JPWO2007088785A1 - 個人情報の漏洩阻止装置・方法 - Google Patents

Abstract

従来技術では、利用者の個人情報等に基づくパーソナル化されたサービス提供システムでは、個人情報をサービス提供者に提供する必要がある。このために、サービス提供者等からの個人情報漏洩の可能性の問題がある。本願発明では、利用者端末機とサービス提供者サーバとの間に信頼の置けるプロキシを配置し利用者の個人情報を管理する。プロキシは、サービス提供者サーバからコンテンツ作成に必要な情報を受信し、これに基づいて個人情報を反映したコンテンツを作成し利用者端末機に送信する。利用者からの副コンテンツ等を取得するリクエストに対しても個人情報が推測されないような対策をとる。

Description

本発明は、サービス利用者が自分の個人情報をサービス提供者に渡すことなく、サービス提供者からパーソナル化されたサービスの提供を受ける方法及び装置に関する。ここで、サービスとはサービス提供者によって提供される、商品情報、検索結果、及び、それらをパーソナル化した情報などを含むものとする。また個人情報とは、個人に関する情報で一般的に他人に知られたくない情報とする。個人情報の例としては、氏名、住所、生年月日、性別などがあげられる。
パーソナル化されたサービスとは、利用者個人に属している個人情報に基づいて、その個人に適合したサービスのことである。例えば女性にはその女性の個人情報に含まれる嗜好情報を反映した婦人服の情報を、一方男性にはその男性の個人情報に含まれる嗜好情報を反映した紳士服の情報を提供することは、パーソナル化されたサービス提供の一例である。

一般に利用者の個人情報及び嗜好情報に基づいて利用者の要求に合致する商品を提供するサービス提供システムはよく知られている。図１はその一例を示す概要図である。利用者は利用者端末機（２０）からインターネット（１０）を介して、サービス提供サーバ（５０）をアクセスする。
これらのサービス提供システムでは購入履歴などの個人情報をサービス提供者が保持している場合が多い。この場合、これらの個人情報の漏洩によって利用者が被害を受ける可能性がある。

個人情報を知られないように、利用者を匿名化して、つまり利用者の身元を明かさずにサービスを利用する方法としては特開2002-183092：「パーソナライズサービス提供システム」がある。これはプロキシがサービス利用者に身元が分らないような個人識別子を与えることで匿名化し、その匿名でパーソナル化されたサービスを利用する方法である。しかし当該技術ではサービス提供サーバ側でコンテンツのパーソナル化を行うので、利用者の名前を埋め込んだコンテンツ、例えば「鈴木太郎さん、こんにちは！」というメッセージを含んだコンテンツを提供することはできない。すなわち、パーソナル化に限界がある。

パーソナル化されたサービスを取得するために、個人情報をサービス提供者に渡さず、利用者端末やプロキシで行うという方法も考えられるが、その場合は、パーソナル化されたサービスがサービス提供サーバにメッセージを送るなどによって個人情報を漏らすことがないということを検証する必要が有る．そのような検証を行う方法としては information flow analysis「非特許文献１」を応用することが考えられる。しかしこの方法を厳格に適用すると、検証に成功するサービスの範囲が狭いという欠点が有る。
特開2002-183092「パーソナライズサービス提供システム」 小林直樹、白根慶太：低レベル言語のための情報流解析の型システム、コンピュータソフトウェア、Vol.20, No.2 (2003), pp.2-21

本発明の目的は、サービス提供者に個人情報を提供することなく個人の嗜好などの個人情報に基づくサービスを利用することが出来る装置・方法等を提供することである。従来技術では、利用者が、利用者個人の嗜好などに合わせたサービスを利用する場合は、その利用者に関する個人情報、例えば、性別、年齢、住所、及び、携帯電話番号等を「直接」サービス提供者に提供する必要がある。全てのサービス提供者が個人情報の管理を十分に行っている信用度の高いサービス提供者とは限らない。言い換えると個人情報の漏洩に対して十分な管理を行わないサービス提供者の存在は否定できない。

このように、個人情報をサービス提供者に提供する場合、サービス提供者が収集した個人情報が何らかの理由で他のサービス提供者へ漏洩し悪用されるおそれがある。例として、ｅメールアドレスを提供したサービス利用者へスパムメールが送付される可能性、あるいは、電話番号を提供した利用者が「振り込め詐欺」などの被害にあう可能性がある。さらに、性別、年齢、住所などの情報から、当該利用者が独居老人であることが分ると、治安上の問題が発生する可能性がある。

以下に課題を解決するために本願発明で開示する手段について説明する。
［請求項１］
請求項１では、実施例１に記載しているように、ブラウザで表示されるコンテンツが画像や音声データなどの他のコンテンツ（以下本願明細書では「副コンテンツ」と呼ぶ。）、及び、ハイパーリンクを含まない場合であって、サービス提供サーバ、プロキシ、及び、サービス利用者が使用する利用者端末機が相互にネットワークによって接続されているシステムにおいて、以下の（ａ）から（ｅ）の手段によって個人情報の漏洩を阻止するシステムを開示している。
（ａ）利用者端末機が、サービス提供サーバ上のコンテンツを取得するコンテンツ取得リクエストをプロキシへ送信する手段、
（ｂ）プロキシが、コンテンツ取得リクエストを受信し、サービス提供サーバに送信する手段、
（ｃ）サービス提供サーバが、コンテンツ取得リクエストに対応する一つ以上のコンテンツ・テンプレート、及び、サービス利用者の個人情報を用いて一のコンテンツ・テンプレートを選択し、コンテンツ・テンプレートから利用者の個人情報を反映したコンテンツを生成するための規則を、プロキシに送信する手段、
（ｄ）プロキシが、利用者の個人情報を用いて、規則に基づき、一のコンテンツ・テンプレートを選択し、コンテンツ・テンプレートから利用者の個人情報を反映したコンテンツを生成し、利用者端末機に送信する手段、
（ｅ）利用者端末機が、閲覧ソフトを使用してコンテンツを表示する手段。

［請求項２］
請求項２では、実施例２に記載しているように、ブラウザで表示されるコンテンツが、他の副コンテンツは含むがハイパーリンクを含まない場合であって、利用者端末機が閲覧ソフトを使用してコンテンツを表示する際に、請求項１のシステムが、さらに、以下（ａ）から（ｇ）の手段を含むシステムを開示する。
（ａ）利用者端末機が、コンテンツを表示する為に副コンテンツが必要な場合に、副コンテンツを取得する副コンテンツ取得リクエストを、プロキシへ送信する手段、
（ｂ）プロキシが、副コンテンツ取得リクエストを受信する手段、
（ｃ）プロキシが、各コンテンツ・テンプレートから生成されるコンテンツの表示に必要な副コンテンツ取得リクエストの集合をコンテンツ毎に求め、各副コンテンツ取得リクエスト集合が同一の場合には、各副コンテンツ取得リクエスト集合に含まれる副コンテンツ取得リクエストを所定の順序で、サービス提供サーバに送信する手段、
（ｄ）プロキシが、各コンテンツ・テンプレートから生成されるコンテンツの表示に必要な副コンテンツ要求リクエストの集合をコンテンツ毎に求め、各副コンテンツ取得リクエスト集合が同一ではない場合には、全ての副コンテンツ取得リクエストを所定の順序で、サービス提供サーバに送信する手段、
（ｅ）サービス提供サーバが、受信した全ての副コンテンツ取得リクエストに対応する副コンテンツをプロキシに送信する手段、
（ｆ）プロキシが、受信した副コンテンツをメモリに格納し、格納した副コンテンツの中から、利用者端末機から要求のあった副コンテンツを利用者端末機に送信する手段、
（ｇ）利用者端末機が、閲覧ソフトを使用して、副コンテンツを表示する手段。

