JP2014056549A - 通信システム、通信装置、通信方法、および、通信プログラム - Google Patents

Abstract

【課題】解析結果の照会時の情報の秘匿性を向上する。
【解決手段】データサーバは、ユーザに対応付けてデータを保持し、データ中のユーザについての秘匿される情報である秘匿情報を仮名に置き換えた置換データを、解析サーバに送信する。解析サーバは、置換データの解析結果を、解析結果の生成に使用した置換データに含まれる仮名に対応付けて記憶する。解析サーバは、通信装置から解析結果の送信を要求する要求メッセージを受信すると、要求メッセージを識別する識別情報を通信装置に送信する。データサーバは、解析結果を要求するユーザを識別するユーザ識別子と識別情報を対応付けて通信装置から受信すると、ユーザ識別子で識別されるユーザの置換データに含まれる仮名である対象仮名を、解析サーバに通知する。解析サーバは、対象仮名に対応付けられた解析結果を通信装置に送信する。
【選択図】図１

Description

本発明は、複数の通信装置の間で行われる通信に関する。

近年、解析の依頼元からVirtual Private Network（ＶＰＮ）等を介して取得したデータを解析し、得られた結果を依頼元に提供するサービスが解析業者によって行われている。依頼元が個人のユーザから得たデータについて、ユーザ別の解析結果を依頼する場合は、解析対象のデータにユーザを識別するための個人情報が対応付けられている。そこで、解析業者に渡したデータからの個人情報の漏洩を防ぐため、依頼元は、個人を一意に特定できる仮名などに個人情報を置き換える処理を行ってから、処理後のデータを解析業者に渡すことが多い。解析業者は、依頼元から取得したデータを解析し、ユーザごとの解析結果を仮名に対応付ける。さらに、解析業者は、得られた解析結果を仮名に対応付けて、解析の依頼元に提供する。依頼元は、解析業者から取得した解析結果に対応付けられた仮名を、ユーザの個人情報に置き換える。一方、ユーザは、そのユーザについて得られた解析結果を依頼元に要求する。すると、依頼元は、解析結果の要求を行ったユーザに対して、そのユーザに対応づけられた解析結果を提供する。

関連する技術として、ユーザ端末と、サービスサーバと、ユーザ端末がサービスサーバにログインする際の認証を行う認証サーバを有するシングルサインオンシステムが知られている。認証サーバは、認証が成功した場合、ユーザＩＤおよび認証要求を行ったサービスサーバの識別子を連結し、暗号化した新規ＩＤを生成した上で、ユーザ端末に送信する。サービスサーバは、新規ＩＤとともにサービスの利用が要求されると、新規ＩＤを用いて認証サーバからユーザ情報を求める。また、ネットワーク管理装置に問い合わせて特定したアドレスに対応する回線ＩＤとリンクＩＤに基づいて特定した登録回線ＩＤが一致すると、リンクＩＤと登録回線ＩＤに対応する提示情報についての暗号化情報を利用者端末に送信するシステムも知られている。

特開２０１１−１４５７５４号公報 特開２００８−４１８１９号公報

背景技術の欄で説明したように、ユーザが依頼元を介して、そのユーザについて得られた解析結果を得る場合、解析業者から依頼元に解析結果が送られ、依頼元からユーザへと解析結果が送られることになる。ここで、個々のユーザが、直接、解析業者に対して、そのユーザのデータについて得られた解析結果を要求できると、ユーザの利便性が高くなる上、データサーバの処理負荷が軽減される。しかし、ユーザが解析業者のサーバにアクセスするためには、ユーザは、そのユーザの個人情報と置き換えられた仮名を取得した上で、解析業者のサーバに対して、取得した仮名に対応する解析結果の照会を要求することになる。しかし、ユーザの使用する端末に仮名を通知するときに、仮名の情報が漏洩する危険性がある。仮名の情報が漏洩すると、仮名を変更することになるため、処理が煩雑になり、コストもかかってしまう。

本発明は、ユーザが解析結果を照会する際の情報の秘匿性を向上することを目的とする。

実施形態に係る通信システムは、解析サーバ、データサーバ、通信装置を備える。解析サーバは、情報を解析する。データサーバは、ユーザに対応付けてデータを保持し、前記データ中の前記ユーザについての秘匿される情報である秘匿情報を仮名に置き換えた置換データを、前記解析サーバに送信する。通信装置は、前記解析サーバで得られた解析結果の送信を要求する。前記解析サーバは、前記置換データの解析結果を、前記解析結果の生成に使用した置換データに含まれる仮名に対応付けて記憶する。前記解析サーバは、前記通信装置から解析結果の送信を要求する要求メッセージを受信すると、前記要求メッセージを識別する識別情報を前記通信装置に送信する。前記データサーバは、前記解析結果を要求するユーザを識別するユーザ識別子と前記識別情報を対応付けた情報を前記通信装置から受信すると、前記ユーザ識別子で識別されるユーザの置換データに含まれる仮名である対象仮名を、前記解析サーバに通知する。前記解析サーバは、前記対象仮名に対応付けられた解析結果を前記通信装置に送信する。

ユーザが解析結果を照会する際の情報の秘匿性が向上する。

実施形態に係る通信方法の例を説明する図である。 システム構成の例を示す図である。 データサーバの構成の例を示す図である。 仮名ＩＤテーブルの例を示す図である。 解析サーバの構成の例を示す図である。 アカウントテーブルの例を示す図である。 通信装置の構成の例を示す図である。 ＩＤ管理テーブルの例を示す図である。 端末の構成の例を示す図である。 サーバおよび端末のハードウェア構成の例を示す図である。 置換データの生成方法と置換データの解析結果の例を示す図である。 第１の実施形態に係る通信の例を示すシーケンス図である。 第１の実施形態に係る通信の例を示すシーケンス図である。 端末と通信装置の間の通信による情報の更新の例を説明する図である。 通信装置と解析サーバの間の認証による情報の更新の例を説明する図である。 アクセス識別子が解析サーバから通信装置に通知されるときの情報の更新の例を説明する図である。 登録要求メッセージの例を示す図である。 通信装置とデータサーバの通信による情報の更新の例を示す図である。 アクセス識別子がデータサーバに登録された後の情報の更新の例を説明する図である。 解析サーバの動作の例を説明するフローチャートである。 通信装置の動作の例を説明するフローチャートである。 通信装置の動作の例を説明するフローチャートである。 解析サーバの構成の例を示す図である。 第２の実施形態で行われる情報の更新の例を説明する図である。 第２の実施形態で行われる通信の例を説明するシーケンス図である。 第２の実施形態で行われる通信の例を説明するシーケンス図である。 第２の実施形態で用いられるメッセージの例を示す図である。

図１は、実施形態に係る通信方法の例を示す。図１は、ユーザＡの通信装置６０、データサーバ１０、解析サーバ３０の間で行われる通信の例を示している。ここで、ユーザＡはグループＧに所属しているものとする。グループＧの例としては、企業、学校、病院、自治体などが挙げられる。また、データサーバ１０はグループＧに属するユーザのデータを保持するものとする。

（１）データサーバ１０は、グループＧに属する各ユーザのデータと、ユーザごとの仮名ＩＤ（仮名）を記憶している。データサーバ１０は、各ユーザのデータから各ユーザについての秘匿される情報である秘匿情報を抽出し、秘匿情報をそのユーザに対応付けられている仮名ＩＤに置き換えた置換データを生成する。尚、秘匿情報は、ユーザを識別するＩＤ、氏名、住所、性別、年齢等、ユーザのその他のプライバシー情報の１つ以上を含む。以下の説明では、秘匿情報に置き換えられる情報を「仮名ＩＤ」もしくは「仮名」と記載するものとする。図１の例では、ユーザＡに関する秘匿情報が仮名ａに置き換えられたとする。

ここで、置換データは、オプションとして、解析サーバ３０が秘匿情報を取得できないような任意の形式で秘匿情報を暗号化もしくはマスク化することにより得られた情報を含むこともできるものとする。従って、以下の記載では、秘匿情報を仮名ＩＤに置き換えることには、秘匿情報をユーザのデータから削除した上で仮名ＩＤを付加することの他に、ユーザのデータ中の秘匿情報を暗号化またはマスク化して得られたデータに仮名ＩＤを付加することも含む。

（２）データサーバ１０は、置換データを解析サーバ３０に送信する。
（３）解析サーバ３０は、置換データに含まれているデータを解析し、解析結果を保持する。ユーザごとの解析結果は、各ユーザの仮名に対応付けて保持される。例えば、ユーザＡのデータに関する解析結果は仮名ａに対応付けて、解析サーバ３０に保持される。

（４）通信装置６０は、ユーザが所属するグループを識別する識別子（グループ識別子）を用いて解析サーバ３０にアクセスし、解析結果を要求する。例えば、通信装置６０は、グループＧを識別するアカウントを、グループ識別子として使用できる。

（５）解析サーバ３０は、解析結果を要求する要求メッセージを受信すると、その要求メッセージに対するアクセス識別子（α）を生成する。

（６）解析サーバ３０は、通信装置６０に、アクセス識別子αを通知する。
（７）通信装置６０は、解析サーバ３０から通知されたアクセス識別子を、データサーバ１０に通知する。このとき、通信装置６０は、データサーバ１０に対して、解析結果の要求を行う対象となるユーザを特定する情報（ユーザ識別子）も合わせてデータサーバ１０に送信する。図１の例では、ユーザＡを識別するユーザ識別子とアクセス識別子αの組み合わせが、通信装置６０からデータサーバ１０に通知される。

（８）データサーバ１０は、受信したユーザ識別子とアクセス識別子の組み合わせを用いて、アクセス識別子と仮名ＩＤを対応付ける。例えば、データサーバ１０は、通信装置６０から受信した情報によりユーザＡに対してアクセス識別子αが割り当てられたことを認識する。そこで、データサーバ１０は、ユーザＡに対応付けている仮名ａを、アクセス識別子αと対応付ける。

