(第1の実施の形態)
 次に、本発明の第1の実施の形態について図 面を参照して詳細に説明する。

 (第1の実施の形態の構成)
 図1は本実施の形態の構成の概略を示す図、 図2は本実施の形態の構成を示すブロック図� �あり、図1を参照すると、本実施の形態は、� ��ットワーク2000を介して個人情報管理装置1� �びサービス提供装置2が接続されている。

 図2を参照すると、本実施の形態は、個人 情報管理装置1とサービス提供装置2とネット� ��ーク2000とから構成されている。

 個人情報管理装置1は、個人情報保管手段 11と、個人情報要求確認手段12と、送信情報� �成部13と、通信手段14とを含む。さらに、送� ��情報生成部13は、送信メッセージ生成手段13 1と個人情報暗号化手段132と復号鍵保管手段13 3と復号鍵送付手段134とを含む。

 一方、サービス提供装置2は、個人情報要 求部21と、個人情報確認部22と、通信手段23と を含む。さらに、個人情報要求部21は要求メ� ��セージ生成手段211と応答確認手段212とを含� ��、個人情報確認部22は復号鍵要求手段221と� �人情報復号手段222とを含む。

 これらの手段はそれぞれ概略つぎのよう� ��動作する。

 個人情報保管手段11は、個人情報管理装� �1が保持する個人情報を記録する。

 ここで、個人情報保管手段11において記� �される個人情報の例を図3に示す。

 図3を参照すると、この個人情報は、記録 する各個人情報を識別するユーザID毎に、ユ� ��ザの氏名、住所、電話番号、メールアドレ� ��を対応付けて記録される。また、個人情報� ��、ユーザの購入履歴等のマーケティング情� ��等を含んでいてもよい。

 個人情報要求確認手段12は、他の装置が� �人情報管理装置1に送付した要求メッセージ� ��解析する処理を行う。すなわち、個人情報� ��求確認手段12は、送付された要求が、個人� �報の要求であるか、暗号化された個人情報� �復号するための復号鍵の要求であるかを解� �する。

 送信メッセージ生成手段131は、個人情報� ��管手段11から個人情報を取得し、取得した� �人情報に基づいて、他の装置に送付する応� �メッセージ(個人情報応答メッセージ)を生成 する。

 個人情報暗号化手段132は、送付する個人� ��報の暗号鍵、復号鍵を生成し、個人情報を� ��号化する。ここでは、通信手段14が通信路� �暗号化(例えばSSLなどを利用した暗号化)して いるか否かにかかわらず必ず個人情報を暗号 化する。生成した鍵は、復号鍵保管手段133に 保管する。さらに、暗号化した情報に個人情 報管理装置1自身の署名をつける。この処理� �よって、サービス提供装置2が個人情報を不� ��に改ざんした場合に、個人情報管理装置1は その改ざんに関与していないことを証明でき る。なぜならば、情報を改ざんすると、個人 情報管理装置1が付与した署名の検証に失敗� �るので、個人情報管理装置1とは別の装置が� ��ざんしていることを証明できからである。

 復号鍵保管手段133は、復号鍵とそれに関� ��する情報を登録しておく。関連する情報と� ��、例えば、暗号鍵や暗号化した個人情報に� ��するユーザ名、個人情報の送信先である受� ��装置名である。すなわち、復号鍵保管手段1 33は、個人情報の主体であるユーザごとに復� ��鍵を管理する。

 ここで、復号鍵保管手段133において登録� ��れる情報(テーブル)の例を図4に示す。

 図4を参照すると、当該情報(テーブル)は、� ��得したユーザの個人情報の各属性(氏名・住 所・電話番号・メールアドレス等)毎に、取� �した個人情報の各属性を識別するユーザIDと 、取得日時と、暗号化したそれらの情報を復 号する復号鍵とを対応付けて登録される。な お、当該情報(テーブル)の例において、復号� ��の形式として、XML暗号(W3C Recommendation, "XML� �Encryption Syntax and Processing", 10
December 2002 http://www.w3.org/TR/xmlenc-core/、非特� �文献3)及びXML署名(W3C Recommendation, "XML-Signatur e Syntax and Processing", 12
February 2002 http://www.w3.org/TR/xmldsig-core/、非特� ��文献4)で定義された形式を用いているが、� �論、他の形式を用いてもよく、用いる形式� �して特に制限はない。

 復号鍵送付手段134は、個人情報管理装置1 が個人情報を暗号化して送った装置が、復号 鍵を要求してきた場合に、復号鍵保管手段133 に保管してある復号鍵を送信する。すなわち 、復号鍵送付手段134は、メッセージID等を比� ��することによって、復号鍵要求メッセージ� ��、個人情報応答メッセージとの対応関係を� ��べる。

 通信手段14は、個人情報暗号化手段132が� �成した情報や、復号鍵送付手段134による情� �を他の装置に送信したり、他の装置が個人� �報管理装置1向けに送付したメッセージを受� ��したりする。

