JP7422154B2

JP7422154B2 - 制御方法、サーバ、及び、プログラム

Info

Publication number: JP7422154B2
Application number: JP2021535365A
Authority: JP
Inventors: 勇二海上; 淳児道山; 純一郎添田; 直央西田; 雄揮廣瀬; 哲司渕上; 基司大森
Original assignee: Panasonic Intellectual Property Corp of America
Current assignee: Panasonic Intellectual Property Corp of America
Priority date: 2019-08-01
Filing date: 2020-07-28
Publication date: 2024-01-25
Anticipated expiration: 2040-07-28
Also published as: CN114041159A; JPWO2021020406A1; US11973882B2; US20220150074A1; WO2021020406A1

Description

本開示は、制御方法、サーバ、及び、プログラムに関する。

例えば特許文献１には、各ユーザで使用する必要な最大電流容量を把握し、把握した最大電流容量に応じて契約電流を決定する方法が開示されている。

特開２００２－１５９１３８号公報

しかしながら、特許文献１に開示されている方法では、電力会社などの事業者と各ユーザとが個別契約するため、事業者と一人のユーザとが結託し、他のユーザと比べると公平でない契約内容で契約される場合を抑制することができないという問題がある。

例えば、マンションなどの集合住宅において、各戸のユーザと電力会社とが個別契約するとする。この場合、電力会社と一人のユーザとが結託し、当該ユーザの住宅のみ電力量の配分を多くしてもらったり１ｋｗ当たりの料金を安くしてもらったりと他のユーザと比べて優遇された契約内容で契約する場合がある。ここで、集合住宅の各戸の契約内容を集合住宅全体で閲覧可能に管理されていたとしても、各戸のユーザが他のユーザの契約内容を積極的に見に行き、公平な契約であるかを確認するというようなことは担保できない。つまり、事業者と各ユーザとが個別契約する場合、電力会社と一人のユーザとが結託し、優遇された契約内容で契約することを抑制することができない。

また、例えば、自動車を含む車両のシェアリングサービスにおいて、利用者である各ユーザとサービス提供事業者とで個別契約するとする。この場合にも、サービス提供事業者と一人のユーザとが結託し、他のユーザと同一料金で当該ユーザのみシェア時間を多くしてもらうなど他のユーザと比べて優遇された契約内容で契約する場合がある。このような場合、利用者である各ユーザの契約内容を利用者全体で閲覧可能に管理されていても、上記と同様に、各ユーザが他のユーザの契約内容を積極的に見に行き、公平な契約であるかを確認するというようなことは担保できない。つまり、サービス提供事業者と各ユーザとが個別契約する場合、サービス提供事業者と一人のユーザとが結託し、優遇された契約内容で契約することを抑制することができない。

本開示は、上述の事情を鑑みてなされたもので、新たに締結された契約をより確実に監査させることができる制御方法、サーバ、及び、プログラムを提供することを目的とする。

本開示の一態様に係る制御方法は、それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの第１サーバによって実行される制御方法であって、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約に関する第１情報を受信し、前記第１契約を有効にさせるために前記２者以外の者の同意が必要であると判断した場合、過去の契約に関する情報を格納している台帳を参照して、第２ユーザを前記２者以外の者として特定し、特定した前記第２ユーザにより操作された第２端末に前記第１情報を送信し、前記第２ユーザによる前記第１契約に対する同意または非同意を示す確認結果と、前記第２ユーザの電子署名とを前記第１情報に加えた第２情報を取得し、前記第２情報を確認し、前記確認結果が前記第１契約に対する同意を示す場合、前記第１契約を有効な契約として設定し、前記第１契約を有効な契約として設定した前記第２情報を前記台帳に格納する。

なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータで読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

本開示によれば、新たに締結された契約をより確実に監査させることができる。

図１は、実施の形態１に係る管理システムの構成の一例を示す図である。図２は、実施の形態１に係る事業者端末の構成の一例を示す図である。図３は、実施の形態１に係る端末の構成の一例を示す図である。図４は、実施の形態１に係る認証サーバの構成の一例を示す図である。図５は、実施の形態１に係る管理システムの監査処理を示すシーケンス図である。図６は、実施の形態１に係る管理システムの監査処理を示すシーケンス図である。図７は、図５に示すステップＳ１０６の詳細処理を示すシーケンス図である。図８は、実施の形態１に係る監査と監査する先契約者とを概念的に説明するための図である。図９は、実施の形態２に係る管理システムの構成の一例を示す図である。図１０は、実施の形態２に係る事業者端末の構成の一例を示す図である。図１１は、実施の形態２に係る認証サーバの構成の一例を示す図である。図１２は、実施の形態２に係る管理システムの監査処理を示すシーケンス図である。図１３は、実施の形態２に係る管理システムの監査処理を示すシーケンス図である。図１４は、図１２に示すステップＳ２０６の詳細処理を示すシーケンス図である。図１５は、実施の形態２の変形例に係る管理システムの監査処理を示すシーケンス図である。図１６は、実施の形態２の変形例に係る管理システムの監査処理を示すシーケンス図である。図１７は、実施の形態３に係る管理システムの構成の一例を示す図である。図１８は、実施の形態３に係る事業者端末の構成の一例を示す図である。図１９は、実施の形態３に係る端末の構成の一例を示す図である。図２０は、実施の形態３に係る管理システムの監査処理を示すシーケンス図である。図２１は、実施の形態３に係る管理システムの監査処理を示すシーケンス図である。図２２は、図２０に示すステップＳ３０６の詳細処理を示すシーケンス図である。図２３は、実施の形態３の変形例１に係る管理システムの構成の一例を示す図である。図２４は、実施の形態３の変形例１に係るエージェントサーバの構成の一例を示す図である。図２５は、実施の形態３の変形例１に係る管理システムの監査処理を示すシーケンス図である。図２６は、実施の形態３の変形例１に係る管理システムの監査処理を示すシーケンス図である。図２７は、図２５に示すステップＳ４０６の詳細処理を示すシーケンス図である。図２８は、実施の形態３の変形例２に係る管理システムの構成の一例を示す図である。図２９は、実施の形態３の変形例２に係る認証サーバの構成の一例を示す図である。図３０は、実施の形態３の変形例２に係る管理システムの監査処理を示すシーケンス図である。図３１は、実施の形態３の変形例２に係る管理システムの監査処理を示すシーケンス図である。図３２は、図３０に示すステップＳ５０６の詳細処理を示すシーケンス図である。

これにより、新たに締結された契約をより確実に監査させることができる。

また、例えば、前記第２ユーザを特定する際、前記第１契約よりも時間的に前に合意されかつ有効化された第２契約を合意した２者のうちの他方の者であって前記第１ユーザと異なる者を、前記第２ユーザとして特定してもよい。

これにより、新たに締結された契約を、当該契約よりも時間的に前に契約を締結した先契約者に監査させることができる。

また、例えば、前記第１契約を有効な契約として設定する際、前記第２情報に、前記第１契約が有効な契約であることを示すフラグを含めてもよい。

また、例えば、前記台帳は、ブロックチェーンの基盤上で構築される同一内容の台帳が複数存在する分散台帳であってもよい。

これにより、有効となった契約が分散台帳に格納されるので、新たに締結された契約を、後日に改ざんされることを防止することができる。よって、事業者とユーザとが結託し、優遇された契約内容で契約することをより確実に抑制できる。

また、例えば、前記第２情報を取得する際、前記第２情報を含むトランザクションデータを受信することで、前記第２情報を取得し、前記第１契約を有効な契約として設定した前記第２情報を前記台帳に格納する際、前記トランザクションデータを含むブロックを前記分散台帳に格納してもよい。

また、例えば、前記トランザクションデータを含むブロックを前記台帳に格納する際、前記１以上のサーバのうちの前記第１サーバを除く複数の第２サーバとともに、前記トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、前記コンセンサスアルゴリズムによって前記トランザクションデータの正当性について合意された場合、前記トランザクションデータを含むブロックを前記分散台帳に格納してもよい。

また、例えば、前記３以上の端末はそれぞれ、前記台帳を有し、前記トランザクションデータを含むブロックを前記台帳に格納する際、前記３以上の端末とともに、前記トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、前記コンセンサスアルゴリズムによって前記トランザクションデータの正当性について合意された場合、前記トランザクションデータを含むブロックを前記台帳に格納してもよい。

また、例えば、前記トランザクションデータを含むブロックを前記台帳に格納する際、前記トランザクションデータをブロックチェーンのトランザクションデータとして前記台帳に格納してもよい。

また、例えば、前記第１情報は、前記第１契約の契約内容を示すデータと、前記第１契約を合意した２者のうちの他方の者である第３ユーザを示すＩＤと、前記第１情報の生成者を示すＩＤとを含むとしてもよい。

本開示の一態様に係るサーバは、それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの一つのサーバであって、プロセッサと、メモリと、を備え、前記プロセッサは、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約に関する第１情報を受信し、前記プロセッサは、前記第１契約を有効にさせるために前記２者以外の者の同意が必要であると判断した場合、過去の契約に関する情報を格納している台帳を参照して、第２ユーザを前記２者以外の者として特定し、特定した前記第２ユーザにより操作された第２端末に前記第１情報を送信し、前記プロセッサは、前記第２ユーザによる前記第１契約に対する同意または非同意を示す確認結果と、前記第２ユーザの電子署名とを前記第１情報に加えた第２情報を取得し、前記プロセッサは、前記第２情報を確認し、前記確認結果が前記第１契約に対する同意を示す場合、前記第１契約を有効な契約として設定し、前記第１契約を有効な契約として設定した前記第２情報を前記台帳に格納する。

本開示の一態様に係るプログラムは、それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの第１サーバによって実行される制御方法をコンピュータに実行させるためのプログラムであって、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約に関する第１情報を受信し、前記第１契約を有効にさせるために前記２者以外の者の同意が必要であると判断した場合、過去の契約に関する情報を格納している台帳を参照して、第２ユーザを前記２者以外の者として特定し、特定した前記第２ユーザにより操作された第２端末に前記第１情報を送信し、前記第２ユーザによる前記第１契約に対する同意または非同意を示す確認結果と、前記第２ユーザの電子署名とを前記第１情報に加えた第２情報を取得し、前記第２情報を確認し、前記確認結果が前記第１契約に対する同意を示す場合、前記第１契約を有効な契約として設定し、前記第１契約を有効な契約として設定した前記第２情報を前記台帳に格納することを、コンピュータに実行させるためのプログラムである。

以下、図面を参照しながら、実施の形態について説明する。なお、以下で説明する実施の形態は、いずれも本開示の一具体例を示すものである。つまり、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素は、本開示の課題を達成するために必ずしも必要ではないが、より好ましい形態を構成する構成要素として説明される。

（実施の形態１）
まず、本開示に係るシステム構成について説明する。

本開示に係る管理システムは、それぞれユーザにより使用される３以上の端末と、１以上の認証サーバとを備え、新たに締結された契約の契約書つまり契約内容を監査させ、監査結果を受けて有効化された契約書を台帳に格納する。以下では、図面を参照しながら、本実施の形態に係る管理システムの構成等の説明を行う。

［管理システム］
図１は、実施の形態１に係る管理システムの構成の一例を示す図である。

本実施の形態に係る管理システムは、図１に示すように、例えば、事業者端末１０と、端末２０ａ～２０ｘと、認証サーバ３０とを備える。これらは、ネットワークＮで接続されている。ネットワークＮは、例えば、インターネット、携帯電話のキャリアネットワークなどであるが、どのような通信回線またはネットワークから構成されてもよい。なお、以下では、端末２０ａ～端末２０ｘのそれぞれを端末２０とも称するが、端末２０ａ～端末２０ｘを端末Ａ～端末Ｘと称する場合もある。

