(57)【要約】【課題】  法人利用の携帯電話のデータは企業の持ち物であり，会社が認めた携帯電話およびＩＣカードデバイスに限り，データを回収し，データを回収した後確実に削除し，さらに、新たな携帯電話に回収したデータをコピーする仕組みが必要である。【解決手段】  携帯電話の通常利用時には，業務サーバ装置からダウンロードした業務データは，配付暗号化し保存しておく。携帯電話の紛失時に、回収センタ装置（モバイルキャリア）は，暗号化されて携帯電話内に保存されている業務データをコピーする。コピーに成功すれば，携帯電話内の業務データを削除し，削除した証拠となる削除済みトークンを生成する。新たな携帯電話が準備できたら，回収センタ装置から、暗号化データおよび削除済みトークンを，業務サーバ装置に転送する。業務サーバ装置は削除済みトークン内に含まれる端末ＩＤ，デバイスＩＤから復号鍵を再生し，暗号化データを復号する。【選択図】  図１
2011248792.tif 000002
【特許請求の範囲】
【請求項１】
ＩＣカード装置が接続された端末装置と、前記端末装置にデータを送信する業務センタ装置と、前記端末装置に格納された前記データを回収する回収センタ装置と、を含み、
前記端末装置は、
前記ＩＣカード装置が記憶する暗号鍵で、前記業務センタ装置から受信した前記データが暗号化された暗号化データを保管し、
前記回収センタ装置による、端末データの回収要求に従って，保管している前記暗号化データを，前記回収センタ装置に送信し，
前記暗号化データを受信した前記回収センタ装置のデータ削除要求に従って，保管している前記暗号化データを削除し，
前記ＩＣカード装置は、前記端末装置が前記暗号化データを削除した証拠となる削除済みトークンを生成し，
前記端末装置は，前記回収センタ装置に，前記削除済みトークンを送信し，
前記回収センタ装置は，送信された、前記暗号化データと前記削除済みトークンとを保管し，
前記業務センタ装置は，回収データの返却要求を前記回収センタ装置に送信し，
前記回収センタ装置は，前記暗号化データと前記削除済みトークンを，前記業務センタ装置に送信し，
前記業務センタ装置は，前記削除済みトークンと前記暗号化データとから、前記データを復号する
ことを特徴とする端末データ管理システム。
【請求項２】
請求項１に記載の端末データ管理システムであって，
前記業務センタ装置は，前記端末装置を経由して，前記ＩＣカード装置に，デバイスＩＤ要求を送信し，
前記ＩＣカード装置は，前記端末装置を介して，前記業務センタ装置に，要求されたデバイスＩＤを返信し，
前記業務センタ装置は，端末ＩＤと，前記デバイスＩＤと，に基づき、端末デバイス鍵を生成し，
前記業務センタ装置は，生成された前記端末デバイス鍵を，前記端末装置を経由してＩＣカード装置へ送信し，
前記ＩＣカード装置は，受信した前記端末デバイス鍵に基づき、前記暗号鍵と対となる復号鍵とを生成し、
前記端末装置は、前記復号鍵に基づき、暗号化された前記暗号化データを復号する
ことを特徴とする端末データ管理システム。
【請求項３】
請求項１または２に記載の端末データ管理システムであって，
前記端末装置は，前記ＩＣカードのデバイスＩＤと、自端末装置の前記端末ＩＤと、を含む前記削除済みトークンを生成し，
前記業務センタ装置は，前記削除済みトークンに含まれる前記端末ＩＤと，前記デバイスＩＤと，に基づき、端末デバイス鍵を生成し，
生成された前記端末デバイス鍵と，前記削除済みトークンに含まれる前記端末ＩＤと，前記デバイスＩＤと，に基づき、前記暗号化データの復号鍵を生成し、
生成した前記復号鍵に基づき、前記暗号化データを復号する
ことを特徴とする端末データ管理システム。
【請求項４】
請求項１から３のいずれか一に記載の端末データ管理システムであって，
前記端末装置は，前記業務センタ装置に対してデータ持出要求を送信し，
前記業務センタ装置は，前記端末装置の認証処理を行い，
前記業務センタ装置は，前記認証に成功し，データ持出要求の対象となる前記データが持ち出し可能であれば，前記端末装置に対して前記データを送信し，
前記端末装置は，前記データを暗号化するために前記ＩＣカード装置に対して暗号鍵要求を送信し，
前記ＩＣカード装置は，暗号鍵要求の送信元である前記端末装置の認証処理を行い，
前記認証処理に成功すれば前記暗号鍵を生成して，前記端末装置に送信し，
前記端末装置は、受信した前記暗号鍵を用いて、前記データの暗号化を行う
ことを特徴とする端末データ管理システム。
【請求項５】
請求項１から請求項４のいずれか一に記載の端末データ管理システムであって，
端末装置でデータを利用する際に，
前記端末装置は，前記暗号化データを復号するために前記ＩＣカード装置に対して復号鍵要求を送信し，
前記ＩＣカード装置は，復号鍵要求の送信元である前記端末装置の認証処理を行い，前記認証に成功すれば前記復号鍵を生成して前記端末装置に送信し，
