特許 7367443 本人確認プログラム、管理装置及び本人確認方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-10-16

(45)【発行日】2023-10-24

(54)【発明の名称】本人確認プログラム、管理装置及び本人確認方法

(51)【国際特許分類】

   G06Q 10/06 20230101AFI20231017BHJP

【ＦＩ】

G06Q10/06

【請求項の数】 9

(21)【出願番号】P 2019186043

(22)【出願日】2019-10-09

(65)【公開番号】P2021060914

(43)【公開日】2021-04-15

【審査請求日】2022-06-09

(73)【特許権者】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】井上 昴輝

【審査官】渡邉 加寿磨

(56)【参考文献】

【文献】特開２００８－２５０５５８（ＪＰ，Ａ）

【文献】特開２００４－３６２１８９（ＪＰ，Ａ）

【文献】特開２０１６－１４８９１９（ＪＰ，Ａ）

【文献】特開２０１１－２３２８８３（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｑ １０／００－９９／００

(57)【特許請求の範囲】

【請求項1】

複数の事業者が利用者を識別する利用者情報内の属性情報を分散して管理するシステムを制御する制御装置で使用するワークフローを生成するコンピュータに、
前記利用者の本人確認を実行する対象の事業者の第１のリストと、前記利用者の本人確認を複数の事業者間で連携するか否かを示す事業者の第２のリストと、前記本人確認の完了に必要となる前記事業者毎の前記利用者情報を証明する電子証明書の数と、前記事業者毎の前記本人確認に要する手続時間とを入力し、
前記第１のリスト、前記第２のリスト、前記事業者毎の電子証明書の数及び前記手続時間を、前記利用者の本人確認に要求する前記対象の事業者を選択して前記対象の事業者の前記本人確認の完了に要する手続時間を算出する目的関数に入力し、複数の電子証明書で本人確認が完了する前記事業者毎の条件と、前記事業者毎の本人確認を実行した場合の信用度と含む制約条件のもと、前記目的関数を最小化する設計変数を算出し、算出した前記設計変数を用いて、前記事業者毎の本人確認に使用する前記電子証明書の流通手順を記述したワークフローを生成する
処理を実行させることを特徴とする本人確認プログラム。

【請求項2】

前記生成した前記ワークフローを前記利用者の利用者端末装置に提示する
処理を前記コンピュータに実行させることを特徴とする請求項１に記載の本人確認プログラム。

【請求項3】

前記ワークフローを生成する処理として、
前記対象の事業者の前記本人確認の完了として、前記利用者本人による前記本人確認の完了及び前記電子証明書による前記本人確認の完了に要する手続時間を最小化した前記ワークフローを生成する
処理を前記コンピュータに実行させることを特徴とする請求項１に記載の本人確認プログラム。

【請求項4】

前記入力する処理として、
前記利用者の属性情報を更新する際に前記利用者の本人確認を実行する対象の事業者の第１のリストと、前記利用者の本人確認を複数の事業者間で連携するか否かを示す事業者の第２のリストと、前記本人確認の完了に必要となる前記事業者毎の前記利用者情報を証明する電子証明書の数と、前記事業者毎の前記本人確認に要する手続時間とを入力し、
前記ワークフローを生成する処理として、
前記第１のリスト、前記第２のリスト、前記事業者毎の電子証明書の数及び前記手続時間を、前記利用者の本人確認に要求する前記対象の事業者を選択して前記対象の事業者の前記本人確認の完了及び前記属性情報の更新に要する手続時間を算出する前記目的関数に入力し、複数の電子証明書で本人確認が完了する前記事業者毎の条件と、前記事業者毎の本人確認を実行した場合の信用度と含む制約条件のもと、前記目的関数を最小化する設計変数を算出し、算出した前記設計変数を用いて、前記事業者毎の本人確認に使用する前記電子証明書の流通手順を記述したワークフローを生成する
処理を前記コンピュータに実行させることを特徴とする請求項１に記載の本人確認プログラム。

【請求項5】

前記事業者毎の本人確認に使用する前記電子証明書の数は、
他の事業者が当該利用者の利用者情報を証明する電子証明書の一部の属性情報を含むサブセットを検証した検証成功のサブセットの数であることを特徴とする請求項１に記載の本人確認プログラム。

【請求項6】

前記入力する処理として、
さらに、前記事業者間で前記電子証明書の連携を認めない信用関係条件を入力し、
前記ワークフローを生成する処理として、
前記第１のリスト、前記第２のリスト、前記事業者毎の電子証明書の数、前記手続時間及び前記信用関係条件を前記目的関数に入力する
処理を前記コンピュータに実行させることを特徴とする請求項１に記載の本人確認プログラム。

【請求項7】

前記入力する処理として、
さらに、前記ワークフローの流通手順の始点となる事業者に対して利用者本人による本人確認手続を実行させる開始条件を入力し、
前記ワークフローを生成する処理として、
前記第１のリスト、前記第２のリスト、前記事業者毎の電子証明書の数、前記手続時間及び前記開始条件を前記目的関数に入力する
処理を前記コンピュータに実行させることを特徴とする請求項１に記載の本人確認プログラム。

【請求項8】

複数の事業者が利用者を識別する利用者情報内の属性情報を分散して管理するシステムを制御する制御装置で使用するワークフローを生成する管理装置であって、
前記利用者の本人確認を実行する対象の事業者の第１のリストと、前記利用者の本人確認を複数の事業者間で連携するか否かを示す事業者の第２のリストと、前記本人確認の完了に必要となる前記事業者毎の前記利用者情報を証明する電子証明書の数と、前記事業者毎の前記本人確認に要する手続時間とを入力する入力部と、
前記第１のリスト、前記第２のリスト、前記事業者毎の電子証明書の数及び前記手続時間を、前記利用者の本人確認に要求する前記対象の事業者を選択して前記対象の事業者の前記本人確認の完了に要する手続時間を算出する目的関数に入力し、複数の電子証明書で本人確認が完了する前記事業者毎の条件と、前記事業者毎の本人確認を実行した場合の信用度と含む制約条件のもと、前記目的関数を最小化する設計変数を算出し、算出した前記設計変数を用いて、前記事業者毎の本人確認に使用する前記電子証明書の流通手順を記述したワークフローを生成する生成部と
を有することを特徴とする管理装置。

【請求項9】

複数の事業者が利用者を識別する利用者情報内の属性情報を分散して管理するシステムを制御する制御装置で使用するワークフローを生成する管理装置が、
前記利用者の本人確認を実行する対象の事業者の第１のリストと、前記利用者の本人確認を複数の事業者間で連携するか否かを示す事業者の第２のリストと、前記本人確認の完了に必要となる前記事業者毎の前記利用者情報を証明する電子証明書の数と、前記事業者毎の前記本人確認に要する手続時間とを入力し、
前記第１のリスト、前記第２のリスト、前記事業者毎の電子証明書の数及び前記手続時間を、前記利用者の本人確認に要求する前記対象の事業者を選択して前記対象の事業者の前記本人確認の完了に要する手続時間を算出する目的関数に入力し、複数の電子証明書で本人確認が完了する前記事業者毎の条件と、前記事業者毎の本人確認を実行した場合の信用度と含む制約条件のもと、前記目的関数を最小化する設計変数を算出し、算出した前記設計変数を用いて、前記事業者毎の本人確認に使用する前記電子証明書の流通手順を記述したワークフローを生成する
処理を実行することを特徴とする本人確認方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、本人確認プログラム、管理装置及び本人確認方法に関する。

【背景技術】

【0002】

近年、デジタル化された利用者の利用者情報であるアイデンティティ情報（ＩＤ情報）を複数の事業者が分散して管理するシステムが注目されている。ＩＤ情報としては、例えば、利用者の住所、電話番号、氏名等の属性情報を含み、利用者本人を識別できる情報である。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００８－２３４４５１号公報

【文献】特開２０１０－１１３４６２号公報

【文献】特開２０１９－４０５３７号公報

【文献】特開２００２－２６９２９５号公報

【文献】特開２０１６－１４８９１９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

本システムでは、例えば、利用者の住所等の属性情報が追加、削除や変更等された場合に、この属性情報を管理している事業者全ての属性情報の更新が必要となる。そこで、利用者は、事業者毎に属性情報変更のための確認書類等の証明書を直接提出又は送付することで本人確認の手続を踏むことになる。そして、事業者は、利用者の本人確認が完了、すなわち利用者本人の確認がとれると、利用者の属性情報を更新する。

