通信システム、及び、通信制御方法
【課題】情報の秘匿性を保ちつつ、効率よく、情報の利用に関して承諾の権限を有する者に情報の利用の都度に承諾を得ることが可能な通信システム、及び、通信制御方法を提供する。
【解決手段】通信システム１のサーバー３は、利用側端末４からデータベース２に格納されたデータの読み出しが要求された場合に、破壊読み出し型の記憶部に記憶した認証データに基づいて利用側端末４の認証を行い、認証に成功した場合は記憶部から認証データを読み出して変更して記憶部に書き戻し、承認を行う承認用端末５に対して、承認要求と変更後の認証データの少なくとも一部とを送信し、承認用端末５から承認応答と認証データとを受信した場合に、記憶部から認証データを読み出して受信した認証データの認証を行い、認証に成功した場合にのみ、データベース２のデータを読み出し可能とする。
【解決手段】通信システム１のサーバー３は、利用側端末４からデータベース２に格納されたデータの読み出しが要求された場合に、破壊読み出し型の記憶部に記憶した認証データに基づいて利用側端末４の認証を行い、認証に成功した場合は記憶部から認証データを読み出して変更して記憶部に書き戻し、承認を行う承認用端末５に対して、承認要求と変更後の認証データの少なくとも一部とを送信し、承認用端末５から承認応答と認証データとを受信した場合に、記憶部から認証データを読み出して受信した認証データの認証を行い、認証に成功した場合にのみ、データベース２のデータを読み出し可能とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、及び、通信制御方法に関する。
【背景技術】
【０００２】
近年、個人情報等の不正な取得あるいは使用を防止するため、セキュリティの強化が求められており、例えば、生体情報を利用して認証を行い、認証に成功した場合にのみ情報を送受信可能とするシステムが知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−３３８０５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、個人情報をはじめとする保護すべき情報を利用する場合、その情報の本来の所有者の承諾を必要とする場合がある。このような場合、情報を収集及び入力する際に予め所有者の承諾を得ることが一般的であり、情報が集積された後で、その情報が利用される毎に承諾を得る仕組みは無かった。また、情報を利用する都度に承諾を得ようとすれば通信頻度が増すため、セキュリティを確保し、かつ、効率よく承諾を得ることは従来の手法では困難であった。
本発明は、上述した事情に鑑みてなされたものであり、情報の秘匿性を保ちつつ、効率よく、情報の利用に関して承諾の権限を有する者に情報の利用の都度に承諾を得ることが可能な通信システム、及び、通信制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明は、データベースに格納されたデータの読み出しを要求する第１の端末と、前記データベースからのデータ読み出しを制御するサーバー装置と、前記データベースに格納されたデータの利用の可否を決定する第２の端末と、を備え、前記サーバー装置は、読出時に読み出されたデータが物理的に破壊される特性を有する破壊読み出し型の記憶部を有し、この記憶部に認証データを記憶しており、前記第１の端末からデータ読み出しが要求された場合に、前記記憶部に記憶された前記認証データに基づいて前記第１の端末の認証を行うとともに、認証に成功した場合は前記記憶部から前記認証データを読み出して、読み出した前記認証データを変更して前記記憶部に書き戻す処理を行い、前記第２の端末に対して承認要求とともに変更後の前記認証データの少なくとも一部とを送信し、前記第２の端末から承認応答と前記認証データとを受信した場合に、前記記憶部から前記認証データを読み出して受信した前記認証データの認証を行い、認証に成功した場合にのみ、前記第１の端末が前記データベースのデータを読み出し可能な状態とすること、を特徴とする。
この構成によれば、データベースに格納されたデータの読み出しが要求された場合に、データの利用の可否を決定する第２の端末に対して承認を要求し、この要求に対して承認応答が送信された場合にのみ、データベースのデータを読み出し可能になるので、効率よく、データベースに格納されたデータの利用の都度に承認を得ることができる。ここで、データの読み出しが要求された場合に破壊読み出し型の記憶部から認証データが読み出され、読み出された認証データが変更されて書き戻され、この変更後の認証データを利用して第２の端末の認証が行われる。このため、破壊読み出し型の記憶部を利用することで変更前の認証データが確実に失われ、変更後の認証データを用いて認証を行うことによって、サーバー装置から承認要求を受けた第２の端末でなければ承認の応答を送信できなくなるので、正当な権限を有する第２の端末のみがデータの利用を承認することが可能になる。これにより、データの利用の承認に関して高いセキュリティレベルを確保できる。
【０００６】
上記構成において、前記記憶部は複数の前記認証データの各々にデータ識別用の識別符号を付して記憶しており、前記第１の端末は、前記サーバー装置に対してデータ読み出しの要求とともに前記認証データの識別符号を送信し、前記サーバー装置は、前記第１の端末から送信された識別符号に従って前記記憶部の前記認証データを読み出し、該当する前記認証データがある場合に認証成功と判定する一方、読み出した前記認証データの識別符号を変更して前記記憶部に書き戻し、変更後の識別符号を前記第２の端末に送信し、前記第２の端末から承認応答と前記認証データの識別符号とを受信し、受信した識別符号に従って前記記憶部から前記認証データを読み出し、該当する前記認証データがある場合に認証成功と判定してもよい。
この場合、サーバー装置は、記憶部に記憶している認証データに付された識別符号に従って第１の端末及び第２の端末の認証を行うので、認証に失敗する場合は識別符号が誤っているため記憶部から認証データの読み出しが行われず、破壊読み出し型の記憶部から認証データが失われない。このため、正規の権限を有する第１及び第２の端末以外の装置から不適切なアクセスがされた場合は、認証データを失わずにアクセスを拒否できるので、正規のアクセスに対する処理への悪影響がない。その上、正規の第１及び第２の端末がアクセスした場合には認証データの識別符号を書き換えて書き戻しを行うことで、成りすましや認証データの漏洩による不正なアクセスを確実に防止でき、高いセキュリティレベルを確保できる。
【０００７】
また、上記構成において、前記記憶部が記憶する前記認証データは、前記第１の端末に固有のＩＤと、前記第２の端末に固有のＩＤとを対応づける情報であり、前記第１の端末は、前記サーバー装置に対してデータ読み出しの要求とともに前記認証データと自己のＩＤとを送信し、前記サーバー装置は、前記第１の端末から送信された識別符号に従って前記記憶部の前記認証データを読み出し、読み出した前記認証データから前記第２の端末のＩＤを取得し、この取得したＩＤに基づいて前記第２の端末に承認要求を送信してもよい。
この場合、第１の端末がデータの読み出しを要求する場合に認証データの識別符号を指定し、この指定された識別符号に従ってサーバー装置の記憶部から読み出された認証データにより、承認要求を送信すべき相手となる第２の端末が特定されるので、正しい認証データの識別符号を知り得る第１の端末でなければデータの読み出しを要求できない。このため、成りすましによる不正なアクセスを確実に防止でき、高いセキュリティレベルを確保できる。
【０００８】
また、上記構成において、前記サーバー装置は前記データベースに接続され、前記第２の端末からの承認の応答を受信した場合の認証に成功した後、前記データベースからデータを読み出して前記第１の端末に送信してもよい。
この場合、第１の端末がデータ読み出しを要求した場合に、第１及び第２の端末の認証を行うサーバー装置が、データベースから情報を読み出して第１の端末に送信するので、承認後のデータの読み出しを速やかに行うことができ、また、承認後のデータの授受に関与する装置が少ないためにセキュリティの確保が容易になる。
【０００９】
さらに、上記構成において、前記サーバー装置は、前記認証に失敗した場合に、前記記憶部が記憶する前記認証データを初期状態に書き戻してもよい。
この場合、万が一認証に失敗して記憶部に記憶された認証データが損なわれた場合であっても、初期状態に戻すことでその後のデータの読み出しに支障がないよう回復できる。このため、破壊読み出し型の記憶部を利用してセキュリティを確保し、かつ、可用性を高めることができる。
【００１０】
また、本発明は、データベースに格納されたデータの読み出しを制御するサーバー装置により、前記第１の端末から前記データベースに格納されたデータの読み出しが要求された場合に、破壊読み出し型の記憶部に記憶された認証データに基づいて前記第１の端末の認証を行うとともに、認証に成功した場合は前記記憶部から前記認証データを読み出して、読み出した前記認証データを変更して前記記憶部に書き戻す処理を行い、承認を行う第２の端末に対して、承認要求と、変更後の前記認証データの少なくとも一部とを送信し、前記第２の端末から承認応答と前記認証データとを受信した場合に、前記記憶部から前記認証データを読み出して受信した前記認証データの認証を行い、認証に成功した場合にのみ、前記第１の端末が前記データベースのデータを読み出し可能な状態とすること、を特徴とする。
この方法によれば、データベースに格納されたデータの読み出しが要求された場合に、データの利用の可否を決定する第２の端末に対して承認を要求し、この要求に対して承認応答が送信された場合にのみ、データベースのデータを読み出し可能になるので、効率よく、データベースに格納されたデータの利用の都度に承認を得ることができる。ここで、データの読み出しが要求された場合に破壊読み出し型の記憶部から認証データが読み出され、読み出された認証データが変更されて書き戻され、この変更後の認証データを利用して第２の端末の認証が行われる。このため、破壊読み出し型の記憶部を利用することで変更前の認証データが確実に失われ、変更後の認証データを用いて認証を行うことによって、サーバー装置から承認要求を受けた第２の端末でなければ承認の応答を送信できなくなるので、正当な権限を有する第２の端末のみがデータの利用を承認することが可能になる。これにより、データの利用の承認に関して高いセキュリティレベルを確保できる。
【００１１】
さらに、本発明は、上記通信制御方法を実現するためのプログラムや、このプログラムをコンピューター読み取り可能に記録した記録媒体の形態で実現することも可能である。
【発明の効果】
【００１２】
本発明によれば、破壊読み出し型の記憶部に記憶した認証データを利用して認証を行うことにより、セキュリティを確保しつつ、データベースに格納されたデータの利用の都度、データを読み出して利用する装置とは別の装置によって承認を得る構成を実現できる。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施形態に係る通信システムの概略構成を示す図である。
【図２】データを読み出す際の通信手順の概略を示す図である。
【図３】サーバーの機能的構成を示すブロック図である。
【図４】利用側端末の機能的構成を示すブロック図である。
【図５】承認用端末の機能的構成を示すブロック図である。
【図６】サーバーにより処理されるデータの構成例を模式的に示す図である。
【図７】認証データを用いた認証に係る動作の一例を示す説明図である。
【図８】認証データを用いた認証に係る動作の一例を示す説明図である。
【図９】通信システムの動作を示すフローチャートである。
【図１０】通信システムの動作を示すフローチャートである。
【図１１】通信システムの動作を示すフローチャートである。
【発明を実施するための形態】
【００１４】
以下、図面を参照して本発明の実施形態について説明する。
図１は、本発明を適用した実施形態に係る通信システム１の概略構成を示す図である。
図１に示す通信システム１は、データベース２を有するサーバー３（サーバー装置）と、利用側端末４（第１の端末）とを通信回線６を介して相互に通信可能に接続して構成される。また、通信回線６には、アクセスポイント７を介して承認用端末５（第２の端末）が接続され、このアクセスポイント７及び通信回線６を介して、承認用端末５は、サーバー３と相互に通信可能に接続される。図１では一つの利用側端末４と一つの承認用端末５とがサーバー３に接続された構成を示したが、通信システム１が利用側端末４及び承認用端末５を複数備えた構成とすることは勿論可能である。
