(57)【要約】  計測装置（１１）は、生体データを計測し、生体データを暗号鍵で暗号化し暗号化生体データを生成し、生体データの復号鍵から、互いに異なる２組の分散情報が揃うと復号鍵を再現できる第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを生成する。計測装置（１１）は、第二分散情報ＳＳＤを暗号化することにより暗号化第二分散情報を生成する。計測装置（１１）は、暗号化生体データと、第一分散情報ＦＳＤと、暗号化第二分散情報とを、中間装置（１３）を介してサーバ装置（１５）に送信する。
2010116678.tif 000002
【特許請求の範囲】
【請求項１】
生体データを計測するヘルスケアシステムであって、
生体データを計測する計測装置と、
前記生体データを収集するサーバ装置と、
前記計測装置から前記生体データを受信し、受信した前記生体データを前記サーバ装置に送信する中間装置とを備え、
前記計測装置は、
患者の生体データを計測する計測部と、
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成する生体データ暗号部と、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成する分散部と、
前記分散部により生成された前記第二分散情報を、前記サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成する第二分散情報暗号部と、
前記生体データ暗号部により生成された前記暗号化生体データ、前記分散部により生成された第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、前記中間装置に送信する第一通信部とを備え、
前記中間装置は、
前記計測装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信する第二通信部と、
前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する第三通信部とを備え、
前記サーバ装置は、
前記中間装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信する第四通信部と、
前記第四通信部が受信した前記暗号化第二分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第二分散情報を生成する分散情報復号部と、
前記第四通信部が受信した前記第一分散情報と前記分散情報復号部により生成された第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元する復元部と、
前記復元部で復元された前記復号鍵を用いて、前記第四通信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する生体データ復号部とを備える
ヘルスケアシステム。
【請求項２】
前記第一通信部は、さらに、前記第二分散情報を前記中間装置に送信し、
前記第二通信部は、さらに、前記計測装置から前記第二分散情報を受信し、
前記中間装置は、さらに、
前記第二通信部が受信した前記第一分散情報のみを記憶している記憶部と、
前記記憶部に記憶されている前記第一分散情報と前記第二通信部が受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて前記第二通信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号部と、
前記中間装置側生体データ復号部で生成された前記生体データを表示する表示部とを備える
請求項１記載のヘルスケアシステム。
【請求項３】
前記計測装置は、さらに、
前記分散部により生成された前記第一分散情報を、前記中間装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第一分散情報を生成する第一分散情報暗号部を備え、
前記第一通信部は、前記生体データ暗号部により生成された前記暗号化生体データ、前記第一分散情報暗号部により生成された前記暗号化第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、前記中間装置に送信し、
前記第二通信部は、前記計測装置から、前記暗号化生体データ、前記暗号化第一分散情報及び前記暗号化第二分散情報を受信し、
前記中間装置は、さらに、
前記第二通信部が受信した前記暗号化第一分散情報を前記中間装置が有する前記復号鍵で復号することにより、前記第一分散情報を生成する第一分散情報復号部を備える
請求項１又は２記載のヘルスケアシステム。
【請求項４】
前記第一分散情報復号部は、さらに、前記第一分散情報復号部が生成した前記第一分散情報を、前記サーバ装置が有する前記復号鍵に対応する前記暗号鍵で暗号化することにより、第二暗号化第一分散情報を生成し、
前記第三通信部は、前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報復号部が生成した前記第二暗号化第一分散情報及び前記第二通信部が受信した前記暗号化第二分散情報を、前記サーバ装置に送信し、
前記第四通信部は、前記中間装置から、前記暗号化生体データ、前記第二暗号化第一分散情報及び前記暗号化第二分散情報を受信し、
前記分散情報復号部は、さらに、前記第二暗号化第一分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第一分散情報を生成し、
前記復元部は、前記分散情報復号部により生成された前記第一分散情報及び前記第二分散情報から、前記暗号化生体データを復号するための前記復号鍵を復元する
請求項３記載のヘルスケアシステム。
【請求項５】
前記ヘルスケアシステムは、さらに、
前記中間装置から前記生体データを受信し、受信した前記生体データを前記サーバ装置に送信するアクセス装置を備え、
前記分散部は、さらに、前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な、前記第一分散情報及び前記第二分散情報と異なる第三分散情報を生成し、
前記計測装置は、さらに、
前記分散部により生成された前記第三分散情報を、前記アクセス装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第三分散情報を生成する第三分散情報暗号部を備え、
前記第一通信部は、さらに、前記暗号化第三分散情報を前記中間装置に送信し、
前記第二通信部は、さらに、前記計測装置から、前記暗号化第三分散情報を受信し、
前記第三通信部は、前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報、前記暗号化第二分散情報及び前記暗号化第三分散情報を、前記アクセス装置に送信し、
前記アクセス装置は、
前記中間装置から、前記暗号化生体データ、前記第一分散情報、前記暗号化第二分散情報及び前記暗号化第三分散情報を受信する第五通信部と、
前記第五通信部が受信した前記暗号化第三分散情報を前記アクセス装置が有する前記復号鍵で復号することにより、前記第三分散情報を生成する第三分散情報復号部と、
前記第五通信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する第六通信部とを備え、
前記第四通信部は、前記アクセス装置から、前記暗号化生体データ、前記第一分散情報、及び前記暗号化第二分散情報を受信する
請求項１〜４のいずれか１項に記載のヘルスケアシステム。
【請求項６】
前記第三分散情報復号部は、さらに、生成した前記第三分散情報を前記サーバ装置が有する前記復号鍵に対応する暗号鍵で暗号化することにより第二暗号化第三分散情報を生成し、
前記第六通信部は、さらに、前記第三分散情報復号部が生成した前記第二暗号化第三分散情報を、前記サーバ装置に送信し、
前記第四通信部は、さらに、前記アクセス装置から、前記第二暗号化第三分散情報を受信し、
前記分散情報復号部は、さらに、前記第四通信部が受信した前記第二暗号化第三分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第三分散情報を生成し、
前記復元部は、前記第四通信部が受信した前記第一分散情報と前記分散情報復号部により生成された前記第二分散情報及び前記第三分散情報との内の、２つから前記暗号化生体データを復号するための前記復号鍵を復元する
請求項５記載のヘルスケアシステム。
【請求項７】
前記サーバ装置は、さらに、
前記第二分散情報を保持している保持部と、
前記保持部に保持されている前記第二分散情報を、前記計測装置とは異なる前記計測装置と同一の構成を有する他の計測装置に供給する供給部を備える
請求項１〜６のいずれか１項に記載のヘルスケアシステム。
【請求項８】
前記サーバ装置は、さらに、
前記第一分散情報を保持している保持部と、
前記保持部に保持されている前記第一分散情報を、前記中間装置とは異なる前記中間装置と同一の構成を有する他の中間装置に供給する供給部を備える
請求項１〜６のいずれか１項に記載のヘルスケアシステム。
【請求項９】
前記サーバ装置は、さらに、
前記復元部で復元された前記復号鍵から、前記第一分散情報及び前記第二分散情報とは異なり、かつ前記計測装置とは異なる前記計測装置と同一の構成を有する他の計測装置に対応付けられた１つの分散情報を生成し、生成した前記１つの分散情報を前記他の計測装置に供給する供給部を備える
請求項１〜６のいずれか１項に記載のヘルスケアシステム。
【請求項１０】
前記サーバ装置は、さらに、
前記復元部で復元された前記復号鍵から、前記第一分散情報及び前記第二分散情報とは異なり、かつ前記中間装置とは異なる前記中間装置と同一の構成を有する他の中間装置に対応付けられた１つの分散情報を生成し、生成した前記１つの分散情報を前記他の中間装置に供給する供給部を備える
請求項１〜６のいずれか１項に記載のヘルスケアシステム。
【請求項１１】
前記計測装置は、計測端末と管理端末とを含み、
前記計測端末は、
前記計測部と、
前記生体データ暗号部と、
前記分散部と、
前記第一分散情報暗号部と、
前記暗号化生体データ、前記暗号化第一分散情報及び前記第二分散情報を前記管理端末に送信する送信部とを備え、
前記管理端末は、
前記計測端末から、前記暗号化生体データ、前記暗号化第一分散情報及び前記第二分散情報を受信する受信部と、
第二分散情報暗号部と、
前記第一通信部とを備え、
前記第二分散情報暗号部は、前記受信部が受信した前記第二分散情報を、前記サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより前記暗号化第二分散情報を生成する
請求項３記載のヘルスケアシステム。
【請求項１２】
前記第一分散情報及び前記第二分散情報の各々は、複数のデータの組である
請求項１〜１１のいずれか１項に記載のヘルスケアシステム。
【請求項１３】
生体データを計測する生体データ計測方法であって、
計測装置が患者の生体データを計測し、
前記計測装置が前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成し、
前記計測装置が前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成し、
前記計測装置が前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成し、
前記計測装置が前記暗号化生体データ、第一分散情報及び前記暗号化第二分散情報を、中間装置に送信し、
前記中間装置が前記計測装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信し、
前記中間装置が前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信し、
前記サーバ装置が前記中間装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信し、
前記サーバ装置が前記暗号化第二分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第二分散情報を生成し、
前記サーバ装置が前記第一分散情報と第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、
前記サーバ装置が前記復号鍵を用いて、前記暗号化生体データを復号することにより前記生体データを生成する
生体データ計測方法。
【請求項１４】
生体データを計測する計測装置であって、
患者の生体データを計測する計測部と、
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成する生体データ暗号部と、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成する分散部と、
前記分散部により生成された前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成する第二分散情報暗号部と、
前記生体データ暗号部により生成された前記暗号化生体データ、前記分散部により生成された第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、中間装置に送信する第一通信部と
を備える計測装置。
【請求項１５】
生体データを計測する計測方法であって、
患者の生体データを計測し、
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成し、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成し、
生成された前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成し、
生成された前記暗号化生体データ、第一分散情報及び前記暗号化第二分散情報を、外部に送信する
計測方法。
【請求項１６】
生体データを計測するためのプログラムであって、
患者の生体データを計測するステップと
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成するステップと、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成するステップと、
生成された前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成するステップと、
生成された前記暗号化生体データ、第一分散情報及び前記暗号化第二分散情報を、外部に送信するステップと
をコンピュータに実行させるためのプログラム。
【請求項１７】
生体データを計測する集積回路であって、
患者の生体データを計測する計測部と、
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成する生体データ暗号部と、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成する分散部と、
前記分散部により生成された前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成する第二分散情報暗号部と、
前記生体データ暗号部により生成された前記暗号化生体データ、前記分散部により生成された第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、中間装置に送信する第一通信部と
を備える集積回路。
【請求項１８】
計測装置で計測された生体データをサーバ装置へ中継する中間装置であって、
前記計測装置から、（ｉ）生体データを暗号化した暗号化生体データと、（ｉｉ）互いに異なる２つの分散情報が揃った場合にのみ前記暗号化生体データを復号するための復号鍵を復元することが可能な前記２つの分散情報のうちの一方の分散情報である第一分散情報と、（ｉｉｉ）前記２つの分散情報のうちの他方の分散情報である第二分散情報を暗号化した暗号化第二分散情報とを受信する受信部と、
前記受信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する送信部と、
前記受信部が受信した前記第一分散情報のみを記憶している記憶部と
を備え、
前記受信部は、さらに、前記計測装置から前記第二分散情報を受信し、
前記中間装置は、さらに、
前記記憶部に記憶されている前記第一分散情報と前記受信部が受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて前記受信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号部と、
前記中間装置側生体データ復号部で生成された前記生体データを表示する表示部と
を備える中間装置。
【請求項１９】
計測装置で計測された生体データをサーバ装置へ中継する中継方法であって、
前記計測装置から、（ｉ）生体データを暗号化した暗号化生体データと、（ｉｉ）互いに異なる２つの分散情報が揃った場合にのみ前記暗号化生体データを復号するための復号鍵を復元することが可能な前記２つの分散情報のうちの一方の分散情報である第一分散情報と、（ｉｉｉ）前記２つの分散情報のうちの他方の分散情報である第二分散情報を暗号化した暗号化第二分散情報とを受信する受信ステップと、
受信された前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する送信ステップと
を含み、
前記受信ステップでは、さらに、前記計測装置から前記第二分散情報を受信し、
前記中継方法は、さらに、
記憶部に記憶されている前記第一分散情報と受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号ステップと、
生成された前記生体データを表示する表示ステップとを含む
中継方法。
【請求項２０】
計測装置で計測された生体データをサーバ装置へ中継するためのプログラムであって、
前記計測装置から、（ｉ）生体データを暗号化した暗号化生体データと、（ｉｉ）互いに異なる２つの分散情報が揃った場合にのみ前記暗号化生体データを復号するための復号鍵を復元することが可能な前記２つの分散情報のうちの一方の分散情報である第一分散情報と、（ｉｉｉ）前記２つの分散情報のうちの他方の分散情報である第二分散情報を暗号化した暗号化第二分散情報とを受信する受信ステップと、
受信された前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する送信ステップと
をコンピュータに実行させ、
前記受信ステップでは、さらに、前記計測装置から前記第二分散情報を受信し、
前記中継方法は、さらに、
記憶部に記憶されている前記第一分散情報と受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号ステップと、
生成された前記生体データを表示する表示ステップとを含む
プログラム。
【請求項２１】
計測装置で計測された生体データをサーバ装置へ中継する集積回路であって、
前記計測装置から、（ｉ）生体データを暗号化した暗号化生体データと、（ｉｉ）互いに異なる２つの分散情報が揃った場合にのみ前記暗号化生体データを復号するための復号鍵を復元することが可能な前記２つの分散情報のうちの一方の分散情報である第一分散情報と、（ｉｉｉ）前記２つの分散情報のうちの他方の分散情報である第二分散情報を暗号化した暗号化第二分散情報とを受信する受信部と、
前記受信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する送信部と、
前記受信部が受信した前記第一分散情報のみを記憶している記憶部と
を備え、
前記受信部は、さらに、前記計測装置から前記第二分散情報を受信し、
前記中間装置は、さらに、
前記記憶部に記憶されている前記第一分散情報と前記受信部が受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて前記受信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号部と、
前記中間装置側生体データ復号部で生成された前記生体データを表示する表示部と
を備える集積回路。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、患者が計測装置にて計測した体重又は血圧などの生体データの秘匿性を保護することが可能なヘルスケアシステムに関する。
【背景技術】
【０００２】
近年、高齢化社会が急速に進んでおり、それにより病院で何らかの処置（診察や手術など）を行う必要のある患者の数が増加している。しかし、一方で、医療費の削減により、特に地方を中心に、医者及び病床数は増えていない。そのため、将来、増え続ける患者の数に対して、入院に必要な病床数が不足することから、病院側はできるだけ患者の入院期間を短くするようになると予想される。そこで具体的にとられる施策としては、患者の自宅での在宅ケアが考えられる。その際、下記のようなヘルスケアシステムの利用方法が考えられる。まず患者は、体重、血圧及び体組成などの生体データを計測できる各種計測装置を病院からレンタルする。患者は、それらを使って、毎日の生体データを計測し、計測した生体データをそれらに蓄積する。そして、定期的に、病院から派遣される看護師が患者宅を訪問し、それら計測装置に蓄積された生体データを収集し、収集した生体データを病院の管理しているサーバ装置に登録する。それと同時に、収集した生体データを踏まえて、看護師は健康に関する指導及びアドバイスを患者に対して行う。また、サーバに登録された生体データは、担当医が確認し、必要に応じて看護師に対して適切な指示を行う。このような在宅サービスにより、病院への入院期間を短くすることができ、病床不足も解消される。【０００３】
一方、患者の生体データは当該患者にとってはプライベートな個人情報であるから、情報漏洩に対する対策が必須となる。例えば、看護師が患者から入手した生体データを記録した情報端末を紛失してしまう可能性がある。そのような脅威に対処するための１つの手段として、生体データの計測時に、生体データの送り先であるサーバ装置が復号できるような形で、患者の生体データを暗号化することが考えられる。つまり、計測装置とサーバ装置とは予め秘密鍵を共有しているとし、計測装置は生体データをその秘密鍵で暗号化して送信し、受信したサーバ装置は同じ秘密鍵で復号し、元の生体データを得る。これにより、生体データを受け渡しする看護師が保持する情報端末を紛失しても、生体データが露呈してしまう恐れはない。【０００４】
しかし、上記のように、計測装置が、サーバ装置と共有している秘密鍵で生体データを暗号化して送信する場合、看護師が保持する情報端末には秘密鍵が記憶されていないためその情報端末では生体データを復号できない。このため、看護師は、その情報端末を使って患者の生体データを参照することができず、不便が生じる。しかしながら、看護師の情報端末で患者の生体データが常に参照できるようにすると、その情報端末を紛失した際に、生体データが第三者に露呈してしまう。このような操作者の利便性と機密データの秘匿性との２つの要求を満たすための１つの技術として、例えば特許文献１で述べられているような、秘密分散法を用いるシステムが知られている。このシステムを構成する複数の装置は、それぞれ異なる分散情報を保持し、各装置単体では秘密情報は得られないが、複数の分散情報を組み合わせることにより、秘密情報を得ることができる。このような秘密分散法を利用することにより、看護師が保持する情報端末単体では秘密情報は得られないが、看護師が保持する情報端末と患者が保持する計測装置が揃った場合に、秘密情報が得られるようなシステムを構築することが可能である。このようなシステムにより、先の２つの要求を満たすことができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００３−３４８０６５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１には、システムを構成する複数の装置がそれぞれ直接通信可能な状況において、どのように分散情報を配布するか、及びどのように秘密情報を復元するかについての技術が開示されている。【０００７】
しかしながら、複数の装置が存在する場合に、ある装置と別の装置が直接通信できない場合が考えられる。例えば、上述の例の場合、患者の保持する計測装置と病院が管理するサーバ装置は、直接通信できない。より具体的には、計測装置とサーバ装置は看護師が保持する共通の情報端末と通信できるが、計測装置からサーバ装置に分散情報を送信したい場合、看護師が保持する情報端末を介して行われることになる。このとき、看護師がその情報端末を紛失してしまうと分散情報が第三者に露呈してしまう恐れがある。【０００８】
そこで、本発明では、上記課題に鑑みてなされたものであって、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することが可能なヘルスケアシステムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するために、本発明のある局面に係るヘルスケアシステムは、生体データを計測するヘルスケアシステムであって、生体データを計測する計測装置と、前記生体データを収集するサーバ装置と、前記計測装置から前記生体データを受信し、受信した前記生体データを前記サーバ装置に送信する中間装置とを備え、前記計測装置は、患者の生体データを計測する計測部と、前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成する生体データ暗号部と、前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成する分散部と、前記分散部により生成された前記第二分散情報を、前記サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成する第二分散情報暗号部と、前記生体データ暗号部により生成された前記暗号化生体データ、前記分散部により生成された第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、前記中間装置に送信する第一通信部とを備え、前記中間装置は、前記計測装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信する第二通信部と、前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する第三通信部とを備え、前記サーバ装置は、前記中間装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信する第四通信部と、前記第四通信部が受信した前記暗号化第二分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第二分散情報を生成する分散情報復号部と、前記第四通信部が受信した前記第一分散情報と前記分散情報復号部により生成された第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元する復元部と、前記復元部で復元された前記復号鍵を用いて、前記第四通信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する生体データ復号部とを備える。【００１０】
この構成によると、計測した生体データを暗号化する際に用いた暗号鍵に対応する復号鍵が第一分散情報及び第二分散情報に分散される。このうち、第二分散情報がサーバ装置が有する復号鍵に対応する暗号鍵で暗号化され、暗号化第二分散情報が第一分散情報とともに中間装置を介してサーバ装置に送信される。暗号化第二分散情報はサーバ装置しか復号することができず、第一分散情報と第二分散情報とが揃わなければ復号鍵を復元することができないことより、第一分散情報と暗号化第二分散情報とを有する中間装置は、復号鍵を復元することができない。一方、サーバ装置は、暗号化第二分散情報を復号することにより第二分散情報を生成し、第一分散情報と第二分散情報とから復号鍵を復元することができる。このため、サーバ装置は、復号鍵を用いて暗号化生体データを復号することができる。よって、仮に中間装置を紛失した場合であっても、復号鍵を復元することはできない。そのため、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することができる。【００１１】
好ましくは、前記第一通信部は、さらに、前記第二分散情報を前記中間装置に送信し、前記第二通信部は、さらに、前記計測装置から前記第二分散情報を受信し、前記中間装置は、さらに、前記第二通信部が受信した前記第一分散情報のみを記憶している記憶部と、前記記憶部に記憶されている前記第一分散情報と前記第二通信部が受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて前記第二通信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号部と、前記中間装置側生体データ復号部で生成された前記生体データを表示する表示部とを備える。【００１２】
この構成によると、中間装置は、第一分散情報のみを記憶しており、計測装置から第二分散情報を受信すると、第一分散情報及び第二分散情報が揃い、復号鍵を復元することができる。このため、中間装置は、暗号化生体データを復号鍵を用いて復号し、生体データを表示部に表示することができる。中間装置が記憶しているのは第一分散情報のみであり、中間装置は計測装置から第二分散情報を受信した場合にのみ生体データを表示することができる。そのため、計測装置と中間装置とが揃わないと生体データを表示部に表示することができない。その結果、中間装置単独で用いても生体データを確認できず、計測装置を利用する患者が関知しない所で生体データを他人に見られるのを防止できる。【００１３】
また、計測装置と中間装置とが揃わないと生体データを中間装置の表示部に表示させることができないので、中間装置を紛失しても生体データが漏洩するのを防止できる。【００１４】
さらに、秘密分散法を用いることで、秘密漏洩のリスクを完全に防止できる。【００１５】
さらに好ましくは、前記ヘルスケアシステムは、さらに、前記中間装置から前記生体データを受信し、受信した前記生体データを前記サーバ装置に送信するアクセス装置を備え、前記分散部は、さらに、前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な、前記第一分散情報及び前記第二分散情報と異なる第三分散情報を生成し、前記計測装置は、さらに、前記分散部により生成された前記第三分散情報を、前記アクセス装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第三分散情報を生成する第三分散情報暗号部を備え、前記第一通信部は、さらに、前記暗号化第三分散情報を前記中間装置に送信し、前記第二通信部は、さらに、前記計測装置から、前記暗号化第三分散情報を受信し、前記第三通信部は、前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報、前記暗号化第二分散情報及び前記暗号化第三分散情報を、前記アクセス装置に送信し、前記アクセス装置は、前記中間装置から、前記暗号化生体データ、前記第一分散情報、前記暗号化第二分散情報及び前記暗号化第三分散情報を受信する第五通信部と、前記第五通信部が受信した前記暗号化第三分散情報を前記アクセス装置が有する前記復号鍵で復号することにより、前記第三分散情報を生成する第三分散情報復号部と、前記第五通信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する第六通信部とを備え、前記第四通信部は、前記アクセス装置から、前記暗号化生体データ、前記第一分散情報、及び前記暗号化第二分散情報を受信する。【００１６】
第三分散情報は、計測装置で暗号化され、暗号化第三分散情報として、中間装置に送信される。しかし、暗号化第三分散情報は、アクセス装置のみしか復号することができない。このため、中間装置は、単体では２つの分散情報を取得することができない。また、第一分散情報は中間装置で暗号化され、第二暗号化第一分散情報としてアクセス装置に送信される。暗号化第三分散情報はアクセス装置で復号可能であるが、第二暗号化第一分散情報は、サーバ装置のみしか復号することができない。このため、アクセス装置は、単体では２つの分散情報を取得することができない。よって、仮に中間装置又はアクセス装置を紛失した場合であっても、復号鍵を復元することはできない。そのため、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することができる。【００１７】
また、中間装置は第一分散情報を有し、アクセス装置は第三分散情報を有していることより、両装置が揃えば、２つの分散情報が揃い、復号鍵を復元することができる。このため、中間装置は、暗号化生体データを復号鍵を用いて復号し、生体データを表示部に表示することができる。【００１８】
さらに好ましくは、前記サーバ装置は、さらに、前記第二分散情報を保持している保持部と、前記保持部に保持されている前記第二分散情報を、前記計測装置とは異なる前記計測装置と同一の構成を有する他の計測装置に供給する供給部を備える。【００１９】
この構成によると、計測装置の紛失又は故障等により、計測装置中の第二分散情報がなくなった場合でも、サーバ装置が他の計測装置に第二分散情報を供給することにより、他の計測装置が第二分散情報を取得できる。このため、中間装置が有する第一分散情報と合わせれば、他の計測装置を用いても暗号化生体データの復号が可能となる。【００２０】
また、前記サーバ装置は、さらに、前記第一分散情報を保持している保持部と、前記保持部に保持されている前記第一分散情報を、前記中間装置とは異なる前記中間装置と同一の構成を有する他の中間装置に供給する供給部を備えていてもよい。【００２１】
この構成によると、中間装置の紛失又は故障等により、中間装置中の第一分散情報がなくなった場合でも、サーバ装置が他の中間装置に第一分散情報を供給することにより、他の中間装置が第一分散情報を取得できる。このため、計測装置が有する第二分散情報と合わせれば、他の中間装置を用いても暗号化生体データの復号が可能となる。【００２２】
また、前記サーバ装置は、さらに、前記復元部で復元された前記復号鍵から、前記第一分散情報及び前記第二分散情報とは異なり、かつ前記計測装置とは異なる前記計測装置と同一の構成を有する他の計測装置に対応付けられた１つの分散情報を生成し、生成した前記１つの分散情報を前記他の計測装置に供給する供給部を備えていてもよい。【００２３】
この構成によると、計測装置の紛失又は故障等により、計測装置中の第二分散情報がなくなった場合でも、サーバ装置が他の計測装置に分散情報を供給することにより、他の計測装置が分散情報を取得できる。このため、中間装置が有する第一分散情報と合わせれば、他の計測装置を用いても暗号化生体データの復号が可能となる。また、サーバ装置が供給する分散情報は第一分散情報及び第二分散情報と異なり、かつ他の計測装置と対応付けられている。このため、他の計測装置から外部に分散情報が流出した場合に、どの計測装置から流出したのかを特定することが可能となる。【００２４】
また、前記サーバ装置は、さらに、前記復元部で復元された前記復号鍵から、前記第一分散情報及び前記第二分散情報とは異なり、かつ前記中間装置とは異なる前記中間装置と同一の構成を有する他の中間装置に対応付けられた１つの分散情報を生成し、生成した前記１つの分散情報を前記他の中間装置に供給する供給部を備えていてもよい。【００２５】
この構成によると、中間装置の紛失又は故障等により、中間装置中の第一分散情報がなくなった場合でも、サーバ装置が他の中間装置に分散情報を供給することにより、他の中間装置が分散情報を取得できる。このため、計測装置が有する第二分散情報と合わせれば、他の中間装置を用いても暗号化生体データの復号が可能となる。また、サーバ装置が供給する分散情報は第一分散情報及び第二分散情報と異なり、かつ他の中間装置と対応付けられている。このため、他の中間装置から外部に分散情報が流出した場合に、どの中間装置から流出したのかを特定することが可能となる。【００２６】
また、前記計測装置は、計測端末と管理端末とを含み、前記計測端末は、前記計測部と、前記生体データ暗号部と、前記分散部と、前記第一分散情報暗号部と、前記暗号化生体データ、前記暗号化第一分散情報及び前記第二分散情報を前記管理端末に送信する送信部とを備え、前記管理端末は、前記計測端末から、前記暗号化生体データ、前記暗号化第一分散情報及び前記第二分散情報を受信する受信部と、第二分散情報暗号部と、前記第一通信部とを備え、前記第二分散情報暗号部は、前記受信部が受信した前記第二分散情報を、前記サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより前記暗号化第二分散情報を生成してもよい。【００２７】
この構成によると、計測装置を、計測端末と管理端末とに分離し、第一分散情報が計測端末で暗号化され、第二分散情報は管理端末で暗号化される。このように、２つの分散情報を暗号化する端末を異ならせているため、データが外部に流出した場合であっても、分散情報を復元しにくくすることができる。【００２８】
なお、本発明は、このような特徴的な処理部を備えるヘルスケアシステムとして実現することができるだけでなく、ヘルスケアシステムに含まれる特徴的な処理部が実行する処理をステップとする生体データ計測方法として実現したり、生体データ計測方法に含まれる特徴的なステップをコンピュータに実行させるプログラムとして実現したりすることもできる。そして、そのようなプログラムを、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ−Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）等のコンピュータ読取可能な不揮発性の記録媒体やインターネット等の通信ネットワークを介して流通させることができるのは、言うまでもない。
【発明の効果】
【００２９】
本発明によれば、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することが可能なヘルスケアシステムを提供することができる。
【図面の簡単な説明】
【００３０】
【図１】図１は、本発明の実施の形態１に係るヘルスケアシステムの構成を示すブロック図である。
【図２】図２は、計測装置の構成を示すブロック図である。
【図３】図３は、秘密分散法の説明図である。
【図４】図４は、計測装置の第一格納部の構成を示す図である。
【図５】図５は、計測装置の第一格納部の分散データＤＢの構成を示す図である。
【図６】図６は、計測装置の第一格納部の生体データＤＢの構成を示す図である。
【図７】図７は、計測装置の第一格納部の暗号鍵ＤＢの構成を示す図である。
【図８】図８は、計測装置の第一格納部の装置情報ＤＢの構成を示す図である。
【図９】図９は、第一データＦＤの構成を示す図である。
【図１０】図１０は、中間装置の構成を示すブロック図である。
【図１１】図１１は、中間装置の第二格納部の構成を示す図である。
【図１２】図１２は、中間装置の第二格納部の第二分散データＤＢの構成を示す図である。
【図１３】図１３は、中間装置の第二格納部の第二生体データＤＢの構成を示す図である。
【図１４】図１４は、中間装置の第二格納部の第二装置情報ＤＢの構成を示す図である。
【図１５】図１５は、第二データＳＤの構成を示す図である。
【図１６】図１６は、サーバ装置の構成を示すブロック図である。
【図１７】図１７は、サーバ装置の第三格納部の構成を示す図である。
【図１８】図１８は、サーバ装置の第四格納部の構成を示す図である。
【図１９】図１９は、サーバ装置の第五格納部の構成を示す図である。
【図２０】図２０は、サーバ装置の第五格納部の第三生体データＤＢの構成を示す図である。
【図２１】図２１は、サーバ装置の第五格納部の第二暗号鍵ＤＢの構成を示す図である。
【図２２】図２２は、サーバ装置の第五格納部の第三装置情報ＤＢの構成を示す図である。
【図２３】図２３は、ヘルスケアシステムの概念を示す図である。
【図２４】図２４は、ヘルスケアシステムの動作例の概念を示す図である。
【図２５】図２５は、ヘルスケアシステムでの計測時の動作例を示すフローチャートである。
【図２６】図２６は、計測装置の「計測処理」の詳細を示すフローチャートである。
【図２７】図２７は、計測装置の「暗号処理」の詳細を示すフローチャートである。
【図２８】図２８は、計測装置の「送信処理」の詳細を示すフローチャートである。
【図２９】図２９は、中間装置の「送受信処理」の詳細を示すフローチャートである。
【図３０】図３０は、サーバ装置の「受信処理」の詳細を示すフローチャートである。
【図３１】図３１は、ヘルスケアシステムでの生体データ表示時の動作例を示すフローチャートである。
【図３２Ａ】図３２Ａは、中間装置の「要求処理」の詳細を示すフローチャートである。
【図３２Ｂ】図３２Ｂは、中間装置の「表示処理」の詳細を示すフローチャートである。
【図３３】図３３は、計測装置の「応答処理」の詳細を示すフローチャートである。
【図３４】図３４は、ヘルスケアシステムの動作の概念を示す別の図である。
【図３５】図３５は、ヘルスケアシステムでの代替計測装置設定時の動作例を示すフローチャートである。
【図３６Ａ】図３６Ａは、計測装置の「第一設定処理」の詳細を示すフローチャートである。
【図３６Ｂ】図３６Ｂは、計測装置の「第一反映処理」の詳細を示すフローチャートである。
【図３７】図３７は、サーバ装置の「第一設定応答処理」の詳細を示すフローチャートである。
【図３８】図３８は、ヘルスケアシステムの動作の概念を示すさらに別の図である。
【図３９】図３９は、ヘルスケアシステムでの代替中間装置設定時の動作例を示すフローチャートである。
【図４０Ａ】図４０Ａは、中間装置の「第二設定処理」の詳細を示すフローチャートである。
【図４０Ｂ】図４０Ｂは、中間装置の「第二反映処理」の詳細を示すフローチャートである。
【図４１】図４１は、サーバ装置の「第二設定応答処理」の詳細を示すフローチャートである。
【図４２】図４２は、本発明の実施の形態２に係るヘルスケアシステムの構成を示すブロック図である。
【図４３】図４３は、計測装置の構成を示すブロック図である。
【図４４】図４４は、計測装置の第一格納部の構成を示す図である。
【図４５】図４５は、計測装置の第一格納部の分散データＤＢの構成を示す図である。
【図４６】図４６は、計測装置の第一格納部の生体データＤＢの構成を示す図である。
【図４７】図４７は、計測装置の第一格納部の暗号鍵ＤＢの構成を示す図である。
【図４８】図４８は、計測装置の第一格納部の装置情報ＤＢの構成を示す図である。
【図４９】図４９は、第一データＦＤの構成を示す図である。
【図５０】図５０は、中間装置の構成を示すブロック図である。
【図５１】図５１は、中間装置の第二格納部の構成を示す図である。
【図５２】図５２は、中間装置の第二格納部の第二分散データＤＢの構成を示す図である。
【図５３】図５３は、中間装置の第二格納部の第二生体データＤＢの構成を示す図である。
【図５４】図５４は、中間装置の第二格納部の第二装置情報ＤＢの構成を示す図である。
