JP2022081395A - 情報端末、情報処理装置、情報処理方法及びプログラム - Google Patents

Abstract

【課題】利用者の受入れ側が利用者における感染症対策及び現在の健康状態に応じた利用者の状態を示す情報を出力する情報端末、情報処理装置、情報処理方法及びプログラムを提供する。
【解決手段】情報処理システムにおいて、情報処理装置は、所定のユーザにおける所定の感染症に対する対策の証明情報と、ユーザの健康状態情報とをユーザに対応付けて登録する登録部と、ユーザから取得された第１の本人確認情報についての認証を制御する認証制御部と、認証に成功した場合に、証明情報と健康状態情報とに基づいて健康パスポートを出力する出力部と、を備える。
【選択図】図１

Description

本発明は、情報端末、情報処理装置、情報処理方法及びプログラムに関し、特に、感染症対策を管理するための情報端末、情報処理装置、情報処理方法及びプログラムに関する。

感染症の拡大防止の観点から、海外からの渡航者の入国審査が厳格化されている。これに伴い、入国後も感染症対策に配慮した上で、各箇所で旅行者の受入れを増加させることが求められている。

また、特許文献１には、持病のある渡航者が渡航先に対応する医療情報を取得するための医療情報提供システムに関する技術が開示されている。特許文献１にかかるシステムは、渡航先と渡航先に係る医療情報（渡航者の英文の診断書情報）とを関連付けた渡航情報を予め記憶している。そして、当該システムは、入力された渡航先に該当する医療情報を検索し、検索された医療情報を出力する。

特開２００７－３０４８５８号公報

ここで、利用者の受入れ側（店舗や施設等）には、利用者、特に海外からの渡航者の受入れ時に、事前に感染症対策がなされていること及び現在の健康状態を確認した上での対応が求められている。

本開示は、このような問題点を解決するためになされたものであり、利用者の受入れ側が利用者における感染症対策及び現在の健康状態に応じた利用者の状態を示す情報を出力するための情報端末、情報処理装置、情報処理方法及びプログラムを提供することを目的とする。

本開示の第１の態様にかかる情報端末は、
所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録部と、
前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御部と、
前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する出力部と
を備える。

本開示の第２の態様にかかる情報処理方法は、
コンピュータが、
所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録し、
前記ユーザから取得された第１の本人確認情報についての認証を制御し、
前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する。

本開示の第３の態様にかかるプログラムは、
所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録処理と、
前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御処理と、
前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する出力処理と
をコンピュータに実行させる。

本開示の第４の態様にかかる情報処理装置は、
所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録部と、
前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御部と、
前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する出力部と
を備える。

本開示の第５の態様にかかる情報処理方法は、
コンピュータが、
所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録し、
前記ユーザから取得された第１の本人確認情報についての認証を制御し、
前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する。
本開示の第６の態様にかかるプログラムは、
所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録処理と、
前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御処理と、
前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する出力処理と
をコンピュータに実行させる。

本開示により、利用者の受入れ側が利用者における感染症対策及び現在の健康状態に応じた利用者の状態を示す情報を出力するための情報端末、情報処理装置、情報処理方法及びプログラムを提供することができる。

本実施形態１にかかる情報処理装置の全体構成を示すブロック図である。 本実施形態１にかかる情報処理方法の流れを示すフローチャートである。 本実施形態２にかかる情報処理システムの構成を示すブロック図である。 本実施形態２にかかる認証装置の構成を示すブロック図である。 本実施形態２にかかる顔情報登録処理の流れを示すフローチャートである。 本実施形態２にかかる認証装置による顔認証処理の流れを示すフローチャートである。 本実施形態２にかかるサーバの構成を示すブロック図である。 本実施形態２にかかるユーザ端末の構成を示すブロック図である。 本実施形態２にかかる健康パスポートの表示例を示す図である。 本実施形態２にかかる入国審査端末の構成を示すブロック図である。 本実施形態２にかかる予約端末の構成を示すブロック図である。 本実施形態２にかかる店舗端末の構成を示すブロック図である。 本実施形態２にかかる健康報告の登録処理の流れを示すフローチャートである。 本実施形態２にかかる店舗の予約処理の流れを示すフローチャートである。 本実施形態２にかかる各店舗の安全レートの表示例を示す図である。 本実施形態２にかかる入店処理の流れを示すフローチャートである。 本実施形態２にかかる入店許可時の表示例を示す図である。 本実施形態２にかかる条件付き入店許可時の表示例を示す図である。 本実施形態２にかかる入店不許可時の表示例を示す図である。 本実施形態３にかかる入店処理の流れを示すシーケンス図である。 本実施形態４にかかるユーザ端末の構成を示すブロック図である。 本実施形態４にかかる入国審査端末の構成を示すブロック図である。 本実施形態４にかかる予約端末の構成を示すブロック図である。 本実施形態４にかかる店舗端末の構成を示すブロック図である。 本実施形態４にかかる店舗の予約処理の流れを示すシーケンス図である。 本実施形態４にかかる入店処理の流れを示すシーケンス図である。

以下では、本開示の実施形態について、図面を参照しながら詳細に説明する。各図面において、同一又は対応する要素には同一の符号が付されており、説明の明確化のため、必要に応じて重複説明は省略される。

＜実施形態１＞
図１は、本実施形態１にかかる情報処理装置１の全体構成を示すブロック図である。情報処理装置１は、所定のユーザにおける所定の感染症の対策と対策以後の健康状態とに応じた処理を行うためのコンピュータである。ここで、情報処理装置１は、ネットワーク（不図示）、又は、所定の無線通信により直接、所定の端末と接続される。尚、ネットワークは、有線であっても無線であってもよい。当該端末は、情報処理装置１に対して入力を行い、情報処理装置１からの出力に応じた処理を行っても良い。

情報処理装置１は、登録部１１と、認証制御部１２と、判定部１３と、処理部１４とを備える。登録部１１は、所定のユーザにおける健康パスポートと、健康状態情報とをユーザに対応付けて登録する。尚、「ユーザに対応付ける」とは、ユーザの識別情報（例えば、ユーザＩＤや生体情報）に対応付けることを指すものとする。例えば、情報処理装置１は、内蔵する記憶部、又は、外部の記憶装置に、健康パスポート、健康状態情報及びユーザの識別情報とを対応付けて保存する。

ここで、健康パスポートとは、所定のユーザにおける所定の感染症に対する対策の証明情報に基づき発行された情報である。健康パスポートは、有効又は無効を示す情報、又は、有効期限もしくは有効期限の起算日となる日時情報を含む。健康パスポートは、例えば、デジタル証明書であってもよい。感染症に対する対策とは、検査又はワクチンの接種の少なくともいずれかである。検査とは、例えば、ＰＣＲ（Polymerase Chain Reaction）検査、抗原検査等である。尚、健康パスポートに含まれる有効期限は、感染症に対する対策が検査の場合よりもワクチンの接種の場合の方が長く設定されるものとする。例えば、検査の場合、有効期限が数日から数週間であり、ワクチンの接種の場合、有効期限が数か月と設定されてもよい。また、健康パスポートに含まれる有効期限は、感染症に対する対策がワクチンの接種の場合、ワクチンの種類や製造会社によって、異なる期限が設定されても良い。証明情報とは、感染症における検査の種類及び検査日、又は、ワクチンの種類及び接種日の少なくともいずれかを含む。証明情報は、例えば、感染症の検査で陰性となったことを証明するための陰性証明書又はその電子データ等である。

また、健康状態情報とは、健康パスポートの発行以後のユーザの健康状態を示す情報である。健康状態情報とは、例えば、体表面温度やユーザ自身による体調の判断結果（良い、普通、悪い等）を含む。

認証制御部１２は、ユーザから取得された第１の本人確認情報についての認証を制御する。第１の本人確認情報とは、例えば、生体情報、ＩＤ及びパスワードの組合せ、電子証明書等である。第１の本人確認情報が生体情報である場合、認証制御部１２は、生体認証を制御する。例えば、情報処理装置１が認証用の第２の本人確認情報を予め保持している場合、認証制御部１２は、第１及び第２の本人確認情報の照合を行うことにより認証処理を行う。または、第２の本人確認情報が外部の認証装置に記憶されている場合、認証制御部１２は、認証装置に認証処理を行わせ、認証結果を取得する。

判定部１３は、認証に成功した場合に、認証に成功したユーザに対応付けられた健康パスポート及び健康状態情報に基づき、複数の健康条件のそれぞれを満たすか否かを判定する。ここで、複数の健康条件とは、例えば、健康パスポートが有効であること、健康状態情報が所定間隔で登録されていること、及び、各健康状態情報が示すユーザの体調が所定条件を満たすことを含んでもよい。

処理部１４は、健康条件の判定結果に応じた処理を行う。処理部１４は、例えば、判定結果に基づく指標情報を生成及び出力することを当該処理として行っても良い。また、処理部１４は、生成した指標情報を他の端末に表示させてもよい。または、処理部１４は、判定結果に基づき、他の端末を制御する指示を出力してもよい。

図２は、本実施形態１にかかる情報処理方法の流れを示すフローチャートである。まず、登録部１１は、所定のユーザにおける所定の感染症に対する対策の証明情報に基づき発行された健康パスポートと、当該発行以後のユーザの健康状態情報とを当該ユーザに対応付けて登録する（Ｓ１１）。例えば、登録部１１は、外部から入力された証明情報に基づき健康パスポートを発行してもよい。そして、登録部１１は、発行以後に外部から入力された健康状態情報と、健康パスポートと、ユーザの識別情報とを対応付けて所定の記憶装置に保存してもよい。尚、健康パスポートの発行は、他の情報処理装置により行われても良い。

次に、認証制御部１２は、ユーザから取得された第１の本人確認情報についての認証を制御する（Ｓ１２）。例えば、認証制御部１２は、ユーザの撮影画像から抽出される生体情報等を受け付けて、認証を制御してもよい。

そして、判定部１３は、認証に成功したか否かを判定する（Ｓ１３）。認証に成功したと判定された場合、判定部１３は、認証に成功したユーザに対応付けられた健康パスポート及び健康状態情報に基づき、複数の健康条件のそれぞれを満たすか否かを判定する（Ｓ１４）。その後、処理部１４は、ステップＳ１４における判定結果に応じた処理を行う（Ｓ１５）。尚、ステップＳ１３で認証に失敗したと判定された場合、処理を終了する。

このように、本実施形態にかかる情報処理装置１は、予め登録された健康パスポートと健康状態情報に基づき、本人確認の認証に成功したユーザについて、複数の健康条件を満たすか否かの判定を行い、判定結果に応じた処理を行うものである。ここで、健康パスポートは、感染症対策の証明情報に基づき発行されたものであり、少なくとも検査日やワクチンの接種日における感染症対策が認められたことを示す情報である。そして、健康状態情報は、健康パスポートの発行以後の期間におけるユーザの健康状態を示す情報である。そのため、情報処理装置１は、ユーザが現時点において感染症に感染しているリスク等を、複数の健康条件を踏まえて総合的な判定できる。そして、情報処理装置１は、信頼性の高い判定結果に応じた適切な処理を行うことができる。よって、利用者の受入れ側が利用者における感染症対策及び現在の健康状態に応じて適切な対応を行うことを支援することができる。

尚、情報処理装置１は、図示しない構成としてプロセッサ、メモリ及び記憶装置を備えるものである。また、当該記憶装置には、本実施形態にかかる情報処理方法の処理が実装されたコンピュータプログラムが記憶されている。そして、当該プロセッサは、記憶装置からコンピュータプログラムを前記メモリへ読み込ませ、当該コンピュータプログラムを実行する。これにより、前記プロセッサは、登録部１１、認証制御部１２、判定部１３及び処理部１４の機能を実現する。

または、登録部１１、認証制御部１２、判定部１３及び処理部１４は、それぞれが専用のハードウェアで実現されていてもよい。また、各装置の各構成要素の一部又は全部は、汎用または専用の回路（circuitry）、プロセッサ等やこれらの組合せによって実現されもよい。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。各装置の各構成要素の一部又は全部は、上述した回路等とプログラムとの組合せによって実現されてもよい。また、プロセッサとして、ＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、ＦＰＧＡ（field-programmable gate array）、量子プロセッサ（量子コンピュータ制御チップ）等を用いることができる。

また、情報処理装置１の各構成要素の一部又は全部が複数の情報処理装置や回路等により実現される場合には、複数の情報処理装置や回路等は、集中配置されてもよいし、分散配置されてもよい。例えば、情報処理装置や回路等は、クライアントサーバシステム、クラウドコンピューティングシステム等、各々が通信ネットワークを介して接続される形態として実現されてもよい。また、情報処理装置１の機能がＳａａＳ（Software as a Service）形式で提供されてもよい。

＜実施形態２＞
実施形態２は、上述した実施形態１の具体例である。上述したように、感染症の蔓延などにより渡航者の入国審査が厳格化されている。また、渡航者側も、入国後、当該国内の店舗等の施設を利用する際に、感染症対策がなされていることを確認し、安心して施設を利用したいというニーズが高まっている。

図３は、本実施形態２にかかる情報処理システム１０００の構成を示すブロック図である。情報処理システム１０００は、第一国Ｃ１に滞在中に感染症の対策を実施したユーザＵ１１等が、第二国Ｃ２に入国した後、第二国Ｃ２内の店舗Ｃ２２を利用する際に、ユーザＵ１１等の感染症対策や健康状態等に応じて予約や入店等を制御するためのものである。情報処理システム１０００は、ユーザ端末１０１から１０５、認証装置２００、サーバ３００、入国審査端末４００、予約端末５００及び店舗端末６００を備える。ユーザ端末１０１から１０５、認証装置２００、サーバ３００、入国審査端末４００、予約端末５００及び店舗端末６００は、ネットワークＮを介して接続される。ここで、ネットワークＮは、有線又は無線の通信回線、例えばインターネットである。尚、ユーザＵ１１からＵ１５は、同一人物を示すものとしてもよい。また、ユーザ端末１０１から１０５は、同等の機能を有するものとする。尚、情報処理システム１０００において、予約端末５００は、必須ではない。また、認証装置２００及びサーバ３００は、第二国Ｃ２に設置される必要はなく、第一国Ｃ１又は他の国に設置されてもよい。また、店舗Ｃ２２は、第二国Ｃ２内の利用先の一例である。利用先は、利用するために事前に予約が可能なレストラン、スタジアム、映画館、劇場等の施設であってもよい。また、情報処理システム１０００は、第二国Ｃ２内の２以上の施設に適用可能である。

