JP6982152B2 - 制御方法、プログラム及び不正データ検知システム - Google Patents

Description

本開示は、制御方法、プログラム及び不正データ検知システムに関する。

近年、ユーザのデータ及び機器のデータを収集、分析及び流通するシステムが検討されている。今後、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）が進展しＡＩ等が普及することにより、従来よりも多くのデータを収集することが可能となるため、収集等したデータの利活用が期待される。

例えば非特許文献１では、サイバー空間（仮想空間）とフィジカル空間（現実空間）とを高度に融合させたシステムにより、経済発展と社会的課題の解決を両立する、人間中心の社会であるＳｏｃｉｅｔｙ ５．０について開示されている。

非特許文献１によれば、Ｓｏｃｉｅｔｙ ５．０では、例えば観光またはヘルスケアにおいてパーソナルデータが収集等され利活用されるようになることが述べられている。

Ｓｔｒａｔｅｇｙ ｆｏｒ ＰｒｏｍｏｔｉｎｇＤａｔａ Ｕｔｉｌｉｚａｔｉｏｎ ｔｏ Ｒｅａｌｉｚｅ Ｓｏｃｉｅｔｙ ５．０、インターネット〈ＵＲＬ：https://www.keidanren.or.jp/en/policy/2017/104.html?v=p〉［２０２０年５月２０日検索］

しかしながら、例えば収集等したデータをブロックチェーンなどにより改ざん不可な状態で記録して、サービス提供の際に利活用するとしても、収集等したデータがそもそも異常または不正なものであるならば、そもそも安心してデータを利活用できない。そして、そのようなデータを用いて、観光またはヘルスケアなどのサービスを行っても、適切なサービスを行うことができない。

本開示は、上述の事情を鑑みてなされたもので、安心してデータを利活用することができる制御方法等を提供することを目的とする。

上記目的を達成するために、本開示の制御方法は、複数の認証サーバを少なくとも備える不正データ検知システムにおける制御方法であって、機器から取得したデータが不正データではないか否かを検知し、前記データを示す情報を含み前記機器が生成した第１トランザクションデータを取得し、前記データが不正データではないことを検知した場合に、複数の認証サーバのうちの第１認証サーバが、取得した前記第１トランザクションデータの検証を行い、前記第１認証サーバが、前記検証を行うことで前記第１トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記第１認証サーバを除く複数の第２認証サーバとともに、前記第１トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、前記コンセンサスアルゴリズムによって前記第１トランザクションデータの正当性について合意された場合、前記第１認証サーバが、前記第１トランザクションデータを含むブロックを分散台帳に記録する。

なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータで読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

本開示によれば、安心してデータを利活用することができる制御方法等を実現できる。

図１は、実施の形態に係る不正データ検知の全体構成の一例を示す図である。 図２は、実施の形態に係る住宅の全体構成の一例を示す図である。 図３は、図２に示すコントローラの構成の一例を示すブロック図である。 図４は、実施の形態に係る端末の構成の一例を示すブロック図である。 図５は、実施の形態に係る認証サーバの構成の一例を示すブロック図である。 図６は、ブロックチェーンのデータ構造を示す説明図である。 図７は、実施の形態に係る検知サーバの構成の一例を示すブロック図である。 図８は、実施の形態に係るサービスサーバの構成の一例を示すブロック図である。 図９は、実施の形態に係る不正データ検知システムの全体シーケンス図である。 図１０は、実施の形態に係る端末と認証サーバとの間での同意情報登録処理を示すシーケンス図である。 図１１は、実施の形態に係る端末と認証サーバと検知サーバとの間でのデータ登録処理を示すシーケンス図である。 図１２Ａは、実施の形態に係る端末と認証サーバと検知サーバとサービスサーバとの間でのデータ参照処理を示すシーケンス図である。 図１２Ｂは、実施の形態に係る端末と認証サーバと検知サーバとサービスサーバとの間でのデータ参照処理を示すシーケンス図である。 図１３は、実施の形態に係る認証サーバとサービスサーバとの間でのインセンティブ支払いに関するスマートコントラクト登録処理を示すシーケンス図である。

本開示の一実施態様の制御方法は、複数の認証サーバを少なくとも備える不正データ検知システムにおける制御方法であって、機器から取得したデータが不正データではないか否かを検知し、前記データを示す情報を含み前記機器が生成した第１トランザクションデータを取得し、前記データが不正データではないことを検知した場合に、複数の認証サーバのうちの第１認証サーバが、取得した前記第１トランザクションデータの検証を行い、前記第１認証サーバが、前記検証を行うことで前記第１トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記第１認証サーバを除く複数の第２認証サーバとともに、前記第１トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、前記コンセンサスアルゴリズムによって前記第１トランザクションデータの正当性について合意された場合、前記第１認証サーバが、前記第１トランザクションデータを含むブロックを分散台帳に記録する。

このように、取得したデータに関する情報を分散台帳に記録する前に、当該データを検証して、セキュアなデータである旨とともに当該データに関する情報を分散台帳に記録できる。これにより、ブロックチェーン技術を活用して、取得したデータがセキュアなデータであることを保証できる。よって、分散台帳を用いて、安心してデータを利活用することができる。

また、前記不正データ検知システムは、検知サーバを含み、前記検知サーバが、前記機器から取得したデータが不正データであるか否かを検知し、前記機器から、前記第１トランザクションデータを取得し、前記データが不正データではないことを検知した場合に、前記第１トランザクションデータを、前記第１認証サーバに送信し、前記第１認証サーバが、前記データが不正データではないことを検知した場合として前記検知サーバから前記第１トランザクションデータが送信された場合、前記検知サーバから前記第１トランザクションデータを取得し、取得した前記第１トランザクションデータの検証を行うとしてもよい。

これにより、検知サーバによりデータが不正データではないことを検知された場合に、第１トランザクションデータが第１認証サーバに送信され、第１認証サーバの分散台帳に記録される。よって、第１認証サーバの分散台帳に当該データに関する情報が記録された当該データがセキュアなデータであることを保証できるので、安心して当該データを利活用することができる。

また、前記第１認証サーバが、前記機器から取得したデータが不正データであるか否かを検知し、前記機器から、前記第１トランザクションデータを取得し、前記データが不正データではないことを検知した場合に、前記第１トランザクションデータの検証を行うとしてもよい。

これにより、第１認証サーバは、データが不正データではないことを検知した場合に、第１トランザクションデータを、第１認証サーバの分散台帳に記録する。よって、第１認証サーバの分散台帳に当該データに関する情報が記録された当該データがセキュアなデータであることを保証できるので、安心して当該データを利活用することができる。

また、前記不正データ検知システムは、さらにサービスサーバを含み、前記制御方法では、前記サービスサーバが、前記データの取得を依頼する旨を示すデータ取得依頼を含む第２トランザクションデータを生成して、前記第１認証サーバに送信し、前記第１認証サーバが、前記第２トランザクションデータを取得した場合、前記機器から得た、前記データの利活用に関する同意情報に基づいて前記データを前記サービスサーバに提供可能であると判断したとき、前記データが、前記サービスサーバに提供されるとしてもよい。

また、前記第１認証サーバが、前記機器から前記同意情報を含む第３トランザクションデータを取得するとともに、前記同意情報に基づき前記データを提供可能であるかを判断することを実行可能にプログラム化されたスマートコントラクトを取得し、前記第１認証サーバが、前記第２トランザクションデータを取得した場合、取得した前記第３トランザクションデータに基づき前記スマートコントラクトを実行することで、前記データを前記サービスサーバに提供可能であると判断したとき、前記データが、前記サービスサーバに提供されてもよい。

また、前記データが不正データであるか否かを検知する際、前記機器から、前記データとして測定された歩数データを取得した場合、前記歩数データに、予め決められた期間において測定された歩数が閾値以上である歩数が含まれているときには、前記データが不正データであることを検知してもよい。

また、前記データが不正データであるか否かを検知する際、前記機器から、前記データとして測定された歩数及び測定時の位置情報を含む歩数データを取得した場合、前記歩数データに、所定時間以上前記位置情報が変化しない状態の歩数が含まれているときには、前記データが不正データであることを検知してもよい。

また、前記データが不正データであるか否かを検知する際、前記機器から、前記データとして測定された歩数及び測定時の心拍数を含む歩数データを取得した場合、前記歩数データに、所定時間以上前記心拍数が変化しない状態の歩数が含まれているときには、前記データが不正データであることを検知してもよい。

また、前記データが不正データであるか否かを検知する際、前記機器から前記データを取得した場合、前記機器が異常であることを示す情報を取得したときには、前記データが不正データであることを検知してもよい。

また、前記データが不正データであるか否かを検知する際、前記データが不正データではないことを検知した場合に、さらに、前記データに対する信用度を判定し、取得した前記第１トランザクションデータにおける前記データを示す情報に、判定した前記信用度を含めるとしてもよい。

また、前記制御方法は、さらに、前記データが不正データであることを検知した場合には、前記第１トランザクションデータにおける前記情報に、前記データが不正データである旨を含めて第４トランザクションデータとして生成し、前記データが不正データであることを検知した場合、前記第１認証サーバが、前記第４トランザクションデータの検証を行い、前記第１認証サーバが、前記検証を行うことで前記第４トランザクションデータの正当性を確認した場合、前記複数の第２認証サーバとともに、前記第４トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、前記コンセンサスアルゴリズムによって前記第４トランザクションデータの正当性について合意された場合、前記第１認証サーバが、前記第４トランザクションデータを含むブロックを分散台帳に記録するとしてもよい。

また、前記第１トランザクションデータには、前記データを示す情報として、前記データまたは前記データのハッシュ値が含まれてもよい。

また、本開示の一実施態様の不正データ検知システムは、複数の認証サーバと検知サーバとを備える不正データ検知システムであって、前記検知サーバは、機器から取得したデータが不正データではないか否かを検知する検知部と、前記データを示す情報を含み前記機器が生成した第１トランザクションデータを取得し、前記データが不正データでないことを検知した場合に、前記第１トランザクションデータを、前記複数の認証サーバのうちの第１認証サーバに送信するデータ管理部と、を備え、前記第１認証サーバは、前記データが不正データではないことを検知した場合に、取得した前記第１トランザクションデータの検証を行うトランザクションデータ検証部と、前記検証を行うことで前記第１トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記第１認証サーバを除く複数の第２認証サーバとともに、前記第１トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行するブロック生成部と、前記コンセンサスアルゴリズムによって前記第１トランザクションデータの正当性について合意された場合、前記第１認証サーバが、前記第１トランザクションデータを含むブロックを分散台帳に記録する記録部とを備える。

以下、図面を参照しながら、実施の形態について説明する。なお、以下で説明する実施の形態は、いずれも本開示の一具体例を示すものである。従って、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置及び接続形態、ステップ、ステップの順序などは、本開示の一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、本開示の一形態に係る実現形態を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。本開示の実現形態は、現行の独立請求項に限定されるものではなく、他の独立請求項によっても表現され得る。

