JP2004118441A

JP2004118441A - User information use method and user information use system

Info

Publication number: JP2004118441A
Application number: JP2002279630A
Authority: JP
Inventors: Masamichi Torikai; 鳥飼　將迪; Osamu Tochikubo; 杤久保　修
Original assignee: Laurel Intelligent Systems Co Ltd
Current assignee: Laurel Intelligent Systems Co Ltd
Priority date: 2002-09-25
Filing date: 2002-09-25
Publication date: 2004-04-15

Abstract

【課題】個人のプライバシーを保護すること。
【解決手段】所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用方法であって、装置同士で異なったＩＤコードを記憶した状態で携帯装置をユーザに発行するステップと、携帯装置を所有するユーザ側が選択した所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行うステップと、携帯装置に記憶されたＩＤコードを端末装置に読取らせて、登録手続きが行われている所定機関に読取ったＩＤコードを送信するステップ（Ｓ１０３）と、送信されてきたＩＤコードに基づいて該当するユーザに関する情報をデータベースから検索するステップ（Ｓ３０６）と、検索されたユーザに関する情報を利用して所定のサービスを提供するステップ（Ｓ２１１）とを含む。
【選択図】　　　　図６[PROBLEMS] To protect personal privacy.
Kind Code: A1 A user information use method for using information about a user stored in a database of a predetermined institution to provide a service to the user using a computer system, wherein different ID codes are stored between devices. Issuing the portable device to the user, performing a procedure for registering information on the user in a database of a predetermined institution selected by the user who owns the portable device, and transmitting the ID code stored in the portable device to the terminal device. A step of transmitting the read ID code to a predetermined institution where the registration procedure is performed (S103), and a step of searching the database for information on the corresponding user based on the transmitted ID code (S306). ) And provide a predetermined service using the information on the searched user. Step (S211) and a.
[Selection] Fig. 6

