(57)【要約】【課題】個人情報が漏洩した場合のフェイルセーフを実現できる電子情報管理システムを提供する。【解決手段】クライアント装置６が、複数の要素データから成る個人情報を、所定の分割・結合ルールに従って加工することにより、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データに変換して複数のＤＢセンタ２，３，４に分散保存させる。割符システム１は、個人情報の検索に用いる検索用情報を分割・結合ルールに従って加工することにより、割符データと同じデータ構造の検索キーワードを生成し、この検索キーワードに基づいてＤＢセンタ２，３，４から該当する複数の割符データを読み出し、読み出したこれらの割符データを分割・結合ルールに従って結合することにより個人情報を復元する。【選択図】図１
2007140869.tif 000002
【特許請求の範囲】
【請求項１】
それぞれ単独でその意味を認識可能な複数の要素データの組み合わせから成る電子情報を読み取ることができる情報処理システムが、前記電子情報を所定の分割・結合ルールに従って加工することにより、当該電子情報を、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データに変換する処理と、前記複数の割符データを複数のデータ記録領域に分散して保存する処理とを実行するとともに、
前記情報処理システム又は前記分割・結合ルールを保有する他の情報処理システムが、前記電子情報の検索に用いる検索用情報を前記分割・結合ルールに従って加工することにより、前記割符データと同じデータ構造の検索キーワードを生成する処理と、生成された検索キーワードに基づいて前記複数のデータ記録領域から該当する複数の割符データを読み出し、読み出したこれらの割符データを前記分割・結合ルールに従って結合することにより当該電子情報を復元する処理とを実行することを特徴とする、
情報処理システムによる電子情報管理方法。
【請求項２】
前記情報処理システムは、前記電子情報を要素データ毎に符号化し、これらの符号化データをそれぞれ所定のビット長パターン及び順序で分割してｎ（ｎは２以上の整数）個に配分することによりｎ個の符号化データに変換するとともに、これらの符号化データ又はそれを暗号化した暗号文字列データを、それぞれＩＤにより識別されるｍ（ｍは２以上の整数）個のテーブル上に配置することにより、テーブル単位で前記割符データを生成する、
請求項１記載の電子情報管理方法。
【請求項３】
前記ＩＤは、前記ｍ個のテーブルの各々について一意に定めたものであり、かつ、一のテーブルのＩＤと他のテーブルのＩＤとが関連付けられているものである、
請求項２記載の電子情報管理方法。
【請求項４】
前記情報処理システムは、複数の割符データの集合に変換する処理を、当該電子情報を保有する者の操作に起因して実行する、
請求項１、２又は３記載の電子情報管理方法。
【請求項５】
前記情報処理システム又は前記他の情報処理システムは、前記復元された電子情報を揮発性のメモリ領域に記録させておき、当該電子情報の使用を終えた後には前記メモリ領域をリセットさせる、
請求項１、２又は３記載の電子情報管理方法。
【請求項６】
それぞれ単独でその意味を認識可能な複数の要素データの組み合わせから成る電子情報の入力を受け付ける電子情報入力手段と、
入力された前記電子情報を所定の分割・結合ルールに従って加工することにより、当該電子情報を、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データの集合に変換する電子情報変換手段と、
前記複数の割符データを複数のデータ記録領域に分散して保存する電子情報保存手段と、
前記電子情報の検索に用いる検索用情報を前記分割・結合ルールに従って加工することにより、前記割符データと同じデータ構造の検索キーワードを生成する検索キーワード生成手段と、
生成された検索キーワードに基づいて前記複数のデータ記録領域から該当する複数の割符データを読み出し、読み出したこれらの割符データを前記分割・結合ルールに従って結合することにより当該電子情報を復元する電子情報復元手段と、
を備えて成る、
電子情報管理システム。
【請求項７】
それぞれ単独でその意味を認識可能な複数の要素データの組み合わせから成る電子情報を保有する者が操作する第１装置、それぞれデータベース及びその管理手段を有する複数の第２装置、並びに前記電子情報の利用者が操作する第３装置との間で、ネットワークを通じて通信可能な割符システムを含んで成り、
前記第１装置は、
前記電子情報を所定の分割・結合ルールに従って加工することにより、当該電子情報を、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データの集合に変換する電子情報変換手段と、前記複数の割符データを前記複数の第２装置に分散して保存する電子情報保存手段とを備えており、
前記割符システムは、
