特許 6403709 匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6403709

(24)【登録日】2018年9月21日

(45)【発行日】2018年10月10日

(54)【発明の名称】匿名化データを名寄せするための名寄せシステム、並びに、その方法及びコンピュータ・プログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20181001BHJP

   H04L 9/32 20060101ALI20181001BHJP

【ＦＩ】

   G06F21/62 354

   H04L9/00 673C

【請求項の数】11

【全頁数】66

(21)【出願番号】特願2016-65827(P2016-65827)

(22)【出願日】2016年3月29日

(62)【分割の表示】特願2013-66377(P2013-66377)の分割

【原出願日】2013年3月27日

(65)【公開番号】特開2016-157454(P2016-157454A)

(43)【公開日】2016年9月1日

【審査請求日】2016年3月30日

【審判番号】不服2017-12912(P2017-12912/J1)

【審判請求日】2017年9月1日

(73)【特許権者】

【識別番号】390009531

【氏名又は名称】インターナショナル・ビジネス・マシーンズ・コーポレーション

【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ

(74)【代理人】

【識別番号】100108501

【弁理士】

【氏名又は名称】上野 剛史

(74)【代理人】

【識別番号】100112690

【弁理士】

【氏名又は名称】太佐 種一

(72)【発明者】

【氏名】多田 政美

(72)【発明者】

【氏名】秋山 一人

(72)【発明者】

【氏名】浅井 信宏

【合議体】

【審判長】 辻本 泰隆

【審判官】 須田 勝巳

【審判官】 山崎 慎一

(56)【参考文献】

【文献】 特開２００９−１２９３２１（ＪＰ，Ａ）

【文献】 Ｃ．Ｑｕａｎｔｉｎ，ｅｔ ａｌ．，Ａｕｔｏｍａｔｉｃ Ｒｅｃｏｒｄ Ｈａｓｈ Ｃｏｄｉｎｇ ａｎｄ Ｌｉｎｋａｇｅ ｆｏｒ Ｅｐｉｄｅｍｉｏｌｏｇｉｃａｌ Ｆｏｌｌｏｗ−ｕｐ Ｄａｔａ Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ，Ｍｅｔｈｏｄｓ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ ｉｎ Ｍｅｄｉｃｉｎｅ，１９９８年，Ｖｏｌｕｍｅ ３７，Ｉｓｓｕｅ ３，ｐｐ．２７１−２７７

【文献】 筒井 章博 他，実世界データ流通フレームワークの検討，電子情報通信学会２０１２年総合大会講演論文集 通信２，日本，社団法人電子情報通信学会，２０１２年３月６日，Ｂ−１９−２４，ｐ．６４７

(58)【調査した分野】（Int.Cl.，ＤＢ名）

H04L 9/00

(57)【特許請求の範囲】

【請求項1】

複数のサービス提供システムから送信された匿名化データを名寄せする方法であって、名寄せシステムが、
データの送信を要求する送信要求と当該送信要求毎に異なる値とを前記複数のサービス提供システムそれぞれに送信するステップであって、前記値は、同一ユーザに由来するデータに対して用いられる、前記送信するステップと、
前記データを管理するための識別番号を前記値でハッシュ化することによって生成されたハッシュ値と、前記識別番号によって特定される匿名化データとのセットを前記複数のサービス提供システムそれぞれから受信するステップであって、前記識別番号は、個人又は個人に関連付けられた機械を識別可能にするものであり、前記ハッシュ値は、前記複数のサービス提供システムそれぞれにおいて同一のハッシュ化アルゴリズムを使用してハッシュ化されたものである、前記受信するステップと、
前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記ハッシュ値によって特定される匿名化データを名寄せするステップと
を実行することを含む、前記方法。

【請求項2】

前記送信要求が第１の送信要求であり、前記送信要求毎に異なる値が前記第１の送信要求にのみ有効な第１の値であり、且つ前記ハッシュ値が第１のハッシュ値であり、
前記名寄せシステムが、
データの送信を要求する第２の送信要求と当該第２の送信要求にのみ有効な第２の値とを前記複数のサービス提供システムそれぞれに送信するステップであって、前記第２の値は前記第１の値と異なる、前記送信するステップと、
前記データを管理するための識別番号と前記第２の値とに基づいて生成された第２のハッシュ値と、前記識別番号によって特定される匿名化データとのセットを前記複数のサービス提供システムそれぞれから受信するステップと、
前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記第２のハッシュ値によって特定される匿名化データを名寄せするステップと
をさらに実行することを含む、請求項１に記載の方法。

【請求項3】

前記ハッシュ値によって特定される匿名化データが、前記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されている、請求項１又は２に記載の方法。

【請求項4】

複数のサービス提供システムから送信された匿名化データを名寄せする方法であって、
前記匿名化データを名寄せした名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、データの送信を要求する送信要求毎に異なる値を送信することを要求する送信要求を名寄せシステムに送信するステップと、
前記名寄せシステムが、前記値の送信要求を受信することに応じて、前記値を作成し、当該作成した値を前記ユーザ・システムに送信するステップであって、前記値は、同一ユーザに由来するデータに対して用いられる、前記送信するステップと、
前記ユーザ・システムが、前記値を受信することに応じて、前記匿名化データに関連付けられた識別番号を前記値でハッシュ化することによって第１のハッシュ値を生成し、当該生成した第１のハッシュ値を前記名寄せシステムに送信するステップであって、前記識別番号は、個人又は個人に関連付けられた機械を識別可能にするものである、前記送信するステップと、
前記名寄せシステムが、前記第１のハッシュ値を受信することに応じて、当該第１のハッシュ値と前記値とを前記複数のサービス提供システムそれぞれに送信するステップと、
前記第１のハッシュ値と前記値とを受信したサービス提供システムそれぞれが、前記匿名化データに関連付けられた識別番号を前記受信した値でハッシュ化することによって第２のハッシュ値を生成するステップであって、前記複数のサービス提供システムそれぞれは前記ユーザ・システムと同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、前記生成するステップと、
前記第１のハッシュ値と前記値とを受信したサービス提供システムそれぞれが、前記第１のハッシュ値と前記第２のハッシュ値とを比較して、当該第１のハッシュ値と当該第２のハッシュ値とが一致することに応じて、前記第２のハッシュ値を生成する際に用いた前記識別番号に関連付けられた匿名化データのみを前記名寄せシステムに送信するステップと、
前記名寄せシステムが、前記複数のサービス提供システムそれぞれから受信した前記第１のハッシュ値によって特定される匿名化データを名寄せするステップと、
前記名寄せシステムが、前記名寄せされたデータ又は前記集計データを前記ユーザ・システムに送信するステップと
を実行することを含む、前記方法。

【請求項5】

前記サービス提供システムそれぞれが前記第２のハッシュ値を生成する際に用いた前記識別番号に関連付けられた匿名化データのみを前記名寄せシステムに送信するステップが、
前記名寄せシステムに送信する匿名化データを前記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化し、当該暗号化された匿名化データを前記名寄せシステムに送信するステップ
を含む、請求項４に記載の方法。

【請求項6】

複数のサービス提供システムから送信された匿名化データを名寄せする名寄せシステムであって、
データの送信を要求する送信要求と当該送信要求毎に異なる値とを前記複数のサービス提供システムそれぞれに送信する送信手段であって、前記値は、同一ユーザに由来するデータに対して用いられる、前記送信手段と、
前記データを管理するための識別番号を前記値でハッシュ化することによって生成されたハッシュ値と、前記識別番号によって特定される匿名化データとのセットを前記複数のサービス提供システムそれぞれから受信する受信手段であって、前記識別番号は、個人又は個人に関連付けられた機械を識別可能にするものであり、前記ハッシュ値は、前記複数のサービス提供システムそれぞれにおいて同一のハッシュ化アルゴリズムを使用してハッシュ化されたものである、前記受信手段と、
前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記ハッシュ値によって特定される匿名化データを名寄せする名寄せ手段と
を備えている、前記名寄せシステム。

【請求項7】

前記送信要求が第１の送信要求であり、前記送信要求毎に異なる値が前記第１の送信要求にのみ有効な第１の値であり、且つ前記ハッシュ値が第１のハッシュ値であり、
前記送信手段がさらに、データの送信を要求する第２の送信要求と当該第２の送信要求にのみ有効な第２の値とを前記複数のサービス提供システムそれぞれに送信し、ここで、前記第２の値は前記第１の値と異なり、
前記受信手段がさらに、前記データを管理するための識別番号と前記第２の値とに基づいて生成された第２のハッシュ値と、前記識別番号によって特定される匿名化データとのセットを前記複数のサービス提供システムそれぞれから受信し、
前記名寄せ手段がさらに、前記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、前記第２のハッシュ値によって特定される匿名化データを名寄せする
請求項６に記載の名寄せシステム。

【請求項8】

前記ハッシュ値によって特定される匿名化データが、前記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されている、請求項６又は７に記載の名寄せシステム。

【請求項9】

名寄せのためのコンピュータ・システムであって、
複数のサービス提供システムと、
前記複数のサービス提供システムそれぞれからの匿名化データを受信して、当該受信した匿名化データを名寄せするための名寄せシステムと
前記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムと
を備えており、
前記ユーザ・システムが、データの送信を要求する送信要求毎に異なる値を送信することを要求する送信要求を前記名寄せシステムに送信し、
前記名寄せシステムが、前記値の送信要求を受信することに応じて、前記値を作成し、当該作成した値を前記ユーザ・システムに送信し、ここで、前記値は、同一ユーザに由来するデータに対して用いられ、
前記ユーザ・システムが、前記値を受信することに応じて、前記匿名化データに関連付けられた識別番号を前記値でハッシュ化することによって第１のハッシュ値を生成し、当該生成した第１のハッシュ値を前記名寄せシステムに送信し、ここで、前記識別番号は、個人又は個人に関連付けられた機械を識別可能にするものであり、
前記名寄せシステムが、前記第１のハッシュ値を受信することに応じて、当該第１のハッシュ値と前記値とを前記複数のサービス提供システムそれぞれに送信し、
前記第１のハッシュ値と前記値とを受信したサービス提供システムそれぞれが、前記匿名化データに関連付けられた識別番号と前記受信した値とに基づいて第２のハッシュ値を生成し、ここで、前記複数のサービス提供システムそれぞれは前記ユーザ・システムと同一のハッシュ化アルゴリズムを使用してハッシュ化を行い、
前記第１のハッシュ値と前記値とを受信したサービス提供システムそれぞれが、前記第１のハッシュ値と前記第２のハッシュ値とを比較して、当該第１のハッシュ値と当該第２のハッシュ値とが一致することに応じて、前記第２のハッシュ値を生成する際に用いた前記識別番号に関連付けられた匿名化データのみを前記名寄せシステムに送信し、
前記名寄せシステムが、前記複数のサービス提供システムそれぞれから受信した前記第１のハッシュ値によって特定される匿名化データを名寄せし、
前記名寄せシステムが、前記名寄せされたデータ又は前記集計データを前記ユーザ・システムに送信する、
前記コンピュータ・システム。

【請求項10】

前記サービス提供システムそれぞれが前記第２のハッシュ値を生成する際に用いた前記識別番号に関連付けられた匿名化データのみを前記名寄せシステムに送信することが、
前記名寄せシステムに送信する匿名化データを前記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化し、当該暗号化された匿名化データを前記名寄せシステムに送信すること
を含む、請求項９に記載のコンピュータ・システム。

【請求項11】

複数のサービス提供システムから送信された匿名化データを名寄せするコンピュータ・プログラムであって、名寄せシステムに請求項１〜３のいずれか一項に記載の方法の各ステップを実行させる前記コンピュータ・プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、匿名化データを名寄せするための技法に関する。詳細には、本発明は、例えばクラウド・サービス上において、匿名性を保ちつつ匿名化データを名寄せする技法に関する。

【背景技術】

【0002】

近年、クラウド・サービスの発展により、種々のデータ、例えば個人又は特定の機器からの情報を当該クラウド・サービスから収集し、当該収集した情報を用いて様々なサービスを提供することが行われている。また、クラウド・サービスから収集した種々のデータを統合（マッシュアップ）し、当該統合したデータを用いて様々なサービスを提供することが行われている。例えば、下記非特許文献１は、さまざまなデータを取得し、潜在的なビッグデータを活用し、企業のビジネスに役立てるためのＩＴの仕組みを記載する。

【0003】

個人情報の保護に関する法律（略称、個人情報保護法）が２００５年４月１日より施行されている。個人情報保護法は、個人情報の取り扱いに関連する日本の法律である。個人情報保護法で定義される個人情報とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができる情報をいい、これには、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる情報（例えば、学生名簿等と照合することで個人を特定できるような学籍番号等）も含まれる。

【0004】

個人情報保護法を遵守した上で個人情報を利用するためには、個人情報の取得時に本人に対して利用目的の通知又は承認が必要であり、また第三者へ個人情報を提供するためには、本人の同意が必要である。