Description

【０００１】
【発明の属する技術分野】
この発明は、ユーザ情報利用方法およびユーザ情報利用システムに関し、特に、ユーザ個人の情報をプライバシーの保護を図りつつ利用するためのユーザ情報利用方法およびユーザ情報利用システムに関する。
【０００２】
【従来の技術】
近年、プラスチック・カードにＩＣを埋め込んだＩＣカードが知られている。このＩＣカードには、大容量のデータを記憶できるため、たとえば、個人に付された識別番号、氏名、生年月日、住所、電話番号等の個人を直接特定するための情報をＩＣカードに記憶させて、そのＩＣカードから個人情報を読み出すことにより、種々のサービスを提供する試みがなされている。
【０００３】
このＩＣカードから情報を読み出す読取装置としては、接触タイプと非接触タイプとがある。接触タイプの読取装置は、読取装置とＩＣカードとが電気的に接続されので、ＩＣカードを読取装置に直接接触させる必要がある。非接触タイプの読取装置では、ＩＣカードと読取装置との間の通信に電波が用いられる。また、ＩＣカードの電源としては、読取装置から発っせられる電波を受信することにより誘導される電流が利用される。
【０００４】
なお、以上本発明についての従来の技術を、出願人の知得した一般的技術情報に基づいて説明したが、出願人の記憶する範囲において、出願前までに先行技術文献情報として開示すべき情報を出願人は有していない。
【０００５】
【発明が解決しようとする課題】
しかしながら、ＩＣカードに個人を直接特定するための個人情報を記憶させた場合には、その個人とは全く関係のない者がＩＣカードに記憶された個人情報を入手することが可能となってしまう。たとえば、ＩＣカードを紛失した場合は、そのＩＣカードを拾得した者が、ＩＣカードに記憶された個人情報を自由に閲覧することが可能となる。そして、その個人情報を第三者に有償で提供してしまえば、その後個人情報がどのように利用されるかわからない。また、ＩＣカードを拾得した者が、ＩＣカードの真の所有者になりすまして、たとえば金融機関から融資を受けたりして不正に利用されることも考えられる。
【０００６】
また、ＩＣカードを非接触タイプの読取装置で読取る場合には、ＩＣカードの所有者があるサービスを受けるために、所有者の意志でサービス機関の読取装置で個人情報を読取らせている間に、第三者に傍受される可能性がある。この場合においても、不正に個人情報を取得した第三者が、取得した個人情報を悪用することが考えられる。第三者に電波を傍受されるのを防止するために、電波をシールドした筐体内にＩＣカードを投入して、その筐体内で個人情報を読出すことが考えられるが、連続して多量のＩＣカードから個人情報を読出すような場合には、筐体内が発熱してしまうといった問題がある。
【０００７】
この発明は上述の問題点を解決するためになされたもので、この発明の目的の１つは、個人のプライバシーを保護可能なユーザ情報利用方法およびユーザ情報利用システムを提供することである。
【０００８】
この発明の他の目的は、個人情報を利用して個人に特有のサービスを提供することが可能なユーザ情報利用方法およびユーザ情報利用システムを提供することである。
【０００９】
【課題を解決するための手段】
上述の目的を達成するためにこの発明のある局面によれば、ユーザ情報利用方法は、所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用方法であって、データベースに格納された情報の中から所定のユーザに関する情報を識別するために用いられるＩＤコードを格納する装置であって、該装置同士で異なったＩＤコードを記憶した状態でユーザに普段携帯される携帯装置を希望するユーザに発行する発行ステップと、該発行ステップにより発行された携帯装置を所有するユーザ側が複数の所定機関の中から希望する所定機関を選択し、該所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行って当該ユーザに関する情報を格納しておく登録ステップと、携帯装置に記憶されたＩＤコードを端末装置により読取らせて、登録手続きが行われている所定機関に読取ったＩＤコードを送信する送信ステップと、該送信ステップにより送信されてきたＩＤコードに基づいてデータベースに格納されている情報の中から該当するユーザに関する情報を検索する検索ステップと、該検索ステップにより検索されたユーザに関する情報を利用して所定のサービスを提供するサービス提供ステップとを含み、携帯装置には、ユーザを直接特定可能なユーザ特定個人情報を記憶させず、該ユーザ特定個人情報はデータベース側に格納させたことを特徴とする。
【００１０】
好ましくは、携帯装置は、電波を情報伝達媒体として使用しており、かつ、ユーザの身体に常時装着されることを特徴とする。
【００１１】
好ましくは、携帯装置は、暗号化されたＩＤコードを端末装置に送信することを特徴とする。
【００１２】
好ましくは、携帯装置は、登録手続きが行われた所定機関を特定するための登録機関コードをさらに記憶しており、端末装置から送信されてきた登録機関コードが記憶された登録機関コードと一致することを条件にＩＤコードを出力する。
【００１３】
好ましくは、携帯装置は、登録機関コードを複数種類記憶することが可能であり、端末装置から所定の登録機関コードの送信要求を受信した場合に、記憶している複数種類の登録機関コードの中から該当する登録機関コードを選び出して当該登録機関コードを端末装置に出力し、端末装置は、受信した登録機関コードで特定される所定機関に携帯装置から受信したＩＤコードを送信する。
【００１４】
この発明の他の局面によれば、ユーザ情報利用システムは、所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用システムであって、データベースに格納された情報の中から所定のユーザに関する情報を識別するために用いられるＩＤコードを格納する装置であって、該装置同士で異なったＩＤコードを記憶してユーザに普段携帯される携帯装置を所有するユーザ側が複数の所定機関の中から希望する所定機関を選択し、該所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行って格納する処理を行うユーザ情報登録処理手段と、携帯装置に記憶されたＩＤコードが読取られて登録手続きが行われている所定機関に送信されてきた場合に該ＩＤコードを受信する受信手段と、該受信手段により受信されたＩＤコードに該当するユーザに関する情報を利用するべく、該ＩＤコードに基づいてデータベースに格納されている情報の中から該当するユーザに関する情報を検索する検索手段とを含み、携帯装置には、ユーザを直接特定可能なユーザ特定個人情報を記憶させず、該ユーザ特定個人情報はデータベース側に格納させたことを特徴とする。
【００１５】
好ましくは、携帯装置は、電波を情報伝達媒体として使用しており、かつ、ユーザの身体に常時装着されることを特徴とする。
【００１６】
好ましくは、携帯装置は、暗号化されたＩＤコードを前記端末装置に送信し、携帯装置から出力されてきた暗号化されたＩＤコードを復号化する復号化手段をさらに含むことを特徴とする。
【００１７】
好ましくは、携帯装置は、登録手続きが行われた所定機関を特定するための登録機関コードをさらに記憶しており、ＩＤコードの送信先が登録手続きのなされている所定機関であることを証明するための登録機関コードを携帯装置に送信して該携帯装置からＩＤコードの出力を促すための登録機関コード送信手段をさらに含むことを特徴とする。
【００１８】
好ましくは、携帯装置は、登録機関コードを複数種類記憶することが可能であり、携帯装置に対し所定の登録機関コードの送信要求を出力する登録機関送信要求手段と、該登録機関送信要求手段によって要求された登録機関コードが携帯装置から出力されてきた場合に該登録機関コードで特定される所定機関に対し携帯装置のＩＤコードを送信する。
【００１９】
好ましくは、端末装置は、救急車に搭載され、携帯装置に対し登録手続きが行われている医療機関を特定するための登録機関コードの送信要求を出力する医療機関コード送信要求手段を含み、該医療機関コード送信要求手段によって要求された医療機関の登録機関コードが携帯装置から出力されてきた場合に該登録機関コードで特定される医療機関に対し携帯装置のＩＤコードを送信し、かつ、当該ＩＤコードに相当するユーザに関する情報が医療機関から送信されてきた場合に該ユーザに関する情報を受信する。
【００２０】
好ましくは、端末装置は、携帯装置に対し登録手続きが行われている金融機関を特定するための登録機関コードの送信要求を出力する金融機関コード送信要求手段を含み、該金融機関コード送信要求手段によって要求された金融機関の登録機関コードが携帯装置から出力されてきた場合に該登録機関コードで特定される金融機関に対し携帯装置のＩＤコードを送信し、かつ、当該ＩＤコードに相当するユーザに関する情報が金融機関から送信されてきた場合に該ユーザに関する情報を受信する。
【００２１】
好ましくは、患者に投薬される薬に付されて該薬の種類を特定可能な投薬識別情報を読取る投薬識別情報読取手段と、該投薬識別情報読取手段が読取った投薬識別情報に基づいて投薬される患者に当該薬を投薬してよいか否かを判定する投薬適否判定手段と、該投薬適否判定手段が投薬すべきでないと判定した場合に警告を発生する警告発生手段とをさらに含み、データベースは、ＩＤコードに対応させて当該ＩＤコードに相当する患者に投薬すべき薬の種類を特定可能な投薬識別情報をさらに格納しており、投薬適否判定手段は、投薬される患者が所有する携帯装置から読取られたＩＤコードに基づいてデータベースを検索して割出された投薬識別情報と投薬識別情報読取手段が読取った投薬識別情報が一致するか否かにより投薬の適否を判定することを特徴とする。
【００２２】
好ましくは、建造物の出入口の通過を許容して良いか否かを判定する通過許容判定手段をさらに含み、該通過許容判定手段は、通過を許容すべきでないＩＤコードを予め登録しておく通行禁止ＩＤ登録手段と、出入り口の通過を希望するユーザが所有する携帯装置に記憶されているＩＤコードを読取るＩＤコード読取り手段と、該ＩＤコード読取り手段により読取られたＩＤコードが通行禁止ＩＤ登録手段に登録されているＩＤコードの中に一致するものがあるか否かを判定する一致判定手段と、該一致判定手段により一致しないとの判定がなされたことを条件として出入口の開放を許容する制御を行う開放許容制御手段とを含むことを特徴とする。
【００２３】
好ましくは、ユーザを援助するためのユーザエージェントを格納する手段であって、ＩＤコードに基づいて該ＩＤコードに相当するユーザエージェントを割出すことができるように格納しているユーザエージェント格納手段と、送信されてきたＩＤコードに該当するユーザエージェントをユーザエージェント格納手段に格納されている複数のユーザエージェントの中から割出し、該割出されたユーザエージェントに対し所定の仕事の依頼を行う仕事依頼手段とをさらに含むことを特徴とする。
【００２４】
好ましくは、ユーザエージェントは、ユーザが実行しようとしている行動を許容して良いか否かを判定する実行許容判定機能を備えていることを特徴とする。
【００２５】
好ましくは、ユーザエージェントは、ユーザに関する所定の情報を知識として有しており、仕事依頼手段から仕事の依頼を受けた場合に、ユーザが実行しようとしている行動に必要な当該ユーザに関する情報を知識の中から選び出して該情報を使用するための処理を行うことを特徴とする。
【００２６】
好ましくは、ユーザエージェントは、ユーザの行動履歴データを記憶しており、該行動履歴データの閲覧要求があった場合に、閲覧を許容して良いか否かを判断し、閲覧を許容して良いと判断した場合に該行動履歴データを出力させる機能を有することを特徴とする。
【００２７】
好ましくは、データベースに格納されたユーザに関する情報に対するアクセスがあった場合に、アクセス対象となったユーザに関する情報とアクセスした者を特定するためのアクセス者特定情報とアクセスした時期を特定するための時期特定情報とを含むアクセス履歴データを記憶するアクセス履歴データ記憶手段と、ユーザから自己に関する情報のアクセス履歴データの閲覧要求があった場合に、当該ユーザの所有する携帯装置に記憶されているＩＤコードに基づいて該当するユーザのアクセス履歴データをアクセス履歴データ記憶手段の記憶データから割出す割出手段と、該割出手段により割出されたアクセス履歴データをユーザに提示するアクセス履歴データ提示手段とをさらに含むことを特徴とする。
【００２８】
【発明の実施の形態】
以下、図面を参照しつつ、本発明の実施の形態について説明する。以下の説明では、同一の部品には同一の符号を付してある。それらの名称および機能も同じである。したがってそれらについての詳細な説明は繰返さない。
【００２９】
［第１の実施の形態］
図１は、ブロードバンドを利用したネットワークシステムを示し、ユーザ情報利用システムの全体の概略を示す構成図である。図１を参照して、広域・大容量中継網２０を通じて、電子行政群２、金融機関群３、病院群４、ショッピングストア群５、ユーザ宅６、コンテンツプロバイダ群７、携帯電話網２３に接続されたゲートウェイ２２、インターネット２１等が、情報の送受信ができるように構成されている。なお、図中３０は衛星（サテライト）であり、放送局３１からの放送電波を中継して受信局３２に電波を送るためのものである。
【００３０】
電子行政群２は、たとえば市役所や税務署あるいは中央官庁等であり、行政サービスを提供する。医療機関群４は、医療に関するサービスを提供する病院、薬局などである。ショッピングストア群とは、消費者のショッピング等の消費行動に伴うサービスを提供する。ショッピングストア群は、実在するマーケットの他に、コンピュータにより実現される仮想的なショップの電子モールであってもよい。ユーザ宅６は、後述する携帯端末を所有するユーザの自宅である。コンテンツプロバイダ群５１とは、映像、文字、音等の種々のコンテンツをネットワークを通じて提供する業者群のことである。
【００３１】
携帯電話網２３に接続されている基地局２４に対し、携帯電話１１の電波が送信され、基地局２４，携帯電話網２３，ゲートウェイ２２，広域・大容量中継網２０を介して、電子行政群２、金融機関群３、医療機関群４、ショッピングストア群５、自宅６、コンテンツプロバイダ群７等にアクセスできるように構成されている。またユーザの自家用車８、公営の有料バス９、救急車１０にも携帯電話１１と同様の通信装置が装備されており、基地局２４，携帯電話網２３，ゲートウェイ２２，広域・大容量中継網２０を介して、各種機関にアクセスできるように構成されている。
【００３２】
なお、図１中二重線で示した部分は、無線ＬＡＮ，ＣＡＴＶ，ｘＤＳＬ（ｄｉｇｉｔａｌ　ｓｕｂｓｃｒｉｂｅｒ　ｌｉｎｅ），ＦＴＴＨ（ｆｉｂｅｒ　ｔｏ　ｔｈｅ　ｈｏｍｅ）などである。
【００３３】
電子行政群２、金融機関群３、医療機関群４、ショッピングストア群５、自宅６、コンテンツプロバイダ群７等には、コンピュータで構成されるサーバ装置が設置されている。ユーザが、各種機関でサービスの提供を受けるときに、各種機関では個人情報を利用してサービスを提供する。
【００３４】
次に、電子行政群２、金融機関群３、医療機関群４、ショッピングストア群５、自宅６、コンテンツプロバイダ群７についてより詳細に説明する。これらの機関における機器構成は基本的に同じなので、電子行政群２および医療機関群４を例に説明する。
【００３５】
本実施の形態におけるユーザ情報利用システムでは、電子行政群２において、ユーザに対して、装置同士で異なったＩＤコードを記憶した携帯装置が発行される。この携帯装置は、指輪を主としているが、その他ネックレス、イヤリング、ブレスレット、メガネ、ベルトなどのユーザの身体に常時装着される形態であれば、いかなる形態であってもよく、ユーザが希望する形態の携帯装置が発行される。
【００３６】
一方、上記各種機関においては、顧客管理、または、ユーザ毎にサービスに関する情報を管理する目的で、ユーザに関する個人情報を管理する。この個人情報を識別するためのコードとして、携帯装置に記憶されたＩＤコードが利用される。すなわち、ユーザがある機関でサービスの提供を受ける際に、その機関に設置されたサーバ装置において、そのユーザが所有する携帯装置からＩＤコードが読込まれ、読込まれたＩＤコードとそのユーザの個人情報とを関連付けて記憶する登録手続きが実行される。この登録手続きが一旦実行されれば、その登録機関では、ＩＤコードをキーにしてユーザの個人情報を抽出することが可能となる。また、ユーザが登録手続きを行った機関で、次にサービスの提供を受ける際には、携帯端末に記憶されたＩＤコードを読取るだけで、その機関においてそのユーザの個人情報を即座に抽出することができ、サービスを円滑に提供することができる。
【００３７】
図２（ａ）は、図１に示した電子行政群２の一例を示している。市役所２内には、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）２２１が構築されており、サーバ装置２１０、端末装置２００、データベース２１１，２２０が情報のやり取りができるように接続されている。
【００３８】
端末装置２００は、パーソナルコンピュータ等で構成され、ディスプレイ２０３と、スキャナ２０１と、所員ＩＤ読取装置２０４とが接続されている。ディスプレイ２０３は、液晶表示装置、陰極線管（ＣＲＴ）等の表示装置である。
【００３９】
所員ＩＤ読取装置２０４は、端末装置２００を使用する所員を特定するための装置である。端末装置２００を使用する場合には、使用している間、その所員に予め与えられたＩＤカード２０５を所員ＩＤ読取装置２０４に挿入していることが要求される。したがって、端末装置２００は、所員ＩＤ読取装置２０４に挿入されたＩＤカードを読取り可能な間だけ動作可能またはサーバ装置２１０の端末として機能可能となり、ＩＤカードが所員ＩＤ読取装置２０４から抜き取られた時点で動作しなくなるか、またはサーバ装置２１０の端末として機能しなくなる。また、端末装置２００は、所員ＩＤ読取装置２０４で読取られた所員ＩＤに基づき、端末装置２００を使用する所員を検出し、サーバ装置２１０に対して誰が端末装置２００を使用しているのかを示すために所員ＩＤをサーバ装置２１０に送信する。これにより、サーバ装置２１０では、サーバ装置２１０で実行される処理が誰により指示されたものであるかを検出することが可能となり、さらに、いつ、誰が、どのような処理を実行したのかの履歴を記録するためのログを作成して記録しておくことが可能となる。
【００４０】
スキャナ２０１は、後述する携帯装置１と通信することにより、携帯装置１からＩＤコードを受信する。そして、受信したＩＤコードがパーソナルコンピュータ２０２に送信される。
【００４１】
データベース２１１には、ＩＤコードと、個人情報と、ログ履歴データとが記憶される。ここでは、個人情報には、顔写真データ、ユーザの氏名、住所等が含まれるが、個人情報はこれに限定されず、サービス提供に関わる個人に特有の情報を含めることが可能である。ユーザの個人情報は、携帯装置に記憶されたＩＤコードと関連付けられて記憶される。この個人情報とＩＤコードとは、上述したように、ユーザが携帯端末の発行を要求して、市役所から携帯端末が発行された時点で登録手続きが実行されることにより関連付けられる。ログ履歴データは、個人情報が、誰にいつ利用されたのかを特定するために、個人情報を利用した者の所員ＩＤと個人データへのアクセス時期とを含む。この所員ＩＤは、上述した所員ＩＤ読取装置２０４でＩＤカードから読取られた所員ＩＤに基づき定められる。
【００４２】
このようにユーザ情報利用システムでは、端末装置２００に情報を記憶することなく、必要な情報はすべてデータベース２１１に記憶する。このため、端末装置２００は、ハードディスク等の記憶装置を設ける必要はない。端末装置２００に記憶装置を設けないことにより、データベース２１１で集中してデータを管理することができるとともに、端末装置２００でデータを記憶する場合に生じるデータの改算などの不正を防止することができる。また、端末装置２００を、ＷＢＴ（Ｗｉｎｄｏｗｓ（Ｒ）　Ｂａｓｅｄ　Ｔｅｒｍｉｎａｌ）として用いることができる。
【００４３】
図２（ｂ）に、利用履歴データ２２０に記憶されるデータの一例を示す。利用履歴データは、所員ＩＤと、利用アプリケーションと、ログ日時とを含む。所員ＩＤは、上述した所員ＩＤ読取装置２０４でＩＤカードから読取られた所員ＩＤに基づき定められる。利用アプリケーションは、サーバ装置２１０で実行されるアプリケーションプログラムを示す。ログ日時は、所員ＩＤで特定される者によって、利用アプリケーションで特定されるアプリケーションプログラムが実行された日時を示す。したがって、利用履歴データをデータベース２１１に記憶されるログ履歴データと対応させることにより、どの所員が（だれが）、いつ、どの個人データを、何に（利用アプリケーション）利用したのかの履歴を後で閲覧することが可能である。利用履歴データとログ履歴データとの対応付けは、所員ＩＤと日時とを対比することで可能となる。また、どの所員が利用したかは所員ＩＤにより特定され、いつ利用したかはログ履歴データの日時または利用履歴データのログ日時で特定され、どの個人データが利用されたかはＩＤコードで特定され、何に利用したかは利用アプリケーションで特定される。
【００４４】
図３（ａ）は、図１に示した医療機関群４の一例を示している。病院４内には、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）２２１が構築されており、サーバ装置２１０、端末装置２００、データベース２１１，２２０が情報のやり取りができるように接続されている。図２（ａ）に示した市役所２とは、端末装置２００Ａが追加された点と、データベース２１１Ａの個人データの内容が異なる。
【００４５】
データベース２１１Ａには、ＩＤコードと、個人情報と、ログ履歴データとが含まれる。ここでは、個人情報には、顔写真データ、ユーザの氏名、住所、カルテデータ、投薬データが含まれる。カルテデータは、医師により作成され、その個人の病症、治療履歴、処方等を記録するためのデータである。投薬データは、これから投与するための薬の種類、量と投薬コードとを含む。投薬コードは、医師の処方の結果、薬の種類、量などが端末装置２００Ａから入力された後に付与される。投薬コードは、バーコードに変換されてプリンタで印刷出力され、出力されたバーコード等が投与するべき薬に貼付される。
【００４６】
ユーザの個人情報は、携帯装置１に記憶されたＩＤコードと関連付けられて記憶される。この個人情報とＩＤコードとは、上述したように、ユーザが病院に出向き、診察を受ける等医療サービスの提供を受ける際に登録処理が実行されることにより関連付けられる。登録処理は、携帯装置１に記憶されたＩＤコードがスキャナ２０１で読取られる。そして、端末装置２００Ａで、個人情報の一部、たとえば氏名、住所等が入力され、読取られたＩＤコードとともに端末装置２００Ａからサーバ装置２１０に送信される。サーバ装置２１０では、受信したＩＤコードと個人情報とを関連付けてデータベース２１１Ａに記憶する。これにより、登録処理が完了する。このように、病院４における登録手続きにおいては、ユーザが所有する携帯装置１に記憶されたＩＤコードを読み取ることが必要となる。このため、ユーザが登録を希望する場合にのみ登録が行われる。登録を希望しない場合には、携帯装置１に記憶されたＩＤコードを読取らせないようにすればよい。すなわち、携帯装置１のＩＤコードと個人情報との関連付けは、ユーザ側の意志に委ねられる。したがって、携帯装置１のＩＤコードと個人情報との関連付けを許可する機関をユーザ側が選択することができる。
【００４７】
ここにいう「ユーザ側」とは、ユーザ本人のみに限定されるものではなく、ユーザの家族や親族等のようなユーザと血縁関係を有する者、ユーザの後見人等を含む概念である。たとえば、ユーザが高齢で痴呆症等を患っており、自己の意思を明確に示すことができないときには、前述した血縁関係者や後見人がユーザに代わって登録手続きを行う意思表示を行う。
【００４８】
端末装置２００Ａは、スキャナ２０１と端末装置２００Ａとの機能を１つにした携帯型のスキャナである。また、携帯型ゆえに有線でサーバ装置２１０と接続されるのではなく、ＬＡＮ２２１に接続された通信装置２０６と無線通信することにより、ＬＡＮ２２１を介してサーバ装置２１０と接続される。また、端末装置２００Ａは、バーコード読取り装置が接続されており、投薬する薬に貼付されたバーコード等を読取ることが可能である。
【００４９】
携帯型の端末装置２００Ａは、たとえば看護師に携帯され、患者の身体に装着された携帯装置１からＩＤコードを読出し、サーバ装置２１０からその患者の個人情報を受信して表示出力する。これにより、看護師は、その患者の病状、処方を知ることができる。また、看護師が投薬する際に、薬に貼付されたバーコード等を端末装置２００Ａで読取ることにより、サーバ装置２１０から受信した個人データの投薬データに含まれる投薬コードと比較され、投与しようとしている薬が真にその患者に投与すべき薬であるか否かが判定される。これにより、看護師が誤ってその患者に投与するべきでない薬を投与してしまうといったミスを防止することができる。
【００５０】
図４は、携帯装置１の機能の概略を示すブロック図である。図４を参照して、携帯装置１は、指輪の形状をしており、ユーザの身体に装着しやすい形状となっている。以下、携帯装置１をＩＤリング１という。ＩＤリング１は、入浴や就眠時も常時身につけることを原則とし、このことにより紛失や盗難を防ぐことができる。また、ＩＤリング１は、ＩＤリング１の全体を制御するためのロジック１００と、暗号化されたＩＤコードを記憶するための読出し専用メモリ（ＲＯＭ：Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）１０１と、ロジック１００で実行する際に必要なランダムアクセスメモリ（ＲＡＭ：Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）１０２と、電気消去可能プログラマブル読出し専用メモリー（ＥＥＰＲＯＭ：ｅｌｅｃｔｒｉｃａｌｌｙ　ｅｒａｓａｂｌｅ　ｐｒｏｇｒａｍｍａｂｌｅ　ｒｅａｄ−ｏｎｌｙ　ｍｅｍｏｒｙ）１０３と、電源に用いられる電波を受信し、信号を送受信するためのループアンテナ１０７と、受信された電源に用いられる電波から電力を発生するための電源制御部１０６と、受信した信号を復調し、送信するための信号を変調するための変調・復調部１０５と、変調・復調部１０５への信号の入出力を制御するための入出力制御部１０４とを含む。ロジック１００、ＲＯＭ１０１、ＲＡＭ１０２、ＥＥＰＲＯＭ１０３、入出力制御部１０４は、それぞれデータバス１０８によって接続されている。
【００５１】
ロジック１００は、ＲＯＭ１０１、ＲＡＭ１０２、ＥＥＰＲＯＭ１０３、入出力制御部１０４を制御して、後述する各種処理を実行する。
【００５２】
ＲＯＭ１０１は、ＩＤリング１に付され、他のＩＤリングと識別するためのＩＤコードとを記憶する。ＩＤコードは、ＩＤリング１が製造される段階、または、ユーザに発行される前の段階で記録され、その後消去されることはない。
【００５３】
ＥＥＰＲＯＭ１０３は、情報の書換えが不可能な書換え不能領域と、書換えが可能な書換え可能領域とを含む。書換え不能領域は、登録機関コードと、登録日とが記憶される。登録機関コードは、ユーザ側がＩＤリング１のＩＤコードと個人情報との関連付けを希望して、上述した登録手続きを実行した機関のコードをいう。なお、ＥＥＰＲＯＭ１０３のみによってＲＯＭ１０１およびＲＡＭ１０２の代替も可能である。したがって、上述した登録手続きが実行された段階で、登録手続きを実行した機関のコード（登録機関コード）がサーバ装置２１０に接続された端末装置２００Ａから受信され、その日の日付とともにＥＥＰＲＯＭ１０３の書換え不能領域に記憶される。たとえば、病院４で、２００２年９月１日に登録手続きを実行した場合には、病院４の登録機関コード（たとえば「ＡＡＡ」）と登録日として２００２年９月１日が書換え不能領域に記憶されることになる。この書換え不能領域へは、登録機関の登録機関コードと登録日とを複数記憶することが可能であり、本実施の形態においては９個の機関の登録機関コードを記憶可能としている。したがって、ユーザは、複数の機関において登録手続きを実行することが可能である。
【００５４】
なお、ＥＥＰＲＯＭ１０３の書換え不能領域は、登録機関コードや登録日時を一旦記憶さした後においては、その記憶領域のデータの書換えを禁止するプログラムがＲＯＭ１０１に記憶されており、この禁止プログラムによって書換え不能となる。
【００５５】
書換え可能領域には、たとえば、エコマネー、ポイントを記憶することが可能である。エコマネーとは、様々なコミュニティ内で現金の代わりに使用される通貨である。たとえば、福祉の分野において、ある人が他人に施した奉仕に対して受け取ることができ、次にその人が奉仕を受ける場合に報酬として支払うことが可能な通貨が挙げられる。ポイントは、登録機関ごとに提供されるサービスに対して与えられるポイントであり、累積されたポイント数に応じて種々の特典が与えられる、いわゆるポイントサービスに用いられる。たとえば、ショッピングストア５を登録機関として登録した場合に、そのショッピングストア５で購入した商品の代金に応じてポイントが与えられ、与えられたポイントが書換え可能領域に記憶される。そして、累積されたポイントを利用して、他の商品を購入するなどの特典を受けることができる。
【００５６】
書換え可能領域に記憶される情報は、登録機関により提供されるサービスに関連する情報を記憶することができる。上述の例では、エコマネーは、市役所により提供されるサービスに関連する情報であり、ポイントは、ショッピングストア５により提供されるサービスに関連する情報である。また、登録機関が金融機関群３の場合には電子マネーとすることができる。
【００５７】
入出力制御部１０４は、ＣＰＵ１００により制御され、変調・復調部１０５およびループアンテナ１０７を介して情報を送受信する。これにより、ＩＤリング１は、スキャナ２０１と無線による通信が可能である。ＩＤリング１とスキャナ２０１との間の通信は、非接触型のＩＣカードを用いた場合の通信と同様の技術が用いられる。したがって、ここではその詳細な説明は繰返さない。
【００５８】
次に、ＩＤコードの暗号化について説明する。ＩＤコードの暗号化には、ＳＸＡＬ／ＭＢＡＬが用いられる。図５は、ＳＸＡＬ／ＭＢＡＬの概要を示す説明図である。図示の例では、平文データである２０バイトの可変長データを８バイト（６４ビット）の暗号鍵Ｋを用いて暗号化して２０バイトの可変長暗号列を求める。図中、Ｐ，Ｅ，Ｆ，Ｇ，Ｈ，Ｉ，Ｃは各変換過程におけるデータであり、その添字はバイト数を表わしている。また、ｆｍは暗号関数である。
【００５９】
図５を参照して、まず、可変長データＰの左端の８バイトと拡大鍵ＫＯとの排他的論理和（イクスクルーシブオア）を判定し、判定結果を関数ｆｍによりデータ変換する。次に両端の各４バイトを合せてＳＸＡＬによりデータ変換し、残りはそのままとする。続いてデータの順番を逆にし、暗号関数ｆｍによりデータ変換した後、データの順番を逆にする。これを暗号関数ｆｍによりデータ変換し、変換後のデータの左端の８バイトと拡大鍵ＫＩとの排他的論理和（イクスクルーシブオア）を判定し、暗号化された可変長暗号列Ｃを求める。
【００６０】
本実施の形態では、暗号アルゴリズムが、１６バイト以上のデータまたはファイルを１単位として暗号化するためメガバイト級の大容量毎の暗号化が可能な点、前述のように双方向のデータ入換えを複数回実施して暗号化するから解読が著しく困難となる点、および情報伝達形態において１ビット程度のビット化けやデータ改ざんに遭遇した場合にすべての情報の正常復号が不可能となる点に着目して、これを大容量情報の高速伝達を行なう場合のセキュリティ確保に用いるようにしたものである。特に、１ビット程度のビット化けやデータ改ざんに遭遇した場合、ＤＥＳ型の暗号アルゴリズムでは、復号の際にビット化けや改ざん部分の近辺またはその部分以外のみが正常に復号されないため、受信側での異常感知が著しく困難となる。これに対し、ＳＸＡＬ／ＭＢＡＬでは、すべての部分が異常情報に変わるためその感知が極めて容易であり、通信中の場合は再送要求、ファイルの場合は保管中のバックアップファイルを使用するなど、迅速な対応が可能となる。
【００６１】
次に、ＩＤリング１の発行を受けたユーザが、市役所で行政サービスを受ける場合を例に、各装置で実行される処理を具体的に説明する。ここでは、ユーザが指輪の形状をしたＩＤリング１の発行を希望した場合について説明する。
【００６２】
図６は、本実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第１のフローチャートである。ＩＤリング１の発行を受けたユーザが、市役所２に出向き、ある行政サービスを受けようとした場合、ユーザが市役所のサービス窓口に行くと、窓口に設置された端末装置２００のスキャナ２０１からＩＤリング１に対して、登録機関コードが送信される（Ｓ２０１）。すなわち、端末装置２００では、ＩＤリング１から暗号化されたＩＤコードがスキャナ２０１で受信されるまで（Ｓ２０２でＹＥＳの判断がされるまで）、スキャナ２０１から登録機関コードを電波で発信している。ここで発信される登録機関コードは、市役所に付されたコードである。したがって、このスキャナ２０１が発信する登録機関コードから、これからサービスの提供を受ける機関が市役所であることを判定することが可能となる。
【００６３】
ＩＤリングでは、スキャナ２０１から登録機関コードが受信されるまで待機状態となっており（Ｓ１０１でＮＯ）、登録機関コードの受信に応じて（Ｓ１０２でＹＥＳ）ステップＳ１０２の処理に移る。ステップＳ１０２では、受信した登録機関コードが、ＥＥＰＲＯＭ１０３の書換え不能領域に記憶されているか否かが判断され、記憶されている場合にはステップＳ１０３に進み、記憶されていない場合にはステップＳ１０１に戻る。すなわち、ユーザがこれからサービスの提供を受けようとしている機関が、ＩＤリング１のＩＤコードと個人情報とを関連付ける登録手続きを既に実行した機関であるか否かが判断される。登録手続きを実行した機関である場合には、ＩＤコードと個人情報とが既にリンクされているので、以下に説明する個人情報に基づいてサービスの提供を受けることができる。登録手続きを実行していない場合には、個人情報を利用することができないため、新たに登録手続きを実行するか、または、個人情報を利用することなくサービスの提供を受けることになる。
【００６４】
ＩＤリング１が受信した登録機関コードが、ＥＥＰＲＯＭ１０３に記憶されているとされた場合には、ＩＤリング１は、ＲＯＭ１０１に記憶されたＩＤコードを暗号化された状態でスキャナ２０１に送信する（Ｓ１０３）。
【００６５】
端末装置２００は、ＩＤリング１から暗号化されたＩＤコードを受信すると（ステップＳ２０２でＹＥＳ）、暗号化されたＩＤコードを、復号鍵Ｋを用いて復号する（Ｓ２０３）。以下、復号鍵Ｋを用いた復号を記号Ｄｋで示す。そして、サーバ装置２１０にログインする（Ｓ２０４）。復号鍵Ｋは、予め定められており、秘密の状態で管理される。
【００６６】
サーバ装置２１０では、登録されたスキャナからのログインがあったか否かが判断され（Ｓ３０１）、ログインありと判断された場合（Ｓ３０１でＹＥＳ）はステップＳ３０２に進み、そうでない場合は待機状態となる（Ｓ３０１でＮＯ）。サーバ装置２１０では、そのサーバにログインを許可する端末装置２００が予め定め登録されており、この予め登録された端末装置からのログインだけを許容する。なお、登録された端末装置２００からのログインがあった場合に、割り込みを発生させ、以下の処理を実行するようにしてもよい。
【００６７】
サーバ装置２１０は、ステップＳ３０２で乱数等を利用してセッションキーＳｋを生成し、端末装置２００に生成したセッションキーＳｋを送信する（Ｓ３０３）。セッションキーＳｋは、暗号鍵であり、セッションキーＳｋを受信した端末装置２００との間で、その後送受信される情報は、すべてこのセッションキーＳｋで暗号化される。暗号化のアルゴリズムには、上述したＳＸＡＬ／ＭＢＡＬを用いることができるが、ＳＸＡＬ／ＭＢＡＬに限らずＤＥＳ等の一般的な秘密鍵暗号化方式を用いてもよい。このように、セッションキーＳｋは、サーバ装置２１０と端末装置２００との間でだけ有効な暗号鍵となるため、第三者に送受信する信号を傍受されたとしても、その第三者はセッションキーＳｋを知らないため傍受された信号を復号することができない。したがって、サーバ装置２１０と端末装置２００との間で、送受信する情報を秘密の状態にして通信を行うことができる。これにより、ＶＰＮ（Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋ）が可能となる。
【００６８】
端末装置２００では、セッションキーＳｋを受信するまで待機状態となり（Ｓ２０５でＮＯ）、受信に応じて（Ｓ２０５でＹＥＳ）Ｓ２０６に進む。Ｓ２０６では、復号化されたＩＤコードをセッションキーＳｋで暗号化する。以下、暗号鍵Ｓｋを用いた暗号を記号ＥＳｋで示す。そして、暗号化されたＩＤコードをサーバ装置２１０に送信する（Ｓ２０７）。
【００６９】
サーバ装置２１０では、ＩＤコードを受信するまで待機状態となり（Ｓ３０４でＮＯ）、受信に応じて（Ｓ３０４でＹＥＳ）ステップＳ３０５に進む。ステップＳ３０５では、セッションキーＳｋで暗号化されたＩＤコードを、セッションキーＳｋで復号化する（Ｓ３０５）。そして、データベース２１１を復号化されたＩＤコードを用いて検索し（Ｓ３０６）、該当する個人データが抽出されれば、検索により抽出された個人データ（検索データ）を端末装置２００に送信する（Ｓ３０７）。このとき送信される検索データは、セッションキーＳｋで暗号化されたデータである。
【００７０】
端末装置２００では、サーバ装置２１０から検索データを受信するまで待機状態となり（ステップＳ２０８でＮＯ）、受信に応じて（Ｓ２０８でＹＥＳ）ステップＳ２０９に進む。ステップＳ２０９では、受信した検索データをセッションキーＳｋで復号し、復号された検索データを端末装置２００のディスプレイ２０３に表示する（Ｓ２１０）。これにより、窓口の所員は、窓口を訪ねてきた人が誰であるかを瞬時に認識することができる。また、ユーザは、窓口で氏名を発生することもなく、また、必要な個人情報を提供する必要もなく、窓口の所員に自分が誰であるかを認識してもらうことができる。
【００７１】
そして、端末装置２００で、ユーザが望むサービスを提供するためにアプリケーションソフトウエアが起動され、所定の処理が実行される（Ｓ２１１）。ユーザが望むサービスとは、市役所が提供するサービスであり、たとえば、戸籍謄本の発行、戸籍の変更、住所の変更等種々のサービスである。そして、提供されたサービスの結果発生する処置結果（たとえば、住民票を発行した事実）がセッションキーＳｋで暗号化されてサーバ装置２１０に送信される（Ｓ２１２）。なお、サービスの提供に関わるアプリケーションソフトウエアを端末装置で実行するようにしたが、サーバ装置２１０で実行するようにしてもよい。
【００７２】
サーバ装置２１０では、端末装置２００から処置結果を受信するまで待機状態となっており（Ｓ３０８でＮＯ）、受信に応じて（Ｓ３０８でＹＥＳ）ステップＳ３０９に進む。ステップＳ３０９では、受信した処置結果をセッションキーＳｋで復号する。そして、復号された処置結果に基づき、データベース２１１のログ履歴データおよび利用履歴データ２２０に書き込む（Ｓ３１０）。
【００７３】
一方、ＩＤリング１では、登録機関コードの送信要求があったか否かが判断される（Ｓ１０４）。送信要求があった場合にはステップＳ１０６に進み、ない場合にはステップＳ１０５に進む。ステップＳ１０５では、所定時間の待機状態となり、所定時間経過した場合にはステップＳ１０１に戻る。端末装置２００は、登録機関コードを必要とする場合と、そうでない場合とがあり、必要とする場合にのみ登録機関コードの送信要求を送信する。したがって、所定時間経過してもなお登録機関コードの送信要求がない場合には、端末装置２００からは登録機関コードの送信要求が送信されないものと判断する。ステップＳ１０６では、要求された登録機関コードをＥＥＰＲＯＭ１０３から読出して、端末装置２００に送信する。登録機関コードの送信要求には、いずれの種類の登録機関コードの送信を要求するかの信号が含まれており、ＩＤリング１は、ＥＥＰＲＯＭ１０３に記憶されている登録機関コードのうちから、該当する登録機関コードを選択して送信する。
【００７４】
次に、本実施の形態におけるユーザ情報利用システムにおいて救急車で実行される処理について説明する。この場合、救急車には、端末装置２００と、スキャナ２０１とが搭載される。また、端末装置２００には、携帯電話１１と同様の通信装置が接続されており、端末装置は、基地局２４，携帯電話網２３，ゲートウェイ２２，広域・大容量中継網２０を介して医療機関群４と通信することが可能となっている。
【００７５】
救急車で病人が搬送される場合には、病人に意識がなかったり、言葉を発する状態になかったり、気が動転して明確に話せなかったりして、病人から情報を取得するのは困難な場合がある。本実施の形態におけるユーザ情報利用システムにおいては、救急車に搭載された端末装置２００で、病人が身体に装着しているＩＤリング１からＩＤコードを受信し、その病人の個人データ、特にその病人が登録手続きを行っている病院４に記憶されている個人データを取得することを可能としている。
【００７６】
図７は、本実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第２のフローチャートである。図７を参照して、救急車１０に搭載された端末装置２００では、救急車１０で搬送される病人のＩＤリング１からＩＤコードを受信するＩＤコード受信処理が実行される（Ｓ２２１）。このＩＤコード受信処理では、図６のステップＳ２０１〜Ｓ２０３と同様の処理が実行される。したがって、ここでは説明を繰返さない。一方、病人が身体に装着したＩＤリング１では、ＩＤコードを端末装置２００に送信するＩＤコード送信処理が実行される（Ｓ１１０）。このＩＤコード送信処理は、図６のステップＳ１０１〜Ｓ１０３と同様の処理が実行される。したがって、ここでは説明を繰返さない。
【００７７】
端末装置２００は、病院の登録機関コードの送信要求をＩＤリングに送信する（Ｓ２２２）。病人の個人情報をその病人が登録手続きを行った病院から取得するために、そのような病院を特定するためである。
【００７８】
一方、ＩＤリング１では、登録機関コードの送信要求があったか否かが判断される（Ｓ１１１）。送信要求があった場合にはステップＳ１１３に進み、ない場合にはステップＳ１１２に進む。ステップＳ１１２では、所定時間の待機状態となり、所定時間経過した場合にはステップＳ１０１に戻る。ステップＳ１１３では、要求された病院の登録機関コードをＥＥＰＲＯＭ１０３から読出して、端末装置２００に送信する。
【００７９】
端末装置２００では、病院の登録機関コードを受信したか否かが判断される（Ｓ２２３）。受信したと判断された場合にはステップＳ２２４に進み、そうでない場合には受信するまで待機状態となる。病院の登録機関コードを受信した場合には、受信した登録機関コードに相当する病院４のサーバ装置２１０にログインする。この場合、救急車１０に搭載された端末装置２００は、病院４のサーバ装置２１０へのログインが許容されるために、サーバ装置２１０に登録されている。したがって、救急車１０に搭載された端末装置２００は、病院４のサーバ装置２１０にログインすることが可能である。また、端末装置２００は、登録機関コードと、病院４のサーバ装置２１０へのログインに必要な情報、たとえばネットワークアドレスを予め記憶している。
【００８０】
以降、端末装置２００で実行されるステップＳ２２５〜Ｓ２３２の処理は、図６のステップＳ２０５〜Ｓ２１２の処理にそれぞれ対応する同様の処理である。したがって説明は繰返さない。
【００８１】
病院４のサーバ装置２１０で実行される処理は、図６のステップＳ３０１〜Ｓ３１０に示したサーバ装置２１０の処理と同様の処理が実行される。このため、病院４のサーバ装置２１０では、受信したＩＤコードに該当する個人データ、カルテデータ、投薬データなどを検索して、救急車１０の端末装置２００に送信する。
【００８２】
以上説明したように、本実施の形態におけるユーザ情報利用システムにおいては、救急車１０に搭載された端末装置２００で、搬送する病人のＩＤリング１からＩＤコードと、病院の登録機関コードが受信される。そして、受信された病院の登録機関コードに相当する病院４のサーバ装置２１０にログインして、病人のＩＤコードを送信した後、その病人の個人情報、たとえば、カルテデータ、投薬データが受信され、ディスプレイ２０３に表示される。このため、救急車１０内で病人に対して応急処置を施す際に、その病人の持病、現在の健康状態、服用可能な薬、服用できない薬などの具体的な情報を得ることができるので、適切な処置を施すことができる。また、救急車１０内で施された処置の内容は、病院４のサーバ装置２１０に送信され、サーバ装置２１０のデータベース２１１に記録される。このため、その病院で次にその病人を診察する場合に、救急車内でどのような処置が施されたのかを知ることができる。
【００８３】
また、ここでは病院４の登録機関コードの送信を要求して、病院４のサーバ装置２１０に記録されている個人データを取得するようにしたが、市役所２の登録機関コードの送信を要求して、市役所２のサーバ装置２１０に記録されている個人データを取得するようにしてもよい。これにより、病人の身元を即座に確認することができ、病人の親族などに連絡することができる。また、病人の自宅６にサーバ装置２１０が設置されており、登録機関として登録されているような場合には、自宅６に設置されているサーバ装置２１０にログインして、病人に救急な事態が発生していることを報知するようにしてもよい。
【００８４】
次に、本実施の形態におけるユーザ情報利用システムにおいて病院で投薬や治療する場合に実行される処理について説明する。ここでは、ＩＤリング１と、図２に示した携帯型の端末装置２００Ａおよび病院４に設置されたサーバ装置２１０とを用いて説明する。なお、ＩＤリング１は、診察券の代用とすることもできる。看護師が患者に投薬や処置する場合、医師の指示に従って処方された薬を注射器、点滴などで投与や処置をする。一般的に、大規模の病院で入院患者に投薬する場合には、複数の患者の薬を１つのワゴンなどに搭載して、病室を巡回しつつ順に投与していく。本実施の形態におけるユーザ情報利用システムによれば、この投薬の際に、他人の薬と間違えて投与するのを防止することができる。また、手術や処置における患者取り違いミスを防ぐことができる。たとえば、医師が投与する薬を処方すると、その内容が投薬データとしてデータベース２１１Ａに記憶される。そして、投薬データに含まれるバーコード等がプリンタなどから出力され、投与するべき薬に出力されたバーコード等が貼付される。
【００８５】
看護師は、端末装置２００Ａを携帯しながらワゴンに薬を載せて投薬に向かう。そして、患者に投薬する前に、投薬しようとする薬に貼付されたバーコードをバーコード読取装置で読みとるとともに、その患者の身体に装着されたＩＤリング１からＩＤコードを受信する。すると、端末装置２００は、サーバ装置２１０にＩＤコードを送信した後、投薬データを受信する。受信した投薬データのバーコードと、読取ったバーコートとが比較され、一致しなかった場合に警報が発っせられる。
【００８６】
図８は、本実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第３のフローチャートである。なお、ＩＤリング１で実行される処理は、図６のステップＳ１０１〜Ｓ１０３で示した処理と同様であり、また、サーバ装置２１０で実行される処理は、図６のステップＳ３０１〜Ｓ３１０で示した処理と同様である。したがって、図８では、これらの記載を省略してある。
【００８７】
図８を参照して、端末装置２００Ａは、ＩＤコード受信処理（Ｓ２４１）を実行してＩＤリング１からＩＤコードを受信する。このＩＤコード受信処理では、図６のステップＳ２０１〜Ｓ２０３と同様の処理が実行される。したがって、ここでは説明を繰返さない。ステップＳ２４１で受信されるＩＤコードは、看護師がこれから投薬しようとする患者が身体に装着しているＩＤリング１のＩＤコードである。そして、ＩＤコード暗号化送信処理（Ｓ２４２）を実行して、セッションキーＳｋで暗号化したＩＤコードをサーバ装置２１０に送信する。このＩＤコード暗号化送信処理では、図６のステップＳ２０４〜Ｓ２０７と同様の処理が実行される。したがって、ここでは説明を繰返さない。
【００８８】
次に、サーバ装置２１０から検索データが受信されか否かが判断される（Ｓ２４３）。受信された場合にはステップＳ２４４に進み、そうでない場合には受信されるまで待機状態となる。ここで受信する検索データは、これから投薬しようとする患者の個人データであり、その個人データには投薬データが含まれる。また、投薬データには、薬に直接貼付されたバーコード等であらわされたデータが含まれている。
【００８９】
そして、受信した検索データをセッションキーＳｋで復号し（Ｓ２４４）、復号された検索データが端末装置２００Ａの表示部に表示される（Ｓ２４５）。看護師は、この表示された検索データ、特に投薬データを見て、これから投薬しようとする薬を判断することができる。ここで、第一回目のチェックが行われる。
【００９０】
そして、看護師が端末装置２００Ａに接続されたバーコード読取装置で投薬しようとする薬に貼付されたバーコードを読取るバーコード読取処理が実行される（Ｓ２４６）。読取られたバーコードデータは、ステップＳ２４３で受信された検索データに含まれるバーコードデータと比較され、両データが一致するか否かが判断される（Ｓ２４７）。そして、一致するとされた場合には、ステップＳ２４９に進み、一致しない場合にはステップＳ２４８に進む。ステップＳ２４７における判断は、医師が処方した薬と、これから投与しようとする実際の薬とが、一致するか否かを判断するもので、第２回目のチェックといえる。
【００９１】
ステップＳ２４８では、一致しないために警報を発生する。警報は、警報音を発生する、警告メッセージを表示する、または、音と表示で警告するのかは、いずれであっても良い。一方、ステップＳ２４９は、「ＯＫ」の文字を表示する。
【００９２】
このように、本実施の形態におけるユーザ情報利用システムにおいては、看護師が投薬する際に、実際に投与しようとする薬が医師の処方した薬と一致いているか否かを判定するようにしているので、看護師のミスにより異なる薬が投与されるのを防止することができる。
【００９３】
なお、図８に示した実施の形態では、実際に投与しようとする薬が医師の処方した薬と一致しているか否かの判断を端末装置２００Ａで行っているものを示したが、本発明はこれに限らず、たとえば、端末装置２００Ａが読取ったバーコードデータ等と患者（ユーザ）のＩＤリング１から読取ったＩＤコードとを病院４のサーバ装置２１０へ送信し、サーバ装置２１０で判断を行い、その判断結果を端末装置２００Ａに返信するようにしてもよい。
【００９４】
次に、老人が徘徊するのを防止するためにユーザ情報利用システムを利用する場合について説明する。この場合、自宅６に、サーバ装置２１０、端末装置２００が設置される。そして、自宅の出入口には、スキャナ２０１と電子ロック装置が設置される。この電子ロック装置は、サーバ装置２１０によりロック状態とアンロック状態とに切換制御される。この電子ロック装置は、デフォルトでロックの状態に維持される。したがって、出入口は、通常はロックされており、以下に説明する条件が成立した場合にアンロックの状態に切換えられる。