（実施の形態）
まず、本開示のシステム構成について説明する。

［１． システム構成］
本開示の不正データ検知システムは、取得したデータに関する情報を分散台帳に記録する前に、当該データが不正データであるか否かを検知することで、不正データではない当該データにおけるデータに関する情報を分散台帳に記録する。これにより、本開示の不正データ検知システムは、ブロックチェーン技術を活用して、取得した当該データがセキュアなデータであることを保証できるので、安心して当該データの利活用を行うことができる。

以下では、図面を参照しながら実施の形態における不正データ検知システム等の説明を行う。

［１．１ 不正データ検知システム１０の全体構成］
図１は、本実施の形態に係る不正データ検知システム１０の全体構成の一例を示す図である。不正データ検知システムは、図１に示すように、住宅１００と、端末１１０と、認証サーバ２００ａ、２００ｂ、２００ｃと、検知サーバ３００と、サービスサーバ４００とを備える。これらは、通信ネットワーク５００で接続されている。

認証サーバ２００ａ、２００ｂ、２００ｃ（以下、認証サーバ２００とも表現する）は、ブロックチェーンのトランザクションデータ及びブロックが電子的に記録される分散台帳を有する記憶装置と接続する。なお、認証サーバ２００は、当該記憶装置と通信ネットワーク５００を介して接続されていてもよいし、内部に当該記憶装置を備えてもよい。

なお、図１では、不正データ検知システム１０が、３つの認証サーバ２００を備える場合の例が示されているが、これに限らない。すなわち、不正データ検知システム１０は、４つ以上の認証サーバ２００を備えてもよい。

［１．２ 住宅１００の構成］
図２は、本実施の形態に係る住宅１００の全体構成の一例を示す図である。

住宅１００は、データを取得または収集する本開示に係る機器の一例である。取得または収集されるデータは、例えばユーザの健診データ、睡眠データ、血圧データ、体重データ、運動データなどヘルスケアデータであってもよいが、これに限らない。取得または収集されるデータは、ヘルスケアデータに限らず、心拍などのバイタルデータを含むユーザパーソナルデータであってもよいし、測定データであってもよいし、機器の動作履歴または機器の操作履歴などの機器の履歴情報であってもよい。このように、取得または収集されるデータは、サービス事業者が利活用できるデータであればよい。

本実施の形態では、住宅１００は、図２に示すように、コントローラ１０１と、太陽光発電装置１０２と、蓄電池１０３と、エアコン１０４と、体組成計１０５と、血圧計１０６とを備える。これらは通信ネットワークで接続されている。

＜コントローラ１０１＞
コントローラ１０１は、エアコン１０４、体組成計１０５及び血圧計１０６など宅内機器の制御を行う。また、制御部１０１１は、太陽光発電装置１０２及び蓄電池１０３の動作状況を表示してもよい。

また、コントローラ１０１は、宅内機器の動作履歴または操作履歴などの履歴情報を収集してもよいし、太陽光発電装置１０２及び蓄電池１０３の動作状況の履歴情報を収集してもよい。また、コントローラ１０１は、宅内機器により測定された測定データを収集してもよい。

さらに、コントローラ１０１は、収集した履歴情報及び測定データなどのデータを、検知サーバ３００に送信してもよいし、生成したトランザクションデータを認証サーバ２００に送信してもよい。

＜太陽光発電装置１０２＞
太陽光発電装置１０２は、太陽電池を用いて太陽光を直接的に電力に変換する発電方式を搭載した装置である。太陽光発電装置１０２が発電した電力は、住宅１００内で使用されたり、蓄電池１０３に蓄電されたりする。なお、太陽光発電装置１０２は必須の構成ではなく、住宅１００に備えられていなくてもよい。

＜蓄電池１０３＞
蓄電池１０３は、太陽光発電装置１０２が発電した電力を蓄電する。なお、蓄電池１０３は必須の構成ではなく、住宅１００に備えられていなくてもよい。

＜エアコン１０４、体組成計１０５及び血圧計１０６＞
エアコン１０４、体組成計１０５及び血圧計１０６は、ユーザが利用する宅内機器であるが、本開示の機器の一例であってもよい。例えばエアコン１０４の動作履歴または操作履歴などの履歴情報は、検知サーバ３００に送信される。また、体組成計１０５及び血圧計１０６の動作履歴または操作履歴などの履歴情報、体組成計１０５により測定されたユーザの体重データ、及び／または血圧計１０６により測定されたユーザの血圧データなどの測定データも検知サーバ３００に送信される。なお、これらのデータは、コントローラ１０１を経由して検知サーバ３００に送信されてもよいし、直接検知サーバ３００に送信されてもよい。

以下、コントローラ１０１の構成の一例について説明する。

［１．３ コントローラ１０１の構成］
図３は、図２に示すコントローラ１０１の構成の一例を示すブロック図である。

コントローラ１０１は、プロセッサ（不図示）と、プロセッサに所定の処理を実行させるプログラムが記憶されたメモリ（不図示）とを備える。つまり、コントローラ１０１は、プロセッサがメモリを用いて所定のプログラムを実行することで実現される。本実施の形態では、コントローラ１０１は、図３に示すように、制御部１０１１、トランザクションデータ生成部１０１２と、入力部１０１３と、記録部１０１４と、通信部１０１５とを備える。

＜制御部１０１１＞
制御部１０１１は、宅内機器の制御を行ってもよい。図２に示す例では、制御部１０１１は、エアコン１０４、体組成計１０５及び血圧計１０６などの宅内機器を操作したり、宅内機器の動作履歴、状態を管理したりする。また、制御部１０１１は、太陽光発電装置１０２及び蓄電池１０３の動作状況を表示してもよい。例えば、制御部１０１１は、太陽光発電装置１０２での発電状況または蓄電池１０３の蓄電状態を表示してもよい。また、制御部１０１１は、宅内機器の状態または体組成計１０５または血圧計１０６で測定したバイタルデータを表示してもよい。

また、制御部１０１１は、宅内機器の動作履歴または操作履歴などの履歴情報を収集してもよいし、太陽光発電装置１０２及び蓄電池１０３の動作状況の履歴情報を収集してもよい。また、制御部１０１１は、宅内機器により測定された測定データを収集してもよい。

＜入力部１０１３＞
入力部１０１３は、取得または収集したデータの利活用に関する同意情報を生成する。ここで、同意情報は、取得または収集したデータが利活用されることについてユーザが同意している内容を示す情報であり、ユーザの操作に基づいて生成される。同意情報は、例えば入力部１０１３が提供するデータ提供先のサービス事業者の一覧またはデータの一覧の中から、選択または選択を外すことで生成されてもよい。この場合、同意情報には、ユーザが同意したデータ提供可能なサービス事業者またはユーザが同意した提供可能なデータもしくはデータの種類が含まれる。つまり、同意情報には、ユーザが提供を同意したサービス事業者、または、データもしくはデータの種類が含まれる。また、同意情報には、さらに、フィードバックが一定以上である場合に提供することを同意する情報が含まれていてもよい。

また、入力部１０１３は、生成した同意情報に基づいて、スマートコントラクトを生成してもよい。ここで、このスマートコントラクトは、データを提供可能であるかを判断することを実行可能にプログラム化されたものである。このスマートコントラクトには、入力部１０１３により生成された同意情報が含まれてもよい。

なお、入力部１０１３は、コントローラ１０１にインストールされたアプリケーションであってもよく、その場合には、インストールされたアプリケーションが入力部１０１３の上記機能を実現する。

＜トランザクションデータ生成部１０１２＞
トランザクションデータ生成部１０１２は、ブロックチェーンにおけるトランザクションデータを生成する。本実施の形態では、トランザクションデータ生成部１０１２は、入力部１０１３で生成された同意情報を含むトランザクションデータを生成する。より具体的には、トランザクションデータ生成部１０１２は、例えば、ユーザが保有するブロックチェーンアドレスと、ユーザが提供を同意したサービス事業者またはデータもしくはデータの種類を含む同意情報と、署名とを含むトランザクションデータを生成する。なお、トランザクションデータ生成部１０１２は、さらに、識別子を付与してトランザクションデータを生成してもよい。トランザクションデータ生成部１０１２は、ユーザ個別の署名生成鍵を用いて署名を生成する。

また、トランザクションデータ生成部１０１２は、入力部１０１３で生成されたスマートコントラクトを含むトランザクションデータを生成してもよい。なお、トランザクションデータ生成部１０１２は、入力部１０１３で生成された同意情報とスマートコントラクトとを含むトランザクションデータを生成してもよい。

また、トランザクションデータ生成部１０１２は、制御部１０１１で収集等された履歴情報または測定データなどのデータを示す情報を含むトランザクションデータを生成してもよい。この場合、トランザクションデータ生成部１０１２は、例えば、ユーザが保有するブロックチェーンアドレスと、制御部１０１１で収集等されたデータを示す情報と、署名とを含むトランザクションデータを生成すればよい。ここで、データを示す情報は、例えば、制御部１０１１で収集等されたデータそのものであってもよいし、当該データのハッシュ値でもよいし、当該データのハッシュ値及び当該データの属性情報でもよい。

データの属性情報には、例えば当該データを収集等したセンサまたは機器の種別が含まれてもよい。また、データが歩数データ、体重データ、体脂肪率データまたは血圧データなどである場合、データの属性情報には、当該データがいつ、どうやって、どの項目で、測定または収集されたかを示すデータ項目などが含まれてもよい。データが、家電機器などの宅内機器の場合も、その動作履歴、動作日時などを示すデータ項目が含まれてもよい。

トランザクションデータ生成部１０１２は、生成したトランザクションデータを記録部１０１４に記録する。トランザクションデータ生成部１０１２は、通信部１０１５を介して認証サーバ２００または検知サーバ３００に送信する。

＜記録部１０１４＞
記録部１０１４は、制御部１０１１で収集した履歴情報及び測定データなどのデータを記録する。また、記録部１０１４は、トランザクションデータ生成部１０１２が生成したトランザクションデータを記録する。また、記録部１０１４は、入力部１０１３で生成された同意情報及びスマートコントラクトを記録してもよい。

＜通信部１０１５＞
通信部１０１５は、通信ネットワーク５００を介して、認証サーバ２００、検知サーバ３００、及び、サービスサーバ４００と通信を行う。この通信は、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）によりなされてもよい。この場合、ＴＬＳ通信用の暗号鍵は通信部１０１５で保持してもよい。

続いて、端末１１０の構成の一例について説明する。

［１．４ 端末１１０の構成］
図４は、本実施の形態に係る端末１１０の構成の一例を示すブロック図である。端末１１０は、本開示の機器の一例であり、プロセッサがメモリを用いて所定のプログラムを実行することで実現される。また、端末１１０は、例えばスマートフォンのような表示部及び入力部を有する機器、または、ウェアラブルデバイスのようなユーザの測定データを取得する機器などである。

本実施の形態では、端末１１０は、図４に示すように、トランザクションデータ生成部１１０１と、入力部１１０２と、データ取得部１１０３と、記録部１１０４と、通信部１１０５とを備える。

＜入力部１１０２＞
入力部１１０２は、データの利活用に関するユーザの同意情報を生成する。同意情報は、上述したように、取得または収集したデータが利活用されることについてユーザが同意している内容を示す情報であり、ユーザの操作に基づいて生成される。

