JP2022187370A - データ管理システム、データ管理方法、及びデータ管理プログラム - Google Patents

Abstract

【課題】個人が携行するデバイスを利用せずとも、安全にデータを管理する。【解決手段】第１計算機は、データを暗号化する暗号化用生体情報の種類を決定し、第１計算機のユーザの当該決定した種類の暗号化用生体情報それぞれから、所定のアルゴリズムに基づいて公開鍵を生成し、当該公開鍵を第２計算機に送信し、当該公開鍵を用いて暗号化したデータを第３計算機に送信し、当該暗号化したデータを第３計算機から取得し、第１計算機のユーザの当該決定した種類の復号化用生体情報を取得し、当該取得した復号化用生体情報それぞれから、当該所定のアルゴリズムに基づいて秘密鍵を生成し、当該暗号化されたデータを、当該秘密鍵を用いて復号化し、当該復号化した登録対象データそれぞれを提示する。【選択図】図１

Description

本発明は、データ管理システム、データ管理方法、及びデータ管理プログラムに関する。

本発明の背景技術として、特開２０２１－５８７０号公報（特許文献１）がある。この公報には、「利用許可証発行装置１は、利用者毎に認証データおよび認証方式を１以上の利用者の識別情報に紐付けて記憶しており、設定端末５から利用許可証発行依頼を受け付けると、利用許可証を発行し署名を生成するとともに、この発行依頼に含まれている利用者の識別情報および認証方式に紐付けられている認証データを特定し、これらの利用許可証、署名、および認証データを含む設定情報を設定端末５に通知する。設定端末５は設定情報を利用許可証通知装置４に登録する。利用許可証通知装置４は、利用者から認証データを取得して、これを含む設定情報の利用許可証および署名を利用制御装置３に送信する。利用制御装置３は、署名を検証し、署名検証が成立したならば、利用許可証に含まれている利用条件を満足する場合に利用対象の利用制限を解錠する。」と記載されている（要約参照）。

特開２０２１－５８７０号公報

特許文献１には利用許可証通知装置が生体認証の方式を利用可能であることが記載されているが、生体情報の保管方法については具体的には記載されておらず、生体情報が漏洩してプライバシーが侵害されたり、不正利用されたりするおそれがある。また、特許文献１に記載の技術において、利用許可証を紛失する、又は盗難される等して悪用されると、利用許可証を発行された本人になりすまされるおそれがある。そこで、本発明の一態様は、利用データや秘密鍵管理のための個人が携行するデバイスを利用せずとも、安全にデータを管理する。

上記課題を解決するため、本発明の一態様は以下の構成を採用する。第１計算機、第２計算機、第３計算機を含むデータ管理システムであって、データ登録処理において、前記第１計算機は、データを保持し、前記データを暗号化する暗号化用生体情報の種類を決定し、前記第１計算機のユーザの前記決定した種類の暗号化用生体情報を取得し、前記取得した暗号化用生体情報それぞれから、所定のアルゴリズムに基づいて公開鍵を生成し、前記公開鍵を用いて前記データを暗号化し、前記公開鍵を前記第２計算機に送信し、前記暗号化したデータを前記第３計算機に送信し、データ提示処理において、前記第１計算機は、前記暗号化したデータを前記第３計算機から取得し、前記第１計算機のユーザの前記決定した種類の復号化用生体情報を取得し、前記取得した復号化用生体情報それぞれから、前記所定のアルゴリズムに基づいて秘密鍵を生成し、前記暗号化されたデータを、前記秘密鍵を用いて復号化し、前記復号化した登録対象データそれぞれを提示する、データ管理システム。

本発明の一態様によれば、個人が携行するデバイスを利用せずとも、安全にデータを管理することができる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

実施例１におけるデータ管理システムの構成例を示すブロック図である。 実施例１におけるウォレット作成処理の一例を示すシーケンス図である。 実施例１における暗号化用・同意用生体認証テンプレート登録処理の一例を示すフローチャートである。 実施例１におけるガイダンス情報登録処理の一例を示すフローチャートである。 実施例１におけるウォレット利用処理の一例を示すフローチャートである。 実施例１におけるデータ取得処理の一例を示すフローチャートである。 実施例１における暗号化用生体情報登録処理の一例を示すフローチャートである。 実施例１における同意用生体情報登録処理の一例を示すフローチャートである。 実施例１における特性チェックシートの一例である。 実施例１におけるガイダンス情報更新処理の一例を示すフローチャートである。 実施例１におけるデータ提示処理の一例を示すフローチャートである。 実施例１における復号化処理の一例を示すフローチャートである。 実施例１における同意処理の一例を示すフローチャートである。

以下、本発明の実施形態を図面に基づいて詳細に説明する。本実施形態において、同一の構成には原則として同一の符号を付け、繰り返しの説明は省略する。なお、本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。

図１は、データ管理システムの構成例を示すブロック図である。データ管理システムは、例えば、インターネット等のネットワークで接続された、登録端末１００、利用端末２００、認証サーバ３００、及びＰＤＳ（Ｐｅｓｏｎａｌ Ｄａｔａ Ｓｔｏｒｅ）４００を含む。なお、図１の例では、登録端末１００、利用端末２００、及びＰＤＳ４００は１つずつ描かれているが、データ管理システムは、複数の登録端末１００を含んでもよいし、複数の利用端末２００を含んでもよいし、複数のＰＤＳ４００を含んでもよい。

登録端末１００は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０１、メモリ１０２、補助記憶装置１０３、通信装置１０４、入力装置１０５、出力装置１０６、及び生体情報取得装置１０７を有する計算機によって構成される。

ＣＰＵ１０１は、プロセッサを含み、メモリ１０２に格納されたプログラムを実行する。メモリ１０２は、不揮発性の記憶素子であるＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及び揮発性の記憶素子であるＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ））などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ１０１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

補助記憶装置１０３は、例えば、磁気記憶装置（ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ））、フラッシュメモリ（ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ））等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ１０１が実行するプログラム及びプログラムの実行時に使用されるデータを格納する。すなわち、プログラムは、補助記憶装置１０３から読み出されて、メモリ１０２にロードされて、ＣＰＵ１０１によって実行される。

入力装置１０５は、キーボードやマウスなどの、オペレータからの入力を受ける装置である。出力装置１０６は、ディスプレイ装置やプリンタなどの、プログラムの実行結果をオペレータが視認可能な形式で出力する装置である。

通信装置１０４は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置である。また、通信装置１０４は、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）等のシリアルインターフェースを含む。

ＣＰＵ１０１が実行するプログラムの一部またはすべては、非一時的記憶媒体であるリムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又は、非一時的記憶装置を備える外部計算機からネットワークを介して登録端末１００に提供され、非一時的記憶媒体である不揮発性の補助記憶装置１０３に格納されてもよい。このため、登録端末１００は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。これは、利用端末２００、認証サーバ３００、及びＰＤＳ４００についても同様である。

生体情報取得装置１０７は、ユーザの生体情報を取得する。例えば、ユーザの顔画像を撮影するカメラ、及びユーザの指紋や指静脈を取得するスキャナなどは、生体情報取得装置１０７の一例である。

登録端末１００は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。これは利用端末２００、認証サーバ３００、及びＰＤＳ４００についても同様である。

ＣＰＵ１０１は、例えば、ウォレット名指定部１１１、生体情報取得部１１２、入力部１１３、及び暗号化部１１４を含む。ウォレット名指定部１１１は、ウォレットの名称を指定する。生体情報取得部１１２は、生体情報取得装置１０７を介して、ユーザの生体情報を取得する。入力部１１３は、入力装置１０５を介してユーザからの入力を受け付ける。暗号化部１１４は、登録対象のデータを暗号化したり、暗号化された登録データ（提示対象データ）を復号化したりする。

例えば、ＣＰＵ１０１は、メモリ１０２にロードされたウォレット名指定プログラムに従って動作することで、ウォレット名指定部１１１として機能し、メモリ１０２にロードされた生体情報取得プログラムに従って動作することで、生体情報取得部１１２として機能する。ＣＰＵ１０１に含まれる他の機能部についても、プログラムと機能部の関係は同様である。また、利用端末２００のＣＰＵ２０１、認証サーバ３００のＣＰＵ３０１、及びＰＤＳ４００のＣＰＵ４０１、それぞれに含まれる後述する機能部についても、プログラムと機能部の関係は同様である。

なお、ＣＰＵ１０１、利用端末２００のＣＰＵ２０１、認証サーバ３００のＣＰＵ３０１、及びＰＤＳ４００のＣＰＵ４０１に含まれる機能部による機能の一部又は全部が、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアによって実現されてもよい。

補助記憶装置１０３、利用端末２００の補助記憶装置２０３、認証サーバ３００の補助記憶装置３０３、及びＰＤＳ４００の補助記憶装置４０３に格納されている一部又は全部の情報は、それぞれ、メモリ１０２、メモリ２０２、メモリ３０２、及びメモリ４０２に格納されていてもよいし、当該装置に接続されている他のデータベースに格納されていてもよい。

なお、本実施形態において、データ管理システムが使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。本実施形態ではテーブル形式で情報が表現されているが、例えば、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。

利用端末２００は、例えば、ＣＰＵ２０１、メモリ２０２、補助記憶装置２０３、通信装置２０４、入力装置２０５、出力装置２０６、生体情報取得装置２０７、及びデータリーダ２０８を有する計算機によって構成される。

ＣＰＵ２０１、メモリ２０２、補助記憶装置２０３、通信装置２０４、入力装置２０５、出力装置２０６、及び生体情報取得装置２０７のハードウェアとしての説明は、ＣＰＵ１０１、メモリ１０２、補助記憶装置１０３、通信装置１０４、入力装置１０５、出力装置１０６、及び生体情報取得装置１０７のハードウェアとしての説明と同様であるため省略する。データリーダ２０８は、例えば、二次元コード及びＩＣチップ等からデータを読み取る装置である。

ＣＰＵ２０１は、例えば、ウォレット名指定部２１１、生体情報取得部２１２、入力部２１３、暗号化部２１４、データ登録部２１５、生体情報選択部２１６、及び同意部２１７を含む。