【００９５】
サーバ装置２１０のデータベース２１１には、個人情報として、出入口の通過を許容しないことを示すデータが予め記憶されている。したがって、ＩＤコードが得られれば、通過を許容しない人であることを判断することが可能である。
【００９６】
スキャナ２０１が、出入口に設置されるため、ＩＤリング１を装着した人が出入口に行くと、スキャナ２０１とＩＤリング１との間で通信が開始される。ＩＤリング１のＥＥＰＲＯＭ１０３の書換え不能領域に自宅の登録機関コードを記憶しておけば、ＩＤリング１からスキャナ２０１にＩＤコードが送信される。
【００９７】
図９は、本実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第４のフローチャートである。なお、ＩＤリング１で実行される処理は、図６のステップＳ１０１〜Ｓ１０３で示した処理と同様である。したがって、図９では記載を省略し、ここでは説明を繰返さない。
【００９８】
図９を参照して、端末装置２００は、ＩＤコード受信処理（Ｓ２５１）を実行してＩＤリング１からＩＤコードを受信する。このＩＤコード受信処理では、図６のステップＳ２０１〜Ｓ２０３と同様の処理が実行される。ステップＳ２５１で受信されるＩＤコードは、出入口に接近した人が身体に装着しているＩＤリング１のＩＤコードである。そして、ＩＤコードがＩＤリング１から受信されたか否かが判断される（Ｓ２５２）。ＩＤコードが受信された場合には、ステップＳ２５３に進み、そうでない場合にはステップＳ２５１に戻る。ＩＤコードが受信されない場合いは、電子ロック装置は何ら制御されないため、出入口を通過することはできないことになる。したがって、ＩＤコードを有していない場合、徘徊者が勝手にＩＤリング１を身体からはずした場合、などは、出入口はアンロックの状態に切り替わることはない。また、ＩＤリング１を装着している場合であっても、ＥＥＰＲＯＭの書換え不能領域に自宅の登録機関コードが登録されていない場合には、端末装置２００にＩＤコードが送信されないので、この場合にも出入口がアンロック状態に切り替わることはない。
【００９９】
ステップＳ２５３では、自宅６のサーバ装置２１０にログインする。サーバ装置２１０では、登録されたスキャナからのログインがあったか否かが判断される（Ｓ３５１）。端末装置２００のステップＳ２５３〜Ｓ２５６の処理は、図６のステップＳ２０４〜Ｓ２０７の処理にそれぞれ対応し、同様である。また、サーバ装置２１０のステップＳ３５１〜Ｓ３５５の処理は、図６のステップＳ３０１〜Ｓ３０５の処理にそれぞ対応し、同様である。したがって、これらについての説明は繰返さない。
【０１００】
サーバ装置２１０では、端末装置２００から、出入口に接近した人が装着しているＩＤリング１のＩＤコードが受信されると、データベース２１１に記憶されているＩＤコードに相当する個人データを抽出する。そして、抽出された個人データから通過が許容されいないか否かが判断される（Ｓ３５６）。通過が許容されていないと判断された場合にはステップＳ３５７をスキップしてステップＳ３５８に進み、そうでない場合にはステップＳ３５７に進む。
【０１０１】
ステップＳ３５７では、電子ロック装置をアンロック状態に切換える制御を行う出入口開放処理が実行される（Ｓ３５７）。これにより、出入口を通過することができる。したがって、サーバ装置２１０のデータベース２１１に通過を許容されていないと記憶されていない人のみが出入口を通過することができる。なお、この出入口開放処理では、所定の時間が経過すると、ロック状態に切換るように制御される。なお、ＩＤコードが受信されている間だけアンロック状態に切り替えるように制御してもよい。
【０１０２】
そして、Ｓ３５８では、通過した場合にはデータベース２１１のログ履歴データに通過した事実と日時が書き込まれる。また、通過しない場合であっても、ＩＤコードが受信された場合には、出入口に接近した事実と日時が書き込まれる。また、ステップＳ３５６において、通過を許可されていない者が出入口に接近した場合に、警報を鳴らしたり、無線で携帯端末にその旨を知らせるためのメッセージを送信するようにしてもよい。
【０１０３】
なお、本実施の形態においては、通過を許容しない人の個人データに通過を許容しない旨を記憶するようにしたが、通過を許容する人に対してのみ、通過を許容する旨を個人データとして記憶するようにしてもよい。
【０１０４】
また、自宅の出入口のロック制御について説明したが、建造物であれば会社、施設等の出入口のロック制御にも適用できる。会社の出入口に適用した場合には、社員以外の者が出入口に近づいたとしてもロックの状態が維持されるのでセキュリティーを強化することができるとともに、社員などは出入口に接近するだけでアンロック状態に切り替えられるので便利である。また、劇薬、危険物または機密性の高い資料、貴金属、現金、有価証券等が保管された部屋、金庫もしくは建物の出入口のドアロックにも適用することができる。このように、安全対策に有効に利用することができる。さらに、建造物に限らず、たとえば車のドアロックにも適用できる。車の所有者が車に近づくだけでドアロックが解除される。
【０１０５】
次に本実施の形態におけるユーザ情報利用システムで実行される履歴データの記憶および閲覧処理について説明する。サーバ装置２１０は、個人データがどのように利用されたのかの履歴を記憶する利用履歴データ２２０が備えらている。この利用履歴データ２２０を作成する処理が履歴データの記憶処理である。
【０１０６】
また、上述したようにサーバ装置２１０のデータベース２１１には、ＩＤデータに対応して、個人データとログ履歴データが記憶される。ユーザ、または、そのユーザに関連する人、たとえば親族などが、ユーザの履歴データの閲覧を希望する場合がある。また、ユーザが、自分の個人データがその機関でどのように利用されているかを知りたい場合、または、監査を希望する場合がある。この履歴データの閲覧を可能にする処理が閲覧処理である。
【０１０７】
図１０は、履歴データの記憶および閲覧処理の流れを示すフローチャートである。この処理は、サーバ装置２１０で実行されるが、入力操作には端末装置２００が用いられる。図１０を参照して、まず、サーバ装置２１０に端末装置２００からアクセス要求があったか否かが判断される。アクセス要求があった場合にはステップＳ３２２に進み、そうでない場合には、ステップＳ３２６に進む。ステップＳ３２２では、アクセス者が特定される。端末装置２００の使用者ＩＤ読取装置２０４で読取られたＩＤカードのＩＤが、サーバ装置２１０にアクセスがあった時点で送信されている。サーバ装置２１０では、受信したＩＤにより、データにアクセスした者を特定する。
【０１０８】
そして、次のステップＳ３２３では、アプリケーションソフトウエアが起動されて、どの個人データがアクセスされたのかを特定する。次に、アクセスされた時期を取得する（Ｓ３２４）。そして、利用履歴データ２２０とデータベース２１１のログ履歴データとに書き込みする（Ｓ３２５）。利用履歴データ２２０には、アクセス者のＩＤ、利用アプリケーション、アクセス日時が記憶される。データベース２１１のログ履歴データには、アクセス日時とアクセス者のＩＤとが記憶される。
【０１０９】
ステップＳ３２６では、履歴データの閲覧要求があったか否かが判断される。要求があった場合にはステップＳ３２７に進み、そうでない場合にはＳ３２１に戻る。ステップＳ３２７では、ＩＤコード受信処理が実行される。これにより、閲覧要求をしているユーザが装着しているＩＤリング１のＩＤコードが受信される。
【０１１０】
そして、受信したＩＤコードに対応する履歴データの割出が行われる（Ｓ３２８）。この割出は、ＩＤコードに関連してデータベース２１１に記憶されたログ履歴データを抽出する処理、および、抽出されたログ履歴データを利用履歴データ２２０と対応付けする処理とにより実現される。そして、割出された履歴データが出力される（Ｓ３２９）。
【０１１１】
このように、ユーザは、登録機関に記憶された個人情報がどのように利用されているのかを、閲覧することができるので、不正に使用されていいないか否かをチェックすることができる。
【０１１２】
また、データベース２１１のログ履歴データには、個人の行動を記憶させることができるので、その個人の行動履歴を閲覧することができる。たとえば、徘徊老人の行動を自宅６に設置されたサーバ装置２１０に記憶させておけば、その老人がどうような行動をしたのかを知ることができる。また、ショッピングストア５に設置されたサーバ装置２１０には、ユーザが購入した商品、購入金額などの履歴データが記憶されるので、それらの情報を後でチェックすることができる。
【０１１３】
なお、操作入力機器を端末装置２００に代えて、携帯電話１１を用いることも可能である。この場合には、携帯電話１１の表示部に履歴データが表示されるので、ユーザの居所に関係なく履歴データを閲覧することができる。
【０１１４】
［第２の実施の形態］
次に第２の実施の形態におけるユーザ情報利用システムについて説明する。第２の実施の形態におけるユーザ情報利用システムは、エージェントを利用する点で第１の実施の形態における個人情報活用システムと異なる。以下、第１の実施の形態におけるユーザ情報利用システムと異なる点を中心に説明する。
【０１１５】
図１１は、第２の実施の形態におけるユーザ情報利用システムの全体概要を示す図である。図１１を参照して、市役所２のデータベース２１１Ｂには、ＩＤコードに関連つけて、援助エージェントが記憶される。この援助エージェントは、ＩＤコードが記憶されたＩＤリング１を装着したユーザを援助するためのエージェントであり、特にユーザ自身が高齢で痴呆症等を患っている場合に有用である。この援助エージェントは、他のコンピュータに移動可能なモバイルエージェントであり、移動先のコンピュータで、ユーザを支援するための種々の活動を実行する。
【０１１６】
このエージェントを利用したユーザ情報利用システムの具体的な例を、ユーザがショッピングストア５で商品を購入する場合を例に説明する。
【０１１７】
図１２は、第２の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示すフローチャートである。ここでは、ユーザがショッピングストア５のレジなどに設置された端末装置２００に近づくと、ユーザが装着するＩＤリング１からＩＤコードが受信され、端末装置２００で受信される。図１２において、ＩＤリング１で実行されるステップＳ１６１のＩＤコード送信処理は、図６で示したステップＳ１０１〜〜Ｓ１０３の処理と同様であるので、ここでは説明を繰返さない。また、ショッピングストアのレジなどに設置された端末装置で実行されるステップＳ２６１のＩＤコード受信処理は、図６に示したステップＳ２０１〜Ｓ２０３の処理と同様であるので、ここでは説明を繰返さない。
【０１１８】
ショッピングストア５の端末装置２００は、ＩＤリング１に対して市役所と銀行の登録機関コードを要求する信号を送信する（Ｓ２６２）。そして、登録機関コードが受信されるまで待機状態となる（Ｓ２６３でＮＯ）。登録機関コードが受信されると（Ｓ２６３でＹＥＳ）、ステップＳ２６４に進む。
【０１１９】
一方、ＩＤリング１は、端末装置２００から登録機関コードの送信要求を受信すると（Ｓ１６２でＹＥＳ）、ステップＳ１６４に進む。受信しない場合には、ステップＳ１６３に進み、所定時間したか否かが判断され、所定時間経過した場合には、ステップＳ１６１に戻る。
【０１２０】
ステップＳ１６４では、ＥＥＰＲＯＭ１０３の書換え不能領域に記憶された市役所の登録機関コードと、銀行の登録機関コードとを端末装置２００に送信する。
【０１２１】
端末装置２００では、ＩＤリング１から市役所と銀行のそれぞれの登録機関コードを受信すると、受信した市役所の登録機関コードに対応する市役所２にログインする（Ｓ２６４）。そして、ステップＳ２６１で受信したＩＤコードを、市役所２に送信するＩＤコード暗号化送信処理を実行する（Ｓ２６５）。このＩＤコード暗号化送信処理は、図６のＳ２０５〜Ｓ２０７で説明した処理と同様の処理である。これにより、市役所２のサーバ装置２１０でユーザが装着するＩＤリングのＩＤコードが受信される。
【０１２２】
次に、ショッピングストア５に設置された端末装置２００は、市役所２のサーバ装置２１０に対して送信したＩＤコードに対応付けて市役所のデータベース２１１Ｂに記憶されているエージェントの送信を要求し（Ｓ２６６）、エージェントが受信されるまで待機状態となる（Ｓ２６７でＮＯ）。エージェントが受信されると（Ｓ２６７でＹＥＳ）、ユーザが購入した購入品および購入金額が許容されるものであるか否かをエージェントに打診する（Ｓ２６８）。ユーザエージェントは、図１４（ｂ）で後述するように、エージェント用知識データとしてユーザの行動履歴データ、購入限度額データ、購入禁止商品データ等を記憶しており、これらの知識データを活用してユーザの購入行動を許容して良いか否かを判断する。具体的には、たとえば、ユーザが現在購入しようとしている商品が購入禁止商品データに含まれているか否かを判断し、含まれている場合には購入を許容しない旨の判断結果を出力する。たとえば、ユーザが２０歳未満の場合、あるいは肝臓を患っている場合に、購入禁止商品データの中に煙草やアルコール類を記憶させておき、これらをユーザが購入しようとした際に、購入禁止の判断を行うようにする。さらには、ユーザが子供や高齢者の場合に、商品の購入限度額をたとえば３千円としてエージェント用知識データに記憶させておけば、３千円以上の商品をユーザが購入しようとした際には、エージェントが許容しない旨の判定を行う。また、ユーザが痴呆症等を患っている場合において、ある商品を購入して余り時間が経過していない、たとえば１０分間程度しか経過していないにも係わらず、再度同じ商品を購入しようとした場合に、エージェント用知識データの中の行動履歴データを活用し、現在購入しようとしている商品が少し前に既に購入されている商品であると判断して購入禁止の判断を行うようにする。
【０１２３】
エージェントから許容されるとの回答を得た場合にはステップＳ２７０に進み、そうでない場合にはステップＳ２７５に進む（Ｓ２６９）。ステップＳ２７５では、端末装置２００のディスプレイ２０３に販売不可のメッセージを表示して、ステップＳ２６１に戻る。この際、市役所２のサーバ装置２１０からログアウトする。
【０１２４】
一方、ステップＳ２７０では、ステップＳ２６３で受信した銀行の登録機関コードに対応する銀行３にログインする。そして、ステップＳ２６１で受信したＩＤコードを銀行３に送信するＩＤコード暗号化送信処理を実行する（Ｓ２７１）。Ｓ２６５で実行されたＩＤコード暗号化送信処理が、市役所２に暗号化したＩＤコードを送信したのに対して、ステップＳ２７１で実行されるＩＤコード暗号化送信処理は、銀行３に暗号化したＩＤコードを送信する点が異なるのみである。ステップＳ２７１でＩＤコード暗号化送信処理が実行されることにより、銀行３のサーバ装置２１０でユーザが装着するＩＤリングのＩＤコードが受信される。そして、エージェントに銀行の暗証番号を送信してもらう（Ｓ２７２）。このように、暗証番号をエージェントに送信してもらうことにより、たとえばユーザが高齢で自己の銀行の暗証番号を忘れている場合にも銀行口座を利用した決済が可能になるとともに、ユーザの銀行の暗証番号がショッピングストア５の端末装置２００で検出されることがない。
【０１２５】
その後、購入金額を銀行３のサーバ装置２１０に送信する（Ｓ２７３）。銀行３のサーバ装置２１０では、端末装置２００から受信したＩＤコード、エージェントが送信した暗証番号に基づいて決済口座を特定し、受信した購入金額に基づいて決済する。そして、決済が完了した旨を端末装置２００に送信する。
【０１２６】
端末装置２００では、決済が完了した旨を受信するまで待機状態となり（Ｓ２７４でＮＯ）、受信に応じてＳ２６１に進む。この際、銀行３のサーバ装置２１０からログアウトするとともに、市役所２のサーバ装置２１０からログアウトする。
【０１２７】
以上説明したように、第２の実施の形態におけるユーザ情報利用システムにおいては、市役所２のデータベース２１１ＢにＩＤコードと対応付けてユーザのエージェントを記憶するようにしている。そして、ユーザの行動が許容されるものか否かをそのエージェントに判断されているので、たとえば、自己を管理する能力の乏しい、たとえば子供や老人の行動を制限することができる。
【０１２８】
また、ショッピングストア５で購入した商品の対価の支払いを、銀行３に開設されたユーザの決済口座を用いて決済可能としているので、現金を所有することなく支払うことができる。さらに、決済に必要な口座の暗証番号をエージェントに送信してもらうので、決済を容易に行うことができるとともに、暗証番号が第三者に知られてしまうのを防止することができる。
【０１２９】
図１３は、エージェントにより実行される処理の流れを示すフローチャートである。図１３を参照して、エージェントは、移動要請があったか否かを判断する（Ｓ４０１）。移動要請があった場合にはステップＳ４０２に進み、移動要請があった移動先に移動する（Ｓ４０２）。エージェントは、このような移動要請があるまで待機状態となる（Ｓ４０１でＮＯ）。
【０１３０】
次に、行動履歴データの閲覧要求があったか否かが判断される（Ｓ４０３）。要求があった場合にはステップＳ４１６に進み、ない場合にはステップＳ４０４に進む。ステップＳ４１６では、閲覧者を認証する閲覧者認証処理が行われる（Ｓ４１６）。そして、ステップＳ４１７で、認証処理の結果が判断される。閲覧者の特定は、移動先のサーバ装置２１０または端末装置２００から得ることができる。そして、その者の閲覧が許容されているかを判定する認証処理は、エージェントに予め知識として与えられている知識データに基づいて判断される。閲覧が許容された者で適正と判断された場合は、ステップＳ４１８に進み、そうでない場合はＳ４１９に進む。
【０１３１】
ステップＳ４１８では、行動履歴を移動先のコンピュータに表示させる。表示させる行動履歴は、エージェントが記憶している行動履歴である。その後、ステップＳ４０９に進む。ステップＳ４１９では、不適切の旨を移動先のコンピュータに表示させる。
【０１３２】
一方、ステップＳ４０４では、知識データの入力があったか否かが判断される。入力があった場合には、入力者の認証が行われ（Ｓ４０５）、入力がなかった場合にはステップＳ４１１に進む。ステップＳ４０５で入力者の認証が行われる。入力者の認証は、エージェントが記憶する知識データに基づき行われる。そして、認証の結果が判定され（Ｓ４０６）、適正と判定された場合にはステップＳ４０７に進み、不適正と判定された場合にはステップＳ４１９に進む。ステップＳ４０７では、入力された知識データが既に存在するか否かが判断され、存在する場合にはステップＳ４０８に進み、存在しない場合にはステップＳ４１０に進む。ステップＳ４０８では、存在する知識データを入力された知識データに更新した後、ステップＳ４０９に進む。ステップＳ４１０では、入力された知識データを記憶した後、ステップＳ４０９に進む。
【０１３３】
一方、ステップＳ４１１では、判断の要請があったか否かが判断される。要請があった場合にはステップＳ４１２に進み、ない場合にはステップＳ４１４に進む。ステップＳ４１２では、知識データを活用して判断し、その結果を通知する。そして、ユーザ本人の行動結果を記憶（Ｓ４１３）した後、ステップＳ４０９に進む。
【０１３４】
ステップＳ４１４では、仕事依頼があったか否かが判断される。依頼があった場合にはステップＳ４１５に進み、そうでない場合にはステップＳ４１５をスキップしてステップＳ４０９に進み。ステップＳ４１５では、依頼された仕事を処理する。
【０１３５】
ステップＳ４０９では、エージェントが元いたコンピュータに移動することにより復帰する。
【０１３６】
図１４（ａ）は、エージェントが実行する仕事処理の流れを示すフローチャートである。図１４（ａ）を参照して、エージェントは、暗証番号の送信依頼があったか否を判断する（Ｓ４２１）。依頼があった場合には、知識データ中の暗証番号を送信する（Ｓ４２２）。依頼がなかった場合には、家族、親族への通知依頼があったか否かが判断される（Ｓ４２３）。この通知依頼は、たとえば前述した救急車１０や病院４でユーザ（患者）が危篤状態等の危険な場合にエージェントに依頼される仕事である。依頼があった場合にはステップＳ４２４に進み、依頼がない場合にはステップＳ４２５に進む。ステップＳ４２４では、知識データの家族親族の電話番号へ電話をかけて現状の通知を行う。現状の通知の具体例としては、たとえば患者（ユーザ）の病状や怪我の状態や入院する病院の名前や住所や電話番号等の通知が考えられる。ステップＳ４２５では、その他の仕事処理を実行する。
【０１３７】
図１４（ｂ）は、エージェントが記憶する知識データの一例を示す図である。知識データには、図１４（ｂ）に示すように、ユーザの個人に関する情報が知識として記憶される。このため、エージェントは、この知識データに基づいてユーザを支援して種々の仕事を実行することが可能である。たとえば、ショッピングに際し、エージェント用知識データ中の嗜好データを活用してユーザの好みにマッチする商品やコンテンツを推薦することが考えられる。また、電子モール等において電子ショッピングした際の購入商品の届出先等に必要となるユーザの住所・氏名の送信に際して、エージェント用知識データに記憶されているユーザの住所・氏名をユーザに代わってエージェントが送信するようにしてもよい。
【０１３８】
本実施の形態におけるユーザ情報利用システムは、以上説明したものの他に、種々のサービスの提供に利用することができる。たとえば、有料の乗り物に乗車する際の料金の支払いに利用することができる。この場合に、乗り物側に設置された端末装置では、図１２で説明した処理を実行させることにより実現できる。
【０１３９】
また、公営の乗り物の場合には、所定の条件を満たす人、たとえば市民、所定の年齢以上の人等に限って無償にするサービスを提供する場合には、市役所２で登録処理を実行しておきさえすれば、そのような条件を満たす人か否かを容易に判定することができる。
【０１４０】
また、ＩＤリング１に記憶されるＩＤコードは、個人を特定するためにその個人に付与されるものではない。このため、たとえＩＤリングを紛失したとしても、ＩＤリング１を再発行して、登録機関で登録処理を再度実行するだけで、以前と変わらぬサービスを受けることができる。また、再登録の際に、紛失したＩＤリング１に記憶されていたＩＤコードと個人情報との対応関係が消滅するので、紛失したＩＤリング１を悪用されるのを容易に防止することができる。
【０１４１】
なお、本実施の形態におけるユーザ情報利用システムを構成するコンピュータシステムは、オペレーティングシステムにＴＲＯＮ（ｔｈｅ　ｒｅａｌ−ｔｉｍｅ　ｏｐｅｒａｔｉｎｇ　ｓｙｓｔｅｍ　ｎｕｃｌｅｕｓ）を用いるのが好ましい。ＴＲＯＮは、ウィルス等に強いため、セキュリティを強化することが可能となる。
【０１４２】
【課題を解決するための手段の具体例の効果】
（１）　ユーザ情報管理方法は、ＩＤリング１に、ユーザを直接特定可能なユーザ特定個人情報を記憶させないので、たとえＩＤリングを紛失したとしても、その個人情報が他人にしられることがない。そして、ユーザ特定個人情報は登録機関のデータベース２１１に格納させるので、登録機関においてユーザ特有個人情報に基づいてそのユーザに適切なサービスを提供することができる。
【０１４３】
（２）　ＩＤリング１は、ＩＤコードを電波で送信するため、登録機関に対してＩＤコードを容易に知らせることができる。さらに、ＩＤリング１は、ユーザの身体に常時装着されるので、携帯に便利であり、簡単には紛失しないようにすることができる。
【０１４４】
（３）　ＩＤリング１は、暗号化されたＩＤコードを記憶するため、紛失したとしてもＩＤコードを容易に読み取ることができない。
【０１４５】
（４）　ＩＤリング１は、登録手続きが行われた所定機関を特定するための登録機関コードをさらに記憶しており、端末装置から送信されてきた登録機関コードが記憶された登録機関コードと一致することを条件にＩＤコードを出力する。このため、登録手続きが行われた所定機関に対してのみＩＤコードが出力されるので、登録手続きがおこなわれていない所定機関に対してはＩＤコードが出力されない。その結果、ＩＤコードが不用に出力されるのを防止することができるとともに、所定機関側ではユーザが登録手続きを行っているか否かを判断することができる。
【０１４６】
（５）　ＩＤリング１は、登録機関コードを複数種類記憶することが可能であり、端末装置から所定の登録機関コードの送信要求を受信した場合に、当該所定の登録機関コードを端末装置に出力する。このため、登録機関側に、ユーザが登録手続きを行っている他の所定機関を通知することができる。また、端末装置は、受信した登録機関コードで特定される所定機関に携帯装置から受信したＩＤコードを送信する。このため、端末装置がＩＤコードを送信した所定機関に、ユーザに関する情報を利用した所定のサービスを提供させることが可能となる。その結果、ユーザは、複数の登録機関からサービスの提供を同時に受けることができる。
【０１４７】
（６）　ユーザ情報管理システムは、ＩＤリング１に、ユーザを直接特定可能なユーザ特定個人情報を記憶させないので、たとえＩＤリングを紛失したとしても、その個人情報が他人にしられることがない。そして、ユーザ特定個人情報は登録機関のデータベース２１１に格納させるので、登録機関においてユーザ特有個人情報に基づいてそのユーザに適切なサービスを提供することができる。
【０１４８】
（７）　ＩＤリング１は、ＩＤコードを電波で送信するため、登録機関に対してＩＤコードを容易に知らせることができる。さらに、ＩＤリング１は、ユーザの身体に常時装着されるので、携帯に便利であり、簡単には紛失しないようにすることができる。
【０１４９】
（８）　ＩＤリング１は、暗号化されたＩＤコードを記憶するため、紛失したとしてもＩＤコードを容易に読み取ることができない。また、ＩＤリング１から出力されてきた暗号化されたＩＤコードを復号化する復号化手段をさらに含むので、ＩＤコードを暗号化した状態で送受信することができる。このため、ＩＤコードを他人に知られるのを防止することができる。
【０１５０】
（９）　ＩＤコードの送信先が登録手続きのなされている所定機関であることを証明するための登録機関コードをＩＤリング１に送信して該ＩＤリング１からＩＤコードの出力を促すので、ＩＤリング１側からは、ＩＤコードを登録手続きのなされている所定機関に対してのみ出力することができる。このため、不用にＩＤコードが出力されるのを防止することができる。また、所定機関では、登録手続きがなされたユーザであるか否かを容易に判断することができる。
【０１５１】
（１０）　ＩＤリング１は、登録機関コードを複数種類記憶することが可能であり、ＩＤリングに対し所定の登録機関コードの送信要求が出力され、要求された登録機関コードがＩＤリング１から出力されてきた場合に該登録機関コードで特定される所定機関に対しＩＤリングのＩＤコードが送信される。このため、ＩＤリングのＩＤコードを受信した所定機関に、ユーザに関する情報を利用した所定のサービスを提供させることが可能となる。その結果、ユーザは、複数の登録機関からサービスの提供を同時に受けることができる。
【０１５２】
（１１）　端末装置は、救急車に搭載され、携帯装置に対しユーザが通院する医療機関を特定するための登録機関コードの送信要求を出力し、要求された医療機関の登録機関コードがＩＤリングから出力されてきた場合に該登録機関コードで特定される医療機関に対しＩＤリングのＩＤコードを送信する。このため、ＩＤリングのＩＤコードを受信した医療機関に、ユーザに関する情報を利用した所定のサービスを提供させることが可能となる。その結果、ユーザが、救急車で搬送される際に、ユーザが登録手続きを行っている医療機関から情報の提供を受けることができる。
【０１５３】
（１２）　端末装置は、ＩＤリング１に対しユーザが決済口座を有する金融機関を特定するための登録機関コードの送信要求を出力し、要求された金融機関の登録機関コードがＩＤリング１から出力されてきた場合に該登録機関コードで特定される金融機関に対し携帯装置のＩＤコードを送信する。このため、ＩＤリングのＩＤコードを受信した金融機関に、ユーザに関する情報を利用した所定のサービスを提供させることが可能となる。その結果、ユーザが、商品の購入の対価、またはサービス提供の対価を、ユーザが登録手続きを行っている金融機関で決済させることができる。
【０１５４】
（１３）　ユーザ情報利用システムでは、治療行為や患者に投薬される薬に付されて該薬の種類を特定可能な投薬識別情報が読取られ、読取られた投薬識別情報に基づいて投薬される患者に当該薬を投薬してよいか否かが判定され、投薬すべきでないと判定した場合に警告が発生される。このため、患者に投薬される薬が正しくない場合に警告が発生されるので、患者に異なる薬を誤って投与するのを防止することができる。したがって、このシステムは、諸検査や治療（手術）など病院でのあらゆる行為に適用できる。
【０１５５】
（１４）　ユーザ情報利用システムは、通過を許容すべきでないＩＤコードが予め登録されており、出入り口の通過を希望するユーザが所有するＩＤリング１に記憶されているＩＤコードが読取られ、読取られたＩＤコードが予め登録されているＩＤコードの中に一致するものがあるか否かが判定され、一致しないとの判定がなされたことを条件として出入口の開放を許容する制御が行なわれる。このため、通過を許容すべきでないＩＤコードを予め登録しておくだけで、出入口の開放を許容するか否かが判定されるので、たとえば、徘徊癖のある老人などが所有するＩＤリング１のＩＤコードを予め登録しておくだけで、その老人が出入口を通過するのを制限することができる。
【０１５６】
（１５）　ユーザを援助するためのユーザエージェントが、ＩＤコードに基づいて該ＩＤデータに相当するユーザエージェントを割出すことができるように格納されており、送信されてきたＩＤコードに該当するユーザエージェントが複数のユーザエージェントの中から割出され、割出されたユーザエージェントに対し所定の仕事の依頼が行なわれる。このため、ＩＤリング１のＩＤコードが送信されるだけで、そのＩＤコードに該当するユーザエージェントに所定の仕事を実行させることができる。
【０１５７】
（１６）　ユーザエージェントは、ユーザが実行しようとしている行動を許容して良いか否かを判定するので、ユーザがたとえば管理能力に乏しい人等の場合に、そのユーザの行動を制限することができる。
【０１５８】
（１７）　ユーザエージェントは、ユーザに関する所定の情報を知識として有しており、仕事の依頼を受けた場合に、ユーザが実行しようとしている行動に必要な当該ユーザに関する情報を知識の中から選び出して該情報を使用するための処理を行う。このため、ユーザエージェントに知識を与えるだけで、その知識に基づいた処理をユーザエージェントに行なわせるこができる。
【０１５９】
（１８）　ユーザエージェントは、ユーザの行動履歴を有しており、該行動履歴の閲覧要求があった場合に、閲覧を許容して良いか否かを判断し、閲覧を許容して良いと判断した場合に該行動履歴データを出力させる。このため、閲覧が許容されない場合には行動履歴データが出力されないので、ユーザの行動履歴が不用意に出力されることがない。その結果、ユーザのプライバシーを保護することができる。
【０１６０】
（１９）　データベースに格納されたユーザに関する情報に対するアクセスがあった場合に、アクセス対象となったユーザに関する情報とアクセスした者を特定するためのアクセス者特定情報とアクセスした時期を特定するための時期特定情報とを含むアクセス履歴データが記憶され、ユーザから自己に関する情報のアクセス履歴データの閲覧要求があった場合に、当該ユーザの所有するＩＤリング１に記憶されているＩＤコードに基づいて該当するユーザのアクセス履歴データが記憶データから割出され、割出されたアクセス履歴データがユーザに提示される。このため、ユーザは、ユーザに関する情報が、誰に、いつアクセスされたのかを知ることができる。このため、ユーザに関する情報が不正に利用されているか否かを判断することができる。
【０１６１】
（２０）　なお、ユーザ情報利用方法は、所定機関のデータベースに格納したユーザに関する情報を、コンピュータシステムを使用してユーザへのサービスの提供に利用するユーザ情報利用方法であって、
前記データベースに格納された情報の中から所定のユーザに関する情報を識別するために用いられるＩＤコードを格納する装置であって、該装置同士で異なったＩＤコードを記憶した状態でユーザに普段携帯される携帯装置を所有するユーザ側が複数の前記所定機関の中から希望する所定機関を選択し、該所定機関のデータベースに当該ユーザに関する情報を登録する手続きを行って当該ユーザに関する情報を格納しておく登録ステップと、
前記携帯装置に記憶されたＩＤコードを端末装置により読取らせて、前記登録手続きが行われている前記所定機関に前記読取ったＩＤコードを送信する送信ステップと、
該送信ステップにより送信されてきたＩＤコードに基づいて前記データベースに格納されている情報の中から該当するユーザに関する情報を検索する検索ステップと、
該検索ステップにより検索されたユーザに関する情報を利用して所定のサービスを提供するサービス提供ステップとを含み、
前記携帯装置には、ユーザを直接特定可能なユーザ特定個人情報を記憶させず、該ユーザ特定個人情報は前記データベース側に格納させたことを特徴とする、ユーザ情報利用方法であってもよい。
【０１６２】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【図面の簡単な説明】
【図１】本発明の一実施形態におけるユーザ情報利用システムの全体概要を示す図である。
【図２】本実施の形態における電子行政群の一例を示す図である。
【図３】本実施の形態における医療機関群の一例を示す図である。
【図４】携帯装置の機能の概略を示すブロック図である。
【図５】ＳＸＡＬ／ＭＢＡＬの概要を示す説明図である。
【図６】第１の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第１のフローチャートである。
【図７】第１の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第２のフローチャートである。
【図８】第１の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第３のフローチャートである。
【図９】第１の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示す第４のフローチャートである。
【図１０】履歴データの記憶および閲覧処理の流れを示すフローチャートである。
【図１１】第２の実施の形態におけるユーザ情報利用システムの全体概要を示す図である。
【図１２】第２の実施の形態におけるユーザ情報利用システムで実行される処理の流れを示すフローチャートである。
【図１３】エージェントにより実行される処理を説明するための図である。
【図１４】エージェントが実行する処理を説明するための図である。
【符号の説明】
１　携帯装置（ＩＤリング）、２　電子行政群、３　金融機関群、４　医療機関群、５　ショッピングストア群、６　自宅、７　コンテンツプロバイダ群、８自家用車、９　有料バス、１０　救急車、１１　携帯電話、２０　広域・大容量中継網、２１　インターネット、２２　ゲートウェイ、２３　携帯電話網、５１　コンテンツプロバイダ群、１０４　入出力制御部、１０５　変調・復調部、１０６　電源制御部、１０７　ループアンテナ、１０８　データバス、２００，２００Ａ　端末装置、２０１　スキャナ、２０２　パーソナルコンピュータ、２０３　ディスプレイ、２０４　読取装置、２０５　ＩＤカード、２０６　通信装置、２１０　サーバ装置、２２０　利用履歴データ、２１１，２１１Ａ　データベース。[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a user information use method and a user information use system, and more particularly to a user information use method and a user information use system for using personal information of a user while protecting privacy.
[0002]
[Prior art]
In recent years, an IC card in which an IC is embedded in a plastic card has been known. Since this IC card can store a large amount of data, information for directly identifying the individual, such as an identification number, name, date of birth, address, telephone number, etc. assigned to the individual is stored in the IC card. Attempts have been made to provide various services by reading personal information from the IC card.
[0003]
As a reading device for reading information from the IC card, there are a contact type and a non-contact type. In a contact-type reader, the reader and the IC card are electrically connected, so it is necessary to directly contact the IC card with the reader. In a non-contact type reader, radio waves are used for communication between the IC card and the reader. As a power source of the IC card, a current induced by receiving a radio wave emitted from the reading device is used.
[0004]
Although the prior art of the present invention has been described based on general technical information obtained by the applicant, information that should be disclosed as prior art document information before the filing of the application within the scope of the applicant's storage is described. The applicant does not have
[0005]
[Problems to be solved by the invention]
However, when personal information for directly specifying an individual is stored in the IC card, it becomes possible for a person who has no relation to the individual to obtain the personal information stored in the IC card. . For example, if the IC card is lost, a person who has found the IC card can freely browse the personal information stored in the IC card. Then, once the personal information is provided to a third party for a fee, it is not known how the personal information will be used thereafter. Further, it is conceivable that a person who has found the IC card impersonates the true owner of the IC card, for example, receives a loan from a financial institution and is illegally used.
[0006]
When the IC card is read by a non-contact type reader, while the owner of the IC card reads personal information with a reader of a service organization at his / her will to receive a certain service. May be intercepted by a third party. Also in this case, it is conceivable that a third party who has illegally acquired personal information abuses the acquired personal information. In order to prevent a third party from intercepting radio waves, it is conceivable to insert an IC card into a housing that shields radio waves and read personal information inside the housing, When personal information is read from an IC card, there is a problem that the inside of the housing generates heat.
[0007]
SUMMARY OF THE INVENTION The present invention has been made to solve the above-described problems, and an object of the present invention is to provide a user information use method and a user information use system capable of protecting personal privacy.
[0008]
Another object of the present invention is to provide a user information use method and a user information use system capable of providing a service unique to an individual using personal information.
[0009]
[Means for Solving the Problems]
According to one aspect of the present invention, there is provided a method of using user information, wherein information about a user stored in a database of a predetermined organization is used to provide a service to the user using a computer system. A user information use method, which is an apparatus for storing an ID code used to identify information on a predetermined user from information stored in a database, wherein different ID codes are stored between the apparatuses. An issuance step of issuing a portable device that is usually carried by the user to the user in the state, and the user owning the portable device issued by the issuance step selects a desired predetermined organization from a plurality of predetermined organizations; Perform a procedure for registering information on the user in the database of the predetermined institution and store the information on the user A transmitting step of causing the terminal device to read the ID code stored in the portable device, and transmitting the read ID code to a predetermined institution where the registration procedure is being performed. A search step of searching for information on a corresponding user from information stored in a database based on the obtained ID code, and a service for providing a predetermined service using the information on the user searched by the search step Providing the mobile device without storing the user-specific personal information capable of directly specifying the user, and storing the user-specific personal information on the database side.
[0010]
Preferably, the portable device uses radio waves as an information transmission medium and is always worn on the user's body.
[0011]
Preferably, the portable device transmits the encrypted ID code to the terminal device.
[0012]
Preferably, the portable device further stores a registration institution code for specifying a predetermined institution where the registration procedure has been performed, and the registration institution code transmitted from the terminal device matches the stored registration institution code. The ID code is output on the condition that this is the case.
[0013]
Preferably, the mobile device can store a plurality of types of registration institution codes, and when a request for transmitting a predetermined registration institution code is received from the terminal device, the portable device can store a plurality of types of registration institution codes. The selected registration institution code is selected from and the registered registration institution code is output to the terminal device, and the terminal device transmits the ID code received from the portable device to the predetermined institution specified by the received registration institution code.
[0014]