以下、事業者端末１０について説明する。

［事業者端末１０］
事業者端末１０は、ユーザにより使用される端末の一例であり、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末である。

本実施の形態では、事業者端末１０は、ユーザの一人である事業者により使用される端末である。事業者端末１０は、例えばパーソナルコンピュータであってもよいし、スマートフォン及びタブレットなどの携帯端末であってもよい。なお、事業者は、例えば、電力事業、シェアリングサービス提供事業などの事業を営む者自身であってもよいし、それらの従業者であってもよい。第１契約は例えば個別契約の一つである。

図２は、実施の形態１に係る事業者端末１０の構成の一例を示す図である。

本実施の形態に係る事業者端末１０は、通信部１０１と、入力部１０２と、表示部１０３と、情報生成部１０４とを備える。

＜通信部１０１＞
通信部１０１は、第２ユーザによる第１契約に対する同意または非同意を示す確認結果と、第２ユーザの電子署名とを第１情報に加えた第２情報を、認証サーバ３０に送信する。

本実施の形態では、通信部１０１は、ネットワークＮを介して情報を認証サーバ３０に送信したり、認証サーバ３０からの通知を受信したりする。また、通信部１０１は、ネットワークＮを介して端末２０に情報を送信したり、端末２０から情報を受信したりする。

このように、通信部１０１は、ネットワークＮを介して端末２０ａ～２０ｘまたは認証サーバ３０との通信を行う。なお、この通信は、ＴＬＳ（Transport Layer Security）によりなされてもよく、ＴＬＳ通信用の暗号鍵は通信部１０１で保持してもよい。

＜入力部１０２＞
入力部１０２は、事業者の操作による情報入力を受け付ける。入力部１０２は、受け付けた情報入力を、表示部１０３に表示したり、情報生成部１０４に送信したり、通信部１０１に送信したりする。

本実施の形態では、入力部１０２は、事業者の操作により入力された、ユーザＸと合意した契約書Ｘ１に関する事項と事業者の電子署名とを受け付ける。契約書Ｘ１は、第１契約の一例であり、第１契約の契約内容を含むデータである。入力部１０２は、受け付けた当該事項と事業者の電子署名とを、情報生成部１０４に送信する。また、入力部１０２は、事業者の操作により、表示部１０３に表示された通知を確認した旨を受け付ける。

＜表示部１０３＞
表示部１０３は、入力部１０２が受け付けた情報入力を表示する。表示部１０３は、認証サーバ３０から通知された情報を表示する。

＜情報生成部１０４＞
情報生成部１０４は、第１契約に関する第１情報を生成する。

本実施の形態では、情報生成部１０４は、入力部１０２が受け付けたユーザＸと合意した契約書Ｘ１に関する事項と事業者の電子署名とに基づいて、契約書Ｘ１に関する情報Ｘ１を生成する。このユーザＸは、第１契約を合意した２者のうちの他方の者であり、例えば第３ユーザの一例である。

ここで、情報Ｘ１は、契約書Ｘ１のデータと、時間情報と、契約締結者ＩＤと、情報Ｘ１の生成者の電子署名とを含む。さらに、情報Ｘ１には、第１契約が締結された順番を把握するためのシリアル番号を含んでいてもよい。契約書Ｘ１のデータは、第１契約の契約内容を示すデータであり、契約書Ｘ１の契約内容が暗号化されたデータであってもよいし、契約書Ｘ１の契約内容を特定するためのハッシュ値であってもよい。時間情報は、情報Ｘ１が生成された時間を示していてもよいし、第１契約が締結された時間を示してもよい。また、時間情報は、情報Ｘが通信部３０１で認証サーバ３０に送信された時間を示していてもよい。なお、ここでの情報Ｘ１の生成者は、第１ユーザすなわち事業者である。契約締結者ＩＤは、第１契約を合意した２者のうちの他方の者である第３ユーザすなわちユーザＸのＩＤである。

続いて、端末２０ａ～端末２０ｘについて説明する。なお、端末２０ａ～端末２０ｘの構成は共通しているので、端末２０と称して説明する。

［端末２０］
端末２０は、ユーザにより使用される端末の一例である。端末２０は、例えばパーソナルコンピュータであってもよいし、スマートフォン及びタブレットなどの携帯端末であってもよい。端末２０のいずれかは、第１契約を合意した２者のうちの他方の者である第３ユーザにより使用される端末である。また、端末２０のいずれかは、第１契約を合意した２者以外の者である第２ユーザにより使用される端末である。

本実施の形態では、複数の端末２０のうち、端末２０ａすなわち端末Ａが、第１契約を合意した２者以外の者である第２ユーザにより使用される端末であるとして説明する。なお、第２ユーザは、例えば第１契約よりも時間的に前に合意されかつ有効化された第２契約を合意した２者のうちの他方の者であって第１ユーザと異なる者であり、先契約者の一例である。

また、複数の端末２０のうち、端末２０ｘすなわち端末Ｘが、第１契約を合意した２者のうちの他方の者である第３ユーザにより使用される端末であるとして説明する。

図３は、実施の形態１に係る端末２０の構成の一例を示す図である。

本実施の形態に係る端末２０は、通信部２０１と、入力部２０２と、表示部２０３と、情報生成部２０４とを備える。

＜通信部２０１＞
通信部２０１は、ネットワークＮを介して情報を認証サーバ３０に送信したり、認証サーバ３０から情報を受信したりまたは通知されたりする。また、通信部２０１は、ネットワークＮを介して、事業者端末１０または他の端末２０に情報を送信したり、事業者端末１０または他の端末２０からの情報を受信したりする。

このように、通信部２０１は、ネットワークＮを介して事業者端末１０、他の端末２０または認証サーバ３０との通信を行う。なお、この通信は、ＴＬＳによりなされてもよく、ＴＬＳ通信用の暗号鍵は通信部２０１で保持してもよい。

例えば、端末２０が端末Ａである場合、通信部２０１は、認証サーバ３０から、第１情報を受信する。通信部２０１は、第２ユーザによる第１契約に対する同意または非同意を示す確認結果と、第２ユーザの電子署名とを第１情報に加えた第２情報を事業者端末１０に送信する。

＜入力部２０２＞
入力部２０２は、ユーザの操作による情報入力を受け付ける。入力部２０２は、受け付けた情報入力を、表示部２０３に表示したり、情報生成部２０４に送信したり、通信部２０１に送信したりする。

例えば、端末２０が端末Ａである場合、入力部２０２は、第２ユーザの操作により入力された、契約書Ｘ１すなわち契約書Ｘ１の契約内容に対する同意または非同意を示す確認結果と、第２ユーザの電子署名とを受け付ける。入力部２０２は、受け付けた確認結果と電子署名とを、情報生成部２０４に送信する。

＜表示部２０３＞
表示部２０３は、入力部２０２が受け付けた情報入力を表示する。表示部２０３は、認証サーバ３０から送信された情報を表示する。

例えば、端末２０が端末Ａである場合、表示部２０３は、認証サーバ３０から送信された第１情報を表示する。

＜情報生成部２０４＞
情報生成部２０４は、第２ユーザによる第１契約に対する同意または非同意を示す確認結果と、第２ユーザの電子署名とを第１情報に加えた、第１契約に関する第２情報を生成する。

本実施の形態では、情報生成部２０４は、入力部２０２が受け付けた、先契約者である第２ユーザが契約書Ｘ１（の契約内容）に同意するか否かの確認結果と、第２ユーザの電子署名とを情報Ｘ１に加えた情報Ｘ２を生成する。情報Ｘ２は、第２情報の一例である。

続いて、認証サーバ３０について説明する。

［認証サーバ３０］
認証サーバ３０は、第１サーバの一例である。

図４は、実施の形態１に係る認証サーバ３０の構成の一例を示す図である。

認証サーバ３０は、図４に示すように、通信部３０１と、判断部３０２と、検証部３０３と、台帳記憶部３０４とを備える。認証サーバ３０は、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。以下、各構成要素について説明する。

＜通信部３０１＞
通信部３０１は、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、第１契約に関する第１情報を受信する。通信部３０１は、判断部３０２が特定した第２ユーザにより使用される第２端末に第１情報を送信する。

また、通信部３０１は、第２ユーザによる第１契約に対する同意または非同意を示す確認結果と、第２ユーザの電子署名とを第１情報に加えた第２情報を取得する。

本実施の形態では、通信部３０１は、ネットワークＮを介して事業者端末１０に、先契約者が契約書Ｘ１に同意しなかった旨または契約書Ｘ１が有効である旨を通知したり、端末２０のうちの端末Ａに情報Ｘ１を送信したりする。また、通信部３０１は、事業者端末１０から情報Ｘ１を受信したり、端末２０のうちの端末Ａから情報Ｘ２を受信したりする。

このように、通信部３０１は、ネットワークＮを介して事業者端末１０または端末２０との通信を行う。なお、この通信は、ＴＬＳによりなされてもよく、ＴＬＳ通信用の暗号鍵は通信部３０１で保持してもよい。

＜判断部３０２＞
判断部３０２は、通信部３０１が第１契約に関する第１情報を受信した場合、第１契約を有効にさせるために第１契約を合意した２者以外の者の同意が必要であるか否かを判断する。そして、判断部３０２は、第１契約を有効にさせるために当該２者以外の者の同意が必要であると判断した場合、過去の有効な契約に関する情報を格納している台帳を参照して、第２ユーザを当該２者以外の者として特定する。

本実施の形態では、判断部３０２は、通信部３０１が契約書Ｘ１に関する情報Ｘ１を受信したとき、契約書Ｘ１を有効にさせるために、先契約者の同意すなわち先契約者の監査が情報Ｘに必要かどうかを判断する。

判断部３０２は、契約書Ｘ１を有効にさせるために先契約者の監査が必要であると判断した場合、契約書Ｘ１の合意よりも時間的に前に契約を結んだ先契約者である第２ユーザを特定する。判断部３０２は、通信部３０１を介して、特定した先契約者である第２ユーザの端末Ａに、情報Ｘ１を送信させる。

なお、判断部３０２は、契約書Ｘ１を有効にさせるために先契約者の監査が必要でないと判断した場合、通信部３０１によって、事業者端末１０に情報Ｘ１の契約書Ｘ１が有効である旨が通知される。このように、判断部３０２は、契約書Ｘ１の合意よりも時間的に前に契約を結んだ先契約者が存在すれば、先契約者の監査が必要と判断する。

ここで、先契約者の監査が情報Ｘ１に必要かどうかを判断する方法について説明する。

例えば、情報Ｘ１にシリアル番号が含まれている場合、情報Ｘ１よりも前に締結された契約が存在するかどうかわかる。このため、判断部３０２は、情報Ｘ１にシリアル番号が含まれている場合、シリアル番号に基づいて、先契約者の監査が情報Ｘ１に必要かどうかを判断してもよい。

また、情報Ｘ１に含まれる時間情報を用いることで、情報Ｘ１よりも前に締結された契約が存在するかどうかわかる。このため、判断部３０２は、情報Ｘ１に含まれる時間情報に基づいて、先契約者の監査が情報Ｘ１に必要かどうかを判断してもよい。

＜検証部３０３＞
検証部３０３は、通信部３０１が第１契約に関する第２情報を受信したとき、第２情報を検証する。より具体的には、検証部３０３は、通信部３０１が受信した第２情報を確認し、第２情報に含まれる確認結果が第１契約に対する同意を示す場合、第１契約を有効な契約として設定する。ここで、検証部３０３は、第２情報に、第１契約が有効な契約であることを示すフラグを含めることで、第１契約を有効な契約として設定すればよい。