【0005】

しかしながら、利用者は、事業者毎に本人確認の手続を踏まなければならず、その本人確認に要する負担は大である。

【0006】

１つの側面では、複数の事業者における利用者の本人確認に要する負担を軽減できる本人確認プログラム等を提供することを目的とする。

【課題を解決するための手段】

【0007】

１つの側面の本人確認プログラムとして、複数の事業者が利用者を識別する利用者情報内の属性情報を分散して管理するシステムを制御する制御装置で使用するワークフローを生成するコンピュータに、第１のリストと、第２のリストと、電子証明書の数と、手続時間とを入力する処理を実行させる。第１のリストは、利用者の本人確認を実行する対象の事業者のリストである。第２のリストは、利用者の本人確認を複数の事業者間で連携するか否かを示す事業者のリストである。電子証明書の数は、本人確認の完了に必要となる事業者毎の利用者情報を証明する電子証明書の数である。手続時間は、事業者毎の本人確認に要する手続時間である。更に、コンピュータに、第１のリスト、第２のリスト、事業者毎の電子証明書の数及び手続時間に基づき、対象の事業者の本人確認の完了に要する手続時間を最小化し、事業者毎の本人確認に使用する電子証明書の流通手順を記述したワークフローを生成する処理を実行させる。

【発明の効果】

【0008】

１つの側面によれば、複数の事業者における利用者の本人確認に要する負担を軽減できる。

【図面の簡単な説明】

【0009】

【図1】図１は、本実施例のＩＤ流通システムの一例を示す説明図である。

【図2】図２は、利用者端末装置の一例を示す説明図である。

【図3】図３は、事業者端末装置の一例を示す説明図である。

【図4A】図４Ａは、事業者Ａの事業者端末装置の属性情報記憶部の一例を示す説明図である。

【図4B】図４Ｂは、事業者Ｂの事業者端末装置の属性情報記憶部の一例を示す説明図である。

【図5】図５は、事業者Ａの事業者端末装置が発行した電子証明書の一例を示す説明図である。

【図6】図６は、管理装置の一例を示す説明図である。

【図7】図７は、管理装置が生成するワークフローの一例を示す説明図である。

【図8A】図８Ａは、図７に示すワークフローの記述内容の一例を示す説明図である。

【図8B】図８Ｂは、図８Ａに示すワークフローの流通手順の一例を示す説明図である。

【図9】図９は、制御装置の一例を示す説明図である。

【図10】図１０は、制御装置内のルーティングテーブルの一例を示す説明図である。

【図11】図１１は、制御装置が発行するプルーフの一例を示す説明図である。

【図12】図１２は、ワークフローに応じて属性情報を更新する際のＩＤ流通システムの動作の一例を示す説明図である。

【図13】図１３は、ＩＤ流通システムの属性情報更新動作の一例を示すシーケンス図である。

【図14】図１４は、ＩＤ流通システムの属性情報更新動作の一例を示すシーケンス図である。

【図15】図１５は、ＩＤ流通システム内の制御装置が発行する各事業者のプルーフの一例を示す説明図である。

【図16A】図１６Ａは、ワークフローの記述内容の他の例を示す説明図である。

【図16B】図１６Ｂは、図１６Ａに示すワークフローの流通手順の一例を示す説明図である。

【図17】図１７は、本人確認プログラムを実行するコンピュータの一例を示すブロック図である。

【発明を実施するための形態】

【0010】

以下、図面に基づいて、本願の開示する本人確認プログラム等の実施例を詳細に説明する。尚、各実施例により、開示技術が限定されるものではない。また、以下に示す各実施例は、矛盾を起こさない範囲で適宜組み合わせても良い。

【実施例】

【0011】

図１は、本実施例のＩＤ流通システム１の一例を示す説明図である。図１に示すＩＤ流通システム１は、利用者端末装置２と、複数の事業者端末装置３と、制御装置４と、管理装置５とを有する。利用者端末装置２は、利用者が使用する、例えば、パソコン、タブレット端末やスマートホン等の情報処理装置である。事業者端末装置３は、事業者毎に配置する、例えば、パソコン、タブレット端末、サーバ装置等の情報処理装置である。事業者端末装置３は、例えば、事業者Ａに配置された事業者端末装置３Ａ、事業者Ｂに配置された事業者端末装置３Ｂ、事業者Ｃに配置された事業者端末装置３Ｃ、事業者Ｄに配置された事業者端末装置３Ｄを有する。更に、事業者端末装置３は、事業者Ｅに配置された事業者端末装置３Ｅ、事業者Ｆに配置された事業者端末装置３Ｆを有する。制御装置４は、ＩＤ流通信システム１全体を管理する、例えば、サーバ装置等の情報処理装置である。管理装置５は、制御装置４で使用する、後述するワークフローを生成する、例えば、サーバ装置等の情報処理装置である。制御装置４は、例えば、インターネットやＬＡＮ（Local Area Network）等の図示せぬ通信網と、各事業者端末装置３との間を接続する。尚、説明の便宜上、ＩＤ流通システム１は、１台の利用者端末装置２、６台の事業者端末装置３、１台の制御装置４、１台の管理装置５を例示したが、台数はこれに限定されるものではなく、適宜変更可能である。

【0012】

各事業者端末装置３は、利用者を識別する利用者ＩＤ情報を分散して管理している。利用者ＩＤ情報は、利用者の氏名、住所や電話番号等の属性情報を含む利用者情報である。利用者は、自分の属性情報を変更する場合、更新対象の属性情報に要する本人確認手続時間を最初化するワークフローの生成を管理装置５に要求する。管理装置５は、利用者からの要求に応じて属性情報を更新する際に要する利用者の本人確認に要する手続時間を最小化する電子証明書の流通手順を含むワークフローを生成し、当該ワークフローを利用者端末装置２に提示する。更に、管理装置５は、提示したワークフローの利用者の同意を得ると、ワークフローを制御装置４に設定する。そして、制御装置４は、設定されたワークフローに基づき、事業者毎に、本人確認及び属性情報更新を実行することになる。

【0013】

例えば、事業者は、利用者本人による本人確認を完了した場合に、属性情報を更新する場合と、電子証明書による本人確認を完了した場合に、属性情報を更新する場合とがある。

【0014】

利用者本人による本人確認とは、例えば、運転免許証、住民票、健康保険証、学生証等の確認書類を利用者が事業者窓口へ出向いて提示する本人確認手続である。また、利用者本人による本人確認とは、例えば、利用者が確認書類のコピー、写真や画像を郵送、電子メール、ウェブアプリケーション等の媒介により事業者に送付する本人確認手続である。

【0015】

また、電子証明書による本人確認は、利用者本人の同意のもと、ある事業者が利用者本人による本人確認手続で確認した利用者情報の電子証明書を発行し、その電子証明書を他の事業者へ送付する。更に、他の事業者は、受け取った電子証明書を検証することで当該電子証明書発行元の真正性を確認する。そして、電子証明書の検証をもって利用者の本人確認手続を完了とする。

【0016】

図２は、利用者端末装置２の一例を示す説明図である。図２に示す利用者端末装置２は、通信部１１と、操作部１２と、出力部１３と、記憶部１４と、制御部１５とを有する。通信部１１は、例えば、管理装置５や制御装置４との間を通信で接続する通信ＩＦ（Interface）である。操作部１２は、各種コマンドを入力する入力ＩＦである。出力部１３は、各種情報を音声出力又は表示出力する出力ＩＦである。記憶部１４は、各種情報を記憶する記憶領域である。制御部１５は、利用者端末装置２全体を制御する。

【0017】

図３は、事業者端末装置３の一例を示す説明図である。図３に示す事業者端末装置３は、通信部２１と、操作部２２と、出力部２３と、第１の記憶部２４と、第１の制御部２５とを有する。通信部２１は、例えば、制御装置４との間を通信で接続する通信ＩＦである。操作部２２は、各種コマンドを入力する入力ＩＦである。出力部２３は、各種情報を音声出力又は表示出力する出力ＩＦである。第１の記憶部２４は、各種情報を記憶する記憶領域である。第１の制御部２５は、事業者端末装置３全体を制御する。

【0018】

第１の記憶部２４は、属性情報記憶部２４Ａと、検証記憶部２４Ｂとを有する。属性情報記憶部２４Ａは、自分が管理する利用者毎の属性情報を管理する領域である。属性情報は、利用者ＩＤ情報の一部である、例えば、利用者の住所、電話番号、生年月日等の各種情報である。検証記憶部２４Ｂは、後述する検証後のプルーフを格納する領域である。

【0019】

第１の制御部２５は、更新部２５Ａと、第１の発行部２５Ｂと、検証部２５Ｃとを有する。更新部２５Ａは、属性情報記憶部２４Ａ内の利用者毎の属性情報の内容を更新する。第１の発行部２５Ｂは、属性情報の内容を更新した場合に利用者ＩＤ情報の電子証明書を発行する。検証部２５Ｃは、後述する制御装置４からの利用者ＩＤ情報の電子証明書に対するプルーフを検証する。検証部２５Ｃは、検証結果に基づき、電子証明書発行元の真正性が確認できた場合、検証成功のプルーフを検証記憶部２４Ｂに記憶する。

【0020】

図４Ａは、事業者Ａの事業者端末装置３Ａの属性情報記憶部２４Ａの一例を示す説明図である。図４Ａに示す属性情報記憶部２４Ａは、例えば、事業者Ａの事業者端末装置３Ａ内の属性情報記憶部２４Ａである。属性情報記憶部２４Ａは、利用者ＩＤと、利用者名と、属性名１と、属性名２と、属性名３と、属性名Ｎとを対応付けて管理する。利用者ＩＤは、利用者を識別する識別子である。利用者名は、利用者を識別する利用者の氏名である。属性名１は、例えば、利用者の住所である。属性名２は、例えば、利用者の生年月日である。属性名３は、例えば、利用者のマイナンバーである。

