JP2009543489A - 匿名の機密データを管理するためのサーバ - Google Patents

Abstract

ユーザが通信体に機密データを記録する場合、ユーザは機密データを入力し、このデータが符号化され、ユーザのリファレンスと共にサーバ（ＡＤＳ）に送信され、リファレンスと関連付けて符号化された機密データを記録するようになっている。ユーザが通信体において通信体の別のユーザのリファレンスを検索する場合、ユーザは検索データを入力し、このデータが符号化されてサーバに送信され、ここで、送信された符号化された検索データがサーバに記録された符号化された機密データの全てと比較されるようになっている。サーバは、符号化された検索データに対応する符号化された機密データに関連付けられたリファレンスを、通信体に送信する。このようにして、通信体のユーザは、他のユーザのデータを知ることなく、他のユーザと交信状態となる。
【選択図】 図２

Description

本発明は、匿名の機密データを管理するサーバに関する。

メール・アドレスを記憶する電子メール・サーバ等、インターネット・タイプのインフラストラクチャを有するネットワークにおいて実施される個人データ・ディレクトリを管理するサーバにおいては、ユーザは、自身を特徴付ける情報をサーバに供給しなければならない。かかる管理サーバは、サーバ・データベースにおいて、ユーザの個人情報を不正に用いるためにそれらの情報全てにアクセスする有害なエンティティによって攻撃される恐れがある。

米国特許出願公開第２００４／０１３９０２５号

アドホックタイプの分散化ネットワークの場合、ユーザの端末は、そのメモリ内に個人データをローカルに保持し、ポイント・ツー・ポイント通信（point to point communication）中に、それらの情報を他の端末と直接交換する。第１の端末は、ネットワーク内の第２の端末と通信を行いたい場合、最初に、電話番号又はインターネット・アドレス等の第２の端末の交信識別子を取得するために、第２の端末を特徴付ける情報に関する検索を行わなければならない。この検索の間、第１の端末は、第２の端末との第１の交信を得るために、ネットワーク内の多数の端末と交信しなければならないが、これには長い検索時間が必要であり、極めて長期間にわたってネットワークはビジー状態（busy）となる。

上述した欠点の１つの解決策が、個人情報を保護するための方法に関する、２００３年１１月１０日に出願された［特許文献１］の出願において提示されている。この方法は、各人の個人情報の管理及び機密保持を実行し、その無許可の利用を禁止し、アクセス権によって制限されたその利用を可能とする。各人に関するデータは、保護された機密データベースにおいて収集され維持される。各人の機密データに対するアクセス権は、データベースを管理するエンティティから各人の機密データのトランザクションに関与する他の関係者へと送信される通知に含まれる。従って、トランザクションに関与する各関係者は、各人のアイデンティティを知り、そして彼又は彼女と直接通信を行うことができる。

本発明の目的は、ユーザの私的な個人情報を開示することなく、その情報に基づいてユーザの交信を検索することである。従って、かかる検索を実行したエンティティは、ユーザの個人データを知ることなく、ユーザと交信状態に置かれる。

この目標を達成するため、サーバ手段に記録された通信体のユーザの機密データを管理するための方法であって、通信体及びサーバ手段が電気通信ネットワークを介して通信を行う、この方法が、第１の通信体から送信されたユーザの符号化された機密データ及びリファレンスをサーバ手段に記録するステップと、第２の通信体から送信された少なくとも１つの符号化された検索データの関数として、ユーザのリファレンスを、サーバ手段におけるユーザの他のリファレンスに関連付けられた記録された符号化機密データの中から検索するステップと、サーバ手段によって、符号化された検索データに対応する１つの符号化された機密データに関連付けられたユーザの少なくとも１つのリファレンスを、第２の通信体に送信するステップと、を含むことを特徴とする。

更に具体的には、符号化された機密データを記録するステップは、第１の通信体からユーザの機密データを入力することと、機密データを符号化することと、ユーザの符号化された機密データ及びリファレンスをサーバ手段に送信することと、を含むことができ、これによって、ユーザのリファレンスに関連付けて、符号化された機密データを、サーバ手段において、他のユーザのリファレンスに関連付けられた符号化された機密データの中に記録する。リファレンスを検索するステップは、第２の通信体から少なくとも１つの検索データを入力することと、検索データを符号化して符号化された検索データにすることと、符号化された検索データをサーバ手段に送信することによって、サーバ手段が、送信された符号化された検索データを、サーバ手段に記録された符号化された機密データの全てと比較し、符号化された検索データに対応する符号化された機密データに関連付けられた少なくともリファレンスを第２の通信体に送信するようにすることと、を含むことができる。

本発明によれば、サーバ手段は、ユーザの個人データを含まずに、符号化された機密データを含む。このデータは、サーバ手段内のデータに対してアクセスしようと試みる有害なエンティティによって読み取ることはできない。そして、本発明による方法は、例えばユーザが自身の個人機密データを開示することなくネットワークのユーザと交信するために、ユーザを特徴付ける検索データからネットワークのユーザのリファレンスを取得するという利点を提供する。

１つの特徴によれば、この方法は、ユーザの少なくとも第１の機密データを第１の通信体から変更された機密データに更新することと、変更済み機密データを符号化することと、第１の符号化された機密データと、符号化された変更済み機密データと、ユーザのリファレンスと、をサーバ手段に送信することと、サーバ手段においてユーザのリファレンスに関連付けられると共に第１の送信された符号化機密データと同一の１つの符号化機密データを削除することと、サーバ手段においてユーザのリファレンスに関連付けて符号化された変更済み機密データを記録することと、を含む。