検証部３０３は、第１契約を有効な契約として設定した第２情報を台帳に格納する。

本実施の形態では、検証部３０３は、通信部３０１が受信した情報Ｘ２を確認し、情報Ｘ２に含まれる確認結果が、契約書Ｘ１の契約内容に対する同意を示す場合、情報Ｘ２に有効な契約である旨を示すフラグを含めることで、契約書Ｘ１を有効な契約に設定する。

検証部３０３は、第１契約を有効な契約として設定した情報Ｘ２を台帳記憶部３０４の台帳に格納する。そして、検証部３０３は、通信部３０１を介して、契約書Ｘ１が有効である旨を事業者端末１０に通知する。

なお、検証部３０３は、第１契約を有効な契約として設定する前に情報Ｘ２を台帳に格納し、情報Ｘ２に含まれる確認結果が第１契約に対する同意を示す場合、有効な契約である旨を示すフラグを含めることで、契約書Ｘ１を有効な契約に設定してもよい。この場合、情報Ｘ２に含まれる確認結果が第１契約に対する非同意を示す場合、台帳記憶部３０４の台帳から、情報Ｘ２を削除すればよい。そして、検証部３０３は、通信部３０１を介して、先契約者が契約書Ｘ１に同意していないこと、すなわち、契約書Ｘ１が有効でない旨を事業者端末１０に通知する。

また、判断部３０２により、契約書Ｘ１を有効にさせるために先契約者の監査が必要でないと判断された場合、検証部３０３は、情報Ｘ１に有効な契約である旨を示すフラグを含めることで、契約書Ｘ１を有効な契約に設定する。なお、検証部３０３は、第１契約を有効な契約として設定する前に情報Ｘ１を台帳に格納し、有効な契約である旨を示すフラグを含めることで、契約書Ｘ１を有効な契約に設定してもよい。

＜台帳記憶部３０４＞
台帳記憶部３０４は、過去の有効な契約に関する情報を格納している台帳を記憶している。本実施の形態では、台帳記憶部３０４の台帳には、検証部３０３により、有効な契約である旨を示すフラグを含む情報Ｘ２または情報Ｘ１が格納されることにより、有効になった第１契約の契約書Ｘ１が格納される。

［管理システムの動作等］
次に、以上のように構成された管理システムの動作について説明する。

図５及び図６は、実施の形態１に係る管理システムの監査処理を示すシーケンス図である。

まず、事業者端末１０を使用する事業者は、ユーザＸと第１契約の契約書Ｘ１について合意したとする（Ｓ１０１）。なお、上述したが、事業者は、第１契約を合意した２者のうちの一方の者である第１ユーザの一例であり、ユーザＸは、その他方の者である第３ユーザの一例である。契約書Ｘ１は、第１契約の一例であり、第１契約の契約内容を含むデータである。

次に、事業者端末１０は、事業者の操作により、契約書Ｘ１に関する情報Ｘ１を生成する（Ｓ１０２）。なお、上述したが、情報Ｘ１は、契約書Ｘ１のデータと、時間情報と、契約締結者ＩＤと、情報Ｘ１の生成者の電子署名とを含み、さらに第１契約が締結された順番を把握するためのシリアル番号を含んでいてもよい。

次に、事業者端末１０は、ステップＳ１０２で生成した情報Ｘ１を、認証サーバ３０に送信する（Ｓ１０３）。

次に、認証サーバ３０は、ステップＳ１０３で送信された情報Ｘ１を受信する（Ｓ１０４）。

次に、認証サーバ３０は、情報Ｘに示される契約書Ｘ１に契約締結者以外すなわちユーザＸと事業者とを除いた者の同意が必要か否かを判断する（Ｓ１０５）。より具体的には、認証サーバ３０は、情報Ｘに示される契約書Ｘ１を有効にさせるために、先契約者の同意すなわち先契約者の監査が必要か否かを判断する。

ステップＳ１０５において、認証サーバ３０は、第１契約が最初の契約であり契約締結者以外の同意が必要ではないと判断した場合（Ｓ１０５でＮＯ）、情報Ｘ１の契約書Ｘ１が有効である旨を事業者端末１０に通知する（Ｓ１０６）。

一方、ステップＳ１０５において、認証サーバ３０は、契約締結者以外の同意が必要と判断した場合（Ｓ１０５でＹＥＳ）、台帳記憶部３０４の台帳を確認し、契約書Ｘ１の合意よりも時間的に前に契約を結んだ先契約者を特定する（Ｓ１０７）。本実施の形態では、認証サーバ３０は、端末Ａのユーザを、先契約者である第２ユーザとして特定する。

次に、認証サーバ３０は、特定した先契約者の端末２０である端末Ａに、情報Ｘ１を送信する（Ｓ１０８）。

次に、端末Ａは、ステップＳ１０８で送信された情報Ｘ１を受信する（Ｓ１０９）。

次に、端末Ａは、先契約者である第２ユーザの操作により、契約書Ｘ１を同意するか否かの確認結果と、先契約者である第２ユーザの電子署名とを情報Ｘ１に加えた、情報Ｘ２を生成する（Ｓ１１０）。なお、上述したが、情報Ｘ２は、先契約者の確認結果と先契約者の電子署名とを第１情報に加えた第２情報の一例である。

次に、端末Ａは、ステップＳ１１０で生成した情報Ｘ２を、事業者端末１０に送信する（Ｓ１１１）。なお、端末Ａは、ステップＳ１１０で生成した情報Ｘ２を認証サーバ３０に送信してもよい。この場合、以降のステップＳ１１２及びＳ１１３をスキップすればよい。

次に、事業者端末１０は、ステップＳ１１１で送信された情報Ｘ２を受信する（Ｓ１１２）。

次に、事業者端末１０は、ステップＳ１１２で受信した情報Ｘ２を、認証サーバ３０に送信する（Ｓ１１３）。

次に、認証サーバ３０は、ステップＳ１１３で送信された情報Ｘ２を受信する（Ｓ１１４）。

次に、認証サーバ３０は、ステップＳ１１４で受信した情報Ｘ２を確認し、先契約者が契約書Ｘ１に同意したかを検証する（Ｓ１１５）。より具体的には、認証サーバ３０は、ステップＳ１１４で受信した情報Ｘ２に含まれる確認結果が、契約書Ｘ１に対する同意を示すかを確認することで、先契約者が契約書Ｘ１に同意したかを検証する。

ステップＳ１１５において、先契約者が契約書Ｘ１に同意していないことを確認した場合（Ｓ１１５でＮＯ）、認証サーバ３０は、事業者端末１０と端末Ｘとに、先契約者が契約書Ｘ１に同意しなかった旨を通知する（Ｓ１１６）。これにより、事業者端末１０を使用する事業者と端末Ｘを使用するユーザＸとに、先契約者が契約書Ｘ１に同意していないことが通知されるので、第１契約の再考すなわち契約書Ｘ１の契約内容を再考することを促すことができる。なお、認証サーバ３０は、事業者端末１０または端末Ｘに先契約者が契約書Ｘ１に同意しなかった旨を通知してもよい。

一方、ステップＳ１１５において、先契約者が契約書Ｘ１に同意していることを確認した場合（Ｓ１１５でＹＥＳ）、認証サーバ３０は、契約書Ｘ１を有効な契約に設定する（Ｓ１１７）。ここで、認証サーバ３０は、情報Ｘ２に有効な契約である旨を示すフラグを含めることで、契約書Ｘ１を有効な契約に設定する。

次に、認証サーバ３０は、有効な契約である旨を示すフラグを含めた情報Ｘ２を、台帳記憶部３０４の台帳に格納する（Ｓ１１８）。

次に、認証サーバ３０は、情報Ｘ２の契約書Ｘ１が有効である旨を事業者端末１０と端末Ｘとに通知する（Ｓ１１９）。なお、認証サーバ３０が、情報Ｘ２の契約書Ｘ１が有効である旨を通知するタイミングは、上記の場合に限らず、ステップＳ１１７またはステップＳ１１８を実行する前でもよい。また、認証サーバ３０は、事業者端末１０のみに情報Ｘ２の契約書Ｘ１が有効である旨を通知してもよい。

このようにして、本実施の形態に係る管理システムは、新たに締結された契約の契約書Ｘ１を先契約者に監査させることができる。そして、本実施の形態に係る管理システムは、監査結果を受けて有効化された契約の契約書Ｘ１を台帳に格納する。

なお、ステップＳ１１８の実行するタイミングは、ステップＳ１１６の前であってもよい。この場合、ステップＳ１１５において、先契約者が契約書Ｘ１に同意していないことを確認した場合、認証サーバ３０は、台帳記憶部３０４の台帳から、情報Ｘ２を削除すればよい。

次に、ステップＳ１０６すなわち情報Ｘ１の契約書Ｘ１が有効である旨を事業者端末１０に通知する通知処理の詳細について、図７を用いて説明する。

図７は、図５に示すステップＳ１０６の詳細処理を示すシーケンス図である。

ステップＳ１０６の通知処理において、まず、認証サーバ３０は、情報Ｘ１に有効な契約である旨を示すフラグを含めることで、契約書Ｘ１を有効な契約に設定する（Ｓ１０６１）。

次に、認証サーバ３０は、有効な契約である旨を示すフラグを含めた情報Ｘ１を、台帳記憶部３０４の台帳に格納する（Ｓ１０６２）。

次に、認証サーバ３０は、契約書Ｘ１が有効である旨を事業者端末１０と端末Ｘとに通知する（Ｓ１０６３）。なお、認証サーバ３０が、契約書Ｘ１が有効である旨を通知するタイミングは、上記の場合に限らず、ステップＳ１０６１またはステップＳ１０６２を実行する前でもよい。また、認証サーバ３０は、事業者端末１０のみに情報Ｘ１の契約書Ｘ１が有効である旨を通知してもよい。

［効果等］
以上のように、実施の形態１に係る管理システム等によれば、新たに締結された契約を先契約者に監査させることができるだけでなく、監査結果を受けて有効化された契約に関する情報を台帳に格納することができる。

これにより、新たに締結された契約を確実に監査させることができるので、事業者とユーザとが結託して契約することを抑制できる。

なお、上記では、新たに締結された契約の契約書を監査する先契約者は、一人であるとして説明したが、それに限らない。監査する先契約者は、１人以上であればよい。

ここで、図８を用いて、新たに締結された契約に対する監査と、監査する先契約者とについて説明する。図８は、実施の形態１に係る監査と監査する先契約者とを概念的に説明するための図である。

図８に示すように、Ａさんが１番目に事業者と個別契約したとする。この場合、事業者と個別契約したＢさんの契約は２番目に事業者と個別契約したことになり、Ｂさんの契約の契約書Ｂは、先契約者であるＡさんから監査を受ける。同様に、事業者と個別契約したＣさんの契約は３番目に事業者と個別契約したことになり、Ｃさんの契約の契約書Ｃは、先契約者であるＡ及びＢさんから監査を受けてもよい。なお、Ｃさんの契約の契約書Ｃは、先契約者であるＡまたはＢさんから監査を受けてもよい。

このように、先契約者に新たに締結された契約を監査させることにより、事業者とユーザとが結託して契約することを抑制できる。

（実施の形態２）
実施の形態１では、監査結果を受けて有効化された契約の契約書を台帳に格納することについて説明した。この台帳は、ブロックチェーンの分散台帳であってもよいし、ブロックチェーンの基盤上で構築される同一内容の台帳が複数存在する分散台帳であってもよい。

実施の形態２では、認証サーバが複数の同一内容の台帳からなる分散台帳を有する場合について説明する。以下では、実施の形態１と異なる点を中心に説明する。

［管理システム］
図９は、実施の形態２に係る管理システムの構成の一例を示す図である。図１と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図９に示す管理システムは、実施の形態１に係る管理システムに対して、事業者端末１１の構成と、認証サーバ３１ａ～認証サーバ３１ｃとの構成が異なる。なお、以下では、認証サーバ３１ａ～３１ｃのそれぞれを認証サーバ３１とも称するが、認証サーバ３１ａ～認証サーバ３１ｃを認証サーバ１～認証サーバ３と称する場合もある。

