JP7299972B2

JP7299972B2 - 情報処理システム、情報処理方法、及びプログラム

Info

Publication number: JP7299972B2
Application number: JP2021515889A
Authority: JP
Inventors: 真旭徳山
Original assignee: Individual
Current assignee: Individual
Priority date: 2019-04-24
Filing date: 2020-03-24
Publication date: 2023-06-28
Anticipated expiration: 2040-03-24
Also published as: WO2020217823A1; JPWO2020217823A1; US20220286451A1

Description

本発明は、情報処理システム、情報処理方法、及びプログラムに関する。

従来、ある個人が作成した情報を第三者に与える際には、第三者が本人であることを確認してから情報を与えることで、第三者本人以外に情報を与えないようにしている。例えば、特許文献１には、生体認証により第三者が本人であることを認証し、第三者本人に情報を提示する技術が開示されている。

特開２００４－０５４４９６号公報

特許文献１では、ある個人が作成した情報を、第三者本人は見ることしかできない。このため、個人の作成した情報のデータを、個人から権限のある第三者に与えることができない課題がある。

本発明は上述の課題を解決するものであり、個人の作成した情報のデータを、個人から権限のある第三者に与えることができる情報処理システム、情報処理方法、及びプログラムを提供することを目的とする。

上記の目的を達するため、本発明に係る情報処理システムは、第１端末と、認証用サーバと、第２端末とを備える。第１端末は、第１ユーザの作成した情報のデータを含むファイルを、複数のファイルに分割して生成した複数の分割ファイルを、複数のクラウドに分散して記憶する。認証用サーバは、ユーザを本人であると認証する。第２端末は、自らを使用する第２ユーザが認証用サーバで本人と認証された場合に、第１端末により複数のクラウドに分散された複数の分割ファイルを取得する。第２端末は、取得した複数の分割ファイルを復元して第１ユーザの作成した情報のデータを含むファイルを取得する。第１端末及び前記第２端末は、自らを使用する第１ユーザ及び第２ユーザを認証するためのユーザ認証手段を備える。ユーザ認証手段は、第１端末及び第２端末を使用する第１ユーザ及び第２ユーザから取得した第１認証用データに基づくスコア値と、第１端末及び第２端末を使用する第１ユーザ及び第２ユーザから取得した第２認証用データに基づくスコア値とを合計した値が、予め定められた合計値以上である場合に、第１端末及び第２端末を使用する第１ユーザ及び第２ユーザが本人であることを認証する。第１端末は、複数の分割ファイルの第２ユーザによる利用開始日時を設定する。認証用サーバは、第１端末から設定された利用開始日時を経過した場合に、第２端末に複数のクラウドに分散された複数の分割ファイルを取得させる。

本発明に係る情報処理システムによれば、第２ユーザの用いる第２端末において、第２ユーザが本人だと認証できた場合に、第１ユーザが第１端末を用いて分散して保存したファイルを、第２端末で取得し復元することができるので、個人の作成した情報のデータを、個人から権限のある第三者に与えることができる。

本発明の実施の形態１に係る情報処理システムの全体構成を示す図図１に示す情報処理システムにおける認証用サーバのブロック図図１に示す情報処理システムにおける第１クラウドのブロック図図１に示す情報処理システムにおける第２クラウドのブロック図図１に示す情報処理システムにおける端末の正面図図１に示す情報処理システムにおける端末のブロック図図１に示す情報処理システムにおける端末のハードウエア構成の一例を示す図図１に示す情報処理システムにおける端末から取得する本人認証用データの概要を示す図図４Ａに示す端末から取得する認証用生体情報データベースのテーブルを示す図図４Ａに示す端末から取得する認証用ユーザの癖データベースのテーブルを示す図図４Ａに示す端末におけるユーザの認証に用いるスコア値テーブルを示す図図４Ａに示す端末においてユーザを本人と認証する認証処理のフローチャート図４Ｂに示す端末に保存する第１暗号鍵データベースのテーブルを示す図図４Ｂに示す端末に保存する第２暗号鍵データベースのテーブルを示す図図４Ｂに示す端末に保存するファイル分割用暗号鍵テーブルを示す図図２に示す認証用サーバに保存する暗号鍵情報データベースのテーブルを示す図図４Ａに示す端末で実行するユーザの預託ファイルの分割を説明するための図クラスタの構成を説明するための図図４Ａに示す端末が実行する暗号化処理において奇数の論理アドレスが割り当てられたクラスタに対する処理を示す図図４Ａに示す端末が実行する暗号化処理において偶数の論理アドレスが割り当てられたクラスタに対する処理を示す図ファイル管理テーブルの構成の一例を示す図ファイル格納処理のフローチャートファイルの復元処理のフローチャート実施の形態１におけるファイル預託処理のフローチャート図１５に示すファイル預託処理におけるユーザ登録処理のフローチャート図１５に示すファイル預託処理におけるユーザ情報共有処理のフローチャート図１５に示すファイル預託処理におけるファイル預け処理のフローチャート図１５に示すファイル預託処理におけるファイル取得処理のフローチャート実施の形態２におけるファイル預託処理のフローチャート図２０に示すファイル預託処理におけるファイル更新処理のフローチャート実施の形態３におけるファイル預託処理のフローチャート図２２に示すファイル預託処理における開示情報変更処理のフローチャート実施の形態４における図４Ｂに示す端末に保存する第１暗号鍵データベースのテーブルを示す図実施の形態４における図４Ｂに示す端末に保存する第２暗号鍵データベースのテーブルを示す図実施の形態４における図２に示す認証用サーバに保存する暗号鍵情報データベースのテーブルを示す図実施の形態４におけるファイル預託処理のフローチャート図２６に示すファイル預託処理におけるファイル預託・更新処理のフローチャート図２６に示すファイル預託処理における第１ユーザの登録処理のフローチャート図２６に示すファイル預託処理における第１ユーザの認証処理のフローチャート図２６に示すファイル預託処理における第２ユーザの登録処理のフローチャート図２６に示すファイル預託処理における生体情報取得処理のフローチャート図２６に示すファイル預託処理における開示設定情報の登録処理のフローチャート図２６に示すファイル預託処理における開示設定情報の変更処理のフローチャート図２６に示すファイル預託処理における認証用サーバへのログイン処理のフローチャート図２６に示すファイル預託処理におけるファイル取得処理のフローチャート実施の形態５における端末のブロック図図３６に示す端末の情報処理ブロック図図３６に示す端末から取得する認証用生体情報データベースのテーブルを示す図図３６に示す端末から取得する認証用ユーザの癖データベースのテーブルを示す図図３６に示す端末の傾き情報テーブルを示す図実施の形態５に係る認証処理のフローチャート図３９Ａに示す認証処理のフローチャートの続きのフローチャート

（実施の形態１）
以下に、本発明を実施するための形態に係る情報処理システム、情報処理方法、及びプログラムについて、図面を参照して詳細に説明する。なお、図中同一または相当する部分には同一符号を付す。

本実施の形態１に係る情報処理システム１００は、第１ユーザが作成したファイルを、第１端末を使用して複数のクラウドに分散して保存し、第１ユーザからファイルの閲覧を許可された第２ユーザが、認証用サーバで本人と認証された場合に、第２端末を使用して複数のクラウドに分散して保存されたファイルを取得し、復元して使用することができるシステムである。

情報処理システム１００の構成を、図１に示す。情報処理システム１００は、ユーザをユーザ本人と認証する認証用サーバ１と、ファイルを分散して保存する第１クラウド３Ａ及び第２クラウド３Ｂと、第１ユーザによって使用される第１端末４Ａ及び第２ユーザによって使用される第２端末４Ｂと、を備える。ここで、第１クラウド３Ａ及び第２クラウド３Ｂは、クラウド３と総称する。また、第１端末４Ａ及び第２端末４Ｂは、端末４と総称する。認証用サーバ１と、クラウド３と、端末４とは、ネットワーク２を介して相互に接続している。

次に、認証用サーバ１の構成を、図２に示す。認証用サーバ１は、サーバ制御部１１とサーバ記憶部１２とを含む。サーバ制御部１１は、自身にアクセスするユーザを本人と認証するとともに、認証したユーザとの間で各種データを送受信するためのユーザ認証処理プログラム１１０を実行する。このユーザ認証処理プログラムについて、詳細は後述する。また、サーバ記憶部１２には、第１ユーザの使用する第１端末４Ａ及び第２ユーザの使用する第２端末４Ｂとの間で用いる秘密鍵と暗号鍵のペア鍵と、共通鍵とを記憶する暗号鍵情報データベース１２０を記憶している。この暗号鍵情報データベース１２０について、詳細は後述する。

続いて、第１クラウド３Ａ及び第２クラウド３Ｂの構成を、図３Ａ及び図３Ｂに示す。第１クラウド３Ａは、図３Ａに示すように、第１記憶部３０を備えている。また、第２クラウド３Ｂは、図３Ｂに示すように、第２記憶部３１を備えている。

本実施の形態１における端末４は、いわゆるスマートフォンであり、ユーザの顔の画像、指紋、声紋等の生体情報と、ユーザが端末４を操作する際の特有の挙動、操作状態等によるユーザの癖とを用いる認証機能を備える。

端末４は、図４Ａに示すように、端末４の正面に、ユーザの顔を撮影するインカメラ４１Ａと、スピーカ４２Ａと、通話用のマイク（マイクロフォン）４２Ｂと、端末４の傾きを検出する傾き検出部４３と、操作入力部４４及び表示部４９を兼ねるタッチパネルと、ユーザの指紋を検出する左指紋センサ４５Ａ及び右指紋センサ４５Ｂと、端末４の現在位置を検出する位置検出部４６とを備える。また、端末４は、背面に、ユーザから見た人間、風景、物体等を撮影することができるメインカメラ４１Ｂを備える。

ここで、以下では、インカメラ４１Ａとメインカメラ４１Ｂとを総称して、撮影部４１と称する。以下では、スピーカ４２Ａと、通話用のマイク（マイクロフォン）４２Ｂとを総称して、音声入出力部４２と称する。また、以下では、左指紋センサ４５Ａ及び右指紋センサ４５Ｂを総称して、指紋検出部４５と称する。

図４Ｂは、端末４の構成を示すブロック図である。端末４は、通信部４０と、撮影部４１と、音声入出力部４２と、傾き検出部４３と、操作入力部４４と、指紋検出部４５と、位置検出部４６と、端末記憶部４７と、端末制御部４８と、表示部４９とを備える。

通信部４０は、図１に示したネットワーク２を介して、認証用サーバ１及びクラウド３との通信し、データの送受信し、また、通信部４０は、第１端末４Ａと第２端末４Ｂとの間で通信し、データの送受信をすることができるデータ通信部と、図示せぬ基地局との間で、電話通信用の無線信号を送受信する音声通信部とを含む。データ通信部は、無線ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）、Ｗｉ－ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等を用いて構成することができる。また、音声通信部は、基地局との間で、電話通信用の無線信号を送受信する通信機器を用いて構成することができる。

撮影部４１は、図４Ａに示したインカメラ４１Ａとメインカメラ４１Ｂとを含む。撮影部４１には、ＣＣＤ（ＣｈａｒｇｅＣｏｕｐｌｅｄＤｅｖｉｃｅ）、ＣＭＯＳ（ＣｏｍｐｌｅｍｅｎｔａｒｙＭｅｔａｌＯｘｉｄｅＳｅｍｉｃｏｎｄｕｃｔｏｒ）イメージセンサ等の撮像素子を用いたカメラ、ビデオカメラ等、静止画または動画を撮影し、撮影した静止画または動画を取得することが可能な各種カメラを用いることができる。

音声入出力部４２は、図４Ａに示したスピーカ４２Ａと、通話用のマイク４２Ｂとを含む。スピーカ４２Ａは、音声通話で受信した音声、図１に示したネットワーク２を介して外部から取得した音楽データ等を出力する。通話用のマイク４２Ｂは、ユーザの音声をピックアップする装置である。

傾き検出部４３は、端末４の傾き、揺れ等を検出することができる装置である。傾き検出部４３は、加速度センサ、角度センサ、地磁気を検出する磁気センサ等の端末４の傾きを検出できる各種センサを用いて構成することができる。なお、加速度センサ、角度センサ等のセンサの個数は、単数又は複数のどちらでもよい。また、センサの種類は、一種類又は複数種類のどちらでもよい。

操作入力部４４は、図４Ａに示したユーザからの操作を入力することができる装置である。指紋検出部４５は、ユーザの指紋を検出するセンサである。指紋検出部４５は、図４Ａに示した左指紋センサ４５Ａ及び右指紋センサ４５Ｂを含む。なお、指紋検出部４５には、指紋センサに限らず、ユーザの指紋を検出することができるセンサ、機器等であれば、いずれのものを用いてもよい。

位置検出部４６は、端末４の現在位置を検出することができる装置である。位置検出部４６は、ＧＰＳ（ＧｌｏｂａｌＰｏｓｉｔｉｏｎｉｎｇＳｙｓｔｅｍ）等の、端末４の現在位置を検出することができる機器を用いて構成することができる。

端末記憶部４７は、認証処理プログラム４７０と、認証用生体情報データベース４７１と、認証用ユーザの癖データベース４７２と、スコア値テーブル４７３と、ファイル管理処理プログラム４７４と、ファイル管理テーブル４７５と、第１暗号鍵データベース４７６と、ファイル分割用暗号鍵テーブル４７７と、ファイル預託処理プログラム４７８と、第２暗号鍵データベース４７９と、ファイル取得処理プログラム４８０とを含む。

認証処理プログラム４７０は、ユーザを認証する処理を行うプログラムである。認証用生体情報データベース４７１は、ユーザの生体情報に関する情報と認証結果とを保存するデータベースである。認証用ユーザの癖データベース４７２は、端末４を操作する際のユーザ特有の癖に関する情報と認証結果とを保存するデータベースである。ここで、ユーザ特有の癖とは、ユーザが端末４を操作する際の挙動、表示部４９の画面とユーザの顔の距離、キーストローク、持ち方、端末４が使用される位置、通信環境等、端末４の操作時におけるユーザ特有の振る舞いのことをいう。

スコア値テーブル４７３は、予め端末４に登録されたユーザの生体情報及びユーザの癖に関するスコア値の上限値及び下限値、ユーザを認証するためのしきい値となるスコア値が記憶されたデータベースである。

ファイル管理処理プログラム４７４は、端末４により複数のクラウドへ情報ファイルを分散させる処理と、分散した情報ファイルの保存先とを管理するためのプログラムである。ファイル管理テーブル４７５は、分散した情報ファイルの保存先を管理するためのテーブルである。

第１暗号鍵データベース４７６は、認証用サーバ１及び第２ユーザの使用する第２端末４Ｂとの間で用いられる秘密鍵及び公開鍵の暗号鍵ペアと、共通鍵とを保存するデータベースである。ファイル分割用暗号鍵テーブル４７７は、第１ユーザの使用する第１端末４Ａにより第１クラウド３Ａ、第２クラウド３Ｂに分散して保存する情報ファイルのデータを、暗号化及び復号化するための暗号鍵を管理するためのテーブルである。ファイル預託処理プログラム４７８は、第１ユーザの使用する第１端末４Ａにより情報ファイルのデータを分割し、第１クラウド３Ａ及び第２クラウド３Ｂに預ける処理を行うプログラムである。

第２暗号鍵データベース４７９は、認証用サーバ１と第１ユーザの使用する第１端末４Ａとの間で用いる秘密鍵及び公開鍵のペア鍵と、公開鍵とを記憶したデータベースである。ファイル取得処理プログラム４８０は、第１ユーザの使用する第１端末４Ａにより分割された情報ファイルのデータを第１クラウド３Ａ及び第２クラウド３Ｂから取得して復元する処理を行うためのプログラムである。

なお、認証用生体情報データベース４７１と、認証用ユーザの癖データベース４７２と、スコア値テーブル４７３と、ファイル管理処理プログラム４７４と、ファイル管理テーブル４７５と、第１暗号鍵データベース４７６と、ファイル分割用暗号鍵テーブル４７７と、ファイル預託処理プログラム４７８と、第２暗号鍵データベース４７９と、ファイル取得処理プログラム４８０とについては、その詳細を後述する。

端末制御部４８は、端末記憶部４７に記憶された各種プログラムを実行する。また、端末制御部４８は、通信部４０と、撮影部４１と、音声入出力部４２と、傾き検出部４３と、操作入力部４４と、指紋検出部４５と、位置検出部４６とから各種データを取得して処理し、端末記憶部４７の各種データベースに記憶する。

表示部４９は、端末制御部４８で実行される各種プログラムの処理内容を表示する。また、表示部４９は、撮影部４１で撮影された静止画、動画等の画像、操作入力部４４から入力されたデータ等を表示することもできる。表示部４９は、操作入力部４４上に積層されており、図４Ａに示したタッチパネルを構成する。

次に、端末４のハードウエア構成の一例を、図４Ｃを参照しつつ説明する。端末４は、各種プログラムを実行するプロセッサ５１と、各種プログラムを展開するためのメモリ５２と、各種表示用データを出力する表示コントローラ５３と、各種表示用データを表示する表示機器５４と、撮影部４１、音声入出力部４２等を接続するためのＩ／Ｏポート５５と、各種プログラム及び各種データを記憶する記憶機器５６と、外部との通信をしデータを送受信する通信機器５７とを備える。このプロセッサ５１と、メモリ５２と、表示コントローラ５３と、表示機器５４と、Ｉ／Ｏポート５５と、記憶機器５６と、通信機器５７とは、データバス５８を介して相互に接続されている。

プロセッサ５１は、記憶機器５６に記憶された各種プログラムを読み出してメモリ５２に展開し、実行する。プロセッサ５１は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）、ＭＰＵ（Ｍｉｃｒｏ－ｐｒｏｃｅｓｓｉｎｇＵｎｉｔ）等の処理装置を用いて構成することができる。また、メモリ５２は、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、フラッシュメモリ等の揮発性または不揮発性の半導体メモリといった記憶素子および記憶媒体を用いて構成することができる。

表示コントローラ５３は、表示機器５４に各種表示用データを出力するコントローラである。表示コントローラ５３は、ビデオカード、ＧＰＵ（ＧｒａｐｈｉｃｓＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）、グラフィックボード等の映像信号出力装置を用いて構成することができる。また、表示機器５４は、ＬＣＤ（ＬｉｑｕｉｄＣｒｙｓｔａｌＤｉｓｐｌａｙ）、有機ＥＬ（Ｅｌｅｃｔｒｏｌｕｍｉｎｅｓｃｅｎｃｅ）モニタ等の表示装置を用いて構成することができる。

Ｉ／Ｏポート５５は、撮影部４１と、音声入出力部４２と、傾き検出部４３と、操作入力部４４と、指紋検出部４５と、位置検出部４６とを接続することができる接続用ポートである。Ｉ／Ｏポート５５には、ＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）ポート、ＩＥＥＥ１３９４ポート等、機器を接続することができる各種ポートを用いて構成すことができる。

記憶機器５６は、プロセッサ５１で実行する各種プログラム、各種プログラムで使用する各種データを記憶する機器である。記憶機器５６は、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）、ＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等の記憶装置を用いて構成することができる。

通信機器５７は、図１に示したネットワーク２を介して、認証用サーバ１とクラウド３との間で各種データを送受信することができる機器である。通信機器５７は、無線ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、無線通信等による通信を行う各種器機を用いて構成することができる。

次に、端末４におけるユーザの認証方法について、図５Ａから図５Ｄを参照しつつ、以下に説明する。

図４Ｂに示した端末４の端末制御部４８は、電源ボタンを押下、指紋検出部４５による指紋検出等のユーザによる端末４の操作があった場合、他のプログラムからユーザの認証の要求があった場合に、生体情報を取得する。端末制御部４８の取得する生体情報のデータは、図４Ａに示したインカメラ４１Ａで撮影したユーザの顔の画像、通話用のマイク４２Ｂでピックアップしたユーザの音声、インカメラ４１Ａで撮影したユーザの虹彩の画像、指紋検出部４５で検出した指紋等である。

例えば、ユーザが、図４Ａに示した表示部４９の正面をユーザの顔と対向させる位置に端末４を持ってきた場合、端末制御部４８は、図４Ａに示したインカメラ４１Ａでユーザの顔の画像を撮影し、ユーザの生体情報として取得する。また、ユーザが端末４から他者へ電話をかけ通話をした場合、ユーザが端末４を利用する時に話をした場合、ユーザが端末４の表示部４９の画面上に表示される指示によって話す必要がある場合等、端末制御部４８は、通話用のマイク４２Ｂでピックアップしたユーザの音声を、ユーザの生体情報として取得する。ユーザが端末４を持ち、図４Ａに示した表示部４９の正面と顔とを一定距離よりも近づけた場合、端末制御部４８は、インカメラ４１Ａで撮影したユーザの虹彩の画像を、ユーザの生体情報として取得する。ユーザが端末４を予め定められた時間以上持った場合、端末制御部４８は、指紋検出部４５で検出した指紋を、ユーザの生体情報として取得する。

また、例えば、ユーザが、図４Ａに示した表示部４９の正面をユーザの顔と対向させる位置に端末４を持ってきて、そのままユーザが端末４を予め定められた時間以上持った場合のように、複数の生体情報を取得するための条件が揃う場合がある。この場合、取得する生体情報の優先順位を予め定めておき、優先順位の順にユーザの生体情報を取得するようにする。例えば、ユーザの顔の画像、音声、虹彩、指紋の順に優先順位が定められていたとする。この場合、上述のユーザが、図４Ａに示した表示部４９の正面をユーザの顔と対向させる位置に端末４を持ってきて、そのままユーザが端末４を予め定められた時間以上持った場合には、ユーザの顔の画像、指紋の順に生体情報を取得する。

例えば、図５Ａに示す、２０１９年３月１日の１２時２２分２３秒において、ユーザが、図４Ａに示した表示部４９の正面をユーザの顔と対向させる位置に端末４を持ってきたものとする。端末制御部４８は、インカメラ４１Ａからユーザの顔の画像を撮影し、ユーザの生体情報として端末４に保存する。端末制御部４８は、端末４に予め登録されているユーザの顔の画像における特徴量と、インカメラ４１Ａから取得したユーザの顔の画像における特徴量とを比較し、類似度を求める。

この類似度からスコア値を求める。スコア値は、予め登録されているデータの特徴量と、端末制御部４８の取得したデータの特徴量とが一致する場合に上限値、不一致の場合に下限値とする。一致または不一致以外の場合には、特徴量の類似度に応じて設定される値がスコア値となる。

スコア値の上限値及び下限値は、図４Ｂに示した端末４の端末記憶部４７に記憶されているスコア値テーブル４７３に記憶されている。このスコア値テーブル４７３に設定されたスコア値を、図５Ｄに示す。スコア値テーブル４７３には、生体情報におけるスコア値の上限値及び下限値として、－１００～１００が設定されている。また、ユーザの癖のデータにおけるスコア値の上限値及び下限値として、－５０～５０が設定されている。

ここでは、特徴量が一致するものとして、図５Ｄに示したスコア値テーブル４７３に設定された生体情報の上限値１００をスコア値とする。端末制御部４８は、取得した生体情報のデータ及び求めたスコア値を、図４Ｂに示す認証用生体情報データベース４７１に書き込む。認証用生体情報データベース４７１のテーブルを図５Ｂに示す。認証用生体情報データベース４７１のテーブルには、端末制御部４８が生体情報を取得した日時と、取得した生体情報の種類と、生体情報として取得した情報と、スコア値との各項目が含まれる。

