(57)【特許請求の範囲】
【請求項１】
情報収集者端末との間で情報取引を行う情報提供者端末において、
前記情報収集者端末から情報の提供を要求する旨の情報提供依頼を受信すると、信用度を管理する信用度管理レコードから前記情報収集者端末の信用度を取得し、情報のプライバシー度を管理するプライバシー度管理レコードから前記情報提供依頼で要求されている情報のプライバシー度を取得し、前記信用度が前記プライバシー度よりも低いか否かを判定し、前記信用度が前記プライバシー度よりも低い場合には、さらに前記信用度と前記プライバシー度の差が設定値未満であるか否かを判定する信用度判定部と、
前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が設定値未満である場合は、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答するか否かを確認する旨を表示し、回答するか否かの入力を取得する確認部と、
前記確認部が回答する旨の入力を取得すると前記プライバシー度管理レコードに記載されている当該情報のプライバシー度を一定値下げ、前記確認部が回答しない旨の入力を取得すると前記プライバシー度管理レコードに記載されている当該情報のプライバシー度を一定値上げるプライバシー度更新部と、
前記信用度が前記プライバシー度以上である場合、または前記確認部が回答する旨の入力を取得した場合に、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答し、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が前記設定値以上である場合、または前記確認部が回答しない旨の入力を取得した場合には、前記情報収集者端末への回答を行わないアンサ生成部と、
を備える情報提供者端末。
【請求項２】
情報収集者端末との間で情報取引を行う情報提供者端末において、
前記情報収集者端末から情報の提供を要求する旨の情報提供依頼を受信すると、信用度を管理する信用度管理レコードから前記情報収集者端末の信用度を取得し、情報のプライバシー度を管理するプライバシー度管理レコードから前記情報提供依頼で要求されている情報のプライバシー度を取得し、前記信用度が前記プライバシー度よりも低いか否かを判定し、前記信用度が前記プライバシー度よりも低い場合には、さらに前記信用度と前記プライバシー度の差が設定値未満であるか否かを判定する信用度判定部と、
前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が設定値未満である場合は、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答するか否かを確認する旨を表示し、回答するか否かの入力を取得する確認部と、
前記確認部が回答する旨の入力を取得すると前記信用度管理レコードに記載されている当該情報収集者端末の信用度を一定値上げ、前記確認部が回答しない旨の入力を取得すると前記信用度管理レコードに記載されている当該情報収集者端末の信用度を一定値下げる信用度更新部と、
前記信用度が前記プライバシー度以上である場合、または前記確認部が回答する旨の入力を取得した場合に、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答し、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が前記設定値以上である場合、または前記確認部が回答しない旨の入力を取得した場合には、前記情報収集者端末への回答を行わないアンサ生成部と、
を備える情報提供者端末。
【請求項３】
情報収集者端末との間で情報取引を行う情報提供者端末が実行する情報取引方法において、
信用度判定部が、前記情報収集者端末から情報の提供を要求する旨の情報提供依頼を受信すると、信用度を管理する信用度管理レコードから前記情報収集者端末の信用度を取得し、情報のプライバシー度を管理するプライバシー度管理レコードから前記情報提供依頼で要求されている情報のプライバシー度を取得し、前記信用度が前記プライバシー度よりも低いか否かを判定し、前記信用度が前記プライバシー度よりも低い場合には、さらに前記信用度と前記プライバシー度の差が設定値未満であるか否かを判定する信用度判定手順と、
確認部が、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が設定値未満である場合は、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答するか否かを確認する旨を表示し、回答するか否かの入力を取得する確認手順と、
プライバシー度更新部が、前記確認手順で回答する旨の入力を取得すると前記プライバシー度管理レコードに記載されている当該情報のプライバシー度を一定値下げ、前記確認手順で回答しない旨の入力を取得すると前記プライバシー度管理レコードに記載されている当該情報のプライバシー度を一定値上げるプライバシー度更新手順と、
アンサ生成部が、前記信用度が前記プライバシー度以上である場合、または前記確認手順で回答する旨の入力を取得した場合に、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答し、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が前記設定値以上である場合、または前記確認手順で回答しない旨の入力を取得した場合には、前記情報収集者端末への回答を行わないアンサ生成手順と、
を順に実行する情報取引方法。
【請求項４】
情報収集者端末との間で情報取引を行う情報提供者端末が実行する情報取引方法において、
信用度判定部が、前記情報収集者端末から情報の提供を要求する旨の情報提供依頼を受信すると、信用度を管理する信用度管理レコードから前記情報収集者端末の信用度を取得し、情報のプライバシー度を管理するプライバシー度管理レコードから前記情報提供依頼で要求されている情報のプライバシー度を取得し、前記信用度が前記プライバシー度よりも低いか否かを判定し、前記信用度が前記プライバシー度よりも低い場合には、さらに前記信用度と前記プライバシー度の差が設定値未満であるか否かを判定する信用度判定手順と、
確認部が、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が設定値未満である場合は、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答するか否かを確認する旨を表示し、回答するか否かの入力を取得する確認手順と、
信用度更新部が、前記確認手順で回答する旨の入力を取得すると前記信用度管理レコードに記載されている当該情報収集者端末の信用度を一定値上げ、前記確認手順で回答しない旨の入力を取得すると前記信用度管理レコードに記載されている当該情報収集者端末の信用度を一定値下げる信用度更新手順と、
アンサ生成部が、前記信用度が前記プライバシー度以上である場合、または前記確認手順で回答する旨の入力を取得した場合に、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答し、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が前記設定値以上である場合、または前記確認手順で回答しない旨の入力を取得した場合には、前記情報収集者端末への回答を行わないアンサ生成手順と、
を順に実行する情報取引方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報取引システムに用いられる情報提供者端末に関し、特に、個人情報（住所、氏名、年齢、性別等の静的な情報、趣味趣向などプロファイル情報、健康／身体状態や行動履歴など、個人に関するあらゆる電子化情報）および企業などの法人／団体が保有する電子化された業務情報など、その保有者および管理者が存在するデータを、ネットワークで流通させる仕組みを提供する情報取引システムに関する発明である。本発明システムが対象とする個人および法人が生成もしくは収集し、所有権および管理権を有すると考えられるデータを総称して個人管理データと呼ぶことにする。
