特開 2024-88272 秘匿性向上サーバおよび秘匿性向上方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024088272

(43)【公開日】2024-07-02

(54)【発明の名称】秘匿性向上サーバおよび秘匿性向上方法

(51)【国際特許分類】

   G06F 21/60 20130101AFI20240625BHJP

【ＦＩ】

G06F21/60 320

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2022203357

(22)【出願日】2022-12-20

(71)【出願人】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(71)【出願人】

【識別番号】598076591

【氏名又は名称】東芝インフラシステムズ株式会社

(74)【代理人】

【識別番号】110003708

【氏名又は名称】弁理士法人鈴榮特許綜合事務所

(72)【発明者】

【氏名】笠井 勇生

(57)【要約】

【課題】道路利用情報を遠隔地に配置されたユーザ端末で確認できるようにすること。
【解決手段】実施形態に係る秘匿性向上サーバであって、有料道路を利用する車両についての情報を含む道路利用情報を取得する取得部と、道路利用情報のうちの外部に漏洩することでリスクデータとなるデータに対して、変換キーを用いて暗号化するデータ変換部と、リスクデータが暗号化された道路利用情報を送信する送信制御部と、変換キーおよび道路利用情報を遠隔地に設置されたユーザ端末で利用するユーザに関連付けられたユーザキーに基づいて合成キーを生成する合成キー生成部と、合成キーを携帯可能な記憶媒体に記憶させる出力制御部と、を備える。
【選択図】 図１

【特許請求の範囲】

【請求項1】

有料道路を利用する車両についての情報を含む道路利用情報を取得する取得部と、
前記道路利用情報のうちの外部に漏洩することでリスクデータとなるデータに対して、変換キーを用いて暗号化するデータ変換部と、
前記リスクデータが暗号化された道路利用情報を送信する送信制御部と、
前記変換キーおよび前記道路利用情報を遠隔地に設置されたユーザ端末で利用するユーザに関連付けられたユーザキーに基づいて合成キーを生成する合成キー生成部と、
前記合成キーを携帯可能な記憶媒体に記憶させる出力制御部と、
を備える、秘匿性向上サーバ。

【請求項2】

出力制御部は、前記合成キーをＮＴファイルシステムファイルの代替データストリーム領域中に書き込む、
請求項１に記載の秘匿性向上サーバ。

【請求項3】

前記合成キー生成部は、所定の個別キーを用いて前記合成キーを暗号化する、
請求項１に記載の秘匿性向上サーバ。

【請求項4】

前記送信制御部は、前記道路利用情報をトンネリングおよび暗号化してから送信する、
請求項１に記載の秘匿性向上サーバ。

【請求項5】

前記秘匿性向上サーバは、データダイオードをさらに備え、前記送信制御部は、前記データダイオードを通じて、前記道路利用情報を送信する、
請求項１に記載の秘匿性向上サーバ。

【請求項6】

前記道路利用情報は、前記ユーザ端末の不揮発性メモリに記憶させないための情報を含む、
請求項１に記載の秘匿性向上サーバ。

【請求項7】

前記ユーザは、事前登録したユーザであり、
前記ユーザを一意に識別することが可能なユーザ固有情報を取得するユーザ情報取得部と、
前記ユーザ固有情報に基づいて前記ユーザキーを生成するユーザキー生成部と、
をさらに備える、
請求項１に記載の秘匿性向上サーバ。

【請求項8】

秘匿性向上サーバの取得部が、有料道路を利用する車両についての情報を含む道路利用情報を取得することと、
前記秘匿性向上サーバのデータ変換部が、前記道路利用情報のうちの外部に漏洩することでリスクデータとなるデータに対して、変換キーを用いて暗号化することと、
前記秘匿性向上サーバの送信制御部が、前記リスクデータが暗号化された道路利用情報を送信するとと、
前記秘匿性向上サーバの合成キー生成部が、前記変換キーおよび前記道路利用情報を遠隔地の端末で利用するユーザのためのユーザキーに基づいて合成キーを生成することと、
前記秘匿性向上サーバの出力制御部が、前記合成キーを携帯可能な記憶媒体に記憶させることと、
を備える、秘匿性向上方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、秘匿性向上サーバおよび秘匿性向上方法に関する。

【背景技術】

【0002】

道路事業者の取り扱うシステム、例えば、既存の料金収受システムは、オンプレミス型システムであり、且つ外部に接続されていないネットワーク（クローズドネットワークと称する）内に接続されている。普段の運用では、クローズドネットワークに接続された端末を用いて、明細書確認等の運用を行っている。

【0003】

また、料金収受システムで取り扱うデータの中には外部に持ち出せないデータも含まれる。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】国際公開第２０１８／００３９５３号

【特許文献2】特開２０１８－０４２１６８号公報

【特許文献3】特開２００９－１８１４６０号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

現在、感染症対策等のためにクローズドネットワークを利用する利用者（ユーザ）がクローズドネットワークから離れた自宅等の遠隔地でクローズドネットワークに記憶されたデータを利用したいという要望が高まっている。しかしながら、クローズドネットワークからデータを安全に持ち出すことができないという問題がある。

【0006】

この発明は、上記事情に着目してなされたもので、その目的とするところは、クローズドネットワークに記憶されたデータを自宅等の遠隔地で確認することができる技術を提供することにある。

