(57)【要約】【課題】匿名性を確保してログ情報を提供することができる情報提供装置を提供する。【解決手段】情報提供装置は、ログ情報と前記ログ情報に対応する個人情報を取得し、所定のタイミング毎に仮ＩＤを前記個人情報に付与し、前記個人情報と、前記付与された仮ＩＤとの対応関係を示す対応関係情報を生成し、過去に付与されたリクエスト仮ＩＤを含む情報の出力リクエストであって、前記リクエスト仮ＩＤをi）現在の仮ＩＤおよびii）前記リクエスト仮ＩＤが付与された一のタイミング、によって特定する前記出力リクエストを受け付け、前記出力リクエストに応じて、前記対応関係情報に基づいて、前記現在の仮ＩＤと前記リクエスト仮ＩＤとの対応関係を示すリンク関係情報を決定し、前記決定されたリンク関係情報に基づいて、前記リクエスト仮ＩＤを含む第１情報、もしくは、前記第１情報を出力できないことを示す第２情報を出力する。【選択図】図３６
2016186783.tif 000002
【特許請求の範囲】
【請求項１】
ログ情報と前記ログ情報に対応する個人情報を取得する入力部と、
所定のタイミング毎に仮ＩＤを前記個人情報に付与する仮ＩＤ付与部と、
前記個人情報と、前記付与された仮ＩＤとの対応関係を示す対応関係情報を記憶する第１記憶部と、
前記個人情報に対して過去に付与されたリクエスト仮ＩＤを含む情報の出力リクエストであって、前記リクエスト仮ＩＤをi）前記個人情報に対して付与された現在の仮ＩＤおよびii）前記リクエスト仮ＩＤが前記個人情報に付与された一のタイミング、によって特定する前記出力リクエストを受け付ける受付部と、
前記受付部が前記出力リクエストに応じて、前記第１記憶部に記憶された前記対応関係情報に基づいて、前記現在の仮ＩＤと前記リクエスト仮ＩＤとの対応関係を示すリンク関係情報を決定する情報処理部と、
前記決定されたリンク関係情報を記憶する第２記憶部と、
前記第２記憶部に記憶されたリンク関係情報に基づいて、前記リクエスト仮ＩＤを含む第１情報、もしくは、前記第１情報を出力できないことを示す第２情報を出力する出力部とを備える、
情報提供装置。
【請求項２】
前記受付部が、前記現在の仮ＩＤとしての第１仮ＩＤおよび前記一のタイミングとしての第２タイミングによって特定される仮ＩＤの出力リクエストを受け付けたとき、
前記情報処理部は、
前記第１記憶部に記憶された対応関係情報に基づいて、前記第２タイミングにおいて付与された仮ＩＤである第２仮ＩＤを特定し、
前記第２記憶部に記憶されたリンク関係情報に基づいて、前記第２仮ＩＤを含む前記第１情報を出力するか否かを決定し、
前記出力部は、前記決定の結果に基づいて、前記第１情報、もしくは前記第２情報を出力する、
請求項１に記載の情報提供装置。
【請求項３】
前記情報処理部は、前記第２記憶部に記憶されたリンク関係情報に含まれる、前記第２仮ＩＤと対応関係にある第３仮ＩＤの個数が所定値未満であるか否かを判定し、
前記出力部は、
前記第３仮ＩＤの個数が所定値未満である場合には、前記第１情報を出力し、
前記第３仮ＩＤの個数が所定値以上である場合には、前記第２情報を出力する、
請求項２に記載の情報提供装置。
【請求項４】
前記第２記憶部に記憶されたリンク関係情報は、前記現在の仮ＩＤと前記リクエスト仮ＩＤをノードとする木構造として表され、
前記情報処理部は、前記木構造における前記第２仮ＩＤにリンクされたノード数が所定値未満であるか否かを判定し、
前記出力部は、
前記ノード数が所定値未満である場合には、前記第１情報を出力し、
前記ノード数が所定値以上である場合には、前記第２情報を出力する、
請求項２に記載の情報提供装置。
【請求項５】
前記第１記憶部に記憶された対応関係情報において、前記仮ＩＤには重みが割り当てられており、
前記第２記憶部に記憶されたリンク関係情報は、更に、前記現在の仮ＩＤに割り当てられた重みと前記リクエスト仮ＩＤに割り当てられた重みとの合計値を含み、
前記情報処理部は、前記第２仮ＩＤに対応する重みの合計値が所定値未満であるか否かを判定し、
前記出力部は、
前記第２仮ＩＤに対応する重みの合計値が所定値未満である場合には前記第１情報を出力し、
前記第２仮ＩＤに対応する重みの合計値が所定値以上である場合には前記第２情報を出力する、
請求項２に記載の情報提供装置。
【請求項６】
前記ログ情報は、前記個人情報に対応するユーザのテレビ番組に対する視聴履歴を示し、
前記ログ情報に示されたテレビ番組の種類に応じて、前記重みは割り当てられる、
請求項５に記載の情報提供装置。
【請求項７】
前記出力部は、
前記第２情報を出力する場合は、
更に、前記第２仮ＩＤ以外の仮ＩＤに対応するログ情報についての統計情報を出力する、
請求項２に記載の情報提供装置。
【請求項８】
更に、前記出力部が前記第１情報を外部装置に出力したとき、前記外部装置において前記第１情報が消去されたことを示す情報を前記外部装置から受信し、前記第２記憶部に記憶されたリンク関係情報から前記リクエスト仮ＩＤに関する対応関係を削除する削除部を備える、
請求項１に記載の情報提供装置。
【請求項９】
前記第１情報は、更に、前記リクエスト仮ＩＤとは別の仮ＩＤに対応するログ情報を含む、
請求項８に記載の情報提供装置。
【請求項１０】
更に、前記ログ情報と前記ログ情報に割り当てられた重みを記録するログ情報記録部を備え、
前記情報処理部は、
前記第１情報を出力する毎に、前記ログ情報に割り当てられた重みを積算し、
前記仮ＩＤ付与部は、前記積算された重みが所定値以上になったタイミングで、異なるリクエスト仮ＩＤを付与する、
請求項１に記載の情報提供装置。
【請求項１１】
ログ情報と前記ログ情報に対応する個人情報を取得し、
所定のタイミング毎に仮ＩＤを前記個人情報に付与し、
前記個人情報と、前記付与された仮ＩＤとの対応関係を示す対応関係情報を生成し、
前記個人情報に対して過去に付与されたリクエスト仮ＩＤを含む情報の出力リクエストであって、前記リクエスト仮ＩＤをi）前記個人情報に対して付与された現在の仮ＩＤおよびii）前記リクエスト仮ＩＤが前記個人情報に付与された一のタイミング、によって特定する前記出力リクエストを受け付け、
前記受け付けられた前記出力リクエストに応じて、前記生成された前記対応関係情報に基づいて、前記現在の仮ＩＤと前記リクエスト仮ＩＤとの対応関係を示すリンク関係情報を決定し、
前記決定されたリンク関係情報に基づいて、前記リクエスト仮ＩＤを含む第１情報、もしくは、前記第１情報を出力できないことを示す第２情報を出力する、
情報提供方法。
【請求項１２】
第１情報通信装置と、
情報提供装置と、
第２情報通信装置とを備え、
前記第１情報通信装置は、ログ情報と前記ログ情報に対応する個人情報を収集し、
前記情報提供装置は、
ログ情報と前記ログ情報に対応する個人情報を取得する入力部と、
所定のタイミング毎に仮ＩＤを前記個人情報に付与する仮ＩＤ付与部と、
前記個人情報と、前記付与された仮ＩＤとの対応関係を示す対応関係情報を記憶する第１記憶部と、
前記個人情報に対して過去に付与されたリクエスト仮ＩＤを含む情報の出力リクエストであって、前記リクエスト仮ＩＤをi）前記個人情報に対して付与された現在の仮ＩＤおよびii）前記リクエスト仮ＩＤが前記個人情報に付与された一のタイミング、によって特定する前記出力リクエストを受け付ける受付部と、
前記受付部が前記出力リクエストに応じて、前記第１記憶部に記憶された前記対応関係情報に基づいて、前記現在の仮ＩＤと前記リクエスト仮ＩＤとの対応関係を示すリンク関係情報を決定する情報処理部と、
前記決定されたリンク関係情報を記憶する第２記憶部と、
前記第２記憶部に記憶されたリンク関係情報に基づいて、前記リクエスト仮ＩＤを含む第１情報、もしくは、前記第１情報を出力できないことを示す第２情報を出力する出力部とを備える、
情報提供システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、ログ情報を匿名化して提供する情報提供装置、情報提供方法及び情報提供システムに関する。
【背景技術】
【０００２】
近年、例えば家庭内の家電機器又はＡＶ機器の中でネットワークに接続可能なものが増えている。これに伴い、クラウド事業者がネットワークを介して家電機器又はＡＶ機器の動作履歴を含む各種のログ情報を収集することが検討されている。クラウド事業者は、収集したログ情報を分析してサービスを提供したり、収集したログ情報を新しい商品開発またはマーケット戦略に活用したりする。
【０００３】
ログ情報を第三者に提供する場合、そのデータの持ち主を特定できないように匿名化する必要がある。匿名化の方法としては、特徴的な属性を削除するなどにより、ｋ人以下には絞り込みができないようにデータを加工するｋ匿名化といった手法がある（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】国際公開第２０１１／１４２３２７号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、上記ｋ匿名化は、ログ情報のように経時的に内容が追加される情報には適用が難しい。
【０００６】
本開示は、匿名性を確保してログ情報を提供することができる情報提供装置等を提供する。
【課題を解決するための手段】
【０００７】
上記課題を解決するため、本開示の一態様に係る情報提供装置は、ログ情報と前記ログ情報に対応する個人情報を取得する入力部と、所定のタイミング毎に仮ＩＤを前記個人情報に付与する仮ＩＤ付与部と、前記個人情報と、前記付与された仮ＩＤとの対応関係を示す対応関係情報を記憶する第１記憶部と、前記個人情報に対して過去に付与されたリクエスト仮ＩＤを含む情報の出力リクエストであって、前記リクエスト仮ＩＤをi）前記個人情報に対して付与された現在の仮ＩＤおよびii）前記リクエスト仮ＩＤが前記個人情報に付与された一のタイミング、によって特定する前記出力リクエストを受け付ける受付部と、前記受付部が前記出力リクエストに応じて、前記第１記憶部に記憶された前記対応関係情報に基づいて、前記現在の仮ＩＤと前記リクエスト仮ＩＤとの対応関係を示すリンク関係情報を決定する情報処理部と、前記決定されたリンク関係情報を記憶する第２記憶部と、前記記憶されたリンク関係情報に基づいて、前記リクエスト仮ＩＤを含む第１情報、もしくは、前記第１情報を出力できないことを示す第２情報を出力する出力部とを備える。
【０００８】
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【０００９】
本開示の一態様に係る情報提供装置は、匿名性を確保してログ情報を提供することができる。
【図面の簡単な説明】
【００１０】
【図１】図１の（Ａ）は、本実施の形態における情報管理システムが提供するサービスの全体像を示す図である。図１の（Ｂ）は、機器メーカがデータセンタ運営会社に該当する例を示す図である。図１の（Ｃ）は、機器メーカ及び管理会社の両者又はいずれか一方がデータセンタ運営会社に該当する例を示す図である。
【図２】図２は、実施の形態１に係る情報提供システムの全体構成を示す図である。
【図３】図３は、実施の形態１に係るユーザ端末装置の構成を示すブロック図である。
【図４】図４は、実施の形態１に係るデータ収集装置の構成を示すブロック図である。
【図５】図５は、個人情報記録部に記録されるデータの一例を示す図である。
【図６】図６は、ログ情報記録部に記録されるデータの一例を示す図である。
【図７】図７は、仮ＩＤ管理部に記録されるデータの一例を示す図である。
【図８】図８は、仮ＩＤリンク関係を説明するための図である。
【図９】図９は、情報通信部が送信するデータの例を示す図である。
【図１０】図１０は、実施の形態１に係るデータ分析装置の構成を示すブロック図である。
【図１１】図１１は、実施の形態１に係る情報提供システムの動作のシーケンス図である。
【図１２】図１２は、情報提供システムの動作において用いられるＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｉｎｔｅｒｆａｃｅ）を示す模式図である。
【図１３】図１３は、仮ＩＤ管理部に記憶された、重み付けされたデータの一例を示す図である。
【図１４】図１４は、情報提供システムの、仮ＩＤの重みを用いた動作のシーケンス図である。
【図１５】図１５は、情報提供システムの仮ＩＤの重みを用いた動作の具体例を説明するための図である。
【図１６】図１６は、特異度が定められたデータ（視聴履歴）の一例を示す図である。
【図１７】図１７は、リンク情報の要請フォームの一例を示す図である。
【図１８】図１８は、リンク情報の提供が許可された場合の表示画面の一例を示す図である。
【図１９】図１９は、リンク情報の提供が許可されなかった場合の表示画面の一例を示す図である。
【図２０】図２０は、実施の形態２に係るデータ収集装置の構成を示すブロック図である。
【図２１】図２１は、実施の形態２に係る情報提供システムの動作のシーケンス図である。
【図２２】図２２は、実施の形態２に係る、リンク情報の要請フォームの一例を示す図である。
【図２３】図２３は、実施の形態２に係る、リンク情報の提供が許可されなかった場合の表示画面の一例を示す図である。
【図２４】図２４は、リンク情報の提供が許可されない場合の表示画面であって、統計情報に用いられる仮ＩＤの入力フォームを含む表示画面の一例を示す図である。
【図２５】図２５は、実施の形態３に係るデータ収集装置の構成を示すブロック図である。
【図２６】図２６は、実施の形態３に係るデータ分析装置の構成を示すブロック図である。
【図２７】図２７は、消去部がリンク情報を削除するときの動作を説明するための図である。
【図２８】図２８は、消去部がログ情報を削除するときの動作を説明するための図である。
【図２９】図２９は、実施の形態４に係るデータ分析装置の構成を示すブロック図である。
【図３０】図３０は、実施の形態４に係るデータ収集装置の構成を示すブロック図である。
【図３１】図３１は、実施の形態４に係る情報提供システムの動作のシーケンス図である。
【図３２】図３２は、サービスの類型１（自社データセンタ型クラウドサービス）における情報管理システムが提供するサービスの全体像を示す図である。
【図３３】図３３は、サービスの類型２（ＩａａＳ利用型クラウドサービス）における情報管理システムが提供するサービスの全体像を示す図である。
【図３４】図３４は、サービスの類型３（ＰａａＳ利用型クラウドサービス）における情報管理システムが提供するサービスの全体像を示す図である。
【図３５】図３５は、サービスの類型４（ＳａａＳ利用型クラウドサービス）における情報管理システムが提供するサービスの全体像を示す図である。
【図３６】図３６は、情報提供システムの別の構成例を示すブロック図である。
【発明を実施するための形態】
【００１１】
（本開示の基礎となった知見）
個人情報保護の観点から、ログ情報の提供においては、匿名性が確保される必要がある。ログ情報から個人を特定できないようにする方法としては、ログ情報を提供するときに、例えば、１か月などの所定の期間ごとに同一の個人に対するＩＤを付け替える方法がある。以下の説明では、ログ情報に対して所定の期間ごとに付け替えられるＩＤを仮ＩＤと記載する。
