JP7361711B2 - 制御方法、コンテンツ管理システム、及び、プログラム - Google Patents

Description

本発明は、制御方法、コンテンツ管理システム、プログラム、及び、データ構造に関する。

ネットワークを介したコンテンツの閲覧技術におけるセキュリティに関する技術がある（特許文献１参照）。

特開２００４－７８３０２号公報

しかしながら、コンテンツの閲覧の許否に関する情報の変化に適切に対応できないという問題がある。

そこで、本発明は、コンテンツの閲覧の許否を適切に管理する制御方法などを提供する。

本発明の一態様に係る制御方法は、分散台帳を保有している複数のサーバを備えるコンテンツ管理システムにおいて、当該複数のサーバのうちの一のサーバが実行する制御方法であって、提供装置が提供したコンテンツの識別情報と、前記コンテンツの閲覧の許否に関する許否情報とを含む第一トランザクションデータを前記提供装置から取得し、取得した前記第一トランザクションデータを、前記複数のサーバそれぞれが備える分散台帳に格納する。

なお、これらの包括的または具体的な態様は、システム、装置、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、装置、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。

本発明の制御方法は、コンテンツの閲覧の許否を適切に管理することができる。

図１は、実施の形態におけるコンテンツ管理システムの構成を模式的に示すブロック図である。 図２は、実施の形態における提供装置の構成を模式的に示すブロック図である。 図３は、実施の形態における保管装置の構成を模式的に示すブロック図である。 図４は、実施の形態におけるサーバの構成を模式的に示すブロック図である。 図５は、実施の形態における閲覧装置の構成を模式的に示すブロック図である。 図６は、実施の形態における画像の提供に用いられる格納要求トランザクションデータを示す説明図である。 図７は、実施の形態における条件種別を示す説明図である。 図８は、実施の形態における画像の閲覧要求に用いられる閲覧要求トランザクションデータを示す説明図である。 図９は、実施の形態における画像の閲覧許可に用いられる閲覧許否トランザクションデータを示す説明図である。 図１０は、実施の形態における条件種別の変更の要求に用いられる変更要求トランザクションデータを示す説明図である。 図１１は、実施の形態における条件種別の変更の記録に用いられる変更記録トランザクションデータを示す説明図である。 図１２は、実施の形態におけるサーバが画像の提供を受ける処理を示すフロー図である。 図１３は、実施の形態におけるサーバが画像の閲覧の許否を制御する処理を示すフロー図である。 図１４は、実施の形態におけるサーバが条件種別の変更を制御する処理を示すフロー図である。 図１５は、実施の形態における、提供装置がサーバに画像を提供する際の各装置の処理を示すシーケンス図である。 図１６は、実施の形態における、閲覧装置が画像の取得及び表示をする際の各装置の処理を示すシーケンス図である。 図１７は、実施の形態における、条件種別を変更する際の各装置の処理を示すシーケンス図である。 図１８は、ブロックチェーンのデータ構造を示す説明図である。 図１９は、トランザクションデータのデータ構造を示す説明図である。

（本発明の基礎となった知見）
本発明者は、「背景技術」の欄において記載した、コンテンツの閲覧技術に関し、以下の問題が生じることを見出した。

例えば、複数人の人が被写体として映っている写真のコンテンツがウェブサイトにアップロードされ得る。このように複数人の人が被写体として映っている写真は、その人が同一の時間及び場所で一緒に過ごしたことを示しており、複数人の人同士の何らかの関係を有していることを暗示するものといえる。その写真がウェブサイトにアップロードされたことは、その写真が公表されることに問題がないと判断されたことによると考えられる。

しかしながら、コンテンツの閲覧の許否に関する情報の時間経過による変化に適切に対応できないという問題がある。

具体的には、その写真は、アップロードされた当初には、他人（言い換えれば、被写体である人以外の人）が見ても問題ない写真である場合であっても、時間の経過とともに人間関係の変化又はその他の要因によって、特定の他人または不特定の他人に見られると問題がある状態になることがある。なお、仮にその写真の扱いを、被写体である人の間で約束したとしても、その約束が必ずしも守られるとは限らない。

そこで、本発明は、コンテンツの閲覧の許否を適切に管理する制御方法などを提供する。

このような問題を解決するために、本発明の一態様に係る制御方法は、分散台帳を保有している複数のサーバを備えるコンテンツ管理システムにおいて、当該複数のサーバのうちの一のサーバが実行する制御方法であって、提供装置が提供したコンテンツの識別情報と、前記コンテンツの閲覧の許否に関する許否情報とを含む第一トランザクションデータを前記提供装置から取得し、取得した前記第一トランザクションデータを、前記複数のサーバそれぞれが備える分散台帳に格納する。

上記態様によれば、サーバは、コンテンツの閲覧の許否に関する情報をトランザクションデータとして分散台帳に格納する。分散台帳に格納されたトランザクションデータの改ざんが実質的に不可能であることから、コンテンツの閲覧の許否に関する情報が、その情報の変更の履歴も含めて、適切に管理される。よって、本発明に係る制御方法は、コンテンツの閲覧の許否を適切に管理することができる。

例えば、前記コンテンツ管理システムは、さらに、前記提供装置が提供した前記コンテンツが格納される保管装置を備え、前記制御方法は、前記コンテンツを閲覧するための閲覧要求を閲覧装置から受信した場合に、前記分散台帳の参照を少なくとも行うことで、前記閲覧要求に係るコンテンツの閲覧を許可するか否かを決定し、前記コンテンツの閲覧を許可すると決定された場合に、前記保管装置から前記閲覧装置に前記コンテンツを提供してもよい。

上記態様によれば、サーバは、分散台帳に格納されたトランザクションデータを参照し、コンテンツの閲覧を許可するか否かを決定する。トランザクションデータの改ざんが実質的に不可能であることから、そのようなトランザクションデータに基づいてなされるコンテンツの閲覧の許可の決定が適切なものとなる。よって、本発明に係る制御方法は、コンテンツの閲覧の許否を適切に管理することができる。

例えば、前記許否情報は、前記コンテンツについて既に定められている権限者による承諾を得た場合に前記コンテンツの閲覧を許可するという条件を含み、前記制御方法は、前記コンテンツを閲覧するための閲覧要求を閲覧装置から受信した場合に、さらに、前記コンテンツの閲覧を承諾することを示す情報を前記権限者から受信した場合に、前記条件を満たすことに基づいて前記閲覧要求に係るコンテンツの閲覧を許可すると決定してもよい。

上記態様によれば、サーバは、権限者による承諾の下でコンテンツの閲覧が許可されるように管理されているコンテンツについては、コンテンツの閲覧要求があった場合に権限者による承諾を得たときに、その閲覧を許可する。また、権限者による承諾の下で閲覧が許可される、という条件がトランザクションデータとして分散台帳により適切に管理される。このようにして、コンテンツ管理システムは、権限者の承諾を得ることを併用しながら、コンテンツの閲覧の許否を適切に管理することができる。

例えば、前記コンテンツは、１以上の人が被写体として撮像された写真である画像または動画のコンテンツであり、前記許否情報は、前記権限者としての前記１以上の人のうちの所定の人数であって、前記コンテンツの閲覧を許可のために承諾を得ることが必要である人数を含んでもよい。

上記態様によれば、コンテンツとしての写真または動画の被写体が権限者となり、サーバは、権限者である被写体の承諾の下で、コンテンツの閲覧の許否を制御する。このようにして、コンテンツ管理システムは、コンテンツの被写体の承諾を得ることを併用しながら、コンテンツの閲覧の許否を適切に管理することができる。

