(57)【要約】【課題】グローバルカスタマイゼーションをサポートするための技法およびインフラストラクチャを提供する。【解決手段】本発明は、ユーザ情報のペルソナプロファイルが保持されることを可能にし、そのようなペルソナプロファイルがマーチャントによりアクセスされることを可能にする。ペルソナアブストラクションにより、ユーザは、どの情報がペルソナプロファイルにグループ化されるかを制御し、これらのプロファイルのうちの１つを選択的にマーチャントが読み出し可能にすることができる。本発明のインフラストラクチャは、ユーザがそれらのペルソナを管理することを支援するペルソナサーバを使用する。本発明のインフラストラクチャは、これを、ペルソナプロファイル情報が格納されるプロファイルデータベースから分離し、異なるペルソナプロファイルが同じユーザに結びつけられ得るいかなるシングルポイントも除去する。マーチャントもプライバシーの心配を有するので、本発明のインフラストラクチャは、それによりマーチャントがどのようにそれらが寄与した情報が知らされ得るかを制限することができるテインティングに基づくデータ保護モデルを提供する。【選択図】図１
2004503875.tif 000002
【特許請求の範囲】
【請求項１】
ユーザが分散型データネットワーク中の１つ以上のエンティティからのコンテンツをリクエストしかつ受け取ることができる分散型データネットワークにおいて使用するための方法において、
分散型データネットワーク中のどのエンティティが前記分散型データネットワークにおけるユーザのアクティビティに関連して生成された情報にアクセスできるかを制御することを、少なくとも一人のユーザおよび１以上のエンティティに可能にするための１以上のメカニズムを提供するステップと、
アクセス可能な情報の少なくとも１部に従って、前記ユーザにより受け取られるべきコンテンツをカスタマイズするステップと
を有することを特徴とする方法。
【請求項２】
前記ユーザのための前記１以上の制御メカニズムを提供するステップは、その中で前記ユーザが前記分散型データネットワークにおけるアクティビティを実行しうる２つ以上の役割をユーザが特定できるようにするステップを含む
ことを特徴とする請求項１記載の方法。
【請求項３】
前記２以上の役割が、それらにそれぞれ関連づけられた２以上のプロファイルを有する
ことを特徴とする請求項２記載の方法。
【請求項４】
前記２以上のプロファイルは、実質的にリンク不可能であることを特徴とする請求項３記載の方法。
【請求項５】
前記プロファイルが実質的にリンク不可能であることは、ユーザが異なるエンティティにおいて異なる役割でアクティビティを行ったとき、１つのエンティティが別のエンティティにおけるユーザのアクティビティについて知ることを実質的に防止する
ことを特徴とする請求項４記載の方法。
【請求項６】
前記役割は、分散型データネットワーク中にある少なくとも１つの専用サーバに従って特定される
ことを特徴とする請求項２記載の方法。
【請求項７】
前記１以上のエンティティのうちの少なくとも１つは、分散型データネットワーク上で動作するマーチャントである
ことを特徴とする請求項１記載の方法。
【請求項８】
前記１以上のエンティティのために前記１以上の制御メカニズムを提供するステップは、前記１以上のエンティティとアクティビティを実行するユーザに関連して前記１以上のエンティティが得た情報にどの他のエンティティがアクセス可能かを特定することを、前記１以上のエンティティに可能とするステップを含む
ことを特徴とする請求項１記載の方法。
【請求項９】
前記１以上のエンティティは、前記１以上のエンティティとアクティビティを行うユーザに関連して前記１以上のエンティティが得たオリジナルの情報から得られた情報へ、どの他のエンティティがアクセス可能であるかを特定することができる
ことを特徴とする請求項８記載の方法。
【請求項１０】
前記１以上のエンティティは、どの他のエンティティが情報にアクセスすることができるかに従って、情報誘導の程度を特定することができる
ことを特徴とする請求項９記載の方法。
【請求項１１】
前記１以上のエンティティが、他のエンティティを１以上のクラスにグループ化することができ、各クラスはそれに関連づけられた情報誘導の程度を有する
ことを特徴とする請求項１０記載の方法。
【請求項１２】
前記１以上のエンティティは、分散型データネットワーク中にある１以上の専用データベースに関連して、情報をアクセスする
ことを特徴とする請求項１記載の方法。
【請求項１３】
ユーザが分散型データネットワーク中の１以上のエンティティからのコンテンツをリクエストしかつ受け取ることができる分散型データネットワーク中の少なくとも１つのサーバに従って使用するための方法において、その中で前記ユーザが前記分散型データネットワーク上でアクティビティを実行することができる２以上の役割にそれぞれ関連づけられた２以上のユーザ特定ポリシーを保持するステップと、
前記アクセス可能な情報の少なくとも一部に従って、前記ユーザにより受け取られるべきコンテンツをカスタマイズするために、前記分散型データネットワーク上でのユーザのアクティビティとの関連で生成された上方へのアクセスを求める１以上のエンティティに対して、前記ユーザ特定ポリシーに関連するアクセスクレデンシャルを発行するステップと
を有することを特徴とする方法。
【請求項１４】
前記アクセスクレデンシャルは、それによりエンティティが情報をアクセスすることができる権限を含む
ことを特徴とする請求項１３記載の方法。
【請求項１５】
前記アクセス権は、情報読み出し権、情報挿入権、および情報削除権のうちの少なくとも１つを含む
ことを特徴とする請求項１４記載の方法。
【請求項１６】
前記アクセスクレデンシャルは、それに対してアクセスクレデンシャルが発行されているエンティティの識別子をさらに含む
ことを特徴とする請求項１４記載の方法。
【請求項１７】
前記アクセスクレデンシャルは、アクセス権の持続期間を特定する満了時をさらに含む
ことを特徴とする請求項１４記載の方法。
【請求項１８】
前記アクセスクレデンシャルは、前記アクセスクレデンシャル上にデジタル署名をさらに含む
ことを特徴とする請求項１４記載の方法。
【請求項１９】
前記アクセスクレデンシャルは、それによりアクセスクレデンシャルがデジタル的に署名されたプライベートキーに一致するパブリックキーをさらに含む
ことを特徴とする請求項１８記載の方法。
【請求項２０】
前記保持するステップは、その中でユーザが分散型データネットワーク上でアクティビティを実行することができる新しい役割または現存する役割を、ユーザに特定することを促すステップをさらに含む
ことを特徴とする請求項１３記載の方法。
【請求項２１】
ユーザが分散型データネットワーク中の１以上のエンティティからのコンテンツをリクエストしかつ受け取ることができる分散型データネットワーク中の１以上のデータベースに従って使用するための方法において、
前記１以上のエンティティとのアクティビティを実行するユーザに関連して前記１以上のエンティティが得た情報を格納するステップと、
前記アクセス可能な情報の少なくとも一部に従って前記ユーザにより受け取られるべきコンテンツをカスタマイズするために、どの他のエンティティが前記格納された情報にアクセスできるかを特定することを前記１以上のエンティティに可能とするステップと
を有することを特徴とする方法。
【請求項２２】
前記１以上のエンティティとアクティビティを実行するユーザに関連して前記１以上のエンティティが得た情報は、少なくとも１つのオリジナル情報および前記オリジナル情報から得た情報を含む
ことを特徴とする請求項２１記載の方法。
【請求項２３】
前記可能にするステップは、前記格納された情報の一部に対する１以上のテイントクラスを特定することを、前記１以上のエンティティに可能にするステップさらに含む
ことを特徴とする請求項２１記載の方法。
【請求項２４】
所定のテイントクラスは、１つのエンティティが前記所定のテイントクラス中のエンティティと共働しなければならない親和性に対応することを特徴とする請求項２３記載の方法。
【請求項２５】
前記情報の少なくとも一部はそれぞれ記録として格納され、各記録は、累積テイント強度、テイントクラスのセット、およびそれからこの記録が得られた１以上のオリジナル記録に対するポインタのうちの少なくとも１つを含むデータ構造に関連して格納される
ことを特徴とする請求項２３記載の方法。
【請求項２６】
エンティティが特定されたテイントクラスのメンバーでなく、得られた記録からオリジナルの記録への所定長以下のパスが存在する場合、エンティティは、オリジナル記録から得られる記録を読み出すことを許可されない
ことを特徴とする請求項２５記載の方法。
【請求項２７】
それに対し所定のエンティティがアクセスを有する格納された情報の一部に対して、スコアリング関数を適用するステップをさらに含む
ことを特徴とする請求項２１記載の方法。
【請求項２８】
前記スコアリング関数の結果は、所定のエンティティによりなされるべき１以上のコンテンツカスタマイゼーション決定に対する格納された情報の部分の関連を示す
ことを特徴とする請求項２７記載の方法。
【請求項２９】
ユーザが分散型データネットワーク中の１以上のエンティティからのコンテンツをリクエストしかつ受け取ることができる分散型データネットワークにおいて使用するための装置において、
（ｉ）　その中でユーザが分散型データネットワーク上でアクティビティを実行することができる２以上の役割にそれぞれ関連づけられた２以上のユーザ特定ポリシーを保持し、
（ｉｉ）　アクセス可能な情報の少なくとも一部に従ってユーザにより受け取られるべきコンテンツをカスタマイズするために、分散型データネットワーク上のユーザのアクティビティに関連して生成された情報にアクセスを求める１以上のエンティティに対して、ユーザ特定ポリシーに関連するアクセスプレデンシャルを発行するように動作可能な少なくとも１つのプロセッサを有する
ことを特徴とする装置。
【請求項３０】
前記アクセスクレデンシャルは、それによりエンティティが情報をアクセスすることができる権限を含む
ことを特徴とする請求項２９記載の装置。
【請求項３１】
前記アクセス権は、情報読み出し権、情報挿入権および情報削除権のうちの少なくとも１つを含む
ことを特徴とする請求項３０記載の装置。
【請求項３２】
前記アクセスクレデンシャルは、それに対しアクセスクレデンシャルが発行されているエンティティの識別子をさらに含む
ことを特徴とする請求項３０記載の装置。
【請求項３３】
前記アクセスクレデンシャルは、前記アクセス権の持続期間を特定する満了時をさらに含む
ことを特徴とする請求項３０記載の装置。
【請求項３４】
前記アクセスクレデンシャルは、アクセスクレデンシャル上にデジタル署名をさらに含む
ことを特徴とする請求項３０記載の装置。
【請求項３５】
前記アクセスクレデンシャルは、それによりアクセスクレデンシャルがデジタル的に署名されたプライベートキーに一致するパブリックキーをさらに含む
ことを特徴とする請求項３４記載の装置。
【請求項３６】
前記少なくとも１つのプロセッサは、その中でユーザが分散型データネットワーク上でアクティビティを実行することができる新しい役割または現存する役割を特定することをユーザに促すようにさらに動作可能であることを特徴とする請求項２９記載の装置。
【請求項３７】
ユーザが分散型データネットワーク中の１以上のエンティティからのコンテンツをリクエストしかつ受け取ることができる分散型データネットワーク中で使用するための装置において、
（ｉ）　１以上のエンティティとのアクティビティを実行するユーザに関連して１以上のエンティティが得る情報を格納し、
（ｉｉ）　アクセス可能な情報の少なくとも一部に従ってユーザにより受け取られるべきコンテンツをカスタマイズするために、どの他のエンティティが格納された情報にアクセスすることができるかを特定することを前記１以上のエンティティに可能にするように動作可能な少なくとも１つのプロセッサを有することを特徴とする装置。
【請求項３８】
前記１以上のエンティティとアクティビティを実行するユーザに関連して前記１以上のエンティティが得た情報は、オリジナル情報および前記オリジナル情報から得た情報の少なくとも一方を含む
ことを特徴とする請求項３７記載の装置。
【請求項３９】
前記イネーブルする動作は、格納された情報の部分に対する１以上のテイントクラスを特定することを、１以上のエンティティに可能にすることをさらに含む
ことを特徴とする請求項３７記載の装置。
【請求項４０】
