JP5346876B2 - アンケート集計方法、アンケートシステム、サーバ装置、クライアント装置 - Google Patents

Description

本発明は、入力値を秘匿したまま、その入力値に対する演算を行う秘密計算を適用したアンケートシステムに関する。

近年、インターネット等のネットワークを利用したアンケート（いわゆる、電子アンケー）が行われるようになっている。また、アンケートの匿名性を担保するために、回答データを暗号化する技術が提案されている（特許文献１）。

特開２００２−１０９１４１号公報

Koji Chida, Katsumi Takahashi. Privacy Preserving Computations without Public Key Cryptographic Operation, Proc. of The 3rd International Workshop on Security (IWSEC2008), pp.184--200, 2008.

しかしながら、特許文献１に記載の技術では、暗号化された回答データをアンケート集計に用いるためには、回答データを復号する必要があり、回答データを秘匿したままでアンケート集計を行うことはできない。また、回答者の中には故意に不正な回答を行う不正回答者が存在する可能性があるが、不正回答者の回答データを除去することはできない。

そこで、本発明の目的は、アンケートに対する回答データを秘匿したままで回答データを集計することができ、かつ不正回答者の回答データを除去することができるアンケート集計方法、アンケートシステム、サーバ装置、クライアント装置を提供することにある。

本発明のアンケート集計方法は、
アンケートに対する複数の回答データを送信するクライアント装置と、前記クライアント装置から送信されてきた複数の回答データを集計するサーバ装置と、を有してなるアンケートシステムによるアンケート集計方法であって、
前記クライアント装置が、複数の回答データの各々を秘匿化する秘匿ステップと、
前記クライアント装置が、前記サーバ装置に対し、秘匿化済みの複数の回答データを送信するとともに、回答データに対する正当性の検証演算に用いる回答データ中の対象データを示すデータ情報と、検証演算の種別を示す演算種別情報と、回答データを不正と判定する指標となる検証演算結果を示す不正情報と、を送信する送信ステップと、
前記サーバ装置が、複数の回答データごとに、前記データ情報が示す対象データに対する前記演算種別情報が示す検証演算を秘密計算で実行する検証演算ステップと、
前記サーバ装置が、複数の回答データごとに、前記実行された検証演算結果を、前記不正情報が示す検証演算結果と照合することで、該回答データが不正であるか否かを判定し、不正と判定した回答データを除去する判定ステップと、
前記サーバ装置が、除去後に残った回答データに対する集計演算を秘密計算で実行する集計演算ステップと、を有する。

本発明のアンケートシステムは、
アンケートに対する複数の回答データを送信するクライアント装置と、前記クライアント装置から送信されてきた複数の回答データを集計するサーバ装置と、を有してなるアンケートシステムであって、
前記クライアント装置は、
複数の回答データの各々を秘匿化する秘匿処理部と、
前記サーバ装置に対し、秘匿化済みの複数の回答データを送信するとともに、回答データに対する正当性の検証演算に用いる回答データ中の対象データを示すデータ情報と、検証演算の種別を示す演算種別情報と、回答データを不正と判定する指標となる検証演算結果を示す不正情報と、を送信する送信部と、を有し、
前記サーバ装置は、
演算命令を受けた場合、該演算命令で指示された演算を秘密計算で行う秘密計算部と、
複数の回答データの各々について、前記データ情報が示す対象データに対する前記演算種別情報が示す検証演算の実行を指示する検証演算命令を、前記秘密計算部に出力し、前記秘密計算部で実行された検証演算結果を、前記不正情報が示す検証演算結果と照合することで、該回答データが不正であるか否かを判定し、不正と判定した回答データを除去し、除去後に残った回答データに対する集計演算の実行を指示する集計演算命令を、前記秘密計算部に出力する正当性検証部と、を有する。