 要求メッセージ生成手段211は、必要な個� ��情報を他の装置に要求するために要求メッ� ��ージ(個人情報要求メッセージ)を生成する� �

 応答確認手段212は、応答メッセージを確� ��する。確認する内容は、例えば、通信手段2 3が受信した個人情報要求に対する応答メッ� �ージ(個人情報応答メッセージ)に個人情報管 理装置1の署名がついているか否か、その署� �は正しいか否か、ということである。個人� �報管理装置1の署名が正しくついていること� ��確認することによって、サービス提供装置2 は、個人情報管理装置1が個人情報の送信に� �いて否認することを防ぐことができる。

 復号鍵要求手段221は、暗号化された個人� ��報を受信した場合に、暗号を解くための復� ��鍵を要求するメッセージ(復号鍵要求メッセ ージ)を生成する。すなわち、復号鍵要求手� �221は、暗号化された特定の個人情報を復号� �るために、当該暗号化された特定の個人情� �に対応する特定の復号鍵を要求する。

 個人情報復号手段222は、通信手段23が受� �した暗号化された個人情報を、復号鍵を用� �て復号し、個人情報を取得する。

 通信手段23は、個人情報要求メッセージ� �復号鍵要求メッセージ等を送信する。また� �暗号化された個人情報や復号鍵を受信する� �

 ここで、個人情報管理装置1及びサービス 提供装置2のハードウェア構成例の説明をす� �。

 図5は、本実施の形態による個人情報管理 装置1及びサービス提供装置2のハードウェア� ��成例を示すブロック図である。

 図5を参照すると、本発明による個人情報 管理装置1及びサービス提供装置2は、一般的� ��コンピュータ装置と同様のハードウェア構� ��によって実現することができ、CPU(Central Pro cessing Unit)1001、RAM(Random Access Memory)等のメイ ンメモリであり、データの作業領域やデータ の一時退避領域に用いられる主記憶部1002、� �ットワーク2000を介してデータの送受信を行� ��通信制御部1003、液晶ディスプレイ、プリン タやスピーカ等の提示部1004、キーボードや� �ウス等の入力部1005、周辺機器と接続してデ� ��タの送受信を行うインタフェース部1006、ROM (Read Only Memory)、磁気ディスク、半導体メモ� ��等の不揮発性メモリから構成されるハード� ��ィスク装置である補助記憶部1007、本情報処 理装置の上記各構成要素を相互に接続するシ ステムバス1008等を備えている。

 本発明による個人情報管理装置1及びサー ビス提供装置2は、その動作を、個人情報管� �装置1及びサービス提供装置2内部にそのよう な機能を実現するプログラムを組み込んだ、 LSI(Large Scale Integration)等のハードウェア部品 からなる回路部品を実装してハードウェア的 に実現することは勿論として、上記した各構 成要素の各機能を提供するプログラムを、コ ンピュータ処理装置上のCPU1001で実行するこ� �により、ソフトウェア的に実現することが� �きる。

 すなわち、CPU1001は、補助記憶部1007に格� �されているプログラムを、主記憶部1002にロ� ��ドして実行し、個人情報管理装置1又はサー ビス提供装置2の動作を制御することにより� �上述した各機能をソフトウェア的に実現す� �。

 なお、後述する個人情報管理装置4、6、8� ��サービス提供装置5、7、9が上述のような構� ��を有し、上述した各機能をハードウェア的� ��はソフトウェア的に実現してもよい。

 (第1の実施の形態の動作)
 次に、図2~図7を参照して本実施の形態の全� ��の動作について詳細に説明する。

 前提として、ユーザは個人情報を個人情� ��保管手段11に登録しているものとする。こ� �状況で、サービス提供装置2が個人情報管理� ��置1に個人情報を要求して、個人情報を取得 する。

 まず、図6を用い、サービス提供装置2が� �人情報管理装置1に個人情報を要求して個人� ��報を取得する動作の概略を説明する。

 (1)サービス提供装置2が、サービス提供装 置2の電子署名付きの個人情報要求メッセー� �を個人情報管理装置1に対して送信する。

 (2)個人情報管理装置1が、電子署名を認証 すると、要求された個人情報を暗号化する。

 (3)個人情報管理装置1が、暗号化された個 人情報に電子署名をつけてサービス提供装置 2に対して送信する。

 (4)サービス提供装置2が、暗号化された個 人情報を受信し、電子署名を認証すると、サ ービス提供装置2の電子署名付きの復号鍵要� �メッセージを個人情報管理装置1に対して送� ��する。

 (5)個人情報管理装置1が、電子署名を認証 すると、復号鍵をサービス提供装置2に対し� �送信する。

 (6)サービス提供装置2が、暗号化された個 人情報を復号して個人情報を取得する。

 次いで、図2及び図7のフローチャートを� �い、サービス提供装置2が個人情報管理装置1 に個人情報を要求して個人情報を取得する動 作を詳細に説明する。

 まず、要求メッセージ生成手段211が個人� ��報要求メッセージを生成する(ステップS1)。 この処理は、例えば、個人情報を利用する装 置が、個人情報を取得する際に、要求メッセ ージ生成手段211に個人情報要求を伝えること によって開始される。

 この処理によって生成する個人情報要求� ��ッセージには、サービス提供装置2の電子署 名をつける。この電子署名によって、サービ ス提供装置2は、個人情報を要求したことを� �認することができなくなる。