例えば、同意情報は、入力部１０１３が提供するデータ提供先のサービス事業者の一覧またはデータの一覧の中から、選択または選択を外すことで生成されてもよい。この場合、ユーザは、データの活用の目的、データの活用実績、または、データを活用したことによるユーザへのフィードバックもしくはインセンティブを基に、データ提供先のサービス事業者を選択してもよい。インセンティブまたはフィードバックの一例としては、ユーザがデータをサービス事業者に提供した場合に当該サービス事業者からユーザに仮想通貨が支払われることもしくは享受できる情報が表示されることが挙げられる。また、インセンティブまたはフィードバックの一例としては、ユーザが体組成計もしくは血圧計の測定履歴などの測定データをスポーツクラブに提供した場合にスポーツクラブから無料体験または会費の減額を享受できることもしくは享受できる情報が表示されることが挙げられる。

また、入力部１１０２は、生成した同意情報に基づいて、データを提供可能であるかを判断することを実行可能にプログラム化されたスマートコントラクトを生成してもよい。

＜トランザクションデータ生成部１１０１＞
トランザクションデータ生成部１１０１は、ブロックチェーンにおけるトランザクションデータを生成する。本実施の形態では、トランザクションデータ生成部１１０１は、入力部１１０２で生成された同意情報を含むブロックチェーンにおけるトランザクションデータを生成する。より具体的には、トランザクションデータ生成部１１０１は、例えば、ユーザが保有するブロックチェーンアドレスと、ユーザが提供を同意したサービス事業者またはデータもしくはデータの種類を含む同意情報と、署名とを含むトランザクションデータを生成する。

なお、トランザクションデータ生成部１１０１は、さらに、識別子を付与してトランザクションデータを生成してもよい。トランザクションデータ生成部１１０１は、ユーザ個別の署名生成鍵を用いて署名を生成すればよい。

また、トランザクションデータ生成部１１０１は、データ取得部１１０３で取得したデータを示す情報を含むトランザクションデータを生成するとしてもよい。この場合、トランザクションデータ生成部１１０１は、例えば、ユーザが保有するブロックチェーンアドレスと、データ取得部１１０３で取得したデータを示す情報と、署名とを含むトランザクションデータを生成すればよい。データを示す情報は、例えば、データ取得部１１０３で取得したデータそのものであってもよいし、当該データのハッシュ値でもよいし、当該データのハッシュ値及び当該データの属性情報でもよい。

また、トランザクションデータ生成部１１０１は、入力部１１０２で生成されたスマートコントラクトを含むトランザクションデータを生成してもよい。なお、トランザクションデータ生成部１１０１は、入力部１１０２で生成された同意情報とスマートコントラクトとを含むトランザクションデータを生成してもよい。

トランザクションデータ生成部１１０１は、生成したトランザクションデータを記録部１１０４に記録する。トランザクションデータ生成部１１０１は、生成したトランザクションデータを、通信部１１０５を介して、認証サーバ２００または検知サーバ３００に送信する。

＜データ取得部１１０３＞
データ取得部１１０３は、端末１１０が保有するセンサが得た測定データなどのデータを取得する。例えば端末１１０が加速度センサ及びＧＰＳセンサを保有する場合、データ取得部１１０３は、測定データとして、加速度センサから得た歩数、ＧＰＳセンサから得た位置情報を含む歩数データを取得する。また、データ取得部１１０３は、測定データとして、血圧データを取得してもよいし、心拍データを取得してもよい。つまり、データ取得部１１０３は、サービス事業者が利活用できるデータを取得する。

データ取得部１１０３は、取得したデータを記録部１１０４に記録する。データ取得部１１０３は、通信部１１０５を介して、検知サーバ３００に送信してもよい。

＜記録部１１０４＞
記録部１１０４は、トランザクションデータ生成部１１０１が生成したトランザクションデータを記録する。また、記録部１１０４は、データ取得部１１０３が取得したデータを記録する。なお、記録部１１０４は、入力部１１０２が生成した同意情報及びスマートコントラクトを記録してもよい。

＜通信部１１０５＞
通信部１１０５は、通信ネットワーク５００を介して、認証サーバ２００、検知サーバ３００と通信を行う。この通信は、ＴＬＳによりなされてもよい。この場合、ＴＬＳ通信用の暗号鍵は通信部１１０５で保持してもよい。

続いて、認証サーバ２００の構成の一例について説明する。

［１．５ 認証サーバ２００ａの構成］
図５は、本実施の形態に係る認証サーバ２００ａの構成の一例を示すブロック図である。認証サーバ２００ｂ、２００ｃも同様の構成である。このため、以下では、認証サーバ２００ａを例に挙げて説明する。

認証サーバ２００ａは、図５に示すように、トランザクションデータ検証部２１１と、ブロック生成部２１２と、同期部２１３と、スマートコントラクト実行部２１４と、記録部２１５と、通信部２１６とを備える。認証サーバ２００ａは、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。以下、各構成要素について説明する。

＜トランザクションデータ検証部２１１＞
トランザクションデータ検証部２１１は、受信したトランザクションデータを検証する。具体的には、住宅１００または端末１１０などの機器からのトランザクションデータを受信すると、トランザクションデータ検証部２１１は、トランザクションデータのフォーマットが合っているか、及び署名が正当であるかを検証する。例えば、同意情報を含むトランザクションデータを検証する場合、トランザクションデータ検証部２１１は、当該トランザクションデータに含まれるアドレス、同意情報及び署名が正当であるかを検証する。なお、例えばデータを示す情報を含むトランザクションデータを検証する場合、トランザクションデータ検証部２１１は、当該トランザクションデータに含まれるアドレス、データを示す情報及び署名が正当であるかを検証すればよい。

このように、トランザクションデータ検証部２１１は、受信したトランザクションデータの正当性を確認することでトランザクションデータを検証する。

トランザクションデータ検証部２１１は、検証した結果、トランザクションデータの正当性を確認した場合、そのトランザクションデータを記録部２１５に記録する。ここで、正当なトランザクションデータと判断した場合は、同期部２１３へ通知する。

＜ブロック生成部２１２＞
ブロック生成部２１２は、トランザクションデータ検証部２１１においてトランザクションデータの検証が成功した場合、複数の認証サーバ２００の間で、トランザクションデータについてのコンセンサスアルゴリズムを実行する。ここで、コンセンサスアルゴリズムは、ＰＢＦＴ（Ｐｒａｃｔｉｃａｌ Ｂｙｚａｎｔｉｎｅ Ｆａｕｌｔ Ｔｏｌｅｒａｎｃｅ）とよばれるコンセンサスアルゴリズムを用いてもよいし、ＰｏＷ（Ｐｒｏｏｆ ｏｆ Ｗｏｒｋ）などその他の公知のコンセンサスアルゴリズムを用いてもよい。

本実施の形態では、ブロック生成部２１２は、認証サーバ２００ａ、認証サーバ２００ｂ及び認証サーバ２００ｃの間でコンセンサスアルゴリズムを実行する。すなわち、ブロック生成部２１２は、まず、１以上のトランザクションデータを含むブロックチェーンのブロックを生成する。次に、ブロック生成部２１２は、コンセンサスアルゴリズムを実行する。そして、ブロック生成部２１２は、コンセンサスアルゴリズムを実行することで合意形成ができた場合、生成したブロックを記録部２１５に記録する。ブロック生成部２１２により生成されたブロックは、記録部２１５によりブロックチェーンに接続されて記録される。

ここで、ブロックチェーンのデータ構造について説明する。

図６は、ブロックチェーンのデータ構造を示す説明図である。

ブロックチェーンは、その記録単位であるブロックがチェーン（鎖）状に接続されたものである。それぞれのブロックは、複数のトランザクションデータと、直前のブロックのハッシュ値とを有している。具体的には、ブロックＢ２には、その前のブロックＢ１のハッシュ値が含まれている。そして、ブロックＢ２に含まれる複数のトランザクションデータと、ブロックＢ１のハッシュ値とから演算されたハッシュ値が、ブロックＢ２のハッシュ値として、ブロックＢ３に含められる。このように、前のブロックの内容をハッシュ値として含めながら、ブロックをチェーン状に接続することで、接続されたトランザクションデータの改ざんを有効に防止する。

仮に過去のトランザクションデータが変更されると、ブロックのハッシュ値が変更前と異なる値になり、改ざんしたブロックを正しいものとみせかけるには、それ以降のブロックすべてを作り直さなければならず、この作業は現実的には非常に困難である。

＜同期部２１３＞
同期部２１３は、複数の認証サーバ２００（認証サーバ２００ａ〜２００ｃ）の間でブロックチェーンのブロック、または、トランザクションデータの同期を行う。

複数の認証サーバ２００の同期部２１３では、ｐｅｅｒ ｔｏ ｐｅｅｒでブロックチェーンのトランザクションデータの同期を行う。そして、同期部２１３は、同期が行われたブロックチェーンのトランザクションデータを記録部２１５に記録する。例えば、同期部２１３は、トランザクションデータ検証部２１１においてトランザクションデータの正当性が検証されると、他の認証サーバ２００である認証サーバ２００ｂ、２００ｃに検証済みのトランザクションデータを転送する。また、同期部２１３は、他の認証サーバ２００から検証済みのトランザクションデータを受信した場合、受信した検証済みのトランザクションデータを記録部２１５に記録する。

＜スマートコントラクト実行部２１４＞
スマートコントラクト実行部２１４は、分散台帳に記録されているスマートコントラクトを、ワーキングメモリに格納する。スマートコントラクト実行部２１４は、ワーキングメモリに格納されるスマートコントラクトを実行する。

例えば、スマートコントラクト実行部２１４は、データ取得依頼を含むトランザクションデータが分散台帳に記録されるすなわち当該トランザクションデータを含むブロックが生成されて分散台帳に記録されると、ユーザの同意情報に基づいて生成されたスマートコントラクトをワーキングメモリに格納する。スマートコントラクト実行部２１４は、ワーキングメモリに格納したスマートコントラクトを実行することで、実行されたスマートコントラクトに、データ提供可否を判断させることができる。また、実行されたスマートコントラクトは、データ提供可否の判断結果の通知をしたり、データ取得依頼を含むトランザクションデータに含まれるブロックチェーンアドレスに対して、アクセス権の付与を行ったりする。このように、スマートコントラクト実行部２１４は、サービスサーバ４００からのアクセスをトリガにして、スマートコントラクトを実行することで、検知サーバ３００が保有するデータに対するサービスサーバ４００のアクセス管理ができる。

また、例えば、スマートコントラクト実行部２１４は、インセンティブ支払いまたはフィードバック提供に関する情報を含むトランザクションデータが分散台帳に記録されると、インセンティブ支払いまたはフィードバック提供に基づいて生成されたスマートコントラクトをワーキングメモリに格納する。スマートコントラクト実行部２１４は、ワーキングメモリに格納したスマートコントラクトを実行することで、実行されたスマートコントラクトに、インセンティブ支払いまたはフィードバック提供をさせることができる。インセンティブ支払いまたはフィードバック提供は、インセンティブ支払いまたはフィードバック提供をした旨の通知をすることでもよいし、ユーザに対してインセンティブ支払いまたはフィードバック提供をすることでもよい。

