JP2006202007A

JP2006202007A - 情報診断装置および情報診断システムおよび情報診断方法

Info

Publication number: JP2006202007A
Application number: JP2005012583A
Authority: JP
Inventors: Masako Yagyu; 理子柳生
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2005-01-20
Filing date: 2005-01-20
Publication date: 2006-08-03

Abstract

【課題】個人情報を他者へ渡すことなく、個人情報を使用した他者のサービスを利用することにより、個人情報の第三者への流出や目的外への流用の防止する。
【解決手段】個人情報記憶部１−００３は個人情報入力部１−００９より入力された個人情報を記憶する。受取部１−０１０は個人情報診断モジュール１−００５を個人情報利用サービス提供者１−００６から受取る。個人情報診断装置１−００１は、個人情報記憶部１−００３の個人情報を使用し、個人情報利用サービス提供者１−００６から受取った個人情報診断モジュール１−００５を実行して診断し診断結果を生成する。生成した診断結果のみを個人情報利用サービス提供者１−００６へ出力を行う。上記により、個人情報を他者へ渡すことなく、個人情報を利用した他者のサービスを利用することが可能となり、個人情報の第三者への流出や目的外への流用の防止することができる。
【選択図】図１

Description

本発明は情報の診断装置および情報の診断システムおよび情報の診断方法に関するものである。

従来の個人情報を利用したシステムにおいては、例えば、特開２００１−１６７１６０の契約支援システムがある。この契約支援システムは、まず契約申込人の申込意志を証明する情報を人が視認できる状態にマッピングしたイメージデータの形式で記憶するイメージ記憶装置を備える。その申込意志を証明する情報のイメージデータを契約申込人が確認し、契約申込人が直接入力した契約申込内容と申込意志を証明する情報のイメージデータとを合せて送信する契約申込端末を備える。契約処理担当者がこれらを用いて作業を行っていた。
特開２００１−１６７１６０号公報

従来は、個人情報が必要となるサービスの提供を受ける場合、まずサービス提供側へ個人情報の提出を行う。次にサービス提供側で受取った個人情報を保持し、それを利用してサービスの内容（種類、料金、期間など）の決定を行っていた。この方法では、個人情報が他者（サービス提供側）で管理するため、第三者への流出や、目的外に利用されるなどの問題が発生していた。これに対し、本発明は、個人情報を他者へ渡さずにサービスの内容（種類、料金、期間など）の決定や、サービスに必要な判定を行うものであり、上記の個人情報の第三者への流出や目的外への流用の防止が可能である。

上述した目的を達成するためになされた本発明は、以下の特徴がある。データを入力する入力部と、上記入力部で入力されたデータを記憶する記憶部と、診断モジュールにより上記記憶部で記憶したデータを診断する診断部と、上記診断部の診断した診断結果を出力する出力部と、上記診断部で使用する上記診断モジュールを外部より受取り上記診断部へ渡す受取部とを備え、上記診断部は、上記受取部により受取った上記診断モジュールの実行を行う実行部を備えることを特徴とする。

本発明に係る情報診断装置および情報診断方法によれば、個人情報を他者へ渡さずにサービスの内容（種類、料金、期間など）の決定や、サービスに必要な判定を行うものであり、個人情報の第三者への流出や目的外への流用の防止が可能である。

以下、本発明を図面に示す実施の形態に基づいて説明する。
実施の形態１．

図１は実施の形態１を示す構成図である。図１において、１−００１は個人情報診断装置である。個人情報診断装置１−００１の構成を説明する。個人情報入力部１−００９は個人情報の入力を行うものである。個人情報入力部１−００９より入力された個人情報が個人情報記憶部１−００３に記憶される。個人情報記憶部１−００３に記憶された個人情報が正しいことを保証する保証データが認証付データ１−００４である。個人情報記憶部１−００３に記憶された個人情報を用いた診断の要求を出すのが個人情報診断要求部１−０１１である。個人情報診断要求部１−０１１より要求を受け、個人情報記憶部１−００３に記憶された個人情報を用いて診断を行うのが個人情報診断部１−００８と、個人情報診断部１−００８に格納された個人情報診断モジュール１−００５と、個人情報診断部１−００８に格納された個人情報収集部１−００７とである。個人情報診断モジュール１−００５を個人情報利用サービス提供装置１−００６より受取るのが受取部１−０１０である。個人情報診断部１−００８にて算出された結果のみを個人情報利用サービス提供装置１−００６へ提出するのが個人情報診断結果出力部１−００２である。個人情報診断結果出力部１−００２が個人情報利用サービス提供装置１−００６へ結果を提出する場合の暗号化を行うのが暗号化部１−０１２である。次に個人情報利用サービス提供装置１−００６の構成を説明する。提供部１−０１３は個人情報診断装置１−００１に個人情報診断モジュール１−００５を提供する。受信部１−０１４は個人情報診断結果出力部１−００２より出力された結果を受信する。

