JP5811094B2 - 属性情報処理装置、属性情報処理方法及び属性情報評価システム - Google Patents

Description

本発明は、属性種類及びこの属性種類に対する状態又は値を示す属性状態から構成される属性情報の処理技術に関する。

近年、様々な情報が、デジタル化され、インターネット等のような環境から提供されている。このような環境を利用して各ユーザの属性情報を取得することにより各ユーザの嗜好に合ったサービスを提供するシステムが存在する。

一方で、このようなシステムで扱われる個人情報や企業等の機密情報の漏洩問題が増加している。例えば、下記特許文献１には、複数のデータプロバイダ、データユーザ、及び、信託機関（ＴＴＰ（Trusted Third Party））を備えるシステムが開示されている。このシステムでは、複数のデータプロバイダから提供される複数の個人データが、それぞれ個人識別情報を含まない形態でかつ１個人のデータとして把握され得る形態でデータユーザに配信される。このシステムによれば、各個人データの身元を隠ぺいすることができる。

特開２０００−３２４０９４号公報 特開２００５−０８４８２８号公報 特開２００７−０５３６５５号公報 特開２００７−３０４９８５号公報 特開２００９−０６４４７６号公報 特開２００９−１２２７３８号公報 特開平０４−０２４７８５号公報

しかしながら、上述のシステムでは、各ユーザの個人データがどのデータプロバイダで保持されているのかといった個人データの所在情報を第３者機関（ＴＴＰ）に知らせる必要がある。これにより、第３者機関であるＴＴＰからそのような個人データの所在情報が悪意ある事業者に渡ってしまった場合、その悪意ある事業者に攻撃対象を容易に絞らせてしまうことになる。結果として、情報漏洩のリスクが増加する。

更に、上述のシステムでは、各ユーザの個人データ自体が第３者機関であるＴＴＰにより取得されるため、このＴＴＰから個人データが漏洩する可能性もある。よって、漏洩元がデータプロバイダ以外にも存在することになり、結果として、情報漏洩のリスクが増加することになる。

本発明の一態様に係る目的は、属性情報の漏洩リスクを軽減させる技術を提供することにある。

本発明の各態様は、上述した課題を解決するために、それぞれ以下の構成を採用する。
第１の態様は、属性情報処理装置に関する。第１の態様に係る属性情報処理装置は、属性種類及びこの属性種類に対する状態又は値を示す属性状態から構成される属性情報を取得する属性情報取得手段と、この属性情報取得手段により取得された属性情報の属性状態に対応する、第１タイプの属性数値及び第２タイプの属性数値を含む少なくとも２種類の属性数値を取得する属性数値取得手段と、この属性数値取得手段で取得された少なくとも２種類の属性数値から評価値を得る関数を決定し、第１タイプの属性数値の取得先を比較対象の属性情報に関する第１タイプの属性数値を提供し得る第１属性提供装置に決定し、第２タイプの属性数値の取得先を第１属性提供装置とは異なる第２属性提供装置に決定し、その関数の情報と、評価値と、第１属性提供装置を特定する情報と、第２属性提供装置を特定する情報とを含む属性評価情報を生成する生成手段と、上記第２タイプの属性数値の取得先となる第２属性提供装置に格納させるために第２タイプの属性数値を出力し、上記属性評価情報を上記属性情報取得手段により取得された属性情報と上記比較対象の属性情報との評価に利用させるために出力する出力手段と、を備える。

第２の態様は、上記第１の態様に係る属性情報処理装置、第１属性提供装置、第２属性提供装置及び評価装置を含む属性情報評価システムに関する。第２の態様に係る属性情報評価システムにおいて、第１属性提供装置は、評価装置からの要求に応じて、比較対象の属性情報の属性状態に対応する第１タイプの属性数値を評価装置に送信する送信手段を備え、第２属性提供装置は、属性情報処理装置の出力手段により出力された第２タイプの属性数値を第２タイプ属性値保存部に保存する保存手段と、評価装置からの要求に応じて、第２タイプ属性値保存部に保存される第２タイプの属性数値を評価装置に送信する送信手段とを備え、評価装置は、属性情報処理装置の出力手段により出力された属性評価情報に含まれる第１タイプの属性数値及び第２タイプの属性数値の各取得先情報に基づいて第１属性提供装置及び第２属性提供装置から第１タイプの属性数値及び第２タイプの属性数値を取得し、この取得された各属性数値をその属性評価情報に含まれる関数に適用することにより新たな評価値を算出し、この新たな評価値とその属性評価情報に含まれる評価値との比較により属性情報処理装置の属性情報取得手段で取得された属性情報と上記比較対象の属性情報とを評価する評価手段を備える。

なお、本発明の別態様としては、以上の各構成で実行される各処理がコンピュータによって実行される方法であってもよいし、各構成をコンピュータに実現させるプログラムであってもよいし、このようなプログラムを記録したコンピュータが読み取り可能な記憶媒体であってもよい。この記憶媒体は、非一時的な有形の媒体を含む。

上記各態様によれば、属性情報の漏洩リスクを軽減させる技術を実現することができる。

図１は、第１実施形態における属性情報評価システムの構成例を示す図である。 図２は、第１実施形態における属性情報処理装置の処理構成例を示す概念図である。 図３は、第１実施形態における属性情報処理装置の動作例を示すフローチャートである。 図４は、第２実施形態における属性情報評価システムの構成例を示す図である。 図５は、第２実施形態における属性情報処理装置の処理構成例を示す概念図である。 図６は、第２実施形態における第１属性提供装置及び第２属性提供装置の各処理構成例をそれぞれ示す概念図である。 図７は、偽装属性数値保存部の例を示す図である。 図８は、属性状態保存部の例を示す図である。 図９は、属性状態リスト保存部の例を示す図である。 図１０は、第２実施形態における中継装置の処理構成例を示す概念図である。 図１１は、属性評価情報保存部の例を示す図である。 図１２は、条件属性情報を中継装置に登録する際における第２実施形態の動作例を示すフローチャートである。 図１３は、通信元端末のユーザから通信先端末のユーザとの通信要求を受信した際における第２実施形態の動作例を示すフローチャートである。 図１４は、第２実施形態における第１属性提供装置及び第２属性提供装置の動作例を示すフローチャートである。 図１５は、第３実施形態における属性情報評価システムの構成例を示す図である。 図１６は、第３実施形態における属性情報処理装置の処理構成例を示す概念図である。 図１７は、第３実施形態における第１属性提供装置及び第２属性提供装置の各処理構成例をそれぞれ示す概念図である。 図１８は、種類変換情報保存部の例を示す図である。 図１９は、第３実施形態における配信装置の処理構成例を示す概念図である。 図２０は、第３実施形態における第１属性提供装置及び第２属性提供装置の動作例を示すフローチャートである。 図２１は、第４実施形態における属性情報処理装置の処理構成例を示す概念図である。 図２２は、変更タイミング保存部の例を示す図である。 図２３は、第６実施形態における属性情報処理装置の処理構成例を示す概念図である。 図２４は、装置情報保存部の例を示す図である。 図２５は、装置情報保存部の変形例を示す図である。

以下、本発明の実施の形態について図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また、以下に挙げた各実施形態はそれぞれ例示であり、本発明は以下の各実施形態の構成に限定されない。

［第１実施形態］
図１は、第１実施形態における属性情報評価システム１の構成例を示す図である。属性情報評価システム１は、属性情報処理装置（以降、単に処理装置とも表記する）１０、第１属性提供装置２０、第２属性提供装置３０、評価装置４０等から構成される。属性情報評価システム１は、処理装置１０により取得される属性情報が比較対象となる他の属性情報と合致するか否かを評価する。

〔ハードウェア構成〕
図１に示すように、第１実施形態における処理装置１０は、ハードウェア構成として、ＣＰＵ（Central Processing Unit）１１、メモリ（ＲＡＭ（Random Access Memory）１２、ハードディスク１３、ＲＯＭ（Read Only Memory、図示せず）等）、各種入出力インタフェース１４等を備える。各ユニットは例えばバス１５で接続される。入出力インタフェース１４には、必要な機能に応じて、例えば、ユーザインタフェース（ＵＩ）コントローラ、ネットワークインタフェース（ＮＩ）コントローラ等が含まれる。入出力インタフェース１４は、第１実施形態における処理装置１０が、第１属性提供装置２０、第２属性提供装置３０、評価装置４０等と通信を行うためのインタフェースとして動作する。

第１実施形態における処理装置１０は、ハードディスク１３、ＲＯＭ等のメモリに格納されるプログラムがＣＰＵ１１により読み出され実行されることにより、後述するような各処理部（モジュール）を実現する。もちろん、当該プログラムは、ＣＤ（Compact Disc）等の記録媒体からインストールされてもよいし、ネットワークを介して他の装置からインストールされてもよい。第１属性提供装置２０、第２属性提供装置３０、評価装置４０についても処理装置１０と同様のハードウェア構成を有する。本実施形態は、このような処理装置１０、第１属性提供装置２０、第２属性提供装置３０、評価装置４０のハードウェア構成を限定するものではない。

〔処理構成〕
図２は、第１実施形態における処理装置１０の処理構成例を示す概念図である。図２に示すように、第１実施形態における処理装置１０は、属性情報取得部１０１、実属性数値取得部１０２、偽装属性数値生成部１０３、属性評価情報生成部１０４、出力部１０５等を有する。実属性数値取得部１０２及び偽装属性数値生成部１０３は、属性数値取得部と総称することができる。また、属性評価情報生成部１０４は、以降、生成部１０４と略記する場合もある。

属性情報取得部１０１は、属性種類及びこの属性種類に対する状態又は値を示す属性状態から構成される属性情報を取得する。属性種類とは属性情報の種類を意味する。属性情報とは、ユーザに関する、年齢、性別、現在位置、病歴のような属性の情報を意味する。例えば、属性情報が「性別＝男」である場合には、属性種類は「性別」であり、属性状態は「男」である。また、例えば、属性情報が「年齢＝４０」である場合には、属性種類は「年齢」であり、属性状態は「４０」である。なお、本実施形態は、このような属性種類及び属性状態を限定するものではない。

属性情報取得部１０１は、当該属性情報を他の装置から通信を介して取得してもよいし、ユーザインタフェースを介して入力された当該属性情報を取得するようにしてもよいし、予めメモリに格納されていた属性情報を取得するようにしてもよい。また、本実施形態は、属性情報、属性種類、属性状態の各データ形式を限定するものではなく、これらのデータ形式は、文字列データであってもよいし、コンピュータが認識可能な他の形式であってもよい。

属性数値取得部は、属性情報取得部１０１により取得された属性情報の属性状態に対応する、第１タイプの属性数値及び第２タイプの属性数値を含む少なくとも２種類の属性数値を取得する。第１実施形態では２種類の属性数値を利用する例を示し、第１タイプの属性数値を実属性数値と表記し、第２タイプの属性数値を偽装属性数値と表記する。具体的には、実属性数値取得部１０２が、当該属性情報の属性状態に対応する実属性数値を取得し、偽装属性数値生成部１０３が、当該属性状態に対応する偽装属性数値を取得する。なお、本実施形態は、利用する属性数値の種類を２種類に限定するものではないため、２種類以上の属性数値が利用されるようにしてもよい。