＜記録部２１５＞
記録部２１５は、トランザクションデータをブロックに含めて、認証サーバ２００ａの分散台帳に記録する。当該分散台帳は、記録部２１５の内部に構成されていてもよいし、認証サーバ２００ａの外部記憶装置の内部に構成されていてもよい。

なお、当該トランザクションデータは、住宅１００または端末１１０から受信したトランザクションデータを含む。

本実施の形態では、記録部２１５は、本開示の機器から受信したトランザクションデータの正当性が確認された場合、当該トランザクションデータを含むブロックを認証サーバ２００ａの分散台帳に記録する。なお、分散台帳に記録されるブロックチェーンのブロックは、サービスサーバ４００、住宅１００または端末１１０に公開されてもよい。

＜通信部２１６＞
通信部２１６は、住宅１００、端末１１０、認証サーバ２００ｂ、２００ｃ、検知サーバ３００、及びサービスサーバ４００との通信を行う。この通信は、ＴＬＳによりなされてもよい。この場合、ＴＬＳ通信用の暗号鍵は通信部２１６で保持するとしてもよい。

このように、認証サーバ２００ａは、住宅１００または端末１１０から取得したデータの正当性を検証したり、データ提供の可否を管理したり、サービスサーバ４００にデータ提供したりするための処理を行う。なお、住宅１００または端末１１０から取得されるデータは、検知サーバ３００で記録され、認証サーバ２００ａで記録されないとして説明したが、これに限らない。認証サーバ２００ａで当該データが記録されてもよい。この場合、認証サーバ２００ａの分散台帳に、当該データを含めたトランザクションデータとして記録されてもよい。

次に、検知サーバ３００について説明する。

［１．６ 検知サーバ３００の構成］
図７は、本実施の形態に係る検知サーバ３００の構成の一例を示すブロック図である。

検知サーバ３００は、図７に示すように、データ管理部３１１と、検知部３１２と、トランザクションデータ生成部３１３と、記録部３１４と、通信部３１５とを備える。検知サーバ３００は、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。以下、各構成要素について説明する。

＜データ管理部３１１＞
データ管理部３１１は、住宅１００または端末１１０から取得したデータを管理する。データ管理部３１１は、検知部３１２で不正データではないことが検知されたデータを記録部３１４に記録する。データ管理部３１１は、検知サーバ３００が、住宅１００または端末１１０から、データを示す情報を含むトランザクションデータを受信しなかった場合には、住宅１００または端末１１０から取得したデータの属性情報などをトランザクションデータ生成部３１３に送信する。なお、データの属性情報には、上述したように当該データを収集等したセンサまたは機器の種別またはデータ項目などが含まれてもよい。また、データ管理部３１１は、検知部３１２で不正データであることが検知されたデータを、不正データである旨の情報が付与されて記録部３１４に記録してもよい。

また、データ管理部３１１は、サービスサーバ４００からデータ提供の依頼を受けたときには、認証サーバ２００の分散台帳に記録されている同意情報に基づいて、ユーザのデータを提供する。本実施の形態では、認証サーバ２００で同意情報に基づいて生成されたスマートコントラクトが実行され、データの提供可を示す通知を認証サーバ２００から、検知サーバ３００が受信したとする。この場合、データ管理部３１１は、サービスサーバ４００からデータ提供の依頼を受けたときには、ユーザの当該データを提供する。なお、データ管理部３１１は、サービスサーバ４００から、データ提供の依頼とともに、データ提供してほしいデータに対応するブロックチェーンアドレスも受けてもよい。

＜検知部３１２＞
検知部３１２は、住宅１００または端末１１０などの機器から取得したデータが不正データであるかどうかを検知する。ここで、例えば、住宅１００または端末１１０などの機器から、測定された歩数データを取得した場合、検知部３１２は、歩数データに、予め決められた期間において測定された歩数が閾値以上である歩数が含まれているときには、歩数データが不正データであることを検知すればよい。具体的には、検知部３１２は、歩数データに、１０分間に１万歩以上の歩数が測定されている場合、当該歩数データが不正データであると検知すればよい。ユーザなどの人が１０分間で１万歩歩くことは不可能であるため、１０分間に１万歩以上の歩数が測定されている場合、歩数データが改ざんされるなどの不正がなされていて、歩数データが不正データであると考えることができるからである。

また、検知部３１２は、歩数データに、閾値以上の時間において一定の割合で増加する歩数が含まれているときには、歩数データが不正データであることを検知すればよい。閾値以上の時間において一定の割合で歩数が増加する場合は、振り子などを使ってセンサを保有する端末１１０等を動作させているなどの不正がなされていると考えられ、歩数データが不正データであると考えることができるからである。

また、例えば、住宅１００または端末１１０などの機器から、測定された歩数及び測定時の位置情報を含む歩数データを取得した場合、検知部３１２は、歩数データに、所定時間以上、位置情報が変化しない状態の歩数が含まれているときには、歩数データが不正データであることを検知してもよい。位置情報が変わらないにもかかわらず歩数が増加する場合、振り子などを使ってセンサを保有する端末１１０等を動作させているなどの不正がなされていると考えられ、歩数データが不正データであると考えることができるからである。

また、例えば、住宅１００または端末１１０などの機器から、測定された歩数及び測定時の心拍数を含む歩数データを取得した場合、検知部３１２は、歩数データに、所定時間以上、心拍数が変化しない状態の歩数が含まれているときには、歩数データが不正データであることを検知してもよい。

また、例えば、端末１１０などの機器から、測定中の歩数データを取得した場合、検知部３１２は、端末１１０などの機器に、ユーザに何かしらの入力をさせるためのメッセージを送信してもよい。そして、検知部３１２は、端末１１０からメッセージに対する何かしらの入力結果を取得できないときには、取得した歩数データが不正データであることを検知してもよい。

また、住宅１００または端末１１０などの機器から、体組成計の測定データを取得した場合、検知部３１２は、測定データに、前回の体組成計測値から閾値以上の値の変化がある体組成計測値が含まれるときには、取得した測定データが不正データであると検知してもよい。

また、住宅１００または端末１１０などの機器から、体組成計の測定データを取得した場合、検知部３１２は、前回の体組成計測値からある期間以下で閾値以上の変化があったときには、測定データが不正データであると検知してもよい。具体的には、検知部３１２は、前回の血圧値から１分以内に計測された血圧値が３０以上変化している場合には、血圧値の測定データが不正データであると検知してもよい。また、検知部３１２は、前回の体組成計測値から１日以内に計測された体組成計測値が５キログラム以上変化している場合には、体組成計測値の測定データが不正データであると検知してもよい。

また、例えば、住宅１００または端末１１０などの機器からデータを取得した場合、さらに、当該機器が異常であることを示す情報を取得したときには、検知部３１２は、取得したデータが不正データであることを検知してもよい。

なお、検知部３１２は、住宅１００が有する太陽光発電装置１０２または蓄電池１０３などの機器の異常を検知してもよい。例えば、検知部３１２は、外部サーバ（不図示）から天気の情報を入手し、天気が晴れていないにもかかわらず、太陽光発電装置１０２の発電量が多いときには、太陽光発電装置１０２が異常または故障であると検知してもよい。また、例えば、検知部３１２は、住宅１００内のエアコン１０４などの機器が蓄電池１０３の電力を利用しているにも関わらず、蓄電池１０３の残量が減少しないときには、蓄電池１０３が異常または故障であると検知してもよい。

また、検知部３１２は、取得したデータが不正データできることを検知することに加えて、機器の故障等の不具合による非正常動作または非動作を検知してもよい。具体的には、検知部３１２は、住宅１００の太陽光発電装置１０２または蓄電池１０３などの機器から定期的に取得するデータを受信できない場合、または、取得したデータが破損しているなど取得したデータが異常データの場合、機器が故障していると検知してもよい。

また、検知部３１２は、住宅１００が有する太陽光発電装置１０２または蓄電池１０３などの機器の異常を検知するために、他の端末または他の住宅のデータを用いてもよい。例えば、検知部３１２は、住宅１００に隣接する住宅の太陽光発電装置の発電量を用いて、住宅１００から取得した太陽光発電装置１０２の発電量を検証し、閾値以上に異なる場合、太陽光発電装置１０２が異常または故障であると検知してもよい。また、当該端末や住宅内の機器から過去に受信したデータや端末を利用するユーザのデータをもとにデータを検証するとしてもよい。

また、検知部３１２は、住宅１００または端末１１０などの機器から取得したデータが不正データではないことを検知した場合、当該データをデータ管理部３１１に送信し、記録部３１４に記録する。

一方、検知部３１２は、住宅１００または端末１１０などの機器から取得したデータが不正データであることを検知した場合、当該データを破棄してもよいし、当該データの属性に不正データであることを付与して記録部３１４に記録してもよい。そして、検知部３１２は、不正データであることを付与した属性情報をトランザクションデータ生成部３１３に送信してもよい。

なお、検知部３１２は、機器から取得したデータが不正データであることを検知した場合または機器の異常を検知した場合、端末１１０または住宅１００のコントローラ１０１にその旨の通知を送信し、ユーザに問い合わせてもよい。

＜トランザクションデータ生成部３１３＞
トランザクションデータ生成部３１３は、検知サーバ３００が、住宅１００または端末１１０から、データを示す情報を含むトランザクションデータを受信せず、データ管理部３１１からデータの属性情報を受信する場合、データの属性情報を含むトランザクションデータを生成する。トランザクションデータ生成部３１３は、生成したトランザクションデータを記録部３１４に記録する。また、トランザクションデータ生成部３１３は、生成したトランザクションデータを、通信部３１５を介して認証サーバ２００に送信する。

＜記録部３１４＞
記録部３１４は、住宅１００または端末１１０などの本開示の機器からデータを取得した場合、取得したデータを記録する。また、記録部３１４は、検知サーバ３００が取得したデータが不正データであるか否かを検知した検知結果を記録する。また、記録部３１４は、トランザクションデータ生成部３１３がトランザクションデータを生成した場合、そのトランザクションデータを記録する。

＜通信部３１５＞
通信部３１５は、通信ネットワーク５００を介して、住宅１００、端末１１０、認証サーバ２００、サービスサーバ４００と通信を行う。この通信は、ＴＬＳによりなされてもよい。この場合、ＴＬＳ通信用の暗号鍵は通信部３１５で保持してもよい。

このように、検知サーバ３００は、住宅１００または端末１１０から取得したデータが、不正データであるかを検知し、かつ、当該データを記録する。検知サーバ３００は、例えば、端末１１０から歩数データを取得し、歩数データが不正データではないことを検知した場合、当該データを記録し、認証サーバ２００に当該データに関する情報を記録する。

なお、本実施の形態では、検知サーバ３００と認証サーバ２００とは独立したサーバとして説明しているが、これに限らない。検知サーバ３００の機能は、認証サーバ２００に含まれて動作してもよい。

続いて、サービスサーバ４００の構成の一例について説明する。

［１．７ サービスサーバ４００の構成］
図８は、本実施の形態に係るサービスサーバ４００の構成の一例を示すブロック図である。

サービスサーバ４００は、サービス事業者がサービスを提供するために管理するサーバであり、例えばスポーツクラブのサーバである。本実施の形態では、サービスサーバ４００は、図８に示すように、サービス管理部４１１と、ユーザ管理部４１２と、トランザクションデータ生成部４１３と、記録部４１４と、通信部４１５とを備える。サービスサーバ４００は、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。以下、各構成要素について説明する。