（９）データサーバ１０は、通知されたアクセス識別子に対応付けた仮名ＩＤを解析サーバ３０に通知する。図１の例では、データサーバ１０は、アクセス識別子αに対応付けられた仮名ＩＤはａであることを、解析サーバ３０に通知する。

（１０）解析サーバ３０は、データサーバ１０から通知された仮名ＩＤに対応付けられた解析結果について、解析結果の送信が要求されたと判定する。すなわち、解析サーバ３０は、手順（４）では、仮名ａに対応付けられた解析結果が通信装置６０から要求されたと判定する。

（１１）解析サーバ３０は、仮名ａに対応付けられた解析結果を通信装置６０に送信する。

（１２）通信装置６０は、解析サーバ３０からユーザＡの解析結果を取得する。
図１を参照しながら説明した通信方法を用いると、通信装置６０は、解析結果を要求するユーザの仮名ＩＤを取得しなくても、解析サーバ３０に直接、解析結果を要求することができる。また、実施形態にかかる通信方法では、データサーバ１０と解析サーバ３０以外は仮名ＩＤを取得しないため、仮名ＩＤの秘匿性が高い。さらに、グループＧに属するユーザの個人情報など、秘匿の対象となるデータは解析サーバ３０に送信されないので、解析サーバ３０がグループＧとは無関係の第３者が運営するサーバであっても個人情報等の漏洩の恐れがない。

なお、図１の例では、わかりやすくするために、通信装置６０が個人のユーザによって使用される場合について説明したが、通信装置６０は、ポータルサイトを提供するサーバなど、複数のユーザからのアクセスを受け付ける装置であってもよい。

＜システム構成と装置構成＞
図２は、システム構成の例を示す。以下の説明では、通信装置６０が複数のユーザからのアクセスを受け付ける場合を例として説明する。各ユーザは個々の端末８０（８０ａ、８０ｂ）を用い、インターネット５ａを介して通信装置６０にアクセスする。通信装置６０は、データサーバ１０や解析サーバ３０に対して、各ユーザの端末８０の代理として代理認証処理を行う。通信装置６０は、インターネット５ｂを介してデータサーバ１０や解析サーバ３０と通信する。データサーバ１０、解析サーバ３０、通信装置６０、端末８０の装置構成については、後述する。なお、インターネット５ａ、５ｂを介した通信では、適宜、ＶＰＮが用いられるものとする。

図３は、データサーバ１０の構成の例を示す。データサーバ１０は、ゲートウェイ部１１、認証部１５、アプリケーション処理部１８、記憶部２０を備える。ゲートウェイ部１１は、受信部１２、送信部１３、秘匿復元処理部１４、セッション管理部１６、仮名ＩＤ管理部１７を有する。記憶部２０は、仮名ＩＤテーブル２１、セッション管理テーブル２２を保持し、さらに、ゲートウェイ部１１、認証部１５、アプリケーション処理部１８等で使用されるデータも記憶する。

受信部１２は、インターネット５ｂを介して通信装置６０や解析サーバ３０からデータを受信する。また、受信部１２は、受信したデータをそのデータの種類に応じて、認証部１５、秘匿復元処理部１４、セッション管理部１６、仮名ＩＤ管理部１７、アプリケーション処理部１８に振り分ける。送信部１３は、認証部１５、秘匿復元処理部１４、セッション管理部１６、仮名ＩＤ管理部１７、アプリケーション処理部１８から入力されたデータの送信を行う。送信部１３は、インターネット５ｂを介して解析サーバ３０や通信装置６０にデータを送信する。

秘匿復元処理部１４は、ユーザごとのデータから秘匿情報を抽出し、ユーザに対応付けられた仮名ＩＤで秘匿情報を置き換えることにより、置換データを生成する。秘匿復元処理部１４は、置換データを生成するために使用する仮名ＩＤを、仮名ＩＤテーブル２１を参照して決定する。仮名ＩＤテーブル２１は、ユーザを一意に識別する情報と、置換データの生成の際にそのユーザのデータに付加される仮名ＩＤを対応付ける。仮名ＩＤテーブル２１の例を図４に示す。図４は、ユーザが学生であり、グループが学校である場合の例であり、各ユーザの生徒ＩＤが仮名ＩＤと対応付けられている。

認証部１５は、データサーバ１０にアクセスしたユーザについての認証処理を行い、アクセスしているユーザがデータサーバ１０を利用する権限を有するかを判定する。認証部１５は、データサーバ１０にアクセスする権限を有する個々のユーザについて、アカウントとパスワードの組み合わせの情報を記憶しているものとする。以下、個々のユーザに割り当てられたアカウントを「ユーザアカウント」と記載するものとする。セッション管理部１６は、認証部１５での認証が成功すると、セッションＩＤを生成する。セッション管理部１６は、送信部１３を介して、認証が成功した通信装置６０に向けてセッションＩＤを送信する。さらに、セッション管理部１６は、各セッションについて、そのセッションによって通信を行っているユーザに関する情報を対応付けることによりセッション管理テーブル２２を生成する。セッション管理テーブル２２の例と使用方法の例は後述する。

仮名ＩＤ管理部１７は、仮名ＩＤテーブル２１の変更が発生した場合に、仮名ＩＤテーブル２１を修正する。仮名ＩＤテーブル２１は、データサーバ１０の運営者とユーザの間での契約により変更され得る。オペレータは、データサーバ１０の制御に用いる通信装置から、仮名ＩＤ管理部１７に仮名ＩＤテーブル２１の変更内容を通知するメッセージを送信することにより、仮名ＩＤテーブル２１を修正することができる。アプリケーション処理部１８は、受信部１２から入力されたデータに対して、アプリケーションによる処理を行う。

図５は、解析サーバ３０の構成の例を示す。解析サーバ３０は、ゲートウェイ部３１、認証部３４、アプリケーション処理部４０、記憶部５０を備える。ゲートウェイ部３１は、受信部３２、送信部３３、アクセス識別子生成部３５、アドレス解決部３６、シーケンス管理部３７を有する。

受信部３２は、インターネット５ｂを介して通信装置６０やデータサーバ１０からデータを受信し、受信したデータを種類に応じて、認証部３４、アクセス識別子生成部３５、アドレス解決部３６、シーケンス管理部３７、アプリケーション処理部４０に振り分ける。送信部３３は、認証部３４、アクセス識別子生成部３５、アドレス解決部３６、シーケンス管理部３７、アプリケーション処理部４０から入力されたデータの送信を行う。送信部１３は、インターネット５ｂを介してデータサーバ１０や通信装置６０にデータを送信する。

認証部３４は、解析サーバ３０にアクセスしたユーザについての認証処理を行い、アクセスしているユーザが解析サーバ３０を利用する権限を有するかを判定する。ここで、各ユーザは、解析サーバ３０にそのユーザの所属するグループに割り当てられたアカウントを用いて認証を要求する。このため、認証部３４は、解析サーバ３０にアクセスする権限を有するグループについて、アカウントとパスワードの組み合わせの情報を記憶しているものとする。以下、認証部３４に記憶されている各グループのアカウントを「グループアカウント」と記載するものとする。アクセス識別子生成部３５は、認証部３４での認証が成功すると、セッションＩＤを生成し、送信部３３を介して、認証に成功した装置にセッションＩＤを送信する。さらに、解析結果を要求する要求メッセージを解析サーバ３０が受信した場合、アクセス識別子生成部３５は、アクセス識別子を生成する。アクセス識別子生成部３５は、アクセス識別子をセッションＩＤに対応づけて記憶部５０中の仮名ＩＤテーブル５２に記録することができる。

アドレス解決部３６は、アカウントテーブル５３を使用する。アカウントテーブル５３は、グループアカウントと、そのグループアカウントで識別されるグループのデータを保持しているデータサーバ１０を識別する識別情報を対応付けている。アカウントテーブル５３は、データサーバ１０と解析業者の間で解析サービスが契約されると、解析サービスの提供に先立って生成されるものとする。図６にアカウントテーブル５３の例を示す。図６の例では、識別情報として、ユーザがデータサーバ１０へのアクセスに用いるＵＲＬ（Uniform Resource Locator）が用いられている。なお、識別情報は、ＵＲＬに限られず、例えば、データサーバ１０に割り当てられたＩＰアドレス（Internet Protocol address）などであっても良い。シーケンス管理部３７は、アクセス識別子ごとに、そのアクセス識別子がデータサーバ１０で登録されたかを判定し、判定結果を状態テーブル５４に記録する。状態テーブル５４の例については後述する。

アプリケーション処理部４０は、解析部４１と出力部４２を有する。解析部４１は、データサーバ１０から受信した置換データを解析し、解析結果を生成する。解析結果はデータ５１として記憶される。出力部４２は、要求メッセージによって解析結果の出力が要求されているユーザに対応する仮名ＩＤが解析サーバ３０に通知されると、通知された仮名ＩＤに対応付けられた解析結果を含むパケットを生成し、送信部３３に出力する。送信部３３は、出力部４２から入力されたパケットを、要求メッセージの送信元に送信する。

記憶部５０は、データ５１、仮名ＩＤテーブル５２、アカウントテーブル５３、状態テーブル５４を保持している。なお、データ５１は解析結果を含む。記憶部５０は、さらに、ゲートウェイ部３１、認証部３４、アプリケーション処理部４０での処理により得られたデータや、ゲートウェイ部３１、認証部３４、アプリケーション処理部４０での処理に用いられるデータも記憶する。

図７は通信装置６０の構成の例を示す。通信装置６０は、ゲートウェイ部６１、認証部６４、ＩＤ管理部６５、記憶部７０を備える。ゲートウェイ部６１は、受信部６２、送信部６３、代理認証部６６、セッション管理部６７、シーケンス管理部６８を備える。記憶部７０は、ＩＤ管理テーブル７１、連携テーブル７２、セッション管理テーブル７３を保持し、さらに、ゲートウェイ部６１、送信部６３、ＩＤ管理部６５の処理で生成されたデータを記憶する。