According to another aspect of the present invention, a user information use system is a user information use system that uses information about a user stored in a database of a predetermined institution to provide a service to the user using a computer system. A device for storing an ID code used for identifying information on a predetermined user from information stored in a database, wherein the device stores different ID codes and is usually carried by a user. User information registration processing means for performing a process of selecting a desired institution from a plurality of predetermined institutions on the side of the user owning the mobile device, performing a procedure for registering information on the user in a database of the predetermined institution, and storing the information; The ID code stored in the portable device is read and transmitted to a predetermined organization where the registration procedure is being performed. Receiving means for receiving the ID code, and using information on the user corresponding to the ID code received by the receiving means, from among information stored in a database based on the ID code. Search means for searching for information about the user, wherein the portable device does not store user-specific personal information capable of directly specifying the user, and stores the user-specific personal information on the database side.
[0015]
Preferably, the portable device uses radio waves as an information transmission medium and is always worn on the user's body.
[0016]
Preferably, the portable device further includes a decrypting unit that transmits the encrypted ID code to the terminal device and decrypts the encrypted ID code output from the portable device.
[0017]
Preferably, the portable device further stores a registration institution code for specifying the predetermined institution where the registration procedure has been performed, and certifies that the transmission destination of the ID code is the predetermined institution where the registration procedure has been performed. And transmitting a registration institution code to the portable device for prompting the portable device to output an ID code.
[0018]
Preferably, the portable device is capable of storing a plurality of types of registrar institution codes, the registrar transmission request means for outputting a transmission request of a predetermined registrar code to the portable device, and the registrar transmission request means. When the requested registration institution code is output from the portable device, the ID code of the portable device is transmitted to a predetermined institution specified by the registration institution code.
[0019]
Preferably, the terminal device is provided in an ambulance and includes a medical institution code transmission requesting unit that outputs a request for transmitting a registration institution code for specifying a medical institution for which a registration procedure is being performed on the portable device. When the registration institution code of the medical institution requested by the institution code transmission requesting means is output from the portable device, the ID code of the portable device is transmitted to the medical institution specified by the registration institution code, and When information about the user corresponding to the code is transmitted from the medical institution, the information about the user is received.
[0020]
Preferably, the terminal device includes financial institution code transmission requesting means for outputting a request for transmitting a registration institution code for specifying a financial institution for which a registration procedure is being performed on the portable device, Transmits the ID code of the portable device to the financial institution specified by the registrar code when the registrar code of the financial institution requested by the user is output from the portable device, and the user corresponding to the ID code When the information about the user is transmitted from the financial institution, the information about the user is received.
[0021]
Preferably, the medicine identification information reading means attached to the medicine to be administered to the patient and reads medicine identification information capable of specifying the type of the medicine, and the medicine is administered based on the medicine identification information read by the medicine identification information reading means. Further comprising: a dosage appropriateness determining means for determining whether or not to administer the drug to a patient; and a warning generating means for generating a warning when the dosage appropriateness determining means determines that the drug should not be administered, and Further stores, in association with the ID code, medication identification information capable of specifying the type of medicine to be administered to the patient corresponding to the ID code. The database is searched on the basis of the ID code read from the device, and the medicine identification information determined by the medicine identification information and the medicine identification information read by the medicine identification information reading means determine whether or not the medicine is appropriate. Characterized in that it constant.
[0022]
Preferably, the vehicle further includes pass permission determining means for determining whether or not the passage of the building is permitted, and the pass permission determining means is configured to register in advance an ID code that should not be permitted to pass. Prohibition ID registration means, ID code reading means for reading an ID code stored in a portable device owned by the user who wants to pass through the entrance, and ID code read by the ID code reading means, Determination means for determining whether or not there is a match among the ID codes registered in the storage device, and control for permitting the opening of the doorway on condition that the determination of the mismatch is made by the match determination means. And opening permission control means for performing the following.
[0023]
Preferably, a user agent storage means for storing a user agent for assisting the user, wherein the user agent storage means stores the user agent corresponding to the ID code based on the ID code so that the user agent can be determined. Job requesting means for determining a user agent corresponding to the transmitted ID code from a plurality of user agents stored in the user agent storage means and requesting the determined user agent for a predetermined job. And further characterized by:
[0024]
Preferably, the user agent is provided with an execution permission determining function of determining whether or not the action that the user intends to perform may be permitted.
[0025]
Preferably, the user agent has predetermined information about the user as knowledge, and when receiving a job request from the job requesting means, obtains information about the user necessary for the action that the user intends to perform. It is characterized in that a process for selecting and using the information is performed.
[0026]
Preferably, the user agent stores the action history data of the user, and when there is a request for browsing the action history data, determines whether or not to permit browsing, and may permit browsing. A function of outputting the action history data when it is determined that
[0027]
Preferably, when there is an access to the information on the user stored in the database, the information on the user to be accessed and the accessor specifying information for specifying the accessing person and the time for specifying the accessing time An access history data storage unit for storing access history data including specific information; and an ID code stored in a portable device owned by the user when a user requests browsing of access history data of information relating to the user. Indexing means for calculating the access history data of the corresponding user from the storage data of the access history data storage means based on the access history data presenting means for presenting the access history data indexed by the indexing means to the user; Is further included.
[0028]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings. In the following description, the same components are denoted by the same reference numerals. Their names and functions are the same. Therefore, detailed description thereof will not be repeated.
[0029]
[First Embodiment]
FIG. 1 is a configuration diagram showing a network system using broadband and showing an overall outline of a user information utilization system. Referring to FIG. 1, connection is made to electronic administration group 2, financial institution group 3, hospital group 4, shopping store group 5, user home 6, content provider group 7, and mobile telephone network 23 through a wide area / large capacity relay network 20. The configured gateway 22, the Internet 21, and the like are configured to transmit and receive information. In the figure, reference numeral 30 denotes a satellite (satellite) for relaying a broadcast wave from the broadcast station 31 and transmitting the wave to the receiving station 32.
[0030]
The electronic administration group 2 is, for example, a city hall, a tax office, or a central government office, and provides administrative services. The medical institution group 4 is a hospital, a pharmacy, or the like that provides medical services. The shopping store group provides services that accompany the consumer's shopping behavior such as shopping. The shopping store group may be an electronic mall of a virtual shop realized by a computer in addition to an actual market. The user home 6 is a home of a user who owns a mobile terminal described later. The content provider group 51 is a group of companies that provide various contents such as video, text, and sound through a network.
[0031]
The radio waves of the mobile phone 11 are transmitted to the base station 24 connected to the mobile phone network 23, and are transmitted via the base station 24, the mobile phone network 23, the gateway 22, and the wide area / large capacity relay network 20. 2, a group of financial institutions 3, a group of medical institutions 4, a group of shopping stores 5, a home 6, a group of content providers 7, and the like can be accessed. The user's private car 8, public toll bus 9, and ambulance 10 are also equipped with the same communication device as the mobile phone 11, such as a base station 24, a mobile phone network 23, a gateway 22, a wide area / large capacity relay network 20. It is configured to be able to access various institutions via the Internet.
[0032]
The portions indicated by double lines in FIG. 1 are wireless LAN, CATV, xDSL (digital subscriber line), FTTH (fiber to the home), and the like.
[0033]
In the electronic administration group 2, the financial institution group 3, the medical institution group 4, the shopping store group 5, the home 6, the content provider group 7, and the like, server devices including computers are installed. When a user receives a service at various institutions, the various institutions use personal information to provide the service.
[0034]
Next, the electronic administration group 2, financial institution group 3, medical institution group 4, shopping store group 5, home 6, and content provider group 7 will be described in more detail. Since the equipment configuration in these institutions is basically the same, the electronic administration group 2 and the medical institution group 4 will be described as examples.
[0035]
In the user information utilization system according to the present embodiment, a portable device in which different ID codes are stored among devices is issued to the user in the electronic administration group 2. This portable device is mainly composed of a ring, but may be in any other form such as a necklace, an earring, a bracelet, glasses, a belt, etc., as long as the form is always worn on the user's body. A mobile device is issued.
[0036]
On the other hand, in the above-mentioned various organizations, personal information on users is managed for the purpose of customer management or information on services for each user. As a code for identifying the personal information, an ID code stored in the portable device is used. That is, when a user receives a service provided by an institution, an ID code is read from a portable device owned by the user in a server device installed in the institution, and the read ID code and personal information of the user are read. Is stored in association with. Once this registration procedure has been executed, the registration institution can extract the user's personal information using the ID code as a key. In addition, the next time the user receives a service at the institution where the user has registered, the personal information of the user can be immediately extracted at the institution by simply reading the ID code stored in the mobile terminal. Service can be provided smoothly.
[0037]
FIG. 2A shows an example of the electronic administrative group 2 shown in FIG. In the city hall 2, a LAN (Local Area Network) 221 is constructed, and the server device 210, the terminal device 200, and the databases 211 and 220 are connected so that information can be exchanged.
[0038]
The terminal device 200 is configured by a personal computer or the like, and is connected with a display 203, a scanner 201, and a staff ID reading device 204. The display 203 is a display device such as a liquid crystal display device and a cathode ray tube (CRT).
[0039]
The staff ID reader 204 is a device for specifying a staff who uses the terminal device 200. When the terminal device 200 is used, it is required that the ID card 205 given to the employee in advance is inserted into the employee ID reading device 204 during use. Therefore, the terminal device 200 can operate only as long as the ID card inserted into the staff ID reader 204 can be read, or can function as a terminal of the server device 210, and the terminal device 200 is removed when the ID card is removed from the staff ID reader 204. , Or stops functioning as a terminal of the server device 210. Further, the terminal device 200 detects a staff member who uses the terminal device 200 based on the staff ID read by the staff ID reading device 204, and indicates to the server device 210 who is using the terminal device 200. For this purpose, the staff ID is transmitted to the server device 210. As a result, the server device 210 can detect by whom the process to be executed by the server device 210 is instructed, and furthermore, a history of when, by whom, and what process is executed. Can be created and recorded.
[0040]
The scanner 201 receives an ID code from the mobile device 1 by communicating with the mobile device 1 described below. Then, the received ID code is transmitted to the personal computer 202.
[0041]
The database 211 stores an ID code, personal information, and log history data. Here, the personal information includes face photograph data, a user's name, address, and the like, but the personal information is not limited to this, and may include information specific to an individual involved in service provision. The user's personal information is stored in association with the ID code stored in the mobile device. As described above, the personal information and the ID code are associated by the user requesting the issuance of the mobile terminal and executing the registration procedure when the mobile terminal is issued from the city hall. The log history data includes a staff ID of a person who has used the personal information and an access time to the personal data in order to identify who and when the personal information was used. The staff ID is determined based on the staff ID read from the ID card by the staff ID reader 204 described above.
[0042]
As described above, in the user information utilization system, all necessary information is stored in the database 211 without storing information in the terminal device 200. Therefore, the terminal device 200 does not need to be provided with a storage device such as a hard disk. By not providing a storage device in the terminal device 200, it is possible to centrally manage data in the database 211 and to prevent fraud such as data recalculation that occurs when data is stored in the terminal device 200. it can. Further, the terminal device 200 can be used as a WBT (Windows (R) Based Terminal).
[0043]
FIG. 2B shows an example of data stored in the usage history data 220. The use history data includes a staff ID, a use application, and a log date and time. The staff ID is determined based on the staff ID read from the ID card by the staff ID reader 204 described above. The use application indicates an application program executed on the server device 210. The log date and time indicates the date and time when the application program specified by the used application was executed by the person specified by the staff ID. Therefore, by associating the usage history data with the log history data stored in the database 211, the history of which staff member (who), when, which personal data has been used, and for what purpose (used application) can be stored later. It is possible to browse. The association between the usage history data and the log history data can be made by comparing the staff ID with the date and time. Also, which staff member is used is specified by the staff ID, when it is used is specified by the date and time of log history data or log date and time of the usage history data, and which personal data is used is specified by an ID code, What is used is specified by the application used.
[0044]
FIG. 3A shows an example of the medical institution group 4 shown in FIG. In the hospital 4, a LAN (Local Area Network) 221 is constructed, and the server device 210, the terminal device 200, and the databases 211 and 220 are connected so that information can be exchanged. The difference from the city hall 2 shown in FIG. 2A is that a terminal device 200A is added and the contents of the personal data in the database 211A are different.
[0045]
The database 211A includes an ID code, personal information, and log history data. Here, the personal information includes face photograph data, user's name, address, medical record data, and medication data. The chart data is data created by a doctor and used to record the individual's illness, treatment history, prescription, and the like. The dosing data includes the type and amount of the drug to be administered and the dosing code. The medication code is given after the result of a doctor's prescription, the type and amount of medicine, and the like are input from the terminal device 200A. The medication code is converted into a barcode, printed and output by a printer, and the output barcode or the like is attached to a medicine to be administered.
[0046]
The user's personal information is stored in association with the ID code stored in the mobile device 1. As described above, the personal information is associated with the ID code by performing the registration process when the user goes to the hospital and receives medical service such as consultation. In the registration process, the ID code stored in the mobile device 1 is read by the scanner 201. Then, a part of the personal information, for example, a name, an address, etc., is input in the terminal device 200A, and is transmitted from the terminal device 200A to the server device 210 together with the read ID code. The server device 210 stores the received ID code and the personal information in the database 211A in association with each other. This completes the registration process. As described above, in the registration procedure at the hospital 4, it is necessary to read the ID code stored in the portable device 1 owned by the user. Therefore, registration is performed only when the user desires registration. If registration is not desired, the ID code stored in the mobile device 1 may not be read. That is, the association between the ID code of the portable device 1 and the personal information is left to the user's will. Therefore, the user can select an institution that permits the association between the ID code of the portable device 1 and the personal information.
[0047]
The “user side” here is not limited to the user himself, but is a concept including a person who has a blood relationship with the user, such as the user's family and relatives, a guardian of the user, and the like. For example, when the user is elderly and suffers from dementia or the like and cannot express his / her intention clearly, the above-mentioned blood relative or guardian performs the intention display to perform the registration procedure on behalf of the user.
[0048]
The terminal device 200A is a portable scanner that combines the functions of the scanner 201 and the terminal device 200A into one. In addition, since it is portable, it is connected to the server device 210 via the LAN 221 by wirelessly communicating with the communication device 206 connected to the LAN 221 instead of being connected to the server device 210 by wire. Further, the terminal device 200A is connected to a barcode reader, and can read a barcode or the like attached to a medicine to be administered.
[0049]
The portable terminal device 200A is carried by, for example, a nurse, reads an ID code from the portable device 1 worn on the patient's body, receives the personal information of the patient from the server device 210, and outputs the information. Thereby, the nurse can know the condition and prescription of the patient. In addition, when the nurse administers the medication, the terminal device 200A reads a barcode or the like affixed to the medication, and compares it with the medication code included in the medication data of the personal data received from the server device 210, and attempts to administer the medication. It is determined whether the drug in question is truly the drug to be administered to the patient. This can prevent a nurse from mistakenly administering a drug that should not be administered to the patient.
[0050]
FIG. 4 is a block diagram schematically illustrating functions of the mobile device 1. Referring to FIG. 4, mobile device 1 has a shape of a ring, and has a shape that can be easily worn on a user's body. Hereinafter, the portable device 1 is referred to as an ID ring 1. In principle, the ID ring 1 is always worn even when taking a bath or sleeping, so that it can be prevented from being lost or stolen. The ID ring 1 is executed by a logic 100 for controlling the entire ID ring 1, a read-only memory (ROM) 101 for storing an encrypted ID code, and a logic 100. In this case, a random access memory (RAM: random access memory) 102, an electrically erasable programmable read-only memory (EEPROM) 103, and a radio wave used for a power supply are received, and signals are transmitted and received. Loop antenna 107, a power control unit 106 for generating power from radio waves used for received power, and a demodulating received signal and modulating a signal for transmission. Including the modulation and demodulation unit 105, and input and output control unit 104 for controlling the input and output of signals to the modulation and demodulation unit 105. The logic 100, the ROM 101, the RAM 102, the EEPROM 103, and the input / output control unit 104 are connected by a data bus 108, respectively.