所定のテイントクラスは、１つのエンティティが前記所定のテイントクラス中のエンティティと共働しなければならない親和性に対応することを特徴とする請求項３９記載の装置。
【請求項４１】
前記情報の少なくとも一部は、それぞれ記録として格納され、各記録は、累積テイント強度、テイントクラスのセット、およびそれからこの記録が得られた１以上のオリジナル記録に対するポインタのうちの少なくとも１つを含むデータ構造に関連して格納される
ことを特徴とする請求項３９記載の装置。
【請求項４２】
エンティティが特定されたテイントクラスのメンバーでなく、得られた記録からオリジナル記録へ所定の長さ以下のパスが存在する場合、オリジナル記録から得られる記録をエンティティが読み出すことを許可されないことを特徴とする請求項４１記載の装置。
【請求項４３】
少なくとも１つのプロセッサは、それに対して所定のエンティティがアクセスを有する格納された情報の部分に、スコアリング関数を適用するようにさらに動作可能である
ことを特徴とする請求項３７記載の装置。
【請求項４４】
前記スコアリング関数の結果は、所定のエンティティによりなされるべき１以上のコンテンツカスタマイゼーション決定に対する格納された情報の部分の関連を示す
ことを特徴とする請求項４３記載の装置。
【請求項４５】
ユーザが分散型データネットワーク中のエンティティに関連する１以上のサーバからのコンテンツをリクエストしかつ受け取ることができる分散型データネットワーク中で使用するための装置において、
（ｉ）　その中でユーザシステムが分散型データネットワーク上でアクティビティを実行することができる２以上の役割にそれぞれ関連づけられた２以上のユーザ特定ポリシーを保持し、
（ｉｉ）　アクセス可能な情報の少なくとも一部に従ってユーザシステムにより受け取られるべきコンテンツをカスタマイズするために、分散型データネットワーク上のユーザシステムのアクティビティとの関連で生成される情報へのアクセスを求める１以上のエンティティサーバに対して、ユーザ特定ポリシーに関連するアクセスクレデンシャルを発行するように動作可能な分散型データネットワーク中の少なくとも１つのサーバと、
（ｉ）　１以上のエンティティとアクティビティを実行するユーザに関連して１以上のエンティティサーバが得た情報を格納し、
（ｉｉ）　アクセス可能な情報の少なくとも一部に従ってユーザにより受け取られるべきコンテンツをカスタマイズするために、どの他のエンティティが前記格納された情報にアクセスできるかを特定することを、前記１以上のエンティティに可能にするように動作可能な分散型データネットワーク中の１以上のデータベースとを有する
ことを特徴とする装置。
【請求項４６】
前記少なくとも１つのサーバは、仮想サーバである
ことを特徴とする請求項４５記載の装置。
【請求項４７】
前記ユーザシステムは、コンテンツをリクエストしかつ受け取るためのブラウザプログラムを含む
ことを特徴とする請求項４５記載の装置。
【請求項４８】
前記１以上のエンティティサーバは、ユーザがユーザシステムに従って選択的にビジットすることができるマーチャントサイトをホストする
ことを特徴とする請求項４５記載の装置。
【請求項４９】
前記分散型データネットワークはインターネットである
ことを特徴とする請求項４５記載の装置。
【請求項５０】
ユーザが分散型データネットワーク中の１以上のエンティティからのコンテンツをリクエストしかつ受け取ることができる分散型データネットワーク中の少なくとも１つのサーバに従って使用するための製造物において、
この製造物は、その中でユーザが分散型データネットワーク上のアクティビティを実行することができる２以上の役割にそれぞれ関連する２以上のユーザ特定ポリシーを保持するステップと、
アクセス可能な情報の少なくとも一部に従ってユーザにより受け取られべきコンテンツをカスタマイズするために、分散型データネットワーク上のユーザのアクティビティに関連して生成される情報へのアクセスを求める１以上のエンティティに対して、ユーザ特定ポリシーに関連するアクセスクレデンシャルを発行するステップとを実行する１以上のプログラムを含む機械読み出し可能な媒体を含む
ことを特徴とする製造物。
【請求項５１】
ユーザが分散型データネットワーク中の１以上のエンティティからのコンテンツをリクエストしかつ受け取ることができる分散型データネットワーク中の１以上のデータベースに従って使用するための製造物において、
前記製造物は、１以上のエンティティとアクティビティを実行するユーザに関連して１以上のエンティティが得た情報を格納するステップと、
アクセス可能な情報の少なくとも一部に従ってユーザにより受け取られべきコンテンツをカスタマイズするために、どの他のエンティティが前記格納された情報にアクセスすることができるかを特定することを、前記１以上のエンティティに可能にするステップとを実行する１以上のプログラムを含む機械読み出し可能な媒体を含む
ことを特徴とする製造物。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークコンテンツのグローバルカスタマイゼーション（ｇｌｏｂａｌ ｃｕｓｔｏｍｉｚａｔｉｏｎ）に係り、特に、あるマーチャントが他のマーチャントにおけるユーザのアクティビティに関してどの情報を知ることができるかをユーザがコントロールすることができ、どの情報が競合するマーチャントに知られるかをマーチャントがコントロールできるようなプライバシーメカニズムを備えたネットワークコンテンツのグローバルカスタマイゼーションに関する。
【０００２】
【従来の技術】
Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ（以下、「ウェブ」と呼ぶ）またはインターネットのようなデータネットワークを介する購入取引の実行をユーザがますます受け入れることで、ユーザが彼らの商品を購入する（または少なくとも知る）可能性があるウェブサイトを運営するマーチャントは、ユーザの経験を改善することを継続的に試みる明らかな金銭上の関心がある。マスカスタマイゼーション（Ｍａｓｓ ｃｕｓｔｏｍｉｚａｔｉｏｎ）は、オンライン購入者に対して、彼らの個別の要求および関心に応答する技術を使用することにより、カスタマイズされた経験を作ることを指し、例えば、Ｊ． Ｎｅｌｓｏｎ による”Ｍａｓｓ−Ｃｕｓｔｏｍｉｚａｔｉｏｎ Ｍａｒｋｅｔｉｎｇ： Ｍａｘｉｍｉｚｉｎｇ Ｖａｌｕｅ ｏｆ Ｃｕｓｔｏｍｅｒｓ，” ＩＤＣ Ｂｕｌｌｅｔｉｎ ＃１７７２６， Ｄｅｃｅｍｂｅｒ １９９８ を参照のこと。
【０００３】
「パーソナリゼーション（ｐｅｒｓｏｎａｌｉｚａｔｉｏｎ）」は、ユーザが明示的にコンフィギュアすることができるウェブコンテンツの意味も有するが、「カスタマイゼーション」は、時々、「パーソナリゼーション」とも呼ばれる。例えば、ユーザは、ユーザがビジット（ｖｉｓｉｔ）したときはいつでも、どのストックを表示するために引用するかをサイトに告げることにより、サイトにおけるパーソナライズされたウェブページを作ることができるかも知れない。ここで、我々は、明示的なユーザインストラクションによるのではなく、ユーザについて推測された情報に基づいてユーザが好むことになるコンテンツをサイトが予測することに主に関心がある。
【０００４】
カスタマイゼーションは、典型的には、ビジターが恐らく関心を持つコンテンツを予測するためのデータマイニング（ｄａｔａ ｍｉｎｉｎｇ）および／またはコラボレーティブフィルタリング（ｃｏｌｌａｂｏｒａｔｉｖｅ ｆｉｌｔｅｒｉｎｇ）、および適当な時点におけるビジターへのカスタマイズされたコンテンツの提供を使用する。カスタマイゼーションは、ユーザがウェブサイトに対して彼自身または彼女自身を明示的に同定するとき、特に有効であり得る。この場合において、カスタマイゼーションは、どのコンテンツがそのユーザに対して最も有効となるかを予測するために、そのサイトにおける特定のユーザの過去のブラウジングおよび購入履歴をサイトが使用することができるという意味において、遙かに「正確」であり得る。
【０００５】
それにより多くのマーチャントサイトにおいてユーザのウェブ履歴が共有されるグローバルカスタマイゼーションが、いくつかの形で今日実用化されている。そのようなグローバルカスタマイゼーションの有力な形は、ＤｏｕｂｌｅＣｌｉｃｋＴＭ のような「アドネットワーク（ａｄ ｎｅｔｗｏｒｋｓ）」である。この形において、マーチャントサイトにおけるビジターのアクティビティに関する情報が、マーチャントのページにおけるイメージハイパーテキストリンクを介してＤｏｕｂｌｅＣｌｉｃｋＴＭへ送られる。これらのリクエストに応答して、ＤｏｕｂｌｅＣｌｉｃｋＴＭは、これらのアクティビティにカスタマイズされたバーナ広告を戻す。このカスタマイゼーションは、この情報がユーザに対するプロファイル（より正確には、ブラウザ）に集められ、ＤｏｕｂｌｅＣｌｉｃｋＴＭイネーブルされたサイトへの彼または彼女の将来のビジットについて同じユーザに対する広告（ａｄｓ）をカスタマイズするために使用されるという点で、「グローバル」である。
【０００６】
最近、消費者ウェブアクティビティのさらに野心的な共有が、ＡｎｇａｒａＴＭおよびＩ−ｂｅｈａｖｉｏｒＴＭ（またはＮｅｔ ＰｅｒｃｅｐｔｉｏｎＴＭ）のような会社により開発された。両方の会社は、Ａｎｇａｒａ は ｏｐｔ−ｏｕｔアプローチを使用して、Ｉ−ｂｅｈａｖｉｏｒ は ｏｐｔ−ｉｎ アプローチを使用してユーザをプロファイルし、カスタマイゼーションの目的のために、ユーザについてのターゲットされた情報をマーチャントに提供する。しかし、これらの現存するアプローチは、彼らが与える（ｃｏｎｔｒｉｂｕｔｅ）情報を誰が得ることができるかを制限する特定のポリシーに対して、ユーザおよびマーチャントに対するサポートを提供しない。
【０００７】
また、Ｍｉｃｒｏｓｏｆｔ ＰａｓｓｐｏｒｔＴＭ および Ｊａｖａ ＷａｌｌｅｔＴＭ のような電子ウォレット（ｅｌｅｃｔｒｏｎｉｃ ｗａｌｌｅｔｓ）が、グローバルカスタマイゼーションに対する可能性を提供し得る。ウォレットは、それらがユーザアクティビティについて何の情報を保持するか、および参加するマーチャントとこの情報をそれらがどの程度共有するかに関して変化する。しかし、それらが情報を保持する（例えば、それらがしばしば購入に対するレシートを保持する）程度まで、そのようなウォレットは、ユーザおよびマーチャントの両方に対するプライバシーリスクを与える。ユーザの観点から、これらのウォレットは、いずれかの行動の情報との組合せでユーザに対する同定情報を保持し、したがって、記憶された行動のプロファイルは匿名でない。
【０００８】
また、その行動の情報がマーチャントにもたらされる程度において、マーチャントは、彼らが与えた情報をどのように他者と共有すべきかと言うことについてのデータ保護ポリシーを特定することができない。上述したプライバシーリスクは、ウォレットベンダーとオンラインマーチャントおよびユーザの両方との間の大きな緊張とされてきた。例えば、Ｋ． Ｃａｓｓａｒ 等による”Ｄｉｇｉｔａｌ Ｗａｌｌｅｔｓ， Ｐｕｒｓｕｉｎｇ Ｄｕａｌ Ｗａｌｌｅｔ Ｓｔｒａｔｅｇｙ Ｂｅｆｏｒｅ Ｌｅｖｅｒａｇｅ ｉｓ Ｌｏｓｔ，” Ｊｕｐｉｔｅｒ Ｓｔｒａｔｅｇｉｃ Ｐｌａｎｎｉｎｇ Ｓｅｒｖｉｃｅｓ／ＤＣＳ９９−１４， Ｆｅｂｒｕａｒｙ １９９９ を参照のこと。
【０００９】
また、偽名の電子メールアドレス、即ち”ｎｙｍｓ”が、電子メールアプリケーションにおいて使用されることが知られており、例えば、Ｄ． Ｍａｚｉｅｒｅｓ 等による”Ｔｈｅ ｄｅｓｉｇｎ， ｉｍｐｌｅｍｅｎｔａｔｉｏｎ， ａｎｄ ｏｐｅｒａｔｉｏｎ ｏｆ ａｎ ｅｍａｉｌ ｐｓｅｕｄｏｎｙｍ ｓｅｒｖｅｒ，” Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ５ｔｈ ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ， ｐａｇｅｓ ２７−３６， Ｎｏｖｅｍｂｅｒ １９９８、および Ｉ． Ｇｏｌｄｂｅｒｇ 等による”Ｆｒｅｅｄｏｍ Ｎｅｔｗｏｒｋ １．０ ａｒｃｈｉｔｅｃｔｕｒｅ，” Ｎｏｖｅｍｂｅｒ １９９９を参照のこと。ユーザは、受信者が複数のｎｙｍ が同じユーザであると相関づけることが容易にできないような方法で、１つのｎｙｍ においてニュースグループに投稿し、または電子メールを送信する。しかし、ｎｙｍ は、ネットワークコンテンツのグローバルカスタマイゼーションが、十分にプライバシーを保護する方法で実行され得るように、彼らが与える情報を誰が得ることができるかを制限するポリシーを特定するメカニズムおよびユーザおよびマーチャントに対するサポートを提供しない。
