JP4929048B2 - コンテンツ配信サービスシステム - Google Patents

Description

本発明は、デジタルコンテンツを配信するコンテンツ配信サービスシステムに関し、特に、放送コンテンツを放送事業者とＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）が共同で提供するサービスにおいて、視聴者のプライバシーを保護しながら、視聴者の動向を分析してサービス内容向上に反映させる技術に関する。

インターネットを利用して提供されるコンテンツ配信サービスにおいては、エンドユーザに対して単一の事業者が行う単一のサービスに見えていても、そのバックヤードでは、複数のサービスや複数の事業者が相互に連携しながら運営されている。従来のビジネスモデルは細分化（デコンポジション）され、例えば、コンテンツ作成、コンテンツ配信、課金、決済などのビジネス構成要素がコンポーネント化され、ネットワークにより、これらを自在に再結合できるようになってきた。その結果、コンポーネント同士の多様な組み合わせがもたらす多様な事業形態が生まれてきた。

エンドユーザに対して窓口となって、複数のサービスを連携させて一貫したアプリケーションを提供するサイトは、ポータルサイトと呼ばれる。ポータルサイトでは、エンドユーザから受け取った情報（ユーザの名前、年齢、見たいコンテンツのＩＤ、対価支払手段など）を、必要に応じて、連携先のサブサービス事業者に知らせる必要がある。連携する事業者は、ユーザの情報を得てはじめて、課金や認証などのそれぞれの業務の遂行ができる。

他にもマーケティング活動として、例えば、ユーザの嗜好や動向を把握し、視聴率を分析することにより、新しいコンテンツ作りの方向性を修正するなど、個人情報の活用によりサービスの質を向上させてゆくことができる。

近年、個人情報保護法が制定され、事業者は個人情報の安全保護に責任を持つことが義務付けられた。特に、複数事業者が連携するコンテンツ配信サービスを行う場合、インターネットを介して個人情報を送受信することが不可欠である。その安全管理のために必要な措置を講じ（第２０条）、従業者・委託先に対する必要な監督（第２１、２２条）を行う必要がある。

従来、コンテンツ配信サービスにおける個人情報保護対策を行う技術には、次のようなものがあった。

特開２００６−３５２４３８号公報（特許文献１）では、放送受信端末は、視聴率調査への参加／不参加を選択するための選択肢を表示し、その選択肢に対するユーザの選択操作を受け付けるとともに、受け付けられたユーザの選択操作情報を保持して、保持されている選択操作情報が視聴率調査への参加を示すものであるときにのみ前記収集手段による視聴状況の収集動作と前記送信手段による送信動作を許容しており、視聴率調査への参加を希望しないユーザのプライバシー保護を図っている。

また、特開２００６−２２２５７４号公報（特許文献２）では、ユーザのコンテンツ評価結果を収集する際、個人情報を収集する旨の確認ダイアログを出し、視聴率計算時に、収集後のデータに個人情報を残さない運用を行っている。

また、国際公開第２００４／０４５２２１号パンフレット（特許文献３）では、ユーザの機器操作履歴を分析することでサービス向上につなげるために、共通の識別子によって特定されているコンテンツ視聴履歴データから、同一の識別子を持つコンテンツに対し、前記複数の機器において行われた一連の操作パターンを抽出し、抽出した操作パターンの中から、共通の属性を有するコンテンツに対して共通に行われた操作パターンを特定し、特定した操作パターンを、当該属性を有する他のコンテンツに適用している。

また、特開２００４−２１３６４５号公報（特許文献４）では、ユーザのアンケートを配布収集する際、ユーザを認証するのではなく、ユーザの属性（例えば２０歳以上という属性）だけを認証する属性認証を行い、アンケート内容を開示することに伴うプライバシー保護に配慮している。
特開２００６−３５２４３８号公報 特開２００６−２２２５７４号公報 国際公開第２００４／０４５２２１号パンフレット 特開２００４−２１３６４５号公報

しかしながら、特許文献１では、収集した実名の個人情報の保護については何も開示されていない。このため、内部犯罪や、連携事業者に対しての情報送受信において、個人情報保護ができない。

また、特許文献２では、元々匿名で情報を集めるため安全であるものの（個人の同意の上）、本来集めることのできる個人情報を分析しないのは、サービスを向上させる事業機会を損失する可能性がある。

また、特許文献３では、同一人物が行う操作パターンを分析していないため、属人的な偏りを反映できない。

また、特許文献４では、元々アンケートを配布するためには、配布先の個人情報を知っている前提であるにもかかわらず、属人的な属性を一切排除している。このため、例えば、毎年一回アンケートを行う場合、同じ人の書いた複数のアンケート内容の年次的な変遷を分析することができない。

図２１に示すように、従来の個人情報保護対策の技術においては、特許文献２、特許文献３のように匿名性を保つ一方で、属人的な分析を行うことを放棄しなければならない。あるいは、特許文献１、特許文献４のように、実名を把握していながら、それを活用せず、属人的な分析をしていない。

したがって、従来の個人情報保護対策の技術では、サービス提供者とユーザという単純な関与者だけから構成する業態を想定し、ビジネスモデルの細分化、複数事業者の連携を念頭においていない。このため、事業者間での個人情報の送受信について充分に検討されておらず、本来マーケティングなどに活用できる個人情報を放棄していたり、別事業者への個人情報送信が安全にできない運用をしたりするなどの問題があった。

そこで、本発明の目的は、デジタルコンテンツを配信するサービスシステムであって、特に、複数の事業者が共同で提供するサービスにおいて、視聴者のプライバシーを保護しながら、視聴者の動向を分析してサービス内容向上に反映させるシステムを提供することにある。

どのコンテンツがどのような人々に注目されているかを分析することにより、将来のコンテンツ作りの方向性をニーズに合ったものに修正する、あるいはコンテンツ料金体系を工夫するなどの対応策が可能となり、サービスを向上していくことができる。コンテンツ配信サービスで発生するアクセスログを用いた視聴者動向分析方法には、主にコンテンツの視聴率の分析、コンテンツ同士の相関の分析がある。

コンテンツ同士の相関を分析すると、あるコンテンツＡを見た人の多くが別のコンテンツＢもよく見ていることがわかる。相関を知ることにより、コンテンツＡを見た人に対して、コンテンツＢの販売プロモーション（いわゆるお勧めコンテンツ）をすることが有効なことがわかるなど、サービスを向上させることができる。

本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。

本発明によるコンテンツ配信サービスシステムは、視聴者端末とネットワークに接続されたポータルＡサーバ、ポータルＢサーバ、識別データサーバ、顧客マスターデータサーバ、およびアクセスログサーバを備え、視聴者端末にデジタルコンテンツを配信するコンテンツ配信サービスシステムであって、顧客マスターデータサーバは、視聴者端末を利用するユーザの属性情報を格納し、ポータルＡサーバは、顧客マスターデータサーバに格納された属性情報に基づく２種類の識別データａおよび識別データｂを生成し、識別データサーバに識別データａを格納し、視聴者端末に識別データｂを格納し、ユーザの属性認証の要求があったとき、識別データａと識別データｂの照合により認証を行い、顧客マスターデータサーバのユーザの属性情報と関係付けて、仮名情報を生成して、識別データサーバに格納し、ユーザからポータルＢサーバで仮名情報を使いたいという利用要求がポータルＡサーバにあったとき、ユーザに仮名情報を託して、ポータルＢサーバでの利用を許諾し、
ポータルＢサーバは、ユーザに仮名情報の利用許諾を発行し、ユーザに対して、仮名情報のままポータルＡサーバが管理するデジタルコンテンツを配信し、ポータルＡサーバおよびポータルＢサーバは、仮名情報に基づいて、ポータルＡサーバのサービスおよびポータルＢサーバのサービスを連携させて行い、アクセスログサーバは、ユーザによるコンテンツの視聴時に、アクセスログとして、仮名情報およびデジタルコンテンツの情報を記録し、仮名情報により、複数のアクセスログが同一ユーザによるログであることを対応づけ、記録したアクセスログを分析して、視聴率およびコンテンツ同士の相関の計算を行うものである。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

仮名を用いたログだけを参照しても、個人を特定することができない一方で、同じ仮名を用いた複数のログを見ると、どのログが同一人物の残したログであるかを特定することができる。このため、視聴率の分析や、コンテンツ同士の相関の計算を詳細に分析することができる。

従って、デジタルコンテンツを配信するサービスシステムであって、特に、複数の事業者が共同で提供するサービスにおいて、視聴者のプライバシーを保護しながら、視聴者の動向を分析してサービス内容向上に反映させるシステムを提供することができる。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

本発明は、デジタルコンテンツを配信するコンテンツ配信サービスシステムであって、特に、複数の事業者が共同で提供するサービスにおいて、視聴者のプライバシーを保護しながら、視聴者の動向を分析してサービス内容向上に反映させるという目的に対して、次の実運用可能なシステム構成を提供することにより実現した。

