ホーム > 特許ランキング > ソニーグループ株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-09-24
(45)【発行日】2024-10-02
(54)【発明の名称】情報システム、情報端末、情報処理方法および情報提供方法
(51)【国際特許分類】
G06F 21/62 20130101AFI20240925BHJP
G06F 16/182 20190101ALI20240925BHJP
【ＦＩ】
G06F21/62 345
G06F16/182
【請求項の数】
14
(21)【出願番号】P 2021533035
(86)(22)【出願日】2020-07-10
(86)【国際出願番号】 JP2020027024
(87)【国際公開番号】W WO2021010317
(87)【国際公開日】2021-01-21
【審査請求日】2023-06-07
(31)【優先権主張番号】P 2019132070
(32)【優先日】2019-07-17
(33)【優先権主張国・地域又は機関】JP
(73)【特許権者】
【識別番号】000002185
【氏名又は名称】ソニーグループ株式会社
(74)【代理人】
【識別番号】110003339
【氏名又は名称】弁理士法人南青山国際特許事務所
(72)【発明者】
【氏名】久永 賢司
【審査官】宮司 卓佳
(56)【参考文献】
【文献】特開２００８－１８１２１３（ＪＰ，Ａ）
【文献】特開２００６－１８９９２５（ＪＰ，Ａ）
【文献】特開２００７－３３４４１７（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／６２
Ｇ０６Ｆ １６／１８２
(57)【特許請求の範囲】
【請求項1】
情報所有者の個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他のすべての断片情報をそれぞれ示す１以上のハッシュ値とを保存する保存部と、情報利用者からの情報要求を受け、前記保存部から該当する１以上の断片情報および１以上のハッシュ値を取り出し、前記複数の断片情報のうち前記保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求する制御部と、
を具備し、
前記他の情報システムが複数あり、それぞれの他の情報システムには、前記複数の断片情報のうち前記保存部に保存された断片情報以外のすべての断片情報が分散して保存され、
前記制御部は、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報をそれぞれ前記他の複数の情報システムに要求するように構成され、
前記制御部は、前記取り出した１以上の断片情報および前記他の情報システムから取得した１以上の断片情報に基づいて情報処理を行い 、その結果を前記情報利用者の端末に応答するように構成され、
前記制御部は、前記保存部の前記ハッシュ値の漏洩を検出した場合、前記漏洩したハッシュ値が示す断片情報が保存された他の情報システムに対して当該断片情報のアクセス禁止を要求するとともに、前記漏洩したハッシュ値を無効化して新しいハッシュ値に更新するように構成された
情報システム。
【請求項2】
請求項１に記載の情報システムであって、前記複数の断片情報が、前記情報所有者の行動に付随して同期的に生成される互いに異なる属性の複数の情報である
情報システム。
【請求項3】
請求項１に記載の情報システムであって、前記複数の断片情報が、前記個人情報を構造的に断片化した複数の情報である
情報システム。
【請求項4】
請求項３に記載の情報システムであって、前記個人情報が所定の桁数を有する数値列であり、前記複数の断片情報が、前記数値列を桁毎の数値に断片化した複数の情報である
情報システム。
【請求項5】
請求項１に記載の情報システムであって、前記ハッシュ値は、権限機関によって公開鍵暗号化されたハッシュ値である
情報システム。
【請求項6】
請求項１に記載の情報システムであって、前記ハッシュ値には、当該ハッシュ値が示す断片情報が保存された前記他の情報システムを特定する識別情報が付加され、
前記制御部は、前記識別情報により特定される前記他の情報システムに、当該ハッシュ値が示す断片情報を要求するように構成された
情報システム。
【請求項7】
請求項１に記載の情報システムであって、前記ハッシュ値は、前記他の情報システム毎に決められたレンジ内で与えられる
情報システム。
【請求項8】
請求項１に記載の情報システムであって、前記制御部は、前記ハッシュ値と前記他の情報システムとのマッピングを管理するリポジトリに問い合わせて、当該ハッシュ値が示す断片情報が保存された他の情報システムを特定するように構成された
情報システム。
【請求項9】
情報所有者の個人情報を構成する複数の断片情報を生成し、前記生成される複数の断片情報のハッシュ値を生成し、複数の断片情報およびこれらの断片情報の複数のハッシュ値のうち、１以上の断片情報と当該断片情報以外の１以上の断片情報の１以上のハッシュ値との組み合わせをネットワークを通じて接続された複数の情報システムのうちの１つの情報システムに保存されるように転送し、前記情報システムに保存された１以上のハッシュ値がそれぞれ示す１以上の断片情報を他の１以上の情報システムにそれぞれ分散して保存されるように転送する制御部とを具備する情報端末。
【請求項10】
請求項９に記載の情報端末であって、前記制御部は、前記複数の情報システムに、複数の断片情報を分散して保存し、それぞれの情報システム毎に、保存された１以上の断片情報以外のすべての断片情報それぞれのハッシュ値を保存するように構成された
情報端末。
【請求項11】
請求項１０に記載の情報端末であって、前記制御部は、複数の情報システムにそれぞれ分散して保存する断片情報の種類の決定をグラフィカル・ユーザインタフェースを用いて支援するように構成された
情報端末。
【請求項12】
請求項１１に記載の情報端末であって、前記制御部は、１つの情報システムに保存する複数の種類の断片情報を決定する際、リスク管理上好ましい断片情報の組み合わせに関する情報に基づいて、前記情報所有者の意思決定をグラフィカル・ユー ザインタフェースを通して案内するように構成された
情報端末。
【請求項13】
制御部が、情報利用者の端末からの情報要求を受け、個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他の１以上の断片情報をそ れぞれ示す１以上のハッシュ値とを保存する保存部から該当する１以上の断片情報および１以上のハッシュ値を取り出し、
前記複数の断片情報のうち前記保存部に保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求し、
前記取り出した１以上の断片情報および前記他の情報システムから取得した１以上の断片情報に基づいて情報処理を行い 、その結果を前記情報利用者の端末に応答し、
前記保存部の前記ハッシュ値の漏洩を検出した場合、前記漏洩したハッシュ値が示す断片情報が保存された他の情報システムに対して当該断片情報のアクセス禁止を要求するとともに、前記漏洩したハッシュ値を無効化して新しいハッシュ値に更新する
情報処理方法。
【請求項14】
制御部が、情報所有者の個人情報を構成する複数の断片情報を生成し、前記生成される複数の断片情報のハッシュ値を生成し、複数の断片情報およびこれらの断片情報の複数のハッシュ値のうち、１以上の断 片情報と当該断片情報以外の１以上の断片情報の１以上のハッシュ値との組み合わせをネットワークを通じて接続された複数の情報システムのうちの１つの情報システムに保存されるように転送し、前記情報システムに保存された１以上のハッシュ値がそれぞれ示す１以上の情報を他の１以上の情報システムにそれぞれ分散して保存されるように転送する
情報提供方法。
【発明の詳細な説明】
【技術分野】
【0001】
本技術は、個人情報を情報所有者のプライバシーを確保しつつ第３者に提供する情報システム、情報システムに情報所有者の個人情報を提供する情報端末、これらに関連する情報処理方法および情報提供方法に関する。
【背景技術】
【0002】
現状、個人の情報を扱うサービスは、情報所有者より提供される情報の提供をサービス事業者自身が受け、サービス事業者自身がこれを保持し、利用するといった形態をとることが一般的とされる。
このようなサービスの実現を支え得る従来の技術として、データの分散がある。例えば、特許文献１には、個人情報を、その個人を識別可能な氏名などの識別情報と、住所、電話番号、生年月日、年齢、性別、身長、体重などの属性情報とに分割し、さらに識別情報を氏と名に分割し、分割された各情報を別々のデータファイルに分散して記録することによって、いずれかのデータファイルが漏洩しても、１つのデータファイルに記録された情報だけでは有用性を欠くという点から個人情報の保護を図るものである。
また、特許文献２には、個人情報を分割管理サーバの記憶媒体にいくつかの部分に分割して保存するあたり、分割された保存データを保護レベルに応じて、平文、ハッシュ値にして保存することが開示されている。
このようなサービスの実現を支え得る従来の技術として、データの分散がある。例えば、特許文献１には、個人情報を、その個人を識別可能な氏名などの識別情報と、住所、電話番号、生年月日、年齢、性別、身長、体重などの属性情報とに分割し、さらに識別情報を氏と名に分割し、分割された各情報を別々のデータファイルに分散して記録することによって、いずれかのデータファイルが漏洩しても、１つのデータファイルに記録された情報だけでは有用性を欠くという点から個人情報の保護を図るものである。
また、特許文献２には、個人情報を分割管理サーバの記憶媒体にいくつかの部分に分割して保存するあたり、分割された保存データを保護レベルに応じて、平文、ハッシュ値にして保存することが開示されている。
【先行技術文献】
【特許文献】
【0003】
【文献】特開２００７－０３５０２２号公報
【文献】特開２００６－１８９９２５号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、これまで、本技術のように個人情報を構成する複数の断片情報を、例えば運営主体が異なるような複数の情報システムに分散して保存する技術は知られていない。１つの情報システムのデータベースなどに情報を分散して保存する上記引用文献１，２に代表されるような技術では、例えば、システムへの不正利用者の侵入を万が一許してしまった場合、データベース単位での漏洩が生じるおそれがあり、いくらそのデータベースに分散してデータが保存されていたとしても、いずれ１つの個人情報が復元されてしまうことは時間の問題である。
【0005】
以上のような事情に鑑み、本技術の目的は、情報漏洩を目的とした不正利用者からの攻撃に対する耐性向上、情報利用者に対する個人情報の公開範囲の調整など、情報を分散して保存管理するシステムの機能的および性能的な向上を図ることのできる情報システム、情報端末、情報処理方法および情報提供方法を提供することにある。
【課題を解決するための手段】
【0006】
上記目的を達成するため、本開示の一形態に係る情報システムは、
情報所有者の個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他のすべての断片情報をそれぞれ示す１以上のハッシュ値とを保存する保存部と、
情報利用者からの情報要求を受け、前記保存部から該当する１以上の断片情報および１以上のハッシュ値を取り出し、前記複数の断片情報のうち前記保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求する制御部と、を具備する。
情報所有者の個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他のすべての断片情報をそれぞれ示す１以上のハッシュ値とを保存する保存部と、