［請求項３］
請求項３では、実施例３に記載しているように、ブラウザで表示されるコンテンツが、ハイパーリンクを含む場合であって、ネットワークが一つ以上のハイパーリンク先サーバを含み、利用者端末機が、閲覧ソフトを使用してコンテンツを表示し、請求項１又は２のシステムが、さらに、以下の（ａ）から（ｇ）の手段を含むシステムを開示する。
（ａ）利用者端末機が、利用者からハイパーリンクをアクセスする操作を受けた場合に、ハイパーリンク先のコンテンツを取得するハイパーリンク先コンテンツ取得リクエストを、プロキシへ送信する手段、
（ｂ）プロキシが、利用者端末機からハイパーリンク先コンテンツ取得リクエストを受信する手段、
（ｃ）プロキシが、各コンテンツ・テンプレートから生成されるコンテンツ毎に、コンテンツに含まれるハイパーリンクに対応するハイパーリンク先コンテンツ取得リクエストの集合を求め、各集合が同一の場合には、ハイパーリンク先コンテンツ取得リクエストをハイパーリンク先サーバへ送信する手段、
（ｄ）プロキシが、各コンテンツ・テンプレートから生成されるコンテンツ毎に、各コンテンツに含まれるハイパーリンクに対応するハイパーリンク先コンテンツ取得リクエストの集合を求め、各集合が同一ではない場合には、利用者端末機に所定の警告メッセージを送信する手段、
（ｅ）ハイパーリンク先サーバが、ハイパーリンク先コンテンツ取得リクエストを受信し、対応するコンテンツをプロキシに送信する手段、
（ｆ）プロキシが、受信したコンテンツを、利用者端末機に送信する手段、
（ｇ）利用者端末機が、閲覧ソフトを使用して、受信したコンテンツ、又は、所定の警告メッセージを表示する手段。

［請求項４］
請求項４では、実施例４に記載しているように、ブラウザで表示されるコンテンツが、ハイパーリンクを含む場合であって、サービス提供サーバが当該ウェブページをひとまとめにしてプロキシに送信して、当該リンク先のウェブページをプロキシに格納する場合であって、利用者端末機、プロキシ、サービス提供サーバ、及び、ハイパーリンク先サーバが相互にネットワークによって接続されているシステムにおいて、以下の（ａ）から（ｉ）の手段によって、個人情報の漏洩を阻止するシステムを開示する。
（ａ）利用者端末機が、サービス提供サーバ上のコンテンツを取得するコンテンツ取得リクエストをプロキシへ送信する手段、
（ｂ）プロキシが、コンテンツ取得リクエストを受信し、サービス提供サーバに送信する手段、
（ｃ）サービス提供サーバが、コンテンツ取得リクエストに対応するコンテンツ・テンプレート及び個人情報に基づいて一のコンテンツ・テンプレートを選択し、コンテンツ・テンプレートから利用者の個人情報を反映したコンテンツを生成するための規則、並びに、コンテンツ・テンプレートに含まれるハイパーリンクによって参照されているコンテンツを送信する手段、
（ｄ）プロキシが、コンテンツ・テンプレート、及び、規則、並びに、ハイパーリンクによって参照されているコンテンツを、キャッシュメモリに格納する手段、
（ｅ）プロキシが、コンテンツ・テンプレートから生成されるコンテンツ、ならびに前記コンテンツからハイパーリンクによってリンクされているキャッシュメモリに格納されたコンテンツに含まれるハイパーリンクのうち、リンク先がキャッシュメモリに格納された任意のコンテンツ以外のハイパーリンクに対応するハイパーリンク先コンテンツ取得リクエストの集合をコンテンツ・テンプレート毎に求め、各集合が同一であるかを調べ、同一でない場合には利用者端末に所定の警告メッセージを送信する手段、
（ｆ）プロキシが、利用者の個人情報を用いて、規則に基づき、一のコンテンツ・テンプレートを選択し、利用者の個人情報を反映したコンテンツを生成し、利用者端末機に送信する手段、
（ｇ）利用者端末機が、コンテンツを受信・表示し、さらに、利用者からハイパーリンクへアクセスする操作を受けた場合に、ハイパーリンク先のコンテンツを取得するハイパーリンク先コンテンツ取得リクエストをプロキシへ送信する手段、
（ｈ）プロキシが、ハイパーリンク先コンテンツ取得リクエストに対応するコンテンツをキャッシュメモリから検索し利用者端末機に送信する手段、
（ｉ）利用者端末機が、閲覧ソフトを使用して、受信したコンテンツ、又は、所定の警告メッセージを表示する手段。

［請求項５］
請求項５では、請求項１から４に記載のシステムにおいて、利用者端末機、及び、プロキシが物理的に一体化されているシステムについて開示する。

［請求項６］
請求項６では、請求項１に記載されているシステムにおいて、以下の（ａ）から（ｅ）のステップを有する個人情報漏洩阻止方法について開示する。
（ａ）利用者端末機が、サービス提供サーバ上のコンテンツを取得するコンテンツ取得リクエストをプロキシへ送信するステップ、
（ｂ）プロキシが、コンテンツ取得リクエストを受信し、サービス提供サーバに送信するステップ、
（ｃ）サービス提供サーバが、コンテンツ取得リクエストに対応する一つ以上のコンテンツ・テンプレート、及び、サービス利用者の個人情報を用いて一のコンテンツ・テンプレートを選択し、コンテンツ・テンプレートから利用者の個人情報を反映したコンテンツを生成するための規則を、プロキシに送信するステップ、
（ｄ）プロキシが、利用者の個人情報を用いて、規則に基づき、一のコンテンツ・テンプレートを選択し、利用者の個人情報を反映したコンテンツを生成し、利用者端末機に送信するステップ、
（ｅ）利用者端末機が、閲覧ソフトを使用してコンテンツを表示するステップ。

本願発明によれば、サービス利用者がサービス提供者に個人情報を提供することなく、利用者個人の情報に基づいたサービスの利用が可能となり、前述のような個人情報漏洩による様々な問題等が発生する可能性を大幅に減少させることが出来る。
さらに、サービス提供者の立場からみると、サービス利用者の個人情報については、それらの管理する必要がない。

従来技術に基づくパーソナル化サービス提供システムの概要を示す図である。 従来技術に基づくパーソナル化サービス提供システムにおける情報フロー図である。 従来技術に基づくパーソナル化サービス提供システムにおける情報フロー図である。 従来技術に基づくパーソナル化サービス提供システムにおける情報フロー図である。 本願発明のパーソナル化サービス提供システムの概要を示す図である。 本願発明のプロキシを示す図である。 本願発明のパーソナル化サービス提供システムにおける情報フロー図である。 本願発明のパーソナル化サービス提供システムにおける情報フロー図である。 本願発明のパーソナル化サービス提供システムにおける情報フロー図である。 本願発明のパーソナル化サービス提供システムの概要を示す図である。 本願発明のパーソナル化サービス提供システムの検索メニューを示す図である。 本願発明の個人情報の例を示す図である。 本願発明のパーソナル化されたコンテンツの例を示す図である。 本願発明のパーソナル化されたコンテンツの例を示す図である。 本願発明のパーソナル化されたコンテンツの例を示す図である。 本願発明のパーソナル化されたコンテンツの例を示す図である。 本願発明のパーソナル化されたコンテンツの例を示す図である。 本願発明のパーソナル化されたコンテンツの例を示す図である。 本願発明の実施例３のＰＣＧＰの内容を説明する図である。 本願発明の実施例４の拡張ＰＣＧＰの内容を説明する図である。 本願発明の実施例４の拡張ＰＣＧＰの内容を説明する図である。 本願発明の実施例１のフローを説明する図である。 本願発明の実施例２のフローを説明する図である。 本願発明の実施例３のフローを説明する図である。 本願発明の実施例４のフローを説明する図である。

以下に最良の形態を説明する。先ずWWWでのコンテンツの取得・描画方法に関する基本的な概念について説明する。
（１）WWW でのコンテンツ取得，描画方法
WWW (World Wide Web ) ではインターネット上に様々な情報（データのみならずプログラムも含む）がサービス提供者によって配備され、サービス利用者はPC（パーソナルコンピュータ）や携帯電話などの利用者端末機上のウェブブラウザ（以下本願明細書ではブラウザ）によってそれらの情報を閲覧、利用することができる。以下これらの情報を「コンテンツ」と呼ぶ。
コンテンツはインターネットに接続されたサービス提供サーバに配置され、そのサービス提供サーバ（ウェブサーバ）の上のコンテンツの特定には URL (Uniform Resource Locator) が用いられる。URL はインターネット上のリソースの場所を示し、そのリソースを取得するためのプロトコルなどのスキーム、リソースのあるサーバ（サーバマシン）の IP アドレス、そのポート番号、および、そのサーバ上でのリソースの所在を表すパス等から構成されている。
図２ａに従って情報の流れについて説明する。サービス利用者は閲覧したいコンテンツの URL をブラウザの入力部（不示図）に入力する。利用者端末機（２０）のブラウザは入力された URL に従いサービス提供サーバ（５０）へリクエストを送信し（ａ１）、該当するサーバからコンテンツを受信する（ａ２）。ブラウザは受信したコンテンツを利用者端末機の表示部に表示する。
表示する内容は受信したコンテンツのフォーマットによって異なる。例えば文字情報のみであって他のコンテンツを参照しない場合もある。また画像情報であれば、それらを描画して画面に表示し、さらに音声情報であればそれらを再生してスピーカーなどから音声を出力する（図２ｂ）。そのために、これらの情報の格納場所をアクセスし（ｂ１）、そこから必要な情報を取得する（ｂ２）。

