(57)【要約】【課題】異なる属性を有する情報の集合である個人情報等を記録するデータベース装置の情報管理の安全性を高める。【解決手段】データベース装置は、第１記録部１２２Ｂと第２記録部１２２Ｃを備える。第１記録部１２２Ｂには、ユーザ毎に割振られたユニークなＩＤと、氏名、生年月日等の異なる属性を有するそのユーザの記述情報が、互いに紐付けた状態で記録される。同じＩＤに紐付けられた記述情報は一まとめの組記述情報として扱われ、異なる鍵で暗号化されている。第２記録部１２２Ｃには、ある属性を有する記述情報のすべてをそれら記述情報が紐付けられているＩＤと対にしてなる検索用情報が、幾つかの記述情報について記録されている。検索用情報のそれぞれは、異なる鍵で暗号化されている。データベース装置は、組記述情報と検索用情報を復号化する復号化部１２２Ｆを備える。【選択図】図３
2009116553.tif 000002
【特許請求の範囲】
【請求項１】
複数のユニークなＩＤと、異なる属性をそれぞれ有する複数の記述情報の組であり、前記複数のユニークなＩＤのそれぞれに紐付けられている組記述情報とを、前記組記述情報のそれぞれを異なる方法で暗号化した状態で記録している第１記録手段と、
すべての組記述情報に含まれる記述情報のうち同じ属性を有する記述情報を、前記記述情報のそれぞれとその記述情報が含まれている前記組記述情報に紐付けられている前記ＩＤが分かるような状態で一まとめにしてなる検索用情報であって、複数の属性を有する前記記述情報のうちの幾つかの属性についてのものを、これら検索用情報のそれぞれを異なる方法で暗号化した状態で記録した第２記録手段と、
暗号化された状態で前記第１記録手段に記録されている前記組記述情報のいずれかを復号化するための第１復号情報を受付ける第１入力手段と、
前記第１復号情報を前記第１入力手段が受付けた場合に、前記第１記録手段に記録されている前記組記述情報のうち前記第１入力手段が受付けた前記第１復号情報と対応付けられた前記組記述情報を、当該第１復号情報を用いて復号化する第１復号化手段と、
暗号化された状態で前記第２記録手段に記録されている前記検索用情報のいずれかを復号化するための第２復号情報を受付ける第２入力手段と、
前記第２復号情報を前記第２入力手段が受付けた場合に、前記第２記録手段に記録されている前記検索用情報のうち前記第２入力手段が受付けた前記第２復号情報と対応付けられた前記検索用情報を、当該第２復号情報を用いて復号化する第２復号化手段と、
を備えている、データベース装置。
【請求項２】
前記検索用情報は、複数の前記記述情報と、複数の前記記述情報のそれぞれが含まれている前記組記述情報に紐付けられた前記ＩＤとを、対にして含んでいる、
請求項１記載のデータベース装置。
【請求項３】
前記組記述情報は、異なる鍵を用いて暗号化した状態で前記第１記録手段に記録されているとともに、
前記第１復号情報は、復号化しようとする暗号化されている前記組記述情報を暗号化したときに用いられた鍵である、
請求項１記載のデータベース装置。
【請求項４】
前記検索用情報は、異なる鍵を用いて暗号化した状態で前記第２記録手段に記録されているとともに、
前記第２復号情報は、復号化しようとする暗号化されている前記検索用情報を暗号化したときに用いられた鍵である、
請求項１記載のデータベース装置。
【請求項５】
前記組記述情報に含まれる前記記述情報は、コード化されており、コード化された前記記述情報を見た者がコード化前の前記記述情報の内容を理解できないようにされているとともに、
コード化された前記記述情報をコード化前の状態に戻すための復元手段を備えている、
請求項１記載のデータベース装置。
【請求項６】
前記ＩＤは個人に対して割振られているものであり、
前記組記述情報に含まれている複数の前記記述情報は、その組記述情報と紐付けられた前記ＩＤが割振られている個人に関する情報である、
請求項１記載のデータベース装置。
【請求項７】
前記組記述情報に含まれている複数の前記記述情報は、その一つが特定の人間をそれ単独で特定できる情報であり、その他が当該特定の人間に関連する情報である、
請求項６記載のデータベース装置。
【請求項８】
特定の人間をそれ単独で特定できる前記情報は、当該人間の人名である、
請求項７記載のデータベース装置。
【請求項９】
入力手段を有するコンピュータが実行する方法であって、
前記コンピュータが、
複数のユニークなＩＤと、異なる属性をそれぞれ有する複数の記述情報の組であり、前記複数のユニークなＩＤのそれぞれに紐付けられている組記述情報とを、前記組記述情報のそれぞれを異なる方法で暗号化した状態で第１記録手段に記録する過程、
すべての組記述情報に含まれる記述情報のうち同じ属性を有する記述情報を、前記記述情報のそれぞれとその記述情報が含まれている前記組記述情報に紐付けられている前記ＩＤが分かるような状態で一まとめにしてなる検索用情報であって、複数の属性を有する前記記述情報のうちの幾つかの属性についてのものを、これら検索用情報のそれぞれを異なる方法で暗号化した状態で第２記録手段に記録する過程、
暗号化された状態で前記第１記録手段に記録されている前記組記述情報のいずれかを復号化するための第１復号情報を前記入力手段が受付ける過程、
前記第１復号情報を前記入力手段が受付けた場合に、前記第１記録手段に記録されている前記組記述情報のうち前記入力手段が受付けた前記第１復号情報と対応付けられた前記組記述情報を、当該第１復号情報を用いて復号化する過程、
暗号化された状態で前記第２記録手段に記録されている前記検索用情報のいずれかを復号化するための第２復号情報を前記入力手段が受付ける過程、
前記第２復号情報を前記入力手段が受付けた場合に、前記第２記録手段に記録されている前記検索用情報のうち前記入力手段が受付けた前記第２復号情報と対応付けられた前記検索用情報を、当該第２復号情報を用いて復号化する過程、
を含んでいるデータベース装置の制御方法。
【請求項１０】
コンピュータをデータベース装置として機能させるためのプログラムであって、
前記プログラムは、前記コンピュータを、
複数のユニークなＩＤと、異なる属性をそれぞれ有する複数の記述情報の組であり、前記複数のユニークなＩＤのそれぞれに紐付けられている組記述情報とを、前記組記述情報のそれぞれを異なる方法で暗号化した状態で記録している第１記録手段、
すべての組記述情報に含まれる記述情報のうち同じ属性を有する記述情報を、前記記述情報のそれぞれとその記述情報が含まれている前記組記述情報に紐付けられている前記ＩＤが分かるような状態で一まとめにしてなる検索用情報であって、複数の属性を有する前記記述情報のうちの幾つかの属性についてのものを、これら検索用情報のそれぞれを異なる方法で暗号化した状態で記録した第２記録手段、
暗号化された状態で前記第１記録手段に記録されている前記組記述情報のいずれかを復号化するための第１復号情報を受付ける第１入力手段、
前記第１復号情報を前記第１入力手段が受付けた場合に、前記第１記録手段に記録されている前記組記述情報のうち前記第１入力手段が受付けた前記第１復号情報と対応付けられた前記組記述情報を、当該第１復号情報を用いて復号化する第１復号化手段、