【課題を解決するための手段】

【0007】

実施形態に係る秘匿性向上サーバは、有料道路を利用する車両についての情報を含む道路利用情報を取得する取得部と、前記道路利用情報のうちの外部に漏洩することでリスクデータとなるデータに対して、変換キーを用いて暗号化するデータ変換部と、前記リスクデータが暗号化された道路利用情報を送信する送信制御部と、前記変換キーおよび前記道路利用情報を遠隔地に設置されたユーザ端末で利用するユーザに関連付けられたユーザキーに基づいて合成キーを生成する合成キー生成部と、前記合成キーを携帯可能な記憶媒体に記憶させる出力制御部と、を備えるようにしたものである。

【図面の簡単な説明】

【0008】

【図1】図１は、実施形態に係る秘匿性向上システムの概念を示す図である。

【図2】図２は、実施形態に係る秘匿性向上サーバの構成例を示すブロック図である。

【図3】図３は、クラウドの概略構成の一例を示す図である。

【図4】図４は、ユーザ端末の概略構成の一例を示すブロック図である。

【図5】図５は、図１に示される秘匿性向上システムにおける道路利用情報をユーザ端末で利用するまでの処理手順の一例を示すシーケンス図である。

【発明を実施するための形態】

【0009】

以下、図面を参照しながら秘匿性向上サーバおよび秘匿性向上方法について詳細に説明する。なお、以下の実施形態では、同一の番号を付した部分については同様の動作を行うものとして、重ねての説明を省略する。例えば、複数の同一または類似の要素が存在する場合に、各要素を区別せずに説明するために共通の符号を用いることがあるし、各要素を区別して説明するために当該共通の符号に加えて枝番号を用いることもある。

【0010】

図１は、実施形態に係る秘匿性向上システム１の概念を示す図である。
秘匿性向上システム１は、料金収受システム２と、秘匿性向上サーバ３と、クラウド４と、ユーザ端末５と、を備える。

【0011】

料金収受システム２は、ＥＴＣ中央処理サーバ２０と、ＥＴＣ中央処理サーバ２０に接続された料金所サーバ２１と、料金所サーバ２１に接続された車線サーバ２２と、を備える。

【0012】

車線サーバ２２は、各料金所の車線毎に設置されるサーバである。車線サーバ２２は、有料道路を利用する車両についての車両情報および車線サーバ２２に接続される車線機器の動作状況を示すログ等を収集することが可能である。車線サーバ２２は、収集された車両情報を料金所サーバ２１に送る。

【0013】

料金所サーバ２１は、料金所ごとに設置されるサーバである。料金所サーバ２１は、各車線サーバ２２から受信した車両情報およびログをＥＴＣ中央処理サーバ２０に送信する。

【0014】

ＥＴＣ中央処理サーバ２０は、料金所サーバ２１を管理する中央サーバである。ＥＴＣ中央処理サーバ２０は、料金所サーバ２１から受信した車両情報およびログを記憶することが可能である。さらにＥＴＣ中央処理サーバ２０は、記憶した情報に誰がアクセスしたか等の情報を記憶することが可能である。すなわち、ＥＴＣ中央処理サーバ２０は、車両情報、ログ、アクセス記録等を含む道路利用情報を収集し記憶することができる。

【0015】

図１に示すように、道路利用情報は、通常のデータとリスクデータが含まれる。図１の例では、項目３および項目４がリスクデータである。リスクデータは、例えば、カード番号およびナンバープレート等を含む個人情報、アプリケーションのログ、故障監視の情報、不正アクセス等、道路事業者が外部に流出させたくない任意のデータを含む。

【0016】

秘匿性向上サーバ３は、ＥＴＣ中央処理サーバ２０が記憶している道路利用情報を取得し、道路利用情報のうちのリスクデータを自動的にセキュアデータに変換するサーバである。例えば、秘匿性向上サーバ３は、所定の手順を経て、道路利用情報のうちの項目３および項目４のリスクデータをセキュアデータに変換する。また、リスクデータをセキュアデータに変換する手順の詳細は、図５を用いて後述する。そして、秘匿性向上サーバ３は、セキュアデータを含む道路利用情報をクラウド４に送信する。

【0017】

また、秘匿性向上サーバ３は、ユーザ６が所持する後述する記憶媒体７にユーザ端末５で道路利用情報を利用するためにセキュアデータに変換された項目をリスクデータに復元するための各種キーを生成し、記憶させて良い。なお、各種キーの生成手順の詳細は、図５を用いて後述する。

【0018】

クラウド４は、道路利用情報等の様々なデータを記憶するクラウドサーバである。クラウドサーバは、一般的なものであればよく、ここでの詳細な説明を省略する。図１に示すように、クラウド４に記憶される道路利用情報は、セキュアデータに変換された項目３および項目４を含む。

【0019】

ユーザ端末５は、例えば、スマートフォン等の携帯型端末の装置であっても良いし、パーソナルコンピュータ等の据え置き型の装置である。ユーザ端末５は、ユーザ６が必要とする際、クラウド４から道路利用情報を取得する。そして、ユーザ端末５は、所定の手順を経て、セキュアデータをリスクデータに変換して、利用することができる。ここで、セキュアデータをリスクデータに変換する手順の詳細は、図５を用いて後述する。

【0020】

記憶媒体７は、ユーザ６が携帯可能な半導体メモリである。半導体メモリは、例えば、ＵＳＢフラッシュメモリ、ＳＤカードメモリ等を含み、携帯可能であれば任意のメモリであって良い。