情報利用者からの情報要求を受け、前記保存部から該当する１以上の断片情報および１以上のハッシュ値を取り出し、前記複数の断片情報のうち前記保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求する制御部と、を具備する。
【0007】
前記他の情報システムが複数あり、それぞれの他の情報システムには、前記複数の断片情報のうち前記保存部に保存された断片情報以外のすべての断片情報が分散して保存され、前記制御部は、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報をそれぞれ前記他の複数の情報システムに要求するように構成されたものであってよい。
【0008】
前記制御部は、前記取り出した１以上の断片情報および前記他の情報システムから取得した１以上の断片情報に基づいて情報処理を行い、その結果を前記情報利用者の端末に応答するように構成されたものであってよい。
【0009】
前記制御部は、前記保存部の前記ハッシュ値の漏洩を検出した場合、前記漏洩したハッシュ値が示す断片情報が保存された他の情報システムに対して当該断片情報のアクセス禁止を要求するとともに、前記漏洩したハッシュ値を無効化して新しいハッシュ値に更新するように構成されたものであってよい。
【0010】
前記複数の断片情報が、前記情報所有者の行動に付随して同期的に生成される互いに異なる属性の複数の情報であってよい。
【0011】
前記複数の断片情報は、前記個人情報を構造的に断片化した複数の情報であってよい。
【0012】
前記個人情報が所定の桁数を有する数値列であり、前記複数の断片情報が、前記数値列を桁毎の数値に断片化した複数の情報であってよい。
【0013】
前記ハッシュ値は、権限機関によって公開鍵暗号化されたハッシュ値でもよい。
【0014】
前記ハッシュ値には、当該ハッシュ値が示す断片情報が保存された前記他の情報システムを特定する識別情報が付加され、前記制御部は、前記識別情報により特定される前記他の情報システムに、当該ハッシュ値が示す断片情報を要求するように構成されたものであってもよい。
【0015】
前記ハッシュ値は、前記他の情報システム毎に決められたレンジ内で与えられたものであってもよい。
【0016】
前記制御部は、前記ハッシュ値と前記他の情報システムとのマッピングを管理するリポジトリに問い合わせて、当該ハッシュ値が示す断片情報が保存された他の情報システムを特定するように構成されたものであってよい。
【0017】
また、本開示に係る情報端末は、情報所有者の個人情報を構成する複数の断片情報を生成し、前記生成される複数の断片情報のハッシュ値を生成し、複数の断片情報およびこれらの断片情報の複数のハッシュ値のうち、１以上の断片情報と当該断片情報以外の１以上の断片情報の１以上のハッシュ値との組み合わせをネットワークを通じて接続された複数の情報システムのうちの１つの情報システムに保存されるように転送し、前記情報システムに保存された１以上のハッシュ値がそれぞれ示す１以上の断片情報を他の１以上の情報システムにそれぞれ分散して保存されるように転送する制御部とを具備する。
【0018】
前記情報端末の制御部は、複数の情報システムにそれぞれ分散して保存する情報の種類の決定をグラフィカル・ユーザインタフェースを用いて支援するように構成されてもよい。
【0019】
また、本開示に係る情報処理方法は、制御部が、情報利用者の端末からの情報要求を受け、個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他の１以上の断片情報をそれぞれ示す１以上のハッシュ値とを保存する保存部から該当する１以上の断片情報および１以上のハッシュ値を取り出し、前記複数の断片情報のうち前記保存部に保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求する。
【0020】
また、本開示に係る情報提供方法は、制御部が、情報所有者の個人情報を構成する複数の断片情報を生成し、前記生成される複数の断片情報のハッシュ値を生成し、複数の断片情報およびこれらの断片情報の複数のハッシュ値のうち、１以上の断片情報と当該断片情報以外の１以上の断片情報の１以上のハッシュ値との組み合わせをネットワークを通じて接続された複数の情報システムのうちの１つの情報システムに保存されるように転送し、前記情報システムに保存された１以上のハッシュ値がそれぞれ示す１以上の情報を他の１以上の情報システムにそれぞれ分散して保存されるように転送する。
【図面の簡単な説明】
【0021】
【図1】本実施形態の情報銀行システム１００の全体的な構成を示す図である。
【図5】所有者端末２の表示画面Ｄに表示される分散方式決定用のユーザインタフェースの例を示す図である。
【図7】複数の情報システム１ａ、１ｂ、１ｃ間で不均等な数の割合で断片情報を保存する一例を示す図である。
【図8】個々の断片情報Ａ、Ｂ、Ｃがそれぞれ３桁の数値列である場合に、その数値列の各桁毎の値を３つの情報システム１ａ、１ｂ、１ｃに分散して保存した例を示す図である。
【図9A】ハッシュ値の漏洩に対する処理を説明するための図である。
【図9B】同じくハッシュ値の漏洩に対するアクセス失効を示す図である。
【図9C】同じくハッシュ値の漏洩に対するリハッシュを示す図である。
【図10】ハッシュ値の公開鍵暗号化を説明する図である。
【図11】ハッシュ値が示す断片情報の保存先の情報システムを特定する方法を説明する図である。
【図12】複数の情報システム１ａ、１ｂ、１ｃにおける情報分散形態の変形を示す図である。
【発明を実施するための形態】
【0022】
以下、本技術に係る実施形態を図面を参照しながら説明する。
＜第１の実施形態＞
（本実施形態の概要）
本実施形態の情報銀行システム１００は、例えば、図１に示すように、クラウド１を構成する複数の運営主体である複数の情報銀行Ａ、Ｂ、Ｃの複数の情報システム１ａ、１ｂ、１ｃと、複数の情報システム１ａ、１ｂ、１ｃに個人情報が分散保存されるように提供する情報端末である情報所有者Ｕ１の端末（以下「所有者端末２」と呼ぶ。）と、複数の情報システム１ａ、１ｂ、１ｃに分散保存された個人情報を利用する利用者Ｕ２の端末（以下「利用者端末３」と呼ぶ。）と、を含む。ここで、個々の情報システム１ａ、１ｂ、１ｃはそれぞれ相互接続された１台以上のサーバ装置などの情報処理装置で構成される。
＜第１の実施形態＞
（本実施形態の概要）
本実施形態の情報銀行システム１００は、例えば、図１に示すように、クラウド１を構成する複数の運営主体である複数の情報銀行Ａ、Ｂ、Ｃの複数の情報システム１ａ、１ｂ、１ｃと、複数の情報システム１ａ、１ｂ、１ｃに個人情報が分散保存されるように提供する情報端末である情報所有者Ｕ１の端末（以下「所有者端末２」と呼ぶ。）と、複数の情報システム１ａ、１ｂ、１ｃに分散保存された個人情報を利用する利用者Ｕ２の端末（以下「利用者端末３」と呼ぶ。）と、を含む。ここで、個々の情報システム１ａ、１ｂ、１ｃはそれぞれ相互接続された１台以上のサーバ装置などの情報処理装置で構成される。
【0023】
個々の情報システム１ａ、１ｂ、１ｃはそれぞれ、情報所有者Ｕ１の個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他のすべての断片情報をそれぞれ示す１以上のハッシュ値とを保存するデータベース１４と、情報利用者Ｕ２からの情報要求を受け、データベース１４から該当する１以上の断片情報および１以上のハッシュ値を取り出し、前記複数の断片情報のうち前記保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求する制御部１０と、を具備する。
【0024】
図２は、複数の情報システム１ａ、１ｂ、１ｃにおける情報分散形態を示す図である。
同図において、Ａ、Ｂ、Ｃ、Ｄ、Ｅ、Ｆのカラムはそれぞれ情報所有者Ｕ１の例えば行動に付随して同期的にそれぞれ生成され、ひとまとまりで有意な個人情報５を構成する複数の断片情報である。これらの断片情報Ａ－Ｆのうち、第１の情報システム１ａには、断片情報Ｃ、Ｄと、断片情報Ａ、Ｂのハッシュ値と、断片情報Ｅ、Ｆのハッシュ値とが１つのレコードとして保存される。第２の情報システム１ｂには、断片情報Ａ、Ｂと、断片情報Ｃ、Ｄのハッシュ値と、断片情報Ｅ、Ｆのハッシュ値が１つのレコードとして保存される。そして第３の情報システム１ｃには、断片情報Ｅ、Ｆと、断片情報Ａ、Ｂのハッシュ値と、断片情報Ｃ、Ｄのハッシュ値が１つのレコードとして保存される。本明細書では、各情報システム１ａ、１ｂ、１ｃに分散して保存された断片情報Ａ－Ｆは実データであるという意味で「公開情報」と呼び、ハッシュ値は「非公開情報」と呼ぶ場合がある。
同図において、Ａ、Ｂ、Ｃ、Ｄ、Ｅ、Ｆのカラムはそれぞれ情報所有者Ｕ１の例えば行動に付随して同期的にそれぞれ生成され、ひとまとまりで有意な個人情報５を構成する複数の断片情報である。これらの断片情報Ａ－Ｆのうち、第１の情報システム１ａには、断片情報Ｃ、Ｄと、断片情報Ａ、Ｂのハッシュ値と、断片情報Ｅ、Ｆのハッシュ値とが１つのレコードとして保存される。第２の情報システム１ｂには、断片情報Ａ、Ｂと、断片情報Ｃ、Ｄのハッシュ値と、断片情報Ｅ、Ｆのハッシュ値が１つのレコードとして保存される。そして第３の情報システム１ｃには、断片情報Ｅ、Ｆと、断片情報Ａ、Ｂのハッシュ値と、断片情報Ｃ、Ｄのハッシュ値が１つのレコードとして保存される。本明細書では、各情報システム１ａ、１ｂ、１ｃに分散して保存された断片情報Ａ－Ｆは実データであるという意味で「公開情報」と呼び、ハッシュ値は「非公開情報」と呼ぶ場合がある。
【0025】
所有者端末２は、例えば購買行為に付随する商品情報、金額などの決済情報、心拍数、血圧、呼吸数などの生体情報、さらには、時刻情報、位置情報（緯度・経度）などの様々な情報を、個人情報５を構成する複数の断片情報Ａ、Ｂ、Ｃ、Ｄ、Ｅ、Ｆとして生成し、情報システムａ１、ｂ１、ｃ１毎の保存用レコードを生成して、各情報システムａ１、ｂ１、ｃ１に送信する制御部２０を有する。
【0026】
利用者端末３は、認証を通してログインした例えば第１の情報システム１ａなどに情報の取得を要求し、第１の情報システム１ａが、１以上の情報システムから収集した複数の断片情報、あるいは収集された複数の断片情報に基づく情報を受信する。受信した情報は、利用者端末３の保存部に保存され、例えばディスプレイ等を通して情報利用者Ｕ２に提示される。
【0027】
利用者端末３からの情報取得要求を受けた第１の情報システム１ａの制御部１０は、自システム内のデータベース１４に公開情報として保存された１以上の断片情報の他、アクセスが認可された他の情報システム１ｂ、１ｃのそれぞれのデータベース１４に公開情報として保存された１以上の断片情報を、第１の情報システム１ａのデータベース１４から取得したハッシュ値に基づいて他の情報システム１ｂ、１ｃに要求することによってそれぞれ取得することができる。
【0028】
これに対して、不正な情報利用者による一部の情報システムへの攻撃による不正侵入によって、その情報システムに開示情報として保存された断片情報の漏洩が生じたとしても、漏洩した断片情報は情報所有者Ｕ１の個人情報５を構成する複数の断片情報の一部に過ぎないため、被害を低く抑えることができる。また、ハッシュ値が示す断片情報は別の情報システムに保存されているので、不正な情報利用者は、その情報システムにも攻撃行為を通じて侵入を図る必要がある。
【0029】
（情報銀行システムの機能構成）
図３は情報銀行システム１００を構成する各機器の構成を示すブロック図である。
なお、同図では、紙面サイズの制約から、情報システムについては第１の情報システム１ａと第２の情報システム１ｂのみを示し、第３の情報システム１ｃの図示は省かれている。
図３は情報銀行システム１００を構成する各機器の構成を示すブロック図である。
なお、同図では、紙面サイズの制約から、情報システムについては第１の情報システム１ａと第２の情報システム１ｂのみを示し、第３の情報システム１ｃの図示は省かれている。
【0030】
（所有者端末２の構成）
