"複数の第1外部装置と、第2外部装置と、第3外部装置と、第4外部装置と、に接続される情報処理装置であって、複数の前記第1外部装置は、需要家ごとの電力利用の予定情報を記憶し、記憶した前記予定情報を変換した変換情報を前記第2外部装置に送信するとともに、前記変換情報と前記予定情報との差分である差分情報を前記第3外部装置に送信するものであり、前記第2外部装置は、複数の調整規則に従って各々調整した複数の前記変換情報の総和である統合変換情報を前記第4外部装置に送信するものであり、前記第3外部装置は、複数の前記調整規則に従って各々調整した複数の前記差分情報の総和である統合差分情報を前記第4外部装置に送信するものであり、前記第4外部装置は、前記統合変換情報と前記統合差分情報との差分である統合予定情報が所定の条件を満たしているか否かを判定するものであり、複数の前記第1外部装置から、前記予定情報の調整可能な範囲を示す調整限界情報を受信する第1受信部と、前記調整限界情報に基づいて、複数の前記予定情報に対して個別に適用される複数の前記調整規則を決定する決定部と、決定した複数の前記調整規則を前記第2外部装置および前記第3外部装置に送信する第1送信部と、前記第4外部装置から、前記判定の結果を表す判定情報を受信する第2受信部と、前記統合予定情報が前記条件を満たすことを表す前記判定情報を受信した場合に、前記第2外部装置および前記第3外部装置に送信した複数の前記調整規則を、複数の前記第1外部装置に送信する第2送信部と、を備え、前記決定部は、前記統合予定情報が前記条件を満たしていないことを表す前記判定情報を受信した場合に、複数の前記調整規則の少なくとも一つを変更し、前記第1送信部は、前記決定部が複数の前記調整規則の少なくとも一つを変更した場合に、変更した前記調整規則を含む新たな複数の前記調整規則を前記第2外部装置および前記第3外部装置に送信すること、を特徴とする情報処理装置。前記決定部は、前記統合予定情報が前記条件を満たしていないことを表す前記判定情報を受信した場合に、複数の前記調整規則の少なくとも一つを、前記調整限界情報で示される調整可能な範囲内で前記予定情報の調整量が増加するように変更すること、を特徴とする請求項1に記載の情報処理装置。前記決定部は、乱数を用いて、前記調整量の増加度合いを決定することを特徴とする請求項2に記載の情報処理装置。前記決定部は、乱数を用いて、複数の前記調整規則のうちで変更する前記調整規則を決定することを特徴とする請求項2または3に記載の情報処理装置。前記予定情報は、時間帯ごとに予定される電力利用量を表し、前記調整規則は、一の時間帯に予定される電力利用量を他の時間帯にシフトさせるシフト調整と、2つの時間帯の間に電力利用量がゼロとなる時間帯を挿入するインターバル調整とのいずれかまたは双方の組み合わせであることを特徴とする請求項1~4のいずれか一項に記載の情報処理装置。前記変換情報は、予め定められた変換規則で前記予定情報を変換した情報であり、前記変換規則は、複数の前記予定情報それぞれを変換した複数の前記変換情報の総和と、複数の前記予定情報の総和を変換した前記変換情報とが一致する規則であること、を特徴とする請求項1に記載の情報処理装置。前記変換情報は、前記予定情報を加法準同型関数により暗号化した情報であることを特徴とする請求項6に記載の情報処理装置。複数の第1情報処理装置と、複数の前記第1情報処理装置に接続される第2情報処理装置と、複数の前記第1情報処理装置に接続される第3情報処理装置と、前記第2情報処理装置および前記第3情報処理装置と接続される第4情報処理装置と、前記第1情報処理装置、前記第2情報処理装置、前記第3情報処理装置および前記第4情報処理装置と接続される第5情報処理装置と、を備える電力利用調整システムであって、前記第1情報処理装置は、需要家ごとの電力利用の予定情報を記憶する記憶部と、前記予定情報を変換した変換情報を前記第2情報処理装置に送信する変換情報送信部と、前記変換情報と前記予定情報との差分を表す差分情報を前記第3情報処理装置に送信する差分情報送信部と、前記予定情報の調整可能な範囲を示す調整限界情報を前記第5情報処理装置に送信する調整限界情報送信部と、前記第5情報処理装置から、記憶する前記予定情報に対する調整の結果を表す調整情報を受信する調整情報受信部と、を有し、前記第2情報処理装置は、複数の前記第1情報処理装置から、複数の前記変換情報を受信する変換情報受信部と、前記第5情報処理装置から、複数の前記予定情報に対して個別に適用される複数の調整規則を受信する第1調整規則受信部と、受信した複数の前記調整規則に従って各々調整した複数の前記変換情報の総和である統合変換情報を前記第4情報処理装置に送信する統合変換情報送信部と、を有し、前記第3情報処理装置は、複数の前記第1情報処理装置から、複数の前記差分情報を受信する差分情報受信部と、前記第5情報処理装置から複数の前記調整規則を受信する第2調整規則受信部と、受信した複数の前記調整規則に従って各々調整した複数の前記差分情報の総和である統合差分情報を前記第4情報処理装置に送信する統合差分情報送信部と、を有し、前記第4情報処理装置は、前記第2情報処理装置から、前記統合変換情報を受信する統合変換情報受信部と、前記第3情報処理装置から、前記統合差分情報を受信する統合差分情報受信部と、前記統合変換情報と前記統合差分情報との差分である統合予定情報が所定の条件を満たしているか否かを判定する判定部と、前記判定の結果を表す判定情報を前記第5情報処理装置に送信する判定情報送信部と、を有し、前記第5情報処理装置は、複数の前記第1情報処理装置から、前記調整限界情報を受信する調整限界情報受信部と、前記調整限界情報に基づいて複数の前記調整規則を決定する決定部と、決定した複数の前記調整規則を前記第2情報処理装置および前記第3情報処理装置に送信する調整規則送信部と、前記第4情報処理装置から、前記判定情報を受信する判定情報受信部と、前記統合予定情報が前記条件を満たすことを表す前記判定情報を受信した場合に、前記第2情報処理装置および前記第3情報処理装置に送信した複数の前記調整規則を前記調整情報として、複数の前記第1情報処理装置に送信する調整情報送信部と、を有し、前記決定部は、前記統合予定情報が前記条件を満たしていないことを表す前記判定情報を受信した場合に、複数の前記調整規則の少なくとも一つを変更し、前記調整規則送信部は、前記決定部が複数の前記調整規則の少なくとも一つを変更した場合に、変更した前記調整規則を含む新たな複数の前記調整規則を前記第2情報処理装置および前記第3情報処理装置に送信すること、を特徴とする電力利用調整システム。複数の第1外部装置に接続された第2外部装置、第3外部装置、および第4外部装置に接続される情報処理装置であって、複数の前記第1外部装置は、需要家ごとの電力利用の予定情報を記憶し、記憶した前記予定情報を変換した変換情報を前記第2外部装置に送信するとともに、前記変換情報と前記予定情報との差分である差分情報を前記第3外部装置に送信するものであり、前記第2外部装置は、複数の調整規則に従って各々調整した複数の前記変換情報の総和である統合変換情報を前記情報処理装置に送信するものであり、前記第3外部装置は、複数の前記調整規則に従って各々調整した複数の前記差分情報の総和である統合差分情報を前記情報処理装置に送信するものであり、前記第4外部装置は、前記予定情報の調整可能な範囲を示す調整限界情報に基づいて、複数の前記予定情報に対して個別に適用される複数の前記調整規則を決定し、決定した複数の前記調整規則を前記第2外部装置および前記第3外部装置に送信するものであり、前記第2外部装置から前記統合変換情報を受信する第1受信部と、前記第3外部装置から前記統合差分情報を受信する第2受信部と、前記統合変換情報と前記統合差分情報との差分である統合予定情報が所定の条件を満たしているか否かを判定する判定部と、前記判定の結果を表す判定情報を前記第4外部装置に送信する判定情報送信部と、を備えることを特徴とする情報処理装置。本発明が解決しようとする課題は、需要家のプライバシーを保護しつつ、電力利用の調整を行うことが可能な情報処理装置および電力利用調整システムを提供することである。