端末制御部４８は、図５Ｂに示した認証用生体情報データベース４７１のテーブルの日時の項目に、生体情報を取得した日時である２０１９年３月１日の１２時２２分２３秒を書き込む。端末制御部４８は、取得した生体情報の種類の項目に顔と書き込む。端末制御部４８は、取得した情報の項目に、インカメラ４１Ａから取得したユーザの顔の画像のデータを書き込む。端末制御部４８は、スコア値の項目に１００を書き込む。

次に、端末制御部４８は、ユーザの癖のデータを取得する。このユーザの癖とは、ユーザが端末４を使用する時の挙動、操作状態、場所、通信状態等、ユーザ特有の振る舞いをいう。端末制御部４８の取得するユーザの癖のデータは、生体情報を取得した時と同じ日時のデータである。例えば、図５Ａに示す２０１９年３月１日の１２時２２分２３秒において、端末制御部４８は、図４Ａに示したインカメラ４１Ａで撮影したユーザの顔の画像から求めたユーザの顔と表示部４９の画面との距離、傾き検出部４３で求めた端末４の傾き角度、操作入力部４４で求めたキー操作のストロークのデータ、通信部４０から取得した通信環境の情報、位置検出部４６から取得した端末４の位置情報等を、ユーザの癖のデータとして取得する。

端末制御部４８は、端末４に予め登録されているユーザの癖に関する各データにおける特徴量と、取得したユーザの癖に関する各データにおける特徴量とを比較し、類似度を求める。端末制御部４８は、求めた類似度をもとに、ユーザの癖に関する各データにおけるスコア値を求める。このスコア値は、図５Ｄに示したスコア値テーブル４７３に設定された上限値５０から下限値－５０の範囲内の値となる。

端末制御部４８は、取得したユーザの癖のデータと求めたスコア値とを、図４Ｂの端末記憶部４７に記憶した認証用ユーザの癖データベース４７２に書き込む。認証用ユーザの癖データベース４７２のテーブルを、図５Ｃに示す。認証用ユーザの癖データベース４７２のテーブルには、端末制御部４８がユーザの癖のデータを取得した日時と、ユーザの癖の種類と、ユーザの癖として取得した情報と、スコア値との各項目が含まれる。

例えば、端末制御部４８は、図５Ｃに示した認証用ユーザの癖データベース４７２のテーブルの日時の項目に生体情報を取得した日時と同じ２０１９年３月１日の１２時２２分２３秒を書き込む。端末制御部４８は、ユーザの癖の項目に、顔と画面との距離と書き込む。端末制御部４８は、取得した情報の項目に２５０ｍｍを書き込む。この２５０ｍｍは、インカメラ４１Ａで撮影したユーザの顔の画像から、端末制御部４８により求められたユーザの顔と画面との距離である。

端末制御部４８は、求めたユーザの顔と画面との距離の値と、端末４に登録されているユーザの顔と画面との距離の値とを比較し、その類似度からスコア値を求める。ここでは、距離は一致ではないが類似度が高いものとして、求められたスコア値を３５とする。端末制御部４８は、図５Ｃに示したテーブルのスコア値の項目に３５と書き込む。

続いて、端末制御部４８は、傾き検出部４３で求めた端末４の傾き角度等、得られたユーザの癖に関するデータを図５Ｃに示した認証用ユーザの癖データベース４７２のテーブルの各項目に書き込む。全てのユーザの癖に関するデータの書き込みが終わると、端末制御部４８は、図５Ｂに示した認証用生体情報データベース４７１及び図５Ｃに示した認証用ユーザの癖データベース４７２における同じ日時のスコア値とを合計する。

例えば、図５Ｂに示した認証用生体情報データベース４７１における２０１９年３月１日の１２時２２分２３秒の日時において、生体情報のスコア値１００である。また、同じ日時において、図５Ｃに示した認証用ユーザの癖データベース４７２におけるユーザの癖のスコア値は、上から順に３５、４０、－１５、２５、４２である。この生体情報のスコア値１００とユーザの癖のスコア値３５、４０、－１５、２５、４２とを合計すると２２７となる。

端末制御部４８は、図５Ｄに示したスコア値テーブル４７３から合計値の項目に設定されたスコア値を取得する。端末制御部４８は、合計した生体情報及びユーザの癖のスコア値と、スコア値テーブル４７３から合計値の項目に設定されたスコア値とを比較する。端末制御部４８は、合計した生体情報及びユーザの癖のスコア値が、スコア値テーブル４７３の合計値の項目に設定されたスコア値以上であれば、端末４を使用しているユーザを正しいユーザとして認証し、スコア値以下であればユーザを正しいユーザではないとして認証しない。

例えば、図５Ｄに示したスコア値テーブル４７３には、スコア値の合計値として２００が設定されている。端末制御部４８は、求めたスコア値の合計値２２７と、スコア値テーブル４７３に設定されたスコア値の合計値２００とを比較する。求めたスコア値の合計値がスコア値テーブル４７３に設定されたスコア値の合計値以上であるため、端末制御部４８は、端末４を操作しているユーザを正しいユーザとして認証する。

上述の端末４におけるユーザの認証方法は、認証処理プログラム４７０として端末記憶部４７に記憶されている。端末制御部４８は、電源ボタンの押下があった場合、指紋検出部４５による指紋検出等のユーザによる端末４の操作があった場合、他のプログラムから要求があった場合に、認証処理プログラム４７０を実行してユーザの認証を行う。

認証処理プログラム４７０が実行する処理について、図６に示す認証処理のフローチャートを参照しつつ、以下に説明する。端末制御部４８は、認証処理プログラム４７０が起動すると、ユーザの顔の画像、指紋等の生体情報を取得する（ステップＳ１）。続いて、端末制御部４８は、ユーザの癖に関するデータを取得する（ステップＳ２）。

端末制御部４８は、端末４に予め登録されている生体情報の特徴量と、取得した生体情報の特徴量とを比較し、類似度を求める。端末制御部４８は、求めた類似度から、図５Ｄのスコア値テーブル４７３に設定された生体情報のスコア値の上限値から下限値の範囲内でスコア値を求める。また、端末制御部４８は、端末４に予め登録されているユーザの癖のデータにおける特徴量と、取得したユーザの癖のデータにおける特徴量とを比較し、類似度を求める。端末制御部４８は、求めた類似度から、図５Ｄのスコア値テーブル４７３に設定されたユーザの癖のスコア値の上限値から下限値の範囲内でスコア値を求める（ステップＳ３）。

端末制御部４８は、取得した生体情報のデータ及び求めたスコア値を、図４Ｂに示す認証用生体情報データベース４７１に書き込む。また、端末制御部４８は取得したユーザの癖のデータと求めたスコア値とを、図４Ｂの端末記憶部４７に記憶した認証用ユーザの癖データベース４７２に書き込み、記憶させる（ステップＳ４）。

端末制御部４８は、同じ日時における生体情報及びユーザの癖のデータにおけるスコア値を合計する（ステップＳ５）。端末制御部４８は、図５Ｄに示したスコア値テーブル４７３から合計値の項目に設定されたスコア値を取得する。端末制御部４８は、合計した生体情報及びユーザの癖のスコア値と、スコア値テーブル４７３から合計値の項目に設定されたスコア値とを比較する（ステップＳ６）。

端末制御部４８は、合計した生体情報及びユーザの癖のスコア値が、スコア値テーブル４７３の合計値の項目に設定されたスコア値以上であれば（ステップＳ６；ＹＥＳ）、端末４を使用しているユーザを正しいユーザとして認証する（ステップＳ７）。続いて、端末制御部４８は、端末４に予め登録されている生体情報の特徴量と取得した生体情報の特徴量との平均値を求める。端末制御部４８は、求めた平均値により端末４に登録されている生体情報の特徴量を更新する。また、端末制御部４８は、端末４に予め登録されているユーザの癖のデータにおける特徴量と、取得したユーザの癖のデータにおける特徴量との平均値を求める。端末制御部４８は、求めた平均値により端末４に登録されているユーザの癖のデータにおける特徴量を更新する（ステップＳ８）。

また、端末制御部４８は、合計した生体情報及びユーザの癖のスコア値が、スコア値テーブル４７３の合計値の項目に設定されたスコア値以下であれば（ステップＳ６；ＮＯ）、図４Ｂに示した表示部４９にユーザが異なる旨のメッセージを表示し、ステップＳ１へ戻る（ステップＳ９）。なお、この認証処理プログラム４７０は、請求の範囲におけるユーザ認証手段の一例である。また、ユーザの生体情報は、請求の範囲における第１認証用データの一例である。ユーザの癖のデータは、請求の範囲における第２認証用データの一例である。

次に、図４Ｂに示した端末４の端末記憶部４７に記憶する第１暗号鍵データベース４７６に書き込まれている暗号鍵について説明する。図７Ａに、第１暗号鍵データベース４７６のテーブルの一例を示す。このテーブルには、項目として鍵を用いる対象の名称と、公開鍵と、共通鍵とが設定されている。この公開鍵は、秘密鍵とペア鍵となる鍵であり、認証用サーバ１及び第２ユーザの用いる第２端末４Ｂで生成されたものである。また、共通鍵は、第１ユーザの用いる第１端末４Ａと、認証用サーバ１及び第２ユーザの用いる第２端末４Ｂとの間で用いる鍵である。この共通鍵は、第１ユーザの用いる第１端末４Ａで生成される。

例えば、図７Ａにおいて、鍵を用いる対象の名称である「認証用サーバ」には、公開鍵としてＫａ２、共通鍵としてＫＡが記憶されている。また、鍵を用いる対象の名称である「第２端末」には、公開鍵としてＫｆ２、共通鍵としてＫＦが記憶されている。

次に、図４Ｂに示した第２端末４Ｂの端末記憶部４７に記憶する第２暗号鍵データベース４７９に書き込まれている暗号鍵について説明する。図７Ｂに、第２暗号鍵データベース４７９のテーブルの一例を示す。このテーブルには、項目として鍵を用いる対象の名称と、秘密鍵と、公開鍵と、共通鍵とが設定されている。この秘密鍵と公開鍵とは、ペア鍵となる鍵である。このテーブルには、第２端末４Ｂと認証用サーバ１との間で用いる公開鍵及び共通鍵と、第２端末４Ｂと第１端末４Ａとの間で用いる秘密鍵、公開鍵、及び共通鍵とが記憶されている。

第２端末４Ｂと認証用サーバ１との間で用いる鍵のうち、公開鍵は認証用サーバ１で生成した鍵であり、共通鍵は第２端末４Ｂで生成した鍵である。また、第２端末４Ｂと第１端末４Ａとの間で用いる鍵のうち、秘密鍵および公開鍵は第２端末４Ｂ生成した鍵であり、共通鍵は第１端末４Ａで生成した鍵である。例えば、図７Ｂにおいて、鍵を用いる対象の名称である「認証用サーバ」には、公開鍵にＫｂ２、共通鍵にＫＢが記憶されている。また、鍵を用いる対象の名称である「第１端末」には、秘密鍵にＫｆ１、公開鍵にＫｆ２、共通鍵にＫＦが記憶されている。

次に、図４Ｂに示した第１端末４Ａ及び図４Ｂに示した第２端末４Ｂの端末記憶部４７に記憶されるファイル分割用暗号鍵テーブル４７７に書き込まれる鍵について説明する。図７Ｃにファイル分割用暗号鍵テーブル４７７の構成の一例を示す。このテーブルに記憶された鍵は、第１端末４Ａにより複数の分割ファイルに分割された情報ファイルの各分割ファイルを暗号化するための鍵である。例えば、図７Ｃに示すテーブルには、Ｋｒ１及びＫｒ２が書き込まれている。なお、以下では、Ｋｒ１及びＫｒ２をファイル分割用暗号鍵と称する。

また、ファイル分割用暗号鍵は、ファイル分割用暗号鍵テーブル４７７に書き込まれている鍵だけではなく、第１端末４Ａ及び第２端末４Ｂの端末制御部４８により必要に応じて生成される。生成されたファイル分割用暗号鍵は、ファイル分割用暗号鍵テーブル４７７の末尾に追加される。

次に、図２に示した認証用サーバ１のサーバ記憶部１２に記憶される暗号鍵情報データベース１２０に書き込まれる暗号鍵について説明する。図８に、暗号鍵情報データベース１２０のテーブルの一例を示す。このテーブルには、項目として鍵を用いる対象の名称と、秘密鍵と、公開鍵と、共通鍵とが設定されている。この秘密鍵と公開鍵とは、ペア鍵となる鍵である。このテーブルには、第１端末４Ａ及び第２端末４Ｂと認証用サーバ１との間で用いる秘密鍵と公開鍵と共通鍵とが記憶されている。

例えば、図８において、鍵を用いる対象の名称である「第１端末」には、秘密鍵にＫａ１、公開鍵にＫａ２、共通鍵にＫＡが記憶されている。また、鍵を用いる対象の名称である「第２端末」には、秘密鍵にＫｂ１、公開鍵にＫｂ２、共通鍵にＫＢが記憶されている。

本実施の形態１に係る情報処理システム１００は、第１ユーザが第１端末４Ａを使用してファイルを第１クラウド３Ａ及び第２クラウド３Ｂに分散して保存し、第１ユーザからファイルの閲覧を許可された第２ユーザが、認証用サーバで本人と認証された場合に、第２端末４Ｂを使用して第１クラウド３Ａ及び第２クラウド３Ｂに分散して保存されたファイルを取得し、復元できるシステムである。そこで、以下では、ファイルを複数のクラウドに分散して保存する方法について、第１ユーザの使用する第１端末４Ａで行うものとして、図９から図１３を参照しつつ説明する。また、複数のクラウドに分散されたファイルを取得して復元する方法について、第２ユーザの使用する第２端末４Ｂにより行うものとして、図９から図１２、及び図１４を参照しつつ説明する。なお、以下では、第１ユーザの作成した情報のデータを含むファイルを、ユーザの預託ファイルと呼ぶものとする。

まず、ファイルを複数のクラウドに分散して保存する方法について、第１ユーザの使用する第１端末４Ａで行うものとして、図９から図１３を参照しつつ説明する。図９に示すように、１つのユーザの預託ファイルは、コンピュータのデスクアクセスの最小単位であるクラスタに分割される。１クラスタに含まれるセクタの数は任意であるが、以下の説明では、図１０に示すように８個とする。本実施形態では、１セクタを５１２バイトとする。従って、１クラスタは、４，０９６バイト（約４Ｋバイト）のサイズを有する。

このセクタ及びクラスタは、論理アドレスで管理される。クラスタはｎビットの論理アドレスの上位ｎ－３ビットで指定される。クラスタ内の各セクタは、論理アドレスの下位３ビットにより指定される。以下の説明において、クラスタについての論理アドレスは、ｎビットの論理アドレス全体の上位（ｎ－３）ビットを意味するものとする。

図４Ｂに示した第１端末４Ａの端末制御部４８は、ユーザの預託ファイルを、図３に示した第１クラウド３Ａの第１記憶部３０及び第２クラウド３Ｂの第２記憶部３１に格納する際、図１１Ａに示す奇数の論理アドレス（（ｎ－３）ビット）が割り当てられているクラスタと、図１１Ｂに示す偶数の論理アドレスが割り当てられているクラスタとに異なった処理を行う。なお以下では、奇数の論理アドレスが割り当てられているクラスタを、奇数論理アドレスクラスタと称する。また、以下では、偶数の論理アドレスが割り当てられているクラスタを偶数論理アドレスクラスタと称する。

まず、第１端末４Ａの端末制御部４８は、端末記憶部４７のファイル分割用暗号鍵テーブル４７７から、ファイル分割用暗号鍵を取得する。例えば、端末制御部４８は、図７Ｃに示したファイル分割用暗号鍵テーブル４７７に書き込まれたファイル分割用暗号鍵Ｋｒ１及びＫｒ２を取得する。

端末制御部４８は、奇数論理アドレスが割り当てられているクラスタには、ファイル分割用暗号鍵Ｋｒ１による暗号化処理を行い、図３Ａに示した第１クラウド３Ａの第１記憶部３０上の任意の物理アドレスＰＡに格納する。一方、端末制御部４８は、偶数論理アドレスが割り当てられているクラスタには、ファイル分割用暗号鍵Ｋｒ２による暗号化処理を行い、第２クラウド３Ｂの第２記憶部３１上の任意の物理アドレスＰＢに格納する。

端末制御部４８は、上述の処理を行った後、図１２に示すファイル管理テーブル４７５を生成する。ファイル管理テーブル４７５は、論理アドレスＬｉで特定されるクラスタと、格納先の物理アドレスＰＡｉ又はＰＢｉと、暗号化するためのファイル分割用暗号鍵Ｋｒ１又はＫｒ２と、物理アドレスＰＡｉ又はＰＢｉを備える第１クラウド３Ａ又は第２クラウド３Ｂを示す番号と対応付けて保存するテーブルである。この番号は、例えば、図１２に示すように、物理アドレスＰＡｉを備える第１クラウド３Ａを示す番号を「１」とし、また、物理アドレスＰＢｉを備える第２クラウド３Ｂを示す番号を「２」としている。

このファイル管理テーブル４７５は、図４Ｂに示した第１端末４Ａの端末記憶部４７に記憶されている。なお、本実施の形態１において、論理アドレスＬｉが偶数の場合にはファイル分割用暗号鍵Ｋｒ１を使用し、論理アドレスＬｉが奇数の場合にはファイル分割用暗号鍵Ｋｒ２を用いるものとした。このような場合には、論理アドレスＬｉから暗号鍵を特定することができるため、ファイル管理テーブル４７５にファイル分割用暗号鍵Ｋｒ１又はＫｒ２は記憶しなくてもよい。

次に、上記のようにして、暗号化して分散して図３Ａに示した第１クラウド３Ａ及び図３Ｂに示した第２クラウド３Ｂに格納したファイルを復元する方法について、第２ユーザの使用する第２端末４Ｂにより行うものとして、図９から図１２、及び図１４を参照しつつ説明する。

図４Ｂに示した第２端末４Ｂの端末制御部４８は、第１端末４Ａにより図２に示した認証用サーバ１のサーバ記憶部１２に予め保存したファイル管理テーブル４７５を、認証用サーバ１のサーバ記憶部１２から取得する。第２端末４Ｂの端末制御部４８は、取得したファイル管理テーブル４７５から、復元の対象であるユーザの預託ファイルを構成するクラスタの先頭クラスタの論理アドレスを求める。

第２端末４Ｂの端末制御部４８は、先頭クラスタの論理アドレスに対応するクラウド３及び物理アドレスを、ファイル管理テーブル４７５から特定する。次いで、端末制御部４８は、先頭クラスタの論理アドレスに対応するファイル分割用暗号鍵を特定する。端末制御部４８は、特定したクラウド３及び物理アドレスに基づいてクラスタを読み出し、特定したファイル分割用暗号鍵を使って復号化する。

第２端末４Ｂの端末制御部４８は、同様の動作を後続するクラスタで実行し、全てのクラスタを復号する。端末制御部４８は復号したクラスタを連結し、ユーザの預託ファイルを復元する。なお、ユーザの預託ファイルを分割したクラスタは、請求の範囲における分割ファイルの一例である。

上述した、ユーザの預託ファイルを分割した分割ファイルをクラウドに分散して記憶する方法は、ファイル格納処理として、端末４の端末記憶部４７に記憶したファイル管理処理プログラム４７４に含まれている。また、クラウドに分散して記憶された分割ファイルからユーザの預託ファイルを復元する方法は、ファイルの復元処理として端末４の端末記憶部４７に記憶したファイル管理処理プログラム４７４に含まれている。

まず、ユーザの預託ファイルを分割して複数のクラウドに分散させて記憶するファイル格納処理について、図１３に示すフローチャートを参照しつつ説明する。なお、ここでは、ファイル格納処理を、図４Ｂに示した第１端末４Ａの端末制御部４８で実行される処理として説明する。

第１端末４Ａの端末制御部４８は、保存対象のユーザの預託ファイルを構成する先頭クラスタの論理アドレスＬｉを特定し、それが奇数であるか否かを判別する（ステップＳ１１）。論理アドレスＬｉが奇数である場合（ステップＳ１１；ＹＥＳ）、図１１Ａに示すように、ファイル分割用暗号鍵Ｋｒ１で処理対象のクラスタを暗号化する（ステップＳ１２）。端末制御部４８は、暗号化したクラスタを、図３Ａに示した第１クラウド３Ａの第１記憶部３０上の空き物理アドレスＰＡの領域に格納する（ステップＳ１３）。

続いて、第１端末４Ａの端末制御部４８は、処理したクラスタの論理アドレスＬｉと、格納した領域の物理アドレスＰＡｉと、ファイル分割用暗号鍵Ｋｒ１と、物理アドレスＰＡｉを備える第１クラウド３Ａを示す番号を「１」とを対応付けて、図１２に示したファイル管理テーブル４７５のテーブルに書き込み、図４Ｂに示した端末記憶部４７に記憶する（ステップＳ１４）。

第１端末４Ａの端末制御部４８は、全てのクラスタの保存が終了したか否かを判別する（ステップＳ１５）。端末制御部４８は、全てのクラスタの保存が終了していない場合（ステップＳ１５：Ｎｏ）、論理アドレスＬｉに１を足す（ステップＳ１８）。続いて、端末制御部４８は、ステップＳ１１に戻り、次のクラスタを処理する。

一方、ステップＳ１１で、処理対象のクラスタの論理アドレスが奇数ではないと判別された場合（ステップＳ１１；ＮＯ）、図１１Ｂに示すようにファイル分割用暗号鍵Ｋｒ２で処理対象のクラスタを暗号化する（ステップＳ１６）。第１端末４Ａの端末制御部４８は、図３Ｂに示した第２クラウド３Ｂの第２記憶部３１上の空き物理アドレスＰＢの領域に格納する（ステップＳ１７）。

第１端末４Ａの端末制御部４８は、処理したクラスタの論理アドレスＬｉと、格納した領域の物理アドレスＰＢｉと、ファイル分割用暗号鍵Ｋｒ２と、物理アドレスＰＢｉを備える第２クラウド３Ｂを示す番号を「２」とを対応付けて、図１２に示したファイル管理テーブル４７５のテーブルに書き込み、図４Ｂに示した端末記憶部４７に記憶する（ステップＳ１４）。

第１端末４Ａの端末制御部４８は、全てのクラスタの保存が終了したか否かを判別する（ステップＳ１５）。端末制御部４８は、全てのクラスタの保存が終了していない場合（ステップＳ１５；ＮＯ）、論理アドレスＬｉに１を足す（ステップＳ１８）。続いて、端末制御部４８は、ステップＳ１１に戻り、次のクラスタを処理する。また、ステップＳ１５で、全てのクラスタの保存が終了したと判別された場合（ステップＳ１５；ＹＥＳ）、第１端末４Ａの端末制御部４８は、ファイル格納処理を終了する。

次に、クラウドに分散して記憶された分割ファイルからユーザの預託ファイルを復元するファイルの復元処理について、図１４に示すフローチャートを参照しつつ説明する。なお、ここでは、ファイルの復元処理を、図４Ｂに示した第２端末４Ｂの端末制御部４８で実行される処理として説明する。

