WO2021090764A1 - 生成装置、生成方法、及び検証装置 - Google Patents

Abstract

生成装置（２０）は、ゼロ知識証明を用いた検証に用いられる証明情報を生成する生成装置であって、条件式生成部（２３ａ）と、証明情報生成部（２３ｂ）とを備える。条件式生成部（２３ａ）は、１又は複数の条件で秘密情報を定義する条件式を、異なる条件ごとに複数生成する。証明情報生成部（２３ｂ）は、証明情報として、複数の条件式のそれぞれに基づく複数のｐｒｏｏｆを生成する。

Description

生成装置、生成方法、及び検証装置

　本開示は、生成装置、生成方法、及び検証装置に関する。

　ユーザの氏名、住所、電話番号、メールアドレス等の個人情報を用いて、インターネット上でサービスを受けるための本人確認処理などの認証処理を行う際に、プライバシーの保護や利便性を満たすための試みが提案されている。

　また、プライバシーの保護に鑑み、本人確認処理などの認証処理において、個人情報など、ユーザが公開したくない情報を提示する必要のないゼロ知識証明の手法の利用が検討される場合もある。

特開２０１９－４０５３７号公報

　ゼロ知識証明の手法を利用する場合、個人情報を定義する条件の複雑さなどを原因として、個人情報を知っていることの証明を行うための証明情報の変更に伴う処理負担が大きいという課題がある。

　そこで、本開示では、証明情報の変更に伴う処理負担を軽減できる生成装置、生成方法、及び検証装置を提案する。

　上記の課題を解決するために、本開示に係る一実施形態の生成装置は、ゼロ知識証明を用いた検証に用いられる証明情報を生成する生成装置であって、条件式生成部と、証明情報生成部とを備える。条件式生成部は、１又は複数の条件で秘密情報を定義する条件式を、異なる条件ごとに複数生成する。証明情報生成部は、証明情報として、複数の条件式のそれぞれに基づく複数のｐｒｏｏｆを生成する。

実施形態に係る情報処理システムのシステム構成の一例を模式的に示す図である。 実施形態に係る情報処理ステムの概要を示す図である。 比較例に係る証明情報の生成方法の一例を示す図である。 実施形態に係るユーザ端末の機能構成例を示すブロック図である。 実施形態に係る情報銀行装置の機能構成の一例を示すブロック図である。 実施形態に係る個人情報格納部に記憶される情報の概要を示す図である。 実施形態に係る証明情報格納部に記憶される情報の概要を示す図である。 実施形態に係るセットアップ処理の概要を示す図である。 実施形態に係るセットアップ処理の概要を示す図である。 実施形態に係るセットアップ処理の概要を示す図である。 実施形態に係る証明情報の生成方法の概要を示す図である。 実施形態に係る証明情報の生成方法の概要を示す図である。 実施形態に係る証明情報の生成方法の概要を示す図である。 実施形態に係る証明情報の更新方法の概要を示す図である。 実施形態に係る証明情報の更新方法の概要を示す図である。 実施形態に係る情報利用者装置の機能構成の一例を示すブロック図である。 実施形態に係る検証処理の概要を示す図である。 実施形態に係る情報処理システムによる処理手順の一例を示すシーケンス図である。 実施形態に係る情報処理システムによる処理手順の一例を示すシーケンス図である。 実施形態に係る情報処理システムによる処理手順の一例を示すシーケンス図である。 実施形態に係る情報処理システムによる処理手順の一例を示すシーケンス図である。 変形例に係る条件式の概要を示す図である。 情報銀行装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。

　以下に、本開示の実施形態について図面に基づいて詳細に説明する。なお、以下の各実施形態において、同一の部位には同一の符号を付することにより重複する説明を省略する場合がある。

　また、以下に示す項目順序に従って本開示を説明する。
　　１．システム構成例
　　２．機能構成例
　　３．処理手順例
　　４．変形例
　　５．その他
　　６．まとめ
　　７．ハードウェア構成

（１．システム構成例）
　図１及び図２を参照して、実施形態に係る情報処理システムのシステム構成例について説明する。図１は、実施形態に係る情報処理システムのシステム構成の一例を模式的に示す図である。図２は、実施形態に係る情報処理ステムの概要を示す図である。

　図１に示すように、実施形態に係る情報処理システム１は、ユーザ端末１０と、情報銀行装置２０（情報銀行装置２０ａ，２０ｂ）と、情報利用者装置３０（情報利用者装置３０ａ，３０ｂ）とを備えている。情報銀行装置２０は、ゼロ知識証明を用いた検証のための情報を生成する生成装置として機能する。情報利用者装置３０は、ゼロ知識証明を用いた検証を実行する検証装置として機能する。

　以下では、実施形態に係る情報処理システム１において、情報銀行装置２０が、秘密情報の一例であるユーザの個人情報を管理する情報管理サービス、並びに情報利用者装置３０のユーザに対して個人情報を提供する情報提供サービスを実現する例を説明する。実施形態に係る情報処理システム１により実現されるサービス形態は、この例には特に限定される必要はない。また、秘密情報は、個人情報の他、企業等の情報であってもよく、匿名性を担保する必要がある情報や、情報の出所を明らかにすることを避けたい情報などの種々の情報であってよい。

　ユーザ端末１０、情報銀行装置２０、及び情報利用者装置３０は、通信ネットワーク１００に接続する。ユーザ端末１０及び情報銀行装置２０は、通信ネットワーク１００を介して、各種データを送受信するデータ通信を行う。情報銀行装置２０及び情報利用者装置３０は、通信ネットワーク１００を介して、各種データを送受信するデータ通信を行う。

　通信ネットワーク１００は、インターネット、電話回線網、または衛星通信網などの公衆回線網や、Ｅｔｈｅｒｎｅｔ（登録商標）を含む各種のＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）などで実現されてもよい。さらに、通信ネットワーク１００は、Ｗｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）などの無線通信網で実現されてもよい。あるいは、通信ネットワーク１００は、ＩＰ－ＶＰＮ（Internet　Protocol-Virtual　Private　Network）などの専用回線網で実現されてもよい。

　通信ネットワーク１００は、ピアツーピアネットワーク（以下、「Ｐ２Ｐネットワーク」と記載する）を含んでよい。Ｐ２Ｐネットワークは、Ｐ２Ｐ型分散ファイルシステムと呼ばれる場合もある。情報処理システム１は、例えば、Ｐ２Ｐネットワークに流通している分散型のＰ２Ｐデータベースを利用できる。Ｐ２Ｐデータベースは、例えば、複数の情報処理装置１１０ａ～１１０ｄにより構築される。Ｐ２Ｐデータベースとして、Ｐ２Ｐネットワークに流通しているブロックチェーンシステム１１０が例示される。

　ブロックチェーンシステム１１０により、情報処理システム１における個人情報の請求及び取得等の履歴を示す履歴データ（ログ）が管理される。各履歴データに暗号鍵を用いた電子署名を付与したり、各トランザクションデータを暗号化したりすることにより、なりすましや履歴データの改ざんが防止される。また、各履歴データは公開され、複数の情報処理装置１１０ａ～１１０ｄ全体で共有される。

　図２に示すように、情報銀行装置２０の情報提供サービスへの情報登録を希望するユーザＵ１は、ユーザ端末１０を操作し、情報銀行装置２０に個人情報を登録する。ユーザＵ１は、個人情報の登録に合わせて、個人情報の提供を許可する公開先の登録を行う。

　情報銀行装置２０は、ユーザＵ１から登録された個人情報を管理する。情報銀行装置２０は、１又は複数の条件で個人情報を定義する条件式を、異なる条件ごとに複数生成するセットアップ処理を実行する。セットアップ処理では、複数生成された条件式のそれぞれに対して、各条件式が特定の個人に帰属する個人情報を定義するものであることを示す同一の乱数を付加する。乱数には、たとえば個人情報など、ユーザＵ１しか知り得ない情報を用いることができる。また、セットアップ処理では、複数生成した条件式ごとに、ゼロ知識証明に用いる証明鍵と、検証鍵とが合わせて生成される。

