JP2007164266A - データベース管理方法および個人情報管理システム - Google Patents

Abstract

【課題】検索効率を低下させることなく、データの漏洩を防止することができ、管理者などの内部不正者による漏洩を防止することのできる個人情報管理システムを提供する。
【解決手段】個人情報管理システムにおいて、視聴者情報管理サーバ１０１により、視聴者情報を収集して、項目ＩＤ管理サーバ１０２に項目ＩＤの要求を行い、項目ＩＤ管理サーバ１０２により、項目ＩＤ要求に基づき、視聴者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、項目ＩＤを自身のデータベースに視聴者と関連付けて記録するとともに、視聴者情報管理サーバ１０１に送信し、視聴者情報管理サーバ１０１により、項目ＩＤ管理サーバ１０２より受け取った項目ＩＤに基づいて視聴者情報を自身のデータベース内に格納する。
【選択図】図７

Description

本発明は、データベース管理方法および個人情報管理システムに関し、特に、個人情報保護技術において個人情報を安全に管理する技術に関するものである。

インターネットや家庭内のネットワークが普及し、いわゆるＰＣだけでなく、それ以外の一般家電製品にもネットワーク対応型が普及し始めている。こうした中で、個人のプロフィールや家電の使用状況など生活に密着した個人情報が、通信ネットワークを介して容易に送信可能となり、オンラインで個人情報を収集しサービス提供に利用する事業が急増している。

このようなサービスにおいて、個人情報の悪用や改ざんを防ぐためには、収集後の個人情報データベースを安全に保護、管理することが重要である。

データベースを保護する技術としては、例えば特開２００５−２４２４７１号公報（特許文献１）に記載されている暗号方式や、例えば特開２００３−２７１４３８号公報（特許文献２）に記載されているアクセス制御方式や、例えば特開２００５−１８２２７５号公報（特許文献３）に記載されている分割方式があった。
特開２００５−２４２４７１号公報 特開２００３−２７１４３８号公報 特開２００５−１８２２７５号公報

しかしながら、特許文献１，２では、暗号化やアクセス制御により、データベースのデータを保護しているものの、検索する際に全データの復号が必要となり、検索効率が悪くなったり、管理者など内部不正者によりデータベースが流出してしまうと、全てのデータが漏洩してしまう。

また、特許文献３では、一度にデータが漏洩するという事態は防げるものの、一旦データベース間のデータが対応づけられてしまうと、管理者により漏洩してしまうという恐れがある。

そこで、本発明の目的は、検索効率を低下させることなく、データの漏洩を防止することができ、管理者などの内部不正者による漏洩を防止することのできるデータベース管理方法および個人情報管理システムを提供することにある。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。

本発明によるデータベース管理方法は、利用者より個人情報である利用者情報を収集し、利用者や事業者に対して、収集した利用者情報を利用範囲に基づき開示する利用者情報管理サーバと、利用者情報の各項目と利用者とを関連付ける情報である項目ＩＤを生成、管理し、要求に基づき利用範囲内で前記項目ＩＤを提供する項目ＩＤ管理サーバと、サービスを受けるために自身の個人情報を提供する利用者側装置と、サービスを提供するために利用者情報の閲覧を行う事業者端末とを含んで構成される個人情報管理システムにおけるデータベース管理方法であって、利用者情報管理サーバにより、利用者情報を収集して、項目ＩＤ管理サーバに項目ＩＤの要求を行い、項目ＩＤ管理サーバにより、項目ＩＤ要求に基づき、利用者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、項目ＩＤを自身のデータベースに利用者と関連付けて記録するとともに、利用者情報管理サーバに送信し、利用者情報管理サーバにより、項目ＩＤ管理サーバより受け取った項目ＩＤに基づいて利用者情報を自身のデータベース内に格納するものである。

また、本発明による個人情報管理システムは、利用者の個人情報を収集する利用者情報収集部と、利用者の個人情報を開示する利用者情報開示部と、視聴者から収集した個人情報を記録、管理する利用者情報データベースとを持つ利用者情報管理サーバと、項目ＩＤの作成を行う項目ＩＤ付与部と、項目ＩＤを検索する項目ＩＤ検索部と、項目ＩＤを記録、管理する項目ＩＤデータベースとを持つ項目ＩＤ管理サーバと、利用者情報管理サーバに要求して利用者情報の閲覧を行う利用者情報閲覧部を持つ事業者端末と、自身の個人情報を利用者情報管理サーバに送信する利用者情報送信部と、利用者情報管理サーバに要求して、登録されている利用者情報の確認を行う利用者情報確認部と、自身の個人情報を記録、管理する個人情報データベースとを持つ利用者側装置とを備え、利用者情報管理サーバは、利用者情報を収集して、項目ＩＤ管理サーバに項目ＩＤの要求を行い、項目ＩＤ管理サーバは、項目ＩＤ要求に基づき、利用者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、項目ＩＤを自身のデータベースに利用者と関連付けて記録するとともに、利用者情報管理サーバに送信し、利用者情報管理サーバは、項目ＩＤ管理サーバより受け取った項目ＩＤに基づいて利用者情報を自身のデータベース内に格納するものである。

具体的には、本発明では、各視聴者より収集した個人情報について、各個人情報項目毎に項目名と項目値とを対応づけるための項目ＩＤを付与し、項目ＩＤ管理サーバは、項目名と項目ＩＤを、視聴者情報管理サーバは、項目値と項目ＩＤをデータベースに記録する。それぞれ独立した項目ＩＤ管理サーバと、視聴者情報管理サーバが、相互にデータをやり取りすることで初めて個人情報の特定を可能としている。

固有乱数を項目ＩＤとし、視聴者情報取得・更新のたびに新規の項目ＩＤを生成して、更新項目については旧ＩＤと置き換え、項目ＩＤでソートすることにより、データベース内部のシャッフリングを行う。また、項目ＩＤ管理サーバに、各項目値のハッシュ値を持たせ、項目ＩＤ要求時には、開示許可判定に基づき、項目毎に、項目ＩＤを送信するか、ハッシュ値を送信するか決定する。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

本発明によれば、視聴者情報管理サーバのデータベースが漏洩した場合であっても、特定の個人の個人情報の項目値を取得することを困難とすることができる。

また、本発明によれば、更新のたびに項目ＩＤ管理サーバ、および視聴者情報管理サーバのデータベースのシャッフリングが行われるので、項目ＩＤ管理サーバのデータベースが漏洩した場合、すなわち項目名と項目値の関連付けが漏洩した場合であっても、それを使用した視聴者情報の不正取得を防止できる。

また、本発明によれば、利用者からの利用者情報自体を前記利用者情報管理サーバのみで管理することができ、項目情報のみを前記項目ＩＤ管理サーバに送信すればよいため、複数のサーバ構成においても、利用者情報が必要以上に事業者内を流通することがなく安全性を高めることができる。

また、本発明によれば、項目ＩＤ管理サーバによる情報の秘匿と改ざん検知を両立させた開示制御により、内部不正防止を可能とすることができる。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

＜個人情報管理システムの構成＞
図１により、本発明の一実施の形態に係る個人情報管理システムの構成について説明する。図１は本発明の一実施の形態に係る個人情報管理システムの構成を示す構成図である。

本実施の形態では、視聴者情報を利用して放送サービスを行うシステムに本発明を適用した場合について説明する。

図１において、本実施の形態での個人情報管理システムは、視聴者の個人情報（以後、視聴者情報と呼ぶ）を収集、管理し、番組放送に利用するシステムであり、視聴者情報の収集、管理を行う視聴者情報管理サーバ１０１と、視聴者情報管理サーバ１０１に蓄積された視聴者情報について、特定の視聴者の視聴者情報を関連付けるための関連付け情報（以後、項目ＩＤと呼ぶ）を管理する項目ＩＤ管理サーバ１０２と、視聴者情報管理サーバの管理する視聴者情報に基づいて、番組放送を行う番組放送サーバ１０３と、視聴者情報管理サーバの管理する視聴者情報を閲覧し、課金や視聴率集計などの業務を行う事業者端末１０４と、サービス利用のために自らの視聴者情報を提供し、番組を視聴する視聴者側装置１０５〜１０７から構成される。

視聴者側装置１０５〜１０７は、サービスを利用する利用者数分が存在する。事業者端末１０４は、サーバ１０１〜１０３と同一の組織内に存在しても良いし、外部組織として存在しても良い。

図１に示す例では、視聴者情報管理サーバ１０１、項目ＩＤ管理サーバ１０２、番組放送サーバ１０３、事業者端末１０４、視聴者側装置１０５〜１０７は、ネットワーク１０８を介して繋がっている。

なお、項目ＩＤ管理サーバ１０２は、外部ネットワークから切断して、内部ネットワークにより視聴者情報管理サーバ１０１と繋がっていても良い。また、番組放送サーバ１０３は、本例のようにネットワークを利用してコンテンツを放送しても良いし、電波を利用して放送しても良い。

＜個人情報管理システムを構成する各部の内部構成＞
次に、図２〜図６により、本発明の一実施の形態に係る個人情報管理システムを構成する各部の内部構成について説明する。図２〜図６は本発明の一実施の形態に係る個人情報管理システムを構成する各部の内部構成を示す構成図であり、図２は視聴者情報管理サーバの内部構成を示す構成図、図３は項目ＩＤ管理サーバの内部構成を示す構成図、図４は番組放送サーバの内部構成を示す構成図、図５は事業者端末の内部構成を示す構成図、図６は視聴者側装置の内部構成を示す構成図である。

図２において、視聴者情報管理サーバ１０１は、ＣＰＵ２０１と、記憶装置２０２と、ネットワークを介して他の装置と通信を行うための通信装置２０４と、キーボードやマウスなどの入力装置２０５と、ディスプレイなどの表示装置２０６と、これらを接続するインタフェース２０３とから構成される。

記憶装置２０２には、視聴者側装置１０５〜１０７より視聴者情報を収集し、項目ＩＤ管理サーバ１０２より項目ＩＤを取得して、前記視聴者情報を視聴者情報データベース２１０に記録する視聴者情報収集プログラム２０７と、視聴者情報データベース２１０より視聴者情報を取得して、事業者端末１０４や視聴者側装置１０５〜１０７に視聴者情報を開示する視聴者情報開示プログラム２０８と、視聴者情報データベース２１０に蓄積された視聴者情報を集計して番組放送サーバ１０３に通知するコンテンツ関連プログラム２０９と、視聴者側装置より収集した視聴者情報が記録された視聴者情報データベース２１０と、番組放送サーバ１０３が持つコンテンツの属性情報が記録されたコンテンツ属性情報データベース２１１と、署名の作成や暗号化復号化に利用する視聴者情報管理サーバの秘密鍵２１２、公開鍵２１３が格納されている。

以下の説明における各プログラム２０７〜２０９の処理は、インタフェース２０３を介して呼び出された各プログラムをＣＰＵ２０１が実行することにより、視聴者情報管理サーバ１０１上で実現されるものである。各プログラムは、予め記憶装置２０２に格納されていても良いし、視聴者情報管理サーバ１０１が利用可能な媒体を介して導入されても良い。媒体とは、例えば、視聴者情報管理サーバ１０１に着脱可能な記憶媒体や、通信装置２０４に接続するネットワークまたはネットワークを伝搬する搬送波といった通信媒体を含む。

図３において、項目ＩＤ管理サーバ１０２は、前述の視聴者情報管理サーバ１０１と同様の構成からなる（３０１〜３０６）。

記憶装置３０２には、視聴者情報についての関連付け情報として視聴者情報の各項目の項目ＩＤを作成し、項目ＩＤデータベースに記録する項目ＩＤ付与プログラム３０７と、項目ＩＤデータベースより、要求された視聴者に関する視聴者情報の各項目の項目ＩＤを検索する項目ＩＤ検索プログラム３０８と、項目ＩＤが記録された項目ＩＤデータベース３０９と、事業者端末に対する開示制御を行うための情報が記録された事業者開示ポリシーファイル３１０と、署名の作成や暗号化復号化に利用する項目ＩＤ管理サーバの秘密鍵３１１、公開鍵３１２が格納されている。

以下の説明における各プログラム３０７、３０８の処理は、項目ＩＤ管理サーバ１０２上で実現されるものである。各プログラムの実行および格納方法については、前述の視聴者情報管理サーバ１０１と同様である。

図４において、番組放送サーバ１０３は、前述の視聴者情報管理サーバ１０１と同様の構成からなる（４０１〜４０６）。

記憶装置４０２には、ネットワーク１０８にコンテンツを送出するコンテンツ送出プログラム４０７と、送出するためのコンテンツファイル４０８と、署名の作成や暗号化復号化に利用する番組放送サーバの秘密鍵４０９、公開鍵４１０が格納されている。

なお、コンテンツファイル４０８は、不正利用防止のため暗号化して送出することが望ましいが、コンテンツファイル４０８を、予め暗号化し、暗号化後のコンテンツファイルを記憶装置４０２に格納しておくことで、送出時の暗号化処理に要する負荷を軽減することができる。

以下の説明における各プログラム４０７の処理は、番組放送サーバ１０３上で実現されるものである。各プログラムの実行および格納方法については、前述の視聴者情報管理サーバ１０１と同様である。

図５において、事業者端末１０４は、前述の視聴者情報管理サーバ１０１と同様の構成からなる（４１１〜４１６）。

記憶装置４１２には、視聴者情報管理サーバ１０１に視聴者情報の開示を要求し、視聴者情報を閲覧する視聴者情報閲覧プログラム４１７と、署名の作成や暗号化復号化に利用する事業者端末の秘密鍵４１８、公開鍵４１９が格納されている。

以下の説明における各プログラム４１７の処理は、事業者端末１０４上で実現されるものである。各プログラムの実行および格納方法については、前述の視聴者情報管理サーバ１０１と同様である。

図６において、視聴者側装置１０５〜１０７は、前述の視聴者情報管理サーバ１０１と同様の構成からなる（５０１〜５０６）。

記憶装置５０２には、視聴者情報管理サーバ１０１からの視聴者情報送信要求を受け、自身の視聴者情報を、署名を付与した後に送信する視聴者情報送信プログラム５０７と、視聴者情報管理サーバ１０１に対して、自身の視聴者情報についての閲覧を要求し、視聴者情報管理サーバ１０１の管理する視聴者情報の確認を行う視聴者情報確認プログラム５０８と、番組放送サーバ１０３より、コンテンツを視聴するコンテンツ視聴プログラム５０９と、自身の視聴者情報が記録されている個人情報データベース５１０と、視聴者情報管理サーバ１０１に対する開示制御を行うための情報が記録された視聴者開示ポリシーファイル５１１と、署名の作成や暗号化復号化に利用する視聴者の秘密鍵５１２、公開鍵５１３が格納されている。

