JP2012195747A - 個別情報保護システム - Google Patents

Abstract

【課題】特別な管理機器を用いることなく、送信側の個人情報をこれを提供した側が情報制限でき、コストや処理の手間をかけることのない個別情報保護システムを提供する。
【解決手段】この個別情報保護システムは、通信系２１を介して端末１０，２２の間で個人情報を送受するように構成され、個別情報を提供された端末は、受信した個別情報を保存する耐タンパー性のデータ保存部１６Ａと、個別情報を受信した時からの経過時間を計時して記録するデータ保存時間記録部３３と、データ保存部から個別情報を読み取るとき、経過時間が参照可能時間を超えない場合に個別情報の読取りを許可し、それ以外の場合に個別情報の読取りを拒否するという判断を行う判断手段（ステップＳ２０６）と、判断手段が個別情報の読取りを許可すると判断したとき、個別情報（個人情報）を表示部１２等に表示する表示実行手段（ステップＳ２０７）等を備える。
【選択図】図３

Description

本発明は個別情報保護システムに関し、特に、通信系を介して通信可能に接続され得る少なくとも２台の端末の間で送受される個人情報や機器情報等の個別情報を、当該個別情報を提供した端末側で情報制限して保護するようにした個別情報保護システムに関する。

「個別情報」の一例として個人情報の例を挙げて説明する。個人が個々に使用するパソコン、携帯電話（スマートフォンを含む）等のような端末であってインターネット等の通信係に接続されかつ当該通信系を介して２台の端末の間で個人情報を含む各種のデータを送受できるように構成された通信構成において、従来では、当該個人情報の保護するための仕組みが設けられている。個人情報を保護する仕組みとして代表的な例は、第１に、端末間のデータ送受をサーバを介して行い、当該サーバに基づいて認証や保護のための情報処理を行うようにする仕組みである。第２に、個人情報に対して暗号化の処理を施す仕組みである。

上記のごとき個人情報を保護・管理する従来の技術としては下記の特許文献１〜４に記載された技術が知られている。
特許文献１の個人データ保護流通方法等は、個人情報提供企業が、個人情報要求企業に対して暗号化した個人情報と利用条件を送る技術を開示する。そしてＤＲＭ認証技術を使って条件に合う場合のみに個人情報を利用できるようにしている。
特許文献２の個人情報流通管理方法等は、個人情報と開示利用規定によって個人情報の流通を制御する技術を開示している。
特許文献３の個人情報管理システム等は、個人情報管理サーバが、クライアントごとに利用可能な個人情報（個人情報カプセル）をフィルタリングして提示する技術を開示している。
特許文献４の個人情報統合管理システム等は、ユーザの個人情報をユーザ自身が管理でき、サービスシステムが必要とする個人情報はユーザが許可した条件下でのみ利用可能とするシステムを開示している。

特開２００４−１３５００４号公報 特開２００１−０６７３２３号公報 特開２００６−３１７９９２号公報 特開２００３−０４４６６７号公報

個人情報を保護する従来の仕組みによれば、第１のサーバを利用する仕組みでは、必ずサーバが必要となり、システムのコストが高くなる。また例えば１台のサーバで多くの端末の各々から送信される各個人情報を扱うために、サーバにとって情報処理の負荷が大きくなる。そのためにサーバの性能を高める必要があり、さらにコストがかかることになる。第２の暗号化処理を行う仕組みでは、個人情報に係るデータを通信系に流すときに送信側の端末において当該データに暗号化処理を行なって送付しなければならず、手間がかかる。また送信相手先の各端末に暗号鍵を別途に送付する必要があり、さらに手間がかかる。

また先に挙げた引用文献１〜４は、いずれも、本願発明に関連する従来技術を開示しており、上記の問題を同様に含む従来技術の範疇に含まれるものである。
さらに、上記の従来技術の説明では「個人情報」の保護の観点で説明したが、上記の問題は「個人情報」すなわち人間個人に関係する情報に限定されるものではない。近年では、端末、機械、電子機器を含む各種の機器同士の間においてそれらに組み込まれたコンピュータ間で通信系を経由した情報の送受が行われている。そのため、これらの機械や機器自身に関係する情報の保護の必要性も生じてきている。

本発明の目的は、上記の課題に鑑み、通信系を経由して端末等の間で個別情報を送受するシステムの構成において、特別な管理機器を用いることなく、送信側の個別情報をこれを提供した側が情報制限でき、コストや処理の手間をかけることなく個別情報を保護できる個別情報保護システムを提供することにある。

本発明に係る個別情報保護システムは、上記の目的を達成するため、次のように構成される。

第１の個別情報保護システム（請求項１に対応）は、通信系を介して少なくとも２台の端末同士で個別情報を送受するように構成され、一方の端末は個別情報送信先の端末でありかつ他方の端末は個別情報送信元の端末である通信システムにおいて適用され、個別情報を提供された一方の端末は、受信した個別情報を保存する耐タンパー性のデータ保存部と、個別情報を受信した時からの経過時間を計時して記録するデータ保存時間記録手段と、データ保存部から個別情報を読み取るとき、経過時間が参照可能時間を超えない場合に個別情報の読取りを許可し、それ以外の場合に個別情報の読取りを拒否するという判断を行う判断手段と、判断手段が個別情報の読取りを許可すると判断したとき、個別情報を提示部に提示する提示実行手段と、を備えるように構成される。