＜サービス管理部４１１＞
サービス管理部４１１は、ユーザ管理部４１２が管理するユーザの情報を活用し、サービスを提供する。例えば、サービス管理部４１１は、ユーザの体組成計測値または血圧計測値などの測定データを含むデータを検知サーバ３００から取得し、新たなヘルスケアサービスを提供したり、効果を実証したりする。

サービス管理部４１１は、ユーザ管理部４１２が管理するユーザの情報を利用して、データの取得を依頼する旨を示すデータ取得依頼を生成し、トランザクションデータ生成部４１３に送信する。サービス管理部４１１は、例えば、ユーザのどのようなデータを取得したいかを決定し、取得したいユーザの属性情報または取得したいデータ種別などを基に、データ取得依頼を生成する。データ取得依頼には、例えば、ユーザの識別子が事前に判明している場合はユーザの識別子を指定した依頼が含まれていてもよいし、ブロックチェーンアドレスが指定した依頼が含まれていてもよいし、属性を指定した依頼が含まれていてもよい。ここでの属性は、住宅１００または端末１１０などの機器の種別でもよいし、機器から取得したデータの種別でもよいし、ユーザの属性でもよい。

また、サービス管理部４１１は、データを取得した場合、取得したデータに対する対価として、取得したデータのユーザに対してインセンティブ支払いまたはフィードバック提供に関する情報を生成し、トランザクションデータ生成部４１３に送信する。ここで、インセンティブ支払いまたはフィードバック提供に関する情報は、取得したデータに対する対価として、ユーザのブロックチェーンアドレスに対して仮想通貨が支払われた旨が含まれていてもよい。なお、サービス管理部４１１は、生成したインセンティブ支払いまたはフィードバック提供に基づいてスマートコントラクトを生成してもよい。この場合、スマートコントラクトには、例えば、取得したデータに対する対価として、ユーザのブロックチェーンアドレスに対して仮想通貨を支払うことを実行するためのプログラムが含まれていてもよい。

＜ユーザ管理部４１２＞
ユーザ管理部４１２は、サービスを提供する対象となるユーザの情報を取得し、取得したユーザの情報を管理する。

＜トランザクションデータ生成部４１３＞
トランザクションデータ生成部４１３は、サービス管理部４１１により生成されたデータ取得依頼を含むトランザクションデータを生成する。

また、トランザクションデータ生成部４１３は、サービス管理部４１１により生成されたインセンティブ支払いまたはフィードバック提供に関する情報を含むトランザクションデータを生成する。

また、トランザクションデータ生成部４１３は、サービス管理部４１１により生成されたインセンティブ支払いまたはフィードバック提供に基づくスマートコントラクトを含むトランザクションデータを生成してもよい。

＜記録部４１４＞
記録部４１４は、サービス提供に必要なユーザの情報またはサービスの情報を記録する。また、記録部４１４は、トランザクションデータ生成部４１３が生成したトランザクションデータを記録する。なお、記録部４１４は、サービス管理部４１１により生成されたデータ取得依頼、インセンティブ支払いもしくはフィードバック提供に関する情報、及び、スマートコントラクトを記録してもよい。

＜通信部４１５＞
通信部４１５は、通信ネットワーク５００を介して、認証サーバ２００及び検知サーバ３００と通信を行う。この通信は、ＴＬＳによりなされてもよい。この場合、ＴＬＳ通信用の暗号鍵は通信部４１５で保持するとしてもよい。

［１．８ 不正データ検知システム１０の全体シーケンス］
続いて、不正データ検知システム１０の全体シーケンスについて説明する。図９は、本実施の形態に係る不正データ検知システム１０の全体シーケンス図である。各処理については後述する。

まず、ステップＳ１００において、端末１１０と住宅１００と認証サーバ２００ａ〜２００ｃとの間で同意情報登録処理が行われる。なお、後述する同意情報登録処理では、端末１１０が同意情報を登録する場合について説明する。住宅１００のコントローラ１０１が同意情報を登録する場合でも同様の処理となるため、住宅１００のコントローラ１０１が同意情報を登録する場合の説明は省略する。

次に、ステップＳ２００において、端末１１０と住宅１００と認証サーバ２００ａ〜２００ｃと検知サーバ３００との間でデータ登録処理が行われる。後述するデータ登録処理では、端末１１０から取得したデータを登録する場合について説明する。住宅１００が宅内機器のデータを登録する場合でも同様の処理となるため、住宅１００が宅内機器のデータを登録する場合の説明は省略する。

次に、ステップＳ３００において、端末１１０と住宅１００と認証サーバ２００ａ〜２００ｃと検知サーバ３００とサービスサーバ４００との間でデータ参照処理が行われる。

なお、ステップＳ３００のデータ参照処理は、ステップＳ１００の同意情報登録処理においてユーザの同意情報が登録された後に実行可能になる。

［１．８．１ 同意情報登録処理］
続いて、端末１１０と認証サーバ２００ａ〜２００ｃとの間での同意情報登録処理について説明する。

図１０は、本実施の形態に係る端末１１０と認証サーバ２００ａ〜２００ｃとの間での同意情報登録処理を示すシーケンス図である。図１０に示す例では、端末１１０が同意情報を登録する場合について説明する。

まず、端末１１０は、ユーザの操作に基づいて同意情報を生成する（Ｓ１０１）。ここで、端末１１０には、入力部１０１３としてアプリケーションが導入されており、アプリケーションがユーザの操作に基づいて同意情報を生成してよい。この場合、ユーザは、入力部１０１３が提供するデータ提供先のサービス事業者の一覧またはデータの一覧の中から、選択または選択を外すかを指示するだけで、端末１１０に同意情報を生成させることができる。

なお、ユーザは、端末１１０に同意情報を生成させる際、サービス事業者からのフィードバックが多いか否かを判断した上で同意情報を生成させてもよい。例えば、ユーザは、データをサービス事業者に提供した場合、仮想通貨が提供されること、または、サービス事業者のクーポンもしくは割引が提供されることといったフィードバックの内容から、選択するデータ提供先（つまりデータ提供の同意）を決めてもよい。また、例えば、ユーザは、データをサービス事業者に提供した場合に提供される仮想通貨の額またはクーポンもしくは割引の額などユーザへのフィードバックの内容を基に選択するデータ提供先（つまりデータ提供の同意）を決めてもよい。フィードバックの内容は、サービス事業者から公開されるとしてもよいし、認証サーバ２００のブロックチェーンに記録されていてもよい。

次に、端末１１０は、ステップＳ１０１で生成した同意情報に基づいて、スマートコントラクトを生成する（Ｓ１０２）。このスマートコントラクトは、データを提供可能であるかを判断することを実行可能にプログラム化されたものである。このスマートコントラクトには、ステップＳ１０１で生成された同意情報が含まれてもよい。さらに、このスマートコントラクトには、フィードバックが一定以上である場合に提供するか否かを判断することを実行可能にプログラムが含まれていてもよい。

次に、端末１１０は、生成した同意情報とスマートコントラクトとを含むトランザクションデータ（以下、第３トランザクションデータと称する）を生成する（Ｓ１０３）。

次に、端末１１０は、ステップＳ１０３で生成した第３トランザクションデータを、認証サーバ２００ａに送信する（Ｓ１０４）。なお、図１０に示す例では、端末１１０は、生成した第３トランザクションデータを認証サーバ２００ａに送信しているが、認証サーバ２００ｂ、２００ｃに送信してもよい。認証サーバ２００ｂ、２００ｃに送信した場合も同様である。

次に、認証サーバ２００ａは、端末１１０から第３トランザクションデータを取得すると（Ｓ１０５）、取得した第３トランザクションデータの検証を行う（Ｓ１０６）。

ステップＳ１０６において、第３トランザクションデータの検証が成功しなかった場合（Ｓ１０６でＮ）、認証サーバ２００ａは、端末１１０にその旨の通知を送信する（Ｓ１０７）。

一方、ステップＳ１０６において、第３トランザクションデータの検証が成功した場合（Ｓ１０６でＹ）、認証サーバ２００ａは、他の認証サーバ２００（認証サーバ２００ｂ、２００ｃ）に第３トランザクションデータを転送する（Ｓ１０８）。なお、他の認証サーバ２００でも、転送された第３トランザクションデータを検証する。

次に、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、コンセンサスアルゴリズムを実行する（Ｓ１０９）。認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、第３トランザクションデータが正当なトランザクションデータであること（つまり正当性）を検証すると、それぞれ第３トランザクションデータを含むブロックを生成する。そして、認証サーバ２００ａ、２００ｂ、２００ｃは、第３トランザクションデータを含むブロックを分散台帳に記録する。

このようにして端末１１０が作成したスマートコントラクトと同意情報とが分散台帳に記録される。

そして、スマートコントラクトは、分散台帳に記録されることで、実行可能になるすなわち稼働する（Ｓ１１０）。なお、スマートコントラクトは、分散台帳に記録されることで、認証サーバ２００ａ等のワーキングメモリに格納されるので実行可能になる。

［１．８．２ データ登録処理］
続いて、端末１１０と認証サーバ２００ａ〜２００ｃと検知サーバ３００との間でのデータ登録処理について説明する。

図１１は、本実施の形態に係る端末１１０と認証サーバ２００ａ〜２００ｃと検知サーバ３００との間でのデータ登録処理を示すシーケンス図である。図１１に示す例では、端末１１０から取得したデータを検知サーバ３００に登録する場合について説明する。

まず、端末１１０は、端末１１０が保有するセンサが得た測定データなどのデータを取得する（Ｓ２０１）。端末１１０が例えばウェアラブル端末であり、センサを保有する場合、センサの測定データに基づき得た例えば歩数データまたは血圧データなどのバイタルデータを当該データとして取得する。なお、当該データは、上述したように、歩数データまたは血圧データなどのバイタルデータに限らず、サービス事業者が利活用できるデータであればよい。

次に、端末１１０は、ステップＳ２０１で取得したデータに関する情報を含むトランザクションデータ（以下、第１トランザクションデータと称する）を生成する（Ｓ２０２）。ここでのデータに関する情報は、例えば、当該データのハッシュ値及び当該データの属性情報であるとする。この場合、第１トランザクションデータは、ブロックチェーンアドレス、ハッシュ値、属性情報及び署名を含む。

次に、端末１１０は、ステップＳ２０１で取得したデータと、ステップＳ２０２で生成した第１ランザクションデータとを、検知サーバ３００に送信する（Ｓ２０３）。

次に、検知サーバ３００は、端末１１０から第１トランザクションデータとデータとを取得すると（Ｓ２０４）、検知サーバ３００は、ステップＳ２０１で取得したデータが不正データであるか否かを検知する（Ｓ２０５）。

ステップＳ２０５において、ステップＳ２０１で取得したデータが不正データであった場合（Ｓ２０５でＹ）、検知サーバ３００は、端末１１０にその旨の通知を送信する（Ｓ２０６）。