[0051]
The logic 100 controls the ROM 101, the RAM 102, the EEPROM 103, and the input / output control unit 104 to execute various processes described below.
[0052]
The ROM 101 stores an ID code attached to the ID ring 1 and used to identify the ID ring 1 from other ID rings. The ID code is recorded at the stage when the ID ring 1 is manufactured or before it is issued to the user, and is not deleted thereafter.
[0053]
The EEPROM 103 includes a non-rewritable area where information cannot be rewritten, and a rewritable area where information can be rewritten. The non-rewritable area stores a registration institution code and a registration date. The registered institution code refers to the code of the institution that has executed the above-described registration procedure in order for the user to desire to associate the ID code of the ID ring 1 with the personal information. Note that the EEPROM 103 alone can replace the ROM 101 and the RAM 102. Therefore, at the stage when the above-described registration procedure is executed, the code (registration institution code) of the institution that has executed the registration procedure is received from the terminal device 200A connected to the server device 210, and the date of the day is stored in the non-rewritable area of the EEPROM 103. Is stored. For example, if the registration procedure is performed on September 1, 2002 at Hospital 4, the registration institution code (eg, “AAA”) of Hospital 4 and the registration date of September 1, 2002 are stored in the non-rewritable area. Will be done. In this non-rewritable area, a plurality of registrar institution codes and registra- tion dates can be stored, and in the present embodiment, registrar institution codes of nine institutes can be stored. Therefore, the user can execute the registration procedure at a plurality of institutions.
[0054]
In the non-rewritable area of the EEPROM 103, after a registration institution code and a registration date and time are once stored, a program for prohibiting rewriting of data in the storage area is stored in the ROM 101. Become.
[0055]
In the rewritable area, for example, eco-money and points can be stored. Eco-money is a currency used instead of cash in various communities. For example, in the field of welfare, a currency that can be received by a person for service rendered to another person and then paid as a reward when the person receives service. Points are points given to services provided for each registrar, and are used for so-called point services in which various privileges are given according to the accumulated number of points. For example, when the shopping store 5 is registered as a registrar, points are given according to the price of the product purchased at the shopping store 5, and the given points are stored in the rewritable area. Then, by using the accumulated points, it is possible to receive a privilege such as purchasing another product.
[0056]
The information stored in the rewritable area can store information related to a service provided by a registrar. In the example described above, the eco-money is information related to the service provided by the city hall, and the points are information related to the service provided by the shopping store 5. When the registrar is the financial institution group 3, the registrar can be electronic money.
[0057]
The input / output control unit 104 is controlled by the CPU 100 and transmits and receives information via the modulation / demodulation unit 105 and the loop antenna 107. Thus, the ID ring 1 can communicate with the scanner 201 wirelessly. The communication between the ID ring 1 and the scanner 201 uses the same technology as the communication when a non-contact type IC card is used. Therefore, the detailed description will not be repeated here.
[0058]
Next, the encryption of the ID code will be described. SXAL / MBAL is used for encrypting the ID code. FIG. 5 is an explanatory diagram showing an outline of SXAL / MBAL. In the illustrated example, 20-byte variable-length data, which is plaintext data, is encrypted using an 8-byte (64-bit) encryption key K to obtain a 20-byte variable-length encrypted sequence. In the figure, P, E, F, G, H, I, and C are data in each conversion process, and the subscript indicates the number of bytes. Fm is a cryptographic function.
[0059]
Referring to FIG. 5, first, the exclusive OR (exclusive OR) of the leftmost 8 bytes of variable-length data P and the expanded key KO is determined, and the result of the determination is converted by a function fm. Next, data is converted by SXAL by combining the four bytes at both ends, and the rest is left as it is. Subsequently, the order of the data is reversed, and after the data is converted by the encryption function fm, the order of the data is reversed. This is subjected to data conversion by a cryptographic function fm, an exclusive OR (exclusive OR) of the leftmost 8 bytes of the converted data and the expanded key KI is determined, and an encrypted variable-length encrypted string C is obtained. .
[0060]
In this embodiment, since the encryption algorithm encrypts data or files of 16 bytes or more as one unit, it is possible to perform encryption for each megabyte of large capacity. Focus on the point that decryption becomes extremely difficult because encryption is performed multiple times, and that normal decryption of all information becomes impossible if bit corruption of about 1 bit or data falsification is encountered in the information transmission form Then, this is used for ensuring security in transmitting high-capacity information at high speed. In particular, when bit corruption or data tampering of about 1 bit is encountered, the DES type encryption algorithm does not normally decrypt only the vicinity of the bit corruption or tampered portion or other portions at the time of decryption. Abnormality detection becomes extremely difficult. On the other hand, in SXAL / MBAL, since all parts are changed to abnormal information, it is very easy to detect the abnormal information. Response is possible.
[0061]
Next, a process executed by each device will be described in detail by taking, as an example, a case where a user who has received the ID ring 1 receives an administrative service at a city hall. Here, a case where the user desires to issue an ID ring 1 having a ring shape will be described.
[0062]
FIG. 6 is a first flowchart showing the flow of processing executed in the user information utilization system according to the present embodiment. When the user who has been issued the ID ring 1 goes to the city hall 2 and wants to receive a certain administrative service, when the user goes to the service counter of the city hall, the ID ring 1 A registrar code is transmitted to 1 (S201). That is, in the terminal device 200, the scanner 201 transmits the registrar code by radio until the encrypted ID code from the ID ring 1 is received by the scanner 201 (until a YES determination is made in S202). . The registrar code transmitted here is a code given to the city hall. Therefore, it is possible to determine from the registered institution code transmitted by the scanner 201 that the institution to be provided with the service is the city hall.
[0063]
The ID ring is in a standby state until the registration institution code is received from the scanner 201 (NO in S101), and upon receiving the registration institution code (YES in S102), the process proceeds to step S102. In step S102, it is determined whether or not the received registration institution code is stored in the non-rewritable area of the EEPROM 103. If it is stored, the process proceeds to step S103, and if not, the process returns to step S101. . That is, it is determined whether or not the institution to which the user intends to receive the service is the institution that has already performed the registration procedure for associating the ID code of the ID ring 1 with the personal information. If the institution has performed the registration procedure, the ID code and the personal information have already been linked, so that the service can be provided based on the personal information described below. If the registration procedure has not been executed, the personal information cannot be used. Therefore, a new registration procedure is executed or the service is provided without using the personal information.
[0064]
If it is determined that the registration institution code received by the ID ring 1 is stored in the EEPROM 103, the ID ring 1 transmits the ID code stored in the ROM 101 to the scanner 201 in an encrypted state (S103). ).
[0065]
When receiving the encrypted ID code from ID ring 1 (YES in step S202), terminal device 200 decrypts the encrypted ID code using decryption key K (S203). Hereinafter, decryption using the decryption key K is indicated by a symbol Dk. Then, the user logs in to the server device 210 (S204). The decryption key K is predetermined and is managed in a secret state.
[0066]
In the server device 210, it is determined whether there is a login from the registered scanner (S301). If it is determined that there is a login (YES in S301), the process proceeds to step S302. (NO in S301). In the server device 210, a terminal device 200 that permits login to the server is registered in advance, and only login from the previously registered terminal device is allowed. In addition, when there is a login from the registered terminal device 200, an interrupt may be generated and the following processing may be executed.
[0067]
The server device 210 generates a session key Sk using a random number or the like in step S302, and transmits the generated session key Sk to the terminal device 200 (S303). The session key Sk is an encryption key, and all information subsequently transmitted and received with the terminal device 200 that has received the session key Sk is encrypted with the session key Sk. The above-described SXAL / MBAL can be used as the encryption algorithm, but not limited to SXAL / MBAL, but a general secret key encryption method such as DES may be used. As described above, since the session key Sk is a valid encryption key only between the server device 210 and the terminal device 200, even if a signal transmitted / received by a third party is intercepted, the third party retains the session key. Since the user does not know Sk, the intercepted signal cannot be decoded. Therefore, communication can be performed between the server device 210 and the terminal device 200 with the information to be transmitted and received kept secret. This enables a VPN (Virtual Private Network).
[0068]
The terminal device 200 enters a standby state until the session key Sk is received (NO in S205), and proceeds to S206 in response to the reception (YES in S205). In S206, the decrypted ID code is encrypted with the session key Sk. Hereinafter, the encryption using the encryption key Sk is indicated by a symbol ESk. Then, the encrypted ID code is transmitted to server device 210 (S207).
[0069]
The server device 210 enters a standby state until the ID code is received (NO in S304), and proceeds to step S305 in response to the reception (YES in S304). In step S305, the ID code encrypted with the session key Sk is decrypted with the session key Sk (S305). Then, the database 211 is searched using the decrypted ID code (S306). If the corresponding personal data is extracted, the personal data (search data) extracted by the search is transmitted to the terminal device 200 (S307). ). The search data transmitted at this time is data encrypted with the session key Sk.
[0070]
The terminal device 200 enters a standby state until the search data is received from the server device 210 (NO in step S208), and proceeds to step S209 in response to the reception (YES in S208). In step S209, the received search data is decrypted with the session key Sk, and the decrypted search data is displayed on the display 203 of the terminal device 200 (S210). Thus, the staff at the counter can instantly recognize who is visiting the counter. In addition, the user does not need to generate a name at the window, and does not need to provide necessary personal information, so that the staff at the window can recognize who he or she is.
[0071]
Then, in the terminal device 200, application software is started to provide a service desired by the user, and a predetermined process is executed (S211). The services desired by the user are services provided by the city hall, for example, various services such as issuance of a copy of a family register, change of family register, and change of address. Then, a treatment result (for example, the fact that a resident's card is issued) generated as a result of the provided service is encrypted with the session key Sk and transmitted to the server device 210 (S212). Although the application software related to the provision of the service is executed by the terminal device, the application software may be executed by the server device 210.
[0072]
The server device 210 is in a standby state until a treatment result is received from the terminal device 200 (NO in S308), and proceeds to step S309 in response to the reception (YES in S308). In step S309, the received treatment result is decrypted with the session key Sk. Then, based on the decrypted treatment result, it writes the log history data and the usage history data 220 of the database 211 (S310).
[0073]
On the other hand, in the ID ring 1, it is determined whether or not a request for transmitting a registration institution code has been made (S104). If there is a transmission request, the process proceeds to step S106; otherwise, the process proceeds to step S105. In step S105, the apparatus enters a standby state for a predetermined time, and returns to step S101 when the predetermined time has elapsed. The terminal device 200 may or may not require a registration institution code, and transmits a registration institution code transmission request only when necessary. Therefore, if there is no request for transmission of the registration institution code even after the lapse of the predetermined time, it is determined that the transmission request for the registration institution code is not transmitted from terminal device 200. In step S106, the requested registration institution code is read from EEPROM 103 and transmitted to terminal device 200. The transmission request of the registration institution code includes a signal indicating which type of registration institution code is requested to be transmitted, and the ID ring 1 corresponds to one of the registration institution codes stored in the EEPROM 103. Select the registration institution code and send.
[0074]
Next, a process executed by an ambulance in the user information utilization system according to the present embodiment will be described. In this case, the terminal device 200 and the scanner 201 are mounted on the ambulance. A communication device similar to the mobile phone 11 is connected to the terminal device 200. The terminal device is connected to a medical institution via a base station 24, a mobile phone network 23, a gateway 22, and a wide area / large capacity relay network 20. It is possible to communicate with the group 4.
[0075]
When the sick person is transported by ambulance, it is difficult to obtain information from the sick person because the sick person is not conscious, not in a state of speaking, or is upset and unable to speak clearly There is. In the user information utilization system according to the present embodiment, terminal device 200 mounted on an ambulance receives an ID code from ID ring 1 worn by a sick person, and personal data of the sick person, in particular, It is possible to acquire personal data stored in the hospital 4 where the registration procedure is being performed.
[0076]
FIG. 7 is a second flowchart showing the flow of processing executed in the user information utilization system according to the present embodiment. Referring to FIG. 7, in terminal device 200 mounted on ambulance 10, an ID code receiving process for receiving an ID code from ID ring 1 of a sick person conveyed by ambulance 10 is executed (S221). In this ID code receiving process, the same process as steps S201 to S203 in FIG. 6 is executed. Therefore, description will not be repeated here. On the other hand, in the ID ring 1 worn by the sick person, an ID code transmission process of transmitting an ID code to the terminal device 200 is executed (S110). In this ID code transmission processing, the same processing as steps S101 to S103 in FIG. 6 is executed. Therefore, description will not be repeated here.
[0077]
The terminal device 200 transmits a request for transmitting the registration institution code of the hospital to the ID ring (S222). This is for specifying a hospital in order to obtain personal information of the sick from a hospital where the sick has performed a registration procedure.
[0078]
On the other hand, in the ID ring 1, it is determined whether or not a request for transmitting a registration institution code has been made (S111). If there is a transmission request, the process proceeds to step S113; otherwise, the process proceeds to step S112. In step S112, a standby state is set for a predetermined time, and when the predetermined time has elapsed, the process returns to step S101. In step S113, the registration institution code of the requested hospital is read from the EEPROM 103 and transmitted to the terminal device 200.
[0079]
The terminal device 200 determines whether or not the registered institution code of the hospital has been received (S223). If it is determined that it has been received, the process proceeds to step S224; otherwise, the process waits until it is received. When receiving the registered institution code of the hospital, the user logs in to the server device 210 of the hospital 4 corresponding to the received registered institution code. In this case, the terminal device 200 mounted on the ambulance 10 is registered in the server device 210 because login to the server device 210 of the hospital 4 is permitted. Therefore, the terminal device 200 mounted on the ambulance 10 can log in to the server device 210 of the hospital 4. In addition, the terminal device 200 stores in advance a registration institution code and information necessary for logging in to the server device 210 of the hospital 4, for example, a network address.
[0080]
Hereinafter, the processes of steps S225 to S232 executed by the terminal device 200 are the same processes respectively corresponding to the processes of steps S205 to S212 in FIG. Therefore, description will not be repeated.
[0081]
The processing executed by the server device 210 of the hospital 4 is the same as the processing of the server device 210 shown in steps S301 to S310 in FIG. For this reason, the server device 210 of the hospital 4 searches for personal data, medical record data, medication data, and the like corresponding to the received ID code, and transmits it to the terminal device 200 of the ambulance 10.
[0082]
As described above, in the user information utilization system according to the present embodiment, the terminal device 200 mounted on the ambulance 10 receives the ID code and the registration institution code of the hospital from the ID ring 1 of the sick person to be transported. . Then, after logging in to the server device 210 of the hospital 4 corresponding to the received registration code of the hospital and transmitting the ID code of the sick, personal information of the sick, for example, medical chart data and medication data are received, It is displayed on the display 203. Therefore, when giving emergency treatment to a sick person in the ambulance 10, specific information such as the illness of the sick person, the current health condition, medicines that can be taken, medicines that cannot be taken, etc. can be obtained. Measures can be taken. The contents of the treatment performed in the ambulance 10 are transmitted to the server device 210 of the hospital 4 and recorded in the database 211 of the server device 210. For this reason, when the hospital examines the sick person next, it is possible to know what treatment has been performed in the ambulance.
[0083]
Also, here, the transmission of the registration institution code of the hospital 4 is requested to obtain the personal data recorded in the server 210 of the hospital 4, but the transmission of the registration institution code of the city hall 2 is requested. Alternatively, personal data recorded in the server device 210 of the city hall 2 may be obtained. As a result, the identity of the sick person can be immediately confirmed, and the sick person's relatives can be contacted. Further, if the server device 210 is installed in the sick person's home 6 and is registered as a registrar, the server device 210 installed in the home 6 is logged in and an emergency situation for the sick person occurs. The occurrence may be notified.
[0084]
Next, a description will be given of processing executed when a medicine or treatment is performed at a hospital in the user information utilization system according to the present embodiment. Here, the description will be made using the ID ring 1, the portable terminal device 200A shown in FIG. 2 and the server device 210 installed in the hospital 4. Note that the ID ring 1 can be used as a substitute for a consultation ticket. When a nurse administers or administers to a patient, the nurse administers or administers a prescribed medicine according to a doctor's instruction using a syringe, an infusion, or the like. In general, when administering medication to an inpatient at a large-scale hospital, medicines of a plurality of patients are mounted on one wagon or the like, and administered sequentially while traveling around a hospital room. According to the user information utilizing system in the present embodiment, it is possible to prevent a wrong administration of the medicine from another person during the administration. In addition, it is possible to prevent a patient from making mistakes in surgery or treatment. For example, when a doctor prescribes a drug to be administered, the content is stored in the database 211A as medication data. Then, a bar code or the like included in the medication data is output from a printer or the like, and the bar code or the like output on the medicine to be administered is attached.