上記の個別情報保護システムでは、各端末は、個別情報を提供する他の端末から個別情報を受信しデータ保存部に保存した後、受信時点からの経過時間を基準にして個別情報の読取り表示を行い、かつ当該経過時間が参照可能時間を超えた場合には個別情報の表示を拒否されるので、端末に情報を制御する仕組みを設けることにより、特別なサーバや暗号処理手法を用いることなく簡素な仕組みで個別情報を保護することが可能となる。

第２の個別情報保護システム（請求項２に対応）は、上記の構成において、好ましくは、一方の端末は、判断手段が個別情報の読取りを拒否すると判断したとき、個別情報を提供した他方の端末に対して個別情報参照のアクセス通知を送信するアクセス制御手段を備え、個別情報送信元である他方の端末は、アクセス通知を受信した後に、提示部に提示されたアクセス通知に係る情報を参照して意思伝達部を介して与えられた回答要否の指令に基づき、アクセス許可通知またはアクセス拒否通知を端末に送信するアクセス制御手段を備えることを特徴とする。
上記の構成では、端末にアクセス制御手段を設けることにより、既に送られた個別情報が経過時間の基準に基づいて読取り拒否の状態になったときに、個別情報を提供した側の他方の端末に対して個別情報参照に関してのアクセス通知を送信できるようにしたため、最終的な状況において個別情報を提供した側（個別情報送信元）が個別情報に係る情報制限を行うことが可能となる。

第３の個別情報保護システム（請求項３に対応）は、上記の構成において、好ましくは、他方の端末におけるアクセス制御手段は、アクセス通知を受信したとき自動的に拒否判断を実行する手段と、アクセス通知に係る情報としてアクセス拒否通知と許可通知の要否問合せのメッセージを提示部に提示し、かつ参照確認通知先に係る情報をそのデータ保存部に保存する手段と、を含むことを特徴とする。

第４の個別情報保護システム（請求項４に対応）は、上記の構成において、好ましくは、アクセス拒否通知は、自動的な拒否判断に基づき一方の端末に応答せず、一方の端末では応答がないことで拒否と判断することにより実行されることを特徴とする。
第５の個別情報保護システム（請求項５に対応）は、上記の構成において、好ましくは、アクセス拒否通知は、自動的な拒否判断に基づき一方の端末に自動的に拒否通知を行い、一方の端末では拒否通知を受けることで拒否と判断することにより実行されることを特徴とする。
第６の個別情報保護システム（請求項６に対応）は、上記の構成において、好ましくは、アクセス拒否通知は、自動的な拒否判断に基づき一方の端末に自動的に拒否通知を行い、一方の端末では拒否通知を受けないことで拒否と判断することにより実行されることを特徴とする。

第７の個別情報保護システム（請求項７に対応）は、上記の構成において、好ましくは、アクセス許可通知を行うとき、データ保存部に保存された参照確認通知先に係る情報が利用されることを特徴とする。

第８の個別情報保護システム（請求項８に対応）は、上記の構成において、好ましくは、一方の端末は、他方の端末からの通知内容がアクセス許可通知であるかまたはアクセス拒否通知であるかを判断する他の判断手段を備え、この他の判断手段がアクセス許可通知であると判断したとき、提示実行手段は個別情報を提示部に提示することを特徴とする。

第９の個別情報保護システム（請求項９に対応）は、上記の構成において、好ましくは、個別情報は付随するアクセス制御データを有し、アクセス制御データは参照可能時間に係るデータを含むことを特徴とする。

第１０の個別情報保護システム（請求項１０に対応）は、上記の構成において、好ましくは、端末は、個別情報を提示部に提示した時からの提示時間を計時して記録するデータ提示時間記録手段を有し、提示実行手段は、提示時間が予め設定された連続提示時間を超えた場合に、個別情報の提示を消す提示消去手段を備えることを特徴とする。

第１１の個別情報保護システム（請求項１１に対応）は、上記の構成において、好ましくは、端末が人的操作で操作されるように構成されるとき、個別情報は個人情報であり、提示部は表示部であり、提示実行手段は表示実行手段であることを特徴とする。

本発明によれば、次の効果を奏する。
通信系を経由して端末同士の間で個別情報を送受するシステムの構成において、特別なサーバ等の管理機器、あるいは暗号化のためのソフトウェアを用いることなく、低コストでかつ簡素な構造で端末それ自体で自己の個別情報を保護することができる。
各端末の内部に個別情報を制御する仕組みを設けるようにしたため、端末それ自体で自己の個別情報を保護することができ、個別情報のバイパスを防止することができる。
或る端末に既に送られた個別情報が経過時間の基準に基づいて読取り拒否の状態になったときに、個別情報を提供した側の他の端末（個別情報送信元）に対して当該個別情報の参照に関してのアクセス通知を送信し、個別情報を提供した側（個別情報送信元）が最終的に許可または拒否の判断を行い、これにより個別情報に係る情報制限を行うことができ、コストや処理の手間をかけることなく個別情報を保護することができる。