【図５５】図５５は、第二データＳＤの構成を示す図である。
【図５６】図５６は、アクセス装置の構成を示すブロック図である。
【図５７】図５７は、第六格納部の構成を示す図である。
【図５８】図５８は、第六格納部の分散データＤＢの構成を示す図である。
【図５９】図５９は、第六格納部の装置情報ＤＢの構成を示す図である。
【図６０】図６０は、第三データＴＤの構成を示す図である。
【図６１】図６１は、サーバ装置の構成を示すブロック図である。
【図６２】図６２は、サーバ装置の第三格納部の構成を示す図である。
【図６３】図６３は、サーバ装置の第四格納部の構成を示す図である。
【図６４】図６４は、サーバ装置の第五格納部の構成を示す図である。
【図６５】図６５は、サーバ装置の第五格納部の第三生体データＤＢの構成を示す図である。
【図６６】図６６は、サーバ装置の第五格納部の第二暗号鍵ＤＢの構成を示す図である。
【図６７】図６７は、サーバ装置の第五格納部の第三装置情報ＤＢの構成を示す図である。
【図６８】図６８は、サーバ装置の第七格納部の構成を示す図である。
【図６９】図６９は、ヘルスケアシステムの動作の概念を示す図である。
【図７０】図７０は、ヘルスケアシステムの動作例の概念を示す図である。
【図７１】図７１は、ヘルスケアシステムでの計測時の動作例を示すフローチャートである。
【図７２】図７２は、計測装置の「計測処理」の詳細を示すフローチャートである。
【図７３】図７３は、計測装置の「暗号処理」の詳細を示すフローチャートである。
【図７４】図７４は、計測装置の「送信処理」の詳細を示すフローチャートである。
【図７５】図７５は、中間装置の「送受信処理」の詳細を示すフローチャートである。
【図７６】図７６は、アクセス装置の「第二送受信処理」の詳細を示すフローチャートである。
【図７７】図７７は、サーバ装置の「受信処理」の詳細を示すフローチャートである。
【図７８】図７８は、ヘルスケアシステムでの生体データ表示時の動作例を示すフローチャートである。
【図７９Ａ】図７９Ａは、中間装置の「要求処理」の詳細を示すフローチャートである。
【図７９Ｂ】図７９Ｂは、中間装置の「表示処理」の詳細を示すフローチャートである。
【図８０】図８０は、計測装置の「応答処理」の詳細を示すフローチャートである。
【図８１】図８１は、ヘルスケアシステムの動作を示す別の図である。
【図８２Ａ】図８２Ａは、中間装置の「第二設定処理」の詳細を示すフローチャートである。
【図８２Ｂ】図８２Ｂは、中間装置の「第二反映処理」の詳細を示すフローチャートである。
【図８３】図８３は、サーバ装置の「第二設定応答処理」の詳細を示すフローチャートである。
【図８４】図８４は、ヘルスケアシステムの動作を示すさらに別の図である。
【図８５Ａ】図８５Ａは、計測装置の「第一設定処理」の詳細を示すフローチャートである。
【図８５Ｂ】図８５Ｂは、計測装置の「第一反映処理」の詳細を示すフローチャートである。
【図８６】図８６は、サーバ装置の「第一設定応答処理」の詳細を示すフローチャートである。
【図８７】図８７は、ヘルスケアシステムの動作を示すさらに別の図である。
【図８８Ａ】図８８Ａは、中間装置の「要求処理」の詳細を示すフローチャートである。
【図８８Ｂ】図８８Ｂは、中間装置の「表示処理」の詳細を示すフローチャートである。
【図８９】図８９は、アクセス装置の「応答処理」の詳細を示すフローチャートである。
【図９０】図９０は、ヘルスケアシステムでの代替アクセス設定時の動作例を示すフローチャートである。
【図９１Ａ】図９１Ａは、中間装置の「第三設定処理」の詳細を示すフローチャートである。
【図９１Ｂ】図９１Ｂは、中間装置の「第三反映処理」の詳細を示すフローチャートである。
【図９２】図９２は、サーバ装置の「第三設定応答処理」の詳細を示すフローチャートである。
【図９３】図９３は、変形例（３）における分散データＤＢの構成を示す図である。
【図９４】図９４は、変形例（３）における暗号鍵ＤＢの構成を示す図である。
【図９５】図９５は、変形例（４）におけるヘルスケアシステムの構成を示すブロック図である。
【図９６】図９６は、変形例（４）における計測端末の構成を示すブロック図である。
【図９７】図９７は、変形例（４）における管理端末の構成を示すブロック図である。
【発明を実施するための形態】
【００３１】
（実施の形態１）
以下、本発明の実施の形態１について、図面を参照しながら説明する。
【００３２】
図１は、ヘルスケアシステム１の構成を示す構成図である。
【００３３】
ヘルスケアシステム１は、計測装置１１、中間装置１３、及びサーバ装置１５を備えている。計測装置１１及び中間装置１３は、第一通信路１２を介して接続され、中間装置１３及びサーバ装置１５は、第二通信路１４を介して接続されている。計測装置１１は、患者が保持する装置であり、患者の体温などの生体データを計測する機能を有する。中間装置１３は、看護師が保持する装置であり、計測装置１１で計測した生体データを、サーバ装置１５へ受け渡す役目を有する。また、中間装置１３は、看護師が患者宅を訪問した際に、患者の過去の生体データを閲覧できる機能を有する。これにより、看護師は患者に適切なアドバイスを行うことができる。サーバ装置１５は、病院が管理する装置であり、中間装置１３を経由して計測装置１１より収集された患者の生体データを管理する。ここで管理される生体データは、病院の担当医により閲覧される。
【００３４】
まずは第一通信路１２と第二通信路１４について述べ、続いて計測装置１１、中間装置１３、及びサーバ装置１５の構成について図を用いて説明する。
【００３５】
＜第一通信路１２の構成＞
第一通信路１２は、計測装置１１と中間装置１３との間で、各種データを送受信するための通信路である。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）などで実現される無線接続のための通信路、又はＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）などで実現される有線接続のための通信路である。
【００３６】
＜第二通信路１４の構成＞
第二通信路１４は、中間装置１３とサーバ装置１５との間で、各種データを送受信するための通信路である。例えばＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ  Ｄｉｓｔａｌ  Ｓｕｂｓｃｒｉｂｅｒ  Ｌｉｎｅ）、電話線、又は専用線などによって実現される。
【００３７】
＜計測装置１１の構成＞
次に、計測装置１１の構成について説明する。
【００３８】
図２は、計測装置１１の構成を示すブロック図である。図２に示す通り、計測装置１１は、計測部１１０、鍵生成部１１１、分散部１１２、第一格納部１１３、第一暗号部１１４、第一通信部１１５、第一送受信処理部１１６、復元応答処理部１１７、及び第一設定処理部１１８を備えている。これらの構成要素のうち、必須の構成要素は、計測部１１０、分散部１１２、第一暗号部１１４、及び第一通信部１１５である。
【００３９】
なお、計測部１１０、分散部１１２及び第一通信部１１５は、請求の範囲の計測部、分散部及び第一通信部にそれぞれ対応する。また、第一暗号部１１４は、請求の範囲の生体データ暗号部と、第一分散情報暗号部と、第二分散情報暗号部とに対応する。
【００４０】
（１）計測部１１０
計測部１１０は、患者の生体データＶＤを計測する。生体データＶＤは例えば、体重、体脂肪、体温、血圧、血糖値、脈拍数、心拍数、歩数、又は運動量などである。例えば生体データＶＤが体温の場合、生体データＶＤのデータサイズは３バイト（十の位、一の位、小数第一位がそれぞれ１バイト）である。計測装置１１は「計測ボタン」を有し、計測部１１０は、そのボタンが押された際に生体データＶＤを計測する機能を有する。なお、計測部１１０は時計機能を有し、生体データＶＤに計測時間を加えてもよい。例として、２００８年１０月１６日１１時２６分に計測された体温が３６．５℃の場合、生体データＶＤは「２００８／１０／１６  １１：２６  ３６５」となる。計測部１１０は、生成した生体データＶＤを他の機能ブロックに出力する。
【００４１】
（２）鍵生成部１１１
鍵生成部１１１は、第一格納部１１３の暗号鍵ＤＢに、暗号化鍵ＰＫと復号鍵ＳＫが設定されていない場合、公開鍵暗号の鍵ペアである暗号化鍵ＰＫと復号鍵ＳＫを作成する。公開鍵暗号は、例えばＲＳＡ（Ｒｉｖｅｓｔ  Ｓｈａｍｉｒ  Ａｄｌｅｍａｎ）方式又は楕円曲線暗号方式などの暗号である。ＲＳＡ方式及び楕円曲線暗号方式、並びにそれら方式の鍵生成方法については公知なので、その詳細な説明は繰り返さない。鍵生成部１１１は、その暗号化鍵ＰＫと復号鍵ＳＫを、第一格納部１１３の暗号鍵ＤＢに格納する。例えば、鍵生成部１１１は、計測装置１１を最初に起動した際に、暗号化鍵ＰＫと復号鍵ＳＫを生成してもよいし、計測部１１０で最初に生体データＶＤを計測する前に生成してもよい。なお、鍵生成部１１１は、必ずしも計測装置１１に備えられていなくても良い。つまり、計測装置１１は外部の装置より暗号化鍵ＰＫと復号鍵ＳＫとを受信しても良い。
【００４２】
（３）分散部１１２
分散部１１２は、鍵生成部１１１が鍵ペアを生成したあとに、第一格納部１１３の暗号鍵ＤＢに設定されている復号鍵ＳＫから、秘密分散法を用いて、互いに異なる２つの分散情報を作成する。秘密分散法とは、あるデータをｎ個に分割し、そのうちの互いに異なるｋ個が揃ったらもとのデータが復元できるといった手法であり、非特許文献１及び２に詳しい。ここで、ｋ、ｎはそれぞれ自然数であり、ｋ≦ｎを満たす。
【非特許文献１】Ｂｒｕｃｅ  Ｓｃｈｎｅｉｅｒ，“ＡＰＰＬＩＥＤ  ＣＲＹＰＴＯＧＲＡＰＨＹ  Ｓｅｃｏｎｄ  ｅｄｉｔｉｏｎ”，ＷＩＬＥＹ，１９９６，ＰＰ５２８−５２９．
【非特許文献２】岡本龍明、山本博資、“現代暗号”、産業図書、１９９７、ＰＰ２１４−２１５．  秘密分散についてもう少し詳細に説明する。秘密分散は、秘密を複数の分散情報（シェアと呼ぶ）に分散し、そのうち、任意の分散情報が閾値であるｋ個揃うことにより、元の秘密が復元できるといった手法である。以降では、閾値ｋが３の場合を例に挙げて説明する。図３を参照して、定数項（図３では切片）を元の秘密ｄとした任意の２次多項式ｆ［ｘ］＝ａｘ2＋ｂｘ＋ｄ（ａ，ｂは任意に定める）を定める。このとき、ｉ番目の分散情報はこの２次多項式のｘにｉを設定したｆ［ｘ］、つまり図３の座標図では、ｘ座標にｉを設定したときの、ｙ座標値に相当する。なお、２次多項式上の３点がそろえば２次多項式が決定し、その切片である秘密ｄが復元される。なお、ここでは、分散情報を計測回数ｉに対応したｆ［ｉ］で示されるｙ座標としているが、多項式上の点（ｘ座標とｙ座標とのペア）であってもよい。
【００４３】
ここで互いに異なる２つの分散データはそれぞれ、第一分散情報ＦＳＤと第二分散情報ＳＳＤと呼ぶ。これらは、どちらか１つの分散情報しか持たない場合、復号鍵ＳＫを復元できないようにし、２つの分散情報が揃った場合、復号鍵ＳＫを復元できるようにする。そして、第一分散情報ＦＳＤと第二分散情報ＳＳＤを、第一格納部１１３の分散データＤＢに格納する。その際、鍵送信フラグＳＦの初期値は「Ｎｏ」とする。
【００４４】
（４）第一格納部１１３
第一格納部１１３は、図４のように、分散データＤＢ１７０、生体データＤＢ１７１、暗号鍵ＤＢ１７２、及び装置情報ＤＢ１７３を保持している。
【００４５】
分散データＤＢ１７０は、図５のように、第一分散情報ＦＳＤ（図５では第一分散情報２００）と、第二分散情報ＳＳＤ（図５では第二分散情報２０１）と、鍵送信フラグＳＦ（図５では鍵送信フラグ２０２）とを含む。第一分散情報ＦＳＤと第二分散情報ＳＳＤは、鍵生成部１１１で生成される復号鍵ＳＫが分散された値であり、分散部１１２で生成される。鍵送信フラグＳＦは、第一分散情報ＦＳＤと第二分散情報ＳＳＤを、中間装置１３へ既に渡しているかを示す値であり、Ｙｅｓは送信済、Ｎｏは未送信を表す。これは、計測装置１１が中間装置１３へ、第一分散情報ＦＳＤと第二分散情報ＳＳＤを送信するかどうか判断する際に用いる。
【００４６】
生体データＤＢ１７１は、図６のように、一以上の生体データＶＤ（図６では生体データ２１０ａ、２１０ｂ及び２１０ｃ）を含む。各生体データＶＤは、計測部１１０で計測された生体データである。
【００４７】
暗号鍵ＤＢ１７２は、図７のように、暗号化鍵ＰＫ（図７では暗号化鍵２２０）と、復号鍵ＳＫ（図７では復号鍵２２１）とを含む。この暗号化鍵ＰＫと復号鍵ＳＫは、鍵生成部１１１で生成される。
【００４８】
装置情報ＤＢ１７３は、図８のように、ユーザ識別子ＩＤ（図８ではユーザ識別子２７０）と、中間装置暗号化鍵ＣＰＫ（図８では中間装置暗号化鍵２７１）と、サーバ装置暗号化鍵（図８ではサーバ装置暗号化鍵２７２）とを含む。ユーザ識別子ＩＤは、計測装置１１を保持する患者を特定する番号である。中間装置暗号化鍵ＣＰＫは、中間装置１３が持つ中間装置復号鍵ＣＳＫに対応する鍵であり、サーバ装置暗号化鍵ＳＰＫは、サーバ装置１５が持つサーバ装置復号鍵ＳＳＫに対応する鍵である。
【００４９】
（５）第一暗号部１１４
第一暗号部１１４は、２つの機能を有する。
【００５０】
Ａ．生体データＶＤの暗号化
第一暗号部１１４は、他の機能ブロックから生体データＶＤを受け取ったら、第一格納部１１３の暗号鍵ＤＢ１７２にアクセスし、暗号化鍵ＰＫを取得する。そして、第一暗号部１１４は、その暗号化鍵ＰＫを使って、生体データＶＤを暗号化する。暗号化された生体データＶＤを暗号化生体データＥＶＤとする。暗号化方式は、鍵生成部１１１で鍵ペアを生成する際に用いた方式と同じものにする。例えば、ＲＳＡ方式又は楕円曲線暗号方式である。そして、第一暗号部１１４は、暗号化生体データＥＶＤを他の機能ブロックに出力する。
【００５１】
Ｂ．分散情報の暗号化
第一暗号部１１４は、他の機能ブロックから第一分散情報ＦＳＤと第二分散情報ＳＳＤを受け取ったら、第一格納部１１３の装置情報ＤＢ１７３にアクセスし、中間装置暗号化鍵ＣＰＫを取得する。そして、第一暗号部１１４は、その中間装置暗号化鍵ＣＰＫを用いて、第一分散情報ＦＳＤを暗号化する。その後、第一暗号部１１４は、再度第一格納部１１３の装置情報ＤＢ１７３にアクセスし、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第一暗号部１１４は、そのサーバ装置暗号化鍵ＳＰＫを用いて、第二分散情報ＳＳＤを暗号化する。暗号化した第一分散情報ＦＳＤ、及び暗号化した第二分散情報ＳＳＤを、それぞれ暗号化第一分散情報ＥＦＳＤ、及び暗号化第二分散情報ＥＳＳＤとする。暗号化方式は、例えば、ＲＳＡ方式又は楕円曲線暗号方式である。そして、第一暗号部１１４は、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤを他の機能ブロックに出力する。
【００５２】
（６）第一通信部１１５
第一通信部１１５は、他の機能ブロックからの要求に応じて、第一通信路１２を介して、中間装置１３との間で各種データを送受信する機能を有する。
【００５３】
（７）第一送受信処理部１１６
第一送受信処理部１１６は、外部からの要求に応じて、図９で示すような、ユーザ識別子ＩＤと一以上の暗号化生体データＥＶＤとを含む第一データＦＤを生成する。例えば、計測装置１１が「送信ボタン」を有し、第一送受信処理部１１６は、そのボタンが押された際に第一データＦＤを生成する。第一送受信処理部１１６は、ユーザ識別子ＩＤを第一格納部１１３の装置情報ＤＢ１７３から取得する。暗号化生体データＥＶＤは、第一暗号部１１４で生体データＶＤを暗号化することにより得られるデータである。暗号化の際、第一送受信処理部１１６は、第一格納部１１３の分散データＤＢ１７０に格納されている鍵送信フラグＳＦが「Ｎｏ」の場合、さらに第一暗号部１１４に依頼して、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤを生成させる。そして、第一送受信処理部１１６は、第一データＦＤに、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤを含める。そして、第一送受信処理部１１６は、生成した第一データＦＤを、第一通信部１１５を介して、中間装置１３へ送信する。
【００５４】
（８）復元応答処理部１１７
復元応答処理部１１７は、第一通信部１１５を介して、中間装置１３からユーザ識別子ＩＤを受け取った場合、まず、第一格納部１１３の装置情報ＤＢ１７３にアクセスし、受け取ったユーザ識別子ＩＤと装置情報ＤＢ１７３に格納されているユーザ識別子ＩＤとが同じかどうかを確認する。両者が同じである場合、復元応答処理部１１７は、第一格納部１１３の分散データＤＢ１７０から、第二分散情報ＳＳＤを取得し、第一通信部１１５を介して、中間装置１３へ送信する。
【００５５】
（９）第一設定処理部１１８
第一設定処理部１１８は、外部から入力されるデータに基づいて第一格納部１１３の装置情報ＤＢ１７３にユーザ識別子ＩＤ、中間装置暗号化鍵ＣＰＫ、サーバ装置暗号化鍵ＳＰＫを設定できる機能を有する。例えば、第一設定処理部１１８は、キーボードから入力されるデータに基づいてこれらの情報を設定してもよいし、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）カード等のメモリーカードに記憶されているデータに基づいてこれらの情報を設定してもよい。また、第一設定処理部１１８は、所定の認証機能（例えばパスワード認証）を有し、計測装置１１がサーバ装置１５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置１５は、第一設定処理部１１８を介して、第一格納部１１３の分散データＤＢ１７０に第一分散情報ＦＳＤと第二分散情報ＳＳＤと鍵送信フラグＳＦとを設定できる。
【００５６】
＜中間装置１３の構成＞
次に、中間装置１３の構成について説明する。図１０は、中間装置１３の構成を示すブロック図である。図１０に示す通り、中間装置１３は、第二通信部１３０、第二格納部１３１、表示部１３２、第一復号部１３３、制御部１３４、第二暗号部１３５、第三通信部１３６、第二送受信処理部１３７、復元要求処理部１３８、及び第二設定処理部１３９を備えている。これらの構成要素のうち、必須の構成要素は、第二通信部１３０と、第三通信部１３６である。
【００５７】
なお、第二通信部１３０、表示部１３２及び第三通信部１３６は、請求の範囲の第二通信部、表示部及び第三通信部にそれぞれ対応する。また、第二格納部１３１は、請求の範囲の記憶部に対応する。さらに、第一復号部１３３は、請求の範囲の中間装置側生体データ復号部に対応する。さらにまた、第二暗号部１３５は、請求の範囲の第一分散情報復号部に対応する。
【００５８】
（１）第二通信部１３０
第二通信部１３０は、第一通信路１２を介して、計測装置１１との間で各種データを送受信する機能を有する。
【００５９】
（２）第二格納部１３１
第二格納部１３１は、図１１のように、第二分散データＤＢ１８０、第二生体データＤＢ１８１、及び第二装置情報ＤＢ１８２を保持している。
【００６０】
第二分散データＤＢ１８０は、図１２のように、ユーザ識別子ＩＤ（図１２ではユーザ識別子３００）と、第一分散情報ＦＳＤ（図１２では第一分散情報３０１）とを含む。
【００６１】
第二生体データＤＢ１８１は、図１３のように、ユーザ識別子ＩＤ（図１３ではユーザ識別子３１０）と、一以上の暗号化生体データＥＶＤ（暗号化生体データ３１１ａ、３１１ｂお及び３１１ｃ）とを含む。
【００６２】
第二装置情報ＤＢ１８２は、図１４のように、中間装置復号鍵ＣＳＫ（図１４では中間装置復号鍵３２０）と、サーバ装置暗号化鍵ＳＰＫ（図１４ではサーバ装置暗号化鍵３２１）とを含む。
【００６３】
（３）表示部１３２
表示部１３２は、生体データＶＤを表示する機能を有する。例えば、表示部１３２は、複数の生体データＶＤをグラフ又は表にして表示する。
【００６４】
（４）第一復号部１３３
第一復号部１３３は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと暗号化生体データＥＶＤを受け取った場合、まず秘密分散法を用いて、第一分散情報ＦＳＤと第二分散情報ＳＳＤから、復号鍵ＳＫを復元する。そして、第一復号部１３３は、その復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する。第一復号部１３３は、その生体データＶＤを出力する機能を有する。
【００６５】
（５）制御部１３４
制御部１３４は、外部からユーザ識別子ＩＤを受け取った場合、復元要求処理部１３８に対してユーザ識別子ＩＤを出力する。例えば、中間装置１３が「閲覧ボタン」と「キーボード」を有しており、そのボタンとキーボードを介してユーザ識別子ＩＤが入力される。そうすると、制御部１３４は、復元要求処理部１３８から第二分散情報ＳＳＤを取得する。また、制御部１３４は、第二格納部１３１の第二分散データＤＢ１８０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する。さらに、制御部１３４は、第二格納部１３１の第二生体データＤＢ１８１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する。そして、制御部１３４は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと暗号化生体データＥＶＤを、第一復号部１３３に出力し、第一復号部１３３から生体データＶＤを得る。制御部１３４は、その生体データＶＤを、表示部１３２に表示させる機能を有する。
【００６６】
（６）第二暗号部１３５
第二暗号部１３５は、ユーザ識別子ＩＤと暗号化第一分散情報ＥＦＳＤを受け取った場合、第二格納部１３１の第二装置情報ＤＢ１８２から、中間装置復号鍵ＣＳＫを取得する。そして、第二暗号部１３５は、その中間装置復号鍵ＣＳＫを用いて、暗号化第一分散情報ＥＦＳＤを復号する。第二暗号部１３５は、復号結果である第一分散情報ＦＳＤを、ユーザ識別子ＩＤに対応させる形で、第二格納部１３１の第二分散データＤＢ１８０に格納する。その後、第二暗号部１３５は、第二格納部１３１の第二装置情報ＤＢ１８２から、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第二暗号部１３５は、第一分散情報ＦＳＤをサーバ装置暗号化鍵ＳＰＫで暗号化する。その結果を第二暗号化第一分散情報Ｅ２ＦＳＤとする。最後に、第二暗号部１３５は、第二暗号化第一分散情報Ｅ２ＦＳＤを他の機能ブロックに出力する。
【００６７】
（７）第三通信部１３６
第三通信部１３６は、第二通信路１４を介して、サーバ装置１５との間で、各種データを送受信する機能を有する。
【００６８】
（８）第二送受信処理部１３７
第二送受信処理部１３７は、計測装置１１から第一データＦＤを受け取った場合、まず第一データＦＤに含まれるユーザ識別子ＩＤと暗号化生体データＥＶＤを、第二格納部１３１の第二生体データＤＢ１８１に格納する。その後、第一データＦＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていたら、第二送受信処理部１３７は、ユーザ識別子ＩＤと暗号化第一分散情報ＥＦＳＤを第二暗号部１３５へ出力し、第二暗号化第一分散情報Ｅ２ＦＳＤを取得する。そして、図１５で示すように、第二送受信処理部１３７は、第一データＦＤのうち、暗号化第一分散情報ＥＦＳＤを第二暗号化第一分散情報Ｅ２ＦＳＤに置き換えた第二データＳＤを生成する。そして、第二送受信処理部１３７は、その第二データＳＤを、第三通信部１３６を介して、サーバ装置１５へ送信する。第一データＦＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていなかったら、第二送受信処理部１３７は、第一データＦＤを第二データＳＤとして、第三通信部１３６を介して、サーバ装置１５へ送信する。
【００６９】
（９）復元要求処理部１３８
復元要求処理部１３８は、他の機能ブロックからユーザ識別子ＩＤを受け取ったら、そのユーザ識別子ＩＤを、第二通信部１３０を介して、計測装置１１へ送信する。その後、復元要求処理部１３８は、第二通信部１３０を介して、計測装置１１から、暗号化第二分散情報ＥＳＳＤを受信する。復元要求処理部１３８は、その暗号化第二分散情報ＥＳＳＤを第一復号部１３３へ出力する。
【００７０】
（１０）第二設定処理部１３９
第二設定処理部１３９は、外部から入力されるデータに基づいて第二格納部１３１の第二装置情報ＤＢ１８２に中間装置復号鍵ＣＳＫ、サーバ装置暗号化鍵ＳＰＫを設定できる。例えば中間装置１３はキーボードを備えており、第二設定処理部１３９は、キーボードを介して入力されるデータに基づいてこれらの情報を設定することができる。また、第二設定処理部１３９は、所定の認証機能（例えばパスワード認証）を有し、中間装置１３がサーバ装置１５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置１５は、第二設定処理部１３９を介して、第二格納部１３１の第二分散データＤＢ１８０にユーザ識別子ＩＤと第一分散情報ＦＳＤを設定できる。
【００７１】
＜サーバ装置１５の構成＞
最後に、サーバ装置１５の構成について説明する。
【００７２】
図１６は、サーバ装置１５の構成を示すブロック図である。図１６に示す通り、サーバ装置１５は、第四通信部１５０、第二復号部１５１、第三格納部１５２、第四格納部１５３、第五格納部１５４、第三暗号部１５５、第三送受信処理部１５６、及び第三設定処理部１５７を備えている。これらの構成要素のうち、必須の構成要素は、第四通信部１５０と、第二復号部１５１と、第三暗号部１５５とである。
【００７３】
なお、第四通信部１５０は、請求の範囲の第四通信部に対応する。また、第二復号部１５１は、請求の範囲の復元部及び生体データ復号部に対応する。さらに、第三格納部１５２は、請求の範囲の保持部に対応する。さらにまた、第三暗号部１５５は、請求の範囲の分散情報復号部に対応する。また、第三設定処理部１５７は、請求の範囲の供給部に対応する。
【００７４】
（１）第四通信部１５０
第四通信部１５０は、第二通信路１４を介して、中間装置１３との間で、各種データを送受信する機能を有する。
【００７５】
（２）第二復号部１５１
第二復号部１５１は、２つの機能を有する。
【００７６】
Ａ．分散情報からの復号鍵の復元
第二復号部１５１は、他の機能ブロックから第一分散情報ＦＳＤと第二分散情報ＳＳＤを受け取った場合、秘密分散法を用いて、復号鍵ＳＫを復元し、他の機能ブロックに出力する機能を有する。
【００７７】
Ｂ．暗号化生体データの復号
第二復号部１５１は、他の機能ブロックから暗号化生体データＥＶＤと復号鍵ＳＫを受け取った場合、その復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、その結果である生体データＶＤを他の機能ブロックに出力する機能を有する。
【００７８】
（３）第三格納部１５２
第三格納部１５２は、図１７のように、ユーザ識別子ＩＤ（図１７ではユーザ識別子４００）と、第一分散情報ＦＳＤ（図１７では第一分散情報４０１）とを保持している。
【００７９】
（４）第四格納部１５３
第四格納部１５３は、図１８のように、ユーザ識別子ＩＤ（図１８ではユーザ識別子４１０）と、第二分散情報ＳＳＤ（図１８では第二分散情報４１１）とを保持している。
【００８０】
（５）第五格納部１５４
第五格納部１５４は、図１９のように、第三生体データＤＢ１９０と、第二暗号鍵ＤＢ１９１と、第三装置情報ＤＢ１９２とを保持している。
【００８１】
第三生体データＤＢ１９０は、図２０のように、ユーザ識別子ＩＤ（図２０ではユーザ識別子４２０）と、生体データＶＤ（図２０では生体データ４２１ａ、４２１ｂ及び４２１ｃ）とを含む。
【００８２】
第二暗号鍵ＤＢ１９１は、図２１のように、ユーザ識別子ＩＤ（図２１ではユーザ識別子４３０）と、復号鍵ＳＫ（図２１では復号鍵４３１）とを含む。
【００８３】
第三装置情報ＤＢ１９２は、図２２のように、サーバ装置復号鍵ＳＳＫ（図２１ではサーバ装置復号鍵４４０）を含む。
【００８４】
（６）第三暗号部１５５
第三暗号部１５５は、他の機能ブロックから、サーバ装置復号鍵ＳＳＫと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤとを受け取ったら、サーバ装置復号鍵ＳＳＫを用いて、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤを両方とも復号し、第一分散情報ＦＳＤと第二分散情報ＳＳＤを得る。そして、第三暗号部１５５は、第一分散情報ＦＳＤと第二分散情報ＳＳＤを他の機能ブロックに出力する。
【００８５】
（７）第三送受信処理部１５６
第三送受信処理部１５６は、第四通信部１５０を介して、中間装置１３から、第二データＳＤを受信した場合、最初に第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれるか確認する。第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていたら、第三送受信処理部１５６は、第五格納部１５４の第三装置情報ＤＢ１９２から、サーバ装置復号鍵ＳＳＫを取得する。そして、第三送受信処理部１５６は、第二データＳＤから、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤを抽出し、サーバ装置復号鍵ＳＳＫと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤを第三暗号部１５５へ出力し、第三暗号部１５５から第一分散情報ＦＳＤと第二分散情報ＳＳＤを得る。その後、第三送受信処理部１５６は、第一分散情報ＦＳＤと第二分散情報ＳＳＤを第二復号部１５１へ出力し、第二復号部１５１から復号鍵ＳＫを得る。第三送受信処理部１５６は、その復号鍵ＳＫを、第五格納部１５４の第二暗号鍵ＤＢ１９１に格納する。以上が、第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれる場合に行う追加の動作である。そして、第三送受信処理部１５６は、第五格納部１５４の第二暗号鍵ＤＢ１９１から取得した復号鍵ＳＫと、第二データＳＤに含まれる暗号化生体データＥＶＤを、第二復号部１５１へ出力し、第二復号部１５１から生体データＶＤを得る。第三送受信処理部１５６は、得られた生体データＶＤを第五格納部１５４の第三生体データＤＢ１９０に格納する。
【００８６】
（８）第三設定処理部１５７
第三設定処理部１５７は、外部から入力されるデータに基づいて第五格納部１５４の第三装置情報ＤＢ１９２にサーバ装置復号鍵ＳＳＫを設定できる機能を有する。例えば、第三設定処理部１５７は、キーボードから入力されるデータに基づいてサーバ装置復号鍵ＳＳＫを設定できる。
【００８７】
また、第三設定処理部１５７は、計測装置１１がサーバ装置１５に直接接続された場合に、計測装置１１に第二分散情報ＳＳＤを設定する機能を有する。さらに、第三設定処理部１５７は、中間装置１３がサーバ装置１５に直接接続された場合に、中間装置１３に第一分散情報ＦＳＤを設定する機能を有する。
【００８８】
以上が各構成要素の説明である。以後各構成装置の動作例について説明する。まずは、本動作例の概要、及び実現できる機能について説明する。
【００８９】
図２３を参照して、まず計測装置１１は、患者が最初に利用する際に、暗号化鍵ＰＫ、復号鍵ＳＫ、及び復号鍵ＳＫに対応する２つの分散情報（第一分散情報ＦＳＤと第二分散情報ＳＳＤ）を生成する。そして、計測装置１１は、患者が「計測ボタン」を押した際に生体データＶＤを計測し、生体データＶＤを暗号化鍵ＰＫで暗号化した形で蓄積する。そして、あるタイミングで看護師が患者宅を訪問した際、看護師が計測装置１１の「送信ボタン」を押すと、計測装置１１は、第一分散情報ＦＳＤを、中間装置１３だけが復号できる形で暗号化し、第二分散情報ＳＳＤを、サーバ装置１５だけが復号できる形で暗号化する。計測装置１１は、それぞれ暗号化された第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを、暗号化された生体データＶＤとともに、看護師が持参した中間装置１３に送信する。これらのデータを受信した中間装置１３は、まず暗号化された生体データＶＤを蓄積する。また、中間装置１３は、暗号化された第一分散情報ＦＳＤを復号し、第一分散情報ＦＳＤを蓄積する。そして、中間装置１３は、その第一分散情報ＦＳＤを、さらにサーバ装置１５だけが復号できる形で暗号化し、一時的に蓄積する。看護師が病院に戻った後、中間装置１３は、サーバ装置１５に対して、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤと生体データＶＤを送信する。サーバ装置１５は、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤを復号し、第一分散情報ＦＳＤと第二分散情報ＳＳＤを得て、第一分散情報ＦＳＤと第二分散情報ＳＳＤから復号鍵ＳＫを得る。そして、サーバ装置１５は、復号鍵ＳＫを用いて、暗号化された生体データＶＤを復号し、生体データＶＤを得る。このようにしてサーバ装置１５は、生体データＶＤを得ることができる。
【００９０】
図２４を参照して、その後のタイミングで、看護師が患者宅を訪問した場合、看護師が以前に測定された生体データＶＤを閲覧したいとする。その際、看護師が、看護師自身が保持する中間装置１３の「閲覧ボタン」を押下し、患者のユーザ識別子ＩＤを入力すると、中間装置１３は、計測装置１１にアクセスし、第二分散情報ＳＳＤを得る。そして、中間装置１３は、計測装置１１から取得した第二分散情報ＳＳＤと中間装置１３が保持する第一分散情報ＦＳＤとを組み合わせて、復号鍵ＳＫを復元する。中間装置１３は、復元した復号鍵ＳＫを用いて、保持する暗号化された生体データＶＤを復号し、生体データＶＤを得る。これにより、中間装置１３も、計測装置１１と連携すると、生体データＶＤを閲覧することができる。
【００９１】
さらに、あるタイミングで、患者が利用していた計測装置１１が故障した場合を考える。その場合、まず、システム管理者は、計測装置１１と同様の構成を有する別の計測装置１１ｘに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置１５が計測装置１１ｘにアクセスし、サーバ装置１５が保持する第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを計測装置１１ｘに対して出力する。このように、サーバ装置１５は、復号鍵ＳＫを復元後も第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを保持しておくことにより、計測装置１１が故障した場合でも、別の計測装置１１ｘに対して、同じ第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを設定することができるようになる。なお、サーバ装置１５は、第二分散情報ＳＳＤのみを計測装置１１ｘに対して設定するようにしても良い。なお、サーバ装置１５は、第一分散情報ＦＳＤ及び第二分散情報ＳＳＤのいずれとも異なる２つの分散情報を復号鍵ＳＫから生成し、生成した２つの分散情報を計測装置１１ｘに対して出力するようにしても良い。このとき、計測装置１１ｘと各分散情報とが一意に対応付けられるようにしておくことで、計測装置１１ｘから外部に分散情報が流出した場合に、どの計測装置１１ｘから流出したのかを特定することが可能となる。
【００９２】
最後に、あるタイミングで、看護師が利用していた中間装置１３が故障した場合を考える。その場合、まず、システム管理者は、中間装置１３と同様の構成を有する別の中間装置１３ｙに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置１５が中間装置１３ｙにアクセスし、サーバ装置１５が保持する第一分散情報ＦＳＤを出力する。このように、サーバ装置１５は、復号鍵ＳＫを復元後も第一分散情報ＦＳＤを保持しておくことにより、中間装置１３が故障した場合でも、別の中間装置１３ｙに対して、同じ第一分散情報ＦＳＤを設定することができるようになる。なお、サーバ装置１５は、第一分散情報ＦＳＤ及び第二分散情報ＳＳＤのいずれとも異なる分散情報を復号鍵ＳＫから生成し、生成した分散情報を中間装置１３ｙに対して出力するようにしても良い。このとき、中間装置１３ｙと分散情報とが一意に対応付けられるようにしておくことで、中間装置１３ｙから外部に分散情報が流出した場合に、どの中間装置１３ｙから流出したのかを特定することが可能となる。
【００９３】
上記が動作の概要である。以下、動作の詳細について説明する。ここでは、（ｉ）計測装置１１における生体データ計測時、及び生体データ送信時の動作、（ｉｉ）中間装置１３での生体データ表示時の動作、（ｉｉｉ）計測装置１１故障時の、他の計測装置１１ｘへの分散情報設定時の動作、（ｉｖ）中間装置１３故障時の、他の中間装置１３ｙへの分散情報設定時の動作、に分けて説明を行う。
【００９４】
＜（ｉ）計測装置１１における生体データ計測時、及び生体データ送信時の動作＞
以下、図２５のフローチャートを参照しながら、計測装置１１における生体データ計測時、及び生体データ送信時の動作について説明する。
【００９５】
計測装置１１は、「計測処理（ステップＳ１００）」を行う。
【００９６】
計測装置１１は、「暗号処理（ステップＳ１０１）」を行う。
【００９７】
計測装置１１は、「送信処理（ステップＳ１０２）」を行う。
【００９８】
中間装置１３は、「送受信処理（ステップＳ１０３）」を行う。
【００９９】
サーバ装置１５は、「受信処理（ステップＳ１０４）」を行い、処理を終了する。
【０１００】
次に、計測装置１１の各動作の詳細について説明する。
【０１０１】
＜計測処理（ステップＳ１００）の詳細：図２６参照＞
計測部１１０は、生体データＶＤを生成する（ステップＳ１００１）。
【０１０２】
計測部１１０は、生体データＶＤを第一格納部１１３の生体データＤＢ１７１に格納する（ステップＳ１００２）。
【０１０３】
＜暗号処理（ステップＳ１０１）の詳細：図２７参照＞
第一暗号部１１４は、第一格納部１１３の暗号鍵ＤＢ１７２から、暗号化鍵ＰＫを取得する（ステップＳ１０１１）。
【０１０４】
第一暗号部１１４は、暗号化鍵ＰＫを用いて、生体データＶＤを暗号化する（ステップＳ１０１２）。
【０１０５】
＜送信処理（ステップＳ１０２）の詳細：図２８参照＞
第一送受信処理部１１６は、第一格納部１１３の装置情報ＤＢ１７３から、ユーザ識別子ＩＤを取得する（ステップＳ１０２１）。
【０１０６】
第一送受信処理部１１６は、第一データＦＤを生成する（ステップＳ１０２２）。
【０１０７】
鍵送信フラグＳＦが「Ｎｏ」ならば（ステップＳ１０２３でＹｅｓ）、第一暗号部１１４は、第一分散情報ＦＳＤと第二分散情報ＳＳＤを暗号化する（ステップＳ１０２４）。
【０１０８】
第一送受信処理部１１６は、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤを第一データＦＤに追加する（ステップＳ１０２５）。
【０１０９】
鍵送信フラグＳＦが「Ｙｅｓ」か（ステップＳ１０２３でＮｏ）又はステップＳ１０２５の処理の後、第一送受信処理部１１６は、第一データＦＤを中間装置１３へ送信する（ステップＳ１０２６）。
【０１１０】
次に、中間装置１３の各動作の詳細について説明する。
【０１１１】
＜送受信処理（ステップＳ１０３）の詳細：図２９参照＞
第二送受信処理部１３７は、計測装置１１から第一データＦＤを受信する（ステップＳ１０３０）。
【０１１２】
第二送受信処理部１３７は、ユーザ識別子ＩＤと暗号化生体データＥＶＤを、第二格納部１３１の第二生体データＤＢ１８１に格納する（ステップＳ１０３１）。
【０１１３】
第一データＦＤに暗号化第一分散情報ＥＦＳＤが含まれていれば（ステップＳ１０３２でＹｅｓ）、第二暗号部１３５は、暗号化第一分散情報ＥＦＳＤを復号する（ステップＳ１０３３）。
【０１１４】
第二暗号部１３５は、第一分散情報ＦＳＤを暗号化する（ステップＳ１０３４）。
【０１１５】
第二送受信処理部１３７は、第一データＦＤに含まれる暗号化第一分散情報ＥＦＳＤを、第二暗号化第一分散情報Ｅ２ＦＳＤに置き換えた第二データＳＤを生成する（ステップＳ１０３５）。
【０１１６】
第二送受信処理部１３７は、サーバ装置１５へ第二データＳＤを送信し、処理を終了する（ステップＳ１０３６）。
【０１１７】
第一データＦＤに暗号化第一分散情報ＥＦＳＤが含まれていなければ（ステップＳ１０３２でＮｏ）、第二送受信処理部１３７は、サーバ装置１５へ、第一データＦＤを第二データＳＤとして送信し、処理を終了する（ステップＳ１０３７）。
【０１１８】
最後に、サーバ装置１５の各動作の詳細について説明する。
【０１１９】
＜受信処理（ステップＳ１０４）の詳細：図３０参照＞
第三送受信処理部１５６は、中間装置１３から第二データＳＤを受信する（ステップＳ１０４０）。
【０１２０】
第三送受信処理部１５６は、第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれるか否かを確認する（ステップＳ１０４１）。
【０１２１】
第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれる場合（ステップＳ１０４１でＹｅｓ）、第三送受信処理部１５６は、第五格納部１５４の第三装置情報ＤＢ１９２から、サーバ装置復号鍵ＳＳＫを取得する（ステップＳ１０４２）。
【０１２２】
第三暗号部１５５は、サーバ装置復号鍵ＳＳＫを使って、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤを復号する（ステップＳ１０４３）。
【０１２３】
第二復号部１５１は、第一分散情報ＦＳＤと第二分散情報ＳＳＤを使って、復号鍵ＳＫを得る。第二復号部１５１は、得られた復号鍵ＳＫを、第五格納部１５４の第二暗号鍵ＤＢ１９１に格納する（ステップＳ１０４４）。
【０１２４】
ステップＳ１０４４の処理の後、又は第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていない場合（ステップＳ１０４１でＮｏ）、第二復号部１５１は、第五格納部１５４の第二暗号鍵ＤＢ１９１から取得した復号鍵ＳＫを使って（ステップＳ１０４５）、暗号化生体データＥＶＤを復号し生体データＶＤを得る。第二復号部１５１は、生体データＶＤを第五格納部１５４の第三生体データＤＢ１９０に格納し、処理を終了する（ステップＳ１０４６）。
【０１２５】
＜（ｉｉ）中間装置１３での生体データ表示時の動作＞
以下、図３１のフローチャートを参照しながら、中間装置１３での生体データ表示時の動作について説明する。
【０１２６】
中間装置１３は、「要求処理（ステップＳ１１０）」を行う。
【０１２７】
計測装置１１は、「応答処理（ステップＳ１１１）」を行う。
【０１２８】
中間装置１３は、「表示処理（ステップＳ１１２）」を行い、処理を終了する。
【０１２９】
次に、中間装置１３での生体データ表示時の各構成要素の動作について説明する。
【０１３０】
＜応答処理（ステップＳ１１０）の詳細：図３２Ａ参照＞
制御部１３４には、外部からユーザ識別子ＩＤが入力される（ステップＳ１１０１）。
【０１３１】
復元要求処理部１３８は、ユーザ識別子ＩＤを計測装置１１へ送信する（ステップＳ１１０２）。
【０１３２】
＜表示処理（ステップＳ１１２）の詳細：図３２Ｂ参照＞
制御部１３４は、第二分散情報ＳＳＤを受信する（ステップＳ１１２０）。
