JP2020003988A - サービス支援システム、及びサービス支援方法 - Google Patents

Abstract

【課題】個人情報の外部への不要な送出を防ぎつつ、事業者が行うサービスを支援することができるサービス支援システム、及びサービス支援方法を提供する。【解決手段】サービス支援装置４０は、所定の端末からデータ提供要求を取得するデータ利用者要求取得部４１と、データ提供要求の要求主体に関する個人情報を取得する個人情報取得部４２と、所定の端末から提供可能データを取得する提供可能データ取得部４３と、提供可能データを、要求主体に関する個人情報に基づき加工することにより、データ提供要求に対する応答データである加工データを生成する加工データ生成部４４と、データ提供要求、要求主体に関する個人情報、及び加工データの加工データ生成部の外部への送信を制限する通信制限部４９と、を備える。【選択図】図９

Description

本発明は、サービス支援システム、及びサービス支援方法に関する。

近年のＩＴ（Information Technology）化の進展や人工知能の進化等により、大量のデータを収集してこれを分析し活用することが可能になりつつある。このような背景から、個人又は法人から預かった個人情報を大規模に活用する、いわゆる情報銀行の事業化の検討がなされている。

各種事業における個人情報の活用には様々な手法が提案されている。例えば特許文献１には、ユーザに関する各種情報を蓄積し管理する個人情報データベースと、個人情報データベースによって管理されている情報等に基づきコンピュータネットワークを利用してユーザのために各種サービス提供するパーソナルサービスエージェントとを備え、パーソナルサービスエージェントは、ユーザのための情報を検索・収集し、収集された情報をユーザに合わせて加工してユーザに伝達し、収集された情報からユーザに適した情報を選択して提案し、提案された情報をユーザが実際に利用できるように支援する個人情報管理運用システムが記載されている。

特開２００５−１５７６７２号公報

情報銀行による個人情報の活用業務の一つとして、情報銀行が、事業者の照会に応じて当該情報銀行が保有する顧客の個人情報を提供し、事業者がその結果に基づいて当該顧客に対するサービスを行うといった形態が考えられている。しかしながら、このような業務を行うにあたっては、顧客の個人情報を外部に漏洩させないようにする仕組みが必須である。特に、大量の個人情報を管理するという情報銀行の特性にあっては、個人情報の漏洩は確実に防ぐ必要がある。

本発明はこのような現状に鑑みてなされたものであり、その目的は、個人情報の外部への不要な送出を防ぎつつ、事業者が行うサービスを支援することができるサービス支援システム、及びサービス支援方法を提供することにある。

以上の課題を解決するための本発明の一つは、サービス支援システムであって、所定の端末から、所定のデータ提供要求を取得するデータ利用者要求取得部と、前記データ提供要求の要求主体に関する個人情報を取得する個人情報取得部と、所定の端末から、所定の提供可能データを取得する提供可能データ取得部と、前記取得した提供可能データを、前記取得した要求主体に関する個人情報に基づき加工することにより、前記データ提供要求に対する応答データである加工データを生成する加工データ生成部と、前記取得したデータ提供要求、前記取得した要求主体に関する個人情報、及び前記生成した加工データの前記加工データ生成部の外部への送信を制限する通信制限部と、を備える。

本発明によれば、個人情報の外部への不要な送出を防ぎつつ、事業者が行うサービスを
支援することができる。

第１実施形態におけるサービス支援システムの構成の一例を示す図である。 各情報処理装置が備えるハードウェアの一例を示す図である。 利用者端末が備える機能の一例を説明する図である。 利用者ポリシー管理テーブルの一例を示す図である。 保有者端末が備える機能の一例を説明する図である。 保有者ポリシー管理テーブルの一例を示す図である。 提供者端末が備える機能の一例を説明する図である。 提供者ポリシー管理情報一例を示す図である。 サービス支援装置が備える機能の一例を示す図である。 データ項目対応テーブルのレコード構成の一例を示す図である。 サービス支援処理の一例を説明するフロー図である。 第２実施形態におけるデータ提供装置が備える機能の一例を説明する図である。 図１３は、第２実施形態におけるサービス支援処理の一例を説明するフロー図である。 利用者評価画面の一例を示す図である。 提供者評価画面の一例を示す図である。

［第１実施形態］
まず、第１実施形態のサービス支援システム１について図面を参照しつつ説明する。
＜システム構成＞
図１は、第１実施形態におけるサービス支援システム１の構成の一例を示す図である。サービス支援システム１は、企業等の業務の遂行にとって有用な様々なデータ（以下、提供可能データという。例えば、地図情報、気象情報等。）を記憶し、これらを顧客に提供するサービスを行う事業者（以下、データ提供者という。）により管理されているデータ提供者端末３０と、前記のデータ（以下、利用データという。）を適宜活用して様々な業務を行う者（以下、データ利用者という。個人の場合も法人の場合もある。）が管理する利用者端末１０と、データ利用者の個人情報又は法人情報（以下、両者をあわせて個人情報という。）を管理する者（以下、データ保有者という。）が管理し、当該個人情報を記憶している保有者端末２０と、データ提供者からデータ利用者へのデータの提供を支援するサービス支援装置４０とを含んで構成されている。なお、利用者端末１０、保有者端末２０、及び提供者端末３０はそれぞれ複数台設けられていてもよい。

保有者端末２０は、例えば、銀行、信用情報機関、官公庁等が管理する情報処理装置である。保有者端末２０が記憶している個人情報には、少なくとも１以上のデータ項目（例えば、住所、年齢、メールアドレス、居所、連絡先、登記情報、銀行の当座番号等）が含まれる。サービス支援装置４０は、例えば、情報銀行が管理する情報処理装置である。

これらの情報処理装置の間は、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide
Area Network）、インターネット、又は専用線等の、有線又は無線の通信ネットワーク
５によって接続されている。通信ネットワーク５におけるデータ通信は、例えば、通信路でのデータの暗号化が可能な所定の通信プロトコルに従って行われる。

