JP2016157394A

JP2016157394A - データ管理システム及びｉｄ管理方法

Info

Publication number: JP2016157394A
Application number: JP2015036671A
Authority: JP
Inventors: 康弘笠井; Yasuhiro Kasai
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2015-02-26
Filing date: 2015-02-26
Publication date: 2016-09-01

Abstract

【課題】本人ＩＤ及び本人パスワードを安全に再設定する。
【解決手段】問い合わせ処理部は、利用者を特定可能な認証情報を利用者端末から受信すると、受信した認証情報を第１サーバに送信し、第１サーバは、受信した認証情報を用いて第１データベースを検索して、データＩＤ及びデータパスワードを特定し、特定されたデータＩＤ及びデータパスワードを問い合わせ処理部に返信し、問い合わせ処理部は、受信したデータＩＤ及びデータパスワードを第２サーバに送信し、第２サーバは、受信したデータＩＤ及びデータパスワードを用いて第２データベースを検索して、本人ＩＤ及び本人パスワードを特定し、特定された本人ＩＤに関する情報を問い合わせ処理部に返信し、問い合わせ処理部は、受信した本人ＩＤに関する情報を、利用者端末に送信する。
【選択図】図１

Description

本発明は、匿名化した情報を管理するデータ管理システムにおけるＩＤの管理方法に関する。

近年、安価なサービスや情報を集約化するため、クラウドコンピューティングが急速に普及している。しかし、クラウドコンピューティングにおけるセキュリティやプライバシーに対する配慮はまだ必ずしも十分とはいえない状況である。

このため、個人を特定可能な非匿名情報と匿名化した機微情報（匿名情報）と直接に関連付けることなく管理する方法として特開２０１３−１０９５７７号公報（特許文献１）がある。特許文献１に記載された情報管理システムは、利用者に提供するサービス種別に応じたサービス識別情報を生成し、そのサービス識別情報と利用者識別情報との組を第２の記憶手段に登録する第２の手段と、前記サービス識別情報と当該サービス識別情報に対応した匿名情報の組を前記第２の記憶手段に登録する第３の手段とを備えたサービス事業者サーバと、第２の記憶手段に登録された前記匿名情報に対する取得要求に対し、要求された準匿名情報を読み出して要求元に送信する第４の手段を備えたデータセンタサーバとを有し、前記サービス事業者サーバが、前記利用者から受付けた非匿名情報を当該利用者から受付けた暗号鍵情報により暗号化して前記第２の記憶手段に登録する第５の手段を備える。

一方、データへのアクセスを認証するために、ＩＤ及びパスワードを用いた認証が広く採用されている。ＩＤ及びパスワードを用いた認証では、パスワードを忘れたユーザにパスワードを再発行する。

高いセキュリティ環境下でパスワードを再発行する技術として特開２００８−２６９３８１号公報（特許文献２）がある。特許文献２に記載された認証サーバは、ユーザ端末からのパスワード再発行要求に応じて、一時的に用いられる一時パスワードの入力を要求する手段と、一時パスワードの受信に応じて、初期化パスワードを生成する手段とを具える。生成された初期化パスワードは一時パスワードで暗号化され、当該ユーザＩＤの電子メールアドレスに送信する。電子メールが送信された後、所定の時間期間内にユーザ端末から復号化した初期化パスワードが入力されると、復号化された初期化パスワードを検証し、正当な権限を有する者からのパスワード再発行要求であると認定し、ユーザ情報データベースの当該ユーザのパスワードを、ユーザにより入力された新たなパスワードに書き換える。

特開２０１３−１０９５７７号公報特開２００８−２６９３８１号公報

前述した情報管理システムでは、管理事業者は、本人ＩＤ及び本人パスワードを対応付けて利用者の機微情報（例えば、健診機関などの健康事業者で行われた健康結果）を匿名化してデータベースに記録する。管理事業者が管理するデータには、レコード毎にデータＩＤ及びデータパスワードが関連付けられている。そして、ユーザは、データベースにアクセスし、本人ＩＤ及び本人パスワードを入力することによって、データを閲覧することができる。管理事業者サーバは、ユーザの非匿名情報と本人ＩＤとを対応付けずにデータを管理するので、高い匿名性でデータを管理している。

このような情報管理システムにおいて、利用者が本人ＩＤ、本人パスワードを忘れた場合、管理事業者は、ユーザと本人ＩＤとを対応付けて管理していないので、本人ＩＤ及び本人パスワードを回答できない。

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、第１データベースと第２データベースとがデータＩＤによって関連付けられてデータを格納するデータ管理システムであって、前記第１データベースへ格納されるデータを管理する第１サーバと、前記第２データベースへ格納されるデータを管理する第２サーバと、利用者端末からの認証に関する問い合わせを処理する問い合わせ処理部を有する第３サーバとを備え、前記第２データベースは、格納されるデータを保有する利用者を一意に識別するための本人ＩＤと、格納されるデータを一意に識別するためのデータＩＤとを関連付けて管理し、前記第１データベースは、利用者を特定できる個人情報を、前記データＩＤと関連付けて管理し、前記問い合わせ処理部は、利用者を特定可能な認証情報を利用者端末から受信すると、受信した認証情報を前記第１サーバに送信し、前記第１サーバは、受信した前記認証情報を用いて前記第１データベースを検索して、データＩＤ及びデータパスワードを特定し、前記特定されたデータＩＤ及びデータパスワードを前記問い合わせ処理部に返信し、前記問い合わせ処理部は、受信した前記データＩＤ及び前記データパスワードを前記第２サーバに送信し、前記第２サーバは、受信した前記データＩＤ及び前記データパスワードを用いて前記第２データベースを検索して、本人ＩＤ及び本人パスワードを特定し、前記特定された本人ＩＤに関する情報を前記問い合わせ処理部に返信し、前記問い合わせ処理部は、受信した前記本人ＩＤに関する情報を、前記利用者端末に送信する。

