(57)【要約】【課題】記憶されている秘密情報の漏洩及び送信される秘密情報の漏洩によるリスクを低減することの可能な仕組みを提供すること。【解決手段】個人情報サービスサーバ１０１が秘密情報を複数の割符データに分割し、ストレージサーバ１０２に記憶させる。利用者アプリサーバ１１２からの要求を受け付けると、個人情報サービスサーバ１０１はストレージサーバ１０２から複数の割符データを取得して、秘密情報を復元する。復元された秘密情報を暗号化し、通信経路の数に応じた複数の割符データに分割し、分割された複数の割符データを複数の通信経路でそれぞれ送信する。【選択図】図４
2016151797.tif 000002
【特許請求の範囲】
【請求項１】
秘密情報を複数のデータに分割する第１のデータ分割手段と、
前記第１のデータ分割手段で分割された複数のデータを記憶する記憶手段と、
前記記憶手段に記憶された複数のデータを用いて前記秘密情報を復元する第１の秘密情報復元手段と、
前記第１の秘密情報復元手段で復元された秘密情報を暗号化する暗号化手段と、
前記暗号化手段で暗号化された秘密情報を通信経路の数に応じた複数のデータに分割する第２のデータ分割手段と、
前記第２のデータ分割手段で分割された複数のデータを複数の通信経路でそれぞれ送信する送信手段と
を備えることを特徴とする情報処理システム。
【請求項２】
前記情報処理システムは、
前記送信手段で送信された複数のデータを受信する受信手段と、
前記受信手段で受信した複数のデータを用いて前記暗号化手段で暗号化された秘密情報を復元する第２の秘密情報復元手段と、
前記第２の秘密情報復元手段で復元された秘密情報であって、前記暗号化手段で暗号化された秘密情報を復号する復号手段と
を更に備えることを特徴とする請求項１に記載の情報処理システム。
【請求項３】
前記第１のデータ分割手段で分割された複数のデータを用いてパリティデータを生成するパリティデータ生成手段を更に備え、
前記第１の秘密情報復元手段は、前記記憶手段に記憶された複数のデータでは秘密情報を復元できない場合には、前記パリティデータ生成手段で生成されたパリティデータと前記記憶手段に記憶された複数のデータとを用いて、必要なデータを復元することを特徴とする請求項１または２に記載の情報処理システム。
【請求項４】
前記暗号化手段は、前記第１の秘密情報復元手段で復元された秘密情報を公開鍵で暗号化し、
前記復号手段は、前記暗号化手段で暗号化された秘密情報を前記公開鍵に対応する秘密鍵で復号することを特徴とする請求項２に記載の情報処理システム。
【請求項５】
前記暗号化手段は、前記第１の秘密情報復元手段で復元された複数の秘密情報を含む秘密情報リストを暗号化し、
前記第２のデータ分割手段は、前記暗号化手段で暗号化された秘密情報リストを通信経路の数に応じた複数のデータに分割することを特徴とする請求項１乃至４のいずれか１項に記載の情報処理システム。
【請求項６】
前記記憶手段は、前記第１のデータ分割手段で分割された複数のデータを複数のストレージに分散して記憶することを特徴とする請求項１乃至５のいずれか１項に記載の情報処理システム。
【請求項７】
秘密情報を複数のデータに分割する第１のデータ分割手段と、
第１のデータ分割手段で分割された複数のデータを記憶する記憶手段とを備える情報処理システムの制御方法であって、
前記情報処理システムの第１の秘密情報復元手段が、前記記憶手段に記憶された複数のデータを用いて前記秘密情報を復元する第１の秘密情報復元ステップと、
前記情報処理システムの暗号化手段が、前記第１の秘密情報復元ステップで復元された秘密情報を暗号化する暗号化ステップと、
前記情報処理システムの第２のデータ分割手段が、前記暗号化ステップで暗号化された秘密情報を通信経路の数に応じた複数のデータに分割する第２のデータ分割ステップと、
前記情報処理システムの送信手段が、前記第２のデータ分割ステップで分割された複数のデータを複数の通信経路でそれぞれ送信する送信ステップと
を備えることを特徴とする情報処理システムの制御方法。
【請求項８】
秘密情報を複数のデータに分割する第１のデータ分割手段と、
第１のデータ分割手段で分割された複数のデータを記憶する記憶手段とを備える情報処理システムの制御方法を実行可能なプログラムであって、
前記情報処理システムを、
前記記憶手段に記憶された複数のデータを用いて前記秘密情報を復元する第１の秘密情報復元手段と、
前記第１の秘密情報復元手段で復元された秘密情報を暗号化する暗号化手段と、
前記暗号化手段で暗号化された秘密情報を通信経路の数に応じた複数のデータに分割する第２のデータ分割手段と、
前記第２のデータ分割手段で分割された複数のデータを複数の通信経路でそれぞれ送信する送信手段
として機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
記憶されている秘密情報の漏洩及び送信される秘密情報の漏洩によるリスクを低減することの可能な情報処理システム、その制御方法、及びプログラムに関する。
【背景技術】
【０００２】
従来、特定の個人を識別することの可能な情報（以下、個人情報という。）や企業の機密情報といった秘密情報の漏洩が問題となっている。特に、こうした情報はコンピュータで記憶・管理されているため、コンピュータのセキュリティが万全でないと悪意のある者が情報を漏洩させてしまう可能性がある。
【０００３】
そこで、個人情報等を適切な利用者にのみ利用させる仕組みとして、特許文献１の仕組みがある。特許文献１には、公開鍵を用いて利用者向けの情報を暗号化しておき、利用者のＩＣカードを検知すると、当該ＩＣカードに対応する秘密鍵を利用して、暗号化された情報を復号することの可能な仕組みが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−２３７８５０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
確かに暗号化された情報であれば、通信を傍受されたとしても簡単に復号されることはないが、悪意のある者に復号するための鍵を入力されてしまうとたとえ暗号化されていても情報が漏洩してしまうことになる。
【０００６】
また、情報の漏洩は通信によるものだけでなく、情報を管理している管理者等がコンピュータから情報を取得して漏洩させてしまうこともある。いわゆる内部漏洩である。この場合には、たとえ情報を暗号化しておいたとしても、どの鍵を使えば復号できるのかが知られているため、容易に復号されて情報が漏洩される。
【０００７】
つまり、通信による情報の漏洩のリスクと、コンピュータに記憶されている情報の内部漏洩のリスクとを低減しなければ、セキュリティを高めることにはならない。
【０００８】
