JP2001337918A - 情報管理システムおよび情報通信システム - Google Patents

Abstract

(57)【要約】 【課題】管理情報が悪意の第三者に不正にアクセスされ
ても機密性の喪失を局所的に抑える。 【解決手段】情報の蓄積規則と分割規則とを保持する管
理装置，入力された情報を分割規則に従って分割するか
否かを決定し、分割する場合は少なくとも２つ以上のデ
ータに分割し，蓄積規則に従って情報または分割された
データを蓄積装置のいずれかに送信する入力装置，受信
した情報または分割されたデータを蓄積する蓄積装置，
蓄積規則と分割規則を用いて各蓄積装置から情報または
分割されたデータを収集し，収集した情報または分割さ
れたデータを統合し，統合された情報を出力する出力装
置とがネットワークを介して接続された情報管理システ
ム。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は，分散環境における
情報管理システム及び情報通信システムに関わり，特
に，情報の機密性を維持することを可能とした情報管理
システム及び情報通信システムに関する。

【０００２】

【従来の技術】近年，インターネットに接続された情報
システムを利用して様々なサービスが提供されるのに伴
って，顧客の属性情報や，顧客のサービス利用履歴情報
や，企業の経営情報などの機密性の高い情報を扱う情報
システムが増えてきている。一般に、情報の機密性を維
持するための安全対策には，情報へのアクセス管理と情
報の暗号化がある。アクセス管理が完全に為されれば，
不正アクセスを防止できるため，機密情報の安全を確保
できる。しかし，実際には，正当な利用者に成りすまさ
れたり，セキュリティホールを突かれたりして，第三者
が機密情報に不正にアクセスする場合がある。このよう
な場合にも安全を確保できるようにするのが暗号化対策
である。暗号化対策は，ファイルに存在するデータや通
信路に存在するデータを不正に入手されても，情報を表
す文字やデータを第三者に理解できなくするものであ
る。一方、インターネット上のサービスを利用した場合
に、利用者の個人情報やサービス利用履歴情報は分散さ
れて蓄積される場合が多いが、これらの情報は課金やマ
ーケティングなどのアプリケーションには必須であり、
機密性を保ちながら、これらの情報を統合して提供でき
れば非常に効率的である。

【０００３】従来提案されている暗号化対策は，どこに
ある情報の安全を確保するかにより，ファイル暗号対策
と通信路暗号対策に大別できる。ファイル暗号対策は，
ファイル内の情報を守るためのものであり，通信路暗号
対策は，通信路に存在する情報を守るためのものであ
る。上記の通信路暗号対策やファイル暗号対策を講じた
情報管理システムを用いれば，第三者が不正に暗号文を
入手しても，暗号文の解読を困難にすることができる。

【０００４】

【発明が解決しようとする課題】しかし，現実には，秘
密にすべき暗号鍵を第三者が推定したり，秘密にすべき
暗号鍵を第三者が入手した場合，暗号が解読されてしま
う。暗号が解読された場合，同じ暗号アルゴリズムと暗
号鍵によって生成された，通信路やファイルに存在する
暗号文は全て解読されてしまう。

【０００５】そこで，本発明の目的は，機密情報の全て
を第三者が不正に入手することを困難にし、かつ、情報
の開示ポリシーに従って、情報の一部の提供を容易にす
る情報管理システム及び情報通信システムを提供するこ
とである。

【０００６】

【課題を解決するための手段】本発明の目的を達成する
ために，本発明は、情報の分割規則と蓄積規則とを保持
する管理装置，入力された情報を前記分割規則に従って
分割するか否かを決定し，分割する場合は前記情報を分
割し，前記蓄積規則に従って前記情報を送信する入力装
置，前記入力装置から受信した前記情報を蓄積する蓄積
装置，及び前記蓄積規則と分割規則を用いて各前記蓄積
装置から前記情報を収集し，収集した前記情報を統合
し，統合された情報を出力する出力装置をネットワーク
で接続した情報管理システムを提供する。

【０００７】さらに，本発明は、情報の分割規則と中継
規則とを保持する管理装置、前記中継規則に従って情報
の中継を行なう少なくとも１つ以上の中継装置，入力さ
れた情報を前記分割規則に従って分割するか否かを決定
し，分割する場合は前記情報を分割し，前記中継規則に
従って前記情報を送信する送信装置，及び受信した前記
情報を前記分割規則と中継規則を用いて統合し，統合さ
れた情報を出力する受信装置をネットワークで接続した
情報通信システムを提供する。

【０００８】

【発明の実施の形態】まず始めに、本実施例で用いられ
る用語の定義をする。サービスの利用者をユーザ，サー
ビスの提供者をプロバイダと記す。また，プロバイダが
提供する個々のサービスの属性情報をサービス属性情
報，ユーザの属性情報をユーザ属性情報，ユーザによる
サービスの利用履歴情報を単に利用履歴情報とそれぞれ
記し，サービス属性情報，ユーザ属性情報，及び利用履
歴情報を総称して管理情報と記す。この管理情報を出力
装置を用いて利用する利用者を検索者と記す。また，管
理情報を分割して複数のデータにするためのルールを分
割規則，管理情報または分割されたデータをどの蓄積装
置に保存するかを指定するルールを蓄積規則、どの検索
者にどの範囲での管理情報の開示を許すかを指定するル
ールを利用条件情報と記す。

【０００９】本発明の第１の実施形態を詳細に説明す
る。

【００１０】図１は，本発明の情報管理システムの構成
を示すブロック図である。本システムでは，入力装置１
００，蓄積装置２００，３００，４００，出力装置５０
０，管理装置６００の４種類の装置がネットワーク７０
０を介して接続されている。ここで，図１に示したシス
テムでは，入力装置と出力装置と管理装置はそれぞれ１
台，蓄積装置は３台しか示されていないが，これ以上の
台数の各装置が接続されていても構わない。また，図１
の各装置はいずれも単一の計算機を利用した装置である
が，単一の装置を複数台の計算機で構成してもよく，ま
た複数の装置を単一の計算機を利用して構成してもよ
い。また，入力装置は、本システムに対して管理情報を
入力するための装置であり，実際には，ユーザがサービ
スを利用するのに用いる端末，あるいはプロバイダがサ
ービスを提供するサーバが該当する。