例えば、前記制御方法は、さらに、前記許否情報の変更に関する情報を含む第二トランザクションデータを受信し、受信した前記第二トランザクションデータを、前記複数のサーバそれぞれが備える分散台帳に格納してもよい。

上記態様によれば、サーバは、許否情報の変更をトランザクションデータとして分散台帳に格納する。分散台帳に格納されたトランザクションデータの改ざんが実質的に不可能であることから、許否情報に関する情報が、その情報の変更の履歴も含めて、適切に管理される。よって、本発明に係る制御方法は、コンテンツの閲覧の許否を適切に管理することができる。

例えば、前記制御方法は、受信した前記第二トランザクションデータに、前記コンテンツの閲覧を許可のために承諾を得ることが必要である人数を多くする変更に関する前記情報が含まれている場合には、前記１以上の人のうち少なくとも１人から前記変更を承諾することを示す情報を得たときに当該変更を適用し、受信した前記第二トランザクションデータに、前記コンテンツの閲覧を許可のために承諾を得ることが必要である人数を少なくする変更に関する前記情報が含まれている場合には、前記１以上の人の全員から前記変更を承諾することを示す情報を得たときに当該変更を適用してもよい。

上記態様によれば、サーバは、コンテンツの閲覧の許可のために承諾を得ることが必要である人数を多くする場合と、少なくする場合とのそれぞれで適切な承諾のもとで当該変更を適用する。上記人数を多くする変更は、その閲覧のための制約が厳しくなる方向であるので、比較的軽い承諾の下で適用され得る。一方、上記人数を少なくする変更は、その閲覧のための制約が緩くなる方向であるので、比較的重い承諾の下で適用され得る。コンテンツ管理システムは、このような変更の性質を利用して、変更内容に応じた重さの承諾の下で許否情報の変更を適用することができる。よって、本発明に係る制御方法は、許否情報の変更の性質を利用してより柔軟にコンテンツの閲覧の許否を適切に管理することができる。

例えば、前記制御方法に係る処理の一部又は全部は、前記複数のサーバの分散台帳に格納されたスマートコントラクトコードを実行することでなされてもよい。

上記態様によれば、サーバは、コンテンツの閲覧の許否に関する情報の管理などの一連の処理が、分散台帳に格納されたスマートコントラクトコードに基づいて、他の人又は他のシステムを介在することなく、自動的に実行される。よって、スマートコントラクトにより一連の処理がより一層高い安全性をもって実現される。よって、コンテンツの閲覧の許否を、より一層適切に管理することができる。

例えば、前記第一トランザクションデータを前記複数のサーバそれぞれが備える分散台帳に格納する際には、前記複数のサーバそれぞれによるコンセンサスアルゴリズムの実行を経て、前記分散台帳に格納してもよい。

上記態様によれば、サーバは、コンセンサスアルゴリズムの実行を得て分散台帳を格納する。よって、コンセンサスアルゴリズムの実行を得ることによって、より容易に、コンテンツの閲覧の許否を適切に管理することができる。

また、本発明の一態様に係るコンテンツ管理システムは、分散台帳を保有している複数のサーバを備えるコンテンツ管理システムであって、提供装置が提供したコンテンツの識別情報と、前記コンテンツの閲覧の許否に関する許否情報とを含む第一トランザクションデータを前記提供装置から取得する処理部と、取得した前記第一トランザクションデータを、前記複数のサーバそれぞれが備える分散台帳に格納する台帳管理部とを備える。

上記態様により、上記制御方法と同様の効果を奏する。

また、本発明の一態様に係るプログラムは、上記の制御方法をコンピュータに実行させるためのプログラムである。

上記態様により、上記制御方法と同様の効果を奏する。

また、本発明の一態様に係るデータ構造は、分散台帳を保有している複数のサーバを備えるコンテンツ管理システムにおいて用いられるデータ構造であって、前記データ構造は、前記分散台帳に格納される第一トランザクションデータが有するデータ構造であり、前記第一トランザクションデータは、提供装置が提供したコンテンツであって、前記コンテンツ管理システムによって管理されるコンテンツを一意に特定し得る識別情報と、前記コンテンツの閲覧の許否に関する許否情報と、前記コンテンツの閲覧の許否に関する承諾をすべき権限者を示す情報と、前記コンテンツの提供日時を示す情報と、前記提供装置を用いて前記コンテンツを提供した提供者の電子署名とを含む。

上記態様により、上記制御方法と同様の効果を奏する。

なお、これらの包括的または具体的な態様は、システム、装置、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、装置、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。

以下、実施の形態について、図面を参照しながら具体的に説明する。

なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

（実施の形態）
本実施の形態において、コンテンツの閲覧の許否を適切に管理するコンテンツ管理システム１およびその制御方法などについて説明する。コンテンツ管理システム１が管理するコンテンツが、人が映っている写真である画像である場合を例として説明するが、コンテンツは、人が映っている動画、人が作成した写真又は動画などであってもよい。

図１は、本実施の形態におけるコンテンツ管理システム１の構成を模式的に示すブロック図である。

図１に示されるように、コンテンツ管理システム１は、提供装置１０と、保管装置２０と、サーバ３０Ａ、３０Ｂ及び３０Ｃと、端末４０Ａ及び４０Ｂと、閲覧装置５０とを備える。コンテンツ管理システム１が備える各装置は、ネットワークＮによって互いに通信可能に接続されている。ネットワークＮは、どのような通信回線又はネットワークから構成されてもよく、例えば、インターネット、携帯電話のキャリアネットワークなどを含む。サーバ３０Ａ、３０Ｂ及び３０Ｃを「サーバ３０Ａ等」ともいう。端末４０Ａ及び４０Ｂを「端末４０Ａ等」ともいう。

提供装置１０は、コンテンツ管理システム１で管理することになるコンテンツとしての画像を提供する装置である。提供装置１０は、画像を保管装置２０にネットワークＮを介して送信する。また、提供装置１０は、上記画像の識別情報と、上記画像の閲覧の許否を示す許否情報（後述）とを含むトランザクションデータをサーバ３０Ａに送信する。なお、トランザクションデータをサーバ３０Ａに送信する代わりに、サーバ３０Ｂ又はサーバ３０Ｃに送信してもよい。以降も同様である。

保管装置２０は、提供装置１０により提供された画像を保管している装置である。

サーバ３０Ａは、分散台帳を保有している複数のサーバ３０Ａ、３０Ｂ及び３０Ｃのうちの１つである。サーバ３０Ａが保有している分散台帳には、画像の識別情報と、当該画像の許否情報とを含むトランザクションデータが格納される。また、上記分散台帳には、許否情報の履歴、閲覧装置５０による閲覧要求の履歴などが格納されている。サーバ３０Ａは、画像の閲覧要求を閲覧装置５０からネットワークＮを介して受けると、その閲覧を許可するか否かを決定し、閲覧を許可する場合には、保管装置２０から閲覧装置５０にネットワークＮを介して画像を送信させる。

サーバ３０Ｂ及び３０Ｃは、それぞれ、サーバ３０Ａと同じ機能を有する装置であり、サーバ３０Ａとは独立に動作する。なお、サーバの台数は、３に限られず、複数であればよい。また、サーバ３０Ａ等同士は、通信可能に接続されており、ネットワークＮを介して接続されていてもよい。

端末４０Ａは、コンテンツ管理システム１により管理されている画像について定められている権限者Ａの情報端末（パーソナルコンピュータ又はスマートフォン等）である。権限者Ａは、例えば、提供装置１０が提供した画像である写真に映っている被写体である人である。端末４０Ａは、サーバ３０Ａ等から画像の閲覧の承諾の依頼を受けると、その承諾をするか否かを問い合わせる情報を権限者Ａに提示し、承諾するか否かを示す情報をネットワークＮを介してサーバ３０Ａに提供する。