実施形態の情報処理装置は、複数の第1外部装置と、第2外部装置と、第3外部装置と、第4外部装置と、に接続される。複数の前記第1外部装置は、需要家ごとの電力利用の予定情報を記憶し、記憶した前記予定情報を変換した変換情報を前記第2外部装置に送信するとともに、前記変換情報と前記予定情報との差分である差分情報を前記第3外部装置に送信するものである。前記第2外部装置は、複数の調整規則に従って各々調整した複数の前記変換情報の総和である統合変換情報を前記第4外部装置に送信するものである。前記第3外部装置は、複数の前記調整規則に従って各々調整した複数の前記差分情報の総和である統合差分情報を前記第4外部装置に送信するものである。前記第4外部装置は、前記統合変換情報と前記統合差分情報との差分である統合予定情報が所定の条件を満たしているか否かを判定するものである。本実施形態の情報処理装置は、第1受信部と、決定部と、第1送信部と、第2受信部と、第2送信部と、を備える。前記第1受信部は、複数の前記第1外部装置から、前記予定情報の調整可能な範囲を示す調整限界情報を受信する。前記決定部は、前記調整限界情報に基づいて、複数の前記予定情報に対して個別に適用される複数の前記調整規則を決定する。前記第1送信部は、決定した複数の前記調整規則を前記第2外部装置および前記第3外部装置に送信する。前記第2受信部は、前記第4外部装置から、前記判定の結果を表す判定情報を受信する。前記第2送信部は、前記統合予定情報が前記条件を満たすことを表す前記判定情報を受信した場合に、前記第2外部装置および前記第3外部装置に送信した複数の前記調整規則を、複数の前記第1外部装置に送信する。前記決定部は、前記統合予定情報が前記条件を満たしていないことを表す前記判定情報を受信した場合に、複数の前記調整規則の少なくとも一つを変更する。前記第1送信部は、前記決定部が複数の前記調整規則の少なくとも一つを変更した場合に、変更した前記調整規則を含む新たな複数の前記調整規則を前記第2外部装置および前記第3外部装置に送信する。[電力利用調整システムの概要]まず、本実施形態にかかる電力利用調整システムの概要について説明する。本実施形態にかかる電力利用調整システムは、電力の供給に関わる事業を展開するユーティリティ事業者が、当該ユーティリティ事業者との間で契約を結んだ需要家に対して、電力利用の制限を受け入れることを要請し、その要請に従うようなインセンティブを需要家に与えることで、デマンドレスポンスを実現するシステムである。本実施形態にかかる電力利用調整システムは、ユーティリティ事業者との間で契約を結んだ複数の需要家が利用する。これら複数の需要家は、需要家サーバを直接的に使用する。需要家サーバは、需要家ごとに設けられ、各需要家が予定している時間帯ごとの電力利用量を表す予定情報を記憶する。需要家が電力利用調整システムを利用する場合、当該需要家に対応する需要家サーバが、ユーティリティ事業者が管理するサーバ以下、電力利用調整サーバという。に対して予定情報を送信する。電力利用調整サーバは、各需要家サーバからの予定情報を収集し、電力供給を行う設備への負担が少なくなるように少なくとも一部の予定情報を調整アレンジし、調整を行った予定情報の送信元である需要家サーバに対して、調整の結果を表す調整情報を送信する。電力利用調整サーバが需要家サーバに送信する調整情報は、電力利用について、ある時間帯で予定されている電力利用量を他の時間帯に移動させるような電力利用時間の変更を依頼する情報を含んでいる。図1は、本実施形態にかかる電力利用調整システムにおいて、需要家サーバから電力利用調整サーバに送信される予定情報の一例を説明する説明図である。予定情報は、一例として、図1に示すように、単位時間ごとの電力利用量がグラフ形式で表現される情報である。図1における横軸は時間帯を表す時間枠で区切った時刻を表し、縦軸は各時間枠における電力利用量を表している。この図1に例示する予定情報は、各時間枠において矩形ブロックの個数分だけの電力を利用する予定であることを示している。なお、予定情報の起算点図1の横軸の開始点や時間枠の大きさ、時間枠の数、一ブロックに相当する電力量、予定情報を送信するタイミングなどは、電力利用調整システムで統一したルールを予め定めておけばよい。また、そのルールを月ごと、季節ごとなどといった所定期間ごとに随時変更することも可能である。各需要家サーバは、上記のルールに従って、予め定められたタイミングで予め定められた期間についての予定情報を送信する。電力利用調整サーバは、複数の需要家サーバから収集した予定情報を統合して、時間枠ごとの電力利用量の総和を求める。また、電力利用調整サーバは、例えば、電力供給設備の監視や制御を行うグリッド監視制御装置などから、時間帯ごとの供給可能な電力量の分布を表す供給電力情報を取得する。そして、電力利用調整サーバは、例えば、電力利用量の総和が供給可能な電力量を超える時間枠、あるいは、電力利用量の総和が時間枠ごとに設定した目標値に対して大きく乖離している時間枠があれば、少なくとも一部の予定情報を調整することによって、その時間枠で予定されている一部の電力利用量を他の時間枠に移動させて、電力供給設備の負担を軽減させる。そして、電力利用調整サーバは、この調整の結果を表す調整情報を、調整を行った予定情報の送信元である需要家サーバに送信し、調整結果の受け入れを要請する。本実施形態にかかる電力利用調整システムは、以下のような従来にない特徴を持つ。すなわち、従来のデマンドレスポンスを実現するシステムでは、需要家側に対してある時間帯での電力利用の制限のみを要請するのに対して、本実施形態にかかる電力利用調整システムでは、需要家に対して、複数の時点において相補的に電力利用を調整することを要請するものとなっている。つまり、本実施形態にかかる電力利用調整システムは、需要家の電力利用をある時間帯で制限した場合、その制限される電力量を他の時間帯での電力供給により補完するシステムとなっている。具体的には、例えば、ある需要家サーバから送信された予定情報に対して、電力利用調整サーバが、ある時間枠における電力利用量を50W減らすような調整を行う場合、これと同時に、別の時間枠における電力利用量を50W増やす調整を行う。つまり、電力利用調整サーバは、ある時間枠における50Wの電力利用量を別の時間枠に移動させる調整を行う。そして、この予定情報を送信した需要家サーバに対して、ある時間枠における50Wの電力利用量を他の時間枠に移動させる調整の受け入れ要請を含む調整情報を送信する。なお、別の時間枠における電力利用量の補完は必ずしも完全な補完でなくてもよく、ある時間枠において制限した電力利用量の一部を別の時間枠において補完するようにしてもよい。ユーティリティ事業者との間で契約を結んだ需要家は、電力利用調整サーバによる調整結果を受け入れることでインセンティブが与えられるため、多くの場合、この調整結果を受け入れることになる。ここで、需要家に対してインセンティブを与える方法としては様々なものが考えられるが、本実施形態では、電気料金を低額にするようなインセンティブを想定する。図2は、本実施形態で想定している電気利用状況を模式的に示す概念図である。ユーティリティ事業者との間で契約を結んだ需要家に対しては、普通電力と特殊電力との2種類の電力を供給する。普通電力は、特段の手続きを必要とせず、電気機器をコンセントに接続すれば供給される電力である。一方、特殊電力は、電気機器を需要家サーバに接続した上でコンセントに接続することで供給される電力、あるいは、需要家サーバに接続されたコンセントに電気機器を接続することで供給される電力である。特殊電力は普通電力に比べて利用料金が低額であるが、電力利用調整サーバからの要請に従って利用が制限される。つまり、電力利用調整サーバから送信された調整情報に従って需要家サーバが供給を制限する電力が、特殊電力である。この特殊電力を利用する場合は、普通電力を利用する場合に比べて利便性が低下する。このような利便性の低下の代償として、特殊電力は低額な利用料金で利用することができる。