例えば、実属性数値取得部１０２は、属性状態と実属性数値とが対応付けられて格納されるテーブルを保持しており、このテーブルから、或る属性状態に対応する実属性数値を抽出する。属性状態と実属性数値との対応関係は、処理装置１０と第１属性提供装置２０との間で共通認識される。属性状態と実属性数値との対応関係とは、例えば、属性種類「好み」における（「ゲーム」−「１」）や（「スポーツ」−「２」）といった情報である。

偽装属性数値生成部１０３は、ランダムに偽装属性数値を生成してもよいし、テーブル等から偽装属性数値を抽出するようにしてもよい。第１実施形態は、偽装属性数値生成部１０３による偽装属性数値取得手法を限定するものではない。後述するように、偽装属性数値生成部１０３により取得された偽装属性数値は、第１属性提供装置２０及び第２属性提供装置３０のいずれか一方に保存される。

生成部１０４は、属性情報取得部１０１により取得された属性情報に関する属性評価情報を生成する。具体的には、生成部１０４は、属性数値取得部により取得された少なくとも２種類の属性数値から評価値を得る関数を決定し、第１タイプの属性数値の取得先を比較対象の属性情報に関する第１タイプの属性数値を提供し得る第１属性提供装置２０に決定し、第２タイプの属性数値の取得先を第１属性提供装置２０とは異なる第２属性提供装置３０に決定する。更に、生成部１０４は、その関数の情報と、評価値と、第１タイプの属性数値及び第２タイプの属性数値のそれぞれの取得先となる第１属性提供装置２０及び第２属性提供装置３０を特定する情報とを含む属性評価情報を生成する。

本実施形態は、生成される属性評価情報の各データ形式を限定するものではなく、これらのデータ形式は、文字列データであってもよいし、コンピュータが認識可能な他の形式であってもよい。また、生成部１０４により決定される関数として、例えば、第１変数と第２変数とを加算する関数が利用される。本実施形態は、この関数を限定するものではないため、関数として、加算、減算、乗算及び除算、並びに、これらの組み合わせの関数が利用されてもよいし、ハッシュ関数のような一方向関数が利用されてもよい。以降、生成部１０４により決定される関数のうち、第１タイプの属性数値（実属性数値）が適用される変数を第１変数と表記し、第２タイプの属性数値（偽装属性数値）が適用される変数を第２変数と表記する。

出力部１０５は、上記第２タイプの属性数値（偽装属性数値）の取得先となる第２属性提供装置３０に格納させるために上記第２タイプの属性数値を出力し、上記属性評価情報を上記属性情報取得部１０１により取得された属性情報と上記比較対象の属性情報との評価に利用させるために出力する。これにより、第１実施形態の例によれば、出力部１０５から出力された偽装属性数値が第２属性提供装置３０に格納され、当該属性評価情報の評価に利用される。

第１属性提供装置２０は、各ユーザについて少なくとも１つの属性情報（上記比較対象の属性情報を含む）を保持し、かつ、各属性情報に関する属性状態と実属性数値との対応関係を保持する。この属性状態と実属性数値との対応関係は、上述したように、処理装置１０と第１属性提供装置２０との間で共通認識される。よって、処理装置１０が保持する対応関係と同じ情報を第１属性提供装置２０が予め持つようにしてもよいし、第１属性提供装置２０が処理装置１０から当該対応関係を取得するようにしてもよい。第１属性提供装置２０は、評価装置４０からの要求に応じて、その要求の対象となるユーザの属性情報（比較対象の属性情報）を特定し、その要求の対象となる属性種類の属性状態に対応する実属性数値を評価装置４０に返す。

第２属性提供装置３０は、出力部１０５から出力された偽装属性数値を保存する。第２属性提供装置３０は、評価装置４０からの要求に応じて、保存されている偽装属性数値を評価装置４０に返す。なお、第２属性提供装置３０は、複数の偽装属性数値を保存する場合には、各偽装属性数値を特定するための識別情報を保存するようにし、評価装置４０からの要求に含まれるその識別情報に応じて特定される偽装属性数値を返すようにしてもよい。

評価装置４０は、出力部１０５から出力される属性評価情報を取得し、この取得された属性評価情報を評価する。評価装置４０は、この評価において、この属性評価情報に含まれる取得先情報で示される第１属性提供装置２０及び第２属性提供装置３０から実属性数値及び偽装属性数値を取得し、利用する。この属性評価情報の評価とは、属性評価情報の元となった属性情報（属性情報取得部１０１により取得された属性情報）が、比較対象となる他の属性情報（比較対象の属性情報）と合致するか否かの判定である。この評価にあたり、第１属性提供装置２０は、比較対象の属性情報の属性状態に対応する実属性数値を評価装置４０に送る。評価装置４０の評価処理の具体例については動作例の項において述べる。

〔動作例〕
図３は、第１実施形態における処理装置１０の動作例を示すフローチャートである。
第１実施形態における処理装置１０では、属性情報取得部１０１が属性情報を取得する（Ｓ３１）。ここでは、属性情報として「性別＝男」が取得された場合を例に挙げる。属性情報取得部１０１は、この属性情報を生成部１０４に送る。

実属性数値取得部１０２は、生成部１０４から属性情報を受けると、その属性情報から属性状態を抽出する。実属性数値取得部１０２は、この抽出された属性状態に対応する実属性数値を取得する（Ｓ３２）。例えば、属性情報「性別＝男」に含まれる属性状態「男」に対応する実属性数値「１」が取得される。取得された実属性数値は、生成部１０４に送られる。

偽装属性数値生成部１０３は、生成部１０４からの要求に応じて、偽装属性数値を取得する（Ｓ３３）。このとき、偽装属性数値生成部１０３は、生成部１０４から属性情報を受け、この属性情報に基づいて偽装属性数値を生成するようにしてもよい。例えば、属性情報「性別＝男」に含まれる属性状態「男」に対応する偽装属性数値「３」が取得される。偽装属性数値生成部１０３は、取得された偽装属性数値「３」を生成部１０４及び出力部１０５へ送る。

生成部１０４は、実属性数値及び偽装属性数値を受けると、当該属性情報のための関数を決定する（Ｓ３５）。例えば、生成部１０４は、第１変数と第２変数とを加算する関数（「第１変数＋第２変数」）を当該属性情報のための関数として決定する。

生成部１０４は、第１変数の取得先を各ユーザの属性情報に関する実属性数値を提供し得る第１属性提供装置２０に決定し、第２変数の取得先をその決定された第１属性提供装置２０とは異なる第２属性提供装置３０に決定する（Ｓ３６）。生成部１０４は、このように決定された第１属性提供装置２０の情報及び第２属性提供装置３０の情報を出力部１０５に送る。

更に、生成部１０４は、第１変数に（Ｓ３２）で取得された実属性数値を適用し、第２変数に（Ｓ３３）で取得された偽装属性数値を適用することによりその関数を計算し、計算結果として評価値を得る（Ｓ３７）。例えば、生成部１０４は、評価値を「４」（＝１＋３）と算出する。

続いて、生成部１０４は、（Ｓ３５）で決定された関数、（Ｓ３６）で決定された第１属性提供装置２０及び第２属性提供装置３０の情報、（Ｓ３１）で取得された属性情報の属性種類、及び、（Ｓ３７）で算出された評価値を含む属性評価情報を生成する（Ｓ３８）。例えば、生成部１０４は、属性評価情報を「第１属性提供装置２０.性別＋第２属性提供装置３０.性別＝４」として生成する。この例における「（第１属性提供装置２０）．（性別）」は、例えば、ピリオドの後ろが属性種類を示し、ピリオドの前がその変数の取得先の装置のアドレス情報を示す。生成部１０４は、このように生成された属性評価情報を出力部１０５へ送る。

出力部１０５は、偽装属性数値生成部１０３から送られた偽装属性数値及び属性評価情報を出力する（Ｓ３９）。これにより、例えば、出力された偽装属性数値「３」は、各ユーザの属性情報に関する実属性数値を提供し得る第１属性提供装置２０とは異なる、第２属性提供装置３０に格納される。また、属性情報取得部１０１により取得された属性情報を比較対象となる他の属性情報と合致するか否かを評価する際に、その出力された属性評価情報が利用される。比較対象となる他の属性情報、例えば、比較対象のユーザの属性情報「性別＝女」が、属性情報取得部１０１により取得された属性情報「性別＝男」と合致するか否かが評価される場合には、その評価を行う評価装置４０において、例えば、以下のように処理される。

評価装置４０は、第１実施形態における処理装置１０から、属性情報「性別＝男」に対する属性評価情報「第１属性提供装置２０.性別＋第２属性提供装置３０.性別＝４」を受ける。評価装置４０は、属性評価情報に含まれる第１変数及び第２変数の各取得先情報に基づいて、第１属性提供装置２０及び第２属性提供装置３０にそれぞれ比較対象のユーザに関する性別に関する属性数値を送るように要求する。このとき、第２属性提供装置３０は、上述したように、出力部１０５から出力された偽装属性数値「３」を格納している。よって、第２属性提供装置３０は、偽装属性数値「３」を評価装置４０に送る。一方で、第１属性提供装置２０は、各ユーザの属性情報のうち、比較対象ユーザの属性情報「性別＝女」を特定し、この属性情報から属性状態「女」を抽出し、この属性状態に対応する実属性数値を得る。例えば、属性状態「女」に対応する実属性数値「２」が得られる。第１属性提供装置２０は、得られた実属性数値「２」を評価装置４０に送る。

評価装置４０は、第１属性提供装置２０から得られた実属性数値及び第２属性提供装置３０から得られた偽装属性数値を属性評価情報の関数の第１変数及び第２変数にそれぞれ適用し、その関数を計算する。この例では、評価装置４０は、この計算の結果として評価値「５」を得る（「２」＋「３」＝「５」）。評価装置４０は、この評価値「５」と属性評価情報の評価値「４」を比較する。評価装置４０は、両者が相違しているため、比較対象のユーザの属性情報「性別＝女」が、属性情報取得部１０１により取得された属性情報「性別＝男」と合致しないと判定する。

一方で、第１属性提供装置２０で保持されている比較対象のユーザの属性情報が「性別＝男」である場合には、第１属性提供装置２０からは実属性数値「１」が評価装置４０に送られる。この場合、評価装置４０は、属性評価情報の評価値「４」と等しい評価値「４」を得ることができるため、比較対象のユーザの属性情報と属性情報取得部１０１により取得された属性情報とが合致すると判定する。

このように、第１実施形態によれば、属性情報を評価する際において、その評価装置４０では、第１実施形態における処理装置１０で生成された属性評価情報が利用される。この属性評価情報は、属性状態（属性数値）の情報を含んでいない。よって、評価装置４０から属性評価情報が漏洩されたとしても、その属性評価情報を得た第３者にその属性評価情報の元となった属性情報を把握されることはない。

