JP2023000212A - 情報処理システム、情報処理方法および情報処理プログラム - Google Patents

Abstract

【課題】連携先でデータ漏洩が発生しても、各種データがどのユーザに関するものであるか特定されず、システム内のセキュリティを十分に確保できる技術を提供する。【解決手段】ネットワーク上に存在するユーザ端末１０、ホストサーバ２０および連携サーバ３０の間でデータ授受を行う情報処理システムにおいて、前記ユーザ端末１０を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得るＩＤ管理部２１と、前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域４０と、前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域５０と、を有する。前記ユーザＩＤ使用域４０は、前記ホストサーバ２０とのデータ授受を行うためのものであり、前記非可逆ユーザＩＤ使用域５０は、前記連携サーバ３０とのデータ授受を行うためのものである。【選択図】図２

Description

本発明は、情報処理システム、情報処理方法および情報処理プログラムに関する。

近年、情報処理システムとして、ネットワーク上に存在する複数のコンピュータ（サーバ装置）を連携させて、ユーザへの情報処理サービスを提供するように構成されたものがある。このような情報処理システムでは、ユーザに固有のＩＤ（ユーザＩＤ）を用いて、ユーザに関する各種データ（個人情報等）を管理することが一般的である。その場合に、ユーザＩＤについては、暗号化によってセキュリティを確保することが知られている（例えば、特許文献１参照）。

特開２０１２－２２２４１４号公報

しかしながら、情報処理システムにおいては、システム内の各種データがユーザＩＤで紐づけされているため、例えば、連携先でデータ漏洩が発生すると、その漏洩内容に基づいて、システム内の各種データがどのユーザに関するものであるか特定されてしまうおそれがある。このことは、ユーザＩＤが暗号化されていても、漏洩内容に暗号鍵が含まれていると、防ぐことができない。

本開示は、例えば連携先でデータ漏洩が発生しても、システム内の各種データを管理する管理側においては、各種データがどのユーザに関するものであるか特定されず、これによりシステム内のセキュリティを十分に確保できる技術を提供する。

本開示の一態様によれば、
ネットワーク上に存在するユーザ端末、ホストサーバおよび連携サーバの間でデータ授受を行うように構成された情報処理システムであって、
前記ユーザ端末を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得るＩＤ管理部と、
前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域と、
前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域と、
を有し、
前記ユーザＩＤ使用域は、前記ホストサーバとのデータ授受を行うためのものであり、
前記非可逆ユーザＩＤ使用域は、前記連携サーバとのデータ授受を行うためのものである
情報処理システムが提供される。

本開示の他の一態様によれば、
ネットワーク上に存在するユーザ端末、ホストサーバおよび連携サーバの間でデータ授受を行うように構成された情報処理システムで用いられる情報処理方法あって、
前記ユーザ端末を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得て、
前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域を、前記ホストサーバとのデータ授受を行うためのものとして設定し、
前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域を、前記連携サーバとのデータ授受を行うためのものとして設定する
情報処理方法が提供される。

本開示のさらに他の一態様によれば、
ネットワーク上のコンピュータに、
前記ネットワーク上に存在するユーザ端末、ホストサーバおよび連携サーバの間でデータ授受を行う機能と、
前記ユーザ端末を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得る機能と、
前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域を、前記ホストサーバとのデータ授受を行うためのものとして設定する機能と、
前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域を、前記連携サーバとのデータ授受を行うためのものとして設定する機能と、
を実現させるための情報処理プログラムが提供される。

本開示によれば、システム内でユーザＩＤと非可逆ユーザＩＤとを併存させつつ、ユーザＩＤ使用域と非可逆ユーザＩＤ使用域とを明確に区別することで、例えば連携先で非可逆ユーザＩＤが漏れた場合であっても、非可逆であるが故にユーザＩＤについては解明できない。そのため、ホストサーバの側での管理データがどのユーザに関するものであるか特定されず、これによりシステム内のセキュリティを十分に確保することができる。

本開示の第一実施形態に係る情報処理システムの概略構成を示す模式図である。 本開示の第一実施形態に係る情報処理システムの機能構成を示すブロック図である。 本開示の第一実施形態に係る情報処理システムにおいてデータ授受を行う際の処理動作例を示す説明図である。 本開示の第一実施形態に係る情報処理システムにおける情報管理状況の一具体例を示す説明図である。 本開示の第二実施形態に係る情報処理システムの概略構成を示す模式図である。 本開示の第二実施形態に係る情報処理システムにおける情報管理状況の一具体例を示す説明図である。

以下、本開示の実施形態について、図面を参照しつつ説明する。

＜１．第一実施形態＞
まず、本開示の第一実施形態を説明する。

（１）システム構成例
図１は、本実施形態で例に挙げる情報処理システムの概略構成を示す模式図である。図２は、本実施形態で例に挙げる情報処理システムの機能構成を示すブロック図である。

（全体構成）
図１に示すように、本実施形態に係る情報処理システムは、図示せぬネットワーク上に存在するユーザ端末１０、ホストサーバ２０および連携サーバ３０を少なくとも有しており、これらの間でデータ授受を行うように構成されている。なお、ユーザ端末１０は、ネットワーク上に複数存在していてもよい。連携サーバ３０についても、同様に、ネットワーク上に複数存在していてもよい。その場合に、複数のユーザ端末１０は、それぞれが個別にホストサーバ２０とのデータ授受を行うことができ、また、それぞれが個別に複数の連携サーバ３０のいずれに対してもデータ授受を行うことができる。

ネットワークとしては、例えば広域ネットワーク（ＷＡＮ）が挙げられるが、データ授受が可能であれば、特に限定されるものではない。ネットワークを通じて授受するデータについても、種類やフォーマット等が特に限定されるものではない。

本実施形態において、ネットワークを通じて授受するデータには、ユーザ端末を使用するユーザの生体情報に関するデータが含まれるものとする。つまり、本実施形態に係る情報処理システムは、ユーザの生体情報に関するデータに対して所定の処理を行うように構成されたものである。ここでいう所定の処理については、詳細を後述する。

（ユーザ端末）
ユーザ端末１０は、ユーザがシステムにアクセスするために使用する端末装置であり、コンピュータとしての機能を有するスマートホン、タブレット端末、ノートパソコン等によって構成されている。ネットワーク上に複数のユーザ端末１０が存在する場合、複数のユーザがシステムにアクセスし得るようになる。

図２に示すように、ユーザ端末１０には、無線通信または有線通信を介して、電気化学センサ１１が接続されている。
電気化学センサ１１は、ユーザ端末１０を使用するユーザの生体情報を測定し、その測定データをユーザ端末１０に出力するものである。生体情報としては、例えば、ユーザ（すなわち被験者）から採取する尿中に含まれる尿酸の濃度に関する情報が挙げられる。尿中における尿酸の濃度の測定は、例えば、尿中に含まれる物質を特定の条件下で電気分解させ、その際に生じる電気化学反応（例えば酸化還元反応）を利用して行うことができる。このように、電気化学センサ１１は、被験者から採取した被検液（例えば尿）中の特定成分（例えば尿酸）を電気化学的に測定するように構成されている。ただし、被検液は、尿の他、血液、唾液、鼻水、汗、涙等の体液であってもよい。また、被検液中の特定成分としては、尿酸の他、尿糖、アルギニン、アルブミン等であってもよい。
なお、電気化学センサ１１の具体的な構成については、公知技術を利用したものであればよく、ここではその説明を省略する。