【0021】

次に、実施形態に係る秘匿性向上システム１における秘匿性向上サーバ３、クラウド４、およびユーザ端末５の構成について説明する。

【0022】

図２は、実施形態に係る秘匿性向上サーバ３の構成例を示すブロック図である。
図２に示すように、秘匿性向上サーバ３は、１台または複数台のコンピュータであり、サーバ制御部３１と、プログラム記憶部３２と、データ記憶部３３と、通信インタフェース３４と、入出力インタフェース３５と、入力装置３６と、出力装置３７と、データダイオード３８と、を備える。

【0023】

サーバ制御部３１は、秘匿性向上サーバ３を制御する制御部である。サーバ制御部３１は、中央処理ユニット（ＣＰＵ：Central Processing Unit）等のハードウェアプロセッサを備える。例えば、サーバ制御部３１は、様々なプログラムを実行することが可能な集積回路であっても良い。

【0024】

プログラム記憶部３２は、サーバ制御部３１が各種処理を実行するために必要なプログラムを格納している記憶部である。記憶媒体として、例えば、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＯＭ（Read Only Memory）等の不揮発性メモリとを組み合わせて使用することができる。例えば、サーバ制御部３１は、プログラム記憶部３２に格納されたプログラムを読み出して実行することにより各種制御および動作を実現し得る。

【0025】

データ記憶部３３は、サーバ制御部３１がプログラムを実行して各種処理を行う過程で取得および生成されたデータを記憶するための記憶部である。例えば、データ記憶部３３は、ＥＴＣ中央処理サーバ２０から取得した道路利用情報を記憶するために用いられる。データ記憶部３３は、記憶媒体として、例えば、ＨＤＤ、メモリカード等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＡＭ（Random Access Memory）等の揮発性メモリとを組み合わせて使用したストレージである。

【0026】

通信インタフェース３４は、１つ以上の有線または無線の通信モジュールを含む。例えば、通信インタフェース３４は、ＥＴＣ中央処理サーバ２０、クラウド４等と有線または無線接続する通信モジュールを含む。通信インタフェース３４は、クラウド４に各種データを送信する際、各種データに対してトンネリングおよび暗号化を行ってセキュアなデータに変換してから送信して良い。すなわち、通信インタフェース３４は、サーバ制御部３１の制御の下、ＥＴＣ中央処理サーバ２０、クラウド４等との間で通信を行い、各種情報を送受信することができるものであれば一般的な通信インタフェースで良い。

【0027】

入出力インタフェース３５は、入力装置３６および出力装置３７等と接続される。入出力インタフェース３５は、入力装置３６および出力装置３７との間で情報の送受信を可能にするインタフェースである。入出力インタフェース３５は、通信インタフェース３４と一体であってもよい。例えば、入力装置３６または出力装置３７の少なくとも１つとは、近距離無線技術等を使用して無線接続されており、当該近距離無線技術を用いて各種情報の送受信を実行しても良い。

【0028】

入力装置３６は、例えば、秘匿性向上サーバ３を管理する管理者が秘匿性向上サーバ３に対して各種指示を入力するためのキーボードやポインティングデバイス等を含む。また、入力装置３６は、プログラム記憶部３２またはデータ記憶部３３に格納するべきデータを、ＵＳＢメモリ等のメモリ媒体から読み出すためのリーダや、そのようなデータをディスク媒体から読み出すためのディスク装置を含んでも良い。

【0029】

出力装置３７は、秘匿性向上サーバ３から秘匿性向上サーバ３を管理する管理者に提示するべき出力データを表示するディスプレイや、それを印刷するプリンタ等を含む。さらに、出力装置３７は、記憶媒体７に道路利用情報をユーザ端末５で、復元するために利用する情報を書き込むためのライタを含む。

【0030】

データダイオード３８は、クラウド４側からのアクセスを防止するために設けられる。すなわち、秘匿性向上サーバ３が道路利用情報等を含む各種情報をクラウド４等に送信する場合は、各種情報を透過する一方、クラウド４等からのアクセスを遮断する。データダイオード３８を配置することにより、秘匿性向上サーバ３は、外部ネットワークからのアクセスを遮断する一方、各種情報をクラウド４に送信することが可能となる。

【0031】

続いて、秘匿性向上サーバ３のソフトウェア構成をさらに詳細に説明する。
サーバ制御部３１は、データ取得部３１１と、データ変換部３１２と、送信制御部３１３と、ユーザ管理部３１４と、を備える。

【0032】

データ取得部３１１は、ＥＴＣ中央処理サーバ２０の記憶部に記憶された道路利用情報を取得するために用いる。例えば、データ取得部３１１は、遠隔地に設置されたユーザ端末５で道路利用情報を利用したいと望むユーザ６の指示に応じて、ＥＴＣ中央処理サーバ２０の記憶部に記憶された道路利用情報を取得する。

【0033】

データ変換部３１２は、道路利用情報のうちリスクデータをセキュアデータに変換する。データ変換部３１２は、変換キー記憶部３３１に記憶された変換キーを用いて道路利用情報のうちリスクデータに指定されている項目をセキュアデータに変換する。すなわち、データ変換部３１２は、変換キーを用いてリスクデータを暗号化する。データ変換部３１２は、暗号化されたデータを含む道路利用情報を送信制御部３１３に出力する。さらにデータ変換部３１２は、道路利用情報がユーザ端末５の不揮発性メモリに記憶させないための情報を書き加えて良い。