なお、図２は、各情報処理装置が備えるハードウェアの一例を示す図である。各情報処理装置は、ＣＰＵ（Central Processing Unit）などのプロセッサ９１と、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等の主記憶装置９２と、ＨＤＤ（Hard
Disk Drive）、ＳＳＤ（Solid State Drive）等の補助記憶装置９３と、キーボード、マ
ウス、タッチパネルなどからなる入力装置９４と、モニタ（ディスプレイ）等からなる出力装置９５と、他の情報処理装置と通信を行う通信装置９６とを備える。

＜＜機能＞＞
次に、各情報処理装置が備える機能について説明する。
＜利用者端末１０＞
図３は、利用者端末１０が備える機能の一例を説明する図である。利用者端末１０は、データ提供要求送信部１１、データ受信部１２、及びデータ表示部１３を備える。

データ提供要求送信部１１は、サービス支援装置４０に、利用データの提供を要求する情報（以下、データ提供要求という。）を送信する。データ受信部１２は、サービス支援装置４０から種々のデータを受信する。データ表示部１３は、データ受信部１２が受信したデータを出力装置９５に出力する。

また、利用者端末１０は、利用者ポリシー管理テーブル１００を記憶している。
（利用者ポリシー管理テーブル１００）
図４は、利用者ポリシー管理テーブル１００の一例を示す図である。利用者ポリシー管理テーブル１００は、データ提供要求の要求主体（データ利用者）に関する制約である利用者ポリシーを記憶したテーブルであり、データの要求に際して参照されるデータ利用者の個人情報のデータ項目が格納される項目カラム１０１、データ利用者の識別情報（以下、利用者ＩＤという。）が格納される利用者カラム１０２、項目カラム１０１の個人情報を参照する理由として許容する目的が格納される利用目的カラム１０３、及び、項目カラム１０１の個人情報の利用方法として許容するものが格納される対応方法カラム１０４の各項目を有する１以上のレコードで構成される。なお、利用者ポリシー管理テーブル１００の項目として、個人情報の参照可能範囲の情報が含まれていてもよい。

なお、利用者ポリシー管理テーブル１００は、本実施形態では、利用者端末１０が記憶しているものとしているが、サービス支援装置４０が記憶するものとしてもよい。

＜保有者端末２０＞
図５は、保有者端末２０が備える機能の一例を説明する図である。保有者端末２０は、個人情報要求受信部２１、個人情報送信部２２、及び個人情報記憶部２３を備える。

個人情報要求受信部２１は、サービス支援装置４０から、データ利用者の個人情報の提供を要求する情報（以下、個人情報要求という。）を受信する。個人情報送信部２２は、個人情報要求に対応して、個人情報をサービス支援装置４０を提供する（送信する）。個人情報記憶部２３は、データ利用者の個人情報を、例えばデータ利用者ごとに記憶している。

また、保有者端末２０は、保有者ポリシー管理テーブル２００を記憶している。
（保有者ポリシー管理テーブル２００）
図６は、保有者ポリシー管理テーブル２００の一例を示す図である。保有者ポリシー管理テーブル２００は、データ提供要求の要求主体に関する情報（データ利用者の個人情報）を管理する管理主体（データ保有者）に関する制約である保有者ポリシーを記憶したテーブルであり、個人情報のデータ項目が格納される項目カラム２０１、データ利用者の識別情報（利用者ＩＤ）が格納される利用者カラム２０２、項目カラム２０１の個人情報を提供する理由として許容される目的が格納される利用目的カラム２０３、及び、項目カラム２０１の個人情報の提供方法が格納される対応方法カラム２０４の各項目を有する１以上のレコードで構成される。

対応方法カラム２０４には、例えば、個人情報を暗号化又は匿名化してから提供する、暗号化に使用する暗号鍵の指定、数値の加工（数値を丸める等）を行ってから当該個人情報を提供する、個人情報を加工せずに提供する（平文のまま提供する）、個人情報の提供範囲の指定、等がある。また、対応方法カラム２０４には、サービス支援装置４０の信頼性（例えば、サービス支援装置４０の機材の信頼性）に応じた個人情報の提供範囲、データ提供者から支払われる報酬に応じた個人情報の提供範囲が設定されてもよい。
なお、保有者ポリシー管理テーブル２００は、例えば、所定のタイミング（例えば、所定の時刻、時間間隔、又はデータ保有者によるデータの入力時）に更新される。

なお、保有者ポリシー管理テーブル２００は、本実施形態では、保有者端末２０が記憶しているものとしているが、サービス支援装置４０が記憶するものとしてもよい。

＜提供者端末３０＞
図７は、提供者端末３０が備える機能の一例を説明する図である。提供者端末３０は、提供可能データ要求受信部３１、提供可能データ送信部３２、提供可能データ記憶部３３、及び情報表示部３４を備える。

提供可能データ要求受信部３１は、サービス支援装置４０から、提供可能データの送信要求を受信する。提供可能データ送信部３２は、受信した要求に基づき、提供可能データをサービス支援装置４０に送信する。提供可能データ記憶部３３は、提供可能データを記憶している。情報表示部３４は、各種の情報を表示する。

また、提供者端末３０は、提供者ポリシー管理テーブル３００を記憶している。
（提供者ポリシー管理テーブル３００）
図８は、提供者ポリシー管理テーブル３００一例を示す図である。提供者ポリシー管理テーブル３００は、提供可能データの提供主体（データ提供者）に関する制約である提供者ポリシーを記憶したテーブルであり、提供可能データの種類を示す情報が格納される提供可能データカラム３０１、提供可能データカラム３０１の提供可能データ（提供者端末３０が記憶している提供可能データ）の提供先であるデータ利用者の種別が格納される利用者カラム３０２、提供可能データカラム３０１の提供可能データの提供先であるデータ利用者の詳細な条件が格納される利用者制約カラム３０３、及び、提供可能データカラム３０１の提供可能データに関してサービス支援装置４０に要求するデータの加工方法が格納される加工方法カラム３０４の各項目を有する。