端末４０Ｂは、端末４０Ａと同じ機能を有する、権限者Ｂの情報端末である。端末４０Ｂは、端末４０Ａとは独立に動作する。なお、端末４０Ａなどの台数は２に限られず、権限者の人数と同じ数だけ存在する。

閲覧装置５０は、保管装置２０が保管している画像の閲覧のための装置である。閲覧装置５０は例えばユーザＵの情報端末である。閲覧装置５０は、ユーザＵから画像の閲覧の要求を受けると、その要求が許可された場合に、保管装置２０から画像をネットワークＮを介して受信して表示する。

以降において、コンテンツ管理システム１が備える各装置の構成について詳細に説明する。

図２は、本実施の形態における提供装置１０の構成を模式的に示すブロック図である。

図２に示されるように、提供装置１０は、取得部１１と、入力部１２と、提供部１３とを備える。提供装置１０が備える上記機能部は、例えばＣＰＵがメモリを用いてプログラムを実行することで実現され得る。

取得部１１は、コンテンツ管理システム１で管理することになる画像を取得する処理部である。取得部１１が画像を取得する方法はさまざまな方法がある。例えば、取得部１１がカメラ１５と記憶装置１６とを有し、カメラ１５で撮影することで画像を生成することによって画像を取得し、取得した画像を記憶装置１６に一旦保存している。そして、取得部１１は、記憶装置１６に記憶している画像ファイルを入力部１２からの制御のもとで提供部１３に渡す。

なお、取得部１１は、カメラ１５と記憶装置１６とを有する構成に限定されない。例えば、取得部１１は、通信インタフェースを有し、通信インタフェースによって、提供装置１０の外部から通信回線を経由して画像を取得してもよい。

入力部１２は、提供装置１０のユーザから提供する画像を特定する情報の入力を受ける処理部である。入力部１２は、入力用インタフェース（キーボード、マウス、パッチパネル等）（不図示）を介して提供装置１０のユーザから、記憶装置１６に記憶されている画像のうち保管装置２０に提供する画像の選択を受ける。入力部１２は、上記選択を受けた場合、取得部１１を制御することで、提供すべき画像を取得部１１から提供部１３に提供させる。

提供部１３は、画像と当該画像の識別情報とを保管装置２０に提供し、また、提供した画像の識別情報と当該画像の閲覧の許否に関する許否情報とを含む格納要求トランザクションデータをサーバ３０Ａ等に送信する処理部である。画像の識別情報は、当該画像を他の画像から一意に特定できる情報であればどのようなものであってもよい。また、許否情報は、当該画像の他人による閲覧を許可するか否かを示す情報である。具体的には、許否情報は、当該画像を他人に、権限者の承諾なく閲覧可能とする、権限者のうちの少なくとも１人による承諾があれば閲覧可能とする、権限者の全員の承諾があれば閲覧可能とする、又は、閲覧不可能とする（言い換えれば、権限者の承諾があっても閲覧可能としない）、などの複数の条件種別のうちのどれを選択するかを示す情報である。

図３は、本実施の形態における保管装置２０の構成を模式的に示すブロック図である。

図３に示されているように、保管装置２０は、取得部２１と、記憶装置２２と、提供部２３とを備える。保管装置２０が備える上記機能部は、例えばＣＰＵがメモリを用いてプログラムを実行することで実現され得る。

取得部２１は、提供装置１０から画像と当該画像の識別情報とを取得する処理部である。取得部２１は、取得した画像と、取得した識別情報とを対応付けて記憶装置２２に格納する。

記憶装置２２は、提供装置１０から提供された画像と識別情報とを記憶している記憶装置である。記憶装置２２は、取得部２１により画像と識別情報とが書き込まれ、提供部２３によって読み出される。

提供部２３は、記憶装置２２に記憶されている画像を閲覧装置５０に提供する処理部である。提供部２３は、制御部２４を有している。

制御部２４は、記憶装置２２に記憶されている画像を提供部２３が閲覧装置５０に提供するか否かを制御する。このとき、制御部２４は、サーバ３０Ａ等によって閲覧が許可された画像の識別情報をサーバ３０Ａ等から取得する。そして、制御部２４は、取得した識別情報により特定される画像を閲覧装置５０に提供すると判断し、一方、そうでない画像を閲覧装置５０に提供しないと判断する。

提供部２３は、閲覧装置５０に記憶されている画像のうち、閲覧装置５０に送信すると判断された画像を読み出して、閲覧装置５０に送信することによって提供する。

図４は、本実施の形態におけるサーバ３０Ａの構成を模式的に示すブロック図である。なお、サーバ３０Ｂ及び３０Ｃもサーバ３０Ａと同じ構成を備える。

図４に示されるように、サーバ３０Ａは、処理部３１と、台帳管理部３２と、承諾取得部３３とを備える。サーバ３０Ａが備える上記機能部は、例えばＣＰＵがメモリを用いてプログラムを実行することで実現され得る。

処理部３１は、画像の閲覧の許否と、画像の閲覧の許否条件とを管理する処理を行う処理部である。処理部３１は、コンテンツ管理システム１内の装置から各種要求又は各種トランザクションデータを受信した場合に、その要求又はトランザクションデータを処理する。具体的には、処理部３１は、以下の処理を行う。

（１）処理部３１は、画像の格納要求のトランザクションデータ（格納要求トランザクションデータ、又は、第一トランザクションデータともいう）を台帳管理部３２に提供する。具体的には、処理部３１は、提供装置１０が保管装置２０に提供した画像の識別情報と、当該画像の閲覧の許否に関する許否情報とを含む格納要求トランザクションデータを提供装置１０から受信する。そして、処理部３１は、受信した格納要求トランザクションデータを台帳管理部３２に提供する。

（２）処理部３１は、画像の閲覧要求があったことを示すトランザクションデータ（閲覧要求トランザクションデータともいう）を台帳管理部３２に提供する。具体的には、処理部３１は、画像の閲覧要求を含む通信データを閲覧装置５０から受信する。その場合、処理部３１は、閲覧要求があったことを示す閲覧要求トランザクションデータを生成して台帳管理部３２に提供する。

（３）処理部３１は、画像の閲覧を許可した、又は、許可しなかったことを示すトランザクションデータ（閲覧許否トランザクションデータともいう）を台帳管理部３２に提供する。具体的には、処理部３１は、画像の閲覧要求を含む通信データを受信した場合、閲覧要求に係る画像の閲覧の許否条件を参照する。そして、権限者の承諾があればその画像の閲覧が許可される場合に、承諾取得部３３によって権限者の承諾を取得することを試行する。この試行によって、承諾取得部３３が承諾を取得した場合、処理部３１は、画像の閲覧を許可すると決定し、画像の閲覧を許可することを示す閲覧許否トランザクションデータを生成して台帳管理部３２に提供する。また、処理部３１は、閲覧を許可する画像の識別情報を保管装置２０に提供する。

一方、承諾取得部３３が必要な承諾を取得できなかった場合、処理部３１は、画像の閲覧を許可しないと決定し、画像の閲覧を許可しないことを示す閲覧許否トランザクションデータを生成して台帳管理部３２に提供する。

（４）処理部３１は、許否情報の変更要求があったことを示すトランザクションデータ（変更要求トランザクションデータ、又は、第二トランザクションデータともいう）を台帳管理部３２に提供する。具体的には、処理部３１は、許否情報の変更要求を含む通信データを受信した場合に、許否情報の変更要求があったことを示す変更要求トランザクションデータを生成して台帳管理部３２に提供する。