前記割符データが生成されたときの前記分割・結合ルールを前記第１装置より受け取るルール受領手段と、前記電子情報の検索に用いる検索用情報を前記分割・結合ルールに従って加工することにより、前記割符データと同じデータ構造の検索キーワードを生成する検索キーワード生成手段と、生成された検索キーワードに基づいて前記複数のデータ記録領域から該当する複数の割符データを読み出し、読み出したこれらの割符データを前記分割・結合ルールに従って結合することにより当該電子情報を復元する電子情報復元手段と、復元した電子情報の前記第３装置による閲覧を可能にする電子情報出力手段とを備えて成る、
電子情報管理システム。
【請求項８】
前記電子情報出力手段は、前記復元した電子情報を揮発性のメモリ領域に記録させておき、前記第３装置による当該電子情報の使用が終了した時点で当該メモリ領域をリセットさせる、
請求項７記載の電子情報管理システム。
【請求項９】
コンピュータを、それぞれ単独でその意味を認識可能な複数の要素データの組み合わせから成る電子情報の入力を受け付ける電子情報入力手段、
入力された前記電子情報を所定の分割・結合ルールに従って加工することにより、当該電子情報を、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データの集合に変換する電子情報変換手段、
前記複数の割符データを複数のデータ記録領域に分散して保存する電子情報保存手段、
前記電子情報の検索に用いる検索用情報を前記分割・結合ルールに従って加工することにより、前記割符データと同じデータ構造の検索キーワードを生成する検索キーワード生成手段、及び、
生成された検索キーワードに基づいて前記複数のデータ記録領域から該当する複数の割符データを読み出し、読み出したこれらの割符データを前記分割・結合ルールに従って結合することにより当該電子情報を復元する電子情報復元手段、として機能させるコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子データから成る電子情報、例えばユーザ企業の固有情報やユーザ企業に属する個人の情報等の流出による被害を抑制する機能を備えた電子情報管理システムに関する。
【背景技術】
【０００２】
個人情報保護法が施行されて以降、個人・企業共に、個人情報の扱いにとまどいが生じている。例えば、ある企業（クライアント企業とする）が、コールセンター等のエージェンシに顧客の個人情報を預け、エージェンシを通じてその個人情報を使用した顧客への連絡を依頼する場合を想定する。クライアント企業は、個人情報の漏洩防止に関するエージェンシに対する管理責任があるが、その度合いが従前よりも厳格になるので、個人情報の積極的な使用を控える場面も想定される。実際に個人情報の漏洩事故等が起きたときには、賠償責任も生じる。
【０００３】
他方、エージェンシ側は、業務によって得られる利益よりも、情報漏洩したときのリスクが大きいため、その防止策に過大な費用が発生するおそれがある。プライバシーマーク（（財）日本情報処理開発協会の登録商標）等をとっても、現在のところ、その効果が実証されていない。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記のような問題は、個人情報を第三者によって物理的に抜き取れない仕組みを作るか、仮に抜き取られても価値の無いものにすることにより、個人情報が漏洩した場合のフェイルセーフを図る電子情報管理のシステムを導入することで解消される可能性がある。
本発明は、かかる問題点を解消し得る新規な電子情報管理の仕組みを提供することを主たる課題とするものである。
【課題を解決するための手段】
【０００５】
本発明は、電子情報管理方法、システム、コンピュータプログラムによって上記の課題を解決する。
本発明の電子情報管理方法は、それぞれ単独でその意味を認識可能な複数の要素データの組み合わせから成る電子情報を読み取ることができる情報処理システムが、前記電子情報を所定の分割・結合ルールに従って加工することにより、当該電子情報を、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データに変換する処理と、前記複数の割符データを複数のデータ記録領域に分散して保存する処理とを実行するとともに、前記情報処理システム又は前記分割・結合ルールを保有する他の情報処理システムが、前記電子情報の検索に用いる検索用情報を前記分割・結合ルールに従って加工することにより、前記割符データと同じデータ構造の検索キーワードを生成する処理と、生成された検索キーワードに基づいて前記複数のデータ記録領域から該当する複数の割符データを読み出し、読み出したこれらの割符データを前記分割・結合ルールに従って結合することにより当該電子情報を復元する処理とを実行することを特徴とする、情報処理システムによる電子情報管理方法である。
ある実施の態様では、前記情報処理システムは、前記電子情報を要素データ毎に符号化し、これらの符号化データをそれぞれ所定のビット長パターン及び順序で分割してｎ（ｎは２以上の整数）個に配分することによりｎ個の符号化データに変換するとともに、これらの符号化データ又はそれを暗号化した暗号文字列データを、それぞれＩＤにより識別されるｍ（ｍは２以上の整数）個のテーブル上に配置することにより、テーブル単位で前記割符データを生成する。前記ＩＤは、例えば、前記ｍ個のテーブルの各々について一意に定めたものであり、かつ、一のテーブルのＩＤと他のテーブルのＩＤとが関連付けられているものである。
