特許 7287207 情報処理装置、制御プログラムおよび制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-05-29

(45)【発行日】2023-06-06

(54)【発明の名称】情報処理装置、制御プログラムおよび制御方法

(51)【国際特許分類】

   G06F 21/62 20130101AFI20230530BHJP

   G06F 21/64 20130101ALI20230530BHJP

【ＦＩ】

G06F21/62 345

G06F21/64

【請求項の数】 9

(21)【出願番号】P 2019167507

(22)【出願日】2019-09-13

(65)【公開番号】P2021043892

(43)【公開日】2021-03-18

【審査請求日】2022-06-09

(73)【特許権者】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】110003649

【氏名又は名称】弁理士法人真田特許事務所

(74)【代理人】

【識別番号】100092978

【弁理士】

【氏名又は名称】真田 有

(74)【代理人】

【識別番号】100189201

【弁理士】

【氏名又は名称】横田 功

(72)【発明者】

【氏名】坂本 拓也

(72)【発明者】

【氏名】二村 和明

【審査官】宮司 卓佳

(56)【参考文献】

【文献】国際公開第２０１８／１３８９００（ＷＯ，Ａ１）

【文献】特開２００７－１８８２６２（ＪＰ，Ａ）

【文献】国際公開第２０１８／２１６３５８（ＷＯ，Ａ１）

【文献】特開２００５－０１０８３０（ＪＰ，Ａ）

【文献】特開２０１７－０４９６９３（ＪＰ，Ａ）

【文献】特開２００５－１３５４３１（ＪＰ，Ａ）

【文献】特開２０１１－１１８５９２（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／６０－２１／６４

(57)【特許請求の範囲】

【請求項1】

パーソナルデータ由来者に関するパーソナルデータを受信するパーソナルデータ受信部と、
前記パーソナルデータ由来者と前記パーソナルデータを利用するパーソナルデータ利用者との間で合意されたパーソナルデータの加工法に関する合意情報を受信する合意情報受信部と、
前記パーソナルデータに対して前記合意情報に規定される加工法で加工を行なう加工処理部と、
前記加工処理部による加工済データに電子署名を付与して出力する加工済データ出力部と
を備えることを特徴とする、情報処理装置。

【請求項2】

受信した前記パーソナルデータの正当性を検証するパーソナルデータ検証部を備え、
前記パーソナルデータ検証部による検証の結果、前記パーソナルデータの正当性が確認された場合に、前記加工処理部が前記パーソナルデータの加工を行なう
ことを特徴とする、請求項１記載の情報処理装置。

【請求項3】

複数種類の加工プログラムを格納する加工プログラム記憶部を備え、
前記加工処理部が、前記合意情報に対応する加工プログラムを用いて前記パーソナルデータの加工を行なう
ことを特徴とする、請求項１または２記載の情報処理装置。

【請求項4】

前記加工済データについての電子証明書を作成する証明書作成部を備え、
前記加工済データ出力部が、前記加工済データに前記電子証明書を付して出力する
ことを特徴とする、請求項１～３のいずれか１項に記載の情報処理装置。

【請求項5】

前記加工済データ出力部が、前記加工済データを前記パーソナルデータ由来者が用いる第２の情報処理装置に送信し、
前記第２の情報処理装置が、前記加工済データを、前記加工済データを用いて処理を行なう第３の情報処理装置に送信する
ことを特徴とする、請求項１～４のいずれか１項に記載の情報処理装置。

【請求項6】

前記加工済データ出力部が、前記加工済データを記憶装置に格納し、
前記記憶装置に格納された前記加工済データにアクセスするための第１アクセス情報を含む第１チケットを発行する第１チケット発行部を備え、
前記第３の情報処理装置が、前記第１チケットの前記第１アクセス情報を用いて、前記記憶装置から前記加工済データを取得する
ことを特徴とする、請求項５に記載の情報処理装置。

【請求項7】

前記パーソナルデータを格納するパーソナルデータ格納部と、
第２チケット発行部によって発行された、前記パーソナルデータ格納部に格納された前記パーソナルデータにアクセスするための第２アクセス情報を含む第２チケットを受信するチケット受信部と
を備え、
前記パーソナルデータ受信部が、前記第２チケットの前記第２アクセス情報を用いて、前記パーソナルデータ格納部から前記パーソナルデータを取得する
ことを特徴とする、請求項１～６のいずれか１項に記載の情報処理装置。

【請求項8】

パーソナルデータ由来者に関するパーソナルデータを受信し、
前記パーソナルデータ由来者と前記パーソナルデータを利用するパーソナルデータ利用者との間で合意されたパーソナルデータの加工法に関する合意情報を受信し、
前記パーソナルデータに対して前記合意情報に規定される加工法で加工を行ない、
前記加工により作成した加工済データに電子署名を付与して出力する
処理をコンピュータに実行させる制御プログラム。

【請求項9】

パーソナルデータ由来者に関するパーソナルデータを受信する処理と、
前記パーソナルデータ由来者と前記パーソナルデータを利用するパーソナルデータ利用者との間で合意されたパーソナルデータの加工法に関する合意情報を受信する処理と、
前記パーソナルデータに対して前記合意情報に規定される加工法で加工を行なう処理と、
前記加工により作成した加工済データに電子署名を付与して出力する処理と
をコンピュータが実行することを特徴とする、制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置、制御プログラムおよび制御方法に関する。

【背景技術】

【0002】

近年、クラウドコンピュータシステムには、さまざまな個人データが収集されており、ＩｏＴ（Internet of Things）と呼ばれるムーブメントの進展により、センサなどからより多くの個人データが収集される傾向にある。集められた個人データを元に様々なサービスが提供される。

【0003】

一方、集められた個人データについては、その個人が制御できる権利を持つべきだという考えがある。例えば、ＥＵ（European Union）では、ＧＤＰＲ（General Data Protection Regulation：EU一般データ保護規則）という規則を作り、他のサービスにその個人データを提供できるようにすることをデータポータビリティとして義務付けている。

【0004】

個人が自身のデータを制御できるようになると、例えば、ＣｔｏＢ（Consumer to Business）でそのデータをサービス事業者に売ることが可能になり、また、データを提供されることを前提にしたサービスが世の中に増えて、データ活用が広がると考えられる。例えば、車の運転データをもとに保険料率の見積もりを行なうテレマティクス保険が知られているが、同様のサービスが増加すると考えられる。テレマティクス保険においては、例えば、自動車に取りつけた測定機器により走行距離やドライバーの運転特性を測定・送信し、そのデータを収集・分析することで個別のリスクに応じて保険料が決定される。

【0005】

なお、あるサービスが持つユーザのデータを、ユーザの同意に基づいて他のサービスに提供する仕組みとして、例えばＯＡｕｔｈが知られている。

【0006】

ここで、ユーザは、未加工のデータ（以下、生データという場合がある）をサービス事業者等に渡したくない一方で、サービス事業者にとっても受け取るデータは生データである必要がない場合がある。

【0007】

あるサービス事業者が持つデータが個人データであり、この個人データを様々なサービスに活用しようと考えた場合、そのサービス事業者をどの程度信頼できるかのレベルはサービス事業者等によって異なる。そのため、信頼のレベルにより、個人データをサービス事業者に生データのままで渡すのは心配だが、それに含まれるいくつかの情報を取り除く等の加工を行なった上でなら提供してもいいということがある。

【0008】

例えば、運転データにアクセルやブレーキ状態の情報だけでなく、正確な位置情報も含まれているような場合、アクセルやブレーキ状態の情報は提供してもよいが位置情報は提供したくないといった場合である。

【0009】

一方で、サービス事業者において、加工された状態でもサービスが提供できると残された情報のみでもサービスを提供可能である場合もある。例えば、上述したテレマティクス保険においては、位置情報がなくてもアクセルやブレーキ状態の情報のみで運転の荒さなどを検証して保険料率の見積もり結果を変更することが可能である。

【0010】

また、その代わり、運転データに加えて運転者の年齢情報といった別のデータを組み合わせることが望まれるかもしれない。すなわち、単一のデータだけでは不十分であり、複数のデータを組み合わせた上での提供が望まれる場合がある。このようなデータの提供は、例えば、あるサービスのデータをユーザがデータを加工した上でそのサービスに提供することで可能となる。

【先行技術文献】

【特許文献】

【0011】

【文献】特開２０１８－１２８９１３号公報

【文献】特開２０１６－８５６７６号公報

【文献】特開２００５－２５７３５号公報

【文献】米国特許出願公開第２００４／０２５４８１７Ａ１号明細書

【発明の概要】

【発明が解決しようとする課題】

【0012】

しかしながら、データを利用するサービス事業者が、ユーザが加工したデータをユーザから受信する場合には、ユーザが不正なデータを利用したり、正常なデータに不適切な加工をすることで、サービス業者は異常なデータを受け取るおそれがある。

【0013】

ユーザが不適切な加工を行なったデータをサービス事業者に提供した場合には、サービス事業者はそれを利用して正常なサービスを提供することは困難である。また、サービス事業者において、ユーザによって行なわれた加工方法がわかったとしても、正しいデータが加工に使われたのかは加工された後のデータを見てもわからない。ユーザが不正なデータに基づくデータを提供した場合においても、サービス事業者は正当なサービスを提供することは困難である。

【0014】

１つの側面では、本発明は、パーソナルデータを有効に活用できるようにすることを目的とする。

【課題を解決するための手段】

【0015】

このため、この情報処理装置は、パーソナルデータ由来者に関するパーソナルデータを受信するパーソナルデータ受信部と、前記パーソナルデータ由来者と前記パーソナルデータを利用するパーソナルデータ利用者との間で合意されたパーソナルデータの加工法に関する合意情報を受信する合意情報受信部と、前記パーソナルデータに対して前記合意情報に規定される加工法で加工を行なう加工処理部と、前記加工処理部による加工済データに電子署名を付与して出力する加工済データ出力部とを備える。

【発明の効果】

【0016】

一実施形態によれば、パーソナルデータを有効に活用することができる。

【図面の簡単な説明】

【0017】

【図1】第１実施形態の一例としてのデータ加工システムの構成を模式的に示す図である。

【図2】第１実施形態の一例としてのデータ加工システムのユーザ端末の機能構成を例示する図である。

【図3】第１実施形態の一例としてのデータ加工システムの加工サーバの機能構成を例示する図である。

【図4】第１実施形態の一例としてのデータ加工システムにおける処理の概要を説明するための図である。

【図5】第１実施形態の一例としてのデータ加工システムにおける加工サーバによる処理の詳細を説明するための図である。

【図6】第２実施形態の一例としてのデータ加工システムのユーザ端末の機能構成を例示する図である。

【図7】第２実施形態の一例としてのデータ加工システムの加工サーバの機能構成を例示する図である。

【図8】第２実施形態の一例としてのデータ加工システムにおける処理の概要を説明するための図である。

【図9】第２実施形態の一例としてのデータ加工システムにおける加工サーバによる処理の詳細を説明するための図である。

【図10】第１実施形態および第２実施形態の一例としてのデータ加工システムの加工サーバのハードウェア構成を例示する図である。

【図11】第１実施形態および第２実施形態の一例としてのデータ加工システムのユーザ端末のハードウェア構成を例示する図である。

【発明を実施するための形態】

【0018】

以下、図面を参照して本情報処理装置、制御プログラムおよび制御方法に係る実施の形態を説明する。ただし、以下に示す実施形態はあくまでも例示に過ぎず、実施形態で明示しない種々の変形例や技術の適用を排除する意図はない。すなわち、本実施形態を、その趣旨を逸脱しない範囲で種々変形（実施形態および各変形例を組み合わせる等）して実施することができる。また、各図は、図中に示す構成要素のみを備えるという趣旨ではなく、他の機能等を含むことができる。

