(57)【要約】【課題】多数のユーザから収集したユーザデータを、個人のプライバシを守りながら安全に管理し、しかも収集したユーザデータをサービスの提供に効果的に反映させることを可能にする。【解決手段】データ解析を行う機能部、つまりデータ集計部１００をサービス提供者サーバＳＶとは別のデータ統計化プラットフォームＰＦに設けるようにしている。ユーザの個人情報（ユーザデータ）を、データ統計化プラットフォームＰＦにのみ送信し、サービス提供者サーバＳＶにはデータ集計部１００により集計されたデータのみを送信するようにしている。【選択図】      図１
2014164585.tif 000002
【特許請求の範囲】
【請求項１】
ユーザから送信されるデータをもとにサービス提供者サーバにてサービスを前記ユーザに対し提供するサービス提供システムにおいて、
前記ユーザが使用するユーザ端末上で動作するデータ収集部から送信されたユーザデータの集計処理を実行し、前記サービス提供者サーバに対しては集計された結果データのみを送信するデータ集計部を備えることを特徴とするサービス提供システム。
【請求項２】
前記ユーザからのデータ収集に先立ってユーザに提示するサービス説明情報に、署名およびデータの集計処理スクリプトを含み、
前記データ集計部は、前記サービス説明情報を取得し、前記サービス説明情報に含まれる前記署名を検証したうえで前記サービス説明情報に含まれる集計処理スクリプトを参照して、前記データの集計処理を実行することを特徴とする請求項１記載のサービス提供システム。
【請求項３】
前記データ集計部は、前記サービス提供者サーバを含む外部サーバにデータを送信する際、送信した全てのデータをログとして記憶し、後に参照可能とするログ記憶部を備えることを特徴とする請求項１記載のサービス提供システム。
【請求項４】
前記サービス説明情報に、前記ユーザから送信されたデータの保管期限の情報を含み、
前記データ集計部は、前記ユーザから送信されたデータを記憶するユーザデータ記憶部を備え、前記サービス説明情報に含まれる保管期限の情報に基づいて、前記データの保管期限を越えたデータを前記ユーザデータ記憶部から削除することを特徴とする請求項２記載のサービス提供システム。
【請求項５】
ユーザから送信されるデータをもとにサービス提供者サーバから前記ユーザに対しサービスを提供するサービス提供方法において、
前記サービス提供者サーバとは別のサーバまたは端末に備えられるデータ集計部において、前記ユーザが使用するユーザ端末上で動作するデータ収集部から送信されたユーザデータの集計処理を実行し、
前記サービス提供者サーバに対して集計された結果データを送信することを特徴とするサービス提供方法。
【請求項６】
ユーザに対しサービスを提供するサービス提供者サーバに対し接続可能なデータ集計装置であって、
ユーザ端末上で動作するデータ収集部から送信されたユーザデータの集計処理を実行する手段と、
前記サービス提供者サーバに対して集計された結果データを送信する手段とを具備することを特徴とするデータ集計装置。
【請求項７】
ユーザに対しサービスを提供するサービス提供者サーバに対し接続可能なデータ集計装置により実行されるプログラムであって、前記データ集計装置を、
前記ユーザが使用するユーザ端末上で動作するデータ収集部から送信されたユーザデータの集計処理を実行し、
前記サービス提供者サーバに対して集計された結果データを送信するように動作させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、高度なサービス提供あるいは研究目的のために様々な個人の情報を利用したい事業者に対して、個人のプライバシを守りながら安全に個人情報を提供・管理できることを可能とするサービス提供システム、サービス提供方法、データ集計装置及びプログラムに関する。
【背景技術】
【０００２】
スマートフォンの普及に伴い、モバイル端末上でのアプリケーションが一般ユーザに普及している。これらのアプリケーションが、モバイル端末に保存されている個人管理データを勝手に抜き取り、外部（アプリ開発会社等）に送信しているケースがあり、社会問題となっている。これらの不正アプリの存在により、一般ユーザのモバイルアプリへの信頼性が毀損され、不正をしていないサービス事業者の個人情報の取り扱いについても、不信が持たれている。
【０００３】
一方で、データ解析技術の発展に伴い大規模なデータ解析に基づいた研究調査やサービス開発が一般的になりつつある。このためサービス事業者としては、自らが扱う個人情報の扱いについてユーザから信頼してもらいながら、ユーザから集めたデータを解析するための技術的な基盤を構築することが求められている。
【０００４】