【０１３３】
制御部１３４は、第二格納部１３１の第二分散データＤＢ１８０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ１１２１）。
【０１３４】
制御部１３４は、第二格納部１３１の第二生体データＤＢ１８１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する（ステップＳ１１２２）。
【０１３５】
第一復号部１３３は、第一分散情報ＦＳＤと第二分散情報ＳＳＤとから、復号鍵ＳＫを復元する（ステップＳ１１２３）。
【０１３６】
第一復号部１３３は、復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する（ステップＳ１１２４）。
【０１３７】
表示部１３２は、生体データＶＤを、表示する（ステップＳ１１２５）。
【０１３８】
＜応答処理（ステップＳ１１１）の詳細：図３３＞
復元応答処理部１１７は、中間装置１３からユーザ識別子ＩＤを受信する（ステップＳ１１１０）。
【０１３９】
復元応答処理部１１７は、第一格納部１１３の分散データＤＢ１７０から、第二分散情報ＳＳＤを取得する（ステップＳ１１１１）。
【０１４０】
復元応答処理部１１７は、第二分散情報ＳＳＤを中間装置１３へ送信する（ステップＳ１１１２）。
【０１４１】
＜（ｉｉｉ）計測装置故障時の、他の計測装置１１ｘへの分散情報設定時の動作＞
以下、代替計測装置設定時の動作について説明する。まずは図３４を使って、本動作の背景についてもう一度詳しく説明する。ここでは、計測装置１１が故障したとする。その際、患者は代替品である計測装置１１ｘを入手するが、以前計測した生体データＶＤを、中間装置１３を保持する看護師は、引き続き閲覧したいと考える。そこで、本実施の形態では、サーバ装置１５が持つデータを計測装置１１ｘへコピーすることにより実現する。
【０１４２】
次に、図３５のフローチャートを参照しながら、代替計測装置設定時の動作を説明する。
【０１４３】
計測装置１１ｘは、「第一設定処理（ステップＳ１２０）」を行う。
【０１４４】
サーバ装置１５は、「第一設定応答処理（ステップＳ１２１）」を行う。
【０１４５】
計測装置１１ｘは、「第一反映処理（ステップＳ１２２）」を行い、処理を終了する。
【０１４６】
次に、各構成要素の詳細動作について説明する。
【０１４７】
＜第一設定処理（ステップＳ１２０）の詳細：図３６Ａ＞
第一設定処理部１１８は、認証情報の入力を受け付ける（ステップＳ１２００）。
【０１４８】
認証情報が正しければ、第一設定処理部１１８は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ１２０１）。
【０１４９】
第一設定処理部１１８は、ユーザ識別子ＩＤを、第一格納部１１３の装置情報ＤＢ１７３に格納する（ステップＳ１２０２）。
【０１５０】
第一設定処理部１１８は、ユーザ識別子ＩＤを、サーバ装置１５に送信する（ステップＳ１２０３）。
【０１５１】
＜第一反映処理（ステップＳ１２２）の詳細：図３６Ｂ＞
第一設定処理部１１８は、サーバ装置１５から、第一分散情報ＦＳＤと第二分散情報ＳＳＤと鍵送信フラグＳＦを受信する（ステップＳ１２２０）。
【０１５２】
第一設定処理部１１８は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと鍵送信フラグＳＦを、第一格納部１１３の分散データＤＢ１７０に格納する（ステップＳ１２２１）。
【０１５３】
＜第一設定応答処理（ステップＳ１２１）の詳細：図３７＞
第三設定処理部１５７は、計測装置１１ｘから、ユーザ識別子ＩＤを受信する（ステップＳ１２１０）。
【０１５４】
第三設定処理部１５７は、第三格納部１５２から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ１２１１）。
【０１５５】
第三設定処理部１５７は、第四格納部１５３から、ユーザ識別子ＩＤに対応する第二分散情報ＳＳＤを取得する（ステップＳ１２１２）。
【０１５６】
第三設定処理部１５７は、値がＹｅｓとなる、鍵送信フラグＳＦを作成する（ステップＳ１２１３）。
【０１５７】
第三設定処理部１５７は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと鍵送信フラグＳＦを、計測装置１１ｘへ送信する（ステップＳ１２１４）。
【０１５８】
＜（ｉｖ）中間装置故障時の、他の中間装置１３ｙへの分散情報設定時の動作＞
以下、代替中間装置設定時の動作について説明する。まずは図３８を使って、本動作の背景についてもう一度詳しく説明する。ここでは、中間装置１３が故障したとする。その際、看護師は代替品である中間装置１３ｙを入手するが、以前計測した生体データＶＤを、同じ計測装置１１と通信した際に、引き続き閲覧したいと考える。ここでは、サーバ装置１５が持つデータを中間装置１３ｙへコピーすることにより、それを実現する。
【０１５９】
以下、図３９のフローチャートを参照しながら、代替中間装置設定時の動作について説明する。
【０１６０】
中間装置１３ｙは、「第二設定処理（ステップＳ１３０）」を行う。
【０１６１】
サーバ装置１５は、「第二設定応答処理（ステップＳ１３１）」を行う。
【０１６２】
中間装置１３ｙは、「第二反映処理（ステップＳ１３２）」を行い、処理を終了する。
【０１６３】
次に、代替中間装置設定時の各構成要素の動作について説明する。
【０１６４】
＜第二設定処理（ステップＳ１３０）の詳細：図４０Ａ＞
第二設定処理部１３９は、認証情報の入力を受け付ける（ステップＳ１３００）。
【０１６５】
認証情報が正しければ、第二設定処理部１３９は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ１３０１）。
【０１６６】
第二設定処理部１３９は、ユーザ識別子ＩＤを、サーバ装置１５に送信する（ステップＳ１３０２）。
【０１６７】
＜第二反映処理（ステップＳ１３２）の詳細：図４０Ｂ＞
第二設定処理部１３９は、サーバ装置１５から、第一分散情報ＦＳＤを受信する（ステップＳ１３２０）。
【０１６８】
第二設定処理部１３９は、ユーザ識別子ＩＤと第一分散情報ＦＳＤを、第二格納部１３１の第二分散データＤＢ１８０に格納する（ステップＳ１３２１）。
【０１６９】
＜第二設定応答処理（ステップＳ１３１）の詳細：図４１＞
第三設定処理部１５７は、中間装置１３ｙから、ユーザ識別子ＩＤを受信する（ステップＳ１３１０）。
【０１７０】
第三設定処理部１５７は、第三格納部１５２から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ１３１１）。
【０１７１】
第三設定処理部１５７は、第一分散情報ＦＳＤを、中間装置１３ｙへ送信する（ステップＳ１３１２）。
【０１７２】
以上が、ヘルスケアシステムの構成要素である計測装置１１、中間装置１３、サーバ装置１５の動作である。
【０１７３】
（実施の形態１の効果）
計測装置１１は第一分散情報ＦＳＤを保持し、中間装置１３は第二分散情報ＳＳＤを保持し、サーバ装置１５は第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを保持する。これにより、サーバ装置１５は、第一分散情報ＦＳＤ及び第二分散情報ＳＳＤから復号鍵ＳＫを再現できるため、暗号化鍵ＰＫで暗号化された生体データＶＤを再現できる。一方、中間装置１３は、第二分散情報ＳＳＤのみを保持するので、復号鍵ＳＫを再現できない。中間装置１３は、計測装置１１から第一分散情報ＦＳＤを取得すると、第一分散情報ＦＳＤ及び第二分散情報ＳＳＤが揃い、復号鍵ＳＫを再現し、暗号化鍵ＰＫで暗号化された生体データＶＤを再現して表示できる。即ち、中間装置１３に保存されるのは分散情報の中の第二分散情報ＳＳＤに過ぎず、中間装置１３は計測装置１１から第一分散情報ＦＳＤを取得した場合にのみ生体データＶＤを再現できる。そのため、計測装置１１と中間装置１３とが揃わないと生体データＶＤを中間装置１３の表示部１３２に表示させることができない。その結果、中間装置１３単独で生体データＶＤを確認できず、計測装置１１の患者が関知しない所で生体データＶＤを他人に見られるのを防止できる。そのため、計測装置１１からサーバ装置１５に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することができる。また、計測装置１１と中間装置１３とが揃わないと生体データＶＤを中間装置１３の表示部に表示させることができないので、中間装置１３を紛失しても生体データＶＤが外部に漏洩するのを防止できる。さらに、秘密分散法の技術を用いることで、秘密漏洩のリスクを完全に防止できる。
【０１７４】
また、サーバ装置１５は、復号鍵ＳＫを再現した後も、第一分散情報ＦＳＤと第二分散情報ＳＳＤを保持する。それにより、適切な別の計測装置１１ｘに対して、第一分散情報ＦＳＤを設定することができ、さらに、適切な別の中間装置１３ｙに対して、第二分散情報ＳＳＤを設定することができるようになる。これにより、計測装置１１又は中間装置１３が故障した場合でも、別の中間装置１３ｙに対して、同じ第二分散情報ＳＳＤを設定することができるようになる。これにより、患者が利用していた計測装置１１、又は看護師が利用していた中間装置１３が故障した場合であっても、同様の方法で生体データＶＤの閲覧を制御することができるようになる。
【０１７５】
（実施の形態２）
以下、本発明の実施の形態２について、図面を参照しながら説明する。
【０１７６】
図４２は、ヘルスケアシステム２の構成を示す構成図である。
【０１７７】
ヘルスケアシステム２は、計測装置２１、中間装置２３、サーバ装置２５、及びアクセス装置２６を備えている。計測装置２１及び中間装置２３は、第一通信路２２を介して接続されている。中間装置２３及びアクセス装置２６は、第二通信路２４を介して接続されている。アクセス装置２６及びサーバ装置２５は、第三通信路２７を介して接続されている。実施の形態１との大きな違いは、アクセス装置２６が追加されている点である。このアクセス装置２６は、例えば、看護師の派遣会社（看護ステーション）又は看護師の自宅に設置されているものである。機能は大きく２つあり、計測装置２１から中間装置２３に渡されたデータを、サーバ装置２５へ渡す機能と、中間装置２３とアクセス装置２６が通信することにより、患者の生体データが閲覧できるようになる機能とがある。
【０１７８】
まずは第一通信路２２と第二通信路２４と第三通信路２７について述べ、続いて計測装置２１、中間装置２３、サーバ装置２５、及びアクセス装置２６の構成について図を用いて説明する。
【０１７９】
＜第一通信路２２の構成＞
第一通信路２２は、計測装置２１と中間装置２３との間で、各種データを送受信するための通信路である。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）などで実現される無線接続のための通信路、又はＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）などで実現される有線接続のための通信路である。
【０１８０】
＜第二通信路２４の構成＞
第二通信路２４は、中間装置２３とアクセス装置２６との間で、各種データを送受信するための通信路である。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）などで実現される無線接続のための通信路、又はＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）などで実現される有線接続のための通信路である。
【０１８１】
＜第三通信路２７の構成＞
第三通信路２７は、アクセス装置２６とサーバ装置２５との間で、各種データを送受信するための通信路である。例えば、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ  Ｄｉｓｔａｌ  Ｓｕｂｓｃｒｉｂｅｒ  Ｌｉｎｅ）、電話線、又は専用線などで実現される。
【０１８２】
＜計測装置２１の構成＞
次に、計測装置２１の構成について説明する。
【０１８３】
図４３は、計測装置２１の構成を示すブロック図である。図４３に示す通り、計測装置２１は、計測部２１０、鍵生成部２１１、分散部２１２、第一格納部２１３、第一暗号部２１４、第一通信部２１５、第一送受信処理部２１６、復元応答処理部２１７、及び第一設定処理部２１８を備えている。これらの構成要素のうち、必須の構成要素は、計測部２１０、分散部２１２、第一暗号部２１４、及び第一通信部２１５である。
【０１８４】
なお、計測部２１０、分散部２１２及び第一通信部２１５は、請求の範囲の計測部、分散部及び第一通信部にそれぞれ対応する。また、第一暗号部２１４は、請求の範囲の生体データ暗号部と、第一分散情報暗号部と、第二分散情報暗号部と、第三分散情報暗号部とに対応する。
【０１８５】
（１）計測部２１０
計測部２１０は、患者の生体データＶＤを計測する。生体データＶＤは例えば、体重、体脂肪、体温、血圧、血糖値、脈拍数、心拍数、歩数、又は運動量などである。例えば生体データＶＤが体温の場合、生体データＶＤのデータサイズは３バイト（十の位、一の位、小数第一位がそれぞれ１バイト）である。計測装置２１は「計測ボタン」を有し、計測部２１０は、そのボタンが押された際に生体データＶＤを計測する機能を有する。なお、計測部２１０は時計機能を有し、生体データＶＤに計測時間を加えてもよい。例として、２００８年１０月１６日１１時２６分に計測された体温が３６．５℃の場合、生体データＶＤは「２００８／１０／１６  １１：２６  ３６５」となる。計測部２１０は、生成した生体データＶＤを他の機能ブロックに出力する。
【０１８６】
（２）鍵生成部２１１
鍵生成部２１１は、第一格納部２１３の暗号鍵ＤＢに、暗号化鍵ＰＫと復号鍵ＳＫが設定されていない場合、公開鍵暗号の鍵ペアである暗号化鍵ＰＫと復号鍵ＳＫを作成する。公開鍵暗号は、例えばＲＳＡ（Ｒｉｖｅｓｔ  Ｓｈａｍｉｒ  Ａｄｌｅｍａｎ）方式又は楕円曲線暗号方式などの暗号である。ＲＳＡ方式及び楕円曲線暗号方式、並びにそれら方式の鍵生成方法については公知なので、その詳細な説明は繰り返さない。鍵生成部１１１は、その暗号化鍵ＰＫと復号鍵ＳＫを、第一格納部２１３の暗号鍵ＤＢに格納する。例えば、鍵生成部２１１は、計測装置２１を最初に起動した際に、暗号化鍵ＰＫと復号鍵ＳＫを生成してもよいし、計測部２１０で最初に生体データＶＤを計測する前に生成してもよい。なお、鍵生成部２１１は、必ずしも計測装置２１に備えられていなくても良い。つまり、計測装置２１は外部の装置より暗号化鍵ＰＫと復号鍵ＳＫとを受信しても良い。
【０１８７】
（３）分散部２１２
分散部２１２は、鍵生成部２１１が鍵ペアを生成したあとに、第一格納部２１３の暗号鍵ＤＢに設定されている復号鍵ＳＫから、秘密分散法を用いて、互いに異なる３つの分散情報を作成する。ここでは、３つの分散情報のうち、２つの分散情報が得られれば、元の情報が復元できるようにする。
【０１８８】
（４）第一格納部２１３
第一格納部２１３は、図４４のように、分散データＤＢ５００、生体データＤＢ５０１、暗号鍵ＤＢ５０２、及び装置情報ＤＢ５０３を保持している。
【０１８９】
分散データＤＢ５００は、図４５のように、第一分散情報ＦＳＤ（図４５では第一分散情報６００）と、第二分散情報ＳＳＤ（図４５では第二分散情報６０１）と、第三分散情報ＴＳＤ（図４５では第三分散情報６０３）と、鍵送信フラグＳＦ（図４５では鍵送信フラグ６０２）とを含む。互いに異なる第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤは、鍵生成部２１１で生成される復号鍵ＳＫが分散された値であり、分散部２１２で生成される。鍵送信フラグＳＦは、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを、中間装置２３へ既に渡しているかを示す値であり、Ｙｅｓは送信済、Ｎｏは未送信を表す。これは、計測装置２１が中間装置２３へ、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを送信するかどうか判断する際に用いる。
【０１９０】
生体データＤＢ５０１は、図４６のように、一以上の生体データＶＤ（図４６では生体データ６１０ａ、６１０ｂ及び６１０ｃ）を含む。各生体データＶＤは、計測部２１０で計測された生体データである。
【０１９１】
暗号鍵ＤＢ５０２は、図４７のように、暗号化鍵ＰＫ（図４７では暗号化鍵６２０）と、復号鍵ＳＫ（図４７では復号鍵６２１）とを含む。この暗号化鍵ＰＫと復号鍵ＳＫは、鍵生成部２１１で生成される。
【０１９２】
装置情報ＤＢ５０３は、図４８のように、ユーザ識別子ＩＤ（図４８ではユーザ識別子６３０）と、中間装置暗号化鍵ＣＰＫ（図４８では中間装置暗号化鍵６３１）と、サーバ装置暗号化鍵（図４８ではサーバ装置暗号化鍵６３２）と、アクセス装置暗号化鍵（図４８ではアクセス装置暗号化鍵６３３）とを含む。ユーザ識別子ＩＤは、計測装置２１を保持する患者を特定する番号である。中間装置暗号化鍵ＣＰＫは、中間装置２３が持つ中間装置復号鍵ＣＳＫに対応する鍵であり、サーバ装置暗号化鍵ＳＰＫは、サーバ装置２５が持つサーバ装置復号鍵ＳＳＫに対応する鍵である。アクセス装置暗号化鍵ＡＰＫは、アクセス装置２６が持つアクセス装置復号鍵ＡＳＫに対応する鍵である。
【０１９３】
（５）第一暗号部２１４
第一暗号部２１４は、２つの機能を有する。
【０１９４】
Ａ．生体データＶＤの暗号化
第一暗号部２１４は、他の機能ブロックから生体データＶＤを受け取ったら、第一格納部２１３の暗号鍵ＤＢ５０２にアクセスし、暗号化鍵ＰＫを取得する。そして、第一暗号部２１４は、その暗号化鍵ＰＫを使って、生体データＶＤを暗号化する。暗号化された生体データＶＤを暗号化生体データＥＶＤとする。暗号化方式は、鍵生成部２１１で鍵ペアを生成する際に用いた方式と同じものにする。例えば、ＲＳＡ方式又は楕円曲線暗号方式である。そして、第一暗号部２１４は、暗号化生体データＥＶＤを他の機能ブロックに出力する。
【０１９５】
Ｂ．分散情報の暗号化
第一暗号部２１４は、他の機能ブロックから第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを受け取ったら、第一格納部２１３の装置情報ＤＢ５０３にアクセスし、中間装置暗号化鍵ＣＰＫを取得する。そして、第一暗号部２１４は、その中間装置暗号化鍵ＣＰＫを用いて、第一分散情報ＦＳＤを暗号化する。その後、第一暗号部２１４は、再度第一格納部２１３の装置情報ＤＢ５０３にアクセスし、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第一暗号部２１４は、そのサーバ装置暗号化鍵ＳＰＫを用いて、第二分散情報ＳＳＤを暗号化する。最後に、再度第一格納部２１３の装置情報ＤＢ５０３にアクセスし、アクセス装置暗号化鍵ＡＰＫを取得する。そして、第一暗号部２１４は、そのアクセス装置暗号化鍵ＡＰＫを用いて、第三分散情報ＴＳＤを暗号化する。暗号化した第一分散情報ＦＳＤ、暗号化した第二分散情報ＳＳＤ、及び暗号化した第三分散情報ＴＳＤを、それぞれ暗号化第一分散情報ＥＦＳＤ、暗号化第二分散情報ＥＳＳＤ、及び暗号化第三分散情報ＥＴＳＤとする。暗号化方式は、例えば、ＲＳＡ方式又は楕円曲線暗号方式である。そして、第一暗号部２１４は、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤと暗号化第三分散情報ＥＴＳＤを他の機能ブロックに出力する。
【０１９６】
（６）第一通信部２１５
第一通信部２１５は、他の機能ブロックからの要求に応じて、第一通信路２２を介して、中間装置２３との間で各種データを送受信する機能を有する。
【０１９７】
（７）第一送受信処理部２１６
第一送受信処理部２１６は、外部からの要求に応じて、図４９で示すような、ユーザ識別子ＩＤと一以上の暗号化生体データＥＶＤとを含む第一データＦＤを生成する。例えば、計測装置２１が「送信ボタン」を有し、第一送受信処理部２１６は、そのボタンが押された際に第一データＦＤを生成する。第一送受信処理部２１６は、ユーザ識別子ＩＤを第一格納部２１３の装置情報ＤＢ５０３から取得する。暗号化生体データＥＶＤは、第一暗号部２１４で生体データＶＤを暗号化することにより得られるデータである。暗号化の際、第一送受信処理部２１６は、第一格納部２１３の分散データＤＢ５００に格納されている鍵送信フラグＳＦが「Ｎｏ」の場合、さらに第一暗号部２１４に依頼して、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤと暗号化第三分散情報ＥＴＳＤとを生成させる。そして、第一送受信処理部２１６は、第一データＦＤに、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤと暗号化第三分散情報ＥＴＳＤを含める。そして、第一送受信処理部２１６は、生成した第一データＦＤを、第一通信部２１５を介して、中間装置２３へ送信する。
【０１９８】
（８）復元応答処理部２１７
復元応答処理部２１７は、第一通信部２１５を介して、中間装置２３からユーザ識別子ＩＤを受け取った場合、まず、第一格納部２１３の装置情報ＤＢ５０３にアクセスし、受け取ったユーザ識別子ＩＤと装置情報ＤＢ５０３に格納されているユーザ識別子ＩＤとが同じかどうかを確認する。両者が同じである場合、復元応答処理部２１７は、第一格納部２１３の分散データＤＢ５００から、第二分散情報ＳＳＤを取得し、第一通信部２１５を介して、中間装置２３へ送信する。
【０１９９】
（９）第一設定処理部２１８
第一設定処理部２１８は、外部から入力されるデータに基づいて第一格納部２１３の装置情報ＤＢ５０３にユーザ識別子ＩＤ、中間装置暗号化鍵ＣＰＫ、サーバ装置暗号化鍵ＳＰＫを設定できる機能を有する。例えば、第一設定処理部２１８は、キーボードから入力されるデータに基づいてこれらの情報を設定してもよいし、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）カード等のメモリーカードに記憶されているデータに基づいてこれらの情報を設定してもよい。また、第一設定処理部２１８は、所定の認証機能（例えばパスワード認証）を有し、計測装置２１がサーバ装置２５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置２５は、第一設定処理部２１８を介して、第一格納部２１３の分散データＤＢ５００に第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと鍵送信フラグＳＦを設定できる。
【０２００】
＜中間装置２３の構成＞
次に、中間装置２３の構成について説明する。図５０は、中間装置２３の構成を示すブロック図である。図５０に示す通り、中間装置２３は、第二通信部２３０、第二格納部２３１、表示部２３２、第一復号部２３３、制御部２３４、第二暗号部２３５、第三通信部２３６、第二送受信処理部２３７、復元要求処理部２３８、及び第二設定処理部２３９を備えている。これらの構成要素のうち、必須の構成要素は、第二通信部２３０と、第三通信部２３６である。
【０２０１】
なお、第二通信部２３０、表示部２３２及び第三通信部２３６は、請求の範囲の第二通信部、表示部及び第三通信部にそれぞれ対応する。また、第二格納部２３１は、請求の範囲の記憶部に対応する。さらに、第一復号部２３３は、請求の範囲の中間装置側生体データ復号部に対応する。さらにまた、第二暗号部２３５は、請求の範囲の第一分散情報復号部に対応する。
【０２０２】
（１）第二通信部２３０
第二通信部２３０は、第一通信路２２を介して、計測装置２１との間で各種データを送受信する機能を有する。
【０２０３】
（２）第二格納部２３１
第二格納部２３１は、図５１のように、第二分散データＤＢ５１０、第二生体データＤＢ５１１、及び第二装置情報ＤＢ５１２を保持している。
【０２０４】
第二分散データＤＢ５１０は、図５２のように、ユーザ識別子ＩＤ（図５２ではユーザ識別子７００）と、第一分散情報ＦＳＤ（図５２では第一分散情報７０１）とを含む。
【０２０５】
第二生体データＤＢ５１１は、図５３のように、ユーザ識別子ＩＤ（図５３ではユーザ識別子７１０）と、一以上の暗号化生体データＥＶＤ（暗号化生体データ７１１ａ、７１１ｂ及び７１１ｃ）とを含む。
【０２０６】
第二装置情報ＤＢ５１２は、図５４のように、中間装置復号鍵ＣＳＫ（図５４では中間装置復号鍵７２０）と、サーバ装置暗号化鍵ＳＰＫ（図５４ではサーバ装置暗号化鍵７２１）と、アクセス装置暗号化鍵ＡＰＫ（図５４ではアクセス装置暗号化鍵７２２）とを含む。
【０２０７】
（３）表示部２３２
表示部２３２は、生体データＶＤを表示する機能を有する。例えば、表示部２３２は、複数の生体データＶＤをグラフ又は表にして表示する。
【０２０８】
（４）第一復号部２３３
第一復号部２３３は、暗号化生体データＥＶＤと、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤのうち２つを受け取った場合、まず秘密分散法を用いて、その２つの分散情報から、復号鍵ＳＫを復元する。そして、その復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する。第一復号部２３３は、その生体データＶＤを出力する機能を有する。
【０２０９】
（５）制御部２３４
制御部２３４は、外部からユーザ識別子ＩＤを受け取った場合、復元要求処理部１３８に対してユーザ識別子ＩＤを出力する。例えば、中間装置２３が「閲覧ボタン」と「キーボード」を有しており、そのボタンとキーボードを介してユーザ識別子ＩＤが入力される。そうすると、制御部２３４は、復元要求処理部２３８から第二分散情報ＳＳＤ、又は第三分散情報ＴＳＤを取得する。また、制御部２３４は、第二格納部２３１の第二分散データＤＢ５１０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する。さらに、制御部２３４は、第二格納部２３１の第二生体データＤＢ５１１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する。そして、制御部２３４は、第一分散情報ＦＳＤと、暗号化生体データＥＶＤと、第二分散情報ＳＳＤ又は第三分散情報ＴＳＤを、第一復号部２３３に出力し、第一復号部２３３から生体データＶＤを得る。その生体データＶＤを、表示部２３２に表示させる機能を有する。
【０２１０】
（６）第二暗号部２３５
第二暗号部２３５は、ユーザ識別子ＩＤと暗号化第一分散情報ＥＦＳＤを受け取った場合、第二格納部２３１の第二装置情報５１２から、中間装置復号鍵ＣＳＫを取得する。そして、第二暗号部２３５は、その中間装置復号鍵ＣＳＫを用いて、暗号化第一分散情報ＥＦＳＤを復号する。第二暗号部２３５は、復号結果である第一分散情報ＦＳＤを、ユーザ識別子ＩＤに対応させる形で、第二格納部２３１の第二分散データＤＢ５１０に格納する。その後、第二暗号部２３５は、第二格納部２３１の第二装置情報ＤＢ５１２から、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第二暗号部２３５は、第一分散情報ＦＳＤをサーバ装置暗号化鍵ＳＰＫで暗号化する。その結果を第二暗号化第一分散情報Ｅ２ＦＳＤとする。最後に、第二暗号部２３５は、第二暗号化第一分散情報Ｅ２ＦＳＤを他の機能ブロックに出力する。
【０２１１】
（７）第三通信部２３６
第三通信部２３６は、第二通信路２４を介して、アクセス装置２６との間で、各種データを送受信する機能を有する。
【０２１２】
（８）第二送受信処理部２３７
第二送受信処理部２３７は、計測装置２１から第一データＦＤを受け取った場合、まず第一データＦＤに含まれるユーザ識別子ＩＤと暗号化生体データＥＶＤを、第二格納部２３１の第二生体データＤＢ５１１に格納する。その後、第一データＦＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第三分散情報ＥＴＳＤとが含まれていたら、第二送受信処理部２３７は、ユーザ識別子ＩＤと暗号化第一分散情報ＥＦＳＤを第二暗号部２３５へ出力し、第二暗号化第一分散情報Ｅ２ＦＳＤを取得する。そして、図５５で示すように、第二送受信処理部２３７は、第一データＦＤのうち、暗号化第一分散情報ＥＦＳＤを第二暗号化第一分散情報Ｅ２ＦＳＤに置き換えた第二データＳＤを生成する。そして、第二送受信処理部２３７は、その第二データＳＤを、第三通信部２３６を介して、アクセス装置２６へ送信する。第一データＦＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第三分散情報ＥＴＳＤが含まれていなかったら、第二送受信処理部２３７は、第一データＦＤを第二データＳＤとして、第三通信部２３６を介して、アクセス装置２６へ送信する。
【０２１３】
（９）復元要求処理部２３８
下記２つの機能を有する。
【０２１４】
１．中間装置２３と計測装置２１が第一通信路２２を介して通信可能な場合、復元要求処理部２３８は、他の機能ブロックからユーザ識別子ＩＤを受け取り、そのユーザ識別子ＩＤを、第二通信部２３０を介して、計測装置２１へ送信する。その後、復元要求処理部２３８は、第二通信部２３０を介して、計測装置２１から、暗号化第二分散情報ＥＳＳＤを受信する。復元要求処理部２３８は、その暗号化第二分散情報ＥＳＳＤを第一復号部２３３へ出力する。
【０２１５】
２．中間装置２３とアクセス装置２６が第二通信路２４を介して通信可能な場合、復元要求処理部２３８は、他の機能ブロックからユーザ識別子ＩＤを受け取り、そのユーザ識別子ＩＤを、第三通信部２３６を介して、アクセス装置２６へ送信する。その後、復元要求処理部２３８は、第三通信部２３６を介して、アクセス装置２６から、暗号化第三分散情報ＥＴＳＤを受信する。復元要求処理部２３８は、その暗号化第三分散情報ＥＴＳＤを第一復号部２３３へ出力する。
【０２１６】
（１０）第二設定処理部２３９
第二設定処理部２３９は、外部から入力されるデータに基づいて第二格納部２３１の第二装置情報ＤＢ５１２に中間装置復号鍵ＣＳＫ、サーバ装置暗号化鍵ＳＰＫ、アクセス装置暗号化鍵ＡＰＫを設定できる。例えば中間装置２３はキーボードを備えており、第二設定処理部２３９は、キーボードを介して入力されるデータに基づいてこれらの情報を設定することができる。また、第二設定処理部２３９は、所定の認証機能（例えばパスワード認証）を有し、中間装置２３がサーバ装置２５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置２５は、第二設定処理部２３９を介して、第二格納部２３１の第二分散データＤＢ５１０にユーザ識別子ＩＤと第一分散情報ＦＳＤを設定できる。
【０２１７】
＜アクセス装置２６の構成＞
次に、アクセス装置２６の構成について説明する。
【０２１８】
図５６は、アクセス装置２６の構成を示すブロック図である。図５６に示す通り、アクセス装置２６は、第五通信部２６０、第六格納部２６３、第四暗号部２６４、第六通信部２６５、第四送受信処理部２６６、復元応答処理部２６７、及び第四設定処理部２６８を備えている。これらの構成要素のうち、必須の構成要素は、第五通信部２６０と、第四暗号部２６４と、第六通信部２６５とである。
【０２１９】
なお、第五通信部２６０及び第六通信部２６５は、請求の範囲の第五通信部及び第六通信部に対応する。また、第四暗号部２６４は、請求の範囲の第三分散情報復号部に対応する。
【０２２０】
（１）第五通信部２６０
第五通信部２６０は、他の機能ブロックからの要求に応じて、第二通信路２４を介して、中間装置２３との間で各種データを送受信する機能を有する。
【０２２１】
（２）第六格納部２６３
第六格納部２６３は、図５７のように、分散データＤＢ５２０、装置情報ＤＢ５２３を保持している。
【０２２２】
分散データＤＢ５２０は、図５８のように、第三分散情報ＴＳＤ（図５８では第三分散情報７０３）を含む。
【０２２３】
装置情報ＤＢ５２３は、図５９のように、ユーザ識別子ＩＤ（図５９ではユーザ識別子７３０）と、中間装置暗号化鍵ＣＰＫ（図５９では中間装置暗号化鍵７３１）と、サーバ装置暗号化鍵ＳＰＫ（図５９ではサーバ装置暗号化鍵７３２）と、アクセス装置復号鍵ＡＳＫ（図５９ではアクセス装置復号鍵７３３）とを含む。ユーザ識別子ＩＤは、アクセス装置２６を特定する番号である。中間装置暗号化鍵ＣＰＫは、中間装置２３が持つ中間装置復号鍵ＣＳＫに対応する鍵であり、サーバ装置暗号化鍵ＳＰＫは、サーバ装置２５が持つサーバ装置復号鍵ＳＳＫに対応する鍵である。アクセス装置復号鍵ＡＳＫは、アクセス装置２６が持つ復号鍵である。
【０２２４】
（３）第四暗号部２６４
第四暗号部２６４は、ユーザ識別子ＩＤと暗号化第三分散情報ＥＴＳＤを受け取った場合、第六格納部２６３の装置情報ＤＢ５２３から、アクセス装置復号鍵ＡＳＫを取得する。そして、第四暗号部２６４は、そのアクセス装置復号鍵ＡＳＫを用いて、暗号化第三分散情報ＥＴＳＤを復号する。第四暗号部２６４は、復号結果である第三分散情報ＴＳＤを、ユーザ識別子ＩＤに対応させる形で、第六格納部２６３の分散データＤＢ５２０に格納する。その後、第四暗号部２６４は、第六格納部２６３の装置情報ＤＢ５２３から、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第四暗号部２６４は、第三分散情報ＴＳＤをサーバ装置暗号化鍵ＳＰＫで暗号化する。その結果を第二暗号化第三分散情報Ｅ２ＴＳＤとする。最後に、第四暗号部２６４は、第二暗号化第三分散情報Ｅ２ＴＳＤを他の機能ブロックに出力する。
【０２２５】
（４）第六通信部２６５
第六通信部２６５は、他の機能ブロックからの要求に応じて、第三通信路２７を介して、サーバ装置２５との間で各種データを送受信する機能を有する。
【０２２６】
（５）第四送受信処理部２６６
第四送受信処理部２６６は、中間装置２３から第二データＳＤを受け取った場合、第二データＳＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第三分散情報ＥＴＳＤとが含まれていたら、ユーザ識別子ＩＤと暗号化第三分散情報ＥＴＳＤを第四暗号部２６４へ出力し、第四暗号部２６４から第二暗号化第三分散情報Ｅ２ＴＳＤを取得する。そして、第四送受信処理部２６６は、図６０で示すように、第二データＳＤのうち、暗号化第三分散情報ＥＴＳＤを第二暗号化第三分散情報Ｅ２ＴＳＤに置き換えた第三データＴＤを生成する。そして、第四送受信処理部２６６は、その第三データＴＤを、第六通信部２６５を介して、サーバ装置２５へ送信する。第二データＳＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第三分散情報ＥＴＳＤが含まれていなかったら、第四送受信処理部２６６は、第二データＳＤをそのまま第三データＴＤとして、第六通信部２６５を介して、サーバ装置２５へ送信する。
【０２２７】
（６）復元応答処理部２６７
復元応答処理部２６７は、第五通信部２６０を介して、中間装置２３からユーザ識別子ＩＤを受け取った場合、まず、第六格納部２６３の装置情報ＤＢ５２３にアクセスし、受け取ったユーザ識別子ＩＤと装置情報ＤＢ５２３に格納されているユーザ識別子ＩＤとが同じかどうかを確認する。両者が同じである場合、復元応答処理部２６７は、第六格納部２６３の分散データＤＢ５２０から、第三分散情報ＴＳＤを取得し、第五通信部２６０を介して、中間装置２３へ送信する。
【０２２８】
（７）第四設定処理部２６８
第四設定処理部２６８は、外部から入力されるデータに基づいて第一格納部２１３の装置情報ＤＢ５２３にユーザ識別子ＩＤ、中間装置暗号化鍵ＣＰＫ、サーバ装置暗号化鍵ＳＰＫ、アクセス装置復号鍵ＡＳＫを設定できる機能を有する。例えば、第四設定処理部２６８は、キーボード介して入力されるデータに基づいてこれらの情報を設定してもよいし、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）カード等のメモリーカードに記憶されているデータに基づいてこれらの情報を設定してもよい。また、第四設定処理部２６８は、所定の認証機能（例えばパスワード認証）を有し、アクセス装置２６がサーバ装置２５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置２５は、第四設定処理部２６８を介して、第六格納部２６３の分散データＤＢ５２０に第三分散情報ＴＳＤを設定できる。
【０２２９】
＜サーバ装置２５の構成＞
最後に、サーバ装置２５の構成について説明する。
【０２３０】
図６１は、サーバ装置２５の構成を示すブロック図である。図６１に示す通り、サーバ装置２５は、第四通信部２５０、第二復号部２５１、第三格納部２５２、第四格納部２５３、第五格納部２５４、第三暗号部２５５、第三送受信処理部２５６、第三設定処理部２５７、及び第七格納部２５８を備えている。これらの構成要素のうち、必須の構成要素は、第四通信部２５０と、第二復号部２５１と、第三暗号部２５５とである。
【０２３１】
なお、第四通信部２５０は、請求の範囲の第四通信部に対応する。また、第二復号部２５１は、請求の範囲の復元部及び生体データ復号部に対応する。さらに、第三格納部２５２は、請求の範囲の保持部に対応する。さらにまた、第三暗号部２５５は、請求の範囲の分散情報復号部に対応する。また、第三設定処理部２５７は、請求の範囲の供給部に対応する。
【０２３２】
（１）第四通信部２５０
第四通信部２５０は、第三通信路２７を介して、アクセス装置２６との間で、各種データを送受信する機能を有する。
【０２３３】
（２）第二復号部２５１
第二復号部２５１は、２つの機能を有する。
【０２３４】
Ａ．分散情報からの復号鍵の復元
第二復号部２５１は、他の機能ブロックから第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを受け取った場合、秘密分散法を用いて、そのうち２つの分散情報から復号鍵ＳＫを復元し、他の機能ブロックに出力する機能を有する。
【０２３５】
Ｂ．暗号化生体データの復号
第二復号部２５１は、他の機能ブロックから暗号化生体データＥＶＤと復号鍵ＳＫを受け取った場合、その復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、その結果である生体データＶＤを他の機能ブロックに出力する機能を有する。
【０２３６】
（３）第三格納部２５２
第三格納部２５２は、図６２のように、ユーザ識別子ＩＤ（図６２ではユーザ識別子８００）と、第一分散情報ＦＳＤ（図６２では第一分散情報８０１）とを保持している。
【０２３７】
（４）第四格納部２５３
第四格納部２５３は、図６３のように、ユーザ識別子ＩＤ（図６２ではユーザ識別子８１０）と、第二分散情報ＳＳＤ（図６２では第二分散情報８１１）とを保持している。
【０２３８】
（５）第五格納部２５４
第五格納部２５４は、図６４のように、第三生体データＤＢ８２０と、第二暗号鍵ＤＢ８２１と、第三装置情報ＤＢ８２２とを保持している。
【０２３９】
第三生体データＤＢ８２０は、図６５のように、ユーザ識別子ＩＤ（図６５ではユーザ識別子９００）と、生体データＶＤ（図６５では生体データ９０１ａ、９０１ｂ及び９０１ｃ）とを含む。
【０２４０】
第二暗号鍵ＤＢ８２１は、図６６のように、ユーザ識別子ＩＤ（図６６ではユーザ識別子９１０）と、復号鍵ＳＫ（図６６では復号鍵９１１）とを含む。
【０２４１】
第三装置情報ＤＢ８２２は、図６７のように、サーバ装置復号鍵ＳＳＫ（図６７ではサーバ装置復号鍵９２０）を含む。
【０２４２】
（６）第三暗号部２５５
第三暗号部２５５は、他の機能ブロックから、サーバ装置復号鍵ＳＳＫと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤとを受け取ったら、サーバ装置復号鍵ＳＳＫを用いて、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤを全て復号し、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを得る。そして、第三暗号部２５５は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを他の機能ブロックに出力する。
【０２４３】
（７）第三送受信処理部２５６
第三送受信処理部２５６は、第四通信部２５０を介して、アクセス装置２６から、第三データＴＤを受信した場合、最初に第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれるか確認する。第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていたら、第三送受信処理部２５６は、第五格納部２５４の第三装置情報ＤＢ８２２から、サーバ装置復号鍵ＳＳＫを取得する。そして、第三送受信処理部２５６は、第三データＴＤから、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤを抽出し、サーバ装置復号鍵ＳＳＫと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤを第三暗号部２５５へ出力し、第三暗号部２５５から第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを得る。その後、第三送受信処理部２５６は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを第二復号部２５１へ出力し、第二復号部２５１から復号鍵ＳＫを得る。第三送受信処理部２５６は、その復号鍵ＳＫを、第五格納部２５４の第二暗号鍵ＤＢ８２１に格納する。以上が、第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれる場合に行う追加の動作である。そして、第三送受信処理部２５６は、第五格納部２５４の第二暗号鍵ＤＢ８２１から取得した復号鍵ＳＫと、第二データＳＤに含まれる暗号化生体データＥＶＤを、第二復号部２５１へ出力し、第二復号部２５１から生体データＶＤを得る。第三送受信処理部２５６は、得られた生体データＶＤを第五格納部２５４の第三生体データＤＢ８２０に格納する。
【０２４４】
（８）第三設定処理部２５７
第三設定処理部２５７は、外部から入力されるデータに基づいて第五格納部２５４の第三装置情報ＤＢ８２２にサーバ装置復号鍵ＳＳＫを設定できる機能を有する。例えば、第三設定処理部２５７は、キーボードから入力されるデータに基づいてサーバ装置復号鍵ＳＳＫを設定できる。
【０２４５】
また、第三設定処理部２５７は、計測装置２１がサーバ装置２５に直接接続された場合に、計測装置２１に第二分散情報ＳＳＤを設定する機能を有する。さらに、第三設定処理部２５７は、中間装置２３がサーバ装置２５に直接接続された場合に、中間装置２３に第一分散情報ＦＳＤを設定する機能を有する。さらに、第三設定処理部２５７は、アクセス装置２６がサーバ装置２５に直接接続された場合に、アクセス装置２６に第三分散情報ＴＳＤを設定する機能を有する。
【０２４６】
（９）第七格納部２５８
第七格納部２５８は、図６８のように、ユーザ識別子ＩＤ（図６８ではユーザ識別子９３０）と、第三分散情報ＴＳＤ（図６８では第三分散情報９３１）とを保持している。
【０２４７】
以上が各構成要素の説明である。以後各構成装置の動作例について説明する。まずは、本動作例の概要、及び実現できる機能について説明する。
【０２４８】