利用者カラム３０２及び利用者制約カラム３０３には、データ利用者の各種個人情報が含まれる。また、加工方法カラム３０４には、例えば、個人情報の一部削除の指定、個人情報の抽象化又は暗号化の指定、個人情報の一部又は全部をデータ利用者が復号できないように暗号化する旨の指定、提供可能データの提供先とできるデータ利用者の信頼性の指定、データ利用者に要求する最低費用の指定（利益率等による指定でもよい）等が格納される。

なお、提供者ポリシー管理テーブル３００は、本実施形態では、提供者端末３０が記憶しているものとしているが、サービス支援装置４０が記憶するものとしてもよい。

＜サービス支援装置４０＞
図９は、サービス支援装置４０が備える機能の一例を示す図である。サービス支援装置４０は、データ利用者要求取得部４１、個人情報取得部４２、提供可能データ取得部４３、加工データ生成部４４、暗号鍵生成部４５、加工データ送信部４６、及び対応関係記憶部４７を備える。

データ利用者要求取得部４１は、所定の端末（例えば、利用者端末１０）から、データ提供要求を取得する。

個人情報取得部４２は、データ提供要求の要求主体（データ利用者）に関する個人情報を取得する。具体的には、個人情報取得部４２は当該個人情報を保有者端末２０から取得する。

提供可能データ取得部４３は、所定の端末（具体的には、提供者端末３０）から、提供可能データを取得する。

加工データ生成部４４は、提供可能データ取得部４３が取得した提供可能データを、個人情報取得部４２が取得した要求主体に関する個人情報（データ利用者の個人情報）に基づき加工することにより、データ提供要求に対する応答データである加工データを生成する。

具体的には、加工データ生成部４４は、データ提供要求の要求主体（データ利用者）に関する制約である利用者ポリシーと、提供可能データの提供主体（データ提供者）に関する制約である提供者ポリシーと、データ提供要求の要求主体に関する個人情報（データ利用者の個人情報）を管理する管理主体（データ保有者）に関する制約である保有者ポリシーとに従って加工データを生成する。

暗号鍵生成部４５は、加工データ生成部４４の外部への送信が通信制限部４９により制限される所定の暗号鍵を生成する。この暗号鍵は以下のように用いられる。
まず、データ利用者要求取得部４１は、暗号鍵生成部４５により生成された暗号鍵により暗号化されたデータ提供要求を取得する。また、個人情報取得部４２は、暗号鍵生成部４５により生成された暗号鍵により暗号化された、データ提供要求の要求主体に関する個人情報（データ利用者の個人情報）を取得する。また、提供可能データ取得部４３は、暗号鍵生成部４５により生成された暗号鍵により暗号化された提供可能データを取得する。また、加工データ生成部４４は、生成した加工データを暗号鍵生成部４５により生成された暗号鍵により暗号化する。
本実施形態では、この暗号鍵はデータ利用者ごとに設定されるものとする。

次に、暗号鍵生成部４５は、加工データ生成部４４が加工データを生成した後、自身が生成した暗号鍵を更新した新たな暗号鍵を生成する。

加工データ送信部４６は、加工データ生成部４４が生成した加工データを利用者端末１０に送信する。

通信制限部４９は、データ利用者要求取得部４１が取得したデータ提供要求、個人情報取得部４２が取得した要求主体に関する個人情報（データ利用者の個人情報）、及び加工データ生成部４４が生成した加工データの加工データ生成部４４の外部への送信を制限する。

通信制限部４９は、例えば、ソフトウェア的又はハードウェア的に実現される。ハードウェア的には、例えば、サービス支援装置４０と別の情報処理装置やデバイス（例えば、メモリや暗号化プロセッサ）を設けることによって実現される。また、ソフトウェア的には、サービス支援装置４０で動作しているＯＳ（Operating System）と異なるＯＳ、又は仮想ＯＳを設けることによって実現される。これにより、サービス支援装置４０の管理者等も、通信制限部４９そのものを管理していない限り、データ提供要求、データ利用者の
個人情報、及び加工データのいずれの内容にもアクセスできず、データの秘匿性が高まる。

なお、加工データ生成部４４は、データ提供要求の要求主体に関する個人情報（データ利用者の個人情報）を暗号化して記憶する。具体的には、サービス支援装置４０は、利用者別データベース４００を記憶している。利用者別データベース４００は、保有者端末２０から受信したデータ利用者の個人情報を暗号化して記憶する。なお、サービス支援装置４０は、このように利用者別データベース４００の内容を保有者端末２０から受信するのではなく、予め自身が記憶又は管理していてもよい（情報銀行がデータ保有者及びデータ利用者から、データ利用者の個人情報の利用許可を受けているような場合）。

次に、対応関係記憶部４７は、提供者ポリシーに使用されているデータ項目と、保有者ポリシーに使用されているデータ項目との対応関係を記憶している。これに基づき、加工データ生成部４４は、提供者ポリシーと保有者ポリシーとの対応関係を特定することにより、提供者ポリシー及び前記保有者ポリシーに従って加工データを生成する。
対応関係記憶部４７は、この対応関係をデータ項目対応テーブル５００に記憶している。

＜データ項目対応テーブル５００＞
図１０は、データ項目対応テーブル５００のレコード構成の一例を示す図である。データ項目対応テーブル５００は、サービス支援装置４０が定義するデータ項目によって提供者ポリシーのデータ項目と保有者ポリシーのデータ項目との対応関係（互換性）をとるためのテーブルであり、サービス支援装置４０が定義するデータ項目が格納されるデータ項目カラム５０１と、データ項目カラム５０１のデータ項目と対応関係を有するデータ項目（提供者ポリシー又は保有者ポリシーのデータ項目）のリストが格納される互換データ項目カラム５０２の各項目を有する１以上のレコードで構成される。