従来、個人の所有する端末に蓄積された情報（個人管理データ）を第三者のサービスが活用することを目的として、個人管理データの情報取引（匿名化した上での第三者に提供）することを可能とする情報取引システムが提案されていた（非特許文献１）。
非特許文献１に示される技術では、個人の所有する端末（ユーザ端末）に、その個人の管理下において動作するデータ管理エージェントをインストールして、そのエージェントが個人管理データの問い合わせに対して回答可否を判断している。これによって、そのユーザのポリシの下、許可された情報だけを事業者に対して開示することを可能としている。
【０００５】
また従来、コンピュータ上で実行されるプログラムに対して署名を付与することにより、プログラム作成者の意図したとおりのプログラムがコンピュータ上で実行されることを保証する（コンピュータにロードされるプログラムに意図しない改ざんがされていないことを検知する）コード署名技術が使われている。また、監査機関がプログラムの動作の正当性を検証した上で署名を付与する仕組みも、例えばWindows（登録商標）のドライバ署名（WHQL署名）や、モバイルアプリケーションストア（Apple社のApp Store）などで用いられている。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】匿名でデータを取引流通させる実世界データ管理エージェントのアーキテクチャ
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上記の従来技術では、ユーザ端末上において情報を収集しかつ加工することによってユーザ個人のプライバシに直結する生データがサービス事業者に渡ることを防ぐことを可能としている。また、情報提供先となるサービス事業者の信用度を元に、ユーザのポリシに応じて個人管理データの提供可否を判断できるようにし、ユーザが信頼しない事業者にデータが渡らないようにしている。
【０００８】
本技術では情報の加工がユーザ端末上で行われるため、個人管理データの曖昧化（例えば年齢を18才、ではなく10代として回答する）や、匿名化（例えば回答に含まれる実名を削除する）等の処理はユーザ端末上で可能なものの、複数の個人間のデータの集計が必要な場合（例えば平均値を計算したい場合）は、生データを直接サービス事業者に渡す必要があった。
【０００９】
しかし、上述のように、サービス事業者に対するユーザの不信感が高まっている状況では、信用度を元に個人管理データの提供許諾を取り、生データを取得することは難しい。
例えばサービス事業者が小規模事業者である場合など、十分な社会的信用が蓄積されていない状態では、ユーザのポリシによって個人管理データの提供許諾が得られないため、サービス事業者は個人管理データを活用したサービスを提供できない。また規模の大きい事業者としても、ひとたび情報流出の事故などによって信用度が毀損されると、その後ユーザからの信頼性を向上させることは困難であり、個人管理データ活用サービスの提供が困難になる。
【００１０】
いずれの場合にしてもユーザからの信頼性向上が困難な原因は、サービス事業者がユーザから提供された個人管理データを適切に扱っているかどうかユーザが確認する手段がなく、またサービス事業者としても個人管理データの濫用をしていないことを自ら証明することは困難であることが理由である。
【００１１】
コード署名技術を用いた場合も、ユーザ端末上で動作するプログラムの動作についてはチェックし信用度を高めることが可能だが、プログラム動作の結果としてサービス事業者に送信された個人管理データが、サービス事業者の中でどのように利用されるかまではチェックできないため、上記のような課題を解決できない。
【００１２】
本発明の目的は、多数のユーザから収集したユーザデータを、個人のプライバシを守りながら安全に管理し、しかも収集したユーザデータをサービスの提供に効果的に反映させることを可能にするサービス提供システム、サービス提供方法、データ集計装置及びプログラムを提供することにある。
【課題を解決するための手段】
【００１３】
上記目的を達成するために、本願発明のサービス提供システムでは、データ解析を行う機能部をサービス提供者のサーバとは別に設けることで、サービス事業者が個人管理データを直接扱わなくてもデータ解析可能とする。これによって、サービス事業者がユーザから高い信頼を得られない場合でも個人管理データを利用したデータ解析結果を利用可能とし、研究調査やサービス改善に活かせるようにする。
【００１４】