図４Ｂに示した第２端末４Ｂの端末制御部４８は、第１端末４Ａにより図２に示した認証用サーバ１のサーバ記憶部１２に予め保存したファイル管理テーブル４７５を、認証用サーバ１のサーバ記憶部１２から取得する。第２端末４Ｂの端末制御部４８は、取得したファイル管理テーブル４７５から、復元の対象であるユーザの預託ファイルを構成するクラスタの先頭クラスタの論理アドレスを求める。端末制御部４８は、先頭クラスタの論理アドレスに対応するクラウド３及び物理アドレスを、ファイル管理テーブル４７５から特定する。次いで、端末制御部４８は、先頭クラスタの論理アドレスに対応するファイル分割用暗号鍵を特定する（ステップＳ２１）。

第２端末４Ｂの端末制御部４８は、特定したクラウド３及び物理アドレスに基づいてデータを読み出す（ステップＳ２２）。端末制御部４８は、特定したファイル分割用暗号鍵を使って、特定したクラウド３及び物理アドレスから読み出したクラスタを復号化する（ステップＳ２３）。続いて、ユーザの預託ファイルを構成する全てのクラスタの読み出しが終了したか否かを判別する（ステップＳ２４）。

ユーザの預託ファイルを構成する全てのクラスタの読み出しが終了していない場合（ステップＳ２４；ＮＯ）、ステップＳ２１に戻り、次のクラスタに対してステップＳ２１からステップＳ２３を実行する。また、ユーザの預託ファイルを構成する全てのクラスタの読み出しが終了した場合（ステップＳ２４；ＹＥＳ）、端末制御部４８は、復号化したクラスタを連結し、ユーザの預託ファイルを復元する（ステップＳ２５）。

本実施の形態１に係る情報処理システム１００は、第１ユーザが第１端末４Ａを使用して複数のクラウド３に分散して保存したユーザの預託ファイルを、第１ユーザからファイルの使用を認められた第２ユーザが、認証用サーバ１で本人と認証された場合に第２端末４Ｂを使用して取得し、復元し使用することができるシステムである。情報処理システム１００において実行される処理の流れを、図１５から図１９に示すフローチャートを参照しつつ、以下に説明する。

図１５に示すフローチャートは、情報処理システム１００において実行される処理の全体構成を示すものである。図１５に示す各処理は、図２に示した認証用サーバ１のユーザ認証処理プログラム１１０と、図４Ｂに示した第１端末４Ａのファイル預託処理プログラム４７８と、図４Ｂに示した第２端末４Ｂのファイル取得処理プログラム４８０とを、認証用サーバ１と、第１端末４Ａと、第２端末４Ｂとがそれぞれ実行することにより実現される処理である。

ここでは、第１ユーザが図１に示したクラウド３に記憶させるユーザの預託ファイルは、図４Ｂに示した第１端末４Ａの端末記憶部４７に記憶されているものとする。第１ユーザが、図４Ｂに示した第１端末４Ａの表示部４９の画面上に表示されたファイル預託処理プログラム４７８に関連付けられているアイコンを、操作入力部４４からを選択する。

第１端末４Ａの端末制御部４８は、現在第１端末４Ａを使用している第１ユーザが正しいか認証する（ステップＳ３１）。この認証は、図６に示した認証処理により行われる。端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ７を実行し、第１ユーザが第１ユーザ本人であると認証されると、ファイル預託処理プログラム４７８を実行する。具体的には、第１端末４Ａは、図４Ｃに示す記憶機器５６に記憶されたファイル預託処理プログラム４７８をメモリ５２に読み出して、プロセッサ５１により実行する。また、第１端末４Ａの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ６を実行して、第１ユーザが第１ユーザ本人であると判定できなかった場合には、ステップＳ８を実行して図４Ｂに示した表示部４９に、ユーザが異なる旨を表示させる。

続いて、第２ユーザが、図４Ｂに示した第２端末４Ｂの表示部４９の画面上に表示されたファイル取得処理プログラム４８０に関連付けられているアイコンを、操作入力部４４から選択する。第２端末４Ｂの端末制御部４８は、現在第２端末４Ｂを使用している第２ユーザが正しいか認証する（ステップＳ３２）。この認証は、図６に示した認証処理により行われる。端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ７を実行し、第２ユーザが第２ユーザ本人であると認証されると、ファイル取得処理プログラム４８０を実行する。具体的には、第２端末４Ｂは、図４Ｃに示す記憶機器５６に記憶されたファイル取得処理プログラム４８０をメモリ５２に読み出して、プロセッサ５１により実行する。また、第２端末４Ｂの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ６を実行して、第２ユーザが第２ユーザ本人であると判定できなかった場合には、ステップＳ８を実行して図４Ｂに示した表示部４９に、ユーザが異なる旨を表示させる。

第１端末４Ａの端末制御部４８及び第２端末４Ｂの端末制御部４８は、ユーザ登録処理を行う（ステップＳ３３）。ユーザ登録処理については、図１６に示すフローチャートを参照して説明する。第１端末４Ａの端末制御部４８は、第１ユーザの名称及び登録に必要な情報を認証用サーバ１に送信する（ステップＳ１００）。

図２に示した認証用サーバ１のサーバ制御部１１は、第１端末４Ａから、第１ユーザの名称及び登録に必要な情報を受信すると、ユーザ認証処理プログラム１１０を実行する。認証用サーバ１のサーバ制御部１１は、第１ユーザの名称及び必要な情報を登録する。サーバ制御部１１は、第１ユーザとの間で用いる秘密鍵と公開鍵とのペア鍵を生成する（ステップＳ１０１）。ここで、サーバ制御部１１の生成する鍵は、例えば、秘密鍵をＫａ１とし、公開鍵をＫａ２とする。サーバ制御部１１は、生成したペア鍵を、図８に示した暗号鍵情報データベース１２０のテーブルに、ユーザ名と対応付けて書き込んで保存する。

サーバ制御部１１は、生成したペア鍵のうち公開鍵Ｋａ２を第１端末４Ａに送信する（ステップＳ１０２）。第１端末４Ａの端末制御部４８は、受信した公開鍵Ｋａ２を、図７Ａに示した第１暗号鍵データベース４７６のテーブルに、鍵を用いる対象の名称と関連つけて書き込む。例えば、図７Ａに示すように、鍵を用いる対象の名称に「認証用サーバ」、公開鍵に「Ｋａ２」と書き込む。続いて、第１端末４Ａの端末制御部４８は、認証用サーバ１との間で用いる共通鍵を生成する（ステップＳ１０３）。第１端末４Ａの端末制御部４８の生成した共通鍵を、例えば、ＫＡとする。第１端末４Ａの端末制御部４８は、共通鍵ＫＡを、図７Ａに示した第１暗号鍵データベース４７６に、鍵を用いる対象である認証用サーバ１と対応付けて書き込む。

第１端末４Ａの端末制御部４８は、ステップＳ１０３で認証用サーバ１から受信した公開鍵Ｋａ２を用いて共通鍵ＫＡを暗号化し、認証用サーバ１に送信する（ステップＳ１０４）。認証用サーバ１のサーバ制御部１１は、第１端末４Ａから受信した共通鍵ＫＡを、ステップＳ１０１で生成した秘密鍵Ｋａ１で複合化し、図８に示した暗号鍵情報データベース１２０のテーブルに、鍵を用いる対象である第１端末４Ａと対応付けて書き込む。サーバ制御部１１は、共通鍵ＫＡの書き込まれた暗号鍵情報データベース１２０を、図２に示した認証用サーバ１のサーバ記憶部１２に保存する（ステップＳ１０５）。

第２端末４Ｂの端末制御部４８は、第２ユーザの名称及び登録に必要な情報を認証用サーバ１に送信する（ステップＳ１０６）。図２に示した認証用サーバ１のサーバ制御部１１は、第２端末４Ｂから受信した第２ユーザの名称及び登録に必要な情報を登録する。サーバ制御部１１は、第２ユーザとの間で用いる秘密鍵と公開鍵とのペア鍵を生成する（ステップＳ１０７）。ここで、サーバ制御部１１の生成する鍵は、例えば、秘密鍵をＫｂ１とし、公開鍵をＫｂ２とする。サーバ制御部１１は、生成したペア鍵を、図８に示した暗号鍵情報データベース１２０のテーブルに、ユーザ名と対応付けて書き込む。

サーバ制御部１１は、生成したペア鍵のうち公開鍵Ｋｂ２を第２端末４Ｂに送信する（ステップＳ１０８）。第２端末４Ｂの端末制御部４８は、受信した公開鍵Ｋｂ２を、図７Ｂに示した第２暗号鍵データベース４７９のテーブルに、鍵を用いる対象の名称と関連つけて書き込む。例えば、図７Ｂに示すように、鍵を用いる対象の名称に「認証用サーバ」、公開鍵に「Ｋｂ２」と書き込む。続いて、第２端末４Ｂの端末制御部４８は、認証用サーバ１との間で用いる共通鍵を生成する（ステップＳ１０９）。第２端末４Ｂの端末制御部４８の生成した共通鍵を、例えば、ＫＢとする。第２端末４Ｂの端末制御部４８は、共通鍵ＫＢを図７Ｂに示した第２暗号鍵データベース４７９に、鍵を用いる対象である認証用サーバ１と対応付けて書き込む。

第２端末４Ｂの端末制御部４８は、ステップＳ１０９で認証用サーバ１から受信した公開鍵Ｋｂ２を用いて共通鍵ＫＢを暗号化し、認証用サーバ１に送信する（ステップＳ１１０）。認証用サーバ１のサーバ制御部１１は、第２端末４Ｂから取得した共通鍵ＫＢを、ステップＳ１０７で生成した秘密鍵Ｋｂ１で複合化し、図８に示した暗号鍵情報データベース１２０のテーブルに、鍵を用いる対象である第２端末４Ｂと対応付けて書き込む。サーバ制御部１１は、共通鍵ＫＢの書き込まれた暗号鍵情報データベース１２０を、図２に示した認証用サーバ１のサーバ記憶部１２に保存する（ステップＳ１１１）。

ここで、図１５に戻る。第１ユーザは、クラウド３に分散させたファイルを、自らの定めたタイミングで第２ユーザに開示したい場合、分散させたファイルを第２ユーザと共有できるように設定する。まず、第１ユーザが使用する第１端末４Ａの端末制御部４８は、現在第１端末４Ａを使用している第１ユーザが正しいか認証する（ステップＳ３４）。続いて、分散させたファイルを共有する第２ユーザは、自身の使用する第２端末４Ｂの端末制御部４８において、現在第２端末４Ｂを使用している第２ユーザが正しいか認証する（ステップＳ３５）。

第１端末４Ａの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ７を実行し、第１ユーザが第１ユーザ本人であると認証されると、ユーザ情報共有処理を実行する（ステップＳ３６）。また、第１端末４Ａの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ６を実行して、第１ユーザが第１ユーザ本人であると判定できなかった場合には、ステップＳ８を実行して図４Ｂに示した表示部４９に、ユーザが異なる旨を表示させる。

同様に、第２端末４Ｂの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ７を実行し、第２ユーザが第２ユーザ本人であると認証されると、ユーザ情報共有処理を実行する（ステップＳ３６）。また、第２端末４Ｂの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ６を実行して、第２ユーザが第２ユーザ本人であると判定できなかった場合には、ステップＳ８を実行して図４Ｂに示した表示部４９に、ユーザが異なる旨を表示させる。

ユーザ情報共有処理については、図１７に示すフローチャートを参照しつつ、以下に説明する。第１端末４Ａの端末制御部４８は、第２端末４Ｂに公開鍵を要求する（ステップＳ１２０）。第２端末４Ｂの端末制御部４８は、秘密鍵と公開鍵とのペア鍵を生成する（ステップＳ１２１）。ここで、第２端末４Ｂの端末制御部４８の生成するペア鍵は、例えば、秘密鍵をＫｆ１とし、公開鍵をＫｆ２とする。第２端末４Ｂの端末制御部４８は、図７Ｂに示した第２暗号鍵データベース４７９のテーブルに、鍵を用いる対象の名称とペア鍵とを対応付けて書き込む。例えば、鍵を用いる対象の名称に「第１端末」、秘密鍵の項目に「Ｋｆ１」、公開鍵の項目に「Ｋｆ２」とする。第２端末４Ｂの端末制御部４８は、書き込んだ第２暗号鍵データベース４７９を図４Ｂに示した第２端末４Ｂの端末記憶部４７に保存する。

第２端末４Ｂの端末制御部４８は、公開鍵Ｋｆ２を第１端末４Ａに送信する（ステップＳ１２２）。第１端末４Ａの端末制御部４８は、第２端末４Ｂから公開鍵Ｋｆ２を受信すると（ステップＳ１２３）、図４Ｂに示した第１暗号鍵データベース４７６に保存する。例えば、図７Ａに示した第１暗号鍵データベース４７６のテーブルに、鍵を用いる対象の名称と公開鍵Ｋｆ２とを対応付けて書き込む。例えば、鍵を用いる対象の名称に「第２端末」を、公開鍵の項目に「Ｋｆ２」を書き込む。

第１端末４Ａの端末制御部４８は、第２端末４Ｂとの間で用いる共通鍵を生成する。第１端末４Ａの端末制御部４８は、ステップＳ１２３で第２端末４Ｂから受信した公開鍵Ｋｆ２により暗号化し、第２端末４Ｂに送信する（ステップＳ１２４）。ここで、第１端末４Ａの端末制御部４８の生成する共通鍵を、例えば、ＫＦとする。第１端末４Ａの端末制御部４８は、生成した共通鍵を図４Ｂに示した第１暗号鍵データベース４７６に保存する。例えば、図７Ａに示した第１暗号鍵データベース４７６のテーブルに、鍵を用いる対象の名称と共通鍵ＫＦとを対応付けて書き込む。例えば、鍵を用いる対象の名称に「第２端末」を、公開鍵の項目に「ＫＦ」を書き込む。

第２端末４Ｂの端末制御部４８は、第１端末４Ａから共通鍵ＫＦを受信する（ステップＳ１２５）。第２端末４Ｂの端末制御部４８は、第１端末４Ａから受信した共通鍵ＫＦを、ステップＳ１２１で生成した秘密鍵Ｋｆ１により複合化し、図４Ｂに示した第２暗号鍵データベース４７９に、鍵を用いる対象の名称と対応付けて保存する（ステップＳ１２６）。例えば、図７Ｂに示した第２暗号鍵データベース４７９のテーブルおいて、鍵を用いる対象の名称である「第１端末」、共通鍵をＫＦとして書き込む。

続いて、第１端末４Ａの端末制御部４８は、第２端末４Ｂに対して、第２ユーザの生体情報を要求する（ステップＳ１２７）。第２ユーザの生体情報は、第２端末４Ｂに登録されている第２ユーザの生体情報でも、新しく取得した第２ユーザの生体情報でも、どちらでもよい。

第２端末４Ｂの端末制御部４８は、第２ユーザの生体情報を第１端末４Ａから受信した共通鍵ＫＦで暗号化する（ステップＳ１２８）。ここでは、第２ユーザの生体情報を、図４Ａに示した第２端末４Ｂのインカメラ４１Ａで撮影した第２ユーザの顔の画像とする。第２端末４Ｂの端末制御部４８は、暗号化した第２ユーザの生体情報を第１端末４Ａへ送信する（ステップＳ１２９）。

第１端末４Ａの端末制御部４８は、第２端末４Ｂから暗号化した第２ユーザの生体情報を受信する（ステップＳ１３０）。第１端末４Ａの端末制御部４８は、受信した第２ユーザの生体情報を、図４Ｂに示した端末記憶部４７に保存する（ステップＳ１３１）。

ここで、図１５に戻る。第１ユーザは、第２ユーザに開示したい、自身の作成した情報を含むユーザの預託ファイルを、クラウド３に分散させて保存する。まず、第１ユーザが使用する第１端末４Ａの端末制御部４８は、現在第１端末４Ａを使用している第１ユーザが正しいか認証する（ステップＳ３７）。第１端末４Ａの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ７を実行し、第１ユーザが第１ユーザ本人であると認証されると、ファイル預け処理を実行する（ステップＳ３８）。ファイル預け処理については、図１８に示すフローチャートを参照しつつ、以下に説明する。

第１端末４Ａの端末制御部４８は、第１ユーザの作成した情報を含むユーザの預託ファイルについて、図１３に示したファイル格納処理のステップＳ１１からステップＳ１８を実行する（ステップＳ１４１）。このファイル格納処理により、第１ユーザの作成した情報を含むユーザの預託ファイルを分割し、図１に示した第１クラウド３Ａ及び第２クラウド３Ｂに分散して保存する。

第１端末４Ａの端末制御部４８は、第１クラウド３Ａ及び第２クラウド３Ｂへアクセスするための情報と、図４Ｂに示したファイル管理テーブル４７５のデータと、ファイル分割用暗号鍵とを、図７Ａに示した第２端末４Ｂとの公開鍵Ｋｆ２で暗号化する（ステップＳ１４２）。このファイル分割用暗号鍵は、第１クラウド３Ａ及び第２クラウド３Ｂに分散して保存したユーザの預託ファイルを暗号化した鍵であり、図４Ｂに示した第１端末４Ａの端末記憶部４７のファイル分割用暗号鍵テーブル４７７に保存されている。例えば、図７Ｃに示したファイル分割用暗号鍵テーブル４７７のテーブルに書き込まれたＫｒ１、Ｋｒ２である。また、ここで暗号化した第１クラウド３Ａ及び第２クラウド３Ｂへアクセスするための情報と、図４Ｂに示したファイル管理テーブル４７５のデータと、ファイル分割用暗号鍵とを、以下では、暗号化したアクセス情報と呼ぶ。

第１端末４Ａの端末制御部４８は、暗号化したアクセス情報に、ユーザの預託ファイルの利用開始日時及び第２ユーザの生体情報を追加する（ステップＳ１４３）。このユーザの預託ファイルの利用開始日時は、第２端末４Ｂにより預託ファイルを取得できる日時である。また、第２ユーザの生体情報は、図１７に示したステップＳ１３０で第２端末４Ｂから受信したものである。第１端末４Ａの端末制御部４８は、暗号化したアクセス情報と、ユーザの預託ファイルの利用開始日時及び第２ユーザの生体情報とを、図７Ａに示した第１暗号鍵データベース４７６に記憶された認証用サーバ１との共通鍵ＫＡで暗号化し、認証用サーバ１に送信する（ステップＳ１４４）。

認証用サーバ１は、第１端末４Ａの端末制御部４８から、暗号化したアクセス情報と、ユーザの預託ファイルの利用開始日時及び第２ユーザの生体情報とを受信する（ステップＳ１４５）。認証用サーバ１は、受信した暗号化したアクセス情報と、ユーザの預託ファイルの利用開始日時及び第２ユーザの生体情報とを、図２に示したサーバ記憶部１２に保存する（ステップＳ１４６）。第１端末４Ａの端末制御部４８は、ファイル分割用暗号鍵を新たに生成する。ここで生成される鍵を、例えば、Ｋｒ３、Ｋｒ４とする。

第１端末４Ａの端末制御部４８は、端末記憶部４７のファイル分割用暗号鍵テーブル４７７に保存されているファイル分割用暗号鍵Ｋｒ１、Ｋｒ２の次の行に、新たに生成したファイル分割用暗号鍵Ｋｒ３、Ｋｒ４を書き込み、保存する（ステップＳ１４７）。これにより、ユーザの預託ファイルを、第１クラウド３Ａ及び第２クラウド３Ｂに分散させた分散時期毎に、ファイル分割用暗号鍵を異ならせることができる。このため、第１ユーザは、ユーザの預託ファイルを復元し使用する許可を、分散時期毎に異なるユーザに与えることができる。したがって、第１ユーザは、ユーザ毎に必要な情報を共有することができる。

ここで、図１５に戻る。第２ユーザは、第１ユーザから共有してもらったユーザの預託ファイルをクラウド３から取得したい場合、クラウド３に分散して保存されたファイルを取得し、復元する。第２端末４Ｂの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ７を実行し（ステップＳ３９）、第２ユーザが第２ユーザ本人であると認証されると、ファイル取得処理を実行する（ステップＳ４０）。また、第２端末４Ｂの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ６を実行して（ステップＳ３９）、第２ユーザが第２ユーザ本人であると判定できなかった場合には、ステップＳ８を実行して図４Ｂに示した表示部４９に、ユーザが異なる旨を表示させる。ファイル取得処理については、図１９に示すフローチャートを参照しつつ、以下に説明する。

第２端末４Ｂは、認証用サーバ１に第１ユーザの作成した情報を含むユーザの預託ファイルの取得を要求する（ステップＳ１５１）。図２に示した認証用サーバ１のサーバ制御部１１は、第２端末４Ｂに第２ユーザの生体情報を要求する（ステップＳ１５２）。ここで、認証用サーバ１のサーバ記憶部１２に記憶されている第２ユーザの生体情報は、図１８のステップＳ１４５で第１端末４Ａから受信したものである。そして、第１端末４Ａから認証用サーバ１に送信した第２ユーザの生体情報は、図１７に示したステップＳ１２９で第２端末４Ｂから第１端末４Ａに送信した第２ユーザの顔画像である。このため、具体的には、ステップＳ１５２では、認証用サーバ１のサーバ制御部１１は、第２端末４Ｂに第２ユーザの顔画像を要求する。

第２端末４Ｂの端末制御部４８は、第２ユーザの顔画像を認証用サーバ１との共通鍵で暗号化し認証用サーバ１へ送信する（ステップＳ１５３）。ここで、端末制御部４８が、第２ユーザの顔画像を暗号化する共通鍵は、図７Ｂの第２暗号鍵データベース４７９に示した認証用サーバ１との共通鍵ＫＢである。

認証用サーバ１のサーバ制御部１１は、サーバ記憶部１２に保存した第１端末４Ａから受信した第２ユーザの顔画像と、第２端末４Ｂから受信した第２ユーザの顔画像とに基づいて、第２ユーザを認証する（ステップＳ１５４）。サーバ制御部１１は、第２ユーザが本人と認証できたか否かを判定する（ステップＳ１５５）。サーバ制御部１１は、第２ユーザが本人と認証できた場合（ステップＳ１５５；ＹＥＳ）、サーバ制御部１１は、ユーザの預託ファイルの利用開始日時を経過したか否かを判定する（ステップＳ１５６）。また、サーバ制御部１１は、第２ユーザが本人と認証できなかった場合（ステップＳ１５５；ＮＯ）、それ以降の処理をスキップする。これにより、第１ユーザが第１端末４Ａを用いて認証用サーバ１に預けたユーザの預託ファイルを、第三者である第２ユーザに開示しないようにすることができる。

ユーザの預託ファイルの利用開始日時を経過した場合（ステップＳ１５６；ＹＥＳ）、認証用サーバ１のサーバ制御部１１は、図１８に示したステップＳ１４５で第１端末４Ａから受信した情報を、第２端末４Ｂとの共通鍵ＫＢで暗号化する。また、ユーザの預託ファイルの利用開始日時を経過していない場合（ステップＳ１５６；ＮＯ）、認証用サーバ１のサーバ制御部１１は、これ以降の処理をスキップする。これにより、第１ユーザが第１端末４Ａを用いて認証用サーバ１に預けたユーザの預託ファイルを、第三者である第２ユーザに開示しないようにすることができる。

認証用サーバ１のサーバ制御部１１は、図１８に示したステップＳ１４５で第１端末４Ａから受信した、暗号化された情報を第２端末４Ｂへ送信する（ステップＳ１５７）。この暗号化された情報には、図２に示したサーバ記憶部１２に保存された第１クラウド３Ａ及び第２クラウド３Ｂへアクセスするための情報と、ファイル管理テーブル４７５のデータと、ファイル分割用暗号鍵とが含まれている。