本発明の代表的な実施の形態によれば、匿名情報と非匿名情報とが独立して管理されるシステムにおいて、本人ＩＤ及び本人パスワードを安全に再設定することができる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

第１実施例のコンピュータシステムの構成を示す図である。第１実施例のコンピュータシステムの論理的な構成を示す図である。第１実施例の本人情報管理データベースの構成例を示す図である。第１実施例の本人ＩＤ管理データベースの構成例を示す図である。第１実施例のデータＩＤ／ＰＷメッセージの構成例を示す図である。第１実施例の本人ＩＤ／ＰＷメッセージの構成例を示す図である。第１実施例の本人ＩＤ及び本人パスワードを問い合わせる第１の処理のシーケンス図である。第１実施例の本人ＩＤ及びパスワードを問い合わせる第２の処理のシーケンス図である。第２実施例のコンピュータシステムの構成を示す図である。第２実施例の本人ＩＤ及び本人パスワードを問い合わせる第１の処理のシーケンス図である。第２実施例の本人ＩＤ及びパスワードを問い合わせる第２の処理のシーケンス図である。

＜第１実施例＞
図１は、本発明の第１実施例のコンピュータシステムの構成を示す図である。

第１実施例のコンピュータシステムは、サービスの利用者が使用する利用者コンピュータ１０１、利用者コンピュータ１０１からの問い合わせを受け付ける問い合わせ処理部１０７を有する問い合わせサーバ１０２、健康管理事業を提供する健康事業者が使用する健康事業者サーバ１０３、健康事業者サーバ１０３に接続され、健康管理事業に使用するデータ（例えば、利用者の氏名、住所）を格納する本人情報管理データベース１０４、利用者とデータとの関連する管理事業者サーバ１０５、及び、管理事業者サーバ１０５に接続され、利用者とデータとを関連付けるための情報（例えば、本人ＩＤ、データＩＤ）を格納する本人ＩＤ管理データベース１０６を有する。

健康管理事業者は、例えば、医療行為、健康診断事業、保健指導事業などの健康管理事業を提供する、医療機関、健診機関、保健指導事業者や、利用者の健康状態に基づきサービスを提供する民間のサービス事業者などである。管理事業者は、個人を特定可能な非匿名情報（氏名、住所、電話番号など）と関連付けることなく、機微情報（例えば、健診結果）を匿名化として管理するコンピュータサービス事業者（例えば、クラウド事業者）である。

利用者コンピュータ１０１、問い合わせサーバ１０２及び管理事業者サーバ１０５は、ネットワークを介して接続される。また、問い合わせサーバ１０２、健康事業者サーバ１０３及び管理事業者サーバ１０５は、ネットワークを介して接続される。この二つのネットワークは、一つのネットワークで構成されてもよい。

図２は、第１実施例のコンピュータシステムの論理的な構成を示す図である。

利用者コンピュータ１０１は、プログラムを実行するプロセッサ（ＣＰＵ）、プログラムを格納するメモリ、プログラムの実行時に使用されるデータを格納する不揮発性記憶装置、入出力インターフェース（キーボード、マウス、ディスプレイ装置など）、及び通信インターフェースを有するコンピュータである。利用者コンピュータ１０１は、認証情報入力部１０１１及びデータ表示部１０１２を有する。認証情報入力部１０１１及びデータ表示部１０１２は、プロセッサがメモリに格納されたプログラムを実行することによって、その機能を発揮する。

認証情報入力部１０１１は、利用者が入力した本人認証情報を受け付け、問い合わせサーバ１０２に送信する。データ表示部１０１２は、問い合わせサーバ１０２から送信された情報（本人ＩＤ及び本人パスワード、本人ＩＤを再設定するための情報）を表示する。利用者コンピュータ１０１では、ウェブブラウザが実行されており、認証情報入力部１０１１及びデータ表示部１０１２の機能を実現する。なお、利用者コンピュータ１０１に専用のアプリケーションプログラムをインストールして、問い合わせサーバ１０２から出力された情報を用いて、利用者コンピュータ１０１が表示画面を生成してもよい。

問い合わせサーバ１０２は、プログラムを実行するプロセッサ（ＣＰＵ）、プログラムを格納するメモリ、プログラムの実行時に使用されるデータを格納する不揮発性記憶装置、入出力インターフェース（キーボード、マウス、ディスプレイ装置など）、及び通信インターフェースを有するコンピュータである。問い合わせサーバ１０２の問い合わせ処理部１０７は、認証情報受領部１０２１、データＩＤ問い合わせ部１０２２、データＩＤ受領部１０２３、本人ＩＤ問い合わせ部１０２４、本人ＩＤ受領部１０２５及びデータ送信部１０２６を有する。認証情報受領部１０２１、データＩＤ問い合わせ部１０２２、データＩＤ受領部１０２３、本人ＩＤ問い合わせ部１０２４、本人ＩＤ受領部１０２５及びデータ送信部１０２６は、プロセッサがメモリに格納されたプログラムを実行することによって、その機能を発揮する。