　また、情報銀行装置２０は、ゼロ知識証明を用いた検証に用いられる証明情報として、複数の条件式のそれぞれに基づく複数のｐｒｏｏｆ（以下、プルーフと適宜表記する）を生成する。プルーフは、例えば情報利用者装置３０のユーザに対して、情報利用者装置３０のユーザにより指定された条件に合う個人情報を知っていることを、個人情報を開示することなく証明するための情報である。例えば、情報利用者装置３０は、証明鍵を用いて生成されたプルーフを、検証鍵を用いて検証することにより、情報銀行装置２０が条件に合う個人情報を知っているか否かの条件判定を実施できる。

　情報銀行装置２０は、情報利用者装置３０からの個人情報の請求があると、複数のプルーフの中から、指定される条件に合致するプルーフを情報利用者装置３０に提供する。また、情報銀行装置２０は、プルーフと共に、プルーフの検証に用いる公開情報及び検証鍵を情報利用者装置３０に合わせて提供する。

　情報利用者装置３０は、情報銀行装置２０に対して個人情報の請求を行うことにより、情報銀行装置２０から取得したプルーフを検証する。個人情報の請求は、例えば、検索条件を指定するクエリなどを用いて行われる。

　図３は、比較例に係る証明情報の生成方法の一例を示す図である。個人情報は、年齢や電話番号、住所などの１又は複数の条件により定義することができる。例えば、図３に示すように、あるユーザの個人情報と、年齢を定義する条件Ｄ及び住所を定義する条件Ｅの２つの条件を含む条件式Ｆとに基づいて、この条件式Ｆに基づく「ｐｒｏｏｆ：Ｆ」を生成できる。このとき、例えば、ユーザの年齢に変更があった場合、条件Ｄ及び条件Ｅの２つの条件を含む条件式Ｆに基づいて生成された「ｐｒｏｏｆ：Ｆ」は、たとえ住所に変更がなくても、プルーフ全体を再生成する必要がある。

　これに対して、実施形態に係る情報処理システム１では、１又は複数の条件で個人情報を定義する条件式を、異なる条件ごとに複数生成する。そして、実施形態に係る情報処理システム１では、ゼロ知識証明を用いた検証に用いられる証明情報として、複数の条件式のそれぞれに基づく複数のプルーフを生成する。このため、実施形態に係る情報処理システム１では、１又は複数の条件で個人情報を定義する条件式を、異なる条件ごとに部分的に管理できる。これにより、実施形態に係る情報処理システム１によれば、個人情報や条件に変更があっても、条件式ごとに生成されるプルーフを個別に更新でき、証明情報の変更に伴う処理負担を軽減できる。

（２．機能構成例）
　続いて、実施形態に係る情報処理システム１が備える各装置の機能構成の一例について説明する。

（２－１．ユーザ端末）
　ユーザ端末１０は、情報銀行装置２０により提供される情報管理サービスの利用者であるユーザが操作するユーザデバイスである。ユーザ端末１０は、例えば、スマートフォンを含む携帯電話機や、タブレット端末や、デスクトップ型ＰＣや、ノート型ＰＣや、ＰＤＡ（Personal　Digital　Assistant）等の情報処理装置により実現される。

　図４は、実施形態に係るユーザ端末の機能構成例を示すブロック図である。図４に示すように、ユーザ端末１０は、通信部１１と、入力部１２と、出力部１３と、撮像部１４と、測位部１５と、検出部１６と、記憶部１７と、制御部１８とを備えている。

　図４は、実施形態に係るユーザ端末１０の機能構成の一例を示すものであり、図４に示す例には特に限定される必要はなく、ユーザ端末１０の各種処理を実現可能な任意の構成を採用できる。また、図４に示すユーザ端末１０の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。たとえば、各機能ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

　通信部１１は、例えば、ＮＩＣ（Network　Interface　Card）等によって実現される。かかる通信部１１は、通信ネットワーク１００と有線又は無線で接続され、かかる通信ネットワーク１００を介して、情報銀行装置２０等との間で情報の送受信を行う。

　入力部１２は、キーボードやマウスなどを備え、ユーザ端末１０のユーザから各種操作を受け付ける。入力部１２がユーザから受け付ける操作には、情報銀行装置２０から提供される情報管理サービスを利用する際に必要となるユーザ登録操作や、個人情報の登録(アップロード)の操作などが含まれる。入力部１２は、マイクなどの音入力デバイスを備えてもよく、音声入力デバイスを介してユーザの音声などの入力を受け付けることができる。

　出力部１３は、ディスプレイやスピーカーなどを備え、各種情報を出力する。出力部１３が出力する情報には、情報銀行装置２０から提供されるユーザ登録操作や、個人情報の登録操作を行うためのユーザインターフェイスなどを含む。

　撮像部１４は、カメラなどのデバイスを備え、画像を撮像する。撮像部１４により取得されるユーザの顔画像や虹彩の画像などのデータは、情報管理サービスにおける取扱い可能であれば、ユーザの個人情報の１つとして登録できる。

　測位部１５は、ＧＰＳ（Global　Positioning　System）などを備え、ユーザ端末１０の位置を取得する。測位部１５により取得されるユーザの位置情報は、情報管理サービスにおける取扱い可能であれば、ユーザの個人情報の１つとして登録できる。

　検出部１６は、加速度センサやジャイロセンサ、生体センサなどを備え、ユーザ端末１０に作用する各種情報を検出する。検出部１６により取得されるユーザの歩容に対応する特徴量や心拍の波形、指紋の特徴点などの生体情報は、情報管理サービスにおける取扱い可能であれば、ユーザの個人情報の１つとして登録できる。

　記憶部１７は、制御部１８により実行される各種処理機能を実現するためのプログラム及びデータ等を記憶する。記憶部１７は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１７が記憶するプログラムには、制御部１８の各部に対応する処理機能を実現するための制御プログラムが含まれる。制御プログラムは、情報管理サービスを利用する際に必要となるユーザ登録操作や個人情報の登録操作等に関する処理を、ユーザ端末１０に実行させるための処理機能を提供する。

　制御部１８は、ユーザ端末１０における各種処理を実行する。制御部１８は、例えば、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）等のプロセッサにより実現される。例えば、制御部１８は、ユーザ端末１０の内部に備えられた記憶装置に記憶されている各種プログラムを、プロセッサがＲＡＭ（Random　Access　Memory）等を作業領域として実行することにより実現される。なお、制御部１８は、ＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路により実現されてもよい。

　制御部１８は、登録部１８ａ及び変更依頼部１８ｂを備え、これらの各部により、ユーザ端末１０の各種処理の機能や作用を実現または実行する。

　登録部１８ａは、情報管理サービスを利用する際に必要となるユーザ登録操作や個人情報の登録操作等を行うための処理を実行する。変更依頼部１８ｂは、情報銀行装置２０に登録済みの個人情報の変更依頼を行うための処理を実行する。

（２－２．情報銀行装置）
　情報銀行装置２０は、ユーザの個人情報を管理する情報管理サービス、及び情報利用者装置３０に個人情報を提供する情報提供サービスを提供するサービス事業者により管理される装置である。情報銀行装置２０は、クラウド環境上に設置されたサーバ等の情報処理装置により実現される。

　図５は、実施形態に係る情報銀行装置の機能構成の一例を示すブロック図である。図５に示すように、情報銀行装置２０は、通信部２１と、記憶部２２と、制御部２３とを備えている。

　図５は、実施形態に係る情報銀行装置２０の機能構成の一例を示すものであり、図５に示す例には特に限定される必要はなく、情報銀行装置２０の各種処理を実現可能な任意の構成を採用できる。また、図５に示す情報銀行装置２０の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。たとえば、各機能ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