所有者端末２は、例えばスマートホン、タブレット端末、時計型・腕輪型・ブレスレット型などのウエラブル機器など、情報所有者Ｕ１が携帯可能な機器である。所有者端末２は、ＣＰＵ、ＲＯＭ、ＲＡＭ、通信装置、ディスプレイ、ユーザ入力部などの典型的なコンピュータのハードウェア要素、プログラムなどのソフトウェア要素を備える。ＲＡＭには、上記のプログラムが格納され、ＣＰＵはこのプログラムを実行するための各種の演算処理を実行する。また、所有者端末２は、情報所有者Ｕ１の生体情報を生成する各種の生体センサー、位置情報を得ることが可能なＧＰＳユニット、その他、個人情報の生成に必要な検出器や測定器などを備える。
所有者端末２は、例えばスマートホン、タブレット端末、時計型・腕輪型・ブレスレット型などのウエラブル機器など、情報所有者Ｕ１が携帯可能な機器である。所有者端末２は、ＣＰＵ、ＲＯＭ、ＲＡＭ、通信装置、ディスプレイ、ユーザ入力部などの典型的なコンピュータのハードウェア要素、プログラムなどのソフトウェア要素を備える。ＲＡＭには、上記のプログラムが格納され、ＣＰＵはこのプログラムを実行するための各種の演算処理を実行する。また、所有者端末２は、情報所有者Ｕ１の生体情報を生成する各種の生体センサー、位置情報を得ることが可能なＧＰＳユニット、その他、個人情報の生成に必要な検出器や測定器などを備える。
【0031】
所有者端末２は、制御部２０を有する。制御部２０は、１以上の情報生成部２１、情報収集部２２、分散方針決定部２３、情報断片化部２４、ハッシュ生成器２５、情報送信部２６を含む。
情報生成部２１は、上記の生体センサー、ＧＰＳユニット、その他の検出器や測定器の出力から生体情報、位置情報、時刻情報、その他、インターネット上での購買行為に付随する決済情報等を生成する。これらの断片情報は、情報所有者Ｕ１の行動に付随して同期的に生成される互いに異なる属性の複数の情報という事ができる。
情報収集部２２は、１以上の情報生成部２１で生成される複数の情報のなかから分散方針に従って複数の種類の情報を選択し、個人情報５を構成する複数の断片情報として収集する。
情報生成部２１は、上記の生体センサー、ＧＰＳユニット、その他の検出器や測定器の出力から生体情報、位置情報、時刻情報、その他、インターネット上での購買行為に付随する決済情報等を生成する。これらの断片情報は、情報所有者Ｕ１の行動に付随して同期的に生成される互いに異なる属性の複数の情報という事ができる。
情報収集部２２は、１以上の情報生成部２１で生成される複数の情報のなかから分散方針に従って複数の種類の情報を選択し、個人情報５を構成する複数の断片情報として収集する。
【0032】
分散方針決定部２３は、情報生成部２１によって得られる複数の情報のうち、情報収集部２２の収集対象とする情報の種類、その情報をどの情報銀行（情報システム）に預けるか、といった分散方針をグラフィカルなユーザインタフェースを用いて情報所有者Ｕ１に決定してもらう。分散方針決定部２３は、さらに、情報生成部２１により生成される情報をさらに複数の情報に断片化する方針の決定をも支援する。例えば、ＧＰＳユニットにより得られた位置情報は緯度と経度に断片化することなどが可能である。
【0033】
情報断片化部２４は、分散方針に従って特定の種類の情報の断片化を行う。
ここで、情報収集部２２によって分散方針に従って収集された複数の種類の情報および収集された情報の一部を情報断片化部２４によってさらに断片化した複数の情報を、本明細書では「個人情報５を構成する複数の断片情報」と呼ぶ。
ここで、情報収集部２２によって分散方針に従って収集された複数の種類の情報および収集された情報の一部を情報断片化部２４によってさらに断片化した複数の情報を、本明細書では「個人情報５を構成する複数の断片情報」と呼ぶ。
【0034】
ハッシュ生成器２５は、断片情報のハッシュ値を算出する。
情報送信部２６は、情報銀行の情報システムのデータベース１４に公開情報として登録される１以上の断片情報と、非公開情報として登録される１以上のハッシュ値を含む情報銀行毎の第１のレコードを分散方針に従って第１の情報システム１ａ、第２の情報システム１ｂ、第３の情報システム１ｃに送信する。このときそれぞれのハッシュ値には、対象の断片情報の保存先の情報銀行を識別する銀行ＩＤが付加される。さらに、情報送信部２６は、上記第１のレコードとともに、第１のレコードに含まれる１以上の断片情報それぞれのハッシュ値を含む情報銀行毎の第２のレコードを生成して、第１のレコードの送信先と同じ情報システム１ａ、１ｂ、１ｃに送信する。
情報送信部２６は、情報銀行の情報システムのデータベース１４に公開情報として登録される１以上の断片情報と、非公開情報として登録される１以上のハッシュ値を含む情報銀行毎の第１のレコードを分散方針に従って第１の情報システム１ａ、第２の情報システム１ｂ、第３の情報システム１ｃに送信する。このときそれぞれのハッシュ値には、対象の断片情報の保存先の情報銀行を識別する銀行ＩＤが付加される。さらに、情報送信部２６は、上記第１のレコードとともに、第１のレコードに含まれる１以上の断片情報それぞれのハッシュ値を含む情報銀行毎の第２のレコードを生成して、第１のレコードの送信先と同じ情報システム１ａ、１ｂ、１ｃに送信する。
【0035】
（情報システムの構成）
情報システム１ａ、１ｂ、１ｃはそれぞれ１以上のサーバ装置などで構成される。情報システム１ａ、１ｂ、１ｃは、所有者端末２および利用者端末３からクラウド１として利用される。上記のサーバ装置には、データベース用のストレージデバイスがローカル接続、あるいはネットワークを通じて接続される。サーバ装置は、典型的なコンピュータのハードウェア要素と、情報システムとしてコンピュータを動作させるためのプログラムなどのソフトウェア要素を有する。コンピュータのハードウェア要素には、例えば、ＣＰＵ、ＲＯＭ、ＲＡＭ、ユーザインタフェース用の入力装置およびディスプレイ、通信装置、ストレージとのインタフェースなどが含まれる。ＲＡＭには、上記のプログラムが格納され、ＣＰＵはこのプログラムを実行するための各種の演算処理を実行する。
情報システム１ａ、１ｂ、１ｃはそれぞれ１以上のサーバ装置などで構成される。情報システム１ａ、１ｂ、１ｃは、所有者端末２および利用者端末３からクラウド１として利用される。上記のサーバ装置には、データベース用のストレージデバイスがローカル接続、あるいはネットワークを通じて接続される。サーバ装置は、典型的なコンピュータのハードウェア要素と、情報システムとしてコンピュータを動作させるためのプログラムなどのソフトウェア要素を有する。コンピュータのハードウェア要素には、例えば、ＣＰＵ、ＲＯＭ、ＲＡＭ、ユーザインタフェース用の入力装置およびディスプレイ、通信装置、ストレージとのインタフェースなどが含まれる。ＲＡＭには、上記のプログラムが格納され、ＣＰＵはこのプログラムを実行するための各種の演算処理を実行する。
【0036】
情報システム１ａ、１ｂ、１ｃは、制御部１０を有する。制御部１０は、情報受信部１１、情報更新部１２、ハッシュテーブル１３、データベース１４、情報要求受信部１５、情報処理部１６、情報返信部１７、クエリ実施部１８、他行クエリ送信部１９ａ、他行データ受信部１９ｂ、クエリ受信部１９ｃ、データ返信部１９ｄを有する。情報システム１ａ、１ｂ、１ｃの構成は同じであってよい。
【0037】
これらの機能ブロックにおいて、情報受信部１１、情報更新部１２、ハッシュテーブル１３、データベース１４は、所有者端末２から送信される情報をデータベース１４に登録する動作に関与する。
すなわち、情報受信部１１は、所有者端末２から送信された１以上の断片情報および１以上のハッシュ値を含む第１のレコードと、データベース１４に保存される１以上の断片情報にそれぞれ対応するハッシュ値を含む第２のレコードを受信する。
すなわち、情報受信部１１は、所有者端末２から送信された１以上の断片情報および１以上のハッシュ値を含む第１のレコードと、データベース１４に保存される１以上の断片情報にそれぞれ対応するハッシュ値を含む第２のレコードを受信する。
【0038】
情報更新部１２は、情報受信部１１にて受信した第１のレコードをデータベース１４に保存する。
ハッシュテーブル１３には、情報受信部１１にて受信した第２のレコードに含まれる１以上のハッシュ値、すなわちデータベース１４に保存された１以上の断片情報にそれぞれ対応する１以上のハッシュ値と、データベース１４に保存された１以上の断片情報を特定するインデックスキーとの対応表が登録される。
ハッシュテーブル１３には、情報受信部１１にて受信した第２のレコードに含まれる１以上のハッシュ値、すなわちデータベース１４に保存された１以上の断片情報にそれぞれ対応する１以上のハッシュ値と、データベース１４に保存された１以上の断片情報を特定するインデックスキーとの対応表が登録される。
【0039】
情報システム１ａ、１ｂ、１ｃにおける機能ブロックにおいて、情報要求受信部１５、情報処理部１６、情報返信部１７、クエリ実施部１８、他行クエリ送信部１９ａ、他行データ受信部１９ｂ、クエリ受信部１９ｃ、データ返信部１９ｄは、利用者端末３からの情報要求を処理する動作に関与する。
情報要求受信部１５は、利用者端末３からの情報取得要求を受信する。
クエリ実施部１８は、情報要求受信部１５にて受信した情報取得要求に基づいてデータベース１４から該当するレコードを取り出し、取り出したレコード中の１以上の断片情報を情報処理部１６に供給する。また、クエリ実施部１８は、データベース１４から取り出されたレコード中の１以上のハッシュ値を他行クエリ送信部１９ａに供給する。
情報要求受信部１５は、利用者端末３からの情報取得要求を受信する。
クエリ実施部１８は、情報要求受信部１５にて受信した情報取得要求に基づいてデータベース１４から該当するレコードを取り出し、取り出したレコード中の１以上の断片情報を情報処理部１６に供給する。また、クエリ実施部１８は、データベース１４から取り出されたレコード中の１以上のハッシュ値を他行クエリ送信部１９ａに供給する。
【0040】
他行クエリ送信部１９ａは、上記ハッシュ値を含むクエリを生成し、ハッシュ値に付加された銀行ＩＤが示す他情報銀行の情報システムに送信する。
クエリ受信部１９ｃは、自情報銀行宛のハッシュ値を含むクエリを受信する。
クエリ実施部１８は、クエリ受信部１９ｃにて受信したクエリに含まれるハッシュ値に対応するインデックスキーをハッシュテーブル１３から検索し、このインデックスキーに基づいてデータベース１４より該当する断片情報を取り出す。
データ返信部１９ｄは、データベース１４より取り出された断片情報をクエリ送信元の情報銀行の情報システムに返信する。
他行データ受信部１９ｂは、クエリ送信先の情報システムから返信された断片情報を受信して、情報処理部１６に供給する。
情報処理部１６は、クエリ実施部１８および他行データ受信部１９ｂにて得た複数の断片情報に対して予め決められた情報処理を行う。
情報返信部１７は、情報処理部１６による複数の断片情報に対する処理結果のレポートを利用者端末３からの情報取得要求に対する応答として返信する。
クエリ受信部１９ｃは、自情報銀行宛のハッシュ値を含むクエリを受信する。
クエリ実施部１８は、クエリ受信部１９ｃにて受信したクエリに含まれるハッシュ値に対応するインデックスキーをハッシュテーブル１３から検索し、このインデックスキーに基づいてデータベース１４より該当する断片情報を取り出す。
データ返信部１９ｄは、データベース１４より取り出された断片情報をクエリ送信元の情報銀行の情報システムに返信する。
他行データ受信部１９ｂは、クエリ送信先の情報システムから返信された断片情報を受信して、情報処理部１６に供給する。
情報処理部１６は、クエリ実施部１８および他行データ受信部１９ｂにて得た複数の断片情報に対して予め決められた情報処理を行う。
情報返信部１７は、情報処理部１６による複数の断片情報に対する処理結果のレポートを利用者端末３からの情報取得要求に対する応答として返信する。
【0041】
（利用者端末３の構成）
