JP5939580B2 - 匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム - Google Patents

匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム Download PDF

Info

Publication number
JP5939580B2
JP5939580B2 JP2013066377A JP2013066377A JP5939580B2 JP 5939580 B2 JP5939580 B2 JP 5939580B2 JP 2013066377 A JP2013066377 A JP 2013066377A JP 2013066377 A JP2013066377 A JP 2013066377A JP 5939580 B2 JP5939580 B2 JP 5939580B2
Authority
JP
Japan
Prior art keywords
data
service providing
name identification
token
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2013066377A
Other languages
English (en)
Other versions
JP2014192707A (ja
Inventor
政美 多田
政美 多田
一人 秋山
一人 秋山
信宏 浅井
信宏 浅井
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Priority to JP2013066377A priority Critical patent/JP5939580B2/ja
Priority to US14/227,254 priority patent/US9497170B2/en
Publication of JP2014192707A publication Critical patent/JP2014192707A/ja
Application granted granted Critical
Publication of JP5939580B2 publication Critical patent/JP5939580B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0421—Anonymous communication, i.e. the party's identifiers are hidden from the other party or parties, e.g. using an anonymizer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party

Description

本発明は、匿名化データを名寄せするための技法に関する。詳細には、本発明は、例えばクラウド・サービス上において、匿名性を保ちつつ匿名化データを名寄せする技法に関する。
近年、クラウド・サービスの発展により、種々のデータ、例えば個人又は特定の機器からの情報を当該クラウド・サービスから収集し、当該収集した情報を用いて様々なサービスを提供することが行われている。また、クラウド・サービスから収集した種々のデータを統合（マッシュアップ）し、当該統合したデータを用いて様々なサービスを提供することが行われている。例えば、下記非特許文献１は、さまざまなデータを取得し、潜在的なビッグデータを活用し、企業のビジネスに役立てるためのＩＴの仕組みを記載する。
個人情報の保護に関する法律（略称、個人情報保護法）が２００５年４月１日より施行されている。個人情報保護法は、個人情報の取り扱いに関連する日本の法律である。個人情報保護法で定義される個人情報とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができる情報をいい、これには、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる情報（例えば、学生名簿等と照合することで個人を特定できるような学籍番号等）も含まれる。
個人情報保護法を遵守した上で個人情報を利用するためには、個人情報の取得時に本人に対して利用目的の通知又は承認が必要であり、また第三者へ個人情報を提供するためには、本人の同意が必要である。
下記特許文献１は情報仲介システムに係る発明であり（段落０００１）、仲介サーバは、情報提供者端末から定期的に情報を収集し、利用者端末から要求があったとき、仲介サーバは、公開が許されていない情報提供者の属性の各項目と情報提供者の情報の各項目の組合せを名寄せできなくなるようにダミー情報に置き換えて、利用者端末に対して公開することを記載する（要約）。また、特許文献１は、仲介サーバ１０５に接続された車両情報管理サーバ１０７（段落００３０〜段落００３１）が備えている車両情報管理部２３２における車両情報２３５の加工方法を記載する（段落００６５）。すなわち、特許文献１は、名寄せキーの値（車両番号）をダミー情報に書き換えることで、会員情報２２２と車両情報２３５の名寄せを不可能にし、当該車両番号をダミー車両情報に書き換えるルールは、ランダムな変数を用いて変換してもよいし、時刻情報を用いて変換してもよいし、内部的な通し番号を用いて変換してもよいし、データ項目を用いて変換してもよいこと、及び、ダミー情報に書き換えるルールを、日付毎、曜日毎、又は一定時間毎に変更してもよいことを記載する（段落００６５）。
下記特許文献２は通信ネットワーク上のネットワークサーバを介してＰＣ端末のデータを携帯端末で共有する情報システムに係る発明であり、ソルト及びパスワードを用いてセッションキーを暗号化することを記載する（請求項１、段落０００８及び段落００１４）。
下記特許文献３は個人情報管理システムに係る発明であり、個人情報に含まれる当該個人を特定可能な部分と、ユーザ固有の鍵情報との鍵付きハッシュ値を生成することを記載する（請求項１、段落００２６〜００３１）。
下記特許文献４は、匿名化する単語の辞書を用意する必要が無く、かつ、単語及びその単語を含む周辺表記の組合せが稀な場合でも適切に匿名化可能な技術を提供することを記載する（段落００１２）。
下記特許文献５は、名寄せ制御方法に係る発明であり（請求項１）、個人ＩＤをキーとするハッシュ関数により生成された匿名ＩＤを用いることを記載する。
下記特許文献６は、配信仲介サービス装置の介在によりコンセプトメールを多数のターゲットに配信する方法及び配信仲介サービス装置を記載する（特許請求の範囲）。
下記特許文献７は、個人情報閲覧更新システム及び個人情報閲覧更新方法を記載する（特許請求の範囲）。
下記特許文献８は、複数の利用者からなるグループでデータを共有するデータ共有装置を記載する（段落０００１）。
下記非特許文献２は、個人情報の匿名化ソフトウェアを記載する。
下記非特許文献３は、個人情報の匿名化を記載する。
特開２００７−２６４７３０号公報 特開２００７−１４２５０４号公報 特開２０１０−２３７８１１号公報 特開２００９−０２０６４６号公報 特開２００５−３０１９７８号公報 特開２００２−１７５４３２号公報 特開２００６−２８５４９０号公報 特開２００７−１８１０１１号公報
浅井信宏ら、「Ｃｏｎｎｅｃｔｅｄ Ｗｏｒｌｄの実現に向けて −オンデマンドでのデータ変換により世界中のデータを利用可能にする−」、ProVISION、No.74、２０１２夏、インターネット〈URL：http://www-06.ibm.com/ibm/jp/provision/no74/pdf/74_article2.pdf〉より入手可能 山本啓二ら、「医用画像の個人情報匿名化ソフトウェアの開発」、ＭＳＳ技報、Ｖｏｌ．１９、２４〜２９頁"、２００８年３月、インターネット〈URL：www.mss.co.jp/technology/report/pdf/19-04.pdf〉より入手可能 本多克宏、「個人情報の匿名化と安心・安全な高精度推薦システム」、［online］、［平成２５年３月９日検索］、インターネット〈URL：http://jstshingi.jp/abst/p/12/1230/osaka2-10.pdf〉 「Smarter Planet」、［online］、［平成２５年３月１１日検索］、インターネット〈URL：http://www-06.ibm.com/innovation/jp/smarterplanet/〉
個人又は特定の機器が種々のデータをサービス提供システムに提供する場合には、当該個人又は当該特定の機器の管理者と当該サービス提供システムの管理者との間で個人情報の保護に関する契約をする。従って、当該個人又は当該特定の機器は上記契約をしたサービス提供システムのみに個人情報を含むデータを提供する。しかしながら、サービス提供システムは、当該データが個人情報を有するために、当該データを名寄せする名寄せシステムにそのまま提供することができない。そこで、当該名寄せシステムが、上記データ中の個人情報を知ることができないようにし、且つ、上記サービス提供システムから収集したデータについて名寄せすることができるようにしたいというニーズがある。
従って、本願発明は、上記名寄せシステムが、上記個人情報を得ることなしに（すなわち、匿名化されたまま）複数のサービス提供システムそれぞれから匿名化データを取得し、当該取得した匿名化データについて名寄せすることを可能にする技法を提供することを目的とする。
また、本願発明は、名寄せシステムからの要求に応じて、名寄せを実行する技法を提供することを目的とする。
また、本願発明は、ユーザが名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用したい場合にのみ、名寄せを実行する技法を提供することを目的とする。
また、本願発明は、データを提供したデータ提供者に対して利益を供与し乃至は還元することを可能にし、且つ、名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用したユーザに対して課金することを可能にする技法を提供することを目的とする。
本発明は、複数のサービス提供システムから送信された匿名化データを名寄せシステムにおいて名寄せする技法を提供する。当該技法は、複数のサービス提供システムから送信された匿名化データを名寄せシステムにおいて名寄せする方法及びそのコンピュータ・プログラム、並びに、複数のサービス提供システムそれぞれから送信された匿名化データを名寄せする名寄せシステム、並びに、上記名寄せシステムと当該名寄せシステムに匿名化データを提供する複数のサービス提供システムと任意的に上記名寄せされるデータを利用するユーザに関連付けられたユーザ・システムとを備えている名寄せのためのコンピュータ・システムを包含しうる。
本発明に従う上記方法は、上記名寄せシステムが、
データの送信を要求する送信要求と当該送信要求毎に異なる値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記データを管理するための識別番号と上記値とに基づいて生成されたハッシュ値と、上記識別番号によって特定される匿名化データとのセットを上記複数のサービス提供システムそれぞれから受信するステップであって、上記ハッシュ値は、上記複数のサービス提供システムそれぞれにおいて同一のハッシュ化アルゴリズムを使用してハッシュ化されたものである、上記受信するステップと、
上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、上記ハッシュ値によって特定される匿名化データが、上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されていてもよい。また、本発明の１つの実施態様において、上記ハッシュ値によって特定される匿名化データが上記公開鍵を使用して暗号化されている場合には、当該暗号化された匿名化データは、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵を使用して復号されうる。
本発明に従う上記方法は、上記名寄せシステムが、
データの送信を要求する第１の送信要求と当該第１の送信要求にのみ有効な第１の値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記データを管理するための識別番号と上記第１の値とに基づいて生成された第１のハッシュ値と、上記識別番号によって特定される匿名化データとのセットを上記複数のサービス提供システムそれぞれから受信するステップであって、前上記複数のサービス提供システムそれぞれは同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記受信するステップと、
上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第１のハッシュ値によって特定される匿名化データを名寄せするステップと、
データの送信を要求する第２の送信要求と当該第２の送信要求にのみ有効な第２の値とを上記複数のサービス提供システムそれぞれに送信するステップであって、上記第２の値は上記第１の値と異なる、上記送信するステップと、
上記データを管理するための識別番号と上記第２の値とに基づいて生成された第２のハッシュ値と、上記識別番号によって特定される匿名化データとのセットを上記複数のサービス提供システムそれぞれから受信するステップと、
上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第２のハッシュ値によって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、上記第１のハッシュ値又は上記第２のハッシュ値によって特定される匿名化データが、上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されていてもよい。また、本発明の１つの実施態様において、上記第１のハッシュ値又は上記第２のハッシュ値によって特定される匿名化データが上記公開鍵を使用して暗号化されている場合には、当該暗号化された匿名化データは、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵を使用して復号されうる。
また、本発明に従う上記方法は、
上記名寄せシステムが、データの送信を要求する送信要求と当該送信要求毎に異なる値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記複数のサービス提供システムそれぞれが、上記データを管理するための識別番号と上記値とに基づいてハッシュ値を生成するステップであって、上記複数のサービス提供システムそれぞれは同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記生成するステップと、
上記複数のサービス提供システムそれぞれが、上記ハッシュ値と上記識別番号によって特定される匿名化データとのセットを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、上記ハッシュ値によって特定される匿名化データが、上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されていてもよい。また、本発明の１つの実施態様において、上記ハッシュ値によって特定される匿名化データが上記公開鍵を使用して暗号化されている場合には、当該暗号化されたデータは、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵を使用して復号されうる。
また、本発明に従う上記方法は、
上記名寄せシステムが、データの送信を要求する第１の送信要求と当該第１の送信要求にのみ有効な第１の値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記複数のサービス提供システムそれぞれが、上記データを管理するための識別番号と上記第１の値とに基づいて第１のハッシュ値を生成するステップであって、上記複数のサービス提供システムそれぞれは同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記生成するステップと、
上記複数のサービス提供システムそれぞれが、上記第１のハッシュ値と上記識別番号によって特定される匿名化データとのセットを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第１のハッシュ値によって特定される匿名化データを名寄せするステップと、
上記名寄せシステムが、データの送信を要求する第２の送信要求と当該第２の送信要求にのみ有効な第２の値とを上記複数のサービス提供システムそれぞれに送信するステップであって、上記第２の値は上記第１の値と異なる、上記送信するステップと、
上記複数のサービス提供システムそれぞれが、上記データを管理するための識別番号と上記第２の値とに基づいて第２のハッシュ値を生成するステップと、
上記複数のサービス提供システムそれぞれが、上記第２のハッシュ値と上記識別番号によって特定される匿名化データとのセットを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第２のハッシュ値によって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、上記第１のハッシュ値又は上記第２のハッシュ値によって特定される匿名化データが、上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されていてもよい。また、本発明の１つの実施態様において、上記第１のハッシュ値又は上記第２のハッシュ値によって特定される匿名化データが上記公開鍵を使用して暗号化されている場合には、当該暗号化された匿名化データは、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵を使用して復号されうる。
また、本発明に従う上記方法は、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求と当該許可要求毎に異なる値とを上記ユーザ許可要求を処理できるシステムに送信するステップと、
上記ユーザが上記名寄せを許可することに応じて、上記ユーザ許可要求を受信したシステムが、上記ユーザに関連付けられた識別番号及び上記値を少なくとも有するトークンを作成するステップと、
上記ユーザ許可要求を受信したシステムが、上記トークンを暗号化するステップと、
上記ユーザ許可要求を受信したシステムが、上記暗号化されたトークンを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象の匿名化データを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断するステップと、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せするステップと
を実行することを含む。
また、本発明に従う上記方法は、
匿名化データを名寄せした名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、上記複数のサービス提供システムのうちの１つのサービス提供システムに、当該ユーザの匿名化された識別番号を問い合わせるステップと、
上記複数のサービス提供システムのうちの上記１つのサービス提供システムが、データの送信を要求する第１の送信要求と上記問い合わせた識別番号とを名寄せシステムに送信するステップと、
上記名寄せシステムが、上記第１の送信要求と、当該第１の送信要求にのみ有効な第１の値と、上記識別番号とを上記複数のサービス提供システムの少なくとも１つに送信するステップと、
上記第１の送信要求と当該第１の送信要求にのみ有効な上記第１の値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記識別番号と上記第１の値とに基づいてトークンを作成するステップと、
上記第１の送信要求と当該第１の送信要求にのみ有効な上記第１の値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記トークンを暗号化するステップと、
上記第１の送信要求と当該第１の送信要求にのみ有効な上記第１の値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記暗号化されたトークンを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象のデータを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断するステップと、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せするステップと
を実行することを含む。
また、本発明に従う上記方法は、
上記匿名化データを名寄せした名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、上記匿名化データを管理するための識別番号と上記匿名化データの送信を要求する第１の送信要求にのみ有効な第１の値とを有するトークンを作成するステップと、
上記ユーザ・システムが、上記トークンを暗号化するステップと、
上記ユーザ・システムが、上記第１の送信要求と上記暗号化されたトークンとを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象の匿名化データを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断するステップと、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、
上記トークンを暗号化するステップが、
上記ユーザ・システムが、上記複数のサービス提供システムそれぞれの各公開鍵を使用して、上記トークンを暗号化し、当該暗号化されたトークンのセットを生成するステップ
を含み、
上記暗号化されたトークンを上記名寄せシステムに送信するステップが、
上記暗号化されたトークンの上記セットを上記名寄せシステムに送信するステップ
を含み、
上記暗号化されたトークンを復号するステップが、
上記暗号化されたトークンを受信したサービス提供システムが、上記暗号化されたトークンを、当該サービス提供システムの秘密鍵を使用して復号するステップ
を含む。
また、本発明に従う上記方法は、
上記匿名化データを名寄せした名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、上記データの送信を要求する送信要求毎に異なる値を送信することを要求する送信要求を上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記値の送信要求を受信することに応じて、上記値を作成し、当該作成した値を上記ユーザ・システムに送信するステップと、
上記ユーザ・システムが、上記値を受信することに応じて、上記匿名化データに関連付けられた識別番号と上記値とに基づいて第１のハッシュ値を生成し、当該生成した第１のハッシュ値を上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記第１のハッシュ値を受信することに応じて、当該第１のハッシュ値と上記値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記第１のハッシュ値と上記値とを受信したサービス提供システムそれぞれが、上記匿名化データに関連付けられた識別番号と上記受信した値とに基づいて第２のハッシュ値を生成するステップであって、上記複数のサービス提供システムそれぞれは上記ユーザ・システムと同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記生成するステップと、
上記第１のハッシュ値と上記値とを受信したサービス提供システムそれぞれが、上記第１のハッシュ値と上記第２のハッシュ値とを比較して、当該第１のハッシュ値と当該第２のハッシュ値とが一致することに応じて、上記第２のハッシュ値を生成する際に用いた上記識別番号を有する匿名化データを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第１のハッシュ値によって特定される匿名化データを名寄せするステップと、
上記名寄せシステムが、上記名寄せされたデータ又は上記集計データを上記ユーザ・システムに送信するステップと
を実行することを含む。本発明の１つの実施態様において、上記サービス提供システムそれぞれが上記第２のハッシュ値を生成する際に用いた上記識別番号を有する匿名化データを上記名寄せシステムに送信するステップが、上記名寄せシステムに送信する匿名化データを上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化し、当該暗号化された匿名化データを上記名寄せシステムに送信するステップを含みうる。また、本発明の１つの実施態様において、上記名寄せシステムが上記第１のハッシュ値によって特定される匿名化データを名寄せするステップが、上記第１のハッシュ値によって特定される上記暗号化された匿名化データを名寄せするステップを含みうる。また、本発明の１つの実施態様において、上記名寄せシステムが、上記名寄せされたデータ又は上記集計データを上記ユーザ・システムに送信するステップが、上記名寄せした暗号化されたデータを上記ユーザ・システムに送信するステップを含みうる。また、本発明の１つの実施態様において、上記ユーザ・システムが、上記名寄せした暗号化されたデータを、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵で復号するステップをさらに実行しうる。
また、本発明に従う上記名寄せシステムは、
データの送信を要求する送信要求と当該送信要求毎に異なる値とを上記複数のサービス提供システムそれぞれに送信する送信手段と、
上記データを管理するための識別番号と上記値とに基づいて生成されたハッシュ値と、上記識別番号によって特定される匿名化データとのセットを上記複数のサービス提供システムそれぞれから受信する受信手段であって、上記ハッシュ値は、上記複数のサービス提供システムそれぞれにおいて同一のハッシュ化アルゴリズムを使用してハッシュ化されたものである、上記受信手段と、
上記数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せする名寄せ手段と
を備えている。
また、本発明に従う上記コンピュータ・システムにおいて、
上記名寄せシステムが、データの送信を要求する送信要求と当該送信要求毎に異なる値とを上記複数のサービス提供システムそれぞれに送信する送信手段を備えており、
上記複数のサービス提供システムそれぞれが、上記データを管理するための識別番号と上記値とに基づいてハッシュ値を生成するハッシュ化手段であって、上記複数のサービス提供システムそれぞれは同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記ハッシュ化手段を備えており、
上記複数のサービス提供システムそれぞれが、上記ハッシュ値と上記識別番号によって特定される匿名化データとのセットを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せする名寄せ手段を備えている。
また、本発明に従う上記コンピュータ・システムにおいて、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求と当該許可要求毎に異なる値とを上記ユーザ許可要求を処理できるシステムに送信する送信手段を備えており、
上記ユーザ許可要求を受信したシステムが、上記ユーザが上記名寄せを許可することに応じて、上記ユーザに関連付けられた識別番号及び上記値を少なくとも有するトークンを作成するトークン作成手段を備えており、
上記ユーザ許可要求を受信したシステムが、上記トークンを暗号化する暗号化手段を備えており、
上記ユーザ許可要求を受信したシステムが、上記暗号化されたトークンを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象の匿名化データを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信する送信手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号する復号手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断する判断手段を備えており、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せする名寄せ手段を備えている。
また、本発明に従う上記コンピュータ・システムにおいて、
上記ユーザ・システムが、上記複数のサービス提供システムのうちの１つのサービス提供システムに、当該ユーザの匿名化された識別番号を問い合わせする問い合わせ手段を備えており、
上記複数のサービス提供システムのうちの上記１つのサービス提供システムが、データの送信を要求する送信要求と上記問い合わせた識別番号とを名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記送信要求と、当該送信要求毎に異なる値と、上記識別番号とを上記複数のサービス提供システムの少なくとも１つに送信する送信手段を備えており、