【0019】

（Ｉ）第１実施形態の説明
（Ａ）構成

【0020】

図１は第１実施形態の一例としてのデータ加工システム１の構成を模式的に示す図である。

【0021】

図１に例示するデータ加工システム１は、サービス提供サーバ３０，リソースサーバ４０－１，４０－２，加工サーバ１０およびユーザ端末２０を備える。これらのサービス提供サーバ３０，リソースサーバ４０－１，４０－２，加工サーバ１０およびユーザ端末２０は、ネットワーク５０を介して相互に通信可能に接続されている。ネットワーク５０は、例えば、ＬＡＮ（Local Area Network）である。ネットワーク５０は、ＬＡＮ等を用いて構築されたクラウドネットワークであってもよい。

【0022】

［リソースサーバ４０］
リソースサーバ４０－１，４０－２は、サーバ機能を備えるコンピュータである。リソースサーバ４０－１，４０－２は、それぞれ記憶装置４１を備える。これらの記憶装置４１には、ユーザ端末２０を用いるユーザ（以下、単にユーザという）のデータ（パーソナルデータ，ユーザデータ）が格納される。ユーザはパーソナルデータであるユーザデータの由来者（パーソナルデータ由来者）に相当する。また、リソースサーバ４０は、ユーザデータを格納するパーソナルデータ格納部に相当する。

【0023】

以下、２つのリソースサーバ４０－１，４０－２を特に区別しない場合には、リソースサーバ４０と表記する。

【0024】

複数のリソースサーバ４０には、それぞれ識別情報であるユニークなデータ元ＩＤが予め設定されており、このデータ元ＩＤを用いることで複数のリソースサーバ４０の中から特定のリソースサーバ４０を特定することができる。また、データ元ＩＤを符号ＩＤｒを用いて表す場合がある。

【0025】

リソースサーバ４０の記憶装置４１に格納されるユーザデータには、ユーザデータを特定する識別情報であるデータＩＤ（Identification）が予め設定されている。

【0026】

データ元ＩＤおよびデータＩＤを用いることで、リソースサーバ４０に格納されているユーザデータを一意に特定することができる。

【0027】

リソースサーバ４０は、ユーザ端末２０から、データ元ＩＤおよびデータＩＤを用いて特定されるユーザデータの取得要求を受信すると、データＩＤによって特定されるユーザデータを記憶装置４１から読み出し、取得要求の送信元のユーザ端末２０に送信する。また、リソースサーバ４０は、送信するユーザデータに、当該ユーザデータのデータＩＤおよびデータ元ＩＤ（ＩＤｒ）を付加する。そして、リソースサーバ４０は、これらのユーザデータ，データＩＤおよびデータ元ＩＤに対して、当該リソースサーバ４０の秘密鍵を用いた電子署名ｒを付加して、ユーザ端末２０に送信する。

【0028】

これにより、ユーザデータの偽造や改ざんを防止することができる。なお、ユーザデータに対する電子署名ｒの付加は、既知の種々の手法を用いて実現することができ、その説明は省略する。

【0029】

この電子署名ｒには、ユーザデータの所有者であるユーザを特定するユーザＩＤを含めてもよく、これにより正当なユーザのユーザデータであることを確実に保証することができる。

【0030】

図１に示す例においては２つのリソースサーバ４０－１，４０－２および２つの記憶装置４１を図示しているが、これに限定されるものではない。すなわち、１つもしくは３つ以上のリソースサーバ４０を備えてもよく、１つもしくは３つ以上の記憶装置４１を備えてもよい。

【0031】

［サービス提供サーバ３０］
サービス提供サーバ３０は、例えば、サービス提供業者によって運用されるサーバコンピュータであり、ユーザ端末２０を使用するユーザのデータを用いてサービスを提供する。サービス提供者は、パーソナルデータを利用するパーソナルデータ利用者に相当する。

【0032】

例えば、サービス提供業者がテレマティクス保険を提供する場合には、サービス提供サーバ３０は、自動車に搭載された測定機器によって収集されたユーザの運転データ（アクセルやブレーキ状態の情報）を分析することで個別のリスクに応じた保険料を決定する。

【0033】

サービス提供サーバ３０は、後述するユーザ端末２０（ユーザアプリケーション２００）を介して、ユーザに対して、ユーザがサービス提供事業者（サービス提供サーバ３０）にユーザに関するデータを提供することで、より好ましいサービスを提供することが可能である旨を伝えてもよい。

【0034】

サービス提供サーバ３０は、ユーザ端末２０に対してユーザデータの要求を行ない、この要求に対して応答されたユーザデータに対して処理を行ない、サービスの提供を行なう。

【0035】

このサービス提供サーバ３０からユーザ端末２０に対するユーザデータの要求には、要求するユーザデータを特定する情報として、データＩＤおよびデータ元ＩＤが含まれる。これらのデータＩＤおよびデータ元ＩＤは加工前データの情報に相当する。これらのデータ元ＩＤおよびデータＩＤで、どのデータ所有者（リソースサーバ４０）が持つどのユーザデータを加工に利用するのかを識別できる。

【0036】

また、サービス提供サーバ３０は、ユーザ端末２０にユーザデータの要求を行なう際に、後述する加工サーバ１０によって提供される複数種類のデータ加工プログラムの中からユーザデータの加工に許容するデータ加工プログラムを選択してユーザ端末２０に提示する。そして、サービス提供サーバ３０は、ユーザに対して、これらの提示したデータ加工プログラムの中からユーザがユーザデータに対して適用を許可する加工（データ加工プログラム）を選択させる。

【0037】

後述の如く、加工サーバ１０において管理される複数種類のデータ加工プログラムにはデータ加工プログラムを一意に特定するプログラムＩＤが設定（採番）されている。このプログラムＩＤにより、ユーザデータに対してどのデータ加工プログラムで加工するかを識別できる。

【0038】

サービス提供サーバ３０は、ユーザ端末２０に対するユーザデータの要求とともに、複数のプログラムＩＤを選択肢として提示する。以下、サービス提供サーバ３０からユーザ端末２０に送信されるユーザデータの要求に含まれる、複数のプログラムＩＤをプログラムＩＤ群という場合がある。

【0039】

すなわち、サービス提供サーバ３０は、ユーザ端末２０に対して、ユーザデータの要求として、プログラムＩＤ群，データ元ＩＤおよびデータＩＤのセットを提供する。

【0040】

また、サービス提供サーバ３０は、ユーザ端末２０から受信した加工済データに付加された電子署名ｐを検証するとともに、ユーザ端末２０から受信したデータに自身が合意したプログラムＩＤ，データ元ＩＤ，データＩＤが含まれていることを確認する。

【0041】

サービス提供サーバ３０においては、加工済データに付加されたデータ元ＩＤおよびデータＩＤを検証することで、要求したユーザデータを受信したかを把握することができる。また、加工済データに付加されたプログラムＩＤを検証することで、ユーザデータに、自身がユーザデータの加工に許容したデータ加工プログラムが適用されたかを把握することができる。すなわち、サービス提供サーバ３０において、要求する条件を満たす加工済データを受け取れたことを確認できる。

【0042】

なお、サービス提供サーバ３０としての機能は、既知の種々の手法を用いて実現することができ、その説明は省略する。

【0043】

［ユーザ端末２０］
図２は第１実施形態の一例としてのデータ加工システム１のユーザ端末２０の機能構成を例示する図である。

【0044】

ユーザ端末２０は、加工指示部２０１，加工済データ受信部２０４および加工済データ送信部２０５としての機能を備える。これらの加工指示部２０１，加工済データ受信部２０４および加工済データ送信部２０５としての機能は、ユーザ端末２０に備えられたプロセッサ２１（図１１参照）がユーザアプリケーション２００を実行することにより実現される。

【0045】

ユーザアプリケーション２００は、ネットワーク５０を介してサービス提供サーバ３０にアクセスする。サービス提供サーバ３０へのデータアクセスは、ウェブブラウザを介して行なってもよい。以下、ユーザアプリケーション２００をユーザアプリ２００という場合がある。

【0046】

加工指示部２０１は、加工サーバ１０に対してユーザデータの加工を指示する。加工指示部２０１は、加工方法選択処理部２０２およびデータ取得部２０３としての機能を備える。

【0047】

加工方法選択処理部２０２は、ユーザデータに対して加工を行なうデータ加工プログラムをユーザに選択させる。例えば、加工方法選択処理部２０２は、ユーザデータの要求に含まれるプログラムＩＤ群によって特定される各データ加工プログラムを、ユーザ端末２０のモニタ２４ａ（図１１参照）にユーザインタフェースを介して選択肢として表示させる。この際、加工方法選択処理部２０２は、各データ加工プログラムについて説明するプログラム情報を加工サーバ１０から受信し、このプログラム情報を、各データ加工プログラムに対応させて表示する。

【0048】

プログラム情報は、ユーザが合意情報を形成する際の参考情報として利用されるものであり、当該データ加工プログラムによりユーザデータにどのような加工がされるかを示す情報である。プログラム情報は、例えば、自身のプライバシー情報の一部がユーザデータ内に含まれなくなることを、ユーザが理解することができる文章として作成される。

【0049】

加工方法選択処理部２０２（ユーザアプリ２００）は、ユーザデータをサービス提供サーバ３０に提供してよいかをユーザに確認してもよい。また、加工方法選択処理部２０２は、プログラムＩＤに基づいて加工サーバ１０からプログラム情報を取得して、そのプログラム情報をユーザに提示することで、ユーザデータをデータ加工プログラムで加工することの是非をユーザに確認してもよい。

【0050】

ユーザは、ユーザ端末２０において、ディスプレイに表示されたプログラム情報を参照して、選択肢として選択されたデータ加工プログラムの中から、ユーザデータに対して適用するデータ加工プログラムを選択する。なお、一つのユーザデータに対して２つ以上のデータ加工プログラムを選択させてもよい。

【0051】

すなわち、加工方法選択処理部２０２は、サービス提供者が、要求するユーザデータに対して適用することをサービス提供者が合意したデータ加工プログラムを示す。

【0052】

また、加工方法選択処理部２０２においては、プログラム情報をユーザに提示するに際して、ユーザによる、キーボード２５ａやマウス２５ｂ（図１１参照）を用いたプログラム情報に対する文字列検索を可能としてもよい。

【0053】

加工指示部２０１は、加工サーバ１０に対して、ユーザによって選択されたプログラムＩＤを通知する。なお、以下、ユーザによって選択されたプログラムＩＤをプログラムＩＤｋと表す場合がある。

【0054】

データ取得部２０３は、サービス提供サーバ３０から受信したユーザデータの要求に基づき、リソースサーバ４０から加工対象のユーザデータ（加工前データ）を取得する。データ取得部２０３は、サービス提供サーバ３０から受信したユーザデータの要求に含まれるデータ元ＩＤによってリソースサーバ４０を特定する。データ取得部２０３は、この特定したリソースサーバ４０に対して、ユーザデータの要求に含まれるデータＩＤによって特定されるユーザデータの送信要求を行なう。このリソースサーバ４０へのユーザデータの送信要求はデータＩＤを用いて行なってもよい。

【0055】

また、データ取得部２０３は、リソースサーバ４０に対してユーザデータの由来者であるユーザを特定するユーザＩＤを指定することでユーザデータを取得してもよい。ユーザＩＤを用いることにより、複数のユーザがいる場合であっても要求するユーザデータを容易に取得することができる。

【0056】

データ取得部２０３は、ユーザデータの送信要求に応じてリソースサーバ４０から応答されるユーザデータを受信し、図示しない記憶装置に記憶させる。

【0057】

なお、データ取得部２０３がリソースサーバ４０へアクセスするために、ユーザアプリ２００は、データ元ＩＤｒとリソースサーバ４０のアドレスとを対応付けたアクセス情報を予め備えてもよい。また、ユーザアプリ２００は、このようなアクセス情報を、当該ユーザアプリ２００が連携する図示しない他のサーバコンピュータ（クラウドサーバ）などから取得してもよい。

