JPWO2006137117A1 - 情報アクセス制御システムおよびその方法 - Google Patents

Abstract

情報利用装置３と報情報アクセス制御サーバ４との間で認証処理が行われ、認証された情報利用装置３は、ＡＰサーバ６に対してサービスを要求する。ＡＰサーバ６と情報アクセス制御サーバ４との間で認証処理が行われ、情報アクセス制御サーバ４に対して、情報利用装置３に対する個人を特定可能な識別情報（実体）の送信が要求される。要求に応じて、サービスの実現に必要とされるが、個人を特定不可能な一般情報が、情報アクセス制御サーバ４からＡＰサーバ６に対して送信される。ＡＰサーバ６は、サービスの処理結果を、情報利用装置３に対して送信し、情報アクセス制御サーバ４は、情報利用装置３が要求したサービスに対応する識別情報（実体）を、情報利用装置３に対して送信する。

Description

本発明は、特定の情報に対するアクセスを、他の情報から分離して制御できるようにした情報アクセス制御システムおよびその方法に関する。

現在、世界各国において個人情報を保護するための法制度が整えられている。
例えば、日本においては、個人情報の用途の説明、個人情報の用途以外での使用禁止、および、個人情報漏洩時の本人への通知などが義務づけられている。
また、例えば、特許文献１〜６には、特定の情報、例えば、個人情報を保護するための様々な方法が開示されている。
しかしながら、これらの方法は、個人情報に関係する情報処理を行うときに、その処理を行う装置に、個人情報が出て行ってしまったり、特定の種類の情報処理に特化していたりする。
特開２００５−０５１６７１号公報 特開２００５−００４７１４号公報 特開２００４−３６３７３２号公報 特開２００４−２８２６５７号公報 特開２００４−０６８８６９号公報 特開２００２−１３５００４号公報

本発明は、上述ような背景からなされたものであり、特定の情報に対するアクセスを適切に制御することにより、この情報を、確実に保護することができるように改良された情報アクセス制御システムおよびその方法を提供することを目的とする。
また、本発明は、特定の情報を確実に保護でき、しかも、様々な情報処理に汎用的に応用することができるように改良された情報アクセス制御システムおよびその方法を提供することを目的とする。

上記目的を達成するために、本発明に係る情報アクセス制御システムは、所定の存在に関する情報であって、前記存在の識別に用いられ得る第１の情報と、前記第１の情報以外の第２の情報とを提供する情報提供装置と、情報アクセス制御装置と、情報処理装置とを有する情報アクセス制御システムであって、前記情報処理装置は、前記情報提供装置に対して、前記第１の情報に対するアクセスの規則を提示する第１の規則提示手段と、前記第１の情報に対応する識別子に対応付けられて提供される前記第２の情報を処理する情報処理手段とを有し、前記情報提供装置は、前記第１の情報と第２の情報とを提供する情報提供手段と、前記提示された規則を許諾する第１の許諾手段とを有し、前記情報アクセス制御装置は、前記識別子を生成する識別子生成手段と、前記生成された識別子を、この識別子に対応する第２の情報に対応付けて、前記情報処理装置に提供する情報提供手段と、前記許諾された規則に従って、この規則に対応する第１の情報に対するアクセスを許可するか否かを制御する情報アクセス制御手段とを有する。

また、本発明に係る情報アクセス制御装置は、所定の存在に関係する情報であって、前記存在の識別に用いられ得る第１の情報に対する情報アクセス制御を行う情報アクセス制御装置であって、前記存在に関係する情報は、前記第１の情報以外の第２の情報を含み、前記第１の情報に対するアクセスの規則が提示され、前記提示された規則に対して許諾が行われ、前記第１の情報に対応する識別子に対応付けられて提供される前記第２の情報に対して、所定の情報処理が行われ、前記識別子を生成する識別子生成手段と、前記生成された識別子を、この識別子に対応する第２の情報に対応付けて、前記情報処理のために提供する情報提供手段と、前記許諾された規則に従って、この規則に対応する第１の情報に対するアクセスを制御する情報アクセス制御手段とを有する。

好適には、前記第１の情報に対するアクセスの規則の提示方法と、前記情報処理の内容とを、前記所定の存在ごとに対応付けて定義する定義データを作成する定義データ作成手段と、前記作成された定義データに含まれるアクセスの規則の提示方法に従って、前記情報処理装置からの前記第１の情報に対するアクセスの規則を、前記情報提供装置に提示するアクセス規則提示手段とをさらに有する。

好適には、前記情報処理は、前記作成された定義データに含まれる処理の内容に従って行われ、前記情報アクセス制御手段は、前記要求された情報処理に対応する前記第１の情報であって、前記アクセスが許可された前記第１の情報に対するアクセスを許可する。

好適には、前記処理結果は、この処理結果に対応する前記識別情報に対応付けられて利用され、前記アクセスが許諾された識別情報を、前記利用のために提供する処理結果提供手段をさらに有する。

好適には、前記アクセスが許諾された第１の情報を利用する利用者を認証する第１の認証手段をさらに有し、前記処理結果提供手段は、前記認証された利用者に対して、前記識別情報に対応する処理結果を提供する。

好適には、前記存在を認証する第１の認証手段と、前記認証された存在に関係する前記第１の情報を記憶する情報記憶手段とをさらに有し、前記情報アクセス制御手段は、前記記憶された第１の情報に対するアクセスを制御する。

好適には、前記情報記憶手段は、前記記憶した第１の情報を、それぞれに設定された時間が経過した後に削除する。

好適には、前記第１の情報に対するアクセスの履歴をとる履歴手段をさらに有する。

好適には、前記規則を提示する規則提示手段と、前記提示された規則に対する許諾を受け入れる許諾受入手段とをさらに有し、前記情報アクセス制御手段は、前記提示された規則と、この規則に対する許諾とに基づいて、前記第１の情報に対するアクセスを制御する。

好適には、前記規則を、前記許諾を行う許諾者に対して表示するために用いられる表示画像を定義する画像定義手段をさらに有し、前記規則提示手段は、前記規則を、前記定義された表示画像を用いて、前記許諾者に対して表示する。

好適には、前記規則提示手段は、前記規則を、前記許諾を行う許諾者に対して対話的に表示する。

好適には、前記所定の存在は個人であり、前記第１の情報は、個人を識別しうる識別情報であり、前記第２の情報は、個人に関係する一般情報である。

また、本発明に係る情報処理装置は、所定の存在に関する情報を処理する情報処理装置であって、前記存在に関する情報は、前記存在の識別に用いられ得る第１の情報と、前記第１の情報以外の第２の情報とを含み、前記第１の情報は、規則に従ってアクセスされ、前記第１の情報に対するアクセスの規則を提示する規則提示手段と、前記第１の情報に対応する前記第２の情報を処理する情報処理手段とを有する。

また、本発明に係る情報アクセス制御方法は、所定の存在に関係する情報であって、前記存在の識別に用いられ得る第１の情報に対する情報アクセス制御を行う情報アクセス制御方法であって、前記存在に関係する情報は、前記第１の情報以外の第２の情報を含み、前記第１の情報に対するアクセスの規則が提示され、前記提示された規則に対して許諾が行われ、前記第１の情報に対応する識別子に対応付けられて提供される前記第２の情報に対して、所定の情報処理が行われ、前記識別子を生成する識別子生成ステップと、前記生成された識別子を、この識別子に対応する第２の情報に対応付けて、前記情報処理のために提供する情報提供ステップと、前記許諾された規則に従って、この規則に対応する第１の情報に対するアクセスを制御する情報アクセス制御ステップとを有する。

また、本発明に係る情報処理方法は、個人に関する情報を処理する情報処理方法であって、前記個人に関する情報は、前記個人の識別に用いられ得る識別情報と、前記識別情報以外の一般情報とを含み、前記識別情報は、規則に従ってアクセスされ、前記識別情報に対するアクセスの規則を提示する規則提示ステップと、前記識別情報に対応する前記一般情報を処理する情報処理ステップとを有する。

また、本発明に係る情報アクセス制御プログラムは、所定の存在に関係する情報であって、前記存在の識別に用いられ得る第１の情報に対する情報アクセス制御を行うプログラムであって、前記存在に関係する情報は、前記第１の情報以外の第２の情報を含み、前記第１の情報に対するアクセスの規則が提示され、前記提示された規則に対して許諾が行われ、前記第１の情報に対応する識別子に対応付けられて提供される前記第２の情報に対して、所定の情報処理が行われ、前記識別子を生成する識別子生成ステップと、前記生成された識別子を、この識別子に対応する第２の情報に対応付けて、前記情報処理のために提供する情報提供ステップと、前記許諾された規則に従って、この規則に対応する第１の情報に対するアクセスを制御する情報アクセス制御ステップとをコンピュータに実行させる。

また、本発明に係る情報処理プログラムは、個人に関する情報を処理するプログラムであって、前記個人に関する情報は、前記個人の識別に用いられ得る識別情報と、前記識別情報以外の一般情報とを含み、前記識別情報は、規則に従ってアクセスされ、前記識別情報に対するアクセスの規則を提示する規則提示ステップと、前記識別情報に対応する前記一般情報を処理する情報処理ステップとをコンピュータに実行させる。

本発明によれば、特定の情報に対するアクセスを適切に制御することにより、この情報を、確実に保護することができる。
また、本発明は、特定の情報を確実に保護でき、しかも、様々な情報処理に汎用的に応用することができる。