[0085]
The nurse places the medicine on the wagon while carrying the terminal device 200A and heads for medication. Then, before administering the medicine to the patient, the bar code attached to the medicine to be administered is read by the bar code reader, and the ID code is received from the ID ring 1 attached to the body of the patient. Then, after transmitting the ID code to server device 210, terminal device 200 receives the medication data. The barcode of the received medication data is compared with the read barcode, and if they do not match, an alarm is issued.
[0086]
FIG. 8 is a third flowchart illustrating the flow of a process performed by the user information utilization system according to the present embodiment. The processing executed in the ID ring 1 is the same as the processing shown in steps S101 to S103 in FIG. 6, and the processing executed in the server device 210 is shown in steps S301 to S310 in FIG. This is the same as the processing. Therefore, these descriptions are omitted in FIG.
[0087]
Referring to FIG. 8, terminal device 200A executes an ID code receiving process (S241) to receive an ID code from ID ring 1. In this ID code receiving process, the same process as steps S201 to S203 in FIG. 6 is executed. Therefore, description will not be repeated here. The ID code received in step S241 is the ID code of the ID ring 1 worn by the patient on whom the nurse is about to administer medicine. Then, an ID code encrypted transmission process (S242) is executed, and the ID code encrypted with the session key Sk is transmitted to the server device 210. In this ID code encrypted transmission processing, the same processing as steps S204 to S207 in FIG. 6 is executed. Therefore, description will not be repeated here.
[0088]
Next, it is determined whether the search data has been received from the server device 210 (S243). If it has been received, the process proceeds to step S244; otherwise, the process waits until it is received. The search data received here is personal data of a patient who is about to administer medication, and the personal data includes medication data. Further, the medication data includes data represented by a barcode or the like directly attached to the medicine.
[0089]
Then, the received search data is decrypted with the session key Sk (S244), and the decrypted search data is displayed on the display unit of the terminal device 200A (S245). The nurse can determine the medicine to be administered by looking at the displayed search data, particularly the medication data. Here, the first check is performed.
[0090]
Then, a barcode reading process is performed in which the nurse reads a barcode affixed to the medicine to be administered with a barcode reading device connected to the terminal device 200A (S246). The read barcode data is compared with the barcode data included in the search data received in step S243, and it is determined whether or not both data match (S247). If it is determined that they match, the process proceeds to step S249. If they do not match, the process proceeds to step S248. The determination in step S247 is to determine whether the medicine prescribed by the doctor and the actual medicine to be administered match, and can be said to be the second check.
[0091]
In step S248, an alarm is generated because they do not match. The warning may be any of generating a warning sound, displaying a warning message, or warning by sound and display. On the other hand, a step S249 displays characters “OK”.
[0092]
As described above, in the user information utilization system according to the present embodiment, when a nurse administers medication, it is determined whether or not the medicine to be actually administered matches the medicine prescribed by the doctor. Therefore, it is possible to prevent a different medicine from being administered due to a mistake of a nurse.
[0093]
In the embodiment shown in FIG. 8, the terminal device 200A determines whether or not the medicine to be actually administered matches the medicine prescribed by the doctor. The present invention is not limited to this. For example, the bar code data and the like read by the terminal device 200A and the ID code read from the ID ring 1 of the patient (user) are transmitted to the server device 210 of the hospital 4, and the server device 210 makes a determination. Then, the determination result may be returned to the terminal device 200A.
[0094]
Next, a case where the user information utilization system is used to prevent the elderly from wandering will be described. In this case, the server device 210 and the terminal device 200 are installed in the house 6. The scanner 201 and the electronic lock device are installed at the entrance of the house. This electronic lock device is controlled by the server device 210 to switch between a locked state and an unlocked state. This electronic lock device is maintained in a locked state by default. Therefore, the entrance is normally locked, and is switched to the unlocked state when the condition described below is satisfied.
[0095]
In the database 211 of the server device 210, data indicating that passage through an entrance is not permitted is stored in advance as personal information. Therefore, if the ID code is obtained, it is possible to determine that the person is not allowed to pass.
[0096]
Since the scanner 201 is installed at the entrance, when a person wearing the ID ring 1 goes to the entrance, communication between the scanner 201 and the ID ring 1 is started. If the registered institution code of the home is stored in the non-rewritable area of the EEPROM 103 of the ID ring 1, the ID code is transmitted from the ID ring 1 to the scanner 201.
[0097]
FIG. 9 is a fourth flowchart illustrating the flow of the process performed by the user information utilization system according to the present embodiment. Note that the processing executed in the ID ring 1 is the same as the processing shown in steps S101 to S103 in FIG. Therefore, the description is omitted in FIG. 9 and the description will not be repeated here.
[0098]
Referring to FIG. 9, terminal device 200 executes an ID code receiving process (S251) to receive an ID code from ID ring 1. In this ID code receiving process, the same process as steps S201 to S203 in FIG. 6 is executed. The ID code received in step S251 is the ID code of the ID ring 1 worn on the body by the person approaching the entrance. Then, it is determined whether the ID code has been received from ID ring 1 (S252). If the ID code has been received, the process proceeds to step S253; otherwise, the process returns to step S251. If the ID code is not received, the electronic lock device is not controlled at all and cannot pass through the entrance. Therefore, when there is no ID code, when a wanderer unintentionally removes the ID ring 1 from the body, the entrance is not switched to the unlocked state. Also, even when the ID ring 1 is worn, if the home registration institution code is not registered in the non-rewritable area of the EEPROM, the ID code is not transmitted to the terminal device 200. The entrance is not switched to the unlocked state.
[0099]
In step S253, the user logs in to server device 210 at home 6. The server device 210 determines whether there is a login from the registered scanner (S351). The processing of steps S253 to S256 of the terminal device 200 corresponds to the processing of steps S204 to S207 in FIG. 6, respectively, and is the same. The processes of steps S351 to S355 of the server device 210 correspond to and are the same as the processes of steps S301 to S305 in FIG. Therefore, description thereof will not be repeated.
[0100]
When the server device 210 receives, from the terminal device 200, the ID code of the ID ring 1 worn by the person approaching the doorway, it extracts personal data corresponding to the ID code stored in the database 211. Then, it is determined from the extracted personal data whether passage is not permitted (S356). If it is determined that the passage is not permitted, the process skips step S357 and proceeds to step S358. Otherwise, the process proceeds to step S357.
[0101]
In step S357, an entrance opening process for performing control to switch the electronic lock device to the unlocked state is executed (S357). Thereby, it is possible to pass through the entrance. Therefore, only a person who is not stored in the database 211 of the server device 210 as not being allowed to pass can pass through the entrance. In the entrance opening process, control is performed so as to switch to the locked state after a predetermined time has elapsed. Note that control may be performed so as to switch to the unlocked state only while the ID code is being received.
[0102]
In S358, the fact and date and time of the passage are written in the log history data of the database 211 when the passage has been made. Also, even if the vehicle does not pass, when the ID code is received, the fact that the user has approached the entrance and the date and time are written. Further, in step S356, when a person who is not permitted to pass approaches the entrance, an alarm may be sounded or a message for notifying the portable terminal of the fact may be transmitted wirelessly.
[0103]
In the present embodiment, the fact that the passage is not permitted is stored in the personal data of the person who does not permit the passage, but the fact that the passage is permitted is set as the personal data only for the person who permits the passage. You may make it memorize | store.
[0104]
In addition, the lock control of the doorway of the house has been described, but the present invention can be applied to the lock control of the doorway of a company, a facility, and the like in the case of a building. When applied to the doorway of a company, even if a person other than an employee approaches the doorway, the locked state is maintained so that security can be strengthened, and employees can unlock only by approaching the doorway. It is convenient because it can be switched to In addition, the present invention can be applied to door locks at doors of rooms, safes or buildings in which powerful drugs, dangerous materials or highly confidential materials, precious metals, cash, securities, and the like are stored. Thus, it can be effectively used for safety measures. Further, the present invention can be applied not only to buildings, but also to, for example, car door locks. The door lock is released only by the car owner approaching the car.
[0105]
Next, a process of storing and browsing history data performed by the user information utilization system according to the present embodiment will be described. The server device 210 is provided with usage history data 220 that stores a history of how personal data was used. The process of creating the usage history data 220 is the history data storage process.
[0106]
As described above, the database 211 of the server device 210 stores personal data and log history data corresponding to the ID data. A user or a person related to the user, such as a relative, may want to view the history data of the user. In some cases, a user may want to know how his or her personal data is being used at that institution, or may wish to perform an audit. The process that enables browsing of the history data is the browsing process.
[0107]
FIG. 10 is a flowchart illustrating the flow of the history data storage and browsing process. This processing is executed by the server device 210, and the terminal device 200 is used for the input operation. Referring to FIG. 10, first, it is determined whether or not an access request has been made to server device 210 from terminal device 200. If there is an access request, the process proceeds to step S322; otherwise, the process proceeds to step S326. In step S322, an access person is specified. The ID of the ID card read by the user ID reading device 204 of the terminal device 200 is transmitted when the server device 210 is accessed. The server device 210 specifies a person who has accessed the data based on the received ID.
[0108]
Then, in the next step S323, the application software is activated to specify which personal data has been accessed. Next, the access time is acquired (S324). Then, it writes the usage history data 220 and the log history data of the database 211 (S325). The use history data 220 stores an accesser ID, a use application, and an access date and time. In the log history data of the database 211, the access date and time and the ID of the accessor are stored.
[0109]
In step S326, it is determined whether there is a browsing request for the history data. If there is a request, the process proceeds to step S327; otherwise, the process returns to S321. In step S327, an ID code receiving process is executed. As a result, the ID code of the ID ring 1 worn by the user making the browsing request is received.
[0110]
Then, the history data corresponding to the received ID code is determined (S328). This determination is realized by a process of extracting the log history data stored in the database 211 in association with the ID code, and a process of associating the extracted log history data with the usage history data 220. Then, the determined history data is output (S329).
[0111]
As described above, the user can browse how the personal information stored in the registration institution is used, so that the user can check whether or not the information has been illegally used.
[0112]
Further, since the log history data of the database 211 can store an individual's behavior, the individual's behavior history can be browsed. For example, if the behavior of the wandering old man is stored in the server device 210 installed in the house 6, it is possible to know what kind of behavior the old man has performed. In addition, since the server device 210 installed in the shopping store 5 stores history data such as a product purchased by the user and a purchase price, such information can be checked later.
[0113]
It is also possible to use the mobile phone 11 instead of the terminal device 200 as the operation input device. In this case, since the history data is displayed on the display unit of the mobile phone 11, the history data can be browsed regardless of the location of the user.
[0114]
[Second embodiment]
Next, a user information utilization system according to a second embodiment will be described. The user information utilization system according to the second embodiment differs from the personal information utilization system according to the first embodiment in using an agent. Hereinafter, the points different from the user information utilization system according to the first embodiment will be mainly described.
[0115]
FIG. 11 is a diagram illustrating an overall outline of a user information utilization system according to the second embodiment. Referring to FIG. 11, a help agent is stored in database 211B of city hall 2 in association with an ID code. This assisting agent is an agent for assisting the user wearing the ID ring 1 in which the ID code is stored, and is particularly useful when the user himself is elderly and suffers from dementia or the like. The assistance agent is a mobile agent that can move to another computer, and executes various activities for assisting the user at the destination computer.
[0116]
A specific example of the user information utilizing system using the agent will be described with a case where a user purchases a product at the shopping store 5 as an example.
[0117]
FIG. 12 is a flowchart illustrating a flow of processing executed in the user information utilization system according to the second embodiment. Here, when the user approaches the terminal device 200 installed at a cashier or the like of the shopping store 5, an ID code is received from the ID ring 1 worn by the user, and is received by the terminal device 200. In FIG. 12, the ID code transmission process in step S161 executed in ID ring 1 is the same as the process in steps S101 to S103 shown in FIG. 6, and thus description thereof will not be repeated here. In addition, the ID code receiving process of step S261 executed by the terminal device installed at the cash register of the shopping store or the like is the same as the process of steps S201 to S203 shown in FIG. 6, and therefore, description thereof will not be repeated here.
[0118]
The terminal device 200 of the shopping store 5 transmits a signal requesting the registration code of the city hall and the bank to the ID ring 1 (S262). Then, the system enters a standby state until the registration institution code is received (NO in S263). When the registration institution code is received (YES in S263), the process proceeds to step S264.
[0119]
On the other hand, when ID ring 1 receives the request for transmitting the registration institution code from terminal device 200 (YES in S162), the process proceeds to step S164. If not, the process proceeds to step S163, where it is determined whether a predetermined time has elapsed. If the predetermined time has elapsed, the process returns to step S161.
[0120]
In step S164, the registration institution code of the city hall and the registration institution code of the bank stored in the non-rewritable area of the EEPROM 103 are transmitted to the terminal device 200.
[0121]
Upon receiving the registration institution codes of the city hall and the bank from the ID ring 1, the terminal device 200 logs in to the city hall 2 corresponding to the received registration institution code of the city hall (S264). Then, an ID code encrypted transmission process for transmitting the ID code received in step S261 to the city hall 2 is executed (S265). This ID code encrypted transmission processing is the same processing as the processing described in S205 to S207 in FIG. Thereby, the ID code of the ID ring worn by the user is received by the server device 210 of the city hall 2.
[0122]
Next, the terminal device 200 installed in the shopping store 5 requests transmission of an agent stored in the city hall database 211B in association with the ID code transmitted to the server device 210 of the city hall 2 (S266). , And waits until an agent is received (NO in S267). When the agent is received (YES in S267), the agent asks the agent whether the purchased product and the purchase price are acceptable (S268). As will be described later with reference to FIG. 14B, the user agent stores user action history data, purchase limit data, purchase prohibited product data, and the like as agent knowledge data, and utilizes these knowledge data. It is determined whether the purchase behavior of the user is acceptable. Specifically, for example, it determines whether or not the product that the user is currently purchasing is included in the purchase-prohibited product data, and if so, outputs a determination result indicating that the purchase is not permitted. For example, if the user is under the age of 20 or has a liver, tobacco and alcohol are stored in the purchase-prohibited product data, and when the user tries to purchase them, the purchase prohibition is prohibited. Make a decision. Further, when the user is a child or an elderly person, if the purchase limit of the product is stored in the agent knowledge data as, for example, 3,000 yen, when the user tries to purchase a product of 3,000 yen or more, Determines that the agent does not permit. Further, when the user suffers from dementia or the like, he / she tried to purchase the same product again even though it has not passed much time after purchasing a certain product, for example, only about 10 minutes have passed. In this case, by utilizing the action history data in the agent knowledge data, it is determined that the product currently being purchased is a product that has already been purchased a while ago, and the purchase is determined to be prohibited.
[0123]
If an answer is received from the agent, the process proceeds to step S270; otherwise, the process proceeds to step S275 (S269). In step S275, a message indicating that the product cannot be sold is displayed on the display 203 of the terminal device 200, and the process returns to step S261. At this time, the user logs out of the server 210 of the city hall 2.
[0124]
On the other hand, in step S270, the user logs in to bank 3 corresponding to the registered institution code of the bank received in step S263. Then, an ID code encryption transmission process for transmitting the ID code received in step S261 to the bank 3 is executed (S271). While the ID code encrypted transmission processing executed in S265 transmitted the encrypted ID code to the city hall 2, the ID code encrypted transmission processing executed in step S271 performs the encrypted ID code transmission to the bank 3. The only difference is that the code is sent. The ID code of the ID ring worn by the user is received by the server device 210 of the bank 3 by executing the ID code encryption transmission process in step S271. Then, the agent transmits the personal identification number of the bank (S272). In this way, by having the agent send the password to the agent, for example, even if the user is elderly and forgets the password of his or her own bank, it is possible to make a payment using a bank account, and the user's bank The password is not detected by the terminal device 200 of the shopping store 5.
[0125]
Thereafter, the purchase amount is transmitted to the server device 210 of the bank 3 (S273). The server device 210 of the bank 3 specifies a payment account based on the ID code received from the terminal device 200 and the password transmitted by the agent, and performs payment based on the received purchase amount. Then, the terminal device 200 is notified that the settlement is completed.
[0126]
The terminal device 200 enters a standby state until it receives a notification that the payment is completed (NO in S274), and proceeds to S261 in response to the reception. At this time, the user logs out of the server device 210 of the bank 3 and the server device 210 of the city hall 2.
