秘匿情報管理システムおよび秘匿情報管理方法
【課題】 秘匿情報の不正取得を防止することが可能な秘匿情報管理システムおよび秘匿情報管理方法を提供する。
【解決手段】 情報の内容とその分類名を示すタグとから構成された視聴データを、複数の個人に亘って蓄積管理する視聴データ管理システム１は、ＩＤ管理サーバ５０と、視聴データ管理サーバ７０とを備えている。ＩＤ管理サーバ５０は、インターネット２を介して、個人別に、公開鍵で内容が暗号化された視聴データを複数種類受信し、受信した複数種類の視聴データのタグにＩＤを付加して、このＩＤとタグとを個人別に関連付けて記憶すると共に、ＩＤ付き視聴データを公開鍵で暗号化してタグ別に、社内ＬＡＮ３を介して視聴データ管理サーバ７０へ送信する。また、視聴データ管理サーバ７０は、受信した暗号化されたＩＤ付き視聴データを、公開鍵に対応した秘密鍵で復号化して、ＩＤ別に記憶する。
【解決手段】 情報の内容とその分類名を示すタグとから構成された視聴データを、複数の個人に亘って蓄積管理する視聴データ管理システム１は、ＩＤ管理サーバ５０と、視聴データ管理サーバ７０とを備えている。ＩＤ管理サーバ５０は、インターネット２を介して、個人別に、公開鍵で内容が暗号化された視聴データを複数種類受信し、受信した複数種類の視聴データのタグにＩＤを付加して、このＩＤとタグとを個人別に関連付けて記憶すると共に、ＩＤ付き視聴データを公開鍵で暗号化してタグ別に、社内ＬＡＮ３を介して視聴データ管理サーバ７０へ送信する。また、視聴データ管理サーバ７０は、受信した暗号化されたＩＤ付き視聴データを、公開鍵に対応した秘密鍵で復号化して、ＩＤ別に記憶する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報などの秘匿すべき秘匿情報を蓄積、管理する秘匿情報管理システムおよび秘匿情報管理方法に関する。
【背景技術】
【０００２】
近年、インターネット上で様々なマルチメディアコンテンツ（コンテンツ）を提供するサービスが盛んに行われるようになってきている。また、放送と通信の連携サービスまたは通信ネットワークを利用した放送サービスにおいて、デジタル時代に対応した視聴率調査の必要性が高まっており、パソコンや携帯端末装置などのユーザ端末での視聴を考慮し、ネットワークを利用した効率的かつ木目細かい視聴率の測定手法が検討され始めている。また、コンテンツを提供する提供者（放送局など）は、視聴者がどの番組を視聴したのかという視聴情報に加えて、視聴者の例えば性別、年齢といった個人情報を取得すれば、視聴者の嗜好や意向などをコンテンツの編成や内容に反映させることができる。
【０００３】
このような視聴情報や個人情報は、第三者に不正利用されないように保護すべき秘匿情報である。このような秘匿情報を管理するデータベースシステムとしては、従来から、リレーショナルデータベース管理システム（Relational Database Management System:以下ＲＤＢＭＳ）が知られている（例えば、特許文献１）。
【０００４】
このＲＤＢＭＳでは、タプル（tuple）とアトリビュート（attribute）（または行と列）を備えた「表」でデータを表現し、蓄積されたデータから任意の条件で目的とするデータを取り出すことができる。この表では、例えば、アトリビュートに「名前」、「性別」、「年齢」および「趣味」の４つの項目を配した場合、タプルが「田中、男、３５、ドライブ」、「森、女、２５、ピアノ」のように個人別に一覧となって表現される。このような個人情報が蓄積されたＲＤＢＭＳへのアクセスを無制限に許可しないために、パスワードの入力やカードの挿入などを求めることでアクセスを制限し、蓄積された個人情報の保護が図られている。
【特許文献１】特開平８−７７２０５号公報（段落００１５〜００２８、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来のＲＤＢＭＳへのアクセス制限方法においては、悪意の利用者が不正に入手したパスワードやカードを使用した場合、悪意の利用者は、一覧となっているすべての個人の全項目にわたる個人情報を不正取得（閲覧）することが可能となってしまう。
【０００６】
そこで、例えばＲＤＢＭＳの閲覧用端末装置をすべてカード挿入型のものとして、複数種類のカードを用意して、閲覧用端末装置別に個人情報のどの項目を閲覧可能とするか取り決めておくことが考えられる。しかし、カードの発行、配布、管理などに多大な手間とコストがかかるという問題がある。
【０００７】
本発明は、以上のような問題点に鑑みてなされたものであり、秘匿情報の不正取得を防止することが可能な秘匿情報管理システムおよび秘匿情報管理方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、前記目的を達成するために創案されたものであり、まず、請求項１に記載の秘匿情報管理システムは、個々の秘匿対象に関する情報の内容とその分類名を示すタグとから構成された秘匿情報を、複数の秘匿対象に亘って蓄積管理するために、前記秘匿情報のタグを蓄積するタグ蓄積装置と、このタグ蓄積装置に第１のネットワークを介して接続され、前記秘匿情報を蓄積する秘匿情報蓄積装置とを備える秘匿情報管理システムであって、タグ蓄積装置は、第１の受信手段と、タグ識別情報付加手段と、識別情報記憶手段と、暗号化手段と、送信手段とを備える構成とした。また、秘匿情報管理システムの秘匿情報蓄積装置は、第２の受信手段と、復号化手段と、秘匿情報記憶手段とを備える構成とした。
【０００９】
ここで、タグ蓄積装置と秘匿情報蓄積装置とは、例えば企業などに設置され、第１のネットワークは、この企業内のＬＡＮ（Local Area Network）である。また、秘匿対象は例えば人間（個人）や物品（商品、試作品）などである。秘匿対象が個人の場合、秘匿情報は例えばタグである「名前」と、その内容である「田中太郎」とから構成される。
かかる構成によれば、タグ蓄積装置は、第１の受信手段によって、第２のネットワークを介して、所定の公開鍵で内容が暗号化された秘匿情報を個々の秘匿対象別に受信する。ここで、第２のネットワークは、例えばインターネットなどの企業とその外部とを接続するネットワークである。
【００１０】
そして、タグ蓄積装置は、タグ識別情報付加手段によって、第１の受信手段で受信された秘匿情報のタグに、このタグを識別するタグ識別情報を付加する。このタグ識別情報は、秘匿対象および秘匿情報すべてにわたってランダムに、かつ、一意に定められた情報であり、例えばＵＵＩＤ（Universally Unique Identifier：一意識別子）である。したがって、例えば、秘匿対象が個人で、秘匿情報が、その個人の「名前」、「住所」、「電話番号」に関するものだとすると、この「名前」、「住所」、「電話番号」のタグには、決して連番とはならないタグ識別情報が付加されることとなる。そして、タグ蓄積装置は、識別情報記憶手段に、タグ識別情報が付加された秘匿情報のうち、タグ識別情報とタグとを秘匿対象別に関連付けて記憶する。一方、タグ蓄積装置は、暗号化手段によって、タグ識別情報が付加された秘匿情報のうち、タグ識別情報とタグとを前記公開鍵で暗号化し、送信手段によって、暗号化されたタグ識別情報付き秘匿情報をタグ別に、第１のネットワークを介して秘匿情報蓄積装置へ送信する。これにより、送信されるタグ識別情報付き秘匿情報は、タグ識別情報、タグおよび内容のすべてが暗号化されることとなる。したがって、秘匿情報をタグ蓄積装置から秘匿情報蓄積装置に安全に送信することが可能になる。なお、タグ蓄積装置において、タグは一括して蓄積管理されるので、秘匿情報の種類を容易に変更、増減することができる。
【００１１】
また、秘匿情報蓄積装置は、第２の受信手段によって、タグ蓄積装置から第１のネットワークを介して、暗号化されたタグ識別情報付き秘匿情報を受信し、復号化手段によって、第２の受信手段で受信された暗号化されたタグ識別情報付き秘匿情報を、前記公開鍵に対応した秘密鍵で復号化する。なお、この秘密鍵および公開鍵を秘匿情報蓄積装置で生成するようにしてもよい。そして、秘匿情報蓄積装置は、秘匿情報記憶手段に、復号化手段で復号化されたタグ識別情報付き秘匿情報を、タグ識別情報別に記憶する。これにより、秘匿情報は、秘匿対象毎に関連付けられることなく秘匿情報記憶手段に記憶されることとなる。
【００１２】
また、請求項２に記載の秘匿情報管理システムは、請求項１に記載の秘匿情報管理システムにおいて、タグ蓄積装置はタグ管理手段をさらに備え、秘匿情報蓄積装置は秘匿情報管理手段をさらに備える構成とした。
【００１３】
かかる構成によれば、秘匿情報蓄積装置は、秘匿情報管理手段によって、入力された秘匿情報の内容に基づいて、秘匿情報記憶手段から、この秘匿情報に付加されたタグ識別情報を抽出し、抽出したタグ識別情報をタグ管理手段に出力する。ここで、入力された秘匿情報の内容とは、秘匿情報記憶手段に記憶されているものであり、例えばユーザＩＤや物品ＩＤを示す記号や数字の列のように秘匿対象を一意に識別できる識別情報のことである。そして、タグ蓄積装置は、タグ管理手段によって、入力されたタグ識別情報に基づいて、識別情報記憶手段から、このタグ識別情報に関連付けられたタグ識別情報およびタグを抽出し、抽出したタグ識別情報およびタグを出力する。ここで出力されるタグは、例えば、ある個人に関する「ユーザＩＤ」、「名前」、「住所」などであり、それぞれは、タグ識別情報付きで出力される。さらに、秘匿情報蓄積装置は、秘匿情報管理手段によって、タグ管理手段から入力されたタグ識別情報またはタグに基づいて、秘匿情報記憶手段から、このタグ識別情報を付加された秘匿情報を抽出し、抽出した秘匿情報を出力する。ここで出力される秘匿情報は、当初、秘匿情報蓄積装置に入力された秘匿情報の内容（ユーザＩＤ）に対応したものであり、例えば、ある個人に関する「ユーザＩＤ：ＸＸＸＸ」、「名前：ＹＹＹＹ」、「住所：ＺＺＺＺ」などとなる。
【００１４】
また、請求項３に記載の秘匿情報管理システムは、請求項２に記載の秘匿情報管理システムにおいて、タグ蓄積装置は、アクセス制限情報記憶手段と、アクセス制限手段とをさらに備えることとした。
【００１５】
かかる構成によれば、タグ蓄積装置は、アクセス制限情報記憶手段に、秘匿情報へのアクセス権を示すアクセス制限情報に応じて、秘匿情報のタグを記憶しておく。そして、秘匿情報蓄積装置は、秘匿情報管理手段によって、秘匿情報の内容と共にアクセス制限情報を入力し、秘匿情報記憶手段から抽出したタグ識別情報と共に、入力されたアクセス制限情報をタグ管理手段に出力する。そして、タグ蓄積装置は、タグ管理手段によって、タグ識別情報とアクセス制限情報とを入力されたときに、識別情報記憶手段から抽出したタグ識別情報およびタグと、入力されたアクセス制限情報とをアクセス制限手段に出力する。さらに、タグ蓄積装置は、アクセス制限手段によって、入力されたアクセス制限情報に基づいて、タグ管理手段から出力されたタグ識別情報およびタグの中から、選択すべきタグ識別情報を抽出し、抽出したタグ識別情報を秘匿情報管理手段に出力する。これによって、秘匿情報蓄積装置は、秘匿情報管理手段によって、制限されたタグ識別情報に基づいて、秘匿情報を抽出することとなる。
【００１６】
また、請求項４に記載の秘匿情報管理方法は、個々の秘匿対象に関する情報の内容とその分類名を示すタグとから構成された秘匿情報のタグを蓄積するタグ蓄積装置と、このタグ蓄積装置に第１のネットワークを介して接続され、前記秘匿情報を蓄積する秘匿情報蓄積装置とを備える秘匿情報管理システムにおいて、前記秘匿情報を複数の秘匿対象に亘って蓄積管理する秘匿情報管理方法であって、第１の受信ステップと、タグ識別情報付加ステップと、識別情報格納ステップと、暗号化ステップと、送信ステップと、第２の受信ステップと、復号化ステップと、秘匿情報格納ステップとを含んでいることとした。
【００１７】
この手順によれば、秘匿情報管理方法は、第１の受信ステップで、タグ蓄積装置において、第２のネットワークを介して、所定の公開鍵で内容が暗号化された秘匿情報を個々の秘匿対象別に受信し、タグ識別情報付加ステップで、受信された秘匿情報のタグに、このタグを識別するタグ識別情報を付加する。そして、識別情報格納ステップで、このタグ識別情報が付加された秘匿情報のうち、タグ識別情報とタグとを秘匿対象別に関連付けて識別情報記憶手段に格納する。また、暗号化ステップで、タグ識別情報が付加された秘匿情報のうち、タグ識別情報とタグとを前記公開鍵で暗号化し、送信ステップで、暗号化されたタグ識別情報付き秘匿情報をタグ別に、第１のネットワークを介して秘匿情報蓄積装置へ送信する。
【００１８】
さらに、秘匿情報管理方法は、第２の受信ステップで、秘匿情報蓄積装置において、タグ蓄積装置から第１のネットワークを介して、暗号化されたタグ識別情報付き秘匿情報を受信する。そして、復号化ステップで、受信された暗号化されたタグ識別情報付き秘匿情報を、前記公開鍵に対応した秘密鍵で復号化し、秘匿情報格納ステップで、復号化されたタグ識別情報付き秘匿情報を、タグ識別情報別に秘匿情報記憶手段に格納する。
【００１９】
また、請求項５に記載の秘匿情報管理方法は、請求項４に記載の秘匿情報管理方法において、秘匿情報蓄積装置に第１のネットワークを介して接続された端末装置をさらに備える秘匿情報管理システムにおける、秘匿情報を複数の秘匿対象に亘って蓄積管理する秘匿情報管理方法であって、第１の送信ステップと、タグ識別情報抽出ステップと、第２の送信ステップと、関連タグ抽出ステップと、タグ識別情報選択ステップと、第３の送信ステップと、秘匿情報抽出ステップと、第４の送信ステップと、表示ステップとを含んでいることとした。
【００２０】
この手順によれば、秘匿情報管理方法は、第１の送信ステップで、端末装置において、秘匿情報の内容と、秘匿情報へのアクセス権を示すアクセス制限情報とを秘匿情報蓄積装置に送信する。そして、タグ識別情報抽出ステップで、秘匿情報蓄積装置において、秘匿情報の内容に基づいて、秘匿情報記憶手段から、この秘匿情報に付加されたタグ識別情報を抽出し、第２の送信ステップで、この抽出したタグ識別情報とアクセス制限情報とをタグ蓄積装置に送信する。
【００２１】
そして、秘匿情報管理方法は、関連タグ抽出ステップで、タグ蓄積装置において、受信したタグ識別情報に基づいて、識別情報記憶手段から、このタグ識別情報に関連付けられたタグ識別情報およびタグを抽出する。そして、タグ識別情報選択ステップで、アクセス制限情報に応じて、秘匿情報のタグを記憶したアクセス制限情報記憶手段を参照して、受信したアクセス制限情報に基づいて、抽出されたタグ識別情報およびタグの中からタグ識別情報を選択し、第３の送信ステップで、選択されたタグ識別情報を秘匿情報蓄積装置に送信する。そして、秘匿情報管理方法は、秘匿情報抽出ステップで、秘匿情報蓄積装置において、選択されたタグ識別情報に基づいて、秘匿情報記憶手段から、このタグ識別情報を付加された秘匿情報を抽出し、第４の送信ステップで、抽出した秘匿情報を端末装置に送信する。さらに、表示ステップで、端末装置において、受信した秘匿情報を表示する。
【発明の効果】
【００２２】
請求項１または請求項４に記載の発明によれば、秘匿情報管理システムにおいて、秘匿情報蓄積装置には、タグ識別情報付き秘匿情報を、タグ識別情報別に記憶するので、秘匿情報は秘匿対象毎には関連付けられていない。したがって、秘匿情報蓄積装置においては、秘匿対象の異なる秘匿情報が混在して記憶されているので、悪意の利用者が秘匿情報蓄積装置を利用して秘匿情報を閲覧したとしても、どの秘匿情報がどの秘匿対象のものなのかを特定することができない。また、タグ蓄積装置においては、秘匿対象別に複数種類のタグが蓄積されているが秘匿情報の内容は蓄積されていない。その結果、秘匿情報蓄積装置にアクセスする人物とタグ蓄積装置にアクセスする人物とを異なる人物とした場合、いずれかの人物の不正による個人情報漏洩を防ぐことが可能である。
【００２３】
請求項２に記載の発明によれば、秘匿情報管理システムにおいて、秘匿情報蓄積装置に、予め蓄積されている秘匿情報の内容を入力することにより、それに対応した秘匿対象の他の秘匿情報を出力することができる。これによれば、秘匿情報蓄積装置の操作者は、検索目的とする秘匿対象の秘匿情報の一部（秘匿対象を一意に特定できる情報）を予め知っていなければ、他の秘匿情報を取得（閲覧）することができない。その結果、秘匿情報の不正利用を防止することができる。
【００２４】
