データ保護システム及び記録担体
本発明は、記録担体であって、データを記憶する記憶領域を備え、装着された１の情報端末から、記憶領域へのアクセス要求を受け付け、記憶領域へのアクセス可否を示すアクセス条件を取得し、前記アクセス要求が、前記アクセス条件を満たすか否か判断し、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、記憶領域へのアクセスを抑制する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、記録担体に関し、記録担体を紛失した場合などに、内部に格納されているデータを保護する技術に関する。
【背景技術】
【０００２】
近年、携帯電話機やＰＤＡ（Personal Digital Assistant）などの携帯情報端末の多機能化に伴い、ＩＣカードや、メモリカード等の記録担体を装着するためのカードスロットを搭載した携帯情報端末が普及しつつある。
携帯情報端末に装着した記録担体には、例えば、電話帳データ、スケジュール帳データ、デジタルカメラで撮影した画像データなどが記録される。電話帳データは、ユーザの電話番号、メールアドレス、知人の氏名、電話番号、メールアドレス、住所など、プライバシーに関わる情報を含んでいる。
【０００３】
従って、記録担体を紛失した場合、或いは、記録担体を装着した携帯情報端末を紛失した場合であっても、記録担体に記録されているこれらのデータを他人に見られない仕組みが必要である。
特許文献１に開示されている記録担体は、個人データと固有の無効化コードとを記憶している。当該記録担体が装着されたまま、携帯電話機が盗難あるいは紛失にあった場合、ユーザは、記録担体が装着されている携帯電話機に電話をかけることにより、無効化コードを携帯電話機に送信する。無効化コードを受信した携帯電話機は、それを記録担体に転送する。記録担体は、携帯電話機から無効化コードを受け取り、受け取った無効化コードが、予め内部に記憶している無効化コードと一致するか否か判断し、両者が一致する場合には、個人データをロックし、使用不能状態にする。これにより、カード内の個人データを保護することが可能となる。
【特許文献１】特開平１１−１７７６８２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の技術では、記録担体が装着されている携帯電話機が、外部から送信される無効化コードを受信可能な状況にあることが前提である。そのため、紛失した携帯電話機から記録担体が抜き取られ、オフラインで利用可能な他の情報端末に装着された場合などは、記録担体は無効化コードを受信しないため、個人データを他人に見られる可能性がある。
【０００５】
そこで本発明は、上記の問題に鑑みなされたものであって、記録担体が、オフラインで利用可能な他の情報端末に装着された場合であっても記録担体に記録されている個人データを保護することができる記録担体及びデータ保護システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明は、記録担体であって、記憶手段と、装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、前記記憶手段へのアクセス可否を示すアクセス条件を取得する取得手段と、前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備えることを特徴とする。
【発明の効果】
【０００７】
上記の構成によると、記録担体は、装着されている情報端末から受け取るアクセス要求であっても、アクセス条件を満たさない場合には、情報端末からの要求に反し、記憶領域へのアクセスを拒否することができる。
ここで、前記記録担体は、更に、前記アクセス条件を記憶しているアクセス条件記憶手段を備え、前記取得手段は、前記アクセス条件記憶手段から、前記アクセス条件を取得するように構成してもよい。
【０００８】
この構成によると、記録担体は、アクセス条件を内部に記憶しているので、当該記録担体が接続された情報端末がオフラインで利用可能な端末であっても、外部から判断の基準となるアクセス条件を取得する必要が無く、情報端末の置かれた環境によらず、アクセス要求がアクセス条件を満たすか否か判断することができるので、情報端末がオフラインで利用可能な端末であっても、アクセス条件を満たさない場合には、情報端末からの要求に反し、記憶領域へのアクセスを拒否することができる。
【０００９】
ここで、前記アクセス条件は、識別子リストを含む、前記識別子リストは、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別する1以上の識別子から成る、前記アクセス要求は、前記情報端末を識別する要求端末識別子を含む、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在する場合、前記アクセス要求は前記アクセス条件を満たすと判断し、存在しない場合、前記アクセス要求は前記アクセス条件を満たさないと判断するように構成してもよい。
【００１０】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着されて内部のデータが読み出されるのを防止することができる。
ここで、前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の回数情報とから成る、前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、前記１以上の回数情報は、各機器の前記記憶手段にアクセス可能な回数を示す、前記アクセス要求は、前記情報端末を識別する要求端末識別子を含む、前記判断手段は、前記情報端末が前記記憶領域にアクセスした回数を示すアクセス回数を保持する保持部と、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、一致する識別子が存在する場合に、前記識別子に対応する回数情報が、前記アクセス回数より大きいか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１１】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。また、記録担体は、記憶領域へのアクセス回数を管理することで、記憶領域に記憶されているデータの著作権保護の仕組みとしても利用できる。
【００１２】
ここで、前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の期間情報とから成る、前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、前記１以上の期間情報は、各機器の前記記憶手段にアクセス可能な期間を示す、前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、前記判断手段は、現在日時を管理する日時管理部と、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、一致する識別子が存在する場合に、前記日時管理部が管理している現在日時が、前記識別子に対応する期間情報が示す期間内であるか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１３】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。また、記録担体は、記憶領域へのアクセス期限を管理することで、記憶領域に記憶されているデータの著作権保護の仕組みとしても利用できる。
【００１４】
ここで、前記記憶手段は、複数のメモリブロックから成り、前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のメモリブロック情報とから成る、前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、前記１以上のメモリブロック情報は、各機器のアクセス可能なメモリブロックを示す、前記アクセス要求は、前記情報端末を識別する要求端末識別子と、メモリブロックを指定するメモリブロック指定情報とを含み、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、一致する識別子が存在する場合に、前記メモリブロック指定情報が、前記識別子に対応するメモリブロック情報に含まれるか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１５】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。また、記録担体は、アクセス可能なメモリブロックの情報を管理することで、メモリブロック毎に記憶されているデータの著作権保護の仕組みとしても利用できる。
【００１６】
ここで、前記記憶手段は、１以上のプログラムデータを記憶しており、
前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のプログラム情報とから成る、前記１以上の識別子は、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別し、前記１以上のプログラム情報は、各機器がアクセス可能なプログラムデータを示す、前記アクセス要求は、前記情報端末を識別する要求端末識別子と、プログラムデータを指定するプログラム指定情報とを含み、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、一致する識別子が存在する場合に、前記プログラム指定情報が、前記識別子に対応するプログラム情報に含まれるか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１７】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。また、記録担体は、アクセス可能なアプリケーションプログラムの情報を管理することで、記憶領域に記憶されているアプリケーションプログラムの著作権保護の仕組みとしても利用できる。
【００１８】
ここで、前記アクセス条件は、識別子リストとバイオメトリクスリストとを含む、前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、前記バイオメトリクスリストは、前記記憶手段にアクセス可能な１以上のユーザを識別する１以上のバイオメトリクス情報を含む、前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者のバイオメトリクスを示す操作者バイオメトリクス情報とを含む、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、前記操作者バイオメトリクス情報と一致するバイトメトリクス情報が前記バイオメトリクスリストに存在するか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１９】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。更に、記録担体は、予め正当なユーザのバイオメトリクス情報をリストに登録しておくことにより、当該記録担体が、正当な情報端末に装着されたまま紛失した場合であっても、ユーザ認証により不正なユーザが、記憶領域のデータにアクセスするのを防止することができる。
【００２０】
ここで、前記アクセス条件は、識別子リストとパスワードリストとを含む、前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、前記パスワードリストは、前記記憶手段にアクセス可能な１以上のユーザにより設定された１以上のパスワード情報を含む、前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者により入力された入力パスワードとを含む、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、前記入力パスワードと一致するパスワード情報が前記パスワードリストに存在するか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００２１】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。更に、記録担体は、予め正当なユーザが設定したパスワードをリストに登録しておくことにより、当該記録担体が、正当な情報端末に装着されたまま紛失した場合であっても、パスワード認証により不正なユーザが、記憶領域のデータにアクセスするのを防止することができる。
【００２２】
ここで、前記記録担体は、更に、装着された１の情報端末から、前記アクセス条件を受け付けるアクセス条件受付手段と、前記情報端末が、正当な情報端末であると認証された場合に、前記アクセス条件を、前記アクセス条件記憶手段に登録するアクセス条件登録手段とを備えるように構成してもよい。
この構成によると、正当な情報端末は、自機が記憶領域にアクセス可能な機器であり、他機が記憶領域にアクセス不可能な機器であることを示すアクセス条件を登録することにより、当該記録担体が他の情報端末に装着された場合に、記憶領域のデータを保護することができる。
【００２３】
更に、正当な情報端末は、自機以外にも、同一ユーザが使用する他の情報端末も記憶領域にアクセス可能な機器として登録することにより、当該記録担体を、同一ユーザが使用する他の情報端末に差し替えて、使用することもできる。
また、上記目的を達成するために、前記記録担体は、更に、ネットワークを介して接続されたアクセス条件管理サーバと通信を行う通信手段を備え、前記取得手段は、前記通信手段を介して、前記アクセス条件管理サーバから、前記アクセス条件を取得するように構成してもよい。
【００２４】
即ち、この構成によると、アクセス条件を記憶しているのは、記録担体自身ではなく、アクセス条件管理サーバである。これにより、記録担体を情報端末に装着したまま紛失した場合であっても、アクセス条件管理サーバが記憶しているアクセス条件を、装着されている情報端末がアクセスできないように書き換えることができる。
ここで、前記取得手段は、前記通信手段を介して、前記機器情報管理装置から、前記アクセス条件と共に、前記アクセス条件に基づき生成された署名データを取得し、前記記録担体は、更に、前記機器情報管理装置に係る検証鍵を用いて前記署名データを検証し、前記アクセス条件の改ざんの有無を検出する改ざん検出手段と、前記アクセス条件の改ざんが検出された場合に、前記判断手段による処理を中止する中止手段とを備えるように構成してもよい。
【００２５】
この構成によると、記録担体は、確かにアクセス条件管理サーバから送信されたアクセス条件を用いて、アクセス要求を満たすか否か判断することができる。
また、本発明は、記録担体と情報端末とから構成されるデータ保護システムであって、前記記録担体は、記憶手段と、当該記録担体が装着されている情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、前記記憶手段へのアクセス可否を示すアクセス条件を記憶するアクセス条件記憶手段と、前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備え、前記情報端末は、前記記録担体を装着する記録担体インターフェースと、前記記録担体の前記記憶手段へのアクセス要求を生成するアクセス要求生成手段と、生成した前記アクセス要求を、前記記録担体へ出力するアクセス要求出力手段とを備えることを特徴とする。
【００２６】
この構成によると、記録担体は、アクセス条件を内部に記憶しているので、当該記録担体が接続された情報端末がオフラインで利用可能な端末であっても、外部から判断の基準となるアクセス条件を取得する必要が無く、情報端末の置かれた環境によらず、アクセス要求がアクセス条件を満たすか否か判断することができるので、情報端末がオフラインで利用可能な端末であっても、アクセス条件を満たさない場合には、情報端末からの要求に反し、記憶領域へのアクセスを拒否することができる。
【００２７】
ここで、前記データ保護システムは、更に、前記記録担体が装着された情報端末を介して、前記アクセス条件を、前記記録担体の前記アクセス条件記憶手段に登録するアクセス条件登録サーバを備えるように構成してもよい。
この構成によると、記録担体が、アクセス条件登録サーバと接続可能な端末に装着されていれば、アクセス条件を記録担体に登録することができる。
【００２８】
また、本発明は、記録担体と、情報端末と、ネットワークを介して、前記情報端末を接続されたアクセス条件管理サーバとから構成されるデータ保護システムであって、前記記録担体は、記憶手段と、当該記録担体が装着されている情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、前記記憶手段へのアクセス可否を示すアクセス条件を取得するアクセス条件取得手段と、前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備え、前記情報端末は、前記記録担体を装着する記録担体インターフェースと、前記記録担体の前記記憶手段へのアクセス要求を生成するアクセス要求生成手段と、生成した前記アクセス要求を、前記記録担体へ出力するアクセス要求出力手段とを備え、前記アクセス条件管理サーバは、前記アクセス条件を記憶するアクセス条件記憶手段と、前記情報端末を介して、前記記録担体へ前記アクセス条件を送信するアクセス条件送信手段とを備える。
【００２９】
即ち、この構成によると、アクセス条件を記憶しているのは、記録担体自身ではなく、アクセス条件管理サーバである。これにより、記録担体を情報端末に装着したまま紛失した場合であっても、アクセス条件管理サーバが記憶しているアクセス条件を、装着されている情報端末がアクセスできないように書き換えることができる。
【発明を実施するための最良の形態】
【００３０】
≪第１実施形態≫
ここでは、本発明に係る第１の実施形態として、データ保護システム１について説明する。
図１は、データ保護システム１の構成を示す。同図に示す様に、データ保護システム１は、記録担体１０、携帯電話機２０、ＰＤＡ３０、ＰＣ４０、及び携帯電話機５０から構成される。
【００３１】
記録担体１０は、マイクロプロセッサを搭載した可搬媒体であって、携帯電話機、ＰＤＡ、ＰＣ、デジタルカメラ、カード用リーダライタ等のカードスロットに装着して用いられるメモリカードやＩＣカード等を想定している。
メモリカードの一例は、ＳＤ（Secure Digital）メモリカードである。ＳＤメモリカードは、著作権保護機能「ＣＰＲＭ（Content Protection for Recordable Media）」を内蔵しており、音楽や映像などのコンテンツを記憶するのに適する。
【００３２】
ＩＣカードの一例は、ＳＩＭ（Subscriber Identity Module）カードである。ＳＩＭカードは、携帯電話会社により発行され、契約者情報を記録したＩＣカードであって、携帯電話機に装着して利用者の識別に用いられる。ＳＩＭカードを差し替えることにより、複数の携帯電話機を、同じ契約者扱いで利用することができる。
携帯電話機２０、ＰＤＡ３０、ＰＣ４０、及び携帯電話機５０は、共にマイクロプロセッサを搭載したコンピュータシステムである。本明細書においては、携帯電話機、ＰＤＡ、及びＰＣを、「情報端末」と総称することがある。
【００３３】
上記の情報端末は、カードスロットを備えており、カードスロットに記録担体１０を装着した状態で、記録担体１０との間で情報の入出力を行う。各情報端末には、固有の識別子である端末ＩＤが割り当てられている。後で詳しく述べるが、携帯電話機２０には、端末ＩＤとして「ＩＤ＿Ａ」、ＰＤＡ３０には、「ＩＤ＿Ｂ」、ＰＣ４０には「ＩＤ＿Ｃ」、携帯電話機５０には、「ＩＤ＿Ｅ」が割り当てられているものとする。
【００３４】
なお、本実施形態では、記録担体１０は、携帯電話機２０のカードスロットに予め装着された状態で携帯電話機２０のユーザに販売されたものとする。また、携帯電話機２０、ＰＤＡ３０及びＰＣ４０は、同一のユーザが所有する情報端末であり、携帯電話機５０は、他の人物が所有する情報端末であるとする。
＜構成＞
１．記録担体１０
図２は、記録担体１０の構成を示す。同図に示す様に、記録担体１０は、端末Ｉ／Ｆ１１、データ記憶部１２、機器情報登録部１４、機器情報記憶部１５、及び制御部１６から構成される。なお、データ記憶部１２は、アクセス制限領域１３を含む。
【００３５】
（１）端末Ｉ／Ｆ１１
端末Ｉ／Ｆ１１は、コネクタピン、インターフェースドライバなどから成り、記録担体１０が、携帯電話機２０、ＰＤＡ３０、ＰＣ４０及び携帯電話機５０のカードスロットに装着された状態で、各情報端末との間で、各種情報の受け渡しをする。
具体例として、端末Ｉ／Ｆ１１は、情報端末から受け取るアクセス要求を制御部１６へ出力し、情報端末から受け取る登録要求データ、削除要求データを機器情報登録部１４へ出力する。
【００３６】
（２）データ記憶部１２
データ記憶部１２は、具体的には、フラッシュメモリであって、プログラムやデータを記憶する。データ記憶部１２は、制御部１６からアクセス可能であって、制御部１６から受け取る情報を内部に記憶したり、制御部１６からの要求に従い、記憶している情報を制御部１６へ出力したりする。なお、データ記憶部１２は、機密性の高いデータ等を記憶するための領域であるアクセス制限領域１３を含む。
【００３７】
（３）アクセス制限領域１３
アクセス制限領域１３は、データ記憶部１２の一部であって、図３に示す様に、ブロック１、ブロック２、及びブロック３の３つのメモリブロックから構成される。これらのメモリブロックは、メモリ領域が物理的に分割されている必要はなく、論理的に分割されていればよい。
【００３８】
ブロック１は、アプリケーションプログラム１（ＡＰＰ１）、アプリケーションプログラム２（ＡＰＰ２）、アドレス帳データ、及び保護メールデータを記憶している。ブロック２は、スケジュールデータ、画像データなどを記憶している。ブロック３は、アプリケーションプログラム３（ＡＰＰ３）などを記憶している。
各ブロックに記憶されているこれらのプログラム及びデータは、制御部１６により読み出し、及び書き込みが行われる。
【００３９】
（４）機器情報登録部１４
機器情報登録部１４は、マイクロプロセッサなどから成り、アクセス制限領域１３にアクセスすることが可能な情報端末に係るアクセス可能機器情報を、携帯電話機２０から受け取る登録要求に基づき機器情報記憶部１５に登録する。また、機器情報登録部１４は、既に機器情報記憶部１５に登録されているアクセス可能機器情報を、携帯電話機２０から受け取る削除要求に基づき削除する。
【００４０】
図４は、機器情報登録部１４の構成を機能的に示す機能ブロック図である。同図に示す様に、機器情報登録部１４は、処理開始要求受付部１０１、乱数生成部１０２、レスポンスデータ検査部１０３、公開鍵取得部１０４、ランダム鍵生成部１０５、暗号部１０６、処理データ受付部１０７、署名検査部１０８、パスワード検査部１０９、復号部１１０、及びデータ制御部１１１から構成される。
【００４１】
（ａ）処理開始要求受付部１０１は、端末Ｉ／Ｆ１１を介して、携帯電話機２０から、処理開始要求を受け付ける。処理開始要求は、アクセス可能機器情報の登録処理又は削除処理の開始を示す情報である。処理開始要求受付部１０１は、処理開始要求を受け付けると、乱数生成部１０２に対して、乱数を生成する指示を出力する。
（ｂ）乱数生成部１０２は、処理開始要求受付部１０１から乱数を生成する指示を受け取ると、乱数ｒを生成する。乱数ｒは、携帯電話機２０との間でチャレンジ‐レスポンス認証を行うためのチャレンジデータである。乱数生成部１０２は、生成した乱数ｒを、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力すると共に、レスポンスデータ検査部１０３ヘ出力する。
【００４２】
（ｃ）レスポンスデータ検査部１０３は、予め、共通鍵Ｋｃ及び暗号アルゴリズムＥ1を、携帯電話機２０と共有している。レスポンスデータ検査部１０３は、端末Ｉ／Ｆ１１を介して携帯電話機２０から受け取るレスポンスデータを検査し、携帯電話機２０が正当な端末であるか否か判断する。
具体的には、レスポンスデータ検査部１０３は、乱数生成部１０２から、チャレンジデータである乱数ｒを受け取り、受け取った乱数ｒに、共通鍵Ｋｃを暗号鍵として用い、暗号アルゴリズムＥ1を施して、暗号化データＣ1＝Ｅ1(Ｋｃ，ｒ)を生成する。一方、レスポンスデータ検査部１０３は、端末Ｉ／Ｆ１１を介して、携帯電話機２０からレスポンスデータＣ1´＝Ｅ1(Ｋｃ，ｒ)を受け取る。レスポンスデータ検査部１０３は、暗号化データＣ1とレスポンスデータＣ1´とを比較し、両者が一致する場合に、携帯電話機２０は正当な端末であると判断し、ランダム鍵生成部１０５に対して、ランダム鍵の生成を指示する。レスポンスデータ検査部１０３は、Ｃ1とＣ1´とが一致しない場合に、携帯電話機２０は不正な端末であると判断し、「認証ＮＧ」を示すエラーメッセージを、端末Ｉ／Ｆ１１を介して、携帯電話機２０に通知する。なお、暗号アルゴリズムＥ1については限定しないが、一例は、ＤＥＳ（Data Encryption Standard）である。
【００４３】
（ｄ）公開鍵取得部１０４は、携帯電話機２０の公開鍵ＰＫ20を取得して、保持している。ここで、公開鍵ＰＫ20の取得方法は限定しない。予め、公開鍵取得部１０４に書き込まれていてもよいし、ユーザの操作等により、端末Ｉ／Ｆ１１を介して携帯電話機２０から取得してもよい。公開鍵取得部１０４は、暗号部１０６からの指示を受け、公開鍵ＰＫ20を、暗号部１０６に出力する。
【００４４】
（ｅ）ランダム鍵生成部１０５は、レスポンスデータ検査部１０３から、ランダム鍵生成の指示を受け取ると、ランダム鍵Ｋｒを生成する。ランダム鍵生成部１０５は、生成したランダム鍵Ｋｒを、暗号部１０６及び復号部１１０に出力する。
なお、本明細書では、ランダム鍵生成部１０５で生成されるランダム鍵を全て「Ｋｒ」と表記するが、実際のランダム鍵Ｋｒは、レスポンスデータ検査部１０３から生成指示を受けると、その都度ランダムに生成される鍵データである。
【００４５】
（ｆ）暗号部１０６は、ランダム鍵生成部１０５からランダム鍵Ｋｒを受け取る。暗号部１０６は、ランダム鍵Ｋｒを受け取ると、公開鍵取得部１０４に対して、公開鍵ＰＫ20の出力を指示し、公開鍵取得部１０４から、公開鍵ＰＫ20を受け取る。
暗号部１０６は、公開鍵ＰＫ20を暗号鍵として用い、ランダム鍵Ｋｒに暗号アルゴリズムＥ2を施して、暗号化ランダム鍵Ｃ2＝Ｅ2(ＰＫ20，Ｋｒ)を生成する。暗号部１０６は、生成した暗号化ランダム鍵Ｃ2＝Ｅ2(ＰＫ20，Ｋｒ)を、端末Ｉ／Ｆ１１を介して、携帯電話機２０へ出力する。なお、暗号アルゴリズムＥ2については限定しないが、一例は、ＲＳＡである。
【００４６】
（ｇ）処理データ受付部１０７は、端末Ｉ／Ｆ１１を介して、携帯電話機２０から処理データを受け取り、受け取った処理データを署名検査部１０８へ出力する。
処理データ受付部１０７が携帯電話機２０から受け取る処理データは、アクセス可能機器情報の登録処理を示す登録要求データ、及び、アクセス可能機器情報の削除処理を示す削除要求データである。
【００４７】
登録要求データの一例を、図５（ａ）に示す。登録要求データ１２０は、登録コマンド１２１、暗号化登録ＩＤリスト１２２、パスワード１２３、及び署名データ１２４から構成される。
登録コマンド１２１は、後述するデータ制御部１１１に対して、登録処理を指示するコマンドであって、ここでは具体例として、「/touroku」とする。
【００４８】
暗号化登録ＩＤリスト１２２は、図５（ｂ）に示した登録ＩＤリスト１２５に、ランダム鍵Ｋｒを暗号鍵として用い、暗号アルゴリズムＥ3を施して生成された暗号化データであり、ここでは、Ｅ3(Ｋｒ，登録ＩＤリスト)と表記する。
登録ＩＤリスト１２５は、図５（ｂ）に示す様に、登録情報１２６及び登録情報１２７から成り、各登録情報は、端末ＩＤ、アクセス可能回数、アクセス可能期間、アクセス可能領域、及びアクセス可能アプリから成る。
【００４９】
パスワード１２３は、携帯電話機２０の操作者により入力されたデータである。
署名データ１２４は、登録コマンド１２１、暗号化登録ＩＤリスト１２２．及びパスワード１２３に対して、署名鍵を用いてデジタル署名を施し生成された署名データである。なお、署名鍵は、携帯電話機２０が保持するデジタル署名用の鍵データである。
登録要求データ１２０は、携帯電話機２０の制御部２３により生成されるデータである。そのため、登録要求データ１２０及び登録ＩＤリスト１２５については、後の携帯電話機２０の説明で詳しく述べる。
【００５０】
削除要求データの一例を、図５（ｃ）に示す。削除要求データ１３０は、削除コマンド１３１、暗号化削除ＩＤリスト１３２、パスワード１３３、及び署名データ１３４から構成される。
削除コマンド１３１は、後述するデータ制御部１１１に対して、削除処理を指示するコマンドであって、ここでは具体例として、「/sakujo」とする。
【００５１】
暗号化削除ＩＤリスト１３２は、図５（ｄ）に示した削除ＩＤリスト１３５に、ランダム鍵Ｋｒを暗号鍵として用い、暗号アルゴリズムＥ3を施して生成された暗号化データであり、ここでは、Ｅ3(Ｋｒ，削除ＩＤリスト)と表記する。削除ＩＤリスト１３５は、端末ＩＤ「ＩＤ＿Ｃ」及び「ＩＤ＿Ｄ」から成る。
パスワード１３３は、携帯電話機２０の操作者により入力されたデータである。
【００５２】
署名データ１３４は、削除コマンド１３１、暗号化削除ＩＤリスト１３２、及びパスワード１３３に対して、署名鍵を用いてデジタル署名を施し生成された署名データである。
ここで、ランダム鍵Ｋｒは、先ほど述べた様に、ランダム鍵生成部１０５において、処理ごとに生成されるランダムな鍵データであるので、暗号化登録ＩＤリスト１２２の暗号化に用いられたランダム鍵と、暗号化削除ＩＤリスト１３２の暗号化に用いられたランダム鍵とは、異なる鍵データである。
【００５３】
なお、削除要求データ１３０は、携帯電話機２０の制御部２３により生成されるデータである。そのため、削除要求データ１３０については、後の携帯電話機２０の説明で詳しく述べる。
（ｈ）署名検査部１０８は、予め内部に検証鍵を保持している。検証鍵は、携帯電話機２０が保持している署名鍵に対応しており、携帯電話機２０から出力される署名データを検証するための鍵データである。
【００５４】
署名検査部１０８は、処理データ受付部１０７から処理データを受け取り、受け取った処理データに含まれる署名データの正当性を検査し、当該処理データが、確かに携帯電話機２０により生成されたデータであるか否かを判断する。
署名データの正当性が確認された場合、署名検査部１０８は、当該処理データをパスワード検査部１０９へ出力する。一方、署名データの正当性が確認されなかった場合、署名検査部１０８は、端末Ｉ／Ｆ１１を介して、その旨を携帯電話機２０に通知し、当該処理データを破棄する。
【００５５】
具体例として、処理データ受付部１０７から受け取る処理データが、図５（ａ）に示した登録要求データ１２０とすると、署名検査部１０８は、検証鍵を用いて署名データ「Ｓｉｇ＿Ａ」の正当性を検査する。署名データ「Ｓｉｇ＿Ａ」の正当性が確認された場合、署名検査部１０８は、登録要求データ１２０を、パスワード検査部１０９へ出力する。また、処理データ受付部１０７から受け取る処理データが、図５（ｃ）に示した削除要求データ１３０とすると、署名検査部１０８は、検証鍵を用いて署名データ「Ｓｉｇ＿Ａ´」の正当性を検査する。「Ｓｉｇ＿Ａ´」の正当性が確認された場合、署名検査部１０８は、削除要求データ１３０を、パスワード検査部１０９へ出力する。
【００５６】
なお、署名検査部１０８で用いられる署名検証のアルゴリズムは、公開鍵暗号方式を用いたデジタル署名方式であり、公知技術で実現可能であるため説明を省略する。
（ｉ）パスワード検査部１０９は、署名検査部１０８から、処理データを受け取る。また、パスワード検査部１０９は、機器情報記憶部１５から、正しいパスワードを読み出し、当該処理データに含まれるパスワードが、正しいパスワードと一致するか否か判断する。
【００５７】
処理データに含まれるパスワード、即ち、携帯電話機２０の操作者により入力されたパスワードが正しいパスワードと一致する場合、パスワード検査部１０９は、当該処理データを復号部１１０へ出力する。処理データに含まれるパスワードが正しいパスワードと一致しない場合、パスワード検査部１０９は、端末Ｉ／Ｆ１１を介して、その旨を携帯電話機２０に通知し、当該処理データを破棄する。
【００５８】
具体例として、署名検査部１０８から受け取る処理データが、図５（ａ）に示した登録要求データ１２０とすると、パスワード検査部１０９は、登録要求データ１２０から「ＰＷ＿Ａ」を抽出し、「ＰＷ＿Ａ」が正しいパスワードと一致するか否か判断する。「ＰＷ＿Ａ」が正しいパスワードと一致する場合に、パスワード検査部１０９は、登録要求データ１２０を復号部１１０へ出力する。また、署名検査部１０８から受け取る処理データが、図５（ｃ）に示した削除要求データ１３０とすると、パスワード検査部１０９は、削除要求データ１３０から「ＰＷ＿Ａ´」を抽出し、「ＰＷ＿Ａ´」が正しいパスワードと一致するか否か判断する。「ＰＷ＿Ａ´」が正しいパスワードと一致する場合に、パスワード検査部１０９は、削除要求データ１３０を復号部１１０へ出力する。
【００５９】
（ｊ）復号部１１０は、パスワード検査部１０９から処理データを受け取り、更に、ランダム鍵生成部１０５からランダム鍵Ｋｒを受け取る。
復号部１１０は、処理データから、暗号化登録ＩＤリスト、又は、暗号化削除ＩＤリストを抽出し、ランダム鍵生成部１０５から受け取ったランダム鍵Ｋｒを復号鍵として用い、復号アルゴリズムＤ3を施して、登録ＩＤリスト、又は、削除ＩＤリストを復号する。ここで、復号アルゴリズムＤ3は、暗号アルゴリズムＥ3により暗号化されたデータを復号するアルゴリズムである。
【００６０】
復号部１１０は、登録コマンド及び復号した登録ＩＤリスト、又は、削除コマンド及び復号した削除ＩＤリストをデータ制御部１１１へ出力する。
具体例として、復号部１１０は、パスワード検査部１０９から登録要求データ１２０を受け取ると、登録要求データ１２０から暗号化登録ＩＤリスト１２２を抽出し、抽出した暗号化登録ＩＤリストから、図５（ｂ）に示した登録ＩＤリスト１２５を復号する。復号部１１０は、登録コマンド１２１と登録ＩＤリスト１２５とを、データ制御部１１１へ出力する。
【００６１】
また、復号部１１０は、パスワード検査部１０９から削除要求データ１３０を受け取ると、削除要求データ１３０から暗号化削除ＩＤリスト１３２を抽出し、抽出した暗号化削除ＩＤリスト１３２から、図５（ｄ）に示した削除ＩＤリスト１３５を復号する。復号部１１０は、削除コマンド１３１と削除ＩＤリスト１３５とを、データ制御部１１１へ出力する。
【００６２】
（ｋ）データ制御部１１１は、アクセス可能機器情報の登録及び削除を行う。
より詳しくは、データ制御部１１１は、復号部１１０から、登録コマンドと登録ＩＤリストとを受け取り、登録ＩＤリストに含まれる登録情報が、機器情報記憶部１５に記憶されているアクセス可能機器テーブル１４０に、未だ登録されていない場合に、当該登録情報を、アクセス可能機器情報として、アクセス可能機器テーブル１４０に登録する。
【００６３】
また、データ制御部１１１は、復号部１１０から、削除コマンドと削除ＩＤリストとを受け取り、削除ＩＤリストに含まれる端末ＩＤが、アクセス可能機器テーブル１４０に既に登録されている場合に、当該端末ＩＤを含むアクセス可能機器情報を、アクセス可能機器テーブル１４０から削除する。