　通信部２１は、例えば、ＮＩＣ（Network　Interface　Card）等によって実現される。かかる通信部２１は、通信ネットワーク１００と有線又は無線で接続され、かかる通信ネットワーク１００を介して、ユーザ端末１０及び情報利用者装置２０等との間で情報の送受信を行う。

　記憶部２２は、制御部２３により実行される各種処理機能を実現するためのプログラム及びデータ等を記憶する。記憶部２２は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部２２が記憶するプログラムには、制御部２３の各部に対応する処理機能を実現するための制御プログラムが含まれる。制御プログラムは、情報管理サービスの提供に際してユーザ端末１０との間で実行されるユーザ登録や個人情報の登録等を実現するための各種処理機能を提供する。また、制御プログラムは、情報提供サービスを実現するための各種処理機能を提供する。

　図５に示すように、記憶部２２は、個人情報格納部２２ａ及び証明情報格納部２２ｂを備えている。

　図６は、実施形態に係る個人情報格納部に記憶される情報の概要を示す図である。図６に示すように、個人情報格納部２２ａは、ユーザＩＤの項目に対応付けて、個人情報を特定する属性を示す複数の項目と、情報公開先の項目を備えている。ユーザＩＤの項目には、情報管理サービスのユーザ登録を行ったユーザに対して一意に付与されるユーザＩＤが記憶される。個人情報格納部２２ａは、個人情報の属性を示す各項目として、例えば、名前、住所、電話番号、年齢等の複数の項目を備え、これらの項目に対応する個人情報が記憶される。

　情報銀行装置２０が取扱い可能な個人情報として、カード番号などの秘密情報、公知の情報の組合せ、センシングデータ、マイナンバー、クレジットカード情報などのその他の情報が例示される。公知の情報の組合せとして、自宅の住所や電話番号の他、家族の名前、実家の住所や電話番号、親の旧姓などが例示される。センシングデータとして、指紋、自宅など特定の場所の位置情報、虹彩、顔、歩容などの生体情報が例示される。情報公開先の項目には、情報管理サービスのユーザ登録の際に、ユーザが個人情報の提供を許可する企業等を特定するための情報が記憶される。なお、個人情報の提供を許可する企業等を特定するための情報として、公開先とする企業名の他、情報利用者の利用目的による条件や情報提供に対する報酬による条件が記憶されてもよい。例えば、ダイレクトマーケティングの目的で情報提供を求める情報利用者に対しては、情報を公開しないという設定が可能である。また、情報提供に対する報酬がある場合や、報酬が所定の金額を超える場合にのみ、情報を公開するという設定も可能である。また、個人情報は、実際のデータそのものでなくてもよく、暗号化されたデータや匿名処理されたデータであってもよい。また、情報公開先は、個人情報の各項目ごとに個別に設定されてもよいし、全ての個人情報についてまとめて設定されてもよい。

　図７は、実施形態に係る証明情報格納部に記憶される情報の概要を示す図である。図７に示すように、証明情報格納部２２ｂは、ユーザＩＤの項目と、証明情報の項目とを備えており、これらの項目が互いに対応付けられている。ユーザＩＤの項目には、情報管理サービスのユーザ登録を行ったユーザに対して一意に付与されるユーザＩＤが記憶される。証明情報の項目には、ユーザ登録の際に生成されるプルーフの情報が記憶される。

　制御部２３は、情報銀行装置２０における各種処理を実行する。制御部２３は、例えば、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）等のプロセッサにより実現される。例えば、制御部２３は、情報銀行装置２０の内部に備えられた記憶装置に記憶されている各種プログラムを、プロセッサがＲＡＭ（Random　Access　Memory）等を作業領域として実行することにより実現される。なお、制御部２３は、ＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路により実現されてもよい。

　図５に示すように、制御部２３は、セットアップ処理部２３ａと、生成部２３ｂと、提供部２３ｃと、再生成部２３ｄとを備えており、これらの各部により、情報銀行装置２０の各種処理の機能や作用を実現または実行する。

　セットアップ処理部２３ａは、１又は複数の条件で秘密情報を定義する条件式を、異なる条件ごとに複数生成する条件式生成部として機能する。セットアップ処理部２３ａによるセットアップ処理は、初期設定として１度だけ実施される。図８～図１０は、実施形態に係るセットアップ処理の概要を示す図である。

　例えば、図８～図１０に示すように、セットアップ処理部２３ａは、例えば、ある１つの個人情報Ｊ１を所定の条件により定義する条件式Ａ、ある２つの個人情報Ｊ２，Ｊ３のそれぞれを所定の条件により定義する条件式Ｂ、並びに条件式Ａ及び条件式Ｂが正しいことを定義する条件式Ｃをそれぞれ生成する。図８～図１０に示す例において、個人情報Ｊ１～Ｊ３は、数字で定義可能な個人情報に相当する。

　例えば、条件式Ａにより、ある個人情報Ｊ１が１００よりも大きいという条件が定義される。なお、条件式Ａには、公開情報Ｑが１００に等しいという条件が含まれる。また、条件式Ｂにより、ある個人情報Ｊ２が１よりも大きく、かつ個人情報Ｊ３が１０未満であるという条件が定義される。条件式Ｃにより、条件式Ａ（個人情報Ｊ１が１００よりも大きい）、及び条件式Ｂ（個人情報Ｊ２が１よりも大きく、かつ個人情報Ｊ３が１０未満である）がそれぞれ正しいという条件が定義される。

　また、図８～図１０に示すように、条件式Ａ～条件式Ｃには、各条件式Ａ～Ｃにより定義される個人情報が特定の個人に帰属することを示す情報として同一の乱数αが付加される。乱数αは、これにより、個人情報Ｊ１～Ｊ３を定義する条件式Ａ～Ｃのそれぞれが同一のユーザに帰属する個人情報を定義するものであることが証明され、情報利用者装置３０におけるプルーフの検証時に適当な組み合わせで検証されることを防止できる。セットアップ処理部２３ａは、ユーザ端末１０のユーザの個人情報を登録する際に、乱数αを暗号鍵により暗号化した情報（Ｅｎｃ（α））を生成する。セットアップ処理部２３ａは、乱数αを暗号化した情報（Ｅｎｃ（α））を公開情報Ｅｎｃ（α）としてブロックチェーンシステム１１０に登録する。また、セットアップ処理部２３ａは、ユーザ端末１０のユーザの個人情報を登録する際に、公開情報Ｑをブロックチェーンシステム１１０に登録できる。公開情報Ｑとしては、たとえばユーザ端末１０のユーザが公開可能と判断した個人情報等を用いることができ、ユーザ端末１０のユーザから取得できる。公開情報としてブロックチェーンシステム１１０に登録される公開情報Ｅｎｃ（α）及び公開情報Ｑは、プルーフとともに情報利用者装置３０に提供され、ゼロ知識証明を利用した情報利用者装置３０によるプルーフの検証時に用いられる。

　また、セットアップ処理部２３ａは、生成した条件式Ａに対応する証明鍵Ａ及び検証鍵Ａ、生成した条件式Ｂに対応する証明鍵Ｂ及び検証鍵Ｂ、並びに生成した条件式Ｃに対応する証明鍵Ｃ及び検証鍵Ｃをそれぞれ生成する。例えば、セットアップ処理部２３ａは、条件式Ａ～Ｃのそれぞれを加算と乗算で表した計算式の列に変換し、変換した列を行列とみなしたＲ１ＣＳを求める。そして、セットアップ処理部２３ａは、乱数αと、Ｒ１ＣＳをＱＡＰに変換して得られる行列の値とをスカラー値とした楕円曲線暗号によるスカラー倍演算を行い、証明鍵及び検証鍵を生成する。