暗号化された状態で前記第２記録手段に記録されている前記検索用情報のいずれかを復号化するための第２復号情報を受付ける第２入力手段、
前記第２復号情報を前記第２入力手段が受付けた場合に、前記第２記録手段に記録されている前記検索用情報のうち前記第２入力手段が受付けた前記第２復号情報と対応付けられた前記検索用情報を、当該第２復号情報を用いて復号化する第２復号化手段、
として機能させるためのものである、
プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データベース装置に関する。
【背景技術】
【０００２】
コンピュータを用いたデータベース装置は、ハードディスクドライブその他の記録手段に、様々な情報を読出し可能な状態で記録して作られる。記録された情報は、通常は平文で記述されている。したがって、データベース装置に記録された情報は、それが万が一、ハッキング等によって盗難されるなどして外部に流出した場合には、大きな問題を引き起こす可能性がある。
このようなリスクに鑑みて、データベース装置に対しては、外部からのハッキングを防止すること、データの持出しを禁止することなどの、様々な安全策が講じられる。しかしながら、そのような安全策が採られたとしても、データベース装置に記録されていた情報（或いはそのデータ）が、外部に流出した場合に大きな問題が生じることには変わりがない。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
データベース装置に記録されていた情報が外部に流出した場合におけるリスクを最小限にする方法の一つとして、データベース装置に記録される情報を暗号化しておくことが考えられる。このようにすれば、データベース装置に記録していた情報が盗まれたとしても、その情報が復号化されることがなければ事実上問題は生じない。
【０００４】
しかしながら、データベース装置に記録される様々な情報を暗号化した場合には、暗号化された後の情報に対して、検索やソートの処理を行うのが難しいという難点が生じる。
もっとも、データベース装置に記録された暗号化された様々な情報は、その利用時には復号化して用いられることになるから、その状態で検索やソートの処理を行えばよいと考えることも可能であろう。
しかしながら、データベース装置に記録された様々な情報を一括して復号化した場合には、そのような情報すべてが外部に流出する可能性がないとは言い切れない。
【０００５】
他方、データベース装置には様々な種類がある。その一つとして、異なる属性の複数の情報を、一つのＩＤに紐付けたものがある。名簿のデータベース装置が一般的であるが、名簿のデータベース装置では、例えば、個人を特定するＩＤに、その個人の氏名、性別、生年月日、住所、電話番号、職業、趣味等を紐付けて、これをセットとして扱う。
このようなデータベース装置には、１セットの情報のうちの一つ、或いは複数の属性の情報が盗まれたとしても大きな問題とはならないことがあるが、１セットの情報のうち複数の属性の情報がまとめて外部に流出した場合には大きな問題が生じる場合があり得るという特性がある。例えば、上述の如きデータベース装置から、個人を特定できない状態で、その個人の生年月日と趣味の情報が漏れたとしても大きな問題は生じない。しかしながら、個人を特定できる状態であろうが無かろうが、ある個人の性別と生年月日と住所の情報が第三者に盗まれた場合、或いはある個人の住所と年収が流出した場合等には、犯罪に使われたり、ダイレクトメールの送付用の名簿に使われたりする可能性があり、大きな問題が生じ得る。
このような、異なる属性を有する情報の集合であり、ある程度の情報がまとまって流出すると大きな問題を生じ得るという特性を有する情報を記録するデータベース装置でも、そのデータベース装置に記録する情報を暗号化しておくことが考えられるが、ある程度の情報がまとまって流出した場合に大きな問題を生じ得るという特性を有する情報は、使用時にどの範囲で復号化するかという点に困難を有する。
【０００６】
本発明は、異なる属性を有する情報の集合であり、ある程度の情報がまとまって流出すると大きな問題を生じ得るという特性を有する情報を記録するデータベース装置を、そこに記録する情報を暗号化した状態とすることで安全性を高めるように改良する。
【課題を解決するための手段】
【０００７】
かかる課題を解決するため、本願発明者は、以下に説明する発明を提案する。
本願発明は、複数のユニークなＩＤと、異なる属性をそれぞれ有する複数の記述情報の組であり、前記複数のユニークなＩＤのそれぞれに紐付けられている組記述情報とを、前記組記述情報のそれぞれを異なる方法で暗号化した状態で記録している第１記録手段と、すべての組記述情報に含まれる記述情報のうち同じ属性を有する記述情報を、前記記述情報のそれぞれとその記述情報が含まれている前記組記述情報に紐付けられている前記ＩＤが分かるような状態で一まとめにしてなる検索用情報であって、複数の属性を有する前記記述情報のうちの幾つかの属性（１つの属性についての場合もあるし、複数、或いは記述情報のすべての属性についてのものである場合もある。）についてのものを、これら検索用情報のそれぞれを異なる方法で暗号化した状態で記録した第２記録手段と、暗号化された状態で前記第１記録手段に記録されている前記組記述情報のいずれかを復号化するための第１復号情報を受付ける第１入力手段と、前記第１復号情報を前記第１入力手段が受付けた場合に、前記第１記録手段に記録されている前記組記述情報のうち前記第１入力手段が受付けた前記第１復号情報と対応付けられた前記組記述情報を、当該第１復号情報を用いて復号化する第１復号化手段と、暗号化された状態で前記第２記録手段に記録されている前記検索用情報のいずれかを復号化するための第２復号情報を受付ける第２入力手段と、前記第２復号情報を前記第２入力手段が受付けた場合に、前記第２記録手段に記録されている前記検索用情報のうち前記第２入力手段が受付けた前記第２復号情報と対応付けられた前記検索用情報を、当該第２復号情報を用いて復号化する第２復号化手段と、を備えている、データベース装置である。
【０００８】
かかるデータベース装置は、第１記録手段を有している。第１記録手段には、複数のユニークなＩＤが記録されている。第１記録手段には、また、それぞれが異なる属性を有する記述情報複数を組にした組記述情報であって、そのそれぞれがＩＤの一つと一対一対応されたものが記録されている。第１記録手段に記録されるデータは、要するに、複数のＩＤと、各ＩＤに対応付けられた複数の属性についての複数の情報である。第１記録手段に記録された情報は、発明が解決しようとする課題の欄で言及した名簿のデータのようなものであり、このデータベース装置をデータベース装置足らしめるものである。ただし、このデータベース装置の第１記録手段に記録された組記述情報は、そのそれぞれが、異なる方法で暗号化された状態で記録されている。