請求項３に記載の発明によれば、秘匿情報管理システムにおいて、秘匿情報蓄積装置は、アクセス制限情報に基づいて、制限された秘匿情報のみを出力することができる。これによれば、パスワードやカードによる管理を必要とすることなく、秘匿情報管理システムの管理者が、このシステムの利用者に対して、秘匿対象の複数の秘匿情報のうち、いずれの秘匿情報を開示するかを動的に定めることが可能になる。
【００２５】
請求項５に記載の発明によれば、秘匿情報管理システムにおいて、端末装置に所定のアクセス制限情報が入力されたときには、そのアクセス制限情報に基づいた秘匿情報のみを表示することができる。これによれば、必要最小限の情報のみしか閲覧できないようにすることができるので、秘匿情報の漏洩の危険性を低減させることが可能である。
【発明を実施するための最良の形態】
【００２６】
次に、本発明の実施形態について、適宜図面を参照しながら詳細に説明する。本実施形態では秘匿対象を個人（人間）とし、秘匿情報を主として個人情報とすることを前提としている。
［視聴データ管理システムの構成］
図１は、本発明の実施形態に係る視聴データ管理システムの構成を示すブロック図である。この視聴データ管理システム１は、放送局に設置され、インターネット２を介して、複数（図では２人）の視聴者の元に設置されたユーザ端末１０と接続されている。この視聴データ管理システム１は、ユーザ端末１０に、衛星放送や地上波放送を通じて、または、インターネット２を介して、映像、楽曲などのマルチメディアコンテンツ（以下、コンテンツと称す）を送信すると共に、ユーザ端末１０に格納されたデータを要求し（送信要求）、ユーザ端末１０から取得したデータを管理するものである。なお、視聴データ管理システム１とユーザ端末１０との間では、ＳＳＬ（Secure Socket Layer）により、データが暗号化されて安全に送受信することができる。
【００２７】
ユーザ端末１０（１０ａ，１０ｂ）は、視聴データ管理システム１から送信されるコンテンツを受信し、受信したコンテンツを視聴者に提供するものである。このユーザ端末１０は、コンテンツの視聴履歴を示す視聴情報を抽出して記憶管理し、視聴データ管理システム１からの送信要求に基づいて、記憶された視聴情報および視聴者の個人情報を視聴データ管理システム１に送信する。この視聴情報および／または視聴者の個人情報を本明細書においては、視聴データと称する。この視聴データは、本発明における秘匿情報に相当する。
【００２８】
視聴データ管理システム１は、互いに社内ＬＡＮ３で接続されたコンテンツサーバ３０と、ＩＤ管理サーバ（タグ蓄積装置）５０と、視聴データ管理サーバ（秘匿情報蓄積装置）７０と、複数（図では２つ）の端末装置９０とを備えている。なお、社内ＬＡＮ３およびインターネット２は、第１のネットワークおよび第２のネットワークをそれぞれ示している。
【００２９】
コンテンツサーバ３０は、衛星放送や地上波放送を通じて、または、インターネット２を介して、ユーザ端末１０に、コンテンツを送信するものである。なお、以下の実施形態では、コンテンツサーバ３０は、テレビ放送を行うものとする。
ＩＤ管理サーバ５０は、ユーザ端末１０から視聴データを受信し、受信した視聴データに個別にＩＤ（タグ識別情報）を付加し、このＩＤを蓄積管理するものである。
視聴データ管理サーバ７０は、ＩＤ管理サーバ５０からＩＤ付き視聴データを受信し、受信したＩＤ付き視聴データをＩＤ別に蓄積管理するものである。
【００３０】
端末装置９０（９０ａ，９０ｂ）は、例えば、ＣＰＵ、ＲＡＭ、ＲＯＭ、およびハードディスクドライブなどを含んで構成されるパーソナルコンピュータであり、放送局内の各部門に設置され、視聴データ管理サーバ７０に蓄積管理された視聴データを閲覧するためのものである。この端末装置９０には、それぞれの端末装置９０を識別するための端末種別情報（アクセス制限情報）が付与されている。また、この端末装置９０のハードディスクドライブには、検索しようとする視聴者の視聴データの閲覧を要求するための閲覧要求データを入力することにより、視聴データ管理サーバ７０から、当該視聴者の視聴データのうち所定種類の視聴データを受信し、受信したデータを表示するためのプログラムが格納されている。なお、閲覧要求データは、例えばユーザＩＤと端末種別情報とから構成される。また、端末装置９０ａは端末種別情報として例えばＡ０が付与されて放送局の経理部門に設置され、端末装置９０ｂは端末種別情報として例えばＢ１が付与されて放送局の顧客管理部門に設置されているものとする。
【００３１】
以下に、ユーザ端末１０、ＩＤ管理サーバ５０および視聴データ管理サーバ７０の詳細な構成を順に説明する。
［ユーザ端末の構成］
図２は、ユーザ端末の構成を示すブロック図である。ここでは、ユーザ端末１０は、コンテンツ受信手段１１と、出力手段１２と、視聴情報抽出手段１３と、記憶手段１４と、入力手段１５と、送受信手段１６と、データ管理手段１７とを備えて構成した。
【００３２】
コンテンツ受信手段１１は、コンテンツサーバ３０（図１参照）から送信されるコンテンツを受信するものであり、視聴者が所望する番組を選択する図示しない番組選択手段で選択されたコンテンツを出力手段１２に供給するものである。
出力手段１２は、例えばディスプレイやスピーカから構成され、コンテンツ受信手段１１から供給されたコンテンツを出力するものである。この出力手段１２は、視聴者により図示しない番組選択手段で選択されたチャンネルのログデータ等から構成されるチャンネル情報を視聴情報抽出手段１３に出力する。
【００３３】
視聴情報抽出手段１３は、視聴者によるコンテンツの視聴に伴って、出力手段１２から出力されたチャンネル情報に基づいて、視聴情報を抽出するものである。ここで抽出される視聴情報は、視聴者が視聴する番組名で特定される視聴履歴とする。なお、視聴履歴は、チャンネル情報と、番組を特定する日付や時刻などの時間情報とから構成するようにしてもよく、また、入力手段１５を介して入力されるようにしてもよい。
【００３４】
記憶手段１４は、視聴情報抽出手段１３で抽出する視聴情報および視聴者の個人情報（視聴データ）を記憶するもので、ハードディスク等の一般的な記憶装置である。この視聴データは、視聴データの内容とその分類名を示すタグとから構成されている。ここで、視聴者の個人情報は、視聴者を一意に特定するためのユーザＩＤのほか、例えば、氏名、生年月日、住所などの視聴者の基本的な属性と、クレジットカード番号や好みのタレントなどの視聴者を特徴付ける付加的な情報とを含んでいる。なお、記憶手段１４に格納される個人情報は、国際標準規格であるＭＰＥＧ−７やＴＶ−Ａｎｙｔｉｍｅ Ｆｏｒｕｍや、国内のサーバ型放送方式規格で規定されているメタデータの記述言語であるＸＭＬ（Extensible Markup Language）を用いて記述、管理することとしてもよい。
【００３５】
入力手段１５は、個人情報を入力したり、記憶手段１４に記憶された視聴データを選択して入力したりするものであり、キーボードやマウスなどから構成される。
送受信手段１６は、インターネット２を介して視聴データ管理システム１（図１参照）から、視聴データの送信を要求するための送信要求データを受信すると共に、要求された視聴データを視聴データ管理システム１に送信するためのものである。
データ管理手段１７は、視聴情報抽出手段１３、記憶手段１４、入力手段１５、送受信手段１６との間で各種データを送受信し、これらの各手段１３〜１６を制御統括するものである。このデータ管理手段１７は、記憶手段１４から読み出した視聴データの内容を、予め取得している放送局の公開鍵ＫPで暗号化する暗号化手段１８を備えている。
【００３６】
［ＩＤ管理サーバの構成］
図３は、ＩＤ管理サーバの構成を示すブロック図である。ここでは、ＩＤ管理サーバ５０は、視聴データ受信手段（第１の受信手段）５１と、ＩＤ付加手段（タグ識別情報付加手段）５２と、暗号化手段５３と、分離手段５４と、ＩＤ記憶手段（識別情報記憶手段）５５と、端末種別情報記憶手段（アクセス制限情報記憶手段）５６と、アクセス制限手段５７と、ネットワーク送受信手段５８と、タグ管理手段５９とを備えて構成した。
【００３７】
視聴データ受信手段５１は、ユーザ端末１０（図１参照）から送信される視聴データを受信し、ＩＤ付加手段５２に出力するものである。
ＩＤ付加手段５２は、視聴データ受信手段５１から出力される視聴データ毎（タグ毎）に異なるＩＤ（タグ識別情報）を付加して、暗号化手段５３および分離手段５４に出力するものである。このＩＤはランダム、かつ、必ずユニーク（唯一）となるようなＩＤで、例えばＵＵＩＤとする。したがって、例えば、ある視聴者の一連の視聴データ（「名前」、「住所」、「視聴履歴」など）のタグには、決して連番とはならないＩＤが付加されることとなる。
【００３８】
暗号化手段５３は、ＩＤ付加手段５２から出力されるＩＤ付き視聴データのＩＤおよびタグを、予め取得している放送局の公開鍵ＫPで暗号化し、タグ管理手段５９に出力するものである。
分離手段５４は、ＩＤ付加手段５２から出力されるＩＤ付き視聴データから、暗号化された内容を分離して、ＩＤ付きタグをタグ管理手段５９に出力するものである。
ＩＤ記憶手段５５は、分離手段５４から出力されるＩＤ付きタグを視聴者別（個人別）に関連付けて記憶するもので、ハードディスク等の一般的な記憶装置である。
【００３９】
端末種別情報記憶手段５６は、端末装置９０（９０ａ，９０ｂ：図１参照）に付与されている端末種別情報別に提供可能なタグの種類を記憶するもので、ハードディスク等の一般的な記憶装置である。ここで、図４を参照して端末種別情報記憶手段５６に記憶されたデータを説明する。図４は、端末種別情報記憶手段に記憶されたデータの一例を示す図である。この端末種別情報記憶手段５６には、図４に示すように、放送局の中で端末装置９０が設置されている部門名４０１と、端末種別情報４０２と、提供可能タグ４０３とが記憶されている。この例では、経理部門に設置されている端末装置９０ａには、端末識別情報として、Ａ＊が付与されており、この端末種別情報Ａ＊が付与されている端末装置９０ａに提供可能なタグの種類は、「ユーザＩＤ」、「名前」および「クレジット番号」となっている。なお、記号＊（アスタリスク）は整数１，２，…を示す。また、顧客管理部門に設置されている端末装置９０ｂには、端末識別情報として、Ｂ＊が付与されており、この端末種別情報Ｂ＊が付与されている端末装置９０ｂに提供可能なタグの種類は、「ユーザＩＤ」、「名前」、「生年月日」および「住所」となっている。なお、ここで挙げた項目は一例にしか過ぎず、この視聴データ管理システム１の管理者が動的に設定できることはもちろんである。
【００４０】
再び、図３に戻ってＩＤ管理サーバ５０の構成の説明を続ける。
アクセス制限手段５７は、タグ管理手段５９からＩＤ付きタグおよび端末種別情報を取得し、端末種別情報を参照して、取得したＩＤ付きタグの中から、端末種別情報記憶手段５６に記憶されたタグの種類に基づいたＩＤを選択してタグ管理手段５９に出力するものである。
【００４１】
ネットワーク送受信手段５８は、社内ＬＡＮ３を介して視聴データ管理サーバ７０（図１参照）との間で、各種データを送受信するためのものであり、公開鍵入力部５８ａと、視聴データ出力部５８ｂと、ＩＤ入力部５８ｃと、ＩＤ出力部５８ｄとを備えている。
公開鍵入力部５８ａは、視聴データ管理サーバ７０から公開鍵ＫPを入力して、タグ管理手段５９に出力するものである。
視聴データ出力部（送信手段）５８ｂは、タグ管理手段５９から、暗号化されたＩＤ付き視聴データを取得して、視聴データ管理サーバ７０へ出力するものである。
ＩＤ入力部５８ｃは、視聴データ管理サーバ７０からＩＤを入力して、タグ管理手段５９に出力するものである。
ＩＤ出力部５８ｄは、タグ管理手段５９から、アクセス制限手段５７によって選択されたＩＤを取得して、視聴データ管理サーバ７０へ出力するものである。
【００４２】
タグ管理手段５９は、暗号化手段５３、分離手段５４、ＩＤ記憶手段５５、アクセス制限手段５７、ネットワーク送受信手段５８との間で各種データを送受信し、これらの各手段５３〜５５，５７，５８を制御統括するものである。このタグ管理手段５９は、主に、以下に示す各機能を有している。すなわち、タグ管理手段５９は、公開鍵入力部５８ａから出力された公開鍵ＫPを暗号化手段５３に出力する。また、タグ管理手段５９は、分離手段５４から出力されたＩＤ付きタグをＩＤ記憶手段５５に格納する。また、タグ管理手段５９は、暗号化手段５３によって暗号化されたＩＤ付き視聴データを視聴データ出力部５８ｂに出力する。また、タグ管理手段５９は、ＩＤ入力部５８ｃに入力したＩＤに基づいて、このＩＤに関連付けられたすべてのＩＤおよびタグを、ＩＤ記憶手段５５から抽出し、アクセス制限手段５７に出力する。また、タグ管理手段５９は、アクセス制限手段５７によって選択されたＩＤをＩＤ出力部５８ｄに出力する。
【００４３】
［視聴データ管理サーバの構成］
図５は、視聴データ管理サーバの構成を示すブロック図である。ここでは、視聴データ管理サーバ７０は、公開鍵ペア生成手段７１と、鍵記憶手段７２と、公開鍵送信手段７３と、ネットワーク送受信手段７４と、復号化手段７５と、視聴データ記憶手段（秘匿情報記憶手段）７６と、視聴データ管理手段（秘匿情報管理手段）７７とを備えて構成した。
【００４４】
公開鍵ペア生成手段７１は、放送局の公開鍵ＫPと、この公開鍵ＫPに対応する秘密鍵ＫSとのペアを生成し、鍵記憶手段７２に格納するものである。
鍵記憶手段７２は、公開鍵ペア生成手段７１によって生成された公開鍵ＫPと秘密鍵ＫSとのペアを記憶するもので、ハードディスク等の一般的な記憶装置である。
公開鍵送信手段７３は、視聴データ管理手段７７から送信要求データを取得し、鍵記憶手段７２に記憶された公開鍵ＫPを読み出して、インターネット２を介してユーザ端末１０（図１参照）に送信要求データおよび公開鍵ＫPを送信すると共に、読み出した公開鍵ＫPを視聴データ管理手段７７に出力するものである。
【００４５】
ネットワーク送受信手段７４は、社内ＬＡＮ３を介してＩＤ管理サーバ５０および端末装置９０（図１参照）との間で、各種データを送受信するためのものであり、公開鍵出力部７４ａと、ＩＤ付き視聴データ入力部７４ｂと、閲覧要求データ入力部７４ｃと、ＩＤ出力部７４ｄと、ＩＤ入力部７４ｅと、視聴データ出力部７４ｆとを備えている。
公開鍵出力部７４ａは、視聴データ管理手段７７から公開鍵ＫPを取得して、ＩＤ管理サーバ５０へ出力するものである。
ＩＤ付き視聴データ入力部（第２の受信手段）７４ｂは、ＩＤ管理サーバ５０から、暗号化されたＩＤ付き視聴データを入力して、視聴データ管理手段７７に出力するものである。
【００４６】
閲覧要求データ入力部７４ｃは、端末装置９０（図１参照）から、ユーザＩＤの内容と端末種別情報とから成る閲覧要求データを入力して、視聴データ管理手段７７に出力するものである。
ＩＤ出力部７４ｄは、視聴データ管理手段７７からＩＤを取得して、ＩＤ管理サーバ５０へ出力するものである。
ＩＤ入力部７４ｅは、ＩＤ管理サーバ５０（図１参照）からＩＤを入力して、視聴データ管理手段７７に出力するものである。
視聴データ出力部７４ｆは、視聴データ管理手段７７から視聴データを取得して、端末装置９０へ出力するものである。
【００４７】
復号化手段７５は、視聴データ管理手段７７から暗号化されたＩＤ付き視聴データを取得すると共に、鍵記憶手段７２から秘密鍵ＫSを取得し、暗号化されたＩＤ付き視聴データを秘密鍵ＫSによって復号化し、視聴データ管理手段７７へ出力するものである。
視聴データ記憶手段７６は、復号化手段７５から出力されるＩＤ付き視聴データをＩＤ別に記憶するもので、ハードディスク等の一般的な記憶装置である。
【００４８】
視聴データ管理手段７７は、公開鍵送信手段７３、ネットワーク送受信手段７４、復号化手段７５、視聴データ記憶手段７６との間で各種データを送受信し、これらの各手段７３〜７６を制御統括するものである。この視聴データ管理手段７７は、主に、以下に示す各機能を有している。すなわち、視聴データ管理手段７７は、操作者による図示しない操作部からの入力に基づいて、ユーザ端末１０（図１参照）からの視聴データの送信を要求するための送信要求データを生成し、公開鍵送信手段７３に出力する。また、視聴データ管理手段７７は、公開鍵送信手段７３から読み出された公開鍵ＫPを公開鍵出力部７４ａに出力する。また、視聴データ管理手段７７は、ＩＤ付き視聴データ入力部７４ｂから出力された、暗号化されたＩＤ付き視聴データを復号化手段７５に出力する。また、視聴データ管理手段７７は、復号化手段７５から出力された、復号化されたＩＤ付き視聴データをＩＤ別に視聴データ記憶手段７６に格納する。また、視聴データ管理手段７７は、閲覧要求データ入力部７４ｃから入力した閲覧要求データに基づいて、視聴データ記憶手段７６から、対応するＩＤを抽出し、ＩＤ出力部７４ｄに出力する。さらに、視聴データ管理手段７７は、ＩＤ入力部７４ｅに入力したＩＤに基づいて、視聴データ記憶手段７６から視聴データを抽出し、視聴データ出力部７４ｆに出力する。