本発明のサーバ装置は、
クライアント装置から送信されてきた、アンケートに対する複数の回答データを集計するサーバ装置であって、
前記クライアント装置から、秘匿化済みの複数の回答データを受信するとともに、回答データに対する正当性の検証演算に用いる回答データ中の対象データを示すデータ情報と、検証演算の種別を示す演算種別情報と、回答データを不正と判定する指標となる検証演算結果を示す不正情報と、を受信する受信部と、
演算命令を受けた場合、該演算命令で指示された演算を秘密計算で行う秘密計算部と、
複数の回答データの各々について、前記データ情報が示す対象データに対する前記演算種別情報が示す検証演算の実行を指示する検証演算命令を、前記秘密計算部に出力し、前記秘密計算部で実行された検証演算結果を、前記不正情報が示す検証演算結果と照合することで、該回答データが不正であるか否かを判定し、不正と判定した回答データを除去し、除去後に残った回答データに対する集計演算の実行を指示する集計演算命令を、前記秘密計算部に出力する正当性検証部と、を有する。

本発明のクライアント装置は、
アンケートに対する回答データを集計するサーバ装置に対し、複数の回答データを送信するクライアント装置であって、
複数の回答データの各々を秘匿化する秘匿処理部と、
前記サーバ装置に対し、秘匿化済みの複数の回答データを送信するとともに、回答データに対する正当性の検証演算に用いる回答データ中の対象データを示すデータ情報と、検証演算の種別を示す演算種別情報と、回答データを不正と判定する指標となる検証演算結果を示す不正情報と、を送信する送信部と、を有する。

本発明によれば、アンケートシステムに秘密計算を適用し、アンケートに対する回答データの正当性の検証演算および集計演算を秘密計算で行うため、回答データを秘匿したままで、回答データを集計することができるとともに、秘密計算が可能な範囲で回答データが不正回答者による不正な回答データであるか否かを判定し、不正と判定した回答データを除去することができるという効果が得られる。

本発明の一実施形態のアンケートシステムの構成を示すブロック図である。 図１に示したアンケートシステムの動作を説明するシーケンス図である。

以下に、本発明を実施するための形態について図面を参照して説明する。

図１に示すように、本実施形態のアンケートシステムは、クライアント−サーバ型のシステムとなっており、アンケートに対して複数の回答者がそれぞれ回答した複数の回答データを送信するクライアント装置１０と、クライアント装置１０から送信されてきた複数の回答データを集計するサーバ装置２０と、を有している。

クライアント装置１０は、秘匿処理部１１と、送信部１２と、受信部１３と、を有している。

秘匿処理部１１は、複数の回答データの各々を秘匿化し、その秘匿化済みの回答データを２つの断片（＃１）と断片（＃２）とに断片化する。

送信部１２は、サーバ装置２０に対し、秘匿化済みの複数の回答データ（断片（＃１）および断片（＃２））を送信する。

なお、送信部１２は、誰から提供された回答データであるのかを判別できなくする必要がある場合は、回答データの送信順序を入れ替える（例えば、回答者Ａの回答データ、回答者Ｂの回答データ、回答者Ｃの回答データといった送信順序を、回答者Ｂの回答データ、回答者Ａの回答データ、回答者Ｃの回答データのように入れ替える）錯乱処理を行う。

さらに、送信部１２は、サーバ装置２０に対し、サーバ装置２０で行われる回答データに対する正当性の検証演算に用いられる回答データ中の対象データを示すデータ情報と、検証演算の種別を示す演算種別情報と、回答データを不正と判定する指標となる検証演算結果を示す不正情報と、を送信する。

受信部１３は、サーバ装置２０から、回答データの集計演算結果を受信する。

サーバ装置２０は、正当性検証部２１と、秘密計算部２２と、を有している。

秘密計算部２２は、正当性検証部２１から演算命令を受けると、その演算命令で指示された演算を秘密計算で行う。ここで、秘密計算とは、入力値を秘匿したまま、その入力値に対する演算を行うことである（例えば、非特許文献１）。

正当性検証部２１は、複数の回答データの各々について、データ情報が示す対象データに対する演算種別情報が示す検証演算の実行を指示する検証演算命令を、秘密計算部２２に出力し、秘密計算部２２で実行された検証演算結果を、不正情報が示す検証演算結果と照合することで、その回答データが不正であるか否かを判定する。

