(57)【要約】【課題】個人のプライバシーを保護すること。【解決手段】所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用方法であって、装置同士で異なったＩＤコードを記憶した状態で携帯装置をユーザに発行するステップと、携帯装置を所有するユーザ側が選択した所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行うステップと、携帯装置に記憶されたＩＤコードを端末装置に読取らせて、登録手続きが行われている所定機関に読取ったＩＤコードを送信するステップ（Ｓ１０３）と、送信されてきたＩＤコードに基づいて該当するユーザに関する情報をデータベースから検索するステップ（Ｓ３０６）と、検索されたユーザに関する情報を利用して所定のサービスを提供するステップ（Ｓ２１１）とを含む。【選択図】　　　　図６
2004118441.tif 000002
【特許請求の範囲】
【請求項１】
所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用方法であって、
前記データベースに格納された情報の中から所定のユーザに関する情報を識別するために用いられるＩＤコードを格納する装置であって、該装置同士で異なったＩＤコードを記憶した状態でユーザに普段携帯される携帯装置を希望するユーザに発行する発行ステップと、
該発行ステップにより発行された前記携帯装置を所有するユーザ側が複数の前記所定機関の中から希望する所定機関を選択し、該所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行って当該ユーザに関する情報を格納しておく登録ステップと、
前記携帯装置に記憶されたＩＤコードを端末装置により読取らせて、前記登録手続きが行われている前記所定機関に前記読取ったＩＤコードを送信する送信ステップと、
該送信ステップにより送信されてきたＩＤコードに基づいて前記データベースに格納されている情報の中から該当するユーザに関する情報を検索する検索ステップと、
該検索ステップにより検索されたユーザに関する情報を利用して所定のサービスを提供するサービス提供ステップとを含み、
前記携帯装置には、ユーザを直接特定可能なユーザ特定個人情報を記憶させず、該ユーザ特定個人情報は前記データベース側に格納させたことを特徴とする、ユーザ情報利用方法。
【請求項２】
前記携帯装置は、電波を情報伝達媒体として使用しており、かつ、ユーザの身体に常時装着されることを特徴とする、請求項１に記載のユーザ情報利用方法。
【請求項３】
前記携帯装置は、暗号化されたＩＤコードを前記端末装置に送信することを特徴とする、請求項１または２に記載のユーザ情報利用方法。
【請求項４】
前記携帯装置は、前記登録手続きが行われた前記所定機関を特定するための登録機関コードをさらに記憶しており、前記端末装置から送信されてきた登録機関コードが前記記憶された登録機関コードと一致することを条件に前記ＩＤコードを出力する、請求項１〜３のいずれかに記載のユーザ情報利用方法。
【請求項５】
前記携帯装置は、前記登録機関コードを複数種類記憶することが可能であり、前記端末装置から所定の登録機関コードの送信要求を受信した場合に、前記記憶している複数種類の登録機関コードの中から該当する登録機関コードを選び出して当該登録機関コードを前記端末装置に出力し、
前記端末装置は、受信した登録機関コードで特定される前記所定機関に前記携帯装置から受信したＩＤコードを送信する、請求項４に記載のユーザ情報利用方法。
【請求項６】
所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用システムであって、
前記データベースに格納された情報の中から所定のユーザに関する情報を識別するために用いられるＩＤコードを格納する装置であって、該装置同士で異なったＩＤコードを記憶してユーザに普段携帯される携帯装置を所有するユーザ側が複数の前記所定機関の中から希望する所定機関を選択し、該所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行って格納する処理を行うユーザ情報登録処理手段と、
前記携帯装置に記憶されたＩＤコードが読取られて前記登録手続きが行われている前記所定機関に送信されてきた場合に該ＩＤコードを受信する受信手段と、
該受信手段により受信されたＩＤコードに該当するユーザに関する情報を利用するべく、該ＩＤコードに基づいて前記データベースに格納されている情報の中から該当するユーザに関する情報を検索する検索手段とを含み、
前記携帯装置には、ユーザを直接特定可能なユーザ特定個人情報を記憶させず、該ユーザ特定個人情報は前記データベース側に格納させたことを特徴とする、ユーザ情報利用システム。
【請求項７】
前記携帯装置は、電波を情報伝達媒体として使用しており、かつ、ユーザの身体に常時装着されることを特徴とする、請求項６に記載のユーザ情報利用システム。
【請求項８】
前記携帯装置は、暗号化されたＩＤコードを前記端末装置に送信し、
前記携帯装置から出力されてきた暗号化されたＩＤコードを復号化する復号化手段をさらに含むことを特徴とする、請求項６または７に記載のユーザ情報利用システム。
【請求項９】
前記携帯装置は、前記登録手続きが行われた前記所定機関を特定するための登録機関コードをさらに記憶しており、
ＩＤコードの送信先が前記登録手続きのなされている所定機関であることを証明するための登録機関コードを前記携帯装置に送信して該携帯装置からＩＤコードの出力を促すための登録機関コード送信手段をさらに含むことを特徴とする、請求項６〜８のいずれかに記載のユーザ情報利用システム。
【請求項１０】
前記携帯装置は、前記登録機関コードを複数種類記憶することが可能であり、
前記携帯装置に対し所定の登録機関コードの送信要求を出力する登録機関送信要求手段と、
該登録機関送信要求手段によって要求された登録機関コードが前記携帯装置から出力されてきた場合に該登録機関コードで特定される前記所定機関に対し前記携帯装置のＩＤコードを送信する、請求項９に記載のユーザ情報利用システム。
【請求項１１】
前記端末装置は、救急車に搭載され、前記携帯装置に対し前記登録手続きが行なわれている医療機関を特定するための登録機関コードの送信要求を出力する医療機関コード送信要求手段を含み、
該医療機関コード送信要求手段によって要求された医療機関の登録機関コードが前記携帯装置から出力されてきた場合に該登録機関コードで特定される前記医療機関に対し前記携帯装置のＩＤコードを送信し、かつ、当該ＩＤコードに相当するユーザに関する情報が前記医療機関から送信されてきた場合に該ユーザに関する情報を受信する、請求項１０に記載のユーザ情報利用システム。
【請求項１２】
前記端末装置は、前記携帯装置に対し前記登録手続きが行われている金融機関を特定するための登録機関コードの送信要求を出力する金融機関コード送信要求手段を含みと、
該金融機関コード送信要求手段によって要求された金融機関の登録機関コードが前記携帯装置から出力されてきた場合に該登録機関コードで特定される前記金融機関に対し前記携帯装置のＩＤコードを送信し、かつ、当該ＩＤコードに相当するユーザに関する情報が前記金融機関から送信されてきた場合に該ユーザに関する情報を受信する、請求項１０に記載のユーザ情報利用システム。
【請求項１３】
患者に投薬される薬に付されて該薬の種類を特定可能な投薬識別情報を読取る投薬識別情報読取手段と、
該投薬識別情報読取手段が読取った投薬識別情報に基づいて投薬される患者に当該薬を投薬してよいか否かを判定する投薬適否判定手段と、
該投薬適否判定手段が投薬すべきでないと判定した場合に警告を発生する警告発生手段とをさらに含み、
前記データベースは、前記ＩＤコードに対応させて当該ＩＤコードに相当する患者に投薬すべき薬の種類を特定可能な投薬識別情報をさらに格納しており、
前記投薬適否判定手段は、投薬される患者が所有する携帯装置から読取られたＩＤコードに基づいて前記データベースを検索して割出された投薬識別情報と前記投薬識別情報読取手段が読取った投薬識別情報が一致するか否かにより投薬の適否を判定することを特徴とする、請求項６〜９のいずれかに記載のユーザ情報利用システム。
【請求項１４】
建造物の出入口の通過を許容して良いか否かを判定する通過許容判定手段をさらに含み、
該通過許容判定手段は、
通過を許容すべきでないＩＤコードを予め登録しておく通行禁止ＩＤ登録手段と、
前記出入り口の通過を希望するユーザが所有する携帯装置に記憶されているＩＤコードを読取るＩＤコード読取り手段と、
該ＩＤコード読取り手段により読取られたＩＤコードが前記通行禁止ＩＤ登録手段に登録されているＩＤコードの中に一致するものがあるか否かを判定する一致判定手段と、
該一致判定手段により一致しないとの判定がなされたことを条件として前記出入口の開放を許容する制御を行う開放許容制御手段とを含むことを特徴とする、請求項６〜９のいずれかに記載のユーザ情報利用システム。
【請求項１５】
ユーザを援助するためのユーザエージェントを格納する手段であって、前記ＩＤコードに基づいて該ＩＤコードに相当するユーザエージェントを割出すことができるように格納しているユーザエージェント格納手段と、
送信されてきた前記ＩＤコードに該当するユーザエージェントを前記ユーザエージェント格納手段に格納されている複数のユーザエージェントの中から割出し、該割出されたユーザエージェントに対し所定の仕事の依頼を行う仕事依頼手段とをさらに含むことを特徴とする、請求項６〜１４のいずれかに記載のユーザ情報利用システム。
【請求項１６】
前記ユーザエージェントは、ユーザが実行しようとしている行動を許容して良いか否かを判定する実行許容判定機能を備えていることを特徴とする、請求項１５に記載のユーザ情報利用システム。
【請求項１７】
前記ユーザエージェントは、ユーザに関する所定の情報を知識として有しており、前記仕事依頼手段から仕事の依頼を受けた場合に、ユーザが実行しようとしている行動に必要な当該ユーザに関する情報を前記知識の中から選び出して該情報を使用するための処理を行うことを特徴とする、請求項１５または１６に記載のユーザ情報利用システム。
【請求項１８】
前記ユーザエージェントは、ユーザの行動履歴データを記憶しており、該行動履歴データの閲覧要求があった場合に、閲覧を許容して良いか否かを判断し、閲覧を許容して良いと判断した場合に該行動履歴データを出力させる機能を有することを特徴とする、請求項１５〜１７のいずれかに記載のユーザ情報利用システム。
【請求項１９】
前記データベースに格納されたユーザに関する情報に対するアクセスがあった場合に、アクセス対象となったユーザに関する情報とアクセスした者を特定するためのアクセス者特定情報とアクセスした時期を特定するための時期特定情報とを含むアクセス履歴データを記憶するアクセス履歴データ記憶手段と、
ユーザから自己に関する情報のアクセス履歴データの閲覧要求があった場合に、当該ユーザの所有する携帯装置に記憶されているＩＤコードに基づいて該当するユーザのアクセス履歴データを前記アクセス履歴データ記憶手段の記憶データから割出す割出手段と、
該割出手段により割出されたアクセス履歴データを前記ユーザに提示するアクセス履歴データ提示手段とをさらに含むことを特徴とする、請求項６〜１８のいずれかに記載のユーザ情報利用システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、ユーザ情報利用方法およびユーザ情報利用システムに関し、特に、ユーザ個人の情報をプライバシーの保護を図りつつ利用するためのユーザ情報利用方法およびユーザ情報利用システムに関する。
【０００２】
【従来の技術】
近年、プラスチック・カードにＩＣを埋め込んだＩＣカードが知られている。このＩＣカードには、大容量のデータを記憶できるため、たとえば、個人に付された識別番号、氏名、生年月日、住所、電話番号等の個人を直接特定するための情報をＩＣカードに記憶させて、そのＩＣカードから個人情報を読み出すことにより、種々のサービスを提供する試みがなされている。
【０００３】
このＩＣカードから情報を読み出す読取装置としては、接触タイプと非接触タイプとがある。接触タイプの読取装置は、読取装置とＩＣカードとが電気的に接続されので、ＩＣカードを読取装置に直接接触させる必要がある。非接触タイプの読取装置では、ＩＣカードと読取装置との間の通信に電波が用いられる。また、ＩＣカードの電源としては、読取装置から発っせられる電波を受信することにより誘導される電流が利用される。