【００４９】
なお、本実施形態の視聴データ管理システム１を構成する各サーバ５０，７０は、ＣＰＵ、ＲＡＭ、ＲＯＭ、およびハードディスクドライブなどを含んで構成されるコンピュータにより具現化され、このハードディスクドライブには、各記憶手段５５，５６，７２，７６として割り当てられた領域のほかに、これらのコンピュータを視聴データ管理システムとして動作させるプログラムが格納される領域を有している。このプログラムをＲＡＭに展開して、ＣＰＵが実行することで、これらのコンピュータは視聴データ管理システムとして動作する。
【００５０】
［視聴データ管理システムの動作］
次に、図６乃至図１４を参照して、本実施形態に係る視聴データ管理システム１の動作について説明する。
（視聴データ蓄積動作）
まず、図６（適宜図１乃至図３および図５参照）を参照して、視聴データ管理システム１がユーザ端末１０から視聴データを収集して、視聴データを蓄積する視聴データ蓄積動作を説明する。図６は、視聴データ管理システムの視聴データ蓄積動作を示すフローチャートである。
【００５１】
視聴データ管理サーバ７０は、公開鍵ペア生成手段７１によって、公開鍵ＫPと秘密鍵ＫSのペアを生成し、鍵記憶手段７２に予め記憶しておく（ステップＳ１）。そして、視聴データ管理サーバ７０は、視聴データ管理手段７７によって、操作者による図示しない操作部からの入力に基づいて、送信要求データを生成し、公開鍵送信手段７３に出力する。そして、視聴データ管理サーバ７０は、公開鍵送信手段７３によって、公開鍵ＫPと送信要求データを、インターネット２を介してユーザ端末１０に送信する（ステップＳ２）。また、視聴データ管理サーバ７０は、ネットワーク送受信手段７４の公開鍵出力部７４ａによって、公開鍵ＫPを社内ＬＡＮ３を介してＩＤ管理サーバ５０に送信する。
【００５２】
ステップＳ２に続いて、ＩＤ管理サーバ５０は、ネットワーク送受信手段５８の公開鍵入力部５８ａによって、社内ＬＡＮ３を介して公開鍵ＫPを受信し（ステップＳ３）、タグ管理手段５９によって、受信した公開鍵ＫPを暗号化手段５３に出力する。
【００５３】
また、ステップＳ２に続いて、ユーザ端末１０は、送受信手段１６によって、インターネット２を介して公開鍵ＫPと送信要求データを受信する（ステップＳ４）。また、ユーザ端末１０は、視聴者の操作に従って入力手段１５によって、個人情報を入力し（ステップＳ５）、データ管理手段１７によって、記憶手段１４に格納する。また、ユーザ端末１０は、視聴者によるコンテンツの視聴に応じて、視聴情報抽出手段１３によって、視聴情報を抽出し、抽出した視聴情報をデータ管理手段１７によって記憶手段１４に格納する（ステップＳ６）。なお、前記したステップＳ４乃至ステップＳ６の動作は任意の順序で行うことができる。
【００５４】
前記したステップＳ４に続いて、ユーザ端末１０は、暗号化手段１８によって、ステップＳ４で受信した送信要求データに基づいて、視聴者が選択した視聴データの内容を暗号化し（ステップＳ７）、暗号化された視聴データを、送受信手段１６によってインターネット２を介してＩＤ管理サーバ５０に送信する（ステップＳ８）。
【００５５】
ステップＳ８に続いて、ＩＤ管理サーバ５０は、視聴データ受信手段５１によって、暗号化された視聴データをインターネット２を介して受信する（ステップＳ９：第１の受信ステップ）。なお、ＩＤ管理サーバ５０は、ユーザＩＤやパスワードなどを用いた認証を行って、認証に成功した場合にのみ、視聴データを取得することとしてもよい。ステップＳ９に続いて、ＩＤ管理サーバ５０は、ＩＤ付加手段５２によって、内容が暗号化された視聴データのタグにＩＤを付加する（ステップＳ１０：タグ識別情報付加ステップ）。そして、ＩＤ管理サーバ５０は、分離手段５４によって、暗号化された視聴データから暗号化された内容を分離して除去し、残りのＩＤ付きタグを、タグ管理手段５９によってＩＤ記憶手段５５に個人別（視聴者別）に格納する（ステップＳ１１：識別情報格納ステップ）。また、ＩＤ管理サーバ５０は、暗号化手段５３によって、ＩＤ付加手段５２から出力されたＩＤ付き視聴データのうち、ＩＤおよびタグを公開鍵ＫPで暗号化し（ステップＳ１２：暗号化ステップ）、タグ管理手段５９に出力する。なお、前記したステップＳ１１およびステップＳ１２の動作は任意の順序または並列に行うことができる。ステップＳ１２に続いて、ＩＤ管理サーバ５０は、ネットワーク送受信手段５８の視聴データ出力部５８ｂによって、社内ＬＡＮ３を介して、暗号化されたＩＤ付き視聴データをＩＤ毎に視聴データ管理サーバ７０へ送信する（ステップＳ１３：送信ステップ）。
【００５６】
ステップＳ１３に続いて、視聴データ管理サーバ７０は、ネットワーク送受信手段７４のＩＤ付き視聴データ入力部７４ｂによって、社内ＬＡＮ３を介して、暗号化されたＩＤ付き視聴データを受信し（ステップＳ１４：第２の受信ステップ）、復号化手段７５によって、秘密鍵ＫSで復号化する（ステップＳ１５：復号化ステップ）。そして、視聴データ管理サーバ７０は、視聴データ管理手段７７によって、復号化されたＩＤ付き視聴データをＩＤ別に視聴データ記憶手段７６に格納する（ステップＳ１６：秘匿情報格納ステップ）。
【００５７】
（視聴データ蓄積動作の具体例）
次に、前記した視聴データ蓄積動作のステップＳ７〜ステップＳ１６について、視聴データの具体例を挙げて説明する。図７および図８は、ユーザ端末の送信用の視聴データを示す図であって、（ａ）は元データ、（ｂ）は暗号化データを示している。図７および図８は、それぞれユーザ端末１０ａ，１０ｂの保有する視聴データを表している。図７の（ａ）に示すように、ユーザ端末１０ａの送信予定の視聴データ（元データ）１００は、５種類の視聴データ１０１〜１０５により構成されている。視聴データ１０１は、タグ１０１ａと、内容１０１ｂとから構成されており、それぞれ、ユーザＩＤが「２５６４３」であることを示している。同様に、視聴データ１０２〜１０５も、それぞれ、タグ１０２ａ〜１０５ａと、内容１０２ｂ〜１０５ｂとから構成されている。そして、視聴データ１０２は視聴履歴が「おしん」であること、視聴データ１０３は名前が「田中太郎」であること、視聴データ１０４は住所が「東京都世田谷区砧」であること、視聴データ１０５はクレジット番号が「１２３４５６」であることをそれぞれ示している。
【００５８】
ユーザ端末１０ａは、暗号化手段１８によって、元データ１００を構成する５種類の視聴データの内容１０１ｂ〜１０５ｂをそれぞれ公開鍵ＫPで暗号化して、図７の（ｂ）に示すように、暗号化データ１００Ａを生成する（ステップＳ７）。この暗号化データ１００Ａは、視聴データ１０１Ａ〜１０５Ａにより構成されている。視聴データ１０１Ａは、タグ１０１ａと、内容が暗号化された暗号化内容１０１ｂ′とから構成されており、「ユーザＩＤ」に関する視聴データであることしか分からない。同様に、視聴データ１０２Ａ〜１０５Ａも、それぞれ、タグ１０２ａ〜１０５ａと、暗号化内容１０２ｂ′〜１０５ｂ′とから構成されている。そして、視聴データ１０２Ａは「視聴履歴」、視聴データ１０３Ａは「名前」、視聴データ１０４Ａは「住所」、視聴データ１０５Ａは「クレジット番号」にそれぞれ関する視聴データであることしか分からない。従って、ユーザ端末１０ａから視聴データ管理システム１へ元データ１００を安全に伝達することができる（ステップＳ８およびステップＳ９）。
【００５９】
また、図８の（ａ）に示すように、ユーザ端末１０ｂの送信予定の視聴データ（元データ）２００は、６種類の視聴データ２０１〜２０６により構成されている。視聴データ２０１は、タグ２０１ａと、内容２０１ｂとから構成されており、それぞれ、クレジット番号が「７５６８２１」であることを示している。同様に、視聴データ２０２〜２０６も、それぞれ、タグ２０２ａ〜２０６ａと、内容２０２ｂ〜２０６ｂとから構成されている。そして、視聴データ２０２は生年月日が「１９６９年７月２４日」であること、視聴データ２０３はユーザＩＤが「５２４８」であること、視聴データ２０４は名前が「森花子」であること、視聴データ２０５は視聴履歴が「ＮＨＫニュース７」であること、視聴データ２０６は住所が「兵庫県神戸市」であることをそれぞれ示している。
【００６０】
ユーザ端末１０ｂは、暗号化手段１８によって、元データ２００を構成する６種類の視聴データの内容２０１ｂ〜２０６ｂをそれぞれ公開鍵ＫPで暗号化して、図８の（ｂ）に示すように、暗号化データ２００Ａを生成する。この暗号化データ２００Ａは、視聴データ２０１Ａ〜２０６Ａにより構成されている。視聴データ２０１Ａは、タグ２０１ａと、暗号化内容２０１ｂ′とから構成されており、「クレジット番号」に関する視聴データであることしか分からない。同様に、視聴データ２０２Ａ〜２０６Ａも、それぞれ、タグ２０２ａ〜２０６ａと、暗号化内容２０２ｂ′〜２０６ｂ′とから構成されている。そして、視聴データ２０２Ａは「生年月日」、視聴データ２０３Ａは「ユーザＩＤ」、視聴データ２０４Ａは「名前」、視聴データ２０５Ａは「視聴履歴」、視聴データ２０６Ａは「住所」にそれぞれ関する視聴データであることしか分からない。従って、ユーザ端末１０ｂから視聴データ管理システム１へ元データ２００を安全に伝達することができる。
【００６１】
次に、図９乃至図１２の（ａ）を参照して、ＩＤ管理サーバ５０の動作を説明する。図９は、図７の視聴データの加工を説明するための図であって、（ａ）はＩＤを付加された視聴データ、（ｂ）はＩＤ付加後に視聴データの内容が分離されたデータを示している。ユーザ端末１０ａから暗号化データ１００Ａを受信したＩＤ管理サーバ５０は、ＩＤ付加手段５２によって、暗号化データ１００Ａを構成する視聴データ１０１Ａ〜１０５Ａ（図７参照）のそれぞれに、ＩＤ（タグ識別情報）を付加して、ＩＤ付き受信データ１００Ｂを生成する（ステップＳ１０）。このＩＤ付き受信データ１００Ｂは、図９の（ａ）に示すように、ＩＤ付き視聴データ１０１Ｂ〜１０５Ｂにより構成されている。ＩＤ付き視聴データ１０１Ｂは、視聴データ１０１ＡにＩＤ「１０」が付加されて構成されている。また、ＩＤ付き視聴データ１０２Ｂは、視聴データ１０２ＡにＩＤ「３５」が付加されて構成されている。同様に、ＩＤ付き視聴データ１０３ＢにはＩＤ「７０」、ＩＤ付き視聴データ１０４ＢにはＩＤ「８２」、ＩＤ付き視聴データ１０５ＢにはＩＤ「１０４」がそれぞれ付加されている。
【００６２】
前記したステップＳ１１において、図９の（ｂ）に示すように、ＩＤ管理サーバ５０は、分離手段５４によって、ＩＤ付き受信データ１００Ｂから暗号化された内容を分離して、内容分離データ１００Ｃを生成する。この内容分離データ１００Ｃは、ＩＤ付きタグ１０１Ｃ〜１０５Ｃにより構成されている。ＩＤ付きタグ１０１Ｃは、ＩＤ付き視聴データ１０１Ｂから暗号化内容１０１ｂ′（図７参照）が除去されて構成されている。同様に、ＩＤ付きタグ１０２Ｃ〜１０５Ｃは、ＩＤ付き視聴データ１０２Ｂ〜１０５Ｂから暗号化内容１０２ｂ′〜１０５ｂ′（図７参照）がそれぞれ除去されて構成されている。
【００６３】
図１０は、図８の視聴データの加工を説明するための図であって、（ａ）はＩＤを付加された視聴データ、（ｂ）はＩＤ付加後に視聴データの内容が分離されたデータを示している。ＩＤ管理サーバ５０は、ユーザ端末１０ｂから暗号化データ２００Ａ（図８参照）を受信すると、ＩＤ付加手段５２によって、暗号化データ２００Ａを構成する視聴データ２０１Ａ〜２０６Ａのそれぞれに、ＩＤを付加して、図１０の（ａ）に示すように、ＩＤ付き受信データ２００Ｂを生成する（ステップＳ１０）。このＩＤ付き受信データ２００Ｂは、ＩＤ付き視聴データ２０１Ｂ〜２０６Ｂにより構成されている。ＩＤ付き視聴データ２０１Ｂは、視聴データ２０１ＡにＩＤ「２０」が付加されて構成されている。同様に、ＩＤ付き視聴データ２０２ＢにはＩＤ「２５」、ＩＤ付き視聴データ２０３ＢにはＩＤ「５２」、ＩＤ付き視聴データ２０４ＢにはＩＤ「７９」、ＩＤ付き視聴データ２０５ＢにはＩＤ「９５」、ＩＤ付き視聴データ２０６ＢにはＩＤ「１２０」がそれぞれ付加されている。さらに、前記したステップＳ１１において、図１０の（ｂ）に示すように、ＩＤ管理サーバ５０は、分離手段５４によって、ＩＤ付き受信データ２００Ｂから暗号化された内容を分離して、内容分離データ２００Ｃを生成する。この内容分離データ２００Ｃは、ＩＤ付きタグ２０１Ｃ〜２０６Ｃにより構成されている。
【００６４】
続いて、図１１に示すように、ＩＤ管理サーバ５０が生成した内容分離データ１００Ｃ，２００Ｃは、個人別（視聴者別）にＩＤ記憶手段５５に格納される。図１１は、ＩＤ管理サーバのＩＤ記憶手段に記憶されたデータを示す図である。図１１に示すように、内容分離データ１００Ｃ（ＩＤ付きタグ１０１Ｃ〜１０５Ｃ）は同じ行（第１行目）に関連付けられて記憶されている。同様に、内容分離データ２００Ｃ（ＩＤ付きタグ２０１Ｃ〜２０６Ｃ）は同じ行（第２行目）に関連付けられて記憶されている。図示するように、ＩＤ記憶手段５５には、視聴データの内容は記憶されておらず、視聴データのタグおよびＩＤのみを記憶している。これによれば、悪意の利用者がＩＤ管理サーバ５０を利用して視聴データを閲覧しようとしても、その内容を知ることができない。したがって、視聴データの不正利用を防止することができる。
【００６５】
次に、ＩＤ管理サーバ５０から視聴データ管理サーバ７０への視聴データの伝達を図１２および図１３を参照して説明する。図１２は、図９の（ａ）の視聴データの加工を説明するための図であって、（ａ）は暗号化されたＩＤ付き視聴データ、（ｂ）は復号化されたＩＤ付き視聴データを示している。前記したステップＳ１２において、ＩＤ管理サーバ５０は、暗号化手段５３によって、視聴データの内容を含むＩＤ付き受信データ１００Ｂ（ＩＤ付き視聴データ１０１Ｂ〜１０５Ｂ：図９参照）のうちＩＤおよびタグを公開鍵ＫPで暗号化し、図１２の（ａ）に示したＩＤ付き送信データ１００Ｄを生成する。このＩＤ付き送信データ１００Ｄは、暗号化されたＩＤ付き視聴データ１０１Ｄ〜１０５Ｄによって構成されている。この暗号化されたＩＤ付き視聴データ１０１Ｄ〜１０５Ｄは、それぞれ、ＩＤ、タグおよび内容のすべてが公開鍵ＫPで暗号化されたものである。そして、ＩＤ管理サーバ５０から視聴データ管理サーバ７０へと社内ＬＡＮ３を介して、このＩＤ付き送信データ１００Ｄを送信する際には、このように暗号化されていることに加えて、暗号化されたＩＤ付き視聴データ１０１Ｄ〜１０５Ｄを別々に送信するので、安全に送信することができる（ステップＳ１３）。
【００６６】
そして、ステップＳ１４において、視聴データ管理サーバ７０は、図１２の（ａ）に示したＩＤ付き送信データ１００Ｄを受信する（暗号化されたＩＤ付き視聴データ１０１Ｄ〜１０５Ｄを別々に受信する）。そして、視聴データ管理サーバ７０は、受信したデータを復号化手段７５によって、秘密鍵ＫSで復号化して、図１２の（ｂ）に示すように、ＩＤ付き視聴データ１０１Ｅ〜１０５Ｅをそれぞれ生成する（ステップＳ１５）。なお、ユーザ端末１０ａが保有していた元データ１００（図７参照）は、このＩＤ付き視聴データ１０１Ｅ〜１０５Ｅをすべて取りまとめたデータ１００Ｅに対応することになる。同様に、ユーザ端末１０ｂが保有していた元データ２００（図８参照）も、図示はしないが、対応する６種類のＩＤ付き視聴データの形で、視聴データ管理サーバ７０に伝達されることとなる。
【００６７】
そして、ステップＳ１６において、視聴データ管理サーバ７０は、それぞれのユーザ端末１０（１０ａ，１０ｂ）から収集された複数のＩＤ付き視聴データを、図１３に示すように、視聴データ記憶手段７６に記憶する。図１３は、視聴データ管理サーバの視聴データ記憶手段に記憶されたデータを示す図である。図示するように、ＩＤ付き視聴データは、ＩＤ別に格納されており、個人毎（視聴者毎）の関連付けが成されておらず、ユーザ端末１０ａから収集した視聴データと、ユーザ端末１０ｂから収集した視聴データとが混在している。なお、図１３に示す例では、ＩＤの番号順に格納されている様子を示しているが、必ずしもＩＤの番号順に格納する必要はなく、要は、ある個人の一連のデータが順番に格納されていなければよい。