なお、上記のように利用が制限される特殊電力の利用料金を低額にすること以外にも、例えば、特殊電力を利用する電気機器の購入代金を低額にするといった方法も考えられる。電力利用調整サーバは、各需要家サーバから送信される予定情報に対して、契約によって定められた延長倍率契約倍率または延長幅契約幅の範囲内で、電力利用量のシフト調整やインターバル調整を行うことが可能である。シフト調整とは、ある時間枠に予定される電力利用量を他の時間枠にシフトさせる調整方法である。インターバル調整とは、2つの時間枠の間に電力利用量がゼロとなる時間枠を挿入する調整方法である。また、延長倍率や延長幅は、予定情報における電力利用量の移動量を表す指標であり、延長倍率nは、時間枠kにおける電気利用量を、最大で時間枠k×nまで移動させ得ることを意味し、延長幅nは、時間枠kにおける電気利用量を、最大で時間枠knまで移動させ得ることを意味する。例えば、図1に示す予定情報に対して右1シフトを行うと、図3aに示す調整結果が得られる。また、図1に示す予定情報に対して1インターバルを行うと、図3bに示す調整結果が得られる。電力利用調整サーバは、需要家との間の契約によって定められた延長倍率契約倍率または延長幅契約幅の範囲内で、上記のシフト調整とインターバル調整とのいずれかまたは双方の組み合わせにより、予定情報に適用する調整規則を定めて、当該調整規則に従って予定情報の調整を行う。一般的に、上記の特殊電力の利用料金は延長倍率または延長幅に応じて定められ、延長倍率または延長幅が大きいほど特殊電力の利用料金が低額となる。そして、延長倍率や延長幅は、契約倍率や契約幅まで増加させ得る。[プライバシー保護の必要性]以上説明したように、本実施形態にかかる電力利用調整システムでは、電力利用調整サーバが、複数の需要家サーバから予定情報を収集して調整を行う。ここで、電力利用調整サーバが収集する予定情報は各需要家の生活パターンなどを推察できる情報であるため、電力利用調整サーバに対する攻撃などによって予定情報そのものが流出する可能性があると、各需要家のプライバシーの侵害に繋がる。このような課題に対して、本実施形態にかかる電力利用調整システムでは、仮に電力利用調整サーバに対して攻撃が加えられたとしても、予定情報そのものが電力利用調整サーバから流出しないようにしておくことで、需要家のプライバシー保護を図る仕組みを取り入れている。この仕組みを簡単に説明すると、まず、電力利用調整サーバの機能を4つに分離し、分離した個々の機能を、物理的に独立した構成の4つのサーバに分散させる。そして、各需要家管理サーバは、予定情報を変換した変換情報と、この変換情報と元の予定情報との差分である差分情報とを、4つのサーバのうちの2つのサーバに各々送信する。ここで、各需要家サーバは、例えば、マスクによる暗号化によって予定情報を変換する。以下では、マスクによる暗号化によって予定情報を変換することで得られる変換情報を暗号文情報といい、暗号文情報と元の予定情報との差分である差分情報をマスク情報という。また、各需要家サーバから暗号文情報を受信するサーバを暗号文サーバといい、各需要家サーバからマスク情報を受信するサーバをマスクサーバという。また、上記の4つのサーバのうちの一つは、電力利用調整システムを利用する各需要家の予定情報に対して個別に適用する複数の調整規則を決定する機能を持つ。また、上記の4つのサーバのうちの一つは、調整後の複数の予定情報を統合した統合予定情報が、上述した供給電力情報などに基づいて定められる所定の制御条件を満たしているか否かを判定する機能を持つ。以下では、調整規則を決定する規則を持つサーバを規則サーバといい、統合予定情報が制御条件を満たしているか否かを判定する機能を持つサーバを判定サーバという。規則サーバは、暗号文サーバとマスクサーバとに、複数の予定情報のそれぞれに対応した複数の調整規則を送信する。暗号文サーバは、複数の需要家サーバから受信した複数の暗号文情報に対して個別の調整規則を各々適用し、調整後の暗号文情報の総和である統合暗号文情報を判定サーバに送信する。マスクサーバは、複数の需要家サーバから受信した複数のマスク情報に対して個別の調整規則を各々適用し、調整後のマスク情報の総和である統合マスク情報を判定サーバに送信する。なお、一つの予定情報を元に生成される暗号文情報とマスク情報に対しては、元の予定情報に対応する同じ調整規則が適用される。判定サーバは、暗号文サーバから受信した統合暗号文情報とマスクサーバから受信した統合マスク情報との差分である統合予定情報個別の調整規則が適用された複数の予定情報を統合した情報に相当を生成し、生成した統合予定情報が所定の制御条件を満たすか否かを判定して、判定の結果を表す判定情報を規則サーバに送信する。規則サーバは、判定サーバからの判定情報が判定NGの場合統合予定情報が制御条件を満たさない場合は、複数の調整規則の少なくとも一つを変更して変更後の調整規則を含む新たな複数の調整規則を暗号文サーバおよびマスクサーバに送信する。その結果、新たな複数の調整規則に基づく暗号文サーバ、マスクサーバおよび判定サーバの処理が繰り返される。一方、規則サーバは、判定サーバからの判定情報が判定OKの場合統合予定情報が制御条件を満たす場合は、複数の予定情報に対して各々適用された調整規則最終的に暗号文サーバやマスクサーバに送信した調整規則を調整情報として、対応する需要家サーバにそれぞれ送信する。調整情報を受信した各需要家サーバは、受信した調整情報に従った特殊電力の供給制御を実行する。以下、このようなプライバシー保護のための仕組みを中心に、本実施形態にかかる電力利用調整システムの具体例について、さらに詳しく説明する。[電力利用調整システムの具体的な構成例]図4は、本実施形態にかかる電力利用調整システムの一構成例を示す構成図である。本実施形態にかかる電力利用調整システムは、図4に示すように、複数の需要家サーバ10と、暗号文サーバ20と、マスクサーバ30と、判定サーバ40と、規則サーバ50とが、通信ネットワーク60を介して通信可能に接続された構成である。通信ネットワーク60は、例えば、LANLocalAreaNetwork、イントラネット、イーサネット登録商標またはインターネットなどである。暗号文サーバ20、マスクサーバ30、判定サーバ40、および規則サーバ50は、例えば、装置全体の制御や基本演算を実行するCPUCentralProcessingUnitなどの制御部と、RAMRandomAccessMemoryなどの主記憶部と、各種データや各種プログラムを記憶するROMReadOnlyMemory、HDDHardDiskDriveやCDCompactDiscドライブ装置などの補助記憶部と、これらを接続するバスとを備えており、通常のコンピュータを利用したハードウェア構成となっている。また、暗号文サーバ20、マスクサーバ30、判定サーバ40、および規則サーバ50は、通信ネットワーク60を介して通信を行う通信I/FInterfaceをさらに備える。需要家サーバ10は、装置全体を制御するCPUCentralProcessingUnitなどの制御部と、RAMRandomAccessMemoryなどの主記憶部と、各種データや各種プログラムを記憶する各種データや各種プログラムを記憶するROMReadOnlyMemory、不揮発性メモリ等の補助記憶部と、これらを接続するバスとを備えており、専用ハードウェアあるいは組み込み機器と同様の構成となっている。また、需要家サーバ10は、通信ネットワーク60を介して通信を行う通信I/FInterfaceをさらに備える。また、需要家サーバ10には、各種情報を表示する表示装置と、需要家による操作入力を受け付ける操作ボタンやキーボードなどの入力装置とが接続される。図5は、本実施形態にかかる電力利用調整システムにおける情報の流れを説明する説明図である。なお、図5においては、図示を簡略化するために一つの需要家サーバ10のみを代表して図示しているが、実際には複数の需要家サーバ10が存在し、各需要家サーバ10が図5に示すような情報のやりとりを行う。本実施形態にかかる電力利用調整システムでは、例えば、以下の1~8の順番でサーバ間での情報の送受信が行われる。