なお、アクセス可能機器テーブル１４０については後述する。
【００６４】
（５）機器情報記憶部１５
機器情報記憶部１５は、パスワードと、アクセス可能機器テーブル１４０とを記憶している。
機器情報記憶部１５が記憶しているパスワードは、記録担体１０の製造時又は出荷時に、固有のパスワードが設定されて、機器情報記憶部１５に書き込まれるものとする。
【００６５】
なお、機器情報記憶部１５に記憶されているパスワードは、記録担体１０を購入したユーザのみが知っているものとする。例えば、パッケージの箱を開けて初めて見える箇所に、機器情報記憶部１５に記憶されているパスワードが書かれており、ユーザは、記録担体１０の購入後にパッケージの箱を開けて初めてパスワードを知ることができる仕組みになっていてもよい。
【００６６】
図６は、アクセス可能機器テーブル１４０のデータ構成を示している。アクセス可能機器テーブル１４０は、アクセス可能機器情報１４１．１４２、及び１４３から成り、各アクセス可能機器情報は、端末ＩＤ、アクセス可能回数、アクセス可能期間、アクセス可能領域及びアクセス可能アプリから成る。
各アクセス可能機器情報に含まれる端末ＩＤは、データ記憶部１２内のアクセス制限領域１３にアクセスすることが可能な機器を一意に識別する識別子である。アクセス可能回数は、対応する機器が、アクセス制限領域１３にアクセスすることが可能な回数である。アクセス可能期間は、対応する機器が、アクセス制限領域１３にアクセスすることが可能な期間である。アクセス可能領域は、対応する機器がアクセスすることが可能なアクセス制限領域１３内のメモリブロックである。アクセス可能アプリは、対応する機器がアクセスすることが可能なアプリケーションプログラムである。
【００６７】
図６によると、アクセス制限領域１３にアクセスすることが可能な機器は、端末ＩＤとして「ＩＤ＿Ａ」を有する機器と、端末ＩＤとして「ＩＤ＿Ｂ」を有する機器と、端末ＩＤとして「ＩＤ＿Ｃ」を有する機器とである。
アクセス可能機器情報１４１によると、アクセス可能回数、アクセス可能期間、アクセス可能領域及びアクセス可能アプリ共に「制限なし」のため、端末ＩＤ「ＩＤ＿Ａ」を有する機器（携帯電話機２０）は、無制限にアクセス制限領域１３にアクセスすることが可能である。
【００６８】
アクセス可能機器情報１４２によると、アクセス可能回数が「３」、アクセス可能期間が「２００４，８，１〜２００５，７，３１」、アクセス可能領域が「ブロック２」、アクセス可能アプリが「‐」であるので、端末ＩＤ「ＩＤ＿Ｂ」を有する機器（ＰＤＡ３０）は、２００４年８月１日から２００５年７月３１日までの間に、ブロック２の領域に限り３回までアクセスすることが可能である。
【００６９】
アクセス可能機器情報１４３によると、アクセス可能回数が「５」、アクセス可能期間が「２００４，８，１〜２００６，７，３１」、アクセス可能領域が「ブロック１、ブロック２」、アクセス可能アプリが「ＡＰＰ１」であるので、端末ＩＤ「ＩＤ＿Ｃ」を有する機器（ＰＣ４０）は、２００４年８月１日から２００６年７月３１日までの間に、ブロック１及びブロック２の領域に限り５回までアクセスすることが可能である。但し、アクセス可能なアプリケーションプログラムは、アプリケーションプログラム１（ＡＰＰ１）のみである。
【００７０】
各アクセス可能機器情報は、機器情報登録部１４によりアクセス可能機器テーブル１４０に登録又は削除される。また、各アクセス可能機器情報は、アクセス要求に対する、制御部１６によるアクセス可否判断に用いられる。
（６）制御部１６
制御部１６は、マイクロプロセッサなどから成り、端末Ｉ／Ｆ１１から、アクセス制限領域１３へのアクセス要求を受け取ると、機器情報記憶部１５に記憶されているアクセス可能機器テーブル１４０を参照し、当該アクセス要求に対して、アクセス制限領域１３へのアクセスを許可するか否か判断する。以下では、制御部１６について、詳細に説明する。
【００７１】
図７は、制御部１６の構成を機能的に示す機能ブロック図である。同図に示す様に、制御部１６は、処理開始要求受付部１５０、公開鍵取得部１５１、ランダム鍵生成部１５２、暗号部１５３、アクセス要求受付部１５４、復号部１５５、判断部１５６、日付管理部１５７、メモリアクセス部１５８、及びデータ入出力部１５９から構成される。
（ａ）処理開始要求受付部１５０は、端末Ｉ／Ｆ１１を介して、記録担体１０が装着されている情報端末から、処理開始要求を受け付ける。処理開始要求は、アクセス制限領域１３へのアクセス要求処理の開始を示す情報である。処理開始要求受付部１５０は、処理開始要求を受け付けると、公開鍵取得部１５１に対して前記情報端末の公開鍵を取得する指示を出力し、ランダム鍵生成部１５２に対して、ランダム鍵を生成する指示を出力する。
【００７２】
（ｂ）公開鍵取得部１５１は、処理開始要求受付部１５０から、公開鍵取得の指示を受けると、端末Ｉ／Ｆ１１を介して、記録担体１０が装着されている情報端末から、当該情報端末の公開鍵ＰＫNを取得する。ここで、Ｎ＝２０、３０、４０、又は５０であって、ＰＫ20は、携帯電話機２０の公開鍵、ＰＫ30は、ＰＤＡ３０の公開鍵、ＰＫ40は、ＰＣ４０の公開鍵、ＰＫ50は、携帯電話機５０の公開鍵である。例えば、記録担体１０が携帯電話機２０のカードスロットに装着されている場合、公開鍵取得部１５１は、携帯電話機２０から、公開鍵ＰＫ20を取得する。公開鍵取得部１５１は、取得した公開鍵ＰＫNを暗号部１５３へ出力する。
【００７３】
（ｃ）ランダム鍵生成部１５２は、処理開始要求受付部１５０から、ランダム鍵生成の指示を受けると、ランダム鍵Ｋｒを生成する。ランダム鍵生成部１５２は、生成したランダム鍵Ｋｒを、暗号部１５３及び復号部１５５に出力する。
（ｄ）暗号部１５３は、公開鍵取得部１５１から、公開鍵ＰＫNを受け取り、ランダム鍵生成部１５２からランダム鍵Ｋｒを受け取る。暗号部１５３は、公開鍵ＰＫNを暗号鍵として用い、ランダム鍵Ｋｒに暗号アルゴリズムＥ4を施して、暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫN，Ｋｒ)を生成する。暗号部１５３は、生成した暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫN，Ｋｒ)を、端末Ｉ／Ｆ１１を介して、情報端末へ出力する。例えば、記録担体１０が、携帯電話機２０のカードスロットに装着されている場合、暗号部１５３は、暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫ20，Ｋｒ)を生成し、生成した暗号化ランダム鍵Ｃ4を、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力する。
【００７４】
なお、暗号アルゴリズムＥ4については限定しないが、一例は、ＲＳＡである。
（ｅ）アクセス要求受付部１５４は、端末Ｉ／Ｆ１１を介して、情報端末からアクセス要求を受け取り、受け取ったアクセス要求を、復号部１５５へ出力する。
アクセス要求受付部１５４が携帯電話機２０から受け取るアクセス要求の一例を、図８（ａ）に示す。アクセス要求１６０は、アクセスコマンド１６１、暗号化端末ＩＤ１６２及び要求データ識別情報１６３から成る。
【００７５】
同様に、図８（ｂ）に示すアクセス要求１７０は、ＰＤＡ３０から受け取るアクセス要求の一例であり、図８（ｃ）に示すアクセス要求１８０は、ＰＣ４０から受け取るアクセス要求の一例であり、図８（ｄ）に示すアクセス要求１９０は、携帯電話機５０から受け取るアクセス要求の一例である。
アクセス要求は、各情報端末により生成されるデータである。そのため、アクセス要求１６０、１７０、１８０、及び１９０の詳細は後述する。
【００７６】
（ｆ）復号部１５５は、ランダム鍵生成部１５２からランダム鍵Ｋｒを受け取り、更に、アクセス要求受付部１５４からアクセス要求を受け取る。復号部１５５は、アクセス要求から暗号化端末ＩＤを抽出し、暗号化端末ＩＤに、ランダム鍵Ｋｒを復号鍵として、復号アルゴリズムＤ5を施し、端末ＩＤを復号する。ここで、復号アルゴリズムＤ5は、暗号アルゴリズムＥ5により暗号化されたデータを復号するアルゴリズムである。復号部１５５は、アクセスコマンド、復号した端末ＩＤ、及び要求データ識別情報を、判断部１５６へ出力する。
【００７７】
一例として、復号部１５５は、アクセス要求受付部１５４から、図８（ａ）に示したアクセス要求１６０を受け取ると、復号部１５５は、アクセス要求１６０から暗号化端末ＩＤ１６２「Ｅ5(Ｋｒ，ＩＤ＿Ａ)」を抽出し、抽出した暗号化端末ＩＤ１６２に、ランダム鍵Ｋｒを復号鍵として、復号アルゴリズムＤ5を施し、「ＩＤ＿Ａ」を復号する。復号部１５５は、アクセスコマンド１６１「/access」、端末ＩＤ「ＩＤ＿Ａ」、及び要求データ識別情報１６３「アドレス帳」を、判断部１５６へ出力する。
【００７８】
（ｇ）判断部１５６は、復号部１５５から、アクセスコマンド、端末ＩＤ、及び要求データ識別情報を受け取る。判断部１５６は、受け取った端末ＩＤを有する情報端末が、受け取った要求データ識別情報により識別されるデータにアクセス可能であるか否か判断する。
また、判断部１５６は、図９に示すテーブル２００を記憶している。テーブル２００は、アクセス制限領域１３の各メモリブロックのブロック番号と、各メモリブロックに記憶されているデータのデータ識別情報とを対応付けたものである。また、判断部１５６は、端末ＩＤとアクセス回数とを対応付けたテーブルを記憶している。アクセス回数は、アクセス制限領域１３にアクセスした回数を示している。なお、このテーブルは図示していない。
【００７９】
以下では、具体例を用いて、判断部１５６によるアクセス可否判断について説明する。
判断部１５６は、復号部１５５から、アクセスコマンド１６１「/access」、復号部１５５により復号された「ＩＤ＿Ａ」、及び、要求データ識別情報１６３「アドレス帳」を受け取る。判断部１５６は、機器情報記憶部１５に記憶されているアクセス可能機器テーブル１４０から、端末ＩＤ「ＩＤ＿Ａ」を含むアクセス可能機器情報１４１を読み出す。また、判断部１５６は、日付管理部１５７から、現在の日付を示す日付情報を読み出す。
【００８０】
判断部１５６は、アクセス可能機器情報１４１、日付情報、及び、テーブル２００から、端末ＩＤ「ＩＤ＿Ａ」を有する携帯電話機２０が、「アドレス帳」へのアクセスを許可されているか否か判断する。判断の処理は後で詳しく述べる。
ここでは、携帯電話機２０に対して、アドレス帳へのアクセスが許可されているので、判断部１５６は、メモリアクセス部１５８に対して、アクセス制限領域１３から、アドレス帳データ（図３）を読み出し、データ入出力部１５９を介して携帯電話機２０へ出力するように指示する。
【００８１】
ここで、仮に携帯電話機２０に対して、アドレス帳へのアクセスが許可されていない場合、判断部１５６は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、指定されたデータへのアクセスが許可されていない旨を示すエラーメッセージを出力する。
（ｈ）日付管理部１５７は、現在の日付を示す日付情報を管理している。
（ｉ）メモリアクセス部１５８は、データ識別情報と、当該データ識別情報により識別されるデータが記憶されているデータ記憶部１２における位置を示すメモリアドレスとを対応付けて記憶している。メモリアクセス部１５８は、判断部１５６からアクセスコマンドとデータ識別情報とを受け取り、受け取ったデータ識別情報と対応するメモリアドレスを求める。メモリアクセス部１５８は、求めたアドレスが示す位置からデータを読み出し、読み出したデータを、データ入出力部１５９へ出力する。
【００８２】
（ｊ）データ入出力部１５９は、端末Ｉ／Ｆ１１とメモリアクセス部１５８との間で情報のやり取りを行う。
２．携帯電話機２０
図１０は、携帯電話機２０の構成を機能的に示す機能ブロック図である。同図に示す様に、携帯電話機２０は、記録担体Ｉ／Ｆ２１、端末ＩＤ記憶部２２、制御部２３、外部入力Ｉ／Ｆ２４、及び表示部２５から構成される。
【００８３】
具体的に、携帯電話機２０は、アンテナ、無線部、マイク、スピーカなどを備え、無線電波を用いて通信を行う可搬型の電話機であるが、携帯電話機としての機能は、公知技術で実現可能であるため、図１０では、これらの構成要素の記載を省略している。
（１）記録担体Ｉ／Ｆ２１
記録担体Ｉ／Ｆ２１は、メモリカードスロット等から成り、メモリカードスロットに、記録担体１０が装着された状態で、記録担体１０との間で各種情報の受け渡しをする。
【００８４】
（２）端末ＩＤ記憶部２２
端末ＩＤ記憶部２２は、携帯電話機２０を一意に識別する端末ＩＤ「ＩＤ＿Ａ」を記憶している。具体的に、端末ＩＤは、シリアル番号や、電話番号などを用いる。
（３）制御部２３
制御部２３は、図１０に示す様に、処理開始要求生成部２１１、レスポンスデータ生成部２１２、復号部２１３、暗号部２１４、処理データ生成部２１５、署名生成部２１６、アクセス要求生成部２１７、及びデータ出力部２１８から構成される。
【００８５】
（ａ）処理開始要求生成部２１１は、外部入力Ｉ／Ｆ２４から、登録要求、削除要求、データアクセス要求を示す入力信号を受け取ると、処理開始要求を生成し、生成した処理開始要求を、記録担体Ｉ／Ｆ２１を介して記録担体１０へ出力する。
（ｂ）レスポンスデータ生成部２１２は、予め、共通鍵Ｋｃ及び暗号アルゴリズムＥ1を、記録担体１０と共有している。
【００８６】
レスポンスデータ生成部２１２は、記録担体１０から、記録担体Ｉ／Ｆ２１を介してチャレンジデータである乱数ｒを受け取り、受け取った乱数ｒに、共有鍵Ｋｃを暗号鍵として用い、暗号アルゴリズムＥ1を施して、レスポンスデータＣ1´＝Ｅ1(Ｋｃ，ｒ)を生成する。レスポンスデータ生成部２１２は、生成したレスポンスデータＣ1´を記録担体Ｉ／Ｆ２１を介して、記録担体１０へ出力する。
【００８７】
（ｃ）復号部２１３は、公開鍵ＰＫ20に対応する秘密鍵ＳＫ20を秘密に保持している。
復号部２１３は、登録処理及び削除処理において、記録担体１０から記録担体Ｉ／Ｆ２１を介して、暗号化ランダム鍵Ｃ2＝Ｅ2(ＰＫ20，Ｋｒ)を受け取る。暗号化ランダム鍵Ｃ2＝Ｅ2(ＰＫ20，Ｋｒ)は、ランダム鍵Ｋｒが、携帯電話機２０の公開鍵ＰＫ20で暗号化されたデータである。復号部２１３は、秘密鍵ＳＫ20を復号鍵として用い、復号アルゴリズムＤ2を施して、ランダム鍵Ｋｒを復号する。ここで、復号アルゴリズムＤ2は、暗号アルゴリズムＥ2を用いて暗号化されたデータを復号するアルゴリズムである。復号部２１３は、復号したランダム鍵Ｋｒを、暗号部２１４へ出力する。
【００８８】
また、復号部２１３は、アクセス要求処理において、記録担体１０から、記録担体Ｉ／Ｆ２１を介して、暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫ20，Ｋｒ)を受け取る。暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫ20，Ｋｒ)は、ランダム鍵Ｋｒが、携帯電話機２０の公開鍵ＰＫ20で暗号化されたデータである。復号部２１３は、秘密鍵ＳＫ20を復号鍵として用い、復号アルゴリズムＤ4を施して、ランダム鍵Ｋｒを復号する。ここで、復号アルゴリズムＤ4は、暗号アルゴリズムＥ4を用いて暗号化されたデータを復号するアルゴリズムである。復号部２１３は、復号したランダム鍵Ｋｒを、暗号部２１４へ出力する。
【００８９】
（ｄ）暗号部２１４は、登録処理において、処理データ生成部２１５から登録ＩＤリストを受け取り、復号部２１３からランダム鍵Ｋｒを受け取る。暗号部２１４は、ランダム鍵Ｋｒを暗号鍵として用い、登録ＩＤリストに暗号アルゴリズムＥ3を施して、暗号化登録ＩＤリストを生成する。具体例として、暗号部２１４は、処理データ生成部２１５から、図５（ｂ）に示した登録ＩＤリスト１２５を受け取り、登録ＩＤリスト１２５を暗号化して、暗号化登録ＩＤリストを生成する。暗号部２１４は、生成した暗号化登録ＩＤリストを、処理データ生成部２１５へ出力する。
【００９０】
暗号部２１４は、削除処理においても同様に、削除ＩＤリストを暗号化して、暗号化削除ＩＤリストを生成する。具体例として、暗号部２１４は、処理データ生成部２１５から、図５（ｄ）に示した削除ＩＤリスト１３５を受け取り、削除ＩＤリスト１３５を暗号化して、暗号化削除リストを生成する。暗号部２１４は、生成した暗号化削除ＩＤリストを、処理データ生成部２１５へ出力する。
【００９１】
また、アクセス要求処理において、暗号部２１４は、端末ＩＤ記憶部２２から、端末ＩＤ「ＩＤ＿Ａ」を読み出し、更に、復号部２１３から、ランダム鍵Ｋｒを受け取る。暗号部２１４は、ランダム鍵Ｋｒを暗号鍵として用い、「ＩＤ＿Ａ」に暗号アルゴリズムＥ5を施し、暗号化端末ＩＤ「Ｅ5(Ｋｒ，ＩＤ＿Ａ)」を生成し、生成した暗号化端末ＩＤを、アクセス要求生成部２１７へ出力する。
【００９２】
（ｅ）処理データ生成部２１５は、登録要求データ及び削除要求データを生成する。
（登録要求データ１２０生成）
ここでは、具体例として、図５（ａ）に示した登録要求データ１２０を生成する処理について説明する。
処理データ生成部２１５は、予め内部に登録要求データ制御情報を保持している。登録要求データ制御情報は、登録要求データの生成に用いられる情報であって、登録要求データ１２０の登録コマンド１２１「/touroku」のみが記述されており、暗号化登録ＩＤリスト１２２、パスワード１２３及び署名データ１２４が空欄になっている。
【００９３】
処理データ生成部２１５は、端末ＩＤ記憶部２２から自機の端末ＩＤ「ＩＤ＿Ａ」を受け取り、外部入力Ｉ／Ｆ２４を介して、自機のアクセス可能回数「制限なし」、アクセス可能期間「制限なし」、アクセス可能領域「制限なし」、及びアクセス可能アプリ「制限なし」の入力を受け付け、登録情報１２６を生成する。
また、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介して、ＰＤＡ３０の端末ＩＤ「ＩＤ＿Ｂ」、ＰＤＡ３０のアクセス可能回数「３」、アクセス可能期間「２００４，８，１〜２００５，７，３１」、及びアクセス可能領域「ブロック２」の入力を受け付ける。なお、ＰＤＡ３０のアクセス可能アプリについては入力を受け付けないか、又はアクセスの権利が無い旨の入力を受け付けることとする。処理データ生成部２１５は、受け付けた情報から登録情報１２７を生成する。
【００９４】
処理データ生成部２１５は、登録情報１２６及び登録情報１２７から、登録ＩＤリスト１２５を生成する。処理データ生成部２１５は、生成した登録ＩＤリスト１２５を暗号部２１４へ出力し、暗号部２１４から、登録ＩＤリスト１２５が暗号化されて生成された暗号化登録ＩＤリスト１２２を受け取る。
処理データ生成部２１５は、登録要求データ制御情報に、暗号化登録ＩＤリスト１２２を書き込む。
【００９５】
処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介してパスワード「ＰＷ＿Ａ」の入力を受け付け、受け付けたパスワード「ＰＷ＿Ａ」を登録要求データ制御情報に書き込む。
また、処理データ生成部２１５は、署名生成部２１６から署名データ「Ｓｉｇ＿Ａ」を受け取り、受け取った署名データ「Ｓｉｇ＿Ａ」を登録要求データ制御情報に書き込み、登録要求データ１２０を生成する。処理データ生成部２１５は、登録要求データ１２０を、記録担体Ｉ／Ｆ２１を介して記録担体１０へ出力する。
【００９６】
（削除要求データ１３０生成）
ここでは、具体例として、図５（ｃ）に示した削除要求データ１３０を生成する処理について説明する。
処理データ生成部２１５は、予め内部に削除要求データ制御情報を保持している。削除要求データ制御情報は、削除要求データの生成に用いられる情報であって、削除要求データ１３０の削除コマンド１３１「/sakujo」のみが記述されており、暗号化削除ＩＤリスト１３２、パスワード１３３及び署名データ１３４が空欄になっている。
【００９７】
処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から、端末ＩＤ「ＩＤ＿Ｃ」及び「ＩＤ＿Ｄ」の入力を受け付け、「ＩＤ＿Ｃ」及び「ＩＤ＿Ｄ」から成る削除ＩＤリスト１３５を生成する。処理データ生成部２１５は、削除ＩＤリスト１３５を、暗号部２１４へ出力し、暗号部２１４から、削除ＩＤリスト１３５が暗号化されて生成された暗号化削除ＩＤリスト１３２を受け取る。
【００９８】
処理データ生成部２１５は、削除要求データ制御情報に、暗号化削除ＩＤリスト１３２を書き込む。
処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介してパスワード「ＰＷ＿Ａ´」の入力を受け付け、受け付けたパスワード「ＰＷ＿Ａ´」を削除要求データ制御情報に書き込む。
【００９９】
また、処理データ生成部２１５は、署名生成部２１６から署名データ「Ｓｉｇ＿Ａ´」を受け取り、受け取った署名データ「Ｓｉｇ＿Ａ´」を削除要求データ制御情報に書き込み、削除要求データ１３０を生成する。処理データ生成部２１５は、削除要求データ１３０を、記録担体Ｉ／Ｆ２１を介して記録担体１０へ出力する。
（ｆ）署名生成部２１６は、予め内部に署名鍵を保持している。署名鍵は、記録担体１０が保持している検証鍵に対応している。署名生成部２１６は、処理データ生成部２１５により生成された登録コマンド、暗号化登録ＩＤリスト、及びパスワードに対し、署名鍵を用いて、署名データを生成する。署名生成部２１６は、生成した署名データを処理データ生成部２１５へ出力する。
【０１００】
なお、署名生成部２１６で用いられる署名生成のアルゴリズムは、記録担体１０の署名検査部１０８で用いられる署名検証のアルゴリズムに対応し、公開鍵暗号方式を用いたデジタル署名方式である。
（ｇ）アクセス要求生成部２１７は、予め内部にアクセス要求制御情報を保持している。アクセス要求制御情報は、アクセス要求の生成に用いられる情報であって、図８（ａ）に示したアクセス要求１６０のアクセスコマンド１６１「/access」のみが記述されており、暗号化端末ＩＤ１６２及び要求データ識別情報１６３が空欄になっている。
【０１０１】
以下では、具体例としてアクセス要求１６０の生成処理について説明する。アクセス要求生成部２１７は、暗号部２１４から、自機の端末ＩＤ「ＩＤ＿Ａ」が暗号化されて生成された暗号化端末ＩＤ１６２「Ｅ5＝(Ｋｒ，ＩＤ＿Ａ)」を受け取り、受け取った暗号化端末ＩＤ１６２を、アクセス要求制御情報に書き込む。また、アクセス要求生成部２１７は、外部入力Ｉ／Ｆ２４を介して、要求データ識別情報１６３「アドレス帳」を受け取り、受け取った要求データ識別情報１６３を、アクセス要求制御情報に書き込み、アクセス要求１６０を生成する。アクセス要求生成部２１７は、生成したアクセス要求１６０を、記録担体Ｉ／Ｆ２１を介して、記録担体１０へ出力する。
【０１０２】
（ｈ）データ出力部２１８は、記録担体Ｉ／Ｆ２１を介して記録担体１０から、データを受け取り、受け取ったデータを、表示部２５へ出力する。
（４）外部入力Ｉ／Ｆ２４
外部入力Ｉ／Ｆ２４は、具体的には、携帯電話機２０の操作面上に設けられた複数のキーである。外部入力Ｉ／Ｆ２４は、ユーザによりキーが押下されると、押下されたキーに対応する信号を生成し、生成した信号を制御部２３へ出力する。
【０１０３】
（５）表示部２５
表示部２５は、具体的にはディスプレィユニットであり、データ出力部２１８から出力されるデータをディスプレィに表示する。
３．ＰＤＡ３０
ＰＤＡ３０は、携帯電話機２０と同一のユーザが所有する情報端末であるとする。ＰＤＡ３０は、カードスロットを備え、カードスロットに記録担体１０を装着することができる。また、ＰＤＡ３０は、自機の端末ＩＤである「ＩＤ＿Ｂ」を予め内部に保持している。なお、ＰＤＡ３０は、携帯電話機２０と同様の構成を有しているため、ＰＤＡ３０の構成は図示していない。
【０１０４】
ＰＤＡ３０が、携帯電話機２０と異なる点は、記録担体１０に対して、機器情報の登録は行わず、アクセス要求のみ行う点である。ＰＤＡ３０は、アクセス要求処理において、自機の端末ＩＤ「ＩＤ＿Ｂ」を読み出し、読み出した端末ＩＤを暗号化して、暗号化端末ＩＤを生成する。ＰＤＡ３０は、生成した暗号化端末ＩＤを含むアクセス要求を、記録担体１０に出力する。
【０１０５】
図８（ｂ）に示したアクセス要求１７０は、ＰＤＡ３０により生成されるアクセス要求の一例である。同図に示す様に、アクセス要求１７０は、アクセスコマンド１７１「/access」、暗号化端末ＩＤ１７２「Ｅ5(Ｋｒ，ＩＤ＿Ｂ)」及び要求データ識別情報１７３「保護メールデータ」から成る。
４．ＰＣ４０
ＰＣ４０は、携帯電話機２０と同一のユーザが所有する情報端末であるとする。ＰＣ４０は、カードスロットを備え、カードスロットに記録担体１０を装着することができる。また、ＰＣ４０は、自機の端末ＩＤである「ＩＤ＿Ｃ」を予め内部に保持している。なお、ＰＣ４０は、携帯電話機２０と同様の構成を有しているため、ＰＣ４０の構成は図示していない。
【０１０６】
ＰＣ４０は、ＰＤＡ３０と同様に、記録担体１０に対して、機器情報の登録は行わず、アクセス要求のみ行う。ＰＣ４０は、アクセス要求処理において、自機の端末ＩＤ「ＩＤ＿Ｃ」を読み出し、読み出した端末ＩＤを暗号化して、暗号化端末ＩＤを生成する。ＰＣ４０は、生成した暗号化端末ＩＤを含むアクセス要求を、記録担体１０に出力する。
図８（ｃ）に示したアクセス要求１８０は、ＰＣ４０により生成されるアクセス要求の一例である。同図に示す様に、アクセス要求１８０は、アクセスコマンド１８１「/access」、暗号化端末ＩＤ１８２「Ｅ5(Ｋｒ，ＩＤ＿Ｃ)」及び要求データ識別情報１８３「ＡＰＰ２」から成る。
【０１０７】
５．携帯電話機５０
携帯電話機５０は、携帯電話機２０、ＰＤＡ３０及びＰＣ４０のユーザとは異なる人物が所有する情報端末であるとする。携帯電話機５０は、カードスロットを備え、カードスロットに記録担体１０を装着することができる。また、携帯電話機５０は、自機の端末ＩＤである「ＩＤ＿Ｅ」を予め内部に保持している。なお、携帯電話機５０は、携帯電話機２０と同様の構成を有しているため、携帯電話機５０の構成は図示していない。
【０１０８】
以下では、携帯電話機５０のユーザは、他人の所有物である記録担体１０を自機のカードスロットに装着して、記録担体１０に記録されているデータにアクセスしようとする場合を想定する。
携帯電話機５０は、自機の端末ＩＤ「ＩＤ＿Ｅ」を読み出し、読み出した端末ＩＤを暗号化して、暗号化端末ＩＤを生成する。携帯電話機５０は、生成した暗号化端末ＩＤを含むアクセス要求を、記録担体１０に出力する。
【０１０９】
図８（ｄ）に示したアクセス要求１９０は、携帯電話機５０により生成されるアクセス要求の一例である。同図に示す様に、アクセス要求１９０は、アクセスコマンド１９１「/access」、暗号化端末ＩＤ１９２「Ｅ5(Ｋｒ，ＩＤ＿Ｅ)」及び要求データ識別情報１９３「画像データ」から成る。
記録担体１０は、他人の機器である携帯電話機５０については、アクセス可能機器テーブル１４０に登録していない。そのため、携帯電話機５０は、記録担体１０にアクセス要求１９０を出力しても、記録担体１０により、データアクセスの権利が無いと判断され、記録担体１０のデータにアクセスすることは出来ない。
【０１１０】
＜動作＞
（全体）
図１１は、データ保護システム１全体の動作を示すフローチャートである。
要求が発生し（ステップＳ１）、要求に応じた処理が行われる。ステップＳ１で発生した要求が「登録」の場合、機器情報登録処理を行う（ステップＳ２）。要求が「削除」の場合、機器情報削除処理を行う（ステップＳ３）。要求が「アクセス」の場合、データアクセス処理を行う（ステップＳ４）。要求された処理が終了すると、ステップＳ１に戻る。
【０１１１】
（機器情報登録処理）
図１２（ａ）は、記録担体１０と携帯電話機２０とにおける、機器情報登録処理の動作を示すフローチャートである。なお、ここに示す動作は、図１１のステップＳ２の詳細である。
携帯電話機２０は、機器情報の登録を示す処理要求を受け付け（ステップＳ１０）、記録担体１０に対して、処理開始要求を出力する（ステップＳ１１）。記録担体１０が処理開始要求を受け取ると、記録担体１０と携帯電話機２０との間で、チャレンジ‐レスポンス認証を行い（ステップＳ１２）、その後、登録処理を行う（ステップＳ１３）。
【０１１２】
（機器情報削除処理）
図１２（ｂ）は、記録担体１０と携帯電話機２０とにおける、機器情報削除処理の動作を示すフローチャートである。なお、ここに示す動作は、図１１のステップＳ３の詳細である。
携帯電話機２０は、機器情報の削除を示す処理要求を受け付け（ステップＳ２０）、
記録担体１０に対して、処理開始要求を出力する（ステップＳ２１）。記録担体１０が処理開始要求を受け取ると、記録担体１０と携帯電話機２０との間で、チャレンジ‐レスポンス認証を行い（ステップＳ２２）、その後、削除処理を行う（ステップＳ２３）。
【０１１３】
（チャレンジ‐レスポンス認証）
図１３は、記録担体１０と携帯電話機２０とにおける、チャレンジ‐レスポンス認証の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ａ）のステップＳ１２、及び、図１２（ｂ）のステップＳ２２の詳細である。
先ず、記録担体１０の乱数生成部１０２は、処理開始要求受付部１０１から乱数生成の指示を受け、乱数ｒを生成する（ステップＳ１０１）。乱数生成部１０２は、生成した乱数ｒを、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力し、携帯電話機２０の記録担体Ｉ／Ｆ２１は、乱数ｒを受け取る（ステップＳ１０２）。
【０１１４】
また、乱数生成部１０２は、ステップＳ１０１で生成した乱数ｒをレスポンスデータ検査部１０３へ出力し、レスポンスデータ検査部１０３は、内部に保持する共通鍵
Ｋｃを暗号鍵として用い、乱数ｒに暗号アルゴリズムＥ1を施して、暗号化データＣ1を生成する（ステップＳ１０３）。
一方、携帯電話機２０の制御部２３は、記録担体Ｉ／Ｆ２１から乱数ｒを受け取り、内部に保持する共通鍵Ｋｃを暗号鍵として用い、乱数ｒに暗号アルゴリズムＥ1を施して、暗号化データＣ1´を生成する（ステップＳ１０４）。制御部２３は、生成した暗号化データＣ1´を、記録担体Ｉ／Ｆ２１を介して記録担体１０に出力し、記録担体１０の端末Ｉ／Ｆ１１は、暗号化データＣ1´を受け取る（ステップＳ１０５）。
【０１１５】
レスポンスデータ検査部１０３は、ステップＳ１０３で生成した暗号化データＣ1と、ステップＳ１０４で、携帯電話機２０により生成された暗号化データＣ1´とを比較する。Ｃ1とＣ1´とが一致する場合（ステップＳ１０６でＹＥＳ）、レスポンスデータ検査部１０３は、携帯電話機２０の認証に成功したと判断し（ステップＳ１０７）、その後、携帯電話機２０との間で、登録処理、又は削除処理を行う。
【０１１６】
Ｃ1とＣ1´とが一致しない場合（ステップＳ１０６でＮＯ）、レスポンスデータ検査部１０３は、携帯電話機２０の認証に失敗したと判断し（ステップＳ１０８）、認証に失敗した旨を示すエラーメッセージを、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力し、携帯電話機２０の記録担体Ｉ／Ｆ２１は、エラーメッセージを受け取る（ステップＳ１０９）。携帯電話機２０の制御部２３は、記録担体Ｉ／Ｆ２１からエラーメッセージを受け取り、表示部２５に表示する（ステップＳ１１０）。
【０１１７】
（登録）
（ａ）記録担体１０による登録処理
図１４及び図１５は、記録担体１０による登録処理の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ａ）のステップＳ１３の詳細である。
機器情報登録部１４の公開鍵取得部１０４は、携帯電話機２０の公開鍵ＰＫ20を取得する（ステップＳ２０２）。ランダム鍵生成部１０５は、レスポンスデータ検査部１０３から指示を受け、ランダム鍵Ｋｒを生成する（ステップＳ２０３）。
【０１１８】
暗号部１０６は、携帯電話機２０の公開鍵ＰＫ20と、ランダム鍵Ｋｒとを取得して、公開鍵ＰＫ20を暗号鍵として用い、ランダム鍵Ｋｒに暗号アルゴリズムＥ2を施して、暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を生成する（ステップＳ２０４）。暗号部１０６は、生成した暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力する（ステップＳ２０５）。
【０１１９】
次に、処理データ受付部１０７は、携帯電話機２０から登録要求データを受け付ける（ステップＳ２０６）。処理データ受付部１０７は、受け付けた登録要求データを署名検査部１０８へ出力する。
署名検査部１０８は、登録要求データを受け取り、受け取った登録要求データから、署名データを抽出する（ステップＳ２０７）。署名検査部１０８は、抽出した署名データに検証鍵及び署名検証アルゴリズムを用いて、署名データを検査する（ステップＳ２０８）。署名データの検証に失敗した場合（ステップＳ２０９でＮＯ）、署名検査部１０８は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、署名検証に失敗した旨のエラーメッセージを出力する（ステップＳ２１４）。署名データの検証に成功した場合（ステップＳ２０９でＹＥＳ）、署名検査部１０８は、登録要求データをパスワード検査部１０９へ出力する。
【０１２０】
パスワード検査部１０９は、登録要求データを受け取り、受け取った登録要求データから、パスワードを抽出する（ステップＳ２１０）。次に、パスワード検査部１０９は、機器情報記憶部１５に記憶されている正しいパスワードを読み出す（ステップＳ２１１）。パスワード検査部１０９はステップＳ２１０で抽出したパスワードと、ステップＳ２１１で読み出した正しいパスワードとが一致するか否か判断する。
【０１２１】
パスワードが一致しない場合（ステップＳ２１２でＮＯ）、パスワード検査部１０９は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、パスワード認証に失敗した旨のエラーメッセージを出力する（ステップＳ２１４）。パスワードが一致する場合（ステップＳ２１２でＹＥＳ）、パスワード検査部１０９は、登録要求データを、復号部１１０へ出力する。
【０１２２】
復号部１１０は、登録要求データを受け取り、受け取った登録要求データから暗号化登録ＩＤリストを抽出する（ステップＳ２１３）。復号部２１３は、ランダム鍵生成部１０５が生成したランダム鍵を用いて、暗号化登録ＩＤリストを復号し（ステップＳ２１５）、復号した登録ＩＤリストを、データ制御部１１１へ出力する。
データ制御部１１１は、ステップＳ２１６からステップＳ２２２まで登録情報毎に繰り返す。データ制御部１１１は、登録情報から端末ＩＤを抽出する（ステップＳ２１７）。データ制御部１１１は、ステップＳ２１７で抽出した端末ＩＤと、機器情報記憶部１５に記憶されているアクセス可能機器テーブルに登録されている全ての端末ＩＤとを比較する（ステップＳ２１８）。
【０１２３】
アクセス可能機器テーブルに、一致する端末ＩＤがある場合（ステップＳ２１９でＹＥＳ）、データ制御部１１１は、端末Ｉ／Ｆ１１を介して携帯電話機２０に、当該端末ＩＤにより識別される機器は既に登録済みである旨のエラーメッセージを出力する（ステップＳ２２０）。アクセス可能機器テーブルに、一致する端末ＩＤが無い場合（ステップＳ２１９でＮＯ）、データ制御部１１１は、機器情報記憶部１５に記憶されているアクセス可能機器テーブルに、登録情報を書き込む（ステップＳ２２１）。
【０１２４】
（ｂ）携帯電話機２０による登録処理
図１６及び図１７は、携帯電話機２０による登録処理の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ａ）のステップＳ１３の詳細である。