そして、正当性検証部２１は、不正と判定した回答データを除去し、除去後に残った回答データに対する集計演算の実行を指示する集計演算命令を、秘密計算部２２に出力し、秘密計算部２２で実行された集計演算結果をクライアント装置１０に送信する。

ここで、秘匿化済みの回答データは、実際には、クライアント装置１０から、２つの断片（＃１）および断片（＃２）として送信されてくる。

そのため、正当性検証部２１には、断片（＃１）に対応して、正当性検証手段（＃１）２３−１およびＤＢ（＃１）２４−１が設けられ、また、断片（＃２）に対応して、正当性検証手段（＃２）２３−２およびＤＢ（＃２）２４−２が設けられている。また、正当性検証手段（＃１）２３−１は、正当性検証演算命令手段（＃１）２３１−１および正当性検証演算結果受信手段（＃１）２３２−１を有し、また、正当性検証手段（＃２）２３−２は、正当性検証演算命令手段（＃２）２３１−２および正当性検証演算結果受信手段（＃２）２３２−２を有している。

また、秘密計算部２２には、断片（＃１）に対応して、秘密計算手段（＃１）２５−１が設けられ、また、断片（＃２）に対応して、秘密計算手段（＃２）２５−２が設けられており、これらが２つの断片（＃１）および断片（＃２）を用いて協調して秘密計算を行う。また、秘密計算手段（＃１）２５−１は、乱数化回路生成手段２５１を有し、また、秘密計算手段（＃２）２５−２は、秘密計算実行手段２５２を有している。

なお、正当性検証部２１および秘密計算部２２の内部の各構成要素の詳細は、以降の動作の説明において述べることとする。

以下、図１に示したアンケートシステムの動作について、図２のシーケンス図を用いて説明する。

図２に示すように、最初に、クライアント装置１０において次の動作が行われる。

まず、秘匿処理部１１は、複数の回答データの各々を秘匿化し、その秘匿化済みの回答データを断片（＃１）と断片（＃２）との２つに断片化する（ステップＳ２０１）。ここでの秘匿化および断片化の方法は、非特許文献１に記載の方法を用いる。

次に、送信部１２は、秘匿化済みの複数の回答データの各々の断片（＃１）および断片（＃２）を、サーバ装置２０に送信する（ステップＳ２０２，Ｓ２０３）。このとき、送信部１２は、上述したデータ情報、演算種別情報、および不正情報もサーバ装置２０に送信する。また、送信部１２は、必要に応じて、回答データの送信順序を入れ替える錯乱処理を行うこととする。

続いて、サーバ装置２０において次の動作が行われる。

クライアント装置１０から送信されてきた複数の回答データの各々の断片（＃１）および（＃２）は、不図示の受信部で受信され、それぞれ正当性検証演算命令手段（＃１）２３１−１および（＃２）２３１−２に転送される。

次に、正当性検証演算命令手段（＃１）２３１−１および（＃２）２３１−２は、それぞれデータ情報、演算種別情報、および不正情報を参照し、回答データの正当性検証のために、回答データ中のどのような対象データを用いて（データ情報）、どのような種別の検証演算を実行し（演算種別情報）、どのような検証演算結果が得られたら回答データを不正と判定すればよいのか（不正情報）、を認識する。

そして、正当性検証演算命令手段（＃１）２３１−１は、秘密計算手段（＃１）２５−１に対し、複数の回答データの各々の断片（＃１）を出力するとともに、データ情報が示す対象データに対する演算種別情報が示す検証演算の実行を指示する検証演算命令を出力し（ステップＳ２０４）、また、不正情報をＤＢ（＃１）２４−１に格納する。

また、正当性検証演算命令手段（＃２）２３１−２は、秘密計算手段（＃２）２５−２に対し、複数の回答データの各々の断片（＃２）を出力するとともに、上述の検証演算命令を出力し（ステップＳ２０５）、また、不正情報をＤＢ（＃２）２４−２に格納する。