以下の説明における各プログラム５０７〜５０９の処理は、視聴者側装置１０５〜１０７上で実現されるものである。各プログラムの実行および格納方法については、前述の視聴者情報管理サーバ１０１と同様である。

＜個人情報管理システムのデータフローの概要＞
次に、図７により、本発明の一実施の形態に係る個人情報管理システムのデータフローの概要について説明する。図７は本発明の一実施の形態に係る個人情報管理システムのデータフローの概要を説明するための説明図であり、視聴者情報管理サーバ１０１と、項目ＩＤ管理サーバ１０２と、番組放送サーバ１０３と、事業者端末１０４と、視聴者側装置１０５〜１０７の間でやり取りされるデータフローの概要を示している。

図７に示すように、視聴者側装置１０５〜１０７は、視聴者情報管理サーバ１０１からの要求に基づき、住所、氏名といった視聴者情報の各項目の値が記載された視聴者情報ファイル６０１を、視聴者情報管理サーバ１０１に送信する（Ｓ１００）。

視聴者情報ファイル６０１を受け取った視聴者情報管理サーバ１０１は、視聴者情報ファイルの各項目についての項目ＩＤを要求する項目ＩＤ要求ファイル６０２を、項目ＩＤ管理サーバ１０２に送信する（Ｓ１０１）。

項目ＩＤ要求ファイル６０２を受け取った項目ＩＤ管理サーバ１０２は、各項目に対する項目ＩＤを生成し、自身の項目ＩＤデータベース３０９に登録するとともに、項目ＩＤが記載された項目ＩＤ情報ファイル６０３を、視聴者情報管理サーバ１０１に送信する（Ｓ１０２）。

項目ＩＤ情報ファイル６０３を受け取った視聴者情報管理サーバ１０１は、項目ＩＤ情報ファイルに記載された項目ＩＤに従って、視聴者側装置１０５〜１０７より受け取った視聴者情報ファイル６０１の各項目の値を、視聴者情報データベース２１０に記録する。

事業者端末１０４および視聴者側装置１０５〜１０７は、視聴者情報管理サーバ１０１の管理する視聴者情報の閲覧を行う場合、視聴者情報管理サーバ１０１に対し、視聴者情報の閲覧要求を行う。

要求を受けた視聴者情報管理サーバ１０１は、閲覧対象視聴者情報を視聴者情報データベース２１０より特定するための項目ＩＤを要求する項目ＩＤ要求ファイル６０２を、項目ＩＤ管理サーバ１０２に送信する（Ｓ１０３）。

項目ＩＤ要求ファイル６０２を受け取った項目ＩＤ管理サーバ１０２は、項目ＩＤデータベース３０９を検索して、要求のあった閲覧対象視聴者情報に関する項目ＩＤを取得し、項目ＩＤ情報ファイル６０３を作成して、視聴者情報管理サーバ１０１に送信する（Ｓ１０４）。

項目ＩＤ情報ファイル６０３を受け取った視聴者情報管理サーバ１０１は、項目ＩＤ情報ファイルに記載された項目ＩＤより視聴者情報データベース２１０を検索し、閲覧対象視聴者の視聴者情報を取得して閲覧用視聴者情報ファイル６０４、６０５を作成し、閲覧要求のあった事業者端末１０４または視聴者側装置１０５〜１０７に送信する（Ｓ１０５）。

視聴者情報管理サーバ１０１は、自身の持つ視聴者情報データベース２１０を検索し、番組編成に必要な情報を抽出して、番組編成情報６０６を作成して、番組放送サーバ１０３に送信する。

また、各視聴者側装置に対して、各視聴者に合わせた番組情報通知などのサービスを行う場合には、それに必要な視聴者情報を視聴者情報データベース２１０より特定するための項目ＩＤを要求する項目ＩＤ要求ファイル６０２を、項目ＩＤ管理サーバ１０２に送信し（Ｓ１０７）、項目ＩＤ情報ファイル６０３を項目ＩＤ管理サーバ１０２より取得する（Ｓ１０８）。

番組編成情報６０６を受け取った番組放送サーバ１０３は、蓄積されているコンテンツファイル４０８より番組編成情報に基づいてコンテンツ６０７を選択し、放送する（Ｓ１０９）。

＜個人情報管理システムの視聴者情報収集処理＞
次に、図８〜図１８により、本発明の一実施の形態に係る個人情報管理システムの視聴者情報収集処理について説明する。図８、図９、図１２、図１４、図１７は本発明の一実施の形態に係る個人情報管理システムの視聴者情報収集処理を示すフローチャートであり、図８は視聴者情報管理サーバが視聴者側装置に視聴者情報を要求して、視聴者情報を取得し、視聴者情報データベースに記録するまでの視聴者情報収集処理における全体シーケンス、図９は視聴者側装置における視聴者情報送信手順を示すフローチャート、図１２は視聴者情報管理サーバにおける視聴者情報収集時の項目ＩＤ要求ファイル作成・送信手順を示すフローチャート、図１４は項目ＩＤ管理サーバにおける項目ＩＤ作成手順を示すフローチャート、図１７は視聴者情報管理サーバにおける視聴者情報登録処理を示すフローチャートである。

また、図１０、図１１、図１３、図１５、図１６、図１８は本発明の一実施の形態に係る個人情報管理システムで使用される各種情報の一例を示す図であり、図１０は視聴者情報ファイル、図１１は項目情報ファイル、図１３は項目ＩＤ要求ファイル、図１５は項目ＩＤ情報ファイル、図１６は項目ＩＤデータベース、図１８は視聴者情報データベースの一例を示している。

視聴者情報管理サーバ１０１による視聴者情報の収集は、新規視聴者登録時に新規視聴者に対して、あるいは、定期的もしくは任意のタイミングで全視聴者または一部の視聴者に対して行われる。

まず、図８に示すように、視聴者情報管理サーバ１０１は、視聴者情報収集プログラム２０７により、Ｓ７０１の処理を行う。具体的には、視聴者情報管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの電子署名を生成して、それを含む視聴者情報要求データを作成し、視聴者側装置１０５〜１０７に送信する。送信の際は、共通鍵暗号方式などによって、視聴者情報要求データを暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者側装置の公開鍵５１３を用いて暗号化し、暗号化された視聴者情報要求データとともに送信する。ここで使用する視聴者の公開鍵５１３は、視聴者情報管理サーバ１０１の視聴者情報データベース２１０に予め記録しておいても良いし、視聴者側装置１０５〜１０７から取得しても良い。

視聴者情報要求データを受け取った視聴者側装置１０５〜１０７は、視聴者情報管理サーバ１０１や番組放送サーバ１０３、事業者端末１０４の提供する番組情報通知や自動決済などのサービスを利用するために、自身の視聴者情報を、視聴者情報送信プログラム５０７により、視聴者情報管理サーバ１０１に送信する。視聴者側装置１０５〜１０７は、視聴者情報送信プログラム５０７により、以下のＳ７０２、Ｓ７０３の視聴者情報送信処理を行う。これにより、各視聴者側装置の視聴者情報が、視聴者情報管理サーバ１０１に送られる。

Ｓ７０２では、まず受信した視聴者情報要求データが暗号化されている場合は、共通鍵暗号方式により暗号化されているので、視聴者側装置の秘密鍵５１２を用いて、視聴者側装置の公開鍵５１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、視聴者情報要求データを復号する。次に、視聴者情報要求データに付与されている視聴者情報管理サーバ１０１の電子署名を検証する。ここで検証に使用する視聴者情報管理サーバの公開鍵２１３は、視聴者情報管理サーバ１０１より予め取得しておいても良いし、視聴者情報要求データとともに、視聴者情報管理サーバ１０１から視聴者側装置１０５〜１０７に送られても良い。検証成功した場合は、次のＳ７０３に進み、検証失敗した場合は、処理を終了する。

Ｓ７０３では、視聴者情報管理サーバ１０１に送信するための視聴者情報ファイル６０１の作成を行う。このＳ７０３での視聴者情報ファイル作成・送信処理は、図９に示すように、具体的には、以下の処理を行う。

Ｓ７０３ａでは、個人情報データベース５１０を検索して、視聴者情報管理サーバ１０１に送信する視聴者情報（例えば、視聴者ＩＤ、氏名、住所、趣味などの項目名および値）を取得する。取得する際は、視聴者開示ポリシーファイル５１１を参照し、視聴者情報管理サーバ１０１に送信しても良い項目のみその値を取得し、開示したくない項目については、例えば、その値を「非開示」という文字列に置き換えるなどして、項目の真の値を秘匿するようにしても良い。

Ｓ７０３ｂでは、Ｓ７０３ａで取得された視聴者情報の各項目について、各項目毎に乱数（ここでは、ｒ１〜ｒ８と表記する）を生成する。ここで作成した乱数は、個人情報データベース５１０に記録しておく。そして、各項目の値と作成した各項目毎の乱数を足し合わせたものに対し、ハッシュ値を計算する。

例えば、項目「郵便番号」については、値「１２３−４５６７」と乱数「ｒ１」を足し合わせたデータに対してハッシュ関数を適用して、ハッシュ値「３Ａ１Ｂ２８２１・・・」を生成する。ハッシュ値「３Ａ１Ｂ２８２１・・・」の作成に、乱数「ｒ１」を利用することによって、推測攻撃により、ハッシュ値から元の値「１２３−４５６７」が漏洩するのを防止することができる。乱数を利用しない場合、例えば、「０００−００００」「０００−０００１」「０００−０００２」…と順に数字を当てはめてハッシュ値を生成することにより、ハッシュ値「３Ａ１Ｂ２８２１・・・」にぴったり合う郵便番号を見つけることができてしまう可能性がある。そして、各項目のハッシュ値を全て足し合わせたものに対して、視聴者側装置の秘密鍵５１２を用いて、公開鍵暗号方式により、視聴者署名８０２を作成する。

Ｓ７０３ｃでは、前記Ｓ７０３ａで取得した視聴者情報の各項目名と各項目値、項目毎の乱数、および、前記Ｓ７０３ｂで作成した視聴者署名８０２より、図１０に示すような視聴者情報ファイル６０１を作成し、視聴者情報管理サーバ１０１に送信する。送信の際は、共通鍵暗号方式などによって、視聴者情報ファイル６０１を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者情報管理サーバ１０１の公開鍵２１３を用いて暗号化し、暗号化された視聴者情報ファイル６０１とともに送信する。この際、視聴者情報ファイル６０１とともに、図１１に示すような項目情報ファイル８０１を視聴者情報管理サーバ１０１に送信しても良い。

項目情報ファイル８０１は、Ｓ７０３ａで取得した視聴者ＩＤ、各項目名、および、Ｓ７０３ｂで作成した各項目のハッシュ値からなる。項目情報ファイル８０１により、視聴者情報ファイル６０１を復号せずに、すなわち、各項目の値を隠したまま項目ＩＤの必要な項目名、およびその各項目のハッシュ値を知ることができる。

視聴者情報ファイル６０１を受け取った視聴者情報管理サーバ１０１は、項目ＩＤ要求ファイル６０２を項目ＩＤ管理サーバ１０２に送信する。視聴者情報管理サーバ１０１は、視聴者情報収集プログラム２０７により、以下のＳ７０４、Ｓ７０５の項目ＩＤ要求処理を行う。

Ｓ７０４では、視聴者側装置より、視聴者情報ファイル６０１、および項目情報ファイル８０１を受信する。

Ｓ７０５では、項目ＩＤ管理サーバ１０２に送信するための項目ＩＤ要求ファイル６０２の作成を行う。このＳ７０５での項目ＩＤ要求ファイル作成・送信処理は、図１２に示すように、具体的には、以下の処理を行う。

Ｓ７０５ａでは、Ｓ７０４で視聴者情報ファイル６０１とともに項目情報ファイル８０１を受信している場合、項目情報ファイル８０１が暗号化されている時は、視聴者情報管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの公開鍵２１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目情報ファイル８０１を復号する。

そして、項目情報ファイル８０１より、視聴者ＩＤ、各項目名、各項目値のハッシュ値を取得する。Ｓ７０４で項目情報ファイル８０１を受信しなかった場合は、視聴者情報ファイル６０１が暗号化されている時は、視聴者情報管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの公開鍵２１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、視聴者情報ファイル６０１を復号する。

そして、視聴者情報ファイル６０１より、視聴者ＩＤ、各項目名、各項目値のハッシュ値（項目値とその項目の乱数を足し合わせたものに対し、ハッシュ関数を適用して取得）を取得する。

Ｓ７０５ｂでは、まず、Ｓ７０５ａで取得した視聴者ＩＤをキーとして、視聴者情報データベース２１０を検索し、項目ＩＤが既に存在するかどうか調べる。既に存在する場合は、Ｓ７０１〜７０９は、視聴者情報更新処理であり、存在しない場合は、Ｓ７０１〜７０９は、新規視聴者情報登録処理ということになる。

次に、Ｓ７０５ａで取得した視聴者ＩＤ、各項目名、各項目値のハッシュ値より、図１３に示すような項目ＩＤ要求ファイル６０２を作成する。

項目ＩＤ要求ファイル６０２は、端末ＩＤ９０１、要求理由９０２、要求項目９０３、要求者署名９０４からなる。端末ＩＤ９０１は、要求元の装置を識別するためのＩＤ（例えば、端末ＩＤ「０００１」は、視聴者情報管理サーバを表す）である。

要求理由９０２は、項目ＩＤを要求する理由を記載したものであり、ここでは、「視聴者情報更新」が記載される。要求時期を明らかにするために、日時のタイムスタンプを添付しても良い。要求時期の付与によって、同じ項目ＩＤ要求ファイルをコピーして複数回に渡って利用するといったような不正を防止することができる。

要求項目９０３は、項目ＩＤを要求する項目を記載したものであり、Ｓ７０５ａで取得した視聴者ＩＤ、各項目名、各項目値のハッシュ値が記載される。項目ＩＤが既に存在する場合（本ステップ最初の視聴者情報データベース２１０検索で項目ＩＤが検出された場合）、その項目ＩＤも視聴者ＩＤとともに記載する。要求者署名９０４は、項目ＩＤ要求ファイルを作成した要求元の電子署名であり、ここでは、端末ＩＤ９０１、要求理由９０２、要求項目９０３を合わせたものに対して、視聴者情報管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバ１０１の電子署名を生成して添付する。