【0021】

図４Ｂは、事業者Ｂの事業者端末装置３Ｂの属性情報記憶部２４Ａの一例を示す説明図である。図４Ｂに示す属性情報記憶部２４Ａは、例えば、事業者Ｂの事業者端末装置３Ｂ内の属性情報記憶部２４Ａである。属性情報記憶部２４Ａは、利用者ＩＤと、利用者名と、属性名１と、属性名２と、属性名３と、属性名Ｎとを対応付けて管理する。属性名１は、例えば、利用者の住所である。属性名２は、例えば、利用者の勤務先である。属性名３は、例えば、利用者の年収である。

【0022】

図５は、事業者Ａの事業者端末装置３Ａが発行した電子証明書の一例を示す説明図である。図５に示す電子証明書１００は、事業者端末装置３Ａ内の第１の発行部２５Ｂが発行する利用者ＩＤ情報の電子証明書である。電子証明書１００は、図４Ａに示す属性情報の内容、例えば、氏名１０１と、住所１０２と、生年月日１０３と、マイナンバー１０４と、署名１０５とを有する。電子証明書１００は、発行者である事業者Ａが利用者本人の利用者ＩＤ情報の真正性を証明する電子証明書である。氏名１０１は、利用者を識別する氏名である。住所１０２は、利用者の住所である。生年月日１０３は、利用者の生年月日である。マイナンバー１０４は、利用者のマイナンバーである。署名１０５は、発行者である事業者Ａの署名である。電子証明書１００は、電子署名の仕組みに基づき、発行者である事業者Ａの秘密鍵で暗号化されている。

【0023】

図６は、管理装置５の一例を示す説明図である。図６に示す管理装置５は、通信部６１と、操作部６２と、出力部６３と、第３の記憶部６４と、第３の制御部６５とを有する。通信部６１は、例えば、利用者端末装置２や制御装置４との間を通信で接続する通信ＩＦである。操作部６２は、各種コマンドを入力する入力ＩＦである。出力部６３は、各種情報を音声出力又は表示出力する出力ＩＦである。第３の記憶部６４は、各種情報を記憶する記憶領域である。第３の制御部６５は、管理装置５全体を制御する。第３の記憶部６４は、利用者及び更新対象の属性情報のワークフローを記憶するワークフロー記憶部６４Ａを有する。

【0024】

第３の制御部６５は、入力部６５Ａと、生成部６５Ｂと、提供部６５Ｃとを有する。入力部６５Ａは、利用者端末装置２のワークフローの生成要求を検出すると、第１のリスト、第２のリスト、事業者毎の電子証明書の数及び手続時間を入力する。第１のリストは、利用者を本人確認する事業者群のリストである。第２のリストは、利用者の本人確認を複数の事業者間で連携する事業者群のリストである。事業者毎の電子証明書の数は、利用者の本人確認の完了に必要となる、他の事業者が発行した利用者ＩＤ情報を証明する、事業者毎の電子証明書（プルーフ）の数である。手続時間は、事業者毎の利用者本人による本人確認に要する手続時間である。

【0025】

生成部６５Ｂは、第１のリスト、第２のリスト、事業者毎の電子証明書の数及び手続時間に基づき、ワークフローを生成する。ワークフローは、対象の事業者の利用者の本人確認の完了に要する手続時間を最小化し、事業者毎の利用者の本人確認に使用する電子証明書（プルーフ）の流通手順を記述したフローである。

【0026】

提供部６５Ｃは、生成部６５Ｂにて生成したワークフローを、生成要求を発行した利用者端末装置２に提示する。提供部６５Ｃは、利用者端末装置２が同意した同意済みのワークフローを制御装置４に送信する。

【0027】

生成部６５Ｂは、例えば、数理計画アルゴリズムを用いて前述のワークフローを生成する。そこで、以降では、数理計画アルゴリズムの構築例である、入力、設計変数、目的関数及び制約式について詳細に説明する。

【0028】

入力は、各事業者の手続が完了する条件を示す（数１）と、本人確認手続に要する信用度を示す（数２）と、本人確認手続に要する時間を示す（数３）とを有する。

【0029】

【数1】

【0030】

【数2】

【0031】

【数3】

【0032】

各事業者の手続が完了する条件は、例えば、検証に成功したｎ個以上の電子証明書（プルーフ）で本人確認が完了する事業者毎の条件に相当する。本人確認手続に要する信用度は、例えば、利用者本人による本人確認手続が電子証明書（プルーフ）何個分に相当するかを示す事業者毎の情報である。本人確認手続に要する時間は、例えば、窓口手続や確認書類送付による利用者本人による本人確認手続に要する事業者毎の時間を示す情報である。

【0033】

利用者を本人確認する対象の事業者を事業者１～事業者Ｎとする。また、例えば、事業者ｉから事業者ｊに利用者ＩＤ情報の電子証明書を送付し、事業者ｊが当該電子証明書による本人確認手続を認める場合、及び、その場合に限り、ノード対（ｉ，ｊ）が集合Ｅに含まれるとする。集合Ｅは、事業者間の信用関係（ｉ，ｊ）∈Ｅ⇒ｉ→ｊ連携可能とする。事業者ｉが利用者の本人確認を完了とみなすのに必要な電子証明書の数をＣ_ｉとして、アルゴリズムに入力する。更に、利用者本人による本人確認手続の実行が本人確認完了に寄与する度合いが電子証明書何個分に相当するかをｇ_ｉとしてアルゴリズムに入力する。更に、利用者本人による本人確認手続きに要する時間をｆ_ｉとしてアルゴリズムに入力する。

【0034】

設計変数は、フェーズｐで実行される手続を示すリンク設計変数（数４）と、各事業者に対する本人確認手続の有無を示す設計変数（数５）と、各事業者の手続完了状態を示すノード設計変数（数６）とを有する。リンク設計変数は、例えば、事業者毎の電子証明書の送付先等の情報である。本人確認手続の有無を示す設計変数とは、例えば、窓口等で利用者本人による本人確認手続を必要とする事業者であるか否かを識別する情報である。ノード設計変数は、例えば、本人確認手続が完了したか否かを識別する事業者毎のフラグ等の情報である。

【0035】

【数4】

【0036】

【数5】

【0037】

【数6】

【0038】

利用者ＩＤ情報の流通手順はフェーズ周期で記述できる。フェーズ１では利用者本人による本人確認手続を実行し、以降のフェーズｐ（≧２）ではフェーズｐ－１以前で当該利用者の本人確認済みの事業者から発行される利用者ＩＤ情報の電子証明書の受け取り、及び電子証明書による本人確認手続を実行することになる。本人確認する対象の事業者群を頂点集合、集合Ｅを辺集合とするグラフにおいて、全ての事業者対の最短経路ホップ長のうち最大の値をＨとする。どの事業者からどの事業者へ対しても最大でもＨホップで到達可能であり、つまり、最大でもＨフェーズ以内に全事業者に対して電子証明書の流通が完了することになる。よって、利用者本人による本人確認手続を実行するフェーズ１を加えて、全Ｈ＋１フェーズに渡る手順について設計を行う。設計変数はバイナリ型のフラグ変数の（数７）で構成される。

【0039】

【数7】

【0040】

（数８）は、フェーズｐで事業者ｉから事業者ｊへ当該利用者ＩＤ情報の電子証明書を送付することを示す。

【0041】

【数8】

【0042】

（数９）は、フェーズｐでは事業者ｉから事業者ｊへ当該ユーザID情報の電子証明書を送付しないことを示す。

【0043】

【数9】

【0044】

ｚ_ｉ＝１の場合は、フェーズ１で当該利用者は事業者ｉに対して利用者本人による本人確認手続を行うことを示す。ｚ_ｉ＝０の場合は、当該利用者は事業者ｉに対して利用者本人による本人確認手続を行わないこと示す。

【0045】

（数１０）は、フェーズｐで事業者ｉが当該利用者の本人確認を完了する、又は、それ以前のフェーズで本人確認を完了していることを示している。この本人確認の完了には、利用者本人による本人確認手続及び電子証明書による本人確認手続の両方もしくはいずれかの手順を含む。

【0046】

【数10】

【0047】

（数１１）は、フェーズｐでは事業者ｉは当該利用者の本人確認が完了していないことを示している。

【0048】

【数11】

【0049】

目的関数は、（数１２）に示す。

【0050】

【数12】

【0051】

目的関数は３項の和を最小化するための数式である。第１項のΣ_ｊｆ_ｊｚ_ｊは利用者本人による本人確認手続に要する時間の和である。第２項の（数１３）は事業者間での利用者ＩＤ情報の電子証明書送付回数の実行フェーズで重みを付けた重み付き和である。