（５）処理部３１は、許否情報の変更を許可した、又は、許可しなかったことを示すトランザクションデータ（変更記録トランザクションデータともいう）を台帳管理部３２に提供する。具体的には、処理部３１は、上記（４）で画像の許否情報の変更要求を含む通信データを受信した場合、その変更要求に含まれる画像の変更前後の条件種別を参照する。そして、その変更が、閲覧のために承諾が必要な所定人数を多くする変更である場合には、権限者の少なくとも１人の承諾を得たときにその変更を適用すると決定する。一方、その変更が、閲覧のために承諾が必要な所定人数を少なくする変更である場合には、権限者の全員の承諾を得たときにその変更を適用すると決定する。

そして、処理部３１は、承諾取得部３３によって権限者の承諾を取得することを試行する。この試行によって、変更に必要な権限者の承諾を承諾取得部３３が取得した場合、処理部３１は、条件種別の変更を適用し、条件種別を変更したことを示す変更記録トランザクションデータを生成して台帳管理部３２に提供する。一方、変更に必要な権限者の承諾を承諾取得部３３が取得できなかった場合、処理部３１は、条件種別の変更を適用しないと決定し、条件種別の変更を適用しないことを示す変更記録トランザクションデータを生成して台帳管理部３２に提供する。

台帳管理部３２は、コンテンツである画像の管理のための分散台帳を管理している処理部である。台帳管理部３２は、処理部３１から提供された各種トランザクションデータを分散台帳に格納する。分散台帳には、過去から現在までの各種トランザクションデータが格納される。分散台帳に記録された情報の改ざんが困難であるという特性に基づいて、各種トランザクションデータが改ざんされないように管理されている。

台帳管理部３２は、格納部３７と、台帳記憶部３８とを有する。

格納部３７は、分散台帳に格納すべき新しいトランザクションデータを台帳記憶部３８に格納する処理部である。格納部３７は、分散台帳に種別に応じた方式で新しいトランザクションデータを台帳記憶部３８に格納する。また、格納部３７は、サーバ３０Ａ等のうちの他のサーバの格納部３７と通信データを送受信し、他のサーバの台帳記憶部３８にも上記新しいトランザクションデータを格納させる。例えば、格納部３７は、分散台帳がブロックチェーンである場合には、新しいトランザクションデータを含むブロックを生成し、生成したブロックをサーバ３０Ａ等の間で同期をとったうえで、上記ブロックを台帳記憶部３８に格納する。

台帳記憶部３８は、分散台帳を記憶している記憶装置である。台帳記憶部３８に格納されている分散台帳は、１以上のトランザクションデータを記憶しており、ハッシュ値などの特性を用いて改ざんが困難であるように管理されている（後述）。

なお、分散台帳は、例えばブロックチェーンであり、この場合を例として説明するが、他の方式の分散台帳（例えば、ＩＯＴＡ又はハッシュグラフ等）を採用することも可能である。なお、分散台帳は、新しいデータの格納の際にコンセンサスアルゴリズム（例えば、ＰＢＦＴ（Ｐｒａｃｔｉｃａｌ Ｂｙｚａｎｔｉｎｅ Ｆａｕｌｔ Ｔｏｌｅｒａｎｃｅ）、ＰｏＷ（Ｐｒｏｏｆ ｏｆ Ｗｏｒｋ）又はＰｏＳ（Ｐｒｏｏｆ ｏｆ Ｓｔａｋｅ））を実行するものであってもよいし、実行しないものであってもよい。コンセンサスアルゴリズムを実行しない分散台帳技術の一例としてＨｙｐｅｒｌｅｄｇｅｒ ｆａｂｒｉｃがある。

承諾取得部３３は、画像の閲覧の承諾を取得する処理部である。承諾取得部３３は、処理部３１による制御の下、画像の閲覧に権限者の承諾が必要である場合に、承諾を依頼する通信データをその権限者が保有する端末４０Ａ等に送信する。その後、承諾取得部３３は、上記権限者が承諾する場合には、送信した通信データに対する応答として、画像の閲覧を承諾することを示す情報を含む通信データを受信する。

なお、サーバ３０Ａの上記処理の一部又は全部、例えば処理部３１及び承諾取得部３３の処理の一部又は全部は、サーバ３０Ａ等の分散台帳に格納されたスマートコントラクトコードを実行することでなされてもよい。このようにすれば、上記処理がスマートコントラクトコードに基づいて自動的に実行される利点がある。

図５は、本実施の形態における閲覧装置５０の構成を模式的に示すブロック図である。

図５に示されるように、閲覧装置５０は、入力部５１と、要求部５２と、取得部５３と、表示部５４とを備える。閲覧装置５０が備える上記機能部は、例えばＣＰＵがメモリを用いてプログラムを実行することで実現され得る。

入力部５１は、閲覧装置５０のユーザＵから、ユーザＵが閲覧したい画像の識別情報の入力を受ける処理部である。入力部５１は、入力用インタフェース（キーボード、マウス、パッチパネル等）（不図示）を介して閲覧装置５０のユーザＵから、ユーザＵが閲覧したい画像の識別情報の入力を受ける。例えば、入力部５１は表示画面に画像のファイル名を表示し、その表示に対する操作（マウスによるクリック操作）による入力を受ける。

要求部５２は、画像の閲覧を要求する処理部である。要求部５２は、入力部５１が受けた入力に係る画像の閲覧を要求する閲覧要求トランザクションデータを生成して、サーバ３０Ａ等に送信する。

取得部５３は、要求部５２が閲覧要求トランザクションデータを送信した後、閲覧要求に係る画像の閲覧が許可される場合に、その画像を保管装置２０から取得する。

表示部５４は、取得部５３が取得した画像を表示する表示装置である。表示部５４は、液晶ディスプレイ又は有機ＥＬ（Ｅｌｅｃｔｒｏ－Ｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイなどである。

図６は、本実施の形態における格納要求トランザクションデータＤ１及びＤ２を示す説明図である。図６の１行が、１つの格納要求トランザクションデータを示している。

図６に示される格納要求トランザクションデータは、画像ＩＤと、条件種別と、権限者と、提供日時と、署名とを含む。

画像ＩＤは、提供装置１０から保管装置２０に提供された画像の識別子である。

条件種別は、上記画像に設定される条件種別を示す情報である。

権限者は、上記画像の閲覧を許可する権限を有する人を特定し得る情報である。

提供日時は、上記画像が提供された日時を示す情報である。

署名は、当該格納要求トランザクションデータを生成した装置又は人が付した電子署名である。

図６に示される格納要求トランザクションデータＤ１は、画像ＩＤが「００２」である画像の提供の際に提供装置１０がサーバ３０Ａ等に送信するトランザクションデータである。格納要求トランザクションデータＤ１は、条件種別が「１」であり、権限者が「Ａ，Ｂ」であり、提供日時が「２０１８／０７／２５ １８：１５：００」であり、署名として上記画像を提供したＡの電子署名を有する。

図６に示される格納要求トランザクションデータＤ２は、画像ＩＤが「０２１」である画像の提供の際に提供装置１０がサーバ３０Ａ等に送信するトランザクションデータである。格納要求トランザクションデータＤ２は、条件種別が「３」であり、権限者が「Ｘ，Ｙ」であり、提供日時が「２０１８／０７／２５ ２２：００：００」であり、署名として上記画像を提供したＸの電子署名を有する。