一般に、個人情報（個人の所有する端末に蓄積された情報や、CGM等の個人が作成したデータを含む）を収集し活用するサービスでは、ユーザから個人情報の収集することの許諾を明示的に得ること（オプトイン）が要請されている。通常、サービス事業者は、サービス利用規約の中で個人情報の利用目的や管理方法を記載し、ユーザがこの規約に同意したことを持って許諾とする手法を採っている。
【００１５】
本発明では、このサービス利用規約の中に、個人情報の収集方法（収集ロジック）と、収集された個人情報の利用方法（集計ロジック）を、スクリプト（プログラム）として明記し可視化する。
また、規約に記載された収集ロジックを実行するデータ取得部と、集計ロジックを実行されるデータ集計部を、データ統計化プラットフォームの一部として設け、サービス提供者のサーバから分離する。
【００１６】
これにより、個人情報の収集および集計について、規約に明記された処理のみがプラットフォーム内で実行され、サービス提供者には集計処理結果のみが送信されていることを保証する（サービス提供者以外の者が確認する）ことが可能となる。
このため、ユーザがサービス利用規約をチェックし、収集ロジックおよび集計ロジックの内容を確認した上で規約に同意（個人情報提供を許諾）した場合、サービス事業者が規約に記載の通りの方法で個人情報を扱っていることを保証できる。
【００１７】
具体的な保証の方法は、以下のように多段階でおこなわれる。  
まず外部監査機関が、サービス規約とスクリプトが矛盾していないかどうか（規約外の処理をスクリプトがしていないかどうか）を監査する。監査結果が問題ない場合、スクリプトを含むサービス利用規約に監査者の署名を付与する。
【００１８】
データ集計部は、署名済みの規約からスクリプトを参照し、実行する。署名によりスクリプトの改ざんが不可能であるため、データ集計部では規約に記載のスクリプト（監査が通った処理）のみが動くことが保証できる。
データ集計部は、外部（サービス事業者）に送信するデータをログとしてログ記憶部に記録する。これにより、集計処理の結果のみがサービス提供者に送信されたこと、個人管理データが外部に直接送信されていないこと、を外部から確認できるようにする。
【００１９】
また、データ集計部は、ユーザから送信された個人管理データが、サービス規約に記載された有効期間を越えてプラットフォーム内のユーザデータ記憶部に保管されていないように、ユーザデータ記憶部に記憶されたデータのうち有効期間を超えたデータの削除を行う。これによって、情報漏洩事故などによって不意にユーザ管理データが流出することを防ぐ。
【発明の効果】
【００２０】
本発明を実施したプラットフォームを用いるサービスでは、ユーザの個人情報を直接扱うのはプラットフォーム（データ集計部）のみであり、サービス事業者には集計されたデータのみが送信されることを保証できる。
個人ユーザは、自分の提供する情報がサービス提供者に濫用されていないかどうか、確認できるようになるため、様々なサービスに対して情報を提供することが可能となり、様々なサービスによるメリットを享受しやすくなる。
【００２１】
サービス事業者は、ユーザからの信用度が低い場合においても、本プラットフォームを用いればサービス規約に則ったデータ処理が行われていることを証明できるため、ユーザからの個人情報収取許諾を受けやすくなり、個人情報を活用した研究調査やサービス提供が可能となる。
【図面の簡単な説明】
【００２２】
【図１】本発明におけるサービス提供システムの概略構成図。
【図２】本発明で取り扱うサービス説明情報のフォーマット例を示す図。
【図３】上記図１に示したデータ集計部の構成を示すブロック図。
【図４】本発明のサービス提供システムにおけるユーザへのサービスの提供からユーザデータの集計結果データの送信までのシーケンス図。
【図５】本発明のデータ集計部におけるサービス説明発行からユーザデータ削除までのシーケンス図。
【図６】本発明の第１の実施形態におけるサービス説明の具体例を示す図。
【図７】本第１の実施形態において、ユーザデータ記憶部内に記録されるデータの例を示す図。
【図８】本発明の第２の実施形態で取り扱うサービス説明の例を示す図。
【図９】本発明の第３の実施形態で取り扱うサービス説明の例を示す図。
【図１０】サービス提供システムの比較例を説明するために示す図。
【発明を実施するための形態】
【００２３】
添付の図面を参照して本発明の実施形態を説明する。以下に説明する実施形態は本発明の実施の例であり、本発明は、以下の実施形態に制限されるものではない。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。
【００２４】
第１の実施形態は、ユーザ端末から、ユーザのプロファイル（年齢、性別）と体型データ（身長、体重）の情報を集め、プロファイル毎の体型データの平均値を計算する調査サービスの例である。