認証情報受領部１０２１は、利用者コンピュータ１０１から本人認証情報を受信する。データＩＤ問い合わせ部１０２２は、健康事業者サーバ１０３に本人認証情報を送信する。データＩＤ受領部１０２３は、健康事業者サーバ１０３からデータＩＤ及びデータパスワードを受信する。本人ＩＤ問い合わせ部１０２４は、管理事業者サーバ１０５にデータＩＤ及びデータパスワードを送信する。本人ＩＤ受領部１０２５は、管理事業者サーバ１０５から本人ＩＤ及び本人パスワードを受信する。データ送信部１０２６は、利用者コンピュータ１０１に本人ＩＤ及び本人パスワードを送信する。

健康事業者サーバ１０３は、プログラムを実行するプロセッサ（ＣＰＵ）、プログラムを格納するメモリ、プログラムの実行時に使用されるデータを格納する不揮発性記憶装置、入出力インターフェース（キーボード、マウス、ディスプレイ装置など）、及び通信インターフェースを有するコンピュータである。健康事業者サーバ１０３は、認証情報受領部１０３１、データＩＤ検索部１０３２及びデータＩＤ送信部１０３３を有する。認証情報受領部１０３１、データＩＤ検索部１０３２及びデータＩＤ送信部１０３３は、プロセッサがメモリに格納されたプログラムを実行することによって、その機能を発揮する。

認証情報受領部１０３１は、問い合わせサーバ１０２から本人認証情報を受信する。データＩＤ検索部１０３２は、本人情報管理データベース１０４にアクセスして、データＩＤ及びデータパスワードを取得する。データＩＤ送信部１０３３は、問い合わせサーバ１０２にデータＩＤ及びデータパスワードを送信する。

本人情報管理データベース１０４は、本人認証情報及びデータＩＤ／ＰＷを格納する。本人認証情報とデータＩＤ／ＰＷとは対応付けられて格納される。本人情報管理データベース１０４の構成は、図３を用いて後述する。

管理事業者サーバ１０５は、プログラムを実行するプロセッサ（ＣＰＵ）、プログラムを格納するメモリ、プログラムの実行時に使用されるデータを格納する不揮発性記憶装置、入出力インターフェース（キーボード、マウス、ディスプレイ装置など）、及び通信インターフェースを有するコンピュータである。管理事業者サーバ１０５は、データＩＤ受領部１０５１、本人ＩＤ検索部１０５２、本人ＩＤ返却部１０５３及び本人ＩＤ再設定部１０５４を有する。データＩＤ受領部１０５１、本人ＩＤ検索部１０５２、本人ＩＤ返却部１０５３及び本人ＩＤ再設定部１０５４は、プロセッサがメモリに格納されたプログラムを実行することによって、その機能を発揮する。

データＩＤ受領部１０５１は、問い合わせサーバ１０２からデータＩＤ及びデータパスワードを受信する。本人ＩＤ検索部１０５２は、本人ＩＤ管理データベース１０６にアクセスして、本人ＩＤ及び本人パスワードを取得する。本人ＩＤ返却部１０５３は、問い合わせサーバ１０２に本人ＩＤ及び本人パスワードを送信する。本人ＩＤ再設定部１０５４は、利用者コンピュータ１０１から本人ＩＤの再設定要求を受け付け、本人ＩＤ管理データベースに新しい本人ＩＤ及び本人パスワードを登録する。

本人ＩＤ管理データベース１０６は、データＩＤ／ＰＷ及び本人ＩＤ／ＰＷを格納する。データＩＤ、データパスワード、本人ＩＤ及び本人パスワードとは対応付けられて格納される。本人ＩＤ管理データベース１０６の構成は、図４を用いて後述する。

各サーバ１０２、１０３、１０５のプロセッサが実行するプログラムは、リムーバブルメディア（ＣＤ−ＲＯＭ、フラッシュメモリなど）又はネットワークを介して各サーバに提供され、非一時的記憶媒体である不揮発性記憶装置に格納される。このため、各サーバは、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。

各サーバ１０２、１０３、１０５は、物理的に一つの計算機上で、又は、論理的又は物理的に複数の計算機上で構成される計算機システムであり、前述したプログラムが、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。

図３は、第１実施例の本人情報管理データベース１０４の構成例を示す図である。

本人情報管理データベース１０４は、データを一意に識別するための識別情報１０４１利用者の氏名１０４２、利用者の住所１０４３、利用者の電話番号１０４４、利用者の電子メールアドレス１０４５、利用者が健診を受けている健診機関名１０４６、本人情報管理データベース１０４に格納されるデータを一意に識別するためのデータＩＤ１０４７及び当該データにアクセスするために使用されるパスワード（データＰＷ）１０４８を含む。図示した項目の他、氏名１０４２、住所１０４３、電話番号１０４４及び電子メールアドレス１０４５は、利用者本人を識別するための本人認証情報である。本人認証情報は、利用者の年齢など、利用者を特定する（又は、絞り込む）ために有効な情報を含んでもよい。

一人の利用者が複数のデータに関連付けられる場合、氏名１０４２〜電子メールアドレス１０４５が同じ複数のレコードが本人情報管理データベース１０４に登録されてもよく、データＩＤ１０４７及びデータパスワード１０４８の複数の組が一つのレコードに登録されてもよい。

図４は、第１実施例の本人ＩＤ管理データベース１０６の構成例を示す図である。

本人ＩＤ管理データベース１０６は、データベースに格納されるデータと関連付けられる利用者を一意に識別するための本人ＩＤ１０６１、当該利用者のデータにアクセスするために使用されるパスワード（本人ＰＷ）１０６２、本人ＩＤ管理データベース１０６に格納されるデータを一意に識別するためのデータＩＤ１０６３、当該データにアクセスするために使用されるパスワード（データＰＷ）１０６４及び健診データ１０６５を含む。