これによれば、悪意の利用者が視聴データ管理サーバ７０を利用して視聴データを閲覧したとしても、どの視聴データがどの視聴者のものなのかを特定することができない。したがって、視聴データの不正利用を防止することができる。
【００６８】
（視聴データ閲覧動作）
次に、図１４（適宜図１乃至図３および図５参照）を参照して、視聴データ管理システム１において、蓄積されている視聴データを閲覧する動作を説明する。図１４は、視聴データ管理システムの視聴データ閲覧動作を示すフローチャートである。
【００６９】
まず、端末装置９０は、操作者の操作に従って、ユーザＩＤの内容と端末種別情報とから成る閲覧要求データを入力し（ステップＳ２１）、入力された閲覧要求データを、社内ＬＡＮ３を介して視聴データ管理サーバ７０へ送信する（ステップＳ２２：第１の送信ステップ）。
【００７０】
視聴データ管理サーバ７０は、ネットワーク送受信手段７４の閲覧要求データ入力部７４ｃによって、閲覧要求データを受信し（ステップＳ２３）、視聴データ管理手段７７によって、受信した閲覧要求データに含まれるユーザＩＤの内容をキーワードに、視聴データ記憶手段７６を検索し、対応するＩＤ（タグ識別情報）を抽出する（ステップＳ２４：タグ識別情報抽出ステップ）。そして、視聴データ管理サーバ７０は、ネットワーク送受信手段７４のＩＤ出力部７４ｄによって、抽出したＩＤと端末種別情報とを、社内ＬＡＮ３を介してＩＤ管理サーバ５０へ送信する（ステップＳ２５：第２の送信ステップ）。
【００７１】
ＩＤ管理サーバ５０は、ネットワーク送受信手段５８のＩＤ入力部５８ｃによって、ＩＤと端末種別情報とを受信し（ステップＳ２６）、タグ管理手段５９によって、ＩＤ入力部５８ｃに入力したＩＤに基づいて、このＩＤに関連付けられたすべてのＩＤ付きタグを、ＩＤ記憶手段５５から抽出し（ステップＳ２７：関連タグ抽出ステップ）、抽出したすべてのＩＤ付きタグと端末種別情報とをアクセス制限手段５７に出力する。そして、ＩＤ管理サーバ５０は、アクセス制限手段５７によって、すべてのＩＤ付きタグの中から、端末種別情報記憶手段５６に記憶されたタグの種類に基づいて、送信すべきＩＤを選択し（ステップＳ２８：タグ識別情報選択ステップ）、ネットワーク送受信手段５８のＩＤ出力部５８ｄによって、選択したＩＤを社内ＬＡＮ３を介して視聴データ管理サーバ７０へ送信する（ステップＳ２９：第３の送信ステップ）。
【００７２】
視聴データ管理サーバ７０は、ネットワーク送受信手段７４のＩＤ入力部７４ｅによって、選択されたＩＤを受信し（ステップＳ３０）、視聴データ管理手段７７によって、この選択されたＩＤに基づいて、視聴データ記憶手段７６から視聴データを抽出する（ステップＳ３１：秘匿情報抽出ステップ）。そして、視聴データ管理サーバ７０は、ネットワーク送受信手段７４の視聴データ出力部７４ｆによって、抽出した視聴データを、社内ＬＡＮ３を介して端末装置９０へ送信する（ステップＳ３２：第４の送信ステップ）。これによって、端末装置９０は、視聴データを受信し（ステップＳ３３）、受信した視聴データを図示しない表示部に表示する（ステップＳ３４：表示ステップ）。
【００７３】
（視聴データ閲覧動作の具体例）
次に、前記した視聴データ閲覧動作について、視聴データの具体例を挙げて説明する。ここでは、先に説明した視聴データ蓄積動作の具体例で用いた視聴データを利用することとする。すなわち、この視聴データ管理システム１において、ＩＤ管理サーバ５０のＩＤ記憶手段５５には、図１１に示したデータが格納され、視聴データ管理サーバ７０の視聴データ記憶手段７６には、図１３に示したデータが格納されているものとする。また、放送局の経理部門でユーザＩＤ「５２４８」の視聴者の情報を閲覧する場合を想定する。
【００７４】
この場合、はじめに、経理部門に設置された端末装置９０ａは、操作者の操作に従って、ユーザＩＤ「５２４８」と端末種別情報「Ａ０」とから成る閲覧要求データを入力し、視聴データ管理サーバ７０へ送信する（ステップＳ２１，Ｓ２２）。
続いて、視聴データ管理サーバ７０は、視聴データ管理手段７７によって、ユーザＩＤ「５２４８」に基づいて、視聴データ記憶手段７６からＩＤ「５２」を抽出する（図１３参照）。そして、視聴データ管理サーバ７０は、ＩＤ「５２」と端末種別情報「Ａ０」とをＩＤ管理サーバ５０へ送信する（ステップＳ２３〜Ｓ２５）、
【００７５】
ＩＤ管理サーバ５０は、タグ管理手段５９によって、受信したＩＤ「５２」に基づいて、このＩＤ「５２」に関連付けられたＩＤ付きタグ「２０：クレジット番号」、「２５：生年月日」、「５２：ユーザＩＤ」、「７９：名前」、「９５：視聴履歴」および「１２０：住所」をＩＤ記憶手段５５から抽出する（図１１参照）。そして、ＩＤ管理サーバ５０は、アクセス制限手段５７によって、端末種別情報記憶手段５６を参照して、受信した端末種別情報「Ａ０」に基づいて、提供可能ログを「ユーザＩＤ」、「名前」および「クレジット番号」と判別し（図４参照）、この提供可能ログに当たるＩＤとして「２０」、「５２」、「７９」を選択する。そして、ＩＤ管理サーバ５０は、ＩＤ「２０」、「５２」および「７９」を視聴データ管理サーバ７０へ送信する（ステップＳ２６〜Ｓ２９）。
【００７６】
視聴データ管理サーバ７０は、ＩＤ「２０」、「５２」および「７９」を受信し、視聴データ管理手段７７によって、この受信した３つのＩＤに基づいて、視聴データ記憶手段７６から３種類の視聴データ「クレジット番号：７５６８２１」、「ユーザＩＤ：５２４８」および「名前：森花子」を抽出する（図１３参照）。そして、視聴データ管理サーバ７０は、抽出した３種類の視聴データを、端末装置９０ａへ送信する。
これによって、端末装置９０ａは、受信した３種類の視聴データ「クレジット番号：７５６８２１」、「ユーザＩＤ：５２４８」および「名前：森花子」を図示しない表示部に表示する（ステップＳ３０〜Ｓ３４）。
【００７７】
以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく、その趣旨を変えない範囲でさまざまに実施することができる。例えば、本実施形態では、視聴データ管理システム１がユーザ端末１０に対して送信要求（送信要求データの送信）を行うことによって、視聴データの蓄積を開始したが、ユーザ端末が、予め定められたタイミングまたは送信コマンドの入力に従って、視聴データを視聴データ管理システム１に送信するようにしてもよい。
【００７８】
また、本実施形態では、秘匿対象を個人（視聴者）として、視聴データ（秘匿情報）の管理システムを放送局に設けるものとして説明したが、個人情報の管理システムを一般企業に設けて、従業員の営業成績などの個人情報を管理するように構成してもよい。この場合には、従業員から暗号化された個人情報を収集し、収集した個人情報とその分類名（タグ）とを異なるデータベースに蓄積し、企業の人事部門、経理部門、営業部門などの部門に応じて必要とする情報を閲覧可能とすることができる。また、企業において、秘匿対象を物品（商品や試作品）として、物品の寸法、価格、材料、実験値などの秘匿情報を暗号化して収集し、収集した秘匿情報のうち、営業部門や研究開発部門などの部門に応じて必要とする情報を閲覧できるようにしてもよい。
【図面の簡単な説明】
【００７９】
【図１】本発明の実施形態に係る視聴データ管理システムの構成を示すブロック図である。
【図２】ユーザ端末の構成を示すブロック図である。
【図３】ＩＤ管理サーバの構成を示すブロック図である。
【図４】ＩＤ管理サーバの端末種別情報記憶手段に記憶されたデータの一例を示す図である。
【図５】視聴データ管理サーバの構成を示すブロック図である。
【図６】本発明の実施形態に係る視聴データ管理システムの視聴データ蓄積動作を示すフローチャートである。
【図７】ユーザ端末の送信用の視聴データ（その１）を示す図であって、（ａ）は元データ、（ｂ）は暗号化データを示している。
【図８】ユーザ端末の送信用の視聴データ（その２）を示す図であって、（ａ）は元データ、（ｂ）は暗号化データを示している。
【図９】図７の視聴データの加工を説明するための図であって、（ａ）はＩＤを付加された視聴データ、（ｂ）はＩＤ付加後に視聴データの内容が分離されたデータを示している。
【図１０】図８の視聴データの加工を説明するための図であって、（ａ）はＩＤを付加された視聴データ、（ｂ）はＩＤ付加後に視聴データの内容が分離されたデータを示している。
【図１１】ＩＤ管理サーバのＩＤ記憶手段の記憶されたデータを示す図である。
【図１２】図９の（ａ）の視聴データの加工を説明するための図であって、（ａ）は暗号化されたＩＤ付き視聴データ、（ｂ）は復号化されたＩＤ付き視聴データを示している。
【図１３】視聴データ管理サーバの視聴データ記憶手段に記憶されたデータを示す図である。
【図１４】本発明の実施形態に係る視聴データ管理システムの視聴データ閲覧動作を示すフローチャートである。
【符号の説明】
【００８０】
１ 視聴データ管理システム
２ インターネット
３ 社内ＬＡＮ
１０（１０ａ，１０ｂ） ユーザ端末
１１ コンテンツ受信手段
１２ 出力手段
１３ 視聴情報抽出手段
１４ 記憶手段
１５ 入力手段
１６ 送受信手段
１７ データ管理手段
１８ 暗号化手段
３０ コンテンツサーバ
５０ ＩＤ管理サーバ（タグ蓄積装置）
５１ 視聴データ受信手段（第１の受信手段）
５２ ＩＤ付加手段（タグ識別情報付加手段）
５３ 暗号化手段
５４ 分離手段
５５ ＩＤ記憶手段（識別情報記憶手段）
５６ 端末種別情報記憶手段（アクセス制限情報記憶手段）
５７ アクセス制限手段
５８ ネットワーク送受信手段
５８ａ 公開鍵入力部
５８ｂ 視聴データ出力部（送信手段）
５８ｃ ＩＤ入力部
５８ｄ ＩＤ出力部
５９ タグ管理手段
７０ 視聴データ管理サーバ（秘匿情報蓄積装置）
７１ 公開鍵ペア生成手段
７２ 鍵記憶手段
７３ 公開鍵送信手段
７４ ネットワーク送受信手段
７４ａ 公開鍵出力部
７４ｂ ＩＤ付き視聴データ入力部（第２の受信手段）
７４ｃ 閲覧要求データ入力部
７４ｄ ＩＤ出力部
７４ｅ ＩＤ入力部
７４ｆ 視聴データ出力部
７５ 復号化手段
７６ 視聴データ記憶手段（秘匿情報記憶手段）
７７ 視聴データ管理手段（秘匿情報管理手段）
９０（９０ａ，９０ｂ） 端末装置
【技術分野】
【０００１】
本発明は、個人情報などの秘匿すべき秘匿情報を蓄積、管理する秘匿情報管理システムおよび秘匿情報管理方法に関する。
【背景技術】
【０００２】
近年、インターネット上で様々なマルチメディアコンテンツ（コンテンツ）を提供するサービスが盛んに行われるようになってきている。また、放送と通信の連携サービスまたは通信ネットワークを利用した放送サービスにおいて、デジタル時代に対応した視聴率調査の必要性が高まっており、パソコンや携帯端末装置などのユーザ端末での視聴を考慮し、ネットワークを利用した効率的かつ木目細かい視聴率の測定手法が検討され始めている。また、コンテンツを提供する提供者（放送局など）は、視聴者がどの番組を視聴したのかという視聴情報に加えて、視聴者の例えば性別、年齢といった個人情報を取得すれば、視聴者の嗜好や意向などをコンテンツの編成や内容に反映させることができる。
【０００３】
このような視聴情報や個人情報は、第三者に不正利用されないように保護すべき秘匿情報である。このような秘匿情報を管理するデータベースシステムとしては、従来から、リレーショナルデータベース管理システム（Relational Database Management System:以下ＲＤＢＭＳ）が知られている（例えば、特許文献１）。
【０００４】
このＲＤＢＭＳでは、タプル（tuple）とアトリビュート（attribute）（または行と列）を備えた「表」でデータを表現し、蓄積されたデータから任意の条件で目的とするデータを取り出すことができる。この表では、例えば、アトリビュートに「名前」、「性別」、「年齢」および「趣味」の４つの項目を配した場合、タプルが「田中、男、３５、ドライブ」、「森、女、２５、ピアノ」のように個人別に一覧となって表現される。このような個人情報が蓄積されたＲＤＢＭＳへのアクセスを無制限に許可しないために、パスワードの入力やカードの挿入などを求めることでアクセスを制限し、蓄積された個人情報の保護が図られている。
【特許文献１】特開平８−７７２０５号公報（段落００１５〜００２８、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来のＲＤＢＭＳへのアクセス制限方法においては、悪意の利用者が不正に入手したパスワードやカードを使用した場合、悪意の利用者は、一覧となっているすべての個人の全項目にわたる個人情報を不正取得（閲覧）することが可能となってしまう。
【０００６】
そこで、例えばＲＤＢＭＳの閲覧用端末装置をすべてカード挿入型のものとして、複数種類のカードを用意して、閲覧用端末装置別に個人情報のどの項目を閲覧可能とするか取り決めておくことが考えられる。しかし、カードの発行、配布、管理などに多大な手間とコストがかかるという問題がある。
【０００７】
本発明は、以上のような問題点に鑑みてなされたものであり、秘匿情報の不正取得を防止することが可能な秘匿情報管理システムおよび秘匿情報管理方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、前記目的を達成するために創案されたものであり、まず、請求項１に記載の秘匿情報管理システムは、個々の秘匿対象に関する情報の内容とその分類名を示すタグとから構成された秘匿情報を、複数の秘匿対象に亘って蓄積管理するために、前記秘匿情報のタグを蓄積するタグ蓄積装置と、このタグ蓄積装置に第１のネットワークを介して接続され、前記秘匿情報を蓄積する秘匿情報蓄積装置とを備える秘匿情報管理システムであって、タグ蓄積装置は、第１の受信手段と、タグ識別情報付加手段と、識別情報記憶手段と、暗号化手段と、送信手段とを備える構成とした。また、秘匿情報管理システムの秘匿情報蓄積装置は、第２の受信手段と、復号化手段と、秘匿情報記憶手段とを備える構成とした。
【０００９】
ここで、タグ蓄積装置と秘匿情報蓄積装置とは、例えば企業などに設置され、第１のネットワークは、この企業内のＬＡＮ（Local Area Network）である。また、秘匿対象は例えば人間（個人）や物品（商品、試作品）などである。秘匿対象が個人の場合、秘匿情報は例えばタグである「名前」と、その内容である「田中太郎」とから構成される。
かかる構成によれば、タグ蓄積装置は、第１の受信手段によって、第２のネットワークを介して、所定の公開鍵で内容が暗号化された秘匿情報を個々の秘匿対象別に受信する。ここで、第２のネットワークは、例えばインターネットなどの企業とその外部とを接続するネットワークである。
【００１０】
そして、タグ蓄積装置は、タグ識別情報付加手段によって、第１の受信手段で受信された秘匿情報のタグに、このタグを識別するタグ識別情報を付加する。このタグ識別情報は、秘匿対象および秘匿情報すべてにわたってランダムに、かつ、一意に定められた情報であり、例えばＵＵＩＤ（Universally Unique Identifier：一意識別子）である。したがって、例えば、秘匿対象が個人で、秘匿情報が、その個人の「名前」、「住所」、「電話番号」に関するものだとすると、この「名前」、「住所」、「電話番号」のタグには、決して連番とはならないタグ識別情報が付加されることとなる。そして、タグ蓄積装置は、識別情報記憶手段に、タグ識別情報が付加された秘匿情報のうち、タグ識別情報とタグとを秘匿対象別に関連付けて記憶する。一方、タグ蓄積装置は、暗号化手段によって、タグ識別情報が付加された秘匿情報のうち、タグ識別情報とタグとを前記公開鍵で暗号化し、送信手段によって、暗号化されたタグ識別情報付き秘匿情報をタグ別に、第１のネットワークを介して秘匿情報蓄積装置へ送信する。これにより、送信されるタグ識別情報付き秘匿情報は、タグ識別情報、タグおよび内容のすべてが暗号化されることとなる。したがって、秘匿情報をタグ蓄積装置から秘匿情報蓄積装置に安全に送信することが可能になる。なお、タグ蓄積装置において、タグは一括して蓄積管理されるので、秘匿情報の種類を容易に変更、増減することができる。
【００１１】
