JP7422155B2

JP7422155B2 - 制御方法、サーバ、及び、プログラム

Info

Publication number: JP7422155B2
Application number: JP2021535366A
Authority: JP
Inventors: 勇二海上; 淳児道山; 純一郎添田; 直央西田; 雄揮廣瀬; 哲司渕上; 基司大森
Original assignee: Panasonic Intellectual Property Corp of America
Current assignee: Panasonic Intellectual Property Corp of America
Priority date: 2019-08-01
Filing date: 2020-07-28
Publication date: 2024-01-25
Anticipated expiration: 2040-07-28
Also published as: WO2021020407A1; US20220148110A1; CN114008650A; JPWO2021020407A1

Description

本開示は、制御方法、サーバ、及び、プログラムに関する。

例えば特許文献１には、各ユーザで使用する必要な最大電流容量を把握し、把握した最大電流容量に応じて契約電流を決定する方法が開示されている。

特開２００２－１５９１３８号公報

しかしながら、特許文献１に開示されている方法では、電力会社などの事業者と各ユーザとが個別契約するため、事業者と一人のユーザとが結託し、他のユーザと比べると公平でない契約内容で契約される場合を抑制することができないという問題がある。

例えば、マンションなどの集合住宅において、各戸のユーザと電力会社とが個別契約するとする。この場合、電力会社と一人のユーザとが結託し、当該ユーザの住宅のみ電力量の配分を多くしてもらったり１ｋｗ当たりの料金を安くしてもらったりと他のユーザと比べて優遇された契約内容で契約する場合がある。ここで、集合住宅の各戸の契約内容を集合住宅全体で閲覧可能に管理されていたとしても、各戸のユーザが他のユーザの契約内容を積極的に見に行き、公平な契約であるかを確認するというようなことは担保できない。つまり、事業者と各ユーザとが個別契約する場合、電力会社と一人のユーザとが結託し、優遇された契約内容で契約することを抑制することができない。

また、例えば、自動車を含む車両のシェアリングサービスにおいて、利用者である各ユーザとサービス提供事業者とで個別契約するとする。この場合にも、サービス提供事業者と一人のユーザとが結託し、他のユーザと同一料金で当該ユーザのみシェア時間を多くしてもらうなど他のユーザと比べて優遇された契約内容で契約する場合がある。このような場合、利用者である各ユーザの契約内容を利用者全体で閲覧可能に管理されていても、上記と同様に、各ユーザが他のユーザの契約内容を積極的に見に行き、公平な契約であるかを確認するというようなことは担保できない。つまり、サービス提供事業者と各ユーザとが個別契約する場合、サービス提供事業者と一人のユーザとが結託し、優遇された契約内容で契約することを抑制することができない。

本開示は、上述の事情を鑑みてなされたもので、新たに締結された契約をより確実に監査させることができる制御方法、サーバ、及び、プログラムを提供することを目的とする。

本開示の一態様に係る制御方法は、それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの第１サーバによって実行される制御方法であって、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約の契約内容を示す第１契約情報と、前記第１契約情報が仮契約であることを示す仮契約フラグとを含む第１の情報を受信し、受信した前記第１の情報を台帳に格納し、前記第１契約情報を監査する監査員により使用される第２端末に、前記台帳から取得した前記第１契約情報を送信し、前記第２端末から、前記第１契約情報に対する前記監査員による同意または非同意を示す確認結果を受信し、前記確認結果を確認し、前記確認結果が前記第１契約情報に対する同意を示す場合、前記第１契約情報と、前記第１契約情報が本契約になったことを示す本契約フラグとを含む第２の情報を取得して、前記台帳に格納する。

なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータで読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

本開示によれば、新たに締結された契約をより確実に監査させることができる。

図１は、実施の形態１に係る管理システムの構成の一例を示す図である。図２は、実施の形態１に係る事業者端末の構成の一例を示す図である。図３は、実施の形態１に係る端末の構成の一例を示す図である。図４は、実施の形態１に係る認証サーバの構成の一例を示す図である。図５は、実施の形態１に係る管理名簿の一例を示す図である。図６は、実施の形態１に係る管理システムの動作を示すシーケンス図である。図７は、実施の形態１に係る管理システムの動作を示すシーケンス図である。図８は、実施の形態１に係る管理システムの動作を示すシーケンス図である。図９は、実施の形態２に係る管理システムの構成の一例を示す図である。図１０は、実施の形態２に係る事業者端末の構成の一例を示す図である。図１１は、実施の形態２に係る認証サーバの構成の一例を示す図である。図１２は、実施の形態２に係る管理システムの動作を示すシーケンス図である。図１３は、実施の形態２に係る管理システムの動作を示すシーケンス図である。図１４は、実施の形態２に係る管理システムの動作を示すシーケンス図である。図１５は、実施の形態２の変形例に係る管理システムの動作を示すシーケンス図である。図１６は、実施の形態３に係る管理システムの構成の一例を示す図である。図１７は、実施の形態３に係る事業者端末の構成の一例を示す図である。図１８は、実施の形態３に係る端末の構成の一例を示す図である。図１９は、実施の形態３に係る管理システムの動作を示すシーケンス図である。図２０は、実施の形態３に係る管理システムの動作を示すシーケンス図である。図２１は、実施の形態３に係る管理システムの動作を示すシーケンス図である。図２２は、実施の形態３の変形例１に係る管理システムの構成の一例を示す図である。図２３は、実施の形態３の変形例１に係るエージェントサーバの構成の一例を示す図である。図２４は、実施の形態３の変形例１に係る管理システムの動作を示すシーケンス図である。図２５は、実施の形態３の変形例１に係る管理システムの動作を示すシーケンス図である。図２６は、実施の形態３の変形例１に係る管理システムの動作を示すシーケンス図である。図２７は、実施の形態３の変形例２に係る管理システムの構成の一例を示す図である。図２８は、実施の形態３の変形例２に係る認証サーバの構成の一例を示す図である。図２９は、実施の形態３の変形例２に係る管理システムの動作を示すシーケンス図である。図３０は、実施の形態３の変形例２に係る管理システムの動作を示すシーケンス図である。図３１は、実施の形態３の変形例２に係る管理システムの動作を示すシーケンス図である。

このようにして、新たに締結された契約の契約書を、監査員に監査させることで、新たに締結された契約を確実に監査させることができる。さらに、新たに締結された契約を確実に監査させることができるので、事業者とユーザとが結託して契約することを抑制できる。

また、例えば、前記台帳から取得した前記第１契約情報を送信する際、所定のタイミングで、前記第１契約情報を監査する監査員を決定し、決定した前記監査員により使用される前記第２端末に、前記台帳から取得した前記第１契約情報を送信してもよい。

また、例えば、前記台帳は、ブロックチェーンの基盤上で構築される同一内容の台帳が複数存在する分散台帳であってもよい。

これにより、有効となった契約が分散台帳に格納されるので、新たに締結された本契約を、後日に改ざんされることを防止することができる。よって、後日、事業者とユーザとが結託して契約を改ざんするようなことも抑制できる。

また、例えば、前記第１の情報を受信する際、前記第１の情報を含む第１トランザクションデータを受信することで、前記第１の情報を受信し、受信した前記第１の情報を前記台帳に格納する際、前記第１トランザクションデータを含むブロックを前記台帳に格納し、前記第２の情報を取得する際、前記第２の情報を含む第２トランザクションデータを取得することで、前記第２の情報を取得し、取得した前記第２の情報を前記台帳に格納する際、前記第２トランザクションデータを含むブロックを前記台帳に格納してもよい。

また、例えば、前記第１トランザクションデータまたは前記第２トランザクションデータを含むブロックを前記台帳に格納する際、前記１以上のサーバのうちの前記第１サーバを除く複数の第２サーバとともに、前記第１トランザクションデータまたは前記第２トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、前記コンセンサスアルゴリズムによって前記第１トランザクションデータまたは前記第２トランザクションデータの正当性について合意された場合、前記第１トランザクションデータまたは前記第２トランザクションデータを含むブロックを前記台帳に格納してもよい。

また、例えば、前記第１トランザクションデータまたは前記第２トランザクションデータを含むブロックを前記台帳に格納する際、前記第１トランザクションデータまたは前記第２トランザクションデータをブロックチェーンのトランザクションデータとして前記台帳に格納してもよい。

また、例えば、前記第１の情報は、前記第１契約情報と、前記仮契約フラグとに加え、時間情報と、前記第１契約を合意した２者のうちの他方の者である第２ユーザを示すＩＤと、前記第１の情報の生成者の署名と、を含むとしてもよい。

本開示の一態様に係るサーバは、それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの一つのサーバであって、プロセッサと、メモリと、を備え、前記プロセッサは、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約の契約内容を示す第１契約情報と、前記第１契約情報が仮契約であることを示す仮契約フラグとを含む第１の情報を受信し、前記プロセッサは、受信した前記第１の情報を台帳に格納し、前記プロセッサは、前記第１契約情報を監査する監査員により使用される第２端末に、前記台帳から取得した前記第１契約情報を送信し、前記プロセッサは、前記第２端末から、前記第１契約情報に対する前記監査員による同意または非同意を示す確認結果を受信し、前記プロセッサは、前記確認結果を確認し、前記確認結果が前記第１契約情報に対する同意を示す場合、前記第１契約情報と、前記第１契約情報が本契約になったことを示す本契約フラグとを含む第２の情報を取得して、前記台帳に格納する。

本開示の一態様に係るプログラムは、それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの第１サーバによって実行される制御方法をコンピュータに実行させるためのプログラムであって、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約の契約内容を示す第１契約情報と、前記第１契約情報が仮契約であることを示す仮契約フラグとを含む第１の情報を受信し、受信した前記第１の情報を台帳に格納し、前記第１契約情報を監査する監査員により使用される第２端末に、前記台帳から取得した前記第１契約情報を送信し、前記第２端末から、前記第１契約情報に対する前記監査員による同意または非同意を示す確認結果を受信し、前記確認結果を確認し、前記確認結果が前記第１契約情報に対する同意を示す場合、前記第１契約情報と、前記第１契約情報が本契約になったことを示す本契約フラグとを含む第２の情報を取得して、前記台帳に格納することを、コンピュータに実行させるためのプログラムである。

以下、図面を参照しながら、実施の形態について説明する。なお、以下で説明する実施の形態は、いずれも本開示の一具体例を示すものである。つまり、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素は、本開示の課題を達成するために必ずしも必要ではないが、より好ましい形態を構成する構成要素として説明される。