更に、第１実施形態によれば、属性評価情報を利用するにあたり、第１属性提供装置２０及び第２属性提供装置３０から得られた実属性数値及び偽装属性数値が利用される。よって、評価装置４０と第１属性提供装置２０及び第２属性提供装置３０との間のデータのやりとりを監視したとしても、実際の属性情報を第１属性提供装置２０及び第２属性提供装置３０のどちらが保持しているのか把握することはできない。従って、第３者にとって、いずれの属性提供装置が各ユーザの属性情報を持っているのか把握することは困難となる。以上のように、第１実施形態における処理装置１０から出力される偽装属性数値及び属性評価情報を利用することにより、情報漏洩のリスクを軽減させることができる。

なお、図３に示すフローチャートのうち、（Ｓ３３）と（Ｓ３２）とは並列に処理されてもよいし、順番を入れ替えてもよい。また、（Ｓ３９）の処理のうち、偽装属性数値の出力は、（Ｓ３６）において第２属性提供装置３０が決定された後であれば、（Ｓ３９）の前に行われてもよい。

［第２実施形態］
図４は、第２実施形態における属性情報評価システムの構成例を示す図である。第２実施形態における属性情報評価システム１は、第１実施形態における評価装置４０の替わりに、中継装置５０を有する。第２実施形態における属性情報評価システム１は、通信元端末５７を利用するユーザＢが通信先端末５６を利用するユーザＡとの通信を要求した場合に、ユーザＡの属性情報とユーザＢの属性情報との評価結果に基づいて、その通信を許可する否かを判定する。

この判定より前に、ユーザＡは、処理装置１０にユーザＡの属性情報を予め入力する。第２実施形態では、このユーザＡの属性情報は、ユーザＡにとって通信を許可する相手を制限するための条件となる。よって、以降、処理装置１０に入力されるユーザＡの属性情報を条件属性情報と表記し、ユーザＡの属性情報と比較されるユーザＢの属性情報を対象属性情報と表記する場合もある。以下、属性情報評価システム１を構成する各装置について、第１実施形態と異なる内容を中心にそれぞれ説明する。

〔属性情報処理装置〕
第２実施形態における処理装置１０は、第１実施形態と同様の構成としてもよい。第２実施形態では、処理装置１０の生成部１０４で生成される属性評価情報が複数となる場合を例に挙げる。第２実施形態では、処理装置１０によって条件属性情報が属性評価情報に変換され、各変換を特定するために変換識別子（以降、変換ＩＤと表記する）が利用される。また、第１実施形態では、属性状態と実属性数値とが１対１で対応付けられる例を示したが、第２実施形態では、１つの属性状態に対して複数の実属性数値が利用され得る例を示す。

図５は、第２実施形態における処理装置１０の処理構成例を示す概念図である。図５に示すように、第２実施形態における処理装置１０は、第１実施形態の構成に加えて、属性状態リスト生成部（以降、省略してリスト生成部と表記する場合もある）１０７を更に有する。

属性情報取得部１０１は、ユーザＡにより入力された条件属性情報と共に、そのユーザＡが利用する端末を特定するための端末識別子（以降、端末ＩＤと表記する）を取得する。属性情報取得部１０１は、端末ＩＤ及び条件属性情報を生成部１０４へ送る。このように、第２実施形態では、各ユーザを識別するための情報として、各ユーザにより利用される端末の端末ＩＤが利用される。例えば、ユーザＡは、通信先端末５６の端末ＩＤ（USER_A）により特定され、ユーザＢは、通信元端末５７の端末ＩＤ（USER_B）により特定される。なお、端末ＩＤに替え、ユーザＡを特定するためのユーザ識別子が利用されるようにしてもよい。

生成部１０４は、属性情報取得部１０１から、ユーザＡにより入力された条件属性情報を取得すると、変換ＩＤを生成する。この変換ＩＤは、この条件属性情報から属性評価情報への変換を特定するための識別情報である。

リスト生成部１０７は、条件属性情報の属性種類に対して取られ得る全属性状態を特定し、この特定された各属性状態に対応する実属性数値をそれぞれ決定し、特定された各属性状態と決定された各実属性数値とが対応付けられた属性状態リストを生成する。例えば、条件属性情報が「好み＝ゲーム」の場合には、属性種類「好み」に関する全属性状態（「ゲーム」、「スポーツ」等）が特定され、各属性状態に対する実属性数値（「１」、「２」等）が決定される。この例における属性状態リストは、（「ゲーム」−「１」、「スポーツ」−「２」等）のように生成される。

リスト生成部１０７は、生成された属性状態リストを実属性数値取得部１０２に送る。これにより、実属性数値取得部１０２は、この属性状態リストから、条件属性情報の属性状態に対応する実属性数値を取得する。なお、図５では、実属性数値取得部１０２とリスト生成部１０７とが異なる処理部として構成される例が示されるが、これらは１つの処理部として構成されてもよい。

また、リスト生成部１０７は、生成された属性状態リスト、この属性状態リストの属性種類、及び変換ＩＤを出力部１０５へ送る。これにより、出力部１０５は、属性状態リスト、属性種類及び変換ＩＤを第１属性提供装置２０に格納させるために出力する。このとき、出力部１０５は、第１属性提供装置２０に直接それらの情報を送るようにしてもよい。出力部１０５は、第１属性提供装置２０の情報を生成部１０４から取得している。

偽装属性数値生成部１０３は、条件属性情報の属性状態に対応する偽装属性数値を生成し、この偽装属性数値及び変換ＩＤを出力部１０５へ送る。これにより、出力部１０５は、偽装属性数値及び変換ＩＤを第２属性提供装置３０に格納させるために出力する。このとき、出力部１０５は、第２属性提供装置３０に直接それらの情報を送るようにしてもよい。出力部１０５は、第２属性提供装置３０の情報を生成部１０４から取得している。

生成部１０４は、第１実施形態と同様の手法により、条件属性情報に対する属性評価情報を生成する。生成部１０４は、この属性評価情報、変換ＩＤ、及び、条件属性情報を入力したユーザを識別するための通信先端末５６の端末ＩＤを出力部１０５へ送る。出力部１０５はこれらの情報を中継装置５０に送る。

〔第１属性提供装置及び第２属性提供装置〕
図６は、第２実施形態における第１属性提供装置２０及び第２属性提供装置３０の各処理構成例をそれぞれ示す概念図である。第２実施形態では、第１属性提供装置２０及び第２属性提供装置３０の処理構成は同じとし、格納されるデータが異なるものとする。２つの属性提供装置のうち一方が属性状態リスト及び各ユーザの属性情報を保存し、他方が偽装属性数値を保存する。第２実施形態では、第１実施形態と同様に、第１属性提供装置２０が前者を保存し、第２属性提供装置３０が後者を保存する例が示される。以下、特に区別する必要がある場合を除いて、第１属性提供装置２０及び第２属性提供装置３０を区別せず、それらを属性提供装置と総称して説明する。

第２実施形態における属性提供装置は、図６に示すように、データ管理部２０１、偽装属性数値保存部２０２、属性状態保存部２０３、属性状態リスト保存部２０４、属性数値送信部２０５、属性状態変換部２０６等を有する。

図７は、偽装属性数値保存部２０２の例を示す図である。図７に示すように、偽装属性数値保存部２０２には、処理装置１０の出力部１０５から出力された変換ＩＤと偽装属性数値とが関連付けられて保存される。

図８は、属性状態保存部２０３の例を示す図である。属性状態保存部２０３には、各ユーザについて少なくとも１つの属性情報がそれぞれ格納される。図８の例では、各ユーザが利用する端末の端末ＩＤと属性種類と属性状態との対応関係がそれぞれ格納される。例えば、端末ＩＤ「USER_A」については２つの属性情報「好み＝ゲーム」及び「位置＝田町」が格納される。

図９は、属性状態リスト保存部２０４の例を示す図である。図９に示すように、属性状態リスト保存部２０４には、処理装置１０の出力部１０５から出力された属性状態リスト、変換ＩＤ及び属性種類が関連付けられて保存される。

データ管理部２０１は、偽装属性数値保存部２０２、属性状態保存部２０３及び属性状態リスト保存部２０４を管理する。具体的には、データ管理部２０１は、処理装置１０の出力部１０５から出力された属性状態リスト、変換ＩＤ及び属性種類を受け、それら情報を属性状態リスト保存部２０４に格納する。更に、データ管理部２０１は、処理装置１０の出力部１０５から出力された変換ＩＤ及び偽装属性数値を受け、それら情報を偽装属性数値保存部２０２に格納する。

また、データ管理部２０１は、他の装置からデータを受け、このデータにより属性状態保存部２０３を更新する。本実施形態は、属性状態保存部２０３に保存されるデータの取得先、更新タイミング等を限定するものではない。属性状態保存部２０３には、属性提供装置の入力手段により入力されたデータが格納されるようにしてもよい。

属性数値送信部２０５は、通信元端末５７の端末ＩＤ、属性種類及び変換ＩＤと共に属性数値の送信要求を中継装置５０から受け、その変換ＩＤで特定される偽装属性数値、又は、その変換ＩＤと属性種類と端末ＩＤで特定される実属性数値を中継装置５０に送る。属性提供装置が第１属性提供装置２０である場合には、属性数値送信部２０５は実属性数値を返し、属性提供装置が第２属性提供装置３０である場合には、属性数値送信部２０５は偽装属性数値を返すことになる。属性数値送信部２０５の具体的な処理については動作例の項において説明する。

属性状態変換部２０６は、属性数値送信部２０５が中継装置５０からの属性数値の送信要求を受けた際に、偽装属性数値保存部２０２に対象の変換ＩＤを含むレコードが格納されていない場合に動作する。属性状態変換部２０６は、通信元端末５７の端末ＩＤ、属性種類及び変換ＩＤで特定される実属性数値を属性状態保存部２０３及び属性状態リスト保存部２０４から取得し、この取得された実属性数値を属性数値送信部２０５に返す。属性状態変換部２０６の具体的な処理については動作例の項において説明する。

〔中継装置〕
図１０は、第２実施形態における中継装置５０の処理構成例を示す概念図である。中継装置５０は、図１０に示すように、通信中継部５０１、属性評価情報保存部５０２、評価部５０３等を有する。中継装置５０は、例えば、これら各処理部をそれぞれハードウェア回路（ＩＣチップ等）として実現する。また、中継装置５０は、ＣＰＵ、メモリ、入出力インタフェース等を有し、ＣＰＵによりメモリに記憶されるプログラムが実行されることで上記各処理部を実現するようにしてもよい。本実施形態は、中継装置５０のハードウェア構成を限定しない。

通信中継部５０１は、ネットワークを介して通信先端末５６及び通信元端末５７と通信可能に接続されており、通信先端末５６と通信元端末５７との間の通信を制御する。ネットワークは、インターネット等のような公衆網、ＷＡＮ（Wide Area Network）、ＬＡＮ（Local Area Network）、無線通信ネットワーク等である。また、通信先端末５６と通信元端末５７との間の通信は、パケット通信であってもよいし、音声通話であってもよい。例えば、音声通話が制御される場合には、通信中継部５０１は、ＳＩＰ（Session Initiation Protocol）サーバとして動作する。本実施形態はこのようなネットワークの形態や通信プロトコルや通信形態を限定しない。