【０００６】
前記電子情報を保有する者による行為が問題になる場合、前記情報処理システムは、複数の割符データの集合に変換する処理を、当該電子情報を保有する者の操作に起因して実行するようにする。使用時のセキュリティ性を高める観点からは、前記情報処理システム又は前記他の情報処理システムは、前記復元された電子情報を揮発性のメモリ領域に記録させておき、当該電子情報の使用を終えた後には前記メモリ領域をリセットさせるようにする。
【０００７】
本発明の電子情報管理システムは、それぞれ単独でその意味を認識可能な複数の要素データの組み合わせから成る電子情報の入力を受け付ける電子情報入力手段と、入力された前記電子情報を所定の分割・結合ルールに従って加工することにより、当該電子情報を、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データの集合に変換する電子情報変換手段と、前記複数の割符データを複数のデータ記録領域に分散して保存する電子情報保存手段と、前記電子情報の検索に用いる検索用情報を前記分割・結合ルールに従って加工することにより、前記割符データと同じデータ構造の検索キーワードを生成する検索キーワード生成手段と、生成された検索キーワードに基づいて前記複数のデータ記録領域から該当する複数の割符データを読み出し、読み出したこれらの割符データを前記分割・結合ルールに従って結合することにより当該電子情報を復元する電子情報復元手段とを備えて成る。
【０００８】
本発明の他の構成に係る電子情報管理システムは、それぞれ単独でその意味を認識可能な複数の要素データの組み合わせから成る電子情報を保有する者が操作する第１装置、それぞれデータベース及びその管理手段を有する複数の第２装置、並びに、前記電子情報の利用者が操作する第３装置との間で、ネットワークを通じて通信可能な割符システムを含んで成るシステムである。
このシステムにおいて、前記第１装置は、前記電子情報を所定の分割・結合ルールに従って加工することにより、当該電子情報を、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データの集合に変換する電子情報変換手段と、前記複数の割符データを前記複数の第２装置に分散して保存する電子情報保存手段とを備えており、前記割符システムは、前記割符データが生成されたときの前記分割・結合ルールを前記第１装置より受け取るルール受領手段と、前記電子情報の検索に用いる検索用情報を前記分割・結合ルールに従って加工することにより、前記割符データと同じデータ構造の検索キーワードを生成する検索キーワード生成手段と、生成された検索キーワードに基づいて前記複数のデータ記録領域から該当する複数の割符データを読み出し、読み出したこれらの割符データを前記分割・結合ルールに従って結合することにより当該電子情報を復元する電子情報復元手段と、復元した電子情報の前記第３装置による閲覧を可能にする電子情報出力手段とを備えて成る。
第３装置による情報漏洩を徹底する場合、前記電子情報出力手段は、前記復元した電子情報を揮発性のメモリ領域に記録させておき、前記第３装置による当該電子情報の使用が終了した時点で当該メモリ領域をリセットさせるように構成する。
【０００９】
本発明のコンピュータプログラムは、コンピュータを、それぞれ単独でその意味を認識可能な複数の要素データの組み合わせから成る電子情報の入力を受け付ける電子情報入力手段、入力された前記電子情報を所定の分割・結合ルールに従って加工することにより、当該電子情報を、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データの集合に変換する電子情報変換手段、前記複数の割符データを複数のデータ記録領域に分散して保存する電子情報保存手段、前記電子情報の検索に用いる検索用情報を前記分割・結合ルールに従って加工することにより、前記割符データと同じデータ構造の検索キーワードを生成する検索キーワード生成手段、及び、生成された検索キーワードに基づいて前記複数のデータ記録領域から該当する複数の割符データを読み出し、読み出したこれらの割符データを前記分割・結合ルールに従って結合することにより当該電子情報を復元する電子情報復元手段、として機能させるコンピュータプログラムである。
【発明を実施するための最良の形態】
【００１０】
以下、本発明の実施の形態例を説明する。
図１は、本発明の実施の一形態となる電子情報管理システムの全体構成図である。
この実施形態の電子情報管理システムは、それぞれがディスク等のメモリ機構を有するコンピュータを含んで構成される割符システム１、複数のＤＢ（ＤＢはデータベースの略、以下同じ）センタ２，３，４、エージェンシであるコールセンタに設けられるコールセンタシステム５、及びクライアント企業に設けられるクライアント装置６を含んで構成される。これらのコンピュータは、既存の電話回線を利用したＶＰＮ等のセキュリティネットワーク、ＰＢＸ・ＣＴＩ等を通じて通信することができるものである。
【００１１】
ＤＢセンタ（Ｉ）２、ＤＢセンタ（II）３、ＤＢセンタ（III）４は、後述する割符データを記録するためのＤＢ２１，３１，４１と、ＤＢ２１，３１，４１へのデータ記録及びＤＢからのデータ読み出しを制御する管理機構とが備えられている。