【００１１】入力装置１００は，利用者が管理情報，分
割規則，蓄積規則，利用条件情報を入力する装置であ
り，入力部１１０と分割部１２０と通信部１３０を備え
る。入力部１１０は，利用者の認証を行ない，認証され
た利用者が入力する管理情報，分割規則，蓄積規則，利
用条件情報を受け付ける。分割部１２０は，入力装置１
００と出力装置５００の正当な利用者以外の第三者が管
理情報全てを不正に入手することを困難にするために，
入力部１１０で入力された所定の分割規則に従って，入
力部１１０で入力された管理情報を複数のデータに分割
する。また，分割部１２０は，予め管理装置６００に保
持された分割規則に従って，管理情報を複数のデータに
分割する。ただし分割規則によっては，分割が行われな
い場合もある。以下では，分割が行なわれなかった管理
情報も１つに分割されたデータとみなし，これを，2つ
以上に分割されたデータとともに分割されたデータと記
す。分割部１２０は，さらに，入力部１１０で入力され
た蓄積規則に従って，分割されたデータを蓄積する蓄積
装置を決定する。また，分割部１２０は，予め管理装置
６００に保持された蓄積規則に従って，蓄積する蓄積装
置を決定する。通信部１３０は，入力部１１０で入力さ
れた分割規則，蓄積規則，利用条件情報を管理装置６０
０に送信する。また，通信部１３０は，分割部１２０で
分割されたデータを，分割部１２０で決定された蓄積装
置に送信する。

【００１２】ここで，入力部１１０で行なう利用者の認
証方法としては，利用者本人の知識（パスワード，暗証
番号など），本人の持ち物（磁気カード，ＩＣカードな
ど），又は本人の身体的特徴（指紋，声紋，虹彩，網膜
パターン，筆跡，ＤＮＡなど）を利用する方法が用いら
れるが，本実施例では，本人の知識であるパスワードを
利用することとする。また，分割規則と蓄積規則と利用
条件情報は，管理装置６００に保持され、入力装置１０
０と出力装置５００の正当な利用者のみがその全部ある
いは一部を知ることのできるものとし，これ以外の第３
者には秘密にされているものとする。また，この認証を
管理装置６００で集中的に行う方法もある。

【００１３】蓄積装置２００，３００，４００は，入力
装置１００が送信したデータを蓄積する装置であり，蓄
積部２１０，３１０，４１０と通信部２２０，３２０，
４２０をそれぞれ備える。蓄積部２１０，３１０，４１
０は，通信部で受信したデータを蓄積する。また，蓄積
部２１０，３１０，４１０は，通信部で受信した読み出
し要求に応じて蓄積しているデータを読み出す。通信部
２２０，３２０，４２０は，入力装置１００が送信した
データを受信する。また，通信部２２０，３２０，４２
０は，出力装置５００が送信した読み出し要求を受信す
るとともに，蓄積部５１０，６１０，７１０が読み出し
たデータを出力装置５００に送信する。ここで，蓄積装
置２００，３００，４００には，予めユニークな識別子
「Storage1」，「Storage2」，「Storage3」がそれぞれ
割り当てられている。

【００１４】出力装置５００は，検索者が管理情報を出
力する装置であり，出力部５１０と統合部５２０と通信
部５３０を備える。出力部５１０は，検索者により予め
入力さた検索者の属性情報を蓄積し，検索者の認証を行
ない，認証された検索者が入力した読み出し要求を受け
付ける。また，出力部５１０は，統合部５２０が統合し
た管理情報を出力する。統合部５２０は，認証された検
索者の属性情報と，管理装置６００から取得した予め管
理装置６００に保持された利用条件情報とを比較し，管
理情報に対する検索者の検索権限の範囲を確認する。さ
らに，予め管理装置６００に保持された分割規則と蓄積
規則とを取得して，出力部５１０で受け付けた読み出し
要求から、蓄積装置に対する１つ以上の新たな読み出し
要求を生成するとともに，生成した読み出し要求を送信
する蓄積装置を決定する。また，統合部５２０は，通信
部５３０が蓄積装置から受信したデータを統合する。以
下では，生成した新たな読み出し要求をネスト要求と記
す。通信部５３０は，統合部５２０で決定された蓄積装
置にネスト要求を送信する。また，通信部５３０は，ネ
スト要求に応じて蓄積装置が送信したデータを受信す
る。また，通信部５３０は，管理装置６００に，分割規
則，蓄積規則，および利用条件情報の読み出し要求を送
信し，管理装置６００から分割規則，蓄積規則，および
利用条件情報を受信する。

【００１５】ここで，出力部５１０に蓄積される検索者
の属性情報を構成するデータには様々なものが考えられ
る。例えば，認証に利用するパスワードなどのデータ
や，管理情報を得ることに対して支払う対価の条件を示
すデータや，検索者の業種などの管理情報の利用目的を
示すデータや，名前，年齢，性別，住所，メールアドレ
ス，電話番号などの個人属性を示すデータなどがある。
本実施例では，検索者の属性情報は，認証に利用する認
証データと，所定の対価を支払っている検索者か否かを
示す検索者種別データから成る。なお，検索者の属性情
報を管理装置６００で集中的に管理する方法もある。出
力部５１０で行なう利用者の認証方法としては，入力措
置１００の入力部１１０で行なう認証方法と同様に，利
用者本人の知識，本人の持ち物，又は本人の身体的特徴
を利用する方法を用いることができるが，本実施例で
は，本人の知識であるパスワードを利用する。また、認
証を管理装置６００で集中的に行う方法もある。