1複数の需要家サーバ10から規則サーバ50に対して、各需要家サーバ10が記憶する予定情報の調整可能な範囲を示す調整限界情報上述した契約倍率または契約幅の情報が送られる。2複数の需要家サーバ10から暗号文サーバ20に対して、暗号文情報が送られる。3複数の需要家サーバ10からマスクサーバ30に対して、マスク情報が送られる。4規則サーバ50から暗号文サーバ20およびマスクサーバ30に対して、複数の調整規則が送られる。5暗号文サーバ20から判定サーバ40に対して、統合暗号文情報が送られる。6マスクサーバ30から判定サーバ40に対して、統合マスク情報が送られる。7判定サーバ40から規則サーバ50に対して、統合予定情報が制御条件を満たしているか否かの判定結果を表す判定情報が送られる。ここで、統合予定情報が制御条件を満たしていないことを表す判定情報が送られた場合は上記4~7が繰り返され、統合予定情報が制御条件を満たすことを表す判定情報が送られた場合に8に進む。8規則サーバ50から複数の需要家サーバ10に対して、予定情報に対する調整の結果を表す調整情報が送られる。複数の需要家サーバ10に送られる調整情報は、4で暗号文サーバ20およびマスクサーバ30に送られた調整規則である。なお、上記1の調整限界情報は、必ずしも電力利用調整システムにおける利用情報の調整を行うたびに需要家サーバ10から規則サーバ50に送る必要はなく、例えば、電力利用調整システムに新たに加入する需要家サーバ10から規則サーバ50に対して調整限界情報を送り、規則サーバ50が各需要家サーバ10ごとの調整限界情報を記憶しておくようにしてもよい。また、上記2~4の順番が入れ替わってもよいし、上記5と6との順番が入れ替わってもよい。また、上記7では、判定サーバ40から規則サーバ50のみに判定情報が送られるようになっているが、統合予定情報が制御条件を満たしていない場合には、統合予定情報が制御条件を満たしていないことを表す判定情報を、暗号文サーバ20とマスクサーバ30に対しても送るようにしてもよい。この場合、暗号文サーバ20とマスクサーバ30は、規則サーバ50から新たな調整規則が送られてくる前に、暗号文情報やマスク情報に対して新たな調整規則を適用するための前処理を進めることができるので、処理の高速化を図ることができる。図6は、需要家サーバ10において実現される機能構成の一例を示す機能ブロック図である。需要家サーバ10は、図6に示すように、予定情報生成部11、予定情報記憶部12、暗号化部13、暗号文情報送信部14、マスク情報送信部15、調整限界情報送信部16、調整情報受信部17および電力供給制御部18を備える。また、需要家サーバ10には、入力装置10aおよび表示装置10bが接続されている。予定情報生成部11、予定情報記憶部12、暗号化部13および電力供給制御部18の機能は、例えば、上記のCPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行することにより実現される。また、暗号文情報送信部14、マスク情報送信部15、調整限界情報送信部16および調整情報受信部17の機能は、例えば、CPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行して通信I/Fの動作を制御することにより実現される。予定情報生成部11は、入力装置10aを利用した需要家による操作入力に応じて、需要家が予定している時間帯ごとの電力利用量を表す予定情報図1に例示した時間枠ごとの電力利用量がグラフ形式で表現される情報を生成する。なお、ここでは、需要家が入力装置10aを用いて電力利用の予定を直接入力する場合を想定しているが、過去に利用した時間帯ごとの電力利用量の実績を履歴データとして保存しておき、この履歴データに基づいて将来の電力利用を予測して予定情報を生成するようにしてもよい。予定情報記憶部12は、予定情報生成部11が生成した予定情報を記憶する。暗号化部13は、予定情報記憶部12が記憶している予定情報を暗号化して暗号文情報を生成する。この暗号化部13により生成される暗号文情報は、マスクとして機能する情報マスク情報により元の予定情報を変換した情報である。ここで、マスク情報は、暗号文情報と元の予定情報との差分を表し、暗号文情報とマスク情報との差分をとることで、元の予定情報を復元できる。この暗号化部13による暗号化の一例としては、後述の加法準同型関数を用いた暗号化が挙げられる。暗号文情報送信部14は、暗号化部13により生成された暗号文情報を、通信ネットワーク60を介して暗号文サーバ20に送信する。このとき、暗号文情報送信部14は、例えば需要家サーバ10に固有の情報など、暗号文サーバ20において受信した暗号文情報を識別するための情報を、暗号文情報とともに暗号文サーバ20に送信することが望ましい。マスク情報送信部15は、暗号化部13により生成された暗号文情報と元の予定情報との差分であるマスク情報を、通信ネットワーク60を介してマスクサーバ30に送信する。このとき、マスク情報送信部15は、例えば需要家サーバ10に固有の情報など、マスクサーバ30において受信したマスク情報を識別するための情報を、マスク情報とともにマスクサーバ30に送信することが望ましい。調整限界情報送信部16は、契約によって定められた契約倍率または契約幅の情報を、予定情報の調整可能な範囲を示す調整限界情報として、通信ネットワーク60を介して規則サーバ50に送信する。このとき、調整限界情報送信部16は、例えば需要家サーバ10に固有の情報など、規則サーバ50において受信した調整限界情報を識別するための情報を、調整限界情報とともに規則サーバ50に送信することが望ましい。調整情報受信部17は、規則サーバ50から通信ネットワーク60を介して送信された調整情報を受信する。規則サーバ50から送信された調整情報は、上述したように、予定情報記憶部12が記憶する予定情報に対して適用された調整規則を表し、ある時間枠で予定されている電力利用量を他の時間枠に移動させるような電力利用時間の変更を依頼する情報を含んでいる。電力供給制御部18は、調整情報受信部17が受信した調整情報に従って、上述した特殊電力の供給を制御する。このとき、元の予定情報に対してどのように調整が行われたかを需要家が認識できるように、調整後の予定情報をグラフ形式で表示装置10bに表示することが望ましい。図7は、暗号文サーバ20において実現される機能構成の一例を示す機能ブロック図である。暗号文サーバ20は、図7に示すように、暗号文情報受信部21、調整規則受信部22、統合暗号文情報生成部23および統合暗号文情報送信部24を備える。統合暗号文情報生成部23の機能は、例えば、上記のCPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行することにより実現される。また、暗号文情報受信部21、調整規則受信部22および統合暗号文情報送信部24の機能は、例えば、CPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行して通信I/Fの動作を制御することにより実現される。暗号文情報受信部21は、複数の需要家サーバ10から通信ネットワーク60を介して送信された暗号文情報をそれぞれ受信する。調整規則受信部22は、規則サーバ50から通信ネットワーク60を介して送信された複数の調整規則を受信する。調整規則受信部22が受信する複数の調整規則は、暗号文情報受信部21が複数の需要家サーバ10から受信した複数の暗号文情報に各々対応する。統合暗号文情報生成部23は、暗号文情報受信部21が受信した複数の暗号文情報に対して調整規則受信部22が受信した複数の調整規則を各々適用し、調整後の複数の暗号文情報を統合して、調整後の複数の暗号文情報の総和である統合暗号文情報を生成する。統合暗号文情報送信部24は、統合暗号文情報生成部23が生成した統合暗号文情報を、通信ネットワーク60を介して判定サーバ40に送信する。図8は、マスクサーバ30において実現される機能構成の一例を示す機能ブロック図である。マスクサーバ30は、図8に示すように、マスク情報受信部31、調整規則受信部32、統合マスク情報生成部33および統合マスク情報送信部34を備える。