本発明の別の特徴によれば、記録の間に、各機密データが、これを特徴付けるカテゴリに関連付けられ、カテゴリ及びリファレンスに関連付けてサーバ手段に符号化されて記録され、検索の間に、サーバ手段において符号化された第１のデータに対応する符号化された機密データに関連付けられたリファレンス及びカテゴリが、第２の通信体に送信される。

本発明の更に別の特徴によれば、記録の間、ユーザによって第１の通信体に入力された機密データが、少なくとも１つの機密派生物に導出され、これも符号化され、サーバ手段に送信され、第１の通信体のユーザのリファレンスに関連付けてサーバ手段に記録され、検索の間、第２の通信体における検索データが少なくとも１つの検索派生物に導出され、これが符号化され、サーバ手段に送信され、符号化された機密データ及び関連付けられた符号化機密派生物と比較され、サーバ手段に記録される。

また、本発明の別の目的は、電気通信ネットワークを介して通信体のユーザの機密データを管理するためのサーバ手段を提供することである。このサーバ手段は、第１の通信体から送信されたユーザの符号化された機密データ及びリファレンスを記録するための手段と、第２の通信体から送信された少なくとも１つの符号化された検索データの関数として、ユーザのリファレンスを、ユーザの他のリファレンスに関連付けられた記録された符号化機密データの中から検索するための手段と、符号化された検索データに対応する符号化された機密データに関連付けられた少なくとも１つのユーザのリファレンスを、第２の通信体に送信するための手段と、を含むことを特徴とする。

また、本発明は、電気通信ネットワークを介して、ユーザの機密データを管理するためのサーバ手段と通信を行う通信体に関する。この通信体は、通信体のユーザの機密データの記録の間に、機密データを入力するための手段と、機密データを符号化するための手段と、ユーザの符号化された機密データ及びリファレンスをサーバ手段に送信するための手段であって、これによって、ユーザのリファレンスに関連付けて、符号化された機密データを、サーバ手段において、他のユーザの一意のリファレンスに関連付けられた符号化された機密データの中に記録するための、手段と、を含むことを特徴とする。

また、本発明は、電気通信ネットワークを介して、ユーザの機密データを管理するためのサーバ手段と通信を行う通信体に関する。この通信体は、別の通信体のユーザのリファレンスを検索する間に、少なくとも１つの検索データを入力するための手段と、検索データを符号化して符号化された検索データにするための手段と、符号化された検索データをサーバ手段に送信するための手段であって、これによって、サーバ手段が、送信された符号化された検索データを、サーバ手段に記録された符号化された機密データの全てと比較し、符号化された検索データに対応する符号化された機密データに関連付けられたユーザの少なくとも１つのリファレンスを通信体に送信するようにするための、手段と、を含むことを特徴とする。

更に一般的には、本発明による通信体は、先の２つの段落において述べた双方の手段を含むことができる。

最後に、本発明は、電気通信ネットワークを介して通信体と通信を行う、通信体のユーザの機密データを管理するためのサーバ手段において実施することができるコンピュータ・プログラムに関する。このプログラムは、サーバ手段において実行された場合に、本発明の方法によるステップを実行する命令を含む。

本発明の他の特徴及び利点は、非限定的な例として与えられる以下の本発明のいくつかの実施形態の説明を読み、添付の対応する図面を参照することによって、明らかとなろう。

本発明による匿名の機密データを管理するための方法を実施する、匿名の機密データを管理するためのシステムの概略ブロック図である。 図１のシステムの更に詳細なブロック図である。 本発明によるユーザの機密データを記録するための方法の第１の主要ステップを表すアルゴリズムである。 ユーザの匿名の機密データに関するリファレンスを検索するための、本発明による方法の第２の主要ステップを表すアルゴリズムである。

図１は、匿名の機密データを管理するためのシステムを表し、これは、電気通信ネットワークＲＲ−ＲＰＱを介して、匿名の機密データを管理するためのサーバＡＤＳと、移動無線端末等の通信体ＴＡと、パーソナル・コンピュータＴＢ又は他のいずれかの個人用通信デバイスと、を備える。

電気通信ネットワークは、インターネット・タイプのスイッチング・データ・ネットワークＰＲＱによってサポートされた、ＧＰＲＳ無線チャネルによるモビリティ及びアクセスの管理を行うＧＳＭタイプ又はＣＤＭＡ（符号分割多元接続）タイプ、ＵＭＴＳ（Universal Mobile Telecommunications System）もしくはＵＴＲＡＮ（UMTS Terrestrial Radio Access Network）タイプの第３世代（３ＧＰＰ）、又はＣＤＭＡ２０００タイプの第３世代（３ＧＰＰ２）のセルラ無線通信ネットワークＲＲを含む。また、ネットワークＲＴは、ＷｉＦｉ（Wireless Fidelity）、ＷｉＭａｘ（Worldwide Interoperability for Microwave Access）、もしくはＷｉｂｒｏ（無線ブロードバンド）タイプのローカル・ネットワーク、又は、赤外線、ブルートゥース（Bluetooth）、もしくはＮＦＣ（Near Field Communication）タイプの無線ネットワークとすることができる。