第２の実施形態は、ユーザ端末から、ユーザのプロファイル（年齢、性別）と一週間の電力使用量を定期的に集め、プロファイル毎の平均電力使用量の経時変化を調査するサービスの例である。
【００２５】
第３の実施形態は、ユーザ端末から、ユーザのプロファイル（年齢、性別）と位置情報を、ユーザが特定場所に近づいた度に集め、特定場所のユーザの集客度合いを即時解析するサービスの例である。
（第１の実施形態）
例えば個人の年齢および性別毎の体型を調査することを目的として、ある調査機関が複数の個人ユーザのプロファイル情報（年齢、性別）と体型情報（身長、体重）を収集する、というサービス例を考える。このサービスでは、個人ユーザの端末に記録されている情報を提供してもらった上で、データ統計化プラットフォームがプロファイル毎に体型データ平均値の集計を行い、集計結果を調査機関に送信する。
【００２６】
図１は、本サービスの構成例を示す。
調査機関は、サービス提供者サーバＳＶを所有し、そのサービス提供者サーバＳＶではサービス提供部ＳＰが動作している。サービス提供部ＳＰは、各ユーザＡ〜Ｃからの要求に応じて、各ユーザＡ〜Ｃの端末ＴＡ〜ＴＣに対し無線または有線から成る通信ネットワークを介して例えばアプリケーションプログラムの配信といったサービスを提供するものである。
【００２７】
ユーザＡの端末ＴＡは、上記サービス提供者サーバＳＶから配信される例えばアプリケーションプログラムを受信して、データベースＤＢＡに記憶する。端末ＴＡの図示しない制御回路は、図示しない入力部からアプリケーション実行開始指示が入力された場合に、データベースＤＢＡに記憶されているアプリケーションプログラムを実行する。さらに、データベースＤＢＡには、ユーザの個人情報（この実施形態では年齢、性別、身長、体重、その他）が記録されている。
【００２８】
また、アプリケーションプログラムを受信する場合、ユーザＡはサービス提供者サーバＳＶからサービス説明情報（以下、サービス説明と称する）を受信し、データベースＤＢＡに記録する。サービス説明は、図２に示すように、例えばアプリケーションプログラムの種類に相当するサービスＩＤ、サービスの概要、個人から収集する情報の種別・目的・利用方法等を記載したサービス規約、データ収集スクリプト、収集スクリプト実行タイミング、データ集計スクリプト、集計スクリプト実行タイミング、ユーザデータ保管期限、サービス署名などのパラメタを含めた情報である。
【００２９】
ところで、このシステムは調査機関とは別の事業者が、データ統計化プラットフォームＰＦを所有している。データ統計化プラットフォームＰＦでは、データ集計部１００が動作している。
一方、ユーザＡの端末ＴＡは、データ取得部ＤＡＡを備えている。データ取得部ＤＡＡは、サービス説明に含まれるデータ収集スクリプト及び収集スクリプト実行タイミングに基づいて、データベースＤＢＡに記録されるユーザＡの個人管理データ（以下、ユーザデータと称する）をデータ統計化プラットフォームＰＦのデータ集計部１００に送信する。また、他のユーザＢの端末Ｂにも、データ取得部ＤＡＢ及びデータベースＤＢＢを備えており、さらに他のユーザＣの端末Ｃにも、データ取得部ＤＡＣ及びデータベースＤＢＣを備えている。
【００３０】
上記データ集計部１００は、図３に示すように、データ受信部１１０、データ送信部１２０、スクリプト実行部１３０、署名確認部１４０、ユーザデータ記憶部１５０、ログ記憶部１６０、ユーザデータ消去部１７０で構成される。データ受信部１１０は、上記サービス提供部ＳＰから送信されるサービス説明、及び各端末ＴＡ〜ＴＣから送信されるユーザデータを受信する。各端末ＴＡ〜ＴＣから送信されるユーザデータは、ユーザデータ記憶部１５０に記憶される。
【００３１】
署名確認部１４０は、上記サービス提供部ＳＰから送信されるサービス説明に含まれるサービス署名を検証する。スクリプト実行部１３０は、上記署名確認部１４０によりサービス署名が正しい場合に、サービス説明に含まれるデータ集計スクリプトを参照して、ユーザデータ記憶部１５０に記憶された各ユーザデータの集計処理を実行する。
【００３２】
データ送信部１２０は、上記スクリプト実行部１３０により生成される集計結果データをサービス提供部ＳＰへ送信する。サービス提供部ＳＰに送信した全てのデータは、ログとしてログ記憶部１６０に記憶される。このログは、集計処理の結果のみがサービス提供部ＳＰに送信されたこと、ユーザデータが外部に直接送信されていないこと、を外部から確認するために後で参照される。
【００３３】
ユーザデータ消去部１７０は、サービス説明に含まれるユーザデータ保管期限の情報に基づいて、保管期限を越えたユーザデータをユーザデータ記憶部１５０から削除する。
次に、上記構成における動作について説明する。