そこで本発明は、記憶されている秘密情報の漏洩及び送信される秘密情報の漏洩によるリスクを低減することの可能な仕組みを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記の目的を達成するために本発明の情報処理システムは、秘密情報を複数のデータに分割する第１のデータ分割手段と、前記第１のデータ分割手段で分割された複数のデータを記憶する記憶手段と、前記記憶手段に記憶された複数のデータを用いて前記秘密情報を復元する第１の秘密情報復元手段と、前記第１の秘密情報復元手段で復元された秘密情報を暗号化する暗号化手段と、前記暗号化手段で暗号化された秘密情報を通信経路の数に応じた複数のデータに分割する第２のデータ分割手段と、前記第２のデータ分割手段で分割された複数のデータを複数の通信経路でそれぞれ送信する送信手段とを備えることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、記憶されている秘密情報の漏洩及び送信される秘密情報の漏洩によるリスクを低減することが可能となる。
【図面の簡単な説明】
【００１１】
【図１】情報処理システムのシステム構成の一例を示す図である。
【図２】情報処理システムにおける各種装置のハードウェア構成の一例を示す図である。
【図３】情報処理システムにおける各種装置の機能構成の一例を示す図である。
【図４】本実施形態の概要を示す図である。
【図５】個人情報を割符データに分けてストレージサーバ１０２に送信する一連の処理の流れを示すフローチャートである。
【図６】利用者アプリサーバ１１２からのリクエストに応じて個人情報リストを送信する一連の処理の流れを示すフローチャートである。
【図７】個人情報復元処理の詳細な処理の流れを示すフローチャートである。
【図８】割符データを受信して個人情報リストを取得する一連の処理の流れを示すフローチャートである。
【図９】個人情報リスト９００及び割符データ管理テーブル９１０のテーブル構成の一例を示す図である。
【発明を実施するための形態】
【００１２】
以下、図面を参照して、本発明の実施形態を詳細に説明する。
【００１３】
図１は、本実施形態における情報処理システムのシステム構成の一例を示す図である。本実施形態の情報処理システムは、個人情報サービスドメイン１００と利用者ドメイン１１０に分けられており、それぞれＷＡＮ１２０を介して相互に通信可能に接続されている。尚、ＷＡＮはＷｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋの略称である。
【００１４】
個人情報サービスドメイン１００では、個人情報サービスサーバ１０１、ストレージサーバ１０２、及び復元サービスサーバ１０３がＬＡＮ１０４を介して相互に通信可能に接続されている。また、利用者ドメイン１１０では、割符サービスサーバ１１１、及び利用者アプリサーバ１１２がＬＡＮ１１３を介して相互に通信可能に接続されている。
【００１５】
尚、図１のネットワーク上に接続される各種端末あるいはサーバの構成は一例であり、用途や目的に応じて様々な構成例がある。
【００１６】
個人情報サービスサーバ１０１は、利用者の個人情報を保管するためのサービスを提供するサーバである。個人情報サービスサーバ１０１が、利用者アプリサーバ１１２からのリクエストに応じて、預かっている個人情報を利用者ドメイン１１０内の装置に提供する。尚、本実施形態では個人情報を例に挙げて説明を行うが、個人情報に限らない。第三者に漏洩しては困る情報（例えば、企業の機密情報やクレジットカード等の決済情報やパスワード等、秘密情報）であればなんでもよい。
【００１７】
ストレージサーバ１０２は、利用者の個人情報を保管するサーバである。ストレージサーバ１０２で保管する個人情報は個人情報サービスサーバ１０１によって分割され、複数のストレージ（後述する外部メモリ２１１）に分散して保存される。本実施形態では、個人情報サービスサーバ１０１によって分割されたデータのことを、割符データと称する。ストレージサーバ１０２は、物理的に異なるサーバであってもよいし、仮想化技術により論理的に分けられたサーバであってもよい。また、物理的に１つまたは複数のサーバに複数のストレージを設ける形態であってもよい。尚、本実施形態では、４つのストレージサーバ１０２とこれらに対応する４つのストレージを用いるものとして説明するが、ストレージサーバ１０２の数はこれに限らない。
【００１８】
復元サービスサーバ１０３は、ストレージサーバ１０２に保管されている割符データのいずれかが破損・消失してしまった時のために、破損・消失した割符データを復元するサービスを提供するサーバである。ストレージサーバ１０２には、割符データから生成されるパリティデータが保管されている。パリティデータは、ある個人情報を分割することで生成されるすべての割符データの排他的論理和（すなわち、ＸＯＲ）によって算出されるデータである。つまり、破損・消失してしまった割符データ以外のすべての割符データとパリティデータとの排他的論理和を計算することで、破損・消失してしまった割符データを復元することができる。
【００１９】
割符サービスサーバ１１１は、個人情報サービスサーバ１０１から送信された割符データを受信し、利用者アプリサーバ１１２からのリクエストに応じてこれを利用者アプリサーバ１１２に送信するためのサーバである。個人情報サービスサーバ１０１は、割符サービスサーバ１１１と利用者アプリサーバ１１２のそれぞれに割符データを送信する。すなわち、通信経路を複数設けることでセキュリティを高めている。
【００２０】
利用者アプリサーバ１１２は、個人情報サービスサーバ１０１のサービスを利用する利用者が有するアプリケーションサーバである。利用者アプリサーバ１１２は、個人情報サービスサーバ１０１と割符サービスサーバ１１１に対して利用者が保管している個人情報のリスト（以下、個人情報リストという。）を送信するようリクエストを送信する。これに応じて個人情報サービスサーバ１０１と割符サービスサーバ１１１から送信された割符データを結合することで、個人情報リストを取得する。
【００２１】
以上説明した各サーバは、１台であってもよいし複数台で構成されてもよい。また、あるサーバの機能の一部またはすべてを他のサーバが備えることで、図１に示すシステム構成とは異なる構成としてもよい。そのため、本発明における情報処理システムとは、複数の装置（サーバ）によって動作する仕組みに限らず、単体の装置（サーバ）によって動作する仕組みも含むものとする。
【００２２】
図２は、本実施形態における各サーバのハードウェア構成の一例を示す図である。
【００２３】
ＣＰＵ２０１は、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。
【００２４】
また、ＲＯＭ２０２あるいは外部メモリ２１１には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ  ／  ＯｕｔｐｕｔＳｙｓｔｅｍ）やオペレーティングシステムプログラム（以下、ＯＳという。）が記憶されている。また外部メモリ２１１には、各サーバが実行する機能を実現するために必要な各種プログラム等が記憶されている。ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。