上記送信要求と当該送信要求毎に異なる値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記識別番号と上記値とに基づいてトークンを作成するトークン作成手段を備えており、
上記送信要求と当該送信要求にのみ有効な上記値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記トークンを暗号化する暗号化手段を備えており、
上記送信要求と当該送信要求にのみ有効な上記値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記暗号化されたトークンを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象のデータを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信する送信手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号する復号手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断する判断手段を備えており、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せする名寄せ手段を備えている。
また、本発明に従う上記コンピュータ・システムにおいて、
上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、上記匿名化データを管理するための識別番号と上記匿名化データの送信を要求する送信要求毎に異なる値とを有するトークンを作成するトークン作成手段を備えており、
上記ユーザ・システムが、上記トークンを暗号化する暗号化手段を備えており、
上記ユーザ・システムが、上記送信要求と上記暗号化されたトークンとを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象の匿名化データを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信する送信手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号する復号手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断する判断手段を備えており、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せする名寄せ手段を備えている。
また、本発明に従う上記コンピュータ・システムにおいて、
上記ユーザ・システムが、上記データの送信を要求する送信要求毎に異なる値を送信することを要求する送信要求を上記名寄せシステムに送信する送信手段と、
上記名寄せシステムが、上記値の送信要求を受信することに応じて、上記値を作成し、当該作成した値を上記ユーザ・システムに送信する送信手段と、
上記ユーザ・システムが、上記値を受信することに応じて、上記匿名化データに関連付けられた識別番号と上記値とに基づいて第１のハッシュ値を生成するハッシュ化手段と、当該生成した第１のハッシュ値を上記名寄せシステムに送信する送信手段とを備えており、
上記名寄せシステムが、上記第１のハッシュ値を受信することに応じて、当該第１のハッシュ値と上記値とを上記複数のサービス提供システムそれぞれに送信する送信手段を備えており、
上記第１のハッシュ値と上記値とを受信したサービス提供システムそれぞれが、上記匿名化データに関連付けられた識別番号と上記受信した値とに基づいて第２のハッシュ値を生成するハッシュ化手段であって、上記複数のサービス提供システムそれぞれは上記ユーザ・システムと同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記ハッシュ化手段を備えており、
上記第１のハッシュ値と上記値とを受信したサービス提供システムそれぞれが、上記第１のハッシュ値と上記第２のハッシュ値とを比較する比較手段と、当該第１のハッシュ値と当該第２のハッシュ値とが一致することを判断する判断手段と、上記第２のハッシュ値を生成する際に用いた上記識別番号を有する匿名化データを上記名寄せシステムに送信する送信手段とを備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第１のハッシュ値によって特定される匿名化データを名寄せする名寄せ手段を備えており、
上記名寄せシステムが、上記名寄せされたデータ又は上記集計データを上記ユーザ・システムに送信する送信手段を備えている、
上記コンピュータ・システム。
また、本発に従うコンピュータ・プログラム及びコンピュータ・プログラム製品は、上記名寄せシステムに、本発明に従う方法の各ステップを実行させる。
本発明の実施態様に従うコンピュータ・プログラムはそれぞれ、一つ又は複数のフレキシブル・ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＤＶＤ、ＢＤ、ハードディスク装置、ＵＳＢに接続可能なメモリ媒体、ＲＯＭ、ＭＲＡＭ、ＲＡＭ等の任意のコンピュータ読み取り可能な記録媒体に格納することができる。当該コンピュータ・プログラムは、記録媒体への格納のために、通信回線で接続する他のデータ処理システム、例えばサーバ・コンピュータからダウンロードしたり、又は他の記録媒体から複製したりすることができる。また、本発明の実施態様に従うコンピュータ・プログラムは、圧縮し、又は複数に分割して、単一又は複数の記録媒体に格納することもできる。また、様々な形態で、本発明の実施態様に従うコンピュータ・プログラム製品を提供することも勿論可能であることにも留意されたい。本発明の実施態様に従うコンピュータ・プログラム製品は、例えば、上記コンピュータ・プログラムを記録した記憶媒体、又は、上記コンピュータ・プログラムを伝送する伝送媒体を包含しうる。
本発明の上記概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの構成要素のコンビネーション又はサブコンビネーションもまた、本発明となりうることに留意すべきである。
本発明の実施態様において使用されるコンピュータの各ハードウェア構成要素を、複数のマシンと組み合わせ、それらに機能を配分し実施する等の種々の変更は当業者によって容易に想定され得ることは勿論である。それらの変更は、当然に本発明の思想に包含される概念である。ただし、これらの構成要素は例示であり、そのすべての構成要素が本発明の必須構成要素となるわけではない。
また、本発明は、ハードウェア、ソフトウェア、又は、ハードウェア及びソフトウェアの組み合わせとして実現可能である。ハードウェアとソフトウェアとの組み合わせによる実行において、上記コンピュータ・プログラムのインストールされたコンピュータにおける実行が典型的な例として挙げられる。かかる場合、当該コンピュータ・プログラムが当該コンピュータのメモリにロードされて実行されることにより、当該コンピュータ・プログラムは、当該コンピュータを制御し、本発明にかかる処理を実行させる。当該コンピュータ・プログラムは、任意の言語、コード、又は、表記によって表現可能な命令群から構成されうる。そのような命令群は、当該コンピュータが特定の機能を直接的に、又は、１．他の言語、コード若しくは表記への変換及び、２．他の媒体への複製、のいずれか一方若しくは双方が行われた後に、実行することを可能にするものである。
本発明の実施態様に従うと、データ提供エンティティ、例えば情報を提供するユーザ若しくは当該ユーザに関連付けられた機器は、当該ユーザが契約した１又は複数のサービス提供システムにのみデータを提供すればよく、名寄せシステム及び当該名寄せシステムによって名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザには匿名化データのみしか渡されない。従って、データの匿名性が保たれる。
本発明の実施態様に従うと、名寄せシステムは、上記個人情報を得ることなしに、複数のサービス提供システムから匿名化データを取得し、当該取得されたデータを名寄せすることが可能になる。
本発明の実施態様に従うと、データの送信を要求する送信要求毎に又は複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求毎に異なる値を使用するので、上記個人情報の特定のリスクを低減することが可能になる。
本発明の実施態様において使用されうるデータ提供エンティティ、サービス提供システム、名寄せシステム、及びユーザ・システムのそれぞれを実現するためのハードウェア構成を有するコンピュータの一例を示した図である。 本発明の実施態様において使用されうる、名寄せのためのコンピュータ・システムの一例を示した図である。 本発明の実施態様において使用されうる、名寄せのためのコンピュータ・システムの一例を示した図である。 本発明の実施態様である名寄せの一例を示した図である。 図３Ａに示す名寄せを実装するための処理をフローチャートにて示した図である。 図３Ａに示す名寄せを実装するための処理をフローチャートにて示した図である。 本発明の実施態様である名寄せの一例を示した図である。 本発明の実施態様である名寄せの一例を示した図である。 図４Ａ及び図４Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。 図４Ａ及び図４Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。 本発明の実施態様である名寄せの一例を示した図である。 本発明の実施態様である名寄せの一例を示した図である。 図５Ａ及び図５Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。 図５Ａ及び図５Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。 本発明の実施態様である名寄せの一例を示した図である。 図６Ａに示す名寄せを実装するための処理をフローチャートにて示した図である。 図６Ａに示す名寄せを実装するための処理をフローチャートにて示した図である。 本発明の実施態様である名寄せの一例を示した図である。 本発明の実施態様である名寄せの一例を示した図である。 図７Ａ及び図７Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。 図７Ａ及び図７Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。 本発明の実施態様に従い、データ提供エンティティに関連付けられたユーザが識別番号（例えば、ＵＵＩＤ）を取得して、データ提供エンティティが当該識別番号で特定される匿名化データを各サービス提供システムに送信することを可能にする処理のためのフローチャートを示す。 本発明の実施態様に従い、各サービス提供システムと名寄せシステムとの間でデータ収集契約を締結し、データ提供モードを決定する処理のためのフローチャートを示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。 図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従う名寄せシステムの機能ブロック図の一例を示した図である。 図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うサービス提供システムの機能ブロック図の一例を示した図である。 図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うユーザ・システムの機能ブロック図の一例を示した図である。 図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うデータ提供エンティティの機能ブロック図の一例を示した図である。 本発明の実施態様に従い、名寄せされたデータを取得する処理の実例を示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理の実例を示す。 本発明の実施態様に従い、名寄せされたデータを取得する処理の実例を示す。
本発明の実施形態を、以下に図面に従って説明する。以下の図を通して、特に断らない限り、同一の符号は同一の対象を指す。本発明の実施形態は、本発明の好適な態様を説明するためのものであり、本発明の範囲をここで示すものに限定する意図はないことを理解されたい。
本発明の実施態様に従う上記コンピュータ・システムは、１又は複数のデータ提供エンティティと、複数のサービス提供システムと、名寄せシステムと、ユーザ・システムとを備えている。
本発明の実施態様に従うデータ提供エンティティは、サービス提供システムにデータを提供するユーザ、又は当該ユーザに関連付けられた機器でありうる。ユーザは、テータを例えば、可搬可能な記録媒体、例えばＵＳＢメモリ、ＳＤカード、ＣＤ、ＤＶＤ若しくはＤＶＤを介してサービス提供システムに直接的に提供しうる。当該ユーザに関連付けられた機器は、データを例えば、無線又は有線ネットワークを介してサービス提供システムに提供しうる。当該ユーザに関連付けられた機器は、例えば、コンピュータ（例えば、デスクトップ・コンピュータ若しくはノートコンピュータ）、コンピュータの周辺機器（例えば、プリンタ、スキャナ、複合装置）、タブレット端末（例えば、アンドロイド端末、Ｗｉｎｄｏｗｓ（登録商標）タブレット、若しくはｉＯＳ（登録商標）端末）、スマートフォン、携帯電話、パーソナル・ディジタル・アシスタント（ＰＤＡ）、医療機器端末、ゲーム端末、ビデオカメラ、デジタルカメラ、キヨスク端末、ポータブル・ナビゲーション・システム、カー・ナビゲーション・システム、ドライブ・レコーダー、フライト・レコーダー、販売時点情報管理システム（ＰＯＳ）、無線ネットワーク端末、コピー機端末若しくは複合器端末、防犯設備、車載電子制御ユニット、ＥＴＣ車載器、家電（例えば、テレビ、レコーダー、ステレオ、冷蔵庫、エアコン、健康器具、冷暖房設備、照明設備、風呂設備、洗濯設備、給湯設備、調理設備）、又は、家庭内エネルギー管理システム（Home Energy Management System，ＨＥＭＳ）、ビル内エネルギー管理システム（Building Energy Management System，ＢＥＭＳ）、工場内エネルギー管理システム（Factory Energy Management System，FEMS）若しくは地域内エネルギー管理システム（Cluster/Community Energy Management System，ＣＥＭＳ）でありうる。
本発明の実施態様に従うサービス提供システムは、１又は複数のデータ提供エンティティからデータを収集し、当該収集したデータを格納する。また、当該サービス提供システムは、当該収集したデータを匿名化し、当該匿名化されたデータ（以下、「匿名化データ」という）を名寄せシステムに提供しうる。当該サービス・システムは、例えばコンピュータ、特にはサーバ・コンピュータでありうる。
本発明の実施態様に従う名寄せシステムは、複数のサービス提供システムから匿名化データを収集し、当該収集した匿名化データを名寄せし、名寄せされたデータ（以下、「名寄せデータ」ともいう）を得る。また、当該名寄せシステムは、上記名寄せデータを集計し、当該集計したデータ（以下、「集計データ」ともいう）をユーザ・システムに提供しうる。当該名寄せシステムは、例えばコンピュータ、特にはサーバ・コンピュータでありうる。
本発明の実施態様に従うユーザ・システムは、上記名寄せデータ又は上記集計データを名寄せシステムから受け取る。当該ユーザ・システムは、例えば、コンピュータ、スマートフォン、携帯電話、パーソナル・ディジタル・アシスタント（ＰＤＡ）でありうる。
データ提供エンティティとサービス提供システムとは、クライアント−サーバ関係にありうる。また、サービス提供システムと名寄せシステムとは、クライアント−サーバ関係にありうる。
データ提供エンティティが、サービス提供システムの機能を有する場合がありうる。また、ユーザ・システムが、データ提供エンティティ又はサービス提供システムの機能を有する場合がありうる。
匿名化（anonymize）とは、個人に関する情報、すなわち当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができる情報から個人を識別することができる情報の全部又は一部を取り除き、代わりにその人と関わりのない文字列（例えば、ニックネーム）、符号又は番号を付すこと、乃至は、資料等に付随する情報のうち、ある情報だけでは特定の人を識別できない情報であっても、各種の名簿等の他で入手できる情報と組み合わせることにより、その人を識別できる場合には、組合せに必要な情報の全部又は一部を取り除いて、その人を識別できないようにすることをいう。
上記の通り、データが前者の方法に従って匿名化された場合、個人を識別することができる情報の全部又は一部の代わりにその人と関わりのない文字列、符号又は番号が付される。従って、例えば名寄せシステムが当該匿名化データを見た場合、当該匿名化データは正常な値（その人と関わりのない符号又は番号）を有するデータである。
本発明の実施態様において、匿名化の技法として、当業者に知られている任意の技法を使用しうる。匿名化の技法は、例えば、上記非特許文献２及び３に記載されている。
図１は、本発明の実施態様において使用されうるデータ提供エンティティ、サービス提供システム、名寄せシステム、及びユーザ・システムのそれぞれを実現するためのハードウェア構成を有するコンピュータ（１０１）の一例を示した図である。
コンピュータ（１０１）は、ＣＰＵ（１０２）とメイン・メモリ（１０３）とを備えており、これらはバス（１０４）に接続されている。ＣＰＵ（１０２）は好ましくは、３２ビット又は６４ビットのアーキテクチャに基づくものである。当該ＣＰＵ（１０２）は例えば、インテル社のＣｏｒｅ ｉ（商標）シリーズ、Ｃｏｒｅ ２（商標）シリーズ、Ａｔｏｍ（商標）シリーズ、Ｘｅｏｎ（商標）シリーズ、Ｐｅｎｔｉｕｍ（登録商標）シリーズ若しくはＣｅｌｅｒｏｎ（登録商標）シリーズ、ＡＭＤ（Advanced Micro Devices）社のＡシリーズ、Ｐｈｅｎｏｍ（商標）シリーズ、Ａｔｈｌｏｎ（商標）シリーズ、Ｔｕｒｉｏｎ（商標）シリーズ若しくはＳｅｍｐｒｏｎ（商標）、又は、インターナショナル・ビジネス・マシーンズ・コーポレーション（登録商標）のＰｏｗｅｒ（登録商標）シリーズでありうる。また、当該ＣＰＵ（１０２）は、コンピュータ（１０１）がデータ提供エンティティ又はユーザ・システムである場合には、例えば、スマートフォン、携帯電話若しくはタブレット端末用のＣＰＵ、又はアップル社（登録商標）のＡシリーズでありうる。
バス（１０４）には、ディスプレイ・コントローラ（１０５）を介して、ディスプレイ（１０６）、例えば液晶ディスプレイ（ＬＣＤ）が接続されうる。また、液晶ディスプレイ（ＬＣＤ）は例えば、タッチパネル・ディスプレイ又はフローティング・タッチ・ディスプレイであてもよい。ディスプレイ（１０６）は、コンピュータ（１０１）上で動作中のソフトウェア、例えば本発明の実施態様に従うデータ提供エンティティ、サービス提供システム、名寄せシステム、及びユーザ・システム上で動作中の各プログラムが稼働することによって表示される情報、並びに本発明の実施態様に従って複数のサービス提供システムから提供される名寄せデータ又は当該名寄せデータを集計した集計データを、適当なグラフィック・インタフェースで表示するために使用されうる。
バス（１０４）には任意的に、例えばＳＡＴＡ又はＩＤＥコントローラ（１０７）を介して、ディスク（１０８）、例えばハードディスク又はソリッド・ステート・ドライブに接続されうる。
バス（１０４）には任意的に、例えばＳＡＴＡ又はＩＤＥコントローラ（１０７）を介して、ディスク（１０８）、ドライブ（１０９）、例えばＣＤ、ＤＶＤ又はＢＤドライブが接続されうる。
バス（１０４）には、周辺装置コントローラ（１１０）を介して、例えばキーボード・マウス・コントローラ又はＵＳＢバスを介して、任意的に、キーボード（１１１）及びマウス（１１２）が接続されうる。
ディスク（１０８）には、オペレーティング・システム、Ｗｉｎｄｏｗｓ（登録商標）ＯＳ、ＵＮＩＸ（登録商標）、ＭａｃＯＳ（登録商標）、及びＪ２ＥＥなどのＪａｖａ（登録商標）処理環境、Ｊａｖａ（登録商標）アプリケーション、Ｊａｖａ（登録商標）仮想マシン（ＶＭ）、Ｊａｖａ（登録商標）実行時（ＪＩＴ）コンパイラを提供するプログラム、本発明の実施態様に従うアプリケーション・プログラム、及びその他のプログラム、並びにデータが、メイン・メモリ（１０３）にロード可能なように記憶されうる。また、当該ディスク（１０８）には、コンピュータ（１０１）がデータ提供エンティティ又はユーザ・システムである場合には、例えば、スマートフォン用ＯＳ（例えば、アンドロイドＯＳ、Ｗｉｎｄｏｗｓ（登録商標）ＰｈｏｎｅＯＳ若しくはＷｉｎｄｏｗｓ（登録商標）ＯＳ、又はｉＯＳ（登録商標））が、メイン・メモリ（１０３）にロード可能なように記憶されうる。
ディスク（１０８）は、コンピュータ（１０１）内に内蔵されていてもよく、当該コンピュータ（１０１）がアクセス可能なようにケーブルを介して接続されていてもよく、又は、当該コンピュータ（１０１）がアクセス可能なように有線又は無線ネットワークを介して接続されていてもよい。
ドライブ（１０９）は、必要に応じて、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ又はＢＤからプログラム、例えばオペレーティング・システム又はアプリケーションをディスク（１０８）にインストールするために使用されうる。
通信インタフェース（１１４）は、例えばイーサネット（登録商標）・プロトコルに従う。通信インタフェース（１１４）は、通信コントローラ（１１３）を介してバス（１０４）に接続され、コンピュータ（１０１）を通信回線（１１５）に有線又は無線接続する役割を担い、コンピュータ（１０１）のオペレーティング・システムの通信機能のＴＣＰ／ＩＰ通信プロトコルに対して、ネットワーク・インタフェース層を提供する。なお、通信回線は例えば、無線ＬＡＮ接続規格に基づく無線ＬＡＮ環境、ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎなどのＷｉＦｉ無線ＬＡＮ環境、又は携帯電話網環境（例えば、３Ｇ又は４Ｇ環境）でありうる。
図２Ａは、本発明の実施態様において使用されうる、名寄せのためのコンピュータ・システム（２００）の一例を示した図である。
コンピュータ・システム（２００）は、データ提供エンティティ（２０１〜２０４）、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）、及びユーザ・システム（２３１）を備えているとする。データ提供エンティティの数は１又は複数であればよく、図２Ａに示されているデータ提供エンティティ（２０１〜２０４）の数に限定されるものではないことに留意されたい。同様に、サービス提供システムの数は複数であればよく、図２Ａに示されているサービス提供システム（２１１〜２１４）の数に限定されるものではないことに留意されたい。また、ユーザ・システム（２３１）は、例えば、データ提供エンティティ（例えば、２０１）、又は、サービス提供システムＡ〜Ｄ（２１１〜２１４）のいずれか一つと同じハードウェア上に実装されていてもよい。
データ提供エンティティ（２０１〜２０４）は、例えばＡさんによって全て所有されているものであるとする。データ提供エンティティ（２０１）はコンピュータであり、データ提供エンティティ（２０２）はコンピュータの周辺機器であり、データ提供エンティティ（２０３）は車搭載機であり、及び、データ提供エンティティ（２０４）は家庭内エネルギー管理システム（ＨＥＭＳ）であるとする。
コンピュータ（２０１）は、各種データ（例えば、導入されているアプリケーション、使用時間帯、又はコンピュータの位置）をサービス提供システムＡ（２１１）に送信可能であるとする。周辺機器（２０２）は、各種データ（例えば、印刷枚数、インクの消耗レベル、又は印刷のプロパティ）をサービス提供システムＢ（２１２）に送信可能であるとする。車搭載機（２０３）は、各種データ（例えば、環境データ（例えば、路面状況、渋滞状況）、車両データ（例えば、走行距離、速度、又はバッテリ残量）、又は運転に関するデータ（ハンドルの切り方、ブレーキのかけ方、又はアクセルの踏み方））をサービス提供システムＣ（２１３）に送信可能であるとする。ＨＥＭＳ（２０４）は、各種データ（例えば、個々の家電製品若しくは家全体の時間毎の消費電力、発電量若しくは蓄電量、又は使用電気製品のメーカー名及び型番）をサービス提供システムＤ（２１４）に送信可能であるとする。また、各データ提供エンティティ（２０１〜２０４）は、各種データの送信とともに、当該データそれぞれにユーザＡに関連付けられた識別番号を付随して送信する。
サービス提供システムＡ（２１１）は、コンピュータ（２０１）の製造会社に関連付けられたサーバであり、当該コンピュータ（２０１）から送信された上記各種データを受信可能であるとする。サービス提供システムＢ（２１２）は、周辺機器（２０２）の製造会社に関連付けられたサーバであり、当該周辺機器（２０２）から送信された上記各種データを受信可能であるとする。サービス提供システムＣ（２１３）は、車搭載機（２０３）の製造会社に関連付けられたサーバであり、当該車搭載機（２０３）から送信された上記各種データを受信可能であるとする。サービス提供システムＤ（２１４）は、ＨＥＭＳ（２０４）の製造会社に関連付けられたサーバであり、当該ＨＥＭＳ（２０４）から送信された上記各種データを受信可能であるとする。
サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、上記各種データを匿名化し、当該匿名化した各種データ（匿名化データ）を名寄せシステム（２２１）に送信可能であるとする。上記匿名化は、例えば、サービス提供システムが各種データをデータ提供エンティティから受信することに応じて、若しくは、サービス提供システムが各種データを名寄せシステムに送信する直前に、又は、サービス提供システムの処理能力がアイドルである時間を利用して行われうる。
名寄せシステム（２２１）は、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれから送信された上記匿名化された各種データを受信可能であるとする。名寄せシステム（２２１）は、上記匿名化された各種データを名寄せし、名寄せデータ又は当該名寄せデータを集計した集計データをユーザ・システム（２３１）に送信することが可能である。
ユーザ・システム（２３１）は、名寄せシステム（２２１）から送信された上記名寄せデータ又は上記集計データを受信可能である。
サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれがデータ提供エンティティ（２０１〜２０４）それぞれから送信された上記各種データを受信可能とし且つ名寄せシステム（２２１）にデータ提供することを可能にする為に、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれとデータ提供エンティティ（２０１〜２０４）それぞれとの間でデータ提供に関する契約を事前に行うことが一般的である。当該契約の内容は、例えば、上記個人情報保護法を遵守するものである。同様に、名寄せシステム（２２１）がデータ提供エンティティ（２０１〜２０４）それぞれから送信された上記匿名化された各種データを受信可能とする為に、名寄せシステム（２２１）とデータ提供エンティティ（２０１〜２０４）それぞれとの間でデータ提供に関する契約を事前に行うことが一般的である。当該契約の内容は、例えば、上記個人情報保護法を遵守するものである。
上記名寄せデータ又は上記集計データは匿名化されている為に、ユーザ・システム（２３１）は、当該名寄せデータ又は当該集計データがどの個人又はどの個人に関連付けられた機器であるかを特定することはできない。しかしながら、ユーザ・システム（２３１）は、上記名寄せデータ又は上記集計データを使用して、例えば、ある家庭における電気使用量の内訳、所有している電気製品の種類若しくは嗜好、所有している電気製品のメーカーの嗜好、又は、消耗品の発注頻度など、当該ある家庭における総合的な情報を入手することが可能になる。
第三者機関（２４９）は、ユーザ毎に固有の識別番号を割り当てる機能を有する。また、第三者機関（２４９）は、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）それぞれに、自己の証明書、すなわち公開鍵と秘密鍵のペアを含む証明書を発行することが可能である。また、第三者機関（２４９）は、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）それぞれに、他人の証明書、すなわち公開鍵を含み秘密鍵を含まない証明書を発行することが可能である。
図２Ｂは、本発明の実施態様において使用されうる、名寄せのためのコンピュータ・システム（２４０）の一例を示した図である。
コンピュータ・システム（２４０）は、データ提供エンティティ（２４１）、サービス提供システムである病院Ａ〜Ｄ（２５１〜２５４）、名寄せシステム（２６１）、及び、ユーザ・システムである病院Ｅ（２７１）、企業Ｆ（２７２）又は病院Ａ〜Ｄ（２５１〜２５４）の少なくとも１つを備えているとする。企業Ｆ（２７２）は、例えば医療データを利用する企業、例えば製薬企業、医療機器メーカー又は家電メーカーでありうる。