尚、以下の説明では、本人確認の認証を生体認証の一例である顔認証とし、本人確認情報を生体情報の一例である顔特徴情報とする。但し、生体認証及び生体情報は撮影画像を利用する他の技術を適用可能である。例えば、生体情報は、指紋、声紋、静脈、網膜、瞳の虹彩の模様（パターン）といった個人に固有の身体的特徴から計算されるデータ（特徴量）を用いても構わない。また、本人確認の認証は生体認証以外であってもよく、本人確認情報も生体情報以外であってもよい。

認証装置２００は、複数の人物（ユーザＵ１１等）の顔特徴情報を記憶する情報処理装置である。また、認証装置２００は、外部から受信した顔認証要求に応じて、当該要求に含まれる顔画像又は顔特徴情報について、各ユーザの顔特徴情報と照合を行い、照合結果（認証結果）を要求元へ返信する。

図４は、本実施形態２にかかる認証装置２００の構成を示すブロック図である。認証装置２００は、顔情報ＤＢ（DataBase）２１０と、顔検出部２２０と、特徴点抽出部２３０と、登録部２４０と、認証部２５０とを備える。顔情報ＤＢ２１０は、ユーザＩＤ２１１と当該ユーザＩＤの顔特徴情報２１２とを対応付けて記憶する。顔特徴情報２１２は、顔画像から抽出された特徴点の集合である。尚、認証装置２００は、顔特徴情報２１２の登録ユーザからの要望に応じて、顔特徴ＤＢ２１０内の顔特徴情報２１２を削除してもよい。または、認証装置２００は、顔特徴情報２１２の登録から一定期間経過後に削除してもよい。

顔検出部２２０は、顔情報を登録するための登録画像に含まれる顔領域を検出し、特徴点抽出部２３０に出力する。特徴点抽出部２３０は、顔検出部２２０が検出した顔領域から特徴点を抽出し、登録部２４０に顔特徴情報を出力する。また、特徴点抽出部２３０は、ユーザ端末１０１等やサーバ３００等から受信した顔画像に含まれる特徴点を抽出し、認証部２５０に顔特徴情報を出力する。

登録部２４０は、顔特徴情報の登録に際して、ユーザＩＤ２１１を新規に発行する。登録部２４０は、発行したユーザＩＤ２１１と、登録画像から抽出した顔特徴情報２１２とを対応付けて顔情報ＤＢ２１０へ登録する。認証部２５０は、顔特徴情報２１２を用いた顔認証を行う。具体的には、認証部２５０は、顔画像から抽出された顔特徴情報と、顔情報ＤＢ２１０内の顔特徴情報２１２との照合を行う。認証部２５０は、照合に成功した場合、照合された顔特徴情報２１２に対応付けられたユーザＩＤ２１１を特定する。認証部２５０は、顔特徴情報の一致の有無を顔認証結果として要求元に返信する。顔特徴情報の一致の有無は、認証の成否に対応する。尚、顔特徴情報が一致する（一致有）とは、一致度が閾値以上である場合をいうものとする。また、顔認証結果は、顔認証に成功した場合、特定されたユーザＩＤを含むものとする。

図５は、本実施形態２にかかる顔情報登録処理の流れを示すフローチャートである。ここで、情報登録端末（不図示）は、ユーザの顔を含む身体を撮影し、撮影画像（登録画像）を含む顔情報登録要求をネットワークＮを介して認証装置２００へ送信する。情報登録端末は、例えば、パーソナルコンピュータ、スマートフォン又はタブレット端末等の情報処理装置である。例えば、情報登録端末は、ユーザ端末１０１等であってもよい。または、情報登録端末は、ユーザ端末１０１等から顔情報登録要求を受け付けたサーバ３００であってもよい。

まず、認証装置２００は、顔情報登録要求に含まれる登録画像を取得する（Ｓ２１）。例えば、認証装置２００は、顔情報登録要求を、情報登録端末からネットワークＮを介して受け付ける。次に、顔検出部２２０は、登録画像に含まれる顔領域を検出する（Ｓ２２）。次に、特徴点抽出部２３０は、ステップＳ２２で検出した顔領域から特徴点を抽出し、登録部２４０に顔特徴情報を出力する（Ｓ２３）。最後に、登録部２４０は、ユーザＩＤ２１１を発行し、当該ユーザＩＤ２１１と顔特徴情報２１２とを対応付けて顔情報ＤＢ２１０に登録する（Ｓ２４）。なお、認証装置２００は、情報登録端末から顔特徴情報２１２を受信し、ユーザＩＤ２１１と対応付けて顔情報ＤＢ２１０に登録してもよい。また、登録部２４０は、登録（発行）したユーザＩＤを情報登録端末やサーバ３００へ通知してもよい。

図６は、本実施形態２にかかる認証装置２００による顔認証処理の流れを示すフローチャートである。まず、特徴点抽出部２３０は、顔認証要求に含まれる認証用の顔画像を取得する（Ｓ３１）。例えば、認証装置２００は、サーバ３００からネットワークＮを介して顔認証要求を受信し、顔認証要求に含まれる顔画像からステップＳ２１からＳ２３のように顔特徴情報を抽出する。または、認証装置２００は、サーバ３００から顔特徴情報を受信してもよい。次に、認証部２５０は、取得した顔特徴情報を、顔情報ＤＢ２１０の顔特徴情報２１２と照合する（Ｓ３２）。顔特徴情報が一致した場合、つまり、顔特徴情報の一致度が閾値以上である場合（Ｓ３３のＹｅｓ）、認証部２５０は、顔特徴情報が一致したユーザのユーザＩＤ２１１を特定し（Ｓ３４）、顔認証に成功した旨と特定したユーザＩＤ２１１とをサーバ３００に返信する（Ｓ３５）。一致する顔特徴情報が存在しない場合（Ｓ３３のＮｏ）、認証部２５０は、顔認証に失敗した旨をサーバ３００に返信する（Ｓ３６）。

図３に戻り説明を続ける。サーバ３００は、上述した情報処理装置１の一例である。サーバ３００は、健康パスポートの発行、健康報告、行動履歴の登録、健康パスポートの更新、店舗の予約、店舗の入店処理等の情報処理を行う情報処理装置である。サーバ３００は、複数台のサーバに冗長化されてもよく、各機能ブロックが複数台のコンピュータで実現されてもよい。

次に、サーバ３００について詳細に説明する。図７は、本実施形態２にかかるサーバ３００の構成を示すブロック図である。サーバ３００は、記憶部３１０、メモリ３２０、通信部３３０及び制御部３４０を備える。記憶部３１０は、ハードディスク、フラッシュメモリ等の記憶装置の一例である。記憶部３１０は、プログラム３１１、ユーザ管理情報３１２、店舗情報３１３及び予約情報３１４を記憶する。プログラム３１１は、本実施形態２にかかる情報処理方法の処理が実装されたコンピュータプログラムである。

ユーザ管理情報３１２は、第一国Ｃ１に滞在し、第二国Ｃ２へ入国しようとするユーザまたは、第二国Ｃ２への入国が認められたユーザの感染症対策や健康状態を管理するための情報である。ユーザ管理情報３１２は、ユーザＩＤ３１２１、個人情報３１２２、証明情報３１２３、健康パスポート３１２４、健康状態情報３１２５及び行動履歴３１２６を対応付けた情報である。

ユーザＩＤ３１２１は、ユーザの識別情報の一例である。また、ユーザＩＤ３１２１は、上述した認証装置２００の顔情報ＤＢ２１０内のユーザＩＤ２１１と対応する情報である。個人情報３１２２は、氏名、生年月日、性別、使用言語等の情報である。

証明情報３１２３は、第一国Ｃ１の規定の検査機関でユーザに対して実施された感染症検査（ＰＣＲ検査等）による陰性の検査結果を証明するための情報である。証明情報３１２３は、検査の種類及び検査日を含む。具体的には、証明情報３１２３は、検査種別や検査日が記載された陰性の検査結果証明証であるか、デジタル証明証等の電子データであってもよい。または、証明情報３１２３は、第一国Ｃ１の医療機関でユーザに対して行われた当該感染症のワクチンの接種を証明する情報であってもよい。その場合、証明情報３１２３は、ワクチンの種類及び接種日を含む。具体的には、証明情報３１２３は、ワクチン名や接種日が記載されたワクチン接種の証明証（ワクチン接種証明情報）であるか、デジタル証明証等の電子データであってもよい。証明情報３１２３は、陰性の検査結果証明証とワクチン接種証明情報の両方を含んでも良い。また、証明情報３１２３は、検査又はワクチンの有効期限を含んでも良い。

健康パスポート３１２４は、ユーザＩＤ３１２１に対応するユーザが、第一国Ｃ１において所定の感染症の対策がなされたことを証明する対策証明情報である。健康パスポート３１２４は、有効又は無効を示す状態情報を含む。状態情報は、有効又は無効の２段階の他、３段階以上の状態を示しても良い。また、健康パスポート３１２４は、感染症に対する対策の実施日を含んでも良い。例えば、健康パスポート３１２４は、検査日又は接種日、対策を保証する有効期限等を含んでも良い。健康パスポート３１２４は、ユーザに対して第一国Ｃ１において行われた感染症に対する対策の証明情報３１２３に基づき、状態情報を有効として発行される。但し、証明情報３１２３は、あくまで第一国Ｃ１での感染症対策の実施の証明であるため、証明される検査日や接種日から所定期間を経過すると、健康パスポート３１２４の有効期限が切れて、健康パスポート３１２４の状態情報が無効にされる。また、後述するように、ユーザが感染者の濃厚接触者と判定された場合も、健康パスポート３１２４の状態情報が無効にされる場合がある。その場合、ユーザは、第二国Ｃ２に滞在中に、感染症の検査やワクチンの接種を受ける可能性がある。

健康状態情報３１２５は、健康パスポート３１２４が有効である間に第二国Ｃ２に入国したユーザにおける、第二国Ｃ２に滞在中の健康状態を示す情報である。健康状態情報３１２５は、例えば、上述したように、体表面温度やユーザ自身による体調の判断結果である。

行動履歴３１２６は、健康パスポート３１２４の発行以後（特に、第二国Ｃ２に入国後）のユーザの行動履歴である。例えば、行動履歴３１２６は、入国審査端末４００、予約端末５００又は店舗端末６００等を介した認証処理の認証履歴である。または、行動履歴３１２６は、ユーザ端末１０１等が受信したＧＰＳ（Global Positioning System）情報の履歴であってもよい。

店舗情報３１３は、複数の店舗に関する情報を管理するための情報である。店舗情報３１３は、店舗ＩＤ３１３１、詳細情報３１３２、位置情報３１３３及び安全レート３１３４を対応付けた情報である。店舗ＩＤ３１３１は、店舗の識別情報である。詳細情報３１３２は、店舗の名称、サービス内容等の店舗に関する詳細な情報である。位置情報３１３３は、店舗の地図上の所在地を特定するための情報である。安全レート３１３４は、安全性指標の一例である。安全レート３１３４は、店舗における感染症の感染し難さや、感染拡大に対する安全性を示す。安全レート３１３４は、指標の度合いが高いほど、感染症に感染し難く、安全性が高いことを示す。言い換えると、安全レート３１３４は、感染症に感染する危険度の低さを示す指標でもある。また、安全レート３１３４は、感染予防対策の度合い店舗を示す指標ともいえる。

予約情報３１４は、店舗の予約を管理する情報である。予約情報３１４は、店舗ＩＤ３１４１、ユーザＩＤ３１４２、予約日時３１４３及び予約内容３１４４を対応付けた情報である。店舗ＩＤ３１４１は、店舗の識別情報である。ユーザＩＤ３１４２は、ユーザの識別情報である。予約日時３１４３は、対応する店舗へ来店する予定の日時である。予約内容３１４４は、例えば、来店する人数、注文するメニューやコース、適用されるサービス等である。

メモリ３２０は、ＲＡＭ（Random Access Memory）等の揮発性記憶装置であり、制御部３４０の動作時に一時的に情報を保持するための記憶領域である。通信部３３０は、ネットワークＮとの通信インタフェースである。

制御部３４０は、サーバ３００の各構成を制御するプロセッサつまり制御装置である。制御部３４０は、記憶部３１０からプログラム３１１をメモリ３２０へ読み込ませ、プログラム３１１を実行する。これにより、制御部３４０は、登録部３４１、発行部３４２、認証制御部３４３、判定部３４４及び処理部３４５の機能を実現する。

登録部３４１は、上述した登録部１１の一例である。登録部３４１は、ユーザ端末１０１等から受け付けた個人情報３１２２及び証明情報３１２３と、認証装置２００により発行されたユーザＩＤ３１２１とを対応付けてユーザ管理情報３１２として記憶部３１０に登録する。また、登録部３４１は、発行部３４２により発行された健康パスポート３１２４をユーザＩＤ３１２１と対応付けてユーザ管理情報３１２を更新して、記憶部３１０に登録する。また、登録部３４１は、ユーザ端末１０１等又は予約端末や店舗端末等の認証端末から受け付けた健康状態情報３１２５や行動履歴３１２６をユーザＩＤ３１２１と対応付けてユーザ管理情報３１２を更新して、記憶部３１０に登録する。つまり、登録部３４１は、受け付けた健康状態情報３１２５をユーザの健康報告として登録する。

発行部３４２は、ユーザに対して第一国Ｃ１において行われた感染症に対する対策の証明情報３１２３に基づき、健康パスポート３１２４を発行する。例えば、発行部３４２は、ユーザ端末１０１等から健康パスポート発行要求を受け付けた場合に、健康パスポート３１２４を発行する。このとき、発行部３４２は、健康パスポート発行要求に含まれる顔画像を含めた顔情報登録要求を認証装置２００へ送信し、認証装置２００において顔特徴情報の登録時に発行されたユーザＩＤを受信する。そして、ユーザＩＤを受信後に、発行部３４２は、健康パスポート発行要求に含まれる証明情報の検査日又は接種日が所定期間以内である場合、状態情報を有効とした健康パスポート３１２４を発行する。

認証制御部３４３は、上述した認証制御部１２の一例である。認証制御部３４３は、ネットワークＮを介して取得された撮影画像に基づいて、顔認証を制御する。すなわち、認証制御部３４３は、顔画像について、認証装置２００に対して顔認証を行わせる。例えば、認証制御部３４３は、取得された顔画像を含めた顔認証要求を、ネットワークＮを介して認証装置２００へ送信し、認証装置２００から顔認証結果を受信する。尚、認証制御部３４３は、顔画像からユーザの顔領域を検出し、顔領域の画像を顔認証要求に含めてもよい。または、認証制御部３４３は、顔領域から顔特徴情報を抽出し、顔特徴情報を顔認証要求に含めてもよい。認証制御部３４３は、認証装置２００からネットワークＮを介して顔認証結果を取得し、顔認証結果を判定部３４４へ出力する。