統合マスク情報生成部33の機能は、例えば、上記のCPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行することにより実現される。また、マスク情報受信部31、調整規則受信部32および統合マスク情報送信部34の機能は、例えば、CPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行して通信I/Fの動作を制御することにより実現される。マスク情報受信部31は、複数の需要家サーバ10から通信ネットワーク60を介して送信されたマスク情報をそれぞれ受信する。調整規則受信部32は、規則サーバ50から通信ネットワーク60を介して送信された複数の調整規則を受信する。調整規則受信部32が受信する複数の調整規則は、マスク情報受信部31が複数の需要家サーバ10から受信した複数のマスク情報に各々対応する。統合マスク情報生成部33は、マスク情報受信部31が受信した複数のマスク情報に対して調整規則受信部32が受信した複数の調整規則を各々適用し、調整後の複数のマスク情報を統合して、調整後の複数のマスク情報の総和である統合マスク情報を生成する。なお、個々のマスク情報に対して適用される調整規則は、マスク情報に対応する暗号文情報に対して適用される調整規則と同じものである。統合マスク情報送信部34は、統合マスク情報生成部33が生成した統合マスク情報を、通信ネットワーク60を介して判定サーバ40に送信する。図9は、判定サーバ40において実現される機能構成の一例を示す機能ブロック図である。判定サーバ40は、図9に示すように、統合暗号文情報受信部41、統合マスク情報受信部42、統合予定情報生成部43、判定部44および判定情報送信部45を備える。統合予定情報生成部43および判定部44の機能は、例えば、上記のCPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行することにより実現される。また、統合暗号文情報受信部41、統合マスク情報受信部42および判定情報送信部45の機能は、例えば、CPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行して通信I/Fの動作を制御することにより実現される。統合暗号文情報受信部41は、暗号文サーバ20から通信ネットワーク60を介して送信された統合暗号文情報を受信する。統合マスク情報受信部42は、マスクサーバ30から通信ネットワーク60を介して送信された統合マスク情報を受信する。統合予定情報生成部43は、統合暗号文情報受信部41が受信した統合暗号文情報と統合マスク情報受信部42が受信した統合マスク情報との差分である統合予定情報を生成する。統合予定情報は、個別の調整規則が各々適用された複数の予定情報を統合した情報に相当する。つまり、統合暗号文情報は、予定情報をマスク情報によって変化させた複数の暗号文情報に対して個別の調整規則を適用した結果の総和である。また、統合マスク情報は、複数の暗号文情報の生成に用いた複数のマスク情報に対して個別の調整規則を適用した結果の総和である。したがって、統合暗号文情報と統合マスク情報との差分を取れば、元の予定情報に対して調整規則を適用した結果の総和が得られる。判定部44は、統合予定情報生成部43が生成した統合予定情報が所定の制御条件を満たしているか否かを判定する。ここで、制御条件とは、電力供給設備への負担を少なくするための条件であり、上述した供給電力情報電力供給設備が供給可能な時間帯ごとの電力量の分布などに基づいて予め定められる。例えば、統合予定情報生成部43が生成した統合予定情報と供給電力情報とを照らし合わせて、電力利用量の総和が供給可能な電力量を超える時間枠が発生することが想定される場合や、電力利用量の総和が時間枠ごとに設定した目標値に対して大きく乖離している時間枠が発生することが想定される場合などに、統合予定情報が制御条件を満たしていないと判定される。判定情報送信部45は、判定部44による判定の結果を表す判定情報、つまり、統合予定情報生成部43が生成した統合予定情報が所定の制御条件を満たしているか否かを表す判定情報を、通信ネットワーク60を介して規則サーバ50に送信する。図10は、規則サーバ50において実現される機能構成の一例を示す機能ブロック図である。規則サーバ50は、図10に示すように、調整限界情報受信部51、決定部52、調整規則送信部53、判定情報受信部54、再調整判定部55および調整情報送信部56を備える。決定部52および再調整判定部55の機能は、例えば、上記のCPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行することにより実現される。また、調整限界情報受信部51、調整規則送信部53、判定情報受信部54および調整情報送信部56の機能は、例えば、CPUが主記憶部を用いて補助記憶部に記憶されたプログラムを実行して通信I/Fの動作を制御することにより実現される。調整限界情報受信部51は、複数の需要家サーバ10から通信ネットワーク60を介して送信された調整限界情報をそれぞれ受信する。決定部52は、調整限界情報受信部51が複数の需要家サーバ10からそれぞれ受信した調整限界情報に基づいて、各需要家に対応する複数の予定情報本実施形態では暗号文情報およびマスク情報に対して個別に適用する複数の調整規則を決定する。調整規則は、上述したように、シフト調整とインターバル調整とのいずれかまたは双方の組み合わせである。決定部52は、需要家サーバ10から受信した調整限界情報に基づき、各需要家の契約倍率または契約幅を超えない範囲で、時間枠ごとの電力利用量をシフト調整、インターバル調整またはこれらの組み合わせにより移動させる調整規則を決定する。また、決定部52は、後述する再調整判定部55により予定情報の再調整が必要と判定された場合には、先に決定した複数の調整規則のうちの少なくとも一つを変更し、複数の予定情報本実施形態では暗号文情報およびマスク情報に対して個別に適用する新たな複数の調整規則を決定する。なお、再調整が必要な場合に新たな調整規則を決定する方法の具体例については、詳細を後述する。調整規則送信部53は、決定部52により決定された複数の調整規則を、通信ネットワーク60を介して暗号文サーバ20およびマスクサーバ30に送信する。このとき、調整規則送信部53は、複数の調整規則のそれぞれについて、暗号文サーバ20およびマスクサーバ30が適用対象となる暗号文情報またはマスク情報を識別できるようにするために、例えば各調整規則に対応する需要家サーバ10に固有の情報などを、複数の調整規則とともに暗号文サーバ20およびマスクサーバ30に送信することが望ましい。なお、後述する再調整判定部55により予定情報の再調整が必要と判定され、決定部52が新たな複数の調整規則を決定した場合には、調整規則送信部53は、決定部52により決定された新たな複数の調整規則を、通信ネットワーク60を介して暗号文サーバ20およびマスクサーバ30に送信する。判定情報受信部54は、判定サーバ40から通信ネットワーク60を介して送信された判定情報を受信する。再調整判定部55は、判定情報受信部54が受信した判定情報に基づいて、予定情報の再調整が必要か否かを判定する。具体的には、統合予定情報が制御条件を満たすことを表す判定情報を判定情報受信部54が受信した場合、再調整判定部55は、予定情報の再調整が不要であると判定する。一方、統合予定情報が制御条件を満たさないことを表す判定情報を判定情報受信部54が受信した場合、再調整判定部55は、予定情報の再調整が必要であると判定する。調整情報送信部56は、再調整判定部55が予定情報の再調整が不要と判定した場合に、予定情報の調整の結果を表す調整情報を、通信ネットワーク60を介して複数の需要家サーバ10に送信する。ここで、各需要家サーバ10に送信される調整情報は、最終的に決定部52が決定した予定情報ごとの調整規則であり、ある時間枠で予定されている電力利用量を他の時間枠に移動させるような電力利用時間の変更を依頼する情報を含んでいる。