【００１６】管理装置６００は，本システムの管理情報
の蓄積や検索に関する規則を保持する装置であり，分割
規則蓄積部６１０と蓄積規則蓄積部６２０と利用条件情
報蓄積部６３０と通信部６４０を備える。分割規則蓄積
部６１０は，通信部６４０で受信した分割規則を蓄積す
る。また，分割規則蓄積部６１０は，通信部６４０で受
信した読み出し要求に応じて蓄積している分割規則を読
み出す。蓄積規則蓄積部６２０は，通信部６４０で受信
した蓄積規則を蓄積する。また，蓄積規則蓄積部６２０
は，通信部６４０で受信した読み出し要求に応じて蓄積
している蓄積規則を読み出す。利用条件情報蓄積部６３
０は，通信部６４０で受信した利用条件情報を蓄積す
る。また，利用条件情報蓄積部６３０は，通信部６４０
で受信した読み出し要求に応じて蓄積している利用条件
情報を読み出す。通信部６４０は，入力装置１００が送
信した分割規則，蓄積規則，および利用条件情報を受信
する。また，通信部６４０は，出力装置５００が送信し
た分割規則，蓄積規則，および利用条件情報の読み出し
要求を受信するとともに，分割規則蓄積部６１０，蓄積
規則蓄積部６２０，および利用条件情報蓄積部６３０が
読み出した分割規則，蓄積規則，および利用条件情報を
出力装置５００に送信する。

【００１７】以上，本システムの構成を説明した。続い
て，このシステムが扱う管理情報，検索者の属性情報，
利用条件情報，および各種規則の実例について詳細に説
明する。

【００１８】蓄積装置２００，３００，４００の蓄積部
２１０，３１０，４１０に蓄積される管理情報の種別に
は，サービス属性情報とユーザ属性情報と利用履歴情報
がある。

【００１９】サービス属性情報は，ネットワークを利用
して提供されるサービスの属性を表す。図２は，サービ
ス属性情報の例を示す表である。図２の表では，各行は
サービス属性情報を表し，サービス属性情報は「サービ
ス識別子」，「サービス名」，「利用料金」，「プロバ
イダ氏名」，「プロバイダ住所」の各データから成る。
各データは，それぞれ，サービスごとにユニークに割り
当てられる識別子，サービスの名前，サービスの利用料
金，プロバイダの氏名，プロバイダの住所を表すデータ
である。

【００２０】ユーザ属性情報と利用履歴情報は，それぞ
れ，ユーザの属性と，サービスの利用履歴を表す情報で
ある。サービス属性情報と同様に，図３，図４は，それ
ぞれユーザ属性情報の例と利用履歴情報の例を示す表で
ある。図３の表では，各行はユーザ属性情報を表してお
り，サービス属性情報は「ユーザ識別子」，「氏名」，
「年齢」，「性別」，「住所」，「メールアドレス」の
各データから成る。これらの各データは，それぞれ，ユ
ーザごとにユニークに割り当てられる識別子，ユーザの
氏名，ユーザの年齢，ユーザの性別，ユーザの住所，ユ
ーザのメールアドレスを表すデータである。また、図４
の表では，各行は利用履歴情報を表し，利用履歴情報は
「利用履歴識別子」，「利用開始日時」，「利用終了日
時」，「ユーザ識別子」，「サービス識別子」の各デー
タから成る。これらの各データは，それぞれ，サービス
の利用ごとにユニークに割り当てられる識別子，サービ
スの利用を開始した日時，サービスの利用を終了した日
時，サービスを利用したユーザのユーザ識別子，利用し
たサービスのサービス識別子を表すデータである。

【００２１】図５は，出力装置５００の出力部５１０に
蓄積される検索者の属性情報の例を示す表である。図５
の表では,各行は検索者の属性情報を表し，サービス属
性情報は「検索者識別子」，「パスワード」，「検索者
種別」の各データから成る。これらの各データは，検索
者ごとにユニークに割り当てられる識別子，検索者の認
証に用いるパスワード，検索者の種別を表すデータであ
る。なお，検索者の種別には，管理者と無料検索利用者
と有料検索利用者がある。無料検索利用者は，管理情報
の取得に対して対価を支払っていない検索者であり，有
料検索者は，所定の対価を支払っている検索者である。

【００２２】管理装置６００の利用条件情報蓄積部６３
０に蓄積される利用条件情報の種別には，サービス属性
情報利用条件情報とユーザ属性情報利用条件情報と利用
履歴情報利用条件情報がある。これらの情報は，それぞ
れ対応するサービス属性情報とユーザ属性情報と利用履
歴情報の利用条件を指定する。

【００２３】サービス属性情報利用条件情報は，プロバ
イダがサービス属性情報ごとに利用条件を個別に指定す
る。この利用条件には，出力装置５００の出力部５１０
に蓄積される検索者の属性情報を利用して様々な条件を
指定できる。例えば，検索者が支払う対価の額ごとに，
サービス属性情報の各データを公開するか否かを指定す
る条件や，管理情報の利用目的ごとにサービス属性情報
の各データを公開するか否かを指定する条件や，名前，
年齢，性別，住所，メールアドレス，電話番号などの個
人属性をどこまで検索者が公開しているかにより，サー
ビス属性情報の各データを公開するか否かを指定する条
件などがある。本実施例では，所定の対価を支払ってい
る検索者か否かによりサービス属性情報の各データを公
開するか否かを指定する条件を用いる。

【００２４】図６は，サービス属性情報利用条件情報の
例を示す表である。図６の表では，各行は，サービス属
性情報利用条件情報を表し，サービス属性情報利用条件
情報は「サービス識別子利用条件」，「サービス名利用
条件」，「利用料金利用条件」，「プロバイダ氏名利用
条件」，「プロバイダ住所利用条件」の各データから成
る。最初の「サービス識別子」を除いた残りの各データ
は，この最初の「サービス識別子」により対応づけられ
るサービス属性情報の各データ，すなわちサービス属性
情報の各データの「サービス識別子」，「サービス
名」，「利用料金」，「プロバイダ氏名」，「プロバイ
ダ住所」の各データの利用条件を示すデータである。図
６の表では，利用条件データは，検索者の３つの種別ご
とに，この利用条件に対応するサービス属性情報のデー
タが「公開」または「非公開」の何れであるのかを表し
ている。