このような電気化学センサ１１から測定データを取得し、取得した測定データを処理すべく、ユーザ端末１０は、アプリケーション部（以下、単に「アプリ部」という。）１２としての機能を有している。
アプリ部１２は、ユーザ端末１０にインストールされるアプリケーションプログラムによって実現される機能であり、電気化学センサ１１の処理動作を制御しつつ、その電気化学センサ１１から取得した測定データを処理するものである。そのために、アプリ部１２は、ユーザ端末１０を使用するユーザが操作して動作指示を与えるための操作指示部１３、ホストサーバ２０との間および連携サーバ３０との間の通信を制御する通信制御部１４、必要に応じて各種情報をユーザ端末１０のメモリ内に記憶保持するための情報記憶部１５、および、操作指示部１３からの指示に従いつつ電気化学センサ１１の処理動作を制御するセンサ制御部１６、としての機能を有している。

（ホストサーバ）
ホストサーバ２０は、ユーザ端末１０を使用するユーザに所定のサービスを提供するためのものであり、例えばネットワーク上に存在するクラウドサーバによって構成されている。ただし、ホストサーバ２０は、必ずしもクラウドサーバである必要はなく、ネットワークに接続するサーバ装置によって構成されたものであってもよい。

ホストサーバ２０が提供する所定のサービスとしては、例えば、システム内でのユーザ登録に関する管理サービスや、ユーザに関する各種データ（個人情報を含む。）の管理サービス等がある。
このようなサービス提供のために、ホストサーバ２０は、ＩＤ管理部２１、鍵管理部２２、暗号化部２３、復号部２４、第一データベース部２５、および、第二データベース部２６としての機能を有している。これらの各機能は、ホストサーバ２０にインストールされる所定プログラム、または、ホストサーバ２０がアクセス可能な所定プログラムによって実現されるようになっている。

ＩＤ管理部２１は、システム内で一意に決まるユーザＩＤを管理するものである。具体的には、ＩＤ管理部２１は、ユーザ端末１０を使用するユーザからの求めに応じて、そのユーザに対して、そのユーザに固有のＩＤ（オリジナルのユーザＩＤ）を付与するようになっている。さらに、ＩＤ管理部２１は、ユーザＩＤをハッシュ化して非可逆ユーザＩＤを得るようになっている。なお、ハッシュ化の具体的な手法については、特に限定されるものではなく、公知の手法のいずれかを利用して行えばよい。また、ユーザＩＤおよび非可逆ユーザＩＤの具体的な態様についても同様であり、特定の態様に限定されるものではない。

鍵管理部２２は、暗号化部２３が暗号化を行う際および復号部２４が復号を行う際に用いる鍵を管理するものである。鍵管理部２２が管理する鍵には、ホストサーバ２０に固有の共通鍵、または、ホストサーバ２０に固有の公開鍵と秘密鍵のセットの少なくとも一方と、ネットワーク上に存在する連携サーバ３０に固有の公開鍵と、がある。なお、ネットワーク上に複数の連携サーバ３０が存在する場合、鍵管理部２２では、各連携サーバ３０毎に異なる鍵を管理するようになっている。

暗号化部２３は、ユーザＩＤおよび非可逆ユーザＩＤの暗号化を行うものである。具体的には、暗号化部２３は、ユーザＩＤをホストサーバ２０に固有の共通鍵または公開鍵で暗号化し、非可逆ユーザＩＤを連携サーバ３０に固有の公開鍵で暗号化するようになっている。以下、暗号化部２３が暗号化したユーザＩＤを「暗号化ユーザＩＤ」という。また、暗号化部２３が暗号化した非可逆ユーザＩＤを「暗号化非可逆ユーザＩＤ」という。暗号化部２３で得られた暗号化ユーザＩＤおよび暗号化非可逆ユーザＩＤは、一旦、ユーザ端末１０に送られる。

復号部２４は、外部から送られてくる暗号化ユーザＩＤの復号を行うものである。具体的には、復号部２４は、暗号化ユーザＩＤの復号を、ホストサーバ２０に固有の共通鍵または秘密鍵で行うようになっている。

第一データベース部２５は、ユーザに関する各種データのうち、特にホストサーバ２０で局所的に管理すべきデータを記憶保持するものである。ホストサーバ２０で局所的に管理すべきデータとしては、例えば、各ユーザの個人情報（氏名、住所、クレジットカード情報等の個人が特定され得る情報、支払いに関する個人の情報等）が挙げられる。このような個人情報を、第一データベース部２５は、各ユーザのユーザＩＤと関連付けて記憶保持するようになっている。これにより、各ユーザの個人情報は、ホストサーバ２０で局所的に管理されることになる。

第二データベース部２６は、ユーザに関する各種データのうち、第一データベース部２５による記憶保持データを除くデータを記憶保持するものである。第二データベース部２６が記憶保持するデータは、各ユーザの個人情報以外のもので、例えば、後述する連携サーバ３０からの解析結果に関する情報、各ユーザの生活習慣に関する情報である生活習慣情報等が含まれる。
第二データベース部２６は、図例のようにホストサーバ２０に配することが考えられるが、これに限定されることはなく、ホストサーバ２０がアクセス可能であれば、システム内の他装置（例えば、後述する非可逆ユーザＩＤ使用域５０における連携サーバ３０）に配されていてもよい。
ホストサーバ２０に配されている場合、第二データベース部２６は、ユーザに関するデータを、当該ユーザのユーザＩＤと関連付けて記憶保持するようになっている。ただし、ホストサーバ２０ではなく非可逆ユーザＩＤ使用域５０の他装置に配されている場合には、第二データベース部２６は、ユーザに関するデータを、当該ユーザの非可逆ユーザＩＤと関連付けて記憶保持する。これにより、ユーザに関する個人情報以外の各種データは、ホストサーバ２０がアクセス可能な状態で管理されることになる。

なお、第一データベース部２５には、非可逆ユーザＩＤおよび暗号化非可逆ユーザＩＤのいずれも記憶保持されない。また、第二データベース部２６にも、ホストサーバ２０に配されている場合には、非可逆ユーザＩＤおよび暗号化非可逆ユーザＩＤのいずれも記憶保持されない。そのため、暗号化部２３からユーザ端末１０への暗号化非可逆ユーザＩＤの送出後は、ホストサーバ２０には、非可逆ユーザＩＤおよび暗号化非可逆ユーザＩＤのいずれも残らない。つまり、ホストサーバ２０は、非可逆ユーザＩＤを非保存とするように構成されている。