【0052】

【数13】

【0053】

第３項の（数１４）は本人確認完了フラグのバイオレーションを抑制する項である。δは十分に小さい正数(１０^－３等)である。

【0054】

【数14】

【0055】

制約条件は、信用関係条件、手続完了条件、本人確認手続の開始条件、手動連動条件、事業者ｊの手続実行条件がある。

【0056】

信用関係条件は、（数１５）に示すように、利用者ＩＤ情報の電子証明書の連携を認めない事業者間では電子証明書の送付を実行させない制約である。

【0057】

【数15】

【0058】

手順完了条件は、（数１６）に示すように、全ての対象事業者について最終フェーズまでには当該利用者の本人確認を完了させる条件である。

【0059】

【数16】

【0060】

本人確認手続の開始条件は、(数１７)に示すように、ワークフローの始点として、いずれかの事業者に対しては利用者本人による本人確認手続を実行させる条件である。

【0061】

【数17】

【0062】

手順連動条件は、（数１８）、（数１９）及び（数２０）を有する。

【0063】

【数18】

【0064】

【数19】

【0065】

【数20】

【0066】

手順連動条件の（数１８）は、フェーズ１では電子証明書の流通を実行させない制約である。手順連動条件の（数１９）は、事業者が当該利用者の本人確認を以前のフェーズで完了している場合に限り、当該事業者が当該利用者ＩＤ情報の電子証明書を発行し、いずれかの他の事業者へ送付可能とする制約である。ただし、Ｌは十分に大きい正数(１０^３等)である。手順連動条件の（数２０）は、同一事業者対で利用者ＩＤ情報の電子証明書を重複して送付させない制約である。

【0067】

事業者ｊの手続実行条件は、（数２１）及び（数２２）を有する。

【0068】

【数21】

【0069】

【数22】

【0070】

事業者ｊの手続実行条件の（数２１）は、事業者ｊが本人確認の完了に必要な数以上の電子証明書（プルーフ）の受領、電子証明書の代替としての利用者本人による本人確認手続、又は、利用者本人による本人確認手続に加えて必要数の電子証明書（プルーフ）の受領のいずれかにより、事業者ｊの本人確認の完了要件を満たしたフェーズｐにおいて、（数２３）として本人確認完了のフラグを立てる制約である。

【0071】

【数23】

【0072】

尚、本人確認を完了した以降のフェーズｐ＋１、ｐ＋２…においても（数２４）となる。

【0073】

【数24】

【0074】

事業者ｊの手続実行条件の（数２２）は、事業者ｊが本人確認の完了に必要な数以上の電子証明書（プルーフ）の受領、電子証明書の代替としての利用者本人による本人確認手続、及び利用者本人による本人確認手続に加えて必要数の電子電子証明書の受領のいずれによっても、事業者ｊの本人確認を完了とする要件が満たされていないフェーズｐにおいては（数２５）として本人確認完了のフラグを立てさせない制約である。

【0075】

【数25】

【0076】

従って、上記の最適化問題を解くことにより得られる設計変数（数２６）について、（数２７）は当該利用者が利用者本人による本人確認手続を行う事業者を示す。更に、（数２８）はそれぞれ、利用者ＩＤ情報の電子証明書を送信する事業者、受信する事業者、そして、その実行順を示す。対象の事業者全てに対して本人確認を完了するためのワークフローが求まる。

【0077】

【数26】

【0078】

【数27】

【0079】

【数28】

【0080】

そして、制御装置４は、ワークフローに従い利用者本人による本人確認手続及び電子証明書による本人確認手続を遂行することで、本人確認に要する手続時間を最小化しながら、属性情報の更新全体の手続に要する時間を最小化できる。

【0081】

図７は、管理装置５が生成するワークフローの一例を示す説明図、図８Ａは、図７に示すワークフローの記述内容の一例を示す説明図、図８Ｂは、図８Ａに示すワークフローの流通手順の一例を示す説明図である。管理装置５は、利用者を本人確認する対象の事業者の第１のリスト、利用者の本人確認を事業者間で連携するか否かを示す事業者の第２のリストを入力する。また、管理装置５は、本人確認手続に必要な電子証明書の数(例えば、２個)、利用者本人による本人確認に要する事業者毎の手続時間を入力する。尚、第１のリストは、例えば、事業者Ａ、事業者Ｂ、事業者Ｃ及び事業者Ｄとする。管理装置５内の生成部６５Ｂは、複数の事業者から利用者の本人確認を要求する対象の事業者を選択し、全ての事業者内で利用者の本人確認が完了するまでの時間が最小のワークフローを生成する。

【0082】

図８Ｂに示すワークフローでは、利用者が事業者Ａに対して利用者による本人確認を実行し、事業者Ａが利用者による本人確認の完了を得て属性情報を更新した場合に、制御装置４が事業者Ａ発行の電子証明書を証明するプルーフを事業者Ｃ及びＤに発行する。次に、利用者が事業者Ｂに対して利用者による本人確認を実行し、事業者Ｂが利用者による本人確認の完了を得て属性情報を更新した場合に、制御装置４が事業者Ｂ発行の電子証明書を証明するプルーフを事業者Ｃに発行する。次に、事業者Ｃは、事業者Ａ発行の電子証明書を証明するプルーフと事業者Ｂ発行の電子証明書を証明するプルーフとで電子証明書による本人確認を実行する。事業者Ｃは、電子証明書による本人確認の完了を得て属性情報を更新した場合に、制御装置４が事業者Ｃ発行の電子証明書を証明するプルーフを事業者Ｄに発行する。更に、事業者Ｄは、事業者Ａ発行の電子証明書を証明するプルーフと、事業者Ｃ発行の電子証明書を証明するプルーフとで電子証明書による本人確認を実行する。事業者Ｄは、電子証明書による本人確認の完了を得て属性情報を更新した場合に、全ての事業者の利用者の本人確認及び属性情報の更新が完了する。

【0083】

図９は、制御装置４の一例を示す説明図である。図９に示す制御装置４は、通信部３１と、操作部３２と、出力部３３と、第２の記憶部３４と、第２の制御部３５とを有する。通信部３１は、例えば、利用者端末装置２、事業者端末装置３や管理装置５との間を通信で接続する通信ＩＦである。操作部３２は、各種コマンドを入力する入力ＩＦである。出力部３３は、各種情報を音声出力又は表示出力する出力ＩＦである。第２の記憶部３４は、各種情報を記憶する記憶領域である。第２の制御部３５は、制御装置４全体を制御する。

【0084】

第２の記憶部３４は、利用者ポリシ４１と、事業者ポリシ４２と、ワークフローテーブル４３と、ルーティングテーブル４４とを有する。利用者ポリシ４１は、例えば、利用者からのどの事業者の属性情報を更新するか／どの事業者の電子証明書（プルーフ）を連携させるかを指定するポリシテーブルである。事業者ポリシ４２は、事業者が指定する、連携先の候補（利用者ＩＤ情報の電子証明書をもらう先）と、更新に必要な電子証明書（プルーフ）の数とを管理するテーブルである。事業者ポリシ４２は、本人確認の完了に際して、例えば、ｎ個以上の事業者からの利用者ＩＤ情報のプルーフが必要とする要件、指定した事業者に対してのみ利用者ＩＤ情報の連携を受け付ける条件、利用者本人による本人確認手続が必須とする条件とがある。管理装置５は、ワークフローを生成するのに必要な第１のリスト、第２のリスト、電子証明書の数や手続時間等の各種情報を制御装置４内の利用者ポリシ４１や事業者ポリシ４２から入手するものとする。

【0085】

ワークフローテーブル４３は、利用者が要求した更新対象の属性情報及び、管理装置５から利用者同意済みのワークフローを管理するテーブルである。ルーティングテーブル４４は、例えば、事業者端末装置３毎の宛先アドレスを管理するテーブルである。

【0086】

第２の制御部３５は、スイッチング部５１と、コントロール部５２とを有する。スイッチング部５１は、ルーティングテーブル４４を参照し、各種情報を事業者端末装置３に送信する。コントロール部５２は、第２の制御部３５全体を制御する。

【0087】

コントロール部５２は、設定部５２Ａと、取得部５２Ｂと、第２の発行部５２Ｃと、送信部５２Ｄとを有する。設定部５２Ａは、管理装置５から入力した利用者が同意済みのワークフロー及び更新対象の利用者の属性情報を設定する。取得部５２Ｂは、事業者端末装置３からの属性情報の更新完了に応じて当該事業者端末装置３に対して利用者ＩＤ情報を証明する電子証明書の発行を要求する。取得部５２Ｂは、電子証明書の発行要求に応じて、事業者端末装置３が発行した電子証明書を取得する。第２の発行部５２Ｃは、取得部５２Ｂにて取得した事業者発行元の電子証明書を証明するプルーフを発行する。送信部５２Ｄは、流通手順に応じてプルーフを当該プルーフの基礎となる電子証明書を発行した事業者の直下の各事業者に送信する。