通信中継部５０１は、通信先端末５６との通信要求を通信元端末５７から受信すると、評価部５０３から得られる評価結果に基づいて、その通信を許可するか否かを判定する。通信中継部５０１は、通信を許可する場合には、通信先端末５６と通信元端末５７との間の通信コネクションを確立する。一方、通信中継部５０１は、通信を許可しない場合には、当該通信コネクションの確立を行わない。これにより、通信元端末５７は、通信が許可されなかった場合には、通信先端末５６と通信を行うことができない。なお、本実施形態は、当該通信コネクションの確立手法を限定するものではなく、単に、通信元端末５７から通信要求と共に送られてくる通信内容を通信先端末５６に送るか送らないかを切り替えるようにしてもよい。

図１１は、属性評価情報保存部５０２の例を示す図である。属性評価情報保存部５０２には、属性評価情報が変換ＩＤと端末ＩＤと関連付けられて保存される。属性評価情報保存部５０２に保存される端末ＩＤは、その属性評価情報の元となった条件属性情報を入力したユーザを識別するための通信先端末５６の端末ＩＤである。属性評価情報保存部５０２に保存されるデータは、処理装置１０の出力部１０５から出力されたデータである。

評価部５０３は、通信を要求している通信元端末５７の端末ＩＤと通信先端末５６の端末ＩＤとを受け、通信先端末５６のユーザＡにより入力された条件属性情報に通信元端末５７のユーザＢの属性情報が合致するか否かを評価する。具体的には、評価部５０３は、通信先端末５６の端末ＩＤを含むレコードを属性評価情報保存部５０２から抽出し、抽出されたレコードから属性評価情報及び変換ＩＤを取得する。評価部５０３は、第１実施形態における評価装置４０と同様の手法により、その属性評価情報を評価する。この属性評価情報の評価の際に、第２実施形態における評価部５０３は、第１属性提供装置２０及び第２属性提供装置３０に、属性種類の情報に加えて更に変換ＩＤと通信先端末５６の端末ＩＤとを送る。評価部５０３は、通信先端末５６のユーザＡの条件属性情報と通信元端末５７のユーザＢの属性情報とが合致するか否かの判定結果を評価結果として通信中継部５０１に送る。

〔動作例〕
以下、第２実施形態における属性情報評価システム１の動作例について、通信先端末５６のユーザＡの条件属性情報を中継装置５０に登録する処理と、通信元端末５７のユーザＢから、通信先端末５６のユーザＡとの通信要求を受信した際の処理とに分けて説明する。

図１２は、条件属性情報を中継装置５０に登録する際における第２実施形態の動作例を示すフローチャートである。ここでは、通信先端末５６のユーザＡが、処理装置１０に条件属性情報「好み＝ゲーム」を入力した場合を例に挙げる。また、ユーザＡは、端末ＩＤ「USER_A」で特定されるものとする。このとき、処理装置１０の属性情報取得部１０１は、通信先端末５６の端末ＩＤ「USER_A」及びその条件属性情報「好み＝ゲーム」を取得する（Ｓ４１）。属性情報取得部１０１は、端末ＩＤ及び条件属性情報を生成部１０４に送る。

生成部１０４は、端末ＩＤ及び条件属性情報を受けると、変換ＩＤを生成する（Ｓ４２）。生成部１０４は、条件属性情報及び変換ＩＤをリスト生成部１０７へ送る。

リスト生成部１０７は、生成部１０４から、条件属性情報及び変換ＩＤを受けると、その条件属性情報の属性種類及び変換ＩＤに対応する属性状態リストを生成する（Ｓ４３）。具体的には、リスト生成部１０７は、条件属性情報から属性種類を抽出し、この属性種類に関し取り得る全属性状態を取得する。ここでは、条件属性情報「好み＝ゲーム」から属性種類「好み」が抽出され、この属性種類「好み」に関する全属性状態（「ゲーム」、「スポーツ」、「読書」等）が取得される。例えば、属性種類に関し取り得る全属性状態は、リスト生成部１０７により予め保持される。

リスト生成部１０７は、取得された全属性状態に対してそれぞれ実属性数値を生成する。ここでは、例えば、「ゲーム」に対して「１」が生成され、「スポーツ」に対して「２」が生成され、「読書」に対して「３」が生成される。リスト生成部１０７は、このように生成された各属性状態と各実属性数値との対応関係を含む属性状態リストを生成する。この例では、属性状態リストは、（「ゲーム」−「１」、「スポーツ」−「２」、「読書」−「３」等）のように生成される。リスト生成部１０７は、このように生成された属性状態リスト及び条件属性情報を実属性数値取得部１０２に送り、更に、属性状態リスト、変換ＩＤ及び属性種類を出力部１０５に送る。

実属性数値取得部１０２は、リスト生成部１０７から属性状態リスト及び条件属性情報を受けると、その条件属性情報の属性状態に対応する実属性数値をその属性状態リストから取得する（Ｓ４４）。実属性数値取得部１０２は、この取得された実属性数値を生成部１０４に送る。この例では、条件属性情報「好み＝ゲーム」から属性状態「ゲーム」が抽出され、属性状態リスト（「ゲーム」−「１」、「スポーツ」−「２」、「読書」−「３」等）からその属性状態「ゲーム」に対応する実属性数値「１」が取得される。

生成部１０４は、実属性数値取得部１０２から実属性数値を取得すると、偽装属性数値生成部１０３に条件属性情報及び変換ＩＤを送る。偽装属性数値生成部１０３は、生成部１０４から条件属性情報及び変換ＩＤを受けると、それらに対応する偽装属性数値を取得する（Ｓ４６）。偽装属性数値の取得手法については第１実施形態と同様である。この例では、条件属性情報「好み＝ゲーム」に対して偽装属性数値「３」が取得される。偽装属性数値生成部１０３は、取得された偽装属性数値を生成部１０４へ送り、更に、その偽装属性数値及び変換ＩＤを出力部１０５へ送る。

生成部１０４は、実属性数値取得部１０２及び偽装属性数値生成部１０３から実属性数値及び偽装属性数値を受けると、条件属性情報に対する属性評価情報を生成する（Ｓ４８、Ｓ４９、Ｓ５０及びＳ５１）。（Ｓ４８）、（Ｓ４９）、（Ｓ５０）及び（Ｓ５１）の各処理は、第１実施形態の処理（図３の（Ｓ３５）、（Ｓ３６）、（Ｓ３７）及び（Ｓ３８））と同様であるため、ここでは説明を省略する。この例では、生成部１０４は、属性評価情報を「第１属性提供装置２０.好み＋第２属性提供装置３０.好み＝４」として生成する。生成部１０４は、このように生成された属性評価情報と共に、変換ＩＤ及び通信先端末５６の端末ＩＤを出力部１０５に送る。

出力部１０５は、リスト生成部１０７から、属性状態リスト、変換ＩＤ及び属性種類を受けると、生成部１０４から別途通知された情報で特定される属性提供装置（第１属性提供装置２０）にそれらの情報を保存させる（Ｓ５２）。この例では、第１属性提供装置２０の属性状態リスト保存部２０４に、出力部１０５から出力された、属性状態リスト（「ゲーム」−「１」、「スポーツ」−「２」、「読書」−「３」等）、変換ＩＤ及び属性種類「好み」が保存される。

また、出力部１０５は、変換ＩＤ及び偽装属性数値を生成部１０４から別途通知された情報で特定される属性提供装置（第２属性提供装置３０）に保存させる（Ｓ５３）。この例では、第２属性提供装置３０の偽装属性数値保存部２０２に、出力部１０５から出力された、変換ＩＤ及び偽装属性数値「３」が保存される。

更に、出力部１０５は、生成部１０４から取得された、変換ＩＤ、端末ＩＤ、及び属性評価情報を中継装置５０に保存させる（Ｓ５４）。この例では、中継装置５０の属性評価情報保存部５０２に、変換ＩＤ、端末ＩＤ「USER_A」及び属性評価情報「第１属性提供装置２０.好み＋第２属性提供装置３０.好み＝４」が保存される。

なお、図１２に示すフローチャートのうち、処理（Ｓ４３及びＳ４４）と処理（Ｓ４６）とは並列に処理されてもよいし、順番を入れ替えてもよい。また、（Ｓ５２）と（Ｓ５３）とは、（Ｓ４９）で第１属性提供装置２０及び第２属性提供装置３０が決定された後であれば、どの時点で実行されてもよい。

図１３は、通信元端末５７のユーザＢから通信先端末５６のユーザＡとの通信要求を受信した際における第２実施形態の動作例を示すフローチャートである。ここでは、通信先端末５６のユーザＡ「USER_A」の条件属性情報は「好み＝ゲーム」であり、通信元端末５７のユーザＢ「USER_B」の対象属性情報は「好み＝スポーツ」である例を挙げる。これに伴って、中継装置５０、第１属性提供装置２０及び第２属性提供装置３０には以下のようなデータが格納されているものとする。

中継装置５０の属性評価情報保存部５０２に、変換ＩＤ「H001」及び端末ＩＤ「USER_A」に関連付けられて、条件属性情報「好み＝ゲーム」から生成された属性評価情報「第１属性提供装置２０.好み＋第２属性提供装置３０.好み＝４」が既に保存されている。第１属性提供装置２０の属性状態保存部２０３に、端末ＩＤ「USER_B」に関連付けられて、属性種類「好み」及び属性状態「スポーツ」が格納されている。第１属性提供装置２０の属性状態リスト保存部２０４に、変換ＩＤ「H001」及び属性種類「好み」に関し、属性状態リスト（「ゲーム」−「１」、「スポーツ」−「２」等）が格納されている。第２属性提供装置３０の偽装属性数値保存部２０２には、変換ＩＤ「H001」に関し偽装属性数値「３」が格納されている。

中継装置５０の通信中継部５０１は、通信元端末５７のユーザＢから通信先端末５６のユーザＡとの通信要求を受信する（Ｓ６１）。通信中継部５０１は、この通信要求から、通信元端末５７の端末ＩＤと通信先端末５６の端末ＩＤとを取得する（Ｓ６２）。この例では、通信元端末５７の端末ＩＤとして「USER_B」が取得され、通信先端末５６の端末ＩＤとして「USER_A」が取得される。

通信中継部５０１は、通信元端末５７の端末ＩＤと通信先端末５６の端末ＩＤとを評価部５０３に送り、評価部５０３に評価を依頼する。評価部５０３は、通信先端末５６の端末ＩＤに関連付けられた属性評価情報及び変換ＩＤを属性評価情報保存部５０２から抽出する（Ｓ６３）。この例では、通信先端末５６の端末ＩＤ「USER_A」に関連付けられた、変換ＩＤ「H001」及び属性評価情報「第１属性提供装置２０.好み＋第２属性提供装置３０.好み＝４」が抽出される。