なお、図６に示される格納要求トランザクションデータは、提供装置１０が提供したコンテンツである画像であって、コンテンツ管理システム１によって管理される画像を一意に特定し得る識別情報と、上記画像の閲覧の許否に関する許否情報と、上記画像の閲覧の許否に関する承諾をすべき権限者を示す情報と、上記画像の提供日時を示す情報と、提供装置１０を用いてコンテンツを提供した提供者の電子署名とを含むデータ構造を有するともいえる。

図７は、本実施の形態における条件種別を示す説明図である。図７に示される条件種別は、図６に示される格納要求トランザクションデータＤ１又Ｄ２の条件種別として用いられる。

図７に示されるように、条件種別は、少なくとも４つの種別がある。また、各条件種別について、承諾が必要な権限者の人数の便宜的な表記も、図７に示されている。なお、ここでは、画像である写真に２人の被写体が映っていて、被写体が権限者である場合を例として説明する。

条件種別１は、権限者の承諾を必要とせずに他人が当該写真を閲覧することができるという条件種別である。条件種別１については、承諾が必要な権限者の人数はゼロである。

条件種別２は、権限者のうちの１人の承諾がある場合に、他人が当該画像を閲覧することができるという条件種別である。条件種別２については、承諾が必要な権限者の人数は１である。

条件種別３は、権限者の全員つまり２人の承諾がある場合に、他人が当該画像を閲覧することができるという条件種別である。条件種別３については、承諾が必要な権限者の人数は２である。

条件種別４は、他人が当該画像を閲覧することができないという条件種別である。条件種別４については、承諾が必要な権限者の人数は、便宜上、無限大と表現できる。これは、何人の許可があっても閲覧が可能でないということであり、つまり閲覧が許可されないということを意味している。

なお、図７に示される条件種別は、コンテンツごとにユーザによって定義され得る。

図８は、本実施の形態における画像の閲覧要求があったことを示す閲覧要求トランザクションデータＤ３を示す説明図である。

図８に示される閲覧要求トランザクションデータＤ３は、画像ＩＤと、閲覧の要求者と、要求日時と、署名とを含む。

画像ＩＤは、閲覧の要求がなされた画像の識別子である。

閲覧の要求者は、画像の閲覧の要求をした人を特定し得る情報である。

要求日時は、画像の閲覧の要求がなされた日時を示す情報である。

署名は、当該閲覧要求トランザクションデータを生成した装置又は人が付した電子署名である。

図８に示される閲覧要求トランザクションデータＤ３は、画像ＩＤが「００２」である画像について、閲覧の要求があったことを示すトランザクションデータである。閲覧要求トランザクションデータＤ３は、要求者がＰであり、要求日時が「２０１８／０７／３０ ２１：１０：００」であり、署名として閲覧要求トランザクションデータＤ３を生成したサーバ３０Ａの電子署名を有する。

図９は、本実施の形態における画像の閲覧を許可したことを示す閲覧許否トランザクションデータＤ４を示す説明図である。

図９に示される閲覧許否トランザクションデータＤ４は、画像ＩＤと、承諾者と、承諾日時と、署名とを含む。

画像ＩＤは、閲覧の許可がなされた画像の識別子である。

承諾者は、画像の閲覧の承諾をした人を特定し得る情報である。

許可日時は、画像の閲覧の承諾に基づいて、画像の閲覧の許可がなされた日時を示す情報である。

署名は、当該閲覧許否トランザクションデータを生成した装置又は人が付した電子署名である。

図９に示される閲覧許否トランザクションデータＤ４は、画像ＩＤが「０２１」である画像について、閲覧が許可されたことを示すトランザクションデータである。閲覧許否トランザクションデータＤ４は、承諾者がＸ及びＹであり、許可日時が「２０１８／０７／３０ ２１：２０：００」であり、署名として閲覧許否トランザクションデータＤ４を生成したサーバ３０Ａの電子署名を有する。

図１０は、本実施の形態における許否情報の変更の要求に用いられる変更要求トランザクションデータＤ５及びＤ６を示す説明図である。図１０の１行が、１つの変更要求トランザクションデータを示している。

図１０に示される変更要求トランザクションデータは、画像ＩＤと、変更の要求者と、要求日時と、変更前の条件種別と、変更後の条件種別と、署名とを含む。

画像ＩＤは、許否情報が変更される画像の識別子である。

変更の要求者は、許否情報の変更を要求する人を特定し得る情報である。

要求日時は、許否情報の変更の要求がなされた日時を示す情報である。

変更前の条件種別は、当該変更要求トランザクションデータによって変更が要求される前の条件種別を示す情報である。

変更前の条件種別は、当該変更要求トランザクションデータによって変更が要求された後の条件種別を示す情報である。

署名は、当該変更要求トランザクションデータを生成した装置又は人が付した電子署名である。

図１０に示される変更要求トランザクションデータＤ５は、画像ＩＤが「００２」である画像の許否情報の変更のためのトランザクションデータである。変更要求トランザクションデータＤ５は、変更の要求者が「Ｐ」であり、要求日時が「２０１８／０８／１５ ０２：００：００」であり、変更前の条件種別が「１」であり、変更後の条件種別が「２」であり、署名として、変更の要求者Ｐの電子署名を有する。

また、図１０に示される変更要求トランザクションデータＤ６は、画像ＩＤが「０２１」である画像の条件種別の変更のためのトランザクションデータである。変更要求トランザクションデータＤ６は、変更の要求者が「Ａ」であり、要求日時が「２０１８／０８／１５ ２２：３０：００」であり、変更前の条件種別が「２」であり、変更後の条件種別が「１」であり、署名として、変更の要求者Ａの電子署名を有する。

図１１は、本実施の形態における許否情報の変更を許可したことを示す変更記録トランザクションデータＤ７及びＤ８を示す説明図である。図１１の１行が、１つの変更記録トランザクションデータを示している。

図１１に示される変更記録トランザクションデータは、画像ＩＤと、変更の要求者と、変更の承諾者と、変更日時と、変更前の条件種別と、変更後の条件種別と、署名とを含む。

画像ＩＤは、許否情報が変更された画像の識別子である。

変更の要求者は、拒否情報の変更を要求した人を特定し得る情報である。

変更の承諾者は、許否情報の変更を承諾した人を特定し得る情報である。

変更日時は、許否情報の変更がなされた日時を示す情報である。

変更前の条件種別は、変更が要求される前の条件種別を示す情報である。

変更後の条件種別は、変更が要求された後の条件種別を示す情報である。

署名は、当該変更記録トランザクションデータを生成した装置又は人が付した電子署名である。

図１１に示される変更記録トランザクションデータＤ７は、画像ＩＤが「００２」である画像の条件種別の変更の記録に用いられるトランザクションデータである。変更記録トランザクションデータＤ７は、変更の要求者が「Ｐ」であり、変更の承諾者が「Ａ」であり、変更日時が「２０１８／０８／１５ ０２：０５：００」であり、変更前の条件種別が「１」であり、変更後の条件種別が「２」であり、署名としてサーバ３０Ａの電子署名を有する。

また、図１１に示される変更記録トランザクションデータＤ８は、画像ＩＤが「０２１」である画像の条件種別の変更の際に用いられるトランザクションデータである。変更記録トランザクションデータＤ８は、変更の要求者が「Ａ」であり、変更の承諾者が「Ａ，Ｂ」であり、変更日時が「２０１８／０８／１５ ２２：３５：００」であり、変更前の条件種別が「２」であり、変更後の条件種別が「１」であり、署名としてサーバ３０Ａの電子署名を有する。