本発明のコンテンツ配信サービスシステムにおいては、ネットワークに接続されたポータルＡサーバ、ポータルＢサーバ、識別データサーバ、Ａ顧客マスターデータサーバ、管理サーバＢ、コンテンツ配信サーバ、ライセンス発行サーバ、アクセスログサーバ、視聴者端末を備え、１つまたは複数の事業者が運営する。

さらに、Ａ顧客マスターデータサーバにユーザの属性情報を格納し、その属性情報に基づく２種類の識別データａおよび識別データｂを生成し、識別データサーバに識別データａ、視聴者端末に識別データｂを格納する。属性認証の要求があったとき、識別データａと識別データｂの照合により、認証を行う。

さらに、Ａ顧客マスターデータサーバのユーザと関係付けて、仮名情報を生成し、識別データサーバに格納する。ここで、ユーザからポータルＢで仮名情報を使いたいという利用要求がポータルＡにあったとき、ユーザに仮名情報を託して、ポータルＢでの利用を許諾する。

さらに、ユーザは、その仮名情報の利用許諾をポータルＢから取得すると、仮名のまま、ポータルＡポータルＢの両方のサービスを連携させて行う。

さらに、サービス連携されたコンテンツ配信サービスにおいて、コンテンツの視聴時に、ユーザの来歴として、アクセスログサーバに仮名ＩＤ、時刻、コンテンツＩＤ、識別データなどを記録する。収集したアクセスログを分析し、視聴率、コンテンツ同士の相関の計算を行う。得られたユーザ動向、嗜好は、コンテンツ生成企画に反映させるとともに、料金体系、サービス内容を記述する索引画面体系に反映させ、サービスを向上させる。

（実施の形態１）
図１〜図６により、本発明の実施の形態１に係るコンテンツ配信サービスシステムの構成および動作について説明する。図１は本発明の実施の形態１に係るコンテンツ配信サービスシステムの構成を示す構成図、図２はコンテンツ配信サービスシステムのポータルサーバおよび視聴者端末の構成を示す構成図、図３はコンテンツ配信サービスシステムのアクセスログサーバの構成を示す構成図、図４はアクセスログサーバのアクセスログ管理画面を説明するための説明図、図５はＡ顧客マスターデータサーバ、識別データサーバ、管理サーバＢのデータベースのテーブルを説明するための説明図、図６はコンテンツ配信サーバのコンテンツ属性情報ＤＢにおけるテーブルを説明するための説明図である。

まず、コンテンツ配信サービスシステムとしては、事業者Ａ（放送局）の保有する映像コンテンツを事業者Ｂ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）に貸与し、ＩＳＰが主体となって事業を行うコンテンツ配信サービスを想定する。以下、単にコンテンツといったときに、本実施の形態では映像コンテンツを示すが、本実施の形態は映像コンテンツに限らず、静止画、音楽、文書など多様なコンテンツに対して適用可能である。

コンテンツ配信サービスシステムは、図１に示すように、ネットワークに接続されたポータルＡサーバ１０１、ポータルＢサーバ１０８、識別データサーバ１０３、Ａ顧客マスターデータサーバ１０４、管理サーバＢ１０５、コンテンツ配信サーバ１０６、ライセンス発行サーバ１０７、アクセスログサーバ１０２、視聴者端末１０９、通信インフラ１１０から構成する。

視聴者端末１０９の利用する通信インフラ１１０として携帯電話の通信網を利用することにより、視聴者端末１０９と前記サーバ群はインターネット１１１を介して接続できる。全国に複数の無線網基地局１１３が配置され、視聴者端末１０９と無線網基地局１１３が接続可能であり、視聴者端末が接続した無線網基地局１１３は固定網接続装置１１２を介してインターネット１１１に接続されている。通信インフラ１１０には、課金、料金徴収代行のための基本機能が備えられており、利用者のサービス利用状況に応じた課金、対価徴収代行、事業者Ａ、事業者Ｂ間の収入分配の決済を自動的に行うことができる。あるいは、視聴者端末１０９としてＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）や情報家電機器を利用し、通信インフラ１１０として、光ファイバー網、ＡＤＳＬ網、専用線などのインターネット接続設備を利用してもよい。

事業者Ａ（放送局）が下記のサーバを運営する：
・ポータルＡサーバ１０１
・識別データサーバ１０３
・Ａ顧客マスターデータサーバ１０４
・アクセスログサーバ１０２
ポータルＡサーバ１０１は、仮名を用いたサービス連携を行うＩＤ連携Ａ手段１１４、個人情報を含んだユーザ情報の中から特定の属性だけを認証する属性認証Ａ手段１１７、盗聴防止、改ざん防止のためのＡ暗号復号手段１１５、属性認証に用いる識別データを処理する識別データ計算手段１１６を備える。識別データサーバ１０３は、識別データ管理手段１１８、識別データＤＢ（Ｄａｔａｂａｓｅ）１１９を備える。Ａ顧客マスターデータサーバ１０４は、Ａ顧客データ管理手段１２０、プライバシー保護が必要となるユーザ情報を格納したＡ顧客マスタＤＢ１２１を備える。アクセスログサーバ１０２は、アクセスログ分析手段１３１、アクセスログＤＢ１３２を備える。アクセスログの記録は、属性認証時に行う。

事業者Ｂ（ＩＳＰ）が下記のサーバを運営する：
・ポータルＢサーバ１０８
・管理サーバＢ１０５
・コンテンツ配信サーバ１０６
・ライセンス発行サーバ１０７
ポータルＢサーバ１０８は、仮名を用いたサービス連携を行うＩＤ連携Ｂ手段１２５、個人情報を含んだユーザ情報の中から特定の属性だけを認証する属性認証Ｂ手段１２７、盗聴防止、改ざん防止のためのＢ暗号復号手段１２４、サービス提供手段１２６を備える。管理サーバＢ１０５は、Ｂ顧客データ管理手段１２２、プライバシー保護が必要となるユーザ情報を格納したＢ顧客ＤＢ１２３を備える。コンテンツ配信サーバ１０６は、コンテンツの暗号化を行い、要求に応じてコンテンツを配信するコンテンツ管理手段１２９、番組の属性１２８や番組のコンテンツ１２８を備える。

ここで、Ａ顧客マスタＤＢ１２１内のユーザ情報と、Ｂ顧客ＤＢ１２３のユーザ情報の指し示すユーザが同一人物であっても、事業主体が異なるため、誤字脱字などを含め、２種類のユーザ情報は、微妙に異なる表現、情報構造をしている可能性があり、従来、照合が難しかった。また、仮に、住所や生年月日などの属性を用いてＤＢ同士の照合を行うには、その個人情報を他の事業者に送信する必要があり、個人情報が漏洩する脅威を伴うため、難しい。本実施の形態では、仮名ＩＤを用いて、Ａ顧客マスタＤＢ１２１内のユーザ情報と、Ｂ顧客ＤＢ１２３のユーザ情報の指し示すユーザが同一人物であることを照合する。

Ａ顧客マスターデータサーバ１０４には、ユーザの属性情報を格納する。その属性情報に基づく２種類の識別データａおよびｂを生成し、識別データサーバ１０３に識別データａ、視聴者端末１０９に識別データｂ（秘密情報）をそれぞれ格納する。ポータルＡサーバ１０１に対して属性認証の要求があったとき、ａとｂの照合により、認証を行うことができる。ユーザの属性情報は事業者Ａ単独で提供している別サービスの会員資格の有無をいう。ユーザの属性情報は、年齢、住所などの属性であってもよい。

ポータルＡサーバ１０１では、Ａ顧客マスターデータサーバ１０４の管理するユーザ情報と関係付けて、仮名情報を生成し、識別データサーバ１０３に格納する。仮名情報は、ユーザに対して一意に付与された仮名ＩＤを含む。ここで、ユーザからポータルＢサーバ１０８で同じ仮名情報を使いたいという利用要求がポータルＡサーバ１０１にあったとき、ユーザに仮名情報を託して、ポータルＢサーバ１０８での利用を許諾する。さらに、ユーザは、その仮名情報の利用許諾をポータルＢサーバ１０８から取得すると、仮名のまま、ポータルＡサーバ１０１ポータルＢサーバ１０８の両方のサービス機能を連携させたサービスを受けることができる。

ポータルＢサーバ１０８では、サービス提供手段１２６により、コンテンツ配信サービスの全体の窓口となって、ユーザにコンテンツの選択、配信、課金などのサービスを行う。あるユーザが事業者Ｂだけのサービスに加盟する会員である場合と、事業者Ａ、Ｂ両方のサービスに加盟する会員である場合とを上記属性認証を用いて区別し、事業者Ｂでのサービス内容をユーザごとにレベル分けして提供することができる。具体的には、事業者Ａでの会員資格を属性認証し、認証結果に応じて、ユーザがアクセス可能なコンテンツの数を変える。また別の例では、住所属性を認証し、大阪に住む人が見る映像と東京に住む人が見る映像を変えるなどの地域性を反映させたサービス提供が可能である。あるいは、属性認証を用いなくとも、ユーザ認証や端末認証の技術と組み合わせてもよい。例えば、セキュアなメモリ領域に秘密情報を格納したメモリカードを視聴者端末１０９に挿入し、サーバと通信することにより機器認証できる。