（実施の形態１）
まず、本開示に係るシステム構成について説明する。

本開示に係る管理システムは、それぞれユーザにより使用される３以上の端末と、１以上の認証サーバとを備える。本開示に係る管理システムは、仮契約として新たに締結された契約の契約書つまり契約内容を監査させ、監査結果を受けて本契約となった契約書を台帳に格納する。以下では、図面を参照しながら、本実施の形態に係る管理システムの構成等の説明を行う。

［管理システム］
図１は、実施の形態１に係る管理システムの構成の一例を示す図である。

本実施の形態に係る管理システムは、図１に示すように、例えば、事業者端末１０と、端末２０ａ～２０ｘと、認証サーバ３０とを備える。これらは、ネットワークＮで接続されている。ネットワークＮは、例えば、インターネット、携帯電話のキャリアネットワークなどであるが、どのような通信回線またはネットワークから構成されてもよい。なお、以下では、端末２０ａ～端末２０ｘのそれぞれを端末２０とも称するが、端末２０ａ～端末２０ｘを端末Ａ～端末Ｘと称する場合もある。

以下、事業者端末１０について説明する。

［事業者端末１０］
事業者端末１０は、ユーザにより使用される端末の一例であり、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末である。

本実施の形態では、事業者端末１０は、ユーザの一人である事業者により使用される端末である。事業者端末１０は、例えばパーソナルコンピュータであってもよいし、スマートフォン及びタブレットなどの携帯端末であってもよい。なお、事業者は、例えば、電力事業、シェアリングサービス提供事業などの事業を営む者自身であってもよいし、それらの従業者であってもよい。第１契約は例えば個別契約の一つである。

図２は、実施の形態１に係る事業者端末１０の構成の一例を示す図である。

本実施の形態に係る事業者端末１０は、通信部１０１と、入力部１０２と、表示部１０３と、情報生成部１０４とを備える。

＜通信部１０１＞
通信部１０１は、情報生成部１０４が生成した第１の情報を、認証サーバ３０に送信する。本実施の形態では、通信部１０１は、ネットワークＮを介して情報ｎ１を認証サーバ３０に送信したり、認証サーバ３０からの通知を受信したりする。また、通信部１０１は、ネットワークＮを介して端末２０に情報を送信したり、端末２０から情報を受信したりする。なお、情報ｎ１は第１の情報の一例であり、例えば情報Ａ１、情報Ｂ１等を含む。

このように、通信部１０１は、ネットワークＮを介して端末２０ａ～端末２０ｘまたは認証サーバ３０との通信を行う。なお、この通信は、ＴＬＳ（Transport Layer Security）によりなされてもよく、ＴＬＳ通信用の暗号鍵は通信部１０１で保持してもよい。

＜入力部１０２＞
入力部１０２は、事業者の操作による情報入力を受け付ける。入力部１０２は、受け付けた情報入力を、表示部１０３に表示したり、情報生成部１０４に送信したり、通信部１０１に送信したりする。

本実施の形態では、入力部１０２は、事業者の操作により入力された、ユーザｎと合意した契約ｎの契約書ｎを受け付ける。契約書ｎは、第１契約の契約内容を示す第１契約情報の一例である。入力部１０２は、受け付けた契約ｎの契約書ｎを、情報生成部１０４に送信する。また、入力部１０２は、事業者の操作により、表示部１０３に表示された通知を確認した旨を受け付ける。なお、契約ｎの契約書ｎには、以下で説明する例えば契約Ａの契約書Ａまたは／及び契約Ｂの契約書Ｂが含まれる。

＜表示部１０３＞
表示部１０３は、入力部１０２が受け付けた情報入力を表示する。表示部１０３は、認証サーバ３０から通知された情報を表示する。

＜情報生成部１０４＞
情報生成部１０４は、第１契約の契約内容を示す第１契約情報と、第１契約情報が仮契約であることを示す仮契約フラグとを含む第１の情報を生成する。

本実施の形態では、情報生成部１０４は、入力部１０２が受け付けたユーザｎと合意した契約ｎの契約書ｎに、仮契約フラグを含めた情報ｎ１を生成する。ユーザｎは、第１契約を合意した２者のうちの他方の者であり、例えば第２ユーザの一例である。

ここで、情報ｎ１は、契約書ｎを示す契約情報と、仮契約フラグとに加えて、時間情報と、契約締結者ＩＤと、情報ｎ１の生成者の電子署名とを含む。契約情報は、契約ｎの契約内容を示すデータであり、契約書ｎのデータであってもよいし、契約書ｎが暗号化されたデータであってもよいし、契約書ｎの契約内容を特定するためのハッシュ値であってもよい。時間情報は、情報ｎ１が生成された時間を示していてもよいし、契約ｎが締結された時間を示してもよい。また、時間情報は、情報ｎ１が通信部１０１で認証サーバ３０に送信された時間を示していてもよい。なお、ここでの情報ｎ１の生成者は、第１ユーザすなわち事業者である。契約締結者ＩＤは、第１契約を合意した２者のうちの他方の者である第２ユーザのＩＤである。

続いて、端末２０ａ～端末２０ｘについて説明する。なお、端末２０ａ～端末２０ｘの構成は共通しているので、端末２０と称して説明する。

［端末２０］
端末２０は、ユーザにより使用される端末の一例である。端末２０は、例えばパーソナルコンピュータであってもよいし、スマートフォン及びタブレットなどの携帯端末であってもよい。端末２０のいずれかは、第１契約を合意した２者のうちの他方の者である第２ユーザにより使用される端末である。また、端末２０のいずれかは、契約ｎの契約内容を示す契約情報すなわち契約書ｎを監査する監査員により使用される第２端末である。

本実施の形態では、一例として、複数の端末２０のうち、例えば端末２０ｃすなわち端末Ｃが、契約書Ａ及び契約書Ｂを監査する監査員により使用される端末であるとして説明する。また、複数の端末２０のうち、端末２０ａすなわち端末Ａが、契約Ａを合意した２者のうちの他方の者である第２ユーザにより使用される端末であるとする。さらに、端末２０ｂすなわち端末Ｂが、契約Ｂを合意した２者のうちの他方の者である第２ユーザにより使用される端末であるとする。

図３は、実施の形態１に係る端末２０の構成の一例を示す図である。

本実施の形態に係る端末２０は、通信部２０１と、入力部２０２と、表示部２０３と、情報生成部２０４とを備える。

＜通信部２０１＞
通信部２０１は、ネットワークＮを介して情報を認証サーバ３０に送信したり、認証サーバ３０から情報を受信したりまたは通知されたりする。また、通信部２０１は、ネットワークＮを介して、事業者端末１０または他の端末２０に情報を送信したり、事業者端末１０または他の端末２０からの情報を受信したりする。

このように、通信部２０１は、ネットワークＮを介して事業者端末１０、他の端末２０または認証サーバ３０との通信を行う。なお、この通信は、ＴＬＳによりなされてもよく、ＴＬＳ通信用の暗号鍵は通信部２０１で保持してもよい。

より具体的には、端末２０が監査員により使用される第２端末である場合、通信部２０１は、認証サーバ３０から、第１契約情報を受信する。通信部２０１は、第１契約情報に対する監査員による同意または非同意を示す確認結果を認証サーバ３０に送信する。例えば、端末２０が監査員により使用される端末Ｃであるとすると、通信部２０１は、認証サーバ３０から、契約書ｎすなわち契約書Ａ及び契約書Ｂを受信する。契約書ｎは、第１契約情報の一例である。また、通信部２０１は、契約書Ａ及び契約書Ｂそれぞれに対する監査員による同意または非同意を示す確認結果を、認証サーバ３０に送信する。

＜入力部２０２＞
入力部２０２は、ユーザの操作による情報入力を受け付ける。入力部２０２は、受け付けた情報入力を、表示部２０３に表示したり、情報生成部２０４に送信したり、通信部２０１に送信したりする。

より具体的には、端末２０が監査員により使用される端末である場合、入力部２０２は、監査員の操作により入力された、第１契約情報に対する監査員による同意または非同意を示す確認結果を受け付ける。入力部２０２は、受け付けた確認結果を、情報生成部２０４に送信する。例えば、端末２０が監査員により使用される端末Ｃとすると、入力部２０２は、監査員の操作により入力された確認結果であって契約書Ａ及び契約書Ｂそれぞれに対する監査員による同意または非同意を示す確認結果を受け付ける。入力部２０２は、受け付けた契約書Ａ及び契約書Ｂそれぞれに対する確認結果を、情報生成部２０４に送信する。

＜表示部２０３＞
表示部２０３は、入力部２０２が受け付けた情報入力を表示する。表示部２０３は、認証サーバ３０から送信された情報を表示する。

例えば、端末２０が監査員により使用される端末Ｃである場合、表示部２０３は、認証サーバ３０から送信された例えば契約書Ａ及び契約書Ｂなどの第１契約情報を表示する。

＜情報生成部２０４＞
情報生成部２０４は、第１契約情報に対する監査員による同意または非同意を示す確認結果を示す情報を生成する。例えば、端末２０が監査員により使用される端末Ｃとすると、情報生成部２０４は、契約書Ａに対する監査員による確認結果と、契約書Ｂに対する監査員による確認結果とを示す情報を生成する。

続いて、認証サーバ３０について説明する。

［認証サーバ３０］
認証サーバ３０は、第１サーバの一例である。

図４は、実施の形態１に係る認証サーバ３０の構成の一例を示す図である。

認証サーバ３０は、図４に示すように、通信部３０１と、判断部３０２と、情報生成部３０３と、台帳記憶部３０４とを備える。認証サーバ３０は、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。以下、各構成要素について説明する。

＜通信部３０１＞
通信部３０１は、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、第１契約の契約内容を示す第１契約情報と、第１契約情報が仮契約であることを示す仮契約フラグとを含む第１の情報を受信する。

通信部３０１は、判断部３０２が決定した監査員により使用される第２端末に、台帳から取得された第１の情報の第１契約情報を送信する。通信部３０１は、第２端末から、第１契約情報に対する監査員による同意または非同意を示す確認結果を受信する。

より具体的には、通信部３０１は、ネットワークＮを介して事業者端末１０から、事業者及びユーザｎが合意した契約ｎの契約内容を示す契約書ｎと、当該契約書ｎが仮契約であることを示す仮契約フラグとを含む情報ｎを、受信する。また、通信部３０１は、判断部３０２が決定した監査員により使用される端末２０に、情報ｎの契約書ｎを送信したり、当該端末２０から監査員による契約書ｎに対する同意または非同意を示す確認結果を受信したりする。また、通信部３０１は、契約ｎが本契約になった旨を少なくとも事業者端末１０に通知する。

このように、通信部３０１は、ネットワークＮを介して事業者端末１０または端末２０との通信を行う。なお、この通信は、ＴＬＳによりなされてもよく、ＴＬＳ通信用の暗号鍵は通信部３０１で保持してもよい。