以上のように構成されたコンテンツ管理システム１の処理について以下で説明する。

図１２は、本実施の形態におけるサーバ３０Ａ等が格納要求トランザクションデータを受信する処理を示すフロー図である。

図１２に示されるように、ステップＳ１０１において、処理部３１は、格納要求トランザクションデータを受信したか否かを判定する。格納要求トランザクションデータを受信した場合（ステップＳ１０１でＹｅｓ）にはステップＳ１０２に進み、そうでない場合（ステップＳ１０１でＮｏ）には、ステップＳ１０１を実行する。つまり、処理部３１は、上記格納要求トランザクションデータを受信するまで、ステップＳ１０１で待機する。

ステップＳ１０２において、処理部３１は、ステップＳ１０１で受信した格納要求トランザクションデータを台帳管理部３２に提供することで、分散台帳に格納する。また、処理部３１は、上記格納要求トランザクションデータを他のサーバ３０Ｂ等に送信し、すべてのサーバ３０Ａ等の分散台帳に格納させる。

図１２に示される一連の処理により、提供装置１０から提供された画像の識別情報及び許否情報がサーバ３０Ａ等の分散台帳に格納される。

図１３は、本実施の形態におけるサーバ３０Ａ等が画像の閲覧の許否を制御する処理を示すフロー図である。

図１３に示されるように、ステップＳ２０１において、処理部３１は、閲覧装置５０から画像の閲覧要求を受信したか否かを判定する。閲覧要求を受信した場合（ステップＳ２０１でＹｅｓ）には、ステップＳ２０２に進み、そうでない場合（ステップＳ２０１でＮｏ）には、ステップＳ２０１を実行する。つまり、処理部３１は、上記閲覧要求を受信するまで、ステップＳ２０１で待機する。

ステップＳ２０２において、処理部３１は、閲覧要求があったことを示す閲覧要求トランザクションデータを生成し、生成した閲覧要求トランザクションデータを台帳管理部３２に提供することで分散台帳に格納する。

ステップＳ２０３において、閲覧要求がなされた画像の条件種別により処理を分岐する。条件種別が１である場合にはステップＳ２０４に進み、条件種別が２又は３である場合にはステップＳ２１１に進み、条件種別が４である場合にはステップＳ２２１に進む。

ステップＳ２０４において、処理部３１は、閲覧要求があった画像の識別情報を保管装置２０に送信する。これによって、保管装置２０から閲覧装置５０に、閲覧要求がなされた画像が送信される。なお、このとき権限者の承諾は不要である。

ステップＳ２０５において、処理部３１は、画像の閲覧を許可したことを示す閲覧許否トランザクションデータを生成し、生成した閲覧許否トランザクションデータを台帳管理部３２に提供することで分散台帳に格納する。

ステップＳ２１１において、承諾取得部３３は、画像の閲覧を権限者が承諾するか否かを問い合わせるための通信データを権限者の端末４０Ａ等に送信する。承諾取得部３３は、条件種別が２である場合には、権限者のうちの少なくとも１人の端末４０Ａ等に上記通信データを送信し、条件種別が３である場合には、権限者のそれぞれの端末４０Ａ等に上記通信データを送信する。

ステップＳ２１２において、承諾取得部３３は、ステップＳ２１１で送信した通信データに対する応答として、画像の閲覧を承諾することを示す、必要数の通信データを端末４０Ａ等から受信したか否かを判定する。必要数の通信データを受信した場合（ステップＳ２１２でＹｅｓ）には、ステップＳ２０４に進み、そうでない場合（ステップＳ２１２でＮｏ）にはステップＳ２２１に進む。

ステップＳ２２１において、処理部３１は、閲覧要求があった画像の識別情報を保管装置２０に送信しない、つまり、上記識別情報を送信することを禁止する。この場合、保管装置２０から閲覧装置５０に、閲覧要求がなされた画像が送信されない。

ステップＳ２２２において、処理部３１は、画像の閲覧が許可されなかったことを示す閲覧許否トランザクションデータを生成し、生成した閲覧許否トランザクションデータを台帳管理部３２に提供することで分散台帳に格納する。

図１３に示される一連の処理により、画像の閲覧要求がなされたことと、その閲覧要求に基づいて画像の閲覧が許可されたか否かを示す情報がサーバ３０Ａ等の分散台帳に格納される。

図１４は、本実施の形態におけるサーバ３０Ａ等が条件種別の変更を制御する処理を示すフロー図である。

図１４に示されるように、ステップＳ３０１において、処理部３１は、条件種別の変更要求を受信したか否かを判定する。変更要求を受信した場合（ステップＳ３０１でＹｅｓ）には、ステップＳ３０２に進み、そうでない場合（ステップＳ３０１でＮｏ）には、ステップＳ３０１を実行する。つまり、処理部３１は、上記変更要求を受信するまで、ステップＳ３０１で待機する。

ステップＳ３０２において、処理部３１は、変更要求があったことを示す変更要求トランザクションデータを生成し、生成した変更要求トランザクションデータを台帳管理部３２に提供することで分散台帳に格納する。

ステップＳ３０３において、処理部３１は、条件種別の変更に承諾が必要な人数により処理を分岐する。承諾が必要な人数が、権限者のうちの少なくとも１人である場合（ステップＳ３０３で「少なくとも１人」）には、ステップＳ３０４に進み、権限者の全員である場合（ステップＳ３０３で「全員」）には、ステップＳ３２１に進む。

ステップＳ３０４において、承諾取得部３３は、変更要求があった画像の権限者の少なくとも１人から変更の承諾を取得すべく、上記権限者の少なくとも１人の端末４０Ａ等に、承諾するか否かを問い合わせるための通信データを送信する。

ステップＳ３０５において、承諾取得部３３は、ステップＳ３０４で送信した通信データの応答として、変更を承諾する情報を含む通信データを、上記権限者の少なくとも１人から受信したか否かを判定する。上記通信データを受信した場合（ステップＳ３０５でＹｅｓ）には、ステップＳ３０６に進み、そうでない場合（ステップＳ３０５でＮｏ）には、ステップＳ３１１に進む。

ステップＳ３０６において、処理部３１は、条件種別の変更を適用する。

ステップＳ３０７において、処理部３１は、条件種別を変更したことを示す変更記録トランザクションデータを生成し、生成した変更記録トランザクションデータを台帳管理部３２に提供することで分散台帳に格納する。

ステップＳ３１１において、処理部３１は、条件種別の変更の適用を禁止する。

ステップＳ３１２において、処理部３１は、条件種別の変更を禁止したことを示す変更記録トランザクションデータを生成し、生成した変更記録トランザクションデータを台帳管理部３２に提供することで分散台帳に格納する。

ステップＳ３２１において、承諾取得部３３は、変更要求があった画像の権限者の全員から変更の承諾を取得すべく、上記権限者の全員の端末４０Ａ等に、承諾するか否かを問い合わせるための通信データを送信する。

ステップＳ３２２において、承諾取得部３３は、ステップＳ３２１で送信した通信データの応答として、変更を承諾する情報を含む通信データを、上記権限者の全員から受信したか否かを判定する。上記通信データを受信した場合（ステップＳ３２２でＹｅｓ）には、ステップＳ３０６に進み、そうでない場合（ステップＳ３２２でＮｏ）には、ステップＳ３１１に進む。

図１４に示される一連の処理により、許否情報の変更要求がなされたことと、その変更要求に基づいて許否情報が変更されたか否かを示す情報がサーバ３０Ａ等の分散台帳に格納される。

以降において、コンテンツ管理システム１の全体の処理を説明する。

図１５は、本実施の形態における、提供装置１０がサーバ３０Ａ等に画像を提供する際の各装置の処理を示すシーケンス図である。なお、図１２のフロー図と同じ処理を示すものは、図１２と同じ符号を付し詳細な説明を省略する。