[0127]
As described above, in the user information utilization system according to the second embodiment, the agent of the user is stored in the database 211B of the city hall 2 in association with the ID code. Since the agent determines whether or not the behavior of the user is permissible, it is possible to restrict, for example, the behavior of a child or an elderly person having a poor ability to manage the user, for example.
[0128]
In addition, since the payment for the goods purchased at the shopping store 5 can be settled using the settlement account of the user established at the bank 3, the payment can be made without owning cash. Furthermore, since the agent transmits the password of the account required for the payment to the agent, the payment can be easily performed, and the password can be prevented from being disclosed to a third party.
[0129]
FIG. 13 is a flowchart illustrating a flow of a process executed by the agent. Referring to FIG. 13, the agent determines whether a movement request has been made (S401). If there is a movement request, the process proceeds to step S402, and moves to the destination to which the movement request has been made (S402). The agent is in a standby state until there is such a movement request (NO in S401).
[0130]
Next, it is determined whether or not there is a request to browse the action history data (S403). If there is a request, the process proceeds to step S416; otherwise, the process proceeds to step S404. In step S416, a viewer authentication process for authenticating the viewer is performed (S416). Then, in step S417, the result of the authentication process is determined. The specification of the viewer can be obtained from the destination server device 210 or terminal device 200. The authentication process for determining whether the person is allowed to browse is determined based on knowledge data previously given as knowledge to the agent. If it is determined that the user is permitted to browse, the process proceeds to step S418; otherwise, the process proceeds to S419.
[0131]
In step S418, the action history is displayed on the destination computer. The action history to be displayed is the action history stored by the agent. Thereafter, the process proceeds to step S409. In step S419, the inappropriateness is displayed on the destination computer.
[0132]
On the other hand, in step S404, it is determined whether or not knowledge data has been input. If there is an input, authentication of the input person is performed (S405), and if there is no input, the process proceeds to step S411. In step S405, authentication of the input person is performed. Authentication of the input person is performed based on the knowledge data stored by the agent. Then, the result of the authentication is determined (S406). When it is determined that the authentication is appropriate, the process proceeds to step S407, and when it is determined that the authentication is inappropriate, the process proceeds to step S419. In step S407, it is determined whether or not the input knowledge data already exists. If so, the process proceeds to step S408; otherwise, the process proceeds to step S410. In step S408, after updating the existing knowledge data to the input knowledge data, the process proceeds to step S409. In step S410, after the input knowledge data is stored, the process proceeds to step S409.
[0133]
On the other hand, in step S411, it is determined whether a request for determination has been made. If there is a request, the process proceeds to step S412; otherwise, the process proceeds to step S414. In step S412, the determination is made using the knowledge data, and the result is notified. After storing the action result of the user (S413), the process proceeds to step S409.
[0134]
In step S414, it is determined whether a job request has been made. If the request has been made, the process proceeds to step S415; otherwise, the process skips step S415 and proceeds to step S409. In step S415, the requested job is processed.
[0135]
In step S409, the process returns by moving the agent to the original computer.
[0136]
FIG. 14A is a flowchart illustrating the flow of the work process executed by the agent. Referring to FIG. 14A, the agent determines whether there is a request for transmission of a personal identification number (S421). When requested, the personal identification number in the knowledge data is transmitted (S422). If the request has not been made, it is determined whether a notification request has been made to the family and relatives (S423). This notification request is, for example, a job requested by the agent when the user (patient) is in danger such as a critical condition in the ambulance 10 or the hospital 4 described above. When there is a request, the process proceeds to step S424, and when there is no request, the process proceeds to step S425. In step S424, a call is made to the telephone number of the family or relative in the knowledge data to notify the current situation. As a specific example of the current notification, for example, a notification of a medical condition or an injury state of a patient (user), a name, an address, a telephone number, or the like of a hospital to be hospitalized can be considered. In step S425, other work processing is executed.
[0137]
FIG. 14B is a diagram illustrating an example of knowledge data stored by the agent. As shown in FIG. 14B, information on the user's individual is stored in the knowledge data as knowledge. Therefore, the agent can execute various tasks by supporting the user based on the knowledge data. For example, at the time of shopping, it is conceivable to recommend a product or content that matches the user's preference by using the preference data in the agent knowledge data. Also, when transmitting the address and name of the user required for the destination of the purchased product at the time of electronic shopping in an electronic mall or the like, the user's address and name stored in the knowledge data for the agent are replaced by the agent. May be transmitted.
[0138]
The user information use system according to the present embodiment can be used for providing various services in addition to the above-described ones. For example, it can be used for payment of a fee for boarding a toll vehicle. In this case, the terminal device installed on the vehicle side can be realized by executing the processing described with reference to FIG.
[0139]
In addition, in the case of a publicly-owned vehicle, when providing a service free of charge to only those who satisfy predetermined conditions, for example, citizens, people of a predetermined age or older, the registration process is executed at the city hall 2 If it occurs, it can be easily determined whether or not the person satisfies such a condition.
[0140]
The ID code stored in the ID ring 1 is not given to an individual in order to identify the individual. Therefore, even if the ID ring is lost, it is possible to receive the same service as before by simply reissuing the ID ring 1 and executing the registration process again at the registration organization. Further, at the time of re-registration, the correspondence between the ID code and the personal information stored in the lost ID ring 1 is lost, so that the misused ID ring 1 can be easily prevented from being misused. .
[0141]
Note that the computer system that constitutes the user information utilization system in the present embodiment preferably uses TRON (the real-time operating system nuclear) as the operating system. Since TRON is resistant to viruses and the like, it is possible to enhance security.
[0142]
[Effects of Specific Examples of Means for Solving the Problems]
(1) In the user information management method, since the ID ring 1 does not store the user identification personal information capable of directly identifying the user, even if the ID ring is lost, the personal information is not made available to another person. Since the user-specific personal information is stored in the database 211 of the registration institution, the registration institution can provide an appropriate service to the user based on the user-specific personal information.
[0143]
(2) Since the ID ring 1 transmits the ID code by radio waves, the ID code can be easily notified to the registration organization. Further, since the ID ring 1 is always worn on the body of the user, it is convenient to carry and can be easily prevented from being lost.
[0144]
(3) Since the ID ring 1 stores the encrypted ID code, even if it is lost, the ID code cannot be easily read.
[0145]
(4) The ID ring 1 further stores a registration institution code for specifying a predetermined institution where the registration procedure has been performed, and the registration institution code transmitted from the terminal device matches the stored registration institution code. Output an ID code on condition that the For this reason, since the ID code is output only to the predetermined institution where the registration procedure has been performed, the ID code is not output to the predetermined institution where the registration procedure has not been performed. As a result, the ID code can be prevented from being output unnecessarily, and the predetermined institution can determine whether or not the user has performed a registration procedure.
[0146]
(5) The ID ring 1 can store a plurality of types of registrar codes, and when a request for transmitting a predetermined registrar code is received from the terminal device, outputs the predetermined registrar code to the terminal device. I do. For this reason, it is possible to notify the registered institution of another predetermined institution where the user is performing the registration procedure. Further, the terminal device transmits the ID code received from the mobile device to a predetermined organization specified by the received registration organization code. For this reason, it is possible to cause a predetermined organization to which the terminal device has transmitted the ID code to provide a predetermined service using information on the user. As a result, the user can receive service provision from a plurality of registrars simultaneously.
[0147]
(6) Since the user information management system does not store the user identification personal information capable of directly identifying the user in the ID ring 1, even if the ID ring is lost, the personal information is not made available to others. Since the user-specific personal information is stored in the database 211 of the registration institution, the registration institution can provide an appropriate service to the user based on the user-specific personal information.
[0148]
(7) Since the ID ring 1 transmits the ID code by radio waves, the ID code can be easily notified to the registration organization. Further, since the ID ring 1 is always worn on the body of the user, it is convenient to carry and can be easily prevented from being lost.
[0149]
(8) Since the ID ring 1 stores the encrypted ID code, even if it is lost, the ID code cannot be easily read. Further, since the apparatus further includes a decryption unit for decrypting the encrypted ID code output from the ID ring 1, it is possible to transmit and receive the ID code in an encrypted state. Therefore, it is possible to prevent the ID code from being known to others.
[0150]
(9) A registration institution code for certifying that the transmission destination of the ID code is a predetermined institution for which a registration procedure has been performed is transmitted to the ID ring 1 to prompt the ID ring 1 to output the ID code. From the ring 1 side, the ID code can be output only to a predetermined organization for which a registration procedure has been performed. For this reason, unnecessary output of the ID code can be prevented. In addition, the predetermined organization can easily determine whether or not the user has been registered.
[0151]
(10) The ID ring 1 can store a plurality of types of registrar codes, a request for transmitting a predetermined registrar code is output to the ID ring, and the requested registrar code is output from the ID ring 1. In this case, the ID code of the ID ring is transmitted to the predetermined organization specified by the registration organization code. For this reason, it is possible to cause a predetermined organization that has received the ID code of the ID ring to provide a predetermined service using information on the user. As a result, the user can receive service provision from a plurality of registrars simultaneously.
[0152]
(11) The terminal device is mounted on an ambulance and outputs a request for transmission of a registration institution code for specifying a medical institution to which a user goes to the portable device, and the registration institution code of the requested medical institution is transmitted from the ID ring. When the ID code is output, the ID code of the ID ring is transmitted to the medical institution specified by the registration institution code. For this reason, it is possible to cause the medical institution that has received the ID code of the ID ring to provide a predetermined service using information on the user. As a result, when the user is transported by an ambulance, information can be provided from a medical institution where the user is performing a registration procedure.
[0153]
(12) The terminal device outputs a request to the ID ring 1 for transmitting a registration institution code for specifying the financial institution having the settlement account, and the registration institution code of the requested financial institution is output from the ID ring 1. In this case, the ID code of the portable device is transmitted to the financial institution specified by the registration institution code. For this reason, it becomes possible to cause the financial institution that has received the ID code of the ID ring to provide a predetermined service using information about the user. As a result, the user can settle the price for purchasing the product or the price for providing the service at the financial institution where the user is performing the registration procedure.
[0154]
(13) In the user information utilization system, medication identification information that is attached to a medical treatment or a medicine to be administered to a patient and that can specify the type of the medicine is read, and the patient who is administered based on the read medicine identification information is read. It is determined whether or not the drug should be administered. If it is determined that the drug should not be administered, a warning is issued. For this reason, a warning is issued when the medicine to be administered to the patient is incorrect, so that it is possible to prevent erroneous administration of a different medicine to the patient. Therefore, this system can be applied to all activities in hospitals such as various tests and treatments (surgery).
[0155]
(14) In the user information utilization system, an ID code that should not be allowed to pass is registered in advance, and the ID code stored in the ID ring 1 owned by the user who wants to pass through the entrance is read and read. It is determined whether or not the registered ID code matches any of the pre-registered ID codes, and control is performed to permit opening of the doorway on condition that it is determined that they do not match. For this reason, it is determined whether or not the opening of the entrance is permitted only by registering in advance an ID code that should not be allowed to pass. For example, the ID ring 1 owned by an elderly person having a wandering habit can be determined. Only by registering the ID code in advance, it is possible to restrict the elderly from passing through the doorway.
[0156]
(15) The user agent for assisting the user is stored so that the user agent corresponding to the ID data can be determined based on the ID code, and the user agent corresponding to the transmitted ID code is stored. Is determined from a plurality of user agents, and a request for a predetermined job is made to the determined user agent. For this reason, only by transmitting the ID code of the ID ring 1, the user agent corresponding to the ID code can execute a predetermined job.
[0157]
(16) Since the user agent determines whether or not the action that the user is trying to perform may be permitted, the action of the user can be restricted when the user is, for example, a person with poor management ability. .
[0158]
(17) The user agent has predetermined information on the user as knowledge, and when receiving a job request, selects from the knowledge the information on the user necessary for the action the user is going to perform. A process for using the information is performed. Therefore, only by giving the knowledge to the user agent, it is possible to cause the user agent to perform processing based on the knowledge.
[0159]
(18) The user agent has an action history of the user, and when there is a browsing request for the action history, determines whether or not browsing is permitted, and determines that browsing is permitted. Then, the action history data is output. For this reason, when browsing is not permitted, the action history data is not output, so that the action history of the user is not inadvertently output. As a result, the privacy of the user can be protected.
[0160]
(19) When there is an access to the information about the user stored in the database, the information about the user to be accessed and the accesser identification information for identifying the accessing person and the time for identifying the accessing time The access history data including the specific information is stored, and when a user requests browsing of the access history data of information relating to the user, the access history data corresponds to the ID code stored in the ID ring 1 owned by the user. The access history data of the user is determined from the stored data, and the determined access history data is presented to the user. Therefore, the user can know who and when information about the user was accessed. For this reason, it can be determined whether or not the information on the user has been used illegally.
[0161]
(20) The user information use method is a user information use method in which information about a user stored in a database of a predetermined organization is used to provide a service to the user using a computer system.
An apparatus for storing an ID code used for identifying information on a predetermined user from information stored in the database, wherein the apparatus stores a different ID code between the apparatuses and is usually carried by a user. The user who owns the portable device selects a desired predetermined organization from the plurality of predetermined organizations, performs a procedure for registering information on the user in a database of the predetermined organization, and stores information on the user. A registration step;
A transmitting step of causing the terminal device to read the ID code stored in the portable device and transmitting the read ID code to the predetermined organization where the registration procedure is being performed;
A search step of searching the information stored in the database for information on a corresponding user based on the ID code transmitted by the transmission step;
A service providing step of providing a predetermined service using information on the user searched by the search step,
The user information utilizing method may be characterized in that the portable device does not store user-specific personal information capable of directly specifying a user, and stores the user-specific personal information in the database.
[0162]
The embodiments disclosed this time are to be considered in all respects as illustrative and not restrictive. The scope of the present invention is defined by the terms of the claims, rather than the description above, and is intended to include any modifications within the scope and meaning equivalent to the terms of the claims.
[Brief description of the drawings]
FIG. 1 is a diagram showing an overall outline of a user information utilization system according to an embodiment of the present invention.
FIG. 2 is a diagram illustrating an example of an electronic administrative group according to the present embodiment.
FIG. 3 is a diagram illustrating an example of a medical institution group according to the present embodiment.
FIG. 4 is a block diagram schematically showing functions of the mobile device.
FIG. 5 is an explanatory diagram showing an outline of SXAL / MBAL.
FIG. 6 is a first flowchart illustrating a flow of a process executed by the user information utilization system according to the first embodiment.
FIG. 7 is a second flowchart showing the flow of processing executed in the user information utilization system according to the first embodiment.
FIG. 8 is a third flowchart illustrating the flow of a process executed by the user information utilization system according to the first embodiment.
FIG. 9 is a fourth flowchart showing the flow of processing executed in the user information utilization system according to the first embodiment.
FIG. 10 is a flowchart showing a flow of storage and browsing processing of history data.
FIG. 11 is a diagram showing an overall overview of a user information utilization system according to a second embodiment.
FIG. 12 is a flowchart illustrating a flow of a process executed in the user information utilization system according to the second embodiment.
FIG. 13 is a diagram for describing processing executed by an agent.
FIG. 14 is a diagram illustrating a process executed by an agent.
[Explanation of symbols]
1 Mobile device (ID ring), 2 Electronic administration group, 3 Financial institution group, 4 Medical institution group, 5 Shopping store group, 6 Home, 7 Content provider group, 8 Private car, 9 Toll bus, 10 Ambulance, 11 Mobile phone , 20 wide area / large capacity relay network, 21 Internet, 22 gateway, 23 mobile phone network, 51 content provider group, 104 input / output control unit, 105 modulation / demodulation unit, 106 power control unit, 107 loop antenna, 108 data bus, 200, 200A terminal device, 201 scanner, 202 personal computer, 203 display, 204 reading device, 205 ID card, 206 communication device, 210 server device, 220 usage history data, 211, 211A database.