本発明の第１実施形態に係る個別情報保護システムに用いられる端末のハードウェア構成を示すブロック図である。 通信系を介した端末同士の通信関係を示す構成図である。 端末の内部機能の構成を示す機能ブロック図である。 個人情報に関するデータ構造を示す図である。 本発明の第１実施形態における端末同士間の個人情報の送受の流れを示すフローチャートである。 本発明の第２実施形態に係る個別情報保護システムに用いられる端末のハードウェア構成を示すブロック図である。 本発明の第２実施形態における端末同士間の個人情報の送受の流れを示すフローチャートである。 本発明の第２実施形態における「拒否判断の実行」の処理の第１の変更例を示す部分的なフローチャートである。 本発明の第２実施形態における「拒否判断の実行」の処理の第２の変更例を示す部分的なフローチャートである。 「アクセス許可の再度通知」の内容を示すフローチャートである。 本発明の第３実施形態に係る個別情報保護システムに用いられる端末のハードウェア構成を示すブロック図である。 本発明の第５実施形態に係る個別情報保護システムに用いられる端末のハードウェア構成を示すブロック図である。 本発明の第５実施形態における端末の内部の機能構成を示す機能ブロック図である。

以下に、本発明の好適な実施形態（実施例）を添付図面に基づいて説明する。

［第１実施形態］
図１は、本発明の第１実施形態に係る個別情報保護システムに用いられる代表的な端末の内部のハードウェア構成を示している。ここで、「端末」とは、いわゆる端末（端末装置）、携帯電話等の携帯端末、情報携帯端末等のごとき入力部と出力部を有しかつ情報処理機能部を内蔵し、インターネット等の通信系に接続されて相互に情報・データにつき送受信の通信を行うことができる電子機器を意味している。
図２は、一例として２台の端末について通信系を経由した端末同士の通信のための接続関係を示す図である。図３は端末の機能ブロック図を示している。
この第１実施形態の例では、端末を操作するのは人間（ユーザ、個人）であるとし、そのため取り扱われる「個別情報」は操作する人間（ユーザ、個人）に関係する「個人情報」であって、上記の「個別情報保護システム」は「個人情報保護システム」として構築される。従って、第１実施形態では「個人情報保護システム」として説明する
なお、例えば上記の端末を操作するのは、人間（個人）には限定されず、コンピュータを内蔵して監視・判断・指示機能を有するインテリジェント機能付き機械または機器であっても良い。人間（個人）以外の例については後述の実施形態に基づいて説明する。

図１において、端末１０は、ハードウェア構成として、入力手段としての例えばキー入力操作部１１、出力手段としての表示部１２、演算処理・制御部としてのＣＰＵ１３を備えている。また端末１０は、図２に示すように、インターネット等の通信系２１を通して外部の他の端末２２と接続し相互に通信（情報・データの送受信）を行えるようにするための、送信部１４と受信部１５を内蔵している。１６はメモリである。メモリ１６には、認証プログラムＰ１１とアクセス制御プログラム（またはアクセス管理プログラム）Ｐ１２とデータ保存時間記録プログラムＰ１３とデータ表示時間記録プログラムＰ１４が記憶されている。図３に示すように、ＣＰＵ１３が認証プログラムＰ１１を呼び出して実行することで認証装置３１の機能が実現され、アクセス制御（管理）プログラムＰ１２を呼び出して実行することによりアクセス制御装置（またはアクセス管理装置）３２の機能が実現される。同様に、図３に示されるように、ＣＰＵ１３がデータ保存時間記録プログラムＰ１３とデータ表示時間記録プログラムＰ１４を呼び出して実行することで、それぞれ、データ保存時間記録部３３とデータ表示時間記録部３４とが設けられることになる。さらにメモリ１６の内部には、外部からの不正アクセスを防護するための耐タンパー性を有したデータ保存部１６Ａが設けられている。個人情報（関連するアクセス管理データを含む）はこのデータ保存部１６Ａに格納されて保存される。

上記において、認証装置３１は、通信系２１等を経由して他の端末等との間で相互に情報・データの送受を行う場合であって正当な通信資格があるか否かを確認する必要がある場合に、予め定められたＩＤおよびパスワードを利用して認証を行うための機能装置である。アクセス制御装置３２は、外部の他の端末から端末１０へのアクセスを、適正かまたは不正かを判断することにより制御する機能装置である。適正・不正の判断基準の具体的な内容は後述される。またデータ保存時間記録部３３は、外部の他の端末から提供された情報・データであってメモリ１６に保存される情報・データの保存時間を計時し記録するための機能部である。データ表示時間記録部３４は、表示部１２に表示された情報・データの表示時間を計時し記録するための機能部である。

端末１０の上記の構成は、例えば他の端末２２を含め、本実施形態に係る個人情報保護システムに適用される全ての端末に原則的に装備されている。その特徴的な点は、アクセス制御装置３２という機能装置を備え、端末１０の内部に情報制御を行う管理部に係る仕組みを設けている点である。

次に、図４および図５を参照して、アクセス制御装置３２等に基づく本実施形態に係る個人情報保護システムの特徴的な処理動作を説明する。図４は個人情報に係るデータ構造を示し、図５は２台の端末同士の間での個人情報の保護するための特徴的な処理動作の流れを示している。

