(57)【要約】【課題】商品またはサービスを提供した事実を、署名捺印された紙文書によることなく立証し、当該商品またはサービスの対価の支払い請求を可能とする電子認証システムを提供。【解決手段】インテリジェントカード102、104により、サービス提供実績管理システム108に記録された介護サービス提供記録票ファイル30Aには、介護サービスが実行されたことを示す電子印が被介護者12によって記録可能である。かかるファイル30Aを、同システム108の電子認証サーバ170は、ソフトウェアにより、パスワードを入力しなければ参照不能なファイルに変換して電子署名を行なう。審査支払機関18の申請システム360aでは、変換され参照不能となった介護サービス提供記録票ファイル30Aをパスワードで逆変換して参照可能とし、事業者から所定のフォームで提出された給付金請求書と照合する。両者が一致していれば、保険者は、審査支払機関18を通じて事業者に給付金の支払いを行なう。【選択図】図１
2005276066.tif 000002
【特許請求の範囲】
【請求項１】
計画、および該計画が実行されると特定の者によって記録される承認を含む計画情報ファイルを蓄積するサーバシステムと、
該サーバシステムが設置される拠点と前記特定の者がいる地点とを結ぶ通信網と、
該通信網を通じて前記地点から前記特定の者であることを示す識別情報を前記サーバシステムに送信して前記計画が実行されたことの承認を前記計画情報ファイルに記録する承認手段と、
前記計画情報ファイルに記録された前記承認を確認して該承認の正当性を示す電子署名を該計画情報ファイルに施す電子認証手段とを含み、
該計画情報ファイルに施された電子署名によって前記計画が実行されたか否かが立証されることを特徴とする電子認証システム。
【請求項２】
請求項１に記載の電子認証システムにおいて、前記電子認証手段は、前記計画情報ファイルを参照不能なファイルに変換し、該参照不能なファイルと、該変換前の計画情報ファイルと、該参照不能なファイルを計画情報ファイルに逆変換するために必要なパスワードとが、通信網を介して前記サーバシステムからダウンロード可能であることを特徴とする電子認証システム。
【請求項３】
請求項２に記載の電子認証システムにおいて、前記参照不能なファイルは、Adobe Acrobat Reader（登録商標）によって変換されたPDF（Portable Document Format）（登録商標）ファイルであることを特徴とする電子認証システム。
【請求項４】
請求項２または３に記載の電子認証システムにおいて、前記電子署名の有無は、前記参照不能なファイルを前記パスワードによって逆変換した計画情報ファイルと、前記変換前の計画情報ファイルとを照合することによって判定されることを特徴とする電子認証システム。
【請求項５】
請求項１に記載の電子認証システムにおいて、前記電子認証手段は、前記計画情報ファイルを公開鍵暗号方式の秘密鍵で暗号化し、該暗号化された計画情報ファイルと、該暗号化される前の計画情報ファイルと、前記公開鍵暗号方式の公開鍵とが、通信網を介して前記サーバシステムからダウンロード可能であることを特徴とする電子認証システム。
【請求項６】
請求項５に記載の電子認証システムにおいて、前記電子署名の有無は、前記暗号化された計画情報ファイルを前記公開鍵で復号した計画情報ファイルと、前記暗号化される前の計画情報ファイルとを照合することによって判定されることを特徴とする電子認証システム。
【請求項７】
請求項１に記載の電子認証システムにおいて、前記承認手段は、前記識別情報および暗証符号を担持し、該識別情報および暗証符号を音声信号として前記通信網から送信する、前記特定の者に割り当てられた情報担持体であり、
前記サーバシステムは、前記通信網から前記音声信号を受信すると、該音声信号に含まれる前記暗証符号の合理性を判定し、該合理性が認められるときは日時情報を前記計画情報ファイルに記録することを特徴とする電子認証システム。
【請求項８】
請求項１ないし７のいずれかに記載の電子認証システムにおいて、前記計画は、介護サービスの実施計画であり、前記特定の者は、該介護サービスを受ける被介護者であることを特徴とする電子認証システム。
【請求項９】
請求項１ないし７のいずれかに記載の電子認証システムにおいて、前記計画は物の納品計画であり、前記特定の者は、該物の納品を受ける者であることを特徴とする電子認証システム。
【請求項１０】
計画、および該計画が実行されると特定の者によって記録される承認を含む計画情報ファイルをサーバシステムに作成する工程と、
該特定の者が、該特定の者であることを示す識別情報を通信網を通じて前記サーバシステムに送信し前記計画が実行されたことの承認を前記計画情報ファイルに記録する工程と、
特定の認証者が、前記計画情報ファイルに記録された前記承認を確認し該承認の正当性を示す電子署名を計画情報ファイルに施す工程とを含み、
該計画情報ファイルに施された電子署名によって前記計画が実行されたか否かを立証することを特徴とする電子認証方法。
【請求項１１】
請求項10に記載の電子認証方法において、前記電子署名を計画情報に施す工程では、前記特定の認証者は、前記計画情報ファイルを参照不能なファイルに変換し、該参照不能なファイルと、該変換前の計画情報ファイルと、該参照不能なファイルを計画情報ファイルに逆変換するために必要なパスワードとを、通信網を介して前記サーバシステムからダウンロード可能とすることを特徴とする電子認証方法。
【請求項１２】
請求項11に記載の電子認証方法において、前記参照不能なファイルは、Adobe Acrobat Reader（登録商標）によって変換されたPDF（Portable Document Format）（登録商標）ファイルであることを特徴とする電子認証方法。
【請求項１３】
請求項11または12に記載の電子認証方法において、前記電子署名の有無は、前記参照不能なファイルを前記パスワードによって逆変換した計画情報ファイルと、前記変換前の計画情報ファイルとを照合することによって判定することを特徴とする電子認証方法。
【請求項１４】
請求項10に記載の電子認証方法において、前記電子署名を計画情報に施す工程では、前記特定の認証者は、前記計画情報ファイルを公開鍵暗号方式の秘密鍵で暗号化し、該暗号化された計画情報ファイルと、該暗号化される前の計画情報ファイルと、前記公開鍵暗号方式の公開鍵とを、通信網を介して前記サーバシステムからダウンロード可能とすることを特徴とする電子認証方法。
【請求項１５】
請求項14に記載の電子認証方法において、前記電子署名の有無は、前記暗号化された計画情報ファイルを前記公開鍵で復号した計画情報ファイルと、前記暗号化される前の計画情報ファイルとを照合することによって判定することを特徴とする電子認証方法。
【請求項１６】
