(57)【要約】【課題】  テキストデータからなる電子データが漏洩した場合であっても、確実に当該電子データの抽出者を特定することができるようにする。【解決手段】  テキストデータの情報の開示度合いを変更することにより、当該テキストデータに、抽出者を特定可能な情報を埋め込む。埋め込み時に用いられた開示の度合いを変更するために必要な情報は、特定可能な情報取り出し装置に転送され、取り出し装置において、特定可能な情報を取り出す。【選択図】図１
2006140944.tif 000002
【特許請求の範囲】
【請求項１】
利用者から取得要求がなされた電子データに所定の指定情報を付帯させて出力する情報埋め込み装置であって、
前記電子データは、複数のフィールドを備える複数のレコードからなる表形式のテキストデータであって、
前記情報埋め込み装置は、
前記指定情報を取得する埋め込み情報生成手段と、
前記指定情報により得られる変更パターンに従って、前記電子データの各レコード毎に各フィールド内のテキストデータの開示の度合いを変更することにより、当該指定情報を当該電子データに付帯させる情報埋め込み手段と、
前記情報埋め込み手段において前記指定情報を付帯させた前記電子データを出力する出力手段と、を備えること
を特徴とする情報埋め込み装置。
【請求項２】
利用者から取得要求のある電子データに所定の指定情報を付帯させて出力する情報埋め込み方法であって、
前記電子データは、複数のフィールドを備える複数のレコードからなる表形式のテキストデータであって、
前記指定情報を取得する埋め込み情報生成ステップと、
前記指定情報により得られる変更パターンに従って、前記電子データの各レコード毎に各フィールド内の前記テキストデータの開示の度合いを変更することにより、当該指定情報を当該電子データに付帯させる情報埋め込みステップと、
前記情報埋め込みステップにおいて前記指定情報を付帯させた前記電子データを出力する出力ステップと、を備えること
を特徴とする情報埋め込み方法。
【請求項３】
請求項２記載の情報埋め込み方法において、
前記情報埋め込みステップは、
前記指定情報を、前記電子データが備えるレコード数以下の複数のビット列に分割する分割ステップと、
前記指定情報を付帯させるために、可能な開示の度合いの変更の仕方の候補の中で、前記複数のレコードを１以上のレコードからなる前記ビット列の分割数以上の集合にグループ化し、各集合毎に、それぞれ前記分割後のビット列により表される情報を開示の度合いを示す指標として当該集合に属するレコードの開示の度合いを変更した場合、当該集合内のレコードは互いに区別がつかないという条件を満たす開示の度合いの変更の仕方を特定し、当該特定した変更の仕方により、前記電子データの各レコードの各フィールドのテキストデータの開示の度合いを変更する変更ステップと、
を特徴とする情報埋め込み方法。
【請求項４】
請求項３記載の情報埋め込み方法において、
前記変更ステップにおいて、
前記集合を、各集合に属するレコード数に関し、昇順または降順のいじれかで並べ替え、前記集合に属するレコード数が等しい集合間は、予め定められた前記フィールドをキーにソートすることにより並べ替え、前記それぞれの集合が当該集合に属するレコードの開示の度合いを変更するための指標として用いた前記分割後のビット列を前記集合の並び順に並べた場合、前記指定情報となるという条件をさらに満たす開示の度合いの変更の仕方を特定し、当該特定した変更の仕方により、前記前記電子データの各レコードの各フィールドのテキストデータの開示の度合いを変更すること
を特徴とする情報埋め込み方法。
【請求項５】
請求項２記載の情報埋め込み方法において、
前記変更ステップにおいて、前記各フィールド内のテキストデータは、全てのフィールドに関し、前記開示の度合いが等しくなるよう変更されること、
を特徴とする情報埋め込み方法。
【請求項６】
請求項３乃至５のいずれか１項に記載の情報埋め込み方法において、
前記指標により示される開示の度合いは、前記変更前の電子データとの相対比較により算出されるものであること
を特徴とする情報埋め込み方法。
【請求項７】
請求項３乃至５のいずれか１項に記載の情報埋め込み方法において、
前記指標により示される開示の度合いは、前記レコードの中の最も開示の度合いの高いものとの比較により算出されるものであること
を特徴とする情報埋め込み方法。
【請求項８】
請求項２記載の情報埋め込み方法において、
前記指定情報は、前記電子データの出力を要求する利用者を特定可能な情報であること
を特徴とする情報埋め込み方法。
【請求項９】
請求項８記載の情報埋め込み方法において、
前記指定情報は、前記利用者の氏名、利用者ごとに一意に付与される識別子、および、前記利用者が出力を要求した時刻のうちの少なくとも１つであること
を特徴とする情報埋め込み方法。
【請求項１０】
請求項１記載の情報埋め込み装置において、
前記指定情報は、一意に定まる識別コードであり、
前記識別コードと、前記電子データの出力を要求する利用者を特定する情報とを対応づけて管理する利用者情報管理手段と、
前記識別コードを受け取ると、前記利用者情報管理手段を参照して、受け取った指定情報に対応づけて管理されている利用者を特定する情報を出力する利用者情報出力手段と、をさらに備えること
を特徴とする情報埋め込み装置。
【請求項１１】
請求項２記載の情報埋め込み方法において、
前記指定情報として一意に定まる識別コードを生成するステップと、
前記識別コードを生成した際に、当該識別コードと、前記電子データの出力を要求する利用者を特定する情報とを対応づけて利用者情報として管理する利用者情報管理ステップと、
前記識別コードを受け取ると、前記利用者情報を参照して、受け取った指定情報に対応づけて管理されている利用者を特定する情報を出力する利用者情報出力ステップと、をさらに備えること
を特徴とする情報埋め込み方法。
【請求項１２】
請求項１１記載の情報埋め込み方法において、
前記識別コードは、前記電子データの各レコード毎の各フィールド内のテキストデータの開示の度合いを変更する形態であること
を特徴とする情報埋め込み方法。
【請求項１３】
所定の指定情報が付帯された電子データであって、複数のフィールドを備える複数のレコードからなる表形式のテキストデータから前記指定情報を抽出して出力する情報取り出し装置であって、
前記指定情報を付帯する情報埋め込み装置から、当該指定情報を付帯させるために必要な変更情報を受信する受信手段と、
利用者から、前記指定情報を付帯された前記電子データを受け取る受付手段と、
前記指定情報を付帯された前記電子データから、前記変更情報を用いて、前記指定情報を取り出す指定情報取り出し手段と、
前記取り出した指定情報を出力する出力手段と、を備えること
を特徴とする情報取り出し装置。
【請求項１４】
所定の指定情報が付帯された電子データであって、複数のフィールドを備える複数のレコードからなる表形式のテキストデータから前記指定情報を抽出して出力する情報取り出し方法であって、
前記指定情報を付帯する情報埋め込み装置から、当該指定情報を付帯させるために必要な変更情報を受信する受信ステップと、
利用者から、前記指定情報を付帯された前記テキストデータを受け取る受付ステップと、
前記指定情報を付帯された前記テキストデータから、前記変更情報を用いて、前記指定情報を取り出す指定情報取り出しステップと、
前記取り出した指定情報を出力する出力ステップと、を備えること
を特徴とする情報取り出し方法。
【請求項１５】
請求項１４記載の情報取り出し方法において、
前記指定情報取り出しステップは、
前記レコードの中で、個々を特定できないレコードをグループ化した集合ごとに、各集合の情報の開示の度合いを示す指標を抽出し、当該抽出した指標を結合し、前記指定情報とすること