利用者端末３は、例えばスマートホン、タブレット端末、パーソナルコンピュータなどの情報処理装置である。利用者端末３は、ＣＰＵ、ＲＯＭ、ＲＡＭ、通信装置、ディスプレイ、ユーザ入力部などの典型的なコンピュータのハードウェア要素、プログラムなどのソフトウェア要素を備える。ＲＡＭには、上記のプログラムが格納され、ＣＰＵはこのプログラムを実行するための各種の演算処理を実行する。
利用者端末３は、例えばスマートホン、タブレット端末、パーソナルコンピュータなどの情報処理装置である。利用者端末３は、ＣＰＵ、ＲＯＭ、ＲＡＭ、通信装置、ディスプレイ、ユーザ入力部などの典型的なコンピュータのハードウェア要素、プログラムなどのソフトウェア要素を備える。ＲＡＭには、上記のプログラムが格納され、ＣＰＵはこのプログラムを実行するための各種の演算処理を実行する。
【0042】
利用者端末３は、機能的には、情報要求送信部３１、情報結果受信部３２を有し、さらに図示を省略したが、情報結果受信部３２にて受信した情報結果を保存する保存部と、情報結果を情報利用者Ｕ２に提示する表示部を備えるものであってよい。
情報要求送信部３１は、情報銀行システム１００の任意の第１の情報銀行の情報システム１ａに情報結果を要求する。
情報結果受信部３２は、利用者端末３から第１の情報システム１ａに送信した情報要求に対して第１の情報システム１ａが自身を含む１以上の情報システムより収集した１以上の断片情報に基づく処理結果のレポートを受信し、保存部に保存したり、表示部に出力する。
情報要求送信部３１は、情報銀行システム１００の任意の第１の情報銀行の情報システム１ａに情報結果を要求する。
情報結果受信部３２は、利用者端末３から第１の情報システム１ａに送信した情報要求に対して第１の情報システム１ａが自身を含む１以上の情報システムより収集した１以上の断片情報に基づく処理結果のレポートを受信し、保存部に保存したり、表示部に出力する。
【0043】
＜動作の説明＞
次に、本実施形態の情報銀行システム１００の動作を説明する。
（１．情報保存時の動作）
図４は本実施形態の情報銀行システム１００における情報保存時の動作シーケンスである。
所有者端末２の各情報生成部２１において情報所有者Ｕ１の生体情報、決済情報、位置情報、時刻情報などの情報が生成される（Ｓ１）。情報収集部２２は、情報生成部２１により生成された情報を収集する（Ｓ２）。
初回の情報収集に際して分散方針決定部２３が起動される。分散方針決定部２３は、生成される複数の情報においてどの情報をひとまとまりの個人情報５を構成する複数の断片情報として収集するか、収集した複数の断片情報をどのような組み合わせで複数の情報銀行に公開情報として分散して保存するかといった分散方式を情報所有者Ｕ１からの入力等によって決定し、決定された分散方式に関する情報を更新用ハッシュデータベース１４ａに登録する（Ｓ３）。この分散方針の決定ステップは、初回時あるいは分散方式に変更があるときのみ行われ、その他の場合にはステップされる。
次に、本実施形態の情報銀行システム１００の動作を説明する。
（１．情報保存時の動作）
図４は本実施形態の情報銀行システム１００における情報保存時の動作シーケンスである。
所有者端末２の各情報生成部２１において情報所有者Ｕ１の生体情報、決済情報、位置情報、時刻情報などの情報が生成される（Ｓ１）。情報収集部２２は、情報生成部２１により生成された情報を収集する（Ｓ２）。
初回の情報収集に際して分散方針決定部２３が起動される。分散方針決定部２３は、生成される複数の情報においてどの情報をひとまとまりの個人情報５を構成する複数の断片情報として収集するか、収集した複数の断片情報をどのような組み合わせで複数の情報銀行に公開情報として分散して保存するかといった分散方式を情報所有者Ｕ１からの入力等によって決定し、決定された分散方式に関する情報を更新用ハッシュデータベース１４ａに登録する（Ｓ３）。この分散方針の決定ステップは、初回時あるいは分散方式に変更があるときのみ行われ、その他の場合にはステップされる。
【0044】
（分散方式の決定について）
ここで、分散方式の決定方法について説明を補足する。
情報所有者Ｕ１の情報を複数の情報銀行に公開情報としてどのような組み合わせで分散して保存するかは、情報漏洩によるリスクの大きさを考慮して決めることが望ましい。その決定は情報所有者Ｕ１自身が行うか、あるいは所有者端末２にリスク管理上好ましい情報の組み合わせに関する情報をプリセットしておき、このプリセット情報に基づいて情報所有者Ｕ１の意思決定をユーザインタフェース上でガイドするようにしてもよい。あるいは、リスク管理上好ましい情報の組み合わせに関するお薦めの情報を管理するリポジトリへ問い合わせて、情報所有者Ｕ１の指定条件に合ったお薦めの組み合わせの紹介を受けるようにしてもよい。さらに、お薦めの組み合わせを情報所有者Ｕ１自身がカスタマイズして使用するようにしてもよい。
ここで、分散方式の決定方法について説明を補足する。
情報所有者Ｕ１の情報を複数の情報銀行に公開情報としてどのような組み合わせで分散して保存するかは、情報漏洩によるリスクの大きさを考慮して決めることが望ましい。その決定は情報所有者Ｕ１自身が行うか、あるいは所有者端末２にリスク管理上好ましい情報の組み合わせに関する情報をプリセットしておき、このプリセット情報に基づいて情報所有者Ｕ１の意思決定をユーザインタフェース上でガイドするようにしてもよい。あるいは、リスク管理上好ましい情報の組み合わせに関するお薦めの情報を管理するリポジトリへ問い合わせて、情報所有者Ｕ１の指定条件に合ったお薦めの組み合わせの紹介を受けるようにしてもよい。さらに、お薦めの組み合わせを情報所有者Ｕ１自身がカスタマイズして使用するようにしてもよい。
【0045】
図５は所有者端末２の表示画面Ｄに表示される分散方式決定用のユーザインタフェースの例を示す図である。このユーザインタフェースは、情報銀行の選択領域４１と断片情報の種別の選択領域４２とを有する。情報銀行の選択領域４１には、情報銀行毎のアイコン４３、４４、４５が配置され、断片情報の種別の選択領域４２にも断片情報の種別毎のアイコン４６，４７、４８、４９が配置される。そして情報所有者Ｕ１が情報銀行の選択領域４１と断片情報の種別の選択領域４２との間で互いに関連付けたいアイコン同士をドラッグすることなどによって情報銀行（情報システム）とこれに保存する断片情報の種別との紐付けを行うことができる。例えば、図５の例では、買い物に関する決済情報と時刻情報を情報銀行Ａ（第１の情報システム１ａ）へ、位置情報を情報銀行Ｂ（第２の情報システム１ｂ）へ、心拍数情報を情報銀行Ｃ（第３の情報システム１ｃ）へそれぞれ公開情報として保存するといった分散方針が決定される。
【0046】
分散方式の決定の際、所有者端末２の分散方針決定部２３は、１つの情報銀行に保存するように選択された複数の断片情報が漏洩した場合のリスク評価を行い、その結果を情報所有者Ｕ１にフィードバックしてもよい。情報所有者Ｕ１はリスク評価のフィードバックから分散方式を再検討し、リスクがより低い分散方針への変更をユーザインタフェースを使って指定することができる。また、分散方式を決定するときだけではなく、既に決定され、運用が始まっている分散方式についてもリスク評価を行って、情報所有者Ｕ１にその結果を提示するようにしてもよい。
さらに、所有者端末２の分散方針決定部２３は、リスク最小の断片情報の組み合わせを算出し、ユーザインタフェースを通じて情報所有者Ｕ１に推奨するようにしてもよい。
さらに、所有者端末２の分散方針決定部２３は、リスク最小の断片情報の組み合わせを算出し、ユーザインタフェースを通じて情報所有者Ｕ１に推奨するようにしてもよい。
【0047】
例えば、仮に決済情報と時刻情報が開示情報として保存された第１の情報システム１ａから上記の断片情報が漏洩したとしても、決済が行われる場所（位置情報）に関する情報が得られない以上、漏洩情報が悪用される可能性は低くなる。よって、決済情報および時刻情報と、位置情報は別々の自用法システムに保存されることが望ましい。また、高額の決済時には人の心拍数が上がることが多いことが知られており、高額決済が心拍数から特定されないように、決済情報と心拍数情報は別々の情報システムに保存されることが望ましい。
【0048】
図４の動作説明に戻って、分散方式が決定された以降、情報収集部２２は、その分散方式に従って、情報生成部２１により生成された複数の情報のなかから断片情報として収集する情報を選択し（Ｓ２）、情報断片化部２４に供給する。情報断片化部２４は、情報収集部２２により収集された断片情報のハッシュ値をハッシュ生成器２５を用いて生成する。
なお、情報断片化部２４は、決められた分散方式に従って、情報収集部２２により収集された特定の種類の断片情報例えば緯度と経度とで構成される位置情報などを、さらに複数の断片情報例えば緯度情報と経度情報とに断片化して、それぞれのハッシュ値をハッシュ生成器２５を用いて生成する（Ｓ４）。
なお、情報断片化部２４は、決められた分散方式に従って、情報収集部２２により収集された特定の種類の断片情報例えば緯度と経度とで構成される位置情報などを、さらに複数の断片情報例えば緯度情報と経度情報とに断片化して、それぞれのハッシュ値をハッシュ生成器２５を用いて生成する（Ｓ４）。
【0049】
次に、情報送信部２６が、情報断片化部２４により生成された複数の断片情報および複数のハッシュ値から分散方針に従って情報銀行毎のデータベース保存用の第１のレコードとハッシュテーブル更新用の第２のレコードを生成し、各情報システム１ａ、１ｂ、１ｃに送信する（Ｓ５）。
【0050】
第１の情報システム１ａは、情報受信部１１にて所有者端末２からの上記第１のレコードおよび第２のレコードを受信すると（Ｓ６）、情報更新部１２によって第２のレコードに含まれるハッシュ値がハッシュテーブル１３に登録され（Ｓ７）、さらに、受信した第１のレコードの内容がデータベース１４に登録される（Ｓ８）。さらに情報更新部１２によって、ハッシュテーブル１３には、データベース１４に公開情報として登録された断片情報を特定するインデックスキーが登録済みのハッシュ値に対応付けて記録される。その他の情報システム１ｂ、１ｃにおいても同様に所有者端末２から受信した第１のレコードおよび第２のレコードの内容に基づいてハッシュテーブル１３およびデータベース１４が更新される。
【0051】
（２．情報利用者Ｕ２による情報要求時の動作）
図６は情報利用者Ｕ２による情報要求時の動作シーケンスを示す図である。
利用者端末３の情報利用者Ｕ２は、情報所有者Ｕ１からの許諾を受けた条件下で、第１の情報システム１ａの認証を受け、認証トークンを保有した状態で第１の情報システム１ａへのアクセスを開始する。第１の情報システム１ａは、認証トークンをもったアクセスを許容する。このような一定のコンテキストをもった一連の情報アクセスをまとめてここではセッションと呼ぶ。また、情報利用者Ｕ２は、情報所有者Ｕ１からの許諾をもとに第２の情報システム１ｂおよび第３の情報システム１ｃがそれぞれ保有する情報に対するアクセス権を示す認可トークンを得ることができる。第１の情報システム１ａは、認可トークンがあることを条件に、その認可トークンの対象である情報システムからハッシュ値によって断片情報を取得することができる。例えば、情報利用者Ｕ２が、第２の情報システム１ｂおよび第３の情報システム１ｃがそれぞれ保有する断片情報に対するそれぞれの認可トークンを所持しているならば、第１の情報システム１ａは、第２の情報システム１ｂおよび第３の情報システム１ｃからハッシュ値による断片情報の取得を実行する。しかし、情報利用者Ｕ２が、第２の情報システム１ｂが保有する断片情報に対する認可トークンしか所持していないならば、第１の情報システム１ａは、第２の情報システム１ｂからのハッシュ値による断片情報の取得のみを実行する。以下、情報利用者Ｕ２が、第２の情報システム１ｂおよび第３の情報システム１ｃがそれぞれ保有する断片情報に対するそれぞれの認可トークンを有することを前提に情報利用者Ｕ２からの情報要求時の動作を説明する。