本発明に係る情報アクセス制御システムの構成を例示する図である。 図１に示した情報アクセス制御システムに含まれる情報提供装置、情報利用装置、情報アクセス制御サーバおよびＡＰサーバのハードウエアを例示する図である。 図１に示した情報アクセス制御システムにおいて定義されるサービスを定義する識別情報オブジェクトモデルを例示する図である。 図３に示した識別情報オブジェクトモデルにおいて定義される識別情報ＵＩオブジェクトの内容を例示する図である。 図１に示した情報アクセス制御システムにおけるサービスの提供および情報アクセス制御のために用いられる情報を示す図である。 図１，図２に示した情報提供装置２において実行される情報提供プログラムの構成を示す図である。 図１，図２に示した情報利用装置において実行される情報利用プログラムを示す図である。 図１，図２に示した情報アクセス制御サーバにおいて実行される情報アクセス制御プログラムの構成を示す図である。 図８に示したサービス定義部の構成を示す図である。 図８に示した情報アクセス制御部の構成を示す図である。 図８に示した情報提供者マスタＤＢに記憶される情報提供者情報を示す図である。 図８に示したノードＤＢに記憶されるノード情報を示す図であって、（Ａ）は、ＡＰサーバについてのノード情報を示し、（Ｂ）は、情報利用装置についてのノード情報を示し、（Ｃ）は、情報提供装置についてのノード情報を示す。 図８に示したＵＩ処理部により情報提供装置から受け入れられ、ＡＰサーバに送信される一般情報を示す図であって、（Ａ）は、ＵＩ処理部の一般情報受入部が情報提供装置から受け入れる一般情報を示し、（Ｂ）は、ＵＩ処理部の一般情報送信部が送信する一般情報を示す。 図９に示した識別情報オブジェクトＤＢにリポジトリ構造で記憶される識別情報オブジェクトモデルを例示する図である。 図８に示した識別情報ＤＢに記憶される識別情報（実体）を示す図である。 図８に示したアクセス制御処理部のＡＣＬ記憶部（図１０）に記憶されるＡＣＬの各行に含まれる情報を示す図である。 図１，図２に示したＡＰサーバにおいて実行されるＡＰサーバプログラムの構成を示す図である。 図１７に示したＡＰサーバプログラムの注文番号ＤＢに記憶される注文番号情報を示す図である。 情報アクセス制御システム（図１）における情報の流れを示す第１の図であって、情報アクセス制御プログラムのサービス定義部（図８など）による識別情報オブジェクトモデルの作成と、識別情報オブジェクトモデルに含まれる情報（図５）の情報アクセス制御プログラムおよびＡＰサーバプログラム（図１７）の構成部分に対する設定を示す。 図１９に示した情報の流れのうち、情報アクセス制御プログラムの識別情報処理部および情報アクセス制御部（図８，図１０）内部の情報の流れを示す図である。 情報アクセス制御システム（図１）における情報の流れを示す第２の図であって、情報アクセス制御プログラムによる情報提供装置のユーザ（情報提供者）の認証と、匿名ＩＤの作成を示す。 情報アクセス制御システム（図１）における情報の流れを示す第３の図であって、情報提供装置からＡＰサーバに対して行われるサービスの要求から、情報提供装置２のユーザ（情報提供者）に対するポリシーの提示およびその許諾を示す。 図２２に示した情報の流れのうち、情報アクセス制御プログラムの識別情報処理部および情報アクセス制御部（図８，図１０）内部の情報の流れを示す図である。 情報アクセス制御システム（図１）における情報の流れを示す第４の図であって、情報提供装置から情報アクセス制御サーバへの識別情報（実体）の登録を示す。 図２４に示した情報の流れのうち、情報アクセス制御プログラムの識別情報処理部および情報アクセス制御部（図８，図１０）内部の情報の流れを示す図である。 情報アクセス制御システム（図１）における情報の流れを示す第５の図であって、情報アクセス制御サーバから情報利用装置への識別情報（実体）の送信を示す。 図２６に示した情報の流れのうち、情報アクセス制御プログラムの識別情報処理部および情報アクセス制御部（図８，図１０）内部の情報の流れを示す図である。 図１に示した情報アクセス制御システムの全体的な動作を示す第１の通信シーケンス図であって、情報アクセス制御サーバに対する情報提供装置のユーザ（情報提供者）の認証から、識別情報（実体）の登録までの処理（Ｓ１０）を示す。 図１に示した情報アクセス制御システムの全体的な動作を示す第２の通信シーケンス図であって、情報アクセス制御サーバから情報利用装置への識別情報（実体）の送信までの処理（Ｓ１４）を示す。

以下、本発明の実施形態を説明する。

［情報アクセス制御システム１］
図１は、本発明に係る情報アクセス制御システム１の構成を例示する図である。
図１に示すように、情報アクセス制御システム１は、それぞれｎ台（ｎは１以上の整数、但し、常に同じ数を示すとは限らない）の情報提供装置２−１〜２−ｎ、情報利用装置３−１〜３−ｎ、情報アクセス制御サーバ４−１〜４−ｎおよびＡＰサーバ（情報処理装置）６−１〜６−ｎが、ＬＡＮ、ＷＡＮあるいはインターネットなどのネットワーク１００を介して接続された構成をとる。
情報アクセス制御システム１は、これらの構成部分により、ある存在、例えば個人などを識別可能な情報（識別情報（ＰＩＤ; Personally Identifiable Data））と、個人に関する一般的な情報とを分離して管理し、識別情報に対するアクセスを制御することにより、識別情報を保護する。
なお、以下、情報提供装置２−１〜２−ｎなど、複数あり得る構成部分のいずれかを示すときには、単に情報提供装置２などと略記することがある。
また、情報提供装置２など、情報アクセス制御システム１において、情報通信および情報処理の主体となりうる構成部分は、ノードと総称されることがある。
また、以下の各図において、実質的に同じ構成部分には、同じ符号が付される。

［ハードウエア］
図２は、図１に示した情報アクセス制御システム１に含まれる情報提供装置２、情報利用装置３、情報アクセス制御サーバ４およびＡＰサーバ６のハードウエアを例示する図である。
図２に示すように、これらのノードは、ＣＰＵ１２２およびメモリ１２４などを含む本体１２０、表示装置およびキーボードなどの入出力装置１２６、他のノードとの通信を行う通信装置１２８、および、ＣＤ装置、ＨＤＤ装置およびフラッシュメモリ装置などの記録装置１３０から構成される。
つまり、これらのノードは、情報処理および情報通信が可能なコンピュータとしての構成部分を有している。

［識別情報・一般情報・識別情報オブジェクトモデル］
以下、図１に示した情報アクセス制御システム１において処理の対象となる識別情報、一般情報および識別情報オブジェクトモデルを説明する。

［識別情報・一般情報］
情報アクセス制御システム１における情報アクセス制御は、さまざまな存在（個人（自然人であるか法人であるかを問わない）、生物、無生物、動産および不動産など）の識別情報について応用されうるが、以下、特記なき限り、情報アクセス制御システム１が、個人（自然人）の識別情報の処理を行う場合が具体例とされる。
個人の識別情報としては、例えば、郵便番号の全桁または詳細な住所、電話番号、運転免許証番号、健康保険証番号、ＧＰＳなどにより得られる詳細な現在位置、氏名、および、生年月日と住所の組み合わせなどを例示することができる。
また、一般情報は、個人に関係する識別情報以外の情報であって、例えば、一般的なアンケートの回答内容（嗜好および趣味など）を例示することができる。

［識別情報オブジェクトモデル（ＰＩＤオブジェクトモデル）］
図３は、図１に示した情報アクセス制御システム１において定義されるサービスを定義する識別情報オブジェクトモデルを例示する図である。
図３に示すように、情報アクセス制御システム１において、情報提供装置２および情報利用装置３のユーザ（情報提供者，情報利用者）に提供されるサービスは、その実行時に情報提供者に対応付けられる。
サービスは、そのサービスを実現するために、ＡＰサーバ６により実行される１つ以上のアプリケーション（図１８などを参照して後述）の集合およびその構成として定義される。

アプリケーションに対しては、そのアプリケーションと対応するポリシー、識別情報（ＰＩＤ）および識別情報ＵＩオブジェクトが定義される。
ポリシーに対しては、許諾者、表示ポリシーおよび許諾タイプが対応付けられ、許諾タイプには、さらに、情報アクセス制御リスト（ＡＣＬ；Access Control List）が対応付けられる。
情報提供者には情報提供者の識別子（情報提供者ＩＤ）が定義される。
識別情報オブジェクトモデルにおいて定義されるこれらオブジェクトの内、サービスには、サービスの識別子（サービスＩＤ）、アプリケーションにはアプリケーションの識別子（ＡＰＩＤ；APplication ID）、識別情報（ＰＩＤ）には、その識別子（ＬＰＩＤ；Logical Personally Identifiable Data)が定義される。

このＬＰＩＤは、ＡＰサーバ６において扱われる特定の識別情報（ＰＩＤ）を指し示す名前であって、サービス定義部４６（図８を参照して後述）が、シンボルテーブルとして生成する。
実際には、ＬＰＩＤは、サービス定義部４６に含まれるＳＤＴ４６０のユーザ、例えば、ＡＰサーバ６におけるサービスを開発する開発者によってデータ名として作成され、利用される。
なお、ＬＰＩＤは、ＡＰサーバ６において、識別情報に対応する符号として処理され、データのシンボル（実際には、オブジェクトクラスのメンバ）として使用される。

図４は、図３に示した識別情報オブジェクトモデルにおいて定義される識別情報ＵＩオブジェクトの内容を例示する図である。
アプリケーションの構成は、サービスに対して入力される情報、サービスから処理結果として出力される情報、および、複数のアプリケーションの間で受け渡される情報などを定義する。
ポリシーは、アプリケーションを介して対応付けられた識別情報の取り扱いの方針および規則を定義する。
識別情報ＵＩオブジェクトは、ポリシーを、情報提供者に対して提示するために用いられる図４に示すような画像など、サービスにおいて、情報利用者との対話のために用いられる手段（静止画像，テキスト，音声，動画像など）を定義する。
識別情報は、対応するアプリケーションの処理結果に、いずれの識別情報が付されるかを示す。

許諾者は、対応するポリシーを、いずれの情報提供者が許諾したかを示す。
表示ポリシーは、アプリケーションの処理結果に対応付けられる識別情報を、情報利用者に対して表示するときの方針および規則を定義する。
許諾タイプは、ＬＰＩＤの使用（情報アクセス制御）に関する設定を定義するためのテンプレートであって、対応するポリシーを許諾した情報提供者に対してのみ有効とされる。
情報アクセス制御リスト（ＡＣＬ）は、許諾タイプ（テンプレート）に対して定義された設定に従って、識別情報に対するアクセスを制御するために用いられる。

図５は、図１に示した情報アクセス制御システム１におけるサービスの提供および情報アクセス制御のために用いられる情報を示す図である。
図５に示した識別情報オブジェクトモデルにより定義されるサービス、および、サービスによる識別情報に対するアクセスの制御を実現するためには、図５に示すように、サービス利用識別情報（識別情報（実体）に対応）、識別情報ポリシー、識別情報ＵＩオブジェクトおよびアプリケーションＩＦ（ＡＰＩＦ）が用いられる。
サービス利用識別情報は、サービスの実現のために必要とされ、使用される識別情報を定義する。
識別情報ポリシーは、サービスが、識別情報を取り扱うときの方針および規則を定義し、ＡＣＬにおける管理方法の設定と、情報提供者に対して提示されたポリシーに対応した識別情報の利用許諾データを格納し、記憶するために用いられる。

識別情報ＵＩオブジェクトは、情報提供者および情報利用者が、サービスに対して対話的に操作を行うための静止画像、テキスト、音声および動画像などを定義し、ＵＩデータモデルおよびＵＩのために使われる部品などを含む。
この識別情報ポリシーに含まれるデータモデルは、情報アクセス制御サーバ４により取得された一般情報を処理するために用いられる。
また、ＵＩの部品は、静止画像、テキスト、音声および動画像などであって、例えば、図４に示したようなＵＩ画像を作成するために用いられる。
ＡＰＩＦは、サービスを定義する識別情報オブジェクトモデルにおいて定義されたサービス、このサービスに含まれるアプリケーション、このアプリケーションに対応する識別情報およびアプリケーションの構成を定義し、サービスＩＤ、ＡＰＩＤ、ＬＰＩＤおよびアプリケーションの構成を示す構成情報を含む。

［ソフトウエア］
以下、情報アクセス制御システム１の各ノードのソフトウエアを説明する。

［情報提供プログラム２０］
図６は、図１，図２に示した情報提供装置２において実行される情報提供プログラム２０の構成を示す図である。
図６に示すように、情報提供プログラム２０は、インターフェース・制御部（ＩＦ・制御部）２２、ポリシー提示部２４０、ポリシー許諾部２４２、識別情報作成部２４４、認証部２４６、一般情報作成部２４８、セッション処理部２５０および通信処理部２６０から構成される。
情報提供プログラム２０は、例えば、記録媒体１３２（図２）およびネットワーク１００（通信装置１２８）を介して情報提供装置２に供給され、メモリ１２４にロードされて、情報提供装置２にインストールされたＯＳ（図示せず）上で、情報提供装置２のハードウエアを具体的に利用して実行される（以下、各プログラムについて同様）。