【０００４】
なお、以上本発明についての従来の技術を、出願人の知得した一般的技術情報に基づいて説明したが、出願人の記憶する範囲において、出願前までに先行技術文献情報として開示すべき情報を出願人は有していない。
【０００５】
【発明が解決しようとする課題】
しかしながら、ＩＣカードに個人を直接特定するための個人情報を記憶させた場合には、その個人とは全く関係のない者がＩＣカードに記憶された個人情報を入手することが可能となってしまう。たとえば、ＩＣカードを紛失した場合は、そのＩＣカードを拾得した者が、ＩＣカードに記憶された個人情報を自由に閲覧することが可能となる。そして、その個人情報を第三者に有償で提供してしまえば、その後個人情報がどのように利用されるかわからない。また、ＩＣカードを拾得した者が、ＩＣカードの真の所有者になりすまして、たとえば金融機関から融資を受けたりして不正に利用されることも考えられる。
【０００６】
また、ＩＣカードを非接触タイプの読取装置で読取る場合には、ＩＣカードの所有者があるサービスを受けるために、所有者の意志でサービス機関の読取装置で個人情報を読取らせている間に、第三者に傍受される可能性がある。この場合においても、不正に個人情報を取得した第三者が、取得した個人情報を悪用することが考えられる。第三者に電波を傍受されるのを防止するために、電波をシールドした筐体内にＩＣカードを投入して、その筐体内で個人情報を読出すことが考えられるが、連続して多量のＩＣカードから個人情報を読出すような場合には、筐体内が発熱してしまうといった問題がある。
【０００７】
この発明は上述の問題点を解決するためになされたもので、この発明の目的の１つは、個人のプライバシーを保護可能なユーザ情報利用方法およびユーザ情報利用システムを提供することである。
【０００８】
この発明の他の目的は、個人情報を利用して個人に特有のサービスを提供することが可能なユーザ情報利用方法およびユーザ情報利用システムを提供することである。
【０００９】
【課題を解決するための手段】
上述の目的を達成するためにこの発明のある局面によれば、ユーザ情報利用方法は、所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用方法であって、データベースに格納された情報の中から所定のユーザに関する情報を識別するために用いられるＩＤコードを格納する装置であって、該装置同士で異なったＩＤコードを記憶した状態でユーザに普段携帯される携帯装置を希望するユーザに発行する発行ステップと、該発行ステップにより発行された携帯装置を所有するユーザ側が複数の所定機関の中から希望する所定機関を選択し、該所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行って当該ユーザに関する情報を格納しておく登録ステップと、携帯装置に記憶されたＩＤコードを端末装置により読取らせて、登録手続きが行われている所定機関に読取ったＩＤコードを送信する送信ステップと、該送信ステップにより送信されてきたＩＤコードに基づいてデータベースに格納されている情報の中から該当するユーザに関する情報を検索する検索ステップと、該検索ステップにより検索されたユーザに関する情報を利用して所定のサービスを提供するサービス提供ステップとを含み、携帯装置には、ユーザを直接特定可能なユーザ特定個人情報を記憶させず、該ユーザ特定個人情報はデータベース側に格納させたことを特徴とする。
【００１０】
好ましくは、携帯装置は、電波を情報伝達媒体として使用しており、かつ、ユーザの身体に常時装着されることを特徴とする。
【００１１】
好ましくは、携帯装置は、暗号化されたＩＤコードを端末装置に送信することを特徴とする。
【００１２】
好ましくは、携帯装置は、登録手続きが行われた所定機関を特定するための登録機関コードをさらに記憶しており、端末装置から送信されてきた登録機関コードが記憶された登録機関コードと一致することを条件にＩＤコードを出力する。
【００１３】
好ましくは、携帯装置は、登録機関コードを複数種類記憶することが可能であり、端末装置から所定の登録機関コードの送信要求を受信した場合に、記憶している複数種類の登録機関コードの中から該当する登録機関コードを選び出して当該登録機関コードを端末装置に出力し、端末装置は、受信した登録機関コードで特定される所定機関に携帯装置から受信したＩＤコードを送信する。
【００１４】
この発明の他の局面によれば、ユーザ情報利用システムは、所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用システムであって、データベースに格納された情報の中から所定のユーザに関する情報を識別するために用いられるＩＤコードを格納する装置であって、該装置同士で異なったＩＤコードを記憶してユーザに普段携帯される携帯装置を所有するユーザ側が複数の所定機関の中から希望する所定機関を選択し、該所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行って格納する処理を行うユーザ情報登録処理手段と、携帯装置に記憶されたＩＤコードが読取られて登録手続きが行われている所定機関に送信されてきた場合に該ＩＤコードを受信する受信手段と、該受信手段により受信されたＩＤコードに該当するユーザに関する情報を利用するべく、該ＩＤコードに基づいてデータベースに格納されている情報の中から該当するユーザに関する情報を検索する検索手段とを含み、携帯装置には、ユーザを直接特定可能なユーザ特定個人情報を記憶させず、該ユーザ特定個人情報はデータベース側に格納させたことを特徴とする。
【００１５】
好ましくは、携帯装置は、電波を情報伝達媒体として使用しており、かつ、ユーザの身体に常時装着されることを特徴とする。
【００１６】
好ましくは、携帯装置は、暗号化されたＩＤコードを前記端末装置に送信し、携帯装置から出力されてきた暗号化されたＩＤコードを復号化する復号化手段をさらに含むことを特徴とする。
【００１７】
好ましくは、携帯装置は、登録手続きが行われた所定機関を特定するための登録機関コードをさらに記憶しており、ＩＤコードの送信先が登録手続きのなされている所定機関であることを証明するための登録機関コードを携帯装置に送信して該携帯装置からＩＤコードの出力を促すための登録機関コード送信手段をさらに含むことを特徴とする。
【００１８】
好ましくは、携帯装置は、登録機関コードを複数種類記憶することが可能であり、携帯装置に対し所定の登録機関コードの送信要求を出力する登録機関送信要求手段と、該登録機関送信要求手段によって要求された登録機関コードが携帯装置から出力されてきた場合に該登録機関コードで特定される所定機関に対し携帯装置のＩＤコードを送信する。
【００１９】
好ましくは、端末装置は、救急車に搭載され、携帯装置に対し登録手続きが行われている医療機関を特定するための登録機関コードの送信要求を出力する医療機関コード送信要求手段を含み、該医療機関コード送信要求手段によって要求された医療機関の登録機関コードが携帯装置から出力されてきた場合に該登録機関コードで特定される医療機関に対し携帯装置のＩＤコードを送信し、かつ、当該ＩＤコードに相当するユーザに関する情報が医療機関から送信されてきた場合に該ユーザに関する情報を受信する。
【００２０】
好ましくは、端末装置は、携帯装置に対し登録手続きが行われている金融機関を特定するための登録機関コードの送信要求を出力する金融機関コード送信要求手段を含み、該金融機関コード送信要求手段によって要求された金融機関の登録機関コードが携帯装置から出力されてきた場合に該登録機関コードで特定される金融機関に対し携帯装置のＩＤコードを送信し、かつ、当該ＩＤコードに相当するユーザに関する情報が金融機関から送信されてきた場合に該ユーザに関する情報を受信する。
【００２１】
好ましくは、患者に投薬される薬に付されて該薬の種類を特定可能な投薬識別情報を読取る投薬識別情報読取手段と、該投薬識別情報読取手段が読取った投薬識別情報に基づいて投薬される患者に当該薬を投薬してよいか否かを判定する投薬適否判定手段と、該投薬適否判定手段が投薬すべきでないと判定した場合に警告を発生する警告発生手段とをさらに含み、データベースは、ＩＤコードに対応させて当該ＩＤコードに相当する患者に投薬すべき薬の種類を特定可能な投薬識別情報をさらに格納しており、投薬適否判定手段は、投薬される患者が所有する携帯装置から読取られたＩＤコードに基づいてデータベースを検索して割出された投薬識別情報と投薬識別情報読取手段が読取った投薬識別情報が一致するか否かにより投薬の適否を判定することを特徴とする。
【００２２】
好ましくは、建造物の出入口の通過を許容して良いか否かを判定する通過許容判定手段をさらに含み、該通過許容判定手段は、通過を許容すべきでないＩＤコードを予め登録しておく通行禁止ＩＤ登録手段と、出入り口の通過を希望するユーザが所有する携帯装置に記憶されているＩＤコードを読取るＩＤコード読取り手段と、該ＩＤコード読取り手段により読取られたＩＤコードが通行禁止ＩＤ登録手段に登録されているＩＤコードの中に一致するものがあるか否かを判定する一致判定手段と、該一致判定手段により一致しないとの判定がなされたことを条件として出入口の開放を許容する制御を行う開放許容制御手段とを含むことを特徴とする。
【００２３】
好ましくは、ユーザを援助するためのユーザエージェントを格納する手段であって、ＩＤコードに基づいて該ＩＤコードに相当するユーザエージェントを割出すことができるように格納しているユーザエージェント格納手段と、送信されてきたＩＤコードに該当するユーザエージェントをユーザエージェント格納手段に格納されている複数のユーザエージェントの中から割出し、該割出されたユーザエージェントに対し所定の仕事の依頼を行う仕事依頼手段とをさらに含むことを特徴とする。
【００２４】
好ましくは、ユーザエージェントは、ユーザが実行しようとしている行動を許容して良いか否かを判定する実行許容判定機能を備えていることを特徴とする。
【００２５】
好ましくは、ユーザエージェントは、ユーザに関する所定の情報を知識として有しており、仕事依頼手段から仕事の依頼を受けた場合に、ユーザが実行しようとしている行動に必要な当該ユーザに関する情報を知識の中から選び出して該情報を使用するための処理を行うことを特徴とする。
【００２６】
好ましくは、ユーザエージェントは、ユーザの行動履歴データを記憶しており、該行動履歴データの閲覧要求があった場合に、閲覧を許容して良いか否かを判断し、閲覧を許容して良いと判断した場合に該行動履歴データを出力させる機能を有することを特徴とする。
【００２７】
好ましくは、データベースに格納されたユーザに関する情報に対するアクセスがあった場合に、アクセス対象となったユーザに関する情報とアクセスした者を特定するためのアクセス者特定情報とアクセスした時期を特定するための時期特定情報とを含むアクセス履歴データを記憶するアクセス履歴データ記憶手段と、ユーザから自己に関する情報のアクセス履歴データの閲覧要求があった場合に、当該ユーザの所有する携帯装置に記憶されているＩＤコードに基づいて該当するユーザのアクセス履歴データをアクセス履歴データ記憶手段の記憶データから割出す割出手段と、該割出手段により割出されたアクセス履歴データをユーザに提示するアクセス履歴データ提示手段とをさらに含むことを特徴とする。
【００２８】
【発明の実施の形態】
以下、図面を参照しつつ、本発明の実施の形態について説明する。以下の説明では、同一の部品には同一の符号を付してある。それらの名称および機能も同じである。したがってそれらについての詳細な説明は繰返さない。
【００２９】
［第１の実施の形態］
図１は、ブロードバンドを利用したネットワークシステムを示し、ユーザ情報利用システムの全体の概略を示す構成図である。図１を参照して、広域・大容量中継網２０を通じて、電子行政群２、金融機関群３、病院群４、ショッピングストア群５、ユーザ宅６、コンテンツプロバイダ群７、携帯電話網２３に接続されたゲートウェイ２２、インターネット２１等が、情報の送受信ができるように構成されている。なお、図中３０は衛星（サテライト）であり、放送局３１からの放送電波を中継して受信局３２に電波を送るためのものである。
【００３０】