【００２５】
ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＡＭ２０３にロードして、プログラムを実行することで各種動作を実現するものである。
【００２６】
また、入力コントローラ２０５は、キーボードやマウス等のポインティングデバイスといった入力デバイス２０９からの入力を制御する。
【００２７】
ビデオコントローラ２０６は、ディスプレイ２１０等の表示器への表示を制御する。表示器はＣＲＴや液晶ディスプレイでも構わない。
【００２８】
メモリコントローラ２０７は、ハードディスクやフレキシブルディスク或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるカード型メモリ等の外部メモリ２１１へのアクセスを制御する。外部メモリ２１１（記憶手段）は、ブートプログラム、ブラウザソフトウエア、各種のアプリケーション、フォントデータ、ユーザファイル、編集ファイル、各種データ等を記憶する。
【００２９】
通信Ｉ／Ｆコントローラ２０８は、ネットワークを介して、外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いたインターネット通信等が可能である。
【００３０】
尚、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ディスプレイ２１０上での表示を可能としている。また、ＣＰＵ２０１は、ディスプレイ２１０上の不図示のマウスカーソル等でのユーザ指示を可能とする。
【００３１】
本発明の各サーバが後述する各種処理を実行するために用いられる各種プログラム等は外部メモリ２１１に記録されており、必要に応じてＲＡＭ２０３にロードされることによりＣＰＵ２０１によって実行されるものである。さらに、本発明に係わるプログラムが用いる定義ファイルや各種情報テーブルは外部メモリ２１１に格納されている。
【００３２】
図３は、本実施形態における各サーバの機能構成の一例を示す図である。尚、図３に示す機能構成は一例であり、用途や目的に応じて様々な構成例がある。
【００３３】
個人情報サービスサーバ１０１は機能部として、送受信制御部３０１、個人情報一時記憶部３０２、分割制御部３０３、パリティデータ制御部３０４、公開鍵記憶部３０５、結合制御部３０６、個人情報リスト生成制御部３０７、及び暗号化制御部３０８を備える。
【００３４】
送受信制御部３０１は、他のサーバと各種データを送受信するための機能部である。個人情報サービスサーバ１０１の通信Ｉ／Ｆコントローラ２０８を介して、他のサーバに各種データを送信または他のサーバから各種データを受信する。
【００３５】
個人情報一時記憶部３０２は、利用者から保管するために送信された個人情報リストを一時記憶するための機能部である。個人情報一時記憶部３０２は、受信した個人情報リストをＲＡＭ２０３に一時記憶し、所定の処理が終了したらＲＡＭ２０３からこれを削除する。
【００３６】
分割制御部３０３は、個人情報一時記憶部３０２によって一時記憶された個人情報リストを個人情報ごとに分割するための機能部である。分割制御部３０３は、個人情報を前述した割符データに分ける。何個の割符データに分割するかは、あらかじめ決められた設定に従うものとする。また、分割制御部３０３は、暗号化制御部３０８によって暗号化された個人情報リストを分割し、割符データに分けるための機能部である。
【００３７】
パリティデータ制御部３０４は、分割制御部３０３によって分割された割符データを用いてパリティデータを生成するための機能部である。また、必要に応じて割符データに対応するパリティデータを取得するための機能部である。
【００３８】
公開鍵記憶部３０５は、復元サービスサーバ１０３で保持する秘密鍵に対応する公開鍵と、利用者アプリサーバ１１２で保持する秘密鍵に対応する公開鍵とを記憶するための機能部である。
【００３９】
結合制御部３０６は、ある個人情報を構成するすべての割符データをストレージサーバ１０２から取得し、これらを結合するための機能部である。これにより分割された割符データから個人情報を復元する。
【００４０】
個人情報リスト生成制御部３０７は、結合制御部３０６によって割符データを結合することにより復元された個人情報を複数含むリストである個人情報リストを生成するための機能部である。
【００４１】
暗号化制御部３０８は、利用者アプリサーバ１１２で保持する秘密鍵に対応する公開鍵を公開鍵記憶部３０５から取得し、これを用いて個人情報リスト生成制御部３０７で生成された個人情報リストを暗号化するための機能部である。
【００４２】
ストレージサーバ１０２は、送受信制御部３１１、及び割符データ記憶部３１２を備える。
【００４３】
送受信制御部３１１は、個人情報サービスサーバ１０１と各種データを送受信するための機能部である。ストレージサーバ１０２の通信Ｉ／Ｆコントローラ２０８を介して、個人情報サービスサーバ１０１に各種データを送信、または個人情報サービスサーバ１０１から各種データを受信する。
【００４４】
割符データ記憶部３１２（記憶手段）は、個人情報サービスサーバ１０１から送信された割符データをストレージ、つまり外部メモリ２１１に記憶するための機能部である。個人情報サービスサーバ１０１からのリクエストに応じて、記憶されている割符データを取得して、個人情報サービスサーバ１０１に送信する。
【００４５】
復元サービスサーバ１０３は機能部として、送受信制御部３２１、秘密鍵記憶部３２２、復号制御部３２３、及び復元制御部３２４を備える。
【００４６】
送受信制御部３２１は、個人情報サービスサーバ１０１と各種データを送受信するための機能部である。復元サービスサーバ１０３の通信Ｉ／Ｆコントローラ２０８を介して、個人情報サービスサーバ１０１に各種データを送信、または個人情報サービスサーバ１０１から各種データを受信する。
【００４７】
秘密鍵記憶部３２２は、個人情報サービスサーバ１０１で保持する公開鍵に対応する秘密鍵を記憶するための機能部である。
【００４８】
復号制御部３２３は、個人情報サービスサーバ１０１で保持する公開鍵に対応する秘密鍵を秘密鍵記憶部３２２から取得し、これを用いて個人情報サービスサーバ１０１で暗号化されたパリティデータを復号するための機能部である。
【００４９】
復元制御部３２４は、復号制御部３２３で復号されたパリティデータと個人情報サービスサーバ１０１から取得した割符データとを用いて、破損・消失してしまった割符データを復元するための機能部である。復元するためには、パリティデータと割符データの排他的論理和を求めればよい。
【００５０】
割符サービスサーバ１１１は機能部として、送受信制御部３３１、割符データ記憶部３３２、保存期間制御部３３３を備える。
【００５１】