＜判断部３０２＞
判断部３０２は、所定のタイミングに到達したかを判断する。ここで、所定のタイミングは、台帳に格納されている第１契約情報の数が、ｎ（ｎは１以上の整数）になったときでもよいし、所定時間が経過したときでもよい。また、所定のタイミングは、事業者と契約した契約締結者の数が閾値を超えたときでもよいし、事業者の行うサービスの取引回数が閾値を超えたときでもよい。また、所定のタイミングは、事業者の行うサービスの取引に関する法制度が変わったときでもよい。

判断部３０２は、所定のタイミングで、第１契約情報を監査する監査員を決定する。ここで、判断部３０２は、監査対象である第１契約情報の第１契約より後に契約を締結した者の中から、監査員を決定してもよいし、事業者が行うサービスを受けるユーザの情報を管理する管理名簿の中から監査員をランダムに決定してもよい。

図５は、実施の形態１に係る管理名簿の一例を示す図である。図５に示される例では、事業者の行うサービスが電力取引であり、事業者が行うサービスを受けるユーザがあるマンションの住人である場合の管理名簿を示している。つまり、判断部３０２は、図５に示す管理名簿の中から、監査員をランダムに決定すればよい。

また、判断部３０２は、台帳から第１契約情報を取得する。本実施の形態では、判断部３０２は、台帳から契約ｎの契約書ｎを取得する。例えば、判断部３０２は、台帳記憶部３０４の台帳から、契約Ａの契約書Ａと、契約Ｂの契約書Ｂとを取得する。

また、判断部３０２は、通信部３０１が受信した確認結果を確認し、確認結果が第１契約情報に対する同意を示すか否かを判断する。例えば、判断部３０２は、確認結果を確認し、監査員が契約Ａの契約書Ａに対して同意したか否かと、契約Ｂの契約書Ｂに対して同意したか否かを判断する。

＜情報生成部３０３＞
情報生成部３０３は、監査員が第１契約情報に同意したと判断された場合、第１契約情報と、第１契約情報が本契約になったことを示す本契約フラグとを含む第２の情報を生成する。ここで、第２の情報は、契約書ｎを示す契約情報と、本契約フラグとに加えて、時間情報と、契約締結者ＩＤと、第１の情報の生成者の電子署名と、第２の情報の生成者すなわち監査員の電子署名とを含む。時間情報と、契約締結者ＩＤと第１の情報の生成者の電子署名とについては、上述した通りであるので、説明を省略する。

より具体的には、情報生成部３０３は、監査員が契約書ｎに同意したことを判断部３０２によって判断された場合、契約書ｎと、契約書ｎの契約ｎが本契約になったことを示す本契約フラグとを含む第２の情報を生成する。

なお、情報生成部３０３は、判断部３０２により監査員が契約書ｎに同意しなかったと判断された場合、非同意処理を行わせるための情報を生成してもよい。例えば、情報生成部３０３は、監査員に同意されなかった契約ｎの契約書ｎについて契約内容の変更命令を生成してもよい。ここで、情報生成部３０３は、変更命令とともに、監査員が同意しなかった理由など、契約締結者に反論の機会を与えるための情報を生成してもよいし、監査員が同意するための条件を生成してもよい。

＜台帳記憶部３０４＞
台帳記憶部３０４は、台帳を記憶している。台帳記憶部３０４は、通信部３０１が受信した第１契約情報と仮契約フラグとを含む第１の情報を、台帳に格納する。また、台帳記憶部３０４は、情報生成部３０３が生成した第２の情報を取得し、取得した第２の情報を台帳に格納する。

例えば、台帳記憶部３０４の台帳には、通信部３０１が受信した契約書Ａ及び仮契約フラグを含む情報１と、契約書Ｂ及び仮契約フラグを含む情報２とが格納される。また、台帳記憶部３０４の台帳には、情報生成部３０３により生成された契約書Ａ及び本契約フラグを含む情報１と、契約書Ｂ及び本契約フラグを含む情報とが格納される。

［管理システムの動作等］
次に、以上のように構成された管理システムの動作について説明する。

図６～図８は、実施の形態１に係る管理システムの動作を示すシーケンス図である。

まず、事業者端末１０を使用する事業者は、ユーザＡと契約Ａについて合意したとする（Ｓ１０１）。なお、上述したが、事業者は、契約Ａを合意した２者のうちの一方の者である第１ユーザの一例であり、ユーザＡは、その他方の者である第２ユーザの一例である。

次に、事業者端末１０は、事業者の操作により、契約Ａの契約書Ａと仮契約フラグとを含む情報Ａ１を生成する（Ｓ１０２）。なお、上述したが、情報Ａ１は、契約書Ａのデータと、仮契約フラグとに加えて、時間情報と、第２ユーザを示す契約締結者ＩＤと、情報Ａ１の生成者である事業者の電子署名とを含む。

次に、事業者端末１０は、ステップＳ１０２で生成した情報Ａ１を、認証サーバ３０に送信する（Ｓ１０３）。

次に、認証サーバ３０は、ステップＳ１０３で送信された情報Ａ１を受信する（Ｓ１０４）。

次に、認証サーバ３０は、ステップＳ１０４で受信した情報Ａ１を、台帳に格納する（Ｓ１０５）。

次に、事業者端末１０を使用する事業者は、ユーザＢと契約Ｂについて合意したとする（Ｓ１０６）。なお、事業者は、契約Ｂを合意した２者のうちの一方の者である第１ユーザの一例であり、ユーザＢは、その他方の者である第２ユーザの一例である。

次に、事業者端末１０は、事業者の操作により、契約Ｂの契約書Ｂと仮契約フラグとを含む情報Ｂ１を生成する（Ｓ１０７）。なお、情報Ｂ１は、契約書Ｂのデータと、仮契約フラグとに加えて、時間情報と、第２ユーザを示す契約締結者ＩＤと、情報Ｂ１の生成者である事業者の電子署名とを含む。

次に、事業者端末１０は、ステップＳ１０７で生成した情報Ｂ１を、認証サーバ３０に送信する（Ｓ１０８）。

次に、認証サーバ３０は、ステップＳ１０８で送信された情報Ｂ１を受信する（Ｓ１０９）。

次に、認証サーバ３０は、ステップＳ１０９で受信した情報Ｂ１を、台帳に格納する（Ｓ１１０）。

次に、認証サーバ３０は、所定のタイミングに到達したかを判断する（Ｓ１１１）。

ステップＳ１１１において、認証サーバ３０は、所定のタイミングに到達していないとい判断した場合（Ｓ１１１でＮＯ）、ステップＳ１１１に戻り、処理を繰り返す。

一方、ステップＳ１１１において、認証サーバ３０は、所定のタイミングに到達したと判断した場合（Ｓ１１１でＹＥＳ）、監査員を決定する（Ｓ１１２）。例えば、認証サーバ３０は、図５に示すような管理名簿の中からランダムに監査員を決定する。

次に、認証サーバ３０は、台帳から契約ｎの契約書ｎを取得する（Ｓ１１３）。図６等で示される例では、認証サーバ３０は、台帳から、契約Ａの契約書Ａと契約Ｂの契約書Ｂとを取得する。

次に、認証サーバ３０は、Ｓ１１２で決定した監査員の端末２０に、Ｓ１１３で取得した契約書ｎを送信する（Ｓ１１４）。図６及び図７に示された例では、認証サーバ３０は、契約書Ａと契約書Ｂとを、監査員により使用される端末Ｃに送信する。

次に、端末Ｃは、ステップＳ１１４で送信された契約書ｎを受信する（Ｓ１１５）。図７に示される例では、端末Ｃは、認証サーバ３０から、契約書Ａと契約書Ｂとを受信する。

次に、端末Ｃは、監査員の操作により、契約書ｎに同意するか否かの確認結果を生成する（Ｓ１１６）。図７に示される例では、端末Ｃは、監査員の操作により、契約書Ａに同意するか否かの確認結果と契約書Ｂに同意するか否かの確認結果とを生成する。

次に、端末Ｃは、ステップＳ１１６で生成した確認結果を、認証サーバ３０に送信する（Ｓ１１７）。図７に示される例では、端末Ｃは、契約書Ａに同意するか否かの確認結果と契約書Ｂに同意するか否かの確認結果とを、認証サーバ３０に送信する。

次に、認証サーバ３０は、ステップＳ１１７で送信された確認結果を受信する（Ｓ１１８）。図７及び図８に示される例では、認証サーバ３０は、契約書Ａに同意するか否かの確認結果と契約書Ｂに同意するか否かの確認結果とを受信する。

次に、認証サーバ３０は、ステップＳ１１８で受信した確認結果を確認し、監査員が契約書ｎに同意したかを判断する（Ｓ１１９）。図８に示される例では、認証サーバ３０は、監査員が契約書Ａに同意したかを判断し、監査員が契約書Ｂに同意したかを判断する。

ステップＳ１１９において、監査員が契約書ｎに同意していないと判断した場合（Ｓ１１９でＮＯ）、認証サーバ３０は、非同意処理を行う（Ｓ１２０）。

ここで、非同意処理は、監査員に同意されなかった契約の契約書に対して契約内容の変更命令を生成する処理である。なお、非同意処理には、変更命令を生成する処理に加えて、監査員が同意しなかった理由など契約締結者に反論の機会を与えるための情報を生成する処理が含まれていてもよいし、監査員が同意するための条件を生成する処理が含まれていてもよい。また、非同意処理には、さらに、監査員に同意されなかった契約の契約締結者が修正した契約内容を送る処理が含まれてもよい。この場合には、ステップＳ１１４に戻り、修正した契約内容を示す修正契約書を監査員に送信すればよい。これにより、少なくとも事業者端末１０を使用する事業者に、監査員が同意していない契約の再考を促すことができる。なお、認証サーバ３０は、事業者端末１０に監査員が契約書に同意しなかった旨を通知してもよい。

一方、ステップＳ１１９において、監査員が契約書ｎに同意していると判断した場合（Ｓ１１９でＹＥＳ）、認証サーバ３０は、契約書ｎと本契約フラグとを含む情報ｎ２を、台帳に格納する（Ｓ１２１）。図６～図８に示される例では、認証サーバ３０は、監査員が契約書Ａ及び契約書Ｂに同意していると判断した場合、契約書Ａと本契約フラグとを含む情報Ａ２と、契約書Ｂと本契約フラグとを含む情報Ｂ２とを、台帳に格納する。

次に、認証サーバ３０は、契約ｎが本契約になった旨を少なくとも事業者端末１０に通知する（Ｓ１２２）。図６～図８に示す例では、認証サーバ３０は、契約書Ａの契約Ａが本契約になった旨を事業者端末１０と端末Ａとに通知し、契約書Ｂの契約Ｂが本契約になった旨を事業者端末１０と端末Ｂとに通知する。