まず、提供装置１０が画像を取得し（ステップＳ４０１）、取得した画像を保管装置２０に提供する（ステップＳ４０２）。保管装置２０は、提供された画像を取得し、記憶装置２２に記憶する（ステップＳ４０３）。

その後、提供装置１０は、ステップＳ４０２で提供した画像の識別情報と、条件種別とを含む格納要求トランザクションデータをサーバ３０Ａに送信する（ステップＳ４０４）。サーバ３０Ａは、送信された格納要求トランザクションデータを受信し、受信した格納要求トランザクションデータをサーバ３０Ａ等の分散台帳に格納する（ステップＳ１０１、Ｓ１０２）。

図１５に示される一連の処理により、提供装置１０が提供した画像が、保管装置２０に画像が格納されるとともに、その画像の識別情報及び許否情報がサーバ３０Ａ等の分散台帳に格納される。

図１６は、本実施の形態における、閲覧装置５０が画像の取得及び表示をする際の各装置の処理を示すシーケンス図である。なお、図１３のフロー図と同じ処理を示すものは、図１３と同じ符号を付し詳細な説明を省略する。

まず、閲覧装置５０は、ユーザＵが閲覧したい画像の識別情報の入力を受ける（ステップＳ５０１）。閲覧装置５０は、上記識別情報を含む閲覧要求をサーバ３０Ａに送信する（ステップＳ５０２）。

サーバ３０Ａは、閲覧要求トランザクションデータを生成し、生成した閲覧要求トランザクションデータをサーバ３０Ａ等の分散台帳に格納する（ステップＳ２０３）。また、サーバ３０Ａは、画像の閲覧に権限者の許可が必要である場合には、権限者の端末４０Ａなどと通信データをやりとりすることで、権限者から許可を取得する（ステップＳ２０３、Ｓ２１１、Ｓ２１２）。

サーバ３０Ａは、必要な許可を取得できた場合には、閲覧要求があった画像の識別情報を保管装置２０に送信し（ステップＳ２０４）、これにより保管装置２０から閲覧装置５０に画像が送信される（ステップＳ５０３）。また、サーバ３０Ａは、画像の閲覧を許可したこと、又は、許可しなかったことを示す閲覧許否トランザクションデータを生成して、サーバ３０Ａ等の分散台帳に格納する（ステップＳ２０５、Ｓ２２２）。

図１６に示される一連の処理により、画像の閲覧要求がなされたことと、その閲覧要求に基づいて画像の閲覧が許可されたか否かを示す情報がサーバ３０Ａ等の分散台帳に格納される。また、閲覧が許可される画像は、閲覧装置５０により表示されユーザＵに閲覧される。

図１７は、本実施の形態における、条件種別を変更する際の各装置の処理を示すシーケンス図である。なお、図１４のフロー図と同じ処理を示すものは、図１４と同じ符号を付し詳細な説明を省略する。

まず、条件種別の変更を要求する要求者の端末が、条件種別の変更要求をサーバ３０Ａに送信する（ステップＳ６０１）。

サーバ３０Ａは、ステップＳ６０１で送信された変更要求を受信すると（ステップＳ３０１）、変更要求トランザクションデータを生成し、生成した変更要求トランザクションデータをサーバ３０Ａ等の分散台帳に格納する（ステップＳ３０２）。また、サーバ３０Ａは、条件種別の変更に権限者の許可が必要である場合には、権限者の端末４０Ａなどと通信データをやりとりすることで、権限者から許可を取得する（ステップＳ３０５、Ｓ３２２）。

サーバ３０Ａは、必要な許可を取得できた場合には、画像の条件種別を変更し（ステップＳ３０６）、条件種別を変更したことを示す変更記録トランザクションデータを生成し、生成した変更記録トランザクションデータを分散台帳に格納する（ステップＳ３０７）。

図１７に示される一連の処理により、許否情報の変更要求がなされたことと、その変更要求に基づいて許否情報が変更されたか否かを示す情報がサーバ３０Ａ等の分散台帳に格納される。また、許否情報が変更された場合には、変更された許否情報によりその後の閲覧の制御がなされる。

上記各実施の形態におけるブロックチェーンについて補足的に説明する。

図１８は、ブロックチェーンのデータ構造を示す説明図である。

ブロックチェーンは、その記録単位であるブロックがチェーン（鎖）状に接続されたものである。それぞれのブロックは、複数のトランザクションデータと、直前のブロックのハッシュ値とを有している。具体的には、ブロックＢ２には、その前のブロックＢ１のハッシュ値が含まれている。そして、ブロックＢ２に含まれる複数のトランザクションデータと、ブロックＢ１のハッシュ値とから演算されたハッシュ値が、ブロックＢ２のハッシュ値として、ブロックＢ３に含められる。このように、前のブロックの内容をハッシュ値として含めながら、ブロックをチェーン状に接続することで、記録されたトランザクションデータの改ざんを有効に防止する。

仮に過去のトランザクションデータが変更されると、ブロックのハッシュ値が変更前と異なる値になり、改ざんしたブロックを正しいものとみせかけるには、それ以降のブロックすべてを作り直さなければならず、この作業は現実的には非常に困難である。この性質を使用して、ブロックチェーンに改ざん困難性が担保されている。

図１９は、トランザクションデータのデータ構造を示す説明図である。

図１９に示されるトランザクションデータは、トランザクション本体Ｐ１と、電子署名Ｐ２とを含む。トランザクション本体Ｐ１は、当該トランザクションデータに含まれるデータ本体である。電子署名Ｐ２は、トランザクション本体Ｐ１のハッシュ値に対して、当該トランザクションデータの作成者の署名鍵で署名する、より具体的には、作成者の秘密鍵で暗号化することで生成されたものである。

トランザクションデータは、電子署名Ｐ２を有するので、改ざんが実質的に不可能である。これにより、トランザクション本体の改ざんが防止される。

以上のように、本実施の形態のサーバは、コンテンツの閲覧の許否に関する情報をトランザクションデータとして分散台帳に格納する。分散台帳に格納されたトランザクションデータの改ざんが実質的に不可能であることから、コンテンツの閲覧の許否に関する情報が、その情報の変更の履歴も含めて、適切に管理される。よって、本発明に係る制御方法は、コンテンツの閲覧の許否を適切に管理することができる。

また、サーバは、分散台帳に格納されたトランザクションデータを参照し、コンテンツの閲覧を許可するか否かを決定する。トランザクションデータの改ざんが実質的に不可能であることから、そのようなトランザクションデータに基づいてなされるコンテンツの閲覧の許可の決定が適切なものとなる。よって、本発明に係る制御方法は、コンテンツの閲覧の許否を適切に管理することができる。

また、サーバは、権限者による承諾の下でコンテンツの閲覧が許可されるように管理されているコンテンツについては、コンテンツの閲覧要求があった場合に権限者による承諾を得たときに、その閲覧を許可する。また、権限者による承諾の下で閲覧が許可される、という条件がトランザクションデータとして分散台帳により適切に管理される。このようにして、コンテンツ管理システムは、権限者の承諾を得ることを併用しながら、コンテンツの閲覧の許否を適切に管理することができる。

また、コンテンツとしての写真または動画の被写体が権限者となり、サーバは、権限者である被写体の承諾の下で、コンテンツの閲覧の許否を制御する。このようにして、コンテンツ管理システムは、コンテンツの被写体の承諾を得ることを併用しながら、コンテンツの閲覧の許否を適切に管理することができる。

また、サーバは、許否情報の変更をトランザクションデータとして分散台帳に格納する。分散台帳に格納されたトランザクションデータの改ざんが実質的に不可能であることから、許否情報に関する情報が、その情報の変更の履歴も含めて、適切に管理される。よって、本発明に係る制御方法は、コンテンツの閲覧の許否を適切に管理することができる。