第２端末４Ｂの端末制御部４８は、認証用サーバ１から受信した情報を、まず、認証用サーバ１との共通鍵で復号化する。ここで復号化するための共通鍵は、図４Ｂに示した第２端末４Ｂの端末記憶部４７の第２暗号鍵データベース４７９に記憶された共通鍵ＫＢである。続いて、第２端末４Ｂの端末制御部４８は、認証用サーバ１との共通鍵ＫＢで復号化した情報を、第１端末４Ａとの秘密鍵で複合化する。ここで復号化するための秘密鍵は、図４Ｂに示した第２端末４Ｂの端末記憶部４７の第２暗号鍵データベース４７９に記憶された秘密鍵Ｋｆ１である（ステップＳ１５８）。

第２端末４Ｂの端末制御部４８は、復号化した情報を用いて、ファイルの復元処理を実行する（ステップＳ１５９）。ファイルの復元処理については、図１４に示したステップＳ２１からステップＳ２５を実行する。第２端末４Ｂの端末制御部４８は、復元したユーザの預託ファイルを、図４Ｂに示した第２端末４Ｂの端末記憶部４７に保存する（ステップＳ１６０）。

ここで、図１５に戻る。第１端末４Ａの端末制御部は、図４Ｂに示した端末記憶部４７のファイル預託処理プログラム４７８を終了する。認証用サーバ１のサーバ制御部１１は、図２に示したユーザ認証処理プログラム１１０を終了する。第２端末４Ｂの端末制御部は、図４Ｂに示した端末記憶部４７のファイル取得処理プログラム４８０を終了する。

以上のとおり、実施の形態１では、情報処理システム１００において、第１ユーザが作成したファイルを、第１端末を使用して複数のクラウドに分散して保存し、第１ユーザにファイルの閲覧を許可された第２ユーザが、認証用サーバで本人と認証された場合に、第２端末を使用して複数のクラウドに分散して保存されたファイルを取得し、復元して使用することができる。これにより、第１ユーザの作成した情報を含むファイルを、第１ユーザに許可された、すなわち権限のある第２ユーザが取得して使用することができる。

また、実施の形態１では、情報処理システム１００において、第１ユーザが作成したファイルを複数のクラウドに分散して保存した後、各クラウドに保存する分割ファイルを暗号化するためのファイル分割用暗号鍵を、ファイル分割用暗号鍵テーブル４７７の末尾に追記している。これにより、ファイルを複数のクラウドに分散させた分散時期毎に、ファイル分割用暗号鍵を異ならせることができる。このため、第１ユーザは、自身の作成した情報の含まれるファイルを復元し、使用する許可を、分散時期毎に異なるユーザに与えることができる。これにより、第１ユーザは、第三者であるユーザ毎に必要な情報を共有することができる。

（実施の形態２）
実施の形態２に係る情報処理システム１００では、上記実施の形態１に係る情報処理システム１００で実行される処理に加え、第１ユーザが図１に示したクラウド３にユーザの預託ファイルを預けた後、ユーザの預託ファイルの内容を更新することができるシステムである。これにより、例えば、第１ユーザがユーザの預託ファイルをクラウド３に預けた後で、ユーザの預託ファイルに第２ユーザに見せたく無い情報が含まれているに気がついた場合、第２ユーザに開示する情報に追加の内容を加えたい場合等に、対応することができる。

実施の形態２に係る情報処理システム１００において実行される処理の流れを、図２０及び図２１に示すフローチャートを参照しつつ、以下に説明する。図２０に示すフローチャートは、実施の形態２に係る情報処理システム１００において実行される処理の全体構成を示すものである。図２０に示す各処理は、図２に示した認証用サーバ１のユーザ認証処理プログラム１１０と、図４Ｂに示した第１端末４Ａのファイル預託処理プログラム４７８と、図４Ｂに示した第２端末４Ｂのファイル取得処理プログラム４８０とを、認証用サーバ１と、第１端末４Ａと、第２端末４Ｂとがそれぞれ実行することにより実現される処理である。

第１端末４Ａのファイル預託処理プログラム４７８は、第１ユーザにより、図４Ｂに示した第１端末４Ａの表示部４９の画面上に表示されたファイル預託処理プログラム４７８に関連付けられているアイコンを、操作入力部４４からを選択されることにより実行される。また、第２端末４Ｂのファイル取得処理プログラム４８０は、第２ユーザにより、図４Ｂに示した第２端末４Ｂの表示部４９の画面上に表示されたファイル取得処理プログラム４８０に関連付けられているアイコンを、操作入力部４４から選択することにより実行される。認証用サーバ１のユーザ認証処理プログラム１１０は、図２に示した認証用サーバ１のサーバ制御部１１により、第１端末４Ａから、第１ユーザの名称及び登録に必要な情報を受信することにより実行される。

ここで、図２０に示したフローチャートのステップＳ５１からステップＳ５８は、上記実施の形態１で説明した図１５に示したフローチャートのステップＳ３１からステップＳ３８と同様の処理である。ステップＳ５８のファイル預け処理が終了すると、第１端末４Ａの端末制御部４８は、現在第１端末４Ａを使用している第１ユーザが正しいか認証する（ステップＳ５９）。この認証は、図６に示した認証処理により行われる。端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ７を実行し、第１ユーザが第１ユーザ本人であると認証されると、ファイル更新処理を実行する（ステップＳ６０）。ファイル更新処理については、図２１に示すフローチャートを参照して説明する。また、第１端末４Ａの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ６を実行して、第１ユーザが第１ユーザ本人であると判定できなかった場合には、ステップＳ８を実行して図４Ｂに示した表示部４９に、ユーザが異なる旨を表示させる。

第１端末４Ａの端末制御部４８は、図２１に示すファイル更新処理のファイル復元処理を実行する（ステップＳ２０１）。ファイルの復元処理については、図１４に示したステップＳ２１からステップＳ２５を実行する。第１端末４Ａの端末制御部４８は、復元したユーザの預託ファイルを、図４Ｂに示した第１端末４Ａの端末記憶部４７に保存する。

第１ユーザは、第１端末４Ａの端末制御部４８により、端末記憶部４７に保存されたユーザの預託ファイルの内容を更新し、上書き保存する（ステップＳ２０２）。第１ユーザは、第１端末４Ａの端末制御部４８に、ユーザの預託ファイルを図９に示すように、コンピュータのデスクアクセスの最小単位であるクラスタに分割させる（ステップＳ２０３）。クラスタは、論理アドレスで管理される。以下では、この論理アドレスを論理アドレスＬｋと称する。

第１端末４Ａの端末制御部４８は、端末記憶部４７に保存されたファイル管理テーブル４７５から、クラウド３に保存されているユーザの預託ファイルを構成するクラスタの先頭クラスタの論理アドレスを求める（ステップＳ２０４）。第１端末４Ａの端末制御部４８は、ファイル管理テーブル４７５から、求めた先頭クラスタの論理アドレスに対応するファイル分割用暗号鍵と、先頭クラスタを格納した領域の物理アドレスと、先頭クラスタを格納した領域の物理アドレスを備えるクラウド３を示す番号とを取得する（ステップＳ２０５）。

第１端末４Ａの端末制御部４８は、ステップＳ２０３でクラスタに分割したユーザの預託ファイルの先頭クラスタを、取得したファイル分割用暗号鍵で暗号化する。続いて、第１端末４Ａの端末制御部４８は、ステップＳ２０５で取得した物理アドレスと、その物理アドレスを備えるクラウド３を示す番号とに基づいて、格納先のクラウド３及び物理アドレスを定め、暗号化した先頭クラスタを保存する（ステップＳ２０６）。

第１端末４Ａの端末制御部４８は、端末記憶部４７のファイル管理テーブル４７５に保存されている先頭クラスタの論理アドレスを、ステップＳ２０３でクラスタに分割したユーザの預託ファイルの先頭クラスタの論理アドレスＬｋで上書き、更新する（ステップＳ２０７）。第１端末４Ａの端末制御部４８は、ステップＳ２０３で分割した全てのクラスタの保存が終了したか否かを判別する（ステップＳ２０８）。端末制御部４８は、全てのクラスタの保存が終了していない場合（ステップＳ２０８；ＮＯ）、論理アドレスＬｋに１を足す（ステップＳ２０９）。

続いて、第１端末４Ａの端末制御部４８は、ステップＳ２０５に戻り、次のクラスタを処理する。また、ステップＳ２０８で、全てのクラスタの保存が終了したと判別された場合（ステップＳ２０８；ＹＥＳ）、第１端末４Ａの端末制御部４８は、ファイル更新処理を終了する。

図２０に戻る。第２ユーザは、第１ユーザから共有してもらったユーザの預託ファイルをクラウド３から取得したい場合、第２端末４Ｂの端末制御部４８により、ステップＳ６１の認証処理及びステップＳ６２のファイル取得処理を実行する。なお、ステップＳ６１の認証処理及びステップＳ６２のファイル取得処理は、図１５に示したフローチャートのステップＳ３９及びステップＳ４０と同様の処理である。

以上のとおり、実施の形態２では、上記実施の形態１に係る情報処理システム１００で実行される処理に加え、第１ユーザが図１に示したクラウド３にユーザの預託ファイルを預けた後、ユーザの預託ファイルの内容を更新することができる。これにより、例えば、第１ユーザがユーザの預託ファイルをクラウド３に預けた後で、ユーザの預託ファイルに第２ユーザに見せたく無い情報が含まれていることに気がついた場合、第２ユーザに開示する情報に追加の内容を加えたい場合等に、対応することができる。

（実施の形態３）
実施の形態３に係る情報処理システム１００では、上記実施の形態１に係る情報処理システム１００で実行される処理に加え、第１ユーザが図１に示したクラウド３にユーザの預託ファイルを預けた後、第２ユーザに開示する情報を変更することができるシステムである。これにより、例えば、第１ユーザがユーザの預託ファイルをクラウド３に預けた後で、ユーザの預託ファイルを第２ユーザに利用開始させる利用開始日時を変更したい場合、クラウド３へのアクセス情報、第２ユーザの生体情報等を間違えたことに気が付いた場合等に、対応することができる。

実施の形態３に係る情報処理システム１００において実行される処理の流れを、図２２及び図２３に示すフローチャートを参照しつつ、以下に説明する。図２２に示すフローチャートは、実施の形態３に係る情報処理システム１００において実行される処理の全体構成を示すものである。図２２に示す各処理は、図２に示した認証用サーバ１のユーザ認証処理プログラム１１０と、図４Ｂに示した第１端末４Ａのファイル預託処理プログラム４７８と、図４Ｂに示した第２端末４Ｂのファイル取得処理プログラム４８０とを、認証用サーバ１と、第１端末４Ａと、第２端末４Ｂとがそれぞれ実行することにより実現される処理である。

ここで、図２２に示したフローチャートのステップＳ７１からステップＳ７８は、上記実施の形態１で説明した図１５に示したフローチャートのステップＳ３１からステップＳ３８と同様の処理である。ステップＳ７８のファイル預け処理が終了すると、第１端末４Ａの端末制御部４８は、現在第１端末４Ａを使用している第１ユーザが正しいか認証する（ステップＳ７９）。この認証は、図６に示した認証処理により行われる。端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ７を実行し、第１ユーザが第１ユーザ本人であると認証されると、開示情報変更処理を実行する（ステップＳ８０）。開示情報子変更処理については、図２３に示すフローチャートを参照して説明する。また、第１端末４Ａの端末制御部４８は、図６に示した認証処理のステップＳ１からステップＳ６を実行して、第１ユーザが第１ユーザ本人であると判定できなかった場合には、ステップＳ８を実行して図４Ｂに示した表示部４９に、ユーザが異なる旨を表示させる。

第１端末４Ａの端末制御部４８は、図２３に示す開示情報変更処理を実行すると、まず、認証用サーバ１に預けている、暗号化した情報及びその情報の利用開始日時を要求する（ステップＳ３０１）。この暗号化した情報は、第１クラウド３Ａ及び第２クラウド３Ｂへアクセスするための情報と、図４Ｂに示したファイル管理テーブル４７５のデータと、ファイル分割用暗号鍵とを、図７Ａに示した第１端末４Ａと第２端末４Ｂとの公開鍵Ｋｆ２で暗号化したものである。

認証用サーバ１のサーバ制御部１１は、第１端末４Ａに対して、第１ユーザを正しいユーザとして認証するためのユーザ認証用の情報を要求する（ステップＳ３０２）。ここでは、ユーザ認証用の情報は、認証用サーバ１に第１ユーザを登録した際に使用した第１ユーザの名称及び登録に必要な情報である。

第１端末４Ａの端末制御部４８は、認証用サーバ１に第１ユーザを登録した際に使用した第１ユーザの名称及び登録に必要な情報を、ユーザ認証用の情報として認証用サーバ１に送信する（ステップＳ３０３）。認証用サーバ１のサーバ制御部１１は、第１ユーザを本人であると認証できた場合（ステップＳ３０４；ＹＥＳ）、第１端末４Ａから要求されている暗号化した情報及びその情報の利用開始日時を、第１端末４Ａに送信する（ステップＳ３０５）。また、認証用サーバ１のサーバ制御部１１は、第１ユーザを本人であると認証できなかった場合（ステップＳ３０４；ＮＯ）、その後の処理をスキップし、図２２へ戻る。

第１端末４Ａの端末制御部４８は、要求した暗号化した情報及びその情報の利用開始日時を、認証用サーバ１から受信する（ステップＳ３０６）。第１ユーザは、第１端末４Ａの端末制御部４８により、受信した暗号化した情報及びその情報の利用開始日時を変更する（ステップＳ３０７）。例えば、暗号化した情報を変更する場合、第１ユーザは、第１端末４Ａの端末制御部４８により、暗号化した情報を第１端末４Ａ及び第２端末４Ｂの公開鍵Ｋｆ２で複合し、第１クラウド３Ａ及び第２クラウド３Ｂへアクセスするための情報、図４Ｂに示したファイル管理テーブル４７５のデータ等を変更する。そして、第１ユーザは、第１端末４Ａの端末制御部４８により、変更した情報を第１端末４Ａ及び第２端末４Ｂの公開鍵Ｋｆ２で暗号化する。また、暗号化した情報の利用開始日時を変更する場合、第１ユーザは、第１端末４Ａの端末制御部４８により、利用開始日時を変更する。

第１端末４Ａの端末制御部４８は、変更した暗号化した情報及びその情報の利用開始日時を認証用サーバ１に送信する（ステップＳ３０８）。認証用サーバ１のサーバ制御部１１は、変更した暗号化した情報及びその情報の利用開始日時を受信する（ステップＳ３０９）。認証用サーバ１のサーバ制御部１１は、受信した暗号化した情報及びその情報の利用開始日時を図２に示したサーバ記憶部１２に保存する（ステップＳ３１０）。

図２２に戻る。第２ユーザは、第１ユーザから共有してもらったユーザの預託ファイルをクラウド３から取得したい場合、第２端末４Ｂの端末制御部４８により、ステップＳ８１の認証処理及びステップＳ８２のファイル取得処理を実行する。なお、ステップＳ８１の認証処理及びステップＳ８２のファイル取得処理は、図１５に示したフローチャートのステップＳ３９及びステップＳ４０と同様の処理である。

以上の通り、実施の形態３では、上記実施の形態１に係る情報処理システム１００で実行される処理に加え、第１ユーザが図１に示したクラウド３にユーザの預託ファイルを預けた後、第２ユーザに開示する情報を変更することができるシステムである。これにより、例えば、第１ユーザがユーザの預託ファイルをクラウド３に預けた後で、ユーザの預託ファイルを第２ユーザに利用開始させる利用開始日時を変更したい場合、クラウド３へのアクセス情報、第２ユーザの生体情報等を間違えたことに気か付いた場合等に、対応することができる。

（実施の形態４）
実施の形態４に係る情報処理システム１００では、上記実施の形態１から３に係る情報処理システム１００で実行される処理とは異なり、端末４におけるユーザの認証処理と端末４と認証用サーバ１との間で行われる公開鍵認証とを連携することにより、ユーザの認証を行う。これにより、ユーザの生体情報を認証用サーバ１に送信しなくともユーザを特定することができるので、ユーザの生体情報の漏洩を防止しつつユーザの認証をすることができる。

実施の形態４に係る情報処理システム１００において実行される処理について、図２４Ａから図３４を参照しつつ、以下に説明する。実施の形態４では、実施の形態１から３で用いた、図７Ａに示した第１暗号鍵データベース４７６の代わりに図２４Ａに示す第１暗号鍵データベース４７６Ａを、図７Ｂに示した第２暗号鍵データベース４７９の代わりに図２４Ｂに示す第２暗号鍵データベース４７９Ａを、図８に示した暗号鍵情報データベース１２０の代わりに図２５に示す暗号鍵情報データベース１２０Ａを用いる。

まず、第１暗号鍵データベース４７６Ａに書き込まれている暗号鍵について説明する。図２４Ａに示すのは第１暗号鍵データベース４７６Ａのテーブルの一例である。このテーブルには、項目として鍵を用いる対象の名称と、秘密鍵と、公開鍵と、共通鍵とが設定されている。この秘密鍵と公開鍵とはペア鍵となる鍵である。鍵を用いる対象の名称の「認証用サーバ」に対応付けられた秘密鍵、公開鍵及び共通鍵は、第１ユーザの用いる第１端末４Ａと認証用サーバ１との間で用いる鍵である。この秘密鍵と公開鍵とは、第１端末４Ａで生成された鍵である。また、共通鍵は、認証用サーバ１で生成された鍵である。

鍵を用いる対象の名称の「第２端末」に対応付けられた公開鍵及び共通鍵は、第１ユーザの用いる第１端末４Ａと第２ユーザの用いる第２端末４Ｂとの間で用いる鍵である。この公開鍵は、第２端末４Ｂで生成された鍵である。また、共通鍵は、第１端末４Ａで生成された鍵である。

例えば、図２４Ａにおいて、鍵を用いる対象の名称である「認証用サーバ」には、秘密鍵としてＫｐ１、公開鍵としてＫｐ２、共通鍵としてＫＣが記憶されている。また、鍵を用いる対象の名称である「第２端末」には、公開鍵としてＫｈ２、共通鍵としてＫＥが記憶されている。

続いて、第２暗号鍵データベース４７９Ａに書き込まれている暗号鍵について説明する。図２４Ｂに示すのは、第２暗号鍵データベース４７９Ａのテーブルの一例である。このテーブルには、項目として鍵を用いる対象の名称と、秘密鍵と、公開鍵と、共通鍵とが設定されている。この秘密鍵と公開鍵とはペア鍵となる鍵である。鍵を用いる対象の名称の「認証用サーバ」に対応付けられた秘密鍵、公開鍵及び共通鍵は、第２ユーザの用いる第２端末４Ｂと認証用サーバ１との間で用いる鍵である。この秘密鍵と公開鍵とは、第２端末４Ｂで生成された鍵である。また、共通鍵は、認証用サーバ１で生成された鍵である。

鍵を用いる対象の名称の「第１端末」に対応付けられた秘密鍵、公開鍵及び共通鍵は、第１ユーザの用いる第１端末４Ａと第２ユーザの用いる第２端末４Ｂとの間で用いる鍵である。この秘密鍵と公開鍵とは、第２端末４Ｂで生成された鍵である。また、共通鍵は、第１端末４Ａで生成された鍵である。

例えば、図２４Ｂにおいて、鍵を用いる対象の名称である「認証用サーバ」には、秘密鍵にＫｇ１、公開鍵にＫｇ２、共通鍵にＫＤが記憶されている。また、鍵を用いる対象の名称である「第１端末」には、秘密鍵にＫｈ１、公開鍵にＫｈ２、共通鍵にＫＥが記憶されている。

次に、暗号鍵情報データベース１２０Ａに書き込まれている暗号鍵について説明する。図２５に示すのは、暗号鍵情報データベース１２０Ａのテーブルの一例を示す。このテーブルには、項目として鍵を用いる対象の名称と、公開鍵と、共通鍵とが設定されている。この公開鍵は、秘密鍵とペアになる鍵である。鍵を用いる対象の名称の「第１端末」に対応付けられた公開鍵及び共通鍵は、第１ユーザの用いる第１端末４Ａと認証用サーバ１との間で用いる鍵である。この公開鍵は、第１端末４Ａで生成された鍵である。また、共通鍵は、認証用サーバ１で生成された鍵である。

鍵を用いる対象の名称の「第２端末」に対応付けられた公開鍵及び共通鍵は、第２ユーザの用いる第２端末４Ｂと認証用サーバ１との間で用いる鍵である。この公開鍵は、第２端末４Ｂで生成された鍵である。また、共通鍵は、認証用サーバ１で生成された鍵である。

例えば、図２５において、鍵を用いる対象の名称である「第１端末」には、公開鍵にＫｐ２、共通鍵にＫＣが記憶されている。また、鍵を用いる対象の名称である「第２端末」には、公開鍵にＫｇ２、共通鍵にＫＤが記憶されている。

次に、本実施の形態４に係る情報処理システム１００において実行される処理の流れを、図２６から図３５に示すフローチャートを参照しつつ、以下に説明する。図２６に示すフローチャートは、情報処理システム１００において実行される処理の全体構成を示すものである。図２６に示す各処理は、図２に示した認証用サーバ１のユーザ認証処理プログラム１１０と、図４Ｂに示した第１端末４Ａのファイル預託処理プログラム４７８と、図４Ｂに示した第２端末４Ｂのファイル取得処理プログラム４８０とを、認証用サーバ１と、第１端末４Ａと、第２端末４Ｂとがそれぞれ実行することにより実現される処理である。

まず、第１ユーザは、ファイル預託・更新処理を実行し、自らの作成したユーザの預託ファイルを、図１に示したクラウド３に記憶させる（ステップＳ８３）。ファイル預託・更新処理の詳細については、図２７を参照しつつ説明する。

第１端末４Ａを使用する第１ユーザを、図６に示した認証処理を実行することにより、第１ユーザ本人と認証する（ステップＳ３２１）。第１端末４Ａを使用する第１ユーザが第１ユーザ本人と認証されると、第１ユーザは、図４Ｂに示した第１端末４Ａの表示部４９の画面上に表示されたファイル預託処理プログラム４７８に関連付けられているアイコンを、操作入力部４４からを選択する。第１ユーザは、表示部４９の画面上に表示されたログイン画面で、ユーザ名、パスワード等を入力することにより、クラウド３にログインする（ステップＳ３２２）。ログインに成功すると、クラウド３から第１端末４Ａへ、ログインが成功した旨が送信される（ステップＳ３２３）。

第１ユーザは、表示部４９の画面上に表示された操作メニューから、第１ユーザの作成したユーザの預託ファイルの格納または更新を選択する。第１ユーザが、操作メニューからユーザの預託ファイルの格納を選択した場合（ステップＳ３２４；ＹＥＳ）、図１３に示したファイル格納処理を実行し、クラウド３にユーザの預託ファイルを分散させる（ステップＳ３２５）。第１ユーザが、操作メニューからユーザの預託ファイルの格納を選択せず（ステップＳ３２４；ＮＯ）、預託ファイルの更新を選択した場合（ステップＳ３２６；ＹＥＳ）、図２１に示したファイル更新処理を実行し、クラウド３に預けられているユーザの預託ファイルの内容を更新する（ステップＳ３２７）。預託ファイルの更新を選択されなかった場合（ステップＳ３２６；ＮＯ）、または、ステップＳ３２７のファイル更新処理が終了した場合、第１ユーザは、第１端末４Ａの表示部４９の画面上に表示された操作メニューから、ログアウトを選択し、第１端末４Ａをクラウド３からログアウトさせる（ステップＳ３２８）。