判定部３４４は、上述した判定部１３の一例である。判定部３４４は、顔認証結果から顔認証に成功したか否かを判定する。顔認証に成功したと判定した場合、判定部３４４は、顔認証結果に含まれるユーザＩＤを特定する。判定部３４４は、ユーザ管理情報３１２の中から、特定したユーザＩＤ３１２１に対応付けられた健康パスポート３１２４及び健康状態情報３１２５を特定する。判定部３４４は、特定した健康パスポート３１２４及び健康状態情報３１２５に基づき、複数の健康条件のそれぞれを満たすか否かを判定する。ここで、第１の健康条件は、健康パスポートが有効であることである。例えば、判定部３４４は、健康パスポート３１２４に含まれる感染症の対策の実施日が所定期間以内である場合、当該健康パスポートを有効（第１の健康条件を満たす）と判定してもよい。第２の健康条件は、健康状態情報が所定間隔で登録されていることである。例えば、判定部３４４は、健康状態情報３１２５に含まれる報告日時が１日１回のペースであり、第二国Ｃ２の入国以降、現時点まで継続している場合に、第２の健康条件を満たすと判定してもよい。尚、報告日時が１日１回のペースであっても日々の報告時刻にばらつきが大きい場合には、判定部３４４は、第２の健康条件を満たさないと判定してもよい。第３の健康条件は、各健康状態情報が示すユーザの体調が所定条件を満たすことである。所定条件とは、例えば、健康状態情報が示すユーザの体表面温度が基準値（例えば、３７．５度）未満であることや、ユーザ自身による体調の判断結果が良い又は普通であることである。例えば、判定部３４４は、健康状態情報３１２５に含まれる体表面温度又は体調の判断結が所定条件を満たす場合に、第３の健康条件を満たすと判定してもよい。尚、判定部３４４は、複数の健康条件として少なくとも第１から第３の健康条件を満たすか否かを判定する。判定部３４４は、複数の健康条件の全てを満たすか否かを判定結果としてもよい。または、判定部３４４は、複数の健康条件のそれぞれについて個別に判定結果としてもよい。

さらに、判定部３４４は、外部から取得された感染症の感染者の情報とユーザの行動履歴３１２６とに基づいて、ユーザが当該感染者の濃厚接触者か否かを判定してもよい。ここで、感染者の情報とは、感染者が陽性と判定された日以前の数週間の感染者の行動履歴（位置情報と日時の組合せ）等である。例えば、判定部３４４は、感染者の滞在位置と所定範囲内、かつ、感染者の滞在時間帯と重複する時間帯に滞在していたユーザを、濃厚接触者の候補として判定する。濃厚接触者の追跡を効率的に行うためである。但し、判定部３４４は、証明情報３１２３が示す感染症の対策がワクチン接種であり、かつ、健康パスポート３１２４が有効である場合、ユーザが濃厚接触者ではないと判定するとよい。濃厚接触者を過剰に増加させることを防ぎ、医療機関等の負担を軽減するためである。

処理部３４５は、上述した処理部１４の一例である。処理部３４５は、判定部３４４による健康条件の判定結果に応じた各種処理を行う。例えば、処理部３４５は、複数の健康条件の充足度に応じて、ユーザの感染症対策指標を決定し、決定された感染症対策指標の出力を処理として行う。感染症対策指標は、ユーザにおける健康パスポート３１２４の発行以後（または第二国Ｃ２の入国後）の感染症に対する安全性を示す指標である。感染症対策指標は、高い又は低いの２段階や、第１のレベルから第３のレベルの３段階、または、４段階以上のレベルであってもよい。例えば、第１のレベルは、施設の利用を許可できることを示す。第２のレベルは、施設の利用に注意が必要なことを示す。第３のレベルは、施設の利用が認められない（不許可）ことを示す。感染症対策指標は、各段階やレベルを色等で区別可能なマークやメッセージ等の表示情報であってもよい。例えば、感染症対策指標は、第１のレベルで青色、第２のレベルで黄色、第３のレベルで赤色の表示情報としてもよい。

処理部３４５は、複数の健康条件の全てを満たす場合、例えば、上述した第１から第３の健康条件の全てを満たす場合、第１のレベルを感染症対策指標として決定する。また、処理部３４５は、複数の健康条件の一部を満たす場合、第２のレベルを感染症対策指標として決定する。例えば、処理部３４５は、健康パスポート３１２４が有効である（第１の健康条件を満たす）が、健康状態情報が所定間隔で登録されていない（第２の健康条件を満たさない）場合、第２のレベルを感染症対策指標として決定してもよい。尚、この場合、第３の健康条件も満たされているものとする。または、処理部３４５は、健康パスポート３１２４が有効であっても、健康状態情報の日々の報告時刻にばらつきが大きい場合には、第２のレベルを感染症対策指標として決定してもよい。また、処理部３４５は、複数の健康条件のうち特定の条件を満たさない場合、他の健康条件の判定結果に関わらず、第３のレベルを感染症対策指標として決定してもよい。例えば、処理部３４５は、健康パスポート３１２４が無効である（第１の健康条件を満たさない）場合、第３のレベルを感染症対策指標として決定する。尚、処理部３４５は、第３の健康条件を満たさない場合に、他の健康条件を満たしたとしても、第３のレベルを感染症対策指標として決定してもよい。もちろん、処理部３４５は、複数の健康条件の全てを満たさない場合、第３のレベルを感染症対策指標として決定する。

さらに、処理部３４５は、所定期間におけるユーザの滞在国をさらに加味して、感染症対策指標を決定してもよい。例えば、処理部３４５は、入国審査の情報を取得し、ユーザが過去に特定国（感染症が広く蔓延している、対策が不十分な国）に滞在していた場合、感染症対策指標のレベルが低くなるように決定する。

また、処理部３４５は、複数の健康条件の全てを満たす場合に、ユーザにおける所定の利用先の利用許可の出力を処理として行う。この場合、処理部３４５は、必ずしも感染症対策指標を決定及び出力する必要はない。

また、処理部３４５は、ユーザから所定の利用先の利用予約を受け付けた際に、複数の健康条件の全てを満たす場合、当該利用先の利用予約を処理として行う。例えば、処理部３４５は、所定の店舗の予約を受け付けた場合、予約情報３１４を生成し、記憶部３１０に保存する。

または、処理部３４５は、複数の健康条件の全てを満たす場合、ユーザに対して各利用先における安全性指標を出力してもよい。そして、処理部３４５は、出力された安全性指標に基づきユーザにより利用先が指定された場合、当該利用先への利用予約を処理として行ってもよい。

また、処理部３４５は、判定部３４４による判定結果が、健康パスポートが有効である（第１の健康条件を満たす）が、健康状態情報が所定間隔で登録されていない（第２の健康条件を満たさない）ことを示す場合、ユーザから現在の健康状態情報を取得してもよい。この場合、登録部３４１は、取得した健康状態情報をユーザＩＤに対応付けて追加で登録する。また、判定部３４４は、取得した健康状態情報が所定条件を満たす（第３の健康条件を満たす）場合、複数の健康条件の全てを満たすと判定する。これにより、仮に、健康報告が十分になされていないユーザであっても、店舗の入店時に測定された体表面温度が条件を満たす場合には、入店が許可され得る。よって、柔軟な対応が可能となり、利便性が向上する。

尚、処理部３４５は、判定部３４４によりユーザが濃厚接触者と判定された場合、当該ユーザに対応付けられた健康パスポートを無効として更新しても良い。これにより、ユーザが健康報告を適切に行っていたとしても、即座に、当該ユーザの施設の利用を抑制することができ、感染症の拡大を抑止できる。

また、判定部３４４は、定期的に又は任意のタイミングで、ユーザごとに健康状態情報３１２５が第２及び第３の健康条件を満たすか否かを判定してもよい。そして、第２又は第３の健康条件を満たさないと判定された場合、処理部３４５は、当該ユーザに対応付けられた健康パスポートを無効として更新しても良い。

尚、サーバ３００は、店舗ごとに様々な手段で収集されたデータに基づき、所定のロジックにより安全レートを算出する。そして、登録部３４１は、算出した安全レート３１３４と店舗ＩＤ３１３１とを対応付けて店舗情報３１３に登録する。ここで、収集されるデータとは、例えば、店員及び客の感染症の陰性率、店の混雑度、店舗に対する利用者の評価（口コミ）、覆面調査員による調査結果、店内のマスク着用率、換気の度合い、感染症対策の内容等である。例えば、サーバ３００は、３日以内の店員及び客の陰性率が８０％を超えていた場合、安全レートを高く算出するとよい。覆面調査員（例えば、保健所の職員）による調査結果は、公平さの担保のためである。感染症対策の内容は、例えば、アルコールや次亜塩素酸の消毒容器等の設置有無、席やレジなどにおける透明パネルやシートの設置有無等である。但し、収集されるデータは、これらに限定されない。

また、所定のロジックとして、入力データに応じて安全レートを出力するモデルを用いても良い。その場合、当該モデルは、多数の店舗について収集されたデータと各店舗の安全レートの正解データを用いて機械学習されたものであればよい。つまり、サーバ３００は、学習済みモデルに対して、任意の店舗の収集データを入力し、安全レートの出力を取得する。尚、安全レートは、管理者が判定又は算出したものであってもよい。その場合、登録部３４１は、管理者から入力された安全レートを受け付けて、店舗情報３１３に登録する。

図３に戻り説明を続ける。ユーザ端末１０１から１０５のそれぞれは、ユーザＵ１１からＵ１５のそれぞれが携帯し、操作する情報端末である。ユーザ端末１０１等は、例えば、携帯電話端末、スマートフォン、タブレット端末である。

（健康パスポートの発行）
ここで、ユーザＵ１１は、第一国Ｃ１に滞在しているものとし、第一国Ｃ１の規定の検査機関で、所定の感染症の検査を受診し、陰性の検査結果証明証を取得したものとする。そこで、ユーザＵ１１は、ユーザ端末１０１を操作して健康パスポートの発行を行う。例えば、ユーザＵ１１は、ユーザ端末１０１に本実施形態にかかるアプリケーションをインストールして、後述する各種操作を行うものとする。

図８は、本実施形態２にかかるユーザ端末１０１の構成を示すブロック図である。尚、上述した通り、ユーザ端末１０２から１０５の構成は、ユーザ端末１０１と同等であるため、図示及び詳細な説明を省略する。ユーザ端末１０１は、カメラ１１０、記憶部１２０、通信部１３０、入出力部１４０及び制御部１５０を備える。

カメラ１１０は、制御部１５０の制御に応じてユーザＵ１１の撮影を行う撮影装置である。記憶部１２０は、ユーザ端末１０１の各機能を実現するための（アプリケーション）プログラムが格納される記憶装置である。通信部１３０は、ネットワークＮとの通信インタフェースである。入出力部１４０は、表示装置と入力装置を含む。入出力部１４０は、例えば、タッチパネルである。制御部１５０は、ユーザ端末１０１が有するハードウェアの制御を行う。制御部１５０は、記憶部１２０からプログラムをメモリへ読み込ませ、実行する。これにより、制御部１５０は、発行要求部１５１、健康パスポート処理部１５２、健康報告部１５３及び予約処理部１５４の機能を実現する。

発行要求部１５１は、健康パスポート発行要求をネットワークＮを介してサーバ３００へ送信する。例えば、発行要求部１５１は、ユーザＵ１１から生体情報（顔画像）及び個人情報の入力を受け付ける。顔画像は、カメラ１１０によりユーザＵ１１の顔を含む領域が撮影された撮影画像である。また、発行要求部１５１は、ユーザＵ１１の操作に応じてカメラ１１０により陰性の検査結果証明証を撮影し、撮影画像を感染症の対策の証明情報として受け付ける。尚、証明情報は、上述した通り、ワクチンの接種証明証であってもよい。また、証明情報は、電子データであってもよい。その場合、発行要求部１５１は、検査機関又は医療機関から証明情報を取得するものとする。例えば、陰性の検査結果証明証には、検査機関又は医療機関のサーバにおける証明情報のアクセス先を含む二次元コードが印刷されていてもよい。その場合、発行要求部１５１は、カメラ１１０により撮影された二次元コードを解析し、検査機関又は医療機関のサーバへアクセスし、対応する証明情報を取得してもよい。または、検査機関又は医療機関は、証明情報へのアクセスのための整理番号を発行し、ユーザＵ１１に提示してもよい。その場合、発行要求部１５１は、ユーザＵ１１から入力された整理番号を証明情報として受け付けても良い。尚、発行要求部１５１は、顔画像、個人情報及び証明情報を記憶部１２０に保存してもよい。

そして、発行要求部１５１は、顔画像、個人情報及び証明情報を含めた健康パスポート発行要求を送信する。尚、発行要求部１５１は、第二国Ｃ２の医療機関における感染症の検査や治療の費用に適用される医療保険に関するユーザＵ１１の加入情報を健康パスポート発行要求に含めても良い。これに応じて、サーバ３００は、ユーザ端末１０１からネットワークＮを介して健康パスポート発行要求を受信する。

このとき、サーバ３００の発行部３４２は、健康パスポート発行要求に含まれる顔画像を含めた顔情報登録要求を認証装置２００へ送信し、認証装置２００において顔特徴情報の登録時に発行されたユーザＩＤを受信する。そして、ユーザＩＤを受信後に、発行部３４２は、健康パスポート発行要求に含まれる証明情報の検査日又は接種日から第二国Ｃ２に入国する日までの期間が所定期間以内である場合、状態情報を有効とした健康パスポート３１２４を発行する。尚、上述したように、健康パスポート発行要求に含まれる証明情報が整理番号である場合、発行部３４２は、検査機関又は医療機関のサーバへアクセスし、整理番号に対応する証明情報を取得するものとする。登録部３４１は、健康パスポート発行要求に含まれる個人情報３１２２及び証明情報３１２３、並びに、発行した健康パスポート３１２４と、受信したユーザＩＤ３１２１とを対応付けてユーザ管理情報３１２を生成し、記憶部３１０に登録する。尚、健康パスポート発行要求に医療保険の加入情報が含まれている場合、登録部３４１は、ユーザＩＤに医療保険の加入情報をさらに対応付けてユーザ管理情報３１２を生成してもよい。