【0088】

図１０は、制御装置４内のルーティングテーブル４４の一例を示す説明図である。図１０に示すルーティングテーブル４４は、端末ＩＤ４４Ａと、アドレス４４Ｂとを対応付けて管理している。端末ＩＤ４４Ａは、例えば、事業者端末装置３、スイッチング部５１及びコントロール部５２を識別するＩＤである。アドレス４４Ｂは、例えば、事業者端末装置３、スイッチング部５１及びコントロール部５２の宛先を識別するＩＰアドレスである。

【0089】

制御装置４は、事業者端末装置３Ａから事業者Ａ発行の電子証明書を受信し、当該電子証明書のプルーフを事業者端末装置３Ｃに送信する場合、事業者端末装置３Ａ→スイッチング部５１→コントロール部５２のルートで事業者Ａ発行の電子証明書を送信する。更に、制御装置４は、コントロール部５２→スイッチング部５１→事業者端末装置３Ｃのルートで事業者Ａ発行の電子証明書のプルーフを送信する。従って、事業者端末装置３Ａ及び事業者端末装置３Ｃは、制御装置４のスイッチング部５１のアドレスだけを認識していればよく、相手先の事業者端末装置３のアドレスを認識する必要はない。例えば、電子証明書送信元の事業者端末装置３Ｃ側で事業者端末装置３Ａのアドレスがばれてしまうような事態を回避することでセキュリティの向上を図られる。

【0090】

図１１は、制御装置４が発行するプルーフの一例を示す説明図である。制御装置４内の第２の発行部５２Ｃは、事業者端末装置３から取得した電子証明書を電子証明書発行元の事業者の公開鍵で検証する。更に、第２の発行部５２Ｃは、電子証明書が事業者発行元の電子証明書の真正性が確認できた場合、電子証明書から更新対象の属性情報に関係のない属性情報を黒塗りにしてプルーフを発行する。尚、説明の便宜上、電子証明書は事業者Ａ発行元の電子証明書、更新対象の属性情報は「住所」とする。図１１に示すプルーフ１１０は、事業者Ａ発行元の電子証明書を証明するプルーフに相当する。プルーフ１１０は、更新対象の属性情報に関連する氏名１１１及び住所１１２を残し、更新対象の属性情報に関係のない生年月日１１３及びマイナンバー１１４の属性情報を黒塗りし、署名１１５と、副署名１１６とを有する。署名１１５は、証明する電子証明書の発行元の事業者の署名である。副署名１１６は、当該プルーフ１１０発行元の制御装置４の署名である。第２の発行部５２Ｃは、電子証明書１００を発行した事業者Ａの秘密鍵と、プルーフ１１０を発行した制御装置４の秘密鍵とでプルーフを暗号化する。

【0091】

制御装置４は、ワークフローに基づき、発行したプルーフ１１０を後続の事業者端末装置３に送信する。また、各事業者端末装置３は、例えば、制御装置４から事業者発行の電子証明書を証明したプルーフ１１０を受信した場合、プルーフ１１０に署名された事業者の公開鍵及び制御装置４の公開鍵でプルーフ１１０を復号化してプルーフ１１０を検証する。

【0092】

次に本実施例のＩＤ流通システム１の動作について説明する。図１２は、ワークフローに応じて属性情報を更新する際のＩＤ流通システム１の動作の一例を示す説明図である。
管理装置５は、利用者同意済みのワークフローを制御装置４に設定する。制御装置４は、ワークフローに応じて利用者の利用者端末装置２に対して、事業者Ａへの属性情報更新の利用者による本人確認手続を指示する。利用者は、事業者Ａに対して利用者による本人確認を実行する（ステップＳ１）。事業者Ａは、利用者による本人確認が完了すると、事業者Ａ内の属性情報を更新した後、事業者Ａ発行の電子証明書を制御装置４に発行する（ステップＳ２）。尚、事業者Ａは、確認書類の属性情報で属性情報記憶部２４Ａに記憶中の当該利用者の属性情報を更新する。更に、制御装置４は、事業者Ａ発行の電子証明書を受信した場合、ワークフローに応じて、事業者Ａ発行の電子証明書を証明するプルーフを事業者Ｃ及び事業者Ｄに発行する（ステップＳ３）。尚、事業者Ｃ及び事業者Ｄは、事業者Ａ発行の電子証明書を証明するプルーフを受信した場合、当該プルーフを検証し、検証成功のプルーフを検証記憶部２４Ｂに記憶する。

【0093】

また、制御装置４は、ワークフローに応じて利用者の利用者端末装置２に対して、事業者Ｂへの属性情報更新の利用者による本人確認手続を指示する。利用者は、事業者Ｂに対して利用者による本人確認を実行する（ステップＳ４）。事業者Ｂは、利用者による本人確認が完了すると、事業者Ｂ内の属性情報を更新した後、事業者Ｂ発行の電子証明書を制御装置４に発行する（ステップＳ５）。尚、事業者Ａは、確認書類の属性情報で属性情報記憶部２４Ａに記憶中の当該利用者の属性情報を更新する。更に、制御装置４は、事業者Ｂ発行の電子証明書を受信した場合、ワークフローに応じて、事業者Ｂ発行の電子証明書を証明するプルーフを事業者Ｃに発行する（ステップＳ６）。尚、事業者Ｄは、事業者Ｂ発行の電子証明書を証明するプルーフを受信した場合、当該プルーフを検証し、検証成功のプルーフを検証記憶部２４Ｂに記憶する。

【0094】

事業者Ｃは、事業者Ａ発行の電子証明書を証明する検証成功のプルーフと、事業者Ｂ発行の電子証明書を証明する検証成功のプルーフとを用いて電子証明書による本人確認を実行する。事業者Ｃは、電子証明書による本人確認が完了すると、事業者Ｃ内の属性情報を更新した後、事業者Ｃ発行の電子証明書を制御装置４に発行する（ステップＳ７）。尚、事業者Ｃは、検証成功のプルーフ内の属性情報で属性情報記憶部２４Ａに記憶中の当該利用者の属性情報を更新する。更に、制御装置４は、事業者Ｃ発行の電子証明書を受信した場合、ワークフローに応じて、事業者Ｃ発行の電子証明書を証明するプルーフを事業者Ｄに発行する（ステップＳ８）。尚、事業者Ｄは、事業者Ｃ発行の電子証明書を証明するプルーフを受信した場合、当該プルーフを検証し、検証成功のプルーフを検証記憶部２４Ｂに記憶する。

【0095】

事業者Ｄは、事業者Ａ発行の電子証明書を証明する検証成功のプルーフと、事業者Ｃ発行の電子証明書を証明する検証成功のプルーフとを用いて電子証明書による本人確認を実行する。事業者Ｄは、電子証明書による本人確認が完了すると、事業者Ｄ内の属性情報を更新する。その結果、事業者Ａ、事業者Ｂ、事業者Ｃ及び事業者Ｄは、利用者による本人確認を最小限に実行すること利用者の属性情報を更新できる。

【0096】

図１３及び図１４は、ＩＤ流通信システム１の属性情報更新動作の一例を示すシーケンス図である。尚、説明の便宜上、利用者の更新対象の属性情報が複数の事業者の内、事業者Ａ、事業者Ｂ、事業者Ｃ及び事業者Ｄに分散して管理しているものとする。

【0097】

利用者端末装置２は、更新対象の属性情報に関するワークフローの生成要求を管理装置５に送信する（ステップＳ３１）。管理装置５内の生成部６５Ｂは、ワークフローの生成要求を検出すると、更新対象の属性情報、設計変数、入力条件、制約条件及び目的関数に基づき、利用者の属性情報更新に関わるワークフローを生成する（ステップＳ３２）。尚、説明の便宜上、ワークフローは、図１２に示すように、例えば、事業者Ａ→事業者Ｂ→事業者Ｃ→事業者Ｄの手順となる。

【0098】

管理装置５内の提供部６５Ｃは、ワークフローを生成した後、生成後のワークフローを利用者端末装置２に提示する（ステップＳ３３）。提供部６５Ｃは、提示されたワークフローに対する利用者端末装置２の同意操作を検出した場合（ステップＳ３４）、該当利用者の同意済みのワークフロー及び利用者の更新対象の属性情報（属性名及び属性値）を制御装置４に送信する（ステップＳ３５）。尚、属性名は、例えば「住所」、属性値は、例えば「川崎市ＸＸＸ」等である。

【0099】

制御装置４は、管理装置５から同意済みのワークフロー及び更新対象の属性情報を受信した場合、同意済みのワークフロー及び更新対象の属性情報をワークフロー記憶部６４Ａに記憶して設定する（ステップＳ３６）。制御装置４は、ワークフロー内の流通手順を参照し、事業者Ａへの本人確認要求を利用者端末装置２に送信する（ステップＳ３７）。利用者端末装置２の利用者は、ステップＳ３７の事業者Ａへの本人確認の要求を検出した場合、事業者Ａへの利用者による本人確認手続を実行する（ステップＳ３８）。尚、利用者による本人確認手続は、例えば、事業者Ａの受付窓口への確認書類の提出等である。