【0005】

下記特許文献１は情報仲介システムに係る発明であり（段落０００１）、仲介サーバは、情報提供者端末から定期的に情報を収集し、利用者端末から要求があったとき、仲介サーバは、公開が許されていない情報提供者の属性の各項目と情報提供者の情報の各項目の組合せを名寄せできなくなるようにダミー情報に置き換えて、利用者端末に対して公開することを記載する（要約）。また、特許文献１は、仲介サーバ１０５に接続された車両情報管理サーバ１０７（段落００３０〜段落００３１）が備えている車両情報管理部２３２における車両情報２３５の加工方法を記載する（段落００６５）。すなわち、特許文献１は、名寄せキーの値（車両番号）をダミー情報に書き換えることで、会員情報２２２と車両情報２３５の名寄せを不可能にし、当該車両番号をダミー車両情報に書き換えるルールは、ランダムな変数を用いて変換してもよいし、時刻情報を用いて変換してもよいし、内部的な通し番号を用いて変換してもよいし、データ項目を用いて変換してもよいこと、及び、ダミー情報に書き換えるルールを、日付毎、曜日毎、又は一定時間毎に変更してもよいことを記載する（段落００６５）。

【0006】

下記特許文献２は通信ネットワーク上のネットワークサーバを介してＰＣ端末のデータを携帯端末で共有する情報システムに係る発明であり、ソルト及びパスワードを用いてセッションキーを暗号化することを記載する（請求項１、段落０００８及び段落００１４）。

【0007】

下記特許文献３は個人情報管理システムに係る発明であり、個人情報に含まれる当該個人を特定可能な部分と、ユーザ固有の鍵情報との鍵付きハッシュ値を生成することを記載する（請求項１、段落００２６〜００３１）。

【0008】

下記特許文献４は、匿名化する単語の辞書を用意する必要が無く、かつ、単語及びその単語を含む周辺表記の組合せが稀な場合でも適切に匿名化可能な技術を提供することを記載する（段落００１２）。

【0009】

下記特許文献５は、名寄せ制御方法に係る発明であり（請求項１）、個人ＩＤをキーとするハッシュ関数により生成された匿名ＩＤを用いることを記載する。

【0010】

下記特許文献６は、配信仲介サービス装置の介在によりコンセプトメールを多数のターゲットに配信する方法及び配信仲介サービス装置を記載する（特許請求の範囲）。

【0011】

下記特許文献７は、個人情報閲覧更新システム及び個人情報閲覧更新方法を記載する（特許請求の範囲）。

【0012】

下記特許文献８は、複数の利用者からなるグループでデータを共有するデータ共有装置を記載する（段落０００１）。

【0013】

下記非特許文献２は、個人情報の匿名化ソフトウェアを記載する。

【0014】

下記非特許文献３は、個人情報の匿名化を記載する。

【先行技術文献】

【特許文献】

【0015】

【特許文献1】特開２００７−２６４７３０号公報

【特許文献2】特開２００７−１４２５０４号公報

【特許文献3】特開２０１０−２３７８１１号公報

【特許文献4】特開２００９−０２０６４６号公報

【特許文献5】特開２００５−３０１９７８号公報

【特許文献6】特開２００２−１７５４３２号公報

【特許文献7】特開２００６−２８５４９０号公報

【特許文献8】特開２００７−１８１０１１号公報

【非特許文献】

【0016】

【非特許文献1】浅井信宏ら、「Ｃｏｎｎｅｃｔｅｄ Ｗｏｒｌｄの実現に向けて −オンデマンドでのデータ変換により世界中のデータを利用可能にする−」、ProVISION、No.74、２０１２夏、インターネット〈URL：http://www-06.ibm.com/ibm/jp/provision/no74/pdf/74_article2.pdf〉より入手可能

【非特許文献2】山本啓二ら、「医用画像の個人情報匿名化ソフトウェアの開発」、ＭＳＳ技報、Ｖｏｌ．１９、２４〜２９頁”、２００８年３月、インターネット〈URL：www.mss.co.jp/technology/report/pdf/19-04.pdf〉より入手可能

【非特許文献3】本多克宏、「個人情報の匿名化と安心・安全な高精度推薦システム」、［online］、［平成２５年３月９日検索］、インターネット〈URL：http://jstshingi.jp/abst/p/12/1230/osaka2-10.pdf〉

【非特許文献4】「Smarter Planet」、［online］、［平成２５年３月１１日検索］、インターネット〈URL：http://www-06.ibm.com/innovation/jp/smarterplanet/〉

【発明の概要】

【発明が解決しようとする課題】

【0017】

個人又は特定の機器が種々のデータをサービス提供システムに提供する場合には、当該個人又は当該特定の機器の管理者と当該サービス提供システムの管理者との間で個人情報の保護に関する契約をする。従って、当該個人又は当該特定の機器は上記契約をしたサービス提供システムのみに個人情報を含むデータを提供する。しかしながら、サービス提供システムは、当該データが個人情報を有するために、当該データを名寄せする名寄せシステムにそのまま提供することができない。そこで、当該名寄せシステムが、上記データ中の個人情報を知ることができないようにし、且つ、上記サービス提供システムから収集したデータについて名寄せすることができるようにしたいというニーズがある。

【0018】

従って、本願発明は、上記名寄せシステムが、上記個人情報を得ることなしに（すなわち、匿名化されたまま）複数のサービス提供システムそれぞれから匿名化データを取得し、当該取得した匿名化データについて名寄せすることを可能にする技法を提供することを目的とする。

【0019】

また、本願発明は、名寄せシステムからの要求に応じて、名寄せを実行する技法を提供することを目的とする。

【0020】

また、本願発明は、ユーザが名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用したい場合にのみ、名寄せを実行する技法を提供することを目的とする。

【0021】

また、本願発明は、データを提供したデータ提供者に対して利益を供与し乃至は還元することを可能にし、且つ、名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用したユーザに対して課金することを可能にする技法を提供することを目的とする。

【課題を解決するための手段】

【0022】

本発明は、複数のサービス提供システムから送信された匿名化データを名寄せシステムにおいて名寄せする技法を提供する。当該技法は、複数のサービス提供システムから送信された匿名化データを名寄せシステムにおいて名寄せする方法及びそのコンピュータ・プログラム、並びに、複数のサービス提供システムそれぞれから送信された匿名化データを名寄せする名寄せシステム、並びに、上記名寄せシステムと当該名寄せシステムに匿名化データを提供する複数のサービス提供システムと任意的に上記名寄せされるデータを利用するユーザに関連付けられたユーザ・システムとを備えている名寄せのためのコンピュータ・システムを包含しうる。

【0023】

本発明に従う上記方法は、上記名寄せシステムが、
データの送信を要求する送信要求と当該送信要求毎に異なる値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記データを管理するための識別番号と上記値とに基づいて生成されたハッシュ値と、上記識別番号によって特定される匿名化データとのセットを上記複数のサービス提供システムそれぞれから受信するステップであって、上記ハッシュ値は、上記複数のサービス提供システムそれぞれにおいて同一のハッシュ化アルゴリズムを使用してハッシュ化されたものである、上記受信するステップと、
上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、上記ハッシュ値によって特定される匿名化データが、上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されていてもよい。また、本発明の１つの実施態様において、上記ハッシュ値によって特定される匿名化データが上記公開鍵を使用して暗号化されている場合には、当該暗号化された匿名化データは、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵を使用して復号されうる。

【0024】

本発明に従う上記方法は、上記名寄せシステムが、
データの送信を要求する第１の送信要求と当該第１の送信要求にのみ有効な第１の値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記データを管理するための識別番号と上記第１の値とに基づいて生成された第１のハッシュ値と、上記識別番号によって特定される匿名化データとのセットを上記複数のサービス提供システムそれぞれから受信するステップであって、前上記複数のサービス提供システムそれぞれは同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記受信するステップと、
上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第１のハッシュ値によって特定される匿名化データを名寄せするステップと、
データの送信を要求する第２の送信要求と当該第２の送信要求にのみ有効な第２の値とを上記複数のサービス提供システムそれぞれに送信するステップであって、上記第２の値は上記第１の値と異なる、上記送信するステップと、
上記データを管理するための識別番号と上記第２の値とに基づいて生成された第２のハッシュ値と、上記識別番号によって特定される匿名化データとのセットを上記複数のサービス提供システムそれぞれから受信するステップと、
上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第２のハッシュ値によって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、上記第１のハッシュ値又は上記第２のハッシュ値によって特定される匿名化データが、上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されていてもよい。また、本発明の１つの実施態様において、上記第１のハッシュ値又は上記第２のハッシュ値によって特定される匿名化データが上記公開鍵を使用して暗号化されている場合には、当該暗号化された匿名化データは、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵を使用して復号されうる。

【0025】

また、本発明に従う上記方法は、
上記名寄せシステムが、データの送信を要求する送信要求と当該送信要求毎に異なる値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記複数のサービス提供システムそれぞれが、上記データを管理するための識別番号と上記値とに基づいてハッシュ値を生成するステップであって、上記複数のサービス提供システムそれぞれは同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記生成するステップと、
上記複数のサービス提供システムそれぞれが、上記ハッシュ値と上記識別番号によって特定される匿名化データとのセットを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、上記ハッシュ値によって特定される匿名化データが、上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されていてもよい。また、本発明の１つの実施態様において、上記ハッシュ値によって特定される匿名化データが上記公開鍵を使用して暗号化されている場合には、当該暗号化されたデータは、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵を使用して復号されうる。

【0026】

また、本発明に従う上記方法は、
上記名寄せシステムが、データの送信を要求する第１の送信要求と当該第１の送信要求にのみ有効な第１の値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記複数のサービス提供システムそれぞれが、上記データを管理するための識別番号と上記第１の値とに基づいて第１のハッシュ値を生成するステップであって、上記複数のサービス提供システムそれぞれは同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記生成するステップと、
上記複数のサービス提供システムそれぞれが、上記第１のハッシュ値と上記識別番号によって特定される匿名化データとのセットを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第１のハッシュ値によって特定される匿名化データを名寄せするステップと、
上記名寄せシステムが、データの送信を要求する第２の送信要求と当該第２の送信要求にのみ有効な第２の値とを上記複数のサービス提供システムそれぞれに送信するステップであって、上記第２の値は上記第１の値と異なる、上記送信するステップと、
上記複数のサービス提供システムそれぞれが、上記データを管理するための識別番号と上記第２の値とに基づいて第２のハッシュ値を生成するステップと、
上記複数のサービス提供システムそれぞれが、上記第２のハッシュ値と上記識別番号によって特定される匿名化データとのセットを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第２のハッシュ値によって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、上記第１のハッシュ値又は上記第２のハッシュ値によって特定される匿名化データが、上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化されていてもよい。また、本発明の１つの実施態様において、上記第１のハッシュ値又は上記第２のハッシュ値によって特定される匿名化データが上記公開鍵を使用して暗号化されている場合には、当該暗号化された匿名化データは、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵を使用して復号されうる。

【0027】

また、本発明に従う上記方法は、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求と当該許可要求毎に異なる値とを上記ユーザ許可要求を処理できるシステムに送信するステップと、
上記ユーザが上記名寄せを許可することに応じて、上記ユーザ許可要求を受信したシステムが、上記ユーザに関連付けられた識別番号及び上記値を少なくとも有するトークンを作成するステップと、
上記ユーザ許可要求を受信したシステムが、上記トークンを暗号化するステップと、
上記ユーザ許可要求を受信したシステムが、上記暗号化されたトークンを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象の匿名化データを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断するステップと、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せするステップと
を実行することを含む。

【0028】

また、本発明に従う上記方法は、
匿名化データを名寄せした名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、上記複数のサービス提供システムのうちの１つのサービス提供システムに、当該ユーザの匿名化された識別番号を問い合わせるステップと、
上記複数のサービス提供システムのうちの上記１つのサービス提供システムが、データの送信を要求する第１の送信要求と上記問い合わせた識別番号とを名寄せシステムに送信するステップと、
上記名寄せシステムが、上記第１の送信要求と、当該第１の送信要求にのみ有効な第１の値と、上記識別番号とを上記複数のサービス提供システムの少なくとも１つに送信するステップと、
上記第１の送信要求と当該第１の送信要求にのみ有効な上記第１の値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記識別番号と上記第１の値とに基づいてトークンを作成するステップと、
上記第１の送信要求と当該第１の送信要求にのみ有効な上記第１の値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記トークンを暗号化するステップと、
上記第１の送信要求と当該第１の送信要求にのみ有効な上記第１の値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記暗号化されたトークンを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象のデータを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断するステップと、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せするステップと
を実行することを含む。