評価部５０３は、属性評価情報に含まれる第１変数の取得先情報に基づいて、第１属性提供装置２０に、変換ＩＤ、通信元端末５７の端末ＩＤ及び属性種類を送ることにより属性数値を要求する（Ｓ６４）。この例では、第１属性提供装置２０に、変換ＩＤ「H001」、端末ＩＤ「USER_B」及び属性種類「好み」が送られる。

同様に、評価部５０３は、属性評価情報に含まれる第２変数の取得先情報に基づいて、第２属性提供装置３０に、変換ＩＤ、通信元端末５７の端末ＩＤ及び属性種類を送ることにより属性数値を要求する（Ｓ６５）。この例では、第２属性提供装置３０に、変換ＩＤ「H001」、端末ＩＤ「USER_B」及び属性種類「好み」が送られる。

評価部５０３は、上記要求に応じて、第１属性提供装置２０及び第２属性提供装置３０からそれぞれ属性数値（実属性数値及び偽装属性数値）を取得する。この例では、評価部５０３は、第１属性提供装置２０から、属性状態「スポーツ」に対応する実属性数値「２」を取得し、第２属性提供装置３０から、変換ＩＤ「H001」に対応する偽装属性数値「３」を取得する。評価部５０３は、これら属性数値を属性評価情報の関数の第１変数及び第２変数に適用することにより、関数の計算結果としての評価値を得る（Ｓ６６）。この例では、評価部５０３は、評価値「５」（＝２＋３）を得る。

評価部５０３は、このように算出された評価値と属性評価情報に含まれる評価値とを比較する（Ｓ６７）。評価部５０３は、両者が一致する場合には（Ｓ６７；ＹＥＳ）、一致を示す評価結果を通信中継部５０１に送る。一方、評価部５０３は、両者が一致しない場合には（Ｓ６７；ＮＯ）、不一致を示す評価結果を通信中継部５０１に送る。この例では、属性評価情報に含まれる評価値が「４」であるのに対して、算出された評価値が「５」であるため、両者は一致しない（Ｓ６７；ＮＯ）。よって、評価部５０３は、不一致を示す評価結果を通信中継部５０１に送る。

なお、この例では、上述したように、通信先端末５６のユーザＡ「USER_A」の条件属性情報は「好み＝ゲーム」であり、通信元端末５７のユーザＢ「USER_B」の対象属性情報は「好み＝スポーツ」であるため、両者の属性情報は一致していない。よって、第２実施形態における属性評価情報を利用した評価においても、同様の結果が得られることが分かる。

通信中継部５０１は、評価部５０３から評価結果を受け、この評価結果に応じて当該通信要求を許可するか否かを決定する。具体的には、通信中継部５０１は、評価結果が一致を示す場合には、当該通信を許可し（Ｓ６８）、評価結果が不一致を示す場合には、当該通信を許可しない（Ｓ６９）。これにより、通信元端末５７のユーザＢは、通信先端末５６のユーザＡと通信することはできない。

このように第２実施形態における属性情報評価システム１では、通信先となり得る各ユーザの条件属性情報が処理装置１０に入力され、各条件属性情報から各属性評価情報がそれぞれ生成される。処理装置１０で生成された各属性評価情報は、変換ＩＤ、各ユーザを示す端末ＩＤと共に、中継装置５０にそれぞれ格納される。そして、通信元のユーザから通信先のユーザとの通信要求が中継装置５０に送られると、中継装置５０において、既に格納されている通信元のユーザの属性評価情報が利用されることにより、その通信元のユーザの属性情報が通信先のユーザの属性情報と一致するか否かが判定される。

よって、第２実施形態によれば、属性情報の評価を行う中継装置５０は、第１実施形態の評価装置４０と同様に、通信元ユーザ及び通信先ユーザの各属性情報自体を把握することはできない。また、中継装置５０から属性評価情報が漏洩されたとしても、その属性評価情報を得た第３者にその属性評価情報の元となった属性情報を把握されることもない。更に、第２実施形態によれば、第１実施形態と同様に、各ユーザの属性情報の存在位置を第３者に把握させることを困難にさせることができる。以上のように、第２実施形態においても、第１実施形態と同様に、情報漏洩のリスクを軽減させることができる。

なお、上述した動作例のうち（Ｓ６３）の処理として、属性評価情報保存部５０２から、通信先端末５６の端末ＩＤに関連付けられた属性評価情報及び変換ＩＤが複数抽出された場合については特に言及していなかった。しかしながら、属性評価情報及び変換ＩＤの複数の組が抽出された場合には、抽出された各属性評価情報について処理（Ｓ６４）、（Ｓ６５）及び（Ｓ６６）をそれぞれ行うようにすればよい。この場合には、処理（Ｓ６７）での結果を、算出された評価値と属性評価情報の評価値とが全て一致した場合に、一致した（ＹＥＳ）と判定されるようにすればよい。

ここで、図１３のフローチャートで示した（Ｓ６４）及び（Ｓ６５）において、属性数値を要求された第１属性提供装置２０及び第２属性提供装置３０の動作例について図１４を用いて説明する。図１４は、第２実施形態における第１属性提供装置２０及び第２属性提供装置３０の動作例を示すフローチャートである。以下、図１３のフローチャートの説明で用いた例と同じ例を用いて説明する。

属性提供装置では、属性数値送信部２０５が、中継装置５０から、変換ＩＤ、通信元端末５７の端末ＩＤ及び属性種類を含む属性数値要求を受信する（Ｓ７１）。この例では、第１属性提供装置２０は、変換ＩＤ「H001」、端末ＩＤ「USER_B」及び属性種類「好み」を受け、第２属性提供装置３０は、変換ＩＤ「H001」、端末ＩＤ「USER_B」及び属性種類「好み」を受ける。

属性数値送信部２０５は、その変換ＩＤに関連付けられた偽装属性数値を偽装属性数値保存部２０２から抽出する（Ｓ７２）。ここで、偽装属性数値保存部２０２に、対応する偽装属性数値が保存されていた場合（Ｓ７３；ＹＥＳ）、属性数値送信部２０５は、その抽出された偽装属性数値を中継装置５０に送る（Ｓ７４）。偽装属性数値保存部２０２に、対応する偽装属性数値が保存されている場合（Ｓ７３；ＹＥＳ）とは、その属性提供装置が第２属性提供装置３０である場合である。

以下、その属性提供装置が第１属性提供装置２０である場合の動作例である。属性数値送信部２０５は、偽装属性数値保存部２０２に、対応する偽装属性数値が保存されていない場合（Ｓ７３；ＮＯ）、変換ＩＤ、通信元端末５７の端末ＩＤ及び属性種類を属性状態変換部２０６に送る。

属性状態変換部２０６は、属性状態保存部２０３から、その端末ＩＤ及び属性種類に関連付けられた属性状態を抽出する（Ｓ７５）。言い換えれば、属性状態変換部２０６は、通信元ユーザ（ユーザＢ）のその属性種類に対応する属性情報を特定し、その特定された属性情報の属性状態を抽出する。この例では、端末ＩＤ「USER_B」及び属性種類「好み」に関連付けられた属性状態「スポーツ」が抽出される。

続いて、属性状態変換部２０６は、属性状態リスト保存部２０４から、変換ＩＤ及び属性種類に関連付けられた属性状態リストを抽出する（Ｓ７６）。この例では、変換ＩＤ「H001」及び属性種類「好み」に関連付けられた属性状態リスト（「ゲーム」−「１」、「スポーツ」−「２」）が抽出される。

属性状態変換部２０６は、抽出された属性状態リストから、（Ｓ７５）で抽出された属性状態に対応する実属性数値を抽出する（Ｓ７７）。この例では、属性状態リスト（「ゲーム」−「１」、「スポーツ」−「２」）から、属性状態「スポーツ」に対応する実属性数値「２」が抽出される。この抽出された実属性数値は、属性数値送信部２０５に送られ、属性数値送信部２０５は、この実属性数値を中継装置５０に送る（Ｓ７８）。

このように、第２実施形態では、処理装置１０において条件属性情報から属性評価情報を生成する際に属性状態リストが生成され、この属性状態リストが第１属性提供装置２０に保存される。このとき、属性状態リストは、変換ＩＤにより特定可能に保存される。第１属性提供装置２０は、中継装置５０から属性数値を要求された場合には、保存される各ユーザの属性情報のうちその要求対象となる属性情報を特定し、その属性情報の属性状態に対応する実属性数値を当該属性状態リストから抽出し、この実属性数値を中継装置５０に送る。このとき、第１属性提供装置２０では、属性状態リストは中継装置５０からの要求に含まれる変換ＩＤにより特定される。

このように、第２実施形態では、変換ＩＤ及び属性状態リストを用いることにより、処理装置１０と第１属性提供装置２０との間で実属性数値を共通認識することができる。更に、同じ属性種類に関し、変換ＩＤ毎に異なる属性状態リストを生成することができる。例えば、属性種類「好み」に対して、変換ＩＤ「H001」の属性状態リストは、（「ゲーム」−「１」、「スポーツ」−「２」等）のように生成され、変換ＩＤ「H005」の属性状態リストは、（「ゲーム」−「２１」、「スポーツ」−「２５」等）のように生成され得る。

このような態様によれば、１つの属性状態に対して複数の実属性数値を割り当てることができるため、第３者に属性状態を更に把握させにくくし、情報漏洩のリスクを更に軽減させることができる。

［第３実施形態］
図１５は、第３実施形態における属性情報評価システム１の構成例を示す図である。第３実施形態における属性情報評価システム１は、第２実施形態における中継装置５０の替わりに、配信装置６０を有する。第３実施形態では、配信装置６０が、情報配信業者により入力された属性情報と合致する属性情報を持つユーザを特定し、この特定されたユーザの受信端末６５に所定情報（例えば、広告情報）を配信する。よって、情報配信業者により入力された属性情報は、所定情報の配信先を決めるための条件となるため、条件属性情報と表記する場合もある。一方、各ユーザの属性情報は、その条件属性情報と合致するか否かの判定に利用されるため、対象属性情報と表記する場合もある。

また、第３実施形態では、属性情報評価システム１が、第２実施形態の構成に加えて、属性情報の属性種類を隠ぺい可能とする構成を更に持つ例を示す。以下、属性情報評価システム１を構成する各装置について、第２実施形態と異なる内容を中心にそれぞれ説明する。

〔属性情報処理装置〕
図１６は、第３実施形態における処理装置１０の処理構成例を示す概念図である。図１６に示すように、第３実施形態における処理装置１０は、第２実施形態の構成に加えて、偽装種類データ生成部１０８を更に有する。

属性情報取得部１０１は、情報配信業者により入力された条件属性情報を取得し、これを生成部１０４に送る。

偽装種類データ生成部１０８は、条件属性情報から属性種類を取得し、この取得された属性種類のデータを偽装種類データに変換する。この変換された偽装種類データは、元の属性種類の情報を外部の者に認識できない形式となっていればよいため、例えば、ランダムに生成される文字列や数値として生成される。具体的には、例えば、属性種類「最近購買した物」が偽装種類データ「TYPE1」（文字列）に変換される。