受信部６２は、インターネット５ａを介して端末８０からデータを受信し、さらに、インターネット５ｂを介してデータサーバ１０や解析サーバ３０からデータを受信する。また、受信部６２は、受信したデータを種類に応じて、認証部６４、ＩＤ管理部６５、代理認証部６６、セッション管理部６７、シーケンス管理部６８に振り分ける。送信部６３は、インターネット５ａを介して端末８０にデータを送信し、さらに、インターネット５ｂを介してデータサーバ１０や解析サーバ３０にデータを送信する。

認証部６４は、通信装置６０にアクセスした端末８０についての認証処理を行い、端末８０を介してアクセスしているユーザが、通信装置６０を利用する権限を有するかを判定する。認証部６４は、通信装置６０にアクセスする権限を有する個々のユーザについて、アカウントとパスワードを記憶しており、アカウントとパスワードを用いて認証処理を行う。セッション管理部６７は、認証に成功した端末８０に対してセッションＩＤを生成する。また、セッション管理部６７は、通信装置６０と解析サーバ３０との通信や、通信装置６０とデータサーバ１０の間の通信に用いられるセッションＩＤの情報も管理する。以下の説明では、セッションＩＤ同士の区別を容易にするために、端末８０と通信装置６０の間で使用されるセッションＩＤを「第１セッションＩＤ」、通信装置６０と解析サーバ３０の間で使用されるセッションＩＤを「第２セッションＩＤ」と記載する。さらに、通信装置６０とデータサーバ１０の間で使用されるセッションＩＤを「第３セッションＩＤ」と記載する。

ＩＤ管理部６５は、ＩＤ管理テーブル７１の更新処理を行う。ＩＤ管理テーブル７１は、通信装置６０が代理認証を行う対象のユーザに関する情報を保持する。ＩＤ管理テーブル７１は、ユーザと通信装置６０によるサービスを提供する業者との間の契約が行われると、生成もしくは更新される。ＩＤ管理テーブル７１では、ユーザごとにアクセス先を識別する情報と、アクセス先での認証に用いられる情報が対応付けて記録される。図８にＩＤ管理テーブル７１の例を示す。図８の例では、ユーザＩＤに対応付けて、通信装置６０が代理認証を行うアクセス先のＵＲＬと、アクセス先での認証に用いられるアカウントとパスワードが記録されている。代理認証部６６は、ＩＤ管理テーブル７１の情報を用いて代理認証を行う。

セッション管理部６７は、ユーザごとに、第１セッションＩＤ、第２セッションＩＤ、第３セッションＩＤの各値と、第２セッションＩＤや第３セッションＩＤを用いた通信での通信先の情報を管理する。シーケンス管理部６８は、セッションＩＤに対応付けてそのセッションＩＤで特定される通信の状況を特定し、セッション管理テーブル７３に記録する。

図９は、端末８０の構成の例を示す。端末８０は、アプリケーション処理部８５、表示装置８６、復元処理部８７を備える。復元処理部８７は、送信部８１、受信部８２、秘匿復元処理部８３、セッション管理部８４を備える。送信部８１は、通信装置６０へデータを送信し、受信部８２は、通信装置６０からデータを受信する。秘匿復元処理部８３は、通信装置６０へ送信するデータを暗号化する場合、暗号化の処理を行う。さらに、通信装置６０から受信部６２を介して受信したデータが暗号化されている場合、秘匿復元処理部８３は、受信データを復号する。セッション管理部８４は、通信装置６０との間の通信に使用されるセッション情報を保持し、適宜、更新する。アプリケーション処理部８５は、アプリケーションによるデータの処理を行う。表示装置８６は、端末８０で処理されているデータをユーザが視認できるように表示する。例えば、表示装置８６は、アプリケーション処理部８５での処理結果を表示する。

図１０は、サーバおよび端末８０のハードウェア構成の例を示す。データサーバ１０、解析サーバ３０、通信装置６０、端末８０のいずれも、図１０に示すハードウェア構成をとることができる。サーバは、プロセッサ１０１、メモリ１０２、入力装置１０３、出力装置１０４、バス１０５、外部記憶装置１０６、媒体駆動装置１０７、ネットワーク接続装置１０９を備える。データサーバ１０、解析サーバ３０、通信装置６０、端末８０は、例えば、コンピュータなどで実現されることがある。

プロセッサ１０１は、Central Processing Unit（ＣＰＵ）を含む任意の処理回路とすることができる。データサーバ１０において、プロセッサ１０１は、秘匿復元処理部１４、認証部１５、セッション管理部１６、仮名ＩＤ管理部１７、アプリケーション処理部１８として動作する。解析サーバ３０において、プロセッサ１０１は、認証部３４、アクセス識別子生成部３５、アドレス解決部３６、シーケンス管理部３７、アプリケーション処理部４０として動作する。通信装置６０において、プロセッサ１０１は、認証部６４、ＩＤ管理部６５、代理認証部６６、セッション管理部６７、シーケンス管理部６８として動作する。端末８０では、プロセッサ１０１は、秘匿復元処理部８３、セッション管理部８４、アプリケーション処理部８５として動作する。なお、プロセッサ１０１は、例えば、外部記憶装置１０６に記憶されたプログラムを実行することができる。

メモリ１０２は、プロセッサ１０１の動作により得られたデータや、プロセッサ１０１の処理に用いられるデータを、適宜、記憶する。メモリ１０２は、データサーバ１０では記憶部２０として動作し、解析サーバ３０では記憶部５０として動作し、通信装置６０では記憶部７０として動作する。

ネットワーク接続装置１０９は、他の装置との間の通信のための処理を行なう。ネットワーク接続装置１０９は、データサーバ１０では受信部１２と送信部１３として動作し、解析サーバ３０では受信部３２と送信部３３として動作する。また、ネットワーク接続装置１０９は、通信装置６０では、受信部６２、送信部６３として動作し、端末８０では、送信部８１、受信部８２として動作する。

入力装置１０３は、例えば、ボタン、キーボードやマウスとして実現され、出力装置１０４は、ディスプレイなどとして実現される。例えば、端末８０では、出力装置１０４は表示装置８６として動作する。バス１０５は、プロセッサ１０１、メモリ１０２、入力装置１０３、出力装置１０４、外部記憶装置１０６、媒体駆動装置１０７、ネットワーク接続装置１０９の間を相互にデータの受け渡しが行えるように接続する。外部記憶装置１０６は、プログラムやデータなどを格納し、格納している情報を、適宜、プロセッサ１０１などに提供する。媒体駆動装置１０７は、メモリ１０２や外部記憶装置１０６のデータを可搬記憶媒体１０８に出力することができ、また、可搬記憶媒体１０８からプログラムやデータ等を読み出すことができる。ここで、可搬記憶媒体１０８は、フロッピイディスク、Magneto-Optical（ＭＯ）ディスク、Compact Disc Recordable（ＣＤ−Ｒ）やDigital Versatile Disk Recordable（ＤＶＤ−Ｒ）を含む、持ち運びが可能な任意の記憶媒体とすることができる。

＜第１の実施形態＞
以下、データサーバ１０がＦ高校により運営されており、生徒の試験結果の解析が解析サーバ３０に依頼された場合を例として説明する。従って、以下の説明では、解析サーバ３０を参照しようとするユーザは、Ｆ高校の各生徒である。また、解析サーバ３０は、解析結果の参照を要求しているユーザの試験結果から得られたデータをユーザに送信することになる。

図１１は、置換データの生成方法と置換データの解析結果の例を示す。図１１（ａ）は、解析される対象となる生徒のうちの１人の試験結果の例を示す。各教科の試験結果は、受験者の氏名や生徒ＩＤに対応付けられている。この例では、受験者の氏名と生徒ＩＤが第３者に対しては秘匿される対象であり、秘匿情報として扱われるものとする。そこで、データサーバ１０の仮名ＩＤ管理部１７は、試験結果が得られている生徒を一意に識別できる仮名ＩＤを決定することにより、仮名ＩＤテーブル２１（図４参照）を生成する。秘匿復元処理部１４は、仮名ＩＤテーブル２１が生成された後、仮名ＩＤテーブル２１を用いて、秘匿情報を仮名ＩＤに置き換える。図１１（ａ）の試験結果を、図４に示す仮名ＩＤテーブル２１を用いて置換データに変換する場合、秘匿復元処理部１４は、秘匿情報である生徒ＩＤと氏名を、生徒ＩＤに対応付けられた仮名ＩＤに置き換える。従って、秘匿復元処理部１４は、図１１（ａ）に示す情報から、図１１（ｂ）に示す置換データを生成する。秘匿復元処理部１４は、解析サーバ３０に解析を依頼する対象となっている全ての生徒の試験結果についても同様の処理を行う。さらに、秘匿復元処理部１４は、生成した置換データを解析サーバ３０に送信する。

データサーバ１０から置換データを受信すると、解析サーバ３０の解析部４１は、置換データを解析する。各ユーザの解析結果は、仮名ＩＤに対応付けて記録される。解析により得られた結果が各教科の偏差値である場合、解析部４１は、仮名ＩＤ＝１２３４５６のユーザに対して、図１１（ｃ）に示す解析結果を保持することができる。また、解析部４１は、図１１（ｄ）に示すように、個々のユーザの解析結果の有無を容易に判定するためのメタデータを生成することもできる。

図１２Ａと図１２Ｂは、第１の実施形態に係る通信の例を示すシーケンス図である。図１２Ａと図１２Ｂを参照しながら、解析サーバ３０での解析が終了した後で、ユーザが解析結果を解析サーバ３０に要求するときに行われる通信の例を説明する。以下の例では、ユーザは、図１１（ａ）に示すテスト結果を出した生徒であるとする。なお、図１２Ａ、図１２Ｂの例では、端末８０と通信装置６０の間でSecurity Assertion Markup Language（ＳＡＭＬ）を用いた認証が行われるものとする。