【0029】

また、本発明に従う上記方法は、
上記匿名化データを名寄せした名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、上記匿名化データを管理するための識別番号と上記匿名化データの送信を要求する第１の送信要求にのみ有効な第１の値とを有するトークンを作成するステップと、
上記ユーザ・システムが、上記トークンを暗号化するステップと、
上記ユーザ・システムが、上記第１の送信要求と上記暗号化されたトークンとを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象の匿名化データを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号するステップと、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断するステップと、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せするステップと
を実行することを含む。本発明の１つの実施態様において、
上記トークンを暗号化するステップが、
上記ユーザ・システムが、上記複数のサービス提供システムそれぞれの各公開鍵を使用して、上記トークンを暗号化し、当該暗号化されたトークンのセットを生成するステップ
を含み、
上記暗号化されたトークンを上記名寄せシステムに送信するステップが、
上記暗号化されたトークンの上記セットを上記名寄せシステムに送信するステップ
を含み、
上記暗号化されたトークンを復号するステップが、
上記暗号化されたトークンを受信したサービス提供システムが、上記暗号化されたトークンを、当該サービス提供システムの秘密鍵を使用して復号するステップ
を含む。

【0030】

また、本発明に従う上記方法は、
上記匿名化データを名寄せした名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、上記データの送信を要求する送信要求毎に異なる値を送信することを要求する送信要求を上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記値の送信要求を受信することに応じて、上記値を作成し、当該作成した値を上記ユーザ・システムに送信するステップと、
上記ユーザ・システムが、上記値を受信することに応じて、上記匿名化データに関連付けられた識別番号と上記値とに基づいて第１のハッシュ値を生成し、当該生成した第１のハッシュ値を上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記第１のハッシュ値を受信することに応じて、当該第１のハッシュ値と上記値とを上記複数のサービス提供システムそれぞれに送信するステップと、
上記第１のハッシュ値と上記値とを受信したサービス提供システムそれぞれが、上記匿名化データに関連付けられた識別番号と上記受信した値とに基づいて第２のハッシュ値を生成するステップであって、上記複数のサービス提供システムそれぞれは上記ユーザ・システムと同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記生成するステップと、
上記第１のハッシュ値と上記値とを受信したサービス提供システムそれぞれが、上記第１のハッシュ値と上記第２のハッシュ値とを比較して、当該第１のハッシュ値と当該第２のハッシュ値とが一致することに応じて、上記第２のハッシュ値を生成する際に用いた上記識別番号を有する匿名化データを上記名寄せシステムに送信するステップと、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第１のハッシュ値によって特定される匿名化データを名寄せするステップと、
上記名寄せシステムが、上記名寄せされたデータ又は上記集計データを上記ユーザ・システムに送信するステップと
を実行することを含む。本発明の１つの実施態様において、上記サービス提供システムそれぞれが上記第２のハッシュ値を生成する際に用いた上記識別番号を有する匿名化データを上記名寄せシステムに送信するステップが、上記名寄せシステムに送信する匿名化データを上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられた公開鍵を使用して暗号化し、当該暗号化された匿名化データを上記名寄せシステムに送信するステップを含みうる。また、本発明の１つの実施態様において、上記名寄せシステムが上記第１のハッシュ値によって特定される匿名化データを名寄せするステップが、上記第１のハッシュ値によって特定される上記暗号化された匿名化データを名寄せするステップを含みうる。また、本発明の１つの実施態様において、上記名寄せシステムが、上記名寄せされたデータ又は上記集計データを上記ユーザ・システムに送信するステップが、上記名寄せした暗号化されたデータを上記ユーザ・システムに送信するステップを含みうる。また、本発明の１つの実施態様において、上記ユーザ・システムが、上記名寄せした暗号化されたデータを、上記ユーザに関連付けられ且つ上記公開鍵に対応する秘密鍵で復号するステップをさらに実行しうる。

【0031】

また、本発明に従う上記名寄せシステムは、
データの送信を要求する送信要求と当該送信要求毎に異なる値とを上記複数のサービス提供システムそれぞれに送信する送信手段と、
上記データを管理するための識別番号と上記値とに基づいて生成されたハッシュ値と、上記識別番号によって特定される匿名化データとのセットを上記複数のサービス提供システムそれぞれから受信する受信手段であって、上記ハッシュ値は、上記複数のサービス提供システムそれぞれにおいて同一のハッシュ化アルゴリズムを使用してハッシュ化されたものである、上記受信手段と、
上記数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せする名寄せ手段と
を備えている。

【0032】

また、本発明に従う上記コンピュータ・システムにおいて、
上記名寄せシステムが、データの送信を要求する送信要求と当該送信要求毎に異なる値とを上記複数のサービス提供システムそれぞれに送信する送信手段を備えており、
上記複数のサービス提供システムそれぞれが、上記データを管理するための識別番号と上記値とに基づいてハッシュ値を生成するハッシュ化手段であって、上記複数のサービス提供システムそれぞれは同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記ハッシュ化手段を備えており、
上記複数のサービス提供システムそれぞれが、上記ハッシュ値と上記識別番号によって特定される匿名化データとのセットを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せする名寄せ手段を備えている。

【0033】

また、本発明に従う上記コンピュータ・システムにおいて、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求と当該許可要求毎に異なる値とを上記ユーザ許可要求を処理できるシステムに送信する送信手段を備えており、
上記ユーザ許可要求を受信したシステムが、上記ユーザが上記名寄せを許可することに応じて、上記ユーザに関連付けられた識別番号及び上記値を少なくとも有するトークンを作成するトークン作成手段を備えており、
上記ユーザ許可要求を受信したシステムが、上記トークンを暗号化する暗号化手段を備えており、
上記ユーザ許可要求を受信したシステムが、上記暗号化されたトークンを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象の匿名化データを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信する送信手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号する復号手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断する判断手段を備えており、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せする名寄せ手段を備えている。

【0034】

また、本発明に従う上記コンピュータ・システムにおいて、
上記ユーザ・システムが、上記複数のサービス提供システムのうちの１つのサービス提供システムに、当該ユーザの匿名化された識別番号を問い合わせする問い合わせ手段を備えており、
上記複数のサービス提供システムのうちの上記１つのサービス提供システムが、データの送信を要求する送信要求と上記問い合わせた識別番号とを名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記送信要求と、当該送信要求毎に異なる値と、上記識別番号とを上記複数のサービス提供システムの少なくとも１つに送信する送信手段を備えており、
上記送信要求と当該送信要求毎に異なる値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記識別番号と上記値とに基づいてトークンを作成するトークン作成手段を備えており、
上記送信要求と当該送信要求にのみ有効な上記値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記トークンを暗号化する暗号化手段を備えており、
上記送信要求と当該送信要求にのみ有効な上記値と上記問い合わせた識別番号とを受信したサービス提供システムが、上記暗号化されたトークンを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象のデータを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信する送信手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号する復号手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断する判断手段を備えており、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せする名寄せ手段を備えている。

【0035】

また、本発明に従う上記コンピュータ・システムにおいて、
上記名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザに関連付けられたユーザ・システムが、上記匿名化データを管理するための識別番号と上記匿名化データの送信を要求する送信要求毎に異なる値とを有するトークンを作成するトークン作成手段を備えており、
上記ユーザ・システムが、上記トークンを暗号化する暗号化手段を備えており、
上記ユーザ・システムが、上記送信要求と上記暗号化されたトークンとを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記暗号化されたトークンを、名寄せ対象の匿名化データを格納している上記複数のサービス提供システムのうちの少なくとも１つに送信する送信手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記暗号化されたトークンを復号する復号手段を備えており、
上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記復号されたトークンに基づいて、上記匿名化データを上記名寄せシステムに送信してもよいかどうかを判断する判断手段を備えており、
上記匿名化データを上記名寄せシステムに送信してもよいことに応じて、上記暗号化されたトークンを受信したサービス提供システムそれぞれが、上記匿名化データを上記名寄せシステムに送信する送信手段を備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せする名寄せ手段を備えている。

【0036】

また、本発明に従う上記コンピュータ・システムにおいて、
上記ユーザ・システムが、上記データの送信を要求する送信要求毎に異なる値を送信することを要求する送信要求を上記名寄せシステムに送信する送信手段と、
上記名寄せシステムが、上記値の送信要求を受信することに応じて、上記値を作成し、当該作成した値を上記ユーザ・システムに送信する送信手段と、
上記ユーザ・システムが、上記値を受信することに応じて、上記匿名化データに関連付けられた識別番号と上記値とに基づいて第１のハッシュ値を生成するハッシュ化手段と、当該生成した第１のハッシュ値を上記名寄せシステムに送信する送信手段とを備えており、
上記名寄せシステムが、上記第１のハッシュ値を受信することに応じて、当該第１のハッシュ値と上記値とを上記複数のサービス提供システムそれぞれに送信する送信手段を備えており、
上記第１のハッシュ値と上記値とを受信したサービス提供システムそれぞれが、上記匿名化データに関連付けられた識別番号と上記受信した値とに基づいて第２のハッシュ値を生成するハッシュ化手段であって、上記複数のサービス提供システムそれぞれは上記ユーザ・システムと同一のハッシュ化アルゴリズムを使用してハッシュ化を行う、上記ハッシュ化手段を備えており、
上記第１のハッシュ値と上記値とを受信したサービス提供システムそれぞれが、上記第１のハッシュ値と上記第２のハッシュ値とを比較する比較手段と、当該第１のハッシュ値と当該第２のハッシュ値とが一致することを判断する判断手段と、上記第２のハッシュ値を生成する際に用いた上記識別番号を有する匿名化データを上記名寄せシステムに送信する送信手段とを備えており、
上記名寄せシステムが、上記複数のサービス提供システムそれぞれから受信した匿名化データのうちから、上記第１のハッシュ値によって特定される匿名化データを名寄せする名寄せ手段を備えており、
上記名寄せシステムが、上記名寄せされたデータ又は上記集計データを上記ユーザ・システムに送信する送信手段を備えている、
上記コンピュータ・システム。

【0037】

また、本発に従うコンピュータ・プログラム及びコンピュータ・プログラム製品は、上記名寄せシステムに、本発明に従う方法の各ステップを実行させる。

【0038】

本発明の実施態様に従うコンピュータ・プログラムはそれぞれ、一つ又は複数のフレキシブル・ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＤＶＤ、ＢＤ、ハードディスク装置、ＵＳＢに接続可能なメモリ媒体、ＲＯＭ、ＭＲＡＭ、ＲＡＭ等の任意のコンピュータ読み取り可能な記録媒体に格納することができる。当該コンピュータ・プログラムは、記録媒体への格納のために、通信回線で接続する他のデータ処理システム、例えばサーバ・コンピュータからダウンロードしたり、又は他の記録媒体から複製したりすることができる。また、本発明の実施態様に従うコンピュータ・プログラムは、圧縮し、又は複数に分割して、単一又は複数の記録媒体に格納することもできる。また、様々な形態で、本発明の実施態様に従うコンピュータ・プログラム製品を提供することも勿論可能であることにも留意されたい。本発明の実施態様に従うコンピュータ・プログラム製品は、例えば、上記コンピュータ・プログラムを記録した記憶媒体、又は、上記コンピュータ・プログラムを伝送する伝送媒体を包含しうる。

【0039】

本発明の上記概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの構成要素のコンビネーション又はサブコンビネーションもまた、本発明となりうることに留意すべきである。

【0040】

本発明の実施態様において使用されるコンピュータの各ハードウェア構成要素を、複数のマシンと組み合わせ、それらに機能を配分し実施する等の種々の変更は当業者によって容易に想定され得ることは勿論である。それらの変更は、当然に本発明の思想に包含される概念である。ただし、これらの構成要素は例示であり、そのすべての構成要素が本発明の必須構成要素となるわけではない。

【0041】

また、本発明は、ハードウェア、ソフトウェア、又は、ハードウェア及びソフトウェアの組み合わせとして実現可能である。ハードウェアとソフトウェアとの組み合わせによる実行において、上記コンピュータ・プログラムのインストールされたコンピュータにおける実行が典型的な例として挙げられる。かかる場合、当該コンピュータ・プログラムが当該コンピュータのメモリにロードされて実行されることにより、当該コンピュータ・プログラムは、当該コンピュータを制御し、本発明にかかる処理を実行させる。当該コンピュータ・プログラムは、任意の言語、コード、又は、表記によって表現可能な命令群から構成されうる。そのような命令群は、当該コンピュータが特定の機能を直接的に、又は、１．他の言語、コード若しくは表記への変換及び、２．他の媒体への複製、のいずれか一方若しくは双方が行われた後に、実行することを可能にするものである。

【発明の効果】

【0042】

本発明の実施態様に従うと、データ提供エンティティ、例えば情報を提供するユーザ若しくは当該ユーザに関連付けられた機器は、当該ユーザが契約した１又は複数のサービス提供システムにのみデータを提供すればよく、名寄せシステム及び当該名寄せシステムによって名寄せされたデータ又は当該名寄せされたデータを集計した集計データを利用するユーザには匿名化データのみしか渡されない。従って、データの匿名性が保たれる。

【0043】

本発明の実施態様に従うと、名寄せシステムは、上記個人情報を得ることなしに、複数のサービス提供システムから匿名化データを取得し、当該取得されたデータを名寄せすることが可能になる。

【0044】

本発明の実施態様に従うと、データの送信を要求する送信要求毎に又は複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求毎に異なる値を使用するので、上記個人情報の特定のリスクを低減することが可能になる。