情報提供プログラム２０は、これらの構成部分により、ある存在を識別可能な識別情報と、この存在に関係する一般的な情報（一般情報）とを作成して、情報アクセス制御サーバ４およびＡＰサーバ６に対して提供する。
また、情報提供プログラム２０は、識別情報に対するアクセスのポリシーの提示を受け、提示されたポリシーに対する許諾を与える。
例えば、情報提供プログラム２０の実体がブラウザであるときには、情報提供装置２０の実現のためには、情報提供装置２において用意された機能よりも、情報アクセス制御サーバ４側から提供される機能の方がより多く用いられる。
このような場合、情報提供装置２におけるＵＩの実現のためには、情報アクセス制御サーバ４側においてＵＩオブジェクト処理を行う部分と、そのＵＩアダプタ処理を行う部分とが処理を行い、情報アクセス制御サーバ４側において動的に構成されたＷｅｂ画面が、情報提供装置２に対して送信される。
このような処理は、アップル社のＷｅｂＯｂｊｅｃｔ（登録商標）などによっても実現されうる。

情報提供プログラム２０において、ＩＦ・制御部２２は、情報提供装置２の入出力装置１２６（図２）に対するユーザ（情報提供者）の操作を受け入れて、受け入れた操作示すデータを、情報提供プログラム２０の各構成部分に対して出力する。
また、ＩＦ・制御部２２は、情報提供プログラム２０の各構成部分から入力されるデータを、入出力装置１２６に対して出力し、表示などをさせる。
また、ＩＦ・制御部２２は、入力されるデータに応じて、情報提供プログラム２０の各構成部分の処理を制御する。

ポリシー提示部２４０は、図４に示したように、識別情報（図４においては、「名前、住所、電話番号、クレジットカード番号」）の使用（同、「当社および提携業者によるご注文、発送の処理ならびお客様ご本人によるお問い合わせへの対応」）に関するポリシーを表示し、表示されたポリシーに対する情報提供装置２のユーザ（情報提供者）の許諾操作（同、「許諾」ボタンの押下など）を受け入れるために用いられるＧＵＩ(Graphical User Interface)画像を、入出力装置１２６（図２）に表示して、ポリシーを情報提供者に提示する。
このポリシーには、必要に応じて、図４に示すように、ポリシーの付加情報を示すための項目、識別情報管理のための項目、および、識別情報や情報提供者情報の処理を行うための項目などが、適宜、含まれうる。
ポリシーは、後述するように、情報アクセス制御サーバ４から提供され、情報利用者による情報利用者の個人情報（識別情報）に対するアクセスを制御するための規則として用いられる。
ポリシー許諾部２４２は、ポリシー提示部２４０により表示されたポリシーを、情報提供者が許諾するか否かを示す操作を受け入れる。
さらに、ポリシー許諾部２４２は、情報提供者が、ポリシーを許諾したか否かを示す情報を、情報アクセス制御サーバ４に対して送信する。

識別情報作成部２４４は、入出力装置１２６に対する操作に応じて、情報提供者の識別情報を作成し、情報アクセス制御サーバ４に対して送信する。
認証部２４６は、入出力装置１２６に対する操作などに応じて、情報アクセス制御サーバ４に対して認証情報を送信するなど、情報提供者の認証のために必要な処理を行う。
一般情報作成部２４８は、入出力装置１２６に対する操作などに応じて、情報提供者の一般情報を作成し、作成した一般情報を、情報アクセス制御サーバ４を介してＡＰサーバ６に対して送信する。
セッション処理部２５０は、情報アクセス制御サーバ４への認証が行われた後、同じく情報アクセス制御サーバ４への認証を行ったＡＰサーバ６と、情報提供装置２と、情報アクセス制御サーバ４との間のセッション管理のために必要な処理を行う。
通信処理部２６０は、情報提供装置２の通信装置１２８（図２）を制御し、他のノードとの間の通信に必要な処理を行う。

［情報利用プログラム３０］
図７は、図１，図２に示した情報利用装置３において実行される情報利用プログラム３０を示す図である。
図７に示すように、情報利用プログラム３０は、ＩＦ・制御部２２、認証部２４６、サービス要求部３００、処理結果利用部３０２、セッション処理部２５０および通信処理部２６０から構成される。
情報利用プログラム３０は、これらの構成部分により、情報アクセス制御サーバ４を介してＡＰサーバ６に対して一般情報に対するサービスを要求し、要求したサービスの処理結果をＡＰサーバ６から受け、このサービスの処理結果に対応する識別情報を情報アクセス制御サーバ４から受け、情報利用装置３のユーザ（情報利用者）による利用のために提供する。

情報利用プログラム３０において、サービス要求部３００は、情報提供者の一般情報に関するサービスを、ＡＰサーバ６に対して要求する。
サービス結果利用部３０２は、要求したサービスの処理結果を、ＡＰサーバ６から受け取り、このサービスの処理結果に対応する識別情報（実体）を、処理結果の受け取りに用いられたセッションを介して、情報アクセス制御サーバ４から受け取り、受け取ったこれらサービスの結果と、識別情報とを対応付ける。
さらに、サービス結果利用部３０２は、対応付けたこれらの情報を、情報利用装置３の入出力装置１２６（図２）に対して表示するなど、情報利用装置３のユーザ（情報利用者）に利用させるための処理を行う。

情報利用装置３が、ＡＰサーバ６に対して要求する処理として、下記（１），（２）の処理を例示することができる。
（１）製品番号より、製品を購入した情報提供装置２のユーザ（情報提供者）の匿名ＩＤを利用し、製品の欠陥を修正するためのリコールメールを出すために、情報提供者の氏名と住所とを、アクセス制御サーバ４から取り出す処理、および、
（２）受注処理時に、匿名ＩＤと注文品目等を管理する受注処理を行い、受注番号などを用いて、配送処理などの後処理を行う。
この後処理の時点で、在庫の確認および配送可能日の確認が可能なので、これらの確認結果を、アクセス制御サーバ４から取り出した情報提供者の氏名と住所（配達先確認のため）と組み合わせて、情報提供者への対応に用いる処理。

［情報アクセス制御プログラム４０］
図８は、図１，図２に示した情報アクセス制御サーバ４において実行される情報アクセス制御プログラム４０の構成を示す図である。
図８に示すように、情報アクセス制御プログラム４０は、セッション処理部２５０、通信処理部２６０、認証処理部４００、情報提供者マスタデータベース（ＤＢ）４０２、ノード管理部４０４、ノードＤＢ４０６、匿名ＩＤ処理部４２、ＵＩ処理部４４、サービス定義部４６、識別情報処理部５２および情報アクセス制御部５４から構成される。

匿名ＩＤ処理部４２は、匿名ＩＤ作成部４２０および匿名ＩＤ管理部４２２から構成される。
ＵＩ処理部４４は、一般情報受入部４４０、一般情報送信部４４２、ＵＩオブジェクト処理部４４４およびＵＩアダプタ処理部４４６から構成される。
識別情報処理部５２は、識別情報管理部５２２、識別情報ＤＢ５２４、使用履歴作成部５２６および使用履歴ＤＢ５２８から構成される。

図９は、図８に示したサービス定義部４６の構成を示す図である。
図９に示すように、サービス定義部４６は、サービス定義ツール（ＳＤＴ；Service Developer's Tool）４６０、識別情報オブジェクト作成部４６２、識別情報オブジェクト管理部４６４、識別情報オブジェクトＤＢ４６６、サービス・ＡＰ構成管理部４６８、ＡＰＩＦ作成・管理部４７０、ＡＰＩＤ・ＬＰＩＤ作成部４７２、ＡＰ固有処理作成部４７４、識別情報ＵＩオブジェクト作成部４７６、ＡＣＬ作成部４７８、ポリシー作成部４８０、ポリシー提示部４８２および識別情報（実体）定義部４８４から構成される。

図１０は、図８に示した情報アクセス制御部５４の構成を示す図である。
図１０に示すように、情報アクセス制御部５４は、識別情報ポリシー管理部５４０、ＡＣＬ管理部５４２、ＡＣＬ記憶部５４４、ＡＰ固有処理部５４６およびＡＰＩＦ管理部５４８から構成される。

情報アクセス制御プログラム４０は、これらの構成部分により、識別情報に対する情報アクセス制御を行う。
つまり、情報アクセス制御プログラム４０は、情報提供装置２および情報利用装置３を認証して、情報提供装置２、情報アクセス制御サーバ４およびＡＰサーバ６の間に通信セッションを張る。
また、情報アクセス制御プログラム４０は、ＡＰサーバ６から、処理のために必要な情報のセット（サービスＩＤ，ＡＰＩＤ，ＬＰＩＤ）および処理要求（識別情報要求）を受ける。
情報アクセス制御プログラム４０は、この情報セットと、処理要求とが、識別情報オブジェクトモデルにより定義されるＡＰＩＦ（図５）に存在するときには、このＡＰＩＦに対応する識別情報ポリシーに従って、情報提供装置２のユーザ（情報提供者）に対するポリシーの提示を行い、情報提供者にそのポリシーの許諾と識別情報の提供を求める。

ＡＰサーバ６から、情報アクセス制御プログラム４０に対して、匿名ＩＤのみではなく、情報セット（サービスＩＤ，ＡＰＩＤ，ＬＰＩＤ）が送られる理由は、以下（１），（２）に示す通りである。
（１）例えば、サービス（サービスＡ）が、複数のＡＰＩＤを持ち、これら複数のＡＰＩＤの内のいずれか（Ａｐｐ１）が、サービスＡだけでなく、他のサービスＢによっても利用されうるような場合がある。
このような場合に、サービスＡから利用される場合に限り、Ａｐｐ１が、特定のＬＰＩＤに対する操作を行いうるようにするためには、情報のセット（サービスＩＤ，ＡＰＩＤ，ＬＰＩＤ）を用いた処理が必要とされる。
（２）「匿名ＩＤ」は、匿名の顧客（情報提供者，サービス利用者）を示す識別子であり、複数のサービスと複数の匿名ＩＤとの間に対応関係が存在しうるので、サービスＩＤと、匿名ＩＤとは、Ｍ対Ｎ（Ｍ，Ｎは１以上の整数）の関係にある。
例えば、ある匿名ＩＤが付された顧客が、特定のサービスに対して、特定のＬＰＩＤの利用許諾（パーミッション）を与え、さらに、別のサービスにもＬＰＩＤの利用許諾を与えることがある。
このように、ある匿名ＩＤと、複数のＬＰＩＤとの間に対応関係が生じうるので、ある特定の匿名ＩＤについて、その匿名ＩＤと対応関係にある複数のＬＰＩＤに対応する複数の識別情報が存在しうる。
従って、特定のサービスＩＤから起動される特定のアプリケーションが、特定のＬＰＩＤについての識別情報を得る処理のためには、情報セット（サービスＩＤ，ＡＰＩＤ，ＬＰＩＤ）を目地的に用いた要求が必要とされる。

図１１は、図８に示した情報提供者マスタＤＢ４０２に記憶される情報提供者情報を示す図である。
情報アクセス制御プログラム４０において、通信処理部２６０は、例えば、ＨＴＴＰサーバあるいはＷｅｂサーバとして動作する。
情報提供者マスタＤＢ４０２は、図１１に示すように、情報提供者の識別子（情報提供者ＩＤ）と、匿名ＩＤ処理部４２により作成され、その情報提供者を示す情報提供者氏名、匿名IDと認証に必要な認証情報（情報提供者認証ＩＤ，認証鍵（キー））とを対応付けて、情報提供者情報として記憶する。
認証処理部４００は、認証要求を、情報提供装置２から受けると、情報提供者マスタＤＢ４０２に記憶された認証情報を用いて、情報提供者の認証のために必要な処理を行い、認証された情報提供者情報を、匿名ＩＤ処理部４２など情報アクセス制御プログラム４０の他の構成部分の処理の用に供する。
また、認証処理部４００は、情報利用装置３のユーザ（情報利用者）およびＡＰサーバ６からの認証に応じて、これらに対する認証処理を行う。