さらに、コンテンツの内容に、ハイパーリンクが含まれ、利用者がそのハイパーリンク先のコンテンツを閲覧する場合（図２ｃ）には、そのハイパーリンク先サーバ（６０）をアクセスし（ｃ１）そこから必要な情報を取得し（ｃ２）、利用者端末機の表示部に表示することが出来る。
ここで、コンテンツの記述にはHTML (Hyper Text Markup Language) が多く用いられている。HTMLでは他のコンテンツへの参照、例えば画像データへの参照を記述することが可能である。
さらに、ハイパーリンク先サーバへリンクする場合にも、それらの記述は容易である。

（２）HTML 文書の例
以下に、簡単なHTLM文書の例を示す。
１ <html>
２ <head>
３ <title>例１</title>
４ </head>
５ <body>
６ 以下に写真を配置。<br />
７ <img src='http://host_a:8080/img/example0.jpg' /> <br />
８ <a href='http://host_b:9090/example0.html'>
９ ここはハイパーリンク
１０ </a> <br />
１１ 以下に写真を配置。<br />
１２ <img src='http://host_a:8080/img/example1.jpg' /> <br />
１３ <a href='http://host_b:9090/example1.html'>
１４ ここはハイパーリンク
１５ </a>
１６ </body>
１７ </html>

（２−１）html タグについて
<html>（１行目）から </html>（１７行目）までが HTML 文書である。html ではタグと呼ばれる<xxx>（開始タグ）</xxx>（終了タグ）で囲まれた部分、あるいは開始タグと終了タグをひとまとめにした<xxx/>というタグを一つの要素とみなしている。要素は入れ子にすることができる。
（２−２）head タグおよび body タグについて
HTML 文書は head タグを持つ head要素とbodyタグを持つ body要素で構成される。head 要素にはその HTML 文書のタイトルなどメタデータが書かれる。一方 body要素にはその HTML 文書の本文が書かれる。本文は地の文である文字列や、タグで囲まれた要素から構成される。

（２−３）画像データについて
ここで、img タグで指定される img 要素はそこに画像データを埋め込むことを示している。タグで指定された要素は付加的な情報を属性として持つことができる。例えば img 要素は src 属性によって画像が存在する URL を指定している。
（２−４）ハイパーリンクについて
また、a タグで指定される a 要素はハイパーリンクを示していて、タグで囲まれた部分と href 属性で指定された URL にあるコンテンツとを関連付ける（リンクさせる）ことを表している。

（３）ブラウザによる描画
上記の HTML 文書をブラウザが、利用者端末機の表示部（不示図）にどのようにして描画するかを以下に説明する。
１（６行目）．「以下に写真を配置。」という文字列を描画する。
２（６行目）．<br /> は改行を意味するので、描画位置を改行する。
３（７行目）．画像を配置することを意味する <img ...> が現れるので、src で指示されている URL で指定されているコンテンツ（画像データ）を取得する。具体的にはホスト名 host_a というサーバのポート番号 8080 に対して /img/example0.jpg というパスにあるコンテンツを要求する HTTP リクエストを送信し、そのサーバからコンテンツを取得する。

４（７行目）．取得した画像データを描画する。
５（７行目）．<br /> は改行を意味するので、描画位置を改行する。
６（８から１０行目）．<a...> ここはハイパーリンク</a> はハイパーリンクを意味するので「ここはハイパーリンク」という文字列をハイパーリンクであることが分かるように、アンダーラインあるいは色等を付けて描画する。
７（１０行目）．<br /> は改行を意味するので、描画位置を改行する。
８（１１行目）．「以下に写真を配置。」という文字列を描画する。
９（１１行目）．<br /> は改行を意味するので、描画位置を改行する。
１０（１２行目）．画像を配置することを意味する <img ...> が現れるので、src で指示されている URL で指定されているコンテンツ（画像データ）を取得する。具体的にはホスト名 host_a というサーバのポート番号 8080 に対して /img/example1.jpg というパスにあるコンテンツを要求する HTTP リクエストを送信し、そのサーバからコンテンツを取得する。

１１（１２行目）．取得した画像データを描画する。
１２（１２行目）．<br /> は改行を意味するので、描画位置を改行する。
１３（１３から１５行目）．<a...> ここはハイパーリンク</a> はハイパーリンクを意味するので「ここはハイパーリンク」という文字列をハイパーリンクであることが分かるように、アンダーライン、又は、色等を付けたて描画する。
１４（１７行目）終了。

（３−１）コンテンツ内容の分類
ブラウザによって表示されるコンテンツの内容を、本願明細書では以下のように３種類に分類する。実施例ではこれらの分類に応じた例を説明している。
（ａ）他の副コンテンツを参照しないコンテンツ
一般にHTMLで記述されるコンテンツは、そのコンテンツを描画するために必要な画像や音声データなど他のコンテンツへの参照を含んでいる。ここでは、他のコンテンツを参照しないコンテンツを考える。本願明細書では、あるコンテンツを描画するために必要となるコンテンツを「副コンテンツ」と呼ぶ。
（ｂ）他の副コンテンツを参照するコンテンツ
コンテンツを描画するために、他の副コンテンツを参照するコンテンツである。
利用者が閲覧しようとしているコンテンツをブラウザが描画する際には、上記の例のように通常はブラウザが自動的に副コンテンツを取得する。ブラウザによっては画像データなどを自動的に取得するか否かサービス利用者が設定できる。もしサービス利用者が「自動的に取得しない」と設定した場合にはブラウザは画像コンテンツを自動的に取得することはない。本願明細書では説明を簡単にするために画像データなどはブラウザが自動的に取得するものとする。

（ｃ）ハイパーリンク(form タグによるものも含む)されたコンテンツを参照するコンテンツ
ハイパーリンクは利用者端末機の表示画面上でアンダーラインや色分けによって強調された文字列や画像などで表される。その部分をクリックするとそれに対応するハイパーリンクされたコンテンツが表示される。ハイパーリンクで参照されるコンテンツはサービス利用者によるクリックなど、閲覧しているコンテンツ上でのサービス利用者の主体的な操作によって取得される。
なお、WWW でのコンテンツ取得には、一般にはHTTP (Hyper Text Transfer Protocol ) が用いられる。ブラウザは HTTP リクエストをサーバに送信する。HTTP リクエストにはサーバ上のコンテンツを指定するパスが含まれている。サーバはそのリクエストに含まれているパスで指定されているコンテンツを HTTP レスポンスとしてブラウザに送信する。

（４）コンテンツのパーソナル化
コンテンツを提供する際に、サービス利用者毎に利用者の個人情報に基づいて、当該利用者に適合したコンテンツを提供することが行われている。その結果同じ URL をブラウザから入力しても、サービス利用者ごとに異なるコンテンツがサーバから送信される。これをコンテンツのパーソナル化と呼ぶ。
コンテンツのパーソナル化はサーバ上のプログラムによって、動的にコンテンツを選択あるいは生成することにより行われている。そのプログラムにはサービス利用者の個人情報、すなわち利用者個人のプロファイルや嗜好情報、過去のコンテンツ取得の履歴や購買履歴などに基づいたコンテンツの生成方法が記載されている。従来技術ではサービス提供者がサービス利用者の個人情報を持つ必要がある。