データベース２は、医療機関において作成および保存された電子カルテのデータや、クレジットカード決済サービスを提供する金融サービス企業が作成した与信情報など、個人に関係するデータを記憶したデータベースである。利用側端末４は、電子カルテを読み出して使用する医師用の端末装置、或いは、クレジットカード決済を行うにあたって与信情報を利用するクレジットカード読取端末等、データベース２に格納されたデータを利用する端末装置である。通信システム１では、利用側端末４からの要求に応じて、データベース２に格納されたデータをサーバー３が読み出し、通信システム１に送信する。ここで、データベース２に格納されたデータは個人に関するデータであるため、利用の都度、その個人が使用する承認用端末５によって承認が行われる。この承認用端末５による承認を得てから、サーバー３は、データベース２のデータを読み出して利用側端末４に送信する。
【００１５】
通信回線６は、電気通信事業者により設置された専用線、公衆交換電話網、衛星通信回線、移動体通信回線等の各種通信回線を含んで構成され、各種データを送受信可能な通信網であり、具体的な例としてはインターネットが挙げられ、インターネット等のオープンな通信網においてＶＰＮ（Virtual Private Network）技術により実現される仮想的な専用線であってもよい。通信回線６には回線交換装置や各種サーバー装置を含んでいてもよく、具体的態様は特に限定されない。また、通信回線６とアクセスポイント７との間、及び、通信回線６とサーバー３及び利用側端末４との間には、通信事業者が提供するファイアーウォール、ゲートウェイ装置等の各種機器が介在する構成としても良いが、ここでは図示しない。
【００１６】
図２は、通信システム１を構成する各部間の通信手順を示す図である。
この図２を参照して、通信システム１において利用側端末４がデータベース２からデータを読み出す場合の動作の概略を説明する。
利用側端末４を利用するユーザーがデータベース２内のデータの読み出しを望んで利用側端末４を操作すると、利用側端末４からサーバー３に対してデータ要求が送信される（ステップＳ１）。サーバー３は、データ要求を受けると、利用側端末４の認証を行い、認証に成功した場合に、要求されたデータに対応する承認用端末５を特定し、この承認用端末５に対して承認要求を送信する（ステップＳ２）。承認用端末５を使用するユーザーは、サーバー３からの承認要求を受けて、自身に関わるデータの利用を承認するか否かを判断し、承認する場合には承認用端末５を操作して、承認の応答をサーバー３に送信する（ステップＳ３）。
サーバー３は、承認用端末５から承認の応答を受けると、承認用端末５の認証を行い、認証に成功した場合にはデータベース２にアクセスして、ステップＳ１で利用側端末４から要求されたデータを読み出して（ステップＳ４）、読み出したデータを利用側端末４に送信する（ステップＳ５）。
サーバー３は、ステップＳ１のデータ要求を受けた場合に利用側端末４の認証を行い、ステップＳ３で承認の応答を受けた場合に承認用端末５の認証を行う。これらの認証は、予めサーバー３が記憶している認証データ１１、各々の利用側端末４に付与されたＩＤ、及び、各々の承認用端末５に付与されたＩＤに基づいて行われる。
【００１７】
図３は、サーバー３の機能的構成を示すブロック図である。
この図３に示すように、サーバー３は、各部を制御する制御部３１と、制御部３１により実行されるプログラムや処理対象のデータ等を記憶する記憶部３０とを備えて構成される。
記憶部３０は、制御部３１が実行する基本制御プログラムやデータを不揮発的に記憶するＲＯＭ３３、制御部３１が実行するプログラム等を展開するための一時記憶領域を形成するＲＡＭ３４、及び、制御部３１により処理されるデータ等を不揮発的に記憶するＦｅＲＡＭ３５を備える。
ＲＯＭ３３は、ＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリー等の不揮発性メモリーデバイスを用いて構成され、予め工場出荷時に記憶された基本制御プログラム、この基本制御プログラムに従ってサーバー３の各部を制御するためのデータを記憶する。ＲＡＭ３４は、ＳＲＡＭ、ＤＲＡＭ、ＳＤＲＡＭ等の揮発性のメモリーデバイスを用いて構成される。また、記憶部としてのＦｅＲＡＭ（Ferroelectric Random Access Memory）３５は、強誘電体のヒステリシスを利用した強誘電体メモリーとも呼ばれる不揮発性のメモリーデバイスを用いて構成される。ＦｅＲＡＭ３５を構成するメモリーデバイスは破壊読み出し型であり、記憶しているデータの読み出し時に、このデータを記憶していた領域からデータが物理的に失われるという特性を有する。本実施形態では、ＦｅＲＡＭ３５に記憶されているデータを読み出す場合、制御部３１の制御により、読み出したデータはＲＡＭ３４に一時的に格納され、その後、必要に応じてＦｅＲＡＭ３５へ書き戻しが行われる。書き戻しの際に、読み出されたデータをそのまま書き戻すか、一部または全部を変更して書き戻すかは制御部３１の制御により決定される。
【００１８】
サーバー３は、通信回線６を介して各種データを送受信するための通信制御部３６を備える。また、サーバー３は、メンテナンスや各種設定のために操作される入力部３７及び設定状態やサーバー３の動作状態等を表示する表示部３８を備え、さらに、データベース２に接続されるインターフェース３９を備えている。制御部３１は、インターフェース３９を介してデータベース２へのデータの格納、データベース２からのデータの読み出し等を行う。なお、データベース２を、サーバー３が内蔵する記憶装置に形成することも勿論可能であり、この場合にはインターフェース３９は不要である。
【００１９】
図４は、利用側端末４の機能的構成を示すブロック図である。
この図４に示すように、利用側端末４は、各部を制御する制御部４１と、制御部４１により実行されるプログラムや処理対象のデータ等を記憶する記憶部４０とを備えて構成される。
記憶部４０は、制御部４１が実行する基本制御プログラムやデータを不揮発的に記憶するＲＯＭ４３、制御部４１が実行するプログラム等を展開するための一時記憶領域を形成するＲＡＭ４４、及び、制御部４１により処理されるデータ等を不揮発的に記憶するＦｅＲＡＭ４５を備える。
ＲＯＭ４３は、ＲＯＭ３３（図３）と同様に不揮発性メモリーデバイスを用いて構成され、予め工場出荷時に記憶された基本制御プログラム、この基本制御プログラムに従って利用側端末４の各部を制御するためのデータ、及び、予め利用側端末４に付与されたＩＤ等を記憶する。ＲＡＭ４４は、ＲＡＭ３４（図３）と同様の揮発性のメモリーデバイスを用いて構成される。ＦｅＲＡＭ４５は、ＦｅＲＡＭ３５（図３）と同様の破壊読み出し型の不揮発性のメモリーデバイスを用いて構成され、必要に応じて、制御部４１の制御によってＦｅＲＡＭ４５へのデータの書き戻しが行われる。
また、利用側端末４は、通信回線６を介して各種データを送受信するための通信制御部４６、データベース２のデータを利用するユーザーが操作するキーボードやマウス等の入力部４７、実行中の処理や処理結果、取得したデータの内容等を表示する等を表示する表示部４８を備えている。
【００２０】
図５は、承認用端末５の機能的構成を示すブロック図である。
この図５に示すように、承認用端末５は、各部を制御する制御部５１と、制御部５１により実行されるプログラムや処理対象のデータ等を記憶する記憶部５０とを備えて構成される。
記憶部５０は、制御部５１が実行する基本制御プログラムやデータを不揮発的に記憶するＲＯＭ５３、制御部５１が実行するプログラム等を展開するための一時記憶領域を形成するＲＡＭ５４、及び、制御部５１により処理されるデータ等を不揮発的に記憶するＦｅＲＡＭ５５を備える。
ＲＯＭ５３は、ＲＯＭ３３（図３）と同様に不揮発性メモリーデバイスを用いて構成され、予め工場出荷時に記憶された基本制御プログラム、この基本制御プログラムに従って承認用端末５の各部を制御するためのデータ、及び、予め承認用端末５に付与されたＩＤ等を記憶する。ＲＡＭ５４は、ＲＡＭ３４（図３）と同様の揮発性のメモリーデバイスを用いて構成される。ＦｅＲＡＭ５５は、ＦｅＲＡＭ３５（図３）と同様の破壊読み出し型の不揮発性のメモリーデバイスを用いて構成され、必要に応じて、制御部５１の制御によってＦｅＲＡＭ５５へのデータの書き戻しが行われる。
また、承認用端末５は、通信回線６を介して各種データを送受信するための通信制御部５６、データベース２のデータ利用を承認するユーザーが操作するキーボードやマウス等の入力部５７、実行中の処理や処理結果、取得したデータの内容等を表示する等を表示する表示部５８、及び、アンテナ５Ａを介してアクセスポイント７との間で無線通信を実行する無線通信部５９を備えている。
【００２１】
図６は、サーバー３により処理されるデータの構成例を模式的に示す図であり、図６Ａは利用側端末４或いは承認用端末５からサーバー３が受信する入力情報１５の構成例を示し、図６Ｂはサーバー３のＦｅＲＡＭ３５に格納される認証データテーブル１０の構成例を示し、図６Ｃはサーバー３が承認用端末５或いは利用側端末４に出力する出力情報１６の構成例を示す。
図７及び図８は、認証データ１１を用いた認証の一例を示す説明図である。
これら図６〜図８を参照して、サーバー３による認証データ１１の取り扱いについて説明する。
【００２２】
図６Ａに示すように、利用側端末４及び承認用端末５からサーバー３に入力される入力情報１５は、入力ＩＮＤＥＸ値（識別符号）と、この入力情報１５を送信した端末のＩＤ（宛先ＩＤ）と、サーバー３に対するコマンドとしてのデータとを含んでいる。
利用側端末４がサーバー３にデータ読み出しを要求する場合、入力情報１５には、データベース２からのデータ読み出しを要求するコマンドである第１データが含まれる。ここで、入力情報１５には、利用側端末４が読み出しを要求するデータベース２内のデータ自体を指定する情報は含まれていない。
【００２３】
サーバー３は、ＦｅＲＡＭ３５に複数の認証データ１１が集積されたテーブルである認証データテーブル１０を記憶している。個々のレコードに相当する認証データ１１は、各々の認証データ１１を識別するための格納ＩＮＤＥＸ値（識別符号）を含んでいる。そして、各々の認証データ１１は、対応する入力情報１５を送信した端末のＩＤ（送信ＩＤ）と、次にサーバー３が後述する出力情報１６を送信する場合の宛先となる端末のＩＤ（宛先ＩＤ）と、データとを含んでいる。利用側端末４がサーバー３にデータ読み出しを要求した段階では、次に行われる動作は承認用端末５に対する承認要求であるから、図６Ｂに示す認証データ１１には、承認用端末５に対して承認を要求するコマンドである第２データが含まれている。
サーバー３が利用側端末４または承認用端末５に送信する出力情報１６は、出力ＩＮＤＥＸ値（識別符号）と、宛先の端末のＩＤ（宛先ＩＤ）と、データとを含んでいる。このデータは認証データ１１と同じものであり、図６Ｃの例では承認要求のコマンドすなわち第２データである。
【００２４】
まず、利用側端末４がサーバー３にデータ読み出しを要求した場合、サーバー３の制御部３１は、利用側端末４からの入力情報１５を受信し、この入力情報１５に含まれる第１データ（コマンド）から、これがデータの読み出し要求であることを検出する。そして、図７に示すように、制御部３１は、入力情報１５の入力ＩＮＤＥＸ値をもとに、ＦｅＲＡＭ３５に記憶している認証データテーブル１０から、認証データ１１を検索する。ここで、入力情報１５の入力ＩＮＤＥＸ値と同じ格納ＩＮＤＥＸ値を有する認証データ１１があれば、この認証データ１１をＦｅＲＡＭ３５から読み出す。また、入力情報１５の入力ＩＮＤＥＸ値と同じ格納ＩＮＤＥＸ値を有する認証データ１１が無い場合、入力情報１５に対してエラーを出力する。
【００２５】
続いて、制御部３１は、入力情報１５に一致する認証データ１１を読み出して、読み出した認証データ１１の宛先ＩＤを取得する。この宛先ＩＤは、サーバー３から承認要求を送信する承認用端末５のＩＤである。また、認証データ１１に含まれる第２データは承認要求のコマンドである。制御部３１は、ＦｅＲＡＭ３５から読み出した認証データ１１に基づいて承認用端末５へ承認要求を送信する。
従って、利用側端末４は、データベース２から取得したいデータがあれば、そのデータに対応する格納ＩＮＤＥＸ値を含む入力情報１５を生成し、サーバー３に送信する必要がある。制御部３１は、実在するＩＮＤＥＸ値を入力ＩＮＤＥＸ値として含んでいる入力情報１５しか受け付けないし、ＩＮＤＥＸ値によって承認要求先の承認用端末５が決定されてしまうので、利用側端末４では、認証データテーブル１０における正しい格納ＩＮＤＥＸ値を保持しておく必要がある。この格納ＩＮＤＥＸ値は、例えば、ＦｅＲＡＭ４５に記憶しておき、入力情報１５をサーバー３に送信する毎にＦｅＲＡＭ４５からＩＮＤＥＸ値を読み出し、必要に応じてＦｅＲＡＭ４５に書き戻す構成とすれば、利用側端末４におけるデータ処理のセキュリティを高めることができる。
【００２６】
そして、制御部３１は、認証データ１１をＦｅＲＡＭ３５から読み出してＲＡＭ３４に一時的に格納し、この認証データ１１のＩＮＤＥＸ値を変更する。これにより、この認証データ１１に他の利用側端末４がアクセスしたり、既に入力情報１５を送信した利用側端末４が再び同じＩＮＤＥＸ値を指定したりできなくなる。つまり、ＦｅＲＡＭ３５から読み出され、承認用端末５への承認要求が行われた認証データ１１については、その承認用端末５から承認の応答が返信されるまで、利用側端末４からの要求が行えなくなる。これにより、承認用端末５による承認が二重に行われることや、正規の承認用端末５への成りすまし等を確実に防止できる。