（連携サーバ）
連携サーバ３０は、ユーザ端末１０を使用するユーザにホストサーバ２０とは別のサービスを提供するためのものであり、例えばネットワーク上に存在するクラウドサーバによって構成されている。ただし、連携サーバ３０についても、ホストサーバ２０と同様に、必ずしもクラウドサーバである必要はなく、ネットワークに接続するサーバ装置によって構成されたものであってもよい。

連携サーバ３０が提供する別のサービスとしては、例えば、電気化学センサ１１による測定データを解析して、その解析結果に関する情報をユーザに通知するサービスがある。ネットワーク上に複数の連携サーバ３０が存在する場合、各連携サーバ３０は、それぞれが異なるサービスを提供するようにしてもよい。つまり、システム内では、ホストサーバ２０と連携サーバ３０とが連携することにより、単独サーバでは成し得なかった情報処理サービスを、ユーザに提供するようになっている。

このようなサービス提供のために、連携サーバ３０は、鍵管理部３１、復号部３２、ユーザ認可部３３、解析アルゴリズム部３４、および、データベース部３５としての機能を有している。これらの各機能は、連携サーバ３０にインストールされる所定プログラム、または、連携サーバ３０がアクセス可能な所定プログラムによって実現されるようになっている。

鍵管理部３１は、復号部３２が復号を行う際に用いる鍵を管理するものである。鍵管理部３１が管理する鍵には、ネットワーク上に存在する連携サーバ３０に固有の公開鍵と秘密鍵のセットがある。また、鍵管理部３１が管理する鍵は、連携サーバ３０に固有の共通鍵であってもよい。なお、ネットワーク上に複数の連携サーバ３０が存在する場合、各連携サーバ３０における鍵管理部３１は、それぞれが異なる鍵を管理するようになっている。

復号部３２は、外部から送られてくる暗号化非可逆ユーザＩＤの復号を行うものである。具体的には、復号部３２は、暗号化非可逆ユーザＩＤの復号を、連携サーバ３０に固有の秘密鍵または共通鍵で行うようになっている。

ユーザ認可部３３は、復号部３２による復号後の非可逆ユーザＩＤを基に、その非可逆ユーザＩＤによって特定されるユーザが、連携サーバ３０でのサービスを提供可能なユーザであるか否か、すなわちホストサーバ２０で認証されたユーザであるか否かを判断するものである。

解析アルゴリズム部３４は、ユーザ端末１０を使用するユーザからの求めに応じて、そのユーザについて電気化学センサ１１で得られた測定データに対して所定の解析処理を行い、その解析結果に関する情報を出力するものである。所定の解析処理としては、例えば、測定データの経時変化を解析する処理や、その経時変化から疾病リスクを判定する処理等がある。つまり、解析アルゴリズム部３４は、このような解析処理の結果に関する情報を、連携サーバ３０が提供するサービスの結果情報として、求めがあったユーザ端末１０に対して出力するように構成されている。ユーザ端末１０への出力は、システム内の他装置（例えば、ホストサーバ２０）を介して行うようにしてもよい。具体的には、例えば、解析アルゴリズム部３４による解析結果に関する情報を、一旦ユーザ端末１０に送信した後、そのユーザ端末１０からホストサーバ２０に転送し、そのホストサーバ２０で表示レイアウトを特定するレイアウト情報を作成した上で、そのレイアウト情報とともにユーザ端末１０へ返送することで、ユーザ端末１０での表示出力を行うようにしてもよい。

データベース部３５は、解析アルゴリズム部３４による解析結果に関する情報をはじめとする各種データを記憶保持するものである。データベース部３５が記憶保持する各種データには、解析結果に関する情報の他に、例えば、各ユーザに固有の非可逆ユーザＩＤ、ユーザ端末１０から送られてきた測定データ、ホストサーバ２０から送られてきた生活習慣情報等が含まれる。

（ユーザＩＤ使用域および非可逆ユーザＩＤ使用域）
以上のように構成された本実施形態に係る情報処理システムでは、ユーザ端末１０とホストサーバ２０との間、ユーザ端末１０と連携サーバ３０との間、および、ホストサーバ２０と連携サーバ３０との間のそれぞれにおいて、データ授受を行い得る。その場合に、少なくとも、ユーザ端末１０とホストサーバ２０との間、および、ユーザ端末１０と連携サーバ３０との間については、別途、暗号化通信、例えばＳＳＬ（Secure Sockets Layer）によって通信データが保護されることになる。

また、本実施形態に係る情報処理システムにおいては、データ授受に際して、ユーザＩＤまたは暗号化ユーザＩＤを用いてデータ授受を行う領域であるユーザＩＤ使用域４０と、非可逆ユーザＩＤまたは暗号化非可逆ユーザＩＤを用いてデータ授受を行う領域である非可逆ユーザＩＤ使用域５０と、が存在する。

ユーザＩＤ使用域４０は、主として、ホストサーバ２０とのデータ授受を行うためのものである。さらに具体的には、ユーザＩＤ使用域４０は、ユーザ端末１０とホストサーバ２０との間でデータ授受を行うためのものである。また、非可逆ユーザＩＤ使用域５０は、主として、連携サーバ３０とのデータ授受を行うためのものである。さらに具体的には、非可逆ユーザＩＤ使用域５０は、ユーザ端末１０と連携サーバ３０との間およびホストサーバ２０と連携サーバ３０との間でデータ授受を行うためのものである。

つまり、本実施形態に係る情報処理システムは、ユーザＩＤ使用域４０と非可逆ユーザＩＤ使用域５０とを有しているとともに、ユーザ端末１０とホストサーバ２０との間をユーザＩＤ使用域４０としており、ユーザ端末１０と連携サーバ３０との間およびホストサーバ２０と連携サーバ３０との間を非可逆ユーザＩＤ使用域５０としている。このように、本実施形態に係る情報処理システムでは、システム内で使用するＩＤとして、オリジナルのユーザＩＤ（暗号化ユーザＩＤ）と非可逆ユーザＩＤ（暗号化非可逆ユーザＩＤ）とを併存させつつ、これらの各ＩＤを使用する範囲を明確に区別しているのである。

（プログラム）
以上のような情報処理システムにおける各機能は、ユーザ端末１０、ホストサーバ２０または連携サーバ３０が所定プログラム（アプリケーションプログラムを含む。）を実行することによって実現される。つまり、上述の各機能を実現する所定プログラムは、本開示に係る「情報処理プログラム」の一実施形態に相当する。

その場合に、各機能を実現する所定プログラムは、コンピュータとしてのユーザ端末１０、ホストサーバ２０または連携サーバ３０にインストール可能なものであれば、当該コンピュータで読み取り可能な記録媒体（例えば、磁気ディスク、光ディスク、光磁気ディスク、半導体メモリ等）に格納されて提供されるものであってもよいし、インターネットや専用回線等のネットワークを通じて外部から提供されるものであってもよい。