コンテンツのパーソナル化を行う場合には、サービス提供者はサービス利用者に個人情報の提供を要求する。例えばサービス提供者が WWW 上で提供するサービスをサービス利用者が利用する際に、サービス利用者にユーザ登録を行わせ、必要な個人情報を収集している。
サーバはサービス提供開始時に個人認証を行うか、あるいは 利用者端末機内のHTTP Cookie などを利用して、サービスリクエストを発行したサービス利用者、または、その利用者の端末機を特定する。そしてその特定されたサービス利用者の個人情報に基づいてコンテンツのパーソナル化を行う。

ここで、実際の利用者端末機の表示画面の表示例を使って説明する。図７は検索メニュー画面を示している。このメニュー画面は、利用者が自分の携帯端末機等を用いて、自分の所望するシューズを検索する場合の検索画面である。利用者は、希望商品として「ジョギングシューズ」、希望メーカとして「xxxYY」、検索商品が自己の使用である旨を入力する。
図８は「個人情報の例」を示している。個人情報には、利用者の氏名、性別、年齢、住所、職業、年収、さらには、趣味、嗜好情報、購入履歴等の情報が含まれる。従来技術ではこれらの情報はサービス提供サーバに格納されている。これらの情報に基づいて、パーソナル化されたコンテンツの例として図９に「パーソナル化されたコンテンツの例（１）」が示されている。ここで、利用者の個人情報として、利用者が男性であること、及び、本人の購入履歴が利用されている。
以上の技術的背景のもとに、以下のように実施例１から実施例４について説明する。

１．概要図
実施例１では、ブラウザで表示されるコンテンツが他の副コンテンツ、及び、ハイパーリンクを含まない例、すなわち、前記コンテンツ分類の（ａ）の場合について説明する。
図３は本願発明の実施例の概要について示している。主要な構成要素としては、利用者端末機２０、プロキシ４０、サービス提供サーバ５０がある。
ここで、利用者端末機２０は好適にはウェブブラウザを搭載した携帯電話機である。プロキシ４０は、利用者端末機とサービス提供サーバとの間に位置している。また、プロキシ４０は利用者の個人情報をデータベースに格納し利用者の個人情報の管理を行う。サービス提供サーバ５０は、利用者にサービス情報を提供するサーバであり、好適にはウエブサーバである。
図３ではサービス提供サーバと利用者端末機の間に、利用者の個人情報を有するプロキシを配置し、コンテンツのパーソナル化をそのプロキシで行うが、プロキシ（４０）が利用者端末機（２０）に含まれ一体化されていてもよい。

２．プロキシの機能ブロック図
図４は、本願発明のプロキシ（４０）の機能ブロック図について説明している。ここで、プロキシの主要な構成要素として、利用者端末機I/F部（１１０）、制御部（１２０）、サービス提供サーバI/F部（１３０）、テンプレート選択部（１５０）、個人情報格納部（１６０）、テンプレート・パーソナル部（１７０）、及び、検証部（１９０）が含まれる。また、サービス提供サーバにはパーソナル化したコンテンツを生成するためのPersonalized Contents Generation Program（パーソナル化コンテンツ生成プログラム。以下本願明細書ではPCGPと呼ぶ。）が配備されている。PCGPの中には、コンテンツ・テンプレート・リスト、及び、個人情報に基づいてこのコンテンツ・テンプレート・リストから一つのコンテンツ・テンプレートを選択し、パーソナル化されたコンテンツを生成する規則が含まれている。

３．基本的な処理フロー
図１８は実施例１を説明するフロー図である。
１０：利用者によるコンテンツのURLの入力
２０：ブラウザからプロキシへリクエストの送信
３０：プロキシからサーバへリクエストの送信
４０：サーバからPCGPをプロキシへ送信
５０：プロキシで以下の処理の実行
・テンプレートの選択
・コンテンツのパーソナル化
・ブラウザへの送信
６０：ブラウザでの表示
以下、図３、図４、図５ａを参照しながら説明する。
（１）サービス利用者は利用者端末機（図３、２０）のブラウザに閲覧を希望するコンテンツの URL を入力する。
（２）ブラウザは、プロキシに当該URL のコンテンツを取得するリクエストを送信する（図５ａ、ａ１）。
（３）プロキシは当該リクエストに従ってサービス提供サーバにコンテンツ取得リクエストを送信する（図５ａ、ａ２）。
（４）サービス提供サーバは、受信したコンテンツ取得リクエストに記されたＵＲＬのパスに対応したPCGPをプロキシに送信する（図５ａ、ａ３）。PCGPには、前述のように、コンテンツ・テンプレート・リスト及び規則が含まれる。ここで、コンテンツ・テンプレートとは利用者の名前などの個人情報を埋め込むための「空欄」を有するコンテンツのことで、テンプレートに個人情報を適用するとその「空欄」は適切な個人情報（例えば名前）で置き換えられ、「空欄」のないコンテンツが生成される。規則とは、利用者の個人情報に基づいて、コンテンツ・テンプレート・リストの中から、当該利用者に該当する一つのコンテンツ・テンプレートを選択するための規則である。

（５）プロキシは受信したPCGPを実行する。PCGPの実行の第一段階では、サービス提供サーバI/F部（１３０）から検証部（１９０）へPCGPが送られ、当該PCGPによって作成されるコンテンツが個人情報を漏洩しないことの検証が行われる。一般的には、ＰＣＧＰは利用者の個人情報の値に応じて異なるコンテンツを作成する。例えば利用者が男性の場合と女性の場合で異なるコンテンツを作成する。それらの異なるコンテンツを描画する際、およびそれらのコンテンツに含まれるハイパーリンクを辿る際に送信されるコンテンツ取得リクエストが、それぞれのコンテンツで異なる場合には、サービス提供者はそれらを手掛かりとして利用者が男性であるか女性であるかを知ることができる。すなわち個人情報が漏洩する可能性がある。よって、ＰＣＧＰが作成し得るコンテンツ毎に、送信するメッセージの集合が同じであることを確かめ、個人情報が漏洩しないことを検証する必要が有る。実施例１では他のコンテンツへの参照を含まないコンテンツのみが生成されるので、検証に成功する。
（６）テンプレートの選択
次にPCGPはテンプレート選択部（１５０）へ送られ、個人情報格納部（１６０）に格納されている個人情報に基づき、適切な一つのコンテンツ・テンプレートを選択する（図４、１５０）。
（７）コンテンツのパーソナル化
PCGPの実行の第二段階では、テンプレート・パーソナル部（１７０）は選択されたコンテンツ・テンプレートに個人情報格納部（１６０）に格納されている利用者の個人情報を適用、すなわち「空欄」を適切な個人情報に置き換えて、パーソナル化したコンテンツを生成し、制御部（図４、１２０）へ送る。

（８）制御部（図４、１２０）は、パーソナル化されたコンテンツを利用者端末機I/F（図４、１１０）経由でブラウザに送信する（図５ａ、ａ４）。
（９）ブラウザは受信したコンテンツを描画してその利用者端末機に表示する。
以上より、実施例１では、他のコンテンツを参照しない場合について説明した。実施例１では、個人情報をサービス提供者に提供すること無く、図９及び図１０に示すようなパーソナル化されたコンテンツの例（１）及び（２）を示すことが出来る。

実施例２では、ブラウザで表示されるコンテンツが、他の副コンテンツは含むが他サイトへのリンクを含まない例、すなわちコンテンツ分類の（ｂ）の場合について説明する。
一般にコンテンツは画像・音声などの副コンテンツへの参照やハイパーリンクを含んでおり、ブラウザはそれらの副コンテンツを取得するため、あるいはサービス利用者がハイパーリンクをクリックすることによりリクエストを送信する。発信されるリクエストはコンテンツの内容によって異なる。ブラウザはコンテンツを処理する過程で、当該コンテンツに記載されている順に従って、これらの副コンテンツのリクエストを発信する。

これらの副コンテンツに対するリクエストが直接にサービス提供サーバへ送信されると、サービス提供サーバはそれらの順序あるいは特定のコンテンツのアクセス回数によって、当該利用者が閲覧しているコンテンツを特定できる場合がある。
図１１及び図１２に示されるパーソナル化されたコンテンツの例（３）及び（４）を例にとって説明する。
パーソナル化されたコンテンツ（３）を描画するために、ブラウザは画像１−＞画像１−＞画像２−＞画像３の順にリクエストを出す。一方、パーソナル化されたコンテンツ（４）をアクセスするために、ブラウザは画像４−＞画像４−＞画像５−＞画像６の順にアクセスする。
そうすると、この場合、サービス提供サーバは画像へのリクエストをモニターすることにより、現在の利用者が「男性」であるか「女性」であるかを断定できる。さらに、コンテンツの作成方法によっては、利用者の年齢層、住所の範囲、年収の幅などの情報がサーバから推定出来る場合がある。