【0058】

加工指示部２０１は、データ取得部２０３がリソースサーバ４０から受信したユーザデータを、加工サーバ１０に送信する。加工指示部２０１は、加工サーバ１０に対して、ユーザデータ，当該ユーザデータのデータＩＤ，データ元ＩＤ（ＩＤｒ），プログラムＩＤｋを加工指示情報として通知する。

【0059】

この加工指示情報のうち、データＩＤ，データ元ＩＤ（ＩＤｒ），プログラムＩＤｋは、ユーザデータに対するデータ加工プログラムによる加工に対する合意内容を示す合意情報に相当する。

【0060】

合意情報は、データ元ＩＤ（ＩＤｒ）およびデータＩＤの組み合わせと、プログラムＩＤｋとを含む。加工指示部２０１は、合意情報とユーザデータとを加工サーバ１０に送信する。

【0061】

また、加工指示情報（合意情報）を加工サーバ１０に送信するに際して、加工指示部２０１は、特にユーザデータ，データＩＤおよびデータ元ＩＤｒに対して、リソースサーバ４０から送信された署名ｒを付して加工サーバ１０に送信する。

【0062】

なお、データ取得部２０３がリソースサーバ４０からユーザデータを取得するタイミングは適宜変形して実施することができる。例えば、加工指示部２０１において合意情報が作成された後にユーザデータの取得を行なってもよく、また、合意情報が作成される前に、ユーザがリソースサーバ４０から予め取得しておき、ユーザ端末２０の図示しない記憶装置等ユーザが記憶させておいてよい。

【0063】

加工済データ受信部２０４は、加工サーバ１０においてデータ加工プログラム（ＩＤｋ）によって加工されたユーザデータを受信する。以下、加工サーバ１０においてデータ加工プログラム（ＩＤｋ）によって加工されたユーザデータを加工済データという場合がある。なお、加工サーバ１０から送信される加工済データには、プログラムＩＤｋ，データＩＤおよびデータ元ＩＤｒおよびサーバＩＤ（ＩＤｐ）が付加されている。

【0064】

なお、サーバＩＤは加工サーバ１０を特定する識別情報である。特に、ユーザデータに対して加工を行なった加工サーバ１０のサーバＩＤをサーバＩＤｐと表す場合がある。

【0065】

そして、これらの加工済データ，プログラムＩＤｋ，データＩＤおよびデータ元ＩＤｒおよびサーバＩＤ（ＩＤｐ）は、加工サーバ１０による電子署名ｐが付加されている。

【0066】

これにより、加工済データ等の偽造や改ざんを防止することができる。なお、これらの加工済データ，プログラムＩＤｋ，データＩＤ，データ元ＩＤｒおよびサーバＩＤ（ＩＤｐ）に対する電子署名ｐの付加は、既知の種々の手法を用いて実現することができ、その説明は省略する。

【0067】

この電子署名ｐには、ユーザデータの所有者であるユーザを特定するユーザＩＤを含めてもよく、これにより正当なユーザのユーザデータであることを確実に保証することができる。

【0068】

加工済データ送信部２０５は、加工サーバ１０から受信した加工済データをサービス提供サーバ３０に送信する。

【0069】

加工済データ送信部２０５は、加工済データに、プログラムＩＤｋ，データ元ＩＤｒおよびサーバＩＤｐを付与してサービス提供サーバ３０に送信する。また、加工済データ送信部２０５は、これらの加工済データ，プログラムＩＤｋ，データ元ＩＤｒおよびサーバＩＤｐに、加工サーバ１０による電子署名ｐを付加してサービス提供サーバ３０に送信する。

【0070】

これによっても、サービス提供サーバ３０に送信される加工済データ等の偽造や改ざんを防止することができる。

【0071】

また、この電子署名ｐにユーザを特定する識別情報であるユーザＩＤを含めてもよく、さらに、ユーザの電子署名を付加してもよい。これにより、例えば、サービス提供サーバ３０において、送信されたデータが当該ユーザのユーザデータであることを容易に把握することができる。

【0072】

［加工サーバ１０］
図３は第１実施形態の一例としてのデータ加工システム１の加工サーバ１０の機能構成を例示する図である。

【0073】

加工サーバ１０は、合意内容受信部１０１，ユーザデータ受信部１０２，データ／証明書送信部１０３，データ検証部１０４，証明書作成部１０５，加工方法選択処理部１０６，加工実行部１０７および加工プログラム管理部１０８を備える。

【0074】

加工プログラム管理部１０８は、ユーザデータに対して加工を行なうデータ加工プログラムを管理する。例えば、加工サーバ１０の記憶装置１３（図１０参照）には、複数種類のデータ加工プログラムが格納される。記憶装置１３は、複数種類のデータ加工プログラムを記憶する加工プログラム記憶部として機能する。

【0075】

また、加工プログラム管理部１０８は、各データ加工プログラムについてのプログラム情報も管理する。これらのプログラム情報も、記憶装置１３に格納されてよい。

【0076】

例えば、データ加工プログラムの開発者は、データ加工プログラムを開発した後、加工サーバ１０にプログラムをアップロードする。加工プログラム管理部１０８は、アップロードされたデータ加工プログラムにユニークなプログラムＩＤを設定する。また、開発者は、この際にデータ加工プログラムを説明するためのプログラム情報もアップロードしても良い。

【0077】

加工プログラム管理部１０８は、データ加工プログラムとプログラムＩＤとプログラム情報とを対応付けて管理する。これらは加工サーバ１０に備えられた記憶装置１３に保存してもよく、また、加工サーバ１０からアクセス可能な外部の記憶装置に保存してもよい。

【0078】

なお、サービス提供サーバ３０を管理するサービス提供者は、どのようなデータ加工プログラムがあるのかを知る必要がある。そのため、データ加工プログラムの開発者は、加工サーバ１０にアップロードしたデータ加工プログラムのプログラムＩＤとそのプログラムの内容とをサービス提供者に伝えることが望ましい。

【0079】

サービス提供者においては、加工サーバ１０にアクセスしてプログラム情報とプログラムＩＤとを取得して理解してもよい。また、サービス提供者がデータ加工プログラムの開発者となり、データ加工プログラムの作成および加工サーバ１０へのアップロードを行なうことで、データ加工プログラムの内容を理解してもよい。

【0080】

また、加工サーバ１０において、加工プログラム管理部１０８は、例えば外部装置等からプログラムＩＤによる指定を伴って行なわれるデータ加工プログラムの取得要求を受信してもよい。この場合、加工プログラム管理部１０８は、データ加工プログラムの取得要求に応じて、指定されたデータ加工プログラムを応答することが望ましい。これにより、第三者がデータ加工プログラムに不正が無いかの監査を容易に行なうことができ、信頼性を向上させることができる。

【0081】

合意内容受信部１０１は、ユーザ端末２０の加工指示部２０１から送信される合意情報（データＩＤ，データ元ＩＤ（ＩＤｒ），プログラムＩＤｋ）を受信する。受信した合意情報は、加工サーバ１０のメモリ１２や記憶装置１３の所定の記憶領域に記憶される。

【0082】

合意内容受信部１０１は、ユーザとサービス提供者（サービス提供サーバ３０）との間で合意されたユーザデータの加工法に関する合意情報（プログラムＩＤ，データ元ＩＤ，データＩＤ）を受信する合意情報受信部に相当する。

【0083】

ユーザデータ受信部１０２は、ユーザ端末２０の加工指示部２０１から送信されるユーザデータ（加工前データ）を受信する。ユーザデータ受信部１０２は、受信したユーザデータを加工サーバ１０のメモリ１２や記憶装置１３の所定の記憶領域に記憶させる。ユーザデータ受信部１０２は、パーソナルデータを受信するパーソナルデータ受信部に相当する。

【0084】

データ検証部１０４は、ユーザデータ受信部１０２によって受信されたユーザデータにリソースサーバ４０による電子署名ｒが付与されているかを検証する（第１の検証）。

【0085】

検証の結果、受信したユーザデータに電子署名ｒが付与されている場合に、後述する加工実行部１０７によるユーザデータへの加工が許可される。一方、受信したユーザデータに電子署名ｒが付与されていない場合には、データ検証部１０４は当該ユーザデータの加工を抑止するとともに、その旨示すエラー通知をユーザ端末２０等に対して行なってもよい。

【0086】

なお、データ検証部１０４による電子署名ｒの検証のために、データ元ＩＤと、リソースサーバ４０が電子署名に使用する秘密鍵に対応する公開鍵とを対応付けた情報を加工サーバ１０に記憶させてもよい。また、かかる情報を、加工サーバ１０ではなく、外部のクラウドサーバやブロックチェーンを用いて管理してもよい。

【0087】

また、データ検証部１０４は、合意内容受信部１０１が受信した合意情報とユーザデータ受信部１０２によって受信したユーザデータとの間で、データ元ＩＤおよびデータＩＤが一致することを確認する（第２の検証）。

【0088】

確認の結果、合意情報とユーザデータとの間でデータ元ＩＤおよびデータＩＤが一致した場合には、受信したユーザデータが、ユーザによって使用が合意された正当なものであると認定し、データ検証部１０４は、証明書作成部１０５にその旨の通知を行なう。また、確認の結果、合意情報とユーザデータとの間でデータ元ＩＤおよびデータＩＤが一致しない場合には、データ検証部１０４は当該ユーザデータを破棄するとともに、その旨をユーザ端末２０等に通知してもよい。

【0089】

データ検証部１０４は、受信したユーザデータの正当性を検証するパーソナルデータ検証部として機能する。

【0090】

加工方法選択処理部１０６は、合意情報に含まれるプログラムＩＤに対応するデータ加工プログラムを加工プログラム管理部１０８が管理する複数種類のデータ加工プログラムの中から選択して加工実行部１０７に通知する。

【0091】

加工実行部１０７は、加工方法選択処理部２０２によって選択されたデータ加工プログラムを実行して、データ検証部１０４によって正当であると認定されたユーザデータに対して処理（演算処理）を行なうことで、ユーザデータの加工を行なう。加工実行部１０７は、ユーザデータに対して合意情報に規定される加工法で加工を行なう加工処理部に相当する。

【0092】

加工実行部１０７は、データ検証部１０４による検証の結果、パーソナルデータの正当性が確認された場合に、ユーザデータの加工を行なう。

【0093】

証明書作成部１０５は、加工済データに付加する電子証明書を作成する。この電子証明書には、データ検証部１０４による検証で使用したデータ元ＩＤおよびデータＩＤと、加工方法選択処理部２０２によって選択されたデータ加工プログラムのプログラムＩＤｋとを含む。また、証明書作成部１０５は、これらの情報（データ元ＩＤ，データＩＤ，プログラムＩＤｋ）や加工済データの改ざんを防止するために、加工サーバ１０の秘密鍵により作成した電子署名（デジタル署名）を付加する。

【0094】

データ／証明書送信部１０３は、加工実行部１０７により加工された加工済データをユーザ端末２０に対して送信する。データ／証明書送信部１０３は、加工済データに、当該加工済データの作成に用いたデータ加工プログラムを特定するプログラムＩＤｋと、サーバＩＤｐと、加工済データの元になったユーザデータに関するデータＩＤおよびデータ元ＩＤｒを付加する。そして、データ／証明書送信部１０３は、これらの加工済データ，プログラムＩＤｋ，データＩＤおよびデータ元ＩＤｒおよびサーバＩＤ（ＩＤｐ）に電子署名ｐを付与して、ユーザ端末２０に送信する。これにより、加工済データ等の偽造や改ざんを防止する。