ウォレット名指定部２１１は、ウォレットの名称を指定する。生体情報取得部２１２は、生体情報取得装置２０７を介して、ユーザの生体情報を取得する。入力部２１３は、入力装置２０５を介してユーザからの入力を受け付ける。暗号化部２１４は、登録対象のデータを暗号化したり、暗号化された登録データ（提示対象データ）を復号化したりする。

データ登録部２１５は、暗号化され登録対象のデータをＰＤＳ４００に登録する。生体情報選択部２１６は、暗号化に用いられる生体情報の種類（モダリティ）、及び同意に用いられる生体情報のモダリティを選択する。同意部２１７は、提示対象のデータの利用目的に対する同意の電子署名を生成する。

補助記憶装置２０３は、例えば、特性チェックシート２２１を保持する。特性チェックシート２２１は、ユーザの個人の性格及び特性を判定するためのチェックシートである。生体情報選択部２１６は、暗号化及び同意の機能それぞれに対して用いられる生体情報の種類を認証用の生体情報の種類と共通にするかを判定し、共通にしないと判定した場合に例えば、特性チェックシート２２１を用いた判定結果によって、暗号化に用いられる生体情報の種類及び同意に用いられる生体情報の種類を決定することができる（特性チェックシート２２１に基づいて判定した結果として共通になる可能性はある）。特性チェックシート２２１は予め定められている。

認証サーバ３００は、例えば、ＣＰＵ３０１、メモリ３０２、補助記憶装置３０３、通信装置３０４、入力装置３０５、及び出力装置３０６を有する計算機によって構成される。ＣＰＵ３０１、メモリ３０２、補助記憶装置３０３、通信装置３０４、入力装置３０５、及び出力装置３０６のハードウェアとしての説明は、ＣＰＵ１０１、メモリ１０２、補助記憶装置１０３、通信装置１０４、入力装置１０５、及び出力装置１０６のハードウェアとしての説明と同様であるため省略する。

ＣＰＵ３０１は、例えば、ウォレット管理部３１１、テンプレート管理部３１２、及びガイダンス管理部３１３を含む。ウォレット管理部３１１は、ＰＤＳ４００が保持するウォレットの名称を管理したり、暗号化データの登録先であるＰＤＳ４００のウォレットを指定したりする。テンプレート管理部３１２は、ウォレット名に紐づく公開鍵等を管理する。ガイダンス管理部３１３は、復号化処理時及び同意処理時において取得されるべき生体情報の種類を示すガイダンスを表示する。

補助記憶装置３０３は、例えば、個人情報ＤＢ（ＤａｔａＢａｓｅ）３２１及び認証テンプレート情報ＤＢ３２２を保持する。個人情報ＤＢ３２１は、ウォレット名と、当該ウォレット名のウォレットを保持するＰＤＳを示すポインタと、を保持する。

認証テンプレート情報ＤＢ３２２は、ウォレット名と、公開鍵と、ガイダンスの表示の有無を示す情報と、を保持する。なお、個人情報ＤＢ３２１に格納される情報と、認証テンプレート情報ＤＢ３２２に格納される情報と、は後述する処理によって生成される。

ＰＤＳ４００は、例えば、ＣＰＵ４０１、メモリ４０２、補助記憶装置４０３、通信装置４０４、入力装置４０５、及び出力装置４０６を有する計算機によって構成される。ＣＰＵ４０１、メモリ４０２、補助記憶装置４０３、通信装置４０４、入力装置４０５、及び出力装置４０６のハードウェアとしての説明は、ＣＰＵ１０１、メモリ１０２、補助記憶装置１０３、通信装置１０４、入力装置１０５、及び出力装置１０６のハードウェアとしての説明と同様であるため省略する。

ＣＰＵ４０１は、例えば、データ管理部４１１を含む。データ管理部４１１は、ウォレット４２１に格納するデータを管理する。補助記憶装置４０３は、例えば、１以上のウォレット４２１を保持する。ウォレット４２１それぞれは、ウォレット名に紐づけられた、暗号化データを保持するための補助記憶装置４０３上の記憶領域である。

なお、例えば、データ管理システムに含まれる一部の装置が一体化していてもよい。例えば、登録端末１００と利用端末２００とが一体化していてもよいし、登録端末１００とＰＤＳ４００とが一体化していてもよいし、利用端末２００とＰＤＳ４００とが一体化していてもよい。

図２は、ウォレット作成処理の一例を示すシーケンス図である。登録端末１００のウォレット名指定部１１１は、例えば、ユーザによる入力装置１０５への入力を介して、ウォレット名を指定し、指定したウォレット名を認証サーバ３００に送信する（Ｓ２０１）。

認証サーバ３００のウォレット管理部３１１は、受信したウォレット名が個人情報ＤＢ３２１において未使用かを判定する（Ｓ２０２）。ウォレット管理部３１１は、受信したウォレット名が個人情報ＤＢ３２１において使用済みであると判定した場合（Ｓ２０２：ＮＯ）、エラーメッセージを登録端末１００に送信し、登録端末１００の出力装置１０６に表示する（Ｓ２０３）。ウォレット管理部３１１は、受信したウォレット名が個人情報ＤＢ３２１において未使用であると判定した場合（Ｓ２０２：ＹＥＳ）、受信したウォレット名を個人情報ＤＢ３２１及び認証テンプレート情報ＤＢ３２２に登録する（Ｓ２０４）。

登録端末１００の生体情報取得部１１２は、生体情報取得装置１０７を介して、登録端末１００のユーザの（ウォレットにアクセスするための）認証用の第１種生体情報（例えば、指静脈、指紋、顔画像、又は歩容等）を取得する（Ｓ２０５）。なお、認証用の生体情報の種類（モダリティ）は、登録端末１００のユーザによって予め指定されてもよいし、認証サーバ３００によって予め指定されてもよい。

さらに、ステップＳ２０５において、暗号化部１１４は、取得した第１種生体情報から、第１秘密鍵と第１公開鍵の鍵ペア、及び必要に応じて（誤り訂正を実行するための）第１補助情報を生成する。

具体的には、例えば、暗号化部１１４は、Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、又はＰＢＩ（Ｐｕｂｌｉｃ Ｂｉｏｍｅｔｒｉｃ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）などのアルゴリズムに従って、生体情報から鍵ペアを生成する。Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒなどのアルゴリズムが利用される場合は、後述する認証処理時において当該補助情報が利用される。なお、本実施形態では、生体情報から秘密鍵と公開鍵のペアが生成される例を説明しているが、生体情報のように個人性を含む情報のみならず、例えばパスワードのような個人の記憶情報のように、個人が手ぶらで提示可能な情報から秘密鍵と公開鍵のペアが生成されてもよい。

暗号化部１１４は、第１公開鍵（及び生成されていれば第１補助情報）、及びどの種類の生体情報から第１公開鍵が生成されたかを示す情報を認証サーバ３００に送信し、認証サーバ３００のテンプレート管理部３１２は、受信した第１公開鍵（及び生成されていれば第１補助情報）、及びどの種類の生体情報から第１公開鍵が生成されたかを示す情報を、当該ウォレット名に対応づけて認証用の第１公開鍵（及び生成されていれば第１補助情報）として、認証テンプレート情報ＤＢ３２２に登録する（Ｓ２０６）。

登録端末１００の生体情報取得部１１２は、ステップＳ２０５で取得した生体情報を登録端末１００の出力装置１０６に表示し、登録端末１００の入力部１１３は、例えばユーザの入力装置１０５への入力によって、認証用の生体情報が正しく登録されているかを示す確認結果を取得し、認証サーバ３００に送信する（Ｓ２０７）。具体的には、ステップＳ２０７では、例えば、第ｉ生体情報が指静脈である場合に登録端末１００のユーザが生体情報取得装置１０７で指静脈の画像をスキャンする際に指を曲げてしまっていないか、第ｉ生体情報が顔である場合に登録端末１００のユーザが生体情報取得装置１０７で顔画像を撮影する際に横を向いてしまっていないか等を、登録端末１００のユーザが確認する。

テンプレート管理部３１２は、確認結果から認証用の生体情報が正しく登録できているかを判定する（Ｓ２０８）。テンプレート管理部３１２は、受信した確認結果から認証用の生体情報が正しく登録できていないと判定した場合（Ｓ２０８：ＮＯ）、ステップＳ２０６で認証テンプレート情報ＤＢ３２２に登録した情報を削除し、エラーメッセージを登録端末１００に送信し、登録端末１００の出力装置１０６に表示して（Ｓ２０９）、ステップＳ２０５に戻る。

テンプレート管理部３１２は、受信した確認結果から認証用の生体情報が正しく登録できたと判定した場合（Ｓ２０８：Ｙｅｓ）、データの暗号化用及び／又は同意用に別の種類の生体情報を登録するかを登録端末１００に問い合わせる（Ｓ２１０）。

登録端末１００の入力部１１３は、例えば、登録端末１００のユーザによる入力によって、データの暗号化用及び／又は同意用に別の種類の生体情報を登録すると決定した場合（Ｓ２１０：ＹＥＳ）、暗号化用・同意用生体認証テンプレート登録処理（Ｓ２１１）と、ガイダンス情報登録処理（Ｓ２１２）と、を実行する。

暗号化用・同意用生体認証テンプレート登録処理の詳細と、ガイダンス情報登録処理の詳細は後述する。さらに、認証サーバ３００のウォレット管理部３１１は、ウォレットの登録先のＰＤＳ４００を指定して、当該指定したＰＤＳ４００を示すポインタ（以下、ＰＤＳポインタとも呼ぶ）を個人情報ＤＢ３２１に当該ウォレット名に紐づけて登録して（Ｓ２１３）、ウォレット作成処理を終了する。

なお、ステップＳ２１３において、ウォレット管理部３１１は、例えば、補助記憶装置４０３に空き容量をＰＤＳ４００に問い合わせて、空き容量が最も多いＰＤＳ４００を指定してもよいし、所定の順序でＰＤＳ４００を指定してもよい。

