置１０からの読取り履歴を抽出・提示することができる（履歴情報読取り処理）。これにより、不正なリーダー装置１０からタグＩＤ情報が読み出されたことを事後的に発見することが可能となる。そして、不正なリーダー装置１０の履歴が残るということの抑止力により、このような不正読出し行為を抑制することもできる。そして、タグ装置３０の利用者は、いつどこで何のためにタグＩＤ情報の読取りが行われたかを知ることが可能であるため、利用者にセキュリティ上の安心感を与えることもできる。
【００３７】
また、本形態ではタグ装置３０が暗号化や復号化を行う必要がないため、これらを実行する高価な回路をタグ措置３０に内蔵する必要がない。また、暗号文の復号権限の管理も不要であるため、そのためのコストも不要である。
以上より、本形態では、システムのコストを低く抑えつつ、利用者のプライバシ保護を実現することができる。
〔第２の実施の形態〕
本形態は、第１の実施の形態の変形例であり、各タグ装置が第１の入力部にＩＤ読取り要求情報が入力された後、第１の判定部において、第１の入力部に入力された情報をもとに、タグＩＤ情報の送出を許可するか否かを判定し、第１の判定部がタグＩＤ情報の送出を許可しないと判定した場合、制御部において、第１の内部記憶領域に格納されたタグＩＤ情報を出力する手順の実行を禁止する点が第１の実施の形態と相違する。以下では、第１の実施の形態との相違点を中心に説明し、第１の実施の形態と共通する事項については説明を省略する。
【００３８】
＜全体構成＞
第１の実施の形態と同様である。
＜タグ装置の構成＞
図８は、本形態のタグ装置２３０の構成を例示したブロック図である。なお、図８において、第１の実施の形態と共通する構成については図３と同じ符合を付した。
図８に例示するように、本形態のタグ装置２３０と第１の実施の形態のタグ装置３０との相違点は、本形態のタグ装置２３０が、入力部３２（「第１の入力部」に相当）に入力された情報をもとに、タグＩＤ情報の送出を許可するか否かを判定する判定部２３７を有する点、内部メモリ３１の代わりに内部メモリ２３１を有する点である。なお、判定部２３７は、専用の集積回路によって構成してもよく、またＣＰＵに所定のプリグラムを実行させて構成してもよい。またリーダー装置、バックエンド装置、検査装置、リーダーＩＤ管理サーバ装置の構成は第１の実施の形態と同様である。
【００３９】
＜前処理＞
第１の実施の形態との相違点は、タグ装置２３０が有する内部メモリ２３１の内部記憶領域３１ａ（「第１の内部記憶領域」に相当）にタグＩＤ情報を格納しておくだけではなく、その内部記憶領域２３１ｃ（「第３の内部記憶領域」に相当）に、タグＩＤ情報の送出を許可するか否かの判定条件であるＩＤ送出条件を格納しておく点である。この例では、ＩＤ送出条件として、リーダーＩＤ情報の正当性を判定するためのリーダーＩＤ条件、タグＩＤ情報の送信を許可する利用ポリシを示す利用ポリシ条件、及びタグＩＤ情報の送信を行う時間的範囲を示す有効範囲条件が格納されている。なお、リーダーＩＤ条件としては、例えば、正当なリーダーＩＤ情報のフォーマットや正当なリーダーＩＤ情報リスト等を例示できる。また、有効範囲条件としては、例えば、ある日時までタグＩＤ情報の送信を許可する場合の有効期限条件、１日のうちある時間帯だけタグＩＤ情報の送信を許可する場合の時間指定条件、ウィークデーだけタグＩＤ情報の送信を許可する場合の日時指定等を例示できる。
【００４０】
＜タグＩＤ情報読取り処理＞
第１の実施の形態とはタグ装置２３０の処理のみが異なる。以下では、第１の実施の形態のタグＩＤ情報読取り処理との相違点のみを説明する。
図９は、本形態のタグＩＤ情報読取り処理におけるタグ装置２３０の実行手順を説明するためのフローチャートである。なお、図５のフローチャートに示したステップＳ７〜１０の処理を図９に示した処理に置き換えたものが本形態のタグＩＤ情報読取り処理となる。
【００４１】
タグ装置２３０が、リーダー装置１０からブロードキャストされた出力情報を受信できる範囲に達した場合、このタグ装置２３０は、入力部３２（「第１の入力部」に相当）において、この出力情報（ＩＤ読取り要求情報と読取り申告情報（リーダーＩＤ情報（001135）、利用ポリシ情報（Level 4）、時刻情報（0401221523）及び署名情報（JAjidjei7$%））とを有する情報）を受信する（ステップＳ４１）。
この受信を契機に、判定部２３７（「第１の判定部」に相当）は入力部３２の受信情報がすべての読取り申告情報の要素を具備するか否かを検証する（ステップＳ４２）。この例では、受信情報に読取り申告情報が含まれているか、さらにこの読取り申告情報が、リーダーＩＤ情報、時刻情報、利用ポリシ情報及び署名情報をすべて具備するか否かを検証する。ここで、読取り申告情報の少なくとも一部が入力部３２に入力されていなかった場合、判定部２３７はタグＩＤ情報の送出を許可しないと判定し、処理を終了する。
【００４２】