制御部２３の復号部２１３は、記録担体Ｉ／Ｆ２１を介して記録担体１０から、携帯電話機２０の公開鍵ＰＫ20を用いて暗号化された暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を取得する（ステップＳ２３３）。復号部２１３は、受け取った暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)から、ランダム鍵Ｋｒを復号する（ステップＳ２３４）。
【０１２５】
続いて、携帯電話機２０は、ステップＳ２３５からステップＳ２４２まで、登録する機器毎に繰り返す。
制御部２３の処理データ生成部２１５は、登録する機器の端末ＩＤを取得する（ステップＳ２３６）。ここで、登録する機器が自機（携帯電話機２０）の場合、処理データ生成部２１５は、端末ＩＤ記憶部２２から端末ＩＤを取得する。登録する機器が他機の場合、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から端末ＩＤを取得する。
【０１２６】
次に、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から受け取る入力信号に基づき、アクセス可能回数を設定する（ステップＳ２３７）。同様に、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から受け取る入力信号に基づき、アクセス可能期間を設定し（ステップＳ２３８）、アクセス可能領域を設定し（ステップＳ２３９）、アクセス可能アプリ（ステップＳ２４０）を設定する。処理データ生成部２１５は、ステップＳ２３６で取得した端末ＩＤ、及びステップＳ２３７からステップＳ２４０で設定したデータとを１レコードとする登録情報を生成する（ステップＳ２４１）。
【０１２７】
処理データ生成部２１５は、ステップＳ２３５からステップＳ２４２までの繰り返し処理で生成された全てのレコードからなる登録ＩＤリストを生成する（ステップＳ２４３）。
処理データ生成部２１５は、登録要求データ制御情報を読み出す（ステップＳ２４４）。次に、処理データ生成部２１５は、ステップＳ２４３で生成した登録ＩＤリストを、暗号部２１４へ出力する。暗号部２１４は、登録ＩＤリストを受け取り、受け取った登録ＩＤリストをステップＳ２３４で復号したランダム鍵Ｋｒを暗号鍵として用い、暗号化登録ＩＤリストＥ3(Ｋｒ，登録ＩＤリスト)を生成する（ステップＳ２４５）。
【０１２８】
次に、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介して、パスワードＰＷ＿Ａの入力を受け付ける（ステップＳ２４６）。また、署名生成部２１６は、登録コマンド、暗号化登録ＩＤリスト及びパスワードに基づき、署名データＳｉｇ＿Ａを生成する（ステップＳ２４７）。署名生成部２１６は、生成した署名データＳｉｇ＿Ａを、処理データ生成部２１５へ出力する。
【０１２９】
処理データ生成部２１５は、登録要求データ制御情報に、暗号化登録ＩＤリスト、パスワード、署名データを書き込み、登録要求データを生成する（ステップＳ２４８）。処理データ生成部２１５は、生成した登録要求データを、記録担体Ｉ／Ｆ２１を介して、記録担体１０へ出力する（ステップＳ２４９）。
その後、携帯電話機２０は、エラーメッセージを受け取る場合（ステップＳ２５０でＹＥＳ）、データ出力部２１８を介して表示部２５に、エラーメッセージを表示する（ステップＳ２５１）。携帯電話機２０は、エラーメッセージを受け取らない場合（ステップＳ２５０でＮＯ）、処理を終了する。
【０１３０】
（削除）
（ａ）記録担体１０による削除処理
図１８及び図１９は、記録担体１０による削除処理の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ｂ）のステップＳ２３の詳細である。
機器情報登録部１４の公開鍵取得部１０４は、携帯電話機２０の公開鍵ＰＫ20を取得する（ステップＳ３０２）。ランダム鍵生成部１０５は、レスポンスデータ検査部１０３から指示を受け、ランダム鍵Ｋｒを生成する（ステップＳ３０３）。
【０１３１】
暗号部１０６は、携帯電話機２０の公開鍵ＰＫ20と、ランダム鍵Ｋｒとを受け取り、公開鍵ＰＫ20を暗号鍵として用い、ランダム鍵Ｋｒに暗号アルゴリズムＥ2を施して、暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を生成する（ステップＳ３０４）。暗号部１０６は、生成した暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力する（ステップＳ３０５）。
【０１３２】
次に、処理データ受付部１０７は、携帯電話機２０から削除要求データを受け付ける（ステップＳ３０６）。処理データ受付部１０７は、受け付けた削除要求データを署名検査部１０８へ出力する。
署名検査部１０８は、削除要求データを受け取り、受け取った削除要求データから、署名データを抽出する（ステップＳ３０７）。署名検査部１０８は、抽出した署名データに検証鍵及び署名検証アルゴリズムを用いて、署名データを検査する（ステップＳ３０８）。署名データの検証に失敗した場合（ステップＳ３０９でＮＯ）、署名検査部１０８は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、署名検証に失敗した旨のエラーメッセージを出力する（ステップＳ３１４）。署名データの検証に成功した場合（ステップＳ３０９でＹＥＳ）、署名検査部１０８は、削除要求データをパスワード検査部１０９へ出力する。
【０１３３】
パスワード検査部１０９は、削除要求データを受け取り、受け取った削除要求データから、パスワードを抽出する（ステップＳ３１０）。次に、パスワード検査部１０９は、機器情報記憶部１５に記憶されている正しいパスワードを読み出す（ステップＳ３１１）。パスワード検査部１０９はステップＳ３１０で抽出したパスワードと、ステップＳ３１１で読み出した正しいパスワードとが一致するか否か判断する。
【０１３４】
パスワードが一致しない場合（ステップＳ３１２でＮＯ）、パスワード検査部１０９は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、パスワード認証に失敗した旨のエラーメッセージを出力する（ステップＳ３１４）。パスワードが一致する場合（ステップＳ３１２でＹＥＳ）、パスワード検査部１０９は、削除要求データを、復号部１１０へ出力する。
【０１３５】
復号部１１０は、削除要求データを受け取り、受け取った削除要求データから暗号化削除ＩＤリストを抽出する（ステップＳ３１３）。復号部２１３は、ランダム鍵生成部１０５が生成したランダム鍵を用いて、暗号化削除ＩＤリストを復号し（ステップＳ３１５）、復号した削除ＩＤリストを、データ制御部１１１へ出力する。
データ制御部１１１は、ステップＳ３１６からステップＳ３２２まで端末ＩＤ毎に繰り返す。データ制御部１１１は、登録情報から端末ＩＤを抽出する（ステップＳ３１７）。データ制御部１１１は、ステップＳ３１７で抽出した端末ＩＤが、機器情報記憶部１５に記憶されているアクセス可能機器テーブルに、登録されているか確認する。（ステップＳ３１８）。
【０１３６】
アクセス可能機器テーブルに、同一の端末ＩＤが存在しない場合（ステップＳ３１９でＮＯ）、データ制御部１１１は、端末Ｉ／Ｆ１１を介して携帯電話機２０に、当該端末ＩＤにより識別される機器は、アクセス可能機器として登録されていない旨のエラーメッセージを出力する（ステップＳ３２１）。アクセス可能機器テーブルに、同一の端末ＩＤが存在する場合（ステップＳ３１９でＹＥＳ）、データ制御部１１１は、機器情報記憶部１５に記憶されているアクセス可能機器テーブルから、当該端末ＩＤを含むアクセス可能機器情報を削除する（ステップＳ２２０）。
【０１３７】
（ｂ）携帯電話機２０による削除処理
図２０は、携帯電話機２０による削除処理の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ｂ）のステップＳ２３の詳細である。
制御部２３の復号部２１３は、記録担体Ｉ／Ｆ２１を介して記録担体１０から、携帯電話機２０の公開鍵ＰＫ20を用いて暗号化された暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を取得する（ステップＳ３３３）。復号部２１３は、受け取った暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)から、ランダム鍵Ｋｒを復号する（ステップＳ３３４）。
【０１３８】
制御部２３の処理データ生成部２１５は、削除する全ての機器の端末ＩＤを取得する（ステップＳ３３５）。ここで、登録する機器が自機（携帯電話機２０）の場合、処理データ生成部２１５は、端末ＩＤ記憶部２２から端末ＩＤを取得する。登録する機器が他機の場合、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から端末ＩＤを取得する。処理データ生成部２１５は、取得した全ての端末ＩＤからなる削除ＩＤリストを生成する（ステップＳ３３６）。
【０１３９】
処理データ生成部２１５は、削除要求データ制御情報を読み出す（ステップＳ３３８）。次に、処理データ生成部２１５は、ステップＳ３３６で生成した削除ＩＤリストを、暗号部２１４へ出力する。暗号部２１４は、削除ＩＤリストを受け取り、受け取った登録ＩＤリストをステップＳ３３４で復号したランダム鍵Ｋｒを暗号鍵として用い、暗号化削除ＩＤリストＥ3(Ｋｒ，削除ＩＤリスト)を生成する（ステップＳ３３８）。
【０１４０】
次に、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介して、パスワードＰＷ＿Ａの入力を受け付ける（ステップＳ３３９）。また、署名生成部２１６は、削除コマンド、暗号化削除ＩＤリスト及びパスワードに基づき、署名データＳｉｇ＿Ａ´を生成する（ステップＳ３４０）。署名生成部２１６は、生成した署名データＳｉｇ＿Ａ´を、処理データ生成部２１５へ出力する。
【０１４１】
処理データ生成部２１５は、削除要求データ制御情報に、暗号化削除ＩＤリスト、パスワード、署名データを書き込み、削除要求データを生成する（ステップＳ３４１）。処理データ生成部２１５は、生成した削除要求データを、記録担体Ｉ／Ｆ２１を介して、記録担体１０へ出力する（ステップＳ２３４２）。
その後、携帯電話機２０は、エラーメッセージを受け取る場合（ステップＳ３４３でＹＥＳ）、データ出力部２１８を介して表示部２５に、エラーメッセージを表示する（ステップＳ３４４）。携帯電話機２０は、エラーメッセージを受け取らない場合（ステップＳ３４３でＮＯ）、処理を終了する。
【０１４２】
（アクセス処理）
図２１は、データ保護システム１におけるデータアクセス処理の動作を示すフローチャートである。なお、ここに示す動作は、図１１のステップＳ４の詳細である。
カードスロットに、記録担体１０を装着している情報端末は、ユーザから所定データへの表示要求を受け付け（ステップＳ４０１）、処理開始要求を生成する（ステップＳ４０２）。情報端末は、処理開始要求を記録担体１０へ出力し、記録担体１０は、処理開始要求を受け取る（ステップＳ４０３）。
【０１４３】
記録担体１０は、情報端末の公開鍵ＰＫNを取得する（ステップＳ４０４）。Ｎは、Ｎ＝２０、３０、４０、又は５０である。次に、記録担体１０は、ランダム鍵Ｋｒを生成する（ステップＳ４０５）。記録担体１０は、ステップＳ４０４で取得した公開鍵ＰＫNを暗号鍵として用い、ステップＳ４０５で生成したランダム鍵Ｋｒに、暗号アルゴリズムＥ4を施し、暗号化ランダム鍵Ｅ4(ＰＫN，Ｋｒ)を生成する（ステップＳ４０６）。記録担体１０は、暗号化ランダム鍵を情報端末へ出力し、情報端末は、暗号化ランダム鍵を受け取る（ステップＳ４０７）。
【０１４４】
情報端末は、ランダム鍵Ｋｒを復号する（ステップＳ４０８）。次に、情報端末は、内部に記憶している自機の端末ＩＤを読み出し（ステップＳ４０９）、ランダム鍵Ｋｒを暗号鍵として用い、端末ＩＤに暗号アルゴリズムＥ5を施して、暗号化端末ＩＤＥ5(Ｋｒ，端末ＩＤ)を生成する（ステップＳ４１０）。
次に、情報端末は、予め内部に保持するアクセス要求制御情報を読み出し（ステップＳ４１１）、アクセス要求制御情報に、暗号化端末ＩＤとアクセス要求データ識別情報とを書き込み、アクセス要求を生成する（ステップＳ４１２）。情報端末は、アクセス要求を記録担体１０へ出力し、記録担体１０は、アクセス要求を受け取る（ステップＳ４１３）。
【０１４５】
記録担体１０は、アクセス可否判断を行い（ステップＳ４１４）、アクセス可否判断の結果に基づき、データを情報端末へ出力し、情報端末は、記録担体１０から出力されるデータを受け取り（ステップＳ４１５）、表示する（ステップＳ４１６）。なお、ステップＳ４１５は、ステップＳ４１４のアクセス可否判断の結果によっては、情報端末が要求したデータではなく、エラーメッセージが出力される。
【０１４６】
（可否判断）
図２２及び図２３は、記録担体１０によるアクセス可否判断の動作を示すフローチャートである。なお、ここに示す動作は、図２１のステップＳ４１４の詳細である。
制御部１６の復号部１５５は、アクセス要求から暗号化端末ＩＤを抽出し（ステップＳ５００）、ランダム鍵生成部１５２から受け取るランダム鍵を復号鍵として用い、端末ＩＤを復号する（ステップＳ５０１）。復号部１５５は、復号した端末ＩＤとアクセス要求データ識別情報とを判断部１５６へ出力する。
【０１４７】
判断部１５６は、機器情報記憶部１５からアクセス可能機器テーブルを読み出し、復号部１５５から受け取った端末ＩＤと同一の端末ＩＤが、アクセス可能機器テーブルに登録されているか否か判断する。同一の端末ＩＤが登録されていない場合（ステップＳ５０２でＮＯ）、判断部１５６は、端末Ｉ／Ｆ１１を介して情報端末へ、アクセスを拒否する旨のエラーメッセージを出力する（ステップＳ５１０）。
【０１４８】
同一の端末ＩＤが登録されている場合（ステップＳ５０２でＹＥＳ）、判断部１５６は、アクセス可能機器テーブルから、当該端末ＩＤを含むアクセス可能機器情報を抽出する（ステップＳ５０３）。判断部１５６は、抽出したアクセス可能機器情報から、アクセス可能回数を抽出し、更に、当該端末ＩＤにより識別される機器のアクセス回数を読み出す（ステップＳ５０４）。
【０１４９】
判断部１５６は、アクセス回数とアクセス可能回数とを比較し、アクセス回数がアクセス可能回数以上の場合（ステップＳ５０５でＹＥＳ）、端末Ｉ／Ｆ１１を介して情報端末へ、アクセスを拒否する旨のエラーメッセージを出力する（ステップＳ５１０）。
アクセス回数がアクセス可能回数未満の場合（ステップＳ５０５でＮＯ）、判断部１５６は、アクセス可能機器情報から、アクセス可能期間を抽出し、更に、日付管理部１５７から、日時情報を取得する（ステップＳ５０６）。判断部１５６は、日付情報が示す現在日時が、アクセス可能期間内であるか否か判断する。現在が、アクセス可能期間外の場合（ステップＳ５０７でＮＯ）、判断部１５６は、端末Ｉ／Ｆ１１を介して情報端末へ、アクセスを拒否する旨のエラーメッセージを出力する（ステップＳ５１０）。
【０１５０】
現在が、アクセス可能期間内である場合（ステップＳ５０７でＹＥＳ）、判断部１５６は、内部に保持するテーブル２００を参照し、受け取った要求データ識別情報により識別されるデータが記憶されているメモリブロックを判別する（ステップＳ５０８）。更に、判断部１５６は、アクセス可能機器情報から、アクセス可能領域を抽出し（ステップＳ５０９）、アクセス要求されているデータが記憶されているメモリブロックが、アクセス可能領域に含まれるか否か判断する。
【０１５１】
当該メモリブロックが、アクセス可能領域でない場合（ステップＳ５１１でＮＯ）、判断部１５６は、端末Ｉ／Ｆ１１を介して情報端末へ、アクセスを拒否する旨のエラーメッセージを出力する（ステップＳ５１７）。当該メモリブロックが、アクセス可能領域である場合（ステップＳ５１１でＹＥＳ）、判断部１５６は、要求データ識別情報から、アクセス要求されているデータが、アプリケーションプログラムであるか否か判断する。アクセス要求されているデータが、アプリケーションプログラムでない場合（ステップＳ５１２でＮＯ）、ステップＳ５１５に進み、処理を続ける。
【０１５２】
アクセス要求されているデータが、アプリケーションプログラムである場合（ステップＳ５１２でＹＥＳ）、判断部１５６は、アクセス可能機器情報から、アクセス可能アプリを抽出する（ステップＳ５１３）。判断部１５６は、アクセス要求されているアプリケーションプログラムが、アクセス可能アプリに含まれるか否か判断する。
アクセス要求されているアプリケーションプログラムが、アクセス可能アプリでない場合（ステップＳ５１４でＮＯ）、判断部１５６は、端末Ｉ／Ｆ１１を介して、情報端末へ、アクセス拒否を示すエラーメッセージを出力する（ステップＳ５１７）。
【０１５３】
アクセス要求されているアプリケーションプログラムが、アクセス可能アプリである場合（ステップＳ５１４でＹＥＳ）、判断部１５６は，メモリアクセス部１５８へデータの読み出しを指示し、メモリアクセス部１５８は、データ記憶部１２内のアクセス制限領域１３から、要求されたデータを読み出す（ステップＳ５１５）。
データ入出力部１５９は、メモリアクセス部１５８から読み出したデータを受け取り、端末Ｉ／Ｆ１１を介して、情報端末へデータを出力する（ステップＳ５１６）。
【０１５４】
≪第１実施形態の変形例≫
ここでは、第１実施形態であるデータ保護システム１の変形例として、データ保護システム１ａについて説明する。
図２４は、データ保護システム１ａの構成を示す。同図に示す様に、データ保護システム１ａは、記録担体１０ａ、携帯電話機２０ａ、ＰＤＡ３０ａ、ＰＣ４０ａ、携帯電話機５０ａ、及び登録サーバ６０ａから構成される。
【０１５５】
データ保護システム１は、携帯電話機２０が、記録担体１０に対して機器情報の登録及び削除を要求する専用機器であったが、データ保護システム１ａは、記録担体１０ａに対して機器情報の登録及び削除を要求するための登録サーバ６０ａを設けたことが特徴である。
１．記録担体１０ａ
図２５は、記録担体１０ａの構成を機能的に示す機能ブロック図である。
【０１５６】
同図に示す様に、記録担体１０ａは、端末Ｉ／Ｆ１１ａ、データ記憶部１２ａ、アクセス制限領域１３ａ、機器情報登録部１４ａ、機器情報記憶部１５ａ、制御部１６ａ、及びカードＩＤ記憶部１７ａから構成される。図２に示した記録担体１０との構成上の違いは、カードＩＤ記憶部１７ａを備える点である。
端末Ｉ／Ｆ１１ａ、データ記憶部１２ａ、アクセス制限領域１３ａ、機器情報記憶部１５ａ、及び制御部１６ａは、それぞれ、第１実施形態の記録担体１０の構成要素である端末Ｉ／Ｆ１１、データ記憶部１２、アクセス制限領域１３、機器情報記憶部１５、及び制御部１６と同様の機能を有するため、説明を省略する。
【０１５７】
以下では、記録担体１０と異なる部分を中心に説明する。
カードＩＤ記憶部１７ａは、記録担体１０ａを一意に識別するためのカードＩＤ「ＣＩＤ＿Ａ」を記憶している。
機器情報登録部１４ａは、情報端末を介して、後に説明する登録サーバ６０ａとの間で、チャレンジ‐レスポンス認証を行った後、登録要求データ及び削除要求データを受け取る。チャレンジ‐レスポンス認証の詳細は、図１３に示したフローチャートの「記録担体１０」を「記録担体１０ａ」に置き換え、「携帯電話機２０」を「登録サーバ６０ａ」に置き換えた処理と同様である。
【０１５８】
登録要求データは、登録コマンド、暗号化登録ＩＤリスト、カードＩＤ、端末ＩＤ、及び署名データから成る。カードＩＤは、機器情報の登録先である記録担体を識別するための情報であり、端末ＩＤは、機器情報の登録先である記録担体が装着されている情報端末を識別するための情報である。また、署名データは、登録コマンド、暗号化端末ＩＤリスト、カードＩＤ及び端末ＩＤに基づき生成されたデジタル署名である。登録要求データの一例は、図２７（ａ）に示す登録要求データ３１０である。
【０１５９】
削除要求データは、削除コマンド、暗号化削除ＩＤリスト、カードＩＤ、端末ＩＤ、及び署名データから成る。カードＩＤは、機器情報の削除先である記録担体を識別するための情報であり、端末ＩＤは、機器情報の削除先である記録担体が装着されている情報端末を識別するための情報である。また、署名データは、削除コマンド、暗号化削除ＩＤリスト、カードＩＤ及び端末ＩＤに基づき生成されたデジタル署名である。削除要求データの一例は、図２７（ｂ）に示す削除要求データ３２０である。
【０１６０】
機器情報登録部１４ａは、登録要求データ及び削除要求データに含まれるカードＩＤと、カードＩＤ記憶部１７ａに記憶されているカードＩＤとが一致するか否か判断する。また、機器情報登録部１４ａは、登録要求データ及び削除要求データに含まれる端末ＩＤと、記録担体１０ａが装着されている情報端末の機器ＩＤとが一致するか否か判断する。
更に、機器情報登録部１４ａは、登録サーバ６０ａにより生成された署名データを検証するための検証鍵を予め保持していおり、検証鍵を用いて、登録要求データ及び削除要求データに含まれる署名データを検証し、登録要求データ及び削除要求データが改ざんされていないか判断する。
【０１６１】
カードＩＤが一致し、端末ＩＤが一致し、更に、署名データの検証に成功した場合に、機器情報登録部１４ａは、アクセス可能機器情報の登録処理及び削除処理を行う。
２．携帯電話機２０ａ
携帯電話機２０ａは、図２６に示す様に、記録担体Ｉ／Ｆ２１ａ、端末ＩＤ記憶部２２ａ、制御部２３ａ、外部入力Ｉ／Ｆ２４ａ、表示部２５ａ、及び通信Ｉ／Ｆ２６ａから構成される。
【０１６２】
記録担体Ｉ／Ｆ２１ａは、具体的にはカードスロットであり、カードスロットに記録担体１０ａを装着する。
通信Ｉ／Ｆ２６ａは、ネットワーク接続ユニットであり、ネットワークを介して登録サーバ６０ａと接続されている。
携帯電話機２０ａは、機器情報登録処理及び機器情報削除処理においては、記録担体１０ａからの要求に従い端末ＩＤ記憶部２２ａが記憶している自機の端末ＩＤを、記録担体１０ａに出力する。
【０１６３】
なお、第１実施形態の携帯電話機２０は、登録要求データ及び削除要求データを生成するが、携帯電話機２０ａは、登録要求データ及び削除要求データは生成せず、登録サーバ６０ａにより生成された登録要求データ及び削除要求データを、ネットワークを介して受け取り、受け取った登録要求データ及び削除要求データを、記録担体１０ａへ出力する。
データアクセス処理については、携帯電話機２０と同様であるため説明を省略する。
【０１６４】
３．ＰＤＡ３０ａ及びＰＣ４０ａ
ＰＤＡ３０ａ及びＰＣ４０ａは、携帯電話機２０ａと同一のユーザが所有する情報端末であるとする。
ＰＤＡ３０ａ及びＰＣ４０ａは、携帯電話機２０ａと同様の構成を有する。ＰＤＡ３０ａ及びＰＣ４０ａは、共に、カードスロットを備え、カードスロットに記録担体１０ａを装着することができる。また、ＰＤＡ３０ａ及びＰＣ４０ａは、共に、ネットワーク接続ユニットを備え、ネットワークを介して、登録サーバ６０ａと接続されている。
【０１６５】
ＰＤＡ３０ａ及びＰＣ４０ａは、それぞれ、機器情報登録処理及び機器情報削除処理では、記録担体１０ａからの要求に従い、内部に保持する自機の端末ＩＤを、記録担体１０ａに出力する。
なお、第１実施形態では、記録担体１０は、携帯電話機２０に装着されているときのみ、機器情報登録処理及び機器情報削除処理を行うことができた。しかし、当該変形例では、ＰＤＡ３０ａ及びＰＣ４０ａは、携帯電話機２０ａと同様に、登録サーバ６０ａにより生成された登録要求データ及び削除要求データを、ネットワークを介して受け取り、受け取った登録要求データ及び削除要求データを、記録担体１０ａへ出力する。従って、当該変形例では、記録担体１０ａは、ＰＤＡ３０ａ及びＰＣ４０ａに装着されているときであっても、機器情報登録処理及び機器情報削除処理を行うことができる。
【０１６６】
データアクセス処理については、ＰＤＡ３０及びＰＣ４０と同様であるため説明を省略する。
４．携帯電話機５０ａ
携帯電話機５０ａは、携帯電話機２０ａ ＰＤＡ３０ａ及びＰＣ４０ａのユーザとは異なる人物が所有する情報端末であるとする。
【０１６７】
携帯電話機５０ａは、携帯電話機２０ａと同様の構成を有する。携帯電話機５０ａは、カードスロットを備え、カードスロットに記録担体１０ａを装着することができる。また、携帯電話機５０ａは、ネットワーク接続ユニットを備え、ネットワークを介して、登録サーバ６０ａと接続可能である。
記録担体１０ａは、他人の機器である携帯電話機５０ａについては、アクセス可能機器テーブルに登録していない。そのため、携帯電話機５０ａは、記録担体１０ａにアクセス要求を出力しても、記録担体１０ａにより、データアクセスの権利が無いと判断され、記録担体１０ａのデータにアクセスすることは出来ない。
【０１６８】
５．登録サーバ６０ａ
登録サーバ６０ａは、記録担体に対して、機器情報の登録及び削除を要求するサーバ装置であって、第１実施形態の携帯電話機２０における機器情報登録及び機器情報削除に相当する機能を備える。
図２６に示す様に、登録サーバ６０ａは、外部入力Ｉ／Ｆ６１ａ、制御部６２ａ、及びデータ送信部６３ａから構成される。
【０１６９】
外部入力Ｉ／Ｆ６１ａは、外部から、機器情報の登録依頼データ及び削除依頼データを受け付ける。
登録依頼データは、登録処理の依頼であることを示す登録指示、登録先である記録担体を識別するためのカードＩＤ、登録先である記録担体が装着されている情報端末を識別するための端末ＩＤ、アクセス可能回数、アクセス可能機期間、アクセス可能領域、アクセス可能アプリ、登録処理を依頼元であるユーザのユーザ名、ユーザパスワード、及び送信先情報から成る。
【０１７０】
削除依頼データは、削除処理の依頼であることを示す削除指示、削除先である記録担体を識別するためのカードＩＤ、削除先である記録担体が装着されている情報端末を識別するための端末ＩＤ、削除処理を依頼元であるユーザのユーザ名、ユーザパスワード、及び送信先情報から成る。
外部入力Ｉ／Ｆ６１ａは、受け付けた登録依頼データ及び削除依頼データを制御部６２ａへ出力する。
【０１７１】
制御部６２ａは、第１実施形態の携帯電話機２０における制御部２３と同様の機能を有する。制御部２３との相違は、制御部６２ａは、予め記録担体１０ａの所有者から、ユーザ名及びユーザパスワードの登録を受け、これらを記憶している点である。
制御部６２ａは、外部入力Ｉ／Ｆ６１ａから、登録依頼データ及び削除依頼データを受け取り、受け取った登録依頼データ及び削除依頼データに含まれるユーザ名及びパスワードが、登録されているユーザ名及びパスワードと一致するか否か判断し、ユーザ認証を行う。ユーザ認証に成功した場合のみ、制御部６２ａは、登録依頼データに基づき、登録要求データを生成し、また、削除依頼データに基づき、削除要求データを生成する。
【０１７２】
制御部６２ａが生成する登録要求データの一例を図２７（ａ）に示す。同図に示す様に、登録要求データ３１０は、登録コマンド３１１「/touroku」、暗号化登録ＩＤリスト３１２「Ｅ(Ｋｒ，登録ＩＤリスト)」、カードＩＤ３１３「ＣＩＤ＿Ａ」、端末ＩＤ３１４「ＩＤ＿Ｂ」、及び署名データ３１５「Ｓｉｇ＿Ａ」から成る。カードＩＤ３１３「ＣＩＤ＿Ａ」及び端末ＩＤ３１４「ＩＤ＿Ｂ」は、外部入力Ｉ／Ｆ６１から受け取る登録依頼データに含まれるカードＩＤ及び端末ＩＤである。暗号化登録ＩＤリストの生成方法は、制御部２３と同様であり、暗号鍵として用いるＫｒは、記録担体１０ａで生成されたランダム鍵である。制御部６２は、生成した登録要求データを、送信先情報と共にデータ送信部６３ａへ出力する。
【０１７３】
制御部６２ａが生成する削除要求データの一例を図２７（ｂ）に示す。同図に示す様に、削除要求データ３２０は、削除コマンド３２１「/sakujo」、暗号化削除ＩＤリスト３２２「Ｅ(Ｋｒ，削除ＩＤリスト)」、カードＩＤ３２３「ＣＩＤ＿Ａ」、端末ＩＤ３２４「ＩＤ＿Ｃ」、及び署名データ３２５「Ｓｉｇ＿Ｂ」から成る。カードＩＤ３２３「ＣＩＤ＿Ａ」及び端末ＩＤ３２４「ＩＤ＿Ｃ」は、外部入力Ｉ／Ｆ６１から受け取る削除依頼データに含まれるカードＩＤ及び端末ＩＤである。暗号化削除ＩＤリストの生成方法は、制御部２３と同様であり、暗号鍵として用いるＫｒは、記録担体１０ａで生成されたランダム鍵である。制御部６２ａは、生成した削除要求データを、送信先情報と共にデータ送信部６３ａへ出力する。
【０１７４】
データ送信部６３ａは、ネットワーク接続ユニットである。データ送信部６３ａは、制御部６２ａから、登録要求データと送信先情報とを受け取り、受け取った登録要求データを、ネットワークを介して送信先情報が示す情報端末へ送信する。また、データ送信部６３ａは、制御部６２ａから削除要求データと送信先情報とを受け取り、受け取った削除要求データを、ネットワークを介して送信先情報が示す情報端末へ送信する。
【０１７５】
以上説明した様に、当該変形例では、携帯電話機２０ａではなく、登録サーバ６０ａが、登録要求データ及び削除要求データを生成し、生成した登録要求データ及び削除要求データを、記録担体１０ａが装着されている情報端末経由で、記録担体１０ａへ送信することが特徴である。これにより、携帯電話機２０ａだけでなく、ＰＤＡ３０ａ、及びＰＣ４０ａに、記録担体１０ａが装着された状態でも、機器情報の登録及び削除が行えるようになった。
【０１７６】
また、登録サーバ６０ａは、登録要求データ及び削除要求データの生成前に、ユーザ名及びユーザパスワードを用いたユーザ認証を行うことにより、携帯電話機５０ａのユーザによる不正な機器情報の登録を抑制することができる。
≪第２実施形態≫
ここでは、第２実施形態であるデータ保護システム２について説明する。
【０１７７】
図２８は、データ保護システム２の構成を示す。同図に示す様に、データ保護システム２は、記録担体１０ｂ、携帯電話機２０ｂ、ＰＤＡ３０ｂ、ＰＣ４０ｂ、携帯電話機５０ｂ、及び管理サーバ７０ｂから構成される。
データ保護システム１では、記録担体１０にアクセス可能な機器を示すアクセス可能機器テーブルを、記録担体１０自身が保持していたが、データ保護システム２では、記録担体１０ｂにアクセス可能な機器を示すアクセス可能機器テーブルを、管理サーバ７０ｂが保持していることが特徴である。
【０１７８】
なお、管理サーバ７０ｂへの機器情報の登録及び機器情報の削除は、携帯電話機２０ｂを用いて行う。
＜構成＞
１．記録担体１０ｂ
図２９に示す様に、記録担体１０ｂは、端末Ｉ／Ｆ１１ｂ、データ記憶部１２ｂ、アクセス制限領域１３ｂ、制御部１６ｂ、カードＩＤ記憶部１７ｂ、及び改ざん検査部１８ｂから構成される。
【０１７９】
記録担体１０ｂは、記録担体１０の機器情報登録部１４及び機器情報記憶部１５に相当する構成要素を有しておらず、カードＩＤ記憶部１７ｂ及び改ざん検査部１８ｂが追加された構成となっている。
端末Ｉ／Ｆ１１ｂ、データ記憶部１２ｂ及びアクセス制限領域１３ｂは、それぞれ、記録担体１０の端末Ｉ／Ｆ１１、データ記憶部１２及びアクセス制限領域１３と同様であるため、説明を省略する。以下では、記録担体１０と異なる部分を中心に説明する。
【０１８０】
カードＩＤ記憶部１７ｂは、記録担体１０ｂを一意に識別するためのカードＩＤ「ＣＩＤ＿Ａ」を記憶している。
改ざん検査部１８ｂは、管理サーバ７０ｂが生成した署名データを検証するための検証鍵を予め保持しており、制御部１６ｂから出力される署名データを、当該検証鍵を用いて検証し、制御部１６ｂが受け取ったデータが改ざんされていないか判断する。改ざん検査部１８ｂは、署名データの検証結果を制御部１６ｂへ出力する。
【０１８１】
制御部１６ｂは、情報端末からアクセス要求を受け付けると、カードＩＤ記憶部１７ｂからカードＩＤを読み出し、読み出したカードＩＤを、端末Ｉ／Ｆ１１ｂ、情報端末及びネットワークを介して、管理サーバ７０ｂへ送信する。
制御部１６ｂは、管理サーバ７０ｂからアクセス可能機器テーブルと署名データとを取得し、取得した署名データを改ざん検査部１８ｂへ出力する。改ざん検査部１８ｂによる署名データの検証に成功した場合に、制御部１６ｂは、取得したアクセス可能機器テーブルを用いて、アクセス可否判断を行う。アクセス可否判断については、第1実施形態の記録担体１０と同様である。
【０１８２】
２．携帯電話機２０ｂ
携帯電話機２０ｂは、データ保護システム１ａの携帯電話機２０ａと同様の構成を有し、ネットワーク接続ユニットを備え、ネットワークを介して管理サーバ７０ｂに接続可能である。
携帯電話機２０ｂは、第１実施形態の携帯電話機２０と同様に、機器情報登録処理及び機器情報削除処理を行う専用機器である。携帯電話機２０は、記録担体１０との間で、機器情報登録処理及び機器情報削除処理を行ったが、携帯電話機２０ｂは、記録担体１０ｂではなく、アクセス可能機器テーブルを管理している管理サーバ７０ｂとの間で、機器情報登録処理及び機器情報削除処理を行う。
【０１８３】
携帯電話機２０ｂは、記録担体１０ｂのカードＩＤ「ＣＩＤ＿Ａ」を含む登録要求データを生成し、生成した登録要求データを管理サーバ７０ｂへ送信する。同様に、携帯電話機２０ｂは、記録担体１０ｂのカードＩＤ「ＣＩＤ＿Ａ」を含む削除要求データを生成し、生成した削除要求データを管理サーバ７０ｂへ送信する。
また、携帯電話機２０ｂは、カードスロットを備え、カードスロットに記録担体１０ｂが装着された状態において、記録担体１０ｂに対してアクセス要求する。
【０１８４】
３．ＰＤＡ３０ｂ、ＰＣ４０ｂ、及び携帯電話機５０ｂ
ＰＤＡ３０ｂ、ＰＣ４０ｂ、及び携帯電話機５０ｂは、それぞれ、ＰＤＡ３０ａ、ＰＣ４０ａ、及び携帯電話機５０ａと同様の構成を有する。即ち、これらの情報端末は、ネットワーク接続ユニットを備え、ネットワークを介して管理サーバ７０ｂに接続可能である。また、これらの情報端末は、カードスロットを備え、カードスロットに記録担体１０ｂが装着された状態において、記録担体１０ｂにアクセス要求する。
【０１８５】
なお、これらの情報端末は、管理サーバ７０ｂに対し、機器情報登録処理及び機器情報削除処理は行わない。この点は、第１実施形態と同様である。
４．管理サーバ７０ｂ
管理サーバ７０ｂは、図２９に示す様に、機器情報登録部７１ｂ、機器情報記憶部７２ｂ及び制御部７３ｂを備える。
【０１８６】
機器情報登録部７１ｂは、第１実施形態における記録担体１０の機器情報登録部１４（図４）と同様の機能及び構成を有する。即ち、機器情報登録部７１ｂは、携帯電話機２０ｂから登録要求データを受け取ると、受け取った登録要求データに基づき、機器情報記憶部７２ｂに、アクセス可能機器情報を登録する。また、機器情報登録部７１ｂは、携帯電話機２０ｂから削除要求データを受け取ると、受け取った削除要求データに基づき、機器情報記憶部７２ｂからアクセス可能機器情報を削除する。
【０１８７】
機器情報記憶部７２ｂは、アクセス可能機器テーブルを記憶している。アクセス可能機器テーブルの一例を、図３０に示す。同図に示す様に、アクセス可能機器テーブル４００は、第１実施形態のアクセス可能機器テーブル１４０（図６）に、カードＩＤ４０１「ＣＩＤ＿Ａ」が追加されたデータ構成となっている。
第１実施形態では、記録担体１０自身が、アクセス可能機器テーブル１４０を保持しているため、アクセス可能機器テーブル１４０が、記録担体１０のアクセス制限領域１３にアクセス可能な機器を示すのは明らかであった。
【０１８８】
第２実施形態では、管理サーバ７０ｂがアクセス可能機器テーブル４００を保持しているため、カードＩＤ４０１により、当該テーブルが、カードＩＤ「ＣＩＤ＿Ａ」により識別される記録担体１０ｂのアクセス制限領域にアクセス可能な機器の情報であることを示している。
制御部７３ｂは、情報端末及びネットワークを介して、記録担体１０ｂからカードＩＤ「ＣＩＤ＿Ａ」を受け取ると、「ＣＩＤ＿Ａ」を含むアクセス可能機器テーブル４００を、機器情報記憶部７２ｂから抽出する。
【０１８９】