請求項10に記載の電子認証方法において、前記計画が実行されたことの承認を前記計画情報ファイルに記録する工程では、
前記識別情報および暗証符号を担持し、該識別情報および暗証符号を音声信号として送信する情報担持体を前記特定の者に割り当てる工程と、
該特定の者が、前記サーバシステムへ通信網を通じて前記情報担持体から前記音声信号を送信する工程と、
前記サーバシステムが、該音声信号を受信し、該受信した音声信号に含まれる暗証符号の合理性を判定する工程と、
前記サーバシステムが、前記合理性が認められるときは日時情報を前記計画情報ファイルに記録する工程とを含むことを特徴とする電子認証方法。
【請求項１７】
請求項10ないし16のいずれかに記載の電子認証方法において、前記計画は、介護サービスの実施計画であり、前記特定の者は、該介護サービスを受ける被介護者であることを特徴とする電子認証方法。
【請求項１８】
請求項10ないし16のいずれかに記載の電子認証方法において、前記計画は物の納品計画であり、前記特定の者は、該物の納品を受ける者であることを特徴とする電子認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、派遣管理システム、たとえば居宅介護など、介護施設以外の介護現場における介護サービスなどのサービスの実施や、商品の納入の際の認証を目的とした電子認証システムおよび方法に関するものである。
【背景技術】
【０００２】
契約書や証明書など、その内容を真正なものと確認して署名捺印をする必要のある文書は、通常、紙として契約当事者間を往復する。そのような紙文書は、取引事実の証明に用いられ、これを提示することで、提供した商品やサービスの代価が請求可能となる。また、そのような紙文書は、公的機関による監査の対象とされることもある。
【０００３】
以下、従来の紙ベースの取引を、居宅介護サービスを例として説明する。このサービスは介護を受ける被介護者の自宅などで介護サービスを受けるものであり、個々の被介護者が利用可能なサービスの種類は一般に限定されている。その仕組みは、概ね次の通りである。
【０００４】
図９に示すように、まず、介護保険に加入している被介護者すなわち被保険者12は、保険者である市区町村などの地方自治体14へ介護認定の申請15を行なう。介護認定ランクは、地方自治体14が評価し、被介護者に通知17する。介護認定ランクを通知された被保険者12は、病院等に設置されている居宅介護支援事業者に所属するケアマネージャ（介護支援専門員）20に、ケアプラン、すなわち介護サービス計画の作成を依頼19する。ケアマネージャ20は被保険者12やその家族と話し合うケアカンファレンスを経てケアプランを作成し、被保険者12に交付24する。
【０００５】
ケアマネージャ20は、次に、作成したケアプランに基づいて、被保険者12に提供するサービスの計画を記したサービス提供票を介護サービス事業者16に送付21し、サービス提供を依頼する。なお図９では事業者16は代表として１つしか示していないが、複数の事業者に、事業者ごとに異なる内容のサービスを依頼することもある。
【０００６】
介護サービス事業者16は、サービス提供票に基づき、同事業者16に所属する１人以上のヘルパに、図10に示す「サービス提供記録票」30を作成して渡す。この「サービス提供記録票」30は、当該ヘルパが被保険者12へ提供する予定のサービスを記載したものである。ヘルパはサービスの提供23のために被保険者12の居宅を訪れ、確かにサービスを提供したことの証として、「サービス提供記録票」30に、被保険者12の印47をもらう。
【０００７】
ヘルパによるサービス提供23の際、被保険者12は、提供されたサービスを受けるのにかかる料金のうち、被保険者12自身が負担するものと決められている割合の金銭を月締めで集計し、事業者に支払う。
【０００８】
図10はヘルパがサービス提供23の際に被保険者12の居宅に紙として持参するサービス提供記録票の例を示す。図10に示すように、サービス提供記録票30には被介護者名欄32、サービス事業者名欄33、サービス日付欄34があり、１ヶ月間のサービス計画が含まれている。サービス内容欄36には被介護者が受けるサービス内容Ａ〜Ｅが印刷される。予定欄40にはサービスが提供される時間帯が予め印刷される。実績欄42には、実際にヘルパがサービスを提供した時間帯が記入される。被介護者検印欄46には、既に上述したように、サービスを受けた被介護者12が確認の検印47を押す。
【０００９】
図９の矢印25に示すように、ヘルパが持ち帰ったサービス提供記録票30の実績に基づいて、介護サービス事業者16は、典型的には月ごとに、国保連18に給付金の支払い請求49をする。すなわち、被保険者12自身が負担した金額の残りの料金を国保連18を介して保険者14に請求する。一方、ケアマネージャ20からも、ケアプランおよびその内容に変更があった場合は変更内容を反映させた給付管理票が国保連18に提出される（矢印51）。国保連18は事業者16からの請求書と、ケアマネージャ20からの給付管理票とを照合し、必要な審査を行ない、保険者14に給付金を請求する（矢印62）。これにより保険者14から国保連18を介して事業者16に給付金が支払われる（矢印60、61）。
【００１０】
【非特許文献１】NTTデータ経営研究所編著、「電子文書証明」、初版、NTT出版株式会社、２００１年８月、ｐ．６２−６３
【非特許文献２】“オーディオスマートカード”［online］、［平成15年12月24日検索］、インターネット＜URL:http://www.audiosmartcard.com/Home/Index.asp＞
【発明の開示】
【発明が解決しようとする課題】
【００１１】
例えば上記のような紙のサービス提供記録票30を利用した従来の居宅介護サービスで問題になることは、以下のようなことである。すなわち、介護サービス事業者16は、実際はキャンセルされたサービスをあたかも実行したかのようにサービス提供記録票30を改ざんして不正にサービス費用を水増し請求するおそれがある。また、事業者16がサービス提供記録票30に基づき請求書を作成する場合に入力ミスがあって誤った額の請求がなされる可能性もある。そして、不正に水増し請求が行なわれているか否かを被保険者12に確認させるのには限界がある。さらに、こうした紙文書は、公的機関による監査用に紙として保管されるが、保管にはコストがかかる。
【００１２】
こうした紙文書による取引は、介護サービスだけでなく、一般的な商品取引においても、以下のような問題を有する。たとえば、卸売業者は小売業者に対して、商品を納品するとともに紙文書である納品書を渡す。小売業者は納品書と納品された商品とを照合して受領書を返却し、欠品がある場合にはその旨を、たとえば受領書に記入して卸売業者に知らせる。これに対して卸売業者は欠けていた商品を納品書とともに再び納品する。このように、紙文書の往復には手間と時間とがかかる。