図３に示すように、メモリ１６におけるデータ保存部１６Ａ内に端末１０の所有者等に関する「個人情報１」のファイルが保存されている。この「個人情報１」に関するデータ構造としては、図４に示すように、第１に「個人情報１」のファイル４１の主項目として「氏名」、「電話番号」等の項目が含まれており、さらに第２に付随する「アクセス管理データ１」のファイル４２の項目として「送信元送信日時」、「個人情報のハッシュ値」、「参照確認通知先」、「参照可能時間」、「参照可能回数」、「連続表示時間」等の項目が含まれている。「アクセス管理データ１」のファイル４２内の各情報はアクセス制御装置３２に基づくアクセス制御（またはアクセス管理）で使用される諸情報である。「個人情報１」のファイル４１と「アクセス管理データ１」のファイル４２は一点鎖線のブロック４３で示されるようにデータ構造として一体的に扱われる。

なお端末１０の内部での個人情報の扱い方としては、例えば他の端末から送信された個人情報を受信したときにはデータ保存部１６Ａに記録される。またデータ保存部１６Ａに保存された他人の個人情報を読み取る場合に、定められた条件（経過時間等）に基づいて読取りを拒否されることがある。

また送受される個人情報について、表示部１２に表示される項目については、設計により任意に決定することができる。

次に、図５を参照して、本発明の第１実施形態における２台の端末同士の間での個人情報の保護するための特徴的な処理動作の流れを説明する。
この個人情報の送受は、通信系２１を介して前述した端末１０と他の端末２２との間で行われるものとする。端末１０を第１の端末とし、端末２２を第２の端末とする。この実施形態では、第２の端末である端末２２が、第１の端末である端末１０から「個人情報１」を取得するプロセスを説明する。

端末１０側の最初のステップＳ１０１で相手先の端末２２に関する「認証の実行」が行われる。この「認証の実行」のステップＳ１０１では、端末１０がその認証装置３１によって端末２２を認証する。端末１０での認証動作に応じて、端末２２で、対応する認証動作が行われる（ステップＳ２０１）。「認証の実行」のステップＳ２０１では、端末２２がその認証装置３１により端末１０を認証する。相互の認証処理において、認証の結果が肯定的（ＹＥＳ）であれば（判断ステップＳ１０２）、２台の端末１０，２２の間で個人情報の送受を行うことが許可される。この場合には、端末１０側から個人情報１とアクセス管理データ１が送信され（ステップＳ１０４）、端末２２の側で、送信されたきた個人情報１とアクセス管理データ１を受信する（ステップＳ２０２）。端末１０における個人情報１とアクセス管理データ１の送信は、前提として生ずる端末１０のユーザ（所有者等）Ａによる送信命令（ステップＳ１０３）に基づき実行される。ユーザＡは、上記の相互の認証動作の後、表示部１２に表示される個人情報の送信要求等に基づいて、送信命令をキー入力操作部１１を介して端末１０に与える。個人情報１とアクセス管理データ１を受信した端末２２では、これらの情報・データをメモリ１６のデータ保存部１６Ａに保存する（ステップＳ２０３）。さらに端末２２では、端末１０から個人情報１等に係るデータを受信した時点からの経過時間を計時してデータ保存時間記録部３３に記録する（ステップＳ２０４）。

上記の処理動作の後、２台の端末１０，２２の各々で、受信時点（ステップＳ２０２の実行時点）から時間Ｔ経過したものとする。この時間Ｔは上記の「経過時間」に相当している。

上記の時間Ｔの経過後に、端末２２のユーザＢが端末２２に対して、そのメモリ１６のデータ保存部１６Ａに保存している端末１０の個人情報１を読み取るための命令をキー入力操作部１１を介して入力したとする（ステップＳ２０５）。端末２２のアクセス制御装置３２は、ユーザＢにより入力された個人情報読取り命令を受けると、個人情報１に付随するアクセス管理データ１内の「参照可能時間」に基づいて、次の個人情報読取り処理を行う（ステップＳ２０６）。個人情報読取り処理のステップＳ２０６によれば、出力結果として、（１）「読取り許可」の場合と（２）「読取り拒否」の場合とが発生する。

（１）読取り許可の場合
経過時間Ｔが予め定められた一定の「参照可能時間」（例えば５時間）以内であって、相手先（端末１０）が定めた複数回の参照可能回数の許可範囲内である場合である。「参照可能時間」と「参照可能回数」に係る情報は前述した通り「アクセス管理データ１」内に含まれている。
（２）読取り拒否の場合
端末２２のデータ保存時間記録部３３に記録される「経過時間」に係る時間Ｔの値が「参照可能時間」よりも大きいか、または、読取り回数が「参照可能回数」を超えた場合である。

上記のごとく、個人情報読取り処理のステップＳ２０６では「読取り許可」または「読取り拒否」の判断ステップＳ２０６−１が含まれている。判断ステップＳ２０６−１において「読取り許可」となった場合には、端末２２で、表示部１２に個人情報１が表示され、かつデータ表示時間記録部３４に表示時間が記録され、かつ当該表示時間が「連続表示時間」を超えたら個人情報１に係る当該表示を消す、という処理（ステップＳ２０７）が行われる。他方、判断ステップＳ２０６−１において「読取り拒否」となった場合には、以下の処理が実行される。