（２）処理動作例
次に、以上のように構成された本実施形態に係る情報処理システムにおいて、ユーザ端末１０、ホストサーバ２０および連携サーバ３０の間でデータ授受を行う際の処理動作例、すなわち本開示に係る「情報処理方法」の一実施形態を説明する。
図３は、本実施形態に係る情報処理システムにおいてデータ授受を行う際の処理動作例を示す説明図である。

本実施形態に係る情報処理システムにおいて、ユーザ端末１０を使用するユーザがホストサーバ２０および連携サーバ３０による提供サービスを受けるためには、まず、ユーザがユーザ端末１０を操作して、アプリ部１２の操作指示部１３からホストサーバ２０に対してユーザ登録（すなわちＩＤ付与）の依頼を行う（ステップ１０１、以下ステップを「Ｓ」と略す。）。

ユーザ端末１０からのユーザ登録の依頼を受けると、ホストサーバ２０では、ＩＤ管理部２１が、依頼元ユーザに固有のユーザＩＤを付与するとともに、そのユーザＩＤをハッシュ化して非可逆ユーザＩＤを得る。そして、暗号化部２３が、これらを暗号化して、暗号化ユーザＩＤおよび暗号化非可逆ユーザＩＤとする。暗号化ユーザＩＤおよび暗号化非可逆ユーザＩＤは、ホストサーバ２０から依頼元のユーザ端末１０へ送られる（Ｓ１０２）。

依頼元のユーザ端末１０では、ホストサーバ２０から暗号化ユーザＩＤおよび暗号化非可逆ユーザＩＤを受け取ると、アプリ部１２の情報記憶部１５がこれらを記憶保持する。これにより、ユーザ端末１０において、通信制御部１４は、それ以降のシステム内でのデータ送信を、暗号化ユーザＩＤまたは暗号化非可逆ユーザＩＤのいずれかを用いて行うことになる。さらに詳しくは、通信制御部１４は、ホストサーバ２０との間についてはユーザＩＤ使用域４０であることから、暗号化ユーザＩＤを用いてデータ送信を行う。また、連携サーバ３０との間については非可逆ユーザＩＤ使用域５０であることから、暗号化非可逆ユーザＩＤを用いてデータ送信を行う。

例えば、ユーザ端末１０において、ユーザによる個人情報および生活習慣情報の入力があった場合を考える。ユーザの個人情報は、ホストサーバ２０の第一データベース部２５にて管理すべきものであり、ユーザの生活習慣情報は、ホストサーバ２０の第二データベース部２６にて管理すべきものである。そこで、通信制御部１４は、個人情報および生活習慣情報の入力があると、これらをホストサーバ２０へ送る（Ｓ１０３）。このとき、ユーザ端末１０とホストサーバ２０との間はユーザＩＤ使用域４０であることから、通信制御部１４は、個人情報および生活習慣情報について、暗号化ユーザＩＤを用いてホストサーバ２０へのデータ送信を行う。つまり、通信制御部１４は、個人情報および生活習慣情報を、情報記憶部１５が記憶保持する暗号化ユーザＩＤと共に、ホストサーバ２０へ送るようにする（Ｓ１０３）。

ユーザ端末１０から暗号化ユーザＩＤ、個人情報および生活習慣情報を受け取ると、ホストサーバ２０では、送られてきた暗号化ユーザＩＤを復号部２４が復号して、暗号化前のユーザＩＤに戻す。そして、そのユーザＩＤがユーザ登録の依頼に応じてＩＤ管理部２１で正規に発行されたものであれば、ユーザ端末１０から受け取った個人情報を、ユーザＩＤと対応付けた状態で、第一データベース部２５にて記憶保持するとともに、ユーザ端末１０から受け取った生活習慣情報を、ユーザＩＤと対応付けた状態で、第二データベース部２６にて記憶保持する。つまり、第一データベース部２５は、ユーザＩＤを検索キーとして利用し得る状態で、そのユーザＩＤによって特定されるユーザの個人情報を記憶保持し、第二データベース部２６は、ユーザＩＤを検索キーとして利用し得る状態で、そのユーザＩＤによって特定されるユーザの生活習慣情報を記憶保持する。これにより、そのユーザの個人情報および生活習慣情報は、ホストサーバ２０で管理されることになる。

その後において、例えば、ユーザが電気化学センサ１１を用いて生体情報の測定を行った場合を考える。生体情報の測定は、例えば１日１回といったように、予め定められたタイミングで定期的に行われることが一般的である。このようなタイミングで電気化学センサ１１による生体情報の測定があると、その都度、ユーザ端末１０のセンサ制御部１６には、電気化学センサ１１から測定データが出力される（Ｓ１０４）。

電気化学センサ１１からの測定データは、いわゆる生データに相当するものであり、そのままでは必ずしもユーザの健康増進に有効であるとはいえない。そこで、ユーザ端末１０では、電気化学センサ１１から測定データが出力されると、その測定データを連携サーバ３０に解析させてユーザの健康増進に寄与させるべく、アプリ部１２の操作指示部１３からの指示に従って、または測定データの出力に応じて自動的に、その測定データを通信制御部１４が連携サーバ３０へ送る（Ｓ１０５）。このとき、ユーザ端末１０と連携サーバ３０との間は非可逆ユーザＩＤ使用域５０であることから、通信制御部１４は、電気化学センサ１１から出力された測定データについて、暗号化非可逆ユーザＩＤを用いて連携サーバ３０へのデータ送信を行う。つまり、通信制御部１４は、電気化学センサ１１から出力された測定データを、情報記憶部１５が記憶保持する暗号化非可逆ユーザＩＤと共に、連携サーバ３０へ送るようにする（Ｓ１０５）。

ユーザ端末１０からの暗号化非可逆ユーザＩＤおよび測定データを受け取ると、連携サーバ３０では、送られてきた暗号化非可逆ユーザＩＤを復号部３２が復号して、暗号化前の非可逆ユーザＩＤに戻す。そして、その非可逆ユーザＩＤによって特定されるユーザが、連携サーバ３０でのサービスを提供可能なユーザであるか否かを、ユーザ認可部３３が判断する。これにより、連携サーバ３０は、ホストサーバ２０で認証されたユーザに対してのみ、サービスを提供することになる。その結果、ホストサーバ２０で認証されたユーザであれば、連携サーバ３０では、送られてきた測定データを解析アルゴリズム部３４が解析し、その解析結果に関する情報を、連携サーバ３０が提供するサービスの結果情報として、測定データの送信元のユーザ端末１０に対して出力する（Ｓ１０６）。また、連携サーバ３０では、解析アルゴリズム部３４による解析結果に関する情報を、その基になった非可逆ユーザＩＤおよび測定データと併せて、必要に応じてデータベース部３５で記憶保持しておく。