以上に説明した各情報処理装置の機能は、各情報処理装置のハードウェアによって、もしくは、各情報処理装置のプロセッサ９１が、主記憶装置９２や補助記憶装置９３に記憶されている各プログラムを読み出して実行することにより実現される。

また、これらのプログラムは、例えば、二次記憶デバイスや不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤなどの記憶デバイス、又は、ＩＣカード、ＳＤカード、ＤＶＤなどの、情報処理装置で読み取り可能な非一時的データ記憶媒体に格納される。

次に、サービス支援システム１において行われる処理について説明する。
＜＜サービス支援処理＞＞
図１１は、サービス支援装置４０が、利用者端末１０からのデータ提供要求に基づき提供者端末３０から提供される提供可能データから加工データを生成して利用者端末１０に返信する処理（以下、サービス支援処理という。）の一例を説明するフロー図である。

まず、サービス支援装置４０は、利用者端末１０（又はデータ利用者）に対応した所定の暗号鍵を生成し、生成した各暗号鍵を利用者端末１０、保有者端末２０、及び提供者端末３０に送信する（ｓ１１）。なお、本実施形態における暗号鍵は、公開鍵暗号方式による暗号鍵でもよいし、共通鍵暗号方式による暗号鍵でもよい（以下において同様）。なお、サービス支援装置４０は、この暗号鍵に対する復号鍵を通信制限部４９内に記憶している。

また、サービス支援装置４０は、データ項目対応テーブル５００を保有者端末２０及び提供者端末３０に送信する（ｓ１３）。なお、データ項目対応テーブル５００は、予め保
有者端末２０及び提供者端末３０が記憶しているものとしてもよい。

利用者端末１０は、データ提供要求を暗号鍵で暗号化し、サービス支援装置４０に送信する（ｓ１５）。なお、データ提供要求には、データ利用者の識別子、データの利用目的、及び、利用データとして要求するデータの項目（以下、要求データ項目という。）等が付帯している。

サービス支援装置４０は、データ提供要求を受信すると、受信したデータ提供要求を復号し、データ利用者の個人情報の要求（個人情報要求）を保有者端末２０に暗号化して送信する（ｓ１７）。なお、個人情報要求には、データ提供要求（データ利用者の識別子、データの利用目的、及び要求データ項目を含む）が付帯している。

保有者端末２０は、個人情報要求を受信すると、保有者ポリシーに従って、サービス支援装置４０に送信するデータ利用者の個人情報を特定し、特定したデータ利用者の個人情報をサービス支援装置４０に送信する（ｓ１９）。

具体的には、例えば、保有者端末２０は、保有者ポリシー管理テーブル２００を参照し、利用者カラム２０２にデータ利用者の識別子が格納され、利用目的カラム２０３に個人情報要求に付帯している利用目的が格納されているレコードを全て取得し、取得した各レコードの項目カラム２０１が示すデータ利用者の個人情報のデータ項目を、対応方法カラム２０４が示す内容にて処理する（例えば、暗号鍵で暗号化する）。そして、保有者端末２０は、処理した情報（個人情報の各データ項目）をサービス支援装置４０に送信する。

なお、この際、保有者端末２０は、データ項目対応テーブル５００のデータ項目カラム５０１又は互換データ項目カラム５０２に指定されているデータ項目を有する個人情報のみを、サービス支援装置４０に送信するデータ利用者の個人情報としてもよい。また、保有者端末２０は、データ利用者の個人情報のデータ項目を、データ項目対応テーブル５００に基づき、サービス支援装置４０が指定するデータ項目に変換してもよい。具体的には、例えば、保有者端末３０は、互換データ項目カラム５０２に当該個人情報のデータ項目が格納されているデータ項目対応テーブル５００のレコードのデータ項目カラム５０１を、当該個人情報のデータ項目の新たなデータ項目とする。以上のようにすることで、情報銀行が指定するデータ項目と、データ保有者が管理するデータ項目との対応をとることができる。

サービス支援装置４０は、保有者端末２０からデータ利用者の個人情報を受信すると、受信した個人情報を復号した上で、利用者ポリシーに従って、提供者端末３０に送信するデータ利用者の個人情報を特定する（ｓ２１）。

具体的には、例えば、サービス支援装置４０は、利用者端末１０の利用者データポリシー管理テーブル１００を参照し、項目カラム１０１にｓ２１で受信した個人情報のデータ項目が、利用者カラム１０２にデータ利用者の識別子が、利用目的カラム１０３に個人情報要求に付帯している利用目的がそれぞれ格納されているレコードがあるか否かを確認し、そのようなレコードがある場合、サービス支援装置４０は、そのレコードの対応方法カラム１０４の内容に基づき、ｓ２１で受信したデータ利用者の個人情報の提供の可否を決定する。

サービス支援装置４０は、ｓ２１で提供を決定した個人情報を暗号化して提供者端末３０に送信する（ｓ２３）。なお、送信する個人情報には、データ提供要求が付帯している。また、サービス支援装置４０は、このデータ利用者の個人情報を、データ利用者ごとに設定された暗号鍵にて暗号化して記憶する。

提供者端末３０は、サービス支援装置４０からデータ利用者の個人情報を受信すると、提供者ポリシーに従い、サービス支援装置４０に送信する提供可能データ及びその加工方法を特定し、特定した提供可能データ及びその加工方法を暗号鍵で暗号化し、サービス支援装置４０に送信する（ｓ２５）。

具体的には、例えば、提供者端末３０は、提供者ポリシー管理テーブル３００を参照し、利用者カラム３０２及び利用者制約カラム３０３にデータ利用者の個人情報が格納され、提供可能データカラム３０１にデータ提供要求が示す要求データ項目が格納されているレコードを全て特定し、特定した各レコードの提供可能データカラム３０１及び加工方法カラム３０４が示す内容を、サービス支援装置４０に送信する提供可能データ及びその加工方法とする。