ＩＮＤＥＸ値の変更方法の例としては、認証データ１１の宛先ＩＤと送信ＩＤとを演算して新たなＩＮＤＥＸ値を求める方法が挙げられるが、予め、宛先ＩＤや送信ＩＤと、変更後のＩＮＤＥＸ値とを対応づけたテーブルを、ＦｅＲＡＭ３５に記憶しておき、このテーブルに従ってＩＮＤＥＸ値を変更してもよい。
【００２７】
ＩＮＤＥＸ値が変更された認証データ１１は、出力情報１６として承認用端末５へ送信され、制御部３１によってＦｅＲＡＭ３５に再び書き込まれる（書き戻される）。ここで、認証データ１１の第２データは、「承認要求」のコマンドから、データ読み出しを指示するコマンドに書き換えられる。これは、既に承認用端末５へ承認要求が送信されたので、次に当該認証データ１１について行うべき処理が、利用側端末４に対するデータ取得の指示だからである。
一方、承認用端末５においては、出力情報１６を受信し、出力情報１６に含まれる出力ＩＮＤＥＸ値を取得してＦｅＲＡＭ５５に記憶する。そして、入力部５７の操作によって承認する旨が入力された場合、入力情報１５を作成してサーバー３へ送信する。この入力情報１５では、先に受信した出力ＩＮＤＥＸ値が入力ＩＮＤＥＸ値に設定され、送信ＩＤとしては、この承認用端末５のＩＤが含まれる。また、この入力情報１５のデータには、第１及び第２データとは異なり、データ取得を示すコマンドが含まれる。
【００２８】
その後、承認用端末５が承認の応答をサーバー３へ送信すると、サーバー３は、承認用端末５が送信した情報を図６〜図８に示す入力情報１５として処理する。
すなわち、サーバー３の制御部３１は、承認用端末５から受信した入力情報１５に含まれる入力ＩＮＤＥＸ値に基づいて、認証データテーブル１０の認証データ１１を検索し、この入力ＩＮＤＥＸ値と同じ格納ＩＮＤＥＸ値を有する認証データ１１を読み出す。そして、承認用端末５が承認応答の目的で送信した入力情報１５にはデータ読み出しを指示するコマンドが含まれているので、制御部３１は、このコマンドに従って、データベース２からデータを取得し、このデータを、認証データ１１に含まれている送信ＩＤに対応する利用側端末４に対し、データ取得のコマンドを含む出力情報１６とともに、送信する。
【００２９】
この一連の処理では、利用側端末４が送信する場合も承認用端末５が送信する場合も、入力情報１５には送信元の端末のＩＤと入力ＩＮＤＥＸ値とが含まれるが、次の情報の送信先である端末のＩＤは含まれていない。利用側端末４及び承認用端末５と、サーバー３との間では、ＩＮＤＥＸ値を用いて、認証と次のデータの送信先の特定が行われる。従って、利用側端末４及び承認用端末５に、他の利用側端末４や承認用端末５のＩＤ等の情報は伝わらないので、個々の利用側端末４及び承認用端末５に関する情報を末端のユーザーに対して隠蔽できる。
また、ＩＮＤＥＸ値は、出力情報１６を生成する毎に変更されるので、一つの認証データ１１に関しては、サーバー３から出力情報１６を送信された端末でなければ入力情報１５を送信できない。このため、仮に正規の利用側端末４であっても、データ読み出しを要求した後は、正当な応答があるまでは同じデータを要求することはできないし、無関係なデータを要求することもできない。従って、正当な処理手順に従って、正規の端末が送信した情報でなければ受け付けられないため、成りすまし等の不正なアクセスを確実に防止できる。また、承認用端末５は、出力情報１６を受信した場合に、同じＩＮＤＥＸと、自己のＩＤとを含む入力情報１５を送信すればよいので、速やかに返信を行える。このため、データをデータベース２から読み出す承認を迅速に得ることができるので、速やかに処理を行うことができる。
【００３０】
図９、図１０及び図１１は、通信システム１の動作を示すフローチャートであり、利用側端末４がデータの読み出しを要求してからデータが読み出される一連の動作を示している。図９Ａ及び図１０Ａは利用側端末４の動作を示し、図９Ｂ及び図１０Ｂはサーバー３の動作を示し、図９Ｃは承認用端末５の動作を示す。
まず、図９Ａに示すように、利用側端末４の操作によりデータベース２に格納されたデータの利用に関する要求が発生すると（ステップＳ１０１）、利用側端末４の制御部４１は、要求を送信する処理を行い（ステップＳ１０２）、サーバー３に対して、図６〜図８を参照して説明したＩＮＤＥＸ値と、利用側端末４のＩＤと、データ読み出しを要求するコマンドとを含む入力情報を送信する（ステップＳ１０３）。
【００３１】
サーバー３の制御部３１は、利用側端末４から送信された情報を受信して認証処理を実行する（ステップＳ１１１）。この認証処理について図１１を参照して説明する。
この認証処理において、制御部３１は、入力情報に含まれる入力ＩＮＤＥＸ値と一致する格納ＩＮＤＥＸ値を有する認証データ１１（図６Ｂ）を、ＦｅＲＡＭ３５に記憶された認証データテーブル１０（図６Ｂ）から検索する（ステップＳ１４１）。ここで、制御部３１は該当するデータがあるか否かを判別し（ステップＳ１４２）、該当する認証データが無い場合は認証失敗と判定して（ステップＳ１４３）、元の処理に戻る。
【００３２】
一方、該当する認証データ１１があった場合（ステップＳ１４２；Ｙｅｓ）、制御部３１は、該当する認証データ１１の送信ＩＤと、入力情報の送信ＩＤとを照合し（ステップＳ１４４）、一致するか否かを判別する（ステップＳ１４５）。ここで、送信ＩＤが一致しない場合（ステップＳ１４５；Ｎｏ）、制御部３１はステップＳ１４３に移行して認証失敗と判定する。また、送信ＩＤが一致した場合（ステップＳ１４５；Ｙｅｓ）、認証成功と判定し（ステップＳ１４６）、この認証データ１１の宛先ＩＤを取得して（ステップＳ１４７）、取得した宛先ＩＤと送信ＩＤとをもとに新しいＩＮＤＥＸ値を求める（ステップＳ１４８）。そして、制御部３１は、新しいＩＮＤＥＸ値を認証データ１１に設定して、認証データ１１をＦｅＲＡＭ３５に書き戻し（ステップＳ１４９）、もとの処理に戻る。
【００３３】
図９Ｂに戻り、認証処理を終えた制御部３１は、認証に失敗した場合（ステップＳ１１２；Ｎｏ）、エラーを出力して本処理を終了する（ステップＳ１１３）。ここでエラーを出力する方法としては、サーバー３の表示部３８にエラーを表示してもよいが、ステップＳ１０３で入力情報を送信した利用側端末４に対してエラー発生を示す情報を送信してもよい。
また、認証に成功した場合（ステップＳ１１２；Ｙｅｓ）、制御部３１は、認証処理で更新した認証データ１１から取得した宛先ＩＤと新たなＩＮＤＥＸ値とを取得し（ステップＳ１１４）、この取得した情報をもとに出力情報を生成して、宛先ＩＤに対応する承認用端末５に送信する（ステップＳ１１５）。
【００３４】
図９Ｃに示すように、承認用端末５の制御部５１は、サーバー３から送信された出力情報を受信すると、この受信した出力情報の宛先ＩＤが自己に割り当てられたＩＤか否かを判別する（ステップＳ１２１）。ここで、宛先ＩＤが正しいＩＤでない場合（ステップＳ１２１；Ｎｏ）、制御部５１は、エラーを出力して本処理を終了する（ステップＳ１２２）。ここでエラーを出力する方法としては、承認用端末５の表示部５８にエラーを表示してもよいが、ステップＳ１１５で出力情報を送信したサーバー３に対してエラー発生を示す情報を送信してもよい。
一方、出力情報の宛先ＩＤが正しいＩＤであった場合（ステップＳ１２１；Ｙｅｓ）、制御部５１は、受信した出力情報のＩＮＤＥＸ値を取得してＦｅＲＡＭ５５に記憶するとともに（ステップＳ１２３）、表示部５８に承認の可否を入力するよう求めるメッセージを表示して、入力部５７による入力に待機する。ここで、入力部５７による入力が行われると（ステップＳ１２４）、制御部５１は、入力部５７により入力された内容に対応する入力情報を生成して、サーバー３へ送信する（ステップＳ１２５）。ここでサーバー３に送信される入力情報には、ＦｅＲＡＭ５５に記憶されたＩＮＤＥＸ値が含まれ、承認用端末５のＩＤが送信ＩＤとして含まれ、さらに、コマンドが含まれる。このコマンドは、入力部５７により承認された場合はデータ読み出しを指示するコマンドであり、データベース２のデータ利用が拒否された場合は、データ利用拒否を示すコマンドとなる。
【００３５】
図１０Ｂに示すように、承認用端末５からの入力情報を受信したサーバー３の制御部３１は、図１１を参照して説明した認証処理を承認用端末５に対して行い（ステップＳ１２７）、認証処理に失敗した場合（ステップＳ１２８；Ｙｅｓ）、ステップＳ１１３と同様にエラーを出力する（ステップＳ１２９）。
一方、承認用端末５の認証に成功した場合（ステップＳ１２８；Ｙｅｓ）、制御部３１は、受信した入力情報に含まれる送信ＩＤとステップＳ１２７で更新したＩＮＤＥＸ値とを取得し（ステップＳ１３０）、さらに、受信した入力情報に含まれるコマンドに基づいて、データベース２のデータの利用が承認されたか否かを判別する（ステップＳ１３１）。ここで、データの利用が拒否された場合にはステップＳ１２９に移行してエラーを出力し、本処理を終了する。この場合のエラーの出力は、承認用端末５ではなく、データの読み出しを要求した利用側端末４に送信することが好ましい。
【００３６】
承認用端末５によってデータの利用が承認された場合（ステップＳ１３１；Ｙｅｓ）、制御部３１は、データベース２から該当するデータを取得する処理を行う（ステップＳ１３２）。すなわち、データベース２に対してデータを要求するクエリを実行し（ステップＳ１３３）、このクエリに応答してデータベース２から送信されるデータを取得する（ステップＳ１３４）。
ここで、制御部３１は、データベース２から取得したデータをいったんＦｅＲＡＭ３５に記憶し（ステップＳ１３５）、全てのデータの取得を終えたところでＦｅＲＡＭ３５からデータを読み出して（ステップＳ１３６）、このデータをサーバー３へ送信する処理を行う（ステップＳ１３７）。すなわち、制御部３１は、宛先ＩＤとしての利用側端末４のＩＤと、ステップＳ１２７の認証処理で更新されたＩＮＤＥＸ値と、データ取得を指示するコマンドとを含む出力情報と、データベース２から読み出したデータとを、利用側端末４へ送信する（ステップＳ１３８）。
【００３７】
利用側端末４の制御部４１は、サーバー３から送信された出力情報とデータとを受信して、ＦｅＲＡＭ４５に記憶し（ステップＳ１１６）、次にサーバー３にアクセスするために、受信した出力情報のＩＮＤＥＸ値をＦｅＲＡＭ３５に記憶して（ステップＳ１１７）、本処理を終了する。
【００３８】
以上説明したように、本発明を適用した実施形態に係る通信システム１は、データベース２に格納されたデータの読み出しを要求する利用側端末４と、データベース２からのデータ読み出しを制御するサーバー３と、データベース２に格納されたデータの利用の可否を決定する承認用端末５と、を備え、サーバー３は、読出時に読み出されたデータが物理的に破壊される特性を有する破壊読み出し型の記憶部であるＦｅＲＡＭ３５を有し、このＦｅＲＡＭ３５に複数の認証データ１１を記憶しており、利用側端末４がデータベース２のデータ読み出しのコマンドを送信した場合に、ＦｅＲＡＭ３５に記憶された認証データ１１に基づいて利用側端末４の認証を行うとともに、認証に成功した場合はＦｅＲＡＭ３５から認証データ１１を読み出して、読み出した認証データ１１を変更してＦｅＲＡＭ３５に書き戻す処理を行い、承認用端末５に対して承認要求とともに変更後の認証データ１１の少なくとも一部とを送信し、承認用端末５から承認応答と認証データ１１とを受信した場合に、ＦｅＲＡＭ３５から認証データ１１を読み出して受信した認証データ１１の認証を行い、認証に成功した場合にのみ、データベース２からデータを読み出して利用側端末４に送信する。これにより、データベース２のデータの秘匿性を保ちつつ、データベース２に格納されたデータの読み出しが要求された場合に、データの利用の可否を決定する権限を有するユーザーに対して、効率よく、データベース２に格納されたデータの利用の都度に承認を求めることができる。
【００３９】
また、利用側端末４の認証に成功した後に、破壊読み出し型の記憶部であるＦｅＲＡＭ３５から認証データ１１が読み出され、変更されて書き戻され、この変更後の認証データ１１を利用して承認用端末５の認証が行われる。ＦｅＲＡＭ３５から読み出された変更前の認証データ１１は確実に破壊されるので、変更後の認証データ１１を用いて認証を行うことにより、サーバー３から承認要求を受けた承認用端末５でなければ承認の応答を送信できない。従って、正当な権限を有する承認用端末５のみが承認を行うことが可能になり、成りすまし等の不正を確実に防止し、高いセキュリティレベルを確保できる。
【００４０】