Ｓ７０５ｃでは、Ｓ７０５ｂで作成した項目ＩＤ要求ファイル６０２を、項目ＩＤ管理サーバ１０２に送信する。送信の際は、共通鍵暗号方式などによって、項目ＩＤ要求ファイル６０２を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、項目ＩＤ管理サーバ１０２の公開鍵３１２を用いて暗号化し、暗号化された項目ＩＤ要求ファイル６０２とともに送信する。

項目ＩＤ要求ファイル６０２を受け取った項目ＩＤ管理サーバ１０２は、項目ＩＤを生成して項目ＩＤ情報ファイル６０３を作成し、視聴者情報管理サーバ１０１に送信する。項目ＩＤ管理サーバ１０２は、項目ＩＤ付与プログラム３０７により、以下のＳ７０６、Ｓ７０７の項目ＩＤ作成・送信処理を行う。

Ｓ７０６では、項目ＩＤ要求ファイル６０２に対する項目ＩＤ情報ファイル６０３の作成を行う。このＳ７０６での項目ＩＤ情報ファイル作成処理は図１４に示すように、具体的には、以下の処理を行う。

Ｓ７０６ａでは、項目ＩＤ要求ファイル６０２が暗号化されている時は、項目ＩＤ管理サーバの秘密鍵３１１を用いて、項目ＩＤ管理サーバの公開鍵３１２で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目ＩＤ要求ファイル６０２を復号する。

Ｓ７０６ｂでは、項目ＩＤ要求ファイル６０２に含まれる要求者署名９０４の検証を行う。ここでは、要求者である視聴者情報管理サーバ１０１（端末ＩＤ「０００１」）の電子署名を検証する。検証に使用する視聴者情報管理サーバの公開鍵２１３は、視聴者情報管理サーバ１０１より予め取得しておいても良いし、項目ＩＤ要求ファイルとともに、視聴者情報管理サーバ１０１から項目ＩＤ管理サーバ１０２に送られても良い。検証失敗した場合は、処理を終了する。

Ｓ７０６ｃでは、項目ＩＤ要求ファイル６０２に含まれる端末ＩＤ９０１と要求理由９０２より、項目ＩＤ管理サーバ１０２の事業者開示ポリシーファイル３１０を参照して、項目ＩＤを作成する項目の判定を行う。例えば、ここでは、要求者が視聴者情報管理サーバ１０１であり、要求理由が視聴者情報更新であるため、要求項目の全項目の項目ＩＤを生成する。

Ｓ７０６ｄでは、Ｓ７０６ｃの判定に基づき、項目ＩＤ要求ファイル６０２の要求項目９０３の各項目毎に項目ＩＤの生成を行う。具体的には、各項目毎に固有のＩＤ（例えば、ＵＵＩＤ：世界中でユニークな１２８ｂｉｔ幅の２進数値。ＵＵＩＤの仕様は、ＯＳＦ（Ｏｐｅｎ Ｓｏｆｔｗａｒｅ Ｆｏｕｎｄａｔｉｏｎ）のＤＣＥ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｃｏｍｐｕｔｉｎｇ Ｅｎｖｉｒｏｎｍｅｎｔ）仕様によって決められている。）を生成し、それを項目ＩＤとする。項目ＩＤは、全視聴者の各項目を識別するためのものであるので、十分大きく、かつ重複しないことが必要である。なお、視聴者ＩＤも１つの項目とみなし、項目名「視聴者ＩＤ」に対しても項目ＩＤの生成を行う。

Ｓ７０６ｅでは、Ｓ７０６ｄで作成した項目ＩＤを図１６に示すような項目ＩＤデータベース３０９に記録する。項目ＩＤデータベース３０９には、項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる各項目名およびハッシュ値、Ｓ７０６ｄで作成した項目ＩＤ、およびデータＩＤを記録し、項目ＩＤ順などに並べ替える。

なお、視聴者ＩＤについては、項目ＩＤ、項目名、データＩＤを記録する。視聴者ＩＤの値も一緒に記録しても良いが、視聴者ＩＤからそれに関連する項目の項目ＩＤ（特定の視聴者情報の項目ＩＤ）が取得できてしまうので、視聴者ＩＤを記録した場合、安全性は低下する。ここで、データＩＤは、同一視聴者の視聴者情報の項目であることを関連付けるＩＤであり、Ｓ７０６ｅにおいて、視聴者情報更新のための項目ＩＤ要求ファイル６０２を処理するたびに毎回新規作成して、項目ＩＤデータベース３０９に記録する。

例えば、項目ＩＤ「１０」の項目名「視聴者ＩＤ」と、項目ＩＤ「３５」の項目名「趣味・視聴情報」は、同一のデータＩＤ「Ａ３２８１９７５８９４…」を持つので、同じ視聴者の情報であることが分かる。視聴者ＩＤの値も一緒に項目ＩＤデータベース３０９に記録した場合は、視聴者ＩＤおよびデータＩＤを用いて、項目ＩＤ管理サーバ独自で項目ＩＤデータベースの中から指定した視聴者に関連する項目の項目ＩＤを検索することができる（例えば、視聴者ＩＤにより、項目ＩＤデータベース３０９の中からその視聴者ＩＤを持つレコードを抽出し、そのレコードのデータＩＤより、同一のデータＩＤを持つレコードを抽出する）。

なお、項目ＩＤ要求ファイル６０２の要求項目９０３に視聴者ＩＤとともに項目ＩＤ（例えば、項目ＩＤ「５０」）が記載されている場合（視聴者情報更新処理の場合）は、その項目ＩＤをキーとして、項目ＩＤデータベース３０９を検索し、項目ＩＤ「５０」のレコード（項目名「視聴者ＩＤ」、データＩＤ「Ｆ２７４８５７２０１３…」）を取得する。次に、取得したデータＩＤ「Ｆ２７４８５７２０１３…」をキーとして項目ＩＤデータベース３０９を検索し、同一のデータＩＤを持つレコードを全て取得し、それらを項目ＩＤデータベース３０９から削除する（例えば、項目ＩＤ「７０」のレコード）。これにより、更新前の古いデータが削除される。

Ｓ７０６ｆでは、図１５に示すような項目ＩＤ情報ファイル６０３の作成を行う。項目ＩＤ情報ファイル６０３は、項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる視聴者ＩＤと、項目ＩＤ要求ファイル６０２の要求項目９０３の各項目名とそれに対してＳ７０６ｄで作成した項目ＩＤと、項目ＩＤ管理サーバの電子署名１００１からなる。電子署名１００１は、項目ＩＤ管理サーバの秘密鍵３１１を用いて生成される。なお、Ｓ７０６ｅで削除したレコードがあった場合は、削除したレコードの項目ＩＤも項目ＩＤ情報ファイル６０３に記載する。

Ｓ７０７では、Ｓ７０６で作成した項目ＩＤ情報ファイル６０３を、視聴者情報管理サーバ１０１に送信する。送信の際は、共通鍵暗号方式などによって、項目ＩＤ情報ファイル６０３を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者情報管理サーバ１０１の公開鍵２１３を用いて暗号化し、暗号化された項目ＩＤ情報ファイル６０３とともに送信する。

項目ＩＤ情報ファイル６０３を受け取った視聴者情報管理サーバ１０１は、項目ＩＤ情報ファイル６０３に含まれる項目ＩＤに基づき、視聴者情報を視聴者情報データベース２１０に記録する。視聴者情報管理サーバ１０１は、視聴者情報収集プログラム２０７により、以下のＳ７０８、Ｓ７０９の視聴者情報登録処理を行う。

Ｓ７０８では、項目ＩＤ情報ファイル６０３が暗号化されている時は、視聴者情報管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの公開鍵２１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目ＩＤ情報ファイル６０３を復号する。

Ｓ７０９では、Ｓ７０２で受信した視聴者情報ファイル６０１の視聴者情報を、Ｓ７０８で受信した項目ＩＤ情報ファイル６０３の項目ＩＤに基づいて、視聴者情報データベース２１０に記録する。このＳ７０９での視聴者情報登録処理は、図１７に示すように、具体的には、以下の処理を行う。

Ｓ７０９ａでは、Ｓ７０５で視聴者情報ファイル６０１を復号していない場合、まず、視聴者情報管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの公開鍵２１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、視聴者情報ファイル６０１を復号する。次に、視聴者情報ファイル６０１より、各項目名と値、およびその項目の乱数を取得し、項目ＩＤ情報ファイル６０３より、各項目名とその項目ＩＤを取得する。

Ｓ７０９ｂでは、Ｓ７０９ａで取得した各項目名と値、およびその項目の乱数を、項目ＩＤとともに、図１８に示すような視聴者情報データベース２１０に記録する。記録後、データベース全体を項目ＩＤでソートし、並び替える。これにより、１視聴者の各項目値は、項目ＩＤに基づいてデータベース内にバラバラに記録されることになり、視聴者情報データベース２１０からの個人の特定を困難とすることができる。

ここで、視聴者情報ファイル６０１に含まれる視聴者署名８０２は、視聴者ＩＤとともに記録しているが、視聴者署名８０２を別のデータベースに一括して記録し、視聴者ＩＤと対応づけて管理しても良い。なお、項目ＩＤ情報ファイル６０３にＳ７０６ｅで削除したレコードの項目ＩＤが記載されていた場合は、その項目ＩＤをキーとして視聴者情報データベース２１０を検索し、そのレコードを削除する。

以上、Ｓ７０１〜Ｓ７０９の処理は、視聴者情報を収集するたびに視聴者毎に行われる。すなわち、視聴者の各項目の項目ＩＤは、視聴者情報更新のタイミングで変わることになり、万一、項目ＩＤデータベース３０９が漏洩した場合であっても、その項目ＩＤデータベース３０９は、視聴者情報が更新された段階で意味を持たなくなり、個人情報の漏洩を防止することができる。

項目ＩＤデータベース３０９が漏洩したことを検知した場合は、項目ＩＤ管理サーバ１０２は、全ての視聴者情報について項目ＩＤを再生成し、その再生成した項目ＩＤを、古い項目ＩＤとともに視聴者情報管理サーバ１０１に通知し、視聴者情報データベース２１０の更新を行わせる。なお、視聴者情報管理サーバ１０１や項目ＩＤ管理サーバ１０２の負荷や、要求するセキュリティレベルに応じて、項目ＩＤの生成頻度を、２回の更新毎に１回生成（後の１回は前回生成した項目ＩＤを再利用）にしたり、あるいは更新時には項目ＩＤを生成せず、定期的に全項目の項目ＩＤを再生成しても良い。

＜個人情報管理システムの視聴者情報閲覧処理＞
次に、図１９〜図２８により、本発明の一実施の形態に係る個人情報管理システムの視聴者情報閲覧処理について説明する。図１９、図２０、図２４、図２７は本発明の一実施の形態に係る個人情報管理システムの視聴者情報閲覧処理を示すフローチャートであり、図１９は事業者端末あるいは視聴者側装置が、サービスの提供あるいは自身の登録情報の確認のために、視聴者情報管理サーバに視聴者情報を要求し、視聴者情報の閲覧を行うまでの視聴者情報閲覧処理における全体シーケンス、図２０は視聴者情報管理サーバにおける視聴者情報開示時の項目ＩＤ要求ファイル作成・送信手順を示すフローチャート、図２４は項目ＩＤ管理サーバにおける項目ＩＤ検索手順を示すフローチャート、図２７は視聴者情報管理サーバにおける視聴者情報開示処理を示すフローチャートである。

また、図２１、図２２、図２３、図２５、図２６、図２８は本発明の一実施の形態に係る個人情報管理システムで使用される各種情報の一例を示す図であり、図２１は視聴者情報閲覧要求ファイル、図２２は項目ＩＤ要求ファイル、図２３は視聴者情報データベース、図２５は項目ＩＤ情報ファイル、図２６は項目ＩＤデータベース、図２８は閲覧用視聴者情報ファイルの一例を示している。

図１９において、まず、事業者端末が視聴者情報の閲覧を行う場合の処理について、以下に記載する。

事業者端末１０４は、視聴者情報閲覧プログラム４１７により、Ｓ１２０１の処理を行い、図２１に示すような視聴者情報閲覧要求ファイル１３０１の作成・送信を行う。

視聴者情報閲覧要求ファイル１３０１は、端末ＩＤ１３０２、要求理由１３０３、要求項目１３０４、要求者署名１３０５からなる。ここで、端末ＩＤ１３０２は、事業者端末の端末ＩＤ（端末毎に固有の識別ＩＤ）である（例えば、端末ＩＤ「１０００」は、業者Ａの端末Ｂであることを表す）。

要求理由１３０３は、視聴者情報を要求する理由を記載したものであり、ここでは、「視聴者情報閲覧」が記載される。要求時期を明らかにするために、日時のタイムスタンプを添付しても良い。要求時期の付与によって、同じ項目ＩＤ要求ファイルをコピーして複数回に渡って利用するといったような不正を防止することができる。

要求項目１３０４は、要求対象の視聴者に関する情報を記載したものであり、閲覧対象の視聴者情報の視聴者ＩＤが記載される。要求者署名１３０５は、視聴者情報閲覧要求ファイルを作成した要求元の電子署名であり、ここでは、端末ＩＤ１３０２、要求理由１３０３、要求項目１３０４を合わせたものに対して、事業者端末の秘密鍵４１８を用いて、事業者端末１０４の電子署名を生成して添付する。

そして、作成した視聴者情報閲覧要求ファイル１３０１を、視聴者情報管理サーバ１０１に送信する。送信の際は、共通鍵暗号方式などによって、視聴者情報閲覧要求ファイル１３０１を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者情報管理サーバの公開鍵２１３を用いて暗号化し、暗号化された視聴者情報閲覧要求ファイルとともに送信する。ここで使用する視聴者情報管理サーバの公開鍵２１３は、視聴者情報管理サーバ１０１より予め入手しておいても良いし、視聴者情報閲覧要求時に入手しても良い。

視聴者情報閲覧要求ファイル１３０１を受け取った視聴者情報管理サーバ１０１は、閲覧要求対象の視聴者情報について、項目値の取得に必要な項目ＩＤを取得するために、項目ＩＤ要求ファイル６０２を項目ＩＤ管理サーバ１０２に送信する。視聴者情報管理サーバ１０１は、視聴者情報開示プログラム２０８により、以下のＳ１２０２、Ｓ１２０３の項目ＩＤ要求処理を行う。

Ｓ１２０２では、視聴者情報閲覧要求ファイル１３０１が暗号化されている時は、視聴者管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの公開鍵２１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、視聴者情報閲覧要求ファイル１３０１を復号する。