前記復号鍵を受信した前記端末装置は，前記暗号化データの復号を行ったのちに前記復号鍵を削除し，
前記端末装置は，復号された前記データに対してデータ処理を行った後に，復号された前記データを削除する
ことを特徴とする端末データ管理システム。
【請求項６】
請求項５に記載の端末データ管理システムであって，
データの修正を伴うデータ処理を行った場合に，
前記端末装置は，前記データ処理において、前記データを修正した場合に、前記ＩＣカード装置に対して暗号鍵要求を送信し，
前記ＩＣカード装置は，前記端末装置の認証処理を行い，認証に成功すれば前記暗号鍵を生成して前記端末装置に送信し，
前記暗号鍵を受信した前記端末装置は，修正された前記データの暗号化を行い，
前記暗号化データを保管した後に，前記暗号鍵と暗号化前の修正された前記データとを削除する
ことを特徴とする端末データ管理システム。
【請求項７】
請求項１から請求項６のいずれか一に記載の端末データ管理システムであって，
前記端末装置からデータを回収する際に，
前記回収センタ装置は，前記端末装置に対して前記回収要求を送信し，
前記端末装置は，前記回収センタ装置の認証処理を行い，認証に成功すれば，保管している前記暗号化データを，前記回収センタ装置へ送信し，
前記回収センタ装置は，
受信した前記暗号化データを保管し，
前記端末装置へ，前記データ削除要求を送信し，
前記端末装置は，前記回収センタ装置のセンタ認証処理を行い，認証に成功すれば，保管している前記暗号化データを削除し，
削除済み確認データを前記ＩＣカード装置へ送信し，
前記ＩＣカード装置は，保管している削除済みトークン生成用鍵を使って前記削除済みトークンを生成して，前記回収センタ装置へ送信し，
前記回収センタ装置は，受信した前記削除済みトークンを保管する
ことを特徴とする端末データ管理システム。
【請求項８】
請求項１から７のいずれか一に記載の端末データ管理システムであって，
前記業務センタ装置は，前記回収センタ装置に対して，前記回収データの前記返却要求を送信し，
前記回収センタ装置は，前記返却要求の送信元である前記業務センタ装置の認証処理を行い，認証に成功すれば，保管している前記暗号化データと前記削除済みトークンとを，前記業務センタ装置に送信し，
前記業務センタ装置は，受信した前記削除済みトークンの正当性を，保管している削除済みトークン検証鍵を使って検証する
ことを特徴とする端末データ管理システム。
【請求項９】
請求項１から８のいずれか一に記載の端末データ管理システムであって，
前記業務センタ装置は，前記業務センタ装置に保管されているマスタ鍵と，前記端末装置から通知された端末ＩＤとデバイスＩＤと，を入力とするデータ演算処理によって，前記端末デバイス鍵を生成する
ことを特徴とする端末データ管理システム。
【請求項１０】
請求項１から請求項９のいずれか一に記載の端末データ管理システムであって，
前記ＩＣカード装置は，保管している端末デバイス鍵と，自らのデバイスＩＤと，前記端末装置から通知される端末ＩＤと，ユーザから通知されたユーザＰＩＮと，を入力とするデータ演算処理によって，前記暗号鍵を生成し，
端末装置は，前記暗号鍵を使って，前記業務センタ装置から受信した前記データの暗号化を行い，前記暗号化データを生成する
ことを特徴とする端末データ管理システム。
【請求項１１】
請求項１から請求項１０のいずれか一に記載の端末データ管理システムであって，
前記ＩＣカード装置は，保管している端末デバイス鍵と前記デバイスＩＤと，前記端末装置から受信する端末ＩＤと，ユーザから通知されたユーザＰＩＮと，を入力とするデータ演算処理によって，前記復号鍵を生成し，
前記端末装置は，前記復号鍵を使って，前記暗号化データを復号する
ことを特徴とする端末データ管理システム。
【請求項１２】
請求項１から請求項１１のいずれか一に記載の端末データ管理システムであって，
前記業務センタ装置は，保管しているマスタ鍵と，前記回収センタ装置から受信した前記削除済みトークンに含まれる端末ＩＤと，デバイスＩＤと，を入力とするデータ演算処理によって，前記端末デバイス鍵を生成し，
前記業務センタ装置は，前記端末デバイス鍵と，前記デバイスＩＤと，前記端末ＩＤと，ユーザから通知されたユーザＰＩＮと，を入力とするデータ演算処理によって，復号鍵を生成し，
前記復号鍵を使って，前記回収センタ装置から返却された前記暗号化データを復号する
ことを特徴とする端末データ管理システム。
【請求項１３】
請求項１から請求項１２のいずれか一に記載の端末データ管理システムであって，
前記ＩＣカード装置は，
前記端末装置から受信した削除済み確認データと，端末ＩＤと，デバイスＩＤと，トークン生成鍵と、を用いた暗号演算を行い，
前記暗号演算の結果と，前記端末ＩＤと，前記デバイスＩＤを含んだ，前記削除済みトークンを生成し，
前記業務センタ装置は、
前記削除済みトークンと，前記トークン生成鍵に対応するトークン検証鍵と、に基づき，前記削除済みトークンの正当性を検証する