 次に、サービス提供装置2の通信手段23が� ��個人情報管理装置1の通信手段14に個人情報� ��求メッセージを送付する(ステップS2)。

 個人情報管理装置1が個人情報要求メッセ ージを受信すると、個人情報要求確認手段12� ��要求メッセージを確認する(ステップS3)。こ こで、確認処理には、例えば、個人情報管理 装置1で管理している個人情報であるか否か� �確認、メッセージに付加されている電子署� �の検証といった処理が含まれる。

 確認処理が終了すると、送信メッセージ� ��成手段131が、個人情報保管手段11から個人� �報を取得し、取得した個人情報に基づいて� �答メッセージを生成する(ステップS4)。

 次に、個人情報暗号化手段132が前記応答� ��ッセージを暗号化し、電子署名をつける(ス テップS5)。このときに、暗号鍵と復号鍵を生 成して、復号鍵を復号鍵保管手段133に登録し ておく。電子署名をつけることで、サービス 提供装置2での個人情報の改ざんを防止し、� �人情報管理装置1は、個人情報を送付したこ� ��を否認することができなくなる。

 次に、個人情報管理装置1の通信手段14が� ��サービス提供装置2の通信手段23に前記応答� ��ッセージを送付する(ステップS6)。

 サービス提供装置2が応答メッセージを受 け取ると、応答確認手段212が応答メッセージ を確認する(ステップS7)。この確認作業は、� �えば、応答メッセージの電子署名の検証で� �る。

 次に、復号鍵要求手段221が、ステップS6� �取得した情報を復号するための復号鍵を要� �するメッセージを生成する(ステップS8)。

 次に、サービス提供装置2の通信装置23が� ��個人情報管理装置1の通信手段14に復号鍵要� ��メッセージを送付する(ステップS9)。このメ ッセージには、サービス提供装置2の電子署� �をつける。個人情報管理装置1とサービス提� ��装置2間における復号鍵要求メッセージの送 受信によってackに相当する処理を行うことで 、ackと同等の効果が生まれ、ackが不要になる ので(復号鍵の要求を個人情報取得の確認メ� �セージとみなすことができるので)、署名つ� ��復号鍵要求メッセージを受け取った個人情� ��管理装置1は、個人情報要求装置2が暗号化� �み個人情報をすでに取得していることを否� �することを防止できる。

 個人情報管理装置1が復号鍵要求メッセー ジを受信すると、復号鍵送付手段134が復号鍵 保管手段133を検索して復号鍵を取得する(ス� �ップS10)。

 次に、個人情報管理装置1の通信手段14が� ��サービス提供装置2の通信手段23に復号鍵を� ��付する(ステップS11)。

 サービス提供装置2が復号鍵を取得すると 、個人情報復号手段222が、すでに取得してい た暗号化済み個人情報を復号する(ステップS1 2)。

 以上の動作によって、個人情報管理装置1 は、サービス提供装置2から個人情報の受信� �認のメッセージを取得できるので、個人情� �の送受信の否認を防止できる。

 (第1の実施の形態の効果)
 次に、本実施の形態の効果について説明す� ��。本実施の形態によれば、以下の効果を達� ��する。

 第1に、サービス提供装置2は個人情報を� �身で管理するのではなく必要に応じて個人� �報を個人情報管理装置1より取得する、とい� ��ように構成されているため、サービス提供� ��置2は個人情報を管理する必要がなくなり、 個人情報を管理するコストを削減できる。

 第2に、サービス提供装置2が、サービス� �供装置2の電子署名付きの個人情報要求メッ� ��ージを個人情報管理装置1に対して送信する ため、この電子署名によって、サービス提供 装置2が個人情報を要求したことを否認する� �とを個人情報管理装置1が防止できる。

 第3に、個人情報管理装置1が、暗号化さ� �た個人情報に電子署名をつけてサービス提� �装置2に対して送信するため、この電子署名� ��よって、サービス提供装置2での個人情報の 改ざんを防止でき、また、個人情報管理装置 1は、個人情報を送付したことを否認するこ� �ができなくなる。

 第4に、暗号化されている応答メッセージ に対する復号鍵要求メッセージの送受信によ ってackに相当する処理を行うことで、ackと同 等の効果が生まれるため、署名つき復号鍵要 求メッセージを受け取った個人情報管理装置 1は、ackによる処理を行うことなく、また、� �人情報の流通を監視する第三者を必要とす� �ことなく、個人情報要求装置2が暗号化済み� ��人情報をすでに取得していることを否認す� ��ことを防止できる。すなわち、暗号化され� ��いる応答メッセージを受信したサービス提� ��装置2が必ず個人情報管理装置1へ個人情報� �受信確認のメッセージ(復号鍵要求メッセー� ��)を送付するため、サービス提供装置2が個� �情報の受信を否認することを、個人情報管� �装置1は、個人情報の流通を監視する第三者� ��必要とすることなく通信負荷を抑えて低コ� ��トで防止できる。

 (第2の実施の形態)
 次に、本発明の第2の実施の形態について図 面を参照して詳細に説明する。

 (第2の実施の形態の構成)
 図8は本実施の形態の構成の概略を示す図、 図9は本実施の形態の構成を示すブロック図� �あり、図8を参照すると、本実施の形態は、� ��ットワーク2000を介してユーザ端末3、個人� �報管理装置4及びサービス提供装置5が接続さ れている。