【００１０】
【発明が解決しようとする課題】
したがって本発明の目的は、ネットワークコンテンツのグローバルカスタマイゼーションに係り、特に、あるマーチャントが他のマーチャントにおけるユーザのアクティビティに関してどの情報を知ることができるかをユーザがコントロールすることができ、どの情報が競合するマーチャントに知られるかをマーチャントがコントロールできるようなプライバシーメカニズムを備えたネットワークコンテンツのグローバルカスタマイゼーションを提供することである。
【００１１】
【課題を解決するための手段】
本発明は、本発明の一側面において、あるエンティティが他のエンティティにおけるユーザのアクティビティについてのどの情報を知ることができるかをユーザがコントロールすることができ、本発明の別の側面において、どの情報が競合するエンティティに知られるかを特定のエンティティがコントロールできるようなプライバシーメカニズムを備えたネットワークコンテンツのグローバルカスタマイゼーションのための技法を提供する。本発明の好ましい実施形態において、エンティティはマーチャントである。
【００１２】
したがって、本発明の技法は、そのユーザのアクティビティに基づいてユーザに対するコンテンツをマーチャントがカスタマイズできるように、各ユーザの行動のグローバルプロファイルを、他のマーチャントにおいても保持されることを可能にする。しかし、同時に、この技法は、彼らについての情報がどのように共有されるかをユーザおよびマーチャントがコントロールできるという意味において、プライバシーを保護できる。具体的には、本発明の技法は、彼または彼女の情報のどれが１つのプロファイル中に一緒に集められ得るかを各ユーザがコントロールできるようにし、ユーザのブラウジング経験に対する自然な拡張でそのようにする。各マーチャントが、どの他のマーチャントが、それがプロファイルおよび／またはそれから得られた他の情報に貢献した情報を知ることができるかを特定することを可能にする。上述したように、現行のアプローチは、そのようなデータ保護モデルを欠く。
【００１３】
この目的のために、本発明の一側面によれば、本発明は、以下に詳細に説明するように、それにおいてユーザがウェブアクティビティを行う「ペルソナ（ｐｅｒｓｏｎａ）」即ち、役割（ｒｏｌｅ）のアブストラクションを使用することにより、ユーザを保護する。一人のユーザは、所定のペルソナにおいて１つのプロファイルにリンクされ得るが、ユーザのアクティビティのみが引き受ける特性を備えた多くのペルソナを有し得る。これは、ユーザに、彼自身または彼女自身についての情報を、彼または彼女が選択的に知らせることができる複数のペルソナプロファイルに分割する便利かつ自然な方法を与える。例えば、一人のユーザは、仕事のための１つのペルソナ、リクレーションのための１つのペルソナ、および彼または彼女の子供たちがブラウザを使用するときの１つのペルソナを作ることができる。
【００１４】
また、本発明の別の側面によれば、どのマーチャントが彼らが彼らの顧客について明らかにする記録をアクセスできるかだけではなく、どのマーチャントが、これらの記録から得られた情報にアクセスできるかについての細かなコントロールを提供する、以下に詳細に説明する「テインティング（ｔａｉｎｔｉｎｇ）」に基づく強力な保護モデルを使用することにより、マーチャントのようなエンティティを保護する。これは、マーチャントに、パートナー、競業者等に対する異なるグラデーションのアクセスコントロールを特定する能力を与える。
【００１５】
本発明の原理によれば、ここに提供される新規な教示に基づいて実現され得る以下の例の能力のタイプを考える。ユーザが、トラベルウェブサイトにおいてエジプトへのチケットを購入することを考える。その後、顧客は、オンラインブックストアをビジットし、これは、本発明の技法により旅行およびエジプトについての顧客の関心を知る。これにより、このサイトは、この情報に基づいてそのページをカスタマイズし、エジプトにおけるピラミッド、ツアーおよびトラベルなどについての本をハイライトする。
【００１６】
顧客が、オンライン電子ストアをビジットするとき、エントリページは、それらの新しいエジプト語対英語電子ポケット翻訳機をハイライトする等する。しかし、いずれの時点においても、ユーザは、これらのアクティビティについてなにも反映しない異なるペルソナプロファイルにスイッチすることができ、この情報は、ユーザが後で、ビジットするサイトにもたらされることはない。また、ブックストアは、それがプロファイルに与えた記録（例えば、そのユーザがエジプト美術についての本を購入したこと）を他のブックストアに入手可能としないことを特定することができる。
【００１７】
これは、これらの競合するブックストアが、この情報を使用してこのユーザを顧客として得る可能性があるからである。
【００１８】
【発明の実施の形態】
本発明は、以下に、ワールドワイドウェブまたはインターネットとの関連で説明される。ここでは、それらのそれぞれのコンピュータシステム上で実行されるブラウジングソフトウェアに従って、ユーザは、ブラウジングおよび／または製品、サービスを購入する等のために、１つ以上のそれぞれのサーバ上で実行されるマーチャントウェブサイトをビジットすることができる。しかし、本発明は、そのように限定されないことを理解されるべきである。むしろ、本発明の方法およびインフラストラクチャは、ユーザがそれぞれのエンティティにより運営されるホストをビジットすることができ、ユーザおよび／またはエンティティが、グローバルカスタマイゼーションに関連して、それら自身の自由裁量で、それらのそれぞれのプライバシーを保護するメカニズムを有し、かつ使用することが望ましいいかなる分散型ネットワーク環境にもより広く適用され得る。
【００１９】
本発明のある側面への参照を容易にするために、詳細な説明の残りの部分は、以下のセクションに分割される。（Ｉ）アブストラクション、（ＩＩ）インフラストラクチャ、（ＩＩＩ）ペルソナマネージメント、（ＩＶ）マーチャント間のデータ共有、（Ｖ）例示的なアプリケーション、および（ＶＩ）例示的なコンピュータシステムアーキテクチャである。また、更なる参照の容易さのために、これらのセクションのいくつかは、それ自体、サブセクションに分割される。
【００２０】
Ｉ．アブストラクション
このセクションにおいて、我々は、マーチャントおよびユーザへ本発明が提供するアブストラクション、並びにそれから実現される所定の例示的な利点を説明する。
【００２１】
第１に、本発明の技法は、ウェブ上で今日既に存在する情報の収集に限定されないことが理解されなければならない。技術的手段によりデータ収集を防止することは、匿名または偽名のウェブアクセスにおける膨大な他の研修および商業的プロジェクトのトピックである。例えば、Ｍ． Ｒｅｅｄ 等による”Ａｎｏｎｙｍｏｕｓ ｃｏｎｎｅｃｔｉｏｎｓ ａｎｄ ｏｎｉｏｎ ｒｏｕｔｉｎｇ，” ＩＥＥＥ Ｊｏｕｒｎａｌ ｏｎ Ｓｅｌｅｃｔｅｄ Ａｒｅａｓ ｉｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎ １６（４）：４８２−４９４， Ｍａｙ １９９８、Ｍ．Ｋ． Ｒｅｉｔｅｒ 等による”Ｃｒｏｗｄｓ： Ａｎｏｎｙｍｉｔｙ ｆｏｒ ｗｅｂ ｔｒａｎｓａｃｔｉｏｎｓ，” ＡＣＭ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙ １（１）：６６−９２， Ｎｏｖｅｍｂｅｒ １９９８、Ｅ．Ｇａｂｂｅｒ 等による”Ｏｎ ｓｅｃｕｒｅ ａｎｄ ｐｓｅｕｄｏｎｙｍｏｕｓ ｃｌｉｅｎｔ−ｒｅｌａｔｉｏｎｓｈｉｐｓ ｗｉｔｈ ｍｕｌｔｉｐｌｅ ｓｅｒｖｅｒｓ，” ＡＣＭ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙ ２（４）：３９０−４１５， Ｎｏｖｅｍｂｅｒ １９９９、およびＩ． Ｇｏｌｄｂｅｒｇ 等による”Ｆｒｅｅｄｏｍ Ｎｅｔｗｏｒｋ １．０ ａｒｃｈｉｔｅｃｔｕｒｅ，” Ｎｏｖｅｍｂｅｒ １９９９ を参照のこと。
【００２２】
本発明は、現存するウェブインフラストラクチャおよび、例えば上述した匿名システムにより実行される匿名のウェブアクセスとコンパチブルな制御された情報共有の技法を提供することにより、この研究を補足する。ほとんどの匿名システムは、ブラウザとウェブサイトとの間のトラフィックからＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）クッキーを除去するように構成され得る。後で説明するように、本発明は好ましくはクッキーを使用することができるので、本発明は、これらの匿名システムがクッキーを取り除かないように構成されるとき、これらの匿名システムとコンパチブルである。クッキーが使用できない場合、匿名システムのためにまたはユーザが彼または彼女のブラウザにおいてそれらの使用をディスエイブルしたために、本発明の技法は、有効でなくなり、彼または彼女に対して見えなくなる。
【００２３】
同様に、本発明の技法は、例えば、他のウェブサイトにおけるユーザのアクティビティを１つのウェブサイトが直接的に見ることを可能にする様々なプライバシーアタックを防止することを含まない。例えば、Ｆ．Ｗ． Ｆｅｌｔｅｎ 等による”Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２０ｔｈ Ｎａｔｉｏｎａｌ Ｉｎｆｏｒｍａｔｉｏｎｓ Ｓｙｓｔｅｍｓ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ， Ｏｃｔｏｂｅｒ １９９７を参照のこと。そのようなアタックに対する同じ手段および予防策が、本発明のインフラストラクチャのユーザにより適用され得る。
【００２４】
第２に、本発明の技法は、マーチャントが本発明のインフラストラクチャの外部にある情報を共有することを防止しないことを理解すべきである。そのようなインフラストラクチャの採用をそれに対する代替物を除外することにより強制しようと試みるのではなく、本発明は、共有を可能にするよりプライバシー的に受け入れ可能なかつ有益なインフラストラクチャを提供する。結果として、我々が考える驚異は、複数のマーチャントによる共同不正行為が、本発明のポリシーにより許容されるものより多くの情報をそれらの間にもたらすことを認めない。マーチャントは、常に情報をインフラストラクチャの外部にもたらす可能性があり、彼らがその目的のためにインフラストラクチャを不正使用する場合、確かにリスクが見知される。本発明のポリシーの遵守を監査することは、以下に説明する。即ち、本発明は、データをインフラストラクチャの外部に渡すことを試みるマーチャントに対する助けにあまりならずまたは全くならない。
【００２５】
したがって、本発明は、各ユーザがマーチャントによるコード記録保管を、それらを所有するそれらのコンポーネントにリンク可能でないいくつかのペルソナプロファイルに分割することを可能にし、かつどのペルソナプロファイルが各マーチャントに対して見せられるかをコントロールする。これは、ペルソナプロファイルのストレージを、単一のユーザにそれらのペルソナプロファイルをリンクする能力から分離することによりなされる。ペルソナプロファイルに情報を与えるマーチャントに対して、本発明は、他のマーチャントがこれらの記録から利益を得ることができるものをマーチャントがコントロールする保護モデルを提供する。これらの特徴および利点は、現行のウェブインフラストラクチャを変えることなしに、例えば、カスタムクライアント−サイドソフトウェア（例えば、Ｊａｖａ ｗａｌｌｅｔと対照的に）の使用なしに実現されることが理解されるべきである。
【００２６】
本発明のインフラストラクチャの悪用を防止するために、本来的に防止することができない悪用の形式を検出し（したがって、防止する）ために監査が実行されることができ、またはマーチャントが適切に振る舞うことを動機づけるために、モデルの課金（ｃｈａｒｇｉｎｇ）が実行され得る。例えば、マーチャントが本発明のインフラストラクチャの外部とデータを共有することは、必ずしも防止できないので、マーチャントは、本発明のインフラストラクチャの使用条件として、ＴＲＵＳＴｅ またはＢＢＢＯｎｌｉｎｅ のような組織による監査の対象となり得る。
【００２７】