このようにして、本実施の形態に係る管理システムは、仮契約として新たに締結された契約の契約書を監査員に監査させることができる。そして、本実施の形態に係る管理システムは、監査結果を受けて本契約となった契約書を台帳に格納する。

［効果等］
以上のように、実施の形態１に係る管理システム等によれば、仮契約として新たに締結された契約を監査員に監査させることができるだけでなく、監査結果を受けて本契約となった契約書を台帳に格納することができる。

これにより、新たに締結された契約を確実に監査させることができるので、事業者とユーザとが結託して契約することを抑制できる。

なお、上記では、新たに締結された契約の契約書を監査する監査員は、一人であるとして説明したが、それに限らない。監査する監査員は、１人以上であればよい。

また、上記では、事業者端末１０が、情報Ａ１及び情報Ｂ１などの情報ｎ１と、情報ｎ２とを生成したとして説明したが、これに限らない。第１契約を合意した２者のうちの他方の者により使用される端末２０が、情報ｎ１と、情報ｎ２とを生成してもよい。

（実施の形態２）
実施の形態１では、第１契約情報及び仮契約フラグを含む第１の情報と、監査結果を受けて第１契約が有効化された第２の情報すなわち第１契約情報及び本契約フラグを含む第２の情報とが台帳に格納されることについて説明した。この台帳は、ブロックチェーンの分散台帳であってもよいし、ブロックチェーンの基盤上で構築される同一内容の台帳が複数存在する分散台帳であってもよい。

実施の形態２では、認証サーバそれぞれが複数の同一内容の台帳からなる分散台帳を有する場合について説明する。以下では、実施の形態１と異なる点を中心に説明する。

［管理システム］
図９は、実施の形態２に係る管理システムの構成の一例を示す図である。図１と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図９に示す管理システムは、実施の形態１に係る管理システムに対して、事業者端末１１の構成と、認証サーバ３１ａ～認証サーバ３１ｃとの構成が異なる。なお、以下では、認証サーバ３１ａ～３１ｃのそれぞれを認証サーバ３１とも称するが、認証サーバ３１ａ～認証サーバ３１ｃを認証サーバ１～認証サーバ３と称する場合もある。

まず、事業者端末１１について説明する。

［事業者端末１１］
事業者端末１１は、ユーザにより使用される端末の一例である。事業者端末１１は、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末である。

本実施の形態でも、事業者端末１１は、ユーザの一人である事業者により使用される端末である。事業者端末１１は、例えばパーソナルコンピュータであってもよいし、スマートフォン及びタブレットなどの携帯端末であってもよい。

図１０は、実施の形態２に係る事業者端末１１の構成の一例を示す図である。図２と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１０に示す事業者端末１１は、実施の形態１に係る事業者端末１０に対して、さらにトランザクションデータ生成部１１５を備える点で構成が異なる。

＜通信部１０１＞
通信部１０１は、トランザクションデータ生成部１１５が生成した第１の情報を含む第１トランザクションデータを、認証サーバ３０に送信してもよい。

なお、通信部１０１は、認証サーバ３０側で第１トランザクションデータを生成する場合、実施の形態１と同様に、情報生成部１０４が生成した第１の情報を、認証サーバ３０に送信してもよい。その他については、実施の形態１で説明した通りであるので、説明を省略する。

＜情報生成部１０４＞
情報生成部１０４は、第１契約の契約内容を示す第１契約情報と、第１契約情報が仮契約であることを示す仮契約フラグとを含む第１の情報を生成する。また、情報生成部１０４は、第１契約の契約内容を示す第１契約情報と、第１契約情報が本契約であることを示す本契約フラグとを含む第２の情報を生成する。

ここで、第１の情報は、契約書ｎを示す契約情報と、仮契約フラグとに加えて、時間情報と、契約締結者ＩＤとを含む。第２の情報は、契約書ｎを示す契約情報と、本契約フラグとに加えて、時間情報と、契約締結者ＩＤとを含む。なお、第１の情報及び第２の情報には、第１契約が締結された順番を把握するためのシリアル番号を含んでいてもよい。その他については、実施の形態１で説明した通りであるので、説明を省略する。

＜トランザクションデータ生成部１１５＞
トランザクションデータ生成部１１５は、トランザクションデータを生成する。より具体的には、トランザクションデータ生成部１１５は、第１の情報を含む第１トランザクションデータを生成してもよい。トランザクションデータ生成部１１５は、第２の情報を含む第２トランザクションデータを生成してもよい。

ここで、第１トランザクションデータは、第１の情報すなわち契約書ｎを示す契約情報と、仮契約フラグと、時間情報と、契約締結者ＩＤとに加えて、第１トランザクションデータのＩＤ（トランザクションデータＩＤ）と、第１トランザクションデータの生成者の電子署名を含む。同様に、第２トランザクションデータは、第２の情報すなわち契約書ｎを示す契約情報と、本契約フラグと、時間情報と、契約締結者ＩＤとに加えて、第２トランザクションデータのＩＤ（トランザクションデータＩＤ）と、第２トランザクションデータの生成者の電子署名を含む。

本実施の形態では、トランザクションデータ生成部１１５は、情報生成部１０４が生成した情報ｎ１を含むトランザクションデータｎ１を生成する。情報ｎ１には、契約ｎの契約書ｎと、仮契約フラグとが含まれている。また、トランザクションデータ生成部１１５は、情報生成部１０４が生成した情報ｎ２を含むトランザクションデータｎ２を生成する。情報ｎ１には、契約ｎの契約書ｎと、本契約フラグとが含まれている。

トランザクションデータ生成部１１５は、通信部１０１を介して、生成したトランザクションデータｎ１またはトランザクションデータｎ２を認証サーバ３１に送信する。

続いて、認証サーバ３１ａ～認証サーバ３１ｃについて説明する。なお、認証サーバ３１ａ～認証サーバ３１ｃの構成は共通しているので、認証サーバ３１と称して説明する。

［認証サーバ３１］
認証サーバ３１は、第１サーバの一例である。

図１１は、実施の形態２に係る認証サーバ３１の構成の一例を示す図である。図４と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１１に示す認証サーバ３１は、実施の形態１に係る認証サーバ３０に対して、情報生成部３０３と台帳記憶部３０４の構成がない点と、トランザクションデータ検証部３１３と、記録部３１５と、分散台帳３１６とを備える点とで構成が異なる。認証サーバ３１も、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。

＜通信部３０１＞
通信部３０１は、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、第１の情報を含む第１トランザクションデータを受信する。第１の情報は、第１契約の契約内容を示す第１契約情報と、第１契約情報が仮契約であることを示す仮契約フラグとを含む。また、通信部３０１は、第１端末から、第２の情報を含む第２トランザクションデータを取得する。第２の情報は、第１契約情報と、第１契約情報が本契約になったことを示す本契約フラグとを含む。

なお、認証サーバ３０側で第１トランザクションデータを生成する場合、実施の形態１と同様である。すなわち、通信部３０１は、第１端末から、第１の情報をそのまま受信してもよい。

通信部３０１は、トランザクションデータ検証部３１３でコンセンサスアルゴリズムが実行される場合には、受信した第１トランザクションデータまたは第２トランザクションデータを、他の認証サーバ３１に転送する。

その他については、実施の形態１で説明した通りであるので、説明を省略する。

＜トランザクションデータ検証部３１３＞
トランザクションデータ検証部３１３は、通信部３０１が第１トランザクションデータまたは第２トランザクションデータを受信したとき、第１トランザクションデータまたは第２トランザクションデータの正当性を検証する。例えば、トランザクションデータ検証部３１３は、通信部３０１が受信した第１トランザクションデータまたは第２トランザクションデータに、正しい方法で生成された電子署名が付与されているかなどを検証する。なお、この検証はスキップされてもよい。

また、トランザクションデータ検証部３１３は、他の認証サーバ３１とともに、第１トランザクションデータまたは第２トランザクションデータなどトランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行する。

ここで、コンセンサスアルゴリズムには、ＰＢＦＴ（Practical Byzantine Fault Tolerance）が用いられてもよいし、その他の公知のコンセンサスアルゴリズムが用いられてもよい。公知のコンセンサスアルゴリズムとしては、例えばＰｏＷ（Proof of Work）またはＰｏＳ（Proof of Stake）などがある。コンセンサスアルゴリズムにＰＢＦＴが用いられる場合、トランザクションデータ検証部３１３は、他の認証サーバ３１のそれぞれからトランザクションデータの検証が成功したか否かを示す報告を受け取り、当該報告の数が所定の数を超えたか否かを判定する。そして、トランザクションデータ検証部３１３は、当該報告の数が所定の数を超えたとき、コンセンサスアルゴリズムによってトランザクションデータの正当性が検証されたと判定すればよい。

トランザクションデータ検証部３１３は、トランザクションデータの正当性を確認した場合、記録部３１５にそのトランザクションデータを記録させる。

本実施の形態では、トランザクションデータ検証部３１３は、通信部３０１が受信した情報ｎ１を含むトランザクションデータｎ１または情報ｎ２を含むトランザクションデータｎ２の正当性を検証する。

また、トランザクションデータ検証部３１３は、トランザクションデータｎ１またはトランザクションデータｎ２の正当性について合意するためのコンセンサスアルゴリズムを実行する。そして、トランザクションデータ検証部３１３は、トランザクションデータｎ１またはトランザクションデータｎ２の正当性を確認した場合、記録部３１５にトランザクションデータｎ１またはトランザクションデータｎ２を記録させる。

＜記録部３１５＞
記録部３１５は、トランザクションデータ検証部３１３により正当性の検証がなされた第１トランザクションデータまたは第２トランザクションデータをブロックに含めて分散台帳３１６に格納することで、第１トランザクションデータまたは第２トランザクションデータを記録する。本実施の形態では、記録部３１５は、トランザクションデータ検証部３１３により正当性の検証がなされたトランザクションデータｎ１またはトランザクションデータｎ２をブロックに含めて分散台帳３１６に格納する。

なお、記録部３１５は、分散台帳３１６が内部に構成されていてもよい。

＜分散台帳３１６＞
分散台帳３１６は、第１トランザクションデータ及び第２トランザクションデータを格納している。本実施の形態では、分散台帳３１６は、トランザクションデータ検証部３１３により正当性の検証がなされたトランザクションデータｎ１またはトランザクションデータｎ２を格納することにより、第１の情報と第２の情報とを格納する。