一方、ステップＳ２０５において、ステップＳ２０１で取得したデータが不正データでなかった場合（Ｓ２０５でＮ）、検知サーバ３００は、ステップＳ２０４で取得した第１トランザクションデータを認証サーバ２００ａに送信する。なお、図１１に示す例では、端末１１０は、ステップＳ２０４で取得した第１トランザクションデータを認証サーバ２００ａに送信しているが、認証サーバ２００ｂ、２００ｃに送信してもよい。認証サーバ２００ｂ、２００ｃに送信した場合も同様である。

次に、検知サーバ３００は、ステップＳ２０１で取得したデータを記録する（Ｓ２０８）。

次に、認証サーバ２００ａは、検知サーバ３００から第１トランザクションデータを取得すると（Ｓ２０９）、取得した第１トランザクションデータの検証を行う（Ｓ２１０）。なお、ステップＳ２０８とステップＳ２０９の順番は、この通りではなく、変更してもよい。

ステップＳ２１０において、第１トランザクションデータの検証が成功しなかった場合（Ｓ２１０でＮ）、認証サーバ２００ａは、検知サーバ３００にその旨の通知を送信する（Ｓ２１１）。

一方、ステップＳ２１０において、第１トランザクションデータの検証が成功した場合（Ｓ２１０でＹ）、認証サーバ２００ａは、他の認証サーバ２００（認証サーバ２００ｂ、２００ｃ）に第１トランザクションデータを転送する（Ｓ２１２）。なお、他の認証サーバ２００でも、転送された第１トランザクションデータを検証する。

次に、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、コンセンサスアルゴリズムを実行する（Ｓ２１３）。認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、第１トランザクションデータが正当なトランザクションデータであること（つまり正当性）を検証すると、それぞれ第１トランザクションデータを含むブロックを生成する。そして、認証サーバ２００ａ、２００ｂ、２００ｃは、第１トランザクションデータを含むブロックを分散台帳に記録する。

このようにして、データに関する情報を含む第１トランザクションデータを含むブロックとが分散台帳に記録され、データそのものが検知サーバ３００に記録される。

なお、ステップＳ２０５において、ステップＳ２０１で取得したデータが不正データであった場合（Ｓ２０５でＹ）、検知サーバ３００は、端末１１０にその旨の通知を送信しているが、認証サーバ２００ａにもその旨の通知を送信してもよい。そして、検知サーバ３００が認証サーバ２００ａにもその旨の通知を送信する際、取得したデータが不正データである旨を示すトランザクションデータを生成して、認証サーバ２００ａに送信してもよい。

［１．８．３ データ参照処理］
続いて、端末１１０と認証サーバ２００ａ〜２００ｃと検知サーバ３００とサービスサーバ４００との間でのデータ参照処理について説明する。

図１２Ａ及び図１２Ｂは、本実施の形態に係る端末１１０と認証サーバ２００ａ〜２００ｃと検知サーバ３００とサービスサーバ４００との間でのデータ参照処理を示すシーケンス図である。

図１２Ａ及び図１２Ｂに示す例では、サービスサーバ４００が、検知サーバ３００からデータを取得する場合について説明する。

まず、サービスサーバ４００は、例えば、ユーザのどのようなデータを取得したいかを決定した場合、データ取得の依頼を行うことを決定する（Ｓ３０１）。

次に、サービスサーバ４００は、データ取得を依頼する旨を示すデータ取得依頼を生成し、データ取得依頼を含むトランザクションデータ（以下、第２トランザクションデータと称する）を生成する（Ｓ３０２）。

次に、サービスサーバ４００は、生成した第２トランザクションデータを、認証サーバ２００ｃに送信する（Ｓ３０３）。図１２Ａに示す例では、サービスサーバ４００は、ステップＳ３０２で生成した第２トランザクションデータを認証サーバ２００ｃに送信しているが、認証サーバ２００ａ、２００ｂに送信してもよい。認証サーバ２００ａ、２００ｂに送信した場合も同様である。

次に、認証サーバ２００ｃは、サービスサーバ４００から第２トランザクションデータを取得すると（Ｓ３０４）、取得した第２トランザクションデータの検証を行う（Ｓ３０５）。

ステップＳ３０５において、第２トランザクションデータの検証が成功しなかった場合（Ｓ３０５でＮ）、認証サーバ２００ｃは、サービスサーバ４００にその旨の通知を送信する（Ｓ３０６）。

一方、ステップＳ３０５において、第２トランザクションデータの検証が成功した場合（Ｓ３０５でＹ）、認証サーバ２００ｃは、他の認証サーバ２００（認証サーバ２００ａ、２００ｂ）に第２トランザクションデータを転送する（Ｓ３０７）。なお、他の認証サーバ２００でも、転送された第２トランザクションデータを検証する。

次に、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、コンセンサスアルゴリズムを実行する（Ｓ３０８）。認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、第２トランザクションデータが正当なトランザクションデータであること（つまり正当性）を検証すると、それぞれ第２トランザクションデータを含むブロックを生成する。そして、認証サーバ２００ａ、２００ｂ、２００ｃは、第２トランザクションデータを含むブロックを分散台帳に記録する。

次に、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、分散台帳に記録されたスマートコントラクトを実行する（Ｓ３０９）。このスマートコントラクトは、同意情報に基づいて生成されたものであり、分散台帳に記録されたことで、ワーキングメモリに格納されて実行可能になっている。そして、認証サーバ２００で実行されたスマートコントラクトは、同意情報に基づいて、サービスサーバ４００に依頼されたデータの提供が可能か否かを判断する。当該スマートコントラクトは、判断結果の通知を、検知サーバ３００とサービスサーバ４００とに送信する（Ｓ３１０）。

次に、検知サーバ３００とサービスサーバ４００とは、ステップＳ３１０で送信された通知を受信する（Ｓ３１１）。ここで、ステップＳ３１０で送信された通知は、サービスサーバ４００に依頼されたデータの提供が可能である旨を示しているとする。

次に、サービスサーバ４００は、検知サーバ３００に対して、データ提供の依頼を行う（Ｓ３１２）。なお、サービスサーバ４００は、データ提供を取得するために検知サーバ３００にアクセスするとしてもよい。

次に、検知サーバ３００は、サービスサーバ４００から、データ提供の依頼を取得すると（Ｓ３１３）、ステップＳ３１１で認証サーバ２００から受信した通知を確認し、サービスサーバ４００に依頼されたデータの提供が可能であるかを判断する（Ｓ３１４）。なお、ステップＳ３１４において、ステップＳ３１１で認証サーバ２００から受信した通知を確認し、サービスサーバ４００に依頼されたデータの提供が不可であることを判断すると（Ｓ３１４でＮ）、サービスサーバ４００にその旨の通知を送信する（Ｓ３１５）。

ステップＳ３１４において、ステップＳ３１１で認証サーバ２００から受信した通知を確認し、サービスサーバ４００に依頼されたデータの提供が可能であることを判断すると（Ｓ３１４でＹ）、サービスサーバ４００に、依頼されたデータを提供する（Ｓ３１６）。

次に、サービスサーバ４００は、依頼したデータを取得する（Ｓ３１７）。

すると、サービスサーバ４００は、インセンティブ支払いのトランザクションデータを生成する（Ｓ３１８）。より具体的には、サービスサーバ４００は、インセンティブ支払いに関する情報を含むトランザクションデータを生成する。

次に、サービスサーバ４００は、ステップＳ３１８で生成したトランザクションデータを、認証サーバ２００ｃに送信する（Ｓ３１９）。なお、図１２Ｂに示す例では、サービスサーバ４００は、生成したトランザクションデータを認証サーバ２００ｃに送信しているが、認証サーバ２００ａ、２００ｂに送信してもよい。認証サーバ２００ａ、２００ｂに送信した場合も同様である。

次に、認証サーバ２００ｃは、サービスサーバ４００からトランザクションデータを取得すると（Ｓ３２０）、取得したトランザクションデータの検証を行う（Ｓ３２１）。

ステップＳ３２１において、トランザクションデータの検証が成功しなかった場合（Ｓ３２１でＮ）、認証サーバ２００ｃは、サービスサーバ４００にその旨の通知を送信する（Ｓ３２２）。

一方、ステップＳ３２１において、トランザクションデータの検証が成功した場合（Ｓ３２１でＹ）、認証サーバ２００ｃは、他の認証サーバ２００（認証サーバ２００ａ、２００ｂ）にトランザクションデータを転送する（Ｓ３２３）。なお、他の認証サーバ２００でも、転送されたトランザクションデータを検証する。

次に、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、コンセンサスアルゴリズムを実行する（Ｓ３２４）。認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、トランザクションデータが正当なトランザクションデータであること（つまり正当性）を検証すると、それぞれ当該トランザクションデータを含むブロックを生成する。そして、認証サーバ２００ａ、２００ｂ、２００ｃは、トランザクションデータを含むブロックを分散台帳に記録する。

次に、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、分散台帳に記録された、インセンティブ支払いに関するスマートコントラクトを実行する（Ｓ３２５）。このスマートコントラクトは、インセンティブ支払いに基づいて生成されたものであり、分散台帳に記録されたことで、ワーキングメモリに格納されて実行可能になっている。本実施の形態では、インセンティブ支払いに関するスマートコントラクトが、ユーザに対してインセンティブ支払いを行ってもよい。

そして、例えば認証サーバ２００ａのスマートコントラクトは、ユーザに対してインセンティブ支払いを行った旨のインセンティブ通知を送信する（Ｓ３２６）。

なお、サービスサーバ４００は、ステップＳ３１８において、フィードバック提供に関する情報を含むトランザクションデータを生成してもよい。この場合、ステップＳ３２５において、フィードバック提供に関するスマートコントラクトが実行されることになる。

このようにして、端末１１０と住宅１００と認証サーバ２００ａ〜２００ｃと検知サーバ３００とサービスサーバ４００との間でデータ参照処理が行われ、その後、インセンティブ支払い処理が行われる。

なお、図１２Ａに示すデータ参照処理の例では、認証サーバ２００により実行されたスマートコントラクトは、ステップＳ３１０において、その判断結果を検知サーバ３００とサービスサーバ４００とに送信しているが、これに限らない。認証サーバ２００により実行されたスマートコントラクトは、ステップＳ３１０において、さらに、サービスサーバ４００がデータを取得する旨の通知を、ユーザすなわち端末１１０に送信してもよい。

また、図１２Ａに示すデータ参照処理の例では、ステップＳ３１１及びＳ３１２において、サービスサーバ４００は、認証サーバ２００で実行されたスマートコントラクトの判断結果を受信してから、データ提供を依頼してデータを取得しているが、これに限らない。ステップＳ３０９において、認証サーバ２００で実行されたスマートコントラクトによって、検知サーバ３００に記録されたデータであってサービスサーバ４００が提供依頼したデータがサービスサーバ４００に提供されてもよい。

［１．８．４ インセンティブ支払いに関するスマートコントラクト登録処理］
続いて、認証サーバ２００ａ〜２００ｃとサービスサーバ４００との間でのインセンティブ支払いに関するスマートコントラクト登録処理について説明する。

図１３は、本実施の形態に係る認証サーバ２００ａ〜２００ｃとサービスサーバ４００との間でのインセンティブ支払いに関するスマートコントラクト登録処理を示すシーケンス図である。