【0034】

ここで、ＥＴＣ中央処理サーバ２０を管理する道路事業者は、道路利用情報のうちどれをリスクデータとするかについて事前に指定しておいてよい。例えば、データ変換部３１２は、当該指定に基づいてリスクデータを判別することができる。

【0035】

送信制御部３１３は、データダイオード３８、通信インタフェース３４を通じて、暗号化されたデータを含む道路利用情報をクラウド４に送信する。なお、送信制御部３１３は、通信インタフェース３４において、道路利用情報をトンネリングおよび暗号化した上でクラウド４に送信して良い。

【0036】

ユーザ管理部３１４は、ユーザ情報取得部３１４１と、ユーザキー生成部３１４２と、合成キー生成部３１４３と、出力制御部３１４４と、を備える。

【0037】

ユーザ情報取得部３１４１は、ユーザ６から入力装置３６に入力されたユーザ情報を取得する取得部である。ユーザ情報は、少なくともユーザ固有情報を含む。ここで、ユーザ固有情報は、ユーザＩＤ、メールアドレス、指紋情報等のうちの少なくとも１つであり、ユーザ６を一意に認識することが可能な情報であれば任意の情報であって良い。個別キーは、暗号化された合成キーを復号するための所定のキー（情報）であり、例えば、ユーザ６が設定したパスワード、またはユーザ管理部３１４が設定したパスワード等であって良い。

【0038】

ユーザキー生成部３１４２は、ユーザ情報に含まれるユーザ固有情報を用いてユーザキーを生成する生成部である。すなわち、ユーザキーは、道路利用情報をユーザ端末５で利用するユーザ６に関連付けられたキーである。ここで、ユーザキーのユーザ６に固有のキーを生成可能な一般的な暗号化方式で良い。

【0039】

合成キー生成部３１４３は、道路利用情報を暗号化する際に利用する変換キーおよびユーザキーを用いて合成キーを生成する生成部である。さらに、合成キー生成部３１４３は、個別キーを用いて復号可能な暗号化を合成キーに行う。すなわち、合成キー生成部３１４３は、個別キーに基づいて合成キーを暗号化する。合成キー生成部３１４３は、暗号化された合成キーを出力制御部３１４４に出力する。

【0040】

出力制御部３１４４は、合成キーを記憶媒体７に書き込む制御部である。出力制御部３１４４は、合成キーをＮＴファイルシステム（ＮＴＦＳ：ＮＴ File System）ファイルの代替データストリーム（ＡＤＳ：Alternative Data Stream）領域中に書き込む。例えば、ユーザ６は、合成キーが記憶された記憶媒体７を自宅等の遠隔地に持っていくことが可能である。

【0041】

データ記憶部３３は、変換キー記憶部３３１と、取得データ記憶部３３２と、ユーザ情報記憶部３３３と、を備える。

【0042】

変換キー記憶部３３１は、道路利用情報のうちリスクデータをセキュアデータに変換する際に使用する変換キーを記憶するための記憶部である。変換キーは、情報が固定されたキーであって良い。

【0043】

取得データ記憶部３３２は、道路利用情報を記憶するための記憶部である。道路利用情報は、データ変換部３１２によりリスクデータをセキュアデータに変換した後のデータを含んでよい。

【0044】

ユーザ情報記憶部３３３は、ユーザキーおよびユーザ情報を記憶するための記憶部である。ユーザ情報は、例えば、ユーザ固有情報および個別キー等を含む。

【0045】

図３は、クラウド４の概略構成の一例を示す図である。
クラウド４は、１台または複数台のコンピュータであり、クラウド制御部４１、プログラム記憶部４２、データ記憶部４３、通信インタフェース４４、入出力インタフェース４５、入力装置４６、出力装置４７を備える。

【0046】

クラウド制御部４１は、クラウド４を制御する制御部である。クラウド制御部４１は、中央処理ユニット（ＣＰＵ）等のハードウェアプロセッサを備える。例えば、クラウド制御部４１は、様々なプログラムを実行することが可能な集積回路であっても良い。

【0047】

プログラム記憶部４２は、クラウド制御部４１が各種処理を実行するために必要なプログラムを格納している記憶部である。記憶媒体として、例えば、ＥＰＲＯＭ、ＨＤＤ、ＳＳＤ等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＯＭ等の不揮発性メモリとを組み合わせて使用することができる。

【0048】

データ記憶部４３は、クラウド制御部４１がプログラムを実行して各種処理を行う過程で取得および生成されたデータを記憶するための記憶部である。データ記憶部４３は、記憶媒体として、例えば、ＨＤＤ、メモリカード等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＡＭ等の揮発性メモリとを組み合わせて使用したストレージである。

【0049】

通信インタフェース４４は、秘匿性向上サーバ３およびユーザ端末５等と有線または無線接続する通信モジュールである。すなわち、通信インタフェース４４は、クラウド制御部４１の制御の下、クラウド４からの情報を受信し、且つユーザ端末５との間で各種情報を送受信することができるものであれば一般的な通信インタフェースで良い。