【００２５】同様に，図７は，ユーザがユーザ属性情報
ごとに指定するユーザ属性情報利用条件情報の例を示す
表である。また，図８は，プロバイダとユーザが合意の
上で利用履歴情報ごとに指定する履歴情報利用条件情報
の例を示す表である。

【００２６】管理装置６００の分割規則蓄積部６１０に
蓄積される分割規則は，管理情報の全てを第三者が不正
に入手することを困難にするために，入力装置１００の
入力部１１０で入力された管理情報を１つ以上のデータ
に分割する規則である。一般に，第三者が分割されたデ
ータを不正に入手した場合に，この第三者が得ることの
できる情報をより少なくする分割規則は，管理情報の種
別などに依存して決定される。このため本実施例では，
管理情報の種別ごとに個別に分割規則を定義する。分割
規則には，サービス属性情報分割規則とユーザ属性情報
分割規則と利用履歴情報分割規則がある。図９は，分割
規則の例を示す表である。図９の表では，「サービス属
性情報分割規則」は，サービス属性情報を分割しないこ
とを示す。また，「ユーザ属性情報分割規則」は，ユー
ザ属性情報を，データ「ユーザ識別子」，「年齢」，
「性別」をもつデータＵＡと，データ「ユーザ識別
子」，「氏名」，「住所」，「メールアドレス」をもつ
データＵＢとに分割する。また，「利用履歴情報分割規
則」は，利用履歴データを，データ「利用履歴識別
子」，「利用開始日時」，「利用終了日時」，「サービ
ス識別子」をもつデータＲＡと，データ「利用履歴識別
子」， 「ユーザ識別子」をもつデータＲＢとに分割す
る。ここで，ＵＡとＵＢは，ユーザ情報から分割された
２つのデータを識別するための識別子であり，また，Ｒ
ＡとＲＢは，利用履歴情報から分割された２つのデータ
を識別するための識別子である。

【００２７】管理装置６００の蓄積規則蓄積部６２０に
蓄積される蓄積規則は，分割されたデータを蓄積する蓄
積装置を決定する規則である。蓄積規則には，分割規則
に対応づけて，サービス属性情報蓄積規則とユーザ属性
情報蓄積規則と利用履歴情報蓄積規則がある。図１０
は，蓄積規則の例を示す表である。図１０の表では，
「サービス属性情報蓄積規則」は，サービス属性情報
を，識別子が「Ｓｔｏｒａｇｅ１」である蓄積装置で蓄
積することを示す。また，「ユーザ属性情報蓄積規則」
は，データＵＡを識別子が「Ｓｔｏｒａｇｅ１」である
蓄積装置で蓄積し，データＵＢを識別子が「Ｓｔｏｒａ
ｇｅ２」である蓄積装置で蓄積することを示す。また，
「利用履歴情報蓄積規則」は，データＲＡを識別子が
「Ｓｔｏｒａｇｅ２」である蓄積装置で蓄積し，データ
ＲＢを識別子が「Ｓｔｏｒａｇｅ１」である蓄積装置で
蓄積することを示す。

【００２８】以上，本システムが扱う管理情報，検索者
の属性情報，利用条件情報，および各種規則の実例につ
いて説明した。続いて，管理情報の入力処理フローと出
力処理フローについて説明する。

【００２９】図１１に管理情報の入力処理フローを示
す。入力装置１００は，利用者にパスワードを入力させ
（ステップ４０００），利用者の認証を行なう（ステッ
プ４００１）。利用者に管理情報の種別を入力させると
（ステップ４００２），管理情報の種別に対応づけられ
た分割規則と蓄積規則が既に管理装置で蓄積されている
か否かを調べる（ステップ４００３）。蓄積されている
場合には，分割規則と蓄積規則の読み出し要求を作成し
（ステップ４００４），この読み出し要求を管理装置６
００に送信する（ステップ４００５）。管理装置６００
は，入力装置１００から分割規則と蓄積規則の読み出し
要求を受信すると（ステップ４００６），要求された分
割規則と蓄積規則を読み出し（ステップ４００７），こ
れらの規則を入力装置１００に送信する（ステップ４０
０８）。入力装置１００は，送信された規則を受信する
（ステップ４００９）。

【００３０】一方，入力装置１００は，分割規則と蓄積
規則が管理装置で蓄積されていない場合には，利用者に
分割規則と蓄積規則を入力させる（ステップ４０１
０）。続いて，入力装置１００は，利用者に管理情報と
利用条件情報を入力させ（ステップ４０１１），管理情
報を１つ以上のデータに分割し（ステップ４０１２），
各データを蓄積する蓄積装置を決定し（ステップ４０１
３），各データを各蓄積装置に送信する（ステップ４０
１４）。各蓄積装置は，送信されたデータを受信し（ス
テップ４０１５，ステップ４０１６），受信したデータ
を蓄積する（ステップ４０１７，ステップ４０１８）。

【００３１】続いて，入力装置１００は，利用者に入力
させた分割規則と蓄積規則があるか否かを調べる（ステ
ップ４０１９）。ある場合には，利用者が入力した利用
条件情報と分割規則と蓄積規則を管理装置６００に送信
する（ステップ４０２０）。管理装置６００は，入力装
置１００が送信した利用条件情報と分割規則と蓄積規則
を受信し（ステップ４０２１），これらを蓄積する（ス
テップ４０２２）。一方，入力装置１００は，利用者に
入力させた分割規則と蓄積規則がない場合には，利用条
件情報のみを管理装置６００に送信する（ステップ４０
２３）。管理装置６００は，入力装置１００が送信した
利用条件情報を受信し（ステップ４０２４），これを蓄
積する（ステップ４０２５）。