 図9を参照すると、本発明の第2の実施の� �態は、ユーザ端末3と個人情報管理装置4とサ ービス提供装置5とネットワーク2000とから構� ��される。

 個人情報管理装置4は、図2に示した第1の� ��施の形態における個人情報管理装置1の構成 要素に加え、個人情報登録部41と、個人情報� ��録証明書保管手段42と、個人情報登録証明� �確認手段43とを有する。

 また、サービス提供装置5は、図2に示し� �第1の実施の形態におけるサービス提供装置2 の構成に加え、個人情報登録証明書取得手段 51と、個人情報登録証明書保管手段52と、個� �情報検証手段53とを有する。個人情報登録部 41は、個人情報受付手段411と、個人情報登録� ��明書発行手段412とを含む。

 これらの手段はそれぞれ次のように動作� ��る。

 個人情報受付手段411は、ユーザ端末3が登 録要求した個人情報を個人情報保管手段15に� ��納する。

 個人情報登録証明書発行手段412は、個人� ��報に対応した個人情報登録証明書を発行す� ��。この個人情報登録証明書は、他の装置が� ��人情報管理装置4に対して個人情報を要求す るときに必要となる情報である。もし、この 個人情報登録証明書を他の装置が提示しない 場合には個人情報管理装置4は個人情報を送� �しない。個人情報登録証明書には、個人情� �に関連する情報と、個人情報と個人情報登� �証明書を1対1に結びつける情報が含まれてい る。例えば、個人情報登録証明書には、個人 情報の種類、個人情報を登録したユーザ、登 録時刻、個人情報等から生成した一方向性ハ ッシュ値、個人情報処理装置4の電子署名を� �める。

 ここで、個人情報登録証明書は、ユーザ� ��よって登録された個人情報を個人情報管理� ��置4が改ざんせずに管理していることを他の 装置に主張するためのデータである。この証 明書は、ユーザ名、登録時間、登録した個人 情報名だけでなく、個人情報から生成される 一方向性ハッシュ値等、登録した個人情報か ら一意に決まる情報を含む。

 この情報を利用することで、ユーザ端末3 、そのユーザ及びサービス提供装置5は、ユ� �ザの個人情報が改ざんされていないことを� �認できる。例えば、ユーザ端末3は、登録し� ��個人情報から生成されるハッシュ値と個人� ��報登録証明書に含まれているハッシュ値と� ��比較をすることによって、個人情報管理装� ��4が正しい情報を登録しているか否かを確認 できる。また、サービス提供装置5は、個人� �報管理装置4から取得した個人情報に基づい� ��生成されるハッシュ値と、ユーザ端末3から 取得した証明書に含まれるハッシュ値を比較 することで、個人情報管理装置4がユーザ端� �3から取得した個人情報を改ざんせずに管理� ��ているか否かを確認できる。

 個人情報登録証明書保管手段42は、個人� �報登録証明書発行手段412が発行した個人情� �登録証明書を保管する。

 図10は、個人情報登録証明書発行手段412� �おいて発行され、個人情報登録証明書保管� �段42において保管される個人情報登録証明書 の例を示す図である。

 図10を参照すると、当該個人情報登録証� �書は、個人情報受付手段411において格納さ� �たユーザの個人情報の各属性(氏名・住所・� ��話番号・メールアドレス等)毎に、取得した 個人情報の各属性を識別するユーザIDと、取� ��日時と、個人情報証明データとを対応付け� ��発行される。なお、個人情報証明データは� ��個人情報の各属性に基づいて生成されたハ� ��シュ値であり、例えば、“1b9fb2f257720d7bcfdc8f 74f002a12c”は、“山田 太郎”に基づいて生成 された値である。

 個人情報登録証明書確認手段43は、他の� �置が個人情報管理装置4に送付した個人情報� ��録証明書を確認する。この確認は、個人情� ��登録証明書の署名を検証して個人情報登録� ��明書が改ざんされていないことを確認し、� ��人情報が個人情報保管手段15に保管されて� �ることを確認する処理である。

 個人情報登録証明書取得手段51は、個人� �報を取得する際に必要となる個人情報登録� �明書をユーザ端末3から取得する。

 個人情報登録証明書保管手段52は、個人� �報登録証明書取得手段51が取得した個人情報 登録証明書を保管する。

 個人情報検証手段53は、ユーザ端末3から� ��得した個人情報登録証明書に含まれる情報� ��、個人情報管理装置4から取得した個人情報 を比較する。ここで比較する内容は、例えば 、個人情報管理装置から取得した個人情報か ら生成したハッシュ値と個人情報登録証明書 に含まれているハッシュ値の比較であり、同 じであるならば個人情報は改ざんされていな いと判断する。

 (第2の実施の形態の動作)
 次に、図9~図14を参照して本実施の形態の動 作について説明する。この動作は、ユーザ端 末3が個人情報管理装置4に個人情報を登録す� ��動作と、サービス提供装置5が個人情報管理 装置4から個人情報を取得する動作に分けら� �る。