【００１３】
ところでe-Japan構想では、電子化した文書に対して、公的な認証機関が電子認証を施すことにより、時空的な問題、たとえば保管コストの問題を解決することを進めている。しかし、これはIT環境の整備に大きく依存するし、IT環境の整備は投資効果が十分にない限りにおいては、その実現性は望めない。また、紙とIT機器とが混在するシステムにした場合、紙として往復していたものを電子データとしてパソコンなどのIT機器に入力する場面で、入力ミスの問題が生じる。
【００１４】
本発明はこのような従来技術の欠点を解消し、印鑑を伴う紙ベースの管理を一掃しつつ、介護や取引の実績を当事者が承認できる電子認証システムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
本発明によれば、上述の課題を解決するために、計画、およびその計画が実行されると特定の者によって記録される承認を含む計画情報ファイルを蓄積するサーバシステムと、サーバシステムが設置される拠点と特定の者がいる地点とを結ぶ通信網と、通信網を通じて上記の地点から特定の者であることを示す識別情報をサーバシステムに送信して計画が実行されたことの承認を計画情報ファイルに記録する承認手段と、計画情報ファイルに記録された承認を確認して承認の正当性を示す電子署名を計画情報ファイルに施す電子認証手段とを含み、計画情報ファイルに施された電子署名によって計画が実行されたか否かが立証される。
【００１６】
電子認証手段は、計画情報ファイルを参照不能なファイルに変換し、参照不能なファイルと、変換前の計画情報ファイルと、参照不能なファイルを計画情報ファイルに逆変換するために必要なパスワードとが、通信網を介してサーバシステムからダウンロード可能である。これにより、電子署名の確認は、変換された計画情報ファイルをパスワードで逆変換した参照可能となった計画情報ファイルと、変換される前の計画情報ファイルとを照合することによって行なわれる。
【００１７】
また上述の承認手段は、識別情報および暗証符号を担持し、識別情報および暗証符号を音声信号として通信網から送信する、特定の者に割り当てられた情報担持体である。サーバシステムは、通信網から音声信号を受信すると、音声信号に含まれる暗証符号の合理性を判定し、合理性が認められるときは日時情報を計画情報ファイルに記録する。
【発明の効果】
【００１８】
本発明によれば、取引の事実を示す計画情報ファイルの内容は、上述の承認手段により、特定の者、すなわち商品やサービスの提供を受けた者にしか承認できない。このような承認手段と相俟って、都道府県の認証局などの上位認証機関が、計画情報ファイルに対して電子署名を行なうため、商品やサービスを提供した事業者は、取引の事実を公的に立証できる。例えば、電子署名の施された計画情報ファイルを提示することにより、商品やサービスの料金を、支払い義務のある者に対して請求できる。
【００１９】
これと同時に、電子署名により、計画情報ファイルの原本性が確保されるから、事業者が紙文書を改ざんして水増し請求するなどの不正行為も、防止可能となる。
【００２０】
また、紙文書から料金請求書などを作成する際の入力ミスによる誤った請求が行なわれることも防止される。そして、従来は監査用に紙として保管されていたこうした取引書類を計画情報ファイルとして保管しておけるため、紙文書の保管コストもかからない。
【００２１】
さらに、「紙＋印」または「電子署名」の選択はIT環境の整備に大きく依存し、IT環境の整備は投資効果が十分にない限りにおいては、その実現性は望めないところ、本発明の思想によれば、大規模な投資をすることなく、印鑑を伴う紙ベースの管理が一掃できる仕組みを提供できる。
【発明を実施するための最良の形態】
【００２２】
以下、添付図面を参照して本発明による電子認証システムの実施例を詳細に説明する。
【実施例１】
【００２３】
図１は本発明による電子認証システムを介護サービスに適用した実施例を示す概略図である。図１を参照すると、被介護者宅101を訪問したヘルパの保持するカード102と当該被介護者の保持するカード104を使用して、たとえば電話機106を通じて、遠隔地にある都道府県の認証機関103に設置されたサービス提供実績管理システム108にアクセスし、訪問したヘルパ、そのヘルパから介護を受ける被介護者、およびヘルパの訪問時間などの介護実績データをシステム108に登録し、後に検証のためこれを索出することができる。
【００２４】
カード102および104は、内部で生成するデータを音声信号に変調して可聴信号150（図２）として出力するインテリジェントカードである。本実施例では、これらのカード102および104には、たとえばフランスのオーディオスマート社の提供するオーディオスマートカード（非特許文献１）が有利に適用される。これについては、後に詳述する。
【００２５】
電話機106は、たとえばセルラもしくはパーソナルハンディホンシステム（PHS）などの携帯電話機、または固定電話機であり、無線または有線110にて公衆電話網112に接続される。電話機106に代わって、またはこれに加えて、音声入出力機能を備えたパーソナルコンピュータ（PC）もしくは携帯情報端末（PDA）114でもよく、これらはダイヤルアップ接続もしくは常時接続116を介してインタネットプロトコル（IP）網118に接続される。
【００２６】
サービス提供実績管理システム108は、電話網112またはIP網118にそれぞれ回線120および122によって接続され、計画サーバ124を備えて認証記録メモリ126（いずれも図３）にサービス種別や領収金額などの様々な介護実績データ130（図４）を記憶するサーバシステムである。これについては後に詳述する。
【００２７】
カード102および104は互いに同じ構成でよく、内部に集積回路を担持した全体的に矩形の平板形状を有する情報担持体である。図２を参照すると、たとえばカード102は、それに固有の識別符号（ID）136を有し、これとカウンタ138のカウント値140とを演算部142で暗号化し、両者を音声合成部144で音声信号に変換し、スピーカ（SP）146で可聴音声150にして出力するように構成されている。カードID 136は、カード102または104に固有に割り当てられる。それらは通常、採用するカードシステムにおいて独自に割り当てられるが、カードの保持者、すなわちヘルパまたは被介護者の識別符号、たとえば介護サービス事業者コードまたは介護保険被保険者番号と同じであってもよい。
【００２８】