図４は、ユーザへのサービスの提供からユーザデータの集計結果データの送信までのシステム全体のシーケンスを示している。本第１の実施形態におけるサービスの動作を、図４のシーケンスに沿って説明する。なお、下記の番号（ステップ番号）はシーケンス図中の番号に対応する。さらに、図５は、サービス説明発行からユーザデータ削除までのデータ集計部１００のシーケンスを示す図である。
【００３４】
サービス提供者（本第１の実施形態では調査機関）は、サービス提供に先立ちサービス説明を作成し、サービス提供部ＳＰに登録する（ステップＳ４−１）。
サービス説明には、図２に示す通り、サービスID、サービスの利用規約、ユーザから集めたいデータ（ユーザデータ）とその収集ロジック（検索式）を記載した収集スクリプト、集めたユーザデータを集計するロジックを記載した集計スクリプト、ユーザデータの保管期限、サービス署名を少なくとも含む。
【００３５】
サービス提供者は、サービス説明の（サービス署名部分を除く）全体について、サービス提供者以外の機関ＣＴ（図１では監査機関とする）に対して提示し、予め監査を受ける。監査機関ＣＴは、サービス規約の内容（ユーザデータの利用目的、利用方法等）との収集スクリプトおよび集計スクリプトの処理内容に矛盾がないかどうかを監査し、問題がない場合には、サービス説明に対して自身の証明書で電子署名を与える。
【００３６】
監査機関ＣＴは、データ匿名化プラットフォームの運用事業者であっても良いし、それ以外の第三者であっても良い。
サービス提供者が、監査機関ＣＴによるサービス署名付与を省略して、サービス提供者自身の証明書で署名するケースも考えられる。この場合は、サービス規約とスクリプトの内容が乖離していない事を第三者が確認していないため、ユーザデータを守るセキュリティのレベルは低下する。この場合、サービスを受けるユーザは、サービス説明に記載のスクリプトの内容を精査し、サービス規約との矛盾が無いかどうか自らチェックする必要が生じる。
【００３７】
監査機関ＣＴの署名を付与されたサービス説明については、ユーザはサービス利用規約の内容と、スクリプトの内容が乖離していないことを、ユーザ自身が内容を精査しなくとも（監査機関ＣＴによる監査結果を信頼するという意味で）確認できる。
本第１の実施形態におけるサービス説明の具体例を図６に示す。
【００３８】
図５において、サービス提供部ＳＰは、サービス説明をデータ集計部１００に発行（送信）する（ステップＳ４−２，Ｓ５−１）。
データ集計部１００のデータ受信部１１０は、署名確認部１４０に対しサービス説明の署名確認を要求する（ステップＳ５−１−１）。この要求に対し署名確認部１４０は、サービス説明の署名の確認を行い（ステップＳ５−１−２）、確認結果をデータ受信部１１０へ返送する。データ受信部１１０は、サービス説明の署名を確認（改ざんがないことを確認）した上で、集計スクリプトおよびサービス説明全体を、サービス署名とともにスクリプト実行部１３０に送信し（ステップＳ５−１−４）、スクリプト実行部１３０内に記憶する（ステップＳ４−２−１，Ｓ５−１−５）。なお、サービス署名はこのサービス説明を識別する検索キーとしても利用される。
【００３９】
各ユーザ端末ＴＡ，ＴＢ，ＴＣのデータ取得部ＤＡＡ，ＤＡＢ，ＤＡＣは、サービス提供部ＳＰからサービス説明を取得する（ステップＳ４−３）。また、サービス署名を確認し、サービス説明が改ざんされていないことを確認する。
データ取得部ＤＡＡ，ＤＡＢ，ＤＡＣは、サービス提供部ＳＰ以外のサーバ（例えば一般のウェブサイト）などからサービス説明を取得しても良い。サービス説明には署名が含まれるため、サービス説明の取得のための方法の信頼性が低くても問題はない。
【００４０】
データ取得部ＤＡＡ，ＤＡＢ，ＤＡＣは、ユーザにサービス説明の内容を表示し（ステップＳ４−４）、サービス実施（すなわちユーザデータの送信）の許可あるいは拒否の判断を求める。
ここでユーザは、サービス利用規約および収集スクリプト、集計スクリプトの内容、サービス署名等を確認して、許可あるいは拒否を判断できる。
【００４１】
サービス実施がユーザから許可された場合、データ取得部ＤＡＡ，ＤＡＢ，ＤＡＣは、ユーザ端末ＴＡ，ＴＢ，ＴＣ上のデータベースＤＢＡ，ＤＢＢ，ＤＢＣに対して、サービス説明のデータ収集スクリプトに記載された処理ロジックを用いて、検索を実行する（ステップＳ４−５）。また、データ取得部ＤＡＡ，ＤＡＢ，ＤＡＣは、検索実行結果となるデータ（ユーザデータ）を、サービス署名とともにデータ集計部１００に送信する（ステップＳ４−６，Ｓ５−２）。
【００４２】
このとき、サービス署名に加えてサービス説明全体を送信しても良い。その場合、ステップＳ４−２のサービス説明の発行は不要となる。