なお、提供者端末３０は、提供者ポリシー管理テーブル３００の利用者カラム３０２及び利用者制約カラム３０３にデータ利用者の個人情報が格納されているか否かを判断する際、提供者ポリシー管理テーブル３００のデータ項目を、情報銀行が指定するデータ項目に変換するようにしてもよい、具体的には、例えば、提供者端末３０は、利用者カラム３０２及び利用者制約カラム３０３により特定されるデータ利用者の個人情報のうち、データ項目対応テーブル５００の互換データ項目カラム５０２に指定されているデータ項目をデータ項目カラム５０１のデータ項目に変換する。

サービス支援装置４０は、提供者端末３０から提供可能データ及びその加工方法を受信して復号すると、その提供可能データを、その加工方法に従って処理することにより加工データを生成する（ｓ２７）。具体的には、例えば、サービス支援装置４０は、提供可能データの個人情報の一部を削除し、伏せ字にし、又は数値を抽象化する。

そして、サービス支援装置４０は、生成した加工データを暗号化して利用者端末１０に返信する（ｓ２９）。なお、以上のサービス支援装置４０の処理は、通信制限部４９で実行される。

利用者端末１０は、サービス支援装置４０から受信した加工データを復号し、復号した加工データを記憶すると共に表示する（ｓ３１）。データ利用者は、この復号した加工データに基づき様々な情報分析等を行うことができる。以上でサービス支援処理は終了する。

以上のように、本実施形態のサービス支援システム１は、提供可能データ及び、データ提供要求の要求主体に関する情報（データ利用者の個人情報）に基づき、加工データを生成するデータ提供部１２を備えるものであり、データ提供要求、データ提供要求の要求主体に関する情報、及び加工データのデータ提供部１２の外部への送信を制限する通信制限部１９を備えるので、加工データを生成する際に、データ提供要求やデータ提供要求の要求主体に関する情報といった個人情報を含む情報を外部に漏洩することを防ぐことができる。特に、通信制限部４９により、加工データ生成部４４以外のサービス支援装置４０における部分にも漏洩しないことにより、サービス支援装置４０の管理者等であっても当該個人情報を知ることができないようにすることができる。このように、本実施形態のサービス支援システム１によれば、個人情報の外部への不要な送出を防ぎつつ事業者が行うサービスを支援することができる。

なお、サービス支援装置４０は、管理者等からの入力等に応じて、通信制御部４９によるデータの送受信の制限の一部又は全部を解除できるようにしてもよい。これにより、サービス支援装置４０の管理者等が、必要に応じて、データ提供要求の内容、提供可能デー
タ、加工データ、各種ポリシー、及び、加工データの生成に際して生成されるデータの内容を確認することができる。また、この解除を行うことにより処理速度が向上し、サービス支援装置４０に対する負荷を軽減させることができる。

［第２実施形態］
次に、第２実施形態のサービス支援システム１について図面を参照しつつ説明する。第２実施形態のサービス支援システム１では、サービス支援装置４０は、データ利用者及びデータ提供者に関するレーティングを行い、これを相手方（データ提供者及びデータ利用者）に提供する。以下、第２実施形態のサービス支援システム１について第１実施形態と異なる点を説明する。

＜＜構成及び機能＞＞
サービス支援システム１のシステム構成は第１実施形態と同様である。
図１２は、第２実施形態におけるサービス支援装置４０が備える機能の一例を説明する図である。このサービス支援装置４０の加工データ生成部４４は、評価値算出部４８を備える。

すなわち、評価値算出部４８は、保有者端末２０からデータ提供要求の要求主体の個人情報（データ利用者の個人情報）を受信し、受信した要求主体の個人情報又はデータ提供要求に基づきデータ提供要求の要求主体（データ利用者）に関する評価値を算出する。なお、算出した評価値は利用者端末１０に表示される。

また、評価値算出部４８は、提供者端末３０から提供可能データ及び提供者ポリシーを受信し、受信した提供可能データ又は提供者ポリシーに基づき提供可能データの提供主体（データ提供者）に関する評価値を算出する。なお、算出した評価値は提供者端末３０に表示される。

＜＜サービス支援処理＞＞
次に、第２実施形態におけるサービス支援処理について説明する。
図１３は、第２実施形態におけるサービス支援処理の一例を説明するフロー図である。

同図のｓ１１〜ｓ２１までの処理は第１実施形態と同様である。そして、ｓ２３においてサービス支援装置４０は、保有者端末２０から受信したデータ利用者の個人情報又はデータ提供要求に基づき、当該データ利用者の評価値を算出する。

具体的には、例えば、サービス支援装置４０は、ｓ２１で受信したデータ利用者の個人情報の各データ項目が示す数値（例えば、収入や年齢）、各データ項目について設定された重み付けパラメータ、ｓ１１で受信したデータ提供要求に含まれるデータ利用者の情報（利用目的、データ項目）等に基づき、当該データ利用者の評価値を算出する。

そして、サービス支援装置４０は、第１実施形態と同様にして特定したデータ利用者の個人情報と共に、算出したデータ利用者の評価値を提供者端末３０に送信する。

＜利用者評価画面１０００＞
ここで、図１４は、評価値を受信した提供者端末３０が表示する画面（利用者評価画面という）の一例を示す図である。利用者評価画面１０００には、利用者ポリシー及び保有者ポリシーに従ってデータ利用者の個人情報が表示される個人情報表示欄１００２、データ利用者の評価値が表示されるレーティング表示欄１００４、及び、提供可能データをデータ利用者に提供する（サービス支援装置４０に送信する）場合に、その全部を提供するか、一部を提供するか、又は提供を拒否するか等の選択を受け付ける情報提供選択欄１０
０６を有する。