偽装種類データ生成部１０８は、元の属性種類と変換された偽装種類データとが対応付けられた種類変換情報を生成する。上記例の場合には、種類変換情報は、（「最近購買した物」−「TYPE1」）のように生成される。偽装種類データ生成部１０８は、偽装種類データを生成部１０４に送り、種類変換情報及び変換ＩＤを出力部１０５に送る。

生成部１０４は、第１実施形態及び第２実施形態と同様に、条件属性情報に対する属性評価情報を生成する。但し、第３実施形態における生成部１０４は、属性評価情報には、属性種類の代わりに偽装種類データを含める。よって、例えば、属性評価情報は、「第１属性提供装置２０.TYPE1＋第２属性提供装置３０.TYPE1＝４」のように生成される。即ち、第３実施形態で生成される属性評価情報には、属性種類のデータは含まれない。

出力部１０５は、生成部１０４により生成された属性評価情報を配信装置６０に送る。また、出力部１０５は、種類変換情報及び変換ＩＤを、属性状態リストの送り先と同じ第１属性提供装置２０に格納させるために出力する。このとき、出力部１０５は、第１属性提供装置２０に直接それらの情報を送るようにしてもよい。

〔第１属性提供装置及び第２属性提供装置〕
図１７は、第３実施形態における第１属性提供装置２０及び第２属性提供装置３０の各処理構成例をそれぞれ示す概念図である。第３実施形態においても、第２実施形態と同様に、第１属性提供装置２０及び第２属性提供装置３０の処理構成は同じとし、格納されるデータが異なるものとする。以下、特に区別する必要がある場合を除いて、第１属性提供装置２０及び第２属性提供装置３０を区別せず、それらを属性提供装置と総称して説明する。

第３実施形態における属性提供装置は、図１７に示すように、第２実施形態の構成に加えて、種類変換情報保存部２０７を更に有する。データ管理部２０１は、種類変換情報保存部２０７も更に管理する。データ管理部２０１は、処理装置１０の出力部１０５から出力された種類変換情報及び変換ＩＤを種類変換情報保存部２０７に格納する。

図１８は、種類変換情報保存部２０７の例を示す図である。図１８に示すように、種類変換情報保存部２０７には、処理装置１０の出力部１０５から出力された、変換ＩＤ及び種類変換情報が関連付けられて保存される。

第３実施形態における属性提供装置では、配信装置６０から属性数値要求を受けた場合に、この要求には属性種類の代わりに偽装種類データが含まれる点において第２実施形態と異なる。属性状態変換部２０６は、種類変換情報保存部２０７から抽出される種類変換情報を用いることにより、その偽装種類データを元の属性種類の情報に戻し、以降、第２実施形態と同様の処理を行う。属性状態変換部２０６の詳細処理については動作例の項において説明する。

〔配信装置〕
図１９は、第３実施形態における配信装置６０の処理構成例を示す概念図である。配信装置６０は、図１９に示すように、配信部６０１、ユーザ情報保存部６０２、評価部６０３等を有する。配信装置６０は、例えば、これら各処理部をそれぞれハードウェア回路（ＩＣチップ等）として実現する。また、配信装置６０は、ＣＰＵ、メモリ、入出力インタフェース等を有し、ＣＰＵによりメモリに記憶されるプログラムが実行されることで上記各処理部を実現するようにしてもよい。本実施形態は、配信装置６０のハードウェア構成を限定しない。

配信部６０１は、ネットワークを介して複数の受信端末６５と通信可能に接続されており、複数の受信端末６５のうち特定された受信端末に、広告情報、ニュース情報等のような所定情報を配信する。なお、本実施形態はこのネットワークの形態や通信プロトコルや通信形態を限定しない。

配信部６０１は、処理装置１０から、変換ＩＤ及び属性評価情報を受けると、ユーザ情報保存部６０２に格納されている各ユーザのうち、この属性評価情報の元となる条件属性情報と合致する属性情報を持つユーザを特定する。配信部６０１は、各ユーザを識別するための端末ＩＤ、変換ＩＤ及び属性評価情報を評価部６０３に送り、評価部６０３から送られる評価結果が一致を示すユーザを配信先に決定する。配信部６０１は、配信先に決定されたユーザの受信端末６５に所定情報を配信する。

ユーザ情報保存部６０２には、情報配信先となり得るユーザを識別するための端末ＩＤが格納される。ユーザ情報保存部６０２には、配信対象となる情報毎に、配信先となり得る端末ＩＤがそれぞれ格納されるようにしてもよい。

評価部６０３は、配信部６０１から送られた、端末ＩＤ、変換ＩＤ及び属性評価情報を受け、その端末ＩＤで特定されるユーザの属性情報がその属性評価情報の元となる条件属性情報に合致するか否かを評価する。評価部６０３による評価処理は、属性評価情報に偽装種類データが含まれているため、属性種類の代わりにこの偽装種類データを第１属性提供装置２０及び第２属性提供装置３０に送る点において第２実施形態と異なる。

〔動作例〕
第３実施形態における属性情報評価システム１は、上述したように、種類変換情報が利用される点において第２実施形態と異なる。よって、以下、第３実施形態における第１属性提供装置２０及び第２属性提供装置３０の動作例を図２０を用いて説明する。図２０は、第３実施形態における第１属性提供装置２０及び第２属性提供装置３０の動作例を示すフローチャートである。

属性提供装置では、属性数値送信部２０５が、配信装置６０から、変換ＩＤ、端末ＩＤ及び偽装種類データを含む属性数値要求を受信する（Ｓ８１）。第３実施形態では、属性種類の情報ではなく偽装種類データを受信する点において第２実施形態と異なる。ここでは、例えば、変換ＩＤ「H001」及び偽装種類データ「TYPE1」が受信される。

以降、（Ｓ８２）、（Ｓ８３）及び（Ｓ８４）の各処理は、図１４に示す第２実施形態における動作例の（Ｓ７２）、（Ｓ７３）及び（Ｓ７４）の各処理と、偽装属性数値の送信先が配信装置６０である点を除いては、同じである。即ち、属性提供装置が第２属性提供装置３０である場合には、第２実施形態と同様の処理となる。

以下、その属性提供装置が第１属性提供装置２０である場合の動作例である。属性数値送信部２０５は、偽装属性数値保存部２０２に、対応する偽装属性数値が保存されていない場合（Ｓ８３；ＮＯ）、変換ＩＤ、端末ＩＤ及び偽装種類データを属性状態変換部２０６に送る。

属性状態変換部２０６は、種類変換情報保存部２０７から、変換ＩＤに関連付けられた種類変換情報を抽出する（Ｓ８５）。図１８の例によれば、変換ＩＤ「H001」に関連付けられた種類変換情報（「最近購買した物」−「TYPE1」）が抽出される。

属性状態変換部２０６は、この抽出された種類変換情報から、偽装種類データに対応する属性種類を取得する（Ｓ８６）。この例では、偽装種類データ「TYPE1」に対応する属性種類「最近購買した物」が取得される。このようにして、偽装種類データが元の属性種類の情報に戻される。

以降、（Ｓ８７）、（Ｓ８８）、（Ｓ８９）及び（Ｓ９０）の各処理は、図１４に示す第２実施形態における動作例の（Ｓ７５）、（Ｓ７６）、（Ｓ７７）及び（Ｓ７８）の各処理と、実属性数値の送信先が配信装置６０である点を除いては、同じである。

このように、第３実施形態では、属性種類が隠ぺいされた属性評価情報が利用され、条件属性情報と各ユーザの属性情報とが合致するか否かが評価される。よって、配信装置６０が有する属性評価情報では、第３者は、属性状態だけでなく属性種類も把握できない。更に、配信装置６０と属性評価装置との間の通信を監視したとしても、属性種類の情報が送受されないため、属性種類の情報は漏洩されない。従って、第３実施形態によれば、情報配信業者にとってノウハウとなるような条件属性情報に関する情報を完全に隠ぺいすることが可能となる。

［第４実施形態］
以下、第４実施形態における属性情報評価システム１について説明する。例えば、ユーザの位置を示す属性情報の属性状態は或る頻度で変更される。即ち、属性情報の種類によっては、第１属性提供装置２０の属性状態保存部２０３に保存される属性状態が或る頻度で変更される。このような属性情報に対する偽装属性数値を固定とすると、第１属性提供装置２０及び第２属性提供装置３０で保持される各属性数値のどちらが偽装属性数値であるのか第３者にとって把握し易くなる可能性がある。

そこで、第４実施形態における属性情報評価システム１は、上述の第２実施形態又は第３実施形態の構成に加えて、偽装属性数値を所定のタイミングで変更する構成を更に有する。以下、第４実施形態における属性情報評価システム１について、第２実施形態にこの新たな構成を付加した例を基に、第２実施形態と異なる構成を中心にして説明する。

図２１は、第４実施形態における処理装置１０の処理構成例を示す概念図である。図２１に示すように、第４実施形態における処理装置１０は、第２実施形態の構成に加えて、変更タイミング制御部１１０及び変更タイミング保存部１１１を更に有する。

図２２は、変更タイミング保存部１１１の例を示す図である。変更タイミング保存部１１１には、各属性種類について変更タイミングがそれぞれ格納される。図２２の例では、属性種類「位置」の属性情報が１時間に５回の頻度で更新され、属性種類「年齢」の属性情報が１年に１回の頻度で更新されることが示されている。

変更タイミング制御部１１０は、偽装属性数値生成部１０３から変換ＩＤ及び属性種類を受けると、その属性種類が変更対象か否かを判定する。変更タイミング制御部１１０は、その属性種類が変更対象である場合には、その属性種類に応じた変更タイミングで、偽装属性数値生成部１０３及びリスト生成部１０７に変更指示を送る。変更タイミング制御部１１０は、属性種類に応じた変更タイミングを変更タイミング保存部１１１から抽出する。変更タイミング制御部１１０は、変更タイミング保存部１１１にその属性種類に応じた変更タイミングが保存されていない場合には、その属性種類が変更対象でないと判定する。

偽装属性数値生成部１０３は、出力部１０５に生成された偽装属性数値及び変換ＩＤを送ると、これら情報を保持すると共に、更に、偽装属性数値、変換ＩＤ及び属性種類を変更タイミング制御部１１０に送る。偽装属性数値生成部１０３は、変更タイミング制御部１１０から変更指示を受けると、その変更指示に含まれる変換ＩＤで変更対象となる偽装属性数値を特定し、この特定された偽装属性数値を所定のルールにより変更する。偽装属性数値生成部１０３は、例えば、元の偽装属性数値に１加算することにより新たな偽装属性数値を得る。偽装属性数値生成部１０３は、変更された偽装属性数値及びその変換ＩＤを変更指示と共に出力部１０５に送る。