さらに、サーバ３００の発行部３４２は、発行した健康パスポート３１２４のデータ内容（状態情報、検査日等、有効期限等）への参照先情報を示すコード情報（例えば、二次元コード）を発行し、健康パスポート発行要求の要求元であるユーザ端末１０１へコード情報を返信してもよい。この場合、ユーザ端末１０１は、受信したコード情報を記憶部１２０に保存する。

健康パスポート処理部１５２は、発行された健康パスポートを取得及び表示（提示）するための各種処理を行う。例えば、健康パスポート処理部１５２は、ユーザＵ１１から健康パスポートの表示操作を受け付けた場合、カメラ１１０を制御してユーザＵ１１の撮影画像を取得する。そして、健康パスポート処理部１５２は、取得した撮影画像(顔画像)を含めた顔認証要求をサーバ３００へ送信する。これに応じてサーバ３００の認証制御部３４３は、ユーザＵ１１の顔画像を含めた顔認証要求を認証装置２００へ送信し、顔認証結果を受信する。顔認証結果が成功を示す場合、処理部３４５は、顔認証結果に含まれるユーザＩＤ３１２１に対応付けられた健康パスポート３１２４を特定し、健康パスポート３１２４をユーザ端末１０１へ返信する。これに応じて、健康パスポート処理部１５２は、健康パスポートを受信し、健康パスポートを入出力部１４０に表示させる。

図９は、本実施形態２にかかる健康パスポートの表示例を示す図である。健康パスポート表示画面７１は、顔画像７１１、ユーザ名７１２、健康パスポート状態７１３、有効期限７１４及びコード表示ボタン７１５を含む。但し、健康パスポート表示画面７１の表示内容は、これらに限定されず、健康パスポート状態７１３を含めばよい。顔画像７１１は、上記で健康パスポート処理部１５２が取得した撮影画像であるか、認証装置２００に登録されたユーザＵ１１の顔画像をサーバ３００を介して取得したものであってもよい。ユーザ名７１２は、ユーザ端末１０１に入力された個人情報に含まれるものか、サーバ３００に保存された個人情報３１２２に含まれるものをサーバ３００から取得したものであっても良い。健康パスポート状態７１３は、上記で健康パスポート処理部１５２が受信した健康パスポートに含まれる状態情報である。有効期限７１４は、同様に受信した健康パスポートに有効期限が含まれている場合に表示される。コード表示ボタン７１５は、上記でコード情報を受信していた場合に、活性化される。コード表示ボタン７１５は、ユーザＵ１１により押下されると、コード情報を二次元コードで表示する。

または、コード情報を受信済みの場合、健康パスポート処理部１５２は、本人確認の認証に成功した場合、コード情報をサーバ３００へ送信してもよい。この場合、サーバ３００は、受信したコード情報に基づきユーザ管理情報３１２の中から健康パスポート３１２４を特定し、健康パスポート３１２４をユーザ端末１０１へ返信する。そして、健康パスポート処理部１５２は、受信した健康パスポートを上記のように表示する。尚、本人確認の認証は、ユーザ端末１０１によるロック解除操作、生体認証であってもよい。または、本人確認の認証は、ユーザ端末１０１が顔画像を含めた顔認証要求をサーバ３００又は認証装置２００へ送信し、顔認証結果を受信することにより行われても良い。そして、健康パスポート処理部１５２は、顔認証結果が成功を示す場合、本人確認の認証に成功したとみなしてもよい。

健康報告部１５３は、後述するように、発行済みの健康パスポートによりユーザＵ１１が第二国Ｃ２に入国後に、ユーザＵ１１の健康状態を報告するための健康報告をサーバ３００へ送信する。例えば、ユーザＵ１１は、定期的に又は任意のタイミングで、測定された体表面温度や体調の判断結果（良い、普通、悪い等の選択値）等の健康状態情報をユーザ端末１０１に入力する。健康報告部１５３は、入力された健康状態情報を入力日時と対応付けて記憶部１２０に保存してもよい。健康報告部１５３は、入力された健康状態情報、入力日時及びユーザＵ１１のユーザＩＤ（又は生体情報）を含めた健康報告をネットワークＮを介してサーバ３００へ送信する。例えば、健康報告部１５３は、１日１回や、毎日決まった時間帯（８時から１０時）、又は、１日に複数回（午前、午後）などのタイミングで健康報告を送信する。

予約処理部１５４は、ユーザＵ１１の入力に応じて、所定条件を満たす店舗情報の開示要求をネットワークＮを介してサーバ３００へ送信する。所定条件は、店舗の所在エリア、業種（レストラン等）、希望時間帯等を含む。予約処理部１５４は、ユーザＵ１１の撮影画像を開示要求に含めるものとする。予約処理部１５４は、サーバ３００から対象店舗表示画像を受信した場合、入出力部１４０に表示する。予約処理部１５４は、ユーザＵ１１から店舗及び予約日時の指定を受け付けた場合、予約要求をサーバ３００へ送信する。予約処理部１５４は、予約に応じて発行された予約コードを受信した場合、記憶部１２０に予約コードを保存する。

（入国審査）
図３に戻り説明を続ける。ユーザＵ１２は、ユーザＵ１１と同様に、第一国Ｃ１において感染症に対する対策の証明情報を取得し、ユーザ端末１０２を用いて健康パスポートが発行済みとする。そして、ユーザＵ１２は、第一国Ｃ１を出国し第二国Ｃ２へ入国するために空港Ｃ２１にて入国審査を受けるものとする。そして、ユーザＵ１２は、通常の入国審査の他に所定の感染症の検査を受ける。通常であれば、検査結果が出るまで、ユーザＵ１２は所定の場所で待機する必要がある。このとき、ユーザＵ１２は、入国審査端末４００を介して健康パスポートが有効であることが確認された場合に、検査結果を待たずに入国が許可されてもよい。

入国審査端末４００は、空港Ｃ２１に設置され、入国審査官Ｕ２１が操作する情報端末である。図１０は、本実施形態２にかかる入国審査端末４００の構成を示すブロック図である。入国審査端末４００は、カメラ４１０、記憶部４２０、通信部４３０、入出力部４４０及び制御部４５０を備える。

カメラ４１０は、制御部４５０の制御に応じてユーザＵ１２の撮影を行う撮影装置である。記憶部４２０は、入国審査端末４００の各機能を実現するためのプログラムが格納される記憶装置である。通信部４３０は、ネットワークＮとの通信インタフェースである。入出力部４４０は、表示装置と入力装置を含む。入出力部４４０は、例えば、タッチパネルである。制御部４５０は、入国審査端末４００が有するハードウェアの制御を行う。制御部４５０は、記憶部４２０からプログラムをメモリへ読み込ませ、実行する。これにより、制御部４５０は、健康パスポート処理部４５１の機能を実現する。

健康パスポート処理部４５１は、入国審査の対象であるユーザＵ１２の健康パスポートの問合せをサーバ３００へ行い、健康パスポートを受信し、入国審査官Ｕ２１へ提示する。または、健康パスポート処理部４５１は、健康パスポートが有効を示す場合、入国ゲートを開いても良い。

具体的には、健康パスポート処理部４５１は、カメラ４１０を制御してユーザＵ１２の顔を撮影し、撮影画像（顔画像）を含めた顔認証要求をサーバ３００へ送信する。これに応じて、サーバ３００の認証制御部３４３は、上述したように、ユーザＵ１２の顔認証を制御し、顔認証に成功した場合、顔認証結果に含まれるユーザＩＤ３１２１に対応付けられた健康パスポート３１２４を特定し、健康パスポート３１２４を入国審査端末４００へ返信する。これに応じて、健康パスポート処理部４５１は、健康パスポートを受信し、健康パスポートを入出力部４４０に表示させる。これにより、入国審査官Ｕ２１は、健康パスポートが有効を示す場合、入国審査官Ｕ２１の入国を許可できる。

または、ユーザＵ１２は、ユーザ端末１０２に健康パスポートのコード情報を表示し、入国審査端末４００に読み取らせてもよい。その場合、入国審査端末４００の健康パスポート処理部４５１は、読み取られたコード情報を解析して、サーバ３００へ健康パスポートの問合せを行っても良い。この際、健康パスポート処理部４５１は、上述したように顔認証要求と健康パスポートの問合せをサーバ３００に対して行ってもよい。尚、ユーザＵ１２は、ユーザ端末１０２に健康パスポート表示画面７１を表示し、入国審査官Ｕ２１に提示してもよい。

尚、第一国Ｃ１の出国審査や、第二国Ｃ２から第一国Ｃ１へ帰国する際の出国審査に、本実施形態にかかる健康パスポートの有効性が用いられても良い。また、入国審査端末４００は、ユーザＵ１２のパスポート（旅券）情報等から、第一国Ｃ１を含む滞在国を特定し、健康パスポートの問合せと共に滞在国の情報をサーバ３００へ送信してもよい。その場合、サーバ３００は、滞在国に応じてユーザＵ１２の健康パスポートを無効として更新してもよい。例えば、感染者の多い国からの入国者の健康パスポートは無効にされてもよい。

（健康報告）
図３に戻り説明を続ける。ユーザＵ１３、Ｕ１４及びＵ１５は、ユーザＵ１２と同様に、空港Ｃ２１の入国審査において、健康パスポートが有効であることが確認され、第二国Ｃ２への入国が許可されたものとする。また、ユーザＵ１３からＵ１５は、自身のユーザ端末を用いて定期的に健康報告を行う。例えば、ユーザ端末１０３の健康報告部１５３は、ユーザＵ１３から健康状態情報の入力を受け付ける。そして、健康報告部１５３は、入力された健康状態情報、入力日時及びユーザＵ１１のユーザＩＤ（又は生体情報）を含めた健康報告をネットワークＮを介してサーバ３００へ送信する。尚、入国審査端末４００、予約端末５００又は店舗端末６００は、サーモカメラ等からユーザＵ１２等の体表面温度の測定値を取得し、測定値、測定日時及びユーザの顔画像を含めた健康報告をネットワークＮを介してサーバ３００へ送信しても良い。また、ホテルの入口や他の施設に設置されたキオスク端末などがユーザの体表面温度を測定し、ネットワークＮを介して測定値をサーバ３００へ送信しても良い。これにより、自ら体温計などで体表面温度を測定しなくても、予約端末５００や店舗端末６００等のサーモカメラ等から体表面温度を測定することで、入店の条件をクリアするとともに、それを用いて自身の健康報告にも活用できる。

図１３は、本実施形態２にかかる健康報告の登録処理の流れを示すフローチャートである。サーバ３００の登録部３４１は、ユーザ端末１０３等からネットワークＮを介して健康報告を受信する（Ｓ４１）。ここで、健康報告には、健康状態情報、入力日時（又は測定日時）及びユーザＩＤ（又は顔画像）が含まれる。健康報告に顔画像が含まれる場合、認証制御部３４３は、顔画像に基づいて、顔認証を制御し、ユーザＩＤを特定する。

次に、登録部３４１は、健康状態情報に入力日時（又は測定日時）を含める。そして、登録部３４１は、ユーザＩＤ３１２１と健康状態情報３１２５とを対応付けてユーザ管理情報３１２を更新して、記憶部３１０に登録する（Ｓ４２）。これにより、第二国Ｃ２に入国後（健康パスポートの発行以後）の各ユーザの健康状態の履歴を記録できる。よって、海外からの渡航者等の最新の健康状態と共に、継続的に健康報告がなされていることを把握できる。

（利用予約）
図３に戻り説明を続ける。ユーザＵ１３は、第二国Ｃ２内の店舗Ｃ２２等の利用先を利用する際に、事前に利用予約（来店予約）を行うものとする。その際、ユーザＵ１３自身の健康パスポートと健康状態情報が複数の健康条件を満たすことが検証され、健康条件の全てを満たす場合に、来店予約が許可されるものとする。同時に、ユーザＵ１３は、来店を検討する店舗候補における安全レートを確認した上で、来店予約ができる。

図１４は、本実施形態２にかかる店舗の予約処理の流れを示すフローチャートである。まず、ユーザ端末１０３の予約処理部１５４は、ユーザＵ１３から利用を希望する店舗の所定条件の入力を受け付ける。ここで、所定条件とは、上述したように、店舗の所在エリア、業種（レストラン等）、希望時間帯等であるが、これらに限定されない。そして、予約処理部１５４は、所定条件とユーザＵ１３の顔画像を含めて店舗情報の開示要求をネットワークＮを介してサーバ３００へ送信する。これに応じて、サーバ３００は、店舗情報の開示要求を受け付ける（Ｓ５０１）。

そして、サーバ３００は、顔認証を制御する（Ｓ５０２）。具体的には、サーバ３００の認証制御部３４３は、開示要求に含まれる顔画像を含めた顔認証要求を、ネットワークＮを介して認証装置２００へ送信する。そして、認証制御部３４３は、認証装置２００から顔認証結果を受信する。そして、判定部３４４は、顔認証に成功したか否かを判定する（Ｓ５０３）。

顔認証に成功した場合（ステップＳ５０３でＹＥＳ）、判定部３４４は、顔認証結果に含まれるユーザＩＤ３１２１に対応付けられた健康パスポート３１２４及び健康状態情報３１２５を特定する（Ｓ５０４）。そして、判定部３４４は、健康パスポート及び健康状態情報が全ての健康条件を充足するか否かを判定する（Ｓ５０５）。

顔認証に失敗した場合（ステップＳ５０３でＮＯ）又は健康条件の一部を充足しない場合（Ｓ５０５でＮＯ）、処理部３４５は、店舗情報の開示不可の旨をネットワークＮを介してユーザ端末１０３へ返信する（Ｓ５１２）。

ステップＳ５０５でＹＥＳと判定された場合、処理部３４５は、店舗情報３１３の詳細情報３１３２及び位置情報３１３３に基づいて、開示要求に含まれる所定条件を満たす（１以上の）対象店舗を検索する（Ｓ５０６）。そして、処理部３４５は、検索された対象店舗（群）の店舗ＩＤ３１３１に対応付けられた安全レート３１３４を特定する（Ｓ５０７）。続いて、処理部３４５は、対象店舗表示画像を生成する（Ｓ５０８）。例えば、処理部３４５は、地図情報と、対象店舗の位置情報とを用いて、対象店舗の地図上の位置付近に安全レートを表示した画像を生成する。そして、処理部３４５は、生成した対象店舗表示画像をネットワークＮを介してユーザ端末１０３へ返信する（Ｓ５０９）。尚、処理部３４５は、ステップＳ５０８で画像を生成せず、ステップＳ５０９において、対象店舗群の所在位置付近の地図情報と、各対象店舗の位置情報と、各対象店舗の安全レートとを返信してもよい。その場合、処理部３４５は、地図上の各対象店舗の位置に、対応する安全レートを表示させる指示を行うものとする。または、処理部３４５は、ステップＳ５０８で画像を生成せず、ステップＳ５０９において、安全レートの高い順に並べられた対象店舗のリストを返信してもよい。