図６９を参照して、まず計測装置２１は、患者が最初に利用する際に、暗号化鍵ＰＫ、復号鍵ＳＫ、及び復号鍵ＳＫに対応する３つの分散情報（第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤ）を生成する。ここでは、３つの分散情報のうち２つが揃えば、元の復号鍵ＳＫが得られるとする。そして、計測装置２１は、患者が「計測ボタン」を押した際に生体データＶＤを計測し、生体データＶＤを暗号化鍵ＰＫで暗号化した形で蓄積する。そして、あるタイミングで看護師が患者宅を訪問した際、看護師が計測装置２１の「送信ボタン」を押すと、計測装置２１は、第一分散情報ＦＳＤを、中間装置２３だけが復号できる形で暗号化し、第二分散情報ＳＳＤを、サーバ装置２５だけが復号できる形で暗号化し、第三分散情報ＴＳＤを、アクセス装置２６だけが復号できる形で暗号化する。計測装置２１は、それぞれ暗号化された第一分散情報ＦＳＤ、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤを、暗号化された生体データＶＤとともに、看護師が持参した中間装置２３に送信する。これらのデータを受信した中間装置２３は、まず暗号化された生体データＶＤを蓄積する。また、中間装置２３は、暗号化された第一分散情報ＦＳＤを復号し、第一分散情報ＦＳＤを蓄積する。そして、中間装置２３は、その第一分散情報ＦＳＤを、さらにサーバ装置２５だけが復号できる形で暗号化し、一時的に蓄積する。看護師が看護ステーションや自宅に戻った後、中間装置２３は、アクセス装置２６に対して、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと生体データＶＤを送信する。アクセス装置２６は、暗号化された第三分散情報ＴＳＤを復号し、第三分散情報ＴＳＤを蓄積する。そして、アクセス装置２６は、その第三分散情報ＴＳＤを、サーバ装置２５だけが復号できる形で暗号化し、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと生体データＶＤとをサーバ装置２５へ送信する。サーバ装置２５は、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを復号し、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを得て、そのうち２つの分散情報から復号鍵ＳＫを得る。そして、サーバ装置２５は、復号鍵ＳＫを用いて、暗号化された生体データＶＤを復号し、生体データＶＤを得る。このようにしてサーバ装置２５は、生体データＶＤを得ることができる。
【０２４９】
図７０を参照して、その後のタイミングで、看護師が患者宅を訪問した場合、看護師が以前に測定された生体データＶＤを閲覧したいとする。その際、看護師が、看護師自身が保持する中間装置２３の「閲覧ボタン」を押下し、患者のユーザ識別子ＩＤを入力すると、中間装置２３は、計測装置２１にアクセスし、第二分散情報ＳＳＤを得る。そして、中間装置２３は、計測装置２１から取得した第二分散情報ＳＳＤと中間装置２３が保持する第一分散情報ＦＳＤとを組み合わせて、復号鍵ＳＫを復元する。中間装置２３は、復元した復号鍵ＳＫを用いて、保持する暗号化された生体データＶＤを復号し、生体データＶＤを得る。これにより、中間装置２３も、計測装置２１と連携すると、生体データＶＤを閲覧することができる。
【０２５０】
また、別のタイミングで、看護師が看護ステーションや自宅に居る場合、看護師が以前に測定された生体データＶＤを閲覧したいとする。その際、看護師が、看護師自身が保持する中間装置２３の「閲覧ボタン」を押下し、患者のユーザ識別子ＩＤを入力すると、中間装置２３は、アクセス装置２６にアクセスし、第三分散情報ＴＳＤを得る。そして、中間装置２３は、第三分散情報ＴＳＤと中間装置２３が保持する第一分散情報ＦＳＤと組み合わせて、復号鍵ＳＫを復元する。中間装置２３は、復元した復号鍵ＳＫを用いて、保持する暗号化された生体データＶＤを復号し、生体データＶＤを得る。これにより、中間装置２３も、アクセス装置２６と連携すると、生体データＶＤを閲覧することができる。
【０２５１】
さらに、あるタイミングで、患者が利用していた計測装置２１が故障した場合を考える。その場合、まず、システム管理者は、計測装置２１と同様の構成を有する別の計測装置２１ｘに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置２５が計測装置２１ｘにアクセスし、サーバ装置２５が保持する第二分散情報ＳＳＤを計測装置２１ｘに出力する。このように、サーバ装置２５は、復号鍵ＳＫを復元後も第二分散情報ＳＳＤを保持しておくことにより、計測装置２１が故障した場合でも、別の計測装置２１ｘに対して、同じ第二分散情報ＳＳＤを設定することができるようになる。なお、サーバ装置２５は、第一分散情報ＦＳＤ、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤのいずれとも異なる分散情報を復号鍵ＳＫから生成し、生成した分散情報を計測装置２１ｘに対して出力するようにしても良い。このとき、計測装置２１ｘと分散情報とが一意に対応付けられるようにしておくことで、計測装置２１ｘから外部に分散情報が流出した場合に、どの計測装置２１ｘから流出したのかを特定することが可能となる。
【０２５２】
また、あるタイミングで、看護師が利用していた中間装置２３が故障した場合を考える。その場合、まず、システム管理者は、中間装置２３ｙと同様の構成を有する別の中間装置２３ｙに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置２５が中間装置２３ｙにアクセスし、サーバ装置２５が保持する第一分散情報ＦＳＤを出力する。このように、サーバ装置２５は、復号鍵ＳＫを復元後も第一分散情報ＦＳＤを保持しておくことにより、中間装置２３が故障した場合でも、別の中間装置２３ｙに対して、同じ第一分散情報ＦＳＤを設定することができるようになる。なお、サーバ装置２５は、第一分散情報ＦＳＤ、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤのいずれとも異なる分散情報を復号鍵ＳＫから生成し、生成した分散情報を中間装置２３ｙに対して出力するようにしても良い。このとき、中間装置２３ｙと分散情報とが一意に対応付けられるようにしておくことで、中間装置２３ｙから外部に分散情報が流出した場合に、どの中間装置２３ｙから流出したのかを特定することが可能となる。
【０２５３】
最後に、あるタイミングで、看護ステーションや自宅に設置されているアクセス装置２６が故障した場合を考える。その場合、まず、システム管理者は、アクセス装置２６と同様の構成を有する別のアクセス装置２６ｚに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置２５がアクセス装置２６ｚにアクセスし、サーバ装置２５が保持する第三分散情報ＴＳＤを出力する。このように、サーバ装置２５は、復号鍵ＳＫを復元後も第三分散情報ＴＳＤを保持しておくことにより、アクセス装置２６が故障した場合でも、別のアクセス装置２６ｚに対して、同じ第三分散情報ＴＳＤを設定することができるようになる。なお、サーバ装置２５は、第一分散情報ＦＳＤ、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤのいずれとも異なる分散情報を復号鍵ＳＫから生成し、生成した分散情報をアクセス装置２６ｚに対して出力するようにしても良い。このとき、アクセス装置２６ｚと分散情報とが一意に対応付けられるようにしておくことで、アクセス装置２６ｚから外部に分散情報が流出した場合に、どのアクセス装置２６ｚから流出したのかを特定することが可能となる。
【０２５４】
上記が動作の概要である。以下、動作の詳細について説明する。ここでは、（ｉ）計測装置２１における生体データ計測時、及び生体データ送信時の動作、（ｉｉ）計測装置２１を使った中間装置２３での生体データ表示時の動作、（ｉｉｉ）中間装置故障時の、他の中間装置２３ｙへの分散情報設定時の動作、（ｉｖ）計測装置故障時の、他の計測装置２１ｘへの分散情報設定時の動作、（ｖ）アクセス装置２６を使った中間装置２３での生体データ表示時の動作、（ｖｉ）アクセス装置故障時の、他のアクセス装置２６ｚへの分散情報設定時の動作、に分けて説明を行う。
【０２５５】
＜（ｉ）計測装置２１における生体データ計測時、及び生体データ送信時の動作＞
以下、図７１のフローチャートを参照しながら、計測装置２１における生体データ計測時、及び生体データ送信時の動作について説明する。
【０２５６】
計測装置２１は、「計測処理（ステップＳ２００）」を行う。
【０２５７】
計測装置２１は、「暗号処理（ステップＳ２０１）」を行う。
【０２５８】
計測装置２１は、「送信処理（ステップＳ２０２）」を行う。
【０２５９】
中間装置２３は、「送受信処理（ステップＳ２０３）」を行う。
【０２６０】
アクセス装置２６は、「第二送受信処理（ステップＳ２０５）」を行う。
【０２６１】
サーバ装置２５は、「受信処理（ステップＳ２０４）」を行い、処理を終了する。
【０２６２】
次に、計測装置２１の各動作の詳細について説明する。
【０２６３】
＜計測処理（ステップＳ２００）の詳細：図７２参照＞
計測部２１０は、生体データＶＤを生成する（ステップＳ２００１）。
【０２６４】
計測部２１０は、生体データＶＤを第一格納部２１３の生体データＤＢ５０１に格納する（ステップＳ２００２）。
【０２６５】
＜暗号処理（ステップＳ２０１）の詳細：図７３参照＞
第一暗号部２１４は、第一格納部２１３の暗号鍵ＤＢ５０２から、暗号化鍵ＰＫを取得する（ステップＳ２０１１）。
【０２６６】
第一暗号部２１４は、暗号化鍵ＰＫを用いて、生体データＶＤを暗号化する（ステップＳ２０１２）。
【０２６７】
＜送信処理（ステップＳ２０２）の詳細：図７４参照＞
第一送受信処理部２１６は、第一格納部２１３の装置情報ＤＢ５０３から、ユーザ識別子ＩＤを取得する（ステップＳ２０２１）。
【０２６８】
第一送受信処理部２１６は、第一データＦＤを生成する（ステップＳ２０２２）。
【０２６９】
鍵送信フラグＳＦが「Ｎｏ」ならば（ステップＳ２０２３でＹｅｓ）、第一暗号部２１４は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを暗号化する（ステップＳ２０２４）。
【０２７０】
第一送受信処理部２１６は、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤと暗号化第三分散情報ＥＴＳＤとを第一データＦＤに追加する（ステップＳ２０２５）。
【０２７１】
鍵送信フラグＳＦが「Ｙｅｓ」か（ステップＳ２０２３でＮｏ）又はステップＳ２０５の処理の後、第一送受信処理部２１６は、第一データＦＤを中間装置２３へ送信する（ステップＳ２０２６）。
【０２７２】
次に、中間装置２３の各動作の詳細について説明する。
【０２７３】
＜送受信処理（ステップＳ２０３）の詳細：図７５参照＞
第二送受信処理部２３７は、計測装置２１から第一データＦＤを受信する（ステップＳ２０３０）。
【０２７４】
第二送受信処理部２３７は、ユーザ識別子ＩＤと暗号化生体データＥＶＤを、第二格納部２３１の第二生体データＤＢ５１１に格納する（ステップＳ２０３１）。
【０２７５】
第一データＦＤに暗号化第一分散情報ＥＦＳＤが含まれていれば（ステップＳ２０３２でＹｅｓ）、第二暗号部２３５は、暗号化第一分散情報ＥＦＳＤを復号する（ステップＳ２０３３）。
【０２７６】
第二暗号部２３５は、第一分散情報ＦＳＤを暗号化する（ステップＳ２０３４）。
【０２７７】
第二送受信処理部２３７は、第一データＦＤに含まれる暗号化第一分散情報ＥＦＳＤを、第二暗号化第一分散情報Ｅ２ＦＳＤに置き換えた第二データＳＤを生成する（ステップＳ２０３５）。
【０２７８】
第二送受信処理部２３７は、アクセス装置２６へ第二データＳＤを送信し、処理を終了する（ステップＳ２０３６）。
【０２７９】
第一データＦＤに暗号化第一分散情報ＥＦＳＤが含まれていなければ（ステップＳ２０３２でＮｏ）、第二送受信処理部２３７は、アクセス装置２６へ、第一データＦＤを第二データＳＤとして送信し、処理を終了する（ステップＳ２０３７）。
【０２８０】
次に、アクセス装置２６の各動作の詳細について説明する。
【０２８１】
＜第二送受信処理（ステップＳ２０５）の詳細：図７６参照＞
第四送受信処理部２６６は、中間装置２３から第二データＳＤを受信する（ステップＳ２０５０）。
【０２８２】
第二データＳＤに、暗号化第一分散情報ＥＦＳＤが含まれていれば（ステップＳ２０５１でＹｅｓ）、第四暗号部２６４は、暗号化第三分散情報ＥＴＳＤを復号する（ステップＳ２０５２）。
【０２８３】
第四暗号部２６４は、第三分散情報ＴＳＤを暗号化する（ステップＳ２０５３）。
【０２８４】
第四送受信処理部２６６は、第二データＳＤに含まれる暗号化第三分散情報ＥＴＳＤを、第二暗号化第三分散情報Ｅ２ＴＳＤに置き換えた第三データＴＤを生成する（ステップＳ２０５４）。
【０２８５】
第四送受信処理部２６６は、サーバ装置２５へ第三データＴＤを送信し、処理を終了する（ステップＳ２０５５）。
【０２８６】
第二データＳＤに、暗号化第一分散情報ＥＦＳＤが含まれていなければ（ステップＳ２０５１でＮｏ）、第四送受信処理部２６６は、サーバ装置２５へ、第二データＳＤを第三データＴＤとして送信し、処理を終了する（ステップＳ２０５６）。
【０２８７】
最後に、サーバ装置２５の各動作の詳細について説明する。
【０２８８】
＜受信処理（ステップＳ２０４）の詳細：図７７参照＞
第三送受信処理部２５６は、アクセス装置２６から第三データＴＤを受信する（ステップＳ２０４０）。
【０２８９】
第三送受信処理部２５６は、第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれるか否かを確認する（ステップＳ２０４１）。
【０２９０】
第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれる場合（ステップＳ２０４１でＹｅｓ）、第三送受信処理部２５６は、第五格納部２５４の第三装置情報ＤＢ８２２から、サーバ装置復号鍵ＳＳＫを取得する（ステップＳ２０４２）。
【０２９１】
第三暗号部２５５は、サーバ装置復号鍵ＳＳＫを使って、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤを復号する（ステップＳ２０４３）。
【０２９２】
第二復号部２５１は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを使って、復号鍵ＳＫを得る。第二復号部２５１は、得られた復号鍵ＳＫを、第五格納部２５４の第二暗号鍵ＤＢ８２１に格納する（ステップＳ２０４４）。
【０２９３】
ステップＳ２０４４の処理の後、又は第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていない場合（ステップＳ２０４１でＮｏ）、第二復号部２５１は、第五格納部２５４の第二暗号鍵ＤＢ８２１から取得した復号鍵ＳＫを使って（ステップＳ２０４５）、暗号化生体データＥＶＤを復号し生体データＶＤを得る。第二復号部２５１は、生体データＶＤを第五格納部２５４の第三生体データＤＢ８２０に格納し、処理を終了する（ステップＳ２０４６）。
【０２９４】
＜（ｉｉ）計測装置２１を使った中間装置２３での生体データ表示時の動作＞
以下、図７８のフローチャートを参照しながら、中間装置２３での生体データ表示時の動作について説明する。
【０２９５】
中間装置２３は、「要求処理（ステップＳ２１０）」を行う。
【０２９６】
計測装置２１は、「応答処理（ステップＳ２１１）」を行う。
【０２９７】
中間装置２３は、「表示処理（ステップＳ２１２）」を行い、処理を終了する。
【０２９８】
次に、中間装置２３での生体データ表示時の各構成要素の動作について説明する。
【０２９９】
＜要求処理（ステップＳ２１０）の詳細：図７９Ａ参照＞
制御部２３４には、外部からユーザ識別子ＩＤが入力される（ステップＳ２１０１）。
【０３００】
復元要求処理部２３８は、ユーザ識別子ＩＤを計測装置２１へ送信する（ステップＳ２１０２）。
【０３０１】
＜表示処理（ステップＳ２１２）の詳細：図７９Ｂ参照＞
制御部２３４は、第二分散情報ＳＳＤを受信する（ステップＳ２１２０）。
【０３０２】
制御部２３４は、第二格納部２３１の第二分散データＤＢ５１０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ２１２１）。
【０３０３】
制御部２３４は、第二格納部２３１の第二生体データＤＢ５１１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する（ステップＳ２１２２）。
【０３０４】
第一復号部２３３は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤとから、復号鍵ＳＫを復元する（ステップＳ２１２３）。
【０３０５】
第一復号部２３３は、復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する（ステップＳ２１２４）。
【０３０６】
表示部２３２は、生体データＶＤを、表示する（ステップＳ２１２５）。
【０３０７】
＜応答処理（ステップＳ２１１）の詳細：図８０＞
復元応答処理部２１７は、中間装置２３からユーザ識別子ＩＤを受信する（ステップＳ２１１０）。
【０３０８】
復元応答処理部２１７は、第一格納部２１３の分散データＤＢ５００から、第二分散情報ＳＳＤを取得する（ステップＳ２１１１）。
【０３０９】
復元応答処理部２１７は、第二分散情報ＳＳＤを中間装置２３へ送信する（ステップＳ２１１２）。
【０３１０】
＜（ｉｉｉ）中間装置故障時の、他の中間装置２３ｙへの分散情報設定時の動作＞
以下、図８１のフローチャートを参照しながら、代替中間装置設定時の動作を説明する。
【０３１１】
中間装置２３ｙは、「第二設定処理（ステップＳ２３０）」を行う。
【０３１２】
サーバ装置２５は、「第二設定応答処理（ステップＳ２３１）」を行う。
【０３１３】
中間装置２３ｙは、「第二反映処理（ステップＳ２３２）」を行い、処理を終了する。
【０３１４】
次に、代替中間装置設定時の各構成要素の詳細動作について説明する。
【０３１５】
＜第二設定処理（ステップＳ２３０）の詳細：図８２Ａ＞
第二設定処理部２３９は、認証情報の入力を受け付ける（ステップＳ２３００）。
【０３１６】
認証情報が正しければ、第二設定処理部２３９は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ２３０１）。
【０３１７】
第二設定処理部２３９は、ユーザ識別子ＩＤを、サーバ装置２５に送信する（ステップＳ２３０２）。
【０３１８】
＜第二反映処理（ステップＳ２３２）の詳細：図８２Ｂ＞
第二設定処理部２３９は、サーバ装置２５から、第一分散情報ＦＳＤを受信する（ステップＳ２３２０）。
【０３１９】
第二設定処理部２３９は、第一分散情報ＦＳＤを、第二格納部２３１の第二分散データＤＢ５１０に格納する（ステップＳ２３２１）。
【０３２０】
＜第二設定応答処理（ステップＳ２３１）の詳細：図８３＞
第三設定処理部２５７は、中間装置２３ｙから、ユーザ識別子ＩＤを受信する（ステップＳ２３１０）。
【０３２１】
第三設定処理部２５７は、第三格納部２５２から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ２３１１）。
【０３２２】
第三設定処理部２５７は、第一分散情報ＦＳＤを、中間装置２３ｙへ送信する（ステップＳ２３１２）。
【０３２３】
＜（ｉｖ）計測装置故障時の、他の計測装置２１ｘへの分散情報設定時の動作＞
以下、図８４のフローチャートを参照しながら、代替計測装置設定時の動作について説明する。
【０３２４】
計測装置２１ｘは、「第一設定処理（ステップＳ２２０）」を行う。
【０３２５】
サーバ装置２５は、「第一設定応答処理（ステップＳ２２１）」を行う。
【０３２６】
計測装置２１ｘは、「第一反映処理（ステップＳ２２２）」を行い、処理を終了する。
【０３２７】
次に、代替計測装置設定時の各構成要素の動作について説明する。
【０３２８】
＜第一設定処理（ステップＳ２２０）の詳細：図８５Ａ＞
第一設定処理部２１８は、認証情報の入力を受け付ける（ステップＳ２２００）。
【０３２９】
認証情報が正しければ、第一設定処理部２１８は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ２２０１）。
【０３３０】
第一設定処理部２１８は、ユーザ識別子ＩＤを、第一格納部２１３の装置情報ＤＢ５０３に格納する（ステップＳ２２０２）。
【０３３１】
第一設定処理部２１８は、ユーザ識別子ＩＤを、サーバ装置２５に送信する（ステップＳ２２０３）。
【０３３２】
＜第一反映処理（ステップＳ２２２）の詳細：図８５Ｂ＞
第一設定処理部２１８は、サーバ装置２５から、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと鍵送信フラグＳＦを受信する（ステップＳ２２２０）。
【０３３３】
第一設定処理部２１８は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと鍵送信フラグＳＦを、第一格納部２１３の分散データＤＢ５００に格納する（ステップＳ２２２１）。
【０３３４】
＜第一設定応答処理（ステップＳ２２１）の詳細：図８６＞
第三設定処理部２５７は、計測装置２１ｘから、ユーザ識別子ＩＤを受信する（ステップＳ２２１０）。
【０３３５】
第三設定処理部２５７は、第三格納部２５２から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ２２１１）。
【０３３６】
第三設定処理部２５７は、第四格納部２５３から、ユーザ識別子ＩＤに対応する第二分散情報ＳＳＤを取得する（ステップＳ２２１２）。
【０３３７】
第三設定処理部２５７は、第五格納部２５４から、ユーザ識別子ＩＤに対応する第三分散情報ＴＳＤを取得する（ステップＳ２２１３）。
【０３３８】
第三設定処理部２５７は、「Ｙｅｓ（送信済）」を表す鍵送信フラグＳＦを生成する（ステップＳ２２１４）。
【０３３９】
第三設定処理部２５７は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと鍵送信フラグＳＦを、計測装置２１ｘへ送信する（ステップＳ２２１５）。
【０３４０】
＜（ｖ）アクセス装置２６を使った中間装置２３での生体データ表示時の動作＞
以下、図８７のフローチャートを参照しながら、中間装置２３での生体データ表示時の動作について説明する。
【０３４１】
中間装置２３は、「要求処理（ステップＳ２５０）」を行う。
【０３４２】
アクセス装置２６は、「応答処理（ステップＳ２５１）」を行う。
【０３４３】
中間装置２３は、「表示処理（ステップＳ２５２）」を行い、処理を終了する。
【０３４４】
次に、中間装置２３での生体データ表示時の各構成要素の動作について説明する。
【０３４５】
＜応答処理（ステップＳ２５０）の詳細：図８８Ａ参照＞
制御部２３４には、外部からユーザ識別子ＩＤが入力される（ステップＳ２５０１）。
【０３４６】
復元要求処理部２３８は、ユーザ識別子ＩＤをアクセス装置２６へ送信する（ステップＳ２５０２）。
【０３４７】
＜表示処理（ステップＳ２５２）の詳細：図８８Ｂ参照＞
制御部２３４は、第三分散情報ＴＳＤを受信する（ステップＳ２５２０）。
【０３４８】
制御部２３４は、第二格納部２３１の第二分散データＤＢ５１０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ２５２１）。
【０３４９】
制御部２３４は、第二格納部２３１の第二生体データＤＢ５１１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する（ステップＳ２５２２）。
【０３５０】
第一復号部２３３は、第一分散情報ＦＳＤと第三分散情報ＴＳＤとから、復号鍵ＳＫを復元する（ステップＳ２５２３）。
【０３５１】
第一復号部２３３は、復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する（ステップＳ２５２４）。
【０３５２】
表示部２３２は、生体データＶＤを、表示する（ステップＳ２５２５）。
【０３５３】
＜応答処理（ステップＳ２５１）の詳細：図８９＞
復元応答処理部２６７は、中間装置２３からユーザ識別子ＩＤを受信する（ステップＳ２５１０）。
【０３５４】
復元応答処理部２６７は、第六格納部２６３の分散データＤＢ５２０から、第三分散情報ＴＳＤを取得する（ステップＳ２５１１）。
【０３５５】
復元応答処理部２６７は、第三分散情報ＴＳＤを中間装置２３へ送信する（ステップＳ２５１２）。
【０３５６】
＜（ｖｉ）アクセス装置故障時の、他のアクセス装置２６ｚへの分散情報設定時の動作＞
以下、図９０のフローチャートを参照しながら、代替アクセス装置設定時の動作について説明する。
【０３５７】
アクセス装置２６ｚは、「第三設定処理（ステップＳ２６０）」を行う。
【０３５８】
サーバ装置２５は、「第三設定応答処理（ステップＳ２６１）」を行う。
【０３５９】
アクセス装置２６ｚは、「第三反映処理（ステップＳ２６２）」を行い、処理を終了する。
【０３６０】
次に、代替アクセス装置設定時の各構成要素の動作について説明する。
【０３６１】
＜第三設定処理（ステップＳ２６０）の詳細：図９１Ａ＞
次に、各構成要素の詳細動作について説明する。
【０３６２】
第四設定処理部２６８は、認証情報の入力を受け付ける（ステップＳ２６００）。
【０３６３】
認証情報が正しければ、第四設定処理部２６８は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ２６０１）。
【０３６４】
第四設定処理部２６８は、ユーザ識別子ＩＤを、サーバ装置２５に送信する（ステップＳ２６０２）。
【０３６５】
＜第二反映処理（ステップＳ２６２）の詳細：図９１Ｂ＞
第四設定処理部２６８は、サーバ装置２５から、第三分散情報ＴＳＤを受信する（ステップＳ２６２０）。
【０３６６】
第四設定処理部２６８は、ユーザ識別子ＩＤと第三分散情報ＴＳＤを、第六格納部２６３の分散データＤＢ５２０に格納する（ステップＳ２６２１）。
【０３６７】
＜第二設定応答処理（ステップＳ２６１）の詳細：図９２＞
第三設定処理部２５７は、アクセス装置２６ｚから、ユーザ識別子ＩＤを受信する（ステップＳ２６１０）。
【０３６８】
第三設定処理部２５７は、第七格納部２５８から、ユーザ識別子ＩＤに対応する第三分散情報ＴＳＤを取得する（ステップＳ２６１１）。
【０３６９】
第三設定処理部２５７は、第三分散情報ＴＳＤを、アクセス装置２６ｚへ送信する（ステップＳ２６１２）。
【０３７０】
以上が、ヘルスケアシステムの構成要素である計測装置２１、中間装置２３、サーバ装置２５、アクセス装置２６の動作である。
【０３７１】
（実施の形態２の効果）
実施の形態１に加え、さらにアクセス装置２６が第三分散情報ＴＳＤを保持する。これにより、中間装置２３は、アクセス装置２６から第三分散情報ＴＳＤを取得すると、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤが揃い、復号鍵を再現し、暗号鍵で暗号化された生体データを再現して表示できる。計測装置２１とアクセス装置２６が揃っても、生体データＶＤを中間装置２３の表示部２３２で確認できるようになるため、中間装置２３の操作者の利便性が向上しつつ、中間装置２３紛失による生体データＶＤ漏洩を防止できる。
【０３７２】
なお、アクセス装置は、単体では２つの分散情報を取得することができない、よって、仮にアクセス装置を紛失した場合であっても、復号鍵を復元することはできない。そのため、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することができる。
【０３７３】
＜変形例＞
上記に説明した実施の形態は、本発明の実施の形態の一例であり、本発明はこれらの実施の形態に何ら限定されるものではなく、その旨を逸脱しない範囲において主な態様で実施し得るものである。以下のような場合も本発明に含まれる。
【０３７４】
（１）各分散情報の配布方法については、上記で述べた方法に限らない。例えば、装置の数を増やし、分散情報の数を増やすことにより、中間装置が生体データを閲覧できる機会を増やすことができる。
【０３７５】
（２）分散情報の個数については、上記実施の形態の分散情報で開示している内容に限らない。例えば、実施の形態１の場合であっても、（２×Ｎ）個の分散情報を生成して、中間装置と計測装置にＮ個ずつを配ってもよい（Ｎは２以上の自然数）。
【０３７６】
（３）上記実施の形態では、各計測装置は１組の暗号化鍵と復号鍵を保持していたが、これに限らない。例えば、時間ごとに、それら暗号化鍵と復号鍵を更新していってもよい。その場合、暗号化鍵と復号鍵のペアに、鍵識別子を付与することにより実現できる。例えば、分散データＤＢは、図９３のように、鍵識別子と、第一分散情報ＦＳＤと、第二分散情報ＳＳＤと、鍵送信フラグＳＦとの組を一以上（図９３では３つ）含む。例えば、そのうちの１つの組が、鍵識別子２００ａと、第一分散情報２０１ａと、第二分散情報２０２ａと、鍵送信フラグ２０３ａとからなる組である。また、暗号鍵ＤＢ１７２は、図９４のように、鍵識別子と、暗号化鍵ＰＫと、復号鍵ＳＫと、有効期間との組を一以上（図９４では３つ）含む。例えば、そのうちの１つの組が、鍵識別子２２０ａと、暗号化鍵２２１ａと、復号鍵２２２ａと、有効期間２２３ａとからなる組である。
【０３７７】
（４）計測装置は、少なくとも１つの計測端末と、各計測装置で計測された生体データを収集し、中間装置に送信する管理装置とからなっていても良い。図９５は、このような計測装置を備えるヘルスケアシステムの構成を示すブロック図である。計測装置１１は、少なくとも１つの計測端末１１ａと、各計測端末１１ａに接続された管理端末１１ｂとを備える。
【０３７８】
図９６は、計測端末１１ａの構成を示すブロック図である。計測端末１１ａは、計測部１１０と、鍵生成部１１１と、分散部１１２と、第一格納部１１３と、第一分散情報暗号部１１４ａと、送信部１１５ａとを含む。計測部１１０、鍵生成部１１１、分散部１１２及び第一格納部１１３の構成は、実施の形態１に示したのと同様である。第一分散情報暗号部１１４ａは、実施の形態１に示した第一暗号部１１４が実施する処理のうち、生体データＶＤの暗号化と、第一分散情報ＦＳＤの暗号化とを実施する。送信部１１５ａは、暗号化生体データＥＶＤと、暗号化第一分散情報ＥＦＳＤと、第二分散情報ＳＳＤとを、管理端末１１ｂに送信する。
【０３７９】
図９７は、管理端末１１ｂの構成を示すブロック図である。管理端末１１ｂは、受信部１１５ｂと、第一送受信処理部１１６と、復元応答処理部１１７と、第一設定処理部１１８と、第二分散情報暗号部１１４ｂと、第一通信部１１５とを含む。第一送受信処理部１１６と、復元応答処理部１１７と、第一設定処理部１１８と、第一通信部１１５とは、実施の形態１に示したのと同様である。受信部１１５ｂは、計測端末１１ａから、暗号化生体データＥＶＤと、暗号化第一分散情報ＥＦＳＤと、第二分散情報ＳＳＤとを受信する。第二分散情報暗号部１１４ｂは、実施の形態１に示した第一暗号部１１４が実施する処理のうち、第二分散情報ＳＳＤの暗号化を実施する。
【０３８０】
このように、２つの分散情報を暗号化する端末を異ならせているため、データが外部に流出した場合であっても、分散情報を復元しにくくすることができる。
【０３８１】
（５）上記実施の形態では、計測装置から中間装置へ送信する第一分散情報ＦＳＤと、中間装置からサーバ装置へ送信する第一分散情報ＦＳＤとを暗号化していたが、この暗号化は省略しても良い。また、アクセス装置２６からサーバ装置２５へ送信する第三分散情報ＴＳＤを暗号化していたが、この暗号化も省略しても良い。
【０３８２】
（６）上記実施の形態では、暗号方式として、公開鍵暗号方式を使っていたが、これに限らない。例えば、暗号化鍵と復号鍵が等しい秘密鍵暗号方式を使ってもよい。例えばＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）方式でもよい。
【０３８３】
（７）上記実施の形態では、生体データを公開鍵暗号を用いて暗号化していたが、これに限らない。例えば、ハイブリッド型暗号を用いて暗号化してもよい。具体的には、生体データは秘密鍵暗号を用いて、一時的に生成したセッション鍵で暗号化し、その一時的に生成したセッション鍵を、公開鍵の暗号化鍵で暗号化して、その暗号化鍵に対応する復号鍵を分散してもよい。
【０３８４】
（８）上記実施の形態では、生体データを暗号化することに主眼をおいていたが、これに限るものではない。例えば、ある一定個数以上の分散情報が集まった場合に、生体データのディジタル署名が生成できるようにしてもよい。
【０３８５】
（９）上記実施の形態で述べた秘密分散法は、上述のものに限らない。同様の機能を有するものであれば、それに置き換えてもよい。
【０３８６】
（１０）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭ又はハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
【０３８７】
（１１）上記の各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ  Ｓｃａｌｅ  Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
【０３８８】
（１２）上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしてもよい。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
【０３８９】
（１３）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるディジタル信号であるとしてもよい。
【０３９０】
（１４）また、本発明は、前記コンピュータプログラム又は前記ディジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ（登録商標）  Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記ディジタル信号であるとしてもよい。
【０３９１】
（１５）また、本発明は、前記コンピュータプログラム又は前記ディジタル信号を、電気通信回線、無線若しくは有線通信回線、インターネットを代表とするネットワーク、又はデータ放送等を経由して伝送するものとしてもよい。
【０３９２】
（１６）また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。
【０３９３】
（１７）また、前記プログラム又は前記ディジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記ディジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
【０３９４】
（１８）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
【０３９５】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
【産業上の利用可能性】
【０３９６】
本発明は、特に、機密データの秘匿性と操作者の利便性を両立したヘルスケアシステム等に適用できる。
【符号の説明】
【０３９７】
１、２  ヘルスケアシステム
１１、２１  計測装置
１２、２２  第一通信路
１３、２３  中間装置
１４、２４  第二通信路
１５、２５  サーバ装置
２６  アクセス装置
１１０、２１０  計測部
１１１、２１１  鍵生成部
１１２、２１２  分散部
１１３、２１３  第一格納部
１１４、２１４  第一暗号部
１１５、２１５  第一通信部
１１６、２１６  第一送受信処理部
１１７、２１７  復元応答処理部
１１８、２１８  第一設定処理部
１３０、２３０  第二通信部
１３１、２３１  第二格納部
１３２、２３２  表示部
１３３、２３３  第一復号部
１３４、２３４  制御部
１３５、２３５  第二暗号部
１３６、２３６  第三通信部
１３７、２３７  第二送受信処理部
１３８、２３８  復元要求処理部
１３９、２３９  第二設定処理部
１５０、２５０  第四通信部
１５１、２５１  第二復号部
１５２、２５２  第三格納部
１５３、２５３  第四格納部
１５４、２５４  第五格納部
１５５、２５５  第三暗号部
１５６、２５６  第三送受信処理部
１５７、２５７  第三設定処理部
２５８  第七格納部
２６０  第五通信部
２６３  第六格納部
２６４  第四暗号部
２６５  第六通信部
２６６  第四送受信処理部
２６７  復元応答処理部
２６８  第四設定処理部
【図１】
2010116678.tif 000003
【図２】
2010116678.tif 000004
【図３】
2010116678.tif 000005
【図４】
2010116678.tif 000006
【図５】
2010116678.tif 000007
【図６】
2010116678.tif 000008
【図７】
2010116678.tif 000009
【図８】
2010116678.tif 000010
【図９】
2010116678.tif 000011
【図１０】
2010116678.tif 000012
【図１１】
2010116678.tif 000013
【図１２】
2010116678.tif 000014
【図１３】
2010116678.tif 000015
【図１４】
2010116678.tif 000016
【図１５】
2010116678.tif 000017
【図１６】
2010116678.tif 000018
【図１７】
2010116678.tif 000019
【図１８】
2010116678.tif 000020
【図１９】
2010116678.tif 000021
【図２０】
2010116678.tif 000022
【図２１】
2010116678.tif 000023
【図２２】
2010116678.tif 000024
【図２３】
2010116678.tif 000025
【図２４】
2010116678.tif 000026
【図２５】
2010116678.tif 000027
【図２６】
2010116678.tif 000028
【図２７】
2010116678.tif 000029
【図２８】
2010116678.tif 000030
【図２９】
2010116678.tif 000031
【図３０】
2010116678.tif 000032
【図３１】
2010116678.tif 000033
【図３２Ａ】
2010116678.tif 000034
【図３２Ｂ】
2010116678.tif 000035
【図３３】
2010116678.tif 000036
【図３４】
2010116678.tif 000037
【図３５】
2010116678.tif 000038
【図３６Ａ】
2010116678.tif 000039
【図３６Ｂ】
2010116678.tif 000040
【図３７】
2010116678.tif 000041
【図３８】
2010116678.tif 000042
【図３９】
2010116678.tif 000043
【図４０Ａ】
2010116678.tif 000044
【図４０Ｂ】
2010116678.tif 000045
【図４１】
2010116678.tif 000046
【図４２】
2010116678.tif 000047
【図４３】
2010116678.tif 000048
【図４４】
2010116678.tif 000049
【図４５】
2010116678.tif 000050
【図４６】
2010116678.tif 000051
【図４７】
2010116678.tif 000052
【図４８】
2010116678.tif 000053
【図４９】
2010116678.tif 000054
【図５０】
2010116678.tif 000055
【図５１】
2010116678.tif 000056
【図５２】
2010116678.tif 000057
【図５３】
2010116678.tif 000058
【図５４】
2010116678.tif 000059
【図５５】
2010116678.tif 000060
【図５６】
2010116678.tif 000061
【図５７】
2010116678.tif 000062
【図５８】
2010116678.tif 000063
【図５９】
2010116678.tif 000064
【図６０】
2010116678.tif 000065
【図６１】
2010116678.tif 000066
【図６２】
2010116678.tif 000067
【図６３】
2010116678.tif 000068
【図６４】
2010116678.tif 000069
【図６５】
2010116678.tif 000070
【図６６】
2010116678.tif 000071
【図６７】
2010116678.tif 000072
【図６８】
2010116678.tif 000073
【図６９】
2010116678.tif 000074
【図７０】
2010116678.tif 000075
【図７１】
2010116678.tif 000076
【図７２】
2010116678.tif 000077
【図７３】
2010116678.tif 000078
【図７４】
2010116678.tif 000079
【図７５】
2010116678.tif 000080
【図７６】
2010116678.tif 000081
【図７７】
2010116678.tif 000082
【図７８】
2010116678.tif 000083
【図７９Ａ】
2010116678.tif 000084
【図７９Ｂ】
2010116678.tif 000085
【図８０】
2010116678.tif 000086
【図８１】
2010116678.tif 000087
【図８２Ａ】
2010116678.tif 000088
【図８２Ｂ】
2010116678.tif 000089
【図８３】
2010116678.tif 000090
【図８４】
2010116678.tif 000091
【図８５Ａ】
2010116678.tif 000092
【図８５Ｂ】
2010116678.tif 000093
【図８６】
2010116678.tif 000094
【図８７】
2010116678.tif 000095
【図８８Ａ】
2010116678.tif 000096
【図８８Ｂ】
2010116678.tif 000097
【図８９】
2010116678.tif 000098
【図９０】
2010116678.tif 000099
【図９１Ａ】
2010116678.tif 000100
【図９１Ｂ】
2010116678.tif 000101