【0095】

データ／証明書送信部１０３は、加工実行部１０７による加工済データに電子署名を付与して出力する加工済データ出力部に相当する。

【0096】

（Ｂ）動作
上述の如く構成された第１実施形態の一例としてのデータ加工システム１における処理の概要を、図４を用いて説明する。

【0097】

ユーザ端末２０を用いるユーザは、サービス提供者との間で、提供するユーザデータとその加工方法についての合意を行なう（符号Ａ１）。すなわち、ユーザは、サービス提供者に提供するユーザデータについての提供許可と、当該ユーザデータの加工に用いるデータ加工プログラムの決定とを行なう。

【0098】

この合意に基づき、ユーザ端末２０の加工方法選択処理部２０２は、サービス提供サーバ３０に提供するユーザデータについて、データＩＤおよびデータ元ＩＤ（ＩＤｒ）と、ユーザデータに対して行なう加工についてのプログラムＩＤｋとを含む合意情報を作成する（符号Ａ２参照）。

【0099】

また、ユーザ端末２０のデータ取得部２０３は、リソースサーバ４０に対してユーザデータの取得要求を送信し（符号Ａ３参照）、リソースサーバ４０は、この要求に応じて、要求されたユーザデータに電子署名ｒを付加してユーザ端末２０に送信する（符号Ａ４参照）。

【0100】

ユーザ端末２０の加工指示部２０１は、リソースサーバ４０から取得したユーザデータを合意情報とともに加工サーバ１０に送信する（符号Ａ５参照）。

【0101】

加工サーバ１０においては、受信したユーザデータおよび合意情報に基づくデータ検証を行なった後に、合意情報に含まれるプログラムＩＤに対応するデータ加工プログラムを用い、ユーザデータの加工を行なう。

【0102】

加工サーバ１０のデータ／証明書送信部１０３は、証明書作成部１０５によって作成された電子証明書を付加した加工済データをユーザ端末２０に送信する（符号Ａ６参照）。これらのデータには、加工サーバ１０の秘密鍵により作成した電子署名が付加される。

【0103】

ユーザ端末２０の加工済データ送信部２０５は、加工サーバ１０から受信した加工済データをサービス提供サーバ３０に送信する（符号Ａ７）。加工済データ送信部２０５から送信される加工済データには、プログラムＩＤｋ，データ元ＩＤｒおよびサーバＩＤｐが付与される。これらのデータには、加工サーバ１０による電子署名ｐが付加される。

【0104】

サービス提供サーバ３０においては、ユーザ端末２０から受信した加工済データに付加された電子署名ｐを検証するとともに、ユーザ端末２０から受信したデータに自身が合意したプログラムＩＤ，データ元ＩＤ，データＩＤが含まれていることを確認する。確認の結果、要求したユーザデータを受信したこと、および加工済データが、サービス提供者がユーザデータの加工に許容したデータ加工プログラムを適用して作成されたものであると確認できた場合に、サービス提供サーバ３０においては、当該加工済データをサービスの提供に用いることが許可される。

【0105】

次に、第１実施形態の一例としてのデータ加工システム１における加工サーバ１０による処理の詳細を、図５を用いて説明する。

【0106】

データ加工プログラムの開発者は、データ加工プログラムを開発した後、加工サーバ１０にプログラムをアップロードする（符号Ｂ１参照）。加工サーバ１０は、アップロードされたデータ加工プログラムを受信し、記憶装置１３の所定の記憶領域に格納するとともに、プログラムＩＤの採番をおこなう（符号Ｂ２参照）。採番したプログラムＩＤは開発者に通知される。以下、図中において、データ加工プログラムを単にプログラムと表記する場合がある。

【0107】

また、この際に、開発者は、データ加工プログラムとともに当該データ加工プログラムについてのプログラム情報をアップロードしても良い。データ加工プログラムとプログラムＩＤとメタデータ（プログラム情報）とが相互に対応付けて加工サーバ１０上に保存される（符号Ｂ３参照）。

【0108】

サービス提供者は、どのような加工プログラムがあるのかを知る必要がある。そのため、加工プログラム開発者は、サービスに加工プログラムＩＤと加工プログラムの内容をサービス提供者に伝える。方法としては、サービスが加工サーバ１０にアクセスしてプログラムの情報とプログラムＩＤを取得して理解してもよいし、単にサービス提供者が加工プログラム開発者として登録することでそもそも内容を理解しているということでもよい。

【0109】

ユーザ端末２０のユーザアプリ２００がサービス提供サーバ３０にネットワーク５０を介して接続する。サービス提供サーバ３０は、ユーザ端末２０に対して、ユーザがサービス提供者にユーザデータを提供することで、より好ましいサービスを提供することが可能である旨を伝える。

【0110】

サービス提供サーバ３０はユーザアプリ２００に対してユーザデータの要求を行なう。ユーザデータの要求を行なう際に、サービス提供サーバ３０は、ユーザアプリ２００に対して、プログラムＩＤ群およびデータ元ＩＤ／データＩＤのセットを提示する（符号Ｂ４参照）。プログラムＩＤ群は、要求するユーザデータに対して適用することをサービス提供者が合意したデータ加工プログラムを示す。

【0111】

プログラムＩＤにより、どのデータ加工プログラムでユーザデータを加工するかを識別でき、また、データ元ＩＤおよびデータＩＤにより、どのデータ所有者（リソースサーバ４０）が持つどのユーザデータを加工に利用するのかを識別できる。

【0112】

加工サーバ１０においては、データ加工プログラムのプログラム情報をユーザ端末２０やサービス提供サーバ３０に対して提供可能に構成されている（符号Ｂ５参照）。

【0113】

ユーザ端末２０の加工方法選択処理部２０２は、サービス提供サーバ３０から通知されたプログラムＩＤに基づき、加工サーバ１０から、当該プログラムＩＤに対応するプログラム情報を取得する（符号Ｂ６参照）。ユーザアプリ２００は、ＵＩを介してプログラム情報をユーザに提示することで、ユーザデータをサービス提供者に提供してもよいかを確認する。

【0114】

なお、サービス提供サーバ３０が複数のプログラムＩＤを提供して、その中からどれを選択するかをユーザに確認してもよい。

【0115】

加工方法選択処理部２０２は、ユーザにユーザデータの加工に用いるデータ加工プログラムの選択を行なわせる。

【0116】

加工方法選択処理部２０２は、ユーザによる選択結果に基づいて合意情報を生成する。合意情報は、データ加工プログラムのプログラムＩＤとデータ元ＩＤ／データＩＤのセットとを含む。

【0117】

また、ユーザ端末２０において、データ取得部２０３は、サービス提供サーバ３０から受信したユーザデータの要求に基づき、リソースサーバ４０に加工対象のユーザデータ（加工前データ）の送信を要求する（符号Ｂ７参照）。データ取得部２０３は、サービス提供サーバ３０から受信したユーザデータの要求に含まれるデータ元ＩＤによって特定されるリソースサーバ４０に、同じくユーザデータの要求に含まれるデータＩＤによって特定されるユーザデータの送信要求を行なう。

【0118】

リソースサーバ４０は、ユーザ端末２０からのユーザデータの送信要求に応じて、データＩＤによって特定されるユーザデータを記憶装置４１から読み出し、取得要求の送信元のユーザ端末２０に送信する。また、リソースサーバ４０は、送信するユーザデータに、当該ユーザデータのデータＩＤおよびデータ元ＩＤ（ＩＤｒ）を付加する。そして、リソースサーバ４０は、これらのユーザデータ，データＩＤおよびデータ元ＩＤに対して、当該リソースサーバ４０の秘密鍵を用いた電子署名ｒを付加して、ユーザ端末２０に送信する（符号Ｂ８参照）。

【0119】

加工指示部２０１は、合意情報（データＩＤ，データ元ＩＤｒ，プログラムＩＤｋ）とユーザデータとを加工指示情報として加工サーバ１０に送信する（符号Ｂ９）。加工指示部２０１は、この加工指示情報において、ユーザデータ，データＩＤおよびデータ元ＩＤｒに対して、リソースサーバ４０から送信された署名ｒを付加する。

【0120】

加工サーバ１０においては、合意内容受信部１０１が合意情報を受信し、ユーザデータ受信部１０２がユーザデータを受信する（符号Ｂ１０参照）。

【0121】

データ検証部１０４は、ユーザデータ受信部１０２によって受信されたユーザデータにリソースサーバ４０による電子署名ｒが付与されているかを検証する。

【0122】

また、データ検証部１０４は、合意内容受信部１０１が受信した合意情報とユーザデータ受信部１０２によって受信したユーザデータとの間で、データ元ＩＤおよびデータＩＤが一致することを確認する。

【0123】

受信したユーザデータに電子署名ｒが付与されている場合に、ユーザデータが改ざん等がされていない正当なものであると判断される。また、合意情報とユーザデータとの間でデータ元ＩＤおよびデータＩＤが一致した場合には、受信したユーザデータが、ユーザによってサービス提供サーバ３０による使用が合意された正当なものであると判断される。

【0124】

加工方法選択処理部２０２は、合意情報に含まれるプログラムＩＤに対応するデータ加工プログラムを加工プログラム管理部１０８が管理する複数種類のデータ加工プログラムの中から選択する（符号Ｂ１１参照）。そして、加工実行部１０７が、加工方法選択処理部２０２によって選択されたデータ加工プログラムを実行して、データ検証部１０４によって正当であると認定されたユーザデータに対する加工を行なう（符号Ｂ１２参照）。

【0125】

加工実行部１０７は、データ加工プログラムから演算結果である加工済データを受信（取得）し（符号Ｂ１３参照）、証明書作成部１０５に受け渡す。

【0126】

証明書作成部１０５は、加工済データに付加する電子証明書を作成する。この電子証明書には、データ検証部１０４による検証で使用したデータ元ＩＤおよびデータＩＤと、加工方法選択処理部２０２によって選択されたデータ加工プログラムのプログラムＩＤｋとを含む。また、証明書作成部１０５は、これらの情報（データ元ＩＤ，データＩＤ，プログラムＩＤｋ）や加工済データの改ざんを防止するために、加工サーバ１０の秘密鍵により作成した電子署名を付加する。

【0127】

その後、データ／証明書送信部１０３は、加工実行部１０７により加工された加工済データをユーザ端末２０に対して送信する（符号Ｂ１４参照）。

【0128】

データ／証明書送信部１０３は、加工済データに、当該加工済データの作成に用いたデータ加工プログラムを特定するプログラムＩＤｋと、サーバＩＤｐと、加工済データの元になったユーザデータに関するデータＩＤおよびデータ元ＩＤｒを付加する。そして、データ／証明書送信部１０３は、これらの加工済データ，プログラムＩＤｋ，データＩＤおよびデータ元ＩＤｒおよびサーバＩＤ（ＩＤｐ）に電子署名ｐを付与して、ユーザ端末２０に送信する（符号Ｂ１５参照）。

【0129】

ユーザ端末２０においては、加工済データ受信部２０４が、加工サーバ１０から送信された加工済データを受信する。

【0130】

加工済データ送信部２０５は、加工済データに、プログラムＩＤｋ，データ元ＩＤｒおよびサーバＩＤｐを付与してサービス提供サーバ３０に送信する。また、加工済データ送信部２０５は、これらの加工済データ，プログラムＩＤｋ，データ元ＩＤｒおよびサーバＩＤｐに、加工サーバ１０による電子署名ｐを付加してサービス提供サーバ３０に送信する（符号Ｂ１６参照）。

【0131】

サービス提供サーバ３０は、ユーザ端末２０から受信した加工済データに付加された電子署名ｐを検証するとともに、ユーザ端末２０から受信したデータに自身が合意したプログラムＩＤ，データ元ＩＤ，データＩＤが含まれていることを確認する。これにより、サービス提供サーバ３０は、ユーザに対して要求したユーザデータに対して、予め使用を合意したデータ加工プログラムが適用されたかを確認した後、当該加工済データを用いてサービス提供のための処理を行なう。