データ提供者は、利用者評価画面１０００に表示される個人情報やデータ利用者の評価値を参照することにより、提供可能データをどの範囲で提供するかを判断することができる。なお、図１４では不図示であるが、第１実施形態と同様に提供者ポリシーに従って提供可能データを提供することとしてもよい。また、評価値に応じて、個人情報表示欄１００２に表示する情報の一部を省略するようにしてもよい。

また、提供可能データの提供範囲は、提供者端末３０が評価値に基づき自動的に算出するようにしてもよい。また、提供可能データを提供する場合に、評価値に応じてその提供可能データの一部を秘匿化して提供するようにしてもよい。

次に、図１３のｓ２５に示すように、提供者端末３０は、暗号化した提供可能データを、（例えば利用者評価画面１０００で指定された方法にて）サービス支援装置４０に送信する。

サービス支援装置４０は、第１実施形態と同様に加工データを生成する（ｓ２７）。そして、サービス支援装置４０は、受信した提供可能データ又は提供者ポリシーに基づきデータ提供者に関する評価値を算出する（ｓ２９）。

具体的には、例えば、サービス支援装置４０は、受信した提供可能データの種類やデータ量、又は、提供者ポリシーにて指定されている制約の種類や数、データ提供者の個人情報（例えば、データ提供者の事業規模）に応じた評価値を算出する。

そして、サービス支援装置４０は、加工データ及び算出した評価値を暗号化して利用者端末１０に送信する（ｓ２９）。利用者端末１０は、受信した加工データ及び評価値を復号し、データ利用者はその加工データを利用する（ｓ３１）。

＜提供者評価画面２０００＞
ここで、図１５は、評価値を受信した利用者端末１０が表示する画面（提供者評価画面という）の一例を示す図である。提供者評価画面２０００には、提供者ポリシーに従ってデータ提供者の個人情報が表示される個人情報表示欄２００２、データ提供者の評価値が表示されるレーティング表示欄２００４、及び、受信した加工データを承認するか否か、又は加工データの一部のみを承認するか等の選択を受け付ける承認欄２００６を有する。

データ利用者は、提供者評価画面２０００に表示される個人情報やデータ提供者の評価値を参照することにより、加工データを全部又は一部承認するか又は承認しないかを判断することができる。また、評価値に応じて、個人情報表示欄２００２に表示される情報の一部又は全部を省略するようにしてもよい。

なお、本実施形態では、利用者評価画面１０００及び提供者評価画面２０００に示されるようにデータ利用者及びデータ提供者に関するレーティングを行うものとしたが、いずれか一方のみを行ってもよい。

以上の各実施形態の説明は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明はその趣旨を逸脱することなく、変更、改良され得ると共に本発明にはその等価物が含まれる。

例えば、サービス支援装置４０と保有者端末２０とは一体的に構成されていてもよい。

また、保有者端末２０が行う、保有者ポリシー管理テーブル２００を参照してデータ利用者の個人情報を特定する処理（ｓ１９）の一部又は全部は、サービス支援装置４０が行うようにしてもよい。

同様に、提供者端末３０が行う、提供者ポリシー管理テーブル３００を参照して提供可能データを送信する処理（ｓ２５）の一部又は全部は、サービス支援装置４０が行うようにしてもよい。

また、データ利用者の個人情報は、保有者端末２０ではなくサービス支援装置４０が記憶していてもよい。

また、外部へのデータの送信を制限する通信制限部１９は、保有者端末２０又は提供者端末３０に設けられてもよい。この場合、通信制限部１９により、ｓ１９及びｓ２５により生成されるデータの外部への送信が制限される。

また、サービス支援装置４０は、データ利用者の個人情報を取得するための保有者端末２０へのアクセス（例えば、ｓ１７の処理）を省略してもよい。

また、本実施形態では、提供者端末３０におけるデータ利用者の個人情報のデータ項目と、保有者端末２０におけるデータ利用者の個人情報のデータ項目とを対応させるデータ項目対応テーブル５００を設けたが、それ以外の、利用者端末１０、保有者端末２０、及び提供者端末３０における各データに関する対応関係を特定するためのテーブルを設けてもよい。例えば、要求データのデータ項目と提供可能データのデータ項目との対応関係を記述したテーブルを設けてもよい。

また、本実施形態における暗号鍵は固定的なものとすることなく、例えば、通信対象や通信処理ごとに更新（変更）される等、随時変更するようにしてもよい。例えば、サービス支援装置４０はサービス支援処理において、利用者端末１０からのデータ提供要求に応じた加工データを生成するごとに、暗号鍵を更新するようにしてもよい。また、サービス支援装置４０は、利用者端末１０ごと、保有者端末２０ごと、若しくは提供者端末３０に異なる暗号鍵を使用し、又はこれらの各装置との通信における処理ごとに暗号鍵を更新（変更）するようにしてもよい。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、各実施形態のサービス支援システム１においては、前記加工データ生成部は、前記データ提供要求の要求主体に関する制約である利用者ポリシーと、前記提供可能データの提供主体に関する制約である提供者ポリシーと、前記データ提供要求の要求主体に関する個人情報を管理する管理主体に関する制約である保有者ポリシーとに従って前記加工データを生成する、としてもよい。

このように、データ提供要求の要求主体に関する制約である利用者ポリシー、提供可能データの提供主体に関する制約である提供者ポリシー、及びデータ提供要求の要求主体に関する個人情報を管理する管理主体に関する制約である保有者ポリシーに従って加工データを生成することで、データ利用者、データ保有者、及びデータ提供者のそれぞれの要求を反映させることができる。例えば、それぞれが有する個人情報や業務情報等の外部への漏洩を防ぐことができる。