【００１２】
なお、図１では、割符システム１は、コールセンタシステム５と共にコールセンタに配置される例を示しているが、設置箇所は任意であって良い。複数のＤＢセンタ２，３，４は、好ましくは、それぞれコールセンタからもクライアント装置からも、物理的・地理的に異なる場所に設置される。
【００１３】
割符システム１は、そのコンピュータが割符用アプリケーションプログラムを実行することにより種々の機能を当該コンピュータ内に形成する。
図２は、この割符システム１に形成される機能の要部構成図である。この実施形態では、割符システム１は、コンピュータ内に、データ入力部１１、データ出力部１２、データ検索部１３、データ結合部１４、パラメータ等記録部１５及び検索結果記録部１６の機能を形成する。
【００１４】
データ入力部１１は、ＤＢセンタ（Ｉ）２、ＤＢセンタ（II）３、ＤＢセンタ（III）４、コールセンタシステム５及びクライアント装置６から種々のデータを入力する。データ出力部１２は、ＤＢセンタ（Ｉ）２、ＤＢセンタ（II）３、ＤＢセンタ（III）４及びコールセンタシステム５に種々のデータを出力する。
データ検索部１３は、個人情報を構成する要素データの一部又は全部を検索要求するためのＳＱＬ文を作成し、このＳＱＬ文を実行することによりＤＢセンタ（Ｉ）２、ＤＢセンタ（II）３、ＤＢセンタ（III）４に記録されている割符データの検索を行うとともに、検索結果を受け取り、これを必要に応じて検索結果記録部１６に一時的に保存する。データ結合部１４は、分割・統合ルールに基づき、データ検索部１３による検索結果の一部又は全部を結合することにより個人情報を復元し、これをコールセンタシステム５へ出力可能にする。検索要求及び個人情報の出力は、データ出力部１２を通じて行われ、検索結果の入力はデータ入力部１１を通じて行われる。
【００１５】
コールセンタシステム５がブラウザ機能を有し、コールセンタシステム５がアクセスしている間だけ個人情報を閲覧可能になる構成の場合、データ出力部１２は、復元した個人情報を揮発性メモリあるいは同等機能のメモリに記録しておき、コールセンタシステム５が自己の表示装置にそれを表示するためにアクセスしている間だけその個人情報が存在するようにしても良い。つまり、個人情報の使用後は、強制的に記録内容をリセットする。なお、コールセンタシステム５に揮発性メモリが備えられている場合、割符システム１のデータ出力部１４に上記の機能は不可欠なものではない。
【００１６】
パラメータ等記録部１５には、クライアント装置６より入力された上記の分割・統合ルール、検索キー、復号化キー、データスキーマ等が記録される。分割・統合ルールは、具体的には、クライアント装置６で行ったデータ分割の手順、その手順により導かれるデータ結合の手順、各手順での処理手法、検索時に使用する調査項目等のルールである。
【００１７】
クライアント装置６は、そのコンピュータが分割用アプリケーションプログラムを実行することにより当該コンピュータ内に分割ツール６０を形成する。この分割ツール６０は、例えば図３に示されるように、データ入力部６１、データ出力部６２、割符データ生成部６３の機能を有する。また、符号化テーブル６４及びパラメータ等記録部６５をも有する。
【００１８】
データ入力部６１は、コンピュータに付属されているキーボード、ポインティングデバイスその他のデータ入力機構からのデータ、より具体的には個人情報等を入力するためのものである。割符データ生成部６３は、パラメータ等テーブル６５に記録されている分割・結合ルール、ノイズ並びに符号化テーブルを使用しながら後述する割符データを生成し、この割符データを暗号化キーで暗号化するとともに、暗号化データをＤＢセンタ（Ｉ）２、ＤＢセンタ（II）３、ＤＢセンタ（III）４に出力する。また、割符データの生成に用いた分割・統合ルール、ノイズその他のパラメータを割符システム１に出力する。暗号化データ、パラメータの出力は、データ出力部６２を通じて行われる。
【００１９】
次に、本実施形態の電子情報管理システムにおける個人情報の分割並びに検索の処理について、より詳しく説明する。
【００２０】
［個人情報の分割］
本実施形態では、特徴的な手法により、個人情報の分割を行う。
まず、クライアント装置６（分割ツール６０）で、それぞれ単独でその意味を認識可能な複数の要素データの組み合わせから成る個人情報を分割・結合ルールに従って加工することにより、当該個人情報を、それぞれそれ自体では個々の要素データの意味を認識できない複数の割符データの集合に変換する処理を行う。この処理をクライアント装置６で行うのは、クライアント企業自身に、自己が保有する個人情報を加工させるためである。以下、分割の処理手順を図４〜図８を参照して説明する。
【００２１】
＜ステップ１０１：符号化＞
分割ツール６０は、データ入力部６１から入力された個人情報を１つのレコードとし、このレコードに含まれる住所、企業名、電話番号等の要素データをそれぞれフィールド単位に図示しない一時メモリ（図示省略）に記録する。そして、各要素データをフィールド毎に符号化する。
【００２２】