監査されうる他のビヘイビアは、マーチャントがペレソナプロファイルに対して与える記録の正確さである。ただし、そのようにすることは、異なる形式の監査、即ち、アクティブプロービング（ａｃｔｉｖｅ ｐｒｏｂｉｎｇ）を必要とする。この形式の監査を行うために、監査エージェンシーは、マーチャントをビジットするユーザの役割を演じ、何らかの取引を実行しうる。その後、マーチャントが与えた記録が、正確さのために検査され得る。マーチャントが少しでも記録を与えるよう動機付けるために、マーチャントに課金される価格が、彼らが与える記録の数に逆比例するようにし得る。
【００２８】
（ａ）ユーザの見知
上述したように、本発明がユーザに提供するアブストラクションは、複数のペルソナを有するための能力を有するものである。１つのペルソナは、ユーザがウェブアクティビティに関係する１つの役割を表す。ペルソナの例は、これに限定されないが「ワーク」、「エンタテイメント」、「メディカル」、「ショッピング」、「インベスティング」等である。１つのペルソナの関連フィーチャーは、所定のペルソナにおいて活動している間にユーザによりとられるアクティビティが、複数のサイトに亘ってリンクされかつプロファイルされ得ることである。
【００２９】
一人のユーザが、「ワーク」ペルソナで２つの異なるサイトをビジットする場合、各サイトにおいてとられるユーザのアクティビティについての情報は、両方のサイトがそれを許容する場合に、他のサイトに対して利用可能である。しかし、ユーザが「ワーク」ペルソナで１つのサイトをビジットする場合、そのユーザは、彼または彼女の「エンターテイメント」アクティビティがそのサイトに知られることになるということを心配する必要がない。
【００３０】
「ペルソナ」および「ペルソナプロファイル」の用語は、ここでは相互交換可能に時々使用され得るが、より具体的には、１つのペルソナは、ネットワークアクティビティ中にユーザが関わる役割を表し、ペルソナプロファイルは、所定のペルソナとの関連で蓄積される情報のセットである。いくつかの場合において、「プロファイル」の用語は、その文脈から、ユーザプロファイルと反対の１つのペルソナに関連づけられた１つのプロファイルを指すものと理解される場合に使用される。
【００３１】
単一のサイトにおける同じユーザの２つのペルソナの相関を防止することは、本質的に困難であるので、例えば、２つのペルソナは、ＩＰ（インターネットプロトコル）アドレスまたはブラウジングビヘイビアに基づいてリンク付けされうるので、デフォルトにより、本発明は、ユーザ毎に１つのペルソナのみのプロファイルをマーチャントが読み出すことを許容する。これは、マーチャントにそのペルソナのみについての読み出しクレデンシャル（ｃｒｅｄｅｎｔｉａｌｓ）を与えることにより達成される。そのサイトへの後続のビジットにおけるユーザにより使用される異なるペルソナに対して、マーチャントは、そのペルソナのプロファイルを読み出すクレデンシャルを与えられていない。しかし、そのマーチャントは、ユーザが許可する場合、この異なるペルソナに対する記録を与えるクレデンシャルを与えられ得る。
【００３２】
ユーザは、セクションＩＩＩにおいて以下に説明する様々なパラメータについてペルソナを構成することができる。ユーザは、このブラウジングセッションに対してそのユーザにより既に選択されていない１つのペルソナを、サイトがペルソナをリクエストするとき選択する。それによりユーザがこの選択を実行する一例のインターフェースは、セクションＩＩＩにおいて以下に説明される。
【００３３】
本発明の好ましい技法は、オプトイン（ｏｐｔ−ｉｎ）であり、即ち、ユーザが以前に彼または彼女のブラウザをペルソナリクエストを受信するように登録しなかった場合、インターフェースはユーザに提供されず、いずれかの時点において、ユーザは、ペルソナをディスエーブルし、後で、単純なインターフェースによりそれを再イネーブルすることができる。ユーザが、ペルソナに関連づけられたポリシーを理解し、かつ設定することができること、および適切なときにペルソナ間をスイッチできることは重要である。本発明の好ましい具現化は、そのような考慮と共に構成される。
【００３４】
（ｂ）マーチャントの視点
図１は、本発明によるグローバルカスタマイゼーションをイネーブルする一方で、プライバシーを保護するために使用されるアブストラクションに関するマーチャントの視点を示すために使用される。具体的には、図１は、本発明の一実施形態によるコマースサーバシステム、例えばマーチャントのウェブサイトを実行させるサーバシステムの単純化されたアーキテクチャを示す。コマースサーバは、ウェブページのダイナミッククリエーションを可能にするデータベースドリブンテンプレートを使用してしばしば構成されることが知られている。
【００３５】
一例として、Ｇ．Ｗ． Ｔｒｅｅｓｅ 等による”Ｄｅｓｉｇｎｉｎｇ Ｓｙｓｔｅｍｓ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｃｏｍｍｅｒｃｅ，” Ａｄｄｉｓｏｎ−Ｗｅｓｌｅｙ， Ｒｅａｄｉｎｇ， Ｍａｓｓａｃｈｕｓｅｔｔｓ， １９９８ は、インターネットコマースにおいて使用されるシステムを設計するための技法を示す。このウェブページテンプレートは、テンプレート言語で記述され、ウェブサーバファイルシステムに記憶される。コマースサーバシステムのような一例のウェブサーバファイルシステムが図１に示されている。特に、このシステムは、ウェブサーバ１０、ウェブページテンプレート１２およびデータベース１４を示す。
【００３６】
知られているように、テンプレート言語は、データベース１４に対する質問（ｑｕｅｒｉｅｓ）１６を出し、演算を実行し、ＨＴＭＬ（Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）提供するためのプリミティブを提供する。これにより、一般にウェブページがリクエストされるとき（１０１）、ウェブページテンプレートは、カタログデータベース１８（１０３の一部）に従ってデータベース１４から検索された情報に基づいて、ウェブページを提供するために翻訳される（１０２）。
【００３７】
好都合なことに、図１に示されているように、本発明は、ＧＣＥ（Ｇｌｏｂａｌ Ｃｕｓｔｏｍｉｚａｔｉｏｎ Ｅｎｇｉｎｅ）２０と呼ばれる別のマーチャント毎の「データベース」を備えたコマースサーバファイルシステムを増大させる。概念的には、ＧＣＥは、ウェブページテンプレート１２が質問できる別のデータベースとして働く。しかし、単なるロケーション情報のデータベースとしてではなく、ＧＣＥは、このサイトへのビジターのペルソナについてのウェブ履歴情報を得るため、およびこのビジターについての情報を与える（ｃｏｎｔｒｉｂｕｔｅ）ために、本発明のインフラストラクチャのリモートコンポーネント（例えば、以下に詳細に説明するプロファイルデータベース即ちＰＤＢ）と相互作用する。
【００３８】
ウェブページテンプレート１２は、ビジターについての情報をＧＣＥ２０に質問し（ステップ１０３の一部）、それらまたは他のコンポーネント（例えば、コモンゲートウェイインターフェース即ちＣＧＩスクリプト）が、ＧＣＥにおいてこのペルソナについての記録を挿入する（ステップ１０３の一部）。ＧＣＥは、以下に説明するように、これらの記録を、本発明のインフラストラクチャの他のコンポーネントに伝播させ、最終的に他のマーチャントに伝播させることができる。
【００３９】
マーチャントサイドとＧＣＥとの間のインターフェースは、ユーザのペルソナマネージメントポリシーが許容する場合、マーチャントサイトに渡されるＰＡＣ（Ｐｅｒｓｏｎａ ａｃｃｅｓｓ ｃｒｅｄｅｎｔｉａｌ）と共にマーチャントの選択の識別子をマーチャントサイトが登録することを可能にする。そのときからＰＡＣがエキスパイヤーするまで前方に、ウェブページテンプレートは、選ばれた識別子を使用してＧＣＥに質問することができる。
【００４０】
ＧＣＥは、対応するＰＡＣに関連づけられたペルソナについての情報を本発明のインフラストラクチャから検索するためにＰＡＣを使用する。ＰＡＣは、マーチャントが、本発明のインフラストラクチャへ、ビジターについての情報与えることを可能にする。マーチャントサイトがＧＣＥにおいて記録を挿入するとき、マーチャントは、どの他のマーチャントがこれらの記録またはそれらから得られた記録を読み出すことができるかを制限するアクセス制御情報を特定する。本発明のこの側面を達成するための例示的なデータ保護モデルが、セクションＩＶにおいてさらに詳細に説明される。
【００４１】
本発明の１つの好ましい実施形態において、ＧＣＥは、Ｐｒｅｍｉｕｍ Ｈｏｓｔｉｎｇ Ｓｅｒｖｉｃｅｓ， Ｉｎｃ．により製造されるｉＭｅｒｃｈａｎｔ Ｐｒｏ ２．０ のようなコマーシャルコマースサーバと一体化され得る。この例示的なコマースサーバは、それによりウェブページがＧＣＥに対する質問を出すｉＨＴＭＬと呼ばれるウェブページテンプレート言語をサポートする。このような一実施形態において、マーチャントは、現在のブラウジングセッションに対してユーザのブラウザ中にＨＴＴＰクッキーとしてセットするカスタマ識別子と共にＰＡＣを登録する。このようにして、サイトは、ＨＴＴＰリクエストをそのユーザから得るとき、それは、ビジターのペルソナについての情報を得るために、関連するクッキーをＧＣＥに渡すことができる。
【００４２】
ＩＩ．インフラストラクチャ
このセクションにおいて、本発明の一実施形態による本発明のインフラストラクチャの例示的なオーバービューを、図２との関連で説明する。これは、セクションＩにおいて上述したインターフェースをサポートし、さらに詳細に説明されることになる。
【００４３】
図２に示されているように、本発明のインフラストラクチャ２００は、ブラウザソフトウェアを実行するユーザコンピュータシステム２０２、マーチャントウェブサイトサーバシステム２０４−１ないし２０４−Ｍ、ペルソナサーバ２０６、およびプロファイルデータベース（ＰＤＢ）２０８−１ないし２０８−Ｎを含む。インフラストラクチャ２００のコンポーネントは、この実施形態において、インターネットであるネットワーク２１０により動作可能に結合されている。
【００４４】
ユーザコンピュータシステム２０２は、それにより、ユーザが、彼または彼女のオンラインショッピングの努力の間、マーチャントウエブサイトをアクセスするコンピュータシステムである。これは、それにより、ユーザが、様々なマーチャントウエブサイトをビジットする間、彼または彼女が動作させることを望む様々なペルソナのパラメータをリクエストし、かつ特定するためにペルソナサーバ２０６をアクセスするコンピュータシステムでもある。ペルソナサーバ２０６を備えた例示的なインタフェイスが、次のセクションにおいて説明される。ユーザは、彼又は彼女のシステム上で実行されるブラウザソフトウエアによりこれらのフィーチャーにアクセスすることが理解されるべきである。本発明のインフラストラクチャの１つの利点は、ブラウザソフトウエアが、インフラストラクチャにおいて動作するために修正される必要がないことである。また、本発明のプライバシー保護グローバルカスタマイゼーション技法は、インターネットのような現存のネットワーク環境中で実行されうることが理解されるべきである。
【００４５】
マーチャントウエブサイトサーバシステム２０４−１乃至２０４−Ｍの各々は、サイトをビジットしている間、ユーザのコンピュータシステムがそれぞれ通信するコマースサーバファイルシステムである。各ウエブサイトサーバシステムは、図１に示されているように、ＧＣＥと共に構成される。図２は、Ｍ個のサーバシステムを示し、Ｍは、本発明のインフラストラクチャに従って動作するように構成されたネットワーク上のウエブサイトの数であり得る。
【００４６】
ペルソナサーバ２０６は、ユーザペルソナの管理及びＰＡＣの発行をサポートするために、ネットワーク中にある。本発明のインフラストラクチャを使用する各ユーザは、ペルソナサーバにおいて１つのアカウントを持つ。このアカウントは、ユーザが、新しいペルソナをつくり、現存のペルソナに対するポリシーを管理することを可能にする。ユーザは、ペルソナサーバが、ユーザが彼のペルソナに対して特定するポリシーを正確にエンフォースし、かつペルソナとユーザとの関係をマーチャントに開示しないことを信用しなければならない。
【００４７】
スケールするために、１つの具現化において、ペルソナサーバは、１つのドメインネームを有する仮想サーバでありうる。このネームは、クライアントに対するサーバのプロキシ、現在の負荷、サーバの利用可能性などを含むある範囲の基準によって、現実のペルソナサーバにダイナミックにマップされうる。仮想サーバおよびＤＮＳ（ドメインネームシステム）クエリーのダイナミックマッピングを具現化する技法は、この技術分野において良く知られており、したがって、ここではさらに詳細に説明しない。使用されうる仮想サーバ技法の一例は、Ａｋａｍａｉにより使用されるものである。