【００１２】
ここで、例えば、仮ＩＤが１か月ごとに付け替えられる場合、ログ情報の利用者（ログ情報の提供を受ける者）は、その期間（１か月）を超えてデータ分析ができない。１ヶ月を超えると仮ＩＤが付け替えられてしまうため、仮ＩＤに基づいて、同一の個人の現在のログ情報と１年前のログ情報とを比較する、といったデータ分析ができない。一方で、仮ＩＤの付け替えが行われない場合には、ログ情報から個人が特定されてしまう危険がある。
【００１３】
そこで、発明者らは、匿名性を確保し、かつ、ログ情報の利用者が一定の範囲内で仮ＩＤに基づくデータ比較を行うことができる構成を見出した。
【００１４】
（１）本開示の一態様に係る情報提供装置は、ログ情報と前記ログ情報に対応する個人情報を取得する入力部と、所定のタイミング毎に仮ＩＤを前記個人情報に付与する仮ＩＤ付与部と、前記個人情報と、前記付与された仮ＩＤとの対応関係を示す対応関係情報を記憶する第１記憶部と、前記個人情報に対して過去に付与されたリクエスト仮ＩＤを含む情報の出力リクエストであって、前記リクエスト仮ＩＤをi）前記個人情報に対して付与された現在の仮ＩＤおよびii）前記リクエスト仮ＩＤが前記個人情報に付与された一のタイミング、によって特定する前記出力リクエストを受け付ける受付部と、前記受付部が前記出力リクエストに応じて、前記第１記憶部に記憶された前記対応関係情報に基づいて、前記現在の仮ＩＤと前記リクエスト仮ＩＤとの対応関係を示すリンク関係情報を決定する情報処理部と、前記決定されたリンク関係情報を記憶する第２記憶部と、前記第２記憶部に記憶されたリンク関係情報に基づいて、前記リクエスト仮ＩＤを含む第１情報、もしくは、前記第１情報を出力できないことを示す第２情報を出力する出力部とを備える。
【００１５】
このような情報提供装置は、仮ＩＤを所定のタイミングで更新するため、ログ情報の利用者は、個人の特定が困難となる。つまり、情報提供装置は、匿名性を確保してログ情報を提供することができる。
【００１６】
また、同一の個人ＩＤに対応する複数の仮ＩＤの関係を示すリンク情報が、一定の評価の下で出力されるため、リンク情報に基づいて個人ＩＤが示す個人が特定されてしまう危険性を下げることができる。一方で、リンク情報を受けた外部装置は、複数の仮ＩＤの関係を用いてログ情報の分析を行うことができる。
【００１７】
（２）上記態様において、前記受付部が、前記現在の仮ＩＤとしての第１仮ＩＤおよび前記一のタイミングとしての第２タイミングによって特定される仮ＩＤの出力リクエストを受け付けたとき、前記情報処理部は、前記第１記憶部に記憶された対応関係情報に基づいて、前記第２タイミングにおいて付与された仮ＩＤである第２仮ＩＤを特定し、前記第２記憶部に記憶されたリンク関係情報に基づいて、前記第２仮ＩＤを含む前記第１情報を出力するか否かを決定し、前記第１情報を出力すると決定した場合は、前記第二記憶部に記憶されたリンク関係情報を更新し、前記出力部は、前記決定の結果に基づいて、前記第１情報、もしくは前記第２情報を出力してもよい。
【００１８】
これにより、情報処理部は、評価結果が所定値以上であるか否かを基準に、リンク情報を出力するかどうかを決定することができる。
【００１９】
（３）上記態様において、前記情報処理部は、前記第２記憶部に記憶されたリンク関係情報に含まれる、前記第２仮ＩＤと対応関係にある第３仮ＩＤの個数が所定値未満であるか否かを判定し、前記出力部は、前記第３仮ＩＤの個数が所定値未満である場合には、前記第１情報を出力し、前記第３仮ＩＤの個数が所定値以上である場合には、前記第２情報を出力してもよい。
【００２０】
これにより、情報処理部は、リンク情報を出力するかどうかをリンク関係情報に含まれる仮ＩＤの個数に応じて決定することができる。
【００２１】
（４）上記態様において、前記第２記憶部に記憶されたリンク関係情報は、前記現在の仮ＩＤと前記リクエスト仮ＩＤをノードとする木構造として表され、前記情報処理部は、前記木構造における前記第２仮ＩＤにリンクされたノード数が所定値未満であるか否かを判定し、前記出力部は、前記ノード数が所定値未満である場合には、前記第１情報を出力し、前記ノード数が所定値以上である場合には、前記第２情報を出力してもよい。
【００２２】
これにより、情報処理部は、リンク情報を出力するかどうかをリンク関係情報に含まれる仮ＩＤのノードの個数に応じて決定することができる。
【００２３】
（５）前記第１記憶部に記憶された対応関係情報において、前記仮ＩＤには重みが割り当てられており、前記第２記憶部に記憶されたリンク関係情報は、更に、前記現在の仮ＩＤに割り当てられた重みと前記リクエスト仮ＩＤに割り当てられた重みとの合計値を含み、前記情報処理部は、前記第２仮ＩＤに対応する重みの合計値が所定値未満であるか否かを判定し、前記出力部は、前記第２仮ＩＤに対応する重みの合計値が所定値未満である場合には前記第１情報を出力し、前記第２仮ＩＤに対応する重みの合計値が所定値以上である場合には前記第２情報を出力してもよい。
【００２４】
これにより、情報処理部は、リンク情報を出力するかどうかを仮ＩＤの重みを考慮して決定することができる。
【００２５】
（６）上記態様において、前記ログ情報は、前記個人情報に対応するユーザのテレビ番組に対する視聴履歴を示し、前記ログ情報に示されたテレビ番組の種類に応じて、前記重みは割り当てられてもよい。
【００２６】
これにより、特異度が高く個人を特定しやすいログ情報に付与される仮ＩＤほど、当該仮ＩＤのリンク情報が提供されにくくなる。
【００２７】
（７）上記態様において、前記出力部は、前記第２情報を出力する場合は、更に、前記第２仮ＩＤ以外の仮ＩＤに対応するログ情報についての統計情報を出力してもよい。
【００２８】
これにより、リンク情報が出力されない場合にも、統計情報を用いたログ情報の分析が可能となる。
【００２９】
（８）上記態様において、更に、前記出力部が前記第１情報を外部装置に出力したとき、前記外部装置において前記第１情報が消去されたことを示す情報を前記外部装置から受信し、前記第２記憶部に記憶されたリンク関係情報から前記リクエスト仮ＩＤに関する対応関係を削除する削除部を備えてもよい。
【００３０】
これにより、外部装置においてリンク情報が削除されたときに、リンク情報を出力するかどうかの判断基準をリセットすることができる。
【００３１】
（９）上記態様において、前記第１情報は、更に、前記リクエスト仮ＩＤとは別の仮ＩＤに対応するログ情報を含んでもよい。
【００３２】
これにより、外部装置においてログ情報が削除されたときに、リンク情報を出力するかどうかの判断基準をリセットすることができる。
【００３３】
（１０）上記態様において、更に、前記ログ情報と前記ログ情報に割り当てられた重みを記録するログ情報記録部を備え、前記情報処理部は、前記第１情報を出力する毎に、前記ログ情報に割り当てられた重みを積算し、前記仮ＩＤ付与部は、前記積算された重みが所定値以上になったタイミングで、異なるリクエスト仮ＩＤを付与してもよい。
【００３４】
これにより、情報処理部は、ログ情報の重みに応じて、よりきめ細かく仮ＩＤを更新することができる。
【００３５】
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。
【００３６】
例えば、これらの包括的または具体的な態様は、情報提供方法または情報提供システムとして実現されてもよい。
【００３７】
以下、実施の形態について、図面を参照しながら具体的に説明する。なお、以下で説明する実施の形態は、いずれも本開示の一具体例を示すものである。以下の実施の形態で示される数値、形状、構成要素、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また全ての実施の形態において、各々の内容を組み合わせることも出来る。
【００３８】
（情報提供システムの全体構成）
まず、下記の各実施の形態において説明される情報提供システムに共通する、情報提供システムの全体構成について説明する。図１は、情報提供システムの全体構成を示す図である。図１の（Ａ）は、情報提供システムの全体像が示されている。
【００３９】
グループ５１００は、例えば、企業、団体、家庭等であり、その規模を問わない。グループ５１００には、複数の機器５１０１である機器Ａ、機器Ｂおよびホームゲートウェイ５１０２が存在する。複数の機器５１０１には、インターネットと接続可能な機器（例えば、スマートフォン、ＰＣ、ＴＶ等）もあれば、それ自身ではインターネットと接続不可能な機器（例えば、照明、洗濯機、冷蔵庫等）も存在する。複数の機器５１０１の中には、それ自身ではインターネットと接続不可能な機器であっても、ホームゲートウェイ５１０２を介してインターネットと接続可能となる機器が存在してもよい。また、グループ５１００には、複数の機器５１０１を使用するユーザ５１０が存在する。
【００４０】
データセンタ運営会社５１１０には、クラウドサーバ５１１１が存在する。クラウドサーバ５１１１は、インターネットを介して様々な機器と連携する仮想化サーバである。クラウドサーバ５１１１は、主に通常のデータベース管理ツール等で扱うことが困難な巨大なデータ（ビッグデータ）等を管理する。データセンタ運営会社５１１０は、データ管理やクラウドサーバ５１１１の管理、それらを行うデータセンタの運営等を行っている。データセンタ運営会社５１１０が行っている役務については詳細を後述する。
【００４１】
ここで、データセンタ運営会社５１１０は、データ管理やクラウドサーバ５１１１の運営等のみを行っている会社に限らない。例えば、複数の機器５１０１のうちの一つの機器を開発・製造している機器メーカが、併せてデータ管理やクラウドサーバ５１１１の管理等を行っている場合は、機器メーカがデータセンタ運営会社５１１０に該当する（図１の（Ｂ））。
【００４２】
また、データセンタ運営会社５１１０は、一つの会社に限らない。例えば機器メーカ及び他の管理会社が共同もしくは分担してデータ管理やクラウドサーバ５１１１の運営を行っている場合は、両者もしくはいずれか一方がデータセンタ運営会社５１１０に該当するものとする（図１の（Ｃ））。
【００４３】
サービスプロバイダ５１２０は、サーバ５１２１を保有している。ここで言うサーバ５１２１とは、その規模は問わず、例えば、個人用ＰＣ内のメモリ等も含む。また、サービスプロバイダがサーバ５１２１を保有していない場合もある。
【００４４】
なお、上記サービスにおいて、ホームゲートウェイ５１０２は必須ではない。例えば、クラウドサーバ５１１１が全てのデータ管理を行っている場合等は、ホームゲートウェイ５１０２は不要となる。また、家庭内のあらゆる機器がインターネットに接続されている場合のように、複数の機器５１０１の中には、それ自身ではインターネットと接続不可能な機器は存在しない場合もある。
【００４５】
次に、上記サービスにおける情報の流れを説明する。
【００４６】
まず、グループ５１００の機器Ａ又は機器Ｂは、各ログ情報をデータセンタ運営会社５１１０のクラウドサーバ５１１１に送信する。クラウドサーバ５１１１は機器Ａ又は機器Ｂのログ情報を集積する（図１の（ａ））。ここで、ログ情報とは、例えば、複数の機器５１０１の運転状況や動作日時等を示す情報である。また、ログ情報は、例えば、テレビの視聴履歴やレコーダーの録画予約情報、洗濯機の運転日時・洗濯物の量、冷蔵庫の開閉日時・開閉回数などであるが、これらのものに限らずあらゆる機器から取得が可能なすべての情報をいう。
【００４７】
ログ情報は、インターネットを介して複数の機器５１０１自体から直接クラウドサーバ５１１１に提供される場合もある。また複数の機器５１０１から一旦ホームゲートウェイ５１０２にログ情報が集積され、ホームゲートウェイ５１０２からクラウドサーバ５１１１に提供されてもよい。
【００４８】
次に、データセンタ運営会社５１１０のクラウドサーバ５１１１は、集積したログ情報を一定の単位でサービスプロバイダ５１２０に提供する。この一定の単位は、データセンタ運営会社が集積した情報を整理してサービスプロバイダ５１２０に提供することのできる単位でもよいし、サービスプロバイダ５１２０が要求した単位でもよい。
【００４９】
また、ログ情報は、一定でない単位で提供されてもよく、状況に応じてログ情報の情報量が変化する場合もある。ログ情報は、必要に応じてサービスプロバイダ５１２０が保有するサーバ５１２１に保存される（図１の（ｂ））。
【００５０】
サービスプロバイダ５１２０は、ログ情報をユーザに提供するサービスに適合する情報に整理し、ユーザに提供する。情報の提供を受けるユーザは、複数の機器５１０１を使用するユーザ５１０でもよいし、外部のユーザ５２０でもよい。
【００５１】
サービスに適合する情報は、例えば、サービスプロバイダ５１２０から直接ユーザ５１０またはユーザ５２０へ提供されてもよい（図１の（ｅ）、（ｆ））。また、サービスに適合する情報は、例えば、データセンタ運営会社５１１０のクラウドサーバ５１１１を再度経由して、ユーザ５１０に提供されてもよい（図１の（ｃ）、（ｄ））。また、データセンタ運営会社５１１０のクラウドサーバ５１１１がログ情報をユーザに提供するサービスに適合する情報に整理し、サービスプロバイダ５１２０に提供してもよい。なお、ユーザ５１０とユーザ５２０とは、別のユーザであってもよいし、同一のユーザであってもよい。
【００５２】
以上のような全体構成における、複数の機器５１０１のそれぞれは、例えば、以下の各実施の形態で説明されるユーザ端末装置に相当する。また、クラウドサーバ５１１１は、例えば、データ収集装置に相当し、サーバ５１２１は、例えば、データ分析装置に相当する。
【００５３】
（実施の形態１）
以下、実施の形態１に係る情報提供システムについて図面を参照しながら説明する。
【００５４】
［１．１  情報提供システムの全体構成］
図２は、実施の形態１に係る情報提供システムの全体構成を示す図である。図２に示されるように、情報提供システム１０は、ユーザ端末装置１００、データ収集装置２００、及び、データ分析装置３００を備える。なお、図２の例では、情報提供システム１０は、ユーザ端末装置１００、データ収集装置２００、及び、データ分析装置３００を、１つずつ備えているが、それぞれの装置を複数備えてもよい。例えば、情報提供システム１０においては、複数のユーザ端末装置１００が１つのデータ収集装置２００に接続されてもよいし、複数のデータ分析装置３００が１つのデータ収集装置２００に接続されてもよい。
【００５５】
また、各装置間の通信形態（接続形態）は、インターネットなどを用いる有線通信、無線通信、または、専用通信などのいずれであってもよい。また、情報提供システム１０においては、リアルタイムでの通信は必須ではない。例えば、ユーザ端末装置１００は、ログ情報をある程度集めて、合わせてデータ収集装置２００に転送してもよい。データ収集装置２００とデータ分析装置３００と間の通信形態も同様である。
【００５６】
［１．２  ユーザ端末装置１００］
まず、ユーザ端末装置１００の構成について説明する。図３は、ユーザ端末装置１００の構成を示すブロック図である。ユーザ端末装置１００は、個人情報入力部１０１、ログ情報収集部１０２、及び、情報提供部１０３を備える。