データ提供エンティティ（２４１）は、病院Ａ〜Ｄ（２５１〜２５４）に通院する例えばＢさんであるとする。
病院Ａ〜Ｄ（２５１〜２５４）それぞれは、例えば診療科目が異なる病院であるとする。病院Ａ〜Ｄ（２５１〜２５４）それぞれは、Ｂさんに対して治療、医薬投与、健康診断ないしは検査を行い、その各データを例えば電子カルテとして病院Ａ〜Ｄ（２５１〜２５４）に関連付けられた記憶媒体に記録する。病院Ａ〜Ｄ（２５１〜２５４）それぞれは、上記各データを匿名化し、当該匿名化した各データ（匿名化データ）を名寄せシステム（２６１）に送信可能であるとする。
名寄せシステム（２６１）は、病院Ａ〜Ｄ（２５１〜２５４）それぞれから送信された上記匿名化された各種データを受信可能であるとする。名寄せシステム（２６１）は、上記匿名化された各種データを名寄せし、名寄せデータ又は当該名寄せデータを集計した集計データをユーザ・システム（２７１、２７２、２５１〜２５４）に送信することが可能である。
ユーザ・システム（２７１、２７２、２５１〜２５４）は、名寄せシステム（２６１）から送信された上記名寄せデータ又は上記集計データを受信可能である。
病院Ａ〜Ｄ（２５１〜２５４）それぞれがＢさん（２４１）から送信された上記各種データを受信可能とし且つ名寄せシステム（２６１）にデータ提供することを可能にする為に、病院Ａ〜Ｄ（２５１〜２５４）それぞれはＢさん（２４１）との間でデータ提供に関する契約を事前に行うことが一般的である。当該契約の内容は、例えば、上記個人情報保護法を遵守するものである。同様に、名寄せシステム（２６１）が病院Ａ〜Ｄ（２５１〜２５４）それぞれから送信された上記匿名化された各種データを受信可能とする為に、名寄せシステム（２６１）と病院Ａ〜Ｄ（２５１〜２５４）それぞれとの間でデータ提供に関する契約を事前に行うことが一般的である。当該契約の内容は、例えば、上記個人情報保護法を遵守するものである。
上記名寄せデータ又は上記集計データは匿名化されている為に、ユーザ・システム（２７１、２７２、２５１〜２５４）は、原則として、当該名寄せデータ又は当該集計データがどの患者のものであるかを特定することはできない。しかしながら、ユーザ・システム（２７１、２７２、２５１〜２５４）は、上記名寄せデータ又は上記集計データを使用して、例えば、ある病気に対する薬剤の使用履歴若しくは使用状況、又は、病態の変化など、ある患者における総合的な医療情報を入手することが可能になる。また、下記に述べる本発明の実施態様に従うと、名寄せシステム（２６１）が各病院Ａ〜Ｄ（２５１〜２５４）からの匿名化データを匿名化されたまま名寄せすることを可能にし、一方、ユーザ・システムである病院（２５１〜２５４及び２７１）は特定の患者（すなわち、Ｂさん）の他院での診察内容、例えば診察結果、検査内容若しくは投薬内容、又は、複数の医療機関での診察内容の統合解析結果を特定することが可能になる。
本発明の実施態様において使用されうるコンピュータ・システムは、上記コンピュータ・システム（２００、２４０）に限定されるものでない。本発明の実施態様において使用されうるコンピュータ・システムは、例えば、スマーター・プラネット（Smarter Planet）（上記非特許文献４を参照）、スマーター・プラネット・アプライアンス（Smarter Planet Appliance）、スマーター・モビリティ（Smarter Mobility）、サービス・デリバリ・プラットフォーム（Service Delivery Platform，ＳＤＰ）、又はヘルス・ケア・システム中において実現されてもよい。従って、本発明の実施態様において使用されうる名寄せデータ又は集計データは、種々のサービス、例えば行政サービス、都市サービス、エネルギー管理サービス、医療サービスにおいて使用されうる統合されたデータでありうる。
以下に、本発明に従う５つの名寄せの実施態様（図３Ａ〜図３Ｃ、図４Ａ〜図４Ｄ、図５Ａ〜図５Ｄ、図６Ａ〜図６Ｃ、及び図７Ａ〜図７Ｄ）を示す。第１の実施態様は、名寄せシステムからの要求又はユーザ・システムからの要求をより、名寄せシステムがサービス提供システムに匿名化データの送信を要求し、名寄せする態様である。第２の実施態様は、名寄せシステムがユーザにユーザ許可要求を送信した上で、名寄せシステムが名寄せする態様である。第３の実施態様は、ユーザ・システムがデータ提供エンティティでもある場合において、当該ユーザ・システムが匿名化ＩＤをサービス提供システムに要求した上で、名寄せシステムが名寄せする態様である。第４の実施態様は、ユーザ・システムがデータ提供エンティティでもある場合において、当該ユーザ・システムがトークンを生成した上で、名寄せシステムが名寄せする態様である。第５の実施態様は、ユーザ・システムがデータ提供エンティティでもある場合において、当該ユーザ・システムがソルトを取得した上で、名寄せシステムが名寄せする態様である。
図３Ａは、本発明に従う第１の実施態様である名寄せの一例を示した図である。図３Ｂ及び図３Ｃそれぞれは、図３Ａに示す名寄せを実現する為の異なる実施態様に基づくフローチャートを示す。
図３Ａに示すように、名寄せのためのコンピュータ・システム（３００）は、データ提供エンティティ（３０１〜３０４）、サービス提供システムＡ〜Ｄ（３１１〜３１４）、名寄せシステム（３２１）、及びユーザ・システム（３３１）を備えているとする。また、Ａさんが、データ提供エンティティ（３０１〜３０４）を全て所有しているとする。
図３Ｂは、上記第１の実施態様において、名寄せシステム（３２１）が、ユーザ・システム（３３１）からのデータ送信要求の受信の有無にかかわらず、例えばスケジューリングされた時刻において（例えば、定期的に）当該ユーザ・システム（３３１）に提供するデータをサービス提供システム（３１１〜３１４）それぞれから取得して、名寄せデータを予め生成しておく実施態様のフローチャートを示す。
ステップ３４１及び３４２において、データ提供エンティティ（３０１）とサービス提供システムＡ（３１１）との間で、データ提供に関する契約が行われうる。当該契約において、例えば、データ提供エンティティ（３０１）はサービス提供システムＡ（３１１）にデータを提供すること、並びに、サービス提供システムＡ（３１１）はデータ提供エンティティ（３０１）から送信されたデータを匿名化し、当該匿名化データを名寄せシステム（３２１）に送信することを許可すること、及び任意的に、データ提供に対する対価をデータ提供エンティティ（３０１）のユーザに支払う旨の契約が行われうる。当該契約に際して、データ提供エンティティ（３０１）は、当該データ提供エンティティ（３０１）を特定するための識別番号（例えば、ＵＵＩＤ（Universally Unique Identifier）、お客様番号、又はユーザＩＤ）を第三者機関（３０９）に発行してもらう。当該識別番号は、データ提供エンティティ（３０１）からのデータを管理する為に使用されうる。すなわち、当該識別番号は、データがデータ提供エンティティ（３０１）からのものであることを特定可能にする。従って、当該識別番号は、個人又は当該個人に関連付けられた機械を識別可能にするものである。データ提供エンティティ（３０１）は、上記識別番号をサービス提供システムＡ（３１１）に通知する。当該通知は、例えば、上記契約時に契約の属性として付加されるものでありうる。当該通知は、例えば、データ提供エンティティ（３０１）のエージェント（例えば、ブラウザ）を通じてサービス提供システムＡ（３１１）に自動的に行われるか、あるいは、ユーザが当該識別番号を手入力してサービス提供システムＡ（３１１）に送信することによって行われうる。
データ提供エンティティ（３０１）は、上記契約が終了すること応じて、サービス提供システムＡ（３１１）にデータを提供しうる。当該データは、上記ＵＵＩＤを例えば属性値として有する。データ提供エンティティ（３０１）は、上記データを例えばサービス提供システムＡ（３１１）の公開鍵を使用して暗号化しうる。サービス提供システムＡ（３１１）は、データ提供エンティティ（３０１）からの暗号化されたデータを、上記公開鍵に対応する秘密鍵で復号しうる。
データ提供エンティティ（３０２）とサービス提供システムＢ（３１２）との間、データ提供エンティティ（３０３）とサービス提供システムＣ（３１３）との間、及びデータ提供エンティティ（３０４）とサービス提供システムＤ（３１４）との間でも同様に、上記契約と同様の契約が行われうる。同様に、データ提供エンティティ（３０２〜３０４）それぞれは、上記契約が終了すること応じて、サービス提供システムＢ〜Ｄ（３１２〜３１４）それぞれにデータを提供しうる。また、Ａさんが、データ提供エンティティ（３０１〜３０４）を全て所有しているので、データ提供エンティティ（３０２）とサービス提供システムＢ（３１２）との間、データ提供エンティティ（３０３）とサービス提供システムＣ（３１３）との間、及びデータ提供エンティティ（３０４）とサービス提供システムＤ（３１４）との間のデータ提供においても、データ提供エンティティ（３０１）とサービス提供システムＡ（３１１）との間で用いられる上記識別番号が用いられる。
ステップ３４３及び３４４において、サービス提供システムＡ〜Ｄ（３１１〜３１４）それぞれと名寄せシステム（３２１）との間で、データ提供に関する契約をそれぞれ行う。当該契約において、例えば、サービス提供システムは名寄せシステム（３２１）に匿名化データを提供すること、及び名寄せシステム（３２１）は名寄せデータ又は当該名寄せデータを集計した集計データを、ユーザ・システム（３３１）に送信することを許可する旨の契約を行いうる。
ステップ３４１及び３４２とステップ３４３及びステップ３４４とは、いずれのステップが先に行われてもよい。また、データ提供エンティティ（３０１〜３０４）それぞれとサービス提供システムＡ〜Ｄ（３１１〜３１３）それぞれとの間の契約も同時に行われる必要はなく、一般的には当該契約は任意の時間順序で行われうる。
また、図３Ｂに示していないが、名寄せシステム（３２１）とユーザ・システム（３３１）との間で、名寄せデータの提供又は当該名寄せデータを集計した集計データの提供の契約が行われうる。当該契約において、例えば、名寄せシステム（３２１）はユーザ・システム（３３１）に名寄せデータ又は集計データを提供すること、及びユーザ・システム（３３１）は名寄せデータ又は集計データの提供に対する対価を名寄せシステム（３２１）の管理者に支払う旨の契約が行われうる。
ステップ３４５において、名寄せシステム（３２１）は、任意のタイミングにおいて、データの送信を要求する送信要求をサービス提供システム（３１１〜３１４）それぞれに送信する。名寄せシステム（３２１）は、当該送信要求とともに、当該送信要求毎に異なる値（例えば、ソルト（ｓａｌｔ））をサービス提供システム（３１１〜３１４）それぞれに送信する。代替的には、名寄せシステム（３２１）は、例えば上記送信要求が名寄せシステム（３２１）とサービス提供システムとの間の契約に反するものである場合には、上記送信要求と上記ソルトとを、特定のサービス提供システムに送信しうる。
本願発明の実施態様において、ソルトは上記識別番号をハッシュ化する際に用いられるデータであり、上記送信要求毎に異なる値である。従って、名寄せシステム（３２１）は、異なる送信要求に対しては、異なる値を有するソルトを生成する。ソルトは、ランダムな値であればよく、例えば日時（例えば、年月日時分ミリ秒）又はハッシュのカウントでありうる。また、ソルトは例えば、上記日時に例えば名寄せシステムの固有情報（例えば、当該名寄せシステム（３２１）のＭＡＣアドレス又は製造番号）又は位置情報（例えば、全地球測位システム（ＧＰＳ）若しくは無線ＬＡＮアクセスポイントによる位置情報、若しくはネットワーク・アドレス）を組み合わせた値でありうる。
ステップ３４６において、上記送信要求と上記ソルトを受信したサービス提供システム（３１１〜３１４）それぞれは、データに関連付けられた識別情報（例えば、ＵＵＩＤ）を名寄せシステム（３２１）からの上記ソルトでハッシュ化し、ハッシュ値を生成する。ハッシュ化の技法（例えば、アルゴリズム）は、当業者に知られている任意の手法を採用することができる。ハッシュ値は、識別情報を匿名化したものでもあるので、匿名化ＩＤともいえる。
サービス提供システム（３１１〜３１４）それぞれは、同一のハッシュ化アルゴリズムを使用する。サービス提供システム（３１１〜３１４）それぞれにおいて同一のハッシュ化アルゴリズムが使用できれば、例えば時間帯によって用いるハッシュ化アルゴリズムを変化させるようにしてもよい。サービス提供システム（３１１〜３１４）は、同一のハッシュ化アルゴリズムを使用する為に、各サービス提供システム（３１１〜３１４）間で、同一の送信要求に対して同一のハッシュ値（匿名化ＩＤ）を生成することができる。
また、上記送信要求と上記ソルトを受信したサービス提供システム（３１１〜３１４）それぞれは、上記受信したソルトが既に受信済みのソルトと異なる値であるかどうかを判定しうる。なぜならば、上記受信したソルトが既に受信済みのソルトと同一である場合には、送信要求毎に異なるソルトが生成されているということに反することになるからである。また、上記受信したソルトが悪意のある第三者によって生成された可能性もあるからである。
ステップ３４７において、上記送信要求と上記ソルトを受信したサービス提供システム（３１１〜３１４）それぞれは、上記識別番号によって特定されるデータを匿名化する。そして、当該サービス提供システム（３１１〜３１４）それぞれは、当該匿名化データと上記ハッシュ値とのセットを名寄せシステム（３２１）に送信する。当該サービス提供システム（３１１〜３１４）それぞれは、任意的に、データ提供に対する対価を名寄せシステム（３２１）の管理者から得る為に、名寄せシステム（３２１）からの上記送信要求毎のトランザクション、又は上記匿名化データの送信の履歴を記録しうる。
ステップ３４８において、名寄せシステム（３２１）は、サービス提供システム（３１１〜３１４）それぞれから上記セットを受信する。名寄せシステム（３２１）は、上記セットのうちから、上記受信したセット中のハッシュ値によって特定される匿名化データを名寄せし、名寄せデータを得る。同じハッシュ値を持つデータは、同じ識別番号から生成されたものである。従って、名寄せシステム（３２１）は、匿名化データを識別番号なしで名寄せすることが可能である。また、名寄せシステム（３２１）は、ステップ３４５での送信要求に対する匿名化データのみを名寄せ可能である。なぜならば、送信要求がステップ３４５での送信要求でない場合には、名寄せシステム（３２１）からのソルトが異なる為に、ハッシュ値が異なってしまうからである。
名寄せシステム（３２１）は、任意的に、上記名寄せデータを集計して集計データを生成しうる。名寄せデータの集計方法は、当業者に知られている任意の技法を使用しうる。
名寄せシステム（３２１）は、上記名寄せデータ又は上記集計データを当該名寄せシステム（３２１）がアクセス可能な記憶媒体中に格納しうる。
ステップ３４７において、任意的に、当該サービス提供システム（３１１〜３１４）それぞれは、匿名化データを例えばユーザ・システム（３３１）の公開鍵で暗号化しうる。従って、該サービス提供システム（３１１〜３１４）それぞれは、暗号化された匿名化データと、上記ハッシュ値（暗号化されていない）とのセットを名寄せシステム（３２１）に送信しうる。匿名化データを暗号化することによって、名寄せシステム（３２１）は匿名化データの内容を見ることができないが、上記ハッシュ値が暗号化されていないので暗号化された匿名化データを名寄せすることができる。従って、匿名化データを暗号化することによって、名寄せシステム（３２１）に匿名化データの内容を公開しないようにすることができるという点で有用である。
ステップ３４９において、任意の時間において、ユーザ・システム（３３１）は名寄せシステム（３２１）に名寄せデータ又は集計データの送信要求を送信する。
ステップ３５０において、名寄せシステム（３２１）は、上記送信要求を受信することに応じて、上記記憶媒体中に格納した名寄せデータ又は集計データをユーザ・システム（３３１）に送信する。名寄せシステム（３２１）は、任意的に、名寄せデータ又は集計データの提供に対する対価をユーザ・システム（３３１）のユーザから得る為に、ユーザ・システム（３３１）からの上記送信要求毎のトランザクション、又は上記匿名化データの送信の履歴を記録しうる。
ユーザ・システム（３３１）は、上記名寄せデータ又は上記集計データを受信する。ユーザ・システム（３３１）は、上記受信した名寄せデータ又は集計データが暗号化されている場合には、上記公開鍵に対応するユーザ・システム（３３１）の秘密鍵で当該暗号化された名寄せデータ又は集計データを復号しうる。
図３Ｃは、上記第１の実施態様において、名寄せシステム（３２１）が、ユーザ・システム（３３１）からのデータ送信要求の受信に応じて、当該ユーザ・システム（３３１）に提供するデータをサービス提供システム（３１１〜３１４）それぞれからオンタイムに取得して、名寄せデータを生成する実施態様のフローチャートを示す。
ステップ３６１〜３６４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ３６１〜３６４についてはステップ３４１〜３４４についての上記説明を参照されたい。
ステップ３６５において、任意の時間において、ユーザ・システム（３３１）は名寄せシステム（３２１）に名寄せデータ又は集計データの送信要求を送信する。ステップ３６５は図３Ｂに示すステップ３４９に対応する。
ステップ３６６において、名寄せシステム（３２１）は、ユーザ・システム（３３１）からの上記送信要求を受信することに応じて、データの送信を要求する送信要求と当該送信要求毎に異なる値（例えば、ソルト（ｓａｌｔ））とをサービス提供システム（３１１〜３１４）それぞれに送信する。ステップ３６６は図３Ｂに示すステップ３４５に対応するので、ステップ３６６についてはステップ３４５についての上記説明も参照されたい。
ステップ３６７〜３６９それぞれは図３Ｂに示すステップ３４６〜３４８に対応するので、ステップ３６７〜３６９についてはステップ３４６〜３４８についての上記説明を参照されたい。
ステップ３７０において、名寄せシステム（３２１）は、名寄せデータ又は集計データが生成されることに応じて、当該名寄せデータ又は当該集計データをユーザ・システム（３３１）に送信する。ステップ３７０は図３Ｂに示すステップ３５０に対応するので、ステップ３５０についての上記説明も参照されたい。
ユーザ・システム（３３１）は、上記名寄せデータ又は上記集計データを受信する。ユーザ・システム（３３１）は、上記受信した名寄せデータ又は集計データが暗号化されている場合には、上記公開鍵に対応するユーザ・システム（３３１）の秘密鍵で当該暗号化された名寄せデータ又は集計データを復号しうる。
本発明に従う第１の実施態様において、送信要求毎に当該送信要求毎に異なる値が生成される。すなわち、送信要求毎に異なる値が用いられる。このことは、同一ユーザに由来するデータに対して、送信要求毎に異なる値が用いられることを意味する。すなわち、当該値を使用して生成されるハッシュ値は送信要求毎に異なることになる。よって、同一ユーザに由来し且つ異なる送信要求に対する匿名化データが名寄せシステム（３２１）中に蓄積乃至は保持されたとしても当該ユーザの特定をすることができないので、名寄せシステム（３２１）は、当該同一ユーザの匿名化データを名寄せできなくすることができる。従って、本発明に従う第１の実施態様は、当該ユーザの特定（すなわち、個人の特定）を防止するとともに、当該同一ユーザの匿名化データについて、異なる送信要求に対して収集された匿名化データの比較乃至は統合を防止することが可能であるという有用点を有する。
図４Ａ及び図４Ｂは、本発明に従う第２の実施態様である名寄せの一例を示した図である。図４Ｃ及び図４Ｄは、図４Ａ及び図４Ｂに示す名寄せを実現する為のフローチャートを示す。
図４Ａ及び図４Ｂに示すように、名寄せのためのコンピュータ・システム（４００）は、データ提供エンティティ（４０１〜４０４）、サービス提供システムＡ〜Ｄ（４１１〜４１４）、名寄せシステム（４２１）、及びユーザ・システム（４３１）を備えているとする。また、Ｂさんが、データ提供エンティティ（４０１〜４０４）を全て所有しているとする。
ステップ４４１〜４４４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ４４１〜４４４についてはステップ３４１〜３４４についての上記説明を参照されたい。
また、図４Ｃに示していないが、名寄せシステム（４２１）とユーザ・システム（４３１）との間で、名寄せデータの提供又は当該名寄せデータを集計した集計データの提供の契約が行われうる。当該契約において、例えば、名寄せシステム（４２１）はユーザ・システム（４３１）に名寄せデータ又は集計データを提供すること、及びユーザ・システム（４３１）は名寄せデータ又は集計データの提供に対する対価を名寄せシステム（４２１）の管理者に支払う旨の契約が行われうる。
ステップ４４５において、サービス提供システムＡ〜Ｄ（４１１〜４１４）それぞれは、名寄せシステム（４２１）との通信に使用する為の証明書の発行を第三者機関（４０９）に要求し、当該証明書を第三者機関（４０９）から受信する。サービス提供システムＡ（４１１）の証明書は、当該サービス提供システムＡ（４１１）の秘密鍵と当該秘密鍵に対応する公開鍵とを有する。サービス提供システムＢ〜Ｄ（４１２〜４１４）それぞれの各証明書についても、サービス提供システムＡ（４１１）の証明書と同様である。
ステップ４４６において、名寄せシステム（４２１）は、サービス提供システム（４１１〜４１４）それぞれとの通信に使用する為の名寄せシステム（４２１）の証明書の発行を第三者機関（４０９）に要求し、当該証明書を第三者機関（４０９）から受信する。名寄せシステム（４２１）の証明書は、当該名寄せシステム（４２１）の秘密鍵と当該秘密鍵に対応する公開鍵とを有する。また、名寄せシステム（４２１）は、そこからデータを取得するためのサービス提供システムを特定する為に、サービス提供システム（４１１〜４１４）それぞれの証明書の発行を第三者機関（４０９）に要求し、当該証明書を第三者機関（４０９）から受信する。サービス提供システム（４１１〜４１４）それぞれの各証明書は、当該証明書が名寄せシステム（４２１）から要求されている為に、サービス提供システム（４１１〜４１４）それぞれの公開鍵のみを有する。
なお、ステップ４４５とステップ４４６とは、いずれのステップが先に行われてもよい。
ステップ４４７において、名寄せシステム（４２１）は、任意のタイミングにおいて、例えば、ユーザ・システム（４３１）からのデータ送信要求の受信に応じて、又はユーザ・システム（４３１）からのデータ送信要求の受信の有無にかかわらず、例えば名寄せシステム（４２１）の管理者によってスケジューリングされた時刻において（例えば、定期的に）、名寄せすることの許可をユーザに求めるユーザ許可要求及び当該許可要求毎に異なる値（例えば、ソルト）、並びに任意的に、複数のサービス提供システムのうちの匿名化データの取得対象であるサービス提供システムの証明書（公開鍵のみを含む）、及び任意的に、名寄せシステム（４２１）に関連付けられた固有のＩＤ（例えば、当該名寄せシステム（４２１）のＭＡＣアドレス又は製造番号）を、上記ユーザ許可要求を処理できるサービス提供システムに送信する。図４Ａに示す例において、上記ユーザ許可要求を処理できるサービス提供システムがサービス提供システムＡ（４１１）であるとする。なお、上記ユーザ許可要求を処理できるシステムは、サービス提供システム（４１１〜４１４）以外のシステム、例えばユーザ許可要求のみの処理を専門に行うコンピュータであってもよい。
ステップ４４８において、サービス提供システムＡ（４１１）は、上記ユーザ許可要求を受信することに応じて、当該ユーザ許可要求をユーザ（例えば、データ提供エンティティ（４０１））に送信する。サービス提供システムＡ（４１１）は、上記ユーザ許可要求の送信において、ユーザに対してユーザ許可条件を提示しうる。当該ユーザ許可条件は、例えば、データ提供可能なデータの種類若しくは内容、データ提供先、データ提供先でのデータ再配布の拒否、データ提供不可能なデータの種類若しくは内容、名寄せシステムへのデータ提供の回数、ユーザ・システムへの名寄せデータ提供の回数、又はデータ提供に対する対価でありうる。
ステップ４４９において、データ提供エンティティ（４０１）は、上記ユーザ許可条件の内容をディスプレイ上に表示してユーザに提示しうる。ユーザは、当該許可条件の内容を見て、提示されたユーザ許可条件を承認するかどうかを判断しうる。また、ユーザは、上記提示されたユーザ許可条件以外の１又は複数のユーザ許可条件を追加しうる。
ステップ４５０において、サービス提供システムＡ（４１１）は、データ提供エンティティ（４０１）からのユーザ許可条件を受信することに応じて、トークンを作成する。当該トークンは、ユーザに関連付けられた識別番号（例えば、ＵＵＩＤ）及びステップ４４７で送信された上記許可要求毎に異なる値、並びに任意的に、ステップ４４９で送信されたユーザ許可条件を含みうる。次に、サービス提供システムＡ（４１１）は、当該トークンを、サービス提供システムＡ〜Ｄ（４１１〜４１４）それぞれの公開鍵で暗号化する。当該公開鍵は、サービス提供システムＡ〜Ｄ（４１１〜４１４）それぞれの証明書中から取り出したものである。サービス提供システムＡ（４１１）が当該トークンをサービス提供システムＡ〜Ｄ（４１１〜４１４）それぞれの公開鍵で暗号化することによって、当該トークンを暗号化した公開鍵に対応する秘密鍵を有するサービス提供システムのみが当該暗号化されたトークンを復号することが可能となる。従って、名寄せシステム（４１２）は、暗号化されたトークンを復号できないので、当該暗号化されたトークン中の上記識別番号を特定することができない。
サービス提供システムＡ（４１１）が上記トークンを暗号化する際に用いる公開鍵は、ステップ４４７で送信された各証明書内の公開鍵でありうる。代替的には、サービス提供システムＡ（４１１）は、上記暗号化されたトークンを受け取るサービス提供システムのリストを名寄せシステム（４２１）から入手し、当該リスト中のサービス提供システムそれぞれの公開鍵を第三者機関（４０９）から取得するようにしてもよい。第三者機関（４０９）は、サービス提供システムそれぞれの公開鍵を管理するサーバである。
ステップ４５１において、サービス提供システムＡ（４１１）は、暗号化されたトークンの全て（すなわち、暗号化されたトークンのセット）を名寄せシステム（４２１）に送信する。
ステップ４５２において、名寄せシステム（４２１）は、サービス提供システムＡ〜Ｄ（４１１〜４１４）のうちの名寄せ対象の匿名化データを格納している少なくとも１つにデータ送信要求を送信する。名寄せシステム（４２１）は、上記データ送信要求とともに、ステップ４５１で送信された暗号化されたトークンの上記セットのうち、当該送信先であるサービス提供システムＡ〜Ｄ（４１１〜４１４）のいずれかの公開鍵で暗号化されたトークンのみを、当該公開鍵に対応する秘密鍵を有するサービス提供システムに送信する。当該送信が可能であるようにするために、各トークンは、例えば（対象であるサービス提供システム）：（対象トークン）のようなペアのキー＝値（KEY=VALUE）の情報として送信されうる。
ステップ４５３において、上記データ送信要求を受信したサービス提供システムそれぞれは、受信した暗号化されたトークンを、自身が有する秘密鍵で復号する。上記データ送信要求を受信したサービス提供システムそれぞれは、当該秘密鍵に対応する公開鍵で暗号化された上記暗号化されたトークンのみを受信するので、当該暗号化されたトークンを上記秘密鍵で復号することができる。
ステップ４５４において、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、当該トークン中のユーザ許可条件を評価しうる。当該評価は、例えば、データ提供の日時制限若しくはその回数、又は以前に既に複合したトークンとの比較に基づいて行われうる。上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、復号したトークンを当該サービス提供システムがアクセス可能な記憶媒体中に格納しうる。
ステップ４５５において、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、上記ユーザ許可条件又は上記ユーザ許可条件の上記評価に従って、匿名化データを名寄せシステムに送信してもよいかどうかを判断する。上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、上記匿名化データを名寄せシステムに送信してもよいということに応じて、上記識別番号によって特定されるデータを匿名化する。そして、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、当該匿名化データを名寄せシステム（４２１）に送信しうる。代替的には、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、上記識別番号とステップ４４７で送信された上記値とに基づいてハッシュ値を生成し、当該生成したハッシュ値を上記匿名化データとともに名寄せシステム（４２１）に送信しうる。上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、同一のハッシュ化アルゴリズムを使用する。上記暗号化されたトークンを復号できたサービス提供システムそれぞれにおいて同一のハッシュ化アルゴリズムが使用できれば、例えば時間帯によって用いるハッシュ化アルゴリズムを変化させるようにしてもよい。上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、同一のハッシュ化アルゴリズムを使用する為に、各サービス提供システム間で、同一の送信要求に対して同一のハッシュ値（匿名化ＩＤ）を生成することができる。当該サービス提供システムそれぞれは、任意的に、データ提供に対する対価を名寄せシステム（４２１）の管理者から得る為に、名寄せシステム（４２１）からの上記送信要求毎のトランザクション、又は上記匿名化データの送信の履歴を記録しうる。