【００４８】
プロファイルデータベース、即ちＰＤＢは、各々が、それらのそれぞれのＧＣＥを介してマーチャントサーバシステム２０４−１ないし２０４−Ｍにより挿入された異なるペルソナについての記録を含み得る。インフラストラクチャ２００中には、膨大な無関係のＰＤＢが存在し得る。Ｎは、本発明のアブストラクションをサポートするために望ましいＰＤＢのいずれかの数を表す。ＰＤＢ２０８が存在するので、同じ数のウェブサイトサーバシステム２０４がなければならないと言うことはなく、恐らくないと言うことが理解されるべきである。
【００４９】
マーチャントは、マーチャントが特定するデータ保護ポリシーを実施するために信頼するものとしてそれに記録を挿入するＰＤＢを選択する。マーチャントデータ保護のためのＰＤＢサポートは、セクションＩＶにおいて以下に詳細に説明される。ユーザは、それに対してＰＡＣを提供し、それらのＰＡＣにおいて特定されるアクセスの形式にマーチャントを制限するマーチャントのＰＤＢを信頼しなければならない。これは、セクションＩＩＩにおいて詳細に説明されている。しかし、ユーザは、マーチャントが使用するＰＤＢを知らない可能性があるので、この信頼は、その例が以前に説明された例えば監査団体の補助で得られる必要があるかも知れない。
【００５０】
図２に示されているように、ユーザのペルソナサーバは、ユーザがビジットするマーチャントサーバから分離されており、またマーチャントが使用するプロファイルデータベースからも分離されていることが理解されるべきである。ペルソナサーバは、ペルソナとユーザとの間の対応を記憶し、ペルソナサーバをプロファイルデータベースに結合させることは、ペルソナ毎とは反対に、ユーザ毎に１つのプロファイルの形成を可能にし得る。これにより、ペルソナサーバは、好ましくは、この目的に対して共されるプライバシー保護サイトとして形成される。ＰＤＢは、サービスプロバイダにより、特に、コマースサーバホスティングのための付加価値（ｖａｌｕｅ−ａｄｄｅｄ）フィーチャーとして提供され得る。
【００５１】
マーチャントがＰＤＢに挿入するデータのタイプは、好ましくは、それらのウェブサイトにある間に特定のペルソナにおいてユーザの活動がなしたものについての情報に限定される。特に、挿入されるデータは、好ましくは、そこからユーザがビジットしたＩＰアドレスのような２つのペルソナをリンクするために使用され得る情報または電子メールアドレスのようないずれか他の同定情報を除外する。デフォルトによりいずれかのマーチャントにより複数のペルソナが読み出されることを許容しない決定は、そのようにするインセンティブを取り去る。単一のマーチャントは、例え理論的に２つのペルソナを同じユーザにリンクできたとしても、両方のペルソナについてのデータを読み出すＰＡＣが与えられない。マーチャントが挿入するデータのタイプについてのこの制限は、主に、同じユーザに関連するペルソナをＰＤＢがリンク付けすることを防止するように働く。
【００５２】
本発明は、それによりマーチャントサイトがペルソナサーバから１つのペルソナに対するＰＡＣをリクエストし、ペルソナサーバがそのＰＡＣを発行し、マーチャントがそれを（そのＧＣＥを介して）、そのペルソナについての情報を読み出しまたはＰＤＢに挿入するプロトコルを具現化する。このプロトコルは、以下に詳細に説明される。このプロトコルは、ユーザに対する現在のペルソナがない場合にのみユーザ入力を必要とする。ユーザがこの場合に経験するインターフェースはセクションＩＩＩにおいて以下に詳細に説明される。
【００５３】
ＩＩＩ．ペルソナマネージメント
既に説明したように、ペルソナは、それによりユーザが、それらのビヘービアをプロファイルに分割する基本ツールである。ペルソナを具現化するための主要なチャレンジは、彼または彼女のペルソナを彼または彼女のプライバシーを保護するための所望のポリシーと共に容易にユーザがコンフィギュアすることができるようにすること、およびいくつかの場合において、ペルソナを管理することが負担とならないようにユーザに対するポリシー決定をなすことである。
【００５４】
（ａ）ペルソナコンフィグレーション
どのようにペルソナが管理されるか、およびどのようにＰＡＣが分配されるかと言うポリシーは、どのようにユーザのデータが共有されるかということに大きなインパクトを与え得る。これらのポリシーのうちの例示的なもの、およびどのようにそれらがコンフィギュアされ得るかが、以下に説明される。
【００５５】
（ｉ）ＰＡＣと共に運ばれる権利。前のセクションにおいて説明したように、マーチャントに与えられるＰＡＣは、そのマーチャントが、このＰＡＣにおいて名付けられたペルソナに関連するＰＤＢ中の情報にアクセスすることを可能にする。以下に説明する１つの例外と共に、デフォルトにより、ＰＡＣは、マーチャントがペルソナに関連するＰＤＢ中の記録を読み出すことを可能にする「読み出し」権、およびマーチャントがそのペルソナについての新しい記録を挿入することを可能にする「挿入」権を運ぶ。しかし、ユーザはこれらのうちの１つのみをマーチャントに与えることができる。
【００５６】
例えば、ユーザは、サイトに、ユーザがそのサイトにおける彼または彼女の活動が特定の選択されたペルソナに関連する彼または彼女のプロファイルに加えられることを望まない場合、読み出しアクセスのみを与えることができる。ユーザは、そのユーザが彼または彼女がビジットしているサイトが彼または彼女の他のプロファイルされたデータを知ることを望まないが、そのユーザがサイトがプロファイルにデータを付け加えることを不快に思わない場合、挿入アクセスのみを与え得る。第３のタイプのアクセスが与えられ得る。即ち、ＰＤＢからペルソナに関連する記録をマーチャントが削除することを可能にする「削除」権である。削除権は、ユーザがＰＤＢ中のそれらのペルソナについて格納された情報を見るためにビジットでき、それらの選択の記録を削除するモニタリングサイトをセットアップすることを可能にする。
【００５７】
（ｉｉ）一人のマーチャントにおける同じユーザに対する複数のペルソナのエクスポージャ。セクションＩにおいて前述したように、同じユーザの２つの異なるペルソナについての読み出し権を有するマーチャントにＰＡＣを与えることは、例えそのマーチャントに２つの異なるセッションにおいてＰＡＣが送られる場合であっても、マーチャントがペルソナプロファイルを「合併（ｍｅｒｇｅ）」させることを潜在的に可能にする。この理由のために、マーチャントサイトにはユーザ毎に１つのみのペルソナ、即ちユーザがそのサイトをビジットした最初のペルソナに対する読み出し権が与えられるデフォルトポリシーが採用されることが好ましい。
【００５８】
しかし、このポリシーは、ある場合において制限され得る。例えば、多くのウェブサイトは、どのタイプのコンテンツが求められるかに無関係に、コンテンツに対する一般的「ラウンチポイント（ｌａｕｎｃｈ ｐｏｉｎｔｓ）」として働き得るサーチエンジンおよびトータルサイトのような、異なるペルソナにおいて同じユーザにより当然にビジットされ得る。これらのサイトの各々により１つのペルソナのみが読み出されることを許容することは、そのサイトが実行できるカスタマイゼーションの量を制限する可能性がある。
【００５９】
（ｉｉｉ）デフォルトとしてのペルソナの持続期間。ユーザがそれにおいてブラウズするペルソナを選択するとき、そのペルソナは、好ましくは、ユーザのブラウンジング経験における妨げを最小化するために、ある時間の間デフォルトの、即ち「現在の」ペルソナになる。ペルソナのコンフィギュア可能なパラメータは、この持続期間の長さである。このパラメータに対するデフォルトセッティングは、ブラウジングセッションの持続期間、即ちユーザが彼または彼女のブラウザを閉じるまでである。他の代替的なものは、特定された時間（例えば、３０分）、または単純にペルソナを全くデフォルトにしないことである。ペルソナはデフォルトであったとしてもユーザにより変更することができ、そのサイトに、以前に、同じユーザの異なるペルソナに対する読み出し権を含むＰＡＣが送られた場合、サイトに対して読み出し可能とされない。
【００６０】
（ｉｖ）ＰＡＣの持続期間。ＰＡＣ（それが運ぶアクセス権）が有効な持続期間は、ユーザプライバシーに対する大きな結果（ｒａｍｉｆｉｃａｔｉｏｎｓ）を有し得る。スペクトルの一方の端部において、無限に有効な読み出しアクセスを与えるＰＡＣは、それを受け取るサイトがこのペルソナを将来任意の期間監視することを可能にする。スペクトルの他方の端部において、ＰＡＣは、非常に短い時間フレーム、多分それが更新されるべき前の１分程度のみにおいての使用にのみ限定され得る。ここで、頻繁な更新の追加的なオーバヘッドにトレードオフが関わるが、ユーザに対する利益は、読み出しアクセスの場合において、彼または彼女がモニタされ得る持続期間における細かい（ｆｉｎｅ−ｇｒａｉｎｅｄ）制御または挿入アクセスの場合において、加えられ得る彼または彼女についてのデータである。好ましい構成において、デフォルトによるＰＡＣに対する短い持続期間が、ユーザのプライバシーをよりよく保護するために採用される。
【００６１】
（ｂ）ＰＡＣフォーマット
ＰＡＣ（Ｐｅｒｓｏｎａ ａｃｃｅｓｓ ｃｒｅｄｅｎｔｉａｌｓ）は、マーチャントがペルソナに対する記録を読み出し、挿入し、および／または削除することを可能にするために、ユーザに対しペルソナサーバにより与えられる。本発明の好ましい実施形態によれば、ＰＡＣは、以下のフィールドを含む構造である。
【００６２】
１．ＰＡＣが発行されているマーチャントに対する識別子。この識別子は、ＰＤＢにより、ＰＡＣを提供するマーチャントがそのＰＡＣが与えられた同じマーチャントであることを確認するために使用される。この識別子は、ＰＤＢがマーチャントからのリクエストを認証するために使用する公開鍵である。この公開鍵は、ＰＡＣリクエストに付けられかつペルソナサーバに知られたサーティフィケーションオーソリティによりサインされた証明書（ｃｅｒｔｉｆｉｃａｔｅ）中でペルソナサーバに運ばれなければならない。
【００６３】
２．満了時間。この時間は、サブセクション（ａ）において上述されたＰＡＣ持続期間の関数として計算される。
【００６４】
３．アクセス権。デフォルトにより、これらは、読み出しおよび挿入許可の両方を含み、またはこのＰＡＣが、同じユーザの別のペルソナの読み出し許可を含むＰＡＣが以前に発行されたマーチャントに発行されている場合、挿入許可のみを含む。しかし、ユーザが、追加的な削除許可を含み得る異なるコンフィグレーションのアクセス権を選ぶかも知れないと言うことが可能である。
【００６５】
４．上記のアイテムへのデジタル署名。ペルソナがペルソナサーバにおいて生成されるとき、サーバは、そのペルソナに対する新しい公開鍵対を生成する。このプライベート鍵は、そのペルソナに対する全てのＰＡＣをサインするために使用される。
【００６６】
５．ペルソナ公開鍵。ＰＡＣをサインするために使用されるプライベート鍵に一致する公開鍵が、ＰＡＣと共に送られる。この公開鍵は、そのペルソナに対する長期間識別子として働く。
【００６７】
ＰＤＢは、まずＰＡＣ中に含まれる公開鍵（即ち、ペルソナ公開鍵）を使用してその署名を確認し、そしてそのＰＡＣが満了していないことを確認することによりマーチャントリクエストを伴うＰＡＣを確認する。そして、ＰＤＢは、ＰＡＣ中で与えられたアクセス権を、マーチャントがなしているリクエストと比較し、それがこのリクエストを与えるかどうかを決定する。リクエストが許容される場合、ＰＤＢは、ペルソナ公開鍵に関連づけられたデータについてリクエストを実行する。即ち、この公開鍵は、ペルソナのデータに対するインデックスとして使用される。ペルソナ公開鍵は、いずれのやり方においても証明される必要はない。マーチャントが異なる公開鍵を使用してＰＡＣをねつ造する場合、これは、そのユーザに対する存在しないペルソナに対する質問を単に出している。
【００６８】
好ましい具現化において、ペルソナ公開鍵は、好ましくは１０２４ビット率（ｍｏｄｕｌｉ）のＲＳＡキー（Ｒ．Ｌ． Ｒｉｖｅｓｔ 等による”Ａ ｍｅｔｈｏｄ ｆｏｒ ｏｂｔａｉｎｉｎｇ ｄｉｇｉｔａｌ ｓｉｇｎａｔｕｒｅｓ ａｎｄ ｐｕｂｌｉｃ−ｋｅｙ ｃｒｙｐｔｏｓｙｓｔｅｍｓ，” Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ， ２１（２）：１２０−１２６， Ｆｅｂ． １９７８ に示されたもの）であり得る。
【００６９】