これに応じて、ユーザ端末１０３の予約処理部１５４は、対象店舗表示画像を受信し、入出力部１４０に表示する。図１５は、本実施形態２にかかる各店舗の安全レートの表示例を示す図である。対象店舗表示画面７２は、地図上に複数の対象店舗７２１、７２２及び７２３と、各対象店舗の付近に、安全レートＲ１、Ｒ２及びＲ３とが表示されていることを示す。安全レートＲ１等は、星の数が多いほど、高いことを示す。尚、安全レートＲ１等の表記はこれらに限定されない。また、対象店舗７２１等は、ユーザＵ１３の選択操作を受け付けると、詳細情報を表示してもよい。また、対象店舗７２１等は、ユーザＵ１３の選択操作を受け付けると、予約画面（不図示）が表示されてもよい。予約画面は、ユーザＵ１３から予約日時、予約内容等を受け付ける画面である。

ユーザ端末１０３の予約処理部１５４は、ユーザＵ１３から店舗、予約日時、予約内容等を受け付けた場合、店舗ＩＤ，ユーザＩＤ、予約日時、予約内容等を含めた予約要求をネットワークＮを介してサーバ３００へ送信する。

これに応じて、サーバ３００は、予約要求を受け付ける（Ｓ５１０でＹＥＳ）。そして、処理部３４５は、受け付けた予約要求に含まれる店舗ＩＤ３１４１、ユーザＩＤ３１４２、予約日時３１４３及び予約内容３１４４を対応付けて予約情報３１４を生成し、記憶部３１０に予約情報３１４を登録する（Ｓ５１１）。併せて、処理部３４５は、予約情報３１４に対応する予約コード（二次元コード等）を発行し、ネットワークＮを介してユーザ端末１０３へ送信してもよい。この場合、ユーザ端末１０３は、受信した予約コードを記憶部１２０に保存する。尚、サーバ３００は、ステップＳ５０９の後、一定時間、予約要求を受け付けなかった場合、処理を終了する。

尚、本実施形態にかかる利用予約処理では、必ずしも安全レートを表示しなくても良い。例えば、ステップＳ５０１において、店舗ＩＤや予約日時を指定した予約要求を受信した場合、サーバ３００は、顔認証に成功したユーザが複数の健康条件を充足している場合に、予約情報を登録しても良い。

また、図１４の利用予約処理では、先に本人確認の認証（顔認証）を行った後に、安全レートを表示しているが、これに限定されない。例えば、ユーザに対して（本人確認なしに）各店舗の安全レートを表示し、ユーザが安全レートを見た上で、予約を行った際に本人確認の認証を行うようにしてもよい。具体的には、予約要求を受け付けた（Ｓ５１０）後に、本人確認の認証（顔認証）を行ない（Ｓ５０２）、認証に成功した場合（Ｓ５０３でＹＥＳ）に、予約情報の登録（Ｓ５１１）を行っても良い。その場合、ステップＳ５０１の後、Ｓ５０２及びＳ５０３を省略し、Ｓ５０４へ進んでも良い。

図３に戻り説明を続ける。ユーザＵ１４は、予約端末５００を介して店舗の予約を行うことができる。予約端末５００は、第二国Ｃ２内の任意の場所に設置されたデジタルサイネージ等の情報端末である。予約端末５００は、ユーザＵ１４の顔認証の成功に応じた各種表示等を行うものであってもよい。

図１１は、本実施形態２にかかる予約端末５００の構成を示すブロック図である。予約端末５００は、カメラ５１０、記憶部５２０、通信部５３０、入出力部５４０及び制御部５５０を備える。

カメラ５１０は、制御部５５０の制御に応じてユーザＵ１４の撮影を行う撮影装置である。記憶部５２０は、予約端末５００の各機能を実現するためのプログラムが格納される記憶装置である。通信部５３０は、ネットワークＮとの通信インタフェースである。入出力部５４０は、表示装置と入力装置を含む。入出力部５４０は、例えば、タッチパネルである。制御部５５０は、予約端末５００が有するハードウェアの制御を行う。制御部５５０は、記憶部５２０からプログラムをメモリへ読み込ませ、実行する。これにより、制御部５５０は、予約処理部５５１の機能を実現する。

予約処理部５５１は、ユーザＵ１４から利用を希望する店舗の所定条件の入力を受け付ける。また、予約処理部５５１は、カメラ５１０を制御してユーザＵ１４を撮影し、撮影画像（顔画像）を取得する。そして、予約処理部５５１は、所定条件と顔画像を含めた店舗情報の開示要求をネットワークＮを介してサーバ３００へ送信する。予約処理部５５１は、サーバ３００から対象店舗表示画像を受信した場合、入出力部５４０に表示する。予約処理部５５１は、ユーザＵ１４から店舗及び予約日時の指定を受け付けた場合、予約要求をサーバ３００へ送信する。予約処理部５５１は、予約に応じて発行された予約コードを受信した場合、予約コードを入出力部５４０に表示する。ユーザＵ１４は、ユーザ端末１０４のカメラ１１０で予約コードを撮影するなどして、ユーザ端末１０４内に予約コードを保存してもよい。

（予約店舗への来店（入店））
図３に戻り説明を続ける。ユーザＵ１５は、ユーザＵ１３又はＵ１４と同様の方法で、事前に店舗Ｃ２２の予約を行ったものとする。そして、店舗Ｃ２２側で、ユーザＵ１５の健康パスポートと健康状態情報が複数の健康条件を満たすことが確認された場合、ユーザＵ１５の入店が許可されるものとする。店舗端末６００は、店舗Ｃ２２内に設置され、店員Ｕ２２が操作する情報端末である。

図１２は、本実施形態２にかかる店舗端末６００の構成を示すブロック図である。店舗端末６００は、カメラ６１０、記憶部６２０、通信部６３０、入出力部６４０及び制御部６５０を備える。

カメラ６１０は、制御部６５０の制御に応じてユーザＵ１５の撮影を行う撮影装置である。記憶部６２０は、店舗端末６００の各機能を実現するためのプログラムが格納される記憶装置である。通信部６３０は、ネットワークＮとの通信インタフェースである。入出力部６４０は、表示装置と入力装置を含む。入出力部６４０は、例えば、タッチパネルである。制御部６５０は、店舗端末６００が有するハードウェアの制御を行う。制御部６５０は、記憶部６２０からプログラムをメモリへ読み込ませ、実行する。これにより、制御部６５０は、認証制御部６５１、表示制御部６５２、入店制御部６５３及び健康報告部６５４の機能を実現する。

認証制御部６５１は、店舗Ｃ２２に来店したユーザＵ１５の認証を制御する。例えば、認証制御部６５１は、カメラ６１０を制御してユーザＵ１５を撮影し、撮影画像（顔画像）を取得する。そして、認証制御部６５１は、撮影画像（顔画像）を含めた予約確認要求をサーバ３００へ送信する。ここで、予約確認要求には、店舗Ｃ２２の店舗ＩＤが含まれるものとする。

表示制御部６５２は、サーバ３００から予約確認要求の結果として、ユーザＵ１５の入店の許否に関する通知を受信し、入出力部６４０に表示する。例えば、表示制御部６５２は、ユーザＵ１５の感染症対策指標を入出力部６４０に表示する。尚、入出力部６４０は、店員Ｕ２２のみが閲覧可能とし、ユーザＵ１５には見えないようにしてもよい。

入店制御部６５３は、受信した通知に応じた入店制御を行う。例えば、通知が入店許可を示す場合、又は、感染症対策指標が第１のレベルである場合、入店制御部６５３は、入店ゲートを開く。また、通知が条件付き入店許可を示す場合、入店制御部６５３は、ユーザＵ１５に健康状態情報の要求を行ってもよい。また、通知が入店不許可を示す場合、入店制御部６５３は、入店ゲートを閉じたままにする。

健康報告部６５４は、通知が条件付き入店許可を示す場合、サーモカメラ（不図示）等からユーザＵ１５の体表面温度を健康状態情報として取得し、取得した健康状態情報をネットワークＮを介してサーバ３００へ送信する。尚、店員Ｕ２２が所定の体表面温度の測定器を用いて、ユーザＵ１５の体表面温度を測定し、店舗端末６００に測定値を入力してもよい。

図１６は、本実施形態２にかかる入店処理の流れを示すフローチャートである。まず、サーバ３００は、店舗端末６００からネットワークＮを介してユーザＵ１５の撮影画像を含む予約確認要求を取得する（Ｓ６０１）。そして、サーバ３００は、顔認証を制御する（Ｓ６０２）。具体的には、サーバ３００の認証制御部３４３は、予約確認要求に含まれる撮影画像（顔画像）を含めた顔認証要求を、ネットワークＮを介して認証装置２００へ送信する。そして、認証制御部３４３は、認証装置２００から顔認証結果を受信する。そして、判定部３４４は、顔認証に成功したか否かを判定する（Ｓ６０３）。

顔認証に失敗した場合（ステップＳ６０３でＮＯ）、サーバ３００は、入店不許可通知をネットワークＮを介して店舗端末６００へ送信する（Ｓ６１５）。これに応じて、店舗端末６００は、受信した入店不許可通知を入出力部６４０に表示するか、店員Ｕ２２にその旨を通知する。または、店舗端末６００は、ユーザＵ１５に対して入出力部６４０を介して入店不許可通知を表示しても良い。

顔認証に成功した場合（ステップＳ６０３でＹＥＳ）、判定部３４４は、予約情報の確認、並びに、健康パスポート及び健康状態情報の特定を行う（Ｓ６０４）。具体的には、判定部３４４は、記憶部３１０の中から、予約確認要求に含まれる店舗ＩＤ３１４１及び顔認証結果に含まれるユーザＩＤ３１４２の組合せを含む予約情報３１４を検索する。そして、該当する情報が検索された場合、判定部３４４は、予約情報３１４に含まれる予約日時３１４３や予約内容３１４４から、適切な予約が存在することを確認する。尚、予約情報が確認されない場合、ステップＳ６１５へ進むものとする。

併せて、判定部３４４は、顔認証結果に含まれるユーザＩＤ３１２１に対応付けられた健康パスポート３１２４及び健康状態情報３１２５を特定する。そして、判定部３４４は、健康パスポート及び健康状態情報が各健康条件の充足度を判定する（Ｓ６０５）。

その後、処理部３４５は、判定された充足度に基づいて、ユーザＵ１５の感染症対策指標を、決定する（Ｓ６０６）。ここでは、上述したように、処理部３４５は、第１から第３のレベルのいずれかを感染症対策指標として決定する。

そして、処理部３４５は、決定された感染症対策指標から、ユーザＵ１５が入店許可されるか否かを判定する（Ｓ６０７）。処理部３４５は、感染症対策指標が第１のレベル、つまり、複数の健康条件の全てを満たす場合、入店許可されると判定する。例えば、ユーザＵ１５の健康パスポートが有効であり、健康報告が定期的になされており、各健康状態情報に含まれる体表面温度が３７．５度以下である場合である。そしてこの場合（Ｓ６０７でＹＥＳ）、処理部３４５は、ステップＳ６０６で決定された感染症対策指標を含む入店許可通知をネットワークＮを介して店舗端末６００へ返信する（Ｓ６０８）。処理部３４５は、当該通知に、特定された健康パスポート及び健康報告の判定結果等を含めても良い。これに応じて、店舗端末６００の表示制御部６５２は、受信した入店許可通知を入出力部６４０に表示する。

図１７は、本実施形態２にかかる入店許可時の表示例を示す図である。判定結果表示画面７３は、顔画像７３１、ユーザ名７３２、健康パスポート状態７３３、有効期限７３４、健康報告状況７３５及び感染症対策指標７３６を含む。但し、判定結果表示画面７３の表示内容は、これらに限定されず、感染症対策指標７３６を含めばよい。顔画像７３１は、上記で認証制御部６５１が取得した撮影画像であるか、認証装置２００に登録されたユーザＵ１５の顔画像をサーバ３００を介して取得したものであってもよい。ユーザ名７３２は、サーバ３００に保存された個人情報３１２２に含まれるものをサーバ３００から取得したものであっても良い。健康パスポート状態７３３は、入店許可通知に含まれる健康パスポートの状態情報である。ここでは、健康パスポートが有効であることを示す。有効期限７３４は、入店許可通知に含まれる健康パスポートに有効期限が含まれている場合に表示される。ここでは、有効期限以内であるものとする。健康報告状況７３５は、入店許可通知に含まれる健康報告の判定結果である。ここでは、健康報告が定期的かつ適切になされていることを示す。感染症対策指標７３６は、入店許可通知に含まれる感染症対策指標の表示例を示す。ここでは、第１のレベルであることを示す。尚、感染症対策指標７３６は、青色で表示されてもよく、文字の代わりに、マーク等であってもよい。

図１６に戻り説明を続ける。ステップＳ６０７でＮＯと判定された場合、処理部３４５は、決定された感染症対策指標から、ユーザＵ１５が条件付きで入店許可されるか否かを判定する（Ｓ６０９）。処理部３４５は、感染症対策指標が第２のレベル、つまり、健康パスポートが有効であるが、健康報告が定期的になされていない（特に、直近の健康状態情報が保存されていない）場合、条件付きで入店許可されると判定する。例えば、第１の健康条件を満たすが、第２の健康条件を満たさない場合、処理部３４５は、条件付きで入店許可されると判定する。または、健康報告がされていても、日々の報告時刻にばらつきが大きい場合には、感染症対策指標が第２のレベルとなり、処理部３４５は、条件付きで入店許可されると判定してもよい。そしてこれらの場合（Ｓ６０９でＹＥＳ）、処理部３４５は、ステップＳ６０６で決定された感染症対策指標を含む入条件付き店許可通知をネットワークＮを介して店舗端末６００へ返信する（Ｓ６１０）。処理部３４５は、当該通知に、特定された健康パスポート及び健康報告の判定結果等を含めても良い。これに応じて、店舗端末６００の表示制御部６５２は、受信した条件付き入店許可通知を入出力部６４０に表示する。