連携サーバ３０から解析結果に関する情報を受け取ると、ユーザ端末１０では、受け取った情報の内容を、当該ユーザ端末１０を使用するユーザに対して表示出力する。ユーザへの表示出力は、既述のように、システム内の他装置（例えば、ホストサーバ２０）を介して行うようにしてもよい。これにより、表示出力内容を参照したユーザは、連携サーバ３０による解析結果に基づいて、例えば生活習慣を改めるといったように、ユーザの健康増進に寄与する行動をとり得るようになる。

また、連携サーバ３０からの解析結果に関する情報は、それだけでもユーザの健康増進に寄与し得るものであるが、ホストサーバ２０の第二データベース部２６が記憶保持する生活習慣情報と合わせて管理することによって、更なるユーザの健康増進に寄与するものとなり得る。そこで、ユーザ端末１０では、連携サーバ３０から解析結果に関する情報を受け取ると、ユーザに対する表示出力とは別に、その解析結果に関する情報を通信制御部１４がホストサーバ２０へ送る（Ｓ１０７）。このとき、ユーザ端末１０とホストサーバ２０との間はユーザＩＤ使用域４０であることから、通信制御部１４は、解析結果に関する情報について、暗号化ユーザＩＤを用いてホストサーバ２０へのデータ送信を行う。つまり、通信制御部１４は、解析結果に関する情報を、情報記憶部１５が記憶保持する暗号化ユーザＩＤと共に、ホストサーバ２０へ送るようにする（Ｓ１０７）。

ユーザ端末１０から暗号化ユーザＩＤ、解析結果に関する情報を受け取ると、ホストサーバ２０では、送られてきた暗号化ユーザＩＤを復号部２４が復号して、暗号化前のユーザＩＤに戻す。そして、そのユーザＩＤがＩＤ管理部２１で正規に発行されたものであれば、ユーザ端末１０から受け取った解析結果に関する情報を、ユーザＩＤと対応付けた状態で、データベース部２５にて記憶保持する。つまり、データベース部２５は、ユーザＩＤを検索キーとして利用し得る状態で、そのユーザＩＤによって特定されるユーザに関する解析結果に関する情報を記憶保持する。これにより、そのユーザに関する解析結果に関する情報は、そのユーザの生活習慣情報と同様に、ホストサーバ２０で管理されることになる。

ところで、連携サーバ３０において、解析アルゴリズム部３４が行う測定データの解析処理に際しては、ユーザの生活習慣情報の利用が、その解析処理に役立つことがあり得る。そこで、解析アルゴリズム部３４による解析処理に先立ち、ホストサーバ２０は、連携サーバ３０からの求めに応じて、またはデータベース部２５が生活習慣情報を記憶保持した時点で、ユーザの生活習慣情報を連携サーバ３０に送るようにする（Ｓ１０８）。このときのデータ送信はユーザ端末１０を介さずに行われるが、連携サーバ３０の側が非可逆ユーザＩＤ使用域５０であることを考慮して、ホストサーバ２０は、ユーザの生活習慣情報について、暗号化非可逆ユーザＩＤを用いて連携サーバ３０へのデータ送信を行う。つまり、ホストサーバ２０から連携サーバ３０へのデータ送信に際しては、ユーザの生活習慣情報を、暗号化非可逆ユーザＩＤと共に、連携サーバ３０へ送るようにする（Ｓ１０８）。なお、ホストサーバ２０において、非可逆ユーザＩＤまたは暗号化非可逆ユーザＩＤは非保存であるが、連携サーバ３０へのデータ送信を行う際には、その都度、ＩＤ管理部２１および暗号化部２３から暗号化非可逆ユーザＩＤを得るようにすればよい。

このようにして送られた生活習慣情報は、連携サーバ３０のデータベース部３５で記憶保持されて、解析アルゴリズム部３４が行う測定データの解析処理に供されることになる。

（３）セキュリティ保護の具体例
次に、本実施形態に係る情報処理システムにおけるセキュリティ保護について、具体例を挙げて説明する。
図４は、本実施形態に係る情報処理システムにおける情報管理状況の一具体例を示す説明図である。

本実施形態に係る情報処理システムは、ネットワーク上に存在する複数のコンピュータ（具体的にはホストサーバ２０および連携サーバ３０）を連携させて、ユーザ端末１０を使用するユーザへの情報処理サービスを提供するように構成されている。そして、情報処理サービスの提供にあたり、上述したように、ユーザ端末１０、ホストサーバ２０および連携サーバ３０の間で、データ授受に関する処理動作を行う。

これにより、システム内では、図４に示すように、ホストサーバ２０の第一データベース部２５において、ユーザに固有のユーザＩＤを用いて、各ユーザの個人情報が管理されることになる。さらに、ホストサーバ２０または当該ホストサーバ２０がアクセス可能な他装置では、第二データベース部２６において、ユーザに固有のユーザＩＤを用いて、解析結果に関する情報や生活習慣情報等といった個人情報以外の各種データが管理されることになる。また、連携サーバ３０では、データベース部３５において、ユーザに固有の非可逆ユーザＩＤを用いて、解析結果に関する情報が管理されることになる。

このような情報処理システムにおいて、ホストサーバ２０および連携サーバ３０は、それぞれの管理主体（例えば管理を行う企業）が異なることが多い。その場合に、ホストサーバ２０の管理主体の側から見ると、連携サーバ３０の側については、管理（特に、セキュリティの管理）の権能が及ばず、データ漏洩のリスクが生じることになる。

ここで、例えば、連携先でデータ漏洩が発生した場合について考える。

本実施形態に係る情報処理システムでは、システム内にユーザＩＤ使用域４０と非可逆ユーザＩＤ使用域５０とを設定している。そして、ユーザＩＤ使用域４０では暗号化ユーザＩＤを使用し、非可逆ユーザＩＤ使用域５０では暗号化非可逆ユーザＩＤを使用するといったように、ユーザＩＤと非可逆ユーザＩＤとのシステム内での使用範囲を明確に区別している。

そのため、連携先でデータ漏洩が発生した場合には、例えば、非可逆ユーザＩＤ使用域５０で使用する暗号化非可逆ユーザＩＤと、連携サーバ３０に固有の秘密鍵と、が外部に漏れてしまい、これにより非可逆ユーザＩＤの秘匿性が失われてしまうおそれがある。しかしながら、非可逆ユーザＩＤの秘匿性が失われた場合であっても、非可逆ユーザＩＤはハッシュ化された非可逆なものであるが故に、ユーザＩＤとの間の紐づけが一方通行のものとなり、非可逆ユーザＩＤからその基になったオリジナルのユーザＩＤを解明することはできない。

また、ユーザＩＤ使用域４０と非可逆ユーザＩＤ使用域５０とを明確に区別していることから、連携先でのデータ漏洩があっても、ユーザＩＤ使用域４０で使用する暗号化ユーザＩＤについては外部に漏れてしまうことがない。

このように、本実施形態に係る情報処理システムでは、ユーザＩＤ使用域４０と非可逆ユーザＩＤ使用域５０とを明確に区別しつつ、連携先の側を非可逆ユーザＩＤ使用域５０として非可逆ユーザＩＤ（暗号化非可逆ユーザＩＤ）を用いるようにすることで、連携先でのデータ漏洩があっても、オリジナルのユーザＩＤについては解明できないようにしているのである。