【背景技術】
【０００２】
ネットワーク上に存在する個人情報は、Ａｍａｚｏｎ（登録商標）（クレジットカード情報、同サイトでの購買履歴など）、Ｇｏｏｇｌｅ（登録商標）（個人プロファイル、メール、スケジュール、検索履歴など）などの特定のサービスプロバイダによるサービス、もしくは、スマートフォンや個人パソコン上で実行される特定のアプリケーション（写真、ＧＰＳログ、歩数計ログ、健康管理アプリケーションでの体重、体脂肪率推移など）と結びついており、蓄積されたデータの一部をアーカイブにして、利用者の個人に提供するインタフェースを設けているケースも存在するが、異なるサービスやアプリケーション間で相互に利用できるものではなく、個人の行動履歴データ、企業の業務データ等には第三者から見て価値のある情報が含まれているのにも係らず、それらをデータの管理者が主体で相互流通させる仕組みは現時点では存在しない。
【０００３】
個人管理データには、第三者から見て価値のある情報が含まれているケースは多い。個人の行動履歴のうち、あらゆる商品の購入履歴を統計処理した情報は、企業による製品開発やマーケティングに非常に有益である。また、運送会社などが自社のために蓄積している配達、運行の記録は、実際の道路の状況や渋滞状況などの情報が含まれる。これまで、特定の企業が特定のサービスを個人等に提供することで、このような情報を収集したデータアーカイブ、およびそれを処理解析したものを第三者に有償で提供する形態は存在し、一例としてクックパッド（登録商標）は、個人に料理レシピの公開と検索サービスを提供する一方、収集されたレシピや検索ログを集計し、食品業界に販売を行っている（ただし、第三者への情報提供など、情報の流通に関する部分は手順が存在するのみで、特定の技術要素は確認できない。）
【０００４】
個人管理データの価値をネットワークで流通（売買）する場合、既存の方法では、生データをまとめたものをファイルの形で売買するか、生データもしくはデータから得られた情報をｂｌｏｇなどの形でネットワーク上に公開し、閲覧課金、もしくは、広告によるアフェリエイトの仕組みで間接的に金銭を得るものがあるが、個人管理データへのアクセスをデータの所有者（管理者）のもとで、同データから得られる情報だけを相互流通させる仕組みは存在しない。
【０００５】
特許文献１では、個人の住所、氏名、趣味等の静的プロファイル情報をデータベース化したデータ（電子商取引などで、業者側に蓄積されている顧客名簿に相当する）に対して、システム運営者が、データベースの一部のカラム（氏名、住所などの項目）を削除し、データベースの利用希望者（別の業者など）が必要とする最小限のデータベースに加工して売買する方法を提案している。
【０００６】
特許文献２では、インターネット上での電子商取引等における個人向け広告の配信を例にとり、個人の趣味趣向などのプロファイルに合致した広告の配信を行うケースにおいて、個人情報の提供レベルと提供先のマッチングを個人サイドで制御する仕組みが提案されている。
【０００７】
非特許文献１では、ＳＡＭＬ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｅｒｔｉｏｎ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）の仕様に基づいて、ユーザを仮名化することで、サービスプロバイダ間でデータの送受、認証の引き継ぎ等を実行する仕組みが定義されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００２−４２０１２号公報
【特許文献２】特開２００１−３０６８５１号公報
【非特許文献】
【０００９】
【非特許文献１】ＳＡＭＬ標準仕様  Ｓｅｃｕｒｉｔｙ  Ａｓｓｅｒｔｉｏｎ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ  （ＳＡＭＬ）  ｖ２．０，  ＯＡＳＩＳ，  Ｍａｒｃｈ  ２００５  ｈｔｔｐ：／／ｓａｍｌ．ｘｍｌ．ｏｒｇ／ｓａｍｌ−ｓｐｅｃｉｆｉｃａｔｉｏｎｓ  ｈｔｔｐ：／／ｗｗｗ．ｉｅｉｃｅ．ｏｒｇ／ｊｐｎ／ｂｏｏｋｓ／ｋａｉｓｈｉｋｉｊｉ／２００９／２００９０４．ｐｄｆ（日本語解説記事）
【発明の概要】
【発明が解決しようとする課題】
【００１０】
信用のない相手に対する個人管理データの提供は、個人情報の漏洩を防止する観点から避けるべきである。信用のある相手である否かは個人によって基準が異なるため、基準を一様に設けることもできない。
【００１１】
このための対策としては、個人管理データを提供してよいか否かを、データ所有者に問い合わせることが考えられる。しかし、この方法は、データ所有者がこの問合せを何度も受ける可能性があり、データ所有者の負担が重くなる。
【００１２】
そこで、本発明は、個人管理データの所有者の意思に従って回答を行うか否かの判断を行うことの可能な情報取引システム及び情報取引方法の提供を目的とする。
【課題を解決するための手段】
【００１３】
本願発明の情報提供者端末は、情報収集者端末との間で情報取引を行う情報提供者端末において、前記情報収集者端末から情報の提供を要求する旨の情報提供依頼を受信すると、信用度を管理する信用度管理レコードから前記情報収集者端末の信用度を取得し、情報のプライバシー度を管理するプライバシー度管理レコードから前記情報提供依頼で要求されている情報のプライバシー度を取得し、前記信用度が前記プライバシー度よりも低いか否かを判定し、前記信用度が前記プライバシー度よりも低い場合には、さらに前記信用度と前記プライバシー度の差が設定値未満であるか否かを判定する信用度判定部と、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が設定値未満である場合は、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答するか否かを確認する旨を表示し、回答するか否かの入力を取得する確認部と、前記確認部が回答する旨の入力を取得すると前記プライバシー度管理レコードに記載されている当該情報のプライバシー度を一定値下げ、前記確認部が回答しない旨の入力を取得すると前記プライバシー度管理レコードに記載されている当該情報のプライバシー度を一定値上げるプライバシー度更新部と、前記信用度が前記プライバシー度以上である場合、または前記確認部が回答する旨の入力を取得した場合に、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答し、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が前記設定値以上である場合、または前記確認部が回答しない旨の入力を取得した場合には、前記情報収集者端末への回答を行わないアンサ生成部と、を備える。
【００１４】
本願発明の情報取引提供者端末は、情報収集者端末との間で情報取引を行う情報提供者端末において、前記情報収集者端末から情報の提供を要求する旨の情報提供依頼を受信すると、信用度を管理する信用度管理レコードから前記情報収集者端末の信用度を取得し、情報のプライバシー度を管理するプライバシー度管理レコードから前記情報提供依頼で要求されている情報のプライバシー度を取得し、前記信用度が前記プライバシー度よりも低いか否かを判定し、前記信用度が前記プライバシー度よりも低い場合には、さらに前記信用度と前記プライバシー度の差が設定値未満であるか否かを判定する信用度判定部と、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が設定値未満である場合は、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答するか否かを確認する旨を表示し、回答するか否かの入力を取得する確認部と、前記確認部が回答する旨の入力を取得すると前記信用度管理レコードに記載されている当該情報収集者端末の信用度を一定値上げ、前記確認部が回答しない旨の入力を取得すると前記信用度管理レコードに記載されている当該情報収集者端末の信用度を一定値下げる信用度更新部と、前記信用度が前記プライバシー度以上である場合、または前記確認部が回答する旨の入力を取得した場合に、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答し、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が前記設定値以上である場合、または前記確認部が回答しない旨の入力を取得した場合には、前記情報収集者端末への回答を行わないアンサ生成部と、を備える。