本人ＩＤ１０６１及び本人ＰＷ１０６２は、利用者を一意に識別し、当該利用者のデータにアクセスするために使用される。データＩＤ１０６３及びデータＰＷ１０６４は、利用者のデータを一意に識別し、当該データにアクセスするために使用される。データＩＤ１０６３及びデータＰＷ１０６４は、本人情報管理データベース１０４のデータＩＤ１０４７及びデータＰＷ１０４８と同じである。健診データ１０６５は、利用者の健康診断の結果であり、身長、体重、ＢＭＩ、血圧、血糖値、既往歴などを含む。健診データは、受診年月日毎に異なるレコードで記録するとよい。

利用者は、本人ＩＤ管理データベース１０６へ健診データを登録する。健診データは、利用者が保持するデータを管理事業者サーバ１０５にアップロードしても、利用者からの要求によって健康事業者サーバ１０３が管理事業者サーバ１０５にデータを転送してもよい。健診データは、既存又は新規に作成されたデータＩＤ及びデータパスワードと共に、本人ＩＤ管理データベース１０６に登録される。

以上に説明したように、本人情報管理データベース１０４は、利用者を特定できる個人情報（氏名、住所、電話番号、電子メールアドレスなど）を格納するが、本人ＩＤ管理データベース１０６は、利用者を特定できる個人情報を格納せず、匿名化された本人ＩＤによって管理する。

図５は、第１実施例のデータＩＤ／ＰＷメッセージの構成例を示す図である。

データＩＤ／ＰＷメッセージは、本人ＩＤ管理データベース１０６に格納されるデータにアクセスするために、健康事業者サーバ１０３から問い合わせサーバ１０２に送信され、さらに、問い合わせサーバ１０２から管理事業者サーバ１０５へ送信される（図２参照）。データＩＤ／ＰＷメッセージは、本人ＩＤ管理データベース１０６に格納されるデータを一意に識別するためのデータＩＤ及び当該データにアクセスするために使用されるパスワード（データＰＷ）を含む。

図６は、第１実施例の本人ＩＤ／ＰＷメッセージの構成例を示す図である。

本人ＩＤ／ＰＷメッセージは、本人ＩＤ管理データベース１０６に格納されるデータにアクセスするために、管理事業者サーバ１０５から問い合わせサーバ１０２に送信される（図２参照）。本人ＩＤ／ＰＷメッセージは、本人ＩＤ管理データベース１０６に格納されるデータと関連付けられる利用者を一意に識別するための本人ＩＤ及び当該利用者のデータにアクセスするために使用されるパスワード（本人ＰＷ）を含む。

次に、第１実施例のコンピュータシステムで行われる処理について説明する。

図７は、第１実施例の本人ＩＤ及びＰＷを問い合わせる第１の処理のシーケンス図である。

まず、利用者は利用者コンピュータ１０１を操作して本人認証情報を入力する（１００１）。本人認証情報は、氏名、生年月日、健診機関、予め設定された秘密の質問など、一つ又は複数の組み合わせによって利用者を特定できる情報である。利用者コンピュータ１０１は、利用者が入力した本人認証情報を問い合わせサーバ１０２に送信する（１００２）。なお、秘密の質問は、利用者を特定できる情報ではないので、健康事業者サーバ１０３で管理しても、管理事業者サーバ１０５で管理してもよい。

問い合わせサーバ１０２は、本人認証情報を受信すると、データＩＤを健康事業者サーバ１０３に問い合わせる処理を行う（１００３）。具体的には、問い合わせサーバ１０２は、利用者コンピュータ１０１から受信した本人認証情報を健康事業者サーバ１０３に送信する（１００４）。健康事業者サーバ１０３は、受信した本人認証情報を本人情報管理データベース１０４に送る（１００５）。

本人情報管理データベース１０４は、本人認証情報をキーにして検索し、本人認証情報に対応するデータＩＤ及びデータパスワードを取得し、健康事業者サーバ１０３に送る（１００６）。

健康事業者サーバ１０３は、本人情報管理データベース１０４から取得したデータＩＤ及びデータパスワードを問い合わせサーバ１０２に送る（１００７）。

問い合わせサーバ１０２は、データＩＤ及びデータパスワードを受信すると、本人ＩＤ問い合わせ処理を実行する（１００８）。具体的には、問い合わせサーバ１０２は、健康事業者サーバ１０３から受信したデータＩＤ及びデータパスワードを管理事業者サーバ１０５に送信する（１００９）。管理事業者サーバ１０５は、受信したデータＩＤ及びデータパスワードを本人ＩＤ管理データベース１０６に送る（１０１０）。

本人ＩＤ管理データベース１０６は、データＩＤ及びデータパスワードをキーにして検索し、データＩＤ及びデータパスワードに対応する本人ＩＤ及び本人パスワードを取得し、管理事業者サーバ１０５に送る（１０１１）。

管理事業者サーバ１０５は、本人ＩＤ管理データベース１０６から取得した本人ＩＤ及び本人パスワードを問い合わせサーバ１０２に送る（１０１２）。

問い合わせサーバ１０２は、本人ＩＤ及び本人パスワードを受信すると、本人ＩＤ返却処理を実行し（１０１３）、管理事業者サーバ１０５から受信した本人ＩＤ及び本人パスワードを利用者コンピュータ１０１に送る（１０１４）。