また、ウォレット管理部３１１は、複数のＰＤＳ４００を指定して、後述する暗号化データを当該複数のＰＤＳ４００が分散して管理してもよい、つまり１つの暗号化データが複数のＰＤＳ４００に分散されて格納されてもよいし、複数の暗号化データそれぞれが異なる複数のＰＤＳ４００に格納されてもよい。

登録端末１００の入力部１１３は、例えば、登録端末１００のユーザによる入力によって、データの暗号化用及び／又は同意用に別の種類の生体情報を登録しないと決定した場合（Ｓ２１０：ＮＯ）、ステップＳ２１３に遷移する。これにより、認証用生体情報と、暗号化用（復号化用）生体情報と、同意用生体情報と、の種類が共通となるため、１回生体情報が取得されれば、認証処理、復号化処理、及び同意処理の全てにおいて当該生体情報を利用することができるため、ユーザの手間を省くことができ、処理速度も向上する。

なお、図２の例では、認証用の生体情報が１種類である例を説明したが、認証用に複数種類の生体情報が取得され、当該複数種類それぞれの生体情報に対して公開鍵が生成されて認証テンプレート情報ＤＢ３２２に登録されてもよい。

図３は、暗号化用・同意用生体認証テンプレート登録処理の一例を示すフローチャートである。登録端末１００の生体情報取得部１１２は、ｉ＝２をセットする。登録端末１００の生体情報取得部１１２は、生体情報取得装置１０７を介して、登録端末１００のユーザの認証用の第ｉ種生体情報（例えば、指静脈、指紋、顔画像、又は歩容等）を取得する（Ｓ３０２）。なお、登録対象の生体情報の種類（モダリティ）は、登録端末１００のユーザによって指定されてもよいし、認証サーバ３００によって指定されてもよい。

さらに、暗号化部１１４は、ステップＳ２０６で説明した方法と同様の方法で、取得した暗号化用及び／又は同意用の第ｉ種生体情報から第ｉ秘密鍵と第ｉ公開鍵の鍵ペア、及び必要に応じて（誤り訂正を実行するための）第ｉ補助情報を生成する（Ｓ３０２）。Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒなどのアルゴリズムが利用される場合は、後述する暗号化処理時、及び同意処理時における生体情報に基づく鍵生成処理において、当該補助情報が利用される。

暗号化部１１４は、第ｉ公開鍵（及び生成されていれば第ｉ補助情報）、及びどの種類の生体情報から第ｉ公開鍵が生成されたかを示す情報を、認証サーバ３００に送信し、認証サーバ３００のテンプレート管理部３１２は、受信した第ｉ公開鍵（及び生成されていれば第ｉ補助情報）、及びどの種類の生体情報から第ｉ公開鍵が生成されたかを示す情報を、当該ウォレット名に対応づけて認証テンプレート情報ＤＢ３２２に登録する（Ｓ３０３）。

登録端末１００の生体情報取得部１１２は、ステップＳ３０２で取得した生体情報を登録端末１００の出力装置１０６に表示し、登録端末１００の入力部１１３は、例えばユーザの入力装置１０５への入力によって、暗号化用及び／又は同意用の生体情報が正しく登録されているかを示す確認結果を取得し、認証サーバ３００に送信する（Ｓ３０４）。具体的には、ステップＳ３０４では、例えば、第ｉ生体情報が指静脈である場合に登録端末１００のユーザが生体情報取得装置１０７で指静脈の画像をスキャンする際に指を曲げてしまっていないか、第ｉ生体情報が顔である場合に登録端末１００のユーザが生体情報取得装置１０７で顔画像を撮影する際に横を向いてしまっていないか等を、登録端末１００のユーザが確認する。

テンプレート管理部３１２は、確認結果から暗号化用及び／又は同意用の生体情報が正しく登録できているかを判定する（Ｓ３０５）。テンプレート管理部３１２は、受信した確認結果から暗号化用及び／又は同意用の生体情報が正しく登録できていないと判定した場合（Ｓ３０５：ＮＯ）、エラーメッセージを登録端末１００に送信し、登録端末１００の出力装置１０６に表示して（Ｓ３０６）、ステップＳ３０２に戻る。

テンプレート管理部３１２は、受信した確認結果から暗号化用及び／又は同意用の生体情報が正しく登録できたと判定した場合（Ｓ３０５：Ｙｅｓ）、暗号化用及び／又は同意用の別の種類の生体情報を登録するかを登録端末１００に問い合わせる（Ｓ３０８）。登録端末１００の入力部１１３は、例えば、登録端末１００のユーザによる入力によって、別の種類の生体情報を登録すると決定した場合（Ｓ３０８：ＹＥＳ）、ｉの値をインクリメントしてステップＳ３０２に戻る。登録端末１００の入力部１１３は、例えば、登録端末１００のユーザによる入力によって、暗号化用及び／又は同意用の別の種類の生体情報を登録しないと決定した場合（Ｓ３０８：ＮＯ）、暗号化用・同意用生体認証テンプレート登録処理を終了する。

なお、暗号化用・同意用生体認証テンプレート登録処理において、必ず複数種類の生体情報それぞれから生成された公開鍵が登録されてもよいし、１種類のみの生体情報から生成された公開鍵が登録されてもよい。

図４は、ガイダンス情報登録処理の一例を示すフローチャートである。認証サーバ３００のガイダンス管理部３１３は、復号化処理時及び同意処理時に、生体ガイダンス画面を表示するかを登録端末１００に問い合わせ、登録端末１００の入力部１１３は、例えば、登録端末１００のユーザによる入力によって、生体ガイダンス画面を表示するかを決定し、決定した結果を認証サーバ３００に送信し、ガイダンス管理部３１３は、受信した結果に従って、生体ガイダンス画面を表示するかを判定する（Ｓ４０１）。

なお、生体ガイダンス画面は、復号化処理時及び同意処理時において、どの種類の生体情報を取得するか（どの生体を利用端末２００の生体情報取得装置２０７にかざせばよいか）を示す情報を表示する画面である。復号化処理時及び同意処理時においてガイダンス画面を表示することにより、ユーザがどの種類の生体情報に基づく登録を行ったかを忘れてしまった場合でも、復号化及び同意を行うことができる。

特に、本実施形態では、複数種類の生体情報それぞれに基づく登録を実行でき、利用者はどの種類の生体情報に基づく登録を行ったかを忘れやすいため、特に大きな効果を奏する。一方、ユーザは生体ガイダンス画面を表示しないことも選択できるため、生体ガイダンス画面を覗き見されることにより復号化及び同意に用いられる生体情報の種類の漏洩を抑制することもできる。

ガイダンス管理部３１３は、生体ガイダンス画面を表示しないと判定した場合（Ｓ４０１：ＮＯ）、ガイダンス情報登録処理を終了する。ガイダンス管理部３１３は、生体ガイダンス画面を表示すると判定した場合（Ｓ４０１：ＹＥＳ）、生体ガイダンス画面を表示することを示す情報を、当該ウォレット名に紐づけて認証テンプレート情報ＤＢ３２２に登録する（Ｓ４０２）。

ガイダンス管理部３１３は、ステップＳ４０２で登録した情報を登録端末１００に送信し、登録端末１００の入力部１１３は、例えばユーザの入力装置１０５への入力によって、当該情報が正しく登録されているかを示す確認結果を取得し、認証サーバ３００に送信する（Ｓ４０３）。ガイダンス管理部３１３は、受信した確認結果から生体ガイダンス画面を表示することを示す情報が正しく登録されているかを判定する（Ｓ４０４）。

ガイダンス管理部３１３は、生体ガイダンス画面を表示することを示す情報が正しく登録されていないと判定した場合（Ｓ４０４：ＮＯ）、ステップＳ４０２において登録した情報を削除し、ステップＳ４０１に戻る。ガイダンス管理部３１３は、生体ガイダンス画面を表示することを示す情報が正しく登録されていると判定した場合（Ｓ４０４：ＹＥＳ）、ガイダンス情報登録処理を終了する。

なお、図４の例では、復号化処理及び同意処理時に生体ガイダンス画面を表示するかが決定されているが、認証処理時において生体ガイダンス画面を表示するかも決定するようにしてもよい。つまり、認証処理時においても生体ガイダンス画面を表示可能であってもよい。

図５は、ウォレット利用処理の一例を示すフローチャートである。なお、登録端末１００と利用端末２００とが一体化されている場合には、ウォレット作成処理において登録端末１００が実行する処理と、ウォレット利用処理において利用端末２００が実行する処理と、は当該一体化された端末によって実行される。

利用端末２００の生体情報取得部２１２は、生体情報取得装置１０７を介して、利用端末２００のユーザの（ウォレットへアクセスするための認証用の）第１種生体情報を取得する（Ｓ５０１）。暗号化部２１４は、ステップＳ３０３と同様の方法で、取得した第１種生体情報から秘密鍵、公開鍵、及び必要に応じて（誤り訂正を実行するための）補助情報を生成し、認証サーバ３００からテンプレート情報ＤＢ３２２に格納された公開鍵とウォレット名との対応を取得し、ステップＳ２０５で採用したアルゴリズム（Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、又はＰＢＩ等）に基づいて、当該生成した秘密鍵にマッチする公開鍵を当該取得した公開鍵から決定し、当該決定した公開鍵に対応するウォレット名を利用端末２００の出力装置２０６に表示する（Ｓ５０２）。

利用端末２００の入力部２１３は、例えば、利用端末２００のユーザの入力装置２０５への入力による、ウォレット名が正しいかを示す確認結果を取得し、認証サーバ３００に送信し、認証サーバ３００のテンプレート管理部３１２は、当該確認結果からウォレット名が正しいかを判定する（Ｓ５０３）。テンプレート管理部３１２は、ウォレット名が正しくないと判定した場合（Ｓ５０３：ＮＯ）、ステップＳ５０１に戻る。

なお、利用端末２００のユーザは、認証サーバ３００のユーザに対して本人確認情報を提示する等して、追加の本人確認を実行してもよい。このとき、認証サーバ３００のユーザが対面で直接的に本人確認書類を直接的に提示及び目視で確認してもよいし、利用端末２００のユーザが利用端末２００から認証サーバ３００に送信し、認証サーバ３００のユーザは認証サーバ３００の出力装置３０６に表示された本人確認情報を確認してもよい。