　このように、セットアップ処理部２３ａは、１又は複数の条件で個人情報を定義する条件式を、異なる条件ごとに部分的に管理できる。

　生成部２３ｂは、ゼロ知識証明を用いた検証に用いられる証明情報として、セットアップ処理部２３ａにより生成された複数の条件式に基づくプルーフを、複数の条件式ごとにそれぞれ生成する。生成部２３ｂは、上述の証明情報として、複数の条件式のそれぞれに基づく複数のプルーフを生成する証明情報生成部として機能する。

　生成部２３ｂは、ユーザ端末１０からユーザ登録要求を受信すると、ユーザ登録処理を実行する。具体的には、生成部２３ｂは、ユーザ登録要求の送信元であるユーザ端末１０のユーザに対して付与するユーザＩＤを発行する。そして、生成部２３ｂは、ブロックチェーンシステム１１０に対して、ユーザＩＤを含むユーザ登録要求を送信する。

　また、生成部２３ｂは、ユーザ登録処理の完了後に、ユーザ端末１０から取得する個人情報を、ユーザＩＤに関連付けて個人情報格納部２２ａに格納する。個人情報の保存が完了すると、生成部２３ｂは、プルーフを生成する。図１１～図１３は、実施形態に係る証明情報の生成方法の概要を示す図である。以下の説明において、公開情報Ｊ４は、ブロックチェーンシステム１１０に登録される公開情報Ｅｎｃ（α）及び公開情報Ｑのうちの少なくともいずれか一方を指す。

　例えば、図１１に示すように、生成部２３ｂは、セットアップ処理部２３ａにより生成された証明鍵Ａ及び条件式Ａから求められるＱＡＰと、ユーザの個人情報Ｐ１と、公開情報Ｊ４（Ｅｎｃ（α）、Ｑ）とを掛け合わせることにより、スカラー値を求める。そして、生成部２３ｂは、求めたスカラー値を証明鍵Ａにより暗号化し、暗号化した値を足し合わせたものを、条件式Ａに基づく「ｐｒｏｏｆ：Ａ」として生成する。

　また、図１２に示すように、生成部２３ｂは、セットアップ処理部２３ａにより生成された証明鍵Ｂ、及び条件式Ｂから求められるＱＡＰと、ユーザの個人情報Ｊ２，Ｊ３と、公開情報Ｊ４（Ｅｎｃ（α））とを掛け合わせることにより、スカラー値を求める。そして、生成部２３ｂは、求めたスカラー値を証明鍵Ｂにより暗号化し、暗号化した値を足し合わせたものを、条件式Ｂに基づく「ｐｒｏｏｆ：Ｂ」として生成する。

　また、図１３に示すように、生成部２３ｂは、セットアップ処理部２３ａにより生成された証明鍵Ｃ、及び条件式Ｃから求められるＱＡＰと、ユーザの個人情報Ｊ１～Ｊ３と、公開情報Ｊ４（Ｅｎｃ（α））とを掛け合わせることにより、スカラー値を求める。そして、生成部２３ｂは、求めたスカラー値を証明鍵Ｃにより暗号化し、暗号化した値を足し合わせたものを、条件式Ｃに基づく「ｐｒｏｏｆ：Ｃ」として生成する。

　生成部２３ｂは、生成した複数のプルーフを、ユーザＩＤに関連付けて証明情報格納部２２ｂに格納する。また、生成部２３ｂは、生成したプルーフを、ユーザＩＤに関連付けてブロックチェーンシステム１１０に登録する。生成部２３ｂは、ブロックチェーンシステム１１０にプルーフを登録する際、プルーフの登録に用いた同一のユーザＩＤに関連付けて、公開情報Ｅｎｃ（α）及び公開情報Ｑをブロックチェーンシステム１１０に合わせて登録する。

　上述したセットアップ処理部２３ａ及び生成部２３ｂによる処理は、例えば、下記文献等に開示されているゼロ知識証明の命題を非対話式に実現する既存技術である「ｚｋ－ＳＮＡＲＫ」を用いて行うことができる。
・＜https://eprint.iacr.org/2016/260.pdf＞
・＜http://zerocash-project.org/media/pdf/zerocash-oakland2014.pdf＞

　提供部２３ｃは、情報利用者装置３０から受信する個人情報の請求に応じて、生成部２３ｂにより生成された複数のプルーフの中から、指定される条件に合致するプルーフ（プルーフのリスト）を提供する。例えば、提供部２３ｃは、個人情報の請求元である情報利用者装置３０のユーザを情報公開先に設定している個人情報の登録があるか否かを判定する。そして、情報利用者装置３０のユーザを情報公開先に設定している個人情報の登録があれば、証明情報格納部２２ｂに記憶されている複数のプルーフの中から、情報利用者装置３０により指定される条件に合致するプルーフを検索する。すなわち、提供部２３ｃは、証明情報格納部２２ｂに記憶されている複数のプルーフの中から、情報利用者装置３０から受信した個人情報の請求において、クエリにより指定された検索条件に合致する個人情報を用いて生成されたプルーフを検索する。そして、提供部２３ｃは、検索条件に合致する個人情報を用いて生成されたプルーフのリストを情報利用者装置３０に送信する。

　再生成部２３ｄは、ユーザ端末１０から変更依頼に対応する新たな個人情報を受信すると、変更依頼の送信元であるユーザのユーザＩＤに関連付けて記憶されている個人情報を、新たな個人情報で更新する。

　また、再生成部２３ｄは、条件式により定義された個人情報の変更に応じて、変更に対応する個人情報を定義する条件式に基づくプルーフを再生成して更新する証明情報生成部として機能する。図１４は、実施形態に係る証明情報の更新方法の概要を示す図である。再生成部２３ｄは、個人情報Ｐ１が個人情報Ｐ１’に変更される場合、個人情報Ｐ１に基づくｐｒｏｏｆ：Ａを破棄する。続いて、図１４に示すように、再生成部２３ｄは、ユーザ端末１０から受信した新たな個人情報Ｐ１’に基づくｐｒｏｏｆ：Ａ’を再生成する。そして、再生成部２３ｄは、再生成したｐｒｏｏｆ：Ａ’を、変更依頼の送信元であるユーザのユーザＩＤに関連付けて、証明情報格納部２２ｂに格納する。例えば、再生成部２３ｄは、ユーザから住所の変更依頼を受信すると、該当ユーザの旧住所に基づくプルーフを破棄し、新たな住所を用いたプルーフを再生成して、証明情報格納部２２ｂに格納する。このように、再生成部２３ｄは、変更された個人情報に基づくプルーフのみを個別に更新できる。このため、プルーフを再生成に要する処理時間を短縮できる。

　また、再生成部２３ｄは、条件式に含まれる条件の変更に応じて、変更される条件を含む条件式に基づくプルーフを再生成して更新する。図１５は、実施形態に係る証明情報の更新方法の概要を示す図である。再生成部２３ｄは、「個人情報Ｊ１＞１００」という条件を含む条件式Ａが、「個人情報Ｊ１＞１５０」という条件を含む条件式Ａ’に変更される場合、条件式Ａを用いて生成されたｐｒｏｏｆ：Ａを破棄する。続いて、図１５に示すように、再生成部２３ｄは、新たな条件「個人情報Ｊ１＞１５０」を含む条件式Ａ’を用いて証明鍵Ａ’及び検証鍵Ａ’を生成するとともに、条件式Ａ’に基づくｐｒｏｏｆ：Ａ’’を新たに生成する。そして、再生成部２３ｄは、再生成したｐｒｏｏｆＡ’’を証明情報格納部２２ｂに格納する。例えば、再生成部２３ｄは、ユーザの年齢条件を定義する条件式が、２０歳以上の条件を定義する条件式から３０歳以上の条件を定義する条件式に変更される場合、２０歳以上の条件を定義する条件式に基づくプルーフを破棄する。そして、３０歳以上の条件を定義する条件式に基づくプルーフを新たに再生成して、証明情報格納部２２ｂに格納する。このように、再生成部２３ｄは、変更される条件を含むプルーフのみを個別に更新できる。このため、プルーフを再生成に要する処理時間を短縮できる。