サーバー３のＦｅＲＡＭ３５は複数の認証データ１１の各々にデータ識別用のＩＮＤＥＸ値を付して記憶しており、利用側端末４は、サーバー３に対してデータ読み出しのコマンドとともに認証データ１１のＩＮＤＥＸ値を送信し、サーバー３は、利用側端末４から送信されたＩＮＤＥＸ値に従ってＦｅＲＡＭ３５の認証データ１１を読み出し、該当する認証データ１１がある場合に認証成功と判定する一方、読み出した認証データ１１のＩＮＤＥＸ値を変更してＦｅＲＡＭ３５に書き戻し、変更後のＩＮＤＥＸ値を承認用端末５に送信し、承認用端末５から承認応答と認証データ１１のＩＮＤＥＸ値とを受信し、受信したＩＮＤＥＸ値に従ってＦｅＲＡＭ３５から認証データ１１を読み出し、該当する認証データ１１がある場合に認証成功と判定する。
つまり、サーバー３は、ＦｅＲＡＭ３５に記憶している認証データ１１に付されたＩＮＤＥＸ値に従って利用側端末４及び承認用端末５の認証を行うので、ＩＮＤＥＸ値の誤りにより認証に失敗した場合は該当する認証データ１１がないため、ＦｅＲＡＭ３５から認証データ１１の読み出しが行われず、ＦｅＲＡＭ３５から認証データ１１が失われない。このため、正規の権限を有する利用側端末４及び承認用端末５以外の装置から不適切なアクセスがされた場合に、認証データ１１を失わずにアクセスを拒否できるので、正規のアクセスに対する処理への悪影響がない。
加えて、正規の利用側端末４及び承認用端末５がアクセスした場合には認証データ１１のＩＮＤＥＸ値を書き換えて書き戻しを行うことで、成りすましや認証データ１１の漏洩による不正なアクセスを確実に防止でき、高いセキュリティレベルを確保できる。
【００４１】
また、ＦｅＲＡＭ３５が記憶する認証データテーブル１０は、利用側端末４に固有のＩＤと、承認用端末５に固有のＩＤとを対応づける認証データ１１を含み、利用側端末４は、サーバー３に対してデータ読み出しのコマンドとともに自己のＩＤとを送信し、サーバー３は、利用側端末４から送信されたＩＮＤＥＸ値に従ってＦｅＲＡＭ３５の認証データ１１を読み出し、読み出した認証データ１１から承認用端末５のＩＤを取得し、この取得したＩＤに基づいて承認用端末５に承認要求を送信する。
この場合、正しいＩＮＤＥＸ値を持つ利用側端末４でなければデータの読み出しを要求できないので、成りすましによる不正なアクセスを確実に防止できる。また、利用側端末４が承認用端末５のＩＤそのものを持たないので、利用側端末４と承認用端末５との間で、互いの情報を隠蔽することができ、高いセキュリティレベルを確保できる。
【００４２】
さらに、サーバー３はデータベース２に接続され、承認用端末５からの承認の応答を受信した場合にデータベース２からデータを読み出して利用側端末４に送信するので、承認後のデータの読み出しを速やかに行うことができ、また、承認後のデータの授受に関与する装置が少ないためにセキュリティの確保が容易になる。
【００４３】
なお、上記構成において、サーバー３は、認証に失敗した場合（図９のステップＳ１１３、図１０のステップＳ１２９、図１１のステップＳ１４３等）に、ＦｅＲＡＭ３５が記憶する認証データ１１を初期状態に書き戻してもよい。この構成は、例えば、ＲＯＭ３３において初期状態の認証データテーブル１０と同一のデータを記憶しておき、必要に応じて、ＦｅＲＡＭ３５の認証データテーブル１０の一部または全部を、ＲＯＭ３３に記憶されたデータに基づいて上書きすればよい。この場合、認証に失敗してＦｅＲＡＭ３５に記憶された認証データ１１が損なわれた場合であっても、初期状態に戻すことでその後のデータの読み出しに支障がないよう回復できる。このため、破壊読み出し型のＦｅＲＡＭ３５を利用してセキュリティを確保し、かつ、可用性を高めることができる。
【００４４】
また、上述した実施形態は本発明を適用した一態様を示すものであって、本発明は上記実施形態に限定されない。
例えば、上記実施形態では、データベース２からのデータの読み出しを制御するサーバー３がデータベース２を有する構成として説明したが、本発明はこれに限定されず、データベース２を管理するＤＢＭＳが通信回線６に接続され、サーバー３が利用側端末４に対してデータの読み出しを承認する出力情報１６を送信する際に、この出力情報１６にデータ読み出し用の鍵情報を含め、この鍵情報に基づいて利用側端末４がデータベース２からデータを読み出す構成としてもよい。また、上記実施形態では、利用側端末４と承認用端末５とを異なる端末装置として説明したが、本発明はこれに限定されるものではなく、利用側端末４と承認用端末５との両方の機能を備えた端末装置を用いることも可能である。さらに、サーバー３、利用側端末４及び承認用端末５の間の具体的な通信手順は、電子メールシステムを用いても良いし、ページングシステムを利用してもよく、具体的なデータフォーマットや通信プロトコルは任意である。その他、通信システム１を構成する各部の構成は本発明の趣旨を逸脱しない範囲で任意に変更可能である。
【００４５】
（適用例１）
以上説明した通信システム１は、例えば、医療機関におけるデータ管理システムとして利用できる。
通信システム１を、医療機関（例えば、病院）における電子カルテ管理システムとして構成し、データベース２には患者毎の電子カルテを格納し、利用側端末４は、電子カルテの情報を利用する端末装置とする。利用側端末４は、具体的には、医師が診察時や患者の病態管理に使用する端末装置、薬剤師が処方時に使用する端末装置、医療費の計算及び決済を行うための会計用端末装置等である。また、承認用端末５は患者自身が所持する端末装置であり、承認用端末５を所持する患者は、自身に関する電子カルテのデータを利用側端末４が利用することに対して承認及び拒否を行うことができる。
この場合、個々の患者の電子カルテのデータが、患者の承認を得てから利用可能となるため、例えば電子カルテのデータの目的外の使用を防止でき、電子カルテシステムにおけるセキュリティをより一層高めることができる。
また、この構成は、既存の電子カルテ管理システムに対して容易に導入できる。データベース２は、既存の電子カルテデータベースをそのまま利用でき、このデータベース２を管理するサーバー装置として上述したサーバー３を設け、医師、薬剤師及び会計用の端末装置には図６〜図１１に示した利用側端末４の機能を実現するアプリケーションソフトウェアを導入し、新たに各患者に承認用端末５を持たせることで実現できる。承認用端末５は、例えば病院内で患者が操作できればよいので、病院内に入る患者にその都度貸与すればよい。この場合の通信回線６は、病院内に敷設されたＬＡＮに相当し、アクセスポイント７は無線ＬＡＮ（その他の近距離無線通信方式を含む）のアクセスポイントに相当する。このように、既存の電子カルテ管理システムに対して本発明を適用することで、患者の同意のない電子カルテのデータの流用を防止し、かつ、患者や医師への成りすましを確実に防止できる。
【００４６】
（適用例２）
また、通信システム１は、クレジットカード決済を利用する場合の与信処理に適用できる。すなわち、通信システム１を、クレジットカード決済を行う場合の与信情報管理システムとして構成し、データベース２には、クレジットカードを使用する顧客であるカード会員毎の与信情報を格納し、利用側端末４は、店舗等に設置され、クレジットカードによる支払い処理を行うＰＯＳ端末装置あるいはＣＡＴ（Credit Authorization Terminal）と呼ばれる端末装置とする。また、承認用端末５は、信販会社等のクレジットカード決済サービスを提供する企業（以下、カード会社とする）の管理下で操作される端末装置とする。この場合の通信回線６は、公衆電話回線網やＶＰＮで構成される。また、アクセスポイント７は、携帯電話やＰＨＳ等の無線電話回線等の基地局が相当する。
この構成では、カード会員がクレジットカードを使用して買い物の支払いやキャッシング等を行う場合に、ＰＯＳ端末装置やＣＡＴが利用側端末４として、サーバー３に対し、そのカード会員に対する与信情報の利用を要求し、この要求に対し、カード会社が承認をした場合にのみ、与信情報が利用側端末４に提供される。この場合、個々のカード会員の与信情報が、カード会社の承認を得てから利用可能となるため、例えば与信情報の目的外の使用を防止できる。また、カード会員への成りすましや、カード会社になりすました与信情報の流用を確実に防止できる。
また、この構成は、既存のクレジットカード決済システムに対して容易に導入できる。データベース２は、既存の与信情報データベースを利用でき、このデータベース２を管理するサーバー装置として上述したサーバー３を設け、ＰＯＳ端末装置やＣＡＴには図６〜図１１に示した利用側端末４の機能を実現するアプリケーションソフトウェアを導入し、新たにカード会社の管理下に承認用端末５を設ければよい。このように、既存のクレジットカード決済システムに本発明を適用することで、安全確実に、顧客であるカード会員に対し、支払決済サービスを提供することができる。
【００４７】
本発明は、上記の適用例に限らず、データの目的外の利用を制限することが効果的な様々なシステムに適用可能であり、例えば、自治体等の公的機関が保有する住民登録や戸籍等のデータ、国税局や自治体の税務事務所等が保有する課税に係るデータ、公的あるいは私的手続き時に利用される電子証明書のデータ、学校等が保有する児童・生徒・学生の個人情報等を利用するシステムに適用すれば、データの利用を承認及び拒否する権限を有する人が承認した場合にのみデータの利用が可能となり、効率よく承認を得ることができるという効果が得られる。
【符号の説明】
【００４８】
１…通信システム、２…データベース、３…サーバー（サーバー装置）、４…利用側端末（第１の端末）、５…承認用端末（第２の端末）、６…通信回線、１１…認証データ、３５…ＦｅＲＡＭ（記憶部）。
【技術分野】
【０００１】
本発明は、通信システム、及び、通信制御方法に関する。
【背景技術】
【０００２】
近年、個人情報等の不正な取得あるいは使用を防止するため、セキュリティの強化が求められており、例えば、生体情報を利用して認証を行い、認証に成功した場合にのみ情報を送受信可能とするシステムが知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−３３８０５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、個人情報をはじめとする保護すべき情報を利用する場合、その情報の本来の所有者の承諾を必要とする場合がある。このような場合、情報を収集及び入力する際に予め所有者の承諾を得ることが一般的であり、情報が集積された後で、その情報が利用される毎に承諾を得る仕組みは無かった。また、情報を利用する都度に承諾を得ようとすれば通信頻度が増すため、セキュリティを確保し、かつ、効率よく承諾を得ることは従来の手法では困難であった。
本発明は、上述した事情に鑑みてなされたものであり、情報の秘匿性を保ちつつ、効率よく、情報の利用に関して承諾の権限を有する者に情報の利用の都度に承諾を得ることが可能な通信システム、及び、通信制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明は、データベースに格納されたデータの読み出しを要求する第１の端末と、前記データベースからのデータ読み出しを制御するサーバー装置と、前記データベースに格納されたデータの利用の可否を決定する第２の端末と、を備え、前記サーバー装置は、読出時に読み出されたデータが物理的に破壊される特性を有する破壊読み出し型の記憶部を有し、この記憶部に認証データを記憶しており、前記第１の端末からデータ読み出しが要求された場合に、前記記憶部に記憶された前記認証データに基づいて前記第１の端末の認証を行うとともに、認証に成功した場合は前記記憶部から前記認証データを読み出して、読み出した前記認証データを変更して前記記憶部に書き戻す処理を行い、前記第２の端末に対して承認要求とともに変更後の前記認証データの少なくとも一部とを送信し、前記第２の端末から承認応答と前記認証データとを受信した場合に、前記記憶部から前記認証データを読み出して受信した前記認証データの認証を行い、認証に成功した場合にのみ、前記第１の端末が前記データベースのデータを読み出し可能な状態とすること、を特徴とする。
この構成によれば、データベースに格納されたデータの読み出しが要求された場合に、データの利用の可否を決定する第２の端末に対して承認を要求し、この要求に対して承認応答が送信された場合にのみ、データベースのデータを読み出し可能になるので、効率よく、データベースに格納されたデータの利用の都度に承認を得ることができる。ここで、データの読み出しが要求された場合に破壊読み出し型の記憶部から認証データが読み出され、読み出された認証データが変更されて書き戻され、この変更後の認証データを利用して第２の端末の認証が行われる。このため、破壊読み出し型の記憶部を利用することで変更前の認証データが確実に失われ、変更後の認証データを用いて認証を行うことによって、サーバー装置から承認要求を受けた第２の端末でなければ承認の応答を送信できなくなるので、正当な権限を有する第２の端末のみがデータの利用を承認することが可能になる。これにより、データの利用の承認に関して高いセキュリティレベルを確保できる。