判断ステップＳ２０６−１において「読取り拒否」となった場合、最初に、端末２２においてアクセス制御装置３２によって端末１０に対して個人情報参照のアクセス通知の送信が行われる（ステップＳ２０８）。個人情報参照のアクセス通知信号ＳＩＧ１は通信系２１を経由して端末１０に送信される。端末１０では、端末２２からの個人情報参照のアクセスの通知信号ＳＩＧ１を受信する（ステップＳ１０５）と、前述したアクセス制御プログラムＰ１２が動作し、当該通知信号ＳＩＧ１のメッセージ内容を端末１０の表示部１２に表示する（ステップＳ１０６）。このメッセージ内容は、「個人情報１」を参照したいという要求である。端末１０のユーザＡは、表示部１２に表示されたメッセージ内容を確認し、端末２２からの参照要求に対して回答するか否かを判断する（判断ステップＳ１０７）。当該判断の結果、判断ステップＳ１０７で「回答する」（ＹＥＳ）と判断された場合にはアクセス許可の通知が端末２２に対して送信され（ステップＳ１０８）、「回答しない」（ＮＯ）と判断された場合にはアクセス拒否の通知が端末２２に対して送信される（ステップＳ１０９）。なおステップＳ１０９に基づく「アクセス拒否通知」は、実際に「アクセス拒否通知」に係る信号を送信することによって通知することもできるし、信号を送信しないことによって当該通知を実質的に知らせることもできる。ステップＳ１０８，Ｓ１０９の実行後、端末１０での処理は終了する。

端末２２の側では、ステップＳ２０８で個人情報参照のアクセス通知の信号ＳＩＧ１を端末１０側に送信した後、所定時間後にアクセス許可の通知またはアクセス拒否の通知を受信する（ステップＳ２０９）。なお、端末１０からの通知内容として、「アクセス拒否の通知」の受信は「受信なし」も概念的に含むものである。

端末２２では、次の判断ステップＳ２１０においてアクセス許可の通知を受信したと判断した場合には、その表示部１２に個人情報１が表示され、かつデータ表示時間記録部３４に表示時間が記録され、かつ当該表示間が連続表示時間を超えたときに当該表示を消す、という処理（ステップＳ２１１）が実行される。また判断ステップＳ２１０でアクセス拒否の通知を受信したと判断した場合には、表示部１２にその旨のメッセージが表示される（ステップＳ２１２）。ステップＳ２１１，Ｓ２１２の実行後、端末２２での処理は終了する。

上記の個人情報の通信は２台の端末１０，２２の間の一対一の通信であったが、これには限定されず、一対多の端末同士の通信であっても構わない。
また上記の実施形態では、端末に送信部と受信部の両要素を備える構成としたが、送信部または受信部を備え、端末ごとに送信のみまたは受信のみを行うように構成することもできる。
また端末によってはアクセス制御装置を備えていないものも想定される。このような端末に対して個人情報を提供する場合には、個人情報と共に当該端末においてアクセス制御装置を実現するためのアクセス制御プログラムを一緒に送信するように構成することもできる。

［第２実施形態］
次に、図６および図７Ａを参照して、本発明の第２実施形態に係る個別情報保護システムを説明する。第２実施形態の個別情報保護システムも、第１実施形態と同様に、個人情報保護システムである。
図６は図１と同様な図であり、かつ図７Ａは図５と同様な図である。図６において、図１で説明した要素と実質的に同一の要素には同一の符号を付し、その説明を省略する。また図７Ａにおいて、図５で説明した要素と実質的に同一の要素には同一の符号を付し、その説明を省略する。

図６において、メモリ１６において、アクセス制御プログラムＰ１２に関連する要素として、アクセス制御結果保持プログラムＰ１２−１が保存される。本実施形態におけるアクセス制御プログラムＰ１２の機能と、アクセス制御結果保持プログラムＰ１２−１の機能は以下に説明される。その他の構成は図１で説明した構成と同じである。

図７Ａを参照して、本発明の第２実施形態における２台の端末同士の間での個人情報の保護するための特徴的な処理動作の流れを説明する。
図７Ａの処理動作の流れにおいて、端末１０におけるステップＳ１０１〜Ｓ１０５の処理動作の流れ、端末２２におけるステップＳ２０１〜Ｓ２０８の処理動作の流れは、前述した第１実施形態の場合と同じであるので、説明を省略する。この第２実施形態による処理動作の流れでは、ステップＳ１０５以降の処理動作、およびステップＳ２０８以降の処理動作の流れが異なっている。

端末１０では、端末２２からの個人情報参照のアクセスの通知信号ＳＩＧ１を受信する（ステップＳ１０５）と、前述したアクセス制御プログラムＰ１２が動作する。このアクセス制御プログラムＰ１２は、第２の実施形態の場合、常に拒否の判断を実行する（ステップＳ３０１）。すなわち、アクセス通知信号ＳＩＧ１を受信する（ステップＳ１０５）と、自動的に当該アクセスを拒否する処理がなされる（ステップＳ３０１）。このアクセス拒否の処理（ステップＳ３０１）によれば、結果として、端末１０は、端末２２からのアクセス通知に対して何らの回答も行わない。反対に、端末２２側では、ステップＳ２０８の後、待機状態に維持されているが、送信したアクセス通知信号ＳＩＧ１に対して端末１０（個人情報送信元）の側から回答を得られない場合には、拒否されたものとみなすことになる。