また、秘匿情報蓄積装置は、第２の受信手段によって、タグ蓄積装置から第１のネットワークを介して、暗号化されたタグ識別情報付き秘匿情報を受信し、復号化手段によって、第２の受信手段で受信された暗号化されたタグ識別情報付き秘匿情報を、前記公開鍵に対応した秘密鍵で復号化する。なお、この秘密鍵および公開鍵を秘匿情報蓄積装置で生成するようにしてもよい。そして、秘匿情報蓄積装置は、秘匿情報記憶手段に、復号化手段で復号化されたタグ識別情報付き秘匿情報を、タグ識別情報別に記憶する。これにより、秘匿情報は、秘匿対象毎に関連付けられることなく秘匿情報記憶手段に記憶されることとなる。
【００１２】
また、請求項２に記載の秘匿情報管理システムは、請求項１に記載の秘匿情報管理システムにおいて、タグ蓄積装置はタグ管理手段をさらに備え、秘匿情報蓄積装置は秘匿情報管理手段をさらに備える構成とした。
【００１３】
かかる構成によれば、秘匿情報蓄積装置は、秘匿情報管理手段によって、入力された秘匿情報の内容に基づいて、秘匿情報記憶手段から、この秘匿情報に付加されたタグ識別情報を抽出し、抽出したタグ識別情報をタグ管理手段に出力する。ここで、入力された秘匿情報の内容とは、秘匿情報記憶手段に記憶されているものであり、例えばユーザＩＤや物品ＩＤを示す記号や数字の列のように秘匿対象を一意に識別できる識別情報のことである。そして、タグ蓄積装置は、タグ管理手段によって、入力されたタグ識別情報に基づいて、識別情報記憶手段から、このタグ識別情報に関連付けられたタグ識別情報およびタグを抽出し、抽出したタグ識別情報およびタグを出力する。ここで出力されるタグは、例えば、ある個人に関する「ユーザＩＤ」、「名前」、「住所」などであり、それぞれは、タグ識別情報付きで出力される。さらに、秘匿情報蓄積装置は、秘匿情報管理手段によって、タグ管理手段から入力されたタグ識別情報またはタグに基づいて、秘匿情報記憶手段から、このタグ識別情報を付加された秘匿情報を抽出し、抽出した秘匿情報を出力する。ここで出力される秘匿情報は、当初、秘匿情報蓄積装置に入力された秘匿情報の内容（ユーザＩＤ）に対応したものであり、例えば、ある個人に関する「ユーザＩＤ：ＸＸＸＸ」、「名前：ＹＹＹＹ」、「住所：ＺＺＺＺ」などとなる。
【００１４】
また、請求項３に記載の秘匿情報管理システムは、請求項２に記載の秘匿情報管理システムにおいて、タグ蓄積装置は、アクセス制限情報記憶手段と、アクセス制限手段とをさらに備えることとした。
【００１５】
かかる構成によれば、タグ蓄積装置は、アクセス制限情報記憶手段に、秘匿情報へのアクセス権を示すアクセス制限情報に応じて、秘匿情報のタグを記憶しておく。そして、秘匿情報蓄積装置は、秘匿情報管理手段によって、秘匿情報の内容と共にアクセス制限情報を入力し、秘匿情報記憶手段から抽出したタグ識別情報と共に、入力されたアクセス制限情報をタグ管理手段に出力する。そして、タグ蓄積装置は、タグ管理手段によって、タグ識別情報とアクセス制限情報とを入力されたときに、識別情報記憶手段から抽出したタグ識別情報およびタグと、入力されたアクセス制限情報とをアクセス制限手段に出力する。さらに、タグ蓄積装置は、アクセス制限手段によって、入力されたアクセス制限情報に基づいて、タグ管理手段から出力されたタグ識別情報およびタグの中から、選択すべきタグ識別情報を抽出し、抽出したタグ識別情報を秘匿情報管理手段に出力する。これによって、秘匿情報蓄積装置は、秘匿情報管理手段によって、制限されたタグ識別情報に基づいて、秘匿情報を抽出することとなる。
【００１６】
また、請求項４に記載の秘匿情報管理方法は、個々の秘匿対象に関する情報の内容とその分類名を示すタグとから構成された秘匿情報のタグを蓄積するタグ蓄積装置と、このタグ蓄積装置に第１のネットワークを介して接続され、前記秘匿情報を蓄積する秘匿情報蓄積装置とを備える秘匿情報管理システムにおいて、前記秘匿情報を複数の秘匿対象に亘って蓄積管理する秘匿情報管理方法であって、第１の受信ステップと、タグ識別情報付加ステップと、識別情報格納ステップと、暗号化ステップと、送信ステップと、第２の受信ステップと、復号化ステップと、秘匿情報格納ステップとを含んでいることとした。
【００１７】
この手順によれば、秘匿情報管理方法は、第１の受信ステップで、タグ蓄積装置において、第２のネットワークを介して、所定の公開鍵で内容が暗号化された秘匿情報を個々の秘匿対象別に受信し、タグ識別情報付加ステップで、受信された秘匿情報のタグに、このタグを識別するタグ識別情報を付加する。そして、識別情報格納ステップで、このタグ識別情報が付加された秘匿情報のうち、タグ識別情報とタグとを秘匿対象別に関連付けて識別情報記憶手段に格納する。また、暗号化ステップで、タグ識別情報が付加された秘匿情報のうち、タグ識別情報とタグとを前記公開鍵で暗号化し、送信ステップで、暗号化されたタグ識別情報付き秘匿情報をタグ別に、第１のネットワークを介して秘匿情報蓄積装置へ送信する。
【００１８】
さらに、秘匿情報管理方法は、第２の受信ステップで、秘匿情報蓄積装置において、タグ蓄積装置から第１のネットワークを介して、暗号化されたタグ識別情報付き秘匿情報を受信する。そして、復号化ステップで、受信された暗号化されたタグ識別情報付き秘匿情報を、前記公開鍵に対応した秘密鍵で復号化し、秘匿情報格納ステップで、復号化されたタグ識別情報付き秘匿情報を、タグ識別情報別に秘匿情報記憶手段に格納する。
【００１９】
また、請求項５に記載の秘匿情報管理方法は、請求項４に記載の秘匿情報管理方法において、秘匿情報蓄積装置に第１のネットワークを介して接続された端末装置をさらに備える秘匿情報管理システムにおける、秘匿情報を複数の秘匿対象に亘って蓄積管理する秘匿情報管理方法であって、第１の送信ステップと、タグ識別情報抽出ステップと、第２の送信ステップと、関連タグ抽出ステップと、タグ識別情報選択ステップと、第３の送信ステップと、秘匿情報抽出ステップと、第４の送信ステップと、表示ステップとを含んでいることとした。
【００２０】
この手順によれば、秘匿情報管理方法は、第１の送信ステップで、端末装置において、秘匿情報の内容と、秘匿情報へのアクセス権を示すアクセス制限情報とを秘匿情報蓄積装置に送信する。そして、タグ識別情報抽出ステップで、秘匿情報蓄積装置において、秘匿情報の内容に基づいて、秘匿情報記憶手段から、この秘匿情報に付加されたタグ識別情報を抽出し、第２の送信ステップで、この抽出したタグ識別情報とアクセス制限情報とをタグ蓄積装置に送信する。
【００２１】
そして、秘匿情報管理方法は、関連タグ抽出ステップで、タグ蓄積装置において、受信したタグ識別情報に基づいて、識別情報記憶手段から、このタグ識別情報に関連付けられたタグ識別情報およびタグを抽出する。そして、タグ識別情報選択ステップで、アクセス制限情報に応じて、秘匿情報のタグを記憶したアクセス制限情報記憶手段を参照して、受信したアクセス制限情報に基づいて、抽出されたタグ識別情報およびタグの中からタグ識別情報を選択し、第３の送信ステップで、選択されたタグ識別情報を秘匿情報蓄積装置に送信する。そして、秘匿情報管理方法は、秘匿情報抽出ステップで、秘匿情報蓄積装置において、選択されたタグ識別情報に基づいて、秘匿情報記憶手段から、このタグ識別情報を付加された秘匿情報を抽出し、第４の送信ステップで、抽出した秘匿情報を端末装置に送信する。さらに、表示ステップで、端末装置において、受信した秘匿情報を表示する。
【発明の効果】
【００２２】
請求項１または請求項４に記載の発明によれば、秘匿情報管理システムにおいて、秘匿情報蓄積装置には、タグ識別情報付き秘匿情報を、タグ識別情報別に記憶するので、秘匿情報は秘匿対象毎には関連付けられていない。したがって、秘匿情報蓄積装置においては、秘匿対象の異なる秘匿情報が混在して記憶されているので、悪意の利用者が秘匿情報蓄積装置を利用して秘匿情報を閲覧したとしても、どの秘匿情報がどの秘匿対象のものなのかを特定することができない。また、タグ蓄積装置においては、秘匿対象別に複数種類のタグが蓄積されているが秘匿情報の内容は蓄積されていない。その結果、秘匿情報蓄積装置にアクセスする人物とタグ蓄積装置にアクセスする人物とを異なる人物とした場合、いずれかの人物の不正による個人情報漏洩を防ぐことが可能である。
【００２３】
請求項２に記載の発明によれば、秘匿情報管理システムにおいて、秘匿情報蓄積装置に、予め蓄積されている秘匿情報の内容を入力することにより、それに対応した秘匿対象の他の秘匿情報を出力することができる。これによれば、秘匿情報蓄積装置の操作者は、検索目的とする秘匿対象の秘匿情報の一部（秘匿対象を一意に特定できる情報）を予め知っていなければ、他の秘匿情報を取得（閲覧）することができない。その結果、秘匿情報の不正利用を防止することができる。
【００２４】
請求項３に記載の発明によれば、秘匿情報管理システムにおいて、秘匿情報蓄積装置は、アクセス制限情報に基づいて、制限された秘匿情報のみを出力することができる。これによれば、パスワードやカードによる管理を必要とすることなく、秘匿情報管理システムの管理者が、このシステムの利用者に対して、秘匿対象の複数の秘匿情報のうち、いずれの秘匿情報を開示するかを動的に定めることが可能になる。
【００２５】
請求項５に記載の発明によれば、秘匿情報管理システムにおいて、端末装置に所定のアクセス制限情報が入力されたときには、そのアクセス制限情報に基づいた秘匿情報のみを表示することができる。これによれば、必要最小限の情報のみしか閲覧できないようにすることができるので、秘匿情報の漏洩の危険性を低減させることが可能である。
【発明を実施するための最良の形態】
【００２６】
次に、本発明の実施形態について、適宜図面を参照しながら詳細に説明する。本実施形態では秘匿対象を個人（人間）とし、秘匿情報を主として個人情報とすることを前提としている。
［視聴データ管理システムの構成］
図１は、本発明の実施形態に係る視聴データ管理システムの構成を示すブロック図である。この視聴データ管理システム１は、放送局に設置され、インターネット２を介して、複数（図では２人）の視聴者の元に設置されたユーザ端末１０と接続されている。この視聴データ管理システム１は、ユーザ端末１０に、衛星放送や地上波放送を通じて、または、インターネット２を介して、映像、楽曲などのマルチメディアコンテンツ（以下、コンテンツと称す）を送信すると共に、ユーザ端末１０に格納されたデータを要求し（送信要求）、ユーザ端末１０から取得したデータを管理するものである。なお、視聴データ管理システム１とユーザ端末１０との間では、ＳＳＬ（Secure Socket Layer）により、データが暗号化されて安全に送受信することができる。
【００２７】
ユーザ端末１０（１０ａ，１０ｂ）は、視聴データ管理システム１から送信されるコンテンツを受信し、受信したコンテンツを視聴者に提供するものである。このユーザ端末１０は、コンテンツの視聴履歴を示す視聴情報を抽出して記憶管理し、視聴データ管理システム１からの送信要求に基づいて、記憶された視聴情報および視聴者の個人情報を視聴データ管理システム１に送信する。この視聴情報および／または視聴者の個人情報を本明細書においては、視聴データと称する。この視聴データは、本発明における秘匿情報に相当する。
【００２８】
視聴データ管理システム１は、互いに社内ＬＡＮ３で接続されたコンテンツサーバ３０と、ＩＤ管理サーバ（タグ蓄積装置）５０と、視聴データ管理サーバ（秘匿情報蓄積装置）７０と、複数（図では２つ）の端末装置９０とを備えている。なお、社内ＬＡＮ３およびインターネット２は、第１のネットワークおよび第２のネットワークをそれぞれ示している。
【００２９】
コンテンツサーバ３０は、衛星放送や地上波放送を通じて、または、インターネット２を介して、ユーザ端末１０に、コンテンツを送信するものである。なお、以下の実施形態では、コンテンツサーバ３０は、テレビ放送を行うものとする。
ＩＤ管理サーバ５０は、ユーザ端末１０から視聴データを受信し、受信した視聴データに個別にＩＤ（タグ識別情報）を付加し、このＩＤを蓄積管理するものである。
視聴データ管理サーバ７０は、ＩＤ管理サーバ５０からＩＤ付き視聴データを受信し、受信したＩＤ付き視聴データをＩＤ別に蓄積管理するものである。
【００３０】
端末装置９０（９０ａ，９０ｂ）は、例えば、ＣＰＵ、ＲＡＭ、ＲＯＭ、およびハードディスクドライブなどを含んで構成されるパーソナルコンピュータであり、放送局内の各部門に設置され、視聴データ管理サーバ７０に蓄積管理された視聴データを閲覧するためのものである。この端末装置９０には、それぞれの端末装置９０を識別するための端末種別情報（アクセス制限情報）が付与されている。また、この端末装置９０のハードディスクドライブには、検索しようとする視聴者の視聴データの閲覧を要求するための閲覧要求データを入力することにより、視聴データ管理サーバ７０から、当該視聴者の視聴データのうち所定種類の視聴データを受信し、受信したデータを表示するためのプログラムが格納されている。なお、閲覧要求データは、例えばユーザＩＤと端末種別情報とから構成される。また、端末装置９０ａは端末種別情報として例えばＡ０が付与されて放送局の経理部門に設置され、端末装置９０ｂは端末種別情報として例えばＢ１が付与されて放送局の顧客管理部門に設置されているものとする。
【００３１】
以下に、ユーザ端末１０、ＩＤ管理サーバ５０および視聴データ管理サーバ７０の詳細な構成を順に説明する。
［ユーザ端末の構成］
図２は、ユーザ端末の構成を示すブロック図である。ここでは、ユーザ端末１０は、コンテンツ受信手段１１と、出力手段１２と、視聴情報抽出手段１３と、記憶手段１４と、入力手段１５と、送受信手段１６と、データ管理手段１７とを備えて構成した。
【００３２】
コンテンツ受信手段１１は、コンテンツサーバ３０（図１参照）から送信されるコンテンツを受信するものであり、視聴者が所望する番組を選択する図示しない番組選択手段で選択されたコンテンツを出力手段１２に供給するものである。
出力手段１２は、例えばディスプレイやスピーカから構成され、コンテンツ受信手段１１から供給されたコンテンツを出力するものである。この出力手段１２は、視聴者により図示しない番組選択手段で選択されたチャンネルのログデータ等から構成されるチャンネル情報を視聴情報抽出手段１３に出力する。
【００３３】
視聴情報抽出手段１３は、視聴者によるコンテンツの視聴に伴って、出力手段１２から出力されたチャンネル情報に基づいて、視聴情報を抽出するものである。ここで抽出される視聴情報は、視聴者が視聴する番組名で特定される視聴履歴とする。なお、視聴履歴は、チャンネル情報と、番組を特定する日付や時刻などの時間情報とから構成するようにしてもよく、また、入力手段１５を介して入力されるようにしてもよい。
【００３４】
記憶手段１４は、視聴情報抽出手段１３で抽出する視聴情報および視聴者の個人情報（視聴データ）を記憶するもので、ハードディスク等の一般的な記憶装置である。この視聴データは、視聴データの内容とその分類名を示すタグとから構成されている。ここで、視聴者の個人情報は、視聴者を一意に特定するためのユーザＩＤのほか、例えば、氏名、生年月日、住所などの視聴者の基本的な属性と、クレジットカード番号や好みのタレントなどの視聴者を特徴付ける付加的な情報とを含んでいる。なお、記憶手段１４に格納される個人情報は、国際標準規格であるＭＰＥＧ−７やＴＶ−Ａｎｙｔｉｍｅ Ｆｏｒｕｍや、国内のサーバ型放送方式規格で規定されているメタデータの記述言語であるＸＭＬ（Extensible Markup Language）を用いて記述、管理することとしてもよい。
【００３５】
入力手段１５は、個人情報を入力したり、記憶手段１４に記憶された視聴データを選択して入力したりするものであり、キーボードやマウスなどから構成される。
送受信手段１６は、インターネット２を介して視聴データ管理システム１（図１参照）から、視聴データの送信を要求するための送信要求データを受信すると共に、要求された視聴データを視聴データ管理システム１に送信するためのものである。
データ管理手段１７は、視聴情報抽出手段１３、記憶手段１４、入力手段１５、送受信手段１６との間で各種データを送受信し、これらの各手段１３〜１６を制御統括するものである。このデータ管理手段１７は、記憶手段１４から読み出した視聴データの内容を、予め取得している放送局の公開鍵ＫPで暗号化する暗号化手段１８を備えている。
【００３６】
［ＩＤ管理サーバの構成］