を特徴とする情報取り出し方法。
【請求項１６】
請求項１５記載の情報取り出し方法において、
前記指標を抽出する前に、前記集合を、各集合に属するレコードの数に関し、昇順または降順のいずれかで並べ替え、前記集合に属するレコード数が等しい集合間は、前記変更情報に定められた条件に従って並べ替え、前記並べ替えた集合の順に、それぞれの集合が用いた前記指標を抽出して結合すること
を特徴とする情報取り出し方法。
【請求項１７】
利用者から取得要求がなされた電子データに所定の指定情報を付帯させて出力する情報埋め込み装置と、当該情報埋め込み装置において付帯させた前記指定情報を出力する情報取り出し装置とを備える情報埋め込みシステムであって、
前記電子データは、複数のフィールドを備える複数のレコードからなる表形式のテキストデータであって、
前記情報埋め込み装置は、
前記指定情報を取得する埋め込み情報生成手段と、
前記指定情報により得られる変更パターンに従って、前記電子データの各レコード毎に各フィールド内のテキストデータの開示の度合いを変更することにより、当該指定情報を当該電子データに付帯させる情報埋め込み手段と、
前記情報埋め込み手段において前記指定情報を付帯させた前記電子データを出力する出力手段と、
前記情報取り出し装置に前記指定情報を付帯させるために必要な変更情報を転送する転送手段と、を備え
前記情報取り出し装置は、
前記情報埋め込み装置から前記変更情報を受信する受信手段と、
利用者から、前記指定情報を付帯された前記電子データを受け取る受付手段と、
前記指定情報を付帯された前記電子データから、前記変更情報を用いて、前記指定情報を取り出す指定情報取り出し手段と、
前記取り出した指定情報を出力する出力手段と、を備えること
を特徴とする情報埋め込みシステム。
【請求項１８】
利用者から取得要求がなされた電子データに所定の指定情報を付帯させて出力する１以上の情報埋め込み装置と、前記情報埋め込み装置において付帯させた前記指定情報を出力する１の情報取り出し装置とを備える情報埋め込みシステムであって、
前記電子データは、複数のフィールドを備える複数のレコードからなる表形式のテキストデータであって、
前記情報埋め込み装置それぞれは、
前記指定情報を取得する埋め込み情報生成手段と、
前記指定情報により得られる変更パターンに従って、前記電子データの各レコード毎に各フィールド内のテキストデータの開示の度合いを変更することにより、当該指定情報を当該電子データに付帯させる情報埋め込み手段と、
前記情報埋め込み手段において前記指定情報を付帯させた前記電子データを出力する出力手段と、
前記情報取り出し装置に前記指定情報を付帯させるために必要な変更情報を転送する転送手段と、を備え
前記情報取り出し装置は、
前記各情報埋め込み装置から、それぞれ前記変更情報を受信する受信手段と、
利用者から、前記指定情報を付帯された前記電子データを受け取る受付手段と、
前記指定情報を付帯された前記電子データから、前記変更情報を用いて、前記指定情報を取り出す指定情報取り出し手段と、
前記取り出した指定情報を出力する出力手段と、を備えること
を特徴とする情報埋め込みシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子データに情報を埋め込む情報埋め込み技術、特に、データベースなどの表形式のテキストデータに情報を埋め込む技術に関する。
【背景技術】
【０００２】
個人情報保護法の施行に伴い、個人情報を取り扱う事業者・国・地方公共団体等において、個人情報の管理の重要性が高まってきている。個人情報に限らず企業等における機密文書の取り扱いや著作物などにも厳重な管理が求められている。一方で、企業や行政を結ぶネットワーク環境は整備され、また、昨今流行のＰ２Ｐ（ピア・ツー・ピア）ネットワーク技術による電子ファイル交換システムなども出現するなどし、個人情報や機密文書が簡単に不特定多数に流通するおそれは拡大している。
【０００３】
取り扱う事業者の増加、取り扱う情報の量の増加およびＩＴ技術の普及などに伴い、個人情報等の漏洩事故および事件が増加してきている。また、個人のプライバシ保護の重要性も強く主張され始めている。個人情報等の重要情報の漏洩時の賠償などの企業側のリスクが高まってきており、情報漏洩および漏洩した情報の流通を抑止する技術、システム、運用に対するニーズは非常に高いものがある。
【０００４】
このような個人情報等の漏洩の危機に対する対抗策の一つとして、利用者に提供される電子データを暗号化したり、電子署名を添付したりする方法がある。しかし、電子データである限り、復号後、容易にデータを流用することが可能である。
【０００５】
復号後も有効なものとして、個人情報等の開示量を少なくする方法がある。例えば、複数の個人の氏名・住所などの基本情報に加えてその個人の属性情報をあわせて保持する個人情報のデータベースのデータを提供する場合、氏名を伏字にしたり、住所の丁目番地のデータを削除して市町村あるいは都道府県までの情報としたりするなどし、情報の一部を秘匿、除去する匿名化処理を施して利用者に提供する。
【０００６】
具体的には、個人情報に匿名化処理を施すことにより、少なくともｋ（ｋは自然数）人以上の個人のレコードを特定することができないような状態（ｋ−ａｎｏｎｉｍｙｔｙ）を実現する匿名化処理方法がある（例えば、非特許文献１参照。）。
【０００７】
その他の対抗策として、情報漏洩に対する抑止効果をねらうものがある。例えば、データが漏洩した場合に、データの抽出者を特定することができる処理を、データに施すことが考えられる。
【０００８】
上記観点に基づく一般的な技術として、電子データに改変を施すことにより、該電子データの保持者が前記の電子データに保持者の指定する情報を付帯させるステガノグラフィ（Ｓｔｅｇａｎｏｇｒａｐｈｙ、電子あぶり出し）がある。ステガノグラフィとは、秘密情報を別の情報データに埋め込み、他人に気付かれることなく、保存したり相手に伝えたりする技術である。ステガノフラフィでは、静止画像や動画像、音声データに対して、人間が見ただけ、聞いただけではわからない部分に微小な操作を加え、所望の情報を紛れ込ませる。
【０００９】
一方、対象がテキストデータの場合、所望の情報を付帯させる技術としては、例えば（１）テキストデータ中にスペースコードやリターンコードを配置する。（２）専用辞書を用いて字句を置換する。（３）構文解析による評価値を操作する（例えば、非特許文献２参照。）といった三つの方法が知られている。
【００１０】
【非特許文献１】Latanya Sweeney、 "Achieving k-anonymity privacyprotection using generalization and suppression、" International Journalon Uncertainty、 Fuzziness、 and Knowledge-based Systems、 pp.571--pp.588、10(5)、 2002.
【非特許文献２】Michiharu Niimmi、 Sayaka Minewaki、 Hideki Noda、 and Eiji Kawaguchi、 "A Framework of Text-based Steganography Using SD-FormSemantics Model、" Pacific Rim Workshop on Digital Steganography 2003、Kyushu Institute of Technology、 Kitakyushu、 Japan、 July 3-4、 2003.