本願のデータベース装置では、第１記録手段に記録されている記述情報が暗号化されているため、これらが外部に流出してもそれが復号化されない限り大きな問題は生じない。また、本願のデータベース装置では、第１記録手段に記録されている記述情報は、各ＩＤに紐付けられた組記述情報毎に異なる方法で暗号化されているため、たとえ第１記録手段に記録されている組記述情報が丸ごと外部に流出し、ある組記述情報が復号化されたとしても、他の組記述情報まですべて復号化される可能性は極めて小さい。また、各組記述情報が同じ方法で暗号化されていると、第１記録手段に記録されている記述情報が外部に丸ごと流出した場合などには、暗号化された後のデータの中で頻出するデータ列などから暗号化の方法を第三者に看破される可能性が高くなるが、各組記述情報が異なる方法で暗号化されていれば、上述したようなやり方で暗号化の方法を第三者が看破することは略不可能となる。また、本願のデータベース装置では、第１記録手段に記録されている組記述情報は、その使用時に１つずつ復号化されることが多いと考えられるため、複数の組記述情報（及びそれらに含まれる記述情報）が、復号化された状態で外部に流出する可能性は小さい。
他方、本願のデータベース装置は、第２記録手段を有している。この第２記録手段は、第１記録手段に記録された情報のうち、ＩＤを検索するために用いるものである。
本願のデータベース装置では、第２記録手段に記録されている記述情報が暗号化されているため、これらが外部に流出してもそれが復号化されない限り大きな問題は生じない。また、本願のデータベース装置では、第２記録手段に記録されている記述情報は、同一の属性を有する記述情報（検索用情報）毎に異なる方法で暗号化して第２記録手段に記録されているため、たとえ第２記録手段に記録されている記述情報が丸ごと外部に流出し、ある属性を有する記述情報が復号化されたとしても、他の属性を有する記述情報まですべて復号化される可能性は極めて小さい。また、本願のデータベース装置では、第２記録手段に記録されている記述情報が復号化される場合には、同じ属性の記述情報が並ぶだけなので、これが外部に流出したとしても、異なる属性の記述情報がまとまって流出することはないので大きな問題が生じにくい。
このデータベース装置は、以下のようにして使用する。
このデータベース装置を使用する（記述情報を閲覧する）者は、例えば、ある組記述情報と紐付けられたＩＤを割当てられた者からＩＤを伝えられたときに、そのＩＤに紐付けられた組記述情報を第１復号化手段を用いて復号化する。この状態で、データベース装置を使用する者は、上記ＩＤと紐付けられた組記述情報を閲覧できるようになる。
ＩＤを割当てられた者（仮に、ユーザという。）が自らに割当てられたＩＤを忘れてしまった場合などには、このデータベース装置の使用者は、ユーザから、第２記録手段に記録されている記述情報のうち特定の属性を有するものについて、そのＩＤと紐付けられている記述情報の内容を聞く。データベース装置の使用者はその属性を有する記述情報を第２復号化手段を用いて復号化する。そうすると、データベース装置の使用者は、第２記録手段に記録された記述情報のうち、特定の属性を有するものすべて（すべてのＩＤと紐付けられた記述情報）を閲覧できるようになる。ここで、第２記録手段に記録されている記述情報は、その記述情報がどのＩＤと紐付けられているかが分る状態とされている。データベース装置の使用者は、復号化された記述情報の中から、ユーザがデータベース装置の使用者に伝えた内容を記述するものを探し出し、それに紐付けられているＩＤがそのユーザのＩＤであると特定する。なお、かかる特定を行う場合において、１つの属性についての記述情報のみでユーザのＩＤの特定を行うことで安全性について疑問が生じるのであれば、上述の手続を何度か繰り返すことにより、ユーザのＩＤの特定をしっかり行えるようになる。ＩＤが判明した後における、そのＩＤと紐付けられた組記述情報の閲覧の仕方は、上述した場合と同様である。このような方法で優れているのは、データベース装置使用者とはいえ、ＩＤを特定するための第２記録手段の閲覧時に、意味のある情報を得ることができない、という点である。同一の属性を有する情報の羅列は、データベース装置使用者がそれを見たとしても、通常は何ら意味を持たない。その意味では、第２記録手段に記録しておく記述情報の属性は、それを見ただけではデータベース装置の使用者が意味のある情報を取得できないようなものとしておくのがよいであろう。
本願発明の第１入力手段又は第２入力手段はともに、データベース装置の使用者が手入力により入力した第１復号情報又は第２復号情報を取得するものであってもよいし、所定の記録媒体に記録されていた第１復号情報及び第２復号情報を、例えば使用者のデータベース装置の操作を契機に読込むことにより第１復号情報又は第２復号情報を取得するものであってもよい。
なお、第１復号情報は、暗号化された状態で前記第１記録手段に記録されている前記組記述情報のいずれかを復号化するための情報であれば足りる。例えば、組記述情報が、異なる鍵を用いて暗号化した状態で前記第１記録手段に記録されている場合には、第１復号情報は、各組記述情報を暗号化したときに用いた鍵とすることができる。第２復号情報は、暗号化された状態で前記第２記録手段に記録されている前記検索用情報のいずれかを復号化するための情報であれば足りる。例えば、検索用情報が、異なる鍵を用いて暗号化した状態で前記第２記録手段に記録されている場合、第２復号情報は、各検索用情報を暗号化したときに用いた鍵とすることができる。
【０００９】
本願発明のデータベース装置では、前記組記述情報に含まれる記述情報は、それをデータベース装置の使用者が見た場合に直接その意味を感得できるようにされているのが通常である。他方、記述情報は、コード化されており、コード化された前記記述情報を見た者がコード化前の前記記述情報の内容を理解できないようにされていてもよい。記述情報をコード化して、例えば、数字の意味をなさない羅列、意味のないアルファベットの羅列、或いは数字と意味のないアルファベットの無意味な羅列等に置換しておけば、第１記録手段に記録されていた記述情報が外部に流出したときに問題が生じる可能性を更に小さくできるし、また、第１記録手段に記録されるべきデータの容量を小さくすることができる。データベース装置が、記述情報をコード化して第１記録手段に記録している場合には、データベース装置は、コード化された前記記述情報をコード化前の状態に戻すための復元手段を備えているものとすることができる。これにより、データベース装置の使用者は、記述情報から特定の意味を感得することができるようになる。
【００１０】
上述したように、検索用情報に含まれる記述情報のそれぞれは、ある記述情報と、その記述情報が含まれている組記述情報に紐付けられているＩＤが分かるような状態で第２記録手段に記録されている必要がある。これは結果として、ある記述情報とどのＩＤが紐付けられているかということが明らかとなる状態で、第２記録手段に検索用情報が記録されているということを意味する。ある記述情報とどのＩＤが対応するかということを明らかにするための手法は特に制限はない。例えば、前記検索用情報は、複数の前記記述情報と、複数の前記記述情報のそれぞれが含まれている前記組記述情報に紐付けられた前記ＩＤとを、対にして含んでいるものとすることができる。こうすれば、どのＩＤとどの記述情報が紐付けられているかということは一目瞭然である。