まず、サービスサーバ４００は、インセンティブ支払いに関するスマートコントラクトを生成する（Ｓ４０１）。

次に、サービスサーバ４００は、ステップＳ４０１で生成したインセンティブ支払いに関するスマートコントラクトを含むトランザクションデータを生成する（Ｓ４０２）。

次に、サービスサーバ４００は、ステップＳ４０２で生成したトランザクションデータを、認証サーバ２００ａに送信する（Ｓ４０３）。図１２Ａに示す例では、サービスサーバ４００は、ステップＳ４０２で生成したトランザクションデータを認証サーバ２００ａに送信しているが、認証サーバ２００ｂ、２００ｃに送信してもよい。認証サーバ２００ｂ、２００ｃに送信した場合も同様である。

次に、認証サーバ２００ａは、サービスサーバ４００からトランザクションデータを取得すると（Ｓ４０４）、取得したトランザクションデータの検証を行う（Ｓ４０５）。

ステップＳ４０５において、トランザクションデータの検証が成功しなかった場合（Ｓ４０５でＮ）、認証サーバ２００ａは、サービスサーバ４００にその旨の通知を送信する（Ｓ４０６）。

一方、ステップＳ４０５において、トランザクションデータの検証が成功した場合（Ｓ４０５でＹ）、認証サーバ２００ａは、他の認証サーバ２００（認証サーバ２００ｂ、２００ｃ）に当該トランザクションデータを転送する（Ｓ４０７）。なお、他の認証サーバ２００でも、転送されたトランザクションデータを検証する。

次に、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、コンセンサスアルゴリズムを実行する（Ｓ４０８）。認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、当該トランザクションデータが正当なトランザクションデータであること（つまり正当性）を検証すると、それぞれトランザクションデータを含むブロックを生成する。そして、認証サーバ２００ａ、２００ｂ、２００ｃは、トランザクションデータを含むブロックを分散台帳に記録する。

次に、当該トランザクションデータに含まれるインセンティブ支払いに関するスマートコントラクトは、分散台帳に記録されることで、実行可能になるすなわち稼働する（Ｓ４０９）。なお、インセンティブ支払いに関するスマートコントラクトは、分散台帳に記録されることで、認証サーバ２００ａ等のワーキングメモリに格納されるので実行可能になる。［１．９ 実施の形態の効果］
以上のように、本開示の制御方法、プログラム及び不正データ検知システムによれば、取得したデータに関する情報を分散台帳に記録する前に、当該データを検証して、セキュアなデータである旨とともに当該データに関する情報を分散台帳に記録できる。これにより、ブロックチェーン技術を活用して、取得したデータがセキュアなデータであることを保証できる。よって、分散台帳を用いて、安心してデータを利活用することができる。

また、本実施の形態によれば、ユーザの同意情報を、ブロックチェーン技術を用いた分散台帳に、安全に記録できる。また、本実施の形態によれば、住宅１００または端末１１０等の機器から収集したデータのうち不正データではないことが検知されたデータのみを、ユーザの同意のもとに当該データをサービスサーバ４００に提供できる。これにより、サービス事業者は、セキュアなデータであることを保証されたユーザのデータを利活用することができる。

なお、住宅１００内の宅内機器または端末１１０から取得したデータが不正データではないことが検知された旨の情報が分散台帳に記録されている場合、住宅１００内の宅内機器または端末１１０は、不正データではないデータを提供する機器であることの証明にもなる。

［２． その他の変形例］
なお、本開示を上記各実施の形態に基づいて説明してきたが、本開示は、上記各実施の形態に限定されないのはもちろんである。以下のような場合も本開示に含まれる。

（１）上記の実施の形態では、体組成計１０５及び血圧計１０６は、住宅１００のコントローラ１００と接続されていたが、これに限らない。体組成計１０５及び血圧計１０６は、端末１１０と無線接続されてもよい。この場合、端末１１０は、体組成計１０５及び血圧計１０６の測定データを収集し、収集したデータを検知サーバ３００に送信するとしてもよい。

（２）上記の実施の形態では、検知サーバ３００とサービスサーバ４００とは別の装置であるとして説明したが、これに限らない。検知サーバ３００とサービスサーバ４００とは、同一の装置であってもよい。

（３）上記の実施の形態では、検知サーバ３００に、機器から取得したデータが記録される場合について説明したが、これに限らない。端末１１０または住宅１００などの機器のデータを収集するデータ収集サーバを、検知サーバ３００と別に設けてもよい。

この場合、検知サーバ３００は、取得したデータのうち不正データではないことを検知したデータのみをデータ収集サーバに記録させてもよい。また、検知サーバ３００は、データ収集サーバが記録したデータが不正データではないか否かを検知するとしてもよい。

（４）上記実施の形態では、検知サーバ３００の検知部３１２は、機器から取得したデータが不正データであるか否かを検知するというように、２値的に検知するが、これに限らない。検知サーバ３００は、機器から取得したデータが不正データではない場合、さらに当該データの信用度を付与するとしてもよい。より具体的には、検知サーバ３００は、取得したデータが不正データではないことを検知した場合に、さらに、当該データに対する信用度を判定してもよい。そして、検知サーバ３００は、取得した第１トランザクションデータにおけるデータを示す情報に、判定した信用度を含めればよい。

ここで、検知サーバ３００は、閾値を用いて当該データに対する信用度を判定してもよいし、取得したデータのうち、不正データではないことを検知したデータの割合を信用度として判定してもよい。

また、検知サーバ３００は、取得したデータの一部あるいは全部のデータについて、信用度を付与するとしてもよい。例えば、取得したデータが不正データではないことを検知した場合を１００とし、取得したデータが不正データであることを検知した場合を０とする。この場合、検知サーバ３００は、今回取得した歩数データの値が前回受信した歩数データの値を基準に３％以下の変化であれば信用度を１００とし、５％以下の変化であれば信用度を９０とし、５０％以上の変化であれば信用度を３０と判定してもよい。

また、検知サーバ３００が、不正データではないことを検知したデータに対して信用度を付与した場合、サービスサーバ４００は、信用度を指定したデータ取得依頼を含む第２トランザクションデータを生成してもよい。これにより、サービスサーバ４００は、不正データではないデータのうちでも信用度の高いデータのみを活用することができる。

なお、サービスサーバ４００は、提供されたデータの信用度に応じて、インセンティブを変更してもよい。

（５）上記実施の形態では、検知サーバ３００の検知部３１２は、機器から取得したデータが不正データであるか否かを検知するとして説明したが、これに限らない。検知サーバ３００は、検知サーバ３００とは異なる別のセキュリティサーバに、取得したデータを転送し、セキュリティサーバがデータが不正データであるか否かを検知した検知結果を受信してもよい。

ここで、例えばセキュリティサーバには、検知サーバ３００の検知部３１２と同様の機能だけでなく、他の端末などの他の機器のデータを収集して、検知サーバ３００から転送されたデータが不正データまたは異常データであるかどうかを検証する機能を持ってもよい。これにより、セキュリティサーバは、一つの端末から取得したデータだけでは不正データまたは異常データであるかどうかを検証できないようなデータも検証することが可能となる。具体的には、ある地域の天候が悪いにもかかわらず、当該地域の住宅から取得した太陽光発電装置のデータに差異がある場合、セキュリティサーバは、転送された太陽光発電装置のデータが不正データまたは異常データであると検証できる。また、セキュリティサーバは、例えば雪などの通常通りに歩くことが難しい状況にもかかわらず、歩数データが著しく増加している場合などでは、転送された歩数データが不正データまたは異常データであると検証できる。このように、セキュリティサーバは、転送されたデータ以外の他の情報を用いて検証してもよい。

また、セキュリティサーバは、入力部と表示部とを有し、転送された端末１１０または住宅１００のデータを表示部で表示し、入力部に対する監視員の入力に基づいて転送されたデータが不正データまたは異常データであると判断してもよい。また、セキュリティサーバは、入力部に対する監視員の入力に基づいて、不正データではないと判断されたデータに信用度を付与してもよい。

（６）上記実施の形態では、検知サーバ３００は、機器から取得したデータが不正データであるか否かを検知することを１回だけ行うとして説明したが、複数回行ってもよい。この場合、検知サーバ３００は、最初の検知結果の内容に変更があった場合、検知結果が変更になった旨を示すトランザクションデータを生成し、認証サーバ２００に送信してもよい。なお、このとき生成されるトランザクションデータには、当該データの識別子または当該データに対する検知結果が変更になった旨を示す情報などが含まれるとよい。なお、検知サーバ３００は、当該データに対する検知結果が変更になった旨を示す情報を、サービスサーバ４００に通知してもよい。

（７）上記実施の形態では、検知サーバ３００は、機器から取得したデータが不正データであるか否かを検知すると説明したが、これに限らない。検知サーバ３００は、機器から取得したデータが不正データであるか否かを１回目に検知した結果、当該データが不正データではないと検知した場合、当該データが不正データではないことを仮決定する。さらに、検知サーバ３００は、当該データが不正データであるか否かを再度（２回目に）検知した結果、当該データが不正データではないと検知した場合、当該データが不正データではないことを本決定してもよい。

このとき、１回目に検知後一定時間経過した時点で再度検知した場合において、当該データが不正データであることが判断できないときに、検知サーバ３００は、当該データが不正データではないことを本決定してもよい。ここで、検知サーバ３００は、不正データではないことを仮決定した当該データの信用度に応じて、一定時間の期間を決めてもよいし、再度検知する回数を決めてもよい。

なお、検知サーバ３００は、当該データよりも過去に取得したデータまたは１回目の検知後に取得したデータを用いて再度検知としてもよい。

（８）上記実施の形態では、端末１１０は、同意情報を生成するとして説明したが、これに限らない。端末１１０は、同意情報を生成する際、同意情報により提供するデータのレベルを設定してもよい。ここで、レベルは、同意情報により提供可能なデータの匿名化の尺度を指定するものであってよい。例えば、提供可能なデータのレベルは、端末１１０から収集したデータそのもの（全部）を提供可能と指定すること、または、収集したデータの属性のうちのユーザの性別、年齢は提供可能だが、収集したデータの一部を匿名化して提供することを指定することが挙げられる。

また、同意情報において、提供可能なデータのレベルとして、収集したデータの統計データまでと指定し、データ提供者は匿名化することを指定してもよい。この場合、例えば認証サーバ２００または検知サーバ３００が、匿名化されたデータ提供者に対するどのデータを統計化したかを記録するとする。この場合、サービスサーバ４００は、データ提供に対するインセンティブを、認証サーバ２００または検知サーバ３００に送信することで、認証サーバ２００または検知サーバ３００は、匿名化したデータ提供者に対してインセンティブを送付するとしてもよい。

（９）上記実施の形態では、検知サーバ３００は、機器から取得したデータが不正データであるか否かを検知すると説明したが、これに限らない。検知サーバ３００は、機器から不正データを検知し続ける場合、当該機器からデータを受信しないとしてもよい。

（１０）上記実施の形態では、検知サーバ３００は、機器から取得したデータが不正データであるか否かを検知すると説明したが、これに限らない。検知サーバ３００は、機器ごとに公開鍵証明書と秘密鍵とを保有し、データに署名をつけて、署名がないデータを不正と判断するとしてもよい。