【００３２】図１２に管理情報の出力処理フローを示
す。出力装置１００は，検索者にパスワードを入力させ
（ステップ４１００），検索者の認証を行ない（ステッ
プ４１０１），検索者の属性情報を読み出す（ステップ
４１０２）。出力装置１００は，検索者に管理情報の読
み出し要求を入力させると（ステップ４１０３），読み
出し要求のあった管理情報に対応付けられている利用条
件情報の読み出し要求を作成し（ステップ４１０４），
作成した要求を管理装置６００に送信する（ステップ４
１０５）。管理措置６００は，入力装置１００から利用
条件情報の読み出し要求を受信すると（ステップ４１０
６），要求された利用条件情報を読み出し（ステップ４
１０７），この情報を入力装置１００に送信する（ステ
ップ４１０８）。入力装置１００は，送信された利用条
件情報を受信する（ステップ４１０９）。

【００３３】続いて,出力装置１００は，分割規則と蓄
積規則の読み出し要求を作成し（ステップ４０１０），
この読み出し要求を管理装置６００に送信する（ステッ
プ４０１１）。管理装置６００は，入力装置１００から
分割規則と蓄積規則の読み出し要求を受信すると（ステ
ップ４０１２），要求された分割規則と蓄積規則を読み
出し（ステップ４０１３），これらの規則を入力装置１
００に送信する（ステップ４０１４）。入力装置１００
は，送信された規則を受信する（ステップ４０１５）。
続いて，出力装置１００は，管理情報の読み出し要求か
ら１つ以上のネスト要求を作成し（ステップ４０１
６）,蓄積規則を用いてネスト要求を送信する蓄積装置
を決定し（ステップ４０１７），ネスト要求を各蓄積措
置に送信する（ステップ４０１８）。各蓄積装置は，入
力装置１００が送信したネスト要求を受信し（ステップ
４０１９，ステップ４１２０），ネスト要求に従ってデ
ータを読み出し（ステップ４０２１，ステップ２２），
読み出したデータを入力装置１００に送信する（ステッ
プ４０２３，ステップ２４）。入力装置１００は，送信
された各データを受信し（ステップ４０２５），分割規
則を用いてこれらのデータを統合して管理情報を作成し
（ステップ４０２６），これを出力する（ステップ４０
２７）。

【００３４】この実施形態によれば，分割規則と蓄積規
則と利用条件情報を管理装置６００で保持し、これらの
全部あるいは一部を入力装置１００と出力装置５００の
正当な利用者のみが知ることができるようにし，これ以
外の第３者には秘密にしていることから，管理情報が第
三者に不正にアクセスされても，管理している情報を第
三者に全て理解させることなく，機密性の喪失を局所的
に抑え、かつ、サービス利用者が許可した範囲でのサー
ビス利用者の属性情報とサービスの利用履歴情報の活用
を容易にできる。

【００３５】以上，本発明の実施の形態を説明したが，
本発明は，これ以外にも様々な変形が可能である。

【００３６】第２の実施形態は，第１の実施形態を変形
したものである。図１において，入力装置１００は，入
力された管理情報の全部または一部を暗号化し，出力装
置５００は，蓄積装置２００，３００，４００から収集
した情報またはデータをそれぞれ復号化する。暗号化や
復号化の方式には，例えば、米国暗号標準DESやRSA暗号
などの方式があり，これらををそのまま利用できる。こ
の実施形態により，管理情報の機密性をより維持するこ
とが可能となる。

【００３７】第３の実施形態は，第１の実施形態をさら
に変形したものである。図１３に示したシステムでは，
情報取得装置３０００，３１００，３２００が新たに接
続されている。情報取得装置３０００，３１００，３２
００は，出力装置５００を介して，管理情報を取得し，
所定の処理を行なう。ここで，図２に示したシステムで
は，情報取得装置は３台しか示されていないが，実際に
はこれ以上の台数が接続されていても構わない。また，
図１３の情報取得装置はいずれも単一の計算機を利用し
た装置であるが，単一の装置を複数台の計算機で構成し
てもよく，また複数の装置を単一の計算機を利用して構
成してもよい。

【００３８】情報取得装置３０００，３１００，３２０
０は，取得した管理情報前記情報に基づき所定の処理を
行なう装置であり,処理部３０１０，３１１０，３２１
０と通信部３０２０，３１２０，３２２０をそれぞれ備
える。処理部３０１０，３１１０，３２１０は，出力装
置５００に対する管理情報の読み出し要求を生成する。
また，処理部３０１０，３１１０，３２１０は，通信部
で受信したデータに対して所定の処理を行なう。通信部
３０２０，３１２０，３２２０は，処理部が生成した読
み出し要求を出力装置５００に送信する。また，通信部
３０２０，３１２０，３２２０は，送信した読み出し要
求に応じて出力装置５００が送信した管理情報を受信す
る機能を有する。情報取得装置の処理部が行なう処理に
は様々なものがあるが，例えば，利用履歴情報を利用し
た課金処理や，サービス属性情報とユーザ属性情報と利
用履歴情報を利用したマーケティング処理などがある。

【００３９】この実施形態によれば，機密性の維持が必
要な情報の管理機能を，各情報取得装置ごとに個別に保
持する必要がなく，各情報処理装置で共有できる。

【００４０】第４の実施形態を詳細に説明する。本実施
形態は，本発明を適用した情報通信システムである。本
システムが扱える情報に特に制限はないが，第１の実施
形態と同様に，本システムでは，前述のサービス属性情
報とサービス利用者の属性情報とサービスの利用履歴情
報を管理する。本システムは，第三者に不正にアクセス
されても，通信している情報を第三者に全て理解させる
ことことなく，機密性の喪失を局所的に抑えることがで
きる。