コンテンツ配信サーバ１０６は、暗号鍵でコンテンツ１２８を暗号化し、暗号化コンテンツを認証された視聴者端末１０９に対して配信する。ライセンス発行サーバ１０７は、認証された視聴者端末１０９に対して、コンテンツ１２８の復号鍵が含まれたライセンス情報を配信する。視聴者端末１０９ではライセンス情報を用いてコンテンツ１２８を復号し、視聴することができる。このようなＤＲＭ（Ｄｉｇｉｔａｌ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ）技術を適用することは一般に容易に実現できる。

事業者Ａ、Ｂ間でサービス連携されたコンテンツ配信サービスにおいて、コンテンツの視聴時に、ユーザの来歴として、アクセスログサーバ１０２に仮名ＩＤ、時刻、コンテンツＩＤ、識別データなどを記録する。収集したアクセスログを分析し、視聴率、コンテンツ同士の相関の計算を行う。他にも顧客関係管理（ＣＲＭ：Ｃｕｓｔｏｍｅｒ Ｒｅｌａｔｉｏｎｓｈｉｐ Ｍａｎａｇｅｍｅｎｔ）が容易に実現できる。得られたユーザ動向、嗜好は、コンテンツ生成企画に反映させるレポートを出力するとともに、料金体系、サービス内容、索引画面体系などに自動的に反映させ、サービスを向上させることができる。

ポータルＡサーバ１０１は、図２に示すように、事業者Ａ用の公開鍵・秘密鍵２０９、事業者Ｂと交換した事業者Ｂ公開鍵２０８を具備し、さらに、下記の制御手段を備える。

・ユーザ画面制御Ａ手段２０３
・識別データ更新手段２０２
・Ａ初期登録手段２１０
・Ａ＿ＩＤ認証手段２０４
・Ｐ＿ＩＤ認証手段２０５
・ＩＤ連携Ａ手段２０７
・属性照合Ａ手段２０６
・ＤＢ制御Ａ手段２０１
ポータルＢサーバ１０８は、図２に示すように、事業者Ｂ用の公開鍵・秘密鍵２１５、事業者Ａと交換した事業者Ａ公開鍵２１４を具備し、さらに、下記の制御手段を備える。

・ユーザ画面制御Ｂ手段２１８
・Ｂ初期登録手段２１７
・Ｂ＿ＩＤ認証手段２１６
・ＩＤ連携Ｂ手段２１３
・属性照合Ｂ手段２１２
・ＤＢ制御Ｂ手段２３１
視聴者端末１０９は、暗号化コンテンツを復号鍵により復号して、あるいは平文の映像コンテンツを視聴するコンテンツビュアー２２６、ＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）ベースの言語で記載されたサーバの提供する画面情報を表示するブラウザ２２７、ライセンス発行サーバ１０７から発行されるライセンス（コンテンツ復号鍵を含む）を受信するライセンス取得手段２２８を備える。さらに、視聴者端末１０９はＢ＿ＩＤ、Ａ＿ＩＤなどのローカル保存情報２２９を保持する。ローカル保存情報２２９と秘密情報１３０は技術的に等価である。

Ａ＿ＩＤは事業者Ａが、コンテンツ配信サービスの利用者に対して付与するＩＤである。事業者Ｂは、Ａ＿ＩＤの存在に直接的に関与しない。Ａ＿ＩＤ認証手段２０４により、事業者Ａは、Ａ＿ＩＤを知っている、あるいは保有している利用者が正当な利用者であることを認証する。Ａ＿ＩＤ認証手段２０４では、Ａ＿ＩＤと組み合わせたパスワードの入力を利用者に求めてもよい。

Ｂ＿ＩＤは事業者Ｂが、コンテンツ配信サービスの利用者に対して付与するＩＤである。事業者Ａは、Ｂ＿ＩＤの存在に直接的に関与しない。Ｂ＿ＩＤ認証手段２１６により、事業者Ｂは、Ｂ＿ＩＤを知っている、あるいは保有している利用者が正当な利用者であることを認証する。Ｂ＿ＩＤ認証手段２１６では、Ｂ＿ＩＤと組み合わせたパスワードの入力を利用者に求めてもよい。

Ｐ＿ＩＤは、コンテンツ配信サービスの利用者の仮名ＩＤであり、これを事業者Ａと事業者Ｂが共有することにより、連携サービスを行う。すなわち、ある１人の利用者は、事業者ＡからＡ＿ＩＤを付与され、事業者ＢからＢ＿ＩＤを付与される。Ｐ＿ＩＤは事業者ＡのＩＤ連携Ａ手段２０７によってＡ＿ＩＤと関係付けられる。また、Ｐ＿ＩＤは事業者ＢのＩＤ連携Ｂ手段２１３によってＢ＿ＩＤと関係付けられる。Ｐ＿ＩＤの発行管理は本実施の形態では事業者Ａで行うが、事業者Ｂで行ってもよい。

ここで、事業者Ａと事業者Ｂの連携によって成立するサービスを提供するときの流れについて説明する。第１に、利用者Ｘは、事業者ＡのＡ＿ＩＤ認証手段２０４により、正当な利用者であることを認証してもらった後に、仮名ＩＤ（Ｐ＿ＩＤ）を発行してもらう。仮名ＩＤは事業者Ｂの公開鍵２０８で暗号化され、暗号化仮名ＩＤ情報として利用者Ｘに渡される。

このため、通信回線を盗聴しようとする者Ｙがいたとしても、また、利用者Ｘ自身の手によっても、仮名ＩＤの情報を見ることができない。第２に、利用者Ｘは、事業者Ｂに対してＢ＿ＩＤ認証手段２１６での認証を受けて正当な利用者であることを認証してもらった後に、暗号化仮名ＩＤ情報を事業者Ｂに渡す。事業者Ｂは、Ｂ＿ＩＤで管理されている利用者Ｘが保有する暗号化仮名ＩＤ情報を受け取る。事業者Ｂ秘密鍵２１５を用いて復号して、仮名ＩＤを抽出できる。第３に、利用者は、事業者Ａの管理する属性情報に基づく事業者Ｂのサービス提供を要求する。属性照合Ｂ手段２１２により、仮名ＩＤを用いて、利用者Ｘの属性情報を事業者Ａに照会し、事業者Ａの属性照合Ａ手段２０６により、属性認証を受ける。

事業者Ｂはサービス提供手段２２１により、コンテンツ配信サーバ１０６、ライセンス発行サーバ１０７を適切に制御する。これにより、属性認証結果に応じた適切なサービスを提供することができる。

サービスの利用に際しては、ユーザは視聴者端末１０９操作により、ポータルＢサーバ１０８およびコンテンツ配信サーバ１０６での諸手続きを行う。ユーザが見たいコンテンツを選択すると、コンテンツを一意に特定するコンテンツＩＤ（Ｃ＿ＩＤ）がサーバ側の処理として選択される。ポータルＡサーバ１０１の属性認証を要するコンテンツの場合、ポータルＢサーバ１０８側のＩＤ連携Ｂ手段２１３、属性認証手段２２０の手続きを経て、ユーザは明示的にあるいは暗黙のうちにポータルＡサーバ１０１での認証手続きを受ける。このときに、ポータルＡサーバ１０１で取得可能なログをアクセスログサーバ１０２に記録する。

アクセスログサーバ１０２は、図３に示すように、アクセスログ分析手段１３１とアクセスログＤＢ１３２を備える。さらに、アクセスログ分析手段１３１は、下記の機能ブロックを備える：
・管理画面／集計手段３２１
・視聴ログ一覧表示手段３２２
・視聴ログ集計表示手段３２３
・相関表示手段３２４
・視聴数集計手段３１９
・相関値集計手段３２０
アクセスログＤＢ１３２は、アクセスログテーブル３０１、中間テーブル３０２、視聴数テーブル３０３、相関テーブル３０４を備える。アクセスログテーブル３０１には、ログＩＤ３０５、コンテンツＩＤ３０６、仮名ＩＤ３０７、日付３０８、識別データ有効性判定結果３０９を格納する。識別データ有効性判定においては、視聴者端末１０９に保持する識別データを受け取り、識別データサーバ１０３内の属性と照合することにより、判定を行う。中間テーブル３０２には、集計のために仮名ユーザごとのコンテンツ視聴履歴を格納する。

視聴数テーブル３０３には、コンテンツＩＤごとの視聴数を格納する。相関テーブル３０４には、コンテンツＩＤごとの相関の計算結果を格納する。本質的なログ情報は、アクセスログテーブル３０１である。中間テーブル、視聴数テーブル、相関テーブルは、アクセスログ分析手段内のメモリ上に保持することにより、アクセスログテーブルから直接、視聴数集計結果や相関計算結果を出力してもよい。