【０００６】
上記構成において、前記記憶部は複数の前記認証データの各々にデータ識別用の識別符号を付して記憶しており、前記第１の端末は、前記サーバー装置に対してデータ読み出しの要求とともに前記認証データの識別符号を送信し、前記サーバー装置は、前記第１の端末から送信された識別符号に従って前記記憶部の前記認証データを読み出し、該当する前記認証データがある場合に認証成功と判定する一方、読み出した前記認証データの識別符号を変更して前記記憶部に書き戻し、変更後の識別符号を前記第２の端末に送信し、前記第２の端末から承認応答と前記認証データの識別符号とを受信し、受信した識別符号に従って前記記憶部から前記認証データを読み出し、該当する前記認証データがある場合に認証成功と判定してもよい。
この場合、サーバー装置は、記憶部に記憶している認証データに付された識別符号に従って第１の端末及び第２の端末の認証を行うので、認証に失敗する場合は識別符号が誤っているため記憶部から認証データの読み出しが行われず、破壊読み出し型の記憶部から認証データが失われない。このため、正規の権限を有する第１及び第２の端末以外の装置から不適切なアクセスがされた場合は、認証データを失わずにアクセスを拒否できるので、正規のアクセスに対する処理への悪影響がない。その上、正規の第１及び第２の端末がアクセスした場合には認証データの識別符号を書き換えて書き戻しを行うことで、成りすましや認証データの漏洩による不正なアクセスを確実に防止でき、高いセキュリティレベルを確保できる。
【０００７】
また、上記構成において、前記記憶部が記憶する前記認証データは、前記第１の端末に固有のＩＤと、前記第２の端末に固有のＩＤとを対応づける情報であり、前記第１の端末は、前記サーバー装置に対してデータ読み出しの要求とともに前記認証データと自己のＩＤとを送信し、前記サーバー装置は、前記第１の端末から送信された識別符号に従って前記記憶部の前記認証データを読み出し、読み出した前記認証データから前記第２の端末のＩＤを取得し、この取得したＩＤに基づいて前記第２の端末に承認要求を送信してもよい。
この場合、第１の端末がデータの読み出しを要求する場合に認証データの識別符号を指定し、この指定された識別符号に従ってサーバー装置の記憶部から読み出された認証データにより、承認要求を送信すべき相手となる第２の端末が特定されるので、正しい認証データの識別符号を知り得る第１の端末でなければデータの読み出しを要求できない。このため、成りすましによる不正なアクセスを確実に防止でき、高いセキュリティレベルを確保できる。
【０００８】
また、上記構成において、前記サーバー装置は前記データベースに接続され、前記第２の端末からの承認の応答を受信した場合の認証に成功した後、前記データベースからデータを読み出して前記第１の端末に送信してもよい。
この場合、第１の端末がデータ読み出しを要求した場合に、第１及び第２の端末の認証を行うサーバー装置が、データベースから情報を読み出して第１の端末に送信するので、承認後のデータの読み出しを速やかに行うことができ、また、承認後のデータの授受に関与する装置が少ないためにセキュリティの確保が容易になる。
【０００９】
さらに、上記構成において、前記サーバー装置は、前記認証に失敗した場合に、前記記憶部が記憶する前記認証データを初期状態に書き戻してもよい。
この場合、万が一認証に失敗して記憶部に記憶された認証データが損なわれた場合であっても、初期状態に戻すことでその後のデータの読み出しに支障がないよう回復できる。このため、破壊読み出し型の記憶部を利用してセキュリティを確保し、かつ、可用性を高めることができる。
【００１０】
また、本発明は、データベースに格納されたデータの読み出しを制御するサーバー装置により、前記第１の端末から前記データベースに格納されたデータの読み出しが要求された場合に、破壊読み出し型の記憶部に記憶された認証データに基づいて前記第１の端末の認証を行うとともに、認証に成功した場合は前記記憶部から前記認証データを読み出して、読み出した前記認証データを変更して前記記憶部に書き戻す処理を行い、承認を行う第２の端末に対して、承認要求と、変更後の前記認証データの少なくとも一部とを送信し、前記第２の端末から承認応答と前記認証データとを受信した場合に、前記記憶部から前記認証データを読み出して受信した前記認証データの認証を行い、認証に成功した場合にのみ、前記第１の端末が前記データベースのデータを読み出し可能な状態とすること、を特徴とする。
この方法によれば、データベースに格納されたデータの読み出しが要求された場合に、データの利用の可否を決定する第２の端末に対して承認を要求し、この要求に対して承認応答が送信された場合にのみ、データベースのデータを読み出し可能になるので、効率よく、データベースに格納されたデータの利用の都度に承認を得ることができる。ここで、データの読み出しが要求された場合に破壊読み出し型の記憶部から認証データが読み出され、読み出された認証データが変更されて書き戻され、この変更後の認証データを利用して第２の端末の認証が行われる。このため、破壊読み出し型の記憶部を利用することで変更前の認証データが確実に失われ、変更後の認証データを用いて認証を行うことによって、サーバー装置から承認要求を受けた第２の端末でなければ承認の応答を送信できなくなるので、正当な権限を有する第２の端末のみがデータの利用を承認することが可能になる。これにより、データの利用の承認に関して高いセキュリティレベルを確保できる。
【００１１】
さらに、本発明は、上記通信制御方法を実現するためのプログラムや、このプログラムをコンピューター読み取り可能に記録した記録媒体の形態で実現することも可能である。
【発明の効果】
【００１２】
本発明によれば、破壊読み出し型の記憶部に記憶した認証データを利用して認証を行うことにより、セキュリティを確保しつつ、データベースに格納されたデータの利用の都度、データを読み出して利用する装置とは別の装置によって承認を得る構成を実現できる。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施形態に係る通信システムの概略構成を示す図である。
【図２】データを読み出す際の通信手順の概略を示す図である。
【図３】サーバーの機能的構成を示すブロック図である。
【図４】利用側端末の機能的構成を示すブロック図である。
【図５】承認用端末の機能的構成を示すブロック図である。
【図６】サーバーにより処理されるデータの構成例を模式的に示す図である。
【図７】認証データを用いた認証に係る動作の一例を示す説明図である。
【図８】認証データを用いた認証に係る動作の一例を示す説明図である。
【図９】通信システムの動作を示すフローチャートである。
【図１０】通信システムの動作を示すフローチャートである。
【図１１】通信システムの動作を示すフローチャートである。
【発明を実施するための形態】
【００１４】
以下、図面を参照して本発明の実施形態について説明する。
図１は、本発明を適用した実施形態に係る通信システム１の概略構成を示す図である。
図１に示す通信システム１は、データベース２を有するサーバー３（サーバー装置）と、利用側端末４（第１の端末）とを通信回線６を介して相互に通信可能に接続して構成される。また、通信回線６には、アクセスポイント７を介して承認用端末５（第２の端末）が接続され、このアクセスポイント７及び通信回線６を介して、承認用端末５は、サーバー３と相互に通信可能に接続される。図１では一つの利用側端末４と一つの承認用端末５とがサーバー３に接続された構成を示したが、通信システム１が利用側端末４及び承認用端末５を複数備えた構成とすることは勿論可能である。
データベース２は、医療機関において作成および保存された電子カルテのデータや、クレジットカード決済サービスを提供する金融サービス企業が作成した与信情報など、個人に関係するデータを記憶したデータベースである。利用側端末４は、電子カルテを読み出して使用する医師用の端末装置、或いは、クレジットカード決済を行うにあたって与信情報を利用するクレジットカード読取端末等、データベース２に格納されたデータを利用する端末装置である。通信システム１では、利用側端末４からの要求に応じて、データベース２に格納されたデータをサーバー３が読み出し、通信システム１に送信する。ここで、データベース２に格納されたデータは個人に関するデータであるため、利用の都度、その個人が使用する承認用端末５によって承認が行われる。この承認用端末５による承認を得てから、サーバー３は、データベース２のデータを読み出して利用側端末４に送信する。
【００１５】
通信回線６は、電気通信事業者により設置された専用線、公衆交換電話網、衛星通信回線、移動体通信回線等の各種通信回線を含んで構成され、各種データを送受信可能な通信網であり、具体的な例としてはインターネットが挙げられ、インターネット等のオープンな通信網においてＶＰＮ（Virtual Private Network）技術により実現される仮想的な専用線であってもよい。通信回線６には回線交換装置や各種サーバー装置を含んでいてもよく、具体的態様は特に限定されない。また、通信回線６とアクセスポイント７との間、及び、通信回線６とサーバー３及び利用側端末４との間には、通信事業者が提供するファイアーウォール、ゲートウェイ装置等の各種機器が介在する構成としても良いが、ここでは図示しない。
【００１６】
図２は、通信システム１を構成する各部間の通信手順を示す図である。
この図２を参照して、通信システム１において利用側端末４がデータベース２からデータを読み出す場合の動作の概略を説明する。
利用側端末４を利用するユーザーがデータベース２内のデータの読み出しを望んで利用側端末４を操作すると、利用側端末４からサーバー３に対してデータ要求が送信される（ステップＳ１）。サーバー３は、データ要求を受けると、利用側端末４の認証を行い、認証に成功した場合に、要求されたデータに対応する承認用端末５を特定し、この承認用端末５に対して承認要求を送信する（ステップＳ２）。承認用端末５を使用するユーザーは、サーバー３からの承認要求を受けて、自身に関わるデータの利用を承認するか否かを判断し、承認する場合には承認用端末５を操作して、承認の応答をサーバー３に送信する（ステップＳ３）。
サーバー３は、承認用端末５から承認の応答を受けると、承認用端末５の認証を行い、認証に成功した場合にはデータベース２にアクセスして、ステップＳ１で利用側端末４から要求されたデータを読み出して（ステップＳ４）、読み出したデータを利用側端末４に送信する（ステップＳ５）。
サーバー３は、ステップＳ１のデータ要求を受けた場合に利用側端末４の認証を行い、ステップＳ３で承認の応答を受けた場合に承認用端末５の認証を行う。これらの認証は、予めサーバー３が記憶している認証データ１１、各々の利用側端末４に付与されたＩＤ、及び、各々の承認用端末５に付与されたＩＤに基づいて行われる。
【００１７】
図３は、サーバー３の機能的構成を示すブロック図である。
この図３に示すように、サーバー３は、各部を制御する制御部３１と、制御部３１により実行されるプログラムや処理対象のデータ等を記憶する記憶部３０とを備えて構成される。
記憶部３０は、制御部３１が実行する基本制御プログラムやデータを不揮発的に記憶するＲＯＭ３３、制御部３１が実行するプログラム等を展開するための一時記憶領域を形成するＲＡＭ３４、及び、制御部３１により処理されるデータ等を不揮発的に記憶するＦｅＲＡＭ３５を備える。
ＲＯＭ３３は、ＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリー等の不揮発性メモリーデバイスを用いて構成され、予め工場出荷時に記憶された基本制御プログラム、この基本制御プログラムに従ってサーバー３の各部を制御するためのデータを記憶する。ＲＡＭ３４は、ＳＲＡＭ、ＤＲＡＭ、ＳＤＲＡＭ等の揮発性のメモリーデバイスを用いて構成される。また、記憶部としてのＦｅＲＡＭ（Ferroelectric Random Access Memory）３５は、強誘電体のヒステリシスを利用した強誘電体メモリーとも呼ばれる不揮発性のメモリーデバイスを用いて構成される。ＦｅＲＡＭ３５を構成するメモリーデバイスは破壊読み出し型であり、記憶しているデータの読み出し時に、このデータを記憶していた領域からデータが物理的に失われるという特性を有する。本実施形態では、ＦｅＲＡＭ３５に記憶されているデータを読み出す場合、制御部３１の制御により、読み出したデータはＲＡＭ３４に一時的に格納され、その後、必要に応じてＦｅＲＡＭ３５へ書き戻しが行われる。書き戻しの際に、読み出されたデータをそのまま書き戻すか、一部または全部を変更して書き戻すかは制御部３１の制御により決定される。
【００１８】