匿名の機密データを管理するためのサーバＡＤＳは、データベースＢＤに接続されるか、又はデータベースＢＤを含む。データベースＢＤは、符号化された機密データＤＣ１からＤＣＮを含み、これらはそれぞれ一意のリファレンスＲＵ１からＲＵＮに関連付けられている。機密データＤＣＡ、ＤＣＢ（１≦Ａ≦Ｎ、１≦Ｂ≦Ｎ）は、例えば、通信体ＴＡ、ＴＢのユーザの個人データであり、例えば、ユーザの名前、ファースト・ネーム、誕生日、自宅の住所、電話番号又は複数の電話番号、職業、職場の住所に対応する。ユーザの一意のリファレンスＲＵＡ、ＲＵＢは、彼又は彼女の電話番号とすることができる。しかしながら、この一意のリファレンスは、匿名のままとして、ユーザを直接識別することを可能とせずに、かつ、彼又は彼女と直接の通信を可能とすることなく、ユーザ及び／又は彼もしくは彼女の端末を特徴付けることが好ましい。

ユーザは、彼又は彼女の個人データを必ずしも開示することなく別のユーザとの通信を望む際に、本発明の管理サーバを用いる。

管理サーバは、匿名の機密データを管理するための方法を実施する。この方法は、図３及び図４にそれぞれ示す２つの主要ステップを含む。かかる主要ステップは、符号化されたユーザの匿名の機密データを、ユーザの一意のリファレンスに関連付けてデータベースＢＤに記録すること、及び、データベースＢＤに記録されたユーザの符号化された匿名の機密データの中で、符号化検索データの関数としてユーザの一意のリファレンスを検索することである。

例えば移動無線端末ＴＡである第１の通信体のユーザの機密データの記録中に、端末ＴＡは、符号化形態の機密データＤＣＡ及び端末のユーザを特徴付ける一意のリファレンスＲＵＡを、無線通信ネットワークＲＲ及びパケット・ネットワークＲＰＱを介して、サーバＡＤＳに送信する。サーバＡＤＳは、このデータＤＣＡをリファレンスＲＵＡに関連付けてデータベースＢＤに記録する。

例えばパーソナル・コンピュータＴＢである第２の通信体のユーザによる機密データの検索中に、コンピュータＴＢは、符号化検索データＤＲＣを含む要求ＲＱを、パケットＲＰＱを介して、サーバＡＤＳに送信する。これに応えて、サーバは、データベースＢＤに記録され検索データＤＲＣに対応する機密データＤＣｎに関連したユーザのリファレンス又は複数のリファレンスＲＵｎ（１≦ｎ≦Ｎ）を返信する。

通信体が移動端末ＴＡである場合、端末ＴＡとサーバＡＤＳとの間のデータの交換は、例えば、図１には示していない通信ゲートウェイを介して、無線通信ネットワークＲＲとパケット・ネットワークＲＰＱとの間で実行される。通信ゲートウェイは、高速パケット・ネットワークＲＰＱを介してサーバＡＤＳと通信を行うためのアクセス・ゲートウェイを含むことができる。通信ゲートウェイの別のアクセス・ゲートウェイは、Ｘ．２５タイプのパケット・ネットワーク又はＲＮＩＳ（Reseau Numerique a Integration de Serviceすなわち総合デジタル通信網）又はＡＴＭ（非同期転送モード）ネットワーク等のアクセス・ネットワークを介して、無線ネットワークＲＲの少なくとも１つのスイッチと通信を行う。

通信ゲートウェイは、ネットワークＲＰＱを介してサーバＡＤＳに送信されサーバＡＤＳによって送信されたＩＰ（インターネット・プロトコル）パケットをカプセル化したメッセージを、ネットワークＲＲを介して移動無線端末ＴＡと交換する。

図２には、機能ブロックの形態で、匿名の機密データを管理するサーバＡＤＳ及び通信体ＴＡが示されている。これらのブロックのほとんどは、本発明に関係する機能を提供し、ソフトウェア及び／又はハードウェア・モジュールに相当するものとすることができる。

図２を複雑にしすぎないために、通信体ＴＢは図示していない。

匿名の機密データを管理するサーバＡＤＳは、データベースＢＤにおける様々な動作を管理するデータ・マネージャＧＤと、パケット・ネットワークＲＰＱを介してパケットＩＰを送信及び受信するための通信インタフェースＩＣと、を含む。

マネージャＧＤによって管理される動作は、更に具体的には、ユーザの通信体によって送信されたユーザの符号化された機密データを、ユーザの一意のリファレンスに関連付けて記録すること、別の通信体によって送信されたデータと比較することによって、ベースＢＤにおいて符号化された機密データを検索すること、及び、検索データに対応するデータベース内の符号化された機密データに関連した１つ又はいくつかのリファレンスを含む返答ＲＰを記述すること、である。

図２に示した通信体ＴＡは、接触して又は接触せずにチップ・カードＣＡと関連付けられた移動無線端末である。

移動無線端末ＴＡは、無線インタフェースＩＲＴと、プロセッサＰＴと、人／機械インタフェースＩＨＭと、メモリＭＴと、カード・リーダＬＴと、を含む。端末の様々な要素は、双方向バスＢＴによって相互接続されている。

インタフェースＩＨＭは、端末ＴＡと端末のユーザとの間のインタラクションを制御し、ディスプレイ及び／又はタッチ・スクリーンに関連付けたキーボードを含み、必要な場合には音声認識デバイスを含む。

チップ・カードＣＡは、ＭＭＣ（マルチ・メディア・カード）又はＳＤ（Secure Digital）又はＵＳＢ（Universal Serial Bus）又はＵＩＣＣ（Universal Integrated Circuit Card）チップ・カードである。ＵＩＣＣチップ・カードは、例えば、カードにＳＩＭ（加入者識別モジュール）アプリケーションを提供したものであり、これは、カードのホストとなる端末が、ＧＭＳ／ＧＰＲＳ（Global System for Mobile communications／General packet Radio Service）又はＵＳＩＭ（汎用加入者識別モジュール）、ＲＵＩＭ（着脱可能ユーザ識別モジュール）、ＩＳＩＭ（ＩＰ加入者識別モジュール）、又はＥＡＰ−ＳＩＭ（拡張認証プロトコル）タイプのネットワークに接続されたモバイルである場合、カードのホストとなる端末が、ＵＭＴＳもしくはＵＴＲＡＮタイプの第３世代（３ＧＰＰ）、又はＣＤＭＡ２０００タイプの第３世代（３ＧＰＰ２）のＣＤＭＡ（符号分割多元接続）によって動作するモバイル機器である場合である。