管理者は、アクセスログ分析手段１３１により、管理画面／集計手段３２１にアクセスし、管理画面／集計手段３２１を呼び出す。管理画面／集計手段３２１は、さらに、視聴数集計手段３１９、相関値集計手段３２０を呼び出し、中間テーブル３０２の値から、視聴数、相関を計算し、その結果を、それぞれ視聴数テーブル３０３、相関テーブル３０４に格納する。

管理者は視聴ログ一覧表示手段３２２を用いて、アクセスログテーブル３０１の一覧を見ることが出来る。管理者は視聴ログ集計表示手段３２３を用いて、視聴数テーブル３０３の一覧を見ることが出来る。管理者は相関表示手段３２４を用いて、相関テーブル３０４の一覧を見ることが出来る。

コンテンツ同士の相関の計算には多様な計算方法が利用可能である。相関の指標には、信頼度（Ｃｏｎｆｉｄｅｎｃｅ）、支持度（Ｓｕｐｐｏｒｔ）、リフト値（Ｌｉｆｔ）がよく用いられる。コンテンツＸ、コンテンツＹの相関を計算するとき、信頼度Ｃは相関の強さを表し、Ｘの履歴に続けてＹの履歴がある割合のパーセント表示である。支持度Ｓは、データベース全体ＤでＸ、Ｙの組み合わせが起こる割合を示す指標である。リフト値は、信頼度を期待信頼度で割った値である。それぞれ、下式により計算できる。

Ｃ＝Ｐ（Ｘ＆Ｙ）／Ｐ（Ｘ）
Ｓ＝Ｐ（Ｘ＆Ｙ）／Ｐ（Ｄ）
Ｌ＝Ｃ／Ｐ（Ｙ）
信頼度が高いＸとＹの組み合わせは、それが当たり前の組み合わせであることを示す。支持度が高い組み合わせは、全顧客に対する影響度が大きいことを示す。リフト値が高いものは組み合わせ利用が多いことを示す。これらの計算結果を、コンテンツの相関として出力表示してもよい。値の大きいもの、小さいものに対してしきい値を定め、しきい値を超えるものをノイズとして出力制御することもできる。ここで、一定のしきい値を超えて、有効な相関関係を持つコンテンツＸ、Ｙの情報が得られたとき、この情報をレポートすると共に、サービス向上施策として、自動的にサービスを提供することもできる。

例えば、Ｘを見たユーザのうち、まだＹを見ていないユーザを特定し、コンテンツＹを見るようプロモーションすることができる。このとき、個人情報の利用許諾を得た前提において、仮名情報に連携させて連絡先メールアドレスも一緒に管理することにより、自動的にプロモーションメールを送信することができる。また、ポータルサイトにユーザがアクセスしてきたときに、お勧めコンテンツとして、ウェルカムページにコンテンツＹの情報を自動的に掲示することもできる。

別の例では、複数のコンテンツをセット販売、あるいは、お買い得パックのようなサービス提供方法を取るとき、どのコンテンツ同士を組み合わせることが、ユーザメリットにつながるか、上記相関計算の結果によって、自動的に組み合わせ商品を生成することもできる。

さらに別の例では、仮名ユーザ一人あたりの視聴数を集計することにより、ひとりのユーザが週に何回、何時間、コンテンツを視聴したかを集計することができる。それらユーザの動向を、相関分析することにより、いくつかのグループ分けをすることができる。ユーザに対する課金形態として、従量課金を行うとき、コンテンツ何個まではいくら、という価格設定がよくなされるが、ユーザ動向分析により、この「何個」という数字がいくらがよいかを自動的に算出することができるため、ユーザの利用状況に応じた課金方法の切り替えを適切に行うことができる。

コンテンツ同士の相関以外にも、顧客関係管理として、ユーザ間の別の相関も計算できる。２つのデータ列ｐ＝｛ｐｉ｝、ｑ＝｛ｑｉ｝があたえられたとき、２つのデータ列の間の相関（類似性の度合い）を示す統計学的指標として、相関係数ｒが計算できる。 中間テーブルのコンテンツ視聴履歴を照合することにより、ユーザ同士の嗜好の類似性を評価できる。ここまでの実施例の説明においては、ユーザ情報は仮名であるが、同じ嗜好を持った人がどういうグループを特定したいという分析利用場面も想定される。そのような場合には、あらかじめ仮名情報として、仮名ＩＤ以外に、分析に必要となるユーザ属性を付与して扱えば、分析可能となる。例えば、住所や年齢の属性を付与して、仮名ＩＤとペアにして管理しておくと、特定の嗜好を持つグループが、地域性に基づくものであることや、世代に基づくものであることが分析できる。

アクセスログサーバの管理画面は、図４に示すように、管理者がアクセスログサーバの所定の機能を選択すると、管理画面４０１が出力される。集計操作を選択すると、集計処理が行われた画面４０２を出力し、元の画面４０１に戻ることができる。アクセスログ一覧表示を選択すると、一覧４０３が表示される。アクセスログ集計を選択すると、集計結果４０４が視聴数の多いもの順に出力される。少ないもの順にソートしなおすこともできる。相関表示を選択すると、相関の計算結果４０５が出力される。これらの表示に際しては、直近２４時間だけの集計計算としたり、過去１ヶ月分を集計計算としたりするなど、ログ分析対象期間を指定することができる。また、計算結果をグラフ表示してもよい。

出力表示にあたっては、コンテンツＩＤ３０６をキーとして、コンテンツ属性情報ＤＢ２２３に照会し、コンテンツのタイトル、サブタイトルなどのコンテンツ属性を照会することにより、わかりやすい画面を構成できる。

識別データサーバ１０３は、ポータルＡサーバ１０１、Ａ顧客マスターデータサーバ１０４からアクセスされる。Ａ顧客マスターデータサーバ１０４は、識別データサーバ１０３と連携動作する。管理サーバＢ１０５は、ポータルＢサーバ１０８からアクセスされる。

Ａ顧客マスターテーブル５０１は、Ａ顧客マスターデータサーバ１０４のＡ顧客マスタＤＢ１２１に備えられる。Ａ顧客マスターテーブル５０１には、図５（ａ）に示すように、ユーザの個人情報を含むユーザ情報を格納する。Ａ顧客マスターテーブル５０１のフィールドには、視聴者ＩＤ５０４、パスワード５０５、氏名５０６、性別５０７、生年月日５０８、郵便番号５０９、住所５１０、電話番号５１１、識別フラグ５１２、更新日時５１３、予備５１４を備える。

ここで、本実施の形態で事業者Ｂと連携して行うコンテンツ配信サービスとは別に、事業者Ａ独自に提供するサービスＶを行っており、視聴者ＩＤ５０４は、サービスＶの中でユーザに対して一意に付与したＩＤを示す。識別フラグ５１２は、このサービスＶの会員に入会しているかどうかを示すフラグである。本実施の形態では、識別フラグ５１２のＹＥＳ／ＮＯの属性をもって、属性認証を行うが、別の属性を用いてもよいし、多ビットの識別フラグを用いてもよい。

識別データテーブル５０２は、識別データサーバ１０３の識別データＤＢ１１９に備えられる。識別データテーブル５０２のフィールドには、図５（ｂ）に示すように、視聴者ＩＤ５１５、Ａ＿ＩＤ５１６、仮名ＩＤ（Ｐ＿ＩＤ）５１７、顧客識別データ５１８、乱数５１９を備える。Ａ＿ＩＤ５１６は、コンテンツ配信サービスにおいて、事業者Ａがユーザを一意に特定するために、ユーザに付与するＩＤである。Ｐ＿ＩＤ５１７は、コンテンツ配信サービスにおいて、事業者Ａが事業者Ｂと連携してサービス提供するために、ユーザに対して仮名情報を付与する際に、仮名として一意なＩＤを付与したものである。

本実施の形態では、事業者Ａが仮名情報を付与するが、事業者Ｂが付与してもよい。仮名ＩＤ以外に住所５１０などの仮名情報があれば、識別データテーブル５０２に追加フィールドを設けて格納してもよい。

Ｂ顧客テーブル５０３は、管理サーバＢ１０５のＢ顧客ＤＢ１２３に備えられる。Ｂ顧客テーブル５０３のフィールドには、図５（ｃ）に示すように、Ｂ＿ＩＤ５２０、端末固有番号５２１、Ｐ＿ＩＤ５２２を備える。Ｂ＿ＩＤは、コンテンツ配信サービスにおいて、事業者Ｂがユーザを一意に特定するために、ユーザに付与するＩＤである。端末固有番号５２１は、事業者Ｂが端末認証を行うために登録しておく番号であり、ユーザがポータルＢサーバ１０８にアクセスする際には、視聴者端末１０９に対して一意に付与された端末固有番号を送信し、サーバに格納されている端末固有番号５２１と照合することにより、アクセス制御やセッション管理に利用できる。Ｐ＿ＩＤ５２２は、コンテンツ配信サービスにおいて、事業者Ａが事業者Ｂと連携してサービス提供するために、ユーザに対して仮名情報を付与する際に、仮名として一意なＩＤを付与したものである。