リスト生成部１０７は、出力部１０５に、生成された属性状態リスト、この属性状態リストの属性種類、及び変換ＩＤを送ると、これら情報を保持する。リスト生成部１０７は、変更タイミング制御部１１０から変更指示を受けると、その変更指示に含まれる変換ＩＤ及び属性種類で変更対象となる属性状態リストを特定し、この特定された属性状態リストに含まれる各実属性数値を所定のルールによりそれぞれ変更する。

この所定のルールは、上述の偽装属性数値の変更ルールに対応し、変更された偽装属性数値を適用しても属性評価情報の評価値が変わらないように決められる。例えば、偽装属性数値の変更ルールが元の偽装属性数値に１加算することを示す場合には、属性状態リストの変更ルールは各実属性数値から１減算することを示す。リスト生成部１０７は、このように変更された属性状態リスト、変換ＩＤ及び属性種類を変更指示と共に出力部１０５に送る。

出力部１０５は、偽装属性数値生成部１０３から変更指示を受けると、第２属性提供装置３０に保存される偽装属性数値がその変更された偽装属性数値で更新されるように、その変換ＩＤ及び偽装属性数値を出力する。同様に、出力部１０５は、リスト生成部１０７から変更指示を受けると、第１属性提供装置２０に保存される属性状態リストがその変更された属性状態リストで更新されるように、変換ＩＤ、属性種類及び属性状態リストを出力する。

〔第１属性提供装置及び第２属性提供装置〕
第４実施形態における属性提供装置は、偽装属性数値及び属性状態リストの更新処理以外については、第２実施形態と同様である。第４実施形態では、データ管理部２０１は、処理装置１０の出力部１０５から出力された変更後の偽装属性数値及び属性状態リストを受け、既に偽装属性数値保存部２０２に保存されている偽装属性数値及び属性状態リストをそれら変更後の偽装属性数値及び属性状態リストで更新する。

このように、第４実施形態では、属性状態が或る頻度で変更されるような条件属性情報に関連する偽装属性数値は、その属性種類に応じた変更タイミングで変更される。これにより、第３者に、偽装属性数値と実属性数値とを区別させ難くすることができる。更に、偽装属性数値を変更するにあたり、評価に利用される属性評価情報を変更する必要がないように、属性状態リストも合わせて変更される。これにより、評価のために属性評価情報を有する中継装置５０に、偽装属性数値が変更されたことは検知されない。よって、第４実施形態によれば一層情報漏洩のリスクを軽減することができる。

［第５実施形態］
上述の第４実施形態では、処理装置１０において変更タイミングが決定され、変更後の偽装属性数値及び属性状態リストが生成されていたが、これらの処理は、属性提供装置側で実行されるようにしてもよい。第５実施形態では、第２実施形態又は第３実施形態における属性提供装置に偽装属性数値を所定のタイミングで更新する構成が付加される。以下、第５実施形態における属性情報評価システム１について、第２実施形態にこの新たな構成を付加した例を基に、第２実施形態と異なる構成を中心にして説明する。

〔第１属性提供装置及び第２属性提供装置〕
第５実施形態では、データ管理部２０１は、属性状態保存部２０３に保存される属性状態の変更を監視する。上述のように例えば、ユーザの現在位置が反映される属性情報はそのユーザが移動した際に変更される。データ管理部２０１は、属性状態が変更されたことを検知すると、属性状態保存部２０３に基づいてその変更された属性状態の属性種類を特定する。続いて、データ管理部２０１は、属性状態リスト保存部２０４に保存されるこの特定された属性種類に対応する属性状態リストを変更する。この属性状態リストの変更は、上述の第４実施形態と同様である。

データ管理部２０１は、属性状態リストを変更すると、その属性状態リストに関する変換ＩＤと共に、偽装属性数値の変更指示を他の属性提供装置に送る。なお、属性状態リストを保持する属性提供装置が複数存在する場合には、属性状態リストの変更指示を他の属性提供装置に送るようにしてもよい。また、偽装属性数値を保持する属性提供装置が複数存在する場合には、偽装属性数値の変更指示を複数の属性提供装置に送るようにしてもよい。

データ管理部２０１は、偽装属性数値の変更指示を他の属性提供装置から受けると、その変更指示に含まれる変換ＩＤを用いて偽装属性数値保存部２０２を検索する。データ管理部２０１は、偽装属性数値保存部２０２からその変換ＩＤに対応する偽装属性数値を抽出すると、その抽出された偽装属性数値を所定のルールで変更し、その変更後の偽装属性数値で偽装属性数値保存部２０２を更新する。この偽装属性数値の変更ルールは、第４実施形態と同様である。

このように偽装属性数値の変更は、属性提供装置の処理のみで実現することも可能である。第５実施形態によれば、第４実施形態と同様に、第３者に、偽装属性数値と実属性数値とを区別させ難くすることができる。なお、偽装属性数値の変更タイミングは、処理装置１０が決め、変更後の偽装属性数値及び属性状態リストは属性提供装置側で実行されるようにしてもよい。

［第６実施形態］
上述の各実施形態において偽装属性数値を保存させる第２属性提供装置３０を任意に決めると、以下のような問題が生じる場合がある。例えば、条件属性情報の属性種類が「最近購買した物＝ゲーム」であり、第１属性提供装置２０が通販サイトであり、第２属性提供装置３０が病院サイトである場合には、第２属性提供装置３０が偽装属性数値を提供していることを第３者に把握される可能性がある。一方で、第３実施形態のように属性種類を隠ぺいするシステムでは、第１属性提供装置２０と第２属性提供装置３０とが同業種のサーバである場合には、隠ぺいしているはずの属性種類がそれら属性提供装置の業種等から容易に把握される可能性がある。

そこで、第６実施形態では、上述の第１実施形態から第５実施形態のいずれか１つに偽装属性数値を保存させる第２属性提供装置３０を適切に選択する構成が付加される。以下、第６実施形態における属性情報評価システム１について、第２実施形態にこの新たな構成を付加した例を基に、第２実施形態と異なる構成を中心にして説明する。

第６実施形態における属性情報評価システム１は、３台以上の属性提供装置（属性提供装置Ａ、Ｂ及びＣと表記する）を有する。第６実施形態では、これらの属性提供装置の中から第１属性提供装置２０及び第２属性提供装置３０がそれぞれ選択される。

図２３は、第６実施形態における処理装置１０の処理構成例を示す概念図である。図２３に示すように、第６実施形態における処理装置１０は、第２実施形態の構成に加えて、装置検索部１２０及び装置情報保存部１２１を更に有する。

図２４は、装置情報保存部１２１の例を示す図である。装置情報保存部１２１には、各属性種類についてその属性種類の属性情報を提供する属性提供装置の情報がそれぞれ格納される。属性提供装置の情報とは、例えば、その装置のアドレス情報である。図２４の例では、属性種類「位置」の属性情報を提供し得る属性提供装置として、属性提供装置Ａ、Ｂ及びＣの各情報がそれぞれ格納される。また、属性種類「最近購買した物」の属性情報を提供し得る属性提供装置として、属性提供装置Ａ及びＢの各情報がそれぞれ格納される。

生成部１０４は、偽装属性数値の取得先を決める際に、属性種類及び属性状態リストを保存させた属性提供装置の情報と共に、検索要求を装置検索部１２０に送る。生成部１０４は、装置検索部１２０から送られた情報で特定される属性提供装置のうちのいずれか１つを第２属性提供装置３０に決め、この第２属性提供装置３０の情報を出力部１０５に送る。出力部１０５は、その第２属性提供装置３０に保存させるために、変換ＩＤ及び偽装属性数値を出力する。

装置検索部１２０は、検索要求を生成部１０４から受けると、その検索要求に含まれる属性種類に関連付けられて保存される属性提供装置の情報を装置情報保存部１２１から抽出する。例えば、図２４の例によれば、装置検索部１２０は、属性種類「位置」についての検索要求を取得すると、属性提供装置Ａ、Ｂ及びＣの各情報をそれぞれ抽出する。装置検索部１２０は、抽出された情報の中から、属性状態リストを保存させた属性提供装置の情報を除いた情報を生成部１０４に送る。例えば、属性状態リストを保存させた属性提供装置が属性提供装置Ａである場合には、属性提供装置Ｂ及びＣの各情報がそれぞれ生成部１０４に送られる。

このように第６実施形態では、実属性数値の取得先となる第１属性提供装置２０と同じ属性種類の属性情報を提供する属性提供装置が、偽装属性数値の取得先の第２属性提供装置３０として選択される。これにより、第６実施形態によれば、偽装属性数値を提供する第２属性提供装置３０を第３者に把握させ難くすることができる。

なお、属性種類を隠ぺいする第３実施形態にこのような構成を付加した場合には、装置検索部１２０は、生成部１０４から送られてきた属性種類以外の属性種類に関連付けられた属性提供装置の情報を抽出するようにすればよい。この態様では、実属性数値の取得先となる第１属性提供装置２０と異なる属性種類の属性情報を提供し得る属性提供装置が、偽装属性数値の取得先の第２属性提供装置３０として選択される。この態様によれば、属性提供装置の情報から属性種類が把握されることを困難にすることができる。

〔第６実施形態の変形例〕
上述の第６実施形態における属性提供装置の選択は以下のように更に効果的にすることができる。例えば、属性種類「性別」に関する属性情報のうち属性状態「男性」を示す割合が第１属性提供装置２０及び第２属性提供装置３０のどちらも８０％を占める場合には、属性種類「性別」が把握されてしまうと、その条件属性情報が「性別＝男性」であると推測され得る。そこで、各属性種類について、各属性提供装置で保存される各属性状態の割合をそれぞれ管理し、この割合情報を利用することによって、適切な属性提供装置を選択するようにしてもよい。

図２５は、装置情報保存部１２１の変形例を示す図である。装置情報保存部１２１には、各属性種類について、各属性提供装置で保存される各属性状態の割合がそれぞれ格納される。この変形例では、装置検索部１２０は、上述の第６実施形態で述べたように抽出された属性提供装置の中から属性状態リストを保存させた属性提供装置を除き、残った属性提供装置の中から更に以下のように適切な属性提供装置を絞る。

装置検索部１２０は、条件属性情報の属性種類に関する属性提供装置に保存される全属性情報のうちの、条件属性情報と同じ属性情報の割合が第１属性提供装置２０と第２属性提供装置３０とで平均化されるように、第２属性提供装置３０を選択する。ここで、平均化とは、例えば、５０％に近付くようにすることを意味する。図２５の例において、条件属性情報が「性別＝女」であり、第１属性提供装置２０として属性提供装置Ａが選択されている場合には、装置検索部１２０は、属性提供装置Ｂを選択する。これは、属性提供装置Ａについての属性状態「女」の割合が８０％を示しており、属性提供装置Ｂについての当該割合が２０％を示しているからである。ここで、残っている属性提供装置Ｃは、当該割合が８０％を示すため除外される。