個人情報入力部１−００９はキーボード９０２などのユーザインタフェースを持つもの、またはＦＤＤ９０４やＣＤＤ９０５などの入力インタフェースである。個人情報診断装置１−００１は個人情報入力部１−００９により外部からのデータ入力を可能とする。また個人情報記憶部１−００３は、記憶された個人情報の一部または全てをセキュアメモリに入れることも可能である。

個人情報に関する診断を行う個人情報診断部１−００８は、個人情報利用サービス提供装置１−００６側から、受取部１−０１０を介し提供された少なくとも１つ以上の個人情報診断モジュール１−００５を保持している。ここで受取部１−０１０は、キーボード９０２などのユーザインタフェースを持つもの、またはＦＤＤ９０４やＣＤＤ９０５などの入力インタフェースである。また、個人情報診断部１−００８は、個人情報診断モジュール１−００５が診断に使用する個人情報を個人情報記憶部１−００３より収集する個人情報収集部１−００７を備えている。

個人情報記憶部１−００３に記憶された個人情報は、公的機関などの情報の発行元、あるいはオリジナルの情報を管理保有する外部機関へ、この情報が偽造あるいは改竄されていないかどうかを問い合わせすることが可能な認証付データ１−００４を含むことが可能である。あるいは、個人情報記憶部１−００３に記憶された個人情報は、偽造あるいは改竄されていないことを証明することが可能な認証付データ１−００４を含むことが可能である。

個人情報診断モジュール１−００５は個人情報診断装置１−００１にて動作可能なモジュールである。そして個人情報診断モジュール１−００５は、個人情報収集部１−００７を通して提供される個人情報へのみアクセス可能である。つまり個人情報診断モジュール１−００５は、個人情報記憶部１−００３に記憶された個人情報を含め、個人情報収集部１−００７を通して提供される個人情報以外の、個人情報診断装置１−００１内のいかなる個人情報に対してもアクセスすることはできない。

個人情報診断部１−００８は、個人情報診断モジュール１−００５が使用する個人情報記憶部１−００３に記憶された個人情報を使用して、個人情報診断モジュール１−００５を実行することにより、演算を行う。

個人情報診断結果出力部１−００２は個人情報診断部１−００８の演算結果のみを個人情報利用サービス提供装置１−００６へ提出する。

次に個人情報診断装置１−００１の動作について説明する。

図８は図１に示す個人情報診断装置１−００１の個人情報入力部１−００９と個人情報記憶部１−００３との動作である。

ステップ８−００１では、個人情報入力部１−００９が個人情報の入力を行う。ここでは個人情報入力部１−００９は、キーボード９０２などのユーザインタフェースを持つもの、またはＦＤＤ９０４やＣＤＤ９０５などの入力インタフェースを想定する。

ステップ８−００２では、ステップ８−００１で個人情報入力部１−００９によって入力された個人情報を、個人情報記憶部１−００３が記憶する。個人情報記憶部１−００３が記憶する個人情報には認証付データ１−００４を含むことが可能である。

上記のようにして、個人情報記憶部１−００３に個人情報が記憶されている。個人情報記憶部１−００３に個人情報が記憶されている状態において、図１に示す個人情報診断装置１−００１の個人情報診断部１−００８の動作を説明する。

図２は、図１に示す個人情報利用サービス提供装置１−００６と個人情報診断装置１−００１の個人情報診断部１−００８における、個人情報を用いた診断処理の動作を表したフローチャートである。個人情報診断要求部１−０１１が、個人情報診断装置１−００１に対して、特定の個人情報診断処理要求を出す。個人情報診断処理要求を受けると個人情報診断装置１−００１は図２に示す一連の処理を開始する。

ステップ２−０００では、個人情報利用サービス提供装置１−００６の提供部１−０１３は、個人情報診断装置１−００１へ個人情報診断モジュール１−００５を提供する。

ステップ２−００１では、個人情報診断部１−００８は、個人情報利用サービス提供装置１−００６側から、受取部１−０１０を介し個人情報診断モジュール１−００５を受取る。個人情報診断要求部１−０１１は実行する個人情報診断モジュール１−００５の選択を行う。この選択操作は、個人情報診断部１−００８が保持している個人情報診断モジュール１−００５のリストの中から、個人情報診断要求部１−０１１が個人情報診断モジュール１−００５を選択し、起動することである。

ステップ２−００２では、個人情報収集部１−００７は、ステップ２−００１で選択された個人情報診断モジュール１−００５に必要な個人情報を、個人情報記憶部１−００３から収集する。このとき、例えば個人情報診断モジュール１−００５側から必要な個人情報のリストを提示し、提示された個人情報を個人情報収集部１−００７が収集を行うという実装が可能である。