本実施の形態では、ユーザが事業者Ａから付与され、視聴者端末１０９に格納された暗号化仮名情報を復号化、抽出し、ＤＢ１２３に格納しておくものである。なお、前記フィールド以外に事業者Ｂが独自に収集及び管理する氏名、住所等の追加フィールドを当該テーブル内もしくは当該テーブルと対応づけて別テーブルとして管理することとしてもよい。

コンテンツ属性情報テーブル６０９は、図６に示すように、コンテンツＩＤ６０１、ジャンル６０２、タイトル名６０３、シリーズ名６０４、副題名６０５、放送日６０６、内容時間６０７のフィールドを備える。さらに、出演、内容、ファイル名などのコンテンツの属性を同じフィールドに備えてもよいし、これらと対応付けて管理可能な別テーブルに備えてもよい。

次に、図７〜図１２により、本発明の実施の形態１に係るコンテンツ配信サービスシステムで用いるプロトコルおよび処理フローについて説明する。図７〜図１２は本発明の実施の形態１に係るコンテンツ配信サービスシステムで用いるプロトコルおよび処理フローを示す図であり、図７は初期設定のプロトコルおよび処理フロー、図８は会員登録のプロトコルおよび処理フロー、図９は事業者間ＩＤの紐付けのプロトコルおよび処理フロー、図１０はエンドユーザがサービスを受けるプロトコルおよび処理フロー、図１１は情報更新（視聴者端末）のプロトコルおよび処理フロー、図１２は情報更新（サーバ）のプロトコルおよび処理フローを示している。

それぞれの詳細なプロトコルの説明に先立って、本実施の形態で用いるＩＤ体系による識別方法の整理を行う。あるユーザＸに対して、用途や場面に応じた４種類のＩＤ、すなわち、Ａ＿ＩＤ５１６、Ｖ＿ＩＤ（視聴者ＩＤ）５０４、Ｐ＿ＩＤ５１７、Ｂ＿ＩＤ５２０を付与する。さらに、視聴者端末１０９にはあらかじめ端末固有番号５２１を付与しておく。

事業者ＡはＡ＿ＩＤ５１６、Ｖ＿ＩＤ（視聴者ＩＤ）５０４、Ｐ＿ＩＤ５１７を付与し、事業者ＢはＢ＿ＩＤ５２０を付与する。Ａ＿ＩＤ５１６は、本実施の形態のコンテンツ配信サービスにおいて、事業者ＡがユーザＸを識別するために付与する。Ｖ＿ＩＤ（視聴者ＩＤ）５０４は、事業者Ａが事業者Ｂと独立に行うサービスＶにおいて、ユーザＸがサービスＶの会員であるときに、事業者Ａが付与する識別情報である。

なお、このサービスＶの会員資格について、ユーザＸの属性を認証する手続きを後で詳細に説明する。Ｐ＿ＩＤ５１７は、本実施の形態のコンテンツ配信サービスにおいて、事業者Ａ（ポータルＡ）、事業者Ｂ（ポータルＢ）の間で連携した処理を進める際において、ユーザＸを特定するために用いる。このＩＤ連携処理の詳細についても、後で詳細に説明する。Ｂ＿ＩＤ５２０は、事業者ＢがユーザＸを識別するために付与する。

まず、初期設定のプロトコルは、サーバ側で鍵交換を行うことにより、サーバ同士の通信において、通信路がインターネットを介した通信、あるいは、ユーザの視聴者端末を介した通信においても、情報の暗号化により、情報盗聴や改ざんを防止できる。

事前に登録された端末固有番号認証を経て、Ａ＿ＩＤ、Ｂ＿ＩＤの初期登録を行うことにより、視聴者端末の個別化処理を行うことができる。これらの個別化処理は、端末個別化抹消処理により、個別化以前の状態に復元することができる。これらは、事業者の手によって、あらかじめセットアップ済みの視聴者端末を、ユーザに配布あるいは販売する場合の事業者のセットアップ作業に利用できるプロトコルである。

サーバ初期登録のプロトコルおよび処理フローは、図７（ａ）に示すように、ステップ７０１において、ポータルＡサーバ１０１では、ポータルＡの公開鍵Ｋ＿Ａｐ、ポータルＡの秘密鍵Ｋ＿Ａｓを作成し、ステップ７０２において、ポータルＢサーバ１０８では、ポータルＡの公開鍵Ｋ＿Ｂｐ、ポータルＡの秘密鍵Ｋ＿Ｂｓを作成し、それぞれの公開鍵（Ｋ＿Ａｐ、Ｋ＿Ｂｐ）を交換する。

また、端末個別化のプロトコルおよび処理フローは、図７（ｂ）に示すように、ステップ７０３において、利用者から端末個別化要求があったとき、利用者Ｘから端末固有番号を受け取り、ポータルＢサーバ１０８に端末固有番号認証を委託する。

ステップ７０４で、端末固有番号認証処理を行い、結果をポータルＡサーバ１０１に返信する。

ステップ７０５において、ポータルＡが利用し、事業者Ａが利用者Ｘを一意に特定するＡ＿ＩＤを発行し、視聴者端末１０９のメモリ領域に登録する。

ステップ７０６において、利用者Ｘは続けてポータルＢサーバ１０８にアクセスし、事業者Ｂが利用者Ｘを一意に特定するＢ＿ＩＤを発行し、視聴者端末１０９のメモリ領域に登録する。

ステップ７０７において、事業者Ａには、事業者Ｂでの個別化処理が済んだ連絡を受け、初回登録手続きを完了する。

ステップ７０３〜ステップ７０７では、サービス利用前にあらかじめＡ＿ＩＤ、Ｂ＿ＩＤを視聴者端末１０９に初期設定する一例を示したが、これらのステップは、それぞれ個別に、一連のコンテンツ配信サービス利用手続きの流れの中で利用してもよい。

また、端末個別化抹消のプロトコルおよび処理フローは、図７（ｃ）に示すように、ステップ７０８において、利用者ＸからポータルＡ再設定登録要求を受けると、視聴者端末１０９のメモリ領域に登録されたＡ＿ＩＤを消去する。

ステップ７０９において、ポータルＡ側の処理が終わると、画面制御をポータルＢ側にゆだねる。

ステップ７１０において、利用者ＸからポータルＢ再設定登録要求を受けると、視聴者端末１０９のメモリ領域に登録されたＢ＿ＩＤを消去する。

ステップ７１１において、再設定登録処理を終える。

また、事業者Ｂの行うコンテンツ配信サービスにおいて、ユーザが利用登録する時のプロトコルおよび処理フローとしては、図８に示すように、ステップ８０１、ステップ８０２において、視聴者ＩＤ、パスワードを画面から入力することにより、アクセスしてきたユーザを認証する。Ａ顧客マスタＤＢのＡ顧客マスターテーブル５０１にある視聴者ＩＤ５０４、パスワード５０５と利用者からの送信内容を照合する。あるいは、Ａ＿ＩＤに対応した、パスワードをあらかじめ登録、利用してもよい。

ステップ８０７において、視聴者端末１０９内のメモリあるいはセキュアな外部記憶媒体などに属性認証に用いる情報を格納する。

ステップ８０２において、ステップ８０３により乱数ｒを生成し、ステップ８０４において、識別データ（ａ、ｂ）を作成する。Ａ顧客マスタＤＢのＡ顧客マスターテーブル５０１にある視聴者ＩＤ５０４に対応する識別フラグ５１２の値Ｆ（１／０：それぞれ会員資格あり／無しの意味）を参照する。一方向性関数ＨＡＳＨ（）、文字列結合演算子（｜）を用いて、２つの識別データａ、ｂを下式により計算する。

ａ＝ＨＡＳＨ（ｒ｜Ｆ）
ｂ＝ＨＡＳＨ（ｒ｜１）
利用者Ｘの視聴者ＩＤ５０４に対応した識別フラグ５１２の値Ｆが「１」の場合、利用者Ｘは会員資格があり、ａとｂの値は一致する。「０」の場合、利用者Ｘは会員資格がなく、ａとｂの値は一致しない。一方向性関数を使っているので、乱数ｒの値を知らない限り、ａの値からＦの値を知ることはできない。このため、例えば、識別データａの値を第３の事業者に委託して管理運用しても、会員資格を識別する個人情報Ｆが安全に保護できる。なお、一方向性関数の内部の文字列結合対象に、さらにＡ＿ＩＤなどを加えてもよい。

ａは、識別データサーバ１０３の識別データＤＢ１１９の識別データテーブル５０２の顧客識別データ５１８に格納する。ｂは視聴者端末１０９に格納する。このとき、ｂは属性認証に用いる識別データであり、これと、認証に用いる有効期限を示す情報を連結させ、事業者Ａの公開鍵で暗号化したものが、Ｋ＿Ａｐ（ｂ、有効期限）である。事業者Ａの秘密鍵を保有するポータルＡサーバ１０１でのみ、この情報は復号化可能であり、ｂを抽出できる。ステップ８０５において、この暗号化の処理を行う。