Ｓ１２０３では、視聴者情報閲覧要求ファイル１３０１に対する項目ＩＤ要求ファイル６０２の作成を行う。このＳ１２０３での項目ＩＤ要求ファイル作成処理は、図２０に示すように、具体的には、以下の処理を行う。

Ｓ１２０３ａでは、Ｓ１２０２で復号した図２１に示すような視聴者情報閲覧要求ファイル１３０１より、端末ＩＤ１３０２、要求理由１３０３、要求項目１３０４（閲覧対象の視聴者ＩＤ）、要求者署名１３０５を取得する。

そして、要求項目１３０４に含まれる閲覧対象の視聴者ＩＤをキーとして、視聴者情報データベース２１０を検索し、項目ＩＤを取得する。例えば、閲覧対象の視聴者ＩＤが「２５６４３」である場合、図２３に示すような視聴者情報データベース２１０を検索し、項目ＩＤ「１０」を取得する。

Ｓ１２０３ｂでは、Ｓ１２０３ａで取得した値より、図２２に示すような項目ＩＤ要求ファイル６０２を作成する。項目ＩＤ要求ファイル６０２は、端末ＩＤ９０１、要求理由９０２、要求項目９０３、要求者署名９０４からなる。

端末ＩＤ９０１は、閲覧要求元の装置を識別するためのＩＤ（例えば、端末ＩＤ「１０００」は、業者Ａの端末Ｂを表す）であり、視聴者情報閲覧要求ファイル１３０１の端末ＩＤ１３０２と同じである。

要求理由９０２は、項目ＩＤを要求する理由を記載したものであり、ここでは、「視聴者情報閲覧」が記載され、これは視聴者情報閲覧要求ファイル１３０１の要求理由１３０３と同じである。

要求項目９０３は、項目ＩＤを要求する項目を記載したものであり、視聴者情報閲覧要求ファイル１３０１の要求項目１３０３（閲覧対象の視聴者ＩＤ）と、Ｓ１２０３ａで取得した項目ＩＤが記載される。

要求者署名９０４は、視聴者情報閲覧要求ファイル１３０１の要求者署名１３０５（事業者端末の署名）と、視聴者情報管理サーバ１０１の署名が添付される。視聴者情報管理サーバ１０１の署名は、端末ＩＤ９０１、要求理由９０２、要求項目９０３、および事業者端末の署名を合わせたものに対して、視聴者情報管理サーバの秘密鍵２１２を用いて作成される。

Ｓ１２０３ｃでは、Ｓ１２０３ｂで作成した項目ＩＤ要求ファイル６０２を、項目ＩＤ管理サーバ１０２に送信する。送信の際は、共通鍵暗号方式などによって、項目ＩＤ要求ファイル６０２を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、項目ＩＤ管理サーバ１０２の公開鍵２１３を用いて暗号化し、暗号化された項目ＩＤ要求ファイル６０２とともに送信する。

項目ＩＤ要求ファイル６０２を受け取った項目ＩＤ管理サーバ１０２は、項目ＩＤを検索して項目ＩＤ情報ファイル６０３を作成し、視聴者情報管理サーバ１０１に送信する。項目ＩＤ管理サーバ１０２は、項目ＩＤ検索プログラム３０８により、以下のＳ１２０４、Ｓ１２０５の項目ＩＤ作成・送信処理を行う。

Ｓ１２０４では、項目ＩＤ要求ファイル６０２に対して、項目ＩＤデータベース３０９を検索し、項目ＩＤ情報ファイル６０３の作成を行う。このＳ１２０４での項目ＩＤ検索処理は、図２４に示すように、具体的には、以下の処理を行う。

Ｓ１２０４ａでは、項目ＩＤ要求ファイル６０２が暗号化されている時は、項目ＩＤ管理サーバの秘密鍵３１１を用いて、項目ＩＤ管理サーバの公開鍵３１２で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目ＩＤ要求ファイル６０２を復号する。

Ｓ１２０４ｂでは、項目ＩＤ要求ファイル６０２に含まれる要求者署名９０４の検証を行う。ここでは、要求者である事業者端末１０４、および視聴者情報管理サーバ１０１の電子署名を検証する。検証に使用する事業者端末の公開鍵４１９、および視聴者情報管理サーバの公開鍵２１３は、事業者端末１０４や視聴者情報管理サーバ１０１より予め取得しておいても良いし、項目ＩＤ要求ファイルとともに、視聴者情報管理サーバ１０１から項目ＩＤ管理サーバ１０２に送られても良い。

検証失敗した場合は、処理を終了する。要求者である事業者端末１０４の署名は、視聴者情報管理サーバ１０１において、項目ＩＤ要求ファイル６０２を作成する前に、Ｓ１２０３ｂで検証を行っても良い。

Ｓ１２０４ｃでは、項目ＩＤ要求ファイル６０２に含まれる端末ＩＤ９０１と要求理由９０２より、項目ＩＤ管理サーバ１０２の事業者開示ポリシーファイル３１０を参照して、項目ＩＤを作成する項目の判定を行う。例えば、ここでは、要求者が事業者端末１０４であり、要求理由が視聴者情報閲覧である場合の開示ポリシーとして、項目名「クレジット番号」、項目名「電話番号」の項目値は、閲覧不可とする。

Ｓ１２０４ｄでは、まず、閲覧対象の視聴者情報の各項目の項目ＩＤを検索する。項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる項目ＩＤ「１０」を取得し、その項目ＩＤ「１０」をキーとして、図２６に示すような項目ＩＤデータベース３０９を検索し、項目ＩＤ「１０」のレコード（項目名「視聴者ＩＤ」、データＩＤ「Ａ３２８１９７５８９４…」）を取得する。次に、取得したデータＩＤ「Ａ３２８１９７５８９４…」をキーとして項目ＩＤデータベース３０９を検索し、同一のデータＩＤを持つレコードを全て取得する（例えば、項目ＩＤ「３５」のレコード）。

そして、取得したレコードについて項目名を参照し、Ｓ１２０４ｃで閲覧可能と判断された項目名については、項目ＩＤを図２５に示すような項目ＩＤ情報ファイル６０３に記載し、Ｓ１２０４ｃで閲覧不可と判断された項目名については、ハッシュ値を項目ＩＤ情報ファイル６０３に記載して、項目ＩＤ情報ファイル６０３を作成する。

以上より、項目ＩＤ情報ファイル６０３には、項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる視聴者ＩＤと、閲覧対象の視聴者情報の各項目名と項目ＩＤ（閲覧不可項目については、ハッシュ値）と、項目ＩＤ管理サーバの電子署名１００１が記載される。電子署名１００１は、項目ＩＤ管理サーバの秘密鍵３１１を用いて生成される。

Ｓ１２０５では、Ｓ１２０４で作成した項目ＩＤ情報ファイル６０３を、視聴者情報管理サーバ１０１に送信する。送信の際は、共通鍵暗号方式などによって、項目ＩＤ情報ファイル６０３を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者情報管理サーバ１０１の公開鍵２１３を用いて暗号化し、暗号化された項目ＩＤ情報ファイル６０３とともに送信する。

項目ＩＤ情報ファイル６０３を受け取った視聴者情報管理サーバ１０１は、項目ＩＤ情報ファイル６０３に含まれる項目ＩＤに基づき、視聴者情報データベース２１０より視聴者情報を検索し、閲覧用視聴者情報ファイル６０４を作成する。視聴者情報管理サーバ１０１は、視聴者情報開示プログラム２０８により、以下のＳ１２０６、Ｓ１２０７の視聴者情報開示処理を行う。

Ｓ１２０６では、項目ＩＤ情報ファイル６０３が暗号化されている時は、視聴者情報管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの公開鍵２１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目ＩＤ情報ファイル６０３を復号する。

Ｓ１２０７では、Ｓ１２０６で受信した項目ＩＤ情報ファイル６０３の項目ＩＤに基づいて、視聴者情報データベース２１０を検索して視聴者情報を取得し、閲覧用視聴者情報ファイルを作成して、要求元（Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の送信元）に送信する。このＳ１２０７での視聴者情報開示処理は、図２７に示すように、具体的には、以下の処理を行う。

Ｓ１２０７ａでは、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３より、各項目名と項目ＩＤあるいはハッシュ値を取得する。項目ＩＤが記載されている項目を開示項目、ハッシュ値が記載されている項目を非開示項目と呼ぶ。

ここで、項目名「郵便番号」は開示項目であり、項目名「クレジット番号」は非開示項目である。そして、開示項目について、項目ＩＤをキーとして、視聴者情報データベース２１０を検索し、項目値を取得する（例えば、項目ＩＤ「３５」の項目値「ドラマ」）。

Ｓ１２０７ｂでは、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の送信元に対する図２８に示すような閲覧用視聴者情報ファイル６０４を作成する。

閲覧用視聴者情報ファイル６０４は、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の要求項目１３０４に含まれる視聴者ＩＤ（閲覧対象の視聴者ＩＤ）と、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３に含まれる各項目名と、それらの各項目について、開示項目については、Ｓ１２０７ａで取得した項目値、非開示項目については、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３に含まれるハッシュ値と、視聴者情報データベース２１０に視聴者ＩＤとともに記録されていた視聴者署名８０２（閲覧対象の視聴者情報に対する視聴者署名）と、視聴者情報管理サーバ１０１の署名１５０１からなる。ここで、視聴者情報管理サーバ１０１の署名１５０１は、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の要求項目１３０４に含まれる視聴者ＩＤ（閲覧対象の視聴者ＩＤ）と、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３に含まれる各項目名と、それらの各項目について、開示項目については、Ｓ１２０７ａで取得した項目値、非開示項目については、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３に含まれるハッシュ値と、視聴者情報データベース２１０に視聴者ＩＤとともに記録されていた視聴者署名８０２（閲覧対象の視聴者情報に対する視聴者署名）を合わせたものに対して、視聴者情報管理サーバの秘密鍵２１２を用いて作成されたものである。

Ｓ１２０７ｃでは、Ｓ１２０７ｂで作成した閲覧用視聴者情報ファイル６０４を、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の送信元である事業者端末１０４に送信する。送信の際は、共通鍵暗号方式などによって、閲覧用視聴者情報ファイル６０４を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、事業者端末の公開鍵４１９を用いて暗号化し、暗号化された閲覧用視聴者情報ファイル６０４とともに送信する。

閲覧用視聴者情報ファイル６０４を受け取った事業者端末１０４は、閲覧対象の視聴者情報の閲覧を行う。事業者端末１０４は、視聴者情報閲覧プログラム４１７により、以下のＳ１２０８、Ｓ１２０９の視聴者情報閲覧処理を行う。

Ｓ１２０８では、閲覧用視聴者情報ファイル６０４が暗号化されている時は、事業者端末の秘密鍵４１８を用いて、事業者端末の公開鍵４１９で暗号化された共通鍵を復元し、復元した共通鍵を用いて、閲覧用視聴者情報ファイル６０４を復号する。

Ｓ１２０９では、まず、閲覧用視聴者情報ファイル６０４に含まれる視聴者情報管理サーバの署名１５０１の検証を行う。

次に、閲覧用視聴者情報ファイル６０４に記載された各項目について、開示項目については、項目値が記載されているので、それを表示して閲覧する。また、非開示項目についても、その項目値に対するハッシュ値が記載されているので、閲覧用視聴者情報ファイル６０４に含まれる視聴者署名８０２の検証を行うことができる。具体的には、開示項目について、閲覧用視聴者情報ファイル６０４に記載された項目値および乱数を合わせたものに対してハッシュ関数を適用して、ハッシュ値を取得し、閲覧用視聴者情報ファイル６０４に記載された全項目のハッシュ値を全て合わせたもの（非開示項目については、記載されているハッシュ値をそのまま利用）と、閲覧用視聴者情報ファイル６０４に含まれる視聴者署名８０２との整合性を、閲覧対象の視聴者情報の持ち主である視聴者の公開鍵を利用して検証する。

この視聴者署名８０２の検証により、閲覧した視聴者情報が、正規の視聴者（視聴者情報の持ち主）が提供したものであり、かつ改ざんされていないことが分かる。さらに、事業者端末１０４に必要な項目以外の項目については、ハッシュ値が送られているため、項目値そのものを秘匿しながら、かつ改ざん検知を可能としている。

以上、事業者端末が視聴者情報の閲覧を行う場合の処理について記載したが、提供した情報の確認等を行うために、視聴者側装置が視聴者情報の閲覧を行う場合もある。以下に、視聴者側装置１０５による視聴者情報の閲覧処理を例に挙げて記載する。

まず、視聴者側装置１０５は、視聴者情報確認プログラム５０８により、図１９に示すＳ１２０１の処理を行い、視聴者情報閲覧要求ファイル１３０１の作成・送信を行う。

視聴者情報閲覧要求ファイル１３０１は、端末ＩＤ１３０２、要求理由１３０３、要求項目１３０４、要求者署名１３０５からなる。

ここで、端末ＩＤ１３０２は、視聴者側装置１０５の端末ＩＤ（端末毎に固有の識別ＩＤ）である。この端末ＩＤは、視聴者側装置毎に固有のものを持っても良いし、視聴者側装置に共通するＩＤであっても良い。要求理由１３０３は、視聴者情報を要求する理由を記載したものであり、ここでは、「視聴者情報閲覧」が記載される。要求時期を明らかにするために、日時のタイムスタンプを添付しても良い。要求時期の付与によって、同じ項目ＩＤ要求ファイルをコピーして複数回に渡って利用するといったような不正を防止することができる。

要求項目１３０４は、要求対象の視聴者に関する情報を記載したものであり、閲覧対象の視聴者情報の視聴者ＩＤが記載される。要求者署名１３０５は、視聴者情報閲覧要求ファイルを作成した要求元の電子署名であり、ここでは、端末ＩＤ１３０２、要求理由１３０３、要求項目１３０４を合わせたものに対して、視聴者側装置の秘密鍵５１２を用いて、視聴者側装置１０５の電子署名を生成して添付する。

そして、作成した視聴者情報閲覧要求ファイル１３０１を、視聴者情報管理サーバ１０１に送信する。送信の際は、共通鍵暗号方式などによって、視聴者情報閲覧要求ファイル１３０１を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者情報管理サーバの公開鍵２１３を用いて暗号化し、暗号化された視聴者情報閲覧要求ファイルとともに送信する。ここで使用する視聴者情報管理サーバの公開鍵２１３は、視聴者情報管理サーバ１０１より予め入手しておいても良いし、視聴者情報閲覧要求時に入手しても良い。