【図面の簡単な説明】

【0045】

【図1】本発明の実施態様において使用されうるデータ提供エンティティ、サービス提供システム、名寄せシステム、及びユーザ・システムのそれぞれを実現するためのハードウェア構成を有するコンピュータの一例を示した図である。

【図2A】本発明の実施態様において使用されうる、名寄せのためのコンピュータ・システムの一例を示した図である。

【図2B】本発明の実施態様において使用されうる、名寄せのためのコンピュータ・システムの一例を示した図である。

【図3A】本発明の実施態様である名寄せの一例を示した図である。

【図3B】図３Ａに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図3C】図３Ａに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図4A】本発明の実施態様である名寄せの一例を示した図である。

【図4B】本発明の実施態様である名寄せの一例を示した図である。

【図4C】図４Ａ及び図４Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図4D】図４Ａ及び図４Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図5A】本発明の実施態様である名寄せの一例を示した図である。

【図5B】本発明の実施態様である名寄せの一例を示した図である。

【図5C】図５Ａ及び図５Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図5D】図５Ａ及び図５Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図6A】本発明の実施態様である名寄せの一例を示した図である。

【図6B】図６Ａに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図6C】図６Ａに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図7A】本発明の実施態様である名寄せの一例を示した図である。

【図7B】本発明の実施態様である名寄せの一例を示した図である。

【図7C】図７Ａ及び図７Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図7D】図７Ａ及び図７Ｂに示す名寄せを実装するための処理をフローチャートにて示した図である。

【図8A】本発明の実施態様に従い、データ提供エンティティに関連付けられたユーザが識別番号（例えば、ＵＵＩＤ）を取得して、データ提供エンティティが当該識別番号で特定される匿名化データを各サービス提供システムに送信することを可能にする処理のためのフローチャートを示す。

【図8B】本発明の実施態様に従い、各サービス提供システムと名寄せシステムとの間でデータ収集契約を締結し、データ提供モードを決定する処理のためのフローチャートを示す。

【図9】本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。

【図10A】本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。

【図10B】本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。

【図11A】本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。

【図11B】本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。

【図11C】本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。

【図12A】本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。

【図12B】本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。

【図12C】本発明の実施態様に従い、名寄せされたデータを取得する処理のためのフローチャートを示す。

【図13】図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従う名寄せシステムの機能ブロック図の一例を示した図である。

【図14】図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うサービス提供システムの機能ブロック図の一例を示した図である。

【図15】図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うユーザ・システムの機能ブロック図の一例を示した図である。

【図16】図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うデータ提供エンティティの機能ブロック図の一例を示した図である。

【図17】本発明の実施態様に従い、名寄せされたデータを取得する処理の実例を示す。

【図18】本発明の実施態様に従い、名寄せされたデータを取得する処理の実例を示す。

【図19】本発明の実施態様に従い、名寄せされたデータを取得する処理の実例を示す。

【発明を実施するための形態】

【0046】

本発明の実施形態を、以下に図面に従って説明する。以下の図を通して、特に断らない限り、同一の符号は同一の対象を指す。本発明の実施形態は、本発明の好適な態様を説明するためのものであり、本発明の範囲をここで示すものに限定する意図はないことを理解されたい。

【0047】

本発明の実施態様に従う上記コンピュータ・システムは、１又は複数のデータ提供エンティティと、複数のサービス提供システムと、名寄せシステムと、ユーザ・システムとを備えている。

【0048】

本発明の実施態様に従うデータ提供エンティティは、サービス提供システムにデータを提供するユーザ、又は当該ユーザに関連付けられた機器でありうる。ユーザは、テータを例えば、可搬可能な記録媒体、例えばＵＳＢメモリ、ＳＤカード、ＣＤ、ＤＶＤ若しくはＤＶＤを介してサービス提供システムに直接的に提供しうる。当該ユーザに関連付けられた機器は、データを例えば、無線又は有線ネットワークを介してサービス提供システムに提供しうる。当該ユーザに関連付けられた機器は、例えば、コンピュータ（例えば、デスクトップ・コンピュータ若しくはノートコンピュータ）、コンピュータの周辺機器（例えば、プリンタ、スキャナ、複合装置）、タブレット端末（例えば、アンドロイド端末、Ｗｉｎｄｏｗｓ（登録商標）タブレット、若しくはｉＯＳ（登録商標）端末）、スマートフォン、携帯電話、パーソナル・ディジタル・アシスタント（ＰＤＡ）、医療機器端末、ゲーム端末、ビデオカメラ、デジタルカメラ、キヨスク端末、ポータブル・ナビゲーション・システム、カー・ナビゲーション・システム、ドライブ・レコーダー、フライト・レコーダー、販売時点情報管理システム（ＰＯＳ）、無線ネットワーク端末、コピー機端末若しくは複合器端末、防犯設備、車載電子制御ユニット、ＥＴＣ車載器、家電（例えば、テレビ、レコーダー、ステレオ、冷蔵庫、エアコン、健康器具、冷暖房設備、照明設備、風呂設備、洗濯設備、給湯設備、調理設備）、又は、家庭内エネルギー管理システム（Home Energy Management System，ＨＥＭＳ）、ビル内エネルギー管理システム（Building Energy Management System，ＢＥＭＳ）、工場内エネルギー管理システム（Factory Energy Management System，FEMS）若しくは地域内エネルギー管理システム（Cluster/Community Energy Management System，ＣＥＭＳ）でありうる。

【0049】

本発明の実施態様に従うサービス提供システムは、１又は複数のデータ提供エンティティからデータを収集し、当該収集したデータを格納する。また、当該サービス提供システムは、当該収集したデータを匿名化し、当該匿名化されたデータ（以下、「匿名化データ」という）を名寄せシステムに提供しうる。当該サービス・システムは、例えばコンピュータ、特にはサーバ・コンピュータでありうる。

【0050】

本発明の実施態様に従う名寄せシステムは、複数のサービス提供システムから匿名化データを収集し、当該収集した匿名化データを名寄せし、名寄せされたデータ（以下、「名寄せデータ」ともいう）を得る。また、当該名寄せシステムは、上記名寄せデータを集計し、当該集計したデータ（以下、「集計データ」ともいう）をユーザ・システムに提供しうる。当該名寄せシステムは、例えばコンピュータ、特にはサーバ・コンピュータでありうる。

【0051】

本発明の実施態様に従うユーザ・システムは、上記名寄せデータ又は上記集計データを名寄せシステムから受け取る。当該ユーザ・システムは、例えば、コンピュータ、スマートフォン、携帯電話、パーソナル・ディジタル・アシスタント（ＰＤＡ）でありうる。

【0052】

データ提供エンティティとサービス提供システムとは、クライアント−サーバ関係にありうる。また、サービス提供システムと名寄せシステムとは、クライアント−サーバ関係にありうる。

【0053】

データ提供エンティティが、サービス提供システムの機能を有する場合がありうる。また、ユーザ・システムが、データ提供エンティティ又はサービス提供システムの機能を有する場合がありうる。

【0054】

匿名化（anonymize）とは、個人に関する情報、すなわち当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができる情報から個人を識別することができる情報の全部又は一部を取り除き、代わりにその人と関わりのない文字列（例えば、ニックネーム）、符号又は番号を付すこと、乃至は、資料等に付随する情報のうち、ある情報だけでは特定の人を識別できない情報であっても、各種の名簿等の他で入手できる情報と組み合わせることにより、その人を識別できる場合には、組合せに必要な情報の全部又は一部を取り除いて、その人を識別できないようにすることをいう。

【0055】

上記の通り、データが前者の方法に従って匿名化された場合、個人を識別することができる情報の全部又は一部の代わりにその人と関わりのない文字列、符号又は番号が付される。従って、例えば名寄せシステムが当該匿名化データを見た場合、当該匿名化データは正常な値（その人と関わりのない符号又は番号）を有するデータである。

【0056】

本発明の実施態様において、匿名化の技法として、当業者に知られている任意の技法を使用しうる。匿名化の技法は、例えば、上記非特許文献２及び３に記載されている。

【0057】

図１は、本発明の実施態様において使用されうるデータ提供エンティティ、サービス提供システム、名寄せシステム、及びユーザ・システムのそれぞれを実現するためのハードウェア構成を有するコンピュータ（１０１）の一例を示した図である。

【0058】

コンピュータ（１０１）は、ＣＰＵ（１０２）とメイン・メモリ（１０３）とを備えており、これらはバス（１０４）に接続されている。ＣＰＵ（１０２）は好ましくは、３２ビット又は６４ビットのアーキテクチャに基づくものである。当該ＣＰＵ（１０２）は例えば、インテル社のＣｏｒｅ ｉ（商標）シリーズ、Ｃｏｒｅ ２（商標）シリーズ、Ａｔｏｍ（商標）シリーズ、Ｘｅｏｎ（商標）シリーズ、Ｐｅｎｔｉｕｍ（登録商標）シリーズ若しくはＣｅｌｅｒｏｎ（登録商標）シリーズ、ＡＭＤ（Advanced Micro Devices）社のＡシリーズ、Ｐｈｅｎｏｍ（商標）シリーズ、Ａｔｈｌｏｎ（商標）シリーズ、Ｔｕｒｉｏｎ（商標）シリーズ若しくはＳｅｍｐｒｏｎ（商標）、又は、インターナショナル・ビジネス・マシーンズ・コーポレーション（登録商標）のＰｏｗｅｒ（登録商標）シリーズでありうる。また、当該ＣＰＵ（１０２）は、コンピュータ（１０１）がデータ提供エンティティ又はユーザ・システムである場合には、例えば、スマートフォン、携帯電話若しくはタブレット端末用のＣＰＵ、又はアップル社（登録商標）のＡシリーズでありうる。

【0059】

バス（１０４）には、ディスプレイ・コントローラ（１０５）を介して、ディスプレイ（１０６）、例えば液晶ディスプレイ（ＬＣＤ）が接続されうる。また、液晶ディスプレイ（ＬＣＤ）は例えば、タッチパネル・ディスプレイ又はフローティング・タッチ・ディスプレイであてもよい。ディスプレイ（１０６）は、コンピュータ（１０１）上で動作中のソフトウェア、例えば本発明の実施態様に従うデータ提供エンティティ、サービス提供システム、名寄せシステム、及びユーザ・システム上で動作中の各プログラムが稼働することによって表示される情報、並びに本発明の実施態様に従って複数のサービス提供システムから提供される名寄せデータ又は当該名寄せデータを集計した集計データを、適当なグラフィック・インタフェースで表示するために使用されうる。

【0060】

バス（１０４）には任意的に、例えばＳＡＴＡ又はＩＤＥコントローラ（１０７）を介して、ディスク（１０８）、例えばハードディスク又はソリッド・ステート・ドライブに接続されうる。

【0061】

バス（１０４）には任意的に、例えばＳＡＴＡ又はＩＤＥコントローラ（１０７）を介して、ディスク（１０８）、ドライブ（１０９）、例えばＣＤ、ＤＶＤ又はＢＤドライブが接続されうる。

【0062】

バス（１０４）には、周辺装置コントローラ（１１０）を介して、例えばキーボード・マウス・コントローラ又はＵＳＢバスを介して、任意的に、キーボード（１１１）及びマウス（１１２）が接続されうる。

【0063】

ディスク（１０８）には、オペレーティング・システム、Ｗｉｎｄｏｗｓ（登録商標）ＯＳ、ＵＮＩＸ（登録商標）、ＭａｃＯＳ（登録商標）、及びＪ２ＥＥなどのＪａｖａ（登録商標）処理環境、Ｊａｖａ（登録商標）アプリケーション、Ｊａｖａ（登録商標）仮想マシン（ＶＭ）、Ｊａｖａ（登録商標）実行時（ＪＩＴ）コンパイラを提供するプログラム、本発明の実施態様に従うアプリケーション・プログラム、及びその他のプログラム、並びにデータが、メイン・メモリ（１０３）にロード可能なように記憶されうる。また、当該ディスク（１０８）には、コンピュータ（１０１）がデータ提供エンティティ又はユーザ・システムである場合には、例えば、スマートフォン用ＯＳ（例えば、アンドロイドＯＳ、Ｗｉｎｄｏｗｓ（登録商標）ＰｈｏｎｅＯＳ若しくはＷｉｎｄｏｗｓ（登録商標）ＯＳ、又はｉＯＳ（登録商標））が、メイン・メモリ（１０３）にロード可能なように記憶されうる。

【0064】

ディスク（１０８）は、コンピュータ（１０１）内に内蔵されていてもよく、当該コンピュータ（１０１）がアクセス可能なようにケーブルを介して接続されていてもよく、又は、当該コンピュータ（１０１）がアクセス可能なように有線又は無線ネットワークを介して接続されていてもよい。

【0065】

ドライブ（１０９）は、必要に応じて、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ又はＢＤからプログラム、例えばオペレーティング・システム又はアプリケーションをディスク（１０８）にインストールするために使用されうる。