　情報銀行装置２０は、プルーフを情報利用者装置３０に提供する際、ブロックチェーンシステム１１０に、情報利用者装置３０による情報提供サービスの利用履歴を登録する。情報銀行装置２０は、情報提供サービスの利用履歴として、例えば、情報利用者装置３０のユーザに関する情報や請求があった請求日時、提供したプルーフに関する情報などをブロックチェーンシステム１１０に登録できる。

（２－３．情報利用者装置）
　情報利用者装置３０は、情報銀行装置２０から提供される情報提供サービスの利用者であるユーザ（情報利用者）が操作する装置である。情報利用者装置３０は、例えば、スマートフォンを含む携帯電話機や、タブレット端末や、デスクトップ型ＰＣや、ノート型ＰＣや、ＰＤＡ（Personal　Digital　Assistant）等の情報処理装置により実現される。

　図１６は、実施形態に係る情報利用者装置の機能構成の一例を示すブロック図である。図１６に示すように、情報利用者装置３０は、通信部３１と、入力部３２と、出力部３３と、記憶部３４と、制御部３５とを備えている。

　図１６は、実施形態に係る情報利用者装置３０の機能構成の一例を示すものであり、図１６に示す例には特に限定される必要はなく、情報利用者装置３０の各種処理を実現可能な任意の構成を採用できる。また、図１６に示す情報利用者装置３０の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。たとえば、各機能ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

　通信部３１は、例えば、ＮＩＣ（Network　Interface　Card）等によって実現される。かかる通信部３１は、通信ネットワーク１００と有線又は無線で接続され、かかる通信ネットワーク１００を介して、情報銀行装置２０等との間で情報の送受信を行う。

　入力部３２は、キーボードやマウスなどを備え、情報利用者装置３０のユーザから各種操作を受け付ける。入力部３２がユーザから受け付ける操作には、情報提供サービスの提供を受けるために必要となるログイン操作や、情報銀行装置２０に対して個人情報を請求するための検索クエリの入力操作などが含まれる。入力部３２は、マイクなどの音入力デバイスを備えてもよく、音声入力デバイスを介してユーザの音声などの入力を受け付けることができる。

　出力部３３は、ディスプレイやスピーカーなどを備え、各種情報を出力する。出力部３３が出力する情報には、情報提供サービスの提供を受けるために必要となるログイン操作を受け付けるユーザインターフェイスや、情報銀行装置２０から提供されるプルーフ、公開情報、検証鍵、個人情報のデータなどが含まれる。

　記憶部３４は、制御部３５により実行される各種処理機能を実現するためのプログラム及びデータ等を記憶する。記憶部３４は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部３４が記憶するプログラムには、制御部３５の各部に対応する処理機能を実現するための制御プログラムが含まれる。制御プログラムは、情報提供サービスを利用する際に必要となるログイン操作や検索クエリの入力操作等に関する処理を、情報利用者装置３０に実行させるための処理機能を提供する。

　制御部３５は、情報利用者装置３０における各種処理を実行する。制御部３５は、例えば、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）等のプロセッサにより実現される。例えば、制御部３５は、情報利用者装置３０の内部に備えられた記憶装置に記憶されている各種プログラムを、プロセッサがＲＡＭ（Random　Access　Memory）等を作業領域として実行することにより実現される。なお、制御部３５は、ＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路により実現されてもよい。

　制御部３５は、取得部３５ａ及び検証部３５ｂを備えており、これらの各部により、情報利用者装置３０の各種処理の機能や作用を実現または実行する。

　取得部３５ａは、１又は複数の条件で秘密情報を定義するために異なる条件ごとに複数生成された各条件式に基づく複数のプルーフの中から、指定する条件に合致する個人情報を用いて生成されたプルーフを取得する。情報利用者装置３０のユーザは、個人情報の請求を行う際、例えば、「東京都に在住の３０歳以上の男性」などの検索クエリによって検索条件を指定できる。取得部３５ａは、例えば、情報銀行装置２０から取得するプルーフのリストに基づいて、ブロックチェーンシステム１１０から指定する条件に合致するプルーフを取得できる。

　また、取得部３５ａは、プルーフと共に、ゼロ知識証明を用いて個人情報を取得可能か否かの条件判定を実行するために必要な検証鍵及び公開情報をブロックチェーンシステム１１０から取得する。

　また、取得部３５ａは、ブロックチェーンシステム１１０から、個人情報の変更に伴って再生成されたプルーフ、並びに条件の変更に伴って再生成されたプルーフを取得できる。

　検証部３５ｂは、取得部３５ａにより取得されたプルーフを検証し、個人情報を請求する際に指定した条件に合致する個人情報を取得可能か否かの条件判定を実行する。具体的には、検証部３５ｂは、取得部３５ａにより取得されたプルーフをペアリング（暗号処理）したものと、検証鍵と開情報をペアリングした結果が一致すれば、検証結果を「ＯＫ」とする。一方、検証部３５ｂは、取得部３５ａにより取得されたプルーフをペアリング（暗号処理）したものと、検証鍵と公開情報をペアリングした結果が一致しなければ、検証結果を「ＮＧ」とする。図１７は、実施形態に係る検証処理の概要を示す図である。

　図１７に示すように、取得部３５ａにより、条件に合致するプルーフとしてｐｒｏｏｆ：Ａ～Ｃが取得され、ｐｒｏｏｆ：Ａ～Ｃと共に、各ｐｒｏｏｆに対応する検証鍵Ａ～Ｃ並びに公開情報Ｊ４（Ｅｎｃ（α）、Ｑ）が取得されたとする。このとき、検証部３５ｂは、まず、ｐｒｏｏｆ：Ａ、公開情報Ｊ４（Ｅｎｃ（α）、Ｑ）、及び検証鍵Ａを用いた検証を実行する。次に、検証部３５ｂは、ｐｒｏｏｆ：Ｂ、公開情報Ｊ４（Ｅｎｃ（α））、及び検証鍵Ｂを用いた検証を実行する。最後に、検証部３５ｂは、ｐｒｏｏｆ：Ａの検証結果と、ｐｒｏｏｆ：Ｂの検証結果と、ｐｒｏｏｆ：Ｃ、公開情報Ｊ４（Ｅｎｃ（α））、及び検証鍵Ｃとを用いた検証を実行する。図１７に示す場合、検証部３５ｂの検証結果は、ｐｒｏｏｆ：Ａの検証結果、及びｐｒｏｏｆ：Ｂの検証結果がともに「ＯＫ」であるとき、ｐｒｏｏｆ：Ｃの検証結果も「ＯＫ」となる。

　検証部３５ｂによる検証結果が「ＯＫ」であれば、指定した条件に合致する個人情報を取得可能であると判定される。一方、検証結果がＮＧであれば、指定した条件に合致する個人情報を取得可能ではないと判定される。

　検証部３５ｂは、個人情報を取得可能であると判定すると、情報銀行装置２０に対して個人情報の取得要求を送信する。

（３．処理手順例）
　図１８～図２１を参照して、実施形態に係る情報処理システム１による処理手順例について説明する。図１８～図２１は、実施形態に係る情報処理システム１による処理手順の一例を示すシーケンス図である。

　図１８を用いて、情報処理システム１におけるセットアップ処理の手順について説明する。図１８に示すように、情報銀行装置２０は、個人情報の内容を定義する条件式を生成するセットアップ処理を実行する（ステップＳ１０１）。セットアップ処理では、生成した条件式に対応する証明鍵及び検証鍵が合わせて生成される。セットアップ処理は、初期設定として１度だけ実施される。

　図１９を用いて、情報処理システム１におけるユーザ登録からプルーフの登録までの処理の手順について説明する。図１９に示すように、ユーザ端末１０は、ユーザ登録要求を情報銀行装置２０に送信する（ステップＳ２０１）。