また、制御部７３ｂは、署名データを生成するための署名鍵を予め保持している。制御部７３ｂは、抽出したアクセス可能機器テーブル４００に対して、当該署名鍵を用いて署名データを生成し、アクセス可能機器テーブル４００と共に、生成した署名データを、情報端末及びネットワークを介して、記録担体１０ｂに送信する。
＜動作＞
ここでは、データ保護システム２の動作について説明する。
【０１９０】
（全体）
図３１は、データ保護システム２全体の動作を示すフローチャートである。先ず、携帯電話機２０ｂにおいて、ユーザからの入力を受け付けることにより機器情報の登録要求又は削除要求が発生する（ステップＳ６０１）。携帯電話機２０ｂは、ネットワークを介して登録要求又は削除要求を管理サーバ７０ｂへ送信し、管理サーバ７０ｂは、登録要求又は削除要求を受信する（ステップＳ６０２）。次に、管理サーバ７０ｂ及び携帯電話機２０ｂは、登録処理又は削除処理を行う（ステップＳ６０３）。
【０１９１】
続いて、それぞれが、カードスロットに記録担体１０ｂを装着した携帯電話機２０ｂ、ＰＤＡ３０ｂ、ＰＣ４０ｂ、又は携帯電話機５０ｂにおいて、ユーザからの入力を受け付けることにより、アクセス要求が発生する（ステップＳ６０４）。情報端末は、アクセス要求を記録担体１０ｂに出力し、記録担体１０ｂは、アクセス要求を受け取る（ステップＳ６０５）。次に、記録担体１０ｂ及び管理サーバ７０ｂは、データアクセス処理を行う（ステップＳ６０６）。
【０１９２】
（登録処理及び削除処理）
携帯電話機２０ｂにおける登録処理の動作は、第１実施形態の携帯電話機２０における登録処理の動作（図１６及び図１７）と同様であり、携帯電話機２０ｂにおける削除処理の動作は、第１実施形態の携帯電話機２０における削除処理の動作（図２０）と同様である。
【０１９３】
また、管理サーバ７０ｂにおける登録処理の動作は、第１実施形態の記録担体１０における登録処理の動作（図１４及び図１５）と同様であり、管理サーバ７０ｂにおける削除処理の動作は、第１実施形態の記録担体１０における削除処理の動作（図１８及び図１９）と同様である。
（データアクセス処理）
図３２は、データアクセス処理の動作を示すフローチャートである。ここに示す動作は、図３１のステップＳ６０６の詳細である。
【０１９４】
記録担体１０ｂの制御部１６ｂは、カードＩＤ記憶部１７ｂから、カードＩＤを読み出す（ステップＳ７０１）。制御部１６ｂは、読み出したカードＩＤを、端末Ｉ／Ｆ１１ｂ、情報端末、及びネットワークを介して、管理サーバ７０ｂへ送信し、管理サーバ７０ｂの制御部７３ｂは、カードＩＤを受信する（ステップＳ７０２）。
制御部７３ｂは、受信したカードＩＤを含むアクセス可能機器テーブルを、機器情報記憶部７２ｂから抽出する（ステップＳ７０３）。次に、制御部７３ｂは、抽出したアクセス可能機器テーブルに対する署名データを生成する（ステップＳ７０４）。制御部７３ｂは、アクセス可能機器テーブルと署名データとを、情報端末及びネットワークを介して記録担体１０ｂへ送信し、記録担体１０ｂは、アクセス可能機器テーブルと署名データとを受信する（ステップＳ７０５）。
【０１９５】
記録担体１０ｂの改ざん検査部１８ｂは、ステップＳ７０５で受信した署名データを受け取り、当該署名データを、内部に保持する検証鍵を用いて検証する（ステップＳ７０６）。改ざん検査部１８ｂは、署名データの検証に失敗すると（ステップＳ７０７でＮＯ）、データアクセスを拒否する旨のエラーメッセージを生成し、生成したエラーメッセージを情報端末へ出力する（ステップＳ７０８）。
【０１９６】
情報端末は、エラーメッセージを受け取る場合、受け取ったエラーメッセージを表示部に表示する（ステップＳ７０９）。
改ざん検査部１８ｂは、署名データの検証に成功すると（ステップＳ７０７でＹＥＳ）、制御部１６ｂに対してその旨を通知する。その後、制御部１６ｂは、アクセス可否判断を行う（ステップＳ７１０）。
【０１９７】
情報端末は、ステップＳ７１０のアクセス可否判断の結果により、記録担体１０ｂから受け取る情報を表示部に表示する（ステップＳ７１１）。
（アクセス可否判断）
記録担体１０ｂにおけるアクセス可否判断の動作は、第１実施形態の記録担体１０におけるアクセス可否判断の動作（図２２及び図２３）と同様である。
【０１９８】
≪その他の変形例≫
（１）第１実施形態において、機器情報の登録は、携帯電話機２０でなく、他の専用機器を用いてもよい。例えば、携帯電話機の販売店などの専用機器を用い、携帯電話機の販売時に、記録担体にアクセス可能な機器の端末ＩＤを登録するような場合が考えられる。この場合には、登録時のパスワード入力が必要なくなる。
【０１９９】
（２）第１実施形態及び第２実施形態において、アクセス可能機器情報に、予め正当なユーザのバイオメトリクス情報を含み、アクセス制限領域へのアクセス可否を判断するときに、記録担体は、情報端末を介してユーザのバイオメトリクスを取得し、取得したバイオメトリクスがアクセス可能機器情報に登録されているバイオメトリクス情報と一致するか否かを判断してもよい。
【０２００】
バイオメトリクス情報としては、指紋、虹彩、声紋などが考えられる。
（３）第１実施形態及び第２実施形態において、アクセス可能機器情報に、予め正当なユーザにより設定されたパスワードを含み、アクセス制限領域へのアクセス可否を判断するとき、記録担体は、情報端末を介してユーザにより入力されたパスワードを取得し、取得したパスワードがアクセス可能機器情報に登録されているパスワードと一致するか否か判断してもよい。
【０２０１】
なお、パスワード認証は、アクセス要求の都度行う、一定時間ごとに行う、電源投入直後に行うなど、様々なバリエーションが考えられる。
（４）第２実施形態において、記録担体は、アクセス要求が生じる毎に管理サーバへネットワーク接続し、アクセス可能機器テーブルにアクセスする構成は、必須ではなく、以下のような場合でもよい。
【０２０２】
例えば、記録担体は、アクセス要求とは無関係に、所定時間毎に管理サーバにアクセスしてもよいし、異なる情報端末のカードスロットに装着される毎に管理サーバにアクセスしてもよい。
（５）第１実施形態の変形例では、記録担体１０ａと登録サーバ６０ａとが、機器情報の登録及び削除処理に先立ち、チャレンジ‐レスポンス認証を行ってもよい。
【０２０３】
（６）第１実施形態において、記録担体はアクセス可能機器情報の登録及び削除だけでなく、アクセス可能機器情報の更新を行うように構成してもよい。
同様に、第２実施形態において、管理サーバはアクセス可能機器情報の追加及び削除だけでなく、更新を行うように構成してもよい。
（７）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
【０２０４】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ‐ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ‐ＲＯＭ、ＤＶＤ‐ＲＡＭ、ＢＤ（Ｂｌｕ‐ｒａｙ Ｄｉｓｃ）、半導体メモリなど、に記録したものとしてもよい。また、これらの記録媒体に記録されている前記コンピュータプログラム又は前記デジタル信号であるとしてもよい。
【０２０５】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。
【０２０６】
また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（８）上記実施の形態及び上記変形例をそれぞれ組み合わせる構成も本発明に含まれる。
【産業上の利用可能性】
【０２０７】
本発明は、例えばＩＣカードを用いた電子マネーシステムにおいて、ＩＣカードの紛失又は盗難が生じた場合などの、ＩＣカードの不正利用を防止する仕組みとして利用することができる。
【図面の簡単な説明】
【０２０８】
【図１】データ保護システム１の構成を示す図である。
【図２】記録担体１０の構成を機能的に示す機能ブロック図である。
【図３】アクセス制限領域１３の内部を示す図である。
【図４】機器情報登録部１４の構成を機能的に示す機能ブロック図である。
【図５】（ａ）登録要求データ１２０のデータ構成を示す図である。（ｂ）登録ＩＤリスト１２５のデータ構成を示す図である。（ｃ）削除要求データ１３０のデータ構成を示す図である。（ｄ）削除ＩＤリスト１３５のデータ構成を示す図である。
【図６】アクセス可能機器テーブル１４０のデータ構成を示す図である。
【図７】制御部１６の構成を機能的に示す機能ブロック図である。
【図８】（ａ）アクセス要求１６０のデータ構成を示す図である。（ｂ）アクセス要求１７０のデータ構成を示す図である。（ｃ）アクセス要求１８０のデータ構成を示す図である。（ｄ）アクセス要求１９０のデータ構成を示す図である。
【図９】テーブル２００のデータ構成を示す図である。
【図１０】携帯電話機２０の構成を機能的に示す機能ブロック図である。
【図１１】データ保護システム１の全体の動作を示すフローチャートである。
【図１２】（ａ）機器情報登録処理の動作を示すフローチャートである。（ｂ）機器情報削除処理の動作を示すフローチャートである。
【図１３】チャレンジ‐レスポンス認証の動作を示すフローチャートである。
【図１４】記録担体１０による登録処理の動作を示すフローチャートであり、図１５に続く。
【図１５】記録担体１０による登録処理の動作を示すフローチャートであり、図１４から続く。
【図１６】携帯電話機２０による登録処理の動作を示すフローチャートであり、図１７に続く。
【図１７】携帯電話機２０による登録処理の動作を示すフローチャートであり、図１６から続く。
【図１８】記録担体１０による削除処理の動作を示すフローチャートであり、図１９に続く。
【図１９】記録担体１０による削除処理の動作を示すフローチャートであり、図１８から続く。
【図２０】携帯電話機２０による削除処理の動作を示すフローチャートである。
【図２１】データ保護システム１におけるデータアクセス処理の動作を示すフローチャートである。
【図２２】記録担体１０によるアクセス可否判断処理の動作を示すフローチャートであり、図２３に続く。
【図２３】記録担体１０によるアクセス可否判断処理の動作を示すフローチャートであり、図２２から続く。
【図２４】データ保護システム１ａの構成を示す図である。
【図２５】記録担体１０ａの構成を機能的に示す機能ブロック図である。
【図２６】携帯電話機２０ａ及び登録サーバ６０ａの構成を機能的に示す機能ブロック図である。
【図２７】（ａ）登録要求データ３１０のデータ構成を示す図である。（ｂ）削除要求データ３２０のデータ構成を示す図である。
【図２８】データ保護システム２の構成を示す図である。
【図２９】記録担体１０ｂ及び管理サーバ７０ｂの構成を機能的に示す機能ブロック図である。
【図３０】アクセス可能機器テーブル４００のデータ構成を示す図である。
【図３１】データ保護システム２全体の動作を示すフローチャートである。
【図３２】データ保護システム２におけるデータアクセス処理の動作を示すフローチャートである。
【技術分野】
【０００１】
本発明は、記録担体に関し、記録担体を紛失した場合などに、内部に格納されているデータを保護する技術に関する。
【背景技術】
【０００２】
近年、携帯電話機やＰＤＡ（Personal Digital Assistant）などの携帯情報端末の多機能化に伴い、ＩＣカードや、メモリカード等の記録担体を装着するためのカードスロットを搭載した携帯情報端末が普及しつつある。
携帯情報端末に装着した記録担体には、例えば、電話帳データ、スケジュール帳データ、デジタルカメラで撮影した画像データなどが記録される。電話帳データは、ユーザの電話番号、メールアドレス、知人の氏名、電話番号、メールアドレス、住所など、プライバシーに関わる情報を含んでいる。
【０００３】
従って、記録担体を紛失した場合、或いは、記録担体を装着した携帯情報端末を紛失した場合であっても、記録担体に記録されているこれらのデータを他人に見られない仕組みが必要である。
特許文献１に開示されている記録担体は、個人データと固有の無効化コードとを記憶している。当該記録担体が装着されたまま、携帯電話機が盗難あるいは紛失にあった場合、ユーザは、記録担体が装着されている携帯電話機に電話をかけることにより、無効化コードを携帯電話機に送信する。無効化コードを受信した携帯電話機は、それを記録担体に転送する。記録担体は、携帯電話機から無効化コードを受け取り、受け取った無効化コードが、予め内部に記憶している無効化コードと一致するか否か判断し、両者が一致する場合には、個人データをロックし、使用不能状態にする。これにより、カード内の個人データを保護することが可能となる。
【特許文献１】特開平１１−１７７６８２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の技術では、記録担体が装着されている携帯電話機が、外部から送信される無効化コードを受信可能な状況にあることが前提である。そのため、紛失した携帯電話機から記録担体が抜き取られ、オフラインで利用可能な他の情報端末に装着された場合などは、記録担体は無効化コードを受信しないため、個人データを他人に見られる可能性がある。
【０００５】
そこで本発明は、上記の問題に鑑みなされたものであって、記録担体が、オフラインで利用可能な他の情報端末に装着された場合であっても記録担体に記録されている個人データを保護することができる記録担体及びデータ保護システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明は、記録担体であって、記憶手段と、装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、前記記憶手段へのアクセス可否を示すアクセス条件を取得する取得手段と、前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備えることを特徴とする。
【発明の効果】
【０００７】
上記の構成によると、記録担体は、装着されている情報端末から受け取るアクセス要求であっても、アクセス条件を満たさない場合には、情報端末からの要求に反し、記憶領域へのアクセスを拒否することができる。
ここで、前記記録担体は、更に、前記アクセス条件を記憶しているアクセス条件記憶手段を備え、前記取得手段は、前記アクセス条件記憶手段から、前記アクセス条件を取得するように構成してもよい。
【０００８】
この構成によると、記録担体は、アクセス条件を内部に記憶しているので、当該記録担体が接続された情報端末がオフラインで利用可能な端末であっても、外部から判断の基準となるアクセス条件を取得する必要が無く、情報端末の置かれた環境によらず、アクセス要求がアクセス条件を満たすか否か判断することができるので、情報端末がオフラインで利用可能な端末であっても、アクセス条件を満たさない場合には、情報端末からの要求に反し、記憶領域へのアクセスを拒否することができる。
【０００９】
ここで、前記アクセス条件は、識別子リストを含む、前記識別子リストは、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別する1以上の識別子から成る、前記アクセス要求は、前記情報端末を識別する要求端末識別子を含む、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在する場合、前記アクセス要求は前記アクセス条件を満たすと判断し、存在しない場合、前記アクセス要求は前記アクセス条件を満たさないと判断するように構成してもよい。
【００１０】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着されて内部のデータが読み出されるのを防止することができる。
ここで、前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の回数情報とから成る、前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、前記１以上の回数情報は、各機器の前記記憶手段にアクセス可能な回数を示す、前記アクセス要求は、前記情報端末を識別する要求端末識別子を含む、前記判断手段は、前記情報端末が前記記憶領域にアクセスした回数を示すアクセス回数を保持する保持部と、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、一致する識別子が存在する場合に、前記識別子に対応する回数情報が、前記アクセス回数より大きいか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１１】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。また、記録担体は、記憶領域へのアクセス回数を管理することで、記憶領域に記憶されているデータの著作権保護の仕組みとしても利用できる。
【００１２】
ここで、前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の期間情報とから成る、前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、前記１以上の期間情報は、各機器の前記記憶手段にアクセス可能な期間を示す、前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、前記判断手段は、現在日時を管理する日時管理部と、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、一致する識別子が存在する場合に、前記日時管理部が管理している現在日時が、前記識別子に対応する期間情報が示す期間内であるか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１３】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。また、記録担体は、記憶領域へのアクセス期限を管理することで、記憶領域に記憶されているデータの著作権保護の仕組みとしても利用できる。
【００１４】
ここで、前記記憶手段は、複数のメモリブロックから成り、前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のメモリブロック情報とから成る、前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、前記１以上のメモリブロック情報は、各機器のアクセス可能なメモリブロックを示す、前記アクセス要求は、前記情報端末を識別する要求端末識別子と、メモリブロックを指定するメモリブロック指定情報とを含み、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、一致する識別子が存在する場合に、前記メモリブロック指定情報が、前記識別子に対応するメモリブロック情報に含まれるか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１５】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。また、記録担体は、アクセス可能なメモリブロックの情報を管理することで、メモリブロック毎に記憶されているデータの著作権保護の仕組みとしても利用できる。
【００１６】
ここで、前記記憶手段は、１以上のプログラムデータを記憶しており、
前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のプログラム情報とから成る、前記１以上の識別子は、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別し、前記１以上のプログラム情報は、各機器がアクセス可能なプログラムデータを示す、前記アクセス要求は、前記情報端末を識別する要求端末識別子と、プログラムデータを指定するプログラム指定情報とを含み、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、一致する識別子が存在する場合に、前記プログラム指定情報が、前記識別子に対応するプログラム情報に含まれるか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１７】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。また、記録担体は、アクセス可能なアプリケーションプログラムの情報を管理することで、記憶領域に記憶されているアプリケーションプログラムの著作権保護の仕組みとしても利用できる。
【００１８】
ここで、前記アクセス条件は、識別子リストとバイオメトリクスリストとを含む、前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、前記バイオメトリクスリストは、前記記憶手段にアクセス可能な１以上のユーザを識別する１以上のバイオメトリクス情報を含む、前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者のバイオメトリクスを示す操作者バイオメトリクス情報とを含む、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、前記操作者バイオメトリクス情報と一致するバイトメトリクス情報が前記バイオメトリクスリストに存在するか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００１９】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。更に、記録担体は、予め正当なユーザのバイオメトリクス情報をリストに登録しておくことにより、当該記録担体が、正当な情報端末に装着されたまま紛失した場合であっても、ユーザ認証により不正なユーザが、記憶領域のデータにアクセスするのを防止することができる。
【００２０】
ここで、前記アクセス条件は、識別子リストとパスワードリストとを含む、前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、前記パスワードリストは、前記記憶手段にアクセス可能な１以上のユーザにより設定された１以上のパスワード情報を含む、前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者により入力された入力パスワードとを含む、前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、前記入力パスワードと一致するパスワード情報が前記パスワードリストに存在するか否か判断する第２判断部とを含み、前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断するように構成してもよい。
【００２１】
この構成によると、記録担体は、予め正当な情報端末の端末ＩＤをリストに登録しておくことにより、当該記録担体を紛失した場合に、他の情報端末に装着され、記憶領域のデータが読み出されるのを防止することができる。更に、記録担体は、予め正当なユーザが設定したパスワードをリストに登録しておくことにより、当該記録担体が、正当な情報端末に装着されたまま紛失した場合であっても、パスワード認証により不正なユーザが、記憶領域のデータにアクセスするのを防止することができる。
【００２２】
ここで、前記記録担体は、更に、装着された１の情報端末から、前記アクセス条件を受け付けるアクセス条件受付手段と、前記情報端末が、正当な情報端末であると認証された場合に、前記アクセス条件を、前記アクセス条件記憶手段に登録するアクセス条件登録手段とを備えるように構成してもよい。
この構成によると、正当な情報端末は、自機が記憶領域にアクセス可能な機器であり、他機が記憶領域にアクセス不可能な機器であることを示すアクセス条件を登録することにより、当該記録担体が他の情報端末に装着された場合に、記憶領域のデータを保護することができる。
【００２３】
更に、正当な情報端末は、自機以外にも、同一ユーザが使用する他の情報端末も記憶領域にアクセス可能な機器として登録することにより、当該記録担体を、同一ユーザが使用する他の情報端末に差し替えて、使用することもできる。
また、上記目的を達成するために、前記記録担体は、更に、ネットワークを介して接続されたアクセス条件管理サーバと通信を行う通信手段を備え、前記取得手段は、前記通信手段を介して、前記アクセス条件管理サーバから、前記アクセス条件を取得するように構成してもよい。
【００２４】
即ち、この構成によると、アクセス条件を記憶しているのは、記録担体自身ではなく、アクセス条件管理サーバである。これにより、記録担体を情報端末に装着したまま紛失した場合であっても、アクセス条件管理サーバが記憶しているアクセス条件を、装着されている情報端末がアクセスできないように書き換えることができる。
ここで、前記取得手段は、前記通信手段を介して、前記機器情報管理装置から、前記アクセス条件と共に、前記アクセス条件に基づき生成された署名データを取得し、前記記録担体は、更に、前記機器情報管理装置に係る検証鍵を用いて前記署名データを検証し、前記アクセス条件の改ざんの有無を検出する改ざん検出手段と、前記アクセス条件の改ざんが検出された場合に、前記判断手段による処理を中止する中止手段とを備えるように構成してもよい。
【００２５】
この構成によると、記録担体は、確かにアクセス条件管理サーバから送信されたアクセス条件を用いて、アクセス要求を満たすか否か判断することができる。
また、本発明は、記録担体と情報端末とから構成されるデータ保護システムであって、前記記録担体は、記憶手段と、当該記録担体が装着されている情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、前記記憶手段へのアクセス可否を示すアクセス条件を記憶するアクセス条件記憶手段と、前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備え、前記情報端末は、前記記録担体を装着する記録担体インターフェースと、前記記録担体の前記記憶手段へのアクセス要求を生成するアクセス要求生成手段と、生成した前記アクセス要求を、前記記録担体へ出力するアクセス要求出力手段とを備えることを特徴とする。
【００２６】
この構成によると、記録担体は、アクセス条件を内部に記憶しているので、当該記録担体が接続された情報端末がオフラインで利用可能な端末であっても、外部から判断の基準となるアクセス条件を取得する必要が無く、情報端末の置かれた環境によらず、アクセス要求がアクセス条件を満たすか否か判断することができるので、情報端末がオフラインで利用可能な端末であっても、アクセス条件を満たさない場合には、情報端末からの要求に反し、記憶領域へのアクセスを拒否することができる。
【００２７】
ここで、前記データ保護システムは、更に、前記記録担体が装着された情報端末を介して、前記アクセス条件を、前記記録担体の前記アクセス条件記憶手段に登録するアクセス条件登録サーバを備えるように構成してもよい。
この構成によると、記録担体が、アクセス条件登録サーバと接続可能な端末に装着されていれば、アクセス条件を記録担体に登録することができる。
【００２８】
また、本発明は、記録担体と、情報端末と、ネットワークを介して、前記情報端末を接続されたアクセス条件管理サーバとから構成されるデータ保護システムであって、前記記録担体は、記憶手段と、当該記録担体が装着されている情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、前記記憶手段へのアクセス可否を示すアクセス条件を取得するアクセス条件取得手段と、前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備え、前記情報端末は、前記記録担体を装着する記録担体インターフェースと、前記記録担体の前記記憶手段へのアクセス要求を生成するアクセス要求生成手段と、生成した前記アクセス要求を、前記記録担体へ出力するアクセス要求出力手段とを備え、前記アクセス条件管理サーバは、前記アクセス条件を記憶するアクセス条件記憶手段と、前記情報端末を介して、前記記録担体へ前記アクセス条件を送信するアクセス条件送信手段とを備える。
【００２９】
即ち、この構成によると、アクセス条件を記憶しているのは、記録担体自身ではなく、アクセス条件管理サーバである。これにより、記録担体を情報端末に装着したまま紛失した場合であっても、アクセス条件管理サーバが記憶しているアクセス条件を、装着されている情報端末がアクセスできないように書き換えることができる。
【発明を実施するための最良の形態】
【００３０】
≪第１実施形態≫
ここでは、本発明に係る第１の実施形態として、データ保護システム１について説明する。
図１は、データ保護システム１の構成を示す。同図に示す様に、データ保護システム１は、記録担体１０、携帯電話機２０、ＰＤＡ３０、ＰＣ４０、及び携帯電話機５０から構成される。
【００３１】
記録担体１０は、マイクロプロセッサを搭載した可搬媒体であって、携帯電話機、ＰＤＡ、ＰＣ、デジタルカメラ、カード用リーダライタ等のカードスロットに装着して用いられるメモリカードやＩＣカード等を想定している。
メモリカードの一例は、ＳＤ（Secure Digital）メモリカードである。ＳＤメモリカードは、著作権保護機能「ＣＰＲＭ（Content Protection for Recordable Media）」を内蔵しており、音楽や映像などのコンテンツを記憶するのに適する。
【００３２】
ＩＣカードの一例は、ＳＩＭ（Subscriber Identity Module）カードである。ＳＩＭカードは、携帯電話会社により発行され、契約者情報を記録したＩＣカードであって、携帯電話機に装着して利用者の識別に用いられる。ＳＩＭカードを差し替えることにより、複数の携帯電話機を、同じ契約者扱いで利用することができる。
携帯電話機２０、ＰＤＡ３０、ＰＣ４０、及び携帯電話機５０は、共にマイクロプロセッサを搭載したコンピュータシステムである。本明細書においては、携帯電話機、ＰＤＡ、及びＰＣを、「情報端末」と総称することがある。
【００３３】
上記の情報端末は、カードスロットを備えており、カードスロットに記録担体１０を装着した状態で、記録担体１０との間で情報の入出力を行う。各情報端末には、固有の識別子である端末ＩＤが割り当てられている。後で詳しく述べるが、携帯電話機２０には、端末ＩＤとして「ＩＤ＿Ａ」、ＰＤＡ３０には、「ＩＤ＿Ｂ」、ＰＣ４０には「ＩＤ＿Ｃ」、携帯電話機５０には、「ＩＤ＿Ｅ」が割り当てられているものとする。
【００３４】
なお、本実施形態では、記録担体１０は、携帯電話機２０のカードスロットに予め装着された状態で携帯電話機２０のユーザに販売されたものとする。また、携帯電話機２０、ＰＤＡ３０及びＰＣ４０は、同一のユーザが所有する情報端末であり、携帯電話機５０は、他の人物が所有する情報端末であるとする。
＜構成＞
１．記録担体１０
図２は、記録担体１０の構成を示す。同図に示す様に、記録担体１０は、端末Ｉ／Ｆ１１、データ記憶部１２、機器情報登録部１４、機器情報記憶部１５、及び制御部１６から構成される。なお、データ記憶部１２は、アクセス制限領域１３を含む。
【００３５】
（１）端末Ｉ／Ｆ１１
端末Ｉ／Ｆ１１は、コネクタピン、インターフェースドライバなどから成り、記録担体１０が、携帯電話機２０、ＰＤＡ３０、ＰＣ４０及び携帯電話機５０のカードスロットに装着された状態で、各情報端末との間で、各種情報の受け渡しをする。
具体例として、端末Ｉ／Ｆ１１は、情報端末から受け取るアクセス要求を制御部１６へ出力し、情報端末から受け取る登録要求データ、削除要求データを機器情報登録部１４へ出力する。
【００３６】
（２）データ記憶部１２
データ記憶部１２は、具体的には、フラッシュメモリであって、プログラムやデータを記憶する。データ記憶部１２は、制御部１６からアクセス可能であって、制御部１６から受け取る情報を内部に記憶したり、制御部１６からの要求に従い、記憶している情報を制御部１６へ出力したりする。なお、データ記憶部１２は、機密性の高いデータ等を記憶するための領域であるアクセス制限領域１３を含む。
【００３７】
（３）アクセス制限領域１３
アクセス制限領域１３は、データ記憶部１２の一部であって、図３に示す様に、ブロック１、ブロック２、及びブロック３の３つのメモリブロックから構成される。これらのメモリブロックは、メモリ領域が物理的に分割されている必要はなく、論理的に分割されていればよい。
【００３８】
ブロック１は、アプリケーションプログラム１（ＡＰＰ１）、アプリケーションプログラム２（ＡＰＰ２）、アドレス帳データ、及び保護メールデータを記憶している。ブロック２は、スケジュールデータ、画像データなどを記憶している。ブロック３は、アプリケーションプログラム３（ＡＰＰ３）などを記憶している。
各ブロックに記憶されているこれらのプログラム及びデータは、制御部１６により読み出し、及び書き込みが行われる。
【００３９】
（４）機器情報登録部１４
機器情報登録部１４は、マイクロプロセッサなどから成り、アクセス制限領域１３にアクセスすることが可能な情報端末に係るアクセス可能機器情報を、携帯電話機２０から受け取る登録要求に基づき機器情報記憶部１５に登録する。また、機器情報登録部１４は、既に機器情報記憶部１５に登録されているアクセス可能機器情報を、携帯電話機２０から受け取る削除要求に基づき削除する。
【００４０】
図４は、機器情報登録部１４の構成を機能的に示す機能ブロック図である。同図に示す様に、機器情報登録部１４は、処理開始要求受付部１０１、乱数生成部１０２、レスポンスデータ検査部１０３、公開鍵取得部１０４、ランダム鍵生成部１０５、暗号部１０６、処理データ受付部１０７、署名検査部１０８、パスワード検査部１０９、復号部１１０、及びデータ制御部１１１から構成される。
【００４１】
（ａ）処理開始要求受付部１０１は、端末Ｉ／Ｆ１１を介して、携帯電話機２０から、処理開始要求を受け付ける。処理開始要求は、アクセス可能機器情報の登録処理又は削除処理の開始を示す情報である。処理開始要求受付部１０１は、処理開始要求を受け付けると、乱数生成部１０２に対して、乱数を生成する指示を出力する。
（ｂ）乱数生成部１０２は、処理開始要求受付部１０１から乱数を生成する指示を受け取ると、乱数ｒを生成する。乱数ｒは、携帯電話機２０との間でチャレンジ‐レスポンス認証を行うためのチャレンジデータである。乱数生成部１０２は、生成した乱数ｒを、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力すると共に、レスポンスデータ検査部１０３ヘ出力する。
【００４２】
（ｃ）レスポンスデータ検査部１０３は、予め、共通鍵Ｋｃ及び暗号アルゴリズムＥ1を、携帯電話機２０と共有している。レスポンスデータ検査部１０３は、端末Ｉ／Ｆ１１を介して携帯電話機２０から受け取るレスポンスデータを検査し、携帯電話機２０が正当な端末であるか否か判断する。
具体的には、レスポンスデータ検査部１０３は、乱数生成部１０２から、チャレンジデータである乱数ｒを受け取り、受け取った乱数ｒに、共通鍵Ｋｃを暗号鍵として用い、暗号アルゴリズムＥ1を施して、暗号化データＣ1＝Ｅ1(Ｋｃ，ｒ)を生成する。一方、レスポンスデータ検査部１０３は、端末Ｉ／Ｆ１１を介して、携帯電話機２０からレスポンスデータＣ1´＝Ｅ1(Ｋｃ，ｒ)を受け取る。レスポンスデータ検査部１０３は、暗号化データＣ1とレスポンスデータＣ1´とを比較し、両者が一致する場合に、携帯電話機２０は正当な端末であると判断し、ランダム鍵生成部１０５に対して、ランダム鍵の生成を指示する。レスポンスデータ検査部１０３は、Ｃ1とＣ1´とが一致しない場合に、携帯電話機２０は不正な端末であると判断し、「認証ＮＧ」を示すエラーメッセージを、端末Ｉ／Ｆ１１を介して、携帯電話機２０に通知する。なお、暗号アルゴリズムＥ1については限定しないが、一例は、ＤＥＳ（Data Encryption Standard）である。