【００１１】
本願発明において、ＩＤが割振られる対象、及び記述情報の内容は適当に決定することができる。
例えば、前記ＩＤは個人に対して割振られているものとすることができる。この場合、前記組記述情報に含まれている複数の前記記述情報は、その組記述情報と紐付けられた前記ＩＤが割振られている個人に関する情報とすることができる。これにより、本願のデータベース装置は、記述情報が外部へ流出すると非常に大きな影響のある個人情報を安全に扱うものとすることができる。個人情報は、異なる属性を有する情報の集合であり、ある程度の情報がまとまって流出すると大きな問題を生じ得るという特性を有する情報であるため、本願発明を応用するのに好都合である。本願のデータベース装置が、組記述情報に含まれている複数の記述情報が、その組記述情報と紐付けられたＩＤが割振られている個人に関する情報である場合、前記組記述情報に含まれている複数の前記記述情報は、その一つが特定の人間をそれ単独で特定できる情報であり、その他が当該特定の人間に関連する情報とすることができる。また、特定の人間をそれ単独で特定できる前記情報は、当該人間の人名とすることができる。
【００１２】
本願発明のデータベース装置と同様の作用効果を、例えば、以下の方法によって得ることができる。
その方法は、入力手段を有するコンピュータが実行するデータベース装置の制御方法である。
この方法は、前記コンピュータが、複数のユニークなＩＤと、異なる属性をそれぞれ有する複数の記述情報の組であり、前記複数のユニークなＩＤのそれぞれに紐付けられている組記述情報とを、前記組記述情報のそれぞれを異なる方法で暗号化した状態で第１記録手段に記録する過程、すべての組記述情報に含まれる記述情報のうち同じ属性を有する記述情報を、前記記述情報のそれぞれとその記述情報が含まれている前記組記述情報に紐付けられている前記ＩＤが分かるような状態で一まとめにしてなる検索用情報であって、複数の属性を有する前記記述情報のうちの幾つかの属性についてのものを、これら検索用情報のそれぞれを異なる方法で暗号化した状態で第２記録手段に記録する過程、暗号化された状態で前記第１記録手段に記録されている前記組記述情報のいずれかを復号化するための第１復号情報を前記入力手段が受付ける過程、前記第１復号情報を前記入力手段が受付けた場合に、前記第１記録手段に記録されている前記組記述情報のうち前記入力手段が受付けた前記第１復号情報と対応付けられた前記組記述情報を、当該第１復号情報を用いて復号化する過程、暗号化された状態で前記第２記録手段に記録されている前記検索用情報のいずれかを復号化するための第２復号情報を前記入力手段が受付ける過程、前記第２復号情報を前記入力手段が受付けた場合に、前記第２記録手段に記録されている前記検索用情報のうち前記入力手段が受付けた前記第２復号情報と対応付けられた前記検索用情報を、当該第２復号情報を用いて復号化する過程、を含んでいる。
本願発明のデータベース装置は、例えば以下のプログラムを用いることにより、汎用のコンピュータで実現することができる。
そのプログラムは、コンピュータをデータベース装置として機能させるためのプログラムである。そして、前記プログラムは、前記コンピュータを、複数のユニークなＩＤと、異なる属性をそれぞれ有する複数の記述情報の組であり、前記複数のユニークなＩＤのそれぞれに紐付けられている組記述情報とを、前記組記述情報のそれぞれを異なる方法で暗号化した状態で記録している第１記録手段、すべての組記述情報に含まれる記述情報のうち同じ属性を有する記述情報を、前記記述情報のそれぞれとその記述情報が含まれている前記組記述情報に紐付けられている前記ＩＤが分かるような状態で一まとめにしてなる検索用情報であって、複数の属性を有する前記記述情報のうちの幾つかの属性についてのものを、これら検索用情報のそれぞれを異なる方法で暗号化した状態で記録した第２記録手段、暗号化された状態で前記第１記録手段に記録されている前記組記述情報のいずれかを復号化するための第１復号情報を受付ける第１入力手段、前記第１復号情報を前記第１入力手段が受付けた場合に、前記第１記録手段に記録されている前記組記述情報のうち前記第１入力手段が受付けた前記第１復号情報と対応付けられた前記組記述情報を、当該第１復号情報を用いて復号化する第１復号化手段、暗号化された状態で前記第２記録手段に記録されている前記検索用情報のいずれかを復号化するための第２復号情報を受付ける第２入力手段、前記第２復号情報を前記第２入力手段が受付けた場合に、前記第２記録手段に記録されている前記検索用情報のうち前記第２入力手段が受付けた前記第２復号情報と対応付けられた前記検索用情報を、当該第２復号情報を用いて復号化する第２復号化手段、として機能させるためのものである。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の好ましい実施形態を、図面を参照しながら詳細に説明する。
【００１４】
この実施形態において具現化されるデータベース装置１００は、図１に示す如きものである。この実施形態のデータベース装置１００は、ユーザの認証を行う、銀行のコールセンターで用いることを想定したものとされている。
【００１５】
この実施形態におけるデータベース装置１００は、必ずしもそうである必要はないが、汎用的なコンピュータにより構成されている。
データベース装置１００は、この実施形態ではＣＲＴディスプレイであるディスプレイ１０１と、この実施形態ではキーボードとマウスにより構成された入力装置１０２を備えている。ディスプレイ１０１、入力装置１０２が他の物によって構成されていてもよいのは言うまでもない。
【００１６】
データベース装置１００となるコンピュータは、極一般的なディスクドライブを備えている。そしてそのディスクドライブに、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭなどにより構成される記録媒体Ｒを挿入し、その記録媒体Ｒに記録されているプログラムを読み込ませることができるようになっている。
この実施形態では、データベース装置１００となるコンピュータは、ディスクドライブに挿入されたＣＤ−ＲＯＭである記録媒体Ｒに記録されたプログラムをインストールされることにより、本願発明のデータベース装置１００に求められる各機能を有するものとなる。但し、上述のプログラムは、記録媒体Ｒを介してデータベース装置１００にインストールされる必要は必ずしもなく、インターネット等のネットワークを介しての配信によりデータベース装置１００にインストールされるようにしても構わない。なお、プログラムの一部（或いはプログラムを実行するために必要となるデータの一部）がデータベース装置１００にインストールされないようにすることもできる。その場合、データベース装置１００は、ディスクドライブに挿入した状態の記録媒体Ｒから必要なデータを読み出しながら以下の処理を実行することになる。