サーバー３は、通信回線６を介して各種データを送受信するための通信制御部３６を備える。また、サーバー３は、メンテナンスや各種設定のために操作される入力部３７及び設定状態やサーバー３の動作状態等を表示する表示部３８を備え、さらに、データベース２に接続されるインターフェース３９を備えている。制御部３１は、インターフェース３９を介してデータベース２へのデータの格納、データベース２からのデータの読み出し等を行う。なお、データベース２を、サーバー３が内蔵する記憶装置に形成することも勿論可能であり、この場合にはインターフェース３９は不要である。
【００１９】
図４は、利用側端末４の機能的構成を示すブロック図である。
この図４に示すように、利用側端末４は、各部を制御する制御部４１と、制御部４１により実行されるプログラムや処理対象のデータ等を記憶する記憶部４０とを備えて構成される。
記憶部４０は、制御部４１が実行する基本制御プログラムやデータを不揮発的に記憶するＲＯＭ４３、制御部４１が実行するプログラム等を展開するための一時記憶領域を形成するＲＡＭ４４、及び、制御部４１により処理されるデータ等を不揮発的に記憶するＦｅＲＡＭ４５を備える。
ＲＯＭ４３は、ＲＯＭ３３（図３）と同様に不揮発性メモリーデバイスを用いて構成され、予め工場出荷時に記憶された基本制御プログラム、この基本制御プログラムに従って利用側端末４の各部を制御するためのデータ、及び、予め利用側端末４に付与されたＩＤ等を記憶する。ＲＡＭ４４は、ＲＡＭ３４（図３）と同様の揮発性のメモリーデバイスを用いて構成される。ＦｅＲＡＭ４５は、ＦｅＲＡＭ３５（図３）と同様の破壊読み出し型の不揮発性のメモリーデバイスを用いて構成され、必要に応じて、制御部４１の制御によってＦｅＲＡＭ４５へのデータの書き戻しが行われる。
また、利用側端末４は、通信回線６を介して各種データを送受信するための通信制御部４６、データベース２のデータを利用するユーザーが操作するキーボードやマウス等の入力部４７、実行中の処理や処理結果、取得したデータの内容等を表示する等を表示する表示部４８を備えている。
【００２０】
図５は、承認用端末５の機能的構成を示すブロック図である。
この図５に示すように、承認用端末５は、各部を制御する制御部５１と、制御部５１により実行されるプログラムや処理対象のデータ等を記憶する記憶部５０とを備えて構成される。
記憶部５０は、制御部５１が実行する基本制御プログラムやデータを不揮発的に記憶するＲＯＭ５３、制御部５１が実行するプログラム等を展開するための一時記憶領域を形成するＲＡＭ５４、及び、制御部５１により処理されるデータ等を不揮発的に記憶するＦｅＲＡＭ５５を備える。
ＲＯＭ５３は、ＲＯＭ３３（図３）と同様に不揮発性メモリーデバイスを用いて構成され、予め工場出荷時に記憶された基本制御プログラム、この基本制御プログラムに従って承認用端末５の各部を制御するためのデータ、及び、予め承認用端末５に付与されたＩＤ等を記憶する。ＲＡＭ５４は、ＲＡＭ３４（図３）と同様の揮発性のメモリーデバイスを用いて構成される。ＦｅＲＡＭ５５は、ＦｅＲＡＭ３５（図３）と同様の破壊読み出し型の不揮発性のメモリーデバイスを用いて構成され、必要に応じて、制御部５１の制御によってＦｅＲＡＭ５５へのデータの書き戻しが行われる。
また、承認用端末５は、通信回線６を介して各種データを送受信するための通信制御部５６、データベース２のデータ利用を承認するユーザーが操作するキーボードやマウス等の入力部５７、実行中の処理や処理結果、取得したデータの内容等を表示する等を表示する表示部５８、及び、アンテナ５Ａを介してアクセスポイント７との間で無線通信を実行する無線通信部５９を備えている。
【００２１】
図６は、サーバー３により処理されるデータの構成例を模式的に示す図であり、図６Ａは利用側端末４或いは承認用端末５からサーバー３が受信する入力情報１５の構成例を示し、図６Ｂはサーバー３のＦｅＲＡＭ３５に格納される認証データテーブル１０の構成例を示し、図６Ｃはサーバー３が承認用端末５或いは利用側端末４に出力する出力情報１６の構成例を示す。
図７及び図８は、認証データ１１を用いた認証の一例を示す説明図である。
これら図６〜図８を参照して、サーバー３による認証データ１１の取り扱いについて説明する。
【００２２】
図６Ａに示すように、利用側端末４及び承認用端末５からサーバー３に入力される入力情報１５は、入力ＩＮＤＥＸ値（識別符号）と、この入力情報１５を送信した端末のＩＤ（宛先ＩＤ）と、サーバー３に対するコマンドとしてのデータとを含んでいる。
利用側端末４がサーバー３にデータ読み出しを要求する場合、入力情報１５には、データベース２からのデータ読み出しを要求するコマンドである第１データが含まれる。ここで、入力情報１５には、利用側端末４が読み出しを要求するデータベース２内のデータ自体を指定する情報は含まれていない。
【００２３】
サーバー３は、ＦｅＲＡＭ３５に複数の認証データ１１が集積されたテーブルである認証データテーブル１０を記憶している。個々のレコードに相当する認証データ１１は、各々の認証データ１１を識別するための格納ＩＮＤＥＸ値（識別符号）を含んでいる。そして、各々の認証データ１１は、対応する入力情報１５を送信した端末のＩＤ（送信ＩＤ）と、次にサーバー３が後述する出力情報１６を送信する場合の宛先となる端末のＩＤ（宛先ＩＤ）と、データとを含んでいる。利用側端末４がサーバー３にデータ読み出しを要求した段階では、次に行われる動作は承認用端末５に対する承認要求であるから、図６Ｂに示す認証データ１１には、承認用端末５に対して承認を要求するコマンドである第２データが含まれている。
サーバー３が利用側端末４または承認用端末５に送信する出力情報１６は、出力ＩＮＤＥＸ値（識別符号）と、宛先の端末のＩＤ（宛先ＩＤ）と、データとを含んでいる。このデータは認証データ１１と同じものであり、図６Ｃの例では承認要求のコマンドすなわち第２データである。
【００２４】
まず、利用側端末４がサーバー３にデータ読み出しを要求した場合、サーバー３の制御部３１は、利用側端末４からの入力情報１５を受信し、この入力情報１５に含まれる第１データ（コマンド）から、これがデータの読み出し要求であることを検出する。そして、図７に示すように、制御部３１は、入力情報１５の入力ＩＮＤＥＸ値をもとに、ＦｅＲＡＭ３５に記憶している認証データテーブル１０から、認証データ１１を検索する。ここで、入力情報１５の入力ＩＮＤＥＸ値と同じ格納ＩＮＤＥＸ値を有する認証データ１１があれば、この認証データ１１をＦｅＲＡＭ３５から読み出す。また、入力情報１５の入力ＩＮＤＥＸ値と同じ格納ＩＮＤＥＸ値を有する認証データ１１が無い場合、入力情報１５に対してエラーを出力する。
【００２５】
続いて、制御部３１は、入力情報１５に一致する認証データ１１を読み出して、読み出した認証データ１１の宛先ＩＤを取得する。この宛先ＩＤは、サーバー３から承認要求を送信する承認用端末５のＩＤである。また、認証データ１１に含まれる第２データは承認要求のコマンドである。制御部３１は、ＦｅＲＡＭ３５から読み出した認証データ１１に基づいて承認用端末５へ承認要求を送信する。
従って、利用側端末４は、データベース２から取得したいデータがあれば、そのデータに対応する格納ＩＮＤＥＸ値を含む入力情報１５を生成し、サーバー３に送信する必要がある。制御部３１は、実在するＩＮＤＥＸ値を入力ＩＮＤＥＸ値として含んでいる入力情報１５しか受け付けないし、ＩＮＤＥＸ値によって承認要求先の承認用端末５が決定されてしまうので、利用側端末４では、認証データテーブル１０における正しい格納ＩＮＤＥＸ値を保持しておく必要がある。この格納ＩＮＤＥＸ値は、例えば、ＦｅＲＡＭ４５に記憶しておき、入力情報１５をサーバー３に送信する毎にＦｅＲＡＭ４５からＩＮＤＥＸ値を読み出し、必要に応じてＦｅＲＡＭ４５に書き戻す構成とすれば、利用側端末４におけるデータ処理のセキュリティを高めることができる。
【００２６】
そして、制御部３１は、認証データ１１をＦｅＲＡＭ３５から読み出してＲＡＭ３４に一時的に格納し、この認証データ１１のＩＮＤＥＸ値を変更する。これにより、この認証データ１１に他の利用側端末４がアクセスしたり、既に入力情報１５を送信した利用側端末４が再び同じＩＮＤＥＸ値を指定したりできなくなる。つまり、ＦｅＲＡＭ３５から読み出され、承認用端末５への承認要求が行われた認証データ１１については、その承認用端末５から承認の応答が返信されるまで、利用側端末４からの要求が行えなくなる。これにより、承認用端末５による承認が二重に行われることや、正規の承認用端末５への成りすまし等を確実に防止できる。
ＩＮＤＥＸ値の変更方法の例としては、認証データ１１の宛先ＩＤと送信ＩＤとを演算して新たなＩＮＤＥＸ値を求める方法が挙げられるが、予め、宛先ＩＤや送信ＩＤと、変更後のＩＮＤＥＸ値とを対応づけたテーブルを、ＦｅＲＡＭ３５に記憶しておき、このテーブルに従ってＩＮＤＥＸ値を変更してもよい。
【００２７】
ＩＮＤＥＸ値が変更された認証データ１１は、出力情報１６として承認用端末５へ送信され、制御部３１によってＦｅＲＡＭ３５に再び書き込まれる（書き戻される）。ここで、認証データ１１の第２データは、「承認要求」のコマンドから、データ読み出しを指示するコマンドに書き換えられる。これは、既に承認用端末５へ承認要求が送信されたので、次に当該認証データ１１について行うべき処理が、利用側端末４に対するデータ取得の指示だからである。
一方、承認用端末５においては、出力情報１６を受信し、出力情報１６に含まれる出力ＩＮＤＥＸ値を取得してＦｅＲＡＭ５５に記憶する。そして、入力部５７の操作によって承認する旨が入力された場合、入力情報１５を作成してサーバー３へ送信する。この入力情報１５では、先に受信した出力ＩＮＤＥＸ値が入力ＩＮＤＥＸ値に設定され、送信ＩＤとしては、この承認用端末５のＩＤが含まれる。また、この入力情報１５のデータには、第１及び第２データとは異なり、データ取得を示すコマンドが含まれる。
【００２８】
その後、承認用端末５が承認の応答をサーバー３へ送信すると、サーバー３は、承認用端末５が送信した情報を図６〜図８に示す入力情報１５として処理する。
すなわち、サーバー３の制御部３１は、承認用端末５から受信した入力情報１５に含まれる入力ＩＮＤＥＸ値に基づいて、認証データテーブル１０の認証データ１１を検索し、この入力ＩＮＤＥＸ値と同じ格納ＩＮＤＥＸ値を有する認証データ１１を読み出す。そして、承認用端末５が承認応答の目的で送信した入力情報１５にはデータ読み出しを指示するコマンドが含まれているので、制御部３１は、このコマンドに従って、データベース２からデータを取得し、このデータを、認証データ１１に含まれている送信ＩＤに対応する利用側端末４に対し、データ取得のコマンドを含む出力情報１６とともに、送信する。
【００２９】
この一連の処理では、利用側端末４が送信する場合も承認用端末５が送信する場合も、入力情報１５には送信元の端末のＩＤと入力ＩＮＤＥＸ値とが含まれるが、次の情報の送信先である端末のＩＤは含まれていない。利用側端末４及び承認用端末５と、サーバー３との間では、ＩＮＤＥＸ値を用いて、認証と次のデータの送信先の特定が行われる。従って、利用側端末４及び承認用端末５に、他の利用側端末４や承認用端末５のＩＤ等の情報は伝わらないので、個々の利用側端末４及び承認用端末５に関する情報を末端のユーザーに対して隠蔽できる。
また、ＩＮＤＥＸ値は、出力情報１６を生成する毎に変更されるので、一つの認証データ１１に関しては、サーバー３から出力情報１６を送信された端末でなければ入力情報１５を送信できない。このため、仮に正規の利用側端末４であっても、データ読み出しを要求した後は、正当な応答があるまでは同じデータを要求することはできないし、無関係なデータを要求することもできない。従って、正当な処理手順に従って、正規の端末が送信した情報でなければ受け付けられないため、成りすまし等の不正なアクセスを確実に防止できる。また、承認用端末５は、出力情報１６を受信した場合に、同じＩＮＤＥＸと、自己のＩＤとを含む入力情報１５を送信すればよいので、速やかに返信を行える。このため、データをデータベース２から読み出す承認を迅速に得ることができるので、速やかに処理を行うことができる。
【００３０】
図９、図１０及び図１１は、通信システム１の動作を示すフローチャートであり、利用側端末４がデータの読み出しを要求してからデータが読み出される一連の動作を示している。図９Ａ及び図１０Ａは利用側端末４の動作を示し、図９Ｂ及び図１０Ｂはサーバー３の動作を示し、図９Ｃは承認用端末５の動作を示す。
まず、図９Ａに示すように、利用側端末４の操作によりデータベース２に格納されたデータの利用に関する要求が発生すると（ステップＳ１０１）、利用側端末４の制御部４１は、要求を送信する処理を行い（ステップＳ１０２）、サーバー３に対して、図６〜図８を参照して説明したＩＮＤＥＸ値と、利用側端末４のＩＤと、データ読み出しを要求するコマンドとを含む入力情報を送信する（ステップＳ１０３）。
【００３１】
サーバー３の制御部３１は、利用側端末４から送信された情報を受信して認証処理を実行する（ステップＳ１１１）。この認証処理について図１１を参照して説明する。