テンプレート管理部３１２は、ウォレット名が正しいと利用端末２００のユーザによって判定された場合（Ｓ５０３：ＹＥＳ）、データ提示処理を実行するか、データ取得処理を実行するかを、利用端末２００に問い合わせ、利用端末２００の入力部２１３は、例えば利用端末２００のユーザによる入力装置２０５への入力によっていずれの処理を実行するかを示す結果を取得して認証サーバ３００に送信し、認証サーバ３００のテンプレート管理部３１２は当該結果からいずれの処理を実行するかを判定する（Ｓ５０４）。

テンプレート管理部３１２は、データ提示処理を実行すると判定した場合、利用端末２００がデータを提示するデータ提示処理（Ｓ５０５）を実行し、データ利用処理が終了する。データ提示処理の詳細は後述する。テンプレート管理部３１２がデータ取得処理を実行すると判定した場合、利用端末２００がデータを登録するデータ取得処理（Ｓ５０６）へ遷移する。データ取得処理の詳細は後述する。

ステップＳ５０６のデータ取得処理が終了すると、認証サーバ３００のテンプレート管理部３１２は、暗号化用の生体情報の種類と、同意用の生体情報の種類と、を認証用の生体情報の種類と共通にするかを利用端末２００に問い合わせ、利用端末２００の入力部２１３は、利用端末２００のユーザによる入力装置２０５への入力に従って、当該問い合わせに対する回答を取得する（Ｓ５０７）。

なお、ウォレット作成処理において第１種生体情報のみが取得された場合には（即ちステップＳ２１０においてＮＯが選択された場合）、ステップＳ５０７の処理を省略して、ステップＳ５０８の処理へ遷移する。入力部２１３が、暗号化用の生体情報の種類と、同意用の生体情報の種類と、を認証用の生体情報の種類と共通にすると判定した場合（Ｓ５０７：ＹＥＳ）、暗号化部２１４は、ステップＳ５０２において認証用の第１種生体情報から生成された公開鍵で、ステップＳ５０６で取得されたデータ一式を暗号化することで暗号化データを生成する（Ｓ５０８）。

認証サーバ３００のウォレット管理部３１１は、個人情報ＤＢ３２１において当該ウォレット名に対応するＰＤＳポインタを取得して、利用端末２００に送信することで、データ登録先のＰＤＳ４００を指定し、利用端末２００のデータ登録部２１５は、当該指定されたＰＤＳ４００にウォレット名及び暗号化データを送信して、ウォレット利用処理を終了する（Ｓ５０９）。なお、ＰＤＳ４００は受信したウォレット名のウォレット４２１に暗号化データを格納する。

入力部２１３が、暗号化用の生体情報の種類と、同意用の生体情報の種類と、を認証用の生体情報の種類と共通にしないと判定した場合（Ｓ５０７：ＮＯ）、暗号化用生体情報登録処理（Ｓ５１０）、同意用生体情報登録処理（Ｓ５１１）、及びガイダンス情報更新処理（Ｓ５１２）が実行されて、ステップＳ５０９に遷移する。暗号化用生体情報登録処理、同意用生体情報登録処理、及びガイダンス情報更新処理の詳細については後述する。

図６は、データ取得処理の一例を示すフローチャートである。利用端末２００のデータ登録部２１５は、利用端末２００のユーザによる入力に従って、データ読み取り方法を選択する（Ｓ６０１）。二次元コードの読み取り、ＩＣチップの読み取り、及びスキャナによるスキャン等はいずれもデータ取得方法の一例である。なお、データ登録部２１５は、利用端末２００が有するデータリーダ２０８が実行可能なデータ読み取り方法を自動で取得することで、データ読み取り方法を選択してもよい。

データ登録部２１５は、例えば、利用端末２００のユーザがデータリーダ２０８に読み込ませたデータを取得する（Ｓ６０２）。なお、データ登録部２１５がデータを読み取る方法には、データリーダ２０８を介してデータを読み取る方法だけでなく、例えば、利用端末２００に接続された他の端末からデータを取得する方法等があってもよい。
データ登録部２１５が取得するデータは、ＶＣ（Ｖｅｒｉｆｉａｂｌｅ Ｃｒｅｄｅｎｔｉａｌ）形式であってもよい。

なお、データ登録部２１５が取得するデータは、例えば、利用端末２００のユーザの属性や資格情報、履歴などに関する個人データである。利用端末２００のユーザのＣｏｖｉｄ－１９のＰＣＲ（Ｐｏｌｙｍｅｒａｓｅ Ｃｈａｉｎ ｒｅａｃｔｉｏｎ）検査結果情報（陰性証明情報）、当該ユーザが当該大学の学位を取得したことを証明する学位証明書、ＥＣ（Ｅｌｅｃｔｒｉｃ Ｃｏｍｍｅｒｃｅ）サイトでの利用端末２００のユーザの過去の購買履歴情報、利用端末２００のユーザのマイナンバー情報、運転免許証情報、及び健康保険証情報等は、上記した個人データの一例である。

データ登録部２１５は、出力装置２０６にデータの登録結果を表示し、利用端末２００のユーザによる入力装置１０５への入力による、データが正しく登録されているかの確認結果を取得し、当該確認結果を判定する（Ｓ６０３）。

データ登録部２１５は、当該確認結果に従って、データが正しく取得されているかを判定する（Ｓ６０４）。データ登録部２１５は、データが正しく登録されていないと判定した場合（Ｓ６０４：ＮＯ）、ステップＳ６０２に戻る。データ登録部２１５は、データが正しく取得されていると判定した場合（Ｓ６０４：ＹＥＳ）、取得するデータがもうないかを問い合わせる表示を出力装置２０６に表示し、利用端末２００のユーザによる入力装置１０５への入力による、当該問い合わせに対する回答を取得し、当該回答を判定する（Ｓ６０５）。

データ登録部２１５は、当該回答に従って取得するデータがもうないと判定した場合（Ｓ６０５：ＹＥＳ）、データ取得処理を終了する。データ登録部２１５は、当該回答に従って取得するデータがまだあると判定した場合（Ｓ６０５：ＮＯ）、ステップＳ６０２に戻る。

図７は、暗号化用生体情報登録処理の一例を示すフローチャートである。利用端末２００の生体情報選択部２１６は、例えば、暗号化に用いる生体情報の種類を利用端末２００のユーザが選択するかを問い合わせる情報を出力装置２０６に表示し、利用端末２００のユーザによる入力装置２０５への入力によって、当該問い合わせに対する回答を取得する（Ｓ７０１）。

生体情報選択部２１６は、当該回答に従って、暗号化に用いる生体情報の種類を利用端末２００のユーザが選択すると判定した場合（Ｓ７０１：ＹＥＳ）、データ取得処理で取得されたデータの一覧であるデータリストを出力装置２０６に表示する（Ｓ７０２）。生体情報選択部２１６は、利用端末２００のユーザによる入力装置２０５への入力によって、データリストから暗号化対象データの選択を受け付ける（Ｓ７０３）。

生体情報選択部２１６は、当該選択した暗号化対象データを暗号化するための生体情報の種類の指定を、利用端末２００のユーザによる入力装置２０５への入力によって受け付け、生体情報取得部２１２は、生体情報取得装置２０７を介して、当該種類の生体情報を取得する（Ｓ７０４）。なお、生体情報選択部２１６は、認証テンプレート情報ＤＢ３２２に登録されている当該ユーザの生体情報の種類を認証サーバ３００に問い合わせて、当該登録されている種類のみ指定を受け付けてもよいし、新たな生体情報の種類の指定を受け付けてもよい。

暗号化部２１４は、ステップＳ７０４で取得した生体情報から、例えばステップＳ２０５で説明した方法と同様の方法で、秘密鍵と公開鍵のペアを生成し、認証サーバ３００からテンプレート情報ＤＢ３２２に格納された公開鍵を取得し、ステップＳ２０５で採用したアルゴリズム（Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、又はＰＢＩ等）に基づいて、当該生成した秘密鍵にマッチする公開鍵を、当該取得した公開鍵から決定し、当該選択した暗号化対象データを、決定した公開鍵又はステップＳ７０４で取得した生体情報から生成された公開鍵で暗号化する（Ｓ７０５）。

生体情報選択部２１６は、暗号化していないデータがあるかを判定する（Ｓ７０６）。生体情報選択部２１６は、暗号化していないデータがあると判定した場合（Ｓ７０６：ＹＥＳ）、ステップＳ７０１に戻り、生体情報選択部２１６は、暗号化していないデータがないと判定した場合（Ｓ７０６：ＮＯ）、暗号化用生体情報登録処理を終了する。

生体情報選択部２１６は、ステップＳ７０１で取得した回答に従って、暗号化に用いる生体情報の種類を利用端末２００のユーザが選択しないと判定した場合（Ｓ７０１：ＮＯ）、例えば、暗号化に用いる生体情報の種類を、データの種類に応じたお薦めに従って決定するか、利用端末２００のユーザの個人特性に基づいて決定するか、問い合わせる情報を出力装置２０６に表示し、利用端末２００のユーザによる入力装置２０５への入力によって、当該問い合わせに対する回答を取得する（Ｓ７０７）。

生体情報選択部２１６は、当該回答に従って、暗号化に用いる生体情報の種類を、データの種類に応じたお薦めに従って決定すると判定した場合（Ｓ７０７：データの種類）、予め定められたデータの種類と暗号化に用いる生体情報の種類との対応に従って、暗号化対象データそれぞれに対応する生体情報を、生体情報取得装置２０７を介して取得する（Ｓ７０８）。

例えば、暗号化対象データが運転免許証等の公的証明書のように漏洩した場合のリスクが大きいデータである場合には、指静脈等のなりすましが困難な生体情報の種類が対応づけられ、暗号化対象データが商店のポイントカードのように漏洩した場合のリスクが小さいデータである場合にはパスワード等の容易に取得可能な情報の種類（このようなリスクが小さい情報は、そもそも暗号化されなくてもよい）が対応付けられているとよい。