図６は情報利用者Ｕ２による情報要求時の動作シーケンスを示す図である。
利用者端末３の情報利用者Ｕ２は、情報所有者Ｕ１からの許諾を受けた条件下で、第１の情報システム１ａの認証を受け、認証トークンを保有した状態で第１の情報システム１ａへのアクセスを開始する。第１の情報システム１ａは、認証トークンをもったアクセスを許容する。このような一定のコンテキストをもった一連の情報アクセスをまとめてここではセッションと呼ぶ。また、情報利用者Ｕ２は、情報所有者Ｕ１からの許諾をもとに第２の情報システム１ｂおよび第３の情報システム１ｃがそれぞれ保有する情報に対するアクセス権を示す認可トークンを得ることができる。第１の情報システム１ａは、認可トークンがあることを条件に、その認可トークンの対象である情報システムからハッシュ値によって断片情報を取得することができる。例えば、情報利用者Ｕ２が、第２の情報システム１ｂおよび第３の情報システム１ｃがそれぞれ保有する断片情報に対するそれぞれの認可トークンを所持しているならば、第１の情報システム１ａは、第２の情報システム１ｂおよび第３の情報システム１ｃからハッシュ値による断片情報の取得を実行する。しかし、情報利用者Ｕ２が、第２の情報システム１ｂが保有する断片情報に対する認可トークンしか所持していないならば、第１の情報システム１ａは、第２の情報システム１ｂからのハッシュ値による断片情報の取得のみを実行する。以下、情報利用者Ｕ２が、第２の情報システム１ｂおよび第３の情報システム１ｃがそれぞれ保有する断片情報に対するそれぞれの認可トークンを有することを前提に情報利用者Ｕ２からの情報要求時の動作を説明する。
【0052】
利用者端末３の情報要求送信部３１は、第１の情報システム１ａに、情報所有者Ｕ１の個人情報５に関する情報取得要求を送信する（Ｓ１１）。第１の情報システム１ａは、情報要求受信部１５にてこの情報取得要求を受信すると、クエリ実施部１８に情報取得要求を供給する（Ｓ１２）。クエリ実施部１８は、情報取得要求に基づいてデータベース１４から該当するレコードを取り出し（Ｓ１３）、取り出したレコード中の１以上の断片情報を情報処理部１６に供給する（Ｓ１４）。また、クエリ実施部１８は、当該レコード中の１以上のハッシュ値を他行クエリ送信部１９ａに供給する（Ｓ１５）。
【0053】
他行クエリ送信部１９ａは、クエリ実施部１８より供給されたハッシュ値を含むクエリを、当該ハッシュ値に付加された銀行ＩＤに該当する情報銀行の情報システムに送信する（Ｓ１６）。ここで、そのハッシュ値を含むクエリが第２の情報システム１ｂに送信された場合を説明する。
【0054】
第２の情報システム１ｂは、クエリ受信部１９ｃにてハッシュ値を含むクエリを受信して自情報システム１ｂ内のクエリ実施部１８に供給する（Ｓ１７）。クエリ実施部１８は、ハッシュテーブル１３から当該クエリに含まれるハッシュ値に対応する断片情報をデータベース１４から引き当てるためのインデックスキーを取り出し、クエリ実施部１８に供給する（Ｓ１８）。クエリ実施部１８は、このインデックスキーをキーにデータベース１４より該当する断片情報を取り出す（Ｓ１９）。データベース１４から取り出された断片情報は、データ返信部１９ｄによって第１の情報システム１ａに返信される（Ｓ２０、Ｓ２１）。
【0055】
第１の情報システム１ａは、他行データ受信部１９ｂにて情報システム１ｂから返信された断片情報を受信してクエリ実施部１８に供給する。他行データ受信部１９ｂからクエリ実施部１８に供給された断片情報は、クエリ実施部１８から情報処理部１６に供給される（Ｓ１４）。
【0056】
なお、Ｓ１３でデータベース１４から取り出されたレコードから第３の情報システム１ｃに保存された断片情報のハッシュ値が取り出された場合には、クエリ実施部１８は、第３の情報システム１ｃにそのハッシュ値を含むクエリを送信する。これにより、第３の情報システム１ｃから該当する断片情報が第１の情報システム１ａに返信される。このようにして、複数の情報システム１ａ、１ｂ、１ｃに分散して保存された個人情報５を構成する複数の断片情報が第１の情報システム１ａに揃い集められる。
【0057】
第１の情報システム１ａの情報処理部１６は、上記のように複数の情報システム１ａ、１ｂ、１ｃから揃い集めた断片情報を処理して、処理結果であるレポートを生成する（Ｓ２２）。生成されたレポートは、情報返信部１７によって利用者端末３に送信され（Ｓ２３）、利用者端末３の情報結果受信部３２にて受信される（Ｓ２４）。
【0058】
（認可トークンとレポートとの関係）
【0059】
情報利用者Ｕ２に提供されるレポートのソースとなる断片情報の種類は、その情報利用者Ｕ２が所有する認可トークンの種類によって制限され得る。
例えば、情報利用者Ｕ２が第２の情報システム１ｂの断片情報に対する認可トークンと第３の情報システム１ｃの保有する断片情報に対する認可トークンの両方を所有しない場合、第１の情報システム１ａは自身のデータベース１４に開示情報として保存されている断片情報の範囲で情報処理を実行する。例えば、自身のデータベース１４に決済情報と時刻情報が保存されている場合、客単価の高い時刻や購買数の多い時間帯に関するレポートなどが作成される。
例えば、情報利用者Ｕ２が第２の情報システム１ｂの断片情報に対する認可トークンと第３の情報システム１ｃの保有する断片情報に対する認可トークンの両方を所有しない場合、第１の情報システム１ａは自身のデータベース１４に開示情報として保存されている断片情報の範囲で情報処理を実行する。例えば、自身のデータベース１４に決済情報と時刻情報が保存されている場合、客単価の高い時刻や購買数の多い時間帯に関するレポートなどが作成される。
【0060】
一方、情報利用者Ｕ２が第２の情報システム１ｂの断片情報に対する認可トークンと第３の情報システム１ｃの断片情報に対する認可トークンを所有する場合には、第１の情報システム１ａは自身のデータベース１４に開示情報として保存されている断片情報とともに、第２の情報システム１ｂおよび第３の情報システム１ｃにそれぞれ開示情報として保存されている断片情報に基づいて情報処理を行った結果をレポートとして作成することができる。例えば、第２の情報システム１ｂには位置情報が、第３の情報システム１ｃには心拍数情報が保存されている場合、第１の情報システム１ａは、決済金額の大きい地域や、購入者の心拍数と決済額の相関といった、より高度な情報レポートを作成することができる。
【0061】
このように第１の情報システム１ａに収集された複数の断片情報は、情報処理部１６において例えば統計処理された結果などとして情報利用者Ｕ２へ提供されるので、複数の断片情報をそのまま情報利用者Ｕ２へ提供する場合に比べて、情報所有者個人のブラバイシーを守る上で有効である。
【0062】
上記の情報利用者Ｕ２による情報要求時の動作例では、利用者端末３の情報利用者Ｕ２は、第１の情報システム１ａの認証を受け、認証トークンを保有した状態で第１の情報システム１ａへのアクセスを開始する場合について説明した。しかし、本実施形態の情報銀行システム１００では、それぞれの情報システム１ａ、１ｂ、１ｃのデータベース１４に、個人情報５を構成する複数の断片情報が分散して保存され、さらに、個人情報５を構成する複数の断片情報のうち自情報システムに保存された断片情報以外のすべての断片情報のハッシュ値が保存されている。したがって、利用者端末３の情報利用者Ｕ２は、第２の情報システム１ｂの認証を受け、認証トークンを保有した状態で第２の情報システム１ｂへのアクセスを開始したり、第３の情報システム１ｃの認証を受け、認証トークンを保有した状態で第３の情報システム１ｃへのアクセスを開始することによっても、第１の情報システム１ａへのアクセスを開始した場合と同様に各情報システム１ａ、１ｂ、１ｃのデータベース１４に開示情報として分散保存された複数の断片情報をアクセス開始元の情報システムに集めて情報処理を行うことができる。
【0063】
＜第１の変形例＞
上記の第１の実施形態では、個人情報を構成する複数の断片情報の公開情報を複数の情報システムに均等な数で分散して預ける場合を示した。しかし、複数の断片情報を複数の情報システムにどのような数の割合で分散するかは任意に決めることができる。
上記の第１の実施形態では、個人情報を構成する複数の断片情報の公開情報を複数の情報システムに均等な数で分散して預ける場合を示した。しかし、複数の断片情報を複数の情報システムにどのような数の割合で分散するかは任意に決めることができる。
【0064】
図７は複数の情報システム１ａ、１ｂ、１ｃ間で不均等な数の割合で断片情報を保存する一例を示している。この例では、個人情報を構成する６つの断片情報Ａ、Ｂ、Ｃ、Ｄ、Ｅ、Ｆのうち、第１の情報システム１ａに４つの断片情報Ｂ、Ｃ、Ｄ、Ｅが保存され、第３の情報システム１ｃに１つの断片情報Ａが保存され、第３の情報システム１ｃに１つの断片情報Ｆが保存される。ハッシュ値については、第１の情報システム１ａに２つの断片情報Ａ、Ｆのハッシュ値が保存され、第２の情報システム１ｂに５つの断片情報Ｂ、Ｃ、Ｄ、Ｅ、Ｆのハッシュ値が保存され、第３の情報システム１ｃに５つの断片情報Ａ、Ｂ、Ｃ、Ｄ、Ｅのハッシュ値が保存される。このように各情報システム１ａ、１ｂ、１ｃに不均一な数の断片情報の保存を許容することによって、自情報システムに情報を誘引する競争力が生まれ、情報利用者Ｕ２に提供される情報の寄与度に応じた便益を運営主体が得られるような仕組みの導入との組み合わせによって、情報銀行システム１００全体の規模、サービス、信頼性の向上が期待できる。
【0065】
＜第２の変形例＞
上記第１の実施形態では、例えばセンサーの出力のデータなど、単体でも何らかの意味が分かるデータを１つの断片情報として扱うこととした。しかし、１つの断片情報であっても漏洩によって大きな損害が生じる場合も考えられる。
上記第１の実施形態では、例えばセンサーの出力のデータなど、単体でも何らかの意味が分かるデータを１つの断片情報として扱うこととした。しかし、１つの断片情報であっても漏洩によって大きな損害が生じる場合も考えられる。
【0066】
そこで個々の断片情報を、構造的にさらに細かい情報に断片化して、それぞれ複数の情報システムに分散して保存するようにしてもよい。
図８は個々の断片情報Ａ、Ｂ、Ｃがそれぞれ３桁の数値列である場合に、その数値列の各桁毎の値を３つの情報システム１ａ、１ｂ、１ｃに分散して保存した例である。この例では、断片情報Ａ、Ｂ、Ｃそれぞれの３桁の数値列のうち１桁目の数値が第１の情報システム１ａに公開情報として保存され、２桁目の数値が第２の情報システム１ｂに公開情報として保存され、３桁目の数値が第３の情報システム１ｃに公開情報として保存される。第１の情報システム１ａには、さらに、２桁目と３桁目の数値のハッシュ値が保存され、第２の情報システム１ｂには、さらに、１桁目と３桁目の数値のハッシュ値が保存され、第３の情報システム１ｃには、さらに、１桁目と２桁目の数値のハッシュ値が保存される。
図８は個々の断片情報Ａ、Ｂ、Ｃがそれぞれ３桁の数値列である場合に、その数値列の各桁毎の値を３つの情報システム１ａ、１ｂ、１ｃに分散して保存した例である。この例では、断片情報Ａ、Ｂ、Ｃそれぞれの３桁の数値列のうち１桁目の数値が第１の情報システム１ａに公開情報として保存され、２桁目の数値が第２の情報システム１ｂに公開情報として保存され、３桁目の数値が第３の情報システム１ｃに公開情報として保存される。第１の情報システム１ａには、さらに、２桁目と３桁目の数値のハッシュ値が保存され、第２の情報システム１ｂには、さらに、１桁目と３桁目の数値のハッシュ値が保存され、第３の情報システム１ｃには、さらに、１桁目と２桁目の数値のハッシュ値が保存される。
【0067】
このように断片情報を構造的にさらに細かい複数の情報に断片化して複数の情報システム１ａ、１ｂ、１ｃに分散して保存し、各々の情報システム１ａ、１ｂ、１ｃにおいて、公開情報部分以外の部分の情報をハッシュ値として保存したことによって、断片情報の単位での漏洩のリスクを低減できる。
【0068】