カード102および104は、手操作スイッチ148を有し、これを押すことによって可聴音声150を発生することができる。この音声150は、たとえば電話機106または音声入出力機能を備えたパーソナルコンピュータもしくは携帯情報端末114を通してサービス提供実績管理システム108に送られる。音声信号を送信後、演算部142は、カウンタ138を所定の演算式に従って歩進させ、カウント値を更新する。
【００２９】
実績管理システム108の計画サーバ124では、暗号化された音声150を復号部152で復号して暗号を解読し、音声信号に含まれているカウント値140をあらかじめ準備されているカウント値154と照合更新部156で照合する。両者が一致すれば、後述の登録処理に進むとともに、受信したカウント値140を所定の演算式に従って歩進させ、受信したカードID 136に対応する新たなカウント値154としてこれをデータベース158に蓄積する。更新された新カウント値154は、次回に同じカード102または104からアクセスがあったときに、それより送信されたカウント値140との照合に使用される。このように、インテリジェントカード102または104のカウンタ138で生成されるカウント値140は、暗証符号の一種、いわばワンタイムパスワードとして機能する。
【００３０】
カード102または104のカウント値140は、そのカードを発行したときに計画サーバ124に初期値をカウント値154として登録し、カード102または104から音声信号150を送信し計画サーバ124で受信する都度、両者において同じ所定の演算によって算出され更新される。したがって、同一のカード102または104から同じカウント値140が複数回、生成されることはない。たとえば、暗号化した音声信号150を盗聴し、録音して再使用しても、計画サーバ124は、チェック214または222（図４）でその通過を阻止することができる。インテリジェントカード102または104は、携帯可能なカードの形態をとっているので、これに保持者の顔写真などを貼付して、不正使用を防ぐことができる。
【００３１】
本実施例では、カード102および104は互いに同じ構成であるが、必ずしも同じでなくてもよい。たとえば、音声信号の暗号化を一方のカードだけ行なってもよい。また、本実施例では、カード102および104の暗証符号をワンタイムパスワードとしているが、いずれか一方のカードのみ暗証符号をワンタイムパスワードとしてもよい。本実施例のように、オーディオスマートカードではカウント値を採用しているため、同一のカウント値が複数回、生成されることはない。しかし、このような実施例に代わって、たとえば時刻に同期した暗証番号など、時刻情報を含む演算式によって暗証符号をワンタイムパスワードとして生成する機能を有するインテリジェントカードを採用してもよい。この仕組みにすれば、カウンタ138の演算規則の推認による盗聴や録音をさらに効果的に回避することができる。
【００３２】
さて、図３を参照すると、実績管理システム108は、本実施例ではコンピュータテレフォニー（CTI）装置160を有し、これは回線120によって電話網112に接続されている。テレフォニー装置160は交換スイッチ（SW）を含み、回線120の反対側には音声応答/認識装置162および計画サーバ124が図示のように接続されている。テレフォニー装置160は、後述するカード102および104の認証シーケンスに従って音声応答/認識装置162および計画サーバ124を回線120に接続する電話装置である。
【００３３】
音声応答/認識装置162は、計画サーバ124にも接続線163によって接続されている。音声応答/認識装置162は、認証シーケンスに必要な様々なアナウンスメッセージを音声信号に編成して回線120へ送出し、また回線120から受信した音声信号から音声を認識して計画サーバ124に認識結果を伝える装置である。
【００３４】
計画サーバ124は、カード102および104からたとえば電話機106を通じて送信される音声信号からヘルパ、被介護者および時刻などの介護実績データをデータベース158の蓄積データを参照して識別し、これを認証記録メモリ126に登録し、また自治体システム134の保険者クライアント166（図４）からの要求に応じて認証記録メモリ126の蓄積データを索出してクライアント166に提供するサーバシステムである。計画サーバ124はまた、ローカルエリアネットワーク（LAN）164によってもテレフォニー装置160に接続され、またルータ168にも接続されている。
【００３５】
計画サーバ124は、ケアマネージャのパソコン351によるサービス提供記録票ファイル30Aの作成インタフェースを有する。したがって、ケアマネージャ20は、予め、立案したケアプランを図６に示すPDF形式のサービス提供記録票ファイル30Aとして、認証記録メモリ126内に作成しておくことができる。このサービス提供記録票ファイル30Aは、１つのサービス事業者16が、１人の被介護者12に提供するサービス計画を記録したものであり、事業者16または被介護者12が異なれば、別のファイルとして作成する。
【００３６】
さらに計画サーバ124は、作成されたサービス提供記録票ファイル30Aや、同ファイル30Aを後述の電子認証サーバ170で変換した参照不能なファイルや、参照不能なファイルを逆変換して元のサービス提供記録票ファイル30Aに逆変換するためのパスワードなどを、ダウンロード可能に公開しておくことができる。
【００３７】
認証記録メモリ126は、後に図４を参照した説明から明らかなように、様々な介護実績データ130を蓄積する記憶装置である。これらの介護実績データには、同図に示す受付番号176、カード保持者ID 184および186、介護サービスの開始/終了情報206ならびに日時情報180の他に、介護サービスの種別などを含めてよい。介護実績データは、図６に示すように、PDF（Portable Document Format）（登録商標）形式のサービス提供記録票ファイル30Aとして認証記録メモリ126に蓄積してよい。あるいは、XML（eXtensible Markup Language）形式やCSV（Comma Separated Value）形式のファイルとして保存してもよい。
【００３８】
電子認証サーバ170は、都道府県の認証係官など特定の認証者だけが排他的に利用できるサーバである。電子認証サーバ170は、サービス提供記録票ファイル30A（図６）を、パスワードを入力しなければ参照不能なファイルに変換するソフトウェアや、公開鍵暗号方式における公開鍵・秘密鍵を保持している。
【００３９】
都道府県の認証係官などの認証者は、電子認証サーバ170を用いて、認証記録メモリ126に保存されたサービス提供記録票ファイル30Aを参照し、その内容を確認した上で、同ファイル30Aを参照不能なファイルに変換可能である。そして参照不能なファイルと、変換前のサービス提供記録票ファイル30Aと、参照不能なファイルをサービス提供記録票ファイル30Aに逆変換するために必要なパスワードとを認証記録メモリ126に保存可能である。これら保存された情報は、計画サーバ124から公開され、回線122からIP網118を通じて、後述する複数のサービス事業者のパソコン350や複数の審査支払機関18の申請システム360bにダウンロード可能である。