ここで図４を用いて個人情報診断モジュール１−００５が提示する個人情報のリストについて説明する。図４に個人情報のリストの例を示す。列４−００５は必要とされる個人情報の載っている書類などデータ源である。個人情報の入手方法等は公知あるいは別途指示されているものとする。例えば、行４−００１から行４−００３に示すデータ源は、公的あるいは特定機関の発行する、フォーマットが公知のものであり、近い将来電子データとして提供される可能性の高いものである。４−００４にて例示するようなユーザ自身が作成する個人情報も含め、個人情報診断モジュール１−００５が認識可能なようにデータ型が定義されている。

次に個人情報収集部１−００７が収集を行う個人情報記憶部１−００３に記憶される個人情報について説明する。４−００４にて例示するようなユーザ自身が作成する個人情報を除き、第三者が提供する個人情報に関しては、この個人情報が改竄および偽造されていないかどうかを問い合わせすることが可能な認証付データ１−００４を個人情報に含めて、個人情報記憶部１−００３に保存することも可能である。あるいは、この個人情報が、改竄および偽造されていないことを証明することが可能な認証付データ１−００４を個人情報に含めて、個人情報記憶部１−００３に保存することも可能である。

また、個人情報記憶部１−００３は、個人情報診断結果出力部１−００２が個人情報を外部に持ち出すことのできる条件を個人情報に付加して実装するということも可能である。さらに、個人情報記憶部１−００３に記憶された個人情報に、上記の付加した条件にランク（絶対に持ち出し不可、ユーザの承諾を得た場合に可能、暗号をかければ持ち出し可能、データ照合用の鍵のみの持ち出し可能など）を持たせるという実装も可能である。

個人情報診断モジュール１−００５は上記のような個人情報のリストを提示して必要な個人情報を指定する。個人情報収集部１−００７は、個人情報診断モジュール１−００５から指定された個人情報を、個人情報入力部５−００９を介し個人情報記憶部１−００３から収集する。個人情報収集部１−００７は、個人情報の収集が完了すると、個人情報診断モジュール１−００５側へ収集した個人情報の提供を行う。

ステップ２−００３では、個人情報診断モジュール１−００５は、提供された個人情報記憶部１−００３に記憶された個人情報に基づき、演算を行う。

ステップ２−００４では、個人情報診断結果出力部１−００２が個人情報利用サービス提供装置１−００６への提出データの作成を行う。この提出データの作成処理の詳細については図３にて後述する。

ステップ２−００５では、個人情報診断結果出力部１−００２は、ステップ２−００４で作成された提出データを個人情報利用サービス提供装置１−００６へ出力する。この出力方法は、画面への出力、印刷、ＦＤＤ９０４、ＰＣＭＣＩＡ、ＵＳＢデバイスなどを含み、また情報提出の際に、電子的な提出の場合には他の情報の漏洩がないかのチェックを行うことも可能である。

ステップ２−００６では、個人情報利用サービス提供装置１−００６の受信部１−０１４は、個人情報診断結果出力部１−００２が出力した提出データを受信する。

次に、図２のステップ２−００４での個人情報利用サービス提供装置１−００６への提出データの作成方法の詳細処理について図３に基づき説明する。

ステップ３−００１では、個人情報診断装置１−００１が、個人情報を提出するか否かのフラグを見て個人情報そのものを提出するか否かの判定を行う。この個人情報を提出するか否かのフラグの実装は、この個人情報診断装置１−００１が全て拒否、データによっては許可、提出先ごとに判定などの値を持つことが可能である。

個人情報診断結果出力部１−００２は、ステップ３−００１にて個人情報を提出しても良いと判断した場合、ステップ３−００６へ進む。

ステップ３−００６では、個人情報診断結果出力部１−００２は提出する個人情報の選択を行う。

提出する個人情報の選択方法の例を以下に２つ示す。１つ目は、個人情報診断モジュール１−００５が、持ち出しを要求する個人情報のリストを個人情報診断結果出力部１−００２へ提示する。個人情報診断結果出力部１−００２は提示された個人情報のリストを画面に出力する。個人情報提供者が、画面に出力された個人情報のリストから持ち出し可能な個人情報記憶部１−００３に記憶された個人情報をキーボード９０２などにより選択するという方法である。

２つ目は、個人情報提供者は、個人情報診断結果出力部１−００２が個人情報を外部に持ち出すことのできる条件を、個人情報記憶部１−００３に記憶された個人情報に付加し、さらに、上記の付加した条件にランク（絶対に持ち出し不可、個人情報提供者の承諾を得た場合に可能、暗号をかければ持ち出し可能、データ照合用の鍵のみの持ち出し可能など）を設ける。このランクに応じて、個人情報診断結果出力部１−００２が提出可能か判断を行う。例えば、個人情報診断結果出力部１−００２は、ランクが持ち出し不可の場合、またはデータ照合用の鍵のみの持ち出し可能な場合は自動的に候補から外し、個人情報提供者の承諾が必要な場合は、個人情報提供者に承諾に関する入力を要求し、個人情報提供者からの入力によって持ち出し候補に含めるなどの処理を行うという方法である。