図１２～図１４は、実施の形態２に係る管理システムの動作を示すシーケンス図である。

まず、事業者端末１１を使用する事業者は、ユーザＡと契約Ａについて合意したとする（Ｓ２０１）。なお、事業者は、契約Ａを合意した２者のうちの一方の者である第１ユーザの一例であり、ユーザＡは、その他方の者である第２ユーザの一例である。

次に、事業者端末１１は、事業者の操作により、契約Ａの契約書Ａと仮契約フラグとを含むトランザクションデータＡ１を生成する（Ｓ２０２）。本実施の形態では、事業者端末１１は、情報Ａ１を含むトランザクションデータＡ１を生成する。情報Ａ１は、契約書Ａのデータと、仮契約フラグとを含む。

次に、事業者端末１１は、ステップＳ２０２で生成したトランザクションデータＡ１を、認証サーバ１に送信する（Ｓ２０３）。

次に、認証サーバ１は、ステップＳ２０３で送信されたトランザクションデータＡ１を受信する（Ｓ２０４）。

次に、事業者端末１１を使用する事業者は、ユーザＢと契約Ｂについて合意したとする（Ｓ２０５）。なお、事業者は、契約Ｂを合意した２者のうちの一方の者である第１ユーザの一例であり、ユーザＢは、その他方の者である第２ユーザの一例である。

次に、事業者端末１１は、事業者の操作により、契約Ｂの契約書Ｂと仮契約フラグとを含むトランザクションデータＢ１を生成する（Ｓ２０６）。本実施の形態では、事業者端末１１は、情報Ｂ１を含むトランザクションデータＢ１を生成する。情報Ｂ１は、契約書Ｂのデータと、仮契約フラグとを含む。

次に、事業者端末１１は、ステップＳ２０６で生成したトランザクションデータＢ１を、認証サーバ１に送信する（Ｓ２０７）。

次に、認証サーバ１は、ステップＳ２０７で送信されたトランザクションデータＢ１を受信する（Ｓ２０８）。

次に、認証サーバ１は、トランザクションデータｎ１の正当性について合意するためのコンセンサスアルゴリズムを実行する場合（Ｓ２０９でＹＥＳ）、他の認証サーバ３１すなわち認証サーバ２及び認証サーバ３にトランザクションデータｎ１を転送する（Ｓ２１０）。図１２に示される例では、認証サーバ１は、トランザクションデータｎ１として、トランザクションデータＡ１及びトランザクションデータＢ１を認証サーバ２及び認証サーバ３に転送する。

次に、認証サーバ１、認証サーバ２及び認証サーバ３は、コンセンサスアルゴリズムを実行し、トランザクションデータｎ１を含むブロックを生成して、分散台帳３１６に格納する（Ｓ２１１）。

続く、ステップＳ２１２～ステップＳ２２１は、認証サーバ３０が認証サーバ１となる点のみ異なるものの、図７及び図８に示されるステップＳ１１１～ステップＳ１２０と同様の処理を行うため、説明を省略する。

ステップＳ２２０において、監査員が契約書ｎに同意していると判断した場合（Ｓ２２０でＹＥＳ）、認証サーバ１は、監査員が契約書ｎに同意している旨を、事業者端末１１に通知する（Ｓ２２２）。図１２～図１４に示される例では、認証サーバ１は、監査員が契約書Ａ及び契約書Ｂに同意していると判断した場合、契約書Ａ及び契約書Ｂに同意している旨を事業者端末１１に通知する。

次に、事業者端末１１は、ステップＳ２２２で通知された契約書ｎに同意している旨を取得すると（Ｓ２２３）、契約ｎの契約書ｎと本契約フラグとを含むトランザクションデータｎ２を生成する（Ｓ２２４）。本実施の形態では、事業者端末１１は、情報ｎ２を含むトランザクションデータｎ２を生成する。情報ｎ２は、契約書ｎのデータと、本契約フラグとを含む。図１４に示される例では、事業者端末１１は、情報Ａ２すなわち契約Ａの契約書Ａと本契約フラグとを含むトランザクションデータＡ２を生成するとともに、情報Ｂ２すなわち契約Ｂの契約書Ｂと本契約フラグとを含むトランザクションデータＢ２を生成する。

次に、事業者端末１１は、ステップＳ２２４で生成したトランザクションデータｎ２を、認証サーバ１に送信する（Ｓ２２５）。図１４に示される例では、事業者端末１１は、契約Ａの契約書Ａ及び本契約フラグを含むトランザクションデータＡ２と、契約Ｂの契約書Ｂ及び本契約フラグを含むトランザクションデータＢ２とを認証サーバ１に送信する。

次に、認証サーバ１は、ステップＳ２２５で送信されたトランザクションデータｎ２を受信する（Ｓ２２６）。

次に、認証サーバ１は、他の認証サーバ３１すなわち認証サーバ２及び認証サーバ３にトランザクションデータｎ２を転送する（Ｓ２２７）。図１４に示される例では、認証サーバ１は、トランザクションデータｎ２として、トランザクションデータＡ２及びトランザクションデータＢ２を認証サーバ２及び認証サーバ３に転送する。

次に、認証サーバ１、認証サーバ２及び認証サーバ３は、コンセンサスアルゴリズムを実行し、トランザクションデータｎ２を含むブロックを生成して、分散台帳３１６に格納する（Ｓ２２８）。

なお、図１２～図１４に示される例では、事業者端末１１が生成したトランザクションデータｎ１及びトランザクションデータｎ２を、認証サーバ１に送信しているが、認証サーバ２または認証サーバ３に送信してもよい。同様の処理となる。

また、監視員が使用する端末Ｃは、送付された契約書ｎに対する確認結果を認証サーバ１に送信しているが、これに限らない。監視員が使用する端末Ｃは、送付された契約書ｎに対する確認結果を含むトランザクションデータを生成して、認証サーバ１に送信してもよい。この場合、監視員による確認結果が分散台帳に格納されることになる。

［効果等］
以上のように、実施の形態２に係る管理システム等によれば、仮契約として新たに締結された契約を監査員に監査させることができるだけでなく、監査結果を受けて本契約となった契約書を含むトランザクションデータを分散台帳に格納することができる。

これにより、新たに締結された契約を確実に監査させることができるので、事業者とユーザとが結託して契約することを抑制できる。また、監査され、本契約となった契約書が分散台帳に格納されるので、新たに締結された本契約が、後日に改ざんされることを防止することができる。よって、事業者とユーザとが結託して契約することをより確実に抑制できる。

なお、上記では、新たに締結された契約の契約書を監査する監査員は、一人であるとして説明したが、それに限らない。実施の形態１で説明したように、監査する監査員は、１人以上であればよい。

また、上記では、事業者端末１１が、情報ｎ１及び情報ｎ２並びにトランザクションデータｎ１及びトランザクションデータｎ２を生成したとして説明したが、これに限らない。第１契約を合意した２者のうちの他方の者により使用される端末２０が、これらを生成してもよい。

（変形例）
なお、図１２に示される管理システムの動作では、事業者端末１１側でトランザクションデータを生成する場合について説明したが、これに限らない。認証サーバ３１がさらにトランザクションデータ生成部を備えれば、認証サーバ３１側でトランザクションデータを生成してもよい。この場合の動作を図１５を用いて説明する。以下、上記の図１２に示される動作と異なる部分を中心に説明する。

図１５は、実施の形態２の変形例に係る管理システムの動作を示すシーケンス図である。なお、図１２と同様の動作には同一の符号を付しており、詳細な説明は省略する。

まず、事業者端末１１を使用する事業者は、ユーザＡと契約Ａについて合意したとする（Ｓ２０１）。

次に、事業者端末１１は、事業者の操作により、契約Ａの契約書Ａと仮契約フラグとを含む情報Ａ１を生成する（Ｓ２０２ａ）。

次に、事業者端末１１は、ステップＳ２０２ａで生成した情報Ａ１を、認証サーバ１に送信する（Ｓ２０３ａ）。

次に、認証サーバ１は、ステップＳ２０３ａで送信された情報Ａ１を受信する（Ｓ２０４ａ）。

次に、事業者端末１１を使用する事業者は、ユーザＢと契約Ｂについて合意したとする（Ｓ２０５）。

次に、事業者端末１１は、事業者の操作により、契約Ｂの契約書Ｂと仮契約フラグとを含む情報Ｂ１を生成する（Ｓ２０６ａ）。

次に、事業者端末１１は、ステップＳ２０６ａで生成した情報Ｂ１を、認証サーバ１に送信する（Ｓ２０７ａ）。

次に、認証サーバ１は、ステップＳ２０７ａで送信された情報Ｂ１を受信する（Ｓ２０８ａ）。

次に、認証サーバ１は、所定の期間が経過した場合（Ｓ２０９ａでＹＥＳ）、情報ｎ１を含むトランザクションデータｎ１を生成する（Ｓ２１０ａ）。図１５に示される例では、認証サーバ１は、情報Ａ１を含むトランザクションデータＡ１と、情報Ｂ１を含むトランザクションデータＢ１とを生成する。

次に、認証サーバ１は、他の認証サーバ３１すなわち認証サーバ２及び認証サーバ３にトランザクションデータｎ１を転送する（Ｓ２１０ｂ）。

ステップＳ２１１以降については上述した通りであるので、説明を省略する。

なお、図１５に示される例では、事業者端末１１が生成したトランザクションデータｎ１を、認証サーバ１に送信しているが、認証サーバ２または認証サーバ３に送信してもよい。同様の処理となる。

（実施の形態３）
実施の形態２では、管理システムが備える複数の認証サーバ３１の分散台帳に、仮契約フラグを含むトランザクションデータｎ１と、本契約フラグを含むトランザクションデータｎ２とを格納するとして説明したが、これに限らない。管理システムは、認証サーバを備えず、それぞれが分散台帳を有する事業者端末及び複数の端末を備えてもよい。そして、このような場合に、事業者端末及び複数の端末の分散台帳に、仮契約フラグを含むトランザクションデータｎ１と、本契約フラグを含むトランザクションデータｎ２を格納してもよい。以下、実施の形態１及び実施の形態２と、異なる点を中心に説明する。

［管理システム］
図１６は、実施の形態３に係る管理システムの構成の一例を示す図である。

図１６に示す管理システムは、実施の形態２に係る管理システムに対して、複数の認証サーバ３１を備えない点と、事業者端末１２の構成及び端末２１ａ～２１ｘの構成とが異なる。なお、以下では、端末２１ａ～端末２１ｘのそれぞれを端末２１とも称するが、端末２１ａ～端末２１ｘを端末Ａ～端末Ｘと称する場合もある。

まず、事業者端末１２について説明する。

［事業者端末１２］
事業者端末１２は、事業者端末１１と同様に、ユーザにより使用される端末の一例である。事業者端末１２は、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末である。