暗号化部２１４は、ステップＳ７０８で取得した生体情報それぞれから、例えばステップＳ２０５で説明した方法と同様の方法で、秘密鍵と公開鍵のペアを生成し、認証サーバ３００からテンプレート情報ＤＢ３２２に格納された公開鍵を取得し、ステップＳ２０５で採用したアルゴリズム（Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、又はＰＢＩ等）に基づいて、当該生成した秘密鍵それぞれにマッチする公開鍵を、当該取得した公開鍵から決定し、暗号化対象データそれぞれを、当該決定した対応する公開鍵それぞれで又はステップＳ７０８で取得した生体情報から生成した公開鍵それぞれで暗号化する（Ｓ７０９）。

生体情報選択部２１６は、暗号化していないデータがあるかを判定する（Ｓ７１０）。生体情報選択部２１６は、暗号化していないデータがあると判定した場合（Ｓ７１０：ＹＥＳ）、ステップＳ７０８に戻り、生体情報選択部２１６は、暗号化していないデータがないと判定した場合（Ｓ７１０：ＮＯ）、暗号化用生体情報登録処理を終了する。

生体情報選択部２１６は、ステップＳ７０７で取得した回答に従って、暗号化に用いる生体情報の種類を、利用端末２００のユーザの個人特性に基づいて決定すると判定した場合（Ｓ７０７：個人の特性）、特性チェックシート２２１を出力装置２０６に表示し、当該利用者の入力装置１０５を介した特性チェックシート２２１への入力を受け付ける（Ｓ７１１）。

生体情報選択部２１６は、特性チェックシート２２１への入力結果に基づいて、同意対象データに対応する暗号化用生体情報の種類を決定し、生体情報取得部２１２は、決定した種類の生体情報それぞれを、生体情報取得装置２０７を介して取得する（Ｓ７１２）。特性チェックシート２２１の例、及び特性チェックシート２２１への入力に基づいて、暗号化対象データに対応する暗号化用生体情報の種類を決定する方法の例については後述する。

暗号化部２１４は、ステップＳ７１２で取得した生体情報それぞれから、例えばステップＳ２０６で説明した方法と同様の方法で、秘密鍵と公開鍵のペアを生成し、認証サーバ３００からテンプレート情報ＤＢ３２２に格納された公開鍵を取得し、ステップＳ２０５で採用したアルゴリズム（Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、又はＰＢＩ等）に基づいて、当該生成した秘密鍵それぞれにマッチする公開鍵を、当該取得した公開鍵から決定し、暗号化対象データそれぞれを、当該決定した対応する公開鍵それぞれで又はステップＳ７０８で取得した生体情報から生成した公開鍵それぞれで暗号化する（Ｓ７１３）。

生体情報選択部２１６は、暗号化していないデータがあるかを判定する（Ｓ７１４）。生体情報選択部２１６は、暗号化していないデータがあると判定した場合（Ｓ７１４：ＮＯ）、ステップＳ７１２に戻り、生体情報選択部２１６は、暗号化していないデータがないと判定した場合（Ｓ７１４：ＹＥＳ）、暗号化用生体情報登録処理を終了する。なお、１種類のデータを暗号化するために複数種類の暗号化用生体情報が用いられてもよい。

図８は、同意用生体情報登録処理の一例を示すフローチャートである。利用端末２００の生体情報選択部２１６は、例えば、同意に用いる生体情報の種類を利用端末２００のユーザが選択するかを問い合わせる情報を出力装置２０６に表示し、利用端末２００のユーザによる入力装置２０５への入力によって、当該問い合わせに対する回答を取得する（Ｓ８０１）。

生体情報選択部２１６は、当該回答に従って、同意に用いる生体情報の種類を利用端末２００のユーザが選択すると判定した場合（Ｓ８０１：ＹＥＳ）、データ取得処理で取得されたデータの一覧であるデータリストを出力装置２０６に表示する（Ｓ８０２）。生体情報選択部２１６は、利用端末２００のユーザによる入力装置２０５への入力によって、データリストから同意対象データの選択を受け付ける（Ｓ８０３）。

生体情報選択部２１６は、当該選択した同意対象データへの同意をするための生体情報の種類の指定を、利用端末２００のユーザによる入力装置２０５への入力によって受け付け、生体情報取得部２１２は、生体情報取得装置２０７を介して、当該種類の生体情報を取得する（Ｓ８０４）。

生体情報取得部２１２は、ステップＳ８０４で取得した生体情報から、例えばステップＳ２０６で説明した方法と同様の方法で、秘密鍵と公開鍵のペアを生成し、認証サーバ３００からテンプレート情報ＤＢ３２２に格納された公開鍵を取得し、ステップＳ２０５で採用したアルゴリズム（Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、又はＰＢＩ等）に基づいて、当該生成した秘密鍵にマッチする公開鍵を、当該取得した公開鍵から決定して、決定した公開鍵を通知し、認証サーバ３００のテンプレート管理部３１２は、同意対象データを示す情報と、通知された公開鍵に対応する同意用生体情報の種類を示す情報と、を認証テンプレート情報ＤＢ３２２において当該公開鍵に紐づけて登録する（Ｓ８０５）。

生体情報選択部２１６は、同意用の生体情報の種類を決定していないデータがあるかを判定する（Ｓ８０６）。生体情報選択部２１６は、同意用の生体情報の種類を決定していないデータがあると判定した場合（Ｓ８０６：ＮＯ）、ステップＳ８０１に戻り、生体情報選択部２１６は、同意用の生体情報の種類を決定していないデータがないと判定した場合（Ｓ８０６：ＹＥＳ）、同意用生体情報登録処理を終了する。

生体情報選択部２１６は、ステップＳ８０１で取得した回答に従って、同意に用いる生体情報の種類を利用端末２００のユーザが選択しないと判定した場合（Ｓ８０１：ＮＯ）、例えば、同意に用いる生体情報の種類を、データの種類に応じたお薦めに従って決定するか、利用端末２００のユーザの個人特性に基づいて決定するか、問い合わせる情報を出力装置２０６に表示し、利用端末２００のユーザによる入力装置２０５への入力によって、当該問い合わせに対する回答を取得する（Ｓ８０７）。

生体情報選択部２１６は、当該回答に従って、同意に用いる生体情報の種類を、データの種類に応じたお薦めに従って決定すると判定した場合（Ｓ８０７：データの種類）、予め定められたデータの種類と同意に用いる生体情報の種類との対応に従って、同意対象データそれぞれに対応する生体情報を、生体情報取得装置２０７を介して取得する（Ｓ８０８）。

例えば、同意対象データが運転免許証等の公的証明書のように漏洩した場合のリスクが大きいデータである場合には、指静脈等のなりすましが困難な生体情報の種類が対応づけられ、同意対象データが商店のポイントカードのように漏洩した場合のリスクが小さいデータである場合にはパスワード等の容易に取得可能な情報の種類（このようなリスクが小さい情報は、そもそも暗号化されなくてもよい）が対応付けられているとよい。

生体情報取得部２１２は、ステップＳ８０８で取得した生体情報それぞれから、例えばステップＳ２０６で説明した方法と同様の方法で、秘密鍵と公開鍵のペアを生成し、認証サーバ３００からテンプレート情報ＤＢ３２２に格納された公開鍵を取得し、ステップＳ２０５で採用したアルゴリズム（Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、又はＰＢＩ等）に基づいて、当該生成した秘密鍵それぞれにマッチする公開鍵を、当該取得した公開鍵から決定して、決定した公開鍵それぞれを通知し、認証サーバ３００のテンプレート管理部３１２は、同意対象データそれぞれを示す情報と、通知された公開鍵それぞれに対応する同意用生体情報の種類を示す情報と、を認証テンプレート情報ＤＢ３２２において当該公開鍵に紐づけて登録する（Ｓ８０９）。

生体情報選択部２１６は、同意用の生体情報の種類を決定していないデータがあるかを判定する（Ｓ８１０）。生体情報選択部２１６は、同意用の生体情報の種類を決定していないデータがあると判定した場合（Ｓ８１０：ＮＯ）、ステップＳ８０８に戻り、生体情報選択部２１６は、同意用の生体情報の種類を決定していないデータがないと判定した場合（Ｓ８１０：ＹＥＳ）、同意用生体情報登録処理を終了する。

生体情報選択部２１６は、ステップＳ８０７で取得した回答に従って、同意に用いる生体情報の種類を、利用端末２００のユーザの個人特性に基づいて決定すると判定した場合（Ｓ８０７：個人の特性）、特性チェックシート２２１を出力装置２０６に表示し、当該利用者の入力装置１０５を介した特性チェックシート２２１への入力を受け付ける（Ｓ８１１）。

生体情報選択部２１６は、特性チェックシート２２１への入力結果に基づいて、同意対象データに対応する同意用生体情報の種類を決定し、生体情報取得部２１２は、決定した種類の生体情報それぞれを、生体情報取得装置２０７を介して取得する（Ｓ８１２）。特性チェックシート２２１の例、及び特性チェックシート２２１への入力に基づいて、同意対象データに対応する同意用生体情報の種類を決定する方法の例については後述する。

生体情報取得部２１２は、ステップＳ８１２で取得した生体情報それぞれから、例えばステップＳ２０６で説明した方法と同様の方法で、秘密鍵と公開鍵のペアを生成し、認証サーバ３００からテンプレート情報ＤＢ３２２に格納された公開鍵を取得し、ステップＳ２０５で採用したアルゴリズム（Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、又はＰＢＩ等）に基づいて、当該生成した秘密鍵それぞれにマッチする公開鍵を、当該取得した公開鍵から決定して、決定した公開鍵それぞれを通知し、認証サーバ３００のテンプレート管理部３１２は、同意対象データそれぞれを示す情報と、通知された公開鍵それぞれに対応する同意用生体情報の種類を示す情報と、を認証テンプレート情報ＤＢ３２２において当該公開鍵それぞれに紐づけて登録する（Ｓ８１３）。