なお端末１０と端末２２との間で行われる上記の拒否応答のやり取り手順については、次のように第１および第２の２通りに変更することが可能である。
第１および第２の変更例の場合の要部の処理の流れは、それぞれ、図７Ｂおよび図７Ｃに示される。
第１の変更例は次の通りである。アクセス通知信号ＳＩＧ１を受信する（ステップＳ１０５）と、自動的に当該アクセスを拒否する処理がなされる（ステップＳ３０１）。この第１の変更例のアクセス拒否の処理（ステップＳ３０１）によれば、端末１０は、端末２２からのアクセス通知に対して自動的に「拒否の回答」を行う。端末２２側では、ステップＳ２０８の後、待機状態に維持されており、送信したアクセス通知信号ＳＩＧ１に対して端末１０（個人情報送信元）の側から「拒否の回答」を得られた場合（ステップＳ５０１）に拒否されたものとして判断する（ステップＳ５０２）。
第２の変更例は次の通りである。アクセス通知信号ＳＩＧ１を受信する（ステップＳ１０５）と、自動的に当該アクセスを拒否する処理がなされる（ステップＳ３０１）。第２の変更例のアクセス拒否の処理（ステップＳ３０１）によれば、第１の変更例と同様に、端末１０は、端末２２からのアクセス通知に対して自動的に「拒否の回答」を行う。端末２２側では、ステップＳ２０８の後、待機状態に維持されているが、送信したアクセス通知信号ＳＩＧ１に対して端末１０（個人情報送信元）の側から何らかの要因で「拒否の回答」を得られない場合（ステップＳ６０１）には、拒否されたものとみなす判断を行う（ステップＳ６０２）。

再び図７Ａ（図７Ｂ，７Ｃでも同じである。）に戻って、端末１０側では、その後、その表示部１２において、ユーザＡに対して、アクセス制御プログラムＰ１２の拒否判断の結果の通知として、「問合せがありましたので拒否しておきました。許可通知したい場合は所定の手続を行って下さい。」というメッセージが表示される（ステップＳ３０２）。許可通知を行うか否かは、アクセス拒否した相手先（ユーザＢ）の確認を行うユーザＡの判断に基づくことになる。ユーザＡがユーザＢに対して許可通知を行うと判断したときには通知指示指令を端末１０のキー入力操作部１１に入力する。ユーザＡが許可通知を行わないと判断したときには入力操作を行わない。

またステップＳ３０２の後には、自動的に、前述したアクセス制御結果保持プログラムＰ１２−１が動作して、端末１０のメモリ１６のデータ保存部１６Ａ（耐タンパー領域）に、図４を参照して説明した前述の「アクセス管理データ１」として、「参照確認通知先」（端末２２のアドレス等）と「通知結果」とを保存する（ステップＳ３０３）。

ユーザＡによる上記の許可通知を行うか否かの判断において、通知指示指令が端末１０に与えられる場合に限り、破線ブロックで示された「アクセス許可の再度通知」の処理が行われ（ステップＳ４００）、「許可通知」が端末２２に対して送信される。ステップＳ４００の内容は、図８に示されるように、アクセス拒否した相手（ユーザＢ）の表示を行うこと（ステップＳ４０１）と、それを見たユーザＡによる許可通知を行うか否かの判断および入力操作（判断ステップＳ４０２）と、アクセス許可通知の送信（ステップＳ４０３）とから構成されている。アクセス拒否した相手の表示を行うステップＳ４０１は、ステップＳ３０２で表示される前述した「所定の手続」の内容として、ユーザＡに対して事前に提供されている。またユーザＡがユーザＢに対してアクセス許可通知を行いたい場合には、アクセス制御結果保持プログラムＰ１２−１がデータ保存部１６Ａから上記の「参照確認通知先」を読出し、これを参照して許可または拒否の判断を促す。ステップＳ４００の実行後、端末１０での処理は終了する。

他方、待機状態にある端末２２の側では、判断ステップＳ３０４で「許可通知」の受信があるか否か（アクセスの許可または拒否）を判断する。判断ステップＳ３０４でＹＥＳ（許可）の場合には前述したステップＳ２１１が実行され、ＮＯ（拒否）の場合には前述したステップＳ２１２が実行される。