本実施の形態でも、事業者端末１２は、ユーザの一人である事業者により使用される端末である。事業者端末１２は、例えばパーソナルコンピュータであってもよいし、スマートフォン及びタブレットなどの携帯端末であってもよい。

図１７は、実施の形態３に係る事業者端末１２の構成の一例を示す図である。図２及び図１０と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１７に示す事業者端末１２は、実施の形態２に係る事業者端末１１に対して、さらにトランザクションデータ検証部１２６と、記録部１２７と、分散台帳１２８とを備える点で構成が異なる。

＜トランザクションデータ検証部１２６＞
トランザクションデータ検証部１２６は、通信部１０１が第１トランザクションデータまたは第２トランザクションデータを受信したとき、第１トランザクションデータまたは第２トランザクションデータの正当性を検証する。なお、この検証はスキップされてもよい。

また、トランザクションデータ検証部１２６は、他の端末２１とともに、第１トランザクションデータまたは第２トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行する。トランザクションデータ検証部１２６は、第１トランザクションデータまたは第２トランザクションデータの正当性を確認した場合、記録部１２７に第１トランザクションデータまたは第２トランザクションデータを記録させる。

本実施の形態では、トランザクションデータ検証部１２６は、情報ｎ１を含むトランザクションデータｎ１または情報ｎ２を含むトランザクションデータｎ２の正当性を検証する。

また、トランザクションデータ検証部１２６は、情報ｎ１を含むトランザクションデータｎ１または情報ｎ２を含むトランザクションデータｎ２の正当性について合意するためのコンセンサスアルゴリズムを実行する。そして、トランザクションデータ検証部１２６は、情報ｎ１を含むトランザクションデータｎ１または情報ｎ２を含むトランザクションデータｎ２の正当性を確認した場合、記録部１２７に当該情報ｎ１を含むトランザクションデータｎ１または情報ｎ２を含むトランザクションデータｎ２を記録させる。

＜記録部１２７＞
記録部１２７は、トランザクションデータ検証部１２６により正当性の検証がなされた第１トランザクションデータまたは第２トランザクションデータをブロックに含めて分散台帳１２８に格納することで、第１トランザクションデータまたは第２トランザクションデータを記録する。

なお、記録部１２７は、分散台帳１２８が内部に構成されていてもよい。

＜分散台帳１２８＞
分散台帳１２８は、第１トランザクションデータまたは第２トランザクションデータを格納している。本実施の形態では、分散台帳１２８は、情報ｎ１を含むトランザクションデータｎ１または情報ｎ２を含むトランザクションデータｎ２を格納することにより、情報ｎ１及び情報ｎ２を格納する。

続いて、端末２１ａ～端末２１ｘについて説明する。なお、端末２１ａ～端末２１ｘの構成は共通しているので、端末２１と称して説明する。

［端末２１］
端末２１は、端末２０と同様に、ユーザにより使用される端末の一例である。端末２１は、例えばパーソナルコンピュータであってもよいし、分散台帳にアクセス可能なスマートフォン及びタブレットなどの携帯端末であってもよい。端末２１のいずれかは、第１契約を合意した２者のうちの他方の者である第２ユーザにより使用される端末である。また、端末２１のいずれかは、契約ｎの契約内容を示す契約情報すなわち契約書ｎを監査する監査員より使用される第２端末である。

本実施の形態では、一例として、複数の端末２１のうち、例えば端末２１ｃすなわち端末Ｃが、監査員により使用される端末であるとして説明する。また、複数の端末２１のうち、端末２１ａすなわち端末Ａが、契約Ａを合意した２者のうちの他方の者である第２ユーザにより使用される端末であるとして説明する。さらに、端末２１ｂすなわち端末Ｂが、契約Ｂを合意した２者のうちの他方の者である第２ユーザにより使用される端末であるとして説明する。

図１８は、実施の形態３に係る端末２１の構成の一例を示す図である。図３と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１８に示す端末２１は、実施の形態１に係る端末２０に対して、さらに、判断部２１５と、トランザクションデータ生成部２１６と、トランザクションデータ検証部２１７と、記録部２１８と、分散台帳２１９とを備える点で構成が異なる。

＜判断部２１５＞
判断部２１５は、所定のタイミングに到達したかを判断する。そして、判断部２１５は、所定のタイミングで、第１契約情報を監査する監査員を決定する。ここで、判断部２１５は、監査対象の第１契約情報の第１契約より後に契約を締結した者の中から、監査員を決定してもよいし、事業者が行うサービスを受けるユーザの情報を管理する管理名簿の中から監査員をランダムに決定してもよい。

また、判断部２１５は、分散台帳から第１契約情報を取得する。本実施の形態では、判断部２１５は、分散台帳２１９から契約ｎの契約書ｎを取得する。例えば、判断部２１５は、分散台帳２１９に格納されているトランザクションデータＡ１とトランザクションデータＢ１とから、契約Ａの契約書Ａと、契約Ｂの契約書Ｂとを取得する。

また、判断部２１５は、通信部２０１が受信した確認結果を確認し、確認結果が第１契約情報に対する同意を示すか否かを判断する。例えば、判断部２１５は、確認結果を確認し、監査員が契約Ａの契約書Ａに対して同意したか否かと、契約Ｂの契約書Ｂに対して同意したか否かを判断する。

＜トランザクションデータ生成部２１６＞
トランザクションデータ生成部２１６は、第１トランザクションデータまたは第２トランザクションデータを生成する。より具体的には、トランザクションデータ生成部２１６は、第１の情報を含む第１トランザクションデータを生成してもよい。トランザクションデータ生成部２１６は、第２の情報を含む第２トランザクションデータを生成してもよい。また、トランザクションデータ生成部２１６は、生成した第１トランザクションデータまたは第２トランザクションデータを、他の端末２１等に送信してもよい。

本実施の形態では、トランザクションデータ生成部２１６は、情報ｎ１すなわち契約書ｎ及び仮契約フラグを含むトランザクションデータｎ１と、情報ｎ２すなわち契約書ｎ及び本契約フラグを含むトランザクションデータｎ２とを生成する。

トランザクションデータ生成部２１６は、通信部２０１を介して、生成したトランザクションデータｎ１またはトランザクションデータｎ２を他の端末２１または事業者端末１２に送信する。

＜トランザクションデータ検証部２１７＞
トランザクションデータ検証部２１７は、通信部２０１が第１トランザクションデータまたは第２トランザクションデータを受信したとき、第１トランザクションデータまたは第２トランザクションデータの正当性を検証する。なお、この検証はスキップされてもよい。

また、トランザクションデータ検証部２１７は、他の端末２１及び事業者端末１２とともに、第１トランザクションデータまたは第２トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行する。トランザクションデータ検証部２１７は、第１トランザクションデータまたは第２トランザクションデータの正当性を確認した場合、記録部２１８に第１トランザクションデータまたは第２トランザクションデータを記録させる。

本実施の形態では、トランザクションデータ検証部２１７は、情報ｎ１を含むトランザクションデータｎ１または情報ｎ２を含むトランザクションデータｎ２の正当性を検証する。また、トランザクションデータ検証部２１７は、情報ｎ１を含むトランザクションデータｎ１または情報ｎ２を含むトランザクションデータｎ２の正当性について合意するためのコンセンサスアルゴリズムを実行する。そして、トランザクションデータ検証部２１７は、当該トランザクションデータｎ１またはｎ２の正当性を確認した場合、記録部２１８に当該トランザクションデータｎ１またはｎ２を記録させる。

＜記録部２１８＞
記録部２１８は、トランザクションデータ検証部２１７により正当性の検証がなされた第１トランザクションデータまたは第２トランザクションデータをブロックに含めて分散台帳２１９に格納することで、第１トランザクションデータまたは第２トランザクションデータを記録する。

なお、記録部２１８は、分散台帳２１９が内部に構成されていてもよい。

＜分散台帳２１９＞
分散台帳２１９は、第１トランザクションデータまたは第２トランザクションデータを格納している。本実施の形態では、分散台帳２１９は、情報ｎ１を含むトランザクションデータｎ１または情報ｎ２を含むトランザクションデータｎ２を格納することにより、情報ｎ１及び情報ｎ２を格納する。

図１９～図２１は、実施の形態３に係る管理システムの動作を示すシーケンス図である。

まず、事業者端末１２を使用する事業者は、ユーザｎと契約ｎについて合意したとする（Ｓ３０１）。なお、上述したが、事業者は、第１契約を合意した２者のうちの一方の者である第１ユーザの一例であり、ユーザｎは、その他方の者である第３ユーザの一例である。

次に、事業者端末１２は、事業者の操作により、契約ｎの契約書ｎと仮契約フラグとを含むトランザクションデータｎ１を生成する（Ｓ３０２）。

次に、事業者端末１２は、ステップＳ３０２で生成したトランザクションデータｎ１を、他の端末２１すなわち端末Ａ、端末Ｂ及び端末Ｃに転送する（Ｓ３０３）。

次に、事業者端末１２、端末Ａ、端末Ｂ及び端末Ｃは、コンセンサスアルゴリズムを実行し、トランザクションデータｎ１を含むブロックを生成して、分散台帳に格納する（Ｓ３０４）。

次に、例えば端末Ａは、所定のタイミングに到達したかを判断する（Ｓ３０５）。なお、第１契約を締結した他方の者が使う端末２１であれば端末Ａに限らず、端末Ｂでもよい。同様の処理となる。

ステップＳ３０５において、端末Ａは、所定のタイミングに到達していないと判断した場合（Ｓ３０５でＮＯ）、ステップＳ３０５に戻り、処理を繰り返す。

一方、ステップＳ３０５において、端末Ａは、所定のタイミングに到達したと判断した場合（Ｓ３０５でＹＥＳ）、監査員を決定する（Ｓ３０６）。例えば、端末Ａは、図５に示したような管理名簿の中からランダムに監査員を決定する。

次に、端末Ａは、分散台帳２１９から契約ｎの契約書ｎを取得する（Ｓ３０７）。

次に、端末Ａは、ステップＳ３０６で決定した監査員の端末２１に、ステップＳ３０７で取得した契約書ｎを送信する（Ｓ３０８）。図２０に示された例では、端末Ａは、契約書ｎを、監査員により使用される端末Ｃに送信する。