ステップ４５６において、名寄せシステム（４２１）は、上記匿名化データを送信したサービス提供システムそれぞれから当該匿名化データを受信しうる。代替的には、名寄せシステム（４２１）は、上記匿名化データを送信したサービス提供システムそれぞれから当該匿名化データ及び上記ハッシュ値を受信しうる。名寄せシステム（４２１）は上記サービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せしうる。名寄せシステム（４２１）は、上記トークンにより、どの名寄せに対する匿名化データであるかを判別することができる。代替的には、名寄せシステム（４２１）は、上記サービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せしうる。
名寄せシステム（４２１）は、任意的に、上記名寄せデータを集計して集計データを生成しうる。名寄せデータの集計方法は、当業者に知られている任意の技法を使用しうる。
名寄せシステム（４２１）は、上記名寄せデータ又は上記集計データを当該名寄せシステム（４２１）がアクセス可能な記憶媒体中に格納しうる。
ステップ４５６において、任意的に、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、匿名化データを例えばユーザ・システム（４３１）の公開鍵で暗号化しうる。従って、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、暗号化された匿名化データを名寄せシステム（４２１）に送信しうる。匿名化データを暗号化することによって、名寄せシステム（４２１）は匿名化データの内容を見ることができない。従って、匿名化データを暗号化することによって、名寄せシステム（４２１）に匿名化データの内容を公開しないようにすることができるという点で有用である。
ステップ４５７において、名寄せシステム（４２１）は、上記名寄せデータ又は上記集計データをユーザ・システム（４３１）に送信する。名寄せシステム（４２１）は、任意的に、名寄せデータ又は集計データの提供に対する対価をユーザ・システム（４３１）のユーザから得る為に、ユーザ・システム（４３１）からの上記ユーザ許可要求毎のトランザクション、又は上記匿名化データの送信の履歴を記録しうる。
ユーザ・システム（４３１）は、上記名寄せデータ又は上記集計データを受信する。ユーザ・システム（４３１）は、上記受信した名寄せデータ又は集計データが暗号化されている場合には、上記公開鍵に対応するユーザ・システム（４３１）の秘密鍵で当該暗号化された名寄せデータ又は集計データを復号しうる。
図５Ａ及び図５Ｂは、本発明に従う第３の実施態様である名寄せの一例を示した図である。図５Ｃ及び図５Ｄは、図５Ａ及び図５Ｂに示す名寄せを実現する為のフローチャートを示す。
図５Ａ及び図５Ｂに示すように、名寄せのためのコンピュータ・システム（５００）は、データ提供エンティティ（５０１〜５０４）、サービス提供システムＡ〜Ｄ（５１１〜５１４）、及び名寄せシステム（５２１）を備えているとする。また、データ提供エンティティ（５０１）が、ユーザ・システム（５３１）でもあるとする。すなわち、ユーザ・システム（５３１）は、データ提供エンティティ（５０１）と同じハードウェア上に実装されているとする。また、Ｃさんが、データ提供エンティティ（５０１〜５０４）を全て所有しているとする。
ステップ５４１〜５４４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ５４１〜５４４についてはステップ３４１〜３４４についての上記説明を参照されたい。
ステップ５４５〜５４６それぞれは図４Ｃに示すステップ４４５〜４４６に対応するので、ステップ５４５〜５４６についてはステップ４４５〜４４６についての上記説明を参照されたい。
ステップ５４７において、ユーザ・システム（５３１）（データ提供エンティティ（５０１）でもある）は、例えば、当該ユーザ・システム（５３１）のユーザからのデータ送信要求の命令を受信することに応じて、又は当該ユーザからのデータ送信要求の受信の有無にかかわらず、例えば上記ユーザによってスケジューリングされた時刻において（例えば、定期的に）、サービス提供システムＡ（５１１）に対して、当該ユーザ・システム（５３１）の匿名化された識別番号（例えば、ＵＵＩＤのハッシュ値）を問い合わせる。匿名化された識別番号は、サービス提供システム（５１１〜５１４）それぞれに格納されているとする。また、サービス提供システム（５１１〜５１４）それぞれは、識別番号（匿名化されていない）と匿名化された識別番号（匿名化ＩＤ）とのマッピングを記録したデータ（例えば、マッピング・テーブル）を、サービス提供システム（５１１〜５１４）それぞれがアクセス可能な記録媒体中に記憶している。
ステップ５４８において、サービス提供システムＡ（５１１）は、上記匿名化された識別番号の問い合わせに応じて、上記記憶媒体中の上記マッピング・データを検索して、上記サービス提供システムＡ（５１１）に関連付けられた匿名化された識別番号を取得する。サービス提供システムＡ（５１１）は、当該取得した匿名化された識別番号をユーザ・システム（５３１）に送信する。
ステップ５４９において、ユーザ・システム（５３１）は、上記取得した匿名化された識別番号及びユーザ許可条件、並びに任意的に、サービス提供システムＡ（５１１）を特定する情報（例えば、ネットワーク・アドレス）を名寄せシステム（５２１）に送信する。
ステップ５５０において、名寄せシステム（５２１）は、上記匿名化された識別番号及びユーザ許可条件を受信することに応じて、トークンの生成要求をサービス提供システムＡ（５１１）に送信する。名寄せシステム（５２１）は、上記トークンの生成要求とともに、当該トークンの生成要求にのみ有効な値（例えば、ソルト）、並びに、上記匿名化された識別番号、及び任意的に、ユーザ許可条件、及び任意的に、複数のサービス提供システムのうちの匿名化データの取得対象であるサービス提供システムの証明書（公開鍵のみを含む）、及び任意的に、名寄せシステム（５２１）に関連付けられた固有のＩＤ（例えば、当該名寄せシステム（５２１）のＭＡＣアドレス又は製造番号）をサービス提供システムＡ（５１１）に送信する。
ステップ５５１において、サービス提供システムＡ（５１１）は、上記トークンの生成要求とともに受信した匿名化された識別番号に対応する識別番号（匿名化されていない）を上記記録媒体中の上記マッピング・データを検索して取得する。また、サービス提供システムＡ（５１１）は、上記トークンの生成要求を受信することに応じて、トークンを作成する。当該トークンは、上記取得した識別番号（例えば、ＵＵＩＤ）及びステップ５５０で送信されたソルト、並びに任意的に、ステップ５５０で送信されたユーザ許可条件を含む。サービス提供システムＡ（５１１）は、当該トークンを、サービス提供システムＡ〜Ｄ（５１１〜５１４）それぞれの公開鍵で暗号化し、当該暗号化されたトークンのセットを生成する。当該公開鍵は、サービス提供システムＡ〜Ｄ（５１１〜５１４）それぞれの証明書中から取り出したものである。サービス提供システムＡ（５１１）が当該トークンをサービス提供システムＡ〜Ｄ（５１１〜５１４）それぞれの公開鍵で暗号化することによって、当該トークンを暗号化した公開鍵に対応する秘密鍵を有するサービス提供システムのみが当該暗号化されたトークンを復号することが可能となる。
ステップ５５２において、サービス提供システムＡ（５１１）は、暗号化されたトークンの全て（すなわち、暗号化されたトークンのセット）を名寄せシステム（５２１）に送信する。
ステップ５５３〜５５８それぞれは図４Ｄに示すステップ４５２〜４５７に対応するので、ステップ５５３〜５５８についてはステップ４５２〜４５７についての上記説明を参照されたい。
図６Ａは、本発明に従う第４の実施態様である名寄せの一例を示した図である。図６Ｂ及び図６Ｃは、図６Ａに示す名寄せを実現する為のフローチャートを示す。
図６Ａに示すように、名寄せのためのコンピュータ・システム（６００）は、データ提供エンティティ（６０１〜６０４）、サービス提供システムＡ〜Ｄ（６１１〜６１４）、及び名寄せシステム（６２１）を備えているとする。また、データ提供エンティティ（６０１）が、ユーザ・システム（６３１）でもあるとする。すなわち、ユーザ・システム（６３１）は、データ提供エンティティ（６０１）と同じハードウェア上に実装されているとする。また、Ｄさんが、データ提供エンティティ（６０１〜６０４）を全て所有しているとする。
ステップ６４１〜６４４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ６４１〜６４４についてはステップ３４１〜３４４についての上記説明を参照されたい。
また、図６Ｂに示していないが、名寄せシステム（６２１）とユーザ・システム（６３１）との間で、名寄せデータの提供又は当該名寄せデータを集計した集計データの提供の契約が行われうる。当該契約において、例えば、名寄せシステム（６２１）はユーザ・システム（６３１）に名寄せデータ又は集計データを提供すること、及びユーザ・システム（６３１）は名寄せデータ又は集計データの提供に対する対価を名寄せシステム（６２１）の管理者に支払う旨の契約が行われうる。
ステップ６４５において、サービス提供システムＡ〜Ｄ（６１１〜６１４）それぞれは、名寄せシステム（６２１）との通信に使用する為の証明書の発行を第三者機関（６０９）に要求し、当該証明書を第三者機関（６０９）から受信する。サービス提供システムＡ（６１１）の証明書は、当該サービス提供システムＡ（６１１）の秘密鍵と当該秘密鍵に対応する公開鍵とを有する。サービス提供システムＢ〜Ｄ（６１２〜６１４）それぞれの各証明書についても、サービス提供システムＡ（６１１）の証明書と同様である。
ステップ６４６において、ユーザ・システムでもありうるサービス提供システム（６１１）は、他のサービス提供システムの証明書の発行を第三者機関（６０９）に要求し、当該証明書を第三者機関（６０９）から受信する。当該受信したサービス提供システムそれぞれの各証明書は、自己の証明書でないので、公開鍵のみを有する。
なお、ステップ６４５とステップ６４６とは、いずれのステップが先に行われてもよい。
ステップ６４７において、ユーザ・システム（６３１）（データ提供エンティティ（６０１）でもある）は、例えば、当該ユーザ・システム（６３１）のユーザからのデータ送信要求の命令を受信することに応じて、又は当該ユーザからのデータ送信要求の受信の有無にかかわらず、例えば上記ユーザによってスケジューリングされた時刻において（例えば、定期的に）、名寄せデータ又は当該名寄せデータを集計した集計データを必要とするとする。ユーザ・システム（６３１）は、当該データが必要であることに応じてトークンを作成する。当該トークンは、ユーザに関連付けられた識別番号（例えば、ＵＵＩＤ）、当該データを要求する送信要求毎に異なる値（例えば、ソルト）、並びに任意的に、ユーザ許可条件を含みうる。当該値は、ユーザ・システム（６３１）が自動的に生成したものでもよく、又は、名寄せシステム（６２１）に上記値の生成要求を送信し、当該送信要求に応じて生成された値を名寄せシステム（６２１）から受信したものでもよい。但し、ユーザ・システム（６３１）が上記値を生成する場合には、他のユーザ・システムが生成した値と重複しないように、例えば当該ユーザ・システム（６３１）に固有の値（例えば、当該ユーザ・システム（６３１）のＭＡＣアドレス又は製造番号）を有するようにすることがよい。次に、ユーザ・システム（６３１）は、当該トークンを、サービス提供システムＡ〜Ｄ（６１１〜６１４）それぞれの公開鍵で暗号化し、当該暗号化されたトークンのセットを生成する。当該公開鍵は、上記した通り、第三者機関（６０９）から入手したサービス提供システムＡ〜Ｄ（６１１〜６１４）それぞれの証明書中から取り出したものである。ユーザ・システム（６３１）が当該トークンをサービス提供システムＡ〜Ｄ（６１１〜６１４）それぞれの公開鍵で暗号化することによって、当該トークンを暗号化した公開鍵に対応する秘密鍵を有するサービス提供システムのみが当該暗号化されたトークンを復号することが可能となる。従って、名寄せシステム（６１２）は、暗号化されたトークンを復号できないので、当該暗号化されたトークン中の上記識別番号を特定することができない。
ステップ６４８において、ユーザ・システム（６３１）は、名寄せデータ又は集計データの送信要求を名寄せシステム（６２１）に送信する。また、ユーザ・システム（６３１）は、上記送信要求とともに、上記暗号化されたトークンのセットを名寄せシステム（６２１）に送信する。
ステップ６４９〜６５４それぞれは図４Ｄに示すステップ４５２〜４５７に対応するので、ステップ６４９〜６５４についてはステップ４５２〜４５７についての上記説明を参照されたい。
図７Ａ及び図７Ｂは、本発明に従う第５の実施態様である名寄せの一例を示した図である。図７Ｃ及び図７Ｄは、図７Ａ及び図７Ｂに示す名寄せを実現する為のフローチャートを示す。
図７Ａ及び図７Ｂに示すように、名寄せのためのコンピュータ・システム（７００）は、データ提供エンティティ（７０１〜７０４）、サービス提供システムＡ〜Ｄ（７１１〜７１４）、及び名寄せシステム（７２１）を備えているとする。また、データ提供エンティティ（７０１）が、ユーザ・システム（７３１）でもあるとする。すなわち、ユーザ・システム（７３１）は、データ提供エンティティ（７０１）と同じハードウェア上に実装されているとする。また、Ｅさんが、データ提供エンティティ（７０１〜７０４）を全て所有しているとする。
ステップ７４１〜７４４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ７４１〜７４４についてはステップ３４１〜３４４についての上記説明を参照されたい。
また、図７Ｂに示していないが、名寄せシステム（７２１）とユーザ・システム（７３１）との間で、名寄せデータの提供又は当該名寄せデータを集計した集計データの提供の契約が行われうる。当該契約において、例えば、名寄せシステム（７２１）はユーザ・システム（７３１）に名寄せデータ又は集計データを提供すること、及びユーザ・システム（７３１）は名寄せデータ又は集計データの提供に対する対価を名寄せシステム（７２１）の管理者に支払う旨の契約が行われうる。
ステップ７４５において、ユーザ・システム（７３１）（データ提供エンティティ（７０１）でもある）は、例えば、当該ユーザ・システム（７３１）のユーザからのデータ送信要求の命令を受信することに応じて、又は当該ユーザからのデータ送信要求の受信の有無にかかわらず、例えば上記ユーザによってスケジューリングされた時刻において（例えば、定期的に）、名寄せデータ又は当該名寄せデータを集計した集計データを必要とするとする。ユーザ・システム（７３１）は、当該名寄せデータ又は当該集計データが必要であることに応じて、当該名寄せデータ又は当該集計データを要求する送信要求毎に異なる値（例えば、ソルト）を送信することを要求する送信要求（以下、「値の送信要求」ともいう）を名寄せシステム（７２１）に送信する。
ステップ７４６において、名寄せシステム（７２１）は、上記値の送信要求を受信することに応じて、上記値を上記値の送信要求毎に生成し、当該生成した値をユーザ・システム（７３１）に送信する。
ステップ７４７において、ユーザ・システム（７３１）は、上記値を受信することに応じて、ユーザに関連付けられた識別番号（例えば、ＵＵＩＤ）と当該受信した値とに基づいてハッシュ値（以下、第１のハッシュ値ともいう）を生成する。
ステップ７４８において、ユーザ・システム（７３１）は、上記第１のハッシュ値を名寄せシステム（７２１）に送信する。
ステップ７４９において、名寄せシステム（７２１）は、上記第１のハッシュ値を受信することに応じて、データの送信を要求する送信要求をサービス提供システム（７１１〜７１４）それぞれに送信する。また、名寄せシステム（７２１）は、上記送信要求とともに、ステップ７４６でユーザ・システム（７３１）に送信した上記値及び上記第１のハッシュ値をサービス提供システム（７１１〜７１４）それぞれに送信する。
ステップ７５０において、サービス提供システム（７１１〜７１４）それぞれは、当該サービス提供システム（７１１〜７１４）それぞれが有しているユーザに関連付けられた識別番号と上記受信した値とに基づいてハッシュ値（以下、第２のハッシュ値ともいう）を生成する。サービス提供システム（７１１〜７１４）それぞれは、同一のハッシュ化アルゴリズムを使用してハッシュ化を行う。すなわち、上記第１のハッシュ値を生成するためのハッシュ化アルゴリズムと、上記第２のハッシュ値を生成するためのハッシュ化アルゴリズムとは同一である。サービス提供システム（７１１〜７１４）それぞれは、上記ユーザＥに関連付けられた識別番号を、当該ユーザＥに関連付けられたデータをデータ提供エンティティ（７０１〜７０４）それぞれから受信する際において、例えば当該データの属性又はキーとして受信しているとする。サービス提供システム（７１１〜７１４）それぞれは、当該受信したデータを、上記識別番号をキーとして保管又は管理しうる。
ステップ７５１において、サービス提供システム（７１１〜７１４）それぞれは、第１のハッシュ値と第２のハッシュ値とを比較する。サービス提供システム（７１１〜７１４）それぞれは、第１のハッシュ値と第２のハッシュ値とが一致することに応じて、上記第２のハッシュ値を生成する際に用いた識別番号を有する匿名化データを名寄せシステム（７２１）に送信する。
ステップ７５３〜７５４それぞれは図４Ｄに示すステップ４５６〜４５７に対応するので、ステップ７５３〜７５４についてはステップ４５６〜４５７についての上記説明を参照されたい。
図８Ａ〜図１２Ｃは、本発明の実施態様に従い、名寄せデータを取得するために行われる種々の態様におけるステップを纏めたフローチャートを示す。
図８Ａは、本発明の実施態様に従い、データ提供エンティティに関連付けられたユーザが識別番号（例えば、ＵＵＩＤ）を取得して、データ提供エンティティが当該識別番号で特定されるデータを各サービス提供システムに送信することを可能にする処理のためのフローチャートを示す。当該フローチャートを説明するために、便宜的に、図２Ａに示すデータ提供エンティティ（２０１〜２０４）、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）（以上が、コンピュータ・システム（２００）に含まれている）、並びに、第三者機関（２０９）を用いて説明する。
ステップ８０１において、データ提供エンティティ（２０１〜２０４）のうちの例えばデータ提供エンティティ（２０１）が上記処理を開始する。
ステップ８０２において、データ提供エンティティ（２０１）は、データ提供エンティティ（２０１〜２０４）に関連付けられたユーザ（Ａさん）を唯一に識別するための識別番号（例えば、ＵＵＩＤ）の発行要求を第三者機関（２０９）に送信する。
ステップ８０３において、データ提供エンティティ（２０１）は、第三者機関（２０９）から上記識別番号を受信する。
ステップ８０４において、データ提供エンティティ（２０１）は、上記受信した識別番号を使用して、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれに、データを送信するサービス提供システムと上記識別番号とを登録をする。当該登録において、サービス提供システムＡ（２１１）には、データ提供エンティティ（２０１）及び上記識別番号が登録される。同様に、サービス提供システムＢ（２１２）には、データ提供エンティティ（２０２）及び上記識別番号が登録される。同様に、サービス提供システムＣ（２１３）には、データ提供エンティティ（２０３）及び上記識別番号が登録される。同様に、サービス提供システムＤ（２１４）には、データ提供エンティティ（２０４）及び上記識別番号が登録される。
ステップ８０２〜ステップ８０３の各処理は、例えば、データ提供エンティティがデータをサービス提供システムに提供することを登録するためのものであり、例えば、データ提供エンティティが当該データ提供エンティティ内にインストールされたアプリケーション（例えば、登録エージェント）を実行することによって行われうる。
ステップ８０５において、データ提供エンティティ（２０１〜２０４）それぞれは、任意のタイミングにおいて（例えば、契約の終了に応じて）、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれにデータ１〜４（識別番号に関連付けられている）それぞれを送信する。当該データ１〜４の送信は、同時に行われる必要はなく、任意の時間において別々に行われうる。代替的には、データ提供エンティティ（２０１〜２０４）それぞれは、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれからのデータ送信要求に応じて、データ１〜４それぞれを送信する。すなわち、データ１〜４それぞれが、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれによって収集される。
ステップ８０６において、データ提供エンティティ（２０１〜２０４）それぞれは、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれへのデータの送信が終了したかどうかを判断する。当該送信が終了していることに応じて、データ提供エンティティ（２０１〜２０４）それぞれは、処理を終了ステップ８０７に進める。当該送信が終了していないことに応じて、データ提供エンティティ（２０１〜２０４）それぞれは、処理をステップ８０５に戻す。
ステップ８０７において、データ提供エンティティ（２０１〜２０４）それぞれは、上記処理を終了する。
図８Ｂは、本発明の実施態様に従い、各サービス提供システムと名寄せシステムとの間でデータ収集契約を締結し、データ提供モードを決定する処理のためのフローチャートを示す。
ステップ８１１において、上記処理が下記に示す証明書の取得から開始される。
ステップ８１２において、サービス提供システム（２１１〜２１４）それぞれは、当該サービス提供システムそれ自身の証明書を例えば第三者機関（２０９）に要求して取得しうる。当該サービス提供システムそれ自身の証明書は、公開鍵と当該公開鍵に対応する秘密鍵の対を有する。当該公開鍵及び秘密鍵それぞれは、データの暗号化及び復号に使用するためのものである。従って、データを暗号化しない場合には、ステップ８１２を省略することが可能である。
ステップ８１３において、サービス提供システム（２１１〜２１４）それぞれと名寄せシステム（２２１）との間でデータ提供契約を締結する。
ステップ８１４において、名寄せシステム（２２１）は、サービス提供システム（２１１〜２１４）それぞれの証明書を例えば第三者機関（２０９）に要求して取得しうる。当該証明書は、公開鍵を有する（すなわち、秘密鍵は有していない）。当該公開鍵は、データの暗号化に使用するためのものである。従って、データを暗号化しない場合には、ステップ８１４を省略することが可能である。
ステップ８１５において、名寄せシステム（２２１）は、当該名寄せシステム（２２１）から名寄せデータ又は集計データを取得するユーザからの指示又は当該ユーザとのデータ提供契約が対話式のデータ取得かどうかを判断する。対話式のデータ取得とは、名寄せシステム（２２１）がユーザ・システム（２３１）からのデータ送信要求の受信に応じて当該ユーザに提供するデータをサービス提供システム（２１１〜２１４）それぞれから取得することをいう（例えば、図３Ｃのフローチャートを参照）。対話式のデータ取得であることに応じて、名寄せシステム（２２１）は、処理をステップ８１５に進める。一方、対話式のデータ取得でないこと（すなわち、非同期のデータ取得）に応じて、名寄せシステム（２２１）は、処理をステップ８１７に進める。非同期のデータ取得とは、名寄せシステム（２２１）がユーザ・システム（２３１）からのデータ送信要求の受信の有無にかかわらず、例えばスケジューリングされた時刻において（例えば、定期的に）当該ユーザ・システム（２３１）に提供するデータをサービス提供システム（２１１〜２１４）それぞれから取得することをいう（例えば、図３Ｂのフローチャートを参照）。名寄せシステム（２２１）は、例えば、上記ユーザとの間のデータ提供の契約時において、対話式のデータ取得でサービスを行うか若しくは非同期のデータ取得でサービスを行うかを選択させること、又は、提供するデータの種類若しくは内容毎に、対話式のデータ取得でサービスを行うか若しくは非同期のデータ取得でサービスを行うかを選択させることが可能である。
ステップ８１６において、名寄せシステム（２２１）は、対話式のデータ取得モードの状態で次の指示を待つ（ステップ８１６）。
ステップ８１７において、名寄せシステム（２２１）は、対話式のデータ取得でないことに応じて、サービス提供システム（２１１〜２１４）それぞれからのデータ取得の時期のスケジュールを作成する。当該データ取得の時期は、例えば、２４時間毎又は１週間毎など、取得するデータの種類又は内容によって適宜設定されうる。
ステップ８１８において、名寄せシステム（２２１）は、非同期のデータ取得モードの状態で次の指示を待つ（ステップ８１８）。
ステップ８１９において、上記処理が終了する。
上記フローチャートでは、ステップ８１５において対話式のデータ取得であるかどうかの判断結果に応じて、名寄せシステム（２２１）が対話式のデータ取得モードの状態又は非同期のデータ取得モードの状態のいずれかで次の指示を待つ実施態様を説明した。本発明に従う代替的な実施態様として、名寄せシステム（２２１）は対話式のデータ取得モード及び非同期のデータ取得モードの両状態で次の指示を待ってもよい。
図９は、本発明の実施態様に従い、名寄せデータを取得する処理のためのフローチャートを示す。当該フローチャートを説明するために、便宜的に、図２Ａに示すデータ提供エンティティ（２０１〜２０４）、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）（以上が、コンピュータ・システム（２００）に含まれている）、並びに、第三者機関（２０９）を用いて説明する。
ステップ９０１において、ユーザ・システム（２３１）又は名寄せシステム（２２１）は、名寄せデータを取得する上記処理を開始する。
ステップ９０２において、ユーザ・システム（２３１）は、データの取得要求が対話式のデータ取得を求めるものであるかどうかを判断しうる。データの取得要求が対話式のデータ取得で行うかどうかをユーザが選択可能にすることによって、ユーザ・システム（２３１）がデータの取得要求が対話式のデータ取得を求めるものであるかどうかを判断できるようにしてもよい。または、対話式のデータ取得である場合とそうでない場合とでユーザ・システム（２３１）の要求メニューを異なるようにして、ユーザ・システム（２３１）がデータの取得要求が対話式のデータ取得を求めるものであるかどうかを判断できるようにしてもよい。そして、ユーザ・システム（２３１）は、名寄せシステム（２２１）に対して、データの取得要求が対話式のデータ取得であるかそうでないかを通知しうる。上記取得要求が対話式のデータ取得を求めるものであることに応じて、ユーザ・システム（２３１）は処理をステップ９０４に進める。一方、上記取得要求が対話式のデータ取得を求めるものでないことに応じて、ユーザ・システム（２３１）は処理をステップ９０３に進める。代替的には、ステップ９０２において、名寄せシステム（２２１）が、上記取得要求が対話式のデータ取得を求めるものであるかどうかを判断しうる。当該取得要求が対話式のデータ取得を求めるかどうかの判断は、例えば、名寄せシステム（２２１）とユーザ・システム（２３１）とのデータ提供契約においての取り決め事項を参照することによって行われうる。当該取り決め事項は、データの取得要求が対話式のデータ取得であるかどうかのデータを含みうる。上記取得要求は、例えばユーザ・システム（２３１）が名寄せシステム（２２１）に名寄せデータ又は集計データの送信を要求する送信要求でありうる。上記取得要求が対話式のデータ取得を求めるものであることに応じて、名寄せシステム（２２１）は処理をステップ９０４に進める。一方、上記取得要求が対話式のデータ取得を求めるものでないことに応じて、名寄せシステム（２２１）は処理をステップ９０３に進める。
ステップ９０３において、ユーザ・システム（２３１）は、当該自身がデータ提供者（すなわち、データ提供エンティティ）であるかどうかを判断しうる。ユーザ・システム（２３１）は、当該自身がデータ提供者であるかどうかをユーザが選択可能することによって、ユーザ・システム（２３１）が、当該自身がデータ提供者であるかどうかを判断できるようにしてもよい。または、当該自身がデータ提供者である場合とそうでない場合とでユーザ・システム（２３１）の要求メニューを異なるようにして、ユーザ・システム（２３１）が当該自身がデータ提供者であるかどうかを判断できるようにしてもよい。ユーザ・システム（２３１）は当該自身がデータ提供エンティティであることに応じて、処理をステップ９０４に進める。一方、ユーザ・システム（２３１）は当該自身がデータ提供エンティティでないことに応じて、処理を終了ステップ９１５に進める。代替的には、ステップ９０３において、名寄せシステム（２２１）は、上記取得要求が非同期のデータ取得を求めるものであるかどうかを判断する。上記取得要求は、例えば図８Ｂのステップ８１７で設定されたスケジュールに従うものでありうる。上記取得要求が非同期のデータ取得を求めるものであることに応じて、名寄せシステム（２２１）は処理をステップ９０４に進める。一方、上記取得要求が非同期のデータ取得を求めるものでないことに応じて、名寄せシステム（２２１）は処理を終了ステップ９１５に進める。