ことを特徴とする端末データ管理システム。
【請求項１４】
請求項１から請求項１３のいずれか一に記載の端末データ管理システムであって，
前記業務センタ装置は，
入力された，マスタ鍵と，一つ以上の端末ＩＤｎと，デバイスＩＤとを連結したデータを入力した一方向性関数の出力値を出力値Ａとし，
各々の前記端末ＩＤｎと，前記デバイスＩＤを連結したデータを入力した一方向性関数の出力値を出力値Ｂｎとし，
前記出力値Ａとｎ個の前記出力値Ｂｎとを連結したデータを前記端末デバイス鍵とする
ことを特徴とする端末データ管理システム。
【請求項１５】
請求項１４に記載の端末データ管理システムであって，
前記ＩＣカード装置は，
前記端末ＩＤと，前記デバイスＩＤとを連結したデータを入力した前記一方向性関数の出力値を前記出力値Ｂ’とし，
前記端末デバイス鍵に含まれるｎ個の前記出力値Ｂｎと、前記出力値Ｂ’とを比較し，
前記比較において一致すれば，前記端末デバイス鍵とユーザの暗証番号とを連結したデータを入力した一方向性関数の出力値を、前記暗号鍵とする
ことを特徴とする端末データ管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，情報処理端末のデータを回収し，他の情報処理端末にデータを戻す端末データ管理システムに関する。
【背景技術】
【０００２】
近年，携帯電話等、通信機能付き情報処理端末（以下，携帯電話という）の普及に伴い，多くのユーザが携帯電話を常に持ち歩くようになってきた。特に個人利用だけでなく，企業において業務に使われるようになってきた。携帯電話を紛失してしまうと，他人に拾われ携帯電話の中に保存されている機密データが流出し，企業の情報漏えい事故につながるおそれがある。このような脅威に対して、紛失した携帯電話の中のデータを削除するサービスなども始まっている。このようなサービスを使えば，データ流出による情報漏えい事故を未然に防ぐことは可能となるが，データを削除するだけでなく，格納されているデータを回収したいという要求は強い。
【０００３】
公知技術として，携帯電話端末を紛失した場合に，保守サービスセンタに電話をかけて，センタにデータを回収し，携帯電話内のデータを消去し，携帯電話が戻った時にデータをセンタから戻す方法が知られている（たとえば特許文献１）。また，新たな携帯電話を購入したときに，データをサーバにバックアップし，新たな携帯電話に適する形にデータを変換してダウンロードする方法が知られている（たとえば特許文献２）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０００−２７０３７６号公報
【特許文献２】特開２００３−２１８７８２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１および特許文献２では、オペレータが回収したデータにアクセスできしまう。
【０００６】
また，携帯電話内のデータは個人の所有物（個人の秘密データ）であり，個人の責任で，回収され，その後携帯電話に戻される。
【０００７】
一方、法人利用の携帯電話では，携帯電話内のデータは企業の所有物であり，会社が認めた携帯電話およびＩＣカードデバイスに限りデータを保持したり，回収したデータを戻したりできる仕組みが必要であるが，特許文献１および特許文献２ではそれが解決できていない。
【０００８】
また，特許文献１および特許文献２では，携帯電話内のデータを削除しているが，本当に削除されているのかの保証が無い。
【課題を解決するための手段】
【０００９】
携帯電話等、携帯型情報処理装置（以下、携帯電話という）のデータを回収し、携帯電話内のデータを削除するデータ回収システムが開示される。さらには，回収したデータを新たな携帯電話に格納するシステムが開示される。
【００１０】
さらに詳しくは，携帯電話の通常利用時には，社内業務サーバ装置からダウンロードした業務データは，会社から配付されたＩＣカードを用いて暗号化し保存しておく。紛失時には回収センタ装置（モバイルキャリア）に連絡することにより，暗号化されたまま携帯電話内に保存されている業務データを回収する。回収に成功すれば，携帯電話内の業務データを削除する（すなわち、携帯電話から回収センタ装置にデータを移動する）。
【００１１】
また、携帯電話内は、データを削除した証拠となる削除済みトークンを生成して回収センタ装置に送信し、回収センタ装置は、回収された暗号化データおよび削除済みトークンを，社内業務サーバ装置に返却する。社内業務サーバ装置は、削除済みトークン内に含まれる端末ＩＤ，デバイスＩＤから復号鍵を再生し，暗号化データを復号し，新たな携帯電話と新たなＩＣカードをユーザに配付する。
【００１２】
提供される端末データ管理システムは，より具体的には，
ＩＣカード装置が接続された端末装置と、端末装置にデータを送信する業務センタ装置と、端末装置に格納されたデータを回収する回収センタ装置と、を含み、