図１２は、図８に示したノードＤＢ４３０に記憶されるノード情報を示す図であって、（Ａ）は、ＡＰサーバ６についてのノード情報を示し、（Ｂ）は、情報利用装置３についてのノード情報を示し、（Ｃ）は、情報提供装置２についてのノード情報を示す。
匿名ＩＤ処理部４２のノード管理部４２８は、記録媒体１３２（図２）などを介して入力されるノード情報を、ノードＤＢ４３０に記憶し、管理する。
ノードＤＢ４３０に記憶された情報は、必要に応じて、セッション処理部２５０によるセッション管理処理など、情報アクセス制御プログラム４０の各構成部分の処理の用に供される（以下、各ＤＢについて同様）。

図１２（Ａ）に示すように、ＡＰサーバ６についてのノード情報には、ＡＰサーバ６それぞれについて、識別子（ＡＰサーバＩＤ）、アドレス（ＡＰサーバアドレス）、および、サービスの実現のために用いられるアプリケーション（ＡＰ６２６；図１７）の識別子（ＡＰＩＤ）が対応付けられて含まれる。
また、図１２（Ｂ）に示すように、情報利用装置３についてのノード情報には、情報利用装置３それぞれについて、識別子（利用装置ＩＤ）およびアドレス（利用装置アドレス）が対応付けられて含まれる。
また、図１２（Ｃ）に示すように、情報提供装置２についてのノード情報には、情報提供装置２それぞれについて、識別子（提供装置ＩＤ）およびアドレス（提供装置アドレス）が対応付けられて含まれる。

匿名ＩＤ作成部４２０は、例えば、認証された情報提供者の認証情報を、ハッシュ関数などを用いて変換して匿名ＩＤを作成し、匿名ＩＤ管理部４２２に対して出力する。
匿名ＩＤは、この匿名ＩＤに対応する情報提供者の識別情報の代わりに用いられ、この情報提供者を、ＡＰサーバ６の側からは特定できないように隠蔽しつつ、この情報提供者の一般情報などを識別するために用いられる。
匿名ＩＤ管理部４２２は、図１１に示したように、匿名ＩＤを、この匿名ＩＤに対応する情報提供者ＩＤを含む情報提供者情報の一部として、情報提供者マスタＤＢ４０２に記憶し、管理する。
匿名ＩＤ管理部４２２は、記憶した匿名ＩＤ情報を、情報利用装置３、情報アクセス制御サーバ４およびＡＰサーバ６の間に通信セッションが張られるたびに、この通信セッションと対応付けて、情報アクセス制御プログラム４０の他の構成部分における処理の用に供する。

図１３は、図８に示したＵＩ処理部４４により情報提供装置２から受け入れられ、ＡＰサーバ６に送信される一般情報を示す図であって、（Ａ）は、ＵＩ処理部４４の一般情報受入部４４０が情報提供装置２から受け入れる一般情報を示し、（Ｂ）は、ＵＩ処理部４４の一般情報送信部４４２が送信する一般情報を示す。
ＵＩ処理部４４の一般情報受入部４４０は、情報提供装置２から、認証された情報提供者の一般情報（図１３（Ａ））を受け入れ、一般情報送信部４４２に対して出力する。
一般情報送信部４４２は、図１３（Ｂ）に示すように、入力された一般情報と、匿名ＩＤと、情報利用装置３がＡＰサーバ６に対してサービスを要求するために用いる注文番号とを対応付けて、要求に応じて、ＡＰサーバ６に対して送信する。

ＵＩアダプタ処理部４４６は、ＵＩオブジェクト処理部４４４から入力される識別情報ＵＩオブジェクト（図５）を処理し、図４に示したようなＵＩ画像などを作成する。
ＵＩアダプタ処理部４４６は、作成したＵＩ画像などを、通信処理部２６０を介して、情報提供装置２に対して送信し、表示させる。
また、ＵＩアダプタ処理部４４６は、情報提供装置２に表示されたＵＩ画像に対する操作を受け入れて、この操作を示す情報を、ＵＩオブジェクト処理部４４４に対して出力する。
ＵＩオブジェクト処理部４４４は、セッション処理部２５０と連携して動作し、以下のような処理を行う。
（１）情報提供装置２に対するポリシーの提示、
（２）情報提供装置２からの提示したポリシーに対する許諾の受け入れ、
（３）識別情報の新規作成、
（４）情報提供装置２からの識別情報の受け入れ、
（５）ＡＣＬ管理部からの識別情報のポインタ（識別情報ポインタ）の受け入れと、適切な識別情報のための準備、
（６）受け入れた識別情報と、識別情報ポインタとの対応付け、
（７）識別情報処理部への識別情報の検索、および、
（８）検索の結果として得られた識別情報の情報利用装置３への送信。

サービス定義部４６のＳＤＴ４６０（図９）は、ＡＰサーバ６におけるサービスを開発する開発者に対して、サービス定義部４６を操作するためのユーザインターフェースを提供する。
また、ＳＤＴ４６０は、開発者からの操作を受け入れ、操作の内容に従って、サービス定義部４６の各構成部分の処理を制御する。
また、ＳＤＴ４６０は、サービス定義部４６の他の構成部分により作成された情報アクセス制御のために用いられる情報（図５）を、情報アクセス制御プログラム４０の他の構成部分、および、ＡＰサーバ６（ＡＰサーバプログラム６０の構成部分；図１７）に設定する。

サービス・ＡＰ構成管理部４６８は、図３に示した識別情報オブジェクトモデルのテンプレートを作成し、識別情報オブジェクト作成部４６２およびＳＤＴ４６０に対して出力する。
識別情報オブジェクト作成部４６２は、開発者の操作に従って、図３に示した識別情報オブジェクトモデルを作成し、サービス定義部４６の他の構成部分に対して出力する。

図１４は、図９に示した識別情報オブジェクトＤＢ４６６にリポジトリ構造で記憶される識別情報オブジェクトモデルを例示する図である。
サービス・ＡＰ構成管理部４６４は、識別情報オブジェクト作成部４６２が作成した識別情報オブジェクトモデルを、図１４に示すように、リポジトリ構造で識別情報オブジェクトＤＢ４６６に記憶し、管理する。
サービス・ＡＰ構成管理部４６４は、識別情報オブジェクトＤＢ４６６に記憶した識別情報オブジェクトモデルを、サービス定義部４６の他の構成部分に対して出力する。

図１４に示すリポジトリ構造で記憶される識別情報オブジェクトモデルは、概念として、図３に示した識別情報オブジェクトモデルの下位に位置し、識別情報オブジェクトモデルの実装を定義する。
図１４に示すリポジトリ構造で記憶される識別情報オブジェクトモデルを構成する各要素のオブジェクトは、図３に示した識別情報オブジェクトモデルと同様に、その内部に、それ自体を識別するために外部に公開される識別子（ＩＤ）を含む。
情報アクセス制御部５４において用いられるＡＣＬの確認テーブルは、このリポジトリの中のサービスＩＤ、ＡＰＩＤ、ＬＰＩＤおよび匿名ＩＤを含む。
なお、ＡＣＬの確認テーブルとは、図１４に示したオブジェクトリポジトリの識別情報ポリシーに含まれる情報のテーブルであって、個別のＡＣＬ設定条件のテンプレート（クラス定義）である。

ＡＣＬの確認テーブルには、匿名ＩＤの格納場所が構造として存在するが、匿名ＩＤは、具体的な実体としては存在しない。
識別情報ポリシー管理部５４０は、ＡＣＬの確認テーブルを用いて、ＡＣＬ設定条件を、特定の匿名ＩＤ向けに生成し、ＡＣＬ管理部５４２に対して出力する。
ちなみに、サービス利用識別情報オブジェクト（ＬＰＩＤ）も、オブジェクトリポジトリにおける単なるテンプレート（クラス定義）であって、サービス利用識別情報オブジェクトには、データの型やアクセスのタイプなどが格納される。

図３に示した識別情報オブジェクトモデルの内、情報提供者個人の許諾に関しては、クラスが実体として生成された時点で生成され、しかも、実体と関連する情報管理機能の中に格納される。
従って、クラスの定義体の格納場所であるオブジェクトリポジトリの中には、識別情報の提供者の許諾は、具体的には存在しない。
実際には、情報提供者固有の識別情報実体が作成されるときに、許諾の存在が証拠性を得る。
具体的には、情報提供者による許諾を示す情報として、許諾の証拠性を示すデータ（システム実装に依存するが、タイムスタンプや電子署名等のデータ）が、ＡＣＬ中の情報提供者固有の行の中に入れられる。

ＡＰＩＤ・ＬＰＩＤ作成部４７２は、識別情報オブジェクトモデル（図３，図１４）に含まれるＡＰサーバ６のアプリケーションプログラム（ＡＰサーバプログラム６０のＡＰ６２６；図１７）および識別情報（実体）の識別子（ＡＰＩＤ）を作成する。
ＡＰＩＤ・ＬＰＩＤ作成部４７２は、作成したＡＰＩＤおよびＬＰＩＤを、ＡＰＩＦ作成・管理部４７０に対して出力する。
ＡＰ固有処理作成部４７４は、識別情報オブジェクトモデルにより定義されたサービス（識別情報のフィルタリング処理など）を実現するために、アプリケーションプログラムに対して、そのサービスにおいて固有な処理を行わせるための構成情報を作成する。
ＡＰ固有処理作成部４７４は、作成した設定を、ＡＰＩＦ作成・管理部４７０に対して出力する。

ＡＰＩＦ作成・管理部４７０は、識別情報オブジェクトモデルにより定義されたサービスのサービスＩＤ、そのサービスの実現に必要なＡＰＩＤ、ＬＰＩＤおよび構成情報を対応付けて、ＡＰＩＦ情報（図５）として記憶し、管理する。
ＡＰＩＦ作成・管理部４７０は、記憶したＡＰＩＦ情報を、ＡＣＬ作成部４７８など、サービス定義部４６の他の構成部分の処理の用に供する。

識別情報ＵＩオブジェクト作成部４７６は、情報利用装置３からのサービスが要求されると、そのサービスの識別情報オブジェクトモデル（図３，図１４）に含まれる識別情報ＵＩオブジェクト（図４，図５）を作成し、ＵＩオブジェクト処理部４４４に対して出力する。
ポリシー作成部４８０は、サービスの設計者・開発者により使用され、ＳＤＴ４６０を介した操作に従って、特定のサービスが利用するＬＰＩＤに関する識別情報ポリシー（図５）を作成する。
ポリシー提示部４８２は、ポリシー作成部４８０から受けた識別情報ポリシーを、ＵＩオブジェクト処理部４４４に対して出力し、図４に示したように、情報提供装置２のユーザ（情報提供者）に提示させる。

ＡＣＬ作成部４７８は、識別情報ポリシーから、ＡＰＩＤ、サービスＩＤ、ＬＰＩＤ、（オプションで利用者タイプ）、および、識別情報に対する処理のオプションを指定する処理情報を含むＡＣＬL設定条件定義を含む識別情報ポリシーオブジェクトの下位のＡＣＬクラス定義として生成し、オブジェクトリポジトリに格納する。
識別情報（実体）定義部４８４は、識別情報オブジェクトモデル（図３，図１４）に含まれる識別情報（実体；図４，図５）を作成し、情報アクセス制御部５４に対して出力する。