図３は、ＩＤ管理サーバの構成を示すブロック図である。ここでは、ＩＤ管理サーバ５０は、視聴データ受信手段（第１の受信手段）５１と、ＩＤ付加手段（タグ識別情報付加手段）５２と、暗号化手段５３と、分離手段５４と、ＩＤ記憶手段（識別情報記憶手段）５５と、端末種別情報記憶手段（アクセス制限情報記憶手段）５６と、アクセス制限手段５７と、ネットワーク送受信手段５８と、タグ管理手段５９とを備えて構成した。
【００３７】
視聴データ受信手段５１は、ユーザ端末１０（図１参照）から送信される視聴データを受信し、ＩＤ付加手段５２に出力するものである。
ＩＤ付加手段５２は、視聴データ受信手段５１から出力される視聴データ毎（タグ毎）に異なるＩＤ（タグ識別情報）を付加して、暗号化手段５３および分離手段５４に出力するものである。このＩＤはランダム、かつ、必ずユニーク（唯一）となるようなＩＤで、例えばＵＵＩＤとする。したがって、例えば、ある視聴者の一連の視聴データ（「名前」、「住所」、「視聴履歴」など）のタグには、決して連番とはならないＩＤが付加されることとなる。
【００３８】
暗号化手段５３は、ＩＤ付加手段５２から出力されるＩＤ付き視聴データのＩＤおよびタグを、予め取得している放送局の公開鍵ＫPで暗号化し、タグ管理手段５９に出力するものである。
分離手段５４は、ＩＤ付加手段５２から出力されるＩＤ付き視聴データから、暗号化された内容を分離して、ＩＤ付きタグをタグ管理手段５９に出力するものである。
ＩＤ記憶手段５５は、分離手段５４から出力されるＩＤ付きタグを視聴者別（個人別）に関連付けて記憶するもので、ハードディスク等の一般的な記憶装置である。
【００３９】
端末種別情報記憶手段５６は、端末装置９０（９０ａ，９０ｂ：図１参照）に付与されている端末種別情報別に提供可能なタグの種類を記憶するもので、ハードディスク等の一般的な記憶装置である。ここで、図４を参照して端末種別情報記憶手段５６に記憶されたデータを説明する。図４は、端末種別情報記憶手段に記憶されたデータの一例を示す図である。この端末種別情報記憶手段５６には、図４に示すように、放送局の中で端末装置９０が設置されている部門名４０１と、端末種別情報４０２と、提供可能タグ４０３とが記憶されている。この例では、経理部門に設置されている端末装置９０ａには、端末識別情報として、Ａ＊が付与されており、この端末種別情報Ａ＊が付与されている端末装置９０ａに提供可能なタグの種類は、「ユーザＩＤ」、「名前」および「クレジット番号」となっている。なお、記号＊（アスタリスク）は整数１，２，…を示す。また、顧客管理部門に設置されている端末装置９０ｂには、端末識別情報として、Ｂ＊が付与されており、この端末種別情報Ｂ＊が付与されている端末装置９０ｂに提供可能なタグの種類は、「ユーザＩＤ」、「名前」、「生年月日」および「住所」となっている。なお、ここで挙げた項目は一例にしか過ぎず、この視聴データ管理システム１の管理者が動的に設定できることはもちろんである。
【００４０】
再び、図３に戻ってＩＤ管理サーバ５０の構成の説明を続ける。
アクセス制限手段５７は、タグ管理手段５９からＩＤ付きタグおよび端末種別情報を取得し、端末種別情報を参照して、取得したＩＤ付きタグの中から、端末種別情報記憶手段５６に記憶されたタグの種類に基づいたＩＤを選択してタグ管理手段５９に出力するものである。
【００４１】
ネットワーク送受信手段５８は、社内ＬＡＮ３を介して視聴データ管理サーバ７０（図１参照）との間で、各種データを送受信するためのものであり、公開鍵入力部５８ａと、視聴データ出力部５８ｂと、ＩＤ入力部５８ｃと、ＩＤ出力部５８ｄとを備えている。
公開鍵入力部５８ａは、視聴データ管理サーバ７０から公開鍵ＫPを入力して、タグ管理手段５９に出力するものである。
視聴データ出力部（送信手段）５８ｂは、タグ管理手段５９から、暗号化されたＩＤ付き視聴データを取得して、視聴データ管理サーバ７０へ出力するものである。
ＩＤ入力部５８ｃは、視聴データ管理サーバ７０からＩＤを入力して、タグ管理手段５９に出力するものである。
ＩＤ出力部５８ｄは、タグ管理手段５９から、アクセス制限手段５７によって選択されたＩＤを取得して、視聴データ管理サーバ７０へ出力するものである。
【００４２】
タグ管理手段５９は、暗号化手段５３、分離手段５４、ＩＤ記憶手段５５、アクセス制限手段５７、ネットワーク送受信手段５８との間で各種データを送受信し、これらの各手段５３〜５５，５７，５８を制御統括するものである。このタグ管理手段５９は、主に、以下に示す各機能を有している。すなわち、タグ管理手段５９は、公開鍵入力部５８ａから出力された公開鍵ＫPを暗号化手段５３に出力する。また、タグ管理手段５９は、分離手段５４から出力されたＩＤ付きタグをＩＤ記憶手段５５に格納する。また、タグ管理手段５９は、暗号化手段５３によって暗号化されたＩＤ付き視聴データを視聴データ出力部５８ｂに出力する。また、タグ管理手段５９は、ＩＤ入力部５８ｃに入力したＩＤに基づいて、このＩＤに関連付けられたすべてのＩＤおよびタグを、ＩＤ記憶手段５５から抽出し、アクセス制限手段５７に出力する。また、タグ管理手段５９は、アクセス制限手段５７によって選択されたＩＤをＩＤ出力部５８ｄに出力する。
【００４３】
［視聴データ管理サーバの構成］
図５は、視聴データ管理サーバの構成を示すブロック図である。ここでは、視聴データ管理サーバ７０は、公開鍵ペア生成手段７１と、鍵記憶手段７２と、公開鍵送信手段７３と、ネットワーク送受信手段７４と、復号化手段７５と、視聴データ記憶手段（秘匿情報記憶手段）７６と、視聴データ管理手段（秘匿情報管理手段）７７とを備えて構成した。
【００４４】
公開鍵ペア生成手段７１は、放送局の公開鍵ＫPと、この公開鍵ＫPに対応する秘密鍵ＫSとのペアを生成し、鍵記憶手段７２に格納するものである。
鍵記憶手段７２は、公開鍵ペア生成手段７１によって生成された公開鍵ＫPと秘密鍵ＫSとのペアを記憶するもので、ハードディスク等の一般的な記憶装置である。
公開鍵送信手段７３は、視聴データ管理手段７７から送信要求データを取得し、鍵記憶手段７２に記憶された公開鍵ＫPを読み出して、インターネット２を介してユーザ端末１０（図１参照）に送信要求データおよび公開鍵ＫPを送信すると共に、読み出した公開鍵ＫPを視聴データ管理手段７７に出力するものである。
【００４５】
ネットワーク送受信手段７４は、社内ＬＡＮ３を介してＩＤ管理サーバ５０および端末装置９０（図１参照）との間で、各種データを送受信するためのものであり、公開鍵出力部７４ａと、ＩＤ付き視聴データ入力部７４ｂと、閲覧要求データ入力部７４ｃと、ＩＤ出力部７４ｄと、ＩＤ入力部７４ｅと、視聴データ出力部７４ｆとを備えている。
公開鍵出力部７４ａは、視聴データ管理手段７７から公開鍵ＫPを取得して、ＩＤ管理サーバ５０へ出力するものである。
ＩＤ付き視聴データ入力部（第２の受信手段）７４ｂは、ＩＤ管理サーバ５０から、暗号化されたＩＤ付き視聴データを入力して、視聴データ管理手段７７に出力するものである。
【００４６】
閲覧要求データ入力部７４ｃは、端末装置９０（図１参照）から、ユーザＩＤの内容と端末種別情報とから成る閲覧要求データを入力して、視聴データ管理手段７７に出力するものである。
ＩＤ出力部７４ｄは、視聴データ管理手段７７からＩＤを取得して、ＩＤ管理サーバ５０へ出力するものである。
ＩＤ入力部７４ｅは、ＩＤ管理サーバ５０（図１参照）からＩＤを入力して、視聴データ管理手段７７に出力するものである。
視聴データ出力部７４ｆは、視聴データ管理手段７７から視聴データを取得して、端末装置９０へ出力するものである。
【００４７】
復号化手段７５は、視聴データ管理手段７７から暗号化されたＩＤ付き視聴データを取得すると共に、鍵記憶手段７２から秘密鍵ＫSを取得し、暗号化されたＩＤ付き視聴データを秘密鍵ＫSによって復号化し、視聴データ管理手段７７へ出力するものである。
視聴データ記憶手段７６は、復号化手段７５から出力されるＩＤ付き視聴データをＩＤ別に記憶するもので、ハードディスク等の一般的な記憶装置である。
【００４８】
視聴データ管理手段７７は、公開鍵送信手段７３、ネットワーク送受信手段７４、復号化手段７５、視聴データ記憶手段７６との間で各種データを送受信し、これらの各手段７３〜７６を制御統括するものである。この視聴データ管理手段７７は、主に、以下に示す各機能を有している。すなわち、視聴データ管理手段７７は、操作者による図示しない操作部からの入力に基づいて、ユーザ端末１０（図１参照）からの視聴データの送信を要求するための送信要求データを生成し、公開鍵送信手段７３に出力する。また、視聴データ管理手段７７は、公開鍵送信手段７３から読み出された公開鍵ＫPを公開鍵出力部７４ａに出力する。また、視聴データ管理手段７７は、ＩＤ付き視聴データ入力部７４ｂから出力された、暗号化されたＩＤ付き視聴データを復号化手段７５に出力する。また、視聴データ管理手段７７は、復号化手段７５から出力された、復号化されたＩＤ付き視聴データをＩＤ別に視聴データ記憶手段７６に格納する。また、視聴データ管理手段７７は、閲覧要求データ入力部７４ｃから入力した閲覧要求データに基づいて、視聴データ記憶手段７６から、対応するＩＤを抽出し、ＩＤ出力部７４ｄに出力する。さらに、視聴データ管理手段７７は、ＩＤ入力部７４ｅに入力したＩＤに基づいて、視聴データ記憶手段７６から視聴データを抽出し、視聴データ出力部７４ｆに出力する。
【００４９】
なお、本実施形態の視聴データ管理システム１を構成する各サーバ５０，７０は、ＣＰＵ、ＲＡＭ、ＲＯＭ、およびハードディスクドライブなどを含んで構成されるコンピュータにより具現化され、このハードディスクドライブには、各記憶手段５５，５６，７２，７６として割り当てられた領域のほかに、これらのコンピュータを視聴データ管理システムとして動作させるプログラムが格納される領域を有している。このプログラムをＲＡＭに展開して、ＣＰＵが実行することで、これらのコンピュータは視聴データ管理システムとして動作する。
【００５０】
［視聴データ管理システムの動作］
次に、図６乃至図１４を参照して、本実施形態に係る視聴データ管理システム１の動作について説明する。
（視聴データ蓄積動作）
まず、図６（適宜図１乃至図３および図５参照）を参照して、視聴データ管理システム１がユーザ端末１０から視聴データを収集して、視聴データを蓄積する視聴データ蓄積動作を説明する。図６は、視聴データ管理システムの視聴データ蓄積動作を示すフローチャートである。
【００５１】
視聴データ管理サーバ７０は、公開鍵ペア生成手段７１によって、公開鍵ＫPと秘密鍵ＫSのペアを生成し、鍵記憶手段７２に予め記憶しておく（ステップＳ１）。そして、視聴データ管理サーバ７０は、視聴データ管理手段７７によって、操作者による図示しない操作部からの入力に基づいて、送信要求データを生成し、公開鍵送信手段７３に出力する。そして、視聴データ管理サーバ７０は、公開鍵送信手段７３によって、公開鍵ＫPと送信要求データを、インターネット２を介してユーザ端末１０に送信する（ステップＳ２）。また、視聴データ管理サーバ７０は、ネットワーク送受信手段７４の公開鍵出力部７４ａによって、公開鍵ＫPを社内ＬＡＮ３を介してＩＤ管理サーバ５０に送信する。
【００５２】
ステップＳ２に続いて、ＩＤ管理サーバ５０は、ネットワーク送受信手段５８の公開鍵入力部５８ａによって、社内ＬＡＮ３を介して公開鍵ＫPを受信し（ステップＳ３）、タグ管理手段５９によって、受信した公開鍵ＫPを暗号化手段５３に出力する。
【００５３】
また、ステップＳ２に続いて、ユーザ端末１０は、送受信手段１６によって、インターネット２を介して公開鍵ＫPと送信要求データを受信する（ステップＳ４）。また、ユーザ端末１０は、視聴者の操作に従って入力手段１５によって、個人情報を入力し（ステップＳ５）、データ管理手段１７によって、記憶手段１４に格納する。また、ユーザ端末１０は、視聴者によるコンテンツの視聴に応じて、視聴情報抽出手段１３によって、視聴情報を抽出し、抽出した視聴情報をデータ管理手段１７によって記憶手段１４に格納する（ステップＳ６）。なお、前記したステップＳ４乃至ステップＳ６の動作は任意の順序で行うことができる。
【００５４】
前記したステップＳ４に続いて、ユーザ端末１０は、暗号化手段１８によって、ステップＳ４で受信した送信要求データに基づいて、視聴者が選択した視聴データの内容を暗号化し（ステップＳ７）、暗号化された視聴データを、送受信手段１６によってインターネット２を介してＩＤ管理サーバ５０に送信する（ステップＳ８）。
【００５５】
ステップＳ８に続いて、ＩＤ管理サーバ５０は、視聴データ受信手段５１によって、暗号化された視聴データをインターネット２を介して受信する（ステップＳ９：第１の受信ステップ）。なお、ＩＤ管理サーバ５０は、ユーザＩＤやパスワードなどを用いた認証を行って、認証に成功した場合にのみ、視聴データを取得することとしてもよい。ステップＳ９に続いて、ＩＤ管理サーバ５０は、ＩＤ付加手段５２によって、内容が暗号化された視聴データのタグにＩＤを付加する（ステップＳ１０：タグ識別情報付加ステップ）。そして、ＩＤ管理サーバ５０は、分離手段５４によって、暗号化された視聴データから暗号化された内容を分離して除去し、残りのＩＤ付きタグを、タグ管理手段５９によってＩＤ記憶手段５５に個人別（視聴者別）に格納する（ステップＳ１１：識別情報格納ステップ）。また、ＩＤ管理サーバ５０は、暗号化手段５３によって、ＩＤ付加手段５２から出力されたＩＤ付き視聴データのうち、ＩＤおよびタグを公開鍵ＫPで暗号化し（ステップＳ１２：暗号化ステップ）、タグ管理手段５９に出力する。なお、前記したステップＳ１１およびステップＳ１２の動作は任意の順序または並列に行うことができる。ステップＳ１２に続いて、ＩＤ管理サーバ５０は、ネットワーク送受信手段５８の視聴データ出力部５８ｂによって、社内ＬＡＮ３を介して、暗号化されたＩＤ付き視聴データをＩＤ毎に視聴データ管理サーバ７０へ送信する（ステップＳ１３：送信ステップ）。
【００５６】
ステップＳ１３に続いて、視聴データ管理サーバ７０は、ネットワーク送受信手段７４のＩＤ付き視聴データ入力部７４ｂによって、社内ＬＡＮ３を介して、暗号化されたＩＤ付き視聴データを受信し（ステップＳ１４：第２の受信ステップ）、復号化手段７５によって、秘密鍵ＫSで復号化する（ステップＳ１５：復号化ステップ）。そして、視聴データ管理サーバ７０は、視聴データ管理手段７７によって、復号化されたＩＤ付き視聴データをＩＤ別に視聴データ記憶手段７６に格納する（ステップＳ１６：秘匿情報格納ステップ）。
【００５７】
（視聴データ蓄積動作の具体例）
次に、前記した視聴データ蓄積動作のステップＳ７〜ステップＳ１６について、視聴データの具体例を挙げて説明する。図７および図８は、ユーザ端末の送信用の視聴データを示す図であって、（ａ）は元データ、（ｂ）は暗号化データを示している。図７および図８は、それぞれユーザ端末１０ａ，１０ｂの保有する視聴データを表している。図７の（ａ）に示すように、ユーザ端末１０ａの送信予定の視聴データ（元データ）１００は、５種類の視聴データ１０１〜１０５により構成されている。視聴データ１０１は、タグ１０１ａと、内容１０１ｂとから構成されており、それぞれ、ユーザＩＤが「２５６４３」であることを示している。同様に、視聴データ１０２〜１０５も、それぞれ、タグ１０２ａ〜１０５ａと、内容１０２ｂ〜１０５ｂとから構成されている。そして、視聴データ１０２は視聴履歴が「おしん」であること、視聴データ１０３は名前が「田中太郎」であること、視聴データ１０４は住所が「東京都世田谷区砧」であること、視聴データ１０５はクレジット番号が「１２３４５６」であることをそれぞれ示している。
【００５８】
ユーザ端末１０ａは、暗号化手段１８によって、元データ１００を構成する５種類の視聴データの内容１０１ｂ〜１０５ｂをそれぞれ公開鍵ＫPで暗号化して、図７の（ｂ）に示すように、暗号化データ１００Ａを生成する（ステップＳ７）。この暗号化データ１００Ａは、視聴データ１０１Ａ〜１０５Ａにより構成されている。視聴データ１０１Ａは、タグ１０１ａと、内容が暗号化された暗号化内容１０１ｂ′とから構成されており、「ユーザＩＤ」に関する視聴データであることしか分からない。同様に、視聴データ１０２Ａ〜１０５Ａも、それぞれ、タグ１０２ａ〜１０５ａと、暗号化内容１０２ｂ′〜１０５ｂ′とから構成されている。そして、視聴データ１０２Ａは「視聴履歴」、視聴データ１０３Ａは「名前」、視聴データ１０４Ａは「住所」、視聴データ１０５Ａは「クレジット番号」にそれぞれ関する視聴データであることしか分からない。従って、ユーザ端末１０ａから視聴データ管理システム１へ元データ１００を安全に伝達することができる（ステップＳ８およびステップＳ９）。