この認証処理において、制御部３１は、入力情報に含まれる入力ＩＮＤＥＸ値と一致する格納ＩＮＤＥＸ値を有する認証データ１１（図６Ｂ）を、ＦｅＲＡＭ３５に記憶された認証データテーブル１０（図６Ｂ）から検索する（ステップＳ１４１）。ここで、制御部３１は該当するデータがあるか否かを判別し（ステップＳ１４２）、該当する認証データが無い場合は認証失敗と判定して（ステップＳ１４３）、元の処理に戻る。
【００３２】
一方、該当する認証データ１１があった場合（ステップＳ１４２；Ｙｅｓ）、制御部３１は、該当する認証データ１１の送信ＩＤと、入力情報の送信ＩＤとを照合し（ステップＳ１４４）、一致するか否かを判別する（ステップＳ１４５）。ここで、送信ＩＤが一致しない場合（ステップＳ１４５；Ｎｏ）、制御部３１はステップＳ１４３に移行して認証失敗と判定する。また、送信ＩＤが一致した場合（ステップＳ１４５；Ｙｅｓ）、認証成功と判定し（ステップＳ１４６）、この認証データ１１の宛先ＩＤを取得して（ステップＳ１４７）、取得した宛先ＩＤと送信ＩＤとをもとに新しいＩＮＤＥＸ値を求める（ステップＳ１４８）。そして、制御部３１は、新しいＩＮＤＥＸ値を認証データ１１に設定して、認証データ１１をＦｅＲＡＭ３５に書き戻し（ステップＳ１４９）、もとの処理に戻る。
【００３３】
図９Ｂに戻り、認証処理を終えた制御部３１は、認証に失敗した場合（ステップＳ１１２；Ｎｏ）、エラーを出力して本処理を終了する（ステップＳ１１３）。ここでエラーを出力する方法としては、サーバー３の表示部３８にエラーを表示してもよいが、ステップＳ１０３で入力情報を送信した利用側端末４に対してエラー発生を示す情報を送信してもよい。
また、認証に成功した場合（ステップＳ１１２；Ｙｅｓ）、制御部３１は、認証処理で更新した認証データ１１から取得した宛先ＩＤと新たなＩＮＤＥＸ値とを取得し（ステップＳ１１４）、この取得した情報をもとに出力情報を生成して、宛先ＩＤに対応する承認用端末５に送信する（ステップＳ１１５）。
【００３４】
図９Ｃに示すように、承認用端末５の制御部５１は、サーバー３から送信された出力情報を受信すると、この受信した出力情報の宛先ＩＤが自己に割り当てられたＩＤか否かを判別する（ステップＳ１２１）。ここで、宛先ＩＤが正しいＩＤでない場合（ステップＳ１２１；Ｎｏ）、制御部５１は、エラーを出力して本処理を終了する（ステップＳ１２２）。ここでエラーを出力する方法としては、承認用端末５の表示部５８にエラーを表示してもよいが、ステップＳ１１５で出力情報を送信したサーバー３に対してエラー発生を示す情報を送信してもよい。
一方、出力情報の宛先ＩＤが正しいＩＤであった場合（ステップＳ１２１；Ｙｅｓ）、制御部５１は、受信した出力情報のＩＮＤＥＸ値を取得してＦｅＲＡＭ５５に記憶するとともに（ステップＳ１２３）、表示部５８に承認の可否を入力するよう求めるメッセージを表示して、入力部５７による入力に待機する。ここで、入力部５７による入力が行われると（ステップＳ１２４）、制御部５１は、入力部５７により入力された内容に対応する入力情報を生成して、サーバー３へ送信する（ステップＳ１２５）。ここでサーバー３に送信される入力情報には、ＦｅＲＡＭ５５に記憶されたＩＮＤＥＸ値が含まれ、承認用端末５のＩＤが送信ＩＤとして含まれ、さらに、コマンドが含まれる。このコマンドは、入力部５７により承認された場合はデータ読み出しを指示するコマンドであり、データベース２のデータ利用が拒否された場合は、データ利用拒否を示すコマンドとなる。
【００３５】
図１０Ｂに示すように、承認用端末５からの入力情報を受信したサーバー３の制御部３１は、図１１を参照して説明した認証処理を承認用端末５に対して行い（ステップＳ１２７）、認証処理に失敗した場合（ステップＳ１２８；Ｙｅｓ）、ステップＳ１１３と同様にエラーを出力する（ステップＳ１２９）。
一方、承認用端末５の認証に成功した場合（ステップＳ１２８；Ｙｅｓ）、制御部３１は、受信した入力情報に含まれる送信ＩＤとステップＳ１２７で更新したＩＮＤＥＸ値とを取得し（ステップＳ１３０）、さらに、受信した入力情報に含まれるコマンドに基づいて、データベース２のデータの利用が承認されたか否かを判別する（ステップＳ１３１）。ここで、データの利用が拒否された場合にはステップＳ１２９に移行してエラーを出力し、本処理を終了する。この場合のエラーの出力は、承認用端末５ではなく、データの読み出しを要求した利用側端末４に送信することが好ましい。
【００３６】
承認用端末５によってデータの利用が承認された場合（ステップＳ１３１；Ｙｅｓ）、制御部３１は、データベース２から該当するデータを取得する処理を行う（ステップＳ１３２）。すなわち、データベース２に対してデータを要求するクエリを実行し（ステップＳ１３３）、このクエリに応答してデータベース２から送信されるデータを取得する（ステップＳ１３４）。
ここで、制御部３１は、データベース２から取得したデータをいったんＦｅＲＡＭ３５に記憶し（ステップＳ１３５）、全てのデータの取得を終えたところでＦｅＲＡＭ３５からデータを読み出して（ステップＳ１３６）、このデータをサーバー３へ送信する処理を行う（ステップＳ１３７）。すなわち、制御部３１は、宛先ＩＤとしての利用側端末４のＩＤと、ステップＳ１２７の認証処理で更新されたＩＮＤＥＸ値と、データ取得を指示するコマンドとを含む出力情報と、データベース２から読み出したデータとを、利用側端末４へ送信する（ステップＳ１３８）。
【００３７】
利用側端末４の制御部４１は、サーバー３から送信された出力情報とデータとを受信して、ＦｅＲＡＭ４５に記憶し（ステップＳ１１６）、次にサーバー３にアクセスするために、受信した出力情報のＩＮＤＥＸ値をＦｅＲＡＭ３５に記憶して（ステップＳ１１７）、本処理を終了する。
【００３８】
以上説明したように、本発明を適用した実施形態に係る通信システム１は、データベース２に格納されたデータの読み出しを要求する利用側端末４と、データベース２からのデータ読み出しを制御するサーバー３と、データベース２に格納されたデータの利用の可否を決定する承認用端末５と、を備え、サーバー３は、読出時に読み出されたデータが物理的に破壊される特性を有する破壊読み出し型の記憶部であるＦｅＲＡＭ３５を有し、このＦｅＲＡＭ３５に複数の認証データ１１を記憶しており、利用側端末４がデータベース２のデータ読み出しのコマンドを送信した場合に、ＦｅＲＡＭ３５に記憶された認証データ１１に基づいて利用側端末４の認証を行うとともに、認証に成功した場合はＦｅＲＡＭ３５から認証データ１１を読み出して、読み出した認証データ１１を変更してＦｅＲＡＭ３５に書き戻す処理を行い、承認用端末５に対して承認要求とともに変更後の認証データ１１の少なくとも一部とを送信し、承認用端末５から承認応答と認証データ１１とを受信した場合に、ＦｅＲＡＭ３５から認証データ１１を読み出して受信した認証データ１１の認証を行い、認証に成功した場合にのみ、データベース２からデータを読み出して利用側端末４に送信する。これにより、データベース２のデータの秘匿性を保ちつつ、データベース２に格納されたデータの読み出しが要求された場合に、データの利用の可否を決定する権限を有するユーザーに対して、効率よく、データベース２に格納されたデータの利用の都度に承認を求めることができる。
【００３９】
また、利用側端末４の認証に成功した後に、破壊読み出し型の記憶部であるＦｅＲＡＭ３５から認証データ１１が読み出され、変更されて書き戻され、この変更後の認証データ１１を利用して承認用端末５の認証が行われる。ＦｅＲＡＭ３５から読み出された変更前の認証データ１１は確実に破壊されるので、変更後の認証データ１１を用いて認証を行うことにより、サーバー３から承認要求を受けた承認用端末５でなければ承認の応答を送信できない。従って、正当な権限を有する承認用端末５のみが承認を行うことが可能になり、成りすまし等の不正を確実に防止し、高いセキュリティレベルを確保できる。
【００４０】
サーバー３のＦｅＲＡＭ３５は複数の認証データ１１の各々にデータ識別用のＩＮＤＥＸ値を付して記憶しており、利用側端末４は、サーバー３に対してデータ読み出しのコマンドとともに認証データ１１のＩＮＤＥＸ値を送信し、サーバー３は、利用側端末４から送信されたＩＮＤＥＸ値に従ってＦｅＲＡＭ３５の認証データ１１を読み出し、該当する認証データ１１がある場合に認証成功と判定する一方、読み出した認証データ１１のＩＮＤＥＸ値を変更してＦｅＲＡＭ３５に書き戻し、変更後のＩＮＤＥＸ値を承認用端末５に送信し、承認用端末５から承認応答と認証データ１１のＩＮＤＥＸ値とを受信し、受信したＩＮＤＥＸ値に従ってＦｅＲＡＭ３５から認証データ１１を読み出し、該当する認証データ１１がある場合に認証成功と判定する。
つまり、サーバー３は、ＦｅＲＡＭ３５に記憶している認証データ１１に付されたＩＮＤＥＸ値に従って利用側端末４及び承認用端末５の認証を行うので、ＩＮＤＥＸ値の誤りにより認証に失敗した場合は該当する認証データ１１がないため、ＦｅＲＡＭ３５から認証データ１１の読み出しが行われず、ＦｅＲＡＭ３５から認証データ１１が失われない。このため、正規の権限を有する利用側端末４及び承認用端末５以外の装置から不適切なアクセスがされた場合に、認証データ１１を失わずにアクセスを拒否できるので、正規のアクセスに対する処理への悪影響がない。
加えて、正規の利用側端末４及び承認用端末５がアクセスした場合には認証データ１１のＩＮＤＥＸ値を書き換えて書き戻しを行うことで、成りすましや認証データ１１の漏洩による不正なアクセスを確実に防止でき、高いセキュリティレベルを確保できる。
【００４１】
また、ＦｅＲＡＭ３５が記憶する認証データテーブル１０は、利用側端末４に固有のＩＤと、承認用端末５に固有のＩＤとを対応づける認証データ１１を含み、利用側端末４は、サーバー３に対してデータ読み出しのコマンドとともに自己のＩＤとを送信し、サーバー３は、利用側端末４から送信されたＩＮＤＥＸ値に従ってＦｅＲＡＭ３５の認証データ１１を読み出し、読み出した認証データ１１から承認用端末５のＩＤを取得し、この取得したＩＤに基づいて承認用端末５に承認要求を送信する。
この場合、正しいＩＮＤＥＸ値を持つ利用側端末４でなければデータの読み出しを要求できないので、成りすましによる不正なアクセスを確実に防止できる。また、利用側端末４が承認用端末５のＩＤそのものを持たないので、利用側端末４と承認用端末５との間で、互いの情報を隠蔽することができ、高いセキュリティレベルを確保できる。
【００４２】
さらに、サーバー３はデータベース２に接続され、承認用端末５からの承認の応答を受信した場合にデータベース２からデータを読み出して利用側端末４に送信するので、承認後のデータの読み出しを速やかに行うことができ、また、承認後のデータの授受に関与する装置が少ないためにセキュリティの確保が容易になる。
【００４３】
なお、上記構成において、サーバー３は、認証に失敗した場合（図９のステップＳ１１３、図１０のステップＳ１２９、図１１のステップＳ１４３等）に、ＦｅＲＡＭ３５が記憶する認証データ１１を初期状態に書き戻してもよい。この構成は、例えば、ＲＯＭ３３において初期状態の認証データテーブル１０と同一のデータを記憶しておき、必要に応じて、ＦｅＲＡＭ３５の認証データテーブル１０の一部または全部を、ＲＯＭ３３に記憶されたデータに基づいて上書きすればよい。この場合、認証に失敗してＦｅＲＡＭ３５に記憶された認証データ１１が損なわれた場合であっても、初期状態に戻すことでその後のデータの読み出しに支障がないよう回復できる。このため、破壊読み出し型のＦｅＲＡＭ３５を利用してセキュリティを確保し、かつ、可用性を高めることができる。
【００４４】
また、上述した実施形態は本発明を適用した一態様を示すものであって、本発明は上記実施形態に限定されない。
例えば、上記実施形態では、データベース２からのデータの読み出しを制御するサーバー３がデータベース２を有する構成として説明したが、本発明はこれに限定されず、データベース２を管理するＤＢＭＳが通信回線６に接続され、サーバー３が利用側端末４に対してデータの読み出しを承認する出力情報１６を送信する際に、この出力情報１６にデータ読み出し用の鍵情報を含め、この鍵情報に基づいて利用側端末４がデータベース２からデータを読み出す構成としてもよい。また、上記実施形態では、利用側端末４と承認用端末５とを異なる端末装置として説明したが、本発明はこれに限定されるものではなく、利用側端末４と承認用端末５との両方の機能を備えた端末装置を用いることも可能である。さらに、サーバー３、利用側端末４及び承認用端末５の間の具体的な通信手順は、電子メールシステムを用いても良いし、ページングシステムを利用してもよく、具体的なデータフォーマットや通信プロトコルは任意である。その他、通信システム１を構成する各部の構成は本発明の趣旨を逸脱しない範囲で任意に変更可能である。
【００４５】
（適用例１）
以上説明した通信システム１は、例えば、医療機関におけるデータ管理システムとして利用できる。