【発明の開示】
【発明が解決しようとする課題】
【００１１】
個人情報などのデータは、表形式のテキストデータからなる電子データの場合が多い。一般に、個人情報等のテキストデータをデータベースから取り出す際には、セキュリティ対策として、アクセス権を管理し、アクセスを制限する、アクセスのログをとり、利用者の記録を残す、といったことが行われている。しかし、アクセス可能な利用者が複数である場合、複数の利用者が同じ個人情報等を取り出す場合もあり、これらの対策だけでは、漏洩した個人情報を抽出した者を特定することは困難である。
【００１２】
上述のように暗号化や電子署名では、復号後、電子署名を外して抽出されてしまえば、その後流通させられるデータの抽出者を特定することはできない。
【００１３】
抽出者を特定するためには、例えば、上記のステガノグラフィ技術を用いて、データを抽出した者を特定する情報を埋め込むことが考えられる。データを抽出した者を特定可能な情報を埋め込む場合、埋め込まれた情報を簡単に改ざんされないよう、一見してわからない状態で埋め込む必要がある。ところが、上記のテキストデータに対する情報埋め込み技術の１）、２）は、情報が埋め込まれていることが一見してわかってしまうので、適切ではない。３）は、意図した評価値に合うよう元の文を修正することにより情報を埋め込む技術であるため、対象が文章でない場合、また、一見してわからないように埋め込む必要がある状況での採用は難しい。
【００１４】
本発明は、このような事情を鑑みてなされたもので、表形式のテキストデータからなる電子データが漏洩した場合、当該電子データの抽出者を特定することができるようにし、それにより、情報漏洩を抑止することを目的とする。
【課題を解決するための手段】
【００１５】
表形式のテキストデータからなる電子データ抽出時に、抽出者に分からない形で当該抽出者を特定可能な情報を当該電子データに埋め込む。******
具体的には、利用者から取得要求がなされた電子データに所定の指定情報を付帯させて出力する情報埋め込み装置であって、前記電子データは、複数のフィールドを備える複数のレコードからなる表形式のテキストデータであって、前記情報埋め込み装置は、前記指定情報を取得する埋め込み情報生成手段と、
前記指定情報により得られる変更パターンに従って、前記電子データの各レコード毎に各フィールド内のテキストデータの開示の度合いを変更することにより、当該指定情報を当該電子データに付帯させる情報埋め込み手段と、前記情報埋め込み手段において前記指定情報を付帯させた前記電子データを出力する出力手段と、を備えることを特徴とする情報埋め込み装置を提供する。
【発明の効果】
【００１６】
本発明によれば、表形式のテキストデータからなる電子データが漏洩した場合、当該電子データの抽出者を特定することができ、それにより、情報漏洩を抑止することができる。
【発明を実施するための最良の形態】
【００１７】
＜＜第一の実施形態＞＞
以下、本発明を適用する第一の実施形態について説明する。
【００１８】
図１は、本実施形態の情報埋め込み装置１０２が用いられるシステム全体の構成図および情報埋め込み装置１０２、情報取り出し装置１０４の機能構成図である。
【００１９】
本図に示すように、本実施形態のシステムは、表形式の電子データを保持するデータベース（以後、ＤＢと呼ぶ。）１０１と、情報埋め込み装置１０２と、情報取り出し装置１０４と、利用者端末１０３、１０５と、を備える。
【００２０】
本実施形態では、利用者は利用者端末１０３を用いて、情報埋め込み装置１０２を介しＤＢ１０１にアクセスし、情報埋め込み装置１０２を介して、ＤＢ１０１に格納されている所望の電子データを取得する。このとき、情報埋め込み装置１０２は、利用者端末１０３とＤＢ１０１の間に配置され、ＤＢ１０１が保持する電子データに所定の加工処理を行い、取得要求をした利用者を特定可能な情報を埋め込み、利用者に提供する。
【００２１】
また、上記の手順を踏んで利用者が取得した電子データを取得した者は、利用者端末１０５を介して情報取り出し装置１０４を利用し、電子データに埋め込まれている、電子データを取得した利用者を特定可能な情報を抽出し、その利用者を特定することができる。
【００２２】
以上の機能を実現する、本実施形態の各装置について説明する。
【００２３】
本実施形態の情報埋め込み装置１０２は、利用者端末１０３を介した利用者からＤＢ１０１へのアクセス権限の管理を行うとともに、電子データに所定の変更を加えて利用者に提示する。
【００２４】
情報埋め込み装置１０２は、ＤＢアクセス制御部１１１と、ＤＢインタフェース１１２と、情報埋め込み部１１３と、埋め込み情報生成部１１４と、情報粒度管理情報１１５と、出力部１１６と、秘密鍵情報１１７と、通信部１１８とを備える。
【００２５】
ＤＢアクセス制御部１１１は、利用者端末１０３からのアクセス指示に従って、ＤＢインタフェース部１１２を介するＤＢ１０１へのアクセスを制御する。具体的には、通常のＤＢ管理システムと同様のアクセス権管理を行う。例えば、利用者の認証、アクセス権限（利用者、時間、アクセス範囲など）の有無のチェックなどを行う。本処理は、通常のＤＢ管理システムと同様であるため、ここでは、詳細に説明しない。
【００２６】
ＤＢインタフェース部１１２は、ＤＢ１０１とのインタフェースであり、ＤＢアクセス制御部１１１を介して受け取る利用者端末１０３からのアクセス指示に従って、ＤＢ１０１にアクセスする。
【００２７】
ＤＢ埋め込み情報生成部１１４は、ＤＢ１０１から取得した電子データに埋め込むための、当該電子データを要求した利用者を特定可能な情報（以後、指定情報５０１と呼ぶ）を生成する。本実施形態では、ＤＢアクセス制御部１１１が管理する認証およびアクセス権限の確認に使用する情報（例えば、利用者の氏名、利用者のＩＤコードなど）、または、利用者がアクセスした時刻といった情報を用いて、指定情報５０１を生成する。指定情報５０１は、これに限られない。その電子データをＤＢ１０１から取得した利用者を特定することができる情報であればよい。
【００２８】
情報埋め込み部１１３は、秘密鍵情報１１７に保持されている秘密鍵ｃを利用して、ＤＢ１０１から取得した電子データに変更を加えることにより、ＤＢ１０１から取得した電子データに指定情報５０１を埋め込む処理を行う。このとき、情報埋め込み部１１３は、情報粒度管理情報１１５に保持されている情報粒度に関する情報を用いて、埋め込む情報の情報粒度を決定する。情報粒度、情報の埋め込み方法については、後述する。
【００２９】
出力部１１６は、情報埋め込み部１１３から受け取った指定情報５０１を埋め込んだ後の電子データを、利用者端末１０３に出力する。以後、ＤＢ１０１から取得した指定情報を埋め込む前の電子データを、電子データ２０１、指定情報埋め込み後の電子データを、電子データ２０２と呼ぶ。
【００３０】
秘密鍵情報１１７は、電子データ２０１に指定情報５０１を埋め込む処理を行う際に利用する秘密鍵ｃを保持する。
【００３１】
情報粒度管理情報１１５は、情報粒度の定義および指定情報５０１を埋め込む際に必要な情報、指定情報を取り出す際に再現するために必要な情報を保持する。詳細は後述する。
【００３２】
通信部１１８は、情報取り出し装置１０４との間の通信インタフェースである。本実施形態では、通信部１１８を介して、秘密鍵情報１１７に保持されている秘密鍵ｃおよび情報粒度管理情報１１５を情報取り出し装置１０４に転送する。秘密鍵ｃは、後述するように、情報埋め込み時、情報取り出し時に用いられる鍵であり、安全に転送される必要がある。例えば、通信回線にＶＰＮ（Ｖｅｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）を用いて行う転送、電子メールの電子暗号機能を用いての転送が可能である。秘密鍵ｃおよび情報粒度管理情報１１５の転送の契機は、後述の、情報の取り出しの要求が、情報取り出し装置１０４になされる前のタイミングであれば、特に限定されない。
【００３３】
ここで、情報粒度について説明する。情報粒度とは、情報の開示の度合いを示す指標であり、情報の粗さ、詳細さを示す。情報の内容が詳細で、特定可能な範囲が狭いほど、その情報に関し、情報粒度が細かいと表現し、逆に、特定可能な範囲が広くなるほど情報粒度は粗いと表現する。図２を用いて、情報粒度について具体的に説明する。