まず、事業者端末１１について説明する。

［事業者端末１１］
事業者端末１１は、ユーザにより使用される端末の一例であり、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末である。

本実施の形態でも、事業者端末１１は、ユーザの一人である事業者により使用される端末である。事業者端末１１は、例えばパーソナルコンピュータであってもよいし、スマートフォン及びタブレットなどの携帯端末であってもよい。

図１０は、実施の形態２に係る事業者端末１１の構成の一例を示す図である。図２と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１０に示す事業者端末１１は、実施の形態１に係る事業者端末１０に対して、さらにトランザクションデータ生成部１１５を備える点で構成が異なる。

＜トランザクションデータ生成部１１５＞
トランザクションデータ生成部１１５は、トランザクションデータを生成する。

本実施の形態では、トランザクションデータ生成部１１５は、端末２０から受信した情報Ｘ２を含むトランザクションデータＸ２を生成する。

また、トランザクションデータ生成部１１５は、認証サーバ３１から、情報Ｘ１の契約書Ｘ１が有効である旨の通知がされた場合、情報生成部１０４で生成した情報Ｘ１を含むトランザクションデータＸ１を生成する。

ここで、情報Ｘ１を含むトランザクションデータＸ１は、契約書Ｘ１のデータと、時間情報と、契約締結者ＩＤと、情報Ｘ１の生成者の電子署名とを含む。さらに、情報Ｘ１を含むトランザクションデータＸ１には、第１契約が締結された順番を把握するためのシリアル番号を含んでいてもよい。また、情報Ｘ２を含むトランザクションデータＸ２は、契約書Ｘ１のデータと、時間情報と、契約締結者ＩＤと、情報Ｘ１の生成者の電子署名と、契約書Ｘ１を監査した先契約者の電子署名と、トランザクションデータＸ２の生成者の電子署名とを含む。

トランザクションデータ生成部１１５は、通信部１０１を介して、生成したトランザクションデータＸ１またはＸ２を認証サーバ３１に送信する。

続いて、認証サーバ３１ａ～認証サーバ３１ｃについて説明する。なお、認証サーバ３１ａ～認証サーバ３１ｃの構成は共通しているので、認証サーバ３１と称して説明する。

［認証サーバ３１］
認証サーバ３１は、第１サーバの一例である。

図１１は、実施の形態２に係る認証サーバ３１の構成の一例を示す図である。図４と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１１に示す認証サーバ３１は、実施の形態１に係る認証サーバ３０に対して、検証部３０３と台帳記憶部３０４の構成がなく、トランザクションデータ検証部３１３と、記録部３１５と、分散台帳３１６とをさらに備える点で構成が異なる。認証サーバ３１も、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。

＜通信部３０１＞
通信部３０１は、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、第１契約に関する第１情報を受信する。通信部３０１は、判断部３０２が特定した第２ユーザにより使用される第２端末に第１情報を送信する。また、通信部３０１は、第２ユーザによる第１契約に対する同意または非同意を示す確認結果と、第２ユーザの電子署名とを第１情報に加えた第２情報を取得する。より具体的には、通信部３０１は、第２情報を含むトランザクションデータを受信することで、当該第２情報を取得する。

本実施の形態では、通信部３０１は、ネットワークＮを介して事業者端末１１に情報を通知したり、端末２０のうちの端末Ａに情報Ｘ１を送信したりする。また、通信部３０１は、事業者端末１１から情報Ｘ１を受信したり、端末２０のうちの端末Ａから情報Ｘ２を含むトランザクションデータＸ２を受信したりする。

なお、通信部３０１は、契約書Ｘ１を有効にさせるために先契約者の監査が必要でないとの理由で情報Ｘ１の契約書Ｘ１が有効である旨の通知をした場合、事業者端末１１から情報Ｘ１を含むトランザクションデータＸ１を受信する。

＜トランザクションデータ検証部３１３＞
トランザクションデータ検証部３１３は、通信部３０１が第１契約に関する第１情報または第２情報を含むトランザクションデータを受信したとき、そのトランザクションデータの正当性を検証する。例えば、トランザクションデータ検証部３１３は、通信部３０１が受信したトランザクションデータに、正しい方法で生成された電子署名が付与されているかなどを検証する。なお、この検証はスキップされてもよい。

また、トランザクションデータ検証部３１３は、通信部３０１が受信したトランザクションデータに含まれる第２情報を確認し、第２情報に含まれる確認結果が第１契約に対する同意を示す場合、第１契約を有効な契約として設定する。ここで、トランザクションデータ検証部３１３は、トランザクションデータに含まれる第２情報に、第１契約が有効な契約であることを示すフラグを含めることで、第１契約を有効な契約として設定すればよい。また、トランザクションデータ検証部３１３は、通信部３０１が受信したトランザクションデータに含まれる第１情報に有効な契約である旨を示すフラグを含めることで、第１情報の第１契約を有効な契約に設定する。

また、トランザクションデータ検証部３１３は、他の認証サーバ３１とともに、トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行する。

ここで、コンセンサスアルゴリズムには、ＰＢＦＴ（Practical Byzantine Fault Tolerance）が用いられてもよいし、その他の公知のコンセンサスアルゴリズムが用いられてもよい。公知のコンセンサスアルゴリズムとしては、例えばＰｏＷ（Proof of Work）またはＰｏＳ（Proof of Stake）などがある。コンセンサスアルゴリズムにＰＢＦＴが用いられる場合、トランザクションデータ検証部３１３は、他の認証サーバ３１のそれぞれからトランザクションデータの検証が成功したか否かを示す報告を受け取り、当該報告の数が所定の数を超えたか否かを判定する。そして、トランザクションデータ検証部３１３は、当該報告の数が所定の数を超えたとき、コンセンサスアルゴリズムによってトランザクションデータの正当性が検証されたと判定すればよい。

トランザクションデータ検証部３１３は、トランザクションデータの正当性を確認した場合、記録部３１５にそのトランザクションデータを記録させる。

本実施の形態では、トランザクションデータ検証部３１３は、通信部３０１が受信した情報Ｘ１を含むトランザクションデータＸ１または情報Ｘ２を含むトランザクションデータＸ２の正当性を検証する。

また、トランザクションデータ検証部３１３は、通信部３０１が受信したトランザクションデータＸ２の情報Ｘ２を確認し、情報Ｘ２に含まれる確認結果が第１契約に対する同意を示す場合、第１契約を有効な契約として設定する。ここで、トランザクションデータ検証部３１３は、トランザクションデータＸ２に含まれる情報Ｘ２に、第１契約が有効な契約であることを示すフラグを含めることで、第１契約を有効な契約として設定する。

さらに、トランザクションデータ検証部３１３は、第１契約が有効な契約であることを示すフラグを含めた情報Ｘ２を含むトランザクションデータＸ２の正当性について合意するためのコンセンサスアルゴリズムを実行する。そして、トランザクションデータ検証部３１３は、当該トランザクションデータＸ２の正当性を確認した場合、記録部３１５に当該トランザクションデータＸ２を記録させる。

＜記録部３１５＞
記録部３１５は、トランザクションデータ検証部３１３により正当性の検証がなされたトランザクションデータをブロックに含めて分散台帳３１６に格納することで、トランザクションデータを記録する。

なお、記録部３１５は、分散台帳３１６が内部に構成されていてもよい。

＜分散台帳３１６＞
分散台帳３１６は、過去の有効な契約に関する情報を含むトランザクションデータを格納している。本実施の形態では、分散台帳３１６は、トランザクションデータ検証部３１３により、有効な契約である旨を示すフラグを含む情報Ｘ２または情報Ｘ１が含まれたトランザクションデータＸ２またはＸ１を格納することにより、有効になった第１契約の契約書Ｘ１を格納する。

図１２及び図１３は、実施の形態２に係る管理システムの監査処理を示すシーケンス図である。図１２に示されるステップＳ２０１～ステップＳ２１１は、認証サーバ３０が認証サーバ１となる点のみ異なるものの、図５に示されるステップＳ１０１～ステップＳ１１１と同様の処理を行うため、説明を省略する。

ステップＳ２１２において、事業者端末１１は、ステップＳ２１１で端末Ａにより送信された情報Ｘ２を受信する。

次に、事業者端末１１は、ステップＳ２１２で受信した情報Ｘ２を含むトランザクションデータＸ２を生成する（Ｓ２１３）。

次に、事業者端末１１は、ステップＳ２１３で生成した情報Ｘ２を含むトランザクションデータＸ２を例えば認証サーバ１に送信する（Ｓ２１４）。なお、事業者端末１１は、情報Ｘ２を含むトランザクションデータＸ２を、認証サーバ１～認証サーバ３にブロードキャスト送信してもよい。

次に、認証サーバ１は、ステップＳ２１４で事業者端末１１により送信された情報Ｘ２を含むトランザクションデータＸ２を受信する（Ｓ２１５）。

次に、認証サーバ１は、ステップＳ２１５で受信したトランザクションデータＸ２に含まれる情報Ｘ２を確認し、先契約者が契約書Ｘ１に同意したかを検証する（Ｓ２１６）。より具体的には、認証サーバ１は、ステップＳ２１５で受信したトランザクションデータＸ２に含まれる情報Ｘ２に含まれる確認結果が、契約書Ｘ１に対する同意を示すかを確認することで、先契約者が契約書Ｘ１に同意したかを検証する。

ステップＳ２１６において、先契約者が契約書Ｘ１に同意していないことを検証した場合（Ｓ２１６でＮＯ）、認証サーバ１は、事業者端末１１と端末Ｘとに、先契約者が契約書Ｘ１に同意しなかった旨を通知する（Ｓ２１７）。これにより、事業者端末１１を使用する事業者と端末Ｘを使用するユーザＸとに、先契約者が契約書Ｘ１に同意していないことが通知されるので、第１契約の再考すなわち契約書Ｘ１の契約内容を再考することを促すことができる。なお、認証サーバ１は、事業者端末１１のみに、先契約者が契約書Ｘ１に同意しなかった旨を通知してもよい。

一方、ステップＳ２１６において、先契約者が契約書Ｘ１に同意していることを検証した場合（Ｓ２１６でＹＥＳ）、認証サーバ１は、契約書Ｘ１を有効な契約に設定する（Ｓ２１８）。ここで、認証サーバ１は、トランザクションデータＸ２に含まれる情報Ｘ２に有効な契約である旨を示すフラグを含めることで、契約書Ｘ１を有効な契約に設定する。

次に、認証サーバ１は、契約書Ｘ１が有効である旨を事業者端末１１と端末Ｘとに通知する（Ｓ２１９）。なお、認証サーバ１が、契約書Ｘ１が有効である旨を通知するタイミングは、上記の場合に限らず、ステップＳ２１８を実行する前でもよい。

次に、認証サーバ１は、他の認証サーバ３１すなわち認証サーバ２及び認証サーバ３にトランザクションデータＸ２を転送する（Ｓ２２０）。

次に、認証サーバ１、認証サーバ２及び認証サーバ３は、コンセンサスアルゴリズムを実行し、トランザクションデータＸ２を含むブロックを生成して、分散台帳３１６に格納する（Ｓ２２１）。

このようにして、本実施の形態に係る管理システムは、新たに締結された契約の契約書Ｘ１を先契約者に監査させることができる。そして、本実施の形態に係る管理システムは、監査結果を受けて有効化された契約の契約書Ｘ１をトランザクションデータに含めて分散台帳３１６に格納する。