一般的にサービス提供サーバは以下の情報を受信することによって、利用者の個人情報を推定あるいは断定することが出来る。
１．副コンテンツを取得するリクエストの種類
２．副コンテンツを取得するリクエストの順番
３．同じ副コンテンツを取得するリクエストの個数
これらの問題について以下に検討する。

１．副コンテンツを取得するリクエストの種類について
要求されるコンテンツの種類によって、個人の情報が類推されることは容易に考えられる。しかし一つのPCGPから生成され得る一つ以上のコンテンツの中で、どのコンテンツがブラウザに送られたとしても、同じリクエストがブラウザから送信される場合には、サービス提供サーバから見た場合、利用者が閲覧したコンテンツは推測出来ない。
そこで、一つのPCGPから生成される各コンテンツから生成されるリクエストが全て同じであることを検証する。もしそれらが異なる場合には、利用者が閲覧したコンテンツの如何に関わらず副コンテンツへのリクエストの和集合を取りそれに属する全てのリクエストをサーバに送信すると、サービス提供サーバは利用者がアクセスしたテンプレートを推測出来ない。
一例を示すと、ブラウザがコンテンツ１を描画する際に（画像１、及び、画像２）のリクエストを送信し、コンテンツ２を描画する際に（画像２、及び、画像３）のリクエストを送信する場合、これらの和集合である、（画像１、画像２、及び、画像３）のリクエストをプロキシが送信すれば、サービス提供サーバは利用者がアクセスしたテンプレートを推測出来ない。

２．副コンテンツを取得するリクエストの順番に関して
各コンテンツを描画する場合に同じリクエストが生成される場合において、リクエストの順序によっては、サービス提供サーバは利用者がどのコンテンツを閲覧しているか推測出来る場合がある。しかしこの場合には、プロキシがリクエストの順番を所定の規則に従って並べ替えることで、サービス提供サーバは利用者がどのコンテンツを閲覧しているか推測出来なくなる。例えば リクエストをＵＲＬに関する辞書式順序で送信するようにすれば、サービス提供サーバは利用者が閲覧したコンテンツを推測出来ない。

一例を示すと、ブラウザがコンテンツ１を描画する際に（画像１、及び、画像２）のリクエストを送信し、テンプレート２を描画する際に（画像２、及び、画像１）のリクエストを送信する場合、これらの和集合である、（画像１、及び、画像２）のリクエストをプロキシが送信すれば良いが、（画像１、及び、画像２）を送信するか、（画像２、及び、画像１）を送信するかによって、サービス提供サーバは利用者がアクセスしたコンテンツを推測出来る可能性がある。
そこで、これらの順序を所定の規則に従って並び替えることにより、例えば、コンテンツ１を描画するためのリクエストであっても、コンテンツ２を描画するためのリクエストであっても、画像１―＞画像２のように若い順序に置き換えることにより、サービス提供サーバは利用者が閲覧したコンテンツを推測出来ない。

３．同じ副コンテンツを取得するリクエストの個数に関して
同じ副コンテンツが複数回アクセスされる場合に、コンテンツによって、異なるコンテンツから同じ副コンテンツが複数回アクセスされる場合には、サービス提供サーバは利用者が閲覧したコンテンツを推測出来る可能性がある。

一例を示すと、ブラウザがコンテンツ１を描画する際に（画像１−＞画像１−＞画像２）のリクエストを送信し、コンテンツ２を描画する際に（画像１−＞画像２−＞画像２）のリクエストを送信する場合、これらの副コンテンツを取得するリクエストの種類は（画像１、及び、画像２）である。しかしコンテンツ１を描画する際のリクエストを、そのままサービス提供サーバに送信すると、サービス提供サーバは、画像１のリクエストが２つ存在するために、現在の利用者がコンテンツ１を使用していることを推測できる。
そこで、このように、同じ副コンテンツを要求する複数のコンテンツからのリクエストがある場合には、コンテンツ１を描画する際のリクエストである（画像１、画像１、及び、画像２）、及び、テンプレート２を描画する際のリクエストである（画像１、画像２、及び、画像２）の和集合を取る。すなわち、（画像１、及び、画像２）に対応するリクエストをサービス提供サーバへ送信する。これによってサービス提供サーバから利用者が閲覧しているコンテンツを推測されることは無い。

ここで、プロキシがサービス提供サーバから取得した副コンテンツをプロキシ内のキャッシュメモリ部（図６、１４０）に格納し、これらの副コンテンツを要求するリクエストに対して、サービス提供サーバをアクセスすることなく、キャッシュメモリ内に格納されている副コンテンツをサービス利用者に送信する。これらにより、要求されるリクエストの個数によって、サービス提供サーバから利用者が閲覧しているコンテンツを推測されることは無く、かつ、副コンテンツを取得する為のサービス提供サーバのアクセス効率も改善される。

以上より、本願発明ではサーバ側に利用者の個人情報が漏れないようにするために以下の様な対策を講じる。
（１）一つのPCGPから生成される各コンテンツが参照する副コンテンツのリクエスト集合を求める。
（２）求めたリクエスト集合全ての和集合をとり、それらを辞書式順序などの一定の規則に従ってサービス提供サーバへ送信する。
（３）取得した副コンテンツはプロキシのキャッシュメモリに格納しておき、取得した副コンテンツに対するリクエストに対しては、キャッシュメモリから検索する。

図１９は実施例２を説明するフロー図である。ここではブラウザが利用者端末機にコンテンツを表示する場合であって副コンテンツが要求される場面から説明する。
１０：ブラウザからプロキシへリクエストの送信
２０：プロキシがリクエストの和集合と順番を決定
３０：プロキシからリクエスト送信
４０：サーバからプロキシへ副コンテンツの送信
５０：プロキシは副コンテンツをキャッシュ
６０：プロキシはキャッシュした副コンテンツをリクエストに応じてブラウザへ送信
７０：ブラウザでの表示
以下、図３、図５b、図６を参照しながら説明する。以下図６に沿って説明する。図４と比較すると、異なる部分はキャッシュメモリ（１４０）、及び、リクエスト作成部（１８０）が追加されていることである。検証部（１９０）は、一つのPCGPから生成される全てのコンテンツについて、生成される可能性のあるリクエストを求める。各コンテンツから生成される可能性のあるリクエストが全て等しく、その個数が全て等しく、かつ、そのリクエストの順序も全て等しい場合には、副コンテンツをアクセスしても利用者の個人情報が漏洩することはない。
各コンテンツから生成される可能性のあるリクエストの種類が一つでも異なる場合、その個数が一つでも異なる場合、または、そのリクエストの順序が一つでも異なる場合には、リクエスト生成部（１８０）において、各コンテンツから生成される可能性のあるリクエストの和集合を求め、そのリクエストの和集合の順序を所定の規則に従って並び替え制御部１２０へ送る。

個人情報を適用してパーソナル化したコンテンツを生成するまでのプロセスは実施例１と同様に、テンプレート選択部（１５０）で個人情報に基づいて選択され、テンプレート・パーソナル部（１７０）で選択されたテンプレートのパーソナル化が行われる。制御部（１２０）はパーソナル化されたコンテンツを利用者端末機I/F部（１１０）を経由してブラウザへ送信する。パーソナル化されたコンテンツがブラウザで処理された結果生じるリクエストはプロキシへ送信される（図５b、ｂ１）。制御部（１２０）は、これを受け取ると、リクエスト生成部（１８０）から送られた順序を変更したリクエストの和集合に含まれる全てのリクエストを指定された順番通りにサービス提供サーバI/F部を介してサービス提供サーバへ送信する（図５b、ｂ２）。サービス提供サーバは、受信した各リクエストに対応する副コンテンツをプロキシに送信する（図５b、ｂ３）。プロキシは受信した副コンテンツをキャッシュメモリ部（１４０）に格納する。制御部（１２０）はブラウザから送信されたリクエストに対応する副コンテンツをキャッシュメモリ部（１４０）から検索する。検索された副コンテンツはブラウザに送信される（図５b、ｂ４）。ブラウザはこれを用いて、利用者端末機の表示部に副コンテンツを表示する。
以上より、実施例２では、他のコンテンツを参照する場合について説明した。本願発明によると、実施例２でも個人情報をサービス提供者に提供すること無く、図１１及び図１２に示すようなパーソナル化されたコンテンツの例（３）及び（４）を示すことが出来る。