利用者コンピュータ１０１が問い合わせサーバ１０２から本人ＩＤ及び本人パスワードを取得することによって（１０１５）、利用者は本人情報を取得することができる。

図８は、第１実施例の本人ＩＤ及びパスワードを問い合わせる第２の処理のシーケンス図である。

第１実施例では、本人ＩＤ及びパスワードは、前述した第１の処理のように、管理事業者サーバ１０５から返信してもよいが、利用者が再設定できればよい。このため、第２の処理では、本人ＩＤ及びパスワードを利用者コンピュータ１０１に送信するのではなく、管理事業者サーバの本人ＩＤ再設定機能へリダイレクトすることによって、本人ＩＤ及びパスワードを再設定する。以下、第２の処理の例を説明する。

まず、利用者は利用者コンピュータ１０１を操作して本人認証情報を入力する（１１０１）。本人情報は、氏名、生年月日、健診機関、予め設定された秘密の質問など、一つ又は複数の組み合わせによって利用者を特定できる情報である。利用者コンピュータ１０１は、利用者が入力した本人認証情報を問い合わせサーバ１０２に送信する（１１０２）。

問い合わせサーバ１０２は、本人認証情報を受信すると、データＩＤを健康事業者サーバ１０３に問い合わせる処理を行う（１１０３）。具体的には、問い合わせサーバ１０２は、利用者コンピュータ１０１から受信した本人認証情報を健康事業者サーバ１０３に送信する（１１０４）。健康事業者サーバ１０３は、受信した本人認証情報を本人情報管理データベース１０４に送る（１１０５）。

本人情報管理データベース１０４は、本人認証情報をキーにして検索し、本人認証情報に対応するデータＩＤ及びデータパスワードを取得し、健康事業者サーバ１０３に送る（１１０６）。

健康事業者サーバ１０３は、本人情報管理データベース１０４から取得したデータＩＤ及びデータパスワードを問い合わせサーバ１０２に送る（１１０７）。

問い合わせサーバ１０２は、データＩＤ及びデータパスワードを受信すると、本人ＩＤ問い合わせ処理を実行する（１１０８）。具体的には、問い合わせサーバ１０２は、健康事業者サーバ１０３から受信したデータＩＤ及びデータパスワードを管理事業者サーバ１０５に送信する（１１０９）。管理事業者サーバ１０５は、受信したデータＩＤ及びデータパスワードを本人ＩＤ管理データベース１０６に送る（１１１０）。

本人ＩＤ管理データベース１０６は、データＩＤ及びデータパスワードをキーにして検索し、データＩＤ及びデータパスワードに対応する本人ＩＤ及び本人パスワードを取得し、管理事業者サーバ１０５に送る（１１１１）。

管理事業者サーバ１０５は、本人ＩＤ管理データベース１０６から本人ＩＤ及び本人パスワードを取得すると、本人ＩＤを再設定するためのアドレスを問い合わせサーバ１０２に送る（１１１２）。なお、本人ＩＤ及び本人パスワードは管理事業者サーバ１０５で管理されるので、本人ＩＤを再設定するためのアドレスは管理事業者サーバ１０５のアドレスである。

問い合わせサーバ１０２は、管理事業者サーバ１０５から受信した本人ＩＤを再設定するためのアドレスを利用者コンピュータ１０１に送る（１１１３）。

利用者コンピュータ１０１は本人ＩＤ再設定処理を実行する（１１１４）。具体的には、利用者コンピュータ１０１が受信した再設定用アドレスにアクセスし、新たに設定される本人ＩＤ及び本人パスワードを管理事業者サーバ１０５に送る（１１１５）。なお、利用者の操作によって再設定用アドレスにアクセスしても、利用者コンピュータ１０１が（例えば、専用アプリケーションの機能や、ＨＴＴＰリダイレクトによって）自動的に再設定用アドレスにアクセスしてもよい。

管理事業者サーバ１０５は、新たに設定される本人ＩＤ及び本人パスワードを受信すると、受信した本人ＩＤ及び本人パスワードを本人ＩＤ管理データベース１０６に登録する（１１１６）。

本人ＩＤ管理データベース１０６は、新しい本人ＩＤ及び本人パスワードの設定結果を管理事業者サーバ１０５に送信する（１１１７）。管理事業者サーバ１０５は、管理事業者サーバ１０５への設定結果を利用者コンピュータ１０１に送る（１１１８）。

以上の処理によって、利用者は本人情報を再設定することができる。

以上に説明したように、本発明の第１実施例によると、利用者が利用者コンピュータ１０１を用いて問い合わせサーバ１０２にアクセスし、利用者を特定可能な本人認証情報（例えば、健診機関名、氏名、生年月日など）を送信する。問い合わせサーバ１０２（問い合わせ処理部１０７）は、受信した本人認証情報を健康事業者サーバ１０３に送信する。健康事業者サーバ１０３は、受信した認証情報を用いて本人情報管理データベース１０４を検索して、データＩＤ及びデータパスワードを特定し、特定されたデータＩＤ及びデータパスワードを問い合わせサーバ１０２に返信する。問い合わせサーバ１０２は、受信したデータＩＤ及びデータパスワードを管理事業者サーバ１０５に送信する。管理事業者サーバ１０５は、受信したデータＩＤ及びデータパスワードを用いて本人ＩＤ管理データベース１０６を検索して、本人ＩＤ及び本人パスワードを特定し、特定された本人ＩＤ及び本人パスワードを問い合わせサーバ１０２に返信する。問い合わせサーバ１０２は、受信した本人ＩＤ及び本人パスワードを利用者コンピュータ１０１に送信する。このため、匿名情報と非匿名情報とが独立して管理されるシステムにおいて、本人ＩＤ及び本人パスワードを安全に再設定することができる。