【００４３】
（ｄ）公開鍵取得部１０４は、携帯電話機２０の公開鍵ＰＫ20を取得して、保持している。ここで、公開鍵ＰＫ20の取得方法は限定しない。予め、公開鍵取得部１０４に書き込まれていてもよいし、ユーザの操作等により、端末Ｉ／Ｆ１１を介して携帯電話機２０から取得してもよい。公開鍵取得部１０４は、暗号部１０６からの指示を受け、公開鍵ＰＫ20を、暗号部１０６に出力する。
【００４４】
（ｅ）ランダム鍵生成部１０５は、レスポンスデータ検査部１０３から、ランダム鍵生成の指示を受け取ると、ランダム鍵Ｋｒを生成する。ランダム鍵生成部１０５は、生成したランダム鍵Ｋｒを、暗号部１０６及び復号部１１０に出力する。
なお、本明細書では、ランダム鍵生成部１０５で生成されるランダム鍵を全て「Ｋｒ」と表記するが、実際のランダム鍵Ｋｒは、レスポンスデータ検査部１０３から生成指示を受けると、その都度ランダムに生成される鍵データである。
【００４５】
（ｆ）暗号部１０６は、ランダム鍵生成部１０５からランダム鍵Ｋｒを受け取る。暗号部１０６は、ランダム鍵Ｋｒを受け取ると、公開鍵取得部１０４に対して、公開鍵ＰＫ20の出力を指示し、公開鍵取得部１０４から、公開鍵ＰＫ20を受け取る。
暗号部１０６は、公開鍵ＰＫ20を暗号鍵として用い、ランダム鍵Ｋｒに暗号アルゴリズムＥ2を施して、暗号化ランダム鍵Ｃ2＝Ｅ2(ＰＫ20，Ｋｒ)を生成する。暗号部１０６は、生成した暗号化ランダム鍵Ｃ2＝Ｅ2(ＰＫ20，Ｋｒ)を、端末Ｉ／Ｆ１１を介して、携帯電話機２０へ出力する。なお、暗号アルゴリズムＥ2については限定しないが、一例は、ＲＳＡである。
【００４６】
（ｇ）処理データ受付部１０７は、端末Ｉ／Ｆ１１を介して、携帯電話機２０から処理データを受け取り、受け取った処理データを署名検査部１０８へ出力する。
処理データ受付部１０７が携帯電話機２０から受け取る処理データは、アクセス可能機器情報の登録処理を示す登録要求データ、及び、アクセス可能機器情報の削除処理を示す削除要求データである。
【００４７】
登録要求データの一例を、図５（ａ）に示す。登録要求データ１２０は、登録コマンド１２１、暗号化登録ＩＤリスト１２２、パスワード１２３、及び署名データ１２４から構成される。
登録コマンド１２１は、後述するデータ制御部１１１に対して、登録処理を指示するコマンドであって、ここでは具体例として、「/touroku」とする。
【００４８】
暗号化登録ＩＤリスト１２２は、図５（ｂ）に示した登録ＩＤリスト１２５に、ランダム鍵Ｋｒを暗号鍵として用い、暗号アルゴリズムＥ3を施して生成された暗号化データであり、ここでは、Ｅ3(Ｋｒ，登録ＩＤリスト)と表記する。
登録ＩＤリスト１２５は、図５（ｂ）に示す様に、登録情報１２６及び登録情報１２７から成り、各登録情報は、端末ＩＤ、アクセス可能回数、アクセス可能期間、アクセス可能領域、及びアクセス可能アプリから成る。
【００４９】
パスワード１２３は、携帯電話機２０の操作者により入力されたデータである。
署名データ１２４は、登録コマンド１２１、暗号化登録ＩＤリスト１２２．及びパスワード１２３に対して、署名鍵を用いてデジタル署名を施し生成された署名データである。なお、署名鍵は、携帯電話機２０が保持するデジタル署名用の鍵データである。
登録要求データ１２０は、携帯電話機２０の制御部２３により生成されるデータである。そのため、登録要求データ１２０及び登録ＩＤリスト１２５については、後の携帯電話機２０の説明で詳しく述べる。
【００５０】
削除要求データの一例を、図５（ｃ）に示す。削除要求データ１３０は、削除コマンド１３１、暗号化削除ＩＤリスト１３２、パスワード１３３、及び署名データ１３４から構成される。
削除コマンド１３１は、後述するデータ制御部１１１に対して、削除処理を指示するコマンドであって、ここでは具体例として、「/sakujo」とする。
【００５１】
暗号化削除ＩＤリスト１３２は、図５（ｄ）に示した削除ＩＤリスト１３５に、ランダム鍵Ｋｒを暗号鍵として用い、暗号アルゴリズムＥ3を施して生成された暗号化データであり、ここでは、Ｅ3(Ｋｒ，削除ＩＤリスト)と表記する。削除ＩＤリスト１３５は、端末ＩＤ「ＩＤ＿Ｃ」及び「ＩＤ＿Ｄ」から成る。
パスワード１３３は、携帯電話機２０の操作者により入力されたデータである。
【００５２】
署名データ１３４は、削除コマンド１３１、暗号化削除ＩＤリスト１３２、及びパスワード１３３に対して、署名鍵を用いてデジタル署名を施し生成された署名データである。
ここで、ランダム鍵Ｋｒは、先ほど述べた様に、ランダム鍵生成部１０５において、処理ごとに生成されるランダムな鍵データであるので、暗号化登録ＩＤリスト１２２の暗号化に用いられたランダム鍵と、暗号化削除ＩＤリスト１３２の暗号化に用いられたランダム鍵とは、異なる鍵データである。
【００５３】
なお、削除要求データ１３０は、携帯電話機２０の制御部２３により生成されるデータである。そのため、削除要求データ１３０については、後の携帯電話機２０の説明で詳しく述べる。
（ｈ）署名検査部１０８は、予め内部に検証鍵を保持している。検証鍵は、携帯電話機２０が保持している署名鍵に対応しており、携帯電話機２０から出力される署名データを検証するための鍵データである。
【００５４】
署名検査部１０８は、処理データ受付部１０７から処理データを受け取り、受け取った処理データに含まれる署名データの正当性を検査し、当該処理データが、確かに携帯電話機２０により生成されたデータであるか否かを判断する。
署名データの正当性が確認された場合、署名検査部１０８は、当該処理データをパスワード検査部１０９へ出力する。一方、署名データの正当性が確認されなかった場合、署名検査部１０８は、端末Ｉ／Ｆ１１を介して、その旨を携帯電話機２０に通知し、当該処理データを破棄する。
【００５５】
具体例として、処理データ受付部１０７から受け取る処理データが、図５（ａ）に示した登録要求データ１２０とすると、署名検査部１０８は、検証鍵を用いて署名データ「Ｓｉｇ＿Ａ」の正当性を検査する。署名データ「Ｓｉｇ＿Ａ」の正当性が確認された場合、署名検査部１０８は、登録要求データ１２０を、パスワード検査部１０９へ出力する。また、処理データ受付部１０７から受け取る処理データが、図５（ｃ）に示した削除要求データ１３０とすると、署名検査部１０８は、検証鍵を用いて署名データ「Ｓｉｇ＿Ａ´」の正当性を検査する。「Ｓｉｇ＿Ａ´」の正当性が確認された場合、署名検査部１０８は、削除要求データ１３０を、パスワード検査部１０９へ出力する。
【００５６】
なお、署名検査部１０８で用いられる署名検証のアルゴリズムは、公開鍵暗号方式を用いたデジタル署名方式であり、公知技術で実現可能であるため説明を省略する。
（ｉ）パスワード検査部１０９は、署名検査部１０８から、処理データを受け取る。また、パスワード検査部１０９は、機器情報記憶部１５から、正しいパスワードを読み出し、当該処理データに含まれるパスワードが、正しいパスワードと一致するか否か判断する。
【００５７】
処理データに含まれるパスワード、即ち、携帯電話機２０の操作者により入力されたパスワードが正しいパスワードと一致する場合、パスワード検査部１０９は、当該処理データを復号部１１０へ出力する。処理データに含まれるパスワードが正しいパスワードと一致しない場合、パスワード検査部１０９は、端末Ｉ／Ｆ１１を介して、その旨を携帯電話機２０に通知し、当該処理データを破棄する。
【００５８】
具体例として、署名検査部１０８から受け取る処理データが、図５（ａ）に示した登録要求データ１２０とすると、パスワード検査部１０９は、登録要求データ１２０から「ＰＷ＿Ａ」を抽出し、「ＰＷ＿Ａ」が正しいパスワードと一致するか否か判断する。「ＰＷ＿Ａ」が正しいパスワードと一致する場合に、パスワード検査部１０９は、登録要求データ１２０を復号部１１０へ出力する。また、署名検査部１０８から受け取る処理データが、図５（ｃ）に示した削除要求データ１３０とすると、パスワード検査部１０９は、削除要求データ１３０から「ＰＷ＿Ａ´」を抽出し、「ＰＷ＿Ａ´」が正しいパスワードと一致するか否か判断する。「ＰＷ＿Ａ´」が正しいパスワードと一致する場合に、パスワード検査部１０９は、削除要求データ１３０を復号部１１０へ出力する。
【００５９】
（ｊ）復号部１１０は、パスワード検査部１０９から処理データを受け取り、更に、ランダム鍵生成部１０５からランダム鍵Ｋｒを受け取る。
復号部１１０は、処理データから、暗号化登録ＩＤリスト、又は、暗号化削除ＩＤリストを抽出し、ランダム鍵生成部１０５から受け取ったランダム鍵Ｋｒを復号鍵として用い、復号アルゴリズムＤ3を施して、登録ＩＤリスト、又は、削除ＩＤリストを復号する。ここで、復号アルゴリズムＤ3は、暗号アルゴリズムＥ3により暗号化されたデータを復号するアルゴリズムである。
【００６０】
復号部１１０は、登録コマンド及び復号した登録ＩＤリスト、又は、削除コマンド及び復号した削除ＩＤリストをデータ制御部１１１へ出力する。
具体例として、復号部１１０は、パスワード検査部１０９から登録要求データ１２０を受け取ると、登録要求データ１２０から暗号化登録ＩＤリスト１２２を抽出し、抽出した暗号化登録ＩＤリストから、図５（ｂ）に示した登録ＩＤリスト１２５を復号する。復号部１１０は、登録コマンド１２１と登録ＩＤリスト１２５とを、データ制御部１１１へ出力する。
【００６１】
また、復号部１１０は、パスワード検査部１０９から削除要求データ１３０を受け取ると、削除要求データ１３０から暗号化削除ＩＤリスト１３２を抽出し、抽出した暗号化削除ＩＤリスト１３２から、図５（ｄ）に示した削除ＩＤリスト１３５を復号する。復号部１１０は、削除コマンド１３１と削除ＩＤリスト１３５とを、データ制御部１１１へ出力する。
【００６２】
（ｋ）データ制御部１１１は、アクセス可能機器情報の登録及び削除を行う。
より詳しくは、データ制御部１１１は、復号部１１０から、登録コマンドと登録ＩＤリストとを受け取り、登録ＩＤリストに含まれる登録情報が、機器情報記憶部１５に記憶されているアクセス可能機器テーブル１４０に、未だ登録されていない場合に、当該登録情報を、アクセス可能機器情報として、アクセス可能機器テーブル１４０に登録する。
【００６３】
また、データ制御部１１１は、復号部１１０から、削除コマンドと削除ＩＤリストとを受け取り、削除ＩＤリストに含まれる端末ＩＤが、アクセス可能機器テーブル１４０に既に登録されている場合に、当該端末ＩＤを含むアクセス可能機器情報を、アクセス可能機器テーブル１４０から削除する。
なお、アクセス可能機器テーブル１４０については後述する。
【００６４】
（５）機器情報記憶部１５
機器情報記憶部１５は、パスワードと、アクセス可能機器テーブル１４０とを記憶している。
機器情報記憶部１５が記憶しているパスワードは、記録担体１０の製造時又は出荷時に、固有のパスワードが設定されて、機器情報記憶部１５に書き込まれるものとする。
【００６５】
なお、機器情報記憶部１５に記憶されているパスワードは、記録担体１０を購入したユーザのみが知っているものとする。例えば、パッケージの箱を開けて初めて見える箇所に、機器情報記憶部１５に記憶されているパスワードが書かれており、ユーザは、記録担体１０の購入後にパッケージの箱を開けて初めてパスワードを知ることができる仕組みになっていてもよい。
【００６６】
図６は、アクセス可能機器テーブル１４０のデータ構成を示している。アクセス可能機器テーブル１４０は、アクセス可能機器情報１４１．１４２、及び１４３から成り、各アクセス可能機器情報は、端末ＩＤ、アクセス可能回数、アクセス可能期間、アクセス可能領域及びアクセス可能アプリから成る。
各アクセス可能機器情報に含まれる端末ＩＤは、データ記憶部１２内のアクセス制限領域１３にアクセスすることが可能な機器を一意に識別する識別子である。アクセス可能回数は、対応する機器が、アクセス制限領域１３にアクセスすることが可能な回数である。アクセス可能期間は、対応する機器が、アクセス制限領域１３にアクセスすることが可能な期間である。アクセス可能領域は、対応する機器がアクセスすることが可能なアクセス制限領域１３内のメモリブロックである。アクセス可能アプリは、対応する機器がアクセスすることが可能なアプリケーションプログラムである。
【００６７】
図６によると、アクセス制限領域１３にアクセスすることが可能な機器は、端末ＩＤとして「ＩＤ＿Ａ」を有する機器と、端末ＩＤとして「ＩＤ＿Ｂ」を有する機器と、端末ＩＤとして「ＩＤ＿Ｃ」を有する機器とである。
アクセス可能機器情報１４１によると、アクセス可能回数、アクセス可能期間、アクセス可能領域及びアクセス可能アプリ共に「制限なし」のため、端末ＩＤ「ＩＤ＿Ａ」を有する機器（携帯電話機２０）は、無制限にアクセス制限領域１３にアクセスすることが可能である。
【００６８】
アクセス可能機器情報１４２によると、アクセス可能回数が「３」、アクセス可能期間が「２００４，８，１〜２００５，７，３１」、アクセス可能領域が「ブロック２」、アクセス可能アプリが「‐」であるので、端末ＩＤ「ＩＤ＿Ｂ」を有する機器（ＰＤＡ３０）は、２００４年８月１日から２００５年７月３１日までの間に、ブロック２の領域に限り３回までアクセスすることが可能である。
【００６９】
アクセス可能機器情報１４３によると、アクセス可能回数が「５」、アクセス可能期間が「２００４，８，１〜２００６，７，３１」、アクセス可能領域が「ブロック１、ブロック２」、アクセス可能アプリが「ＡＰＰ１」であるので、端末ＩＤ「ＩＤ＿Ｃ」を有する機器（ＰＣ４０）は、２００４年８月１日から２００６年７月３１日までの間に、ブロック１及びブロック２の領域に限り５回までアクセスすることが可能である。但し、アクセス可能なアプリケーションプログラムは、アプリケーションプログラム１（ＡＰＰ１）のみである。
【００７０】
各アクセス可能機器情報は、機器情報登録部１４によりアクセス可能機器テーブル１４０に登録又は削除される。また、各アクセス可能機器情報は、アクセス要求に対する、制御部１６によるアクセス可否判断に用いられる。
（６）制御部１６
制御部１６は、マイクロプロセッサなどから成り、端末Ｉ／Ｆ１１から、アクセス制限領域１３へのアクセス要求を受け取ると、機器情報記憶部１５に記憶されているアクセス可能機器テーブル１４０を参照し、当該アクセス要求に対して、アクセス制限領域１３へのアクセスを許可するか否か判断する。以下では、制御部１６について、詳細に説明する。
【００７１】
図７は、制御部１６の構成を機能的に示す機能ブロック図である。同図に示す様に、制御部１６は、処理開始要求受付部１５０、公開鍵取得部１５１、ランダム鍵生成部１５２、暗号部１５３、アクセス要求受付部１５４、復号部１５５、判断部１５６、日付管理部１５７、メモリアクセス部１５８、及びデータ入出力部１５９から構成される。
（ａ）処理開始要求受付部１５０は、端末Ｉ／Ｆ１１を介して、記録担体１０が装着されている情報端末から、処理開始要求を受け付ける。処理開始要求は、アクセス制限領域１３へのアクセス要求処理の開始を示す情報である。処理開始要求受付部１５０は、処理開始要求を受け付けると、公開鍵取得部１５１に対して前記情報端末の公開鍵を取得する指示を出力し、ランダム鍵生成部１５２に対して、ランダム鍵を生成する指示を出力する。
【００７２】
（ｂ）公開鍵取得部１５１は、処理開始要求受付部１５０から、公開鍵取得の指示を受けると、端末Ｉ／Ｆ１１を介して、記録担体１０が装着されている情報端末から、当該情報端末の公開鍵ＰＫNを取得する。ここで、Ｎ＝２０、３０、４０、又は５０であって、ＰＫ20は、携帯電話機２０の公開鍵、ＰＫ30は、ＰＤＡ３０の公開鍵、ＰＫ40は、ＰＣ４０の公開鍵、ＰＫ50は、携帯電話機５０の公開鍵である。例えば、記録担体１０が携帯電話機２０のカードスロットに装着されている場合、公開鍵取得部１５１は、携帯電話機２０から、公開鍵ＰＫ20を取得する。公開鍵取得部１５１は、取得した公開鍵ＰＫNを暗号部１５３へ出力する。
【００７３】
（ｃ）ランダム鍵生成部１５２は、処理開始要求受付部１５０から、ランダム鍵生成の指示を受けると、ランダム鍵Ｋｒを生成する。ランダム鍵生成部１５２は、生成したランダム鍵Ｋｒを、暗号部１５３及び復号部１５５に出力する。
（ｄ）暗号部１５３は、公開鍵取得部１５１から、公開鍵ＰＫNを受け取り、ランダム鍵生成部１５２からランダム鍵Ｋｒを受け取る。暗号部１５３は、公開鍵ＰＫNを暗号鍵として用い、ランダム鍵Ｋｒに暗号アルゴリズムＥ4を施して、暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫN，Ｋｒ)を生成する。暗号部１５３は、生成した暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫN，Ｋｒ)を、端末Ｉ／Ｆ１１を介して、情報端末へ出力する。例えば、記録担体１０が、携帯電話機２０のカードスロットに装着されている場合、暗号部１５３は、暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫ20，Ｋｒ)を生成し、生成した暗号化ランダム鍵Ｃ4を、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力する。
【００７４】
なお、暗号アルゴリズムＥ4については限定しないが、一例は、ＲＳＡである。
（ｅ）アクセス要求受付部１５４は、端末Ｉ／Ｆ１１を介して、情報端末からアクセス要求を受け取り、受け取ったアクセス要求を、復号部１５５へ出力する。
アクセス要求受付部１５４が携帯電話機２０から受け取るアクセス要求の一例を、図８（ａ）に示す。アクセス要求１６０は、アクセスコマンド１６１、暗号化端末ＩＤ１６２及び要求データ識別情報１６３から成る。
【００７５】
同様に、図８（ｂ）に示すアクセス要求１７０は、ＰＤＡ３０から受け取るアクセス要求の一例であり、図８（ｃ）に示すアクセス要求１８０は、ＰＣ４０から受け取るアクセス要求の一例であり、図８（ｄ）に示すアクセス要求１９０は、携帯電話機５０から受け取るアクセス要求の一例である。
アクセス要求は、各情報端末により生成されるデータである。そのため、アクセス要求１６０、１７０、１８０、及び１９０の詳細は後述する。
【００７６】
（ｆ）復号部１５５は、ランダム鍵生成部１５２からランダム鍵Ｋｒを受け取り、更に、アクセス要求受付部１５４からアクセス要求を受け取る。復号部１５５は、アクセス要求から暗号化端末ＩＤを抽出し、暗号化端末ＩＤに、ランダム鍵Ｋｒを復号鍵として、復号アルゴリズムＤ5を施し、端末ＩＤを復号する。ここで、復号アルゴリズムＤ5は、暗号アルゴリズムＥ5により暗号化されたデータを復号するアルゴリズムである。復号部１５５は、アクセスコマンド、復号した端末ＩＤ、及び要求データ識別情報を、判断部１５６へ出力する。
【００７７】
一例として、復号部１５５は、アクセス要求受付部１５４から、図８（ａ）に示したアクセス要求１６０を受け取ると、復号部１５５は、アクセス要求１６０から暗号化端末ＩＤ１６２「Ｅ5(Ｋｒ，ＩＤ＿Ａ)」を抽出し、抽出した暗号化端末ＩＤ１６２に、ランダム鍵Ｋｒを復号鍵として、復号アルゴリズムＤ5を施し、「ＩＤ＿Ａ」を復号する。復号部１５５は、アクセスコマンド１６１「/access」、端末ＩＤ「ＩＤ＿Ａ」、及び要求データ識別情報１６３「アドレス帳」を、判断部１５６へ出力する。
【００７８】
（ｇ）判断部１５６は、復号部１５５から、アクセスコマンド、端末ＩＤ、及び要求データ識別情報を受け取る。判断部１５６は、受け取った端末ＩＤを有する情報端末が、受け取った要求データ識別情報により識別されるデータにアクセス可能であるか否か判断する。
また、判断部１５６は、図９に示すテーブル２００を記憶している。テーブル２００は、アクセス制限領域１３の各メモリブロックのブロック番号と、各メモリブロックに記憶されているデータのデータ識別情報とを対応付けたものである。また、判断部１５６は、端末ＩＤとアクセス回数とを対応付けたテーブルを記憶している。アクセス回数は、アクセス制限領域１３にアクセスした回数を示している。なお、このテーブルは図示していない。
【００７９】
以下では、具体例を用いて、判断部１５６によるアクセス可否判断について説明する。
判断部１５６は、復号部１５５から、アクセスコマンド１６１「/access」、復号部１５５により復号された「ＩＤ＿Ａ」、及び、要求データ識別情報１６３「アドレス帳」を受け取る。判断部１５６は、機器情報記憶部１５に記憶されているアクセス可能機器テーブル１４０から、端末ＩＤ「ＩＤ＿Ａ」を含むアクセス可能機器情報１４１を読み出す。また、判断部１５６は、日付管理部１５７から、現在の日付を示す日付情報を読み出す。
【００８０】
判断部１５６は、アクセス可能機器情報１４１、日付情報、及び、テーブル２００から、端末ＩＤ「ＩＤ＿Ａ」を有する携帯電話機２０が、「アドレス帳」へのアクセスを許可されているか否か判断する。判断の処理は後で詳しく述べる。
ここでは、携帯電話機２０に対して、アドレス帳へのアクセスが許可されているので、判断部１５６は、メモリアクセス部１５８に対して、アクセス制限領域１３から、アドレス帳データ（図３）を読み出し、データ入出力部１５９を介して携帯電話機２０へ出力するように指示する。
【００８１】
ここで、仮に携帯電話機２０に対して、アドレス帳へのアクセスが許可されていない場合、判断部１５６は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、指定されたデータへのアクセスが許可されていない旨を示すエラーメッセージを出力する。
（ｈ）日付管理部１５７は、現在の日付を示す日付情報を管理している。
（ｉ）メモリアクセス部１５８は、データ識別情報と、当該データ識別情報により識別されるデータが記憶されているデータ記憶部１２における位置を示すメモリアドレスとを対応付けて記憶している。メモリアクセス部１５８は、判断部１５６からアクセスコマンドとデータ識別情報とを受け取り、受け取ったデータ識別情報と対応するメモリアドレスを求める。メモリアクセス部１５８は、求めたアドレスが示す位置からデータを読み出し、読み出したデータを、データ入出力部１５９へ出力する。
【００８２】
（ｊ）データ入出力部１５９は、端末Ｉ／Ｆ１１とメモリアクセス部１５８との間で情報のやり取りを行う。
２．携帯電話機２０
図１０は、携帯電話機２０の構成を機能的に示す機能ブロック図である。同図に示す様に、携帯電話機２０は、記録担体Ｉ／Ｆ２１、端末ＩＤ記憶部２２、制御部２３、外部入力Ｉ／Ｆ２４、及び表示部２５から構成される。
【００８３】
具体的に、携帯電話機２０は、アンテナ、無線部、マイク、スピーカなどを備え、無線電波を用いて通信を行う可搬型の電話機であるが、携帯電話機としての機能は、公知技術で実現可能であるため、図１０では、これらの構成要素の記載を省略している。
（１）記録担体Ｉ／Ｆ２１
記録担体Ｉ／Ｆ２１は、メモリカードスロット等から成り、メモリカードスロットに、記録担体１０が装着された状態で、記録担体１０との間で各種情報の受け渡しをする。
【００８４】
（２）端末ＩＤ記憶部２２
端末ＩＤ記憶部２２は、携帯電話機２０を一意に識別する端末ＩＤ「ＩＤ＿Ａ」を記憶している。具体的に、端末ＩＤは、シリアル番号や、電話番号などを用いる。
（３）制御部２３
制御部２３は、図１０に示す様に、処理開始要求生成部２１１、レスポンスデータ生成部２１２、復号部２１３、暗号部２１４、処理データ生成部２１５、署名生成部２１６、アクセス要求生成部２１７、及びデータ出力部２１８から構成される。
【００８５】
（ａ）処理開始要求生成部２１１は、外部入力Ｉ／Ｆ２４から、登録要求、削除要求、データアクセス要求を示す入力信号を受け取ると、処理開始要求を生成し、生成した処理開始要求を、記録担体Ｉ／Ｆ２１を介して記録担体１０へ出力する。
（ｂ）レスポンスデータ生成部２１２は、予め、共通鍵Ｋｃ及び暗号アルゴリズムＥ1を、記録担体１０と共有している。
【００８６】
レスポンスデータ生成部２１２は、記録担体１０から、記録担体Ｉ／Ｆ２１を介してチャレンジデータである乱数ｒを受け取り、受け取った乱数ｒに、共有鍵Ｋｃを暗号鍵として用い、暗号アルゴリズムＥ1を施して、レスポンスデータＣ1´＝Ｅ1(Ｋｃ，ｒ)を生成する。レスポンスデータ生成部２１２は、生成したレスポンスデータＣ1´を記録担体Ｉ／Ｆ２１を介して、記録担体１０へ出力する。
【００８７】
（ｃ）復号部２１３は、公開鍵ＰＫ20に対応する秘密鍵ＳＫ20を秘密に保持している。
復号部２１３は、登録処理及び削除処理において、記録担体１０から記録担体Ｉ／Ｆ２１を介して、暗号化ランダム鍵Ｃ2＝Ｅ2(ＰＫ20，Ｋｒ)を受け取る。暗号化ランダム鍵Ｃ2＝Ｅ2(ＰＫ20，Ｋｒ)は、ランダム鍵Ｋｒが、携帯電話機２０の公開鍵ＰＫ20で暗号化されたデータである。復号部２１３は、秘密鍵ＳＫ20を復号鍵として用い、復号アルゴリズムＤ2を施して、ランダム鍵Ｋｒを復号する。ここで、復号アルゴリズムＤ2は、暗号アルゴリズムＥ2を用いて暗号化されたデータを復号するアルゴリズムである。復号部２１３は、復号したランダム鍵Ｋｒを、暗号部２１４へ出力する。
【００８８】
また、復号部２１３は、アクセス要求処理において、記録担体１０から、記録担体Ｉ／Ｆ２１を介して、暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫ20，Ｋｒ)を受け取る。暗号化ランダム鍵Ｃ4＝Ｅ4(ＰＫ20，Ｋｒ)は、ランダム鍵Ｋｒが、携帯電話機２０の公開鍵ＰＫ20で暗号化されたデータである。復号部２１３は、秘密鍵ＳＫ20を復号鍵として用い、復号アルゴリズムＤ4を施して、ランダム鍵Ｋｒを復号する。ここで、復号アルゴリズムＤ4は、暗号アルゴリズムＥ4を用いて暗号化されたデータを復号するアルゴリズムである。復号部２１３は、復号したランダム鍵Ｋｒを、暗号部２１４へ出力する。
【００８９】
（ｄ）暗号部２１４は、登録処理において、処理データ生成部２１５から登録ＩＤリストを受け取り、復号部２１３からランダム鍵Ｋｒを受け取る。暗号部２１４は、ランダム鍵Ｋｒを暗号鍵として用い、登録ＩＤリストに暗号アルゴリズムＥ3を施して、暗号化登録ＩＤリストを生成する。具体例として、暗号部２１４は、処理データ生成部２１５から、図５（ｂ）に示した登録ＩＤリスト１２５を受け取り、登録ＩＤリスト１２５を暗号化して、暗号化登録ＩＤリストを生成する。暗号部２１４は、生成した暗号化登録ＩＤリストを、処理データ生成部２１５へ出力する。
【００９０】
暗号部２１４は、削除処理においても同様に、削除ＩＤリストを暗号化して、暗号化削除ＩＤリストを生成する。具体例として、暗号部２１４は、処理データ生成部２１５から、図５（ｄ）に示した削除ＩＤリスト１３５を受け取り、削除ＩＤリスト１３５を暗号化して、暗号化削除リストを生成する。暗号部２１４は、生成した暗号化削除ＩＤリストを、処理データ生成部２１５へ出力する。
【００９１】
また、アクセス要求処理において、暗号部２１４は、端末ＩＤ記憶部２２から、端末ＩＤ「ＩＤ＿Ａ」を読み出し、更に、復号部２１３から、ランダム鍵Ｋｒを受け取る。暗号部２１４は、ランダム鍵Ｋｒを暗号鍵として用い、「ＩＤ＿Ａ」に暗号アルゴリズムＥ5を施し、暗号化端末ＩＤ「Ｅ5(Ｋｒ，ＩＤ＿Ａ)」を生成し、生成した暗号化端末ＩＤを、アクセス要求生成部２１７へ出力する。
【００９２】
（ｅ）処理データ生成部２１５は、登録要求データ及び削除要求データを生成する。
（登録要求データ１２０生成）
ここでは、具体例として、図５（ａ）に示した登録要求データ１２０を生成する処理について説明する。
処理データ生成部２１５は、予め内部に登録要求データ制御情報を保持している。登録要求データ制御情報は、登録要求データの生成に用いられる情報であって、登録要求データ１２０の登録コマンド１２１「/touroku」のみが記述されており、暗号化登録ＩＤリスト１２２、パスワード１２３及び署名データ１２４が空欄になっている。
【００９３】
処理データ生成部２１５は、端末ＩＤ記憶部２２から自機の端末ＩＤ「ＩＤ＿Ａ」を受け取り、外部入力Ｉ／Ｆ２４を介して、自機のアクセス可能回数「制限なし」、アクセス可能期間「制限なし」、アクセス可能領域「制限なし」、及びアクセス可能アプリ「制限なし」の入力を受け付け、登録情報１２６を生成する。
また、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介して、ＰＤＡ３０の端末ＩＤ「ＩＤ＿Ｂ」、ＰＤＡ３０のアクセス可能回数「３」、アクセス可能期間「２００４，８，１〜２００５，７，３１」、及びアクセス可能領域「ブロック２」の入力を受け付ける。なお、ＰＤＡ３０のアクセス可能アプリについては入力を受け付けないか、又はアクセスの権利が無い旨の入力を受け付けることとする。処理データ生成部２１５は、受け付けた情報から登録情報１２７を生成する。
【００９４】
処理データ生成部２１５は、登録情報１２６及び登録情報１２７から、登録ＩＤリスト１２５を生成する。処理データ生成部２１５は、生成した登録ＩＤリスト１２５を暗号部２１４へ出力し、暗号部２１４から、登録ＩＤリスト１２５が暗号化されて生成された暗号化登録ＩＤリスト１２２を受け取る。
処理データ生成部２１５は、登録要求データ制御情報に、暗号化登録ＩＤリスト１２２を書き込む。
【００９５】
処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介してパスワード「ＰＷ＿Ａ」の入力を受け付け、受け付けたパスワード「ＰＷ＿Ａ」を登録要求データ制御情報に書き込む。
また、処理データ生成部２１５は、署名生成部２１６から署名データ「Ｓｉｇ＿Ａ」を受け取り、受け取った署名データ「Ｓｉｇ＿Ａ」を登録要求データ制御情報に書き込み、登録要求データ１２０を生成する。処理データ生成部２１５は、登録要求データ１２０を、記録担体Ｉ／Ｆ２１を介して記録担体１０へ出力する。
【００９６】
（削除要求データ１３０生成）
ここでは、具体例として、図５（ｃ）に示した削除要求データ１３０を生成する処理について説明する。
処理データ生成部２１５は、予め内部に削除要求データ制御情報を保持している。削除要求データ制御情報は、削除要求データの生成に用いられる情報であって、削除要求データ１３０の削除コマンド１３１「/sakujo」のみが記述されており、暗号化削除ＩＤリスト１３２、パスワード１３３及び署名データ１３４が空欄になっている。
【００９７】
処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から、端末ＩＤ「ＩＤ＿Ｃ」及び「ＩＤ＿Ｄ」の入力を受け付け、「ＩＤ＿Ｃ」及び「ＩＤ＿Ｄ」から成る削除ＩＤリスト１３５を生成する。処理データ生成部２１５は、削除ＩＤリスト１３５を、暗号部２１４へ出力し、暗号部２１４から、削除ＩＤリスト１３５が暗号化されて生成された暗号化削除ＩＤリスト１３２を受け取る。
【００９８】
処理データ生成部２１５は、削除要求データ制御情報に、暗号化削除ＩＤリスト１３２を書き込む。
処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介してパスワード「ＰＷ＿Ａ´」の入力を受け付け、受け付けたパスワード「ＰＷ＿Ａ´」を削除要求データ制御情報に書き込む。
【００９９】
また、処理データ生成部２１５は、署名生成部２１６から署名データ「Ｓｉｇ＿Ａ´」を受け取り、受け取った署名データ「Ｓｉｇ＿Ａ´」を削除要求データ制御情報に書き込み、削除要求データ１３０を生成する。処理データ生成部２１５は、削除要求データ１３０を、記録担体Ｉ／Ｆ２１を介して記録担体１０へ出力する。
（ｆ）署名生成部２１６は、予め内部に署名鍵を保持している。署名鍵は、記録担体１０が保持している検証鍵に対応している。署名生成部２１６は、処理データ生成部２１５により生成された登録コマンド、暗号化登録ＩＤリスト、及びパスワードに対し、署名鍵を用いて、署名データを生成する。署名生成部２１６は、生成した署名データを処理データ生成部２１５へ出力する。
【０１００】
なお、署名生成部２１６で用いられる署名生成のアルゴリズムは、記録担体１０の署名検査部１０８で用いられる署名検証のアルゴリズムに対応し、公開鍵暗号方式を用いたデジタル署名方式である。
（ｇ）アクセス要求生成部２１７は、予め内部にアクセス要求制御情報を保持している。アクセス要求制御情報は、アクセス要求の生成に用いられる情報であって、図８（ａ）に示したアクセス要求１６０のアクセスコマンド１６１「/access」のみが記述されており、暗号化端末ＩＤ１６２及び要求データ識別情報１６３が空欄になっている。
【０１０１】
以下では、具体例としてアクセス要求１６０の生成処理について説明する。アクセス要求生成部２１７は、暗号部２１４から、自機の端末ＩＤ「ＩＤ＿Ａ」が暗号化されて生成された暗号化端末ＩＤ１６２「Ｅ5＝(Ｋｒ，ＩＤ＿Ａ)」を受け取り、受け取った暗号化端末ＩＤ１６２を、アクセス要求制御情報に書き込む。また、アクセス要求生成部２１７は、外部入力Ｉ／Ｆ２４を介して、要求データ識別情報１６３「アドレス帳」を受け取り、受け取った要求データ識別情報１６３を、アクセス要求制御情報に書き込み、アクセス要求１６０を生成する。アクセス要求生成部２１７は、生成したアクセス要求１６０を、記録担体Ｉ／Ｆ２１を介して、記録担体１０へ出力する。
【０１０２】
（ｈ）データ出力部２１８は、記録担体Ｉ／Ｆ２１を介して記録担体１０から、データを受け取り、受け取ったデータを、表示部２５へ出力する。
（４）外部入力Ｉ／Ｆ２４
外部入力Ｉ／Ｆ２４は、具体的には、携帯電話機２０の操作面上に設けられた複数のキーである。外部入力Ｉ／Ｆ２４は、ユーザによりキーが押下されると、押下されたキーに対応する信号を生成し、生成した信号を制御部２３へ出力する。
【０１０３】
（５）表示部２５
表示部２５は、具体的にはディスプレィユニットであり、データ出力部２１８から出力されるデータをディスプレィに表示する。
３．ＰＤＡ３０
ＰＤＡ３０は、携帯電話機２０と同一のユーザが所有する情報端末であるとする。ＰＤＡ３０は、カードスロットを備え、カードスロットに記録担体１０を装着することができる。また、ＰＤＡ３０は、自機の端末ＩＤである「ＩＤ＿Ｂ」を予め内部に保持している。なお、ＰＤＡ３０は、携帯電話機２０と同様の構成を有しているため、ＰＤＡ３０の構成は図示していない。
【０１０４】
ＰＤＡ３０が、携帯電話機２０と異なる点は、記録担体１０に対して、機器情報の登録は行わず、アクセス要求のみ行う点である。ＰＤＡ３０は、アクセス要求処理において、自機の端末ＩＤ「ＩＤ＿Ｂ」を読み出し、読み出した端末ＩＤを暗号化して、暗号化端末ＩＤを生成する。ＰＤＡ３０は、生成した暗号化端末ＩＤを含むアクセス要求を、記録担体１０に出力する。
【０１０５】
図８（ｂ）に示したアクセス要求１７０は、ＰＤＡ３０により生成されるアクセス要求の一例である。同図に示す様に、アクセス要求１７０は、アクセスコマンド１７１「/access」、暗号化端末ＩＤ１７２「Ｅ5(Ｋｒ，ＩＤ＿Ｂ)」及び要求データ識別情報１７３「保護メールデータ」から成る。
４．ＰＣ４０
ＰＣ４０は、携帯電話機２０と同一のユーザが所有する情報端末であるとする。ＰＣ４０は、カードスロットを備え、カードスロットに記録担体１０を装着することができる。また、ＰＣ４０は、自機の端末ＩＤである「ＩＤ＿Ｃ」を予め内部に保持している。なお、ＰＣ４０は、携帯電話機２０と同様の構成を有しているため、ＰＣ４０の構成は図示していない。
【０１０６】
ＰＣ４０は、ＰＤＡ３０と同様に、記録担体１０に対して、機器情報の登録は行わず、アクセス要求のみ行う。ＰＣ４０は、アクセス要求処理において、自機の端末ＩＤ「ＩＤ＿Ｃ」を読み出し、読み出した端末ＩＤを暗号化して、暗号化端末ＩＤを生成する。ＰＣ４０は、生成した暗号化端末ＩＤを含むアクセス要求を、記録担体１０に出力する。