実施例３では、ブラウザで表示されるコンテンツが、他コンテンツ（ウェブページ）へのハイパーリンクを含む例、すなわちコンテンツ分類の（ｃ）の場合について説明する。ただし、説明を簡潔にするために、ここではハイパーリンクに関する処理のみを説明する。副コンテンツの処理は実施例２と同様に行われるものとする。図１３及び図１４に示すパーソナル化されたコンテンツの例（５）及び（６）で、詳細情報の欄における「こちら」で示される部分がハイパーリンクされていることを示す。
ここで、パーソナル化されたコンテンツの例（５）における＃１の画像１に対応する詳細情報（こちら）をアクセスした場合に、サービス提供サーバは、現在の利用者が閲覧しているコンテンツを断定でき、かつ、当該利用者は男性であることを推測出来る。一方、パーソナル化されたコンテンツの例（６）における＃１の画像４に対応する詳細情報（こちら）をアクセスした場合は、サービス提供サーバは、現在の利用者を閲覧しているコンテンツを断定でき、かつ、当該利用者は女性であることを推測出来る。

図１５を用いて説明する。サービス利用者が所定のURLを指定し、当該URLに配置されているPCGPに含まれるコンテンツ・テンプレートが破線の矢印で示す様にA、B、及び、Cの３個あるとする。これらは図１５の一点鎖線の枠内で示されている。これらのコンテンツ・テンプレートは利用者の個人情報をもとに適切なものが選択される。ここで、さらにAのコンテンツ・テンプレートには、ハイパーリンク「ａ」が含まれ、実線の矢印で示すようにウェブページ「ａ」へハイパーリンクされている。Ｂのコンテンツ・テンプレートには、ハイパーリンク「ｂ」及び「ｃ」が含まれ、実線の矢印で示すようにウェブページ「ｂ」及び「ｃ」へハイパーリンクされている。Ｃのコンテンツ・テンプレートには、ハイパーリンク「ａ」及び「ｃ」が含まれ、実線の矢印で示すようにウェブページ「ａ」及び「ｃ」へハイパーリンクされている。ウェブページ「ｂ」がアクセスされると、利用者が閲覧しているコンテンツはコンテンツ・テンプレート「Ｂ」から生成されたものであることが断定できる。また、ウェブページ「ａ」、及び、「ｃ」がアクセスされると、利用者が閲覧しているコンテンツはコンテンツ・テンプレート「Ｃ」から生成されたものであることが断定できる。

一般に、所定のコンテンツのみからリンクされているウェブページをアクセスした場合、それらのアクセス情報から、利用者が閲覧しているコンテンツが断定でき、そのことから利用者の個人情報を推測することができる。また複数のアクセス情報からさらに多くの個人情報が推測される場合も考えられる。
逆に、一つのPCGPから生成される複数のコンテンツから生成され得るハイパーリンク先コンテンツ取得リクエストがそれぞれ同じである場合には、それらのアクセス情報から、利用者が閲覧しているコンテンツは推測出来ない。このときは、ハイパーリンクへのアクセスの順序は利用者が任意に選択することが出来るために、アクセスの順序に関する情報から利用者がアクセスしているコンテンツは推測出来ない。
そこで、本願発明ではサービス提供サーバ側に利用者の個人情報が漏れないことを以下のように検証する。

［検証方法および検証後の処理］
（１）一つのPCGPから生成される複数のコンテンツ・テンプレートから生成され得るハイパーリンク先コンテンツ取得リクエストがそれぞれ同じであることを検証する。
（２）ハイパーリンク先コンテンツ取得リクエストがそれぞれ同じである場合、すなわち検証に成功した場合には、パーソナル化されたコンテンツを利用者に送信する。
（３）ハイパーリンク先コンテンツ取得リクエストが同じでない場合、すなわち検証に失敗した場合には、パーソナル化されたコンテンツを利用者に送信するが、当該ハイパーリンクを利用者がアクセスした場合には、利用者が表示しているコンテンツから個人情報が漏れるおそれがある旨の「警告」を出す。
図１５の例で検討すると、
Aのコンテンツ・テンプレートからのハイパーリンク先コンテンツ取得リクエストは「ａ」、Ｂのコンテンツ・テンプレートからのハイパーリンク先コンテンツ取得リクエストは「ｂ及びｃ」、及び、Ｃのコンテンツ・テンプレートからのハイパーリンク先コンテンツ取得リクエストは「ａ及びｃ」であるので、
｛ａ｝≠｛ｂ，ｃ｝≠｛ａ，ｃ｝となり、検証には失敗する。

図２０は実施例３を説明するフロー図である。ここではブラウザが利用者端末機にコンテンツを表示する場合であってハイパーリンクに対応するコンテンツが要求される場面から説明する。なお図１８のステップ５０（プロキシで以下の処理）において、検証、すなわち、各コンテンツからハイパーリンクのクリックによって生成される可能性のあるリクエストが全て等しいか否かの検証が行われていることを前提に説明する。
１０：ブラウザで利用者からのハイパーリンク・クリックを検出
２０：ブラウザからプロキシへハイパーリンク・リクエストの送信
３０：検証に成功しているか？
４０：プロキシがハイパーリンク先サーバからコンテンツ取得
５０：プロキシからコンテンツをブラウザへ送信
６０：ブラウザでの表示
７０：プロキシからブラウザへ警告の送信
８０：ブラウザでの表示
９０：利用者からの表示意思の受信？
以下、処理フローについて説明する。図６の検証部（１９０）は、取得したPCGPに含まれるコンテンツ・テンプレートから生成される可能性の有る全てのコンテンツ各々について、そのコンテンツに含まれるハイパーリンクの集合を求める。各コンテンツに含まれるハイパーリンクの集合が全て等しい場合、すなわち検証に成功した場合には、利用者がハイパーリンクをアクセスすることにより利用者の個人情報が漏洩することはない。
なお、個人情報を適用してパーソナル化したコンテンツを生成するまでのプロセスは実施例２と同様に、テンプレート選択部（１５０）で個人情報に基づいて選択され、テンプレート・パーソナル部（１７０）で選択されたテンプレートのパーソナル化が行われる。当該パーソナル化されたコンテンツは制御部（１２０）を経由してブラウザへ送信される。
検証に成功した場合には、パーソナル化されたコンテンツに含まれるハイパーリンクを利用者がクリックした結果として生じるハイパーリンク先コンテンツ取得リクエストはプロキシへ送信される（図５c、ｃ１）。制御部（１２０）は、これを受け取ると、サービス提供サーバI/F部を介してサービス提供サーバへ送信する（図５c、ｃ２）。サービス提供サーバは受信したリクエストに対応したコンテンツをプロキシに送信する（図５c, ｃ３）。プロキシは受信したコンテンツを利用者端末機のブラウザに送信する（図５c, ｃ４）。ブラウザは受信したコンテンツを表示する。

各コンテンツに含まれるハイパーリンクの集合が等しくない場合、すなわち検証に失敗した場合には、パーソナル化されたコンテンツは制御部（１２０）を経由してブラウザへ送信され、パーソナル化されたコンテンツに含まれるハイパーリンクを利用者がクリックした結果として生じるハイパーリンク先コンテンツ取得リクエストはプロキシへ送信される（図５c、ｃ１）までは成功した場合と同様だが、制御部（１２０）は、これを受け取ると、ブラウザへ「当該ハイパーリンク先コンテンツ取得リクエストをハイパーリンク先に送信すると利用者の個人情報が推測されるおそれがある」ことを警告する(図５c、ｃ４)。ブラウザは受信した警告を表示する。

利用者が、当該「警告」にも関わらずアクセスすることを要求する場合には、サービス提供サーバへ送られる（図５c、ｃ２）。ハイパーリンクされたコンテンツは、ｃ３−＞ｃ４（図５c）を辿って、ブラウザへ送信されそこで表示される。
利用者が、当該「警告」に従いアクセスすることを中止した場合には、アクセスしない。