【0050】

入出力インタフェース４５は、入力装置４６および出力装置４７との間で情報の送受信を可能にするインタフェースである。入出力インタフェース４５は、通信インタフェース４４と一体であってもよい。例えば、入力装置４６または出力装置４７の少なくとも１つとは、近距離無線技術等を使用して無線接続されており、当該近距離無線技術を用いて各種情報の送受信を実行しても良い。

【0051】

入力装置４６は、例えば、クラウド４を管理するユーザ６がクラウド４に対して各種指示を入力するための入力装置であり、キーボードやポインティングデバイス等を含む。また、入力装置４６は、プログラム記憶部４２またはデータ記憶部４３に格納するべきデータを、ＵＳＢメモリ等のメモリ媒体から読み出すためのリーダや、そのようなデータをディスク媒体から読み出すためのディスク装置を含んでも良い。

【0052】

出力装置４７は、クラウド４からクラウド４を管理する管理者に提示するべき出力データを表示するための出力装置であり、ディスプレイ等を含んで良い。

【0053】

続いて、クラウド制御部４１のソフトウェア構成をさらに詳細に説明する。
クラウド制御部４１は、受信制御部４１１と、データ制御部４１２と、送信制御部４１３と、を備える。

【0054】

受信制御部４１１は、通信インタフェース４４を通じて、道路利用情報を受信する受信制御部である。ここで、道路利用情報が暗号化されている場合、受信制御部４１１は、通信インタフェース４４で、復号して良い。受信制御部４１１は、受信した道路利用情報を受信データ記憶部４３１に記憶させる。

【0055】

データ制御部４１２は、データ要求を受信する制御部である。そして、データ制御部４１２は、データ要求に基づいて受信データ記憶部４３１に記憶された道路利用情報取得し、送信制御部４１３に出力する。

【0056】

送信制御部４１３は、道路利用情報をユーザ端末５に送信する制御部である。なお、送信制御部４１３により送信される道路利用情報は、暗号化されていても良いし、暗号化されていなくても良い。

【0057】

データ記憶部４３は、受信データ記憶部４３１を備える。受信データ記憶部４３１は、受信した道路利用情報を記憶するための記憶部である。

【0058】

図４は、ユーザ端末５の概略構成の一例を示すブロック図である。
ユーザ端末５は、１台または複数台のコンピュータであり、ユーザ端末制御部５１、プログラム記憶部５２、データ記憶部５３、通信インタフェース５４、入出力インタフェース５５、入力装置５６、出力装置５７を備える。

【0059】

ユーザ端末制御部５１は、ユーザ端末５を制御する制御部である。ユーザ端末制御部５１は、中央処理ユニット（ＣＰＵ）等のハードウェアプロセッサを備える。例えば、ユーザ端末制御部５１は、様々なプログラムを実行することが可能な集積回路であっても良い。

【0060】

プログラム記憶部５２は、ユーザ端末制御部５１が各種処理を実行するために必要なプログラムを格納している記憶部である。記憶媒体として、例えば、ＥＰＲＯＭ、ＨＤＤ、ＳＳＤ等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＯＭ等の不揮発性メモリとを組み合わせて使用することができる。

【0061】

データ記憶部５３は、ユーザ端末制御部５１がプログラムを実行して各種処理を行う過程で取得および生成されたデータを記憶するための記憶部である。データ記憶部５３は、記憶媒体として、例えば、ＨＤＤ、メモリカード等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＡＭ等の揮発性メモリとを組み合わせて使用したストレージである。

【0062】

通信インタフェース５４は、図示しないインターネット網を介して、クラウド４等と有線または無線接続する通信モジュールである。すなわち、通信インタフェース５４は、ユーザ端末制御部５１の制御の下、クラウド４との間で通信を行い、各種情報を送受信することができるものであれば一般的な通信インタフェースで良い。

【0063】

入出力インタフェース５５は、入力装置５６および出力装置５７との間で情報の送受信を可能にするインタフェースである。入出力インタフェース５５は、通信インタフェース５４と一体であってもよい。例えば、入力装置５６または出力装置５７の少なくとも１つとは、近距離無線技術等を使用して無線接続されており、当該近距離無線技術を用いて各種情報の送受信を実行しても良い。

【0064】

入力装置５６は、例えば、ユーザ端末５を管理するユーザ６がユーザ端末５に対して各種指示を入力するための入力装置であり、キーボードやポインティングデバイス等を含む。また、入力装置５６は、プログラム記憶部５２またはデータ記憶部５３に格納するべきデータを、ＵＳＢメモリ等のメモリ媒体から読み出すためのリーダや、そのようなデータをディスク媒体から読み出すためのディスク装置を含んでも良い。

【0065】

出力装置５７は、ユーザ端末５からユーザ６に提示するべき出力データを表示するための出力装置であり、ディスプレイ、ユーザ６に音声で情報を通知するためのスピーカ等を含んで良い。

【0066】

続いて、ユーザ端末制御部５１のソフトウェア構成をさらに詳細に説明する。
ユーザ端末制御部５１は、要求制御部５１１と、受信制御部５１２と、キー取得部５１３と、合成キー復号部５１４と、変換キー生成部５１５と、データ復元部５１６と、出力制御部５１７と、を備える。

【0067】

要求制御部５１１は、クラウド４に対してデータ要求を送信するための制御部である。ユーザ端末送信制御部として動作する要求制御部５１１は、ユーザ６からの当該入力に応じて、クラウド４にデータ要求を送信する。なお、データ要求は、クラウド４にログインするための情報等を含んでいて良い。