【００４０】
上記参照不能なファイルは、ソフトウェアAdobe Acrobat Reader（登録商標）によって変換されたPDF（Portable Document Format）（登録商標）ファイルとしてよい。このファイルは開こうとするとパスワードの入力を求め、パスワードの入力により逆変換されて初めて内容を参照可能となる。
【００４１】
都道府県の認証係官は、電子認証サーバ170により、このようなソフトウェアを用いた方法のほか、サービス提供記録票ファイル30Aを、公開鍵暗号方式の秘密鍵で暗号化し、暗号化されたサービス提供記録票ファイル30Aと、暗号化される前のサービス提供記録票ファイル30Aと、公開鍵暗号方式の公開鍵とを認証記録メモリ126に保存してもよい。これらの情報も、上述と同様、ダウンロード可能に計画サーバ124から公開可能である。
【００４２】
ルータ168は回線122に接続され、これを介してパーソナルコンピュータまたは携帯情報端末114が計画サーバ124にアクセスすることができる。
【００４３】
動作状態において、インテリジェントカード102および104のカードID 136およびカウンタ138の初期値は、それらの保持者ID 184と関連付けて実績管理システム108のデータベース158に登録しておく。保持者ID 184は、たとえば介護サービス事業者の管理下にあるヘルパに固有の識別コードまたは介護保険被保険者番号でよい。
【００４４】
ヘルパは、被介護者宅101を訪問すると、携帯電話機または固定電話機などの電話機106から実績管理システム108に起呼する。これを図５において矢印200で示す。電話機106からの呼は、電話網112によって実績管理システム108に着信し、これに応動してテレフォニー装置160は、回線120を音声応答/認識装置162へ接続する。これを図３において実線172で示す。
【００４５】
電話機106からの発呼に際して、発呼者番号指定特番（たとえば"186"）をダイヤルするようにシステムを構成してもよい。そのようなシステム構成の場合、計画サーバ124は、テレフォニー装置160と連携して、発呼電話機106が固定電話であれば、その発呼者電話番号から被介護者IDとの照合をとり、ヘルパが被介護者の居宅を訪問した事実を確認することができる。
【００４６】
音声応答/認識装置162は、着呼すると、案内メッセージ「こちらは介護実績管理システムです」202に続けて質問メッセージ「サービスの属性は?」204を発呼電話機106に向けて送信する。
【００４７】
これを聴取したヘルパは、たとえばこの被介護者について介護サービスを開始する場合、本実施例では「サービス"２"の"開始"です」と口頭にて答える（206）。勿論、電話機106の押ボタン信号でサービスコードを送信するようにシステムを構成してもよい。この音声信号は、電話機106から電話網112およびテレフォニー装置160を経て音声応答/認識装置162に到達し、後者は、その音声を認識して確認メッセージ「サービス"２"の"開始"を確認します」208を電話機106に向けて送出する。このような派遣サービスの「開始」または「終了」を宣言することによって、開始または終了のいずれかの操作を失念する事態を防止することができる。
【００４８】
本実施例はこのように、電話機106を使用して音声にてサービスの開始または終了を実績管理システム108に送信するように構成されているが、カード102または104にそのような開始および終了信号を送信する機能を配備してもよい。また、パーソナルコンピュータまたは携帯情報端末114を使用する場合、それらから開始および終了信号を送信してもよい。
【００４９】
業務サービスの属性は、このような開始または終了に限らない。たとえば、設備現場における保守運用サービスの適用例では、開始または終了のほかに、装置の検査、修理などの業務の種別、員数などを属性として実績管理システムへ送信してもよい。
【００５０】
続いて本実施例では、音声応答/認識装置162より案内メッセージ「被保険者のデータを入力して下さい」210を電話機106に向けて送出する。その後、テレフォニー装置160は、図３に点線174で示すように当該着信回線120を計画サーバ124にも並列に接続する。
【００５１】
そこでヘルパは、本実施例では、まず被介護者の保持するカード104のスピーカ146を電話機106の送話口に近づけてスイッチ148を押す。これに応動してそのカード104からは、被介護者のカードID 136（図２）とその時のカウンタ138のカウント値140が暗号化150されて音声信号212として送出される。この音声信号212は、電話機106から電話網112およびテレフォニー装置160を経て計画サーバ124に到達する。計画サーバ124は、その復号部152にて音声信号212を復号して暗号を解読し、照合更新部156にてそれに含まれているカードID 136を解読214する。照合更新部156はそこで、音声信号に含まれているカウント値140をデータベース158に蓄積されているそのカードID 136に対応したカウント値154と照合214する。両者が一致すれば、すなわち暗証符号に合理性が認められれば、登録処理に進む。これとともに照合更新部156は、受信したカウント値140を所定の演算式に従って更新し、受信したカードID 136に対応する新たなカウント値154としてデータベース158に蓄積する。この様子は、図４でもチェックボックス214で示されている。以上の操作により、従来のように紙文書に承認印を押すことなく、被介護者は、サービスが開始されたことを承認可能となる。
【００５２】
計画サーバ124での確認結果214に応じて、音声応答/認識装置162は、アナウンスメッセージ「被保険者を確認しました」または「被保険者を確認できません」を電話機106に向けて送出する。チェック214の結果が肯定的（OK）であれば、これとともに計画サーバ124は、受信したカード102のカードID 136からデータベース158を検索し、そのカード102の保持者を特定する。特定した保持者、すなわちこの例では被介護者の保持者ID 184を「開始/終了」データ206とともに記録データに含めて、これを認証記録メモリ126に蓄積する。その際、受付番号176を作成し、日時スタンパ178（図４）からその時の日時情報180を取得して、それらも対応させて認証記録メモリ126に蓄積する。これによってサービスを開始した日時が特定される。
【００５３】