【００４１】まず，用語の定義をする。第１の実施形態
と同様に，プロバイダが提供する個々のサービスの属性
情報をサービス属性情報，ユーザの属性情報をユーザ属
性情報，ユーザによるサービスの利用履歴情報を単に利
用履歴情報と記し，サービス属性情報，ユーザ属性情
報，利用履歴情報を総称して通信情報と記す。この通信
情報を、送信装置を用いて送信する利用者を送信者，受
信装置を用いて受信する利用者を受信者と記す。また，
通信情報を分割して複数のデータにするためのルールを
分割規則，通信情報または分割されたデータを１つ以上
のどの中継装置に中継させるかを指定するルールを中継
規則と記す。分割されたデータに付加して，次に送信す
べき中継装置または受信装置を各中継装置に指定する情
報を経路情報と記す。

【００４２】図１４は，本システムの構成を示すブロッ
ク図である。本システムでは，送信装置５１００，中継
装置５２００，５３００，５４００，受信装置５５０
０，管理装置６００の４種類の装置がネットワーク５７
００を介して接続されている。ここで，図１４に示した
システムでは，送信装置と受信装置と管理装置はそれぞ
れ１台，中継装置は３台しか示されていないが，実際に
はこれ以上の台数の送信装置，受信装置，管理装置、中
継装置が接続されていても構わない。また，図１４の各
装置はいずれも単一の計算機を利用した装置であるが，
図１に示した各装置と同様に，単一の装置を複数台の計
算機で構成してもよく，また複数の装置を単一の計算機
を利用して構成してもよい。

【００４３】送信装置５１００は，送信者が通信情報，
分割規則，中継規則を入力する装置であり，入力部５１
１０と分割部５１２０と通信部５１３０を備える。入力
部５１１０は，利用者の認証を行ない，認証された送信
者が入力する通信情報，分割規則，中継規則を受け付け
る。分割部５１２０は，送信装置５１００と受信装置５
５００の正当な利用者以外の第三者が通信情報全てを不
正に入手することを困難にするために，入力部５１１０
で入力された所定の分割規則に従って，入力部５１１０
で入力された通信情報を複数のデータに分割する。ま
た，分割部５１２０は，予め管理装置５６００に保持さ
れた分割規則を取得して，この分割規則に従って，通信
情報を複数のデータに分割する。ただし分割規則によっ
ては，分割が行われない場合もある。以下では，分割が
行なわれなかった通信情報も１つに分割されたデータと
みなし，これを，2つ以上に分割されたデータとともに
分割されたデータと記す。分割部５１２０は，さらに，
入力部５１１０で入力された中継規則に従って，分割さ
れたデータを中継する中継装置を決定し，各データに経
路情報を付加する。また，分割部５１２０は，予め管理
装置５６００に保持された中継規則を取得して，この中
継規則に従って，中継する中継装置を決定し，経路情報
を付加する。通信部５１３０は，入力部５１１０で入力
された分割規則，中継規則を管理装置５６００に送信す
る。また，通信部５１３０は，分割部５１２０で分割さ
れたデータを，分割部１２０で付加された経路情報にあ
る最初の中継装置に送信する。ここで，入力部５１１０
で行なう利用者の認証方法としては，図１の入力装置１
００と同様に様々なものを用いることができるが，本実
施形態の説明では，図１の入力装置１００と同様に，本
人の知識であるパスワードを利用する。また，分割規則
と中継規則は，管理装置５６００に保持され、送信装置
５１００と受信装置５５００の正当な利用者のみがその
全部あるいは一部を知ることのできるものとし，これ以
外の第３者には秘密にされているものとする。また，認
証を管理装置６００で集中的に行う方法もある。

【００４４】中継装置５２００，５３００，５４００
は，送信装置５１００または他の中継装置が送信したデ
ータを中継する装置であり，中継部５２１０，５３１
０，５４１０と通信部５２２０，５３２０，５４２０を
それぞれ備える。中継部５２１０，５３１０，５４１０
は，付加された経路情報に従って，通信部で受信したデ
ータを次に送信する中継装置５２００，５３００，５４
００または受信装置５５００を決定する。通信部５２２
０，５３２０，５４２０は，送信装置５１００または他
の中継装置５２２０，５３２０，５４２０が送信したデ
ータを受信する。また，通信部２２０，３２０，４２０
は，中継部５２１０，５３１０，５４１０が決定した中
継装置または受信装置にデータを送信する。ここで，中
継装置５２００，５３００，５４００には，予めユニー
クな識別子「Relay1」，「Relay2」，「Relay3」がそれ
ぞれ割り当てられている。

【００４５】受信装置５５００は，受信者が通信情報を
出力する装置であり，出力部５５１０と統合部５５２０
と通信部５５３０を備える。出力部５５１０は，受信者
の認証を行ない，認証された受信者が入力した読み出し
要求を受け付ける。また，出力部５５１０は，統合部５
５２０が統合した通信情報を出力する。統合部５５２０
は，出力部５５１０で受け付けた読み出し要求に従っ
て，管理装置６００から分割規則と中継規則取得し，こ
れらの規則を利用して通信部５５３０で受信したデータ
を統合する。通信部５５３０は，通信部５５３０は，送
信装置５１００または中継装置５５００が送信したデー
タを受信する。また，通信部５５３０は，管理装置５６
００に，分割規則および中継規則の読み出し要求を送信
し，管理装置６００から分割規則および中継規則を受信
する。ここで，出力部５５１０で行なう利用者の認証方
法としては，送信措置５１００の入力部５１１０で行な
う認証方法と同様に，利用者本人の知識，本人の持ち
物，又は本人の身体的特徴を利用する方法を用いること
ができるが，本実施形態の説明では，本人の知識である
パスワードを利用する。また、認証を管理装置５６００
で集中的に行う方法もある。