【0068】

受信制御部５１２は、要求制御部５１１による要求に応じて、クラウド４から道路利用情報を受信する受信部である。受信制御部５１２は、受信した道路利用情報を受信データ記憶部５３１に記憶させる。また、受信制御部５１２は、入力装置５６から入出力インタフェース５５を介して入力されたユーザ情報を、ユーザ情報記憶部５３２に登録する。

【0069】

キー取得部５１３は、入出力インタフェース５５から入力されたキーを取得する取得部である。キー取得部５１３は、記憶媒体７のファイルのＡＤＳにアクセスし、ＡＤＳに暗号化された合成キーがあるかどうか判定する。合成キーがあると判定した場合、キー取得部５１３は、ユーザ個別キーが必要であるとの信号を出力制御部５１７に出力する。

【0070】

合成キー復号部５１４は、ユーザ６から個別キーを取得する復号部である。合成キー復号部５１４は、個別キーに基づいてＡＤＳに記憶された暗号化された合成キーを復号する。合成キー復号部５１４は、復号された合成キーを変換キー生成部５１５に出力する。

【0071】

変換キー生成部５１５は、ユーザ情報記憶部５３２に記憶されたユーザ情報に基づいて合成キーから変換キーを生成する生成部である。なお、合成キーから変換キーを生成する手法は、一般的な方法で良く、ここでの詳細な説明は省略する。変換キー生成部５１５は、生成された変換キーをデータ復元部５１６に出力する。

【0072】

データ復元部５１６は、道路利用情報の暗号化された項目を、変換キーを用いて復号する復元部である。データ復元部５１６は、復号された道路利用情報を出力制御部５１７に出力する。

【0073】

出力制御部５１７は、当該信号に応じて、ディスプレイに個別キーの入力を要求する情報を表示させる制御部である。さらに、出力制御部５１７は、道路利用情報を出力装置５７のディスプレイに表示するように制御する。

【0074】

データ記憶部５３は、受信データ記憶部５３１と、ユーザ情報記憶部５３２とを備える。

【0075】

受信データ記憶部５３１は、クラウド４から受信した道路利用情報を記憶するための記憶部である。そのため、受信データ記憶部５３１は、暗号化されたデータを含む道路利用情報を記憶することになる。

【0076】

ユーザ情報記憶部５３２は、ユーザ情報を記憶するために用いられる記憶部である。ユーザ情報は、入力装置５６から入出力インタフェース ５５、受信制御部５１３を介して登録される。例えば、ユーザ情報記憶部５３２は、上述した秘匿性向上サーバ３のユーザ情報記憶部３３３に記憶された情報と同じユーザ情報を記憶して良い。

【0077】

（動作）
最初に、自宅等の遠隔地で道路利用情報を表示したいユーザ６は、秘匿性向上サーバ３にユーザ登録する必要がある。

【0078】

例えば、ユーザ管理部３１４の出力制御部３１４４は、登録に必要な情報を出力装置３７に表示させるように制御して良い。登録に必要なユーザ情報は、例えば、ユーザ固有情報および個別キーを含む。ここで、ユーザ固有情報は、ユーザＩＤ、メールアドレス、指紋情報等のうちの少なくとも１つであり、ユーザ６を一意に認識することが可能な情報であれば任意の情報であって良い。個別キーは、暗号化された合成キーを復号するための所定のキーであり、例えば、ユーザ６が設定したパスワード、またはユーザ管理部３１４が設定したパスワード等であって良い。

【0079】

ユーザ情報取得部３１４１は、ユーザ６から入力装置３６に入力されたユーザ情報を取得する。そして、ユーザ情報取得部３１４１は、ユーザ情報をユーザキー生成部３１４２に出力する。

【0080】

ユーザキー生成部３１４２は、ユーザ情報に含まれるユーザ固有情報を用いてユーザキーを生成する。ここで、ユーザキーのユーザ６に固有のキーを生成可能な一般的な暗号化方式で良い。ユーザキー生成部３１４２は、生成したユーザキーおよびユーザ情報をユーザ情報記憶部３３３に記憶させる。

【0081】

以下の説明において、ユーザ６は上述した登録が済んだユーザ６であるとし、ユーザ情報記憶部３３３は、ユーザ６に対応したユーザキーおよびユーザ情報が記憶されているものとする。

【0082】

図５は、図１に示される秘匿性向上システム１における道路利用情報をユーザ端末５で利用するまでの処理手順の一例を示すシーケンス図である。
このシーケンスは、秘匿性向上サーバ３のサーバ制御部３１、クラウド４のクラウド制御部４１、ユーザ端末５のユーザ端末制御部５１がそれぞれプログラム記憶部３２、プログラム記憶部４２、プログラム記憶部５２に格納されたプログラムを読み出して実行することにより、このシーケンスの動作が実現される。

【0083】

このシーケンスは、ユーザ６が道路利用情報をユーザ端末５で利用したいという指示を秘匿性向上サーバ３に入力し、記憶媒体７を秘匿性向上サーバ３に接続することにより開始する。

【0084】

ステップＳＴ１０１で、データ取得部３１１は、ＥＴＣ中央処理サーバ２０の記憶部に記憶された道路利用情報を取得する。データ取得部３１１は、取得した道路利用情報をデータ変換部３１２に出力する。