　情報銀行装置２０は、ユーザ登録要求を受信すると、ユーザ登録処理を実行するとともに、ブロックチェーンシステム１１０に対して、ユーザ登録要求を送信する（ステップＳ２０２）。情報銀行装置２０は、ブロックチェーンシステム１１０からの登録完了の応答を受信すると、ユーザ登録完了の通知をユーザ端末に送信する（ステップＳ２０３）。このように、情報銀行装置２０は、自装置及びブロックチェーンシステム１１０の双方にユーザ登録を行う。

　ユーザ端末１０は、情報銀行装置２０からユーザ登録完了の通知を受信すると、個人情報の登録要求を送信する（ステップＳ２０４）。

　情報銀行装置２０は、ユーザ端末１０から送信された個人情報の登録要求を受信すると、登録要求に含まれる個人情報を、ユーザＩＤに関連付けて個人情報格納部２２ａに保存する（ステップＳ２０５）。

　情報銀行装置２０は、ステップＳ２０５で取得した個人情報を用いてｐｒｏｏｆ生成処理を実行する（ステップＳ２０６）。情報銀行装置２０は、ｐｒｏｏｆ生成処理により生成したｐｒｏｏｆをブロックチェーンシステム１１０に登録する（ステップＳ２０７）。なお、情報銀行装置２０は、ｐｒｏｏｆを登録する際、公開情報（Ｅｎｃ（α）、Ｑ）をブロックチェーンシステム１１０に合わせて登録しておく。

　図２０を用いて、情報処理システム１における個人情報の更新からプルーフの登録までの処理の手順について説明する。図２０に示すように、ユーザ端末１０は、ユーザの操作に従って、個人情報の変更依頼を情報銀行装置２０に送信する（ステップＳ３０１）。

　情報銀行装置２０は、ユーザ端末１０から個人情報の変更依頼を受信すると、変更依頼に含まれる新たな個人情報で、変更依頼の送信元であるユーザのユーザＩＤに関連付けて記憶されている個人情報を更新する（ステップＳ３０２）。

　続いて、情報銀行装置２０は、個人情報の変更に応じて、変更に対応する個人情報を基づくｐｒｏｏｆを再生成する（ステップＳ３０３）。

　ｐｒｏｏｆの再生成後、情報銀行装置２０は、ブロックチェーンシステム１１０に対して、再生成したｐｒｏｏｆの更新登録を実行する（ステップＳ３０４）。

　図２１を用いて、情報処理システム１における個人情報の請求、検証、及び取得までの処理の手順について説明する。図２１に示すように、情報利用者装置３０は、ブロックチェーンシステム１１０に対して、検索条件のクエリを指定して個人情報の請求を送信する（ステップＳ４０１）。情報銀行装置２０が複数ある場合（例えば、情報銀行装置２０ａ、２０ｂ）、各情報銀行装置２０がブロックチェーンシステム１１０を介して接続され、相互に情報をやり取りできる。情報利用者装置３０は、どの情報銀行装置２０に、指定する条件に合致する個人情報が登録されているか判断できないので、まず、ブロックチェーンシステム１１０に個人情報を請求する。情報利用者装置３０は、個人情報の請求を行う際、例えば、「東京都に在住の３０歳以上の男性」などの検索クエリによって検索条件を指定する。

　ブロックチェーンシステム１１０は、情報利用者装置３０から受信した個人情報の請求に関する情報を請求ログとして書き込みを行い（ステップＳ４０２）、個人情報の請求を情報銀行装置２０に送信する（ステップＳ４０３）。ブロックチェーンシステム１１０には、請求ログと一致させるために、ブロックチェーンシステム１１０から情報銀行装置２０に請求するスマートコントラクトが登録されている。

　情報銀行装置２０は、ブロックチェーンシステム１１０から個人情報の請求を受信し、証明情報格納部２２ｂに記憶されている複数のｐｒｏｏｆの中から、クエリにより指定された検索条件に合致するｐｒｏｏｆを検索する（ステップＳ４０４）。

　情報銀行装置２０は、検索条件に合致する個人情報を用いて生成されたｐｒｏｏｆのリストを情報利用者装置３０に送信する（ステップＳ４０５）。

　情報利用者装置３０は、情報銀行装置２０から受信したｐｒｏｏｆのリストに基づいて、ブロックチェーンシステム１１０からｐｒｏｏｆ、公開情報及び検証鍵を取得し、取得したｐｒｏｏｆの検証処理を実行する（ステップＳ４０６）。情報利用者装置３０は、ブロックチェーンシステム１１０からｐｒｏｏｆを取得することにより、ブロックチェーンシステム１１０において改変されていないことが保証されたｐｒｏｏｆを取得できる。

　情報利用者装置３０は、検証結果が「ＯＫ」であれば、個人情報の請求を情報銀行装置２０に送信する（ステップＳ４０７）。

　情報銀行装置２０は、個人情報格納部２２ａに記憶されている個人情報の中から、個人情報の請求条件に合致する個人情報を検索する（ステップＳ４０８）。

　情報銀行装置２０は、請求条件に合致する個人情報のリストを情報利用者装置３０に送信する（ステップＳ４０９）。

　情報銀行装置２０は、情報利用者装置３０からの請求に応じて提供した個人情報に関する情報を、個人情報取得ログとしてブロックチェーンシステム１１０に書き込む（ステップＳ４１０）。

（４．変形例）
　上述した実施形態において、情報銀行装置２０は、種々の秘密情報（一例として個人情報）を１又は複数の条件で定義するための条件式として、複数の事前生成条件式を事前に生成しておいてもよい。図２２は、変形例に係る条件式の概要を示す図である。

　図２２に示すように、情報銀行装置２０は、事前生成条件式として、想定される異なる条件を含む複数の条件式Ａ―１、Ａ－２，Ａ－３，Ｂ－１，Ｂ－２，Ｂ－３，Ｃ－１，Ｃ－２，Ｃ－３，・・・を予め生成しておく。情報銀行装置２０は、例えば、ブロックチェーンシステム１１０に保存されるログに基づいて、情報提供サービスの利用者の請求内容を解析し、解析結果に基づいて、請求内容に対応するパターンに応じて、想定される条件を決定できる。これにより、情報利用者の請求内容を反映した条件式を事前に用意できる。

　生成部２３ｂは、事前に生成された複数の事前生成条件式の中から、個人情報を定義するための複数の条件式を選択する。そして、生成部２３ｂは、選択した複数の条件式ごとにｐｒｏｏｆを生成する。

　このように、変形例に係る情報銀行装置２０によれば、生成部２３ｂが、事前に生成された複数の事前生成条件式の中から、個人情報を定義するための複数の条件式を選択して利用する。このため、複数の条件式を生成するセットアップ処理が不要となり、処理負担を軽減できる。

　また、再生成部２３ｄは、条件式により定義された個人情報の変更に応じて、変更に対応する個人情報を定義する条件式を事前生成条件式の中から選択し、選択された条件式に基づくｐｒｏｏｆを再生成して更新できる。これにより、変更される個人情報を定義するための条件式を複数の事前生成条件式の中から選択して利用でき、証明情報であるプルーフの変更に伴う処理負担を軽減できる。

　また、再生成部２３ｄは、条件式に含まれる条件の変更に応じて、変更される条件を含む条件式を事前生成条件式の中から選択し、選択された条件式に基づくｐｒｏｏｆを再生成して更新できる。これにより、変更される条件を含む条件式を複数の事前生成条件式の中から選択して利用でき、証明情報であるプルーフの変更に伴う処理負担を軽減できる。

　また、情報銀行装置２０は、情報提供サービスの利用者の請求内容の解析結果に基づいて、複数の事前生成条件式のそれぞれに含まれる条件を事後的に変更したり、新たな条件式を追加したりしてもよい。

（５．その他）
　また、上記各実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。例えば、各図に示した各種情報は、図示した情報に限られない。