ステップ９０４において、名寄せシステム（２２１）は、データの当該送信要求にのみ有効な値（例えば、ソルト）を生成する。
ステップ９０５において、名寄せシステム（２２１）は、複数のサービス提供システムのうちの一部のサービス提供システム、もしくはそのうちの特定のグループのサービス提供システム、又は名寄せシステム（２２１）とデータ提供に関する契約をしている全てのサービス提供システムに、上記送信要求を送信する。また、名寄せシステム（２２１）は、上記送信要求とともに、上記値を上記サービス提供システムに送信する。
ステップ９０６において、サービス提供システムそれぞれは、例えばユーザ条件を満たすデータを特定し、当該特定されたデータを匿名化する。次に、サービス提供システムそれぞれは、当該データを管理するための識別番号と上記値とに基づいてハッシュ値を生成する。例えば、サービス提供システムそれぞれは、上記識別番号を上記値でハッシュ化する。なお、サービス提供システムそれぞれは同一のハッシュ化アルゴリズムを実装している。
ステップ９０７において、サービス提供システムそれぞれは、上記匿名化データと上記ハッシュ値とを名寄せシステム（２２１）に送信する。
ステップ９０８において、名寄せシステム（２２１）は、上記サービス提供システムから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せし、名寄せデータを得る。
ステップ９０９において、名寄せシステム（２２１）は、例えばユーザ・システム（２３１）からのデータ送信要求が名寄せデータをさらに集計した集計データの送信要求であるかどうかを判断する。名寄せシステム（２２１）は、集計データの送信要求でないことに応じて、処理をステップ９１１に進める。名寄せシステム（２２１）は、集計データの送信要求であることに応じて、処理をステップ９１１に進める。
ステップ９１０において、名寄せシステム（２２１）は、上記データの送信要求が集計データの送信要求でないことに応じて、上記データの送信要求が対話式のデータ取得かどうかを判断する。名寄せシステム（２２１）は、上記データの送信要求が対話式のデータ取得を求めるものであることに応じて、処理をステップ９１２に進める。一方、名寄せシステム（２２１）は、上記送信要求が対話式のデータ取得を求めるものでないことに応じて、処理をステップ９１３に進める。
ステップ９１１において、名寄せシステム（２２１）は、上記送信要求が集計データの送信要求であることに応じて、名寄せデータを所定の方法に従って名寄せデータを集計する。
ステップ９１２において、名寄せシステム（２２１）は、上記送信要求が対話式のデータ取得であることに応じて、ユーザ・システム（２２１）に名寄せデータが生成された旨を通知し、ユーザ・システムからのデータ送信要求に応じて、上記名寄せデータ又は上記集計データを送信する。
ステップ９１３において、名寄せシステム（２２１）は、対話式のデータ取得を求めるものでないことに応じて、上記名寄せデータ又は上記集計データを当該名寄せシステム（２２１）がアクセス可能な記憶媒体中に格納する。
ステップ９１４において、名寄せシステム（２２１）は、任意のタイミングにおいて（例えば、ユーザ・システム（２２１）からのデータ送信要求を受信することに応じて）、上記記憶媒体中に格納した名寄せデータ又は集計データをユーザ・システム（２２１）に送信する。そして、ユーザ・システム（２２１）は、当該送信された名寄せデータ又は集計データを、名寄せシステム（２２１）がサービス提供システムそれぞれからデータ受信することとは非同期的に受信する。
ステップ９１５において、名寄せシステム（２２１）は、上記処理を終了する。
図１０Ａ及び図１０Ｂは、本発明の実施態様に従い、名寄せデータを取得する処理のためのフローチャートを示す。当該フローチャートは、図３Ａ〜図３Ｃに示す第１の実施態様、図４Ａ〜図４Ｄに示す第２の実施態様、及び図７Ａ〜図７Ｄに示す第５の実施態様と類似又は重複するステップを含むものであるが、当該第１、２及び５の実施態様に記載の各ステップの全てを網羅するものではなく又は当該第１、２及び５の実施態様に記載の各ステップを排除するものでもないことに留意されたい。また、当該フローチャートを説明するために、便宜的に、図２Ａに示すデータ提供エンティティ（２０１〜２０４）、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）（以上が、コンピュータ・システム（２００）に含まれている）、並びに、第三者機関（２０９）を用いて説明する。
ステップ１００１において、名寄せシステム（２２１）は、名寄せデータを取得する上記処理を開始する。
ステップ１００２〜１００３それぞれは図９に示すステップ９０２〜９０３に対応するので、ステップ１００２〜１００３についてはステップ９０２〜９０３についての上記説明を参照されたい。
ステップ１００４において、名寄せシステム（２２１）は、複数のサービス提供システムＡ〜Ｄ（２１１〜２１４）のうち、ユーザ許可要求を処理することが可能なサービス提供システム（すなわち、ユーザ許可を得る為のサービス提供システム）を特定する。ユーザ許可要求を処理することが可能なサービス提供システムの特定は、例えばサービス提供システムＡ〜Ｄ（２１１〜２１４）のうちのいずれをユーザ認可要求の処理をするためのシステムであるかを名寄せシステム（２２１）とサービス提供システムとの間で取り決めておくことによって行われうる。なお、本フローチャートを説明する上で、便宜的に、サービス提供システムＡ（２１１）がユーザ許可要求を処理できるシステムであるとする。
ステップ１００５において、名寄せシステム（２２１）は、複数のサービス提供システムＡ〜Ｄ（２１１〜２１４）のうち、名寄せの為に匿名化データを提供しうるサービス提供システムを特定しうる。名寄せの為に匿名化データを提供しうるサービス提供システムの特定は、例えばサービス提供システムＡ〜Ｄ（２１１〜２１４）のうちのいずれを、匿名化データを提供するためのシステムであるかを名寄せシステム（２２１）とサービス提供システムとの間で取り決めておくことによって行われうる。なお、本フローチャートを説明する上で、便宜的に、サービス提供システムＡ〜Ｄ（２１１〜２１４）の全てがユーザ許可要求を処理できるシステムであるとする。
ステップ１００６において、名寄せシステム（２２１）は、ステップ１００４でのユーザ許可要求（すなわち、今回のユーザ許可）にのみ有効な値（例えば、ソルト）を生成する。当該値は、ユーザ許可要求が異なる毎に、異なる値となるように生成されるものである。
ステップ１００７において、名寄せシステム（２２１）は、ユーザ許可要求及び上記値、並びに、ユーザ許可要求を求めるユーザに関連付けられた匿名化された識別番号（例えば、ＵＵＩＤ）を、ステップ１００４で特定したサービス提供システムＡ（２１１）に送信する。また、名寄せシステム（２２１）は、ユーザ許可要求、上記値及び上記匿名化された識別番号（匿名化ＩＤ）とともに、任意的に名寄せの為に匿名化データを提供しうるサービス提供システムの証明書（公開鍵のみを含む）をサービス提供システムＡ（２１１）に送信しうる。なお、本フローチャートを説明する上で、便宜的に、データ提供エンティティ（２０１）がユーザ許可要求の許可を判断するユーザに関連付けられているシステムであるとする。
ステップ１００８において、サービス提供システムＡ（２１１）は、識別情報と匿名化された識別番号とのマッピング・テーブル（図１４の記憶手段（１４０８）を参照）を用いて、上記匿名化された識別番号から、匿名化されていない元の識別番号を特定する。
ステップ１００９において、サービス提供システムＡ（２１１）は、ステップ１００８で特定された識別番号を管理するデータ提供エンティティ（２０１）に、ステップ１００７のユーザ許可要求を送信する。データ提供エンティティ（２０１）は、上記ユーザ許可要求を受信することに応じて、データ提供エンティティ（２０１）のユーザ（以下、データ提供者ともいう）に上記ユーザ許可要求の内容を例えば画面上に表示する。また、データ提供エンティティ（２０１）は、データ提供者が上記表示された以外の許可条件を追加したり又は許可条件を修正したりすることを可能にするユーザ・インタフェースを画面上に表示しうる。データ提供エンティティ（２０１）は、データ提供者が上記ユーザ許可要求を承認したか又は承認しなかったかを示す結果データをサービス提供システムＡ（２１１）に送信する。
ステップ１０１０において、サービス提供システムＡ（２１１）は、上記結果データが上記ユーザ許可要求を承認したことを示しているかどうかを判断する。サービス提供システムＡ（２１１）は、上記結果データが承認したことを示していることに応じて、処理をステップ１０１１に進める。一方、サービス提供システムＡ（２１１）は、上記結果データが承認されなかったことを示していることに応じて、処理をステップ１０１２に進める。
ステップ１０１１において、サービス提供システムＡ（２１１）は、ステップ１００７で受信したサービス提供システムそれぞれの証明書又は第三者機関（２０９）から取得したサービス提供システムそれぞれの証明書中から、サービス提供システムそれぞれの公開鍵を取得する。
ステップ１０１２において、サービス提供システムＡ（２１１）は、承認が得られたことを示していることに応じて、承認が得られなかった旨の通知を名寄せシステム（２２１）に送信する。サービス提供システムＡ（２１１）は、当該通知の送信に応じて、処理を終了ステップ１０３２に進める。
ステップ１０１３において、サービス提供システムＡ（２１１）は、ステップ１００８で特定された識別番号、上記受信した値及び上記許可条件を有するトークンを生成する。
ステップ１０１４において、サービス提供システムＡ（２１１）は、ステップ１０１３で生成したトークンを、ステップ１０１１で取得したサービス提供システムそれぞれの各公開鍵で暗号化し、当該暗号化されたトークンのセットを生成する。
ステップ１０１５において、サービス提供システムＡ（２１１）は、上記暗号化されたトークンのセットを名寄せシステム（２２１）に送信する。
ステップ１０１６において、名寄せシステム（２２１）は、当該暗号化されたトークンのセットを受信する。
ステップ１０１７において、名寄せシステム（２２１）は、ステップ１００５で特定されたサービス提供システムそれぞれに、上記暗号化されたトークンのセットのうちの一つの暗号化トークンを送信する。名寄せシステム（２２１）は、上記暗号化されたトークン中の、例えば（対象であるサービス提供システム）：（対象トークン）のようなペアのキー＝値（KEY=VALUE）の情報を読み取り、当該暗号化されたトークンをどのサービス提供システムに送信するかを決定しうる。
ステップ１０１８において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、ステップ１０１７で送信された上記一つの暗号化されたトークンを受信する。
ステップ１０１９において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、当該暗号化されたトークンを、当該サービス提供システム自身の秘密鍵で復号する。
ステップ１０２０において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、当該復号したトークン中のユーザ許可条件を評価する。
ステップ１０２１において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、上記ユーザ許可条件を評価した結果が承認できるものであることに応じて、処理をステップ１０２２に進める。一方、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、上記ユーザ許可条件を評価した結果が承認できるものでないことに応じて、処理をステップ１０１７に戻す。
ステップ１０２２において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、ステップ１０１９で復号したトークンをサービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれがアクセス可能な記憶媒体中に格納する。当該トークン格納は、次回以降のユーザ許可条件の評価に用いる為である。
ステップ１０２３において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、上記復号したトークン中の識別番号に関連付けられた匿名化データを名寄せシステム（２２１）に送信する。
ステップ１０２４において、名寄せシステム（２２１）は、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれからの匿名化データを受信する。
ステップ１０２５において、名寄せシステム（２２１）は、上記受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せし、名寄せデータを得る。
ステップ１０２６〜１０３１それぞれは図９に示すステップ９０９〜９１４に対応するので、ステップ１０２６〜１０３１についてはステップ９０９〜９１４についての上記説明を参照されたい。
図１１Ａ〜図１１Ｃは、本発明の実施態様に従い、名寄せデータを取得する処理のためのフローチャートを示す。当該フローチャートは、図５Ａ〜図５Ｄに示す第３の実施態様と類似又は重複するステップを含むものであるが、当該第３の実施態様に記載の各ステップの全てを網羅するものではなく又は当該第３の実施態様に記載の各ステップを排除するものでもないことに留意されたい。また、当該フローチャートを説明するために、便宜的に、図５Ａに示すデータ提供エンティティ（５０１〜５０４）、サービス提供システムＡ〜Ｄ（５１１〜５１４）、名寄せシステム（５２１）及びユーザ・システム（５３１）（以上が、コンピュータ・システム（５００）に含まれている）、並びに、第三者機関（５０９）を用いて説明する。
ステップ１１０１において、ユーザ・システム（５３１）又は名寄せシステム（５２１）は、名寄せデータを取得する上記処理を開始する。
ステップ１１０２において、ユーザ・システム（５３１）は、データの取得要求が対話式のデータ取得を求めるものであるかどうかを判断しうる。データの取得要求が対話式のデータ取得で行うかどうかをユーザが選択可能にすることによって、ユーザ・システム（５３１）がデータの取得要求が対話式のデータ取得を求めるものであるかどうかを判断できるようにしてもよい。または、対話式のデータ取得である場合とそうでない場合とでユーザ・システム（５３１）の要求メニューを異なるようにして、ユーザ・システム（５３１）がデータの取得要求が対話式のデータ取得を求めるものであるかどうかを判断できるようにしてもよい。そして、ユーザ・システム（５３１）は、名寄せシステム（５２１）に対して、データの取得要求が対話式のデータ取得であるかそうでないかを通知しうる。上記取得要求が対話式のデータ取得を求めるものであることに応じて、ユーザ・システム（５３１）は処理をステップ１１０３に進める。一方、上記取得要求が対話式のデータ取得を求めるものでないことに応じて、ユーザ・システム（５３１）は処理を図９に示すステップ９０３又は図１０Ａに示すステップ１００３に進める。代替的には、ステップ１１０２において、名寄せシステム（５２１）が、上記取得要求が対話式のデータ取得を求めるものであるかどうかを判断しうる。当該取得要求が対話式のデータ取得を求めるかどうかの判断は、例えば、名寄せシステム（５２１）とユーザ・システム（５３１）とのデータ提供契約においての取り決め事項を参照することによって行われうる。当該取り決め事項は、データの取得要求が対話式のデータ取得であるかどうかのデータを含みうる。上記取得要求は、例えばユーザ・システム（５３１）が名寄せシステム（５２１）に名寄せデータ又は集計データの送信を要求する送信要求でありうる。上記取得要求が対話式のデータ取得を求めるものであることに応じて、名寄せシステム（５２１）は処理をステップ１１０３に進める。一方、上記取得要求が対話式のデータ取得を求めるものでないことに応じて、名寄せシステム（５２１）は処理を図９に示すステップ９０３又は図１０Ａに示すステップ１００３に進める。
ステップ１１０３において、ユーザ・システム（５３１）は、当該自身がデータ提供者（すなわち、データ提供エンティティ）であるかどうかを判断しうる。ユーザ・システム（５３１）は、当該自身がデータ提供者であるかどうかをユーザが選択可能することによって、ユーザ・システム（５３１）が当該自身がデータ提供者であるかどうかを判断できるようにしてもよい。または、当該自身がデータ提供者である場合とそうでない場合とでユーザ・システム（５３１）の要求メニューを異なるようにして、ユーザ・システム（５３１）が当該自身がデータ提供者であるかどうかを判断できるようにしてもよい。ユーザ・システム（５３１）は当該自身がデータ提供エンティティであることに応じて、処理をステップ１１０４に進める。一方、ユーザ・システム（５３１）は当該自身がデータ提供エンティティでないことに応じて、処理をステップ１１０９に進める。代替的には、ステップ１１０３において、名寄せシステム（５２１）が、ユーザ・システム（５３１）がデータ提供エンティティと同一であるかどうかを判断しうる。ユーザ・システム（５３１）がデータ提供エンティティと同一であることに応じて、名寄せシステム（５２１）は処理をステップ１１０４に進める。一方、名寄せシステム（５２１）は、ユーザ・システム（５３１）がデータ提供エンティティでないことに応じて、処理をステップ１１０９に進める。
ステップ１１０４において、ユーザ・システム（５３１）は、ユーザ・システム（５３１）がデータ提供エンティティと同一であることに応じて、当該ユーザ・システム（５３１）自身の識別番号（データを管理するための識別番号でもある）に関連付けられているサービス提供システムＡ（５１１）に、匿名化ＩＤを問い合わせる。サービス提供システムＡ（５１１）は、上記問い合わせに応じて、匿名化ＩＤをユーザ・システム（５３１）に返す。ユーザ・システム（５３１）は、当該サービス提供システムＡ（５１１）から匿名化ＩＤを受信する。
ステップ１１０５において、ユーザ・システム（５３１）は、名寄せデータ又は収集データの送信を依頼する名寄せシステムを特定する。例えば、図５Ａに示す名寄せシステム（５２１）が特定されたとする。ユーザ・システム（５３１）は、当該名寄せシステム（５２１）に、匿名化された識別番号及びユーザ許可条件、並びに任意的に、サービス提供システムＡ（５１１）を特定する情報を名寄せシステム（５２１）に送信する。
ステップ１１０６において、名寄せシステム（５２１）は、複数のサービス提供システムＡ〜Ｄ（５１１〜５１４）のうち、ユーザ許可要求を処理することが可能なサービス提供システムを特定する。なお、本フローチャートを説明する上で、便宜的に、サービス提供システムＡ（５１１）がユーザ許可要求を処理できるシステムであるとする。
ステップ１１０７において、名寄せシステム（５２１）は、今回のトークンの生成要求にのみ有効な値（例えば、ソルト）を生成する。当該値は、トークンの生成要求毎に、異なる値となるように生成されるものである。
ステップ１１０８において、名寄せシステム（５２１）は、上記トークンの生成要求とともに、ステップ１１０７で生成された値、並びに、上記匿名化された識別番号、及び任意的に、ユーザ許可条件、及び任意的に、複数のサービス提供システムのうちの匿名化データの取得対象であるサービス提供システムの証明書（公開鍵のみを含む）、及び任意的に、名寄せシステム（５２１）に関連付けられた固有のＩＤ（例えば、当該名寄せシステム（５２１）のＭＡＣアドレス又は製造番号）をサービス提供システムＡ（５１１）に送信する。
ステップ１１０９において、ユーザ・システム（５３１）は、ユーザ・システム（５３１）がデータ提供エンティティでないことに応じて、特定の収集されたテータに対して、ユーザ・システム（５３１）のユーザが名寄せシステム（５２１）に名寄せデータの送信を依頼する送信要求を当該名寄せシステム（５２１）に送信する。
ステップ１１１０〜１１１６それぞれは図１０Ａに示すステップ１００４〜１０１０に対応するので、ステップ１１１０〜１１１６についてはステップ１００４〜１０１０についての上記説明を参照されたい。
ステップ１１１７において、サービス提供システムＡ（５１１）は、名寄せシステム（５２１）からの証明書中それぞれから、サービス提供システムそれぞれの公開鍵を取得する。
ステップ１１１８は図１０Ａに示すステップ１０１２に対応するので、ステップ１１１８についてはステップ１０１２についての上記説明を参照されたい。
ステップ１１１９において、サービス提供システムＡ（５１１）は、識別番号（匿名化されていない）及び上記値、並びに任意的に、ユーザ許可条件を有するトークンを生成する。
ステップ１１２０〜１１３８それぞれは図１０Ａに示すステップ１０１４〜１０３２に対応するので、ステップ１１２０〜１１３８についてはステップ１０１４〜１０３２についての上記説明を参照されたい。
図１２Ａ〜図１２Ｃは、本発明の実施態様に従い、名寄せデータを取得する処理のためのフローチャートを示す。なお、当該フローチャートは、図６Ａ〜図６Ｃに示す第４の実施態様と類似又は重複するステップを含むものであるが、当該第４の実施態様に記載の各ステップの全てを網羅するものではなく又は当該第４の実施態様に記載の各ステップを排除するものでもないことに留意されたい。また、当該フローチャートを説明するために、便宜的に、図６Ａに示すデータ提供エンティティ（６０１〜６０４）、サービス提供システムＡ〜Ｄ（６１１〜６１４）、名寄せシステム（６２１）及びユーザ・システム（６３１）（以上が、コンピュータ・システム（６００）に含まれている）、並びに、第三者機関（６０９）を用いて説明する。
ステップ１２０１において、ユーザ・システム（６３１）又は名寄せシステム（６２１）は、名寄せデータを取得する上記処理を開始する。
ステップ１２０２及び１２０３それぞれは図１１Ａに示すステップ１１０２及び１１０３に対応するので、ステップ１２０２及び１２０３についてはステップ１１０２及び１１０３についての上記説明を参照されたい。
但し、上記ステップ１２０３において、ユーザ・システム（６３１）又は名寄せシステム（６２１）は、ユーザ・システム（６３１）がデータ提供エンティティと同一であることに応じて、処理をステップ１２０４（証明書より各サービス提供システムの公開鍵を取得）に進めるのに対して、上記ステップ１１０３において、ユーザ・システム（５３１）又は名寄せシステム（５２１）は、処理をステップ１１０４（匿名化ＩＤをサービス提供から取得）に進める点で異なる。
ステップ１２０４において、ユーザ・システム（６３１）は、ユーザ・システム（６３１）がデータ提供エンティティと同一であることに応じて、自己が保持している証明書中それぞれから、サービス提供システムそれぞれの公開鍵を取得する。ユーザ・システム（６３１）は、上記証明書を、例えば第三者機関（６０９）から入手可能である。
ステップ１２０５において、ユーザ・システム（６３１）は、識別番号（匿名化されていない）及び名寄せデータ又は集計データを要求する送信要求毎に異なる値（例えば、ソルト）、並びに任意的に、ユーザ許可条件を有するトークンを生成する。
ステップ１２０６において、ユーザ・システム（６３１）は、ステップ１２０５で生成したトークンを、ステップ１２０４で取得したサービス提供システムそれぞれの公開鍵で暗号化して、当該暗号化されたトークンのセットを生成する。
ステップ１２０７において、ユーザ・システム（６３１）は、当該暗号化されたトークンのセットを名寄せシステム（６２１）に送信する。
ステップ１２０８〜１２１５それぞれは図１１Ａ及び図１１Ｂに示すステップ１１０９〜１１１６に対応するので、ステップ１２０８〜１２１５についてはステップ１１０９〜１１１６についての上記説明を参照されたい。
ステップ１２１６において、サービス提供システムＡ（５１１）は、名寄せシステム（６２１）からの証明書中それぞれから、サービス提供システムそれぞれの公開鍵を取得する。
ステップ１２１７は図１１Ｂに示すステップ１１１８に対応するので、ステップ１２１７についてはステップ１１１８についての上記説明を参照されたい。
ステップ１２２１〜１２３７それぞれは図１１Ｃに示すステップ１１２２〜１１３８に対応するので、ステップ１２２１〜１２３７についてはステップ１１２２〜１１３８についての上記説明を参照されたい。
図１３は、図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従う名寄せシステムの機能ブロック図の一例を示した図である。
名寄せのためのコンピュータ・システム（１３００）は、データ提供エンティティ１〜ｎ（１３０１〜１３０６）、１又は複数のデータ提供エンティティにネットワークを介して接続されたサービス提供システム１〜ｎ（１３１１〜１３１４）、複数のサービス提供システムにネットワークを介して接続された名寄せシステム（１３２１）、及び、名寄せシステムにネットワークを介して接続されたユーザ・システム（１３３１）を備えているとする。
名寄せシステム（１３２１）は、ソルト生成手段（１３２２）、送信／受信手段（１３２３）、名寄せ手段（１３２４）、及び集計手段（１３２５）を備えている。また、名寄せシステム（１３２１）は、匿名化データを記憶するための記憶手段（１３２６）、及び名寄せデータ及び／又は集計データを記憶するための記憶手段（１３２７）を備えているか、又は、当該記憶手段（１３２６，１３２７）にケーブルを介して又はネットワークを介してアクセス可能である。
ソルト生成手段（１３２２）は、データの送信を要求する送信要求毎に異なる値を生成しうる。また、ソルト生成手段（１３２２）は、複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求毎に異なる値を生成しうる。
送信／受信手段（１３２３）は、図３Ｂ〜図３Ｃ、図４Ｃ〜図４Ｄ、図５Ｃ〜図５Ｄ、図６Ｂ〜図６Ｃ、及び図７Ｃ〜図７Ｄ中の各名寄せシステム（３２１、４２１、５２１、６２１、及び７２１）について示されている各種データ（例えば、匿名化データ、名寄せデータ及び集計データ）、ソルト、ハッシュ値、及び各種証明書を、サービス提供システム１〜ｎ（１３１１〜１３１４）又はユーザ・システム（１３３１）との間で送受信しうる。
名寄せ手段（１３２４）は、複数のサービス提供システムそれぞれから匿名化データを受信して、当該受信した匿名化データを名寄せし、名寄せデータを取得する。当該名寄せは、例えば、複数のサービス提供システムそれぞれから受信した匿名化データのうちから、ハッシュ値によって特定される匿名化データを名寄せすること、又は、トークンによって特定される匿名化データを名寄せすることによって行われうる。
集計手段（１３２５）は、名寄せデータを任意の集計方法を使用して集計し、集計データを生成する。
記憶手段（１３２６）は、複数のサービス提供システム１〜ｎ（１３１１〜１３１４）それぞれから送信された匿名化データを記憶する。記憶手段（１３２６）は、１又は複数の物理媒体である記憶装置から構成されうる。
記憶手段（１３２７）は、名寄せ手段（１３２４）で取得した名寄せデータ及び／又は集計手段（１３２５）で生成した集計データを記憶する。記憶手段（１３２７）は、１又は複数の物理媒体である記憶装置から構成されうる。
記憶手段（１３２６）と記憶手段（１３２７）は、１つの物理的な記憶媒体（例えば、図１の記憶媒体（１０８））で実現されてもよい。
図１４は、図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うサービス提供システムの機能ブロック図の一例を示した図である。
サービス提供システム１（１３１１）は、ハッシュ化手段（１４０１）、送信／受信手段（１４０２）、匿名化手段（１４０３）、暗号化／復号手段（１４０４）、トークン生成手段（１４０５）、及びトークン評価手段（１４０６）を備えている。また、サービス提供システム１（１３１１）は、匿名化データを記憶するための記憶手段（１４０７）、並びに、識別情報及び／又は匿名化された識別番号（匿名化ＩＤ）、及び／又はそれらのマッピング・テーブルを記憶するための記憶手段（１４０８）を備えているか、又は、当該記憶手段（１４０７，１４０８）にケーブルを介して又はネットワークを介してアクセス可能である。
ハッシュ化手段（１４０１）は、識別番号（例えば、ＵＵＩＤ）をソルトでハッシュ化してハッシュ値を生成する。
送信／受信手段（１４０２）は、図３Ｂ〜図３Ｃ、図４Ｃ〜図４Ｄ、図５Ｃ〜図５Ｄ、図６Ｂ〜図６Ｃ、及び図７Ｃ〜図７Ｄ中の各サービス提供システム（３１１〜３１４、４１１〜４１４、５１１〜５１４、６１１〜６１４、及び７１１〜７１４）について示されている各種データ（例えば、名寄せ対象のデータ、匿名化データ）、ソルト、ハッシュ値、トークン、又は各種証明書を、データ提供エンティティ１〜ｎ（１３０１〜１３０６）又は名寄せシステム（１３２１）との間で送受信しうる。
匿名化手段（１４０３）は、データ提供エンティティ１〜ｎ（１３０１〜１３０６）から収集したデータを匿名化する。
暗号化／復号手段（１４０４）は、各種データ（例えば、匿名化データ）を暗号化又は復号する。また、トークン生成手段（１４０５）によって生成されたトークンを暗号化して、当該暗号化されたトークンを生成する。