ステップ８０５の出力におけるＡ＿ＩＤ情報については、視聴者端末内に初期設定されたＡ＿ＩＤを利用してもよいし、視聴者ＩＤに対応付けて、新規にＡ＿ＩＤを発行登録した上で、視聴者端末に格納（Ｃｏｏｋｉｅ登録）してもよい。

また、仮名情報を用いた事業者間ＩＤの紐付けのプロトコルおよび処理フローとしては、図９に示すように、「仮名情報を用いてポータルＢサーバ１０８とポータルＡサーバ１０１の連携をさせたサービスを受けたい」という要求があった場合に、ユーザは、Ａ＿ＩＤを利用してポータルＡにアクセスする。

ステップ９０１において、ポータルＡサーバ１０１では、仮名情報を生成し、Ａ＿ＩＤと対応付けて、仮名ＩＤ（Ｐ＿ＩＤ）を識別データテーブル５０２に登録する。ここで、個人情報の活用に対してユーザの許諾があり、仮名情報として仮名ＩＤ以外に利用可能な情報があれば、Ａ顧客マスターテーブル５０１の内容の一部（例えば住所）を一緒に対応付けてもよい。このとき、識別データテーブル５０２に住所などを格納するフィールドを追加する。

さらに、ポータルＡサーバ１０１では、ステップ９０２において、このＰ＿ＩＤを事業者Ｂの公開鍵２０８で暗号化したＫ＿Ｂｐ（Ｐ＿ＩＤ）を作成する。Ｋ＿Ｂｐ（Ｐ＿ＩＤ）は、事業者Ｂの秘密鍵２１５によってのみ復号化可能であり、ポータルＢサーバ１０８でのみ、このＰ＿ＩＤを抽出できる。Ｋ＿Ｂｐ（Ｐ＿ＩＤ）は、ユーザを介して、ポータルＢサーバ１０８に運んでもらう。ユーザは、Ｂ＿ＩＤを利用してポータルＢサーバ１０８にアクセスする。ポータルＢサーバ１０８では、ステップ９０４において、暗号を復号化してＰ＿ＩＤを抽出した後、Ｂ＿ＩＤと対応付けて登録する。ここで、個人情報の活用に対してユーザの許諾があり、仮名情報として仮名ＩＤ以外に利用可能な情報があれば、Ｂ顧客テーブル５０３を拡張し、一緒に対応付けてもよい。

また、サービスのプロトコルおよび処理フローとしては、図１０に示すように、ステップ１００１において、ユーザは、ポータルＢサーバ１０８にアクセスし、端末固有番号認証処理および／あるいはＢ＿ＩＤ認証手段２１６による処理２１６を経る。

その後、ステップ１００２において、コンテンツ一覧を取得できる。コンテンツ一覧はコンテンツ配信サーバ１０６が管理するコンテンツ属性情報ＤＢ２２３から作成される。ユーザが視聴したいコンテンツを選択すると、コンテンツＩＤが特定される。

ステップ１００４において、ポータルＢサーバ１０８は、ポータルＡサーバ１０１に対して、属性認証要求を出し、Ｋ＿Ａｐ（ｂ、有効期限）、 Ｋ＿Ａｐ（Ｐ＿ＩＤ）、Ｃ＿ＩＤを送信する。なお、Ｋ＿Ａｐ（Ｐ＿ＩＤ）は、ステップ１００５において、事業者Ａの公開鍵２１４でＰ＿ＩＤを暗号化したものである。

ステップ１００６において、ポータルＡでは、仮名ＩＤ（Ｐ＿ＩＤ）、コンテンツＩＤ（Ｃ＿ＩＤ）などのログ情報をアクセスログサーバ１０２のアクセスログＤＢ１２３のアクセスログテーブル３０１および中間テーブル３０２に記録する。さらに、事業者Ａの秘密鍵Ｋ＿Ａｓ２０９を用いて、Ｋ＿Ａｐ（Ｐ＿ＩＤ）を復号化してＰ＿ＩＤを抽出し、Ｐ＿ＩＤに対応してＤＢ（識別データテーブル５０２）に登録してある識別データａを検索する。さらに、Ｋ＿Ａｐ（ｂ、有効期限）を復号化してｂを抽出する。

ステップ１００７において、有効期限の確認、ａとｂの照合を行った結果をポータルＢサーバ１０８に知らせる。

ステップ１００８において、ポータルＢサーバ１０８では、属性認証が通れば、コンテンツＩＤ（Ｃ＿ＩＤ）で特定されるコンテンツの視聴許諾が得られたものと考える。

ステップ１００９において、コンテンツ配信サーバに対して、コンテンツ配信指示を出す。さらに、必要に応じてライセンス発行サーバにライセンス発行指示を出す。ユーザはコンテンツを視聴できる。

また、情報更新（視聴者端末）のプロトコルおよび処理フローとしては、図１１に示すように、事業者Ａによって会員資格を取り消される、あるいは、視聴者端末１０９上の識別データの有効期限が切れるなどの理由から、図１０に示すサービス利用時に、属性認証結果がＮＧになった場合など、視聴者端末１０９から、登録情報の確認と更新を行うことができる。

ステップ１１０１においてＡ＿ＩＤを用いてポータルＡサーバ１０１にアクセスし、最新のＫ＿Ａｐ（ｂ、有効期限）を再交付してもらう。ポータルＡサーバ１０１では対応するＤＢ内容（識別データテーブル５０２）の識別データａ５１８、乱数５１９を更新する。ステップ１１０２において、更新された識別データｂを視聴者端末に格納する。ステップ１１０１の基本的な処理は、図８のステップ８０２の処理と技術的に同様である。

また、情報更新（サーバ）のプロトコルおよび処理フローとしては、図１２に示すように、ある視聴者ＩＤ５０４を持つ利用者に対して、識別データａ、ｂの生成に関わる識別フラグ５１２の更新は、Ａ顧客マスターデータサーバ１０４のコンソールから、ステップ１２０１、ステップ１２０２、ステップ１２０３によって、管理者の手によってなされる。

ステップ１２０２において、新しい識別フラグ５１２が設定されたのち、ＤＢ（識別データテーブル５０２）に格納される識別データａ５１８は、新しいものに更新される。このとき、視聴者端末側に格納されている識別データｂ１３０は、古いままなので、属性認証時の照合処理でａとｂは異なるという状態になる。

なお、図１１に示す視聴者端末を用いた情報更新手続きにより、新しい識別データａに対応した新しい識別データｂを視聴者端末１０９に格納した後に、属性認証が通るようになる。

次に、図１３〜図１７により、本発明の実施の形態１に係るコンテンツ配信サービスシステムのユーザおよび管理者が行う基本操作について説明する。図１３は本発明の実施の形態１に係るコンテンツ配信サービスシステムのユーザおよび管理者が行う基本操作の一覧を示す図、図１４〜図１７は本発明の実施の形態１に係るコンテンツ配信サービスシステムのユーザおよび管理者が行う各操作の詳細を示す図である。

まず、ユーザおよび管理者が行う基本操作は、図１３に示すように、下記の９種類がある。

○操作００１
・セットアップ１
（ａ）ポータルＡ
（ｂ）ポータルＢ
○操作００２
・セットアップ２（端末の個別化）
○操作００３
・サービス利用登録
（ａ）属性認証の初期手続き
（ｂ）ＩＤ連携の初期手続き
○操作００４
・会員向け番組の選択（認証ＯＫ）〜動画再生ボタン
○動作００５
・サーバ／端末の初期化
○動作００６
（ａ）会員向け番組の選択（認証ＮＧ）
（ｂ）利用登録更新（認証ＯＫ） 〜動画再生ボタン
（ｃ）管理画面（ポータルＡ）
○操作００７
・会員向け番組の選択（認証ＮＧ）〜利用登録更新（認証ＮＧ）無限ループ〜
○操作００８
・端末固有番号認証エラー
○動作００９
・識別フラグ更新
操作００１および操作００２は、図７に示す初期設定の処理の操作が行われる。

操作００３は、図１４に示すように、サービス利用登録が選択され、サービス利用登録の操作が行われる。

操作００４は、図１５（ａ）に示すように、動画配信サービスが選択され、コンテンツの一覧からコンテンツが選択され、Ｐ＿ＩＤを保有している場合は、再生操作によりコンテンツを再生が行われる。

操作００５は、図１５（ｂ）に示すように、サーバ／端末の初期化が選択され、コンテンツホルダとＩＳＰの初期状態に戻す操作が行われる。

操作００６は、図１６に示すように、まず、図１６（ａ）に示す操作００６の（ａ）の会員向け番組の選択で識別データ照合ＮＧとなって認証ＮＧの場合、図６（ｂ）に示す操作００６の（ｂ）の利用登録更新を行い、Ａ顧客マスターデータサーバ１０４では、図６（ｃ）に示す操作００６の（ｃ）の管理画面の操作が行われる。