また、このプログラムは、それ単体でコンピュータに本発明のデータベース装置１００としての機能を奏させることができるようなものでもよく、それとコンピュータにインストールされているＯＳ、或いはその他のプログラムとの協働により、コンピュータに本発明のデータベース装置１００としての機能を奏させるようなものとなっていても構わない。
【００１７】
データベース装置１００のハードウエア構成を、図３に示す。
データベース装置１００は、この実施形態では、ＣＰＵ（central processing unit）１１１、ＲＯＭ（read only memory）１１２、ＨＤＤ（hard disk drive）１１３、ＲＡＭ（random access memory）１１４、インタフェイス１１５と、これらを接続するバス１１６とを備えている。
ＲＯＭ１１２、あるいはＨＤＤ１１３には、ＯＳ及び上述した本発明によるプログラム、及び所定のデータ（これには、後述する組記述情報と、検索用情報が含まれる。）が記録されている。ＣＰＵ１１１は、データベース装置１００全体の制御を行うものであり、ＲＯＭ１１２、あるいはＨＤＤ１１３に記憶されたプログラムやデータに基づいて、後述する処理を実行するものである。ＲＡＭ１１４は、ＣＰＵ１１１が処理を行う際の作業用記憶領域として用いられる。
インタフェイス１１５は、データベース装置１００と外部との間でデータのやり取りを行うための窓口となる。インタフェイス１１５は、入力装置１０２からの入力を受付けるようになっている。インタフェイス１１５は、また、ディスクドライブから本発明におけるプログラムを受付けられるようになっている。インタフェイス１１５は、また、ディスプレイ１０１に画像を表示させるためのディスプレイ制御データをディスプレイ１０１に送るようになっている。ディスプレイ制御データを受付けたディスプレイ１０１は、それに基づいて画像を表示する。
【００１８】
上述のプログラムの実行により、本発明のデータベース装置１００が内蔵するＣＰＵ１１１は、以下の機能ブロックをデータベース装置１００内に形成する。
このデータベース装置１００の内部には、図３に示したように、入力制御部１２１と、制御部１２２と、出力制御部１２３とが生成されることになる。
【００１９】
入力制御部１２１は、入力装置１０２から入力された情報を、インタフェイス１１５を介して受け付けるものである。入力制御部１２１は、受付けた情報の内容を解析して、それを制御部１２２に送るようになっている。
【００２０】
制御部１２２は、以下に説明するような情報を記録しており、また、以下に説明するような情報処理を行うものである。制御部１２２は、また、本願発明における記述情報を、これには限られないが、この実施形態では、個人情報として記録している。
制御部１２２は、主制御部１２２Ａ、第１記録部１２２Ｂ、第２記録部１２２Ｃ、暗号化部１２２Ｄ、鍵記録部１２２Ｅ、復号化部１２２Ｆ、コード化処理部１２２Ｇを含んでいる。
【００２１】
主制御部１２２Ａは、制御部１２２全体の管理を行うものである。暗号化部１２２Ｄ、復号化部１２２Ｆ、コード化処理部１２２Ｇは、主制御部１２２Ａに制御されて、後述する処理を行うようになっている。主制御部１２２Ａは、また、第１記録部１２２Ｂ、第２記録部１２２Ｃに記録されている情報を書換えられるようにされている。
【００２２】
第１記録部１２２Ｂは、本願発明における第１記録手段に相当するものであり、多数のＩＤと、各ＩＤに紐付けた状態とされている組記述情報を記録している。第１記録部１２２Ｂに記録されている情報は、概念的に図示すると、図４に記載のような状態とされている。第１記録部１２２Ｂには、この実施形態では、必ずしもこの通りである必要はないが、左端の列に一列にＩＤが記録されている。ＩＤは、この実施形態では、このデータベース装置１００で認証が済んでいるユーザに１つずつ割振られており、且つ互いにユニークである。この実施形態におけるＩＤは、通し番号とされているが、ＩＤは必ずしも通し番号である必要はなく、例えば、アルファベットと数字の羅列でもよい。ＩＤの右には、記述情報が並んでいる。記述情報は、必ずしもこの限りではないが、この実施形態では、ＩＤの割振られたユーザに関連する情報となっている。この実施形態では、ＩＤの右側に連なる一連の記述情報は一まとめとして扱われるようになっている。各ＩＤの右側に連なる一連の記述情報は、本願発明における組記述情報に相当する。
１つのＩＤに割振られた記述情報は、異なる属性を有する（異なる内容を表す）ものとなっている。図４の一番上の欄に記載された、氏名、性別、生年月日、住所……というのが、その欄の下方に記載された記述情報の属性を表している。記述情報の属性が、図４に示されたものと異なってもよいのは言うまでもない。
なお、ユーザの増加によるＩＤの増加、ユーザの減少によるＩＤの減少、何らかの事情によるＩＤの変更、ユーザの増加又は減少に基づく組記述情報の追加又は削除は、データベース装置１００の使用者が入力装置１０２を操作することによって生成され、インタフェイス１１５を介して入力制御部１２１が受付けた情報に基づいて、主制御部１２２Ａが行うようになっている。
上述した各組記述情報は、それぞれ異なる方法で暗号化されている。組記述情報の暗号化は、この実施形態では、データベース装置１００の使用者が入力装置１０２を操作することによって生成され、インタフェイス１１５を介して入力制御部１２１が受付けた情報に基づいて、主制御部１２２Ａの管理下で、暗号化部１２２Ｄが行うようになっている。もっとも、かかる暗号化は、他の方法で行われても構わない。例えば、このデータベース装置１００でその復号化を行えることができるようにされていれば、各組記述情報の暗号化は、データベース装置１００以外の他の装置で行われても構わない。
【００２３】
第２記録部１２２Ｃは、本願発明における第２記録手段に相当するものである。第２記録部１２２Ｃに記録されている情報は、ＩＤと、第１記録部１２２Ｂに記録されている記述情報のうち、幾つかの属性を有するものを抜き出したものである。この実施形態における第２記録部１２２Ｃに記録されている情報は、概念的に図示すると、図５に記載のような状態とされている。第２記録部１２２Ｃには、この実施形態では、必ずしもこの通りである必要はないが、ＩＤと記述情報が対として記録されている。記述情報と対にされた各ＩＤは、その記述情報が属する組記述情報と紐付けられたＩＤである。この実施形態では、その属性が生年月日と、住所と、所属会社・学校である記述情報について、ＩＤと記述情報とを組にした情報が作られている。ＩＤと記述情報とを組にしたこの情報は、本願発明でいう検索用情報である。各検索用情報に含まれるＩＤは、第１記録部１２２Ｂに含まれるすべてのＩＤを含んでいる。つまり、各検索用情報に含まれる記述情報は、第１記録部１２２Ｂに含まれる、生年月日、住所、又は所属会社・学校に含まれるすべての記述情報を含んでいる。なお、この実施形態では、ＩＤは、第１記録部１２２Ｂに記録されていた場合と同様に昇順で並べられているが、第２記録部１２２Ｃに記録された検索用情報の中のＩＤは、必ずしもそのように並べられている必要はない。