生体情報選択部２１６は、同意用の生体情報の種類を決定していないデータがあるかを判定する（Ｓ８１４）。生体情報選択部２１６は、同意用の生体情報の種類を決定していないデータがあると判定した場合（Ｓ８１４：ＮＯ）、ステップＳ８１２に戻り、生体情報選択部２１６は、同意用の生体情報の種類を決定していないデータがないと判定した場合（Ｓ８１４：ＹＥＳ）、同意用生体情報登録処理を終了する。なお、１つの利用目的に同意するために複数種類の同意用生体情報が用いられてもよい。

図９は、特性チェックシート２２１の一例である。以下、特性チェックシート２２１への入力に基づいて、暗号化対象データに対応する暗号化用生体情報の種類を決定する方法の例を説明する。特性チェックシート２２１への入力に基づいて、同意対象データに対応する同意用生体情報の種類を決定する方法については、暗号化の例と同様であるため説明を省略する。

特性チェックシート２２１には、「所要時間は短い（速い）方がよい」、「動作（操作）は楽な方がよい」、「動作（操作）は自然な方がよい」、「動作（操作）は一つに統一されている方がよい」、「動作（操作）は一つずつ順番にやる方がよい」、「安全な（間違いがない、偽造・なりすましが難しい）方がよい」、「選択肢は全部一通り見てから決められる方がよい」、「個人の事情により使えない・使いたくない方法がある」等のチェック項目を含む。

例えば、暗号化用生体情報の種類数の初期値と、暗号化用の生体情報の種類の初期値と、が予め定められているとする（例えば、暗号化用生体情報の種類数の初期値は２であり、その種類の初期値は「顔」と「左手の指静脈」である等）。

例えば、「所要時間は短い（速い）方がよい」が選択された場合には、生体情報選択部２１６は、暗号化用生体情報の種類を所定数減少させる。例えば、暗号化用生体情報の種類を所定数減少させる際の、減少対象の暗号化用生体情報の種類の優先度が例えば予め定められており、生体情報選択部２１６は当該優先度に従って、暗号化用生体情報の種類を所定数減少させる。

例えば、「動作（操作）は楽な方がよい」が選択された場合には、生体情報選択部２１６は、生体情報を取得するための動作難易度（予め定められているものとする）が所定値より高い暗号化用生体情報の種類を削除し、当該動作難易度が最低の暗号化用生体情報の種類を少なくとも追加する。例えば、顔や虹彩のようなユーザがカメラの前にいるだけで取得可能な生体情報は動作難易度が低く、歩様のように取得するためのユーザの動作量が多い生体情報は動作難易度が高い。

例えば、「動作（操作）は自然な方がよい」が選択された場合には、生体情報選択部２１６は、「顔」と「右手又は左手の指静脈」のような予め定められた生体情報の種類の組み合わせを暗号化用生体情報に含まないようにする（当該組み合わせに含まれる生体情報の種類の一部のみであれば暗号化用生体情報に含まれてもよい）。例えば、「顔」と「右手又は左手の指静脈」を取得する際には、ユーザが顔の脇に片方の掌を置いて顔と指静脈を同時にカメラにかざしたり、額に片手の甲を当てて顔と指静脈を同時にカメラにかざしたりすることで、これらの生体情報を一度で取得することができるが、このような不自然な動作を人前ですることに羞恥心を覚えるユーザもいるため、このような項目が用意されているとよい。

例えば、「動作（操作）は一つに統一されている方がよい」が選択された場合には、生体情報選択部２１６は、「左手の指静脈」と「右手の指静脈」等のような予め定められた生体情報の種類の組み合わせ（例えば同じ動作で取得できる生体情報の組み合わせ）を、暗号化用生体情報に含める。この場合に、生体情報選択部２１６は、当該組み合わせに含まれない暗号化用生体情報を削除してもよい。

例えば、「動作（操作）は一つずつ順番にやる方がよい」が選択された場合には、生体情報選択部２１６は、「顔」と「虹彩」のように予め定められた生体情報の種類の組み合わせ（カメラで顔を撮影することにより一度の動作で取得できる生体情報の組み合わせ）の少なくとも一方を暗号化用生体情報から削除する。一方、例えば、「動作（操作）は一つずつ順番にやる方がよい」が選択されなかった場合には、「動作（操作）はまとめて一度にやる方がよい」ものとして、「顔」と「虹彩」のように予め定められた生体情報の種類の組み合わせ（カメラで顔を撮影することにより一度の動作で取得できる生体情報の組み合わせ）を暗号化用生体情報に追加する。

また、例えば、「動作（操作）は一つずつ順番にやる方がよい」が選択された場合には、生体情報選択部２１６は、「顔」と「右手又は左手の指静脈」のような同時に取得可能な予め定められた生体情報の種類の組み合わせを含んでいれば、「顔」と「右手又は左手の指静脈」を同時にカメラにかざして取得するのではなく、「顔」の取得が終了した後に「右手又は左手の指静脈」を取得する、又は「右手又は左手の指静脈」の取得が終了した後に「顔」を取得するよう、暗号化用生体情報を決定する。

例えば、「安全な（間違いがない、偽造・なりすましが難しい）方がよい」が選択された場合には、生体情報選択部２１６は、生体情報の種類ごとに予め定められたセキュリティレベルが所定値より低い生体情報を暗号化用生体情報から削除し、当該セキュリティレベルが最高の生体情報を少なくとも暗号化用生体情報に追加する。

例えば、「選択肢は全部一通り見てから決められる方がよい」が選択された場合には、生体情報選択部２１６は、暗号化用生体情報として利用可能な全ての生体情報の種類を示す情報を出力装置２０６に表示した上で、利用端末２００のユーザによる入力装置１０５への入力に従って暗号化用生体情報を決定する、又は再度特性チェックシート２２１への入力を要求する。

例えば、「個人の事情により使えない・使いたくない方法がある」が選択された場合には、生体情報選択部２１６は、利用端末２００のユーザによる、生体情報を取得できない部位の指定を要求し、当該部位に予め対応づけられた暗号化用生体情報を削除する。宗教、障がい、怪我、病気、職業、及び人種によっては、生体情報を取得するための部位を露出できない又はしたくない、生体情報を取得するための部位が傷ついている又は欠損している等の事情がある。

なお、生体情報選択部２１６は特性チェックシート２２１に基づいて決定された暗号化用生体情報の種類を、暗号化対象データにランダムに割り当ててもよいし、より安全に提示したい暗号化データ（例えば利用端末２００のユーザが指定することができる）には決定された暗号化用生体情報の種類のうちセキュリティレベルが最も高い暗号化用生体情報を割り当てる等してもよい。

なお、利用端末２００は利用端末２００のユーザの性格及び気質に関して質問紙法などを用いて、利用者の特性及び価値観を示す結果を取得して認証サーバ３００に送信し、認証サーバ３００の生体情報選択部２１６は、当該結果に基づいて暗号化用生体情報を決定してもよい。

図１０は、ガイダンス情報更新処理の一例を示すフローチャートである。認証サーバ３００のガイダンス管理部３１３は、認証テンプレート情報ＤＢ３２２を参照して、当該ウォレット名に生体ガイダンス画面を表示することを示す情報が紐づけられているかを判定することにより、生体ガイダンス画面を表示するかを判定する（Ｓ１００１）。

ガイダンス管理部３１３は、生体ガイダンス画面を表示しないと判定した場合（Ｓ１００１：ＮＯ）、ガイダンス情報更新処理を終了する。ガイダンス管理部３１３は、生体ガイダンス画面を表示すると判定した場合（Ｓ１００１：ＹＥＳ）、データ取得処理で取得されたデータの一覧であるデータリストを出力装置２０６に表示するよう要求する（Ｓ１００２）。

ガイダンス管理部３１３は、データリストに含まれるデータのうち、ガイダンス表示の対象となるデータを選択するよう利用端末２００に要求し、利用端末２００の入力部１１３は、入力装置２０５への利用端末２００のユーザによってガイダンス表示の対象となるデータの選択結果を取得して、認証サーバ３００に送信する（Ｓ１００３）。

ガイダンス管理部３１３は、認証テンプレート情報ＤＢ３２２において、当該ウォレット名に対応する当該選択結果が示すデータを示す情報に、生体ガイダンス画面を表示することを示す情報を紐づけて登録する（Ｓ１００４）。

ガイダンス管理部３１３は、ステップＳ１００４で登録した情報を利用端末２００に送信し、利用端末２００の入力部２１３は、例えばユーザの入力装置２０５への入力によって、当該情報が正しく登録されているかを示す確認結果を取得し、認証サーバ３００に送信する（Ｓ１００５）。ガイダンス管理部３１３は、受信した確認結果から生体ガイダンス画面を表示することを示す情報が正しく登録されているかを判定する（Ｓ１００６）。

ガイダンス管理部３１３は、生体ガイダンス画面を表示することを示す情報が正しく登録されていないと判定した場合（Ｓ１００６：ＮＯ）、ステップＳ１００４で登録した情報を削除し、ステップＳ１００２に戻る。ガイダンス管理部３１３は、生体ガイダンス画面を表示することを示す情報が正しく登録されていると判定した場合（Ｓ１００６：ＹＥＳ）、ガイダンス情報更新処理を終了する。

なお、データリストに含まれる全てのデータに対して一括して生体ガイダンス画面を表示するか否かを選択可能であってもよいし、データリストに含まれる一部のデータに対して生体ガイダンス画面を表示可能であってもよい。また、データリストに含まれるデータに対して暗号化又は同意の一方のみについて生体ガイダンス画面を表示可能であってもよい。

図１１は、データ提示処理の一例を示すフローチャートである。認証サーバ３００のテンプレート管理部３１２は、データ取得処理で取得されたデータの一覧であるデータリストを利用端末２００に送信して出力装置２０６に表示し、利用端末２００の入力部２１３は、利用端末２００のユーザによる入力装置２０５への入力によって、提示対象データ（公開鍵で暗号化された暗号化データ）を選択し、選択結果を認証サーバ３００に送信する（Ｓ１１０１）。