【００１５】
本願発明の情報取引方法は、情報収集者端末との間で情報取引を行う情報提供者端末が実行する情報取引方法において、信用度判定部が、前記情報収集者端末から情報の提供を要求する旨の情報提供依頼を受信すると、信用度を管理する信用度管理レコードから前記情報収集者端末の信用度を取得し、情報のプライバシー度を管理するプライバシー度管理レコードから前記情報提供依頼で要求されている情報のプライバシー度を取得し、前記信用度が前記プライバシー度よりも低いか否かを判定し、前記信用度が前記プライバシー度よりも低い場合には、さらに前記信用度と前記プライバシー度の差が設定値未満であるか否かを判定する信用度判定手順と、確認部が、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が設定値未満である場合は、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答するか否かを確認する旨を表示し、回答するか否かの入力を取得する確認手順と、プライバシー度更新部が、前記確認手順で回答する旨の入力を取得すると前記プライバシー度管理レコードに記載されている当該情報のプライバシー度を一定値下げ、前記確認手順で回答しない旨の入力を取得すると前記プライバシー度管理レコードに記載されている当該情報のプライバシー度を一定値上げるプライバシー度更新手順と、アンサ生成部が、前記信用度が前記プライバシー度以上である場合、または前記確認手順で回答する旨の入力を取得した場合に、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答し、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が前記設定値以上である場合、または前記確認手順で回答しない旨の入力を取得した場合には、前記情報収集者端末への回答を行わないアンサ生成手順と、を順に実行する。
【００１６】
本願発明の情報取引方法は、情報収集者端末との間で情報取引を行う情報提供者端末が実行する情報取引方法において、信用度判定部が、前記情報収集者端末から情報の提供を要求する旨の情報提供依頼を受信すると、信用度を管理する信用度管理レコードから前記情報収集者端末の信用度を取得し、情報のプライバシー度を管理するプライバシー度管理レコードから前記情報提供依頼で要求されている情報のプライバシー度を取得し、前記信用度が前記プライバシー度よりも低いか否かを判定し、前記信用度が前記プライバシー度よりも低い場合には、さらに前記信用度と前記プライバシー度の差が設定値未満であるか否かを判定する信用度判定手順と、確認部が、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が設定値未満である場合は、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答するか否かを確認する旨を表示し、回答するか否かの入力を取得する確認手順と、信用度更新部が、前記確認手順で回答する旨の入力を取得すると前記信用度管理レコードに記載されている当該情報収集者端末の信用度を一定値上げ、前記確認手順で回答しない旨の入力を取得すると前記信用度管理レコードに記載されている当該情報収集者端末の信用度を一定値下げる信用度更新手順と、アンサ生成部が、前記信用度が前記プライバシー度以上である場合、または前記確認手順で回答する旨の入力を取得した場合に、前記情報提供依頼で要求されている情報を前記情報収集者端末に回答し、前記信用度が前記プライバシー度よりも低くかつ前記信用度と前記プライバシー度の差が前記設定値以上である場合、または前記確認手順で回答しない旨の入力を取得した場合には、前記情報収集者端末への回答を行わないアンサ生成手順と、を順に実行する。
【発明の効果】
【００１７】
本発明によれば、本発明は、個人管理データの所有者の意思に従って回答を行うか否かの判断を行うことの可能な情報取引システム及び情報取引方法を提供することができる。
【図面の簡単な説明】
【００１８】
【図１】本実施形態に係る情報取引システムの概略図を示す。
【図２】取引のシーケンスの一例を示す。
【図３】アンケート実施者仮名の発行ステップＳ２０１から回答の回収ステップＳ２０６までのシーケンスの他の例を示す。
【図４】取引支援サーバ３０における実名レコードの一例を示す。
【図５】取引支援サーバ３０におけるクエリレコードの一例を示す。
【図６】取引支援サーバ３０における取引レコードの一例を示す。
【図７】回答者端末２０におけるクエリ取得からアンサ作成及び回答までの処理の流れを示す。
【図８】クエリ／アンサ処理を行うデータアクセス管理部２２及びデータ格納部２１の機能ブロック図を示す。
【図９】クエリの内容の一例を示す。
【図１０】条件Ｃのテンプレートの一例を示す。
【図１１】処理Ｆのテンプレートの一例を示す。
【図１２】条件Ｃと処理Ｆの組み合わせによって決定される関数Ｊの一例を示す。
【図１３】関数Ｊの一例を示す。
【図１４】実施形態２に係るデータ処理部の構成例を示す。
【図１５】実施形態２に係る情報取引方法のフロー図を示す。
【図１６】信用度管理レコードの一例を示す。
【図１７】プライバシー度管理レコードの一例を示す。
【発明を実施するための形態】
【００１９】
添付の図面を参照して本発明の実施形態を説明する。以下に説明する実施形態は本発明の実施の例であり、本発明は、以下の実施形態に制限されるものではない。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。
【００２０】
本発明に係る情報取引システムのシステム構成は、（１）個人管理データへの外部からのアクセスを制限することで、“生データの流出”を防止するとともに、“特定の制限されたデータ検索、統計、解析処理”を安全に実行することで、生の個人管理データから、価値のある情報のみを取り出す仕組み、（２）外部から個人管理データを格納している主体に対して、質問（以下、クエリ）を受け付け、同クエリに対して回答（アンサ）を返すことで、個人管理データへの間接アクセスを実現する仕組み、（３）その際に、不特定多数および、特定対象地域在住、特定対象年齢層など特定多数の個人管理データの管理主体（個人、法人）に対して、匿名もしくは実名でクエリを渡し、匿名でアンサを返信する仕組み、（４）価値のある情報を取り出すために参照される個人管理データの管理者視点での価値および利用への抵抗感（プライバシー侵害の度合いに相当する）、さらに客観的な情報価値（情報量、取引事例などから公開されている価値など）から、対象となる個人管理データそのものの価値を算定し、また、取引相手（個人管理データにアクセスをして、情報を取り出そうとする主体＝クエリの送出元）の信用度と、取引の際の提示価値（価格）によって、クエリおよびアンサの扱いを決定する仕組み、（５）匿名性を確保しつつ情報の価値交換（売買）を実行し、匿名性に起因する重複取引（同一の個人管理データに対して同一のクエリ発行者の同じクエリに複数回匿名でアンサを返すこと。また、それにより多重に売買がなされること。）を防止する仕組みより構成されるものである。
【００２１】
より具体的に、個人が電子的に蓄積している情報について、個人に対して広くネットワークを介して匿名アンケートを実施収集し、その対価を支払う実施例と、アンケート内容に基づき、個人に対して適切な広告などを表示するシステムを実施例として説明する。
【００２２】
（実施形態１）
図１に本実施形態に係る情報取引システムの概略図を示す。本実施形態に係る情報取引システムは、情報収集者端末であるアンケート実施者サーバ１０と、情報提供者端末である回答者端末２０と、取引支援サーバ３０と、信用情報サーバ４０と、質問配布サーバであるクエリ配布サーバ５０と、アンサ回収サーバ６０と、ポイントサーバ７０と、を備える。