なお、検索用情報は、少なくとも１つの属性の記述情報について作られていればよいが、この実施形態のように、複数の属性の記述情報について作られていてもよいし、第１記録部１２２Ｂに記録されていた記述情報に与えられているすべての属性について作られていてもよい。検索用情報をどの属性の記述情報について作るかということは、データベース装置１００の使用者が任意に決定することができるようにすることができ、また、事後的に変更できるようにすることができる。それらは、それに必要な機能を例えば主制御部１２２Ａに与えることで実現できる。
各検索用情報は、それぞれ異なる方法で暗号化されている。検索用情報の暗号化は、組記述情報の場合と同様に、この実施形態では、データベース装置１００の使用者が入力装置１０２を操作することによって生成され、インタフェイス１１５を介して入力制御部１２１が受付けた情報に基づいて、主制御部１２２Ａの管理下で、暗号化部１２２Ｄが行うようになっている。もっとも、かかる暗号化は、他の方法で行われても構わない。例えば、このデータベース装置１００でその復号化を行えることができるようにされていれば、各検索用情報の暗号化は、データベース装置１００以外の他の装置で行われても構わない。
【００２４】
暗号化部１２２Ｄは、上述のように、組記述情報を暗号化する機能を有している。
データベース装置１００の使用者が入力装置１０２を操作することによって、組記述情報を暗号化せよという情報が、ＩＤを特定することによりどのＩＤに紐付けられた組記述情報を暗号化するかということを明らかにした状態で生成される。すると、その情報は、インタフェイス１１５を介して入力制御部１２１に送られる。それを受付けた入力制御部１２１は、その内容を解析して、主制御部１２２Ａにそれを送る。主制御部１２２Ａは、そのＩＤと紐付けられた組記述情報を暗号化せよという指示を暗号化部１２２Ｄに送る。暗号化部１２２Ｄは、その情報にしたがって、そのＩＤと紐付けられた組記述情報を第１記録部１２２Ｂから読出し、それを暗号化する。かかる暗号化に用いるアルゴリズムは、必ずしもそうである必要はないが、この実施形態では、すべての組記述情報を暗号化する場合で共通であるが、かかる暗号化を行うときに使用する鍵は、各組記述情報毎に異なったものとされる。それにより、各組記述情報は、異なった方法でそれぞれ暗号化されることになる。
各組記述情報毎に異なる鍵を用いて暗号化を行えるようにするため、この実施形態では、鍵記録部１２２Ｅの中に、組記述情報を暗号化するために用いられる多数の鍵が記録されている。これらの鍵のそれぞれは、各ＩＤと紐付けられている。暗号化部１２２Ｄは、あるＩＤに紐付けられている組記述情報を暗号化する場合、その組記述情報に紐付けられているＩＤと紐付けられている鍵を鍵記録部１２２Ｅから読出し、それを用いて、組記述情報を暗号化する。このようにすることで、各組記述情報を各組記述情報毎に異なった方法で暗号化するということが実現される。
暗号化部１２２Ｄは、また、上述したように、検索用情報を暗号化する機能を有している。
データベース装置１００の使用者が入力装置１０２を操作することによって、検索用情報を暗号化せよという情報が、検索用情報に含まれる記述情報の属性を特定することによりどの検索用情報を暗号化するかということを明らかにした状態で生成される。すると、その情報は、インタフェイス１１５を介して入力制御部１２１に送られる。それを受付けた入力制御部１２１は、その内容を解析して、主制御部１２２Ａにそれを送る。主制御部１２２Ａは、特定されたその検索用情報を暗号化せよという指示を暗号化部１２２Ｄに送る。暗号化部１２２Ｄは、その情報にしたがって、特定されたその検索用情報を第２記録部１２２Ｃから読出し、それを暗号化する。かかる暗号化に用いるアルゴリズムは、必ずしもそうである必要はないが、この実施形態では、すべての検索用情報を暗号化する場合で共通であるが（ただし、組記述情報を暗号化する場合に用いられるアルゴリズムと共通である必要はない。）、かかる暗号化を行うときに使用する鍵は、各検索用情報毎に異なったものとされる。それにより、各検索用情報は、異なった方法でそれぞれ暗号化されることになる。
各検索用情報毎に異なる鍵を用いて暗号化を行えるようにするため、この実施形態では、鍵記録部１２２Ｅの中に、検索用情報を暗号化するために用いられる鍵が、この実施形態の場合３つ記録されている。これらの鍵のそれぞれは、各検索用情報に含まれている記述情報に与えられた属性と紐付けられている。暗号化部１２２Ｄは、ある検索用情報を暗号化する場合、その検索用情報に含まれている記述情報の属性に紐付けられている鍵を鍵記録部１２２Ｅから読出し、それを用いて、その検索用情報を暗号化する。このようにすることで、各検索用情報を各検索用情報毎に異なった方法で暗号化するということが実現される。
なお、鍵記録部１２２Ｅに含まれている検索用情報の暗号化の際に用いられる鍵は、検索用情報の変更、追加に対応して、変更、追加できるようにしておくのが良い。さもなくば、検索用情報の変更、追加があったときでもすべての検索用情報を異なる鍵で暗号化できるようにすべく、記述情報が有することのあるすべての属性にそれぞれ紐付けるようにして、記述情報が有することのある属性の数と同じ数の鍵を、鍵記録部１２２Ｅに記録しておくのが好ましい。
【００２５】
復号化部１２２Ｆは、暗号化した状態で第１記録部１２２Ｂに記録されている組記述情報を復号化する機能を有している。
データベース装置１００の使用者が入力装置１０２を操作することによって、組記述情報を復号化せよという情報が、ＩＤを特定することによりどのＩＤに紐付けられた組記述情報を復号化するかということを明らかにした状態で生成される。すると、その情報は、インタフェイス１１５を介して入力制御部１２１に送られる。それを受付けた入力制御部１２１は、その内容を解析して、主制御部１２２Ａにそれを送る。主制御部１２２Ａは、そのＩＤと紐付けられた組記述情報を復号化せよという指示を復号化部１２２Ｆに送る。復号化部１２２Ｆは、その情報にしたがって、そのＩＤと紐付けられた暗号化された組記述情報を第１記録部１２２Ｂから読出し、それを復号化する。かかる復号化に用いるアルゴリズムは、組記述情報を暗号化するときに用いたアルゴリズムと対で準備されたものであり、組記述情報を復号化することのできるものである。
各組記述情報は、上述したように異なる鍵を用いて暗号化されているが、この実施形態では、あるＩＤに紐付けられている組記述情報を復号化する場合、その組記述情報に紐付けられているＩＤと紐付けられている鍵（これは即ち、その組記述情報を暗号化するときに用いられた鍵である。）を鍵記録部１２２Ｅから読出し、それを用いて、組記述情報を復号化する。このようにすることで、復号化部１２２Ｆは、すべての組記述情報を復号化できる。