トークン生成手段（１４０５）は、識別番号及び複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求毎に異なる値、並びに任意的に、ユーザ許可条件を有するトークンを生成する。
トークン評価手段（１４０６）は、トークン中のユーザ許可条件を評価する。また、トークン評価手段（１４０６）は、トークン同士が同一であるかどうかを判断する。
記憶手段（１４０７）は、匿名化手段（１４０３）によって匿名化された匿名化データを記憶する。
記憶手段（１４０８）は、識別情報及び／又は匿名化された識別番号（匿名化ＩＤ）、及び／又はそれらのマッピング・テーブルを記憶する。
記憶手段（１４０７）と記憶手段（１４０８）とは、１つの物理的な記憶媒体（例えば、図１の記憶媒体（１０８））で実現されてもよい。
図１５は、図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うユーザ・システムの機能ブロック図の一例を示した図である。
ユーザ・システム（１３３１）は、データ送信要求手段（１５０１）、送信／受信手段（１５０２）、ハッシュ化手段（１５０３）、暗号化／復号手段（１５０４）、及びトークン生成手段（１５０５）を備えている。また、ユーザ・システム（１３３１）は、名寄せデータ及び／又は集計データを記憶するための記憶手段（１５０６）を備えているか、又は、当該記憶手段（１５０６）にケーブルを介して又はネットワークを介してアクセス可能である。
データ送信要求手段（１５０１）は、名寄せデータ又は集計データの送信を要求する送信要求を名寄せシステム（１３２１）に送信する。
送信／受信手段（１５０２）は、図３Ｂ〜図３Ｃ、図４Ｃ〜図４Ｄ、図５Ｃ〜図５Ｄ、図６Ｂ〜図６Ｃ、及び図７Ｃ〜図７Ｄ中の各ユーザ・システム（３３１、４３１、５３１、６３１、及び７３１）について示されている各種データ（例えば、名寄せデータ、集計データ）、暗号化されたトークン、又はハッシュ値を、名寄せシステム（１３２１）との間で送受信しうる。
ハッシュ化手段（１５０３）は、識別番号（例えば、ＵＵＩＤ）をソルトでハッシュ化してハッシュ値を生成する。
暗号化／復号手段（１５０４）は、暗号化された名寄せデータ又は集計データを復号する。また、トークン生成手段（１５０５）によって生成されたトークンを暗号化して、当該暗号化されたトークンを生成する。
トークン生成手段（１５０５）は、識別番号及びデータを要求する送信要求毎に異なる値、並びに任意的に、ユーザ許可条件を有するトークンを生成する。
記憶手段（１５０６）は、名寄せデータ及び／又は集計データを記憶する。
図１６は、図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うデータ提供エンティティの機能ブロック図の一例を示した図である。
データ提供エンティティ１（１３０１）は、データ収集手段（１６０１）、送信／受信手段（１６０２）、ユーザ許可条件入力手段（１６０３）、及び暗号化／復号手段（１６０４）を備えている。また、データ提供エンティティ１（１３０１）は、サービス提供システム１（１３１１）に提供するためのデータ及び識別情報を記憶するための記憶手段（１６０５）を備えているか、又は、当該記憶手段（１６０５）にケーブルを介して又はネットワークを介してアクセス可能である。
データ収集手段（１６０１）は、サービス提供システム１（１３１１）に提供するためのデータを収集し、当該収集したデータを記憶手段（１６０５）に格納する。
送信／受信手段（１６０２）は、図３Ｂ〜図３Ｃ、図４Ｃ〜図４Ｄ、図５Ｃ〜図５Ｄ、図６Ｂ〜図６Ｃ、及び図７Ｃ〜図７Ｄ中の各データ提供エンティティ（３０１〜３０４、４０１〜４０４、５０１〜５０４、６０１〜６０４、及び７０１〜７０４）について示されている各種データ（例えば、名寄せ対象のオリジナル・データ）を、サービス提供システム１（１３１１）との間で送受信しうる。詳細には、送信／受信手段（１６０２）は、サービス提供システム１（１３１１）に提供するためのデータを例えば当該サービス提供システム１（１３１１）に備えられた例えば周辺機器から受信し、且つ、記憶手段（１６０５）に格納されたデータをサービス提供システム１（１３１１）に送信する。
ユーザ許可条件入力手段（１６０３）は、データ提供エンティティ１（１３０１）のユーザに対して、ユーザ許可条件の承認を求め、また必要に応じて、追加のユーザ許可条件を入力することを可能にする。
暗号化／復号手段（１６０４）は、サービス提供システム１（１３１１）に提供するためのデータを暗号化する。
記憶手段（１６０５）は、サービス提供システム１（１３１１）に提供するためのデータ及び識別情報を記憶する。
図１７〜図１９はそれぞれ、本発明の実施態様に従い、名寄せデータを取得する処理の実例を示す。
図１７は、事故診断サービス提供会社（１７２１）が、各種データ提供エンティティ（１７０１〜１７０３）からの名寄せデータを取得し、事故原因の特定、事故の起き易い状況の解析、又は運転中の携帯電話操作との関連性などの情報を提供する例を示す。
データ提供者Ｘは、第三者機関（１７０９）より、識別ＩＤ（ＵＵＩＤ）の発行を受けているとする。データ提供者Ｘは、データ提供エンティティである車搭載機（１７０１）、カーナビ（１７０２）、及び携帯電話（１７０３）を所有しているとする。
データ提供者Ｘは、車ベンダーのサーバ・システム（サービス提供システムである）（以下、単に、「車ベンダー」という）（１７１１）と、データ提供者Ｘの所有する車搭電子制御ユニット（１７０１）から、運転データ（例えば、運転操作）、位置、速度情報、給油などの各種情報を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。車搭電子制御ユニット（１７０１）は、当該契約に基づいて、車ベンダー（１７１１）に、上記各種情報を定期的に若しくは任意の時間に、又は車ベンダー（１７１１）からのデータ送信要求に応じて送信しているとする。
同様に、データ提供者Ｘは、カーナビ・ベンダーのサーバ・システム（サービス提供システムである）（以下、単に、「カーナビ・ベンダー」という）（１７１２）と、データ提供者Ｘの所有するカーナビ（１７０２）から、天気、渋滞情報、近辺の信号、緊急車両の情報、路車間情報などの各種情報を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。カーナビ（１７０２）は、当該契約に基づいて、カーナビ・ベンダー（１７１２）に、上記各種情報を定期的に若しくは任意の時間に、又はカーナビ・ベンダー（１７１２）からのデータ送信要求に応じて送信しているとする。
同様に、データ提供者Ｘは、携帯電話ベンダーのサーバ・システム（サービス提供システムである）（以下、単に、「携帯電話ベンダー」という）（１７１３）と、データ提供者Ｘの所有する携帯電話（１７０３）から、操作記録、加速度情報、位置情報などの各種情報を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。携帯電話（１７０３）は、当該契約に基づいて、携帯電話ベンダー（１７１３）に、上記各種情報を定期的に若しくは任意の時間に、又は携帯電話ベンダー（１７１３）からのデータ送信要求に応じて送信しているとする。
事故診断サービス提供会社（名寄せシステムである）（１７２１）は、車ベンダー（１７１１）、カーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）それぞれと、匿名化データを収集且つ当該収集した匿名化データ又はそれを集計した集計データを他に提供してもよい旨の契約を締結しているとする。事故診断サービス提供会社（１７２１）は、複数のデータ提供者との契約により収集した情報を使用して、例えば、車１台当たりの各種情報、例えば平均運転時間若しくは距離、天気と運転との相関関係（例えば、日時若しくは道単位で）又はカーナビの使用状態を集計しており、また、当該集計サービスを提供しているとする。また、事故診断サービス提供会社（１７２１）はまた、複数のデータ提供者との契約により収集した情報を使用して、事故診断サービスを提供しているとする。
保険会社（ユーザ・システムである）（１７３１）は、事故診断サービス提供会社（１７２１）と、名寄せデータ又は集計データの提供をする旨の契約を締結しているとする。
保険会社（１７３１）は、運転データよりデータ提供者Ｘが車事故を起こしたことを知った。
保険会社（１７３１）は、データ提供者Ｘの事故データに対する解析要求を事故診断サービス提供会社（１７２１）に送信する。代替的には、保険会社（１７３１）が事故データに対して解析をすることを事故診断サービス提供会社（１７２１）に事前に登録することによって、事故診断サービス提供会社（１７２１）が自動で事故データに対する解析を行ってもよい。
事故診断サービス提供会社（１７２１）は、車ベンダー（１７１１）からのデータをカーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）それぞれのデータと名寄せをする為のユーザ許可要求、及び当該許可要求にのみ有効なソルトを、当該ユーザ許可要求を処理することが可能な車ベンダー（１７１１）に送信する。上記ユーザ許可要求は、車ベンダー（１７１１）からのデータをカーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）それぞれのデータと名寄せをする旨の要求でありうる。また、事故診断サービス提供会社（１７２１）は、データ提供者Ｘの匿名化ＩＤ、並びに、カーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）の各証明書（公開鍵を含む）を車ベンダー（１７１１）に送信する。
車ベンダー（１７１１）は、受信した匿名化ＩＤからＵＵＩＤを特定する。そして、車ベンダー（１７１１）は、上記ユーザ許可要求を当該ＵＵＩＤに関連付けられたデータ提供者Ｘ（例えば、データ提供者Ｘの携帯電話）に送信する。データ提供者Ｘの携帯電話は、上記ユーザ許可要求を受信することに応じて、上記ユーザ許可要求を承認するかどうかのユーザ・インタフェースを表示する。データ提供者Ｘの携帯電話は、上記ユーザ許可要求が承認されることに応じて、当該承認された旨のメッセージを車ベンダー（１７１１）に送信する。一方、データ提供者Ｘの携帯電話は、上記ユーザ許可要求が承認されなかったことに応じて、当該承認されなかった旨のメッセージを車ベンダー（１７１１）に送信する。
車ベンダー（１７１１）は、上記ＵＵＩＤ、上記許可条件及び上記ソルトからトークンを作成する。そして、車ベンダー（１７１１）は、任意的に、当該車ベンダー（１７１１）の公開鍵を上記証明書中から又は自身の証明書を格納した記憶媒体中にある証明書中から取得して、当該取得した公開鍵で上記トークンを暗号化しうる。車ベンダー（１７１１）は、カーナビ・ベンダー（１７１２）の公開鍵を上記証明書中から取得して、当該取得した公開鍵で上記トークンを暗号化する。同様に、車ベンダー（１７１１）は、携帯電話ベンダー（１７１３）の公開鍵を上記証明書中から取得して、当該取得した公開鍵で上記トークンを暗号化する。すなわち、車ベンダー（１７１１）は、車ベンダー（１７１１）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＡという）とカーナビ・ベンダー（１７１２）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＢという）と携帯電話ベンダー（１７１３）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＣという）とのセット（以下、「暗号化されたトークンのセット１」という）、又は、カーナビ・ベンダー（１７１２）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＢという）と携帯電話ベンダー（１７１３）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＣという）とのセット（以下、「暗号化されたトークンのセット２」という）を作成する。
車ベンダー（１７１１）は、上記暗号化されたトークンのセット１又は２を事故診断サービス提供会社（１７２１）に送信する。
事故診断サービス提供会社（１７２１）は、上記暗号化されたトークンのセット１を受信した場合には、当該セット１のうちの暗号化トークンＡを車ベンダー（１７１１）に送信し、当該セット１のうちの暗号化トークンＢをカーナビ・ベンダー（１７１２）に送信し、当該セット１のうちの暗号化トークンＣを携帯電話ベンダー（１７１３）に送信しうる。また、事故診断サービス提供会社（１７２１）は、上記暗号化されたトークンのセット２を受信した場合には、当該セット２のうちの暗号化トークンＢをカーナビ・ベンダー（１７１２）に送信し、当該セット２のうちの暗号化トークンＣを携帯電話ベンダー（１７１３）に送信しうる。事故診断サービス提供会社（１７２１）は、当該暗号化されたトークンをＩＤとして管理する。事故診断サービス提供会社（１７２１）が上記暗号化トークンＡを車ベンダー（１７１１）に送信する前者の態様の場合、車ベンダー（１７１１）は、すでに暗号化トークンＡを事故診断サービス提供会社（１７２１）から受信しなくとも当該暗号化トークンＡを有しているので、事故診断サービス提供会社（１７２１）が上記暗号化トークンＡを車ベンダー（１７１１）に送信しない後者の態様の方が、暗号化されたトークンの処理として冗長でない点で有用である。
カーナビ・ベンダー（１７１２）は、上記暗号化されたトークンのセット１又は２のうちの上記暗号化トークンＢを受信し、当該カーナビ・ベンダー（１７１２）の秘密鍵で当該受信した暗号化トークンＢを復号して、トークンＢを得る。同様に、携帯電話ベンダー（１７１３）は、上記暗号化されたトークンのセット１又は２のうちの上記暗号化トークンＣを受信し、当該携帯電話ベンダー（１７１３）の秘密鍵で当該受信した暗号化トークンＣを復号して、トークンＣを得る。
同様に、車ベンダー（１７１１）は、トークンＡ中の許可条件を評価する。そして、車ベンダー（１７１１）は、当該許可条件が満たされることに応じて、ＵＵＩＤによって特定されるデータ（車からの各種データ）を匿名化して、当該匿名化データを事故診断サービス提供会社（１７２１）にトークンＡとともに送信する。カーナビ・ベンダー（１７１２）は、復号されたトークンＢ中の許可条件を評価する。そして、カーナビ・ベンダー（１７１２）は当該許可条件が満たされることに応じて、ＵＵＩＤによって特定されるデータ（カーナビからの各種データ）を匿名化して、当該匿名化データを事故診断サービス提供会社（１７２１）にトークンＢとともに送信する。同様に、携帯電話ベンダー（１７１３）は、復号されたトークンＣ中の許可条件を評価する。そして、携帯電話ベンダー（１７１３）は当該許可条件が満たされることに応じて、ＵＵＩＤによって特定されるデータ（携帯電話からの各種データ）を匿名化して、当該匿名化データを事故診断サービス提供会社（１７２１）にトークンＣとともに送信する。
事故診断サービス提供会社（１７２１）は、車ベンダー（１７１１）、カーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）からの匿名化データを名寄せして集計し、集計データを作成する。当該集計データは、例えば、事故原因の特定、事故の起き易い状況の解析（例えば、天気、渋滞、若しくは経路との関係）、又は運転中の携帯電話操作との関連性などの情報を含みうる。
事故診断サービス提供会社（１７２１）は、上記集計データを保険会社（１７３１）に送信する。
保険会社（１７３１）は、上記集計データを利用して、データ提供者Ｘが起こした車事故についての保険金の計算に使用する。
図１８は、健康診断サービス提供会社（１８２１）が、各種データ提供エンティティ（１８０１〜１８０４）からの名寄せデータを取得し、病院Ａ（１８１１）での受診と病院Ｂ（１８１２）での受診の相関関係、傾向若しくは双方の受診記録による病気の診断、又は普段の運動記録と病気との関係の解析などの情報を提供する例を示す。
データ提供者Ｙは、第三者機関（１８０９）より、識別ＩＤ（ＵＵＩＤ）の発行を受けているとする。データ提供者Ｙは、データ提供エンティティである歩数計（１８０４）（スマートフォンによるアプリにより実装されるもの又は携帯型の端末でありうる）を所有しているとする。
データ提供者Ｙは、病院Ａのサーバ・システム（サービス提供システムである）（以下、単に、「病院Ａ」という）（１８１１）と、データ提供者Ｙの病院Ａ内での受診記録（例えば、データ提供エンティティ（１８０１）から収集されるデータ）を当該病院Ａ（１８１１）が他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。データ提供エンティティ（１８０１）は、当該契約に基づいて、病院Ａ（１８１１）に、上記各種情報を定期的に若しくは任意の時間に、又は病院Ａ（１８１１）からのデータ送信要求に応じて送信しているとする。
同様に、データ提供者Ｙは、病院Ｂのサーバ・システム（サービス提供システムである）（以下、単に、「病院Ｂ」という）（１８１２）と、データ提供者Ｙの病院Ｂ内での受診記録（例えば、データ提供エンティティ（１８０２）から収集されるデータ）を当該病院Ｂ（１８１２）が他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。データ提供エンティティ（１８０２）は、当該契約に基づいて、病院Ｂ（１８１２）に、上記各種情報を定期的に若しくは任意の時間に、又は病院Ｂ（１８１２）からのデータ送信要求に応じて送信しているとする。
同様に、データ提供者Ｙは、スポーツジムのサーバ・システム（サービス提供システムである）（以下、単に、「スポーツジム」という）（１８１３）と、データ提供者Ｙのスポーツジム内での運動記録（例えば、データ提供エンティティ（１８０３）から収集されるデータ）を当該スポーツジム（１８１３）に提供し且つ他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。データ提供エンティティ（１８０３）は、当該契約に基づいて、スポーツジム（１８１３）に、上記各種情報を定期的に若しくは任意の時間に、又はスポーツジム（１８１３）からのデータ送信要求に応じて送信しているとする。
同様に、データ提供者Ｙは、健康機器メーカーのサーバ・システム（サービス提供システムである）（以下、単に、「健康機器メーカー」という）（１８１４）と、データ提供者Ｙの所有する歩数計（１８０４）の運動記録を当該健康機器メーカー（１８１４）に提供し且つ他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。データ提供エンティティ（１８０４）は、当該契約に基づいて、健康機器メーカー（１８１４）に、上記各種情報を定期的に若しくは任意の時間に、又は健康機器メーカー（１８１４）からのデータ送信要求に応じて送信しているとする。
健康診断サービス提供会社（名寄せシステムである）（１８２１）は、病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれと、匿名化データを収集且つ当該収集した匿名化データ又はそれを集計した集計データを他に提供してもよい旨の契約を締結しているとする。健康診断サービス提供会社（１８２１）は、複数のデータ提供者との契約により収集した情報を使用して、病院Ａでの受診と病院Ｂでの受診の相関関係、傾向若しくは双方の受診記録による病気の診断、又は普段の運動記録と病気との関係の解析などの情報を提供しているとする。また、健康診断サービス提供会社（１８２１）はまた、複数のデータ提供者との契約により収集した情報を使用して、健康診断サービスを提供しているとする。
病院Ｚ（ユーザ・システムである）（１８３１）は、健康診断サービス提供会社（１８２１）と、ある疾病の患者に対して、運動、生活習慣、又は他の病気との関連などの統計記録を提供する旨の契約を締結しているとする。
病院Ｚ（１８３１）は、健康診断サービス提供会社（１８２１）に対して、最新の統計データを要求する。代替的には、病院Ｚ（１８３１）が統計データを収集することを健康診断サービス提供会社（１８２１）に事前に登録することによって、健康診断サービス提供会社（１８２１）が自動で統計データに対する解析を行ってもよい。
健康診断サービス提供会社（１８２１）は、データ提供者Ｙに関する情報の送信を要求する今回の送信要求にのみ有効なソルトを生成し、当該ソルトを上記送信要求とともに、病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれに送信する。
病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれは、上記送信要求を受信することに応じて、データ提供者ＹのＵＵＩＤを上記ソルトでハッシュ化し、ハッシュ値を生成する。病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれは、上記ＵＵＩＤを有するデータを匿名化して、匿名化データを生成し、当該匿名化データと上記ハッシュ値とのセットを健康診断サービス提供会社（１８２１）に送信する。
健康診断サービス提供会社（１８２１）は、病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれから匿名化データと上記ハッシュ値とのセットを受信する。健康診断サービス提供会社（１８２１）は、複数のサービス提供システム（１８１１、１８１２、１８１３、及び１８１４）それぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せし、名寄せデータを得る。健康診断サービス提供会社（１８２１）は、当該名寄せデータについて、例えば次のような解析を行い、データ提供者Ｙに関する集計データを生成する。
−ある疾病を持つ人が、
・別の疾病を持つ割合、又は、別の疾病の既往歴からの相関；
・運動しているデータ、又は、毎日の歩く距離との相関；及び、
・年齢又はその他の情報との相関。
−運動データ又は歩行データから、上記ある疾病にかかる確率の算出。
健康診断サービス提供会社（１８２１）は、上記集計データを病院Ｚ（１８３１）に送信する。
病院Ｚ（１８３１）は上記集計データを受信し、患者Ｙに対して、他院での診察若しくは投薬状況、及び運動などを考慮した診断を提供することができる。
図１９は、家電購買情報サービス提供会社（１９２１）が、各種データ提供エンティティ（１９０１〜１９０４）からの名寄せデータを取得し、家電Ａと家電Ｂの両方を持っている家庭の割合若しくは相関関係、消費者の嗜好の把握、又はレコメンデーション・サービスなどの情報を提供する例を示す。
データ提供者Ｚは、第三者機関（１９０９）より、識別ＩＤ（ＵＵＩＤ）の発行を受けているとする。データ提供者Ｚは、データ提供エンティティである家電Ａ（１９０１）、家電Ｂ（１９０２）、インターネット・ショッピング端末（１９０３）、及び家庭内エネルギー管理システム（ＨＥＭＳ）（１９０４）を所有しているとする。
データ提供者Ｚは、家電メーカーＡのサーバ・システム（サービス提供システムである）（以下、単に、「家電メーカーＡ」という）（１９１１）と、データ提供者Ｚの所有する家電Ａ（１９０１）から、使用記録データ（例えば、視聴チャンネル、視聴時間、又は接続周辺機器などの各種情報）を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。家電Ａ（１９０１）は、当該契約に基づいて、家電メーカーＡ（１９１１）に、上記使用記録データを定期的に若しくは任意の時間に、又は家電メーカーＡ（１９１１）からのデータ送信要求に応じて送信しているとする。
データ提供者Ｚは、家電メーカーＢのサーバ・システム（サービス提供システムである）（以下、単に、「家電メーカーＢ」という）（１９１２）と、データ提供者Ｚの所有する家電Ｂ（１９０２）から、使用記録データ（例えば、設定温度、稼働時間、風量、消耗品の劣化度、クリーニング状況、冷暖房などの運転状況などの各種情報）を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。家電Ｂ（１９０２）は、当該契約に基づいて、家電メーカーＢ（１９１２）に、上記使用記録データを定期的に若しくは任意の時間に、又は家電メーカーＢ（１９１２）からのデータ送信要求に応じて送信しているとする。
データ提供者Ｚは、インターネット・ショップのサーバ・システム（サービス提供システムである）（以下、単に、「インターネット・ショップ」という）（１９１３）と、データ提供者Ｚの所有するインターネット・ショッピング端末（１９０３）から、使用記録データ（例えば、注文商品、注文金額、注文頻度、購買関心のあるカテゴリ、又は精算情報などの各種情報）を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。インターネット・ショッピング端末（１９０３）は、当該契約に基づいて、インターネット・ショップ（１９１３）に、上記使用記録データを定期的に若しくは任意の時間に、又はインターネット・ショップ（１９１３）からのデータ送信要求に応じて送信しているとする。
データ提供者Ｚは、電力会社のサーバ・システム（サービス提供システムである）（以下、単に、「電力会社」という）（１９１４）と、データ提供者Ｚの所有するＨＥＭＳ（１９０４）から、使用記録データ（例えば、使用電力、蓄電量、売電量、時間帯における使用電力量、夜間発電量、どの家電をいつ使用しているかの情報などの各種情報）を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。ＨＥＭＳ（１９０４）は、当該契約に基づいて、電力会社（１９１４）に、上記使用記録データを定期的に若しくは任意の時間に、又は電力会社（１９１４）からのデータ送信要求に応じて送信しているとする。
家電購買情報サービス提供会社（名寄せシステムである）（１９２１）は、家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれと、匿名化データを収集且つ当該収集した匿名化データ又はそれを集計した集計データを他に提供してもよい旨の契約を締結しているとする。家電購買情報サービス提供会社（１９２１）は、複数のデータ提供者との契約により収集した情報を使用して、家電購買情報サービスを提供している。
家電販売店（ユーザ・システムである）（１９３１）は、家電購買情報サービス提供会社（１９２１）と、名寄せデータ又は集計データの提供をする旨の契約を締結しているとする。
家電販売店（１９３１）は、ある家電Ｒが、どこで、どのような消費者に対して販売活動をすればよいかについての情報を知りたいとする。
家電販売店（１９３１）は、家電Ｒを特定する情報とともに、当該家電Ｒについて上記知りたい情報の送信要求を家電購買情報サービス提供会社（１９２１）に送信する。
家電購買情報サービス提供会社（１９２１）は、家電Ｒに関する情報の送信を要求する今回の送信要求にのみ有効なソルトを生成し、当該ソルトを上記送信要求とともに、家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれに送信する。
家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれは、上記送信要求を受信することに応じて、データ提供者ＺのＵＵＩＤを上記ソルトでハッシュ化し、ハッシュ値を生成する。同様にして、データ提供者Ｚ以外のデータ提供者についても当該データ提供者のＵＵＩＤを上記ソルトでハッシュ化し、ハッシュ値を生成する。家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれは、上記データ提供者Ｚ及びその他のデータ提供者の各ＵＵＩＤを有する各データを匿名化して、各匿名化データを生成する。また、家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれは、当該匿名化データと当該匿名化データに関連付けられた上記ハッシュ値とのセットを家電購買情報サービス提供会社（１９２１）に送信する。
家電購買情報サービス提供会社（１９２１）は、家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれから匿名化データと上記ハッシュ値とのセットを受信する。家電購買情報サービス提供会社（１９２１）は、上記複数のサービス提供システム（１９１１、１９１２、１９１３、及び１９１４）それぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せし、名寄せデータを得る。家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）は、当該名寄せデータについて、例えば次のような解析を行い、家電Ｒに関する集計データを生成する。
−家電Ｒを持っている家庭の傾向又は相関関係：例えば、
・他にどのような家電を所有しているか；
・家電又は電力の使用形態；
・インターネットでの購買割合；及び、
・データ提供者の年代、規模、種類。
−家電Ｒを持っていない家庭の傾向又は相関関係（例えば、潜在的な購買層）。
家電購買情報サービス提供会社（１９２１）は、上記集計データを家電販売店（１９３１）に送信する。
家電販売店（１９３１）は上記集計データを受信し、例えば、家電Ｒの販促に適した広告を出したり若しくは家電Ｒの需要が高い購買層に対してダイレクトメールを送信したり、又は家電Ｒの適切な商品レイアウト（例えば他の商品との陳列の並び）をしたりすることができる。