【００２３】
アンケート実施者サーバ１０、回答者端末２０、クエリ配布サーバ５０及びアンサ回収サーバ６０がアンケートと回答のやりとりを、取引支援サーバ３０、信用情報サーバ４０及びポイントサーバ７０が、情報の取引に対する与信機能および金銭取引等を解決する仕組みを担当する。また、回答者端末２０の機能（回答内容の判断および、回答を行う情報の制限の方式）、クエリ配布サーバ５０及びアンサ回収サーバ６０の機能（匿名性を維持して特定多数にクエリを配布、回収する機能）については、別途説明する。
【００２４】
図１の各要素について説明を行う。個人管理データを保有／管理する個人（および法人）の端末を回答者端末２０（ユーザＡが保有管理）とし、同個人管理データに対して、情報提供依頼としてのクエリを送り、何らかの情報を得たい主体が保有管理する端末をアンケート実施者サーバ１０（ユーザＢが保有管理）とする。アンケートのモデルで説明すると、アンケート実施者が回答者に対して、アンケート（クエリ）を渡し、回答（アンサ）を得る事が基本となる。このやりとりは、ネットワークを介して実行されると仮定するため、回答者端末２０とアンケート実施者サーバ１０が直接通信を実行すると、ＩＰアドレス等より、回答者端末２０およびアンケート実施者サーバ１０の匿名性保証が困難になる。よって、本発明では、クエリを配布するクエリ配布サーバ５０および結果（アンサ）を回収するアンサ回収サーバ６０を中継させ、クエリおよびアンサの送受を回答者端末２０とアンケート実施者サーバ１０が非同期的にクエリ及びアンサをやりとりすることで、匿名性の保証を強固にする。
【００２５】
アンケート実施者サーバ１０、回答者端末２０、クエリ配布サーバ５０及びアンサ回収サーバ６０からなるシステムのみでも、単純なクエリ及びアンサのやりとりは可能であり、回答者端末２０、クエリ配布サーバ５０及びアンサ回収サーバ６０によって、従来のネットアンケートとは異なる、大規模、高速かつ匿名性を担保したネットアンケートが可能となる。これに加えて、本実施形態に係るシステム構成の特徴は、取引支援サーバ３０、信用情報サーバ４０及びポイントサーバ７０を備えることにある。
【００２６】
＜匿名性を担保した情報の取引＞
（１）取引支援サーバ３０と信用情報サーバ４０の組み合わせで、ユーザＡおよびユーザＢが双方匿名でも、Ａから見たＢの信用度を確認可能とする。
（２）取引支援サーバ３０とポイントサーバ７０の組み合わせで、ユーザＢのアンケート（クエリ）に対するユーザＡの回答（アンサ）による情報提供に対するＢからＡへの対価支払（金銭およびポイントなど）を双方の匿名性を維持したまま可能とする。
【００２７】
図２に、取引のシーケンスの一例を示す。手順を開始する前に、取引支援サーバ３０には、ユーザＡの実名情報及びユーザＢの実名情報は予め別の手順にて登録をされている。本実施形態に係る情報取引方法は、情報提供依頼配布手順と、回答手順と、ポイント清算手順と、を順に有する。情報提供依頼配布手順において、アンケート実施者仮名の発行ステップＳ２０１と、アンケート（クエリ）の配布ステップＳ２０２と、アンケート（クエリ）の取得ステップＳ２０３と、アンケート回答用の仮名の取得ステップＳ２０４と、を実行する。回答手順において、回答の送信（アンサの配置）ステップＳ２０５と、回答の回収（アンサの回収）ステップＳ２０６を実行する。ポイント清算手順において、ポイントの清算ステップＳ２０７を実行する。
【００２８】
アンケート実施者仮名の発行ステップ（Ｓ２０１）
アンケート実施者サーバ１０は、情報提供依頼としてのアンケート（クエリ）を作成し、情報提供依頼の識別標識としてのクエリＩＤ（ＱＩＤ）を付与し、ユーザＢの実名を含む実名情報と共に、取引支援サーバ３０に対して、本クエリにおける仮名の発行を要求する。取引支援サーバ３０は、自データベースのＢの実名登録を確認して、クエリＩＤに対する、一時的（クエリＩＤが有効である間だけの）なユーザＢの仮名（Ｂａ）を生成し、自データベースに記録した後に、同仮名をアンケート実施者サーバ１０に返す。
【００２９】
アンケート（クエリ）の配布ステップ（Ｓ２０２）
アンケート実施者サーバ１０は、アンケート（クエリ）に、クエリＩＤと、ステップＳ２０１で取得したユーザＢの仮名を記載して、回答者端末２０から取得可能な状態でクエリ配布サーバ５０に配置する。
【００３０】
アンケート（クエリ）の取得ステップ（Ｓ２０３）
ユーザＡの回答者端末は、ステップＳ２０２でクエリ配布サーバ５０に配置されたアンケート（クエリ）を取得し、記載されているクエリＩＤとユーザＢの仮名Ｂａを得る。
【００３１】
アンケート回答用の仮名の取得ステップ（Ｓ２０４）
回答者端末２０は、ステップＳ２０３で取得したクエリＩＤとＢの仮名Ｂａおよび、ユーザＡの実名と共に、取引支援サーバ３０に対して、本クエリにおける仮名の発行を要求する。取引支援サーバ３０は、自データベースのＡの実名登録を確認して、クエリＩＤに対する、一時的（クエリＩＤが有効である間だけの）なユーザＡの仮名（Ａａ）を生成し、自データベースに記録した後に、同レコードの回答状態を未回答に設定し、同仮名Ａａを回答者端末２０に返す。
【００３２】
回答の送信（アンサの配置）ステップ（Ｓ２０５）
回答者端末２０は、クエリ処理を行ってアンケートに対する回答を作成し、クエリＩＤ、Ｂの仮名、Ａの仮名を記載し、アンサ回収サーバ６０に配置する。このとき、アンケートに対する回答（アンサ）の内容と、クエリＩＤ、Ｂの仮名、Ａの仮名は分割して扱うことができるように、ユーザＡによる電子署名を行う場合は、アンケート内容＋（クエリＩＤ、Ｂの仮名、Ａの仮名）全体と、（クエリＩＤ、Ｂの仮名、Ａの仮名）に対して、各々電子署名を行うものとする。
【００３３】
回答の回収（アンサの回収）ステップ（Ｓ２０６）
アンケート実施者サーバ１０は非同期的にアンサ回収サーバ６０に問い合わせを行い、（クエリＩＤ、ユーザＢの仮名Ｂａ）の組み合わせに相当するアンケート（クエリ）が配置（格納）されている場合は、その内容取得を要求する。その際、アンサ回収サーバ６０は、該当するアンサから、（クエリＩＤ、ユーザＢの仮名Ｂａ、ユーザＡの仮名Ａａ）を取り出し、取引支援サーバ３０に二重回答と不正回答のチェックを依頼する。取引支援サーバ３０は、（クエリＩＤ、ユーザＢの仮名、Ａの仮名）から、同クエリに対する回答者の存在（レコードに存在する）ことを確認し、存在しない場合は、即座に不正回答であること（ＮＧ）をアンサ回収サーバ６０に返す。存在する場合かつ、回答状態が未回答である場合には、アンサ回収サーバ６０にＯＫを返し、それ以外はＮＧを返す。アンサ回収サーバ６０はＮＧを受け取った場合は何もしない。これにより、匿名性による多重回答（個人が複数の人間になりすまし、同一アンケートに多重に回答することによる不正取引）を防止することができる。アンサ回収サーバ６０は、ＯＫを受け取った場合は、アンケート実施者サーバ１０にアンケートの回答内容を送付し、取引支援サーバ３０に（クエリＩＤ、ユーザＢの仮名Ｂａ、ユーザＡの仮名Ａａ）とアンサ内容引き渡し済みを伝える。取引支援サーバ３０は、引き渡し済みの応答を受け取ると、対応する回答回数のレコードを回答済みとする。同時に、取引支援サーバ３０は、ポイントサーバ７０に対して、（クエリＩＤ、ユーザＢの実名、ユーザＡの実名）を送信し、回答済みであることを伝える。
【００３４】
ポイントの清算ステップ（Ｓ２０７）
ポイントサーバ７０は、回答済みのクエリに関するユーザＢの実名、ユーザＡの実名を取得し、取引支援サーバ３０から指定された価格をユーザＢからユーザＡへと移す（送金など）。
【００３５】
以上、本実施形態に係る情報取引システムは、アンケート実施者サーバ１０、回答者端末２０及び取引支援サーバ３０を備え、ステップＳ２０１〜ステップＳ２０５を順に行うため、アンケート回答者及びアンケート実施者の匿名性を維持したまま、アンケートを行うことができる。また、本実施形態に係る情報取引システムは、クエリ配布サーバ５０及びアンサ回収サーバ６０をさらに備えるため、アンケート回答者及びアンケート実施者の匿名性維持を強固にすることができる。さらに、本実施形態に係る情報取引システムは、ポイントサーバ７０をさらに備えるため、アンケート回答者の匿名性を維持したまま、情報取引（金銭取引）を可能とする。