送受信制御部３３１は、個人情報サービスサーバ１０１及び利用者アプリサーバ１１２と各種データを送受信するための機能部である。割符サービスサーバ１１１の通信Ｉ／Ｆコントローラ２０８を介して、各サーバに各種データを送信、または各サーバから各種データを受信する。
【００５２】
割符データ記憶部３３２は、個人情報サービスサーバ１０１から送信された割符データを一時的に記憶するための記憶部である。また、割符データを記憶してから保存期間制御部３３３で管理する保存期間を超過した場合には、当該割符データを削除する。
【００５３】
保存期間制御部３３３は、個人情報サービスサーバ１０１から送信された割符データが割符データ記憶部３３２によって記憶されてから保存期間を超過したかどうかを確認し、超過している場合には、割符データ記憶部３３２に削除を指示するための機能部である。
【００５４】
利用者アプリサーバ１１２は機能部として、送受信制御部３４１、リクエスト制御部３４２、結合制御部３４３、秘密鍵記憶部３４４、復号制御部３４５、及び個人情報リスト記憶部３４６を備える。
【００５５】
送受信制御部３４１は、個人情報サービスサーバ１０１及び割符サービスサーバ１１１と各種データを送受信するための機能部である。利用者アプリサーバ１１２の通信Ｉ／Ｆコントローラ２０８を介して、各サーバに各種データを送信、または各サーバから各種データを受信する。
【００５６】
リクエスト制御部３４２は、個人情報サービスサーバ１０１及び割符サービスサーバ１１１に対して、個人情報の取得や割符データの取得を要求するための機能部である。
【００５７】
結合制御部３４３は、リクエスト制御部３４２によるリクエストに応じて取得した複数の割符データを結合するための機能部である。これにより、個人情報サービスサーバ１０１で分割された暗号化済みの個人情報リストを復元する。
【００５８】
秘密鍵記憶部３４４は、個人情報サービスサーバ１０１で保持する公開鍵に対応する秘密鍵を記憶するための機能部である。
【００５９】
復号制御部３４５は、個人情報サービスサーバ１０１で保持する公開鍵に対応する秘密鍵を秘密鍵記憶部３４４から取得し、これを用いて個人情報サービスサーバ１０１で暗号化された個人情報リストを復号するための機能部である。
【００６０】
個人情報リスト記憶部３４６は、復号制御部３４５で復号された個人情報リストを記憶するための機能部である。以上が本実施形態における各サーバの機能構成の一例である。
【００６１】
次に、図４を参照して本実施形態における処理の概要を説明する。
【００６２】
まず、個人情報サービスサーバ１０１がＲＡＭ２０３に一時記憶している個人情報リストを取得し、これを個人情報ごとに所定の数の割符データに分割する。ここでは、例えば１つの個人情報を３つの割符データ（割符データＡ、割符データＢ、割符データＣ）に分割する（図４の４０１）。そして、分割された割符データ（割符データＡ、割符データＢ、割符データＣ）を用いてパリティデータを生成する。分割された割符データが３つなのであれば、この３つの割符データ（割符データＡ、割符データＢ、割符データＣ）の排他的論理和を算出して、これら３つの割符データに対応するパリティデータを生成する。そして、復元サービスサーバ１０３が有する秘密鍵に対応する公開鍵でこれを暗号化しておく（図４の４０２）。
【００６３】
そして、割符データとパリティデータとをストレージサーバ１０２に送信し、ストレージごとにデータを分散して格納する（図４の４０３）。このように管理することで、セキュリティが向上する。すなわち、１つの個人情報を得るには複数のストレージから割符データを取得し、更に取得した割符データを結合しなければならないためである。また、パリティデータも保管しておくことでいずれかのストレージまたは割符データが破損・消失してしまったとしても、復元することが可能となる。更には、パリティデータは復元サービスサーバ１０３が有する秘密鍵に対応する公開鍵で暗号化されているので、復元サービスサーバ１０３を用いないと、復号することができないので更なるセキュリティの向上となる。
【００６４】
いずれかのストレージまたは割符データが破損・消失してしまった場合には、復元サービスサーバ１０３がパリティデータを用いて復元する（図４の４０４）。例えば、割符データＡ、割符データＢ、割符データＣのうち、割符データＣが消失してしまった場合には、これらに対応するパリティデータを復元サービスサーバ１０３の秘密鍵を用いてパリティデータを復号する。そして、割符データＡ、割符データＢ、パリティデータの３つの排他的論理和を算出し、割符データＣが生成する。こうして破損・消失した割符データを復元する。
【００６５】
さて、割符データとして保管している個人情報の取得要求を個人情報サービスサーバ１０１が受け付けると、ストレージサーバ１０２に保管している割符データを取得する。そして、取得した割符データを結合して分割前の状態に復元する（図４の４０５）。このとき、取得する割符データは、要求された個人情報に対応する割符データを取得する。
【００６６】
そして、個人情報サービスサーバ１０１が復元された複数の個人情報を含めた個人情報リストを、利用者アプリサーバ１１２が有する秘密鍵に対応する公開鍵で暗号化し、暗号化された個人情報リストを通信経路の数に応じた数に分割する（図４の４０６）。ここでは、２つの通信経路を用いて分割された個人情報リストを送信するので、個人情報リストを２つに分割する。つまり、２つの割符データ（割符データＤ、割符データＥ）が生成されることになる。
【００６７】
２つの割符データが生成されたら、これらを割符サービスサーバ１１１と利用者アプリサーバ１１２に送信する（図４の４０７）。このときＳＳＬ−ＶＰＮ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔ  Ｌａｙｅｒ  Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）によって仮想回線を構築し、この回線を用いて割符データを送信することでセキュリティを高めることが望ましい。
【００６８】
利用者アプリサーバ１１２は割符データを受信すると、もう片方の割符データを取得するためのリクエストを割符サービスサーバ１１１に送信する。これに応じて割符サービスサーバ１１１は、自身が受信した割符データを利用者アプリサーバ１１２に送信する。そして、利用者アプリサーバ１１２は受信した２つの割符データを結合し、利用者アプリサーバ１１２が有する秘密鍵で復号する（図４の４０８）。こうすることで、個人情報リストを取得する。このように、暗号化したものを分割して送信することでセキュリティを高めている。
【００６９】