ステップ３−００７では、個人情報診断結果出力部１−００２は、ステップ３−００６にて選択された個人情報およびステップ２−００３の演算結果を含む提出データを作成し処理を終了する。

一方、ステップ３−００１にて個人情報を提出しないと判定された場合、個人情報診断結果出力部１−００２はステップ３−００２へ進む。

ステップ３−００２では、個人情報診断結果出力部１−００２は、個人情報利用サービス提供装置１−００６と個人情報診断装置１−００１との間で０知識対話証明を用いて、個人情報診断モジュール１−００５にて診断に用いた個人情報記憶部１−００３に記憶された個人情報が正しい（偽造されておらず、かつ改竄されていない）ことを証明するか否かの判定を行う。これは個人情報利用サービス提供装置１−００６と個人情報診断装置１−００１との双方が０知識対話証明を行う機能を保持した場合にのみ可能となる。個人情報診断装置１−００１は双方が０知識対話証明を行う機能を保持しているか否かのフラグを持つ。個人情報診断結果出力部１−００２は、個人情報診断装置１−００１が保持するフラグに基づきステップ３−００２を行う。

ステップ３−００２にて０知識対話証明を用いると判定された場合、個人情報診断結果出力部１−００２はステップ３−００４へ進む。

ステップ３−００４では、個人情報診断結果出力部１−００２は、個人情報利用サービス提供装置１−００６と個人情報診断装置１−００１との間で０知識対話証明を用いて、個人情報診断モジュール１−００５にて診断に用いた個人情報記憶部１−００３に記憶された個人情報が正しい（偽造されておらず、かつ改竄されていない）ことを証明する。

ステップ３−００５では、個人情報診断結果出力部１−００２は、ステップ２−００３にて演算されたデータのみの提供データを作成し処理を終了する。

一方、ステップ３−００２にて０知識対話証明を用いないと判定された場合、個人情報診断結果出力部１−００２はステップ３−００８へ進む。

ステップ３−００８では、個人情報診断結果出力部１−００２は照合用のデータを作成するか否かの判定を行う。個人情報診断装置１−００１が照合用データ作成機能のあるなしを示すフラグを保持している。この判定についても、個人情報診断結果出力部１−００２は、個人情報診断装置１−００１が保持するフラグに基づきステップ３−００８の判定を行う。

ステップ３−００８にて照合用のデータを作成すると判定された場合、個人情報診断結果出力部１−００２はステップ３−００９へ進む。

ステップ３−００９では、暗号化部１−０１２は、個人情報提供者のみに解ける暗号鍵を用いて、個人情報１−００３の該当する個人情報を暗号化し個人照合用暗号化データを生成する。ステップ２−００３にて演算されたデータと個人照合用暗号化データとから提出データを作成し処理を終了する。

一方、ステップ３−００８にて照合用のデータを作成しないと判定された場合、個人情報診断結果出力部１−００２はステップ３−００５へ進む。

ステップ３−００５では、個人情報診断結果出力部１−００２は、ステップ２−００３にて演算されたデータのみの提供データを作成し処理を終了する。
実施の形態２．

図５は実施の形態２を示す構成図である。図５において、５−００１は個人情報診断装置である。個人情報診断装置５−００１の構成を説明する。個人情報入力部５−００９は個人情報の入力を行うものである。個人情報保持機器５−０１３は無線または有線のネットワークで接続されており、外部からの個人情報の入出力を行うものである。個人情報入力部５−００９または個人情報保持機器５−０１３より入力された個人情報が個人情報記憶部１−００３に記憶される。個人情報記憶部１−００３に記憶された個人情報が正しいことを保証する保証データが認証付データ１−００４である。個人情報記憶部１−００３に記憶された個人情報を用いた診断の要求を出すのが個人情報診断要求部１−０１１である。個人情報診断要求部１−０１１より要求を受け、個人情報記憶部１−００３に記憶された個人情報を用いて診断を行うのが個人情報診断部１−００８と、個人情報診断部１−００８に格納された個人情報診断モジュール１−００５と、個人情報診断部１−００８に格納された個人情報収集部５−００７とである。個人情報診断モジュール１−００５を個人情報利用サービス提供装置１−００６より受取るのが受取部１−０１０である。個人情報診断部１−００８にて算出された結果のみを個人情報利用サービス提供装置１−００６へ提出するのが個人情報診断結果出力部１−００２である。個人情報診断結果出力部１−００２が個人情報利用サービス提供装置１−００６へ結果を提出する場合の暗号化を行うのが暗号化部１−０１２である。次に個人情報利用サービス提供装置１−００６の構成を説明する。提供部１−０１３は個人情報診断装置１−００１に個人情報診断モジュール１−００５を提供する。受信部１−０１４は個人情報診断結果出力部１−００２より出力された結果を受信する。