【００３４】
図２に例示するのは、郵便番号３０１と、生年月日３０２と、住所３０３と、勤務先３０４とのフィールドを備える表形式のテキストデータからなるデータベースである。
【００３５】
本図に示すように、郵便番号３０１のような多数桁の数字データの場合、情報の開示の度合いとして、全桁の数字を開示するものから、段階的にその中の何桁かを伏字にするものを経て、全てを伏字にするものまで考えられる。開示の桁数の多いものほど、情報粒度は細かい、開示の少ないもの、すなわち、伏字の多いものほど、情報粒度は、粗いと表現する。
【００３６】
また、生年月日３０２のような日付データの場合、開示の度合いとして、最小単位幅（本図の場合は日単位）までの開示から、段階的に月単位、６ヶ月単位、年単位と、特定可能な時間的な幅を広げていき、全て伏字、すなわち、日付を特定できない状態での開示まで考えられる。特定可能な時間単位が小さいほど、情報粒度が細かいと表現する。
【００３７】
住所３０３のような位置を特定するデータの場合、開示の度合いとして、最も小さな範囲を特定する形式（本図の場合は丁目番地）での開示から、町、市区、県と、段階的に特定可能な範囲を広げていき、全て伏字、すなわち、住所を特定できない状態での開示まで考えられる。特定可能な範囲が小さいほど、情報粒度が細かいと表現する。
【００３８】
勤務先３０４のような属性データの場合、会社名までの開示、業種まで、全て伏字などが考えられ、特定可能な範囲が小さいほど、情報粒度が細かいと表現する。
【００３９】
以上、情報埋め込み装置１０２が備える各機能、保持する情報について説明した。次に、情報取り出し装置１０４について説明する。情報取り出し装置１０４は、指定情報５０１が埋め込まれた電子データ２０２から、指定情報５０１を取り出す。
【００４０】
情報取り出し装置１０４は、本図に示すように、秘密鍵情報１４７と、情報粒度管理情報１４５と、情報取り出し部１４３と、出力部１４６と、通信部１４８とを備える。
【００４１】
通信部１４８は、情報埋め込み装置１０２との通信インタフェースである。情報埋め込み装置１０２から秘密鍵情報１１７および情報粒度管理情報１１５を受け取り、それぞれ、秘密鍵情報１４７および情報粒度管理情報１４５に格納する。
【００４２】
情報取り出し部１４３は、秘密鍵情報１４７および情報粒度管理情報１４５を用いて、利用者端末１０５から受け取った電子データ２０２から、指定情報５０１を抽出し、出力部１４６に出力する。
【００４３】
出力部１４６は、情報取り出し部１４３が抽出した指定情報５０１を利用者端末１０５に出力する。
【００４４】
次に、利用者端末１０３、１０５について説明する。本実施形態では、利用者端末１０３、１０５は別個のものとして記載するが、一の利用者端末が両方を兼ねてもよい。
【００４５】
利用者端末１０３は、利用者が情報埋め込み装置１０２を介してＤＢ１０１にアクセスする際のインタフェースを提供する。利用者端末１０５は、利用者が情報取り出し装置１０４にアクセスする際のインタフェースを提供する。利用者端末１０３、１０５は、それぞれ、情報埋め込み装置１０２、情報取り出し装置１０４とデータを送受信するインタフェースと、情報埋め込み装置１０２、情報取り出し装置１０４から受信した電子データを利用者に提示する出力インタフェースと、利用者から各種の入力を受け付ける入力インタフェースと、それらの制御を行う制御部とを備える。
【００４６】
次に、ＤＢ１０１が保持する電子データについて説明する。
【００４７】
ＤＢ１０１は、個人情報などの表形式のテキストデータからなる電子データを保持する。ＤＢ１０１に保持される電子データの一例を図３に示す。
【００４８】
本図に示すように、ＤＢ１０１は、レコード毎に、氏名、性別、郵便番号、生年月、来店記録、購買記録といった属性を有する。もちろん、属性はこれらに限られない。
【００４９】
なお、情報埋め込み装置１０２、情報取り出し装置１０４は、それぞれ、ＣＰＵ、メモリ、記憶手段を備えた情報処理装置により実現される。秘密鍵情報１１７、１４７および情報粒度管理情報１１５、１４５は、それぞれの記憶手段に格納され、その他の機能は、記憶手段に格納されたプログラムをメモリにロードし、ＣＰＵが実行することにより実現される。なお、情報埋め込み装置１０２および情報取り出し装置１０４は、１つの情報処理装置内に実現されていてもよい。
【００５０】
また、利用者端末１０３、１０５も、ＣＰＵ、メモリ等を備えた情報処理装置により実現される。さらに、ＤＢ１０１は、ストレージ装置など、埋め込み装置１０２と独立した記憶装置に保持されていてもよいし、情報埋め込み装置１０２を実現する情報処理装置内の記憶手段に保持されていてもよい。また、利用者端末１０３、１０５は、それぞれ、情報埋め込み装置１０２、情報取り出し装置１０４と同一の情報処理装置で実現されていてもよい。
【００５１】
次に、情報埋め込み部１１３が、ＤＢ１０１から取得した個人情報などの電子データ２０１の情報粒度に変更を加えて指定情報５０１を付帯させる処理手順について説明する。
【００５２】
図４は、情報埋め込み部１１３が、電子データ２０１に情報粒度に変更を加えて指定情報５０１を付帯させる処理フローである。
【００５３】
ＤＢインタフェース１１２を介して、所望の表形式の電子データ２０１を取得する（ステップ４０１）。
【００５４】
埋め込み情報生成部１１４から、付帯する指定情報５０１を取得する（ステップ４０２）。
【００５５】
指定情報５０１をｍ個（ｍは自然数）のビット列に分割する（ステップ４０３）。
【００５６】
秘密鍵情報１１７から秘密鍵ｃを取得する（ステップ４０４）。
【００５７】
電子データ２０１の情報粒度を秘密鍵ｃを用いて変更することにより指定情報５０１を付帯させ、電子データ２０２を生成する（ステップ４０５）。
【００５８】
指定情報５０１を付帯させた電子データ２０２を出力部１１６を介して出力する（ステップ４０６）。
【００５９】
上記ステップ４０３の処理について、図５を用いて説明する。指定情報５０１をＭｂｉｔとする。Ｍｂｉｔｓの指定情報５０１を、各ａｂｉｔｓのｍ個のビット列Ｓ１（５１１）〜Ｓｍ（５１１+ｍ）（ｍはＭ以下の自然数）に分割する。分割は、指定情報５０１を、電子データ２０１に付帯させるために適度なサイズとするために行われる処理である。本実施形態では、ステップ４０５の処理を実現することが可能なサイズに分割する。
【００６０】
そして、ステップ４０５において、電子データ２０１にステップ４０３で取得した指定情報５０１を付帯させる。本実施形態では、電子データ２０１の取り得る情報粒度の変更パターンから、後述する情報粒度バロメータＧＢ（Ｇｒａｎｕｌａｒｉｔｙ  Ｂａｒｏｍｅｔｅｒ）と上記各ビット列Ｓ１（５１１）〜Ｓｍ（５１１+ｍ）と秘密鍵ｃとによる制約条件を満たす解（変更パターン）を探索し決定する。
【００６１】
まず、情報粒度バロメータＧＢについて説明する。情報粒度バロメータＧＢは、情報粒度変更後の電子データに関し、変更前のオリジナルの電子データと比較し、どの程度情報粒度を変更したかという度合いを数値化して評価するものである。図６、図７は、情報粒度バロメータの概要を説明するための図である。
【００６２】
図６に示す第一の個人情報６０１は、図３で示すＤＢ１０１の１つのレコードの、性別、郵便番号、生年月の属性に関するフィールド部分のみを取り出したものである。そして、変更後の第二の個人情報６０２は、第一の個人情報６０１の粒度を変更したものである。
【００６３】
本図の変更では、性別に係るフィールドの情報は粒度の変更無し、郵便番号は、２、３、５、６、７番目の桁を伏字にして粒度を粗くし、７桁から２桁へ、生年月は、月単位から２０年単位に粒度を粗くしている。
【００６４】
このとき、第二の個人情報６０２が、元の情報である第一の個人情６０１に対してどのくらい情報粒度が粗く変更されているかを測る尺度が情報粒度バロメータＧＢである。すなわち、情報粒度バロメータＧＢには、いずれのフィールドがどのように情報粒度が変更されているかが反映されるものであり、変更が施されるフィールド、当該フィールドの情報粒度の変更の度合いの関数として表される。
【００６５】