復号化部１２２Ｆは、また、暗号化した状態で第２記録部１２２Ｃに記録されている検索用情報を復号化する機能を有している。
データベース装置１００の使用者が入力装置１０２を操作することによって、検索用情報を復号化せよという情報が、検索用情報に含まれる記述情報の属性を特定することによりどの検索用情報を復号化するかということを明らかにした状態で生成される。すると、その情報は、インタフェイス１１５を介して入力制御部１２１に送られる。それを受付けた入力制御部１２１は、その内容を解析して、主制御部１２２Ａにそれを送る。主制御部１２２Ａは、特定されたその検索用情報を復号化せよという指示を復号化部１２２Ｆに送る。復号化部１２２Ｆは、その情報にしたがって、特定された暗号化されているその検索用情報を第２記録部１２２Ｃから読出し、それを復号化する。かかる復号化に用いるアルゴリズムは、検索用情報を暗号化するときに用いたアルゴリズムと対で準備されたものであり、検索用情報を復号化することのできるものである。
各検索用情報は、上述したように異なる鍵を用いて暗号化されているが、復号化部１２２Ｆは、ある検索用情報を復号化する場合、その検索用情報に含まれている記述情報の属性に紐付けられている鍵（これは即ち、その検索用情報を暗号化するときに用いられた鍵である。）を鍵記録部１２２Ｅから読出し、それを用いて、その検索用情報を復号化する。このようにして、復号化部１２２Ｆは、暗号化されたすべての検索用情報を復号化できるようにされている。
【００２６】
コード化処理部１２２Ｇは、必要に応じて、第１記録部１２２Ｂ及び第２記録部１２２Ｃに記録されている記述情報をコード化するものである。この実施形態では、データベース装置１００の使用者は、入力装置１０２の操作によって、第１記録部１２２Ｂ、及び第２記録部１２２Ｃに記録されている記述情報をコード化するか否かを決定することができる。
コード化は、例えば、記述情報の内容を数字の羅列、アルファベットの羅列、数字とアルファベットの羅列などに、特定のルールに基づいて置換えることを意味する。例えば、住所の欄であれば、「北海道」を「０１」に、「青森県」を「０２」に、「秋田県」を「０３」にといった形に置換える。このようなコード化を実現するために、コード化処理部１２２Ｇは、上述の如き元の記述情報とコード化された後の記述情報の関係を明確化するための対応表（テーブル）を有している。
なお、この実施形態における第１記録部１２２Ｂと第２記録部１２２Ｃに記録されているすべての記述情報は、必ずしもそうする必要はないが、すべてコード化後に暗号化されたものとなっている。
【００２７】
出力制御部１２３は、制御部１２２から受付けたデータに基づいて、ディスプレイに１０１に適当な画像を表示させるための画像を生成するためのデータを生成し、それをインタフェイス１１５を介してディスプレイ１０１に送る機能を有している。かかるデータを受付けたディスプレイ１０１は、そのデータに基づいた画像を表示する。
【００２８】
以上説明したデータベース装置１００の使用方法を、以下説明する。
便宜上、データベース装置１００の使用方法を、前処理と、本処理に分けて説明する。
【００２９】
＜前処理＞
前処理では、データベース装置１００を安全に使用できるような状態にするため、第１記録部１２２Ｂと、第２記録部１２２Ｃに、暗号化した状態の組記述情報と、暗号化した状態の検索用情報を記録する。
前処理は、図６の流れ図に記載したように行われる。
かかる処理を行うにあたって、データベース装置１００の使用者は、まず、暗号化していない状態のＩＤ及び組記述情報を第１記録部１２２Ｂに記録する（Ｓ１１）。
ＩＤ及び組記述情報の第１記録部１２２Ｂへの記録は、入力装置１０２の操作によってデータベース装置１００の使用者が手入力により行ってもよいが、通常は、元々作成されていたデータ（例えば、ディスクドライブに挿入された記録媒体に記録されているデータ）を第１記録部１２２Ｂにコピーすることにより行われる。いずれにせよ、第１記録部１２２ＢへのＩＤ及び組記述情報の記録の処理は、入力装置１０２を操作することによって生成され、インタフェイス１１５及び入力制御部１２１を経て主制御部１２２Ａに届けられた情報を受取った主制御部１２２Ａが行う。
このようにして、図４に示されたような状態のＩＤと組記述情報が、第１記録部１２２Ｂに記録される。
次に、データベース装置１００の使用者は、暗号化していない状態の検索用情報を第２記録部１２２Ｃに記録する（Ｓ１２）。
この実施形態では、使用者が、第１記録部１２２Ｂに記録されている記述情報に与えられた属性のうち適当なものを入力装置１０２の操作によって選択すると、選択された属性の与えられた記述情報を含む検索用情報が、第２記録部１２２Ｃに自動的に記録されるようになっている。かかる処理は、第１記録部１２２ＢからＩＤと、選択された属性の与えられた記述情報を読出すことにより、必ずしもこの限りではないが、この実施形態では、主制御部１２２Ａが実行するようになっている。
このようにして、図５に示されたような状態の検索用情報が、第２記録部１２２Ｃに記録される。
次に、データベース装置１００の使用者は、第１記録部１２２Ｂと第２記録部１２２Ｃに記録されている記述情報をコード化する（Ｓ１３）。かかる処理を行うにあたってデータベース装置１００の使用者は、コード化を実行するための操作を入力装置１０２で行う。そうすることにより生成された情報が、入力装置１０２から、インタフェイス１１５、入力制御部１２１を経て、主制御部１２２Ａに送られる。これを受付けた主制御部１２２Ａは、第１記録部１２２Ｂと第２記録部１２２Ｃに記録されている記述情報をコード化せよとの指示をコード化処理部１２２Ｇへ送る。これを受付けたコード化処理部１２２Ｇは、記述情報を第１記録部１２２Ｂと第２記録部１２２Ｃから読出し、それを上述した対応表を用いてコード化してから、第１記録部１２２Ｂと第２記録部１２２Ｃへ戻す。
【００３０】
次に、データベース装置１００の使用者は、第１記録部１２２Ｂに記録されている暗号化されていない組記述情報を、組記述情報毎に異なる方法で暗号化する（Ｓ１４）。
かかる暗号化は、上述したように、データベース装置１００の使用者が入力装置１０２を操作したことをきっかけとして、暗号化部１２２Ｄが行う。
次に、データベース装置１００の使用者は、第２記録部１２２Ｃに記録されている暗号化されていない検索用情報を、検索用情報毎に異なる方法で暗号化する（Ｓ１５）。
かかる暗号化は、上述したように、データベース装置１００の使用者が入力装置１０２を操作したことをきっかけとして、暗号化部１２２Ｄが行う。
以上により、前処理が終了する。
【００３１】
＜本処理＞
本処理では、前処理を行うことによって安全に使用できる状態とされたデータベース装置１００を用いて、ユーザの個人情報を扱う。
銀行のコールセンターで、データベース装置１００の使用者は、ユーザからの電話を受ける。電話を受けたデータベース装置１００の使用者は、ユーザに、そのユーザのＩＤを問いユーザが自分のＩＤを覚えているか否か確認する（Ｓ２１）。ユーザが、自らのＩＤを覚えている場合（Ｓ２２：Ｙｅｓ）には、データベース装置１００の使用者は、そのＩＤと紐付けられた記述情報を閲覧するための操作を行う（Ｓ２３）。