個人情報入力部５−００９はキーボード９０２などのユーザインタフェースを持つもの、またはＦＤＤ９０４やＣＤＤ９０５などの入力インタフェースである。個人情報保持機器５−０１３は無線または有線のネットワークで接続されており、外部からの個人情報の入出力を行うものである。個人情報診断装置５−００１は個人情報入力部５−００９または個人情報保持機器５−０１３により外部からのデータ入力を可能とする。また個人情報記憶部１−００３は、記憶された個人情報の一部または全てをセキュアメモリに入れることも可能である。

個人情報に関する診断を行う個人情報診断部１−００８は、個人情報利用サービス提供装置１−００６側から、受取部１−０１０を介し提供された少なくとも１つ以上の個人情報診断モジュール１−００５を保持している。ここで受取部１−０１０は、キーボード９０２などのユーザインタフェースを持つもの、またはＦＤＤ９０４やＣＤＤ９０５などの入力インタフェースである。また、個人情報診断部１−００８は、個人情報診断モジュール１−００５が診断に使用する個人情報を個人情報記憶部１−００３より収集する個人情報収集部５−００７を備えている。

個人情報診断モジュール１−００５は個人情報診断装置１−００１にて動作可能なモジュールである。そして個人情報診断モジュール１−００５は、個人情報収集部５−００７を通して提供される個人情報へのみアクセス可能である。つまり個人情報診断モジュール１−００５は、個人情報記憶部１−００３に記憶された個人情報を含め、個人情報収集部１−００７を通して提供される個人情報以外の、個人情報診断装置５−００１内のいかなる個人情報に対してもアクセスすることはできない。

図８は図１に示す個人情報診断装置５−００１の個人情報入力部５−００９または個人情報保持機器５−０１３と個人情報記憶部１−００３との動作である。

ステップ８−００１では、個人情報入力部５−００９または個人情報保持機器５−０１３が個人情報の入力を行う。ここでは個人情報入力部５−００９は、キーボード９０２などのユーザインタフェースを持つもの、またはＦＤＤ９０４やＣＤＤ９０５などの入力インタフェースを想定する。また個人情報保持機器５−０１３は無線または有線のネットワークで接続された外部の機器である。

ステップ８−００２では、ステップ８−００１で個人情報入力部５−００９または個人情報保持機器５−０１３によって入力された個人情報を、個人情報記憶部１−００３が記憶する。個人情報記憶部１−００３が記憶する個人情報には認証付データ１−００４を含むことが可能である。

上記のようにして、個人情報記憶部１−００３に個人情報が記憶されている。個人情報記憶部１−００３に個人情報が記憶されている状態において、図５に示す個人情報診断装置５−００１の個人情報診断部１−００８の動作を説明する。

図６は、図５に示す個人情報利用サービス提供装置１−００６と個人情報診断装置５−００１の個人情報診断部１−００８における、個人情報を用いた診断処理の動作を表したフローチャートである。個人情報診断要求部１−０１１が、個人情報診断装置５−００１に対して、特定の個人情報診断処理要求を出す。個人情報診断処理要求を受けると個人情報診断装置５−００１は図６に示す一連の処理を開始する。

ステップ６−００２では、個人情報収集部５−００７は、ステップ２−００１で選択された個人情報診断モジュール５−００５に必要な個人情報を、個人情報記憶部１−００３から収集する。このとき、例えば個人情報診断モジュール１−００５側から必要な個人情報のリストを提示し、提示された個人情報を個人情報収集部５−００７が収集を行うという実装が可能である。

次に個人情報収集部５−００７が収集を行う個人情報記憶部１−００３に記憶される個人情報について説明する。４−００４にて例示するようなユーザ自身が作成する個人情報を除き、第三者が提供する個人情報に関しては、この個人情報が改竄および偽造されていないかどうかを問い合わせすることが可能な認証付データ１−００４を個人情報に含めて、個人情報記憶部１−００３に保存することも可能である。あるいは、この個人情報が改竄および偽造されていないことを証明することが可能な認証付データ１−００４を個人情報に含めて、個人情報記憶部１−００３に保存することも可能である。

個人情報診断モジュール１−００５は上記のような個人情報のリストを提示して必要な個人情報を指定する。個人情報収集部５−００７は、個人情報診断モジュール１−００５から指定された個人情報を、個人情報入力部５−００９を介し個人情報記憶部１−００３から、または個人情報診断装置５−００１の持つデバイスあるいはネットワークで結ばれた特定の個人情報保持機器を経由し個人情報記憶部１−００３から収集する。個人情報収集部５−００７は、個人情報の収集が完了すると、個人情報診断モジュール１−００５側へ収集した個人情報の提供を行う。