図６に示す方法で情報粒度を変更した場合、図７に示す３つの異なるレコードである第一の個人情報７０１は、変更後の個人情報である第二の個人情報７０２のように互いに区別のつかないものになる。このように、複数（例えばｋ個（ｋは自然数））の異なる個人情報のレコードが、互いに区別がつかなくなってしまう場合も、情報の粒度が粗くなったと言えるため、前記の情報粒度バロメータＧＢに反映される。従って、情報粒度バロメータＧＢは、互いに区別がつかなくなったレコード数の関数として表される。
【００６６】
以上より、本実施形態の情報粒度バロメータＧＢは、数１の式で表される関数で示されるものとする。
【００６７】
【数１】
2006140944.tif 000003
ここで、ｅｉは、個人情報のレコードのｉ列目のフィールドのデータの形状（当該フィールドのデータが、どのように伏字にされることにより変更されているか）である（ｉは自然数）。ｋは、情報粒度の変更により区別がつかなくなったレコード数である。すなわち、数１は、情報粒度バロメータＧＢは、ｉ列目のフィールドのデータの形状ｅｉおよび情報粒度の変更により区別がつかなくなったレコードの数ｋの関数となることを示している。
【００６８】
上記の図６、７の例を用い、ＧＢ算出式の簡単な例を説明する。例えば、ｉ列目のフィールドのデータの形状の変更の度合いと、区別がつかなくなったレコード数を掛け合わせ、ＧＢとすることができる。具体的には、郵便番号は７桁中５桁が伏字にされていることから、５／７、生年月では、２０年単位で区分されていることから、２０／１００（分母の１００は、１００年単位が上位レベルの情報粒度と考えているため）ととり、３つのレコードが区別がつかなくなったことから、（５／７+２０／１００）×３と算出するなどが考えられる。
【００６９】
上記算術式は一例である。例えば、郵便番号を例にあげると、７桁中５桁が伏字といっても、図６、７に示すような伏字の配置と、右から５桁を伏字とした場合とでは、得られる情報量が異なる。従って、郵便番号の場合、７桁中どの桁が伏字になっているのか、伏字の箇所を反映可能な算術式であってもよい。
【００７０】
生年月の場合も、上位レベルの情報粒度を１００にする必要はない。分数で表す必要もない。より複雑な形状の算術式であってもよい。
【００７１】
以上の説明では、１つのレコードもしくは互いに区別がつかない複数のレコードからなる１つのレコードのグループに対して１つの情報粒度バロメータを与える方法について説明した。しかし、本実施形態はこれに限られない。１つのレコードを複数に分割して、その各々に情報粒度バロメータＧＢを設定しても構わない。また、２つ以上のレコードもしくは２つ以上の上記のレコードのグループに対して情報粒度バロメータを設定しても構わない。
【００７２】
また、情報粒度バロメータＧＢは、情報粒度を変更する前のオリジナルの電子データとの比較ではなく、電子データ内の他のレコードのグループの情報粒度との相対比較により、変更の度合いを評価するものであってもよい。
【００７３】
本実施形態の情報粒度の変更は、基本的にレコードのグループごとに実施される。レコードグループによっては、その保持するフィールドのデータの情報粒度の度合いに粗いものを含んでいたり、細かいものを含んでいたりする。このため、各レコードグループのフィールドの要素データを比較して、最も情報粒度の細かいものを該当フィールドの基準として各レコードグループの情報粒度バロメータを評価しても構わない。相対比較による評価とすることにより、後述の情報粒度管理情報１１５を情報埋め込み装置１０２が保持する必要がなくなり、また後述の利用者端末１０３も情報粒度バロメータを計算する際に情報粒度管理情報１１５を前記情報埋め込み装置１０２に問い合わせる必要がなくなる。
【００７４】
次に、図８を用いて、情報埋め込み部１１３が、情報粒度の変更をすることで指定情報５０１を電子データ２０１に付帯させる方法について説明する。
【００７５】
図８は、情報粒度を変更することで指定情報５０１を電子データ２０１に付帯させた時に指定情報５０１が付帯させられる場所について説明するための図である。
【００７６】
図８は、元の電子データ２０１である第一の個人情報８０１の情報粒度を変更し、第二の個人情報８０２を作成する様子を示している。第二の個人情報８０２の中に含まれるレコード８１１〜８１５は、第一の個人情報８０１の順に並んでいる。第二の個人情報８０２を所定の規則に従って並び替えたものが、第三の個人情報８０３である。
【００７７】
ここで、所定の規則とは、図８の例では、互いに区別がつかない複数のレコードからなるレコードのグループを、そのグループの中に含まれるレコード数の少ない順に並べかえるというものである。このとき、レコード数の等しいグループが複数あった場合は、第三の個人情報８０３の第一列（フィールド）の要素のデータのアルファベット順や数列順にソートするというものにしてもよい。どのフィールドが第一列かを判定するために、属性を示すレコードを同様の順にソートすることとしてもよい。いずれにしても、ソート順に関する情報は、情報粒度管理情報１１５に保持される。
【００７８】
所定の規則に従って並び替えて得られるレコードのグループを、Ｇ１、Ｇ２、・・、Ｇｊ、・・Ｇｎ（ｊ、ｎは自然数、ｊ＜＝ｎ；Ｇ１、Ｇ２は図８中の８２１、８２２が相当する）とする。
【００７９】
このとき、本実施形態の情報埋め込み方法においては、各々のレコードのグループＧｊの情報粒度バロメータＧＢが数２の式を満たすように情報粒度を変更する。
【００８０】
【数２】
2006140944.tif 000004
ここで、ＧＢ［Ｇｊ］は、レコードのグループＧｊの情報粒度バロメータであり、ｓｊは、図５で示した指定情報５０１を分割したビット列のｊ番目のもの（図５中の５１ｌ）を表し、ｄｅ（ｓｊ）は、ビット列で表されているｓｊを十進表記したものを表し、ｃは、図４中のステップ４０４で用意した秘密鍵を表し、ｚは適当な非負の整数を表している。
【００８１】
すなわち、本実施形態では、情報埋め込み部１１３は、電子データ２０１の考え得る情報粒度の変更パターン（解空間）から、数２で示す制約条件を満たす最適解を探索して、電子データ２０２とする。
【００８２】
なお、全ての指定情報５０１を電子データ２０１に付帯させるため、指定情報５０１の分割数ｍと、レコードのグループの数ｎとの間には、ｍ≦ｎの関係が満たされていなければならない。ｍ＝ｎであれば、全ての分割された指定情報５０１は一対一で前記レコードのグループに付帯される。ｍ＜ｎであれば、ｎ−ｍ個の前記レコードのグループＧｊには、分割された指定情報が付帯されないので、適当な情報粒度の変更を施すか、もしくはエラー訂正用のパリティとして使用するために、パリティとして適切な情報粒度に変更する。
【００８３】
なお、以上の例では、情報粒度バロメータＧＢは、分割された指定情報５０１毎に計算される。ｍ＝ｎの場合、レコードのグループＧｊ毎に、情報粒度バロメータＧＢが算出されることとなる。
【００８４】
しかし、本実施形態の情報粒度バロメータＧＢの算出は、この方法に限られない。例えば、指定情報５０１を分割せずに、情報粒度バロメータＧＢを算出してもよい。この場合、全てのレコードのグループＧｊに対して同一の情報粒度バロメータＧＢが得られる。電子データ２０１に付帯する指定情報５０１の情報量は、分割して各レコードグループＧｊに付帯させるときよりも小さくなるが、後述のように指定情報５０１を電子データ２０２から取り出す際に、少なくとも一つのレコードがあれば取り出しを行うことができるというメリットが生まれる。
【００８５】
従って、指定情報５０１を分割せずに付帯させる場合、ＤＢ１０１から抽出したデータのうち、一部のレコードを切り出して漏洩された場合であっても、その漏洩されたレコードから、抽出者を特定することができる。
【００８６】
次に、上記の指定情報５０１を付帯した電子データ２０２を受け取った利用者が、指定情報５０１を電子データ２０２から取り出す際の処理について説明する。
【００８７】
利用者は、利用者端末１０５を介して情報取り出し装置１０４に電子データ２０２を送信し、折り返し、情報取り出し装置１０４において抽出された指定情報５０１を受け取る。このときの、情報取り出し装置１０４の抽出情報取り出し部１４３の情報取り出し手順について、図９を用いて説明する。
【００８８】
図９は、抽出情報取り出し部１４３が、指定情報５０１を付帯させた電子データ２０２から指定情報５０１を取り出す手順を説明するためのフローチャートである。