この操作は、事実上、ユーザのＩＤに紐付けられていた組記述情報を復号化するための操作である。
かかる復号化の処理は、上述したように、データベース装置１００の使用者が入力装置１０２を操作したことをきっかけとして、復号化部１２２Ｆが行う。
復号化された組記述情報は、コード化されているため、データベース装置１００の使用者は、組記述情報を復元して元の情報に戻す（Ｓ２４）。かかる復元の処理は、上述したように、データベース装置１００の使用者が入力装置１０２を操作したことをきっかけとして、コード化処理部１２２Ｇが行う。復元された組記述情報は、出力制御部１２３に送られ、インタフェイス１１５を介して、ディスプレイ１０１に送られる。
データベース装置１００の使用者は、ディスプレイ１０１に表示された内容を見て、ユーザに必要な情報（例えば、預金残高）を電話で伝える。
【００３２】
ユーザが自分のＩＤを覚えているか否か確認した結果（Ｓ２１）、ユーザが、自らのＩＤを覚えていない場合（Ｓ２２：Ｎｏ）には、データベース装置１００の使用者は、ユーザのＩＤを特定するための手続を行う。
データベース装置１００の使用者は、検索用情報に含まれている記述情報の内容（そのユーザの個人情報）について、電話でユーザに質問する（Ｓ２５）。この実施形態であれば、検索用情報に含まれている記述情報は、生年月日と、住所と、所属会社・学校であるから、データベース装置１００の使用者は、これらを順にユーザに電話で問う。
データベース装置１００の使用者は、ユーザに対して生年月日を質問する一方で、生年月日を属性とする記述情報を含む検索用情報（図５の左側に示された検索用情報）を閲覧するための操作を行う。この操作は、事実上、暗号化されている検索用情報の復号化を行うための操作である。
かかる復号化の処理は、上述したように、データベース装置１００の使用者が入力装置１０２を操作したことをきっかけとして、復号化部１２２Ｆが行う。
復号化された検索用情報は、コード化されているため、データベース装置１００の使用者は、検索用情報を復元して元の情報に戻す。かかる復元の処理は、上述したように、データベース装置１００の使用者が入力装置１０２を操作したことをきっかけとして、コード化処理部１２２Ｇが行う。復元された検索用情報は、出力制御部１２３に送られ、インタフェイス１１５を介して、ディスプレイ１０１に送られる。
データベース装置１００の使用者は、ユーザの回答と合致する記述情報をディスプレイ１０１に表示された検索用情報に含まれる記述情報の中から探す。ユーザの回答と合致する記述情報が存在しない場合には、そのユーザを不正な者であると判断して（Ｓ２６：Ｎｏ）、そのユーザに対する一切の手続を終了する。ユーザの回答と合致する記述情報が存在した場合には、その記述情報と対にされているＩＤをそのユーザのＩＤとして仮に把握する。
データベース装置１００の使用者は、次に、ユーザに対して住所を質問する一方で、住所を属性とする記述情報を含む検索用情報（図５の中央に示された検索用情報）を閲覧するための操作を行う。この操作は、生年月日を属性とする記述情報を含む検索用情報を閲覧するための上述の操作と同様である。
データベース装置１００の使用者は、ユーザの回答と合致する記述情報をディスプレイ１０１に表示された検索用情報に含まれる記述情報の中から探す。ユーザの回答と合致する記述情報が存在しない場合、或いはユーザの回答と合致する記述情報が存在するが、その記述情報と対になっているＩＤが、仮に把握した上述のＩＤと異なる場合には、そのユーザを不正な者であると判断して（Ｓ２６：Ｎｏ）、そのユーザに対する一切の手続を終了する。ユーザの回答と合致する記述情報が存在し、且つそのＩＤが仮に把握した上述のＩＤと一致する場合には、その記述情報と対にされているＩＤをそのユーザのＩＤとして仮に把握する。
かかる処理を、所属会社・学校を属性とする検索用情報について、再度行う。
その結果、ユーザの回答と合致する記述情報が存在しない場合、或いはユーザの回答と合致する記述情報が存在するが、その記述情報と対になっているＩＤが、仮に把握した上述のＩＤと異なる場合には、そのユーザを不正な者であると判断して（Ｓ２６：Ｎｏ）、そのユーザに対する一切の手続を終了する。ユーザの回答と合致する記述情報が存在し、且つその記述情報と対にされたＩＤが仮に把握された上述のＩＤに同じ場合には（Ｓ２６：Ｙｅｓ）、その記述情報と対にされているＩＤをそのユーザのＩＤとして把握する（Ｓ２７）。
つまり、この実施形態では、ユーザに３つの検索用情報についての質問を行い、ユーザからの回答が３つとも同じＩＤに紐付けられていた記述情報と一致した場合には、そのＩＤをそのユーザのＩＤと把握することにしている。ユーザに回答させる検索用情報についての質問を増やせば、ユーザが正当である可能性は高まる。また、ユーザの回答のすべてが同じＩＤに紐付けられていた記述情報と一致した場合のみユーザを正当と判断するか否かは、データベース装置１００の管理者等が適当に決定することができる。例えば、ユーザに１０の検索用情報についての質問を行い、ユーザからの１０の回答のうち少なくとも８つが同じＩＤに紐付けられていた記述情報と一致した場合には、そのユーザを正当なものと判断し、そのＩＤをそのユーザのＩＤと把握するというような運用も可能である。
ユーザのＩＤを把握したら、データベース装置１００の使用者は、そのＩＤと紐付けられた記述情報を閲覧するための操作、及びそれに続く上述の操作を行う。これら操作は、Ｓ２３、Ｓ２４で説明した操作に同じである。
【図面の簡単な説明】
【００３３】
【図１】実施形態のデータベース装置の全体構成を示す図。
【図２】図１に示したデータベース装置に含まれるハードウエア構成を概略的に示す図。
【図３】図１に示したデータベース装置内に生成される機能ブロックを示すブロック図。
【図４】図１に示したデータベース装置の第１記録部に記録される情報を概念的に示す図。
【図５】図１に示したデータベース装置の第２記録部に記録される情報を概念的に示す図。
【図６】図１に示したデータベース装置で実行される前処理の流れを示す流れ図。
【図７】図１に示したデータベース装置で実行される本処理の流れを示す流れ図。
【符号の説明】
【００３４】
１００  データベース装置
１０１  ディスプレイ
１０２  入力装置
１２１  入力制御部
１２２  制御部
１２２Ａ  主制御部
１２２Ｂ  第１記録部
１２２Ｃ  第２記録部
１２２Ｄ  暗号化部
１２２Ｅ  鍵記録部
１２２Ｆ  復号化部
１２２Ｇ  コード化処理部
１２３  出力制御部
【図１】
2009116553.tif 000003
【図２】
2009116553.tif 000004
【図３】
2009116553.tif 000005
【図４】
2009116553.tif 000006
【図５】
2009116553.tif 000007
【図６】
2009116553.tif 000008
【図７】
2009116553.tif 000009