通信システム１を、医療機関（例えば、病院）における電子カルテ管理システムとして構成し、データベース２には患者毎の電子カルテを格納し、利用側端末４は、電子カルテの情報を利用する端末装置とする。利用側端末４は、具体的には、医師が診察時や患者の病態管理に使用する端末装置、薬剤師が処方時に使用する端末装置、医療費の計算及び決済を行うための会計用端末装置等である。また、承認用端末５は患者自身が所持する端末装置であり、承認用端末５を所持する患者は、自身に関する電子カルテのデータを利用側端末４が利用することに対して承認及び拒否を行うことができる。
この場合、個々の患者の電子カルテのデータが、患者の承認を得てから利用可能となるため、例えば電子カルテのデータの目的外の使用を防止でき、電子カルテシステムにおけるセキュリティをより一層高めることができる。
また、この構成は、既存の電子カルテ管理システムに対して容易に導入できる。データベース２は、既存の電子カルテデータベースをそのまま利用でき、このデータベース２を管理するサーバー装置として上述したサーバー３を設け、医師、薬剤師及び会計用の端末装置には図６〜図１１に示した利用側端末４の機能を実現するアプリケーションソフトウェアを導入し、新たに各患者に承認用端末５を持たせることで実現できる。承認用端末５は、例えば病院内で患者が操作できればよいので、病院内に入る患者にその都度貸与すればよい。この場合の通信回線６は、病院内に敷設されたＬＡＮに相当し、アクセスポイント７は無線ＬＡＮ（その他の近距離無線通信方式を含む）のアクセスポイントに相当する。このように、既存の電子カルテ管理システムに対して本発明を適用することで、患者の同意のない電子カルテのデータの流用を防止し、かつ、患者や医師への成りすましを確実に防止できる。
【００４６】
（適用例２）
また、通信システム１は、クレジットカード決済を利用する場合の与信処理に適用できる。すなわち、通信システム１を、クレジットカード決済を行う場合の与信情報管理システムとして構成し、データベース２には、クレジットカードを使用する顧客であるカード会員毎の与信情報を格納し、利用側端末４は、店舗等に設置され、クレジットカードによる支払い処理を行うＰＯＳ端末装置あるいはＣＡＴ（Credit Authorization Terminal）と呼ばれる端末装置とする。また、承認用端末５は、信販会社等のクレジットカード決済サービスを提供する企業（以下、カード会社とする）の管理下で操作される端末装置とする。この場合の通信回線６は、公衆電話回線網やＶＰＮで構成される。また、アクセスポイント７は、携帯電話やＰＨＳ等の無線電話回線等の基地局が相当する。
この構成では、カード会員がクレジットカードを使用して買い物の支払いやキャッシング等を行う場合に、ＰＯＳ端末装置やＣＡＴが利用側端末４として、サーバー３に対し、そのカード会員に対する与信情報の利用を要求し、この要求に対し、カード会社が承認をした場合にのみ、与信情報が利用側端末４に提供される。この場合、個々のカード会員の与信情報が、カード会社の承認を得てから利用可能となるため、例えば与信情報の目的外の使用を防止できる。また、カード会員への成りすましや、カード会社になりすました与信情報の流用を確実に防止できる。
また、この構成は、既存のクレジットカード決済システムに対して容易に導入できる。データベース２は、既存の与信情報データベースを利用でき、このデータベース２を管理するサーバー装置として上述したサーバー３を設け、ＰＯＳ端末装置やＣＡＴには図６〜図１１に示した利用側端末４の機能を実現するアプリケーションソフトウェアを導入し、新たにカード会社の管理下に承認用端末５を設ければよい。このように、既存のクレジットカード決済システムに本発明を適用することで、安全確実に、顧客であるカード会員に対し、支払決済サービスを提供することができる。
【００４７】
本発明は、上記の適用例に限らず、データの目的外の利用を制限することが効果的な様々なシステムに適用可能であり、例えば、自治体等の公的機関が保有する住民登録や戸籍等のデータ、国税局や自治体の税務事務所等が保有する課税に係るデータ、公的あるいは私的手続き時に利用される電子証明書のデータ、学校等が保有する児童・生徒・学生の個人情報等を利用するシステムに適用すれば、データの利用を承認及び拒否する権限を有する人が承認した場合にのみデータの利用が可能となり、効率よく承認を得ることができるという効果が得られる。
【符号の説明】
【００４８】
１…通信システム、２…データベース、３…サーバー（サーバー装置）、４…利用側端末（第１の端末）、５…承認用端末（第２の端末）、６…通信回線、１１…認証データ、３５…ＦｅＲＡＭ（記憶部）。
【特許請求の範囲】
【請求項１】
データベースに格納されたデータの読み出しを要求する第１の端末と、前記データベースからのデータ読み出しを制御するサーバー装置と、前記データベースに格納されたデータの利用の可否を決定する第２の端末と、を備え、
前記サーバー装置は、読出時に読み出されたデータが物理的に破壊される特性を有する破壊読み出し型の記憶部を有し、この記憶部に認証データを記憶しており、
前記第１の端末からデータ読み出しが要求された場合に、前記記憶部に記憶された前記認証データに基づいて前記第１の端末の認証を行うとともに、認証に成功した場合は前記記憶部から前記認証データを読み出して、読み出した前記認証データを変更して前記記憶部に書き戻す処理を行い、
前記第２の端末に対して承認要求とともに変更後の前記認証データの少なくとも一部とを送信し、前記第２の端末から承認応答と前記認証データとを受信した場合に、前記記憶部から前記認証データを読み出して受信した前記認証データの認証を行い、認証に成功した場合にのみ、前記第１の端末が前記データベースのデータを読み出し可能な状態とすること、
を特徴とする通信システム。
【請求項２】
前記記憶部は複数の前記認証データの各々にデータ識別用の識別符号を付して記憶しており、
前記第１の端末は、前記サーバー装置に対してデータ読み出しの要求とともに前記認証データの識別符号を送信し、
前記サーバー装置は、前記第１の端末から送信された識別符号に従って前記記憶部の前記認証データを読み出し、該当する前記認証データがある場合に認証成功と判定する一方、読み出した前記認証データの識別符号を変更して前記記憶部に書き戻し、変更後の識別符号を前記第２の端末に送信し、
前記第２の端末から承認応答と前記認証データの識別符号とを受信し、受信した識別符号に従って前記記憶部から前記認証データを読み出し、該当する前記認証データがある場合に認証成功と判定すること、
を特徴とする請求項１記載の通信システム。
【請求項３】
前記記憶部が記憶する前記認証データは、前記第１の端末に固有のＩＤと、前記第２の端末に固有のＩＤとを対応づける情報であり、
前記第１の端末は、前記サーバー装置に対してデータ読み出しの要求とともに前記認証データと自己のＩＤとを送信し、
前記サーバー装置は、前記第１の端末から送信された識別符号に従って前記記憶部の前記認証データを読み出し、読み出した前記認証データから前記第２の端末のＩＤを取得し、この取得したＩＤに基づいて前記第２の端末に承認要求を送信すること、
を特徴とする請求項２記載の通信システム。
【請求項４】
前記サーバー装置は前記データベースに接続され、前記第２の端末からの承認の応答を受信した場合の認証に成功した後、前記データベースからデータを読み出して前記第１の端末に送信すること、
を特徴とする請求項１から３のいずれかに記載の通信システム。
【請求項５】
前記サーバー装置は、前記認証に失敗した場合に、前記記憶部が記憶する前記認証データを初期状態に書き戻すこと、
を特徴とする請求項１から４のいずれかに記載の通信システム。
【請求項６】
データベースに格納されたデータの読み出しを制御するサーバー装置により、
前記第１の端末から前記データベースに格納されたデータの読み出しが要求された場合に、破壊読み出し型の記憶部に記憶された認証データに基づいて前記第１の端末の認証を行うとともに、認証に成功した場合は前記記憶部から前記認証データを読み出して、読み出した前記認証データを変更して前記記憶部に書き戻す処理を行い、
承認を行う第２の端末に対して、承認要求と、変更後の前記認証データの少なくとも一部とを送信し、前記第２の端末から承認応答と前記認証データとを受信した場合に、前記記憶部から前記認証データを読み出して受信した前記認証データの認証を行い、認証に成功した場合にのみ、前記第１の端末が前記データベースのデータを読み出し可能な状態とすること、
を特徴とする通信制御方法。
【請求項１】
データベースに格納されたデータの読み出しを要求する第１の端末と、前記データベースからのデータ読み出しを制御するサーバー装置と、前記データベースに格納されたデータの利用の可否を決定する第２の端末と、を備え、
前記サーバー装置は、読出時に読み出されたデータが物理的に破壊される特性を有する破壊読み出し型の記憶部を有し、この記憶部に認証データを記憶しており、
前記第１の端末からデータ読み出しが要求された場合に、前記記憶部に記憶された前記認証データに基づいて前記第１の端末の認証を行うとともに、認証に成功した場合は前記記憶部から前記認証データを読み出して、読み出した前記認証データを変更して前記記憶部に書き戻す処理を行い、
前記第２の端末に対して承認要求とともに変更後の前記認証データの少なくとも一部とを送信し、前記第２の端末から承認応答と前記認証データとを受信した場合に、前記記憶部から前記認証データを読み出して受信した前記認証データの認証を行い、認証に成功した場合にのみ、前記第１の端末が前記データベースのデータを読み出し可能な状態とすること、
を特徴とする通信システム。
【請求項２】
前記記憶部は複数の前記認証データの各々にデータ識別用の識別符号を付して記憶しており、
前記第１の端末は、前記サーバー装置に対してデータ読み出しの要求とともに前記認証データの識別符号を送信し、
前記サーバー装置は、前記第１の端末から送信された識別符号に従って前記記憶部の前記認証データを読み出し、該当する前記認証データがある場合に認証成功と判定する一方、読み出した前記認証データの識別符号を変更して前記記憶部に書き戻し、変更後の識別符号を前記第２の端末に送信し、
前記第２の端末から承認応答と前記認証データの識別符号とを受信し、受信した識別符号に従って前記記憶部から前記認証データを読み出し、該当する前記認証データがある場合に認証成功と判定すること、
を特徴とする請求項１記載の通信システム。
【請求項３】
前記記憶部が記憶する前記認証データは、前記第１の端末に固有のＩＤと、前記第２の端末に固有のＩＤとを対応づける情報であり、
前記第１の端末は、前記サーバー装置に対してデータ読み出しの要求とともに前記認証データと自己のＩＤとを送信し、
前記サーバー装置は、前記第１の端末から送信された識別符号に従って前記記憶部の前記認証データを読み出し、読み出した前記認証データから前記第２の端末のＩＤを取得し、この取得したＩＤに基づいて前記第２の端末に承認要求を送信すること、
を特徴とする請求項２記載の通信システム。
【請求項４】
前記サーバー装置は前記データベースに接続され、前記第２の端末からの承認の応答を受信した場合の認証に成功した後、前記データベースからデータを読み出して前記第１の端末に送信すること、
を特徴とする請求項１から３のいずれかに記載の通信システム。
【請求項５】
前記サーバー装置は、前記認証に失敗した場合に、前記記憶部が記憶する前記認証データを初期状態に書き戻すこと、
を特徴とする請求項１から４のいずれかに記載の通信システム。
【請求項６】
データベースに格納されたデータの読み出しを制御するサーバー装置により、
前記第１の端末から前記データベースに格納されたデータの読み出しが要求された場合に、破壊読み出し型の記憶部に記憶された認証データに基づいて前記第１の端末の認証を行うとともに、認証に成功した場合は前記記憶部から前記認証データを読み出して、読み出した前記認証データを変更して前記記憶部に書き戻す処理を行い、
承認を行う第２の端末に対して、承認要求と、変更後の前記認証データの少なくとも一部とを送信し、前記第２の端末から承認応答と前記認証データとを受信した場合に、前記記憶部から前記認証データを読み出して受信した前記認証データの認証を行い、認証に成功した場合にのみ、前記第１の端末が前記データベースのデータを読み出し可能な状態とすること、
を特徴とする通信制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２０１１−７７９７３（Ｐ２０１１−７７９７３Ａ）
【公開日】平成２３年４月１４日（２０１１．４．１４）
【国際特許分類】
【出願番号】特願２００９−２２９３０９（Ｐ２００９−２２９３０９）
【出願日】平成２１年１０月１日（２００９．１０．１）
【出願人】（０００００２３６９）セイコーエプソン株式会社 (51,324)
【Ｆターム（参考）】
【公開日】平成２３年４月１４日（２０１１．４．１４）
【国際特許分類】
【出願日】平成２１年１０月１日（２００９．１０．１）
【出願人】（０００００２３６９）セイコーエプソン株式会社 (51,324)
【Ｆターム（参考）】
[ Back to top ]