【００８９】
秘密鍵情報１４７から秘密鍵ｃを取得する（ステップ１００１）。
【００９０】
次に、情報粒度管理情報１４５記憶手段を取得する（ステップ１００２）。
【００９１】
続いて、利用者端末５０１から受け取った指定情報５０１を付帯した電子データ２０２を取得する（ステップ１００３）。
【００９２】
電子データ２０２に対して、情報粒度管理情報１４５に保持されている、情報埋め込み装置１０２の情報埋め込み部１１３で電子データ２０１に指定情報５０１を埋め込んだ際に指定したソート順に従って電子データ２０２をソートする（ステップ１００４）。
【００９３】
ソートした結果得られるレコードのグループをＧ１、Ｇ２、・・、Ｇｊ、・・Ｇｎ（Ｇ１、Ｇ２は図８中の８２１、８２２が相当する）とし、各々のレコードのグループＧｊの情報粒度バロメータＧＢ［Ｇｊ］を数１の式に従い計算する（ステップ１００５）。
【００９４】
こうして求まった情報粒度バロメータＧＢ［Ｇｊ］を、２をｃ乗したもので除算し、その剰余を求める（ステップ１００６）。
【００９５】
ステップ１００６により得られる剰余は、数２で示される式からわかるように、数３で示される式となり、指定情報５０１のビット列Ｍを分割したＳｊを十進表記したものとなる。
【００９６】
【数３】
2006140944.tif 000005
最後に、ステップ１００６で得られた剰余をビット列表記したものを結合し、指定情報５０１を得る（ステップ１００７）。
【００９７】
以上、表形式で表されるテキストデータからなる電子データ２０１に対して指定情報５０１を付帯させ電子データ２０２を生成し、また、電子データ２０２から指定情報５０１を取り出す場合の装置構成および手順について説明した。
【００９８】
次に、電子データを取得する場合の、情報埋め込み装置１０２と利用者端末１０３との間の処理のシーケンスを、図１０を用いて説明する。
【００９９】
図１０は、電子データ２０１に対して指定情報５０１を付帯させる際の利用者端末１０３と情報埋め込み装置１０２とＤＢ１０１との間の処理のシーケンスを説明するためのシーケンス図である。
【０１００】
利用者端末１０３は、電子データの取得を情報埋め込み装置１０２に要求するとともに（１１０１）、ＤＢ１０１へのアクセスに必要となる、利用者端末１０３を利用している利用者の認証情報を情報埋め込み装置１０２に送信する（１１０２）。
【０１０１】
情報埋め込み装置１０２は、電子データの取得要求を受け取ると、受け取った認証情報を用いてユーザ認証を行い、利用者のアクセス権限を確認する（１１０３）。
【０１０２】
情報埋め込み装置１０２は、要求された電子データをＤＢ１０１に要求し（１１０４）、該当する電子データ２０１を取得する（１１０５）。
【０１０３】
電子データに付帯させる指定情報５０１、指定情報５０１を付帯させる際に必要となる秘密鍵ｃおよび情報粒度管理情報１１５を用意し（１１０６）、電子データ２０１の情報粒度を変更して指定情報５０１を付帯させ、電子データ２０２を生成する（１１０７）。
【０１０４】
情報埋め込み装置１０２は、電子データ２０２を利用者端末１０３へ出力し（１１０８）、使用した秘密鍵ｃを有する秘密鍵情報１１７と情報粒度管理情報１１５とを情報埋め込み装置１０２が有する記憶手段に保持する（１１０９）。
【０１０５】
次に、電子データ２０２から指定情報５０１を取り出す場合の、情報埋め込み装置１０２と情報取り出し装置１０４と利用者端末１０５との間の処理のシーケンスを図１１を用いて説明する。
【０１０６】
図１１は、指定情報５０１を付帯した電子データ２０２から指定情報５０１を取り出す際の利用者端末１０５と情報取り出し装置１０４と情報埋め込み装置１０２との間の処理シーケンスを説明するためのシーケンス図である。
【０１０７】
情報取り出し装置１０４は、秘密鍵ｃを含む秘密情報１１７を情報埋め込み装置１０２に要求し（１２０１）、情報埋め込み装置１０２は、記憶手段から秘密鍵情報１１７を抽出し、安全な手段を用いて要求元の情報取り出し装置１０４へ送信する（１２０２）。情報取り出し装置１０４は、受け取った情報を、秘密鍵情報１４７として自身の記憶手段に保持する。
【０１０８】
情報取り出し装置１０４は、情報粒度管理情報１１５を情報埋め込み装置１０２に要求し（１２０３）、情報埋め込み装置１０２は、記憶手段から情報粒度管理情報１１５を抽出し、要求元の情報取り出し装置１０４へ送信する（１２０４）。情報取り出し装置１０４は、受け取った情報を、情報粒度管理情報１４５として自身の記憶手段に保持する。
【０１０９】
その後、情報取り出し装置１０４は、利用者端末１０５から電子データ２０２を受け取ると（１２０５）、秘密鍵ｃおよび情報粒度管理情報１４５を用いて電子データ２０２から指定情報５０１を取り出す（１２０６）。そして、取り出した指定情報５０１を利用者端末１０５に出力する（１２０７）。
【０１１０】
なお、上記シーケンスにおいて、情報取り出し装置１０４は、利用者端末１０５から電子データ２０２を受け取った後に、情報埋め込み装置１０２に、それぞれ、秘密鍵情報１１７および情報粒度管理情報１１５を要求してもよい。もちろん、秘密鍵情報１１７と情報粒度管理情報１１５の要求の順序も問わない。
【０１１１】
以上、本実施形態によれば、利用者からの取得要求を受けて取り出された表形式のテキストデータからなる電子データに、匿名化処理を施すとともに、利用者に分からない形で、利用者を特定可能な情報を埋め込むことができる。従って、抽出者は、その情報がどのように埋め込まれているかわからないため、改ざんができない。また、万一、電子データが意に反して流通した場合であっても、抽出者を特定することが可能となる。これにより、本実施形態によれば、個人情報の漏洩、流通を抑止する効果が高まる。
【０１１２】
さらに、指定情報５０１を分割せずに付帯するよう構成した場合は、電子データの一部のレコードが流出した場合であっても、抽出者を特定することができる。
【０１１３】
＜＜第二の実施形態＞＞
次に、本発明の第二の実施形態について説明する。本実施形態では、第一の実施形態とは異なり、埋め込む指定情報自体には、いつ、どこで、誰が電子データを取得したかを特定する情報（抽出者を特定する情報）は含まれない。本実施形態では、埋め込む指定情報と上記の抽出者を特定する情報とを対応づけて管理し、抽出した指定情報を基に、管理している情報から、抽出者を特定する情報を得る。
【０１１４】
本実施形態の情報埋め込み装置を含むシステム構成は、基本的には第一の実施形態と同様である。情報埋め込みの対象となる電子データも、第一の実施形態と同様に、表形式のテキストデータである。
【０１１５】
図１２は、本実施形態における情報埋め込みシステム全体のシステム構成および情報埋め込み装置１０２−２、情報取り出し装置１０４−２それぞれの機能ブロック図である。
【０１１６】
本図に示すように、情報埋め込み装置１０２−２は、図１の情報埋め込み装置１０２と同様に、ＤＢアクセス制御部１１１、ＤＢインタフェース１１２、情報埋め込み部１１３、情報粒度管理情報１１５、出力部１１６、秘密鍵情報１１７、通信部１１８を備える。各部の機能は、第一の実施形態の情報埋め込み装置１０２の同名のものと同じである。
【０１１７】
さらに、本実施形態の情報埋め込み装置１０２−２は、第一の実施形態の情報埋め込み装置１０２の埋め込み情報生成部１１４の代わりに、埋め込み情報生成部１１４−２を備える。また、埋め込む指定情報と、抽出者を特定可能な情報とを対応づけて保持する埋め込み情報関連情報１１９と、利用者からの指示に従って、埋め込み情報関連情報１１９から電子データの取得を要求した利用者を特定する情報を抽出する関連情報管理部１２０とをさらに備える。
【０１１８】
本実施形態の埋め込み情報生成部１１４−２は、情報埋め込み部１１３において付帯させる指定情報として、一意に定まる識別コード５０２を生成し、生成した識別コード５０２を情報埋め込み部１１３へ送り出す。
【０１１９】
このとき、埋め込み情報生成部１１４−２は、ＤＢアクセス制御部１１１から取得した、電子データの取得を要求した利用者の氏名または氏名に相当するＩＤコード、もしくは利用者が取得を要求した時刻、もしくはその両方から生成される情報とを、識別コード５０２に対応付けて、埋め込み情報関連情報１１９として情報埋め込み装置１０２−２の有する記憶手段にて保持させる。