図８（ｃ）に示したアクセス要求１８０は、ＰＣ４０により生成されるアクセス要求の一例である。同図に示す様に、アクセス要求１８０は、アクセスコマンド１８１「/access」、暗号化端末ＩＤ１８２「Ｅ5(Ｋｒ，ＩＤ＿Ｃ)」及び要求データ識別情報１８３「ＡＰＰ２」から成る。
【０１０７】
５．携帯電話機５０
携帯電話機５０は、携帯電話機２０、ＰＤＡ３０及びＰＣ４０のユーザとは異なる人物が所有する情報端末であるとする。携帯電話機５０は、カードスロットを備え、カードスロットに記録担体１０を装着することができる。また、携帯電話機５０は、自機の端末ＩＤである「ＩＤ＿Ｅ」を予め内部に保持している。なお、携帯電話機５０は、携帯電話機２０と同様の構成を有しているため、携帯電話機５０の構成は図示していない。
【０１０８】
以下では、携帯電話機５０のユーザは、他人の所有物である記録担体１０を自機のカードスロットに装着して、記録担体１０に記録されているデータにアクセスしようとする場合を想定する。
携帯電話機５０は、自機の端末ＩＤ「ＩＤ＿Ｅ」を読み出し、読み出した端末ＩＤを暗号化して、暗号化端末ＩＤを生成する。携帯電話機５０は、生成した暗号化端末ＩＤを含むアクセス要求を、記録担体１０に出力する。
【０１０９】
図８（ｄ）に示したアクセス要求１９０は、携帯電話機５０により生成されるアクセス要求の一例である。同図に示す様に、アクセス要求１９０は、アクセスコマンド１９１「/access」、暗号化端末ＩＤ１９２「Ｅ5(Ｋｒ，ＩＤ＿Ｅ)」及び要求データ識別情報１９３「画像データ」から成る。
記録担体１０は、他人の機器である携帯電話機５０については、アクセス可能機器テーブル１４０に登録していない。そのため、携帯電話機５０は、記録担体１０にアクセス要求１９０を出力しても、記録担体１０により、データアクセスの権利が無いと判断され、記録担体１０のデータにアクセスすることは出来ない。
【０１１０】
＜動作＞
（全体）
図１１は、データ保護システム１全体の動作を示すフローチャートである。
要求が発生し（ステップＳ１）、要求に応じた処理が行われる。ステップＳ１で発生した要求が「登録」の場合、機器情報登録処理を行う（ステップＳ２）。要求が「削除」の場合、機器情報削除処理を行う（ステップＳ３）。要求が「アクセス」の場合、データアクセス処理を行う（ステップＳ４）。要求された処理が終了すると、ステップＳ１に戻る。
【０１１１】
（機器情報登録処理）
図１２（ａ）は、記録担体１０と携帯電話機２０とにおける、機器情報登録処理の動作を示すフローチャートである。なお、ここに示す動作は、図１１のステップＳ２の詳細である。
携帯電話機２０は、機器情報の登録を示す処理要求を受け付け（ステップＳ１０）、記録担体１０に対して、処理開始要求を出力する（ステップＳ１１）。記録担体１０が処理開始要求を受け取ると、記録担体１０と携帯電話機２０との間で、チャレンジ‐レスポンス認証を行い（ステップＳ１２）、その後、登録処理を行う（ステップＳ１３）。
【０１１２】
（機器情報削除処理）
図１２（ｂ）は、記録担体１０と携帯電話機２０とにおける、機器情報削除処理の動作を示すフローチャートである。なお、ここに示す動作は、図１１のステップＳ３の詳細である。
携帯電話機２０は、機器情報の削除を示す処理要求を受け付け（ステップＳ２０）、
記録担体１０に対して、処理開始要求を出力する（ステップＳ２１）。記録担体１０が処理開始要求を受け取ると、記録担体１０と携帯電話機２０との間で、チャレンジ‐レスポンス認証を行い（ステップＳ２２）、その後、削除処理を行う（ステップＳ２３）。
【０１１３】
（チャレンジ‐レスポンス認証）
図１３は、記録担体１０と携帯電話機２０とにおける、チャレンジ‐レスポンス認証の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ａ）のステップＳ１２、及び、図１２（ｂ）のステップＳ２２の詳細である。
先ず、記録担体１０の乱数生成部１０２は、処理開始要求受付部１０１から乱数生成の指示を受け、乱数ｒを生成する（ステップＳ１０１）。乱数生成部１０２は、生成した乱数ｒを、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力し、携帯電話機２０の記録担体Ｉ／Ｆ２１は、乱数ｒを受け取る（ステップＳ１０２）。
【０１１４】
また、乱数生成部１０２は、ステップＳ１０１で生成した乱数ｒをレスポンスデータ検査部１０３へ出力し、レスポンスデータ検査部１０３は、内部に保持する共通鍵
Ｋｃを暗号鍵として用い、乱数ｒに暗号アルゴリズムＥ1を施して、暗号化データＣ1を生成する（ステップＳ１０３）。
一方、携帯電話機２０の制御部２３は、記録担体Ｉ／Ｆ２１から乱数ｒを受け取り、内部に保持する共通鍵Ｋｃを暗号鍵として用い、乱数ｒに暗号アルゴリズムＥ1を施して、暗号化データＣ1´を生成する（ステップＳ１０４）。制御部２３は、生成した暗号化データＣ1´を、記録担体Ｉ／Ｆ２１を介して記録担体１０に出力し、記録担体１０の端末Ｉ／Ｆ１１は、暗号化データＣ1´を受け取る（ステップＳ１０５）。
【０１１５】
レスポンスデータ検査部１０３は、ステップＳ１０３で生成した暗号化データＣ1と、ステップＳ１０４で、携帯電話機２０により生成された暗号化データＣ1´とを比較する。Ｃ1とＣ1´とが一致する場合（ステップＳ１０６でＹＥＳ）、レスポンスデータ検査部１０３は、携帯電話機２０の認証に成功したと判断し（ステップＳ１０７）、その後、携帯電話機２０との間で、登録処理、又は削除処理を行う。
【０１１６】
Ｃ1とＣ1´とが一致しない場合（ステップＳ１０６でＮＯ）、レスポンスデータ検査部１０３は、携帯電話機２０の認証に失敗したと判断し（ステップＳ１０８）、認証に失敗した旨を示すエラーメッセージを、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力し、携帯電話機２０の記録担体Ｉ／Ｆ２１は、エラーメッセージを受け取る（ステップＳ１０９）。携帯電話機２０の制御部２３は、記録担体Ｉ／Ｆ２１からエラーメッセージを受け取り、表示部２５に表示する（ステップＳ１１０）。
【０１１７】
（登録）
（ａ）記録担体１０による登録処理
図１４及び図１５は、記録担体１０による登録処理の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ａ）のステップＳ１３の詳細である。
機器情報登録部１４の公開鍵取得部１０４は、携帯電話機２０の公開鍵ＰＫ20を取得する（ステップＳ２０２）。ランダム鍵生成部１０５は、レスポンスデータ検査部１０３から指示を受け、ランダム鍵Ｋｒを生成する（ステップＳ２０３）。
【０１１８】
暗号部１０６は、携帯電話機２０の公開鍵ＰＫ20と、ランダム鍵Ｋｒとを取得して、公開鍵ＰＫ20を暗号鍵として用い、ランダム鍵Ｋｒに暗号アルゴリズムＥ2を施して、暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を生成する（ステップＳ２０４）。暗号部１０６は、生成した暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力する（ステップＳ２０５）。
【０１１９】
次に、処理データ受付部１０７は、携帯電話機２０から登録要求データを受け付ける（ステップＳ２０６）。処理データ受付部１０７は、受け付けた登録要求データを署名検査部１０８へ出力する。
署名検査部１０８は、登録要求データを受け取り、受け取った登録要求データから、署名データを抽出する（ステップＳ２０７）。署名検査部１０８は、抽出した署名データに検証鍵及び署名検証アルゴリズムを用いて、署名データを検査する（ステップＳ２０８）。署名データの検証に失敗した場合（ステップＳ２０９でＮＯ）、署名検査部１０８は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、署名検証に失敗した旨のエラーメッセージを出力する（ステップＳ２１４）。署名データの検証に成功した場合（ステップＳ２０９でＹＥＳ）、署名検査部１０８は、登録要求データをパスワード検査部１０９へ出力する。
【０１２０】
パスワード検査部１０９は、登録要求データを受け取り、受け取った登録要求データから、パスワードを抽出する（ステップＳ２１０）。次に、パスワード検査部１０９は、機器情報記憶部１５に記憶されている正しいパスワードを読み出す（ステップＳ２１１）。パスワード検査部１０９はステップＳ２１０で抽出したパスワードと、ステップＳ２１１で読み出した正しいパスワードとが一致するか否か判断する。
【０１２１】
パスワードが一致しない場合（ステップＳ２１２でＮＯ）、パスワード検査部１０９は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、パスワード認証に失敗した旨のエラーメッセージを出力する（ステップＳ２１４）。パスワードが一致する場合（ステップＳ２１２でＹＥＳ）、パスワード検査部１０９は、登録要求データを、復号部１１０へ出力する。
【０１２２】
復号部１１０は、登録要求データを受け取り、受け取った登録要求データから暗号化登録ＩＤリストを抽出する（ステップＳ２１３）。復号部２１３は、ランダム鍵生成部１０５が生成したランダム鍵を用いて、暗号化登録ＩＤリストを復号し（ステップＳ２１５）、復号した登録ＩＤリストを、データ制御部１１１へ出力する。
データ制御部１１１は、ステップＳ２１６からステップＳ２２２まで登録情報毎に繰り返す。データ制御部１１１は、登録情報から端末ＩＤを抽出する（ステップＳ２１７）。データ制御部１１１は、ステップＳ２１７で抽出した端末ＩＤと、機器情報記憶部１５に記憶されているアクセス可能機器テーブルに登録されている全ての端末ＩＤとを比較する（ステップＳ２１８）。
【０１２３】
アクセス可能機器テーブルに、一致する端末ＩＤがある場合（ステップＳ２１９でＹＥＳ）、データ制御部１１１は、端末Ｉ／Ｆ１１を介して携帯電話機２０に、当該端末ＩＤにより識別される機器は既に登録済みである旨のエラーメッセージを出力する（ステップＳ２２０）。アクセス可能機器テーブルに、一致する端末ＩＤが無い場合（ステップＳ２１９でＮＯ）、データ制御部１１１は、機器情報記憶部１５に記憶されているアクセス可能機器テーブルに、登録情報を書き込む（ステップＳ２２１）。
【０１２４】
（ｂ）携帯電話機２０による登録処理
図１６及び図１７は、携帯電話機２０による登録処理の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ａ）のステップＳ１３の詳細である。
制御部２３の復号部２１３は、記録担体Ｉ／Ｆ２１を介して記録担体１０から、携帯電話機２０の公開鍵ＰＫ20を用いて暗号化された暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を取得する（ステップＳ２３３）。復号部２１３は、受け取った暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)から、ランダム鍵Ｋｒを復号する（ステップＳ２３４）。
【０１２５】
続いて、携帯電話機２０は、ステップＳ２３５からステップＳ２４２まで、登録する機器毎に繰り返す。
制御部２３の処理データ生成部２１５は、登録する機器の端末ＩＤを取得する（ステップＳ２３６）。ここで、登録する機器が自機（携帯電話機２０）の場合、処理データ生成部２１５は、端末ＩＤ記憶部２２から端末ＩＤを取得する。登録する機器が他機の場合、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から端末ＩＤを取得する。
【０１２６】
次に、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から受け取る入力信号に基づき、アクセス可能回数を設定する（ステップＳ２３７）。同様に、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から受け取る入力信号に基づき、アクセス可能期間を設定し（ステップＳ２３８）、アクセス可能領域を設定し（ステップＳ２３９）、アクセス可能アプリ（ステップＳ２４０）を設定する。処理データ生成部２１５は、ステップＳ２３６で取得した端末ＩＤ、及びステップＳ２３７からステップＳ２４０で設定したデータとを１レコードとする登録情報を生成する（ステップＳ２４１）。
【０１２７】
処理データ生成部２１５は、ステップＳ２３５からステップＳ２４２までの繰り返し処理で生成された全てのレコードからなる登録ＩＤリストを生成する（ステップＳ２４３）。
処理データ生成部２１５は、登録要求データ制御情報を読み出す（ステップＳ２４４）。次に、処理データ生成部２１５は、ステップＳ２４３で生成した登録ＩＤリストを、暗号部２１４へ出力する。暗号部２１４は、登録ＩＤリストを受け取り、受け取った登録ＩＤリストをステップＳ２３４で復号したランダム鍵Ｋｒを暗号鍵として用い、暗号化登録ＩＤリストＥ3(Ｋｒ，登録ＩＤリスト)を生成する（ステップＳ２４５）。
【０１２８】
次に、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介して、パスワードＰＷ＿Ａの入力を受け付ける（ステップＳ２４６）。また、署名生成部２１６は、登録コマンド、暗号化登録ＩＤリスト及びパスワードに基づき、署名データＳｉｇ＿Ａを生成する（ステップＳ２４７）。署名生成部２１６は、生成した署名データＳｉｇ＿Ａを、処理データ生成部２１５へ出力する。
【０１２９】
処理データ生成部２１５は、登録要求データ制御情報に、暗号化登録ＩＤリスト、パスワード、署名データを書き込み、登録要求データを生成する（ステップＳ２４８）。処理データ生成部２１５は、生成した登録要求データを、記録担体Ｉ／Ｆ２１を介して、記録担体１０へ出力する（ステップＳ２４９）。
その後、携帯電話機２０は、エラーメッセージを受け取る場合（ステップＳ２５０でＹＥＳ）、データ出力部２１８を介して表示部２５に、エラーメッセージを表示する（ステップＳ２５１）。携帯電話機２０は、エラーメッセージを受け取らない場合（ステップＳ２５０でＮＯ）、処理を終了する。
【０１３０】
（削除）
（ａ）記録担体１０による削除処理
図１８及び図１９は、記録担体１０による削除処理の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ｂ）のステップＳ２３の詳細である。
機器情報登録部１４の公開鍵取得部１０４は、携帯電話機２０の公開鍵ＰＫ20を取得する（ステップＳ３０２）。ランダム鍵生成部１０５は、レスポンスデータ検査部１０３から指示を受け、ランダム鍵Ｋｒを生成する（ステップＳ３０３）。
【０１３１】
暗号部１０６は、携帯電話機２０の公開鍵ＰＫ20と、ランダム鍵Ｋｒとを受け取り、公開鍵ＰＫ20を暗号鍵として用い、ランダム鍵Ｋｒに暗号アルゴリズムＥ2を施して、暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を生成する（ステップＳ３０４）。暗号部１０６は、生成した暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を、端末Ｉ／Ｆ１１を介して携帯電話機２０へ出力する（ステップＳ３０５）。
【０１３２】
次に、処理データ受付部１０７は、携帯電話機２０から削除要求データを受け付ける（ステップＳ３０６）。処理データ受付部１０７は、受け付けた削除要求データを署名検査部１０８へ出力する。
署名検査部１０８は、削除要求データを受け取り、受け取った削除要求データから、署名データを抽出する（ステップＳ３０７）。署名検査部１０８は、抽出した署名データに検証鍵及び署名検証アルゴリズムを用いて、署名データを検査する（ステップＳ３０８）。署名データの検証に失敗した場合（ステップＳ３０９でＮＯ）、署名検査部１０８は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、署名検証に失敗した旨のエラーメッセージを出力する（ステップＳ３１４）。署名データの検証に成功した場合（ステップＳ３０９でＹＥＳ）、署名検査部１０８は、削除要求データをパスワード検査部１０９へ出力する。
【０１３３】
パスワード検査部１０９は、削除要求データを受け取り、受け取った削除要求データから、パスワードを抽出する（ステップＳ３１０）。次に、パスワード検査部１０９は、機器情報記憶部１５に記憶されている正しいパスワードを読み出す（ステップＳ３１１）。パスワード検査部１０９はステップＳ３１０で抽出したパスワードと、ステップＳ３１１で読み出した正しいパスワードとが一致するか否か判断する。
【０１３４】
パスワードが一致しない場合（ステップＳ３１２でＮＯ）、パスワード検査部１０９は、端末Ｉ／Ｆ１１を介して、携帯電話機２０に、パスワード認証に失敗した旨のエラーメッセージを出力する（ステップＳ３１４）。パスワードが一致する場合（ステップＳ３１２でＹＥＳ）、パスワード検査部１０９は、削除要求データを、復号部１１０へ出力する。
【０１３５】
復号部１１０は、削除要求データを受け取り、受け取った削除要求データから暗号化削除ＩＤリストを抽出する（ステップＳ３１３）。復号部２１３は、ランダム鍵生成部１０５が生成したランダム鍵を用いて、暗号化削除ＩＤリストを復号し（ステップＳ３１５）、復号した削除ＩＤリストを、データ制御部１１１へ出力する。
データ制御部１１１は、ステップＳ３１６からステップＳ３２２まで端末ＩＤ毎に繰り返す。データ制御部１１１は、登録情報から端末ＩＤを抽出する（ステップＳ３１７）。データ制御部１１１は、ステップＳ３１７で抽出した端末ＩＤが、機器情報記憶部１５に記憶されているアクセス可能機器テーブルに、登録されているか確認する。（ステップＳ３１８）。
【０１３６】
アクセス可能機器テーブルに、同一の端末ＩＤが存在しない場合（ステップＳ３１９でＮＯ）、データ制御部１１１は、端末Ｉ／Ｆ１１を介して携帯電話機２０に、当該端末ＩＤにより識別される機器は、アクセス可能機器として登録されていない旨のエラーメッセージを出力する（ステップＳ３２１）。アクセス可能機器テーブルに、同一の端末ＩＤが存在する場合（ステップＳ３１９でＹＥＳ）、データ制御部１１１は、機器情報記憶部１５に記憶されているアクセス可能機器テーブルから、当該端末ＩＤを含むアクセス可能機器情報を削除する（ステップＳ２２０）。
【０１３７】
（ｂ）携帯電話機２０による削除処理
図２０は、携帯電話機２０による削除処理の動作を示すフローチャートである。なお、ここに示す動作は、図１２（ｂ）のステップＳ２３の詳細である。
制御部２３の復号部２１３は、記録担体Ｉ／Ｆ２１を介して記録担体１０から、携帯電話機２０の公開鍵ＰＫ20を用いて暗号化された暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)を取得する（ステップＳ３３３）。復号部２１３は、受け取った暗号化ランダム鍵Ｅ2(ＰＫ20，Ｋｒ)から、ランダム鍵Ｋｒを復号する（ステップＳ３３４）。
【０１３８】
制御部２３の処理データ生成部２１５は、削除する全ての機器の端末ＩＤを取得する（ステップＳ３３５）。ここで、登録する機器が自機（携帯電話機２０）の場合、処理データ生成部２１５は、端末ＩＤ記憶部２２から端末ＩＤを取得する。登録する機器が他機の場合、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４から端末ＩＤを取得する。処理データ生成部２１５は、取得した全ての端末ＩＤからなる削除ＩＤリストを生成する（ステップＳ３３６）。
【０１３９】
処理データ生成部２１５は、削除要求データ制御情報を読み出す（ステップＳ３３８）。次に、処理データ生成部２１５は、ステップＳ３３６で生成した削除ＩＤリストを、暗号部２１４へ出力する。暗号部２１４は、削除ＩＤリストを受け取り、受け取った登録ＩＤリストをステップＳ３３４で復号したランダム鍵Ｋｒを暗号鍵として用い、暗号化削除ＩＤリストＥ3(Ｋｒ，削除ＩＤリスト)を生成する（ステップＳ３３８）。
【０１４０】
次に、処理データ生成部２１５は、外部入力Ｉ／Ｆ２４を介して、パスワードＰＷ＿Ａの入力を受け付ける（ステップＳ３３９）。また、署名生成部２１６は、削除コマンド、暗号化削除ＩＤリスト及びパスワードに基づき、署名データＳｉｇ＿Ａ´を生成する（ステップＳ３４０）。署名生成部２１６は、生成した署名データＳｉｇ＿Ａ´を、処理データ生成部２１５へ出力する。
【０１４１】
処理データ生成部２１５は、削除要求データ制御情報に、暗号化削除ＩＤリスト、パスワード、署名データを書き込み、削除要求データを生成する（ステップＳ３４１）。処理データ生成部２１５は、生成した削除要求データを、記録担体Ｉ／Ｆ２１を介して、記録担体１０へ出力する（ステップＳ２３４２）。
その後、携帯電話機２０は、エラーメッセージを受け取る場合（ステップＳ３４３でＹＥＳ）、データ出力部２１８を介して表示部２５に、エラーメッセージを表示する（ステップＳ３４４）。携帯電話機２０は、エラーメッセージを受け取らない場合（ステップＳ３４３でＮＯ）、処理を終了する。
【０１４２】
（アクセス処理）
図２１は、データ保護システム１におけるデータアクセス処理の動作を示すフローチャートである。なお、ここに示す動作は、図１１のステップＳ４の詳細である。
カードスロットに、記録担体１０を装着している情報端末は、ユーザから所定データへの表示要求を受け付け（ステップＳ４０１）、処理開始要求を生成する（ステップＳ４０２）。情報端末は、処理開始要求を記録担体１０へ出力し、記録担体１０は、処理開始要求を受け取る（ステップＳ４０３）。
【０１４３】
記録担体１０は、情報端末の公開鍵ＰＫNを取得する（ステップＳ４０４）。Ｎは、Ｎ＝２０、３０、４０、又は５０である。次に、記録担体１０は、ランダム鍵Ｋｒを生成する（ステップＳ４０５）。記録担体１０は、ステップＳ４０４で取得した公開鍵ＰＫNを暗号鍵として用い、ステップＳ４０５で生成したランダム鍵Ｋｒに、暗号アルゴリズムＥ4を施し、暗号化ランダム鍵Ｅ4(ＰＫN，Ｋｒ)を生成する（ステップＳ４０６）。記録担体１０は、暗号化ランダム鍵を情報端末へ出力し、情報端末は、暗号化ランダム鍵を受け取る（ステップＳ４０７）。
【０１４４】
情報端末は、ランダム鍵Ｋｒを復号する（ステップＳ４０８）。次に、情報端末は、内部に記憶している自機の端末ＩＤを読み出し（ステップＳ４０９）、ランダム鍵Ｋｒを暗号鍵として用い、端末ＩＤに暗号アルゴリズムＥ5を施して、暗号化端末ＩＤＥ5(Ｋｒ，端末ＩＤ)を生成する（ステップＳ４１０）。
次に、情報端末は、予め内部に保持するアクセス要求制御情報を読み出し（ステップＳ４１１）、アクセス要求制御情報に、暗号化端末ＩＤとアクセス要求データ識別情報とを書き込み、アクセス要求を生成する（ステップＳ４１２）。情報端末は、アクセス要求を記録担体１０へ出力し、記録担体１０は、アクセス要求を受け取る（ステップＳ４１３）。
【０１４５】
記録担体１０は、アクセス可否判断を行い（ステップＳ４１４）、アクセス可否判断の結果に基づき、データを情報端末へ出力し、情報端末は、記録担体１０から出力されるデータを受け取り（ステップＳ４１５）、表示する（ステップＳ４１６）。なお、ステップＳ４１５は、ステップＳ４１４のアクセス可否判断の結果によっては、情報端末が要求したデータではなく、エラーメッセージが出力される。
【０１４６】
（可否判断）
図２２及び図２３は、記録担体１０によるアクセス可否判断の動作を示すフローチャートである。なお、ここに示す動作は、図２１のステップＳ４１４の詳細である。
制御部１６の復号部１５５は、アクセス要求から暗号化端末ＩＤを抽出し（ステップＳ５００）、ランダム鍵生成部１５２から受け取るランダム鍵を復号鍵として用い、端末ＩＤを復号する（ステップＳ５０１）。復号部１５５は、復号した端末ＩＤとアクセス要求データ識別情報とを判断部１５６へ出力する。
【０１４７】
判断部１５６は、機器情報記憶部１５からアクセス可能機器テーブルを読み出し、復号部１５５から受け取った端末ＩＤと同一の端末ＩＤが、アクセス可能機器テーブルに登録されているか否か判断する。同一の端末ＩＤが登録されていない場合（ステップＳ５０２でＮＯ）、判断部１５６は、端末Ｉ／Ｆ１１を介して情報端末へ、アクセスを拒否する旨のエラーメッセージを出力する（ステップＳ５１０）。
【０１４８】
同一の端末ＩＤが登録されている場合（ステップＳ５０２でＹＥＳ）、判断部１５６は、アクセス可能機器テーブルから、当該端末ＩＤを含むアクセス可能機器情報を抽出する（ステップＳ５０３）。判断部１５６は、抽出したアクセス可能機器情報から、アクセス可能回数を抽出し、更に、当該端末ＩＤにより識別される機器のアクセス回数を読み出す（ステップＳ５０４）。
【０１４９】
判断部１５６は、アクセス回数とアクセス可能回数とを比較し、アクセス回数がアクセス可能回数以上の場合（ステップＳ５０５でＹＥＳ）、端末Ｉ／Ｆ１１を介して情報端末へ、アクセスを拒否する旨のエラーメッセージを出力する（ステップＳ５１０）。
アクセス回数がアクセス可能回数未満の場合（ステップＳ５０５でＮＯ）、判断部１５６は、アクセス可能機器情報から、アクセス可能期間を抽出し、更に、日付管理部１５７から、日時情報を取得する（ステップＳ５０６）。判断部１５６は、日付情報が示す現在日時が、アクセス可能期間内であるか否か判断する。現在が、アクセス可能期間外の場合（ステップＳ５０７でＮＯ）、判断部１５６は、端末Ｉ／Ｆ１１を介して情報端末へ、アクセスを拒否する旨のエラーメッセージを出力する（ステップＳ５１０）。
【０１５０】
現在が、アクセス可能期間内である場合（ステップＳ５０７でＹＥＳ）、判断部１５６は、内部に保持するテーブル２００を参照し、受け取った要求データ識別情報により識別されるデータが記憶されているメモリブロックを判別する（ステップＳ５０８）。更に、判断部１５６は、アクセス可能機器情報から、アクセス可能領域を抽出し（ステップＳ５０９）、アクセス要求されているデータが記憶されているメモリブロックが、アクセス可能領域に含まれるか否か判断する。
【０１５１】
当該メモリブロックが、アクセス可能領域でない場合（ステップＳ５１１でＮＯ）、判断部１５６は、端末Ｉ／Ｆ１１を介して情報端末へ、アクセスを拒否する旨のエラーメッセージを出力する（ステップＳ５１７）。当該メモリブロックが、アクセス可能領域である場合（ステップＳ５１１でＹＥＳ）、判断部１５６は、要求データ識別情報から、アクセス要求されているデータが、アプリケーションプログラムであるか否か判断する。アクセス要求されているデータが、アプリケーションプログラムでない場合（ステップＳ５１２でＮＯ）、ステップＳ５１５に進み、処理を続ける。
【０１５２】
アクセス要求されているデータが、アプリケーションプログラムである場合（ステップＳ５１２でＹＥＳ）、判断部１５６は、アクセス可能機器情報から、アクセス可能アプリを抽出する（ステップＳ５１３）。判断部１５６は、アクセス要求されているアプリケーションプログラムが、アクセス可能アプリに含まれるか否か判断する。
アクセス要求されているアプリケーションプログラムが、アクセス可能アプリでない場合（ステップＳ５１４でＮＯ）、判断部１５６は、端末Ｉ／Ｆ１１を介して、情報端末へ、アクセス拒否を示すエラーメッセージを出力する（ステップＳ５１７）。
【０１５３】
アクセス要求されているアプリケーションプログラムが、アクセス可能アプリである場合（ステップＳ５１４でＹＥＳ）、判断部１５６は，メモリアクセス部１５８へデータの読み出しを指示し、メモリアクセス部１５８は、データ記憶部１２内のアクセス制限領域１３から、要求されたデータを読み出す（ステップＳ５１５）。
データ入出力部１５９は、メモリアクセス部１５８から読み出したデータを受け取り、端末Ｉ／Ｆ１１を介して、情報端末へデータを出力する（ステップＳ５１６）。
【０１５４】
≪第１実施形態の変形例≫
ここでは、第１実施形態であるデータ保護システム１の変形例として、データ保護システム１ａについて説明する。
図２４は、データ保護システム１ａの構成を示す。同図に示す様に、データ保護システム１ａは、記録担体１０ａ、携帯電話機２０ａ、ＰＤＡ３０ａ、ＰＣ４０ａ、携帯電話機５０ａ、及び登録サーバ６０ａから構成される。
【０１５５】
データ保護システム１は、携帯電話機２０が、記録担体１０に対して機器情報の登録及び削除を要求する専用機器であったが、データ保護システム１ａは、記録担体１０ａに対して機器情報の登録及び削除を要求するための登録サーバ６０ａを設けたことが特徴である。
１．記録担体１０ａ
図２５は、記録担体１０ａの構成を機能的に示す機能ブロック図である。
【０１５６】
同図に示す様に、記録担体１０ａは、端末Ｉ／Ｆ１１ａ、データ記憶部１２ａ、アクセス制限領域１３ａ、機器情報登録部１４ａ、機器情報記憶部１５ａ、制御部１６ａ、及びカードＩＤ記憶部１７ａから構成される。図２に示した記録担体１０との構成上の違いは、カードＩＤ記憶部１７ａを備える点である。
端末Ｉ／Ｆ１１ａ、データ記憶部１２ａ、アクセス制限領域１３ａ、機器情報記憶部１５ａ、及び制御部１６ａは、それぞれ、第１実施形態の記録担体１０の構成要素である端末Ｉ／Ｆ１１、データ記憶部１２、アクセス制限領域１３、機器情報記憶部１５、及び制御部１６と同様の機能を有するため、説明を省略する。
【０１５７】
以下では、記録担体１０と異なる部分を中心に説明する。
カードＩＤ記憶部１７ａは、記録担体１０ａを一意に識別するためのカードＩＤ「ＣＩＤ＿Ａ」を記憶している。
機器情報登録部１４ａは、情報端末を介して、後に説明する登録サーバ６０ａとの間で、チャレンジ‐レスポンス認証を行った後、登録要求データ及び削除要求データを受け取る。チャレンジ‐レスポンス認証の詳細は、図１３に示したフローチャートの「記録担体１０」を「記録担体１０ａ」に置き換え、「携帯電話機２０」を「登録サーバ６０ａ」に置き換えた処理と同様である。
【０１５８】
登録要求データは、登録コマンド、暗号化登録ＩＤリスト、カードＩＤ、端末ＩＤ、及び署名データから成る。カードＩＤは、機器情報の登録先である記録担体を識別するための情報であり、端末ＩＤは、機器情報の登録先である記録担体が装着されている情報端末を識別するための情報である。また、署名データは、登録コマンド、暗号化端末ＩＤリスト、カードＩＤ及び端末ＩＤに基づき生成されたデジタル署名である。登録要求データの一例は、図２７（ａ）に示す登録要求データ３１０である。
【０１５９】
削除要求データは、削除コマンド、暗号化削除ＩＤリスト、カードＩＤ、端末ＩＤ、及び署名データから成る。カードＩＤは、機器情報の削除先である記録担体を識別するための情報であり、端末ＩＤは、機器情報の削除先である記録担体が装着されている情報端末を識別するための情報である。また、署名データは、削除コマンド、暗号化削除ＩＤリスト、カードＩＤ及び端末ＩＤに基づき生成されたデジタル署名である。削除要求データの一例は、図２７（ｂ）に示す削除要求データ３２０である。
【０１６０】
機器情報登録部１４ａは、登録要求データ及び削除要求データに含まれるカードＩＤと、カードＩＤ記憶部１７ａに記憶されているカードＩＤとが一致するか否か判断する。また、機器情報登録部１４ａは、登録要求データ及び削除要求データに含まれる端末ＩＤと、記録担体１０ａが装着されている情報端末の機器ＩＤとが一致するか否か判断する。
更に、機器情報登録部１４ａは、登録サーバ６０ａにより生成された署名データを検証するための検証鍵を予め保持していおり、検証鍵を用いて、登録要求データ及び削除要求データに含まれる署名データを検証し、登録要求データ及び削除要求データが改ざんされていないか判断する。
【０１６１】
カードＩＤが一致し、端末ＩＤが一致し、更に、署名データの検証に成功した場合に、機器情報登録部１４ａは、アクセス可能機器情報の登録処理及び削除処理を行う。
２．携帯電話機２０ａ
携帯電話機２０ａは、図２６に示す様に、記録担体Ｉ／Ｆ２１ａ、端末ＩＤ記憶部２２ａ、制御部２３ａ、外部入力Ｉ／Ｆ２４ａ、表示部２５ａ、及び通信Ｉ／Ｆ２６ａから構成される。
【０１６２】
記録担体Ｉ／Ｆ２１ａは、具体的にはカードスロットであり、カードスロットに記録担体１０ａを装着する。
通信Ｉ／Ｆ２６ａは、ネットワーク接続ユニットであり、ネットワークを介して登録サーバ６０ａと接続されている。
携帯電話機２０ａは、機器情報登録処理及び機器情報削除処理においては、記録担体１０ａからの要求に従い端末ＩＤ記憶部２２ａが記憶している自機の端末ＩＤを、記録担体１０ａに出力する。
【０１６３】
なお、第１実施形態の携帯電話機２０は、登録要求データ及び削除要求データを生成するが、携帯電話機２０ａは、登録要求データ及び削除要求データは生成せず、登録サーバ６０ａにより生成された登録要求データ及び削除要求データを、ネットワークを介して受け取り、受け取った登録要求データ及び削除要求データを、記録担体１０ａへ出力する。
データアクセス処理については、携帯電話機２０と同様であるため説明を省略する。
【０１６４】
３．ＰＤＡ３０ａ及びＰＣ４０ａ
ＰＤＡ３０ａ及びＰＣ４０ａは、携帯電話機２０ａと同一のユーザが所有する情報端末であるとする。
ＰＤＡ３０ａ及びＰＣ４０ａは、携帯電話機２０ａと同様の構成を有する。ＰＤＡ３０ａ及びＰＣ４０ａは、共に、カードスロットを備え、カードスロットに記録担体１０ａを装着することができる。また、ＰＤＡ３０ａ及びＰＣ４０ａは、共に、ネットワーク接続ユニットを備え、ネットワークを介して、登録サーバ６０ａと接続されている。
【０１６５】
ＰＤＡ３０ａ及びＰＣ４０ａは、それぞれ、機器情報登録処理及び機器情報削除処理では、記録担体１０ａからの要求に従い、内部に保持する自機の端末ＩＤを、記録担体１０ａに出力する。
なお、第１実施形態では、記録担体１０は、携帯電話機２０に装着されているときのみ、機器情報登録処理及び機器情報削除処理を行うことができた。しかし、当該変形例では、ＰＤＡ３０ａ及びＰＣ４０ａは、携帯電話機２０ａと同様に、登録サーバ６０ａにより生成された登録要求データ及び削除要求データを、ネットワークを介して受け取り、受け取った登録要求データ及び削除要求データを、記録担体１０ａへ出力する。従って、当該変形例では、記録担体１０ａは、ＰＤＡ３０ａ及びＰＣ４０ａに装着されているときであっても、機器情報登録処理及び機器情報削除処理を行うことができる。
【０１６６】
データアクセス処理については、ＰＤＡ３０及びＰＣ４０と同様であるため説明を省略する。
４．携帯電話機５０ａ
携帯電話機５０ａは、携帯電話機２０ａ ＰＤＡ３０ａ及びＰＣ４０ａのユーザとは異なる人物が所有する情報端末であるとする。
【０１６７】
携帯電話機５０ａは、携帯電話機２０ａと同様の構成を有する。携帯電話機５０ａは、カードスロットを備え、カードスロットに記録担体１０ａを装着することができる。また、携帯電話機５０ａは、ネットワーク接続ユニットを備え、ネットワークを介して、登録サーバ６０ａと接続可能である。
記録担体１０ａは、他人の機器である携帯電話機５０ａについては、アクセス可能機器テーブルに登録していない。そのため、携帯電話機５０ａは、記録担体１０ａにアクセス要求を出力しても、記録担体１０ａにより、データアクセスの権利が無いと判断され、記録担体１０ａのデータにアクセスすることは出来ない。
【０１６８】
５．登録サーバ６０ａ
登録サーバ６０ａは、記録担体に対して、機器情報の登録及び削除を要求するサーバ装置であって、第１実施形態の携帯電話機２０における機器情報登録及び機器情報削除に相当する機能を備える。
図２６に示す様に、登録サーバ６０ａは、外部入力Ｉ／Ｆ６１ａ、制御部６２ａ、及びデータ送信部６３ａから構成される。
【０１６９】
外部入力Ｉ／Ｆ６１ａは、外部から、機器情報の登録依頼データ及び削除依頼データを受け付ける。
登録依頼データは、登録処理の依頼であることを示す登録指示、登録先である記録担体を識別するためのカードＩＤ、登録先である記録担体が装着されている情報端末を識別するための端末ＩＤ、アクセス可能回数、アクセス可能機期間、アクセス可能領域、アクセス可能アプリ、登録処理を依頼元であるユーザのユーザ名、ユーザパスワード、及び送信先情報から成る。