さらに、ステップＳ１１０１において、テンプレート管理部３１２は、個人情報ＤＢ３２１において当該ウォレット名に対応するＰＤＳポインタが示すＰＤＳ４００に対して、当該ウォレット名のウォレット４２１に含まれるデータであって、受信した選択結果が示す提示対象データを利用端末２００に送信するよう要求し、当該ＰＤＳ４００のデータ管理部４１３は当該提示対象データを利用端末２００に送信する。さらに、ステップＳ１１０１において、認証サーバ３００のテンプレート管理部３１２は、認証テンプレート情報ＤＢ３２２において当該提示対象データに対応する公開鍵を取得して、利用端末２００に送信する。

利用端末２００は、提示対象データに対する復号化処理（Ｓ１１０２）、及び復号化された提示対象データに対する同意処理（Ｓ１１０３）を実行して、データ提示処理が終了する。復号化処理及び同意処理の詳細は後述する。

図１２は、復号化処理の一例を示すフローチャートである。ガイダンス管理部３１３は、認証テンプレート情報ＤＢ３２２を参照して、当該提示対象データに生体ガイダンス画面を表示することを示す情報が紐づけられている場合に、生体ガイダンス画面（即ちどの生体を生体情報取得装置２０７にかざせばよいかを示す情報が表示された画面）を利用端末２００の出力装置２０６に表示する（Ｓ１２０１）。

なお、当該提示対象データに生体ガイダンス画面を表示することを示す情報が紐づけられていない場合、ガイダンス管理部３１３は、生体ガイダンス画面を表示することなく（即ちステップＳ１２０１の処理を実行することなく）、ステップＳ１２０２へ遷移する。

生体情報取得部２１２は、生体情報取得装置２０７を介して、復号化用生体情報（暗号化用生体情報と同種の生体情報）を取得する（Ｓ１２０２）。なお、ステップＳ５０７において、暗号化用及び同意用の生体情報の種類を認証用と共通にすると判定された場合には、ステップＳ５０１で認証用に取得された第１種生体情報を利用すればよいため、ステップＳ１２０２の処理は実行されない。

暗号化部２１４は、例えばステップＳ２０６で説明した方法と同様の方法で、復号化用生体情報から秘密鍵と公開鍵のペアを生成し、暗号化部２１４は当該生成した秘密鍵で提示対象データを復号化する（Ｓ１２０３）。

暗号化部２１４は、例えば、ステップＳ２０５で採用したアルゴリズム（Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、又はＰＢＩ等）に基づいて、提示対象データを復号化できたか、即ちステップＳ１２０２で生成した秘密鍵と、ステップＳ１１０１で取得した公開鍵と、がマッチするかを判定する（Ｓ１２０４）。

暗号化部２１４は、提示対象データを復号化できなかったと判定した場合（Ｓ１２０４：ＮＯ）、エラーメッセージを出力装置２０６に表示して（Ｓ１２０５）、ステップＳ１２０１に戻る。暗号化部２１４は、提示対象データを復号化できたと判定した場合（Ｓ１２０４：ＹＥＳ）、復号化した提示対象データを出力装置２０６に表示して（Ｓ１２０６）、復号化処理を終了する。

図１３は、同意処理の一例を示すフローチャートである。利用端末２００の同意部２１７は、例えば、データの利用目的及びデータ提出先を示す情報を含むデータ提出先情報を取得する（Ｓ１３０１）。例えば、データ提出先の企業等の組織が利用端末２００を保有している場合には、データ提出先情報は補助記憶装置２０３に予め格納されていてもよい。また、データ提出先の端末が、外部の端末であれば、例えば、同意部２１７が、データ提出先情報を当該端末から取得する。

同意部２１７は、利用端末２００のユーザの入力装置２０５への入力に基づいて、当該ユーザが利用目的に同意するかを判定する（Ｓ１３０２）。なお、同意部２１７は、利用目的に対する同意だけでなく、データの提供先やデータの提供時期等（例えばいずれもデータ提供先情報に含まれる）に対する同意を確認してもよい。同意部２１７は、ユーザが利用目的に同意しないと判定した場合（Ｓ１３０２：ＮＯ）、データ提供先にデータを提供することなく、さらに利用端末２００が保持するステップＳ１２０３で復号化された提示対象データ及びステップＳ１２０３で生成された秘密鍵を削除して、同意処理を終了する。

同意部２１７が、ユーザが利用目的に同意したと判定した場合（Ｓ１３０２：ＹＥＳ）、ガイダンス管理部３１３は、認証テンプレート情報ＤＢ３２２を参照して、当該提示対象データに生体ガイダンス画面を表示することを示す情報が紐づけられている場合に、生体ガイダンス画面（即ちどの生体を生体情報取得装置２０７にかざせばよいかを示す情報が表示された画面）を利用端末２００の出力装置２０６に表示する（Ｓ１３０３）。

なお、当該提示対象データに生体ガイダンス画面を表示することを示す情報が紐づけられていない場合、ガイダンス管理部３１３は、生体ガイダンス画面を表示することなく（即ちステップＳ１３０３の処理を実行することなく）、ステップＳ１３０４へ遷移する。

生体情報取得部２１２は、生体情報取得装置２０７を介して、同意用生体情報を取得する（Ｓ１３０４）。なお、ステップＳ５０７において、暗号化用及び同意用の生体情報の種類を認証用と共通にすると判定された場合には、ステップＳ５０１で認証用に取得された第１種生体情報を利用すればよいため、ステップＳ１３０４の処理は実行されない。

暗号化部２１４は、例えばステップＳ２０６で説明した方法と同様の方法で、同意用生体情報から秘密鍵と公開鍵のペアを生成し、暗号化部２１４は当該生成した秘密鍵で提示対象データ（復号化済み）の利用目的に同意の電子署名を施す（Ｓ１３０５）。

暗号化部２１４は、復号化済みの提示対象データの利用目的に同意の署名を施すことができたか、即ちステップＳ１３０５で生成した秘密鍵と、ステップＳ１１０１で取得した公開鍵と、が照合できるかを判定する（Ｓ１３０６）。

暗号化部２１４は、復号化済みの提示対象データの利用目的に同意の署名を施すことができなかったと判定した場合（Ｓ１３０６：ＮＯ）、エラーメッセージを出力装置２０６に表示して（Ｓ１３０７）、ステップＳ１３０３に戻る。暗号化部２１４は、復号化済みの提示対象データの利用目的に同意の署名を施すことができたと判定した場合（Ｓ１３０６：ＹＥＳ）、復号化済み、かつ利用目的に同意の署名を施した提示対象データを提示先に送信して（Ｓ１３０７）、ステップＳ１２０３で生成された秘密鍵を削除して、同意処理を終了する。

以上、本実施例のデータ管理システムは、上記したように生体情報から公開鍵を生成し、さらにデータをその当該公開鍵に対応する秘密鍵でないと復号できない形でＰＤＳ４００に保管することで、データや鍵管理を実行するための携帯端末（スマートフォンやタブレット端末等）を所持していないユーザでも、データ登録処理及びデータ提示処理を実行することができる。これにより、携帯端末の紛失及び盗難リスクがなくなり、また携帯端末を所持していないユーザであっても自己主権型アイデンティティの仕組みを利用可能となる。

また、利用端末２００は、利用端末２００のユーザの本人の生体情報から生成された公開鍵で認証や署名を実行するため、当該ユーザが他人と結託してデータや、利用端末２００が携帯端末であれば当該携帯端末を、譲渡又は売却する不正行為を防止することができる。

また、前述した通り、本実施例のデータ管理システムでは、認証用生体情報、暗号化用生体情報、及び同意用生体情報いずれも１種類であってもよいし、複数種類であってもよい。従って、登録端末１００及び利用端末２００のユーザは、認証用生体情報の種類と、暗号化用生体情報及び同意用生体情報の種類と、が同じ１種類の生体情報になるように選択することもできるし、同じ複数種類の生体情報の組み合わせになるように選択することもできるし、認証用生体情報の種類と、暗号化用生体情報及び同意用生体情報の種類と、一方を１種類として他方を複数種類となったうえで重複がないように選択することもできるし、認証用生体情報の種類と、暗号化用生体情報及び同意用生体情報の種類と、の双方を複数種類としたうえで重複がないように選択することもできる。

また、本実施例のデータ管理システムは、特性チェックシート２２１に基づいて、暗号化用生体情報及び同意用生体情報を決定することにより、利用端末２００のユーザの性格、特性、及び好み等にマッチする種類の生体情報を暗号化用生体情報及び同意用生体情報に決定することができ、ひいては当該ユーザを満足させることができる。

また、本実施例の特性チェックシート２２１においては、個人の事情により使えない又は使いたくない生体情報の種類を除外することができるため、様々な宗教、障がい、怪我、病気、職業、及び人種等のダイバーシティに対応することができる生体情報の種類を決定することができる。

また、本実施例のデータ管理システムは、生体ガイダンス画面を表示可能であることにより、どの種類の生体情報が認証用生体情報、暗号化用生体情報、及び同意用生体情報に用いられたかを忘れてしまったユーザであっても、認証処理、復号化処理、及び同意処理を実行できる。

なお、本実施例のデータ管理システムでは、未成年者、病気、けが、認知症などの理由により個人でデータ提示が困難な成人は代理人に、データ提示の権限を委譲することもできる。このような場合には、具体的には、例えば、登録端末１００のユーザ、及び利用端末２００のユーザが、本人に代わる当該代理人であればよい。つまり、当該代理人の生体情報が取得される。