【図９２】
2010116678.tif 000102
【図９３】
2010116678.tif 000103
【図９４】
2010116678.tif 000104
【図９５】
2010116678.tif 000105
【図９６】
2010116678.tif 000106
【図９７】
2010116678.tif 000107
【手続補正書】
【提出日】平成23年6月30日(2011.6.30)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、患者が計測装置にて計測した体重又は血圧などの生体データの秘匿性を保護することが可能なヘルスケアシステムに関する。
【背景技術】
【０００２】
近年、高齢化社会が急速に進んでおり、それにより病院で何らかの処置（診察や手術など）を行う必要のある患者の数が増加している。しかし、一方で、医療費の削減により、特に地方を中心に、医者及び病床数は増えていない。そのため、将来、増え続ける患者の数に対して、入院に必要な病床数が不足することから、病院側はできるだけ患者の入院期間を短くするようになると予想される。そこで具体的にとられる施策としては、患者の自宅での在宅ケアが考えられる。その際、下記のようなヘルスケアシステムの利用方法が考えられる。まず患者は、体重、血圧及び体組成などの生体データを計測できる各種計測装置を病院からレンタルする。患者は、それらを使って、毎日の生体データを計測し、計測した生体データをそれらに蓄積する。そして、定期的に、病院から派遣される看護師が患者宅を訪問し、それら計測装置に蓄積された生体データを収集し、収集した生体データを病院の管理しているサーバ装置に登録する。それと同時に、収集した生体データを踏まえて、看護師は健康に関する指導及びアドバイスを患者に対して行う。また、サーバに登録された生体データは、担当医が確認し、必要に応じて看護師に対して適切な指示を行う。このような在宅サービスにより、病院への入院期間を短くすることができ、病床不足も解消される。
【０００３】
一方、患者の生体データは当該患者にとってはプライベートな個人情報であるから、情報漏洩に対する対策が必須となる。例えば、看護師が患者から入手した生体データを記録した情報端末を紛失してしまう可能性がある。そのような脅威に対処するための１つの手段として、生体データの計測時に、生体データの送り先であるサーバ装置が復号できるような形で、患者の生体データを暗号化することが考えられる。つまり、計測装置とサーバ装置とは予め秘密鍵を共有しているとし、計測装置は生体データをその秘密鍵で暗号化して送信し、受信したサーバ装置は同じ秘密鍵で復号し、元の生体データを得る。これにより、生体データを受け渡しする看護師が保持する情報端末を紛失しても、生体データが露呈してしまう恐れはない。
【０００４】
しかし、上記のように、計測装置が、サーバ装置と共有している秘密鍵で生体データを暗号化して送信する場合、看護師が保持する情報端末には秘密鍵が記憶されていないためその情報端末では生体データを復号できない。このため、看護師は、その情報端末を使って患者の生体データを参照することができず、不便が生じる。しかしながら、看護師の情報端末で患者の生体データが常に参照できるようにすると、その情報端末を紛失した際に、生体データが第三者に露呈してしまう。このような操作者の利便性と機密データの秘匿性との２つの要求を満たすための１つの技術として、例えば特許文献１で述べられているような、秘密分散法を用いるシステムが知られている。このシステムを構成する複数の装置は、それぞれ異なる分散情報を保持し、各装置単体では秘密情報は得られないが、複数の分散情報を組み合わせることにより、秘密情報を得ることができる。このような秘密分散法を利用することにより、看護師が保持する情報端末単体では秘密情報は得られないが、看護師が保持する情報端末と患者が保持する計測装置が揃った場合に、秘密情報が得られるようなシステムを構築することが可能である。このようなシステムにより、先の２つの要求を満たすことができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００３−３４８０６５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１には、システムを構成する複数の装置がそれぞれ直接通信可能な状況において、どのように分散情報を配布するか、及びどのように秘密情報を復元するかについての技術が開示されている。
【０００７】
しかしながら、複数の装置が存在する場合に、ある装置と別の装置が直接通信できない場合が考えられる。例えば、上述の例の場合、患者の保持する計測装置と病院が管理するサーバ装置は、直接通信できない。より具体的には、計測装置とサーバ装置は看護師が保持する共通の情報端末と通信できるが、計測装置からサーバ装置に分散情報を送信したい場合、看護師が保持する情報端末を介して行われることになる。このとき、看護師がその情報端末を紛失してしまうと分散情報が第三者に露呈してしまう恐れがある。
【０００８】
そこで、本発明では、上記課題に鑑みてなされたものであって、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することが可能なヘルスケアシステムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するために、本発明のある局面に係るヘルスケアシステムは、生体データを計測するヘルスケアシステムであって、生体データを計測する計測装置と、前記生体データを収集するサーバ装置と、前記計測装置から前記生体データを受信し、受信した前記生体データを前記サーバ装置に送信する中間装置とを備え、前記計測装置は、患者の生体データを計測する計測部と、前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成する生体データ暗号部と、前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成する分散部と、前記分散部により生成された前記第二分散情報を、前記サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成する第二分散情報暗号部と、前記生体データ暗号部により生成された前記暗号化生体データ、前記分散部により生成された第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、前記中間装置に送信する第一通信部とを備え、前記中間装置は、前記計測装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信する第二通信部と、前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する第三通信部とを備え、前記サーバ装置は、前記中間装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信する第四通信部と、前記第四通信部が受信した前記暗号化第二分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第二分散情報を生成する分散情報復号部と、前記第四通信部が受信した前記第一分散情報と前記分散情報復号部により生成された第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元する復元部と、前記復元部で復元された前記復号鍵を用いて、前記第四通信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する生体データ復号部とを備える。
【００１０】
この構成によると、計測した生体データを暗号化する際に用いた暗号鍵に対応する復号鍵が第一分散情報及び第二分散情報に分散される。このうち、第二分散情報がサーバ装置が有する復号鍵に対応する暗号鍵で暗号化され、暗号化第二分散情報が第一分散情報とともに中間装置を介してサーバ装置に送信される。暗号化第二分散情報はサーバ装置しか復号することができず、第一分散情報と第二分散情報とが揃わなければ復号鍵を復元することができないことより、第一分散情報と暗号化第二分散情報とを有する中間装置は、復号鍵を復元することができない。一方、サーバ装置は、暗号化第二分散情報を復号することにより第二分散情報を生成し、第一分散情報と第二分散情報とから復号鍵を復元することができる。このため、サーバ装置は、復号鍵を用いて暗号化生体データを復号することができる。よって、仮に中間装置を紛失した場合であっても、復号鍵を復元することはできない。そのため、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することができる。
【００１１】
好ましくは、前記第一通信部は、さらに、前記第二分散情報を前記中間装置に送信し、前記第二通信部は、さらに、前記計測装置から前記第二分散情報を受信し、前記中間装置は、さらに、前記第二通信部が受信した前記第一分散情報のみを記憶している記憶部と、前記記憶部に記憶されている前記第一分散情報と前記第二通信部が受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて前記第二通信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号部と、前記中間装置側生体データ復号部で生成された前記生体データを表示する表示部とを備える。
【００１２】
この構成によると、中間装置は、第一分散情報のみを記憶しており、計測装置から第二分散情報を受信すると、第一分散情報及び第二分散情報が揃い、復号鍵を復元することができる。このため、中間装置は、暗号化生体データを復号鍵を用いて復号し、生体データを表示部に表示することができる。中間装置が記憶しているのは第一分散情報のみであり、中間装置は計測装置から第二分散情報を受信した場合にのみ生体データを表示することができる。そのため、計測装置と中間装置とが揃わないと生体データを表示部に表示することができない。その結果、中間装置単独で用いても生体データを確認できず、計測装置を利用する患者が関知しない所で生体データを他人に見られるのを防止できる。
【００１３】
また、計測装置と中間装置とが揃わないと生体データを中間装置の表示部に表示させることができないので、中間装置を紛失しても生体データが漏洩するのを防止できる。
【００１４】
さらに、秘密分散法を用いることで、秘密漏洩のリスクを完全に防止できる。
【００１５】
さらに好ましくは、前記ヘルスケアシステムは、さらに、前記中間装置から前記生体データを受信し、受信した前記生体データを前記サーバ装置に送信するアクセス装置を備え、前記分散部は、さらに、前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な、前記第一分散情報及び前記第二分散情報と異なる第三分散情報を生成し、前記計測装置は、さらに、前記分散部により生成された前記第三分散情報を、前記アクセス装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第三分散情報を生成する第三分散情報暗号部を備え、前記第一通信部は、さらに、前記暗号化第三分散情報を前記中間装置に送信し、前記第二通信部は、さらに、前記計測装置から、前記暗号化第三分散情報を受信し、前記第三通信部は、前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報、前記暗号化第二分散情報及び前記暗号化第三分散情報を、前記アクセス装置に送信し、前記アクセス装置は、前記中間装置から、前記暗号化生体データ、前記第一分散情報、前記暗号化第二分散情報及び前記暗号化第三分散情報を受信する第五通信部と、前記第五通信部が受信した前記暗号化第三分散情報を前記アクセス装置が有する前記復号鍵で復号することにより、前記第三分散情報を生成する第三分散情報復号部と、前記第五通信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する第六通信部とを備え、前記第四通信部は、前記アクセス装置から、前記暗号化生体データ、前記第一分散情報、及び前記暗号化第二分散情報を受信する。
【００１６】
第三分散情報は、計測装置で暗号化され、暗号化第三分散情報として、中間装置に送信される。しかし、暗号化第三分散情報は、アクセス装置のみしか復号することができない。このため、中間装置は、単体では２つの分散情報を取得することができない。また、第一分散情報は中間装置で暗号化され、第二暗号化第一分散情報としてアクセス装置に送信される。暗号化第三分散情報はアクセス装置で復号可能であるが、第二暗号化第一分散情報は、サーバ装置のみしか復号することができない。このため、アクセス装置は、単体では２つの分散情報を取得することができない。よって、仮に中間装置又はアクセス装置を紛失した場合であっても、復号鍵を復元することはできない。そのため、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することができる。
【００１７】
また、中間装置は第一分散情報を有し、アクセス装置は第三分散情報を有していることより、両装置が揃えば、２つの分散情報が揃い、復号鍵を復元することができる。このため、中間装置は、暗号化生体データを復号鍵を用いて復号し、生体データを表示部に表示することができる。
【００１８】
さらに好ましくは、前記サーバ装置は、さらに、前記第二分散情報を保持している保持部と、前記保持部に保持されている前記第二分散情報を、前記計測装置とは異なる前記計測装置と同一の構成を有する他の計測装置に供給する供給部を備える。
【００１９】
この構成によると、計測装置の紛失又は故障等により、計測装置中の第二分散情報がなくなった場合でも、サーバ装置が他の計測装置に第二分散情報を供給することにより、他の計測装置が第二分散情報を取得できる。このため、中間装置が有する第一分散情報と合わせれば、他の計測装置を用いても暗号化生体データの復号が可能となる。
【００２０】
また、前記サーバ装置は、さらに、前記第一分散情報を保持している保持部と、前記保持部に保持されている前記第一分散情報を、前記中間装置とは異なる前記中間装置と同一の構成を有する他の中間装置に供給する供給部を備えていてもよい。
【００２１】
この構成によると、中間装置の紛失又は故障等により、中間装置中の第一分散情報がなくなった場合でも、サーバ装置が他の中間装置に第一分散情報を供給することにより、他の中間装置が第一分散情報を取得できる。このため、計測装置が有する第二分散情報と合わせれば、他の中間装置を用いても暗号化生体データの復号が可能となる。
【００２２】
また、前記サーバ装置は、さらに、前記復元部で復元された前記復号鍵から、前記第一分散情報及び前記第二分散情報とは異なり、かつ前記計測装置とは異なる前記計測装置と同一の構成を有する他の計測装置に対応付けられた１つの分散情報を生成し、生成した前記１つの分散情報を前記他の計測装置に供給する供給部を備えていてもよい。
【００２３】
この構成によると、計測装置の紛失又は故障等により、計測装置中の第二分散情報がなくなった場合でも、サーバ装置が他の計測装置に分散情報を供給することにより、他の計測装置が分散情報を取得できる。このため、中間装置が有する第一分散情報と合わせれば、他の計測装置を用いても暗号化生体データの復号が可能となる。また、サーバ装置が供給する分散情報は第一分散情報及び第二分散情報と異なり、かつ他の計測装置と対応付けられている。このため、他の計測装置から外部に分散情報が流出した場合に、どの計測装置から流出したのかを特定することが可能となる。
【００２４】
また、前記サーバ装置は、さらに、前記復元部で復元された前記復号鍵から、前記第一分散情報及び前記第二分散情報とは異なり、かつ前記中間装置とは異なる前記中間装置と同一の構成を有する他の中間装置に対応付けられた１つの分散情報を生成し、生成した前記１つの分散情報を前記他の中間装置に供給する供給部を備えていてもよい。
【００２５】
この構成によると、中間装置の紛失又は故障等により、中間装置中の第一分散情報がなくなった場合でも、サーバ装置が他の中間装置に分散情報を供給することにより、他の中間装置が分散情報を取得できる。このため、計測装置が有する第二分散情報と合わせれば、他の中間装置を用いても暗号化生体データの復号が可能となる。また、サーバ装置が供給する分散情報は第一分散情報及び第二分散情報と異なり、かつ他の中間装置と対応付けられている。このため、他の中間装置から外部に分散情報が流出した場合に、どの中間装置から流出したのかを特定することが可能となる。
【００２６】
また、前記計測装置は、計測端末と管理端末とを含み、前記計測端末は、前記計測部と、前記生体データ暗号部と、前記分散部と、前記第一分散情報暗号部と、前記暗号化生体データ、前記暗号化第一分散情報及び前記第二分散情報を前記管理端末に送信する送信部とを備え、前記管理端末は、前記計測端末から、前記暗号化生体データ、前記暗号化第一分散情報及び前記第二分散情報を受信する受信部と、第二分散情報暗号部と、前記第一通信部とを備え、前記第二分散情報暗号部は、前記受信部が受信した前記第二分散情報を、前記サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより前記暗号化第二分散情報を生成してもよい。
【００２７】
この構成によると、計測装置を、計測端末と管理端末とに分離し、第一分散情報が計測端末で暗号化され、第二分散情報は管理端末で暗号化される。このように、２つの分散情報を暗号化する端末を異ならせているため、データが外部に流出した場合であっても、分散情報を復元しにくくすることができる。
【００２８】
なお、本発明は、このような特徴的な処理部を備えるヘルスケアシステムとして実現することができるだけでなく、ヘルスケアシステムに含まれる特徴的な処理部が実行する処理をステップとする生体データ計測方法として実現したり、生体データ計測方法に含まれる特徴的なステップをコンピュータに実行させるプログラムとして実現したりすることもできる。そして、そのようなプログラムを、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ−Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）等のコンピュータ読取可能な不揮発性の記録媒体やインターネット等の通信ネットワークを介して流通させることができるのは、言うまでもない。
【発明の効果】
【００２９】
本発明によれば、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することが可能なヘルスケアシステムを提供することができる。
【図面の簡単な説明】
【００３０】
【図１】図１は、本発明の実施の形態１に係るヘルスケアシステムの構成を示すブロック図である。
【図２】図２は、計測装置の構成を示すブロック図である。
【図３】図３は、秘密分散法の説明図である。
【図４】図４は、計測装置の第一格納部の構成を示す図である。
【図５】図５は、計測装置の第一格納部の分散データＤＢの構成を示す図である。
【図６】図６は、計測装置の第一格納部の生体データＤＢの構成を示す図である。
【図７】図７は、計測装置の第一格納部の暗号鍵ＤＢの構成を示す図である。
【図８】図８は、計測装置の第一格納部の装置情報ＤＢの構成を示す図である。
【図９】図９は、第一データＦＤの構成を示す図である。
【図１０】図１０は、中間装置の構成を示すブロック図である。
【図１１】図１１は、中間装置の第二格納部の構成を示す図である。
【図１２】図１２は、中間装置の第二格納部の第二分散データＤＢの構成を示す図である。
【図１３】図１３は、中間装置の第二格納部の第二生体データＤＢの構成を示す図である。
【図１４】図１４は、中間装置の第二格納部の第二装置情報ＤＢの構成を示す図である。
【図１５】図１５は、第二データＳＤの構成を示す図である。
【図１６】図１６は、サーバ装置の構成を示すブロック図である。
【図１７】図１７は、サーバ装置の第三格納部の構成を示す図である。
【図１８】図１８は、サーバ装置の第四格納部の構成を示す図である。
【図１９】図１９は、サーバ装置の第五格納部の構成を示す図である。
【図２０】図２０は、サーバ装置の第五格納部の第三生体データＤＢの構成を示す図である。
【図２１】図２１は、サーバ装置の第五格納部の第二暗号鍵ＤＢの構成を示す図である。
【図２２】図２２は、サーバ装置の第五格納部の第三装置情報ＤＢの構成を示す図である。
【図２３】図２３は、ヘルスケアシステムの概念を示す図である。
【図２４】図２４は、ヘルスケアシステムの動作例の概念を示す図である。
【図２５】図２５は、ヘルスケアシステムでの計測時の動作例を示すフローチャートである。
【図２６】図２６は、計測装置の「計測処理」の詳細を示すフローチャートである。
【図２７】図２７は、計測装置の「暗号処理」の詳細を示すフローチャートである。
【図２８】図２８は、計測装置の「送信処理」の詳細を示すフローチャートである。
【図２９】図２９は、中間装置の「送受信処理」の詳細を示すフローチャートである。
【図３０】図３０は、サーバ装置の「受信処理」の詳細を示すフローチャートである。
【図３１】図３１は、ヘルスケアシステムでの生体データ表示時の動作例を示すフローチャートである。
【図３２Ａ】図３２Ａは、中間装置の「要求処理」の詳細を示すフローチャートである。
【図３２Ｂ】図３２Ｂは、中間装置の「表示処理」の詳細を示すフローチャートである。
【図３３】図３３は、計測装置の「応答処理」の詳細を示すフローチャートである。
【図３４】図３４は、ヘルスケアシステムの動作の概念を示す別の図である。
【図３５】図３５は、ヘルスケアシステムでの代替計測装置設定時の動作例を示すフローチャートである。
【図３６Ａ】図３６Ａは、計測装置の「第一設定処理」の詳細を示すフローチャートである。
【図３６Ｂ】図３６Ｂは、計測装置の「第一反映処理」の詳細を示すフローチャートである。
【図３７】図３７は、サーバ装置の「第一設定応答処理」の詳細を示すフローチャートである。
【図３８】図３８は、ヘルスケアシステムの動作の概念を示すさらに別の図である。
【図３９】図３９は、ヘルスケアシステムでの代替中間装置設定時の動作例を示すフローチャートである。
【図４０Ａ】図４０Ａは、中間装置の「第二設定処理」の詳細を示すフローチャートである。
【図４０Ｂ】図４０Ｂは、中間装置の「第二反映処理」の詳細を示すフローチャートである。
【図４１】図４１は、サーバ装置の「第二設定応答処理」の詳細を示すフローチャートである。
【図４２】図４２は、本発明の実施の形態２に係るヘルスケアシステムの構成を示すブロック図である。
【図４３】図４３は、計測装置の構成を示すブロック図である。
【図４４】図４４は、計測装置の第一格納部の構成を示す図である。
【図４５】図４５は、計測装置の第一格納部の分散データＤＢの構成を示す図である。
【図４６】図４６は、計測装置の第一格納部の生体データＤＢの構成を示す図である。
【図４７】図４７は、計測装置の第一格納部の暗号鍵ＤＢの構成を示す図である。
【図４８】図４８は、計測装置の第一格納部の装置情報ＤＢの構成を示す図である。
【図４９】図４９は、第一データＦＤの構成を示す図である。
【図５０】図５０は、中間装置の構成を示すブロック図である。
【図５１】図５１は、中間装置の第二格納部の構成を示す図である。
【図５２】図５２は、中間装置の第二格納部の第二分散データＤＢの構成を示す図である。
【図５３】図５３は、中間装置の第二格納部の第二生体データＤＢの構成を示す図である。
【図５４】図５４は、中間装置の第二格納部の第二装置情報ＤＢの構成を示す図である。
【図５５】図５５は、第二データＳＤの構成を示す図である。
【図５６】図５６は、アクセス装置の構成を示すブロック図である。
【図５７】図５７は、第六格納部の構成を示す図である。
【図５８】図５８は、第六格納部の分散データＤＢの構成を示す図である。
【図５９】図５９は、第六格納部の装置情報ＤＢの構成を示す図である。
【図６０】図６０は、第三データＴＤの構成を示す図である。
【図６１】図６１は、サーバ装置の構成を示すブロック図である。
【図６２】図６２は、サーバ装置の第三格納部の構成を示す図である。
【図６３】図６３は、サーバ装置の第四格納部の構成を示す図である。
【図６４】図６４は、サーバ装置の第五格納部の構成を示す図である。
【図６５】図６５は、サーバ装置の第五格納部の第三生体データＤＢの構成を示す図である。
【図６６】図６６は、サーバ装置の第五格納部の第二暗号鍵ＤＢの構成を示す図である。
【図６７】図６７は、サーバ装置の第五格納部の第三装置情報ＤＢの構成を示す図である。
【図６８】図６８は、サーバ装置の第七格納部の構成を示す図である。
【図６９】図６９は、ヘルスケアシステムの動作の概念を示す図である。
【図７０】図７０は、ヘルスケアシステムの動作例の概念を示す図である。
【図７１】図７１は、ヘルスケアシステムでの計測時の動作例を示すフローチャートである。
【図７２】図７２は、計測装置の「計測処理」の詳細を示すフローチャートである。
【図７３】図７３は、計測装置の「暗号処理」の詳細を示すフローチャートである。
【図７４】図７４は、計測装置の「送信処理」の詳細を示すフローチャートである。
【図７５】図７５は、中間装置の「送受信処理」の詳細を示すフローチャートである。
【図７６】図７６は、アクセス装置の「第二送受信処理」の詳細を示すフローチャートである。
【図７７】図７７は、サーバ装置の「受信処理」の詳細を示すフローチャートである。
【図７８】図７８は、ヘルスケアシステムでの生体データ表示時の動作例を示すフローチャートである。
【図７９Ａ】図７９Ａは、中間装置の「要求処理」の詳細を示すフローチャートである。
【図７９Ｂ】図７９Ｂは、中間装置の「表示処理」の詳細を示すフローチャートである。
【図８０】図８０は、計測装置の「応答処理」の詳細を示すフローチャートである。
【図８１】図８１は、ヘルスケアシステムの動作を示す別の図である。
【図８２Ａ】図８２Ａは、中間装置の「第二設定処理」の詳細を示すフローチャートである。
【図８２Ｂ】図８２Ｂは、中間装置の「第二反映処理」の詳細を示すフローチャートである。
【図８３】図８３は、サーバ装置の「第二設定応答処理」の詳細を示すフローチャートである。
【図８４】図８４は、ヘルスケアシステムの動作を示すさらに別の図である。
【図８５Ａ】図８５Ａは、計測装置の「第一設定処理」の詳細を示すフローチャートである。
【図８５Ｂ】図８５Ｂは、計測装置の「第一反映処理」の詳細を示すフローチャートである。
【図８６】図８６は、サーバ装置の「第一設定応答処理」の詳細を示すフローチャートである。
【図８７】図８７は、ヘルスケアシステムの動作を示すさらに別の図である。
【図８８Ａ】図８８Ａは、中間装置の「要求処理」の詳細を示すフローチャートである。
【図８８Ｂ】図８８Ｂは、中間装置の「表示処理」の詳細を示すフローチャートである。
【図８９】図８９は、アクセス装置の「応答処理」の詳細を示すフローチャートである。
【図９０】図９０は、ヘルスケアシステムでの代替アクセス設定時の動作例を示すフローチャートである。
【図９１Ａ】図９１Ａは、中間装置の「第三設定処理」の詳細を示すフローチャートである。
【図９１Ｂ】図９１Ｂは、中間装置の「第三反映処理」の詳細を示すフローチャートである。
【図９２】図９２は、サーバ装置の「第三設定応答処理」の詳細を示すフローチャートである。
【図９３】図９３は、変形例（３）における分散データＤＢの構成を示す図である。
【図９４】図９４は、変形例（３）における暗号鍵ＤＢの構成を示す図である。
【図９５】図９５は、変形例（４）におけるヘルスケアシステムの構成を示すブロック図である。
【図９６】図９６は、変形例（４）における計測端末の構成を示すブロック図である。
【図９７】図９７は、変形例（４）における管理端末の構成を示すブロック図である。
【発明を実施するための形態】
【００３１】
（実施の形態１）
以下、本発明の実施の形態１について、図面を参照しながら説明する。
【００３２】
図１は、ヘルスケアシステム１の構成を示す構成図である。
【００３３】
ヘルスケアシステム１は、計測装置１１、中間装置１３、及びサーバ装置１５を備えている。計測装置１１及び中間装置１３は、第一通信路１２を介して接続され、中間装置１３及びサーバ装置１５は、第二通信路１４を介して接続されている。計測装置１１は、患者が保持する装置であり、患者の体温などの生体データを計測する機能を有する。中間装置１３は、看護師が保持する装置であり、計測装置１１で計測した生体データを、サーバ装置１５へ受け渡す役目を有する。また、中間装置１３は、看護師が患者宅を訪問した際に、患者の過去の生体データを閲覧できる機能を有する。これにより、看護師は患者に適切なアドバイスを行うことができる。サーバ装置１５は、病院が管理する装置であり、中間装置１３を経由して計測装置１１より収集された患者の生体データを管理する。ここで管理される生体データは、病院の担当医により閲覧される。
【００３４】
まずは第一通信路１２と第二通信路１４について述べ、続いて計測装置１１、中間装置１３、及びサーバ装置１５の構成について図を用いて説明する。
【００３５】
＜第一通信路１２の構成＞
第一通信路１２は、計測装置１１と中間装置１３との間で、各種データを送受信するための通信路である。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）などで実現される無線接続のための通信路、又はＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）などで実現される有線接続のための通信路である。
【００３６】
＜第二通信路１４の構成＞
第二通信路１４は、中間装置１３とサーバ装置１５との間で、各種データを送受信するための通信路である。例えばＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ  Ｄｉｓｔａｌ  Ｓｕｂｓｃｒｉｂｅｒ  Ｌｉｎｅ）、電話線、又は専用線などによって実現される。
【００３７】
＜計測装置１１の構成＞
次に、計測装置１１の構成について説明する。
【００３８】
図２は、計測装置１１の構成を示すブロック図である。図２に示す通り、計測装置１１は、計測部１１０、鍵生成部１１１、分散部１１２、第一格納部１１３、第一暗号部１１４、第一通信部１１５、第一送受信処理部１１６、復元応答処理部１１７、及び第一設定処理部１１８を備えている。これらの構成要素のうち、必須の構成要素は、計測部１１０、分散部１１２、第一暗号部１１４、及び第一通信部１１５である。
【００３９】
なお、計測部１１０、分散部１１２及び第一通信部１１５は、請求の範囲の計測部、分散部及び第一通信部にそれぞれ対応する。また、第一暗号部１１４は、請求の範囲の生体データ暗号部と、第一分散情報暗号部と、第二分散情報暗号部とに対応する。
【００４０】
（１）計測部１１０
計測部１１０は、患者の生体データＶＤを計測する。生体データＶＤは例えば、体重、体脂肪、体温、血圧、血糖値、脈拍数、心拍数、歩数、又は運動量などである。例えば生体データＶＤが体温の場合、生体データＶＤのデータサイズは３バイト（十の位、一の位、小数第一位がそれぞれ１バイト）である。計測装置１１は「計測ボタン」を有し、計測部１１０は、そのボタンが押された際に生体データＶＤを計測する機能を有する。なお、計測部１１０は時計機能を有し、生体データＶＤに計測時間を加えてもよい。例として、２００８年１０月１６日１１時２６分に計測された体温が３６．５℃の場合、生体データＶＤは「２００８／１０／１６  １１：２６  ３６５」となる。計測部１１０は、生成した生体データＶＤを他の機能ブロックに出力する。
【００４１】
（２）鍵生成部１１１
鍵生成部１１１は、第一格納部１１３の暗号鍵ＤＢに、暗号化鍵ＰＫと復号鍵ＳＫが設定されていない場合、公開鍵暗号の鍵ペアである暗号化鍵ＰＫと復号鍵ＳＫを作成する。公開鍵暗号は、例えばＲＳＡ（Ｒｉｖｅｓｔ  Ｓｈａｍｉｒ  Ａｄｌｅｍａｎ）方式又は楕円曲線暗号方式などの暗号である。ＲＳＡ方式及び楕円曲線暗号方式、並びにそれら方式の鍵生成方法については公知なので、その詳細な説明は繰り返さない。鍵生成部１１１は、その暗号化鍵ＰＫと復号鍵ＳＫを、第一格納部１１３の暗号鍵ＤＢに格納する。例えば、鍵生成部１１１は、計測装置１１を最初に起動した際に、暗号化鍵ＰＫと復号鍵ＳＫを生成してもよいし、計測部１１０で最初に生体データＶＤを計測する前に生成してもよい。なお、鍵生成部１１１は、必ずしも計測装置１１に備えられていなくても良い。つまり、計測装置１１は外部の装置より暗号化鍵ＰＫと復号鍵ＳＫとを受信しても良い。
【００４２】
（３）分散部１１２
分散部１１２は、鍵生成部１１１が鍵ペアを生成したあとに、第一格納部１１３の暗号鍵ＤＢに設定されている復号鍵ＳＫから、秘密分散法を用いて、互いに異なる２つの分散情報を作成する。秘密分散法とは、あるデータをｎ個に分割し、そのうちの互いに異なるｋ個が揃ったらもとのデータが復元できるといった手法であり、非特許文献１及び２に詳しい。ここで、ｋ、ｎはそれぞれ自然数であり、ｋ≦ｎを満たす。
【非特許文献１】Ｂｒｕｃｅ  Ｓｃｈｎｅｉｅｒ，“ＡＰＰＬＩＥＤ  ＣＲＹＰＴＯＧＲＡＰＨＹ  Ｓｅｃｏｎｄ  ｅｄｉｔｉｏｎ”，ＷＩＬＥＹ，１９９６，ＰＰ５２８−５２９．
【非特許文献２】岡本龍明、山本博資、“現代暗号”、産業図書、１９９７、ＰＰ２１４−２１５．  秘密分散についてもう少し詳細に説明する。秘密分散は、秘密を複数の分散情報（シェアと呼ぶ）に分散し、そのうち、任意の分散情報が閾値であるｋ個揃うことにより、元の秘密が復元できるといった手法である。以降では、閾値ｋが３の場合を例に挙げて説明する。図３を参照して、定数項（図３では切片）を元の秘密ｄとした任意の２次多項式ｆ［ｘ］＝ａｘ2＋ｂｘ＋ｄ（ａ，ｂは任意に定める）を定める。このとき、ｉ番目の分散情報はこの２次多項式のｘにｉを設定したｆ［ｘ］、つまり図３の座標図では、ｘ座標にｉを設定したときの、ｙ座標値に相当する。なお、２次多項式上の３点がそろえば２次多項式が決定し、その切片である秘密ｄが復元される。なお、ここでは、分散情報を計測回数ｉに対応したｆ［ｉ］で示されるｙ座標としているが、多項式上の点（ｘ座標とｙ座標とのペア）であってもよい。
【００４３】
ここで互いに異なる２つの分散データはそれぞれ、第一分散情報ＦＳＤと第二分散情報ＳＳＤと呼ぶ。これらは、どちらか１つの分散情報しか持たない場合、復号鍵ＳＫを復元できないようにし、２つの分散情報が揃った場合、復号鍵ＳＫを復元できるようにする。そして、第一分散情報ＦＳＤと第二分散情報ＳＳＤを、第一格納部１１３の分散データＤＢに格納する。その際、鍵送信フラグＳＦの初期値は「Ｎｏ」とする。
【００４４】
（４）第一格納部１１３
第一格納部１１３は、図４のように、分散データＤＢ１７０、生体データＤＢ１７１、暗号鍵ＤＢ１７２、及び装置情報ＤＢ１７３を保持している。
【００４５】
分散データＤＢ１７０は、図５のように、第一分散情報ＦＳＤ（図５では第一分散情報２００）と、第二分散情報ＳＳＤ（図５では第二分散情報２０１）と、鍵送信フラグＳＦ（図５では鍵送信フラグ２０２）とを含む。第一分散情報ＦＳＤと第二分散情報ＳＳＤは、鍵生成部１１１で生成される復号鍵ＳＫが分散された値であり、分散部１１２で生成される。鍵送信フラグＳＦは、第一分散情報ＦＳＤと第二分散情報ＳＳＤを、中間装置１３へ既に渡しているかを示す値であり、Ｙｅｓは送信済、Ｎｏは未送信を表す。これは、計測装置１１が中間装置１３へ、第一分散情報ＦＳＤと第二分散情報ＳＳＤを送信するかどうか判断する際に用いる。
【００４６】
生体データＤＢ１７１は、図６のように、一以上の生体データＶＤ（図６では生体データ２１０ａ、２１０ｂ及び２１０ｃ）を含む。各生体データＶＤは、計測部１１０で計測された生体データである。
【００４７】
暗号鍵ＤＢ１７２は、図７のように、暗号化鍵ＰＫ（図７では暗号化鍵２２０）と、復号鍵ＳＫ（図７では復号鍵２２１）とを含む。この暗号化鍵ＰＫと復号鍵ＳＫは、鍵生成部１１１で生成される。
【００４８】
装置情報ＤＢ１７３は、図８のように、ユーザ識別子ＩＤ（図８ではユーザ識別子２７０）と、中間装置暗号化鍵ＣＰＫ（図８では中間装置暗号化鍵２７１）と、サーバ装置暗号化鍵（図８ではサーバ装置暗号化鍵２７２）とを含む。ユーザ識別子ＩＤは、計測装置１１を保持する患者を特定する番号である。中間装置暗号化鍵ＣＰＫは、中間装置１３が持つ中間装置復号鍵ＣＳＫに対応する鍵であり、サーバ装置暗号化鍵ＳＰＫは、サーバ装置１５が持つサーバ装置復号鍵ＳＳＫに対応する鍵である。
【００４９】
（５）第一暗号部１１４
第一暗号部１１４は、２つの機能を有する。
【００５０】
Ａ．生体データＶＤの暗号化
第一暗号部１１４は、他の機能ブロックから生体データＶＤを受け取ったら、第一格納部１１３の暗号鍵ＤＢ１７２にアクセスし、暗号化鍵ＰＫを取得する。そして、第一暗号部１１４は、その暗号化鍵ＰＫを使って、生体データＶＤを暗号化する。暗号化された生体データＶＤを暗号化生体データＥＶＤとする。暗号化方式は、鍵生成部１１１で鍵ペアを生成する際に用いた方式と同じものにする。例えば、ＲＳＡ方式又は楕円曲線暗号方式である。そして、第一暗号部１１４は、暗号化生体データＥＶＤを他の機能ブロックに出力する。
【００５１】
Ｂ．分散情報の暗号化
第一暗号部１１４は、他の機能ブロックから第一分散情報ＦＳＤと第二分散情報ＳＳＤを受け取ったら、第一格納部１１３の装置情報ＤＢ１７３にアクセスし、中間装置暗号化鍵ＣＰＫを取得する。そして、第一暗号部１１４は、その中間装置暗号化鍵ＣＰＫを用いて、第一分散情報ＦＳＤを暗号化する。その後、第一暗号部１１４は、再度第一格納部１１３の装置情報ＤＢ１７３にアクセスし、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第一暗号部１１４は、そのサーバ装置暗号化鍵ＳＰＫを用いて、第二分散情報ＳＳＤを暗号化する。暗号化した第一分散情報ＦＳＤ、及び暗号化した第二分散情報ＳＳＤを、それぞれ暗号化第一分散情報ＥＦＳＤ、及び暗号化第二分散情報ＥＳＳＤとする。暗号化方式は、例えば、ＲＳＡ方式又は楕円曲線暗号方式である。そして、第一暗号部１１４は、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤを他の機能ブロックに出力する。
【００５２】
（６）第一通信部１１５
第一通信部１１５は、他の機能ブロックからの要求に応じて、第一通信路１２を介して、中間装置１３との間で各種データを送受信する機能を有する。
【００５３】
（７）第一送受信処理部１１６
第一送受信処理部１１６は、外部からの要求に応じて、図９で示すような、ユーザ識別子ＩＤと一以上の暗号化生体データＥＶＤとを含む第一データＦＤを生成する。例えば、計測装置１１が「送信ボタン」を有し、第一送受信処理部１１６は、そのボタンが押された際に第一データＦＤを生成する。第一送受信処理部１１６は、ユーザ識別子ＩＤを第一格納部１１３の装置情報ＤＢ１７３から取得する。暗号化生体データＥＶＤは、第一暗号部１１４で生体データＶＤを暗号化することにより得られるデータである。暗号化の際、第一送受信処理部１１６は、第一格納部１１３の分散データＤＢ１７０に格納されている鍵送信フラグＳＦが「Ｎｏ」の場合、さらに第一暗号部１１４に依頼して、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤを生成させる。そして、第一送受信処理部１１６は、第一データＦＤに、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤを含める。そして、第一送受信処理部１１６は、生成した第一データＦＤを、第一通信部１１５を介して、中間装置１３へ送信する。
【００５４】
（８）復元応答処理部１１７
復元応答処理部１１７は、第一通信部１１５を介して、中間装置１３からユーザ識別子ＩＤを受け取った場合、まず、第一格納部１１３の装置情報ＤＢ１７３にアクセスし、受け取ったユーザ識別子ＩＤと装置情報ＤＢ１７３に格納されているユーザ識別子ＩＤとが同じかどうかを確認する。両者が同じである場合、復元応答処理部１１７は、第一格納部１１３の分散データＤＢ１７０から、第二分散情報ＳＳＤを取得し、第一通信部１１５を介して、中間装置１３へ送信する。
【００５５】
（９）第一設定処理部１１８
第一設定処理部１１８は、外部から入力されるデータに基づいて第一格納部１１３の装置情報ＤＢ１７３にユーザ識別子ＩＤ、中間装置暗号化鍵ＣＰＫ、サーバ装置暗号化鍵ＳＰＫを設定できる機能を有する。例えば、第一設定処理部１１８は、キーボードから入力されるデータに基づいてこれらの情報を設定してもよいし、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）カード等のメモリーカードに記憶されているデータに基づいてこれらの情報を設定してもよい。また、第一設定処理部１１８は、所定の認証機能（例えばパスワード認証）を有し、計測装置１１がサーバ装置１５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置１５は、第一設定処理部１１８を介して、第一格納部１１３の分散データＤＢ１７０に第一分散情報ＦＳＤと第二分散情報ＳＳＤと鍵送信フラグＳＦとを設定できる。
【００５６】
＜中間装置１３の構成＞
次に、中間装置１３の構成について説明する。図１０は、中間装置１３の構成を示すブロック図である。図１０に示す通り、中間装置１３は、第二通信部１３０、第二格納部１３１、表示部１３２、第一復号部１３３、制御部１３４、第二暗号部１３５、第三通信部１３６、第二送受信処理部１３７、復元要求処理部１３８、及び第二設定処理部１３９を備えている。これらの構成要素のうち、必須の構成要素は、第二通信部１３０と、第三通信部１３６である。
【００５７】
なお、第二通信部１３０、表示部１３２及び第三通信部１３６は、請求の範囲の第二通信部、表示部及び第三通信部にそれぞれ対応する。また、第二格納部１３１は、請求の範囲の記憶部に対応する。さらに、第一復号部１３３は、請求の範囲の中間装置側生体データ復号部に対応する。さらにまた、第二暗号部１３５は、請求の範囲の第一分散情報復号部に対応する。
【００５８】
（１）第二通信部１３０
第二通信部１３０は、第一通信路１２を介して、計測装置１１との間で各種データを送受信する機能を有する。
【００５９】
（２）第二格納部１３１
第二格納部１３１は、図１１のように、第二分散データＤＢ１８０、第二生体データＤＢ１８１、及び第二装置情報ＤＢ１８２を保持している。
【００６０】
第二分散データＤＢ１８０は、図１２のように、ユーザ識別子ＩＤ（図１２ではユーザ識別子３００）と、第一分散情報ＦＳＤ（図１２では第一分散情報３０１）とを含む。
【００６１】
第二生体データＤＢ１８１は、図１３のように、ユーザ識別子ＩＤ（図１３ではユーザ識別子３１０）と、一以上の暗号化生体データＥＶＤ（暗号化生体データ３１１ａ、３１１ｂお及び３１１ｃ）とを含む。
【００６２】
第二装置情報ＤＢ１８２は、図１４のように、中間装置復号鍵ＣＳＫ（図１４では中間装置復号鍵３２０）と、サーバ装置暗号化鍵ＳＰＫ（図１４ではサーバ装置暗号化鍵３２１）とを含む。
【００６３】
（３）表示部１３２
表示部１３２は、生体データＶＤを表示する機能を有する。例えば、表示部１３２は、複数の生体データＶＤをグラフ又は表にして表示する。
【００６４】
（４）第一復号部１３３