端末装置は、ＩＣカード装置が記憶する暗号鍵で、業務センタ装置から受信したデータが暗号化された暗号化データを保管し、回収センタ装置による、端末データの回収要求に従って，保管している暗号化データを，回収センタ装置に送信し，暗号化データを受信した回収センタ装置のデータ削除要求に従って，保管している暗号化データを削除し，
ＩＣカード装置は、端末装置が暗号化データを削除した証拠となる削除済みトークンを生成し，
端末装置は，回収センタ装置に，削除済みトークンを送信し，
回収センタ装置は，送信された、暗号化データと削除済みトークンとを保管し，
業務センタ装置は，回収データの返却要求を回収センタ装置に送信し，
回収センタ装置は，暗号化データと削除済みトークンを，業務センタ装置に送信し，
業務センタ装置は，削除済みトークンと暗号化データとから、データを復号する
ことを特徴とする。
【発明の効果】
【００１３】
携帯電話等、端末を紛失した場合に、内部の業務データを秘匿したままで回収センタに移動させ（すなわち，携帯電話端末内の業務データは削除し），新たな端末に，移動した業務データを復元することが可能になる。
【図面の簡単な説明】
【００１４】
【図１】実施例１のモバイル端末データ管理システムの構成を例示する。
【図２】モバイル端末装置，業務センタ装置，回収センタ装置のハードウェア構成を例示する。
【図３】ＩＣカード装置のハードウェア構成を例示する。
【図４】実施例１の初期設定の処理フローを例示する。
【図５】実施例１のデータ持出しの処理フローを例示する。
【図６】実施例１のデータ利用の処理フローを例示する。
【図７】実施例１のデータ回収の処理フローを例示する。
【図８】実施例１のデータ復元の処理フローを例示する。
【図９】実施例１の端末デバイス鍵生成の処理フローを例示する。
【図１０】実施例１のデータ暗号化の処理フローを例示する。
【図１１】実施例１のデータ復号の処理フローを例示する。
【図１２】実施例１のデータ復元の処理フローを例示する。
【図１３】実施例１のトークン生成とトークン検証の処理フローを例示する。
【図１４】実施例１の端末デバイス鍵生成処理の詳細を例示する。
【図１５】実施例１の暗号鍵生成処理の詳細を例示する。
【発明を実施するための形態】
【００１５】
本発明の実施形態について説明する。なお，これにより本発明が限定されるものではない。
【実施例１】
【００１６】
図１は，本実施例１のモバイル端末データ管理システムの構成図である。本実施例のモバイル端末データ管理システムは，図１に示すように，モバイル端末装置２０と業務センタ装置３０と回収センタ装置４０がインターネットなどのネットワーク６０を解して互いに接続され，さらにモバイル端末装置２０には，ＩＣカード装置１０が接続されている。
【００１７】
業務センタ装置３０は，ネットワーク６０を介して，モバイル端末装置２０と回収センタ装置４０とデータを送受信する通信部３０１と，モバイル端末装置２０からのデータ持出要求時に，ユーザ認証を行う認証処理部３０２と，前記認証処理を行うための鍵や，業務センタ装置のマスタ鍵を保管する鍵保管部３０３と，平文データの暗号化と暗号化データの復号を行う，データ暗復号部３０４と，業務データの作成と編集を行うデータ生成部３０５と，前記業務センタ装置のマスタ鍵から，ユーザごとの端末デバイス鍵を生成する鍵生成部３０６と，を含む。
【００１８】
モバイル端末装置２０は，ネットワーク６０を介して，モバイル端末装置２０と回収センタ装置４０とデータを送受信する通信部２０１と，暗号化データを保管するデータ保管部２０２と，業務データの作成と編集を行うデータ処理部２０３と，平文データの暗号化と暗号化データの復号を行う，データ暗復号部２０４と，ＩＣカード装置１０とコマンドを送受信するＩＣカードアクセス部２０５と，を含む。
【００１９】
ＩＣカード装置１０は，モバイル端末装置２０とコマンドを送受信するデータ送受信部１０１と，モバイル端末装置２０からの暗号鍵要求時と，復号鍵要求時に，ユーザ認証を行う認証関連処理部１０２と，モバイル端末装置２０からの削除済みトークン生成要求時に削除済みトークンを生成するトークン生成部１０５と，前記認証関連処理部１０２と前記トークン生成部１０５で使う鍵と，端末デバイス鍵を，保管する鍵保管部１０３と，前記端末デバイス鍵から暗号鍵と復号鍵を生成する鍵生成部１０６と，暗号化データを保管するデータ保管部１０４と，を含む。
【００２０】
回収センタ装置４０は，ネットワーク６０を介して，モバイル端末装置２０と業務センタ装置３０とデータを送受信する通信部４０１と，業務センタ装置３０からのデータ回収要求時に業務センタ装置３０を認証する認証処理部４０２と，前記認証処理部で使う鍵を保管する鍵保管部４０３と，前記通信部４０１と介して，前記モバイル端末装置２０から暗号データと削除済みトークンを吸い上げる回収処理部４０４と，前記回収処理部４０４で吸い上げたデータを保管する回収データ保管部４０５と，を含む。