［第３実施形態］
次に図９を参照して本発明の第３実施形態に係る個別情報保護システムを説明する。第３実施形態に係る個別情報保護システムは、第１実施形態に係る個人情報保護システムの変形例である。第３実施形態では、前述した通り、例えば端末１０を操作するのは、ユーザＡという人間（個人）ではなく、コンピュータを内蔵して判断・指示機能を有するインテリジェント機能付き機械または機器である。従って「個人情報」は本来の「個別情報」となる。図９では端末１０を操作する機器として操作機器５１が図示されている。操作機器５１は、端末１０から提示される情報に基づき状況を監視・確認して取得し（手順ＰＲＯ１）、かつ端末１０に対して必要な操作のための指令情報を与える（手順ＰＲＯ２）。そのため、端末１０は、前述した「表示部１２」の代わりに「提示実行部１２Ａ」を備え、前述した「キー入力操作部１１」の代わりに「意思伝達部１１Ａ」を備えている。この第３実施形態では、特に、人間に対する「表示」という概念はすべて操作機器５１に対する「提示」という概念に置き換えられる。「提示」という用語は「表示」を含む上位概念の用語である。また人間に対する「キー入力操作」という概念はすべて操作機器５１に対する「意思伝達」という概念に置き換えられる。「意思伝達」という用語は人間に対する「キー入力操作」および機械に対する「操作情報入力」を含む上位概念の用語である。
操作機器５１は、提示実行部１２Ａから提示される情報に基づき端末１０の状況を確認する。操作機器５１が提示実行部１２Ａを介して端末１０の状況を確認する仕方としては例えば、次の例を挙げることができる。
（１）通信プロトコルに代って端末１０の提示データを受信する。
（２）端末１０の特定のＡＰＩ（Application Programming Interface）を実行することにより端末１０の提示データを得る。
（３）端末１０の特定端子における電圧変化による出力の違い（例えば５Ｖを許可、０Ｖを拒否とする等）から提示データを得る。
また操作機器５１は、意思伝達部１１Ａを介して端末１０に対して操作のための指示情報を伝える。すなわち、操作機器５１の操作のための意思情報が端末１０に与えられる。そのため、前述したキー入力操作部１１は操作者（ユーザＡ）の操作意思に基づき操作される手段であり、意思伝達部１１Ａは操作機器５１の操作指示意思に基づき操作される手段である。
その他の構成については、第１実施形態において図１を参照して説明した要素と実質的に同一であるので、同一の要素には同一の符号を付し、説明を省略する。
第３実施形態に係る個別情報保護システムにおいて、図５で説明された２台の端末同士の間での「個別情報」の保護するための処理動作の流れでは、ユーザＡ，Ｂの代わりに、各々の端末１０，２２における上記の操作機器５１がその機能を自動的に実行する。

［第４実施形態］
本発明の第４実施形態に係る個別情報保護システムは、図６〜図８で説明した第２実施形態に係る個人情報保護システムに対して上記の第３実施形態で説明された特徴的な構成と同様な構成を適用することによって、本来の「個別情報保護システム］として構成される。第４実施形態に係る個別情報保護システムによれば、個人情報ではなく、端末１０を操作する操作機器の個別情報を保護することが可能となる。

［第５実施形態］
次に図１０と図１１を参照して本発明の第５実施形態に係る個別情報保護システムを説明する。第５実施形態に係る個別情報保護システムは、第１実施形態に係る個人情報保護システムの変形例である。第５実施形態では、図１０に示すように、図１に示した構成を有する端末１０において、メモリ１６には、前述したプログラムＰ１１〜Ｐ１４に加えて、データ暗号化プログラムＰ２１とデータ復号プログラムＰ２２が記憶されている。これらのプログラムＰ２１，Ｐ２２には例えば市販の既知のソフトウェアが用いられる。そのため、図１０に示すように、端末１０内の機能部として、先に図３で示した機能要素に対して、データ暗号化プログラムＰ２１に基づくデータ暗号化処理部３５と、データ復号プログラムＰ２２に基づくデータ復号処理部３６が付加されている。データ暗号化処理部３５は例えば送信部１４の出力側に配置されており、データ復号処理部３６は受信部１５の入力側に配置されている。なお、データ暗号化処理部３５はアクセス制御装置３２と送信部１４との間に配置することもでき、データ復号処理部３６は受信部１５と認証装置３１との間、または認証装置３１とアクセス制御装置３２との間に配置することもできる。

端末１０におけるその他の構成については、第１実施形態において図１および図３を参照して説明した要素と実質的に同一であるので、同一の要素には同一の符号を付し、説明を省略する。

なお、上記の第５実施形態の構成例によれば、データ暗号化プログラムＰ２１に基づくデータ暗号化処理部３５、およびデータ復号プログラムＰ２２に基づくデータ復号処理部３６という別々の構成（公開鍵暗号方式）としたが、共通鍵暗号方式の場合を考慮して、データの暗号化および復号については次のように構成することもできる。
第１には、構成要素として別々に設けた上記の「データ暗号化処理部３５」と「データ復号処理部３６」の各々に同一の「暗号化／復号プログラム」を実装することである。
第２には、「データ暗号化処理部」と「データ復号処理部」を「暗号化・復号処理部」として一体化し、１つの処理要素として構成し、当該「暗号化・復号処理部」に「暗号化／復号プログラム」を実装することである。

前述した第１から第４の実施形態では、特別な暗号処理技術を施すことなく個人情報（個別情報）の保護を実現している。この保護方法では、端末同士での情報制御を実現する場合には適切に成立するが、通信中のデータを悪意ある第三者に盗聴される場合には情報制御ができなくなる。そこでこのような課題を解決する観点で、第５実施形態に係る個人情報保護システムの構成によれば、情報漏洩を防ぐ目的で端末同士間で暗号化処理を実施するように構成している。この第５実施形態に係る個人情報保護システムの構成では、端末１０において送信する前の段階で個人情報をデータ暗号化処理部３５により暗号化し、相手端末に送信する場合に暗号化データを送信する。なお、端末同士間の通信経路を暗号化し、暗号化されていないデータを送信するように構成することもできる。

本発明の第５実施形態に係る個別（個人）情報保護システムにおけるデータの暗号化の処理に関する構成は、前述した第２から第４の実施形態に係る個別情報保護システム（個人情報保護システム）に適用して構成することもできるのは勿論である。

以上の実施形態で説明された構成、配置関係、および仕組みについては本発明が理解・実施できる程度に概略的に示したものにすぎない。従って本発明は、説明された実施形態に限定されるものではなく、特許請求の範囲に示される技術的思想の範囲を逸脱しない限り様々な形態に変更することができる。