電子行政群２は、たとえば市役所や税務署あるいは中央官庁等であり、行政サービスを提供する。医療機関群４は、医療に関するサービスを提供する病院、薬局などである。ショッピングストア群とは、消費者のショッピング等の消費行動に伴うサービスを提供する。ショッピングストア群は、実在するマーケットの他に、コンピュータにより実現される仮想的なショップの電子モールであってもよい。ユーザ宅６は、後述する携帯端末を所有するユーザの自宅である。コンテンツプロバイダ群５１とは、映像、文字、音等の種々のコンテンツをネットワークを通じて提供する業者群のことである。
【００３１】
携帯電話網２３に接続されている基地局２４に対し、携帯電話１１の電波が送信され、基地局２４，携帯電話網２３，ゲートウェイ２２，広域・大容量中継網２０を介して、電子行政群２、金融機関群３、医療機関群４、ショッピングストア群５、自宅６、コンテンツプロバイダ群７等にアクセスできるように構成されている。またユーザの自家用車８、公営の有料バス９、救急車１０にも携帯電話１１と同様の通信装置が装備されており、基地局２４，携帯電話網２３，ゲートウェイ２２，広域・大容量中継網２０を介して、各種機関にアクセスできるように構成されている。
【００３２】
なお、図１中二重線で示した部分は、無線ＬＡＮ，ＣＡＴＶ，ｘＤＳＬ（ｄｉｇｉｔａｌ　ｓｕｂｓｃｒｉｂｅｒ　ｌｉｎｅ），ＦＴＴＨ（ｆｉｂｅｒ　ｔｏ　ｔｈｅ　ｈｏｍｅ）などである。
【００３３】
電子行政群２、金融機関群３、医療機関群４、ショッピングストア群５、自宅６、コンテンツプロバイダ群７等には、コンピュータで構成されるサーバ装置が設置されている。ユーザが、各種機関でサービスの提供を受けるときに、各種機関では個人情報を利用してサービスを提供する。
【００３４】
次に、電子行政群２、金融機関群３、医療機関群４、ショッピングストア群５、自宅６、コンテンツプロバイダ群７についてより詳細に説明する。これらの機関における機器構成は基本的に同じなので、電子行政群２および医療機関群４を例に説明する。
【００３５】
本実施の形態におけるユーザ情報利用システムでは、電子行政群２において、ユーザに対して、装置同士で異なったＩＤコードを記憶した携帯装置が発行される。この携帯装置は、指輪を主としているが、その他ネックレス、イヤリング、ブレスレット、メガネ、ベルトなどのユーザの身体に常時装着される形態であれば、いかなる形態であってもよく、ユーザが希望する形態の携帯装置が発行される。
【００３６】
一方、上記各種機関においては、顧客管理、または、ユーザ毎にサービスに関する情報を管理する目的で、ユーザに関する個人情報を管理する。この個人情報を識別するためのコードとして、携帯装置に記憶されたＩＤコードが利用される。すなわち、ユーザがある機関でサービスの提供を受ける際に、その機関に設置されたサーバ装置において、そのユーザが所有する携帯装置からＩＤコードが読込まれ、読込まれたＩＤコードとそのユーザの個人情報とを関連付けて記憶する登録手続きが実行される。この登録手続きが一旦実行されれば、その登録機関では、ＩＤコードをキーにしてユーザの個人情報を抽出することが可能となる。また、ユーザが登録手続きを行った機関で、次にサービスの提供を受ける際には、携帯端末に記憶されたＩＤコードを読取るだけで、その機関においてそのユーザの個人情報を即座に抽出することができ、サービスを円滑に提供することができる。
【００３７】
図２（ａ）は、図１に示した電子行政群２の一例を示している。市役所２内には、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）２２１が構築されており、サーバ装置２１０、端末装置２００、データベース２１１，２２０が情報のやり取りができるように接続されている。
【００３８】
端末装置２００は、パーソナルコンピュータ等で構成され、ディスプレイ２０３と、スキャナ２０１と、所員ＩＤ読取装置２０４とが接続されている。ディスプレイ２０３は、液晶表示装置、陰極線管（ＣＲＴ）等の表示装置である。
【００３９】
所員ＩＤ読取装置２０４は、端末装置２００を使用する所員を特定するための装置である。端末装置２００を使用する場合には、使用している間、その所員に予め与えられたＩＤカード２０５を所員ＩＤ読取装置２０４に挿入していることが要求される。したがって、端末装置２００は、所員ＩＤ読取装置２０４に挿入されたＩＤカードを読取り可能な間だけ動作可能またはサーバ装置２１０の端末として機能可能となり、ＩＤカードが所員ＩＤ読取装置２０４から抜き取られた時点で動作しなくなるか、またはサーバ装置２１０の端末として機能しなくなる。また、端末装置２００は、所員ＩＤ読取装置２０４で読取られた所員ＩＤに基づき、端末装置２００を使用する所員を検出し、サーバ装置２１０に対して誰が端末装置２００を使用しているのかを示すために所員ＩＤをサーバ装置２１０に送信する。これにより、サーバ装置２１０では、サーバ装置２１０で実行される処理が誰により指示されたものであるかを検出することが可能となり、さらに、いつ、誰が、どのような処理を実行したのかの履歴を記録するためのログを作成して記録しておくことが可能となる。
【００４０】
スキャナ２０１は、後述する携帯装置１と通信することにより、携帯装置１からＩＤコードを受信する。そして、受信したＩＤコードがパーソナルコンピュータ２０２に送信される。
【００４１】
データベース２１１には、ＩＤコードと、個人情報と、ログ履歴データとが記憶される。ここでは、個人情報には、顔写真データ、ユーザの氏名、住所等が含まれるが、個人情報はこれに限定されず、サービス提供に関わる個人に特有の情報を含めることが可能である。ユーザの個人情報は、携帯装置に記憶されたＩＤコードと関連付けられて記憶される。この個人情報とＩＤコードとは、上述したように、ユーザが携帯端末の発行を要求して、市役所から携帯端末が発行された時点で登録手続きが実行されることにより関連付けられる。ログ履歴データは、個人情報が、誰にいつ利用されたのかを特定するために、個人情報を利用した者の所員ＩＤと個人データへのアクセス時期とを含む。この所員ＩＤは、上述した所員ＩＤ読取装置２０４でＩＤカードから読取られた所員ＩＤに基づき定められる。
【００４２】
このようにユーザ情報利用システムでは、端末装置２００に情報を記憶することなく、必要な情報はすべてデータベース２１１に記憶する。このため、端末装置２００は、ハードディスク等の記憶装置を設ける必要はない。端末装置２００に記憶装置を設けないことにより、データベース２１１で集中してデータを管理することができるとともに、端末装置２００でデータを記憶する場合に生じるデータの改算などの不正を防止することができる。また、端末装置２００を、ＷＢＴ（Ｗｉｎｄｏｗｓ（Ｒ）　Ｂａｓｅｄ　Ｔｅｒｍｉｎａｌ）として用いることができる。
【００４３】
図２（ｂ）に、利用履歴データ２２０に記憶されるデータの一例を示す。利用履歴データは、所員ＩＤと、利用アプリケーションと、ログ日時とを含む。所員ＩＤは、上述した所員ＩＤ読取装置２０４でＩＤカードから読取られた所員ＩＤに基づき定められる。利用アプリケーションは、サーバ装置２１０で実行されるアプリケーションプログラムを示す。ログ日時は、所員ＩＤで特定される者によって、利用アプリケーションで特定されるアプリケーションプログラムが実行された日時を示す。したがって、利用履歴データをデータベース２１１に記憶されるログ履歴データと対応させることにより、どの所員が（だれが）、いつ、どの個人データを、何に（利用アプリケーション）利用したのかの履歴を後で閲覧することが可能である。利用履歴データとログ履歴データとの対応付けは、所員ＩＤと日時とを対比することで可能となる。また、どの所員が利用したかは所員ＩＤにより特定され、いつ利用したかはログ履歴データの日時または利用履歴データのログ日時で特定され、どの個人データが利用されたかはＩＤコードで特定され、何に利用したかは利用アプリケーションで特定される。
【００４４】
図３（ａ）は、図１に示した医療機関群４の一例を示している。病院４内には、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）２２１が構築されており、サーバ装置２１０、端末装置２００、データベース２１１，２２０が情報のやり取りができるように接続されている。図２（ａ）に示した市役所２とは、端末装置２００Ａが追加された点と、データベース２１１Ａの個人データの内容が異なる。
【００４５】
データベース２１１Ａには、ＩＤコードと、個人情報と、ログ履歴データとが含まれる。ここでは、個人情報には、顔写真データ、ユーザの氏名、住所、カルテデータ、投薬データが含まれる。カルテデータは、医師により作成され、その個人の病症、治療履歴、処方等を記録するためのデータである。投薬データは、これから投与するための薬の種類、量と投薬コードとを含む。投薬コードは、医師の処方の結果、薬の種類、量などが端末装置２００Ａから入力された後に付与される。投薬コードは、バーコードに変換されてプリンタで印刷出力され、出力されたバーコード等が投与するべき薬に貼付される。
【００４６】
ユーザの個人情報は、携帯装置１に記憶されたＩＤコードと関連付けられて記憶される。この個人情報とＩＤコードとは、上述したように、ユーザが病院に出向き、診察を受ける等医療サービスの提供を受ける際に登録処理が実行されることにより関連付けられる。登録処理は、携帯装置１に記憶されたＩＤコードがスキャナ２０１で読取られる。そして、端末装置２００Ａで、個人情報の一部、たとえば氏名、住所等が入力され、読取られたＩＤコードとともに端末装置２００Ａからサーバ装置２１０に送信される。サーバ装置２１０では、受信したＩＤコードと個人情報とを関連付けてデータベース２１１Ａに記憶する。これにより、登録処理が完了する。このように、病院４における登録手続きにおいては、ユーザが所有する携帯装置１に記憶されたＩＤコードを読み取ることが必要となる。このため、ユーザが登録を希望する場合にのみ登録が行われる。登録を希望しない場合には、携帯装置１に記憶されたＩＤコードを読取らせないようにすればよい。すなわち、携帯装置１のＩＤコードと個人情報との関連付けは、ユーザ側の意志に委ねられる。したがって、携帯装置１のＩＤコードと個人情報との関連付けを許可する機関をユーザ側が選択することができる。
【００４７】
ここにいう「ユーザ側」とは、ユーザ本人のみに限定されるものではなく、ユーザの家族や親族等のようなユーザと血縁関係を有する者、ユーザの後見人等を含む概念である。たとえば、ユーザが高齢で痴呆症等を患っており、自己の意思を明確に示すことができないときには、前述した血縁関係者や後見人がユーザに代わって登録手続きを行う意思表示を行う。
【００４８】
端末装置２００Ａは、スキャナ２０１と端末装置２００Ａとの機能を１つにした携帯型のスキャナである。また、携帯型ゆえに有線でサーバ装置２１０と接続されるのではなく、ＬＡＮ２２１に接続された通信装置２０６と無線通信することにより、ＬＡＮ２２１を介してサーバ装置２１０と接続される。また、端末装置２００Ａは、バーコード読取り装置が接続されており、投薬する薬に貼付されたバーコード等を読取ることが可能である。
【００４９】
携帯型の端末装置２００Ａは、たとえば看護師に携帯され、患者の身体に装着された携帯装置１からＩＤコードを読出し、サーバ装置２１０からその患者の個人情報を受信して表示出力する。これにより、看護師は、その患者の病状、処方を知ることができる。また、看護師が投薬する際に、薬に貼付されたバーコード等を端末装置２００Ａで読取ることにより、サーバ装置２１０から受信した個人データの投薬データに含まれる投薬コードと比較され、投与しようとしている薬が真にその患者に投与すべき薬であるか否かが判定される。これにより、看護師が誤ってその患者に投与するべきでない薬を投与してしまうといったミスを防止することができる。
【００５０】
図４は、携帯装置１の機能の概略を示すブロック図である。図４を参照して、携帯装置１は、指輪の形状をしており、ユーザの身体に装着しやすい形状となっている。以下、携帯装置１をＩＤリング１という。ＩＤリング１は、入浴や就眠時も常時身につけることを原則とし、このことにより紛失や盗難を防ぐことができる。また、ＩＤリング１は、ＩＤリング１の全体を制御するためのロジック１００と、暗号化されたＩＤコードを記憶するための読出し専用メモリ（ＲＯＭ：Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）１０１と、ロジック１００で実行する際に必要なランダムアクセスメモリ（ＲＡＭ：Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）１０２と、電気消去可能プログラマブル読出し専用メモリー（ＥＥＰＲＯＭ：ｅｌｅｃｔｒｉｃａｌｌｙ　ｅｒａｓａｂｌｅ　ｐｒｏｇｒａｍｍａｂｌｅ　ｒｅａｄ−ｏｎｌｙ　ｍｅｍｏｒｙ）１０３と、電源に用いられる電波を受信し、信号を送受信するためのループアンテナ１０７と、受信された電源に用いられる電波から電力を発生するための電源制御部１０６と、受信した信号を復調し、送信するための信号を変調するための変調・復調部１０５と、変調・復調部１０５への信号の入出力を制御するための入出力制御部１０４とを含む。ロジック１００、ＲＯＭ１０１、ＲＡＭ１０２、ＥＥＰＲＯＭ１０３、入出力制御部１０４は、それぞれデータバス１０８によって接続されている。