一方、読取り申告情報の要素の全てが入力部３２に入力されていた場合、読書き部３３は、入力部３２で受信した読取り申告情報を内部メモリ２３１の内部記憶領域３１ｂ（「第２の内部記憶領域」に相当）に追加格納し（ステップＳ４３）、次のステップＳ４４に進む。
ステップＳ４４では、判定部２３７が、入力部３２（「第１の入力部」に相当）に入力された読取り申告情報が、内部記憶領域２３１ｃ（「第３の内部記憶領域」に相当）のＩＤ送出条件に適合するか否かを検証し（詳細は後述）、適合しなかった場合、タグＩＤ情報の送出を許可しないと判定する（ステップＳ４５）。その旨は制御部３６に伝えられ、制御部３６はタグ装置２３０の処理を終了する。一方、ＩＤ送出条件に適合した場合は（ステップＳ４５）、読取り部３３が内部メモリ２３１の内部記憶領域３１ａ（「第１の内部記憶領域」に相当）からタグＩＤ情報（この例では123456789ABC）を読出し（ステップＳ４６）、これを出力部３４（「第２の出力部」に相当）からリーダー装置１０に対して送信する（ステップＳ４７）。
【００４３】
図１０は、図９におけるステップＳ４４の詳細例を説明するためのフローチャートである。以下、この図を用いてステップＳ４４の詳細について説明する。
この例では、まず読書き部３３が、内部メモリ２３１の内部記憶領域３１ｂから、新たに追記した時刻情報と１つ前の時刻情報とを読出し、これらを判定部２３７に送る。判定部２３７は、新たに追記した時刻情報が示す時刻が１つ前の時刻情報が示す時刻よりも後であるか否か（時刻情報の前後関係が妥当であるか否か）を検証する（ステップＳ５１）。
【００４４】
ここで新たに追記した時刻情報が示す時刻が１つ前の時刻情報が示す時刻よりも前であれば、判定部２３７はＮＧ（タグＩＤ情報の送出を許可しない）と判定（ステップＳ５６）し、制御部３６はステップＳ４４のルーチンを終了させる。一方、新たに追記した時刻情報が示す時刻が１つ前の時刻情報が示す時刻よりも後でれば、制御部３６はステップＳ５２の処理を進める。
ステップＳ５２では、読書き部３３が、内部メモリ２３１の内部記憶領域３１ｂから新たに追記した時刻情報を読出し、内部記憶領域２３１ｃから有効範囲条件を読出し、これらを判定部２３７に送る。判定部２３７は、受け取った時刻情報が示す時刻が有効範囲条件に適合するか否かを検証する。例えば、有効範囲条件が１０：００〜２２：００という時間指定条件であった場合、判定部２３７は、時刻情報が示す時刻が１０：００〜２２：００の範囲内であるか否かを検証する。
【００４５】
ここで、受け取った時刻情報が示す時刻が有効範囲条件に適合しなければ、判定部２３７ＮＧと判定（ステップＳ５６）し、制御部３６はステップＳ４４のルーチンを終了させる。一方、受け取った時刻情報が示す時刻が有効範囲条件に適合すれば、制御部３６はステップＳ５３の処理を進める。
ステップＳ５３では、読書き部３３が、内部メモリ２３１の内部記憶領域３１ｂから新たに追記したリーダーＩＤ情報を読出し、内部記憶領域２３１ｃからリーダーＩＤ条件を読出し、これらを判定部２３７に送る。判定部２３７は、受け取ったリーダーＩＤ情報がリーダーＩＤ条件に適合するか否かを検証する。例えば、リーダーＩＤ条件が正当なリーダーＩＤ情報のフォーマットを示すものであった場合、判定部２３７は、受け取ったリーダーＩＤ情報のフォーマットが、リーダーＩＤ条件が示すフォーマットに適合するか否かを検証する。また、例えば、リーダーＩＤ条件が正当なリーダー装置のリーダーＩＤ情報のリストであった場合、判定部２３７は、受け取ったリーダーＩＤ情報がこのリーダーＩＤ情報のリストに存在するか否かを検証する。
【００４６】
ここで、受け取ったリーダーＩＤ情報がリーダーＩＤ条件に適合しなければ、判定部２３７はＮＧと判定（ステップＳ５６）し、制御部３６はステップＳ４４のルーチンを終了させる。一方、受け取った時刻情報が示す時刻が有効範囲条件に適合すれば、制御部３６はステップＳ５４の処理を実行進める。
ステップＳ５４では、読書き部３３が、内部メモリ２３１の内部記憶領域３１ｂから新たに追記した利用ポリシ情報を読出し、内部記憶領域２３１ｃから利用ポリシ条件を読出し、これらを判定部２３７に送る。判定部２３７は、受け取った利用ポリシ情報が利用ポリシ条件に適合するか否かを検証する。例えば、判定部２３７は、受け取った利用ポリシ情報のセキュルティレベルが、利用ポリシ条件が示すセキュリティレベル以上であるか否かを検証する。
【００４７】
ここで、受け取った利用ポリシ情報が利用ポリシ条件に適合しなければ、判定部２３７はＮＧと判定（ステップＳ５６）し、制御部３６はステップＳ４４のルーチンを終了させる。一方、受け取った利用ポリシ情報が利用ポリシ条件に適合すれば、判定部２３７はＯＫ（タグＩＤ情報の送出を許可する）と判定（ステップＳ５５）し、制御部３６はステップＳ４４のルーチンを終了させる。
＜履歴情報読取り処理＞
第１の実施の形態と同様である。
【００４８】
＜第２の実施の形態の特徴＞