図２６に戻る。第１端末４Ａにおいて図６に示した認証処理が実行され、第１端末４Ａを使用しているのが第１ユーザ本人と認証されると（ステップＳ８４）、第１端末４Ａの端末制御部４８は、第１ユーザの登録処理を行う（ステップＳ８５）。第１ユーザの登録処理については、図２８に示すフローチャートを参照して説明する。第１端末４Ａの端末制御部４８は、認証用サーバ１にアクセスする（ステップＳ３３０）。認証用サーバ１のサーバ制御部１１は、第１端末４Ａの端末制御部４８に自身の表示部４９の画面上にログイン画面を表示させる（ステップＳ３３１）。第１ユーザは、表示部４９の画面上に表示されたログイン画面から、第１ユーザのＩＤ、パスワードを入力する。第１端末４Ａの端末制御部４８は、第１ユーザから入力されたＩＤ、パスワードを認証用サーバ１に送信する（ステップＳ３３２）。

認証用サーバ１のサーバ制御部１１は、第１端末４Ａから受信したＩＤ、パスワードが、自身に予め登録されている第１ユーザのものと一致するか否か判定する（ステップＳ３３３）。第１端末４Ａから受信したＩＤ、パスワードが、第１ユーザのものである場合（ステップＳ３３３；ＹＥＳ）、認証用サーバ１のサーバ制御部１１は、チャレンジデータ、認証用プロキシ、アプリケーションＩＤ等、第１ユーザを登録するために必要なユーザ登録用情報を生成し、第１端末４Ａへ送信する（ステップＳ３３４）。また、第１端末４Ａから受信したＩＤ、パスワードが、第１ユーザのものでない場合（ステップＳ３３３；ＮＯ）、認証用サーバ１のサーバ制御部１１は、登録失敗の旨を第１端末４Ａに送信する（ステップＳ３４４）。

第１端末４Ａにおいて図６に示した認証処理が実行され、第１端末４Ａを使用しているのが第１ユーザ本人と認証されると（ステップＳ３３５）、第１端末４Ａの端末制御部４８は、認証用サーバ１との間で用いる秘密鍵と公開鍵とのペア鍵を生成する。ここで、第１端末４Ａの端末制御部４８の生成する鍵は、例えば、秘密鍵をＫｐ１とし、公開鍵をＫｐ２とする。第１端末４Ａの端末制御部４８は、生成したペア鍵を、図２４Ａに示した第１暗号鍵データベース４７６Ａのテーブルに、「認証用サーバ」の名称と対応付けて書き込む。続いて、第１端末４Ａの端末制御部４８は、生成したペア鍵の公開鍵を認証用サーバ１へ送信する（ステップＳ３３６）。

第１端末４Ａの端末制御部４８は、ステップＳ３３４で認証用サーバ１から送信されたユーザ登録用情報を秘密鍵で署名し、認証用サーバ１へ送信する（ステップＳ３３７）。認証用サーバ１のサーバ制御部１１は、第１端末４Ａから送信されたユーザ登録用情報と秘密鍵による署名とが正しいか検証する（ステップＳ３３８）。具体的には、認証用サーバ１のサーバ制御部１１は、自身が第１端末４Ａへ送信したユーザ登録用情報と第１端末４Ａから受信したユーザ登録用情報とを比較し、一致するか否かを判定する。また、認証用サーバ１のサーバ制御部１１は、秘密鍵による署名を、ステップＳ３３６で第１端末４Ａから送信された公開鍵により検証する。

第１端末４Ａから送信されたユーザ登録用情報と秘密鍵による署名とが正しい場合（ステップＳ３３９；ＹＥＳ）、認証用サーバ１のサーバ制御部１１は、図２５に示した暗号鍵情報データベース１２０Ａのテーブルに、「第１端末」の名称に対応付けて、第１端末４Ａから送信された公開鍵を書き込み保存する（ステップＳ３４０）。また、第１端末４Ａから送信されたユーザ登録用情報と秘密鍵による署名と正しいものではない場合（ステップＳ３３９；ＮＯ）、認証用サーバ１のサーバ制御部１１は、登録失敗の旨を第１端末４Ａに送信する（ステップＳ３４４）。

認証用サーバ１のサーバ制御部１１は、第１ユーザとの間で用いる共通鍵を生成する（ステップＳ３４１）。ここで、サーバ制御部１１の生成する共通鍵は、例えば、ＫＣとする。サーバ制御部１１は、生成した共通鍵を、図２５に示した暗号鍵情報データベース１２０Ａのテーブルに、「第１端末」の名称と対応付けて書き込み保存する。続いて、サーバ制御部１１は、生成した共通鍵を第１端末４Ａから送信された公開鍵により暗号化し、第１端末４Ａに送信する（ステップＳ３４２）。第１端末４Ａの端末制御部４８は、認証用サーバ１から送信された共通鍵を、自身の生成した秘密鍵で復号化し、図２４Ａに示した第１暗号鍵データベース４７６Ａに、「認証用サーバ」の名称と対応付けて書き込み保存する（ステップＳ３４３）。

図２６に戻る。第１端末４Ａの端末制御部４８は、第１ユーザの認証処理を実行する（ステップＳ８６）。第１ユーザの認証処理については、図２９に示すフローチャートを参照しつつ説明する。第１端末４Ａの端末制御部４８は、認証用サーバ１にログインを要求する（ステップＳ３５０）。認証用サーバ１のサーバ制御部１１は、チャレンジデータ、認証用プロキシ、アプリケーションＩＤ等、第１ユーザを認証するために必要な認証用情報を生成し、第１端末４Ａへ送信する（ステップＳ３５１）。

第１端末４Ａにおいて図６に示した認証処理が実行され、第１端末４Ａを使用しているのが第１ユーザ本人と認証されると（ステップＳ３５２）、第１端末４Ａの端末制御部４８は、チャレンジデータのハッシュ値、認証用プロキシのサーバアドレス、アプリケーションＩＤ等の認証応答情報を生成する。第１端末４Ａの端末制御部４８は、生成した認証応答情報を秘密鍵で署名する（ステップＳ３５３）。ここで署名に使う秘密鍵は、図２４Ａに示した第１暗号鍵データベース４７６Ａのテーブルに書き込まれた「認証用サーバ」の名称に対応付けられた秘密鍵Ｋｐ１である。第１端末４Ａの端末制御部４８は、秘密鍵で署名した認証応答情報を認証用サーバ１へ送信する（ステップＳ３５４）。

認証用サーバ１のサーバ制御部１１は、第１端末４Ａから送信された認証応答情報と秘密鍵による署名とが正しいか検証する（ステップＳ３５５）。具体的には、認証用サーバ１のサーバ制御部１１は、自身が第１端末４Ａへ送信した認証用情報と第１端末４Ａから受信した認証応答情報とを比較し、正しいか否かを判定する（ステップＳ３５６）。また、認証用サーバ１のサーバ制御部１１は、秘密鍵による署名を、図２８のフローチャートに示したステップＳ３３６で第１端末４Ａから送信された公開鍵により検証する。

第１端末４Ａから送信された認証応答情報と秘密鍵による署名とが正しい場合（ステップＳ３５６；ＹＥＳ）、サーバ制御部１１は、第１端末４Ａのログインを許可する（ステップＳ３５７）。続いて、サーバ制御部１１は、第１端末４Ａにログイン成功の旨を送信する（ステップＳ３５８）。また、第１端末４Ａから送信された認証応答情報と秘密鍵による署名とが正しいものではなかった場合（ステップＳ３５６；ＮＯ）、サーバ制御部１１は、第１端末４Ａにログイン失敗の旨を送信する（ステップＳ３５９）。第１端末４Ａの端末制御部４８は、認証用サーバ１から送信された情報に基づいて、表示部４９の画面上にログイン成功またはログイン失敗の旨を表示させる（ステップＳ３６０）。

図２６に戻る。第２端末４Ｂにおいて図６に示した認証処理が実行され、第２端末４Ｂを使用しているのが第２ユーザ本人と認証されると（ステップＳ８７）、第２端末４Ｂの端末制御部４８は、第２ユーザの登録処理を行う（ステップＳ８８）。第２ユーザの登録処理については、図３０に示すフローチャートを参照して説明する。第２端末４Ｂの端末制御部４８は、認証用サーバ１にアクセスする（ステップＳ３６１）。認証用サーバ１のサーバ制御部１１は、第２端末４Ｂの端末制御部４８に自身の表示部４９の画面上にログイン画面を表示させる（ステップＳ３６２）。第２ユーザは、表示部４９の画面上に表示されたログイン画面から、第２ユーザのＩＤ、パスワードを入力する。第２端末４Ｂの端末制御部４８は、第２ユーザから入力されたＩＤ、パスワードを認証用サーバ１に送信する（ステップＳ３６３）。

認証用サーバ１のサーバ制御部１１は、第２端末４Ｂから受信したＩＤ、パスワードが、自身に予め登録されている第２ユーザのものと一致するか否か判定する（ステップＳ３６４）。第２端末４Ｂから受信したＩＤ、パスワードが、第２ユーザのものである場合（ステップＳ３６４；ＹＥＳ）、認証用サーバ１のサーバ制御部１１は、チャレンジデータ、認証用プロキシ、アプリケーションＩＤ等、第２ユーザを登録するために必要なユーザ登録用情報を生成し、第２端末４Ｂへ送信する（ステップＳ３６５）。また、第２端末４Ｂから受信したＩＤ、パスワードが、第２ユーザのものでない場合（ステップＳ３６４；ＮＯ）、認証用サーバ１のサーバ制御部１１は、登録失敗の旨を第２端末４Ｂに送信する（ステップＳ３７５）。

第２端末４Ｂにおいて図６に示した認証処理が実行され、第２端末４Ｂを使用しているのが第２ユーザ本人と認証されると（ステップＳ３６６）、第２端末４Ｂの端末制御部４８は、認証用サーバ１との間で用いる秘密鍵と公開鍵とのペア鍵を生成する。ここで、第２端末４Ｂの端末制御部４８の生成する鍵は、例えば、秘密鍵をＫｇ１とし、公開鍵をＫｇ２とする。第１端末４Ａの端末制御部４８は、生成したペア鍵を、図２４Ｂに示した第２暗号鍵データベース４７９Ａのテーブルに、「認証用サーバ」の名称と対応付けて書き込む。続いて、第２端末４Ｂの端末制御部４８は、生成したペア鍵の公開鍵を認証用サーバ１へ送信する（ステップＳ３６７）。

第２端末４Ｂの端末制御部４８は、ステップＳ３６５で認証用サーバ１から送信されたユーザ登録用情報を秘密鍵で署名し、認証用サーバ１へ送信する（ステップＳ３６８）。認証用サーバ１のサーバ制御部１１は、第２端末４Ｂから送信されたユーザ登録用情報と秘密鍵による署名とが正しいか検証する（ステップＳ３６９）。具体的には、認証用サーバ１のサーバ制御部１１は、自身が第２端末４Ｂへ送信したユーザ登録用情報と第２端末４Ｂから受信したユーザ登録用情報とを比較し、一致するか否かを判定する。また、認証用サーバ１のサーバ制御部１１は、秘密鍵による署名を、図３０のフローチャートに示したステップＳ３６７で第２端末４Ｂから送信された公開鍵により検証する。

第２端末４Ｂから送信されたユーザ登録用情報と秘密鍵による署名とが正しい場合（ステップＳ３７０；ＹＥＳ）、認証用サーバ１のサーバ制御部１１は、図２５に示した暗号鍵情報データベース１２０Ａのテーブルに、「第２端末」の名称に対応付けて、第２端末４Ｂから送信された公開鍵を書き込み保存する（ステップＳ３７１）。また、第２端末４Ｂから送信されたユーザ登録用情報と秘密鍵による署名と正しいものではない場合（ステップＳ３７０；ＮＯ）、認証用サーバ１のサーバ制御部１１は、登録失敗の旨を第２端末４Ｂに送信する（ステップＳ３７５）。

認証用サーバ１のサーバ制御部１１は、第２ユーザとの間で用いる共通鍵を生成する（ステップＳ３７２）。ここで、サーバ制御部１１の生成する共通鍵は、例えば、ＫＤとする。サーバ制御部１１は、生成した共通鍵を、図２５に示した暗号鍵情報データベース１２０Ａのテーブルに、「第２端末」の名称と対応付けて書き込み保存する。続いて、サーバ制御部１１は、生成した共通鍵を第２端末４Ｂから送信された公開鍵により暗号化し、第２端末４Ｂに送信する（ステップＳ３７３）。第２端末４Ｂの端末制御部４８は、認証用サーバ１から送信された共通鍵を、自身の生成した秘密鍵で復号化し、図２４Ｂに示した第２暗号鍵データベース４７９Ａに、「認証用サーバ」の名称と対応付けて書き込み保存する（ステップＳ３７４）。

図２６に戻る。図６に示した認証処理により第１端末４Ａを使用しているのが第１ユーザ本人と認証される（ステップＳ８９）と共に、図６に示した認証処理により第２端末４Ｂを使用しているのが第２ユーザ本人と認証されると（ステップＳ９０）、第１端末４Ａ及び第２端末４Ｂの端末制御部４８は、生体情報取得処理を行う（ステップＳ９１）。この生体情報取得処理については、図３１に示すフローチャートを参照しつつ、以下に説明する。

第１端末４Ａの端末制御部４８は、第２端末４Ｂに公開鍵を要求する（ステップＳ３８０）。第２端末４Ｂの端末制御部４８は、秘密鍵と公開鍵とのペア鍵を生成する。ここで、第２端末４Ｂの端末制御部４８の生成するペア鍵は、例えば、秘密鍵をＫｈ１とし、公開鍵をＫｈ２とする。第２端末４Ｂの端末制御部４８は、図２４Ｂに示した第２暗号鍵データベース４７９Ａのテーブルに、鍵を用いる対象の名称とペア鍵とを対応付けて書き込む。例えば、鍵を用いる対象の名称に「第１端末」、秘密鍵の項目に「Ｋｈ１」、公開鍵の項目に「Ｋｈ２」と書き込む。第２端末４Ｂの端末制御部４８は、書き込んだ第２暗号鍵データベース４７９を図４Ｂに示した第２端末４Ｂの端末記憶部４７に保存する。続いて、第２端末４Ｂの端末制御部４８は、公開鍵Ｋｈ２を第１端末４Ａに送信する（ステップＳ３８１）。

第１端末４Ａの端末制御部４８は、第２端末４Ｂから公開鍵Ｋｈ２を受信すると、図２４Ａに示した第１暗号鍵データベース４７６Ａのテーブルに保存する（ステップＳ３８２）。例えば、図２４Ａに示した第１暗号鍵データベース４７６のテーブルに、鍵を用いる対象の名称と公開鍵Ｋｈ２とを対応付けて書き込む。例えば、鍵を用いる対象の名称に「第２端末」を、公開鍵の項目に「Ｋｈ２」を書き込む。

第１端末４Ａの端末制御部４８は、第２端末４Ｂとの間で用いる共通鍵を生成する（ステップＳ３８３）。第１端末４Ａの端末制御部４８は、生成した共通鍵と第１ユーザのユーザ名とを、ステップＳ３８１で第２端末４Ｂから送信された公開鍵により暗号化する（ステップＳ３８４）。ここで、第１端末４Ａの端末制御部４８の生成する共通鍵を、例えば、ＫＥとする。第１端末４Ａの端末制御部４８は、生成した共通鍵を図２４Ａに示した第１暗号鍵データベース４７６のテーブルに、鍵を用いる対象の名称と共通鍵ＫＥとを対応付けて書き込む。例えば、鍵を用いる対象の名称に「第２端末」を、公開鍵の項目に「ＫＥ」を書き込む。

第１端末４Ａの端末制御部４８は、第２ユーザを認証するためのチャレンジデータを生成する（ステップＳ３８５）。第１端末４Ａの端末制御部４８は、生成したチャレンジデータと、共通鍵と、端末名とを、第２端末４Ｂへ送信する（ステップＳ３８６）。第２端末４Ｂの端末制御部４８は、第１端末４Ａから受信した共通鍵と、端末名とを対応付けて保存する（ステップＳ３８７）。具体的には、図２４Ｂに示した第２暗号鍵データベース４７９Ａのテーブルに、鍵を用いる対象の名称として端末名を、共通鍵の項目に第１端末４Ａから受信した共通鍵ＫＥとを対応付けて書き込む。例えば、鍵を用いる対象の名称に「第１端末」を、公開鍵の項目に「ＫＥ」を書き込む。

第１端末４Ａの端末制御部４８は、第２端末４Ｂに対して、第２ユーザの生体情報を要求する（ステップＳ３８８）。第２端末４Ｂの端末制御部４８は、第２ユーザの生体情報取得する（ステップＳ３８９）。ここで、第２端末４Ｂの端末制御部４８の取得した第２ユーザの生体情報は、第２端末４Ｂに登録されている第２ユーザの生体情報でも、新しく取得した第２ユーザの生体情報でも、どちらでもよい。ここでは、第２ユーザの生体情報を、図４Ａに示した第２端末４Ｂのインカメラ４１Ａで撮影した第２ユーザの顔画像とする。

第２端末４Ｂの端末制御部４８は、取得した第２ユーザの生体情報を第１端末４Ａから受信した共通鍵ＫＥで暗号化する。続いて、ステップＳ３８６で第１端末４Ａから取得したチャレンジデータのハッシュ値を、秘密鍵で署名する（ステップＳ３９０）。この秘密鍵は、図２４Ｂの第２暗号鍵データベース４７９Ａに、「第１端末」の名称と対応付けられて書き込まれている秘密鍵Ｋｈ１である。

第２端末４Ｂの端末制御部４８は、共通鍵ＫＥで暗号化した第２ユーザの生体情報と、秘密鍵Ｋｈ１で署名したチャレンジデータのハッシュ値とを、第１端末４Ａへ送信する（ステップＳ３９１）。第１端末４Ａの端末制御部４８は、第２端末４Ｂから受信した、暗号化された第２ユーザの生体情報を共通鍵ＫＥで復号化する。続いて、第１端末４Ａの端末制御部４８は、秘密鍵Ｋｈ１で署名したチャレンジデータのハッシュ値を検証する（ステップＳ３９２）。具体的には、第１端末４Ａの端末制御部４８は、図２４Ａに示した第１暗号鍵データベース４７６Ａのテーブルに書き込まれた「第２端末」の名称に対応付けられた公開鍵Ｋｈ２で、秘密鍵Ｋｈ１による署名を検証する。続いて、第１端末４Ａの端末制御部４８は、自身が生成したチャレンジデータのハッシュ値と、第２端末４Ｂから受信したチャレンジデータのハッシュ値とが一致するか否か検証する。第１端末４Ａの端末制御部４８は、受信した第２ユーザの生体情報を、図４Ｂに示した端末記憶部４７に保存する（ステップＳ３９３）。

ここで、図２６に戻る。第１端末４Ａにおいて図６に示した認証処理が実行され、第１端末４Ａを使用しているのが第１ユーザ本人と認証されると（ステップＳ９２）、第１端末４Ａの端末制御部４８は、開示設定情報の登録処理を行う（ステップＳ９３）。開示設定情報の登録処理については、図３２に示すフローチャートを参照して説明する。

第１端末４Ａの端末制御部４８は、ユーザの預託ファイルを分散させた第１クラウド３Ａ及び第２クラウド３Ｂへアクセスするための情報と、図４Ｂに示したファイル管理テーブル４７５のデータと、ファイル分割用暗号鍵とをもとに、開示設定情報を生成する（ステップＳ３９３）。このファイル分割用暗号鍵は、第１クラウド３Ａ及び第２クラウド３Ｂに分散して保存したユーザの預託ファイルを暗号化した鍵であり、図４Ｂに示した第１端末４Ａの端末記憶部４７のファイル分割用暗号鍵テーブル４７７に保存されている。例えば、図７Ｃに示したファイル分割用暗号鍵テーブル４７７のテーブルに書き込まれたＫｒ１、Ｋｒ２である。

第１端末４Ａの端末制御部４８は、生成した開示設定情報のデータを、第２端末４Ｂとの共通鍵ＫＥで暗号化する（ステップＳ３９４）。第１端末４Ａの端末制御部４８は、暗号化した開示設定情報のデータに、第２ユーザの生体情報、及び、ユーザの預託ファイルの利用開始日時を追加する（ステップＳ３９５）。この第２ユーザの生体情報は、図３１に示したステップＳ３９１で第２端末４Ｂから送信されたものである。また、ユーザの預託ファイルの利用開始日時は、第２端末４Ｂによりクラウド３から預託ファイルを取得できるようになる日時である。

また、第１端末４Ａの端末制御部４８は、生成した開示設定情報のデータを、図２４Ａに示した第１暗号鍵データベース４７６Ａに記憶された認証用サーバ１との共通鍵ＫＣで暗号化する（ステップＳ３９６）。第１端末４Ａの端末制御部４８は、暗号化した開示設定情報のデータを、認証用サーバ１に送信する（ステップＳ３９７）。認証用サーバ１は、第１端末４Ａの端末制御部４８から受信した、暗号化したアクセス情報と、ユーザの預託ファイルの利用開始日時及び第２ユーザの生体情報とを受信する。認証用サーバ１は、受信した暗号化された開示設定情報のデータを、第１ユーザ及び第２ユーザに紐付け、図２に示した認証用サーバ１のサーバ記憶部１２に保存する（ステップＳ３９８）。

第１端末４Ａの端末制御部４８は、ファイル分割用暗号鍵を新たに生成する。ここで生成される鍵を、例えば、Ｋｒ３、Ｋｒ４とする。第１端末４Ａの端末制御部４８は、端末記憶部４７のファイル分割用暗号鍵テーブル４７７に保存されているファイル分割用暗号鍵Ｋｒ１、Ｋｒ２の次の行に、新たに生成したファイル分割用暗号鍵Ｋｒ３、Ｋｒ４を書き込み、保存する（ステップＳ３９９）。これにより、ユーザの預託ファイルを、第１クラウド３Ａ及び第２クラウド３Ｂに分散させた分散時期毎に、ファイル分割用暗号鍵を異ならせることができる。このため、第１ユーザは、ユーザの預託ファイルを復元し使用する許可を、分散時期毎に異なるユーザに与えることができる。したがって、第１ユーザは、ユーザ毎に必要な情報を共有することができる。

図２６に戻る。第１ユーザは、第２ユーザによるユーザの預託ファイルの利用開始日時前に、開示設定情報のデータを変更したい場合、ステップＳ９５の開示設定情報の変更処理を実行する。第１端末４Ａにおいて図６に示した認証処理が実行され、第１端末４Ａを使用しているのが第１ユーザ本人と認証されると（ステップＳ９４）、第１端末４Ａの端末制御部４８は、開示設定情報の変更処理を行う（ステップＳ９５）。開示設定情報の変更処理については、図３３に示すフローチャートを参照して説明する。第１端末４Ａの端末制御部４８は、認証用サーバ１に開示設定情報を要求する（ステップＳ４０１）。

認証用サーバ１のサーバ制御部１１は、チャレンジデータ、認証用プロキシ、アプリケーションＩＤ等、第１ユーザを正しいユーザとして認証するために必要なユーザの認証用情報を生成し、第１端末４Ａへ送信する（ステップＳ４０２）。第１端末４Ａにおいて図６に示した認証処理が実行され、第１端末４Ａを使用しているのが第１ユーザ本人と認証されると（ステップＳ４０３）、第１端末４Ａの端末制御部４８は、チャレンジデータのハッシュ値、認証用プロキシのサーバアドレス、アプリケーションＩＤ、図２４Ａに示した秘密鍵Ｋｐ１での署名情報等の認証応答情報を生成する。第１端末４Ａの端末制御部４８は、生成した認証応答情報を認証用サーバ１へ送信する（ステップＳ４０４）。