【0132】

（Ｃ）効果
このように、第１実施形態の一例としてのデータ加工システム１によれば、サービス提供サーバ３０がユーザアプリ２００に対して送信するユーザデータの要求に、プログラムＩＤ群およびデータ元ＩＤ／データＩＤのセットを含める。

【0133】

これに対して、ユーザ端末２０において、加工方法選択処理部２０２が、ユーザに対して送信されたプログラムＩＤ群を構成する各プログラムＩＤに対応するデータ加工プログラムを、ユーザデータの加工に用いる選択肢として提示し、これらの中から選択させる。これにより、サービス提供者とユーザとの双方において合意された加工がユーザデータに対して行なわれ、サービス提供者に提供される。

【0134】

すなわち、ユーザとサービス事業者との間で合意された加工法でパーソナルデータを加工し、電子署名を付与して出力することで、ユーザおよびサービス事業者双方の要求を満たす信頼性の高いパーソナルデータを取得できる。従って、サービス提供者に対して、ユーザのプライバシーや希望を考慮した加工を行なったユーザデータ（加工済データ）を提供することができる。

【0135】

ユーザ端末２０（加工指示部２０１）が、リソースサーバ４０の秘密鍵を用いた電子署名ｒが付加されたユーザデータ（加工前データ）を加工サーバ１０に送信することで、加工サーバ１０は改ざんのない正当なユーザデータを取得することができ信頼性を向上させることができる。

【0136】

加工サーバ１０（データ／証明書送信部１０３）は、加工済データ，プログラムＩＤｋ，データＩＤおよびデータ元ＩＤｒおよびサーバＩＤ（ＩＤｐ）に電子署名ｐを付与して、ユーザ端末２０に送信する。これにより、加工済データ等の偽造や改ざんを防止することができ信頼性を向上させることができる。

【0137】

ユーザ端末２０において、加工済データ送信部２０５は、加工済データに、プログラムＩＤｋ，データ元ＩＤｒおよびサーバＩＤｐを付与してサービス提供サーバ３０に送信する。また、加工済データ送信部２０５は、これらの加工済データ，プログラムＩＤｋ，データ元ＩＤｒおよびサーバＩＤｐに、加工サーバ１０による電子署名ｐを付加してサービス提供サーバ３０に送信する。

【0138】

サービス提供サーバ３０は、ユーザ端末２０から受信した加工済データに付加された電子署名ｐを検証するとともに、ユーザ端末２０から受信したデータに自身が合意したプログラムＩＤ，データ元ＩＤ，データＩＤが含まれていることを確認する。これにより、サービス提供サーバ３０は、受信した加工済データが、ユーザに対して要求したユーザデータに基づくものであるかを確認することができ、加工済データの信頼性を向上させることができる。また、受信した加工済データが、予め使用を合意したデータ加工プログラムが適用されたかを確認することができ、これによって加工済データの信頼性を向上させることができる。

【0139】

加工サーバ１０において、予め開発者よってアップロードされ加工プログラム管理部１０８によって管理されたデータ加工プログラムを用いてユーザデータに対して加工を行なうことで、不正なデータ加工プログラムによる情報漏えい等を防ぐことができる。

【0140】

（ＩＩ）第２実施形態の説明
上述した第１実施形態のデータ加工システム１においては、例えば、リソースサーバ４０において管理されたユーザデータを、ユーザ端末２０が中継して加工サーバ１０に受け渡しているので、これによるユーザ端末２０の負荷が大きい。

【0141】

また、加工サーバ１０において作成された加工済データについても、ユーザ端末２０が中継してサービス提供サーバ３０に受け渡しているので、これによってもユーザ端末２０の負荷が大きい。

【0142】

本第２実施形態においては、データへアクセスするためのアクセス情報を有するチケットを用いることで、データの受け渡しにかかる負荷を軽減する手法を提示する。

【0143】

（Ａ）構成
本第２実施形態の一例としてのデータ加工システム１も、図１に例示する第１実施形態と同様に、サービス提供サーバ３０，リソースサーバ４０－１，４０－２，加工サーバ１０およびユーザ端末２０を備える。

【0144】

以下、図中、既述の符号と同一の符号は同様の部分を示しているので、その詳細な説明は省略する。

【0145】

［サービス提供サーバ３０］
本第２実施形態においては、サービス提供サーバ３０は、第１実施形態と同様に、ユーザ端末２０に対してユーザデータの要求を行ない、この要求に対して応答されたユーザデータに対して処理を行ない、サービスの提供を行なう。

【0146】

また、本第２実施形態のサービス提供サーバ３０は、ユーザ端末２０から加工済データにアクセスするためのチケットｐを受信し、このチケットｐに記述された情報を用いて加工サーバ１０から加工済データを取得する。

【0147】

チケットｐは、記憶装置１３に格納された加工済データにアクセスするための第１アクセス情報を含む第１チケットに相当する。

【0148】

チケットは、データへアクセスするためのアクセス情報を有し、このアクセス情報によりデータへのアクセスを実現するものである。なお。チケットはデータへのアクセス権限を示す情報であってもよい。サービス提供サーバ３０が受信するチケットｐには、加工サーバ１０が管理するネットワークストレージ装置６０に格納された加工済データにアクセスするための情報が記述されている。加工サーバ１０は、このチケットｐに記述された情報をもとに記憶装置１３から適切なデータ（加工済データ）を応答する。

【0149】

チケットｐに記述された加工サーバ１０の加工済データにアクセスするための情報は、例えば、リンク情報やアクセスコマンドである。リンク情報は、例えば、ＵＲＬ（Uniform Resource Locator） であってもよい。なお、チケットに記述されるデータにアクセスするための情報は、リンク情報やアクセスコマンドに限定されるものではなく、種々変形して実施することができる。リンク情報やアクセスコマンドの記述がない場合は、その情報を別の方法で取得してもよい。チケットｐは、加工済データへのアクセス権限を示す情報であってもよい。

【0150】

なお、サービス提供サーバ３０にチケットｐを提供する際には、サービス提供サーバ３０が加工サーバ１０にアクセスし、ユーザ認証などを行なってから加工済データを受信することが望ましい。

【0151】

サービス提供サーバ３０は、例えば、チケットｐのメタデータ内のＩＤおよび署名を確認し、メタデータに基づいて加工サーバ１０にアクセスして加工済データを取得してもよい。チケットには、改ざん防止のために、例えば、加工サーバ１０の秘密鍵を用いた電子署名が付加されている。

【0152】

サービス提供サーバ３０は、チケットｐに付加された電子署名ｐを検証し、この電子署名ｐに自身が合意した合意情報（プログラムＩＤ，データ元ＩＤおよびデータＩＤ）が含まれていることを確認する。合意情報にプログラムＩＤｋを含め、サービス提供サーバ３０は、プログラムＩＤについての検証を行なってもよい。

【0153】

なお、これらのプログラムＩＤ，データ元ＩＤ，データＩＤおよびプログラムＩＤｋをチケットｐに代えて加工済データに備えてもよく、この場合には、チケットｐに付加された電子署名ｐの検証を省略してもよい。

【0154】

サービス提供サーバ３０は、加工サーバ１０にアクセスしてチケットｐを送信し、対応するユーザデータを受信する。

【0155】

なお、上述の如くプログラムＩＤ，データ元ＩＤおよびデータＩＤを加工済データ側に備える場合には、サービス提供サーバ３０は、これらのプログラムＩＤ，データ元ＩＤおよびデータＩＤが合意内容と一致することを確認する。これにより、サービス提供サーバ３０は自身（サービス提供者）が合意した加工済みデータを受け取れたことを確認できる。

【0156】

サービス提供サーバ３０は、加工サーバ１０から受信した加工済データを用いてサービスの提供を行なう。

【0157】

［リソースサーバ４０］
本第２実施形態のデータ加工システム１において、リソースサーバ４０は、ユーザ端末２０に対してユーザデータを渡す代わりに、ユーザデータへアクセスを行なわせるチケットｒを発行して、ユーザ端末２０に提供する。チケットｒには、そのリソースサーバ４０が持つユーザデータの一部に対応付けを行なうための情報（例えば、リンク情報やアクセスコマンド）が記述されており、リソースサーバ４０は、チケットｒをリソースサーバ４０が受け取った場合には、その情報をもとに適切なユーザデータを応答する。リンク情報は、例えば、ＵＲＬであってもよい。チケットｒは、ユーザデータへのアクセス権限を示す情報であってもよい。

【0158】

チケットｒは、リソースサーバ４０に格納されたユーザデータにアクセスするための第２アクセス情報を含む第２チケットに相当する。

【0159】

そして、リソースサーバ４０は、当該リソースサーバ４０に格納されたユーザデータにアクセスするための第２アクセス情報を含む第２チケット（ｒ）を発行する第２チケット発行部に相当する。

【0160】

ここでは、ユーザに提供したチケットｒにおいてはそのユーザのユーザデータに対応付けがなされており、リソースサーバ４０は、このチケットｒを受信すると、このチケットに対応付けられたユーザデータを返答する。

【0161】

チケットｒの送信先はユーザでなくてもよい。チケットｒを入手するとそのユーザデータを得られることになる。チケットｒにリソースサーバ４０にアクセスするための情報（例えば、ＵＲＬ）を記述してもよい。なお、チケットｒに、リソースサーバ４０にアクセスするための情報を記述する代わりに、適宜変更して実施することができる。例えば、チケットｒに、リソースサーバ４０のユーザデータの取得をユーザ端末２０に実行させるコマンドを示すコマンド情報を記述してもよい。

【0162】

なお、リソースサーバ４０がユーザアプリ２００にチケットｒを提供する際には、ユーザアプリ２００がリソースサーバ４０にアクセスし、ユーザ認証などを行なってからユーザデータの受信を行なうことになる。また、チケットｒには、取得を要求するユーザデータの格納位置を示すデータ元ＩＤおよびデータＩＤが記述されている。また、これらのデータ元ＩＤおよびデータＩＤに代えて、他の情報と組み合わせることでチケットｒが対応するデータ元ＩＤとデータＩＤがわかるようにしてもよい。また、チケットｒには、改ざん防止のために電子署名が付加されている。

【0163】

チケットｒにはメタデータが備えられており、リソースサーバ４０は、このメタデータに自身を特定する識別情報であるデータ元ＩＤｒを付加する。また、リソースサーバ４０は、このチケットｒに当該リソースサーバ４０の秘密鍵を用いた電子署名ｒを付加して、ユーザ端末２０に送信する。

【0164】

これにより、チケットｒの偽造や改ざんを防止することができる。なお、チケットｒに対する電子署名ｒの付加は、既知の種々の手法を用いて実現することができ、その説明は省略する。

【0165】

この電子署名ｒには、ユーザデータの所有者であるユーザを特定するユーザＩＤを含めてもよく、これにより正当なユーザのユーザデータであることを確実に保証することができる。

【0166】

リソースサーバ４０は、チケットｒが送信された場合に、当該チケットｒに対応するユーザデータを加工サーバ１０に応答する。

【0167】

［ユーザ端末２０］
第２実施形態の一例としてのデータ加工システム１において、ユーザ端末２０のユーザアプリ２００は、加工サーバ１０に対して、ユーザデータを送信する代わりに、チケットｒを送信する。

【0168】

第２実施形態のユーザ端末２０のユーザアプリ２００は、第１実施形態と同様に、サービス提供サーバ３０にアクセスし、合意を行なう。この合意を行なうに際して、ユーザアプリ２００は、合意情報に含まれるデータ元ＩＤおよびデータＩＤに対応するチケットを所有していることを確認する必要がある。そして、ユーザアプリ２００は、合意内容に対応するチケットと合意内容とを加工サーバ１０に送信する。