なお、上述の実施形態では、処理装置１０に保存される情報に基づいて、第１属性提供装置２０及び第２属性提供装置３０が決められる例を示したが、外部の装置に格納される情報を用いて第１属性提供装置２０及び第２属性提供装置３０が決められるようにしてもよい。上述の第６実施形態によれば、装置情報保存部１２１が外部の装置に存在してもよい。

［上述の各実施形態に対する補足］
上述の各実施形態では、処理装置１０の属性情報取得部１０１で取得される属性情報（条件属性情報）が属性種類と属性状態との１つの組から構成される例を示したが、条件属性情報は２つ以上の組から構成されていてもよい。例えば、条件属性情報は、「好み＝ゲーム」かつ「性別＝男」であってもよい。この場合には、例えば、属性種類「好み」に対して属性状態リストが生成され、属性種類「性別」に対して属性状態リストが生成され、各属性状態リストが第１属性提供装置２０に保存される。更に、各属性状態リストはそれぞれ異なる第１属性提供装置２０に保存されてもよい。

また、例えば、属性種類「好み」に対して偽装属性数値が生成され、属性種類「性別」に対して偽装属性数値が生成され、各偽装属性数値が第２属性提供装置３０に保存される。更に、各偽装属性数値はそれぞれ異なる第２属性提供装置３０に保存されてもよい。また、属性種類の数によらず偽装属性数値は１つだけ生成されてもよいし、３つ以上生成されてもよい。

この例では、処理装置１０の生成部１０４は、「第１属性提供装置２０．好み＋第１属性提供装置２０．性別＋第２属性提供装置３０．好み＋第２属性提供装置３０．性別＝５０」のような属性評価情報を生成すればよい。即ち、本実施形態は、属性評価情報に含まれる関数を構成する変数の数を限定するものではない。このように関数に含まれる変数が３つ以上となる場合には、実属性数値及び偽装属性数値がそれぞれ異なる素数となるように決定し、その関数が各変数の積として決定されてもよい。このようにすれば、比較対象となる属性情報と属性評価情報の元となる属性情報とが一致しないのに、算出された評価値と属性評価情報に含まれる評価値とが偶然一致するのを防ぐことができる。

また、実属性数値及び偽装属性数値にそれぞれ異なる素数を用いる場合には、当該関数を各変数の積のハッシュ関数としてもよい。これは、当該関数を単純な素数同士の掛け算とした場合、その評価値を素因数分解することにより、各変数の値（各素数）がそれぞれ特定されてしまうからである。例えば、属性評価情報に含まれる評価値が１４３０である場合、１４３０を素因数分解することにより、２、５、１１及び１３が特定される。これにより、第３者は、これら特定された素数以外の値を返す属性提供装置を第１属性提供装置２０であると予測することができ、かつ、その属性提供装置が返してきた値が実属性数値であると予測することができてしまう。そこで、このような問題に対処するために、当該関数としてハッシュ関数のような一方向関数を利用することで不可逆な計算を利用した属性評価情報とすればよい。このようにすれば、評価値から属性情報の所在情報等が予測されるのを防ぐことができる。

また、上述の実施形態では、属性状態リストが各属性状態と各実属性数値との対応付けから構成される例を示したが、属性状態リストは、属性状態から実属性数値を得るための関数から構成されるようにしてもよい。例えば、属性情報「年齢＝１８」の属性状態リストが、（「年齢」×「２」）のように生成されてもよい。この場合、実属性数値は「３６」を示す。

また、上述の処理装置１０で生成される属性評価情報を利用した属性情報の評価は、上述の第２実施形態及び第３実施形態のようなサービス以外にも適用可能である。例えば、或る情報にアクセスして良いかどうかのアクセスコントロールに適用されてもよい。本実施形態は適用サービスを限定するものではない。

この出願は、２０１０年９月２２日に出願された日本出願特願２０１０−２１１５２１号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (8)

1. 属性種類及びこの属性種類に対する状態又は値を示す属性状態から構成される属性情報を取得する属性情報取得手段と、
   前記属性情報取得手段により取得された属性情報の属性状態に対応する、第１タイプの属性数値及び第２タイプの属性数値を含む少なくとも２種類の属性数値を取得する属性数値取得手段と、
   前記属性数値取得手段で取得された少なくとも２種類の属性数値から評価値を得る関数を決定し、第１タイプの属性数値の取得先を比較対象の属性情報に関する第１タイプの属性数値を提供し得る第１属性提供装置に決定し、第２タイプの属性数値の取得先を第１属性提供装置とは異なる第２属性提供装置に決定し、その関数の情報と、評価値と、第１属性提供装置を特定する情報と、第２属性提供装置を特定する情報とを含む属性評価情報を生成する生成手段と、
   前記第２タイプの属性数値の取得先となる前記第２属性提供装置に格納させるために前記第２タイプの属性数値を出力し、前記属性評価情報を前記属性情報取得手段により取得された属性情報と前記比較対象の属性情報との評価に利用させるために出力する出力手段と、
   を備えることを特徴とする属性情報処理装置。
2. 前記属性情報取得手段により取得された属性情報の属性種類に対して取られ得る全属性状態を特定し、この特定された各属性状態に対応する各第１タイプの属性数値をそれぞれ決定し、特定された各属性状態と決定された各属性数値とが対応付けられた属性状態リストを生成するリスト生成手段を更に備え、
   前記出力手段は、前記リスト生成手段により生成された属性状態リストを前記第１タイプの属性数値の取得先となる前記第１属性提供装置へ格納させるために出力することを特徴とする請求項１に記載の属性情報処理装置。
3. 前記出力手段により出力された第２タイプの属性数値及び前記出力手段により出力された属性状態リストに含まれる第１タイプの属性数値を属性種類に応じたタイミングで変更する変更手段を更に備えることを特徴とする請求項２に記載の属性情報処理装置。
4. 前記属性情報取得手段により取得された属性情報の属性種類のデータを元の属性種類を認識不能な偽装種類データに変換し、元の属性種類と変換された偽装種類データとが対応付けられた種類変換情報を生成する属性種類変換手段を更に備え、
   前記出力手段は、前記属性種類変換手段により生成された種類変換情報を前記第１タイプの属性数値の取得先となる前記第１属性提供装置へ格納させるために出力することを特徴とする請求項１から３のいずれか１項に記載の属性情報処理装置。
5. 各属性種類についてその属性種類の属性情報を保持している各属性提供装置の情報をそれぞれ格納する装置情報保存部から、前記属性情報取得手段により取得された属性情報の属性種類に応じた属性提供装置を特定し、この特定された属性提供装置のうち前記第１タイプの属性数値の取得先として決定された第１属性提供装置とは異なる属性提供装置を第２属性提供装置として決定する装置検索手段を更に備えることを特徴とする請求項１から４のいずれか１項に記載の属性情報処理装置。
6. コンピュータが、
   属性種類及びこの属性種類に対する状態又は値を示す属性状態から構成される属性情報を取得し、
   前記取得された属性情報の属性状態に対応する、第１タイプの属性数値及び第２タイプの属性数値を含む少なくとも２種類の属性数値を取得し、
   前記取得された少なくとも２種類の属性数値から評価値を得る関数を決定し、
   第１タイプの属性数値の取得先を比較対象の属性情報に関する第１タイプの属性数値を提供し得る第１属性提供装置に決定し、
   第２タイプの属性数値の取得先を第１属性提供装置とは異なる第２属性提供装置に決定し、
   前記関数の情報と、評価値と、第１属性提供装置を特定する情報と、第２属性提供装置を特定する情報とを含む属性評価情報を生成し、
   前記第２タイプの属性数値の取得先となる前記第２属性提供装置に格納させるために前記第２タイプの属性数値を出力し、
   前記属性評価情報を前記取得された属性情報と前記比較対象の属性情報との評価に利用させるために出力する、
   ことを含む属性情報処理方法。
7. 属性種類及びこの属性種類に対する状態又は値を示す属性状態から構成される属性情報を処理する属性情報処理装置、比較対象の属性情報を保持する第１属性提供装置、第２属性提供装置及び評価装置を含む属性情報評価システムにおいて、
   前記属性情報処理装置は、
   前記属性情報を取得する属性情報取得手段と、
   前記属性情報取得手段により取得された属性情報の属性状態に対応する、第１タイプの属性数値及び第２タイプの属性数値を含む少なくとも２種類の属性数値を取得する属性数値取得手段と、
   前記属性数値取得手段で取得された少なくとも２種類の属性数値から評価値を得る関数を決定し、その関数の情報と、評価値と、第１タイプの属性数値の取得先としての前記第１属性提供装置を特定する情報と、第２タイプの属性数値の取得先としての第２属性提供装置を特定する情報とを含む属性評価情報を生成する生成手段と、
   前記属性数値取得手段により取得された第２タイプの属性数値及び前記生成手段により生成された属性評価情報を出力する出力手段と、
   を備え、
   前記第１属性提供装置は、
   前記評価装置からの要求に応じて、前記比較対象の属性情報の属性状態に対応する第１タイプの属性数値を前記評価装置に送信する送信手段、
   を備え、
   前記第２属性提供装置は、
   前記属性情報処理装置の出力手段により出力された第２タイプの属性数値を第２タイプ属性値保存部に保存する保存手段と、
   前記評価装置からの要求に応じて、前記第２タイプ属性値保存部に保存される第２タイプの属性数値を前記評価装置に送信する送信手段と、
   を備え、
   前記評価装置は、
   前記属性情報処理装置の出力手段により出力された属性評価情報に含まれる第１タイプの属性数値及び第２タイプの属性数値の各取得先情報に基づいて前記第１属性提供装置及び前記第２属性提供装置から第１タイプの属性数値及び第２タイプの属性数値を取得し、この取得された各属性数値をその属性評価情報に含まれる関数に適用することにより新たな評価値を算出し、この新たな評価値とその属性評価情報に含まれる評価値との比較により前記属性情報処理装置の属性情報取得手段で取得された属性情報と前記比較対象の属性情報とを評価する評価手段、
   を備えることを特徴とする属性情報評価システム。
8. 属性種類及びこの属性種類に対する状態又は値を示す属性状態から構成される属性情報を取得する属性情報取得手段と、
   前記属性情報取得手段により取得された属性情報の属性状態に対応する、第１タイプの属性数値及び第２タイプの属性数値を含む少なくとも２種類の属性数値を取得する属性数値取得手段と、
   前記属性数値取得手段で取得された少なくとも２種類の属性数値から評価値を得る関数を決定し、第１タイプの属性数値の取得先を比較対象の属性情報に関する第１タイプの属性数値を提供し得る第１属性提供装置に決定し、第２タイプの属性数値の取得先を第１属性提供装置とは異なる第２属性提供装置に決定し、その関数の情報と、評価値と、第１属性提供装置を特定する情報と、第２属性提供装置を特定する情報とを含む属性評価情報を生成する生成手段と、
   前記第２タイプの属性数値の取得先となる前記第２属性提供装置に格納させるために前記第２タイプの属性数値を出力し、前記属性評価情報を前記属性情報取得手段により取得された属性情報と前記比較対象の属性情報との評価に利用させるために出力する出力手段と、
   をコンピュータに実現させるプログラム。

Images