次に、ステップＳ２０６すなわち情報Ｘ１の契約書Ｘ１が有効である旨を事業者端末１１に通知する通知処理の詳細について、図１４を用いて説明する。

図１４は、図１２に示すステップＳ２０６の詳細処理を示すシーケンス図である。

ステップＳ２０６の通知処理において、まず、認証サーバ１は、契約書Ｘ１が有効である旨を事業者端末１１と端末Ｘとに通知する（Ｓ２０６２）。

次に、事業者端末１１は、ステップＳ２０６２で通知された契約書Ｘ１が有効である旨を取得し（Ｓ２０６３）、情報Ｘ１を含むトランザクションデータＸ１を生成する（Ｓ２０６４）。

次に、事業者端末１１は、ステップＳ２０６４で生成した情報Ｘ１を含むトランザクションデータＸ１を、例えば認証サーバ１に送信する（Ｓ２０６５）。

次に、認証サーバ１は、情報Ｘ１に有効な契約である旨を示すフラグを含めることで、情報Ｘ１の契約書Ｘ１を有効な契約に設定する（Ｓ２０６６）。

次に、認証サーバ１は、情報Ｘ１に有効な契約である旨を示すフラグを含むトランザクションデータＸ１を、他の認証サーバ３１すなわち認証サーバ２及び認証サーバ３に転送する（Ｓ２０６７）。

次に、認証サーバ１、認証サーバ２及び認証サーバ３は、コンセンサスアルゴリズムを実行し、トランザクションデータＸ１を含むブロックを生成して、分散台帳３１６に格納する（Ｓ２０６８）。

［効果等］
以上のように、実施の形態２に係る管理システム等によれば、新たに締結された契約を先契約者に監査させることができるだけでなく、監査結果を受けて有効化された契約に関する情報を含むトランザクションデータを分散台帳に格納することができる。

これにより、新たに締結された契約を監査させることができるので、事業者とユーザとが結託して契約することを抑制できる。また、監査され、有効となった契約に関する情報が分散台帳に格納されるので、新たに締結された契約が、後日に改ざんされることを防止することができる。よって、事業者とユーザとが結託して契約することをより確実に抑制できる。

なお、上記では、新たに締結された契約の契約書を監査する先契約者は、一人であるとして説明したが、それに限らない。実施の形態１で説明したように、監査する先契約者は、１人以上であればよい。

（変形例）
なお、図１２及び図１３に示される監査処理では、端末Ａにより送信された情報Ｘ２のトランザクションデータＸ２を、事業者端末１１が生成するとして説明したが、これに限らない。認証サーバ３１がさらにトランザクションデータ生成部を備えれば、認証サーバ３１のいずれかが情報Ｘ２のトランザクションデータＸ２を生成してもよい。この場合の監査処理を図１５及び図１６を用いて説明する。以下、上記の実施の形態２と異なる部分を中心に説明する。

図１５及び図１６は、実施の形態２の変形例に係る管理システムの監査処理を示すシーケンス図である。なお、図１２及び図１３と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１５に示される監査処理では、ステップＳ２１１ａの処理が、図１２に示される監査処理に対して、異なっている。また、図１６に示される監査処理では、ステップＳ２１５ａ～ステップＳ２１５ｂの処理が、図１３に示される監査処理に対して、異なっている。

図１５に示されるステップＳ２１０において、端末Ａは、契約書Ｘ１を同意するか否かの確認結果と、先契約者である第２ユーザの電子署名とを情報Ｘ１に加えた、情報Ｘ２を生成する。なお、上述したように、情報Ｘ２は、先契約者の確認結果と先契約者の電子署名とを第１情報に加えた第２情報の一例である。

次に、端末Ａは、ステップＳ２１０で生成した情報Ｘ２を認証サーバ１に、送信する（Ｓ２１１ａ）。

次に、認証サーバ１は、ステップＳ２１１ａで送信された情報Ｘ２を受信する（Ｓ２１５ａ）。

次に、認証サーバ１は、ステップＳ２１５ａで受信した情報Ｘ２を含むトランザクションデータＸ２を生成する（Ｓ２１５ｂ）。

以降のステップＳ２１６～ステップＳ２２１とは、上述した通りであるので説明を省略する。

（実施の形態３）
実施の形態２では、管理システムが備える複数の認証サーバ３１の分散台帳に、監査結果を受けて有効化された契約書を台帳に格納するとして説明したが、これに限らない。管理システムは、認証サーバを備えず、それぞれが分散台帳を有する事業者端末及び複数の端末を備えてもよい。そして、このような場合に、事業者端末及び複数の端末の分散台帳に監査結果を受けて有効化された契約書を台帳に格納してもよい。以下、実施の形態１及び実施の形態２と、異なる点を中心に説明する。

［管理システム］
図１７は、実施の形態３に係る管理システムの構成の一例を示す図である。図１及び図９と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１７に示す管理システムは、実施の形態２に係る管理システムに対して、複数の認証サーバ３１を備えない点と、事業者端末１２の構成及び端末２１ａ～２１ｘの構成とが異なる。なお、以下では、端末２０ａ～端末２０ｘのそれぞれを端末２０とも称するが、端末２０ａ～端末２０ｘを端末Ａ～端末Ｘと称する場合もある。

まず、事業者端末１２について説明する。

［事業者端末１２］
事業者端末１２は、事業者端末１１と同様に、ユーザにより使用される端末の一例であり、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末である。

本実施の形態でも、事業者端末１２は、ユーザの一人である事業者により使用される端末である。事業者端末１２は、例えばパーソナルコンピュータであってもよいし、スマートフォン及びタブレットなどの携帯端末であってもよい。

図１８は、実施の形態３に係る事業者端末１２の構成の一例を示す図である。図２及び図１０と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１８に示す事業者端末１２は、実施の形態２に係る事業者端末１１に対して、さらにトランザクションデータ検証部１２６と、記録部１２７と、分散台帳１２８とを備える点で構成が異なる。

＜トランザクションデータ検証部１２６＞
トランザクションデータ検証部１２６は、通信部１０１が第１契約に関する第１情報または第２情報を含むトランザクションデータを受信したとき、そのトランザクションデータの正当性を検証する。なお、この検証はスキップされてもよい。

また、トランザクションデータ検証部１２６は、トランザクションデータ生成部１１５が生成したトランザクションデータに含まれる第１情報に有効な契約である旨を示すフラグを含めることで、第１情報の第１契約を有効な契約に設定する。

また、トランザクションデータ検証部１２６は、他の端末２１とともに、トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行する。トランザクションデータ検証部１２６は、トランザクションデータの正当性を確認した場合、記録部１２７にトランザクションデータを記録させる。

本実施の形態では、トランザクションデータ検証部１２６は、トランザクションデータ生成部１１５が生成した情報Ｘ１を含むトランザクションデータＸ１または通信部１０１が受信した情報Ｘ２を含むトランザクションデータＸ２の正当性を検証する。

また、トランザクションデータ検証部１２６は、トランザクションデータ生成部１１５が生成したトランザクションデータＸ１の情報Ｘ１に、第１契約が有効な契約であることを示すフラグを含めることで、第１契約を有効な契約として設定する。

さらに、トランザクションデータ検証部１２６は、第１契約が有効な契約であることを示すフラグを含めた情報Ｘ２または情報Ｘ１を含むトランザクションデータＸ１またはＸ２の正当性について合意するためのコンセンサスアルゴリズムを実行する。そして、トランザクションデータ検証部１２６は、当該トランザクションデータＸ１またはＸ２の正当性を確認した場合、記録部１２７に当該トランザクションデータＸ１またはＸ２を記録させる。

＜記録部１２７＞
記録部１２７は、トランザクションデータ検証部１２６により正当性の検証がなされたトランザクションデータをブロックに含めて分散台帳１２８に格納することで、そのトランザクションデータを記録する。

なお、記録部１２７は、分散台帳１２８が内部に構成されていてもよい。

＜分散台帳１２８＞
分散台帳１２８は、過去の有効な契約に関する情報を含むトランザクションデータを格納している。本実施の形態では、分散台帳１２８は、トランザクションデータ検証部１２６により、有効な契約である旨を示すフラグを含む情報Ｘ２または情報Ｘ１が含まれたトランザクションデータＸ２またはＸ１を格納することにより、有効になった第１契約の契約書Ｘ１を格納する。

続いて、端末２１ａ～端末２１ｘについて説明する。なお、端末２１ａ～端末２１ｘの構成は共通しているので、端末２１と称して説明する。

［端末２１］
端末２１は、端末２０と同様に、ユーザにより使用される端末の一例である。端末２１は、例えばパーソナルコンピュータであってもよいし、分散台帳にアクセス可能なスマートフォン及びタブレットなどの携帯端末であってもよい。端末２１のいずれかは、第１契約を合意した２者のうちの他方の者である第３ユーザにより使用される端末である。また、端末２１のいずれかは、第１契約を合意した２者以外の者である第２ユーザにより使用される端末である。

本実施の形態では、複数の端末２１のうち、端末２１ａすなわち端末Ａが、第１契約を合意した２者以外の者である第２ユーザにより使用される端末であるとして説明する。なお、第２ユーザは、例えば第１契約よりも時間的に前に合意されかつ有効化された第２契約を合意した２者のうちの他方の者であって第１ユーザと異なる者であり、先契約者とも称する。

図１９は、実施の形態３に係る端末２１の構成の一例を示す図である。図３と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図１９に示す端末２１は、実施の形態１に係る端末２０に対して、さらにトランザクションデータ検証部２１５と、記録部２１６と、分散台帳２１７とを備える点で構成が異なる。

＜トランザクションデータ検証部２１５＞
トランザクションデータ検証部２１５は、通信部２０１が第１契約に関する第１情報または第２情報を含むトランザクションデータを受信したとき、そのトランザクションデータの正当性を検証する。なお、この検証はスキップされてもよい。

また、トランザクションデータ検証部２１５は、通信部２０１が受信したトランザクションデータに含まれる第２情報を確認し、第２情報に含まれる確認結果が第１契約に対する同意を示す場合、第１契約を有効な契約として設定する。ここで、トランザクションデータ検証部２１５は、トランザクションデータに含まれる第２情報に、第１契約が有効な契約であることを示すフラグを含めることで、第１契約を有効な契約として設定すればよい。

また、トランザクションデータ検証部２１５は、他の端末２１及び事業者端末１２とともに、トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行する。トランザクションデータ検証部２１５は、トランザクションデータの正当性を確認した場合、記録部２１６にトランザクションデータを記録させる。

本実施の形態では、トランザクションデータ検証部２１５は、通信部２０１が受信した情報Ｘ１を含むトランザクションデータＸ１または情報Ｘ２を含むトランザクションデータＸ２の正当性を検証する。

また、トランザクションデータ検証部２１５は、通信部２０１が受信したトランザクションデータＸ２の情報Ｘ２を確認し、情報Ｘ２に含まれる確認結果が第１契約に対する同意を示す場合、第１契約を有効な契約として設定する。ここで、トランザクションデータ検証部２１５は、トランザクションデータＸ２に含まれる情報Ｘ２に、第１契約が有効な契約であることを示すフラグを含めることで、第１契約を有効な契約として設定する。

さらに、トランザクションデータ検証部２１５は、第１契約が有効な契約であることを示すフラグを含めた情報Ｘ２または情報Ｘ１を含むトランザクションデータＸ１またはＸ２の正当性について合意するためのコンセンサスアルゴリズムを実行する。そして、トランザクションデータ検証部２１５は、当該トランザクションデータＸ１またはＸ２の正当性を確認した場合、記録部２１６に当該トランザクションデータＸ１またはＸ２を記録させる。

＜記録部２１６＞
記録部２１６は、トランザクションデータ検証部２１５により正当性の検証がなされたトランザクションデータをブロックに含めて分散台帳２１７に格納することで、そのトランザクションデータを記録する。