【0169】

図６は第２実施形態の一例としてのデータ加工システム１のユーザ端末２０の機能構成を例示する図である。

【0170】

第２実施形態のユーザ端末２０は、加工指示部２０１，第１チケット受信部２０６および第１チケット送信部２０７としての機能を備える。これらの加工指示部２０１，第１チケット受信部２０６および第１チケット送信部２０７としての機能は、ユーザ端末２０に備えられたプロセッサ１１（図１０参照）がユーザアプリケーション２００を実行することにより実現される。

【0171】

第２実施形態の加工指示部２０１は、加工方法選択処理部２０２，チケット取得部２０８および第３チケット送信部２０９としての機能を備える。

【0172】

チケット取得部２０８は、リソースサーバ４０からユーザデータを取得するためのチケットｒを受信する。

【0173】

第３チケット送信部２０９は、チケット取得部２０８が受信したチケットｒを合意情報とともに加工サーバ１０に送信する。

【0174】

加工指示部２０１は、加工サーバ１０に対して、チケットｒとプログラムＩＤｋを加工指示情報として通知する。

【0175】

この加工指示情報のうち、プログラムＩＤｋが、ユーザデータに対するデータ加工プログラムによる加工に対する合意内容を示す合意情報に相当する。

【0176】

第１チケット受信部２０６は、加工サーバ１０から送信されるチケットｐを受信する。このチケットｐには、加工サーバ１０による電子署名ｐが付加されている。

【0177】

これにより、チケットｐの偽造や改ざんを防止することができる。チケットｐに対する電子署名ｐの付加は、既知の種々の手法を用いて実現することができ、その説明は省略する。

【0178】

この電子署名ｐには、ユーザデータの所有者であるユーザを特定するユーザＩＤを含めてもよく、これにより正当なユーザのユーザデータであることを確実に保証することができる。

【0179】

第１チケット送信部２０７は、加工サーバ１０から受信したチケットｐをサービス提供サーバ３０に送信する。

【0180】

［加工サーバ１０］
図７は第２実施形態の一例としてのデータ加工システム１の加工サーバ１０の機能構成を例示する図である。

【0181】

加工サーバ１０は、第２チケット受信部１０９，ユーザデータ取得部１１０，第２チケット送信部１１１，チケット検証部１１２，チケット生成部１１３，加工方法選択処理部１０６，加工実行部１０７および加工プログラム管理部１０８を備える。

【0182】

第２チケット受信部１０９は、ユーザ端末２０の第３チケット送信部２０９から送信されるチケットｒと合意情報（データＩＤ，データ元ＩＤｒ，プログラムＩＤｋ）とを受信する。

【0183】

チケット検証部１１２は、第２チケット受信部１０９が受信したチケットｒを検証する。チケット検証部１１２は、受信したチケットｒに記述されたデータ元ＩＤおよびデータＩＤが、合意情報に含まれるデータ元ＩＤおよびデータＩＤに一致することを確認する。また、チケット検証部１１２は、チケットｒにリソースサーバ４０による電子署名ｒが付与されているかを検証する。

【0184】

チケット検証部１１２は、データ元ＩＤおよびデータＩＤの確認もしくは電子署名ｒの検証の少なくとも一方に失敗した場合は、例えば、ユーザ端末２０にエラーを返答するとともに、ユーザデータの加工の実施を抑止する。

【0185】

ユーザデータ取得部１１０は、リソースサーバ４０からユーザデータを取得する。ユーザデータ取得部１１０は、上述したチケット検証部１１２において、データ元ＩＤおよびデータＩＤの確認と電子署名ｒの検証との両方に成功した場合に、チケットｒを使ってリソースサーバ４０にアクセスし、このリソースサーバ４０にチケットｒを送信して、対応するユーザデータを受信する。なお、このユーザデータにデータ元ＩＤとデータＩＤを含めてもよい。その場合には、チケット検証部１１２は、このユーザデータに含まれるデータ元ＩＤおよびデータＩＤが、合意内容に含まれているデータ元ＩＤおよびデータＩＤ一致するかを確認する。

【0186】

ユーザデータ取得部１１０は、第２チケット受信部１０９が受信したチケットｒのメタデータに基づき、リソースサーバ４０にチケットｒを送信することで、ユーザデータを取得する。ユーザデータ取得部１１０は、取得したユーザデータを、加工サーバ１０のメモリ１２や記憶装置１３の所定の記憶領域に記憶させる。

【0187】

ユーザデータ取得部１１０は、パーソナルデータを受信するパーソナルデータ受信部に相当する。

【0188】

加工済データ格納処理部２１０は、加工実行部１０７によって作成された加工済データを記憶装置１３に格納させる。加工済データ格納処理部２１０は、ユーザデータに対して合意情報に規定される加工法で加工を行なう加工処理部に相当する。

【0189】

チケット生成部１１３は、加工実行部１０７によって作成された加工済データをサービス提供サーバ３０に提供するためのチケットｐを生成する。

【0190】

このチケットには、加工に使用したデータ加工プログラムのプログラムＩＤを含めてもよく、また、加工前データのデータ元ＩＤやデータＩＤをふくめてもよい。これらのプログラムＩＤ，データ元ＩＤおよびデータＩＤはチケットｐに含める代わりに、チケットｐと引き換えに渡す加工済データ側に含めてもよい。

【0191】

また、チケットｐに、ユーザデータ取得のために加工サーバ１０にアクセスするための情報（例えば、リンク情報やアクセスコマンド）を記述しておいてもよい。リンク情報は例えば、ＵＲＬであってもよい。このような加工サーバ１０にアクセスするための情報（例えば、ＵＲＬ）をチケットｐまたは加工済データに添付する以外の方法でサービス提供サーバ３０に提供してもよい。チケット生成部１１３は、チケットｐの改ざんを防止するための電子署名ｐを付加する。電子署名ｐが付加されたチケットｐを署名済みのチケットｐといってもよい。

【0192】

チケット生成部１１３は、１チケット（ｐ）を発行する第１チケット発行部に相当する。

【0193】

第２チケット送信部１１１は、署名済みのチケットｐをユーザ端末２０に送信する。

【0194】

（Ｂ）動作
上述の如く構成された第２実施形態の一例としてのデータ加工システム１における処理の概要を、図８を用いて説明する。以下、図中の既述の符号と同一の符号は同様の部分を示しているので、その詳細な説明は省略する。

【0195】

ユーザ端末２０を用いるユーザは、サービス提供者との間でユーザデータとその加工方法についての合意を行なう（符号Ｃ１）。すなわち、ユーザは、サービス提供者に提供するユーザデータについての提供許可と、当該ユーザデータの加工に用いるデータ加工プログラムの決定とを行なう。

【0196】

この合意に基づき、ユーザ端末２０の加工方法選択処理部２０２は、サービス提供サーバ３０に提供するユーザデータについて、データＩＤおよびデータ元ＩＤ（ＩＤｒ）と、ユーザデータに対して行なう加工についてのプログラムＩＤｋとを含む合意情報を作成する（符号Ｃ２参照）。

【0197】

また、ユーザ端末２０のチケット取得部２０８は、リソースサーバ４０に対してユーザデータを取得するためのチケットの発行要求を送信し（符号Ｃ３参照）、リソースサーバ４０は、この要求に応じてチケットｒを作成するとともに、このチケットｒに電子署名ｒを付加してユーザ端末２０に送信する（符号Ｃ４参照）。

【0198】

ユーザ端末２０の加工指示部２０１は、リソースサーバ４０から取得したチケットｒを合意情報とともに加工サーバ１０に送信する（符号Ｃ５参照）。

【0199】

加工サーバ１０においては、受信したチケットｒおよび合意情報に基づく検証を行なった後に、ユーザデータ取得部１１０が、チケットｒを使ってリソースサーバ４０にアクセスし、このリソースサーバ４０にチケットｒを送信する（符号Ｃ６参照）。リソースサーバ４０は、このチケットｒに応答して対応するユーザデータを加工サーバ１０に送信する（符号Ｃ７参照）。

【0200】

加工サーバ１０において、加工実行部１０７が、合意情報に含まれるプログラムＩＤに対応するデータ加工プログラムを用い、ユーザデータの加工を行なう。加工済データ格納処理部２１０が、記憶装置１３に作成した加工済データを格納させる（符号Ｃ８参照）。

【0201】

加工サーバ１０において、チケット生成部１１３が加工済データをサービス提供サーバ３０に提供するためのチケットｐを生成し、第２チケット送信部１１１が、このチケットｐをユーザ端末２０に送信する（符号Ｃ９参照）。

【0202】

ユーザ端末２０において、第１チケット送信部２０７が、チケットｐをサービス提供サーバ３０に送信する（符号Ｃ１０参照）。

【0203】

サービス提供サーバ３０は、チケットに付加された電子署名ｐを検証した後、加工サーバ１０にアクセスしてチケットｐを送信する（符号Ｃ１１参照）。加工サーバ１０は、このチケットｐに応答して対応する加工済データをサービス提供サーバ３０に送信する（符号Ｃ１２参照）。サービス提供サーバ３０においては、当該加工済データをサービスの提供に用いる。

【0204】

次に、第２実施形態の一例としてのデータ加工システム１における加工サーバ１０による処理の詳細を、図９を用いて説明する。

【0205】

この図９中において、図５において既述の符号と同一の符号は同様の処理を示しているので、その説明は省略する。

【0206】

ユーザ端末２０において、チケット取得部２０８は、サービス提供サーバ３０から受信したユーザデータの要求に基づき、リソースサーバ４０に対して、ユーザデータへアクセスするためのチケットの発行を要求する（符号Ｄ７参照）。

【0207】

リソースサーバ４０は、ユーザ端末２０からのチケットの発行要求に応じて、チケットｒを発行する。リソースサーバ４０は、このチケットｒに当該リソースサーバ４０の秘密鍵を用いた電子署名ｒを付加して、ユーザ端末２０に送信する（符号Ｄ８参照）。

【0208】

ユーザ端末２０において、チケット取得部２０８が、リソースサーバ４０からユーザデータを取得するためのチケットｒを受信し、第３チケット送信部２０９が、チケット取得部２０８が受信したチケットｒを合意情報とともに加工サーバ１０に送信する（符号Ｄ９参照）。

【0209】

加工サーバ１０においては、第２チケット受信部１０９が、ユーザ端末２０の第３チケット送信部２０９から送信されるチケットｒと合意情報（データＩＤ，データ元ＩＤｒ，プログラムＩＤｋ）とを受信する（符号Ｄ１０参照）。

【0210】

チケット検証部１１２は、第２チケット受信部１０９によって受信されたチケットｒに付加されたデータ元ＩＤおよびデータＩＤが、合意情報に含まれるデータ元ＩＤおよびデータＩＤに一致することを確認する。また、チケット検証部１１２は、チケットｒにリソースサーバ４０による電子署名ｒが付与されているかを検証する（符号Ｄ１３参照）。

【0211】

データ元ＩＤおよびデータＩＤの確認および電子署名ｒの検証のいずれも成功した場合に、受信したチケットｒが正当なものであると判断される。

【0212】

ユーザデータ取得部１１０は、チケットｒを使ってリソースサーバ４０にアクセスし、このリソースサーバ４０にチケットｒを送信する（符合Ｄ１１参照）。

【0213】

リソースサーバ４０は、受信したチケットｒに対応するユーザデータを加工サーバ１０に応答し（符号Ｄ１２参照）、ユーザデータ取得部１１０がこのユーザデータを受信する。

【0214】

加工方法選択処理部２０２は、合意情報に含まれるプログラムＩＤに対応するデータ加工プログラムを加工プログラム管理部１０８が管理する複数種類のデータ加工プログラムの中から選択する。

【0215】

そして、加工実行部１０７が、加工方法選択処理部２０２によって選択されたデータ加工プログラムを実行して、データ検証部１０４によって正当であると認定されたユーザデータに対する加工を行なう（符号Ｄ１４参照）。これにより、加工済データが作成される。