【００２１】
図２は，モバイル端末装置２０，業務センタ装置３０，回収センタ装置４０のハードウェア構成図である。モバイル端末装置２０は，ＣＰＵ２１，主記憶装置２２，補助記憶装置２４，通信装置２５，入出力装置２６，記憶媒体２８の読取装置２７などがバスなどの内部通信線２９で接続された計算機を用いて実現できる。
【００２２】
図示を省略するが，業務センタ装置３０，および回収センタ装置４０も，規模や性能の違いを除けば，モバイル端末装置２０と同様のハードウェア構成を備える計算機を用いて実現できる。
【００２３】
図３は，ＩＣカード装置１０のハードウェア構成である。ＩＣカード装置１０は，入出力装置１１，ＣＰＵ１２，耐タンパ記憶装置１３，耐タンパメモリ１４などがバスなどの内部通信線１５で接続された構成を備える。
【００２４】
本実施例の認証処理について説明する。各装置の補助記憶装置２４に格納された処理プログラムが主記憶装置２２にロードされ，ＣＰＵ２１により実行されることにより，以下に説明する各処理部が具現化され，各処理部によって以下の処理が実行される。また，各プログラムは予め補助記憶装置２４に格納されても良いし，他の記憶媒体または通信媒体（ネットワーク，またはネットワークを伝搬する搬送波またはディジタル信号）を介して，必要なときにロードされても良い。
【００２５】
図４は，ＩＣカード装置１０とモバイル端末装置２０の組み合わせで使用できる端末デバイス鍵を，業務センタ装置３０が生成し，ＩＣカード装置１０に，保管するまでのフローである。新しくモバイル端末装置２０とＩＣカード装置１０を使い始めるときや，モバイル端末装置２０とＩＣカード装置１０の組み合わせを変更するときにこのフローが必要になる。
【００２６】
まず，業務センタ装置３０の通信部３０１を介して，モバイル端末装置２０に端末ＩＤ要求Ａ３０１を送信する（Ｓ３０１）。モバイル端末装置２０は，端末ＩＤ Ａ２０１を返信する（Ｓ２０１）。次に，業務センタ装置３０の通信部３０１を介して，モバイル端末装置２０を経由して，ＩＣカード装置１０に，デバイスＩＤ要求Ａ３０２を送信する（Ｓ３０２）。ＩＣカード装置１０は，モバイル端末装置２０を介して，業務センタ装置３０に，デバイスＩＤ Ａ１０１を返信する（Ｓ１０１）。業務センタ装置３０は，自身が鍵保管部に保管しているマスタ鍵と，前記端末ＩＤ Ａ２０１と，前記デバイスＩＤ Ａ１０１とから端末デバイス鍵Ａ３０３を生成する（Ｓ３０３）。業務センタ装置３０は，前記ステップＳ３０３で生成した端末デバイス鍵Ａ３０３を，モバイル端末装置２０を経由して，ＩＣカード装置１０へ送信する。ＩＣカード装置１０は，データ送受信部１０１を経由して，鍵保管部１０３に，前記受信した端末デバイス鍵Ａ３０３を保管する。
【００２７】
図５は，モバイル端末装置２０が，業務センタ装置３０から，データをダウンロードし，モバイル端末装置２０で暗号化し，モバイル端末装置２０のデータ保管部２０２に保管するまでのフローである。
【００２８】
まず，業務センタ装置３０のデータ生成部３０５でデータを生成する（Ｓ３１１）。モバイル端末装置２０は，業務センタ装置３０に対してデータ持出要求Ａ２１１を送信する（Ｓ２１１）。業務センタ装置３０は，データ持出要求元のモバイル端末装置２０のユーザ認証処理（Ｓ３１２）を行う。認証に失敗すればエラー通知Ａ３１３をモバイル端末装置２０に通知し処理を中断する。認証に成功すれば，持ち出そうとしているデータが持ち出し可能なデータであるか否かを確認する持出承認処理（Ｓ３１４）を行い，承認に失敗すればエラー通知Ａ３１５をモバイル端末装置２０に通知し処理を中断する。承認に成功すれば，業務センタ装置３０は，モバイル端末装置２０に対してデータＡ３１６を送信する。
【００２９】
つぎに，モバイル端末装置２０は，データＡ３１６を暗号化するためにＩＣカード装置１０に対して暗号鍵要求Ａ２１２を送信する（Ｓ２１２）。ＩＣカード装置１０は，暗号鍵要求の送信元であるモバイル端末装置２０の認証処理（Ｓ１１１）を行う。認証に失敗すればエラー通知Ａ１１２をモバイル端末装置２０に通知する。モバイル端末装置２０は，エラー通知Ａ１１２を受信し場合は，データＡ３１６を削除する（Ｓ２１６）。認証に成功すれば暗号鍵Ａ１１３を生成し（Ｓ１１３），モバイル端末装置２０に送信する。暗号鍵Ａ１１３を受信したモバイル端末装置２０のデータ暗復号部２０４は，データ暗号化を行い（Ｓ２１３），データ保管部２０２に，暗号化データを保管する（Ｓ２１４）。その後，暗号鍵Ａ１１３を削除し（Ｓ２１５），暗号化する以前のデータＡ３１６を削除する（Ｓ２１６）。
【００３０】
図６は，モバイル端末装置２０内で，データを利用する際のフローである。
【００３１】