なお、記録部２１６は、分散台帳２１７が内部に構成されていてもよい。

＜分散台帳２１７＞
分散台帳２１７は、過去の有効な契約に関する情報を含むトランザクションデータを格納している。本実施の形態では、分散台帳２１７は、トランザクションデータ検証部２１５により、有効な契約である旨を示すフラグを含む情報Ｘ２または情報Ｘ１が含まれたトランザクションデータＸ２またはＸ１を格納することにより、有効になった第１契約の契約書Ｘ１を格納する。

図２０及び図２１は、実施の形態３に係る管理システムの監査処理を示すシーケンス図である。

まず、事業者端末１２を使用する事業者は、ユーザＸと第１契約の契約書Ｘ１について合意したとする（Ｓ３０１）。なお、上述したが、事業者は、第１契約を合意した２者のうちの一方の者である第１ユーザの一例であり、ユーザＸは、その他方の者である第３ユーザの一例である。契約書Ｘ１は、第１契約の一例であり、第１契約の契約内容を含むデータである。

次に、事業者端末１２は、事業者の操作により、契約書Ｘ１に関する情報Ｘ１を生成する（Ｓ３０２）。

次に、事業者端末１２は、ステップＳ３０２で生成した情報Ｘ１を、端末Ａに送信する（Ｓ３０３）。

次に、端末Ａは、ステップＳ３０３で送信された情報Ｘ１を受信する（Ｓ３０４）。

次に、端末Ａは、情報Ｘに示される契約書Ｘ１に契約締結者以外すなわちユーザＸと事業者とを除いた者の同意が必要か否かを判断する（Ｓ３０５）。より具体的には、端末Ａは、情報Ｘに示される契約書Ｘ１を有効にさせるために、先契約者の同意すなわち先契約者の監査が必要か否かを判断する。

ステップＳ３０５において、端末Ａは、第１契約が最初の契約であり契約締結者以外の同意が必要ではないと判断した場合（Ｓ３０５でＮＯ）、情報Ｘ１の契約書Ｘ１が有効である旨を事業者端末１２及び端末Ｘに通知する（Ｓ３０６）。

一方、ステップＳ３０５において、端末Ａは、契約締結者以外の同意が必要と判断した場合（Ｓ３０５でＹＥＳ）、分散台帳２１７を確認し、契約書Ｘ１の合意よりも時間的に前に契約を結んだ先契約者を特定する（Ｓ３０７）。本実施の形態では、端末Ａは、自身のユーザを、先契約者である第２ユーザとして特定する。

次に、端末Ａは、特定した先契約者の端末２１が自分（自端末Ａ）であるかを確認する（Ｓ３０８）。

ステップＳ３０５において、端末Ａは、特定した先契約者の端末２１が自分であるので（Ｓ３０８でＹＥＳ）、契約書Ｘ１を同意するか否かの確認結果と、先契約者である第２ユーザの電子署名とを情報Ｘ１に加えた、情報Ｘ２を生成する（Ｓ３０９）。なお、上述したが、情報Ｘ２は、先契約者の確認結果と先契約者の電子署名とを第１情報に加えた第２情報の一例である。

一方、ステップＳ３０５において、端末Ａは、特定した先契約者の端末２１が自分（自端末Ａ）でない場合（Ｓ３０８でＮＯ）、処理を終了する。なお、端末Ａは、特定した先契約者の端末２１が自分（自端末Ａ）でない場合、特定した先契約者の端末２１に、情報Ｘ１を送信してもよい。この場合には、図５に示すステップＳ１０９～ステップＳ１１１と同様の処理をすればよい。

次に、端末Ａは、ステップＳ３０９で生成した情報Ｘ２を事業者端末１２に、送信する（Ｓ３１０）。

次に、事業者端末１２は、ステップＳ３１０で送信された情報Ｘ２を受信する（Ｓ３１１）。

次に、事業者端末１２は、ステップＳ３１１で受信した情報Ｘ２を含むトランザクションデータＸ２を生成する（Ｓ３１２）。

次に、事業者端末１２は、ステップＳ３１２で生成した情報Ｘ２を含むトランザクションデータＸ２を例えば端末Ａに送信する（Ｓ３１３）。

次に、端末Ａは、ステップＳ３１３で送信された情報Ｘ２を含むトランザクションデータＸ２を受信する（Ｓ３１４）。

次に、端末Ａは、ステップＳ３１４で受信したトランザクションデータＸ２に含まれる情報Ｘ２を確認し、先契約者が契約書Ｘ１に同意したかを検証する（Ｓ３１５）。より具体的には、端末Ａは、ステップＳ３１４で受信したトランザクションデータＸ２に含まれる情報Ｘ２に含まれる確認結果が、契約書Ｘ１に対する同意を示すかを確認することで、先契約者が契約書Ｘ１に同意したかを検証する。

ステップＳ３１５において、先契約者が契約書Ｘ１に同意していないことを確認した場合（Ｓ３１５でＮＯ）、端末Ａは、事業者端末１２と端末Ｘとに、先契約者が契約書Ｘ１に同意しなかった旨を通知する（Ｓ３１６）。これにより、事業者端末１２を使用する事業者と端末Ｘを使用するユーザＸとに、先契約者が契約書Ｘ１に同意していないことが通知されるので、第１契約の再考すなわち契約書Ｘ１の契約内容を再考することを促すことができる。

一方、ステップＳ３１５において、先契約者が契約書Ｘ１に同意していることを確認した場合（Ｓ３１５でＹＥＳ）、端末Ａは、情報Ｘ２の契約書Ｘ１を有効な契約に設定する（Ｓ３１７）。ここで、端末Ａは、トランザクションデータＸ２に含まれる情報Ｘ２に有効な契約である旨を示すフラグを含めることで、情報Ｘ２の契約書Ｘ１を有効な契約に設定する。

次に、端末Ａは、情報Ｘ２の契約書Ｘ１が有効である旨を事業者端末１２と端末Ｘとに通知する（Ｓ３１８）。なお、端末Ａが、契約書Ｘ１が有効である旨を通知するタイミングは、上記の場合に限らず、ステップＳ３１７を実行する前でもよい。

次に、端末Ａは、他の端末２０及び事業者端末１２すなわち端末Ｂ、端末Ｃ、端末Ｘ及び事業者端末１２にトランザクションデータＸ２を転送する（Ｓ３１９）。

次に、端末Ａ、端末Ｂ、端末Ｃ、端末Ｘ及び事業者端末１２は、コンセンサスアルゴリズムを実行し、トランザクションデータＸ２を含むブロックを生成して、分散台帳１２８と分散台帳２１７に格納する（Ｓ３２０）。

このようにして、本実施の形態に係る管理システムは、新たに締結された契約の契約書Ｘ１を先契約者に監査させることができる。そして、本実施の形態に係る管理システムは、監査結果を受けて有効化された契約の契約書Ｘ１をトランザクションデータに含めて分散台帳に格納する。

次に、ステップＳ３０６すなわち情報Ｘ１の契約書Ｘ１が有効である旨を事業者端末１２に通知する通知処理の詳細について、図２２を用いて説明する。

図２２は、図２０に示すステップＳ３０６の詳細処理を示すシーケンス図である。

ステップＳ３０６の通知処理において、まず、端末Ａは、契約書Ｘ１が有効である旨を事業者端末１２と端末Ｘとに通知する（Ｓ３０６１）。

次に、事業者端末１２は、ステップＳ３０６１で通知された契約書Ｘ１が有効である旨を取得すると（Ｓ３０６２）、情報Ｘ１を含むトランザクションデータＸ１を生成する（Ｓ３０６３）。

次に、事業者端末１２は、情報Ｘ１に有効な契約である旨を示すフラグを含めることで、情報Ｘ１の契約書Ｘ１を有効な契約に設定する（Ｓ３０６４）。

次に、事業者端末１２は、情報Ｘ１に有効な契約である旨を示すフラグを含むトランザクションデータＸ１を、例えばすべての端末２１すなわち端末Ａ、端末Ｂ、端末Ｃ及び端末Ｘに送信する（Ｓ３０６５）。

次に、端末Ａ、端末Ｂ、端末Ｃ、端末Ｘ及び事業者端末１２は、コンセンサスアルゴリズムを実行し、トランザクションデータＸ１を含むブロックを生成して、分散台帳１２８と分散台帳２１７に格納する（Ｓ３０６６）。

［効果等］
以上のように、実施の形態３に係る管理システム等によれば、新たに締結された契約を、先契約者に監査させることができるだけでなく、監査結果を受けて有効化された契約に関する情報を含むトランザクションデータを分散台帳に格納することができる。

これにより、新たに締結された契約を監査させることができるので、事業者とユーザとが結託して契約することを抑制できる。また、監査され、有効となった契約が分散台帳に格納されるので、新たに締結された契約が、後日に改ざんされることを防止することができる。よって、事業者とユーザとが結託して契約することをより確実に抑制できる。

（変形例１）
上記の実施の形態３では、端末Ａなどの複数の端末２１のいずれかが、新たに締結された契約の契約書を監査する先契約者を特定したり、特定した先契約者が当該契約書に同意したか否かを検証する場合について説明したが、これに限らない。エージェントサーバが新たに締結された契約の契約書を監査する先契約者を特定したり、特定した先契約者が当該契約書に同意したか否かを検証してもよい。

本変形例では、エージェントサーバが新たに締結された契約の契約書を監査する先契約者を特定したり、特定した先契約者が当該契約書に同意したか否かを検証する場合について説明する。また、本変形例では、エージェントサーバと複数の端末２１と事業者端末１２とが同一内容の複数の台帳からなる分散台帳を有する場合について説明する。以下では、実施の形態１等と異なる点を中心に説明する。

［管理システム］
図２３は、実施の形態３の変形例１に係る管理システムの構成の一例を示す図である。図１７と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図２３に示す管理システムは、実施の形態３に係る管理システムに対して、さらにエージェントサーバ４０を備える点で構成が異なる。なお、以下でも、端末２０ａ～端末２０ｘのそれぞれを端末２０とも称するが、端末２０ａ～端末２０ｘを端末Ａ～端末Ｘと称する場合もある。

以下、エージェントサーバ４０について説明する。

［エージェントサーバ４０］
エージェントサーバ４０は、第１サーバの一例である。

図２４は、実施の形態３の変形例１に係るエージェントサーバ４０の構成の一例を示す図である。

エージェントサーバ４０は、図２４に示すように、通信部４０１と、判断部４０２と、トランザクションデータ検証部４０３と、記録部４０４と、分散台帳４０５とを備える。エージェントサーバ４０は、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。以下、各構成要素について説明する。

＜通信部４０１＞
通信部４０１は、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、第１契約に関する第１情報を受信する。通信部４０１は、判断部４０２が特定した第２ユーザにより使用される第２端末に第１情報を送信する。また、通信部４０１は、第２ユーザによる第１契約に対する同意または非同意を示す確認結果と、第２ユーザの電子署名とを第１情報に加えた第２情報を取得する。より具体的には、通信部４０１は、第２情報を含むトランザクションデータを受信することで、当該第２情報を取得する。

本実施の形態では、通信部４０１は、ネットワークＮを介して事業者端末１２に、先契約者が契約書Ｘ１に同意しなかった旨または契約書Ｘ１が有効である旨を通知したり、端末２１のうちの端末Ａに情報Ｘ１を送信したりする。また、通信部４０１は、事業者端末１２から情報Ｘ１を受信したり、情報Ｘ２を含むトランザクションデータＸ２を受信したりする。なお、通信部４０１は、契約書Ｘ１を有効にさせるために先契約者の監査が必要でないとの理由で情報Ｘ１の契約書Ｘ１が有効である旨の通知をした場合、事業者端末１２から情報Ｘ１を含むトランザクションデータＸ１を受信する。