本形態では、タグ装置２３０が判定部２３７において、入力部３２に入力された情報をもとに、タグＩＤ情報の送出を許可するか否かを判定し、判定部２３７がタグＩＤ情報の送出を許可しないと判定した場合、制御部３６において、内部記憶領域３１ａに格納されたタグＩＤ情報を出力する手順の実行を禁止することとした。これにより、不正なリーダー装置からのＩＤ読取り要求に対してタグ装置２３０がタグＩＤ情報を出力してしまうことを防止でき、利用者のプライバシ保護をより強固なものとすることができる。また、履歴情報読取り処理によって第１の実施の形態と同様な効果を得ることもできる。
【００４９】
さらに、判定部２３７が行う処理は単純な比較処理のみであるためその回路コストは安い。
以上より、本形態では、システムのコストを低く抑えつつ、利用者のプライバシ保護を実現することができる。
なお、本形態では、内部記憶領域２３１ｃにＩＤ送出条件を格納しておき、判定部２３７が、読取り申告情報が内部記憶領域２３１ｃのＩＤ送出条件に適合するか否かを検証することとしたが、内部記憶領域２３１ｃのデータを用いるのではなく、判定部２３７自身でＩＤ送出条件に沿った処理を行う構成としてもよい。具体的には、例えば、判定部２３７をＩＤ送出条件に沿った処理を行う条件判定回路としてもよい。
【００５０】
また、タグ装置の履歴情報（読取り申告情報等）を検査タグ装置５０に読み込んだ後、検査タグ装置５０がタグ装置内の履歴情報を削除する構成としてもよい（リセット機能）。これにより、攻撃者が遠い未来の時刻情報を有する読取り申告情報を出力するＤｏＳ攻撃に備えることができる。すなわち、このような攻撃があった場合、この時刻情報の時刻は未来なのでステップＳ５１の要件を満たし、タグＩＤ情報が出力されてしまう。しかし、これ以降、正しいリーダー装置から正しい時刻の読取り申告情報が出力されてもステップＳ５１の要件を満たさなくなってしまう。すなわち、このＤｏＳ攻撃以降、タグ装置はタグＩＤ情報を出力できなくなってしまう。これに対し、検査タグ装置５０がタグ装置の履歴情報を読み込んだ後、検査タグ装置５０がタグ装置内の履歴情報を削除することとすれば、たとえ上記のような攻撃があっても、タグ装置内の履歴情報の削除以降は再びタグＩＤ情報の出力が可能となる。
【００５１】
〔第３の実施の形態〕
本形態は第１の実施の形態の変形例であり、タグ装置とは別に監査タグを設け、この監査タグに履歴情報を格納するものである。以下では、第１の実施の形態との相違点を中心に説明し、第１の実施の形態と共通する事項については説明を省略する。
図１１は、本形態のタグ自動認識システム３００の全体構成を例示した概念図である。なお、この図において第１の実施の形態と共通する構成については図１と同じ符合を付している。
【００５２】
図１１に示すように、本形態のタグ自動認識システム３００と第１のタグ自動認識システム１との相違点は、タグ装置３０の代わりにタグ装置３３０が用いられ、新たに監査タグ装置３８０が導入される点である。なお、監査タグ装置３８０は、タグ装置３３０が付された商品８０を保持する利用者がバッグ等に携帯する装置である。
＜リーダー装置・バックエンド装置・検査装置・リーダーＩＤ管理サーバ装置の構成＞
第１の実施の形態と同様である。
＜タグ装置の構成＞
図１２は、本形態におけるタグ措置３３０の構成を例示したブロック図である。
【００５３】
この図に例示するように、タグ装置３３０は、内部記憶領域３３１ａを有する内部メモリ３３１、入力部３３２、読書き部３３３、出力部３３４、一時メモリ３３５及び制御部３３６を有する。
なお、以下では説明を省略するが、タグ措置３３０は、制御部３３６の制御のもと各処理を実行し、各処理過程におけるデータは、必要に応じて一時メモリ３３５に格納され、必要なときに読み出される。また、図１２、１３における矢印はデータの流れを示しているが、一時メモリ３３５及び制御部３３６に対して出入りするデータの流れは省略してある。
【００５４】
＜監査タグ装置＞
図１３は、本形態における監査タグ装置３８０の構成を例示したブロック図である。
この図に例示するように、監査タグ装置３８０は、内部記憶領域３８１ｂを有する内部メモリ３８１、入力部３８２、読書き部３８３、出力部３８４、一時メモリ３８５及び制御部３８６を有している。
監査タグ装置３８０の具体的構成は、例えば、第１の実施の形態のタグ装置の構成を流用できるが、これらの機能を携帯電話、ＰＤＡ（Personal Digital Assistance）、ノートパソコン等の他のデバイスに内蔵することとしてもよい。
【００５５】
なお、以下では説明を省略するが、監査タグ装置３８０は、制御部３８６の制御のもと各処理を実行し、各処理過程におけるデータは、必要に応じて一時メモリ３８５に格納され、必要なときに読み出される。また、一時メモリ３８５及び制御部３８６に対して出入りするデータの流れは省略してある。
＜前処理＞
第１の実施の形態と同様である。なお、タグ装置３３０の内部メモリ３３１の内部記憶領域３３１ａ（「第１の内部記憶領域」に相当）には、タグ装置３３０のタグＩＤ情報（123456789ABC）を格納しておく。
【００５６】
＜タグＩＤ情報読取り処理＞