視聴者情報閲覧要求ファイル１３０１を受け取った視聴者情報管理サーバ１０１は、閲覧要求対象の視聴者情報について、項目値の取得に必要な項目ＩＤを取得するために、項目ＩＤ要求ファイル６０２を項目ＩＤ管理サーバ１０２に送信する。視聴者情報管理サーバ１０１は、視聴者情報開示プログラム２０８により、以下のＳ１２０２、Ｓ１２０３の項目ＩＤ要求処理を行う。

Ｓ１２０２では、視聴者情報閲覧要求ファイル１３０１が暗号化されている時は、視聴者管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの公開鍵２１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、視聴者情報閲覧要求ファイル１３０１を復号する。

Ｓ１２０３では、視聴者情報閲覧要求ファイル１３０１に対する項目ＩＤ要求ファイル６０２の作成を行う。具体的には、以下のＳ１２０３ａ〜Ｓ１２０３ｃの処理を行う。

Ｓ１２０３ａでは、Ｓ１２０２で復号した視聴者情報閲覧要求ファイル１３０１より、端末ＩＤ１３０２、要求理由１３０３、要求項目１３０４（閲覧対象の視聴者ＩＤ）、要求者署名１３０５を取得する。そして、要求項目１３０４に含まれる閲覧対象の視聴者ＩＤをキーとして、視聴者情報データベース２１０を検索し、項目ＩＤを取得する。例えば、閲覧対象の視聴者ＩＤが「２５６４３」である場合、視聴者情報データベース２１０を検索し、項目ＩＤ「１０」を取得する。

Ｓ１２０３ｂでは、Ｓ１２０３ａで取得した値より、項目ＩＤ要求ファイル６０２を作成する。項目ＩＤ要求ファイル６０２は、端末ＩＤ９０１、要求理由９０２、要求項目９０３、要求者署名９０４からなる。

端末ＩＤ９０１は、閲覧要求元の装置を識別するためのＩＤであり、視聴者情報閲覧要求ファイル１３０１の端末ＩＤ１３０２と同じである。

要求理由９０２は、項目ＩＤを要求する理由を記載したものであり、ここでは、「視聴者情報閲覧」が記載され、これは視聴者情報閲覧要求ファイル１３０１の要求理由１３０３と同じである。

要求項目９０３は、項目ＩＤを要求する項目を記載したものであり、視聴者情報閲覧要求ファイル１３０１の要求項目１３０３（閲覧対象の視聴者ＩＤ）と、Ｓ１２０３ａで取得した項目ＩＤが記載される。

要求者署名９０４は、視聴者情報閲覧要求ファイル１３０１の要求者署名１３０５（視聴者側装置の署名）と、視聴者情報管理サーバ１０１の署名が添付される。視聴者情報管理サーバ１０１の署名は、端末ＩＤ９０１、要求理由９０２、要求項目９０３、および視聴者側装置の署名を合わせたものに対して、視聴者情報管理サーバの秘密鍵２１２を用いて作成される。

Ｓ１２０３ｃでは、Ｓ１２０３ｂで作成した項目ＩＤ要求ファイル６０２を、項目ＩＤ管理サーバ１０２に送信する。送信の際は、共通鍵暗号方式などによって、項目ＩＤ要求ファイル６０２を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、項目ＩＤ管理サーバ１０２の公開鍵２１３を用いて暗号化し、暗号化された項目ＩＤ要求ファイル６０２とともに送信する。

項目ＩＤ要求ファイル６０２を受け取った項目ＩＤ管理サーバ１０２は、項目ＩＤを検索して項目ＩＤ情報ファイル６０３を作成し、視聴者情報管理サーバ１０１に送信する。項目ＩＤ管理サーバ１０２は、項目ＩＤ検索プログラム３０８により、以下のＳ１２０４、Ｓ１２０５の項目ＩＤ作成・送信処理を行う。

Ｓ１２０４では、項目ＩＤ要求ファイル６０２に対して、項目ＩＤデータベース３０９を検索し、項目ＩＤ情報ファイル６０３の作成を行う。具体的には、以下のＳ１２０４ａ〜Ｓ１２０４ｄの処理を行う。

Ｓ１２０４ａでは、項目ＩＤ要求ファイル６０２が暗号化されている時は、項目ＩＤ管理サーバの秘密鍵３１１を用いて、項目ＩＤ管理サーバの公開鍵３１２で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目ＩＤ要求ファイル６０２を復号する。

Ｓ１２０４ｂでは、項目ＩＤ要求ファイル６０２に含まれる要求者署名９０４の検証を行う。ここでは、要求者である視聴者側装置１０５、および視聴者情報管理サーバ１０１の電子署名を検証する。検証に使用する視聴者側装置の公開鍵５１３、および視聴者情報管理サーバの公開鍵２１３は、視聴者側装置１０５や視聴者情報管理サーバ１０１より予め取得しておいても良いし、項目ＩＤ要求ファイルとともに、視聴者情報管理サーバ１０１から項目ＩＤ管理サーバ１０２に送られても良い。検証失敗した場合は、処理を終了する。要求者である視聴者側装置１０５の署名は、視聴者情報管理サーバ１０１において、項目ＩＤ要求ファイル６０２を作成する前に、Ｓ１２０３ｂで検証を行っても良い。

Ｓ１２０４ｃでは、項目ＩＤ要求ファイル６０２に含まれる端末ＩＤ９０１と要求理由９０２より、項目ＩＤ管理サーバ１０２の事業者開示ポリシーファイル３１０を参照して、項目ＩＤを作成する項目の判定を行う。例えば、ここでは、要求者が視聴者側装置１０５であり、要求理由が視聴者情報閲覧である場合の開示ポリシーとして、全項目秘匿したまま開示とする。なお、本例では、要求者が視聴者側装置である場合、閲覧対象の視聴者情報が、要求する視聴者本人のものでない場合（Ｓ１２０４ｂの署名検証により、閲覧対象の視聴者ＩＤと、署名作成者が不一致の場合）は、閲覧不可として処理を終了する。

Ｓ１２０４ｄでは、まず、閲覧対象の視聴者情報の各項目の項目ＩＤを検索する。例えば、項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる項目ＩＤが「１０」である場合、その項目ＩＤ「１０」をキーとして、項目ＩＤデータベース３０９を検索し、項目ＩＤ「１０」のレコード（項目名「視聴者ＩＤ」、データＩＤ「Ａ３２８１９７５８９４…」）を取得する。次に、取得したデータＩＤ「Ａ３２８１９７５８９４…」をキーとして項目ＩＤデータベース３０９を検索し、同一のデータＩＤを持つレコードを全て取得する（例えば、項目ＩＤ「３５」のレコード）。そして、取得したレコードについて項目名およびハッシュ値を取得し、項目ＩＤ情報ファイル６０３に記載して、項目ＩＤ情報ファイル６０３を作成する。以上より、項目ＩＤ情報ファイル６０３には、項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる視聴者ＩＤと、閲覧対象の視聴者情報の各項目名とハッシュ値と、項目ＩＤ管理サーバの電子署名１００１が記載される。電子署名１００１は、項目ＩＤ管理サーバの秘密鍵３１１を用いて生成される。

Ｓ１２０５では、Ｓ１２０４で作成した項目ＩＤ情報ファイル６０３を、視聴者情報管理サーバ１０１に送信する。送信の際は、共通鍵暗号方式などによって、項目ＩＤ情報ファイル６０３を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者情報管理サーバ１０１の公開鍵２１３を用いて暗号化し、暗号化された項目ＩＤ情報ファイル６０３とともに送信する。

項目ＩＤ情報ファイル６０３を受け取った視聴者情報管理サーバ１０１は、項目ＩＤ情報ファイル６０３に含まれる各項目名およびハッシュ値より、閲覧用視聴者情報ファイル６０５を作成する。視聴者情報管理サーバ１０１は、視聴者情報開示プログラム２０８により、以下のＳ１２０６、Ｓ１２０７の視聴者情報開示処理を行う。

Ｓ１２０６では、項目ＩＤ情報ファイル６０３が暗号化されている時は、視聴者情報管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの公開鍵２１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目ＩＤ情報ファイル６０３を復号する。

Ｓ１２０７では、Ｓ１２０６で受信した項目ＩＤ情報ファイル６０３の各項目名およびハッシュ値より閲覧用視聴者情報ファイルを作成して、要求元（Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の送信元）に送信する。具体的には、以下のＳ１２０７ａ〜 Ｓ１２０７ｃの処理を行う。

Ｓ１２０７ａでは、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３より、各項目名とハッシュ値を取得する。

Ｓ１２０７ｂでは、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の送信元に対する閲覧用視聴者情報ファイル６０５を作成する。閲覧用視聴者情報ファイル６０５は、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の要求項目１３０４に含まれる視聴者ＩＤ（閲覧対象の視聴者ＩＤであり、要求元の視聴者のＩＤでもある）と、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３に含まれる各項目名とハッシュ値と、視聴者情報データベース２１０に視聴者ＩＤとともに記録されていた視聴者署名８０２（閲覧対象の視聴者情報に対する視聴者署名）と、視聴者情報管理サーバ１０１の署名からなる。ここで、視聴者情報管理サーバ１０１の署名は、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の要求項目１３０４に含まれる視聴者ＩＤ（閲覧対象の視聴者ＩＤであり、要求元の視聴者のＩＤでもある）と、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３に含まれる各項目名とハッシュ値と、視聴者情報データベース２１０に視聴者ＩＤとともに記録されていた視聴者署名８０２（閲覧対象の視聴者情報に対する視聴者署名）を合わせたものに対して、視聴者情報管理サーバの秘密鍵２１２を用いて作成されたものである。

Ｓ１２０７ｃでは、Ｓ１２０７ｂで作成した閲覧用視聴者情報ファイル６０５を、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の送信元である視聴者側装置１０５に送信する。送信の際は、共通鍵暗号方式などによって、閲覧用視聴者情報ファイル６０５を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者側装置の公開鍵５１３を用いて暗号化し、暗号化された閲覧用視聴者情報ファイル６０５とともに送信する。

閲覧用視聴者情報ファイル６０５を受け取った視聴者側装置１０５は、自身の視聴者情報の確認を行う。視聴者側装置１０５は、視聴者情報確認プログラム５０８により、以下のＳ１２０８、Ｓ１２０９の視聴者情報閲覧処理を行う。

Ｓ１２０８では、閲覧用視聴者情報ファイル６０５が暗号化されている時は、視聴者側装置の秘密鍵５１２を用いて、視聴者側装置の公開鍵５１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、閲覧用視聴者情報ファイル６０５を復号する。

Ｓ１２０９では、まず、閲覧用視聴者情報ファイル６０５に含まれる視聴者情報管理サーバの署名１５０１の検証を行う。次に、閲覧用視聴者情報ファイル６０５には、各項目名と、その項目値に対するハッシュ値が記載されているので、それを利用して、閲覧用視聴者情報ファイル６０５に含まれる視聴者署名８０２の検証を行う。具体的には、閲覧用視聴者情報ファイル６０５に記載された全項目について、そのハッシュ値を全て合わせたものと、閲覧用視聴者情報ファイル６０５に含まれる視聴者署名８０２との整合性を、視聴者側装置の公開鍵５１３を利用して検証する。この視聴者署名８０２の検証により、閲覧した視聴者情報が、自身が提供したものであり、かつ改ざんされていないことが分かる。また、各項目値については、個人情報データベース５１０に記録されている項目値を取得して表示し、閲覧することができる。視聴者署名８０２の検証が失敗した場合は、個人情報データベース５１０に記録されている各項目値のハッシュ値と、閲覧用視聴者情報ファイル６０５に含まれる各項目のハッシュ値とを比較することによって、どの項目値が、視聴者側装置１０５の保管する値と、視聴者情報管理サーバ１０１の管理している値とで異なっているか調べることができる。

上記、視聴者側装置１０５による閲覧の場合、閲覧用視聴者情報ファイル６０５には、各項目の値は記載されず、各項目のハッシュ値のみが記載されている。このため、視聴者側装置１０５以外の端末によって閲覧用視聴者情報６０５が盗聴された場合であっても、各項目の値、すなわち視聴者側装置１０５の個人情報の漏洩を防止できる。

以上、本実施の形態では、項目ＩＤ管理サーバ１０２にて、項目ＩＤデータベース３０９に視聴者情報の各項目のハッシュ値を記録し、閲覧時の項目ＩＤ要求の際には、非開示項目については、項目ＩＤではなくハッシュ値を送ることによって項目値を秘匿し、開示制御を行っている。しかしながら、項目ＩＤデータベース３０９の軽量化などが必要な場合、項目ＩＤデータベースにハッシュ値を記録せず、開示制御を行う以下の方法を用いても良い。

また、項目ＩＤデータベース３０９に各項目のハッシュ値を記録しない場合、前記視聴者情報閲覧ステップのうち、項目ＩＤ管理サーバ１０２におけるＳ１２０４ｄ、および視聴者情報管理サーバ１０１におけるＳ１２０７ａ、Ｓ１２０７ｂは、以下のようになる。

Ｓ１２０４ｄでは、まず、閲覧対象の視聴者情報の各項目の項目ＩＤを検索する。項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる項目ＩＤ「１０」を取得し、その項目ＩＤ「１０」をキーとして、項目ＩＤデータベース３０９を検索し、項目ＩＤ「１０」のレコード（項目名「視聴者ＩＤ」、データＩＤ「Ａ３２８１９７５８９４…」）を取得する。次に、取得したデータＩＤ「Ａ３２８１９７５８９４…」をキーとして項目ＩＤデータベース３０９を検索し、同一のデータＩＤを持つレコードを全て取得する（例えば、項目ＩＤ「３５」のレコード）。

そして、取得した全てのレコードについて項目名、項目ＩＤを取得し、項目ＩＤ情報ファイル６０３に記載する。ここで、各項目について、Ｓ１２０４ｃの判定に基づき、閲覧可能項目であるか閲覧不可項目であるかも記載しておく。以上より、項目ＩＤ情報ファイル６０３には、項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる視聴者ＩＤと、閲覧対象の視聴者情報の各項目名と項目ＩＤと、閲覧可否に関する情報と、項目ＩＤ管理サーバの電子署名１００１が記載される。電子署名１００１は、項目ＩＤ管理サーバの秘密鍵３１１を用いて生成される。

Ｓ１２０７ａでは、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３より、各項目名と項目ＩＤ、および閲覧可否に関する情報を取得する。そして、項目ＩＤをキーとして、視聴者情報データベース２１０を検索し、各項目の値、乱数を取得する（例えば、項目ＩＤ「３５」の項目値「ドラマ」、乱数「ｒ８１」）。

Ｓ１２０７ｂでは、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の送信元に対する閲覧用視聴者情報ファイル６０４を作成する。