図１８は、本実施形態２にかかる条件付き入店許可時の表示例を示す図である。判定結果表示画面７４は、図１７と比べて、健康報告状況７４５及び感染症対策指標７４６が変更され、メッセージ７４７が追加されたものである。健康報告状況７４５は、健康報告が定期的ではない、又は、適切になされていないことを示す。感染症対策指標７４６は、第２のレベルであることを示す。尚、感染症対策指標７４６は、黄色で表示されてもよく、文字の代わりに、マーク等であってもよい。メッセージ７４７は、「入店には現在の健康状態の報告が必要です！」といった、健康状態情報の要求をするメッセージである。これにより、店員Ｕ２２又はユーザＵ１５は、健康状態情報が不足しているために、入店ができないこと、及び、この場で体表面温度等を測定して問題なければ入店できることを把握できる。

そこで、店舗端末６００の健康報告部６５４は、サーモカメラ（不図示）等からユーザＵ１５の体表面温度を健康状態情報として取得し、取得した健康状態情報をネットワークＮを介してサーバ３００へ送信する。これに応じて、サーバ３００は、ユーザＵ１５の現在の健康状態情報を取得する（Ｓ６１１）。そして、サーバ３００の登録部３４１は、取得した健康状態情報３１２５をユーザＵ１５のユーザＩＤ３１２１に対応付けて追加で登録する（Ｓ６１２）。これにより、判定部３４４は、第２の健康条件を満たすものと判定する。また、本実施形態では、登録部３４１は、このように店舗端末６００等から取得した最新の健康状態情報を、健康報告として登録するものである。そのため、これ以後、同じ日に他の店舗等の利用先においては、当該ユーザについて第２の健康条件を満たすものと判定されるものとしてもよい。

その後、判定部３４４は、ステップＳ６１１で取得した健康状態情報が第３の健康条件（例えば、現在の体表面温度が３７．５度未満）を満たすか否かを判定する（Ｓ６１３）。第３の健康条件を満たす場合、処理部３４５は、複数の健康条件の全てを満たすと判定されたこととし、入店を許可し、ステップＳ６０８へ進む。一方、第３の健康条件を満たさない場合、処理部３４５は、入店を不許可とし、ステップＳ６１４へ進む。

ステップＳ６０９又はＳ６１３でＮＯと判定された場合及び、処理部３４５は、ステップＳ６０６で決定された感染症対策指標を含む入店不許可通知をネットワークＮを介して店舗端末６００へ返信する（Ｓ６１４）。処理部３４５は、当該通知に、特定された健康パスポート及び健康報告の判定結果等を含めても良い。さらに、ステップＳ６１４において、処理部３４５は、不許可の理由を入店不許可通知に含めても良い。これに応じて、店舗端末６００の表示制御部６５２は、受信した入店不許可通知を入出力部６４０に表示する。さらに、処理部３４５は、当該通知に、感染症の検査やワクチンの接種が可能な施設の案内情報を含めても良い。

図１９は、本実施形態２にかかる入店不許可時の表示例を示す図である。判定結果表示画面７５は、図１７と比べて、健康パスポート状態７５３及び感染症対策指標７５６が変更されたものである。健康パスポート状態７５３は、健康パスポートが無効であることを示す。尚、ステップＳ６１３でＮＯと判定された場合、健康パスポートが有効であるが、健康報告状況７３５の「ＯＫ」が「ＮＧ」等となる。感染症対策指標７５６は、第３のレベルであることを示す。尚、感染症対策指標７５６は、赤色で表示されてもよく、文字の代わりに、マーク等であってもよい。これにより、店員Ｕ２２又はユーザＵ１５は、健康パスポートが無効であるために入店ができないことを把握できる。

尚、図１４のステップＳ５０２や図１６のステップＳ６０２では、本人確認の認証として顔認証を行っていたが、上述したように、健康パスポートへの参照先情報を示すコード情報（例えば、二次元コード）を用いて本人確認の認証を行っても良い。例えば、ユーザ端末１０５等はコード情報を表示し、予約端末５００又は店舗端末６００は、コード情報を読み取る。例えば、予約端末５００は、所定条件と読み取ったコード情報を含めて店舗情報の開示要求をサーバ３００へ送信する。また、店舗端末６００は、コード情報を含めて予約確認要求をサーバ３００へ送信する。そして、サーバ３００は、受信した要求に含まれるコード情報の内容から本人確認の認証を行い、健康パスポートを特定してもよい。

このように、本実施形態により、健康パスポートにより渡航者が入国前に感染症の対策がなされていることを管理できる。そして、健康パスポートと定期的に報告された健康状態情報とを用いることで、現時点でのユーザの感染症対策及び健康状態を確認した上で、各地の利用先で渡航者を安全に受け入れることができる。また、渡航者も利用先の安全性指標を確認した上で、予約等、利用先の施設等を利用することができる。そのため、渡航者は、感染症の感染リスクの高い店舗の利用を避けることもできる。

さらに、サーバ３００は、各店舗からリアルタイムに混雑度情報を取得し、店舗情報３１３の安全レート３１３４を更新してもよい。また、サーバ３００は、店舗を特定する際に、安全レートが高くかつリアルタイムな混雑度が低い店舗を優先順位を高くして特定してもよい。または、サーバ３００は、各店舗の位置に安全レートと共に混雑度を表示してもよい。また、サーバ３００は、安全レートが所定値より高い店舗だけを特定してもよい。また、サーバ３００は、各店舗からリアルタイムに取得した混雑度情報に応じて、リアルタイムに安全レートを更新してもよい。

尚、情報処理システム１０００は、店舗Ｃ２２の代わりに他の施設（ホテル、映画館、スタジアム等）の予約や利用許可に適用してもよい。例えば、ホテルの予約時やチェックイン時に、健康パスポート又は健康報告に問題あると、ホテルの予約やチェックインを不可としてもよい。

＜実施形態３＞
本実施形態３は、上述した実施形態２の変形例である。本実施形態３は、予約をせずに店舗Ｃ２２に来店した場合に、健康パスポートと健康状態情報を用いて入店可否を判定するものである。

図２０は、本実施形態３にかかる入店処理の流れを示すシーケンス図である。ここでは、ユーザＵ１５は、店舗Ｃ２２の予約を行っていないものとする。まず、ユーザ端末１０５は、ユーザＵ１５の操作に応じてユーザＵ１５を撮影し、撮影画像（顔画像）を含めて健康証明要求をネットワークＮを介してサーバ３００へ送信する（Ｓ７０１）。

そして、サーバ３００は、受信した健康証明要求に含まれる顔画像を取得し、顔画像を含めた顔認証要求をネットワークＮを介して認証装置２００へ送信する（Ｓ７０２）。これに応じて、認証装置２００は、受信した顔認証要求に含まれる顔画像について、顔認証処理を行う（Ｓ７０３）。ここでは、顔認証に成功したものとする。そこで、認証装置２００は、顔認証成功の旨とユーザＩＤを含む顔認証結果をネットワークＮを介してサーバ３００へ送信する（Ｓ７０４）。

サーバ３００は、受信した顔認証結果に含まれるユーザＩＤに基づいて、健康パスポート及び健康状態情報を特定する（Ｓ７０５）。そして、サーバ３００は、特定した健康パスポート及び健康状態情報に基づいて、各健康条件の充足度を判定する（Ｓ７０６）。ここでは、全ての健康条件を満たすものとし、サーバ３００は、健康証明情報（コード情報）を発行する（Ｓ７０７）。そして、サーバ３００は、発行した健康証明情報（コード情報）をネットワークＮを介してユーザ端末１０５へ送信する（Ｓ７０８）。

ユーザ端末１０５は、受信したコード情報を画面に表示する（Ｓ７０９）。そして、ユーザＵ１５は、ユーザ端末１０５に表示したコード情報を店舗端末６００に提示する。そのため、店舗端末６００は、コード情報を読み取る（Ｓ７１０）。店舗端末６００は、読み取ったコード情報を解析し、コード情報がユーザＵ１５の健康パスポート及び健康状態に問題ないこと確認する（Ｓ７１１）。例えば、店舗端末６００は、コード情報にサーバ３００のデジタル署名が含まれている場合に、問題ないことを確認する。または、店舗端末６００は、コード情報をサーバ３００へ送信し、サーバ３００による検証結果を取得してもよい。その後、店舗端末６００は、入店許可の制御を行う（Ｓ７１２）。例えば、店舗端末６００は、入店ゲートを開く。

尚、本実施形態３にかかる入店処理において、ユーザ端末とサーバの直接のやり取りの代わりに、店舗端末とサーバのやり取りに置き換えても良い。例えば、図２０のステップＳ７０１において、ユーザ端末１０５は、健康証明要求を近距離無線通信等により店舗端末６００へ送信してもよい。そして、店舗端末６００は、健康証明要求をネットワークＮを介してサーバ３００へ送信する。その後、ステップＳ７０６の後、サーバ３００は、上述した図１６のＳ６０７からＳ６１４の処理を行うようにしてもよい。これにより、図２０のステップＳ７０７からＳ７１１を省略でき、ユーザ端末の処理やユーザの操作を簡略化できる。さらに、ステップＳ７０１の代わりに、店舗端末６００は、予約をせずに来店したユーザＵ１５の顔を撮影し、撮影画像を含めた健康証明要求をサーバ３００へ送信してもよい。この場合、ユーザＵ１５は、店舗Ｃ２２でのユーザ端末１０５の操作が不要となる。

尚、図２０のステップＳ７０２からＳ７０４では、本人確認の認証として顔認証を行っていたが、上述したように、健康パスポートへの参照先情報を示すコード情報（例えば、二次元コード）を用いて本人確認の認証を行っても良い。例えば、ユーザ端末１０５等はコード情報を表示し、店舗端末６００は、コード情報を読み取る。例えば、店舗端末６００は、（顔画像を含めず）読み取ったコード情報を含めて健康証明要求をサーバ３００へ送信する。そして、サーバ３００は、受信した要求に含まれるコード情報の内容から本人確認の認証を行い、健康パスポートを特定してもよい。

このように、本実施形態３では、事前に来店予約を行っていない場合でも、実施形態２と同様の効果を奏することができる。

＜実施形態４＞
本実施形態４は、上述した実施形態２又は３の変形例である。本実施形態４では、ユーザ端末が健康パスポート及び健康状態情報を管理する。そして、予約時や来店時に、ユーザ端末は、本人確認情報、健康パスポート及び健康状態情報を予約端末や店舗端末等の認証端末に直接、送信する。そして、認証端末は、本人確認の認証や、健康パスポート及び健康状態情報の判定、判定結果に応じた処理を行う。そのため、本実施形態４にかかるサーバ３００は、記憶部３１０にユーザ管理情報３１２を保存する必要がない。よって、渡航者等の個人情報をより安全に保護することができる。

図２１は、本実施形態４にかかるユーザ端末１０１ａの構成を示すブロック図である。ユーザ端末１０１ａは、図８のユーザ端末１０１を改良したものである。具体的には、ユーザ端末１０１ａの記憶部１２０は、プログラム１２１及びユーザ管理情報１２２を記憶する。プログラム１２１は、実施形態２のユーザ端末１０１にインストールされていたプログラムを、本実施形態４向けに改良した処理が実装されたものである。ユーザ管理情報１２２は、上述したユーザ管理情報３１２に相当する情報に、顔画像１２２７、パスポート情報１２２８及び航空券情報１２２９が追加されたものである。尚、ユーザＩＤ１２２１、個人情報１２２２、証明情報１２２３、健康パスポート１２２４、健康状態情報１２２５及び行動履歴１２２６は、ユーザ管理情報３１２内の構成と同等である。顔画像１２２７は、健康パスポート１２２４の発行のために登録された、ユーザの撮影画像である。パスポート情報１２２８は、ユーザの旅券の電子データである。航空券情報１２２９は、ユーザの第一国Ｃ１と第二国Ｃ２の間の往復又は片道の航空券の電子データである。メモリ１６０は、図８では図示を省略していたものであり、揮発性記憶装置の一例である。

ユーザ端末１０１ａの制御部１５０は、記憶部１２０からメモリ１６０へプログラム１２１を読み込ませ、実行する。これにより、制御部１５０は、発行部１５１ａ、健康パスポート処理部１５２ａ、健康報告部１５３ａ、予約処理部１５４ａ、登録部１５５及びトークン処理部１５６の機能を実現する。

登録部１５５は、ユーザＵ１１の操作に応じて、カメラ１１０を制御してユーザＵ１１を撮影し、顔画像１２２７を取得する。また、登録部１５５は、ユーザＵ１１により入力された個人情報１２２２及び証明情報１２２３の入力を受け付ける。そして、登録部１５５は、ユーザＩＤ１２２１を発行し、ユーザＩＤ１２２１、個人情報１２２２、証明情報１２２３及び顔画像１２２７を対応付けてユーザ管理情報１２２として記憶部１２０に登録する。登録部１５５は、入国審査端末４００ａ、予約端末５００ａ又は店舗端末６００ａ等による認証処理の認証履歴を行動履歴１２２６としてユーザＩＤ１２２１と対応付けてユーザ管理情報１２２として記憶部１２０に登録する。尚、登録部１５５は、ユーザ端末１０１ａが受信したＧＰＳ情報を行動履歴１２２６としてもよい。

発行部１５１ａは、証明情報１２２３に基づいてユーザＵ１１の有効な健康パスポート１２２４を発行し、ユーザＩＤ１２２１と健康パスポート１２２４を対応付けてユーザ管理情報１２２を更新する。

健康パスポート処理部１５２ａは、ユーザＵ１１による健康パスポートの表示操作に応じて、カメラ１１０により撮影された撮影画像と、記憶部１２０に登録された顔画像１２２７との照合により顔認証を行う。顔認証に成功した場合、健康パスポート処理部１５２ａは、健康パスポート１２２４を読み出し、入出力部１４０に健康パスポート１２２４を表示する。

健康報告部１５３ａは、ユーザＵ１１により入力された健康状態情報を受け付け、ユーザＩＤ１２２１と健康状態情報１２２５を対応付けてユーザ管理情報１２２を更新して、記憶部１２０に登録する。尚、健康パスポート処理部１５２ａは、一定期間以上、健康状態を受け付けなかった（第２の健康条件を満たさない）場合や、受け付けた健康状態情報１２２５が第３の健康条件を満たさない場合、健康パスポート１２２４を無効として更新してもよい。

予約処理部１５４ａは、ユーザＵ１１から店舗及び予約日時の指定を受け付けた場合、予約要求を予約端末５００ａへ送信する。

トークン処理部１５６は、記憶部１２０に登録された健康パスポート１２２４、顔画像１２２７、パスポート情報１２２８及び航空券情報１２２９から第１のトークン情報を生成する。そして、トークン処理部１５６は、入国審査端末４００ａへ第１のトークン情報を送信する。このとき、トークン処理部１５６は、無線通信（ブルートゥース（登録商標）、ＮＦＣ（Near field communication）等）により第１のトークン情報を入国審査端末４００ａへ送信してもよい。または、トークン処理部１５６は、ユーザ端末１０１ａのＧＰＳ情報等の位置情報が、入国審査端末４００ａの所定圏内であると判定した場合に、無線通信により第１のトークン情報を入国審査端末４００ａへ送信してもよい。