また、第２の処理では、管理事業者サーバ１０５は、特定された本人ＩＤ及び本人パスワードに代えて、特定された本人ＩＤ及び本人パスワードを再設定するための情報（例えば、本人ＩＤを再設定するための管理事業者サーバ１０５のアドレス）を、問い合わせサーバ１０２に送信する。問い合わせサーバ１０２は、本人ＩＤ及び本人パスワードに代えて、本人ＩＤ及び本人パスワードを再設定するためのアクセス先のアドレスを利用者コンピュータ１０１に送信する。このため、利用者は、管理事業者サーバ１０５にアクセスして、新しい本人ＩＤ及び本人パスワードを安全に再設定することができる。

＜第２実施例＞
次に、本発明の第２実施例について説明する。

第２実施例では、健康事業者サーバ１０３が問い合わせ処理部１０７を有し、問い合わせサーバ１０２は設けられていない。なお、第２実施例では、前述した第１実施例と異なる部分について説明し、第１実施例と同じ構成及び処理についての説明は省略する。

図９は、本発明の第２実施例のコンピュータシステムの構成を示す図である。

第２実施例のコンピュータシステムは、サービスの利用者が使用する利用者コンピュータ１０１、健康管理事業を提供する健康事業者が使用する健康事業者サーバ１０３、健康事業者サーバ１０３に接続され、健康管理事業に使用するデータ（例えば、利用者の氏名、住所）を格納する本人情報管理データベース１０４、利用者とデータとの関連を管理する管理事業者サーバ１０５、及び、管理事業者サーバ１０５に接続され、利用者とデータとを関連付けるための情報（例えば、本人ＩＤ、データＩＤ）を格納する本人ＩＤ管理データベース１０６を有する。

利用者コンピュータ１０１及び管理事業者サーバ１０５は、ネットワークを介して接続される。また、問い合わせサーバ１０２、健康事業者サーバ１０３及び管理事業者サーバ１０５は、ネットワークを介して接続される。この二つのネットワークは、一つのネットワークで構成されてもよい。

第２実施例の健康事業者サーバ１０３は、問い合わせ処理部１０７を有する。問い合わせ処理部１０７は、利用者コンピュータ１０１からの問い合わせを受け付ける。

図１０は、第２実施例の本人ＩＤ及び本人パスワードを問い合わせる第１の処理のシーケンス図である。

まず、利用者は利用者コンピュータ１０１を操作して本人認証情報を入力する（１００１）。本人情報は、氏名、生年月日、健診機関、予め設定された秘密の質問など、一つ又は複数の組み合わせによって利用者を特定できる情報である。利用者コンピュータ１０１は、利用者が入力した本人認証情報を問い合わせ処理部１０７に送信する（１００２）。

問い合わせ処理部１０７は、本人認証情報を受信すると、データＩＤを健康事業者サーバ１０３に問い合わせる処理を行う（１００３）。具体的には、問い合わせ処理部１０７は、利用者コンピュータ１０１から受信した本人認証情報を健康事業者サーバ１０３に送信する（１００４）。健康事業者サーバ１０３は、受信した本人認証情報を本人情報管理データベース１０４に送る（１００５）。

健康事業者サーバ１０３は、本人情報管理データベース１０４から取得したデータＩＤ及びデータパスワードを問い合わせ処理部１０７に送る（１００７）。

問い合わせ処理部１０７は、データＩＤ及びデータパスワードを受信すると、本人ＩＤ問い合わせ処理を実行する（１００８）。具体的には、問い合わせ処理部１０７は、健康事業者サーバ１０３から受信したデータＩＤ及びデータパスワードを管理事業者サーバ１０５に送信する（１００９）。管理事業者サーバ１０５は、受信したデータＩＤ及びデータパスワードを本人ＩＤ管理データベース１０６に送る（１０１０）。

管理事業者サーバ１０５は、本人ＩＤ管理データベース１０６から本人ＩＤ及び本人パスワードを取得すると、本人ＩＤ及び本人パスワードを確認できるｗｅｂサイトのアドレスを問い合わせ処理部１０７に送る（１０２１）。なお、本人ＩＤ及び本人パスワードは管理事業者サーバ１０５によって提供されるので、本人ＩＤ及び本人パスワードを確認できるｗｅｂサイトのアドレスは、管理事業者サーバ１０５のアドレスである。

問い合わせ処理部１０７は、管理事業者サーバ１０５から確認用アドレスを受信すると、本人ＩＤ返却処理を実行し（１０２２）、受信した確認用アドレスを利用者コンピュータ１０１に送る（１０２３）。

利用者コンピュータ１０１が受信した確認用アドレスにアクセスする（１０２４）。なお、利用者の操作によって確認用アドレスにアクセスしても、利用者コンピュータ１０１が（例えば、専用アプリケーションの機能や、ＨＴＴＰリダイレクトによって）自動的に確認用アドレスにアクセスしてもよい。

管理事業者サーバ１０５は、本人ＩＤ及び本人パスワードを利用者コンピュータ１０１に送る（１０２５）。

利用者コンピュータ１０１が管理事業者サーバ１０５から本人ＩＤ及び本人パスワードを取得することによって（１０２６）、利用者は本人情報を取得することができる。

図１１は、第２実施例の本人ＩＤ及びパスワードを問い合わせる第２の処理のシーケンス図である。

まず、利用者は利用者コンピュータ１０１を操作して本人認証情報を入力する（１１０１）。本人情報は、氏名、生年月日、健診機関、予め設定された秘密の質問など、一つ又は複数の組み合わせによって利用者を特定できる情報である。利用者コンピュータ１０１は、利用者が入力した本人認証情報を問い合わせ処理部１０７に送信する（１１０２）。