また、各実施形態のサービス支援システム１においては、前記加工データ生成部の外部への送信が前記通信制限部により制限される所定の暗号鍵を生成する暗号鍵生成部を備え、前記データ利用者要求取得部は、前記暗号鍵生成部により生成された暗号鍵により暗号
化された前記データ提供要求を取得し、前記個人情報取得部は、前記暗号鍵生成部により生成された暗号鍵により暗号化された前記データ提供要求の要求主体に関する個人情報を取得し、前記提供可能データ取得部は、前記暗号鍵生成部により生成された暗号鍵により暗号化された前記提供可能データを取得し、前記加工データ生成部は、前記生成した加工データを前記暗号鍵生成部により生成された暗号鍵により暗号化する、としてもよい。

このように、加工データ生成部４４の外部への送信が通信制限部４９により制限される暗号鍵によって、データ提供要求、データ提供要求の要求主体に関する個人情報（データ利用者の個人情報）、提供可能データ、及び加工データを暗号化することにより、これらの情報が外部（サービス支援装置４０の加工データ生成部４４以外の部分も含む）に漏洩することを防ぐことができる。

また、各実施形態のサービス支援システム１においては、前記暗号鍵生成部は、前記加工データ生成部が前記加工データを生成した後、前記生成した暗号鍵を更新した新たな暗号鍵を生成する、としてもよい。
このように、加工データを生成した後、暗号鍵を更新した新たな暗号鍵を生成することで、例えば、データ提供要求や提供データの提供がを繰り返されても、個人情報の漏洩のリスクを低減することができる。

また、各実施形態のサービス支援システム１においては、前記提供者ポリシーを記憶している提供者端末と、前記データ提供要求の要求主体の個人情報を記憶している保有者端末とを含んで構成され、前記提供者ポリシーに使用されているデータ項目と、前記保有者ポリシーに使用されているデータ項目との対応関係を記憶した対応関係記憶部を備え、前記加工データ生成部は、前記対応関係に基づき前記提供者ポリシーと前記保有者ポリシーとの対応関係を特定することにより、前記提供者ポリシー及び前記保有者ポリシーに従って前記加工データを生成する、としてもよい。

このように、前記の対応関係（データ項目対応テーブル５００）を用いて提供者ポリシーと保有者ポリシーとの対応関係を特定する構成により、データ提供者が管理している情報のデータ項目と、データ保有者が管理している情報のデータ項目が異なっていても、適切な内容のデータをデータ利用者に提供することができる。

また、各実施形態のサービス支援システム１においては、前記データ提供要求の要求主体の個人情報を記憶している保有者端末と、前記データ提供要求を送信する利用者端末とを含んで構成され、前記加工データ生成部は、前記保有者端末から前記データ提供要求の要求主体の個人情報を受信し、受信した前記要求主体の個人情報又は前記データ提供要求に基づき前記データ提供要求の要求主体に関する評価値を算出する評価値算出部を有する、としてもよい。

このように、保有者端末２０から受信した要求主体の情報（データ利用者の個人情報）又はデータ提供要求に基づき、データ提供要求の要求主体（データ利用者）に関する評価値を算出する（データ利用者に関するレーティングを行う）ことで、データ提供者等に対して、データ提供に関する適切な判断を促すことができる。

また、各実施形態のサービス支援システム１においては、前記提供可能データ及び前記提供者ポリシーを記憶している提供者端末を含んで構成され、前記加工データ生成部は、前記提供者端末から前記提供可能データ及び前記提供者ポリシーを受信し、受信した提供可能データ又は提供者ポリシーに基づき前記提供可能データの提供主体に関する評価値を算出する評価値算出部を有する、としてもよい。

このように、提供者端末３０から受信した提供可能データ又は提供者ポリシーに基づき、提供可能データの提供主体（データ提供者）に関する評価値を算出する（データ提供者に関するレーティングを行う）ことで、データ利用者等に対して、データ利用に関する適切な判断を促すことができる。

また、各実施形態のサービス支援システム１においては、前記加工データ生成部は、前記データ提供要求の要求主体に関する個人情報を暗号化して記憶する、としてもよい。
このように、データ提供要求の要求主体（データ利用者）に関する個人情報を暗号化して記憶することで、データ利用者の個人情報の保護を図ることができる。

１ サービス支援システム、１０ 利用者端末、２０ 保有者端末、３０ 提供者端末、４０ サービス支援装置、４１ データ利用者要求取得部、４２ 個人情報取得部、４３
提供可能データ取得部、４４ 加工データ生成部、４９ 通信制限部

Claims (15)