（Ａ１）ユーザは、端末８０を用いて通信装置６０に、解析結果の閲覧のメニューを含むポータルサイトへのアクセスを要求する（ポータルサービス要求）。
（Ａ２）通信装置６０から認証が要求されると、ユーザは、通信装置６０にアクセスするためのアカウントとパスワードを端末８０に入力する。
（Ａ３）端末８０は、ユーザから入力された情報を、通信装置６０に送信する。ここでは、アカウントとしてｈａｎａｋｏ、パスワードとしてｐａｓｓｗｏｒｄ１が通信装置６０に送信されたとする。

（Ａ４）通信装置６０の受信部６２は、認証要求を認証部６４に出力する。認証部６４は、予め記憶しているアカウントとパスワードの組み合わせのいずれかと、入力された情報が一致している場合、端末８０のアクセスを許可する。また、通信装置６０の認証部６４は、端末８０に認証アサーションを発行する。
（Ａ５）アプリケーション処理部８５は、認証アサーションを通信装置６０に送信することにより、認証に成功したことを通信装置６０に通知する。
（Ａ６）認証アサーションを受信すると、通信装置６０のセッション管理部６７は、端末８０に第１セッションＩＤを割り当て、第１セッションＩＤを端末８０に通知する。このとき、例えば、HyperText Transfer Protocol（ＨＴＴＰ）のＳｅｔ Ｃｏｏｋｉｅヘッダを使用することができる。

図１３は、端末８０と通信装置６０の間の通信による情報の更新の例を示す。第１セッションＩＤが生成されると、シーケンス管理部６８は、第１セッションＩＤに対応付けて端末８０と通信装置６０の間の通信手順の進行状況を、セッション管理テーブル７３に記録する。例えば、端末８０との通信に割り当てられる第１セッションＩＤは、ｘｘｘｘ００１であるとする。すると、シーケンス管理部６８は、手順（Ａ６）の時点では、図１３に示されているセッション管理テーブル７３ａを保持する。

（Ａ７）アプリケーション処理部８５は、通信装置６０にポータルサービス要求を送信することにより、解析結果の閲覧のメニューを含むポータルサイトへのアクセスを要求する。なお、ポータルサイトへのアクセスの要求に用いられるメッセージには、第１セッションＩＤが含まれている。

（Ａ８）通信装置６０は、端末８０に向けてポータルサイトの表示に用いられるデータを送信する。このとき、認証部６４は、第１セッションＩＤを、手順（Ａ３）の認証の際に端末８０から通知されたアカウントに対応付けることにより、ポータルサイトへのアクセスを要求してきたユーザについての情報を連携テーブル７２に記録する。手順（Ａ８）の時点では、通信装置６０は、図１３に示す連携テーブル７２ａを保持する。なお、以下の説明では、手順（Ａ３）の認証の際に端末８０から通信装置６０通知されたアカウントを「ユーザＩＤ」と記載することがある。

一方、端末８０の受信部８２は、通信装置６０から受信したデータをアプリケーション処理部８５に出力する。アプリケーション処理部８５は、入力されたデータを用いて、表示装置８６に解析結果の閲覧メニューを含むポータルサイトを表示する。

（Ａ９）ユーザは、表示装置８６でポータルサイトを確認し、入力装置によって、解析結果の閲覧を選択する。すると、アプリケーション処理部８５は、解析結果の閲覧の要求を表す解析結果要求を、通信装置６０に送信する。このとき、解析結果要求の中には、第１セッションＩＤと、解析結果を保持している解析サーバ３０のアドレスが含まれている。また、セッション管理部６７は、解析結果要求によりアクセスが要求されているアドレスを認識することができるものとする。このため、解析結果要求を受信すると、通信装置６０では、セッション管理部６７が連携テーブル７２ａを図１３の連携テーブル７２ｂに更新する。また、シーケンス管理部６８は、セッション管理テーブル７３を、図１３に示すセッション管理テーブル７３ｂに更新する。

次に、通信装置６０が解析サーバ３０にアクセスしてから、アクセス識別子が通信装置６０に通知されるまでの処理の例を、図１２Ａの（Ｂ１）〜（Ｂ７）を参照しながら説明する。

（Ｂ１）代理認証部６６は、解析結果要求でアクセスが要求されているアドレスを連携テーブル７２ｂから取得し、アクセス先が解析サーバ３０であると判定する。すると、代理認証部６６は、解析結果を要求するための要求メッセージを解析サーバ３０に送信する。このとき、また通信装置６０と解析サーバ３０の間の認証が行われていないので、要求メッセージには第２セッションＩＤは含まれていない。

（Ｂ２）解析サーバ３０の認証部３４は、第２セッションＩＤを含まない要求メッセージの送信元に、認証を要求する。

（Ｂ３）代理認証部６６は、解析サーバ３０との間の認証に用いるアカウントとパスワードを、ＩＤ管理テーブル７１を用いて特定する。ここでは、代理認証部６６は、解析サーバ３０のＵＲＬ「https://kaisekiservice1.com」とユーザＩＤをキーとしてＩＤ管理テーブル７１を検索する。なお、代理認証部６６は、解析結果要求に含まれている第１セッションＩＤと連携テーブル７２ｂからユーザＩＤを特定する。すると、代理認証部６６は、ユーザが所属しているグループ（Ｆ高校）に対して指定されているグループアカウントとパスワードを、代理認証に使用する情報として取得する。以下の説明では、代理認証部６６はＩＤ管理テーブル７１（図８）を参照することにより、グループアカウントｄ００１と、パスワードｐｗ００１を代理認証に使用することを決定したものとする。代理認証部６６は、代理認証に使用することを決定したグループアカウントとパスワードを使用して、解析サーバ３０に認証を要求するための認証要求メッセージを送信する。

（Ｂ４）解析サーバ３０の受信部３２は、認証要求メッセージを認証部３４に出力する。認証部３４は、予め記憶しているアカウントとパスワードの組み合わせのいずれかと、入力された情報に含まれるグループアカウントとパスワードの組み合わせが一致している場合、通信装置６０のアクセスを許可し、第２セッションＩＤを生成する。以下の説明では、第２セッションＩＤとして、Ｓ０００１が生成されたとする。

図１４は、通信装置６０と解析サーバ３０の間の認証による情報の更新の例を説明する図である。認証部３４での認証に成功すると、アクセス識別子生成部３５は、図１４の仮名ＩＤテーブル５２ａに示すように、第２セッションＩＤとグループアカウントを対応付けて記録する。さらに、認証部３４は、通信装置６０に第２セッションＩＤを通知する。

（Ｂ５）解析サーバ３０から第２セッションＩＤを含む通知メッセージを受信した受信部６２は、受信した通知メッセージを代理認証部６６とセッション管理部６７に出力する。セッション管理部６７は、通知メッセージから第２セッションＩＤを取得することにより、連携テーブル７２ｂ（図１３）を連携テーブル７２ｃ（図１４）に更新する。代理認証部６６は、第２セッションＩＤを含めた要求メッセージを生成し、送信部６３を介して、解析サーバ３０に送信する。

（Ｂ６）アクセス識別子生成部３５は、要求メッセージに含まれている第２セッションＩＤにアクセス識別子が対応付けられているかを、仮名ＩＤテーブル５２ａ（図１４）を参照して判定する。ここで受信した要求メッセージに含まれている第２セッションＩＤ（Ｓ０００１）には、アクセス識別子が対応付けられていない。そこで、アクセス識別子生成部３５は、第２セッションＩＤに対応付するアクセス識別子を決定する。以下、Ｓ０００１の第２セッションＩＤに対応付けられたアクセス識別子はａｃ００１であるものとする。

図１５は、アクセス識別子が解析サーバ３０から通信装置６０に通知されるときの情報の更新の例を説明する図である。アクセス識別子生成部３５は、アクセス識別子を決定すると、仮名ＩＤテーブル５２に記録する。例えば、アクセス識別子生成部３５は、仮名ＩＤテーブル５２ａを仮名ＩＤテーブル５２ｂに更新する。アクセス識別子生成部３５は、アクセス識別子を決定すると、アクセス識別子と第２セッションＩＤの組合せをシーケンス管理部３７に通知する。すると、シーケンス管理部３７は、アクセス識別子生成部３５から通知されたアクセス識別子がデータサーバ１０で登録されているかを特定するための状態テーブル５４を更新する。例えば、アクセス識別子生成部３５は、図１５に示す状態テーブル５４ａのように状態テーブル５４を更新することができる。

さらに、アクセス識別子生成部３５は、アクセス識別子をデータサーバ１０に登録するための登録要求メッセージを生成する。登録要求メッセージを生成するために、アクセス識別子生成部３５は、アカウントテーブル５３（図６）を参照することにより、アクセス識別子を登録するデータサーバ１０に割り当てられたアドレスやＵＲＬを特定する。以下の説明では、データサーバ１０に割り当てられたＵＲＬとして「https://abc.ed.jp」が特定されたとする。図１６に登録要求メッセージの例を示す。図１６に示す登録要求メッセージは、後述するように、ＨＴＴＰリダイレクトを用いて通信装置６０からデータサーバ１０に送信される。アクセス識別子生成部３５は、特定したアドレスを含む登録要求メッセージを、第２セッションＩＤで識別される通信先に送信する。

（Ｂ７）登録要求メッセージを受信した受信部６２は、登録要求メッセージをセッション管理部６７に出力する。セッション管理部６７は、登録要求メッセージを用いて、連携テーブル７２ｃ（図１４）を連携テーブル７２ｄ（図１５）に更新する。さらに、セッション管理部６７は、登録要求メッセージを、データサーバ１０に向けて送信する。例えば、セッション管理部６７は、図１６に示す登録要求メッセージを受信すると、データサーバ１０に向けた登録要求メッセージに変形した上で、送信部６３を介して、データサーバ１０に送信する。