（ｃ）ユーザインターフェース
このサブセクションにおいて、ユーザがペルソナサーバとの相互作用をするために使用しうる例示的なインターフェースのいくつかの部分が示される。ペルソナサーバは、マーチャントがペルソナをリクエストし、ペルソナサーバにそのユーザに対する現在のペルソナがないとき、彼または彼女のコンピュータディスプレイにより、このインタフェースをユーザに提供する。これが、起きるとき、新しい、より小さいブラウジングウィンドウ３０２が、図３Ａに示されるようにユーザに提供される。これは、その上をクリックすることにより選択する３つのオプションをユーザに提供する。即ち、ペルソナの選択（３０４）、ペルソナに対するこのリクエストの拒否（３０６）、または更なる通知まで全てのペルソナリクエストを拒否（３０８）することである。
【００７０】
ユーザが第２または第３のオプション（３０６または３０８）を選ぶ場合、このウインドウは、即座に消える。この場合において、ペルソナサーバは、ユーザが誰であるかを知る必要はなく、ユーザは、ペルソナサーバのアカウントを有する必要さえない。しかし、この場合において、第３のオプション（３０８）を選ぶことは、このユーザに対してのみでなく、このブラウザを使用する誰に対しても全てのペルソナリクエストを拒否する。ペルソナ管理で煩わされることを望まないユーザは、システムを容易にディスエーブルすることができる。ユーザが、更なる通知まで全てのペルソナリクエストを拒否する（３０８）場合、ユーザは、彼または彼女のブラウザに対するペルソナリクエストを再イネーブルするために、ペルソナサーバにおけるＵＲＬ（ｕｎｉｆｏｒｍ ｒｅｓｏｕｒｃｅ ｌｏｃａｔｏｒ）をビジットしなければならない。
【００７１】
ユーザ第１のオプション（３０４）を選び、このブラウジングセッションの間に以前にログインしていない場合、ユーザは、図３Ｂに示すログインスクリーン３１０に進む。ユーザがペルソナサーバにおいてアカウントを既に有していない場合、彼または彼女は、適切なボックス（３１２）をチェックすることによりアカウントを作ることができる。そうでない場合、ユーザは、ボックスをチェックすることなしに、彼または彼女アカウント番号（３１４）およびパスワード（３１６）を入力することにより単にログインする。
【００７２】
ログインの後、ユーザは、新しいペルソナを作るまたは既に存在するペルソナを選択することができる。これは、図３Ｃに示されているように、スクリーン３１８およびペルソナ生成／選択メニュー３２０においてなされ得る。ユーザが既に存在するペルソナを選択する場合、このウィンドウは消えて、そのペルソナに対するＰＡＣがマーチャントに発行される。ユーザが新しいペルソナを生成することを選ぶ場合、図３Ｄに示されるスクリーン３２２が表れる。これは、ユーザが、ペルソナに対する名前（３２４）を選び、そのペルソナに対するいくつかの基本パラメータをコンフィギュアすることを可能にする。
【００７３】
例えば、ユーザは、一旦選択されると、ペルソナが、ユーザがそれを選択したサイトのみ（３２６）、ブラウジングセッションの間にユーザがビジットするいずれかのサイト（３２８）、または次のｎ分以内にユーザがビジットするいずれかのサイト（３３０）を特定することができる。ここで、ｎも選択可能である。ユーザは、彼または彼女が、この特定のペルソナをサイトにエクスポーズする前のたび毎に求められることを特定することができる（３３２）。
【００７４】
サブセクション（ａ）において上述したペルソナの他のパラメータを修正するためのインターフェースおよび現在のペルソナをディスエーブルするまたは変更するためのインターフェースを含むペルソナサーバに関連づけられた図示しない他のスクリーンが存在しうることを理解すべきである。
【００７５】
（ｄ）ＰＡＣリクエストプロトコル
図４において、本発明による例示的なプロトコルが示されており、これによりマーチャントサイトＭは、ペルソナサーバＰからペルソナに対するＰＡＣをリクエストする。Ｐは、そのＰＡＣを発行し、Ｍは、そのＧＣＥを介して、ペルソナについての情報を読み出しまたはＰＤＢ　Ｄに挿入するためにそれを使用する。図２において、マーチャントサイトＭは、マーチャントサイトサーバシステム２０４を表し、ペルソナサーバＰは、ペルソナサーバ２０６を表し、ＰＤＢ　ＤはＰＤＢ２０８を表すことが理解されるべきである。
【００７６】
プロトコルは、ユーザが、彼または彼女のブラウザＵを通常通りマーチャントサイトにダイレクトすることにより開始する（ステップ４０１）。Ｕは図２中のユーザシステム２０２を表すことが理解されるべきである。Ｕ、Ｍの相互作用におけるいずれかの点において、Ｍは、Ｕを、ペルソナサーバＰ上の周知のＣＧＩスクリプトにリダイレクトすることができる（ステップ４０２）。このリダイレクションは、マーチャントがユーザへページを提供することを防止する必要はない。例えば、リダイレクションは、ユーザのブラウザ中の隠れた（ｈｉｄｄｅｎ）フレーム中にあり得る。このＵＲＬにＰＡＣが送られるべきサイトＭにおけるＵＲＬを含むアーギュメントが付加される。例えば、ＨＴＴＰリダイレクションメッセージが使用され得る。また、このリダイレクションメッセージのＨＴＴＰヘッダにおいて、Ｍは、カスタマ識別子Ｃを含むＵにおいてクッキーをセットする。Ｃは、Ｕからの各後続の通信においてサーバに戻されることになる。
【００７７】
ステップ４０２において送られたメッセージは、このＵＲＬに対するＰへのリクエストをＵが自動的に発行することをプロンプトする（ステップ４０３）。ＵがＰに対して最近認証しなかった場合、またはこのブラウジングセッションに対して既に選択されたペルソナを有しない場合、図３Ａないし３Ｄとの関連で上述したように、Ｍがユーザに対するペルソナをリクエストしており、ユーザがログインし、１つのペルソナを選択することを可能にしていることを示す新しいウィンドウで、Ｐはユーザに応答する（ステップ４０４）。また、ステップ４０３におけるリクエストが、ユーザがペルソナリクエストに応答するためにこのブラウザに以前に登録し、それらをその後ディスエイブルしてないことを示す図示しないＨＴＴＰクッキーを伴う場合にのみ、Ｐはユーザに質問する。
【００７８】
この意味において、この例示的な技法は、「オプトイン（ｏｐｔ−ｉｎ）」技法である。ペルソナが選択されると、Ｐは、ユーザが選択したペルソナに従って、Ｍに対するＰＡＣを生成し、Ｕを、付加されたＰＡＣを伴うサイトＭ上のリターンＵＲＬにリダイレクトする（ステップ４０５）。ステップ４０４と共に、Ｐは、このログインおよび選択手続きが各サイトに対して反復される必要がないように、Ｕにおいてクッキーをセットできる。例えば、このクッキーがこのブラウジングセッションの持続期間の間有効であるようにセットされる場合、これは、典型的には、このブラウザセッションの間ユーザがこのペルソナ選択プロセスを通過しなければならなくなる最後の時になる。
【００７９】
ステップ４０５において送られるメッセージは、ＵにおいてクッキーとしてＭが以前にセットしたカスタマ識別子Ｃを伴って、ＵにＰＡＣをＭに転送させる（ステップ４０６）。Ｍは、この対をそのローカルＧＣＥ（図１との関連で上述した）に転送し、カスタマＣについての質問を出すことができる。ＧＣＥは、Ｍがそのような質問をなすようにオーソライズされていることを示すために付加されたＰＡＣを有するＤに対する質問に変換する（ステップ４０７）。
【００８０】
ユーザが、別のマーチャントをビジットするとき、そのマーチャントは、同じプロトコルを使用してペルソナをリクエストすることができる。この場合において、上述したプロトコル全体が、ユーザに対してトランスペアレントに実行される。即ち、ステップ４０４が、スキップされる。
【００８１】
ＩＶ．マーチャント間のデータ共有
マーチャント間のデータ共有は、それらのそれぞれのＧＣＥによりＰＤＢに記録を挿入し、ＰＤＢから記録を読み出す複数のマーチャントにより行われる。このセッションの目的のために、我々は、記録ａを挿入したマーチャントをマーチャント（ａ）と呼び、記録が属するペルソナ（即ち、セクションＩＩＩ（ａ）において上述したペルソナ公開鍵）を、ペルソナ（ａ）と呼ぶ。説明を容易にするために、我々は、このセクションにおいて、マーチャントサイトとそのＧＣＥを区別しない。
【００８２】
本発明のインフラストラクチャにおいて解決されなければならないプライバシーの懸念をユーザが有するように、マーチャントもプライバシーの懸念を有する。具体的には、マーチャントは、競合するマーチャントがその情報を直接的または間接的に使用することができ、ユーザがたまたま競合するマーチャントをビジットする場合に、同じユーザへのコンテンツを作り替えることができる場合、記録をＰＤＢに挿入することを望まない可能性がある。これにより、マーチャントにより採用されるべき本発明のインフラストラクチャにとって、システムに挿入する情報を保護するためのメカニズムが提供されることが重要である。
【００８３】
（ａ）テインティング（ｔａｉｎｔｉｎｇ）データ保護モデル
このタスクのために本発明により提供されるデータ保護モデルは、情報フローモデル、具体的にはテインティングに基づく。直感的に、第１の値により第２の値が影響を受ける場合、システム中の１つのデータは、別のデータをテイントする。テインティングモデルは、ａがａ′をテイントする場合、ａ′は、ａが使用されるためにオーソライズされたというやり方でのみ使用され得るというポリシーを実施する。例えば、ａのオーナーがそれが開示されないことを特定した場合、ａ′も開示されることができない。
【００８４】
本発明のインフラストラクチャにおいてマーチャントデータを保護するためにテインティングを使用するための一般的なアイデアは、マーチャントがＰＤＢに挿入する各記録ａに対して、マーチャントは、その記録、またはその記録がテイントするいずれかが流れることを許容することになる。他のマーチャントのセットを特定する。例えば、マーチャントがａを読み取り、ユーザのためにページをカスタマイズするためにそれを使用する場合、マーチャントは、ユーザの後続のビヘービア（例えば、多分、ユーザはマーチャントが表示したものを購入すること）に基づいて記録ａ′に挿入し、そしてａ′は、それを許容するようにａを書き込んだマーチャントによってのみ読み出され得る。
【００８５】
しかし、この一般的なモデルは、好ましくは、改良される。主な理由は、データアイテムがデフォルトにより将来に亘って任意に記録をテイントする場合、これは、マーチャント間でのデータ共有を大きく妨げることになり、これは通常不必要であるということである。例えば、ユーザがエジプトへの旅行を購入するという上述したシナリオを考えると、結果として、オンライン書店からピラミッドについての本をオファーされかつ購入する。
【００８６】
ユーザがオンラインホームファーニシングストア（ｏｎｌｉｎｅ ｈｏｍｅ ｆｕｒｎｉｓｈｉｎｇｓ ｓｔｏｒｅ）をビジットすることを考えると、これは、書店により挿入された記録からの読み出しにおいてユーザの関心を知るので、ユーザに読書灯（ｒｅａｄｉｎｇ ｌａｍｐ）をオファーする。この例において、読書灯の購入を示すホームファーニシングストアにより挿入された記録がユーザがビジットする他のトラベルストアから与えずにおかれることは不必要である。これは、第１のトラベルストアにより挿入された記録は、それらの原因となる履歴に含まれるからである。
【００８７】
したがって、我々は、それが挿入する各記録ａに対してテイントクラスを特定するようにマーチャントに求めることにより、モデルを強化する。要するに、マーチャントは、セットＣＬＡＳＳａ［０］，ＣＬＡＳＳａ［１］，．．．，ＣＬＡＳＳａ［ＳＴＲ（ａ）＋１］のシーケンスを特定する。ここで、各ＣＬＡＳＳａ［ｉ］は、マーチャントのサブセットであり、ＣＬＡＳＳａ［ｉ］⊆ＣＬＡＳＳａ［ｉ＋１］，ＣＬＡＳＳａ［ＳＴＲ（ａ）＋１］は、全てのマーチャントの母集団（ｕｎｉｖｅｒｓｅ）であり、ＳＴＲ（ａ）は、ａのテイント強度と呼ばれる負でない整数のである。直感的に、マーチャントｍが、ＣＬＡＳＳａ［ｉ］のメンバーでない場合、ｉのシーケンスまたはより少ないデリベーション（ｄｅｒｉｖａｔｉｏｎ）によりａから得られた記録を読み出すことが許されない。より正確に、我々は以下のように関係を定義することを考える。
【００８８】
2004503875.tif 000003
【００８９】
→関係により形成される方向性非循環（ａｃｙｃｌｉｃ）グラフを考える。即ち、ここで、ノードは、記録であり、エッジは→関係に対応する。記録ａ，ａ′およびマーチャントｍに対して、ｍ∈／ＣＬＡＳＳａ（ｉ）であり、ａ′からａへｉ以下の長さのパスが存在する場合、ｍはａ′を読み出すことができない。