一方、音声応答/認識装置162は、さらに続けて、案内メッセージ「ヘルパのデータを入力して下さい」218を電話機106へ送出する。これを受けてヘルパは、前回と同様にして、今度は、ヘルパ、つまり自己の保持するカード102のスイッチ148を押す。こうしてカード102からは、ヘルパのカードID 136とその時のカウンタ138のカウント値140が音声信号220（図５）として送出され、計画サーバ124に到達する。
【００５４】
計画サーバ124では、被介護者のカード102の場合と同様にして、ヘルパのカード102から発生した音声信号220に含まれるカードID 136およびカウント値140を解読および照合222する。照合に成功すれば、受信したカウント値140を更新し、新たなカウント値154として当該カードID 136に対応させてデータベース158に蓄積する。
【００５５】
ここまでの操作により、被介護者およびヘルパの保持するカード102、104の両方を用いて、電話網112という回線交換網を使用し、呼接続された同一の回線を介して、それぞれのカードの担持する暗証符号を含む音声信号を送信し、認証が行われた。呼接続された同一の回線を使用した場合に限り、認証が行われる。これは、被介護者およびヘルパの両者がサービス開始時刻に同一の地点（通常は被介護者宅）にいることが推認されるからである。したがって、仮に同一の時刻にカード102、104の両方を用いて認証が行われても、別々に呼接続された回線を介してカード認証操作が行なわれた場合は、両者が同一の地点にいることは推認できないから、認証は拒否される。これにより、不正が防止される。
【００５６】
ただし、IP網118などのパケット交換網を使用して音声信号を送信する場合には、回線交換という概念はない。したがって、それぞれのカードの担持する暗証符号が含まれる音声信号が所定の時間内にシステム108において受信されれば、被介護者およびヘルパの両者がサービス開始時刻に同一の地点にいることを推認し、認証を行えばよい。
【００５７】
計画サーバ124での確認222の結果に応じて、音声応答/認識装置162は、アナウンスメッセージ「ヘルパを確認しました」または「ヘルパを確認できません」224を電話機106に向けて送信する。チェック222の結果が肯定的（OK）であれば、これとともに、計画サーバ124は、受信したカード104のカードID 136からデータベース158を検索してその保持者を特定する。特定した保持者、すなわちこの例ではヘルパの保持者ID 186を先の受付番号176に対応させて認証記録メモリ126に蓄積する（226）。このとき計画サーバ124は、受付番号176を音声応答/認識装置162に知らせ（227）、後者は、受付番号176を音声合成により案内メッセージ「受付番号はXXXXです」228を作成して、回線120に送出する。これは、電話機106からヘルパに通報され、メモをとるなどに利用される。テレフォニー装置160はその後、呼を切断する（230）。
【００５８】
照合ステップ214および222でチェック結果が否定的（NG）な場合は、再度、カード102または104を使用して音声信号150を送信し直すか、呼を復旧させることになる。その場合、実績管理システム108の認証記録メモリ126には、所要事項をログとして残しておく。
【００５９】
上述の例では、被介護者のカード102をヘルパのカード104より先に操作するように構成されていたが、ヘルパのカード104を被介護者のカード102より先に操作するようにシステムを構成してもよい。いずれにせよ、呼接続が継続されたまま両方のカード操作を行なえば、被介護者とヘルパの両者が同一の場所にいることは推認できる。
【００６０】
ヘルパが介護サービスの提供を終了するときも、電話機106またはパーソナルコンピュータもしくは携帯情報端末114を同様に操作して、「終了」手続きを行なう。これは本実施例では、たとえば音声入力「サービス"２"の"開始"です」206に代わって「サービス"９"の"終了"です」のように口頭で入力する。これによって、たとえば図４に認証記録メモリ126の受付番号#7に示すような記録データ190が作成される。これにより、被介護者およびヘルパの両者がサービスの終了時刻に同一の地点（通常は被介護者宅）にいることが推認される。
【００６１】
このようにして、被介護者の居宅を訪問したヘルパの保持するカード102とその被介護者の保持するカード104を操作して、電話機106から実績管理システム108にアクセスし、訪問したヘルパ、関連する被介護者および訪問時間などの介護実績データを実績管理システム108の認証記録メモリ126に記録させることができる。
【００６２】
図４を参照すると、この例では、まずカードID5を有するヘルパカード102について開始の操作が行なわれ、カウント値140のチェック214を通過すると、そのカードID5を基にデータベース158でそれに対応するカード保持者IDbを索出する。索出された保持者IDbは、日時スタンパ178で付与された日時データt2および開始の表示206とともに認証記録メモリ126の受付番号#2に関連して蓄積される。
【００６３】
これに続き、同様にして、カードID3を有する被介護者カード104について操作が行なわれ、カウント値140のチェック222を通過すると、そのカードID3を基にデータベース158でカード保持者IDYが索出される。索出された保持者IDYは、認証記録メモリ126の同じ受付番号#2の記憶位置に蓄積される。こうして、１つの「開始」操作について、この例では１つのデータエントリが形成される。
【００６４】
上述の例では、電話機106から実績管理システム108へアクセスしたが、勿論、電話機106に代わって、パーソナルコンピュータまたは携帯情報端末114からIP網118を通して実績管理システム108にアクセスしてもよい。後者の場合、計画サーバ124からパーソナルコンピュータまたは携帯情報端末114への案内もしくは確認メッセージは、文字情報として転送してもよい。また、テレフォニー装置160および音声応答/認識装置162は、設けなくてもよい。しかし、インテリジェントカード102および104は同様に使用される。
【００６５】
図４に示す例では、このカード保持者IDbおよび同IDYの組合せについて、後刻の「終了」操作によって受付番号#7のデータエントリとして「終了」が記録されている。この例では、１つの開始操作について２名のカード保持者IDbおよびIDYが同じデータエントリとして認証記録メモリ126に記録されたが、必ずしも同じデータエントリにする必要はなく、何らかの関連づけがされていれば、それらは別個のデータエントリであってもよい。いずれにせよ、電話機106またはパーソナルコンピュータもしくは携帯情報端末114からの登録操作ごとに、認証記録メモリ126には介護事実データ130が記録されてゆく。
【００６６】