第一復号部１３３は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと暗号化生体データＥＶＤを受け取った場合、まず秘密分散法を用いて、第一分散情報ＦＳＤと第二分散情報ＳＳＤから、復号鍵ＳＫを復元する。そして、第一復号部１３３は、その復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する。第一復号部１３３は、その生体データＶＤを出力する機能を有する。
【００６５】
（５）制御部１３４
制御部１３４は、外部からユーザ識別子ＩＤを受け取った場合、復元要求処理部１３８に対してユーザ識別子ＩＤを出力する。例えば、中間装置１３が「閲覧ボタン」と「キーボード」を有しており、そのボタンとキーボードを介してユーザ識別子ＩＤが入力される。そうすると、制御部１３４は、復元要求処理部１３８から第二分散情報ＳＳＤを取得する。また、制御部１３４は、第二格納部１３１の第二分散データＤＢ１８０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する。さらに、制御部１３４は、第二格納部１３１の第二生体データＤＢ１８１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する。そして、制御部１３４は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと暗号化生体データＥＶＤを、第一復号部１３３に出力し、第一復号部１３３から生体データＶＤを得る。制御部１３４は、その生体データＶＤを、表示部１３２に表示させる機能を有する。
【００６６】
（６）第二暗号部１３５
第二暗号部１３５は、ユーザ識別子ＩＤと暗号化第一分散情報ＥＦＳＤを受け取った場合、第二格納部１３１の第二装置情報ＤＢ１８２から、中間装置復号鍵ＣＳＫを取得する。そして、第二暗号部１３５は、その中間装置復号鍵ＣＳＫを用いて、暗号化第一分散情報ＥＦＳＤを復号する。第二暗号部１３５は、復号結果である第一分散情報ＦＳＤを、ユーザ識別子ＩＤに対応させる形で、第二格納部１３１の第二分散データＤＢ１８０に格納する。その後、第二暗号部１３５は、第二格納部１３１の第二装置情報ＤＢ１８２から、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第二暗号部１３５は、第一分散情報ＦＳＤをサーバ装置暗号化鍵ＳＰＫで暗号化する。その結果を第二暗号化第一分散情報Ｅ２ＦＳＤとする。最後に、第二暗号部１３５は、第二暗号化第一分散情報Ｅ２ＦＳＤを他の機能ブロックに出力する。
【００６７】
（７）第三通信部１３６
第三通信部１３６は、第二通信路１４を介して、サーバ装置１５との間で、各種データを送受信する機能を有する。
【００６８】
（８）第二送受信処理部１３７
第二送受信処理部１３７は、計測装置１１から第一データＦＤを受け取った場合、まず第一データＦＤに含まれるユーザ識別子ＩＤと暗号化生体データＥＶＤを、第二格納部１３１の第二生体データＤＢ１８１に格納する。その後、第一データＦＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていたら、第二送受信処理部１３７は、ユーザ識別子ＩＤと暗号化第一分散情報ＥＦＳＤを第二暗号部１３５へ出力し、第二暗号化第一分散情報Ｅ２ＦＳＤを取得する。そして、図１５で示すように、第二送受信処理部１３７は、第一データＦＤのうち、暗号化第一分散情報ＥＦＳＤを第二暗号化第一分散情報Ｅ２ＦＳＤに置き換えた第二データＳＤを生成する。そして、第二送受信処理部１３７は、その第二データＳＤを、第三通信部１３６を介して、サーバ装置１５へ送信する。第一データＦＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていなかったら、第二送受信処理部１３７は、第一データＦＤを第二データＳＤとして、第三通信部１３６を介して、サーバ装置１５へ送信する。
【００６９】
（９）復元要求処理部１３８
復元要求処理部１３８は、他の機能ブロックからユーザ識別子ＩＤを受け取ったら、そのユーザ識別子ＩＤを、第二通信部１３０を介して、計測装置１１へ送信する。その後、復元要求処理部１３８は、第二通信部１３０を介して、計測装置１１から、暗号化第二分散情報ＥＳＳＤを受信する。復元要求処理部１３８は、その暗号化第二分散情報ＥＳＳＤを第一復号部１３３へ出力する。
【００７０】
（１０）第二設定処理部１３９
第二設定処理部１３９は、外部から入力されるデータに基づいて第二格納部１３１の第二装置情報ＤＢ１８２に中間装置復号鍵ＣＳＫ、サーバ装置暗号化鍵ＳＰＫを設定できる。例えば中間装置１３はキーボードを備えており、第二設定処理部１３９は、キーボードを介して入力されるデータに基づいてこれらの情報を設定することができる。また、第二設定処理部１３９は、所定の認証機能（例えばパスワード認証）を有し、中間装置１３がサーバ装置１５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置１５は、第二設定処理部１３９を介して、第二格納部１３１の第二分散データＤＢ１８０にユーザ識別子ＩＤと第一分散情報ＦＳＤを設定できる。
【００７１】
＜サーバ装置１５の構成＞
最後に、サーバ装置１５の構成について説明する。
【００７２】
図１６は、サーバ装置１５の構成を示すブロック図である。図１６に示す通り、サーバ装置１５は、第四通信部１５０、第二復号部１５１、第三格納部１５２、第四格納部１５３、第五格納部１５４、第三暗号部１５５、第三送受信処理部１５６、及び第三設定処理部１５７を備えている。これらの構成要素のうち、必須の構成要素は、第四通信部１５０と、第二復号部１５１と、第三暗号部１５５とである。
【００７３】
なお、第四通信部１５０は、請求の範囲の第四通信部に対応する。また、第二復号部１５１は、請求の範囲の復元部及び生体データ復号部に対応する。さらに、第三格納部１５２は、請求の範囲の保持部に対応する。さらにまた、第三暗号部１５５は、請求の範囲の分散情報復号部に対応する。また、第三設定処理部１５７は、請求の範囲の供給部に対応する。
【００７４】
（１）第四通信部１５０
第四通信部１５０は、第二通信路１４を介して、中間装置１３との間で、各種データを送受信する機能を有する。
【００７５】
（２）第二復号部１５１
第二復号部１５１は、２つの機能を有する。
【００７６】
Ａ．分散情報からの復号鍵の復元
第二復号部１５１は、他の機能ブロックから第一分散情報ＦＳＤと第二分散情報ＳＳＤを受け取った場合、秘密分散法を用いて、復号鍵ＳＫを復元し、他の機能ブロックに出力する機能を有する。
【００７７】
Ｂ．暗号化生体データの復号
第二復号部１５１は、他の機能ブロックから暗号化生体データＥＶＤと復号鍵ＳＫを受け取った場合、その復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、その結果である生体データＶＤを他の機能ブロックに出力する機能を有する。
【００７８】
（３）第三格納部１５２
第三格納部１５２は、図１７のように、ユーザ識別子ＩＤ（図１７ではユーザ識別子４００）と、第一分散情報ＦＳＤ（図１７では第一分散情報４０１）とを保持している。
【００７９】
（４）第四格納部１５３
第四格納部１５３は、図１８のように、ユーザ識別子ＩＤ（図１８ではユーザ識別子４１０）と、第二分散情報ＳＳＤ（図１８では第二分散情報４１１）とを保持している。
【００８０】
（５）第五格納部１５４
第五格納部１５４は、図１９のように、第三生体データＤＢ１９０と、第二暗号鍵ＤＢ１９１と、第三装置情報ＤＢ１９２とを保持している。
【００８１】
第三生体データＤＢ１９０は、図２０のように、ユーザ識別子ＩＤ（図２０ではユーザ識別子４２０）と、生体データＶＤ（図２０では生体データ４２１ａ、４２１ｂ及び４２１ｃ）とを含む。
【００８２】
第二暗号鍵ＤＢ１９１は、図２１のように、ユーザ識別子ＩＤ（図２１ではユーザ識別子４３０）と、復号鍵ＳＫ（図２１では復号鍵４３１）とを含む。
【００８３】
第三装置情報ＤＢ１９２は、図２２のように、サーバ装置復号鍵ＳＳＫ（図２１ではサーバ装置復号鍵４４０）を含む。
【００８４】
（６）第三暗号部１５５
第三暗号部１５５は、他の機能ブロックから、サーバ装置復号鍵ＳＳＫと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤとを受け取ったら、サーバ装置復号鍵ＳＳＫを用いて、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤを両方とも復号し、第一分散情報ＦＳＤと第二分散情報ＳＳＤを得る。そして、第三暗号部１５５は、第一分散情報ＦＳＤと第二分散情報ＳＳＤを他の機能ブロックに出力する。
【００８５】
（７）第三送受信処理部１５６
第三送受信処理部１５６は、第四通信部１５０を介して、中間装置１３から、第二データＳＤを受信した場合、最初に第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれるか確認する。第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていたら、第三送受信処理部１５６は、第五格納部１５４の第三装置情報ＤＢ１９２から、サーバ装置復号鍵ＳＳＫを取得する。そして、第三送受信処理部１５６は、第二データＳＤから、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤを抽出し、サーバ装置復号鍵ＳＳＫと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤを第三暗号部１５５へ出力し、第三暗号部１５５から第一分散情報ＦＳＤと第二分散情報ＳＳＤを得る。その後、第三送受信処理部１５６は、第一分散情報ＦＳＤと第二分散情報ＳＳＤを第二復号部１５１へ出力し、第二復号部１５１から復号鍵ＳＫを得る。第三送受信処理部１５６は、その復号鍵ＳＫを、第五格納部１５４の第二暗号鍵ＤＢ１９１に格納する。以上が、第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれる場合に行う追加の動作である。そして、第三送受信処理部１５６は、第五格納部１５４の第二暗号鍵ＤＢ１９１から取得した復号鍵ＳＫと、第二データＳＤに含まれる暗号化生体データＥＶＤを、第二復号部１５１へ出力し、第二復号部１５１から生体データＶＤを得る。第三送受信処理部１５６は、得られた生体データＶＤを第五格納部１５４の第三生体データＤＢ１９０に格納する。
【００８６】
（８）第三設定処理部１５７
第三設定処理部１５７は、外部から入力されるデータに基づいて第五格納部１５４の第三装置情報ＤＢ１９２にサーバ装置復号鍵ＳＳＫを設定できる機能を有する。例えば、第三設定処理部１５７は、キーボードから入力されるデータに基づいてサーバ装置復号鍵ＳＳＫを設定できる。
【００８７】
また、第三設定処理部１５７は、計測装置１１がサーバ装置１５に直接接続された場合に、計測装置１１に第二分散情報ＳＳＤを設定する機能を有する。さらに、第三設定処理部１５７は、中間装置１３がサーバ装置１５に直接接続された場合に、中間装置１３に第一分散情報ＦＳＤを設定する機能を有する。
【００８８】
以上が各構成要素の説明である。以後各構成装置の動作例について説明する。まずは、本動作例の概要、及び実現できる機能について説明する。
【００８９】
図２３を参照して、まず計測装置１１は、患者が最初に利用する際に、暗号化鍵ＰＫ、復号鍵ＳＫ、及び復号鍵ＳＫに対応する２つの分散情報（第一分散情報ＦＳＤと第二分散情報ＳＳＤ）を生成する。そして、計測装置１１は、患者が「計測ボタン」を押した際に生体データＶＤを計測し、生体データＶＤを暗号化鍵ＰＫで暗号化した形で蓄積する。そして、あるタイミングで看護師が患者宅を訪問した際、看護師が計測装置１１の「送信ボタン」を押すと、計測装置１１は、第一分散情報ＦＳＤを、中間装置１３だけが復号できる形で暗号化し、第二分散情報ＳＳＤを、サーバ装置１５だけが復号できる形で暗号化する。計測装置１１は、それぞれ暗号化された第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを、暗号化された生体データＶＤとともに、看護師が持参した中間装置１３に送信する。これらのデータを受信した中間装置１３は、まず暗号化された生体データＶＤを蓄積する。また、中間装置１３は、暗号化された第一分散情報ＦＳＤを復号し、第一分散情報ＦＳＤを蓄積する。そして、中間装置１３は、その第一分散情報ＦＳＤを、さらにサーバ装置１５だけが復号できる形で暗号化し、一時的に蓄積する。看護師が病院に戻った後、中間装置１３は、サーバ装置１５に対して、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤと生体データＶＤを送信する。サーバ装置１５は、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤを復号し、第一分散情報ＦＳＤと第二分散情報ＳＳＤを得て、第一分散情報ＦＳＤと第二分散情報ＳＳＤから復号鍵ＳＫを得る。そして、サーバ装置１５は、復号鍵ＳＫを用いて、暗号化された生体データＶＤを復号し、生体データＶＤを得る。このようにしてサーバ装置１５は、生体データＶＤを得ることができる。
【００９０】
図２４を参照して、その後のタイミングで、看護師が患者宅を訪問した場合、看護師が以前に測定された生体データＶＤを閲覧したいとする。その際、看護師が、看護師自身が保持する中間装置１３の「閲覧ボタン」を押下し、患者のユーザ識別子ＩＤを入力すると、中間装置１３は、計測装置１１にアクセスし、第二分散情報ＳＳＤを得る。そして、中間装置１３は、計測装置１１から取得した第二分散情報ＳＳＤと中間装置１３が保持する第一分散情報ＦＳＤとを組み合わせて、復号鍵ＳＫを復元する。中間装置１３は、復元した復号鍵ＳＫを用いて、保持する暗号化された生体データＶＤを復号し、生体データＶＤを得る。これにより、中間装置１３も、計測装置１１と連携すると、生体データＶＤを閲覧することができる。
【００９１】
さらに、あるタイミングで、患者が利用していた計測装置１１が故障した場合を考える。その場合、まず、システム管理者は、計測装置１１と同様の構成を有する別の計測装置１１ｘに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置１５が計測装置１１ｘにアクセスし、サーバ装置１５が保持する第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを計測装置１１ｘに対して出力する。このように、サーバ装置１５は、復号鍵ＳＫを復元後も第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを保持しておくことにより、計測装置１１が故障した場合でも、別の計測装置１１ｘに対して、同じ第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを設定することができるようになる。なお、サーバ装置１５は、第二分散情報ＳＳＤのみを計測装置１１ｘに対して設定するようにしても良い。なお、サーバ装置１５は、第一分散情報ＦＳＤ及び第二分散情報ＳＳＤのいずれとも異なる２つの分散情報を復号鍵ＳＫから生成し、生成した２つの分散情報を計測装置１１ｘに対して出力するようにしても良い。このとき、計測装置１１ｘと各分散情報とが一意に対応付けられるようにしておくことで、計測装置１１ｘから外部に分散情報が流出した場合に、どの計測装置１１ｘから流出したのかを特定することが可能となる。
【００９２】
最後に、あるタイミングで、看護師が利用していた中間装置１３が故障した場合を考える。その場合、まず、システム管理者は、中間装置１３と同様の構成を有する別の中間装置１３ｙに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置１５が中間装置１３ｙにアクセスし、サーバ装置１５が保持する第一分散情報ＦＳＤを出力する。このように、サーバ装置１５は、復号鍵ＳＫを復元後も第一分散情報ＦＳＤを保持しておくことにより、中間装置１３が故障した場合でも、別の中間装置１３ｙに対して、同じ第一分散情報ＦＳＤを設定することができるようになる。なお、サーバ装置１５は、第一分散情報ＦＳＤ及び第二分散情報ＳＳＤのいずれとも異なる分散情報を復号鍵ＳＫから生成し、生成した分散情報を中間装置１３ｙに対して出力するようにしても良い。このとき、中間装置１３ｙと分散情報とが一意に対応付けられるようにしておくことで、中間装置１３ｙから外部に分散情報が流出した場合に、どの中間装置１３ｙから流出したのかを特定することが可能となる。
【００９３】
上記が動作の概要である。以下、動作の詳細について説明する。ここでは、（ｉ）計測装置１１における生体データ計測時、及び生体データ送信時の動作、（ｉｉ）中間装置１３での生体データ表示時の動作、（ｉｉｉ）計測装置１１故障時の、他の計測装置１１ｘへの分散情報設定時の動作、（ｉｖ）中間装置１３故障時の、他の中間装置１３ｙへの分散情報設定時の動作、に分けて説明を行う。
【００９４】
＜（ｉ）計測装置１１における生体データ計測時、及び生体データ送信時の動作＞
以下、図２５のフローチャートを参照しながら、計測装置１１における生体データ計測時、及び生体データ送信時の動作について説明する。
【００９５】
計測装置１１は、「計測処理（ステップＳ１００）」を行う。
【００９６】
計測装置１１は、「暗号処理（ステップＳ１０１）」を行う。
【００９７】
計測装置１１は、「送信処理（ステップＳ１０２）」を行う。
【００９８】
中間装置１３は、「送受信処理（ステップＳ１０３）」を行う。
【００９９】
サーバ装置１５は、「受信処理（ステップＳ１０４）」を行い、処理を終了する。
【０１００】
次に、計測装置１１の各動作の詳細について説明する。
【０１０１】
＜計測処理（ステップＳ１００）の詳細：図２６参照＞
計測部１１０は、生体データＶＤを生成する（ステップＳ１００１）。
【０１０２】
計測部１１０は、生体データＶＤを第一格納部１１３の生体データＤＢ１７１に格納する（ステップＳ１００２）。
【０１０３】
＜暗号処理（ステップＳ１０１）の詳細：図２７参照＞
第一暗号部１１４は、第一格納部１１３の暗号鍵ＤＢ１７２から、暗号化鍵ＰＫを取得する（ステップＳ１０１１）。
【０１０４】
第一暗号部１１４は、暗号化鍵ＰＫを用いて、生体データＶＤを暗号化する（ステップＳ１０１２）。
【０１０５】
＜送信処理（ステップＳ１０２）の詳細：図２８参照＞
第一送受信処理部１１６は、第一格納部１１３の装置情報ＤＢ１７３から、ユーザ識別子ＩＤを取得する（ステップＳ１０２１）。
【０１０６】
第一送受信処理部１１６は、第一データＦＤを生成する（ステップＳ１０２２）。
【０１０７】
鍵送信フラグＳＦが「Ｎｏ」ならば（ステップＳ１０２３でＹｅｓ）、第一暗号部１１４は、第一分散情報ＦＳＤと第二分散情報ＳＳＤを暗号化する（ステップＳ１０２４）。
【０１０８】
第一送受信処理部１１６は、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤを第一データＦＤに追加する（ステップＳ１０２５）。
【０１０９】
鍵送信フラグＳＦが「Ｙｅｓ」か（ステップＳ１０２３でＮｏ）又はステップＳ１０２５の処理の後、第一送受信処理部１１６は、第一データＦＤを中間装置１３へ送信する（ステップＳ１０２６）。
【０１１０】
次に、中間装置１３の各動作の詳細について説明する。
【０１１１】
＜送受信処理（ステップＳ１０３）の詳細：図２９参照＞
第二送受信処理部１３７は、計測装置１１から第一データＦＤを受信する（ステップＳ１０３０）。
【０１１２】
第二送受信処理部１３７は、ユーザ識別子ＩＤと暗号化生体データＥＶＤを、第二格納部１３１の第二生体データＤＢ１８１に格納する（ステップＳ１０３１）。
【０１１３】
第一データＦＤに暗号化第一分散情報ＥＦＳＤが含まれていれば（ステップＳ１０３２でＹｅｓ）、第二暗号部１３５は、暗号化第一分散情報ＥＦＳＤを復号する（ステップＳ１０３３）。
【０１１４】
第二暗号部１３５は、第一分散情報ＦＳＤを暗号化する（ステップＳ１０３４）。
【０１１５】
第二送受信処理部１３７は、第一データＦＤに含まれる暗号化第一分散情報ＥＦＳＤを、第二暗号化第一分散情報Ｅ２ＦＳＤに置き換えた第二データＳＤを生成する（ステップＳ１０３５）。
【０１１６】
第二送受信処理部１３７は、サーバ装置１５へ第二データＳＤを送信し、処理を終了する（ステップＳ１０３６）。
【０１１７】
第一データＦＤに暗号化第一分散情報ＥＦＳＤが含まれていなければ（ステップＳ１０３２でＮｏ）、第二送受信処理部１３７は、サーバ装置１５へ、第一データＦＤを第二データＳＤとして送信し、処理を終了する（ステップＳ１０３７）。
【０１１８】
最後に、サーバ装置１５の各動作の詳細について説明する。
【０１１９】
＜受信処理（ステップＳ１０４）の詳細：図３０参照＞
第三送受信処理部１５６は、中間装置１３から第二データＳＤを受信する（ステップＳ１０４０）。
【０１２０】
第三送受信処理部１５６は、第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれるか否かを確認する（ステップＳ１０４１）。
【０１２１】
第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれる場合（ステップＳ１０４１でＹｅｓ）、第三送受信処理部１５６は、第五格納部１５４の第三装置情報ＤＢ１９２から、サーバ装置復号鍵ＳＳＫを取得する（ステップＳ１０４２）。
【０１２２】
第三暗号部１５５は、サーバ装置復号鍵ＳＳＫを使って、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤを復号する（ステップＳ１０４３）。
【０１２３】
第二復号部１５１は、第一分散情報ＦＳＤと第二分散情報ＳＳＤを使って、復号鍵ＳＫを得る。第二復号部１５１は、得られた復号鍵ＳＫを、第五格納部１５４の第二暗号鍵ＤＢ１９１に格納する（ステップＳ１０４４）。
【０１２４】
ステップＳ１０４４の処理の後、又は第二データＳＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていない場合（ステップＳ１０４１でＮｏ）、第二復号部１５１は、第五格納部１５４の第二暗号鍵ＤＢ１９１から取得した復号鍵ＳＫを使って（ステップＳ１０４５）、暗号化生体データＥＶＤを復号し生体データＶＤを得る。第二復号部１５１は、生体データＶＤを第五格納部１５４の第三生体データＤＢ１９０に格納し、処理を終了する（ステップＳ１０４６）。
【０１２５】
＜（ｉｉ）中間装置１３での生体データ表示時の動作＞
以下、図３１のフローチャートを参照しながら、中間装置１３での生体データ表示時の動作について説明する。
【０１２６】
中間装置１３は、「要求処理（ステップＳ１１０）」を行う。
【０１２７】
計測装置１１は、「応答処理（ステップＳ１１１）」を行う。
【０１２８】
中間装置１３は、「表示処理（ステップＳ１１２）」を行い、処理を終了する。
【０１２９】
次に、中間装置１３での生体データ表示時の各構成要素の動作について説明する。
【０１３０】
＜応答処理（ステップＳ１１０）の詳細：図３２Ａ参照＞
制御部１３４には、外部からユーザ識別子ＩＤが入力される（ステップＳ１１０１）。
【０１３１】
復元要求処理部１３８は、ユーザ識別子ＩＤを計測装置１１へ送信する（ステップＳ１１０２）。
【０１３２】
＜表示処理（ステップＳ１１２）の詳細：図３２Ｂ参照＞
制御部１３４は、第二分散情報ＳＳＤを受信する（ステップＳ１１２０）。
【０１３３】
制御部１３４は、第二格納部１３１の第二分散データＤＢ１８０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ１１２１）。
【０１３４】
制御部１３４は、第二格納部１３１の第二生体データＤＢ１８１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する（ステップＳ１１２２）。
【０１３５】
第一復号部１３３は、第一分散情報ＦＳＤと第二分散情報ＳＳＤとから、復号鍵ＳＫを復元する（ステップＳ１１２３）。
【０１３６】
第一復号部１３３は、復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する（ステップＳ１１２４）。
【０１３７】
表示部１３２は、生体データＶＤを、表示する（ステップＳ１１２５）。
【０１３８】
＜応答処理（ステップＳ１１１）の詳細：図３３＞
復元応答処理部１１７は、中間装置１３からユーザ識別子ＩＤを受信する（ステップＳ１１１０）。
【０１３９】
復元応答処理部１１７は、第一格納部１１３の分散データＤＢ１７０から、第二分散情報ＳＳＤを取得する（ステップＳ１１１１）。
【０１４０】
復元応答処理部１１７は、第二分散情報ＳＳＤを中間装置１３へ送信する（ステップＳ１１１２）。
【０１４１】
＜（ｉｉｉ）計測装置故障時の、他の計測装置１１ｘへの分散情報設定時の動作＞
以下、代替計測装置設定時の動作について説明する。まずは図３４を使って、本動作の背景についてもう一度詳しく説明する。ここでは、計測装置１１が故障したとする。その際、患者は代替品である計測装置１１ｘを入手するが、以前計測した生体データＶＤを、中間装置１３を保持する看護師は、引き続き閲覧したいと考える。そこで、本実施の形態では、サーバ装置１５が持つデータを計測装置１１ｘへコピーすることにより実現する。
【０１４２】
次に、図３５のフローチャートを参照しながら、代替計測装置設定時の動作を説明する。
【０１４３】
計測装置１１ｘは、「第一設定処理（ステップＳ１２０）」を行う。
【０１４４】
サーバ装置１５は、「第一設定応答処理（ステップＳ１２１）」を行う。
【０１４５】
計測装置１１ｘは、「第一反映処理（ステップＳ１２２）」を行い、処理を終了する。
【０１４６】
次に、各構成要素の詳細動作について説明する。
【０１４７】
＜第一設定処理（ステップＳ１２０）の詳細：図３６Ａ＞
第一設定処理部１１８は、認証情報の入力を受け付ける（ステップＳ１２００）。
【０１４８】
認証情報が正しければ、第一設定処理部１１８は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ１２０１）。
【０１４９】
第一設定処理部１１８は、ユーザ識別子ＩＤを、第一格納部１１３の装置情報ＤＢ１７３に格納する（ステップＳ１２０２）。
【０１５０】
第一設定処理部１１８は、ユーザ識別子ＩＤを、サーバ装置１５に送信する（ステップＳ１２０３）。
【０１５１】
＜第一反映処理（ステップＳ１２２）の詳細：図３６Ｂ＞
第一設定処理部１１８は、サーバ装置１５から、第一分散情報ＦＳＤと第二分散情報ＳＳＤと鍵送信フラグＳＦを受信する（ステップＳ１２２０）。
【０１５２】
第一設定処理部１１８は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと鍵送信フラグＳＦを、第一格納部１１３の分散データＤＢ１７０に格納する（ステップＳ１２２１）。
【０１５３】
＜第一設定応答処理（ステップＳ１２１）の詳細：図３７＞
第三設定処理部１５７は、計測装置１１ｘから、ユーザ識別子ＩＤを受信する（ステップＳ１２１０）。
【０１５４】
第三設定処理部１５７は、第三格納部１５２から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ１２１１）。
【０１５５】
第三設定処理部１５７は、第四格納部１５３から、ユーザ識別子ＩＤに対応する第二分散情報ＳＳＤを取得する（ステップＳ１２１２）。
【０１５６】
第三設定処理部１５７は、値がＹｅｓとなる、鍵送信フラグＳＦを作成する（ステップＳ１２１３）。
【０１５７】
第三設定処理部１５７は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと鍵送信フラグＳＦを、計測装置１１ｘへ送信する（ステップＳ１２１４）。
【０１５８】
＜（ｉｖ）中間装置故障時の、他の中間装置１３ｙへの分散情報設定時の動作＞
以下、代替中間装置設定時の動作について説明する。まずは図３８を使って、本動作の背景についてもう一度詳しく説明する。ここでは、中間装置１３が故障したとする。その際、看護師は代替品である中間装置１３ｙを入手するが、以前計測した生体データＶＤを、同じ計測装置１１と通信した際に、引き続き閲覧したいと考える。ここでは、サーバ装置１５が持つデータを中間装置１３ｙへコピーすることにより、それを実現する。
【０１５９】
以下、図３９のフローチャートを参照しながら、代替中間装置設定時の動作について説明する。
【０１６０】
中間装置１３ｙは、「第二設定処理（ステップＳ１３０）」を行う。
【０１６１】
サーバ装置１５は、「第二設定応答処理（ステップＳ１３１）」を行う。
【０１６２】
中間装置１３ｙは、「第二反映処理（ステップＳ１３２）」を行い、処理を終了する。
【０１６３】
次に、代替中間装置設定時の各構成要素の動作について説明する。
【０１６４】
＜第二設定処理（ステップＳ１３０）の詳細：図４０Ａ＞
第二設定処理部１３９は、認証情報の入力を受け付ける（ステップＳ１３００）。
【０１６５】
認証情報が正しければ、第二設定処理部１３９は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ１３０１）。
【０１６６】
第二設定処理部１３９は、ユーザ識別子ＩＤを、サーバ装置１５に送信する（ステップＳ１３０２）。
【０１６７】
＜第二反映処理（ステップＳ１３２）の詳細：図４０Ｂ＞
第二設定処理部１３９は、サーバ装置１５から、第一分散情報ＦＳＤを受信する（ステップＳ１３２０）。
【０１６８】
第二設定処理部１３９は、ユーザ識別子ＩＤと第一分散情報ＦＳＤを、第二格納部１３１の第二分散データＤＢ１８０に格納する（ステップＳ１３２１）。
【０１６９】
＜第二設定応答処理（ステップＳ１３１）の詳細：図４１＞
第三設定処理部１５７は、中間装置１３ｙから、ユーザ識別子ＩＤを受信する（ステップＳ１３１０）。
【０１７０】
第三設定処理部１５７は、第三格納部１５２から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ１３１１）。
【０１７１】
第三設定処理部１５７は、第一分散情報ＦＳＤを、中間装置１３ｙへ送信する（ステップＳ１３１２）。
【０１７２】
以上が、ヘルスケアシステムの構成要素である計測装置１１、中間装置１３、サーバ装置１５の動作である。
【０１７３】
（実施の形態１の効果）
計測装置１１は第一分散情報ＦＳＤを保持し、中間装置１３は第二分散情報ＳＳＤを保持し、サーバ装置１５は第一分散情報ＦＳＤ及び第二分散情報ＳＳＤを保持する。これにより、サーバ装置１５は、第一分散情報ＦＳＤ及び第二分散情報ＳＳＤから復号鍵ＳＫを再現できるため、暗号化鍵ＰＫで暗号化された生体データＶＤを再現できる。一方、中間装置１３は、第二分散情報ＳＳＤのみを保持するので、復号鍵ＳＫを再現できない。中間装置１３は、計測装置１１から第一分散情報ＦＳＤを取得すると、第一分散情報ＦＳＤ及び第二分散情報ＳＳＤが揃い、復号鍵ＳＫを再現し、暗号化鍵ＰＫで暗号化された生体データＶＤを再現して表示できる。即ち、中間装置１３に保存されるのは分散情報の中の第二分散情報ＳＳＤに過ぎず、中間装置１３は計測装置１１から第一分散情報ＦＳＤを取得した場合にのみ生体データＶＤを再現できる。そのため、計測装置１１と中間装置１３とが揃わないと生体データＶＤを中間装置１３の表示部１３２に表示させることができない。その結果、中間装置１３単独で生体データＶＤを確認できず、計測装置１１の患者が関知しない所で生体データＶＤを他人に見られるのを防止できる。そのため、計測装置１１からサーバ装置１５に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することができる。また、計測装置１１と中間装置１３とが揃わないと生体データＶＤを中間装置１３の表示部に表示させることができないので、中間装置１３を紛失しても生体データＶＤが外部に漏洩するのを防止できる。さらに、秘密分散法の技術を用いることで、秘密漏洩のリスクを完全に防止できる。
【０１７４】
また、サーバ装置１５は、復号鍵ＳＫを再現した後も、第一分散情報ＦＳＤと第二分散情報ＳＳＤを保持する。それにより、適切な別の計測装置１１ｘに対して、第一分散情報ＦＳＤを設定することができ、さらに、適切な別の中間装置１３ｙに対して、第二分散情報ＳＳＤを設定することができるようになる。これにより、計測装置１１又は中間装置１３が故障した場合でも、別の中間装置１３ｙに対して、同じ第二分散情報ＳＳＤを設定することができるようになる。これにより、患者が利用していた計測装置１１、又は看護師が利用していた中間装置１３が故障した場合であっても、同様の方法で生体データＶＤの閲覧を制御することができるようになる。
【０１７５】
（実施の形態２）
以下、本発明の実施の形態２について、図面を参照しながら説明する。
【０１７６】
図４２は、ヘルスケアシステム２の構成を示す構成図である。
【０１７７】
ヘルスケアシステム２は、計測装置２１、中間装置２３、サーバ装置２５、及びアクセス装置２６を備えている。計測装置２１及び中間装置２３は、第一通信路２２を介して接続されている。中間装置２３及びアクセス装置２６は、第二通信路２４を介して接続されている。アクセス装置２６及びサーバ装置２５は、第三通信路２７を介して接続されている。実施の形態１との大きな違いは、アクセス装置２６が追加されている点である。このアクセス装置２６は、例えば、看護師の派遣会社（看護ステーション）又は看護師の自宅に設置されているものである。機能は大きく２つあり、計測装置２１から中間装置２３に渡されたデータを、サーバ装置２５へ渡す機能と、中間装置２３とアクセス装置２６が通信することにより、患者の生体データが閲覧できるようになる機能とがある。
【０１７８】
まずは第一通信路２２と第二通信路２４と第三通信路２７について述べ、続いて計測装置２１、中間装置２３、サーバ装置２５、及びアクセス装置２６の構成について図を用いて説明する。
【０１７９】
＜第一通信路２２の構成＞
第一通信路２２は、計測装置２１と中間装置２３との間で、各種データを送受信するための通信路である。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）などで実現される無線接続のための通信路、又はＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）などで実現される有線接続のための通信路である。
【０１８０】
＜第二通信路２４の構成＞
第二通信路２４は、中間装置２３とアクセス装置２６との間で、各種データを送受信するための通信路である。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）などで実現される無線接続のための通信路、又はＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）などで実現される有線接続のための通信路である。
【０１８１】
＜第三通信路２７の構成＞
第三通信路２７は、アクセス装置２６とサーバ装置２５との間で、各種データを送受信するための通信路である。例えば、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ  Ｄｉｓｔａｌ  Ｓｕｂｓｃｒｉｂｅｒ  Ｌｉｎｅ）、電話線、又は専用線などで実現される。
【０１８２】
＜計測装置２１の構成＞
次に、計測装置２１の構成について説明する。
【０１８３】
図４３は、計測装置２１の構成を示すブロック図である。図４３に示す通り、計測装置２１は、計測部２１０、鍵生成部２１１、分散部２１２、第一格納部２１３、第一暗号部２１４、第一通信部２１５、第一送受信処理部２１６、復元応答処理部２１７、及び第一設定処理部２１８を備えている。これらの構成要素のうち、必須の構成要素は、計測部２１０、分散部２１２、第一暗号部２１４、及び第一通信部２１５である。
【０１８４】
なお、計測部２１０、分散部２１２及び第一通信部２１５は、請求の範囲の計測部、分散部及び第一通信部にそれぞれ対応する。また、第一暗号部２１４は、請求の範囲の生体データ暗号部と、第一分散情報暗号部と、第二分散情報暗号部と、第三分散情報暗号部とに対応する。
【０１８５】
（１）計測部２１０
計測部２１０は、患者の生体データＶＤを計測する。生体データＶＤは例えば、体重、体脂肪、体温、血圧、血糖値、脈拍数、心拍数、歩数、又は運動量などである。例えば生体データＶＤが体温の場合、生体データＶＤのデータサイズは３バイト（十の位、一の位、小数第一位がそれぞれ１バイト）である。計測装置２１は「計測ボタン」を有し、計測部２１０は、そのボタンが押された際に生体データＶＤを計測する機能を有する。なお、計測部２１０は時計機能を有し、生体データＶＤに計測時間を加えてもよい。例として、２００８年１０月１６日１１時２６分に計測された体温が３６．５℃の場合、生体データＶＤは「２００８／１０／１６  １１：２６  ３６５」となる。計測部２１０は、生成した生体データＶＤを他の機能ブロックに出力する。
【０１８６】
（２）鍵生成部２１１
鍵生成部２１１は、第一格納部２１３の暗号鍵ＤＢに、暗号化鍵ＰＫと復号鍵ＳＫが設定されていない場合、公開鍵暗号の鍵ペアである暗号化鍵ＰＫと復号鍵ＳＫを作成する。公開鍵暗号は、例えばＲＳＡ（Ｒｉｖｅｓｔ  Ｓｈａｍｉｒ  Ａｄｌｅｍａｎ）方式又は楕円曲線暗号方式などの暗号である。ＲＳＡ方式及び楕円曲線暗号方式、並びにそれら方式の鍵生成方法については公知なので、その詳細な説明は繰り返さない。鍵生成部１１１は、その暗号化鍵ＰＫと復号鍵ＳＫを、第一格納部２１３の暗号鍵ＤＢに格納する。例えば、鍵生成部２１１は、計測装置２１を最初に起動した際に、暗号化鍵ＰＫと復号鍵ＳＫを生成してもよいし、計測部２１０で最初に生体データＶＤを計測する前に生成してもよい。なお、鍵生成部２１１は、必ずしも計測装置２１に備えられていなくても良い。つまり、計測装置２１は外部の装置より暗号化鍵ＰＫと復号鍵ＳＫとを受信しても良い。
【０１８７】
（３）分散部２１２
分散部２１２は、鍵生成部２１１が鍵ペアを生成したあとに、第一格納部２１３の暗号鍵ＤＢに設定されている復号鍵ＳＫから、秘密分散法を用いて、互いに異なる３つの分散情報を作成する。ここでは、３つの分散情報のうち、２つの分散情報が得られれば、元の情報が復元できるようにする。
【０１８８】
（４）第一格納部２１３
第一格納部２１３は、図４４のように、分散データＤＢ５００、生体データＤＢ５０１、暗号鍵ＤＢ５０２、及び装置情報ＤＢ５０３を保持している。
【０１８９】
分散データＤＢ５００は、図４５のように、第一分散情報ＦＳＤ（図４５では第一分散情報６００）と、第二分散情報ＳＳＤ（図４５では第二分散情報６０１）と、第三分散情報ＴＳＤ（図４５では第三分散情報６０３）と、鍵送信フラグＳＦ（図４５では鍵送信フラグ６０２）とを含む。互いに異なる第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤは、鍵生成部２１１で生成される復号鍵ＳＫが分散された値であり、分散部２１２で生成される。鍵送信フラグＳＦは、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを、中間装置２３へ既に渡しているかを示す値であり、Ｙｅｓは送信済、Ｎｏは未送信を表す。これは、計測装置２１が中間装置２３へ、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを送信するかどうか判断する際に用いる。
【０１９０】
生体データＤＢ５０１は、図４６のように、一以上の生体データＶＤ（図４６では生体データ６１０ａ、６１０ｂ及び６１０ｃ）を含む。各生体データＶＤは、計測部２１０で計測された生体データである。
【０１９１】
暗号鍵ＤＢ５０２は、図４７のように、暗号化鍵ＰＫ（図４７では暗号化鍵６２０）と、復号鍵ＳＫ（図４７では復号鍵６２１）とを含む。この暗号化鍵ＰＫと復号鍵ＳＫは、鍵生成部２１１で生成される。
【０１９２】
装置情報ＤＢ５０３は、図４８のように、ユーザ識別子ＩＤ（図４８ではユーザ識別子６３０）と、中間装置暗号化鍵ＣＰＫ（図４８では中間装置暗号化鍵６３１）と、サーバ装置暗号化鍵（図４８ではサーバ装置暗号化鍵６３２）と、アクセス装置暗号化鍵（図４８ではアクセス装置暗号化鍵６３３）とを含む。ユーザ識別子ＩＤは、計測装置２１を保持する患者を特定する番号である。中間装置暗号化鍵ＣＰＫは、中間装置２３が持つ中間装置復号鍵ＣＳＫに対応する鍵であり、サーバ装置暗号化鍵ＳＰＫは、サーバ装置２５が持つサーバ装置復号鍵ＳＳＫに対応する鍵である。アクセス装置暗号化鍵ＡＰＫは、アクセス装置２６が持つアクセス装置復号鍵ＡＳＫに対応する鍵である。
【０１９３】
（５）第一暗号部２１４
第一暗号部２１４は、２つの機能を有する。
【０１９４】
Ａ．生体データＶＤの暗号化
第一暗号部２１４は、他の機能ブロックから生体データＶＤを受け取ったら、第一格納部２１３の暗号鍵ＤＢ５０２にアクセスし、暗号化鍵ＰＫを取得する。そして、第一暗号部２１４は、その暗号化鍵ＰＫを使って、生体データＶＤを暗号化する。暗号化された生体データＶＤを暗号化生体データＥＶＤとする。暗号化方式は、鍵生成部２１１で鍵ペアを生成する際に用いた方式と同じものにする。例えば、ＲＳＡ方式又は楕円曲線暗号方式である。そして、第一暗号部２１４は、暗号化生体データＥＶＤを他の機能ブロックに出力する。
【０１９５】
Ｂ．分散情報の暗号化
第一暗号部２１４は、他の機能ブロックから第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを受け取ったら、第一格納部２１３の装置情報ＤＢ５０３にアクセスし、中間装置暗号化鍵ＣＰＫを取得する。そして、第一暗号部２１４は、その中間装置暗号化鍵ＣＰＫを用いて、第一分散情報ＦＳＤを暗号化する。その後、第一暗号部２１４は、再度第一格納部２１３の装置情報ＤＢ５０３にアクセスし、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第一暗号部２１４は、そのサーバ装置暗号化鍵ＳＰＫを用いて、第二分散情報ＳＳＤを暗号化する。最後に、再度第一格納部２１３の装置情報ＤＢ５０３にアクセスし、アクセス装置暗号化鍵ＡＰＫを取得する。そして、第一暗号部２１４は、そのアクセス装置暗号化鍵ＡＰＫを用いて、第三分散情報ＴＳＤを暗号化する。暗号化した第一分散情報ＦＳＤ、暗号化した第二分散情報ＳＳＤ、及び暗号化した第三分散情報ＴＳＤを、それぞれ暗号化第一分散情報ＥＦＳＤ、暗号化第二分散情報ＥＳＳＤ、及び暗号化第三分散情報ＥＴＳＤとする。暗号化方式は、例えば、ＲＳＡ方式又は楕円曲線暗号方式である。そして、第一暗号部２１４は、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤと暗号化第三分散情報ＥＴＳＤを他の機能ブロックに出力する。
【０１９６】
（６）第一通信部２１５
第一通信部２１５は、他の機能ブロックからの要求に応じて、第一通信路２２を介して、中間装置２３との間で各種データを送受信する機能を有する。
【０１９７】
（７）第一送受信処理部２１６