（Ｂ８）登録要求メッセージを受信したデータサーバ１０の受信部１２は、受信した登録要求メッセージを認証部１５に出力する。認証部１５は、登録要求メッセージに第３セッションＩＤが含まれているかを判定する。第３セッションＩＤが含まれていない場合、認証部１５は、登録要求メッセージの送信元に認証を要求する。ここでは、通信装置６０とデータサーバ１０の間で認証が行われていないため、認証部１５は、送信部１３を介して、通信装置６０に認証要求メッセージを送信する。このとき、認証部１５は、登録要求メッセージに含まれているアクセス識別子を、認証要求メッセージに含める。従って、ここでは、アクセス識別子ａｃ００１を含む認証要求メッセージが通信装置６０に向けて送信される。

（Ｂ９）通信装置６０の受信部６２は、認証要求メッセージを代理認証部６６に出力する。代理認証部６６は、認証要求メッセージ中のアクセス識別子をキーとして連携テーブル７２ｄ（図１５）を検索する。連携テーブル７２ｄより、要求された認証は、ユーザＩＤ「ｈａｎａｋｏ」に関連したhttps://abc.ed.jpへのアクセスであることを特定する。そこで、代理認証部６６は、ユーザＩＤとアクセス先をキーとしてＩＤ管理テーブル７１を検索することにより、認証に使用するアカウントとパスワードを特定する。ＩＤ管理テーブル７１は、データサーバ１０に認証を要求する際のアカウントとして、ユーザごとに決定されているユーザアカウントを記録している。従って、通信装置６０からデータサーバ１０への認証では、ユーザアカウントが用いられる。例えば、ＩＤ管理テーブル７１が図８の通りであると、認証に使用されるアカウントは９８６０１２、パスワードはｐｗｘｘｘである。代理認証部６６は、ＩＤ管理テーブル７１を用いて特定したアカウントとパスワードを用いて、データサーバ１０に認証を要求する。

（Ｂ１０）データサーバ１０の受信部１２は、通信装置６０からの認証要求を認証部１５に出力する。認証部１５は、予め記憶しているユーザアカウントとパスワードの組合せのいずれかと一致するアカウントとパスワードの組合せを含む認証要求が入力されると、通信装置６０からのアクセスを許可する。さらに、認証部１５は、新たに認証に成功したユーザのユーザアカウントをセッション管理部１６に出力する。セッション管理部１６は、認証部１５から通知されたユーザアカウントに対して、第３セッションＩＤを生成する。さらに、セッション管理部１６は、仮名ＩＤテーブル２１を用いて、新たに生成した第３セッションＩＤと仮名ＩＤを対応付けることにより、セッション管理テーブル２２を生成する。例えば、９８６０１２というアカウントからのアクセスに、ｚｚｚｚｚｚｚという第３セッションＩＤが割り当てられたとする。すると、セッション管理部１６は、図１７に示すセッション管理テーブル２２ａを生成する。セッション管理部１６は、通信装置６０に、認証の成功と第３セッションＩＤを通知する。

（Ｂ１１）認証の成功を通知するメッセージを受信した受信部６２は、そのメッセージをセッション管理部６７に出力する。セッション管理部６７は、入力されたメッセージを処理することにより、連携テーブル７２ｄ（図１５）を連携テーブル７２ｅ（図１７）に更新する。セッション管理部６７は、アクセス識別子ａｃ００１と第３セッションＩＤを含む登録要求メッセージを生成する。登録要求メッセージは、送信部６３を介して、データサーバ１０に送信される。

（Ｂ１２）第３セッションＩＤを含む登録要求メッセージを受信すると、受信部１２は、受信したメッセージをセッション管理部１６に出力する。セッション管理部１６は、入力された登録要求メッセージに含まれている第３セッションＩＤをキーとして、セッション管理テーブル２２を検索する。セッション管理部１６は、ヒットしたエントリに、登録要求メッセージによって通知されたアクセス識別子を対応付けて登録する。この処理により、例えば、図１７に示すセッション管理テーブル２２ａは、セッション管理テーブル２２ｂのように更新される。セッション管理テーブル２２の更新が終了すると、セッション管理部１６は、アクセス識別子の登録の完了を通信装置６０に通知するための登録完了メッセージを生成し、送信部１３を介して、通信装置６０に送信する。このとき、登録完了メッセージには、登録が完了したアクセス識別子が含まれているものとする。

（Ｂ１３）受信部６２は、登録完了メッセージを受信すると、セッション管理部６７に出力する。セッション管理部６７は、登録完了メッセージに含まれているアクセス識別子について、登録が完了したことを解析サーバ３０に通知するメッセージ（登録完了通知メッセージ）を生成する。このとき、セッション管理部６７は、図１７に示す連携テーブル７２ｅを用いて、解析サーバ３０に割り当てられているアドレスと、第２セッションＩＤを特定する。

（Ｃ１）図１２Ｂと図１８を参照しながら、アクセス識別子がデータサーバ１０に登録された後の情報の更新の例を説明する。解析サーバ３０の受信部３２は、通信装置６０から登録完了通知メッセージを受信すると、そのメッセージをアクセス識別子生成部３５とシーケンス管理部３７に出力する。シーケンス管理部３７は、登録完了通知メッセージを用いて、状態テーブル５４ａ（図１５）を状態テーブル５４ｂ（図１８）に更新する。アクセス識別子生成部３５は、登録の完了が通知されたアクセス識別子に対応付けられた仮名ＩＤを要求するメッセージ（仮名ＩＤ要求メッセージ）を生成する。仮名ＩＤ要求メッセージを生成する際に、アクセス識別子生成部３５は、仮名ＩＤテーブル５２を参照することにより、通知が完了したアクセス識別子に対応付けられたグループアカウントを取得する。例えば、アクセス識別子生成部３５は、仮名ＩＤテーブル５２ｂ（図１５）を参照して、グループアカウントｄ００１を取得する。アクセス識別子生成部３５は、取得したグループアカウントをキーとしてアカウントテーブル５３を検索することにより、データサーバ１０のアドレスを取得する。アクセス識別子生成部３５は、データサーバ１０に向けて、仮名ＩＤ要求メッセージを送信する。

（Ｃ２）データサーバ１０の受信部１２は、仮名ＩＤ要求メッセージをセッション管理部１６に出力する。セッション管理部１６は、セッション管理テーブル２２を参照することにより、要求された仮名ＩＤを特定する。例えば、アクセス識別子ａｃ００１に対応付けられた仮名ＩＤが要求されると、セッション管理部１６は、セッション管理テーブル２２ｂ（図１７）に基づいて、仮名ＩＤ＝１２３４５６を解析サーバ３０に通知する。

データサーバ１０から仮名ＩＤを通知されると、受信部３２は、仮名ＩＤの通知をアクセス識別子生成部３５と出力部４２に出力する。アクセス識別子生成部３５は、入力された情報を用いて、仮名ＩＤテーブル５２ｂ（図１５）を仮名ＩＤテーブル５２ｃ（図１８）に更新する。

（Ｂ１４）出力部４２は、データサーバ１０から通知された仮名ＩＤに対応付けられた解析結果を含むパケットを生成し、送信部３３に出力する。送信部３３は、手順（Ｂ１３）の応答として、解析結果を含むパケットを通信装置６０に送信する。なお、解析結果は暗号化されているものとする。例えば、仮名ＩＤ＝１２３４５６の場合、出力部４２は、図１１（ｃ）に示す解析結果を、通信装置６０に送信する。

（Ａ１０）解析結果を含むパケットを解析サーバ３０から受信すると、受信部６２は、セッション管理部６７に出力する。セッション管理部６７は、入力されたパケットに含まれる情報を、送信部６３を介して端末８０に送信する。ここで、セッション管理部６７は、端末８０を特定するために、連携テーブル７２の情報を用いることができる。解析結果を含むパケットは、手順（Ａ９）の応答として端末８０に送信される。なお、手順（Ａ９）から（Ａ１０）までの間、ｋｅｅｐ−ａｌｉｖｅなどにより、通信装置６０と端末８０の間の通信は継続されているものとする。端末８０は、通信装置６０から送信されてきたデータを適宜、復号する。アプリケーション処理部８５は、表示装置８６に解析結果を表示することができる。

図１９は、解析サーバ３０の動作の例を説明するフローチャートである。受信部３２は、メッセージを受信すると、受信したメッセージをアクセス識別子生成部３５に出力する（ステップＳ１）。アクセス識別子生成部３５は、入力されたメッセージが要求メッセージであるかを判定する（ステップＳ２）。要求メッセージを受信したと判定すると、アクセス識別子生成部３５は、要求メッセージの送信元との間の認証が終了しているかを判定する（ステップＳ３）。例えば、アクセス識別子生成部３５は、要求メッセージに第２セッションＩＤが含まれている場合に認証済みと判定し、第２セッションＩＤが含まれていない場合、認証が終わっていないと判定する。認証が終わっていないと判定した場合、アクセス識別子生成部３５は、認証部３４に認証処理を要求し、認証部３４は、要求メッセージの送信元との間での認証を行う（ステップＳ３でＮｏ、ステップＳ４）。通信装置６０と解析サーバ３０の間の認証が成功すると、アクセス識別子生成部３５は、通信装置６０にアクセス識別子を割り当てる（ステップＳ５でＹｅｓ、ステップＳ７）。さらに、アクセス識別子生成部３５は、割り当てたアクセス識別子を、通信装置６０に対応付けられた第２セッションＩＤに対応付けて、仮名ＩＤテーブル５２に記録する。アクセス識別子生成部３５は、送信部３３を介して、アクセス識別子を含む登録要求を、要求メッセージの送信元に送信する（ステップＳ８）。アクセス識別子生成部３５は、認証に失敗した通信装置６０については、アクセス識別子を生成せずに処理を終了する（ステップＳ５でＮｏ）。