第１の実施の形態とはタグ装置３３０の処理と監査タグ装置３８０の処理とが異なる。以下では、第１の実施の形態のタグＩＤ情報読取り処理との相違点のみを説明する。
図１４（ａ）は、タグＩＤ情報読取り処理におけるタグ装置３３０の処理を説明するためのフローチャートであり、図１４（ｂ）は監査タグ装置３８０の処理を説明するためのフローチャートである。
［タグ装置３３０の処理］
タグ装置３３０が、リーダー装置１０からブロードキャストされた出力情報を受信できる範囲に達した場合、このタグ装置３３０は、入力部３３２（「第１の入力部」に相当）において、このリーダー装置１０から出力された情報（ＩＤ読取り要求情報と読取り申告情報を有する情報）を受信する（入力を受け付ける）（ステップＳ６１）。
【００５７】
制御部３３６は、入力部３３２にＩＤ読取り要求情報が入力されたことを契機に読書き部３３３にトリガ信号を送り、これを受け取った読書き部３３３は、内部メモリ３３１の内部記憶領域３３１ａ（「第１の内部記憶領域」に相当）のタグＩＤ情報（123456789ABC）を読み出す（ステップＳ６２）。読み出されたタグＩＤ情報は出力部３３４に送られ、出力部３３４は、このタグＩＤ情報をリーダー装置１０に送信（出力）する（ステップＳ６３）。このタグＩＤ情報は、第１の実施の形態と同様、リーダー装置１０に受信されるとともに、以下のように監査タグ装置３８０にも受信される。
【００５８】
［監査タグ装置３８０の処理］
利用者は、監査タグ装置３８０をタグ装置３３０とともに保持しているため、タグ装置３３０が、リーダー装置１０からブロードキャストされた出力情報を受信できる範囲に達した場合、通常、監査タグ装置３８０もこの範囲内に位置する。この際、この監査タグ装置３８０は、入力部３３２（「第３の入力部」に相当）において、リーダー装置１０から出力された情報（ＩＤ読取り要求情報と読取り申告情報（リーダーＩＤ情報（001135）、利用ポリシ情報（Level 4）、時刻情報（0401221523）及び署名情報（JAjidjei7$%））とを有する情報）を受信する（入力を受け付ける）（ステップＳ７１）。
【００５９】
この読取り申告情報（リーダーＩＤ情報（001135）、利用ポリシ情報（Level 4）、時刻情報（0401221523）及び署名情報（JAjidjei7$%）は、読書き部３８３に送られ、読書き部３８３は、この読取り申告情報を履歴情報として内部メモリ３８１の内部記憶領域３８１ｂ（「第４の内部記憶領域」に相当）に追加格納する（ステップＳ７２）。
また、ステップＳ６３でタグ装置３３０から送信されたタグＩＤ情報（123456789ABC）は、入力部３８２（「第３の入力部」に相当）において受信される（入力を受け付けられる）（ステップＳ７３）。このタグＩＤ情報は読書き部３８３に送られ、読書き部３８３は、これをステップＳ７２で内部記憶領域３８１ｂ（「第４の内部記憶領域」に相当）に追記した読取り申告情報に対応付けて追加格納する（ステップＳ７４）。
【００６０】
＜履歴情報読取り処理＞
第１の実施の形態との相違点は、第１の実施の形態では、検査装置５０からブロードキャストされた履歴取得要求情報に対してタグ装置３０が読取り申告情報を返送していたのに対し、本形態では、監査タグ装置３８０が読取り申告情報及びタグＩＤ情報を返送する点である。なお、検査装置５０内でのタグＩＤ情報の取扱い（情報の記憶処理や表示処理）は読取り申告情報と同様である。
即ち、検査装置５０が、出力部５３において、履歴情報の返信を要求する履歴取得要求情報を出力し、監査タグ装置３８０が、入力部３８２（「第３の入力部」に相当）において、この履歴取得要求情報を受信し（入力を受け付け）、入力部３８２に履歴取得要求情報が入力されたことを契機に、読書き部３８３が内部メモリ３８１の内部記憶領域３８１ｂ（「第４の内部記憶領域」に相当）に蓄積された読取り申告情報とタグＩＤ情報とを読出し、これらを出力部３８４（「第４の出力部」に相当）が検査装置５０に対して送信する。そして、検査装置５０が、入力部５４（「第２の入力部」に相当）において、読取り申告情報とタグＩＤ情報の入力を受け付け、通信部５５（「抽出部」に相当）からリーダーＩＤ管理サーバ装置６０にアクセスし、この読取り申告情報が具備するリーダーＩＤ情報に対応するリーダー装置の属性情報を、リーダーＩＤ管理データベース６１から抽出する。そして、第１の実施の形態と同様に表示部５７において履歴情報を表示する。なお、第１の実施の形態と異なり、タグＩＤ情報も履歴情報として表示される。
【００６１】
図１５は、本形態において検査装置５０の表示部５７が表示する履歴情報を例示した図である。
図１５に例示するように、本形態の表示部５７は、履歴情報として、所有者情報、位置情報、時刻情報、利用ポリシ情報、タグＩＤ情報及び署名検証結果を表示する。図１５の例では、所有者情報、位置情報、時刻情報、利用ポリシ情報、タグＩＤ情報及び署名検証結果として、それぞれ「BBB」「×××」「0401121334」「Level 3」「010101010101」「