従来であれば、複数の割符データをそのまま利用者アプリサーバ１１２に送信し、これを結合して復元したり、暗号化された個人情報リストを送信し、送信先で復号したりすることでセキュリティを高めていた。しかしながら、保存する情報が個人情報である場合にはよりセキュリティを高めたり、データの破損・消失を確認したりする必要がある。そのため本実施形態では、割符データを送信する前に復元可能かどうかを個人情報サービスサーバ１０１で確認し、問題なく復元できるのであればこれを暗号化した上で分割して、複数の通信経路で送信することで、更なるセキュリティの向上を図っている。以下、図４の処理概要を、フローチャートを用いて詳細に説明する。
【００７０】
図５は、個人情報を割符データに分けてストレージサーバ１０２に送信する一連の処理の流れを示すフローチャートである。尚、図５のフローチャートが示す処理の流れはあくまで一例であり、これに限らない。
【００７１】
ステップＳ５０１では、個人情報サービスサーバ１０１のＣＰＵ２０１は、個人情報一時記憶部３０２によってＲＡＭ２０３に記憶されている個人情報リストから個人情報を取得する。個人情報サービスサーバ１０１は、利用者アプリサーバ１１２から個人情報リストをあらかじめ受信しておく。
【００７２】
個人情報リスト（秘密情報リスト）の一例を図９に示す。個人情報リスト９００は、例えば社員番号９０１と個人番号９０２とを含む。社員番号９０１は、個人番号が示す社員の識別番号である。個人番号９０２は、個人を識別するための番号（いわゆるマイナンバー）である。こうした個人情報リストを個人情報サービスサーバ１０１のＲＡＭ２０３に一時記憶しておき、ステップＳ５０１でこれを取得する。尚、本実施形態でいう個人情報は個人番号９０２として説明を行うが、個人情報リストの１レコード分や、社員番号９０１及び個人番号９０２のいずれかであってもよい。
【００７３】
ステップＳ５０２では、個人情報サービスサーバ１０１のＣＰＵ２０１は、分割制御部３０３の機能により、ステップＳ５０１で取得した個人情報を所定のルールに従って分割する（第１のデータ分割手段）。これにより、個人情報を複数の割符データに分割する。例えば、個人情報が１２桁で３つの割符データに分割するのであれば、４桁ごとに分割したり、ｎ桁目・ｎ＋１桁目、ｎ＋２桁目を抽出して３つに分割したり、ランダムな桁数を抽出して３つの割符データに分割したりする。分割するための所定のルールについては、様々な方法があるため、個人情報サービスサーバ１０１の管理者があらかじめ決定してもよいし、個人情報を保管する利用者が決定してもよい。
【００７４】
ステップＳ５０３では、個人情報サービスサーバ１０１のＣＰＵ２０１は、パリティデータ制御部３０４の機能により、分割した割符データをすべて用いてパリティデータを生成する（パリティデータ生成手段）。１つの個人情報を分割することで生成される割符データをすべて用いて、当該割符データに対応するパリティデータを生成する。パリティデータの生成方法については前述した通りである。
【００７５】
ステップＳ５０４では、個人情報サービスサーバ１０１のＣＰＵ２０１は、公開鍵記憶部３０５により記憶されている、復元サービスサーバ１０３が有する秘密鍵に対応する公開鍵で、ステップＳ５０３で生成されたパリティデータを暗号化する。パリティデータを暗号化しておくことで、悪意のある者がパリティデータと割符データとで足りない割符データを復元できないようにする。
【００７６】
ステップＳ５０５では、個人情報サービスサーバ１０１のＣＰＵ２０１は、送受信制御部３０１の機能により、生成した割符データとパリディデータとをストレージサーバ１０２に送信する。このとき、割符データとパリティデータに対応する社員番号９０１をあわせて送信する。ステップＳ５０５により送信された割符データとパリティデータとは、ストレージサーバ１０２によって受信され、同じく受信した社員番号９０１と対応づけてそれぞれ別のストレージに格納される。
【００７７】
図９にストレージサーバ１０２に記憶される割符データ管理テーブル９１０のテーブル構成の一例を示す。ストレージサーバ１０２は、受信した割符データやパリティデータを割符データ管理テーブル９１０に示すように、社員番号９０１と対応づけて管理している。社員番号９１１は、社員番号９０１に対応する情報が格納される項目である。格納データ９１２は、ストレージに格納されている割符データやパリティデータを示す項目である。本実施形態では、４つのストレージで割符データとパリティデータが分散管理されるので、図９ではストレージ１からストレージ４の４つの割符データ管理テーブル９１０でその旨を示している。ストレージ１からストレージ３には、個人番号９０２の割符データが格納データ９１２にそれぞれ格納されている。ストレージ４には、割符データから算出されたパリティデータが格納データ９１２に格納されている。
【００７８】
ステップＳ５０６では、個人情報サービスサーバ１０１のＣＰＵ２０１は、個人情報リストに含まれるすべての個人情報に対して、ステップＳ５０１乃至ステップＳ５０５の処理が完了したか否かを判定する。すべての個人情報に対して処理が完了したと判定した場合には、本一連の処理を終了する。そうでない場合、つまり未処理の個人情報がある場合には、ステップＳ５０１に処理を戻し、未処理の個人情報に対してステップＳ５０１乃至ステップＳ５０５の処理を実行する。
【００７９】
このようにして、個人情報リストに含まれる個人情報を割符データとして分割し、これを複数のストレージに分散して保管する。
【００８０】
図６は、利用者アプリサーバ１１２からのリクエストに応じて個人情報リストを送信する一連の処理の流れを示すフローチャートである。尚、図６のフローチャートが示す処理の流れはあくまで一例であり、これに限らない。
【００８１】
ステップＳ６０１では、個人情報サービスサーバ１０１のＣＰＵ２０１は、送受信制御部３０１の機能により、利用者アプリサーバ１１２から個人情報リストの取得要求（リクエスト）を受け付けたか否かを判定する。利用者アプリサーバ１１２からリクエストを受け付けたと判定した場合には、ステップＳ６０２に処理を進める。そうでない場合には、リクエストを受け付けるまで待機する。
【００８２】
ステップＳ６０２では、個人情報サービスサーバ１０１のＣＰＵ２０１は、リクエストのあった個人情報をストレージサーバ１０２から取得し、これを結合することで復元する処理を実行する（第１の秘密情報復元手段）。個人情報復元処理の詳細は、後述する図７に示す。
【００８３】
ステップＳ６０３では、個人情報サービスサーバ１０１のＣＰＵ２０１は、ステップＳ６０２で実行された個人情報復元処理により、個人情報の復元が成功したか否かを判定する。個人情報の復元が成功したか否かの判定は、個人情報復元処理の処理結果として個人情報が生成さていれば復元が成功したと判定する。そうでなければ復元されていないので、復元が失敗したと判定する。個人情報の復元が成功したと判定した場合には、ステップＳ６０４に処理を進める。個人情報の復元が成功したと判定しなかった場合、つまり失敗したと判定した場合には、ステップＳ６０５に処理を進める。
【００８４】