また、未成年者のように登録端末１００及び利用端末２００が設置されている場所に出向いて生体情報の取得は可能であるものの制限行為能力者であるような場合には、登録端末１００のユーザ、及び利用端末２００のユーザが当該未成年者と当該代理人であるようにしてもよい。つまり、当該未成年者と当該代理人双方の生体情報が取得され、認証、暗号化、復号化、及び同意に当該未成年者と当該代理人双方の生体情報が要求されてもよい。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１００ 登録端末、１０１ ＣＰＵ、１０２ メモリ、１０３ 補助記憶装置、１０４ 通信装置、１０５ 入力装置、１０６ 出力装置、１０７ 生体情報取得装置、１１１ ウォレット名指定部、１１２ 生体情報取得部、１１３ 入力部、１１４ 暗号化部、 ２００ 利用端末、２０１ ＣＰＵ、２０２ メモリ、２０３ 補助記憶装置、２０４ 通信装置、２０５ 入力装置、２０６ 出力装置、２０７ 生体情報取得装置、２１１ ウォレット名指定部、２１２ 生体情報取得部、２１３ 入力部、２１４ 暗号化部、２１５ データ登録部、２１６ 生体情報選択部、２１７ 同意部、２２１ 特性チェックシート、３００ 認証サーバ、３０１ ＣＰＵ、３０２ メモリ、３０３ 補助記憶装置、３０４ 通信装置、３０５ 入力装置、３０６ 出力装置、３１１ ウォレット管理部、 ３１２ テンプレート管理部、３１３ ガイダンス管理部、４００ 登録端末、４０１ ＣＰＵ、４０２ メモリ、４０３ 補助記憶装置、４０４ 通信装置、４０５ 入力装置、４０６ 出力装置、４１１ データ管理部、４２１ ウォレット

Claims (15)

1. 第１計算機、第２計算機、第３計算機を含むデータ管理システムであって、
   データ登録処理において、
   前記第１計算機は、
   データを保持し、
   前記データを暗号化する暗号化用生体情報の種類を決定し、
   前記第１計算機のユーザの前記決定した種類の暗号化用生体情報を取得し、
   前記取得した暗号化用生体情報それぞれから、所定のアルゴリズムに基づいて公開鍵を生成し、
   前記公開鍵を用いて前記データを暗号化し、
   前記公開鍵を前記第２計算機に送信し、
   前記暗号化したデータを前記第３計算機に送信し、
   データ提示処理において、
   前記第１計算機は、
   前記暗号化したデータを前記第３計算機から取得し、
   前記第１計算機のユーザの前記決定した種類の復号化用生体情報を取得し、
   前記取得した復号化用生体情報それぞれから、前記所定のアルゴリズムに基づいて秘密鍵を生成し、
   前記暗号化されたデータを、前記秘密鍵を用いて復号化し、
   前記復号化した登録対象データそれぞれを提示する、データ管理システム。
2. 請求項１に記載のデータ管理システムであって、
   前記第１計算機は、入力装置に接続され、
   前記データ登録処理において、前記第１計算機は、前記入力装置への入力に基づいて、前記暗号化用生体情報の種類を決定する、データ管理システム。
3. 請求項１に記載のデータ管理システムであって、
   前記データ登録処理において、前記第１計算機は、予め定められたデータの種類と暗号化用生体情報の種類との対応に基づいて、前記暗号化用生体情報の種類を決定する、データ管理システム。
4. 請求項１に記載のデータ管理システムであって、
   前記第１計算機は、前記第１計算機のユーザの特性を示す情報を取得するための特性チェックシートを保持し、
   前記データ登録処理において、
   前記第１計算機は、前記特性チェックシートへのチェックを受け付け、
   前記チェックされた前記特性チェックシートが示す前記第１計算機のユーザの特性に基づいて、前記暗号化用生体情報の種類を決定する、データ管理システム。
5. 請求項４に記載のデータ管理システムであって、
   前記特性チェックシートは、前記第１計算機のユーザから取得できない前記暗号化用生体情報の種類、及び／又は前記暗号化用生体情報の種類の数と前記暗号化用生体情報の種類とを決定するための前記第１計算機のユーザの性格を特定するためのチェック項目を含む、データ管理システム。
6. 請求項１に記載のデータ管理システムであって、
   前記第１計算機は、入力装置及び表示装置に接続され、
   前記データ登録処理において、
   前記第１計算機は、前記データ提示処理が実行されるときに前記決定した種類を示す表示を含むガイダンス画面を前記表示装置に表示するかを、前記入力装置への入力に基づいて決定し、
   前記第１計算機は、
   前記ガイダンス画面を表示すると決定した場合、
   前記データ提示処理において、前記決定した種類の復号化用生体情報を取得する前に、前記ガイダンス画面を前記表示装置に表示する、データ管理システム。
7. 請求項１に記載のデータ管理システムであって、
   前記データ登録処理において、
   前記第１計算機は、
   前記データの利用目的に同意するための同意用生体情報の種類を決定し、
   前記第１計算機のユーザの前記決定した種類の同意用生体情報を取得し、
   前記取得した種類の同意生体情報それぞれから、所定のアルゴリズムに基づいて公開鍵を生成し、
   前記公開鍵を前記第２計算機に送信し、
   前記データ提示処理において、
   前記第１計算機は、
   前記利用目的を示す利用目的情報を保持し、
   前記第１計算機のユーザの前記決定した種類の同意用生体情報を取得し、
   前記取得した同意用生体情報それぞれから、前記所定のアルゴリズムに基づいて秘密鍵を生成し、
   当該データ提示処理において取得した同意用生体情報それぞれから生成された秘密鍵を用いて、前記利用目的情報に電子署名を付与し、
   前記電子署名を付与した利用目的情報を提示する、データ管理システム。
8. 請求項７に記載のデータ管理システムであって、
   前記第１計算機は、入力装置に接続され、
   前記データ登録処理において、前記第１計算機は、前記入力装置への入力に基づいて、前記同意用生体情報の種類を決定する、データ管理システム。
9. 請求項７に記載のデータ管理システムであって、
   前記データ登録処理において、前記第１計算機は、予め定められたデータの種類と同意用生体情報の種類との対応に基づいて、前記同意用生体情報の種類を決定する、データ管理システム。
10. 請求項７に記載のデータ管理システムであって、
    前記第１計算機は、前記第１計算機のユーザの特性を示す情報を取得するための特性チェックシートを保持し、
    前記データ登録処理において、
    前記第１計算機は、前記特性チェックシートへのチェックを受け付け、
    前記チェックされた前記特性チェックシートが示す前記第１計算機のユーザの特性に基づいて、前記同意用生体情報の種類を決定する、データ管理システム。
11. 請求項１０に記載のデータ管理システムであって、
    前記特性チェックシートは、前記第１計算機のユーザから取得できない前記同意用生体情報の種類、及び／又は前記同意用生体情報の種類の数と前記同意用生体情報の種類とを決定するための前記第１計算機のユーザの性格を特定するためのチェック項目を含む、データ管理システム。
12. 請求項７に記載のデータ管理システムであって、
    前記第１計算機は、入力装置及び表示装置に接続され、
    前記データ登録処理において、
    前記第１計算機は、前記データ提示処理が実行されるときに前記決定した同意用生体情報の種類を示す表示を含むガイダンス画面を前記表示装置に表示するかを、前記入力装置への入力に基づいて決定し、
    前記第１計算機は、
    前記ガイダンス画面を表示すると決定した場合、
    前記データ提示処理において、前記決定した種類の同意用生体情報を取得する前に、前記ガイダンス画面を前記表示装置に表示する、データ管理システム。
13. 請求項７に記載のデータ管理システムであって、
    前記データ登録処理において前記決定した暗号化用生体情報の種類と、前記決定した同意用生体情報の種類と、が共通する場合、
    前記データ提示処理において、前記第１計算機は、前記共通する種類の生体情報を、暗号化用生体情報及び同意用生体情報として、１回の取得処理で同時に取得する、データ管理システム。
14. 第１計算機、第２計算機、第３計算機を含むデータ管理システムによるデータ管理方法であって、
    前記データ管理方法は、
    データ登録処理において、
    前記第１計算機が、データを保持し、
    前記第１計算機が、前記データを暗号化する暗号化用生体情報の種類を決定し、
    前記第１計算機が、前記第１計算機のユーザの前記決定した種類の暗号化用生体情報を取得し、
    前記第１計算機が、前記取得した暗号化用生体情報それぞれから、所定のアルゴリズムに基づいて公開鍵を生成し、
    前記第１計算機が、前記公開鍵を用いて前記データを暗号化し、
    前記第１計算機が、前記公開鍵を前記第２計算機に送信し、
    前記第１計算機が、前記暗号化したデータを前記第３計算機に送信し、
    データ提示処理において、
    前記第１計算機が、前記暗号化したデータを前記第３計算機から取得し、
    前記第１計算機が、前記第１計算機のユーザの前記決定した種類の復号化用生体情報を取得し、
    前記第１計算機が、前記取得した復号化用生体情報それぞれから、前記所定のアルゴリズムに基づいて秘密鍵を生成し、
    前記第１計算機が、前記暗号化されたデータを、前記秘密鍵を用いて復号化し、
    前記第１計算機が、前記復号化した登録対象データそれぞれを提示する、データ管理方法。
15. 第１計算機、第２計算機、第３計算機を含むデータ管理システムにデータ管理を実行させるデータ管理プログラムであって、
    データ登録処理において、前記第１計算機は、データを保持し、
    前記プログラムは、
    前記データ登録処理において、
    前記第１計算機に、前記データを暗号化する暗号化用生体情報の種類を決定する処理と、
    前記第１計算機に、前記第１計算機のユーザの前記決定した種類の暗号化用生体情報を取得する処理と、
    前記第１計算機に、前記取得した暗号化用生体情報それぞれから、所定のアルゴリズムに基づいて公開鍵を生成する処理と、
    前記第１計算機に、前記公開鍵を用いて前記データを暗号化する処理と、
    前記第１計算機に、前記公開鍵を前記第２計算機に送信する処理と、
    前記第１計算機に、前記暗号化したデータを前記第３計算機に送信する処理と、を実行させ、
    データ提示処理において、
    前記第１計算機に、前記暗号化したデータを前記第３計算機から取得する処理と、
    前記第１計算機に、前記第１計算機のユーザの前記決定した種類の復号化用生体情報を取得する処理と、
    前記第１計算機に、前記取得した復号化用生体情報それぞれから、前記所定のアルゴリズムに基づいて秘密鍵を生成する処理と、
    前記第１計算機に、前記暗号化されたデータを、前記秘密鍵を用いて復号化する処理と、
    前記第１計算機に、前記復号化した登録対象データそれぞれを提示する処理と、を実行させるデータ管理プログラム。

Images