チップ・カードＣＡは、主として、プロセッサＰＣ又はいくつかのプロセッサと、３つのメモリ・ブロックＭ１からＭ３と、を含む。このカードは、接触して又は接触することなく、入力／出力ポートＰＥＳ及びリーダＬＴを介して端末ＴＡとコマンド又は要求及び応答を交換する。このカードの様々な要素は、双方向バスＢＣによって相互接続されている。

メモリＭ１は、ＲＯＭ又はフラッシュ・タイプのものであり、カードを動作させるシステムを含む。

メモリＭ２は、例えばＥＥＰＲＯＭ又はフラッシュ・メモリのような不揮発性メモリであり、更に具体的には、カードを所有するユーザの鍵、識別番号、ならびに個人データ、ＰＩＮコード、及び他の保護データ等の他のプロファイル・パラメータを記憶するためのものである。また、メモリＭ２は、ユーザの一意のリファレンスＲＵＡ及び符号化アルゴリズムＡＣも含む。符号化アルゴリズムＡＣは、逆アルゴリズムを適用することによって以後データを発見することを不可能とする単一方向の符号化をデータに対して実行するという点で、特別な構成を有する。符号化アルゴリズムは、例えば、非対称暗号化アルゴリズム、又は、以前に符号化されたデータを示すグラフ表示を発生させるものである。

メモリＭ３は、ＲＡＭ又はＳＲＡＭメモリであり、更に具体的には、データを処理するために用いられる。

チップ・カードＣＡは、更に、本発明に関して、記録アプリケーションＡＥと、検索アプリケーションＡＲと、メモリＭ１及びＭ２に分散させた符号化エージェント（アプレット）ＡｇＣと呼ばれるソフトウェア・モジュールと、を含む。

アプリケーションＡＥ及びＡＲは、本発明の方法の２つの別個の主要ステップに関連し、端末のユーザの制御のもとで、人／機械インタフェースＩＨＭから動作される。

端末のユーザが個人データをサーバＡＤＳに記録することを望む場合、記録アプリケーションＡＥは、ユーザが個人データを入力し検証するためのフィールドをインタフェースＩＨＭ上に表示する。

ユーザが、すでに自身の個人データをサーバＡＤＳに記録した遠隔通信ネットワークの端末の別のユーザの一意のリファレンスを取得することを望む場合、検索アプリケーションＡＲは、前者のユーザが検索データを入力し検証するためのフィールドをインタフェースＩＨＭ上に表示する。また、検索アプリケーションは、サーバＡＤＳから取得した一意のリファレンスもしくは複数のリファレンス、又は、かかるリファレンスから推定される結果を表示する。

代替的な解決策によれば、アプリケーションＡＥ及びＡＲは同一のアプリケーションである。

符号化エージェントＡｇＣは、人／機械インタフェースＩＨＭ上で入力及び検証されたデータを、符号化された形態でサーバＡＤＳに送信するために、メモリＭ２に記録し符号化するという主要機能を有する。

符号化エージェントＡｇＣ及び双方のアプリケーションの役割については、図３及び図４を参照しながら更に詳細に説明する。

代替的な解決策によれば、端末ＴＡのメモリＭＴは、アプリケーションＡＥ及びＡＲの双方を含み、更に、符号化エージェントＡｇＣを任意に含む。

別の代替的な解決策によれば、チップ・カードＣＡに関連付けられた端末ＴＡ等のユーザの通信体は、個人データを記録するため、又は、他のユーザのリファレンスもしくは複数のリファレンスを取得するための検索を実行するために、２つのアプリケーションＡＥ及びＡＲの一方のみを含む。

本発明は、チップ・カードに関連付けた移動無線端末に限定されるわけではない。また、チップ・カードは、例えば、移動端末に接続されるか又は直接インターネット・ネットワークに接続されたポータブル・コンピュータに含まれるカード、支払いカード、電子マネー・カード、ヘルス・カード、電子パスポート、又は移動端末に接続された他のいかなるカードとすることも可能である。

他の代替的な解決策によれば、本発明は、パーソナル・コンピュータ又は携帯情報通信端末（communicating personal digital assistants, PDA）等の他のポータブル通信電子体に適用される。

図３を参照し、更に図１及び図２の通信体ＴＡ及びＴＢに関して述べると、匿名の機密データを管理するための方法における機密データを記録する主要ステップは、ステップＥ１からＥ７を含む。

ステップＥ１において、移動無線端末ＴＡのユーザは、インタフェースＩＨＭを用いて記録アプリケーションＡＥを始動させる。インタフェースＩＨＭは、名前フィールド、ファースト・ネーム・フィールド、データ・フィールド、住所フィールド、電話番号フィールド、及び職業フィールド等の個人データを入力するためのフィールドを表示する。

ステップＥ２において、ユーザは個人データＤＡを入力する。任意に、ユーザは、後に彼又は彼女のリファレンスを別のユーザが検索することを可能とするために、入力した個人データの中から、匿名かつ機密にサーバＡＤＳに記録することを彼又は彼女が望むＤＰＡを選択する。