認証用サーバ１のサーバ制御部１１は、第１端末４Ａから受信した認証応答情報を検証する（ステップＳ４０５）。具体的には、認証用サーバ１のサーバ制御部１１は、自身が生成したチャレンジデータのハッシュ値と、第１端末４Ａから受信したチャレンジデータのハッシュ値とが一致するか否かを判定する。また、認証用サーバ１のサーバ制御部１１は、第１端末４Ａから受信した認証用プロキシのサーバアドレス、アプリケーションＩＤ等が、自身に登録されているデータと一致するか否かを判定する。さらに、認証用サーバ１のサーバ制御部１１は、第１端末４Ａから受信した図２４Ａに示した秘密鍵Ｋｐ１での署名情報の署名を検証し、正しいか否か判定する。

認証用サーバ１のサーバ制御部１１が、第１端末４Ａから受信した認証応答情報を検証した結果、第１ユーザが第１ユーザ本人と認証できた場合（ステップＳ４０６；ＹＥＳ）、認証用サーバ１のサーバ制御部１１は、第１端末４Ａから要求されている開示設定情報、第２ユーザの生体情報及びそれらの情報の利用開始日時を、第１端末４Ａとの共通鍵ＫＣで暗号化する。認証用サーバ１のサーバ制御部１１は、暗号化した情報を第１端末４Ａに送信する（ステップＳ４０７）。また、認証用サーバ１のサーバ制御部１１が、第１端末４Ａから受信した認証応答情報を検証した結果、第１ユーザが第１ユーザ本人と認証できなかった場合（ステップＳ４０６；ＮＯ）、その後の処理をスキップし、図２６へ戻る。

第１端末４Ａの端末制御部４８は、認証用サーバ１から受信した、暗号化された情報を認証用サーバ１との共通鍵ＫＣで復号化する。第１端末４Ａの端末制御部４８は第１ユーザからの指示に基づいて、復号化した開示設定情報、第２ユーザの生体情報及びそれらの情報の利用開始日時を変更する（ステップＳ４０８）。第１端末４Ａの端末制御部４８は、変更した開示設定情報、第２ユーザの生体情報及びそれらの情報の利用開始日時を、認証用サーバ１との共通鍵ＫＣで暗号化する。第１端末４Ａの端末制御部４８は、暗号化した情報を認証用サーバ１に送信する（ステップＳ４０９）。

認証用サーバ１のサーバ制御部１１は、暗号化された情報を第１端末４Ａから受信する。認証用サーバ１のサーバ制御部１１は、暗号化された情報を第１端末４Ａとの共通鍵ＫＣで復号化し、変更された開示設定情報、第２ユーザの生体情報及びそれらの情報の利用開始日時にもとづいて、図２に示したサーバ記憶部１２に保存されている情報を変更する（ステップＳ４１０）。認証用サーバ１のサーバ制御部１１は、サーバ記憶部１２に保存されている情報を変更した旨を、第１端末４Ａに送信する（ステップＳ４１１）。

ここで、図２６に戻る。第２ユーザは、第１ユーザから共有してもらったユーザの預託ファイルをクラウド３から取得したい場合、クラウド３に分散して保存されたファイルを取得し、復元する。第２端末４Ｂにおいて図６に示した認証処理が実行され、第２端末を使用しているのが第２ユーザ本人と認証されると（ステップＳ９６）、第２端末４Ｂの端末制御部４８は、認証用サーバへのログイン処理を実行する（ステップＳ９７）。認証用サーバへのログイン処理については、図３４に示すフローチャートを参照しつつ、以下で説明する。

第２端末４Ｂの端末制御部４８は、認証用サーバ１にログインを要求する（ステップＳ４２１）。認証用サーバ１のサーバ制御部１１は、チャレンジデータ、認証用プロキシ、アプリケーションＩＤ等、第２ユーザを認証するために必要な認証用情報を生成し、第２端末４Ｂへ送信する（ステップＳ４２２）。

第２端末４Ｂにおいて図６に示した認証処理が実行され、第２端末４Ｂを使用しているのが第２ユーザ本人と認証されると（ステップＳ４２３）、第２端末４Ｂの端末制御部４８は、チャレンジデータのハッシュ値、認証用プロキシのサーバアドレス、アプリケーションＩＤ等の認証応答情報を生成する。第２端末４Ｂの端末制御部４８は、生成した認証応答情報を秘密鍵で署名する（ステップＳ４２４）。ここで署名に使う秘密鍵は、図２４Ｂに示した第２暗号鍵データベース４７９Ａのテーブルに書き込まれた「認証用サーバ」の名称に対応付けられた秘密鍵Ｋｇ１である。第２端末４Ｂの端末制御部４８は、秘密鍵で署名した認証応答情報を認証用サーバ１へ送信する（ステップＳ４２５）。

認証用サーバ１のサーバ制御部１１は、第２端末４Ｂから送信された認証応答情報と秘密鍵による署名とが正しいか検証する（ステップＳ４２６）。具体的には、認証用サーバ１のサーバ制御部１１は、自身が第２端末４Ｂへ送信した認証用情報と第２端末４Ｂから受信した認証応答情報とを比較し、一致するか否かを判定する。また、認証用サーバ１のサーバ制御部１１は、秘密鍵による署名を、図３０のフローチャートに示したステップＳ３６７で第２端末４Ｂから送信された公開鍵により検証する。

第２端末４Ｂから送信された認証応答情報と秘密鍵による署名とが正しい場合（ステップＳ４２７；ＹＥＳ）、サーバ制御部１１は、第２端末４Ｂのログインを許可する（ステップＳ４２８）。続いて、サーバ制御部１１は、第２端末４Ｂにログイン成功の旨を送信する（ステップＳ４２９）。また、第２端末４Ｂから送信された認証応答情報と秘密鍵による署名とが正しいものではなかった場合（ステップＳ４２７；ＮＯ）、サーバ制御部１１は、第２端末４Ｂにログイン失敗の旨を送信する（ステップＳ４３０）。第２端末４Ｂの端末制御部４８は、認証用サーバ１から送信された情報に基づいて、表示部４９の画面上にログイン成功またはログイン失敗の旨を表示させる（ステップＳ４３１）。

図２６に戻る。第２ユーザは、第２端末４Ｂによるサーバ制御部１１へのログインが成功すると、第１ユーザから共有してもらったユーザの預託ファイルをクラウド３から取得し、復元する。第２端末４Ｂの端末制御部４８は、ファイル取得処理を実行する（ステップＳ９８）。ファイル取得処理については、図３５に示すフローチャートを参照しつつ、以下に説明する。

第２端末４Ｂは、認証用サーバ１に第１ユーザから預かった情報を要求する（ステップＳ４３１）。認証用サーバ１に第１ユーザから預かった情報は、図３２に示したフローチャートのステップＳ３９７で第１端末４Ａの端末制御部４８から認証用サーバ１に送信された開示設定情報である。この開示設定情報は、ユーザの預託ファイルを分散させた第１クラウド３Ａ及び第２クラウド３Ｂへアクセスするための情報と、図４Ｂに示したファイル管理テーブル４７５のデータと、ファイル分割用暗号鍵とをもとに生成された情報である。

図２に示した認証用サーバ１のサーバ制御部１１は、第２端末４Ｂに第２ユーザの生体情報を要求する（ステップＳ４３２）。ここで、認証用サーバ１のサーバ記憶部１２に記憶されている第２ユーザの生体情報は、図３２に示したフローチャートのステップＳ３９７で第１端末４Ａから送信されたものである。そして、第１端末４Ａから認証用サーバ１に送信した第２ユーザの生体情報は、図３１に示したフローチャートのステップＳ３９１で第２端末４Ｂから第１端末４Ａに送信した第２ユーザの顔画像である。このため、具体的には、ステップＳ４３２では、認証用サーバ１のサーバ制御部１１は、第２端末４Ｂに第２ユーザの顔画像を要求する。

第２端末４Ｂの端末制御部４８は、第２ユーザの生体情報を取得する（ステップＳ４３３）。ここで第２端末４Ｂの端末制御部４８の取得する第２ユーザの生体情報は、図４Ａに示した第２端末４Ｂのインカメラ４１Ａで撮影した第２ユーザの顔画像である。第２端末４Ｂの端末制御部４８は、取得した第２ユーザの生体情報と、図３１に示したフローチャートのステップＳ３９１で第２端末４Ｂから第１端末４Ａに送信した生体情報とが同じか否か判定する（ステップＳ４３４）。取得した第２ユーザの生体情報と、第２端末４Ｂから第１端末４Ａに送信した生体情報とが同じ場合（ステップＳ４３４；ＹＥＳ）、第２端末４Ｂの端末制御部４８は、取得した生体情報を共通鍵で暗号化し、認証用サーバ１へ送信する（ステップＳ４３５）。第２端末４Ｂの端末制御部４８が、取得した生体情報を暗号化するために用いる共通鍵は、図２４Ｂに示した第２暗号鍵データベース４７９Ａに示された、「認証用サーバ」の名称に対応付けられている共通鍵ＫＤである。また、取得した第２ユーザの生体情報と、第２端末４Ｂから第１端末４Ａに送信した生体情報とが同じではない場合（ステップＳ４３４；ＮＯ）、その後の処理をスキップし図２６へ戻る。

認証用サーバ１のサーバ制御部１１は、第２端末４Ｂから受信した第２ユーザの生体情報を、共通鍵で復号化する。認証用サーバ１のサーバ制御部１１が、第２端末４Ｂから取得した生体情報を復号化するために用いる共通鍵は、図２５に示した暗号鍵情報データベース１２０Ａに示された、「第２端末」の名称に対応付けられている共通鍵ＫＤである。続いて、認証用サーバ１のサーバ制御部１１は、サーバ記憶部１２に保存した第１端末４Ａから受信した生体情報である第２ユーザの顔画像と、第２端末４Ｂから受信した生体情報である第２ユーザの顔画像とを比較する（ステップＳ４３６）。認証用サーバ１のサーバ制御部１１は、ステップＳ４３６で比較した生体情報が一致するか否か判定する（ステップＳ４３７）。一致する場合（ステップＳ４３７；ＹＥＳ）、サーバ制御部１１は、第２ユーザが本人と認証できたものとして、ユーザの預託ファイルの利用開始日時になっているか否かを判定する（ステップＳ４３８）。また、一致しなかった場合（ステップＳ４３７；ＮＯ）、それ以降の処理をスキップし、図２６へ戻る。これにより、第１ユーザが第１端末４Ａを用いてクラウド３に預けたユーザの預託ファイルを、第三者である第２ユーザに開示しないようにすることができる。

ユーザの預託ファイルの利用開始日時になっている場合（ステップＳ４３８；ＹＥＳ）、認証用サーバ１のサーバ制御部１１は、図３２に示したフローチャートのステップＳ３９７で第１端末４Ａの端末制御部４８から送信された開示設定情報を、第２端末４Ｂとの共通鍵ＫＤで暗号化する。認証用サーバ１のサーバ制御部１１は、暗号化した開示設定情報を第２端末４Ｂへ送信する（ステップＳ４３９）。また、ユーザの預託ファイルの利用開始日時になっていない場合（ステップＳ４３８；ＮＯ）、認証用サーバ１のサーバ制御部１１は、これ以降の処理をスキップし、図２６へ戻る。

第２端末４Ｂの端末制御部４８は、認証用サーバ１から受信した開示設定情報を、まず、認証用サーバ１との共通鍵ＫＤで復号化する。続いて、第２端末４Ｂの端末制御部４８は、認証用サーバ１との共通鍵ＫＤで復号化した開示設定情報を、第１端末４Ａとの秘密鍵で複合化する。ここで復号化するための秘密鍵は、図２４Ｂに示した第２暗号鍵データベース４７９Ａの「第１端末」の名称に対応付けられた秘密鍵Ｋｈ１である。第２端末４Ｂの端末制御部４８は、複合した開示設定情報を、図４Ｂに示した自身の端末記憶部４７に保存する（ステップＳ４４０）。

第２端末４Ｂの端末制御部４８は、復号化した開示設定情報を用いて、ファイルの復元処理を実行する（ステップＳ４４１）。ファイルの復元処理については、図１４に示したステップＳ２１からステップＳ２５を実行する。第２端末４Ｂの端末制御部４８は、復元したユーザの預託ファイルを、図４Ｂに示した第２端末４Ｂの端末記憶部４７に保存する（ステップＳ４４２）。

ここで、図２６に戻る。第２端末４Ｂの端末制御部４８は、認証用サーバ１からログアウトする（ステップＳ９９）。第１端末４Ａの端末制御部は、図４Ｂに示した端末記憶部４７のファイル預託処理プログラム４７８を終了する。認証用サーバ１のサーバ制御部１１は、図２に示したユーザ認証処理プログラム１１０を終了する。第２端末４Ｂの端末制御部は、図４Ｂに示した端末記憶部４７のファイル取得処理プログラム４８０を終了する。

以上のとおり、実施の形態４に係る情報処理システム１００では、端末４におけるユーザの認証処理と端末４と認証用サーバ１との間で行われる公開鍵認証とを連携することにより、ユーザの認証を行う。これにより、ユーザの生体情報を認証用サーバ１に送信しなくともユーザを特定することができるので、ユーザの生体情報の漏洩を防止しつつユーザの認証をすることができる。

（実施の形態５）
実施の形態５に係る情報処理システム１００の端末４では、上記実施の形態１から４に係る情報処理システム１００の端末４で実行される認証処理とは異なり、端末４を使用するユーザの生体情報による認証の結果がユーザ本人か否か明確に判断できないグレーな場合に、ユーザの癖のデータを用いて認証する。これにより、生体情報による認証で端末４を使用するユーザがユーザ本人か否か明確に判断できないグレーな場合にも、ユーザの癖のデータを用いてユーザ本人を認証することができる。

実施の形態５に係る端末４の構成を示すブロック図を、図３６に示す。この端末４は、端末記憶部４７Ａに、実施の形態５に係るユーザの認証処理を行うための認証処理プログラム４７０Ａと、端末４で取得したユーザの生体情報をまとめた認証用生体情報データベース４７１Ａと、端末４で取得したユーザの癖のデータをまとめた認証用ユーザの癖データベース４７２Ａと、端末４の傾き状態を記憶するための傾き情報テーブル４８１とを備える。

認証処理プログラム４７０Ａは、端末４で取得したユーザの生体情報及びユーザの癖のデータに基づいてユーザを認証する処理を行うプログラムである。認証用生体情報データベース４７１Ａは、ユーザの生体情報に関する情報と認証に用いる認証値とを保存するためのデータベースである。認証用ユーザの癖データベース４７２Ａは、端末４を操作する際のユーザ特有の癖に関する情報、認証の合格条件等を保存するためのデータベースである。ここで、ユーザ特有の癖とは、ユーザが端末４を操作する際の挙動、表示部４９の画面とユーザの顔の距離、キーストローク、持ち方、端末４が使用される位置、特定の通信網への接続回数、特定のアプリケーションの起動、操作等、ユーザ固有のものをいう。

傾き情報テーブル４８１は、傾き検出部４３により検出された端末４の傾き角度と、取得日時、取得のための待機時間を記憶するためのテーブルである。なお、認証用生体情報データベース４７１Ａと、認証用ユーザの癖データベース４７２Ａと、傾き情報テーブル４８１とについて、詳細は後述する。

図４Ｃに示した端末４のプロセッサ５１により、図３６示した端末４の端末記憶部４７Ａに記憶された認証処理プログラム４７０Ａを実行することにより、端末制御部４８に図３７に示す情報処理ブロックが実現される。これにより、端末４は、ユーザ本人の顔の画像、指紋、声紋等の生体情報と、ユーザが端末４を操作する際の特有の挙動、操作状態等によるユーザの癖のデータとに基づいて、ユーザ本人を認証し、端末４における各種機能を実行することができる。

情報処理ブロックは、通信部４０、撮影部４１等から認証用の生体情報及びユーザの癖のデータを取得する認証用情報取得部４８５と、ユーザを本人か否か認証する認証判定部４８６と、表示部４９に認証結果を表示させる認証結果表示部４８７と、認証判定部４８６からの指示により端末記憶部４７Ａに記憶された各種データベース及びテーブルの情報を更新する認証用情報更新部４８８とを備える。

認証用情報取得部４８５は、通信部４０、撮影部４１等から認証用の生体情報及びユーザの癖を取得する。認証判定部４８６は、認証用情報取得部４８５から取得した認証用の生体情報及びユーザの癖と、端末記憶部４７Ａの各種データベースに記憶された認証値、合格条件等に基づいて、ユーザの認証を行う。認証結果表示部４８７は、認証判定部４８６からユーザの認証結果を受信し、表示部４９に認証結果に応じてメッセージ、画像等を表示させる。認証用情報更新部４８８は、認証判定部４８６からの指示に基づいて、端末記憶部４７Ａに記憶された各種データベース、テーブルに記憶されたデータを更新する。なお、認証用情報取得部４８５で取得される各生体情報は、請求の範囲における第１認証用データ及び第３認証用データの一例である。認証用情報取得部４８５で取得される各ユーザの癖のデータは、請求の範囲における第２認証用データの一例である。

次に、端末記憶部４７Ａに記憶される認証用生体情報データベース４７１Ａと、認証用ユーザの癖データベース４７２Ａと、傾き情報テーブル４８１との各テーブルの構成について、図３８Ａから図３８Ｃを参照しつつ以下に説明する。まず、認証用生体情報データベース４７１Ａのテーブルには、図３８Ａに示すように、顔、音声等の生体情報の種類と、ユーザ本人の生体情報である登録情報と、登録情報と図３７に示した認証用情報取得部４８５で取得した生体情報とから求められる認証値の平均値が記憶されている。認証用生体情報データベース４７１Ａのテーブルに記憶されている登録情報は、ユーザ本人の生体情報である。登録情報には、端末４で認証処理を行う前に予め登録された情報であり、ユーザ本人を認証できた場合に更新される。登録情報には、例えば、生体情報の種類が顔であれば顔画像から求めた特徴量が、生体情報の種類が音声であれば音声データまたは音声データから求めた特徴量または音声データとその特徴量の両方が、生体情報の種類が虹彩であれば虹彩データが、生体情報の種類が指紋であれば指紋の画像から求めた特徴量が、それぞれ記憶されている。

本実施の形態において、生体情報の類似の判定は、認証値により行われる。認証値は、登録情報と、図３７に示した認証用情報取得部４８５で取得した生体情報とを比較した結果を基に求められる値である。認証値は、登録情報と認証用情報取得部４８５で取得した生体情報とが類似する場合に０に近づき、類似しない場合に１に近づく。認証用生体情報データベース４７１Ａには、認証値の平均値と、認証値を判定するための閾値である認証閾値と、認証閾値にユーザがグレーな場合を示す認証許容範囲値を含めた認証許容値とが含まれる。

まず、認証値の平均値は、登録情報と、認証用情報取得部４８５で取得した生体情報から求められた認証値との平均の値である。認証閾値は、登録情報と、認証用情報取得部４８５で取得した生体情報とを比較し、比較した結果を基に求められた認証値が、この値以下の場合、ユーザをユーザ本人と判定するための基準となる値である。認証閾値は、ユーザの認証の状況に合わせて変動する値であり、予め上限値が定めされている。上限値は、その値以上となった場合、ユーザをユーザ本人と生体情報のみで認証すべきではないとされる値である。例えば、認証閾値のデフォルト値を、登録情報と認証用情報取得部４８５で取得した生体情報とが類似する場合に近づく０と類似しない場合に近づく１との間の０．４であれば、認証閾値の上限値は０．４５といった具合である。また、認証許容値は、登録情報と認証用情報取得部４８５で取得した生体情報とを比較し、比較した結果を基に求められた認証値が、この値以上の場合、ユーザをユーザ本人ではないと判定するための基準となる値である。認証許容値は、上述のとおり認証閾値にユーザがグレーな場合を示す認証許容範囲値を含めた値であるため、認証閾値と認証許容範囲値との変動に応じて、変動する値である。認証許容値には、予め上限値が定められており、これを最大認証許容値と呼ぶ。最大認証許容値は、この値以上の場合、ユーザを他人と判断すべきとされる値である。例えば、登録情報と認証用情報取得部４８５で取得した生体情報とが類似する場合に近づく０と類似しない場合に近づく１との中間の０．５である。

認証閾値と認証許容値との間の値を認証許容範囲値といい、ユーザがユーザ本人か否かグレーな場合を示す値である。認証値が認証許容範囲値内である場合、ユーザがユーザ本人か否かを生体情報だけで判断せず、ユーザ特有のユーザの癖が合格条件に合致している場合に、ユーザ本人と認証し、合致してない場合、ユーザ本人と認証しないものとする。ユーザの癖によるユーザの認証を、以下では、補助認証と称する。認証許容範囲値は、この範囲に収まる認証値であればユーザ本人として概ね考えれば良いと思われる値を、予め定めたものである。例えば、類似する場合に近づく０と、類似しない場合に近づく１との一割以下の０．０８である。なお、認証閾値が上限値になった場合、最大認証許容値から認証閾値が上限値を引いた値になる。例えば、認証閾値の上限値が０．４５、最大認証値が０．５であれば、認証許容範囲値は０．０５といった具合である。したがって、認証閾値が上限値になっている場合、認証閾値が上限値になっていない場合よりも認証許容範囲値の値は小さな値をとる。

次に、認証用ユーザの癖データベース４７２Ａのテーブルについて、図３８Ｂを参照しつつ、以下に説明する。認証用ユーザの癖データベース４７２Ａのテーブルには、通信接続、イベント実行等のユーザの癖の種類と、図３７に示した認証用情報取得部４８５で取得した取得情報と、各ユーザの癖における最新状況と、各ユーザの癖の合格条件とが記憶されている。取得情報には、例えば、ユーザの癖の種類が通信接続であれば接続先のアドレス、ＳＳＩＤ（ＳｅｒｖｉｃｅＳｅｔＩｄｅｎｔｉｆｉｅｒ）、ＢＳＳＩＤ（ＢａｓｉｃＳｅｒｖｉｃｅＳｅｔＩｄｅｎｔｉｆｉｅｒ）等が、ユーザの癖の種類がイベント実行であれば予めスケジュール帳に保存されたイベントの行われる場所の名称、住所等の場所情報が、ユーザの癖の種類が顔と端末装置との距離であれば距離が、デバイス接続であれば接続先のデバイスを示す名称、ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）等が、それぞれ記憶されている。

各ユーザの癖における最新状況には、例えば、ユーザの癖の種類が通信接続であれば、取得情報に示された通信接続先にこれまで接続等された合計回数である。通信接続先への接続等の合計回数は、初期値が０であり、通信接続先への接続等により回数が加算されていく。また、ユーザの癖の種類がイベント実行であれば、取得情報に記憶されている場所とユーザの現在地との間の距離が記憶される。ユーザの癖の種類が顔と端末４との距離であれば、それまでユーザがユーザ本人と認証された際に算出された顔と端末４との距離の平均距離が記憶される。顔と端末４との平均距離は、ユーザがユーザ本人と認証される度に更新される。なお、顔と端末４との平均距離の初期値は、図３８Ａに示した生体情報を、端末４でユーザ本人の認証を行う前に予め登録する際に求められた距離とする。