【００３６】
（オプション１）
クエリＩＤとユーザＢの仮名Ｂａの組み合わせは、同２種の情報から取引支援サーバ３０が計算したハッシュ値であるクエリハッシュ値Ｈ（Ｂａ，ＱＩＤ）でも代用は可能である。この場合、取引支援サーバ３０は、クエリハッシュ値を算出したハッシュ関数を、クエリＩＤ及びユーザＢの仮名Ｂａとともに記憶する。
また、クエリＩＤとユーザＢの仮名ＢａとユーザＡの仮名Ａａの組み合わせは、同３種の情報から取引支援サーバが計算したハッシュ値である取引ハッシュ値Ｈ（Ｂａ，ＱＩＤ，Ａａ）でも代用可能である。この場合、取引支援サーバ３０は、取引ハッシュ値を算出したハッシュ関数を、クエリＩＤ、ユーザＢの仮名Ｂａ及びユーザＡの仮名Ａａとともに記憶する。
このように、ハッシュ値を使用することで、Ｂの仮名やＡの仮名が特定されない効果がある。
【００３７】
（オプション２）
価格などの回答の対価を提示する取引条件については、ステップＳ２０１におけるクエリ作成時にユーザＢが取引支援サーバ３０に送信し、記録することで、ステップＳ２０４において取引支援サーバ３０に記録されている取引条件をユーザＡに伝え、回答者端末２０における回答判断の材料として利用してもよい。また、ステップＳ２０７におけるポイントサーバ７０による決済時に、取引条件に応じた価格にするなどして利用することができる。
【００３８】
（オプション３）
アンケート実施者サーバ１０及び回答者端末２０は、各サーバへアクセスする際に、電子署名などの認証情報を送信してもよい。これにより、取引支援サーバ３０などの各サーバにおけるデータの改ざんや、他人へのなりすましを防止することができる。
【００３９】
（オプション４）
図２に示すシーケンスでは、ユーザＡとユーザＢの仮名取得の手続きを、クエリの生成などクエリに結びつけて行っているが、ユーザＡとユーザＢが仮名の取得だけを独立して行うことも可能である。この場合におけるアンケート実施者仮名の発行ステップＳ２０１から回答の回収ステップＳ２０６までのシーケンスの一例を、図３に示す。本シーケンスでは、図２で説明したステップＳ２０１〜ステップＳ２０５に代えて、ステップＳ３０１〜Ｓ３０５を順に有する。情報提供依頼配布手順において、ステップＳ３０１〜ステップＳ３０４を実行する。回答手順において、ステップＳ３０５を実行する。
【００４０】
ステップＳ３０１では、アンケート実施者サーバ１０が、取引支援サーバ３０へユーザＢの実名を送信し、仮名の発行要求を行う。取引支援サーバ３０は、ユーザＢの仮名Ｂａを発行してデータベースに登録するとともに、仮名Ｂａをアンケート実施者サーバ１０へ返信する。本シーケンスでは、クエリＩＤが有効であるか否かに関係なく、仮名Ｂａは友好である。
【００４１】
ステップＳ３０２では、回答者端末２０が、取引支援サーバ３０へユーザＢの実名を送信し、仮名の発行要求を行う。取引支援サーバ３０は、ユーザＡの仮名Ａａを発行してデータベースに登録するとともに、仮名Ａａを回答者端末２０へ返信する。本シーケンスでは、クエリＩＤが有効であるか否かに関係なく、仮名Ａａは有効である。
【００４２】
ステップＳ３０３では、アンケート（クエリ）の配布手順を行う。すなわち、アンケート実施者サーバ１０は、アンケート（クエリ）に、クエリＩＤと、ステップＳ３０１で取得したユーザＢの仮名Ｂａを記載して、回答者端末２０から取得可能な状態でクエリをクエリ配布サーバ５０に配置する。そして、クエリ配布サーバ５０は、クエリＩＤ、ユーザＢの仮名Ｂａ及び取引条件を、取引支援サーバ３０に送信する。取引支援サーバ３０は、クエリＩＤ、ユーザＢの仮名Ｂａ及び取引条件をデータベースに登録する。
【００４３】
ステップＳ３０４では、アンケート（クエリ）の取得手順を行う。具体的には、回答者端末２０は、ステップＳ３０３でクエリ配布サーバ５０に配置されたアンケート（クエリ）を取得し、記載されているクエリＩＤ、ユーザＢの仮名Ｂａ及び取引条件を得る。
【００４４】
ステップＳ３０５では、回答の送信（アンサの配置）手順を行う。具体的には、回答者端末２０は、クエリ処理を行ってアンケートに対する回答を作成してアンサ回収サーバ６０に配置する。
【００４５】
なお、ユーザＢが仮名の取得をクエリと独立して行う場合、すなわち、ユーザＢが仮名Ｂａを用いて複数回アンケートを行う場合は、ユーザＢの仮名Ｂａが特定されないように、クエリＩＤ及び仮名Ｂａの組み合わせに代えてクエリハッシュ値Ｈ（Ｂａ，ＱＩＤ）を用いることが好ましい。また、ユーザＡが仮名の取得をクエリと独立して行う場合、すなわち、ユーザＡが仮名Ａａを用いて複数回アンケートの回答を行う場合は、ユーザＡの仮名Ａａが特定されないように、クエリＩＤ、仮名Ｂａ及び仮名Ａａの組み合わせに代えて取引ハッシュ値Ｈ（Ｂａ，ＱＩＤ，Ａａ）を用いることが好ましい。
【００４６】
図４、図５及び図６に、取引支援サーバ３０における取引に関するデータベースの構成を示す。取引支援サーバ３０では、予め、この取引に参加する利用者（ユーザＡ、ユーザＢ）の実名、証明書などの認証情報が登録されているものとする（図４）。図２に示すステップＳ２０１及び図３に示すステップＳ３０３において、取引支援サーバ３０は、クエリＩＤとユーザＢの仮名によって一意に識別できるクエリレコードを作成、管理する（図５）。さらに、同レコードに記載される特定のクエリに対して、図２に示すステップＳ２０４及び図３に示すステップＳ３０５で回答者端末２０からの取引が発生すると、クエリＩＤ、ユーザＢの仮名Ｂａ、ユーザＡの仮名Ａａで一意に識別可能な取引の単位を取引レコードとして管理する（図６）。クエリレコードおよび、それに関する取引レコードは、クエリ（例ではアンケート）の終了により消滅する。
【００４７】
＜信用情報の取得＞
図２に示すステップＳ２０５及び図３に示すステップＳ３０５において、ユーザＢからのクエリに対して、ユーザＡが回答を作成する時に、回答者端末２０は、ユーザＢの信用度の評価を行い、回答の是非やどのような質問項目（具体的にはユーザＡの個人管理データへのアクセス）を許可するかを判断する。先に示した取引の手順では、ユーザＡの回答者端末２０では、ユーザＢの実名を知らされることがないため、ユーザＢの実名に基づく信用性の評価ができない。
【００４８】
そこで、本実施形態では、ユーザＡの回答者端末２０がユーザＡの仮名ＡａとユーザＢの仮名Ｂａを信用情報サーバ４０に送付し、信用情報サーバ４０が取引支援サーバ３０に両仮名を問い合わせることで、信用情報サーバ４０がユーザＡとユーザＢの実名を得る。信用情報サーバ４０は、ユーザＢの実名から、ユーザＡから見たユーザＢの信用度を予め登録されたデータベースより取得する。そして、信用情報サーバ４０は、ユーザＡの回答者端末２０へ仮名Ｂａの信用度を送信する。これにより、ユーザＡの回答者端末２０は、仮名Ｂａの信用度を取得することができる。
【００４９】
＜クエリからのアンサ生成、回答の手段＞
図７に、回答者端末２０におけるクエリ取得からアンサ作成及び回答までの処理の流れを示す。図９に示すように、クエリには、クエリＩＤ及びユーザＢの仮名Ｂａから構成されるクエリ特有の識別番号、回答の対価としての取引条件、回答を作成するタイミングを示す実行条件並びに質問内容リストが記述される。回答者端末２０内では、クエリは特定のサービスアプリケーションが取得（受信）可能であるが、そのままの形で保護領域内のデータアクセス管理部２２に転送される。その際にクエリ内容が暗号化されていない場合は、サービスアプリケーションが内容を参照することは可能である。保護領域とは、ＯＳ等のシステム管理機能によってソフトウェア的に分離され、保護領域外のサービスアプリケーションからは特定のＡＰＩによってのみ通信が可能で、内部のデータの独立性が保証されている領域を指す。相互に保護されているプロセス、独立した仮想計算機の機構により実現することが可能である。データアクセス管理部２２はクエリの内容を解析し、ポリシ管理部２３によって生成される回答ポリシに従って、クエリ全体およびクエリに含まれる質問毎の回答可否を判定する。回答可と判定された場合、データ格納部２１の個人管理データにアクセスを行い、クエリ処理を行うことによって回答を得る。
【００５０】