【００５９】
また、図８の（ａ）に示すように、ユーザ端末１０ｂの送信予定の視聴データ（元データ）２００は、６種類の視聴データ２０１〜２０６により構成されている。視聴データ２０１は、タグ２０１ａと、内容２０１ｂとから構成されており、それぞれ、クレジット番号が「７５６８２１」であることを示している。同様に、視聴データ２０２〜２０６も、それぞれ、タグ２０２ａ〜２０６ａと、内容２０２ｂ〜２０６ｂとから構成されている。そして、視聴データ２０２は生年月日が「１９６９年７月２４日」であること、視聴データ２０３はユーザＩＤが「５２４８」であること、視聴データ２０４は名前が「森花子」であること、視聴データ２０５は視聴履歴が「ＮＨＫニュース７」であること、視聴データ２０６は住所が「兵庫県神戸市」であることをそれぞれ示している。
【００６０】
ユーザ端末１０ｂは、暗号化手段１８によって、元データ２００を構成する６種類の視聴データの内容２０１ｂ〜２０６ｂをそれぞれ公開鍵ＫPで暗号化して、図８の（ｂ）に示すように、暗号化データ２００Ａを生成する。この暗号化データ２００Ａは、視聴データ２０１Ａ〜２０６Ａにより構成されている。視聴データ２０１Ａは、タグ２０１ａと、暗号化内容２０１ｂ′とから構成されており、「クレジット番号」に関する視聴データであることしか分からない。同様に、視聴データ２０２Ａ〜２０６Ａも、それぞれ、タグ２０２ａ〜２０６ａと、暗号化内容２０２ｂ′〜２０６ｂ′とから構成されている。そして、視聴データ２０２Ａは「生年月日」、視聴データ２０３Ａは「ユーザＩＤ」、視聴データ２０４Ａは「名前」、視聴データ２０５Ａは「視聴履歴」、視聴データ２０６Ａは「住所」にそれぞれ関する視聴データであることしか分からない。従って、ユーザ端末１０ｂから視聴データ管理システム１へ元データ２００を安全に伝達することができる。
【００６１】
次に、図９乃至図１２の（ａ）を参照して、ＩＤ管理サーバ５０の動作を説明する。図９は、図７の視聴データの加工を説明するための図であって、（ａ）はＩＤを付加された視聴データ、（ｂ）はＩＤ付加後に視聴データの内容が分離されたデータを示している。ユーザ端末１０ａから暗号化データ１００Ａを受信したＩＤ管理サーバ５０は、ＩＤ付加手段５２によって、暗号化データ１００Ａを構成する視聴データ１０１Ａ〜１０５Ａ（図７参照）のそれぞれに、ＩＤ（タグ識別情報）を付加して、ＩＤ付き受信データ１００Ｂを生成する（ステップＳ１０）。このＩＤ付き受信データ１００Ｂは、図９の（ａ）に示すように、ＩＤ付き視聴データ１０１Ｂ〜１０５Ｂにより構成されている。ＩＤ付き視聴データ１０１Ｂは、視聴データ１０１ＡにＩＤ「１０」が付加されて構成されている。また、ＩＤ付き視聴データ１０２Ｂは、視聴データ１０２ＡにＩＤ「３５」が付加されて構成されている。同様に、ＩＤ付き視聴データ１０３ＢにはＩＤ「７０」、ＩＤ付き視聴データ１０４ＢにはＩＤ「８２」、ＩＤ付き視聴データ１０５ＢにはＩＤ「１０４」がそれぞれ付加されている。
【００６２】
前記したステップＳ１１において、図９の（ｂ）に示すように、ＩＤ管理サーバ５０は、分離手段５４によって、ＩＤ付き受信データ１００Ｂから暗号化された内容を分離して、内容分離データ１００Ｃを生成する。この内容分離データ１００Ｃは、ＩＤ付きタグ１０１Ｃ〜１０５Ｃにより構成されている。ＩＤ付きタグ１０１Ｃは、ＩＤ付き視聴データ１０１Ｂから暗号化内容１０１ｂ′（図７参照）が除去されて構成されている。同様に、ＩＤ付きタグ１０２Ｃ〜１０５Ｃは、ＩＤ付き視聴データ１０２Ｂ〜１０５Ｂから暗号化内容１０２ｂ′〜１０５ｂ′（図７参照）がそれぞれ除去されて構成されている。
【００６３】
図１０は、図８の視聴データの加工を説明するための図であって、（ａ）はＩＤを付加された視聴データ、（ｂ）はＩＤ付加後に視聴データの内容が分離されたデータを示している。ＩＤ管理サーバ５０は、ユーザ端末１０ｂから暗号化データ２００Ａ（図８参照）を受信すると、ＩＤ付加手段５２によって、暗号化データ２００Ａを構成する視聴データ２０１Ａ〜２０６Ａのそれぞれに、ＩＤを付加して、図１０の（ａ）に示すように、ＩＤ付き受信データ２００Ｂを生成する（ステップＳ１０）。このＩＤ付き受信データ２００Ｂは、ＩＤ付き視聴データ２０１Ｂ〜２０６Ｂにより構成されている。ＩＤ付き視聴データ２０１Ｂは、視聴データ２０１ＡにＩＤ「２０」が付加されて構成されている。同様に、ＩＤ付き視聴データ２０２ＢにはＩＤ「２５」、ＩＤ付き視聴データ２０３ＢにはＩＤ「５２」、ＩＤ付き視聴データ２０４ＢにはＩＤ「７９」、ＩＤ付き視聴データ２０５ＢにはＩＤ「９５」、ＩＤ付き視聴データ２０６ＢにはＩＤ「１２０」がそれぞれ付加されている。さらに、前記したステップＳ１１において、図１０の（ｂ）に示すように、ＩＤ管理サーバ５０は、分離手段５４によって、ＩＤ付き受信データ２００Ｂから暗号化された内容を分離して、内容分離データ２００Ｃを生成する。この内容分離データ２００Ｃは、ＩＤ付きタグ２０１Ｃ〜２０６Ｃにより構成されている。
【００６４】
続いて、図１１に示すように、ＩＤ管理サーバ５０が生成した内容分離データ１００Ｃ，２００Ｃは、個人別（視聴者別）にＩＤ記憶手段５５に格納される。図１１は、ＩＤ管理サーバのＩＤ記憶手段に記憶されたデータを示す図である。図１１に示すように、内容分離データ１００Ｃ（ＩＤ付きタグ１０１Ｃ〜１０５Ｃ）は同じ行（第１行目）に関連付けられて記憶されている。同様に、内容分離データ２００Ｃ（ＩＤ付きタグ２０１Ｃ〜２０６Ｃ）は同じ行（第２行目）に関連付けられて記憶されている。図示するように、ＩＤ記憶手段５５には、視聴データの内容は記憶されておらず、視聴データのタグおよびＩＤのみを記憶している。これによれば、悪意の利用者がＩＤ管理サーバ５０を利用して視聴データを閲覧しようとしても、その内容を知ることができない。したがって、視聴データの不正利用を防止することができる。
【００６５】
次に、ＩＤ管理サーバ５０から視聴データ管理サーバ７０への視聴データの伝達を図１２および図１３を参照して説明する。図１２は、図９の（ａ）の視聴データの加工を説明するための図であって、（ａ）は暗号化されたＩＤ付き視聴データ、（ｂ）は復号化されたＩＤ付き視聴データを示している。前記したステップＳ１２において、ＩＤ管理サーバ５０は、暗号化手段５３によって、視聴データの内容を含むＩＤ付き受信データ１００Ｂ（ＩＤ付き視聴データ１０１Ｂ〜１０５Ｂ：図９参照）のうちＩＤおよびタグを公開鍵ＫPで暗号化し、図１２の（ａ）に示したＩＤ付き送信データ１００Ｄを生成する。このＩＤ付き送信データ１００Ｄは、暗号化されたＩＤ付き視聴データ１０１Ｄ〜１０５Ｄによって構成されている。この暗号化されたＩＤ付き視聴データ１０１Ｄ〜１０５Ｄは、それぞれ、ＩＤ、タグおよび内容のすべてが公開鍵ＫPで暗号化されたものである。そして、ＩＤ管理サーバ５０から視聴データ管理サーバ７０へと社内ＬＡＮ３を介して、このＩＤ付き送信データ１００Ｄを送信する際には、このように暗号化されていることに加えて、暗号化されたＩＤ付き視聴データ１０１Ｄ〜１０５Ｄを別々に送信するので、安全に送信することができる（ステップＳ１３）。
【００６６】
そして、ステップＳ１４において、視聴データ管理サーバ７０は、図１２の（ａ）に示したＩＤ付き送信データ１００Ｄを受信する（暗号化されたＩＤ付き視聴データ１０１Ｄ〜１０５Ｄを別々に受信する）。そして、視聴データ管理サーバ７０は、受信したデータを復号化手段７５によって、秘密鍵ＫSで復号化して、図１２の（ｂ）に示すように、ＩＤ付き視聴データ１０１Ｅ〜１０５Ｅをそれぞれ生成する（ステップＳ１５）。なお、ユーザ端末１０ａが保有していた元データ１００（図７参照）は、このＩＤ付き視聴データ１０１Ｅ〜１０５Ｅをすべて取りまとめたデータ１００Ｅに対応することになる。同様に、ユーザ端末１０ｂが保有していた元データ２００（図８参照）も、図示はしないが、対応する６種類のＩＤ付き視聴データの形で、視聴データ管理サーバ７０に伝達されることとなる。
【００６７】
そして、ステップＳ１６において、視聴データ管理サーバ７０は、それぞれのユーザ端末１０（１０ａ，１０ｂ）から収集された複数のＩＤ付き視聴データを、図１３に示すように、視聴データ記憶手段７６に記憶する。図１３は、視聴データ管理サーバの視聴データ記憶手段に記憶されたデータを示す図である。図示するように、ＩＤ付き視聴データは、ＩＤ別に格納されており、個人毎（視聴者毎）の関連付けが成されておらず、ユーザ端末１０ａから収集した視聴データと、ユーザ端末１０ｂから収集した視聴データとが混在している。なお、図１３に示す例では、ＩＤの番号順に格納されている様子を示しているが、必ずしもＩＤの番号順に格納する必要はなく、要は、ある個人の一連のデータが順番に格納されていなければよい。
これによれば、悪意の利用者が視聴データ管理サーバ７０を利用して視聴データを閲覧したとしても、どの視聴データがどの視聴者のものなのかを特定することができない。したがって、視聴データの不正利用を防止することができる。
【００６８】
（視聴データ閲覧動作）
次に、図１４（適宜図１乃至図３および図５参照）を参照して、視聴データ管理システム１において、蓄積されている視聴データを閲覧する動作を説明する。図１４は、視聴データ管理システムの視聴データ閲覧動作を示すフローチャートである。
【００６９】
まず、端末装置９０は、操作者の操作に従って、ユーザＩＤの内容と端末種別情報とから成る閲覧要求データを入力し（ステップＳ２１）、入力された閲覧要求データを、社内ＬＡＮ３を介して視聴データ管理サーバ７０へ送信する（ステップＳ２２：第１の送信ステップ）。
【００７０】
視聴データ管理サーバ７０は、ネットワーク送受信手段７４の閲覧要求データ入力部７４ｃによって、閲覧要求データを受信し（ステップＳ２３）、視聴データ管理手段７７によって、受信した閲覧要求データに含まれるユーザＩＤの内容をキーワードに、視聴データ記憶手段７６を検索し、対応するＩＤ（タグ識別情報）を抽出する（ステップＳ２４：タグ識別情報抽出ステップ）。そして、視聴データ管理サーバ７０は、ネットワーク送受信手段７４のＩＤ出力部７４ｄによって、抽出したＩＤと端末種別情報とを、社内ＬＡＮ３を介してＩＤ管理サーバ５０へ送信する（ステップＳ２５：第２の送信ステップ）。
【００７１】
ＩＤ管理サーバ５０は、ネットワーク送受信手段５８のＩＤ入力部５８ｃによって、ＩＤと端末種別情報とを受信し（ステップＳ２６）、タグ管理手段５９によって、ＩＤ入力部５８ｃに入力したＩＤに基づいて、このＩＤに関連付けられたすべてのＩＤ付きタグを、ＩＤ記憶手段５５から抽出し（ステップＳ２７：関連タグ抽出ステップ）、抽出したすべてのＩＤ付きタグと端末種別情報とをアクセス制限手段５７に出力する。そして、ＩＤ管理サーバ５０は、アクセス制限手段５７によって、すべてのＩＤ付きタグの中から、端末種別情報記憶手段５６に記憶されたタグの種類に基づいて、送信すべきＩＤを選択し（ステップＳ２８：タグ識別情報選択ステップ）、ネットワーク送受信手段５８のＩＤ出力部５８ｄによって、選択したＩＤを社内ＬＡＮ３を介して視聴データ管理サーバ７０へ送信する（ステップＳ２９：第３の送信ステップ）。
【００７２】
視聴データ管理サーバ７０は、ネットワーク送受信手段７４のＩＤ入力部７４ｅによって、選択されたＩＤを受信し（ステップＳ３０）、視聴データ管理手段７７によって、この選択されたＩＤに基づいて、視聴データ記憶手段７６から視聴データを抽出する（ステップＳ３１：秘匿情報抽出ステップ）。そして、視聴データ管理サーバ７０は、ネットワーク送受信手段７４の視聴データ出力部７４ｆによって、抽出した視聴データを、社内ＬＡＮ３を介して端末装置９０へ送信する（ステップＳ３２：第４の送信ステップ）。これによって、端末装置９０は、視聴データを受信し（ステップＳ３３）、受信した視聴データを図示しない表示部に表示する（ステップＳ３４：表示ステップ）。
【００７３】
（視聴データ閲覧動作の具体例）
次に、前記した視聴データ閲覧動作について、視聴データの具体例を挙げて説明する。ここでは、先に説明した視聴データ蓄積動作の具体例で用いた視聴データを利用することとする。すなわち、この視聴データ管理システム１において、ＩＤ管理サーバ５０のＩＤ記憶手段５５には、図１１に示したデータが格納され、視聴データ管理サーバ７０の視聴データ記憶手段７６には、図１３に示したデータが格納されているものとする。また、放送局の経理部門でユーザＩＤ「５２４８」の視聴者の情報を閲覧する場合を想定する。
【００７４】
この場合、はじめに、経理部門に設置された端末装置９０ａは、操作者の操作に従って、ユーザＩＤ「５２４８」と端末種別情報「Ａ０」とから成る閲覧要求データを入力し、視聴データ管理サーバ７０へ送信する（ステップＳ２１，Ｓ２２）。
続いて、視聴データ管理サーバ７０は、視聴データ管理手段７７によって、ユーザＩＤ「５２４８」に基づいて、視聴データ記憶手段７６からＩＤ「５２」を抽出する（図１３参照）。そして、視聴データ管理サーバ７０は、ＩＤ「５２」と端末種別情報「Ａ０」とをＩＤ管理サーバ５０へ送信する（ステップＳ２３〜Ｓ２５）、
【００７５】
ＩＤ管理サーバ５０は、タグ管理手段５９によって、受信したＩＤ「５２」に基づいて、このＩＤ「５２」に関連付けられたＩＤ付きタグ「２０：クレジット番号」、「２５：生年月日」、「５２：ユーザＩＤ」、「７９：名前」、「９５：視聴履歴」および「１２０：住所」をＩＤ記憶手段５５から抽出する（図１１参照）。そして、ＩＤ管理サーバ５０は、アクセス制限手段５７によって、端末種別情報記憶手段５６を参照して、受信した端末種別情報「Ａ０」に基づいて、提供可能ログを「ユーザＩＤ」、「名前」および「クレジット番号」と判別し（図４参照）、この提供可能ログに当たるＩＤとして「２０」、「５２」、「７９」を選択する。そして、ＩＤ管理サーバ５０は、ＩＤ「２０」、「５２」および「７９」を視聴データ管理サーバ７０へ送信する（ステップＳ２６〜Ｓ２９）。
【００７６】
視聴データ管理サーバ７０は、ＩＤ「２０」、「５２」および「７９」を受信し、視聴データ管理手段７７によって、この受信した３つのＩＤに基づいて、視聴データ記憶手段７６から３種類の視聴データ「クレジット番号：７５６８２１」、「ユーザＩＤ：５２４８」および「名前：森花子」を抽出する（図１３参照）。そして、視聴データ管理サーバ７０は、抽出した３種類の視聴データを、端末装置９０ａへ送信する。
これによって、端末装置９０ａは、受信した３種類の視聴データ「クレジット番号：７５６８２１」、「ユーザＩＤ：５２４８」および「名前：森花子」を図示しない表示部に表示する（ステップＳ３０〜Ｓ３４）。
【００７７】
以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく、その趣旨を変えない範囲でさまざまに実施することができる。例えば、本実施形態では、視聴データ管理システム１がユーザ端末１０に対して送信要求（送信要求データの送信）を行うことによって、視聴データの蓄積を開始したが、ユーザ端末が、予め定められたタイミングまたは送信コマンドの入力に従って、視聴データを視聴データ管理システム１に送信するようにしてもよい。
【００７８】
また、本実施形態では、秘匿対象を個人（視聴者）として、視聴データ（秘匿情報）の管理システムを放送局に設けるものとして説明したが、個人情報の管理システムを一般企業に設けて、従業員の営業成績などの個人情報を管理するように構成してもよい。この場合には、従業員から暗号化された個人情報を収集し、収集した個人情報とその分類名（タグ）とを異なるデータベースに蓄積し、企業の人事部門、経理部門、営業部門などの部門に応じて必要とする情報を閲覧可能とすることができる。また、企業において、秘匿対象を物品（商品や試作品）として、物品の寸法、価格、材料、実験値などの秘匿情報を暗号化して収集し、収集した秘匿情報のうち、営業部門や研究開発部門などの部門に応じて必要とする情報を閲覧できるようにしてもよい。
【図面の簡単な説明】
【００７９】
【図１】本発明の実施形態に係る視聴データ管理システムの構成を示すブロック図である。
【図２】ユーザ端末の構成を示すブロック図である。
【図３】ＩＤ管理サーバの構成を示すブロック図である。
【図４】ＩＤ管理サーバの端末種別情報記憶手段に記憶されたデータの一例を示す図である。
【図５】視聴データ管理サーバの構成を示すブロック図である。
【図６】本発明の実施形態に係る視聴データ管理システムの視聴データ蓄積動作を示すフローチャートである。