なお、この変形例では、個人情報５を構成する複数の断片情報を複数の情報システム１ａ、１ｂ、１ｃに分散して保存する必要はない。
【0069】
＜第３の変形例＞
上記第１の実施形態では、情報システムから攻撃行為によってハッシュ値が漏洩した場合、そのハッシュ値を使った他の情報システムへの不正アクセスによって他の情報システムに保存された断片情報までもが漏洩してしまう可能性を必ずしも否定できない。そこで、情報システムの制御部１０が、自情報システムからのハッシュ値の漏洩を検出したならば、漏洩したハッシュ値が示す断片情報が保存された他の情報システムに対して、該当する断片情報のアクセス禁止を要求するとともに、自情報システムに登録されたハッシュ値を無効化して新しいハッシュ値に更新する。
上記第１の実施形態では、情報システムから攻撃行為によってハッシュ値が漏洩した場合、そのハッシュ値を使った他の情報システムへの不正アクセスによって他の情報システムに保存された断片情報までもが漏洩してしまう可能性を必ずしも否定できない。そこで、情報システムの制御部１０が、自情報システムからのハッシュ値の漏洩を検出したならば、漏洩したハッシュ値が示す断片情報が保存された他の情報システムに対して、該当する断片情報のアクセス禁止を要求するとともに、自情報システムに登録されたハッシュ値を無効化して新しいハッシュ値に更新する。
【0070】
例えば、図９Ａに示すように、３つの情報システム１ａ、１ｂ、１ｃのなかの１つの第３の情報システム１ｃに対する攻撃によって断片情報Ａ、Ｂ、Ｃ、Ｄへのハッシュ値が漏洩したとする。第３の情報システム１ｃの制御部１０は、このハッシュ値漏洩を検出すると、直ちに他の情報システム１ａ、１ｂに、漏洩したハッシュ値が示す断片情報に対するアクセスの失効（Revocation）を要求する。第１の情報システム１ａの制御部１０は、この失効（Revocation）要求に応じて、図９Ｂに示すように、漏洩したハッシュ値が示す断片情報Ｃ、Ｄへのアクセスを禁止状態にする。同様に、第２の情報システム１ｂの制御部１０も、失効（Revocation）要求に応じて、図９Ｂに示すように、漏洩したハッシュ値が示す断片情報Ａ、Ｂへのアクセスを禁止状態にする。続いて、第３の情報システム１ｃの制御部１０は、図９Ｃに示すように、漏洩したハッシュ値に代わる新たなハッシュ値（NEW_HASH）を生成し、この新たなハッシュ値（NEW_HASH）を漏洩した古いハッシュ値と入れ替え、この新たなハッシュ値（NEW_HASH）を含むリハッシュ要求を第１の情報銀行システムと第２の情報システム１ｂにそれぞれ送信する。第１の情報銀行システムと第２の情報システム１ｂのそれぞれの制御部１０は、リハッシュ要求を受けると、このリハッシュ要求に含まれる新たなハッシュ値（NEW_HASH）で自身のハッシュテーブル１３をそれぞれ更新する。
【0071】
これにより、情報システムから漏洩したハッシュ値による他の情報システムからの断片情報漏洩を防止することができる。
【0072】
＜第４の変形例＞
情報銀行毎に預けられた断片情報を指定するハッシュ値は、情報銀行毎に決められた権限機関による公開鍵暗号化が行われたものとしてもよい。
例えば図１０に示すように、第１の情報システム１ａには個人情報を構成する複数の断片情報Ｃ、Ｄ、Ｅ、Ｆのうちの断片情報Ｃ、Ｄが保存され、第３の情報システム１ｃには複数の断片情報Ｅ、Ｆが保存され、さらに第１の情報システム１ａには第３の情報システム１ｃに保存された断片情報Ｅ、Ｆのハッシュ値が保存され、第３の情報システム１ｃには第１の情報システム１ａに保存された断片情報Ｃ、Ｄのハッシュ値が保存されているものとする。
ここで、断片情報Ｃ、Ｄのハッシュ値は機関Ｘによる公開鍵暗号化が施され、断片情報Ｅ、Ｆのハッシュ値は機関Ｙによる公開鍵暗号化が施される。このため、第３の情報システム１ｃから第１の情報システム１ａに対し、断片情報Ｃ、Ｄをハッシュ値で取得するためには、暗号化されたハッシュ値（Coded_HASH）が機関Ｘによって復号されなければならない。同様に、第１の情報システム１ａから第３の情報システム１ｃに対し、断片情報Ｅ、Ｆをハッシュ値で取得するためには、その暗号化されたハッシュ値（Coded_HASH）が機関Ｙによって復号されなければならない。
情報銀行毎に預けられた断片情報を指定するハッシュ値は、情報銀行毎に決められた権限機関による公開鍵暗号化が行われたものとしてもよい。
例えば図１０に示すように、第１の情報システム１ａには個人情報を構成する複数の断片情報Ｃ、Ｄ、Ｅ、Ｆのうちの断片情報Ｃ、Ｄが保存され、第３の情報システム１ｃには複数の断片情報Ｅ、Ｆが保存され、さらに第１の情報システム１ａには第３の情報システム１ｃに保存された断片情報Ｅ、Ｆのハッシュ値が保存され、第３の情報システム１ｃには第１の情報システム１ａに保存された断片情報Ｃ、Ｄのハッシュ値が保存されているものとする。
ここで、断片情報Ｃ、Ｄのハッシュ値は機関Ｘによる公開鍵暗号化が施され、断片情報Ｅ、Ｆのハッシュ値は機関Ｙによる公開鍵暗号化が施される。このため、第３の情報システム１ｃから第１の情報システム１ａに対し、断片情報Ｃ、Ｄをハッシュ値で取得するためには、暗号化されたハッシュ値（Coded_HASH）が機関Ｘによって復号されなければならない。同様に、第１の情報システム１ａから第３の情報システム１ｃに対し、断片情報Ｅ、Ｆをハッシュ値で取得するためには、その暗号化されたハッシュ値（Coded_HASH）が機関Ｙによって復号されなければならない。
【0073】
これにより、漏洩したハッシュ値を用いた断片情報の不正取得に対する耐性をより一層強化することができる。さらに、一度復号化されたハッシュ値は無効化されるように、各機関Ｘ、Ｙで改めて公開鍵暗号化が行われた新たなハッシュ値を生成して、各情報システム１ａ、１ｃのデータベース１４およびハッシュテーブル１３を更新してもよい。
【0074】
＜第５の変形例＞
ハッシュ値に対して、該当する断片情報を保有する情報システムを特定する方法として、上記第１の実施形態では、ハッシュ値に銀行ＩＤを付加する方法を採用したが、予め情報システム毎にハッシュ値のレンジを決めておく方法も考えられる。
さらに、図１１に示すように、ハッシュ値またはハッシュ値レンジと銀行とのマッピングを管理するリポジトリ５１を用意し、各情報システムが、他情報システムにハッシュ値を用いて断片情報を要求する都度、リポジトリ５１に、そのハッシュ値に対応する情報システムを問い合わせる方法がある。
ハッシュ値に対して、該当する断片情報を保有する情報システムを特定する方法として、上記第１の実施形態では、ハッシュ値に銀行ＩＤを付加する方法を採用したが、予め情報システム毎にハッシュ値のレンジを決めておく方法も考えられる。
さらに、図１１に示すように、ハッシュ値またはハッシュ値レンジと銀行とのマッピングを管理するリポジトリ５１を用意し、各情報システムが、他情報システムにハッシュ値を用いて断片情報を要求する都度、リポジトリ５１に、そのハッシュ値に対応する情報システムを問い合わせる方法がある。
【0075】
＜第６の変形例＞
所有者端末２に、複数の情報システムに分散して保存した複数の断片情報のハッシュ値を保持する機能を設けることによって、各情報システムに保存された断片情報を更新したい場合に、第５の変形例で挙げたリポジトリ５１に対し、ハッシュ値を用いて断片情報を要求する先の情報システムを問い合わせ、その情報システムに対して、ハッシュ値を指定してデータベース１４の断片情報の更新を行うようにしてもよい。
所有者端末２に、複数の情報システムに分散して保存した複数の断片情報のハッシュ値を保持する機能を設けることによって、各情報システムに保存された断片情報を更新したい場合に、第５の変形例で挙げたリポジトリ５１に対し、ハッシュ値を用いて断片情報を要求する先の情報システムを問い合わせ、その情報システムに対して、ハッシュ値を指定してデータベース１４の断片情報の更新を行うようにしてもよい。
【0076】
＜第７の変形例＞
上記の第１の実施形態では、図２に示したように、複数の情報システム１ａ、１ｂ、１ｃに情報所有者Ｕ１の個人情報５を構成する複数の断片情報Ａ－Ｆのうち、第１の情報システム１ａには、断片情報Ｃ、Ｄと、断片情報Ａ、Ｂのハッシュ値と、断片情報Ｅ、Ｆのハッシュ値とが１つのレコードとして保存され、第２の情報システム１ｂには、断片情報Ａ、Ｂと、断片情報Ｃ、Ｄのハッシュ値と、断片情報Ｅ、Ｆのハッシュ値が１つのレコードとして保存され、第３の情報システム１ｃには、断片情報Ｅ、Ｆと、断片情報Ａ、Ｂのハッシュ値と、断片情報Ｃ、Ｄのハッシュ値が１つのレコードとして保存されることとした。これは、情報利用者Ｕ２が、どの情報システム１ａ、１ｂ、１ｃに対するアクセスを開始しても、個人情報５を構成するすべての断片情報Ａ－Ｆをアクセス開始先の情報システムで揃い集めることができるためである。これに対し、例えばアクセス開始先の情報システムが固定されるような場合、例えば、第３の情報システム１ｃが情報利用者Ｕ２からの情報要求を受けることが決められているような場合には、例えば、図１２に示すように、ハッシュ値については、第３の情報システム１ｃにだけ保存し、他の情報システム１ａ、１ｂには断片情報だけを保存するようにしてもよい。また、このような保存方針を所有者端末２において決定できるようにしてもよい。
上記の第１の実施形態では、図２に示したように、複数の情報システム１ａ、１ｂ、１ｃに情報所有者Ｕ１の個人情報５を構成する複数の断片情報Ａ－Ｆのうち、第１の情報システム１ａには、断片情報Ｃ、Ｄと、断片情報Ａ、Ｂのハッシュ値と、断片情報Ｅ、Ｆのハッシュ値とが１つのレコードとして保存され、第２の情報システム１ｂには、断片情報Ａ、Ｂと、断片情報Ｃ、Ｄのハッシュ値と、断片情報Ｅ、Ｆのハッシュ値が１つのレコードとして保存され、第３の情報システム１ｃには、断片情報Ｅ、Ｆと、断片情報Ａ、Ｂのハッシュ値と、断片情報Ｃ、Ｄのハッシュ値が１つのレコードとして保存されることとした。これは、情報利用者Ｕ２が、どの情報システム１ａ、１ｂ、１ｃに対するアクセスを開始しても、個人情報５を構成するすべての断片情報Ａ－Ｆをアクセス開始先の情報システムで揃い集めることができるためである。これに対し、例えばアクセス開始先の情報システムが固定されるような場合、例えば、第３の情報システム１ｃが情報利用者Ｕ２からの情報要求を受けることが決められているような場合には、例えば、図１２に示すように、ハッシュ値については、第３の情報システム１ｃにだけ保存し、他の情報システム１ａ、１ｂには断片情報だけを保存するようにしてもよい。また、このような保存方針を所有者端末２において決定できるようにしてもよい。
【0077】
（本開示の情報銀行システムの効果）
以上のように、本技術の情報銀行システム１００によれば、個人情報を構成する複数の断片情報を複数の情報システムへ分散して保存するため、仮に不正な情報利用者による一部の情報システムへの攻撃による不正侵入によって、その情報システムに開示情報として保存された断片情報の漏洩が生じたとしても、漏洩した断片情報は個人情報５を構成する複数の断片情報の一部に過ぎないため、被害を低く抑えることができる。また、ハッシュ値が示す断片情報は別の情報システムに保存されているので、不正な情報利用者は、その情報システムにも攻撃行為を通じて侵入を図る必要がある。これにより、情報漏洩耐性の高い情報銀行システムが得られる。
以上のように、本技術の情報銀行システム１００によれば、個人情報を構成する複数の断片情報を複数の情報システムへ分散して保存するため、仮に不正な情報利用者による一部の情報システムへの攻撃による不正侵入によって、その情報システムに開示情報として保存された断片情報の漏洩が生じたとしても、漏洩した断片情報は個人情報５を構成する複数の断片情報の一部に過ぎないため、被害を低く抑えることができる。また、ハッシュ値が示す断片情報は別の情報システムに保存されているので、不正な情報利用者は、その情報システムにも攻撃行為を通じて侵入を図る必要がある。これにより、情報漏洩耐性の高い情報銀行システムが得られる。
【0078】