問い合わせ処理部１０７は、本人認証情報を受信すると、データＩＤを健康事業者サーバ１０３に問い合わせる処理を行う（１１０３）。具体的には、問い合わせ処理部１０７は、利用者コンピュータ１０１から受信した本人認証情報を健康事業者サーバ１０３に送信する（１１０４）。健康事業者サーバ１０３は、受信した本人認証情報を本人情報管理データベース１０４に送る（１１０５）。

健康事業者サーバ１０３は、本人情報管理データベース１０４から取得したデータＩＤ及びデータパスワードを問い合わせ処理部１０７に送る（１１０７）。

問い合わせ処理部１０７は、データＩＤ及びデータパスワードを受信すると、本人ＩＤ問い合わせ処理を実行する（１１０８）。具体的には、問い合わせ処理部１０７は、健康事業者サーバ１０３から受信したデータＩＤ及びデータパスワードを管理事業者サーバ１０５に送信する（１１０９）。管理事業者サーバ１０５は、受信したデータＩＤ及びデータパスワードを本人ＩＤ管理データベース１０６に送る（１１１０）。

管理事業者サーバ１０５は、本人ＩＤ管理データベース１０６から本人ＩＤ及び本人パスワードを取得すると、本人ＩＤを再設定するためのアドレスを問い合わせ処理部１０７に送る（１１１２）。なお、本人ＩＤ及び本人パスワードは管理事業者サーバ１０５で管理されるので、本人ＩＤを再設定するためのアドレスは管理事業者サーバ１０５のアドレスである。

問い合わせ処理部１０７は、本人ＩＤ返却処理を実行し（１１３１）、管理事業者サーバ１０５から受信した再設定用アドレスを利用者コンピュータ１０１に送る（１１１３）。

管理事業者サーバ１０５は、受信した新たに設定される本人ＩＤ及び本人パスワードを本人ＩＤ管理データベース１０６に登録する（１１１６）。

以上に説明したように、本発明の第２実施例によると、利用者が利用者コンピュータ１０１を用いて健康事業者サーバ１０３にアクセスし、利用者を特定可能な本人認証情報（例えば、健診機関名、氏名、生年月日など）を問い合わせ処理部１０７に送信する。健康事業者サーバ１０３は、問い合わせ処理部１０７が利用者コンピュータ１０１から受信した本人認証情報を用いて本人情報管理データベース１０４を検索して、データＩＤ及びデータパスワードを特定し、特定されたデータＩＤ及びデータパスワードを管理事業者サーバ１０５に送信する。管理事業者サーバ１０５は、受信したデータＩＤ及びデータパスワードを用いて本人ＩＤ管理データベース１０６を検索して、本人ＩＤ及び本人パスワードを特定し、特定された本人ＩＤ及び本人パスワードを健康事業者サーバ１０３（問い合わせ処理部１０７）に返信する。健康事業者サーバ１０３は、受信した本人ＩＤ及び本人パスワードを利用者コンピュータ１０１に送信する。このため、前述した第１実施例のように、別途問い合わせサーバを設けることなく、本人ＩＤ及び本人パスワードを安全に再設定することができる。

また、第２の処理では、管理事業者サーバ１０５は、特定された本人ＩＤ及び本人パスワードに代えて、特定された本人ＩＤ及び本人パスワードを再設定するための情報（例えば、本人ＩＤを再設定するための管理事業者サーバ１０５のアドレス）を、健康事業者サーバ１０３（問い合わせ処理部１０７）に送信する。健康事業者サーバ１０３は、本人ＩＤ及び本人パスワードに代えて、本人ＩＤ及び本人パスワードを再設定するための情報を利用者コンピュータ１０１に送信する。このため、利用者は、新しい本人ＩＤ及び本人パスワードを安全に再設定することができる。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

１０１利用者コンピュータ
１０２問い合わせサーバ
１０３健康事業者サーバ
１０４本人情報管理データベース
１０５管理事業者サーバ
１０６本人ＩＤ管理データベース
１０７問い合わせ処理部