　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

　例えば、上記の実施形態では、情報処理システム１において、情報銀行装置２０が条件式及びプルーフを生成する例を説明したが、この例には特に限定される必要はない。例えば、ユーザ端末１０で、条件式及びプルーフを生成し、情報銀行装置２０に登録するシステム形態であってもよい。

　また、上述してきた実施形態及び変形例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

（６．まとめ）
　上述のように、本開示の一実施形態に係る情報銀行装置２０は、ゼロ知識証明を用いた検証に用いられる証明情報を生成する生成装置の一例であって、セットアップ処理部２３ａ（条件式生成部の一例）と、生成部２３ｂ（証明情報生成部の一例）とを備える。セットアップ処理部２３ａは、１又は複数の条件で個人情報（秘密情報の一例）を定義する条件式を、異なる条件ごとに分割して複数生成する。生成部２３ｂは、証明情報として、複数の条件式のそれぞれに基づく複数のプルーフを生成する。このため、本開示の一実施形態に係る情報銀行装置２０は、１又は複数の条件で秘密情報を定義する条件式を、異なる条件ごとに部分的に管理できる。これにより、本開示の一実施形態によれば、個人情報や条件に変更があっても、条件式ごとに生成されるプルーフを個別に更新でき、証明情報の変更に伴う処理負担を軽減できる。

　また、本開示の一実施形態に係る情報銀行装置２０において、セットアップ処理部２３ａは、複数生成された条件式のそれぞれに対して、各条件式により定義される秘密情報が特定の個人に帰属することを示す情報を付加する。これにより、例えば、個人情報をいくつかの条件式で定義し、部分的に管理する場合であっても、複数の条件式のそれぞれに基づく複数のプルーフが、特定の個人に帰属する正しい組合せで検証されることを担保できる。

　また、本開示の一実施形態に係る情報銀行装置２０において、再生成部２３ｄは、条件式により定義された個人情報の変更に応じて、変更に対応する個人情報に基づくプルーフを再生成して更新する。これにより、個人情報の変更に柔軟に対応できる。

　また、本開示の一実施形態に係る情報銀行装置２０において、再生成部２３ｄは、条件式に含まれる条件の変更に応じて、変更される条件を含む条件式に基づくプルーフのみを再生成して更新する。これにより、条件式における条件の変更に柔軟に対応できる。

　また、本開示の一実施形態に係る情報銀行装置２０において、生成部２３ｂは、種々の個人情報を１又は複数の条件で定義するための条件式として事前に生成された複数の事前生成条件式の中から、秘密情報を定義する複数の条件式を選択する。そして、生成部２３ｂは、選択された複数の条件式ごとに、プルーフを生成する。これにより、複数の条件式を生成することなく、事前生成条件式の中から選択して利用でき、処理負担を軽減できる。

　また、本開示の一実施形態に係る情報銀行装置２０において、生成部２３ｂは、条件式により定義された秘密情報の変更に応じて、変更に対応する秘密情報を定義する条件を含む条件式を事前生成条件式の中から選択する。そして、生成部２３ｂは、選択された条件式に基づくプルーフを再生成して更新する。これにより、変更される個人情報を定義するための条件式を複数の事前生成条件式の中から選択して利用でき、証明情報であるプルーフの変更に伴う処理負担を軽減できる。

　また、本開示の一実施形態に係る情報銀行装置２０において、生成部２３ｂは、条件式に含まれる条件の変更に応じて、変更される条件を含む条件式を事前生成条件式の中から選択し、選択された条件式に基づくｐｒｏｏｆを再生成して更新する。これにより、変更される条件を含む条件式を複数の事前生成条件式の中から選択して利用でき、証明情報であるプルーフの変更に伴う処理負担を軽減できる。

　また、本開示の一実施形態に係る情報銀行装置２０において、事前生成条件式は、秘密情報の公開を請求する情報利用者の請求履歴に基づいて事前に生成される。これにより、情報利用者の請求内容を反映した条件式を事前に用意できる。

　また、本開示の一実施形態に係る情報利用者装置３０は、ゼロ知識証明を用いた検証を実行する検証装置の一例であって、取得部３５ａと検証部３５ｂとを備える。取得部３５ａは、ゼロ知識証明を用いて検証に用いられる証明情報として、指定する条件に合致する個人情報を用いて生成されたプルーフを取得する。プルーフは、個人情報を定義する１又は複数の条件を追加するごとに分割して複数生成された複数の条件式ごとに、個人情報を知っていることの証明を行うために複数生成される証明情報である。検証部３５ｂは、取得部３５ａにより取得されたｐｒｏｏｆを検証し、条件に合致する秘密情報を取得可能か否かの条件判定を実行する。このため、情報利用者装置３０は、ゼロ知識証明を用いて、指定する条件に合致する個人情報を知っているか否かの検証を行うことができる。

　また、本明細書に記載された効果はあくまで例示であって限定されるものでは無く、また他の効果があってもよい。

（７．ハードウェア構成）
　上述してきた各実施形態に係る情報銀行装置２０は、例えば図２３に示すような構成のコンピュータ１０００によって実現される。図２３は、情報銀行装置２０の機能を実現するコンピュータ１０００の一例を示すハードウェア構成図である。コンピュータ１０００は、ＣＰＵ１１００、ＲＡＭ１２００、ＲＯＭ（Read　Only　Memory）１３００、ＨＤＤ（Hard　Disk　Drive）１４００、通信インターフェイス１５００、及び入出力インターフェイス１６００を有する。コンピュータ１０００の各部は、バス１０５０によって接続される。

　ＣＰＵ１１００は、ＲＯＭ１３００又はＨＤＤ１４００に格納されたプログラムに基づいて動作し、各部の制御を行う。例えば、ＣＰＵ１１００は、ＲＯＭ１３００又はＨＤＤ１４００に格納されたプログラムをＲＡＭ１２００に展開し、各種プログラムに対応した処理を実行する。

　ＲＯＭ１３００は、コンピュータ１０００の起動時にＣＰＵ１１００によって実行されるＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムや、コンピュータ１０００のハードウェアに依存するプログラム等を格納する。

　ＨＤＤ１４００は、ＣＰＵ１１００によって実行されるプログラム、及び、かかるプログラムによって使用されるデータ等を非一時的に記録する、コンピュータ１０００が読み取り可能な記録媒体である。具体的には、ＨＤＤ１４００は、たとえば図５に示す制御部２３の各部（セットアップ処理部２３ａ、生成部２３ｂ、提供部２３ｃ、再生成部２３ｄ）を実現するためのプログラムを記録する記録媒体である。

　通信インターフェイス１５００は、コンピュータ１０００が外部ネットワーク１５５０（例えばインターネット）と接続するためのインターフェイスである。例えば、ＣＰＵ１１００は、通信インターフェイス１５００を介して、他の機器からデータを受信したり、ＣＰＵ１１００が生成したデータを他の機器へ送信したりする。

　入出力インターフェイス１６００は、入出力デバイス１６５０とコンピュータ１０００とを接続するためのインターフェイスである。例えば、ＣＰＵ１１００は、入出力インターフェイス１６００を介して、キーボードやマウス等の入力デバイスからデータを受信する。また、ＣＰＵ１１００は、入出力インターフェイス１６００を介して、ディスプレイやスピーカーやプリンタ等の出力デバイスにデータを送信する。また、入出力インターフェイス１６００は、所定の記録媒体（メディア）に記録されたプログラム等を読み取るメディアインターフェイスとして機能してもよい。メディアとは、例えばＤＶＤ（Digital　Versatile　Disc）、ＰＤ（Phase　change　rewritable　Disk）等の光学記録媒体、ＭＯ（Magneto-Optical　disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。