【図７】ユーザ端末の送信用の視聴データ（その１）を示す図であって、（ａ）は元データ、（ｂ）は暗号化データを示している。
【図８】ユーザ端末の送信用の視聴データ（その２）を示す図であって、（ａ）は元データ、（ｂ）は暗号化データを示している。
【図９】図７の視聴データの加工を説明するための図であって、（ａ）はＩＤを付加された視聴データ、（ｂ）はＩＤ付加後に視聴データの内容が分離されたデータを示している。
【図１０】図８の視聴データの加工を説明するための図であって、（ａ）はＩＤを付加された視聴データ、（ｂ）はＩＤ付加後に視聴データの内容が分離されたデータを示している。
【図１１】ＩＤ管理サーバのＩＤ記憶手段の記憶されたデータを示す図である。
【図１２】図９の（ａ）の視聴データの加工を説明するための図であって、（ａ）は暗号化されたＩＤ付き視聴データ、（ｂ）は復号化されたＩＤ付き視聴データを示している。
【図１３】視聴データ管理サーバの視聴データ記憶手段に記憶されたデータを示す図である。
【図１４】本発明の実施形態に係る視聴データ管理システムの視聴データ閲覧動作を示すフローチャートである。
【符号の説明】
【００８０】
１ 視聴データ管理システム
２ インターネット
３ 社内ＬＡＮ
１０（１０ａ，１０ｂ） ユーザ端末
１１ コンテンツ受信手段
１２ 出力手段
１３ 視聴情報抽出手段
１４ 記憶手段
１５ 入力手段
１６ 送受信手段
１７ データ管理手段
１８ 暗号化手段
３０ コンテンツサーバ
５０ ＩＤ管理サーバ（タグ蓄積装置）
５１ 視聴データ受信手段（第１の受信手段）
５２ ＩＤ付加手段（タグ識別情報付加手段）
５３ 暗号化手段
５４ 分離手段
５５ ＩＤ記憶手段（識別情報記憶手段）
５６ 端末種別情報記憶手段（アクセス制限情報記憶手段）
５７ アクセス制限手段
５８ ネットワーク送受信手段
５８ａ 公開鍵入力部
５８ｂ 視聴データ出力部（送信手段）
５８ｃ ＩＤ入力部
５８ｄ ＩＤ出力部
５９ タグ管理手段
７０ 視聴データ管理サーバ（秘匿情報蓄積装置）
７１ 公開鍵ペア生成手段
７２ 鍵記憶手段
７３ 公開鍵送信手段
７４ ネットワーク送受信手段
７４ａ 公開鍵出力部
７４ｂ ＩＤ付き視聴データ入力部（第２の受信手段）
７４ｃ 閲覧要求データ入力部
７４ｄ ＩＤ出力部
７４ｅ ＩＤ入力部
７４ｆ 視聴データ出力部
７５ 復号化手段
７６ 視聴データ記憶手段（秘匿情報記憶手段）
７７ 視聴データ管理手段（秘匿情報管理手段）
９０（９０ａ，９０ｂ） 端末装置
【特許請求の範囲】
【請求項１】
個々の秘匿対象に関する情報の内容とその分類名を示すタグとから構成された秘匿情報を、複数の秘匿対象に亘って蓄積管理するために、前記秘匿情報のタグを蓄積するタグ蓄積装置と、このタグ蓄積装置に第１のネットワークを介して接続され、前記秘匿情報を蓄積する秘匿情報蓄積装置とを備える秘匿情報管理システムであって、
前記タグ蓄積装置は、
第２のネットワークを介して、所定の公開鍵で内容が暗号化された秘匿情報を個々の秘匿対象別に受信する第１の受信手段と、
この第１の受信手段で受信された秘匿情報のタグに、このタグを識別するタグ識別情報を付加するタグ識別情報付加手段と、
このタグ識別情報が付加された秘匿情報のうち、前記タグ識別情報と前記タグとを前記秘匿対象別に関連付けて記憶する識別情報記憶手段と、
前記タグ識別情報が付加された秘匿情報のうち、前記タグ識別情報と前記タグとを前記公開鍵で暗号化する暗号化手段と、
この暗号化手段で暗号化されたタグ識別情報付き秘匿情報をタグ別に前記第１のネットワークを介して前記秘匿情報蓄積装置へ送信する送信手段とを備え、
前記秘匿情報蓄積装置は、
前記タグ蓄積装置から前記第１のネットワークを介して、前記暗号化されたタグ識別情報付き秘匿情報を受信する第２の受信手段と、
この第２の受信手段で受信された暗号化されたタグ識別情報付き秘匿情報を、前記公開鍵に対応した秘密鍵で復号化する復号化手段と、
この復号化手段で復号化されたタグ識別情報付き秘匿情報を、前記タグ識別情報別に記憶する秘匿情報記憶手段とを備える、
ことを特徴とする秘匿情報管理システム。
【請求項２】
前記タグ蓄積装置は、入力された前記タグ識別情報に基づいて、前記識別情報記憶手段から、このタグ識別情報に関連付けられたタグ識別情報およびタグを抽出し、抽出したタグ識別情報およびタグを出力するタグ管理手段をさらに備え、
前記秘匿情報蓄積装置は、入力された前記秘匿情報の内容に基づいて、前記秘匿情報記憶手段から、この秘匿情報に付加されたタグ識別情報を抽出し、抽出したタグ識別情報を前記タグ管理手段に出力すると共に、前記タグ管理手段から入力された前記タグ識別情報または前記タグに基づいて、前記秘匿情報記憶手段から、このタグ識別情報を付加された秘匿情報を抽出し、抽出した秘匿情報を出力する秘匿情報管理手段をさらに備える、
ことを特徴とする請求項１に記載の秘匿情報管理システム。
【請求項３】
前記タグ蓄積装置は、
前記秘匿情報へのアクセス権を示すアクセス制限情報に応じて、前記秘匿情報のタグを記憶するアクセス制限情報記憶手段と、
入力された前記アクセス制限情報に基づいて、前記タグ管理手段から出力されたタグ識別情報およびタグの中から、選択すべきタグ識別情報を抽出し、抽出したタグ識別情報を前記秘匿情報管理手段に出力するアクセス制限手段とをさらに備える、
ことを特徴とする請求項２に記載の秘匿情報管理システム。
【請求項４】
個々の秘匿対象に関する情報の内容とその分類名を示すタグとから構成された秘匿情報のタグを蓄積するタグ蓄積装置と、このタグ蓄積装置に第１のネットワークを介して接続され、前記秘匿情報を蓄積する秘匿情報蓄積装置とを備える秘匿情報管理システムにおいて、前記秘匿情報を複数の秘匿対象に亘って蓄積管理する秘匿情報管理方法であって、
前記タグ蓄積装置が、第２のネットワークを介して、所定の公開鍵で内容が暗号化された秘匿情報を個々の秘匿対象別に受信する第１の受信ステップと、
この第１の受信ステップで受信された秘匿情報のタグに、このタグを識別するタグ識別情報を付加するタグ識別情報付加ステップと、
このタグ識別情報が付加された秘匿情報のうち、前記タグ識別情報と前記タグとを前記秘匿対象別に関連付けて識別情報記憶手段に格納する識別情報格納ステップと、
前記タグ識別情報が付加された秘匿情報のうち、前記タグ識別情報と前記タグとを前記公開鍵で暗号化する暗号化ステップと、
この暗号化ステップで暗号化されたタグ識別情報付き秘匿情報をタグ別に、前記第１のネットワークを介して前記秘匿情報蓄積装置へ送信する送信ステップと、
前記秘匿情報蓄積装置において、前記タグ蓄積装置から前記第１のネットワークを介して、前記暗号化されたタグ識別情報付き秘匿情報を受信する第２の受信ステップと、
この第２の受信ステップで受信された暗号化されたタグ識別情報付き秘匿情報を、前記公開鍵に対応した秘密鍵で復号化する復号化ステップと、
この復号化ステップで復号化されたタグ識別情報付き秘匿情報を、前記タグ識別情報別に秘匿情報記憶手段に格納する秘匿情報格納ステップと、
を含んでいることを特徴とする秘匿情報管理方法。
【請求項５】
前記秘匿情報蓄積装置に前記第１のネットワークを介して接続された端末装置をさらに備える秘匿情報管理システムにおいて、前記秘匿情報を複数の秘匿対象に亘って蓄積管理する秘匿情報管理方法であって、
前記端末装置において、前記秘匿情報の内容と、前記秘匿情報へのアクセス権を示すアクセス制限情報とを前記秘匿情報蓄積装置に送信する第１の送信ステップと、
前記秘匿情報蓄積装置において、前記秘匿情報の内容に基づいて、前記秘匿情報記憶手段から、この秘匿情報に付加されたタグ識別情報を抽出するタグ識別情報抽出ステップと、
この抽出したタグ識別情報と前記アクセス制限情報とを前記タグ蓄積装置に送信する第２の送信ステップと、
前記タグ蓄積装置において、受信したタグ識別情報に基づいて、前記識別情報記憶手段から、このタグ識別情報に関連付けられたタグ識別情報およびタグを抽出する関連タグ抽出ステップと、
前記アクセス制限情報に応じて、前記秘匿情報のタグを記憶したアクセス制限情報記憶手段を参照して、受信したアクセス制限情報に基づいて、抽出されたタグ識別情報およびタグの中からタグ識別情報を選択するタグ識別情報選択ステップと、
選択されたタグ識別情報を前記秘匿情報蓄積装置に送信する第３の送信ステップと、
前記秘匿情報蓄積装置において、前記選択されたタグ識別情報に基づいて、前記秘匿情報記憶手段から、このタグ識別情報を付加された秘匿情報を抽出する秘匿情報抽出ステップと、
抽出した秘匿情報を前記端末装置に送信する第４の送信ステップと、
前記端末装置において、受信した秘匿情報を表示する表示ステップと、
を含んでいることを特徴とする請求項４に記載の秘匿情報管理方法。
【請求項１】
個々の秘匿対象に関する情報の内容とその分類名を示すタグとから構成された秘匿情報を、複数の秘匿対象に亘って蓄積管理するために、前記秘匿情報のタグを蓄積するタグ蓄積装置と、このタグ蓄積装置に第１のネットワークを介して接続され、前記秘匿情報を蓄積する秘匿情報蓄積装置とを備える秘匿情報管理システムであって、
前記タグ蓄積装置は、
第２のネットワークを介して、所定の公開鍵で内容が暗号化された秘匿情報を個々の秘匿対象別に受信する第１の受信手段と、
この第１の受信手段で受信された秘匿情報のタグに、このタグを識別するタグ識別情報を付加するタグ識別情報付加手段と、
このタグ識別情報が付加された秘匿情報のうち、前記タグ識別情報と前記タグとを前記秘匿対象別に関連付けて記憶する識別情報記憶手段と、
前記タグ識別情報が付加された秘匿情報のうち、前記タグ識別情報と前記タグとを前記公開鍵で暗号化する暗号化手段と、
この暗号化手段で暗号化されたタグ識別情報付き秘匿情報をタグ別に前記第１のネットワークを介して前記秘匿情報蓄積装置へ送信する送信手段とを備え、
前記秘匿情報蓄積装置は、
前記タグ蓄積装置から前記第１のネットワークを介して、前記暗号化されたタグ識別情報付き秘匿情報を受信する第２の受信手段と、
この第２の受信手段で受信された暗号化されたタグ識別情報付き秘匿情報を、前記公開鍵に対応した秘密鍵で復号化する復号化手段と、
この復号化手段で復号化されたタグ識別情報付き秘匿情報を、前記タグ識別情報別に記憶する秘匿情報記憶手段とを備える、
ことを特徴とする秘匿情報管理システム。
【請求項２】
前記タグ蓄積装置は、入力された前記タグ識別情報に基づいて、前記識別情報記憶手段から、このタグ識別情報に関連付けられたタグ識別情報およびタグを抽出し、抽出したタグ識別情報およびタグを出力するタグ管理手段をさらに備え、
前記秘匿情報蓄積装置は、入力された前記秘匿情報の内容に基づいて、前記秘匿情報記憶手段から、この秘匿情報に付加されたタグ識別情報を抽出し、抽出したタグ識別情報を前記タグ管理手段に出力すると共に、前記タグ管理手段から入力された前記タグ識別情報または前記タグに基づいて、前記秘匿情報記憶手段から、このタグ識別情報を付加された秘匿情報を抽出し、抽出した秘匿情報を出力する秘匿情報管理手段をさらに備える、
ことを特徴とする請求項１に記載の秘匿情報管理システム。
【請求項３】
前記タグ蓄積装置は、
前記秘匿情報へのアクセス権を示すアクセス制限情報に応じて、前記秘匿情報のタグを記憶するアクセス制限情報記憶手段と、
入力された前記アクセス制限情報に基づいて、前記タグ管理手段から出力されたタグ識別情報およびタグの中から、選択すべきタグ識別情報を抽出し、抽出したタグ識別情報を前記秘匿情報管理手段に出力するアクセス制限手段とをさらに備える、
ことを特徴とする請求項２に記載の秘匿情報管理システム。
【請求項４】
個々の秘匿対象に関する情報の内容とその分類名を示すタグとから構成された秘匿情報のタグを蓄積するタグ蓄積装置と、このタグ蓄積装置に第１のネットワークを介して接続され、前記秘匿情報を蓄積する秘匿情報蓄積装置とを備える秘匿情報管理システムにおいて、前記秘匿情報を複数の秘匿対象に亘って蓄積管理する秘匿情報管理方法であって、
前記タグ蓄積装置が、第２のネットワークを介して、所定の公開鍵で内容が暗号化された秘匿情報を個々の秘匿対象別に受信する第１の受信ステップと、
この第１の受信ステップで受信された秘匿情報のタグに、このタグを識別するタグ識別情報を付加するタグ識別情報付加ステップと、
このタグ識別情報が付加された秘匿情報のうち、前記タグ識別情報と前記タグとを前記秘匿対象別に関連付けて識別情報記憶手段に格納する識別情報格納ステップと、
前記タグ識別情報が付加された秘匿情報のうち、前記タグ識別情報と前記タグとを前記公開鍵で暗号化する暗号化ステップと、
この暗号化ステップで暗号化されたタグ識別情報付き秘匿情報をタグ別に、前記第１のネットワークを介して前記秘匿情報蓄積装置へ送信する送信ステップと、
前記秘匿情報蓄積装置において、前記タグ蓄積装置から前記第１のネットワークを介して、前記暗号化されたタグ識別情報付き秘匿情報を受信する第２の受信ステップと、
この第２の受信ステップで受信された暗号化されたタグ識別情報付き秘匿情報を、前記公開鍵に対応した秘密鍵で復号化する復号化ステップと、
この復号化ステップで復号化されたタグ識別情報付き秘匿情報を、前記タグ識別情報別に秘匿情報記憶手段に格納する秘匿情報格納ステップと、
を含んでいることを特徴とする秘匿情報管理方法。
【請求項５】
前記秘匿情報蓄積装置に前記第１のネットワークを介して接続された端末装置をさらに備える秘匿情報管理システムにおいて、前記秘匿情報を複数の秘匿対象に亘って蓄積管理する秘匿情報管理方法であって、
前記端末装置において、前記秘匿情報の内容と、前記秘匿情報へのアクセス権を示すアクセス制限情報とを前記秘匿情報蓄積装置に送信する第１の送信ステップと、
前記秘匿情報蓄積装置において、前記秘匿情報の内容に基づいて、前記秘匿情報記憶手段から、この秘匿情報に付加されたタグ識別情報を抽出するタグ識別情報抽出ステップと、
この抽出したタグ識別情報と前記アクセス制限情報とを前記タグ蓄積装置に送信する第２の送信ステップと、
前記タグ蓄積装置において、受信したタグ識別情報に基づいて、前記識別情報記憶手段から、このタグ識別情報に関連付けられたタグ識別情報およびタグを抽出する関連タグ抽出ステップと、
前記アクセス制限情報に応じて、前記秘匿情報のタグを記憶したアクセス制限情報記憶手段を参照して、受信したアクセス制限情報に基づいて、抽出されたタグ識別情報およびタグの中からタグ識別情報を選択するタグ識別情報選択ステップと、
選択されたタグ識別情報を前記秘匿情報蓄積装置に送信する第３の送信ステップと、
前記秘匿情報蓄積装置において、前記選択されたタグ識別情報に基づいて、前記秘匿情報記憶手段から、このタグ識別情報を付加された秘匿情報を抽出する秘匿情報抽出ステップと、
抽出した秘匿情報を前記端末装置に送信する第４の送信ステップと、
前記端末装置において、受信した秘匿情報を表示する表示ステップと、
を含んでいることを特徴とする請求項４に記載の秘匿情報管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２００６−１９０２０８（Ｐ２００６−１９０２０８Ａ）
【公開日】平成１８年７月２０日（２００６．７．２０）
【国際特許分類】
【出願番号】特願２００５−３０９３（Ｐ２００５−３０９３）
【出願日】平成１７年１月７日（２００５．１．７）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１６年度、総務省、情報通信研究機構委託研究「通信ネットワーク利用放送技術に関する研究開発（平成１５年度拡充課題）」、産業活力再生特別措置法第３０条の適用を受ける特許出願
【出願人】（０００００４３５２）日本放送協会 (2,206)
【出願人】（５９１０５３９２６）財団法人エヌエイチケイエンジニアリングサービス (169)
【Ｆターム（参考）】
【公開日】平成１８年７月２０日（２００６．７．２０）
【国際特許分類】
【出願日】平成１７年１月７日（２００５．１．７）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１６年度、総務省、情報通信研究機構委託研究「通信ネットワーク利用放送技術に関する研究開発（平成１５年度拡充課題）」、産業活力再生特別措置法第３０条の適用を受ける特許出願
【出願人】（０００００４３５２）日本放送協会 (2,206)
【出願人】（５９１０５３９２６）財団法人エヌエイチケイエンジニアリングサービス (169)
【Ｆターム（参考）】
[ Back to top ]