例えばインタフェースＩＨＭ上で検証アイコンを選択した後に記録が検証されると、ステップＥ３において、記録アプリケーションＡＥは、データ入力を符号化エージェントＡｇＣに転送する。符号化エージェントＡｇＣは、ステップＥ４において、カードのメモリＭ２に転送された個人データＤＡを全て記録する。次いで、ステップＥ５において、エージェントＡｇＣは、選択したデータＤＰＡを符号化して符号化された個人データＤＣＡにするために、単一方向の符号化アルゴリズムＡＣを適用する。

ステップＥ６において、エージェントＡｇＣは、メモリＭ２において読み出されたユーザの符号化された個人データＤＣＡ及びリファレンスＲＵＡを含む記録メッセージＭＲを作成する。メッセージＭＲは、端末ＴＡの無線インタフェースＩＲＴによってサーバＡＤＳに送信される。

ステップＥ７において、サーバＡＤＳにおける通信インタフェースＩＣによってメッセージＭＲが受信されると、ステップＥ７の間、サーバＡＤＳのデータ・マネージャＧＤは、符号化された機密データＤＣＡをリファレンスＲＵＡに関連付けてデータベースＢＤに記録する。

代替的な解決策によれば、メッセージＭＲは、送信される各符号化された個人データごとに、「名前」、「ファースト・ネーム」、「日付」、「住所」、「電話番号」、及び「職業」等、符号化されずに送信される関連入力フィールドのカテゴリ又はカテゴリの識別子も含む。次いで、データベースにおいて、各符号化された個人データは、そのカテゴリに関連付けて又はカテゴリの識別子と共に記録され、データＤＣＡ及びそれらのカテゴリのセットは、ユーザの一意のリファレンスＲＵＡに関連付けられて記録される。

ユーザの符号化された機密データのサーバＡＤＳへの記録が完了すると、ユーザはかかる機密データの一部を変更することができ、これによってサーバ手段においてデータを更新することができる。

ユーザの機密データを更新するために、記録アプリケーションＡＥは、任意に、端末のインタフェースＩＨＭを用いて、メモリＭ２に記憶された機密データを全て表示する。ユーザは、１つの機密データ又はいくつかの機密データを変更する。それらのデータの一部は、サーバＡＤＳのデータベースＢＤに匿名で記録されることをユーザによって以前に選択されたか又は新たに選択されたものである。更新を検証すると、例えばインタフェースＩＨＭ上で検証アイコンを選択した後、アプリケーションＡＥは変更されたデータを符号化エージェントに転送する。符号化エージェントは、対応する初期データを上書きすることによってメモリＭ２においてこれを更新し、選択された変更済みデータを符号化する。次いで、符号化エージェントは、符号化された変更済み機密データと、符号化された初期機密データと、ユーザのリファレンスと、を含むメッセージを、サーバＡＤＳに送信する。

メッセージを受信すると、サーバＡＤＳのデータ・マネージャＧＤは、メッセージから検索したユーザのリファレンスに関連付けられると共にメッセージから検索した符号化された初期機密データと同一である符号化された機密データを、データベースＢＤにおいて削除する。マネージャＧＤは、送信されたメッセージから検索した符号化された変更済み機密データを、ユーザのリファレンスに関連付けて、データベースＢＤに記録する。

ここで、図４を参照し、更に図１及び図２の通信体ＴＡ及びＴＢに関して述べると、匿名の機密データを管理する方法における機密データを検索する主要ステップは、ステップＲ１からＲ８を含む。

ステップＲ１において、パーソナル・コンピュータＴＢのユーザは、端末ＴＡのユーザのリファレンスＲＵＡを取得したいと望む場合、インタフェースＩＨＭを用いて検索アプリケーションＡＲを始動させる。インタフェースＩＨＭは、ネーム・フィールド、ファースト・ネーム・フィールド、データ・フィールド、住所フィールド、電話番号フィールド、及び職業フィールド等の機密データを検索するためのフィールドを表示する。

ステップＲ２において、コンピュータＴＢのユーザは、検索フィールド又は複数のフィールドに、例えばコンピュータＴＢのユーザが交信状態とすることを望む端末ＴＡのユーザを特徴付ける少なくとも１つの検索データＤＲ又は多くの場合は複数の検索データＤＲをタイプ入力する。

例えばインタフェースＩＨＭ上で検証アイコンを選択した後に検索が検証されると、ステップＲ３において、検索アプリケーションＡＲは、入力された検索データ又は複数の検索データＤＲをコンピュータＴＢの符号化エージェントＡｇＣに転送する。ステップＲ４において、エージェントは、検索データＤＲを符号化して符号化検索データＤＲＣにするために、端末ＴＡの符号化エージェントによって用いられたものと同一の単一方向の符号化アルゴリズムＡＣを適用する。このため、データＤＲは、データベースＢＤに符号化形態で記録された個人データと同様の方法で符号化される。

ステップＲ５において、コンピュータＴＢのエージェントＡｇＣは、符号化された検索データＤＲＣを含む要求ＲＱを作成する。要求ＲＱは、サーバＡＤＳに対するコンピュータＴＢの通信インタフェースによって、サーバＡＤＳに送信される。

サーバＡＤＳにおいて通信インタフェースＩＣによって要求ＲＱが受信されると、ステップＲ６において、サーバＡＤＳのデータ・マネージャＧＤは、各リファレンスＲｕｎに関連付けられた符号化された機密データＤＣｎを、要求ＲＱから検索された送信され符号化された検索データＤＲＣと比較する。１つのデータ又はいくつかの機密データが１つの符号化された検索データ又はいくつかの符号化された検索データＤＲＣとそれぞれ同一である場合、符号化された機密データに関連付けられたリファレンスが、マネージャＧＤによって作成された応答ＲＰにコピーされる。