OK」，「XYZ」「○○○」「0401121445」「Level 2」「020202020202」「NG」，「XYZ」「○○○」「0401122523」「Level 2」「020202020202」「OK」，…，「QRS」「△△△」「0401208520」「Level 4」「123456789DEF」「OK」を表示している。
【００６２】
＜第３の実施の形態の特徴＞
本形態のようにタグ装置とは別に監査タグ装置を設け、この監査タグ装置にリーダー装置から出力された読取り申告情報やタグ装置から出力されたタグＩＤ情報を格納することとしても、第１の実施の形態と同様、システムコストを抑えつつ利用者のプライバシ保護を実現することができる。
また、本形態では、タグ装置自体にはプライバシ保護機能を設ける必要がなく、従来から提唱されているシンプルな構成のタグ装置を利用できるためシステム導入が容易である。
【００６３】
〔第４の実施の形態〕
本形態は第３の実施の形態の変形例であり、監査タグ装置がリーダー装置から送信された情報を検証し、タグＩＤ情報の送出を許可するか否かを判定する点が第３の実施の形態と相違する。以下では第１及び第３の実施の形態と相違する点を中心に説明し、第１及び第３の実施の形態と共通する事項については説明を省略する。
＜リーダー装置・タグ装置・バックエンド装置・検査装置・リーダーＩＤ管理サーバ装置の構成＞
第１及び第３の実施の形態と同様である。
【００６４】
＜監査タグ装置＞
図１６は、本形態における監査タグ装置４８０の構成を例示したブロック図である。なお、この図において第３の実施の形態と共通する構成については図１３と同じ符号を付した。
本形態の監査タグ装置４８０と第３の実施の形態の監査タグ装置３８０との相違点は、監査タグ装置４８０が、内部メモリ３８１の変わりに内部メモリ４８１を具備する点、監査タグ装置３８０の構成に加え、判定部４８７、時刻情報出力部４８８、位置計測部４８９、妨害電波出力部４９０及び警報部４９１を有する点である。
【００６５】
ここで、時刻情報出力部４８８は、時刻情報を出力する電波時計等であり、位置計測部４８９は、監査タグ装置４８０の位置情報を抽出するＧＰＳ装置等である。また、妨害電波出力部４９０は、トリガ信号を受けて妨害電波を出射する装置であり、例えばＲＳＡ社の「ブロッカータグ」等を利用することができる（例えば、＜ＵＲＬ：http://www.rsasecurity.com/rsalabs/staff/bios/ajuels/publications/blocker/blocker.pdf＞参照。）。また、警報部４９１は、トリガ信号を受けて音や振動等を発生させる装置である。
＜前処理＞
第３の実施の形態との相違点は、監査タグ装置４８０の内部メモリ４８１の内部記憶領域４３１ｃに、タグＩＤ情報の送出を許可するか否かの判定条件であるＩＤ送出条件を格納しておく点である。この例では、ＩＤ送出条件として、第２の実施の形態で例示したリーダーＩＤ情報の正当性を判定するためのリーダーＩＤ条件、タグＩＤ情報の送信を許可する利用ポリシを示す利用ポリシ条件、及びタグＩＤ情報の送信を行う時間的範囲を示す有効範囲条件が格納されている。なお、本形態のリーダーＩＤ情報は、対応するリーダー装置の位置情報をローカルに特定できるデータであるものとする（例えば、対応するリーダー装置の座標からなるデータ等）。
【００６６】
＜タグＩＤ情報読取り処理＞
第３の実施の形態とは監査タグ装置４８０の処理が異なる。以下では、監査タグ装置４８０の処理のみについて説明する。
図１７は、タグＩＤ情報読取り処理における監査タグ装置４８０の処理を説明するためのフローチャートである。
監査タグ装置４８０が、リーダー装置１０からブロードキャストされた出力情報を受信できる範囲に達した場合、この監査タグ装置４８０は、入力部３８２（「第３の入力部」に相当）において、この出力情報（ＩＤ読取り要求情報と読取り申告情報（リーダーＩＤ情報（001135）、利用ポリシ情報（Level 4）、時刻情報（0401221523）及び署名情報（JAjidjei7$%））とを有する情報）を受信する（ステップＳ８１）。
【００６７】
この受信を契機に、判定部４８７（「第２の判定部」に相当）が、入力部３８２の受信情報がすべての読取り申告情報の要素を具備するか否かを検証する（ステップＳ８２）。この例では、受信情報が読取り申告情報を含んでいるか、さらにこの読取り申告情報が、リーダーＩＤ情報、時刻情報、利用ポリシ情報及び署名情報をすべて具備するか否かを検証する。
ここで、読取り申告情報の少なくとも一部が入力部３８２に入力されていなかった場合、判定部４８７はタグＩＤ情報の送出を許可しないと判定し、その旨を示すトリガ信号を出力する（ステップＳ８６）。このトリガ信号は妨害電波出力部４９０及び警報部４９１に送られる。そして、これを契機に妨害電波出力部４９０は、タグ装置から出力されたタグＩＤ情報がリーダー装置に受信されることを妨害する妨害電波を出力し、警報部４９１はその旨を利用者に伝える警報出力を行って処理を終了する（ステップＳ８７）。