図10の被介護者検印欄46に示すように、従来、紙文書30の被介護者検印欄46に検印47がなされていたところ、本実施例では、図６に示すように、予め、ケアマネージャ20によって認証記録メモリ126には、例えばPDFファイル化されたサービス提供記録票ファイル30Aが作成する。
【００６７】
サービス事業者16は、計画サーバ124からサービス提供記録票ファイル30Aをダウンロードし、被保険者12へのサービス提供を担当するヘルパに紙などの物理的な形でサービス提供記録票を渡し、被保険者12の居宅へ派遣してサービスの提供を行なう。
【００６８】
被保険者12は、サービスの提供を受けた証明として、従来の紙文書への検印に代えて、インテリジェントカード102、104を利用した承認手段により、計画サーバ124にアクセスする。これにより、認証記録メモリ126に記憶されている電子データであるサービス提供記録票ファイル30Aの検印欄46Aに電子印（チェックマーク）47Aが記録される。この電子印47Aは、上述のように、被介護者およびヘルパが、サービス開始時および終了時に同一の場所に存在しなければ記録できない。したがって、紙文書に検印を押す従来の方式と比較すれば、電子印47Aの信頼度は格段に高いものである。
【００６９】
ここで、図６を参照して、上記の電子印47Aが記録されるための条件について、一例を挙げて説明する。この実施例では、実績欄42Aの開始・終了時刻が両方とも記録されていれば、それら時刻に拘らず、検印欄46Aに電子印47Aが記録される規則を採用している。したがって、サービスＡのように、実績欄42Aの開始・終了時刻が予定時間欄40Aのそれらとずれていたり、サービスＢのように、実績欄42Aの開始・終了時刻が予定時間欄40Aのそれらからずれていたり、サービスＣのように、実際の終了時刻が予定より早かったりしても、電子印47Aが記録される。なぜなら、サービスの開始・終了時刻といった日時情報は、通常、予定時間ときっかり同時に記録されるものではないからである。また、被介護者宅101にヘルパが予定より早く到着したり遅刻したりした場合でも、介護サービスは滞りなく行われるし、予定より早い時刻に介護サービスの提供が終わる場合もあるからである。
【００７０】
一方、サービスＤのように、開始時刻と思われる時刻だけしか記録されなかったり、サービスＥのように、時刻情報が全く記録されていない場合には、当該サービスは実行されなかったものとみなされ、電子印47Aは記録されない。これらの場合には、何らかの理由でサービスが中断され、完了されなかったか、サービス自体がキャンセルされたものと考えられるからである。後述のように、都道府県の認証係官が図６のサービス提供記録票ファイル30Aを参照する際には、これら電子印47Aが記録されているサービスの欄と、記録されていないサービスの欄とは、色を変えるなどして、区別して表示される。
【００７１】
本発明による電子認証システムの目的のひとつは、上述の介護事実データ130、すなわち図６に示すサービス提供記録票ファイル30AのPDFファイルが、都道府県などの上位認証機関によって、真正なものであることを立証可能とすることである。
【００７２】
都道府県の認証係官は、図３の電子認証サーバ170を利用して、図６のサービス提供記録票ファイル30Aに記載されているサービス内容が提供される月が経過すると、同ファイル30Aを参照する。図６に示すように、電子印47Aが記録されていないサービスＤおよびＥの欄だけは、他のサービスＡ〜Ｃの欄と異なる色で表示されていて、サービスが実行されなかったことを分かりやすく表示する。ファイル30Aの内容を確認すると、認証係官は、自治体検印欄510に、電子署名512のマーク512を入力する。このマークは単に形式的なものであり、これだけで記録票ファイル30Aの原本性が確保できたわけではない。そこで原本性確保のために、電子認証サーバ170に備えられたソフトウェアにより、同ファイル30Aを参照不能なファイルに変換する。そして参照不能なファイルと、形式的な電子署名マーク512が入力されただけの、変換前のサービス提供記録票ファイル30Aと、参照不能なファイルをサービス提供記録票ファイル30Aに逆変換するために必要なパスワードとを認証記録メモリ126に保存する。これら保存された情報は、計画サーバ124からダウンロード可能である。
【００７３】
あるいは、非公開の秘密鍵によって、サービス提供記録票ファイル30AのPDFファイルを暗号化し、当該暗号化したサービス提供記録票ファイル30Aを、ダウンロード可能にしておいてもよい。その場合、形式的な電子署名マーク512が入力されただけの、暗号化されていないサービス提供記録票ファイル30Aも、同様にダウンロード可能にしておく。さらに、暗号化されたサービス提供記録票ファイル30Aを復号するための公開鍵も、サーバ124に公開しておく。
【００７４】
介護サービス事業者16は、自己の所有するパソコン350からIP網118を介してサービス提供実績管理システム108の計画サーバ124にアクセスし、暗号化されていないサービス提供記録票ファイル30Aをダウンロードする。このサービス提供記録票ファイル30A、あるいはこれを印刷した、自治体検印欄510に都道府県の電子署名512が施されたサービス提供記録票30A（図６）を利用して、事業者16は、申請システム360a、360bに対する各種申請手続きをすることが可能となる。ここでいう申請システム360a、360bとは、典型的には、事業者から自治体その他の機関に対する補助金の請求システムである。
【００７５】
介護サービス事業者16は、印刷したフォーム30Aに記載された事項のうち、当該事業者が被介護者に提供したサービスの種類と各総量（回数）を所定の請求書フォームに記入し、請求書フォームを審査支払機関18に送って給付金の請求を行なう。審査支払機関18に備えられた申請システム360aでは、IP網118を通じて、システム108中のサーバ124から、Adobe Acrobat Reader（登録商標）によって変換されたPDF（Portable Document Format）（登録商標）形式の参照不能なファイルをダウンロードし、これを同サーバ124に公開されたパスワードで逆変換してファイル30Aとする。そして、事業者16が提出した請求書フォームの内容と、復号した電子データであるサービス提供記録票ファイル30Aとを照合し、これらが一致していることを確認する。なお、申請システム360aでは、照合の便宜上、ダウンロードし逆変換したPDFファイルの内容を、事業者16が提出する請求書フォームと同様のフォームに自動的に入力してから照合することとしてもよい。
【００７６】
一方、サーバ124によって公開されている情報が公開鍵暗号方式で暗号化された情報である場合は、秘密鍵によって暗号化されたサービス提供記録票ファイル30Aをダウンロードし、公開鍵によって復号する。そして、事業者16が提出した請求書フォームの内容と、復号した電子データであるサービス提供記録票ファイル30Aとを照合し、これらが一致していることを確認する。