【0066】

通信インタフェース（１１４）は、例えばイーサネット（登録商標）・プロトコルに従う。通信インタフェース（１１４）は、通信コントローラ（１１３）を介してバス（１０４）に接続され、コンピュータ（１０１）を通信回線（１１５）に有線又は無線接続する役割を担い、コンピュータ（１０１）のオペレーティング・システムの通信機能のＴＣＰ／ＩＰ通信プロトコルに対して、ネットワーク・インタフェース層を提供する。なお、通信回線は例えば、無線ＬＡＮ接続規格に基づく無線ＬＡＮ環境、ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎなどのＷｉＦｉ無線ＬＡＮ環境、又は携帯電話網環境（例えば、３Ｇ又は４Ｇ環境）でありうる。

【0067】

図２Ａは、本発明の実施態様において使用されうる、名寄せのためのコンピュータ・システム（２００）の一例を示した図である。
コンピュータ・システム（２００）は、データ提供エンティティ（２０１〜２０４）、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）、及びユーザ・システム（２３１）を備えているとする。データ提供エンティティの数は１又は複数であればよく、図２Ａに示されているデータ提供エンティティ（２０１〜２０４）の数に限定されるものではないことに留意されたい。同様に、サービス提供システムの数は複数であればよく、図２Ａに示されているサービス提供システム（２１１〜２１４）の数に限定されるものではないことに留意されたい。また、ユーザ・システム（２３１）は、例えば、データ提供エンティティ（例えば、２０１）、又は、サービス提供システムＡ〜Ｄ（２１１〜２１４）のいずれか一つと同じハードウェア上に実装されていてもよい。

【0068】

データ提供エンティティ（２０１〜２０４）は、例えばＡさんによって全て所有されているものであるとする。データ提供エンティティ（２０１）はコンピュータであり、データ提供エンティティ（２０２）はコンピュータの周辺機器であり、データ提供エンティティ（２０３）は車搭載機であり、及び、データ提供エンティティ（２０４）は家庭内エネルギー管理システム（ＨＥＭＳ）であるとする。

【0069】

コンピュータ（２０１）は、各種データ（例えば、導入されているアプリケーション、使用時間帯、又はコンピュータの位置）をサービス提供システムＡ（２１１）に送信可能であるとする。周辺機器（２０２）は、各種データ（例えば、印刷枚数、インクの消耗レベル、又は印刷のプロパティ）をサービス提供システムＢ（２１２）に送信可能であるとする。車搭載機（２０３）は、各種データ（例えば、環境データ（例えば、路面状況、渋滞状況）、車両データ（例えば、走行距離、速度、又はバッテリ残量）、又は運転に関するデータ（ハンドルの切り方、ブレーキのかけ方、又はアクセルの踏み方））をサービス提供システムＣ（２１３）に送信可能であるとする。ＨＥＭＳ（２０４）は、各種データ（例えば、個々の家電製品若しくは家全体の時間毎の消費電力、発電量若しくは蓄電量、又は使用電気製品のメーカー名及び型番）をサービス提供システムＤ（２１４）に送信可能であるとする。また、各データ提供エンティティ（２０１〜２０４）は、各種データの送信とともに、当該データそれぞれにユーザＡに関連付けられた識別番号を付随して送信する。

【0070】

サービス提供システムＡ（２１１）は、コンピュータ（２０１）の製造会社に関連付けられたサーバであり、当該コンピュータ（２０１）から送信された上記各種データを受信可能であるとする。サービス提供システムＢ（２１２）は、周辺機器（２０２）の製造会社に関連付けられたサーバであり、当該周辺機器（２０２）から送信された上記各種データを受信可能であるとする。サービス提供システムＣ（２１３）は、車搭載機（２０３）の製造会社に関連付けられたサーバであり、当該車搭載機（２０３）から送信された上記各種データを受信可能であるとする。サービス提供システムＤ（２１４）は、ＨＥＭＳ（２０４）の製造会社に関連付けられたサーバであり、当該ＨＥＭＳ（２０４）から送信された上記各種データを受信可能であるとする。

【0071】

サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、上記各種データを匿名化し、当該匿名化した各種データ（匿名化データ）を名寄せシステム（２２１）に送信可能であるとする。上記匿名化は、例えば、サービス提供システムが各種データをデータ提供エンティティから受信することに応じて、若しくは、サービス提供システムが各種データを名寄せシステムに送信する直前に、又は、サービス提供システムの処理能力がアイドルである時間を利用して行われうる。

【0072】

名寄せシステム（２２１）は、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれから送信された上記匿名化された各種データを受信可能であるとする。名寄せシステム（２２１）は、上記匿名化された各種データを名寄せし、名寄せデータ又は当該名寄せデータを集計した集計データをユーザ・システム（２３１）に送信することが可能である。

【0073】

ユーザ・システム（２３１）は、名寄せシステム（２２１）から送信された上記名寄せデータ又は上記集計データを受信可能である。

【0074】

サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれがデータ提供エンティティ（２０１〜２０４）それぞれから送信された上記各種データを受信可能とし且つ名寄せシステム（２２１）にデータ提供することを可能にする為に、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれとデータ提供エンティティ（２０１〜２０４）それぞれとの間でデータ提供に関する契約を事前に行うことが一般的である。当該契約の内容は、例えば、上記個人情報保護法を遵守するものである。同様に、名寄せシステム（２２１）がデータ提供エンティティ（２０１〜２０４）それぞれから送信された上記匿名化された各種データを受信可能とする為に、名寄せシステム（２２１）とデータ提供エンティティ（２０１〜２０４）それぞれとの間でデータ提供に関する契約を事前に行うことが一般的である。当該契約の内容は、例えば、上記個人情報保護法を遵守するものである。

【0075】

上記名寄せデータ又は上記集計データは匿名化されている為に、ユーザ・システム（２３１）は、当該名寄せデータ又は当該集計データがどの個人又はどの個人に関連付けられた機器であるかを特定することはできない。しかしながら、ユーザ・システム（２３１）は、上記名寄せデータ又は上記集計データを使用して、例えば、ある家庭における電気使用量の内訳、所有している電気製品の種類若しくは嗜好、所有している電気製品のメーカーの嗜好、又は、消耗品の発注頻度など、当該ある家庭における総合的な情報を入手することが可能になる。

【0076】

第三者機関（２４９）は、ユーザ毎に固有の識別番号を割り当てる機能を有する。また、第三者機関（２４９）は、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）それぞれに、自己の証明書、すなわち公開鍵と秘密鍵のペアを含む証明書を発行することが可能である。また、第三者機関（２４９）は、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）それぞれに、他人の証明書、すなわち公開鍵を含み秘密鍵を含まない証明書を発行することが可能である。

【0077】

図２Ｂは、本発明の実施態様において使用されうる、名寄せのためのコンピュータ・システム（２４０）の一例を示した図である。
コンピュータ・システム（２４０）は、データ提供エンティティ（２４１）、サービス提供システムである病院Ａ〜Ｄ（２５１〜２５４）、名寄せシステム（２６１）、及び、ユーザ・システムである病院Ｅ（２７１）、企業Ｆ（２７２）又は病院Ａ〜Ｄ（２５１〜２５４）の少なくとも１つを備えているとする。企業Ｆ（２７２）は、例えば医療データを利用する企業、例えば製薬企業、医療機器メーカー又は家電メーカーでありうる。

【0078】

データ提供エンティティ（２４１）は、病院Ａ〜Ｄ（２５１〜２５４）に通院する例えばＢさんであるとする。

【0079】

病院Ａ〜Ｄ（２５１〜２５４）それぞれは、例えば診療科目が異なる病院であるとする。病院Ａ〜Ｄ（２５１〜２５４）それぞれは、Ｂさんに対して治療、医薬投与、健康診断ないしは検査を行い、その各データを例えば電子カルテとして病院Ａ〜Ｄ（２５１〜２５４）に関連付けられた記憶媒体に記録する。病院Ａ〜Ｄ（２５１〜２５４）それぞれは、上記各データを匿名化し、当該匿名化した各データ（匿名化データ）を名寄せシステム（２６１）に送信可能であるとする。

【0080】

名寄せシステム（２６１）は、病院Ａ〜Ｄ（２５１〜２５４）それぞれから送信された上記匿名化された各種データを受信可能であるとする。名寄せシステム（２６１）は、上記匿名化された各種データを名寄せし、名寄せデータ又は当該名寄せデータを集計した集計データをユーザ・システム（２７１、２７２、２５１〜２５４）に送信することが可能である。

【0081】

ユーザ・システム（２７１、２７２、２５１〜２５４）は、名寄せシステム（２６１）から送信された上記名寄せデータ又は上記集計データを受信可能である。

【0082】

病院Ａ〜Ｄ（２５１〜２５４）それぞれがＢさん（２４１）から送信された上記各種データを受信可能とし且つ名寄せシステム（２６１）にデータ提供することを可能にする為に、病院Ａ〜Ｄ（２５１〜２５４）それぞれはＢさん（２４１）との間でデータ提供に関する契約を事前に行うことが一般的である。当該契約の内容は、例えば、上記個人情報保護法を遵守するものである。同様に、名寄せシステム（２６１）が病院Ａ〜Ｄ（２５１〜２５４）それぞれから送信された上記匿名化された各種データを受信可能とする為に、名寄せシステム（２６１）と病院Ａ〜Ｄ（２５１〜２５４）それぞれとの間でデータ提供に関する契約を事前に行うことが一般的である。当該契約の内容は、例えば、上記個人情報保護法を遵守するものである。

【0083】

上記名寄せデータ又は上記集計データは匿名化されている為に、ユーザ・システム（２７１、２７２、２５１〜２５４）は、原則として、当該名寄せデータ又は当該集計データがどの患者のものであるかを特定することはできない。しかしながら、ユーザ・システム（２７１、２７２、２５１〜２５４）は、上記名寄せデータ又は上記集計データを使用して、例えば、ある病気に対する薬剤の使用履歴若しくは使用状況、又は、病態の変化など、ある患者における総合的な医療情報を入手することが可能になる。また、下記に述べる本発明の実施態様に従うと、名寄せシステム（２６１）が各病院Ａ〜Ｄ（２５１〜２５４）からの匿名化データを匿名化されたまま名寄せすることを可能にし、一方、ユーザ・システムである病院（２５１〜２５４及び２７１）は特定の患者（すなわち、Ｂさん）の他院での診察内容、例えば診察結果、検査内容若しくは投薬内容、又は、複数の医療機関での診察内容の統合解析結果を特定することが可能になる。

【0084】

本発明の実施態様において使用されうるコンピュータ・システムは、上記コンピュータ・システム（２００、２４０）に限定されるものでない。本発明の実施態様において使用されうるコンピュータ・システムは、例えば、スマーター・プラネット（Smarter Planet）（上記非特許文献４を参照）、スマーター・プラネット・アプライアンス（Smarter Planet Appliance）、スマーター・モビリティ（Smarter Mobility）、サービス・デリバリ・プラットフォーム（Service Delivery Platform，ＳＤＰ）、又はヘルス・ケア・システム中において実現されてもよい。従って、本発明の実施態様において使用されうる名寄せデータ又は集計データは、種々のサービス、例えば行政サービス、都市サービス、エネルギー管理サービス、医療サービスにおいて使用されうる統合されたデータでありうる。

【0085】

以下に、本発明に従う５つの名寄せの実施態様（図３Ａ〜図３Ｃ、図４Ａ〜図４Ｄ、図５Ａ〜図５Ｄ、図６Ａ〜図６Ｃ、及び図７Ａ〜図７Ｄ）を示す。第１の実施態様は、名寄せシステムからの要求又はユーザ・システムからの要求をより、名寄せシステムがサービス提供システムに匿名化データの送信を要求し、名寄せする態様である。第２の実施態様は、名寄せシステムがユーザにユーザ許可要求を送信した上で、名寄せシステムが名寄せする態様である。第３の実施態様は、ユーザ・システムがデータ提供エンティティでもある場合において、当該ユーザ・システムが匿名化ＩＤをサービス提供システムに要求した上で、名寄せシステムが名寄せする態様である。第４の実施態様は、ユーザ・システムがデータ提供エンティティでもある場合において、当該ユーザ・システムがトークンを生成した上で、名寄せシステムが名寄せする態様である。第５の実施態様は、ユーザ・システムがデータ提供エンティティでもある場合において、当該ユーザ・システムがソルトを取得した上で、名寄せシステムが名寄せする態様である。

【0086】

図３Ａは、本発明に従う第１の実施態様である名寄せの一例を示した図である。図３Ｂ及び図３Ｃそれぞれは、図３Ａに示す名寄せを実現する為の異なる実施態様に基づくフローチャートを示す。

【0087】

図３Ａに示すように、名寄せのためのコンピュータ・システム（３００）は、データ提供エンティティ（３０１〜３０４）、サービス提供システムＡ〜Ｄ（３１１〜３１４）、名寄せシステム（３２１）、及びユーザ・システム（３３１）を備えているとする。また、Ａさんが、データ提供エンティティ（３０１〜３０４）を全て所有しているとする。