【０１２０】
図１３に、埋め込み情報関連情報１１９の一例を示す。埋め込み情報関連情報１１９は、識別コード５０２と、利用者氏名５０３ａと、利用者が前記電子データの利用を要求した時刻、すなわちアクセスした時刻５０３ｂとを備える。
【０１２１】
埋め込み情報関連情報１１９として、識別コード５０２に保持される情報は、上記情報に限らない。万一当該電子データが漏洩した際、抽出者を特定可能な情報であればよい。以後、識別コード５０２に対応づけて埋め込み情報関連情報１１９に保持される、抽出者を特定可能な情報（５０３ａ、５０３ｂ）を、抽出者関連情報５０３と呼ぶ。
【０１２２】
関連情報管理部１２０は、情報取り出し装置１０４−２から識別コード５０２の送信を受け、対応する抽出者関連情報５０３の開示要求を受けた場合、埋め込み情報関連情報１１９を参照し、当該識別コード５０２に対応づけて保持されている抽出者関連情報５０３を抽出し、要求元の情報取り出し装置１０４−２に返信する。
【０１２３】
なお、前述の一意に定まる識別コード５０２としては、電子データの情報粒度を変更させる形態そのものであっても構わない。ただし、この場合は情報粒度を変更した電子データ全てを、情報埋め込み装置１０２−２は自身の持つ記憶手段に識別コード５０２として保持しておく必要がある。
【０１２４】
次に、本実施形態の情報取り出し装置１０４−２について説明する。
【０１２５】
図１２に示すように、情報取り出し装置１０４−２は、図１の情報取り出し装置１０４と同様に、情報取り出し部１４３、情報粒度管理情報１４５、秘密鍵情報１４７、出力部１４６、通信部１４８を備える。さらに、本実施形態の情報取り出し装置１０４−４は、問い合わせ部１４９を備える。各部の機能は、第一の実施形態の情報取り出し装置１０４の同名のものと同じである。但し、情報取り出し部１４３は、抽出結果を、出力部１４６ではなく、問い合わせ部１４９に出力する。また、出力部１４６は、問い合わせ部より受け取った抽出者関連情報５０３を、要求元の利用者端末１０５に出力する。
【０１２６】
問い合わせ部１４９は、取り出した識別データ５０２を基に、情報埋め込み装置１０２−２に抽出者関連情報５０３の開示を要求し、情報埋め込み装置１０２−２より抽出者関連情報５０３を得る。そして、抽出者関連情報５０３を、出力部１４６に受け渡す。
【０１２７】
本実施形態においても、情報埋め込み装置１０２−２と情報取り出し装置１０４−２とは、同一の情報処理装置内で実現されていてもよい。また、情報埋め込み装置１０２−２と利用者端末１０３とは、一の情報処理装置で実現されていてもよいし、情報取り出し装置１０４−２と利用者端末１０５とは、一の情報処理装置で実現されていてもよい。さらに、利用者端末１０３と利用者端末１０５とは、同一の端末であってもよい。
【０１２８】
次に、本実施形態における処理のシーケンスについて説明する。情報埋め込み時の処理シーケンスは、付帯させる指定情報が一意に定まる識別コード５０２である点が異なるものの、図１０に示す第一の実施形態によるシーケンスと同様であるため、ここでは、説明しない。
【０１２９】
以下に、付帯させた指定情報（識別コード５０２）を、電子データ２０２から取り出す場合のシーケンスについて説明する。
【０１３０】
図１４は、本実施形態における電子データ２０２から識別コード５０２を取り出す場合の、利用者端末１０５と情報埋め込み装置１０２−２と情報取り出し装置１０４−２との間の処理シーケンスを説明するためのシーケンス図である。
【０１３１】
図１４中のシーケンス１２０１からシーケンス１２０５までは、第一の実施形態による図１１のシーケンスと同様である。
【０１３２】
その後、情報取り出し装置１０４−２は、利用者端末１０５から電子データ２０２を受け取ると（１２０５）、秘密鍵ｃおよび情報粒度管理装置１４５を用いて電子データ２０２から識別コード５０２を取り出す（１２０６）。
【０１３３】
そして、情報取り出し装置１０４−２は、取り出した識別コード５０２を情報埋め込み装置１０２−２へ送信し、識別コード５０２に対応づけて保持されている抽出者関連情報５０３の取得を要求する（１６０１）。情報埋め込み装置１０４−２は、受け取った要求に基づいて、識別コード５０２に対応付けて保持している抽出者関連情報５０３を取り出し（１６０２）、要求元の情報取り出し装置１０４−２に返信する（１６０３）。そして、情報取り出し装置１０４−２は、要求元の利用者端末１０５に抽出者関連情報５０３を出力する（１６０４）。
【０１３４】
以上、本実施形態によれば、利用者からの取得要求を受けて取り出された電子データに、匿名化処理を施すとともに、利用者に分からない形で、利用者を特定可能な情報を取得可能な情報を埋め込むことができる。従って、電子データを抽出した利用者は、その情報を改ざんすることはできない。また、万一、電子データが意に反して流通した場合であっても、電子データの抽出者を特定可能となる。これにより、本実施形態によれば、個人情報の漏洩、流通を抑止する可能性が高まる。
【０１３５】
＜＜第三の実施形態＞＞
次に、本発明を適用した第三の実施形態として、情報埋め込み装置のシステムへの適用例を示す。
【０１３６】
本実施形態による情報埋め込みシステムは、情報埋め込み装置を所有する、例えば企業や団体などの組織（以下、単に企業と表記する）が複数存在することを前提としている。すなわち、本実施形態の情報埋め込みシステムには、情報埋め込み装置が複数存在し、それぞれにおいて、表形式のテキストデータからなる電子データに指定情報の埋め込みが行われる。
【０１３７】
第一および第二の実施形態の構成の場合、個々の情報埋め込み装置に対して情報取り出し装置が設けられている。本実施形態では、複数の情報埋め込み装置に対して１の情報取り出し装置を設ける。本構成により、本実施形態では、指定情報を付帯された電子データを受け取った利用者は、１の情報取り出し装置に問い合わせを行うことにより、いずれの情報埋め込み装置で指定情報が埋め込まれた電子データであっても、指定情報を取り出すことができる。
【０１３８】
図１５は、本実施形態における情報埋め込み装置を適用した情報埋め込みシステムのシステム構成を表す図である。
【０１３９】
ある企業が所持する情報埋め込み装置１０２ａは、表形式のテキストデータからなる電子データが格納されるデータベースである企業内のＤＢ１０１ａと接続され、企業内の利用者端末１０３ａと企業内ネットワーク１０６ａを介して接続され、企業内情報埋め込みシステム１７０１ａを構成している。ここで、企業内ネットワーク１０６ａを介していることを想定しているが、これは必ずしも必要ではなく、情報埋め込み装置１０２ａと利用者端末１０３ａが直接接続されていても、また同一の計算機で実現されていても構わない。
【０１４０】
同様に、他の企業において、それぞれ、上記同様、ＤＢ１０１ｂ、１０１ｃ、情報埋め込み装置１０２ｂ、１０２ｃ、ネットワーク１０６ｂ、１０６ｃ、利用者端末１０３ｂ、１０３ｃを備える企業内情報埋め込みシステム１７０１ｂ、１７０１ｃが存在する。
【０１４１】
なお、情報埋め込み装置１０２ａ、１０２ｂ、１０２ｃは、それぞれ、第一または第二の実施形態の情報埋め込み装置と基本的に同様の構成を有する。以下、第一の実施形態の情報埋め込み装置を用いる場合を例にあげて説明する。
【０１４２】
各企業内情報埋め込みシステム１７０１ａ、１７０１ｂ、１７０１ｃは、企業間をつなぐ、例えばインターネットなどのネットワーク１７０４を介して、各企業内埋め込みシステム１７０１ａ、１７０１ｂ、１７０１ｃを有する企業とは異なる、情報取り出しサービスを提供する組織の情報取出しサービスシステム１７０２の所持する情報取り出し装置１７１１と接続されている。
【０１４３】
情報取り出し装置１７１１は、各企業内情報埋め込みシステム１７０１ａ、１７０１ｂ、１７０１ｃの生成する指定情報を付帯した電子データから指定情報を取り出すために必要な情報（秘密鍵情報、情報粒度管理情報など）を、予め、各企業内情報埋め込みシステム１７０１ａ、１７０１ｂ、１７０１ｃから提供を受け、保持している。
【０１４４】