符号化は、可逆性がある手順であれば、どのような手順を利用しても良い。ここでは、図４（ａ）に示される１レコード３フィールドのデータを個人情報とする場合の例を挙げる。この個人情報のうち、住所である「東京都新宿区四谷４丁目１６番３号」をＩフィールド、企業名である「日本ラッド株式会社」をIIフィールド、電話番号である「０３５９３００１」をIIIフィールドとし、各フィールドを１文字８ビットで符号化している。
これにより、図４（ｂ）に示される３つのフィールドデータを得る。
【００２３】
＜ステップ１０２：分配＞
これらのフィールドデータを、分割・結合ルールに基づいたビット長パターン及び順序で区切り、ｍ（ｍは２以上の整数）個に分配する。ビット長は、１文字の符号化ビット長の約数の倍数とする。ビット長パターンは、再現性があれば、どのような方法で作成したものでも良い。ビット長パターンは、フィールド毎に、異なるものを使用することもできる。
【００２４】
例えば図５は、分割・結合ルールのうち、ビット長パターンを４ビット，８ビット，１２ビット，４ビット，８ビット，１２ビット，・・・のパターンの繰り返しとし、それぞれのパターンのビットをＭＳＢから降順に並べ、且つ、余りが生じたときには最初に戻って再び降順に並べることにより、２つのビットパターンずつ組み合わせた４つに分配する例が示されている。このようにして分配された４つのデータをそれぞれ「符号化データ」とする。図５中、「１．」は第１の符号化データ、「２．」は第２の符号化データ、「３．」は第３の符号化データ、「４．」は第４の符号化データである。
【００２５】
＜ステップ１０３：文字化＞
次に、上記の４つの符号化データのそれぞれを暗号化した後、暗号データを文字列データに変換する。文字列データへの変換は、以下の条件を満たすどのような手法を用いても良い。
・可逆性がある。
・１文字に変換される文字列データは、他の文字列データに影響を及ぼさない。
・１文字分の文字列データのビット長は、分配で使用した最小のビット長とする。
【００２６】
例えば、図６は、図５に示した４つの符号化データのビットをそれぞれ反転することにより暗号化するとともに、それを先頭（ＭＳＢ）から４ビット区切りで１６進文字列データに変換することにより文字化データを得る例を示している。図６中、「１．」は第１の文字列データ、「２．」は第２の文字列データ、「３．」は第３の文字列データ、「４．」は第４の文字列データである。第１の文字列データは、上述の第１の符号化データに対応するものである。他の文字列データについても同様である。
以上の処理と同様の処理をすべてのフィールドデータについて施すことにより、図５の４つの符号化データは、図７に示される３つの文字列データに変換される。図７中、「Ｉ」は第１の文字列データ、「II」は第２の文字列データ、「III」は第３の文字列データである。
【００２７】
＜ステップ１０４：再配置＞
次に、上記の３つの文字列データを符号化テーブル６４を用いて再配置する。符号化テーブル６４はｍ個用意し、それぞれに、ＩＤ（識別情報）を付与して他のテーブルと区別する。ここでは、ｍ＝３とする。
【００２８】
ＩＤの付与は、テーブル毎に一意であること、あるテーブルのＩＤから別のテーブルのＩＤが生成できることの条件を満たすどのような方法を用いて行っても良い。再配置方法も、オリジナルのレコード及びフィールドの番号から再配置先のテーブル及びフィールドが一意に決まるものであれば、どのような方法であっても良い。
例えば、図８は、ＩＤは、フィールド毎に３つのテーブルの各々のテーブル番号×オリジナルのデータのレコード番号を付与した場合の例を示している。便宜上、個人情報は、最初の個人情報ということでレコード番号１（＝レコード１）で表されるものとする。この場合、第１テーブル（図中、テーブル１）のＩＤは「１」（＝テーブル番号（１）×レコード番号（１））、第２テーブル（図中、テーブル２）のＩＤは「２」（＝テーブル番号（２）×レコード番号（１））、第３テーブル（図中、テーブル３）のＩＤは「３」（＝テーブル番号（３）×レコード番号（１））である。
【００２９】
このようにしてテーブル毎に最配置された図８に示した３つの文字列データが、それぞれ図４に示した個人情報についての割符データとなる。
図８において、ＩＤ１により識別されるテーブルにフィールド毎に再配置された文字列データが第１の割符データ、同様に、ＩＤ２により識別されるテーブルに再配置された文字列データが第２の割符データ、ＩＤ３により識別されるテーブルに再配置された文字列データが第３の割符データとなる。図８から明らかなように、これらの割符データは、ＣＳＶ（Comma Separated Values：コンマ区切り）など、フィールド単位に意味のある要素データを１又は複数毎に、上述した分割・結合ルールに従って分割されており、それ自体では意味を持たない、つまり要素データ、ひいては個人情報を認識することができないデータ構造となっている。但し、後述するように、割符データに対して、検索条件も同様に分割することにより、完全一致検索及び前方一致検索が可能になる。
【００３０】
第１の割符データはＤＢセンタ（Ｉ）２へ、第２の割符データはＤＢセンタ（II）３へ、第３の割符データはＤＢセンタ（III）４へそれぞれ出力され、保存される。
【００３１】