ここで、回答者端末２０は携帯電話やスマートフォンなどの移動通信端末であるが、データ格納部２１、データアクセス管理部２２及びポリシ管理部２３は、回答者端末２０と同じ筐体に格納されている必要はない。例えば、回答者端末２０の利用するデータが複数の端末に分散して格納されている場合は、当該複数の端末がデータ格納部２１となる。また、回答者端末２０の利用するデータを予め定められた管理サーバが管理している場合は、当該管理サーバがデータ格納部２１となる。データアクセス管理部２２及びポリシ管理部２３についてもデータ格納部２１と同様に、複数の端末で構成されていてもよいし、予め定められたサーバであってもよい。
【００５１】
図８にクエリ／アンサ処理を行うデータアクセス管理部２２及びデータ格納部２１の機能ブロック図を示す。
クエリ解析部２２４は、サービス管理部２４から取得したクエリに対して、以下の処理を実行する。
【００５２】
・暗号化されている場合は暗号を解除する。
・クエリに電子署名が記載されている場合は、電子署名を検証する。
・クエリ全体の書式等を検査する。
・クエリ内容を予め用意されているクエリテンプレート２２６と突き合わせ、クエリテンプレート２２６の項目毎のクエリ点数を取得後、データ格納部（ＤＢ）２１専用のクエリに変換する。図９に、クエリの内容の一例を示す。クエリは、例えば、クエリＩＤ、実行者仮名、取引条件、実行条件、質問内容リスト及びアンサ回収サーバの項目を有する。クエリＩＤには、クエリを識別する情報が記載される。実行者仮名には、ユーザＢの仮名Ｂａが記載される。取引条件には、ユーザＢから支払われるクエリ回答の対価が数値等で示される（Ｙ）。実行条件には、質問内容の演算及びアンサの生成／回答の条件などの回答を作成するタイミングが記載される。質問内容リストには、質問番号とその条件Ｃ及び処理Ｆが記載される。アンサ回収サーバには、アンサ送付先が記載されている。
・変換されたクエリ全体をデータ処理部２２３に転送する。
【００５３】
データ処理部２２３では、変換されたクエリに対して、以下の処理を実行する。
・クエリＩＤ、ユーザＢの仮名Ｂａ及び取引条件を抽出し、ポリシ管理部２３へ出力する。これにより、ポリシ管理部２３は、クエリ実行可能点数表を信用情報サーバ４０から取得して、回答可否を判定することができる。
・実行条件から、時間を監視して回答を実行する場合はタイマを設定し、特定の個人管理データ条件に適合した場合に回答する場合はリアルタイム監視部２２２に登録し、その他は即時に質問内容リストの変換されたクエリをＤＢ読み出し部２２１に指示して、データ格納部２１にアクセスさせる。
・クエリに対する回答が全部終了後、クエリ全体にアンサを付与してアンサ生成部２２５に送出する。これにより、アンサ生成部２２５は、回答を（アンサ）をアンサ回収サーバ６０に配置する。
【００５４】
リアルタイム監視部２２２は、以下の処理を実行する。
・登録された条件を監視し、条件を満足した場合に、データ処理部２２３に対して、該当クエリの実行を指示する。
【００５５】
アンサ生成部２２５は、以下の処理を実行する。
・アンサのフォーマットを整形する。
・署名若しくは暗号化又は署名及び暗号化を行う場合は、署名若しくは暗号化又は署名及び暗号化を実行する。
・アンサ回収サーバ情報に従って、アンサを特定のアンサ回収サーバ６０に返す。
【００５６】
以上がクエリ／アンサ処理の流れである。
【００５７】
本実施形態では、個人情報の管理者たるべき個人本人のポリシに基づいて、取引先の信用度、データの加工方法および個人情報と交換される価値から算定される個人情報の利用可否判断と、個人端末などの個人の管理計算機上のみで生データを管理し、同計算機上でデータ加工を行う機能を配置することにより、生データを提供することなく、個人の意図を反映したきめ細かいデータ利用の可否制御と、を実現している。
【００５８】
また、回答者端末２０から生データを流出することなく、回答者端末２０上でデータ処理を行い、取引相手であるユーザＢ側が必要とする情報のみを提供する機能を有することと、取引相手であるユーザＢの信用度と取引条件を考慮したきめ細かな個人データ利用の可否を決定する手順を有することで、プライバシーと生データを保護した形での情報取引を実現する。加えて、行動履歴など、逐次的に発生するイベントをリアルタイム監視し、上記のデータ利用可否判断を行うことで、将来蓄積されると予測されるデータの活用にも対応している。
【００５９】
また、サービスプロバイダ側となるユーザＢを仮名化する手順を有し、仮名／実名を管理変換する取引支援サーバ３０と、これとは別系統（ネットワークや管理者が別という意味）のデータ交換のための中間サーバ（クエリ配布サーバ５０やアンサ回収サーバ６０に相当）を設置し、サービスプロバイダ側（ここでは、アンケート実施者に相当するユーザＢ）の仮名と取引のみを識別するクエリＩＤを用いることで、実名／仮名の変換とデータの送受を非同期的に行うことを実現する。これにより、データ送受者双方を匿名化したまま、双方を特定せずにデータの送受と取引（決済も含む）を可能にしている。
【００６０】
発明によって生じる効果は、以下のとおりである。
・個人が蓄積しているデジタルデータから自動的に回答を導き出すため、人間とのインタラクションが発生せず、回答の正確性と、回答速度（質問量）が向上する。
・自動回答ではあるが、生データを直接出力するアクセス手段をマスクすることで、蓄積された生データが流出しない。また、データに対する操作ポリシを事前設定可能とすることで、個人管理データの保有者（個人）の意図しない情報の提供は防止できる。
・アンケートを実施する主体（情報を集めたい企業など）の信用度と情報取得の提示価格により、質問毎の回答の是非と、回答内容を制御できる。
・アンケート回答者の匿名性を維持したまま、情報取引（金銭取引）を可能とする。
・匿名性による多重回答（個人が複数の人間になりすまし、同一アンケートに多重に回答することによる不正取引）を防止する。
・回答のタイミングを制御して、未来の行動に対する質問にも回答できる。
【００６１】
＜生データを流出させない仕組みについて＞
（１）データの格納について（全体の構成）
個人管理データは何らかのデータベースに格納されているものとする。図７及び図８におけるデータ格納部２１に相当する。ここでは、データベースの種別は特定しない。このデータベースに直接アクセスを行いデータの読み出しを行うのがＤＢ読み出し部２２１である。ＤＢ読み出し部２２１では、データベースからデータを取り出す手続きを以下の形で一般化する。
【００６２】
・条件Ｃに該当するデータを全てデータベースより読み出す。時間を指定した読み出しのタイムアウトは想定する。条件Ｃとは、データベースにおいて特定のデータ群を分類できる全ての方法を指し、データベースの記録方法には依存しない。
【００６３】
（２）仮名からの信用度の取得について
データ格納部２１内の個人管理データの読み出しと処理に対しては、該当するデータの所有者（管理者）による参照の制限が課せられる。その判断は、クエリの発信元であるユーザＢの信用度（信用の度合いを示すレベル値に相当する）に基づいて行われる。よって、ポリシ管理部２３は信用情報サーバ４０にクエリ発行者の仮名Ｂａを送信し、信用情報サーバ４０に予め記録されている信用度のレベル値を取得する。このとき、仮名から実名への変換は、信用情報サーバ４０と取引支援サーバ３０との間で、仮名と実名の解決されることで実行される。
【００６４】
（３）格納されているデータへの読み出しと処理の方法について（処理の流れ）
クエリはクエリ解析部２２４で受信され、内容を解析される。クエリ解析部２２４では、クエリに記載されている以下の情報を抽出する。
・クエリの実行者（の仮名）
・取引条件（提示価格）
・実行条件
・質問内容リスト（質問項目）
・アンサ回収サーバ情報
【００６５】
これらの情報の中で、質問内容リストに従い、クエリテンプレートに従って、ＤＢ読み出し部２２１にデータ読み出しの指令を行い、得られた結果のデータに対して、指定された処理を実行し、質問内容に対する結果を得る。このとき、処理を以下のように一般化する。