第一送受信処理部２１６は、外部からの要求に応じて、図４９で示すような、ユーザ識別子ＩＤと一以上の暗号化生体データＥＶＤとを含む第一データＦＤを生成する。例えば、計測装置２１が「送信ボタン」を有し、第一送受信処理部２１６は、そのボタンが押された際に第一データＦＤを生成する。第一送受信処理部２１６は、ユーザ識別子ＩＤを第一格納部２１３の装置情報ＤＢ５０３から取得する。暗号化生体データＥＶＤは、第一暗号部２１４で生体データＶＤを暗号化することにより得られるデータである。暗号化の際、第一送受信処理部２１６は、第一格納部２１３の分散データＤＢ５００に格納されている鍵送信フラグＳＦが「Ｎｏ」の場合、さらに第一暗号部２１４に依頼して、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤと暗号化第三分散情報ＥＴＳＤとを生成させる。そして、第一送受信処理部２１６は、第一データＦＤに、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤと暗号化第三分散情報ＥＴＳＤを含める。そして、第一送受信処理部２１６は、生成した第一データＦＤを、第一通信部２１５を介して、中間装置２３へ送信する。
【０１９８】
（８）復元応答処理部２１７
復元応答処理部２１７は、第一通信部２１５を介して、中間装置２３からユーザ識別子ＩＤを受け取った場合、まず、第一格納部２１３の装置情報ＤＢ５０３にアクセスし、受け取ったユーザ識別子ＩＤと装置情報ＤＢ５０３に格納されているユーザ識別子ＩＤとが同じかどうかを確認する。両者が同じである場合、復元応答処理部２１７は、第一格納部２１３の分散データＤＢ５００から、第二分散情報ＳＳＤを取得し、第一通信部２１５を介して、中間装置２３へ送信する。
【０１９９】
（９）第一設定処理部２１８
第一設定処理部２１８は、外部から入力されるデータに基づいて第一格納部２１３の装置情報ＤＢ５０３にユーザ識別子ＩＤ、中間装置暗号化鍵ＣＰＫ、サーバ装置暗号化鍵ＳＰＫを設定できる機能を有する。例えば、第一設定処理部２１８は、キーボードから入力されるデータに基づいてこれらの情報を設定してもよいし、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）カード等のメモリーカードに記憶されているデータに基づいてこれらの情報を設定してもよい。また、第一設定処理部２１８は、所定の認証機能（例えばパスワード認証）を有し、計測装置２１がサーバ装置２５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置２５は、第一設定処理部２１８を介して、第一格納部２１３の分散データＤＢ５００に第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと鍵送信フラグＳＦを設定できる。
【０２００】
＜中間装置２３の構成＞
次に、中間装置２３の構成について説明する。図５０は、中間装置２３の構成を示すブロック図である。図５０に示す通り、中間装置２３は、第二通信部２３０、第二格納部２３１、表示部２３２、第一復号部２３３、制御部２３４、第二暗号部２３５、第三通信部２３６、第二送受信処理部２３７、復元要求処理部２３８、及び第二設定処理部２３９を備えている。これらの構成要素のうち、必須の構成要素は、第二通信部２３０と、第三通信部２３６である。
【０２０１】
なお、第二通信部２３０、表示部２３２及び第三通信部２３６は、請求の範囲の第二通信部、表示部及び第三通信部にそれぞれ対応する。また、第二格納部２３１は、請求の範囲の記憶部に対応する。さらに、第一復号部２３３は、請求の範囲の中間装置側生体データ復号部に対応する。さらにまた、第二暗号部２３５は、請求の範囲の第一分散情報復号部に対応する。
【０２０２】
（１）第二通信部２３０
第二通信部２３０は、第一通信路２２を介して、計測装置２１との間で各種データを送受信する機能を有する。
【０２０３】
（２）第二格納部２３１
第二格納部２３１は、図５１のように、第二分散データＤＢ５１０、第二生体データＤＢ５１１、及び第二装置情報ＤＢ５１２を保持している。
【０２０４】
第二分散データＤＢ５１０は、図５２のように、ユーザ識別子ＩＤ（図５２ではユーザ識別子７００）と、第一分散情報ＦＳＤ（図５２では第一分散情報７０１）とを含む。
【０２０５】
第二生体データＤＢ５１１は、図５３のように、ユーザ識別子ＩＤ（図５３ではユーザ識別子７１０）と、一以上の暗号化生体データＥＶＤ（暗号化生体データ７１１ａ、７１１ｂ及び７１１ｃ）とを含む。
【０２０６】
第二装置情報ＤＢ５１２は、図５４のように、中間装置復号鍵ＣＳＫ（図５４では中間装置復号鍵７２０）と、サーバ装置暗号化鍵ＳＰＫ（図５４ではサーバ装置暗号化鍵７２１）と、アクセス装置暗号化鍵ＡＰＫ（図５４ではアクセス装置暗号化鍵７２２）とを含む。
【０２０７】
（３）表示部２３２
表示部２３２は、生体データＶＤを表示する機能を有する。例えば、表示部２３２は、複数の生体データＶＤをグラフ又は表にして表示する。
【０２０８】
（４）第一復号部２３３
第一復号部２３３は、暗号化生体データＥＶＤと、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤのうち２つを受け取った場合、まず秘密分散法を用いて、その２つの分散情報から、復号鍵ＳＫを復元する。そして、その復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する。第一復号部２３３は、その生体データＶＤを出力する機能を有する。
【０２０９】
（５）制御部２３４
制御部２３４は、外部からユーザ識別子ＩＤを受け取った場合、復元要求処理部１３８に対してユーザ識別子ＩＤを出力する。例えば、中間装置２３が「閲覧ボタン」と「キーボード」を有しており、そのボタンとキーボードを介してユーザ識別子ＩＤが入力される。そうすると、制御部２３４は、復元要求処理部２３８から第二分散情報ＳＳＤ、又は第三分散情報ＴＳＤを取得する。また、制御部２３４は、第二格納部２３１の第二分散データＤＢ５１０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する。さらに、制御部２３４は、第二格納部２３１の第二生体データＤＢ５１１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する。そして、制御部２３４は、第一分散情報ＦＳＤと、暗号化生体データＥＶＤと、第二分散情報ＳＳＤ又は第三分散情報ＴＳＤを、第一復号部２３３に出力し、第一復号部２３３から生体データＶＤを得る。その生体データＶＤを、表示部２３２に表示させる機能を有する。
【０２１０】
（６）第二暗号部２３５
第二暗号部２３５は、ユーザ識別子ＩＤと暗号化第一分散情報ＥＦＳＤを受け取った場合、第二格納部２３１の第二装置情報５１２から、中間装置復号鍵ＣＳＫを取得する。そして、第二暗号部２３５は、その中間装置復号鍵ＣＳＫを用いて、暗号化第一分散情報ＥＦＳＤを復号する。第二暗号部２３５は、復号結果である第一分散情報ＦＳＤを、ユーザ識別子ＩＤに対応させる形で、第二格納部２３１の第二分散データＤＢ５１０に格納する。その後、第二暗号部２３５は、第二格納部２３１の第二装置情報ＤＢ５１２から、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第二暗号部２３５は、第一分散情報ＦＳＤをサーバ装置暗号化鍵ＳＰＫで暗号化する。その結果を第二暗号化第一分散情報Ｅ２ＦＳＤとする。最後に、第二暗号部２３５は、第二暗号化第一分散情報Ｅ２ＦＳＤを他の機能ブロックに出力する。
【０２１１】
（７）第三通信部２３６
第三通信部２３６は、第二通信路２４を介して、アクセス装置２６との間で、各種データを送受信する機能を有する。
【０２１２】
（８）第二送受信処理部２３７
第二送受信処理部２３７は、計測装置２１から第一データＦＤを受け取った場合、まず第一データＦＤに含まれるユーザ識別子ＩＤと暗号化生体データＥＶＤを、第二格納部２３１の第二生体データＤＢ５１１に格納する。その後、第一データＦＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第三分散情報ＥＴＳＤとが含まれていたら、第二送受信処理部２３７は、ユーザ識別子ＩＤと暗号化第一分散情報ＥＦＳＤを第二暗号部２３５へ出力し、第二暗号化第一分散情報Ｅ２ＦＳＤを取得する。そして、図５５で示すように、第二送受信処理部２３７は、第一データＦＤのうち、暗号化第一分散情報ＥＦＳＤを第二暗号化第一分散情報Ｅ２ＦＳＤに置き換えた第二データＳＤを生成する。そして、第二送受信処理部２３７は、その第二データＳＤを、第三通信部２３６を介して、アクセス装置２６へ送信する。第一データＦＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第三分散情報ＥＴＳＤが含まれていなかったら、第二送受信処理部２３７は、第一データＦＤを第二データＳＤとして、第三通信部２３６を介して、アクセス装置２６へ送信する。
【０２１３】
（９）復元要求処理部２３８
下記２つの機能を有する。
【０２１４】
１．中間装置２３と計測装置２１が第一通信路２２を介して通信可能な場合、復元要求処理部２３８は、他の機能ブロックからユーザ識別子ＩＤを受け取り、そのユーザ識別子ＩＤを、第二通信部２３０を介して、計測装置２１へ送信する。その後、復元要求処理部２３８は、第二通信部２３０を介して、計測装置２１から、暗号化第二分散情報ＥＳＳＤを受信する。復元要求処理部２３８は、その暗号化第二分散情報ＥＳＳＤを第一復号部２３３へ出力する。
【０２１５】
２．中間装置２３とアクセス装置２６が第二通信路２４を介して通信可能な場合、復元要求処理部２３８は、他の機能ブロックからユーザ識別子ＩＤを受け取り、そのユーザ識別子ＩＤを、第三通信部２３６を介して、アクセス装置２６へ送信する。その後、復元要求処理部２３８は、第三通信部２３６を介して、アクセス装置２６から、暗号化第三分散情報ＥＴＳＤを受信する。復元要求処理部２３８は、その暗号化第三分散情報ＥＴＳＤを第一復号部２３３へ出力する。
【０２１６】
（１０）第二設定処理部２３９
第二設定処理部２３９は、外部から入力されるデータに基づいて第二格納部２３１の第二装置情報ＤＢ５１２に中間装置復号鍵ＣＳＫ、サーバ装置暗号化鍵ＳＰＫ、アクセス装置暗号化鍵ＡＰＫを設定できる。例えば中間装置２３はキーボードを備えており、第二設定処理部２３９は、キーボードを介して入力されるデータに基づいてこれらの情報を設定することができる。また、第二設定処理部２３９は、所定の認証機能（例えばパスワード認証）を有し、中間装置２３がサーバ装置２５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置２５は、第二設定処理部２３９を介して、第二格納部２３１の第二分散データＤＢ５１０にユーザ識別子ＩＤと第一分散情報ＦＳＤを設定できる。
【０２１７】
＜アクセス装置２６の構成＞
次に、アクセス装置２６の構成について説明する。
【０２１８】
図５６は、アクセス装置２６の構成を示すブロック図である。図５６に示す通り、アクセス装置２６は、第五通信部２６０、第六格納部２６３、第四暗号部２６４、第六通信部２６５、第四送受信処理部２６６、復元応答処理部２６７、及び第四設定処理部２６８を備えている。これらの構成要素のうち、必須の構成要素は、第五通信部２６０と、第四暗号部２６４と、第六通信部２６５とである。
【０２１９】
なお、第五通信部２６０及び第六通信部２６５は、請求の範囲の第五通信部及び第六通信部に対応する。また、第四暗号部２６４は、請求の範囲の第三分散情報復号部に対応する。
【０２２０】
（１）第五通信部２６０
第五通信部２６０は、他の機能ブロックからの要求に応じて、第二通信路２４を介して、中間装置２３との間で各種データを送受信する機能を有する。
【０２２１】
（２）第六格納部２６３
第六格納部２６３は、図５７のように、分散データＤＢ５２０、装置情報ＤＢ５２３を保持している。
【０２２２】
分散データＤＢ５２０は、図５８のように、第三分散情報ＴＳＤ（図５８では第三分散情報７０３）を含む。
【０２２３】
装置情報ＤＢ５２３は、図５９のように、ユーザ識別子ＩＤ（図５９ではユーザ識別子７３０）と、中間装置暗号化鍵ＣＰＫ（図５９では中間装置暗号化鍵７３１）と、サーバ装置暗号化鍵ＳＰＫ（図５９ではサーバ装置暗号化鍵７３２）と、アクセス装置復号鍵ＡＳＫ（図５９ではアクセス装置復号鍵７３３）とを含む。ユーザ識別子ＩＤは、アクセス装置２６を特定する番号である。中間装置暗号化鍵ＣＰＫは、中間装置２３が持つ中間装置復号鍵ＣＳＫに対応する鍵であり、サーバ装置暗号化鍵ＳＰＫは、サーバ装置２５が持つサーバ装置復号鍵ＳＳＫに対応する鍵である。アクセス装置復号鍵ＡＳＫは、アクセス装置２６が持つ復号鍵である。
【０２２４】
（３）第四暗号部２６４
第四暗号部２６４は、ユーザ識別子ＩＤと暗号化第三分散情報ＥＴＳＤを受け取った場合、第六格納部２６３の装置情報ＤＢ５２３から、アクセス装置復号鍵ＡＳＫを取得する。そして、第四暗号部２６４は、そのアクセス装置復号鍵ＡＳＫを用いて、暗号化第三分散情報ＥＴＳＤを復号する。第四暗号部２６４は、復号結果である第三分散情報ＴＳＤを、ユーザ識別子ＩＤに対応させる形で、第六格納部２６３の分散データＤＢ５２０に格納する。その後、第四暗号部２６４は、第六格納部２６３の装置情報ＤＢ５２３から、サーバ装置暗号化鍵ＳＰＫを取得する。そして、第四暗号部２６４は、第三分散情報ＴＳＤをサーバ装置暗号化鍵ＳＰＫで暗号化する。その結果を第二暗号化第三分散情報Ｅ２ＴＳＤとする。最後に、第四暗号部２６４は、第二暗号化第三分散情報Ｅ２ＴＳＤを他の機能ブロックに出力する。
【０２２５】
（４）第六通信部２６５
第六通信部２６５は、他の機能ブロックからの要求に応じて、第三通信路２７を介して、サーバ装置２５との間で各種データを送受信する機能を有する。
【０２２６】
（５）第四送受信処理部２６６
第四送受信処理部２６６は、中間装置２３から第二データＳＤを受け取った場合、第二データＳＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第三分散情報ＥＴＳＤとが含まれていたら、ユーザ識別子ＩＤと暗号化第三分散情報ＥＴＳＤを第四暗号部２６４へ出力し、第四暗号部２６４から第二暗号化第三分散情報Ｅ２ＴＳＤを取得する。そして、第四送受信処理部２６６は、図６０で示すように、第二データＳＤのうち、暗号化第三分散情報ＥＴＳＤを第二暗号化第三分散情報Ｅ２ＴＳＤに置き換えた第三データＴＤを生成する。そして、第四送受信処理部２６６は、その第三データＴＤを、第六通信部２６５を介して、サーバ装置２５へ送信する。第二データＳＤに暗号化第一分散情報ＥＦＳＤと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第三分散情報ＥＴＳＤが含まれていなかったら、第四送受信処理部２６６は、第二データＳＤをそのまま第三データＴＤとして、第六通信部２６５を介して、サーバ装置２５へ送信する。
【０２２７】
（６）復元応答処理部２６７
復元応答処理部２６７は、第五通信部２６０を介して、中間装置２３からユーザ識別子ＩＤを受け取った場合、まず、第六格納部２６３の装置情報ＤＢ５２３にアクセスし、受け取ったユーザ識別子ＩＤと装置情報ＤＢ５２３に格納されているユーザ識別子ＩＤとが同じかどうかを確認する。両者が同じである場合、復元応答処理部２６７は、第六格納部２６３の分散データＤＢ５２０から、第三分散情報ＴＳＤを取得し、第五通信部２６０を介して、中間装置２３へ送信する。
【０２２８】
（７）第四設定処理部２６８
第四設定処理部２６８は、外部から入力されるデータに基づいて第一格納部２１３の装置情報ＤＢ５２３にユーザ識別子ＩＤ、中間装置暗号化鍵ＣＰＫ、サーバ装置暗号化鍵ＳＰＫ、アクセス装置復号鍵ＡＳＫを設定できる機能を有する。例えば、第四設定処理部２６８は、キーボード介して入力されるデータに基づいてこれらの情報を設定してもよいし、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）カード等のメモリーカードに記憶されているデータに基づいてこれらの情報を設定してもよい。また、第四設定処理部２６８は、所定の認証機能（例えばパスワード認証）を有し、アクセス装置２６がサーバ装置２５と接続した際に、認証を行う。その所定の認証が成功した場合に、サーバ装置２５は、第四設定処理部２６８を介して、第六格納部２６３の分散データＤＢ５２０に第三分散情報ＴＳＤを設定できる。
【０２２９】
＜サーバ装置２５の構成＞
最後に、サーバ装置２５の構成について説明する。
【０２３０】
図６１は、サーバ装置２５の構成を示すブロック図である。図６１に示す通り、サーバ装置２５は、第四通信部２５０、第二復号部２５１、第三格納部２５２、第四格納部２５３、第五格納部２５４、第三暗号部２５５、第三送受信処理部２５６、第三設定処理部２５７、及び第七格納部２５８を備えている。これらの構成要素のうち、必須の構成要素は、第四通信部２５０と、第二復号部２５１と、第三暗号部２５５とである。
【０２３１】
なお、第四通信部２５０は、請求の範囲の第四通信部に対応する。また、第二復号部２５１は、請求の範囲の復元部及び生体データ復号部に対応する。さらに、第三格納部２５２は、請求の範囲の保持部に対応する。さらにまた、第三暗号部２５５は、請求の範囲の分散情報復号部に対応する。また、第三設定処理部２５７は、請求の範囲の供給部に対応する。
【０２３２】
（１）第四通信部２５０
第四通信部２５０は、第三通信路２７を介して、アクセス装置２６との間で、各種データを送受信する機能を有する。
【０２３３】
（２）第二復号部２５１
第二復号部２５１は、２つの機能を有する。
【０２３４】
Ａ．分散情報からの復号鍵の復元
第二復号部２５１は、他の機能ブロックから第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを受け取った場合、秘密分散法を用いて、そのうち２つの分散情報から復号鍵ＳＫを復元し、他の機能ブロックに出力する機能を有する。
【０２３５】
Ｂ．暗号化生体データの復号
第二復号部２５１は、他の機能ブロックから暗号化生体データＥＶＤと復号鍵ＳＫを受け取った場合、その復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、その結果である生体データＶＤを他の機能ブロックに出力する機能を有する。
【０２３６】
（３）第三格納部２５２
第三格納部２５２は、図６２のように、ユーザ識別子ＩＤ（図６２ではユーザ識別子８００）と、第一分散情報ＦＳＤ（図６２では第一分散情報８０１）とを保持している。
【０２３７】
（４）第四格納部２５３
第四格納部２５３は、図６３のように、ユーザ識別子ＩＤ（図６２ではユーザ識別子８１０）と、第二分散情報ＳＳＤ（図６２では第二分散情報８１１）とを保持している。
【０２３８】
（５）第五格納部２５４
第五格納部２５４は、図６４のように、第三生体データＤＢ８２０と、第二暗号鍵ＤＢ８２１と、第三装置情報ＤＢ８２２とを保持している。
【０２３９】
第三生体データＤＢ８２０は、図６５のように、ユーザ識別子ＩＤ（図６５ではユーザ識別子９００）と、生体データＶＤ（図６５では生体データ９０１ａ、９０１ｂ及び９０１ｃ）とを含む。
【０２４０】
第二暗号鍵ＤＢ８２１は、図６６のように、ユーザ識別子ＩＤ（図６６ではユーザ識別子９１０）と、復号鍵ＳＫ（図６６では復号鍵９１１）とを含む。
【０２４１】
第三装置情報ＤＢ８２２は、図６７のように、サーバ装置復号鍵ＳＳＫ（図６７ではサーバ装置復号鍵９２０）を含む。
【０２４２】
（６）第三暗号部２５５
第三暗号部２５５は、他の機能ブロックから、サーバ装置復号鍵ＳＳＫと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤとを受け取ったら、サーバ装置復号鍵ＳＳＫを用いて、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤを全て復号し、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを得る。そして、第三暗号部２５５は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを他の機能ブロックに出力する。
【０２４３】
（７）第三送受信処理部２５６
第三送受信処理部２５６は、第四通信部２５０を介して、アクセス装置２６から、第三データＴＤを受信した場合、最初に第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれるか確認する。第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていたら、第三送受信処理部２５６は、第五格納部２５４の第三装置情報ＤＢ８２２から、サーバ装置復号鍵ＳＳＫを取得する。そして、第三送受信処理部２５６は、第三データＴＤから、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤを抽出し、サーバ装置復号鍵ＳＳＫと第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤを第三暗号部２５５へ出力し、第三暗号部２５５から第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを得る。その後、第三送受信処理部２５６は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを第二復号部２５１へ出力し、第二復号部２５１から復号鍵ＳＫを得る。第三送受信処理部２５６は、その復号鍵ＳＫを、第五格納部２５４の第二暗号鍵ＤＢ８２１に格納する。以上が、第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれる場合に行う追加の動作である。そして、第三送受信処理部２５６は、第五格納部２５４の第二暗号鍵ＤＢ８２１から取得した復号鍵ＳＫと、第二データＳＤに含まれる暗号化生体データＥＶＤを、第二復号部２５１へ出力し、第二復号部２５１から生体データＶＤを得る。第三送受信処理部２５６は、得られた生体データＶＤを第五格納部２５４の第三生体データＤＢ８２０に格納する。
【０２４４】
（８）第三設定処理部２５７
第三設定処理部２５７は、外部から入力されるデータに基づいて第五格納部２５４の第三装置情報ＤＢ８２２にサーバ装置復号鍵ＳＳＫを設定できる機能を有する。例えば、第三設定処理部２５７は、キーボードから入力されるデータに基づいてサーバ装置復号鍵ＳＳＫを設定できる。
【０２４５】
また、第三設定処理部２５７は、計測装置２１がサーバ装置２５に直接接続された場合に、計測装置２１に第二分散情報ＳＳＤを設定する機能を有する。さらに、第三設定処理部２５７は、中間装置２３がサーバ装置２５に直接接続された場合に、中間装置２３に第一分散情報ＦＳＤを設定する機能を有する。さらに、第三設定処理部２５７は、アクセス装置２６がサーバ装置２５に直接接続された場合に、アクセス装置２６に第三分散情報ＴＳＤを設定する機能を有する。
【０２４６】
（９）第七格納部２５８
第七格納部２５８は、図６８のように、ユーザ識別子ＩＤ（図６８ではユーザ識別子９３０）と、第三分散情報ＴＳＤ（図６８では第三分散情報９３１）とを保持している。
【０２４７】
以上が各構成要素の説明である。以後各構成装置の動作例について説明する。まずは、本動作例の概要、及び実現できる機能について説明する。
【０２４８】
図６９を参照して、まず計測装置２１は、患者が最初に利用する際に、暗号化鍵ＰＫ、復号鍵ＳＫ、及び復号鍵ＳＫに対応する３つの分散情報（第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤ）を生成する。ここでは、３つの分散情報のうち２つが揃えば、元の復号鍵ＳＫが得られるとする。そして、計測装置２１は、患者が「計測ボタン」を押した際に生体データＶＤを計測し、生体データＶＤを暗号化鍵ＰＫで暗号化した形で蓄積する。そして、あるタイミングで看護師が患者宅を訪問した際、看護師が計測装置２１の「送信ボタン」を押すと、計測装置２１は、第一分散情報ＦＳＤを、中間装置２３だけが復号できる形で暗号化し、第二分散情報ＳＳＤを、サーバ装置２５だけが復号できる形で暗号化し、第三分散情報ＴＳＤを、アクセス装置２６だけが復号できる形で暗号化する。計測装置２１は、それぞれ暗号化された第一分散情報ＦＳＤ、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤを、暗号化された生体データＶＤとともに、看護師が持参した中間装置２３に送信する。これらのデータを受信した中間装置２３は、まず暗号化された生体データＶＤを蓄積する。また、中間装置２３は、暗号化された第一分散情報ＦＳＤを復号し、第一分散情報ＦＳＤを蓄積する。そして、中間装置２３は、その第一分散情報ＦＳＤを、さらにサーバ装置２５だけが復号できる形で暗号化し、一時的に蓄積する。看護師が看護ステーションや自宅に戻った後、中間装置２３は、アクセス装置２６に対して、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと生体データＶＤを送信する。アクセス装置２６は、暗号化された第三分散情報ＴＳＤを復号し、第三分散情報ＴＳＤを蓄積する。そして、アクセス装置２６は、その第三分散情報ＴＳＤを、サーバ装置２５だけが復号できる形で暗号化し、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと生体データＶＤとをサーバ装置２５へ送信する。サーバ装置２５は、それぞれ暗号化された第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを復号し、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを得て、そのうち２つの分散情報から復号鍵ＳＫを得る。そして、サーバ装置２５は、復号鍵ＳＫを用いて、暗号化された生体データＶＤを復号し、生体データＶＤを得る。このようにしてサーバ装置２５は、生体データＶＤを得ることができる。
【０２４９】
図７０を参照して、その後のタイミングで、看護師が患者宅を訪問した場合、看護師が以前に測定された生体データＶＤを閲覧したいとする。その際、看護師が、看護師自身が保持する中間装置２３の「閲覧ボタン」を押下し、患者のユーザ識別子ＩＤを入力すると、中間装置２３は、計測装置２１にアクセスし、第二分散情報ＳＳＤを得る。そして、中間装置２３は、計測装置２１から取得した第二分散情報ＳＳＤと中間装置２３が保持する第一分散情報ＦＳＤとを組み合わせて、復号鍵ＳＫを復元する。中間装置２３は、復元した復号鍵ＳＫを用いて、保持する暗号化された生体データＶＤを復号し、生体データＶＤを得る。これにより、中間装置２３も、計測装置２１と連携すると、生体データＶＤを閲覧することができる。
【０２５０】
また、別のタイミングで、看護師が看護ステーションや自宅に居る場合、看護師が以前に測定された生体データＶＤを閲覧したいとする。その際、看護師が、看護師自身が保持する中間装置２３の「閲覧ボタン」を押下し、患者のユーザ識別子ＩＤを入力すると、中間装置２３は、アクセス装置２６にアクセスし、第三分散情報ＴＳＤを得る。そして、中間装置２３は、第三分散情報ＴＳＤと中間装置２３が保持する第一分散情報ＦＳＤと組み合わせて、復号鍵ＳＫを復元する。中間装置２３は、復元した復号鍵ＳＫを用いて、保持する暗号化された生体データＶＤを復号し、生体データＶＤを得る。これにより、中間装置２３も、アクセス装置２６と連携すると、生体データＶＤを閲覧することができる。
【０２５１】
さらに、あるタイミングで、患者が利用していた計測装置２１が故障した場合を考える。その場合、まず、システム管理者は、計測装置２１と同様の構成を有する別の計測装置２１ｘに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置２５が計測装置２１ｘにアクセスし、サーバ装置２５が保持する第二分散情報ＳＳＤを計測装置２１ｘに出力する。このように、サーバ装置２５は、復号鍵ＳＫを復元後も第二分散情報ＳＳＤを保持しておくことにより、計測装置２１が故障した場合でも、別の計測装置２１ｘに対して、同じ第二分散情報ＳＳＤを設定することができるようになる。なお、サーバ装置２５は、第一分散情報ＦＳＤ、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤのいずれとも異なる分散情報を復号鍵ＳＫから生成し、生成した分散情報を計測装置２１ｘに対して出力するようにしても良い。このとき、計測装置２１ｘと分散情報とが一意に対応付けられるようにしておくことで、計測装置２１ｘから外部に分散情報が流出した場合に、どの計測装置２１ｘから流出したのかを特定することが可能となる。
【０２５２】
また、あるタイミングで、看護師が利用していた中間装置２３が故障した場合を考える。その場合、まず、システム管理者は、中間装置２３ｙと同様の構成を有する別の中間装置２３ｙに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置２５が中間装置２３ｙにアクセスし、サーバ装置２５が保持する第一分散情報ＦＳＤを出力する。このように、サーバ装置２５は、復号鍵ＳＫを復元後も第一分散情報ＦＳＤを保持しておくことにより、中間装置２３が故障した場合でも、別の中間装置２３ｙに対して、同じ第一分散情報ＦＳＤを設定することができるようになる。なお、サーバ装置２５は、第一分散情報ＦＳＤ、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤのいずれとも異なる分散情報を復号鍵ＳＫから生成し、生成した分散情報を中間装置２３ｙに対して出力するようにしても良い。このとき、中間装置２３ｙと分散情報とが一意に対応付けられるようにしておくことで、中間装置２３ｙから外部に分散情報が流出した場合に、どの中間装置２３ｙから流出したのかを特定することが可能となる。
【０２５３】
最後に、あるタイミングで、看護ステーションや自宅に設置されているアクセス装置２６が故障した場合を考える。その場合、まず、システム管理者は、アクセス装置２６と同様の構成を有する別のアクセス装置２６ｚに対して、ユーザ識別子ＩＤなどを設定する。その後、サーバ装置２５がアクセス装置２６ｚにアクセスし、サーバ装置２５が保持する第三分散情報ＴＳＤを出力する。このように、サーバ装置２５は、復号鍵ＳＫを復元後も第三分散情報ＴＳＤを保持しておくことにより、アクセス装置２６が故障した場合でも、別のアクセス装置２６ｚに対して、同じ第三分散情報ＴＳＤを設定することができるようになる。なお、サーバ装置２５は、第一分散情報ＦＳＤ、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤのいずれとも異なる分散情報を復号鍵ＳＫから生成し、生成した分散情報をアクセス装置２６ｚに対して出力するようにしても良い。このとき、アクセス装置２６ｚと分散情報とが一意に対応付けられるようにしておくことで、アクセス装置２６ｚから外部に分散情報が流出した場合に、どのアクセス装置２６ｚから流出したのかを特定することが可能となる。
【０２５４】
上記が動作の概要である。以下、動作の詳細について説明する。ここでは、（ｉ）計測装置２１における生体データ計測時、及び生体データ送信時の動作、（ｉｉ）計測装置２１を使った中間装置２３での生体データ表示時の動作、（ｉｉｉ）中間装置故障時の、他の中間装置２３ｙへの分散情報設定時の動作、（ｉｖ）計測装置故障時の、他の計測装置２１ｘへの分散情報設定時の動作、（ｖ）アクセス装置２６を使った中間装置２３での生体データ表示時の動作、（ｖｉ）アクセス装置故障時の、他のアクセス装置２６ｚへの分散情報設定時の動作、に分けて説明を行う。
【０２５５】
＜（ｉ）計測装置２１における生体データ計測時、及び生体データ送信時の動作＞
以下、図７１のフローチャートを参照しながら、計測装置２１における生体データ計測時、及び生体データ送信時の動作について説明する。
【０２５６】
計測装置２１は、「計測処理（ステップＳ２００）」を行う。
【０２５７】
計測装置２１は、「暗号処理（ステップＳ２０１）」を行う。
【０２５８】
計測装置２１は、「送信処理（ステップＳ２０２）」を行う。
【０２５９】
中間装置２３は、「送受信処理（ステップＳ２０３）」を行う。
【０２６０】
アクセス装置２６は、「第二送受信処理（ステップＳ２０５）」を行う。
【０２６１】
サーバ装置２５は、「受信処理（ステップＳ２０４）」を行い、処理を終了する。
【０２６２】
次に、計測装置２１の各動作の詳細について説明する。
【０２６３】
＜計測処理（ステップＳ２００）の詳細：図７２参照＞
計測部２１０は、生体データＶＤを生成する（ステップＳ２００１）。
【０２６４】
計測部２１０は、生体データＶＤを第一格納部２１３の生体データＤＢ５０１に格納する（ステップＳ２００２）。
【０２６５】
＜暗号処理（ステップＳ２０１）の詳細：図７３参照＞
第一暗号部２１４は、第一格納部２１３の暗号鍵ＤＢ５０２から、暗号化鍵ＰＫを取得する（ステップＳ２０１１）。
【０２６６】
第一暗号部２１４は、暗号化鍵ＰＫを用いて、生体データＶＤを暗号化する（ステップＳ２０１２）。
【０２６７】
＜送信処理（ステップＳ２０２）の詳細：図７４参照＞
第一送受信処理部２１６は、第一格納部２１３の装置情報ＤＢ５０３から、ユーザ識別子ＩＤを取得する（ステップＳ２０２１）。
【０２６８】
第一送受信処理部２１６は、第一データＦＤを生成する（ステップＳ２０２２）。
【０２６９】
鍵送信フラグＳＦが「Ｎｏ」ならば（ステップＳ２０２３でＹｅｓ）、第一暗号部２１４は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを暗号化する（ステップＳ２０２４）。
【０２７０】
第一送受信処理部２１６は、暗号化第一分散情報ＥＦＳＤと暗号化第二分散情報ＥＳＳＤと暗号化第三分散情報ＥＴＳＤとを第一データＦＤに追加する（ステップＳ２０２５）。
【０２７１】
鍵送信フラグＳＦが「Ｙｅｓ」か（ステップＳ２０２３でＮｏ）又はステップＳ２０５の処理の後、第一送受信処理部２１６は、第一データＦＤを中間装置２３へ送信する（ステップＳ２０２６）。
【０２７２】
次に、中間装置２３の各動作の詳細について説明する。
【０２７３】
＜送受信処理（ステップＳ２０３）の詳細：図７５参照＞
第二送受信処理部２３７は、計測装置２１から第一データＦＤを受信する（ステップＳ２０３０）。
【０２７４】
第二送受信処理部２３７は、ユーザ識別子ＩＤと暗号化生体データＥＶＤを、第二格納部２３１の第二生体データＤＢ５１１に格納する（ステップＳ２０３１）。
【０２７５】
第一データＦＤに暗号化第一分散情報ＥＦＳＤが含まれていれば（ステップＳ２０３２でＹｅｓ）、第二暗号部２３５は、暗号化第一分散情報ＥＦＳＤを復号する（ステップＳ２０３３）。
【０２７６】
第二暗号部２３５は、第一分散情報ＦＳＤを暗号化する（ステップＳ２０３４）。
【０２７７】
第二送受信処理部２３７は、第一データＦＤに含まれる暗号化第一分散情報ＥＦＳＤを、第二暗号化第一分散情報Ｅ２ＦＳＤに置き換えた第二データＳＤを生成する（ステップＳ２０３５）。
【０２７８】
第二送受信処理部２３７は、アクセス装置２６へ第二データＳＤを送信し、処理を終了する（ステップＳ２０３６）。
【０２７９】
第一データＦＤに暗号化第一分散情報ＥＦＳＤが含まれていなければ（ステップＳ２０３２でＮｏ）、第二送受信処理部２３７は、アクセス装置２６へ、第一データＦＤを第二データＳＤとして送信し、処理を終了する（ステップＳ２０３７）。
【０２８０】
次に、アクセス装置２６の各動作の詳細について説明する。
【０２８１】
＜第二送受信処理（ステップＳ２０５）の詳細：図７６参照＞
第四送受信処理部２６６は、中間装置２３から第二データＳＤを受信する（ステップＳ２０５０）。
【０２８２】
第二データＳＤに、暗号化第一分散情報ＥＦＳＤが含まれていれば（ステップＳ２０５１でＹｅｓ）、第四暗号部２６４は、暗号化第三分散情報ＥＴＳＤを復号する（ステップＳ２０５２）。
【０２８３】
第四暗号部２６４は、第三分散情報ＴＳＤを暗号化する（ステップＳ２０５３）。
【０２８４】
第四送受信処理部２６６は、第二データＳＤに含まれる暗号化第三分散情報ＥＴＳＤを、第二暗号化第三分散情報Ｅ２ＴＳＤに置き換えた第三データＴＤを生成する（ステップＳ２０５４）。
【０２８５】
第四送受信処理部２６６は、サーバ装置２５へ第三データＴＤを送信し、処理を終了する（ステップＳ２０５５）。
【０２８６】
第二データＳＤに、暗号化第一分散情報ＥＦＳＤが含まれていなければ（ステップＳ２０５１でＮｏ）、第四送受信処理部２６６は、サーバ装置２５へ、第二データＳＤを第三データＴＤとして送信し、処理を終了する（ステップＳ２０５６）。
【０２８７】
最後に、サーバ装置２５の各動作の詳細について説明する。
【０２８８】
＜受信処理（ステップＳ２０４）の詳細：図７７参照＞
第三送受信処理部２５６は、アクセス装置２６から第三データＴＤを受信する（ステップＳ２０４０）。
【０２８９】
第三送受信処理部２５６は、第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれるか否かを確認する（ステップＳ２０４１）。
【０２９０】
第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれる場合（ステップＳ２０４１でＹｅｓ）、第三送受信処理部２５６は、第五格納部２５４の第三装置情報ＤＢ８２２から、サーバ装置復号鍵ＳＳＫを取得する（ステップＳ２０４２）。
【０２９１】
第三暗号部２５５は、サーバ装置復号鍵ＳＳＫを使って、第二暗号化第一分散情報Ｅ２ＦＳＤと暗号化第二分散情報ＥＳＳＤと第二暗号化第三分散情報Ｅ２ＴＳＤを復号する（ステップＳ２０４３）。
【０２９２】
第二復号部２５１は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤを使って、復号鍵ＳＫを得る。第二復号部２５１は、得られた復号鍵ＳＫを、第五格納部２５４の第二暗号鍵ＤＢ８２１に格納する（ステップＳ２０４４）。
【０２９３】
ステップＳ２０４４の処理の後、又は第三データＴＤに第二暗号化第一分散情報Ｅ２ＦＳＤが含まれていない場合（ステップＳ２０４１でＮｏ）、第二復号部２５１は、第五格納部２５４の第二暗号鍵ＤＢ８２１から取得した復号鍵ＳＫを使って（ステップＳ２０４５）、暗号化生体データＥＶＤを復号し生体データＶＤを得る。第二復号部２５１は、生体データＶＤを第五格納部２５４の第三生体データＤＢ８２０に格納し、処理を終了する（ステップＳ２０４６）。
【０２９４】
＜（ｉｉ）計測装置２１を使った中間装置２３での生体データ表示時の動作＞
以下、図７８のフローチャートを参照しながら、中間装置２３での生体データ表示時の動作について説明する。
【０２９５】
中間装置２３は、「要求処理（ステップＳ２１０）」を行う。
【０２９６】
計測装置２１は、「応答処理（ステップＳ２１１）」を行う。
【０２９７】
中間装置２３は、「表示処理（ステップＳ２１２）」を行い、処理を終了する。
【０２９８】
次に、中間装置２３での生体データ表示時の各構成要素の動作について説明する。
【０２９９】
＜要求処理（ステップＳ２１０）の詳細：図７９Ａ参照＞
制御部２３４には、外部からユーザ識別子ＩＤが入力される（ステップＳ２１０１）。
【０３００】
復元要求処理部２３８は、ユーザ識別子ＩＤを計測装置２１へ送信する（ステップＳ２１０２）。
【０３０１】
＜表示処理（ステップＳ２１２）の詳細：図７９Ｂ参照＞
制御部２３４は、第二分散情報ＳＳＤを受信する（ステップＳ２１２０）。
【０３０２】
制御部２３４は、第二格納部２３１の第二分散データＤＢ５１０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ２１２１）。
【０３０３】
制御部２３４は、第二格納部２３１の第二生体データＤＢ５１１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する（ステップＳ２１２２）。
【０３０４】
第一復号部２３３は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤとから、復号鍵ＳＫを復元する（ステップＳ２１２３）。
【０３０５】
第一復号部２３３は、復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する（ステップＳ２１２４）。
【０３０６】
表示部２３２は、生体データＶＤを、表示する（ステップＳ２１２５）。
【０３０７】
＜応答処理（ステップＳ２１１）の詳細：図８０＞
復元応答処理部２１７は、中間装置２３からユーザ識別子ＩＤを受信する（ステップＳ２１１０）。
【０３０８】
復元応答処理部２１７は、第一格納部２１３の分散データＤＢ５００から、第二分散情報ＳＳＤを取得する（ステップＳ２１１１）。
【０３０９】
復元応答処理部２１７は、第二分散情報ＳＳＤを中間装置２３へ送信する（ステップＳ２１１２）。
【０３１０】
＜（ｉｉｉ）中間装置故障時の、他の中間装置２３ｙへの分散情報設定時の動作＞
以下、図８１のフローチャートを参照しながら、代替中間装置設定時の動作を説明する。
【０３１１】
中間装置２３ｙは、「第二設定処理（ステップＳ２３０）」を行う。
【０３１２】
サーバ装置２５は、「第二設定応答処理（ステップＳ２３１）」を行う。
【０３１３】
中間装置２３ｙは、「第二反映処理（ステップＳ２３２）」を行い、処理を終了する。
【０３１４】
次に、代替中間装置設定時の各構成要素の詳細動作について説明する。
【０３１５】
＜第二設定処理（ステップＳ２３０）の詳細：図８２Ａ＞
第二設定処理部２３９は、認証情報の入力を受け付ける（ステップＳ２３００）。
【０３１６】
認証情報が正しければ、第二設定処理部２３９は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ２３０１）。
【０３１７】
第二設定処理部２３９は、ユーザ識別子ＩＤを、サーバ装置２５に送信する（ステップＳ２３０２）。
【０３１８】
＜第二反映処理（ステップＳ２３２）の詳細：図８２Ｂ＞
第二設定処理部２３９は、サーバ装置２５から、第一分散情報ＦＳＤを受信する（ステップＳ２３２０）。
【０３１９】
第二設定処理部２３９は、第一分散情報ＦＳＤを、第二格納部２３１の第二分散データＤＢ５１０に格納する（ステップＳ２３２１）。
【０３２０】
＜第二設定応答処理（ステップＳ２３１）の詳細：図８３＞
第三設定処理部２５７は、中間装置２３ｙから、ユーザ識別子ＩＤを受信する（ステップＳ２３１０）。
【０３２１】
第三設定処理部２５７は、第三格納部２５２から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ２３１１）。
【０３２２】
第三設定処理部２５７は、第一分散情報ＦＳＤを、中間装置２３ｙへ送信する（ステップＳ２３１２）。
【０３２３】
＜（ｉｖ）計測装置故障時の、他の計測装置２１ｘへの分散情報設定時の動作＞
以下、図８４のフローチャートを参照しながら、代替計測装置設定時の動作について説明する。
【０３２４】
計測装置２１ｘは、「第一設定処理（ステップＳ２２０）」を行う。
【０３２５】
サーバ装置２５は、「第一設定応答処理（ステップＳ２２１）」を行う。