【０１７０】
削除依頼データは、削除処理の依頼であることを示す削除指示、削除先である記録担体を識別するためのカードＩＤ、削除先である記録担体が装着されている情報端末を識別するための端末ＩＤ、削除処理を依頼元であるユーザのユーザ名、ユーザパスワード、及び送信先情報から成る。
外部入力Ｉ／Ｆ６１ａは、受け付けた登録依頼データ及び削除依頼データを制御部６２ａへ出力する。
【０１７１】
制御部６２ａは、第１実施形態の携帯電話機２０における制御部２３と同様の機能を有する。制御部２３との相違は、制御部６２ａは、予め記録担体１０ａの所有者から、ユーザ名及びユーザパスワードの登録を受け、これらを記憶している点である。
制御部６２ａは、外部入力Ｉ／Ｆ６１ａから、登録依頼データ及び削除依頼データを受け取り、受け取った登録依頼データ及び削除依頼データに含まれるユーザ名及びパスワードが、登録されているユーザ名及びパスワードと一致するか否か判断し、ユーザ認証を行う。ユーザ認証に成功した場合のみ、制御部６２ａは、登録依頼データに基づき、登録要求データを生成し、また、削除依頼データに基づき、削除要求データを生成する。
【０１７２】
制御部６２ａが生成する登録要求データの一例を図２７（ａ）に示す。同図に示す様に、登録要求データ３１０は、登録コマンド３１１「/touroku」、暗号化登録ＩＤリスト３１２「Ｅ(Ｋｒ，登録ＩＤリスト)」、カードＩＤ３１３「ＣＩＤ＿Ａ」、端末ＩＤ３１４「ＩＤ＿Ｂ」、及び署名データ３１５「Ｓｉｇ＿Ａ」から成る。カードＩＤ３１３「ＣＩＤ＿Ａ」及び端末ＩＤ３１４「ＩＤ＿Ｂ」は、外部入力Ｉ／Ｆ６１から受け取る登録依頼データに含まれるカードＩＤ及び端末ＩＤである。暗号化登録ＩＤリストの生成方法は、制御部２３と同様であり、暗号鍵として用いるＫｒは、記録担体１０ａで生成されたランダム鍵である。制御部６２は、生成した登録要求データを、送信先情報と共にデータ送信部６３ａへ出力する。
【０１７３】
制御部６２ａが生成する削除要求データの一例を図２７（ｂ）に示す。同図に示す様に、削除要求データ３２０は、削除コマンド３２１「/sakujo」、暗号化削除ＩＤリスト３２２「Ｅ(Ｋｒ，削除ＩＤリスト)」、カードＩＤ３２３「ＣＩＤ＿Ａ」、端末ＩＤ３２４「ＩＤ＿Ｃ」、及び署名データ３２５「Ｓｉｇ＿Ｂ」から成る。カードＩＤ３２３「ＣＩＤ＿Ａ」及び端末ＩＤ３２４「ＩＤ＿Ｃ」は、外部入力Ｉ／Ｆ６１から受け取る削除依頼データに含まれるカードＩＤ及び端末ＩＤである。暗号化削除ＩＤリストの生成方法は、制御部２３と同様であり、暗号鍵として用いるＫｒは、記録担体１０ａで生成されたランダム鍵である。制御部６２ａは、生成した削除要求データを、送信先情報と共にデータ送信部６３ａへ出力する。
【０１７４】
データ送信部６３ａは、ネットワーク接続ユニットである。データ送信部６３ａは、制御部６２ａから、登録要求データと送信先情報とを受け取り、受け取った登録要求データを、ネットワークを介して送信先情報が示す情報端末へ送信する。また、データ送信部６３ａは、制御部６２ａから削除要求データと送信先情報とを受け取り、受け取った削除要求データを、ネットワークを介して送信先情報が示す情報端末へ送信する。
【０１７５】
以上説明した様に、当該変形例では、携帯電話機２０ａではなく、登録サーバ６０ａが、登録要求データ及び削除要求データを生成し、生成した登録要求データ及び削除要求データを、記録担体１０ａが装着されている情報端末経由で、記録担体１０ａへ送信することが特徴である。これにより、携帯電話機２０ａだけでなく、ＰＤＡ３０ａ、及びＰＣ４０ａに、記録担体１０ａが装着された状態でも、機器情報の登録及び削除が行えるようになった。
【０１７６】
また、登録サーバ６０ａは、登録要求データ及び削除要求データの生成前に、ユーザ名及びユーザパスワードを用いたユーザ認証を行うことにより、携帯電話機５０ａのユーザによる不正な機器情報の登録を抑制することができる。
≪第２実施形態≫
ここでは、第２実施形態であるデータ保護システム２について説明する。
【０１７７】
図２８は、データ保護システム２の構成を示す。同図に示す様に、データ保護システム２は、記録担体１０ｂ、携帯電話機２０ｂ、ＰＤＡ３０ｂ、ＰＣ４０ｂ、携帯電話機５０ｂ、及び管理サーバ７０ｂから構成される。
データ保護システム１では、記録担体１０にアクセス可能な機器を示すアクセス可能機器テーブルを、記録担体１０自身が保持していたが、データ保護システム２では、記録担体１０ｂにアクセス可能な機器を示すアクセス可能機器テーブルを、管理サーバ７０ｂが保持していることが特徴である。
【０１７８】
なお、管理サーバ７０ｂへの機器情報の登録及び機器情報の削除は、携帯電話機２０ｂを用いて行う。
＜構成＞
１．記録担体１０ｂ
図２９に示す様に、記録担体１０ｂは、端末Ｉ／Ｆ１１ｂ、データ記憶部１２ｂ、アクセス制限領域１３ｂ、制御部１６ｂ、カードＩＤ記憶部１７ｂ、及び改ざん検査部１８ｂから構成される。
【０１７９】
記録担体１０ｂは、記録担体１０の機器情報登録部１４及び機器情報記憶部１５に相当する構成要素を有しておらず、カードＩＤ記憶部１７ｂ及び改ざん検査部１８ｂが追加された構成となっている。
端末Ｉ／Ｆ１１ｂ、データ記憶部１２ｂ及びアクセス制限領域１３ｂは、それぞれ、記録担体１０の端末Ｉ／Ｆ１１、データ記憶部１２及びアクセス制限領域１３と同様であるため、説明を省略する。以下では、記録担体１０と異なる部分を中心に説明する。
【０１８０】
カードＩＤ記憶部１７ｂは、記録担体１０ｂを一意に識別するためのカードＩＤ「ＣＩＤ＿Ａ」を記憶している。
改ざん検査部１８ｂは、管理サーバ７０ｂが生成した署名データを検証するための検証鍵を予め保持しており、制御部１６ｂから出力される署名データを、当該検証鍵を用いて検証し、制御部１６ｂが受け取ったデータが改ざんされていないか判断する。改ざん検査部１８ｂは、署名データの検証結果を制御部１６ｂへ出力する。
【０１８１】
制御部１６ｂは、情報端末からアクセス要求を受け付けると、カードＩＤ記憶部１７ｂからカードＩＤを読み出し、読み出したカードＩＤを、端末Ｉ／Ｆ１１ｂ、情報端末及びネットワークを介して、管理サーバ７０ｂへ送信する。
制御部１６ｂは、管理サーバ７０ｂからアクセス可能機器テーブルと署名データとを取得し、取得した署名データを改ざん検査部１８ｂへ出力する。改ざん検査部１８ｂによる署名データの検証に成功した場合に、制御部１６ｂは、取得したアクセス可能機器テーブルを用いて、アクセス可否判断を行う。アクセス可否判断については、第1実施形態の記録担体１０と同様である。
【０１８２】
２．携帯電話機２０ｂ
携帯電話機２０ｂは、データ保護システム１ａの携帯電話機２０ａと同様の構成を有し、ネットワーク接続ユニットを備え、ネットワークを介して管理サーバ７０ｂに接続可能である。
携帯電話機２０ｂは、第１実施形態の携帯電話機２０と同様に、機器情報登録処理及び機器情報削除処理を行う専用機器である。携帯電話機２０は、記録担体１０との間で、機器情報登録処理及び機器情報削除処理を行ったが、携帯電話機２０ｂは、記録担体１０ｂではなく、アクセス可能機器テーブルを管理している管理サーバ７０ｂとの間で、機器情報登録処理及び機器情報削除処理を行う。
【０１８３】
携帯電話機２０ｂは、記録担体１０ｂのカードＩＤ「ＣＩＤ＿Ａ」を含む登録要求データを生成し、生成した登録要求データを管理サーバ７０ｂへ送信する。同様に、携帯電話機２０ｂは、記録担体１０ｂのカードＩＤ「ＣＩＤ＿Ａ」を含む削除要求データを生成し、生成した削除要求データを管理サーバ７０ｂへ送信する。
また、携帯電話機２０ｂは、カードスロットを備え、カードスロットに記録担体１０ｂが装着された状態において、記録担体１０ｂに対してアクセス要求する。
【０１８４】
３．ＰＤＡ３０ｂ、ＰＣ４０ｂ、及び携帯電話機５０ｂ
ＰＤＡ３０ｂ、ＰＣ４０ｂ、及び携帯電話機５０ｂは、それぞれ、ＰＤＡ３０ａ、ＰＣ４０ａ、及び携帯電話機５０ａと同様の構成を有する。即ち、これらの情報端末は、ネットワーク接続ユニットを備え、ネットワークを介して管理サーバ７０ｂに接続可能である。また、これらの情報端末は、カードスロットを備え、カードスロットに記録担体１０ｂが装着された状態において、記録担体１０ｂにアクセス要求する。
【０１８５】
なお、これらの情報端末は、管理サーバ７０ｂに対し、機器情報登録処理及び機器情報削除処理は行わない。この点は、第１実施形態と同様である。
４．管理サーバ７０ｂ
管理サーバ７０ｂは、図２９に示す様に、機器情報登録部７１ｂ、機器情報記憶部７２ｂ及び制御部７３ｂを備える。
【０１８６】
機器情報登録部７１ｂは、第１実施形態における記録担体１０の機器情報登録部１４（図４）と同様の機能及び構成を有する。即ち、機器情報登録部７１ｂは、携帯電話機２０ｂから登録要求データを受け取ると、受け取った登録要求データに基づき、機器情報記憶部７２ｂに、アクセス可能機器情報を登録する。また、機器情報登録部７１ｂは、携帯電話機２０ｂから削除要求データを受け取ると、受け取った削除要求データに基づき、機器情報記憶部７２ｂからアクセス可能機器情報を削除する。
【０１８７】
機器情報記憶部７２ｂは、アクセス可能機器テーブルを記憶している。アクセス可能機器テーブルの一例を、図３０に示す。同図に示す様に、アクセス可能機器テーブル４００は、第１実施形態のアクセス可能機器テーブル１４０（図６）に、カードＩＤ４０１「ＣＩＤ＿Ａ」が追加されたデータ構成となっている。
第１実施形態では、記録担体１０自身が、アクセス可能機器テーブル１４０を保持しているため、アクセス可能機器テーブル１４０が、記録担体１０のアクセス制限領域１３にアクセス可能な機器を示すのは明らかであった。
【０１８８】
第２実施形態では、管理サーバ７０ｂがアクセス可能機器テーブル４００を保持しているため、カードＩＤ４０１により、当該テーブルが、カードＩＤ「ＣＩＤ＿Ａ」により識別される記録担体１０ｂのアクセス制限領域にアクセス可能な機器の情報であることを示している。
制御部７３ｂは、情報端末及びネットワークを介して、記録担体１０ｂからカードＩＤ「ＣＩＤ＿Ａ」を受け取ると、「ＣＩＤ＿Ａ」を含むアクセス可能機器テーブル４００を、機器情報記憶部７２ｂから抽出する。
【０１８９】
また、制御部７３ｂは、署名データを生成するための署名鍵を予め保持している。制御部７３ｂは、抽出したアクセス可能機器テーブル４００に対して、当該署名鍵を用いて署名データを生成し、アクセス可能機器テーブル４００と共に、生成した署名データを、情報端末及びネットワークを介して、記録担体１０ｂに送信する。
＜動作＞
ここでは、データ保護システム２の動作について説明する。
【０１９０】
（全体）
図３１は、データ保護システム２全体の動作を示すフローチャートである。先ず、携帯電話機２０ｂにおいて、ユーザからの入力を受け付けることにより機器情報の登録要求又は削除要求が発生する（ステップＳ６０１）。携帯電話機２０ｂは、ネットワークを介して登録要求又は削除要求を管理サーバ７０ｂへ送信し、管理サーバ７０ｂは、登録要求又は削除要求を受信する（ステップＳ６０２）。次に、管理サーバ７０ｂ及び携帯電話機２０ｂは、登録処理又は削除処理を行う（ステップＳ６０３）。
【０１９１】
続いて、それぞれが、カードスロットに記録担体１０ｂを装着した携帯電話機２０ｂ、ＰＤＡ３０ｂ、ＰＣ４０ｂ、又は携帯電話機５０ｂにおいて、ユーザからの入力を受け付けることにより、アクセス要求が発生する（ステップＳ６０４）。情報端末は、アクセス要求を記録担体１０ｂに出力し、記録担体１０ｂは、アクセス要求を受け取る（ステップＳ６０５）。次に、記録担体１０ｂ及び管理サーバ７０ｂは、データアクセス処理を行う（ステップＳ６０６）。
【０１９２】
（登録処理及び削除処理）
携帯電話機２０ｂにおける登録処理の動作は、第１実施形態の携帯電話機２０における登録処理の動作（図１６及び図１７）と同様であり、携帯電話機２０ｂにおける削除処理の動作は、第１実施形態の携帯電話機２０における削除処理の動作（図２０）と同様である。
【０１９３】
また、管理サーバ７０ｂにおける登録処理の動作は、第１実施形態の記録担体１０における登録処理の動作（図１４及び図１５）と同様であり、管理サーバ７０ｂにおける削除処理の動作は、第１実施形態の記録担体１０における削除処理の動作（図１８及び図１９）と同様である。
（データアクセス処理）
図３２は、データアクセス処理の動作を示すフローチャートである。ここに示す動作は、図３１のステップＳ６０６の詳細である。
【０１９４】
記録担体１０ｂの制御部１６ｂは、カードＩＤ記憶部１７ｂから、カードＩＤを読み出す（ステップＳ７０１）。制御部１６ｂは、読み出したカードＩＤを、端末Ｉ／Ｆ１１ｂ、情報端末、及びネットワークを介して、管理サーバ７０ｂへ送信し、管理サーバ７０ｂの制御部７３ｂは、カードＩＤを受信する（ステップＳ７０２）。
制御部７３ｂは、受信したカードＩＤを含むアクセス可能機器テーブルを、機器情報記憶部７２ｂから抽出する（ステップＳ７０３）。次に、制御部７３ｂは、抽出したアクセス可能機器テーブルに対する署名データを生成する（ステップＳ７０４）。制御部７３ｂは、アクセス可能機器テーブルと署名データとを、情報端末及びネットワークを介して記録担体１０ｂへ送信し、記録担体１０ｂは、アクセス可能機器テーブルと署名データとを受信する（ステップＳ７０５）。
【０１９５】
記録担体１０ｂの改ざん検査部１８ｂは、ステップＳ７０５で受信した署名データを受け取り、当該署名データを、内部に保持する検証鍵を用いて検証する（ステップＳ７０６）。改ざん検査部１８ｂは、署名データの検証に失敗すると（ステップＳ７０７でＮＯ）、データアクセスを拒否する旨のエラーメッセージを生成し、生成したエラーメッセージを情報端末へ出力する（ステップＳ７０８）。
【０１９６】
情報端末は、エラーメッセージを受け取る場合、受け取ったエラーメッセージを表示部に表示する（ステップＳ７０９）。
改ざん検査部１８ｂは、署名データの検証に成功すると（ステップＳ７０７でＹＥＳ）、制御部１６ｂに対してその旨を通知する。その後、制御部１６ｂは、アクセス可否判断を行う（ステップＳ７１０）。
【０１９７】
情報端末は、ステップＳ７１０のアクセス可否判断の結果により、記録担体１０ｂから受け取る情報を表示部に表示する（ステップＳ７１１）。
（アクセス可否判断）
記録担体１０ｂにおけるアクセス可否判断の動作は、第１実施形態の記録担体１０におけるアクセス可否判断の動作（図２２及び図２３）と同様である。
【０１９８】
≪その他の変形例≫
（１）第１実施形態において、機器情報の登録は、携帯電話機２０でなく、他の専用機器を用いてもよい。例えば、携帯電話機の販売店などの専用機器を用い、携帯電話機の販売時に、記録担体にアクセス可能な機器の端末ＩＤを登録するような場合が考えられる。この場合には、登録時のパスワード入力が必要なくなる。
【０１９９】
（２）第１実施形態及び第２実施形態において、アクセス可能機器情報に、予め正当なユーザのバイオメトリクス情報を含み、アクセス制限領域へのアクセス可否を判断するときに、記録担体は、情報端末を介してユーザのバイオメトリクスを取得し、取得したバイオメトリクスがアクセス可能機器情報に登録されているバイオメトリクス情報と一致するか否かを判断してもよい。
【０２００】
バイオメトリクス情報としては、指紋、虹彩、声紋などが考えられる。
（３）第１実施形態及び第２実施形態において、アクセス可能機器情報に、予め正当なユーザにより設定されたパスワードを含み、アクセス制限領域へのアクセス可否を判断するとき、記録担体は、情報端末を介してユーザにより入力されたパスワードを取得し、取得したパスワードがアクセス可能機器情報に登録されているパスワードと一致するか否か判断してもよい。
【０２０１】
なお、パスワード認証は、アクセス要求の都度行う、一定時間ごとに行う、電源投入直後に行うなど、様々なバリエーションが考えられる。
（４）第２実施形態において、記録担体は、アクセス要求が生じる毎に管理サーバへネットワーク接続し、アクセス可能機器テーブルにアクセスする構成は、必須ではなく、以下のような場合でもよい。
【０２０２】
例えば、記録担体は、アクセス要求とは無関係に、所定時間毎に管理サーバにアクセスしてもよいし、異なる情報端末のカードスロットに装着される毎に管理サーバにアクセスしてもよい。
（５）第１実施形態の変形例では、記録担体１０ａと登録サーバ６０ａとが、機器情報の登録及び削除処理に先立ち、チャレンジ‐レスポンス認証を行ってもよい。
【０２０３】
（６）第１実施形態において、記録担体はアクセス可能機器情報の登録及び削除だけでなく、アクセス可能機器情報の更新を行うように構成してもよい。
同様に、第２実施形態において、管理サーバはアクセス可能機器情報の追加及び削除だけでなく、更新を行うように構成してもよい。
（７）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
【０２０４】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ‐ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ‐ＲＯＭ、ＤＶＤ‐ＲＡＭ、ＢＤ（Ｂｌｕ‐ｒａｙ Ｄｉｓｃ）、半導体メモリなど、に記録したものとしてもよい。また、これらの記録媒体に記録されている前記コンピュータプログラム又は前記デジタル信号であるとしてもよい。
【０２０５】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。
【０２０６】
また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（８）上記実施の形態及び上記変形例をそれぞれ組み合わせる構成も本発明に含まれる。
【産業上の利用可能性】
【０２０７】
本発明は、例えばＩＣカードを用いた電子マネーシステムにおいて、ＩＣカードの紛失又は盗難が生じた場合などの、ＩＣカードの不正利用を防止する仕組みとして利用することができる。
【図面の簡単な説明】
【０２０８】
【図１】データ保護システム１の構成を示す図である。
【図２】記録担体１０の構成を機能的に示す機能ブロック図である。
【図３】アクセス制限領域１３の内部を示す図である。
【図４】機器情報登録部１４の構成を機能的に示す機能ブロック図である。
【図５】（ａ）登録要求データ１２０のデータ構成を示す図である。（ｂ）登録ＩＤリスト１２５のデータ構成を示す図である。（ｃ）削除要求データ１３０のデータ構成を示す図である。（ｄ）削除ＩＤリスト１３５のデータ構成を示す図である。
【図６】アクセス可能機器テーブル１４０のデータ構成を示す図である。
【図７】制御部１６の構成を機能的に示す機能ブロック図である。
【図８】（ａ）アクセス要求１６０のデータ構成を示す図である。（ｂ）アクセス要求１７０のデータ構成を示す図である。（ｃ）アクセス要求１８０のデータ構成を示す図である。（ｄ）アクセス要求１９０のデータ構成を示す図である。
【図９】テーブル２００のデータ構成を示す図である。
【図１０】携帯電話機２０の構成を機能的に示す機能ブロック図である。
【図１１】データ保護システム１の全体の動作を示すフローチャートである。
【図１２】（ａ）機器情報登録処理の動作を示すフローチャートである。（ｂ）機器情報削除処理の動作を示すフローチャートである。
【図１３】チャレンジ‐レスポンス認証の動作を示すフローチャートである。
【図１４】記録担体１０による登録処理の動作を示すフローチャートであり、図１５に続く。
【図１５】記録担体１０による登録処理の動作を示すフローチャートであり、図１４から続く。
【図１６】携帯電話機２０による登録処理の動作を示すフローチャートであり、図１７に続く。
【図１７】携帯電話機２０による登録処理の動作を示すフローチャートであり、図１６から続く。
【図１８】記録担体１０による削除処理の動作を示すフローチャートであり、図１９に続く。
【図１９】記録担体１０による削除処理の動作を示すフローチャートであり、図１８から続く。
【図２０】携帯電話機２０による削除処理の動作を示すフローチャートである。
【図２１】データ保護システム１におけるデータアクセス処理の動作を示すフローチャートである。
【図２２】記録担体１０によるアクセス可否判断処理の動作を示すフローチャートであり、図２３に続く。
【図２３】記録担体１０によるアクセス可否判断処理の動作を示すフローチャートであり、図２２から続く。
【図２４】データ保護システム１ａの構成を示す図である。
【図２５】記録担体１０ａの構成を機能的に示す機能ブロック図である。
【図２６】携帯電話機２０ａ及び登録サーバ６０ａの構成を機能的に示す機能ブロック図である。
【図２７】（ａ）登録要求データ３１０のデータ構成を示す図である。（ｂ）削除要求データ３２０のデータ構成を示す図である。
【図２８】データ保護システム２の構成を示す図である。
【図２９】記録担体１０ｂ及び管理サーバ７０ｂの構成を機能的に示す機能ブロック図である。
【図３０】アクセス可能機器テーブル４００のデータ構成を示す図である。
【図３１】データ保護システム２全体の動作を示すフローチャートである。
【図３２】データ保護システム２におけるデータアクセス処理の動作を示すフローチャートである。
【特許請求の範囲】
【請求項１】
記憶手段と、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、
前記記憶手段へのアクセス可否を示すアクセス条件を取得する取得手段と、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段と
を備えることを特徴とする記録担体。
【請求項２】
前記記録担体は、更に、
前記アクセス条件を記憶しているアクセス条件記憶手段を備え、
前記取得手段は、前記アクセス条件記憶手段から、前記アクセス条件を取得する
ことを特徴とする請求項１に記載の記録担体。
【請求項３】
前記アクセス条件は、識別子リストを含む、前記識別子リストは、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別する1以上の識別子から成り、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在する場合、前記アクセス要求は前記アクセス条件を満たすと判断し、存在しない場合、前記アクセス要求は前記アクセス条件を満たさないと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項４】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の回数情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、前記１以上の回数情報は、各機器の前記記憶手段にアクセス可能な回数を示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、
前記情報端末が前記記憶領域にアクセスした回数を示すアクセス回数を保持する保持部と、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記識別子に対応する回数情報が、前記アクセス回数より大きいか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項５】
前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の期間情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の期間情報は、各機器の前記記憶手段にアクセス可能な期間を示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、
現在日時を管理する日時管理部と、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記日時管理部が管理している現在日時が、前記識別子に対応する期間情報が示す期間内であるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項６】
前記記憶手段は、複数のメモリブロックから成り、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のメモリブロック情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上のメモリブロック情報は、各機器のアクセス可能なメモリブロックを示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と、メモリブロックを指定するメモリブロック指定情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記メモリブロック指定情報が、前記識別子に対応するメモリブロック情報に含まれるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項７】
前記記憶手段は、１以上のプログラムデータを記憶しており、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のプログラム情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別し、
前記１以上のプログラム情報は、各機器がアクセス可能なプログラムデータを示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と、プログラムデータを指定するプログラム指定情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記プログラム指定情報が、前記識別子に対応するプログラム情報に含まれるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項８】
前記アクセス条件は、識別子リストとバイオメトリクスリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記バイオメトリクスリストは、前記記憶手段にアクセス可能な１以上のユーザを識別する１以上のバイオメトリクス情報を含み、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者のバイオメトリクスを示す操作者バイオメトリクス情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
前記操作者バイオメトリクス情報と一致するバイトメトリクス情報が前記バイオメトリクスリストに存在するか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項９】
前記アクセス条件は、識別子リストとパスワードリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記パスワードリストは、前記記憶手段にアクセス可能な１以上のユーザにより設定された１以上のパスワード情報を含み、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者により入力された入力パスワードとを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
前記入力パスワードと一致するパスワード情報が前記パスワードリストに存在するか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項１０】
前記記録担体は、更に、
装着された１の情報端末から、前記アクセス条件を受け付けるアクセス条件受付手段と、
前記情報端末が、正当な情報端末であると認証された場合に、前記アクセス条件を、前記アクセス条件記憶手段に登録するアクセス条件登録手段とを備える
ことを特徴とする請求項２に記載の記録担体。
【請求項１１】
前記アクセス条件登録手段は、
前記正当な情報端末と第１鍵情報を共有している第１鍵情報保持部と、
装着された前記情報端末へ、チャレンジデータを出力する出力部と、
装着された前記情報端末から、レスポンスデータを受け取り、受け取ったレスポンスデータを検査する検査部とを含み、
前記検査の結果、前記レスポンスデータが、前記チャンレンジデータと前記第１鍵情報とを用いて生成されたデータであることが検証された場合に、前記情報端末が、正当な情報端末であると認証する
ことを特徴とする請求項１０に記載の記録担体。
【請求項１２】
前記アクセス条件受付手段は、
アクセス条件暗号鍵を用いて暗号化された前記アクセス条件を受け付け、
前記アクセス条件登録手段は、
前記アクセス条件暗号鍵に基づき、前記暗号化されたアクセス条件を復号し、復号した前記アクセス条件を前記アクセス条件記憶手段に登録する
ことを特徴とする請求の請求項１１に記載の記録担体。
【請求項１３】
前記アクセス条件受付手段は、
前記アクセス条件と共に、前記アクセス条件に基づき生成された署名データを受け付け、
前記アクセス条件登録手段は、
前記正当な情報端末に係る検証鍵を用いて前記署名データを検証し、前記署名データの検証に成功した場合、前記アクセス条件を前記アクセス条件記憶手段に登録する
ことを特徴とする請求項１２に記載の記録担体。
【請求項１４】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別する1以上の識別子から成る
ことを特徴とする請求項１３に記載の記録担体。
【請求項１５】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の回数情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の回数情報は、各機器の前記記憶手段にアクセス可能な回数を示す
ことを特徴とする請求項１３に記載の記録担体。
【請求項１６】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の期間情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の期間情報は、各機器の前記記憶手段にアクセス可能な期間を示す
ことを特徴とする請求項１３に記載の記録担体。
【請求項１７】
前記記憶手段は、複数のメモリブロックから成り、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のメモリブロック情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上のメモリブロック情報は、各機器のアクセス可能なメモリブロックを示す
ことを特徴とする請求項１３に記載の記録担体。
【請求項１８】
前記記憶手段は、１以上のプログラムデータを記憶しており、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のプログラム情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別し、
前記１以上のプログラム情報は、各機器がアクセス可能なプログラムデータを示す
ことを特徴とする請求項１３に記載の記録担体。
【請求項１９】
前記アクセス条件は、識別子リストとバイオメトリクスリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記バイオメトリクスリストは、前記記憶手段にアクセス可能な１以上のユーザを識別する１以上のバイオメトリクス情報を含む
ことを特徴とする請求項１３に記載の記録担体。
【請求項２０】
前記アクセス条件は、識別子リストとパスワードリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記パスワードリストは、前記記憶手段にアクセス可能な１以上のユーザにより設定された１以上のパスワード情報を含む
ことを特徴とする請求項１３に記載の記録担体。
【請求項２１】
前記記録担体は、更に、
装着された１の情報端末から、前記アクセス条件記憶手段が記憶している前記アクセス条件の削除要求を受け付ける削除要求受付手段と、
前記情報端末が、正当な情報端末であるか否か認証する認証手段と、
前記認証手段により、前記情報端末が、正当な情報端末であると認証された場合に、前記削除要求に従い、前記アクセス条件記憶手段から、前記アクセス条件を削除するアクセス条件削除手段と
を備えることを特徴とする請求項２に記載の記録担体。
【請求項２２】
前記記録担体は、更に、
装着された１の情報端末から、前記アクセス条件記憶手段が記憶している前記アクセス条件の更新要求を受け付ける更新要求受付手段と、
前記情報端末が、正当な情報端末であるいか否か判断する認証手段と、
前記認証手段により、前記情報端末が、正当な情報端末であると認証された場合に、
前記更新要求に従い、前記アクセス条件を更新するアクセス条件更新手段と
を備えることを特徴とする請求項２に記載の記録担体。
【請求項２３】
前記記録担体は、更に、
ネットワークを介して接続されたアクセス条件管理サーバと通信を行う通信手段を備え、
前記取得手段は、前記通信手段を介して、前記アクセス条件管理サーバから、前記アクセス条件を取得する
ことを特徴とする請求項１に記載の記録担体。
【請求項２４】
前記取得手段は、前記通信手段を介して、前記機器情報管理装置から、前記アクセス条件と共に、前記アクセス条件に基づき生成された署名データを取得し、
前記記録担体は、更に、
前記機器情報管理装置に係る検証鍵を用いて前記署名データを検証し、前記アクセス条件の改ざんの有無を検出する改ざん検出手段と、
前記アクセス条件の改ざんが検出された場合に、前記判断手段による処理を中止する中止手段とを備える
ことを特徴とする請求項２３に記載の記録担体。
【請求項２５】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別する1以上の識別子から成り、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在する場合、前記アクセス要求は前記アクセス条件を満たすと判断し、存在しない場合、前記アクセス要求は前記アクセス条件を満たさないと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項２６】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の回数情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の回数情報は、各機器の前記記憶手段にアクセス可能な回数を示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、
前記情報端末が前記記憶領域にアクセスした回数を示すアクセス回数を保持する保持部と、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記識別子に対応する回数情報が、前記アクセス回数より大きいか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項２７】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の期間情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の期間情報は、各機器の前記記憶手段にアクセス可能な期間を示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、