次に、秘密計算手段（＃１）２５−１内の乱数化回路生成手段２５１は、複数の回答データごとに、その回答データの断片（＃１）を用いて検証演算用乱数化回路を生成し、生成した検証演算用乱数化回路を秘密計算手段（＃２）２５−２に出力する（ステップＳ２０６）。

次に、秘密計算手段（＃２）２５−２内の秘密計算実行手段２５２は、複数の回答データごとに、その回答データの断片（＃２）および検証演算用乱数化回路を用いて検証演算を実行し、検証演算結果を正当性検証演算結果受信手段（＃２）２３２−２に出力する（ステップＳ２０７）。

次に、正当性検証演算結果受信手段（＃２）２３２−２は、複数の回答データごとに、秘密計算実行手段２５２で実行された検証演算結果を、ＤＢ（＃１）２４−１に格納した不正情報が示す検証演算結果と照合することで、その回答データが不正であるか否かを判定する。そして、不正と判定した回答データの断片（＃２）を除去するとともに、秘密計算実行手段２５２で実行された検証演算結果を正当性検証演算結果受信手段（＃１）２３２−１に出力する（ステップＳ２０８）。なお、秘密計算実行手段２５２で実行された検証演算結果は、秘密計算実行手段２５２から正当性検証演算結果受信手段（＃１）２３２−１へ直接出力することとしてもよい。

次に、正当性検証演算結果受信手段（＃１）２３２−１も同様に、複数の回答データごとに、秘密計算実行手段２５２で実行された検証演算結果を、ＤＢ（＃２）２４−２に格納した不正情報が示す検証演算結果と照合することで、その回答データが不正であるか否かを判定し、不正と判定した回答データの断片（＃１）を除去する。

なお、ここでの検証演算の方法は、非特許文献１に記載の方法を用いる。

次に、正当性検証演算結果受信手段（＃１）２３２−１は、秘密計算手段（＃１）２５−１に対し、除去後に残った断片（＃１）を出力するとともに、予め設定された集計演算の実行を指示する集計演算命令を出力する（ステップＳ２０９）。

また、正当性検証演算結果受信手段（＃２）２３２−２は、秘密計算手段（＃２）２５−２に対し、除去後に残った断片（＃２）を出力するとともに、上述の集計演算命令を出力する（ステップＳ２１０）。

次に、秘密計算手段（＃１）２５−１内の乱数化回路生成手段２５１は、除去後に残った断片（＃１）を用いて集計演算用乱数化回路を生成し、生成した集計演算用乱数化回路を秘密計算手段（＃２）２５−２に出力する（ステップＳ２１１）。

次に、秘密計算手段（＃２）２５−２内の秘密計算実行手段２５２は、除去後に残った断片（＃２）および集計演算用乱数化回路を用いて集計演算を実行し、集計演算結果をクライアント装置１０に送信する（ステップＳ２１２）。

なお、ここでの集計演算の方法は、非特許文献１に記載の方法を用いる。

以下、本発明を、実施例を用いてより具体的に説明する。
（１）実施例１
（１−１）実施例１で用いるアンケート手法
従来のアンケートシステムにおいては、まったく同じ質問を回答者に複数回、答えてもらい、これらの質問の回答に齟齬がある場合、その回答者の回答データを有効回答としない、という回答データの正当性検証の手法が存在する。

例えば、質問が全部で５０問あるアンケートにおいて、Ｑ１とＱ２５とでまったく同じ質問を用意しておいて回答者に回答させ、Ｑ１で回答者Ａが選んだ選択肢とＱ２５で回答者Ａが選んだ選択肢が異なった場合、この回答者Ａのすべての回答データを棄却する、といった処理を施す手法である。

この手法を、本アンケートシステムに適用すると、対象データ（データ情報）、検証演算の種別（演算種別情報）、回答データを不正と判定する指標となる検証演算結果（不正情報）は、それぞれ次のようになる。