本第１の実施形態では、ユーザ端末ＴＡ，ＴＢ，ＴＣ上のデータベースＤＢＡ，ＤＢＢ，ＤＢＣはリレーショナルDBで構成されているものとし、図６のとおり収集スクリプトはSQL文とする。これにより、データベースＤＢＡ，ＤＢＢ，ＤＢＣから検索されたユーザの年齢、性別、身長、体重が、サービス署名とともにデータ集計部１００に送信される。
【００４３】
なお、収集スクリプトは、SQL以外の可読なプログラム表現形式、例えばJava（登録商標）Script（登録商標）プログラムであっても良い。その場合、データ取得部ＤＡＡ，ＤＡＢ，ＤＡＣはJavaScript（登録商標）の実行機能を備え、収集スクリプトとなるJavaScript（登録商標）プログラムは、ユーザ端末ＴＡ，ＴＢ，ＴＣ上の任意のデータリソースにアクセスし、検索結果を得ることが出来る。
【００４４】
データ集計部１００のデータ受信部１１０は、各端末ＴＡ，ＴＢ，ＴＣ上のデータ取得部ＤＡＡ，ＤＡＢ，ＤＡＣからユーザデータを受信した場合、ユーザデータをデータ集計部１００内のユーザデータ記憶部１５０に格納する（ステップＳ５−３）。
本第１の実施形態では、ユーザデータ記憶部１５０はリレーショナルDBで構成されていることとし、ユーザデータとともに送信されてきたサービス署名をテーブル名として、そのサービス署名で識別されるサービス説明に記載されていた保管期限情報とのセットで、データベースに投入する。結果として、データベース投入用のSQLコマンドは例えば以下のようになる。
【００４５】
INSERT INTO サービス署名 VALUES (保管期限, 年齢, 性別, 身長, 体重,)  
この結果、ユーザデータ記憶部１５０内に記録されるデータの例は図７のようになる。
データ集計部１００は、受信したデータをユーザデータ記憶部１５０に格納する代わりに、集計スクリプトの引数に割り当て、集計スクリプトをその場で実行しても良い。この場合、データ集計部１００は、個人情報をプラットフォーム内に記録せず、集計結果を直接計算することができる。
【００４６】
データ集計部１００のスクリプト実行部１３０は、サービス説明に記載された「集計スクリプト実行タイミング」にしたがって、集計スクリプトを実行する（ステップＳ４−７，Ｓ５−４）。
本第１の実施形態では、図６のとおり、データ集計部１００のスクリプト実行部１３０はサービス説明に記載された特定日時に、集計スクリプトを実行（ユーザデータ記憶部１５０に対してSQL文を発行）する。
【００４７】
本第１の実施形態では、集計スクリプトはSQL文とし、ユーザデータ記憶部１５０に対してSQL文を発行し、その結果を集計結果データとする。この際、テーブル名はサービス説明のサービス署名に置き換える。この結果、データベースから、それまでにデータ集計部１００にユーザデータを送信した５０才以上のユーザの身長、体重の平均値、男性ユーザの身長、体重の平均値が検索される。上記結果は、データ送信部１２０へ送信される（ステップＳ５−４−１）。
【００４８】
集計スクリプトは、SQL以外の可読なプログラム表現形式、例えばJavaScript（登録商標）プログラムであっても良い。その場合、データ集計部１００のスクリプト実行部１３０はJavaScript（登録商標）の実行機能を備える。JavaScript（登録商標）を使った場合は、SQLでは実行できないような複雑な集計処理も実行できる。
【００４９】
データ集計部１００のデータ送信部１２０は、前ステップＳ４−７で得られた集計結果データを、サービス提供部ＳＰに対して送信する（ステップＳ４−８，Ｓ５−５）。サービス提供部ＳＰは、集計結果データを受信・取得し研究調査に活用する。
前ステップＳ４−８，Ｓ５−５の後、データ集計部１００は、サービス提供部ＳＰに送信したデータと送信日時、およびサービス署名を、ログ記憶部１６０に対して記録する（ステップＳ４−９，Ｓ５−６）。
【００５０】
以後、データ集計部１００のユーザデータ消去部１７０は、定期的にユーザデータ記憶部１５０内のデータを参照し、保管期限をすぎたユーザデータを消去する（ステップＳ４−１０，Ｓ５−７）。
以上のシーケンスにおいて、ユーザの個人情報（ユーザデータ）はデータ統計化プラットフォームＰＦにのみ送信され、サービス提供者サーバＳＶには集計されたデータのみが送信される。サービス提供者サーバＳＶに送信されたデータはデータ集計部１００のログ記憶部１６０に残るため、意図しないデータがサービス提供者サーバＳＶに誤って送信されていない旨を、データ統計化プラットフォームＰＦの管理者が後から確認できる。また、データ集計に利用したユーザデータは、ユーザデータ消去部１７０によりサービス説明に記載の保管期限に従って消去される。このため、セキュリティ侵害事故などによってユーザデータが意図しない流出をしてしまう事を避けることができる。