実施例４では、ブラウザで表示されるコンテンツが、他のコンテンツへのハイパーリンクを含む例であって、サービス提供サーバが当該コンテンツをひとまとめにしてプロキシに送信し、当該リンク先のコンテンツをプロキシのキャッシュメモリに格納する場合について説明する。実施例３と同様に、ここではハイパーリンクに関する処理のみを説明する。

図２１は実施例４を説明するフロー図である。ここではブラウザが利用者端末機にコンテンツを表示する場合であってハイパーリンクが要求される場面から説明する。なお図１８のステップ５０（プロキシで以下の処理）において、検証か行われていること、及び、テンプレートからリンクされたコンテンツをプロキシのキャッシュメモリへ格納する処理を行っていることを前提に説明する。
１０：ブラウザで利用者からのハイパーリンク・クリックを検出
２０：ブラウザからプロキシへハイパーリンク・リクエストの送信
３０：検証に成功しているか？
４０：プロキシがハイパーリンク先サーバからコンテンツ取得
５０：プロキシからコンテンツをブラウザへ送信
６０：ブラウザでの表示
７０：プロキシからブラウザへ警告の送信
８０：ブラウザでの表示
９０：利用者からの表示意思の受信？
１００：キャッシュしたコンテンツへのリクエスト？
１１０：プロキシはキャッシュしたコンテンツをブラウザへ送信
以下、図１６を参照しながらハイパーリンク先がウェブページである場合について説明する。サービス提供サーバはコンテンツ・テンプレートA、 B、 Cを含むPCGPと共にそれらからリンクされているウェブページa、 b、 cをひとまとめにしたもの、以下本願明細書では「拡張PCGP」と呼ぶ、をプロキシに送信する。これらは図１６の一点鎖線の枠内に示されている。
プロキシは当該「拡張PCGP」を受信し、それが個人情報を漏らすようなリクエストを生成しないことを次のようにして検証する。

［検証方法］（１）拡張PCGPに含まれるコンテンツ・テンプレート毎に、コンテンツ・テンプレートから生成されるコンテンツに含まれるハイパーリンクの集合を生成する。
図１６において、当該拡張PCGPに含まれるコンテンツ・テンプレートはA、B、及び、Cである。それぞれのコンテンツ・テンプレートに含まれるハイパーリンクの集合は以下のようになる。
A＝｛ａ｝
B＝｛ｂ，ｃ｝
C＝｛ａ，ｃ｝
（２）ハイパーリンクの集合の要素の中から、当該「拡張PCGP」に含まれるウェブページをハイパーリンクしているもの（例えば「ａ」）を選択し、当該ウェブページが含むハイパーリンクを当該集合の要素（例えば「ａ１」、及び、「ａ２」）として加える。ただし一度選択されたハイパーリンクは再び選択しない。その結果を示すと次のようになる。
A＝｛ａ，ａ１，ａ２｝
B＝｛ｂ，ｃ，ｂ１，ｂ２｝
C＝｛ａ，ｃ，ａ１，ａ２｝

（３）それぞれのハイパーリンクの集合に対して、選択するハイパーリンクがなくなるまで（２）の操作を繰り返す。拡張PCGPに含まれるウェブページは有限なので、必ずこの繰り返しは終了する。
A＝｛ａ，ａ１，ａ２｝
B＝｛ｂ，ｃ，ｂ１，ｂ２，ｃ１，ｃ２｝
C＝｛ａ，ｃ，ａ１，ａ２，ｃ１，ｃ２｝

（４）すべてのハイパーリンクの集合から、当該拡張PCGPに含まれるウェブページをリンクしているハイパーリンク（例えば「ａ」）を取り除く。その結果以下のようになる。
A＝｛ａ１，ａ２｝
B＝｛ｂ１，ｂ２，ｃ１，ｃ２｝
C＝｛ａ１，ａ２，ｃ１，ｃ２｝
この操作を行った後の集合は、対応するテンプレートから作成されるパーソナル化されたコンテンツが、サービス提供サーバに対してリクエストを送信する可能性のあるハイパーリンクの集合となっている。これらの集合が等しくなければ、サービス提供者に個人情報が漏れる恐れがある。

（５）それぞれのテンプレートに対応する集合がすべて等しいことを確認する。すべて等しければ検証に成功し、そうでなければ検証に失敗する。
図１６の例では、
｛ａ１，ａ２｝
≠｛ｂ１，ｂ２，ｃ１，ｃ２｝
≠｛ａ１，ａ２，ｃ１，ｃ２｝
であるので、検証に失敗する。

以上ハイパーリンク先がウェブページである場合について説明したが、ハイパーリンク先がウェブページではなくPCGP（および拡張PCGP）でもよい（図１７）。PCGPを含む拡張PCGPが図１７の一点鎖線の枠内に示されている。その場合はハイパーリンク先のPCGPを先に検証する。つまりPCGPが入れ子になっている場合、内側のものから検証を行う。図１７を用いて説明する。PCGPの場合には、さらに複数のウェブページが生成される。図１７ではコンテンツ・テンプレートＡに含まれるハイパーリンク「ａ」が指す先のコンテンツａがPCGPであり、「ａ１」、及び、「ａ２」のコンテンツ・テンプレートを含む。「ａ１」からさらに「ａ１１」及び「ａ１２」のハイパーリンクが張られ、「ａ２」からさらに「ａ２１」及び「ａ２２」のハイパーリンクが張られている場合には、ａ１、及び、ａ２のハイパーリンク集合を求め、先にPCGP a を検証する。
検証に成功した場合にはハイパーリンク先PCGPａによって生成されるコンテンツに含まれるハイパーリンクをコンテンツ・テンプレートＡのハイパーリンク集合の要素として加える。検証に失敗した場合には全体の検証も失敗するので、「ｂ」及び「ｃ」等の他のPCGPの検証は必要ない。

（６）検証に成功した場合、
当該拡張PCGPに含まれるコンテンツをキャッシュメモリ部（１４０）に格納する。またテンプレート選択部（１５０）でテンプレートを選択し、選択されたテンプレートをテンプレート・パーソナル部（１７０）に送り、パーソナル化されたコンテンツを作成する。作成されたパーソナル化されたコンテンツは利用者端末機Ｉ／Ｆ部（１１０）を通じて利用者端末機に送信される。

（７）検証に失敗した場合、
この場合の処理は実施例３の場合と同様に、パーソナル化されたコンテンツを利用者に送信する。当該リンクを利用者がアクセスした場合には、利用者が表示しているコンテンツから個人情報が漏れるおそれがある旨の「警告」を出す。

（８）利用者が当該拡張PCGPに含まれるコンテンツへのハイパーリンクをクリックした場合には、リクエストはプロキシに送信される。プロキシはキャッシュメモリ部（１４０）に格納されたコンテンツを利用者端末機に送信する。ただし、コンテンツがPCGPあるいは拡張PCGPである場合は、プロキシはパーソナル化したコンテンツを作成し、それを送信する。

符号の説明

１０：インターネット
２０：利用者端末機
３０：無線基地局
４０：プロキシ
５０：サービス提供サーバ
６０：ハイパーリンク先サーバ
１１０：利用者端末機I/F部
１２０：制御部
１３０：サービス提供サーバI/F部
１４０：キャッシュメモリ部
１５０：テンプレート選択部
１６０：個人情報格納部
１７０：テンプレート・パーソナル化部
１８０：リクエスト作成部
１９０：検証部

Claims (6)