【0088】

図３Ｂは、上記第１の実施態様において、名寄せシステム（３２１）が、ユーザ・システム（３３１）からのデータ送信要求の受信の有無にかかわらず、例えばスケジューリングされた時刻において（例えば、定期的に）当該ユーザ・システム（３３１）に提供するデータをサービス提供システム（３１１〜３１４）それぞれから取得して、名寄せデータを予め生成しておく実施態様のフローチャートを示す。

【0089】

ステップ３４１及び３４２において、データ提供エンティティ（３０１）とサービス提供システムＡ（３１１）との間で、データ提供に関する契約が行われうる。当該契約において、例えば、データ提供エンティティ（３０１）はサービス提供システムＡ（３１１）にデータを提供すること、並びに、サービス提供システムＡ（３１１）はデータ提供エンティティ（３０１）から送信されたデータを匿名化し、当該匿名化データを名寄せシステム（３２１）に送信することを許可すること、及び任意的に、データ提供に対する対価をデータ提供エンティティ（３０１）のユーザに支払う旨の契約が行われうる。当該契約に際して、データ提供エンティティ（３０１）は、当該データ提供エンティティ（３０１）を特定するための識別番号（例えば、ＵＵＩＤ（Universally Unique Identifier）、お客様番号、又はユーザＩＤ）を第三者機関（３０９）に発行してもらう。当該識別番号は、データ提供エンティティ（３０１）からのデータを管理する為に使用されうる。すなわち、当該識別番号は、データがデータ提供エンティティ（３０１）からのものであることを特定可能にする。従って、当該識別番号は、個人又は当該個人に関連付けられた機械を識別可能にするものである。データ提供エンティティ（３０１）は、上記識別番号をサービス提供システムＡ（３１１）に通知する。当該通知は、例えば、上記契約時に契約の属性として付加されるものでありうる。当該通知は、例えば、データ提供エンティティ（３０１）のエージェント（例えば、ブラウザ）を通じてサービス提供システムＡ（３１１）に自動的に行われるか、あるいは、ユーザが当該識別番号を手入力してサービス提供システムＡ（３１１）に送信することによって行われうる。

【0090】

データ提供エンティティ（３０１）は、上記契約が終了すること応じて、サービス提供システムＡ（３１１）にデータを提供しうる。当該データは、上記ＵＵＩＤを例えば属性値として有する。データ提供エンティティ（３０１）は、上記データを例えばサービス提供システムＡ（３１１）の公開鍵を使用して暗号化しうる。サービス提供システムＡ（３１１）は、データ提供エンティティ（３０１）からの暗号化されたデータを、上記公開鍵に対応する秘密鍵で復号しうる。

【0091】

データ提供エンティティ（３０２）とサービス提供システムＢ（３１２）との間、データ提供エンティティ（３０３）とサービス提供システムＣ（３１３）との間、及びデータ提供エンティティ（３０４）とサービス提供システムＤ（３１４）との間でも同様に、上記契約と同様の契約が行われうる。同様に、データ提供エンティティ（３０２〜３０４）それぞれは、上記契約が終了すること応じて、サービス提供システムＢ〜Ｄ（３１２〜３１４）それぞれにデータを提供しうる。また、Ａさんが、データ提供エンティティ（３０１〜３０４）を全て所有しているので、データ提供エンティティ（３０２）とサービス提供システムＢ（３１２）との間、データ提供エンティティ（３０３）とサービス提供システムＣ（３１３）との間、及びデータ提供エンティティ（３０４）とサービス提供システムＤ（３１４）との間のデータ提供においても、データ提供エンティティ（３０１）とサービス提供システムＡ（３１１）との間で用いられる上記識別番号が用いられる。

【0092】

ステップ３４３及び３４４において、サービス提供システムＡ〜Ｄ（３１１〜３１４）それぞれと名寄せシステム（３２１）との間で、データ提供に関する契約をそれぞれ行う。当該契約において、例えば、サービス提供システムは名寄せシステム（３２１）に匿名化データを提供すること、及び名寄せシステム（３２１）は名寄せデータ又は当該名寄せデータを集計した集計データを、ユーザ・システム（３３１）に送信することを許可する旨の契約を行いうる。

【0093】

ステップ３４１及び３４２とステップ３４３及びステップ３４４とは、いずれのステップが先に行われてもよい。また、データ提供エンティティ（３０１〜３０４）それぞれとサービス提供システムＡ〜Ｄ（３１１〜３１３）それぞれとの間の契約も同時に行われる必要はなく、一般的には当該契約は任意の時間順序で行われうる。

【0094】

また、図３Ｂに示していないが、名寄せシステム（３２１）とユーザ・システム（３３１）との間で、名寄せデータの提供又は当該名寄せデータを集計した集計データの提供の契約が行われうる。当該契約において、例えば、名寄せシステム（３２１）はユーザ・システム（３３１）に名寄せデータ又は集計データを提供すること、及びユーザ・システム（３３１）は名寄せデータ又は集計データの提供に対する対価を名寄せシステム（３２１）の管理者に支払う旨の契約が行われうる。

【0095】

ステップ３４５において、名寄せシステム（３２１）は、任意のタイミングにおいて、データの送信を要求する送信要求をサービス提供システム（３１１〜３１４）それぞれに送信する。名寄せシステム（３２１）は、当該送信要求とともに、当該送信要求毎に異なる値（例えば、ソルト（ｓａｌｔ））をサービス提供システム（３１１〜３１４）それぞれに送信する。代替的には、名寄せシステム（３２１）は、例えば上記送信要求が名寄せシステム（３２１）とサービス提供システムとの間の契約に反するものである場合には、上記送信要求と上記ソルトとを、特定のサービス提供システムに送信しうる。

【0096】

本願発明の実施態様において、ソルトは上記識別番号をハッシュ化する際に用いられるデータであり、上記送信要求毎に異なる値である。従って、名寄せシステム（３２１）は、異なる送信要求に対しては、異なる値を有するソルトを生成する。ソルトは、ランダムな値であればよく、例えば日時（例えば、年月日時分ミリ秒）又はハッシュのカウントでありうる。また、ソルトは例えば、上記日時に例えば名寄せシステムの固有情報（例えば、当該名寄せシステム（３２１）のＭＡＣアドレス又は製造番号）又は位置情報（例えば、全地球測位システム（ＧＰＳ）若しくは無線ＬＡＮアクセスポイントによる位置情報、若しくはネットワーク・アドレス）を組み合わせた値でありうる。

【0097】

ステップ３４６において、上記送信要求と上記ソルトを受信したサービス提供システム（３１１〜３１４）それぞれは、データに関連付けられた識別情報（例えば、ＵＵＩＤ）を名寄せシステム（３２１）からの上記ソルトでハッシュ化し、ハッシュ値を生成する。ハッシュ化の技法（例えば、アルゴリズム）は、当業者に知られている任意の手法を採用することができる。ハッシュ値は、識別情報を匿名化したものでもあるので、匿名化ＩＤともいえる。

【0098】

サービス提供システム（３１１〜３１４）それぞれは、同一のハッシュ化アルゴリズムを使用する。サービス提供システム（３１１〜３１４）それぞれにおいて同一のハッシュ化アルゴリズムが使用できれば、例えば時間帯によって用いるハッシュ化アルゴリズムを変化させるようにしてもよい。サービス提供システム（３１１〜３１４）は、同一のハッシュ化アルゴリズムを使用する為に、各サービス提供システム（３１１〜３１４）間で、同一の送信要求に対して同一のハッシュ値（匿名化ＩＤ）を生成することができる。

【0099】

また、上記送信要求と上記ソルトを受信したサービス提供システム（３１１〜３１４）それぞれは、上記受信したソルトが既に受信済みのソルトと異なる値であるかどうかを判定しうる。なぜならば、上記受信したソルトが既に受信済みのソルトと同一である場合には、送信要求毎に異なるソルトが生成されているということに反することになるからである。また、上記受信したソルトが悪意のある第三者によって生成された可能性もあるからである。

【0100】

ステップ３４７において、上記送信要求と上記ソルトを受信したサービス提供システム（３１１〜３１４）それぞれは、上記識別番号によって特定されるデータを匿名化する。そして、当該サービス提供システム（３１１〜３１４）それぞれは、当該匿名化データと上記ハッシュ値とのセットを名寄せシステム（３２１）に送信する。当該サービス提供システム（３１１〜３１４）それぞれは、任意的に、データ提供に対する対価を名寄せシステム（３２１）の管理者から得る為に、名寄せシステム（３２１）からの上記送信要求毎のトランザクション、又は上記匿名化データの送信の履歴を記録しうる。

【0101】

ステップ３４８において、名寄せシステム（３２１）は、サービス提供システム（３１１〜３１４）それぞれから上記セットを受信する。名寄せシステム（３２１）は、上記セットのうちから、上記受信したセット中のハッシュ値によって特定される匿名化データを名寄せし、名寄せデータを得る。同じハッシュ値を持つデータは、同じ識別番号から生成されたものである。従って、名寄せシステム（３２１）は、匿名化データを識別番号なしで名寄せすることが可能である。また、名寄せシステム（３２１）は、ステップ３４５での送信要求に対する匿名化データのみを名寄せ可能である。なぜならば、送信要求がステップ３４５での送信要求でない場合には、名寄せシステム（３２１）からのソルトが異なる為に、ハッシュ値が異なってしまうからである。

【0102】

名寄せシステム（３２１）は、任意的に、上記名寄せデータを集計して集計データを生成しうる。名寄せデータの集計方法は、当業者に知られている任意の技法を使用しうる。

【0103】

名寄せシステム（３２１）は、上記名寄せデータ又は上記集計データを当該名寄せシステム（３２１）がアクセス可能な記憶媒体中に格納しうる。

【0104】

ステップ３４７において、任意的に、当該サービス提供システム（３１１〜３１４）それぞれは、匿名化データを例えばユーザ・システム（３３１）の公開鍵で暗号化しうる。従って、該サービス提供システム（３１１〜３１４）それぞれは、暗号化された匿名化データと、上記ハッシュ値（暗号化されていない）とのセットを名寄せシステム（３２１）に送信しうる。匿名化データを暗号化することによって、名寄せシステム（３２１）は匿名化データの内容を見ることができないが、上記ハッシュ値が暗号化されていないので暗号化された匿名化データを名寄せすることができる。従って、匿名化データを暗号化することによって、名寄せシステム（３２１）に匿名化データの内容を公開しないようにすることができるという点で有用である。

【0105】

ステップ３４９において、任意の時間において、ユーザ・システム（３３１）は名寄せシステム（３２１）に名寄せデータ又は集計データの送信要求を送信する。

【0106】

ステップ３５０において、名寄せシステム（３２１）は、上記送信要求を受信することに応じて、上記記憶媒体中に格納した名寄せデータ又は集計データをユーザ・システム（３３１）に送信する。名寄せシステム（３２１）は、任意的に、名寄せデータ又は集計データの提供に対する対価をユーザ・システム（３３１）のユーザから得る為に、ユーザ・システム（３３１）からの上記送信要求毎のトランザクション、又は上記匿名化データの送信の履歴を記録しうる。

【0107】

ユーザ・システム（３３１）は、上記名寄せデータ又は上記集計データを受信する。ユーザ・システム（３３１）は、上記受信した名寄せデータ又は集計データが暗号化されている場合には、上記公開鍵に対応するユーザ・システム（３３１）の秘密鍵で当該暗号化された名寄せデータ又は集計データを復号しうる。

【0108】

図３Ｃは、上記第１の実施態様において、名寄せシステム（３２１）が、ユーザ・システム（３３１）からのデータ送信要求の受信に応じて、当該ユーザ・システム（３３１）に提供するデータをサービス提供システム（３１１〜３１４）それぞれからオンタイムに取得して、名寄せデータを生成する実施態様のフローチャートを示す。

【0109】

ステップ３６１〜３６４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ３６１〜３６４についてはステップ３４１〜３４４についての上記説明を参照されたい。

【0110】

ステップ３６５において、任意の時間において、ユーザ・システム（３３１）は名寄せシステム（３２１）に名寄せデータ又は集計データの送信要求を送信する。ステップ３６５は図３Ｂに示すステップ３４９に対応する。

【0111】

ステップ３６６において、名寄せシステム（３２１）は、ユーザ・システム（３３１）からの上記送信要求を受信することに応じて、データの送信を要求する送信要求と当該送信要求毎に異なる値（例えば、ソルト（ｓａｌｔ））とをサービス提供システム（３１１〜３１４）それぞれに送信する。ステップ３６６は図３Ｂに示すステップ３４５に対応するので、ステップ３６６についてはステップ３４５についての上記説明も参照されたい。

【0112】

ステップ３６７〜３６９それぞれは図３Ｂに示すステップ３４６〜３４８に対応するので、ステップ３６７〜３６９についてはステップ３４６〜３４８についての上記説明を参照されたい。