【0085】

ステップＳＴ１０２で、データ変換部３１２は、道路利用情報のうちリスクデータをセキュアデータに変換する。データ変換部３１２は、変換キー記憶部３３１に記憶された変換キーを用いて道路利用情報のうちリスクデータに指定されている項目をセキュアデータに変換する。すなわち、データ変換部３１２は、変換キーを用いてリスクデータを暗号化する。さらにデータ変換部３１２は、道路利用情報がユーザ端末５の不揮発性メモリに記憶させないための情報を書き加えて良い。これにより、ユーザ端末５では、揮発性メモリにのみ道路利用情報を記憶させることができる。データ変換部３１２は、暗号化されたデータ（セキュアデータ）を含む道路利用情報を取得データ記憶部３３２に記憶させる。また、データ変換部３１２は、ユーザ管理部３１４に道路利用情報を取得データ記憶部３３２に記憶させたことを示す信号を出力しても良い。

【0086】

ステップＳＴ１０３で、合成キー生成部３１４３は、変換キー記憶部３３１に記憶された変換キー、ユーザ情報記憶部３３３に記憶されたユーザキーおよび個別キーを取得する。

【0087】

ステップＳＴ１０４で、合成キー生成部３１４３は、合成キーを生成する。合成キー生成部３１４３は、変換キーおよびユーザキーを用いて合成キーを生成する。そして、合成キー生成部３１４３は、個別キーを用いて復号可能な暗号化を合成キーに行う。すなわち、合成キー生成部３１４３は、個別キーに基づいて合成キーを暗号化する。合成キー生成部３１４３は、暗号化された合成キーを出力制御部３１４４に出力する。

【0088】

ステップＳＴ１０５で、出力制御部３１４４は、合成キーを記憶媒体７に書き込む。出力制御部３１４４は、合成キーをＮＴＦＳファイルのＡＤＳ領域中に書き込む。このように、合成キーをＡＤＳに書き込むことにより、ユーザ６は、合成キーが書き込まれたファイルに対してアクセスしても合成キーが書き込まれていることを確認することができない。そのため、単にファイル上に合成キーを書き込むのと比較して安全性が向上する。また、ユーザ６は、合成キーが記憶された記憶媒体７を自宅等の遠隔地に持っていくことになる。

【0089】

ステップＳＴ１０６で、送信制御部３１３は、データダイオード３８、通信インタフェース３４を通じて、暗号化されたデータを含む道路利用情報をクラウド４に送信する。なお、通信インタフェース３４は、道路利用情報をトンネリングおよび暗号化した上でクラウド４に送信して良い。ここで、ステップＳＴ１０６は、ステップＳＴ１０２の後に行っても良い。

【0090】

ステップＳＴ１０７で、受信制御部４１１は、道路利用情報を受信データ記憶部４３１に記憶させる。受信制御部４１１は、通信インタフェース４４を通じて、道路利用情報を受信する。ここで、通信インタフェース４４は、道路利用情報が暗号化されている場合、復号した上で受信制御部４１１に出力する。受信制御部４１１は、受信した道路利用情報を受信データ記憶部４３１に記憶させる。

【0091】

このようにして、暗号化されたデータを含む道路利用情報は、一旦クラウド４に記憶されることになる。そして、ユーザ６が自宅等遠隔地に配置されたユーザ端末５に記憶媒体７を差し込む。

【0092】

ステップＳＴ１０８で、要求制御部５１１は、データ取り出し要求を受信する。例えば、要求制御部５１１は、ユーザ６がユーザ端末５の入力装置５６に道路利用情報を確認したいと望む入力を検知する。

【0093】

ステップＳＴ１０９で、要求制御部５１１は、データ要求をクラウド４に送信する。ユーザ端末送信制御部として動作する要求制御部５１１は、ユーザからの当該入力に応じて、クラウド４にデータ要求を送信する。なお、データ要求は、クラウド４にログインするための情報等を含んでいて良い。

【0094】

ステップＳＴ１１０で、送信制御部４１３は、道路利用情報をユーザ端末５に送信する。データ制御部４１２は、データ要求を受信する。そして、データ制御部４１２は、データ要求に基づいて受信データ記憶部４３１に記憶された道路利用情報取得し、送信制御部４１３に出力する。送信制御部４１３は、道路利用情報をユーザ端末５に送信する。なお、ステップＳＴ１１０で、データ制御部４１２および送信制御部４１３は、ユーザ端末５に受信データ記憶部４３１に記憶された情報を送信して良い。そして、送信制御部４１３は、当該情報に基づいて選択したファイル（道路利用情報）をユーザ端末５に送信して良い。

【0095】

なお、ユーザ端末５の受信制御部５１２は、道路利用情報を受信し、受信した道路利用情報を受信データ記憶部５３１に記憶させる。

【0096】

ステップＳＴ１１１で、キー取得部５１３は、合成キーを取得する。キー取得部５１３は、記憶媒体７のファイルのＡＤＳにアクセスし、ＡＤＳに暗号化された合成キーがあるかどうか判定する。合成キーがあると判定した場合、処理はステップＳＴ１１２に進む。一方、ＡＤＳに暗号化された合成キーがないと判定した場合、キー取得部５１３は、出力制御部５１７に合成キーが発見できなかった旨を示す信号を出力して良い。そして、出力制御部５１７は、暗号化された合成キーが見つからなかったことを示す情報を出力装置５７のディスプレイに表示することになる。