【０３２６】
計測装置２１ｘは、「第一反映処理（ステップＳ２２２）」を行い、処理を終了する。
【０３２７】
次に、代替計測装置設定時の各構成要素の動作について説明する。
【０３２８】
＜第一設定処理（ステップＳ２２０）の詳細：図８５Ａ＞
第一設定処理部２１８は、認証情報の入力を受け付ける（ステップＳ２２００）。
【０３２９】
認証情報が正しければ、第一設定処理部２１８は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ２２０１）。
【０３３０】
第一設定処理部２１８は、ユーザ識別子ＩＤを、第一格納部２１３の装置情報ＤＢ５０３に格納する（ステップＳ２２０２）。
【０３３１】
第一設定処理部２１８は、ユーザ識別子ＩＤを、サーバ装置２５に送信する（ステップＳ２２０３）。
【０３３２】
＜第一反映処理（ステップＳ２２２）の詳細：図８５Ｂ＞
第一設定処理部２１８は、サーバ装置２５から、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと鍵送信フラグＳＦを受信する（ステップＳ２２２０）。
【０３３３】
第一設定処理部２１８は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと鍵送信フラグＳＦを、第一格納部２１３の分散データＤＢ５００に格納する（ステップＳ２２２１）。
【０３３４】
＜第一設定応答処理（ステップＳ２２１）の詳細：図８６＞
第三設定処理部２５７は、計測装置２１ｘから、ユーザ識別子ＩＤを受信する（ステップＳ２２１０）。
【０３３５】
第三設定処理部２５７は、第三格納部２５２から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ２２１１）。
【０３３６】
第三設定処理部２５７は、第四格納部２５３から、ユーザ識別子ＩＤに対応する第二分散情報ＳＳＤを取得する（ステップＳ２２１２）。
【０３３７】
第三設定処理部２５７は、第五格納部２５４から、ユーザ識別子ＩＤに対応する第三分散情報ＴＳＤを取得する（ステップＳ２２１３）。
【０３３８】
第三設定処理部２５７は、「Ｙｅｓ（送信済）」を表す鍵送信フラグＳＦを生成する（ステップＳ２２１４）。
【０３３９】
第三設定処理部２５７は、第一分散情報ＦＳＤと第二分散情報ＳＳＤと第三分散情報ＴＳＤと鍵送信フラグＳＦを、計測装置２１ｘへ送信する（ステップＳ２２１５）。
【０３４０】
＜（ｖ）アクセス装置２６を使った中間装置２３での生体データ表示時の動作＞
以下、図８７のフローチャートを参照しながら、中間装置２３での生体データ表示時の動作について説明する。
【０３４１】
中間装置２３は、「要求処理（ステップＳ２５０）」を行う。
【０３４２】
アクセス装置２６は、「応答処理（ステップＳ２５１）」を行う。
【０３４３】
中間装置２３は、「表示処理（ステップＳ２５２）」を行い、処理を終了する。
【０３４４】
次に、中間装置２３での生体データ表示時の各構成要素の動作について説明する。
【０３４５】
＜応答処理（ステップＳ２５０）の詳細：図８８Ａ参照＞
制御部２３４には、外部からユーザ識別子ＩＤが入力される（ステップＳ２５０１）。
【０３４６】
復元要求処理部２３８は、ユーザ識別子ＩＤをアクセス装置２６へ送信する（ステップＳ２５０２）。
【０３４７】
＜表示処理（ステップＳ２５２）の詳細：図８８Ｂ参照＞
制御部２３４は、第三分散情報ＴＳＤを受信する（ステップＳ２５２０）。
【０３４８】
制御部２３４は、第二格納部２３１の第二分散データＤＢ５１０から、ユーザ識別子ＩＤに対応する第一分散情報ＦＳＤを取得する（ステップＳ２５２１）。
【０３４９】
制御部２３４は、第二格納部２３１の第二生体データＤＢ５１１から、ユーザ識別子ＩＤに対応する暗号化生体データＥＶＤを取得する（ステップＳ２５２２）。
【０３５０】
第一復号部２３３は、第一分散情報ＦＳＤと第三分散情報ＴＳＤとから、復号鍵ＳＫを復元する（ステップＳ２５２３）。
【０３５１】
第一復号部２３３は、復号鍵ＳＫを用いて、暗号化生体データＥＶＤを復号し、生体データＶＤを取得する（ステップＳ２５２４）。
【０３５２】
表示部２３２は、生体データＶＤを、表示する（ステップＳ２５２５）。
【０３５３】
＜応答処理（ステップＳ２５１）の詳細：図８９＞
復元応答処理部２６７は、中間装置２３からユーザ識別子ＩＤを受信する（ステップＳ２５１０）。
【０３５４】
復元応答処理部２６７は、第六格納部２６３の分散データＤＢ５２０から、第三分散情報ＴＳＤを取得する（ステップＳ２５１１）。
【０３５５】
復元応答処理部２６７は、第三分散情報ＴＳＤを中間装置２３へ送信する（ステップＳ２５１２）。
【０３５６】
＜（ｖｉ）アクセス装置故障時の、他のアクセス装置２６ｚへの分散情報設定時の動作＞
以下、図９０のフローチャートを参照しながら、代替アクセス装置設定時の動作について説明する。
【０３５７】
アクセス装置２６ｚは、「第三設定処理（ステップＳ２６０）」を行う。
【０３５８】
サーバ装置２５は、「第三設定応答処理（ステップＳ２６１）」を行う。
【０３５９】
アクセス装置２６ｚは、「第三反映処理（ステップＳ２６２）」を行い、処理を終了する。
【０３６０】
次に、代替アクセス装置設定時の各構成要素の動作について説明する。
【０３６１】
＜第三設定処理（ステップＳ２６０）の詳細：図９１Ａ＞
次に、各構成要素の詳細動作について説明する。
【０３６２】
第四設定処理部２６８は、認証情報の入力を受け付ける（ステップＳ２６００）。
【０３６３】
認証情報が正しければ、第四設定処理部２６８は、さらにユーザ識別子ＩＤの入力を受け付ける（ステップＳ２６０１）。
【０３６４】
第四設定処理部２６８は、ユーザ識別子ＩＤを、サーバ装置２５に送信する（ステップＳ２６０２）。
【０３６５】
＜第二反映処理（ステップＳ２６２）の詳細：図９１Ｂ＞
第四設定処理部２６８は、サーバ装置２５から、第三分散情報ＴＳＤを受信する（ステップＳ２６２０）。
【０３６６】
第四設定処理部２６８は、ユーザ識別子ＩＤと第三分散情報ＴＳＤを、第六格納部２６３の分散データＤＢ５２０に格納する（ステップＳ２６２１）。
【０３６７】
＜第二設定応答処理（ステップＳ２６１）の詳細：図９２＞
第三設定処理部２５７は、アクセス装置２６ｚから、ユーザ識別子ＩＤを受信する（ステップＳ２６１０）。
【０３６８】
第三設定処理部２５７は、第七格納部２５８から、ユーザ識別子ＩＤに対応する第三分散情報ＴＳＤを取得する（ステップＳ２６１１）。
【０３６９】
第三設定処理部２５７は、第三分散情報ＴＳＤを、アクセス装置２６ｚへ送信する（ステップＳ２６１２）。
【０３７０】
以上が、ヘルスケアシステムの構成要素である計測装置２１、中間装置２３、サーバ装置２５、アクセス装置２６の動作である。
【０３７１】
（実施の形態２の効果）
実施の形態１に加え、さらにアクセス装置２６が第三分散情報ＴＳＤを保持する。これにより、中間装置２３は、アクセス装置２６から第三分散情報ＴＳＤを取得すると、第二分散情報ＳＳＤ及び第三分散情報ＴＳＤが揃い、復号鍵を再現し、暗号鍵で暗号化された生体データを再現して表示できる。計測装置２１とアクセス装置２６が揃っても、生体データＶＤを中間装置２３の表示部２３２で確認できるようになるため、中間装置２３の操作者の利便性が向上しつつ、中間装置２３紛失による生体データＶＤ漏洩を防止できる。
【０３７２】
なお、アクセス装置は、単体では２つの分散情報を取得することができない、よって、仮にアクセス装置を紛失した場合であっても、復号鍵を復元することはできない。そのため、計測装置からサーバ装置に直接分散情報を送信することができない場合であっても、安全に分散情報を配布することができる。
【０３７３】
＜変形例＞
上記に説明した実施の形態は、本発明の実施の形態の一例であり、本発明はこれらの実施の形態に何ら限定されるものではなく、その旨を逸脱しない範囲において主な態様で実施し得るものである。以下のような場合も本発明に含まれる。
【０３７４】
（１）各分散情報の配布方法については、上記で述べた方法に限らない。例えば、装置の数を増やし、分散情報の数を増やすことにより、中間装置が生体データを閲覧できる機会を増やすことができる。
【０３７５】
（２）分散情報の個数については、上記実施の形態の分散情報で開示している内容に限らない。例えば、実施の形態１の場合であっても、（２×Ｎ）個の分散情報を生成して、中間装置と計測装置にＮ個ずつを配ってもよい（Ｎは２以上の自然数）。
【０３７６】
（３）上記実施の形態では、各計測装置は１組の暗号化鍵と復号鍵を保持していたが、これに限らない。例えば、時間ごとに、それら暗号化鍵と復号鍵を更新していってもよい。その場合、暗号化鍵と復号鍵のペアに、鍵識別子を付与することにより実現できる。例えば、分散データＤＢは、図９３のように、鍵識別子と、第一分散情報ＦＳＤと、第二分散情報ＳＳＤと、鍵送信フラグＳＦとの組を一以上（図９３では３つ）含む。例えば、そのうちの１つの組が、鍵識別子２００ａと、第一分散情報２０１ａと、第二分散情報２０２ａと、鍵送信フラグ２０３ａとからなる組である。また、暗号鍵ＤＢ１７２は、図９４のように、鍵識別子と、暗号化鍵ＰＫと、復号鍵ＳＫと、有効期間との組を一以上（図９４では３つ）含む。例えば、そのうちの１つの組が、鍵識別子２２０ａと、暗号化鍵２２１ａと、復号鍵２２２ａと、有効期間２２３ａとからなる組である。
【０３７７】
（４）計測装置は、少なくとも１つの計測端末と、各計測装置で計測された生体データを収集し、中間装置に送信する管理装置とからなっていても良い。図９５は、このような計測装置を備えるヘルスケアシステムの構成を示すブロック図である。計測装置１１は、少なくとも１つの計測端末１１ａと、各計測端末１１ａに接続された管理端末１１ｂとを備える。
【０３７８】
図９６は、計測端末１１ａの構成を示すブロック図である。計測端末１１ａは、計測部１１０と、鍵生成部１１１と、分散部１１２と、第一格納部１１３と、第一分散情報暗号部１１４ａと、送信部１１５ａとを含む。計測部１１０、鍵生成部１１１、分散部１１２及び第一格納部１１３の構成は、実施の形態１に示したのと同様である。第一分散情報暗号部１１４ａは、実施の形態１に示した第一暗号部１１４が実施する処理のうち、生体データＶＤの暗号化と、第一分散情報ＦＳＤの暗号化とを実施する。送信部１１５ａは、暗号化生体データＥＶＤと、暗号化第一分散情報ＥＦＳＤと、第二分散情報ＳＳＤとを、管理端末１１ｂに送信する。
【０３７９】
図９７は、管理端末１１ｂの構成を示すブロック図である。管理端末１１ｂは、受信部１１５ｂと、第一送受信処理部１１６と、復元応答処理部１１７と、第一設定処理部１１８と、第二分散情報暗号部１１４ｂと、第一通信部１１５とを含む。第一送受信処理部１１６と、復元応答処理部１１７と、第一設定処理部１１８と、第一通信部１１５とは、実施の形態１に示したのと同様である。受信部１１５ｂは、計測端末１１ａから、暗号化生体データＥＶＤと、暗号化第一分散情報ＥＦＳＤと、第二分散情報ＳＳＤとを受信する。第二分散情報暗号部１１４ｂは、実施の形態１に示した第一暗号部１１４が実施する処理のうち、第二分散情報ＳＳＤの暗号化を実施する。
【０３８０】
このように、２つの分散情報を暗号化する端末を異ならせているため、データが外部に流出した場合であっても、分散情報を復元しにくくすることができる。
【０３８１】
（５）上記実施の形態では、計測装置から中間装置へ送信する第一分散情報ＦＳＤと、中間装置からサーバ装置へ送信する第一分散情報ＦＳＤとを暗号化していたが、この暗号化は省略しても良い。また、アクセス装置２６からサーバ装置２５へ送信する第三分散情報ＴＳＤを暗号化していたが、この暗号化も省略しても良い。
【０３８２】
（６）上記実施の形態では、暗号方式として、公開鍵暗号方式を使っていたが、これに限らない。例えば、暗号化鍵と復号鍵が等しい秘密鍵暗号方式を使ってもよい。例えばＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）方式でもよい。
【０３８３】
（７）上記実施の形態では、生体データを公開鍵暗号を用いて暗号化していたが、これに限らない。例えば、ハイブリッド型暗号を用いて暗号化してもよい。具体的には、生体データは秘密鍵暗号を用いて、一時的に生成したセッション鍵で暗号化し、その一時的に生成したセッション鍵を、公開鍵の暗号化鍵で暗号化して、その暗号化鍵に対応する復号鍵を分散してもよい。
【０３８４】
（８）上記実施の形態では、生体データを暗号化することに主眼をおいていたが、これに限るものではない。例えば、ある一定個数以上の分散情報が集まった場合に、生体データのディジタル署名が生成できるようにしてもよい。
【０３８５】
（９）上記実施の形態で述べた秘密分散法は、上述のものに限らない。同様の機能を有するものであれば、それに置き換えてもよい。
【０３８６】
（１０）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭ又はハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
【０３８７】
（１１）上記の各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ  Ｓｃａｌｅ  Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
【０３８８】
（１２）上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしてもよい。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
【０３８９】
（１３）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるディジタル信号であるとしてもよい。
【０３９０】
（１４）また、本発明は、前記コンピュータプログラム又は前記ディジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ（登録商標）  Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記ディジタル信号であるとしてもよい。
【０３９１】
（１５）また、本発明は、前記コンピュータプログラム又は前記ディジタル信号を、電気通信回線、無線若しくは有線通信回線、インターネットを代表とするネットワーク、又はデータ放送等を経由して伝送するものとしてもよい。
【０３９２】
（１６）また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。
【０３９３】
（１７）また、前記プログラム又は前記ディジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記ディジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
【０３９４】
（１８）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
【０３９５】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
【産業上の利用可能性】
【０３９６】
本発明は、特に、機密データの秘匿性と操作者の利便性を両立したヘルスケアシステム等に適用できる。
【符号の説明】
【０３９７】
１、２  ヘルスケアシステム
１１、２１  計測装置
１２、２２  第一通信路
１３、２３  中間装置
１４、２４  第二通信路
１５、２５  サーバ装置
２６  アクセス装置
１１０、２１０  計測部
１１１、２１１  鍵生成部
１１２、２１２  分散部
１１３、２１３  第一格納部
１１４、２１４  第一暗号部
１１５、２１５  第一通信部
１１６、２１６  第一送受信処理部
１１７、２１７  復元応答処理部
１１８、２１８  第一設定処理部
１３０、２３０  第二通信部
１３１、２３１  第二格納部
１３２、２３２  表示部
１３３、２３３  第一復号部
１３４、２３４  制御部
１３５、２３５  第二暗号部
１３６、２３６  第三通信部
１３７、２３７  第二送受信処理部
１３８、２３８  復元要求処理部
１３９、２３９  第二設定処理部
１５０、２５０  第四通信部
１５１、２５１  第二復号部
１５２、２５２  第三格納部
１５３、２５３  第四格納部
１５４、２５４  第五格納部
１５５、２５５  第三暗号部
１５６、２５６  第三送受信処理部
１５７、２５７  第三設定処理部
２５８  第七格納部
２６０  第五通信部
２６３  第六格納部
２６４  第四暗号部
２６５  第六通信部
２６６  第四送受信処理部
２６７  復元応答処理部
２６８  第四設定処理部
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
生体データを計測するヘルスケアシステムであって、
生体データを計測する計測装置と、
前記生体データを収集するサーバ装置と、
前記計測装置から前記生体データを受信し、受信した前記生体データを前記サーバ装置に送信する中間装置とを備え、
前記計測装置は、
患者の生体データを計測する計測部と、
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成する生体データ暗号部と、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成する分散部と、
前記分散部により生成された前記第二分散情報を、前記サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成する第二分散情報暗号部と、
前記生体データ暗号部により生成された前記暗号化生体データ、前記分散部により生成された第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、前記中間装置に送信する第一通信部とを備え、
前記中間装置は、
前記計測装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信する第二通信部と、
前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する第三通信部とを備え、
前記サーバ装置は、
前記中間装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信する第四通信部と、
前記第四通信部が受信した前記暗号化第二分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第二分散情報を生成する分散情報復号部と、
前記第四通信部が受信した前記第一分散情報と前記分散情報復号部により生成された第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元する復元部と、
前記復元部で復元された前記復号鍵を用いて、前記第四通信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する生体データ復号部とを備える
ヘルスケアシステム。
【請求項２】
前記第一通信部は、さらに、前記第二分散情報を前記中間装置に送信し、
前記第二通信部は、さらに、前記計測装置から前記第二分散情報を受信し、
前記中間装置は、さらに、
前記第二通信部が受信した前記第一分散情報のみを記憶している記憶部と、
前記記憶部に記憶されている前記第一分散情報と前記第二通信部が受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて前記第二通信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号部と、
前記中間装置側生体データ復号部で生成された前記生体データを表示する表示部とを備える
請求項１記載のヘルスケアシステム。
【請求項３】
前記計測装置は、さらに、
前記分散部により生成された前記第一分散情報を、前記中間装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第一分散情報を生成する第一分散情報暗号部を備え、
前記第一通信部は、前記生体データ暗号部により生成された前記暗号化生体データ、前記第一分散情報暗号部により生成された前記暗号化第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、前記中間装置に送信し、
前記第二通信部は、前記計測装置から、前記暗号化生体データ、前記暗号化第一分散情報及び前記暗号化第二分散情報を受信し、
前記中間装置は、さらに、
前記第二通信部が受信した前記暗号化第一分散情報を前記中間装置が有する前記復号鍵で復号することにより、前記第一分散情報を生成する第一分散情報復号部を備える
請求項１又は２記載のヘルスケアシステム。
【請求項４】
前記第一分散情報復号部は、さらに、前記第一分散情報復号部が生成した前記第一分散情報を、前記サーバ装置が有する前記復号鍵に対応する前記暗号鍵で暗号化することにより、第二暗号化第一分散情報を生成し、
前記第三通信部は、前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報復号部が生成した前記第二暗号化第一分散情報及び前記第二通信部が受信した前記暗号化第二分散情報を、前記サーバ装置に送信し、
前記第四通信部は、前記中間装置から、前記暗号化生体データ、前記第二暗号化第一分散情報及び前記暗号化第二分散情報を受信し、
前記分散情報復号部は、さらに、前記第二暗号化第一分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第一分散情報を生成し、
前記復元部は、前記分散情報復号部により生成された前記第一分散情報及び前記第二分散情報から、前記暗号化生体データを復号するための前記復号鍵を復元する
請求項３記載のヘルスケアシステム。
【請求項５】
前記ヘルスケアシステムは、さらに、
前記中間装置から前記生体データを受信し、受信した前記生体データを前記サーバ装置に送信するアクセス装置を備え、
前記分散部は、さらに、前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な、前記第一分散情報及び前記第二分散情報と異なる第三分散情報を生成し、
前記計測装置は、さらに、
前記分散部により生成された前記第三分散情報を、前記アクセス装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第三分散情報を生成する第三分散情報暗号部を備え、
前記第一通信部は、さらに、前記暗号化第三分散情報を前記中間装置に送信し、
前記第二通信部は、さらに、前記計測装置から、前記暗号化第三分散情報を受信し、
前記第三通信部は、前記第二通信部が受信した前記暗号化生体データ、前記第一分散情報、前記暗号化第二分散情報及び前記暗号化第三分散情報を、前記アクセス装置に送信し、
前記アクセス装置は、
前記中間装置から、前記暗号化生体データ、前記第一分散情報、前記暗号化第二分散情報及び前記暗号化第三分散情報を受信する第五通信部と、
前記第五通信部が受信した前記暗号化第三分散情報を前記アクセス装置が有する前記復号鍵で復号することにより、前記第三分散情報を生成する第三分散情報復号部と、
前記第五通信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する第六通信部とを備え、
前記第四通信部は、前記アクセス装置から、前記暗号化生体データ、前記第一分散情報、及び前記暗号化第二分散情報を受信する
請求項１〜４のいずれか１項に記載のヘルスケアシステム。
【請求項６】
前記第三分散情報復号部は、さらに、生成した前記第三分散情報を前記サーバ装置が有する前記復号鍵に対応する暗号鍵で暗号化することにより第二暗号化第三分散情報を生成し、
前記第六通信部は、さらに、前記第三分散情報復号部が生成した前記第二暗号化第三分散情報を、前記サーバ装置に送信し、
前記第四通信部は、さらに、前記アクセス装置から、前記第二暗号化第三分散情報を受信し、
前記分散情報復号部は、さらに、前記第四通信部が受信した前記第二暗号化第三分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第三分散情報を生成し、
前記復元部は、前記第四通信部が受信した前記第一分散情報と前記分散情報復号部により生成された前記第二分散情報及び前記第三分散情報との内の、２つから前記暗号化生体データを復号するための前記復号鍵を復元する
請求項５記載のヘルスケアシステム。
【請求項７】
前記サーバ装置は、さらに、
前記第二分散情報を保持している保持部と、
前記保持部に保持されている前記第二分散情報を、前記計測装置とは異なる前記計測装置と同一の構成を有する他の計測装置に供給する供給部を備える
請求項１〜６のいずれか１項に記載のヘルスケアシステム。
【請求項８】
前記サーバ装置は、さらに、
前記第一分散情報を保持している保持部と、
前記保持部に保持されている前記第一分散情報を、前記中間装置とは異なる前記中間装置と同一の構成を有する他の中間装置に供給する供給部を備える
請求項１〜６のいずれか１項に記載のヘルスケアシステム。
【請求項９】
前記サーバ装置は、さらに、
前記復元部で復元された前記復号鍵から、前記第一分散情報及び前記第二分散情報とは異なり、かつ前記計測装置とは異なる前記計測装置と同一の構成を有する他の計測装置に対応付けられた１つの分散情報を生成し、生成した前記１つの分散情報を前記他の計測装置に供給する供給部を備える
請求項１〜６のいずれか１項に記載のヘルスケアシステム。
【請求項１０】
前記サーバ装置は、さらに、
前記復元部で復元された前記復号鍵から、前記第一分散情報及び前記第二分散情報とは異なり、かつ前記中間装置とは異なる前記中間装置と同一の構成を有する他の中間装置に対応付けられた１つの分散情報を生成し、生成した前記１つの分散情報を前記他の中間装置に供給する供給部を備える
請求項１〜６のいずれか１項に記載のヘルスケアシステム。
【請求項１１】
前記計測装置は、計測端末と管理端末とを含み、
前記計測端末は、
前記計測部と、
前記生体データ暗号部と、
前記分散部と、
前記第一分散情報暗号部と、
前記暗号化生体データ、前記暗号化第一分散情報及び前記第二分散情報を前記管理端末に送信する送信部とを備え、
前記管理端末は、
前記計測端末から、前記暗号化生体データ、前記暗号化第一分散情報及び前記第二分散情報を受信する受信部と、
第二分散情報暗号部と、
前記第一通信部とを備え、
前記第二分散情報暗号部は、前記受信部が受信した前記第二分散情報を、前記サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより前記暗号化第二分散情報を生成する
請求項３記載のヘルスケアシステム。
【請求項１２】
前記第一分散情報及び前記第二分散情報の各々は、複数のデータの組である
請求項１〜１１のいずれか１項に記載のヘルスケアシステム。
【請求項１３】
生体データを計測する生体データ計測方法であって、
計測装置が患者の生体データを計測し、
前記計測装置が前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成し、
前記計測装置が前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成し、
前記計測装置が前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成し、
前記計測装置が前記暗号化生体データ、第一分散情報及び前記暗号化第二分散情報を、中間装置に送信し、
前記中間装置が前記計測装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信し、
前記中間装置が前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信し、
前記サーバ装置が前記中間装置から、前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を受信し、
前記サーバ装置が前記暗号化第二分散情報を前記サーバ装置が有する前記復号鍵で復号することにより、前記第二分散情報を生成し、
前記サーバ装置が前記第一分散情報と第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、
前記サーバ装置が前記復号鍵を用いて、前記暗号化生体データを復号することにより前記生体データを生成する
生体データ計測方法。
【請求項１４】
生体データを計測する計測装置であって、
患者の生体データを計測する計測部と、
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成する生体データ暗号部と、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成する分散部と、
前記分散部により生成された前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成する第二分散情報暗号部と、
前記生体データ暗号部により生成された前記暗号化生体データ、前記分散部により生成された第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、中間装置に送信する第一通信部と
を備える計測装置。
【請求項１５】
生体データを計測する計測方法であって、
患者の生体データを計測し、
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成し、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成し、
生成された前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成し、
生成された前記暗号化生体データ、第一分散情報及び前記暗号化第二分散情報を、外部に送信する
計測方法。
【請求項１６】
生体データを計測するためのプログラムであって、
患者の生体データを計測するステップと
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成するステップと、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成するステップと、
生成された前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成するステップと、
生成された前記暗号化生体データ、第一分散情報及び前記暗号化第二分散情報を、外部に送信するステップと
をコンピュータに実行させるためのプログラム。
【請求項１７】
生体データを計測する集積回路であって、
患者の生体データを計測する計測部と、
前記生体データを所定の暗号鍵で暗号化することにより暗号化生体データを生成する生体データ暗号部と、
前記暗号化生体データを復号するための復号鍵から、互いに異なる２つの分散情報が揃った場合にのみ前記復号鍵を復元することが可能な前記２つの分散情報である第一分散情報及び第二分散情報を生成する分散部と、
前記分散部により生成された前記第二分散情報を、サーバ装置が有する復号鍵に対応する暗号鍵で暗号化することにより暗号化第二分散情報を生成する第二分散情報暗号部と、
前記生体データ暗号部により生成された前記暗号化生体データ、前記分散部により生成された第一分散情報及び前記第二分散情報暗号部により生成された前記暗号化第二分散情報を、中間装置に送信する第一通信部と
を備える集積回路。
【請求項１８】
計測装置で計測された生体データをサーバ装置へ中継する中間装置であって、
前記計測装置から、（ｉ）生体データを暗号化した暗号化生体データと、（ｉｉ）互いに異なる２つの分散情報が揃った場合にのみ前記暗号化生体データを復号するための復号鍵を復元することが可能な前記２つの分散情報のうちの一方の分散情報である第一分散情報と、（ｉｉｉ）前記２つの分散情報のうちの他方の分散情報である第二分散情報を暗号化した暗号化第二分散情報とを受信する受信部と、
前記受信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する送信部と、
前記受信部が受信した前記第一分散情報のみを記憶している記憶部と
を備え、
前記受信部は、さらに、前記計測装置から前記第二分散情報を受信し、
前記中間装置は、さらに、
前記記憶部に記憶されている前記第一分散情報と前記受信部が受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて前記受信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号部と、
前記中間装置側生体データ復号部で生成された前記生体データを表示する表示部と
を備える中間装置。
【請求項１９】
計測装置で計測された生体データをサーバ装置へ中継する中継方法であって、
前記計測装置から、（ｉ）生体データを暗号化した暗号化生体データと、（ｉｉ）互いに異なる２つの分散情報が揃った場合にのみ前記暗号化生体データを復号するための復号鍵を復元することが可能な前記２つの分散情報のうちの一方の分散情報である第一分散情報と、（ｉｉｉ）前記２つの分散情報のうちの他方の分散情報である第二分散情報を暗号化した暗号化第二分散情報とを受信する受信ステップと、
受信された前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する送信ステップと
を含み、
前記受信ステップでは、さらに、前記計測装置から前記第二分散情報を受信し、
前記中継方法は、さらに、
記憶部に記憶されている前記第一分散情報と受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号ステップと、
生成された前記生体データを表示する表示ステップとを含む
中継方法。
【請求項２０】
計測装置で計測された生体データをサーバ装置へ中継するためのプログラムであって、
前記計測装置から、（ｉ）生体データを暗号化した暗号化生体データと、（ｉｉ）互いに異なる２つの分散情報が揃った場合にのみ前記暗号化生体データを復号するための復号鍵を復元することが可能な前記２つの分散情報のうちの一方の分散情報である第一分散情報と、（ｉｉｉ）前記２つの分散情報のうちの他方の分散情報である第二分散情報を暗号化した暗号化第二分散情報とを受信する受信ステップと、
受信された前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する送信ステップと
をコンピュータに実行させ、
前記受信ステップでは、さらに、前記計測装置から前記第二分散情報を受信し、
前記中継方法は、さらに、
記憶部に記憶されている前記第一分散情報と受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号ステップと、
生成された前記生体データを表示する表示ステップとを含む
プログラム。
【請求項２１】
計測装置で計測された生体データをサーバ装置へ中継する集積回路であって、
前記計測装置から、（ｉ）生体データを暗号化した暗号化生体データと、（ｉｉ）互いに異なる２つの分散情報が揃った場合にのみ前記暗号化生体データを復号するための復号鍵を復元することが可能な前記２つの分散情報のうちの一方の分散情報である第一分散情報と、（ｉｉｉ）前記２つの分散情報のうちの他方の分散情報である第二分散情報を暗号化した暗号化第二分散情報とを受信する受信部と、
前記受信部が受信した前記暗号化生体データ、前記第一分散情報及び前記暗号化第二分散情報を、前記サーバ装置に送信する送信部と、
前記受信部が受信した前記第一分散情報のみを記憶している記憶部と
を備え、
前記受信部は、さらに、前記計測装置から前記第二分散情報を受信し、
前記中間装置は、さらに、
前記記憶部に記憶されている前記第一分散情報と前記受信部が受信した第二分散情報とから、前記暗号化生体データを復号するための前記復号鍵を復元し、復元した前記復号鍵を用いて前記受信部が受信した前記暗号化生体データを復号することにより前記生体データを生成する中間装置側生体データ復号部と、
前記中間装置側生体データ復号部で生成された前記生体データを表示する表示部と
を備える集積回路。
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】全図
【補正方法】変更
【補正の内容】
【図１】
2010116678.tif 000108
【図２】
2010116678.tif 000109
【図３】
2010116678.tif 000110
【図４】
2010116678.tif 000111
【図５】
2010116678.tif 000112
【図６】
2010116678.tif 000113
【図７】
2010116678.tif 000114
【図８】
2010116678.tif 000115
【図９】
2010116678.tif 000116
【図１０】
2010116678.tif 000117
【図１１】
2010116678.tif 000118
【図１２】
2010116678.tif 000119
【図１３】
2010116678.tif 000120
【図１４】
2010116678.tif 000121
【図１５】
2010116678.tif 000122
【図１６】
2010116678.tif 000123
【図１７】
2010116678.tif 000124
【図１８】
2010116678.tif 000125
【図１９】
2010116678.tif 000126
【図２０】
2010116678.tif 000127
【図２１】
2010116678.tif 000128
【図２２】
2010116678.tif 000129
【図２３】
2010116678.tif 000130
【図２４】
2010116678.tif 000131
【図２５】
2010116678.tif 000132
【図２６】
2010116678.tif 000133
【図２７】
2010116678.tif 000134
【図２８】
2010116678.tif 000135
【図２９】
2010116678.tif 000136
【図３０】
2010116678.tif 000137
【図３１】
2010116678.tif 000138
【図３２Ａ】
2010116678.tif 000139
【図３２Ｂ】
2010116678.tif 000140
【図３３】
2010116678.tif 000141
【図３４】
2010116678.tif 000142
【図３５】
2010116678.tif 000143
【図３６Ａ】
2010116678.tif 000144
【図３６Ｂ】
2010116678.tif 000145
【図３７】
2010116678.tif 000146
【図３８】
2010116678.tif 000147
【図３９】
2010116678.tif 000148
【図４０Ａ】
2010116678.tif 000149
【図４０Ｂ】
2010116678.tif 000150
【図４１】
2010116678.tif 000151
【図４２】
2010116678.tif 000152
【図４３】
2010116678.tif 000153
【図４４】
2010116678.tif 000154
【図４５】
2010116678.tif 000155
【図４６】
2010116678.tif 000156
【図４７】
2010116678.tif 000157
【図４８】
2010116678.tif 000158
【図４９】
2010116678.tif 000159
【図５０】
2010116678.tif 000160
【図５１】
2010116678.tif 000161
【図５２】
2010116678.tif 000162
【図５３】
2010116678.tif 000163
【図５４】
2010116678.tif 000164
【図５５】
2010116678.tif 000165
【図５６】
2010116678.tif 000166
【図５７】
2010116678.tif 000167
【図５８】
2010116678.tif 000168
【図５９】
2010116678.tif 000169
【図６０】
2010116678.tif 000170
【図６１】
2010116678.tif 000171
【図６２】
2010116678.tif 000172
【図６３】
2010116678.tif 000173
【図６４】
2010116678.tif 000174
【図６５】
2010116678.tif 000175
【図６６】
2010116678.tif 000176
【図６７】
2010116678.tif 000177
【図６８】
2010116678.tif 000178
【図６９】
2010116678.tif 000179
【図７０】
2010116678.tif 000180
【図７１】
2010116678.tif 000181
【図７２】
2010116678.tif 000182
【図７３】
2010116678.tif 000183
【図７４】
2010116678.tif 000184
【図７５】
2010116678.tif 000185
【図７６】
2010116678.tif 000186
【図７７】
2010116678.tif 000187
【図７８】
2010116678.tif 000188
【図７９Ａ】
2010116678.tif 000189
【図７９Ｂ】
2010116678.tif 000190
【図８０】
2010116678.tif 000191
【図８１】
2010116678.tif 000192
【図８２Ａ】
2010116678.tif 000193
【図８２Ｂ】
2010116678.tif 000194
【図８３】
2010116678.tif 000195
【図８４】
2010116678.tif 000196
【図８５Ａ】
2010116678.tif 000197
【図８５Ｂ】
2010116678.tif 000198
【図８６】
2010116678.tif 000199
【図８７】
2010116678.tif 000200
【図８８Ａ】
2010116678.tif 000201
【図８８Ｂ】
2010116678.tif 000202
【図８９】
2010116678.tif 000203
【図９０】
2010116678.tif 000204
【図９１Ａ】
2010116678.tif 000205
【図９１Ｂ】
2010116678.tif 000206
【図９２】
2010116678.tif 000207
【図９３】
2010116678.tif 000208
【図９４】
2010116678.tif 000209
【図９５】
2010116678.tif 000210
【図９６】
2010116678.tif 000211
【図９７】
2010116678.tif 000212
【国際調査報告】
2010116678.tif 000213
2010116678.tif 000214
2010116678.tif 000215
2010116678.tif 000216