図１５は、図８に示した識別情報ＤＢ５２４に記憶される識別情報（実体）を示す図である。
識別情報管理部５２２は、図１５に示すように、識別情報を提供した提供者の匿名ＩＤと、ＵＩオブジェクト処理部４４４が情報提供装置２から受け、識別情報ポインタと対応付けた識別情報（実体）と、その管理情報（識別情報（実体）の有効期限など）とを対応付けて識別情報ＤＢ５２４に記憶し、管理する。
識別情報管理部５２２は、ＵＩオブジェクト処理部４４４から識別情報ポインタを受けて、このポインタに対応する識別情報（実体）を識別情報ＤＢ５２４から読み出し、ＵＩオブジェクト処理部４４４に返す。
また、識別情報管理部５２２は、識別情報に対応付けられた管理情報に従って、識別情報の管理を行う。
つまり、例えば、管理情報が識別情報の有効期限を示しているときには、識別情報管理部５２２は、有効期限が切れた識別情報を消去する。
なお、このとき、ＡＣＬ管理部５４２の識別情報ポインタも無効とされる。
このように、識別情報とともにＡＣＬについても有効期限を設けることにより、情報利用者および情報提供者に、識別情報の有効期限を明示的に通知するための処理などを、簡単に行うことができるようになる。

使用履歴作成部５２６は、識別情報ＤＢ５２４に記憶された識別情報に対するアクセスの履歴を作成し、使用履歴ＤＢ５２８に記憶し、管理する。
使用履歴ＤＢ５２８に記憶されたアクセスの履歴は、例えば、情報アクセス制御サーバ４の動作の正当性の検証に用いられる。

情報アクセス制御部５４（図８，図１０）の識別情報ポリシー管理部５４０は、サービス定義部４６から識別情報ポリシーを受け、情報提供装置２への提示のために、識別情報ポリシーを、ＵＩ処理部４４に対して出力する。
また、識別情報ポリシー管理部５４０は、サービス定義部４６のＡＣＬ作成部４７８が作成したＡＣＬクラス定義と、匿名ＩＤ処理部４２からの匿名ＩＤと、提示されたポリシーに対する情報提供者による許諾の内容を示す許諾情報と、処理の対象となる識別情報の識別情報ポインタとを、それぞれ対応付けたＡＣＬ設定条件を、ＡＣＬ管理部５４２に対して出力する。

なお、識別情報ポリシー管理部５４０は、ポリシーに関する処理全般を統括する。
ＡＣＬ管理部５４２対しては、ＡＣＬ設定条件を新規登録時に出力するときだけでなく、情報提供者であるサービス利用者が契約を解除して、その識別情報の登録を削除するときにも、識別情報ポリシー管理部５４０は、まず、情報提供者の要求を、ＵＩ処理部４４（ＵＩオブジェクト処理部４４４）またはＡＰＩＦ管理部５４８から受け取って、ＡＣＬ管理部５４２に対して指示を出す。
識別情報ポリシー管理部５４０は、ＡＣＬクラス定義を読むだけではなく、内部にポリシーオブジェクトクラスの定義に対応した処理機能を有し、ポリシーオブジェクトクラスの機能拡張に伴って機能拡張が可能であり、アプリケーションタイプ、ユーザタイプ、許諾タイプの条件判断（ルールエンジン機能等）を内包する。
ただし、この判断には長い実行時間が必要とされるので、この判断結果は、ＡＣＬの設定として固定され、実行環境であるＡＣＬ管理部５４２に渡されて、アクセス管理のために用いられる。
ＡＣＬ管理部５４２が受け取れるＡＣL設定のもととなるのが、ポリシーオブジェクトクラスの下位クラスであるＡＣＬクラス定義であって、ＡＣＬ管理部５４２と識別情報ポリシー管理部５４０とは独立しており、システムの負荷、機能、開発コストにあわせて、これらの処理機能の設定が選択されうるので、実行時応答性、開発・実装コストが調整されうる。

図１６は、図８に示したアクセス制御処理部５４のＡＣＬ記憶部５４４（図１０）に記憶されるＡＣＬの各行に含まれる情報を示す図である。
ＡＣＬ管理部５４２は、サービス定義部４６からＡＣＬ設定条件を受け、ＡＣＬに登録されるべき行を作成する。
つまり、図１６に示すように、ＡＣＬ管理部５４２が作成するＡＣＬの各行には、ＡＣＬの確認テーブルに含まれる匿名ＩＤ、サービスＩＤ、ＡＰＩＤ、ＬＰＩＤおよび処理情報と、識別情報ポインタと、許諾情報とが、許諾タイプに従った形式で含まれる。
この許諾情報は、情報提供者により、実際にポリシーに対する許諾があったことの正当性を証明するために用いられる。

許諾タイプ自体の初期設定は、ＡＣＬ作成部４７８により、サービス開発者の意図に従って、予め行われるが、情報アクセス制御システム１においては、ポリシーに対する許諾が、いわば情報提供者主導により行われるので、情報提供装置２に表示されたＵＩ画像から、識別情報の用途、有効期限、訂正の確認方法および利用アプリケーションの種類などを、オプションとして指定可能とすると好適である。
このような場合に対応するために、許諾タイプは、情報提供者が、識別情報ＵＩオブジェクトを介して、許諾タイプ付きで、特定のＡＣＬのエントリを作成する際に設定される。
なお、利用アプリケーションの種類などを、オプションとして指定可能とすると好適な理由は、通常のポリシーに対して、同時に複数の利用許諾が存在しうる（例えば、情報提供者が、配達やユーザサポートについての識別情報の使用を許諾しても、ダイレクトメール発送のオプションには、識別情報の許諾しない場合があるので、情報提供者（匿名ＩＤ）ごとに、異なった種類のＡＰＩＤやサービスＩＤを含むＡＣＬの行が登録されうる）からである。

アクセス制御処理部５４２は、情報利用装置３からサービスが要求されたときに、ＡＰサーバ６上で動作するアプリケーションプログラム（ＡＰ６２６；図１７）と、ＡＰ固有処理部５４６とを連動させ、そのサービスのＡＰＩＦ（図５）に対応した処理を行わせる。
ＡＣＬ管理部５４２によるアプリケーションプログラムとＡＰ固有処理部５４６との連携処理は、識別情報ポリシー管理部５４０により監視され、サービス定義部４６により定義される適切な条件でのみ実行される。
ＡＰＩＦ管理部５４８は、情報利用装置３からの識別情報要求を受けて、ＡＣＬ管理部５４２に対して、識別情報の取得に必要な処理を要求し、要求された識別情報の識別情報ポインタを、ＵＩオブジェクト処理部４４４（図９）に対して出力させる。

［ＡＰサーバプログラム６０］
図１７は、図１，図２に示したＡＰサーバ６において実行されるＡＰサーバプログラム６０の構成を示す図である。
図１７に示すように、ＡＰサーバプログラム６０は、セッション処理部２５０、通信処理部２６０、認証処理部４００、一般サービス処理部６２、ＡＰＩＦ処理部６４、注文番号管理部６６および一般情報管理部６８から構成される。
一般サービス処理部６２は、実行制御部６２０、処理結果送信部６２２およびアプリケーション（ＡＰ）６２６−１〜６２６−ｎから構成される。

注文番号管理部６６は、注文番号管理部６６０および注文番号ＤＢ６６２から構成される。
一般情報管理部６８は、一般情報受入部６８０、一般情報記憶部６８２および一般情報ＤＢ６８４から構成される。
ＡＰサーバプログラム６０は、これらの構成部分により、情報利用装置３からの要求に応じて、情報アクセス制御サーバ４により定義された一般情報に対するサービスを実現するための処理を行い、処理結果を、情報利用装置３に返す。

ＡＰＩＦ処理部６４は、情報利用装置３のユーザ（情報利用者）のサービスの要求を受けて、ＡＰＩＦ（図５）に含まれる構成情報を用いて、一般サービス処理部６２に対して、要求されたサービスを実現するために必要な情報（ＡＰＩＦのサービスＩＤ、ＡＰＩＤおよびＬＰＩＤ）の設定を行う。
また、ＡＰＩＦ処理部６４は、要求されたサービスを実現するために用いられるＡＰＩＦのサービスＩＤ、ＡＰＩＤおよびＬＰＩＤを管理し、これらの情報を用いて、情報アクセス制御サーバ４に対する識別情報要求などを行う。
また、ＡＰＩＦ処理部６４は、管理したこれらの情報を、ＡＰサーバプログラム６０の他の構成部分の処理の用に供する。

ＡＰＩＦ処理部６４の処理を例示する。
ＡＰＩＦ処理部６４は、特定のＡＰ６２６を使用する処理において、例えば、ＬＰＩＤが住所を示す場合、ポリシーオブジェクト作成時の許諾タイプに、追加で、特定地域内に住所を登録している情報提供者の匿名ＩＤを要求し、あるいは、匿名ＩＤの数を要求する。
これは、識別データベースの検索機能の一つとして実現されるが、ＡＰ６２６側が受け取るのは、匿名ＩＤのみであって、ＡＰ６２６側では、さらに、取得した匿名ＩＤを用いて、対象地域に販売された製品の種類等の市場調査、および、販売促進計画など、予め情報提供者が許諾したサービスの処理が行われうる。

実際の機構としては、ＬＰＩＤで指定できる「住所」の識別情報（実体）の定義時に、型定義と同時に許諾タイプのオプションや可能性のある用途（アプリケーションのタイプであるＡＰＩＤ）が想定されうるので、このような検索依頼をＡＣＬ経由で識別情報管理部５２に送り、結果を得ることができる。
通常、ＡＣＬは、匿名ＩＤを指定しないと受け付けられないが、このような地域市場調査へ協力する情報提供者により許諾された匿名ＩＤのエントリに関しては、サービスＩＤ、ＡＰＩＤ、ＬＰＩＤおよび許諾タイプから、識別情報ポインタが複数、取得されうるので、このセットの中かから住所の部分情報比較とそれに合致した匿名ＩＤのリストが入手されうる。

ただし、最初の問い合わせで用いられる「特定地域」の設定は、詳細に一個人を特定可能な識別情報実体である個人住所でなくともよく、比較的広い地域をＡＰ固有処理作成時に設定してもよい。
この設定は、ＳＤＴ４６０などを用いることにより、任意のタイミングで確認されうる。
いわゆる「名寄せ」による個人特定を避けるため、各ＡＰ６２６と、それによって構成されるサービスは、固有ＬＰＩＤ処理により特定され、合成される危険性のある情報の組み合わせをＳＤＴ４６０により管理することにより、稼動しているシステムでの個人識別情報の状況が、常時把握されうる。

一般サービス処理部６２の実行制御部６２０は、ＡＰＩＦ処理部６４により設定されたＡＰＩＦの構成情報に従って、ＡＰ６２６の実行制御を行い、ＡＰ６２６の機能を組み合わせて一般情報を処理し、情報利用装置３により要求されたサービスを実現する。
ＡＰ６２６は、実行制御部６２０の制御に従って、要求されたサービスを実現するための機能を提供する。
処理結果送信部６２２は、ＡＰ６２６の機能の組み合わせにより実現されたサービスの結果を、情報利用装置３、情報アクセス制御サーバ４およびＡＰサーバ６の間に張られたセッションを介して、サービスを要求した情報利用装置３に送信する。

図１８は、図１７に示したＡＰサーバプログラム６０の注文番号ＤＢ６６２に記憶される注文番号情報を示す図である。
注文番号管理部６６の注文番号管理部６６０は、ＡＰサーバ６の入出力装置１２６などから入力される注文番号と、情報アクセス制御サーバ４から入力される匿名ＩＤとを対応付け、図１８に示す注文番号情報を作成する。
注文番号管理部６６０は、作成した注文番号情報を注文番号ＤＢ６６２に記憶し、管理し、ＡＰサーバプログラム６０の他の構成部分による処理の用に供する。