このように、通信部４０１は、ネットワークＮを介して事業者端末１２または端末２１との通信を行う。なお、この通信は、ＴＬＳによりなされてもよく、ＴＬＳ通信用の暗号鍵は通信部４０１で保持してもよい。

＜トランザクションデータ検証部４０３＞
トランザクションデータ検証部４０３は、通信部４０１が第１契約に関する第１情報または第２情報を含むトランザクションデータを受信したとき、そのトランザクションデータの正当性を検証する。例えば、トランザクションデータ検証部４０３は、通信部４０１が受信したトランザクションデータに、正しい方法で生成された電子署名が付与されているかなどを検証する。なお、この検証はスキップされてもよい。

また、トランザクションデータ検証部４０３は、通信部４０１が受信したトランザクションデータに含まれる第２情報を確認し、第２情報に含まれる確認結果が第１契約に対する同意を示す場合、第１契約を有効な契約として設定する。ここで、トランザクションデータ検証部４０３は、トランザクションデータに含まれる第２情報に、第１契約が有効な契約であることを示すフラグを含めることで、第１契約を有効な契約として設定すればよい。また、トランザクションデータ検証部４０３は、通信部４０１が受信したトランザクションデータに含まれる第１情報に有効な契約である旨を示すフラグを含めることで、第１情報の第１契約を有効な契約に設定する。

また、トランザクションデータ検証部４０３は、事業者端末１２及び端末２１とともに、トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行する。トランザクションデータ検証部４０３は、トランザクションデータの正当性を確認した場合、記録部４０４にトランザクションデータを記録させる。

本実施の形態では、トランザクションデータ検証部４０３は、通信部４０１が受信した情報Ｘ１を含むトランザクションデータＸ１または情報Ｘ２を含むトランザクションデータＸ２の正当性を検証する。

また、トランザクションデータ検証部４０３は、通信部４０１が受信したトランザクションデータＸ２の情報Ｘ２を確認し、情報Ｘ２に含まれる確認結果が第１契約に対する同意を示す場合、第１契約を有効な契約として設定する。ここで、トランザクションデータ検証部４０３は、トランザクションデータＸ２に含まれる情報Ｘ２に、第１契約が有効な契約であることを示すフラグを含めることで、第１契約を有効な契約として設定する。

また、トランザクションデータ検証部４０３は、第１契約が有効な契約であることを示すフラグを含めた情報Ｘ１または情報Ｘ２を含むトランザクションデータＸ１またはＸ２の正当性について合意するためのコンセンサスアルゴリズムを実行する。そして、トランザクションデータ検証部４０３は、当該トランザクションデータＸ２の正当性を確認した場合、記録部４０４に当該トランザクションデータＸ１またはＸ２を記録させる。

＜記録部４０４＞
記録部４０４は、トランザクションデータ検証部４０３により正当性の検証がなされたトランザクションデータをブロックに含めて分散台帳４０５に格納することで、そのトランザクションデータを記録する。

なお、記録部４０４は、分散台帳４０５が内部に構成されていてもよい。

＜分散台帳４０５＞
分散台帳４０５は、過去の有効な契約に関する情報を含むトランザクションデータを格納している。本実施の形態では、分散台帳４０５には、トランザクションデータ検証部４０３により、有効な契約である旨を示すフラグを含む情報Ｘ２または情報Ｘ１が含まれたトランザクションデータＸ２またはＸ１を格納することにより、有効になった第１契約の契約書Ｘ１を格納する。

図２５及び図２６は、実施の形態３の変形例１に係る管理システムの監査処理を示すシーケンス図である。

まず、事業者端末１２を使用する事業者は、ユーザＸと第１契約の契約書Ｘ１について合意したとする（Ｓ４０１）。なお、上述したように、事業者は、第１契約を合意した２者のうちの一方の者である第１ユーザの一例であり、ユーザＸは、その他方の者である第３ユーザの一例である。契約書Ｘ１は、第１契約の一例であり、第１契約の契約内容を含むデータである。

次に、事業者端末１２は、事業者の操作により、契約書Ｘ１に関する情報Ｘ１を生成する（Ｓ４０２）。

次に、事業者端末１２は、ステップＳ４０２で生成した情報Ｘ１を、エージェントサーバ４０に送信する（Ｓ４０３）。

次に、エージェントサーバ４０は、ステップＳ４０３で送信された情報Ｘ１を受信する（Ｓ４０４）。

次に、エージェントサーバ４０は、情報Ｘに示される契約書Ｘ１に契約締結者以外すなわちユーザＸと事業者とを除いた者の同意が必要か否かを判断する（Ｓ４０５）。より具体的には、エージェントサーバ４０は、情報Ｘに示される契約書Ｘ１を有効にさせるために、先契約者の同意すなわち先契約者の監査が必要か否かを判断する。

ステップＳ４０５において、エージェントサーバ４０は、第１契約が最初の契約であり契約締結者以外の同意が必要ではないと判断した場合（Ｓ４０５でＮＯ）、情報Ｘ１の契約書Ｘ１が有効である旨を事業者端末１２と端末Ｘとに通知する（Ｓ４０６）。

一方、ステップＳ４０５において、エージェントサーバ４０は、契約締結者以外の同意が必要と判断した場合（Ｓ４０５でＹＥＳ）、分散台帳４０５を確認し、契約書Ｘ１の合意よりも時間的に前に契約を結んだ先契約者を特定する（Ｓ４０７）。本変形例では、エージェントサーバ４０は、端末Ａのユーザを、先契約者である第２ユーザとして特定する。

次に、エージェントサーバ４０は、特定した先契約者の端末２０である端末Ａに、情報Ｘ１を送信する（Ｓ４０８）。

次に、端末Ａは、ステップＳ４０８で送信された情報Ｘ１を受信する（Ｓ４０９）。

次に、端末Ａは、契約書Ｘ１を同意するか否かの確認結果と、先契約者である第２ユーザの電子署名とを情報Ｘ１に加えた、情報Ｘ２を生成する（Ｓ４１０）。なお、上述したが、情報Ｘ２は、先契約者の確認結果と先契約者の電子署名とを第１情報に加えた第２情報の一例である。

次に、端末Ａは、ステップＳ４１０で生成した情報Ｘ２を事業者端末１２に、送信する（Ｓ４１１）。

次に、事業者端末１２は、ステップＳ４１１で送信された情報Ｘ２を受信する（Ｓ４１２）。

次に、事業者端末１２は、ステップＳ４１２で受信した情報Ｘ２を含むトランザクションデータＸ２を生成する（Ｓ４１３）。

次に、事業者端末１２は、ステップＳ４１３で生成した情報Ｘ２を含むトランザクションデータＸ２を、エージェントサーバ４０に送信する（Ｓ４１４）。

次に、エージェントサーバ４０は、ステップＳ４１４で送信された情報Ｘ２を含むトランザクションデータＸ２を受信する（Ｓ４１５）。

次に、エージェントサーバ４０は、ステップＳ４１５で受信したトランザクションデータＸ２に含まれる情報Ｘ２を確認し、先契約者が契約書Ｘ１に同意したかを検証する（Ｓ４１６）。より具体的には、エージェントサーバ４０は、ステップＳ４１５で受信したトランザクションデータＸ２に含まれる情報Ｘ２に含まれる確認結果が、契約書Ｘ１に対する同意を示すかを確認することで、先契約者が契約書Ｘ１に同意したかを検証する。

ステップＳ４１６において、先契約者が契約書Ｘ１に同意していないことを確認した場合（Ｓ４１６でＮＯ）、エージェントサーバ４０は、事業者端末１２と端末Ｘとに、先契約者が契約書Ｘ１に同意しなかった旨を通知する（Ｓ４１７）。これにより、事業者端末１２を使用する事業者と端末Ｘを使用するユーザＸとに、先契約者が契約書Ｘ１に同意していないことが通知されるので、第１契約の再考すなわち契約書Ｘ１の契約内容を再考することを促すことができる。

一方、ステップＳ４１６において、先契約者が契約書Ｘ１に同意していることを確認した場合（Ｓ４１６でＹＥＳ）、エージェントサーバ４０は、情報Ｘ２の契約書Ｘ１を有効な契約に設定する（Ｓ４１８）。ここで、エージェントサーバ４０は、トランザクションデータＸ２に含まれる情報Ｘ２に有効な契約である旨を示すフラグを含めることで、情報Ｘ２の契約書Ｘ１を有効な契約に設定する。

次に、エージェントサーバ４０は、情報Ｘ２の契約書Ｘ１が有効である旨を事業者端末１２と端末Ｘとに通知する（Ｓ４１９）。なお、エージェントサーバ４０が、契約書Ｘ１が有効である旨を通知するタイミングは、上記の場合に限らず、ステップＳ４１８を実行する前でもよい。

次に、エージェントサーバ４０は、端末２１及び事業者端末１２すなわち端末Ｂ、端末Ｃ、端末Ｘ及び事業者端末１２にトランザクションデータＸ２を転送する（Ｓ４２０）。

次に、エージェントサーバ４０、端末Ａ、端末Ｂ、端末Ｃ、端末Ｘ及び事業者端末１２は、コンセンサスアルゴリズムを実行し、トランザクションデータＸ２を含むブロックを生成して、それぞれの分散台帳に格納する（Ｓ４２１）。

次に、ステップＳ４０６すなわち情報Ｘ１の契約書Ｘ１が有効である旨を事業者端末１２に通知する通知処理の詳細について、図２７を用いて説明する。

図２７は、図２５に示すステップＳ４０６の詳細処理を示すシーケンス図である。

ステップＳ４０６の通知処理において、まず、エージェントサーバ４０は、情報Ｘ１の契約書Ｘ１が有効である旨を事業者端末１２と端末Ｘとに通知する（Ｓ４０６１）。

次に、事業者端末１２は、ステップＳ４０６１で通知された契約書Ｘ１が有効である旨を取得すると（Ｓ４０６２）、情報Ｘ１を含むトランザクションデータＸ１を生成する（Ｓ４０６３）。

次に、事業者端末１２は、情報Ｘ１に有効な契約である旨を示すフラグを含めることで、情報Ｘ１の契約書Ｘ１を有効な契約に設定する（Ｓ４０６４）。

次に、事業者端末１２は、情報Ｘ１に有効な契約である旨を示すフラグを含むトランザクションデータＸ１を、エージェントサーバ４０と端末２１すなわちエージェントサーバ４０、端末Ａ、端末Ｂ、端末Ｃ及び端末Ｘに送信する（Ｓ４０６５）。

次に、事業者端末１２、エージェントサーバ４０、端末Ａ、端末Ｂ、端末Ｃ及び端末Ｘは、コンセンサスアルゴリズムを実行し、トランザクションデータＸ１を含むブロックを生成して、それぞれの分散台帳に格納する（Ｓ４０６６）。

（変形例２）
上記の実施の形態３の変形例１では、エージェントサーバと複数の端末２１と事業者端末１２とが、同一内容の複数の台帳からなる分散台帳を有する場合について説明したが、これに限らない。エージェントサーバと複数の認証サーバが同一内容の複数の台帳からなる分散台帳を有し、複数の端末２１と事業者端末１２とは当該分散台帳を有さないとしてもよい。

本変形例では、エージェントサーバと複数の認証サーバが同一内容の複数の台帳からなる分散台帳を有する場合について説明する。また、本変形例では、エージェントサーバが新たに締結された契約の契約書を監査する先契約者を特定したり、特定した先契約者が当該契約書に同意したか否かを検証する場合について説明する。以下、上記で説明した変形例１等と異なる点を中心に説明する。