【００５１】
また、集計処理のロジックは、ユーザ端末ＴＡ，ＴＢ，ＴＣにおいて可視化された状態でユーザに提示され、またデータ集計部１００に登録される。サービス提供者に悪意があった場合など、ユーザに提示された集計スクリプトと、データ集計部１００に登録された集計スクリプトが異なるケースが考えられるが、この場合、それぞれの集計スクリプトを含んだ二つのサービス説明の署名（サービス署名）は一致しない。このため、ステップＳ４−７，Ｓ５−４で実行される集計スクリプトは、ステップＳ４−６，Ｓ５−２で送信されたユーザデータを参照することができない。逆に、ステップＳ４−６，Ｓ５−２で送信されたユーザデータはその際に一緒に送信したサービス署名で識別される集計スクリプトで処理されることが保証できる。
【００５２】
（第２の実施形態）  
先の第１の実施形態で説明したような調査サービスを定期的に繰り返すような実施形態を第２の実施形態として説明する。この第２の実施形態では、ユーザ端末からユーザのプロファイル（年齢、性別）と、一週間の電力使用量を定期的に集め、プロファイル毎の平均電力使用量の経時変化を調査するサービスを実現する。
【００５３】
図８は、第２の実施形態で取り扱うサービス説明の例を示す。
上記ステップＳ４−１において、サービス提供者は、サービス提供部ＳＰに登録するサービス説明のサービスＩＤを「１」から「２」へ変更し、収集スクリプトを「身長，体重」から「電力消費量」へ変更し、集計スクリプトを「身長，体重」から「電力消費量」へ変更する。収集スクリプトおよび集計スクリプトの実行間隔は一週間として記載され、またユーザデータの保管期限も絶対的な日時指定では無く、「＋８日」という相対指定となる。
【００５４】
上記ステップＳ４−５において、ユーザ端末ＴＡ，ＴＢ，ＴＣのデータベースＤＢＡ，ＤＢＢ，ＤＢＣには、ユーザの年齢、性別、および最近一週間の電力使用量が記録されているものとする。SQLで検索され、データ集計部１００に送信されるデータも、上記のデータとなる。
【００５５】
さらに本第２の実施形態では、収集スクリプトの実行タイミングが、一度限りでは無く定期的実行に変更される。本第２の実施形態では、データ取得部ＤＡＡ，ＤＡＢ，ＤＡＣは一週間毎に収集スクリプト（SQL）を実行し、結果をデータ集計部１００に送信する（上記ステップＳ４−６，Ｓ５−２）。
【００５６】
上記ステップＳ５−３において、データ集計部１００のデータ受信部１１０がユーザデータ記憶部１５０に記録するユーザデータの保管期限は、データ集計部１００のデータ受信部１１０がユーザデータを受信した日時＋８日となる。このため、ユーザデータは受信後8日後に、消去される（上記ステップＳ４−１０，Ｓ５−７）。
【００５７】
データ集計部１００は、一週間毎に集計スクリプトを実行し（上記ステップＳ４−７）、結果をサービス提供部ＳＰに送信し（上記ステップＳ４−８）、送信した集計データをログ記憶部１６０に記録する（上記ステップＳ４−９）。この結果、サービス提供者は、ユーザのプロファイル毎（50才以上のユーザ、男性ユーザ）の電力消費量の平均値を、一週間毎に調査結果として得ることができる。
【００５８】
（第３の実施形態）  
先の第１の実施形態で説明したような調査サービスを、特定のイベントが起きる度に実行する実施形態を第３の実施形態として説明する。この第３の実施形態では、ユーザ端末からユーザのプロファイル（年齢、性別）と位置情報を、ユーザが特定場所に近づく度に集め、特定場所にどんなプロファイルのユーザが集まっているのかを解析するサービスを実現する。
【００５９】
図９は、第３の実施形態で取り扱うサービス説明の例を示す。
上記ステップＳ４−１において、サービス提供者は、サービス提供部ＳＰに登録するサービス説明のサービスＩＤを「３」へ変更し、収集スクリプトを「身長，体重」から「現在位置」へ変更し、集計スクリプトを「身長，体重」から「ＳＥＬＥＣＴ ＣＯＵＮＴ」へ変更する。収集スクリプトの実行地点は「緯度＝Ｘ，経度＝Ｙ」として記載され、集計スクリプトの実行間隔は一日として記載され、またユーザデータの保管期限は１日として記載される。
【００６０】
上記ステップＳ４−５において、ユーザ端末ＴＡ，ＴＢ，ＴＣのデータベースＤＢＡ，ＤＢＢ，ＤＢＣには、ユーザの年齢、性別、および現在位置情報が記録されているものとする。SQLで検索され、データ集計部１００に送信されるデータも、上記のデータとなる。
【００６１】
さらに本第３の実施形態では、データ取得部ＤＡＡ，ＤＡＢ，ＤＡＣがユーザの現在位置を端末ＴＡ，ＴＢ，ＴＣのGPS等のロケーション機能を用いて把握し、図９のサービス説明の収集スクリプト実行地点（緯度、経度）の一定距離以内に入った場合に、収集スクリプトを実行し、結果をデータ集計部１００に送信する（上記ステップＳ４−６，Ｓ５−２）。