【００５１】
ロジック１００は、ＲＯＭ１０１、ＲＡＭ１０２、ＥＥＰＲＯＭ１０３、入出力制御部１０４を制御して、後述する各種処理を実行する。
【００５２】
ＲＯＭ１０１は、ＩＤリング１に付され、他のＩＤリングと識別するためのＩＤコードとを記憶する。ＩＤコードは、ＩＤリング１が製造される段階、または、ユーザに発行される前の段階で記録され、その後消去されることはない。
【００５３】
ＥＥＰＲＯＭ１０３は、情報の書換えが不可能な書換え不能領域と、書換えが可能な書換え可能領域とを含む。書換え不能領域は、登録機関コードと、登録日とが記憶される。登録機関コードは、ユーザ側がＩＤリング１のＩＤコードと個人情報との関連付けを希望して、上述した登録手続きを実行した機関のコードをいう。なお、ＥＥＰＲＯＭ１０３のみによってＲＯＭ１０１およびＲＡＭ１０２の代替も可能である。したがって、上述した登録手続きが実行された段階で、登録手続きを実行した機関のコード（登録機関コード）がサーバ装置２１０に接続された端末装置２００Ａから受信され、その日の日付とともにＥＥＰＲＯＭ１０３の書換え不能領域に記憶される。たとえば、病院４で、２００２年９月１日に登録手続きを実行した場合には、病院４の登録機関コード（たとえば「ＡＡＡ」）と登録日として２００２年９月１日が書換え不能領域に記憶されることになる。この書換え不能領域へは、登録機関の登録機関コードと登録日とを複数記憶することが可能であり、本実施の形態においては９個の機関の登録機関コードを記憶可能としている。したがって、ユーザは、複数の機関において登録手続きを実行することが可能である。
【００５４】
なお、ＥＥＰＲＯＭ１０３の書換え不能領域は、登録機関コードや登録日時を一旦記憶さした後においては、その記憶領域のデータの書換えを禁止するプログラムがＲＯＭ１０１に記憶されており、この禁止プログラムによって書換え不能となる。
【００５５】
書換え可能領域には、たとえば、エコマネー、ポイントを記憶することが可能である。エコマネーとは、様々なコミュニティ内で現金の代わりに使用される通貨である。たとえば、福祉の分野において、ある人が他人に施した奉仕に対して受け取ることができ、次にその人が奉仕を受ける場合に報酬として支払うことが可能な通貨が挙げられる。ポイントは、登録機関ごとに提供されるサービスに対して与えられるポイントであり、累積されたポイント数に応じて種々の特典が与えられる、いわゆるポイントサービスに用いられる。たとえば、ショッピングストア５を登録機関として登録した場合に、そのショッピングストア５で購入した商品の代金に応じてポイントが与えられ、与えられたポイントが書換え可能領域に記憶される。そして、累積されたポイントを利用して、他の商品を購入するなどの特典を受けることができる。
【００５６】
書換え可能領域に記憶される情報は、登録機関により提供されるサービスに関連する情報を記憶することができる。上述の例では、エコマネーは、市役所により提供されるサービスに関連する情報であり、ポイントは、ショッピングストア５により提供されるサービスに関連する情報である。また、登録機関が金融機関群３の場合には電子マネーとすることができる。
【００５７】
入出力制御部１０４は、ＣＰＵ１００により制御され、変調・復調部１０５およびループアンテナ１０７を介して情報を送受信する。これにより、ＩＤリング１は、スキャナ２０１と無線による通信が可能である。ＩＤリング１とスキャナ２０１との間の通信は、非接触型のＩＣカードを用いた場合の通信と同様の技術が用いられる。したがって、ここではその詳細な説明は繰返さない。
【００５８】
次に、ＩＤコードの暗号化について説明する。ＩＤコードの暗号化には、ＳＸＡＬ／ＭＢＡＬが用いられる。図５は、ＳＸＡＬ／ＭＢＡＬの概要を示す説明図である。図示の例では、平文データである２０バイトの可変長データを８バイト（６４ビット）の暗号鍵Ｋを用いて暗号化して２０バイトの可変長暗号列を求める。図中、Ｐ，Ｅ，Ｆ，Ｇ，Ｈ，Ｉ，Ｃは各変換過程におけるデータであり、その添字はバイト数を表わしている。また、ｆｍは暗号関数である。
【００５９】
図５を参照して、まず、可変長データＰの左端の８バイトと拡大鍵ＫＯとの排他的論理和（イクスクルーシブオア）を判定し、判定結果を関数ｆｍによりデータ変換する。次に両端の各４バイトを合せてＳＸＡＬによりデータ変換し、残りはそのままとする。続いてデータの順番を逆にし、暗号関数ｆｍによりデータ変換した後、データの順番を逆にする。これを暗号関数ｆｍによりデータ変換し、変換後のデータの左端の８バイトと拡大鍵ＫＩとの排他的論理和（イクスクルーシブオア）を判定し、暗号化された可変長暗号列Ｃを求める。
【００６０】
本実施の形態では、暗号アルゴリズムが、１６バイト以上のデータまたはファイルを１単位として暗号化するためメガバイト級の大容量毎の暗号化が可能な点、前述のように双方向のデータ入換えを複数回実施して暗号化するから解読が著しく困難となる点、および情報伝達形態において１ビット程度のビット化けやデータ改ざんに遭遇した場合にすべての情報の正常復号が不可能となる点に着目して、これを大容量情報の高速伝達を行なう場合のセキュリティ確保に用いるようにしたものである。特に、１ビット程度のビット化けやデータ改ざんに遭遇した場合、ＤＥＳ型の暗号アルゴリズムでは、復号の際にビット化けや改ざん部分の近辺またはその部分以外のみが正常に復号されないため、受信側での異常感知が著しく困難となる。これに対し、ＳＸＡＬ／ＭＢＡＬでは、すべての部分が異常情報に変わるためその感知が極めて容易であり、通信中の場合は再送要求、ファイルの場合は保管中のバックアップファイルを使用するなど、迅速な対応が可能となる。
【００６１】
次に、ＩＤリング１の発行を受けたユーザが、市役所で行政サービスを受ける場合を例に、各装置で実行される処理を具体的に説明する。ここでは、ユーザが指輪の形状をしたＩＤリング１の発行を希望した場合について説明する。
【００６２】
図６は、本実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第１のフローチャートである。ＩＤリング１の発行を受けたユーザが、市役所２に出向き、ある行政サービスを受けようとした場合、ユーザが市役所のサービス窓口に行くと、窓口に設置された端末装置２００のスキャナ２０１からＩＤリング１に対して、登録機関コードが送信される（Ｓ２０１）。すなわち、端末装置２００では、ＩＤリング１から暗号化されたＩＤコードがスキャナ２０１で受信されるまで（Ｓ２０２でＹＥＳの判断がされるまで）、スキャナ２０１から登録機関コードを電波で発信している。ここで発信される登録機関コードは、市役所に付されたコードである。したがって、このスキャナ２０１が発信する登録機関コードから、これからサービスの提供を受ける機関が市役所であることを判定することが可能となる。
【００６３】
ＩＤリングでは、スキャナ２０１から登録機関コードが受信されるまで待機状態となっており（Ｓ１０１でＮＯ）、登録機関コードの受信に応じて（Ｓ１０２でＹＥＳ）ステップＳ１０２の処理に移る。ステップＳ１０２では、受信した登録機関コードが、ＥＥＰＲＯＭ１０３の書換え不能領域に記憶されているか否かが判断され、記憶されている場合にはステップＳ１０３に進み、記憶されていない場合にはステップＳ１０１に戻る。すなわち、ユーザがこれからサービスの提供を受けようとしている機関が、ＩＤリング１のＩＤコードと個人情報とを関連付ける登録手続きを既に実行した機関であるか否かが判断される。登録手続きを実行した機関である場合には、ＩＤコードと個人情報とが既にリンクされているので、以下に説明する個人情報に基づいてサービスの提供を受けることができる。登録手続きを実行していない場合には、個人情報を利用することができないため、新たに登録手続きを実行するか、または、個人情報を利用することなくサービスの提供を受けることになる。
【００６４】
ＩＤリング１が受信した登録機関コードが、ＥＥＰＲＯＭ１０３に記憶されているとされた場合には、ＩＤリング１は、ＲＯＭ１０１に記憶されたＩＤコードを暗号化された状態でスキャナ２０１に送信する（Ｓ１０３）。
【００６５】
端末装置２００は、ＩＤリング１から暗号化されたＩＤコードを受信すると（ステップＳ２０２でＹＥＳ）、暗号化されたＩＤコードを、復号鍵Ｋを用いて復号する（Ｓ２０３）。以下、復号鍵Ｋを用いた復号を記号Ｄｋで示す。そして、サーバ装置２１０にログインする（Ｓ２０４）。復号鍵Ｋは、予め定められており、秘密の状態で管理される。
【００６６】
サーバ装置２１０では、登録されたスキャナからのログインがあったか否かが判断され（Ｓ３０１）、ログインありと判断された場合（Ｓ３０１でＹＥＳ）はステップＳ３０２に進み、そうでない場合は待機状態となる（Ｓ３０１でＮＯ）。サーバ装置２１０では、そのサーバにログインを許可する端末装置２００が予め定め登録されており、この予め登録された端末装置からのログインだけを許容する。なお、登録された端末装置２００からのログインがあった場合に、割り込みを発生させ、以下の処理を実行するようにしてもよい。
【００６７】
サーバ装置２１０は、ステップＳ３０２で乱数等を利用してセッションキーＳｋを生成し、端末装置２００に生成したセッションキーＳｋを送信する（Ｓ３０３）。セッションキーＳｋは、暗号鍵であり、セッションキーＳｋを受信した端末装置２００との間で、その後送受信される情報は、すべてこのセッションキーＳｋで暗号化される。暗号化のアルゴリズムには、上述したＳＸＡＬ／ＭＢＡＬを用いることができるが、ＳＸＡＬ／ＭＢＡＬに限らずＤＥＳ等の一般的な秘密鍵暗号化方式を用いてもよい。このように、セッションキーＳｋは、サーバ装置２１０と端末装置２００との間でだけ有効な暗号鍵となるため、第三者に送受信する信号を傍受されたとしても、その第三者はセッションキーＳｋを知らないため傍受された信号を復号することができない。したがって、サーバ装置２１０と端末装置２００との間で、送受信する情報を秘密の状態にして通信を行うことができる。これにより、ＶＰＮ（Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋ）が可能となる。
【００６８】
端末装置２００では、セッションキーＳｋを受信するまで待機状態となり（Ｓ２０５でＮＯ）、受信に応じて（Ｓ２０５でＹＥＳ）Ｓ２０６に進む。Ｓ２０６では、復号化されたＩＤコードをセッションキーＳｋで暗号化する。以下、暗号鍵Ｓｋを用いた暗号を記号ＥＳｋで示す。そして、暗号化されたＩＤコードをサーバ装置２１０に送信する（Ｓ２０７）。
【００６９】
サーバ装置２１０では、ＩＤコードを受信するまで待機状態となり（Ｓ３０４でＮＯ）、受信に応じて（Ｓ３０４でＹＥＳ）ステップＳ３０５に進む。ステップＳ３０５では、セッションキーＳｋで暗号化されたＩＤコードを、セッションキーＳｋで復号化する（Ｓ３０５）。そして、データベース２１１を復号化されたＩＤコードを用いて検索し（Ｓ３０６）、該当する個人データが抽出されれば、検索により抽出された個人データ（検索データ）を端末装置２００に送信する（Ｓ３０７）。このとき送信される検索データは、セッションキーＳｋで暗号化されたデータである。
【００７０】
端末装置２００では、サーバ装置２１０から検索データを受信するまで待機状態となり（ステップＳ２０８でＮＯ）、受信に応じて（Ｓ２０８でＹＥＳ）ステップＳ２０９に進む。ステップＳ２０９では、受信した検索データをセッションキーＳｋで復号し、復号された検索データを端末装置２００のディスプレイ２０３に表示する（Ｓ２１０）。これにより、窓口の所員は、窓口を訪ねてきた人が誰であるかを瞬時に認識することができる。また、ユーザは、窓口で氏名を発生することもなく、また、必要な個人情報を提供する必要もなく、窓口の所員に自分が誰であるかを認識してもらうことができる。
【００７１】