認証済みの通信装置６０がサービス要求メッセージの送信元である場合、アクセス識別子生成部３５は、要求メッセージから第２セッションＩＤを抽出する（ステップＳ３でＹｅｓ）。さらに、アクセス識別子生成部３５は、抽出した第２セッションＩＤに対応付けて仮名ＩＤが仮名ＩＤテーブル５２に記録されているかを判定する（ステップＳ６）。第２セッションＩＤに対応付けられた仮名ＩＤが仮名ＩＤテーブル５２に記録されていない場合、アクセス識別子生成部３５は、ステップＳ７以降の処理を行う（ステップＳ６でＮｏ）。第２セッションＩＤに対応付けられた仮名ＩＤが仮名ＩＤテーブル５２に記録されている場合、アクセス識別子生成部３５は、第２セッションＩＤに対応付けられた仮名ＩＤを取得する（ステップＳ６でＹｅｓ、ステップＳ９）。さらに、アクセス識別子生成部３５は取得した仮名ＩＤを出力部４２に出力する。出力部４２は、アクセス識別子生成部３５から入力された仮名ＩＤに対応付けて記憶されている解析結果を、要求メッセージの送信元に送信するためのパケットを生成し、通信装置６０に向けて送信する（ステップＳ１０）。

入力されたメッセージが要求メッセージではない場合、アクセス識別子生成部３５は、登録完了通知メッセージが入力されたかを判定する（ステップＳ１１）。入力されたメッセージが登録完了通知メッセージである場合、アクセス識別子生成部３５は、仮名ＩＤ要求メッセージを、解析対象のデータの送信元であるデータサーバ１０に送信する（ステップＳ１１でＹｅｓ、ステップＳ１２）。

一方、入力されたメッセージが登録完了通知メッセージでもない場合、アクセス識別子生成部３５は、仮名ＩＤ応答メッセージが入力されたかを判定する（ステップＳ１１でＮｏ、ステップＳ１３）。入力されたメッセージが仮名ＩＤ応答メッセージである場合、アクセス識別子生成部３５は、通知された仮名ＩＤを抽出し、出力部４２に通知する（ステップＳ１３でＹｅｓ）。出力部４２は、アクセス識別子生成部３５から入力された仮名ＩＤに対応付けて記憶されている解析結果を、要求メッセージの送信元に送信するためのパケットを生成し、通信装置６０に向けて送信する（ステップＳ１４）。なお、入力されたメッセージが、要求メッセージ、登録完了通知メッセージ、仮名ＩＤ応答メッセージのいずれでもない場合、アクセス識別子生成部３５は、処理を終了する（ステップＳ１３でＮｏ）。

図２０Ａ、図２０Ｂは、通信装置６０の動作の例を説明するフローチャートである。受信部６２は、メッセージを受信する（ステップＳ２１）。受信部６２は、端末８０からの解析結果要求を受信した場合、解析結果要求を認証部６４に出力する（ステップＳ２２でＹｅｓ）。認証部６４は、認証済みの端末８０から解析結果要求を受信したかを判定する（ステップＳ２３）。解析結果要求の送信元が認証済みの端末８０である場合、認証部６４は、解析結果要求をセッション管理部６７に出力する。セッション管理部６７は、解析サーバ３０へのアクセスに使用するグループアカウントを、ＩＤ管理テーブル７１を参照して特定する。このとき、セッション管理部６７は、その端末８０に対応付けられたユーザＩＤと、解析結果要求で通知された解析サーバ３０のＵＲＬをキーとして、ＩＤ管理テーブル７１を検索する（ステップＳ２３でＹｅｓ、ステップＳ２４）。セッション管理部６７は、グループアカウントを用いて、解析サーバ３０あての要求メッセージを生成し、送信部６３を介して、解析サーバ３０に送信する（ステップＳ２５）。一方、ステップＳ２３で認証が終了していない端末８０からの解析結果要求を受信したと判定すると、認証部６４は、端末８０に認証を要求し、端末８０との間の認証処理を行う（ステップＳ２６）。

受信したメッセージが解析結果要求ではない場合、受信部６２は、端末８０からログアウトが要求されているかを判定する（ステップＳ２２でＮｏ、ステップＳ２７）。端末８０からログアウトが要求された場合、受信部６２は受信したメッセージをセッション管理部６７に出力する（ステップＳ２７でＹｅｓ）。セッション管理部６７は、ログアウトを要求している端末８０から通知された第１セッションＩＤを含むエントリを連携テーブル７２から削除する（ステップＳ２８）。

受信部６２は、ステップＳ２７で端末８０からログアウトが要求されていないと判定した場合、認証要求を受信したかを判定する（ステップＳ２９）。認証要求を受信していると判定した場合、受信部６２は、認証要求を代理認証部６６に出力する。代理認証部６６は、認証要求の送信元が解析サーバ３０であるかを判定する（ステップＳ３０）。解析サーバ３０から認証が要求されている場合、代理認証部６６は、グループアカウントと、グループアカウントに対応付けられたパスワードを用いて、解析サーバ３０との間の認証処理を行う（ステップＳ３１）。一方、解析サーバ３０から認証が要求されていない場合、代理認証部６６は、データサーバ１０からの認証要求を受信したと判定する。そこで、代理認証部６６は、データサーバ１０との通信に用いるユーザアカウントと、ユーザアカウントに対応付けられたパスワードを用いて、データサーバ１０との間の認証処理を行う（ステップＳ３２）。

一方、ステップＳ２９において、認証要求を受信していないと判定した場合、受信部６２は、認証の成功が通知されているかを判定する（ステップＳ３３）。認証の成功が通知されている場合、受信部６２は、受信したメッセージをセッション管理部６７に出力する。セッション管理部６７は、認証成功の通知の送信元が解析サーバ３０であるかを判定する（ステップＳ３４）。送信元が解析サーバ３０である場合、セッション管理部６７は、解析サーバ３０に向けて、要求メッセージを送信する（ステップＳ３４でＹｅｓ、ステップＳ３５）。認証成功の通知の送信元が解析サーバ３０ではない場合、セッション管理部６７は、送信元がデータサーバ１０であるかを判定する（ステップＳ３４でＮｏ、ステップＳ３６）。送信元がデータサーバ１０である場合、セッション管理部６７は、データサーバ１０に向けて、アクセス識別子の登録要求を送信する（ステップＳ３６でＹｅｓ、ステップＳ３７）。認証成功の通知の送信元が解析サーバ３０とデータサーバ１０のいずれでもない場合、セッション管理部６７は、処理を終了する（ステップＳ３６でＮｏ）。

受信部６２は、ステップＳ３３で認証成功が通知されていないと判定すると、アクセス識別子の通知を受信したかを判定する（ステップＳ３８）。アクセス識別子の通知を受信した場合、受信部６２は、受信したメッセージをセッション管理部６７に出力する。ここで、アクセス識別子の通知は、リダイレクト先をデータサーバ１０に指定したリダイレクトメッセージであるものとする。セッション管理部６７は、リダイレクトメッセージを用いて、データサーバ１０宛てであり、かつ、アクセス識別子を含むＨＴＴＰメッセージを生成し、送信部６３を介して送信する（ステップＳ３８でＹｅｓ、ステップＳ３９）。

一方、ステップＳ３８において、受信したメッセージがアクセス識別子の通知でもないと判定した場合、受信部６２は、解析サーバ３０から解析結果を受信したかを判定する（ステップＳ４０）。解析サーバ３０から解析結果を受信した場合、受信部６２は、受信したメッセージをセッション管理部６７に出力する。セッション管理部６７は、解析結果要求を送信したユーザの端末８０に、送信部６３を介して、解析結果を送信する（ステップＳ４０でＹｅｓ、ステップＳ４１）。ステップＳ４０で解析結果を受信していないと判定した場合、受信部６２は処理を終了する。

このように、第１の実施形態に係る方法によると、通信装置６０は、解析結果を要求するユーザの仮名ＩＤを取得しなくても、解析サーバ３０に、解析結果を要求することができる。このため、解析サーバ３０からデータサーバ１０に解析結果が送信されず、データサーバ１０から端末８０に解析結果が送信されることもない。従って、データサーバ１０への負荷が減少する上、ネットワーク中のトラフィックが削減される。また、仮名ＩＤは、データサーバ１０から解析サーバ３０に通知されるが、通信装置６０や端末８０には通知されない。このため、仮名ＩＤの秘匿性が高い。さらに、端末８０を使用するユーザの個人情報など、秘匿の対象となるデータは通信装置６０から解析サーバ３０に送信されない上、データサーバ１０からも通知されない。このため、端末８０のユーザやデータサーバ１０の運営者とは無関係の第３者によって解析サーバ３０が運営されていても、個人情報等の漏洩の恐れがない。

＜第２の実施形態＞
第２の実施形態では、ユーザからの解析結果の要求に対して、解析サーバはアクセス識別子を生成せず、データサーバ１０が仮トークンを発行する場合について説明する。ここで、仮トークンは、仮名ＩＤを一意に識別するために１回のログイン中に有効に使用できる識別子である。なお、この場合、解析サーバは、要求メッセージを識別する識別情報を含むメッセージを生成することができる。

図２１は、第２の実施形態で使用される解析サーバ９０の構成の例を示す。解析サーバ９０は、ゲートウェイ部９１、認証部３４、アプリケーション処理部４０、記憶部９３を備える。ゲートウェイ部９１は、仮トークン要求生成部９２を備える。仮トークン要求生成部９２は、通信装置６０から要求メッセージを受信すると、仮トークン要求メッセージを生成する。記憶部９３は、仮名ＩＤテーブル９４を保持する。仮名ＩＤテーブル９４（９４ａ、９４ｂ）は、図２２に示すように、第２セッションＩＤ、グループアカウント、仮トークン、仮名ＩＤを対応付ける。