 まず、図9、図11の概略図及び図12のフロ� �チャートを用いて、ユーザ端末3が個人情報� ��登録するときの動作について説明する。

 ユーザ端末3は、サービスの提供を要求し たサービス提供装置5から個人情報の登録要� �を通知されること等によって、個人情報管� �装置4に対して個人情報を送信し(図11の(1))、 個人情報受付手段411を介して個人情報管理装 置4の個人情報保管手段11に個人情報を登録す る(図12のステップA1、図11の(2))。

 次に、個人情報登録証明書発行手段412が� ��ステップA1で取得した個人情報に対応する� �人情報登録証明書を発行する(ステップA2)。

 さらに、個人情報登録証明書保管手段42� �おいて、ステップA1で取得した個人情報とス テップA2で発行した個人情報登録証明書を対� ��付けて登録する(ステップA3、図11の(3))。

 次に、個人情報登録証明書発行手段412は� ��ユーザ端末3に対して個人情報登録証明書を 送付する(ステップA4、図11の(4))。

 ユーザ端末3は、個人情報登録証明書を取 得すると、個人情報登録証明書と個人情報の 関係が正しいか否かの確認処理をする(ステ� �プA5、図11の(5))。この処理は、例えば、ユー ザ端末3がステップA1で個人情報管理装置4に� �して送信した個人情報に対するハッシュ値� �、個人情報管理装置4が発行した個人情報登� ��証明書に書かれているハッシュ値を比較し� ��登録した個人情報が正しいものであるか否� ��を確認する。ユーザ端末3のユーザによって 、取得した個人情報登録証明書と個人情報の 関係が正しいか否かの確認入力がなされても よい。もし、ハッシュ値が異なっている場合 には、個人情報管理装置4はユーザ端末3が登� ��要求した個人情報と異なる情報を登録して� ��ることになるので、個人情報登録処理を途� ��で終了する。一方、ハッシュ値が同じ場合� ��、個人情報管理装置4はユーザ端末3が登録� �求した情報をそのまま登録したことになる� �

 ハッシュ値が同じ場合は次に、ユーザ端� ��3が、個人情報登録証明書保管手段52に対し� ��個人情報登録証明書を送信し(図11の(6))、サ ービス提供装置5の個人情報登録証明書取得� �段51を介し、個人情報登録証明書を個人情報 登録証明書保管手段52に登録する(ステップA6� ��図11の(7))。ユーザ端末3が個人情報を登録し た際に個人情報管理装置4から取得した個人� �報登録証明書をあらかじめサービス提供装� �5に登録しておくことで、サービス提供装置5 は、任意のタイミングで個人情報管理装置4� �り個人情報を取得することができる。

 次に、図9、図13の概略図及び図14のフロ� �チャートを用いて、サービス提供装置5が、� ��人情報管理装置4に個人情報を要求し、個人 情報を取得する動作について説明する。

 まず、図13を用い、サービス提供装置5が� ��個人情報管理装置4に個人情報を要求して個 人情報を取得する動作の概略を説明する。

 (1)サービス提供装置5が、サービス提供装 置5の電子署名付きの個人情報要求メッセー� �及び個人情報登録証明書を個人情報管理装� �4に対して送信する。

 (2)個人情報管理装置4が、電子署名及び個 人情報登録証明書を認証すると、要求された 個人情報を暗号化する。

 (3)個人情報管理装置4が、暗号化された個 人情報に電子署名をつけてサービス提供装置 5に対して送信する。

 (4)サービス提供装置5が、暗号化された個 人情報を受信し、電子署名を認証すると、サ ービス提供装置5の電子署名付きの復号鍵要� �メッセージを個人情報管理装置4に対して送� ��する。

 (5)個人情報管理装置4が、電子署名を認証 すると、復号鍵をサービス提供装置5に対し� �送信する。

 (6)サービス提供装置5が、暗号化された個 人情報を復号して取得した個人情報を検証す る。

 次いで、図9及び図14を用い、サービス提� ��装置5が個人情報管理装置4に個人情報を要� �して個人情報を取得する動作を詳細に説明� �る。

 サービス提供装置5が個人情報を利用する ために他の装置からの取得を開始する状況と は、要求メッセージ生成手段211が個人情報の 要求に関する依頼を受けたときである。この ときに要求メッセージ生成手段211は、要求す る個人情報に関する個人情報登録証明書があ るか確認するために、個人情報登録証明書保 管手段52を検索する(図14のステップB1)。個人� ��報登録証明書がない場合には、個人情報管� ��装置4とサービス提供装置5との間で個人情� �の送受信を行わない。

 個人情報登録証明書がある場合には、要� ��メッセージ生成手段211が、個人情報登録証� ��書を取得して個人情報要求メッセージを生� ��する(ステップB2)。ここで、個人情報要求メ ッセージには、サービス提供装置5の電子署� �をつける。電子署名によって、サービス提� �装置5が個人情報を要求することを否認する� ��とができなくなる。

 次に、サービス提供装置5の通信手段23が� ��サービス提供装置4の通信手段14に個人情報� ��求メッセージと、個人情報登録証明書をま� ��めて送付する(ステップB3)。