そして、端末装置２００で、ユーザが望むサービスを提供するためにアプリケーションソフトウエアが起動され、所定の処理が実行される（Ｓ２１１）。ユーザが望むサービスとは、市役所が提供するサービスであり、たとえば、戸籍謄本の発行、戸籍の変更、住所の変更等種々のサービスである。そして、提供されたサービスの結果発生する処置結果（たとえば、住民票を発行した事実）がセッションキーＳｋで暗号化されてサーバ装置２１０に送信される（Ｓ２１２）。なお、サービスの提供に関わるアプリケーションソフトウエアを端末装置で実行するようにしたが、サーバ装置２１０で実行するようにしてもよい。
【００７２】
サーバ装置２１０では、端末装置２００から処置結果を受信するまで待機状態となっており（Ｓ３０８でＮＯ）、受信に応じて（Ｓ３０８でＹＥＳ）ステップＳ３０９に進む。ステップＳ３０９では、受信した処置結果をセッションキーＳｋで復号する。そして、復号された処置結果に基づき、データベース２１１のログ履歴データおよび利用履歴データ２２０に書き込む（Ｓ３１０）。
【００７３】
一方、ＩＤリング１では、登録機関コードの送信要求があったか否かが判断される（Ｓ１０４）。送信要求があった場合にはステップＳ１０６に進み、ない場合にはステップＳ１０５に進む。ステップＳ１０５では、所定時間の待機状態となり、所定時間経過した場合にはステップＳ１０１に戻る。端末装置２００は、登録機関コードを必要とする場合と、そうでない場合とがあり、必要とする場合にのみ登録機関コードの送信要求を送信する。したがって、所定時間経過してもなお登録機関コードの送信要求がない場合には、端末装置２００からは登録機関コードの送信要求が送信されないものと判断する。ステップＳ１０６では、要求された登録機関コードをＥＥＰＲＯＭ１０３から読出して、端末装置２００に送信する。登録機関コードの送信要求には、いずれの種類の登録機関コードの送信を要求するかの信号が含まれており、ＩＤリング１は、ＥＥＰＲＯＭ１０３に記憶されている登録機関コードのうちから、該当する登録機関コードを選択して送信する。
【００７４】
次に、本実施の形態におけるユーザ情報利用システムにおいて救急車で実行される処理について説明する。この場合、救急車には、端末装置２００と、スキャナ２０１とが搭載される。また、端末装置２００には、携帯電話１１と同様の通信装置が接続されており、端末装置は、基地局２４，携帯電話網２３，ゲートウェイ２２，広域・大容量中継網２０を介して医療機関群４と通信することが可能となっている。
【００７５】
救急車で病人が搬送される場合には、病人に意識がなかったり、言葉を発する状態になかったり、気が動転して明確に話せなかったりして、病人から情報を取得するのは困難な場合がある。本実施の形態におけるユーザ情報利用システムにおいては、救急車に搭載された端末装置２００で、病人が身体に装着しているＩＤリング１からＩＤコードを受信し、その病人の個人データ、特にその病人が登録手続きを行っている病院４に記憶されている個人データを取得することを可能としている。
【００７６】
図７は、本実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第２のフローチャートである。図７を参照して、救急車１０に搭載された端末装置２００では、救急車１０で搬送される病人のＩＤリング１からＩＤコードを受信するＩＤコード受信処理が実行される（Ｓ２２１）。このＩＤコード受信処理では、図６のステップＳ２０１〜Ｓ２０３と同様の処理が実行される。したがって、ここでは説明を繰返さない。一方、病人が身体に装着したＩＤリング１では、ＩＤコードを端末装置２００に送信するＩＤコード送信処理が実行される（Ｓ１１０）。このＩＤコード送信処理は、図６のステップＳ１０１〜Ｓ１０３と同様の処理が実行される。したがって、ここでは説明を繰返さない。
【００７７】
端末装置２００は、病院の登録機関コードの送信要求をＩＤリングに送信する（Ｓ２２２）。病人の個人情報をその病人が登録手続きを行った病院から取得するために、そのような病院を特定するためである。
【００７８】
一方、ＩＤリング１では、登録機関コードの送信要求があったか否かが判断される（Ｓ１１１）。送信要求があった場合にはステップＳ１１３に進み、ない場合にはステップＳ１１２に進む。ステップＳ１１２では、所定時間の待機状態となり、所定時間経過した場合にはステップＳ１０１に戻る。ステップＳ１１３では、要求された病院の登録機関コードをＥＥＰＲＯＭ１０３から読出して、端末装置２００に送信する。
【００７９】
端末装置２００では、病院の登録機関コードを受信したか否かが判断される（Ｓ２２３）。受信したと判断された場合にはステップＳ２２４に進み、そうでない場合には受信するまで待機状態となる。病院の登録機関コードを受信した場合には、受信した登録機関コードに相当する病院４のサーバ装置２１０にログインする。この場合、救急車１０に搭載された端末装置２００は、病院４のサーバ装置２１０へのログインが許容されるために、サーバ装置２１０に登録されている。したがって、救急車１０に搭載された端末装置２００は、病院４のサーバ装置２１０にログインすることが可能である。また、端末装置２００は、登録機関コードと、病院４のサーバ装置２１０へのログインに必要な情報、たとえばネットワークアドレスを予め記憶している。
【００８０】
以降、端末装置２００で実行されるステップＳ２２５〜Ｓ２３２の処理は、図６のステップＳ２０５〜Ｓ２１２の処理にそれぞれ対応する同様の処理である。したがって説明は繰返さない。
【００８１】
病院４のサーバ装置２１０で実行される処理は、図６のステップＳ３０１〜Ｓ３１０に示したサーバ装置２１０の処理と同様の処理が実行される。このため、病院４のサーバ装置２１０では、受信したＩＤコードに該当する個人データ、カルテデータ、投薬データなどを検索して、救急車１０の端末装置２００に送信する。
【００８２】
以上説明したように、本実施の形態におけるユーザ情報利用システムにおいては、救急車１０に搭載された端末装置２００で、搬送する病人のＩＤリング１からＩＤコードと、病院の登録機関コードが受信される。そして、受信された病院の登録機関コードに相当する病院４のサーバ装置２１０にログインして、病人のＩＤコードを送信した後、その病人の個人情報、たとえば、カルテデータ、投薬データが受信され、ディスプレイ２０３に表示される。このため、救急車１０内で病人に対して応急処置を施す際に、その病人の持病、現在の健康状態、服用可能な薬、服用できない薬などの具体的な情報を得ることができるので、適切な処置を施すことができる。また、救急車１０内で施された処置の内容は、病院４のサーバ装置２１０に送信され、サーバ装置２１０のデータベース２１１に記録される。このため、その病院で次にその病人を診察する場合に、救急車内でどのような処置が施されたのかを知ることができる。
【００８３】
また、ここでは病院４の登録機関コードの送信を要求して、病院４のサーバ装置２１０に記録されている個人データを取得するようにしたが、市役所２の登録機関コードの送信を要求して、市役所２のサーバ装置２１０に記録されている個人データを取得するようにしてもよい。これにより、病人の身元を即座に確認することができ、病人の親族などに連絡することができる。また、病人の自宅６にサーバ装置２１０が設置されており、登録機関として登録されているような場合には、自宅６に設置されているサーバ装置２１０にログインして、病人に救急な事態が発生していることを報知するようにしてもよい。
【００８４】
次に、本実施の形態におけるユーザ情報利用システムにおいて病院で投薬や治療する場合に実行される処理について説明する。ここでは、ＩＤリング１と、図２に示した携帯型の端末装置２００Ａおよび病院４に設置されたサーバ装置２１０とを用いて説明する。なお、ＩＤリング１は、診察券の代用とすることもできる。看護師が患者に投薬や処置する場合、医師の指示に従って処方された薬を注射器、点滴などで投与や処置をする。一般的に、大規模の病院で入院患者に投薬する場合には、複数の患者の薬を１つのワゴンなどに搭載して、病室を巡回しつつ順に投与していく。本実施の形態におけるユーザ情報利用システムによれば、この投薬の際に、他人の薬と間違えて投与するのを防止することができる。また、手術や処置における患者取り違いミスを防ぐことができる。たとえば、医師が投与する薬を処方すると、その内容が投薬データとしてデータベース２１１Ａに記憶される。そして、投薬データに含まれるバーコード等がプリンタなどから出力され、投与するべき薬に出力されたバーコード等が貼付される。
【００８５】
看護師は、端末装置２００Ａを携帯しながらワゴンに薬を載せて投薬に向かう。そして、患者に投薬する前に、投薬しようとする薬に貼付されたバーコードをバーコード読取装置で読みとるとともに、その患者の身体に装着されたＩＤリング１からＩＤコードを受信する。すると、端末装置２００は、サーバ装置２１０にＩＤコードを送信した後、投薬データを受信する。受信した投薬データのバーコードと、読取ったバーコートとが比較され、一致しなかった場合に警報が発っせられる。
【００８６】
図８は、本実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第３のフローチャートである。なお、ＩＤリング１で実行される処理は、図６のステップＳ１０１〜Ｓ１０３で示した処理と同様であり、また、サーバ装置２１０で実行される処理は、図６のステップＳ３０１〜Ｓ３１０で示した処理と同様である。したがって、図８では、これらの記載を省略してある。
【００８７】
図８を参照して、端末装置２００Ａは、ＩＤコード受信処理（Ｓ２４１）を実行してＩＤリング１からＩＤコードを受信する。このＩＤコード受信処理では、図６のステップＳ２０１〜Ｓ２０３と同様の処理が実行される。したがって、ここでは説明を繰返さない。ステップＳ２４１で受信されるＩＤコードは、看護師がこれから投薬しようとする患者が身体に装着しているＩＤリング１のＩＤコードである。そして、ＩＤコード暗号化送信処理（Ｓ２４２）を実行して、セッションキーＳｋで暗号化したＩＤコードをサーバ装置２１０に送信する。このＩＤコード暗号化送信処理では、図６のステップＳ２０４〜Ｓ２０７と同様の処理が実行される。したがって、ここでは説明を繰返さない。
【００８８】
次に、サーバ装置２１０から検索データが受信されか否かが判断される（Ｓ２４３）。受信された場合にはステップＳ２４４に進み、そうでない場合には受信されるまで待機状態となる。ここで受信する検索データは、これから投薬しようとする患者の個人データであり、その個人データには投薬データが含まれる。また、投薬データには、薬に直接貼付されたバーコード等であらわされたデータが含まれている。
【００８９】
そして、受信した検索データをセッションキーＳｋで復号し（Ｓ２４４）、復号された検索データが端末装置２００Ａの表示部に表示される（Ｓ２４５）。看護師は、この表示された検索データ、特に投薬データを見て、これから投薬しようとする薬を判断することができる。ここで、第一回目のチェックが行われる。
【００９０】
そして、看護師が端末装置２００Ａに接続されたバーコード読取装置で投薬しようとする薬に貼付されたバーコードを読取るバーコード読取処理が実行される（Ｓ２４６）。読取られたバーコードデータは、ステップＳ２４３で受信された検索データに含まれるバーコードデータと比較され、両データが一致するか否かが判断される（Ｓ２４７）。そして、一致するとされた場合には、ステップＳ２４９に進み、一致しない場合にはステップＳ２４８に進む。ステップＳ２４７における判断は、医師が処方した薬と、これから投与しようとする実際の薬とが、一致するか否かを判断するもので、第２回目のチェックといえる。
【００９１】
ステップＳ２４８では、一致しないために警報を発生する。警報は、警報音を発生する、警告メッセージを表示する、または、音と表示で警告するのかは、いずれであっても良い。一方、ステップＳ２４９は、「ＯＫ」の文字を表示する。
【００９２】
このように、本実施の形態におけるユーザ情報利用システムにおいては、看護師が投薬する際に、実際に投与しようとする薬が医師の処方した薬と一致いているか否かを判定するようにしているので、看護師のミスにより異なる薬が投与されるのを防止することができる。
【００９３】
なお、図８に示した実施の形態では、実際に投与しようとする薬が医師の処方した薬と一致しているか否かの判断を端末装置２００Ａで行っているものを示したが、本発明はこれに限らず、たとえば、端末装置２００Ａが読取ったバーコードデータ等と患者（ユーザ）のＩＤリング１から読取ったＩＤコードとを病院４のサーバ装置２１０へ送信し、サーバ装置２１０で判断を行い、その判断結果を端末装置２００Ａに返信するようにしてもよい。