【００９０】
マーチャントは、それがＰＤＢに登録しているとき、マーチャントのセットを特定することによりこのモデルを使用し、そして、それが挿入する記録のテイントクラスを構成するために、これらのセットを参照する。例えば、マーチャントは、それがデータを寛大に許容することを望むパートナーマーチャントのセットＭｐａｒｔｎｅｒｓおよびパートナーでもなければコンペチターでもないマーチャントのセットＭｎｏｎｃｏｍｐｅｔｉｔｏｒｓを指定することができる。そして、記録ａを挿入するとき、マーチャントは、ＳＴＲ（ａ）＝１、ＣＬＡＳＳａ［０］＝ＭｐａｒｔｎｅｒｓおよびＣＬＡＳＳａ［１］＝Ｍｐａｒｔｎｅｒｓ∪Ｍｎｏｎｃｏｍｐｅｔｉｔｏｒｓを特定するかも知れない。即ち、パートナーのみが記録ａを読み出すことができ、ｍｅｒｃｈａｎｔ（ａ′）が同意する場合にのみ、パートナーおよびノンコペチターが記録ａ′→ａを読み出すことができる。特に、ｍｅｒｃｈａｎｔ（ａ）のコンペチターはどちらも読み出すことはできない。
【００９１】
テイントクラスにより表されるポリシーを実施するためのアルゴリズムは、以下の通りである。各記録ａに、データ構造５００が図５に示されているように格納される。これは、（ｉ）ａの累積されたテイント強度と呼ばれる整数値（５０２）であり、ＡＴＳ（ａ）で示される、（ｉｉ）セット（５０４）ＣＬＡＳＳａ［１］，．．．，ＣＬＡＳＳａ［ＳＴＲ（ａ）］、および（ｉｉｉ）ａ→ａ′となるような記録ａ′に対するポインター（５０６）を含む。また、データ構造５００は、データ記録に対するカスタマイゼーション情報（５０８）、例えば「エジプト」、およびテイント強度値（５１０）ＳＴＲ（ＳＴＲは整数である）も含む。記録ａが挿入されるとき、累積テイント強度は、次式で演算される。
【数１】
2004503875.tif 000004
【００９２】
マーチャントｍが記録ａを読み出すことができるかどうかを決定するために、ＰＤＢは、→により定義されるグラフ中でａからｂｒｅａｄｔｈ−ｆｉｒｓｔサーチを実行する。これは、記録ａ′に出くわすと、ディーセンディングトラバーサル（ｄｅｓｃｅｎｄｉｎｇ ｔｒａｖｅｒｓａｌ）の各々をトランケート（ｔｒｕｎｃａｔｅ）する。ここで、ＡＴＳ（ａ′）はサーチにおける現在の深さより小さい。このトラバーサルにおいて深さｄにおいてビジットされた各記録ａ′に対して、ｍは、ｍ∈ＣＬＡＳＳａ’［ｄ］である場合にのみａを読み出すことを許容される。このアルゴリズムの主な結果は、ｍ∈／ＣＬＡＳＳａ［ｉ］であり、ａ′からａへｉ以下の長さのパスが存在する場合、ｍはａ′を読み出すことができないというものである。
【００９３】
アウトデグリー（ｏｕｔ−ｄｅｇｒｅｅ）Ｂ（即ち、ａ→ａ′となるようなＢ記録ａ′がある）の記録ａを挿入するために、必要とされる演算はＯ（Ｂ）である。全部でＭのマーチャントがあり、このペルソナに対するＲ個の記録、およびこれらの記録間にＥ個のエッジがある場合、一人のマーチャントが１つの記録を読み出すことができるかどうかの決定は、Ｏ（Ｅ（ｌｏｇＲ＋ｌｏｇＭ））時間かかる。しかし、この演算時間は、合理的なテイント強度に対して遙かに短い。
【００９４】
特に、記録あたりの最大テイント強度が課される場合、ｂｒｅａｄｔｈ−ｆｉｒｓｔトラバーサルは、その強度の深さでストップすることになる。上述したように、１つの記録に対するテイントクラスを含むセットは、挿入するマーチャントに対してマーチャントをカテゴライズするセットを以前に特定したことが仮定されている。この場合において、Ｃマーチャントカテゴリーが存在する場合、これらのマーチャントカテゴリのワンタイム（ｏｎｅ−ｔｉｍｅ）ストレージより上のＯ（Ｂ＋Ｃ）ポインタのみのストレージを記録ａは必要とする。
【００９５】
この新規なアプローチに従って、マーチャントは、その記録を挿入した後であっても、記録に対するテイントクラスを変更することができる。しかし、記録のテイント強度を増大させる変更をサポートするために、各記録ａは、ａ′→ａとなるように全ての記録ａ′に対するポインタを格納する。そして、マーチャントが、ＳＴＲ（ａ）を増大させるように記録ａのテイントクラスを変更した場合、ＰＤＢはＡＴＳ（ａ）を再演算し、ａにおいてスタートする→の逆数について定義されたＤＡＧにおける深さＡＴＳ（ａ）までデプス−ファーストトラバーサル（ｄｅｐｔｈ−ｆｉｒｓｔ ｔｒａｖｅｒｓａｌ）を実行する。このトラバーサルにおいてビジットされた各ノードａ′に対して、必要な場合、ＡＴＳ（ａ′）は更新される。
【００９６】
代替的に、効率を改善するためおよび不必要なテイティングをさらに最小化するために、本発明のテインティングモデルは、時間によりテイント「満了」させることができる。そのような１つの代替的なやり方は、マーチャントが記録ａを挿入するとき、ｍｅｒｃｈａｎｔ（ａ）により最も最近に読み出された固定の数の記録ａ′のみのポインタａ→ａ′を記録することである。このやり方において、記録ａ′は、マーチャントが記録ａ′を再び読み出さない場合、最終的に、マーチャントにより書き込まれた記録を最早テイントしないことになる。
【００９７】
（ｂ）記録の読み出し
マーチャントが読み出す記録は、マーチャントが挿入した記録の特性をテイントすることの決定において主要なファクタである。サブセクション（ａ）において定義された関係中の（３）のクローズを参照のこと。不必要なテインティングを最小化するために、マーチャントが、それらが成したカスタマイゼーション決定に直接関係する記録のみを読み出すことが重要である。これにより、本発明は、マーチャントがそれらが読み出す記録中に異常によくターゲットされることを可能にするＰＤＢに対する読み出しインターフェースを提供する。
【００９８】
記録を読み出すためのＰＤＢインターフェースは、２つのタイプの動作をサポートする。これらの動作は、それぞれ、図６Ａおよび６Ｂに示されている。第１の動作６０２は、ここでは ｃｒｅａｔｅ＿ｌｉｓｔ と呼ばれ、そのアーギュメント（ａｒｇｕｍｅｎｔｓ）として、マーチャントにより特定されたＰＡＣおよびスコアリング関数をとる。スコアリング関数ｆは、単一の記録を入力として受け入れ、スコアと呼ばれるフローティングポイント値を戻す。直感的に、記録ａに対して、スコアｆ（ａ）は、スコアリング関数ｆにより決定されたマーチャントがなさなければならないカスタマイゼーション決定に対するａの関連（ｒｅｌｅｖａｎｃｅ）を示す。
【００９９】
例えば、合理的なスコアリング関数は、より最新の記録、ビジターによる大きな購入を示す記録、またはマーチャントの在庫によくマッチする記録に対するより高いスコアを戻すかも知れない。例示的な具現化において、スコアリング関数は、マーチャントアドミニストレーターが作り上げ、サイドエフェクトがない（即ち、ネットワーク通信、ディスクアクセス等がない）関数を具現化することが求められるジャバ（Ｊａｖａ）クラスファイルである。
【０１００】
ｃｒｅａｔｅ＿ｌｉｓｔ 動作は、スコアリング関数ｆを、マーチャントがＰＡＣにより示されたペルソナに対するアクセスを有する全ての記録に適用する。ｃｒｅａｔｅ＿ｌｉｓｔ（ＰＡＣ，ｆ）からのリターン値は、ＰＤＢに格納されたスコアをディーセンドすることにより格納された記録のリンクされたリストへのリファレンスＬである。重要なことに、動作ｃｒｅａｔｅ＿ｌｉｓｔ を求めることは、記録の読み出しとして「カウント」しない。これは、それが戻るリファレンスＬは、記録の内容、それらのスコア、またはＰＤＢに格納された得られるリンクされたリスト中にどれだけ多くの記録があるか差異についての情報を示さないからである。
【０１０１】
リファレンスＬを使用してマーチャントに利用可能な唯一の動作は、ｎｅｘｔ（Ｌ）を求めることである。この動作は図６Ｂにおいて６０４で示されており、最初に、リストのヘッドに記録を戻し、正しく求めたとき、リンクされたリスト中の次の記憶を戻す。マーチャントに戻される各記録は、マーチャントが挿入した記録ａ′に対してａ′→ａとなるように、記録ａを決定する目的のために、マーチャントにより読み出されたとマークされる。マーチャントは、Ｌの最初のいくつかの記録をサンプルし、それらがマーチャントのニーズに合うかどうかを決定することできる。
【０１０２】
もし、マーチャントのニーズに合う場合、それらは、ビジターに対するコンテンツをカスタマイズするために使用され得る。マーチャントのニーズに合わない場合、マーチャントサイトは、異なるスコアリング関数を有するｃｒｅａｔｅ＿ｌｉｓｔを求めることにより新しいリストを形成することができる。このインターフェースは、そのコンテンツをカスタマイズするために、マーチャントがビジター当たり非常に少ない記録しか読み出すことを必要としないので、これにより、不必要なテインティングを制限する。
【０１０３】
（ｃ）複数のＰＤＢのアクセス
上記のセクションＩＩにおいて説明したように、本発明のインフラストラクチャは、複数のＰＤＢを許容し、単一のマーチャントがそれが選択したとき複数のＰＤＢにサブスクライブすることをさらに許容する。これにより、一方のＰＤＢにおける記録が他方のＰＤＢにおける記録によりテイントされることになることが可能である。より正確には、記録ａをＰＤＢ　Ｄに挿入するとき、マーチャントのＧＣＥは、ａ→ａ′になるように別のＰＤＢにおける各記録ａ′へのリファレンスをＤに伝播する。
【０１０４】
上記のサブセクション（ａ）のアルゴリムにおけるグラフトラバーサルは、ＰＤＢ間の通信が完成されることを要求する可能性がある。必要とされるＰＤＢに到達不可能である場合、アルゴリズムは、コンサーバティブに応答することができ、例えば、マーチャントが記録を読み出すことができるかどうかを決定する場合において、必要な記録ａ′が存在するＰＤＢが利用可能でない場合、マーチャントは許可されない。
【０１０５】
このテイント情報を伝播させるためのマーチャントＧＣＥに責任を与えることは、テインティングポリシーの実施に最小のリスクを与える。第１に、ａ′→ａという事実を抑制するために、マーチャントが記録ａ′を書き込む同期がほとんど存在せず、そのようにすることは、単に、ａ′がテイントされる度合いを減少させる。第２に、ｍｅｒｃｈａｎｔ（ａ′）がａを読み出すという事実は、ｍｅｒｃｈａｎｔ（ａ′）∈ＣＬＡＳＳａ［０］を意味する。即ち、ｍｅｒｃｈａｎｔ（ａ）は、ａを有するｍｅｒｃｈａｎｔ（ａ′）を既に信頼しており、ｍｅｒｃｈａｎｔ（ａ）が、ａ′→ａという事実を伝播することを信用することは、この信用を最小限に拡張する。
【０１０６】
第３に、ａを格納しているＰＤＢは、ａが読み出された時刻を保持しているので、ａ′を格納しているＰＤＢは、ａ′が挿入された時刻を同様に記録し、そのような抑制は、両方のＰＤＢが関係する監査において容易に検出される。これにより、インフラストラクチャの外部の通信記録は、セクションＩにおいて上記した利点と一貫して、新規なテインティングモデルに違反するリスクが少ないアプローチである。
【０１０７】
（ｄ）マーチャントテイントクラスコンフィグレーション
上述したテインティングモデルは、各マーチャントに、それが記録した所についての細かい制御およびそれから得られる情報、フローを与える。マーチャントｍは、この制御を、それが書き込む各記録についてのテイントクラスを特定することにより実行する。これは、便宜のために、通常、ｍが以前に定義した、例えばマーチャントのセット、例えば上述のＭｐａｒｔｎｅｒｓおよびＭｎｏｎｃｏｍｐｅｔｉｔｏｒｓからなる。このサブセクションにおいて、我々は、それによりｍがＰＤＢにおけるそのようなマーチャントのセットを定義することができるコンフィグレーションインターフェースを説明する。
【０１０８】
このインターフェースの一部が、図７に示されている。この図において、マーチャント「ジェネシススポーツ（Ｇｅｎｅｓｉｓ Ｓｐｏｒｔ）」は、そのページのヘッディングに示されているように、それが「ノンコンペチター」と呼ぶグループをコンフィギュアしている。右下のスクリーンクアドラント（ｓｃｒｅｅｎ ｑｕａｄｒａｎｔ）７０２に、テイントクラス（ここでは、よりユーザフレンドリーな名称「コラボレーションアフィニティ（ｃｏｌｌａｂｏｒａｔｉｏｎ ａｆｆｉｎｉｔｙ）」と呼ばれる）が示されており、このグループ中のマーチャントは、ジェネシススポーツが記録をこのＰＤＢに書き込むときデフォルトにより含まれる。
【０１０９】
ジェネシススポーツは、デフォルトにより、そのノンコペチターに、それらに対して０のテイントクラスを特定することにより示されるように、それが書き込む記録に対する即座のアクセスを与える。ジェネシスのノンコペチターは、左下のスクリーンクアドラント７０４にリストされている。例えば、ジェネシスは、そのノンコペチターのリストにブックストアーを含むが、「オーシャンダイブショップ」を含まない。