まず，モバイル端末装置２０は，暗号化データを復号するためにＩＣカード装置１０に対して復号鍵要求Ａ２２１を送信する（Ｓ２２１）。ＩＣカード装置１０は，復号鍵要求の送信元であるモバイル端末装置２０の認証処理（Ｓ１２１）を行う。認証に失敗すればエラー通知Ａ１２２をモバイル端末装置２０に通知する。モバイル端末装置２０は，エラー通知Ａ１２２を受信し場合は，処理を中断する。認証に成功すれば復号鍵Ａ１２３を生成し（Ｓ１２３），モバイル端末装置２０に送信する。復号鍵Ａ１２３を受信したモバイル端末装置２０のデータ暗復号部２０４は，データ保管部２０２に保管されている暗号化データのデータ復号を行い（Ｓ２２２），復号鍵Ａ１２３を削除する（Ｓ２２３）。その後，モバイル端末装置２０のデータ処理部２０３は，復号されたデータに対して閲覧処理や編集処理などのデータ処理を行う（Ｓ２２４）。閲覧処理などのデータ修正を伴わない処理の場合は，復号化されたデータの削除（Ｓ２１６）を行い終了する。データの修正を伴うデータ処理を行った場合は，データの暗号化処理を行う。具体的な暗号化処理は，図５の暗号鍵要求処理（Ｓ２１２）からデータ削除（Ｓ２１６）までと同様の処理を行う。
【００３２】
図７は，モバイル端末装置２０のデータを回収センタ装置４０に移動する（回収する、とも称す）際のフローである。
【００３３】
まず，回収センタ装置４０は，モバイル端末装置２０に対して，回収要求Ａ４３１を送信する（Ｓ４３１）。モバイル端末装置２０は，回収要求Ａ４３１の送信元である回収センタ装置４０のセンタ認証処理（Ｓ２３１）を行う。認証に失敗すればエラー通知Ａ２３２を回収センタ装置４０に通知する。認証に成功すれば，モバイル端末装置２０のデータ保管部２０２に保管されている暗号化データＡ２３３を，回収センタ装置４０に対して送信する（Ｓ２３３）。回収センタ装置４０は，回収データ保管部４０５に，受信した暗号化データＡ２３３を保管する。
【００３４】
さらに，回収センタ装置４０は，モバイル端末装置２０に対して，データ削除要求Ａ４３３を送信する（Ｓ４３３）。モバイル端末装置２０は，データ削除要求Ａ４３３の送信元である回収センタ装置４０のセンタ認証処理（Ｓ２３５）を行う。認証に失敗すればエラー通知Ａ２３５を回収センタ装置４０に通知する。認証に成功すれば，モバイル端末装置２０のデータ保管部２０２に保管されている暗号化データＡ２３３を削除し（Ｓ２３６），たとえばデータ保管部２０２のメモリダンプなどの削除済み確認データＡ２３６をＩＣカード装置１０に送信する。ＩＣカード装置１０のトークン生成部１０５は，鍵保管部１０３に保管されている削除済みトークン生成用の鍵を使って削除済みトークンＡ１３１を生成し（Ｓ１３１），モバイル端末装置２０を経由して，回収センタ装置４０へ送信する。回収センタ装置４０は，受信した削除済みトークンＡ１３１を，回収データ保管部４０５に保管する（Ｓ４３４）。
【００３５】
図８は，業務センタ装置３０が，回収センタ装置４０から，暗号化データＡ２３３と削除済みトークンＡ１３１を受信し，データＡ３１６を復元する際のフローである。
【００３６】
まず，業務センタ装置３０は，回収センタ装置４０に対して，データ返却要求Ａ３４１を送信する（Ｓ３４１）。回収センタ装置４０は，データ返却要求Ａ３４１の送信元である業務センタ装置３０の認証処理（Ｓ４４１）を行う。認証に失敗すればエラー通知Ａ４４２を業務センタ装置３０に通知する。業務センタ装置３０は，エラー通知Ａ４４２を受信した場合は，処理を中断する。認証に成功すれば，回収センタ装置４０は，回収データ保管部４０５に保管されている暗号化データＡ２３３と削除済みトークンＡ１３１とを，業務センタ装置３０に送信する（返却する）（Ｓ４４３）。業務センタ装置は，受信した削除済みトークンＡ１３１を，鍵保管部３０３に保管している削除済みトークン検証鍵を使って，検証する（Ｓ３４２）。その後，データ暗復号部３０４でデータの復元処理（Ｓ３４３）を行う。その後，新しいモバイル端末装置２０と，新しいＩＣカード装置１０に対して，図４に示した初期設定を行うことでデータが復元できる。
【００３７】
図９は，図４の業務センタ装置３０の端末デバイス鍵生成処理（Ｓ３０３）の説明図である。業務センタ装置３０の鍵保管部３０３に保管されているマスタ鍵Ａ３００と，モバイル端末装置２０から通知された，端末ＩＤ Ａ２０１と，デバイスＩＤ Ａ１０１と，を入力とするデータ演算処理（詳細は図１４に示す）によって，端末デバイス鍵Ａ３０３を生成する。
【００３８】
図１０は，図５における，ＩＣカード装置１０の暗号鍵生成処理（Ｓ１１３）と，モバイル端末装置２０のデータ暗号化処理（Ｓ２１３）の説明図である。ＩＣカード装置１０は，鍵保管部に保管されている端末デバイス鍵Ａ３０３と，自ら保持するデバイスＩＤ Ａ１０１と，モバイル端末装置から通知される端末ＩＤ Ａ２０１と，暗証番号としてのユーザＰＩＮ  Ａ２００と，を入力とするデータ演算処理（詳細は図１５に示す）によって，暗号鍵Ａ１１３を生成する。その後，モバイル端末装置２０は，前記暗号鍵Ａ１１３を使って，データＡ３１６の暗号化を行い，暗号化データＡ２３３を出力する。