利用者端末１７０３が、電子データ１７２１から指定情報を取り出す際は、情報取り出し装置１７１１にアクセスする。情報取り出し装置１７１１は、利用者端末１７０３から指定情報を取り出す要求として電子データ１７２１を受け取り、各企業内情報埋め込みシステム１７０１ａ、１７０１ｂ、１７０１ｃから提供を受けた情報を用いて、指定情報を取り出し、要求元の利用者端末１７０３に送付する。
【０１４５】
本実施形態では、情報取り出し装置１７１１を有する組織は、情報取り出しサービスを提供することとなる。従って、秘密鍵情報、情報粒度管理情報といった秘密情報を取り扱うため、いわゆる信頼できる第三者機関（Ｔｒｕｓｔｅｄ  Ｔｈｉｒｄ  Ｐａｒｔｙ）と呼ばれる存在を想定している。
【０１４６】
次に、情報取り出し装置１７１１の詳細を説明する。
【０１４７】
図１６は、本実施形態における情報取り出しシステム１７０２の情報取り出し装置１７１１の機能ブロック図である。
【０１４８】
情報取り出し装置１７１１は、情報取り出し部１８１３と、出力部１８１４と、通信部１８１５とを備え、また記憶手段に、秘密鍵情報１８１１と、情報粒度管理情報１８１２とを保持する。
【０１４９】
情報取り出し装置１７１１は、情報埋め込み装置１０２ａ、１０２ｂ、１０３ｃそれぞれから、電子データから指定情報を取り出すために必要な情報として、秘密鍵情報と情報粒度バロメータを計算するに必要な情報粒度管理情報とを、通信部１８１５を介して予め受け取り、各々を秘密鍵情報１８１１、情報粒度管理情報１８１２として情報取り出し装置１７１１の有する記憶手段に保持する。なお、このとき、受け取った秘密鍵情報および情報粒度管理情報は、それぞれ、送信元の情報埋め込み装置１０２ａ、１０２ｂ、１０２ｃと対応づけて保持する。
【０１５０】
情報取り出し部１８１３は、指定情報を取り出す要求として、利用者端末１７０３から指定情報付帯済みの電子データ１７２１を受け取ると、秘密鍵情報１８１１と情報粒度管理情報１８１２とに保持される情報を用いて、指定情報を電子データ１７２１から取り出す。取り出す処理手順は、第一の実施形態と同様であるため、ここでは、説明しない。
【０１５１】
なお、情報取り出し装置１７１１は、複数の企業内情報埋め込みシステム１７０１ａ、１７０１ｂ、１７０１ｃから、秘密鍵情報および情報粒度管理情報を受け取って管理している。本実施形態では、それぞれの情報埋め込み装置１０２ａ、１０２ｂ、１０２ｃに対応づけて秘密鍵情報１８１１および情報粒度管理情報１８１２に保持されている秘密鍵情報および情報粒度管理情報の組を、指定情報を取り出すことができるまで順に適用する。
【０１５２】
出力部１８１４は、情報取り出し部１８１３によって取り出された指定情報を、利用者端末１７０３へ送付する。
【０１５３】
なお、情報埋め込み装置１０２ａ、１０２ｂ、１０２ｃが第二の実施形態の構成の場合、情報取り出し装置１７１１は、各情報埋め込み装置に対応づけて埋め込み情報関連情報も保持する。
【０１５４】
以上、本実施形態によれば、利用者からの取得要求を受けて取り出された電子データに、匿名化処理を施すとともに、利用者に分からない形で、利用者を特定可能な情報を取得可能な情報を埋め込むことができる。そして、特定の装置に問い合わせることによって、埋め込んだ情報を取得することが可能となる。従って、電子データを抽出した利用者は、その情報を改ざんすることはできない。また、万一、電子データが意に反して流通した場合であっても、当該電子データを抽出した者を特定可能となる。
【０１５５】
情報埋め込み装置および方法を用いて個人情報などの表形式のテキストデータからなる電子データをＤＢから取得した利用者は、自身が不可分かつどのように埋め込まれているかがわからない指定情報が付帯した電子データを受け取ることになり、これを不用意に漏洩または流出してしまうことにより自身が責任を問われることになる。これは、情報漏洩の事故や事件に対する抑止となりうる。すなわち、上記各実施形態によれば、個人情報の漏洩、流通を抑止する可能性が高まる。
【０１５６】
上記各実施形態は、個人情報などの表形式で表されるテキストデータからなる電子データを取り扱う企業内情報システムおよび企業間情報システムなどへの適用が考えられる。特に近年多発している個人情報の漏洩事故や事件を憂慮している個人情報取り扱い事業者の有する情報システムへの適用が有望である。
【０１５７】
また、上記第一および第二の実施形態における情報埋め込み技術が、広く普及した場合は、指定情報を取り出す際に用いる秘密鍵や情報粒度管理情報が複雑になり指定情報を取り出すことが困難になることが想像できる。この場合は第三の実施形態として詳述した、指定情報の情報取り出しサービスを提供する信頼できる第三者機関を設けることにより、上述の不便が解消され、本発明による情報埋め込みシステムを円滑に運用することが可能となる。
【図面の簡単な説明】
【０１５８】
【図１】図１は、第一の実施形態の情報埋め込みシステムの構成図および情報埋め込み装置および情報取り出し装置の機能構成図である。
【図２】図２は、第一の実施形態の情報粒度の定義を説明するための図である。
【図３】図３は、第一の実施形態のデータベースに保持されるデータの一例である。
【図４】図４は、第一の実施形態の指定情報付帯時の処理フローを説明するためのフローチャートである。
【図５】図５は、第一の実施形態の指定情報および指定情報をビット列で分割した状態を説明するための図である。
【図６】図６は、第一の実施形態の情報粒度バロメータを説明するための図である。
【図７】図７は、第一の実施形態の情報粒度バロメータを説明するための図である。
【図８】図８は、第一の実施形態の情報粒度変更を説明するための図である。
【図９】図９は、第一の実施形態の指定情報取り出し時の処理フローを説明するためのフローチャートである。
【図１０】図１０は、第一の実施形態の指定情報付帯時の処理シーケンスである。
【図１１】図１１は、第一の実施形態の指定情報取り出し時の処理シーケンスである。
【図１２】図１２は、第二の実施形態の情報埋め込みシステムの構成図および情報埋め込み装置および情報取り出し装置の機能構成図である。
【図１３】図１３は、第二の実施形態の埋め込み情報関連情報の一例を説明するための図である。
【図１４】図１４は、第二の実施形態の指定情報取り出し時の処理シーケンスである。
【図１５】図１５は、第三の実施形態の情報埋め込みシステムのシステム構成図である。
【図１６】図１６は、第三の実施形態の情報取り出し装置の機能構成図である。
【符号の説明】
【０１５９】
１０１：データベース、１０２：情報埋め込み装置、１０３：利用者端末、１０４：情報取り出し装置、１０５：利用者端末、１１１：ＤＢアクセス制御部、１１２：ＤＢインタフェース、１１３：情報埋め込み部、１１４：埋め込み情報生成部、１１５：情報粒度管理情報、１１６：出力部、１１７：秘密鍵情報、１１８：通信部、１４３：情報取り出し部、１４５：情報粒度管理情報、１４６：出力部、１４７：秘密鍵情報、１４８：通信部、１０２−２：情報埋め込み装置、１０４−２：情報取り出し装置、１１４−２：埋め込み情報生成部、１１９：埋め込み情報関連情報、１２０：関連情報管理部、１４９：問い合わせ部、１７０１ａ、１７０１ｂ、１７０１ｃ：企業内情報埋め込みシステム、１７０２：情報取り出しサービスシステム、１７０３：利用者端末、１７０４：企業間ネットワーク、１８１１：秘密鍵情報、１８１２：情報粒度管理情報、１８１３：情報取り出し部、１８１４：出力部、１８１５：通信部
【図１】
2006140944.tif 000006
【図２】
2006140944.tif 000007
【図３】
2006140944.tif 000008
【図４】
2006140944.tif 000009
【図５】
2006140944.tif 000010
【図６】
2006140944.tif 000011
【図７】
2006140944.tif 000012
【図８】
2006140944.tif 000013
【図９】
2006140944.tif 000014
【図１０】
2006140944.tif 000015
【図１１】
2006140944.tif 000016
【図１２】
2006140944.tif 000017
【図１３】
2006140944.tif 000018
【図１４】
2006140944.tif 000019
【図１５】
2006140944.tif 000020
【図１６】
2006140944.tif 000021