この調整情報を受信した各需要家サーバ10は、上述したように、受信した調整情報に従って需要家に対する特殊電力の供給を制御する。決定部52は、上述したように、再調整判定部55により予定情報の再調整が必要と判定された場合に、先に決定した複数の調整規則のうちの少なくとも一つを変更して新たな複数の調整規則を決定する。ここで、決定部52が新たな複数の調整規則を決定する方法の具体例について説明する。本実施形態にかかる電力利用調整システムでは、判定サーバ40と規則サーバ50との間の秘匿性を保つために、判定サーバ40から規則サーバ50へと送られる情報を、判定部44での判定の結果を表す判定情報のみに制限している。したがって、決定部52は、新たな調整規則を決定する際に、先に決定した調整規則を適用した結果の統合予定情報が、どのような点でどの程度制御条件を満たしていないかという情報を参照せずに、新たな調整規則を決定する必要がある。そのため、ある調整規則を適用した結果の統合予定情報が制御条件を満たさない場合に、次にどの調整規則に移るかという方針を定めておく必要がある。そのような調整規則を決定するための方針として、本実施形態では、調整量が小さな調整規則から始めて徐々に調整量が大きくなる調整規則へと変更していくという方針をとる。これは、統合予定情報が徐々に制御条件を満たしやすくなる方向に、統合予定情報を構成する予定情報に対して適用する調整規則を変更していくという方針である。ただし、調整規則の推移の仕方が決定的であると、調整規則を決定する処理の繰り返し回数から現時点での調整規則が類推される虞がある。そこで、どのような調整規則から開始するか、ある調整規則を適用した結果の統合予定情報が制御条件を満たさなかった場合に、次にどの程度調整量を大きくした調整規則へと移行するか調整量の増加度合いなどを、乱数を用いて決定する。また、複数の調整規則のうちの一部のみを変更する場合は、複数の調整規則のうちのどの調整規則を変更するかについても、乱数を用いて決定するようにしてもよい。このように、新たな調整規則を決定するにあたり乱数を用いるようにすることで、規則サーバ50の決定部52が決定した調整規則を判定サーバ40で類推することが困難となり、判定サーバ40と規則サーバ50との間の秘匿性を確実に保つことができる。調整規則を決定するにあたっての乱数の使用方法としては、調整量が小さいほど確率が大きくなるような確率分布をすべての需要家に対して共通に適用し、この確率分布に基づいて各需要家の予定情報に対して適用する調整規則を決定する方法が挙げられる。また、需要家ごとに異なる確率分布を適用し、需要家ごとの確率分布に基づいて各需要家の予定情報に対して適用する調整規則を決定する方法なども考えられる。需要家ごとに異なる確率分布を適用する場合は、契約倍率または契約幅が大きい需要家に対して、調整量を優先的に増加させるように調整規則を推移させることができる。なお、決定部52は、上述したように、各需要家の契約倍率または契約幅を超えない範囲の調整量となるように、各需要家に対応する予定情報に適用する調整規則を決定する。しかし、すべての予定情報に適用する調整規則を各需要家の契約倍率または契約幅の限界の調整量になるまで変更しても、これら調整規則を適用した結果の統合予定情報が制御条件を満たさない場合も想定される。このような場合には、一部の需要家に対する特殊電力の供給を停止させる、つまり、一部の需要家に対応する予定情報を無効にして統合予定情報に含めないようにすることで、統合予定情報が制御条件を満たすようにすることが望ましい。具体的には、調整量が最大となる調整規則として供給停止を定めておく。そして、決定部52は、すべての予定情報に適用する調整規則を各需要家の契約倍率または契約幅の限界の調整量になるまで変更しても、これら調整規則を適用した結果の統合予定情報が制御条件を満たさない場合に、少なくとも一部の利用情報に適用する調整規則を供給停止に変更する。暗号文サーバ20は、ある暗号文情報に対して供給停止の調整規則を適用する場合は、統合暗号文情報の生成に際して当該暗号文情報を除外した他の暗号文情報の総和を求める。同様に、マスクサーバ30は、あるマスク情報に対して供給停止の調整規則を適用する場合は、統合マスク情報の生成に際して当該マスク情報を除外した他のマスク情報の総和を求める。そして、判定サーバ40が、供給停止の調整規則を適用した暗号文情報を含まない統合暗号文情報と、供給停止の調整規則を適用したマスク情報を含まない統合マスク情報との差分を、統合予定情報として生成し、この統合予定情報が制御条件を満たすか否かを判定する。以上のように、一部の需要家に対して特殊電力の供給を停止するようにしても、普通電力の供給は維持されるため、各需要家は、安定的な電力供給を受ける必要がある用途については、普通電力を利用すればよい。このような特殊電力の供給停止については、ユーティリティ事業者と各需要家との間の契約において、契約倍率や契約幅に関わらず特殊電力の供給停止が生じる可能性があることを特約として定めておけばよい。なお、ユーティリティ事業者は、各需要家との間の契約倍率または契約幅に基づいて、上述した制御条件を満たさない事態が極力発生しないように、電力供給設備に対する管理運営を行っている。したがって、例えば、電力供給設備に不足の事態が生じるなどの特段の事情が発生した場合を除き、多くの場合は、すべての予定情報に適用する調整規則を各需要家の契約倍率または契約幅の限界の調整量になるまで変更する前に、これら調整規則を適用した結果の統合予定情報が制御条件を満たすことになる。[プライバシー保護方式の原理]次に、本実施形態によるプライバシー保護方式の原理について、図11乃至図17を参照して説明する。ここでは、本実施形態によるプライバシー保護方式の原理を分かりやすく説明するために、2つの需要家サーバ以下、一方の需要家サーバをα、他方の需要家サーバをβと表記する。の利用情報のみを調整の対象とする場合を例に挙げて説明する。図11は、需要家サーバαが生成する暗号文情報を図1のようなグラフ形式で表したイメージ図であり、図12は、需要家サーバβが生成する暗号文情報を図1のようなグラフ形式で表したイメージ図である。図中のハッチングを付したブロックが、元の予定情報における時間枠ごとの電力利用量を表し、白抜きのブロックがマスク情報に相当する部分である。需要家サーバαが記憶する予定情報は、図11に示すように、時間枠T1,T2においてそれぞれ1ブロック分の電力利用の予定があることを示したものである。そして、この予定情報がマスク情報によってマスクされることで、時間枠T1において2ブロック分、時間枠T2において1ブロック分、時間枠T3において1ブロック分の電力利用の予定があるような、元の予定情報とは異なった内容の暗号文情報に暗号化されている。このように、マスク情報によって需要家サーバαの予定情報がマスクされることで、需要家サーバαの予定情報は秘匿化されている。需要家サーバαは、このようにマスク情報によって元の予定情報を秘匿化した暗号文情報を暗号文サーバ20に送信する。また、需要家サーバαは、暗号文サーバ20に送信した暗号文情報と元の予定情報との差分であるマスク情報をマスクサーバ30に送信する。需要家サーバαからマスクサーバ30に送信するマスク情報は、図11に示すように、時間枠T1における1ブロック分の電力利用量および時間枠T3における1ブロック分の電力利用量を表したものとなる。また、需要家サーバβが記憶する予定情報は、図12に示すように、時間枠T1,T3においてそれぞれ1ブロック分の電力利用の予定があることを示したものである。そして、この予定情報がマスク情報によってマスクされることで、時間枠T1において2ブロック分、時間枠T2において1ブロック分、時間枠T3において1ブロック分の電力利用の予定があるような、元の予定情報とは異なった内容の暗号文情報に暗号化されている。このように、マスク情報によって需要家サーバβの予定情報がマスクされることで、需要家サーバβの予定情報は秘匿化されている。需要家サーバβは、このようにマスク情報によって元の予定情報を秘匿化した暗号文情報を暗号文サーバ20に送信する。