1. サービス提供者サーバ、プロキシ、及び、サービス利用者が使用する利用者端末機が相互にネットワークによって接続されているシステムにおいて、以下の（ａ）から（ｅ）の手段を有する個人情報漏洩阻止システム、
   （ａ）前記利用者端末機が、前記サービス提供者サーバ上のコンテンツを取得するコンテンツ取得リクエストを前記プロキシへ送信する手段、
   （ｂ）前記プロキシが、前記コンテンツ取得リクエストを受信し、前記サービス提供者サーバに送信する手段、
   （ｃ）前記サービス提供者サーバが、前記コンテンツ取得リクエストに対応する一つ以上のコンテンツ・テンプレート、及び、サービス利用者の個人情報を用いて一のコンテンツ・テンプレートを選択し、前記コンテンツ・テンプレートから前記利用者の個人情報を反映したコンテンツを生成するための規則を、前記プロキシに送信する手段、
   （ｄ）前記プロキシが、前記利用者の個人情報を用いて、前記規則に基づき、一のコンテンツ・テンプレートを選択し、前記コンテンツ・テンプレートから前記利用者の個人情報を反映したコンテンツを生成し、前記利用者端末機に送信する手段、
   （ｅ）前記利用者端末機が、閲覧ソフトを使用して前記コンテンツを表示する手段。
2. さらに、前記利用者端末機が、前記閲覧ソフトを使用して前記コンテンツを表示する際に、以下（ａ）から（ｇ）の手段を含む請求項１に記載の個人情報漏洩阻止システム、
   （ａ）前記利用者端末機が、前記コンテンツを表示する為に副コンテンツが必要な場合に、前記副コンテンツを取得する副コンテンツ取得リクエストを、前記プロキシへ送信する手段、
   （ｂ）前記プロキシが、前記副コンテンツ取得リクエストを受信する手段、
   （ｃ）前記プロキシが、前記各コンテンツ・テンプレートから生成されるコンテンツの表示に必要な副コンテンツ取得リクエストの集合を前記コンテンツ毎に求め、前記各副コンテンツ取得リクエスト集合が同一の場合には、前記各副コンテンツ取得リクエスト集合に含まれる副コンテンツ取得リクエストを所定の順序で、前記サービス提供者サーバに送信する手段、
   （ｄ）前記プロキシが、前記各コンテンツ・テンプレートから生成されるコンテンツの表示に必要な副コンテンツ要求リクエストの集合を前記コンテンツ毎に求め、前記各副コンテンツ取得リクエスト集合が同一ではない場合には、全ての前記副コンテンツ取得リクエストを所定の順序で、前記サービス提供者サーバに送信する手段、
   （ｅ）前記サービス提供者サーバが、受信した全ての副コンテンツ取得リクエストに対応する副コンテンツを前記プロキシに送信する手段、
   （ｆ）前記プロキシが、受信した副コンテンツをメモリに格納し、前記格納した副コンテンツの中から、前記利用者端末機から要求のあった副コンテンツを前記利用者端末機に送信する手段、
   （ｇ）前記利用者端末機が、前記閲覧ソフトを使用して、前記副コンテンツを表示する手段。
3. さらに、前記ネットワークが一つ以上のハイパーリンク先サーバを含み、前記利用者端末機が、前記閲覧ソフトを使用して前記コンテンツを表示した後に、さらに、以下の（ａ）から（ｇ）の手段を含む請求項１又は２に記載の個人情報漏洩阻止システム、
   （ａ）前記利用者端末機が、前記利用者からハイパーリンクをアクセスする操作を受けた場合に、前記ハイパーリンク先のコンテンツを取得するハイパーリンク先コンテンツ取得リクエストを、前記プロキシへ送信する手段、
   （ｂ）前記プロキシが、前記利用者端末機から前記ハイパーリンク先コンテンツ取得リクエストを受信する手段、
   （ｃ）前記プロキシが、前記各コンテンツ・テンプレートから生成されるコンテンツ毎に、前記コンテンツに含まれるハイパーリンクに対応するハイパーリンク先コンテンツ取得リクエストの集合を求め、前記各集合が同一の場合には、ハイパーリンク先コンテンツ取得リクエストを前記ハイパーリンク先サーバへ送信する手段、
   （ｄ）前記プロキシが、前記各コンテンツ・テンプレートから生成されるコンテンツ毎に、前記各コンテンツに含まれるハイパーリンクに対応するハイパーリンク先コンテンツ取得リクエストの集合を求め、前記各集合が同一ではない場合には、前記利用者端末機に所定の警告メッセージを送信する手段、
   （ｅ）ハイパーリンク先サーバが、前記ハイパーリンク先コンテンツ取得リクエストを受信し、対応するコンテンツを前記プロキシに送信する手段、
   （ｆ）前記プロキシが、受信した前記コンテンツを、前記利用者端末機に送信する手段、
   （ｇ）前記利用者端末機が、前記閲覧ソフトを使用して、受信した前記コンテンツ、又は、前記所定の警告メッセージを表示する手段。
4. サービス提供者サーバ、プロキシ、ハイパーリンク先サーバ、及び、サービス利用者が使用する利用者端末が相互にネットワークによって接続されているシステムにおいて、以下の（ａ）から（ｉ）の手段を有する個人情報漏洩阻止システム、
   （ａ）前記利用者端末機が、前記サービス提供者サーバ上のコンテンツを取得するコンテンツ取得リクエストを前記プロキシへ送信する手段、
   （ｂ）前記プロキシが、前記コンテンツ取得リクエストを受信し、前記サービス提供者サーバに送信する手段、
   （ｃ）前記サービス提供者サーバが、前記コンテンツ取得リクエストに対応するコンテンツ・テンプレート及び前記個人情報に基づいて一のコンテンツ・テンプレートを選択し、前記コンテンツ・テンプレートから前記利用者の個人情報を反映したコンテンツを生成するための規則、並びに、前記コンテンツ・テンプレートに含まれるハイパーリンクによって参照されているコンテンツを送信する手段、
   （ｄ）前記プロキシが、前記コンテンツ・テンプレート、及び、前記規則、並びに、前記ハイパーリンクによって参照されているコンテンツを、キャッシュメモリに格納する手段、
   （ｅ）前記プロキシが、前記コンテンツ・テンプレートから生成されるコンテンツ、ならびに前記コンテンツからハイパーリンクによってリンクされている前記キャッシュメモリに格納されたコンテンツに含まれるハイパーリンクのうち、リンク先が前記キャッシュメモリに格納された任意のコンテンツ以外のハイパーリンクに対応するハイパーリンク先コンテンツ取得リクエストの集合を前記コンテンツ・テンプレート毎に求め、前記各集合が同一であるかを調べ、同一でない場合には前記利用者端末に所定の警告メッセージを送信する手段、
   （ｆ）前記プロキシが、前記利用者の個人情報を用いて、前記規則に基づき、一のコンテンツ・テンプレートを選択し、前記利用者の個人情報を反映したコンテンツを生成し、前記利用者端末機に送信する手段、
   （ｇ）前記利用者端末機が、前記コンテンツを受信・表示し、さらに、前記利用者からハイパーリンクへアクセスする操作を受けた場合に、前記ハイパーリンク先のコンテンツを取得するハイパーリンク先コンテンツ取得リクエストを前記プロキシへ送信する手段、
   （ｈ）前記プロキシが、前記ハイパーリンク先コンテンツ取得リクエストに対応するコンテンツを前記キャッシュメモリから検索し前記利用者端末機に送信する手段、
   （ｉ）前記利用者端末機が、閲覧ソフトを使用して、受信した前記コンテンツ、又は、前記所定の警告メッセージを表示する手段。
5. 前記利用者端末機、及び、前記プロキシが物理的に一体化されている請求項１から４に記載の個人情報漏洩阻止システム。
6. サービス提供者サーバ、プロキシ、及び、サービス利用者が使用する利用者端末機が相互にネットワークによって接続されているシステムにおいて、以下の（ａ）から（ｅ）のステップを有する個人情報漏洩阻止方法、
   （ａ）前記利用者端末機が、前記サービス提供者サーバ上のコンテンツを取得するコンテンツ取得リクエストを前記プロキシへ送信するステップ、
   （ｂ）前記プロキシが、前記コンテンツ取得リクエストを受信し、前記サービス提供者サーバに送信するステップ、
   （ｃ）前記サービス提供者サーバが、前記コンテンツ取得リクエストに対応する一つ以上のコンテンツ・テンプレート、及び、サービス利用者の個人情報を用いて一のコンテンツ・テンプレートを選択し、前記コンテンツ・テンプレートから前記利用者の個人情報を反映したコンテンツを生成するための規則を、前記プロキシに送信するステップ、
   （ｄ）前記プロキシが、前記利用者の個人情報を用いて、前記規則に基づき、一のコンテンツ・テンプレートを選択し、前記利用者の個人情報を反映したコンテンツを生成し、前記利用者端末機に送信するステップ、
   （ｅ）前記利用者端末機が、閲覧ソフトを使用して前記コンテンツを表示するステップ。

Images