操作００７は、図１７（ａ）に示すように、会員向け番組の選択で識別データ照合ＮＧで認証ＮＧの場合で、利用登録更新の際も認証ＮＧの場合は、コンテンツフォルダとの利用登録が完了するまでループとなる。

操作００８は、図１７（ｂ）に示すように、端末固有番号認証エラーの操作の場合は、エラー画面となる。

操作００９は、図１１および図１２に示す情報更新の処理の操作が行われる。

次に、図１８〜図２０により、本発明の実施の形態１に係るコンテンツ配信サービスシステムの視聴者端末およびサーバの取りうる状態、および状態遷移について説明する。図１８は本発明の実施の形態１に係るコンテンツ配信サービスシステムの視聴者端末およびサーバの取りうる状態を示す説明図、図１９は本発明の実施の形態１に係るコンテンツ配信サービスシステムの状態遷移を説明するための状態遷移図、図２０は本発明の実施の形態１に係るコンテンツ配信サービスシステムの状態遷移の初期状態を説明するための説明図である。

本実施の形態のコンテンツ配信サービスを特徴づける属性情報、仮名情報に関わる主な変数には、端末固有番号、識別フラグ（Ｆ）、仮名（Ｐ＿ＩＤ）、識別データ（ｂ）がある。端末固有番号、識別フラグ（Ｆ）、仮名（Ｐ＿ＩＤ）はサーバ側に登録され、識別データ（ｂ）は視聴者端末側に登録される。これらの変数の取りうる値の組み合わせにおいて、コンテンツ配信サービスにおけるユーザの状態が、図１８に示す１０通りに定義できる。更に細かな状態を考慮すると、状態数が増えることも考えられる。

すべてのユーザは初期の状態において、「状態１」（あるいは「状態２」）である。図１３に示した基本操作の組み合わせを経て、すなわちユーザの選択、要望に応じて、状態は自在に遷移しうる。最終的に、「状態９」、すなわち、端末固有番号が認可され、識別フラグ（Ｆ）が「１」あるいはＹｅｓの状態となり、仮名（Ｐ＿ＩＤ）が交付され、識別データ（ｂ）が正しく設定された状態になった後に、「状態１０」に状態遷移し、コンテンツ視聴可能となる。

図１９に示すように、本実施の形態では、図１３の操作００２〜操作００８の基本操作により、状態１〜状態１０の間で状態遷移している。

本実施の形態と少し異なる操作制御、画面制御、ＤＢ制御方法によって、これら以外の状態遷移がありえるものの、どの状態からどの状態にでも遷移させることは、容易に実現可能である。

また、状態遷移の初期状態としては、ユーザが取りうる状態は１０通りあるものの、一連の画面遷移の中で、ユーザが意識することなく通過する状態も多い。通信エラーなどの障害で中途半端な状態に陥るケースも考えられるものの、通常、画面遷移と状態遷移がユーザの判断により中断し、時間をおいて、再度、サービス利用継続のための操作を再開するような利用場面が考えられる場所は、図２０の４つの状態（状態２、５、６、９）である。

ユーザ操作がこの状態から始まるという観点において、上記の画面遷移では、状態継続の趣旨や現在の状態を示す画面を挟むなど、使い勝手向上のための機能拡張をすることができる。

以上のように、本実施の形態では、仮名を用いてポータルＡとポータルＢ間のデータを管理しているため、デジタルコンテンツを配信するコンテンツ配信サービスシステムにおいて、複数の事業者が共同で提供するサービスにおいて、視聴者のプライバシーを保護しながら、視聴者の動向を分析してサービス内容向上に反映させることが可能である。

（実施の形態２）
実施の形態２は、実施の形態１において、仮名ＩＤの扱い方を異なるものとしたものである。

コンテンツ配信サービスシステムの構成は実施の形態１と同様である。

まず、運用上の観点から、仮名ＩＤの種類には、恒久的仮名ＩＤと一時的仮名ＩＤがある。

実施の形態１では、恒久的仮名ＩＤを基本とし、この恒久的仮名ＩＤは、いったん付与されれば、ある程度長い所定期間の間、同一利用者Ｘには、同一の仮名ＩＤが用いられる。たとえば、会員資格更新期間として１年間利用可能とするなど、有効期間が長い。

一方、一時的仮名ＩＤは、比較的短い所定期間だけ有効なＩＤであり、同一利用者Ｘに対して、ある程度長い期間で見たとき、複数の仮名ＩＤが用いられる。一時的仮名ＩＤでは、コンテンツを１回視聴するための１セッションの間だけ有効とするなどの運用が考えられる。本実施の形態では、この一時的仮名ＩＤを用いている。

仮名ＩＤの有効期間の長い短いは、その利用用途にも関わる。視聴率集計の用途の場合、ＩＤ有効期間が集計期間より長いものは恒久的仮名ＩＤ、短いものは一時的ＩＤと考えることができる。恒久的仮名ＩＤを用いるよりも、一時的仮名ＩＤを用いる方が、盗聴や不正アクセスを行う不正者にとって、情報解読が困難になるという意味で、より安全である。

視聴率集計、コンテンツ同士の相関計算など、ユーザ動向の分析においては、恒久的仮名ＩＤを用いる場合よりも、一時的仮名ＩＤを用いる場合の方が、複雑な処理を要する。

具体的には、データベースに残った一時的仮名ＩＤをキーとするログ情報の中から、その一部が、同一利用者Ｘの残したログであることを特定する手段が必要となる。また、一時的仮名ＩＤ発行時にも、その特定が可能な発行方法が必要である。

一時的仮名ＩＤを用いたユーザ動向分析が実現可能な方法はいくつか考えられる。その第１の方法は、同一の利用者Ｘに対して発行される一時的仮名ＩＤがｎ個あったとき、これらをすべて、利用者Ｘに対応した恒久的仮名ＩＤと対応づけて、データベースに蓄積管理しておくことである。

具体的には、まず、仮名ＩＤ管理テーブルとして、恒久的仮名ＩＤ、一時的仮名ＩＤをフィールドに備える。次に、一時的仮名ＩＤを発行する際には、Ａ＿ＩＤ認証手段あるいはＰ＿ＩＤ認証手段を経た後に、利用者Ｘに対して一時的仮名ＩＤ（ＴＰ＿ＩＤ）を発行し、仮名ＩＤ管理テーブルに、ＴＰ＿ＩＤを記録する。次に、利用者はＴＰ＿ＩＤを用いて、必要なサービスを受けた（コンテンツを視聴する）際に、ＴＰ＿ＩＤに基づいたレコードが視聴ログとして記録される。最後に、視聴ログから情報を分析する際、恒久的仮名ＩＤに基づいて、同一視聴者のログを集約した集計が可能となる。

一時的仮名ＩＤを用いたユーザ動向分析が実現可能な第２の方法について説明する。説明の準備として下記の変数を定める。

ｐ ： 整数の恒久的仮名ＩＤ
ｋ ： ｐより大きな素数の秘密情報
ｒ ： 乱数
ｑ ： 一時的仮名ＩＤ
恒久的仮名ＩＤがｐの利用者に対して、一時的仮名ＩＤのｑを生成するとき、毎回異なる値を生成する乱数生成器を利用して：
ｑ＝ｐ＋ｋ×ｒ
の計算式により計算する。複数ある一時的仮名ＩＤの中から、同一利用者（恒久的仮名ＩＤがｐの利用者）のものを見分けるためには、ｑをｋで割った余りｔ、すなわち：
ｔ＝ｑ ｍｏｄ ｋ
の計算式により求められる計算結果（ｔ）が、恒久的仮名ＩＤのｐと一致するかどうかで判別できる。従って、視聴ログから情報を分析する際、恒久的仮名ＩＤに基づいて、同一視聴者のログを集約した集計が可能となる。なお、ＲＳＡ暗号のセキュリティ同様に、ｐ、ｋ、ｒに大きな数字を使えば、万一、一時的仮名ＩＤ（ｑ）がいくつか情報漏洩しても、恒久的仮名ＩＤを算出することは実質的にできない。まして、恒久的仮名ＩＤに関係付けられたユーザＩＤ（Ａ＿ＩＤ）、さらに、Ａ＿ＩＤに関係付けられたＶ＿ＩＤ、氏名、電話番号などの情報を知ることはできない。

このように、本実施の形態では、一時的仮名ＩＤを用いることで、より視聴者のプライバシーを保護しながら、視聴者の動向を分析してサービス内容向上に反映させることが可能である。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

本発明は、デジタルコンテンツを配信するコンテンツ配信サービスシステムに関し、プライバシーを保護しながら複数の事業者が連携して情報サービスを行うシステムに適用可能である。