マネージャＧＤは、データベースＢＤに記録された各リファレンスごとに同じ動作を実行する。要求ＲＱから検索された符号化された検索データＤＲＣは、２つ以上の異なるリファレンスＲＵ１からＲＵＮに関連付けられたいくつかの符号化された機密データと同一である場合がある。

データベース内の全てのリファレンスに関連付けられた全ての機密データが比較されるとすぐに、符号化された検索データＤＲＣと同一の機密データに関連した１つ又はいくつかのリファレンスＲＵｎを含む応答ＲＰを、コンピュータＴＢに送信する。

ステップＲ７において、応答ＲＰは、コンピュータＴＢの符号化エージェントＡｇＣによって処理される。ステップＲ８において、コンピュータＴＢは、検索アプリケーションＡＲに、人／機械インタフェースＩＨＭを用いて、送信されたリファレンスＲＵｎを表示するように命令する。

代替的な解決策として、要求ＲＱは、送信される各符号化された検索データごとに、「名前」、「ファースト・ネーム」、「日付」、「住所」、「電話番号」、及び「職業」等、符号化されて送信される関連検索フィールドのカテゴリ又はカテゴリの識別子も含む。このため、サーバＡＤＳのデータ・マネージャＧＤは、各リファレンスＲＵｎに関連付けられた符号化された機密データＤＣｎ及びかかるデータに関連付けられたカテゴリを、それぞれ、要求ＲＱから検索された符号化された検索データＤＲＣ及び送信された関連カテゴリと比較する。これによって、符号化された検索データと同一の符号化機密データに対応するリファレンスと、前記符号化された検索データに関連したカテゴリと同一の関連カテゴリと、を含む応答を作成することができる。

第２の代替的な解決策によれば、データ・マネージャＧＤは、１つ又はいくつかのリファレンスＲＵｎを、データベースＢＤ内の前記リファレンスに関連した符号化された機密データと同一の符号化された検索データに関連付けて、応答ＲＰ内に含む。コンピュータＴＢにおいて応答ＲＰを受信すると、コンピュータＴＢの検索アプリケーションＡＲは、人／機械インタフェースＩＨＭを用いて、送信されたリファレンスＲＵｎを、ステップＲ１においてユーザによって入力されて応答ＲＰから検索した符号化された検索データに関連した対応する検索データと共に表示する。

第３の代替的な解決策によれば、符号化された検索データに対応する各符号化された機密データごとに、機密データに関連付けたカテゴリを、前記機密データに関連したリファレンスに関連付けて、応答ＲＰに含ませる。従って、応答ＲＰは、符号化された検索データに対応する符号化された機密データ・カテゴリに関連付けた１つ又はいくつかのリファレンスを含む。

送信されたカテゴリは、インタフェースＩＨＭ上に、それらが関連付けられたリファレンスと共に表示される。

前出の代替的な解決策に関連した例示的な利用によれば、コンピュータＴＢのユーザは、端末ＴＡのユーザと交信状態になることを望む。端末ＴＢのユーザは、インタフェースＩＨＭを用いて検索アプリケーションＡＲを始動させ、検索フィールド「名前」に、端末ＴＡのユーザの名前を検索データとして入力する。コンピュータＴＢのエージェントＡｇＣは、検索データを符号化し、それを要求ＲＱ内でサーバＡＤＳに送信する。

この要求を受信すると、サーバＡＤＳは、ステップＲ６に記載したようにデータベースＢＤ内で検索を行い、送信された検索データに対応した２つの同一の機密データを取得する。取得した双方の機密データに関連付けられたカテゴリ及びリファレンスは、それぞれ異なっている。第１のリファレンスに関連付けられた第１の機密データはファースト・ネームに対応し、第２のリファレンスに関連付けられた第２の機密データは名前に対応する。サーバＡＤＳは、それぞれコンピュータＴＢに関連付けて双方のリファレンス及び双方のカテゴリを含む応答ＲＰを送信する。

ステップＲ８において、各カテゴリを、関連付けられたリファレンスと共にインタフェースＩＨＭ上に表示して、例えば、第１のリファレンスがファースト・ネームに関連し、第２のリファレンスが名前に関連することを示す。

送信されて表示されたカテゴリを読み取ると、ユーザは、カテゴリ「名前」に関連した、端末ＴＡのユーザをいっそう正確に特徴付ける第２のリファレンスを選択して、例えば、選択されたリファレンスを用いて端末ＴＡのユーザと通信を行うようにする。

２つの異なる個人データを同じ符号化されたデータ内に別個に符号化することに関連した衝突を防ぐため、単一方向の符号化アルゴリズムＡＣは、２つの異なる符号化機能を含むことができる。２つの機能の各１つを、入力され符号化される各個人データに適用して、同一の個人データから２つの異なる符号化されたデータを取得するようにする。この２つのデータは連結されて対になっているが、データベースＢＤ内で同一カテゴリに関連付けられている。ユーザのリファレンスを検索する間、データベースに記録された連結され符号化された機密データの対の全てと比較される２つの連結された異なる検索データを取得するために、入力された検索データも符号化する。

記録の間、別の代替的な解決策によれば、インタフェースＩＨＭを用いて入力されて端末ＴＡにおける符号化エージェントに送信された各個人データからは、エージェントによって１つ又はそれ以上、通常はいくつかの派生物が導出される。これは、入力された個人データ及び／又は複数のデータの一部として、例えばつづり及び／又は発音が異なるが実質的に入力された個人データ又はその一部と同様のものとすることができる。かかる個人データ及びその派生物は、符号化エージェントによって符号化され、それらの関連リファレンスと共に、それを記録するサーバＡＤＳに送信される。