Claims

第１データベースと第２データベースとがデータＩＤによって関連付けられてデータを格納するデータ管理システムであって、
前記第１データベースへ格納されるデータを管理する第１サーバと、
前記第２データベースへ格納されるデータを管理する第２サーバと、
利用者端末からの認証に関する問い合わせを処理する問い合わせ処理部を有する第３サーバとを備え、
前記第２データベースは、格納されるデータを保有する利用者を一意に識別するための本人ＩＤと、格納されるデータを一意に識別するためのデータＩＤとを関連付けて管理し、
前記第１データベースは、利用者を特定できる個人情報を、前記データＩＤと関連付けて管理し、
前記問い合わせ処理部は、利用者を特定可能な認証情報を利用者端末から受信すると、受信した認証情報を前記第１サーバに送信し、
前記第１サーバは、受信した前記認証情報を用いて前記第１データベースを検索して、データＩＤ及びデータパスワードを特定し、前記特定されたデータＩＤ及びデータパスワードを前記問い合わせ処理部に返信し、
前記問い合わせ処理部は、受信した前記データＩＤ及び前記データパスワードを前記第２サーバに送信し、
前記第２サーバは、受信した前記データＩＤ及び前記データパスワードを用いて前記第２データベースを検索して、本人ＩＤ及び本人パスワードを特定し、前記特定された本人ＩＤに関する情報を前記問い合わせ処理部に返信し、
前記問い合わせ処理部は、受信した前記本人ＩＤに関する情報を、前記利用者端末に送信することを特徴とするデータ管理システム。
第１データベースと第２データベースとがデータＩＤによって関連付けられてデータを格納するデータ管理システムであって、
前記第１データベースへ格納されるデータを管理する第１サーバと、
前記第２データベースへ格納されるデータを管理する第２サーバとを備え、
前記第１サーバは、利用者端末からの認証に関する問い合わせを処理する問い合わせ処理部を有し、
前記第２データベースは、格納されるデータを保有する利用者を一意に識別するための本人ＩＤと、格納されるデータを一意に識別するためのデータＩＤとを関連付けて管理し、
前記第１データベースは、前記データＩＤと関連付けて、利用者を特定できる個人情報を管理し、
前記第１サーバは、
前記問い合わせ処理部が利用者を特定可能な認証情報を利用者端末から受信すると、受信した前記認証情報を用いて前記第１データベースを検索して、データＩＤ及びデータパスワードを特定し、
前記特定されたデータＩＤ及びデータパスワードを前記第２サーバに送信し、
前記第２サーバは、受信した前記データＩＤ及び前記データパスワードを用いて前記第２データベースを検索して、本人ＩＤ及び本人パスワードを特定し、前記特定された本人ＩＤに関する情報を前記第１サーバに返信し、
前記第１サーバの問い合わせ処理部は、受信した前記本人ＩＤに関する情報を、前記利用者端末に送信することを特徴とするデータ管理システム。
請求項１又は２に記載のデータ管理システムであって、
前記第２サーバは、前記本人ＩＤに関する情報として、前記特定された本人ＩＤ及び本人パスワードを、前記問い合わせ処理部に送信し、
前記問い合わせ処理部は、前記第２サーバから受信した前記本人ＩＤ及び本人パスワードを、前記利用者端末に送信することを特徴とするデータ管理システム。
請求項１又は２に記載のデータ管理システムであって、
前記第２サーバは、前記本人ＩＤに関する情報として、前記特定された本人ＩＤ及び本人パスワードを再設定するための情報を、前記問い合わせ処理部に送信し、
前記問い合わせ処理部は、前記第２サーバから受信した前記本人ＩＤ及び本人パスワードを再設定するためのアクセス先の情報を前記利用者端末に送信することを特徴とするデータ管理システム。
第１データベースと第２データベースとがデータＩＤによって関連付けられてデータを格納するデータ管理システムにおけるＩＤ管理方法であって、
前記データ管理システムは、前記第１データベースへ格納されるデータを管理する第１サーバと、前記第２データベースへ格納されるデータを管理する第２サーバと、利用者端末からの認証に関する問い合わせを処理する問い合わせ処理部を有する第３サーバとを有し、
前記第２データベースは、格納されるデータを保有する利用者を一意に識別するための本人ＩＤと、格納されるデータを一意に識別するためのデータＩＤとを関連付けて管理し、
前記第１データベースは、前記データＩＤと関連付けて、利用者を特定できる個人情報を管理し、
前記方法は、
前記問い合わせ処理部が、利用者を特定可能な認証情報を利用者端末から受信すると、受信した前記認証情報を前記第１サーバに送信し、
前記第１サーバが、受信した前記認証情報を用いて前記第１データベースを検索して、データＩＤ及びデータパスワードを特定し、前記特定されたデータＩＤ及びデータパスワードを前記問い合わせ処理部に返信し、
前記問い合わせ処理部が、受信した前記データＩＤ及び前記データパスワードを前記第２サーバに送信し、
前記第２サーバが、受信した前記データＩＤ及び前記データパスワードを用いて前記第２データベースを検索して、本人ＩＤ及び本人パスワードを特定し、前記特定された本人ＩＤに関する情報を前記問い合わせ処理部に返信し、
前記問い合わせ処理部が、受信した前記本人ＩＤに関する情報を、前記利用者端末に送信することを特徴とするＩＤ管理方法。
第１データベースと第２データベースとがデータＩＤによって関連付けられてデータを格納するデータ管理システムにおけるＩＤ管理方法であって、
前記データ管理システムは、前記第１データベースへ格納されるデータを管理する第１サーバと、前記第２データベースへ格納されるデータを管理する第２サーバとを有し、
前記第１サーバは、利用者端末からの認証に関する問い合わせを処理する問い合わせ処理部を有し、
前記第２データベースは、格納されるデータを保有する利用者を一意に識別するための本人ＩＤと、格納されるデータを一意に識別するためのデータＩＤとを関連付けて管理し、
前記第１データベースは、前記データＩＤと関連付けて、利用者を特定できる個人情報を管理し、
前記方法は、
前記問い合わせ処理部が利用者を特定可能な認証情報を利用者端末から受信すると、前記第１サーバが、受信した前記認証情報を用いて前記第１データベースを検索して、データＩＤ及びデータパスワードを特定し、
前記第１サーバが、前記特定されたデータＩＤ及びデータパスワードを前記第２サーバに送信し、
前記第２サーバが、受信した前記データＩＤ及び前記データパスワードを用いて前記第２データベースを検索して、本人ＩＤ及び本人パスワードを特定し、前記特定された本人ＩＤに関する情報を前記第１サーバに返信し、
前記第１サーバの問い合わせ処理部が、受信した前記本人ＩＤに関する情報を、前記利用者端末に送信することを特徴とするＩＤ管理方法。