対象データ：Ｑ１，Ｑ２５
検証演算の種別：マッチング
回答データを不正と判定する指標となる検証演算結果：マッチング不一致
（１−２）実施例１の具体的な動作
この場合、正当性検証部２１は、データ情報、演算種別情報、および不正情報を参照し、回答データの正当性検証のために、Ｑ１，Ｑ２５を用いてマッチング演算を実行し、マッチング不一致が得られた回答データを不正と判定すればよいことを認識する。

そのため、正当性検証演算命令手段（＃１）２３１−１および（＃２）２３１−２から、それぞれ秘密計算手段（＃１）２５−１および（＃２）２５−２に対し、Ｑ１，Ｑ２５を用いてマッチング演算を実行するよう指示する。

秘密計算手段（＃１）２５−１は、断片（＃１）を用いて検証演算用乱数化回路を生成し、生成した検証演算用乱数化回路を秘密計算手段（＃２）２５−２に出力する。秘密計算手段（＃２）２５−２は、断片（＃２）および検証演算用乱数化回路を用いて検証演算を実行し、検証演算結果を正当性検証演算結果受信手段（＃２）２３２−２に出力する。

正当性検証演算結果受信手段（＃２）２３２−２は、マッチング不一致との検証演算結果が得られた回答データの断片（＃２）を除去するとともに、検証演算結果を正当性検証演算結果受信手段（＃１）２３２−１に出力する。正当性検証演算結果受信手段（＃１）２３２−１でも同様に、マッチング不一致となった回答データの断片（＃１）を除去する。

次に、正当性検証演算結果受信手段（＃１）２３２−１は、秘密計算手段（＃１）２５−１に対し、除去後に残った断片（＃１）を出力するとともに、予め設定された集計演算の実行を指示する集計演算命令を出力する。

また、正当性検証演算結果受信手段（＃２）２３２−２は、秘密計算手段（＃２）２５−２に対し、除去後に残った断片（＃２）を出力するとともに、上述の集計演算命令を出力する。

次に、秘密計算手段（＃１）２５−１内の乱数化回路生成手段２５１は、除去後に残った断片（＃１）を用いて集計演算用乱数化回路を生成し、生成した集計演算用乱数化回路を秘密計算手段（＃２）２５−２に出力する。

次に、秘密計算手段（＃２）２５−２内の秘密計算実行手段２５２は、除去後に残った断片（＃２）および集計演算用乱数化回路を用いて集計演算を実行し、集計演算結果をクライアント装置１０に送信する。

なお、本実施例では、対象データが２つであったが、対象データは３つ以上でもよい。この場合、対象データのうちの１つでも不一致となれば、回答データをマッチング不一致として不正と判定すればよい。
（２）実施例２
（２−１）実施例２で用いるアンケート手法
また、従来のアンケートシステムにおいては、選択式ではなく入力式のアンケートの場合に、回答が取り得る値の範囲を予め設定しておき、設定された範囲外の値が回答として入力された場合には、その回答データを有効回答としない、という回答データの正当性検証の手法が存在する。

例えば、Ｑ２において、１０＜Ｑ２＜２０を設定しておき、３０が入力された場合にはその回答データを無効とし、棄却する、といった処理を施す手法である。

この手法を、本アンケートシステムに適用すると、対象データ（データ情報）、検証演算の種別（演算種別情報）、回答データを不正と判定する指標となる検証演算結果（不正情報）は、それぞれ次のようになる。

対象データ：Ｑ２
検証演算の種別：１０＜Ｑ２かつＱ２＜２０
回答データを不正と判定する指標となる検証演算結果：範囲外
（２−２）実施例２の具体的な動作
この場合、正当性検証部２１は、データ情報、演算種別情報、および不正情報を参照し、回答データの正当性検証のために、Ｑ２を用いて、回答データが予め設定された範囲内にあるか否かの大小比較演算を実行し、範囲外との結果が得られた回答データを不正と判定すればよいことを認識する。

そのため、正当性検証演算命令手段（＃１）２３１−１および（＃２）２３１−２から、それぞれ秘密計算手段（＃１）２５−１および（＃２）２５−２に対し、Ｑ２を用いて予め設定された範囲の上限値および下限値との大小比較を実行するように指示する。