【0100】

事業者Ａの事業者端末装置３Ａは、利用者の更新対象の属性情報に関わる本人確認手続を検出した場合、本人確認の完了条件に合致したか否かを判定する。更に、事業者Ａの事業者端末装置３Ａは、本人確認の完了条件に合致した場合（ステップＳ３９）、利用者の本人確認が成功したものと判断して本人確認を完了する（ステップＳ４０）。事業者端末装置３Ａは、本人確認を完了後に利用者の更新対象の属性情報で属性情報記憶部２４Ａ内の該当利用者の属性情報を更新する（ステップＳ４１）。

【0101】

事業者Ａの事業者端末装置３Ａは、該当利用者の属性情報を更新した場合、属性情報の更新完了を制御装置４に送信する（ステップＳ４２）。制御装置４は、事業者Ａの事業者端末装置３Ａから属性情報の更新完了を受信した場合、ワークフロー内の全事業者の更新対象の属性情報の更新が完了したか否かを判定する。

【0102】

制御装置４は、ワークフロー内の全事業者の更新対象の属性情報の更新が完了していないと判断されると、事業者Ａの事業者端末装置３Ａに対して電子証明書の発行要求を送信する（ステップＳ４３）。事業者Ａの事業者端末装置３Ａ内の第１の発行部２５Ｂは、制御装置４からの電子証明書の発行要求を受信した場合、属性情報更新の事業者Ａの電子証明書を発行する（ステップＳ４４）。尚、第１の発行部２５Ｂは、事業者Ａの秘密鍵で事業者Ａ発行の電子証明書を暗号化する。第１の発行部２５Ｂは、事業者Ａ発行の電子証明書を制御装置４に送信する（ステップＳ４５）。

【0103】

制御装置４内の取得部５２Ｂは、事業者Ａ発行の電子証明書を受信した後、事業者Ａの公開鍵で事業者Ａ発行の電子証明書を検証する（ステップＳ４６）。尚、取得部５２Ｂは、事業者Ａの公開鍵で事業者Ａ発行の電子証明書を復号化できた場合に検証成功と判断する。制御装置４内の第２の発行部５２Ｃは、事業者Ａ発行の電子証明書の検証が成功した場合、事業者Ａ発行の電子証明書を証明するプルーフを発行する（ステップＳ４７）。尚、第２の発行部５２Ｃは、事業者Ａ発行の電子証明書から更新対象の属性情報「住所」及び「名前」を除く、不要な属性情報を黒塗りにしてプルーフを事業者Ａの秘密鍵及び制御装置４の秘密鍵で暗号化して発行する。第２の発行部５２Ｃは、ワークフロー内の流通手順を参照し、事業者Ａ発行の電子証明書を証明するプルーフを事業者Ｃの事業者端末装置３Ｃに送信する（ステップＳ４８）。

【0104】

事業者Ｃの事業者端末装置３Ｃ内の検証部２５Ｃは、制御装置４からの事業者Ａ発行の電子証明書を証明するプルーフを受信した場合、事業者Ａ発行の電子証明書のプルーフを検証する（ステップＳ４９）。検証部２５Ｃは、事業者Ａの公開鍵及び制御装置４の公開鍵でプルーフを復号化できた場合に検証成功と判断する。検証部２５Ｃは、事業者Ａ発行の電子証明書のプルーフの検証が成功した場合、当該事業者Ａ発行の電子証明書を証明するプルーフを検証記憶部２４Ｂに記憶する（ステップＳ５０）。

【0105】

また、制御装置４内の第２の発行部５２Ｃは、ワークフロー内の流通手順を参照し、事業者Ａ発行の電子証明書を証明するプルーフを事業者Ｄの事業者端末装置３Ｄに送信する（ステップＳ４８Ａ）。事業者Ｄの事業者端末装置３Ｄ内の検証部２５Ｃは、制御装置４からの事業者Ａ発行の電子証明書を証明するプルーフを受信した場合、事業者Ａ発行の電子証明書のプルーフを検証する（ステップＳ４９Ａ）。検証部２５Ｃは、事業者Ａ発行の電子証明書のプルーフの検証が成功した場合、当該事業者Ａ発行の電子証明書を証明するプルーフを検証記憶部２４Ｂに記憶する（ステップＳ５０Ａ）。

【0106】

図１４において制御装置４は、図１３の処理動作を実行後、ワークフローの流通手順を参照し、事業者Ｂへの本人確認要求を利用者端末装置２に送信する（ステップＳ５１）。利用者端末装置２の利用者は、ステップＳ５１の事業者Ｂへの本人確認要求を検出した場合、事業者Ｂへの利用者による本人確認手続を実行する（ステップＳ５２）。尚、利用者による本人確認手続は、例えば、事業者Ｂの受付窓口への確認書類の提出等である。

【0107】

事業者Ｂの事業者端末装置３Ｂは、利用者の更新対象の属性情報に関わる本人確認手続を検出した場合、本人確認の完了条件に合致したか否かを判定する。事業者Ｂの事業者端末装置３Ｂは、本人確認の完了条件を合致した場合（ステップＳ５３）、利用者の本人確認が成功したものと判断して本人確認を完了する（ステップＳ５４）。事業者端末装置３Ｂは、本人確認を完了後に利用者の更新対象の属性情報で属性情報記憶部２４Ａ内の該当利用者の属性情報を更新する（ステップＳ５５）。事業者Ｂの事業者端末装置３Ｂ内の第１の発行部２５Ｂは、利用者の属性情報を更新した場合、属性情報の更新完了を制御装置４に送信する（ステップＳ５６）。制御装置４は、事業者Ｂの事業者端末装置３Ｂから属性情報の更新完了を受信した場合、ワークフロー内の全事業者の更新対象の属性情報の更新が完了したか否かを判定する。

【0108】

制御装置４は、ワークフロー内の全事業者の更新対象の属性情報の更新が完了していないと判断されると、事業者Ｂの事業者端末装置３Ｂに対して電子証明書の発行要求を送信する（ステップＳ５７）。事業者Ｂの事業者端末装置３Ｂ内の第１の発行部２５Ｂは、制御装置４からの電子証明書の発行要求を受信した場合、事業者Ｂ発行の電子証明書を発行する（ステップＳ５８）。第１の発行部２５Ｂは、事業者Ｂ発行の電子証明書を制御装置４に送信する（ステップＳ５９）。尚、第１の発行部２５Ｂは、事業者Ｂの秘密鍵で事業者Ｂ発行の電子証明書を暗号化する。

【0109】

制御装置４内の取得部５２Ｂは、事業者Ｂ発行の電子証明書を受信した場合、事業者Ｂの公開鍵で事業者Ｂ発行の電子証明書を検証する（ステップＳ６０）。尚、取得部５２Ｂは、事業者Ｂの公開鍵で事業者Ｂ発行の電子証明書を復号化できた場合に検証成功と判断する。制御装置４内の第２の発行部５２Ｃは、事業者Ｂ発行の電子証明書の検証が成功した場合、事業者Ｂ発行の電子証明書を証明するプルーフを発行する（ステップＳ６１）。第２の発行部５２Ｃは、ワークフロー内の流通手順を参照し、事業者Ｂ発行の電子証明書を証明するプルーフを事業者Ｃの事業者端末装置３Ｃに送信する（ステップＳ６２）。事業者Ｃの事業者端末装置３Ｃ内の検証部２５Ｃは、事業者Ｂ発行の電子証明書を証明するプルーフを検証する（ステップＳ６３）。事業者Ｃの事業者端末装置３Ｃ内の検証部２５Ｃは、事業者Ｂ発行の電子証明書を証明するプルーフの検証が成功した場合、当該事業者Ｂ発行の電子証明書を証明するプルーフを検証記憶部２４Ｂに記憶する（ステップＳ６３Ａ）。

【0110】

事業者Ｃの事業者端末装置３Ｃ内の更新部２５Ａは、検証記憶部２４Ｂに記憶中のプルーフが本人確認の完了条件に合致したか否かを判定する。尚、この本人確認の完了条件は、事業者Ａ発行元の電子証明書を証明する検証成功のプルーフと、事業者Ｂ発行元の電子証明書を証明する検証成功のプルーフとで電子証明書による本人確認の完了と判断する。更新部２５Ａは、本人確認の完了条件に合致した場合（ステップＳ６４）、本人確認を完了する（ステップＳ６５）。事業者端末装置３Ｃは、本人確認完了後に利用者の属性情報で属性情報記憶部２４Ａに記憶中の該当利用者の属性情報を更新する（ステップＳ６６）。事業者Ｃの事業者端末装置３Ｃ内の第１の発行部２５Ｂは、利用者の属性情報を更新した場合、属性情報の更新完了を制御装置４に送信する（ステップＳ６７）。制御装置４内の第２の発行部５２Ｃは、事業者Ｃの事業者端末装置３Ｃから属性情報の更新完了を受信した場合、ワークフロー内の全事業者の更新対象の属性情報の更新が完了したか否かを判定する。