また、トークン処理部１５６は、記憶部１２０に登録された健康パスポート１２２４、健康状態情報１２２５（、行動履歴１２２６）及び顔画像１２２７から第２のトークン情報を生成する。そして、トークン処理部１５６は、予約端末５００ａ又は店舗端末６００ａへ第２のトークン情報を送信する。送信の仕方は、上記同様、無線通信であってもよい。

図２２は、本実施形態４にかかる入国審査端末４００ａの構成を示すブロック図である。入国審査端末４００ａは、図１０の入国審査端末４００と比べて、健康パスポート処理部４５１ａが変更され、トークン処理部４５２及び認証制御部４５３が追加されたものである。

トークン処理部４５２は、ユーザ端末１０１ａから第１のトークンを受信し、第１のトークンから健康パスポート、顔画像、パスポート情報及び航空券情報を抽出する。また、トークン処理部４５２は、入国審査の終了後、又は、一定期間の経過後に、第１のトークンや抽出した情報を削除する。

認証制御部４５３は、カメラ４１０を制御してユーザＵ１２を撮影し、撮影画像（顔画像）を取得する。そして、認証制御部４５３は、取得した撮影画像（第１の本人確認情報）と、抽出された顔画像（第２の本人確認情報）とを照合して顔認証を行う。

健康パスポート処理部４５１ａは、顔認証に成功した場合、抽出された健康パスポート、パスポート情報、航空券情報を入出力部４４０に表示させる。これにより、入国審査官Ｕ２１は、表示内容に基づき入国審査を行える。特に、入国審査官Ｕ２１は、健康パスポートが有効を示す場合、入国審査官Ｕ２１の入国を許可できる。

図２３は、本実施形態４にかかる予約端末５００ａの構成を示すブロック図である。予約端末５００ａは、図１１の予約端末５００と比べて、トークン処理部５５２、認証制御部５５３及び判定部５５４が追加されたものである。トークン処理部５５２は、ユーザ端末１０１ａから第２のトークンを受信し、第２のトークンから健康パスポート、健康状態情報（、行動履歴）及び顔画像を抽出する。また、トークン処理部５５２は、予約処理の終了後、又は、一定期間の経過後に、第２のトークンや抽出した情報を削除する。

認証制御部５５３は、カメラ５１０を制御してユーザＵ１４を撮影し、撮影画像（顔画像）を取得する。そして、認証制御部５５３は、取得した撮影画像（第１の本人確認情報）と、抽出された顔画像（第２の本人確認情報）とを照合して顔認証を行う。

判定部５５４は、顔認証に成功した場合、抽出された健康パスポート、健康状態情報（、行動履歴）に基づき、複数の健康条件のそれぞれを満たすか否かを判定する。

予約処理部５５１は、健康条件の全てを満たす場合、予約可能通知を出力する。尚、予約処理部５５１の他の機能は、図１１の予約端末５００と同様である。

図２４は、本実施形態４にかかる店舗端末６００ａの構成を示すブロック図である。店舗端末６００ａは、図１２の店舗端末６００と比べて、認証制御部６５１ａ及び入店制御部６５３ａが変更され、トークン処理部６５５及び判定部６５６が追加され、健康報告部６５４が削除されたものである。

トークン処理部６５５は、ユーザ端末１０１ａから第２のトークンを受信し、第２のトークンから健康パスポート、健康状態情報（、行動履歴）及び顔画像を抽出する。また、トークン処理部６５５は、入店処理の終了後、又は、一定期間の経過後に、第２のトークンや抽出した情報を削除する。

認証制御部６５１ａは、カメラ６１０を制御してユーザＵ１５を撮影し、撮影画像（顔画像）を取得する。そして、認証制御部６５１ａは、取得した撮影画像（第１の本人確認情報）と、抽出された顔画像（第２の本人確認情報）とを照合して顔認証を行う。

判定部６５６は、顔認証に成功した場合、抽出された健康パスポート、健康状態情報（、行動履歴）に基づき、複数の健康条件のそれぞれを満たすか否かを判定する。

入店制御部６５３ａは、判定部６５６による判定結果に基づきユーザＵ１５の感染症対策指標を決定する。また、入店制御部６５３ａは、顔認証に成功したユーザが自己の店舗に予約していることをサーバ３００に確認する。入店制御部６５３ａは、予約が確認できた場合、決定した感染症対策指標に応じた通知を行う。

尚、上述したトークン処理部４５２、５５２及び６５５は、ユーザ端末に保存された第２の本人確認情報を当該ユーザ端末から取得する取得部である。

図２５は、本実施形態４にかかる店舗の予約処理の流れを示すシーケンス図である。ここでは、ユーザＵ１４は、ユーザ端末１０１ａと同等の機能を有するユーザ端末１０４ａ（不図示）を所持した上で、予約端末５００ａの前にいるものとする。まず、ユーザ端末１０４ａのトークン処理部１５６は、上述したように第２のトークン情報を生成する（Ｓ８０１）。そして、トークン処理部１５６は、予約端末５００ａへ第２のトークン情報を送信する（Ｓ８０２）。これに応じて、予約端末５００ａのトークン処理部５５２は、第２のトークン情報を受信する。

そして、トークン処理部５５２は、受信した第２のトークン情報を解析し、健康パスポート、健康状態情報及び顔画像を抽出する（Ｓ８０３）。続いて、認証制御部５５３は、カメラ５１０を制御してユーザＵ１４を撮影して撮影画像を取得する（Ｓ８０４）。そして、認証制御部５５３は、取得した撮影画像と、抽出された顔画像とを照合して顔認証処理を行う（Ｓ８０５）。

判定部５５４は、顔認証に成功した場合、抽出された健康パスポート、健康状態情報に基づき、複数の健康条件のそれぞれを満たすか否かを判定する（Ｓ８０６）。判定部５５４は、判定結果（充足度）を記憶部５２０に保持しても良い。

予約処理部５５１は、健康条件の全てを満たす場合、ユーザ端末１０４ａへ予約可能通知を出力する（Ｓ８０７）。尚、予約処理部５５１は、予約可能通知を入出力部５４０に表示しても良い。

その後、ユーザ端末１０４ａの予約処理部１５４ａは、ユーザＵ１４の操作に応じて、店舗情報の開示要求を予約端末５００ａへ送信する（Ｓ８０８）。尚、ユーザＵ１４は、予約端末５００ａの入出力部５４０をに対して、所定条件を入力し、店舗情報の開示要求を行っても良い。

予約端末５００ａの予約処理部５５１は、開示要求の受付に応じて、顔認証に成功したユーザの顔画像と所定条件を含めた店舗情報の開示要求をネットワークＮを介してサーバ３００へ送信する（Ｓ８０８）。サーバ３００は、図１４のステップＳ５０６からＳ５０８の処理を行う（Ｓ８０９）。そして、予約処理部５５１は、サーバ３００から対象店舗表示画像を受信する（Ｓ８１０）。予約処理部５５１は、受信した対象店舗表示画像を入出力部５４０に表示する（Ｓ８１１）。予約処理部５５１は、ユーザＵ１４から入出力部５４０を介して、店舗及び予約日時の指定（予約要求）を受け付ける（Ｓ８１２）。そして、予約処理部５５１は、予約要求をネットワークＮを介してサーバ３００へ送信する（Ｓ８１３）。サーバ３００は、受信した予約要求に応じた予約情報を登録する（Ｓ８１４）。その後、トークン処理部５５２は、第２のトークンや抽出した情報を削除する。

尚、図２５の店舗の予約処理では、先に本人確認の認証（顔認証）及び健康条件の充足度を判定した後に、店舗情報（安全レート）の開示を行っているが、これに限定されない。例えば、ユーザに対して（本人確認なしに）各店舗の安全レートを表示し、ユーザが安全レートを見た上で、予約を行った際に本人確認の認証及び健康条件の充足度を判定を行うようにしてもよい。具体的には、図２５において、店舗情報開示要求（Ｓ８０８）から開始し、ユーザから予約を受け付けた（Ｓ８１３）後に、ステップＳ８０１からＳ８０６を実行し、健康条件の全てを満たす場合に、予約要求（Ｓ８１４）を行っても良い。

図２６は、本実施形態４にかかる入店処理の流れを示すシーケンス図である。ここでは、ユーザＵ１５は、ユーザ端末１０１ａと同等の機能を有するユーザ端末１０５ａ（不図示）を所持した上で、店舗端末６００ａの前にいるものとする。また、ユーザＵ１５は、図２５と同様の方法で、事前に店舗Ｃ２２の予約を行ったものとする。

まず、ユーザ端末１０５ａと店舗端末６００ａは、図２５のステップＳ８０１からＳ８０８と同様の処理を行う（Ｓ９０１）。次に、店舗端末６００ａの入店制御部６５３ａは、判定部６５６による判定結果に基づきユーザＵ１５の感染症対策指標を決定する（Ｓ９０２）。そして、入店制御部６５３ａは、顔認証に成功したユーザＵ１５が店舗Ｃ２２に予約していることを確認するための予約確認要求をネットワークＮを介してサーバ３００に送信する（Ｓ９０３）。具体的には、入店制御部６５３ａは、店舗Ｃ２２の店舗ＩＤと顔認証に成功したユーザＵ１５のユーザＩＤとを含めた予約確認要求を送信する。サーバ３００は、受信した予約確認要求に基づき予約情報の確認を行う（Ｓ９０４）。予約が確認できた場合、サーバ３００は、予約確認通知をネットワークＮを介して店舗端末６００ａへ送信する（Ｓ９０５）。店舗端末６００ａの入店制御部６５３ａは、受信した予約確認通知に基づき、感染症対策指標を含めた入店許可通知をユーザ端末１０５ａへ出力する（Ｓ９０６）。尚、入店制御部６５３ａは、感染症対策指標を含めた入店許可通知を入出力部６４０に表示しても良い。また、入店制御部６５３ａは、入店許可通知に応じて、入店ゲートを開いても良い。その後、トークン処理部６５５は、第２のトークンや抽出した情報を削除する。

このように、本実施形態４では、上述した実施形態２又は３と同等の効果を奏することができる。さらに、本実施形態４では、ユーザ端末が健康パスポート及び健康状態情報を管理し、認証時に認証端末へトークン情報を送信するものである。そして、認証端末は、認証等の処理終了後にトークン情報を削除する。そのため、サーバは、健康パスポート及び健康状態情報を管理する必要がない。よって、ユーザの個人情報をより安全に保護することができる。

＜実施形態５＞
本実施形態５は、上述した実施形態２の変形例である。本実施形態５では、利用先としてタクシー等の旅客運送車を対象とするものである。この際、実施形態２の店舗の予約のように、タクシーの配車要求による予約時に、配車要求者（ユーザ）の健康パスポート及び健康状態情報が複数の健康条件を満たす場合に、予約を受け付けるようにできる。また、予約時に、タクシーの安全レートを確認した上で、ユーザは予約を行うことができる。そして、配車されたタクシーの乗車時に、タクシー側が乗客（ユーザの）について健康パスポート及び健康状態情報が複数の健康条件を満たすことを条件に、乗車を許可するようにできる。

その上で、タクシーの運転手についても、健康パスポート及び健康状態情報をサーバに登録しておき、乗客がタクシーの予約時及び乗車時に、運転手の健康パスポート及び健康状態情報の健康条件の充足度合いを確認できるようにしてもよい。つまり、タクシーの運転手と利用者の双方で、感染症対策指標を確認できるようにしてもよい。

例えば、タクシーの運転手は、第二国Ｃ２規定の検査機関で感染症の検査かワクチン接種を行う。そして、サーバは、実施形態２のように、運転手の健康パスポートを発行し、登録する。その後、運転手は、定期的に健康報告をサーバに行い、サーバは、運転手の健康パスポートと対応付けて健康状態情報を登録する。

そして、サーバは、図１４の店舗予約の代わりに、ユーザからタクシーの配車要求を受け付ける。その際、サーバは、ユーザの健康パスポート及び健康状態情報が複数の健康条件を満たさない場合に、配車要求を拒否する。ユーザが健康条件を満たす場合、サーバは、配車対象のタクシーの運転手の健康パスポート及び健康状態情報が複数の健康条件を満たさない場合に、当該タクシーを配車対象から除外する。サーバは、複数の配車対象のタクシーについて、各運転手の感染症対策指標を決定する。そして、サーバは、各タクシーの安全レートと共に、各運転手の感染症対策指標をユーザに対して提示する。ユーザは、提示された配車候補のタクシーの中から希望のタクシーを選択して予約する。これに応じて、サーバは、選択されたタクシーに対して迎車指示を行う。

タクシーがユーザの指定位置に到着し、乗車する際に、タクシーの端末は、実施形態２の店舗端末６００と同等の処理を行い、サーバからユーザの健康パスポート及び健康状態情報から決定された感染症対策指標を受け付ける。運転手は、ユーザの感染症対策指標に応じて乗車の受入れ又は拒否を判断できる。同様に、ユーザは、乗車時に、サーバから当該タクシーの安全レート及び運転手の感染症対策指標を受け付ける。そのため、ユーザは、安全レート及び感染症対策指標を確認した上で、乗車できる。

尚、本実施形態５は、タクシー専業者に限らず、自動車配車アプリの登録者である運転手に適用してもよい。

本実施形態５により、乗客だけでなく、運転手の感染症対策指標を確認できるため、乗客及び運転手が共に、安心して利用及び受入れをすることができる。

＜実施形態６＞
本実施形態６は、上述した実施形態２，３及び５の変形例である。本実施形態６は、生体認証機能をサーバ３００に内蔵させたものである。例えば、本実施形態６にかかるサーバ３００は、ユーザ管理情報３１２のユーザＩＤ３１２１に、ユーザの顔画像又は顔特徴情報をさらに対応付けて保存するものである。そして、本実施形態６にかかるサーバ３００の認証制御部３４３は、複数の人物の顔特徴情報と認証対象のユーザの顔特徴情報とを照合して顔認証を制御する。すなわち、認証制御部３４３は、ユーザの顔領域から抽出された顔特徴情報と、記憶部３１０に記憶された顔特徴情報とを照合して顔認証を行うことにより、顔認証結果を取得する。

このように、本実施形態６においても上述した実施形態２と同様の効果を奏することができる。そのため、実施形態３及び５にかかるサーバに対しても同様の改良を行うことで、実施形態２と同様の効果を奏することができる。