また、需要家サーバβは、暗号文サーバ20に送信した暗号文情報と元の予定情報との差分であるマスク情報をマスクサーバ30に送信する。需要家サーバβからマスクサーバ30に送信するマスク情報は、図12に示すように、時間枠T1における1ブロック分の電力利用量および時間枠T2における1ブロック分の電力利用量を表したものとなる。図13は、図11に示す暗号文情報に対して、右1シフトの調整規則を適用した場合のイメージ図である。図11に示す暗号文情報に対して、右1シフトの調整規則を適用すると、図13に示すように、時間枠T1の2ブロック分の電力利用量が時間枠T2に移動し、時間枠T2の1ブロック分の電力利用量が時間枠T3に移動し、時間枠T3の1ブロック分の電力利用量が時間枠T4に移動する。図14は、図12に示す暗号文情報に対して、1インターバルの調整規則を適用した場合のイメージ図である。図12に示す暗号文情報に対して、1インターバルの調整規則を適用すると、図14に示すように、時間枠T1の2ブロック分の電力利用量が時間枠T2に移動し、時間枠T2の1ブロック分の電力利用量が時間枠T4に移動し、時間枠T3の1ブロック分の電力利用量が時間枠T6に移動し、時間枠T1、時間枠T3、時間枠T5の電力利用量がゼロになる。図15は、図13に示す調整後の暗号文情報と図14に示す調整後の暗号文情報とを統合して得られる統合暗号文情報のイメージ図である。図13に示す調整後の暗号文情報と図14に示す調整後の暗号文情報とを統合すると、図15に示すように、時間枠T2において4ブロック分、時間枠T3において1ブロック分、時間枠T4において2ブロック分、時間枠T6において1ブロック分の電力利用量があることを示す統合暗号文情報が得られる。暗号文サーバ20は、需要家サーバαから図11に示す暗号文情報を受信し、需要家サーバβから図12に示す暗号文情報を受信し、規則サーバ50から、需要家サーバαの暗号文情報に対して適用する調整規則として右1シフト、需要家サーバβの暗号文情報に対して適用する調整規則として1インターバルを受信する。この場合、暗号文サーバ20は、需要家サーバαから受信した図11に示す暗号文情報に対して右1シフトの調整規則を適用して図13に示す調整後の暗号文情報を生成し、需要家サーバβから受信した図12に示す暗号文情報に対して1インターバルの調整規則を適用して図14に示す調整後の暗号文情報を生成する。そして、暗号文サーバ20は、図13に示す調整後の暗号文情報と図14に示す調整後の暗号文情報とを統合して、図15に示す統合暗号文情報を生成し、生成した統合暗号文情報を判定サーバ40に送信する。図16は、需要家サーバαから送信されたマスク情報に対して右1シフトの調整規則を適用した結果と需要家サーバβから送信されたマスク情報に対して1インターバルの調整規則を適用した結果とを統合して得られる統合マスク情報のイメージ図である。需要家サーバαから送信されたマスク情報に対して右1シフトの調整規則を適用した結果と需要家サーバβから送信されたマスク情報に対して1インターバルの調整規則を適用した結果とを統合すると、図16に示すように、時間枠T2において2ブロック分、時間枠T4において1ブロック分、時間枠T6において1ブロック分の電力利用量があることを示す統合マスク情報が得られる。マスクサーバ30は、需要家サーバαおよび需要家サーバβからマスク情報をそれぞれ受信し、規則サーバ50から、需要家サーバαのマスク情報に対して適用する調整規則として右1シフト、需要家サーバβのマスク情報に対して適用する調整規則として1インターバルを受信する。この場合、マスクサーバ30は、需要家サーバαから受信したマスク情報に対して右1シフトの調整規則を適用して調整後のマスク情報を生成し、需要家サーバβから受信したマスク情報に対して1インターバルの調整規則を適用して調整後のマスク情報を生成する。そして、マスクサーバ30は、これら調整後のマスク情報を統合して、図16に示す統合マスク情報を生成し、生成した統合マスク情報を判定サーバ40に送信する。図17は、図15に示す統合暗号文情報と図16に示す統合マスク情報との差分として求められる統合予定情報のイメージ図である。図15に示す統合暗号文情報と図16に示す統合マスク情報との差分を取ると、図17に示すように、時間枠T2において2ブロック分、時間枠T3において1ブロック分、時間枠T4において1ブロック分の電力利用量があることを示す統合予定情報が得られる。この図17に示す統合予定情報は、需要家サーバαが記憶する予定情報に対して右1シフトの調整規則を適用した結果と、需要家サーバβが記憶する予定情報に対して1インターバルの調整規則を適用した結果とを足し合わせたものに一致する。判定サーバ40は、暗号文サーバ20から図15に示す統合暗号文情報を受信し、マスクサーバ30から図16に示す統合マスク情報を受信する。この場合、判定サーバ40は、図15に示す統合暗号文情報と図16に示す統合マスク情報との差分を取って、図17に示す統合予定情報を生成する。そして、判定サーバ40は、生成した統合予定情報が所定の制御条件を満たすか否かを判定し、その判定結果を表す判定情報を規則サーバ50に送信する。規則サーバ50は、判定サーバ40から判定情報を受信する。そして、規則サーバ50は、判定サーバ40から受信した判定情報が、図17に示す統合予定情報が制御条件を満たさないことを表すものである場合には、需要家サーバαの予定情報に対して適用する調整規則と需要家サーバβの予定情報に対して適用する調整規則のうち少なくとも一方を変更し、新たな調整規則を暗号文サーバ20とマスクサーバ30とに送信する。一方、判定サーバ40から受信した判定情報が、図17に示す統合予定情報が制御条件を満たすことを表すものである場合には、規則サーバ50は、需要家サーバαの予定情報に対して適用した調整規則、すなわち右1シフトの調整規則を、調整情報として需要家サーバαに送信するとともに、需要家サーバβの予定情報に対して適用した調整規則、すなわち1インターバルの調整規則を、調整情報として需要家サーバβに送信する。以上のように、本実施形態にかかる電力利用調整システムでは、複数の需要家サーバ10が記憶する需要家ごとの予定情報が、それぞれマスクにより暗号化された暗号文情報として暗号文サーバ20に収集される。また、各予定情報の暗号化に使用したマスク情報がマスクサーバ30に収集される。そして、暗号文サーバ20により、各暗号文情報に対して規則サーバ50が決定した個別の調整規則を適用した結果を統合した統合暗号文情報が生成され、判定サーバ40に送信される。また、マスクサーバ30により、各マスク情報に対して規則サーバ50が決定した個別の調整規則を適用した結果を統合した統合マスク情報が生成され、判定サーバ40に送信される。その後、判定サーバ40により、統合暗号文情報と統合マスク情報との差分である統合予定情報が生成され、この統合予定情報が所定の制御条件を満たしているか否かが判定されて、その判定結果を表す判定情報が規則サーバ50に送信される。そして、統合予定情報が制御条件を満たさない場合は、規則サーバ50により複数の調整規則のうちの少なくとも一つが変更され、変更された調整規則を含む新たな複数の調整規則が暗号文サーバ20とマスクサーバ30に送信されて、統合暗号文情報の生成、統合マスク情報の生成、統合予定情報の生成、および、統合予定情報が制御条件を満たすか否かの判定が繰り返される。一方、統合予定情報が制御条件を満たす場合には、その時点で適用されている調整規則が規則サーバ50から対応する需要家サーバ10に調整情報としてそれぞれ送信される。そして、各需要家サーバ10により、調整情報に基づいた特殊電力の供給制御が行われる。このように、本実施形態にかかる電力利用調整システムでは、各需要家の予定情報そのものを開示することなく、各需要家の予定情報に対して電力供給設備への負担を少なくするような所望の調整を行うことができ、需要家のプライバシーを保護しつつ、電力利用の調整を行うことが可能となる。