【0111】

制御装置４は、ワークフロー内の全事業者の更新対象の属性情報の更新が完了していないと判断されると、事業者Ｃの事業者端末装置３Ｃに対して電子証明書の発行要求を送信する（ステップＳ６８）。事業者Ｃの事業者端末装置３Ｃ内の第１の発行部２５Ｂは、制御装置４からの電子証明書の発行要求を受信した場合、事業者Ｃ発行の電子証明書を発行する（ステップＳ６９）。第１の発行部２５Ｂは、事業者Ｃ発行の電子証明書を制御装置４に送信する（ステップＳ７０）。尚、第１の発行部２５Ｂは、事業者Ｃの秘密鍵で事業者Ｃ発行の電子証明書を暗号化する。

【0112】

制御装置４内の取得部５２Ｂは、事業者Ｃ発行の電子証明書を受信した場合、事業者Ｃの公開鍵で事業者Ｃ発行の電子証明書を検証する（ステップＳ７１）。尚、取得部５２Ｂは、事業者Ｃの公開鍵で事業者Ｃ発行の電子証明書を復号化できた場合に検証成功と判断する。制御装置４内の第２の発行部５２Ｃは、事業者Ｃ発行の電子証明書の検証が成功した場合、事業者Ｃ発行の電子証明書を証明するプルーフを発行する（ステップＳ７２）。

【0113】

第２の発行部５２Ｃは、ワークフロー内の流通手順を参照し、事業者Ｃ発行の電子証明書を証明するプルーフを事業者Ｄの事業者端末装置３Ｄに送信する（ステップＳ７３）。事業者Ｄの事業者端末装置３Ｄ内の検証部２５Ｃは、事業者Ｃ発行の電子証明書を証明するプルーフを検証する（ステップＳ７４）。検証部２５Ｃは、事業者Ｃ発行の電子証明書を証明するプルーフの検証が成功した場合、当該事業者Ｃ発行の電子証明書を証明するプルーフを検証記憶部２４Ｂに記憶する（ステップＳ７４Ａ）。

【0114】

事業者Ｄの事業者端末装置３Ｄ内の更新部２５Ａは、検証記憶部２４Ｂに記憶中のプルーフが本人確認の完了条件に合致したか否かを判定する。更新部２５Ａは、本人確認の完了条件が合致した場合（ステップＳ７５）、本人確認を完了する（ステップＳ７６）。事業者端末装置３Ｄは、本人確認を完了後に利用者の更新対象の属性情報で属性情報記憶部２４Ａに記憶中の該当利用者の属性情報を更新する（ステップＳ７７）。

【0115】

事業者Ｄの事業者端末装置３Ｄ内の第１の発行部２５Ｂは、属性情報を更新した場合、属性情報の更新完了を制御装置４に送信する（ステップＳ７８）。制御装置４内の第２の発行部５２Ｃは、事業者Ｄの事業者端末装置３Ｄから属性情報の更新完了を受信した場合、ワークフロー内の全事業者の更新対象の属性情報の更新が完了したか否かを判定する。

【0116】

制御装置４は、全事業者の更新対象の属性情報の更新が完了した場合（ステップＳ７９）、更新対象の更新情報に関わる全事業者の更新が完了したことを示す全更新完了を利用者端末装置２に送信し（ステップＳ８０）、図１４に示す処理動作を終了する。その結果、利用者端末装置２の利用者は、全事業者の属性情報の更新が完了したことにを認識できる。

【0117】

属性情報更新処理では、事業者Ａ及びＢが利用者本人による本人確認手続により当該事業者が管理する利用者の属性情報を更新すると、電子証明書を発行し後続の他の事業者Ｃ及びＤに送付する。更に、当該他の事業者Ｃ及びＤは電子証明書による本人確認手続により当該他の事業者Ｃ及びＤが管理する利用者の属性情報を更新する。さらに、当該他の事業者Ｃは電子証明書を発行し、更に異なる事業者Ｄへ流通させる。これを繰り返すことで、後続事業者は、利用者本人による本人確認手続を踏まずに、電子証明書による本人確認手続を経て、利用者の属性情報を管理する全ての事業者の属性情報を更新できる。

【0118】

図１５は、ＩＤ流通システム１内の制御装置４が発行する各事業者のプルーフの一例を示す説明図である。制御装置４は、事業者端末装置３Ａから事業者Ａ発行の電子証明書を取得した場合、事業者Ａ発行の電子証明書内の属性情報の内、必要な属性情報である「氏名」及び「住所」の属性値を残す。そして、制御装置４は、電子証明書内の属性情報の内、不要な属性情報である「マイナンバー」及び「生年月日」の属性値を黒塗りにしてプルーフ１１０Ａを生成する。そして、制御装置４は、生成後のプルーフ１１０Ａをワークフロー内の流通手順の後続の事業者端末装置３Ｃ及び事業者端末装置３Ｄに送信する。

【0119】

更に、制御装置４は、事業者端末装置３Ｂから事業者Ｂ発行の電子証明書を取得した場合、事業者Ｂ発行の電子証明書内の属性情報の内、必要な属性情報である「氏名」及び「住所」の属性値を残す。そして、制御装置４は、電子証明書内の属性情報の内、不要な属性情報である「勤務先」及び「年収」の属性値を黒塗りにしてプルーフ１１０Ｂを生成する。そして、制御装置４は、生成後のプルーフ１１０Ｂをワークフロー内の流通手順の後続の事業者端末装置３Ｃに送信する。

【0120】

更に、制御装置４は、事業者端末装置３Ｃから事業者Ｃ発行の電子証明書を取得した場合、事業者Ｃ発行の電子証明書内の属性情報の内、必要な属性情報である「氏名」及び「住所」の属性値を残す。そして、制御装置４は、不要な属性情報である「口座番号」及び「取引年数」の属性値を黒塗りにしてプルーフ１１０Ｃを生成する。そして、制御装置４は、生成後のプルーフ１１０Ｃをワークフロー内の流通手順の後続の事業者端末装置３Ｄに送信する。

【0121】

その結果、制御装置４は、各事業者が発行する、異なる種別の属性情報から構成される電子証明書を使用して更新対象の属性情報のみを事業者間で順次送信することで、そのセキュリティ性能を高めることができる。

【0122】

本実施例の管理装置５は、第１のリストと、第２のリストと、事業者毎のプルーフの数と、事業者毎の本人確認に要する手続時間とに基づき、対象の事業者の本人確認の完了に要する手続時間を最小化した流通手順のワークフローを生成する。流通手順は、事業者毎の本人確認に使用する電子証明書及びプルーフの流通手順である。その結果、複数の事業者における利用者の本人確認に要する負担を軽減できる。

【0123】

管理装置５は、生成したワークフローを利用者の利用者端末装置２に提示する。その結果、利用者は、生成されたワークフローの内容を認識できる。

【0124】

管理装置５は、対象の事業者の本人確認の完了として、利用者本人による本人確認の完了及び電子証明書による本人確認の完了に要する手続時間を最小化したワークフローを生成する。その結果、電子証明書による本人確認を使用することで利用者の本人確認手続に要する作業負担を軽減できる。

【0125】

管理装置５は、属性情報を更新する際の事業者毎の本人確認手続を実行する流通手順を記述したワークフローを生成する。その結果、複数の事業者における属性情報を更新する際の利用者の本人確認に要する負担を軽減できる。つまり、本人確認手続及び属性情報更新に要する合計時間及び実行数を最小化できる。

【0126】

管理装置５は、第１のリスト、第２のリスト、事業者毎の電子証明書の数、手続時間及び信用関係条件に基づき、ワークフローを生成する。その結果、事業者間で電子証明書の連携を認めない信用関係条件を反映したワークフローを生成できる。

【0127】

管理装置５は、第１のリスト、第２のリスト、事業者毎の電子証明書の数、手続時間及び開始条件に基づき、ワークフローを生成する。その結果、ワークフローの流通手順の始点となる事業者に対して利用者本人による本人確認手続を実行させる開始条件を反映したワークフローを生成できる。

【0128】

制御装置４は、対象の事業者の利用者の本人確認の完了に要する手続時間を最小化し、事業者毎の利用者情報を証明する電子証明書の流通手順を記述した、利用者が同意済みのワークフローを設定する。制御装置４は、流通手順に応じて事業者が本人確認を完了した場合に当該事業者が発行する電子証明書を取得する。制御装置４は、取得した電子証明書から、流通手順の後続の事業者が本人確認を完了する際に使用するプルーフを発行する。制御装置４は、流通手順に応じてプルーフを当該プルーフの基礎となる電子証明書を発行した事業者の直下の各事業者に送信する。その結果、プルーフを用いて電子証明書による本人確認を使用することで複数の事業者における利用者の本人確認に要する負担を軽減できる。

【0129】

制御装置４は、対象の事業者の本人確認の完了として、利用者本人による本人確認の完了及び電子証明書による本人確認の完了に要する手続時間を最小化したワークフローを設定する。その結果、電子証明書による本人確認を使用することで利用者の本人確認手続に要する作業負担を軽減できる。