Claims

A method of using user information, wherein information about a user stored in a database of a predetermined organization is used to provide a service to the user using a computer system,
An apparatus for storing an ID code used for identifying information on a predetermined user from information stored in the database, wherein the apparatus stores a different ID code between the apparatuses and is usually carried by a user. An issuance step of issuing to a user who desires a portable device
The user who owns the portable device issued in the issuing step selects a desired predetermined institution from the plurality of predetermined institutes, performs a procedure of registering information about the user in a database of the predetermined institution, and executes the user. A registration step for storing information about the
A transmitting step of causing the terminal device to read the ID code stored in the portable device and transmitting the read ID code to the predetermined organization where the registration procedure is being performed;
A search step of searching the information stored in the database for information on a corresponding user based on the ID code transmitted by the transmission step;
A service providing step of providing a predetermined service using information on the user searched by the search step,
A method of using user information, wherein the portable device does not store user-specific personal information capable of directly specifying a user, and stores the user-specific personal information in the database.

The method according to claim 1, wherein the portable device uses radio waves as an information transmission medium and is always worn on a user's body.

3. The method according to claim 1, wherein the portable device transmits an encrypted ID code to the terminal device.

The mobile device further stores a registration institution code for specifying the predetermined institution where the registration procedure has been performed, and the registration institution code transmitted from the terminal device is the stored registration institution code. The method according to any one of claims 1 to 3, wherein the ID code is output on condition that they match.

The mobile device is capable of storing a plurality of types of the registered institution codes, and when receiving a transmission request for a predetermined registrar code from the terminal device, the mobile device stores the stored plurality of types of the registered institution codes. Select the relevant registrar code from among them and output the registrar code to the terminal device,
The method according to claim 4, wherein the terminal device transmits the ID code received from the portable device to the predetermined organization specified by the received registration organization code.

A user information utilization system that uses information about a user stored in a database of a predetermined organization to provide services to the user using a computer system,
An apparatus for storing an ID code used to identify information on a predetermined user from information stored in the database, wherein the apparatus stores different ID codes and is usually carried by a user. User information registration processing means for performing a process of selecting a desired predetermined institution from a plurality of predetermined institutes by a user who owns the portable device, performing a procedure of registering information on the user in a database of the predetermined institution, and storing the information. When,
Receiving means for receiving the ID code when the ID code stored in the portable device is read and transmitted to the predetermined organization where the registration procedure is being performed;
Searching means for searching information stored in the database on the basis of the ID code for information on the corresponding user in order to use the information on the user corresponding to the ID code received by the receiving means. ,
A user information utilization system, wherein the portable device does not store user-specific personal information capable of directly specifying a user, and stores the user-specific personal information in the database.

The user information utilization system according to claim 6, wherein the portable device uses radio waves as an information transmission medium and is always worn on a user's body.

The mobile device transmits an encrypted ID code to the terminal device,
8. The user information use system according to claim 6, further comprising a decryption unit for decrypting the encrypted ID code output from the portable device.

The mobile device further stores a registration institution code for specifying the predetermined institution where the registration procedure has been performed,
A registration institution code for transmitting a registration institution code for certifying that the ID code is transmitted to the predetermined organization for which the registration procedure has been performed to the portable device and prompting the portable device to output the ID code. The user information utilization system according to any one of claims 6 to 8, further comprising means.

The mobile device is capable of storing a plurality of types of the registration agency code,
Registration institution transmission request means for outputting a transmission request for a predetermined registration institution code to the portable device;
10. When the registration institution code requested by the registration institution transmission requesting means is output from the portable device, an ID code of the portable device is transmitted to the predetermined institution specified by the registration institution code. User information utilization system described in 4.

The terminal device is mounted on an ambulance, and includes a medical institution code transmission request unit that outputs a request for transmitting a registration institution code for specifying a medical institution in which the registration procedure has been performed on the portable device,
When the registered institution code of the medical institution requested by the medical institution code transmission requesting means is output from the portable device, the ID code of the portable device is transmitted to the medical institution specified by the registered institution code. The user information utilization system according to claim 10, wherein the information about the user corresponding to the ID code is received when the information about the user is transmitted from the medical institution.

The terminal device includes a financial institution code transmission request unit that outputs a transmission request of a registration institution code for specifying the financial institution in which the registration procedure is being performed on the portable device,
When the registered institution code of the financial institution requested by the financial institution code transmission requesting means is output from the portable device, the ID code of the portable device is transmitted to the financial institution specified by the registered institution code. The user information utilization system according to claim 10, wherein the information about the user corresponding to the ID code is received when the information about the user is transmitted from the financial institution.

Medication identification information reading means attached to a drug to be administered to a patient and reads medication identification information capable of specifying the type of the drug,
Medication suitability determination means for determining whether to administer the drug to a patient to be administered based on the medication identification information read by the medication identification information reading means,
Warning generating means for generating a warning when the medication suitability determining means determines that medication should not be performed,
The database further stores medication identification information capable of specifying a type of medicine to be administered to a patient corresponding to the ID code in association with the ID code,
The medication suitability determination means retrieves the database based on the ID code read from the portable device owned by the patient to be medication, and determines the medication identification information and the medication identification information read by the medication identification information reading means. 10. The user information use system according to claim 6, wherein the determination as to whether or not the medication is appropriate is made based on whether or not the information matches.

It further includes a passage permission determining means for determining whether or not the passage of the building entrance is permitted,
The passage permission determining means includes:
Traffic-prohibited ID registration means for pre-registering ID codes that should not be allowed to pass;
ID code reading means for reading an ID code stored in a portable device owned by a user who wants to pass through the entrance,
Coincidence determining means for determining whether or not the ID code read by the ID code reading means matches any of the ID codes registered in the traffic-blocking ID registering means;
10. An opening permitting control means for performing control for permitting the opening of the entrance on condition that the coincidence judging means judges that they do not coincide with each other. User information utilization system.

User agent storage means for storing a user agent for assisting a user, wherein the user agent storage means stores a user agent corresponding to the ID code based on the ID code so that the user agent can be determined;
A task of determining a user agent corresponding to the transmitted ID code from a plurality of user agents stored in the user agent storage means and requesting the determined user agent for a predetermined task. The user information use system according to claim 6, further comprising a request unit.

16. The user information use system according to claim 15, wherein the user agent has an execution permission determining function of determining whether or not the action that the user intends to execute is permitted.

The user agent has predetermined information about the user as knowledge, and when receiving a job request from the job requesting means, the user agent stores information about the user necessary for the action that the user intends to perform in the knowledge. 17. The user information utilization system according to claim 15, wherein a process for selecting and using the information is performed.

The user agent stores the action history data of the user, and when there is a browsing request for the action history data, determines whether browsing is permitted, and determines that browsing is permitted. The user information use system according to any one of claims 15 to 17, further comprising a function of outputting the action history data when the user has performed the action history data.

When there is an access to the information about the user stored in the database, the information about the user to be accessed, the accessor identifying information for identifying the accessing person, and the time identifying information for identifying the accessing time. Access history data storage means for storing access history data including:
When a user requests access history data of information relating to the user, the access history data of the corresponding user is stored in the access history data storage unit based on the ID code stored in the portable device owned by the user. Indexing means for determining from stored data;
19. The user information use system according to claim 6, further comprising: access history data presenting means for presenting the access history data indexed by said indexing means to said user.