［割符データの検索］
本実施形態による電子情報管理システムでは、ＤＢセンタ（Ｉ）２，ＤＢセンタ（II）３、ＤＢセンタ（III）４に保存されている割符データを、結合前に、高いセキュリティで検索できる点に一つの特徴がある。この検索は、通常は、コールセンターシステム５からの検索用情報の入力を契機に、割符システム１（データ検索部１３）が行う。以下、この割符データの検索手順、特に、データ検索部１３において、検索キーワードを生成するときの処理手順を、図９〜図１２を参照して説明する。
【００３２】
データ検索部１３は、以下の処理ステップを経ることにより検索キーワードを生成する。検索に際しては、分割ツール６０より配信され、パラメータ等記録部１５に記録されているた上記の分割・結合ルールを用いる。
【００３３】
＜ステップ２０１：検索文字列の再配置＞
まず、検索用情報の一例となる検索文字列を、上述した個人情報の分割と同じ要領でフィールド毎に再配置する。これは、分割の際に使用した分割・統合ルールがわからない限り、その検索文字列を正常に再配置できないようにして、不当なデータ検索から要素データひいては個人情報を保護するためである。
【００３４】
例えば、図９（ａ）は、１フィールド目に「東京都」、２フィールド目に「日本ラッド株式会社」を含む検索文字列を再配置するときの例を示している。
分割の際に使用した分割・結合ルールによれば、「東京都」の文字列は「ｅ」，「ｄｃ」，「ｂａ９」，（無し）、「日本ラッド株式会社」は、「ｄ１９」，「４ｃ」，「３ｂ２」，「ａ」である。これらの文字列を符号化テーブル６４と同様の３つのテーブルにＩＤ（識別情報）を付与して再配置する。ＩＤの付与方法は、分割の際の方法と同じである。この結果、各テーブルには、図９（ｂ）のように文字列がフィールド毎に記録される。
【００３５】
＜ステップ２０２：検索条件の作成＞
その後、テーブル毎に、検索条件を作成する。図１０は、１フィールド目が「東京都」の前方一致、又は、２フィールド目が「日本ラッド株式会社」の全文一致の検索条件式を作成する場合の手順例を示している。図１０によれば、各テーブルにおける検索条件式は、以下のようになる。
○テーブル１：検索条件式＝（フィールド１  like‘e＊’AND  フィールド２  like‘＊’  OR（フィールド３＝‘３ｂｃ’）
○テーブル２：検索条件式＝（フィールド１  like‘ｄｃ＊’  OR  （フィールド２＝‘ｄ１９’AND  フィールド３＝‘ａ’）
○テーブル３：検索条件式＝（フィールド１  like‘ｂａ９＊’  OR（フィールド２＝‘４ｃ’）
【００３６】
＜ステップ２０３：検索文の作成＞
その後、テーブル毎に作成した検索条件式から検索ＳＱＬ文を作成する。テーブル毎に検索条件式を作成することにより、ＤＢの仕様に合わせてＳＱＬ文を作成できる利点がある。但し、データ結合のために、ＩＤは必ず取得する必要がある。
例えば、１フィールド目の「東京都」の前方一致、又は、２フィールド目の「日本ラッド株式会社」の全文一致の条件を満たす電話番号（３フィールド目）を検索により読み出すための検索ＳＱＬ文は、以下のように作成される。
○テーブル１：検索ＳＱＬ文＝SELECT ID，フィールド４FROMテーブル１WHERE（フィールド１  like‘e＊’AND  フィールド２  like‘＊’  OR（フィールド３＝‘３ｂｃ’）
○テーブル２：検索ＳＱＬ文＝SELECT ID，フィールド４FROMテーブル１WHERE（フィールド１  like‘ｄｃ＊’  OR  （フィールド２＝‘ｄ１９’AND  フィールド３＝‘ａ’）
○テーブル３：検索ＳＱＬ文＝SELECT ID，フィールド３，フィールド４FROMテーブル３WHERE（フィールド１  like‘ｂａ９＊’  OR（フィールド２＝‘４ｃ’）
【００３７】
＜ステップ２０４：検索の実行＞
このように作成した検索ＳＱＬ文を実行することにより、該当する割符データを取得する。検索結果の例を図１１に示す。図１１からわかるように、レコード１について第１テーブル（図中、テーブル１）のＩＤ１のフィールド４から「１ｄａ」、第２テーブル（図中、テーブル２）のＩＤ２のフィールド４から「９５０」、ＩＤ４のフィールド３から「６８４」、フィールド４から「ｃ」のデータが取得される。
【００３８】
＜ステップ２０５：検索結果の結合＞
そして、検索結果からＩＤをもとにデータ結合を行う。データ結合に際してＩＤを使うことも分割・結合ルールの一つなので、ＩＤの付与方法がわからないとデータ結合ができず、第三者による不当なデータ取得を防止することができる。本例の場合、データ結合は、各検索結果のレコード１がその対象となる。これにより、図１２に示されるように、レコード１についての検索結果から［０３５９１９３００１］という電話番号を復元することができる。
このように、ステップ２０１〜２０４の手順を経ないと、検索キーワードの生成、検索の実行、並びにデータ結合ができないので、要素データ、ひいては個人情報を第三者が不当に取得することができない。これにより、高セキュリティの個人情報の管理が可能になる。
【００３９】
［運用形態例］