また、ユーザの癖の種類がデバイス接続であれば、取得情報に記憶された名称、ＩＤ等が示すデバイスに接続されているか否かが記憶されている。デバイス接続は、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）によりペア設定されたデバイスと端末４との接続である。各ユーザの癖の合格条件は、各ユーザの癖の信頼性を担保できる条件を予め定めた条件である。

次に、傾き情報テーブル４８１のテーブルを、図３８Ｃに示す。傾き情報テーブル４８１は、図３７に示した傾き検出部４３から取得された端末４の傾きを示す角度と、その角度を取得した取得日時、傾きを検出するめのインターバルとなる待機時間とを記憶している。端末４の傾きを示す角度は、待機時間が経過する毎に図３７に示した認証用情報取得部４８５により傾き検出部４３から取得され、更新される。また、その角度を更新する際、角度を取得した取得日時も更新される。

本実施の形態に係る端末４は、電源投入後処理のイニシャライズ処理の実行が完了すると、もしくは、スリープ状態から復帰すると、認証が成功するまで各機能の操作を許さないロック状態に入る。このロック状態に入る、若しくは、各機能の操作を行う際に認証が要求されると、図３６に示した端末４の端末制御部４８は、端末記憶部４７Ａに記憶された認証処理プログラム４７０Ａを実行し、ユーザがユーザ本人か否かを判別する。認証処理プログラム４７０Ａによるユーザの認証処理は、予め定められた認証間隔によりバックグラウンドで行われる。

このため、認証処理プログラム４７０Ａによるユーザの認証処理を、実施の形態１から４における認証処理として用いる場合、第１端末４Ａ及び第２端末４Ｂが起動している間、随時バックグランドで第１ユーザ及び第２ユーザを認証するようにしておき、その認証結果を図１５、図２０、図２２、図２６に示したフローチャートの各ステップで用いるようすればよい。端末制御部４８により実行される認証処理プログラム４７０Ａの処理について、図３９Ａ及び図３９Ｂに示す認証処理のフローチャートを参照しつつ、以下に説明する。なお、この認証処理は、請求の範囲におけるユーザ認証手段の一例である。

まず、図３９Ａを参照する。本実施の形態においては、生体情報としてユーザの顔画像を用いるものとする。図３７に示した認証用情報取得部４８５は、撮影部４１に端末４を操作しているユーザの顔写真を撮影させる。具体的には、認証用情報取得部４８５は、端末４の正面に向き合っているユーザの顔写真を、インカメラ４１Ａで撮影させる。認証用情報取得部４８５は、撮影部４１から撮影したユーザの顔写真を取得する（ステップＳ５０１）。認証用情報取得部４８５は、取得したユーザの顔写真がブレていないか判定する（ステップＳ５０２）。ユーザの顔写真がブレていた場合（ステップＳ５０２；ＮＯ）、認証用情報取得部４８５は、撮影部４１にユーザの顔写真の撮影をリトライさせる（ステップＳ５０３）。また、ユーザの顔写真がブレていなかった場合（ステップＳ５０２；ＹＥＳ）、認証用情報取得部４８５は、撮影部４１に撮影させたユーザの顔写真からユーザの顔が検出できるか判定する（ステップＳ５０４）。

ユーザの顔写真からユーザの顔が検出できない場合（ステップＳ５０４；ＮＯ）、認証用情報取得部４８５は、撮影部４１にユーザの顔写真の撮影をリトライさせる（ステップＳ５０３）。なお、ユーザの顔写真からユーザの顔が検出できない場合、今操作しているユーザにこれ以上操作をさせないようにロックをかける、他の認証方法を利用する旨のメッセージを表示する等をしてもよい。また、ユーザの顔写真からユーザの顔が検出できた場合（ステップＳ５０４；ＹＥＳ）、認証用情報取得部４８５は、検出したユーザの顔の画像の特徴量を求める。認証用情報取得部４８５は、求めたユーザの顔の画像の特徴量を認証判定部４８６に送信する。

認証判定部４８６は、図３６に示した端末記憶部４７Ａに記憶されている認証用生体情報データベース４７１Ａを取得する。認証判定部４８６は、図３８Ａに示した認証用生体情報データベース４７１Ａのテーブルから、生体情報の種類のうち「顔」に対応付けられた登録情報に記憶された顔画像の特徴量と、認証値の認証許容値及び認証閾値を取得する。認証判定部４８６は、認証用生体情報データベース４７１Ａから取得した登録情報の顔画像の特徴量と、認証用情報取得部４８５から受信した顔画像の特徴量とを比較し、比較の結果を基に顔の認証値を求める。認証判定部４８６は、求めた顔の認証値が認証用生体情報データベース４７１Ａから取得した認証閾値以上か判定する（ステップＳ５０５）。

求めた顔の認証値が認証閾値以上の場合（ステップＳ５０５；ＹＥＳ）、認証判定部４８６は、求めた顔の認証値が認証用生体情報データベース４７１Ａから取得した認証許容値以下か判定する（ステップＳ５０６）。求めた顔の認証値が認証許容値以下の場合（ステップＳ５０６；ＹＥＳ）、端末４を使用しているユーザがユーザ本人か否かグレーであるため、認証判定部４８６はユーザの癖による認証である補助認証を実行する。まず、認証判定部４８６は、認証用情報取得部４８５に通信部４０から現在接続している通信接続先を取得させる。認証判定部４８６は、認証用情報取得部４８５から、取得させた通信部４０の現在の通信接続先を受信する。

続いて、認証判定部４８６は、図３６に示した端末記憶部４７Ａから認証用ユーザの癖データベース４７２Ａを取得する。認証判定部４８６は、図３８Ｂに示した認証用ユーザの癖データベース４７２Ａのテーブルに記憶されているユーザの癖の種類のうち「通信接続」に対応つけられた取得情報、回数、合格条件を取得する。例えば、図３８Ｂに示すように、「通信接続」の取得情報にはＳＳＩＤであるＡＢＣ＿ＷＬＡＮと１２３ＷＬＡＮとが記憶されている。このＡＢＣ＿ＷＬＡＮでは、接続した回数に３１回、合格条件として接続回数が１００回以上と記憶されている。また、１２３ＷＬＡＮでは、接続した回数に１５７回、合格条件として接続回数が１００回以上と記憶されている。なお、以下では合格条件を満たす場合を信頼するものと呼び、合格条件を満たさない場合を信頼しないものと呼ぶ。

認証判定部４８６は、認証用情報取得部４８５から受信した通信部４０の現在の通信接続先と、認証用ユーザの癖データベース４７２Ａから取得した取得情報とを比較し、現在の通信接続先が信頼する接続先か否か判定する（ステップＳ５０７）。ここで、例えば、通信部４０の現在の通信接続先としてＳＳＩＤのＡＢＣ＿ＷＬＡＮが取得されているものとする。認証用ユーザの癖データベース４７２Ａに記憶されたユーザの癖の種類「通信接続」の取得情報におけるＡＢＣ＿ＷＬＡＮは、接続した回数が３１回であり、合格条件の接続回数が１００回以上である。このため、現在の通信接続先は信頼する通信接続先ではないため（ステップＳ５０７；ＹＥＳ）、信頼するイベントを実行しているか否かを判定する（ステップＳ５０８）。

認証判定部４８６は、認証用情報取得部４８５に操作入力部４４から直前に実行したイベントの内容を取得させる。認証判定部４８６は、端末４に備えられたカレンダーから現在の日時に予定があるか否かと、その予定が行われる場所の情報とを取得する。認証判定部４８６は、その日に予定が無かった場合、信頼するイベントの実行ではないものとし（ステップＳ５０８；ＹＥＳ）、顔と端末４との距離を算出する（ステップＳ５０９）。また、その日に予定があった場合、認証判定部４８６は、認証用情報取得部４８５に位置検出部４６から、現在の位置情報を取得させる。続いて、認証判定部４８６は、図３６に示した端末記憶部４７Ａから認証用ユーザの癖データベース４７２Ａを取得する。

認証判定部４８６は、図３８Ｂに示した認証用ユーザの癖データベース４７２Ａのテーブルに記憶されているユーザの癖の種類のうち、「イベント実行」に対応つけられた取得情報と合格条件とを取得する。例えば、図３８Ｂに示すように、「イベント実行」の取得情報にはイベントが行われる場所として「○×公園」及び「△●映画館」が記憶され、その両方の合格条件として「距離が１００ｍ以内」と記憶されているものとする。

ここで、例えば、端末４に備えられたカレンダーに、現在の日時に行われるイベントの場所として「○×公園」が記憶されているものとする。認証判定部４８６は、認証用情報取得部４８５に位置検出部４６から取得させた現在の位置情報と、現在の日時に行われるイベントの場所である「○×公園」の位置情報とを比較する。例えば、現在の位置情報と、イベントの場所である「○×公園」の位置情報との間の距離が１１３ｍとする。この場合、信頼するイベントの実行ではないものとし（ステップＳ５０８；ＹＥＳ）、顔と端末４との距離を算出する（ステップＳ５０９）。ユーザの顔と端末４との距離は、図１に示したインカメラ４１Ａで撮影した端末４の正面に向き合うユーザの顔写真における、ユーザの顔の占める割合を基づいて算出する。

続いて、認証判定部４８６は、図３６に示した端末記憶部４７Ａから認証用ユーザの癖データベース４７２Ａを取得する。認証判定部４８６は、図３８Ｂに示した認証用ユーザの癖データベース４７２Ａのテーブルに記憶されているユーザの癖の種類のうち「顔と端末装置との距離」に対応つけられた平均距離、合格条件を取得する。例えば、図３８Ｂに示すように、「顔と端末装置との距離」の平均距離には２６２ｍｍ、合格条件に平均距離のプラスマイナス２０ｍｍと記憶されている。

認証判定部４８６は、ステップＳ５０９で算出したユーザの顔と端末４との距離が、認証用ユーザの癖データベース４７２Ａから取得した合格条件に設定された設定範囲内か否か判定する（ステップＳ５１０）。具体的には、認証用ユーザの癖データベース４７２Ａから取得した平均距離は２６２ｍｍ、合格条件は、平均距離のプラスマイナス２０ｍｍであるので、２４２ｍｍから２８２ｍｍの範囲か否かを判定する。

ステップＳ５０９で算出したユーザの顔と端末４との距離が、２４２ｍｍから２８２ｍｍの範囲である場合（ステップＳ５１０；ＹＥＳ）、認証判定部４８６は、端末４を使用しているユーザをユーザ本人と認証する。認証用情報更新部４８８に、図３６に示した認証用生体情報データベース４７１Ａ及び認証用ユーザの癖データベース４７２Ａに記憶された各種データを更新させる（ステップＳ５１１）。

具体的には、認証用情報更新部４８８は、図３８Ａに示した認証用生体情報データベース４７１Ａのテーブルの生体情報の種類「顔」に対応つけられた登録情報を、登録情報に記憶されていた顔画像の特徴量に認証判定部４８６が認証用情報取得部４８５から受信した顔画像の特徴量を加え、更新する。続いて、認証用情報更新部４８８は、図３８Ｂに示した認証用ユーザの癖データベース４７２Ａのテーブルのユーザの癖の種類「通信接続」に対応つけられた最新状況に記憶されている回数に１を加え、更新する。また、図３８Ｂに示した認証用ユーザの癖データベース４７２Ａのテーブルに記憶されているユーザの癖の種類「顔と端末装置との距離」に対応つけられた最新状況を、記憶されている平均距離とステップＳ５０９で算出された「顔と端末装置との距離」から求められた平均距離で更新する。

このように、認証用生体情報データベース４７１Ａに記憶された生体情報、及び、認証用ユーザの癖データベース４７２Ａに記憶されたユーザの癖を更新することにより、ユーザの生体情報及びユーザの癖の精度が向上する。このため、ユーザの認証の精度を向上させることができる。

また、認証判定部４８６により求められた顔の認証値が、認証値の認証閾値以上でない場合（ステップＳ５０５；ＮＯ）、認証判定部４８６は、認証用情報取得部４８５に通信部１０から現在接続している通信接続先を取得させる。認証判定部４８６は、認証用情報取得部４８５から、取得させた通信部４０の現在の通信接続先を受信する。続いて、認証判定部４８６は、図３６に示した端末記憶部４７Ａから認証用ユーザの癖データベース４７２Ａを取得する。認証判定部４８６は、図３８Ｂに示した認証用ユーザの癖データベース４７２Ａのテーブルに記憶されているユーザの癖の種類のうち「通信接続」に対応つけられた取得情報、回数、合格条件を取得する。認証判定部４８６は、認証用情報取得部４８５から受信した通信部４０の現在の通信接続先と、認証用ユーザの癖データベース４７２Ａから取得した取得情報とを比較し、現在の通信接続先が信頼する接続先か否か判定する（ステップＳ５１２）。

ここで、例えば、通信部４０の現在の通信接続先としてＳＳＩＤの１２３ＷＬＡＮが取得されているものとする。認証用ユーザの癖データベース４７２Ａに記憶されたユーザの癖の種類「通信接続」の取得情報における１２３ＷＬＡＮは、接続した回数が１５６回であり、合格条件の接続回数が１００回以上である。このため、現在の通信接続先は信頼する通信接続先であるため（ステップＳ５１２；ＹＥＳ）、認証判定部４８６は、端末４を使用しているユーザをユーザ本人と認証する。その後、認証判定部４８６は、認証間隔を現在の認証間隔よりも長くする（ステップＳ５１３）。これは、現在の通信接続先が信頼する通信接続先であれば、ユーザ本人は自宅、職場等の信頼する環境に居るものと考えられるためである。この場合、認証間隔を現在の認証間隔よりも長くし、認証の頻度を下げ必要最低限の回数認証を行うようにすれば良い。

ここで、例えば、通信部４０の現在の通信接続先としてＳＳＩＤのＡＢＣ＿ＷＬＡＮが取得されているものとする。認証用ユーザの癖データベース４７２Ａに記憶されたユーザの癖の種類「通信接続」の取得情報におけるＡＢＣ＿ＷＬＡＮは、接続した回数が３１回であり、合格条件の接続回数が１００回以上である。このため、現在の通信接続先は信頼する通信接続先ではないため（ステップＳ５１２；ＮＯ）、認証判定部４８６は、端末４を使用しているユーザをユーザ本人と認証せず、認証間隔を現在の認証間隔よりも長くしない。

ここで、ステップＳ５０７において、例えば、通信部４０の現在の通信接続先としてＳＳＩＤの１２３ＷＬＡＮが取得されているものとする。認証用ユーザの癖データベース４７２Ａに記憶されたユーザの癖の種類「通信接続」の取得情報における１２３ＷＬＡＮは、接続した回数が１５６回であり、合格条件の接続回数が１００回以上である。このため、現在の通信接続先は信頼する通信接続先であるため（ステップＳ５０７；ＮＯ）、認証判定部４８６は、端末４を使用しているユーザをユーザ本人と認証する。

また、ここで、ステップＳ５０８において、例えば、端末４に備えられたカレンダーに、現在の日時に行われるイベントの場所として「△●映画館」が記憶されているものとする。認証判定部４８６は、認証用情報取得部４８５に位置検出部４６から取得させた現在の位置情報と、現在の日時に行われるイベントの場所である「△●映画館」の位置情報とを比較する。例えば、現在の位置情報と、イベントの場所である「△●映画館」の位置情報との間の距離が７２ｍとする。この場合、信頼するイベントの実行であるもとのし（ステップＳ５０８；ＮＯ）、認証判定部４８６は、端末４を使用しているユーザをユーザ本人と認証する。その後、認証判定部４８６は、認証間隔を現在の認証間隔よりも長くする（ステップＳ５１３）。

認証判定部４８６は、ユーザの顔と端末４との距離を算出する（ステップＳ５１４）。続いて、認証判定部４８６は、図３６に示した端末記憶部４７Ａから認証用ユーザの癖データベース４７２Ａを取得する。認証判定部４８６は、ステップＳ５１４で算出したユーザの顔と端末４との距離が、認証用ユーザの癖データベース４７２Ａから取得した合格条件に設定された設定範囲内か否か判定する（ステップＳ５１５）。ステップＳ５０９で算出したユーザの顔と端末４との距離が、設定範囲内である場合（ステップＳ５１５；ＹＥＳ）、認証判定部４８６は、端末４を使用しているユーザをユーザ本人と認証する。認証判定部４８６は、認証用情報更新部４８８に、図３６に示した認証用生体情報データベース４７１Ａ及び認証用ユーザの癖データベース４７２Ａに記憶された各種データを更新させる（ステップＳ５１１）。

具体的には、認証用情報更新部４８８は、図３８Ａに示した認証用生体情報データベース４７１Ａのテーブルの生体情報の種類「顔」に対応つけられた登録情報を、登録情報に記憶されていた顔画像の特徴量にステップＳ５０５で認証判定部４８６が認証用情報取得部４８５から受信した顔画像の特徴量を加え、更新する。

続いて、認証用情報更新部４８８は、図３８Ｂに示した認証用ユーザの癖データベース４７２Ａのテーブルのユーザの癖の種類「通信接続」に対応つけられた、最新状況に記憶されている回数に１を加え、更新する。続いて、認証用情報更新部４８８は、認証用ユーザの癖データベース４７２Ａのテーブルのユーザの癖の種類「イベント実行」に対応つけられた最新状況を、ステップＳ５０８；ＮＯで求めたイベントの場所と端末４との間の距離を書き込み、更新する。また、図３８Ｂに示した認証用ユーザの癖データベース４７２Ａのテーブルに記憶されているユーザの癖の種類「顔と端末装置との距離」に対応つけられた最新状況を、最新状況に記憶されている平均距離とステップＳ５１４で算出された「顔と端末装置との距離」から求められた平均距離で更新する。

ステップＳ５１４で算出したユーザの顔と端末４との距離が、設定範囲内でない場合（ステップＳ５１５；ＮＯ）、認証判定部４８６は、認証用情報更新部４８８に、図３６に示した認証用生体情報データベース４７１Ａ及び認証用ユーザの癖データベース４７２Ａに記憶された各種データを更新させない。

また、認証判定部４８６により求められた顔の認証値が、認証値の認証許容値以下でない場合（ステップＳ５０６；ＮＯ）、及び、ステップＳ１１０で顔と端末装置との距離が設定範囲内でなかった場合（ステップＳ５１０；ＮＯ）、認証判定部４８６は、端末４を使用しているユーザをユーザ本人ではないと判断する。認証判定部４８６は、図３７に示した認証結果表示部４８７に、表示部４９へ認証できなかった旨を表示させる。続いて、認証判定部４８６は、端末４に備えられている既存の生体認証手段を呼び出す。ここでは、既存の生体認証手段として指紋認証を呼び出すものとする。認証判定部４８６は、指紋認証を実行する（ステップＳ５１６）。

指紋認証ができた場合（ステップＳ５１７；ＹＥＳ）、認証判定部４８６からの指示により、認証用情報取得部４８５は、撮影部４１に端末４を操作しているユーザの顔写真を撮影させる。認証用情報取得部４８５は、撮影部４１から撮影したユーザの顔写真の画像を取得し、ユーザの顔の画像の特徴量を求める。認証用情報取得部４８５は、認証判定部４８６に求めたユーザの顔の画像の特徴量を送信する。認証判定部４８６は、受信したユーザの顔の画像の特徴量を図３７に示した認証用情報更新部４８８に送信する。認証用情報更新部４８８は、受信したユーザの顔の画像の特徴量を、図３８Ａに示した認証用生体情報データベース４７１Ａのテーブルの生体情報の種類「顔」に対応つけられた登録情報に記憶されていた顔画像の特徴量に加え、更新する（ステップＳ５１８）。認証判定部４８６は、ステップＳ５０１へ戻り、ステップＳ５０１以降のステップを実行する。

また、指紋認証ができなかった場合（ステップＳ５１７；ＮＯ）、認証判定部４８６は、図３７に示した認証結果表示部４８７に、表示部４９へ認証できなかった旨を表示させる。続いて、認証判定部４８６は、図３７に示した認証結果表示部４８７にログイン画面を表示部４９に表示させる（ステップＳ５１９）。

ここで、図３９Ｂに移動する。認証判定部４８６は、生体認証及び補助認証が予め定めされた設定回数成功したか否かを判定する（ステップＳ５２０）。この設定回数は、例えば、連続で１０回、端末４が起動してから合計で２０回等、任意の回数である。生体認証及び補助認証が予め定めされた設定回数成功した場合（ステップＳ５２０；ＹＥＳ）、認証判定部４８６は、設定回数分の認証で求められた顔の認証値の平均値を求める（ステップＳ５２１）。具体的には、認証判定部４８６は、図３６に示した認証用生体情報データベース４７１Ａを、端末記憶部４７Ａから取得する。認証判定部４８６は、図３８Ａに示した認証用生体情報データベース４７１Ａのテーブルから、生体情報の種類のうち「顔」に対応付けられた認証値の平均値を取得する。認証判定部４８６は、ステップＳ５０５で求めた顔の認証値と、認証用生体情報データベース４７１Ａから取得した認証値の平均値とを足して２で割り、顔の認証値の平均値を算出する。また、生体認証及び補助認証が予め定めされた設定回数成功しなかった場合（ステップＳ５２０；ＮＯ）、ステップＳ５２１からステップＳ５２３の処理をスキップし、ステップＳ５２４へ進む。

認証判定部４８６は、ステップＳ５２１で求めた顔の認証値の平均値を、認証用情報更新部４８８に送信する。認証用情報更新部４８８は、受信した顔の認証値の平均値と、予め設定された認証閾値の上限値とを比較する。顔の認証値の平均値が予め設定された認証閾値の上限値以上である場合、認証用情報更新部４８８は、図３８Ａに示した認証用生体情報データベース４７１Ａのテーブルの、生体情報の種類のうち「顔」に対応付けられた認証閾値に、認証閾値の上限値を書き込み、更新する。また、顔の認証値の平均値が予め設定された認証閾値の上限値以下である場合、認証用情報更新部４８８は、図３８Ａに示した認証用生体情報データベース４７１Ａのテーブルの、生体情報の種類のうち「顔」に対応付けられた認証閾値に、ステップＳ５２１で求めた顔の認証値の平均値を書き込み、更新する（ステップＳ５２２）。

続いて、認証用情報更新部４８８は、認証許容値を更新する（ステップＳ５２３）。具体的には、ステップＳ５２１で求めた顔の認証値の平均値が、予め設定された認証閾値の上限値以上である場合、認証用情報更新部４８８は、予め設定された最大認証許容値を認証許容値とする。また、ステップＳ５２１で求めた顔の認証値の平均値が、予め設定された認証閾値の上限値以下である場合、ステップＳ５２１で求めた顔の認証値の平均値とデフォルトの認証許容範囲値とを足した値が最大認証許容値以下であれば、その足した値を認証許容値とする。ステップＳ５２１で求めた顔の認証値の平均値とデフォルトの認証許容範囲値とを足した値が最大認証許容値以上であれば、最大認証許容値を認証許容値とする。認証用情報更新部４８８は、図３６に示した認証用生体情報データベース４７１Ａを、端末記憶部４７Ａから取得する。認証用情報更新部４８８は、図３８Ａに示した認証用生体情報データベース４７１Ａのテーブルの、生体情報の種類のうち「顔」に対応付けられた認証許容値に、求めた認証許容値を書き込み、更新する。