本発明の実施の形態１に係るコンテンツ配信サービスシステムの構成を示す構成図である。 本発明の実施の形態１に係るコンテンツ配信サービスシステムのポータルサーバおよび視聴者端末の構成を示す構成図である。 本発明の実施の形態１に係るコンテンツ配信サービスシステムのアクセスログサーバの構成を示す構成図である。 本発明の実施の形態１に係るアクセスログサーバのアクセスログ管理画面を説明するための説明図である。 （ａ）〜（ｃ）は本発明の実施の形態１に係るＡ顧客マスターデータサーバ、識別データサーバ、管理サーバＢのデータベースのテーブルを説明するための説明図である。 本発明の実施の形態１に係るコンテンツ配信サーバのコンテンツ属性情報ＤＢにおけるテーブルを説明するための説明図である。 （ａ）〜（ｃ）は本発明の実施の形態１に係るコンテンツ配信サービスシステムで用いる初期設定のプロトコルおよび処理フローである。 本発明の実施の形態１に係るコンテンツ配信サービスシステムで用いる会員登録のプロトコルおよび処理フローである。 本発明の実施の形態１に係るコンテンツ配信サービスシステムで用いる事業者間ＩＤの紐付けのプロトコルおよび処理フローである。 本発明の実施の形態１に係るコンテンツ配信サービスシステムで用いるエンドユーザがサービスを受けるプロトコルおよび処理フローである。 本発明の実施の形態１に係るコンテンツ配信サービスシステムで用いる情報更新（視聴者端末）のプロトコルおよび処理フローである。 本発明の実施の形態１に係るコンテンツ配信サービスシステムで用いる情報更新（サーバ）のプロトコルおよび処理フローである。 本発明の実施の形態１に係るコンテンツ配信サービスシステムのユーザおよび管理者が行う基本操作の一覧を示す図である。 本発明の実施の形態１に係るコンテンツ配信サービスシステムのユーザおよび管理者が行う各操作の詳細を示す図である。 （ａ）、（ｂ）は本発明の実施の形態１に係るコンテンツ配信サービスシステムのユーザおよび管理者が行う各操作の詳細を示す図である。 （ａ）〜（ｃ）は本発明の実施の形態１に係るコンテンツ配信サービスシステムのユーザおよび管理者が行う各操作の詳細を示す図である。 （ａ）、（ｂ）は本発明の実施の形態１に係るコンテンツ配信サービスシステムのユーザおよび管理者が行う各操作の詳細を示す図である。 本発明の実施の形態１に係るコンテンツ配信サービスシステムの視聴者端末およびサーバの取りうる状態を示す説明図である。 本発明の実施の形態１に係るコンテンツ配信サービスシステムの状態遷移を説明するための状態遷移図である。 本発明の実施の形態１に係るコンテンツ配信サービスシステムの状態遷移の初期状態を説明するための説明図である。 従来の技術の課題と本発明の位置づけを示した説明図である。

符号の説明

１０１…ポータルＡサーバ、１０２…アクセスログサーバ、１０３…識別データサーバ、１０４…Ａ顧客マスターデータサーバ、１０５…管理サーバＢ、１０６…コンテンツ配信サーバ、１０７…ライセンス発行サーバ、１０８…ポータルＢサーバ、１０９…視聴者端末、１１０…通信インフラ、１１１…インターネット、１１２…固定網接続装置、１１３…無線網基地局、１１４…ＩＤ連携Ａ手段、１１５…Ａ暗号復号手段、１１６…識別データ計算手段、１１７…属性認証Ａ手段、１１８…識別データ管理手段、１１９…識別データＤＢ、１２０…Ａ顧客データ管理手段、１２１…Ａ顧客マスタＤＢ、１２２…Ｂ顧客データ管理手段、１２３…Ｂ顧客ＤＢ、１２４…Ｂ暗号復号手段、１２５…ＩＤ連携Ｂ手段、１２６…サービス提供手段、１２７…属性認証Ｂ手段、１２８…コンテンツ、１２９…コンテンツ管理手段、１３０…秘密情報、１３１…アクセスログ分析手段、１３２…アクセスログＤＢ、２０１…ＤＢ制御Ａ手段、２０２…識別データ更新手段、２０３…ユーザ画面制御Ａ手段、２０４…Ａ＿ＩＤ認証手段、２０５…Ｐ＿ＩＤ認証手段、２０６…属性照合Ａ手段、２０７…ＩＤ連携Ａ手段、２０８…事業者Ｂ公開鍵、２０９…事業者Ａ公開鍵・秘密鍵、２１０…Ａ初期登録手段、２１２…属性照合Ｂ手段、２１３…ＩＤ連携Ｂ手段、２１４…事業者Ａ公開鍵、２１５…事業者Ｂ公開鍵・秘密鍵、２１６…Ｂ＿ＩＤ認証手段、２１７…Ｂ初期登録手段、２２１…サービス提供手段、２２６…コンテンツビュアー、２２７…ブラウザ、２２８…ライセンス取得手段、２２９…ローカル保存情報、３０１…アクセスログテーブル、３０２…中間テーブル、３０３…視聴数テーブル、３０４…相関テーブル、３１９…視聴数集計手段、３２０…相関値集計手段、３２１…管理画面／集計手段、３２２…視聴ログ一覧表示手段、３２３…視聴ログ集計表示手段、３２４…相関表示手段、５０１…顧客マスターテーブル、５０２…識別データテーブル、５０３…顧客テーブル、６０９…コンテンツ属性情報テーブル。

Claims (4)

1. 視聴者端末、ポータルＡサーバ、ポータルＢサーバ、識別データサーバ、顧客マスターデータサーバ、およびアクセスログサーバを備え、前記視聴者端末にデジタルコンテンツを配信するコンテンツ配信サービスシステムであって、
   前記顧客マスターデータサーバは、視聴者端末を利用するユーザの属性情報を格納し、
   前記ポータルＡサーバは、前記顧客マスターデータサーバに格納された前記属性情報に基づく２種類の識別データａおよび識別データｂを生成し、前記識別データサーバに前記識別データａを格納し、前記視聴者端末に前記識別データｂを格納し、前記ユーザの属性認証の要求があったとき、前記識別データａと前記識別データｂの照合により認証を行い、前記顧客マスターデータサーバのユーザの属性情報と関係付けて、仮名情報を生成して、前記識別データサーバに格納し、前記ユーザから前記ポータルＢサーバで仮名情報を使いたいという利用要求が前記ポータルＡサーバにあったとき、前記ユーザに前記仮名情報を託して、前記ポータルＢサーバでの利用を許諾し、
   前記ポータルＢサーバは、前記ユーザに前記仮名情報の利用許諾を発行し、前記ユーザに対して、前記仮名情報のまま前記ポータルＡサーバが管理する前記デジタルコンテンツを配信し、
   前記ポータルＡサーバおよび前記ポータルＢサーバは、前記仮名情報に基づいて、前記ポータルＡサーバのサービスおよび前記ポータルＢサーバのサービスを連携させて行い、
   前記アクセスログサーバは、前記ユーザによるコンテンツの視聴時に、アクセスログとして、前記仮名情報および前記デジタルコンテンツの情報を記録し、前記仮名情報により、複数のアクセスログが同一ユーザによるログであることを対応づけ、前記記録したアクセスログを分析し、視聴率およびコンテンツ同士の相関の計算を行うことを特徴とするコンテンツ配信サービスシステム。
2. 請求項１記載のコンテンツ配信サービスシステムにおいて、
   前記アクセスログサーバは、計算した前記視聴率およびコンテンツ同士の相関によるユーザ動向およびユーザの嗜好に基づいて、前記ユーザ動向および前記ユーザの嗜好をコンテンツ生成企画に反映させるためのレポート、前記ユーザ動向および前記ユーザの嗜好を料金体系に反映させる情報、サービス内容を記述する索引画面体系に前記ユーザ動向および前記ユーザの嗜好を反映させる情報を出力することを特徴とするコンテンツ配信サービスシステム。
3. 請求項１記載のコンテンツ配信サービスシステムにおいて、
   前記ポータルＢサーバは、前記視聴者端末の端末固有番号の認可状態、前記ユーザの前記ポータルＡサーバへの登録状態を示す識別フラグの値、前記仮名情報の有無、前記識別データｂの有無の４種類の状態変数の変化に基づく状態変遷により、前記端末固有番号が認可され、前記識別フラグの値がＹＥＳとなり、前記仮名情報が発行され、前記識別データｂがある完成状態においてのみ、コンテンツ視聴が可能となる制御を行うことを特徴とするコンテンツ配信サービスシステム。
4. 請求項１記載のコンテンツ配信サービスシステムにおいて、
   前記ポータルＡサーバは、前記アクセスログサーバのアクセスログが、一時的に生成された一時的仮名情報をキーとしたものである場合、あらかじめ鍵となる情報を保有し、前記仮名情報の要求がある度に生成する乱数と前記鍵との積に恒久的仮名情報を加えたものを一時的仮名情報として発行し、
   前記アクセスログサーバは、前記一時的仮名情報を前記鍵で割った余りから前記恒久的仮名情報を算出し、複数ある前記一時的仮名情報の中から、同じ前記恒久的仮名情報を持つ同一利用者のものを識別することを特徴とするコンテンツ配信サービスシステム。

Images