次に、端末Ｃは、ステップＳ３０８で送信された契約書ｎを受信する（Ｓ３０９）。

次に、端末Ｃは、監査員の操作により、契約書ｎに同意するか否かの確認結果を生成する（Ｓ３１０）。

次に、端末Ｃは、ステップＳ３１０で生成した確認結果を、端末Ａに送信する（Ｓ３１１）。

次に、端末Ａは、ステップＳ３１１で送信された確認結果を受信する（Ｓ３１２）。

次に、端末Ａは、ステップＳ３１２で受信した確認結果を確認し、監査員が契約書ｎに同意したかを判断する（Ｓ３１３）。

ステップＳ３１３において、監査員が契約書ｎに同意していないと判断した場合（Ｓ３１３でＮＯ）、端末Ａは、非同意処理を行う（Ｓ３１３）。非同意処理は、ステップＳ１２０で説明した通りであるので、ここでの説明は省略する。

一方、ステップＳ３１３において、監査員が契約書ｎに同意していると判断した場合（Ｓ３１３でＹＥＳ）、端末Ａは、契約ｎの契約書ｎと本契約フラグとを含むトランザクションデータｎ２を生成する（Ｓ３１４）。本実施の形態では、端末Ａは、情報ｎ２を含むトランザクションデータｎ２を生成する。情報ｎ２は、契約書ｎのデータと、本契約フラグとを含む。

次に、端末Ａは、他の端末２１すなわち端末Ｂ、端末Ｃ及び事業者端末１２にトランザクションデータｎ２を転送する（Ｓ３１５）。

次に、端末Ａ、端末Ｂ、端末Ｃ及び事業者端末１２は、コンセンサスアルゴリズムを実行し、トランザクションデータｎ２を含むブロックを生成して、それぞれの分散台帳に格納する（Ｓ３１６）。

最後に、端末Ａは、契約ｎが本契約になった旨を、少なくとも事業者端末１２に通知する（Ｓ３１７）。

このようにして、本実施の形態に係る管理システムは、仮契約として新たに締結された契約を監査員に監査させることができる。そして、本実施の形態に係る管理システムは、監査結果を受けて本契約となった契約書をトランザクションデータに含めて分散台帳に格納する。

［効果等］
以上のように、実施の形態３に係る管理システム等によれば、仮契約として新たに締結された契約を、監査員に監査させることができるだけでなく、監査結果を受けて本契約となった契約書を含むトランザクションデータを分散台帳に格納することができる。

また、上記では、事業者端末１２が、トランザクションデータｎ１と、トランザクションデータｎ２とを生成したとして説明したが、これに限らない。第１契約を合意した２者のうちの他方の者により使用される端末２１のいずれかが、トランザクションデータｎ１とトランザクションデータｎ２とを生成してもよい。

（変形例１）
上記の実施の形態３では、端末Ａなど複数の端末２１のいずれかが、仮契約として新たに締結された契約の契約書を監査する監査員を決定したり、監査員が当該契約書に同意したか否かを判断する場合について説明したが、これに限らない。エージェントサーバが仮契約として新たに締結された契約の契約書を監査する監査員を決定したり、監査員が当該契約書に同意したか否かを判断してもよい。

本変形例では、エージェントサーバ４０が監査員を決定したり、確認結果から監査員が契約書に同意したか否かを判断する場合について説明する。また、本変形例では、エージェントサーバ４０と複数の端末２１と事業者端末１２とが同一内容の複数の台帳からなる分散台帳を有する場合について説明する。以下では、実施の形態１等と異なる点を中心に説明する。

［管理システム］
図２２は、実施の形態３の変形例１に係る管理システムの構成の一例を示す図である。図１６と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図２２に示す管理システムは、実施の形態３に係る管理システムに対して、さらにエージェントサーバ４０を備える点で構成が異なる。なお、以下でも、端末２１ａ～端末２１ｘのそれぞれを端末２１とも称するが、端末２１ａ～端末２１ｘを端末Ａ～端末Ｘと称する場合もある。

以下、エージェントサーバ４０について説明する。

［エージェントサーバ４０］
エージェントサーバ４０は、第１サーバの一例である。

図２３は、実施の形態３の変形例１に係るエージェントサーバ４０の構成の一例を示す図である。

エージェントサーバ４０は、図２３に示すように、通信部４０１と、判断部４０２と、記憶部４０３とを備える。エージェントサーバ４０は、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。以下、各構成要素について説明する。

＜通信部４０１＞
通信部４０１は、判断部４０２が決定した第１契約情報を監査する監査員により使用される第２端末に、分散台帳から取得された第１の情報の第１契約情報を送信する。通信部４０１は、第２端末から、第１契約情報に対する監査員による同意または非同意を示す確認結果を受信する。

本実施の形態では、通信部４０１は、判断部４０２が決定した契約書ｎを監査する監査員に、情報ｎの契約書ｎを監査員により使用される端末２０に送信したり、当該端末２１から契約書ｎに対する監査員による同意または非同意を示す確認結果を受信したりする。また、通信部４０１は、契約ｎが本契約になった旨を少なくとも事業者端末１２に通知する。

このように、通信部４０１は、ネットワークＮを介して事業者端末１２または端末２１との通信を行う。なお、この通信は、ＴＬＳによりなされてもよく、ＴＬＳ通信用の暗号鍵は通信部４０１で保持してもよい。

＜判断部４０２＞
判断部４０２は、所定のタイミングに到達したかを判断する。また、判断部４０２は、所定のタイミングで、第１契約情報を監査する監査員を決定する。ここで、判断部４０２は、監査対象の第１契約情報の第１契約より後に契約を締結した者の中から、監査員を決定してもよいし、事業者が行うサービスを受けるユーザの情報を管理する管理名簿の中から監査員をランダムに決定してもよい。

判断部４０２は、分散台帳から第１契約情報を取得する。本実施の形態では、判断部４０２は、端末２１または事業者端末１２の分散台帳から契約ｎの契約書ｎを取得する。例えば、判断部４０２は、端末２１または事業者端末１２の分散台帳から、契約Ａの契約書Ａと、契約Ｂの契約書Ｂとを取得する。

また、判断部４０２は、通信部４０１が受信した確認結果を確認し、確認結果が第１契約情報に対する同意を示すか否かを判断する。本実施の形態では、判断部４０２は、通信部４０１が受信した確認結果を確認し、監査員が、契約ｎの契約書ｎに対して同意したか否かを判断する。例えば、判断部４０２は、確認結果を確認し、監査員が契約Ａの契約書Ａに対して同意したか否かと、契約Ｂの契約書Ｂに対して同意したか否かを判断する。

＜記憶部４０３＞
記憶部４０３は、通信部４０１が受信した確認結果を記憶したり、端末２１または事業者端末１２の分散台帳から取得された第１契約情報を記憶したりする。本実施の形態では、記憶部４０３は、第１契約情報として契約ｎの契約書ｎを記憶する。

図２４～図２６は、実施の形態３の変形例１に係る管理システムの動作を示すシーケンス図である。

ステップＳ４０１～ステップＳ４０４は、図１９に示されるステップＳ３０１～ステップＳ３０４と同様の処理を行うため、説明を省略する。

次に、ステップＳ４０５において、例えばエージェントサーバ４０は、所定のタイミングに到達したかを判断する。

ステップＳ４０５において、エージェントサーバ４０は、所定のタイミングに到達していないと判断した場合（Ｓ４０５でＮＯ）、ステップＳ４０５に戻り、処理を繰り返す。

一方、ステップＳ４０５において、エージェントサーバ４０は、所定のタイミングに到達したと判断した場合（Ｓ４０５でＹＥＳ）、監査員を決定する（Ｓ４０６）。

次に、エージェントサーバ４０は、端末２１または事業者端末１２の分散台帳から契約ｎの契約書ｎを取得する（Ｓ４０７）。

次に、エージェントサーバ４０は、ステップＳ４０６で決定した監査員の端末２１に、ステップＳ４０７で取得した契約書ｎを送信する（Ｓ４０８）。図２５に示された例では、エージェントサーバ４０は、決定した監査員により使用される端末Ｃに、契約書ｎを送信する。

次に、端末Ｃは、ステップＳ４０８で送信された契約書ｎを受信する（Ｓ４０９）。

次に、端末Ｃは、監査員の操作により、契約書ｎに同意するか否かの確認結果を生成する（Ｓ４１０）。

次に、端末Ｃは、ステップＳ４１０で生成した確認結果を、エージェントサーバ４０に送信する（Ｓ４１１）。

次に、エージェントサーバ４０は、ステップＳ４１１で送信された確認結果を受信する（Ｓ４１２）。

次に、エージェントサーバ４０は、ステップＳ４１２で受信した確認結果を確認し、監査員が契約書ｎに同意したかを判断する（Ｓ４１３）。

ステップＳ４１３において、監査員が契約書ｎに同意していないと判断した場合（Ｓ４１３でＮＯ）、エージェントサーバ４０は、非同意処理を行う（Ｓ４１４）。非同意処理は、ステップＳ１２０で説明した通りであるので、ここでの説明は省略する。

一方、ステップＳ４１３において、監査員が契約書ｎに同意していると判断した場合（Ｓ４１３でＹＥＳ）、エージェントサーバ４０は、監査員が契約書ｎに同意している旨を、事業者端末１２に通知する（Ｓ４１５）。

次に、事業者端末１２は、ステップＳ４１５で通知された契約書ｎに同意している旨を取得すると（Ｓ４１６）、契約ｎの契約書ｎと本契約フラグとを含むトランザクションデータｎ２を生成する（Ｓ４１７）。本実施の形態では、事業者端末１２は、情報ｎ２を含むトランザクションデータｎ２を生成する。情報ｎ２は、契約書ｎのデータと、本契約フラグとを含む。

次に、事業者端末１２は、ステップＳ４１７で生成したトランザクションデータｎ２を、端末２１すなわち端末Ａ、端末Ｂ及び端末Ｃに転送する（Ｓ４１８）。

次に、端末Ａ、端末Ｂ、端末Ｃ及び事業者端末１２は、コンセンサスアルゴリズムを実行し、トランザクションデータｎ２を含むブロックを生成して、それぞれの分散台帳に格納する（Ｓ４１９）。

このようにして、本実施の形態の変形例１に係る管理システムは、仮契約として新たに締結された契約を、監査員に監査させることができる。そして、本実施の形態に係る管理システムは、監査結果を受けて本契約となった契約書をトランザクションデータに含めて分散台帳に格納する。

（変形例２）
上記の実施の形態３の変形例１では、複数の端末２１と事業者端末１２とが、同一内容の複数の台帳からなる分散台帳を有しており、エージェントサーバが監査員を決定したり、監査員が当該契約書に同意したか否かを判断したりする場合について説明したが、これに限らない。複数の認証サーバが同一内容の複数の台帳からなる分散台帳を有し、複数の端末２１と事業者端末１２とは当該分散台帳を有さず、エージェントサーバが監査員を決定したり、監査員が当該契約書に同意したか否かを判断したりしてもよい。以下、この場合を実施の形態３の変形例２として、変形例１等と異なる点を中心に説明する。