 サービス提供装置4が個人情報要求メッセ ージを受信すると、個人情報要求確認手段12� ��要求メッセージを確認する(ステップB4)。こ こで確認する処理は、例えば、個人情報を管 理しているか確認したり、メッセージについ ている電子署名を検証したりする処理である 。

 確認処理が終了すると、個人情報登録証� ��書確認手段43が、次にサービス提供装置5か� ��取得した個人情報登録証明書を確認する(ス テップB5)。この確認処理は、例えば、個人情 報登録証明書の電子署名を確認したり、個人 情報登録証明書に対応する個人情報が個人情 報保管手段11に登録されているか確認したり� ��る。確認作業に失敗した場合は、個人情報� ��理装置4は、個人情報要求確認手段12におい� ��エラーメッセージを生成し、通信手段14を� �してサービス提供装置5にエラーメッセージ� ��送付し、個人情報の送受信を中止する(ステ ップB6)。

 確認作業が正常終了すると、送信メッセ� ��ジ生成手段131が個人情報保管手段11から個� �情報を送付し、応答メッセージを生成する(� ��テップB7)。

 次に、個人情報暗号化手段132が、前記応� ��メッセージを暗号化し、電子署名をつける( ステップB8)。このときに、暗号鍵と復号鍵を 生成して、復号鍵を復号鍵保管手段に133に登 録する。電子署名をつけることで、サービス 提供装置5での個人情報の改ざんを防止し、� �人情報管理装置4が個人情報を送付したこと� ��否認を防止することができる。

 次に、個人情報管理装置4の通信手段14が� ��サービス提供装置5の通信手段23に前記応答� ��ッセージを送付する(ステップB9)。

 サービス提供装置5が応答メッセージを受 け取ると、応答確認手段212が応答メッセージ を確認する(ステップB10)。この確認作業は、� ��えば、応答メッセージの電子署名の検証で� ��る。

 次に、復号鍵要求手段221が、ステップB9� �取得した情報に対応する復号鍵を要求する� �めのメッセージを生成する(ステップB11)。

 次に、サービス提供装置5の通信装置23が� ��個人情報管理装置4の通信手段14に復号鍵要� ��メッセージを送付する(ステップB12)。この� �ッセージには、サービス提供装置5の電子署� ��をつける。これによって、署名つき復号鍵� ��求メッセージを受け取った個人情報管理装� ��4は、個人情報要求装置5が暗号化ずみ個人� �報をすでに取得していることを否認できな� �なる。

 個人情報管理装置4が復号鍵要求メッセー ジを受信すると、復号鍵送付手段134が、復号 鍵保管手段133を検索して復号鍵を取得する(� �テップB13)。

 次に、個人情報管理装置4の通信手段14が� ��サービス提供装置5の通信手段23に復号鍵を� ��付する(ステップB14)。

 サービス提供装置5が復号鍵を取得すると 、個人情報復号手段222が、すでに取得してい た暗号化個人情報を復号する(ステップB15)。

 次に、復号した個人情報を個人情報検証� ��段53が検証する(ステップB16)。ここで検証す る処理は、例えば、個人情報から生成したハ ッシュ値と個人情報登録証明書に含まれてい るハッシュ値を比較する。同じであれば、サ ービス提供装置5は、個人情報管理装置4によ� ��て個人情報が改ざんされていないことを確� ��できる。もし、個人情報の確認に失敗した� ��合は、個人情報が改ざんされていると判断� ��、個人情報の送受信の処理を終了する。

 (第2の実施の形態の効果)
 次に、本実施の形態の効果について説明す� ��。

 本実施の形態では、個人情報管理装置4と サービス提供装置5は、それぞれが否認防止� �るための手段を持っており、送受信したメ� �セージを確認する、というように構成され� �いるため、個人情報管理装置4とサービス提� ��装置5は個人情報を独立して管理でき、適切 な個人情報のみを送受信していることを証明 できる。

 (第3の実施の形態)
 次に本発明の第3の実施の形態について図面 を参照して詳細に説明する。

 (第3の実施の形態の構成)
 図15を参照すると、本発明の第3の実施の形� ��は、個人情報管理装置6が、図9に示した第2� ��実施の形態における個人情報管理装置4の構 成要素に加え、生成済み復号検索手段61を備� ��る点で異なる。また、サービス提供装置7が 、図9に示した第2の実施の形態におけるサー� ��ス提供装置5の構成要素に加え、取得済み復 号鍵検索手段71と、復号鍵保管手段72とを備� �る点で異なる。

 これらの手段はそれぞれ次のように動作� ��る。

 生成済み復号鍵検索手段61は、復号鍵保� �手段133を検索し、個人情報管理装置6がすで� ��復号鍵を生成しているか否かを判別する。

 取得済み復号鍵検索手段71は、復号鍵保� �手段72を検索し、復号鍵をすでにサービス提 供装置7が取得していたか否かを判断する。� �得していた場合は復号鍵を利用して個人情� �を復号する処理に移り、取得していなかっ� �場合は復号鍵を要求する処理に移る。

 復号鍵保管手段72は、復号鍵とそれに関� �する情報を保管する。関連する情報とは、� �えば、復号鍵を発行した個人情報管理装置� �割り振られたID、ユーザ名などである。