ゲートウェイ部９１は、仮トークン要求生成部９２の他に、受信部３２、送信部３３、アドレス解決部３６、シーケンス管理部３７を備える。記憶部９３は、仮名ＩＤテーブル９４の他にデータ５１、アカウントテーブル５３、状態テーブル５４を保持する。受信部３２、送信部３３、アドレス解決部３６、シーケンス管理部３７、認証部３４、アプリケーション処理部４０、データ５１、アカウントテーブル５３、状態テーブル５４は、第１の実施形態と同様である。

図２３Ａと図２３Ｂは、第２の実施形態で行われる通信の例を説明するシーケンス図である。第２の実施形態でも、通信装置６０と端末８０の間で行われる通信は、第１の実施形態と同様である。

通信装置６０と解析サーバ９０の間では、手順（Ｄ１）〜手順（Ｄ１４）の処理が行われる。手順（Ｄ１）〜手順（Ｄ５）は、図１２Ａを参照しながら説明した手順（Ｂ１）〜手順（Ｂ５）と同様である。

（Ｄ６）仮トークン要求生成部９２は、要求メッセージに含まれている第２セッションＩＤに仮トークンが対応付けられているかを、仮名ＩＤテーブル９４を参照して判定する。以下、受信した要求メッセージに含まれている第２セッションＩＤがＳ０００１であり、解析サーバ９０が仮名ＩＤテーブル９４ａを保持しているとする。すると、要求メッセージに含まれている第２セッションＩＤは仮トークンが対応付けられていないので、仮トークン要求生成部９２は、仮トークン要求メッセージを生成する。

図２４は、第２の実施形態で用いられるメッセージの例を示す図である。仮トークン要求生成部９２は、例えば、図２４（ａ）に示すメッセージを、仮トークン要求メッセージとして生成することができる。仮トークン要求メッセージには、データサーバ１０のアドレスが含まれる。解析サーバ９０がデータサーバ１０のＵＲＬを特定する方法は、第１の実施形態で解析サーバ３０がデータサーバ１０のＵＲＬを特定する方法と同様である。なお、図２４（ａ）は例であり、例えば、仮トークン要求メッセージ中に第２セッションＩＤを含めるなど、仮トークンメッセージ中の情報要素を実装に応じて変更できる。

（Ｄ７）通信装置６０の受信部６２は、仮トークン要求メッセージをセッション管理部６７に出力する。セッション管理部６７は、ＨＴＴＰリダイレクトにより、仮トークン要求メッセージをデータサーバ１０に送信する。

さらに、セッション管理部６７は、仮トークン要求メッセージを用いて、連携テーブル７２の情報のうち、仮トークン要求メッセージの生成の契機となった要求メッセージで解析結果を要求しているユーザに関するエントリを更新する。例えば、ユーザＩＤがｈａｎａｋｏであるユーザについて、セッション管理部６７は、図２２の連携テーブル７２ｆに示すとおりに更新する。このとき、セッション管理部６７は、仮トークン要求メッセージが要求メッセージの応答メッセージとして送信されることを利用して、仮トークン要求メッセージの生成の契機となった要求メッセージを一意に特定する。なお、仮トークン要求メッセージに第２セッションＩＤが含まれている場合、セッション管理部６７は、第２セッションＩＤを用いて、連携テーブル７２から更新するエントリを選択することもできる。

手順（Ｄ８）〜手順（Ｄ１０）は、図１２Ａを参照しながら説明した手順（Ｂ８）〜手順（Ｂ１０）と同様である。

（Ｄ１１）認証の成功を通知するメッセージを受信した受信部６２は、そのメッセージをセッション管理部６７に出力する。セッション管理部６７は、データサーバ１０から通知された第３セッションＩＤと解析サーバ９０の情報を含めた仮トークン要求メッセージを生成し、送信部６３に出力する。ここで、解析サーバ９０の情報は、データサーバ１０が解析サーバ９０を一意に特定できる任意の情報である。解析サーバ９０の情報として、例えば、解析サーバ９０の解析結果の閲覧サービスを提供しているＵＲＬや、データサーバ１０と解析サーバ９０の間で解析サービスの契約を締結したときに決定される識別子などが使用される。送信部６３は、仮トークン要求メッセージをデータサーバ１０に送信する。

（Ｄ１２）第３セッションＩＤを含む仮トークン要求メッセージを受信すると、受信部１２は、受信したメッセージをセッション管理部１６に出力する。セッション管理部１６は、入力されたメッセージに含まれている第３セッションＩＤをキーとして、セッション管理テーブル２２を検索する。さらにセッション管理部１６は、ヒットしたエントリに対応する仮トークンを生成し、セッション管理テーブル２２に記録する。ここでは、図２２に示すセッション管理テーブル２２ｃが生成される。

仮トークンを生成すると、セッション管理部１６は、仮トークンを通信装置６０に通知するための仮トークン通知メッセージを生成し、送信部１３を介して、通信装置６０に送信する。仮トークン通知メッセージの例を図２４（ｂ）に示す。図２４（ｂ）に示す例では、仮トークン通知メッセージは、解析サーバ９０をリダイレクト先としたリダイレクトメッセージである。

（Ｄ１３）受信部６２は、仮トークン通知メッセージを受信すると、セッション管理部６７に出力する。セッション管理部６７は、仮トークン通知メッセージのあて先を書き換え、送信部６３を介して、解析サーバ９０に仮トークン通知メッセージを送信する。さらに、セッション管理部６７は、仮トークン通知メッセージを用いて、連携テーブルを連携テーブル７２ｇ（図２２）に示すように更新する。

（Ｅ１）解析サーバ９０の受信部３２は、仮トークン通知メッセージを仮トークン要求生成部９２に出力する。仮トークン要求生成部９２は、仮トークン通知メッセージに含まれている仮トークンに対応する仮名ＩＤを問い合わせるメッセージ（仮名要求メッセージ）を生成し、送信部３３に出力する。送信部３３は、データサーバ１０に仮名要求メッセージを送信する。

（Ｅ２）データサーバ１０の受信部１２は、仮名要求メッセージをセッション管理部１６に出力する。セッション管理部１６は、セッション管理テーブル２２を参照することにより、要求された仮名ＩＤを特定する。例えば、仮トークンｋｔｋ００１に対応付けられた仮名ＩＤが要求されると、セッション管理部１６は、セッション管理テーブル２２ｃに基づいて、仮名ＩＤ＝１２３４５６を解析サーバ９０に通知する。

データサーバ１０から仮名ＩＤを通知されると、受信部３２は、仮名ＩＤの通知を仮トークン要求生成部９２と出力部４２に出力する。仮トークン要求生成部９２は、入力された情報を用いて、仮名ＩＤテーブル９４ａを仮名ＩＤテーブル９４ｂに更新する。

手順（Ｄ１４）は、図１２Ａを参照しながら説明した手順（Ｂ１４）と同様である。
第２の実施形態に係る方法では、解析サーバ９０がアクセス識別子を生成せず、データサーバ１０により生成された仮トークンが用いられる。このため、解析サーバ９０の処理負担を軽減することができる。また、仮名ＩＤは、通信装置６０や端末８０には通知されないので、仮名ＩＤの秘匿性が高い。さらに、端末８０を使用するユーザの個人情報なども解析サーバ９０には提供されない。また、第２の実施形態に係る方法でも、解析サーバ９０からデータサーバ１０に解析結果が送信されず、データサーバ１０から端末８０に解析結果が送信されることもない。従って、データサーバ１０の負荷を軽減することができる。

＜その他＞
なお、実施形態は上記に限られるものではなく、様々に変形可能である。以下にその例をいくつか述べる。

（１）クラウドコンピューティングを用いるシステムへの適用
上述の第１および第２の実施形態を含む実施形態は、クラウドコンピューティングを用いるシステムに適用することができる。クラウドコンピューティングを用いるシステムは、解析対象がいわゆるビッグデータと呼ばれるような、データ量が多く、かつ、データ自体も複雑なデータの場合に適している。クラウドコンピューティングを用いるシステムの場合、端末８０は、個々のユーザが使用するコンピュータ、スマートフォンなどである。一方、データサーバ１０は、ユーザが所属するグループにより運営されているプライベートクラウド中のサーバである。さらに、通信装置６０は、ユーザがデータサーバ１０にアクセスするためのポータルサイトを提供するととともに、ユーザのための代理認証処理を行うことができるサーバである。

このようなシステムでは、個々のユーザから得られたデータがプライベートクラウド中のデータサーバ１０に保持され、データサーバ１０において置換データが生成される。データサーバ１０は、解析サーバ３０に置換データを送信して解析を依頼する。各ユーザは、データの解析が終わると、通信装置６０を介して解析サーバ３０にアクセスする。解析サーバ３０は、第１または第２の実施形態で示した方法により、仮名ＩＤを取得し、要求された解析結果を通信装置６０に送信する。このとき、解析サーバ３０は、通信装置６０に送信した解析結果を保存しておく。解析結果は通信装置６０から端末８０に送信されるので、ユーザは、端末８０を用いて解析結果を閲覧できる。なお、解析サーバ３０の代わりに解析サーバ９０が用いられている場合も同様である。

従って、クラウドコンピューティングを用いたシステムに前述の実施形態を適用すると、仮名ＩＤが通信装置６０や端末８０に通知されないため、仮名ＩＤの漏洩が起こりにくい。また、各ユーザの個人情報などを含む秘匿情報は、プライベートクラウドから外部に出されない。さらに、膨大なデータをデータサーバ１０に保存しなくても良いため、データサーバ１０にかかる負担を軽減できる。

（２）その他の変形例
グループ識別子は、解析サーバ３０においてグループを一意に識別できる任意の情報とすることができる。例えば、グループアカウントや、グループアカウントを用いた認証で発行されたセッションＩＤなどが、グループ識別子として使用される。同様に、ユーザ識別子は、データサーバ１０においてユーザを一意に識別できる任意の情報とすることができる。例えば、ユーザアカウントや、ユーザアカウントを用いた認証により発行されたセッションＩＤなどがユーザ識別子として使用されうる。