＜その他の実施形態＞
尚、上述の実施形態では、ハードウェアの構成として説明したが、これに限定されるものではない。本開示は、任意の処理を、ＣＰＵにコンピュータプログラムを実行させることにより実現することも可能である。

上述の例において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、ＤＶＤ（Digital Versatile Disc）、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

なお、本開示は上記実施形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。また、本開示は、それぞれの実施形態を適宜組み合わせて実施されてもよい。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
（付記１）
所定のユーザにおける所定の感染症に対する対策の証明情報に基づき発行された健康パスポートと、当該発行以後の当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録手段と、
前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御手段と、
前記認証に成功した場合に、当該認証に成功したユーザに対応付けられた前記健康パスポート及び前記健康状態情報に基づき、複数の健康条件のそれぞれを満たすか否かを判定する判定手段と、
前記健康条件の判定結果に応じた処理を行う処理手段と、
を備える情報処理装置。
（付記２）
前記複数の健康条件は、前記健康パスポートが有効であること、前記健康状態情報が所定間隔で登録されていること、及び、各健康状態情報が示す前記ユーザの体調が所定条件を満たすことを含む
付記１に記載の情報処理装置。
（付記３）
前記処理手段は、
前記複数の健康条件の充足度に応じて、前記ユーザの感染症対策指標を決定し、
前記決定された感染症対策指標の出力を前記処理として行う
付記１又は２に記載の情報処理装置。
（付記４）
前記処理手段は、所定期間における前記ユーザの滞在国をさらに加味して、前記感染症対策指標を決定する
付記３に記載の情報処理装置。
（付記５）
前記処理手段は、前記ユーザの滞在国に特定国が含まれる場合、前記感染症対策指標のレベルが低くなるように決定する
付記４に記載の情報処理装置。
（付記６）
前記処理手段は、
前記複数の健康条件の全てを満たす場合に、前記ユーザにおける所定の利用先の利用許可の出力を前記処理として行う
付記１乃至５のいずれか１項に記載の情報処理装置。
（付記７）
前記処理手段は、
前記ユーザから所定の利用先の利用予約を受け付けた際に、前記複数の健康条件の全てを満たす場合、当該利用先の利用予約を前記処理として行う
付記１乃至６のいずれか１項に記載の情報処理装置。
（付記８）
複数の利用先における前記感染症に対する安全性指標を記憶する記憶手段をさらに備え、
前記処理手段は、前記複数の健康条件の全てを満たす場合、前記ユーザに対して各利用先における前記安全性指標を出力する
付記１乃至７のいずれか１項に記載の情報処理装置。
（付記９）
前記処理手段は、前記出力された安全性指標に基づき前記ユーザにより利用先が指定された場合、当該利用先への利用予約を前記処理として行う
付記８に記載の情報処理装置。
（付記１０）
前記処理手段は、
前記判定結果が、前記健康パスポートが有効であるが、前記健康状態情報が所定間隔で登録されていないことを示す場合、前記ユーザから現在の前記健康状態情報を取得し、
前記登録手段は、前記取得した健康状態情報を前記ユーザに対応付けて登録する
付記１乃至９のいずれか１項に記載の情報処理装置。
（付記１１）
前記判定手段は、
前記取得した健康状態情報が前記所定条件を満たす場合、前記複数の健康条件の全てを満たすと判定する
付記１０に記載の情報処理装置。
（付記１２）
前記登録手段は、前記健康パスポートの発行以後の前記ユーザの行動履歴をさらに登録し、
前記判定手段は、
外部から取得された前記感染症の感染者の情報と前記ユーザの行動履歴とに基づいて、前記ユーザが当該感染者の濃厚接触者か否かを判定し、
前記処理手段は、前記ユーザが前記濃厚接触者と判定された場合、当該ユーザに対応付けられた前記健康パスポートを無効として更新する
付記１乃至１１のいずれか１項に記載の情報処理装置。
（付記１３）
前記判定手段は、
前記証明情報が示す前記感染症の対策がワクチン接種であり、かつ、前記健康パスポートが有効である場合、前記ユーザが前記濃厚接触者ではないと判定する
付記１２に記載の情報処理装置。
（付記１４）
前記健康パスポートは、少なくとも前記感染症に対する対策の実施日を含み、
前記判定手段は、前記健康パスポートに含まれる前記実施日が所定期間以内である場合、当該健康パスポートを有効と判定する
付記１乃至１３のいずれか１項に記載の情報処理装置。
（付記１５）
前記健康パスポートは、
前記ユーザに対して第一国において行われた前記感染症に対する対策の証明情報に基づき発行され、
前記健康状態情報は、
前記健康パスポートが有効である間に第二国に入国した前記ユーザにおける、当該第二国に滞在中の健康状態を示す情報である
付記１乃至１４のいずれか１項に記載の情報処理装置。
（付記１６）
前記感染症に対する対策は、検査又はワクチンの接種の少なくともいずれかであり、
前記証明情報は、前記検査の種類及び検査日、又は、前記ワクチンの種類及び接種日の少なくともいずれかを含む
付記１乃至１５のいずれか１項に記載の情報処理装置。
（付記１７）
前記ユーザの端末に保存された第２の本人確認情報を当該端末から取得する取得手段をさらに備え、
前記認証制御手段は、前記認証を行う際に、前記ユーザから取得された前記第１の本人確認情報と、前記取得手段により取得された前記第２の本人確認情報とを照合することにより、前記認証を制御する
付記１乃至１６のいずれか１項に記載の情報処理装置。
（付記１８）
所定のユーザにおける所定の感染症に対する対策の証明情報に基づき発行された健康パスポートと、当該発行以後の当該ユーザの健康状態情報と、当該ユーザの第１の本人確認情報とを対応付けて記憶するユーザ端末と、
前記ユーザ端末と通信可能に接続された認証端末と、
を備え、
前記ユーザ端末は、前記健康パスポートと前記健康状態情報と前記第１の本人確認情報とを前記認証端末へ送信し、
前記認証端末は、
前記ユーザから第２の本人確認情報を取得し、
前記ユーザ端末から受信した前記第１の本人確認情報と前記第２の本人確認情報との照合により認証を制御し、
前記認証に成功した場合に、前記ユーザ端末から受信した前記健康パスポートと前記健康状態情報とに基づき、複数の健康条件のそれぞれを満たすか否かを判定し、
前記健康条件の判定結果に応じた処理を行う
情報処理システム。
（付記１９）
前記複数の健康条件は、前記健康パスポートが有効であること、前記健康状態情報が所定間隔で登録されていること、及び、各健康状態情報が示す前記ユーザの体調が所定条件を満たすことを含む
付記１７に記載の情報処理システム。
（付記２０）
コンピュータが、
所定のユーザにおける所定の感染症に対する対策の証明情報に基づき発行された健康パスポートと、当該発行以後の当該ユーザの健康状態情報とを当該ユーザに対応付けて登録し、
前記ユーザから取得された第１の本人確認情報についての認証を制御し、
前記認証に成功した場合に、当該認証に成功したユーザに対応付けられた前記健康パスポート及び前記健康状態情報に基づき、複数の健康条件のそれぞれを満たすか否かを判定し、
前記健康条件の判定結果に応じた処理を行う、
情報処理方法。
（付記２１）
所定のユーザにおける所定の感染症に対する対策の証明情報に基づき発行された健康パスポートと、当該発行以後の当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録処理と、
前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御処理と、
前記認証に成功した場合に、当該認証に成功したユーザに対応付けられた前記健康パスポート及び前記健康状態情報に基づき、複数の健康条件のそれぞれを満たすか否かを判定する判定処理と、
前記健康条件の判定結果に応じた処理と、
をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。

以上、実施形態（及び実施例）を参照して本願発明を説明したが、本願発明は上記実施形態（及び実施例）に限定されものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

１ 情報処理装置
１１ 登録部
１２ 認証制御部
１３ 判定部
１４ 処理部
１０００ 情報処理システム
Ｃ１ 第一国
Ｃ２ 第二国
Ｃ２１ 空港
Ｃ２２ 店舗
Ｕ１１ ユーザ
Ｕ１２ ユーザ
Ｕ１３ ユーザ
Ｕ１４ ユーザ
Ｕ１５ ユーザ
Ｕ２１ 入国審査官
Ｕ２２ 店員
Ｎ ネットワーク
１０１ ユーザ端末
１０１ａ ユーザ端末
１０２ ユーザ端末
１０３ ユーザ端末
１０４ ユーザ端末
１０５ ユーザ端末
１１０ カメラ
１２０ 記憶部
１２１ プログラム
１２２ ユーザ管理情報
１２２１ ユーザＩＤ
１２２２ 個人情報
１２２３ 証明情報
１２２４ 健康パスポート
１２２５ 健康状態情報
１２２６ 行動履歴
１２２７ 顔画像
１２２８ パスポート情報
１２２９ 航空券情報
１３０ 通信部
１４０ 入出力部
１５０ 制御部
１５１ 発行要求部
１５２ 健康パスポート処理部
１５３ 健康報告部
１５４ 予約処理部
１５１ａ 発行部
１５２ａ 健康パスポート処理部
１５３ａ 健康報告部
１５４ａ 予約処理部
１５５ 登録部
１５６ トークン処理部
１６０ メモリ
２００ 認証装置
２１０ 顔情報ＤＢ
２１１ ユーザＩＤ
２１２ 顔特徴情報
２２０ 顔検出部
２３０ 特徴点抽出部
２４０ 登録部
２５０ 認証部
３００ サーバ
３１０ 記憶部
３１１ プログラム
３１２ ユーザ管理情報
３１２１ ユーザＩＤ
３１２２ 個人情報
３１２３ 証明情報
３１２４ 健康パスポート
３１２５ 健康状態情報
３１２６ 行動履歴
３１３ 店舗情報
３１３１ 店舗ＩＤ
３１３２ 詳細情報
３１３３ 位置情報
３１３４ 安全レート
３１４ 予約情報
３１４１ 店舗ＩＤ
３１４２ ユーザＩＤ
３１４３ 予約日時
３１４４ 予約内容
３２０ メモリ
３３０ 通信部
３４０ 制御部
３４１ 登録部
３４２ 発行部
３４３ 認証制御部
３４４ 判定部
３４５ 処理部
４００ 入国審査端末
４００ａ 入国審査端末
４１０ カメラ
４２０ 記憶部
４３０ 通信部
４４０ 入出力部
４５０ 制御部
４５１ 健康パスポート処理部
４５１ａ 健康パスポート処理部
４５２ トークン処理部
４５３ 認証制御部
５００ 予約端末
５００ａ 予約端末
５１０ カメラ
５２０ 記憶部
５３０ 通信部
５４０ 入出力部
５５０ 制御部
５５１ 予約処理部
５５２ トークン処理部
５５３ 認証制御部
５５４ 判定部
６００ 店舗端末
６００ａ 店舗端末
６１０ カメラ
６２０ 記憶部
６３０ 通信部
６４０ 入出力部
６５０ 制御部
６５１ 認証制御部
６５１ａ 認証制御部
６５２ 表示制御部
６５３ 入店制御部
６５３ａ 入店制御部
６５４ 健康報告部
６５５ トークン処理部
６５６ 判定部
７１ 健康パスポート表示画面
７１１ 顔画像
７１２ ユーザ名
７１３ 健康パスポート状態
７１４ 有効期限
７１５ コード表示ボタン
７２ 対象店舗表示画面
７２１ 対象店舗
７２２ 対象店舗
７２３ 対象店舗
Ｒ１ 安全レート
Ｒ２ 安全レート
Ｒ３ 安全レート
７３ 判定結果表示画面
７３１ 顔画像
７３２ ユーザ名
７３３ 健康パスポート状態
７３４ 有効期限
７３５ 健康報告状況
７３６ 感染症対策指標
７４ 判定結果表示画面
７４５ 健康報告状況
７４６ 感染症対策指標
７４７ メッセージ
７５ 判定結果表示画面
７５３ 健康パスポート状態
７５６ 感染症対策指標

Claims (15)

1. 所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録部と、
   前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御部と、
   前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する出力部と
   を備える情報端末。
2. 前記出力部は、前記複数の健康条件の充足度に応じた前記ユーザの感染症対策指標を前記健康パスポートと共に出力する
   請求項１に記載の情報端末。
3. 前記出力部は、前記ユーザの感染症対策指標について前記充足度ごとに異なる色で示した表示情報を前記健康パスポートと共に出力する
   請求項２に記載の情報端末。
4. 前記出力部は、前記複数の健康条件の充足度に応じた入店の許否に関する通知に前記健康パスポートを含めて出力する
   請求項１に記載の情報端末。
5. 前記出力部は、前記健康パスポート及び前記健康状態情報に基づく検証結果を示すコード情報を出力する
   請求項１に記載の情報端末。
6. コンピュータが、
   所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録し、
   前記ユーザから取得された第１の本人確認情報についての認証を制御し、
   前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する
   情報処理方法。
7. 所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録処理と、
   前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御処理と、
   前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する出力処理と
   をコンピュータに実行させるプログラム。
8. 所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録部と、
   前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御部と、
   前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する出力部と
   を備える情報処理装置。
9. 前記出力部は、複数の健康条件の充足度に応じた前記ユーザの感染症対策指標を前記健康パスポートと共に出力する
   請求項８に記載の情報処理装置。
10. 前記出力部は、前記ユーザの感染症対策指標について前記充足度ごとに異なる色で示した表示情報を前記健康パスポートと共に出力する
    請求項９に記載の情報処理装置。
11. 前記出力部は、前記複数の健康条件の充足度に応じた入店の許否に関する通知に前記健康パスポートを含めて出力する
    請求項８に記載の情報処理装置。
12. 前記出力部は、前記健康パスポート及び前記健康状態情報に基づく検証結果を示すコード情報を出力する
    請求項８に記載の情報処理装置。
13. 前記出力部は、前記健康パスポートを前記ユーザのユーザ端末に送信する
    請求項８に記載の情報処理装置。
14. コンピュータが、
    所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録し、
    前記ユーザから取得された第１の本人確認情報についての認証を制御し、
    前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する
    情報処理方法。
15. 所定のユーザにおける所定の感染症に対する対策の証明情報と、当該ユーザの健康状態情報とを当該ユーザに対応付けて登録する登録処理と、
    前記ユーザから取得された第１の本人確認情報についての認証を制御する認証制御処理と、
    前記認証に成功した場合に、前記証明情報と前記健康状態情報とに基づいて健康パスポートを出力する出力処理と
    をコンピュータに実行させるプログラム。

Images