【００７７】
これらの確認作業により、事業者16が提出した請求書フォームの内容が真正なものと立証される。なぜなら、非特許文献１に記載のように、パスワードまたは公開鍵を用いて逆変換または復号できた電子データとしてのサービス提供記録票ファイル30Aが印刷されたフォーム30Aと一致したことになるから、電子データであるサービス提供記録票ファイル30Aが電子認証サーバ170の保持するソフトウェアまたは秘密鍵によって変換または暗号化されたものと証明できるからである。
【００７８】
また、事業者16は、サーバ124からダウンロードした変換または暗号化されていないサービス提供記録票ファイル30Aを、印刷することなく、電子データのまま、審査支払機関18に備えられた申請システム360bに送ってもよい。この場合、サービス提供記録票ファイル30Aに記載された事項のうち、当該事業者が被介護者に提供したサービスの種類と各総量（回数）が、システム360bに備えられている所定の請求書フォームに、自動的に入力される。その結果、事業者16による請求書フォームへの記入ミスが防止される。この場合も、審査支払機関18は、ソフトウェアまたは秘密鍵によって変換または暗号化されたサービス提供記録票ファイル30Aを逆変換または復号し、申請システム360bを通じて送られてきたデータから作成された請求書フォームと照合することにより、事業者16から送られてきたデータが真正なものであることを確認できる。なおこの場合、照合されるサービス提供記録票ファイル30Aは、自動的に照合する便宜上、変換または暗号化の前後にわたり、すべて、PDF形式でなく、XML（eXtensible Markup Language）形式とするとよい。
【００７９】
申請システム360a、360bのいずれを使用するにせよ、介護活動の事実が確認できれば、保険者14は、審査支払機関18を通じて、事業者16に給付金の支払いを行なう。
【００８０】
なお、上述の実施例は現状の介護請求システムにおける、事業者16から審査支払機関18への給付金の請求手続を契機として給付金を支払うという前提で構成されている。しかし、実績管理システム108から変換または暗号化された状態でダウンロードされるサービス提供記録票ファイル30Aの内容には誤りがないことが既に担保されている。したがって、将来的には、事業者16から審査支払機関18への請求手続はなくしてもよい。
【実施例２】
【００８１】
図７および図８は、商品納品者と納品を受ける認証者との関係を示す。図７は従来の紙ベースの取引関係図であり、図８は、図７の取引に対して適用される、本発明による電子認証システムの第２の実施例を示す。納品者400は、例えば商品を納品する卸売業者としてよく、認証者410は、納品を受ける小売業者としてよい。従来は、図７に示すように、納品者400から、紙である納品書420とともに認証者410に対して商品が納入され、欠品等については、その旨を記入した、たとえば受領書420Aが納品者400に返却されていた。
【００８２】
このような紙文書が往復する方法に対して、図８に示すように、本発明による電子認証システムによれば、納品者側に、図１に示すのと同様のサービス提供実績管理システム108を配置しておけばよい。そうすれば、納品時には紙として納品書420を送るが、商品が完全に揃っているか否かについては、電子署名420Bによって、紙文書を返却することなく、納品者側に対して知らせることができる。これにより、紙文書を人手によって照合するなどの煩雑な業務がなくなり、納品確定業務が効率化される。
【００８３】
第１の実施例では、介護サービスの提供を受ける被保険者12はその料金の一部を負担するだけであり、その他の不足分は保険者すなわち市町村14からの給付金で賄われていたため、都道府県の認証係官だけが利用可能な電子認証サーバ170から電子署名できる構成としていた。しかしこの第２の実施例で取引するのは、民間の取引者同士であるため、公的な認証機関が介在する必要はない。第２の実施例では、サービス提供実績管理システム108は、納品者400が保持するものである。しかし納品された商品に欠品等のある場合に、システム108内の納品書等のデータにその旨を示す承認を行ない、さらにそのデータに電子署名をするのは認証者410である。認証者410の保持するソフトウェアまたは秘密鍵で変換または暗号化された受領書の電子データを、提供者400はパスワードまたは公開鍵によって逆変換または復号し、確かに認証者が商品の提供を受けたことを確認できる。
【００８４】
第１の実施例では、介護サービスの関係上、サービスの開始時・終了時をヘルパおよび被介護者の両者の保持するカードで登録していたが、この第２の実施例では、認証者410の有するカードのみを用いて、欠品数量等をシステム108に登録すればよい。
【図面の簡単な説明】
【００８５】
【図１】本発明による電子認証システムを介護サービスに適用した実施例を示す概略図である。
【図２】図１に示すカードおよび計画サーバの構成図である。
【図３】図１に示すサービス提供実績管理システムの構成図である。
【図４】図３に示す計画サーバの構成図である。
【図５】第１の実施例における認証登録シーケンスの例を示すシーケンス図である。
【図６】図５の認証記録メモリに保存されるデータとしてのサービス提供記録票の一例を示す図である。
【図７】従来の紙ベースの納品者と納品を受ける認証者との取引関係図である。
【図８】図７に対して適用された、本発明による電子認証システムの第２の実施例を示す図である。
【図９】従来の紙ベースの居宅介護サービスを例示する図である。
【図１０】図９に示す保険者と被保険者との間を紙として往復するサービス提供記録票の一例を示す図である。
【符号の説明】
【００８６】
102、104  インテリジェントカード
106  電話機
108  サービス提供実績管理システム
124  計画サーバ
126  認証記録メモリ
158  データベース
162  音声応答/認識装置
166  保険者クライアント
170  電子認証サーバ
【図１】
2005276066.tif 000003
【図２】
2005276066.tif 000004
【図３】
2005276066.tif 000005
【図４】
2005276066.tif 000006
【図５】
2005276066.tif 000007
【図６】
2005276066.tif 000008
【図７】
2005276066.tif 000009
【図８】
2005276066.tif 000010
【図９】
2005276066.tif 000011
【図１０】
2005276066.tif 000012