・ＤＢ読み出し部２２１は、条件Ｃに該当するデータを全てデータベースより読み出す。図１０に、条件Ｃのテンプレートの一例を示す。条件Ｃのテンプレートは、データベース用のコマンドであり、例えば、ＳＱＬ等のコマンド列である。条件Ｃのテンプレートを参照することで、検索条件として予め定められた符号をデータベース用のコマンドに変換することができる。これにより、ネットワーク上で検索条件のキーワードが漏洩する事態を防ぐことができる。
・データ処理部２２３は、ＤＢ読み出し部２２１の読み出したデータに対して、処理Ｆを実行して、結果Ｒを得る。図１１に、処理Ｆのテンプレートの一例を示す。処理Ｆのテンプレートは、処理メソッドであり、例えば、条件Ｃに該当するデータ群に対して、平均、分散、最大値、最小値などの統計処理を施すことや、丸めや緯度経度の値から広域の住所（県単位や東、西日本など）への変換などの曖昧化処理などを指す。処理Ｆのテンプレートを参照することで、演算処理として予め定められた符号を処理メソッドに変換することができる。これにより、ネットワーク上で演算処理が漏洩する事態を防ぐことができる。
【００６６】
このとき、クエリに対するアンサの内容を制限する方法として、以下の２つを併用する。
・データベースから読み出すデータの条件Ｃに制限をかける。具体的には、特定の属性に対する読み出しそのものを拒否する。
・読み出されたデータに対して行う処理Ｆに制限をかける。
以下、同制限方法について説明する。
【００６７】
（４）データ読み出しの制限方法とデータ処理の制限方法
質問内容リストの各項目は、条件Ｃに適合するデータ群に対して、実施する処理Ｆの組み合わせで指定される。質問内容を実行するか否かの判断は、図１２に示すような、条件Ｃと処理Ｆの組み合わせによって決定される予め登録された判断のための関数Ｊを読み出すことで行う。例えば、条件Ｃ１〜Ｃｐのなかから条件Ｃに一致する条件を選択し、処理Ｆ１〜Ｆｑのなかから処理Ｆに一致する処理を選択し、選択した条件と処理との組み合わせで定義される関数Ｊを、関数Ｊ１１〜Ｊｐｑのなかから抽出する。図１３に、関数Ｊの一例を示す。関数Ｊは、取引条件とクエリ発行者の信用度の関数であり、条件Ｃ１〜Ｃｐに該当するデータ群に処理Ｆ１〜Ｆｑを施した結果の回答を、信用度Ｘのクエリ発信者に対して、提示価格などの取引条件Ｙで回答可能かどうかを返すものである。
【００６８】
ＤＢ読み出し部２２１によるデータの読み出しは、アクセス対象のデータを選別する条件Ｃの指定を、予め設定されたテンプレートを用いて制限する。
・条件Ｃのテンプレートには、クエリ実行者によって利用できる条件Ｃに相当するリストが設定されており、リストに無い条件Ｃを利用する質問内容は実行されない。
・同時に条件Ｃに対する処理Ｆの組み合わせについて、図１２に示すようなテンプレートによって処理の可否と実行可能なレベルを判断する関数Ｊを読み出し、質問への回答可否を判断する。
・回答可能な質問に対して、各質問の回答が対応する条件Ｃおよび処理Ｆに従い、ＤＢ読み出し部２２１によるデータベースからの読み出し、データ処理部２２３による処理の実行が行われ、回答可能な質問に対する結果Ｒ（複数可）が作成される。
【００６９】
（５）データの出力
アンサ生成部２２５は、回答可能な全ての質問に対する回答をデータ処理部２２３から取得すると、結果Ｒをアンサ（ファイル）として、クエリに指定されたアンサ回収サーバ６０に転送する。
【００７０】
（６）条件一致に基づくデータアクセスと出力の実行制御の方法
上記（１）〜（５）までの生データを流出させないための処理は、回答者端末２０が受け取ったクエリに対して、質問事項の回答可否を判断し、アンサを返すという一連の処理を示したものである。この場合、クエリの受信からアンサの返信までは連続的に実行されるものであるが、クエリに記載された実行条件により、質問事項への回答の演算およびアンサの返信のタイミングを制御できる。
【００７１】
データ格納部２１に格納される個人管理データは、ライフログのように行動記録が時系列的に行われていたり、イベント毎に記録されたりしており、逐次的にデータの追加更新が行われている。このデータ更新を、リアルタイム監視部２２２で監視し、更新内容が特定の条件に合致した場合に、質問内容の回答およびアンサの作成返信を実行する。リアルタイムで評価する質問項目については、（４）の方式で実行可否を評価し、可能な場合は、リアルタイム監視部で更新されるデータに対して条件一致と処理が行われる。リアルタイム監視については、条件に、“リアルタイム監視である”が加えて指定される。
クエリに実行条件の項目が指定される場合は、このリアルタイム監視が実行される。
【００７２】
以上説明したように、アンケートシステムを例にとると、本実施形態に係るシステム及び方法は、以下の効果を有する。
・個人が蓄積しているデジタルデータから自動的に回答を導き出すため、人間とのインタラクションが発生せず、回答の正確性及び回答速度（質問量）が向上する。
・処理Ｆを行うため、データ格納部２１に蓄積されている生データが流出しない。
・関数Ｊを読み出して質問への回答可否を判断するため、個人管理データの保有者（個人）の意図しない情報の提供を防止することができる。
・アンケートを実施する主体（情報を集めたい企業など）の信用度と情報取得の提示価格により、質問毎の回答の是非を制御できる。
・アンケート回答者の匿名性を維持したまま、情報取引（金銭取引）を可能とする。
・匿名性による多重回答（個人が複数の人間になりすまし、同一アンケートに多重に回答することによる不正取引）を防止する。回答のタイミングを制御して、未来の行動に対する質問にも回答できる。
【００７３】
（実施形態２）
本実施形態に係る情報取引システムは、データアクセス管理部２２がユーザＡの意思に従って回答を行うか否かの判断を行うことを特徴する。本実施形態では、簡単のため、実施形態１において図１２を参照しながら説明したデータ読み出しの制限方法とデータ処理の制限方法に代えて、本実施形態に係る処理を行う。
【００７４】
図１４に、本実施形態に係るデータ処理部の構成例を示す。データ処理部２２３は、信用度判定部３１と、確認部３２と、レコード更新部３３と、クエリ処理部３４と、を備える。図１５に、本実施形態に係る情報取引方法のフロー図を示す。本実施形態に係る情報取引方法は、信用度判定手順と、確認手順と、プライバシー度更新手順と、回答処理手順と、を順に有する。信用度判定手順では、ステップＳ４０１〜Ｓ４０２を実行する。確認手順では、ステップＳ４０３を実行する。プライバシー度更新手順では、ステップＳ４０４又はＳ４０６を実行する。回答処理手順では、ステップＳ４０５又はＳ４０７を実行する。
【００７５】
ステップＳ４０１では、信用度判定部３１が、信用情報サーバ４０へ、仮名Ｂａの信用度Ｘを問い合わせるとともに、情報提供依頼で要求されている情報のプライバシー度Ｚを問い合わせる。信用情報サーバ４０は、仮名Ｂａの実名を取引支援サーバ３０へ問い合わせて実名Ｂを取得し、信用度管理レコードを参照して実名Ｂの信用度Ｘを取得する。また、信用情報サーバ４０は、プライバシー度管理レコードを参照して情報提供依頼で要求されている情報ｉのプライバシー度Ｚを取得する。そして、信用情報サーバ４０は、仮名Ｂａの信用度Ｘ及び情報ｉのプライバシー度Ｚを信用度判定部３１へ送信する。
【００７６】
図１６に、信用度管理レコードの一例を示す。図１７に、プライバシー度管理レコードの一例を示す。信用度管理レコードは、各情報収集者の信用度Ｘが情報収集者の実名と共に記録されている。プライバシー度管理レコードは、個人管理データとして格納されている情報のプライバシー度Ｚが、情報の種類ごとに記録されている。プライバシー度Ｚは、例えば、情報の種類ｉがユーザＡの氏名であればプライバシー度は高く、情報の種類ｉが趣味であればプライバシー度は低い。これらレコードに記録されている信用度Ｘ及びプライバシー度Ｚは数値化されており、回答者端末２０から設定可能になっている。
【００７７】
次に、信用度判定部３１は、情報提供依頼の送信元の信用度Ｘが情報のプライバシー度Ｚよりも低いか否かを判定する。
Ｘ≧Ｚであれば、信用度判定部３１は、回答を行う旨をクエリ処理部３４へ出力し、ステップＳ４０５へ移行する。
一方、Ｘ＜Ｚであれば、信用度判定部３１はステップＳ４０２へ移行する。
【００７８】
ステップＳ４０２では、信用度判定部３１は、信用度Ｘとプライバシー度Ｚの差分を算出し、当該差分が予め定められた設定値未満であるか否かを判定する。