ステップＳ６０４では、個人情報サービスサーバ１０１のＣＰＵ２０１は、個人情報リスト生成制御部３０７の機能により、個人情報リストに復元した個人情報を追加する。個人情報リストが存在しないのであれば、個人情報リスト生成制御部３０７の機能によりこれを生成した上で個人情報を追加する。また、追加する際にはリクエストのあった社員番号と対応づけて追加する。
【００８５】
ステップＳ６０５では、個人情報サービスサーバ１０１のＣＰＵ２０１は、個人情報の復元に失敗したので、その旨がわかるように個人情報リストに追加する。例えば、個人情報リストにレコードは生成するが、そのレコードの各項目には空の意味である「ＮＵＬＬ」を入力したり、直接「エラー」という文字列を入力したりすることで、復元が失敗した旨を通知する。エラーの通知方法はこれに限らない。
【００８６】
ステップＳ６０６では、個人情報サービスサーバ１０１のＣＰＵ２０１は、取得を要求されたすべての個人情報について、ステップＳ６０２乃至ステップＳ６０５の処理が完了したか否かを判定する。すべての個人情報について処理が完了したと判定した場合には、ステップＳ６０７に処理を進める。そうでない場合に、すなわち未処理の個人情報がある場合には、ステップＳ６０２に処理を戻す。
【００８７】
ステップＳ６０７では、個人情報サービスサーバ１０１のＣＰＵ２０１は、公開鍵記憶部３０５により記憶されている、利用者アプリサーバ１１２が有する秘密鍵に対応する公開鍵で、生成された個人情報リストを暗号化する（暗号化手段）。このように暗号化しておくことで、悪意のある者によって後述する処理で分割された個人情報リストをすべて入手され、これらを結合されたとしても、秘密鍵がなければ解除できない状態とすることができる。
【００８８】
ステップＳ６０８では、個人情報サービスサーバ１０１のＣＰＵ２０１は、分割制御部３０３の機能により、ステップＳ６０７で暗号化された個人情報リストを分割し、割符データを生成する（第２のデータ分割手段）。このとき、分割する数は個人情報サービスサーバ１０１から利用者アプリサーバ１１２に対して送信するための通信経路の数だけ分割する。本実施形態では、通信経路は２つであるので２つに分割する。本実施形態では、通信経路の数だけ分割するが、送信する回数によって分割してもよい。つまり、２つの通信経路それぞれに対して２つの割符データを送信するという場合には、４つに分割する。
【００８９】
ステップＳ６０９では、個人情報サービスサーバ１０１のＣＰＵ２０１は、送受信制御部３０１の機能により、ステップＳ６０８で生成された割符データのうち、所定の割符データを利用者アプリサーバ１１２に送信する（送信手段）。本実施形態では２つの割符データに分割されているので、片方の割符データを利用者アプリサーバ１１２に送信する。
【００９０】
ステップＳ６１０では、個人情報サービスサーバ１０１のＣＰＵ２０１は、送受信制御部３０１の機能により、ステップＳ６０８で生成された割符データのうち、ステップＳ６０９で送信されなかった割符データを割符サービスサーバ１１１に送信する（送信手段）。本実施形態では２つの割符データに分割されているので、ステップＳ６０９で送信された割符データではなく、もう片方の割符データを割符サービスサーバ１１１に送信する。
【００９１】
ステップＳ６１１では、個人情報サービスサーバ１０１のＣＰＵ２０１は、ステップＳ６０９とステップＳ６１０における個人情報リストの送信が完了したら、暗号化された個人情報リストを削除する。暗号化されているとはいえ、復号されてしまうと個人情報の漏洩につながってしまうため、削除を実行している。
【００９２】
このように、ストレージサーバ１０２に保管されている割符データを結合して個人情報に復元することで個人情報が分割前の状態になるかどうかを確認できる。更には、通信が傍受される可能性を考慮して、暗号化された個人情報リストを分割して送信することでセキュリティを高めている。
【００９３】
図７は、個人情報復元処理の詳細な処理の流れを示すフローチャートである。尚、図７のフローチャートが示す処理の流れはあくまで一例であり、これに限らない。また、図７に示すフローチャート上の破線の矢印はデータの流れを示すものである。
【００９４】
ステップＳ７０１では、個人情報サービスサーバ１０１のＣＰＵ２０１は、送受信制御部３０１の機能により、ストレージサーバ１０２にリクエストのあった個人情報に対応する割符データとパリティデータの取得要求を送信する。例えば、社員番号を含むリクエストを受け付けると、当該社員番号に対応する割符データとパリティデータの取得要求をストレージサーバ１０２に送信する。そしてこれに応じてストレージサーバ１０２から送信された割符データとパリティデータとを受信する。ストレージサーバ１０２は、割符データ管理テーブル９１０で社員番号と格納データとを対応づけて管理しているので、これを用いて割符データ及びパリティデータを取得し、個人情報サービスサーバ１０１に送信すればよい。
【００９５】
ステップＳ７０２では、個人情報サービスサーバ１０１のＣＰＵ２０１は、ステップＳ７０１の処理により、リクエストのあった個人情報を構成する割符データがすべて取得できたか否かを判定する。または、リクエストのあった個人情報を構成する割符データのいずれかが破損していないか否かを判定する。分割された数が３つなら割符データが３つ取得できているはずであるので、３つ取得できていればすべて取得できたと判定し、そうでなければ取得できなかったと判定する。または、割符データをチェックし、従来技術によって破損していないか否かを確認する。リクエストのあった個人情報を構成する割符データがすべて取得できたと判定した場合には、ステップＳ７０３に処理を進める。そうでなければ、ステップＳ７０４に処理を進める。または、割符データが破損していないと判定した場合には、ステップＳ７０３に処理を進め、割符データが破損していると判定した場合には、ステップＳ７０４に処理を進める。
【００９６】
ステップＳ７０３では、個人情報サービスサーバ１０１のＣＰＵ２０１は、結合制御部３０６の機能により、ステップＳ７０１で取得したすべての割符データを結合することで、個人情報を復元する。個人情報の復元が完了したら、個人情報復元処理は終了する。
【００９７】
ステップＳ７０４では、個人情報サービスサーバ１０１のＣＰＵ２０１は、足りない割符データや破損している割符データがあるため、その割符データが復元可能か否かを判定する。足りない割符データまたは破損している割符データが１つであり、それ以外の割符データとパリティデータとが存在すれば復元可能と判定する。足りない割符データまたは破損している割符データが復元可能であると判定した場合には、ステップＳ７０５に処理を進める。そうでない場合、つまり復元可能でないと判定した場合には、個人情報復元処理を終了する。
【００９８】
ステップＳ７０５では、個人情報サービスサーバ１０１のＣＰＵ２０１は、送受信制御部３０１の機能により、ステップＳ７０１で取得した割符データとパリティデータとを復元サービスサーバ１０３に送信し、割符データの復元を要求する。