閲覧用視聴者情報ファイル６０４は、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の要求項目１３０４に含まれる視聴者ＩＤ（閲覧対象の視聴者ＩＤ）と、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３に含まれる各項目名と、それらの各項目についての項目値（閲覧可否情報が閲覧可能である項目、すなわち開示項目については、Ｓ１２０７ａで取得した項目値、閲覧可否情報が閲覧不可である非開示項目については、Ｓ１２０６で復号した項目値に乱数を合わせたものに対してハッシュ関数を適用して生成したハッシュ値）と、視聴者情報データベース２１０に視聴者ＩＤとともに記録されていた視聴者署名８０２（閲覧対象の視聴者情報に対する視聴者署名）と、視聴者情報管理サーバ１０１の署名１５０１からなる。ここで、視聴者情報管理サーバ１０１の署名１５０１は、Ｓ１２０２で受信した視聴者情報閲覧要求ファイル１３０１の要求項目１３０４に含まれる視聴者ＩＤ（閲覧対象の視聴者ＩＤ）と、Ｓ１２０６で復号した項目ＩＤ情報ファイル６０３に含まれる各項目名と、それらの各項目についての項目値（開示項目については、Ｓ１２０７ａで取得した項目値、非開示項目については、ハッシュ値）と、視聴者情報データベース２１０に視聴者ＩＤとともに記録されていた視聴者署名８０２（閲覧対象の視聴者情報に対する視聴者署名）を合わせたものに対して、視聴者情報管理サーバの秘密鍵２１２を用いて作成されたものである。

なお、項目ＩＤデータベースにハッシュ値を記録せず、開示制御を行う場合、項目ＩＤ管理サーバ１０２の事業者開示ポリシーファイル３１０を、視聴者情報管理サーバ１０１の記憶装置２０２に保管し、Ｓ１２０４ｃのポリシー審査を、視聴者情報管理サーバ１０１にて行っても良い。この場合、項目ＩＤ管理サーバ１０１は、項目ＩＤ情報ファイル６０３において、各項目の閲覧可否情報を記載する必要はない。

＜個人情報管理システムの番組編成処理＞
次に、図２９により、本発明の一実施の形態に係る個人情報管理システムの番組編成処理について説明する。図２９は本発明の一実施の形態に係る個人情報管理システムの番組編成処理を示すフローチャートであり、視聴者情報管理サーバが収集した視聴者情報を、放送サービスに利用する場合の例として、視聴者情報管理サーバが、番組放送サーバに番組放送のための情報（番組編成情報と呼ぶ）、視聴者側装置に番組視聴のための情報（個別番組情報と呼ぶ）を送信する番組編成処理における全体シーケンスを示している。

まず、視聴者情報管理サーバ１０１は、コンテンツ関連プログラム２０９により、Ｓ１６０１の処理を行い、番組編成情報の作成・送信を行う。

Ｓ１６０１では、編成する曜日、時間帯に対する視聴者の視聴情報を取得し、解析を行う。具体的には、視聴者情報データベース２１０より、格納された視聴者の視聴情報、および趣味などの視聴者情報を取得し、それらから、人気のあるジャンル、チャンネル、出演者などの情報を集計する。

集計にあたっては、対象とする視聴者情報や視聴情報を、編成する曜日・時間帯に合わせても良いし、曜日・時間帯に関係なく全ての情報を対象としても良い。次に、前記集計した視聴者の視聴情報、およびコンテンツ属性情報データベース２１１に格納されたコンテンツの属性情報より、その曜日・時間帯の編成候補となるコンテンツを選定し、番組編成情報６０６を作成し、番組放送サーバ１０３に送信する。

番組編成情報６０６は、放送用の番組表であり、この番組編成情報６０６を基に、番組放送サーバ１０３は、コンテンツを選び、送出する。なお、この番組編成情報６０６に視聴者情報管理サーバの電子署名を付与することによって、成りすましや番組編成情報６０６の改ざんを検知することができる。また、番組編成情報６０６を共通鍵暗号方式などによって暗号化して送信しても良い。

番組編成情報６０６を受け取った番組放送サーバ１０３は、コンテンツ送出プログラム４０７により、Ｓ１６０２の処理を行い、番組コンテンツの配信を行う。ネットワークを利用してコンテンツを配信しても良いし、電波などを利用して配信しても良い。

また、視聴者情報管理サーバ１０１は、コンテンツ関連プログラム２０９により、Ｓ１６０３〜Ｓ１６０７までの処理を行い、各視聴者側装置に対して、個別番組情報の作成・送信を行う。

Ｓ１６０３では、個別番組情報の作成に必要な視聴者情報を取得するために、項目ＩＤ要求ファイル６０２を作成し、項目ＩＤ管理サーバ１０２に送信する。具体的には、以下のＳ１６０３ａ〜１６０３ｄの処理を行う。

Ｓ１６０３ａでは、個別番組情報送信対象の視聴者の視聴者ＩＤをキーとして、視聴者情報データベース２１０を検索し、項目ＩＤを取得する。例えば、個別番組情報送信対象の視聴者ＩＤが「２５６４３」である場合、視聴者情報データベース２１０を検索し、項目ＩＤ「１０」を取得する。

Ｓ１６０３ｂでは、Ｓ１６０３ａで取得した値より、図１３に示すような項目ＩＤ要求ファイル６０２を作成する。項目ＩＤ要求ファイル６０２は、端末ＩＤ９０１、要求理由９０２、要求項目９０３、要求者署名９０４からなる。

端末ＩＤ９０１は、項目ＩＤ要求元の装置を識別するためのＩＤ（例えば、端末ＩＤ「０００１」は、視聴者情報管理サーバ１０１を表す）であり、要求理由９０２は、項目ＩＤを要求する理由を記載したものであり、ここでは、「個別番組情報作成」が記載される。要求項目９０３は、項目ＩＤを要求する項目を記載したものであり、個別番組情報送信対象の視聴者ＩＤと、Ｓ１６０３ａで取得した項目ＩＤが記載される。

要求者署名９０４は、視聴者情報管理サーバ１０１の署名が添付される。視聴者情報管理サーバ１０１の署名は、端末ＩＤ９０１、要求理由９０２、要求項目９０３、および事業者端末の署名を合わせたものに対して、視聴者情報管理サーバの秘密鍵２１２を用いて作成される。

Ｓ１６０３ｃでは、Ｓ１６０３ｂで作成した項目ＩＤ要求ファイル６０２を、項目ＩＤ管理サーバ１０２に送信する。送信の際は、共通鍵暗号方式などによって、項目ＩＤ要求ファイル６０２を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、項目ＩＤ管理サーバ１０２の公開鍵２１３を用いて暗号化し、暗号化された項目ＩＤ要求ファイル６０２とともに送信する。

項目ＩＤ要求ファイル６０２を受け取った項目ＩＤ管理サーバ１０２は、項目ＩＤを検索して項目ＩＤ情報ファイル６０３を作成し、視聴者情報管理サーバ１０１に送信する。項目ＩＤ管理サーバ１０２は、項目ＩＤ検索プログラム３０８により、以下のＳ１６０４、Ｓ１６０５の項目ＩＤ作成・送信処理を行う。

Ｓ１６０４では、項目ＩＤ要求ファイル６０２に対して、項目ＩＤデータベース３０９を検索し、項目ＩＤ情報ファイル６０３の作成を行う。具体的には、以下のＳ１６０４ａ〜Ｓ１６０４ｄの処理を行う。

Ｓ１６０４ａでは、項目ＩＤ要求ファイル６０２が暗号化されている時は、項目ＩＤ管理サーバの秘密鍵３１１を用いて、項目ＩＤ管理サーバの公開鍵３１２で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目ＩＤ要求ファイル６０２を復号する。

Ｓ１６０４ｂでは、項目ＩＤ要求ファイル６０２に含まれる要求者署名９０４の検証を行う。ここでは、要求者である視聴者情報管理サーバ１０１の電子署名を検証する。検証に使用する視聴者情報管理サーバの公開鍵２１３は、視聴者情報管理サーバ１０１より予め取得しておいても良いし、項目ＩＤ要求ファイルとともに、視聴者情報管理サーバ１０１から項目ＩＤ管理サーバ１０２に送られても良い。検証失敗した場合は、処理を終了する。

Ｓ１６０４ｃでは、項目ＩＤ要求ファイル６０２に含まれる端末ＩＤ９０１と要求理由９０２より、項目ＩＤ管理サーバ１０２の事業者開示ポリシーファイル３１０を参照して、項目ＩＤを作成する項目の判定を行う。例えば、要求者が視聴者情報管理サーバ１０１であり、要求理由が「個別番組情報作成」である場合の開示ポリシーとして、項目名「クレジット番号」、項目名「氏名」、項目名「電話番号」の項目値は、閲覧不可とする。

Ｓ１６０４ｄでは、まず、項目ＩＤ要求対象の視聴者情報の各項目の項目ＩＤを検索する。項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる項目ＩＤ「１０」を取得し、その項目ＩＤ「１０」をキーとして、項目ＩＤデータベース３０９を検索し、項目ＩＤ「１０」のレコード（項目名「視聴者ＩＤ」、データＩＤ「Ａ３２８１９７５８９４…」）を取得する。次に、取得したデータＩＤ「Ａ３２８１９７５８９４…」をキーとして項目ＩＤデータベース３０９を検索し、同一のデータＩＤを持つレコードを全て取得する（例えば、項目ＩＤ「３５」のレコード）。

そして、取得したレコードについて項目名を参照し、Ｓ１６０４ｃで閲覧可能と判断された項目名については、項目ＩＤを項目ＩＤ情報ファイル６０３に記載し、Ｓ１６０４ｃで閲覧不可と判断された項目名については、ハッシュ値を項目ＩＤ情報ファイル６０３に記載して、項目ＩＤ情報ファイル６０３を作成する。以上より、項目ＩＤ情報ファイル６０３には、項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる視聴者ＩＤと、閲覧対象の視聴者情報の各項目名と項目ＩＤ（閲覧不可項目については、ハッシュ値）と、項目ＩＤ管理サーバの電子署名１００１が記載される。電子署名１００１は、項目ＩＤ管理サーバの秘密鍵３１１を用いて生成される。

Ｓ１６０５では、Ｓ１６０４で作成した項目ＩＤ情報ファイル６０３を、視聴者情報管理サーバ１０１に送信する。送信の際は、共通鍵暗号方式などによって、項目ＩＤ情報ファイル６０３を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者情報管理サーバ１０１の公開鍵２１３を用いて暗号化し、暗号化された項目ＩＤ情報ファイル６０３とともに送信する。

項目ＩＤ情報ファイル６０３を受け取った視聴者情報管理サーバ１０１は、項目ＩＤ情報ファイル６０３に含まれる項目ＩＤに基づき、視聴者情報データベース２１０より視聴者情報を検索し、個別番組情報送信対象の視聴者の視聴者情報を取得（例えば、個別番組情報作成に必要な項目を取得）する。視聴者情報管理サーバ１０１は、コンテンツ関連プログラム２０９により、以下のＳ１６０６、Ｓ１６０７の視聴者情報開示処理を行う。

Ｓ１６０６では、項目ＩＤ情報ファイル６０３が暗号化されている時は、視聴者情報管理サーバの秘密鍵２１２を用いて、視聴者情報管理サーバの公開鍵２１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目ＩＤ情報ファイル６０３を復号する。

Ｓ１６０７では、Ｓ１６０６で受信した項目ＩＤ情報ファイル６０３の項目ＩＤに基づいて、視聴者情報データベース２１０を検索して個別番組情報作成に必要な項目を取得し、コンテンツ属性情報データベース２１１に格納されたコンテンツの属性情報、および各視聴者の視聴情報より、例えば、Ｓ１６０１で作成した番組編成情報６０６の中から、各視聴者それぞれに最適の編成パターンを選定し、個別番組情報を作成し、各視聴者側装置に送信する。

送信の際は、共通鍵暗号方式などによって、個別番組情報を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、視聴者側装置１０５の公開鍵２１３を用いて暗号化し、暗号化された個別番組情報とともに送信する。

また、個別番組情報について、視聴者情報管理サーバの秘密鍵２１２を用いて、公開鍵暗号方式により、署名を生成し付与することによって、個別番組情報が視聴者情報管理サーバ１０１によって作成された正当なものであることを証明することができる。

個別番組情報を受け取った視聴者側装置１０５は、個別番組情報に基づき、番組放送サーバ１０３より放送されるコンテンツの視聴を行う。視聴者側装置１０５は、コンテンツ視聴プログラム５０９により、以下のＳ１６０８、Ｓ１６０９のコンテンツ視聴処理を行う。

Ｓ１６０８では、個別番組情報が暗号化されている時は、視聴者側装置１０５の秘密鍵５１２を用いて、視聴者側装置の公開鍵５１３で暗号化された共通鍵を復元し、復元した共通鍵を用いて、個別番組情報を復号する。

Ｓ１６０９では、視聴者情報管理サーバ１０１より送られた、個別番組情報を基に、コンテンツの視聴を行う。例えば、個別番組情報に、お薦めの視聴用マルチキャストアドレスが記載されている場合は、そのアドレスに接続して番組を視聴する。

以上、本実施の形態では、項目ＩＤ管理サーバ１０２を利用し、視聴者情報データベース２１０の中から視聴者情報を取得するための視聴者と視聴者情報とを関連付けるための情報を、項目ＩＤデータベース３０９に保管することによって、視聴者情報データベース２１０を閲覧できる視聴者情報管理サーバ１０１の管理者であっても、特定の視聴者の個人情報を取得できないようにしている。

従って、従来のようにデータベースを暗号化しなくても視聴者の個人情報を保護することができ、任意の項目で検索・ソートすることができる。例えば、ある県の視聴者数を調べる場合など、住所により検索することが可能である。これは、データベースの利便性と安全性を両立する大きな優位性と言える。

さらに、項目ＩＤ管理サーバ１０２の機能を拡張することによって、データベース漏洩時の「総当り攻撃」や「差分攻撃」といった安全性に脅威を与える攻撃についても対処することができる。視聴者情報データベース２１０が漏洩した場合、「総当り攻撃」によれば、例えば、登録視聴者数が少ない場合には、視聴者情報データベース２１０に記録されている項目値より、氏名とクレジット番号の正しい組合せを見つけるのは容易である。

また、比較的短期間のうちに２回視聴者情報データベース２１０が漏洩した場合、「差分攻撃」によれば、１回目に取得したデータベースと２回目に取得したデータベースの差分を取ることにより、その間に更新された視聴者の個人情報を特定することができる（視聴者情報の更新件数が少ない場合は、特に個人の特定は容易である）。