したがって、本実施形態に係る情報処理システムでは、連携先でのデータ漏洩があっても、オリジナルのユーザＩＤを解明できないことから、ホストサーバ２０の側で管理している各種データ（特に、各ユーザの個人情報）が誰のものであるか特定されることはない。また、ホストサーバ２０の側で管理される個人情報と紐づけされないことから、連携サーバ３０の側で管理する各種データについても、どのユーザ個人のものであるか特定されることはない。

つまり、連携サーバ３０の側では、データ漏洩があっても、ホストサーバ２０の側で局所的に管理している情報であってユーザ個人が具体的に特定される情報（例えば、各ユーザの個人情報）に辿り着くことができない。このことは、連携サーバ３０の側では、各ユーザへのサービス提供にあたり、ユーザ個人が具体的に特定される情報を必要としないことを意味する。

以上のように、本実施形態に係る情報処理システムでは、ネットワーク上に存在する複数のコンピュータ（具体的にはホストサーバ２０および連携サーバ３０）によって提供される複数サービスの連携において、個人情報漏洩のセキュリティリスクを局所化（最小限に）しているのである。したがって、連携サーバ３０の側では、ユーザ個人が具体的に特定されるようなリスクから解放されることになる。

その一方で、データ漏洩は、例えば、ホストサーバ２０の側で発生することも考えられる。その場合であっても、ユーザＩＤ使用域４０と非可逆ユーザＩＤ使用域５０とを明確に区別していることから、データ漏洩によってユーザＩＤの秘匿性が失われても、非可逆ユーザＩＤと直ちに紐づけされることがなく、分散された連携サーバ３０で管理される各種データがどのユーザ個人のものであるか特定されることがない。

また、ユーザＩＤ使用域４０と非可逆ユーザＩＤ使用域５０とにおいて、ユーザＩＤおよび非可逆ユーザＩＤをそれぞれ暗号化することで、より一層のセキュリティ向上が図れる。つまり、ユーザＩＤ使用域４０のホストサーバ２０で暗号化ユーザＩＤのみを受け付けるようにし、非可逆ユーザＩＤ使用域５０の連携サーバ３０で暗号化非可逆ユーザＩＤのみを受け付けるようにし、しかも、暗号化ユーザＩＤおよび暗号化非可逆ユーザＩＤについてはホストサーバ２０または連携サーバ３０のいずれでも一元管理することなく、各ユーザ端末１０のみに分散管理することで、システム全体のセキュリティを向上させることができる。
なお、更なるセキュリティ向上のために、ユーザ端末１０、ホストサーバ２０および連携サーバ３０の間で授受する各種データ、具体的には測定データ、解析結果に関する情報、生活習慣情報等についても、ユーザＩＤ使用域４０または非可逆ユーザＩＤ使用域５０のそれぞれに応じて暗号化するようにしてもよい。

また、ホストサーバ２０の第一データベース部２５で局所的に管理される各ユーザの個人情報以外の各種データについては、ホストサーバ２０の第二データベース部２６と連携サーバ３０のデータベース部３５とを用いて、それぞれに分散させて記憶保持すれば、この分散管理によってもシステム全体のセキュリティを向上させることができる。

（４）本実施形態の効果
本実施形態によれば、以下に示す１つまたは複数の効果を奏する。

（ａ）本実施形態では、情報処理システム内にユーザＩＤ使用域４０と非可逆ユーザＩＤ使用域５０とを設定し、ユーザＩＤ使用域４０では暗号化ユーザＩＤを用いてデータ授受を行い、非可逆ユーザＩＤ使用域５０では暗号化非可逆ユーザＩＤを用いてデータ授受を行うといったように、ユーザＩＤと非可逆ユーザＩＤとのシステム内での使用範囲を明確に区別している。したがって、例えば、連携先でデータ漏洩があり、非可逆ユーザＩＤの秘匿性が失われても、非可逆であるが故に、そこからユーザＩＤを解明することはできない。これにより、ホストサーバ２０の側でユーザに関する各種データ（特に、各ユーザの個人情報）を管理している場合に、連携サーバ３０の側でデータ漏洩があっても、そのためにシステム内の各種データがどのユーザ個人のものであるか特定されることはなく、システム内のセキュリティを十分に確保することができる。

（ｂ）本実施形態では、ユーザＩＤをホストサーバ２０に固有の鍵で暗号化してユーザＩＤ使用域４０でのデータ授受に供するとともに、非可逆ユーザＩＤを連携サーバ３０に固有の鍵で暗号化して非可逆ユーザＩＤ使用域５０でのデータ授受に供する。このように、ユーザＩＤおよび非可逆ユーザＩＤを暗号化することで、より一層のセキュリティ向上が図れる。その際に、ユーザＩＤと非可逆ユーザＩＤとを異なる鍵で暗号化するので、例えば連携サーバ３０の側でのデータ漏洩があっても、その漏洩内容では暗号化されたユーザＩＤを復号することができない。また、その漏洩内容によって暗号化された非可逆ユーザＩＤを復号できても、非可逆であるが故に、そこからユーザＩＤを解明することはできない。また、ユーザＩＤおよび非可逆ユーザＩＤの暗号化によって、ユーザ端末１０におけるデータ漏洩時と、ネットワーク上でのデータ通信の際におけるデータ漏洩時とについて、リスク回避が図れるようになる。

（ｃ）本実施形態において、ホストサーバ２０は、非可逆ユーザＩＤを非保存とするように構成されている。つまり、ユーザ端末１０への暗号化非可逆ユーザＩＤの送出後は、ホストサーバ２０には、非可逆ユーザＩＤおよび暗号化非可逆ユーザＩＤのいずれも残らない。このように、ホストサーバ２０に非可逆ユーザＩＤの痕跡を残さないようにすることで、ホストサーバ２０に不正にアクセスされても、非可逆ユーザＩＤに辿り着かないようにすることができ、システム内のセキュリティを十分に確保する上で非常に好ましいものとなる。

（ｄ）本実施形態において、システム内に複数の連携サーバ３０が存在している場合には、各連携サーバ３０毎に異なる鍵を用いて暗号化および復号を行う。したがって、複数の連携サーバ３０によって多様なサービスを提供するようにシステム構築された場合に、ある連携先でデータ漏洩があっても、その影響が他の連携先に及ぶのを抑制することができ、システム内のセキュリティを十分に確保する上で非常に好ましいものとなる。

＜２．第二実施形態＞
次に、本開示の第二実施形態を説明する。ただし、ここでは、主に上述した第一実施形態との相違について説明する。

図５は、本実施形態で例に挙げる情報処理システムの概略構成を示す模式図である。図６は、本実施形態に係る情報処理システムにおける情報管理状況の一具体例を示す説明図である。