【００９９】
ステップＳ７０６では、復元サービスサーバ１０３のＣＰＵ２０１は、送受信制御部３２１の機能により、個人情報サービスサーバ１０１から送信された割符データとパリティデータとを受信する。また、これらを用いた割符データの復元要求も受信する。
【０１００】
ステップＳ７０７では、復元サービスサーバ１０３のＣＰＵ２０１は、秘密鍵記憶部３２２により記憶されている、個人情報サービスサーバ１０１が有する公開鍵に対応する秘密鍵で、受信した暗号化済みのパリティデータを復号する。
【０１０１】
ステップＳ７０８では、復元サービスサーバ１０３のＣＰＵ２０１は、復元制御部３２４の機能により、受信した割符データと復号したパリティデータとを用いて、破損・消失している割符データを復元する。割符データの復元方法は、前述した通りである。
【０１０２】
ステップＳ７０９では、復元サービスサーバ１０３のＣＰＵ２０１は、送受信制御部３２１の機能により、ステップＳ７０８で復元した割符データを個人情報サービスサーバ１０１に送信する。
【０１０３】
ステップＳ７１０では、復元サービスサーバ１０３のＣＰＵ２０１は、復元した割符データの送信が完了したら、ステップＳ７０６で受信した割符データと、ステップＳ７０７で復元したパリティデータと、ステップＳ７０８で復元した割符データとを削除する。復元サービスサーバ１０３からこれらを削除しておくことで、悪意のある者が復元サービスサーバ１０３から、個人情報を復元可能な複数の割符データを取得できないようにしている。
【０１０４】
ステップＳ７１１では、個人情報サービスサーバ１０１のＣＰＵ２０１は、送受信制御部３０１の機能により、復元サービスサーバ１０３から送信された割符データを受信する。
【０１０５】
ステップＳ７１２では、個人情報サービスサーバ１０１のＣＰＵ２０１は、送受信制御部３０１の機能により、ステップＳ７１１で受信した割符データをストレージサーバ１０２に送信する。すなわち、ストレージサーバ１０２で破損・消失してしまった割符データを受信した割符データで補完しなければならないので、これを実行している。ストレージサーバ１０２は割符データを受信すると、取得できなかった割符データの代わりに受信した割符データを保管する。
【０１０６】
ステップＳ７１３では、個人情報サービスサーバ１０１のＣＰＵ２０１は、結合制御部３０６の機能により、ステップＳ７０１で取得した割符データと、ステップＳ７１１で受信した割符データとを結合することで、個人情報を復元する。個人情報の復元が完了したら、個人情報復元処理は終了する。
【０１０７】
このように、リクエストのあった個人情報を構成する割符データがすべて取得できたなら、これらを用いて個人情報を復元する。また、ストレージサーバ１０２で保管している割符データが破損・消失してしまったために取得できなかったなら、復元サービスサーバ１０３で必要な割符データを復元してから個人情報を復元する。つまり、冗長性を向上させて割符データの復元を可能とする。
【０１０８】
図８は、割符データを受信して個人情報リストを取得する一連の処理の流れを示すフローチャートである。尚、図８のフローチャートが示す処理の流れはあくまで一例であり、これに限らない。また、図８に示すフローチャート上の破線の矢印はデータの流れを示すものである。
【０１０９】
ステップＳ８０１では、利用者アプリサーバ１１２のＣＰＵ２０１は、リクエスト制御部３４２の機能により、個人情報を保管している利用者からの指示された個人情報の取得要求（リクエスト）を個人情報サービスサーバ１０１に送信する。前述したステップＳ６０１は、このリクエストを受け付けたか否かを判定する。ステップＳ８０１で送信するリクエストには、取得したい個人情報に対応する社員番号を含めておく。
【０１１０】
ステップＳ８０２では、利用者アプリサーバ１１２のＣＰＵ２０１は、送受信制御部３４１の機能により、リクエストに応じて個人情報サービスサーバ１０１から送信された個人情報リストの割符データを受信する（受信手段）。これは、前述したステップＳ６０９で送信された割符データである。受信した割符データは、割符データ記憶部３３２によって記憶される。
【０１１１】
ステップＳ８０３では、利用者アプリサーバ１１２のＣＰＵ２０１は、リクエスト制御部３４２の機能により、ステップＳ８０２で受信した割符データと共に個人情報リストを構成する他の割符データの取得要求を割符サービスサーバ１１１に送信する。本実施形態では、暗号化された個人情報リストは２つの割符データに分割されているので、ステップＳ８０２で受信した割符データとは異なる、もう片方の割符データの取得を割符サービスサーバ１１１にリクエストする。
【０１１２】
ステップＳ８０４では、割符サービスサーバ１１１のＣＰＵ２０１は、送受信制御部３３１の機能により、個人情報サービスサーバ１０１から送信された個人情報リストの割符データを受信する。これは、前述したステップＳ６１０で送信された割符データである。
【０１１３】
ステップＳ８０５では、割符サービスサーバ１１１のＣＰＵ２０１は、保存期間制御部３３３の機能により、ステップＳ８０４で受信した割符データを削除するためのタイマーをスタートする。割符サービスサーバ１１１に受信した割符データの取得要求がこないと、いつまでも割符サービスサーバ１１１に割符データが残ってしまうので、セキュリティ上問題である。そのため、タイマーによって保存期間を定めておき、タイマーが０になったら削除するようにしている。また、受信した割符データごとにタイマーをセットすることが望ましい。
【０１１４】
ステップＳ８０６では、割符サービスサーバ１１１のＣＰＵ２０１は、保存期間制御部３３３の機能により、ステップＳ８０５でスタートしたタイマーが０になったか、つまり保存期間が満了したか否かを判定する。保存期間が満了したと判定した場合には、ステップＳ８０７に処理を進める。そうでない場合には、ステップＳ８０８に処理を進める。
【０１１５】
ステップＳ８０７では、割符サービスサーバ１１１のＣＰＵ２０１は、保存期間が満了した割符データを削除する。
【０１１６】
ステップＳ８０８では、割符サービスサーバ１１１のＣＰＵ２０１は、送受信制御部３３１の機能により、利用者アプリサーバ１１２から送信された割符データの取得要求（リクエスト）を受け付けたか否かを判定する。利用者アプリサーバ１１２から送信されたリクエストとは、前述したステップＳ８０３で送信されたリクエストである。割符データの取得要求を受け付けたと判定した場合には、ステップＳ８０９に処理を進める。そうでない場合には、ステップＳ８０６に処理を戻す。
【０１１７】
ステップＳ８０９では、割符サービスサーバ１１１のＣＰＵ２０１は、送受信制御部３３１の機能により、受け付けた取得要求に応じて対象の割符データを取得し、これを利用者アプリサーバ１１２に送信する。保存期間が満了しており対象の割符データが取得できなかった、または何らかのエラーによって対象の割符データが取得できなかった場合には、その旨を利用者アプリサーバ１１２に送信する。このようにして、リクエスト結果を利用者アプリサーバ１１２に送信する。