＜項目ＩＤ生成機能の拡張＞
次に、図３０および図３１により、本発明の一実施の形態に係る個人情報管理システムの項目ＩＤ管理サーバにおける項目ＩＤ作成機能を拡張した場合の処理手順について説明する。図３０は本発明の一実施の形態に係る個人情報管理システムの項目ＩＤ管理サーバにおける項目ＩＤ作成機能を拡張した場合の処理手順を示すフローチャート、図３１は本発明の一実施の形態に係る個人情報管理システムで使用される項目ＩＤ情報ファイルの一例を示す図である。

前述した項目ＩＤ管理サーバ１０２の項目ＩＤ生成機能を拡張することにより、前述した各種攻撃を困難とすることができる。図８のＳ７０６の項目ＩＤ作成・送信処理を拡張した場合の処理を以下に記載する。

視聴者情報の新規登録、あるいは視聴者情報の更新時のための項目ＩＤ要求ファイル６０２を視聴者情報管理サーバ１０１より受け取った項目ＩＤ管理サーバ１０２は、項目ＩＤを生成して図３１に示すような項目ＩＤ情報ファイル６０３を作成し、視聴者情報管理サーバ１０１に送信する。項目ＩＤ管理サーバ１０２は、項目ＩＤ付与プログラム３０７により、図３０に示す以下のＳ１７０１〜Ｓ１７０８の項目ＩＤ作成・送信処理を行う。

Ｓ１７０１では、項目ＩＤ要求ファイル６０２が暗号化されている時は、項目ＩＤ管理サーバの秘密鍵３１１を用いて、項目ＩＤ管理サーバの公開鍵３１２で暗号化された共通鍵を復元し、復元した共通鍵を用いて、項目ＩＤ要求ファイル６０２を復号する。

Ｓ１７０２では、項目ＩＤ要求ファイル６０２に含まれる要求者署名９０４の検証を行う。ここでは、要求者である視聴者情報管理サーバ１０１（端末ＩＤ「０００１」）の電子署名を検証する。検証に使用する視聴者情報管理サーバの公開鍵２１３は、視聴者情報管理サーバ１０１より予め取得しておいても良いし、項目ＩＤ要求ファイルとともに、視聴者情報管理サーバ１０１から項目ＩＤ管理サーバ１０２に送られても良い。検証失敗した場合は、処理を終了する。

Ｓ１７０３では、項目ＩＤ要求ファイル６０２に含まれる端末ＩＤ９０１と要求理由９０２より、項目ＩＤ管理サーバ１０２の事業者開示ポリシーファイル３１０を参照して、項目ＩＤを作成する項目の判定を行う。例えば、ここでは、要求者が視聴者情報管理サーバ１０１であり、要求理由が視聴者情報更新であるため、要求項目の全項目の項目ＩＤを生成する。

Ｓ１７０４では、偽造データの生成を行う。例えば、苗字や名前などをランダムに組み合わせて、項目名「氏名」の偽造データを生成する。項目値が数値である場合は、桁数などを統一させて乱数を生成し、偽装データを生成する。

ここで生成する偽装データは、項目名（偽装項目名と呼ぶ）、項目値（偽装項目値と呼ぶ）、乱数（偽装乱数と呼ぶ）からなる。これにより、データベースの差分により、値が変化したもの（更新された値）を抽出された場合の個人情報漏洩を防止することができる。例えば、住所、名前、クレジット番号が書き変わった場合、差分攻撃によって、（住所，名前，クレジット番号）の組が１つだけ抽出されて個人が特定されるのを防ぐ。

本ステップにより、視聴者情報更新時に、視聴者情報データベース２１０に加えるための一定数の偽装データを生成する。ここで生成する偽装データの個数は、一度に更新する視聴者情報の数（多ければ多いほど偽装データの数は少なくて良い）、およびシステムの処理負荷の状況などにより決定すれば良い。

これらの偽装データは、後述のＳ１７０７により偽装データベース１７０９に記録される。偽装データの数が一定量を超えた場合は、そのいくつかを削除するなどメンテナンスを行う。

Ｓ１７０５では、項目ＩＤの再生成を行う。具体的には、項目ＩＤ管理データベース３０９に登録されている項目のうち項目ＩＤ再生成対象となる一定数（一度に更新する視聴者情報の数および処理負荷により決定）のレコードを取得する。

Ｓ１７０１で取得した項目ＩＤ要求ファイルの項目ＩＤ要求対象以外の項目についても項目ＩＤを再生成することにより、既に登録されている項目中のいくつかの項目が視聴者情報データベース２１０内で再配置されることになり、更新前のデータベースと更新後のデータベースの差分を取って、更新された視聴者の個人情報の特定を困難とすることができる。

Ｓ１７０６では、Ｓ１７０３の判定に基づき、項目ＩＤ要求ファイル６０２の要求項目９０３の各項目毎に項目ＩＤの生成を行う。具体的には、各項目毎に固有のＩＤ（例えば、ＵＵＩＤ：世界中でユニークな１２８ｂｉｔ幅の２進数値。ＵＵＩＤの仕様は、ＯＳＦ（Ｏｐｅｎ Ｓｏｆｔｗａｒｅ Ｆｏｕｎｄａｔｉｏｎ）のＤＣＥ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｃｏｍｐｕｔｉｎｇ Ｅｎｖｉｒｏｎｍｅｎｔ）仕様によって決められている。）を生成し、それを項目ＩＤとする。項目ＩＤは、全視聴者の各項目を識別するためのものであるので、十分大きく、かつ重複しないことが必要である。なお、視聴者ＩＤも１つの項目とみなし、項目名「視聴者ＩＤ」に対しても項目ＩＤの生成を行う。

また、Ｓ１７０４で生成された偽装データに対しても、同様に項目ＩＤ（偽装項目ＩＤと呼ぶ）の生成を行う。また、Ｓ１７０５で取得したレコードの項目に対する項目ＩＤを生成する。

Ｓ１７０７では、Ｓ１７０６で作成した項目ＩＤ（項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる各項目名に対して作成された項目ＩＤ）を項目ＩＤデータベース３０９に記録する。項目ＩＤデータベース３０９には、項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる各項目名およびハッシュ値、Ｓ７０６ｄで作成した項目ＩＤ、およびデータＩＤが記録される。ここで、データＩＤは、同一視聴者の視聴者情報の項目であることを関連付けるＩＤであり、Ｓ１７０７において、視聴者情報更新のための項目ＩＤ要求ファイル６０２を処理するたびに毎回新規作成して、項目ＩＤデータベース３０９に記録する。

例えば、項目ＩＤ「１０」の項目名「視聴者ＩＤ」と、項目ＩＤ「３５」の項目名「趣味・視聴情報」は、同一のデータＩＤ「Ａ３２８１９７５８９４…」を持つので、同じ視聴者の情報であることが分かる。なお、項目ＩＤ要求ファイル６０２の要求項目９０３に視聴者ＩＤとともに項目ＩＤ（例えば、項目ＩＤ「５０」）が記載されている場合（視聴者情報更新処理の場合）は、その項目ＩＤをキーとして、項目ＩＤデータベース３０９を検索し、項目ＩＤ「５０」のレコード（項目名「視聴者ＩＤ」、データＩＤ「Ｆ２７４８５７２０１３…」）を取得する。次に、取得したデータＩＤ「Ｆ２７４８５７２０１３…」をキーとして項目ＩＤデータベース３０９を検索し、同一のデータＩＤを持つレコードを全て取得し、それらを項目ＩＤデータベース３０９から削除する（例えば、項目ＩＤ「７０」のレコード）。これにより、更新前の古いデータが削除される。

また、Ｓ１７０５で項目ＩＤを再生成したレコードについて、再生成前の古い項目ＩＤを再生成後の新しい項目ＩＤに置き換え、その後、項目ＩＤデータベース３０９を項目ＩＤ順に並べ替える。また、Ｓ１７０４で作成された偽装データについて、偽装項目ＩＤ、偽装項目名、偽装項目値、偽装乱数を偽造データベース１７０９に記録する。

Ｓ１７０８では、項目ＩＤ情報ファイル６０３の作成を行う。項目ＩＤ情報ファイル６０３は、項目ＩＤ要求ファイル６０２の要求項目９０３に含まれる視聴者ＩＤと、項目ＩＤ要求ファイル６０２の要求項目９０３の各項目名とそれに対してＳ１７０６で作成した項目ＩＤと、項目ＩＤ管理サーバの電子署名１００１からなる。電子署名１００１は、項目ＩＤ管理サーバの秘密鍵３１１を用いて生成される。

なお、Ｓ１７０７で削除したレコードがあった場合は、削除したレコードの項目ＩＤも項目ＩＤ情報ファイル６０３に記載する。また、Ｓ１７０４で作成された偽装データについて、偽装項目ＩＤ、偽装項目名、偽装項目値、偽装乱数を項目ＩＤ情報ファイル６０３の偽装データ１７１０に追加する。

また、Ｓ１７０５で項目ＩＤを再生成したレコードについて、再生成前の古い項目ＩＤ（旧ＩＤと呼ぶ）および再生成後の新しい項目ＩＤ（新ＩＤと呼ぶ）を再作成ＩＤ１７１１に追加する。

項目ＩＤ情報ファイルを受け取った視聴者情報管理サーバ１０１は、前記Ｓ７０９の処理を行い、さらに、偽装データ１７１０について、偽装項目ＩＤに基づき、偽装項目名、偽装項目値、偽装乱数を視聴者情報データベース２１０に記録する。また、再作成ＩＤ１７１１に記載された旧ＩＤと新ＩＤの組について、旧ＩＤをキーとして、ユーザ情報データベース２１０よりレコードを抽出し、そのレコードの項目ＩＤを新ＩＤに置き換え、その後、ユーザ情報データベース２１０を項目ＩＤ順に並べ替える。

以上Ｓ１７０１〜Ｓ１７０８の拡張は、比較的容易にデータベースが不正に取得された場合にも、個人情報の漏洩を防ぐことを可能とするものであり、本実施の形態のシステムに必ずしも必要となるわけではない。

本実施の形態のシステムにおいて、前述した拡張機能を搭載しない場合でも、管理者による頻繁なデータベースアクセスを禁止したり、定期的な項目ＩＤの再生成などを行うことによって、個人情報漏洩防止の効果は十分得ることができる。

また、本実施の形態では、視聴者情報管理サーバ１０１での検索効率を低下させないために、視聴者情報データベースの内容の暗号化は行っていないが、通常の検索で使用されないクレジット番号などの情報は暗号化して、クレジット番号の漏洩を防止することも可能である。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

本発明は、視聴者情報に限らず、電子商取引のために必要な個人情報など、個人のプライバシーに関わる情報を利用するサービスの個人情報保護部分に適用可能である。

発明の一実施の形態に係る個人情報管理システムの構成を示す構成図である。 本発明の一実施の形態に係る個人情報管理システムを構成する視聴者情報管理サーバの内部構成を示す構成図である。 本発明の一実施の形態に係る個人情報管理システムを構成する項目ＩＤ管理サーバの内部構成を示す構成図である。 本発明の一実施の形態に係る個人情報管理システムを構成する番組放送サーバの内部構成を示す構成図である。 本発明の一実施の形態に係る個人情報管理システムを構成する事業者端末の内部構成を示す構成図である。 本発明の一実施の形態に係る個人情報管理システムを構成する視聴者側装置の内部構成を示す構成図である。 本発明の一実施の形態に係る個人情報管理システムのデータフローの概要を説明するための説明図である。 本発明の一実施の形態に係る個人情報管理システムの視聴者情報管理サーバが視聴者側装置に視聴者情報を要求して、視聴者情報を取得し、視聴者情報データベースに記録するまでの視聴者情報収集処理における全体シーケンスである。 本発明の一実施の形態に係る個人情報管理システムの視聴者側装置における視聴者情報送信手順を示すフローチャートである。 本発明の一実施の形態に係る個人情報管理システムで使用される視聴者情報ファイルの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムで使用される項目情報ファイルの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムの視聴者情報管理サーバにおける視聴者情報収集時の項目ＩＤ要求ファイル作成・送信手順を示すフローチャートである。 本発明の一実施の形態に係る個人情報管理システムで使用される項目ＩＤ要求ファイルの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムの項目ＩＤ管理サーバにおける項目ＩＤ作成手順を示すフローチャートである。 本発明の一実施の形態に係る個人情報管理システムで使用される項目ＩＤ情報ファイルの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムで使用される項目ＩＤデータベースの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムの視聴者情報管理サーバにおける視聴者情報登録処理を示すフローチャートである。 本発明の一実施の形態に係る個人情報管理システムで使用される視聴者情報データベースの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムの事業者端末あるいは視聴者側装置が、サービスの提供あるいは自身の登録情報の確認のために、視聴者情報管理サーバに視聴者情報を要求し、視聴者情報の閲覧を行うまでの視聴者情報閲覧処理における全体シーケンスである。 本発明の一実施の形態に係る個人情報管理システムの視聴者情報管理サーバにおける視聴者情報開示時の項目ＩＤ要求ファイル作成・送信手順を示すフローチャートである。 本発明の一実施の形態に係る個人情報管理システムで使用される視聴者情報閲覧要求ファイルの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムで使用される項目ＩＤ要求ファイルの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムで使用される視聴者情報データベースの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムの項目ＩＤ管理サーバにおける項目ＩＤ検索手順を示すフローチャートである。 本発明の一実施の形態に係る個人情報管理システムで使用される項目ＩＤ情報ファイルの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムで使用される項目ＩＤデータベースの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムの視聴者情報管理サーバにおける視聴者情報開示処理を示すフローチャートである。 本発明の一実施の形態に係る個人情報管理システムで使用される閲覧用視聴者情報ファイルの一例を示す図である。 本発明の一実施の形態に係る個人情報管理システムの番組編成処理を示すフローチャートである。 本発明の一実施の形態に係る個人情報管理システムの項目ＩＤ管理サーバにおける項目ＩＤ作成機能を拡張した場合の処理手順を示すフローチャートである。 本発明の一実施の形態に係る個人情報管理システムで使用される項目ＩＤ情報ファイルの一例を示す図である。