【0113】

ステップ３７０において、名寄せシステム（３２１）は、名寄せデータ又は集計データが生成されることに応じて、当該名寄せデータ又は当該集計データをユーザ・システム（３３１）に送信する。ステップ３７０は図３Ｂに示すステップ３５０に対応するので、ステップ３５０についての上記説明も参照されたい。

【0114】

ユーザ・システム（３３１）は、上記名寄せデータ又は上記集計データを受信する。ユーザ・システム（３３１）は、上記受信した名寄せデータ又は集計データが暗号化されている場合には、上記公開鍵に対応するユーザ・システム（３３１）の秘密鍵で当該暗号化された名寄せデータ又は集計データを復号しうる。

【0115】

本発明に従う第１の実施態様において、送信要求毎に当該送信要求毎に異なる値が生成される。すなわち、送信要求毎に異なる値が用いられる。このことは、同一ユーザに由来するデータに対して、送信要求毎に異なる値が用いられることを意味する。すなわち、当該値を使用して生成されるハッシュ値は送信要求毎に異なることになる。よって、同一ユーザに由来し且つ異なる送信要求に対する匿名化データが名寄せシステム（３２１）中に蓄積乃至は保持されたとしても当該ユーザの特定をすることができないので、名寄せシステム（３２１）は、当該同一ユーザの匿名化データを名寄せできなくすることができる。従って、本発明に従う第１の実施態様は、当該ユーザの特定（すなわち、個人の特定）を防止するとともに、当該同一ユーザの匿名化データについて、異なる送信要求に対して収集された匿名化データの比較乃至は統合を防止することが可能であるという有用点を有する。

【0116】

図４Ａ及び図４Ｂは、本発明に従う第２の実施態様である名寄せの一例を示した図である。図４Ｃ及び図４Ｄは、図４Ａ及び図４Ｂに示す名寄せを実現する為のフローチャートを示す。

【0117】

図４Ａ及び図４Ｂに示すように、名寄せのためのコンピュータ・システム（４００）は、データ提供エンティティ（４０１〜４０４）、サービス提供システムＡ〜Ｄ（４１１〜４１４）、名寄せシステム（４２１）、及びユーザ・システム（４３１）を備えているとする。また、Ｂさんが、データ提供エンティティ（４０１〜４０４）を全て所有しているとする。

【0118】

ステップ４４１〜４４４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ４４１〜４４４についてはステップ３４１〜３４４についての上記説明を参照されたい。

【0119】

また、図４Ｃに示していないが、名寄せシステム（４２１）とユーザ・システム（４３１）との間で、名寄せデータの提供又は当該名寄せデータを集計した集計データの提供の契約が行われうる。当該契約において、例えば、名寄せシステム（４２１）はユーザ・システム（４３１）に名寄せデータ又は集計データを提供すること、及びユーザ・システム（４３１）は名寄せデータ又は集計データの提供に対する対価を名寄せシステム（４２１）の管理者に支払う旨の契約が行われうる。

【0120】

ステップ４４５において、サービス提供システムＡ〜Ｄ（４１１〜４１４）それぞれは、名寄せシステム（４２１）との通信に使用する為の証明書の発行を第三者機関（４０９）に要求し、当該証明書を第三者機関（４０９）から受信する。サービス提供システムＡ（４１１）の証明書は、当該サービス提供システムＡ（４１１）の秘密鍵と当該秘密鍵に対応する公開鍵とを有する。サービス提供システムＢ〜Ｄ（４１２〜４１４）それぞれの各証明書についても、サービス提供システムＡ（４１１）の証明書と同様である。

【0121】

ステップ４４６において、名寄せシステム（４２１）は、サービス提供システム（４１１〜４１４）それぞれとの通信に使用する為の名寄せシステム（４２１）の証明書の発行を第三者機関（４０９）に要求し、当該証明書を第三者機関（４０９）から受信する。名寄せシステム（４２１）の証明書は、当該名寄せシステム（４２１）の秘密鍵と当該秘密鍵に対応する公開鍵とを有する。また、名寄せシステム（４２１）は、そこからデータを取得するためのサービス提供システムを特定する為に、サービス提供システム（４１１〜４１４）それぞれの証明書の発行を第三者機関（４０９）に要求し、当該証明書を第三者機関（４０９）から受信する。サービス提供システム（４１１〜４１４）それぞれの各証明書は、当該証明書が名寄せシステム（４２１）から要求されている為に、サービス提供システム（４１１〜４１４）それぞれの公開鍵のみを有する。

【0122】

なお、ステップ４４５とステップ４４６とは、いずれのステップが先に行われてもよい。

【0123】

ステップ４４７において、名寄せシステム（４２１）は、任意のタイミングにおいて、例えば、ユーザ・システム（４３１）からのデータ送信要求の受信に応じて、又はユーザ・システム（４３１）からのデータ送信要求の受信の有無にかかわらず、例えば名寄せシステム（４２１）の管理者によってスケジューリングされた時刻において（例えば、定期的に）、名寄せすることの許可をユーザに求めるユーザ許可要求及び当該許可要求毎に異なる値（例えば、ソルト）、並びに任意的に、複数のサービス提供システムのうちの匿名化データの取得対象であるサービス提供システムの証明書（公開鍵のみを含む）、及び任意的に、名寄せシステム（４２１）に関連付けられた固有のＩＤ（例えば、当該名寄せシステム（４２１）のＭＡＣアドレス又は製造番号）を、上記ユーザ許可要求を処理できるサービス提供システムに送信する。図４Ａに示す例において、上記ユーザ許可要求を処理できるサービス提供システムがサービス提供システムＡ（４１１）であるとする。なお、上記ユーザ許可要求を処理できるシステムは、サービス提供システム（４１１〜４１４）以外のシステム、例えばユーザ許可要求のみの処理を専門に行うコンピュータであってもよい。

【0124】

ステップ４４８において、サービス提供システムＡ（４１１）は、上記ユーザ許可要求を受信することに応じて、当該ユーザ許可要求をユーザ（例えば、データ提供エンティティ（４０１））に送信する。サービス提供システムＡ（４１１）は、上記ユーザ許可要求の送信において、ユーザに対してユーザ許可条件を提示しうる。当該ユーザ許可条件は、例えば、データ提供可能なデータの種類若しくは内容、データ提供先、データ提供先でのデータ再配布の拒否、データ提供不可能なデータの種類若しくは内容、名寄せシステムへのデータ提供の回数、ユーザ・システムへの名寄せデータ提供の回数、又はデータ提供に対する対価でありうる。

【0125】

ステップ４４９において、データ提供エンティティ（４０１）は、上記ユーザ許可条件の内容をディスプレイ上に表示してユーザに提示しうる。ユーザは、当該許可条件の内容を見て、提示されたユーザ許可条件を承認するかどうかを判断しうる。また、ユーザは、上記提示されたユーザ許可条件以外の１又は複数のユーザ許可条件を追加しうる。

【0126】

ステップ４５０において、サービス提供システムＡ（４１１）は、データ提供エンティティ（４０１）からのユーザ許可条件を受信することに応じて、トークンを作成する。当該トークンは、ユーザに関連付けられた識別番号（例えば、ＵＵＩＤ）及びステップ４４７で送信された上記許可要求毎に異なる値、並びに任意的に、ステップ４４９で送信されたユーザ許可条件を含みうる。次に、サービス提供システムＡ（４１１）は、当該トークンを、サービス提供システムＡ〜Ｄ（４１１〜４１４）それぞれの公開鍵で暗号化する。当該公開鍵は、サービス提供システムＡ〜Ｄ（４１１〜４１４）それぞれの証明書中から取り出したものである。サービス提供システムＡ（４１１）が当該トークンをサービス提供システムＡ〜Ｄ（４１１〜４１４）それぞれの公開鍵で暗号化することによって、当該トークンを暗号化した公開鍵に対応する秘密鍵を有するサービス提供システムのみが当該暗号化されたトークンを復号することが可能となる。従って、名寄せシステム（４１２）は、暗号化されたトークンを復号できないので、当該暗号化されたトークン中の上記識別番号を特定することができない。

【0127】

サービス提供システムＡ（４１１）が上記トークンを暗号化する際に用いる公開鍵は、ステップ４４７で送信された各証明書内の公開鍵でありうる。代替的には、サービス提供システムＡ（４１１）は、上記暗号化されたトークンを受け取るサービス提供システムのリストを名寄せシステム（４２１）から入手し、当該リスト中のサービス提供システムそれぞれの公開鍵を第三者機関（４０９）から取得するようにしてもよい。第三者機関（４０９）は、サービス提供システムそれぞれの公開鍵を管理するサーバである。

【0128】

ステップ４５１において、サービス提供システムＡ（４１１）は、暗号化されたトークンの全て（すなわち、暗号化されたトークンのセット）を名寄せシステム（４２１）に送信する。

【0129】

ステップ４５２において、名寄せシステム（４２１）は、サービス提供システムＡ〜Ｄ（４１１〜４１４）のうちの名寄せ対象の匿名化データを格納している少なくとも１つにデータ送信要求を送信する。名寄せシステム（４２１）は、上記データ送信要求とともに、ステップ４５１で送信された暗号化されたトークンの上記セットのうち、当該送信先であるサービス提供システムＡ〜Ｄ（４１１〜４１４）のいずれかの公開鍵で暗号化されたトークンのみを、当該公開鍵に対応する秘密鍵を有するサービス提供システムに送信する。当該送信が可能であるようにするために、各トークンは、例えば（対象であるサービス提供システム）：（対象トークン）のようなペアのキー＝値（KEY=VALUE）の情報として送信されうる。

【0130】

ステップ４５３において、上記データ送信要求を受信したサービス提供システムそれぞれは、受信した暗号化されたトークンを、自身が有する秘密鍵で復号する。上記データ送信要求を受信したサービス提供システムそれぞれは、当該秘密鍵に対応する公開鍵で暗号化された上記暗号化されたトークンのみを受信するので、当該暗号化されたトークンを上記秘密鍵で復号することができる。

【0131】

ステップ４５４において、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、当該トークン中のユーザ許可条件を評価しうる。当該評価は、例えば、データ提供の日時制限若しくはその回数、又は以前に既に複合したトークンとの比較に基づいて行われうる。上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、復号したトークンを当該サービス提供システムがアクセス可能な記憶媒体中に格納しうる。

【0132】

ステップ４５５において、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、上記ユーザ許可条件又は上記ユーザ許可条件の上記評価に従って、匿名化データを名寄せシステムに送信してもよいかどうかを判断する。上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、上記匿名化データを名寄せシステムに送信してもよいということに応じて、上記識別番号によって特定されるデータを匿名化する。そして、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、当該匿名化データを名寄せシステム（４２１）に送信しうる。代替的には、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、上記識別番号とステップ４４７で送信された上記値とに基づいてハッシュ値を生成し、当該生成したハッシュ値を上記匿名化データとともに名寄せシステム（４２１）に送信しうる。上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、同一のハッシュ化アルゴリズムを使用する。上記暗号化されたトークンを復号できたサービス提供システムそれぞれにおいて同一のハッシュ化アルゴリズムが使用できれば、例えば時間帯によって用いるハッシュ化アルゴリズムを変化させるようにしてもよい。上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、同一のハッシュ化アルゴリズムを使用する為に、各サービス提供システム間で、同一の送信要求に対して同一のハッシュ値（匿名化ＩＤ）を生成することができる。当該サービス提供システムそれぞれは、任意的に、データ提供に対する対価を名寄せシステム（４２１）の管理者から得る為に、名寄せシステム（４２１）からの上記送信要求毎のトランザクション、又は上記匿名化データの送信の履歴を記録しうる。

【0133】

ステップ４５６において、名寄せシステム（４２１）は、上記匿名化データを送信したサービス提供システムそれぞれから当該匿名化データを受信しうる。代替的には、名寄せシステム（４２１）は、上記匿名化データを送信したサービス提供システムそれぞれから当該匿名化データ及び上記ハッシュ値を受信しうる。名寄せシステム（４２１）は上記サービス提供システムそれぞれから受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せしうる。名寄せシステム（４２１）は、上記トークンにより、どの名寄せに対する匿名化データであるかを判別することができる。代替的には、名寄せシステム（４２１）は、上記サービス提供システムそれぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せしうる。

【0134】

名寄せシステム（４２１）は、任意的に、上記名寄せデータを集計して集計データを生成しうる。名寄せデータの集計方法は、当業者に知られている任意の技法を使用しうる。

【0135】

名寄せシステム（４２１）は、上記名寄せデータ又は上記集計データを当該名寄せシステム（４２１）がアクセス可能な記憶媒体中に格納しうる。

【0136】

ステップ４５６において、任意的に、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、匿名化データを例えばユーザ・システム（４３１）の公開鍵で暗号化しうる。従って、上記暗号化されたトークンを復号できたサービス提供システムそれぞれは、暗号化された匿名化データを名寄せシステム（４２１）に送信しうる。匿名化データを暗号化することによって、名寄せシステム（４２１）は匿名化データの内容を見ることができない。従って、匿名化データを暗号化することによって、名寄せシステム（４２１）に匿名化データの内容を公開しないようにすることができるという点で有用である。