【0130】

制御装置４は、対象の事業者の前記利用者の属性情報を更新する際の利用者の本人確認の完了に要する手続時間を最小化し、事業者毎の前記利用者情報を証明する電子証明書の流通手順を記述した、利用者が同意済みのワークフローを設定する。更に、制御装置４は、流通手順に応じて事業者が本人確認を完了して属性情報を更新した場合に当該事業者が発行する電子証明書を取得する。その結果、複数の事業者における属性情報を更新する際の利用者の本人確認に要する負担を軽減できる。つまり、本人確認手続及び属性情報更新に要する合計時間及び実行数を最小化できる。

【0131】

制御装置４は、電子証明書の一部である属性情報の内、更新対象の属性情報を含み、更新対象の属性情報を識別不可にすることでプルーフを発行する。その結果、ワークフローの後続事業者に更新対象の属性情報以外の情報を開示しないことで、利用者のプライバシー保護を確保できる。

【0132】

制御装置４は、事業者側で検証可能な鍵で暗号化したプルーフを発行する。その結果、後続事業者は、プルーフを検証可能にすることで、偽のプルーフに対するセキュリティの向上を図る。

【0133】

本実施例では、利用者が自身の属性情報の更新を行いたい対象の事業者群につき、事業者間の利用者ＩＤ情報（電子証明書、プルーフ）の流通手順を決定する。流通手順は、どの事業者に対して利用者本人による本人確認手続を実行し、どの事業者からどの事業者へ自身の利用者ＩＤ情報のプルーフを送付させ、どんな手順で利用者ＩＤ情報の連携をして属性情報の一括更新が滞りなく完了するかの手順である。その結果、利用者や事業者の本人確認手続に要する負担を軽減することで、利用者の属性情報更新に要する時間を短縮化できる。

【0134】

利用者本人の同意のもと、ある事業者が利用者本人による本人確認手続により確認した利用者ＩＤ情報の電子証明書を発行し、電子証明書のプルーフをワークフローの後続の事業者へ送付する。更に、当該後続の事業者は、受け取ったプルーフを検証することで当該電子証明書発行元の真正性を確認する。プルーフの検証結果から電子証明書による本人確認を実行する。後続事業者に発行するプルーフで電子証明書による本人確認手続に活用し、後続事業者における利用者の本人確認手続を自動化する。その結果、直接実行すべき事業者の数を最小限にし、残りの事業者の本人確認手続を自動化することで、複数の事業者における利用者の本人確認に要する負担を軽減できる。

【0135】

利用者端末装置２は、管理装置５からワークフローが提示され、同意操作に応じてワークフロー内の各手順を一括で同意する。その結果、利用者は、ワークフローを同意する操作を簡素化できる。

【0136】

尚、説明の便宜上、図８Ａに示すワークフローの流通手順では、利用者が事業者Ａの利用者本人による本人確認手続を実行した後、利用者が事業者Ｂの利用者本人による本人確認手続を実行する。また、利用者が事業者Ａの利用者本人による本人確認手続を実行した場合、事業者Ａ発行元の電子証明書のプルーフを事業者Ｃに発行した後、事業者Ａ発行元の電子証明書のプルーフを事業者Ｄに発行する。しかしながら、ワークフローの流通手順はこれに限定されるものではなく、図１６Ａ及び図１６Ｂに示すように、適宜変更可能である。

【0137】

図１６Ａは、他のワークフローの記述内容の一例を示す説明図、図１６Ｂは、図１６Ａに示すワークフローの流通手順の一例を示す説明図である。利用者が事業者Ａ及び事業者Ｂの利用者本人による本人確認手続を並列で実行し、並列で実行後、事業者Ａ発行元の電子証明書のプルーフを事業者Ｃ及び事業者Ｄに並列に発行しても良い。その結果、並列処理を２回実行することで、図８Ａ及び図８Ｂに比較して処理時間が短縮化できる。

【0138】

尚、管理装置５は、少なくとも第１のポリシ、第２のポリシ、電子証明書の数及び本人確認に要する手続時間を入力し、入力結果に基づき、ワークフローを生成する場合を例示した。しかしながら、これに限定されるものでなく、例えば第１のポリシ、第２のポリシ、電子証明書の数及び本人確認に要する手続時間の他に、事業者間の信頼の有無を示す信頼関係を入力しても良く、適宜変更可能である。

【0139】

また、管理装置５は、最適化問題を解く数理計画アルゴリズム内の入力、設計変数、目的関数及び制約式を例示したが、これに限定されるものではなく、入力、設計変数、目的関数及び制約式の内容は適宜変更可能である。また、管理装置５は、数理計画アルゴリズムでワークフローを生成する場合を例示したが、発見的手法等で求めても良く、適宜変更可能である。

【0140】

本実施例では、事業者毎の利用者の本人確認を複数の事業者が利用者の属性情報を更新する際に実行する場合を例示したが、利用者の属性情報の更新に限定されるものではなく、事業者毎の本人確認を要する状況下では適用可能である。

【0141】

また、図示した各部の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。

【0142】

更に、各装置で行われる各種処理機能は、ＣＰＵ（Central Processing Unit）、ＤＳＰ（Digital Signal Processor）やＦＰＧＡ（Field Programmable Gate Array）等上で、その全部又は任意の一部を実行するようにしても良い。また、各種処理機能は、ＣＰＵ等で解析実行するプログラム上、又はワイヤードロジックによるハードウェア上で、その全部又は任意の一部を実行するようにしても良い。

【0143】

各種情報を記憶する領域は、例えば、ＲＯＭ（Read Only Memory）や、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）、ＭＲＡＭ（Magnetoresistive Random Access Memory）やＮＶＲＡＭ（Non-Volatile Random Access Memory）等のＲＡＭ（Random Access Memory）で構成しても良い。

【0144】

ところで、本実施例で説明した各種の処理は、予め用意されたプログラムをコンピュータ内のＣＰＵ等のプロセッサで実行させることによって実現できる。そこで、以下では、上記実施例と同様の機能を有するプログラムを実行するコンピュータの一例を説明する。図１７は、本人確認プログラムを実行するコンピュータの一例を示すブロック図である。

【0145】

図１７に示す本人確認プログラムを実行するコンピュータ２００は、通信ＩＦ（Interface）２１０と、入力装置２２０と、出力装置２３０と、ＲＯＭ２４０と、ＲＡＭ２５０と、ＣＰＵ２６０とを有する。通信ＩＦ２１０、入力装置２２０、出力装置２３０、ＲＯＭ２４０、ＲＡＭ２５０及びＣＰＵ２６０は、バス２７０を介して接続される。通信ＩＦ２１０は、通信網内の制御装置と通信する。コンピュータ２００は、複数の事業者が利用者を識別する利用者情報内の属性情報を分散して管理するシステムの制御装置で使用するワークフローを生成する。

【0146】

そして、ＲＯＭ２４０には、上記実施例と同様の機能を発揮する本人確認プログラムが予め記憶されている。ＲＯＭ２４０は、本人確認プログラムとして入力プログラム２４０Ａ及び生成プログラム２４０Ｂが記憶されている。尚、ＲＯＭ２４０ではなく、図示せぬドライブでコンピュータ読取可能な記録媒体に本人確認プログラムが記録されていても良い。また、記録媒体としては、例えば、ＣＤ－ＲＯＭ、ＤＶＤディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ等でも良い。

【0147】

そして、ＣＰＵ２６０は、入力プログラム２４０ＡをＲＯＭ２４０から読み出し、ＲＡＭ２５０上で入力プロセス２５０Ａとして機能する。更に、ＣＰＵ２６０は、生成プログラム２４０ＢをＲＯＭ２４０から読み出し、ＲＡＭ２５０上で生成プロセス２５０Ｂとして機能する。

【0148】

ＣＰＵ２６０は、第１のリストと、第２のリストと、本人確認の完了に必要となる事業者毎の利用者情報を証明する電子証明書の数と、事業者毎の本人確認に要する手続時間とを入力する。第１のリストは、利用者の本人確認を実行する対象の事業者のリストである。第２のリストは、利用者の本人確認を複数の事業者間で連携するか否かを示す事業者のリストである。ＣＰＵ２６０は、第１のリスト、第２のリスト、事業者毎の電子証明書の数及び手続時間に基づき、対象の事業者の本人確認の完了に要する手続時間を最小化し、事業者毎の本人確認に使用する電子証明書の流通手順を記述したワークフローを生成する。その結果、複数の事業者における利用者の本人確認に要する負担を軽減できる。

【符号の説明】

【0149】

１ ＩＤ流通システム
２ 利用者端末装置
３ 事業者端末装置
４ 制御装置
５ 管理装置
５２Ａ 設定部
５２Ｂ 取得部
５２Ｃ 第２の発行部
５２Ｄ 送信部
６５Ａ 入力部
６５Ｂ 生成部

【図1】

【図2】

【図3】

【図4A】

【図4B】

【図5】

【図6】

【図7】

【図8A】

【図8B】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16A】

【図16B】

【図17】