一般情報管理部６８の一般情報受入部６８０は、情報アクセス制御サーバ４から一般情報（図１３（Ａ））を受け入れて、一般情報記憶部６８２に対して出力する。
一般情報記憶部６８２は、図１３（Ｂ）に示したように、入力された一般情報と、この一般情報に対応する匿名ＩＤとを対応付け、さらに、この匿名ＩＤと対応する注文番号を付加して、一般情報ＤＢ６８４に記憶し、管理する。
一般情報記憶部６８２は、記憶した一般情報を、一般サービス処理部６２による処理の用に供する。

［情報アクセス制御システム１における情報の流れ］
以下、情報アクセス制御システム１（図１など）における情報の流れを説明する。

図１９は、情報アクセス制御システム１（図１）における情報の流れを示す第１の図であって、情報アクセス制御プログラム４０のサービス定義部４６（図８など）による識別情報オブジェクトモデルの作成と、識別情報オブジェクトモデルに含まれる情報（図５）の情報アクセス制御プログラム４０およびＡＰサーバプログラム６０（図１７）の構成部分に対する設定を示す。
図２０は、図１９に示した情報の流れのうち、情報アクセス制御プログラム４０の識別情報処理部５２および情報アクセス制御部５４（図８，図１０）内部の情報の流れを示す図である。

図１９に示すように、情報アクセス制御サーバ４とＡＰサーバ６との間で認証が行われ、これらの間に通信セッションが張られる。
情報アクセス制御プログラム４０（図８）のサービス定義部４６は、ＡＰサーバ６によるサービスを開発する開発者の操作に応じて、識別情報オブジェクトモデル（図３，図１４）を作成する。
さらに、サービス定義部４６は、作成された識別情報オブジェクトモデルから、サービス利用識別情報、識別情報ポリシー、識別情報ＵＩオブジェクトおよびＡＰＩＦ（図５）を作成する。

図１９および図２０に示すように、作成されたこれらの情報の内、サービス利用識別情報は、情報アクセス制御部５４のＡＣＬ管理部５４２に設定され、識別情報ポリシーは、識別情報ポリシー管理部５４０に設定され、識別情報ＵＩオブジェクトは、ＵＩオブジェクト処理部４４４に設定され、ＡＰＩＦは、ＡＰＩＦ管理部５４８およびＡＰサーバプログラム６０のＡＰＩＦ処理部６４に設定される。
ＡＰＩＦ処理部６４は、ＡＰＩＦに含まれる情報を、一般サービス処理部６２に対して設定する。

具体的に一般サービス処理部６２は、１つ以上の一般（匿名性の高い業務）情報処理アプリケーションで構成された一連の処理を行うので、この中で、ＬＰＩＤが、単なるシンボル（例として住所をＬＰＩＤ．Ａｄｄｒ）として処理される場合、これは、最初にＡＰＩＦ処理部６４が保持しているシンボルである必要があるので、システム実装・構成時に設定される。
また、サービス自体も、このシステム実装・構成時に、ＡＰＩＦを含む基盤部分の上に設定される。

このときには、上記のタイミングで、ＡＰＩＦに含まれる情報が、一般サービス処理部６２に対して設定される。
ただし、各アプリケーション自体の開発は、別途、公開されたＬＰＩＤおよびＡＰＩＤに基づいて行われ、各アプリケーションの完成後、これを利用したサービスの設定が、実際のシステム上でおこなわれるので、このときに、ＡＰＩＦ処理部６４と、土台となるＡＰＩＦ処理部６４との間で、サービスＩＤ、ＡＰＩＤおよびＬＰＩＤの整合性の確認をかねてオブジェクトのアクセスのための設定が行われる。

図２１は、情報アクセス制御システム１（図１）における情報の流れを示す第２の図であって、情報アクセス制御プログラム４０による情報提供装置２のユーザ（情報提供者）の認証と、匿名ＩＤの作成を示す。
図２１に示すように、情報提供装置２と、情報アクセス制御サーバ４と、ＡＰサーバ６との間で、通信セッションが張られ、情報提供装置２は、情報アクセス制御プログラム４０の情報アクセス制御プログラム４００（図８）に対して認証を要求する。

情報アクセス制御プログラム４０の認証処理部４００は、情報提供者を認証すると、匿名ＩＤ処理部４２に対して、情報提供者情報を出力する。
匿名ＩＤ処理部４２は、情報提供者情報から、匿名ＩＤを作成し、ＵＩ処理部４４、アクセス制御処理部５４およびＡＰサーバプログラム６０の注文番号管理部６６（図１７）に対して出力する。
ＡＰサーバプログラム６０（図１７）の注文番号管理部６６は、ＡＰサーバ６の入出力装置１２６などから入力された注文番号と、匿名ＩＤ処理部４２から入力された匿名ＩＤとを対応付け、図１８に示した発注番号情報を作成し、作成した発注番号情報を記憶し、管理する。

なお、匿名ＩＤは、下記（１）〜（３）に示す情報および処理との整合性を保つように処理される。
つまり、匿名ＩＤは、ＵＩ処理やＡＰＩＦ処理の結果と連動して、トランザクションごとに管理される。
（１）ＵＩオブジェクト処理部４４４が取得した一般情報、
（２）アクセス制御処理部５４のＡＰＩＦ管理部５４８における処理（図１０）、および、
（３）セッション処理部２５０の処理に用いられるセッション情報。

図２２は、情報アクセス制御システム１（図１）における情報の流れを示す第３の図であって、情報提供装置２からＡＰサーバ６に対して行われるサービスの要求から、情報提供装置２のユーザ（情報提供者）に対するポリシーの提示およびその許諾を示す。
図２３は、図２２に示した情報の流れのうち、情報アクセス制御プログラム４０の識別情報処理部５２および情報アクセス制御部５４（図８，図１０）内部の情報の流れを示す図である。
図２２および図２３に示すように、情報提供装置２、情報アクセス制御サーバ４およびＡＰサーバ６の間には通信セッションが張られている。
情報提供装置２のユーザ（情報提供者）が、ＡＰサーバプログラム６０（図１７）の一般サービス処理部６２に対して、サービス提供用のＵＩ画像に対する操作などによりサービスＩＤを指定して、ショッピングなどのサービスを新規に要求する。
この要求に応じて、一般サービス処理部６２は、要求されたサービスを実現するための処理を実行し、処理結果を情報提供装置２に返す。

一般サービス処理部６２は、新規のサービス要求およびそのサービスＩＤおよびＬＰＩＤなどを、ＡＰＩＦ処理部６４に通知する。
情報提供装置２からＡＰサーバ６へのサービス要求の際には、サービスＩＤは直接、指されず、ユーザ対話処理であるＵＩ処理部４４のＵＩオブジェクト処理部４４４と、ＡＰサーバ６との連携でサービスＩＤが指定される。
つまり、ＵＩ画面上でのメニューや情報へのリンクは、一般的なＷｅｂサービスの画面（ＨＴＭＬ）と同様に、処理呼び出しへのリンク（ＨＲＥＦ）としても記述できるので、画面制御を担当するＵＩアダプタ処理部４４６と、ＵＩオブジェクト処理部４４４と、実際に処理を起動するＡＰサーバ６が、利用されるべきサービスＩＤを、自ら割り出す。

ＡＰＩＦ処理部６４は、アクセス制御処理部５４のＡＰＩＦ管理部５４８に対して、新規に要求されたサービスにおいて必要とされる新たな識別情報作成を、サービスＩＤおよびＬＰＩＤなどを指定して要求する。
ＡＰＩＦ管理部５４８は、識別情報ポリシー管理部５４０に対して、情報提供装置２に対するポリシーの提示を、サービスＩＤおよびＬＰＩＤなどを指定して要求する。
識別情報ポリシー管理部５４０は、ＵＩ処理部４４に対して、情報提供者に提示されるべきポリシーを出力する。
ＵＩ処理部４４は、図４に示したように、情報提供装置２に対して、識別情報の入力を要求し、さらに、識別情報ポリシー管理部５４０から入力されたポリシーを情報提供装置２に表示させ、情報提供者に提示させる。
ＡＰＩＦ処理部６４が、ＡＰＩＦ管理部５４８に対して新たな識別情報の作成を要求するときに指定する情報をご教示下さい。

なお、ＡＰＩＦ処理部６４が、新たな識別情報の作成を要求するときには、サービスＩＤ、ＡＰＩＤ、ＬＰＩＤおよび処理要求（新規取得／作成）を、ＡＰＩＦ管理部５４８に対して送る。
また、ＡＰＩＦ管理部５４８が、識別情報ポリシー管理部５４０に対して、ポリシーの提示を要求するときは、サービスＩＤ、ＡＰＩＤおよびＬＰＩＤを送る。
但し、新規サービス加入などのＡＰＩＤが送られるときには、ＬＰＩＤがセットで指定されるので、サービスＩＤ単体、サービスＩＤとＡＰＩＤのセットで提示されるポリシーが決定できるようになっている。

情報提供者が、情報提供装置２に対して、提示されたポリシーを許諾するための操作を行うと、情報提供装置２は、アクセス制御処理部５４の識別情報ポリシー管理部５４０（図１０）に対して、提示されたポリシーに対する許諾を通知する。
この許諾を受けると、識別情報ポリシー管理部５４０は、ＡＣＬ管理部５４２に対して、ＡＣＬ設定条件を出力する。
ＡＣＬ管理部５４２は、ＡＣＬ設定条件などからＡＣＬの新たな行（図１６）を作成し、アクセス制御処理部５４４に記憶する。
さらに、ＡＣＬ管理部５４２は、新たなＡＣＬに含まれる識別情報ポインタを、ＵＩ処理部４４に対して出力する。
ＡＣＬ管理部５４２は、識別情報管理部５２２に対して新しい識別情報の作成を要求する。

ＵＩ処理部４４は、ＡＣＬ管理部５４２からの識別情報ポインタを、識別情報管理部５２２に対して出力する。
識別情報管理部５２２は、ＵＩ処理部４４からの識別情報ポインタと、ＡＣＬ管理部５４２からの新たな識別情報作成の要求に応じて、識別情報ＤＢ５２４において、新たな識別情報を記憶するための領域を作成する。

図２４は、情報アクセス制御システム１（図１）における情報の流れを示す第４の図であって、情報提供装置２から情報アクセス制御サーバ４への識別情報（実体）の登録を示す。
図２５は、図２４に示した情報の流れのうち、情報アクセス制御プログラム４０の識別情報処理部５２および情報アクセス制御部５４（図８，図１０）内部の情報の流れを示す図である。
図２４および図２５に示すように、情報提供装置２と情報アクセス制御サーバ４との間には通信セッションが張られている。
識別情報ポリシーを許諾した情報提供者が、情報提供装置２に対して識別情報（実体）を入力すると、情報提供装置２は、識別情報処理部５２のＵＩオブジェクト処理部４４４に対して識別情報（実体）を送信する。
ＵＩオブジェクト処理部４４４は、情報提供装置２から受けた識別情報（実体）を、識別情報管理部５２２に対して出力し、識別情報管理部５２２は、ＵＩオブジェクト処理部４４４から受けた識別情報（実体）を、識別情報ＤＢ５２４に設けられた領域に記憶し、管理する。