現在日時を管理する日時管理部と、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記日時管理部が管理している現在日時が、前記識別子に対応する期間情報が示す期間内であるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項２８】
前記記憶手段は、複数のメモリブロックから成り、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のメモリブロック情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上のメモリブロック情報は、各機器のアクセス可能なメモリブロックを示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と、メモリブロックを指定するメモリブロック指定情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記メモリブロック指定情報が、前記識別子に対応するメモリブロック情報に含まれるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項２９】
前記記憶手段は、１以上のプログラムデータを記憶しており、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のプログラム情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別し、
前記１以上のプログラム情報は、各機器がアクセス可能なプログラムデータを示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と、プログラムデータを指定するプログラム指定情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記プログラム指定情報が、前記識別子に対応するプログラム情報に含まれるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項３０】
前記アクセス条件は、識別子リストとバイオメトリクスリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記バイオメトリクスリストは、前記記憶手段にアクセス可能な１以上のユーザを識別する１以上のバイオメトリクス情報を含み、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者のバイオメトリクスを示す操作者バイオメトリクス情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
前記操作者バイオメトリクス情報と一致するバイトメトリクス情報が前記バイオメトリクスリストに存在するか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項３１】
前記アクセス条件は、識別子リストとパスワードリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記パスワードリストは、前記記憶手段にアクセス可能な１以上のユーザにより設定された１以上のパスワード情報を含み、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者により入力された入力パスワードとを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
前記入力パスワードと一致するパスワード情報が前記パスワードリストに存在するか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項３２】
前記取得手段は、前記受付手段により、前記アクセス要求を受け付ける都度、前記アクセス条件管理サーバから前記アクセス条件を取得する
ことを特徴とする請求項２３に記載の記録担体。
【請求項３３】
前記取得手段は、所定時間ごとに、前記機器情報管理装置から前記アクセス条件を取得する
ことを特徴とする請求項２３に記載の記録担体。
【請求項３４】
前記取得手段は、当該記録担体が１の情報端末に装着されたことを検出すると、前記機器情報管理装置から前記アクセス条件を取得する
ことを特徴とする請求項２３に記載の記録担体。
【請求項３５】
記録担体と情報端末とから構成されるデータ保護システムであって、
前記記録担体は、
記憶手段と、
当該記録担体が装着されている情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、
前記記憶手段へのアクセス可否を示すアクセス条件を記憶するアクセス条件記憶手段と、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備え、
前記情報端末は
前記記録担体を装着する記録担体インターフェースと
前記記録担体の前記記憶手段へのアクセス要求を生成するアクセス要求生成手段と、
生成した前記アクセス要求を、前記記録担体へ出力するアクセス要求出力手段とを備える
ことを特徴とするデータ保護システム。
【請求項３６】
前記データ保護システムは、更に、
前記記録担体が装着された情報端末を介して、前記アクセス条件を、前記記録担体の前記アクセス条件記憶手段に登録するアクセス条件登録サーバを備える
ことを特徴とする請求項３５に記載のデータ保護システム。
【請求項３７】
記録担体と、情報端末と、前記情報端末とネットワークを介して接続されたアクセス条件管理サーバとから構成されるデータ保護システムであって、
前記記録担体は、
記憶手段と
当該記録担体が装着されている情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、
前記記憶手段へのアクセス可否を示すアクセス条件を取得するアクセス条件取得手段と、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備え、
前記情報端末は、
前記記録担体を装着する記録担体インターフェースと、
前記記録担体の前記記憶手段へのアクセス要求を生成するアクセス要求生成手段と、
生成した前記アクセス要求を、前記記録担体へ出力するアクセス要求出力手段とを備え、
前記アクセス条件管理サーバは、
前記アクセス条件を記憶するアクセス条件記憶手段と、
前記情報端末を介して、前記記録担体へ前記アクセス条件を送信するアクセス条件送信手段とを備える
ことを特徴とするデータ保護システム。
【請求項３８】
記録担体で用いられるデータ保護方法であって、
前記記録担体は、記憶手段とアクセス条件記憶手段とを備え、
前記データ保護方法は、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付ステップと、
前記記憶手段へのアクセス可否を示すアクセス条件を前記アクセス条件記憶手段から取得する取得ステップと、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断ステップと、
前記判断ステップにより、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制ステップと
を含むことを特徴とするデータ保護方法。
【請求項３９】
記録担体で用いられるデータ保護プログラムであって、
前記記録担体は、記憶手段とアクセス条件記憶手段とを備え、
前記データ保護プログラムは、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付ステップと、
前記記憶手段へのアクセス可否を示すアクセス条件を前記アクセス条件記憶手段から取得する取得ステップと、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断ステップと、
前記判断ステップにより、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制ステップと
を含むことを特徴とするデータ保護プログラム。
【請求項４０】
記録担体で用いられるデータ保護方法であって、
前記記録担体は、記憶手段を含み、
前記データ保護方法は、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付ステップと、
ネットワークを介して接続されたアクセス条件管理サーバと通信を行う通信ステップと、
前記通信手段を介して、前記アクセス条件管理サーバから、前記記憶手段へのアクセス可否を示すアクセス条件を取得する取得ステップと、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断ステップと、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制ステップと
を含むことを特徴とするデータ保護方法。
【請求項４１】
記録担体で用いられるデータ保護プログラムであって、
前記記録担体は、記憶手段を含み、
前記データ保護プログラムは、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付ステップと、
ネットワークを介して接続されたアクセス条件管理サーバと通信を行う通信ステップと、
前記通信手段を介して、前記アクセス条件管理サーバから、前記記憶手段へのアクセス可否を示すアクセス条件を取得する取得ステップと、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断ステップと、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制ステップと
を含むことを特徴とするデータ保護プログラム。
【請求項１】
記憶手段と、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、
前記記憶手段へのアクセス可否を示すアクセス条件を取得する取得手段と、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段と
を備えることを特徴とする記録担体。
【請求項２】
前記記録担体は、更に、
前記アクセス条件を記憶しているアクセス条件記憶手段を備え、
前記取得手段は、前記アクセス条件記憶手段から、前記アクセス条件を取得する
ことを特徴とする請求項１に記載の記録担体。
【請求項３】
前記アクセス条件は、識別子リストを含む、前記識別子リストは、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別する1以上の識別子から成り、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在する場合、前記アクセス要求は前記アクセス条件を満たすと判断し、存在しない場合、前記アクセス要求は前記アクセス条件を満たさないと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項４】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の回数情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、前記１以上の回数情報は、各機器の前記記憶手段にアクセス可能な回数を示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、
前記情報端末が前記記憶領域にアクセスした回数を示すアクセス回数を保持する保持部と、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記識別子に対応する回数情報が、前記アクセス回数より大きいか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項５】
前記アクセス条件は、識別子リストを含む、前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の期間情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の期間情報は、各機器の前記記憶手段にアクセス可能な期間を示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、
現在日時を管理する日時管理部と、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記日時管理部が管理している現在日時が、前記識別子に対応する期間情報が示す期間内であるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項６】
前記記憶手段は、複数のメモリブロックから成り、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のメモリブロック情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上のメモリブロック情報は、各機器のアクセス可能なメモリブロックを示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と、メモリブロックを指定するメモリブロック指定情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記メモリブロック指定情報が、前記識別子に対応するメモリブロック情報に含まれるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項７】
前記記憶手段は、１以上のプログラムデータを記憶しており、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のプログラム情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別し、
前記１以上のプログラム情報は、各機器がアクセス可能なプログラムデータを示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と、プログラムデータを指定するプログラム指定情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記プログラム指定情報が、前記識別子に対応するプログラム情報に含まれるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項８】
前記アクセス条件は、識別子リストとバイオメトリクスリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記バイオメトリクスリストは、前記記憶手段にアクセス可能な１以上のユーザを識別する１以上のバイオメトリクス情報を含み、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者のバイオメトリクスを示す操作者バイオメトリクス情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
前記操作者バイオメトリクス情報と一致するバイトメトリクス情報が前記バイオメトリクスリストに存在するか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項９】
前記アクセス条件は、識別子リストとパスワードリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記パスワードリストは、前記記憶手段にアクセス可能な１以上のユーザにより設定された１以上のパスワード情報を含み、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者により入力された入力パスワードとを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
前記入力パスワードと一致するパスワード情報が前記パスワードリストに存在するか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２に記載の記録担体。
【請求項１０】
前記記録担体は、更に、
装着された１の情報端末から、前記アクセス条件を受け付けるアクセス条件受付手段と、
前記情報端末が、正当な情報端末であると認証された場合に、前記アクセス条件を、前記アクセス条件記憶手段に登録するアクセス条件登録手段とを備える
ことを特徴とする請求項２に記載の記録担体。
【請求項１１】
前記アクセス条件登録手段は、
前記正当な情報端末と第１鍵情報を共有している第１鍵情報保持部と、
装着された前記情報端末へ、チャレンジデータを出力する出力部と、
装着された前記情報端末から、レスポンスデータを受け取り、受け取ったレスポンスデータを検査する検査部とを含み、
前記検査の結果、前記レスポンスデータが、前記チャンレンジデータと前記第１鍵情報とを用いて生成されたデータであることが検証された場合に、前記情報端末が、正当な情報端末であると認証する
ことを特徴とする請求項１０に記載の記録担体。
【請求項１２】
前記アクセス条件受付手段は、
アクセス条件暗号鍵を用いて暗号化された前記アクセス条件を受け付け、
前記アクセス条件登録手段は、
前記アクセス条件暗号鍵に基づき、前記暗号化されたアクセス条件を復号し、復号した前記アクセス条件を前記アクセス条件記憶手段に登録する
ことを特徴とする請求の請求項１１に記載の記録担体。
【請求項１３】
前記アクセス条件受付手段は、
前記アクセス条件と共に、前記アクセス条件に基づき生成された署名データを受け付け、
前記アクセス条件登録手段は、
前記正当な情報端末に係る検証鍵を用いて前記署名データを検証し、前記署名データの検証に成功した場合、前記アクセス条件を前記アクセス条件記憶手段に登録する
ことを特徴とする請求項１２に記載の記録担体。
【請求項１４】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別する1以上の識別子から成る
ことを特徴とする請求項１３に記載の記録担体。
【請求項１５】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の回数情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の回数情報は、各機器の前記記憶手段にアクセス可能な回数を示す
ことを特徴とする請求項１３に記載の記録担体。
【請求項１６】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の期間情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の期間情報は、各機器の前記記憶手段にアクセス可能な期間を示す
ことを特徴とする請求項１３に記載の記録担体。
【請求項１７】
前記記憶手段は、複数のメモリブロックから成り、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のメモリブロック情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上のメモリブロック情報は、各機器のアクセス可能なメモリブロックを示す
ことを特徴とする請求項１３に記載の記録担体。
【請求項１８】
前記記憶手段は、１以上のプログラムデータを記憶しており、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のプログラム情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別し、
前記１以上のプログラム情報は、各機器がアクセス可能なプログラムデータを示す
ことを特徴とする請求項１３に記載の記録担体。
【請求項１９】
前記アクセス条件は、識別子リストとバイオメトリクスリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記バイオメトリクスリストは、前記記憶手段にアクセス可能な１以上のユーザを識別する１以上のバイオメトリクス情報を含む
ことを特徴とする請求項１３に記載の記録担体。
【請求項２０】
前記アクセス条件は、識別子リストとパスワードリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記パスワードリストは、前記記憶手段にアクセス可能な１以上のユーザにより設定された１以上のパスワード情報を含む
ことを特徴とする請求項１３に記載の記録担体。
【請求項２１】
前記記録担体は、更に、
装着された１の情報端末から、前記アクセス条件記憶手段が記憶している前記アクセス条件の削除要求を受け付ける削除要求受付手段と、
前記情報端末が、正当な情報端末であるか否か認証する認証手段と、
前記認証手段により、前記情報端末が、正当な情報端末であると認証された場合に、前記削除要求に従い、前記アクセス条件記憶手段から、前記アクセス条件を削除するアクセス条件削除手段と
を備えることを特徴とする請求項２に記載の記録担体。
【請求項２２】
前記記録担体は、更に、
装着された１の情報端末から、前記アクセス条件記憶手段が記憶している前記アクセス条件の更新要求を受け付ける更新要求受付手段と、
前記情報端末が、正当な情報端末であるいか否か判断する認証手段と、
前記認証手段により、前記情報端末が、正当な情報端末であると認証された場合に、
前記更新要求に従い、前記アクセス条件を更新するアクセス条件更新手段と
を備えることを特徴とする請求項２に記載の記録担体。
【請求項２３】
前記記録担体は、更に、
ネットワークを介して接続されたアクセス条件管理サーバと通信を行う通信手段を備え、
前記取得手段は、前記通信手段を介して、前記アクセス条件管理サーバから、前記アクセス条件を取得する
ことを特徴とする請求項１に記載の記録担体。
【請求項２４】
前記取得手段は、前記通信手段を介して、前記機器情報管理装置から、前記アクセス条件と共に、前記アクセス条件に基づき生成された署名データを取得し、
前記記録担体は、更に、
前記機器情報管理装置に係る検証鍵を用いて前記署名データを検証し、前記アクセス条件の改ざんの有無を検出する改ざん検出手段と、
前記アクセス条件の改ざんが検出された場合に、前記判断手段による処理を中止する中止手段とを備える
ことを特徴とする請求項２３に記載の記録担体。
【請求項２５】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別する1以上の識別子から成り、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、前記要求端末識別子と一致する識別子が前記識別子リストに存在する場合、前記アクセス要求は前記アクセス条件を満たすと判断し、存在しない場合、前記アクセス要求は前記アクセス条件を満たさないと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項２６】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の回数情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の回数情報は、各機器の前記記憶手段にアクセス可能な回数を示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、
前記情報端末が前記記憶領域にアクセスした回数を示すアクセス回数を保持する保持部と、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記識別子に対応する回数情報が、前記アクセス回数より大きいか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項２７】
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上の期間情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上の期間情報は、各機器の前記記憶手段にアクセス可能な期間を示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子を含み、
前記判断手段は、
現在日時を管理する日時管理部と、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記日時管理部が管理している現在日時が、前記識別子に対応する期間情報が示す期間内であるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項２８】
前記記憶手段は、複数のメモリブロックから成り、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のメモリブロック情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な1以上の機器をそれぞれ識別し、
前記１以上のメモリブロック情報は、各機器のアクセス可能なメモリブロックを示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と、メモリブロックを指定するメモリブロック指定情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記メモリブロック指定情報が、前記識別子に対応するメモリブロック情報に含まれるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項２９】
前記記憶手段は、１以上のプログラムデータを記憶しており、
前記アクセス条件は、識別子リストを含み、
前記識別子リストは、１以上の識別子と各識別子に対応付けられた１以上のプログラム情報とから成り、
前記１以上の識別子は、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別し、
前記１以上のプログラム情報は、各機器がアクセス可能なプログラムデータを示し、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と、プログラムデータを指定するプログラム指定情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
一致する識別子が存在する場合に、前記プログラム指定情報が、前記識別子に対応するプログラム情報に含まれるか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項３０】
前記アクセス条件は、識別子リストとバイオメトリクスリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記バイオメトリクスリストは、前記記憶手段にアクセス可能な１以上のユーザを識別する１以上のバイオメトリクス情報を含み、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者のバイオメトリクスを示す操作者バイオメトリクス情報とを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
前記操作者バイオメトリクス情報と一致するバイトメトリクス情報が前記バイオメトリクスリストに存在するか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項３１】
前記アクセス条件は、識別子リストとパスワードリストとを含み、
前記識別子リストは、前記記憶手段にアクセス可能な１以上の機器をそれぞれ識別する１以上の識別子を含み、
前記パスワードリストは、前記記憶手段にアクセス可能な１以上のユーザにより設定された１以上のパスワード情報を含み、
前記アクセス要求は、前記情報端末を識別する要求端末識別子と前記情報端末の操作者により入力された入力パスワードとを含み、
前記判断手段は、
前記要求端末識別子と一致する識別子が前記識別子リストに存在するか否か判断する第１判断部と、
前記入力パスワードと一致するパスワード情報が前記パスワードリストに存在するか否か判断する第２判断部とを含み、
前記第１判断部による判断結果及び前記第２判断部による判断結果の何れかが否定的である場合、前記アクセス要求は前記アクセス条件を満たさないと判断し、前記第１判断部による判断結果及び前記第２判断部による判断結果が共に、肯定的である場合、前記アクセス要求は前記アクセス条件を満たすと判断する
ことを特徴とする請求項２４に記載の記録担体。
【請求項３２】
前記取得手段は、前記受付手段により、前記アクセス要求を受け付ける都度、前記アクセス条件管理サーバから前記アクセス条件を取得する
ことを特徴とする請求項２３に記載の記録担体。
【請求項３３】
前記取得手段は、所定時間ごとに、前記機器情報管理装置から前記アクセス条件を取得する
ことを特徴とする請求項２３に記載の記録担体。
【請求項３４】
前記取得手段は、当該記録担体が１の情報端末に装着されたことを検出すると、前記機器情報管理装置から前記アクセス条件を取得する
ことを特徴とする請求項２３に記載の記録担体。
【請求項３５】
記録担体と情報端末とから構成されるデータ保護システムであって、
前記記録担体は、
記憶手段と、
当該記録担体が装着されている情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、
前記記憶手段へのアクセス可否を示すアクセス条件を記憶するアクセス条件記憶手段と、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備え、
前記情報端末は
前記記録担体を装着する記録担体インターフェースと
前記記録担体の前記記憶手段へのアクセス要求を生成するアクセス要求生成手段と、
生成した前記アクセス要求を、前記記録担体へ出力するアクセス要求出力手段とを備える
ことを特徴とするデータ保護システム。
【請求項３６】
前記データ保護システムは、更に、
前記記録担体が装着された情報端末を介して、前記アクセス条件を、前記記録担体の前記アクセス条件記憶手段に登録するアクセス条件登録サーバを備える
ことを特徴とする請求項３５に記載のデータ保護システム。
【請求項３７】
記録担体と、情報端末と、前記情報端末とネットワークを介して接続されたアクセス条件管理サーバとから構成されるデータ保護システムであって、
前記記録担体は、
記憶手段と
当該記録担体が装着されている情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付手段と、
前記記憶手段へのアクセス可否を示すアクセス条件を取得するアクセス条件取得手段と、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断手段と、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制手段とを備え、
前記情報端末は、
前記記録担体を装着する記録担体インターフェースと、
前記記録担体の前記記憶手段へのアクセス要求を生成するアクセス要求生成手段と、
生成した前記アクセス要求を、前記記録担体へ出力するアクセス要求出力手段とを備え、
前記アクセス条件管理サーバは、
前記アクセス条件を記憶するアクセス条件記憶手段と、
前記情報端末を介して、前記記録担体へ前記アクセス条件を送信するアクセス条件送信手段とを備える
ことを特徴とするデータ保護システム。
【請求項３８】
記録担体で用いられるデータ保護方法であって、
前記記録担体は、記憶手段とアクセス条件記憶手段とを備え、
前記データ保護方法は、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付ステップと、
前記記憶手段へのアクセス可否を示すアクセス条件を前記アクセス条件記憶手段から取得する取得ステップと、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断ステップと、
前記判断ステップにより、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制ステップと
を含むことを特徴とするデータ保護方法。
【請求項３９】
記録担体で用いられるデータ保護プログラムであって、
前記記録担体は、記憶手段とアクセス条件記憶手段とを備え、
前記データ保護プログラムは、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付ステップと、
前記記憶手段へのアクセス可否を示すアクセス条件を前記アクセス条件記憶手段から取得する取得ステップと、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断ステップと、
前記判断ステップにより、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制ステップと
を含むことを特徴とするデータ保護プログラム。
【請求項４０】
記録担体で用いられるデータ保護方法であって、
前記記録担体は、記憶手段を含み、
前記データ保護方法は、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付ステップと、
ネットワークを介して接続されたアクセス条件管理サーバと通信を行う通信ステップと、
前記通信手段を介して、前記アクセス条件管理サーバから、前記記憶手段へのアクセス可否を示すアクセス条件を取得する取得ステップと、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断ステップと、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制ステップと
を含むことを特徴とするデータ保護方法。
【請求項４１】
記録担体で用いられるデータ保護プログラムであって、
前記記録担体は、記憶手段を含み、
前記データ保護プログラムは、
装着された１の情報端末から、前記記憶手段へのアクセス要求を受け付ける要求受付ステップと、
ネットワークを介して接続されたアクセス条件管理サーバと通信を行う通信ステップと、
前記通信手段を介して、前記アクセス条件管理サーバから、前記記憶手段へのアクセス可否を示すアクセス条件を取得する取得ステップと、
前記アクセス要求が、前記アクセス条件を満たすか否か判断する判断ステップと、
前記判断手段により、前記アクセス要求が前記アクセス条件を満たさないと判断された場合、前記記憶手段へのアクセスを抑制する抑制ステップと
を含むことを特徴とするデータ保護プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【公表番号】特表２００７−５２９０５６（Ｐ２００７−５２９０５６Ａ）
【公表日】平成１９年１０月１８日（２００７．１０．１８）
【国際特許分類】
【出願番号】特願２００６−５１９２８７（Ｐ２００６−５１９２８７）
【出願日】平成１６年１０月５日（２００４．１０．５）
【国際出願番号】ＰＣＴ／ＪＰ２００４／０１４９９３
【国際公開番号】ＷＯ２００５／０３９２１８
【国際公開日】平成１７年４月２８日（２００５．４．２８）
【出願人】（０００００５８２１）松下電器産業株式会社 (73,050)
【Ｆターム（参考）】
【公表日】平成１９年１０月１８日（２００７．１０．１８）
【国際特許分類】
【出願日】平成１６年１０月５日（２００４．１０．５）
【国際出願番号】ＰＣＴ／ＪＰ２００４／０１４９９３
【国際公開番号】ＷＯ２００５／０３９２１８
【国際公開日】平成１７年４月２８日（２００５．４．２８）
【出願人】（０００００５８２１）松下電器産業株式会社 (73,050)
【Ｆターム（参考）】
[ Back to top ]