特に、本実施形態にかかる電力利用調整システムでは、利用情報を暗号化した暗号文情報に調整規則を適用して統合する機能と、利用情報の暗号化に使用したマスク情報に調整規則を適用して統合する機能と、統合暗号文情報と統合マスク情報から統合予定情報を生成して制御条件を満たすか否かを判定する機能と、暗号文情報やマスク情報に適用する調整規則を決定する機能とを、それぞれ物理的に分離した構成の4つのサーバ暗号文サーバ20、マスクサーバ30、判定サーバ40および規則サーバ50に分散させるようにしているので、いずれか一つのサーバが攻撃を受けたとしても、利用情報を類推することが困難であり、高い秘匿性が保たれる。例えば、規則サーバ50が攻撃を受け、攻撃者が利用情報を類推するために有利な調整規則を決定したとする。しかし、規則サーバ50が受信する情報は、調整規則を適用した結果の統合予定情報が制御条件を満たしているか否かを表す判定情報のみであるため、決定した調整規則から個々の予定情報を類推することはできない。また、例えば、判定サーバ40が攻撃を受け、統合予定情報が漏洩したとする。しかし、判定サーバ40が生成する統合予定情報は、各利用情報に対して個別の調整規則を適用した結果を統合したものであり、各利用情報に対して個別に適用される調整規則は規則サーバ50により決定されて暗号文サーバ20とマスクサーバ30のみに送信されるため、統合予定情報から個々の予定情報を類推することはできない。[加法準同型関数を用いた暗号化による一般化]以上説明した本実施形態によるプライバシー保護方式は、予定情報の暗号化に加法準同型関数を用いることにより、以下のように一般化することができる。なお、以下では、説明を分かり易くするために、暗号文情報やマスク情報に対して調整規則を適用しないものとして説明するが、本実施形態のように、一つの予定情報に対応する暗号文情報とマスク情報とに同じ調整規則を適用するという前提のもとでは、暗号文情報やマスク情報に対して調整規則を適用した場合にも以下の説明が成り立つ。需要家サーバ10が予定情報の暗号化を行う関数をψとし、ψが加法準同型関数であるとする。つまり、ψP1ψP2=ψP1P2が成り立つとする。ここで、任意の需要家サーバjが記憶する予定情報をPjとすると、この予定情報Pjを加法準同型関数ψにより暗号化することで得られる暗号文はψPjとなる。ここで、暗号化による変化分の情報つまり、マスク情報はψPj-Pjとなり、これをξPjとする。すると、ξP1P2=ψP1P2-P1P2=ψP1ψP2-P1-P2=ξP1ξP2となる。複数の需要家サーバ10が各々記憶する予定情報をP1、P2、、Plとすると、暗号文サーバ20において生成される統合暗号文情報は、ψP1ψP2ψPl=ψP1P2Plとなる。一方、マスクサーバ30において生成される統合マスク情報は、ξP1ξP2ξPl=ξP1P2Plとなる。したがって、判定サーバ40が、統合暗号化情報と統合マスク情報との差分から求める統合予定情報は、ψP1P2Pl-ξP1P2Pl=P1P2Plとなり、各需要家サーバ10で生成された予定情報P1、P2、、Plの総和と一致する。[スマートグリッドへの適用]次に、本実施形態にかかる電力利用調整システムをスマートグリッドに適用する場合の具体例について説明する。本実施形態にかかる電力利用調整システムは、上述したように、需要家サーバ10、暗号文サーバ20、マスクサーバ30、判定サーバ40および規則サーバ50の各構成要素を備える。一方、スマートグリッドの枠組みでは、CEMSCommunityEnergyManagementSystem、BEMSBuildingEnergyManagementSystem、HEMSHomeEnergyManagementSystemや、これらの中間に位置する構成要素などが登場する。本実施形態にかかる電力利用調整システムをスマートグリッドに適用する場合、1つ目の例として、需要家サーバ10をHEMSに対応付け、判定サーバ40をCEMSに対応付け、暗号文サーバ20とマスクサーバ30と規則サーバ50とを、CEMSとHEMSの中間に位置する構成要素に対応付けるといった適用例が考えられる。また、2つ目の例として、需要家サーバ10をBEMSに対応付け、判定サーバ40をCEMSに対応付け、暗号文サーバ20とマスクサーバ30と規則サーバ50とを、複数のBEMSを統合的に管理する統合BEMSに対応付けるといった適用例が考えられる。また、3つ目の例として、需要家サーバ10を、ビルのテナントを管理するサーバに対応付け、判定サーバ40を統合BEMSに対応付け、暗号文サーバ20とマスクサーバ30と規則サーバ50とをBEMSに対応付けるといった適用例が考えられる。[実施形態の効果]以上、具体的な例を挙げながら詳細に説明したように、本実施形態にかかる電力利用調整システムによれば、需要家のプライバシーを保護しつつ、電力供給設備への負担を少なくするように需要家による電力利用の調整を行うことができる。なお、需要家による電力利用の予定を考慮して電力供給の制御を行う技術としては、非特許文献1に記載された技術が知られている。しかしながら、この非特許文献1に記載された技術では、需要家のプライバシー保護については想定されておらず、需要家のプライバシーを保護するための仕組みが検討されていない。また、この非特許文献1に記載された技術を適用した場合の電力供給制御は、需要家による電力利用の予定に合わせて無駄な電力供給を制限するような制御となる。これに対して、本実施形態にかかる電力利用調整システムでは、需要家の電力利用をある時間帯で制限した場合、その制限される電力量を他の時間帯での電力供給により補完するようにしており、需要家に対して、複数の時点において相補的に電力利用を調整することを要請するシステムとなっている。このように、需要家に対して必要な電力量の供給を保証しながら電力利用の制限を要請するシステムであるため、利便性の高いデマンドレスポンスを実現することができる。なお、本実施形態にかかる電力利用調整システムを構成する需要家サーバ10、暗号文サーバ20、マスクサーバ30、判定サーバ40および規則サーバ50は、各サーバを構成するコンピュータで実行されるプログラムにより、上述した各機能構成の一部または全部を実現することができる。需要家サーバ10、暗号文サーバ20、マスクサーバ30、判定サーバ40および規則サーバ50で実行される電力利用調整プログラムは、例えば、インストール可能な形式又は実行可能な形式のファイルでCD-ROM、フレキシブルディスクFD、CD-R、DVDDigitalVersatileDiscなどのコンピュータで読み取り可能な記録媒体に記録されて提供される。また、需要家サーバ10、暗号文サーバ20、マスクサーバ30、判定サーバ40および規則サーバ50で実行されるプログラムを、インターネットなどのネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、需要家サーバ10、暗号文サーバ20、マスクサーバ30、判定サーバ40および規則サーバ50で実行されるプログラムを、インターネットなどのネットワーク経由で提供または配布するように構成してもよい。さらに、需要家サーバ10、暗号文サーバ20、マスクサーバ30、判定サーバ40および規則サーバ50で実行されるプログラムを、ROMなどに予め組み込んで提供するように構成してもよい。需要家サーバ10、暗号文サーバ20、マスクサーバ30、判定サーバ40および規則サーバ50で実行されるプログラムは、それぞれのサーバごとに、上述した機能構成の一部または全部を含むモジュール構成となっており、実際のハードウェアとしてはCPUプロセッサが上記記憶媒体からプログラムを読み出して実行することにより上述した機能構成の一部または全部が主記憶部上にロードされ、これらの機能構成が主記憶部上に生成されるようになっている。以上、本発明の実施形態を説明したが、上記の実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。上記の新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。上記の実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。"