図２６は、情報アクセス制御システム１（図１）における情報の流れを示す第５の図であって、情報アクセス制御サーバ４から情報利用装置３への識別情報（実体）の送信を示す。
図２７は、図２６に示した情報の流れのうち、情報アクセス制御プログラム４０の識別情報処理部５２および情報アクセス制御部５４（図８，図１０）内部の情報の流れを示す図である。
図２６および図２７に示すように、情報利用装置３と、情報アクセス制御サーバ４と、ＡＰサーバ６との間には、通信セッションが張られている。
ＵＩ処理部４４は、ＵＩ処理部４４から、一般情報（図１３（Ａ））を取得する。
ＵＩ処理部４４により取得された一般情報は、ＵＩ処理部４４が内包するデータモデル（図５）に基づいて処理され、匿名ＩＤとともに、図１３（Ｂ）に示したように、ＡＰサーバ６に対して出力される。

一般サービス処理部６２と同様に、情報利用者の画面を表示している情報利用装置３には、直接、サービスＩＤが送られる必要はない。
情報利用者は、ログオンして自分のセッションが設定されると、画面上のメニューや情報項目のリンクをクリックするような操作で、所定のサービスを要求することができ、これは、識別情報ＵＩオブジェクト処理経由、もしくは、直接、ＡＰサーバ６へのサービス指定情報として送られる。
さらに詳細に述べる。

Ｗｅｂサーバ経由でサービスが提供されるときには、通信処理機能（装置）であるＷｅｂ（通信的にはｈｔｔｐサーバ）を経由して、メニュー選択情報がＵＩアダプタ処理部４４６に送られ、ここで、サービス選択のイベントが、セッションが確定している特定のサービス利用者のWeb画面で発生したことを受け付ける。
このサービス要求イベントは、ＵＩオブジェクト処理部４４４により、必要に応じて次に来る付属情報と組み合わされ、ＡＰサーバ６へのサービス要求として送付される。
Ｗｅｂサーバに、予めサービス選択画面のＨＴＭＬファイルなどが固定で登録され、それに対応したＣＧＩなどが設定されている場合には、サービス要求は、直接、ＡＰサーバ６に送られることがある。
つまり、これは、システム実装担当者の判断に依存する。

情報利用装置３のユーザ（情報利用者）が、注文番号などを指定して、ＡＰサーバ６に対して一般情報に対するサービスを要求すると、一般サービス処理部６２は、注文番号を注文番号管理部６６に対して出力し、注文番号に対応する匿名ＩＤを要求する。
注文番号管理部６６は、この要求に応じて、一般サービス処理部６２に対して、注文番号に対応する匿名ＩＤを返す。
一般サービス処理部６２は、得られた匿名ＩＤを用いて、一般情報管理部６８から、一般情報（図１３（Ｂ））を得る。

一般サービス処理部６２は、一般情報送信部６８から得た一般情報に対して、注文番号に対応するサービスを行い、サービスの処理により得られた処理結果を、情報利用装置３、情報アクセス制御サーバ４およびＡＰサーバ６の間に張られたセッションを介して、情報利用装置３に返す。
さらに、一般サービス処理部６２は、ＡＰＩＦ処理部６４に対して、提供したサービスに対応するＬＰＩＤおよび匿名ＩＤなどを指定して、識別情報の取得を要求する。
一般サービス処理６２は、匿名性の高い業務処理全般を扱い、一般サービス処理部６２が行う処理としては、多様なものが想定可能である。

ここでは、一般サービス処理部６２の処理として、注文処理が例示されているが、その他には、在庫確認、配送処理および製品顧客サポートなどのような、顧客（情報提供者）を、匿名ＩＤで扱う以外は、「製品番号」、「注文番号」、「期日」および「地域」などの一般的な情報をもとに処理可能なものがある。
本来、コンピュータを利用した業務情報の処理は、一般的に、条件による処理の分岐／選択をすることはあっても、いずれの顧客への対応も可能な汎用的な繰り返し処理を自動的に行うが、情報アクセス制御システム１は、さらに、この処理対象のデータから、個人特定可能なデータ（識別情報）が隔離されるように工夫されている。
つまり、情報アクセス制御システム１は、識別情報の隔離を伴う情報処理の他に、一般的な情報処理システムにおいてと同様な通常の情報処理一般を行うことができる。

ＡＰＩＦ処理部６４は、ＡＰＩＦ管理部５４８に対して、情報利用装置３に対する識別情報の送信を要求する。
ＡＰＩＦ管理部５４８は、この要求に対する処理が正常終了したか否かなどを示す結果情報を、ＡＰＩＦ処理部６４に返す。

ＡＰＩＦ管理部５４８は、ＡＣＬ管理部５４２に対して、情報利用装置３がＡＰサーバ６に要求したサービスに対応する識別情報の送信のための処理を、サービスＩＤおよびＬＰＩＤなどを指定して、ＡＣＬ管理部５４２に対して要求する。
ＡＣＬ管理部５４２は、指定された情報を用いて、情報利用装置３に対して送信すべき識別情報の識別情報ポインタをＡＣＬから取得し、ＵＩ処理部４４に対して出力する。

なお、ＡＰ固有処理部５４６は、必要に応じて、情報利用装置３に対して送信すべき識別情報に対するフィルタリング処理（例えば、識別情報が情報提供者の住所であるときに、住所の全てではなく、住所の内の県までを取り出す処理）などを行う。
ＡＰ固有処理部５４６による処理が行われるときには、ＡＣＬ管理部５４２は、その処理結果に従って、識別情報の識別情報ポインタをＡＣＬから取得し、ＵＩ処理部４４に対して出力する。
ＡＣＬ管理部５４２へ要求時に指定される情報は、要求（ACLの検索）の条件によって異なります。

新規に識別情報ポインタの作成（登録）のためには、通常、サービスＩＤ、ＡＰＩＤ、ＬＰＩＤ、匿名ＩＤおよび許諾情報という処理情報のフルセットが指定される。
しかしながら、ＡＰＩＦ処理部６４が実行する処理によっては、部分指定でＡＣＬ検索が行われることもある。
情報アクセス制御システム１は、標準的には、情報提供者の意図を反映した識別情報処理を約束する（コンプライアンスの実現）ので、サービスＩＤ、ＡＰＩＤ、ＬＰＩＤおよび匿名ＩＤの処理情報のセットが送られ、これに適合した識別情報へのポインタを出力されることになる。
また、サービスＩＤ、ＡＰＩＤ、ＬＰＩＤから、これらに適合する匿名ＩＤが、複数、取り出されうる。

例えば、現在、特定のサービスを受けている情報利用者（匿名）で、所定のＬＰＩＤがある顧客の匿名リストが作られうる。
これを元に、例えば、ＬＰＩＤが住所ならば、住所確認の対象者リストが作成されうる。
これに、処理情報の領域にダイレクトメールフラグを拡張して入れておくと、匿名リストではあるが、ダイレクトメール送付先リストが作成されうる。
具体的にダイレクトメールを送付するときには、匿名ＩＤだけではなく、識別情報へのポインタも要求されうるが、この場合には、処理情報のオプションには、情報利用者のタイプもしくは、ユーザIDのオプションが必要とされる。

ＵＩ処理部４４は、識別情報管理部５２２に対して、ＡＣＬ管理部５４２から得られた識別情報ポインタを出力し、識別情報管理部５２２は、この識別情報ポインタが示す識別情報（実体）を、情報利用装置３に対して出力する。
情報利用装置３は、同じ通信セッションで情報アクセス制御サーバ４から返される一般サービスの処理結果と、識別情報（実体）とを対応付けて、情報利用装置３の入出力装置１２６（図２）などに出力し、情報利用者の利用に供する。

［情報アクセス制御システム１の全体動作］
以下、情報アクセス制御システム１（図１）の全体的な動作を説明する。

まず、情報提供装置２から情報アクセス制御サーバ４に対する識別情報の登録処理を説明する。
図２８は、図１に示した情報アクセス制御システム１の全体的な動作を示す第１の通信シーケンス図であって、情報アクセス制御サーバ４に対する情報提供装置２のユーザ（情報提供者）の認証から、識別情報（実体）の登録までの処理（Ｓ１０）を示す。
図２８に示すように、ステップ１００（Ｓ１００）において、情報提供装置２から、情報アクセス制御サーバ４に対して、情報提供者の認証が要求される。
ステップ１０２（Ｓ１０２）において、情報アクセス制御サーバ４は、情報提供者を認証する。

ステップ１０４（Ｓ１０４）において、情報提供者は、ＡＰサーバ６に対して、ショッピングなどの新規なサービスを要求する。
ステップ１０６（Ｓ１０６）において、ＡＰサーバ６は、情報アクセス制御サーバ４との間で認証処理を行い、さらに、情報アクセス制御サーバ４に対して、新たな識別情報の作成を要求し、必要な情報を送信する。
ステップ１０８（Ｓ１０８）において、情報アクセス制御サーバ４は、情報提供装置２（情報提供者）に対して、識別情報の入力を要求し、識別情報ポリシーを提示する。

ステップ１１０（Ｓ１１０）において、情報提供装置２（情報提供者）は、提示されたポリシーを許諾する。
ステップ１１２（Ｓ１１２）において、情報提供装置２（情報提供者）は、識別情報（実体）を、情報アクセス制御サーバ４に対して送信する。
情報アクセス制御サーバ４は、情報提供装置２からの識別情報（実体）を記憶し、管理する。
ステップ１１４（Ｓ１１４）において、情報提供装置２は、必要に応じて、情報アクセス制御サーバ４に対して、一般情報を登録する。
ステップ１１６（Ｓ１１６）において、ＡＰサーバ６は、情報提供装置２（情報提供者）に対して、要求された新規なサービスを提供する。

次に、情報アクセス制御サーバ４から情報利用装置３に対する識別情報（実体）の送信処理を説明する。
図２９は、図１に示した情報アクセス制御システム１の全体的な動作を示す第２の通信シーケンス図であって、情報アクセス制御サーバ４から情報利用装置３への識別情報（実体）の送信までの処理（Ｓ１４）を示す。
図２９に示すように、ステップ１４０（Ｓ１４０）において、情報利用装置３（情報利用者）は、情報アクセス制御サーバ４に対して認証を要求する。
ステップ１４２（Ｓ１４２）において、情報アクセス制御サーバ４は、情報利用装置３（情報利用者）を認証する。

ステップ１４４（Ｓ１４４）において、情報利用装置３は、ＡＰサーバ６に対して、発注した品物の発送料金あるいは配達可能日の通知などのサービスを要求する。
ステップ１４６（Ｓ１４６）において、ＡＰサーバ６は、情報アクセス制御サーバ４に対する認証処理を行い、情報利用装置３に対する識別情報（実体）の送信を要求する。
ステップ１４８（Ｓ１４８）において、ＡＰサーバ６は、情報アクセス制御サーバ４に対して、サービスの実現に必要な一般情報を要求し、情報アクセス制御サーバ４は、この要求に応じて、一般情報を、ＡＰサーバ６に対して送信する。

ステップ１５０（Ｓ１５０）において、ＡＰサーバ６は、サービスの処理結果（発送料金・発送可能日を示す情報など）を、情報利用装置３に対して送信する。
ステップ１５２（Ｓ１５２）において、情報アクセス制御サーバ４は、情報利用装置３が要求したサービスに対応する識別情報（実体）を、情報利用装置３に対して送信する。