ステップ６−００４では、個人情報診断結果出力部１−００２が個人情報利用サービス提供装置１−００６への提出データの作成を行う。この提出データの作成処理の詳細については図７にて後述する。

次に、図６のステップ６−００４での個人情報利用サービス提供装置１−００６への提出データの作成方法の詳細処理について図７に基づき説明する。

ステップ３−００１では、個人情報診断装置５−００１が、個人情報を提出するか否かのフラグを見て個人情報そのものを提出するか否かの判定を行う。この個人情報を提出するか否かのフラグの実装は、この個人情報診断装置５−００１が全て拒否、データによっては許可、提出先ごとに判定などの値を持つことが可能である。

２つ目は、個人情報提供者は、個人情報記憶部１−００３に記憶された個人情報に、個人情報診断結果出力部１−００２が個人情報を外部に持ち出すことのできる条件を付加し、さらに、上記の付加した条件にランク（絶対に持ち出し不可、個人情報提供者の承諾を得た場合に可能、暗号をかければ持ち出し可能、データ照合用の鍵のみの持ち出し可能など）を設ける。このランクに応じて、個人情報診断結果出力部１−００２が提出可能か判断を行う。例えば、個人情報診断結果出力部１−００２は、ランクが持ち出し不可の場合、またはデータ照合用の鍵のみの持ち出し可能な場合は自動的に候補から外し、個人情報提供者の承諾が必要な場合は、個人情報提供者に承諾に関する入力を要求し、個人情報提供者からの入力によって持ち出し候補に含めるなどの処理を行うという方法である。

一方、ステップ３−００１にて個人情報を提出しないと判定された場合、個人情報診断結果出力部１−００２はステップ７−００２へ進む。

ステップ７−００２では、個人情報診断結果出力部１−００２は、個人情報利用サービス提供装置１−００６と個人情報診断装置５−００１との間、あるいは、個人情報保持機器５−０１３と個人情報診断装置５−００１との間で０知識対話証明を用いて、個人情報診断モジュール１−００５にて診断に用いた個人情報記憶部１−００３に記憶された個人情報が正しい（偽造されておらず、かつ改竄されていない）ことを証明するか否かの判定を行う。これは個人情報利用サービス提供装置１−００６と個人情報診断装置５−００１との双方、あるいは、個人情報保持機器５−０１３と個人情報診断装置５−００１との双方が０知識対話証明を行う機能を保持した場合にのみ可能となる。上記の組合せの内、少なくとも１つが０知識対話証明を行う機能を保持しているか否かのフラグとどちらの組合せで０知識対話証明を行うかの情報とを個人情報診断装置５−００１は持つ。個人情報診断結果出力部１−００２は、個人情報診断装置５−００１が保持するフラグと情報とに基づきステップ７−００２を行う。

ステップ７−００２にて０知識対話証明を用いると判定された場合、個人情報診断結果出力部１−００２はステップ７−００４へ進む。

ステップ７−００４では、個人情報診断結果出力部１−００２は、ステップ７−００２にて指定された組合せ（個人情報利用サービス提供装置１−００６と個人情報診断装置１−００１との間、あるいは個人情報保持機器５−０１３と個人情報診断装置５−００１との間）で０知識対話証明を用いて、個人情報診断モジュール１−００５にて診断に用いた個人情報記憶部１−００３に記憶された個人情報が正しい（偽造されておらず、かつ改竄されていない）ことを証明する。

ステップ３−００５では、個人情報診断結果出力部１−００２は、ステップ２−００３にて演算されたデータのみの提出データを作成し処理を終了する。

一方、ステップ７−００２にて０知識対話証明を用いないと判定された場合、個人情報診断結果出力部１−００２はステップ３−００８へ進む。

ステップ３−００８では、個人情報診断結果出力部１−００２は照合用のデータを作成するか否かの判定を行う。個人情報診断装置１−００１が照合用データ作成機能のあるなしを示すフラグを保持している。この判定についても、個人情報診断結果出力部１−００２は、個人情報診断装置５−００１が保持するフラグに基づきステップ３−００８の判定を行う。

上記により、ユーザは、個人情報を他者へ渡すことなく、個人情報を利用した他者のサービスを利用することができる。よって本実施の形態により個人情報の第三者への流出や目的外への流用の防止が可能である。

上記を簡単にまとめると、本実施の形態は、個人情報と、個人情報診断装置内で動作可能な、他者より提供された個人情報診断モジュールを自側へ保持し、個人情報そのものは提供せずに個人情報を用いた診断結果のみを他者へ出力する装置またはシステムまたは方法であることを特徴とする。

上記に加え、上記装置または上記システムまたは上記方法は、診断結果と、オリジナルの個人情報の持ち主側でのみ解読可能な、個人情報診断モジュールを提供した他者には解読不可能な形式に暗号化された個人情報そのものとをサービス提供側へ提供することを特徴とする。