 (第3の実施の形態の動作)
 次に、図15、図16の概略図及び図17のフロー� ��ャートを用いて本実施の形態の全体の動作� ��ついて説明する。

 まず、図16を用い、サービス提供装置7が� ��個人情報管理装置6に個人情報を要求して個 人情報を取得する動作の概略を説明する。

 (1)サービス提供装置7が、サービス提供装 置7の電子署名付きの個人情報要求メッセー� �及び個人情報登録証明書を個人情報管理装� �6に対して送信する。

 (2)個人情報管理装置6が、電子署名及び個 人情報登録証明書を認証し、復号鍵保管手段 133を検索して取得した復号鍵によって、要求 された個人情報を暗号化する。

 (3)個人情報管理装置6が、暗号化された個 人情報に電子署名をつけてサービス提供装置 7に対して送信する。

 (4)サービス提供装置7が、暗号化された個 人情報を受信し、電子署名を認証すると、取 得済みの復号鍵によって、暗号化された個人 情報を復号して個人情報を取得する。

 次いで、図15及び図17を用い、サービス提 供装置7が個人情報管理装置6に個人情報を要� ��して個人情報を取得する動作を詳細に説明� ��る。

 サービス提供装置7が、個人情報管理装置 6に個人情報を要求して個人情報登録証明書� �送付する動作は、本発明の第2の実施の形態� ��ステップB1からステップB7までと同じ動作で ある(図17のステップB1からステップB7)。

 個人情報管理装置6が送付する応答メッセ ージの生成が終了すると、生成済み復号鍵検 索手段61が復号鍵保管手段133を検索し、個人� ��報管理装置6が復号鍵をすでに生成してある か否かを確認する(ステップC1)。

 すでに生成している場合には、個人情報� ��号化手段132が、復号鍵保管手段133より復号� ��を取得して応答メッセージを暗号化する(ス テップC2)。

 しかし、ステップC1で復号鍵がない場合� �は、個人情報暗号化手段132が、暗号鍵と復� �鍵を生成して復号鍵保管手段133に登録し、� �答メッセージを暗号化する(ステップC3)。個� ��情報暗号化手段132は、応答メッセージを暗� ��化したときには、当該応答メッセージに個� ��情報管理装置6の署名をつけておく。

 次に、応答メッセージを通信手段14が通� �手段23に送付する(ステップB9)。

 サービス提供装置7が応答メッセージを受 け取ると、応答確認手段212が応答メッセージ を確認する(ステップB10)。

 次に、取得済み復号鍵検索手段71が、復� �鍵保管手段72を検索し、すでに復号鍵を取得 していたか否かを判断する(ステップC4)。

 もし、復号鍵が復号鍵保管手段72に存在� �る場合は、取得済み復号鍵検索手段71が復号 鍵を取得する(ステップC5)。

 次に、本発明の第2の実施の形態のステッ プB15以降の処理と同じ動作をする。

 一方、ステップC4で復号鍵がない場合は� �本発明の第2の実施の形態のステップB11から� ��テップB14と同じ処理をする。

 サービス提供装置7が復号鍵を取得すると 、復号鍵を復号鍵保管手段72に登録する(ステ ップC6)。

 次に、個人情報を前記取得した復号鍵を� ��いて復号する(ステップB15)。

 復号された個人情報は、本発明の第2の実 施の形態のステップB16と同様に個人情報検証 手段53が検証する(ステップB16)。

 (第3の実施の形態の効果)
 次に、本発明の実施の形態の効果について� ��明する。

 本発明の実施の形態では、サービス提供� ��置7が同じ情報を何度も要求する場合には、 通信を簡略化できる。

 その理由は、復号鍵をすでに取得してい� ��場合は復号鍵を再利用するというように構� ��されているためである。サービス提供装置7 が同じ情報を何度も要求する場合は、サービ ス提供装置7自身が個人情報を管理しない場� �である。サービス提供装置7が個人情報を管� ��しないことでプライバシ管理のコストを減� ��すことができる。サービス提供装置7は、自 身で個人情報を管理しない場合でも、復号鍵 を管理することによって、復号鍵の要求・応 答メッセージの交換をなくすことができ、個 人情報交換の通信を簡略化できる。

 (第4の実施の形態)
 次に、本発明の第4の実施の形態について図 面を参照して詳細に説明する。

 (第4の実施の形態の構成)
 図18を参照すると、本発明の第4の実施の形� ��は、個人情報管理装置8が、図15に示した第3 の実施の形態における個人情報管理装置6の� �成要素に加え、通信記録保管手段81と送信情 報確認手段82を有する点で異なる。また、サ� ��ビス提供装置9が図15に示した第3の実施の形 態におけるサービス提供装置7の構成要素に� �え、通信記録保管手段91と送信情報確認手段 92を有する点で異なる。

 通信記録保管手段81は、通信履歴(通信記� ��)を保管する手段であって、個人情報管理装 置8が送信または、受信したメッセージを保� �する。

 ここで、通信記録保管手段81において保� �される通信履歴の例を図19に示す。

 図19を参照すると、当該通信履歴は、通� �日時毎に、Receive、Send等のactionと、通信相手 と、通信した際のメッセージ本文とを対応付 けて保管される。なお、メッセージ本文の形 式に特に制限はない。