以上の説明では、端末８０、通信装置６０、データサーバ１０、解析サーバ３０がネットワーク中に１つずつの場合を例として説明したが、ネットワーク中の端末８０、通信装置６０、データサーバ１０、解析サーバ３０の数は任意である。解析サーバ３０が複数存在しても、通信装置６０は、解析サーバ３０にアクセスする際には、端末８０からアクセス先を通知されるので、アクセス先を特定することができる。また、データサーバ１０が複数存在しても、通信装置６０は、データサーバ１０にアクセスする際には、解析サーバ３０から通知されたＵＲＬなどの情報を用いて、アクセス先のデータサーバ１０を特定できる。データサーバ１０や解析サーバ３０が複数含まれているネットワークでも、通信装置６０は、ＩＤ管理テーブル７１を用いて、アクセスの際に使用するアカウントとパスワードを特定できる。さらに、端末８０が複数存在する場合、個々のユーザは第１〜第３セッションＩＤやアクセス識別子などで区別できるので、データサーバ１０、解析サーバ３０や通信装置６０は、複数のユーザからの要求を並行して処理できる。第２の実施形態でも、同様に、ネットワーク中の端末８０、通信装置６０、データサーバ１０、解析サーバ９０の数は任意である。

以上の説明で使用したテーブルはいずれも例示であり、実装に応じて、各テーブルに含まれる情報要素は変更されることがある。また、説明を簡単にするために、通信装置６０、データサーバ１０、解析サーバ３０のいずれも１つのサーバである場合を例として説明したが、これも例である。例えば、通信装置６０の動作が任意の複数の通信装置を用いて実現されるように設計が変更されることがあるものとする。また、データサーバ１０、解析サーバ３０についても同様に、複数の通信装置により処理が実現されてもよいものとする。

５ インターネット
１０ データサーバ
１１、３１、６１、９１ ゲートウェイ部
１２、３２、６２、８２ 受信部
１３、３３、６３、８１ 送信部
１４、８３ 秘匿復元処理部
１５、３４、６４ 認証部
１６、６７、８４ セッション管理部
１７ 仮名ＩＤ管理部
１８、４０、８５ アプリケーション処理部
２０、５０、７０、９３ 記憶部
２１、５２、９４ 仮名ＩＤテーブル
２２ セッション管理テーブル
３０ 解析サーバ
３５ アクセス識別子生成部
３６ アドレス解決部
３７、６８ シーケンス管理部
４１ 解析部
４２ 出力部
５１ データ
５３ アカウントテーブル
５４ 状態テーブル
６０ 通信装置
６５ ＩＤ管理部
６６ 代理認証部
８６ 表示装置
８７ 復元処理部
９２ 仮トークン要求生成部
１０１ プロセッサ
１０２ メモリ
１０３ 入力装置
１０４ 出力装置
１０５ バス
１０６ 外部記憶装置
１０７ 媒体駆動装置
１０８ 可搬記憶媒体
１０９ ネットワーク接続装置
１１０ ネットワーク

特開２０１１−１４５７５４号公報 特開２００８−４２８１９号公報

Claims (8)

1. 情報を解析する解析サーバと、
   ユーザに対応付けてデータを保持し、前記データ中の前記ユーザについての秘匿される情報である秘匿情報を仮名に置き換えた置換データを、前記解析サーバに送信するデータサーバと、
   前記解析サーバで得られた解析結果の送信を要求する通信装置
   を備え、
   前記解析サーバは、前記置換データの解析結果を、前記解析結果の生成に使用した置換データに含まれる仮名に対応付けて記憶し、
   前記解析サーバは、前記通信装置から解析結果の送信を要求する要求メッセージを受信すると、前記要求メッセージを識別する識別情報を前記通信装置に送信し、
   前記データサーバは、前記解析結果を要求するユーザを識別するユーザ識別子と前記識別情報を対応付けた情報を前記通信装置から受信すると、前記ユーザ識別子で識別されるユーザの置換データに含まれる仮名である対象仮名を、前記解析サーバに通知し、
   前記解析サーバは、前記対象仮名に対応付けられた解析結果を前記通信装置に送信する
   ことを特徴とする通信システム。
2. 前記通信装置は、前記データサーバにデータが保持されているユーザのグループに対して割り当てられた識別子であるグループ識別子に対応付けて、前記要求メッセージを前記解析サーバに送信し、
   前記識別情報は、前記要求メッセージを識別する要求識別子であり、
   前記通信装置は、前記要求識別子を前記ユーザ識別子と対応付けて、前記データサーバに送信し、
   前記データサーバは、前記通信装置から受信したユーザ識別子を含む秘匿情報と置き換えた仮名を前記対象仮名に決定する
   ことを特徴とする請求項１に記載の通信システム。
3. 前記通信装置は、前記データサーバにデータが保持されているユーザのグループに対して割り当てられた識別子であるグループ識別子に対応付けて、前記要求メッセージを前記解析サーバに送信し、
   前記識別情報は、前記要求メッセージにより送信が要求されている解析結果に対応付けられた仮名を識別する仮名識別子の生成を要求するメッセージであり、
   前記通信装置は、前記仮名識別子の生成を要求するメッセージを、前記ユーザ識別子と対応付けて、前記データサーバに送信し、
   前記データサーバは、前記通信装置から受信したユーザ識別子を含む秘匿情報と置き換えた仮名を前記対象仮名に決定し、
   前記データサーバは、前記対象仮名を識別する仮名識別子を前記通信装置に通知し、
   前記通信装置は、前記仮名識別子を前記解析サーバに通知し、
   前記解析サーバは、前記仮名識別子に対応付けられた対象仮名を、前記データサーバから取得する
   ことを特徴とする請求項１に記載の通信システム。
4. 第１のグループ識別子を使用する第１のグループに所属するユーザのデータを保持する第１のデータサーバと、第２のグループ識別子を使用する第２のグループに所属するユーザのデータを保持する第２のデータサーバが、前記通信システムに含まれる場合、
   前記解析サーバは、前記第１のグループ識別子を前記第１のデータサーバを識別する第１のサーバ情報に対応付けるとともに、前記第２のグループ識別子を前記第２のデータサーバを識別する第２のサーバ情報に対応付けるテーブルを備え、
   前記通信装置から前記第１のグループ識別子に対応付けられた要求メッセージを受信すると、前記解析サーバは、前記テーブルを用いて第１のサーバ情報を特定し、
   前記解析サーバは、前記識別情報と前記第１のサーバ情報を、前記通信装置に送信し、
   前記通信装置は、前記第１のサーバ情報で識別されるデータサーバに、前記識別情報と前記ユーザ識別子を通知する
   ことを特徴とする請求項２または３に記載の通信システム。
5. 前記通信装置に前記解析結果の取得を要求する端末をさらに備え、
   前記通信装置は、
   前記端末から前記解析結果の取得を要求されると、前記データサーバにデータが保持されているユーザのグループに対して割り当てられた識別子であるグループ識別子を用いて、前記解析サーバに前記要求メッセージを送信し、
   前記解析サーバから前記対象仮名に対応付けられた解析結果を受信すると、受信した解析結果を前記端末に送信する、
   ことを特徴とする請求項１〜４のいずれかに記載の通信システム。
6. ユーザに対応付けてデータを保持するデータサーバは、前記データ中の前記ユーザについての秘匿される情報である秘匿情報を仮名に置き換えた置換データを生成し、
   前記データサーバは、前記置換データを解析サーバに送信し、
   前記解析サーバは、
   前記置換データを解析し、
   前記置換データの解析結果を、前記解析結果の生成に使用した置換データに含まれる仮名に対応付けて記憶し、
   通信装置から解析結果の送信を要求する要求メッセージを受信すると、前記要求メッセージを識別する識別情報を前記通信装置に送信し、
   前記データサーバは、前記解析結果を要求するユーザを識別するユーザ識別子と前記識別情報を対応付けた情報を前記通信装置から受信すると、前記ユーザ識別子で識別されるユーザの置換データに含まれる仮名である対象仮名を、前記解析サーバに通知し、
   前記解析サーバは、前記対象仮名に対応付けられた解析結果を前記通信装置に送信する
   ことを特徴とする通信方法。
7. ユーザのデータを保持するサーバから、仮名に対応付けられたデータを受信する受信部と、
   前記データを解析して解析結果を生成する解析部と、
   前記解析結果を、前記解析結果の生成に用いたデータに対応付けられた仮名に対応付けて記憶する記憶部と、
   前記解析結果を要求する要求メッセージを前記受信部が受信すると、前記要求メッセージに対応付けた識別情報を生成する生成部と
   前記要求メッセージの送信元に前記識別情報を送信する送信部と、
   前記送信元から前記解析結果を要求するユーザを識別する情報と前記識別情報を受信した前記サーバから、前記解析結果を要求しているユーザに対応付けられた仮名である対象仮名を取得すると、前記対象仮名に対応付けられた解析結果を、前記送信部を介して前記送信元に出力する出力部
   を備えることを特徴とする通信装置。
8. ユーザのデータを保持するサーバから、仮名に対応付けられたデータを受信し、
   前記データを解析して解析結果を生成し、
   前記解析結果を、前記解析結果の生成に用いたデータに対応付けられた仮名に対応付けて記憶し、
   前記解析結果を要求する要求メッセージを受信すると、前記要求メッセージに対応付けた識別情報を生成し、
   前記要求メッセージの送信元に前記識別情報を送信し、
   前記送信元から前記解析結果を要求するユーザを識別する情報と前記識別情報を受信した前記サーバから、前記解析結果を要求しているユーザに対応付けられた仮名である対象仮名を取得すると、前記対象仮名に対応付けられた解析結果を前記送信元に送信する
   処理をコンピュータに行わせることを特徴とする通信プログラム。

Images