【００６２】
第３の実施形態では、データ集計部１００のデータ受信部１１０がユーザデータ記憶部１５０に記録するユーザデータの保管期限は、データ集計部１００のデータ受信部１１０がユーザデータを受信した日時＋1日となる。このため、ユーザデータは受信後1日後に、消去される（上記ステップＳ４−１０）。
【００６３】
データ集計部１００は、1日毎に集計スクリプトを実行し（上記ステップＳ４−７）、結果をサービス提供部ＳＰに送信し（上記ステップＳ４−８）、送信した集計データをログ記憶部１６０に記録する（上記ステップＳ４−９）。この結果、サービス提供者は、過去一日間に特定場所にいたユーザの数を、ユーザのプロファイル毎（第３の実施形態では男性ユーザ）にカウントすることができる。
【００６４】
（第１乃至第３の実施形態による作用効果）  
上記第１乃至第３の実施形態によれば、データ解析を行う機能部、つまりデータ集計部１００をサービス提供者サーバＳＶとは別のデータ統計化プラットフォームＰＦに設けることで、サービス事業者が個人管理データを直接扱わなくてもデータ解析可能とする。これによって、図１０に示すサービス提供者サーバＳＶのサービス提供部ＳＰに集計機能を備えたシステムのように、サービス提供者がユーザから高い信頼を得られない場合にはユーザの個人管理データを得られない場合に比べて、いかなるサービス事業者であっても個人管理データを利用したデータ解析結果が利用可能となり、研究調査やサービス改善に活かせるようなる。
【００６５】
一般に、個人情報（個人の所有する端末に蓄積された情報や、CGM等の個人が作成したデータを含む）を収集し活用するサービスでは、ユーザから個人情報の収集することの許諾を明示的に得ること（オプトイン）が要請されている。通常、図１０に示すサービス事業者は、サービス利用規約の中で個人情報の利用目的や管理方法を記載し、ユーザがサービスアプリＳＡＡ，ＳＡＢ，ＳＡＣを実行する際に、この規約に同意したことを持って許諾とする手法を採っている。
【００６６】
上記第１乃至第３の実施形態では、このサービス利用規約の中に、個人情報の収集方法（収集ロジック）と、収集された個人情報の利用方法（集計ロジック）を、スクリプト（プログラム）として明記し可視化する。
また、上記第１乃至第３の実施形態では、規約に記載された収集ロジックを実行するデータ取得部を各ユーザ端末ＴＡ，ＴＢ，ＴＣに設け、集計ロジックを実行されるデータ集計部を、データ統計化プラットフォームＰＦの一部として設け、サービス提供者サーバＳＶから分離するようにしている。
【００６７】
これにより、個人情報の収集および集計について、規約に明記された処理のみがデータ統計化プラットフォームＰＦ内で実行され、サービス提供者には集計処理結果のみが送信されていることを保証する（サービス提供者以外の者が確認する）ことが可能となる。
【００６８】
このため、ユーザがサービス利用規約をチェックし、収集ロジックおよび集計ロジックの内容を確認した上で規約に同意（個人情報提供を許諾）した場合、サービス事業者が規約に記載の通りの方法で個人情報を扱っていることを保証できる。
（その他の実施形態）  
なお、本発明の装置は、コンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能である。
【００６９】
要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。
【符号の説明】
【００７０】
１００…データ集計部、１１０…データ受信部、１２０…データ送信部、１３０…スクリプト実行部、１４０…署名確認部、１５０…ユーザデータ記憶部、１６０…ログ記憶部、１７０…ユーザデータ消去部、ＳＶ…サービス提供者サーバ、ＳＰ…サービス提供部、ＴＡ，ＴＢ，ＴＣ…ユーザ端末、ＤＢＡ，ＤＢＢ，ＤＢＣ…データベース、ＤＡＡ，ＤＡＢ，ＤＡＣ…データ取得部、ＰＦ…データ統計化プラットフォーム。
【図１】
2014164585.tif 000003
【図２】
2014164585.tif 000004
【図３】
2014164585.tif 000005
【図４】
2014164585.tif 000006
【図５】
2014164585.tif 000007
【図６】
2014164585.tif 000008
【図７】
2014164585.tif 000009
【図８】
2014164585.tif 000010
【図９】
2014164585.tif 000011
【図１０】
2014164585.tif 000012