秘密計算手段（＃１）２５−１は、断片（＃１）を用いて検証演算用乱数化回路を生成し、生成した検証演算用乱数化回路を秘密計算手段（＃２）２５−２に出力する。秘密計算手段（＃２）２５−２は、断片（＃２）および検証演算用乱数化回路を用いて検証演算を実行し、検証演算結果を正当性検証演算結果受信手段（＃２）２３２−２に出力する。

正当性検証演算結果受信手段（＃２）２３２−２は、範囲外との検証演算結果が得られた回答データの断片（＃２）を除去するとともに、検証演算結果を正当性検証演算結果受信手段（＃１）２３２−１に出力する。正当性検証演算結果受信手段（＃１）２３２−１でも同様に、範囲外となった回答データの断片（＃１）を除去する。

次に、正当性検証演算結果受信手段（＃１）２３２−１は、秘密計算手段（＃１）２５−１に対し、除去後に残った断片（＃１）を出力するとともに、予め設定された集計演算の実行を指示する集計演算命令を出力する。

また、正当性検証演算結果受信手段（＃２）２３２−２は、秘密計算手段（＃２）２５−２に対し、除去後に残った断片（＃２）を出力するとともに、上述の集計演算命令を出力する。

次に、秘密計算手段（＃１）２５−１内の乱数化回路生成手段２５１は、除去後に残った断片（＃１）を用いて集計演算用乱数化回路を生成し、生成した集計演算用乱数化回路を秘密計算手段（＃２）２５−２に出力する。

次に、秘密計算手段（＃２）２５−２内の秘密計算実行手段２５２は、除去後に残った断片（＃２）および集計演算用乱数化回路を用いて集計演算を実行し、集計演算結果をクライアント装置１０に送信する。

なお、本実施例では、対象データが１つであったが、対象データは複数でもよい。この場合、対象データのうちの１つでも範囲外であれば、回答データを範囲外として不正と判定すればよい。

１０ クライアント装置
１１ 秘匿処理部
１２ 送信部
１３ 受信部
２０ サーバ装置
２１ 正当性検証部
２２ 秘密計算部
２３−１，２３−２ 正当性検証手段
２３１−１，２３１−２ 正当性検証演算命令手段
２３２−１，２３２−２ 正当性検証演算結果受信手段
２４−１，２４−２ ＤＢ
２５−１，２５−２ 秘密計算手段
２５１ 乱数化回路生成手段
２５２ 秘密計算実行手段

Claims (10)