【００９４】
次に、老人が徘徊するのを防止するためにユーザ情報利用システムを利用する場合について説明する。この場合、自宅６に、サーバ装置２１０、端末装置２００が設置される。そして、自宅の出入口には、スキャナ２０１と電子ロック装置が設置される。この電子ロック装置は、サーバ装置２１０によりロック状態とアンロック状態とに切換制御される。この電子ロック装置は、デフォルトでロックの状態に維持される。したがって、出入口は、通常はロックされており、以下に説明する条件が成立した場合にアンロックの状態に切換えられる。
【００９５】
サーバ装置２１０のデータベース２１１には、個人情報として、出入口の通過を許容しないことを示すデータが予め記憶されている。したがって、ＩＤコードが得られれば、通過を許容しない人であることを判断することが可能である。
【００９６】
スキャナ２０１が、出入口に設置されるため、ＩＤリング１を装着した人が出入口に行くと、スキャナ２０１とＩＤリング１との間で通信が開始される。ＩＤリング１のＥＥＰＲＯＭ１０３の書換え不能領域に自宅の登録機関コードを記憶しておけば、ＩＤリング１からスキャナ２０１にＩＤコードが送信される。
【００９７】
図９は、本実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第４のフローチャートである。なお、ＩＤリング１で実行される処理は、図６のステップＳ１０１〜Ｓ１０３で示した処理と同様である。したがって、図９では記載を省略し、ここでは説明を繰返さない。
【００９８】
図９を参照して、端末装置２００は、ＩＤコード受信処理（Ｓ２５１）を実行してＩＤリング１からＩＤコードを受信する。このＩＤコード受信処理では、図６のステップＳ２０１〜Ｓ２０３と同様の処理が実行される。ステップＳ２５１で受信されるＩＤコードは、出入口に接近した人が身体に装着しているＩＤリング１のＩＤコードである。そして、ＩＤコードがＩＤリング１から受信されたか否かが判断される（Ｓ２５２）。ＩＤコードが受信された場合には、ステップＳ２５３に進み、そうでない場合にはステップＳ２５１に戻る。ＩＤコードが受信されない場合いは、電子ロック装置は何ら制御されないため、出入口を通過することはできないことになる。したがって、ＩＤコードを有していない場合、徘徊者が勝手にＩＤリング１を身体からはずした場合、などは、出入口はアンロックの状態に切り替わることはない。また、ＩＤリング１を装着している場合であっても、ＥＥＰＲＯＭの書換え不能領域に自宅の登録機関コードが登録されていない場合には、端末装置２００にＩＤコードが送信されないので、この場合にも出入口がアンロック状態に切り替わることはない。
【００９９】
ステップＳ２５３では、自宅６のサーバ装置２１０にログインする。サーバ装置２１０では、登録されたスキャナからのログインがあったか否かが判断される（Ｓ３５１）。端末装置２００のステップＳ２５３〜Ｓ２５６の処理は、図６のステップＳ２０４〜Ｓ２０７の処理にそれぞれ対応し、同様である。また、サーバ装置２１０のステップＳ３５１〜Ｓ３５５の処理は、図６のステップＳ３０１〜Ｓ３０５の処理にそれぞ対応し、同様である。したがって、これらについての説明は繰返さない。
【０１００】
サーバ装置２１０では、端末装置２００から、出入口に接近した人が装着しているＩＤリング１のＩＤコードが受信されると、データベース２１１に記憶されているＩＤコードに相当する個人データを抽出する。そして、抽出された個人データから通過が許容されいないか否かが判断される（Ｓ３５６）。通過が許容されていないと判断された場合にはステップＳ３５７をスキップしてステップＳ３５８に進み、そうでない場合にはステップＳ３５７に進む。
【０１０１】
ステップＳ３５７では、電子ロック装置をアンロック状態に切換える制御を行う出入口開放処理が実行される（Ｓ３５７）。これにより、出入口を通過することができる。したがって、サーバ装置２１０のデータベース２１１に通過を許容されていないと記憶されていない人のみが出入口を通過することができる。なお、この出入口開放処理では、所定の時間が経過すると、ロック状態に切換るように制御される。なお、ＩＤコードが受信されている間だけアンロック状態に切り替えるように制御してもよい。
【０１０２】
そして、Ｓ３５８では、通過した場合にはデータベース２１１のログ履歴データに通過した事実と日時が書き込まれる。また、通過しない場合であっても、ＩＤコードが受信された場合には、出入口に接近した事実と日時が書き込まれる。また、ステップＳ３５６において、通過を許可されていない者が出入口に接近した場合に、警報を鳴らしたり、無線で携帯端末にその旨を知らせるためのメッセージを送信するようにしてもよい。
【０１０３】
なお、本実施の形態においては、通過を許容しない人の個人データに通過を許容しない旨を記憶するようにしたが、通過を許容する人に対してのみ、通過を許容する旨を個人データとして記憶するようにしてもよい。
【０１０４】
また、自宅の出入口のロック制御について説明したが、建造物であれば会社、施設等の出入口のロック制御にも適用できる。会社の出入口に適用した場合には、社員以外の者が出入口に近づいたとしてもロックの状態が維持されるのでセキュリティーを強化することができるとともに、社員などは出入口に接近するだけでアンロック状態に切り替えられるので便利である。また、劇薬、危険物または機密性の高い資料、貴金属、現金、有価証券等が保管された部屋、金庫もしくは建物の出入口のドアロックにも適用することができる。このように、安全対策に有効に利用することができる。さらに、建造物に限らず、たとえば車のドアロックにも適用できる。車の所有者が車に近づくだけでドアロックが解除される。
【０１０５】
次に本実施の形態におけるユーザ情報利用システムで実行される履歴データの記憶および閲覧処理について説明する。サーバ装置２１０は、個人データがどのように利用されたのかの履歴を記憶する利用履歴データ２２０が備えらている。この利用履歴データ２２０を作成する処理が履歴データの記憶処理である。
【０１０６】
また、上述したようにサーバ装置２１０のデータベース２１１には、ＩＤデータに対応して、個人データとログ履歴データが記憶される。ユーザ、または、そのユーザに関連する人、たとえば親族などが、ユーザの履歴データの閲覧を希望する場合がある。また、ユーザが、自分の個人データがその機関でどのように利用されているかを知りたい場合、または、監査を希望する場合がある。この履歴データの閲覧を可能にする処理が閲覧処理である。
【０１０７】
図１０は、履歴データの記憶および閲覧処理の流れを示すフローチャートである。この処理は、サーバ装置２１０で実行されるが、入力操作には端末装置２００が用いられる。図１０を参照して、まず、サーバ装置２１０に端末装置２００からアクセス要求があったか否かが判断される。アクセス要求があった場合にはステップＳ３２２に進み、そうでない場合には、ステップＳ３２６に進む。ステップＳ３２２では、アクセス者が特定される。端末装置２００の使用者ＩＤ読取装置２０４で読取られたＩＤカードのＩＤが、サーバ装置２１０にアクセスがあった時点で送信されている。サーバ装置２１０では、受信したＩＤにより、データにアクセスした者を特定する。
【０１０８】
そして、次のステップＳ３２３では、アプリケーションソフトウエアが起動されて、どの個人データがアクセスされたのかを特定する。次に、アクセスされた時期を取得する（Ｓ３２４）。そして、利用履歴データ２２０とデータベース２１１のログ履歴データとに書き込みする（Ｓ３２５）。利用履歴データ２２０には、アクセス者のＩＤ、利用アプリケーション、アクセス日時が記憶される。データベース２１１のログ履歴データには、アクセス日時とアクセス者のＩＤとが記憶される。
【０１０９】
ステップＳ３２６では、履歴データの閲覧要求があったか否かが判断される。要求があった場合にはステップＳ３２７に進み、そうでない場合にはＳ３２１に戻る。ステップＳ３２７では、ＩＤコード受信処理が実行される。これにより、閲覧要求をしているユーザが装着しているＩＤリング１のＩＤコードが受信される。
【０１１０】
そして、受信したＩＤコードに対応する履歴データの割出が行われる（Ｓ３２８）。この割出は、ＩＤコードに関連してデータベース２１１に記憶されたログ履歴データを抽出する処理、および、抽出されたログ履歴データを利用履歴データ２２０と対応付けする処理とにより実現される。そして、割出された履歴データが出力される（Ｓ３２９）。
【０１１１】
このように、ユーザは、登録機関に記憶された個人情報がどのように利用されているのかを、閲覧することができるので、不正に使用されていいないか否かをチェックすることができる。
【０１１２】
また、データベース２１１のログ履歴データには、個人の行動を記憶させることができるので、その個人の行動履歴を閲覧することができる。たとえば、徘徊老人の行動を自宅６に設置されたサーバ装置２１０に記憶させておけば、その老人がどうような行動をしたのかを知ることができる。また、ショッピングストア５に設置されたサーバ装置２１０には、ユーザが購入した商品、購入金額などの履歴データが記憶されるので、それらの情報を後でチェックすることができる。
【０１１３】
なお、操作入力機器を端末装置２００に代えて、携帯電話１１を用いることも可能である。この場合には、携帯電話１１の表示部に履歴データが表示されるので、ユーザの居所に関係なく履歴データを閲覧することができる。
【０１１４】
［第２の実施の形態］
次に第２の実施の形態におけるユーザ情報利用システムについて説明する。第２の実施の形態におけるユーザ情報利用システムは、エージェントを利用する点で第１の実施の形態における個人情報活用システムと異なる。以下、第１の実施の形態におけるユーザ情報利用システムと異なる点を中心に説明する。
【０１１５】
図１１は、第２の実施の形態におけるユーザ情報利用システムの全体概要を示す図である。図１１を参照して、市役所２のデータベース２１１Ｂには、ＩＤコードに関連つけて、援助エージェントが記憶される。この援助エージェントは、ＩＤコードが記憶されたＩＤリング１を装着したユーザを援助するためのエージェントであり、特にユーザ自身が高齢で痴呆症等を患っている場合に有用である。この援助エージェントは、他のコンピュータに移動可能なモバイルエージェントであり、移動先のコンピュータで、ユーザを支援するための種々の活動を実行する。
【０１１６】
このエージェントを利用したユーザ情報利用システムの具体的な例を、ユーザがショッピングストア５で商品を購入する場合を例に説明する。
【０１１７】
図１２は、第２の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示すフローチャートである。ここでは、ユーザがショッピングストア５のレジなどに設置された端末装置２００に近づくと、ユーザが装着するＩＤリング１からＩＤコードが受信され、端末装置２００で受信される。図１２において、ＩＤリング１で実行されるステップＳ１６１のＩＤコード送信処理は、図６で示したステップＳ１０１〜〜Ｓ１０３の処理と同様であるので、ここでは説明を繰返さない。また、ショッピングストアのレジなどに設置された端末装置で実行されるステップＳ２６１のＩＤコード受信処理は、図６に示したステップＳ２０１〜Ｓ２０３の処理と同様であるので、ここでは説明を繰返さない。
【０１１８】
ショッピングストア５の端末装置２００は、ＩＤリング１に対して市役所と銀行の登録機関コードを要求する信号を送信する（Ｓ２６２）。そして、登録機関コードが受信されるまで待機状態となる（Ｓ２６３でＮＯ）。登録機関コードが受信されると（Ｓ２６３でＹＥＳ）、ステップＳ２６４に進む。
【０１１９】
一方、ＩＤリング１は、端末装置２００から登録機関コードの送信要求を受信すると（Ｓ１６２でＹＥＳ）、ステップＳ１６４に進む。受信しない場合には、ステップＳ１６３に進み、所定時間したか否かが判断され、所定時間経過した場合には、ステップＳ１６１に戻る。
【０１２０】
ステップＳ１６４では、ＥＥＰＲＯＭ１０３の書換え不能領域に記憶された市役所の登録機関コードと、銀行の登録機関コードとを端末装置２００に送信する。
【０１２１】