【００６８】
一方、読取り申告情報の要素の全てが入力部３８２に入力されていた場合、読書き部３８３は、入力部３８２で受信した読取り申告情報を内部メモリ４８１の内部記憶領域４８１ｂ（「第２の内部記憶領域」に相当）に追加格納し（ステップＳ８３）、次のステップＳ８４に進む。
ステップＳ８４では、判定部４８７において、入力部３８２に入力された読取り申告情報が、内部記憶領域４８１ｃのＩＤ送出条件に適合するか否かを検証する（詳細は後述）。ここでＩＤ送出条件に適合しないと判断された場合（ステップＳ８５）、タグＩＤ情報の送出を許可しないと判定し、前述のステップＳ８６，８７の処理を実行して監査タグ装置４８０の処理を終了する。一方ＩＤ送出条件に適合すると判断された場合は（ステップＳ８５）、そのまま監査タグ装置４８０の処理を終了する。
【００６９】
なお、ステップＳ８２，８４は、「監査タグ装置が、第３の入力部に読取り申告情報が入力された後、第２の判定部において、第３の入力部に入力された情報をもとに、タグＩＤ情報の送出を許可するか否かを判定する手順」に相当する。
図１８は、図１７におけるステップＳ８４の詳細例を説明するためのフローチャートである。以下、この図を用いてステップＳ８４の詳細について説明する。
この例では、まず読書き部３８３が、内部メモリ４８１の内部記憶領域４８１ｂから、新たに追記した時刻情報と１つ前の時刻情報とを読出し、これらを判定部４８７に送る。判定部４８７は、新たに追記した時刻情報が示す時刻が１つ前の時刻情報が示す時刻よりも後であるか否かを検証する（ステップＳ９１）。
【００７０】
ここで新たに追記した時刻情報が示す時刻が１つ前の時刻情報が示す時刻よりも前であれば、判定部４８７はＮＧ（タグＩＤ情報の送出を許可しない）と判定（ステップＳ１０２）し、制御部３８６は、ステップＳ８４のルーチンを終了させる。一方、新たに追記した時刻情報が示す時刻が１つ前の時刻情報が示す時刻よりも後でれば、制御部３８６はステップＳ９２の処理を進める。
ステップＳ９２では、読書き部３８３が、内部メモリ４８１の内部記憶領域４８１ｂから新たに追記した時刻情報を読出し、内部記憶領域４８１ｃから有効範囲条件を読出し、これらを判定部４８７に送る。判定部４８７は、受け取った時刻情報が示す時刻が有効範囲条件に適合するか否かを検証する。
【００７１】
ここで、受け取った時刻情報が示す時刻が有効範囲条件に適合しなければ、判定部４８７はＮＧと判定（ステップＳ１０２）し、制御部３８６はステップＳ８４のルーチンを終了させる。一方、受け取った時刻情報が示す時刻が有効範囲条件に適合すれば、制御部３８６はステップＳ９３の処理を進める。
ステップＳ９３では、読書き部３８３が、内部メモリ４８１の内部記憶領域４８１ｂから新たに追記したリーダーＩＤ情報を読出し、内部記憶領域４８１ｃからリーダーＩＤ条件を読出し、これらを判定部４８７に送る。判定部４８７は、受け取ったリーダーＩＤ情報がリーダーＩＤ条件に適合するか否かを検証する。
【００７２】
ここで、受け取ったリーダーＩＤ情報がリーダーＩＤ条件に適合しなければ、判定部４８７はＮＧと判定（ステップＳ１０２）し、制御部３８６はステップＳ８４のルーチンを終了させる。一方、受け取った時刻情報が示す時刻が有効範囲条件に適合すれば、制御部３８６はステップＳ９４の処理を進める。
ステップＳ９４では、読書き部３８３が、内部メモリ４８１の内部記憶領域４８１ｂから新たに追記した利用ポリシ情報を読出し、内部記憶領域４８１ｃから利用ポリシ条件を読出し、これらを判定部４８７に送る。判定部４８７は、受け取った利用ポリシ情報が利用ポリシ条件に適合するか否かを検証する。
【００７３】
ここで、受け取った利用ポリシ情報が利用ポリシ条件に適合しなければ、判定部４８７はＮＧと判定（ステップＳ１０２）し、制御部３８６はステップＳ８４のルーチンを終了させる。一方、受け取った利用ポリシ情報が利用ポリシ条件に適合すれば、制御部３８６はステップＳ９５の処理を進める。
ステップＳ９５では、読書き部３８３が、内部メモリ４８１の内部記憶領域４８１ｂからステップＳ８３で追記された最新の読取り申告情報の時刻情報（0401221523）を抽出し、これを判定部４８７に送る。また、判定部４８７が、時刻情報出力部４８８から現在の時刻の情報を抽出する。
【００７４】
次に、判定部４８７は、受け取った読取り申告情報の時刻情報（「第３の入力部に入力された読取り申告情報が有する時刻情報」に相当）と、時刻情報出力部４８８から出力された時刻情報とを比較し、これらが示す時刻の差が所定の範囲を超えるかどうか判断する。すなわち、例えば｜時刻情報出力部４８８の時刻−読取り申告情報の時刻｜≦Ｔであるか否かを判断する。なお、Ｔはこの判断における許容範囲を示す定数である。
ここで、これらが示す時刻の差が所定の範囲を超える場合（｜時刻情報出力部４８８の時刻−読取り申告情報の時刻｜＞Ｔ）、判定部４８７はＮＧと判定（ステップＳ１０２）し、制御部３８６はステップＳ８４のルーチンを終了させる、一方、これらが示す時刻の差が所定の範囲内であれば（｜時刻情報出力部４８８の時刻−読取り申告情報の時刻｜≦Ｔ）、制御部３８６はステップＳ９７の処理を進める。