Claims (17)

  1. 複数のサービス提供システムから送信された匿名化データを名寄せする方法であって、
    名寄せシステムが、前記複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求と当該許可要求毎に異なる値とを前記ユーザ許可要求を処理できるシステムに送信するステップと、
    前記ユーザが前記名寄せを許可することに応じて、前記ユーザ許可要求を受信したシステムが、前記ユーザに関連付けられた識別番号及び前記値を少なくとも有するトークンを作成するステップと、
    前記ユーザ許可要求を受信したシステムが、前記トークンを暗号化するステップと、
    前記ユーザ許可要求を受信したシステムが、前記暗号化されたトークンを前記名寄せシステムに送信するステップと、
    前記名寄せシステムが、前記暗号化されたトークンを、名寄せ対象の匿名化データを格納している前記複数のサービス提供システムのうちの少なくとも１つに送信するステップと、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記暗号化されたトークンを復号するステップと、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記復号されたトークンに基づいて、前記匿名化データを前記名寄せシステムに送信してもよいかどうかを判断するステップと、
    前記匿名化データを前記名寄せシステムに送信してもよいことに応じて、前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記匿名化データを前記名寄せシステムに送信するステップと、
    前記名寄せシステムが、前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記トークンによって特定される匿名化データを名寄せするステップと
    を実行することを含む、前記方法。
  2. 前記トークンが、ユーザ許可条件をさらに有する、請求項１に記載の方法。
  3. 前記判断するステップが、前記トークン中の前記ユーザ許可条件に従って、前記匿名化データを前記名寄せシステムに送信してもよいかどうかを判断することを含む、請求項２に記載の方法。
  4. 前記方法が、
    前記名寄せシステムが、前記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを、当該名寄せされたデータ又は当該集計データを利用するユーザに関連付けられたユーザ・システムに送信するステップ
    をさらに実行することを含む、請求項１に記載の方法。
  5. 前記名寄せシステムに送信される匿名化データが、前記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されている、請求項１に記載の方法。
  6. 前記方法が、
    前記名寄せされたデータ又は前記集計データを利用するユーザに関連付けられたユーザ・システムが、前記暗号化された前記名寄せされたデータ又は前記集計データを、前記ユーザに関連付けられ且つ前記公開鍵に対応する秘密鍵を使用して復号するステップ
    をさらに実行することを含む、請求項５に記載の方法。
  7. 前記匿名化データを前記名寄せシステムに送信するステップが、
    前記複数のサービス提供システムそれぞれが、前記識別番号と前記値とに基づいてハッシュ値を生成するステップであって、前記複数のサービス提供システムそれぞれは同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、前記生成するステップと、
    前記複数のサービス提供システムそれぞれが、前記ハッシュ値と前記識別番号によって特定される匿名化データとのセットを前記名寄せシステムに送信するステップと、
    を含み、
    前記名寄せするステップが、
    前記複数のサービス提供システムそれぞれから受信した受信した匿名化データのうちから、前記ハッシュ値によって特定される匿名化データを名寄せするステップ
    を含む、
    請求項１に記載の方法。
  8. 前記トークンを暗号化するステップが、
    前記ユーザ許可要求を受信したシステムが、前記複数のサービス提供システムそれぞれの各公開鍵を使用して、前記トークンを暗号化し、当該暗号化されたトークンのセットを生成するステップ
    を含み、
    前記暗号化されたトークンを前記名寄せシステムに送信するステップが、
    前記暗号化されたトークンの前記セットを前記名寄せシステムに送信するステップ
    を含み、
    前記暗号化されたトークンを復号するステップが、
    前記暗号化されたトークンを受信したサービス提供システムが、前記暗号化されたトークンを、当該サービス提供システムの秘密鍵を使用して復号するステップ
    を含む、請求項１に記載の方法。
  9. 前記暗号化されたトークンを前記複数のサービス提供システムのうちの少なくとも１つに送信するステップが、
    前記暗号化されたトークンのセットのうちの一つを、当該暗号化されたトークンを暗号化した公開鍵に対応する秘密鍵を有するサービス提供システムに送信するステップ
    を含む、請求項８に記載の方法。
  10. 前記ユーザ許可要求を処理できるシステムに送信するステップが、
    前記複数のサービス提供システムの各証明書を、前記ユーザ許可要求を処理できるシステムにさらに送信するステップ
    を含み、
    前記暗号化されたトークンのセットを生成するステップが、
    前記各証明書から前記複数のサービス提供システムの各公開鍵を取り出すステップと、
    前記取り出した各公開鍵を使用して、前記トークンを暗号化するステップ
    を含む、
    請求項８に記載の方法。
  11. 前記暗号化されたトークンのセットを生成するステップが、
    前記複数のサービス提供システムの各公開鍵を、公開鍵を管理する管理サーバから取り出すステップ
    をさらに含み、
    前記暗号化されたトークンのセットを生成するステップが、
    前記取り出した公開鍵それぞれを使用して、前記トークンを暗号化するステップ
    を含む、
    請求項８に記載の方法。
  12. 複数のサービス提供システムから送信された匿名化データを名寄せする方法であって、
    前記匿名化データを名寄せした名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、前記複数のサービス提供システムのうちの１つのサービス提供システムに、当該ユーザの匿名化された識別番号を問い合わせるステップと、
    前記複数のサービス提供システムのうちの前記１つのサービス提供システムが、データの送信を要求する送信要求と前記問い合わせた識別番号とを名寄せシステムに送信するステップと、
    前記名寄せシステムが、前記送信要求と、当該送信要求毎に異なる値と、前記識別番号とを前記複数のサービス提供システムの少なくとも１つに送信するステップと、
    前記送信要求と当該送信要求にのみ有効な前記値と前記問い合わせた識別番号とを受信したサービス提供システムが、前記識別番号と前記値とに基づいてトークンを作成するステップと、
    前記送信要求と当該送信要求にのみ有効な前記値と前記問い合わせた識別番号とを受信したサービス提供システムが、前記トークンを暗号化するステップと、
    前記送信要求と当該送信要求にのみ有効な前記値と前記問い合わせた識別番号とを受信したサービス提供システムが、前記暗号化されたトークンを前記名寄せシステムに送信するステップと、
    前記名寄せシステムが、前記暗号化されたトークンを、名寄せ対象のデータを格納している前記複数のサービス提供システムのうちの少なくとも１つに送信するステップと、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記暗号化されたトークンを復号するステップと、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記復号されたトークンに基づいて、前記匿名化データを前記名寄せシステムに送信してもよいかどうかを判断するステップと、
    前記匿名化データを前記名寄せシステムに送信してもよいことに応じて、前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記匿名化データを前記名寄せシステムに送信するステップと、
    前記名寄せシステムが、前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記トークンによって特定される匿名化データを名寄せするステップと
    を実行することを含む、前記方法。
  13. 複数のサービス提供システムから送信された匿名化データを名寄せする方法であって、
    前記匿名化データを名寄せした名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、前記匿名化データを管理するための識別番号と前記匿名化データの送信を要求する送信要求毎に異なる値とを有するトークンを作成するステップと、
    前記ユーザ・システムが、前記トークンを暗号化するステップと、
    前記ユーザ・システムが、前記送信要求と前記暗号化されたトークンとを名寄せシステムに送信するステップと、
    前記名寄せシステムが、前記暗号化されたトークンを、名寄せ対象の匿名化データを格納している前記複数のサービス提供システムのうちの少なくとも１つに送信するステップと、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記暗号化されたトークンを復号するステップと、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記復号されたトークンに基づいて、前記匿名化データを前記名寄せシステムに送信してもよいかどうかを判断するステップと、
    前記匿名化データを前記名寄せシステムに送信してもよいことに応じて、前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記匿名化データを前記名寄せシステムに送信するステップと、
    前記名寄せシステムが、前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記トークンによって特定される匿名化データを名寄せするステップと
    を実行することを含む、前記方法。
  14. 前記トークンを暗号化するステップが、
    前記ユーザ・システムが、前記複数のサービス提供システムそれぞれの各公開鍵を使用して、前記トークンを暗号化し、当該暗号化されたトークンのセットを生成するステップ
    を含み、
    前記暗号化されたトークンを前記名寄せシステムに送信するステップが、
    前記暗号化されたトークンの前記セットを前記名寄せシステムに送信するステップ
    を含み、
    前記暗号化されたトークンを復号するステップが、
    前記暗号化されたトークンを受信したサービス提供システムが、前記暗号化されたトークンを、当該サービス提供システムの秘密鍵を使用して復号するステップ
    を含む、請求項１３に記載の方法。
  15. 名寄せのためのコンピュータ・システムであって、
    複数のサービス提供システムと、
    前記複数のサービス提供システムそれぞれから匿名化データを受信して、当該受信した匿名化データを名寄せするための名寄せシステムと
    を備えており、
    前記名寄せシステムが、前記複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求と当該許可要求毎に異なる値とを前記ユーザ許可要求を処理できるシステムに送信し、
    前記ユーザが前記名寄せを許可することに応じて、前記ユーザ許可要求を受信したシステムが、前記ユーザに関連付けられた識別番号及び前記値を少なくとも有するトークンを作成し、
    前記ユーザ許可要求を受信したシステムが、前記トークンを暗号化し、
    前記ユーザ許可要求を受信したシステムが、前記暗号化されたトークンを前記名寄せシステムに送信し、
    前記名寄せシステムが、前記暗号化されたトークンを、名寄せ対象の匿名化データを格納している前記複数のサービス提供システムのうちの少なくとも１つに送信し、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記暗号化されたトークンを復号し、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記復号されたトークンに基づいて、前記匿名化データを前記名寄せシステムに送信してもよいかどうかを判断し、
    前記匿名化データを前記名寄せシステムに送信してもよいことに応じて、前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記匿名化データを前記名寄せシステムに送信し、
    前記名寄せシステムが、前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記トークンによって特定される匿名化データを名寄せする、
    前記コンピュータ・システム。
  16. 名寄せのためのコンピュータ・システムであって、
    複数のサービス提供システムと、
    前記複数のサービス提供システムそれぞれからの匿名化データを受信して、当該受信した匿名化データを名寄せするための名寄せシステムと
    前記名寄せされるデータを利用するユーザに関連付けられたユーザ・システムと
    を備えており、
    前記ユーザ・システムが、前記複数のサービス提供システムのうちの１つのサービス提供システムに、当該ユーザの匿名化された識別番号を問い合わせし、
    前記複数のサービス提供システムのうちの前記１つのサービス提供システムが、データの送信を要求する送信要求と前記問い合わせた識別番号とを名寄せシステムに送信し、
    前記名寄せシステムが、前記送信要求と、当該送信要求毎に異なる値と、前記識別番号とを前記複数のサービス提供システムの少なくとも１つに送信し、
    前記送信要求と当該送信要求毎に異なる値と前記問い合わせた識別番号とを受信したサービス提供システムが、前記識別番号と前記値とに基づいてトークンを作成し、
    前記送信要求と当該送信要求にのみ有効な前記値と前記問い合わせた識別番号とを受信したサービス提供システムが、前記トークンを暗号化し、
    前記送信要求と当該送信要求にのみ有効な前記値と前記問い合わせた識別番号とを受信したサービス提供システムが、前記暗号化されたトークンを前記名寄せシステムに送信し、
    前記名寄せシステムが、前記暗号化されたトークンを、名寄せ対象のデータを格納している前記複数のサービス提供システムのうちの少なくとも１つに送信し、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記暗号化されたトークンを復号し、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記復号されたトークンに基づいて、前記匿名化データを前記名寄せシステムに送信してもよいかどうかを判断し、
    前記匿名化データを前記名寄せシステムに送信してもよいことに応じて、前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記匿名化データを前記名寄せシステムに送信し、
    前記名寄せシステムが、前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記トークンによって特定される匿名化データを名寄せする、
    前記コンピュータ・システム。
  17. 名寄せのためのコンピュータ・システムであって、
    複数のサービス提供システムと、
    前記複数のサービス提供システムそれぞれからの匿名化データを受信して、当該受信した匿名化データを名寄せするための名寄せシステムと
    前記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムと
    を備えており、
    前記名寄せされたデータ又は前記集計データを利用するユーザに関連付けられたユーザ・システムが、前記匿名化データを管理するための識別番号と前記匿名化データの送信を要求する送信要求毎に異なる値とを有するトークンを作成し、
    前記ユーザ・システムが、前記トークンを暗号化し、
    前記ユーザ・システムが、前記送信要求と前記暗号化されたトークンとを前記名寄せシステムに送信し、
    前記名寄せシステムが、前記暗号化されたトークンを、名寄せ対象の匿名化データを格納している前記複数のサービス提供システムのうちの少なくとも１つに送信し、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記暗号化されたトークンを復号し、
    前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記復号されたトークンに基づいて、前記匿名化データを前記名寄せシステムに送信してもよいかどうかを判断し、
    前記匿名化データを前記名寄せシステムに送信してもよいことに応じて、前記暗号化されたトークンを受信したサービス提供システムそれぞれが、前記匿名化データを前記名寄せシステムに送信し、
    前記名寄せシステムが、前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記トークンによって特定される匿名化データを名寄せする、
    前記コンピュータ・システム。
JP2013066377A 2013-03-27 2013-03-27 匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム Expired - Fee Related JP5939580B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2013066377A JP5939580B2 (ja) 2013-03-27 2013-03-27 匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム
US14/227,254 US9497170B2 (en) 2013-03-27 2014-03-27 Computer assisted name-based aggregation system for identifying names of anonymized data