【0097】

ステップＳＴ１１２で、出力制御部５１７は、ユーザ個別キーの入力を要求する情報を出力装置５７のディスプレイに表示するように制御する。キー取得部５１３は、ユーザ個別キーが必要であるとの信号を出力制御部５１７に出力する。出力制御部５１７は、当該信号に応じて、ディスプレイに個別キーの入力を要求する情報を表示させる。

【0098】

ステップＳＴ１１３で、合成キー復号部５１４は、ユーザ６から個別キーを取得する。ユーザ６は、ディスプレイに表示された情報に従って個別キーを入力装置５６に入力する。入力装置５６は、入力された個別キーを合成キー復号部５１４に出力する。なお、ＡＤＳに記憶された暗号化された合成キーは、ＡＤＳに記憶されているため、自動的に消去されることになる。すなわち、ＡＤＳに記憶された合成キーは、自然消滅することになる。

【0099】

ステップＳＴ１１４で、合成キー復号部５１４は、合成キーを復号する。合成キー復号部５１４は、個別キーに基づいてＡＤＳに記憶された暗号化された合成キーを復号する。合成キー復号部５１４は、復号された合成キーを変換キー生成部５１５に出力する。

【0100】

ステップＳＴ１１５で、変換キー生成部５１５は、変換キーを生成する。合成キーを受信した変換キー生成部５１５は、ユーザ情報記憶部５３２に記憶されたユーザ情報に基づいて合成キーから変換キーを生成する。変換キー生成部５１５は、生成された変換キーをデータ復元部５１６に出力する。

【0101】

ステップＳＴ１１６で、データ復元部５１６は、暗号化された道路利用情報を元の道路利用情報に復元する。データ復元部５１６は、道路利用情報の暗号化された項目を、変換キーを用いて復号する。データ復元部５１６は、復号された道路利用情報を出力制御部５１７に出力する。

【0102】

ステップＳＴ１１７で、出力制御部５１７は、道路利用情報を出力装置５７のディスプレイに表示するように制御する。なお、復号された道路利用情報は、道路利用情報に含まれる指示に従って、データ記憶部５３のメモリのうち揮発性メモリに記憶されることになる。そのため、出力制御部５１７は、ユーザ６が利用した後、復号された道路利用情報は、消去するように制御する。このように、ユーザ端末５条で利用するリスクデータを含む道路利用情報は、ユーザ６による利用後、データ記憶部５３に記憶させておくことなく消去することにより、安全性を高めることができる。

【0103】

（実施形態の作用効果）
以上説明した実施形態によれば、ユーザ６が感染症等により、自宅に隔離されていたとしても、ユーザ６は、リスクデータを含む道路利用情報を自宅等の遠隔地で利用することができる。

【0104】

また、秘匿性向上サーバ３により、リスクデータに対して暗号化をすることにより、道路利用情報が外部に流出したとしても、リスクデータが意味をなさない文字列となっており、情報漏洩に対する安全性を担保することが可能となる。

【0105】

［他の実施形態］
なお、この発明は上記実施形態に限定されるものではない。例えば、秘匿性向上サーバ３は、ＥＴＣ中央処理サーバ２０に組み込まれても良い。すなわち、上述した秘匿性向上サーバ３の機能をＥＴＣ中央処理サーバ２０が備えており、上記処理をＥＴＣ中央処理サーバ２０が行っても良い。ＥＴＣ中央処理サーバ２０の一機能とすることにより、新たな機器を増設する必要がなくなり、設置費用を低減することができる。

【0106】

要するに、この発明は上記実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施しても良く、その場合組み合わせた効果が得られる。さらに、上記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適当な組み合わせにより種々の発明が抽出され得る。

【符号の説明】

【0107】

１…秘匿性向上システム
２…料金収受システム
２０…ＥＴＣ中央処理サーバ
２１…料金所サーバ
２２…車線サーバ
３…秘匿性向上サーバ
３１…サーバ制御部
３１１…データ取得部
３１２…データ変換部
３１３…送信制御部
３１４…ユーザ管理部
３１４１…ユーザ情報取得部
３１４２…ユーザキー生成部
３１４３…合成キー生成部
３１４４…出力制御部
３２…プログラム記憶部
３３…データ記憶部
３３１…変換キー記憶部
３３２…取得データ記憶部
３３３…ユーザ情報記憶部
３４…通信インタフェース
３５…入出力インタフェース
３６…入力装置
３７…出力装置
３８…データダイオード
４…クラウド
４１…クラウド制御部
４１１…受信制御部
４１２…データ制御部
４１３…送信制御部
４２…プログラム記憶部
４３…データ記憶部
４３１…受信データ記憶部
４４…通信インタフェース
４５…入出力インタフェース
４６…入力装置
４７…出力装置
５…ユーザ端末
５１…ユーザ端末制御部
５１１…要求制御部
５１２…受信制御部
５１３…キー取得部
５１４…合成キー復号部
５１５…変換キー生成部
５１６…データ復元部
５１７…出力制御部
５２…プログラム記憶部
５３…データ記憶部
５３１…受信データ記憶部
５３２…ユーザ情報記憶部
５４…通信インタフェース
５５…入出力インタフェース
５６…入力装置
５７…出力装置
６…ユーザ
７…記憶媒体

【図1】

【図2】

【図3】

【図4】

【図5】