【００７５】
ステップＳ９７では、まず、読書き部３８３が内部メモリ４８１の内部記憶領域４８１ｂからステップＳ８３で追記された最新の読取り申告情報のリーダーＩＤ情報を読出し、これを判定部４８７に送る。判定部４８７（「位置情報抽出部」を兼用）は、当該読取り申告情報のリーダーＩＤ情報から、当該読取り申告情報を出力したリーダー装置の位置情報をローカルに抽出する。なお、リーダーＩＤ情報が位置情報をローカルに特定できるものでない場合には、例えば、監査タグ装置４８０が、リーダー装置１０及びネットワーク７０を通じてリーダーＩＤ管理サーバ装置６０にアクセスし、リーダーＩＤ情報を検索キーとして、リーダーＩＤ管理サーバ装置６０のリーダーＩＤデータベース６１を検索し、このリーダーＩＤ情報に対応するリーダー装置の位置情報を抽出する。また、判定部４８７は、位置情報計測部４８９で計測された監査タグ装置４８０の位置情報を抽出する（ステップＳ９７）。
【００７６】
次に判定部４８７は、判定部４８７（位置情報抽出部）が読取り申告情報のリーダーＩＤ情報から抽出したリーダー装置の位置情報と、位置計測部４８９が抽出した監査タグ装置４８０の位置情報とを比較し、これらが示す位置の差が所定の範囲を超えるか否かを判定する（ステップＳ９６）。すなわち、例えば、位置計測部４８９から抽出した座標と読取り申告情報から抽出した座標との差≦Ｄであるか否かを判断する。なお、Ｄはこの判断における許容範囲を示す定数である。
ここで、これらの位置の差が所定の範囲を超える場合（位置計測部４８９から抽出した座標と読取り申告情報から抽出した座標との差＞Ｄ）、判定部４８７はＮＧと判定（ステップＳ１０２）し、制御部３８６はステップＳ８４のルーチンを終了させる、一方、これらの位置の差が所定の範囲内であれば（位置計測部４８９から抽出した座標と読取り申告情報から抽出した座標との差≦Ｄ）、制御部３８６はステップＳ９９の処理を進める。
【００７７】
ステップＳ９９では、まず、読書き部３８３が内部メモリ４８１の内部記憶領域４８１ｂから、ステップＳ８３で追記された最新の読取り申告情報のリーダーＩＤ情報（001135）と署名情報（JAjidjei7$%）を読出する。ここで、抽出されたリーダーＩＤ情報は出力部３８４に送られ、署名情報は判定部４８７に送られる。
出力部３８４は、制御部３８６の制御のもと、リーダー装置１０及びネットワーク７０を通じてリーダーＩＤ管理サーバ装置６０にアクセスし、このリーダーＩＤ情報を検索キーとしてリーダーＩＤ管理サーバ装置６０に送る。リーダーＩＤ管理サーバ装置６０の読取り部６２は、このリーダーＩＤ情報を検索キーとしてリーダーＩＤデータベース６１を検索し、このリーダーＩＤ情報に対応するリーダー装置の公開鍵証明書を抽出する。抽出された公開鍵証明書は、通信部６３からネットワーク７０及びリーダー装置１０を通じて監査タグ装置４８０に送信される。監査タグ装置４８０は入力部３８２においてこれを受信し、判定部４８７にこの公開鍵証明書を送る。
【００７８】
判定部４８７は受け取った公開鍵証明書の公開鍵で署名情報を検証する。
ここで、この検証結果が不合格であれば、判定部４８７はＮＧと判定（ステップＳ１０２）し、制御部３８６はステップＳ８４のルーチンを終了させる、一方、この検証結果が合格であれば、判定部４８７はＯＫ（タグＩＤ情報の送出を許可する）と判定（ステップＳ１０１）し、制御部３８６はステップＳ８４のルーチンを終了させる。
＜第４の実施の形態の特徴＞
本形態では、監査タグ装置４８０が判定部４８７において、入力部３８２に入力された情報をもとに、タグＩＤ情報の送出を許可するか否かを判定し、判定部４８７がタグＩＤ情報の送出を許可しないと判定した場合、制御部３８６において、タグ装置がタグＩＤ情報を出力することを禁止したり、不正な読取りがあったことを警報したりすることとした。これにより、利用者のプライバシ保護をより強固なものとすることができる。また、履歴情報読取り処理によって第１の実施の形態と同様な効果を得ることもできる。
【００７９】
また、本形態では、タグ装置自体にはプライバシ保護機能を設ける必要がなく、従来から提唱されているシンプルな構成のタグ装置を利用できるためシステム導入が容易である。
以上より、本形態では、システムのコストを低く抑えつつ、利用者のプライバシ保護を実現することができる。
〔変形例等〕
なお、この発明は上述の各実施の形態に限定されるものではない。例えば、読取り申告情報は、上述の各実施の形態で述べたものに限定されない。すなわち、例えば、第１，３の実施の形態において、読取り申告情報が、時刻情報、利用ポリシ情報、署名情報の少なくとも一部を有しない構成としてもよい。さらに他の情報を付加したものを読取り申告情報としてもよい。
【００８０】
また、上記の各実施の形態では、履歴情報を検査タグ装置５０で表示することとしたが、この履歴情報を利用者の携帯電話等の通信機器に送信し、そこで履歴情報を表示させる構成としてもよい。