【０１１０】
上の方の２つのスクリーンクアドラントは、ノンコンペチターリストをフォーミュレートするタスクを、ジェネシスに対してより容易にする。左上のスクリーンクアドラント７０６は、このＰＤＢを使用するために登録された全てのマーチャントのリストを含む。ジェネシスは、そのリストに追加するための個々のマーチャントを選択することができる。また、ジェネシスは、右上のスクリーンクアドラント７０８を使用して、そのリストに含めるまたはそのリストから排除するマーチャントのカテゴリを選ぶことができる。
【０１１１】
マーチャントのカテゴリーは、このＰＤＢを使用するために登録されるとき、マーチャントにより特定される。ジェネシスそれ自体は、そのページの「ビジネスグループ」ヘッディング中に示されているように、ダイビングストアである。このカテゴリー化は、完全には信頼できない可能性があるので、マーチャントのカテゴリーの追加は、左下のスクリーンクアドラント７０４に新しいマーチャントを単にリストする。そして、ジェネシスは、これらの追加をそのノンコペチターリストにコミットする前に、追加されたマーチャントを検査することができる。
【０１１２】
Ｖ．例示的なアプリケーション
本発明のインフラストラクチャの例示的な具現化の設計は、ビジネス・ツー・コンシューマーマーケットへのフォーカスにより影響されたことが理解されるべきである。例えば、本発明は、修正されていないクライアントブラウザ（例えば、Ｎｅｔｓｃａｐｅ、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ等）で動作することが明らかにされており、ここでは、新しいソフトウェアユーザインストレーションに依存することがアドプションに対するバリアになりうることが知られている。また、ユーザプライバシーに注意がなされることが明らかにされている。しかし、本発明の原理は、所定のビジネス・ツー・ビジネス（Ｂ２Ｂ）セッティングにおいても同様に適用可能である。
【０１１３】
Ｂ２Ｂセッティングにおける我々の設計の１つのアプリケーションは、いくつかのＢ２Ｂｅマーケットが発展している相互作用のモデルであるいわゆる「シナリオネッツ（ＳｃｅｎａｒｉｏＮｅｔｓ）」である。Ｓｅｙｂｏｌｄ 等は（Ｓｅｙｂｏｌｄ 等による　”Ｕｎｄｅｒｓｔａｎｄｉｎｇ ｔｈｅ Ｂ２Ｂ ａｎｄ Ｅ−Ｍａｒｋｅｔ Ｌａｎｄｓｃａｐｅ，” Ｃｕｓｔｏｍｅｒ．ｃｏｍ Ｆｏｃｕｓｅｄ Ｒｅｓｅａｒｃｈ Ｃｏｌｌｅｃｔｉｏｎ， Ｐａｔｒｉｃｉａ Ｓｅｙｂｏｌｄ Ｇｒｏｕｐ， Ｉｎｃ．， ２０００　の第３６−３９頁を参照のこと）、シナリオネッツをウェブサイト間で実行され得る相互に関連するタスクのカスタマスペシフィックおよびプロジェクトスペシフィックセットであり、サプライヤが特定の結果を達成することができるものと定義している。
【０１１４】
「カスタマースペシフィックおよびプロジェクトスペシフィック（ｃｕｓｔｏｍｅｒ−ａｎｄ ｐｒｏｊｅｃｔ−ｓｐｅｃｉｆｉｃ）」の重要性は、相互に関連するタスクのシーケンスが、垂直的または水平的なｅマーケットにより予測または直接的にサポートされていないカスタマまたはプロジェクトに対してカスタマイズされ得ることである。Ｓｅｙｂｏｌｄ 等は、１つのウェブサイトから以前に完了されたタスクのコンテキストを次のサイトにカスタマが運ぶ方法を提供することによりシナリオネットをサポートすることを示唆する。これにより、既に入力された情報および既に完了されたタスクの結果が、シーケンス中の次のサイトおよびアプリケーションにとって利用可能となる。
【０１１５】
本発明のインフラストラクチャは、このやり方でシナリオネットにサポートすることができ、ユーザは、タスクのシーケンス毎に１つのペルソナを使用する。本発明のインフラストラクチャは、１つのステップから次のステップへコンテキストが運ばれる技法およびユーザおよびウェブサイトの双方がタスクのシーケンスに関係したセンシティブな情報を保護するためのメカニズムの双方を提供する。そして、グループウェア（Ｇｒｏｕｐ Ｗａｒｅ）システムによりオファされるサポートと対照的に本発明のインフラストラクチャは、関連するタスクのシーケンスの改良された知識でコンフィギュアされる必要はない。
【０１１６】
所定のＢ２Ｂセッティングは、カスタムクライアントソフトウェアの導入に、より従順であり得るので、一実施形態において、クライアントソフトウェアは、このユーザに対するペルソナサーバまたはＰＤＢコンテンツそれら自体細部まで具現化することができる。しかし、後者の組織は、この集中化されたストアが妥協された場合、ユーザに対する単一のプロファイルを明らかにするやり方で、全てのデータを集中化することになる。
【０１１７】
ＶＩ．例示的なコンピュータシステムアーキテクチャ
図８において、例示的なネットワーク上で通信する各コンピュータシステムに対する例示的なアーキテクチャが示されている。図８の例示的なアーキテクチャは、図２に示されたインフラストラクチャ中で動作するコンピュータシステムの各々のアーキテクチャ、即ち、ユーザコンピュータシステム２０２、マーチャントウェブサイトサーバシステム２０４−１ないし２０４−Ｍ、ペルソナサーバ２０６およびＰＤＢ２０８−１ないし２０８−Ｎを表しうることが理解されるべきである。前述したように、ペルソナサーバは、仮想サーバであり得る。また、各マーチャントサーバファイルシステムおよび／またはＰＤＢは、１つまたは２つ以上のそのようなコンピュータシステムを含み得る。
【０１１８】
各コンピュータシステムは、プロセッサ８０２、メモリ８０４、およびＩ／Ｏデバイス８０６を含み得る。ここで使用される用語「プロセッサ」は、中央演算処理装置（ＣＰＵ）または他の演算処理回路を含む１つ以上の演算処理デバイスを含み得るものと理解されるべきである。また、ここで使用される用語「メモリ」は、ＲＡＭ，ＲＯＭのようなプロセッサまたはＣＰＵに関連づけられたメモリ、固定メモリデバイス（例えば、ハードドライブ）または取り外し可能メモリデバイス（例えば、ディスケットまたはＣＤＲＯＭ）を含むように意図されている。
【０１１９】
また、ここで使用されている用語「Ｉ／Ｏデバイス」は、データを演算処理ユニットに入力するための１つ以上の入力デバイス（例えば、キーボード、マウス）、並びに演算処理装置に関連づけられた結果を提供するための１つ以上の出力デバイス（例えば、ＣＲＴディスプレイ）を含むものと意図されている。したがって、本発明の方法の全てまたは一部を実行するためのソフトウェアプログラムインストラクションまたはコードは、１つ以上の関連メモリデバイス、例えばＲＯＭ、固定または取り外し可能メモリに格納され、使用されるために読み出されるとき、ＲＡＭにロードし、ＣＰＵにより実行されることができる。
【０１２０】
したがって、前述したように、本発明は、グローバルカスタマイゼーションをサポートするための技法およびインフラストラクチャを提供する。本発明は、ユーザ情報のペルソナプロファイルが維持され、そのようなペルソナプロファイルがマーチャントによりアクセスされることを可能にする。ペルソナアブストラクションにより、ユーザは、どの情報がペルソナプロファイル中にグループ化されるかを制御し、マーチャントがこれらのプロファイルのうちの１つを選択的に読み出すことできるようにする。
【０１２１】
本発明のインフラストラクチャは、ユーザがそれらのペルソナを管理することを支援するペルソナサーバを使用する。本発明のインフラストラクチャは、そこにペルソナプロファイル情報が格納されるプロファイルデータベースからこれを分離し、そこで異なるペルソナプロファイルが同じユーザに結びつけられ得るいかなる単一のポイントも除去する。マーチャントもプライバシーの懸念を有するので、本発明のインフラストラクチャは、それによりマーチャントが与える情報がどのように知られ得るかをマーチャントが制限することができるテインティングに基づくデータ保護モデルを提供する。
【０１２２】
【発明の効果】
以上説明したように、本発明によれば、ネットワークコンテンツの改良されたグローバルカスタマイゼーションを提供することができる。
【図面の簡単な説明】
【図１】
本発明の一実施形態によるコマースサーバシステム、例えばマーチャントのウェブサイトを実行するサーバシステムを示すブロック図。
【図２】
本発明の一実施形態によるインフラストラクチャの概略を示すブロック図。
【図３】
本発明の一実施形態によるペルソナサーバと相互作用するためにユーザが使用しうるインターフェースの一部を示す図。
【図４】
本発明の一実施形態によるペルソナアクセスクレデンシャル（ＰＡＣ）リクエストプロトコルを示すフロー図。
【図５】
本発明の一実施形態による記録中に格納されるデータ構造を示す図。
【図６】
本発明の一実施形態によるプロファイルデータベースによりサポートされる記録読み出し動作を示す図。
【図７】
本発明の一実施形態によるそれによりマーチャントがプロファイルデータベースにマーチャントのセットを定義しうるコンフィルグレーションインターフェースの一部を示す図。
【図８】
図２に示されたインフラストラクチャにおけるコンピューターシステム動作の各々の例示的なアーキテクチャを示すブロック図。
【符号の説明】
１０　ウェブサーバ
１２　ウェブページテンプレート
１４　データベース
１６　データベースクエリー
１８　カタログデータベース
１０１　リクエスト
１０４　ＨＴＭＬページ
２００　インフラストラクチャ
２０２　ユーザ（ブラウザ）システム
２０４　マーチャントウェブサイトサーバシステム
２０６　ペルソナサーバ
２０８　プロファイルデータベース（ＰＤＢ）
２１０　ネットワーク
８０４　メモリ
８０２　プロセッサ
８０６　Ｉ／Ｏデバイス
【図１】
2004503875.tif 000005
【図２】
2004503875.tif 000006
【図３】
2004503875.tif 000007
【図４】
2004503875.tif 000008
【図５】
2004503875.tif 000009
【図６】
2004503875.tif 000010
【図７】
2004503875.tif 000011
【図８】
2004503875.tif 000012
【国際公開パンフレット】
2004503875.tif 000013
2004503875.tif 000014
2004503875.tif 000015
2004503875.tif 000016
2004503875.tif 000017
2004503875.tif 000018
2004503875.tif 000019
2004503875.tif 000020
2004503875.tif 000021
2004503875.tif 000022
2004503875.tif 000023
2004503875.tif 000024
2004503875.tif 000025
2004503875.tif 000026
2004503875.tif 000027
2004503875.tif 000028
2004503875.tif 000029
2004503875.tif 000030
2004503875.tif 000031
2004503875.tif 000032
2004503875.tif 000033
2004503875.tif 000034
2004503875.tif 000035
2004503875.tif 000036
2004503875.tif 000037
2004503875.tif 000038
2004503875.tif 000039
2004503875.tif 000040
2004503875.tif 000041
2004503875.tif 000042
2004503875.tif 000043
2004503875.tif 000044
2004503875.tif 000045
2004503875.tif 000046
2004503875.tif 000047
2004503875.tif 000048
2004503875.tif 000049
2004503875.tif 000050
2004503875.tif 000051
2004503875.tif 000052
2004503875.tif 000053
2004503875.tif 000054
【国際調査報告】
2004503875.tif 000055