1. 所定の端末から、所定のデータ提供要求を取得するデータ利用者要求取得部と、
   前記データ提供要求の要求主体に関する個人情報を取得する個人情報取得部と、
   所定の端末から、所定の提供可能データを取得する提供可能データ取得部と、
   前記取得した提供可能データを、前記取得した要求主体に関する個人情報に基づき加工することにより、前記データ提供要求に対する応答データである加工データを生成する加工データ生成部と、
   前記取得したデータ提供要求、前記取得した要求主体に関する個人情報、及び前記生成した加工データの前記加工データ生成部の外部への送信を制限する通信制限部と、
   を備える、サービス支援システム。
2. 前記加工データ生成部は、前記データ提供要求の要求主体に関する制約である利用者ポリシーと、前記提供可能データの提供主体に関する制約である提供者ポリシーと、前記データ提供要求の要求主体に関する個人情報を管理する管理主体に関する制約である保有者ポリシーとに従って前記加工データを生成する、
   請求項１に記載のサービス支援システム。
3. 前記加工データ生成部の外部への送信が前記通信制限部により制限される所定の暗号鍵を生成する暗号鍵生成部を備え、
   前記データ利用者要求取得部は、前記暗号鍵生成部により生成された暗号鍵により暗号化された前記データ提供要求を取得し、
   前記個人情報取得部は、前記暗号鍵生成部により生成された暗号鍵により暗号化された前記データ提供要求の要求主体に関する個人情報を取得し、
   前記提供可能データ取得部は、前記暗号鍵生成部により生成された暗号鍵により暗号化された前記提供可能データを取得し、
   前記加工データ生成部は、前記生成した加工データを前記暗号鍵生成部により生成された暗号鍵により暗号化する、
   請求項１に記載のサービス支援システム。
4. 前記暗号鍵生成部は、前記加工データ生成部が前記加工データを生成した後、前記生成した暗号鍵を更新した新たな暗号鍵を生成する、請求項３に記載のサービス支援システム。
5. 前記提供者ポリシーを記憶している提供者端末と、前記データ提供要求の要求主体の個人情報を記憶している保有者端末とを含んで構成され、
   前記提供者ポリシーに使用されているデータ項目と、前記保有者ポリシーに使用されているデータ項目との対応関係を記憶した対応関係記憶部を備え、
   前記加工データ生成部は、前記対応関係に基づき前記提供者ポリシーと前記保有者ポリシーとの対応関係を特定することにより、前記提供者ポリシー及び前記保有者ポリシーに従って前記加工データを生成する、
   請求項２に記載のサービス支援システム。
6. 前記データ提供要求の要求主体の個人情報を記憶している保有者端末と、前記データ提供要求を送信する利用者端末とを含んで構成され、
   前記加工データ生成部は、前記保有者端末から前記データ提供要求の要求主体の個人情報を受信し、受信した前記要求主体の個人情報又は前記データ提供要求に基づき前記データ提供要求の要求主体に関する評価値を算出する評価値算出部を有する、
   請求項２に記載のサービス支援システム。
7. 前記提供可能データ及び前記提供者ポリシーを記憶している提供者端末を含んで構成され、
   前記加工データ生成部は、前記提供者端末から前記提供可能データ及び前記提供者ポリシーを受信し、受信した提供可能データ又は提供者ポリシーに基づき前記提供可能データの提供主体に関する評価値を算出する評価値算出部を有する、
   請求項２に記載のサービス支援システム。
8. 前記個人情報取得部は、前記データ提供要求の要求主体に関する個人情報を暗号化して記憶する、請求項１に記載のサービス支援システム。
9. プロセッサ及びメモリを有するサービス支援システムが、
   所定の端末から、所定のデータ提供要求を取得するデータ利用者要求取得処理と、
   前記データ提供要求の要求主体に関する個人情報を取得する個人情報取得処理と、
   所定の端末から、所定の提供可能データを取得する提供可能データ取得処理と、
   前記取得した提供可能データを、前記取得した要求主体に関する個人情報に基づき加工することにより、前記データ提供要求に対する応答データである加工データを生成する加工データ生成処理を所定の処理部で実行し、
   前記取得したデータ提供要求、前記取得した要求主体に関する個人情報、及び前記生成した加工データの、前記所定の処理部の外部への送信を制限する通信制限処理と、
   を実行する、サービス支援方法。
10. 前記サービス支援システムは、
    前記加工データ生成処理において、前記データ提供要求の要求主体に関する制約である利用者ポリシーと、前記提供可能データの提供主体に関する制約である提供者ポリシーと、前記データ提供要求の要求主体に関する個人情報を管理する管理主体に関する制約である保有者ポリシーとに従って前記加工データを生成する、
    請求項９に記載のサービス支援方法。
11. 前記サービス支援システムは、
    前記加工データ生成部の外部への送信が前記所定の処理部により制限される所定の暗号鍵を生成する暗号鍵生成処理を実行し、
    前記データ利用者要求取得処理において、前記暗号鍵生成部により生成された暗号鍵により暗号化された前記データ提供要求を取得し、
    前記個人情報取得処理において、前記暗号鍵生成部により生成された暗号鍵により暗号化された前記データ提供要求の要求主体に関する個人情報を取得し、
    前記提供可能データ取得処理において、前記暗号鍵生成部により生成された暗号鍵により暗号化された前記提供可能データを取得し、
    前記加工データ生成処理において、前記生成した加工データを前記暗号鍵生成部により生成された暗号鍵により暗号化する、
    請求項９に記載のサービス支援方法。
12. 前記サービス支援システムは、
    前記暗号鍵生成処理において、前記加工データ生成部が前記加工データを生成した後、前記生成した暗号鍵を更新した新たな暗号鍵を生成する、請求項１１に記載のサービス支援方法。
13. 前記サービス支援システムは、
    前記提供者ポリシーを記憶している提供者端末と、前記データ提供要求の要求主体の個人情報を記憶している保有者端末とを含んで構成され、
    前記提供者ポリシーに使用されているデータ項目と、前記保有者ポリシーに使用されて
    いるデータ項目との対応関係を記憶した対応関係記憶部を備え、
    前記加工データ生成処理において、前記対応関係に基づき前記提供者ポリシーと前記保有者ポリシーとの対応関係を特定することにより、前記提供者ポリシー及び前記保有者ポリシーに従って前記加工データを生成する、
    請求項１０に記載のサービス支援方法。
14. 前記サービス支援システムは、
    前記データ提供要求の要求主体の個人情報を記憶している保有者端末と、前記データ提供要求を送信する利用者端末とを含んで構成され、
    前記加工データ生成処理において、前記保有者端末から前記データ提供要求の要求主体の個人情報を受信し、受信した前記要求主体の個人情報又は前記データ提供要求に基づき前記データ提供要求の要求主体に関する評価値を算出する評価値算出部を有する、
    請求項１０に記載のサービス支援方法。
15. 前記サービス支援システムは、
    前記提供可能データ及び前記提供者ポリシーを記憶している提供者端末を含んで構成され、
    前記加工データ生成処理において、前記提供者端末から前記提供可能データ及び前記提供者ポリシーを受信し、受信した提供可能データ又は提供者ポリシーに基づき前記提供可能データの提供主体に関する評価値を算出する評価値算出部を有する、
    請求項１０に記載のサービス支援方法。

Images