【００５７】
ユーザ端末装置１００は、ユーザ入力により、個人情報とログ情報とを収集及び管理する。なお、ユーザ端末装置１００は、別機器により収集及び管理されたログ情報を収集してもよい。そして、ユーザ端末装置１００は、収集した個人情報及びログ情報をデータ収集装置２００に送信する。なお、ユーザ端末装置１００による個人情報及びログ情報の収集及び管理は、当該ユーザより所定の同意を得て行われる。同意取得等の手続きについては、本開示の範囲外であるため説明が省略される。
【００５８】
なお、ユーザ端末装置１００は、具体的には、携帯端末（スマートフォンもしくはタブレット端末）、またはパーソナルコンピュータなどの情報通信端末である。
【００５９】
［１．２．１  個人情報入力部１０１］
個人情報入力部１０１は、ユーザによって入力される名前、住所、及び年齢等の個人情報などを取得及び記録する。ユーザは、例えば、ユーザ端末装置１００の表示画面に表示された入力フォームにしたがって、所定の入力手段を用いて個人情報を入力する。所定の入力手段としては、例えば、ＧＵＩ（ディスプレイ及びタッチパネル）、及び、キーボードなどが例示される。
【００６０】
［１．２．２  ログ情報収集部１０２］
ログ情報収集部１０２は、ログ情報を収集及び記録する。ログ情報は、例えば、センサなどを介して時間の経過とともにログ情報収集部１０２に入力される。ユーザ端末装置１００が携帯端末である場合、ログ情報は、例えば、ユーザ端末装置１００の移動履歴情報（ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）情報）である。つまり、この場合のセンサは、ＧＰＳモジュールである。
【００６１】
また、ユーザ端末装置１００が家電機器のリモコンである（またはリモコンとして動作する携帯端末である）場合、ログ情報は、電源オン（またはオフ）の時刻や、家電機器のユーザ設定等、リモコンの操作履歴であってもよい。ログ情報は、例えば、ＴＶの操作をする場合は、どの番組を視聴したのかを示す情報、及び、短時間でチャンネル切り替えたのかを示す情報などであってもよい。
【００６２】
また、ログ情報は、ユーザがどの駅にいつ乗降したのかを示す情報などであってもよい。また、ログ情報は、各家庭での電力使用量のログ情報や、体重や血圧計などのヘルスケア機器のログ情報、さらには、買い物の履歴、Ｗｅｂアクセスのログ情報などであってもよい。
【００６３】
なお、ログ情報の中には、ユーザ端末装置１００以外の装置によって取得されるものが含まれる。例えば、上述のユーザがどの駅にいつ乗降したのかを示す情報は、改札機を通じて取得可能であり、改札機の管理サーバによって取得される。
【００６４】
［１．２．３  情報提供部１０３］
情報提供部１０３は、ユーザ端末装置１００に記録されている個人情報及びログ情報を、データ収集装置２００に送信（提供）する。
【００６５】
［１．３  データ収集装置２００］
次に、データ収集装置２００の構成について説明する。図４は、データ収集装置２００の構成を示すブロック図である。データ収集装置２００は、情報提供装置の一例であって、情報入力部２０１、個人情報記録部２０２、ログ情報記録部２０３、及び、匿名化処理部２０４を備える。データ収集装置２００は、さらに、仮ＩＤ管理部２０５、仮ＩＤリンク関係管理部２０６、プライバシポリシー管理部２０７、リンク判断部２０８、リンク情報付与部２０９、及び、情報通信部２１０を備える。
【００６６】
データ収集装置２００は、ユーザ端末装置１００から送られた個人情報およびログ情報を管理し、個人を特定できないように加工（以下、この加工を匿名化と呼ぶ）して、第三者機関であるデータ分析装置３００に提供する。
【００６７】
なお、データ収集装置２００は、具体的には、サーバまたはクラウドサーバとして実現されるが、どのように実現されてもよい。
【００６８】
［１．３．１  情報入力部２０１］
情報入力部２０１は、ユーザ端末装置１００の情報提供部１０３からデータを受信し、受信したデータを個人情報とログ情報とに分離する。
【００６９】
［１．３．２  個人情報記録部２０２］
個人情報記録部２０２は、情報入力部２０１がユーザ端末装置１００から受信した個人情報を、個別のＩＤ（以下、個人ＩＤと記載する）を付与して記録する。図５は、個人情報記録部２０２に記録されるデータの一例を示す図である。
【００７０】
図５に示されるデータ２０２ａにおいては、個人情報として、氏名、登録住所を示す郵便番号（ＺＩＰコード）、年齢、および職業などの属性が含まれる。例えば、データ２０２ａの最初のレコードには、個人ＩＤが１番であるＭｒ．Ａの情報が格納されている。そして、最初のレコードにおいては、Ｍｒ．Ａが、ＺＩＰコードが１０７−００６１の地域に住んでおり、年齢は３９歳であって、職業はダンサーであることが示されている。
【００７１】
同様に、次のレコードには、個人ＩＤが２番であるＭｒｓ．Ｂの個人情報が格納される。なお、データ２０２ａには、個人情報に含まれる属性は、名前、ＺＩＰコード、年齢、及び、職業であるが、属性には、例えば、性別や家族構成、趣味等の属性が含まれてもよく、特に限定されるものではない。
【００７２】
なお、個人ＩＤは、ユーザ端末装置１００において予め個人情報に付与されていてもよい。
【００７３】
［１．３．３  ログ情報記録部２０３］
ログ情報記録部２０３は、情報入力部２０１がユーザ端末装置１００から受信したログ情報を、対応する個人ＩＤを付与して記録する。図６は、ログ情報記録部２０３に記録されるデータの一例を示す図である。
【００７４】
図６に示されるデータ２０３ａにおいては、ログ情報として、視聴履歴が記録されている。データ２０３ａにおいては、個人ＩＤが１番のユーザは、１／３  ９：００から時代劇を視聴し、４／１５  １０：００から国内アニメを視聴している。また、個人ＩＤが２番のユーザは、７／１５  ９：００から洋画を視聴している。なお、図６ではその代表的なものだけが記載されているが、視聴履歴は、ユーザが番組を視聴するたびに収集され、ログ情報記録部２０３にすべてが記録されているものとする。
【００７５】
また、データ２０３ａにおいては、視聴履歴としてテレビ番組のジャンル情報が含まれている。視聴履歴には、例えば、ＥＰＧ（Ｅｌｅｃｔｒｏｎｉｃ  Ｐｒｏｇｒａｍ  Ｇｕｉｄｅ）情報などに記載されているような具体的な番組タイトル名やその番組に関連するメタデータが含まれてもよい。
【００７６】
なお、個人ＩＤは、ユーザ端末装置１００において予めログ情報に付与されていてもよい。
【００７７】
［１．３．４  匿名化処理部２０４］
匿名化処理部２０４は、個人情報を入力とし、その中から個人特定につながる情報を除去するなど、より一般的な情報に置き換える等の加工を施し、加工後の個人情報を出力すする。例えば、図５に示されるデータ２０２ａのような個人情報であれば、匿名化処理部２０４は、氏名を除去し、３９歳と表記された年齢を３０歳代に置き換える（上位概念化する）。これにより、匿名化処理部２０４は、個人特定性（個人が特定される可能性）を削減する。
【００７８】
［１．３．５  仮ＩＤ管理部２０５］
仮ＩＤ管理部２０５は、個人情報に付与されている個人ＩＤと仮ＩＤとの対応付けを管理（記憶）する。仮ＩＤは、データ収集装置２００からデータ分析装置３００に提供されるデータに付与される識別子である。仮ＩＤは、単体では個人ＩＤとの関係が予測できないようにランダムに、かつ一意に付与される。
【００７９】
図７は、仮ＩＤ管理部２０５に記憶されるデータの一例を示す。図７に示されるデータ２０５ａにおいては、１か月ごとに仮ＩＤが更新される。具体的には、個人ＩＤが１番のユーザの２０１４年１月の仮ＩＤは、ＩＤ１＿１である。また、個人ＩＤが１番のユーザの２０１４年２月の仮ＩＤは、ＩＤ１＿２である。つまり、一の仮ＩＤにおいて、前半の数字は、当該仮ＩＤに対応する個人ＩＤを示し、後半の数字は、当該仮ＩＤが用いられる月（ｍｏｎｔｈ）を示す。以下の明細書中においても同様である。
【００８０】
［１．３．６  仮ＩＤリンク関係管理部２０６］
仮ＩＤリンク関係管理部２０６は、データ分析装置３００に提供したログ情報に付与された仮ＩＤ間の関係を管理（記憶）する。仮ＩＤは、同一の個人ＩＤに対応するものであっても所定のタイミングで更新される。このため、仮ＩＤ間の関係性は、データ分析装置３００にはわからない。
【００８１】
しかし、情報提供システム１０においては、データ収集装置２００は、一の仮ＩＤと別の仮ＩＤとが同じユーザを示す（同じ個人ＩＤに対応する）ものであることを示す情報（以下、リンク情報と称する）を、一定の制限下でデータ分析装置３００に提供する。そして、仮ＩＤリンク関係管理部２０６は、データ分析装置３００に提供したこの関係性（以下、仮ＩＤリンク関係と称する）を管理する。図８は、仮ＩＤリンク関係を説明するための図である。
【００８２】
図８に示されるテーブル７０１は、４月における、仮ＩＤリンク関係管理部２０６に記憶された仮ＩＤリンク関係の内容を示している。
【００８３】
仮ＩＤリンク関係は、データ分析装置３００からのリンク情報の要請に応じて当該要請に係る仮ＩＤをリンクさせることによって生成される情報である。
【００８４】
例えば、データ分析装置３００が、４月の仮ＩＤであるＩＤ１＿４の、１月における仮ＩＤを示すリンク情報を要請した場合（Ｓ２０１）、テーブル７０１に示されるように、ＩＤ１＿４と、ＩＤ１＿１とを木構造にリンクさせた仮ＩＤリンク関係が生成される。また、仮ＩＤリンク関係管理部２０６には、さらに、仮ＩＤリンク関係に含まれる木構造のノード数（テーブル７０１においては、２）も記憶される。
【００８５】
また、同様に、データ分析装置３００が、５月の仮ＩＤであるＩＤ１＿５の、２月における仮ＩＤを示すリンク情報を要請した場合（Ｓ２０２）、テーブル７０２に示されるように、ＩＤ１＿５と、ＩＤ１＿２とをリンクさせた仮ＩＤリンク関係が生成される。したがって、テーブル７０２では、テーブル７０１の内容に加え、仮ＩＤのＩＤ１＿５とＩＤ１＿２とがリンクされた仮ＩＤリンク関係が追加される。
【００８６】
なお、このような仮ＩＤリンク関係は、データ分析装置３００ごとに異なる情報である。つまり、データ分析装置３００が複数ある場合は、テーブルも複数用意される。
【００８７】
なお、図８についての詳細は、情報提供システム１０の詳細動作として後述される。
【００８８】
［１．３．７  プライバシポリシー管理部２０７］
プライバシポリシー管理部２０７は、仮ＩＤリンク関係において、リンク情報を出力するか否かの判断基準となる仮ＩＤの個数（上限数、上限値）を管理（記憶）する。後述するリンク判断部２０８は、仮ＩＤリンク関係に含まれる仮ＩＤの個数に応じてリンク情報を提供するかどうかを判断する。例えば、リンク判断部２０８が、仮ＩＤリンク関係において仮ＩＤが２つリンクされているときにはリンク情報の出力を許可するが、仮ＩＤリンク関係において仮ＩＤが３つリンクされているときにはリンク情報の出力を許可しない場合、プライバシポリシー管理部２０７には、３が記憶される。この仮ＩＤの個数は、ユーザ端末装置１００が複数接続される場合には、全てのユーザ端末装置１００で同じ個数であってもよいし、個々のユーザ端末装置１００ごとに任意に設定されてもよい。なお、仮ＩＤを木構造にリンクさせる場合、仮ＩＤの個数は、ノードの数と言い換えることができる。
【００８９】
［１．３．８  リンク判断部２０８］
リンク判断部２０８は、データ分析装置３００からリンク情報を求められたときに、当該リンク情報を提供するかどうかを判断する。リンク判断部２０８は、具体的には、仮ＩＤリンク関係管理部２０６に記憶された仮ＩＤリンク関係を参照し、要請に係る仮ＩＤのリンクを追加した場合のノードの数を算出する。算出結果がプライバシポリシー管理部２０７に記憶されている上限数よりも小さければ、リンク情報付与部２０９は、リンク情報をデータ分析装置３００に提供する。算出結果がプライバシポリシー管理部２０７に記憶されている上限数以上であれば、リンク情報付与部２０９は、データ分析装置３００へのリンク情報の提供を拒否する。
【００９０】
［１．３．９  リンク情報付与部２０９］
リンク情報付与部２０９は、データ分析装置３００の要請に応じたリンク情報を生成する。例えば、データ分析装置３００から、ＩＤ１＿４の１月における仮ＩＤを求められたときに、リンク判断部２０８によってリンク情報の提供が許可されれば、ＩＤ１＿４にＩＤ１＿１が対応付けられたリンク情報を生成し、生成したリンク情報を情報通信部２１０（通信部２１０ｂ）を介してデータ分析装置３００に提供する。
【００９１】
［１．３．１０  情報通信部２１０］
情報通信部２１０は、個人情報記録部２０２に記録されている個人情報、及び、ログ情報記録部２０３に記録されているログ情報を読み出し、読み出した情報を加工して、データ分析装置３００に送信する。図９は、情報通信部２１０が送信するデータの例を示す図である。なお、情報通信部２１０は、より詳細には、仮ＩＤの付与を含めた情報の加工を行う加工部２１０ａと、加工後の情報の送信を行う通信部２１０ｂとを備える。加工部２１０ａは、仮ＩＤを付与するときには、当該仮ＩＤと、個人ＩＤとの対応付けを仮ＩＤ管理部２０５に記憶する。
【００９２】
例えば、図９の（１）は、個人ＩＤが１番のユーザの視聴履歴情報（時間及び視聴履歴）に、仮ＩＤとしてＩＤ１＿１が付与されたデータである。図９の（１）のデータには、匿名化処理部２０４から出力される匿名化（上位概念化）された個人情報（年齢：３０歳代）も含まれる。なお、図９の（１）のデータに含まれる視聴履歴情報は、ユーザが、１／３の９：００に時代劇を視聴したことを示す。なお、視聴履歴情報は、ログ情報の一例である。
【００９３】
また、図９の（２）は、個人ＩＤが１番のユーザの視聴履歴情報に、（１）と同じ仮ＩＤであるＩＤ１＿１が付与されたデータである。図９の（２）のデータに含まれる視聴履歴情報は、ユーザが、１／４  ７：００にニュースを視聴したことを示す。
【００９４】
また、図９の（３）は、個人ＩＤが１番のユーザの視聴履歴情報に、仮ＩＤとしてＩＤ１＿４が付与されたデータである。図９の（３）のデータに含まれる視聴履歴情報は、ユーザが、４／１５の１０：００に国内アニメを視聴したことを示す。
【００９５】
以上説明したＩＤ１＿１が付与されたデータ（図９の（１）及び（２））と、ＩＤ１＿４が付与されたデータ（図９の（３））とは、同じユーザのデータである。しかしながら、データ分析装置３００は、これらのデータが、年齢が３０歳代という点で共通していることは判断できるが、これらのデータが同じユーザのデータであるかどうかはわからない。
【００９６】
図９の（４）は、データ分析装置３００からの要請に応じて情報通信部２１０が送信するリンク情報である。図９の（４）は、具体的には、個人ＩＤが１番のユーザの１月の仮ＩＤであるＩＤ１＿１が４月の仮ＩＤであるＩＤ１＿４に対応付けられたリンク情報である。このようなリンク情報により、リンク情報を受信したデータ分析装置３００は、ＩＤ１＿４と同じユーザの１月分のログ情報を関連付けることができる。
【００９７】
図９の（５）は、個人ＩＤが１番のユーザの視聴履歴情報に、仮ＩＤとしてＩＤ１＿５が付与されたデータである。図９の（５）のデータに含まれる視聴履歴情報は、７／１５の１２：１５に料理番組を視聴したことを示す。ＩＤ１＿１が付与されたデータとＩＤ１＿５が付与されたデータとは、同じユーザのデータである。しかしながら、データ分析装置３００は、これらのデータが、年齢が３０歳代という点で共通していることは判断できるが、これらのデータが同じユーザのデータであるかどうかはわからない。
【００９８】
図９の（６）は、個人ＩＤが１番のユーザの２月の仮ＩＤであるＩＤ１＿２が５月の仮ＩＤであるＩＤ１＿５に対応付けられたリンク情報である。
【００９９】
なお、情報通信部２１０の通信部２１０ｂは、データ分析装置３００によって送信されるリンク情報の要請の受信も行う。
【０１００】
［１．４  データ分析装置３００］
次に、データ分析装置３００の構成について説明する。図１０は、データ分析装置３００の構成を示すブロック図である。データ分析装置３００は、情報通信部３０１、匿名情報記録部３０２、ログ情報記録部３０３、リンク情報記録部３０４、分析結果記録部３０５、及び、分析部３０６を備える。
【０１０１】
データ分析装置３００は、データ収集装置２００から受け取ったデータを用いて、当該ユーザが、どういった嗜好性を有するかを分析する。上述のように、仮ＩＤは１か月で更新される。このため、データ分析装置３００は、１か月分のログ情報収集と、協調フィルタリングなどの分析とを行うことにより、仮ＩＤにより特定されるユーザの嗜好などを求めることができる。データ分析装置３００は、このような分析結果にしたがって同じ傾向をもつユーザのデータを使用することにより、ユーザの嗜好にあった番組のお勧めなどを行うことができる。
【０１０２】
［１．４．１  情報通信部３０１］
情報通信部３０１は、データ収集装置２００（情報通信部２１０）からデータを受信し、匿名化された個人情報とログ情報とに分離する。また、情報通信部３０１は、データ収集装置２００（通信部２１０ｂ）にリンク情報の要請を送信し、データ収集装置２００（通信部２１０ｂ）からリンク情報を受信する。
【０１０３】
［１．４．２  匿名情報記録部３０２］
匿名情報記録部３０２は、情報通信部３０１から出力される匿名化された個人情報（匿名情報）を、仮ＩＤとともに記録する。匿名化された個人情報は、例えば、年齢が３０歳代である、といった情報である。
【０１０４】
［１．４．３  ログ情報記録部３０３］
ログ情報記録部３０３は、情報通信部３０１から出力されるログ情報を、仮ＩＤとともに記録する。
【０１０５】
［１．４．４  リンク情報記録部３０４］
リンク情報記録部３０４は、情報通信部３０１がデータ収集装置２００から受信したリンク情報を記録する。リンク情報は、例えば、個人ＩＤが１番のユーザの４月の仮ＩＤであるＩＤ１＿４の、１月における仮ＩＤがＩＤ１＿１であることを示す情報である。リンク情報は、例えば、データ収集装置２００の仮ＩＤリンク関係管理部２０６に記憶されたデータと類似のデータとして記録されるが、どのような態様で記録されてもよい。
【０１０６】
［１．４．５  分析結果記録部３０５］
分析結果記録部３０５は、後述の分析部３０６により行われる分析結果を記録する。ここでの分析結果は、個別のログ情報ではなく、統計化処理された情報（統計情報）である。
【０１０７】
［１．４．６  分析部３０６］
分析部３０６は、匿名情報記録部３０２に記録された匿名情報、ログ情報記録部３０３に記録されたログ情報、リンク情報記録部３０４に記録されたリンク情報、および、それまでの分析結果を用いて、情報の分析を行う。分析部３０６は、例えば、情報の分析により、１か月の間に、あるジャンルの番組を１０回以上みたユーザが何人いるのかを特定する。また、分析部３０６は、情報の分析により、あるユーザが、どういったジャンルの番組を何回視聴したのかを特定する。
【０１０８】
［１．５  情報提供システム１０の動作］
［１．５．１  動作概要］
以下、情報提供システム１０の動作の概要について説明する。図１１は、情報提供システム１０の動作のシーケンス図である。図１２は、情報提供システム１０の動作において用いられるＡＰＩを示す模式図である。
【０１０９】
まず、ユーザ端末装置１００においては、個人情報の取得及びログ情報の収集が行われる（Ｓ１０１）。個人情報は、具体的には、個人情報入力部１０１によって取得及び記録される。また、ログ情報は、具体的にはログ情報収集部１０２によって収集及び記録される。
【０１１０】
次に、ユーザ端末装置１００の情報提供部１０３は、個人情報及びログ情報を含むデータをデータ収集装置２００に送信（提供）する（Ｓ１０２）。
【０１１１】
データ収集装置２００は、ユーザ端末装置１００の情報提供部１０３からデータを受信し、受信したデータを加工してデータ分析装置３００に送信する（Ｓ１０３）。具体的には、情報入力部２０１に入力された個人情報は、個人情報記録部２０２によって個人ＩＤが付与され、匿名化処理部２０４によって匿名化処理される。情報入力部２０１に入力されたログ情報は、ログ情報記録部２０３によって個人ＩＤが付与される。そして、加工部２１０ａによって、ログ情報及び匿名化された個人情報を含むデータに仮ＩＤが付与され、仮ＩＤが付与されたデータが通信部２１０ｂによって送信される。
【０１１２】
このとき送信されるデータのＡＰＩ（データ構造）は、図１２の（ａ）に示される。なお、図１２に示されるＡＰＩフォーマットにおいて先頭から３つ目のフィールドは、コマンドのフィールドである。例えば、図１２の（ａ）における先頭から３つ目のフィールドの履歴送付という記載は、履歴送付コマンドを意味し、図１２の（ｂ）における先頭から３つ目のフィールドの要請コマンドという記載は、要請コマンドを意味する。同様に、図１２の（ｃ）における３つ目のフィールドの返答ＮＧという記載は、返答ＮＧコマンドであることを意味し、図１２の（ｄ）における先頭から３つ目のフィールドの返答ＯＫという記載は、返答ＯＫコマンドを意味する。
【０１１３】
図１２の（ａ）に示されるように、データには、データ収集装置２００のＩＤ（送信元のＩＤ）、データ分析装置３００のＩＤ（送信先のＩＤ）、及び、当該データが履歴送付コマンドであることを示す識別子が含まれる。また、データには、仮ＩＤ、属性（「３０歳代」のように匿名化された年齢）並びに、時間及び視聴履歴（視聴履歴情報＝ログ情報）が含まれる。
【０１１４】
データ分析装置３００の情報通信部３０１は、このようなデータを受信すると、受信したデータと、すでに分析結果記録部３０５に記録されている分析結果（統計情報）とを用いて分析を行う（Ｓ１０４）。分析の例は、上述したとおりである。この後、適宜ログ情報がデータ分析装置３００に送信されているものとする。仮ＩＤは、１か月ごとに更新されている。
【０１１５】
その後、データ分析装置３００の情報通信部３０１は、データ収集装置２００の通信部２１０ｂに、リンク情報の要請を送信する（Ｓ１０５）。要請の内容は、具体的には、「４月における仮ＩＤであるＩＤ１＿４の１月における仮ＩＤを教えてほしい」といった内容である。
【０１１６】
このとき送信されるデータのＡＰＩは、図１２の（ｂ）に示される。図１２の（ｂ）に示されるように、データには、データ分析装置３００のＩＤ（送信元のＩＤ）、データ収集装置２００のＩＤ（送信先のＩＤ）、及び、当該データがリンク情報の要請（要請コマンド）であることを示す識別子が含まれる。また、データには、セッションＩＤ、仮ＩＤ（ここでは、ＩＤ１＿４）、及び、期間（ここでは、１月）が含まれる。なお、セッションＩＤは、図１２の（ｂ）〜（ｄ）の３つのデータを一連のセッションと考えた場合に、一のデータを他のデータと区別するためのＩＤである。
【０１１７】
通信部２１０ｂが要請を受信すると、リンク判断部２０８は、要請に対応する仮ＩＤリンク関係に含まれるノード数をカウントする（Ｓ１０６）。リンク判断部２０８は、具体的には、仮ＩＤ管理部２０５内のデータ２０５ａを参照し、ＩＤ１＿４に対応する１月の仮ＩＤがＩＤ１＿１であることを特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照し、ＩＤ１＿１を含む仮ＩＤリンク関係があるかを確認する。
【０１１８】
仮ＩＤ１＿１を含む仮ＩＤリンク関係がある場合は、リンク判断部２０８は、当該仮ＩＤリンク関係にＩＤ１＿４をさらにリンクさせた上で、仮ＩＤリンク関係に含まれるノードの数を数える。仮ＩＤ１＿１を含む仮ＩＤリンク関係がない場合は、新たにＩＤ１＿４とＩＤ１＿１とをリンクさせた木構造の仮ＩＤリンク関係を生成し、生成した仮ＩＤリンク関係に含まれるノードの数を数える。
【０１１９】
そして、リンク判断部２０８は、ノードの数がプライバシポリシー管理部２０７に記憶されている上限値以上であるかの判断を行う（Ｓ１０７）。
【０１２０】
ノードの数が上限値以上である場合（Ｓ１０７でＹｅｓ）、リンク情報をデータ分析装置３００に提供すると、個人を特定される危険がある。そのため、リンク情報付与部２０９は、通信部２１０ｂを介して、データ分析装置３００にリンク情報送付ＮＧの通知を行う（Ｓ１０８）。
【０１２１】
このとき送信されるデータ（通知）のＡＰＩは、図１２の（ｃ）に示される。図１２の（ｃ）に示されるように、データには、データ収集装置２００のＩＤ（送信元のＩＤ）、データ分析装置３００のＩＤ（送信先のＩＤ）、当該データがリンク情報の送付ＮＧ（返答ＮＧコマンド）であることを示す識別子、及び、セッションＩＤが含まれる。
【０１２２】
一方、ノードの数が上限値未満である場合（Ｓ１０７でＮｏ）、リンク情報付与部２０９は、リンク情報（つまり、ＩＤ１＿４とＩＤ１＿１を関係づけた情報）を生成し、生成したリンク情報を通信部２１０ｂを介して、データ分析装置３００に送信する（Ｓ１０９）。
【０１２３】
このとき送信されるデータ（通知）のＡＰＩは、図１２の（ｄ）に示される。図１２の（ｄ）に示されるように、データには、データ収集装置２００のＩＤ（送信元のＩＤ）、データ分析装置３００のＩＤ（送信先のＩＤ）、当該データがリンク情報の送付ＯＫ（返答ＯＫコマンド）であることを示す識別子、セッションＩＤ、仮ＩＤ（ここでは、ＩＤ１＿４）、及び、対応仮ＩＤ（ここでは、ＩＤ１＿１）が含まれる。
【０１２４】
［１．５．２  リンク判断部２０８の具体的動作例（ノードの数で判断）］
次に、リンク判断部２０８の動作について、上述の図８を用いて具体的に説明する。
【０１２５】
図８に示される例では、仮ＩＤは、１か月ごとに更新（変更）される。また、プライバシポリシー管理部２０７に記憶されたノードの数の上限値は３とする。また、初期の仮ＩＤリンク関係管理部２０６には、仮ＩＤリンク関係が記憶されていないものとする。
【０１２６】
まず、データ分析装置３００は、４月に１月の仮ＩＤを要請する（Ｓ２０１）。より詳細には、データ分析装置３００の情報通信部３０１は、４月の仮ＩＤであるＩＤ１＿４の、１月における仮ＩＤを示すリンク情報を要請する。このような要請が行われるのは、例えば、データ分析装置３００の利用者がユーザ端末装置１００の４月度のログ情報と、１月度のログ情報とを合わせて分析したい場合である。なお、ログ情報はすでにログ情報記録部３０３に記録されているため、ステップＳ２０１では、リンク情報のみが要請される。
【０１２７】
これに対し、データ収集装置２００のリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記１月における仮ＩＤであるＩＤ１＿１を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿１を含む仮ＩＤリンク関係を探索し、このような仮ＩＤリンク関係がないことを認識する。
【０１２８】
そこで、リンク判断部２０８は、ＩＤ１＿４に、特定したＩＤ１＿１を木構造にリンクさせた仮ＩＤリンク関係を生成し、生成した仮ＩＤリンク関係に含まれるノード数を算出する。このときのノード数は２であり、ノード数の上限値３に満たない。このため、リンク判断部２０８は、リンク情報を提供することに問題はないと判断し、リンク情報付与部２０９は、ＩＤ１＿４とＩＤ１＿１とが対応付けられたリンク情報を、通信部２１０ｂを介してデータ分析装置３００に送信する。なお、生成された仮ＩＤリンク関係は、リンク判断部２０８によって仮ＩＤリンク関係管理部２０６に記憶され、仮ＩＤリンク関係管理部２０６内のデータは、テーブル７０１のような態様となる。
【０１２９】
次に、データ分析装置３００は、５月に２月の仮ＩＤを要請する（Ｓ２０２）。より詳細には、データ分析装置３００の情報通信部３０１は、５月の仮ＩＤであるＩＤ１＿５の、２月における仮ＩＤを示すリンク情報を要請する。
【０１３０】
これに対し、データ収集装置２００のリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記２月における仮ＩＤであるＩＤ１＿２を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿２を含む仮ＩＤリンク関係を探索し、このような仮ＩＤリンク関係がないことを認識する。
【０１３１】
そこで、リンク判断部２０８は、ＩＤ１＿５に、特定したＩＤ１＿２を木構造にリンクさせた仮ＩＤリンク関係を生成し、生成した仮ＩＤリンク関係に含まれるノード数を算出する。このときのノード数は２であり、ノード数の上限値３には満たない。このためリンク判断部２０８は、リンク情報を提供することに問題はないと判断し、リンク情報付与部２０９は、ＩＤ１＿５とＩＤ１＿２とが対応付けられたリンク情報を、通信部２１０ｂを介してデータ分析装置３００に送信する。なお、生成された仮ＩＤリンク関係は、リンク判断部２０８によって仮ＩＤリンク関係管理部２０６に追加（記憶）され、仮ＩＤリンク関係管理部２０６内のデータは、テーブル７０２のような態様となる。
【０１３２】
次に、データ分析装置３００は、７月に４月の仮ＩＤを要請する（Ｓ２０３）。より詳細には、データ分析装置３００の情報通信部３０１は、７月の仮ＩＤであるＩＤ１＿７の、４月における仮ＩＤを示すリンク情報を要請する。
【０１３３】
これに対し、データ収集装置２００のリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記４月における仮ＩＤであるＩＤ１＿４を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿４を含む仮ＩＤリンク関係を探索する。この場合、仮ＩＤリンク関係管理部２０６には、ステップＳ２０１で生成されたＩＤ１＿４とＩＤ１＿１とがリンクされた仮ＩＤリンク関係がすでに記憶されている。
【０１３４】
ここで、テーブル７０３に示されるように、ＩＤ１＿４とＩＤ１＿１とがリンクされた仮ＩＤリンク関係のうちのＩＤ１＿４に、ＩＤ１＿７をさらにリンクさせると、仮ＩＤリンク関係のノード数は３となり、ノード数の上限値３以上となる。このため、リンク判断部２０８は、リンク情報を提供することに問題があると判断し、リンク情報付与部２０９は、データ分析装置３００に対して、リンク情報を送信できない旨を通知する。この通知は、情報通信部２１０（通信部２１０ｂ）及び情報通信部３０１を介して行われる。
【０１３５】
なお、このとき、仮ＩＤリンク関係管理部２０６内のデータは、テーブル７０２の状態から更新されない（テーブル７０３の状態に変更されない）が、更新されてもよい。
【０１３６】
一方、ステップＳ２０２の後、データ分析装置３００が、７月に１月の仮ＩＤを要請する場合（Ｓ２０４）、つまり、データ分析装置３００の情報通信部３０１が、７月の仮ＩＤであるＩＤ１＿７の、１月における仮ＩＤを示すリンク情報を要請する場合がある。
【０１３７】
この場合、データ収集装置２００のリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記１月における仮ＩＤであるＩＤ１＿７を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿１を含む仮ＩＤリンク関係を探索する。仮ＩＤリンク関係管理部２０６には、ステップＳ２０１で生成されたＩＤ１＿４とＩＤ１＿１とがリンクされた仮ＩＤリンク関係がすでに記憶されている。
【０１３８】
ここで、テーブル７０４に示されるように、ＩＤ１＿４とＩＤ１＿１とがリンクされた仮ＩＤリンク関係のうちのＩＤ１＿１に、ＩＤ１＿７をさらにリンクさせると、仮ＩＤリンク関係のノード数は３となり、ノード数の上限値３以上となる。このため、リンク判断部２０８は、リンク情報を提供することに問題があると判断し、リンク情報付与部２０９は、データ分析装置３００に対してリンク情報を送信できない旨を通知する。この通知は、情報通信部２１０（通信部２１０ｂ）を介して行われる。
【０１３９】
［１．５．３  リンク判断部２０８の具体的動作例（重みの合計で判断）］
次に、リンク判断部２０８の別の動作例について説明する。
【０１４０】
上記動作例においては、プライバシポリシー管理部２０７には、ノードの数（仮ＩＤリンク関係の木構造におけるリンクの数）の上限値が記憶されていた。これに対し、以下の動作例においては、リンク判断部２０８は、仮ＩＤリンク関係に含まれる仮ＩＤの重みの合計が、プライバシポリシー管理部２０７に記憶された上限値以上であるか否かに基づいて、リンク関係の出力可否を判断する。これに対応して、仮ＩＤ管理部２０５に記憶されるデータ（対応付け）において、各仮ＩＤは、重み付けされている。図１３は、仮ＩＤ管理部２０５に記憶された、重み付けされたデータの一例を示す図である。
【０１４１】
図１３に示されるように、仮ＩＤ管理部２０５に記憶されるデータ２０５ｂにおいて、各仮ＩＤは、重み付けされる。リンク判断部２０８は、仮ＩＤリンク関係を生成するとき、または、仮ＩＤリンク関係に仮ＩＤをされにリンクするときに、このような重みを合計し、プライバシポリシー管理部２０７に記憶された上限値と比較する。
【０１４２】
図１４は、情報提供システム１０の、仮ＩＤの重みを用いた動作のシーケンス図である。図１４に示されるシーケンス図では、図１１のシーケンス図において、ステップＳ１０６に代えてステップＳ１１０６が設けられ、図１１のステップＳ１０７に代えてステップＳ１１０７が設けられている。この差について説明する。
【０１４３】
通信部２１０ｂが要請を受信すると、リンク判断部２０８は、要請に対応する仮ＩＤリンク関係に含まれる仮ＩＤの重みを合計する（Ｓ１０６）。リンク判断部２０８は、具体的には、仮ＩＤ管理部２０５内のデータ２０５ｂを参照し、ＩＤ１＿４に対応する１月の仮ＩＤがＩＤ１＿１であることを特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照し、ＩＤ１＿１を含む仮ＩＤリンク関係があるかを確認する。
【０１４４】
仮ＩＤ１＿１を含む仮ＩＤリンク関係がある場合は、リンク判断部２０８は、当該仮ＩＤリンク関係にＩＤ１＿４をさらにリンクさせた上で、仮ＩＤリンク関係に含まれる仮ＩＤの重みを合計する。仮ＩＤ１＿１を含む仮ＩＤリンク関係がない場合は、新たにＩＤ１＿４とＩＤ１＿１とをリンクさせた木構造の仮ＩＤリンク関係を生成し、生成した仮ＩＤリンク関係に含まれる仮ＩＤの重みを合計する。
【０１４５】
そして、リンク判断部２０８は、重みの合計がプライバシポリシー管理部２０７に記憶されている上限値以上であるかの判断を行う（Ｓ１１０７）。
【０１４６】
重みの合計が上限値以上である場合（Ｓ１１０７でＹｅｓ）、リンク情報付与部２０９は、通信部２１０ｂを介して、データ分析装置３００にリンク情報送付ＮＧの通知を行う（Ｓ１０８）。
【０１４７】
一方、重みの合計が上限値未満である場合（Ｓ１１０７でＮｏ）、リンク情報付与部２０９は、リンク情報を生成し、生成したリンク情報を通信部２１０ｂを介して、データ分析装置３００に送信する（Ｓ１０９）。
【０１４８】
以下、このようなリンク判断部２０８の動作を、図１５を用いてさらに具体的に説明する。図１５は、情報提供システム１０の仮ＩＤの重みを用いた動作の具体例を説明するための図である。
【０１４９】
図１５に示される例においても、仮ＩＤは、１か月ごとに更新（変更）される。また、プライバシポリシー管理部２０７に記憶された重みの合計の上限値は５０とする。また、初期の仮ＩＤリンク関係管理部２０６には、仮ＩＤリンク関係が記憶されていないものとする。
【０１５０】
まず、データ分析装置３００は、４月に１月の仮ＩＤを要請する（Ｓ３０１）。より詳細には、データ分析装置３００の情報通信部３０１は、４月の仮ＩＤであるＩＤ１＿４の、１月における仮ＩＤを示すリンク情報を要請する。このような要請が行われるのは、例えば、データ分析装置３００の利用者がユーザ端末装置１００の４月度のログ情報と、１月度のログ情報と合わせて分析したい場合である。
【０１５１】
これに対し、データ収集装置２００のリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記１月における仮ＩＤであるＩＤ１＿１を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿１を含む仮ＩＤリンク関係を探索し、このような仮ＩＤリンク関係がないことを認識する。
【０１５２】
そこで、リンク判断部２０８は、ＩＤ１＿４に特定したＩＤ１＿１を木構造にリンクさせた仮ＩＤリンク関係を生成し、生成した仮ＩＤリンク関係に含まれる仮ＩＤの重みの合計を算出する。重みの合計の算出においては、図１３に示される仮ＩＤ管理部２０５内のデータ２０５ｂが参照される。具体的な重みの合計は３５となり、上限値５０には満たない。このため、リンク情報付与部２０９は、ＩＤ１＿４とＩＤ１＿１とが対応付けられたリンク情報を、データ分析装置３００に送信する。なお、このときの仮ＩＤリンク関係管理部２０６内のデータは、例えば、テーブル１２０１のような態様となる。
【０１５３】
次に、データ分析装置３００は、５月に２月における仮ＩＤを要請する（Ｓ３０２）。より詳細には、データ分析装置３００の情報通信部３０１は、５月の仮ＩＤであるＩＤ１＿５の、２月における仮ＩＤを示すリンク情報を要請する。
【０１５４】
これに対し、データ収集装置２００のリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記２月における仮ＩＤであるＩＤ１＿２を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿２を含む仮ＩＤリンク関係を探索し、このような仮ＩＤリンク関係がないことを認識する。
【０１５５】
そこで、リンク判断部２０８は、ＩＤ１＿５に、特定したＩＤ１＿２を木構造にリンクさせた仮ＩＤリンク関係を生成し、生成した仮ＩＤリンク関係に含まれる仮ＩＤの重みの合計を算出する。このときの重みの合計は４５となり、上限値５０には満たない。このため、リンク情報付与部２０９は、ＩＤ１＿５とＩＤ１＿２とが対応付けられたリンク情報を、データ分析装置３００に送信する。なお、このときの仮ＩＤリンク関係管理部２０６内のデータは、例えば、テーブル１２０２のような態様となる。
【０１５６】
次に、データ分析装置３００は、７月に４月における仮ＩＤを要請する（Ｓ３０３）。より詳細には、データ分析装置３００の情報通信部３０１は、７月の仮ＩＤであるＩＤ１＿７の、４月における仮ＩＤを示すリンク情報を要請する。
【０１５７】
これに対し、データ収集装置２００のリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記４月における仮ＩＤであるＩＤ１＿４を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿４を含む仮ＩＤリンク関係を探索する。この場合、仮ＩＤリンク関係管理部２０６には、ステップＳ２０１で生成されたＩＤ１＿４とＩＤ１＿１とがリンクされた仮ＩＤリンク関係がすでに記憶されている。
【０１５８】
ここで、テーブル１２０３に示されるように、ＩＤ１＿４とＩＤ１＿１とがリンクされた仮ＩＤリンク関係のうちのＩＤ１＿４に、ＩＤ１＿７をさらにリンクさせると、仮ＩＤの重みの合計は７５となり、上限値５０以上となる。このため、リンク情報付与部２０９は、データ分析装置３００に対して、リンク情報を送信できない旨を通知する。
【０１５９】
一方、ステップＳ３０２の後、データ分析装置３００が、７月に１月の仮ＩＤを要請する場合（Ｓ２０４）、つまり、データ分析装置３００の情報通信部３０１が、７月の仮ＩＤであるＩＤ１＿７の、１月における仮ＩＤを示すリンク情報を要請する場合がある。
【０１６０】
この場合、データ収集装置２００のリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記１月における仮ＩＤであるＩＤ１＿７を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿１を含む仮ＩＤリンク関係を探索する。仮ＩＤリンク関係管理部２０６には、ステップＳ２０１で生成されたＩＤ１＿４とＩＤ１＿１とがリンクされた仮ＩＤリンク関係がすでに記憶されている。
【０１６１】
ここで、テーブル１２０４に示されるように、ＩＤ１＿４とＩＤ１＿１とがリンクされた仮ＩＤリンク関係のうちのＩＤ１＿１に、ＩＤ１＿７をさらにリンクさせると、重みの合計は７５となり、上限値５０以上となる。このため、リンク情報付与部２０９は、データ分析装置３００に対してリンク情報を送信できない旨を通知する。
【０１６２】
［１．５．４  重み付けの求め方の例］
上記図１３に示されるデータ２０５ｂにおいては、各仮ＩＤが重み付けられているが、各仮ＩＤに割り当てられる重みは、データ収集装置２００の管理者によって任意に定められてよい。例えば、重みは、以下のルールの組合せによって決定されてもよい。また、重みは、任意のタイミングで更新されてもよい。
【０１６３】
・重みは、過去の（古い）仮ＩＤほど、小さくなるように決定されてもよい。また、重みは、過去の仮ＩＤほど、小さくなるように更新されてもよい。
【０１６４】
・重みは、ユーザごと（個人ＩＤごと）に変更されてもよいし、全ユーザに共通（同じ重み）であってもよい。
【０１６５】
・重みは、所定の期間（１ヶ月）におけるログ情報（視聴履歴）のデータサイズ（データ量）に応じて決定されてもよい。例えば、重みは、ログ情報のデータサイズが大きいほど、大きい値に決定されてもよい。
【０１６６】
・重みは、視聴履歴の特異度に応じて、所定の期間ごと（月ごと）に決定されてもよい。例えば、視聴履歴に含まれる番組に一般的で誰でも好きな番組（視聴率が高い番組）が多く含まれれば、視聴者数が多いことから、個人を特定することが難しい。そこで、このような場合は視聴履歴の特異度が高いものとして、重みは小さく決定される。
【０１６７】
例えば、ログ情報記録部２０３において、番組ごとに特異度が定められていてもよい。図１６は、特異度が定められたデータ（視聴履歴）の一例を示す図である。図１６に示されるデータ２０３ｂのように番組ごとに特異度が定められ、月ごとに視聴履歴に含まれる番組の特異度を乗算し、乗算結果の逆数が重みとされてもよい。特異度は、具体的には、０以上〜１以下の値とし、視聴した人が少ないと考えられる番組ほど０に近い値になる。
【０１６８】
このように、特異度が乗算されることにより、１つでも特異な番組を視聴していれば、特異度が０に近づき、重みが大きくなる。なお、特異度は、全ユーザの視聴履歴のうちどれだけのユーザに視聴されたかの確率から自己情報量を求めて算出されてもよい。
【０１６９】
［１．５．５  上限値の設定方法］
ノードの数（リンクの数）の上限値、または、重みの合計の上限値は、プライバシポリシー管理部２０７に記憶される。ここで、ノードの数（リンクの数）の上限値、または、重みの合計の上限値は、ユーザ端末装置１００ごとに定められてもよいし、ユーザがユーザ端末装置１００を通じて設定できるようにしてもよい。
【０１７０】
［１．５．６  データ分析装置３００におけるユーザインタフェース］
以下、データ分析装置３００におけるユーザインタフェースについて説明する。ここでのユーザインタフェースは、データ分析装置３００の表示部（図示せず）またはデータ分析装置３００とともに使用される表示装置に表示される表示画面を意味する。
【０１７１】
図１７は、リンク情報の要請フォームの一例を示す図である。図１７に示される要請フォームにおいては、データ分析装置３００の使用者は、仮ＩＤと月とを入力することにより、入力した仮ＩＤの、入力した月における仮ＩＤを要請することができる。
【０１７２】
図１８は、リンク情報の提供が許可された場合の表示画面の一例を示す図である。このように、図１７に示される要請フォームに入力した月の仮ＩＤが得られれば、データ分析装置３００の分析部３０６は、ＩＤ１＿１が付与されたログ情報を、ログ情報記録部３０３から取得することができる。
【０１７３】
なお、ログ情報が消去されてしまっているなどにより、ログ情報記録部３０３にＩＤ１＿１が付与されたログ情報がない場合は、図１８に示される表示画面に表示されたＤＬのボタンが押されることにより、データ分析装置３００は、ＩＤ１＿１が付与されたログ情報そのものを再度入手することができる。
【０１７４】
また、図１９は、リンク情報の提供が許可されなかった場合の表示画面の一例を示す図である。
【０１７５】
［１．６  実施の形態１の効果］
実施の形態１では、データ収集装置２００は、所定のタイミングで更新される仮ＩＤの対応関係を示すリンク情報を、仮ＩＤリンク関係を用いた一定の制限の下で、データ分析装置３００に提供する。このように対応関係が提供されることにより、データ分析装置３００は、例えば、同一のユーザについて、現在のログ情報と、半年前や１年前のログ情報との比較分析を行うことができる。この結果、分析結果に応じてユーザへの適切なサービスを提供するといったことが可能となる。
【０１７６】
リンク情報を無制限に提供すると、同一のユーザのログ情報を大量に関連づけることができ、このような関連付けによって、ユーザが特定されてしまう懸念がある。このような懸念を低減するため、データ収集装置２００は、データ分析装置３００から提供を要請された仮ＩＤをリンクさせて管理し、データ分析装置３００が一定数以上の仮ＩＤの対応関係を特定できないようにしている。
【０１７７】
また、リンク情報を提供するか否かは、例えば、仮ＩＤリンク関係に含まれる仮ＩＤの数（ノードの数）に基づいて判断されるが、重みに基づいて判断されてもよい。例えば、古いログ情報に付与されている仮ＩＤは重みを低くする等の処理を行うことにより、柔軟にリンク情報を提供することができる。
【０１７８】
（実施の形態２）
実施の形態１では、リンク情報付与部２０９は、仮ＩＤリンク関係に含まれるノード数が上限値以上であった場合には、リンク情報の送信ができない旨を通知する。これに対して、実施の形態２に係る情報提供システムにおいては、リンク情報の送信ができない場合には、代わりに統計情報を送信する。
【０１７９】
ここで、統計情報とは、リンク情報の要請された仮ＩＤが付与された視聴履歴と、当該仮ＩＤとは別の仮ＩＤが付与された視聴履歴とを混在させた情報であって、例えば、１ヶ月間の視聴履歴におけるジャンルごとの視聴頻度を示す形式で提供される。このような統計情報からは、個人を特定することは困難である。
【０１８０】
なお、統計情報がジャンルごと視聴頻度のような形式で提供される場合には、データ分析装置３００が行う分析を、データ収集装置２００ａが代わりに実施しているといえる。
【０１８１】
［２．１  情報提供システム１０の構成］
全体構成、ユーザ端末装置１００、及び、データ分析装置３００の構成は、実施の形態１で説明された図２、図３、及び図１０と同様であるため説明が省略される。なお、実施の形態２では、データ収集装置２００ａの構成が異なるが、実施の形態２においてもシステム全体は、情報提供システム１０と記載される。
【０１８２】
［２．２  データ収集装置２００ａ］
図２０は、実施の形態２に係るデータ収集装置２００ａの構成を示すブロック図である。データ収集装置２００と異なり、データ収集装置２００ａは、統計情報算出部２１１をさらに備え、リンク情報付与部２０９の代わりに情報付与部２１２を備える。なお、データ収集装置２００ａにおいて、データ収集装置２００と実質的に同一の構成要素については、同一の符号が付され詳細な説明が省略される。
【０１８３】
［２．２．１  統計情報算出部２１１］
統計情報算出部２１１は、ログ情報記録部２０３に記録されたログ情報を入力として、例えば、１ヶ月の視聴履歴におけるジャンルごとの視聴頻度などの統計情報を求める。統計情報は、例えば、１ヶ月において、ドラマが３回、野球が１０回視聴されたことを示す情報である。
【０１８４】
また、統計情報算出部２１１は、データ分析装置３００から複数の仮ＩＤの指定を取得した場合には、１ヶ月の視聴履歴におけるジャンルごとの視聴頻度を、指定された仮ＩＤが付与された視聴履歴を混在させて求める。例えば、統計情報算出部２１１は、ＩＤ１＿４に加え、ＩＤｘ＿４，ＩＤｙ＿４の視聴履歴（x及びyは正の整数）を用いて、１ヶ月の視聴履歴におけるジャンルごとの視聴頻度を求める。この場合の視聴頻度は、１月中に、合計でドラマが２０回、野球が５０回、料理番組が３３回視聴されたことを示す情報である。
【０１８５】
このような複数の仮ＩＤを混在させて求められた視聴頻度が統計情報として提供されることにより、ＩＤ１＿４に対応するユーザが、ドラマを５回、野球を５０回、料理番組を０回視聴していたとしても、データ分析装置３００は、これを区別できない。つまり、統計情報算出部２１１は、複数の期間にわたる統計化、あるいは複数ＩＤにわたる統計化により、個人を特定することにはつながらない情報を算出する。なお、統計情報の具体的内容は、あらかじめ、データ収集装置２００ａとデータ分析装置３００との間で取り決めておく。
【０１８６】
［２．２．２  情報付与部２１２］
情報付与部２１２は、リンク判断部２０８がリンク情報を提供しても問題ないと判断した場合は、リンク情報を出力し、リンク判断部２０８がリンク情報を提供すると問題であると判断した場合は、統計情報算出部２１１が算出した統計情報を出力する。
【０１８７】
［２．３  情報提供システム１０の動作］
次に、実施の形態２に係る情報提供システム１０の動作について説明する。図２１は、実施の形態２に係る情報提供システム１０の動作のシーケンス図である。
【０１８８】
図１１に示されるシーケンス図と異なり、図２１に示されるシーケンス図においては、ステップＳ１０７においてノード数が上限値を上回った場合（Ｓ１０７でＹｅｓ）、統計情報算出部２１１は、統計情報を算出し、情報付与部２１２は、算出された統計情報をデータ分析装置３００に送信する（Ｓ１１０）。統計情報については、前述のとおりである。
【０１８９】
［２．４  データ分析装置３００におけるユーザインタフェース］
以下、データ分析装置３００におけるユーザインタフェースについて説明する。図２２は、実施の形態２に係る、リンク情報の要請フォームの一例を示す図である。図１７の要請フォームと異なり、図２２の要請フォームでは、リンク情報の提供が許可されなかった場合に、統計情報の送信を申請するためのフォームが追加されている。
【０１９０】
図２３は、リンク情報の提供が許可されなかった場合の表示画面の一例を示す図である。図２３は、図２２に示される要請フォームを通じてリンク情報を要請した場合に、リンク情報の提供が許可されず、統計情報が送信される場合の表示画面の例を示す。
【０１９１】
また、図２２の例では、リンク情報の要請時に、統計情報に用いられる仮ＩＤの指定が行われたが、仮ＩＤの指定は、リンク情報の要請の後に行われてもよい。図２４は、リンク情報の提供が許可されない場合の表示画面であって、統計情報に用いられる仮ＩＤの入力フォームを含む表示画面の一例を示す図である。
【０１９２】
図２３及び図２４のいずれも表示画面においても、ＤＬのボタンが押下されることにより、データ分析装置３００は、統計情報を入手することができる。
【０１９３】
［２．５  実施の形態２の効果］
実施の形態２では、データ収集装置２００ａは、リンク情報を提供できない場合であっても、リンク情報に代えて統計情報を提供することができる。データ分析装置３００は、統計情報を用いて分析を行うことで、より分析の精度を上げることができる。なお、リンク情報とは異なり、統計情報からは個人特定につながる情報は得られない。
【０１９４】
（実施の形態３）
実施の形態３に係る情報提供システム１０では、データ分析装置３００ｂにおいて、過去に提供されたリンク情報、または、ログ情報の消去が行われた場合に、データ収集装置２００ｂがこれを確認した上で、仮ＩＤリンク関係の削除等を行う。
【０１９５】
［３．１  情報提供システム１０の構成］
全体構成、及び、ユーザ端末装置１００の構成は、実施の形態１で説明された図２、及び図３と同様であるため説明が省略される。なお、実施の形態３では、データ収集装置２００ｂ及びデータ分析装置３００ｂの構成が異なるが、実施の形態３においても、システム全体は、情報提供システム１０と記載される。
【０１９６】
［３．２  データ収集装置２００ｂ］
図２５は、実施の形態３に係るデータ収集装置２００ｂの構成を示すブロック図である。データ収集装置２００と異なり、データ収集装置２００ｂは、消去確認部２１３をさらに備える。なお、データ収集装置２００ｂにおいて、データ収集装置２００と実質的に同一の構成要素については、同一の符号が付され詳細な説明が省略される。
【０１９７】
［３．２．１  消去確認部２１３］
消去確認部２１３は、データ分析装置３００ｂにおいてリンク情報が消去されたこと、または、データ分析装置３００ｂにおいてログ情報が消去されたことを確認する。確認方法としては、例えば、データ分析装置３００ｂにおける消去コマンドの実行を、ネットワークを介して確認する方法などが例示される。なお、消去確認部２１３は、オフラインで消去の確認を行ってもよい。
【０１９８】
［３．３  データ分析装置３００ｂ］
図２６は、実施の形態３に係るデータ分析装置３００ｂの構成を示すブロック図である。データ分析装置３００と異なり、データ分析装置３００ｂは、消去部３０７をさらに備える。なお、データ分析装置３００ｂにおいて、データ分析装置３００と実質的に同一の構成要素については、同一の符号が付され詳細な説明が省略される。
【０１９９】
［３．３．１  消去部３０７］
消去部３０７は、ログ情報記録部３０３に記録されているログ情報、あるいはリンク情報記録部３０４に記録されているリンク情報を消去し、その消去した事実を、データ収集装置２００ｂに通知する。なお、情報の消去は、データ分析装置３００ｂが有するるユーザインタフェース（図示せず）を通じて指示されてもよいし、別機器からネットワークを介した消去コマンドを取得することによって行われてもよい。なお、消去のレベルについては、完全消去なのか、部分消去なのか等があらかじめ定められる。
【０２００】
［３．４  情報提供システム１０の動作］
次に、実施の形態３に係る情報提供システム１０の動作について説明する。まず、消去部３０７がリンク情報を削除する例について説明する。図２７は、消去部３０７がリンク情報を削除するときの動作を説明するための図である。なお、図２７における、ステップＳ２０１、及び、ステップＳ２０２の動作は、図８において説明されたため説明が省略される。
【０２０１】
ステップＳ２０２の後、データ分析装置３００ｂの消去部３０７は、ＩＤ１＿４とＩＤ１＿１とが対応付けられたリンク情報を消去する（Ｓ２０５）。そうすると、データ収集装置２００ｂの消去確認部２１３は、リンク情報の消去（例えば、消去コマンド）を確認し、仮ＩＤリンク関係管理部２０６において、少なくともＩＤ１＿４のリンクとＩＤ１＿１のリンクとを削除する。この結果、仮ＩＤリンク関係管理部２０６内のデータは、テーブル２５０３のような態様となる。
【０２０２】
その後、データ分析装置３００ｂは、７月に４月における仮ＩＤを要請する（Ｓ２０６）。これに対し、データ収集装置２００ｂのリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記４月における仮ＩＤであるＩＤ１＿４を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿４を含む仮ＩＤリンク関係を探索し、このような仮ＩＤリンク関係がない（消去されている）ことを認識する。
【０２０３】
そこで、リンク判断部２０８は、ＩＤ１＿７に、特定したＩＤ１＿４を木構造にリンクさせた仮ＩＤリンク関係を生成し、生成した仮ＩＤリンク関係に含まれるノード数を算出する。ノード数は、２となるため、リンク情報付与部２０９は、データ分析装置３００ｂに対して、リンク情報を送信する。なお、生成された仮ＩＤリンク関係は、リンク判断部２０８によって仮ＩＤリンク関係管理部２０６に記憶され、仮ＩＤリンク関係管理部２０６内のデータは、テーブル２５０４のような態様となる。
【０２０４】
次に、消去部３０７がログ情報を削除する例について説明する。図２８は、消去部３０７がログ情報を削除するときの動作を説明するための図である。なお、図２８における、ステップＳ２０１、及び、ステップＳ２０２の動作は、図８において説明されたため説明が省略される。
【０２０５】
ステップＳ２０２の後、データ分析装置３００ｂの消去部３０７は、ＩＤ１＿１が付与されたログ情報を消去する（Ｓ２０７）。そうすると、データ収集装置２００ｂの消去確認部２１３は、ログ情報の消去（例えば、消去コマンド）を確認し、仮ＩＤリンク関係管理部２０６におけるＩＤ１＿１を含む仮ＩＤリンク関係をすべて削除する。この結果、仮ＩＤリンク関係管理部２０６内のデータは、テーブル２６０３のような態様となる。
【０２０６】
その後、データ分析装置３００ｂは、７月に４月における仮ＩＤを要請する（Ｓ２０６）。これに対し、データ収集装置２００ｂのリンク判断部２０８は、仮ＩＤ管理部２０５内の対応付けを参照して、上記４月における仮ＩＤであるＩＤ１＿４を特定する。そして、リンク判断部２０８は、仮ＩＤリンク関係管理部２０６を参照することによって、ＩＤ１＿４を含む仮ＩＤリンク関係を探索し、このような仮ＩＤリンク関係がない（消去されている）ことを認識する。
【０２０７】
そこで、リンク判断部２０８は、ＩＤ１＿７に、特定したＩＤ１＿４を木構造にリンクさせた仮ＩＤリンク関係を生成し、生成した仮ＩＤリンク関係に含まれるノード数を算出する。ノード数は、２となるため、リンク情報付与部２０９は、データ分析装置３００ｂに対して、リンク情報を送信する。なお、生成された仮ＩＤリンク関係は、リンク判断部２０８によって仮ＩＤリンク関係管理部２０６に記憶され、仮ＩＤリンク関係管理部２０６内のデータは、テーブル２６０４のような態様となる。
【０２０８】
なお、リンク情報及びログ情報の消去のタイミングは、図２７及び図２８の例に限定されるものではなく、リンク情報及びログ情報は、任意のタイミングで消去されればよい。
【０２０９】
［３．５  実施の形態３の効果］
実施の形態３では、データ収集装置２００ｂの消去確認部２１３は、データ分析装置３００ｂが行うリンク情報の消去、または、ログ情報の消去を確認して、仮ＩＤリンク関係管理部２０６の内容を更新する。これにより、データ分析装置３００ｂは、リンク情報を新たに得るためには、すでに取得済みのリンク情報及びログ情報を消去する必要があるため、データ分析装置３００ｂに必要以上に情報が蓄積されることが抑制される。したがって、ログ情報から個人が特定されてしまう懸念が低減する。
【０２１０】
（実施の形態４）
実施の形態４に係る情報提供システム１０では、データ収集装置２００ｃは、データ分析装置３００ｃに、仮ＩＤを付与したログ情報を提供するごとに、当該ログ情報の重みを積算する。データ収集装置２００ｃは、重みの合計があらかじめ定めた上限値以上となったら、仮ＩＤを更新する。
【０２１１】
このとき、ログ情報は、例えば、図１６に示されるように特異度が定められており、ログ情報の重みは、特異度に基づいて決定される。特異度は、ログ情報が希少であるほど（希少度が高いほど）多きな値となる指標である。特異度は、個人の特定しやすさを示す指標となる。
【０２１２】
［４．１  情報提供システム１０の構成］
全体構成、及び、ユーザ端末装置１００の構成は、実施の形態１で説明された図２、及び図３と同様であるため説明が省略される。また、図２９は、データ分析装置３００ｃの構成を示すブロック図であるが、データ分析装置３００ｃの構成は、データ分析装置３００からリンク情報記録部３０４を除いた構成と同一であるため、説明が省略される。
【０２１３】
なお、実施の形態４では、データ収集装置２００ｃ及びデータ分析装置３００ｃの構成が異なるが、実施の形態４においても、システム全体は、情報提供システム１０と記載される。
【０２１４】
［４．２  データ収集装置２００ｃ］
図３０は、実施の形態４に係るデータ分析装置３００ｃの構成を示すブロック図である。情報入力部２０１、個人情報記録部２０２、ログ情報記録部２０３、匿名化処理部２０４、仮ＩＤ管理部２０５、及び、プライバシポリシー管理部２０７は、データ収集装置２００と同様であるため、説明が省略される。データ収集装置２００と異なり、データ収集装置２００ｂは、仮ＩＤ更新制御部２１４と、仮ＩＤ更新部２１５とを備える。
【０２１５】
［４．２．１  仮ＩＤ更新制御部２１４］
仮ＩＤ更新制御部２１４は、ログ情報の重みを管理し、仮ＩＤが付与されたログ情報を、データ分析装置３００ｃに提供するたびに、当該ログ情報の重みを積算し、上記仮ＩＤの更新の判断に用いる。仮ＩＤ更新制御部２１４は、重みの合計を、プライバシポリシー管理部２０７に記憶されている上限値と比較し、重みの合計が上限値以上であるか否かを示す情報を出力する。
【０２１６】
［４．２．２  仮ＩＤ更新部２１５］
仮ＩＤ更新部２１５では、仮ＩＤ更新制御部２１４から重みの合計が上限値以上であることを示す情報を受けた場合、仮ＩＤを、ランダムにかつ他の仮ＩＤとの重複が回避されるように更新する。更新された仮ＩＤは、仮ＩＤ管理部２０５において個人ＩＤと対応させて記憶される。また、仮ＩＤが更新された場合、仮ＩＤ更新部２１５は、仮ＩＤ更新制御部２１４における、重みの合計をリセットする。
【０２１７】
［４．３  情報提供システム１０の動作］
実施の形態４に係る情報提供システム１０の動作について説明する。図３１は、実施の形態４に係る情報提供システム１０の動作のシーケンス図である。
【０２１８】
まず、ユーザ端末装置１００においては、個人情報の取得及びログ情報の収集が行われ（Ｓ１０１）、ユーザ端末装置１００の情報提供部１０３は、個人情報及びログ情報を含むデータをデータ収集装置２００ｃに送信する（Ｓ１０２）。
【０２１９】
データ収集装置２００ｃは、ユーザ端末装置１００からデータを受信し、受信したデータに対し匿名化を行う（Ｓ１１１）。
【０２２０】
次に、仮ＩＤ更新制御部２１４は、ステップＳ１０２で受信したデータに含まれるログ情報の重みを積算する（Ｓ１１２）。なお、この積算は、ユーザ端末装置１００ごとに、かつ、データ分析装置３００ｃごとに行われる。
【０２２１】
次に、仮ＩＤ更新制御部２１４は、重みの合計がプライバシポリシー管理部２０７に記憶されている上限値以上か否かの判断を行う（Ｓ１１３）。重みの合計が、上限値よりも小さい場合は（Ｓ１１３でＮｏ）、情報通信部２１０は、匿名化されたデータ（ログ情報）に、対応する仮ＩＤを付与してデータ分析装置３００ｃに提供する。重みの合計が、上限値以上の場合は、仮ＩＤ更新部２１５は、匿名化されたデータに対応する仮ＩＤをランダムにかつ他の仮ＩＤとの重複が回避されるように更新し、かつ、重みの合計をリセットする（Ｓ１１５）。
【０２２２】
そして、情報通信部２１０は、匿名化されたデータに更新後の仮ＩＤを付与してデータ分析装置３００ｃに提供する。
【０２２３】
［４．４  実施の形態４の効果］
実施の形態４においては、データ収集装置２００ｃは、データ分析装置３００ｃに対して、特定のユーザ端末装置１００のログ情報がどのくらい提供されたのかを、重みの合計により管理する。ログ情報のそれぞれには、当該ログ情報から個人が特定されてしまう可能性を示す重みが付与されている。例えば、視聴する人が限定されている番組の視聴履歴を含むログ情報は、大きく重み付けされる。データ収集装置２００ｃは、この重みの積算値と上限値とを比較することにより、仮ＩＤの更新を行う。
【０２２４】
実施の形態１では、仮ＩＤは、無条件に一定のタイミングで更新される。これにより、データ分析装置３００は、上述のリンク情報を使用しない場合は、仮ＩＤが同じである期間のみ、同じ仮ＩＤが付与されたログ情報の比較分析を行うことができる。
【０２２５】
これに対して、実施の形態４では、データ収集装置２００ｃは、データ分析装置３００ｃごとに、ログ情報の特異度（重み）などを用いて、きめ細かく仮ＩＤの更新タイミングを管理する。これにより、データ分析装置３００ｃは、適切な量のログ情報の、より精度の高い比較分析を行うことができる。
【０２２６】
（変形例）
なお、本開示を上記各実施の形態に基づいて説明してきたが、本開示は、上記各実施の形態に限定されない。例えば、以下のような場合も本開示に含まれる。
【０２２７】
（１）実施の形態１〜３では、データ収集装置は、現在の仮ＩＤの過去の仮ＩＤを示すリンク情報をデータ分析装置に提供した。しかしながら、リンク情報は、過去の仮ＩＤの関係を示す情報であってもよい。具体的には、データ分析装置は、７月に、７月よりも前の４月の仮ＩＤであるＩＤ１＿４が、４月よりもさらに前の１月にどのような仮ＩＤであったかを要請してもよく、この場合、データ収集装置は、４月の仮ＩＤ１＿４の１月における仮ＩＤはＩＤ１＿１であったことを示すリンク情報を提供する。
【０２２８】
（２）実施の形態１〜４では、ログ情報は、視聴履歴（番組のジャンル情報）としていたが、ログ情報は、特に限定されない。また、上記実施の形態の情報提供システムまたはデータ収集装置は、ログ情報以外の情報の提供においても適用可能である。
【０２２９】
（３）実施の形態１〜４では、情報提供システムは、データ分析装置を１つ備えるとして説明が行われたが、データ分析装置は、複数であってもよい。その場合、仮ＩＤは、データ分析装置ごとに管理される。例えば、仮ＩＤ管理部は、データ分析装置ごとに設けられ、仮ＩＤリンク関係管理部も、データ分析装置ごとに設けられる。そして、その更新や仮ＩＤリンク関係に含まれるノード数の計算もデータ分析装置ごとに行われる。また、実施の形態１および４で説明された重みの合計（積算）も、データ分析装置ごとに行われる。
（４）実施の形態１〜４で説明された各装置の構成要素、及び、各装置の処理などは適宜組み合わされてよい。例えば、実施の形態２及び３においては、リンク情報の送信可否を仮ＩＤリンク関係に含まれるノード数に基づいてリンク情報の送信可否を判断する説明されたが、リンク情報の送信可否は、実施の形態１で説明した重みの合計に基づいて判断されてもよい。
【０２３０】
また、実施の形態４で説明した仮ＩＤの更新を、実施の形態１〜３に係るデータ収集装置がさらに行ってもよい。
【０２３１】
（５）実施の形態１〜４に係るユーザ端末装置の、個人情報入力部とログ情報収集部とは、ユーザ端末装置とは別の装置内にあってもよい。例えば、個人情報入力部は、携帯端末であり、ログ情報収集部は、何らかのセンサであってもよい。
【０２３２】
また、個人情報入力部及びログ情報収集部は、ログ情報収集部が視聴履歴を収集する場合にはＴＶに内蔵されてもよい。また、ログ情報収集部が体重ログを収集する場合には、体重計に内蔵されてもよい。
【０２３３】
また、ログ情報収集部とユーザとの紐付けは、ログ情報収集部が有するセンサや家電の識別情報を個人情報入力部から入力するとしてもよい。
【０２３４】
（６）実施の形態１〜４におけるログ情報は、番組のジャンルの視聴履歴であるが、これに限らない。例えば、視聴履歴に含まれる番組情報は、ジャンルだけでなく、ＥＰＧ等に記載される番組情報そのものであってもよい。
【０２３５】
また、例えば、ユーザ端末装置が携帯端末である場合、ログ情報は、携帯端末の移動履歴情報（ＧＰＳ情報）であってもよい。また、ユーザ端末装置が機器のリモコンとして機能する場合、ログ情報は、ユーザ端末装置（リモコン）の操作履歴であってもよい。例えば、ユーザ端末装置を通じてＴＶの操作が行われる場合は、ログ情報は、どの番組を視聴したのか、どのようにチャンネル切り替えをしたのかなどを示す情報であってもよい。
【０２３６】
また、ログ情報は、ユーザがどの駅にいつ乗降したのかといった情報などであってもよい。また、ログ情報は、各家庭での電力使用量のログ情報や、体重や血圧計などのヘルスケアのログ情報、さらには、買い物の履歴、Ｗｅｂアクセスのログ情報などであってもよい。さらに、ログ情報は、各家庭の家電機器の操作履歴や電力使用量であってもよい。
【０２３７】
（７）上記態様において説明された技術は、例えば、以下のクラウドサービスの類型において実現されうる。しかし、上記態様において説明された技術が実現される類型はこれに限られるものでない。
【０２３８】
［サービスの類型１：自社データセンタ型］
図３２は、サービスの類型１（自社データセンタ型）を示す。本類型は、サービスプロバイダ５１２０がグループ５１００から情報を取得し、ユーザに対してサービスを提供する類型である。本類型では、サービスプロバイダ５１２０が、データセンタ運営会社の機能を有している。即ち、サービスプロバイダが、ビッグデータの管理をするデータセンタ５２０３（クラウドサーバ５１１１）を保有している。従って、データセンタ運営会社は存在しない。
【０２３９】
本類型では、サービスプロバイダ５１２０は、データセンタ（クラウドサーバ５１１１）を運営、管理している（５２０３）。また、サービスプロバイダ５１２０は、ＯＳ（５２０２）及びアプリケーション（５２０１）を管理する。サービスプロバイダ５１２０は、サービスプロバイダ５１２０が管理するＯＳ（５２０２）及びアプリケーション（５２０１）を用いてサービス提供を行う（５２０４）。
（サービスの類型２：ＩａａＳ利用型）
図３３は、サービスの類型２（ＩａａＳ利用型）を示す。ここでＩａａＳとはインフラストラクチャー・アズ・ア・サービスの略であり、コンピュータシステムを構築および稼動させるための基盤そのものを、インターネット経由のサービスとして提供するクラウドサービス提供モデルである。
【０２４０】
本類型では、データセンタ運営会社がデータセンタ（クラウドサーバ５１１１）を運営、管理している（５２０３）。また、サービスプロバイダ５１２０は、ＯＳ（５２０２）及びアプリケーション（５２０１）を管理する。サービスプロバイダ５１２０は、サービスプロバイダ５１２０が管理するＯＳ（５２０２）及びアプリケーション（５２０１）を用いてサービス提供を行う（５２０４）。
【０２４１】
［サービスの類型３：ＰａａＳ利用型］
図３４は、サービスの類型３（ＰａａＳ利用型）を示す。ここでＰａａＳとはプラットフォーム・アズ・ア・サービスの略であり、ソフトウェアを構築および稼動させるための土台となるプラットフォームを、インターネット経由のサービスとして提供するクラウドサービス提供モデルである。
【０２４２】
本類型では、データセンタ運営会社５１１０は、ＯＳ（５２０２）を管理し、データセンタ（クラウドサーバ５１１１）を運営、管理している（５２０３）。また、サービスプロバイダ５１２０は、アプリケーション（５２０１）を管理する。サービスプロバイダ５１２０は、データセンタ運営会社が管理するＯＳ（５２０２）及びサービスプロバイダ５１２０が管理するアプリケーション（５２０１）を用いてサービス提供を行う（５２０４）。
【０２４３】
［サービスの類型４：ＳａａＳ利用型］
図３５は、サービスの類型４（ＳａａＳ利用型）を示す。ここでＳａａＳとはソフトウェア・アズ・ア・サービスの略である。例えばデータセンタ（クラウドサーバ）を保有しているプラットフォーム提供者が提供するアプリケーションを、データセンタ（クラウドサーバ）を保有していない会社・個人（利用者）がインターネットなどのネットワーク経由で使用できる機能を有するクラウドサービス提供モデルである。
【０２４４】
本類型では、データセンタ運営会社５１１０は、アプリケーション（５２０１）を管理し、ＯＳ（５２０２）を管理し、データセンタ（クラウドサーバ５１１１）を運営、管理している（５２０３）。また、サービスプロバイダ５１２０は、データセンタ運営会社５１１０が管理するＯＳ（５２０２）及びアプリケーション（５２０１）を用いてサービス
提供を行う（５２０４）。
【０２４５】
以上いずれの類型においても、サービスプロバイダ５１２０がサービス提供行為を行ったものとする。また例えば、サービスプロバイダ若しくはデータセンタ運営会社は、ＯＳ、アプリケーション若しくはビッグデータのデータベース等を自ら開発してもよいし、また、第三者に外注させてもよい。
【０２４６】
（８）上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の情報提供装置などを実現するソフトウェアは、次のようなプログラムである。
【０２４７】
すなわち、このプログラムは、コンピュータに、個人ＩＤに対応付けられたログ情報を、前記個人ＩＤに代えて、所定のタイミングで更新される仮ＩＤを付与して提供する情報提供装置が実行する情報提供方法であって、前記情報提供装置は、前記個人ＩＤと、前記更新により得られる複数の仮ＩＤとの対応付けを記憶する第一記憶部と、一の仮ＩＤの別のタイミングにおける仮ＩＤを示すリンク情報の要請に応じて生成されるリンク関係情報であって、当該要請に係る仮ＩＤをリンクさせたリンク関係情報を記憶する第二記憶部とを備え、前記情報提供方法は、第一の仮ＩＤの別のタイミングにおける仮ＩＤの要請を受け付け、前記第一記憶部に記憶されている前記対応付けを参照することによって当該別のタイミングにおける仮ＩＤである第二の仮ＩＤを特定し、前記第二記憶部に記憶されている前記第二の仮ＩＤを含むリンク関係情報に、前記第一の仮ＩＤをさらにリンクさせた場合のリンク関係情報を評価し、評価結果に応じて前記第二の仮ＩＤを示す前記リンク情報を出力するかどうかを決定する情報提供方法を実行させる。
【０２４８】
（９）上記各実施の形態において、特定の処理部が実行する処理を別の処理部が実行してもよい。また、複数の処理の順序が変更されてもよいし、複数の処理が並行して実行されてもよい。
【０２４９】
また、上記実施の形態で説明された装置の構成（構成要素の割り当て）は、一例である。例えば、上記各実施の形態において説明されたデータ収集装置は、以下のような情報提供システムに含まれる情報提供装置として実現されてもよい。図３６は、情報提供システムの別の構成例を示すブロック図である。
【０２５０】
図３６に示される情報提供システム８００は、第一情報通信装置５００と、情報提供装置４００と、第二情報通信装置６００とを備える。
【０２５１】
第一情報通信装置５００は、ログ情報を収集する装置であって、上記実施の形態１〜４のユーザ端末装置に相当する装置である。第一情報通信装置５００は、例えば、スマートフォン、または、タブレット端末などであるが、ヘルスケア機器または改札機など、ログ情報を収集可能な機器であればよい。
【０２５２】
情報提供装置４００は、第一情報通信装置５００から、第一情報通信装置５００が収集したログ情報を取得し、取得したログ情報を、当該ログ情報の個人ＩＤに代えて、所定のタイミングで更新される仮ＩＤを付与して提供する。情報提供装置４００は、上記実施の形態１〜４のデータ収集装置に相当する装置であり、具体的には、サーバ装置などとして実現される。
【０２５３】
第二情報通信装置６００は、情報提供装置４００から、仮ＩＤが付与されたログ情報の提供を受ける装置であって、上記実施の形態１〜４のデータ分析装置に相当する装置である。第二情報通信装置６００は、具体的には、サーバ装置などとして実現される。
【０２５４】
以下、情報提供装置４００の構成について詳細に説明する。
【０２５５】
情報提供装置４００は、第一記憶部４０１と、受付部４０２と、情報処理部４０３と、第二記憶部４０４と、削除部４０５と、ログ情報記録部４０６と、取得部４０７と、送信部４０８とを備える。
【０２５６】
情報提供装置４００は、個人ＩＤに対応付けられたログ情報を、個人ＩＤに代えて、所定のタイミングで更新される仮ＩＤを付与して提供する。なお、所定のタイミングは、例えば、１ヶ月ごとであるが、間隔が一定でないタイミングであってもよく、特に限定されない。
【０２５７】
第一記憶部４０１は、個人ＩＤと、更新により得られる複数の仮ＩＤとの対応付けを記憶する。仮ＩＤ管理部２０５に相当する構成要素であって、具体的には、半導体メモリなどの記憶装置により実現される。第一記憶部４０１に記憶される対応付けは、具体的には、図７に示されるデータ２０５ａであるが、特に限定されない。
【０２５８】
受付部４０２は、一の仮ＩＤの別のタイミングにおける仮ＩＤを示すリンク情報の要請を受け付ける。受付部４０２は、通信部２１０ｂに相当する構成要素であって、具体的には、通信回路（通信モジュール）などによって実現されるが、プロセッサまたはマイクロコンピュータの全部または一部として実現されてもよく、どのような態様であってもよい。なお、上記要請は、例えば、図１２の（ｂ）のようなデータ構造であり、リンク情報は、例えば、図１２の（ｄ）のようなデータ構造であるが、このようなデータ構造に限定されない。
【０２５９】
情報処理部４０３は、受付部４０２が受け付けた要請に応じて当該要請に係る仮ＩＤをリンクさせたリンク関係情報を生成する。情報処理部４０３は、プライバシポリシー管理部２０７、リンク判断部２０８、リンク情報付与部２０９（情報付与部２１２）、加工部２１０ａ、仮ＩＤ更新制御部２１４、仮ＩＤ更新部２１５などに相当する構成要素である。情報処理部４０３は、例えば、プロセッサによって実現されるが、専用回路またはマイクロコンピュータによって実現されてもよい。なお、リンク関係情報は、仮ＩＤリンク関係に相当する。
【０２６０】
第二記憶部４０４は、生成されたリンク関係情報を記憶する。第二記憶部４０４は、仮ＩＤリンク関係管理部２０６に相当する構成要素であって、具体的には、半導体メモリなどの記憶装置により実現される。なお、リンク関係情報は、例えば、図８に示される各テーブルのようなデータとして第二記憶部４０４に記憶されるが、特に限定されない。なお、第二記憶部４０４と、第一記憶部４０１とは、一つの記憶装置として実現されてもよい。ログ情報記録部４０６いついても同様である。
【０２６１】
ログ情報記録部４０６は、複数のログ情報が記録（記憶）される記憶装置であって、ログ情報記録部２０３に相当する構成要素である。ログ情報記録部４０６には、例えば、図１６に示されるように、複数のログ情報が当該ログ情報の重み（例えば、特異度の逆数）に対応付けられて記録されている。ログ情報記録部４０６は、具体的には、ＨＤＤまたは半導体メモリなどの記憶装置により実現される。
【０２６２】
取得部４０７は、第一情報通信装置５００から個人情報及びログ情報を取得するための通信インタフェースであり、情報入力部２０１に相当する構成要素である。例えば、情報処理部４０３は、取得部４０７を介して第一情報通信装置５００から個人情報及びログ情報を取得する。取得部４０７は、具体的には、通信回路（通信モジュール）などによって実現されるが、プロセッサまたはマイクロコンピュータの全部または一部として実現されてもよく、どのような態様であってもよい。
【０２６３】
送信部４０８は、第二情報通信装置６００にログ情報などを送信するための通信インタフェースであり、通信部２１０ｂに相当する構成要素である。例えば、情報処理部４０３が出力したリンク情報は、送信部４０８を介して第二情報通信装置６００に送信される。送信部４０８は、具体的には、通信回路（通信モジュール）などによって実現されるが、プロセッサまたはマイクロコンピュータの全部または一部として実現されてもよく、どのような態様であってもよい。
【０２６４】
以上のような構成において、情報処理部４０３は、第一の仮ＩＤの別のタイミングにおける仮ＩＤの要請を受付部４０２が受け付けた場合、第一記憶部４０１に記憶されている対応付けを参照することによって当該別のタイミングにおける仮ＩＤである第二の仮ＩＤを特定する。そして、情報処理部４０３は、第二記憶部４０４に記憶されている第二の仮ＩＤを含むリンク関係情報に、第一の仮ＩＤをさらにリンクさせた場合のリンク関係情報を評価し、評価結果に応じて第二の仮ＩＤを示すリンク情報を出力するかどうかを決定する。
【０２６５】
これにより、同一の個人ＩＤに対応する複数の仮ＩＤの関係を示すリンク情報が、一定の評価の下で出力されるため、リンク情報に基づいて個人ＩＤが示す個人が特定されてしまう危険性を下げることができる。一方で、リンク情報を受けた外部装置は、複数の仮ＩＤの関係を用いてログ情報の分析を行うことができる。
【０２６６】
情報処理部４０３は、具体的には、評価結果が所定値未満である場合には、第二の仮ＩＤを示すリンク情報を出力し、評価結果が所定値以上である場合には、第二の仮ＩＤを示すリンク情報を出力しない。
【０２６７】
これにより、情報処理部４０３は、評価結果が所定値以上であるか否かを基準に、リンク情報を出力するかどうかを決定することができる。なお、情報処理部４０３は、評価結果が所定値以上である場合に、第二の仮ＩＤを示すリンク情報を出力し、評価結果が所定値未満である場合に、第二の仮ＩＤを示すリンク情報を出力しなくてもよい。つまり、上記所定値（閾値）は、評価基準に応じて適宜設定されればよい。
【０２６８】
また、情報処理部４０３は、更新後のリンク関係情報を、当該更新後のリンク関係情報においてリンクされている仮ＩＤの個数に基づいて評価する。情報処理部４０３は、個数が所定値未満である場合には第二の仮ＩＤを示すリンク情報を出力し、個数が所定値以上である場合には、第二の仮ＩＤを示すリンク情報を出力しない。
【０２６９】
これにより、情報処理部４０３は、リンク情報を出力するかどうかをリンク関係情報に含まれる仮ＩＤの個数に応じて決定することができる。
【０２７０】
また、情報処理部４０３は、受付部４０２が受け付けた要請に係る仮ＩＤを木構造にリンクさせたリンク関係情報を生成してもよい。この場合、情報処理部４０３は、第一の仮ＩＤをさらにリンクさせた場合のリンク関係情報を、当該リンク関係情報に含まれるノードの個数に基づいて評価する。情報処理部４０３は、個数が所定値未満である場合には第二の仮ＩＤを示すリンク情報を出力し、個数が所定値以上である場合には、第二の仮ＩＤを示すリンク情報を出力しない。
【０２７１】
これにより、情報処理部４０３は、リンク情報を出力するかどうかをリンク関係情報に含まれる仮ＩＤのノードの個数に応じて決定することができる。
【０２７２】
また、第一記憶部４０１に記憶された複数の仮ＩＤは、図１３に示されるデータ２０５ｂのように重み付けされていてもよい。この場合、情報処理部４０３は、第一の仮ＩＤをさらにリンクさせた場合のリンク関係情報を、当該のリンク関係情報においてリンクされている仮ＩＤの重みの合計に基づいて評価してもよい。情報処理部４０３は、具体的には、重みの合計が所定値未満である場合には第二の仮ＩＤを示すリンク情報を出力し、重みの合計が所定値以上である場合には、第二の仮ＩＤを示すリンク情報を出力しない。
【０２７３】
これにより、情報処理部４０３は、リンク情報を出力するかどうかを仮ＩＤの重みを考慮して決定することができる。
【０２７４】
なお、第一記憶部４０１においては、対応するログ情報が特異な仮ＩＤほど、大きい重みが付与されていてもよい。
【０２７５】
これにより、特異度が高く個人を特定しやすいログ情報に付与される仮ＩＤほど、当該仮ＩＤにリンク情報が提供されにくくなる。
【０２７６】
また、実施の形態２で説明したように、情報処理部４０３は、評価結果が所定値以上である場合には、第二の仮ＩＤが付与されたログ情報と、第二の仮ＩＤ以外の仮ＩＤが付与されたログ情報とを合わせて統計化した統計情報を出力してもよい。なお、「第二の仮ＩＤ以外の仮ＩＤ」は、第二の仮ＩＤの別のタイミングにおける仮ＩＤ（例えば、第一の仮ＩＤ）であってもよいし、第二の仮ＩＤが対応する個人ＩＤとは別の個人ＩＤに対応付けられた仮ＩＤであってもよい。
【０２７７】
これにより、リンク情報が出力されない場合にも、統計情報を用いたログ情報の分析が可能となる。
【０２７８】
また、実施の形態３で説明したように、情報提供装置４００は、さらに、削除部４０５を備えてもよい。削除部４０５は、消去確認部２１３に相当する構成要素であり、具体的には、プロセッサ、マイクロコンピュータ、または専用回路などによって実現される。
【０２７９】
削除部４０５は、例えば、情報処理部４０３が出力したリンク情報を受けた第二情報通信装置６００（外部装置）から、当該リンク情報を消去したことを示す情報を取得した場合に、第二記憶部４０４に記憶されているリンク関係情報であって、消去されたリンク情報に対応するリンク関係情報から、少なくとも消去されたリンク情報に含まれる仮ＩＤのリンクを削除する。つまり、削除部４０５は、図２７に示されるような処理を行う。なお、この場合、削除部４０５は、消去されたリンク情報を含むリンク関係情報の全体を削除してもよい。
【０２８０】
これにより、外部装置においてリンク情報が削除されたときに、リンク情報を出力するかどうかの判断基準をリセットすることができる。
【０２８１】
また、削除部４０５は、例えば、情報提供装置４００がログ情報を受けた第二情報通信装置６００（外部装置）から、当該ログ情報を消去したことを示す情報を取得した場合に、第二記憶部４０４に記憶されているリンク関係情報であって、消去されたログ情報に付与されていた仮ＩＤに関連するリンク関係情報を削除する。つまり、削除部４０５は、図２８に示されるような処理を行う。なお、この場合において、削除部４０５は、消去されたログ情報に付与されていた仮ＩＤを含むリンク関係情報から、少なくとも当該仮ＩＤのリンクを削除すればよい。
【０２８２】
これにより、外部装置においてログ情報が削除されたときに、リンク情報を出力するかどうかの判断基準をリセットすることができる。
【０２８３】
なお、削除部４０５の情報の取得は、例えば、受付部４０２及び情報処理部４０３を介して行われる。
【０２８４】
また、実施の形態４で説明したように、情報処理部４０３は、さらに、ログ情報記録部４０６に記録されたログ情報を、第三の仮ＩＤを付与して提供するごとに当該ログ情報に対応付けられた重みを積算し、積算した重みが所定値以上となった場合に、第三の仮ＩＤを更新してもよい。つまり、情報処理部４０３は、図３１に示されるような処理を行ってもよい。
【０２８５】
これにより、情報処理部４０３は、ログ情報の重みに応じて、よりきめ細かく仮ＩＤを更新することができる。
【０２８６】
以上、一つまたは複数の態様に係る情報提供システム及び情報提供装置（データ収集装置）などについて、実施の形態に基づいて説明したが、本開示は、この実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つまたは複数の態様の範囲内に含まれてもよい。
【産業上の利用可能性】
【０２８７】
本開示は、ログ情報を匿名化して提供する情報提供装置として利用可能である。
【符号の説明】
【０２８８】
１０、８００  情報提供システム
１００    ユーザ端末装置
１０１    個人情報入力部
１０２    ログ情報収集部
１０３    情報提供部
２００、２００ａ、２００ｂ、２００ｃ    データ収集装置
２０１    情報入力部
２０２    個人情報記録部
２０２ａ、２０３ａ、２０３ｂ、２０５ａ、２０５ｂ  データ
２０３    ログ情報記録部
２０４    匿名化処理部
２０５    仮ＩＤ管理部
２０６    仮ＩＤリンク関係管理部
２０７    プライバシポリシー管理部
２０８    リンク判断部
２０９    リンク情報付与部
２１０、３０１    情報通信部
２１０ａ    加工部
２１０ｂ    通信部
２１１    統計情報算出部
２１２    情報付与部
２１３    消去確認部
２１４    仮ＩＤ更新制御部
２１５    仮ＩＤ更新部
３００、３００ｂ、３００ｃ    データ分析装置
３０２    匿名情報記録部
３０３    ログ情報記録部
３０４    リンク情報記録部
３０５    分析結果記録部
３０６    分析部
３０７    消去部
４００    情報提供装置
４０１    第一記憶部
４０２    受付部
４０３    情報処理部
４０４    第二記憶部
４０５    削除部
４０６    ログ情報記録部
４０７    取得部
４０８    送信部
５００    第一情報通信装置
５１０、５２０    ユーザ
６００    第二情報通信装置
７０１、７０２、７０３、７０４    テーブル
１２０１、１２０２、１２０３、１２０４    テーブル
２５０３、２５０４    テーブル
２６０３、２６０４    テーブル
５１００    グループ
５１０１    機器
５１０２    ホームゲートウェイ
５１１０    データセンタ運営会社
５１１１    クラウドサーバ
５１２０    サービスプロバイダ
５１２１    サーバ
５２０１    アプリケーション
５２０２    ＯＳ
５２０３    データセンタ
５２０４    サービス
【図１】
2016186783.tif 000003
【図２】
2016186783.tif 000004
【図３】
2016186783.tif 000005
【図４】
2016186783.tif 000006
【図５】
2016186783.tif 000007
【図６】
2016186783.tif 000008
【図７】
2016186783.tif 000009
【図８】
2016186783.tif 000010
【図９】
2016186783.tif 000011
【図１０】
2016186783.tif 000012
【図１１】
2016186783.tif 000013
【図１２】
2016186783.tif 000014
【図１３】
2016186783.tif 000015
【図１４】
2016186783.tif 000016
【図１５】
2016186783.tif 000017
【図１６】
2016186783.tif 000018
【図１７】
2016186783.tif 000019
【図１８】
2016186783.tif 000020
【図１９】
2016186783.tif 000021
【図２０】
2016186783.tif 000022
【図２１】
2016186783.tif 000023
【図２２】
2016186783.tif 000024
【図２３】
2016186783.tif 000025
【図２４】
2016186783.tif 000026
【図２５】
2016186783.tif 000027
【図２６】
2016186783.tif 000028
【図２７】
2016186783.tif 000029
【図２８】
2016186783.tif 000030
【図２９】
2016186783.tif 000031
【図３０】
2016186783.tif 000032
【図３１】
2016186783.tif 000033
【図３２】
2016186783.tif 000034
【図３３】
2016186783.tif 000035
【図３４】
2016186783.tif 000036
【図３５】
2016186783.tif 000037
【図３６】
2016186783.tif 000038