次に、図１３〜図１６を参照して、本実施形態の電子情報管理システムの運用形態例を説明する。図１３は、電子情報管理システム（図１参照）における各種データ、パラメータ等の流れを示した全体図である。ここでは、クライアント企業がコールセンタに自社の顧客の個人情報を使用した連絡を依頼する場合の例を説明する。特に説明を要する部分以外は、上述した特徴的な方法で分割又は検索を行うものとする。
【００４０】
［個人情報の保存：クライアント企業］
顧客への連絡依頼に先立ち、クライアント企業は、クライアント装置６を通じて顧客の個人情報をコールセンタのオペレータが閲覧可能な状態にする。
すなわち、図１３の上段に示されるように、クライアント企業が保有する顧客の個人情報（電話、データ１,２，３）をクライアント装置６に入力する。クライアント装置６は、入力された個人情報を分割ツール６０に入力する。
分割ツール６０では、図１４に示すように、分割・結合ルールに従って個人情報の分割を行うことで、３つの割符データを生成する。そして、割符データＩはＤＢセンタ（Ｉ）２のＤＢ２１、割符データIIはＤＢセンタ（II）３のＤＢ３１、割符データIIIはＤＢセンタ（III）４のＤＢ４１へそれぞれ記録させる。また、分割の際に用いた分割・結合ルールを割符システム１に出力する。
【００４１】
クライアント企業自身に、顧客の個人情報から割符データを生成させ、これをＤＢセンタ２〜４に記録させるので、クライアント企業が納得の上で、個人情報を保存することができる。個人情報は、それ自体では意味をなさないデータ構造で分割されているため、ハッキング等によってＤＢセンタ２，３，４から割符データの一部が外部に流出した場合であってもそれを認識することはできず、仮に割符データのすべてが外部に流出した場合であっても、割符システム１にデータが持ち込まれない限りそれらを結合できないため、個人情報を復元することができない。これにより、個人情報が確実に保護される。
【００４２】
［個人情報の利用：コールセンタ］
電子情報管理システムで扱う個人情報を利用するのは、コールセンタに配されるオペレータである。オペレータの利用シーンとしては、例えば、検索による宛先リスト（ＩＤリスト）の取得、ＩＤにより識別される宛先への発呼（電話の発信）、発信相手の情報取得等が考えられる。検索は、検索条件を入力して、条件に一致する電話番号を検索する作業である。発呼は、電話番号一覧から電話番号を選択し、電話を発信する作業である。宛先の個人情報の取得は、電話発呼時、その発信先の個人情報を閲覧する作業である。以下、これらの作業と電子情報管理システムとの関わりを説明する。
【００４３】
＜検索＞
ＩＤリストの取得フローを図１５に示す。前提として、コールセンタシステム５は割符システム１との間で通信の接続設定と、データ形式の設定（データ設定）を行う。その後、オペレータは、ＩＤリストの検索条件を割符システム１のデータ検索部１３に入力する（Ｓ１１）。データ検索部１３は、分割・結合ルールに従って、検索条件から第１のＤＢセンタ（Ｉ）用の検索キーワード１（Ｆ１：ＫＥＹ）、第２のＤＢセンタ（II）用の検索キーワード２（Ｆ２：ＫＥＹ）、第３のＤＢセンタ（III）用の検索キーワード３（Ｆ３：ＫＥＹ）をそれぞれ作成し、これらを各ＤＢセンタ２，３，４宛に出力する（Ｓ１２）。各ＤＢシステム２，３，４は、それぞれ自己のＤＢ２１，３１，４１から検索結果、すなわち該当するＩＤのリストを割符システム１のデータ検索部１３に返送する（Ｓ１３）。ＩＤリストには、例えばＩＤ１について、ＩＤ１＿１，Ｔｅｌ１＿１〜ＩＤ１＿３，Ｔｅｌ１＿３となる。
データ検索部１３は、検索結果を受け取り、これをデータ結合部１４に渡す（Ｓ１４）。データ結合部１４は、分割・結合ルールに従って検索結果をデータ結合してＩＤ毎のリストを生成し、これをコールセンタのオペレータに閲覧させる（Ｓ１５）。
【００４４】
ＩＤリストを閲覧したオペレータは、次いで個人情報を取得する。そのためのフローを図１６に示す。オペレータからＩＤ１が割符システム１に入力されると（Ｓ２１）、割符システム１は、データ検索部１３が、検索条件と分割・結合ルールとに基づいてＩＤ１を３つのキーＩＤ１＿１，ＩＤ１＿２，ＩＤ１＿３に分割し、これらをＤＢシステム２，３，４宛に出力する（Ｓ２２）。ＤＢシステム２，３，４は、それぞれ自己のＤＢ２１，３１，４１から該当する個人情報１＿１〜個人情報１＿３を割符システム１のデータ検索部１３に返送する（Ｓ２３）。データ検索部１３は、受け取った個人情報１＿１〜個人情報１＿３をデータ結合部１４に渡す（Ｓ２４）。データ結合部１４は、これらを分割・結合ルールに従ってデータ結合してＩＤ１に対応する個人情報１を復元し、これをコールセンタのオペレータに閲覧させる（Ｓ２５）。
以上のデータ等の流れは、図１３下段及び中段の（１）〜（６）に示されるものとなる。
【００４５】
なお、個人情報１は、オペレータが使用するときのみ表示し、その個人情報１を使用した連絡業務が終わった時点で速やかにそれを破棄する。このようにすることで、個人情報１の漏洩リスクを最低限にすることができる。つまり、コールセンタシステム５において、個人情報として成立している時間を最小限にする。コールセンタシステム５は、個人情報を引き出すための最小限の情報（電話番号、キー）のみを管理し、個人情報そのものは、管理しないのである。コールセンタシステム５では、また、オペレータの１操作当たり１件の個人情報しか復元しない。このようにして、コールセンタでの情報漏洩をも図っている。