その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。さらに、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。
【００８１】
また、上述の各装置の構成はコンピュータによっても実現できる。この場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより上記処理機能が実現される。
この処理内容を記述したプログラムは、コンピュータで読取り可能な記録媒体に記録しておくことができる。コンピュータで読取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよいが、具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。
【００８２】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読取り、読取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
【００８３】
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【産業上の利用可能性】
【００８４】
本発明により、例えば、ＲＦＩＤにおける利用者のプライバシ保護を低価格で実現することが可能となる。
【図面の簡単な説明】
【００８５】
【図１】第１の実施の形態におけるタグ自動認識システムの全体構成を例示した概念図である。
【図２】第１の実施の形態におけるリーダー装置の詳細構成を例示したブロック図である。
【図３】第１の実施の形態におけるタグ装置の詳細構成を例示したブロック図である。
【図４】第１の実施の形態における検査装置及びリーダーＩＤ管理サーバ装置の詳細構成を例示したブロック図である。
【図５】第１の実施の形態におけるリーダー装置がタグ装置からタグＩＤ情報を読取る際の処理を説明するためのフローチャートである。
【図６】第１の実施の形態における検査装置がタグ装置から通信履歴情報を読取る際の処理を説明するためのフローチャートである。
【図７】（ａ）は、第１の実施の形態における出力情報生成部が生成した出力情報の構成の例示である。（ｂ）は、第１の実施の形態における表示部が表示した履歴情報の例示である。
【図８】第２の実施の形態におけるタグ装置の構成を例示したブロック図である。
【図９】第２の実施の形態のタグＩＤ情報読取り処理におけるタグ装置の実行手順を説明するためのフローチャートである。
【図１０】図９におけるステップＳ４４の詳細例を説明するためのフローチャートである。
【図１１】第３の実施の形態におけるタグ自動認識システムの全体構成を例示した概念図である。
【図１２】第３の実施の形態におけるタグ措置の構成を例示したブロック図である。
【図１３】第３の実施の形態における監査タグ装置の構成を例示したブロック図である。
【図１４】（ａ）は、第３の実施の形態におけるタグＩＤ情報読取り処理におけるタグ装置の処理を説明するためのフローチャートであり、（ｂ）は、第３の実施の形態における監査タグ装置の処理を説明するためのフローチャートである。
【図１５】第３の実施の形態において検査装置の表示部が表示する履歴情報を例示した図である。
【図１６】第４の実施の形態における監査タグ装置の構成を例示したブロック図である。
【図１７】第４の実施の形態のタグＩＤ情報読取り処理における監査タグ装置の処理を説明するためのフローチャートである。
【図１８】図１７におけるステップＳ８４の詳細例を説明するためのフローチャートである。
【符号の説明】
【００８６】
１，３００  タグ自動認識システム
１０  リーダー装置
３０，２３０，３３０  タグ装置
５０  検査装置
３８０，４８０  監査タグ装置
【図１】
2006106830.tif 000003
【図２】
2006106830.tif 000004
【図３】
2006106830.tif 000005
【図４】
2006106830.tif 000006
【図５】
2006106830.tif 000007
【図６】
2006106830.tif 000008
【図７】
2006106830.tif 000009
【図８】
2006106830.tif 000010
【図９】
2006106830.tif 000011
【図１０】
2006106830.tif 000012
【図１１】
2006106830.tif 000013
【図１２】
2006106830.tif 000014
【図１３】
2006106830.tif 000015
【図１４】
2006106830.tif 000016
【図１５】
2006106830.tif 000017
【図１６】
2006106830.tif 000018
【図１７】
2006106830.tif 000019
【図１８】
2006106830.tif 000020