また、サーバは、コンテンツの閲覧の許可のために承諾を得ることが必要である人数を多くする場合と、少なくする場合とのそれぞれで適切な承諾のもとで当該変更を適用する。上記人数を多くする変更は、その閲覧のための制約が厳しくなる方向であるので、比較的軽い承諾の下で適用され得る。一方、上記人数を少なくする変更は、その閲覧のための制約が緩くなる方向であるので、比較的重い承諾の下で適用され得る。コンテンツ管理システムは、このような変更の性質を利用して、変更内容に応じた重さの承諾の下で許否情報の変更を適用することができる。よって、本発明に係る制御方法は、許否情報の変更の性質を利用してより柔軟にコンテンツの閲覧の許否を適切に管理することができる。

また、サーバは、コンテンツの閲覧の許否に関する情報の管理などの一連の処理が、分散台帳に格納されたスマートコントラクトコードに基づいて、他の人又は他のシステムを介在することなく、自動的に実行される。よって、スマートコントラクトにより一連の処理がより一層高い安全性をもって実現される。よって、コンテンツの閲覧の許否を、より一層適切に管理することができる。

また、サーバは、コンセンサスアルゴリズムの実行を得て分散台帳を格納する。よって、コンセンサスアルゴリズムの実行を得ることによって、より容易に、コンテンツの閲覧の許否を適切に管理することができる。

なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記実施の形態のコンテンツ管理システムなどを実現するソフトウェアは、次のようなプログラムである。

すなわち、このプログラムは、コンピュータに、分散台帳を保有している複数のサーバを備えるコンテンツ管理システムにおいて、当該複数のサーバのうちの一のサーバが実行する制御方法であって、提供装置が提供したコンテンツの識別情報と、前記コンテンツの閲覧の許否に関する許否情報とを含む第一トランザクションデータを前記提供装置から取得し、取得した前記第一トランザクションデータを、前記複数のサーバそれぞれが備える分散台帳に格納する制御方法を実行させるプログラムである。

以上、一つまたは複数の態様に係るコンテンツ管理システムなどについて、実施の形態に基づいて説明したが、本発明は、この実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つまたは複数の態様の範囲内に含まれてもよい。

本発明は、コンテンツの閲覧の許否を適切に管理するコンテンツ管理システムに利用可能である。

１ コンテンツ管理システム
１０ 提供装置
１１、２１、５３ 取得部
１２、５１ 入力部
１３、２３ 提供部
１５ カメラ
１６、２２ 記憶装置
２０ 保管装置
２４ 制御部
３０Ａ、３０Ｂ、３０Ｃ サーバ
３１ 処理部
３２ 台帳管理部
３３ 承諾取得部
３７ 格納部
３８ 台帳記憶部
４０Ａ、４０Ｂ 端末
５０ 閲覧装置
５２ 要求部
５４ 表示部
Ａ、Ｂ 権限者
Ｂ１、Ｂ２、Ｂ３ ブロック
Ｄ１、Ｄ２、Ｄ３、Ｄ４、Ｄ５、Ｄ６、Ｄ７、Ｄ８ トランザクションデータ
Ｎ ネットワーク
Ｐ１ トランザクション本体
Ｐ２ 電子署名
Ｕ ユーザ

Claims (9)

1. 分散台帳を保有している複数のサーバを備えるコンテンツ管理システムにおいて、当該複数のサーバのうちの一のサーバが実行する制御方法であって、
   １以上の人が被写体として撮像されたコンテンツの閲覧の許否に関する許否情報を含む第一トランザクションデータを提供装置から取得し、
   取得した前記第一トランザクションデータを、前記複数のサーバそれぞれが備える分散台帳に格納し、
   前記許否情報は、前記被写体を特定し得る情報と、前記被写体による承諾を得た場合に前記コンテンツの閲覧を許可するという条件を含み、
   前記コンテンツを閲覧するための閲覧要求を閲覧装置から受信した場合に、前記分散台帳に格納された前記許否情報を参照して前記被写体を特定し、前記コンテンツの閲覧を承諾するか否かを前記被写体に問い合わせ、
   前記コンテンツの閲覧を承諾することを示す情報を前記被写体から受信した場合に、前記閲覧要求に係るコンテンツの閲覧を許可すると決定する、
   制御方法。
2. 前記コンテンツ管理システムは、さらに、前記提供装置が提供した前記コンテンツが格納される保管装置を備え、
   前記制御方法は、
   前記コンテンツを閲覧するための閲覧要求を閲覧装置から受信した場合に、前記分散台帳の参照を少なくとも行うことで、前記閲覧要求に係るコンテンツの閲覧を許可するか否かを決定し、
   前記コンテンツの閲覧を許可すると決定された場合に、前記保管装置から前記閲覧装置に前記コンテンツを提供する
   請求項１に記載の制御方法。
3. 前記許否情報は、前記１以上の人のうちの所定の人数であって、前記コンテンツの閲覧を許可のために承諾を得ることが必要である人数を含む
   請求項２に記載の制御方法。
4. 前記制御方法は、さらに、
   前記許否情報の変更に関する情報を含む第二トランザクションデータを受信し、
   受信した前記第二トランザクションデータを、前記複数のサーバそれぞれが備える分散台帳に格納する
   請求項１～３のいずれか１項に記載の制御方法。
5. 前記制御方法は、
   受信した前記第二トランザクションデータに、前記コンテンツの閲覧を許可のために承諾を得ることが必要である人数を多くする変更に関する前記情報が含まれている場合には、前記１以上の人のうち少なくとも１人から前記変更を承諾することを示す情報を得たときに当該変更を適用し、
   受信した前記第二トランザクションデータに、前記コンテンツの閲覧を許可のために承諾を得ることが必要である人数を少なくする変更に関する前記情報が含まれている場合には、前記１以上の人の全員から前記変更を承諾することを示す情報を得たときに当該変更を適用する
   請求項４に記載の制御方法。
6. 前記制御方法に係る処理の一部又は全部は、前記複数のサーバの分散台帳に格納されたスマートコントラクトコードを実行することでなされる
   請求項１～５のいずれか１項に記載の制御方法。
7. 前記コンテンツの閲覧を承諾することを示す情報を前記被写体から受信した場合に、
   前記コンテンツの閲覧を承諾することを示す情報を含むトランザクションデータを生成して、前記分散台帳に格納する、
   請求項１～６のいずれか１項に記載の制御方法。
8. 分散台帳を保有している複数のサーバを備えるコンテンツ管理システムであって、
   １以上の人が被写体として撮像されたコンテンツの閲覧の許否に関する許否情報を含む第一トランザクションデータを提供装置から取得する処理部と、
   取得した前記第一トランザクションデータを、前記複数のサーバそれぞれが備える分散台帳に格納する台帳管理部とを備え、
   前記許否情報は、前記被写体を特定し得る情報と、前記被写体による承諾を得た場合に前記コンテンツの閲覧を許可するという条件を含み、
   前記コンテンツ管理システムは、さらに、
   前記コンテンツを閲覧するための閲覧要求を閲覧装置から受信した場合に、前記分散台帳に格納された前記許否情報を参照して前記被写体を特定し、前記コンテンツの閲覧を承諾するか否かを前記被写体に問い合わせ、
   前記コンテンツの閲覧を承諾することを示す情報を前記被写体から受信した場合に、前記閲覧要求に係るコンテンツの閲覧を許可すると決定する、承諾取得部を備える
   コンテンツ管理システム。
9. 請求項１～７のいずれか１項に記載の制御方法をコンピュータに実行させるためのプログラム。

Images