【００４６】
このように、本実施形態の電子情報管理システムによれば、安全性の高いデータセンタ・ネットワークを実現することができる。
本実施形態は以上のとおりであるが、本発明は、上記の実施形態の例に限らず、種々の形態での実施が可能である。例えば、上記の実施形態では、１レコード３フィールドの個人情報の例を示したが、レコード内のフィールド数、つまり１つの個人情報を構成する要素データ数は任意であっても良い。
【００４７】
また、上記の実施形態では、割符データを、地理的に離れた複数のＤＢセンタ２，３，４に分散して保存する場合の例を示したが、割符データの一部を複数のクライアント装置６で持ち合い、１件毎に各クライアント装置６から必要な割符データを渡しあって連携業務を行う形態も本発明によれば可能である。
【００４８】
また、上記の実施形態では、分割ツール６０をクライアント装置６に設けた場合の例を示したが、クライアント装置６がアクセス可能なインターネット等の広域ネットワーク上に割符システム１の機能を有するセキュリティサーバを設け、このセキュリティサーバに、さらに、分割ツール６０の機能を併有させる構成も可能である。
すなわち、セキュリティサーバに、クライアント装置６からの個人情報の入力を受け付ける機能と、入力された個人情報を例えばそのクライアント装置６の操作者の指示に基づいて複数の割符データに変換する機能と、これらの割符データをそれぞれ異なるＤＢないしデータファイルに分散して保存するとともに複数の割符データの結合を可能にする分割・結合ルールを上記のＤＢないしデータファイルとは別のセキュリティ領域に保存する機能とを持たせるようにしても良い。
【００４９】
あるいは、割符システム１の機能を、分割ツール６０を有するクライアント装置６に併有させる構成も可能である。
【００５０】
また、上記の実施形態では、クライアント企業の個人情報を例に挙げて説明したが、本発明は、個人情報に限らず、それぞれ単独でその意味を認識可能な複数の要素データを有する電子情報全般に適用が可能である。例えば、文字データのみならず、音データ、画像データ、あるいは、これらを組み合わせた所謂マルチメディアデータについても本発明を適用して、漏洩したときのフェイルセーフを図ることができる。
【図面の簡単な説明】
【００５１】
【図１】本発明の一実施形態である電子情報管理システムの全体構成図。
【図２】この実施形態による割符システムの機能構成図。
【図３】この実施形態によるクライアント装置の機能構成図。
【図４】（ａ）は１レコード３フィールドから成る個人情報、（ｂ）はフィールドデータの例。
【図５】フィールドデータの分配した符号化データの例を示した図。
【図６】図５に示した符号化データから得る文字化データの例を示した図。
【図７】４つの符号化データから変換した３つの文字列データの例を示した図。
【図８】フィールド毎のＩＤの付与例を示した図。
【図９】（ａ）は検索文字列、（ｂ）は各テーブルのフィールドに記録される文字列の例を示した図。
【図１０】１フィールド目が「東京都」の前方一致、又は、２フィールド目が「日本ラッド株式会社」の全文一致の検索条件式を作成する場合の手順例を示す図。
【図１１】検索ＳＱＬ文を実行することにより取得される割符データの例を示した図。
【図１２】検索結果を統合することにより電話番号を復元した状態を示した図。
【図１３】電子情報管理システムにおける各種データ、パラメータ等の流れを示した全体図。
【図１４】個人情報の分割フローの概略図。
【図１５】ＩＤ一覧取得フロー図。
【図１６】個人情報取得フロー図。
【符号の説明】
【００５２】
１・・・割符システム、２,３，４・・・ＤＢセンタ、５・・・コールセンタシステム、６・・・クライアント装置、１１・・・割符システムのデータ入力部、割符システムのデータ出力部、１３・・・データ検索部、１４・・・データ結合部、１５・・・パラメータ等記録部、１６・・・検索結果記録部、６０・・・分割ツール、６１・・・分割ツールのデータ入力部、分割ツールのデータ出力部、６３・・・割符データ生成部、６５・・・パラメータ等記録部。
【図１】
2007140869.tif 000003
【図２】
2007140869.tif 000004
【図３】
2007140869.tif 000005
【図４】
2007140869.tif 000006
【図５】
2007140869.tif 000007
【図６】
2007140869.tif 000008
【図７】
2007140869.tif 000009
【図８】
2007140869.tif 000010
【図９】
2007140869.tif 000011
【図１０】
2007140869.tif 000012
【図１１】
2007140869.tif 000013
【図１２】
2007140869.tif 000014
【図１３】
2007140869.tif 000015
【図１４】
2007140869.tif 000016
【図１５】
2007140869.tif 000017
【図１６】
2007140869.tif 000018