差分が設定値以上である場合、信用度判定部３１は、回答しない旨をクエリ処理部３４へ出力してステップＳ４０７へ移行する。
一方、差分が設定値未満の場合、信用度判定部３１は、ユーザＢａの信用度Ｘと要求されている情報を確認部３２へ出力し、ステップＳ４０３へ移行する。
【００７９】
ステップＳ４０３では、確認部３２が、ユーザＢａの信用度Ｘと要求されている情報を、回答者端末２０の表示部（不図示）に出力する。これにより、表示部に、確認メッセージが表示される。確認メッセージには、情報を提供してよいか否かを問う旨、情報収集者の信用度Ｘ及び情報ｉが含まれる。ユーザＡは、この確認メッセージに基づき、回答するか否かを回答者端末２０に入力する。確認部３２が回答する旨の入力を取得すると、ステップＳ４０４へ移行する。確認部３２が回答しない旨の入力を取得すると、ステップＳ４０６へ移行する。
【００８０】
ステップＳ４０４では、レコード更新部３３は、要求されている情報のプライバシー度Ｚを一定値下げ、信用情報サーバ４０に格納されているプライバシー度のうち、ユーザＡによって回答すると入力された情報ｉのプライバシー度を更新する。例えば、プライバシー度がレベル１〜レベル２０の２０段階である場合、プライバシー度をレベル１下げる。
【００８１】
ステップＳ４０５では、クエリ処理部３４が、クエリに記載されている質問内容リストの条件Ｃ及び処理Ｆに従い処理を行い、処理結果をアンサ生成部２２５へ出力する。
【００８２】
ステップＳ４０６では、レコード更新部３３は、要求されている情報いのプライバシー度Ｚを一定値上げ、信用情報サーバ４０に格納されているプライバシー度のうち、ユーザＡによって回答しないと入力された情報ｉのプライバシー度を更新する。例えば、プライバシー度がレベル１〜レベル２０の２０段階である場合、プライバシー度をレベル１上げる。
【００８３】
ステップＳ４０７では、クエリ処理部３４が、クエリに記載されている質問内容リストの処理を行わない旨をアンサ生成部２２５へ出力する。
【００８４】
以上が本実施形態に係る情報取引方法の流れである。本実施形態に係る情報取引方法は、ユーザＢの信用度Ｘと情報のプライバシー度Ｚが近い場合、情報所有者であるユーザＡに対して、情報の相手への開示が可能か否かを確認する。この際、ユーザＡが開示を認めた場合、情報のプライバシー度をやや下げる。拒否した場合は、情報のプライバシー度をやや上げる。
【００８５】
実施形態１において図１２を参照しながら説明したデータ読み出しの制限方法とデータ処理の制限方法を考慮して、より一般化すると、以下のようになる。
要求される情報ｉのプライバシー度をｐｒｉｖ（ｉ）、情報の要求者Ｂの信用度をｃｒｅｄ（Ｂ）、情報の価値をｐｒｉ（ｉ，ｃｒｅｄ（Ｂ））、取引条件に記載されたユーザＢの提示価格をｐとする。また、ユーザＡに、開示の可否を尋ねる場合の差をεとし、更新値をνとする。この場合、νはεに比べて十分に小さいとする。
【００８６】
ステップＳ４０１において、信用度Ｘとプライバシー度Ｚの比較に代えて、図１２及び図１３で説明したように、関数Ｊを用いて回答を行うか否かを判定する。
【００８７】
このとき、ユーザＢの信用度Ｘと情報ｉのプライバシー度によって定められる情報の価値ｐｒｉ（ｉ，ｃｒｅｄ（Ｂ））がユーザＢの提示価格ｐ以上であるか否かによって回答するか否かを判定してもよい。この場合、ｐｒｉ（ｉ，ｃｒｅｄ（Ｂ））＜ｐの場合は無条件で情報を相手に渡さない。ここで、ｐｒｉ（ｉ，ｃｒｅｄ（Ｂ））は、ユーザＢの信用度ｃｒｅｄ（Ｂ）に対する情報ｉの価値を表す。一般には、ユーザＢの信用度が高いほど、情報の価値は低くなり、信用度が低いほど、情報の価値は高くなる。
【００８８】
次に、ステップＳ４０２において｜ｐｒｉｖ（ｉ）−ｃｒｅｄ（Ｂ）｜＜εの場合はステップＳ４０３へ移行し、情報の所有者に対して、ユーザＢにｉの情報を渡すか否かを尋ねる。Ｂが匿名の場合は、ｃｒｅｄ（Ｂ）の信用度を持つユーザＢにｉの情報を渡すかを尋ねる。
【００８９】
もしユーザＡが情報ｉを渡すならば、情報のプライバシー度ｐｒｉｖ（ｉ）をｐｒｉｖ（ｉ）−νに更新する（Ｓ４０４）。逆に、もしユーザＡが情報ｉを渡さないならば、情報のプライバシー度ｐｒｉｖ（ｉ）をｐｒｉｖ（ｉ）＋νに更新する（Ｓ４０６）。
【００９０】
なお、もしユーザＢが匿名でない場合は、ステップＳ４０４及びステップＳ４０６において、ユーザＢの信用度ｃｒｅｄ（Ｂ）を更新してもよい。この場合、ステップＳ４０４において、ユーザＢの信用度ｃｒｅｄ（Ｂ）を、ｃｒｅｄ（Ｂ）＋νに更新する。逆に、もし所有者が情報ｉを渡さないならば、ステップＳ４０６において、ユーザＢの信用度ｃｒｅｄ（Ｂ）を、ｃｒｅｄ（Ｂ）−νに更新する。
【００９１】
Ｂが匿名の場合、εは情報ｉと現在時間ｔによって定められる関数としても良い。例えば情報回答者が回答者の端末で情報ｉに関する質問の回答を行った時刻をＴｉとするならば、εをｔ−Ｔｉの値の増大に応じて徐々に増加するようにすれば、ある情報ｉに関する最後の問い合わせからある程度の時間が経過すると再度、ユーザに情報を渡すか否かを確認するようになる。こうすることで、回答者に一定時間毎に、情報のプライバシー度に変化がないかを確認することができるようになる。
【００９２】
また、ユーザＢが匿名でない場合、ステップＳ４０４及びステップＳ４０６において、情報のプライバシー度ｐｒｉｖ（ｉ）及びユーザＢの信用度ｃｒｅｄ（Ｂ）の両方を更新してもよい。この場合、同じ情報ｉを何度もユーザＢが要求し、かつユーザＡがそれに対して開示を認めるならば、開示を認めるたびに、ｃｒｅｄ（Ｂ）とｐｒｉｖ（ｉ）の差は２νずつ広がるので、２ｎν＞εとなるｎ回目以降は、本システムはユーザＡに同じことを尋ねなくなり、情報の開示を認めるか否かの判断を自動的に相手に判断する。この作業を繰り返すことにより、各情報のプライバシー度および各情報収集者の信用度は自動的に補正され、より適切な処理をユーザＡの手を煩わせることなく自動的に行えるようになる。
【００９３】
Ｂが匿名でない場合、εはユーザＢと現在時間ｔによって定められる関数としても良い。例えば情報回答者が回答者の端末でユーザＢに関する質問の回答を行った時刻、またはユーザＢと交流があった最後の時刻をＴＢとするならば、εをｔ−ＴＢの値の増大に応じて徐々に増加するようにすれば、最後の問い合わせからある程度の時間が経過すると再度、ユーザに情報を渡すか否かを確認するようになる。こうすることで、回答者に一定時間毎に、相手の信頼度に変化がないかを確認することができるようになる。
【産業上の利用可能性】
【００９４】
本発明は情報通信産業に適用することができる。
【符号の説明】
【００９５】
１０：アンケート実施者サーバ
２０：回答者端末
２１：データ格納部
２２：データアクセス管理部
２３：ポリシ管理部
２４：サービス管理部
２２１：ＤＢ読み出し部
２２２：リアルタイム監視部
２２３：データ処理部
２２４：クエリ解析部
２２５：アンサ生成部
２２６：クエリテンプレート
３０：取引支援サーバ
３１：信用度判定部
３２：確認部
３３：レコード更新部
３４：クエリ処理部
４０：信用情報サーバ
５０：クエリ配布サーバ
６０：アンサ回収サーバ
７０：ポイントサーバ
【図１】
0005602782.tif 000002
【図２】
0005602782.tif 000003
【図３】
0005602782.tif 000004
【図４】
0005602782.tif 000005
【図５】
0005602782.tif 000006
【図６】
0005602782.tif 000007
【図７】
0005602782.tif 000008
【図８】
0005602782.tif 000009
【図９】
0005602782.tif 000010
【図１０】
0005602782.tif 000011
【図１１】
0005602782.tif 000012
【図１２】
0005602782.tif 000013
【図１３】
0005602782.tif 000014
【図１４】
0005602782.tif 000015
【図１５】
0005602782.tif 000016
【図１６】
0005602782.tif 000017
【図１７】
0005602782.tif 000018