端末装置２００では、ＩＤリング１から市役所と銀行のそれぞれの登録機関コードを受信すると、受信した市役所の登録機関コードに対応する市役所２にログインする（Ｓ２６４）。そして、ステップＳ２６１で受信したＩＤコードを、市役所２に送信するＩＤコード暗号化送信処理を実行する（Ｓ２６５）。このＩＤコード暗号化送信処理は、図６のＳ２０５〜Ｓ２０７で説明した処理と同様の処理である。これにより、市役所２のサーバ装置２１０でユーザが装着するＩＤリングのＩＤコードが受信される。
【０１２２】
次に、ショッピングストア５に設置された端末装置２００は、市役所２のサーバ装置２１０に対して送信したＩＤコードに対応付けて市役所のデータベース２１１Ｂに記憶されているエージェントの送信を要求し（Ｓ２６６）、エージェントが受信されるまで待機状態となる（Ｓ２６７でＮＯ）。エージェントが受信されると（Ｓ２６７でＹＥＳ）、ユーザが購入した購入品および購入金額が許容されるものであるか否かをエージェントに打診する（Ｓ２６８）。ユーザエージェントは、図１４（ｂ）で後述するように、エージェント用知識データとしてユーザの行動履歴データ、購入限度額データ、購入禁止商品データ等を記憶しており、これらの知識データを活用してユーザの購入行動を許容して良いか否かを判断する。具体的には、たとえば、ユーザが現在購入しようとしている商品が購入禁止商品データに含まれているか否かを判断し、含まれている場合には購入を許容しない旨の判断結果を出力する。たとえば、ユーザが２０歳未満の場合、あるいは肝臓を患っている場合に、購入禁止商品データの中に煙草やアルコール類を記憶させておき、これらをユーザが購入しようとした際に、購入禁止の判断を行うようにする。さらには、ユーザが子供や高齢者の場合に、商品の購入限度額をたとえば３千円としてエージェント用知識データに記憶させておけば、３千円以上の商品をユーザが購入しようとした際には、エージェントが許容しない旨の判定を行う。また、ユーザが痴呆症等を患っている場合において、ある商品を購入して余り時間が経過していない、たとえば１０分間程度しか経過していないにも係わらず、再度同じ商品を購入しようとした場合に、エージェント用知識データの中の行動履歴データを活用し、現在購入しようとしている商品が少し前に既に購入されている商品であると判断して購入禁止の判断を行うようにする。
【０１２３】
エージェントから許容されるとの回答を得た場合にはステップＳ２７０に進み、そうでない場合にはステップＳ２７５に進む（Ｓ２６９）。ステップＳ２７５では、端末装置２００のディスプレイ２０３に販売不可のメッセージを表示して、ステップＳ２６１に戻る。この際、市役所２のサーバ装置２１０からログアウトする。
【０１２４】
一方、ステップＳ２７０では、ステップＳ２６３で受信した銀行の登録機関コードに対応する銀行３にログインする。そして、ステップＳ２６１で受信したＩＤコードを銀行３に送信するＩＤコード暗号化送信処理を実行する（Ｓ２７１）。Ｓ２６５で実行されたＩＤコード暗号化送信処理が、市役所２に暗号化したＩＤコードを送信したのに対して、ステップＳ２７１で実行されるＩＤコード暗号化送信処理は、銀行３に暗号化したＩＤコードを送信する点が異なるのみである。ステップＳ２７１でＩＤコード暗号化送信処理が実行されることにより、銀行３のサーバ装置２１０でユーザが装着するＩＤリングのＩＤコードが受信される。そして、エージェントに銀行の暗証番号を送信してもらう（Ｓ２７２）。このように、暗証番号をエージェントに送信してもらうことにより、たとえばユーザが高齢で自己の銀行の暗証番号を忘れている場合にも銀行口座を利用した決済が可能になるとともに、ユーザの銀行の暗証番号がショッピングストア５の端末装置２００で検出されることがない。
【０１２５】
その後、購入金額を銀行３のサーバ装置２１０に送信する（Ｓ２７３）。銀行３のサーバ装置２１０では、端末装置２００から受信したＩＤコード、エージェントが送信した暗証番号に基づいて決済口座を特定し、受信した購入金額に基づいて決済する。そして、決済が完了した旨を端末装置２００に送信する。
【０１２６】
端末装置２００では、決済が完了した旨を受信するまで待機状態となり（Ｓ２７４でＮＯ）、受信に応じてＳ２６１に進む。この際、銀行３のサーバ装置２１０からログアウトするとともに、市役所２のサーバ装置２１０からログアウトする。
【０１２７】
以上説明したように、第２の実施の形態におけるユーザ情報利用システムにおいては、市役所２のデータベース２１１ＢにＩＤコードと対応付けてユーザのエージェントを記憶するようにしている。そして、ユーザの行動が許容されるものか否かをそのエージェントに判断されているので、たとえば、自己を管理する能力の乏しい、たとえば子供や老人の行動を制限することができる。
【０１２８】
また、ショッピングストア５で購入した商品の対価の支払いを、銀行３に開設されたユーザの決済口座を用いて決済可能としているので、現金を所有することなく支払うことができる。さらに、決済に必要な口座の暗証番号をエージェントに送信してもらうので、決済を容易に行うことができるとともに、暗証番号が第三者に知られてしまうのを防止することができる。
【０１２９】
図１３は、エージェントにより実行される処理の流れを示すフローチャートである。図１３を参照して、エージェントは、移動要請があったか否かを判断する（Ｓ４０１）。移動要請があった場合にはステップＳ４０２に進み、移動要請があった移動先に移動する（Ｓ４０２）。エージェントは、このような移動要請があるまで待機状態となる（Ｓ４０１でＮＯ）。
【０１３０】
次に、行動履歴データの閲覧要求があったか否かが判断される（Ｓ４０３）。要求があった場合にはステップＳ４１６に進み、ない場合にはステップＳ４０４に進む。ステップＳ４１６では、閲覧者を認証する閲覧者認証処理が行われる（Ｓ４１６）。そして、ステップＳ４１７で、認証処理の結果が判断される。閲覧者の特定は、移動先のサーバ装置２１０または端末装置２００から得ることができる。そして、その者の閲覧が許容されているかを判定する認証処理は、エージェントに予め知識として与えられている知識データに基づいて判断される。閲覧が許容された者で適正と判断された場合は、ステップＳ４１８に進み、そうでない場合はＳ４１９に進む。
【０１３１】
ステップＳ４１８では、行動履歴を移動先のコンピュータに表示させる。表示させる行動履歴は、エージェントが記憶している行動履歴である。その後、ステップＳ４０９に進む。ステップＳ４１９では、不適切の旨を移動先のコンピュータに表示させる。
【０１３２】
一方、ステップＳ４０４では、知識データの入力があったか否かが判断される。入力があった場合には、入力者の認証が行われ（Ｓ４０５）、入力がなかった場合にはステップＳ４１１に進む。ステップＳ４０５で入力者の認証が行われる。入力者の認証は、エージェントが記憶する知識データに基づき行われる。そして、認証の結果が判定され（Ｓ４０６）、適正と判定された場合にはステップＳ４０７に進み、不適正と判定された場合にはステップＳ４１９に進む。ステップＳ４０７では、入力された知識データが既に存在するか否かが判断され、存在する場合にはステップＳ４０８に進み、存在しない場合にはステップＳ４１０に進む。ステップＳ４０８では、存在する知識データを入力された知識データに更新した後、ステップＳ４０９に進む。ステップＳ４１０では、入力された知識データを記憶した後、ステップＳ４０９に進む。
【０１３３】
一方、ステップＳ４１１では、判断の要請があったか否かが判断される。要請があった場合にはステップＳ４１２に進み、ない場合にはステップＳ４１４に進む。ステップＳ４１２では、知識データを活用して判断し、その結果を通知する。そして、ユーザ本人の行動結果を記憶（Ｓ４１３）した後、ステップＳ４０９に進む。
【０１３４】
ステップＳ４１４では、仕事依頼があったか否かが判断される。依頼があった場合にはステップＳ４１５に進み、そうでない場合にはステップＳ４１５をスキップしてステップＳ４０９に進み。ステップＳ４１５では、依頼された仕事を処理する。
【０１３５】
ステップＳ４０９では、エージェントが元いたコンピュータに移動することにより復帰する。
【０１３６】
図１４（ａ）は、エージェントが実行する仕事処理の流れを示すフローチャートである。図１４（ａ）を参照して、エージェントは、暗証番号の送信依頼があったか否を判断する（Ｓ４２１）。依頼があった場合には、知識データ中の暗証番号を送信する（Ｓ４２２）。依頼がなかった場合には、家族、親族への通知依頼があったか否かが判断される（Ｓ４２３）。この通知依頼は、たとえば前述した救急車１０や病院４でユーザ（患者）が危篤状態等の危険な場合にエージェントに依頼される仕事である。依頼があった場合にはステップＳ４２４に進み、依頼がない場合にはステップＳ４２５に進む。ステップＳ４２４では、知識データの家族親族の電話番号へ電話をかけて現状の通知を行う。現状の通知の具体例としては、たとえば患者（ユーザ）の病状や怪我の状態や入院する病院の名前や住所や電話番号等の通知が考えられる。ステップＳ４２５では、その他の仕事処理を実行する。
【０１３７】
図１４（ｂ）は、エージェントが記憶する知識データの一例を示す図である。知識データには、図１４（ｂ）に示すように、ユーザの個人に関する情報が知識として記憶される。このため、エージェントは、この知識データに基づいてユーザを支援して種々の仕事を実行することが可能である。たとえば、ショッピングに際し、エージェント用知識データ中の嗜好データを活用してユーザの好みにマッチする商品やコンテンツを推薦することが考えられる。また、電子モール等において電子ショッピングした際の購入商品の届出先等に必要となるユーザの住所・氏名の送信に際して、エージェント用知識データに記憶されているユーザの住所・氏名をユーザに代わってエージェントが送信するようにしてもよい。
【０１３８】
本実施の形態におけるユーザ情報利用システムは、以上説明したものの他に、種々のサービスの提供に利用することができる。たとえば、有料の乗り物に乗車する際の料金の支払いに利用することができる。この場合に、乗り物側に設置された端末装置では、図１２で説明した処理を実行させることにより実現できる。
【０１３９】
また、公営の乗り物の場合には、所定の条件を満たす人、たとえば市民、所定の年齢以上の人等に限って無償にするサービスを提供する場合には、市役所２で登録処理を実行しておきさえすれば、そのような条件を満たす人か否かを容易に判定することができる。
【０１４０】
また、ＩＤリング１に記憶されるＩＤコードは、個人を特定するためにその個人に付与されるものではない。このため、たとえＩＤリングを紛失したとしても、ＩＤリング１を再発行して、登録機関で登録処理を再度実行するだけで、以前と変わらぬサービスを受けることができる。また、再登録の際に、紛失したＩＤリング１に記憶されていたＩＤコードと個人情報との対応関係が消滅するので、紛失したＩＤリング１を悪用されるのを容易に防止することができる。
【０１４１】
なお、本実施の形態におけるユーザ情報利用システムを構成するコンピュータシステムは、オペレーティングシステムにＴＲＯＮ（ｔｈｅ　ｒｅａｌ−ｔｉｍｅ　ｏｐｅｒａｔｉｎｇ　ｓｙｓｔｅｍ　ｎｕｃｌｅｕｓ）を用いるのが好ましい。ＴＲＯＮは、ウィルス等に強いため、セキュリティを強化することが可能となる。
【０１４２】
【課題を解決するための手段の具体例の効果】
（１）　ユーザ情報管理方法は、ＩＤリング１に、ユーザを直接特定可能なユーザ特定個人情報を記憶させないので、たとえＩＤリングを紛失したとしても、その個人情報が他人にしられることがない。そして、ユーザ特定個人情報は登録機関のデータベース２１１に格納させるので、登録機関においてユーザ特有個人情報に基づいてそのユーザに適切なサービスを提供することができる。
【０１４３】
（２）　ＩＤリング１は、ＩＤコードを電波で送信するため、登録機関に対してＩＤコードを容易に知らせることができる。さらに、ＩＤリング１は、ユーザの身体に常時装着されるので、携帯に便利であり、簡単には紛失しないようにすることができる。
【０１４４】
（３）　ＩＤリング１は、暗号化されたＩＤコードを記憶するため、紛失したとしてもＩＤコードを容易に読み取ることができない。
【０１４５】
（４）　ＩＤリング１は、登録手続きが行われた所定機関を特定するための登録機関コードをさらに記憶しており、端末装置から送信されてきた登録機関コードが記憶された登録機関コードと一致することを条件にＩＤコードを出力する。このため、登録手続きが行われた所定機関に対してのみＩＤコードが出力されるので、登録手続きがおこなわれていない所定機関に対してはＩＤコードが出力されない。その結果、ＩＤコードが不用に出力されるのを防止することができるとともに、所定機関側ではユーザが登録手続きを行っているか否かを判断することができる。