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2013066377A JP5939580B2 (ja) 2013-03-27 2013-03-27 匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2016065827A Division JP6403709B2 (ja) 2016-03-29 2016-03-29 匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム

Publications (2)

Publication Number Publication Date
JP2014192707A JP2014192707A (ja) 2014-10-06
JP5939580B2 true JP5939580B2 (ja) 2016-06-22

Family

ID=51622037

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2013066377A Expired - Fee Related JP5939580B2 (ja) 2013-03-27 2013-03-27 匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム

Country Status (2)

Country Link
US (1) US9497170B2 (ja)
JP (1) JP5939580B2 (ja)

Families Citing this family (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150278545A1 (en) * 2014-03-28 2015-10-01 Aruba Networks, Inc. Anonymization of client data
US11575673B2 (en) * 2014-09-30 2023-02-07 Baxter Corporation Englewood Central user management in a distributed healthcare information management system
CN104811482A (zh) * 2015-04-01 2015-07-29 广东小天才科技有限公司 终端数据分类存储方法及系统
JP6701646B2 (ja) 2015-09-02 2020-05-27 富士通株式会社 情報処理装置、情報処理システム及び情報管理方法
JP6437416B2 (ja) * 2015-10-13 2018-12-12 日本電信電話株式会社 名寄せシステム、装置、方法及びプログラム
JP6466812B2 (ja) * 2015-10-13 2019-02-06 日本電信電話株式会社 名寄せシステム、装置、方法及びプログラム
US9870656B2 (en) * 2015-12-08 2018-01-16 Smartcar, Inc. System and method for processing vehicle requests
DE102016202659B3 (de) * 2016-02-22 2016-09-22 Siemens Aktiengesellschaft Verfahren und Vorrichtung zur Bereitstellung von aufgezeichneten, anonymisierten Routen
CN105844496A (zh) * 2016-03-31 2016-08-10 乐视控股（北京）有限公司 一种数据追踪的方法及装置
JP2017215868A (ja) * 2016-06-01 2017-12-07 Ｎｅｃソリューションイノベータ株式会社 匿名化処理装置、匿名化処理方法、及びプログラム
US10713382B1 (en) * 2017-01-09 2020-07-14 Microsoft Technology Licensing, Llc Ensuring consistency between confidential data value types
EP3358490A1 (en) * 2017-02-03 2018-08-08 Alcatel Lucent Method for protecting privacy in data queries
US10585180B2 (en) 2017-06-21 2020-03-10 International Business Machines Corporation Management of mobile objects
US10546488B2 (en) 2017-06-21 2020-01-28 International Business Machines Corporation Management of mobile objects
US10504368B2 (en) 2017-06-21 2019-12-10 International Business Machines Corporation Management of mobile objects
US10600322B2 (en) 2017-06-21 2020-03-24 International Business Machines Corporation Management of mobile objects
US10540895B2 (en) 2017-06-21 2020-01-21 International Business Machines Corporation Management of mobile objects
US10535266B2 (en) 2017-06-21 2020-01-14 International Business Machines Corporation Management of mobile objects
US10699804B2 (en) * 2017-07-19 2020-06-30 Katalyxer Srl System and method for the management of personal data relative to a user by maintaining personal privacy
JP7093171B2 (ja) 2017-11-10 2022-06-29 株式会社野村総合研究所 資産情報収集装置
JP7090983B2 (ja) * 2018-05-21 2022-06-27 ジェネクスト株式会社 携帯情報端末操作判別装置
JP6928581B2 (ja) * 2018-05-25 2021-09-01 ヤフー株式会社 情報処理装置、情報処理方法、情報処理プログラム及び制御プログラム
US11477217B2 (en) 2018-09-18 2022-10-18 Cyral Inc. Intruder detection for a network
US11606358B2 (en) * 2018-09-18 2023-03-14 Cyral Inc. Tokenization and encryption of sensitive data
US11477197B2 (en) 2018-09-18 2022-10-18 Cyral Inc. Sidecar architecture for stateless proxying to databases
US20220038892A1 (en) * 2018-10-26 2022-02-03 Eureka Analytics Pte Ltd Mathematical Summaries of Telecommunications Data for Data Analytics
JP6837186B1 (ja) * 2019-03-29 2021-03-03 楽天株式会社 ユーザ情報管理システム、ユーザ情報管理方法およびプログラム
US11586768B2 (en) * 2019-06-13 2023-02-21 Koninklijke Philips N.V. Privacy ensuring personal health record data sharing
JP7431098B2 (ja) 2020-04-17 2024-02-14 株式会社Ｎｔｔドコモ 情報処理装置
JP2022121227A (ja) * 2021-02-08 2022-08-19 富士フイルムビジネスイノベーション株式会社 情報処理装置及びプログラム
US20220318429A1 (en) * 2021-03-30 2022-10-06 Sophos Limited Programmable Feature Extractor with Anonymization

Family Cites Families (47)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5345587A (en) * 1988-09-14 1994-09-06 Digital Equipment Corporation Extensible entity management system including a dispatching kernel and modules which independently interpret and execute commands
US6734886B1 (en) * 1999-12-21 2004-05-11 Personalpath Systems, Inc. Method of customizing a browsing experience on a world-wide-web site
US6938019B1 (en) * 2000-08-29 2005-08-30 Uzo Chijioke Chukwuemeka Method and apparatus for making secure electronic payments
JP2002175432A (ja) 2000-12-06 2002-06-21 Gala Inc 配信仲介サービス装置の介在によりコンセプトメールを多数のターゲットに配信する方法およびその配信仲介サービス装置
US7181017B1 (en) * 2001-03-23 2007-02-20 David Felsher System and method for secure three-party communications
US7234059B1 (en) * 2001-08-09 2007-06-19 Sandia Corporation Anonymous authenticated communications
EP1504385A4 (en) * 2001-12-05 2008-12-03 Xchange Advantage Inc E METHOD AND SYSTEM FOR MANAGING DISTRIBUTED TRADING DATA
US7587486B2 (en) * 2003-01-08 2009-09-08 Microsoft Corporation Click stream analysis
JP4396490B2 (ja) 2004-03-19 2010-01-13 株式会社日立製作所 名寄せ制御方法
US7814119B2 (en) * 2004-03-19 2010-10-12 Hitachi, Ltd. Control of data linkability
US7644285B1 (en) * 2004-04-08 2010-01-05 Intuit Inc. Recovery access to secure data
CA2577841A1 (en) * 2004-08-19 2006-03-02 Claria Corporation Method and apparatus for responding to end-user request for information
US7385479B1 (en) * 2004-11-12 2008-06-10 Esp Systems, Llc Service personnel communication system
JP4664107B2 (ja) 2005-03-31 2011-04-06 株式会社日立製作所 事業者側装置、利用者側装置、個人情報閲覧更新システムおよび個人情報閲覧更新方法
JP2007142504A (ja) 2005-11-14 2007-06-07 Kotohaco:Kk 情報処理システム
JP2007181011A (ja) 2005-12-28 2007-07-12 Pro Secure Co Ltd データ共有装置
CA2531533C (en) * 2005-12-28 2013-08-06 Bce Inc. Session-based public key infrastructure
JP5238137B2 (ja) 2006-03-27 2013-07-17 日立オートモティブシステムズ株式会社 情報仲介システム、および、情報仲介方法
US8577933B2 (en) * 2006-08-02 2013-11-05 Crossix Solutions Inc. Double blinded privacy-safe distributed data mining protocol
US8874465B2 (en) * 2006-10-02 2014-10-28 Russel Robert Heiser, III Method and system for targeted content placement
US8756673B2 (en) * 2007-03-30 2014-06-17 Ricoh Company, Ltd. Techniques for sharing data
JP5095281B2 (ja) 2007-07-11 2012-12-12 株式会社日立製作所 文字列匿名化装置、文字列匿名化方法及び文字列匿名化プログラム
US9119050B1 (en) * 2007-08-13 2015-08-25 David Metcalf Apparatus and process for mobile comic serialization using messaging on the moving knowledge engine platform
JP4722903B2 (ja) * 2007-11-27 2011-07-13 株式会社日立製作所 Ｒｆｉｄデバイス、サーバ、及び計算機システム
US8140502B2 (en) * 2008-06-27 2012-03-20 Microsoft Corporation Preserving individual information privacy by providing anonymized customer data
US9003186B2 (en) * 2008-07-24 2015-04-07 Zscaler, Inc. HTTP authentication and authorization management
US9621341B2 (en) * 2008-11-26 2017-04-11 Microsoft Technology Licensing, Llc Anonymous verifiable public key certificates
JP2010128392A (ja) * 2008-11-28 2010-06-10 Canon Inc ハッシュ処理装置及びその方法
US8843997B1 (en) * 2009-01-02 2014-09-23 Resilient Network Systems, Inc. Resilient trust network services
US8364713B2 (en) * 2009-01-20 2013-01-29 Titanium Fire Ltd. Personal data manager systems and methods
JP2010237811A (ja) 2009-03-30 2010-10-21 Nec Corp 個人情報管理システム及び個人情報管理方法
US8707031B2 (en) * 2009-04-07 2014-04-22 Secureauth Corporation Identity-based certificate management
US8504718B2 (en) * 2010-04-28 2013-08-06 Futurewei Technologies, Inc. System and method for a context layer switch
US9270663B2 (en) * 2010-04-30 2016-02-23 T-Central, Inc. System and method to enable PKI- and PMI-based distributed locking of content and distributed unlocking of protected content and/or scoring of users and/or scoring of end-entity access means—added
JP5615593B2 (ja) * 2010-05-19 2014-10-29 株式会社ジャストシステム 電子文書管理装置、表示方法、表示プログラムおよび記録媒体
KR101425552B1 (ko) * 2010-10-04 2014-08-05 한국전자통신연구원 제어가능 연결성을 제공하는 그룹서명 시스템 및 방법
US9154539B2 (en) * 2011-03-21 2015-10-06 Microsoft Technology Licensing, Llc Consolidating event data from different sources
JP5655718B2 (ja) * 2011-06-24 2015-01-21 富士通株式会社 変換処理方法、装置及びプログラム、復元処理方法、装置及びプログラム
US9491146B2 (en) * 2011-09-07 2016-11-08 Elwha Llc Computational systems and methods for encrypting data for anonymous storage
BR112014009413A2 (pt) * 2011-10-17 2017-04-18 Intertrust Tech Corp sistemas e métodos para proteger e administrar informação genômica e outras
US10423952B2 (en) * 2013-05-06 2019-09-24 Institutional Cash Distributors Technology, Llc Encapsulated security tokens for electronic transactions
KR20150068392A (ko) * 2012-10-09 2015-06-19 엘지전자 주식회사 무선 통신 시스템에서 단말간 통신을 수행하는 방법 및 장치
US20150278806A1 (en) * 2012-10-11 2015-10-01 Bull Sas E-payment architecture preserving privacy
US20140123229A1 (en) * 2012-10-26 2014-05-01 Motorola Solutions, Inc. Antenna/actuation key assembly
JP5936765B2 (ja) * 2013-03-05 2016-06-22 株式会社日立製作所 データ処理装置、データ処理システム、および、データ処理方法
US9059989B2 (en) * 2013-07-18 2015-06-16 Vmware, Inc. Hash synchronization for preventing unauthorized server access using stolen passwords
US20150067185A1 (en) * 2013-09-04 2015-03-05 Akamai Technologies, Inc. Server-side systems and methods for reporting stream data

Also Published As

Publication number Publication date
US9497170B2 (en) 2016-11-15
US20140298030A1 (en) 2014-10-02
JP2014192707A (ja) 2014-10-06

Similar Documents

Publication Publication Date Title
JP5939580B2 (ja) 匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム
JP6435584B2 (ja) 情報管理方法および情報管理システム
US8990834B2 (en) Managing healthcare information in a distributed system
US8977572B2 (en) Systems and methods for patient-controlled, encrypted, consolidated medical records
CN105765598B (zh) 经由本地化个人化的隐私实施
US20110247029A1 (en) Techniques for offering context to service providers utilizing incentives
JP2013512525A (ja) インセンティブを利用してサービス・プロバイダーにコンテキストを提供する技法およびユーザー管理されるプライバシー
US9419946B2 (en) Method and apparatus for anonymously acquiring service information
JP2016006553A (ja) 情報提供方法、情報管理システムおよび端末機器の制御方法
JP5287027B2 (ja) アンケートデータ処理システム及びその方法、それを用いたアンケートシステム及びそれに用いる端末
KR20220068024A (ko) 인공지능 및 개인건강기록을 이용한 보험정보 제공 시스템 및 그 방법
Kapa et al. Contact tracing to manage COVID-19 spread—balancing personal privacy and public health
US20110238588A1 (en) Registration of product information and authenticity certification
KR20120093560A (ko) 의료정보 중계 방법
KR102245886B1 (ko) 협력형으로 개인정보를 보호하는 통신환경에서의 분석서버 및 분석서버의 동작 방법, 서비스제공장치 및 서비스제공장치의 동작 방법
EP2369540A1 (en) Registration of product information and authenticity certification
JP6429962B1 (ja) 情報処理装置、情報処理方法、及び情報処理プログラム
JP6403709B2 (ja) 匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム
US20110247030A1 (en) Incentives based techniques for offering context to service providers utilizing syncronizing profile stores
JP7312425B2 (ja) データ送受信方法
Hyysalo et al. Consent management architecture for secure data transactions
JP2002073787A (ja) 相性診断サーバ、相性診断方法およびその方法を実現するプログラムを記録した機械読取可能な記録媒体
KR20200071880A (ko) IoT 시스템에서의 개인정보수집 동의 절차 제공 방법 및 이를 수행하는 장치들
Wang et al. Health data security sharing method based on hybrid blockchain
WO2022153826A1 (ja) システム、検索サーバ、検索サーバの制御方法及び記録媒体

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20151117

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20160106

A871 Explanation of circumstances concerning accelerated examination

Free format text: JAPANESE INTERMEDIATE CODE: A871

Effective date: 20160106

A975 Report on accelerated examination

Free format text: JAPANESE INTERMEDIATE CODE: A971005

Effective date: 20160128

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20160302

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20160329

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20160329

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20160419

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20160422

RD14 Notification of resignation of power of sub attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7434

Effective date: 20160422

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20160511

R150 Certificate of patent or registration of utility model

Ref document number: 5939580

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees