日本ソフトウェア科学会第 30 回大会 (2013 年度) 講演論文集

匿名性を考慮したリアルタイムな Web アンケートシステムの実現
井上 良太

片山 真也

白松 俊

大囿 忠親

新谷 虎松

Web アンケートシステムは，紙媒体を用いたアンケートに比べ，質問票の配布，回収，集計作業のコストが少ないというメリットがある反面，デメリットとして，多重回答などの不正の監視や匿名性の確保が困難となる．本研究では従来の Web アンケートシステムの課題である，不正の防止や匿名性の確保のための装置や処理の高コスト化を解決することが可能な，新たな Web アンケートシステムを開発している．本システムで特筆すべき点は，不正監視のためのインタフェースや回答に使用する端末の管理を導入したことである．本論文では，低コストな Web アンケートシステムの課題解決の実現方法について提案する．本研究では，結果の集計と表示が即時に行われるアンケートをリアルタイムアンケートと呼び，リアルタイムアンケート実施のためのシステムの設計と構築について扱う．Webアンケートシステムでは，多重回答を防止して回答者の公平性を保つことや，回答者の匿名性を確保することが重要となる．既存のアンケートシステムでは，高コストな暗号化通信や認証機構，匿名通信路を構築することでこれらを可能にしている．本研究では，特別な装置や処理を必要とせず，低コストで公平性と匿名性を確保することを目的とする．本システムにおけるリアルタイムアンケートは，回答の投票状況をリアルタイムに監視可能とすることで，多重回答の発見を支援する．また，回答に使用する端末の配布するリアルタイムアンケートの実施モデルとダミートラフィックにより匿名性を確保する．本システムでは，Web 上での質問票の生成と配信，結果の集計を実行するインタフェースを提供し，スレート型端末や計算機を利用した回答方式を実現する．

イムアンケートにおけるリアルタイム性には 2 つの1 はじめに意味がある．1 つ目は，アンケート回答時にリアルタWeb を利用したアンケートシステムは，紙媒体でイムに投票状況の確認を可能にすることである．投のアンケートに比べて，リアルタイム性，集計の自動票状況を監視することで多重回答を防止する．2 つ目

化，回答者の負担の軽減などの利点を持ち，広く普及は，アンケートにおける質問の一覧である質問票を，している [7] [8]．例えば，Google Docs では，フォーアンケート実施時にリアルタイムに変更可能にするムという形式で Web アンケートの作成から実施，集ことである．回答者による回答が開始された後でも，計までをサポートしている．

質問票を更新することが可能である．

本研究では，結果の集計と表示が即時に行われるア本研究が目指すリアルタイムアンケートシステム

ンケートをリアルタイムアンケートと呼び，リアルタ

は，Web アンケートシステムとして以下の 3 つの目

イムアンケートシステムの設計と構築について扱う．

標を満たす．1 つ目は，多重回答を防ぐことで，投票リアルタイムアンケートは，意思決定支援や評価に基に関して回答者全員が納得し，公平性を保つものとづく学習支援などに利用することができる．リアルタすることである．2 つ目は，回答内容を集計するサー
バにおいて，回答内容と回答者を紐付けられないよ

A Real-Time Web Questionnaire System with an
Anonymous Protocol.
Ryota Inoue, Shinya Katayama, Shun Shiramatsu,Tadachika Ozono, Toramatsu Shintani, 名古屋工業大学大学院情報工学専攻, Department of Computer
Science and Engineering, Graduate School of Engineering, Nagoya Institute of Technology.

うにし，匿名性を保つことである．3 つ目は，上記の2 つの目標の解決において，低コストかつ高速に動作するように，シンプルなアンケートシステムの設計を行うことである．
本稿の構成について述べる．2 節で，多重回答などの不正による回答者の公平性の確保や，匿名性を考慮のための，認証機構や匿名通信路の実現には，大きなしたアンケートシステムについて説明する．3 節で，コストが必要となる．本システムのアプローチでは，本システムの構成と実装について述べる．4 節で，本アンケート実施者による端末の配布やリアルタイムシステムの利用についてインタフェースを示す．5 節

な投票状況の監視インタフェースにより，回答者の公で，本システムを実際に利用した事例について報告す

平性と匿名性の確保を低コストで実現する．回答者

る．6 節で本稿をまとめる．

に対してランダムに端末を配布することで，端末情報と回答者を紐付けられないようにする．この結果

2 公平性と匿名性を考慮したアンケートシス
テムとして，匿名通信路を使用しない場合でも，サーバは受信した回答から回答者を特定できない．投票状況

本システムの 3 つの目標における，Web アンケーの監視インタフェースでは，端末に割り振られる端末トシステムでの回答者の公平性と匿名性の確保につ番号により投票済みの端末を監視することができる．

いては長年研究されている．公平性とは，多重回答を本インタフェースを投票中に公開し，投票が行われた防ぐことで回答者全員が納得する投票が実現されて端末数をリアルタイムに確認することで，多重回答のいるかどうかを指す．匿名性とは，回答から回答者が発見を支援する．人間とシステムが協調して不正を監特定できるかどうかを指す．文献 [1] では，未回答者視し，さらに回答に使用する端末を配布することで，リストを持つ認証エージェントにより多重回答を防い

高コストな暗号化通信や匿名通信路，認証機構などのでいる．回答者が回答を行うと，認証エージェントへ実現を必要とせず，安全な回答の収集を行う．

回答の要約が送られて，回答者が未回答であるかど

アンケートシステムにおける匿名性では，回答に対うかを確認する．認証を通過した回答は，匿名通信路する回答者を同定できないことが重要となる．同定を介して集計エージェントへ送られる．匿名通信路はできないとは，回答者集合中の他の回答者から区別

Mix-net を利用して構築されており，匿名性を確保しできないことをいう．本研究では，匿名性には 2 つのている．また，認証エージェントと集計エージェント段階があるものとしている．連結不可能性を満たすの結託により匿名性が失われることを防ぐ目的で，ブ段階と仮名性を満たす段階である [6]．連結不可能性

ラインド署名により認証エージェント上で回答を確認(unlinkability) を満たすとは，回答に対する回答者を不可能な状態としている．文献 [2] では，Basic 認証完全に同定できない状態を示し，強い匿名性を持つ．

により多重回答を防止し，準同型暗号とゼロ知識証明

仮名性 (pseudonymity) を満たすとは，回答に対するにより回答を収集することで安全性を確保している．

回答者を ID で同定できるが，ID と回答者が紐付けGoto らは，場所に関係なく誰でもアンケートを実できない状態を示し，比較的弱い匿名性を持つ．強い施可能，かつ，回答可能なユビキタスアンケートシス

匿名性を持つ場合には，回答者が多重回答やなりすまテムを提案している [3]．ユビキタスアンケートシステ

しなどのアンケートシステムにおける不正を行うこムが解決すべきセキュリティ上の課題として，中間者とが容易になる可能性がある．そこで，本システムで攻撃といった盗聴，なりすまし，匿名性，DoS 攻撃なは，仮名性を満たす段階のアンケートシステムを構築

どを挙げ，セキュアな Web アンケートシステムにおする．Web 上で提供される質問票にアクセスするとけるサーバサイドの設計指針を示している．Emura

トークンが発行される．トークンとは，各回答者に対らは，ユーザの属性値の関係を表す属性木を，動的にして割り振られる一意なランダム文字列であり，回答変更することが可能な属性ベースグループ署名の方送信時に回答とともにサーバへ送信される．トークン式を提案している [4]．匿名統計調査への提案方式のと端末は紐付けられるが，端末と回答者は紐付けられ応用を示しており，調査毎にユーザの属性が変わる匿ないため，トークンから回答者は同定できない．この

名統計調査に対する有効性を述べている．

結果として，匿名性を一定のレベルで確保できる．

一般に，多重回答などの不正防止や匿名性の確保

サーバでの回答の受信タイミングを確認可能な状

態にあるアンケート実施者が，同時に回答者の回答の送信タイミングを観測可能な状態にある場合に，回答(3) 投票状況表示サーバ者と回答内容を紐付けできる可能性がある．本研究では，回答の受信タイミングと送信タイミングが紐付

端末番号

け不可能であることを，観測不可能性と呼ぶ．観測不可能性を満たす手法としては，Mix-net を使用する手法 [1] が考えられる．Mix-net では，回答を簡易なプロキシサーバを介して送信する．プロキシサーバが，受信した回答をランダムな順序で集計サーバへ送信することで観測不可能性を満たす．本システムではダミートラフィックを利用する．回答者側からランダムな間隔で自動的にダミーの回答を送信することで，観測不可能性を一定のレベルで満たす．

3 リアルタイムアンケートシステムの設計と構築
3. 1 システムの要件

回答内容(4) 回答者（配布端末）
端末番号

質問票のデータ端末番号配信部
端末DB(2) 端末番号配信サーバ
図1

回答集計部
回答DB
質問票配信部
質問票DB(1) 質問票
管理サーバ

集計結果
回答結果
表示画面
質問票
データ
実施者

システム構成図

3. 2 システム構成

本システムは，アンケートシステムにおける必要な

図 1 にシステム構成図を示す．本システムは，(1)機能として，柔軟な設問設定，アンケートの配信と回質問票管理サーバ，(2) 端末番号配信サーバ，(3) 投答，回答内容の集計のための機能を持つ．また，これ

票状況表示サーバ，(4) 回答用端末の 4 つのサブシスらの基本的な機能に加えて，リアルタイムアンケートテムから構成されている．(1) の質問票管理サーバとシステムとしての機能を持つ．リアルタイムアンケー

は，質問票のデータを保持して質問票の配信を行い，トシステムでは，安全で不正のない回答収集のためさらに回答の集計を行うサーバである．(2) の端末番に，回答者の公平性と匿名性の保持を低コストで実号配信サーバとは，端末番号の配信により回答用の端現することを目標としている．本システムでは，投票末を管理するサーバである．(3) の投票状況表示サー状況の監視インタフェースにより公平性を確保する．

バとは，回答の投票時に投票状況をリアルタイムに表また，アンケート実施者による回答用の端末の配布で示するための情報収集サーバである．(4) の回答用端匿名性を確保する．よって，目標を達成するリアルタ

末は，各回答者にアンケート実施者からランダムに配

イムアンケートシステムにおける要件は以下のよう布される端末で，回答者は端末上でたちあげたブラウになる．

ザから回答を行う．

• 投票状況のリアルタイムな表示が可能

アンケート実施者によって作成された質問票は，• 質問票のリアルタイムな変更が可能

サーバの DB 上に保存される．サーバは各質問票に対• Web ブラウザのみで回答が可能

して URL を発行し，リクエストを受け取って質問票• 暗号化通信路や匿名性を確保するための特殊なのデータを返す．回答者がブラウザで質問票の URL通信路に非依存にアクセスすると，受信したデータから質問票が構成

以降は，要件を満たすための本システムの構成についされて表示される．このとき，回答を行う端末に対して述べる．て，端末番号配信サーバから一意な端末番号とトークンが割り振られる．端末番号は質問票上で公開され，投票状況の監視に利用する．トークンとは，ランダムな文字列であり，回答と紐付けられて仮名性を満たす

段階での回答の管理に利用する．回答者が質問票画面で回答を作成して投票を実行することで，回答内容がサーバへ送信される．同時に，端末番号が投票状況監視画面に送られて，投票が完了したことが通知される．各回答者の回答内容はサーバの DB に保存さ開始・終了
ボタン
投票済みの端末の端末数
投票状況

アンケートのタイトルれる．投票状況監視画面で，全ての回答者の投票が終わったことを確認した時点で集計を行い，結果表示画面上に表示することができる．

投票済みの端末番号

3. 3 公平性と匿名性の確保
本システムにおいて公平性および匿名性を高める

図2

投票状況監視画面ための手法について説明する．本システムでは，投票時に投票済みの端末をリアルタイムに確認可能とラインド化されたトークン t0u としており，結託の問することによって公平性を保つ．また，回答者が使用題を回避している．

する端末をアンケート実施者からランダムに配布し，回答者 u が使用する端末 du は，アンケート実施者端末を管理することで，匿名性を高めることを目指しからランダムに配布されたものであるため，回答者 uている．以降，具体的な手法を示す．と端末 du は紐付け不可能である．よって，集計サー

回答者 u が使用する端末 du には，端末番号配信

バ sc が端末の情報を含んだ < du , tu , au > の組を保サーバ sd から一意な端末番号 nu が割り振られる．

持している場合でも，回答者 u と回答 au の紐付けをクライアントは，トークン tu を発行し，乱数 r を掛不可能としている．

けてブラインド化されたトークン t0u を端末番号配信

本システムでは，投票状況監視画面で投票済みの端サーバ sd へ送信する．端末番号配信サーバ sd は，ブ末数を公開することで，多重投票や未回答者の発見をラインド化されたトークン t0u に対して署名を行う．

支援し，回答者の公平性を確保する．投票状況監視画

端末番号配信サーバ sd 上では，< du , nu , t0u > の組

面を図 2 に示す．画面上部にはアンケートのタイトルを保持する．

が表示される．左上の開始ボタンを押すことで，投票クライアント上では < u, du , nu , tu > の組が保持を受け付ける状態にすることができる．画面中央の端される．端末番号 nu は，投票状況を監視するために末番号の一覧により，端末の投票状況を監視すること使われる ID で，公開される．トークン tu は回答 auができる．受け付け状態のときに，回答者が投票を行と紐付けられ，< tu , au > のペアが集計サーバ sc にうと，投票に使用された端末の端末番号の色が変化す送られる．各回答に紐付けられたトークンが一致する

る．投票済みの端末数をリアルタイムに画面左上にかどうかを確認することで，回答者が同一であるか表示する．終了ボタンを押すことで投票を締め切り，どうかの判定が可能になる．端末番号 nu は公開され結果確認画面へ遷移する．

るため，回答者 u と端末番号 nu は紐付けられる．ま

回答の受信タイミングと回答者の行動が観測可能

た，集計サーバ sc 上で < du , tu , au > の組を保持しである状態では，回答と回答者の紐付けが可能となているため，端末番号 nu とトークン tu が紐付けらる可能性がある．本システムにおいては，観測不可

れると，回答者 u と回答 au が紐付けられる．トーク

能性を一定のレベルで満たすように，回答者側からンを管理している端末番号配信サーバ sd と集計サーランダムな間隔でダミートラフィックを送信する．ダバ sc が結託することにより，端末番号 nu とトークミートラフィックは，入力済みの回答を自動送信する

ン tu が紐付けられる可能性がある．しかし，本シスことで実現する．自動送信は JavaScript によって行

テムでは端末番号配信サーバ sd が保持するのは，ブわれる．質問票画面において，回答者の回答状況を

3. 4 リアルタイムな質問票の更新
リアルタイムに質問票を更新する機能について説明する．本システムでは，回答者が回答中でもアンケート実施者が質問票を更新することが可能である．
以降は，リアルタイムな質問票の更新手法を示す．
アンケート実施時には，質問票を事前に準備する．
しかし，アンケートを実際に実施した際に，回答者からのフィードバックなどにより，質問票の不備が見つかることがある．従来の Web アンケートシステムでは，このような場合に質問票の修正を行うが，更新を図3

テンプレートベースでの質問票の作成必要とするため，それまでの回答内容が喪失してしまうという課題があった．本システムでは，アンケート実施中にリアルタイムに質問票を更新することを設問内容の設定
回答方式の選択
回答項目の設定可能にしている．質問票は Web 上で提供される．ブ
ラウザ上で Web コンテンツをリアルタイムに更新して共有する，Web ページリアルタイム協調編集機構
をこれまでに提案してきた [5]．Web ページリアルタ

設問の削除

イム協調編集機構は，Web コンテンツをブラウザ上で編集することを可能にし，編集したコンテンツのHTML をサーバから全クライアントへプッシュ配信することで，編集コンテンツをリアルタイムに共有する．リアルタイムな質問票の更新には，Web ページ設問の追加
図4

自由な形式での質問票の作成

リアルタイム協調編集機構のメカニズムを利用している．本システムでは，HTML ではなくアンケートにおける設問のデータをやり取りすることで，質問票の変更をリアルタイムに共有する．アンケート実施者監視し，一定数の設問に回答したことを確認すると，が，質問票の編集画面から設問の追加を行うと，追加ランダムな間隔での入力済みの回答データの自動送された設問のデータがサーバへ送られて，質問票に信を開始する．本システムの質問票では，回答者によアクセスしている全クライアントへデータがプッシュる回答内容の一時保存を可能としている．このため，配信される．データを受け取ったクライアントは，動集計サーバ側では，受信した回答が自動送信によるも的に設問を構築して追加する．また，編集画面で設問のなのか回答者の一時保存によるものなのかを確認が削除された場合には，削除された設問のシーケンスすることができず，自動送信による回答を判別するこ

番号がサーバへ送られてプッシュ配信される．クライとは困難である．しかし，ダミートラフィックを送信

アントサイドでは，受け取った番号に該当する設問をする手法では，回答者が回答の一時保存を行ったかど削除する．以上のように，リアルタイムな質問票の更うかを観測できる状況では機能しない．本研究では，新を実現している．

完全ではなく，一定のレベルで低コストに安全性を満たすことを目標としており，ダミートラフィックを送信する手法を採用している．

4 リアルタイムアンケートシステムの利用アンケート実施者は，テンプレートベースの形式と自由に設問の設定が可能な形式の 2 種類のインタフェースから質問票を作成できる．テンプレートベースの形式では，本システムが想定する利用環境に適した質問票のテンプレートを提供することで質問票の評価対象作成を支援する．図 3 に，テンプレートベースで質問票を作成するインタフェースと作成された質問票を示す．この例では，コンテストの評価を行う状況を想定したテンプレートを使用しており，任意の数の評価対象や評価項目，基準点が設定可能である．自由に設問の設定が可能な形式による，質問票作成のため評価基準

評価値のインタフェースを図 4 に示す．自由な形式のインタフェースでは，任意の数の設問を作成することがで

図5使用した質問票

き，各設問について設問内容と回答方式，回答項目が設定可能である．
作成したアンケートは，アンケート一覧ページから5 運用事例と考察アクセスすることができる．アンケート一覧ページで本システムの運用を想定し，研究室でのコンテスは，作成済みのアンケートが表示され，アンケートごト形式のイベントにおいて，22 人の参加者に本シスとの質問票画面への遷移とアンケートの編集，削除をテムを利用してもらった．回答のための端末としてス行うことができる．質問票画面では，アンケート実施レート型端末を各回答者に 1 台ずつ配布した．質問者が作成した質問票が表示され，回答の入力を行うこ

票は，コンテスト評価用テンプレートを使用して作とができる．質問票画面は，テンプレートを使用して成した．図 5 に実際に運用において使用した質問票作成されたアンケートの場合，テンプレートごとに表を示す．ただし，評価対象の名前などは伏せてある．

示や機能が異なる．例えば，コンテスト評価のテンプコンテスト評価用テンプレートでは，評価対象と評価レートでは，回答の入力のみではなく，回答途中での基準，各評価基準に対する評価値をそれぞれ任意の数一時保存や自分の評価結果を一覧で表示する機能を登録することができる．本運用では，評価対象として持っている．

15 個，評価基準として 5 つの基準を登録した．また，結果確認画面について説明する．テンプレートに各基準において 5 段階の評価値を設定した．質問票

従ったアンケートを利用した場合には，テンプレートの配信と回答の集計を行うサーバは，回答用のスレーに合わせた結果表示を行う．図 3 のように，コンテスト型端末と同じローカルネットワーク上に設置した．

トでの評価を想定したテンプレートを使用した場合

回答者は質問票上部の評価対象一覧から対象を選には，評価項目ごとの点と総合点を集計して，評価対択し，ラジオボタンにより評価値を入力する．入力し象のランキングを表示する．自由な形式のアンケート

た評価値は，評価対象ごとに質問票下部の保存ボタの場合には，設問ごとの回答方式に従った結果表示をンでサーバ上に保存する必要がある．入力された回行う．例えば，ラジオボタンやチェックボックスの場答は，クライアント上で保持され，ダミートラフィッ

合には，選択肢ごとに選ばれた数を集計して，集計数クとしてランダムな間隔での自動送信に使用される．

を表示する．また，テキストボックスなどの任意の入回答者が全ての評価対象の評価を完了すると，評価の力欄を回答方式とした場合には，入力された内容が表投票を実行することができる状態になる．投票によ示される．

り，サーバ上で一時保存されていた回答が，集計時に有効な回答として扱われるようになる．投票時には，投票状況監視画面上で回答者の投票状況をリアルタイムに確認する．

本運用における質問票のインタフェースでは，評価性と匿名性を挙げ，これらを低コストに一定のレベル対象の選択から評価値の入力，一時保存，投票までをで満たすことを本システムの目標とした．投票状況を全て同じ操作で実行できるようにした．さらに，入力リアルタイムに確認するインタフェースを提供し，多済みの回答を用いたランダム間隔の自動送信により，重回答の発見を支援することで，回答者の公平性を一観測不可能性を高めている．本運用においても，回答定のレベルで確保した．また，アンケート実施者が端者を観測可能な状況において，回答を送信したタイミ末を配布するというアンケートモデルと，ダミートラングを確認することが困難であることを確認した．

フィックで観測不可能性を満たすことで，匿名性につ本システムでは，投票状況監視画面を利用し，人間いても一定のレベルで実現した．高コストな装置や処による監視で多重回答を防止している．本手法は多重理を必要とせず，シンプルにアンケートシステムの要回答を事前に防ぐことはできない．端末上で複数立ち件を満たす本方式は，今後のリアルタイムアンケート上げたブラウザを，クライアントとすることで多重回というモデルの実用化に貢献するものと考えられる．

答が可能である．しかし，投票状況監視画面上で投票済みの端末の端末番号を確認することにより，本運用

参 考 文 献のようなユースケースにおいては多重回答を発見す[ 1 ] 横川典子，菊池浩明，村井純 : 電子匿名アンケー
ト機構の設計と実装，情報処理学会研究報告，1996，
pp. 73–78．
[ 2 ] 中里純二，藤本賢司，菊池浩明 : 個人情報漏洩を防止する Web アンケートのセキュリティ強化，情報処理学会論文誌，2005，pp. 2068–2077．
[ 3 ] Yuichi Goto and Jingde Cheng : Information Assurance, Privacy, and Security in Ubiquitous Questionnaire, Proc. of Frontier of Computer Science andTechnology(2009), pp. 619–624.
[ 4 ] Keita Emura, Atsuko Miyaji and Kazumasa
Omote : A Dynamic Attribute-Based Group Signature Scheme and its Application in an Anonymous
Survey for the Collection of Attribute Statistics,
Proc. of Availability, Reliability and Security(2009),
pp. 487–492.
[ 5 ] Ryota Inoue, Shun Shiramatsu, Tadachika
Ozono and Toramatsu Shintani : A Real-Time
Collabora- tive Mechanism for Editing a Web Page
and its Appli- cations, Proc. of International Symposium on Parallel Architectures, Algorithms andProgramming(2012), pp. 186–193.
[ 6 ] 真野 健 : 匿名性・プライバシーの工学的定式化とその学際的応用，電子情報通信学会誌，2011，pp. 788–794．
[ 7 ] Tlizabeth A. Tuleja, Linda Beamer, Cass Shumand Elisa K.Y. Chan : Designing and Developing
Questionnaires for Translation Tutorial, Proc. ofIEEE Transactions on
Professional Communication(2011), pp. 392–405.
[ 8 ] Alessia Sarica, Pietro H. Guzzi, DomenicoFlotta, Carmelo GA. Nobile and Mario Cnnataro: SySQ: a Web-based System for Survey andQuestionnaire Management in Medicine, Proc. ofComputer-Based Medical Systems(2012), pp. 1–6.

ることが可能であり，不正が行われたアンケートのやり直しの判断を支援している．本システムにおいて，端末番号とトークンのペアを保持している機構が存在しないため，多重回答に使用されたクライアントを確認し，不正な回答者を発見することができない．
よって，不正な回答者によって多重回答が繰り返された場合には，アンケートが終了しない可能性がある．
本課題を解決するためには，パスワード発行による認証機構を導入することなどが考えられるが，本システ
ムにおける認証機構の検討は今後の課題とする．

6 まとめ
本研究では，回答者の公平性と匿名性を考慮したリアルタイムアンケートシステムを提案した．本システ
ムにおけるリアルタイム性とは，結果の集計と表示が即時に行われるアンケートモデルにおいて，リアルタイムな投票状況の確認と質問票の更新を可能にすることを指す．回答に使用する端末に対して端末番号を割り振り，投票済みの端末の端末番号を表示するインタフェースを実現した．また，提案済みの Web コンテンツのためのリアルタイム協調編集機構に基づき，Web 上で提供される質問票のリアルタイムな更新を実現した．
アンケートシステムが満たすべき要件として，公平