 送信情報確認手段82は、個人情報管理装� �8が送付した暗号化個人情報が正しい情報で� ��ったか確認する。

 通信記録保管手段91は、サービス提供装� �9が送信または、受信したメッセージを保管� ��る。

 送信情報確認手段92は、サービス提供装� �9が送付した個人情報要求メッセージや個人� ��報登録証明書が正しい情報であったか確認� ��る。

 (第4の実施の形態の動作)
 次に、図18、図20及び図21のフローチャート� ��参照して本実施の形態の全体の動作につい� ��詳細に説明する。

 個人情報管理装置8は、個人情報にかかわ るメッセージの送受信をするときに、全ての メッセージを通信記録保管手段81に管理する� ��同様に、サービス提供装置9は、個人情報に かかわるメッセージの送受信をするときに、 全てのメッセージを通信記録保管手段91に管� ��する。

 そして、個人情報管理装置8は、任意のタ イミングで個人情報の流通が正しく行われて いたか確認するための処理を開始する。その ための最初の処理として、個人情報管理装置 8は、通信記録保管手段81に保管されている個 人情報要求メッセージを取得し、個人情報要 求確認手段12を用いて個人情報要求メッセー� ��を確認する(ステップD1)。ここでの確認処理 は、例えば、個人情報要求メッセージについ ている電子署名の検証や要求している個人情 報を管理しているか否かを確認する処理であ る。

 次に、個人情報管理装置8は、個人情報登 録証明書確認手段43を用い、通信記録保管手� ��81が管理している受信した個人情報登録証� �書を確認する(ステップD2)。この確認処理は� ��例えば、個人情報登録証明書の署名を検証� ��るといった個人情報登録証明書の有効性を� ��認する処理である。

 次に、個人情報管理装置8は、送信情報確 認手段82を用い、通信記録保管手段81が管理� �ている送信情報を確認する(ステップD3)。こ� ��処理は、例えば、送信情報が暗号化されて� ��たか、電子署名がついていたか、などを確� ��する処理である。

 次に、個人情報管理装置8は、送信情報確 認手段82を用い、通信記録保管手段81が管理� �ている復号鍵要求メッセージを確認する(ス� ��ップD4)。これは、例えば、復号鍵要求メッ� ��ージについている電子署名の検証や、実際� ��個人情報管理装置8が復号鍵を送付していた か否かを確認する処理である。

 一方、サービス提供装置9での確認処理は 、まず、送信情報確認手段92を用い、送信し� ��個人情報要求メッセージを確認する(ステッ プE1)。この要求メッセージは、通信記録保管 手段91で管理されている。ステップE1では、� �えば、要求メッセージについている署名の� �証等である。

 次に、サービス提供装置9は、送信情報確 認手段92を用い、個人情報管理装置8に送信し た個人情報登録証明書を確認する(ステップE2 )。ここで確認する個人情報登録証明書は、� �信記録保管手段91に登録されている個人情報 登録証明書である。ここでは、例えば、署名 や個人情報登録証明書有効期限等の個人情報 登録証明書の有効であるか否かを確認する。

 次に、サービス提供装置9は、個人情報復 号手段222を利用し、受信した個人情報を確認 する(ステップE3)。ここでは、例えば、受信� �たメッセージの署名検証や、個人情報登録� �明書と個人情報の対応を確認する処理を行� �。

 (第4の実施の形態の効果)
 次に、本実施の形態の効果について説明す� ��。

 本発明の実施の形態では、個人情報を扱� ��個人情報管理装置8及びサービス提供装置9� �、個人情報を正しく送受信した証拠をいつ� �も提出することができる。その理由は、個� �情報を扱う個人情報管理装置8及びサービス� ��供装置9は、全ての通信ログを管理しており 、任意のタイミングで通信ログを用いてどの 個人情報を送受信したか確認できるためであ る。

 (第5の実施の形態)
 次に、本発明の第5の実施の形態について図 面を参照して詳細に説明する。

 図22を参照すると、本発明の第5の実施の� ��態は、第1、第2、第3及び第4の実施の形態と 同様に、個人情報管理装置Aと、サービス提� �装置Cとを備える。

 個人情報管理用プログラムBは、個人情報 管理装置Aの動作を制御し、サービス提供装� �Cからの要求に従って、個人情報や復号鍵を� ��ービス提供装置Cに送付したり、個人情報を 取得するための個人情報登録証明書を発行し たりする。個人情報管理装置Aは、個人情報� �理用プログラムBの制御により第1、第2、第3� ��び第4の実施の形態における個人情報管理装 置1、4、6、8による処理と同一の処理を実行� �る。

 個人情報受信用プログラムDは、サービス 提供装置Cの動作を制御し、個人情報要求メ� �セージを個人情報管理装置Aへ送付し、個人� ��報を受信する。

 サービス提供装置Cは、個人情報受信用プ ログラムDの制御により第1、第2、第3および� �4の実施の形態におけるサービス提供装置2、 5、7、9による処理と同一の処理を実行する。