［管理システム］
図２７は、実施の形態３の変形例２に係る管理システムの構成の一例を示す図である。図９等と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図２７に示す管理システムは、図９に示す管理システムに対して、さらにエージェントサーバ４０を備え、認証サーバ３２ａ～認証サーバ３２ｃの構成が異なる。なお、図２７に示すエージェントサーバ４０は、実施の形態３の変形例１で説明した通りであるので、ここでの説明は省略する。また、以下でも、端末２０ａ～端末２０ｘのそれぞれを端末２０とも称するが、端末２０ａ～端末２０ｘを端末Ａ～端末Ｘと称する場合もある。また、認証サーバ３２ａ～３２ｃのそれぞれを認証サーバ３２とも称するが、認証サーバ３２ａ～認証サーバ３２ｃを認証サーバ１～認証サーバ３と称する場合もある。

まず、認証サーバ３２ａ～認証サーバ３２ｃについて説明する。なお、認証サーバ３２ａ～認証サーバ３２ｃの構成は共通しているので、認証サーバ３２と称して説明する。

［認証サーバ３２］
認証サーバ３２は、第１サーバの一例である。

図２８は、実施の形態３の変形例２に係る認証サーバ３２の構成の一例を示す図である。図１１と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図２８に示す認証サーバ３２は、実施の形態２に係る認証サーバ３１に対して、判断部がない点で構成が異なる。認証サーバ３２も、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。

その他については、実施の形態２に係る認証サーバ３１で説明した通りであるので、説明を省略する。

図２９～図３１は、実施の形態３の変形例２に係る管理システムの動作を示すシーケンス図である。

ステップＳ５０１及びステップＳ５０２は、図１９に示されるステップＳ３０１及びステップＳ３０２と同様の処理を行うため、説明を省略する。

次に、事業者端末１１は、ステップＳ５０２で生成したトランザクションデータｎ１を、エージェントサーバ４０に送信する（Ｓ５０３）。

次に、エージェントサーバ４０は、ステップＳ５０３で送信されたトランザクションデータｎ１を受信する（Ｓ５０４）。

次に、エージェントサーバ４０は、所定の期間が経過した場合（Ｓ５０５でＹＥＳ）、ステップＳ５０４で受信したトランザクションデータｎ１を、認証サーバ１～認証サーバ３に送信する（Ｓ５０６）。

次に、認証サーバ１、認証サーバ２及び認証サーバ３は、コンセンサスアルゴリズムを実行し、トランザクションデータｎ１を含むブロックを生成して、分散台帳３１６に格納する（Ｓ５０７）。

続く、ステップＳ５０８～ステップＳ５２０は、図２５及び図２６に示されるステップＳ４０５～ステップＳ４１６と同様の処理を行うため、説明を省略する。

次に、ステップＳ５２１において、事業者端末１１は、ステップＳ５２０で生成したトランザクションデータｎ２を、エージェントサーバ４０に送信する（Ｓ５２１）。

次に、エージェントサーバ４０は、ステップＳ５２１で送信されたトランザクションデータｎ２を受信する（Ｓ５２２）。

次に、エージェントサーバ４０は、所定の期間が経過した場合（Ｓ５２３でＹＥＳ）、ステップＳ５２２で受信したトランザクションデータｎ２を、認証サーバ１～認証サーバ３に送信する（Ｓ５２４）。

次に、認証サーバ１、認証サーバ２及び認証サーバ３は、コンセンサスアルゴリズムを実行し、トランザクションデータｎ２を含むブロックを生成して、分散台帳３１６に格納する（Ｓ５２５）。

このようにして、本実施の形態の変形例２に係る管理システムは、仮契約として新たに締結された契約を、監査員に監査させることができる。そして、本実施の形態に係る管理システムは、監査結果を受けて本契約となった契約書をトランザクションデータに含めて分散台帳に格納する。

このようにして、本実施の形態の変形例２に係る管理システムは、仮契約として新たに締結された契約を、監査員に監査させることができる。そして、本実施の形態に係る管理システムは、監査結果を受けて本契約とした契約書をトランザクションデータに含めて分散台帳に格納する。

［その他の実施の形態等］
以上のように、本開示について上記の実施の形態に基づいて説明してきたが、本開示は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本開示に含まれる。

（１）例えば本開示において、決定された監査員が、使用する端末を使って、事業者端末により生成された契約書の中身を確認することで、第１契約が改ざん等されていないことを確認するとしてもよい。

（２）上記実施の形態では、認証サーバ及びエージェントサーバ等が、新たに締結された契約の契約書を監査する監査員を決定することについて説明したが、これに限らない。監査員を決定する認証サーバ及びエージェントサーバ等にはさらに、ＡＩ（Artificial Intelligence）が搭載されてもよい。この場合、認証サーバ及びエージェントサーバ等は、当該ＡＩに新たに締結された契約の契約書と、分散台帳に格納される契約書とを比較させて、分散台帳に格納される契約書が、新たに締結された契約の契約書よりも不利な契約内容となっていないかを判断させてもよい。

（３）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

（４）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部またはすべてを含むように１チップ化されてもよい。

また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。

さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。

（５）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

（６）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。

また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を、前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

（７）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。

本開示は、制御方法、サーバ、及び、プログラムに利用でき、例えば車両のシェアリングサービスなどで事業者とユーザとが個人契約を行う場合に、新たに締結された個人契約を監査員に監査させることができる制御方法、サーバ、及び、プログラムなどに利用可能である。

１０、１１、１２事業者端末
２０、２０ａ、２０ｂ、２０ｃ、２０ｘ、２１、２１ａ、２１ｂ、２１ｃ、２１ｘ端末
３０、３１、３１ａ、３１ｂ、３１ｃ、３２、３２ａ、３２ｂ、３２ｃ認証サーバ
４０エージェントサーバ
１０１、２０１、３０１、４０１通信部
１０２、２０２入力部
１０３、２０３表示部
１０４、２０４、３０３情報生成部
１１５、２１６トランザクションデータ生成部
１２６、２１７、３１３トランザクションデータ検証部
１２７、２１８、３１５記録部
１２８、２１９、３１６分散台帳
２１５、３０２、４０２判断部
３０４台帳記憶部
４０３記憶部

Claims

それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの第１サーバによって実行される制御方法であって、
第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約の契約内容を示す第１契約情報と、前記第１契約情報が仮契約であることを示す仮契約フラグとを含む第１の情報を受信し、
受信した前記第１の情報を台帳に格納し、
前記第１契約情報を監査する監査員により使用される第２端末に、前記台帳から取得した前記第１契約情報を送信し、
前記第２端末から、前記第１契約情報に対する前記監査員による同意または非同意を示す確認結果を受信し、
前記確認結果を確認し、前記確認結果が前記第１契約情報に対する同意を示す場合、前記第１契約情報と、前記第１契約情報が本契約になったことを示す本契約フラグとを含む第２の情報を取得して、前記台帳に格納する、
制御方法。
前記台帳から取得した前記第１契約情報を送信する際、
所定のタイミングで、前記第１契約情報を監査する監査員を決定し、
決定した前記監査員により使用される前記第２端末に、前記台帳から取得した前記第１契約情報を送信する、
請求項１に記載の制御方法。
前記台帳は、ブロックチェーンの基盤上で構築される同一内容の台帳が複数存在する分散台帳である、
請求項１または２に記載の制御方法。
前記第１の情報を受信する際、
前記第１の情報を含む第１トランザクションデータを受信することで、前記第１の情報を受信し、
受信した前記第１の情報を前記台帳に格納する際、
前記第１トランザクションデータを含むブロックを前記台帳に格納し、
前記第２の情報を取得する際、
前記第２の情報を含む第２トランザクションデータを取得することで、前記第２の情報を取得し、
取得した前記第２の情報を前記台帳に格納する際、
前記第２トランザクションデータを含むブロックを前記台帳に格納する、
請求項３に記載の制御方法。
前記第１トランザクションデータまたは前記第２トランザクションデータを含むブロックを前記台帳に格納する際、
前記１以上のサーバのうちの前記第１サーバを除く複数の第２サーバとともに、前記第１トランザクションデータまたは前記第２トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
前記コンセンサスアルゴリズムによって前記第１トランザクションデータまたは前記第２トランザクションデータの正当性について合意された場合、前記第１トランザクションデータまたは前記第２トランザクションデータを含むブロックを前記台帳に格納する、
請求項４に記載の制御方法。
前記第１トランザクションデータまたは前記第２トランザクションデータを含むブロックを前記台帳に格納する際、
前記第１トランザクションデータまたは前記第２トランザクションデータをブロックチェーンのトランザクションデータとして前記台帳に格納する、
請求項４または５に記載の制御方法。
前記第１の情報は、
前記第１契約情報と、前記仮契約フラグとに加え、
時間情報と、
前記第１契約を合意した２者のうちの他方の者である第２ユーザを示すＩＤと、
前記第１の情報の生成者の署名と、を含む、
請求項１～６のいずれか１項に記載の制御方法。
それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの一つのサーバであって、
プロセッサと、
メモリと、を備え、
前記プロセッサは、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約の契約内容を示す第１契約情報と、前記第１契約情報が仮契約であることを示す仮契約フラグとを含む第１の情報を受信し、
前記プロセッサは、受信した前記第１の情報を台帳に格納し、
前記プロセッサは、前記第１契約情報を監査する監査員により使用される第２端末に、前記台帳から取得した前記第１契約情報を送信し、
前記プロセッサは、前記第２端末から、前記第１契約情報に対する前記監査員による同意または非同意を示す確認結果を受信し、
前記プロセッサは、前記確認結果を確認し、前記確認結果が前記第１契約情報に対する同意を示す場合、前記第１契約情報と、前記第１契約情報が本契約になったことを示す本契約フラグとを含む第２の情報を取得して、前記台帳に格納する、
サーバ。
それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの第１サーバによって実行される制御方法をコンピュータに実行させるためのプログラムであって、
第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約の契約内容を示す第１契約情報と、前記第１契約情報が仮契約であることを示す仮契約フラグとを含む第１の情報を受信し、
受信した前記第１の情報を台帳に格納し、
前記第１契約情報を監査する監査員により使用される第２端末に、前記台帳から取得した前記第１契約情報を送信し、
前記第２端末から、前記第１契約情報に対する前記監査員による同意または非同意を示す確認結果を受信し、
前記確認結果を確認し、前記確認結果が前記第１契約情報に対する同意を示す場合、前記第１契約情報と、前記第１契約情報が本契約になったことを示す本契約フラグとを含む第２の情報を取得して、前記台帳に格納することを、
コンピュータに実行させるためのプログラム。