【００４６】管理装置５６００は，本システムの通信方
法に関する規則を保持する装置であり，分割規則蓄積部
５６１０と中継規則蓄積部５６２０と通信部５６３０を
備える。分割規則蓄積部５６１０は，通信部５６３０で
受信した分割規則を蓄積する。また，分割規則蓄積部５
６１０は，通信部５６４０で受信した読み出し要求に応
じて蓄積している分割規則を読み出す。中継規則蓄積部
５６２０は，通信部６４０で受信した中継規則を蓄積す
る。また，中継規則蓄積部５６２０は，通信部５６３０
で受信した読み出し要求に応じて蓄積している中継規則
を読み出す。通信部５６３０は，送信装置５１００が送
信した分割規則および中継規則を受信する。また，通信
部５６３０は，送信装置５５００が送信した分割規則お
よび中継規則の読み出し要求を受信するとともに，分割
規則蓄積部５６１０および中継規則蓄積部５６２０が読
み出した分割規則および中継規則を受信装置５５００に
送信する。

【００４７】以上，本システムの構成を説明した。続い
て，中継規則の実例について詳細に説明する。なお，こ
のシステムが扱う通信情報および分割規則は，第１の実
施形態と同様であるので説明を省略する。

【００４８】管理装置５６００の中継規則蓄積部５６２
０に蓄積される中継規則は，分割されたデータを中継さ
せる中継装置を決定する規則を示す。中継規則には，分
割規則に対応づけて，サービス属性情報中継規則とユー
ザ属性情報中継規則と利用履歴情報中継規則がある。図
１５は，中継規則の例を示す表である。図１５の表で
は，「サービス属性情報中継規則」は，サービス属性情
報を，識別子が「Ｒｅｌａｙ１」である中継装置を経由
させて受信装置に送信することを示す。また，「ユーザ
属性情報中継規則」は，データＵＡを，識別子が「Ｒｅ
ｌａｙ１」である中継装置を経由させて受信装置に送信
し，データＵＢを，識別子が「Ｒｅｌａｙ２」である中
継装置を経由させて受信装置に送信することを示す。ま
た，「利用履歴情報中継規則」は，データＲＡを，識別
子が「Ｒｅｌａｙ２」と「Ｒｅｌａｙ３」である中継装
置をそれぞれこの順で経由させて受信装置に送信し，デ
ータＲＢを，識別子が「Ｒｅｌａｙ３」と「Ｒｅｌａｙ
１」である中継装置をそれぞれこの順で経由させて受信
装置に送信することを示す。

【００４９】以上，中継規則の実例について詳細に説明
した。続いて，通信情報の送信処理フローと中継処理フ
ローと読み出し処理フローについて説明する。

【００５０】図１６に通信情報の送信処理フローを示
す。送信装置５１００がパスワードを入力させてから通
信情報を入力させる前まで（ステップ６０００〜６０１
０）の説明は，図１１の説明で，利用者を送信者に，入
力装置を送信装置に，蓄積規則を中継規則に，それぞれ
置き換えたものと同じであるので省略する。続いて，入
力装置５１００は，送信者に通信情報を入力させ（ステ
ップ６０１１），通信情報を１つ以上のデータに分割し
（ステップ６０１２），各データを送信する経路を決定
し（ステップ６０１３），各データを経路情報にある最
初の中継装置に送信する（ステップ６０１４）。各中継
装置は，送信されたデータを受信する（ステップ６０１
５，ステップ６０１６）。続いて，送信装置５１００
は，送信者に入力させた分割規則と中継規則があるか否
かを調べる（ステップ６０１７）。ある場合には，送信
者が入力した分割規則と中継規則を管理装置５６００に
送信する（ステップ６０１８）。管理装置５６００は，
送信装置５１００が送信した分割規則と中継規則を受信
し（ステップ４０１９），これらを蓄積する（ステップ
４０１０）。一方，送信装置５１００は，送信者に入力
させた分割規則と中継規則がない場合には，そのまま処
理を終了する（ステップ６０２１）。

【００５１】図１７に通信情報の中継処理フローを示
す。中継装置５２００，５３００，５４００は，データ
を受信すると（ステップ６０５０），データに付加され
ている経路情報を読み出し（ステップ６０５１），次に
送信する中継装置または受信装置を決定し（ステップ６
０５２），データを送信する（ステップ６０５３）。他
の中継装置，または受信装置は，送信されたデータを受
信する（ステップ６０５４）。

【００５２】図１８に通信情報の読み出し処理フローを
示す。受信装置５１００は，検索者にパスワードを入力
させ（ステップ６１００），検索者の認証を行ない（ス
テップ６１０１）。検索者に通信情報の読み出し要求を
入力させる（ステップ６１０２）。続いて，受信装置５
１００は，分割規則と中継規則の読み出し要求を作成し
（ステップ６１０３），この読み出し要求を管理装置５
６００に送信する（ステップ６１０４）。管理装置５６
００は，受信装置５１００から分割規則と中継規則の読
み出し要求を受信すると（ステップ６１０５），要求さ
れた分割規則と中継規則を読み出し（ステップ６１０
６），これらの規則を受信装置５１００に送信する（ス
テップ６１０７）。受信装置５１００は，送信された規
則を受信する（ステップ６１０８）。続いて，受信装置
５１００は，通信情報の読み出し要求に従って,データ
を読み出し（ステップ６１０９），データを統合して通
信情報を作成し（ステップ６１１０），これを出力する
（ステップ６１１１）。

【００５３】この実施形態によれば，分割規則と中継規
則を管理装置５６００で保持し、これらの全部あるいは
一部を送信装置５１００と受信装置５５００の正当な利
用者のみが知ることができるようにし，これ以外の第３
者には秘密にしていることから，通信情報が第三者に不
正にアクセスされても，通信している情報を第三者に全
て理解させることことなく，機密性の喪失を局所的に抑
えることができる。

【００５４】以上，第４の実施の形態を説明したが，本
発明は，これ以外にも様々な変形が可能である。第５の
実施形態は，第４の実施形態を変形したものである。図
１４において，送信装置５１００は，入力された通信情
報の全部または一部を暗号化し，受信装置５５００は，
中継装置５２００，５３００，５４００から収集した情
報またはデータをそれぞれ復号化する。暗号化や復号化
の方式には，例えば米国暗号標準DESやRSA暗号などの方
式があり，これらを利用できる。この実施形態によれ
ば，これにより，管理情報の機密性をより維持すること
が可能となる。