（１１）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

（１２）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部またはすべてを含むように１チップ化されてもよい。

また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。

さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。

（１３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

（１４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。

また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

（１５）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。

本開示は、制御方法、プログラム及び不正データ検知システムに利用でき、例えばユーザのバイタルデータまたは機器の履歴情報などのデータが不正データであるか否かを検知し、不正データではないデータをサービス事業者に提供することができ、データの利活用を促進する制御方法、プログラム及び不正データ検知システムに利用できる。

１０ 不正データ検知システム
１００ 住宅
１０１ コントローラ
１０２ 太陽光発電装置
１０３ 蓄電池
１０４ エアコン
１０５ 体組成計
１０６ 血圧計
１１０ 端末
２００、２００ａ、２００ｂ、２００ｃ 認証サーバ
２１１ トランザクションデータ検証部
２１２ ブロック生成部
２１３ 同期部
２１４ スマートコントラクト実行部
２１５、３１４、４１４、１０１４、１１０４ 記録部
２１６、３１５、４１５、１０１５、１１０５ 通信部
３００ 検知サーバ
３１１ データ管理部
３１２ 検知部
３１３、４１３、１０１２、１１０１ トランザクションデータ生成部
４００ サービスサーバ
４１１ サービス管理部
４１２ ユーザ管理部
５００ 通信ネットワーク
１０１１ 制御部
１０１３、１１０２ 入力部
１１０３ データ取得部

Claims (12)

1. 検知サーバと複数の認証サーバとを少なくとも備える不正データ検知システムにおける制御方法であって、
   前記検知サーバが、
   機器から、サービスに利活用されるデータと、前記サービスに利活用されるデータを示す情報を含み前記機器が生成した第１トランザクションデータとを取得し、
   前記サービスに利活用されるデータが不正データではないか否かを検知し、
   前記サービスに利活用されるデータが不正データではないことを検知した場合に、前記第１トランザクションデータを、前記複数の認証サーバのうちの一つの認証サーバに送信し、
   前記複数の認証サーバのうちの一つの認証サーバが、
   取得した前記第１トランザクションデータの検証を行い、
   前記検証を行うことで前記第１トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記一つの認証サーバを含む複数の認証サーバとともに、前記第１トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
   前記コンセンサスアルゴリズムによって前記第１トランザクションデータの正当性について合意された場合、前記第１トランザクションデータを含むブロックを分散台帳に記録し、
   さらに、前記複数の認証サーバのうちの一つの認証サーバが、
   データの利活用に関する同意情報と、前記同意情報に基づき前記データを提供可能であるかを判断することを実行可能にプログラム化されたスマートコントラクトを含む第３トランザクションデータを取得し、
   取得した前記第３トランザクションデータの検証を行い、
   前記検証を行うことで前記第３トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記一の認証サーバを含む複数の認証サーバとともに、前記第３トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
   前記コンセンサスアルゴリズムによって前記第３トランザクションデータの正当性について合意された場合、前記第３トランザクションデータを含むブロックを分散台帳に記録する、
   制御方法。
2. 複数の認証サーバを少なくとも備える不正データ検知システムにおける制御方法であって、
   前記複数の認証サーバのうちの一つの認証サーバが、
   機器から、サービスに利活用されるデータと、前記サービスに利活用されるデータを示す情報を含み前記機器が生成した第１トランザクションデータとを取得し、
   前記サービスに利活用されるデータが不正データではないか否かを検知し、
   前記サービスに利活用されるデータが不正データではないことを検知した場合に、前記第１トランザクションデータの検証を行い、
   前記検証を行うことで前記第１トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの一つの認証サーバを含む複数の認証サーバとともに、前記第１トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
   前記コンセンサスアルゴリズムによって前記第１トランザクションデータの正当性について合意された場合、前記第１トランザクションデータを含むブロックを分散台帳に記録し、
   さらに、前記複数の認証サーバのうちの一つの認証サーバが、
   データの利活用に関する同意情報と、前記同意情報に基づき前記データを提供可能であるかを判断することを実行可能にプログラム化されたスマートコントラクトを含む第３トランザクションデータを取得し、
   取得した前記第３トランザクションデータの検証を行い、
   前記検証を行うことで前記第３トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記一つの認証サーバを含む複数の認証サーバとともに、前記第３トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
   前記コンセンサスアルゴリズムによって前記第３トランザクションデータの正当性について合意された場合、前記第３トランザクションデータを含むブロックを分散台帳に記録する、
   制御方法。
3. 前記不正データ検知システムは、さらにサービスサーバを含み、
   前記制御方法では、
   前記サービスサーバが、前記データの取得を依頼する旨を示すデータ取得依頼を含む第２トランザクションデータを生成して、前記複数の認証サーバのうちの一つの認証サーバに送信し、
   前記複数の認証サーバのうちの前記一つの認証サーバが、前記第２トランザクションデータを取得した場合、取得した前記第３トランザクションデータに基づき前記スマートコントラクトを実行することで、前記データを前記サービスサーバに提供可能であると判断したとき、前記データが、前記サービスサーバに提供される、
   請求項１または２に記載の制御方法。
4. 前記データが不正データであるか否かを検知する際、
   前記機器から、前記データとして測定された歩数データを取得した場合、前記歩数データに、予め決められた期間において測定された歩数が閾値以上である歩数が含まれているときには、前記データが不正データであることを検知する、
   請求項１〜３のいずれか１項に記載の制御方法。
5. 前記データが不正データであるか否かを検知する際、
   前記機器から、前記データとして測定された歩数及び測定時の位置情報を含む歩数データを取得した場合、前記歩数データに、所定時間以上前記位置情報が変化しない状態の歩数が含まれているときには、前記データが不正データであることを検知する、
   請求項１〜４のいずれか１項に記載の制御方法。
6. 前記データが不正データであるか否かを検知する際、
   前記機器から、前記データとして測定された歩数及び測定時の心拍数を含む歩数データを取得した場合、前記歩数データに、所定時間以上前記心拍数が変化しない状態の歩数が含まれているときには、前記データが不正データであることを検知する、
   請求項１〜５のいずれか１項に記載の制御方法。
7. 前記データが不正データであるか否かを検知する際、
   前記機器から前記データを取得した場合、前記機器が異常であることを示す情報を取得したときには、前記データが不正データであることを検知する、
   請求項１〜６のいずれか１項に記載の制御方法。
8. 前記データが不正データであるか否かを検知する際、
   前記データが不正データではないことを検知した場合に、さらに、前記データに対する信用度を判定し、取得した前記第１トランザクションデータにおける前記データを示す情報に、判定した前記信用度を含める、
   請求項１〜７のいずれか１項に記載の制御方法。
9. 前記制御方法は、さらに、
   前記検知サーバが、
   前記データが不正データであることを検知した場合には、前記第１トランザクションデータにおける前記情報に、前記データが不正データである旨を含めて第４トランザクションデータとして生成し、
   前記データが不正データであることを検知した場合、前記複数の認証サーバのうちの一つの認証サーバが、前記第４トランザクションデータの検証を行い、
   前記複数の認証サーバのうちの前記一つの認証サーバが、前記検証を行うことで前記第４トランザクションデータの正当性を確認した場合、前記複数の認証サーバとともに、前記第４トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
   前記コンセンサスアルゴリズムによって前記第４トランザクションデータの正当性について合意された場合、前記複数の認証サーバのうちの一つの認証サーバが、前記第４トランザクションデータを含むブロックを分散台帳に記録する、
   請求項１に記載の制御方法。
10. 前記第１トランザクションデータには、前記データを示す情報として、前記データまたは前記データのハッシュ値が含まれる、
    請求項１〜９のいずれか１項に記載の制御方法。
11. 複数の認証サーバを少なくとも備える不正データ検知システムにおける制御方法をコンピュータに実行させるプログラムであって、
    機器から、サービスに利活用されるデータと、前記データを示す情報を含み前記機器が生成した第１トランザクションデータを取得し、
    前記サービスに利活用されるデータが不正データではないか否かを検知し、
    前記データが不正データではないことを検知した場合に、複数の認証サーバのうちの一つの認証サーバが、取得した前記第１トランザクションデータの検証を行い、
    前記複数の認証サーバのうちの前記一つの認証サーバが、前記検証を行うことで前記第１トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記一つの認証サーバを含む複数の認証サーバとともに、前記第１トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
    前記コンセンサスアルゴリズムによって前記第１トランザクションデータの正当性について合意された場合、前記複数の認証サーバのうちの一つの認証サーバが、前記第１トランザクションデータを含むブロックを分散台帳に記録し、
    さらに、前記複数の認証サーバのうちの一つの認証サーバが、
    データの利活用に関する同意情報と、前記同意情報に基づき前記データを提供可能であるかを判断することを実行可能にプログラム化されたスマートコントラクトを含む第３トランザクションデータを取得し、
    取得した前記第３トランザクションデータの検証を行い、
    前記検証を行うことで前記第３トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記一つの認証サーバを含む複数の認証サーバとともに、前記第３トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
    前記コンセンサスアルゴリズムによって前記第３トランザクションデータの正当性について合意された場合、前記第３トランザクションデータを含むブロックを分散台帳に記録することを、
    コンピュータに実行させるプログラム。
12. 検知サーバと複数の認証サーバとを備える不正データ検知システムであって、
    前記検知サーバは、
    機器から取得したデータが不正データではないか否かを検知する検知部と、
    前記データを示す情報を含み前記機器が生成した第１トランザクションデータを取得し、
    前記データが不正データでないことを検知した場合に、前記第１トランザクションデータを、前記複数の認証サーバのうちの一つの認証サーバに送信するデータ管理部と、を備え、
    前記複数の認証サーバのうちの前記一つの認証サーバは、
    前記データが不正データではないことを検知した場合に、取得した前記第１トランザクションデータの検証を行うトランザクションデータ検証部と、
    前記検証を行うことで前記第１トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記一つの認証サーバを含む複数の認証サーバとともに、前記第１トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行するブロック生成部と、
    前記コンセンサスアルゴリズムによって前記第１トランザクションデータの正当性について合意された場合、前記複数の認証サーバのうちの一つの認証サーバが、前記第１トランザクションデータを含むブロックを分散台帳に記録する記録部とを備え、
    さらに、前記複数の認証サーバのうちの一つの認証サーバは、
    データの利活用に関する同意情報と、前記同意情報に基づき前記データを提供可能であるかを判断することを実行可能にプログラム化されたスマートコントラクトを含む第３トランザクションデータを取得し、
    前記トランザクションデータ検証部は、取得した前記第３トランザクションデータの検証を行い、
    前記ブロック生成部は、前記検証を行うことで前記第３トランザクションデータの正当性を確認した場合、前記複数の認証サーバのうちの前記一の認証サーバを含む複数の認証サーバとともに、前記第３トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
    前記記録部は、前記コンセンサスアルゴリズムによって前記第３トランザクションデータの正当性について合意された場合、前記第３トランザクションデータを含むブロックを分散台帳に記録する、
    不正データ検知システム。

Images