さらに上記に加え、上記装置または上記システムまたは上記方法は、診断結果データに、改竄されていないことを証明するデータを付けて提供することを特徴とする。

また、上記装置または上記システムまたは上記方法は、０知識対話証明を用いて診断結果データに、改竄されていないことを証明するデータをつけて提供することを特徴とする。

言いかえると、上記装置または上記システムまたは上記方法は、改竄されていないことを証明可能なデータを用い、個人情報を診断（例えば、保険会社が、年齢や病歴を用いて保険料を決定するなど）するモジュールを、個人情報の保持者（上記の例では、保険契約を行おうとしている消費者側）が、サービス提供装置から受取り、自側で（サービス提供側へ個人情報を渡すことなく）相手のロジックで診断を行い、サービス側へは診断結果のみを渡すことを特徴とする。

図９は、実施の形態における情報診断装置の外観の一例を示す図である。
図９において、情報診断装置１００は、システムユニット９１０、ＣＲＴ（ＣａｔｈｏｄｅＲａｙＴｕｂｅ）表示装置９０１、キーボード（Ｋ／Ｂ）９０２、マウス９０３、コンパクトディスク装置（ＣＤＤ）９０５、プリンタ装置９０６、スキャナ装置９０７を備え、これらはケーブルで接続されている。
さらに、情報診断装置１００は、ＦＡＸ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク（ＬＡＮ）９４２、ゲートウェイ９４１を介してインターネット９４０に接続されている。

図１０は、実施の形態における情報診断装置のハードウェア構成の一例を示す図である。
図１０において、情報診断装置１００は、プログラムを実行するＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）９１１を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、ＣＲＴ表示装置９０１、Ｋ／Ｂ９０２、マウス９０３、ＦＤＤ（ＦｌｅｘｉｂｌｅＤｉｓｋＤｒｉｖｅ）９０４、磁気ディスク装置９２０、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７と接続されている。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信ボード９１５は、ＦＡＸ機９３２、電話器９３１、ＬＡＮ９４２等に接続されている。
例えば、通信ボード９１５、Ｋ／Ｂ９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部の一例である。
また、例えば、通信ボード９１５、ＣＲＴ表示装置９０１などは、出力部の一例である。

ここで、通信ボード９１５は、ＬＡＮ９４２に限らず、直接、インターネット９４０、或いはＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）に接続されていても構わない。直接、インターネット９４０、或いはＩＳＤＮ等のＷＡＮに接続されている場合、情報診断装置１００は、インターネット９４０、或いはＩＳＤＮ等のＷＡＮに接続され、ウェブサーバ９４１は不用となる。
磁気ディスク装置９２０には、オペレーティングシステム（ＯＳ）９２１、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３は、ＣＰＵ９１１、ＯＳ９２１、ウィンドウシステム９２２により実行される。

上記プログラム群９２３には、上記の実施の形態の説明において「〜部」「〜モジュール」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の実施の形態の説明において、「〜の判定」、「〜の実行結果」、「〜の診断結果」、「〜のフラグ」、「〜の情報」として説明するものが、「〜ファイル」として記憶されている。
また、上記の実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータの入出力を示し、そのデータの入出力のためにデータは、磁気ディスク装置９２０、ＦＤ（ＦｌｅｘｉｂｌｅＤｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）等のその他の記録媒体に記録される。あるいは、信号線やその他の伝送媒体により伝送される。

また、上記の実施の形態の説明において「〜部」、「〜モジュール」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、ハードウェアのみ、或いは、ソフトウェアとハードウェアとの組合せ、さらには、ファームウェアとの組合せで実施されても構わない。

また、上記の実施の形態を実施するプログラムは、また、磁気ディスク装置９２０、ＦＤ（ＦｌｅｘｉｂｌｅＤｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）等のその他の記録媒体による記録装置を用いて記憶されても構わない。

本発明による情報診断装置および情報診断方法は、ユーザの個人情報を他者へ渡すことなく、個人情報を利用した他者のサービスを利用することができる。よって本発明により個人情報の第三者への流出や目的外への流用の防止が可能である。一方で個人情報を取り扱う企業、団体などでは、個人情報の流出防止に非常に力を入れている。そのため上記の保険会社にて保険料を算出するシステムに代表される、個人情報を取り扱う企業、団体のシステムにおいて利用することが可能である。

実施の形態１の全体を示す構成図である。実施の形態１における個人情報利用サービス提供装置１−００６と個人情報診断部の診断処理の動作を表したフローチャートである。実施の形態１における個人情報利用サービス提供装置への提出データの作成方法を表したフローチャートである。実施の形態における個人情報診断モジュールが提示する個人情報のリストの一例である。実施の形態２の全体を示す構成図である。実施の形態２における個人情報利用サービス提供装置１−００６と個人情報診断部の診断処理の動作を表したフローチャートである。実施の形態２における個人情報利用サービス提供装置への提出データの作成方法を表したフローチャートである。実施の形態における個人情報診断装置の個人情報入力部１−００９と個人情報との動作を表したフローチャートである。実施の形態における個人情報診断装置のハードウェア構成図の一例である。実施の形態における個人情報診断装置のハードウェア構成図の一例である。