本発明は、特定の情報に対するアクセスを制御するために利用することができる。

符号の説明

１・・・情報アクセス制御システム，
１００・・・ネットワーク，
２・・・情報提供装置，
１２０・・・本体，
１２２・・・ＣＰＵ，
１２４・・・メモリ，
１２６・・・入出力装置，
１２８・・・通信装置，
１３０・・・記録装置，
１３２・・・記録媒体，
２０・・・情報提供プログラム，
２２・・・ＩＦ・制御部，
２４０・・・ポリシー提示部，
２４２・・・ポリシー許諾部，
２４４・・・識別情報作成部，
２４６・・・認証部，
２４８・・・一般情報作成部，
２５０・・・セッション処理部，
２６０・・・通信処理部，
３・・・情報利用装置，
３０・・・情報利用プログラム，
３００・・・サービス要求部，
３０２・・・処理結果利用部，
４・・・情報アクセス制御サーバ，
４０・・・情報アクセス制御プログラム，
４００・・・認証処理部，
４０２・・・情報提供者マスタＤＢ，
４２８・・・ノード管理部，
４３０・・・ノードＤＢ，
４２・・・匿名ＩＤ処理部，
４２０・・・匿名ＩＤ作成部，
４２２・・・匿名ＩＤ管理部，
４４・・・ＵＩ処理部，
４４０・・・一般情報受入部，
４４２・・・一般情報送信部，
４４４・・・ＵＩオブジェクト処理部，
４４６・・・ＵＩアダプタ処理部，
４６・・・サービス定義部，
４６０・・・ＳＤＴ，
４６２・・・識別情報オブジェクト作成部，
４６４・・・サービス・ＡＰ構成管理部，
４６６・・・識別情報オブジェクトＤＢ，
４６８・・・サービス・ＡＰ構成管理部，
４７０・・・ＡＰＩＦ作成・管理部，
４７２・・・ＡＰＩＤ・ＬＰＩＤ作成部，
４７４・・・ＡＰ固有処理作成部，
４７６・・・識別情報ＵＩオブジェクト作成部，
４７８・・・ＡＣＬ作成部，
４８０・・・ポリシー作成部，
４８２・・・ポリシー提示部，
４８４・・・識別情報実体定義部，
５２・・・識別情報処理部，
５２２・・・識別情報管理部，
５２４・・・識別情報ＤＢ，
５２６・・・使用履歴作成部，
５２８・・・使用履歴ＤＢ，
６・・・ＡＰサーバ，
６０・・・ＡＰサーバプログラム，
６２・・・一般サービス処理部，
６２０・・・実行制御部，
６２２・・・処理結果送信部，
６２６・・・ＡＰ，
６８・・・一般情報管理部，
６８０・・・一般情報受入部，
６８２・・・一般情報記憶部，
６８４・・・一般情報ＤＢ，

Claims (22)

1. 所定の存在に関する情報であって、前記存在の識別に用いられ得る第１の情報と、前記第１の情報以外の第２の情報とを提供する情報提供装置と、情報アクセス制御装置と、情報処理装置とを有する情報アクセス制御システムであって、
   前記情報処理装置は、
   前記情報提供装置に対して、前記第１の情報に対するアクセスの規則を提示する第１の規則提示手段と、
   前記第１の情報に対応する識別子に対応付けられて提供される前記第２の情報を処理する情報処理手段と
   を有し、
   前記情報提供装置は、
   前記第１の情報と第２の情報とを提供する情報提供手段と、
   前記提示された規則を許諾する第１の許諾手段と
   を有し、
   前記情報アクセス制御装置は、
   前記識別子を生成する識別子生成手段と、
   前記生成された識別子を、この識別子に対応する第２の情報に対応付けて、前記情報処理装置に提供する情報提供手段と、
   前記許諾された規則に従って、この規則に対応する第１の情報に対するアクセスを許可するか否かを制御する情報アクセス制御手段と
   を有する
   情報アクセス制御システム。
2. 前記情報アクセス制御装置は、
   前記第１の情報に対するアクセスの規則の提示方法と、前記処理装置における処理の内容とを、前記所定の存在ごとに対応付けて定義する定義データを作成する定義データ作成手段と、
   前記作成された定義データに含まれるアクセスの規則の提示方法に従って、前記情報処理装置からの前記第１の情報に対するアクセスの規則を、前記情報提供装置に提示する第２の規則提示手段と
   をさらに有する請求項１に記載の情報アクセス制御システム。
3. 前記作成された定義データに含まれる処理の内容に従って、前記情報処理装置に対する処理を要求し、要求した処理に対応する前記第１の情報を利用する情報利用装置
   をさらに有し、
   前記情報アクセス制御手段は、前記アクセスが許可された前記第１の情報を、前記情報利用装置に対して送信する
   請求項２に記載の情報アクセス制御システム。
4. 前記所定の存在は個人であり、
   前記第１の情報は、個人を識別しうる識別情報であり、
   前記第２の情報は、個人に関係する一般情報であり、
   前記処理結果と、この処理結果に対応する前記識別情報とを利用する情報利用装置
   をさらに有し、
   前記情報アクセス制御装置は、
   前記アクセスが許諾された識別情報を、前記情報利用装置に対して提供する処理結果提供手段
   をさらに有する
   請求項１または２に記載の情報アクセス制御システム。
5. 所定の存在に関係する情報であって、前記存在の識別に用いられ得る第１の情報に対する情報アクセス制御を行う情報アクセス制御装置であって、前記存在に関係する情報は、前記第１の情報以外の第２の情報を含み、前記第１の情報に対するアクセスの規則が提示され、前記提示された規則に対して許諾が行われ、前記第１の情報に対応する識別子に対応付けられて提供される前記第２の情報に対して、所定の情報処理が行われ、
   前記識別子を生成する識別子生成手段と、
   前記生成された識別子を、この識別子に対応する第２の情報に対応付けて、前記情報処理のために提供する情報提供手段と、
   前記許諾された規則に従って、この規則に対応する第１の情報に対するアクセスを制御する情報アクセス制御手段と
   を有する情報アクセス制御装置。
6. 前記第１の情報に対するアクセスの規則の提示方法と、前記情報処理の内容とを、前記所定の存在ごとに対応付けて定義する定義データを作成する定義データ作成手段と、
   前記作成された定義データに含まれるアクセスの規則の提示方法に従って、前記情報処理装置からの前記第１の情報に対するアクセスの規則を、前記情報提供装置に提示するアクセス規則提示手段と
   をさらに有する請求項５に記載の情報アクセス制御装置。
7. 前記情報処理は、前記作成された定義データに含まれる処理の内容に従って行われ、
   前記情報アクセス制御手段は、前記要求された情報処理に対応する前記第１の情報であって、前記アクセスが許可された前記第１の情報に対するアクセスを許可する
   請求項６に記載の情報アクセス制御装置。
8. 前記処理結果は、この処理結果に対応する前記識別情報に対応付けられて利用され、
   前記アクセスが許諾された識別情報を、前記利用のために提供する処理結果提供手段
   をさらに有する請求項５〜７のいずれかに記載の情報アクセス制御装置。
9. 前記アクセスが許諾された第１の情報を利用する利用者を認証する第１の認証手段
   をさらに有し、
   前記処理結果提供手段は、前記認証された利用者に対して、前記識別情報に対応する処理結果を提供する
   請求項８に記載の情報アクセス制御装置。
10. 前記存在を認証する第１の認証手段と、
    前記認証された存在に関係する前記第１の情報を記憶する情報記憶手段と
    をさらに有し、
    前記情報アクセス制御手段は、前記記憶された第１の情報に対するアクセスを制御する
    請求項５〜９のいずれかに記載の情報アクセス制御装置。
11. 前記情報記憶手段は、前記記憶した第１の情報を、それぞれに設定された時間が経過した後に削除する
    請求項１０に記載の情報アクセス制御装置。
12. 前記第１の情報に対するアクセスの履歴をとる履歴手段
    をさらに有する請求項５〜１１のいずれかに記載の情報アクセス制御装置。
13. 前記規則を提示する規則提示手段と、
    前記提示された規則に対する許諾を受け入れる許諾受入手段と
    をさらに有し、
    前記情報アクセス制御手段は、前記提示された規則と、この規則に対する許諾とに基づいて、前記第１の情報に対するアクセスを制御する
    請求項５に記載の情報アクセス制御装置。
14. 前記規則を、前記許諾を行う許諾者に対して表示するために用いられる表示画像を定義する画像定義手段
    をさらに有し、
    前記規則提示手段は、前記規則を、前記定義された表示画像を用いて、前記許諾者に対して表示する
    請求項１３に記載の情報アクセス制御装置。
15. 前記規則提示手段は、前記規則を、前記許諾を行う許諾者に対して対話的に表示する
    請求項１３または１４に記載の情報アクセス制御装置。
16. 前記所定の存在は個人であり、
    前記第１の情報は、個人を識別しうる識別情報であり、
    前記第２の情報は、個人に関係する一般情報である
    請求項５〜１５のいずれかに記載の情報アクセス制御装置。
17. 所定の存在に関する情報を処理する情報処理装置であって、前記存在に関する情報は、前記存在の識別に用いられ得る第１の情報と、前記第１の情報以外の第２の情報とを含み、前記第１の情報は、規則に従ってアクセスされ、
    前記第１の情報に対するアクセスの規則を提示する規則提示手段と、
    前記第１の情報に対応する前記第２の情報を処理する情報処理手段と
    を有する情報処理装置。
18. 前記所定の存在は個人であり、
    前記第１の情報は、個人を識別しうる識別情報であり、
    前記第２の情報は、個人に関係する一般情報である
    請求項１７に記載の情報処理装置。
19. 所定の存在に関係する情報であって、前記存在の識別に用いられ得る第１の情報に対する情報アクセス制御を行う情報アクセス制御方法であって、前記存在に関係する情報は、前記第１の情報以外の第２の情報を含み、前記第１の情報に対するアクセスの規則が提示され、前記提示された規則に対して許諾が行われ、前記第１の情報に対応する識別子に対応付けられて提供される前記第２の情報に対して、所定の情報処理が行われ、
    前記識別子を生成する識別子生成ステップと、
    前記生成された識別子を、この識別子に対応する第２の情報に対応付けて、前記情報処理のために提供する情報提供ステップと、
    前記許諾された規則に従って、この規則に対応する第１の情報に対するアクセスを制御する情報アクセス制御ステップと
    を有する情報アクセス制御方法。
20. 個人に関する情報を処理する情報処理方法であって、前記個人に関する情報は、前記個人の識別に用いられ得る識別情報と、前記識別情報以外の一般情報とを含み、前記識別情報は、規則に従ってアクセスされ、
    前記識別情報に対するアクセスの規則を提示する規則提示ステップと、
    前記識別情報に対応する前記一般情報を処理する情報処理ステップと
    を有する情報処理方法。
21. 所定の存在に関係する情報であって、前記存在の識別に用いられ得る第１の情報に対する情報アクセス制御を行うプログラムであって、前記存在に関係する情報は、前記第１の情報以外の第２の情報を含み、前記第１の情報に対するアクセスの規則が提示され、前記提示された規則に対して許諾が行われ、前記第１の情報に対応する識別子に対応付けられて提供される前記第２の情報に対して、所定の情報処理が行われ、
    前記識別子を生成する識別子生成ステップと、
    前記生成された識別子を、この識別子に対応する第２の情報に対応付けて、前記情報処理のために提供する情報提供ステップと、
    前記許諾された規則に従って、この規則に対応する第１の情報に対するアクセスを制御する情報アクセス制御ステップと
    をコンピュータに実行させる情報アクセス制御プログラム。
22. 個人に関する情報を処理するプログラムであって、前記個人に関する情報は、前記個人の識別に用いられ得る識別情報と、前記識別情報以外の一般情報とを含み、前記識別情報は、規則に従ってアクセスされ、
    前記識別情報に対するアクセスの規則を提示する規則提示ステップと、
    前記識別情報に対応する前記一般情報を処理する情報処理ステップと
    をコンピュータに実行させる情報処理プログラム。

Images