リファレンスを検索する間、インタフェースＩＨＭを用いて入力されて符号化エージェントに送信された各検索データからは、エージェントによって、入力された検索データの１つ又はいくつか、通常はいくつかの派生物が導出される。かかる検索データ及びその派生物は、符号化エージェントによって符号化され、サーバＡＤＳに送信される。サーバＡＤＳは、これを、データベースＢＤに記録された符号化された機密データ及びその符号化された派生物と比較する。

符号化された検索データ及び／又はその符号化された派生物に対応する符号化された機密データ及び／又はその符号化された派生物のリファレンスは、検索を要求している端末に送信され、検索データによる入力された検索データの派生物の類似性の順序で表示される。

本明細書に記載した本発明は、機密データを管理するための方法に関する。１つの実施によれば、本発明の方法のステップは、通信体のユーザの機密データを管理するために電気通信ネットワークＲＲ−ＲＰＱを介して通信体ＴＡ、ＴＢと通信を行うサーバ手段ＡＤＳにおいて統合されるコンピュータ・プログラムの命令によって確定される。このプログラムは、前記プログラムがサーバ手段のプロセッサにおいて実行された場合に、本発明に従った方法のステップを形成するプログラム命令を含む。また、このプログラムは、部分的に通信体ＴＡ、ＴＢにおいて実行することができる。

従って、本発明は、コンピュータ・プログラムに適用され、更に具体的には、本発明を実施するように適合されたコンピュータ及び任意のデータ処理デバイスによって認識可能な情報サポート（information support）に記録されたコンピュータ・プログラムに適用される。このプログラムは、任意のプログラミング言語を用いることができ、ソース・コード、オブジェクト・コード、又は、部分的にコンパイルされた形態のようなソース・コードとオブジェクト・コードとの間の中間コードの形態、もしくは本発明に従った方法を実施するために好適な他の任意の形態とすることができる。

Claims (11)