図５に示すように、本実施形態に係る情報処理システムは、ユーザ端末１０、ホストサーバ２０および連携サーバ３０を少なくとも有している点で上述した第一実施形態の場合と共通するが、第一実施形態の場合とは異なり、ユーザ端末１０とホストサーバ２０とがデータ授受を行うとともに、ホストサーバ２０と連携サーバ３０とがデータ授受を行うように構成されている。

このような構成の情報処理システムでは、ユーザ端末１０とホストサーバ２０との間がユーザＩＤ使用域４０となり、ホストサーバ２０と連携サーバ３０との間が非可逆ユーザＩＤ使用域５０となる。

ユーザ端末１０、ホストサーバ２０および連携サーバ３０の機能構成については、上述した第一実施形態の場合と同様である。

以上のような構成の情報処理システムにおいても、データ授受を行う際の処理動作例は、上述した第一実施形態の場合と同様に行う。

その結果、システム内では、図６に示すように、ホストサーバ２０の第一データベース部２５において、ユーザに固有のユーザＩＤを用いて、各ユーザの個人情報が管理されることになる。さらに、ホストサーバ２０または当該ホストサーバ２０がアクセス可能な他装置では、第二データベース部２６において、ユーザに固有のユーザＩＤを用いて、解析結果に関する情報や生活習慣情報等といった個人情報以外の各種データが管理されることになる。また、連携サーバ３０では、データベース部３５において、ユーザに固有の非可逆ユーザＩＤを用いて、解析結果に関する情報が管理されることになる。

したがって、本実施形態においても、上述した第一実施形態の場合と同様に、当該第一実施形態で説明した１つまたは複数の効果を奏する。

＜３．変形例＞
以上に、本開示の第一実施形態および第二実施形態を具体的に説明したが、本開示は上述の各実施形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

上述の各実施形態では、ユーザの生体情報に関するデータに対して所定の処理を行う情報処理システムを例に挙げて説明したが、本開示はこのような態様に限定されない。つまり、本開示内容は、複数サーバが連携してサービス提供を行うシステムであれば、上述の各実施形態の場合と全く同様に適用することが可能である。
ただし、上述の各実施形態における情報処理システムは、ユーザの生体情報に関するデータを取り扱う。そのため、当該データをはじめとするユーザに関する各種データ（個人情報等）について、セキュリティが非常に重要視される。その場合であっても、本開示内容の適用によって、システム内のセキュリティを十分に確保できるようになり、その点で非常に有用である。

また、上述の各実施形態では、ユーザＩＤ使用域４０で暗号化ユーザＩＤを用い、非可逆ユーザＩＤ使用域５０で暗号化非可逆ユーザＩＤを用いる場合を例に挙げて説明したが、本開示はこのような態様に限定されない。例えば、ユーザＩＤ使用域４０では暗号化しないユーザＩＤを用い、非可逆ユーザＩＤ使用域５０では暗号化しない非可逆ユーザＩＤを用いる場合であっても、ユーザＩＤ使用域４０と非可逆ユーザＩＤ使用域５０とを明確に区別することによって、連携先でのデータ漏洩に対してセキュリティを十分に確保することができる。

また、上述の各実施形態では、ホストサーバ２０の第一データベース部２５において各ユーザの個人情報を管理するとともに、同じホストサーバ２０の第二データベース部２６において各ユーザの個人情報以外の各種データを管理する場合を例に挙げて説明したが、本開示はこのような態様に限定されない。例えば、ホストサーバ２０に第一データベース部２５および第二データベース部２６を設ける場合であれば、これらを一つのデータベース部として設けてもよい。また、個人情報以外の生活習慣情報等を管理する第二データベース部２６については、ホストサーバ２０ではなく、当該ホストサーバ２０がアクセス可能な他のコンピュータに構築されていても構わない。

また、上述の各実施形態において、ホストサーバ２０の第二データベース部２６が管理する情報には、ユーザ端末１０を介して連携サーバ３０から提供されるサービスの結果情報（すなわち、解析アルゴリズム部３４での解析処理の結果に関する情報）が含まれる場合を例に挙げて説明したが、本開示はこのような態様に限定されない。例えば、ホストサーバ２０の第二データベース部２６は連携サーバ３０から提供されるサービスの結果情報を保存せず、当該サービスの結果情報が必要な都度、ホストサーバ２０が非可逆ユーザＩＤ（暗号化非可逆ユーザＩＤ）を用いて当該サービスの結果情報を連携サーバ３０に問い合わせるように構成されていてもよい。このような構成であれば、ホストサーバ２０の側で連携サーバ３０による提供データのコピーを保存しないことから、データ漏洩のセキュリティリスクを局所化（最小限に）することが可能となり、その結果としてシステム内のセキュリティ向上が図れるようになる。

＜４．本開示の好ましい態様＞
以下、本開示の好ましい態様について付記する。

（付記１）
本開示の一態様によれば、
ネットワーク上に存在するユーザ端末、ホストサーバおよび連携サーバの間でデータ授受を行うように構成された情報処理システムであって、
前記ユーザ端末を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得るＩＤ管理部と、
前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域と、
前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域と、
を有し、
前記ユーザＩＤ使用域は、前記ホストサーバとのデータ授受を行うためのものであり、
前記非可逆ユーザＩＤ使用域は、前記連携サーバとのデータ授受を行うためのものである
情報処理システムが提供される。

（付記２）
好ましくは、
前記ユーザＩＤを前記ホストサーバに固有の鍵で暗号化して前記ユーザＩＤ使用域でのデータ授受に供するとともに、前記非可逆ユーザＩＤを前記連携サーバに固有の鍵で暗号化して前記非可逆ユーザＩＤ使用域でのデータ授受に供する暗号化部
を有する付記１に記載の情報処理システムが提供される。

（付記３）
好ましくは、
前記ユーザＩＤ使用域でのデータ授受に際して、前記ユーザＩＤの暗号化を前記ホストサーバに固有の共通鍵または公開鍵で行い、当該暗号化がされたユーザＩＤの復号を前記ホストサーバに固有の共通鍵または秘密鍵で行う
付記２に記載の情報処理システムが提供される。

（付記４）
好ましくは、
前記非可逆ユーザＩＤ使用域でのデータ授受に際して、前記非可逆ユーザＩＤの暗号化を前記連携サーバに固有の共通鍵または公開鍵で行い、当該暗号化がされた非可逆ユーザＩＤの復号を前記連携サーバに固有の共通鍵または秘密鍵で行う
付記２または３に記載の情報処理システムが提供される。

（付記５）
好ましくは、
複数の前記連携サーバを有し、各連携サーバ毎に異なる鍵を用いて暗号化および復号を行う
付記２から４のいずれか１態様に記載の情報処理システムが提供される。

（付記６）
好ましくは、
前記ホストサーバは、前記非可逆ユーザＩＤを非保存とするように構成されている
付記１から５のいずれか１態様に記載の情報処理システムが提供される。