［管理システム］
図２８は、実施の形態３の変形例２に係る管理システムの構成の一例を示す図である。図９及び図２３と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図２８に示す管理システムは、図９に示す管理システムに対して、さらにエージェントサーバ４０と、認証サーバ３２ａ～認証サーバ３２ｃとを備える点で構成が異なる。なお、図２８に示すエージェントサーバ４０は、実施の形態３の変形例１で説明した通りであるので、ここでの説明は省略する。また、以下でも、端末２０ａ～端末２０ｘのそれぞれを端末２０とも称するが、端末２０ａ～端末２０ｘを端末Ａ～端末Ｘと称する場合もある。同様に、認証サーバ３２ａ～認証サーバ３２ｃそれぞれを、認証サーバ３２とも称するが、認証サーバ３２ａ～３２ｃを認証サーバ１～認証サーバ３と称する場合もある。

［認証サーバ３２］
ここでは、認証サーバ３２ａ～認証サーバ３２ｃの構成は共通しているので、認証サーバ３２と称して説明する。

認証サーバ３２は、第１サーバの一例である。

図２９は、実施の形態３の変形例２に係る認証サーバ３２の構成の一例を示す図である。図１１と同様の要素には同一の符号を付しており、詳細な説明を省略する。

図２９に示す認証サーバ３２は、図１１に示す認証サーバ３１に対して、判断部３０２の構成がなく、トランザクションデータ検証部３２３の構成が異なる。認証サーバ３２も、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。

＜トランザクションデータ検証部３２３＞
トランザクションデータ検証部３２３は、通信部３０１が第１契約に関する第１情報または第２情報を含むトランザクションデータを受信したとき、そのトランザクションデータの正当性を検証する。例えば、トランザクションデータ検証部３２３は、通信部３０１が受信したトランザクションデータに、正しい方法で生成された電子署名が付与されているかなどを検証する。なお、この検証はスキップされてもよい。

また、トランザクションデータ検証部３２３は、エージェントサーバ４０及び他の認証サーバ３２とともに、トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行する。トランザクションデータ検証部３２３は、トランザクションデータの正当性を確認した場合、記録部３１５にトランザクションデータを記録させる。

本実施の形態では、トランザクションデータ検証部３２３は、通信部３０１が受信した情報Ｘ１を含むトランザクションデータＸ１または情報Ｘ２を含むトランザクションデータＸ２の正当性を検証する。

また、トランザクションデータ検証部３２３は、第１契約が有効な契約であることを示すフラグを含めた情報Ｘ１または情報Ｘ２を含むトランザクションデータＸ１またはＸ２の正当性について合意するためのコンセンサスアルゴリズムを実行する。そして、トランザクションデータ検証部３２３は、当該トランザクションデータＸ２の正当性を確認した場合、記録部３１５に当該トランザクションデータＸ１またはＸ２を記録させる。

図３０及び図３１は、実施の形態３の変形例２に係る管理システムの監査処理を示すシーケンス図である。なお、図３０及び図３１に示されるステップＳ５０１～ステップＳ５１９では、図２５及び図２６に示されるステップＳ４０１～ステップＳ４１９と同様の処理を行われるため、説明を省略する。

ステップＳ５２０において、エージェントサーバ４０は、複数の認証サーバ３２すなわち認証サーバ１、認証サーバ２及び認証サーバ３にトランザクションデータＸ２を転送する。

次に、エージェントサーバ４０、認証サーバ１、認証サーバ２及び認証サーバ３は、コンセンサスアルゴリズムを実行し、トランザクションデータＸ２を含むブロックを生成して、それぞれの分散台帳に格納する（Ｓ５２１）。

次に、ステップＳ５０６すなわち情報Ｘ１の契約書Ｘ１が有効である旨を事業者端末１２に通知する通知処理の詳細について、図３２を用いて説明する。

図３２は、図３０に示すステップＳ５０６の詳細処理を示すシーケンス図である。なお、図３２に示されるステップＳ５０６１～ステップＳ５０６３は、図２７に示されるステップＳ４０６１～ステップＳ４０６３と同様の処理を行うため、説明を省略する。

ステップＳ５０６４において、事業者端末１２は、ステップＳ５０６３で生成した情報Ｘ１を含むトランザクションデータＸ１を、エージェントサーバ４０に送信する。

次に、エージェントサーバ４０は、情報Ｘ１を含むトランザクションデータＸ１を受信すると、情報Ｘ１に有効な契約である旨を示すフラグを含めることで、情報Ｘ１の契約書Ｘ１を有効な契約に設定する（Ｓ５０６５）。

次に、エージェントサーバ４０は、情報Ｘ１に有効な契約である旨を示すフラグを含むトランザクションデータＸ２を、複数の認証サーバ３２すなわち認証サーバ１、認証サーバ２及び認証サーバ３に転送する（Ｓ５０６６）。

次に、エージェントサーバ４０、認証サーバ１、認証サーバ２及び認証サーバ３は、コンセンサスアルゴリズムを実行し、トランザクションデータＸ１を含むブロックを生成して、それぞれの分散台帳に格納する（Ｓ５０６７）。

［その他の実施の形態等］
以上のように、本開示について上記の実施の形態に基づいて説明してきたが、本開示は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本開示に含まれる。

（１）例えば本開示において、事業者端末により生成された情報Ｘなどの第１情報の中身を、特定された先契約者が使用する端末を使って確認することで、第１情報の第１契約が改ざん等されていないことを確認するとしてもよい。

（２）上記実施の形態では、認証サーバ及びエージェントサーバ等が、新たに締結された契約の契約書を監査する先契約者を特定することについて説明したが、これに限らない。認証サーバ及びエージェントサーバ等はさらに、ＡＩ（Artificial Intelligence）を搭載してもよい。この場合、認証サーバ及びエージェントサーバ等は、当該ＡＩに新たに締結された契約の契約書と、先契約者の契約書とを比較させて、先契約者の契約書が、新たに締結された契約の契約書よりも不利な契約内容となっていないかを判断させてもよい。

（３）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

（４）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部またはすべてを含むように１チップ化されてもよい。

また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。

さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。

（５）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

（６）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。

また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を、前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

（７）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。

本開示は、制御方法、サーバ、及び、プログラムに利用でき、例えば車両のシェアリングサービスなどで事業者とユーザとが個人契約を行う場合に、新たに締結された個人契約を先契約者に監査させることができる制御方法、サーバ、及び、プログラムなどに利用可能である。

１０、１１、１２事業者端末
２０、２０ａ、２０ｂ、２０ｃ、２０ｘ、２１、２１ａ、２１ｂ、２１ｃ、２１ｘ端末
３０、３１、３１ａ、３１ｂ、３１ｃ、３２、３２ａ、３２ｂ、３２ｃ認証サーバ
４０エージェントサーバ
１０１、２０１、３０１、４０１通信部
１０２、２０２入力部
１０３、２０３表示部
１０４、２０４情報生成部
１１５トランザクションデータ生成部
３０２、４０２判断部
３０３検証部
３０４台帳記憶部
１２６、２１５、３１３、３２３、４０３トランザクションデータ検証部
１２７、２１６、３１５、４０４記録部
１２８、２１７、３１６、４０５分散台帳

Claims

それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの第１サーバによって実行される制御方法であって、
第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約に関する第１情報を受信し、
前記第１契約を有効にさせるために前記２者以外の者の同意が必要であると判断した場合、過去の契約に関する情報を格納している台帳を参照して、第２ユーザを前記２者以外の者として特定し、特定した前記第２ユーザにより操作された第２端末に前記第１情報を送信し、
前記第２ユーザによる前記第１契約に対する同意または非同意を示す確認結果と、前記第２ユーザの電子署名とを前記第１情報に加えた第２情報を取得し、
前記第２情報を確認し、前記確認結果が前記第１契約に対する同意を示す場合、前記第１契約を有効な契約として設定し、前記第１契約を有効な契約として設定した前記第２情報を前記台帳に格納する、
制御方法。
前記第２ユーザを特定する際、
前記第１契約よりも時間的に前に合意されかつ有効化された第２契約を合意した２者のうちの他方の者であって前記第１ユーザと異なる者を、前記第２ユーザとして特定する、
請求項１に記載の制御方法。
前記第１契約を有効な契約として設定する際、
前記第２情報に、前記第１契約が有効な契約であることを示すフラグを含める、
請求項１または２に記載の制御方法。
前記台帳は、ブロックチェーンの基盤上で構築される同一内容の台帳が複数存在する分散台帳である、
請求項１～３のいずれか１項に記載の制御方法。
前記第２情報を取得する際、
前記第２情報を含むトランザクションデータを受信することで、前記第２情報を取得し、
前記第１契約を有効な契約として設定した前記第２情報を前記台帳に格納する際、
前記トランザクションデータを含むブロックを前記分散台帳に格納する、
請求項４に記載の制御方法。
前記トランザクションデータを含むブロックを前記台帳に格納する際、
前記１以上のサーバのうちの前記第１サーバを除く複数の第２サーバとともに、前記トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
前記コンセンサスアルゴリズムによって前記トランザクションデータの正当性について合意された場合、前記トランザクションデータを含むブロックを前記分散台帳に格納する、
請求項５に記載の制御方法。
前記３以上の端末はそれぞれ、前記台帳を有し、
前記トランザクションデータを含むブロックを前記台帳に格納する際、
前記３以上の端末とともに、前記トランザクションデータの正当性について合意するためのコンセンサスアルゴリズムを実行し、
前記コンセンサスアルゴリズムによって前記トランザクションデータの正当性について合意された場合、前記トランザクションデータを含むブロックを前記台帳に格納する、
請求項５に記載の制御方法。
前記トランザクションデータを含むブロックを前記台帳に格納する際、
前記トランザクションデータをブロックチェーンのトランザクションデータとして前記台帳に格納する、
請求項５～７のいずれか１項に記載の制御方法。
前記第１情報は、
前記第１契約の契約内容を示すデータと、
前記第１契約を合意した２者のうちの他方の者である第３ユーザを示すＩＤと、
前記第１情報の生成者を示すＩＤとを含む、
請求項１～８のいずれか１項に記載の制御方法。
それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの一つのサーバであって、
プロセッサと、
メモリと、を備え、
前記プロセッサは、第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約に関する第１情報を受信し、
前記プロセッサは、前記第１契約を有効にさせるために前記２者以外の者の同意が必要であると判断した場合、過去の契約に関する情報を格納している台帳を参照して、第２ユーザを前記２者以外の者として特定し、特定した前記第２ユーザにより操作された第２端末に前記第１情報を送信し、
前記プロセッサは、前記第２ユーザによる前記第１契約に対する同意または非同意を示す確認結果と、前記第２ユーザの電子署名とを前記第１情報に加えた第２情報を取得し、
前記プロセッサは、前記第２情報を確認し、前記確認結果が前記第１契約に対する同意を示す場合、前記第１契約を有効な契約として設定し、前記第１契約を有効な契約として設定した前記第２情報を前記台帳に格納する、
サーバ。
それぞれユーザにより使用される３以上の端末と、１以上のサーバとを備えるシステムにおける、前記１以上のサーバのうちの第１サーバによって実行される制御方法をコンピュータに実行させるためのプログラムであって、
第１契約を合意した２者のうちの一方の者である第１ユーザにより使用される第１端末から、前記第１契約に関する第１情報を受信し、
前記第１契約を有効にさせるために前記２者以外の者の同意が必要であると判断した場合、過去の契約に関する情報を格納している台帳を参照して、第２ユーザを前記２者以外の者として特定し、特定した前記第２ユーザにより操作された第２端末に前記第１情報を送信し、
前記第２ユーザによる前記第１契約に対する同意または非同意を示す確認結果と、前記第２ユーザの電子署名とを前記第１情報に加えた第２情報を取得し、
前記第２情報を確認し、前記確認結果が前記第１契約に対する同意を示す場合、前記第１契約を有効な契約として設定し、前記第１契約を有効な契約として設定した前記第２情報を前記台帳に格納することを、
コンピュータに実行させるためのプログラム。