【０１１８】
ステップＳ８１０では、割符サービスサーバ１１１のＣＰＵ２０１は、割符データの送信が完了したので送信した割符データを削除する。こうすることで、保存期間の満了を待たずに割符データを削除でき、セキュリティの向上につながる。
【０１１９】
ステップＳ８１１では、利用者アプリサーバ１１２のＣＰＵ２０１は、送受信制御部３４１の機能により、割符サービスサーバ１１１から送信されたリクエスト結果を受信する（受信手段）。
【０１２０】
ステップＳ８１２では、利用者アプリサーバ１１２のＣＰＵ２０１は、ステップＳ８１１で受信したリクエスト結果に割符データが含まれているか、すなわち割符データを受信したか否かを判定する。割符データが含まれていれば割符データの取得が成功したということである。割符データを受信したと判定した場合には、ステップＳ８１３に処理を進める。そうでない場合には、利用者アプリサーバ１１２の利用者に対してエラーを通知し、本一連の処理を終了する。
【０１２１】
ステップＳ８１３では、利用者アプリサーバ１１２のＣＰＵ２０１は、結合制御部３４３の機能により、ステップＳ８０２とステップＳ８１１で受信した割符データを結合することで、暗号化された個人情報リストを復元する（第２の秘密情報復元手段）。
【０１２２】
ステップＳ８１４では、利用者アプリサーバ１１２のＣＰＵ２０１は、秘密鍵記憶部３４４により記憶されている、個人情報サービスサーバ１０１が有する公開鍵に対応する秘密鍵で、復元した暗号化済みの個人情報リストを復号する（復号手段）。こうすることで、リクエストした個人情報が含まれる個人情報リストを利用者アプリサーバ１１２が取得できる。
【０１２３】
ステップＳ８１５では、利用者アプリサーバ１１２のＣＰＵ２０１は、ステップＳ８１４で復号された個人情報リストを外部メモリ２１１に記憶する。外部メモリ２１１に記憶してしまうと、半永久的に個人情報リストが外部メモリ２１１に記憶されてしまうので、ＲＡＭ２０３に記憶する形態であってもよい。
【０１２４】
以上説明したように、本実施形態によれば、記憶されている秘密情報の漏洩及び送信される秘密情報の漏洩によるリスクを低減することが可能となる。
【０１２５】
本発明は、例えば、システム、装置、方法、プログラム若しくは記憶媒体等としての実施形態も可能であり、具体的には、複数の機器から構成されるシステムに適用してもよいし、また、１つの機器からなる装置に適用してもよい。
【０１２６】
なお、本発明は、前述した実施形態の機能を実現するソフトウェアのプログラムを、システム或いは装置に直接、或いは遠隔から供給するものを含む。そして、そのシステム或いは装置のコンピュータが前記供給されたプログラムコードを読み出して実行することによっても達成される場合も本発明に含まれる。
【０１２７】
したがって、本発明の機能処理をコンピュータで実現（実行可能と）するために、前記コンピュータにインストールされるプログラムコード自体も本発明を実現するものである。つまり、本発明は、本発明の機能処理を実現するためのコンピュータプログラム自体も含まれる。
【０１２８】
その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等の形態であってもよい。
【０１２９】
プログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷなどがある。また、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−Ｒ）などもある。
【０１３０】
その他、プログラムの供給方法としては、クライアントコンピュータのブラウザを用いてインターネットのホームページに接続する。そして、前記ホームページから本発明のコンピュータプログラムそのもの、若しくは圧縮され自動インストール機能を含むファイルをハードディスク等の記録媒体にダウンロードすることによっても供給できる。
【０１３１】
また、本発明のプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるＷＷＷサーバも、本発明に含まれるものである。
【０１３２】
また、本発明のプログラムを暗号化してＣＤ−ＲＯＭ等の記憶媒体に格納してユーザに配布し、所定の条件をクリアしたユーザに対し、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせる。そして、ダウンロードした鍵情報を使用することにより暗号化されたプログラムを実行してコンピュータにインストールさせて実現することも可能である。
【０１３３】
また、コンピュータが、読み出したプログラムを実行することによって、前述した実施形態の機能が実現される。その他、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが、実際の処理の一部又は全部を行い、その処理によっても前述した実施形態の機能が実現され得る。
【０１３４】
さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれる。その後、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部又は全部を行い、その処理によっても前述した実施形態の機能が実現される。
【０１３５】
なお、前述した実施形態は、本発明を実施するにあたっての具体化の例を示したものに過ぎず、これらによって本発明の技術的範囲が限定的に解釈されてはならないものである。即ち、本発明はその技術思想、又はその主要な特徴から逸脱することなく、様々な形で実施することができる。
【符号の説明】
【０１３６】
１００  個人情報サービスドメイン
１０１  個人情報サービスサーバ
１０２  ストレージサーバ
１０３  復元サービスサーバ
１０４  ＬＡＮ
１１０  利用者ドメイン
１１１  割符サービスサーバ
１１２  利用者アプリサーバ
１１３  ＬＡＮ
１２０  ＷＡＮ
２０１  ＣＰＵ
２０２  ＲＡＭ
２０３  ＲＯＭ
２０４  システムバス
２０５  入力コントローラ
２０６  ビデオコントローラ
２０７  メモリコントローラ
２０８  通信Ｉ／Ｆコントローラ
２０９  入力デバイス
２１０  ディスプレイ
２１１  外部メモリ
【図１】
2016151797.tif 000003
【図２】
2016151797.tif 000004
【図３】
2016151797.tif 000005
【図４】
2016151797.tif 000006
【図５】
2016151797.tif 000007
【図６】
2016151797.tif 000008
【図７】
2016151797.tif 000009
【図８】
2016151797.tif 000010
【図９】
2016151797.tif 000011