1. サーバ手段（ＡＤＳ）に記録された通信体（ＴＡ〜ＴＢ）のユーザの機密データを管理するための方法であって、前記通信体及び前記サーバ手段が電気通信ネットワーク（ＲＲ−ＲＰＱ）を介して通信を行い、前記方法が、
   第１の通信体（ＴＡ）から送信されたユーザの符号化された機密データ（ＤＣＡ）及びリファレンス（ＲＵＡ）を前記サーバ手段に記録するステップ（Ｅ２〜Ｅ７）と、
   第２の通信体（ＴＢ）から送信された少なくとも１つの符号化された検索データ（ＤＲＣ）の関数として、ユーザのリファレンスを、前記サーバ手段におけるユーザの他のリファレンス（ＲＵ１〜ＲＵＮ）に関連付けられた記録され符号化された機密データの中から検索するステップ（Ｒ２〜Ｒ６）と、
   前記サーバ手段によって、前記符号化された検索データに対応する１つの符号化された機密データに関連付けられたユーザの少なくとも１つのリファレンスを、前記第２の通信体に送信するステップ（Ｒ７）と、
   を含むことを特徴とする、方法。
2. 符号化された機密データ（ＤＡ）を記録する前記ステップが、前記第１の通信体（ＴＡ）から前記ユーザの機密データを入力すること（Ｅ２）と、前記機密データを符号化すること（Ｅ５）と、前記ユーザの前記符号化された機密データ（ＤＣＡ）及び前記リファレンス（ＲＵＡ）を前記サーバ手段に送信すること（Ｅ６）と、を含み、これによって、前記ユーザの前記リファレンスに関連付けて、符号化された前記機密データを、前記サーバ手段において、他のユーザのリファレンス（ＲＵ１〜ＲＵＮ）に関連付けられた符号化された機密データ（ＤＣ１〜ＤＣＮ）の中に記録する（Ｅ７）、請求項１に記載の方法。
3. 前記ユーザの少なくとも第１の機密データ（ＤＡ）を前記第１の通信体（ＴＡ）からの変更済み機密データに更新することと、前記変更済み機密データを符号化することと、第１の符号化された変更済み機密データ（ＤＣＡ）と、前記第１の符号化された変更済み機密データと、前記ユーザの前記リファレンス（ＲＵＡ）と、を前記サーバ手段に送信すること（Ｅ６）と、前記サーバ手段から前記ユーザの前記リファレンスに関連付けられ、かつ前記第１の送信された符号化された機密データと同一の符号化機密データを削除することと、前記サーバ手段において前記ユーザの前記リファレンスに関連付けて前記符号化された変更済み機密データを記録することと、を含む、請求項１又は２に記載の方法。
4. リファレンスを検索する前記ステップが、前記第２の通信体（ＴＢ）から少なくとも１つの検索データ（ＤＲ）を入力すること（Ｒ２）と、前記検索データを符号化して符号化された検索データ（ＤＲＣ）にすること（Ｒ４）と、前記符号化された検索データを前記サーバ手段に送信すること（Ｒ５）によって、前記サーバ手段が、前記送信された符号化された検索データを、前記サーバ手段に記録された前記符号化された機密データの全てと比較し（Ｒ６）、前記符号された化検索データに対応する前記符号化された機密データに関連付けられた少なくとも前記リファレンスを前記第２の通信体に送信する（Ｒ７）ようにすることと、を含む、請求項１ないし３のいずれか１項に記載の方法。
5. 前記記録の間に、各機密データ（ＤＰＡ）が、これを特徴付けるカテゴリに関連付けられ、前記カテゴリ及び前記リファレンス（ＲＵＡ）に関連付けて前記サーバ手段（ＡＤＳ）に符号化されて記録され、
   前記検索の間に、前記サーバ手段において前記符号化された検索データ（ＤＲＣ）に対応する符号化された機密データに関連付けられた前記リファレンス及び前記カテゴリが、前記第２の通信体（ＴＢ）に送信される、請求項１ないし４のいずれか１項に記載の方法。
6. 前記機密データ（ＤＰＡ）及び検索データ（ＤＲ）が、単一方向の符号化アルゴリズム（ＡＣ）を前記データに適用することによって符号化される、請求項１ないし５のいずれか１項に記載の方法。
7. 前記記録の間、前記第１の通信体（ＴＡ）における機密データ（ＤＰＡ）が少なくとも１つの機密派生物に導出され、これも符号化され、前記サーバ手段（ＡＤＳ）に送信され、前記第１の通信体の前記ユーザの前記リファレンス（ＲＵＡ）に関連付けて前記サーバ手段に記録され、
   前記検索の間、前記第２の通信体（ＴＢ）における前記検索データ（ＤＲ）が少なくとも第１の派生物に導出され、これが符号化され、前記サーバ手段に送信され、前記符号化された機密データ及び前記関連付けられた符号化された機密派生物と比較され、前記サーバ手段に記録される、請求項１ないし６のいずれか１項に記載の方法。
8. 電気通信ネットワーク（ＲＲ−ＲＰＱ）を介して通信体（ＴＡ、ＴＢ）のユーザの機密データを管理するためのサーバ手段（ＡＤＳ）であって、
   前記第１の通信体（ＴＡ）から送信されたユーザの符号化された機密データ（ＤＣＡ）及びリファレンス（ＲＵＡ）を記録するための手段（ＧＤ、ＢＤ）と、
   第２の通信体（ＴＢ）から送信された少なくとも１つの符号化された検索データ（ＤＲＣ）の関数として、ユーザのリファレンスを、ユーザの他のリファレンス（ＲＵ１−ＲＵＮ）に関連付けられた前記記録された符号化された機密データの中から検索するための手段（ＧＤ）と、
   前記符号化された検索データに対応する符号化された機密データに関連付けられた前記ユーザの少なくとも１つのリファレンスを、前記第２の通信体に送信するための手段（ＩＣ）と、
   を含むことを特徴とする、サーバ手段。
9. 電気通信ネットワーク（ＲＲ−ＲＰＱ）を介して、ユーザの機密データを管理するためのサーバ手段（ＡＤＳ）と通信を行う通信体（ＴＡ）であって、前記通信体の前記ユーザの機密データの記録の間に、
   前記機密データを入力するための手段（ＩＨＭ−ＡＥ）と、
   前記機密データを符号化するための手段（ＡｇＣ）と、
   前記ユーザの前記符号化された機密データ（ＤＣＡ）及びリファレンス（ＲＵＡ）を前記サーバ手段に送信するための手段（ＩＲＴ）であって、これによって、前記ユーザの前記リファレンスに関連付けて、前記符号化された前記機密データを、前記サーバ手段において、他のユーザのリファレンス（ＲＵ１〜ＲＵＮ）に関連付けられた符号化された機密データ（ＤＣ１〜ＤＣＮ）の中に記録するための、手段と、
   を含むことを特徴とする、通信体。
10. 電気通信ネットワーク（ＲＲ）を介して、ユーザの機密データを管理するためのサーバ手段（ＡＤＳ）と通信を行う通信体（ＴＢ）であって、別の通信体のユーザのリファレンスを検索する間に、
    少なくとも１つの検索データ（ＤＲ）を入力するための手段（ＩＨＭ−ＡＲ）と、
    前記検索データを符号化して符号化された検索データ（ＤＲＣ）にするための手段（ＡｇＣ）と、
    前記符号化された検索データを前記サーバ手段に送信するための手段（ＩＲＴ）であって、これによって、前記サーバ手段が、前記送信された符号化された検索データを、前記サーバ手段に記録された前記符号化された機密データの全てと比較し、前記符号化された検索データに対応する符号化された機密データに関連付けられた前記ユーザの少なくともリファレンスを前記通信体に送信するようにするための、手段と、
    を含むことを特徴とする、通信体。
11. 電気通信ネットワーク（ＲＲ−ＲＰＱ）を介して、通信体（ＴＡ、ＴＢ）と通信を行う、通信体のユーザの機密データを管理するためのサーバ手段（ＡＤＳ）において実施することができるコンピュータ・プログラムであって、前記サーバ手段において実行された場合に、
    前記第１の通信体（ＴＡ）から送信されたユーザの符号化された機密データ（ＤＣＡ）及びリファレンス（ＲＵＡ）を前記サーバ手段に記録するステップ（Ｅ２〜Ｅ７）と、
    第２の通信体（ＴＢ）から送信された少なくとも１つの符号化された検索データ（ＤＲＣ）の関数として、ユーザのリファレンスを、前記サーバ手段におけるユーザの他のリファレンス（ＲＵ１〜ＲＵＮ）に関連付けられた記録された符号化された機密データの中から検索するステップ（Ｒ２〜Ｒ６）と、
    前記サーバ手段によって、前記符号化された検索データに対応する符号化された機密データに関連付けられたユーザの少なくとも１つのリファレンスを、前記第２の通信体に送信するステップ（Ｒ７）と、
    を実行する命令を含むことを特徴とする、プログラム。

Images