本発明に係る個別情報保護システムは、少なくとも２台の端末同士が通信系を経由して個別情報（個人情報を含む）の送受を行う場合に各端末に個別情報を制御する仕組みを設けて個別情報の保護のシステムを簡素に構成することに利用される。

１０ 端末
１１ キー入力操作部
１１Ａ 意思伝達部
１２ 表示部
１２Ａ 提示実行部
１３ ＣＰＵ
１４ 送信部
１５ 受信部
１６ メモリ
１６Ａ データ保存部
２１ 通信系
２２ 他の端末
３１ 認証装置
３２ アクセス制御装置（アクセス管理装置）
３３ データ保存時間記録部
３４ データ表示時間記録部
３５ データ暗号化プログラム
３６ データ復号プログラム
４３ データ構造
５１ 操作機器
Ｐ１１ 認証プログラム
Ｐ１２ アクセス制御プログラム（データ管理プログラム）
Ｐ１２−１ アクセス制御結果保持プログラム
Ｐ１３ データ保存時間記録プログラム
Ｐ１４ データ表示時間記録プログラム
Ｐ２１ データ暗号化プログラム
Ｐ２２ データ復号プログラム

Claims (11)

1. 通信系を介して少なくとも２台の端末同士で個別情報を送受するように構成され、一方の前記端末は個別情報送信先の端末でありかつ他方の前記端末は個別情報送信元の端末である通信システムにおいて、
   前記個別情報を提供された前記一方の端末は、
   受信した前記個別情報を保存する耐タンパー性のデータ保存部と、
   前記個別情報を受信した時からの経過時間を計時して記録するデータ保存時間記録手段と、
   前記データ保存部から前記個別情報を読み取るとき、前記経過時間が参照可能時間を超えない場合に前記個別情報の読取りを許可し、それ以外の場合に前記個別情報の読取りを拒否するという判断を行う判断手段と、
   前記判断手段が前記個別情報の読取りを許可すると判断したとき、前記個別情報を提示部に提示する提示実行手段と、
   を備えることを特徴とする個別情報保護システム。
2. 前記一方の端末は、前記判断手段が前記個別情報の読取りを拒否すると判断したとき、前記個別情報を提供した前記他方の端末に対して前記個別情報参照のアクセス通知を送信するアクセス制御手段を備え、
   個別情報送信元である前記他方の端末は、前記アクセス通知を受信した後に、提示部に提示された前記アクセス通知に係る情報を参照して意思伝達部を介して与えられた回答要否の指令に基づき、アクセス許可通知またはアクセス拒否通知を前記端末に送信するアクセス制御手段を備える、
   ことを特徴とする請求項１記載の個別情報保護システム。
3. 前記他方の端末における前記アクセス制御手段は、
   前記アクセス通知を受信したとき自動的に拒否判断を実行する手段と、
   前記アクセス通知に係る前記情報としてアクセス拒否通知と許可通知の要否問合せのメッセージを前記提示部に提示し、かつ参照確認通知先に係る情報をそのデータ保存部に保存する手段と、
   を含むことを特徴とする請求項２記載の個別情報保護システム。
4. 前記アクセス拒否通知は、自動的な前記拒否判断に基づき前記一方の端末に応答せず、前記一方の端末では応答がないことで拒否と判断することにより実行されることを特徴とする請求項３記載の個別情報保護システム。
5. 前記アクセス拒否通知は、自動的な前記拒否判断に基づき前記一方の端末に自動的に拒否通知を行い、前記一方の端末では前記拒否通知を受けることで拒否と判断することにより実行されることを特徴とする請求項３記載の個別情報保護システム。
6. 前記アクセス拒否通知は、自動的な前記拒否判断に基づき前記一方の端末に自動的に拒否通知を行い、前記一方の端末では前記拒否通知を受けないことで拒否と判断することにより実行されることを特徴とする請求項３記載の個別情報保護システム。
7. 前記アクセス許可通知を行うとき、前記データ保存部に保存された前記参照確認通知先に係る情報が利用されることを特徴とする請求項３記載の個別情報保護システム。
8. 前記一方の端末は、前記他方の端末からの通知内容が前記アクセス許可通知であるかまたは前記アクセス拒否通知であるかを判断する他の判断手段を備え、
   前記他の判断手段が前記アクセス許可通知であると判断したとき、前記提示実行手段は前記個別情報を前記提示部に提示することを特徴とする請求項２記載の個別情報保護システム。
9. 前記個別情報は付随するアクセス制御データを有し、前記アクセス制御データは前記参照可能時間に係るデータを含むことを特徴とする請求項１〜８のいずれか１項に記載の個別情報保護システム。
10. 前記一方の端末は、前記個別情報を前記提示部に提示した時からの提示時間を計時して記録するデータ提示時間記録手段を有し、
    前記提示実行手段は、前記提示時間が予め設定された連続提示時間を超えた場合に、前記個別情報の提示を消す提示消去手段を備えることを特徴とする請求項１〜９のいずれか１項に記載の個別情報保護システム。
11. 前記端末が人的操作で操作されるように構成されるとき、前記個別情報は個人情報であり、前記提示部は表示部であり、前記提示実行手段は表示実行手段であることを特徴とする請求項１〜１０のいずれか１項に記載の個別情報保護システム。

Images