（付記７）
好ましくは、
前記ユーザ端末は、被験者の生体情報を測定する電気化学センサから測定データを取得し、取得した前記測定データを処理するアプリケーション部を有する
付記１から６のいずれか１態様に記載の情報処理システムが提供される。

（付記８）
好ましくは、
前記連携サーバは、被験者の生体情報の測定データに対して所定の解析処理を行い、その解析結果を出力する解析アルゴリズム部を有する
付記１から７のいずれか１態様に記載の情報処理システムが提供される。

（付記９）
好ましくは、
前記ホストサーバは、被験者の個人情報を管理するデータベース部を有する
付記１から８のいずれか１態様に記載の情報処理システムが提供される。

（付記１０）
好ましくは、
前記データベース部が管理する情報には、前記ユーザ端末を介して前記連携サーバから提供されるサービスの結果情報が含まれる
付記９に記載の情報処理システムが提供される。

（付記１１）
好ましくは、
前記データベース部は、前記ユーザ端末を介して前記連携サーバから提供されるサービスの結果情報を保存せず、
前記ホストサーバは、前記結果情報が必要な都度、前記非可逆ユーザＩＤを用いて前記結果情報を前記連携サーバに問い合わせるように構成されている
付記９に記載の情報処理システムが提供される。

（付記１２）
本開示の他の一態様によれば、
ネットワーク上に存在するユーザ端末、ホストサーバおよび連携サーバの間でデータ授受を行うように構成された情報処理システムで用いられる情報処理方法あって、
前記ユーザ端末を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得て、
前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域を、前記ホストサーバとのデータ授受を行うためのものとして設定し、
前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域を、前記連携サーバとのデータ授受を行うためのものとして設定する
情報処理方法が提供される。

（付記１３）
本開示のさらに他の一態様によれば、
ネットワーク上のコンピュータに、
前記ネットワーク上に存在するユーザ端末、ホストサーバおよび連携サーバの間でデータ授受を行う機能と、
前記ユーザ端末を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得る機能と、
前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域を、前記ホストサーバとのデータ授受を行うためのものとして設定する機能と、
前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域を、前記連携サーバとのデータ授受を行うためのものとして設定する機能と、
を実現させるための情報処理プログラムが提供される。

１０ ユーザ端末
１１ 電気化学センサ
１２ アプリ部
１３ 操作指示部
１４ 通信制御部
１５ 情報記憶部
１６ センサ制御部
２０ ホストサーバ
２１ ＩＤ管理部
２２ 暗号化部
２３ 鍵管理部
２４ 復号部
２５ 第一データベース部
２６ 第二データベース部
３０ 連携サーバ
３１ 鍵管理部
３２ 復号部
３３ ユーザ認可部
３４ 解析アルゴリズム部
３５ データベース部
４０ ユーザＩＤ使用域
５０ 非可逆ユーザＩＤ使用域

Claims (13)

1. ネットワーク上に存在するユーザ端末、ホストサーバおよび連携サーバの間でデータ授受を行うように構成された情報処理システムであって、
   前記ユーザ端末を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得るＩＤ管理部と、
   前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域と、
   前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域と、
   を有し、
   前記ユーザＩＤ使用域は、前記ホストサーバとのデータ授受を行うためのものであり、
   前記非可逆ユーザＩＤ使用域は、前記連携サーバとのデータ授受を行うためのものである
   情報処理システム。
2. 前記ユーザＩＤを前記ホストサーバに固有の鍵で暗号化して前記ユーザＩＤ使用域でのデータ授受に供するとともに、前記非可逆ユーザＩＤを前記連携サーバに固有の鍵で暗号化して前記非可逆ユーザＩＤ使用域でのデータ授受に供する暗号化部
   を有する請求項１に記載の情報処理システム。
3. 前記ユーザＩＤ使用域でのデータ授受に際して、前記ユーザＩＤの暗号化を前記ホストサーバに固有の共通鍵または公開鍵で行い、当該暗号化がされたユーザＩＤの復号を前記ホストサーバに固有の共通鍵または秘密鍵で行う
   請求項２に記載の情報処理システム。
4. 前記非可逆ユーザＩＤ使用域でのデータ授受に際して、前記非可逆ユーザＩＤの暗号化を前記連携サーバに固有の共通鍵または公開鍵で行い、当該暗号化がされた非可逆ユーザＩＤの復号を前記連携サーバに固有の共通鍵または秘密鍵で行う
   請求項２または３に記載の情報処理システム。
5. 複数の前記連携サーバを有し、各連携サーバ毎に異なる鍵を用いて暗号化および復号を行う
   請求項２から４のいずれか１項に記載の情報処理システム。
6. 前記ホストサーバは、前記非可逆ユーザＩＤを非保存とするように構成されている
   請求項１から５のいずれか１項に記載の情報処理システム。
7. 前記ユーザ端末は、被験者の生体情報を測定する電気化学センサから測定データを取得し、取得した前記測定データを処理するアプリケーション部を有する
   請求項１から６のいずれか１項に記載の情報処理システム。
8. 前記連携サーバは、被験者の生体情報の測定データに対して所定の解析処理を行い、その解析結果を出力する解析アルゴリズム部を有する
   請求項１から７のいずれか１項に記載の情報処理システム。
9. 前記ホストサーバは、被験者の個人情報を管理するデータベース部を有する
   請求項１から８のいずれか１項に記載の情報処理システム。
10. 前記データベース部が管理する情報には、前記ユーザ端末を介して前記連携サーバから提供されるサービスの結果情報が含まれる
    請求項９に記載の情報処理システム。
11. 前記データベース部は、前記ユーザ端末を介して前記連携サーバから提供されるサービスの結果情報を保存せず、
    前記ホストサーバは、前記結果情報が必要な都度、前記非可逆ユーザＩＤを用いて前記結果情報を前記連携サーバに問い合わせるように構成されている
    請求項９に記載の情報処理システム。
12. ネットワーク上に存在するユーザ端末、ホストサーバおよび連携サーバの間でデータ授受を行うように構成された情報処理システムで用いられる情報処理方法あって、
    前記ユーザ端末を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得て、
    前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域を、前記ホストサーバとのデータ授受を行うためのものとして設定し、
    前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域を、前記連携サーバとのデータ授受を行うためのものとして設定する
    情報処理方法。
13. ネットワーク上のコンピュータに、
    前記ネットワーク上に存在するユーザ端末、ホストサーバおよび連携サーバの間でデータ授受を行う機能と、
    前記ユーザ端末を使用するユーザに固有のユーザＩＤをハッシュ化して非可逆ユーザＩＤを得る機能と、
    前記ユーザＩＤを用いてデータ授受を行うユーザＩＤ使用域を、前記ホストサーバとのデータ授受を行うためのものとして設定する機能と、
    前記非可逆ユーザＩＤを用いてデータ授受を行う非可逆ユーザＩＤ使用域を、前記連携サーバとのデータ授受を行うためのものとして設定する機能と、
    を実現させるための情報処理プログラム。

Images