図３７に示した認証用情報取得部４８５は、傾き検出部４３から端末４の傾きの角度を取得する。続いて、認証用情報取得部４８５は、図示しないタイマから現在の日時情報を取得する（ステップＳ５２４）。認証用情報取得部４８５は、取得した端末４の傾きの角度と現在の日時情報とを認証判定部４８６に送信する。認証判定部４８６は、受信した端末４の傾きの角度と現在の日時情報とを、認証用情報更新部４８８に送信する。認証用情報更新部４８８は、図３６に示した端末記憶部４７Ａに記憶された傾き情報テーブル４８１に、受信した端末４の傾きの角度と現在の日時情報とを書き込み、保存する（ステップＳ５２５）。

認証判定部４８６は、図３８Ｃに示した傾き情報テーブル４８１のテーブルに記憶されている待機時間を取得する。認証判定部４８６は、認証用情報取得部４８５に取得した待機時間を送信する。認証用情報取得部４８５は、受信した待機時間の間、通信部４０、撮影部４１等からのデータの取得を待機する（ステップＳ５２６）。待機時間が終了すると、認証用情報取得部４８５は、傾き検出部４３から端末４の傾きの角度を取得する。続いて、認証用情報取得部４８５は、図示しないタイマから現在の日時情報を取得する（ステップＳ５２７）。認証用情報取得部４８５は、取得した端末４の傾きの角度と現在の日時情報とを認証判定部４８６に送信する。

認証判定部４８６は、図３８Ｃに示した傾き情報テーブル４８１のテーブルに記憶されている端末４の角度を取得する。認証判定部４８６は、認証用情報取得部４８５から受信した端末４の傾きの角度と、傾き情報テーブル４８１から取得した端末４の角度とを比較し、角度が変化してないか否かを判定する（ステップＳ５２８）。端末４の角度の変化が、予め定められた設定値の角度、例えば、３０度以上の場合（ステップＳ５２８；ＮＯ）、認証判定部４８６は、ユーザにより端末４が動かされ何某かの操作が行われたものと判断し、図３９Ａに示したステップＳ５０１に戻る。その後、認証判定部４８６は、ステップＳ５０１以降の処理を実行する。

また、端末４の角度の変化が、予め定められた設定値の角度以下の場合（ステップＳ５２８；ＹＥＳ）、認証判定部４８６は、ユーザにより端末４が動かされていないものと判断する。続いて、認証判定部４８６は、ユーザを認証するタイミングになったか否かを判定する（ステップＳ５２９）。ユーザを認証するタイミングは、予め設定された認証間隔の時間が経過したタイミングである。ユーザを認証するタイミングになっている場合（ステップＳ５２９；ＹＥＳ）、認証判定部４８６は、図３９Ａに示したステップＳ５０１に戻る。その後、認証判定部４８６は、ステップＳ５０１以降の処理を実行する。ユーザを認証するタイミングになっていない場合（ステップＳ５２９；ＮＯ）、認証判定部４８６はステップＳ５２５に戻る。認証判定部４８６は、ステップＳ５２５からステップＳ５２９までの処理を実行する。

なお、上記の実施の形態において、生体情報から求められた認証値と認証閾値とが同じ値となった場合には、生体情報から求められた認証値が認証閾値以下、または、生体情報から求められた認証値が認証閾値以上の、どちらの場合として、認証が成功したか否かを判定してもよい。また、生体情報から求められた認証値と認証許容値とが同じ値となった場合には、生体情報から求められた認証値が認証許容値以下、または、生体情報から求められた認証値が認証許容値以上の、どちらの場合として、認証が成功したか否かを判定してもよい。

以上の通り、上記実施の形態５に係る情報処理システム１００の端末４で実行される認証処理は、端末４を使用するユーザの生体情報による認証の結果がユーザ本人か否か明確に判断できないグレーな場合に、ユーザの癖のデータを用いて認証する。これにより、生体情報による認証で端末４を使用するユーザがユーザ本人か否か明確に判断できないグレーな場合にも、ユーザの癖のデータを用いてユーザ本人を認証することができる。また、端末４において行われるユーザの認証処理は、端末４の稼働中、バックグラウンドで実行されるとともに、ユーザの生体情報とユーザの癖とを更新していくことにより、認証の制度を向上させることができる。これにより、使用者の操作負担を軽減しつつ、セキュリティを確保することができる。

（変形例１）
上記の実施の形態１から４において、スコア値を求めるための端末４に登録された生体情報及びユーザの癖のデータは、ユーザを認証するごとに更新され、精度を高めるようにしてもよい。また、図５Ｄに示したスコア値テーブル４７３のスコア値の項目に設定されている値は、ユーザが適宜設定するようにしてもよい。

（変形例２）
上記の実施の形態１から５において、スマートフォンを用いて第１端末４Ａ及び第２端末４Ｂを構成するものとした。しかしながら、スマートフォンに限らず、ＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）、タブレット、ＰＤＡ（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌＡｓｓｉｓｔａｎｔ）等、どのような機器を用いて第１端末４Ａ及び第２端末４Ｂを構成してもよい。

（変形例３）
上記の実施の形態１から４において、認証用サーバ１では第２ユーザの生体情報に基づいて本人認証を行った。しかしながら、生体情報に限らず、第２端末４Ｂで取得できるユーザの癖を用いて本人認証をしてもよい。

（変形例４）
実施の形態１から４では、第１ユーザの使用する第１端末４Ａにより、ユーザの預託ファイルを、第１クラウド３Ａ及び第２クラウド３Ｂに分散して保存し、第２ユーザの使用する第２端末４Ｂにより第１クラウド３Ａ及び第２クラウド３Ｂから取得して復元するものとした。しかしながら、第１ユーザの使用する第１端末４Ａと第２ユーザの使用する第２端末４Ｂの動作は逆であってもよい。

（変形例５）
実施の形態１から４では、第２ユーザは、第１クラウド３Ａ及び第２クラウド３Ｂに分散して保存されたユーザの預託ファイルを、第１ユーザの設定した利用開始日時の経過後に取得し、復元できるものとした。これに限らず、第１ユーザの設定するユーザの預託ファイルの使用可能期間を、第１ユーザ本人の死亡時以降、怪我又は疾病により動けなくなった時等としてもよい。

（変形例６）
上記の実施の形態１から４では、第１端末４Ａ及び第２端末４Ｂにより実行される第１ユーザ及び第２ユーザをユーザ本人と認証する認証処理を、図１５、図２０、図２２、図２６に示したフローチャートの予め定められたステップで行うものとしている。しかしながら、これに限らず、第１端末４Ａ及び第２端末４Ｂが起動している間、随時バックグランドで第１ユーザ及び第２ユーザを認証するようにしておき、その認証結果を図１５、図２０、図２２、図２６に示したフローチャートの各ステップで用いるようにしてもよい。

（変形例７）
上記の実施の形態１から３では、図１５に示したフローチャートのステップＳ３８のファイル預け処理において、クラウド３へ第１ユーザの作成したユーザの預託ファイルを分散させるものとした。これに限らず、クラウド３へ第１ユーザの作成したユーザの預託ファイルを分散させるタイミングは、何時であってもよい。

（変形例８）
上記の実施の形態１から５では、ユーザの認証処理を図４Ｂに示した認証処理プログラム４７０、または、図３６に示した認証処理プログラム４７０Ａを実行することにより実現するものとした。この認証処理プログラム４７０、４７０Ａで行われる各ステップの全部または一部を、ＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）、システムＬＳＩ（Ｌａｒｇｅ－ｓｃａｌｅＩｎｔｅｇｒａｔｉｏｎ）等の半導体チップ、各種回路素子により構成される回路等により実現するようにしてもよい。

（変形例９）
上記実施の形態１では、図１７に示したステップＳ１２７において、第１端末４Ａの端末制御部４８が、第２端末４Ｂに対して第２ユーザの生体情報を要求し、要求した第２ユーザの生体情報をその後の処理に用いるものとした。これに限らず、第１端末４Ａの端末制御部４８は、第２端末４Ｂに対して、第２ユーザの生体情報に加えて、図１６に示したステップＳ１０６で認証用サーバ１に送信した第２ユーザの名称及び認証用サーバ１への登録に必要な情報を要求し、要求した第２ユーザの生体情報、名称等をその後の処理に用いるようにしてもよい。

（変形例１０）
実施の形態４では、図３１に示したステップＳ３８８において、第１端末４Ａの端末制御部４８が、第２端末４Ｂに対して第２ユーザの生体情報を要求し、要求した第２ユーザの生体情報をその後の処理に用いるものとした。これに限らず、第１端末４Ａの端末制御部４８は、第２端末４Ｂに対して、第２ユーザの生体情報に加えて、図３０に示したステップＳ３６４で第２ユーザのＩＤであると判定された（ステップＳ３６４；ＹＥＳ）第２ユーザのＩＤを要求し、要求した第２ユーザの生体情報及びＩＤをその後の処理に用いるようにしてもよい。

（変形例１１）
実施の形態４では、図３２に示したステップＳ３９５において第１端末４Ａの端末制御部４８は、暗号化した開示設定情報のデータに、第２ユーザの生体情報、及び、ユーザの預託ファイルの利用開始日時を追加するものとした。これに限らず、第１端末４Ａの端末制御部４８は、図３０に示したステップＳ３６４で第２ユーザのＩＤであると判定された（ステップＳ３６４；ＹＥＳ）第２ユーザのＩＤを第２端末４Ｂから取得し、第２ユーザの生体情報及びユーザの預託ファイルの利用開始日時とともに、暗号化した開示設定情報のデータに追加するようにしてもよい。

（変形例１２）
上記の実施の形態５において、ユーザの生体情報による認証として、ユーザの顔画像による認証と指紋認証とを使用した。これに限らず、ユーザの生体情報による認証は、声紋認証、虹彩認証等、いずれの方法であってもよい。また、上記の実施の形態においては、補助認証を使用する判定の条件としてユーザの顔画像による認証だけを使用したが、複数の生体情報により判定してもよい。

（変形例１３）
上記の実施の形態５において、ユーザの癖による補助認証の判定条件として信頼する接続先への接続、信頼するイベントの実行、ユーザの顔と端末４との顔の距離を用いた。これに限らず、他の方法を用いる又は含めても良い。例えば、ユーザ本人が所有するデバイスと端末４とをＢｌｕｅｔｏｏｔｈ（登録商標）で接続しているか否かを判定し、接続している場合にユーザ本人と認証する。Ｂｌｕｅｔｏｏｔｈ（登録商標）により接続される機器を使用するためには、機器同士を「ペアリング」する必要がある。このため、Ｂｌｕｅｔｏｏｔｈ（登録商標）による機器の接続は、個人の特定性が強く、補助認証として利用することでユーザ本人を認証することが可能である。また、さらに、図３７に示した位置検出部４６により取得したユーザの行動ルートのパターン、規則性等により、ユーザ本人か否かを判定し、行動ルートのパターン、規則性等が一致する場合にユーザ本人と認証としてもよい。

（変形例１４）
上記の実施の形態５においては、補助認証のうち、一つの認証が成功した場合に、ユーザ本人と認証した。これに限らず、複数の補助認証がすべて成功した場合にのみユーザ本人と認証するようにしてもよい。これにより、さらに認証の精度を高めることができる。

（変形例１５）
上記の実施の形態５において、生体認証及び補助認証が成功した場合、図３９Ａに示したフローチャートのステップＳ５１３において認証判定部４８６は、認証間隔を現在の認証間隔よりも長くし、認証の頻度を下げている。しかしながら、これに限らず、生体認証及び補助認証が成功した場合、認証間隔を現在の認証間隔よりも長くせずにおき、認証の頻度を下げなくてもよい。具体的には、図３９Ａに示したフローチャートのステップＳ５１３を行わなくてもよい。

（変形例１６）
上記の実施の形態５において、ユーザの認証が成功し、ユーザが継続的に端末４を操作し続ける状態、且つ端末４の傾きの変更がない場合、ユーザ本人が端末４を操作し続けているものと判断することができる。この場合、生体認証の認証閾値及び認証許容値を緩めに設定する、認証間隔を長くする等してもよい。こうすることにより、ユーザ本人に対する必要最低限の認証をバックグラウンドで行いつつ、端末４のリソースの利用を節約する事ができる。

（変形例１７）
上記の実施の形態５において、予め定められた認証間隔によりバックグラウンドでの認証を行うようにした。これに限らず、認証のタイミング及び間隔を定めず、ランダムにバックグラウンドで認証を行うようにしてもよい。例えば、端末４に搭載されている各種センサの何れかにより、端末４の位置の変更、傾きの変更などの空間的な変化があった場合に、随時認証を行うようにしてもよい。また、ユーザが端末４に対し特別な処理を行うための操作、イレギュラーな操作等を行った場合に、認証を行うようにしてもよい。

また、本発明の実施の形態１から５では、認証用サーバ１及び第１端末４Ａ及び第２端末４Ｂは、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。例えば、認証用サーバ１及び第１端末４Ａ及び第２端末４Ｂにおける各機能を実現するためのプログラムを、コンピュータが読み取り可能なＣＤ－ＲＯＭ（ＣｏｍｐａｃｔＤｉｓｃＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｃＲｅａｄＯｎｌｙＭｅｍｏｒｙ）などの記録媒体に格納して配布し、このプログラムをコンピュータにインストールすることにより、上述の各機能を実現することができるコンピュータを構成してもよい。そして、各機能をＯＳ（ＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ）とアプリケーションとの分担、またはＯＳとアプリケーションとの協同により実現する場合には、アプリケーションのみを記録媒体に格納してもよい。

本発明は、本発明の広義の精神と範囲を逸脱することなく、様々な実施の形態及び変形が可能とされるものである。また、上述した実施の形態は、この開示を説明するためのものであり、本発明の範囲を限定するものではない。すなわち、本発明の範囲は、実施の形態ではなく、請求の範囲によって示される。そして請求の範囲内及びそれと同等の開示の意義の範囲内で施される様々な変形が、この開示の範囲内とみなされる。

本出願は、２０１９年４月２４日に出願された日本国特許出願特願２０１９－０８２５０５号と、２０１９年１１月２８日に出願された日本国特許出願特願２０１９－２１５１５９号とに基づく。本明細書中に日本国特許出願特願２０１９－０８２５０５号と日本国特許出願特願２０１９－２１５１５９号との明細書、特許請求の範囲、図面全体を参照として取り込むものとする。

本発明は、情報処理システムに好適に利用することができる。

１認証用サーバ、２ネットワーク、３クラウド、３Ａ第１クラウド、３Ｂ第２クラウド、４端末、４Ａ第１端末、４Ｂ第２端末、１１サーバ制御部、１２サーバ記憶部、３０第１記憶部、３１第２記憶部、４０通信部、４１撮影部、４１Ａインカメラ、４１Ｂメインカメラ、４２音声入出力部、４２Ａスピーカ、４２Ｂ通話用のマイク（マイクロフォン）、４３傾き検出部、４４操作入力部、４５指紋検出部、４５Ａ左指紋センサ、４５Ｂ右指紋センサ、４６位置検出部、４７端末記憶部、４８端末制御部、４９表示部、５１プロセッサ、５２メモリ、５３表示コントローラ、５４表示機器、５５Ｉ／Ｏポート、５６記憶機器、５７通信機器、５８データバス、１００情報処理システム、１１０ユーザ認証処理プログラム、１２０、１２０Ａ暗号鍵情報データベース、４７０、４７０Ａ認証処理プログラム、４７１、４７１Ａ認証用生体情報データベース、４７２、４７２Ａ認証用ユーザの癖データベース、４７３スコア値テーブル、４７４ファイル管理処理プログラム、４７５ファイル管理テーブル、４７６、４７６Ａ第１暗号鍵データベース、４７７ファイル分割用暗号鍵テーブル、４７８ファイル預託処理プログラム、４７９、４７９Ａ第２暗号鍵データベース、４８０ファイル取得処理プログラム、４８１傾き情報テーブル、４８５認証用情報取得部、４８６認証判定部、４８７認証結果表示部、４８８認証用情報更新部。

Claims

第１ユーザの作成した情報のデータを含むファイルを、複数のファイルに分割して生成した複数の分割ファイルを、複数のクラウドに分散して記憶する第１端末と、
ユーザが本人であることを認証する認証用サーバと、
自らを使用する第２ユーザが前記認証用サーバで本人と認証された場合に、前記第１端末により複数のクラウドに分散された複数の分割ファイルを取得し、取得した前記複数の分割ファイルを復元して前記第１ユーザの作成した情報のデータを含むファイルを取得する第２端末と、
を備え、
前記第１端末及び前記第２端末は、自らを使用する前記第１ユーザ及び前記第２ユーザを認証するためのユーザ認証手段を備え、
前記ユーザ認証手段は、前記第１端末及び前記第２端末を使用する前記第１ユーザ及び前記第２ユーザから取得した第１認証用データに基づくスコア値と、前記第１端末及び前記第２端末を使用する前記第１ユーザ及び前記第２ユーザから取得した第２認証用データに基づくスコア値とを合計した値が、予め定められた合計値以上である場合に、前記第１端末及び前記第２端末を使用する前記第１ユーザ及び前記第２ユーザが本人であることを認証し、
前記第１端末は、前記複数の分割ファイルの前記第２ユーザによる利用開始日時を設定し、
前記認証用サーバは、前記第１端末から設定された前記利用開始日時を経過した場合に、前記第２端末に前記複数のクラウドに分散された複数の分割ファイルを取得させる、
情報処理システム。
前記第１認証用データは、前記第１端末及び前記第２端末を使用する前記第１ユーザ及び前記第２ユーザの生体情報に基づくデータであり、前記第２認証用データは、前記第１端末及び前記第２端末を使用する際の前記第１ユーザ及び前記第２ユーザの特有の振る舞いに基づくデータである、
請求項１に記載の情報処理システム。
第１ユーザの作成した情報のデータを含むファイルを、複数のファイルに分割して生成した複数の分割ファイルを、複数のクラウドに分散して記憶する第１端末と、
ユーザが本人であることを認証する認証用サーバと、
自らを使用する第２ユーザが前記認証用サーバで本人と認証された場合に、前記第１端末により複数のクラウドに分散された複数の分割ファイルを取得し、取得した前記複数の分割ファイルを復元して前記第１ユーザの作成した情報のデータを含むファイルを取得する第２端末と、
を備え、
前記第１端末及び前記第２端末は、自らを使用する前記第１ユーザ及び前記第２ユーザを認証するためのユーザ認証手段を備え、
前記ユーザ認証手段は、前記第１ユーザ及び前記第２ユーザから第１認証用データ及び第２認証用データを取得する認証用情報取得部と、前記認証用情報取得部で取得した第１認証用データ及び第２認証用データのうち一方または両方に基づいて認証が成功したか否かを判定する認証判定部と、を備え、
前記認証判定部は、バックグラウンドにおいて、前記認証用情報取得部で取得した第１認証用データに基づく認証値が予め定められた認証閾値を下回る場合に認証が成功したと判定し、前記第１認証用データに基づく認証値が認証閾値以上、且つ、予め定められた認証許容値以下の場合に、前記認証用情報取得部で取得した第２認証用データに基づいて認証が成功したか否かを判定する、
情報処理システム。
前記認証判定部は、さらに、前記第１認証用データに基づく認証値が前記認証許容値を上回る、または、前記第２認証用データに基づく認証を失敗と判定した場合に、前記認証用情報取得部で取得した第３認証用データに基づいて認証が成功したか否かを判定する、
請求項３に記載の情報処理システム。
前記第１端末は、前記複数の分割ファイルの前記第２ユーザによる利用開始日時を設定し、
前記認証用サーバは、前記第１端末から設定された前記利用開始日時を経過した場合に、前記第２端末に前記複数のクラウドに分散された複数の分割ファイルを取得させる、
請求項３または４に記載の情報処理システム。
第１端末および第２端末を含む情報処理システムが実行する情報処理方法であって、
前記第１端末が、第１ユーザの作成した情報のデータを含むファイルを、複数のファイルに分割して生成した複数の分割ファイルを、分散して格納するステップと、
前記第２端末が、第２ユーザが本人と認証された場合に、分散して格納された前記複数の分割ファイルを取得し、取得した前記複数の分割ファイルを復元して前記第１ユーザの作成した情報のデータを含むファイルを取得するステップと、
前記第１端末及び前記第２端末が、前記第１ユーザ及び前記第２ユーザから取得した第１認証用データに基づくスコア値と、前記第１ユーザ及び前記第２ユーザから取得した第２認証用データに基づくスコア値とを合計した値が、予め定められた合計値以上である場合に、前記第１ユーザ及び前記第２ユーザが本人であることを認証するステップと、
前記第１端末が、前記複数の分割ファイルの前記第２ユーザによる利用開始日時を設定するステップと、
ユーザが本人であることを認証する認証用サーバが、前記第１端末から設定された前記利用開始日時を経過した場合に、前記第２端末に分散された前記複数の分割ファイルを取得させるステップと、
を備える情報処理方法。
第１端末および第２端末を含む情報処理システムが実行する情報処理方法であって、
前記第１端末が、第１ユーザの作成した情報のデータを含むファイルを、複数のファイルに分割して生成した複数の分割ファイルを、分散して格納するステップと、
前記第２端末が、第２ユーザが本人と認証された場合に、分散して格納された前記複数の分割ファイルを取得し、取得した前記複数の分割ファイルを復元して前記第１ユーザの作成した情報のデータを含むファイルを取得するステップと、
前記第１端末及び前記第２端末が、バックグラウンドにおいて、前記第１ユーザ及び前記第２ユーザから取得した第１認証用データに基づく認証値が予め定められた認証閾値を下回る場合に認証が成功したと判定し、前記第１認証用データに基づく認証値が認証閾値以上、且つ、予め定められた認証許容値以下の場合に、前記第１ユーザ及び前記第２ユーザから取得した第２認証用データに基づいて、前記第１ユーザ及び前記第２ユーザの認証が成功したか否かを判定するステップと、
を備える情報処理方法。
コンピュータに、
第１ユーザの作成した情報のデータを含むファイルを、複数のファイルに分割して生成した複数の分割ファイルを、分散して格納する処理、
第２ユーザが本人と認証された場合に、分散して格納された前記複数の分割ファイルを取得し、取得した前記複数の分割ファイルを復元して前記第１ユーザの作成した情報のデータを含むファイルを取得する処理、
前記第１ユーザ及び前記第２ユーザから取得した第１認証用データに基づくスコア値と、前記第１ユーザ及び前記第２ユーザから取得した第２認証用データに基づくスコア値とを合計した値が、予め定められた合計値以上である場合に、前記第１ユーザ及び前記第２ユーザが本人であることを認証する処理、
前記複数の分割ファイルの前記第２ユーザによる利用開始日時を設定する処理、
前記利用開始日時を経過した場合に、分散された前記複数の分割ファイルを取得させる処理、
を実行させるためのプログラム。
コンピュータに、
第１ユーザの作成した情報のデータを含むファイルを、複数のファイルに分割して生成した複数の分割ファイルを、分散して格納する処理、
第２ユーザが本人と認証された場合に、分散して格納された前記複数の分割ファイルを取得し、取得した前記複数の分割ファイルを復元して前記第１ユーザの作成した情報のデータを含むファイルを取得する処理、
バックグラウンドにおいて、前記第１ユーザ及び前記第２ユーザから取得した第１認証用データに基づく認証値が予め定められた認証閾値を下回る場合に認証が成功したと判定し、前記第１認証用データに基づく認証値が認証閾値以上、且つ、予め定められた認証許容値以下の場合に、前記第１ユーザ及び前記第２ユーザから取得した第２認証用データに基づいて、前記第１ユーザ及び前記第２ユーザの認証が成功したか否かを判定する処理、
を実行させるためのプログラム。