1. アンケートに対する複数の回答データを送信するクライアント装置と、前記クライアント装置から送信されてきた複数の回答データを集計するサーバ装置と、を有してなるアンケートシステムによるアンケート集計方法であって、
   前記クライアント装置が、複数の回答データの各々を秘匿化する秘匿ステップと、
   前記クライアント装置が、前記サーバ装置に対し、秘匿化済みの複数の回答データを送信するとともに、回答データに対する正当性の検証演算に用いる回答データ中の対象データを示すデータ情報と、検証演算の種別を示す演算種別情報と、回答データを不正と判定する指標となる検証演算結果を示す不正情報と、を送信する送信ステップと、
   前記サーバ装置が、複数の回答データごとに、前記データ情報が示す対象データに対する前記演算種別情報が示す検証演算を秘密計算で実行する検証演算ステップと、
   前記サーバ装置が、複数の回答データごとに、前記実行された検証演算結果を、前記不正情報が示す検証演算結果と照合することで、該回答データが不正であるか否かを判定し、不正と判定した回答データを除去する判定ステップと、
   前記サーバ装置が、除去後に残った回答データに対する集計演算を秘密計算で実行する集計演算ステップと、を有するアンケート集計方法。
2. 前記秘匿ステップでは、秘匿化済みの複数の回答データの各々を第１の断片と第２の断片とに断片化し、
   前記送信ステップでは、前記サーバ装置に対し、秘匿化済みの複数の回答データとして、該複数の回答データの各々の第１の断片および第２の断片を送信し、
   前記検証演算ステップでは、複数の回答データごとに、該回答データの第１の断片を用いて、前記検証演算を実行するための検証演算用乱数化回路を生成し、該回答データの第２の断片および前記検証演算用乱数化回路を用いて、前記検証演算を実行し、
   前記判定ステップでは、不正と判定した回答データの第１の断片および第２の断片を除去し、
   前記集計演算ステップでは、除去後に残った第１の断片を用いて、前記集計演算を実行するための集計演算用乱数化回路を生成し、除去後に残った第２の断片および前記集計演算用乱数化回路を用いて、前記集計演算を実行する、請求項１に記載のアンケート集計方法。
3. アンケートに対する複数の回答データを送信するクライアント装置と、前記クライアント装置から送信されてきた複数の回答データを集計するサーバ装置と、を有してなるアンケートシステムであって、
   前記クライアント装置は、
   複数の回答データの各々を秘匿化する秘匿処理部と、
   前記サーバ装置に対し、秘匿化済みの複数の回答データを送信するとともに、回答データに対する正当性の検証演算に用いる回答データ中の対象データを示すデータ情報と、検証演算の種別を示す演算種別情報と、回答データを不正と判定する指標となる検証演算結果を示す不正情報と、を送信する送信部と、を有し、
   前記サーバ装置は、
   演算命令を受けた場合、該演算命令で指示された演算を秘密計算で行う秘密計算部と、
   複数の回答データの各々について、前記データ情報が示す対象データに対する前記演算種別情報が示す検証演算の実行を指示する検証演算命令を、前記秘密計算部に出力し、前記秘密計算部で実行された検証演算結果を、前記不正情報が示す検証演算結果と照合することで、該回答データが不正であるか否かを判定し、不正と判定した回答データを除去し、除去後に残った回答データに対する集計演算の実行を指示する集計演算命令を、前記秘密計算部に出力する正当性検証部と、を有するアンケートシステム。
4. 前記秘匿処理部は、秘匿化済みの複数の回答データの各々を第１の断片と第２の断片とに断片化し、
   前記送信部は、前記サーバ装置に対し、秘匿化済みの複数の回答データとして、該複数の回答データの各々の第１の断片および第２の断片を送信し、
   前記正当性検証部は、
   複数の回答データの各々の第１の断片と前記検証演算命令とを前記秘密計算部に出力する第１の正当性検証手段と、
   複数の回答データの各々の第２の断片と前記検証演算命令とを前記秘密計算部に出力する第２の正当性検証手段と、を有し、
   前記秘密計算部は、
   複数の回答データごとに、該回答データの第１の断片を用いて、前記検証演算を実行するための検証演算用乱数化回路を生成する第１の秘密計算手段と、
   複数の回答データごとに、該回答データの第２の断片および前記検証演算用乱数化回路を用いて、前記検証演算を実行する第２の秘密計算手段と、を有し、
   前記第１の正当性検証手段は、複数の回答データごとに、該回答データが不正であるか否かを判定し、不正と判定した回答データの第１の断片を除去し、除去後に残った第１の断片と前記集計演算命令とを前記秘密計算部に出力し、
   前記第２の正当性検証手段は、複数の回答データごとに、該回答データが不正であるか否かを判定し、不正と判定した回答データの第２の断片を除去し、除去後に残った第２の断片と前記集計演算命令とを前記秘密計算部に出力し、