符号の説明

１０１…視聴者情報管理サーバ、１０２…項目ＩＤ管理サーバ、１０３…番組放送サーバ、１０４…事業者端末、１０５〜１０７…視聴者側装置、１０８…ネットワーク、２０１…ＣＰＵ、２０２…記憶装置、２０３…インタフェース、２０４…通信装置、２０５…入力装置、２０６…表示装置、２０７…視聴者情報収集プログラム、２０８…視聴者情報開示プログラム、２０９…コンテンツ関連プログラム、２１０…視聴者情報データベース、２１１…コンテンツ属性情報データベース、２１２…視聴者情報管理サーバ秘密鍵、２１３…視聴者情報管理サーバ公開鍵、３０１…ＣＰＵ、３０２…記憶装置、３０３…インタフェース、３０４…通信装置、３０５…入力装置、３０６…表示装置、３０７…項目ＩＤ付与プログラム、３０８…項目ＩＤ検索プログラム、３０９…項目ＩＤデータベース、３１０…事業者開示ポリシーファイル、３１１…項目ＩＤ管理サーバ秘密鍵、３１２…項目ＩＤ管理サーバ公開鍵、４０１…ＣＰＵ、４０２…記憶装置、４０３…インタフェース、４０４…通信装置、４０５…入力装置、４０６…表示装置、４０７…コンテンツ送出プログラム、４０８…コンテンツファイル、４０９…番組放送サーバ秘密鍵、４１０…番組放送サーバ公開鍵、４１１…ＣＰＵ、４１２…記憶装置、４１３…インタフェース、４１４…通信装置、４１５…入力装置、４１６…表示装置、４１７…視聴者情報閲覧プログラム、４１８…事業者端末秘密鍵、４１９…事業者端末公開鍵、５０１…ＣＰＵ、５０２…記憶装置、５０３…インタフェース、５０４…通信装置、５０５…入力装置、５０６…表示装置、５０７…視聴者情報送信プログラム、５０８…視聴者情報確認プログラム、５０９…コンテンツ視聴プログラム、５１０…個人情報データベース、５１１…視聴者開示ポリシーファイル、５１２…視聴者秘密鍵、５１３…視聴者公開鍵、６０１…視聴者情報ファイル、６０２…項目ＩＤ要求ファイル、６０３…項目ＩＤ情報ファイル、６０４、６０５…閲覧用視聴者情報ファイル、６０６…番組編成情報、６０７…コンテンツ、８０１…項目情報ファイル、８０２…視聴者署名、９０１…端末ＩＤ、９０２…要求理由、９０３…要求項目、９０４…要求者署名、１００１…項目ＩＤ管理サーバの署名、１３０１…視聴者情報閲覧要求ファイル、１３０２…端末ＩＤ、１３０３…要求理由、１３０４…要求項目、１３０５…要求者署名、１５０１…視聴者情報管理サーバ署名、１７０９…偽装データベース、１７１０…偽装データ、１７１１…再作成ＩＤ。

Claims (10)

1. 利用者より個人情報である利用者情報を収集し、利用者や事業者に対して、収集した前記利用者情報を利用範囲に基づき開示する利用者情報管理サーバと、前記利用者情報の各項目と利用者とを関連付ける情報である項目ＩＤを生成、管理し、要求に基づき利用範囲内で前記項目ＩＤを提供する項目ＩＤ管理サーバと、サービスを受けるために自身の個人情報を提供する利用者側装置と、サービスを提供するために前記利用者情報の閲覧を行う事業者端末とを含んで構成される個人情報管理システムにおけるデータベース管理方法であって、
   前記利用者情報管理サーバにより、利用者情報を収集して、前記項目ＩＤ管理サーバに項目ＩＤの要求を行い、前記項目ＩＤ管理サーバにより、前記項目ＩＤ要求に基づき、前記利用者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、前記項目ＩＤを自身のデータベースに利用者と関連付けて記録するとともに、前記利用者情報管理サーバに送信し、前記利用者情報管理サーバにより、前記項目ＩＤ管理サーバより受け取った項目ＩＤに基づいて前記利用者情報を自身のデータベース内に格納することを特徴とするデータベース管理方法。
2. 利用者より個人情報である利用者情報を収集し、利用者や事業者に対して、収集した前記利用者情報を利用範囲に基づき開示する利用者情報管理サーバと、前記利用者情報の各項目と利用者とを関連付ける情報である項目ＩＤを生成、管理し、要求に基づき利用範囲内で前記項目ＩＤを提供する項目ＩＤ管理サーバと、サービスを受けるために自身の個人情報を提供する利用者側装置と、サービスを提供するために前記利用者情報の閲覧を行う事業者端末とを含んで構成される個人情報管理システムのデータベース管理方法であって、
   前記利用者側装置あるいは前記事業者端末により、利用者情報の閲覧のために、前記利用者情報管理サーバに閲覧要求を行い、前記利用者情報管理サーバは、前記閲覧要求に対する利用者情報を開示するために、前記項目ＩＤ管理サーバに項目ＩＤの要求を行い、項目ＩＤ管理サーバにより、前記項目ＩＤ要求に対して、自身のデータベースを検索して、項目ＩＤを前記利用者情報管理サーバに送信し、前記項目ＩＤを受け取った前記利用者情報管理サーバにより、前記項目ＩＤを用いて自身のデータベースを検索して、利用者情報を前記利用者側装置あるいは前記事業者端末に送信し、前記利用者情報を受け取った前記利用者側装置あるいは前記事業者端末により、その利用者情報を閲覧することを特徴とするデータベース管理方法。
3. 請求項１または２記載のデータベース管理方法において、
   前記利用者情報収集時に、前記利用者情報管理サーバにより、利用者情報の各項目のハッシュ値を送信して、前記項目ＩＤ管理サーバに項目ＩＤの要求を行い、前記項目ＩＤ管理サーバにより、前記項目ＩＤ要求に基づき、前記利用者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、各項目について前記項目ＩＤおよびハッシュ値を自身のデータベースに利用者と関連付けて記録し、
   前記利用者情報閲覧時に、前記利用者情報管理サーバにより、前記利用者側装置あるいは前記事業者端末の閲覧要求に対する利用者情報を開示するために、前記項目ＩＤ管理サーバに項目ＩＤの要求を行い、前記項目ＩＤ管理サーバにより、前記項目ＩＤ要求に対して、自身のデータベースを検索して、閲覧を許可する項目については項目ＩＤを前記利用者情報管理サーバに送信し、閲覧を許可しない項目については、ハッシュ値を前記利用者情報管理サーバに送信し、前記項目ＩＤおよびハッシュ値を受け取った前記利用者情報管理サーバにより、閲覧を許可する項目については、前記項目ＩＤを用いて自身のデータベースを検索して、利用者情報を前記利用者側装置あるいは前記事業者端末に送信し、閲覧を許可しない項目については、前記ハッシュ値を前記利用者側装置あるいは前記事業者端末に送信し、前記利用者情報およびハッシュ値を受け取った前記利用者側装置あるいは前記事業者端末により、閲覧を許可する項目についてのみ、その利用者情報を閲覧し、閲覧を許可する項目については、利用者情報よりハッシュ値を生成し、閲覧を許可しない項目については、受け取った前記ハッシュ値を利用して、前記利用者情報全体に対して付与された利用者の電子署名を検証することを特徴とするデータベース管理方法。
4. 請求項１記載のデータベース管理方法において、
   前記利用者情報管理サーバにより、利用者情報を収集して、前記項目ＩＤ管理サーバに項目ＩＤの要求を行い、前記項目ＩＤ管理サーバにより、前記項目ＩＤ要求に基づき、前記利用者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、前記項目ＩＤを自身のデータベースに利用者と関連付けて記録するとともに、既にデータベースに登録済みの１つ以上の項目ＩＤおよびそれに対応する項目値について、項目ＩＤを再生成し、データベースに再登録し、前記利用者情報管理サーバに、前記利用者情報の各項目についての項目ＩＤ、および項目ＩＤを再生成した項目についての新旧項目ＩＤを送信し、前記利用者情報管理サーバにより、前記利用者情報の各項目については、前記項目ＩＤ管理サーバより受け取った項目ＩＤに基づいて前記利用者情報を自身のデータベース内に格納し、前記項目ＩＤを再生成した項目については、旧項目ＩＤを新項目ＩＤに置き換えてデータベース内に再格納することを特徴とするデータベース管理方法。
5. 請求項１記載のデータベース管理方法において、
   前記利用者情報管理サーバにより、利用者情報を収集して、前記項目ＩＤ管理サーバに項目ＩＤの要求を行い、前記項目ＩＤ管理サーバにより、前記項目ＩＤ要求に基づき、前記利用者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、前記項目ＩＤを自身のデータベースに利用者と関連付けて記録するとともに、１つ以上の偽装用データを作成して、前記偽装用データの各項目について固有の乱数を生成して項目ＩＤを作成し、擬装用データと項目ＩＤを自身のデータベースに記録し、前記利用者情報管理サーバに、前記利用者情報の各項目についての項目ＩＤ、および偽装用データとその項目ＩＤを送信し、前記利用者情報管理サーバにより、前記利用者情報の各項目について、前記項目ＩＤ管理サーバより受け取った項目ＩＤに基づいて前記利用者情報を自身のデータベース内に格納し、前記偽装用データについて、前記項目ＩＤ管理サーバより受け取った項目ＩＤに基づいて前記偽装用データを自身のデータベースに格納することを特徴とするデータベース管理方法。
6. 請求項１または２記載のデータベース管理方法において、
   前記個人情報管理システムは、コンテンツを利用者側装置にネットワークあるいは電波などの媒介を用いて放送する番組放送サーバを備え、
   前記利用者情報管理サーバにより、自身のデータベースに記録された利用者情報を集計し、その集計情報を基に放送するコンテンツの選別を行い、その選別結果を前記番組放送サーバに送信し、また、推薦コンテンツの提示などコンテンツ視聴の利便性を高めるための個別番組情報を利用者毎に決定し送信するための各利用者の利用者情報を取得するために、前記項目ＩＤ管理サーバに項目ＩＤの要求を行い、項目ＩＤ管理サーバにより、前記項目ＩＤ要求に対して、自身のデータベースを検索して、項目ＩＤを前記利用者情報管理サーバに送信し、前記項目ＩＤを受け取った前記利用者情報管理サーバにより、前記項目ＩＤを用いて自身のデータベースを検索して、各利用者の利用者情報を取得して、各利用者側装置に前記個別番組情報を送信することを特徴とするデータベース管理方法。
7. 利用者の個人情報を収集する利用者情報収集部と、利用者の個人情報を開示する利用者情報開示部と、視聴者から収集した個人情報を記録、管理する利用者情報データベースとを持つ利用者情報管理サーバと、
   項目ＩＤの作成を行う項目ＩＤ付与部と、項目ＩＤを検索する項目ＩＤ検索部と、項目ＩＤを記録、管理する項目ＩＤデータベースとを持つ項目ＩＤ管理サーバと、
   利用者情報管理サーバに要求して利用者情報の閲覧を行う利用者情報閲覧部を持つ事業者端末と、
   自身の個人情報を利用者情報管理サーバに送信する利用者情報送信部と、利用者情報管理サーバに要求して、登録されている利用者情報の確認を行う利用者情報確認部と、自身の個人情報を記録、管理する個人情報データベースとを持つ利用者側装置とを備え、
   前記利用者情報管理サーバは、利用者情報を収集して、前記項目ＩＤ管理サーバに項目ＩＤの要求を行い、
   前記項目ＩＤ管理サーバは、前記項目ＩＤ要求に基づき、前記利用者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、前記項目ＩＤを自身のデータベースに利用者と関連付けて記録するとともに、前記利用者情報管理サーバに送信し、
   前記利用者情報管理サーバは、前記項目ＩＤ管理サーバより受け取った項目ＩＤに基づいて前記利用者情報を自身のデータベース内に格納することを特徴とする個人情報管理システム。
8. 請求項７記載の個人情報管理システムにおいて、
   前記利用者情報管理サーバの前記利用者情報収集部は、
   前記利用者側装置に対して、利用者情報を要求する利用者情報要求送信手段と、
   前記利用者側装置から利用者情報を受け取る利用者情報受信手段と、
   前記項目ＩＤ管理サーバに対して、収集した利用者情報に対する項目ＩＤを要求する項目ＩＤ要求送信手段と、
   前記項目ＩＤ管理サーバから利用者情報に対する項目ＩＤを受け取る項目ＩＤ情報受信手段と、
   前記利用者情報を、前記項目ＩＤに基づき、前記利用者情報データベース内に格納する利用者情報登録手段とを有し、
   前記利用者情報管理サーバの前記利用者情報開示部は、
   前記事業者端末あるいは前記利用者側装置より利用者情報の閲覧要求を受け取る利用者情報閲覧要求受信手段と、
   前記項目ＩＤ管理サーバに対して、閲覧要求対象の利用者情報に関する項目ＩＤを要求する項目ＩＤ要求送信手段と、
   前記項目ＩＤ管理サーバから利用者情報に対する項目ＩＤを受け取る項目ＩＤ情報受信手段と、
   前記項目ＩＤに基づき、前記利用者情報データベースより前記閲覧対象の利用者情報を検索して、前記事業者端末あるいは前記利用者側装置に送信する閲覧用利用者情報送信手段とを有することを特徴とする個人情報管理システム。
9. 請求項７記載の個人情報管理システムにおいて、
   前記項目ＩＤ管理サーバの項目ＩＤ付与部は、
   前記利用者情報管理サーバより要求のあった利用者情報に対する項目ＩＤを作成し、自身のデータベースに記録する項目ＩＤ作成登録手段と、
   前記作成した項目ＩＤを利用者情報管理サーバに送信する項目ＩＤ情報送信手段とを有し、
   前記項目ＩＤ管理サーバの項目ＩＤ検索部は、
   前記利用者情報管理サーバより要求のあった利用者情報に対して、前記項目ＩＤデータベースを検索して、その利用者情報に関する項目ＩＤを取得する項目ＩＤ検索手段と、
   前記取得した項目ＩＤを前記利用者情報管理サーバに送信する項目ＩＤ情報送信手段とを有することを特徴とする個人情報管理システム。
10. 請求項７記載の個人情報管理システムにおいて、
    前記利用者側装置の前記利用者情報送信部は、
    前記利用者情報管理サーバから利用者情報要求を受け取る利用者情報要求受信手段と、
    前記利用者情報管理サーバに対して、自身の個人情報を送信する利用者情報送信手段とを有し、
    前記利用者側装置の前記利用者情報確認部、および前記事業者端末の前記利用者情報閲覧部は、
    前記利用者情報管理サーバに対して、利用者情報の閲覧を要求する利用者情報閲覧要求送信手段と、
    前記利用者情報管理サーバより閲覧対象の利用者情報を受け取る閲覧用利用者情報受信手段と、
    前記受信した利用者情報について、電子署名を検証、および閲覧を行う閲覧用利用者情報検証閲覧手段とを有することを特徴とする個人情報管理システム。

Images