【００３９】
図１１は，図６における，ＩＣカード装置１０の復号鍵生成処理（Ｓ１２３）と，モバイル端末装置２０のデータ復号処理（Ｓ２２２）の説明図である。ＩＣカード装置１０は，鍵保管部に保管されている端末デバイス鍵Ａ３０３と，自ら保持するデバイスＩＤ Ａ１０１と，モバイル端末装置から通知される端末ＩＤ Ａ２０１と，ユーザＰＩＮ  Ａ２００と，を入力とするデータ演算処理（詳細は図１５に示す）によって，復号鍵Ａ１２３を生成する。その後，モバイル端末装置２０は，前記復号鍵Ａ１２３を使って，暗号化データＡ２３３の復号を行い，データＡ３１６を出力する。
【００４０】
図１２は，図８における，業務センタ装置３０のデータ復元処理（Ｓ３４３）の説明図である。業務センタ装置３０は，鍵保管部３０３に保管されているマスタ鍵Ａ３００と，回収センタ装置４０から取得した削除済みトークンＡ１３１に含まれる端末ＩＤ Ａ２１０と，デバイスＩＤ Ａ１０１と，を入力とするデータ演算処理（詳細は図１４に示す）によって，端末デバイス鍵Ａ３０３を生成する。次に，業務センタ装置３０は，前記端末デバイス鍵Ａ３０３と，前記デバイスＩＤ Ａ１０１と，前記端末ＩＤ Ａ２０１と，ユーザから通知されたユーザＰＩＮ  Ａ２００と，を入力とするデータ演算処理（詳細は図１５に示す）によって，復号鍵Ａ１２３を生成する。その後，業務センタ装置３０は，前記復号鍵Ａ１２３を使って，回収センタ装置４０から通知された暗号化データＡ２３３の復号を行い，データＡ３１６を出力する。
【００４１】
図１３は，図７における，ＩＣカード装置１０の削除済みトークン生成処理（Ｓ１３１）と，図８における，業務センタ装置３０の削除済みトークン検証処理（Ｓ３４２）の説明図である。ＩＣカード装置１０は，モバイル端末装置２０から受信した削除済み確認データＡ２３６と，端末ＩＤ Ａ２０１と，自身で保持するデバイスＩＤ Ａ１０１と，を入力とし，トークン生成鍵Ａ１９９を用いて暗号演算を行い，削除済みトークンＡ１３１を生成する。暗号演算には，公開鍵暗号方式を用いた署名生成演算や，共通鍵を用いた暗号化演算などを用いることができる。削除済みトークンＡ１３１の中には，端末ＩＤ Ａ２０１とデバイスＩＤ Ａ１０１を含める。
【００４２】
業務センタ装置３０における，削除済みトークン検証処理は，削除済みトークンＡ１３１を入力とし，前記トークン生成鍵Ａ１９９に対応する，トークン検証鍵Ａ３９９を使って，削除済みトークンの正当性を検証する。
【００４３】
図１４は，図９における，端末デバイス鍵生成処理（Ｓ３０３）の詳細である。
まず，マスタ鍵Ａ３００と，端末ＩＤ Ａ２０１と，デバイスＩＤ Ａ１０１を入力する（Ｓ３０３１）。次に，マスタ鍵Ａ３００と端末ＩＤ Ａ２０１と，デバイスＩＤ Ａ１０１を連結する（Ｓ３０３２）。次に，連結したデータを一方向性関数に入力する（Ｓ３０３３）。次に，一方向性関数の出力値を出力値Ａとする（Ｓ３０３４）。次に，端末ＩＤ Ａ２０１と，デバイスＩＤ Ａ１０１を連結する（Ｓ３０３５）。次に，連結したデータを一方向性関数に入力する（Ｓ３０３６）。次に，一方向性関数の出力値を出力値Ｂとする（Ｓ３０３７）。最後に，出力値Ａと出力値Ｂ連結したデータを端末デバイス鍵Ａ３０３とし出力する（Ｓ３０３８）。
【００４４】
図１５は，図１０における，暗号鍵生成処理（Ｓ１１３）の詳細である。
まず，端末ＩＤ Ａ２０１と，デバイスＩＤ Ａ１０１を連結する（Ｓ１１３１）。次に，連結したデータを一方向性関数に入力する（Ｓ１１３２）。次に，一方向性関数の出力値を出力値Ｂとする（Ｓ１１３３）。次に，端末デバイス鍵Ａ３０３の後半部分と出力値Ｂを比較する（Ｓ１１３４）。一致しなければ失敗を通知する（Ｓ１１３９）。一致すれば，次に，端末デバイス鍵Ａ３０３とユーザＰＩＮ  Ａ２００を連結する（Ｓ１１３６）。次に，連結したデータを一方向性関数に入力する（Ｓ１１３７）。最後に一方向性関数の出力値を暗号鍵Ａ１１３として出力する（Ｓ１１３８）。なお，復号鍵生成も同様の方法で実現可能である。
【００４５】
なお，図４において，端末ＩＤ要求Ａ３０１と，デバイスＩＤ要求Ａ３０２を，２度に分けて要求を行っているが，まとめて行っても良い。その場合は，端末ＩＤ Ａ２０１とデバイスＩＤの要求を受けたモバイル端末装置２０は，自身の端末ＩＤ Ａ２０１と，ＩＣカード装置１０から取得したデバイスＩＤ Ａ１０１と，をまとめて業務センタ装置３０に返信する。
【００４６】
また，図５において，データ暗号化処理（Ｓ２１３）を，モバイル端末装置２０で行っているが，図６における，モバイル端末装置２０のデータ処理（Ｓ２２４）が，データの編集を伴わないものである場合は，承認成功判定（Ｓ３１５）の後に，データ暗号化処理を行い，暗号化データＡ２３３として，業務センタ装置３０から，モバイル端末装置２０へ送信するようにしても良い。