   前記第１の秘密計算手段は、除去後に残った第１の断片を用いて、前記集計演算を実行するための集計演算用乱数化回路を生成し、
   前記第２の秘密計算手段は、除去後に残った第２の断片および前記集計演算用乱数化回路を用いて、前記集計演算を実行する、請求項３に記載のアンケートシステム。
5. クライアント装置から送信されてきた、アンケートに対する複数の回答データを集計するサーバ装置であって、
   前記クライアント装置から、秘匿化済みの複数の回答データを受信するとともに、回答データに対する正当性の検証演算に用いる回答データ中の対象データを示すデータ情報と、検証演算の種別を示す演算種別情報と、回答データを不正と判定する指標となる検証演算結果を示す不正情報と、を受信する受信部と、
   演算命令を受けた場合、該演算命令で指示された演算を秘密計算で行う秘密計算部と、
   複数の回答データの各々について、前記データ情報が示す対象データに対する前記演算種別情報が示す検証演算の実行を指示する検証演算命令を、前記秘密計算部に出力し、前記秘密計算部で実行された検証演算結果を、前記不正情報が示す検証演算結果と照合することで、該回答データが不正であるか否かを判定し、不正と判定した回答データを除去し、除去後に残った回答データに対する集計演算の実行を指示する集計演算命令を、前記秘密計算部に出力する正当性検証部と、を有するサーバ装置。
6. 前記受信部は、前記クライアント装置から、秘匿化済みの複数の回答データとして、該複数の回答データの各々を断片化した第１の断片および第２の断片を受信し、
   前記正当性検証部は、
   複数の回答データの各々の第１の断片と前記検証演算命令とを前記秘密計算部に出力する第１の正当性検証手段と、
   複数の回答データの各々の第２の断片と前記検証演算命令とを前記秘密計算部に出力する第２の正当性検証手段と、を有し、
   前記秘密計算部は、
   複数の回答データごとに、該回答データの第１の断片を用いて、前記検証演算を実行するための検証演算用乱数化回路を生成する第１の秘密計算手段と、
   複数の回答データごとに、該回答データの第２の断片および前記検証演算用乱数化回路を用いて、前記検証演算を実行する第２の秘密計算手段と、を有し、
   前記第１の正当性検証手段は、複数の回答データごとに、該回答データが不正であるか否かを判定し、不正と判定した回答データの第１の断片を除去し、除去後に残った第１の断片と前記集計演算命令とを前記秘密計算部に出力し、
   前記第２の正当性検証手段は、複数の回答データごとに、該回答データが不正であるか否かを判定し、不正と判定した回答データの第２の断片を除去し、除去後に残った第２の断片と前記集計演算命令とを前記秘密計算部に出力し、
   前記第１の秘密計算手段は、除去後に残った第１の断片を用いて、前記集計演算を実行するための集計演算用乱数化回路を生成し、
   前記第２の秘密計算手段は、除去後に残った第２の断片および前記集計演算用乱数化回路を用いて、前記集計演算を実行する、請求項５に記載のサーバ装置。
7. 前記演算種別情報が示す種別は、対象データのマッチングであり、
   前記不正情報が示す検証演算結果は、対象データのマッチングが不一致になることであり、
   前記秘密計算部は、対象データのマッチングを行い、
   前記正当性検証部は、前記秘密計算部で実行された検証演算結果が、対象データのマッチングが不一致であることを示す場合、回答データを不正と判定する、請求項５または６に記載のサーバ装置。
8. 前記演算種別情報が示す種別は、対象データと予め設定された範囲の上限値および下限値との比較であり、
   前記不正情報が示す演算結果は、対象データが前記予め設定された範囲外となることであり、
   前記秘密計算部は、対象データと前記予め設定された範囲の上限値および下限値との比較を行い、
   前記正当性検証部は、前記秘密計算部で実行された検証演算結果が、対象データが前記予め設定された範囲外であることを示す場合、回答データを不正と判定する、請求項５または６に記載のサーバ装置。
9. アンケートに対する回答データを集計するサーバ装置に対し、複数の回答データを送信するクライアント装置であって、
   複数の回答データの各々を秘匿化する秘匿処理部と、
   前記サーバ装置に対し、秘匿化済みの複数の回答データを送信するとともに、回答データに対する正当性の検証演算に用いる回答データ中の対象データを示すデータ情報と、検証演算の種別を示す演算種別情報と、回答データを不正と判定する指標となる検証演算結果を示す不正情報と、を送信する送信部と、を有するクライアント装置。
10. 前記秘匿処理部は、秘匿化済みの複数の回答データの各々を第１の断片と第２の断片とに断片化し、
    前記送信部は、前記サーバ装置に対し、秘匿化済みの複数の回答データとして、該複数の回答データの各々の第１の断片および第２の断片を送信する、請求項９に記載のクライアント装置。

Images