符号の説明

１−００１個人情報診断装置、１−００２個人情報診断結果出力部、１−００３個人情報記憶部、１−００４認証付データ、１−００５個人情報診断モジュール、１−００６個人情報利用サービス提供装置、１−００７個人情報収集部、１−００８個人情報診断部、１−００９個人情報入力部、１−０１０受取部、１−０１１個人情報診断要求部、１−０１２暗号化部、１−０１３提供部、１−０１４受信部、５−００１個人情報診断装置、５−００７個人情報収集部、５−００９個人情報入力部、５−０１３個人情報保持機器、１００情報診断装置、９０１ＣＲＴ表示装置、９０２Ｋ／Ｂ、９０３マウス、９０４ＦＤＤ、９０５ＣＤＤ、９０６プリンタ装置、９０７スキャナ装置、９１０システムユニット、９１１ＣＰＵ、９１２バス、９１３ＲＯＭ、９１４ＲＡＭ、９１５通信ボード、９２０磁気ディスク装置、９２１ＯＳ、９２２ウィンドウシステム、９２３プログラム群、９２４ファイル群、９３１電話器、９３２ＦＡＸ機、９４０インターネット、９４１ゲートウェイ、９４２ＬＡＮ。

Claims

データを入力する入力部と、
上記入力部で入力されたデータを記憶する記憶部と、
上記記憶部で記憶したデータを診断する診断モジュールをサーバより受取る受取部と、
上記受取部により受取った上記診断モジュールを実行して上記記憶部で記憶したデータを診断する診断部と、
上記診断部の診断した診断結果をサーバへ出力する出力部とを備えることを特徴とする情報診断装置。
上記診断部は、上記診断モジュールで診断するデータを上記記憶部から収集する収集部を備え、
上記情報診断装置は、さらに、上記収集部で収集したデータに対して、鍵を使用して、暗号化し暗号データを生成する暗号化部を備え、
上記出力部は、上記診断部の上記診断結果と上記暗号化部で生成した上記暗号データとを出力することを特徴とする請求項１記載の情報診断装置。
上記情報診断装置は、さらに、上記収集部で収集したデータの内容が正しいことを保証する保証データを生成する保証データ生成部を備え、
上記出力部は、上記診断部の上記診断結果と上記保証データ生成部で生成した保証データとを出力することを特徴とする請求項１記載の情報診断装置。
保証データ生成部は、０知識対話証明を用いて保証データを生成することを特徴とする請求項３記載の情報診断装置。
上記診断部で実行される上記診断モジュールは、データを出力することはせず診断結果のみを出力することを特徴とする請求項１記載の情報診断装置。
データを入力する入力ステップと、
上記入力ステップで入力されたデータを記憶する記憶ステップと、
上記記憶ステップで記憶したデータを診断する診断モジュールをサーバより受取る受取ステップと、
上記受取ステップにより受取った上記診断モジュールを実行して上記記憶ステップで記憶したデータを診断する診断ステップと、
上記診断ステップの診断した診断結果をサーバへ出力する出力ステップとを備えることを特徴とする情報診断方法。
情報診断装置とサーバとを備えた情報診断システムにおいて、
上記情報診断装置は、
データを入力する入力部と、
上記入力部で入力されたデータを記憶する記憶部と、
上記記憶部で記憶したデータを診断する診断モジュールを上記サーバより受取る受取部と、
上記受取部により受取った上記診断モジュールを実行して上記記憶部で記憶したデータを診断する診断部と、
上記診断部の診断した診断結果を上記サーバへ出力する出力部とを備え、
上記サーバは、
上記診断モジュールを上記診断装置へ提供する提供部と、
上記出力部が出力した上記診断結果を受信する受信部とを備えることを特徴とする情報診断システム。
情報診断装置とサーバとを備えた情報診断システムの情報診断方法において、
上記情報診断装置は、
データを入力する入力ステップと、
上記入力ステップで入力されたデータを記憶する記憶ステップと、
上記記憶ステップで記憶したデータを診断する診断モジュールを上記サーバより受取る受取ステップと、
上記受取ステップにより受取った上記診断モジュールを実行して上記記憶ステップで記憶したデータを診断する診断ステップと、
上記診断ステップの診断した診断結果を上記サーバへ出力する出力ステップとを備え、
上記サーバは、
上記診断モジュールを上記診断装置へ提供する提供ステップと、
上記出力ステップで出力した上記診断結果を受信する受信ステップとを備えることを特徴とする情報診断方法。