【０１４６】
（５）　ＩＤリング１は、登録機関コードを複数種類記憶することが可能であり、端末装置から所定の登録機関コードの送信要求を受信した場合に、当該所定の登録機関コードを端末装置に出力する。このため、登録機関側に、ユーザが登録手続きを行っている他の所定機関を通知することができる。また、端末装置は、受信した登録機関コードで特定される所定機関に携帯装置から受信したＩＤコードを送信する。このため、端末装置がＩＤコードを送信した所定機関に、ユーザに関する情報を利用した所定のサービスを提供させることが可能となる。その結果、ユーザは、複数の登録機関からサービスの提供を同時に受けることができる。
【０１４７】
（６）　ユーザ情報管理システムは、ＩＤリング１に、ユーザを直接特定可能なユーザ特定個人情報を記憶させないので、たとえＩＤリングを紛失したとしても、その個人情報が他人にしられることがない。そして、ユーザ特定個人情報は登録機関のデータベース２１１に格納させるので、登録機関においてユーザ特有個人情報に基づいてそのユーザに適切なサービスを提供することができる。
【０１４８】
（７）　ＩＤリング１は、ＩＤコードを電波で送信するため、登録機関に対してＩＤコードを容易に知らせることができる。さらに、ＩＤリング１は、ユーザの身体に常時装着されるので、携帯に便利であり、簡単には紛失しないようにすることができる。
【０１４９】
（８）　ＩＤリング１は、暗号化されたＩＤコードを記憶するため、紛失したとしてもＩＤコードを容易に読み取ることができない。また、ＩＤリング１から出力されてきた暗号化されたＩＤコードを復号化する復号化手段をさらに含むので、ＩＤコードを暗号化した状態で送受信することができる。このため、ＩＤコードを他人に知られるのを防止することができる。
【０１５０】
（９）　ＩＤコードの送信先が登録手続きのなされている所定機関であることを証明するための登録機関コードをＩＤリング１に送信して該ＩＤリング１からＩＤコードの出力を促すので、ＩＤリング１側からは、ＩＤコードを登録手続きのなされている所定機関に対してのみ出力することができる。このため、不用にＩＤコードが出力されるのを防止することができる。また、所定機関では、登録手続きがなされたユーザであるか否かを容易に判断することができる。
【０１５１】
（１０）　ＩＤリング１は、登録機関コードを複数種類記憶することが可能であり、ＩＤリングに対し所定の登録機関コードの送信要求が出力され、要求された登録機関コードがＩＤリング１から出力されてきた場合に該登録機関コードで特定される所定機関に対しＩＤリングのＩＤコードが送信される。このため、ＩＤリングのＩＤコードを受信した所定機関に、ユーザに関する情報を利用した所定のサービスを提供させることが可能となる。その結果、ユーザは、複数の登録機関からサービスの提供を同時に受けることができる。
【０１５２】
（１１）　端末装置は、救急車に搭載され、携帯装置に対しユーザが通院する医療機関を特定するための登録機関コードの送信要求を出力し、要求された医療機関の登録機関コードがＩＤリングから出力されてきた場合に該登録機関コードで特定される医療機関に対しＩＤリングのＩＤコードを送信する。このため、ＩＤリングのＩＤコードを受信した医療機関に、ユーザに関する情報を利用した所定のサービスを提供させることが可能となる。その結果、ユーザが、救急車で搬送される際に、ユーザが登録手続きを行っている医療機関から情報の提供を受けることができる。
【０１５３】
（１２）　端末装置は、ＩＤリング１に対しユーザが決済口座を有する金融機関を特定するための登録機関コードの送信要求を出力し、要求された金融機関の登録機関コードがＩＤリング１から出力されてきた場合に該登録機関コードで特定される金融機関に対し携帯装置のＩＤコードを送信する。このため、ＩＤリングのＩＤコードを受信した金融機関に、ユーザに関する情報を利用した所定のサービスを提供させることが可能となる。その結果、ユーザが、商品の購入の対価、またはサービス提供の対価を、ユーザが登録手続きを行っている金融機関で決済させることができる。
【０１５４】
（１３）　ユーザ情報利用システムでは、治療行為や患者に投薬される薬に付されて該薬の種類を特定可能な投薬識別情報が読取られ、読取られた投薬識別情報に基づいて投薬される患者に当該薬を投薬してよいか否かが判定され、投薬すべきでないと判定した場合に警告が発生される。このため、患者に投薬される薬が正しくない場合に警告が発生されるので、患者に異なる薬を誤って投与するのを防止することができる。したがって、このシステムは、諸検査や治療（手術）など病院でのあらゆる行為に適用できる。
【０１５５】
（１４）　ユーザ情報利用システムは、通過を許容すべきでないＩＤコードが予め登録されており、出入り口の通過を希望するユーザが所有するＩＤリング１に記憶されているＩＤコードが読取られ、読取られたＩＤコードが予め登録されているＩＤコードの中に一致するものがあるか否かが判定され、一致しないとの判定がなされたことを条件として出入口の開放を許容する制御が行なわれる。このため、通過を許容すべきでないＩＤコードを予め登録しておくだけで、出入口の開放を許容するか否かが判定されるので、たとえば、徘徊癖のある老人などが所有するＩＤリング１のＩＤコードを予め登録しておくだけで、その老人が出入口を通過するのを制限することができる。
【０１５６】
（１５）　ユーザを援助するためのユーザエージェントが、ＩＤコードに基づいて該ＩＤデータに相当するユーザエージェントを割出すことができるように格納されており、送信されてきたＩＤコードに該当するユーザエージェントが複数のユーザエージェントの中から割出され、割出されたユーザエージェントに対し所定の仕事の依頼が行なわれる。このため、ＩＤリング１のＩＤコードが送信されるだけで、そのＩＤコードに該当するユーザエージェントに所定の仕事を実行させることができる。
【０１５７】
（１６）　ユーザエージェントは、ユーザが実行しようとしている行動を許容して良いか否かを判定するので、ユーザがたとえば管理能力に乏しい人等の場合に、そのユーザの行動を制限することができる。
【０１５８】
（１７）　ユーザエージェントは、ユーザに関する所定の情報を知識として有しており、仕事の依頼を受けた場合に、ユーザが実行しようとしている行動に必要な当該ユーザに関する情報を知識の中から選び出して該情報を使用するための処理を行う。このため、ユーザエージェントに知識を与えるだけで、その知識に基づいた処理をユーザエージェントに行なわせるこができる。
【０１５９】
（１８）　ユーザエージェントは、ユーザの行動履歴を有しており、該行動履歴の閲覧要求があった場合に、閲覧を許容して良いか否かを判断し、閲覧を許容して良いと判断した場合に該行動履歴データを出力させる。このため、閲覧が許容されない場合には行動履歴データが出力されないので、ユーザの行動履歴が不用意に出力されることがない。その結果、ユーザのプライバシーを保護することができる。
【０１６０】
（１９）　データベースに格納されたユーザに関する情報に対するアクセスがあった場合に、アクセス対象となったユーザに関する情報とアクセスした者を特定するためのアクセス者特定情報とアクセスした時期を特定するための時期特定情報とを含むアクセス履歴データが記憶され、ユーザから自己に関する情報のアクセス履歴データの閲覧要求があった場合に、当該ユーザの所有するＩＤリング１に記憶されているＩＤコードに基づいて該当するユーザのアクセス履歴データが記憶データから割出され、割出されたアクセス履歴データがユーザに提示される。このため、ユーザは、ユーザに関する情報が、誰に、いつアクセスされたのかを知ることができる。このため、ユーザに関する情報が不正に利用されているか否かを判断することができる。
【０１６１】
（２０）　なお、ユーザ情報利用方法は、所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用方法であって、
前記データベースに格納された情報の中から所定のユーザに関する情報を識別するために用いられるＩＤコードを格納する装置であって、該装置同士で異なったＩＤコードを記憶した状態でユーザに普段携帯される携帯装置を所有するユーザ側が複数の前記所定機関の中から希望する所定機関を選択し、該所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行って当該ユーザに関する情報を格納しておく登録ステップと、
前記携帯装置に記憶されたＩＤコードを端末装置により読取らせて、前記登録手続きが行われている前記所定機関に前記読取ったＩＤコードを送信する送信ステップと、
該送信ステップにより送信されてきたＩＤコードに基づいて前記データベースに格納されている情報の中から該当するユーザに関する情報を検索する検索ステップと、
該検索ステップにより検索されたユーザに関する情報を利用して所定のサービスを提供するサービス提供ステップとを含み、
前記携帯装置には、ユーザを直接特定可能なユーザ特定個人情報を記憶させず、該ユーザ特定個人情報は前記データベース側に格納させたことを特徴とする、ユーザ情報利用方法であってもよい。
【０１６２】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【図面の簡単な説明】
【図１】本発明の一実施形態におけるユーザ情報利用システムの全体概要を示す図である。
【図２】本実施の形態における電子行政群の一例を示す図である。
【図３】本実施の形態における医療機関群の一例を示す図である。
【図４】携帯装置の機能の概略を示すブロック図である。
【図５】ＳＸＡＬ／ＭＢＡＬの概要を示す説明図である。
【図６】第１の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第１のフローチャートである。
【図７】第１の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第２のフローチャートである。
【図８】第１の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第３のフローチャートである。
【図９】第１の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第４のフローチャートである。
【図１０】履歴データの記憶および閲覧処理の流れを示すフローチャートである。
【図１１】第２の実施の形態におけるユーザ情報利用システムの全体概要を示す図である。
【図１２】第２の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示すフローチャートである。
【図１３】エージェントにより実行される処理を説明するための図である。
【図１４】エージェントが実行する処理を説明するための図である。
【符号の説明】
１　携帯装置（ＩＤリング）、２　電子行政群、３　金融機関群、４　医療機関群、５　ショッピングストア群、６　自宅、７　コンテンツプロバイダ群、８自家用車、９　有料バス、１０　救急車、１１　携帯電話、２０　広域・大容量中継網、２１　インターネット、２２　ゲートウェイ、２３　携帯電話網、５１　コンテンツプロバイダ群、１０４　入出力制御部、１０５　変調・復調部、１０６　電源制御部、１０７　ループアンテナ、１０８　データバス、２００，２００Ａ　端末装置、２０１　スキャナ、２０２　パーソナルコンピュータ、２０３　ディスプレイ、２０４　読取装置、２０５　ＩＤカード、２０６　通信装置、２１０　サーバ装置、２２０　利用履歴データ、２１１，２１１Ａ　データベース。
【図１】
2004118441.tif 000003
【図２】
2004118441.tif 000004
【図３】
2004118441.tif 000005
【図４】
2004118441.tif 000006
【図５】
2004118441.tif 000007
【図６】
2004118441.tif 000008
【図７】
2004118441.tif 000009
【図８】
2004118441.tif 000010
【図９】
2004118441.tif 000011
【図１０】
2004118441.tif 000012
【図１１】
2004118441.tif 000013
【図１２】
2004118441.tif 000014
【図１３】
2004118441.tif 000015
【図１４】
2004118441.tif 000016