【００４７】
また，図５において，モバイル端末装置２０のデータ保管処理（Ｓ２１４）として，自身のデータ保管部２０２の暗号化データＡ２３３を保管しているが，暗号化データＡ２３３を，ＩＣカード装置１０の送信し，ＩＣカード装置１０のデータ保管部１０４に保管するようにしても良い。
【００４８】
また，図５および図６のデータ暗号化処理（Ｓ２１３）と，データ復号処理（Ｓ２２２）において暗号鍵Ａ１１３や，復号鍵Ａ１２３を，ＩＣカード装置１０からモバイル端末装置２０に送信して，モバイル端末装置２０が，データ暗号化処理（Ｓ２１３）と，データ復号処理（Ｓ２２２）を行っているが，それらの処理をＩＣカード装置１０の内部で行うようにしても良い。
【００４９】
また，図９、図１２、図１４の端末デバイス鍵生成処理（Ｓ３０３）において、端末ＩＤ Ａ２０１を入力としているが、複数のモバイル端末装置、つまり、モバイル端末装置２０１、モバイル端末装置２０２、．．．モバイル端末装置２０ｎ、を利用できるように、端末ＩＤ Ａ２０１の代わりに、端末ＩＤ１Ａ２０１１、端末ＩＤ２Ａ２０１２、．．．、端末ＩＤｎＡ２０１ｎを入力するようにしても良い。
【００５０】
その場合、図１０、図１５の暗号鍵生成処理（S１１３）、図１１、図１２の復号鍵生成処理（Ｓ１２３）に入力する端末ＩＤ Ａ２０１も、前述のように、端末ＩＤ１Ａ２０１１、端末ＩＤ２Ａ２０１２、．．．、端末ＩＤｎＡ２０１ｎを入力する。
【００５１】
さらに図１４に示したフローの中で、端末ＩＤとデバイスＩＤを連結し（Ｓ３０３５）、連結したデータを一方向性関数に入力し（Ｓ３０３６）、一方向性関数の出力値を出力値Ｂとする（Ｓ３０３７）までの処理を、端末ごとに行うように変更する。具体的には、端末ＩＤ１とデバイスＩＤを連結し（Ｓ３０３５１）、連結したデータを一方向性関数に入力し（Ｓ３０３６１）、一方向性関数の出力値を出力値Ｂ１とする（Ｓ３０３７１）、．．．端末ＩＤｎとデバイスＩＤを連結し（Ｓ３０３５ｎ）、連結したデータを一方向性関数に入力し（Ｓ３０３６ｎ）、一方向性関数の出力値を出力値Ｂｎ（Ｓ３０３７ｎ）とし、ステップＳ３０３８を、出力値Ａと出力値Ｂ１と、出力値Ｂ２と、．．．、出力値Ｂｎと、を連結したデータを端末デバイス鍵として出力する、ように変更する。
【００５２】
さらに、図１５のステップＳ１１３４における、端末デバイス鍵の後半部分と出力値Ｂとの比較を、端末デバイス鍵の後半部分（出力値Ｂ１、出力値Ｂ２、．．．、出力値Ｂｎ）の中に、出力値Ｂと同じ値のものがあるか否かの比較（Ｓ１１３４’）に変更する。
【００５３】
なお，本発明は，上記の本実施形態に限定されるものではなく，その要旨の範囲内で様々な変形が可能である。
【符号の説明】
【００５４】
１０：ＩＣカード装置，１１：入出力装置，１２：ＣＰＵ，１３：耐タンパ記憶装置，１４：耐タンパメモリ，１５：内部信号線，２０，モバイル端末装置，２１：ＣＰＵ，２２：主記憶装置，２４：補助記憶装置，２５：通信装置，２６：入出力装置，２７：読取装置，２８：記憶媒体，２９：内部信号線，３０：業務センタ装置，４０：回収センタ装置，６０：ネットワーク，Ａ１０１：デバイスＩＤ，Ａ１０２：結果通知，Ａ１１２：エラー通知，Ａ１１３：暗号鍵，Ａ１２２：エラー通知，Ａ１２３：復号鍵，Ａ１３１：削除済みトークン，Ａ１９９；トークン生成鍵，Ａ２００：ユーザＰＩＮ，Ａ２０１：端末ＩＤ，Ａ２１１：データ持出要求，Ａ２１２：暗号鍵要求，Ａ２２１：復号鍵要求，Ａ２３２：エラー通知，Ａ２３３：暗号化データ，Ａ２３５：エラー通知，Ａ２３６：削除済み確認データ，Ａ３００：マスタ鍵，Ａ３０１：端末ＩＤ要求，Ａ３０２：デバイスＩＤ要求，Ａ３０３：端末デバイス鍵，Ａ３１３：エラー通知，Ａ３１５：エラー通知，Ａ３１６：データ，Ａ３４１：データ返却要求，Ａ３９９：トークン検証鍵，Ａ４３１：回収要求，Ａ４３３：削除要求，Ａ４４２：エラー通知。
【図１】
2011248792.tif 000003
【図２】
2011248792.tif 000004
【図３】
2011248792.tif 000005
【図４】
2011248792.tif 000006
【図５】
2011248792.tif 000007
【図６】
2011248792.tif 000008
【図７】
2011248792.tif 000009
【図８】
2011248792.tif 000010
【図９】
2011248792.tif 000011
【図１０】
2011248792.tif 000012
【図１１】
2011248792.tif 000013
【図１２】
2011248792.tif 000014
【図１３】
2011248792.tif 000015
【図１４】
2011248792.tif 000016
【図１５】
2011248792.tif 000017