情報の利用を情報システム単位で認可することによって情報の開示範囲を制御することができる。さらに、所有者端末２で決定される分散方針によって、各情報システムに公開情報として保存する断片情報の種別の組み合わせを、万が一情報が漏洩しても情報所有者Ｕ１が実効的な被害を被らないように定めることができる。例えば、購入情報、位置情報、時間情報が存在する場合において、位置情報と時刻情報が１つの情報システムに保存されることは、万が一これらの情報が漏洩した場合に情報所有者Ｕ１のプライバシーが損なわれる可能性があるので、このような組み合わせを避けるように情報利用者Ｕ２は所有者端末２上で分散方針を決定することができる。
【0079】
一方、情報システムは、情報所有者Ｕ１によって情報公開の認可が情報システム単位で制限されていたとしても、情報公開が認可された断片情報の範囲で統計的な処理を通して有益な情報を生成し、情報利用者Ｕ２に提供することができる。例えば、購入情報、位置情報、時間情報が存在する場合において、位置情報を保存する情報システムの開示情報の利用を情報所有者Ｕ１が認可していなくも、購入情報と時間情報を保存する他の情報システムの開示情報の利用を情報所有者Ｕ１が認可している場合には、情報処理部１６によって、商品の売れる時間帯の分析などの情報処理を行い得る。あるいは、位置情報を保存する情報システムの開示情報の利用のみを情報所有者Ｕ１が認可している場合には、情報処理部１６によって、人口分析などの情報処理を行い得る。
【0080】
権限機関によるハッシュ値の公開鍵暗号化により、たとえば、裁判所の開示命令がなければ、権限機関より権限の低い利用者はすべての情報にアクセスすることはできない、といった堅牢性が実現される。
【0081】
本開示の情報銀行システム１００はゴミ収集機関によるゴミ出しの中身を情報化するシステムへの応用も考えられる。個人が出したゴミには個人情報が多く含まれており、ゴミの情報と個人情報とを複数の情報システムに分散して保存することによって、個人のプライバシーを保護しつつ、例えばゴミ収集機関と警察の双方の許諾がそろった条件で、悪質なゴミだしをした個人を特定することができる。
【0082】
リポジトリ５１を介することで、情報銀行の新規参入や撤退、合従連衡といった動的な変化に対してハッシュ値を作り直すことなく、より迅速な対応が可能になる。またこれらの変化に伴う情報システム間での保有情報の移行も可能である。情報システムの構成が変わらない場合でも、情報システム間の保有情報の取引も同様に可能になる。
【0083】
断片情報の分散方針は、センサーなどのデバイスごとのプリセットに基づいて行うことができる。この場合、漏洩時のリスクが大きくなるような情報の組み合わせを避けるように、デバイスベンダと情報システムの運営主体との協議によって断片情報の最適な保存先を決めるようにしてもよい。
【0084】
［本技術の別の構成］
なお、本技術は以下のような構成も採ることができる。
（１）情報所有者の個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他のすべての断片情報をそれぞれ示す１以上のハッシュ値とを保存する保存部と、
情報利用者からの情報要求を受け、前記保存部から該当する１以上の断片情報および１以上のハッシュ値を取り出し、前記複数の断片情報のうち前記保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求する制御部と、
を具備する情報システム。
（２）上記（１）に記載の情報システムであって、
前記他の情報システムが複数あり、それぞれの他の情報システムには、前記複数の断片情報のうち前記保存部に保存された断片情報以外のすべての断片情報が分散して保存され、
前記制御部は、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報をそれぞれ前記他の複数の情報システムに要求するように構成された
情報システム。
（３）前記（１）または（２）に記載の情報システムであって、
前記制御部は、前記取り出した１以上の断片情報および前記他の情報システムから取得した１以上の断片情報に基づいて情報処理を行い、その結果を前記情報利用者の端末に応答するように構成された
情報システム。
（４）前記（１）から（３）のいずれかに記載の情報システムであって、
前記制御部は、前記保存部の前記ハッシュ値の漏洩を検出した場合、前記漏洩したハッシュ値が示す断片情報が保存された他の情報システムに対して当該断片情報のアクセス禁止を要求するとともに、前記漏洩したハッシュ値を無効化して新しいハッシュ値に更新するように構成された
情報システム。
（５）前記（１）から（４）のいずれかに記載の情報システムであって、
前記複数の断片情報が、前記情報所有者の行動に付随して同期的に生成される互いに異なる属性の複数の情報である
情報システム。
（６）前記（１）から（４）のうちいずれかに記載の情報システムであって、
前記複数の断片情報が、前記個人情報を構造的に断片化した複数の情報である
情報システム。
（７）前記（６）に記載の情報システムであって、
前記個人情報が所定の桁数を有する数値列であり、前記複数の断片情報が、前記数値列を桁毎の数値に断片化した複数の情報である
情報システム。
（８）前記（１）から（７）のうちいずれかに記載の情報システムであって、
前記ハッシュ値は、権限機関によって公開鍵暗号化されたハッシュ値である
情報システム。
（９）前記（１）から（８）のうちいずれかに記載の情報システムであって、
前記ハッシュ値には、当該ハッシュ値が示す断片情報が保存された前記他の情報システムを特定する識別情報が付加され、
前記制御部は、前記識別情報により特定される前記他の情報システムに、当該ハッシュ値が示す断片情報を要求するように構成された
情報システム。
（１０）前記（１）から（８）のうちいずれかに記載の情報システムであって、
前記ハッシュ値は、前記他の情報システム毎に決められたレンジ内で与えられる
情報システム。
（１１）前記（１）から（８）のうちいずれかに記載の情報システムであって、
前記制御部は、前記ハッシュ値と前記他の情報システムとのマッピングを管理するリポジトリに問い合わせて、当該ハッシュ値が示す断片情報が保存された他の情報システムを特定するように構成された
情報システム。
（１２）情報所有者の個人情報を構成する複数の断片情報を生成し、前記生成される複数の断片情報のハッシュ値を生成し、複数の断片情報およびこれらの断片情報の複数のハッシュ値のうち、１以上の断片情報と当該断片情報以外の１以上の断片情報の１以上のハッシュ値との組み合わせをネットワークを通じて接続された複数の情報システムのうちの１つの情報システムに保存されるように転送し、前記情報システムに保存された１以上のハッシュ値がそれぞれ示す１以上の断片情報を他の１以上の情報システムにそれぞれ分散して保存されるように転送する制御部と
を具備する情報端末。
（１３）前記（１２）に記載の情報端末であって、
前記制御部は、前記複数の情報システムに、複数の断片情報を分散して保存し、それぞれの情報システム毎に、保存された１以上の断片情報以外のすべての断片情報それぞれのハッシュ値を保存するように構成された
情報端末。
（１４）前記（１２）または（１３）に記載の情報端末であって、
前記制御部は、複数の情報システムにそれぞれ分散して保存する断片情報の種類の決定をグラフィカル・ユーザインタフェースを用いて支援するように構成された
情報端末。
（１５）前記（１４）に記載の情報端末であって、
前記制御部は、１つの情報システムに保存する複数の種類の断片情報を決定する際、リスク管理上好ましい断片情報の組み合わせに関する情報に基づいて、前記情報所有者の意思決定をグラフィカル・ユーザインタフェースを通して案内するように構成された
情報端末。
（１６）制御部が、
情報利用者の端末からの情報要求を受け、個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他の１以上の断片情報をそれぞれ示す１以上のハッシュ値とを保存する保存部から該当する１以上の断片情報および１以上のハッシュ値を取り出し、
前記複数の断片情報のうち前記保存部に保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求する
情報処理方法。
（１７）上記（１６）に記載の情報処理方法であって、
前記他の情報システムが複数あり、それぞれの他の情報システムには、前記複数の断片情報のうち前記保存部に保存された断片情報以外のすべての断片情報が分散して保存され、
前記制御部は、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報をそれぞれ前記他の複数の情報システムに要求する
情報処理方法。
（１８）前記（１６）または（１７）に記載の情報処理方法であって、
前記制御部は、前記取り出した１以上の断片情報および前記他の情報システムから取得した１以上の断片情報に基づいて情報処理を行い、その結果を前記情報利用者の端末に応答する
情報処理方法。
（１９）前記（１６）から（１８）のいずれかに記載の情報処理方法であって、
前記制御部は、前記保存部の前記ハッシュ値の漏洩を検出した場合、前記漏洩したハッシュ値が示す断片情報が保存された他の情報システムに対して当該断片情報のアクセス禁止を要求するとともに、前記漏洩したハッシュ値を無効化して新しいハッシュ値に更新する
情報処理方法。
（２０）前記（１６）から（１９）のいずれかに記載の情報処理方法であって、
前記複数の断片情報が、前記情報所有者の行動に付随して同期的に生成される互いに異なる属性の複数の情報である
情報処理方法。
（２１）前記（１６）から（１９）のうちいずれかに記載の情報処理方法であって、
前記複数の断片情報が、前記個人情報を構造的に断片化した複数の情報である
情報処理方法。
（２２）前記（２１）に記載の情報処理方法であって、
前記個人情報が所定の桁数を有する数値列であり、前記複数の断片情報が、前記数値列を桁毎の数値に断片化した複数の情報である
情報処理方法。
（２３）前記（１６）から（２２）のうちいずれかに記載の情報処理方法であって、
前記ハッシュ値は、権限機関によって公開鍵暗号化されたハッシュ値である
情報処理方法。
（２４）前記（１６）から（２３）のうちいずれかに記載の情報処理方法であって、
前記ハッシュ値には、当該ハッシュ値が示す断片情報が保存された前記他の情報システムを特定する識別情報が付加され、
前記制御部は、前記識別情報により特定される前記他の情報システムに、当該ハッシュ値が示す断片情報を要求する
情報処理方法。
（２５）前記（１６）から（２３）のうちいずれかに記載の情報処理方法であって、
前記ハッシュ値は、前記他の情報システム毎に決められたレンジ内で与えられる
情報処理方法。
（２６）前記（１６）から（２３）のうちいずれかに記載の情報処理方法であって、
前記制御部は、前記ハッシュ値と前記他の情報システムとのマッピングを管理するリポジトリに問い合わせて、当該ハッシュ値が示す断片情報が保存された他の情報システムを特定するように構成された
情報処理方法。
（２７）制御部が、情報所有者の個人情報を構成する複数の断片情報を生成し、
前記生成される複数の断片情報のハッシュ値を生成し、複数の断片情報およびこれらの断片情報の複数のハッシュ値のうち、１以上の断片情報と当該断片情報以外の１以上の断片情報の１以上のハッシュ値との組み合わせをネットワークを通じて接続された複数の情報システムのうちの１つの情報システムに保存されるように転送し、前記情報システムに保存された１以上のハッシュ値がそれぞれ示す１以上の情報を他の１以上の情報システムにそれぞれ分散して保存されるように転送する
情報提供方法。
（２８）前記（２７）に記載の情報提供方法であって、
前記制御部は、前記複数の情報システムに、複数の断片情報を分散して保存し、それぞれの情報システム毎に、保存された１以上の断片情報以外のすべての断片情報それぞれのハッシュ値を保存する
情報提供方法。