　例えば、コンピュータ１０００が実施形態に係る情報銀行装置２０として機能する場合、コンピュータ１０００のＣＰＵ１１００は、ＲＡＭ１２００上にロードされたプログラム（制御部２３の各部の処理を実現するためのプログラムなど）を実行する。これにより、制御部２３の各部により実行される各種処理等の機能が実現される。また、ＨＤＤ１４００には、本開示に係る情報銀行装置２０の処理を実現するためのプログラムや、記憶部２２に記憶されるデータなどが格納される。なお、ＣＰＵ１１００は、プログラムデータ１４５０をＨＤＤ１４００から読み取って実行するが、他の例として、外部ネットワーク１５５０を介して、他の装置からこれらのプログラムを取得してもよい。

　なお、本技術は以下のような構成も取ることができる。
（１）
　ゼロ知識証明を用いた検証に用いられる証明情報を生成する生成装置であって、
　１又は複数の条件で秘密情報を定義する条件式を、異なる条件ごとに複数生成する条件式生成部と、
　前記証明情報として、前記複数の条件式に基づくｐｒｏｏｆを、当該複数の条件式ごとにそれぞれ生成する証明情報生成部と
　を備える生成装置。
（２）
　前記条件式生成部は、
　複数生成された前記条件式のそれぞれに対して、各条件式により定義される秘密情報が特定の個人に帰属することを示す情報を付加する
　前記（１）に記載の生成装置。
（３）
　前記証明情報生成部は、
　前記条件式により定義された秘密情報の変更に応じて、変更に対応する秘密情報を定義する条件式に基づくｐｒｏｏｆを再生成して更新する
　前記（２）に記載の生成装置。
（４）
　前記証明情報生成部は、
　前記条件式に含まれる前記条件の変更に応じて、変更される条件を含む条件式に基づくｐｒｏｏｆを再生成して更新する
　前記（２）に記載の生成装置。
（５）
　前記条件式生成部は、
　種々の秘密情報を１又は複数の条件で定義するための条件式として事前に生成された複数の事前生成条件式の中から、秘密情報を定義する複数の条件式を選択し、
　前記証明情報生成部は、
　前記証明情報として、前記条件式生成部により選択された複数の条件式に基づくｐｒｏｏｆを、当該複数の条件式ごとにそれぞれ生成する
　前記（１）に記載の生成装置。
（６）
　前記条件式生成部は、
　前記条件式に含まれる前記条件の変更に応じて、変更される条件を含む条件式を事前生成条件式の中から選択し、
　前記証明情報生成部は、
　前記条件式生成部により選択された条件式に基づくｐｒｏｏｆを再生成して更新する
　前記（５）に記載の生成装置。
（７）
　前記条件式生成部は、
　前記条件式により定義された秘密情報の変更に応じて、変更に対応する秘密情報を定義する条件式を事前生成条件式の中から選択し、
　前記証明情報生成部は、
　前記条件式生成部により選択された条件式に基づくｐｒｏｏｆを再生成して更新する
　前記（５）に記載の生成装置。
（８）
　前記事前生成条件式は、
　秘密情報を請求する情報利用者の請求履歴に基づいて事前に生成される
　前記（５）に記載の生成装置。
（９）
　ゼロ知識証明を用いた検証に用いられる証明情報を生成するコンピュータが、
　１又は複数の条件で秘密情報を定義する条件式を、異なる条件ごとに複数生成し、
　前記証明情報として、前記複数の条件式のそれぞれに基づく複数のｐｒｏｏｆを生成する
　ことを含む生成方法。
（１０）
　ゼロ知識証明を用いた検証を実行する検証装置であって、
　ゼロ知識証明を用いて検証に用いられる証明情報として、秘密情報を定義する１又は複数の条件を含み、異なる条件ごとに複数生成された各条件式に基づく複数のｐｒｏｏｆの中から、指定する条件に合致する秘密情報を用いて生成されたｐｒｏｏｆを取得する取得部と、
　前記取得部により取得されたｐｒｏｏｆを検証し、前記条件に合致する秘密情報を取得可能か否かの条件判定を実行する検証部と
　を備える検証装置。

　１　情報処理システム
　１０　ユーザ端末
　１１　通信部
　１２　入力部
　１３　出力部
　１４　撮像部
　１５　測位部
　１６　検出部
　１７　記憶部
　１８　制御部
　２０　情報銀行装置
　２１　通信部
　２２　記憶部
　２２ａ　個人情報格納部
　２２ｂ　証明情報格納部
　２３　制御部
　２３ａ　セットアップ処理部
　２３ｂ　生成部
　２３ｃ　提供部
　２３ｄ　再生成部
　３０　情報利用者装置
　３１　通信部
　３２　入力部
　３３　出力部
　３４　記憶部
　３５　制御部
　３５ａ　取得部
　３５ｂ　検証部

Claims (10)

1. 　ゼロ知識証明を用いた検証に用いられる証明情報を生成する生成装置であって、
   　１又は複数の条件で秘密情報を定義する条件式を、異なる条件ごとに複数生成する条件式生成部と、
   　前記証明情報として、前記複数の条件式のそれぞれに基づく複数のｐｒｏｏｆを生成する証明情報生成部と
   　を備える生成装置。
2. 　前記条件式生成部は、
   　複数生成された前記条件式のそれぞれに対して、各条件式により定義される秘密情報が特定の個人に帰属することを示す情報を付加する
   　請求項１に記載の生成装置。
3. 　前記証明情報生成部は、
   　前記条件式により定義された秘密情報の変更に応じて、変更に対応する秘密情報を定義する条件式に基づくｐｒｏｏｆを再生成して更新する
   　請求項２に記載の生成装置。
4. 　前記証明情報生成部は、
   　前記条件式に含まれる前記条件の変更に応じて、変更される条件を含む条件式に基づくｐｒｏｏｆを再生成して更新する
   　請求項２に記載の生成装置。
5. 　前記条件式生成部は、
   　種々の秘密情報を１又は複数の条件で定義するための条件式として事前に生成された複数の事前生成条件式の中から、秘密情報を定義する複数の条件式を選択し、
   　前記証明情報生成部は、
   　前記証明情報として、前記条件式生成部により選択された複数の条件式に基づくｐｒｏｏｆを、当該複数の条件式ごとにそれぞれ生成する
   　請求項１に記載の生成装置。
6. 　前記条件式生成部は、
   　前記条件式により定義された秘密情報の変更に応じて、変更に対応する秘密情報を定義する条件式を事前生成条件式の中から選択し、
   　前記証明情報生成部は、
   　前記条件式生成部により選択された条件式に基づくｐｒｏｏｆを再生成して更新する
   　請求項５に記載の生成装置。
7. 　前記条件式生成部は、
   　前記条件式に含まれる前記条件の変更に応じて、変更される条件を含む条件式を事前生成条件式の中から選択し、
   　前記証明情報生成部は、
   　前記条件式生成部により選択された条件式に基づくｐｒｏｏｆを再生成して更新する
   　請求項５に記載の生成装置。
8. 　前記事前生成条件式は、
   　秘密情報を請求する情報利用者の請求履歴に基づいて事前に生成される
   　請求項５に記載の生成装置。
9. 　ゼロ知識証明を用いた検証に用いられる証明情報を生成するコンピュータが、
   　１又は複数の条件で秘密情報を定義する条件式を、異なる条件ごとに複数生成し、
   　前記証明情報として、前記複数の条件式のそれぞれに基づく複数のｐｒｏｏｆを生成する
   　ことを含む生成方法。
10. 　ゼロ知識証明を用いた検証を実行する検証装置であって、
    　ゼロ知識証明を用いて検証に用いられる証明情報として、
    　１又は複数の条件で秘密情報を定義するために異なる条件ごとに複数生成された各条件式に基づく複数のｐｒｏｏｆの中から、指定する条件に合致する秘密情報を用いて生成されたｐｒｏｏｆを取得する取得部と、
    　前記取得部により取得されたｐｒｏｏｆを検証し、前記条件に合致する秘密情報を取得可能か否かの条件判定を実行する検証部と
    　を備える検証装置。

Images