【0216】

加工済データ格納処理部２１０は、作成された加工済データを受信し（符号Ｄ１５参照）、記憶装置１３の所定の記憶領域に格納させる（符号Ｄ１７参照）。

【0217】

チケット生成部１１３は、加工実行部１０７によって作成された加工済データをサービス提供サーバ３０に提供するためのチケットｐを生成する。また、チケット生成部１１３は、チケットｐの改ざんを防止するための電子署名ｐを付加する。第２チケット送信部１１１が、この署名済みのチケットｐをユーザ端末２０に送信する（符号Ｄ１６，Ｄ１８参照）。

【0218】

ユーザ端末２０においては、第１チケット受信部２０６が、加工サーバ１０から送信されたチケットｐを受信する。そして、第１チケット送信部２０７が、サービス提供サーバ３０に対してチケットｐを送信する（符号Ｄ１９参照）。

【0219】

サービス提供サーバ３０は、ユーザ端末２０から受信したチケットｐを使って加工サーバ１０にアクセスし（符号Ｄ２０参照）、この加工サーバ１０にチケットｐを送信して、対応する加工済データを受信する（符号Ｄ２１参照）。

【0220】

サービス提供サーバ３０は、受信した加工済データを用いてサービス提供のための処理を行なう。

【0221】

（Ｃ）効果
このように、第２実施形態の一例としてのデータ加工システム１によっても、第１実施形態と同様の作用・効果を奏することができる。

【0222】

また、リソースサーバ４０がユーザ端末２０に対してユーザデータを送信する代わりにチケットｒを送信し、ユーザ端末２０はこのチケットｒを加工サーバ１０に送信する。これにより、ユーザ端末２０は、リソースサーバ４０や加工サーバ１０との間でユーザデータの送受信を行なうことがなく、第１実施形態に比べてユーザ端末２０の負荷を軽減することができる。

【0223】

さらに、加工サーバ１０においては、加工実行部１０７が作成した加工済データを、ユーザ端末２０に送信する代わりに、加工済データ格納処理部２１０が加工サーバ１０に備えられた記憶装置１３に格納させる。そして、チケット生成部１１３が生成したチケットｐを第２チケット送信部１１１がユーザ端末２０に送信し、ユーザ端末２０はこのチケットｐをサービス提供サーバ３０に送信する。これにより、ユーザ端末２０は、加工サーバ１０やサービス提供サーバ３０との間で加工済データの送受信を行なうことがなく、第１実施形態に比べてユーザ端末２０の負荷を軽減することができる。

【0224】

また、リソースサーバ４０は、このチケットｒに当該リソースサーバ４０の秘密鍵を用いた電子署名ｒを付加して、ユーザ端末２０に送信する。これにより、チケットｒの偽造や改ざんを防止することができ信頼性を向上させることができる。

【0225】

また、加工サーバ１０においても、チケット生成部１１３が、チケットｐの改ざんを防止するための電子署名ｐを付加する。これにより、チケットｐの偽造や改ざんを防止することができ、これによっても信頼性を向上させることができる。

【0226】

（Ｄ）その他
［加工サーバ１０のハードウェア構成］
図１０は第１実施形態および第２実施形態の一例としてのデータ加工システム１の加工サーバ１０のハードウェア構成を例示する図である。

【0227】

加工サーバ１０は、例えば、プロセッサ１１，ＲＡＭ（Random Access Memory）１２，ＨＤＤ１３，グラフィック処理装置１４，入力インタフェース１５，光学ドライブ装置１６，機器接続インタフェース１７およびネットワークインタフェース１８を構成要素として有する。これらの構成要素１１～１８は、バス１９を介して相互に通信可能に構成される。

【0228】

プロセッサ（処理部）１１は、加工サーバ１０全体を制御する。プロセッサ１１は、マルチプロセッサであってもよい。プロセッサ１１は、例えばＣＰＵ，ＭＰＵ（Micro Processing Unit），ＤＳＰ（Digital Signal Processor），ＡＳＩＣ（Application Specific Integrated Circuit），ＰＬＤ（Programmable Logic Device），ＦＰＧＡ（Field Programmable Gate Array）のいずれか一つであってもよい。また、プロセッサ１１は、ＣＰＵ，ＭＰＵ，ＤＳＰ，ＡＳＩＣ，ＰＬＤ，ＦＰＧＡのうちの２種類以上の要素の組み合わせであってもよい。

【0229】

ＲＡＭ（記憶部）１２は、加工サーバ１０の主記憶装置として使用される。ＲＡＭ１２には、プロセッサ１１に実行させるＯＳ（Operating System）プログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１２には、プロセッサ１１による処理に必要な各種データが格納される。アプリケーションプログラムには、加工サーバ１０によって本実施形態のデータ加工機能を実現するためにプロセッサ１１によって実行されるデータ加工プログラムが含まれてもよい。

【0230】

ＨＤＤ（Hard Disk Drive）１３は、内蔵したディスクに対して、磁気的にデータの書き込みおよび読み出しを行なう。ＨＤＤ１３は、加工サーバ１０の補助記憶装置として使用される。ＨＤＤ１３には、ＯＳプログラム，アプリケーションプログラム、および各種データが格納される。なお、補助記憶装置としては、ＳＣＭ（Storage Class Memory）や、フラッシュメモリ等の半導体記憶装置を使用することもできる。

【0231】

グラフィック処理装置１４には、モニタ１４ａが接続されている。グラフィック処理装置１４は、プロセッサ１１からの命令に従って、画像をモニタ１４ａの画面に表示させる。モニタ１４ａとしては、ＣＲＴ（Cathode Ray Tube）を用いた表示装置や液晶表示装置等が挙げられる。

【0232】

入力インタフェース１５には、キーボード１５ａおよびマウス１５ｂが接続されている。入力インタフェース１５は、キーボード１５ａやマウス１５ｂから送られてくる信号をプロセッサ１１に送信する。なお、マウス１５ｂは、ポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル，タブレット，タッチパッド，トラックボール等が挙げられる。

【0233】

光学ドライブ装置１６は、レーザ光等を利用して、光ディスク２６ａに記録されたデータの読み取りを行なう。光ディスク１６ａは、光の反射によって読み取り可能にデータを記録された可搬型の非一時的な記録媒体である。光ディスク１６ａには、ＤＶＤ（Digital Versatile Disc），ＤＶＤ－ＲＡＭ，ＣＤ－ＲＯＭ（Compact Disc Read Only Memory），ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）等が挙げられる。

【0234】

機器接続インタフェース１７は、加工サーバ１０に周辺機器を接続するための通信インタフェースである。例えば、機器接続インタフェース１７には、メモリ装置１７ａやメモリリーダライタ１７ｂを接続することができる。メモリ装置１７ａは、機器接続インタフェース１７との通信機能を搭載した非一時的な記録媒体、例えばＵＳＢ（Universal Serial Bus）メモリである。メモリリーダライタ１７ｂは、メモリカード１７ｃへのデータの書き込み、またはメモリカード１７ｃからのデータの読み出しを行なう。メモリカード１７ｃは、カード型の非一時的な記録媒体である。

【0235】

ネットワークインタフェース１８は、ネットワーク５０に接続される。ネットワークインタフェース１８は、ネットワーク５０を介して、他のコンピュータまたは通信機器との間でデータの送受信を行なう。

【0236】

以上のようなハードウェア構成を有する加工サーバ１０において、プロセッサ１１が加工サーバ用データ加工プログラムを実行することで、上述した、合意内容受信部１０１，ユーザデータ受信部１０２，データ／証明書送信部１０３，データ検証部１０４，証明書作成部１０５，加工方法選択処理部１０６，加工実行部１０７および加工プログラム管理部１０８としての機能が実現される（第１実施形態の場合）。また、加工サーバ１０において、プロセッサ１１が加工サーバ用データ加工プログラムを実行することで、上述した、第２チケット受信部１０９，ユーザデータ取得部１１０，第２チケット送信部１１１，チケット検証部１１２，チケット生成部１１３，加工方法選択処理部１０６，加工実行部１０７および加工プログラム管理部１０８としての機能が実現される（第２実施形態の場合）。

【0237】

また、ＲＡＭ１２に、上述した合意情報やユーザデータ，チケット等が記憶される。これらの合意情報やユーザデータ，チケットは、ＨＤＤ１３に記憶されてもよい。また、記憶装置１３に、上述した複数種類のデータ加工プログラムが記憶される。

【0238】

［ユーザ端末２０のハードウェア構成］
図１１は第１実施形態および第２実施形態の一例としてのデータ加工システム１のユーザ端末２０のハードウェア構成を例示する図である。

【0239】

ユーザ端末２０は、例えば、プロセッサ２１，ＲＡＭ２２，ＨＤＤ２３，グラフィック処理装置２４，入力インタフェース２５，光学ドライブ装置２６，機器接続インタフェース２７およびネットワークインタフェース２８を構成要素として有する。これらの構成要素２１～２８は、バス２９を介して相互に通信可能に構成される。

【0240】

ユーザ端末２０におけるこれらのプロセッサ２１，ＲＡＭ２２，ＨＤＤ２３，グラフィック処理装置２４，入力インタフェース２５，光学ドライブ装置２６，機器接続インタフェース２７およびネットワークインタフェース２８は、加工サーバ１０のプロセッサ１１，ＲＡＭ１２，ＨＤＤ１３，グラフィック処理装置１４，入力インタフェース１５，光学ドライブ装置１６，機器接続インタフェース１７およびネットワークインタフェース１８と同様の機能構成を有するものであるので、その詳細な説明は省略する。

【0241】

なお、ユーザ端末２０において、ＲＡＭ２２は主記憶装置として使用される。ＲＡＭ２２には、プロセッサ２１に実行させるＯＳプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ２２には、プロセッサ２１による処理に必要な各種データが格納される。アプリケーションプログラムには、ユーザ端末２０によって本実施形態のデータ加工機能を実現するためにプロセッサ２１によって実行されるユーザ端末用データ加工プログラムが含まれてもよい。

【0242】

以上のようなハードウェア構成を有するユーザ端末２０において、プロセッサ２１がユーザ端末用データ加工プログラムを実行することで、上述した、加工指示部２０１，加工済データ受信部２０４および加工済データ送信部２０５としての機能が実現される（第１実施形態の場合）。また、プロセッサ２１がユーザ端末用データ加工プログラムを実行することで、上述した、加工指示部２０１，第１チケット受信部２０６および第１チケット送信部２０７としての機能が実現される（第２実施形態の場合）。

【0243】

また、ＲＡＭ２２に、上述した合意情報やユーザデータ，チケット等が記憶される。これらの合意情報やユーザデータ，チケットは、ＨＤＤ２３に記憶されてもよい。

【0244】

そして、開示の技術は上述した実施形態に限定されるものではなく、本実施形態の趣旨を逸脱しない範囲で種々変形して実施することができる。本実施形態の各構成および各処理は、必要に応じて取捨選択することができ、あるいは適宜組み合わせてもよい。

【0245】

そして、開示の技術は上述した実施形態に限定されるものではなく、本実施形態の趣旨を逸脱しない範囲で種々変形して実施することができる。本実施形態の各構成および各処理は、必要に応じて取捨選択することができ、あるいは適宜組み合わせてもよい。

【0246】

例えば、図１に示す例おいては、ユーザ端末２０，加工サーバ１０およびサービス提供サーバ３０をそれぞれ１つずつ備えるとともに、２つのリソースサーバ４０－１，４０－２つ備えているがこれに限定されるものではない。ユーザ端末２０，加工サーバ１０，リソースサーバ４０，サービス提供サーバ３０の数はそれぞれ適宜変更して実施することができる。

【0247】

また、例えば、ユーザ端末２０からサービス提供サーバ３０に対する、電子署名ｐを付した加工済データやチケットｐの送信において、サービス提供サーバ３０において行なわれる電子署名ｐの検証に利用する公開鍵をＩＤに基づいて取得可能にすることが望ましい。