【００５５】

【発明の効果】以上述べたように，本発明によれば，管
理情報が第三者に不正にアクセスされても，管理してい
る情報を第三者に全て理解させることことなく，機密性
の喪失を局所的に抑え、かつ、サービス利用者が許可し
た範囲でのサービス利用者の属性情報とサービスの利用
履歴情報の活用を容易にできる。また，本発明によれ
ば，通信情報が第三者に不正にアクセスされても，通信
している情報を第三者に全て理解させることことなく，
機密性の喪失を局所的に抑えることができる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態を示すシステム構成ブ
ロック図である。

【図２】図１に示されている蓄積装置で蓄積されるサー
ビス属性情報の一例を示す図である。

【図３】図１に示されている蓄積装置で蓄積されるユー
ザ属性情報の一例を示す図である

【図４】図１に示されている蓄積装置で蓄積される利用
履歴情報の一例を示す図である

【図５】図１に示されている出力装置で蓄積される検索
者の属性情報の一例を示す図である。

【図６】図１に示されている管理装置で蓄積されるサー
ビス属性情報利用条件情報の一例を示す図である。

【図７】図１に示されている管理装置で蓄積されるユー
ザ属性情報利用条件情報の一例を示す図である。

【図８】図１に示されている管理装置で蓄積される利用
履歴情報利用条件情報の一例を示す図である。

【図９】図１に示されている管理装置で蓄積される分割
規則の一例を示す図である。

【図１０】図１に示されている管理装置で蓄積される蓄
積規則の一例を示す図である。

【図１１】図１に示されているシステムにおける管理情
報の入力処理フローを示す図である。

【図１２】図１に示されているシステムにおける管理情
報の出力処理フローを示す図である。

【図１３】第３の実施形態を示すシステム構成ブロック
図である。

【図１４】第４の実施形態を示すシステム構成ブロック
図である。

【図１５】図１４に示されている管理装置で蓄積される
中継規則の一例を示す図である。

【図１６】図１４に示されているシステムにおける通信
情報の送信処理フローを示す図である。

【図１７】図１４に示されているシステムにおける通信
情報の中継処理フローを示す図である。

【図１８】図１４に示されているシステムにおける通信
情報の読み出し処理フローを示す図である。

【符号の簡単な説明】

１００ 入力装置， ２００，３００，４００ 蓄積装置， ５００ 出力装置， ６００ 管理装置， ７００ ネットワーク， ３０００，３１００，３２００ 情報取得装置， ５１００ 送信装置， ５２００，５３００，５４００ 中継装置， ５５００ 受信装置。

Claims (9)

【特許請求の範囲】
1. 【請求項１】情報の分割規則と蓄積規則とを保持する管
   理装置，入力された情報を前記分割規則に従って分割す
   るか否かを決定し，分割する場合は前記情報を分割し，
   前記蓄積規則に従って前記情報を送信する入力装置，前
   記入力装置から受信した前記情報を蓄積する蓄積装置，
   及び前記蓄積規則と分割規則を用いて各前記蓄積装置か
   ら前記情報を収集し，収集した前記情報を統合し，統合
   された情報を出力する出力装置をネットワークで接続し
   たことを特徴とする情報管理システム。
2. 【請求項２】請求項１に記載のシステムにおいて，前記
   入力装置と前記出力装置は，各装置の利用者の認証を行
   なうことを特徴とする情報管理システム。
3. 【請求項３】請求項２記載のシステムにおいて，前記入
   力装置は，前記管理装置で保持され、前記入力された情
   報の利用条件を個別に指定する利用条件情報を指定し，
   前記蓄積装置は，前記利用条件情報の利用条件を満たし
   ている場合に，入力情報の少なくとも一部の読み出し
   を，前記出力装置の利用者に対して認めることを特徴と
   する情報管理システム。
4. 【請求項４】請求項１、２または３記載のシステムにお
   いて，前記入力装置は，入力された情報の少なくとも一
   部を第１の規則に従って暗号化し，前記出力装置は，前
   記蓄積装置から収集した前記情報を第２の規則に従って
   復号化することを特徴とする情報管理システム。
5. 【請求項５】請求項１，２，３または４記載のシステム
   は，前記出力装置に接続され，前記蓄積装置に蓄積され
   いてる情報を取得する情報取得装置は，取得した前記情
   報に基づいて所定の処理を行なうことを特徴とする情報
   管理システム。
6. 【請求項６】情報の分割規則と中継規則とを保持する管
   理装置、 前記中継規則に従って情報の中継を行なう少なくとも１
   つ以上の中継装置，入力された情報を前記分割規則に従
   って分割するか否かを決定し，分割する場合は前記情報
   を分割し，前記中継規則に従って前記情報を送信する送
   信装置，及び受信した前記情報を前記分割規則と中継規
   則を用いて統合し，統合された情報を出力する受信装置
   をネットワークで接続したことを特徴とする情報通信シ
   ステム。
7. 【請求項７】請求項６に記載のシステムにおいて，前記
   送信装置と前記受信装置は，各装置の利用者の認証を行
   なうことを特徴とする情報通信システム。
8. 【請求項８】請求項６または７記載のシステムにおい
   て，前記送信装置は，入力された情報の少なくとも一部
   を第１の規則に従って暗号化し，前記受信装置は，受信
   した前記情報を第２の規則に従って復号化することを特
   徴とする情報通信システム。
9. 【請求項９】入力された情報を分割規則に従って分割
   し，蓄積規則に従って前記分割された情報を送信する入
   力装置，前記入力装置から受信した前記情報を蓄積する
   少なくとも一つの蓄積装置，及び前記蓄積規則と分割規
   則を用いて各前記蓄積装置から前記情報を収集して統合
   し，前記統合された情報を出力する出力装置をネットワ
   ークで接続したことを特徴とする情報管理システム。