（２９）前記（２７）または（２８）に記載の情報提供方法であって、
前記制御部は、複数の情報システムにそれぞれ分散して保存する断片情報の種類の決定をグラフィカル・ユーザインタフェースを用いて支援する
情報提供方法。
（３０）前記（２９）に記載の情報提供方法であって、
前記制御部は、１つの情報システムに保存する複数の種類の断片情報を決定する際、リスク管理上好ましい断片情報の組み合わせに関する情報に基づいて、前記情報所有者の意思決定をグラフィカル・ユーザインタフェースを通して案内する
情報提供方法。
なお、本技術は以下のような構成も採ることができる。
（１）情報所有者の個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他のすべての断片情報をそれぞれ示す１以上のハッシュ値とを保存する保存部と、
情報利用者からの情報要求を受け、前記保存部から該当する１以上の断片情報および１以上のハッシュ値を取り出し、前記複数の断片情報のうち前記保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求する制御部と、
を具備する情報システム。
（２）上記（１）に記載の情報システムであって、
前記他の情報システムが複数あり、それぞれの他の情報システムには、前記複数の断片情報のうち前記保存部に保存された断片情報以外のすべての断片情報が分散して保存され、
前記制御部は、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報をそれぞれ前記他の複数の情報システムに要求するように構成された
情報システム。
（３）前記（１）または（２）に記載の情報システムであって、
前記制御部は、前記取り出した１以上の断片情報および前記他の情報システムから取得した１以上の断片情報に基づいて情報処理を行い、その結果を前記情報利用者の端末に応答するように構成された
情報システム。
（４）前記（１）から（３）のいずれかに記載の情報システムであって、
前記制御部は、前記保存部の前記ハッシュ値の漏洩を検出した場合、前記漏洩したハッシュ値が示す断片情報が保存された他の情報システムに対して当該断片情報のアクセス禁止を要求するとともに、前記漏洩したハッシュ値を無効化して新しいハッシュ値に更新するように構成された
情報システム。
（５）前記（１）から（４）のいずれかに記載の情報システムであって、
前記複数の断片情報が、前記情報所有者の行動に付随して同期的に生成される互いに異なる属性の複数の情報である
情報システム。
（６）前記（１）から（４）のうちいずれかに記載の情報システムであって、
前記複数の断片情報が、前記個人情報を構造的に断片化した複数の情報である
情報システム。
（７）前記（６）に記載の情報システムであって、
前記個人情報が所定の桁数を有する数値列であり、前記複数の断片情報が、前記数値列を桁毎の数値に断片化した複数の情報である
情報システム。
（８）前記（１）から（７）のうちいずれかに記載の情報システムであって、
前記ハッシュ値は、権限機関によって公開鍵暗号化されたハッシュ値である
情報システム。
（９）前記（１）から（８）のうちいずれかに記載の情報システムであって、
前記ハッシュ値には、当該ハッシュ値が示す断片情報が保存された前記他の情報システムを特定する識別情報が付加され、
前記制御部は、前記識別情報により特定される前記他の情報システムに、当該ハッシュ値が示す断片情報を要求するように構成された
情報システム。
（１０）前記（１）から（８）のうちいずれかに記載の情報システムであって、
前記ハッシュ値は、前記他の情報システム毎に決められたレンジ内で与えられる
情報システム。
（１１）前記（１）から（８）のうちいずれかに記載の情報システムであって、
前記制御部は、前記ハッシュ値と前記他の情報システムとのマッピングを管理するリポジトリに問い合わせて、当該ハッシュ値が示す断片情報が保存された他の情報システムを特定するように構成された
情報システム。
（１２）情報所有者の個人情報を構成する複数の断片情報を生成し、前記生成される複数の断片情報のハッシュ値を生成し、複数の断片情報およびこれらの断片情報の複数のハッシュ値のうち、１以上の断片情報と当該断片情報以外の１以上の断片情報の１以上のハッシュ値との組み合わせをネットワークを通じて接続された複数の情報システムのうちの１つの情報システムに保存されるように転送し、前記情報システムに保存された１以上のハッシュ値がそれぞれ示す１以上の断片情報を他の１以上の情報システムにそれぞれ分散して保存されるように転送する制御部と
を具備する情報端末。
（１３）前記（１２）に記載の情報端末であって、
前記制御部は、前記複数の情報システムに、複数の断片情報を分散して保存し、それぞれの情報システム毎に、保存された１以上の断片情報以外のすべての断片情報それぞれのハッシュ値を保存するように構成された
情報端末。
（１４）前記（１２）または（１３）に記載の情報端末であって、
前記制御部は、複数の情報システムにそれぞれ分散して保存する断片情報の種類の決定をグラフィカル・ユーザインタフェースを用いて支援するように構成された
情報端末。
（１５）前記（１４）に記載の情報端末であって、
前記制御部は、１つの情報システムに保存する複数の種類の断片情報を決定する際、リスク管理上好ましい断片情報の組み合わせに関する情報に基づいて、前記情報所有者の意思決定をグラフィカル・ユーザインタフェースを通して案内するように構成された
情報端末。
（１６）制御部が、
情報利用者の端末からの情報要求を受け、個人情報を構成する複数の断片情報のうちの１以上の断片情報と、他の１以上の断片情報をそれぞれ示す１以上のハッシュ値とを保存する保存部から該当する１以上の断片情報および１以上のハッシュ値を取り出し、
前記複数の断片情報のうち前記保存部に保存された断片情報以外の断片情報が保存された他の情報システムに、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報を要求する
情報処理方法。
（１７）上記（１６）に記載の情報処理方法であって、
前記他の情報システムが複数あり、それぞれの他の情報システムには、前記複数の断片情報のうち前記保存部に保存された断片情報以外のすべての断片情報が分散して保存され、
前記制御部は、前記取り出した１以上のハッシュ値がそれぞれ示す１以上の断片情報をそれぞれ前記他の複数の情報システムに要求する
情報処理方法。
（１８）前記（１６）または（１７）に記載の情報処理方法であって、
前記制御部は、前記取り出した１以上の断片情報および前記他の情報システムから取得した１以上の断片情報に基づいて情報処理を行い、その結果を前記情報利用者の端末に応答する
情報処理方法。
（１９）前記（１６）から（１８）のいずれかに記載の情報処理方法であって、
前記制御部は、前記保存部の前記ハッシュ値の漏洩を検出した場合、前記漏洩したハッシュ値が示す断片情報が保存された他の情報システムに対して当該断片情報のアクセス禁止を要求するとともに、前記漏洩したハッシュ値を無効化して新しいハッシュ値に更新する
情報処理方法。
（２０）前記（１６）から（１９）のいずれかに記載の情報処理方法であって、
前記複数の断片情報が、前記情報所有者の行動に付随して同期的に生成される互いに異なる属性の複数の情報である
情報処理方法。
（２１）前記（１６）から（１９）のうちいずれかに記載の情報処理方法であって、
前記複数の断片情報が、前記個人情報を構造的に断片化した複数の情報である
情報処理方法。
（２２）前記（２１）に記載の情報処理方法であって、
前記個人情報が所定の桁数を有する数値列であり、前記複数の断片情報が、前記数値列を桁毎の数値に断片化した複数の情報である
情報処理方法。
（２３）前記（１６）から（２２）のうちいずれかに記載の情報処理方法であって、
前記ハッシュ値は、権限機関によって公開鍵暗号化されたハッシュ値である
情報処理方法。
（２４）前記（１６）から（２３）のうちいずれかに記載の情報処理方法であって、
前記ハッシュ値には、当該ハッシュ値が示す断片情報が保存された前記他の情報システムを特定する識別情報が付加され、
前記制御部は、前記識別情報により特定される前記他の情報システムに、当該ハッシュ値が示す断片情報を要求する
情報処理方法。
（２５）前記（１６）から（２３）のうちいずれかに記載の情報処理方法であって、
前記ハッシュ値は、前記他の情報システム毎に決められたレンジ内で与えられる
情報処理方法。
（２６）前記（１６）から（２３）のうちいずれかに記載の情報処理方法であって、
前記制御部は、前記ハッシュ値と前記他の情報システムとのマッピングを管理するリポジトリに問い合わせて、当該ハッシュ値が示す断片情報が保存された他の情報システムを特定するように構成された
情報処理方法。
（２７）制御部が、情報所有者の個人情報を構成する複数の断片情報を生成し、
前記生成される複数の断片情報のハッシュ値を生成し、複数の断片情報およびこれらの断片情報の複数のハッシュ値のうち、１以上の断片情報と当該断片情報以外の１以上の断片情報の１以上のハッシュ値との組み合わせをネットワークを通じて接続された複数の情報システムのうちの１つの情報システムに保存されるように転送し、前記情報システムに保存された１以上のハッシュ値がそれぞれ示す１以上の情報を他の１以上の情報システムにそれぞれ分散して保存されるように転送する
情報提供方法。
（２８）前記（２７）に記載の情報提供方法であって、
前記制御部は、前記複数の情報システムに、複数の断片情報を分散して保存し、それぞれの情報システム毎に、保存された１以上の断片情報以外のすべての断片情報それぞれのハッシュ値を保存する
情報提供方法。
（２９）前記（２７）または（２８）に記載の情報提供方法であって、
前記制御部は、複数の情報システムにそれぞれ分散して保存する断片情報の種類の決定をグラフィカル・ユーザインタフェースを用いて支援する
情報提供方法。
（３０）前記（２９）に記載の情報提供方法であって、
前記制御部は、１つの情報システムに保存する複数の種類の断片情報を決定する際、リスク管理上好ましい断片情報の組み合わせに関する情報に基づいて、前記情報所有者の意思決定をグラフィカル・ユーザインタフェースを通して案内する
情報提供方法。
【符号の説明】
【0085】
Ｕ１…情報所有者
Ｕ２…情報利用者
１…クラウド
１ａ…第１の情報システム
１ｂ…第２の情報システム
１ｃ…第３の情報システム
２…所有者端末
３…利用者端末
５…個人情報
１０…情報システムの制御部
１１…情報受信部
１２…情報更新部
１３…ハッシュテーブル
１４…データベース
１５…情報要求受信部
１６…情報処理部
１７…情報返信部
１８…クエリ実施部
１９ａ…他行クエリ送信部
１９ｂ…他行データ受信部
１９ｃ…クエリ受信部
１９ｄ…データ返信部
２０…所有者端末の制御部
２１…情報生成部
２２…情報収集部
２３…分散方針決定部
２４…情報断片化部
２５…ハッシュ生成器
２６…情報送信部
３１…情報要求送信部
３２…情報結果受信部
５１…リポジトリ
１００…情報銀行システム
Ｕ２…情報利用者
１…クラウド
１ａ…第１の情報システム
１ｂ…第２の情報システム
１ｃ…第３の情報システム
２…所有者端末
３…利用者端末
５…個人情報
１０…情報システムの制御部
１１…情報受信部
１２…情報更新部
１３…ハッシュテーブル
１４…データベース
１５…情報要求受信部
１６…情報処理部
１７…情報返信部
１８…クエリ実施部
１９ａ…他行クエリ送信部
１９ｂ…他行データ受信部
１９ｃ…クエリ受信部
１９ｄ…データ返信部
２０…所有者端末の制御部
２１…情報生成部
２２…情報収集部
２３…分散方針決定部
２４…情報断片化部
２５…ハッシュ生成器
２６…情報送信部
３１…情報要求送信部
３２…情報結果受信部
５１…リポジトリ
１００…情報銀行システム
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9A】
【図9B】
【図9C】
【図10】
【図11】
【図12】