【0248】

加工サーバ１０におけるデータ加工プログラムのプログラム情報を任意に編集可能にしてもよい。これにより、プログラム情報に対して、ユーザが理解し易いようにデータ加工プログラムに関する説明を付加することができ、これによりユーザの合意を得やすくすることができ、作業効率を向上させることができる。

【0249】

加工サーバ１０に格納された各データ加工プログラムについて、各データ加工プログラムの動作をチェックし、不要な通信等を行なっていないか等を確認する機能を備えてもよい。これにより、例えば、開発者等によりデータ加工プログラムに不正なコードが埋め込まれた場合であっても容易に見つけ出すことができ、データ加工プログラムの不正による情報漏洩等を防止することができる。すなわち、信頼性を向上させることができる。

【0250】

また、例えば、ユーザ端末２０のユーザアプリケーション２００が、サービス提供サーバ３０から受信したユーザデータの情報を加工サーバ１０に送信してもよい。加工サーバ１０が、そのユーザデータの情報を基に、ユーザデータ内の一部を削除した上でデータ加工プログラムに渡してもよい。これにより、ユーザデータにおいて、データ加工に不要な部分がある場合に、データ加工プログラムにこの不要な部分を渡さないことで、データ加工プログラムの不正による情報漏洩を阻止することができる。

【0251】

また、加工サーバ１０において、データ加工プログラムの実行時に、例えば、実行時刻の情報や起動されたデータ加工プログラムのプログラムＩＤ等を実行ログとして保存してもよく、また、この実効ログを第三者が取得できるようにしてもよい。これにより、実際にデータ加工プログラムを動作させていたかをサービス提供者（サービス提供サーバ３０）が確認することができ、利便性が高い。

【0252】

（ＩＩＩ）付記
以上の実施形態に関し、さらに以下の付記を開示する。

【0253】

（付記１）
パーソナルデータ由来者に関するパーソナルデータを受信するパーソナルデータ受信部と、
前記パーソナルデータ由来者と前記パーソナルデータを利用するパーソナルデータ利用者との間で合意されたパーソナルデータの加工法に関する合意情報を受信する合意情報受信部と、
前記パーソナルデータに対して前記合意情報に規定される加工法で加工を行なう加工処理部と、
前記加工処理部による加工済データに電子署名を付与して出力する加工済データ出力部と
を備えることを特徴とする、情報処理装置。

【0254】

（付記２）
受信した前記パーソナルデータの正当性を検証するパーソナルデータ検証部を備え、
前記パーソナルデータ検証部による検証の結果、前記パーソナルデータの正当性が確認された場合に、前記加工処理部が前記パーソナルデータの加工を行なう
ことを特徴とする、付記１記載の情報処理装置。

【0255】

（付記３）
複数種類の加工プログラムを格納する加工プログラム記憶部を備え、
前記加工処理部が、前記合意情報に対応する加工プログラムを用いて前記パーソナルデータの加工を行なう
ことを特徴とする、付記１または２記載の情報処理装置。

【0256】

（付記４）
前記加工済データについての電子証明書を作成する証明書作成部を備え、
前記加工済データ出力部が、前記加工済データに前記電子証明書を付して出力する
ことを特徴とする、付記１～３のいずれか１項に記載の情報処理装置。

【0257】

（付記５）
前記加工済データ出力部が、前記加工済データを前記パーソナルデータ由来者が用いる第２の情報処理装置に送信し、
前記第２の情報処理装置が、前記加工済データを用いて処理を行なう第３の情報処理装置に送信する
ことを特徴とする、付記１～４のいずれか１項に記載の情報処理装置。

【0258】

（付記６）
前記加工済データ出力部が、前記加工済データを記憶装置に格納し、
前記記憶装置に格納された前記加工済データにアクセスするための第１アクセス情報を含む第１チケットを発行する第１チケット発行部を備え、
前記第３の情報処理装置が、前記第１チケットの前記第１アクセス情報を用いて、前記記憶装置から前記加工済データを取得する
ことを特徴とする、付記１～４のいずれか１項に記載の情報処理装置。

【0259】

（付記７）
前記パーソナルデータを格納するパーソナルデータ格納部と、
第２チケット発行部によって発行された、前記パーソナルデータ格納部に格納された前記パーソナルデータにアクセスするための第２アクセス情報を含む第２チケットを受信するチケット受信部と
を備え、
前記パーソナルデータ受信部が、前記第２チケットの前記第２アクセス情報を用いて、前記パーソナルデータ格納部から前記パーソナルデータを取得する
ことを特徴とする、付記１～６のいずれか１項に記載の情報処理装置。

【0260】

（付記８）
パーソナルデータ由来者に関するパーソナルデータを受信し、
前記パーソナルデータ由来者と前記パーソナルデータを利用するパーソナルデータ利用者との間で合意されたパーソナルデータの加工法に関する合意情報を受信し、
前記パーソナルデータに対して前記合意情報に規定される加工法で加工を行ない、
前記加工により作成した加工済データに電子署名を付与して出力する
処理をコンピュータに実行させる制御プログラム。

【0261】

（付記９）
受信した前記パーソナルデータの正当性を検証し、
検証の結果、前記パーソナルデータの正当性が確認された場合に、前記パーソナルデータの加工を行なう
処理を前記コンピュータに実行させる、付記８記載の制御プログラム。

【0262】

（付記１０）
複数種類の加工プログラムを格納し、
前記合意情報に対応する加工プログラムを用いて前記パーソナルデータの加工を行なわせる
処理を前記コンピュータに実行させる付記８または９記載の制御プログラム。

【0263】

（付記１１）
前記加工済データについての電子証明書を作成し、
前記加工済データに前記電子証明書を付して出力させる
処理を前記コンピュータに実行させる付記８～１０のいずれか１項に記載の制御プログラム。

【0264】

（付記１２）
前記加工済データを前記パーソナルデータ由来者が用いる第２の情報処理装置に送信し、
前記第２の情報処理装置が、前記加工済データを用いて処理を行なう第３の情報処理装置に送信する
処理を前記コンピュータに実行させる付記８～１１のいずれか１項に記載の制御プログラム。

【0265】

（付記１３）
前記加工済データを記憶装置に格納し、
前記記憶装置に格納された前記加工済データにアクセスするための第１アクセス情報を含む第１チケットを発行し、
前記第３の情報処理装置に、前記第１チケットの前記第１アクセス情報を用いて、前記記憶装置から前記加工済データを取得させる
処理を前記コンピュータに実行させる付記８～１１のいずれか１項に記載の制御プログラム。

【0266】

（付記１４）
前記パーソナルデータをパーソナルデータ格納部格納させ、
前記パーソナルデータ格納部に格納された前記パーソナルデータにアクセスするための第２アクセス情報を含む第２チケットを受信し、
前記第２チケットの前記第２アクセス情報を用いて、前記パーソナルデータ格納部から前記パーソナルデータを取得する
処理を前記コンピュータに実行させる付記８～１３のいずれか１項に記載の制御プログラム。

【0267】

（付記１５）
パーソナルデータ由来者に関するパーソナルデータを受信する処理と、
前記パーソナルデータ由来者と前記パーソナルデータを利用するパーソナルデータ利用者との間で合意されたパーソナルデータの加工法に関する合意情報を受信する処理と、
前記パーソナルデータに対して前記合意情報に規定される加工法で加工を行なう処理と、
前記加工により作成した加工済データに電子署名を付与して出力する処理と
を備えることを特徴とする、制御方法。

【0268】

（付記１６）
受信した前記パーソナルデータの正当性を検証する処理を備え、
前記検証の結果、前記パーソナルデータの正当性が確認された場合に、前記パーソナルデータの加工を行なう
ことを特徴とする、付記１５記載の制御方法。

【0269】

（付記１７）
複数種類の加工プログラムを格納する処理を備え、
前記合意情報に対応する加工プログラムを用いて前記パーソナルデータの加工を行なう
ことを特徴とする、付記１５または１６記載の制御方法。

【0270】

（付記１８）
前記加工済データについての電子証明書を作成する処理を備え、
前記加工済データに前記電子証明書を付して出力する
ことを特徴とする、付記１５～１７のいずれか１項に記載の制御方法。

【0271】

（付記１９）
前記加工済データを前記パーソナルデータ由来者が用いる第２の情報処理装置に送信する処理と、
前記第２の情報処理装置が、前記加工済データを用いて処理を行なう第３の情報処理装置に送信する処理と
を備えることを特徴とする、付記１５～１８のいずれか１項に記載の制御方法。

【0272】

（付記２０）
前記加工済データ出力部が、前記加工済データを記憶装置に格納する処理と、
前記記憶装置に格納された前記加工済データにアクセスするための第１アクセス情報を含む第１チケットを発行する処理と
を備え、
前記第３の情報処理装置が、前記第１チケットの前記第１アクセス情報を用いて、前記記憶装置から前記加工済データを取得する
ことを特徴とする、付記１５～１８のいずれか１項に記載の制御方法。

【0273】

（付記２１）
前記パーソナルデータをパーソナルデータ格納部に格納する処理と、
前記パーソナルデータ格納部に格納された前記パーソナルデータにアクセスするための第２アクセス情報を含む第２チケットを発行する処理と、
前記第２チケットの前記第２アクセス情報を用いて、前記パーソナルデータ格納部から前記パーソナルデータを取得する処理と
を備えることを特徴とする、付記１５～２０のいずれか１項に記載の制御方法。

【0274】

（付記２２）
パーソナルデータ由来者に関するパーソナルデータを記憶する記憶部と、
前記パーソナルデータを用いてサービスを提供するサービス提供部と、
前記パーソナルデータを受信するパーソナルデータ受信部と、
前記パーソナルデータ由来者と前記パーソナルデータを利用するパーソナルデータ利用者との間で合意されたパーソナルデータの加工法に関する合意情報を受信する合意情報受信部と、
前記パーソナルデータに対して前記合意情報に規定される加工法で加工を行なう加工処理部と、
前記加工処理部による加工済データに電子署名を付与して出力する加工済データ出力部と
を備えることを特徴とする、情報処理システム。

【符号の説明】

【0275】

１ データ加工システム
１０ 加工サーバ
２０ ユーザ端末
３０ サービス提供サーバ
４０ リソースサーバ
４１ 記憶装置
５０ ネットワーク
１１，２１ プロセッサ
１２，２２ ＲＡＭ
１３，２３ ＨＤＤ
１４，２４ グラフィック処理装置
１４ａ，２４ａ モニタ
１５，２５ 入力インタフェース
１５ａ，２５ａ キーボード
１５ｂ，２５ｂ マウス
１６，２６ 光学ドライブ装置
１６ａ，２６ａ 光ディスク
１７，２７ 機器接続インタフェース
１７ａ，２７ａ メモリ装置
１７ｂ，２７ｂ メモリリーダライタ
１７ｃ，２７ｃ メモリカード
１８，２８ ネットワークインタフェース
１９，２９ バス
１０１ 合意内容受信部
１０２ ユーザデータ受信部
１０３ データ／証明書送信部
１０４ データ検証部
１０５ 証明書作成部
１０６ 加工方法選択処理部
１０７ 加工実行部
１０８ 加工プログラム管理部
１０９ 第２チケット受信部
１１０ ユーザデータ取得部
１１１ 第２チケット送信部
１１２ チケット検証部
１１３ チケット生成部
２００ ユーザアプリケーション（ユーザアプリ）
２０１ 加工指示部
２０２ 加工方法選択処理部
２０３ データ取得部
２０４ 加工済データ受信部
２０５ 加工済データ送信部
２０６ 第１チケット受信部
２０７ 第１チケット送信部
２０８ チケット取得部
２０９ 第３チケット送信部
２１０ 加工済データ格納処理部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】