【0137】

ステップ４５７において、名寄せシステム（４２１）は、上記名寄せデータ又は上記集計データをユーザ・システム（４３１）に送信する。名寄せシステム（４２１）は、任意的に、名寄せデータ又は集計データの提供に対する対価をユーザ・システム（４３１）のユーザから得る為に、ユーザ・システム（４３１）からの上記ユーザ許可要求毎のトランザクション、又は上記匿名化データの送信の履歴を記録しうる。

【0138】

ユーザ・システム（４３１）は、上記名寄せデータ又は上記集計データを受信する。ユーザ・システム（４３１）は、上記受信した名寄せデータ又は集計データが暗号化されている場合には、上記公開鍵に対応するユーザ・システム（４３１）の秘密鍵で当該暗号化された名寄せデータ又は集計データを復号しうる。

【0139】

図５Ａ及び図５Ｂは、本発明に従う第３の実施態様である名寄せの一例を示した図である。図５Ｃ及び図５Ｄは、図５Ａ及び図５Ｂに示す名寄せを実現する為のフローチャートを示す。

【0140】

図５Ａ及び図５Ｂに示すように、名寄せのためのコンピュータ・システム（５００）は、データ提供エンティティ（５０１〜５０４）、サービス提供システムＡ〜Ｄ（５１１〜５１４）、及び名寄せシステム（５２１）を備えているとする。また、データ提供エンティティ（５０１）が、ユーザ・システム（５３１）でもあるとする。すなわち、ユーザ・システム（５３１）は、データ提供エンティティ（５０１）と同じハードウェア上に実装されているとする。また、Ｃさんが、データ提供エンティティ（５０１〜５０４）を全て所有しているとする。

【0141】

ステップ５４１〜５４４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ５４１〜５４４についてはステップ３４１〜３４４についての上記説明を参照されたい。

【0142】

ステップ５４５〜５４６それぞれは図４Ｃに示すステップ４４５〜４４６に対応するので、ステップ５４５〜５４６についてはステップ４４５〜４４６についての上記説明を参照されたい。

【0143】

ステップ５４７において、ユーザ・システム（５３１）（データ提供エンティティ（５０１）でもある）は、例えば、当該ユーザ・システム（５３１）のユーザからのデータ送信要求の命令を受信することに応じて、又は当該ユーザからのデータ送信要求の受信の有無にかかわらず、例えば上記ユーザによってスケジューリングされた時刻において（例えば、定期的に）、サービス提供システムＡ（５１１）に対して、当該ユーザ・システム（５３１）の匿名化された識別番号（例えば、ＵＵＩＤのハッシュ値）を問い合わせる。匿名化された識別番号は、サービス提供システム（５１１〜５１４）それぞれに格納されているとする。また、サービス提供システム（５１１〜５１４）それぞれは、識別番号（匿名化されていない）と匿名化された識別番号（匿名化ＩＤ）とのマッピングを記録したデータ（例えば、マッピング・テーブル）を、サービス提供システム（５１１〜５１４）それぞれがアクセス可能な記録媒体中に記憶している。

【0144】

ステップ５４８において、サービス提供システムＡ（５１１）は、上記匿名化された識別番号の問い合わせに応じて、上記記憶媒体中の上記マッピング・データを検索して、上記サービス提供システムＡ（５１１）に関連付けられた匿名化された識別番号を取得する。サービス提供システムＡ（５１１）は、当該取得した匿名化された識別番号をユーザ・システム（５３１）に送信する。

【0145】

ステップ５４９において、ユーザ・システム（５３１）は、上記取得した匿名化された識別番号及びユーザ許可条件、並びに任意的に、サービス提供システムＡ（５１１）を特定する情報（例えば、ネットワーク・アドレス）を名寄せシステム（５２１）に送信する。

【0146】

ステップ５５０において、名寄せシステム（５２１）は、上記匿名化された識別番号及びユーザ許可条件を受信することに応じて、トークンの生成要求をサービス提供システムＡ（５１１）に送信する。名寄せシステム（５２１）は、上記トークンの生成要求とともに、当該トークンの生成要求にのみ有効な値（例えば、ソルト）、並びに、上記匿名化された識別番号、及び任意的に、ユーザ許可条件、及び任意的に、複数のサービス提供システムのうちの匿名化データの取得対象であるサービス提供システムの証明書（公開鍵のみを含む）、及び任意的に、名寄せシステム（５２１）に関連付けられた固有のＩＤ（例えば、当該名寄せシステム（５２１）のＭＡＣアドレス又は製造番号）をサービス提供システムＡ（５１１）に送信する。

【0147】

ステップ５５１において、サービス提供システムＡ（５１１）は、上記トークンの生成要求とともに受信した匿名化された識別番号に対応する識別番号（匿名化されていない）を上記記録媒体中の上記マッピング・データを検索して取得する。また、サービス提供システムＡ（５１１）は、上記トークンの生成要求を受信することに応じて、トークンを作成する。当該トークンは、上記取得した識別番号（例えば、ＵＵＩＤ）及びステップ５５０で送信されたソルト、並びに任意的に、ステップ５５０で送信されたユーザ許可条件を含む。サービス提供システムＡ（５１１）は、当該トークンを、サービス提供システムＡ〜Ｄ（５１１〜５１４）それぞれの公開鍵で暗号化し、当該暗号化されたトークンのセットを生成する。当該公開鍵は、サービス提供システムＡ〜Ｄ（５１１〜５１４）それぞれの証明書中から取り出したものである。サービス提供システムＡ（５１１）が当該トークンをサービス提供システムＡ〜Ｄ（５１１〜５１４）それぞれの公開鍵で暗号化することによって、当該トークンを暗号化した公開鍵に対応する秘密鍵を有するサービス提供システムのみが当該暗号化されたトークンを復号することが可能となる。

【0148】

ステップ５５２において、サービス提供システムＡ（５１１）は、暗号化されたトークンの全て（すなわち、暗号化されたトークンのセット）を名寄せシステム（５２１）に送信する。

【0149】

ステップ５５３〜５５８それぞれは図４Ｄに示すステップ４５２〜４５７に対応するので、ステップ５５３〜５５８についてはステップ４５２〜４５７についての上記説明を参照されたい。

【0150】

図６Ａは、本発明に従う第４の実施態様である名寄せの一例を示した図である。図６Ｂ及び図６Ｃは、図６Ａに示す名寄せを実現する為のフローチャートを示す。

【0151】

図６Ａに示すように、名寄せのためのコンピュータ・システム（６００）は、データ提供エンティティ（６０１〜６０４）、サービス提供システムＡ〜Ｄ（６１１〜６１４）、及び名寄せシステム（６２１）を備えているとする。また、データ提供エンティティ（６０１）が、ユーザ・システム（６３１）でもあるとする。すなわち、ユーザ・システム（６３１）は、データ提供エンティティ（６０１）と同じハードウェア上に実装されているとする。また、Ｄさんが、データ提供エンティティ（６０１〜６０４）を全て所有しているとする。

【0152】

ステップ６４１〜６４４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ６４１〜６４４についてはステップ３４１〜３４４についての上記説明を参照されたい。

【0153】

また、図６Ｂに示していないが、名寄せシステム（６２１）とユーザ・システム（６３１）との間で、名寄せデータの提供又は当該名寄せデータを集計した集計データの提供の契約が行われうる。当該契約において、例えば、名寄せシステム（６２１）はユーザ・システム（６３１）に名寄せデータ又は集計データを提供すること、及びユーザ・システム（６３１）は名寄せデータ又は集計データの提供に対する対価を名寄せシステム（６２１）の管理者に支払う旨の契約が行われうる。

【0154】

ステップ６４５において、サービス提供システムＡ〜Ｄ（６１１〜６１４）それぞれは、名寄せシステム（６２１）との通信に使用する為の証明書の発行を第三者機関（６０９）に要求し、当該証明書を第三者機関（６０９）から受信する。サービス提供システムＡ（６１１）の証明書は、当該サービス提供システムＡ（６１１）の秘密鍵と当該秘密鍵に対応する公開鍵とを有する。サービス提供システムＢ〜Ｄ（６１２〜６１４）それぞれの各証明書についても、サービス提供システムＡ（６１１）の証明書と同様である。

【0155】

ステップ６４６において、ユーザ・システムでもありうるサービス提供システム（６１１）は、他のサービス提供システムの証明書の発行を第三者機関（６０９）に要求し、当該証明書を第三者機関（６０９）から受信する。当該受信したサービス提供システムそれぞれの各証明書は、自己の証明書でないので、公開鍵のみを有する。

【0156】

なお、ステップ６４５とステップ６４６とは、いずれのステップが先に行われてもよい。

【0157】

ステップ６４７において、ユーザ・システム（６３１）（データ提供エンティティ（６０１）でもある）は、例えば、当該ユーザ・システム（６３１）のユーザからのデータ送信要求の命令を受信することに応じて、又は当該ユーザからのデータ送信要求の受信の有無にかかわらず、例えば上記ユーザによってスケジューリングされた時刻において（例えば、定期的に）、名寄せデータ又は当該名寄せデータを集計した集計データを必要とするとする。ユーザ・システム（６３１）は、当該データが必要であることに応じてトークンを作成する。当該トークンは、ユーザに関連付けられた識別番号（例えば、ＵＵＩＤ）、当該データを要求する送信要求毎に異なる値（例えば、ソルト）、並びに任意的に、ユーザ許可条件を含みうる。当該値は、ユーザ・システム（６３１）が自動的に生成したものでもよく、又は、名寄せシステム（６２１）に上記値の生成要求を送信し、当該送信要求に応じて生成された値を名寄せシステム（６２１）から受信したものでもよい。但し、ユーザ・システム（６３１）が上記値を生成する場合には、他のユーザ・システムが生成した値と重複しないように、例えば当該ユーザ・システム（６３１）に固有の値（例えば、当該ユーザ・システム（６３１）のＭＡＣアドレス又は製造番号）を有するようにすることがよい。次に、ユーザ・システム（６３１）は、当該トークンを、サービス提供システムＡ〜Ｄ（６１１〜６１４）それぞれの公開鍵で暗号化し、当該暗号化されたトークンのセットを生成する。当該公開鍵は、上記した通り、第三者機関（６０９）から入手したサービス提供システムＡ〜Ｄ（６１１〜６１４）それぞれの証明書中から取り出したものである。ユーザ・システム（６３１）が当該トークンをサービス提供システムＡ〜Ｄ（６１１〜６１４）それぞれの公開鍵で暗号化することによって、当該トークンを暗号化した公開鍵に対応する秘密鍵を有するサービス提供システムのみが当該暗号化されたトークンを復号することが可能となる。従って、名寄せシステム（６１２）は、暗号化されたトークンを復号できないので、当該暗号化されたトークン中の上記識別番号を特定することができない。

【0158】

ステップ６４８において、ユーザ・システム（６３１）は、名寄せデータ又は集計データの送信要求を名寄せシステム（６２１）に送信する。また、ユーザ・システム（６３１）は、上記送信要求とともに、上記暗号化されたトークンのセットを名寄せシステム（６２１）に送信する。

【0159】

ステップ６４９〜６５４それぞれは図４Ｄに示すステップ４５２〜４５７に対応するので、ステップ６４９〜６５４についてはステップ４５２〜４５７についての上記説明を参照されたい。

【0160】

図７Ａ及び図７Ｂは、本発明に従う第５の実施態様である名寄せの一例を示した図である。図７Ｃ及び図７Ｄは、図７Ａ及び図７Ｂに示す名寄せを実現する為のフローチャートを示す。

【0161】

図７Ａ及び図７Ｂに示すように、名寄せのためのコンピュータ・システム（７００）は、データ提供エンティティ（７０１〜７０４）、サービス提供システムＡ〜Ｄ（７１１〜７１４）、及び名寄せシステム（７２１）を備えているとする。また、データ提供エンティティ（７０１）が、ユーザ・システム（７３１）でもあるとする。すなわち、ユーザ・システム（７３１）は、データ提供エンティティ（７０１）と同じハードウェア上に実装されているとする。また、Ｅさんが、データ提供エンティティ（７０１〜７０４）を全て所有しているとする。

【0162】

ステップ７４１〜７４４それぞれは図３Ｂに示すステップ３４１〜３４４に対応するので、ステップ７４１〜７４４についてはステップ３４１〜３４４についての上記説明を参照されたい。

【0163】

また、図７Ｂに示していないが、名寄せシステム（７２１）とユーザ・システム（７３１）との間で、名寄せデータの提供又は当該名寄せデータを集計した集計データの提供の契約が行われうる。当該契約において、例えば、名寄せシステム（７２１）はユーザ・システム（７３１）に名寄せデータ又は集計データを提供すること、及びユーザ・システム（７３１）は名寄せデータ又は集計データの提供に対する対価を名寄せシステム（７２１）の管理者に支払う旨の契約が行われうる。

【0164】

ステップ７４５において、ユーザ・システム（７３１）（データ提供エンティティ（７０１）でもある）は、例えば、当該ユーザ・システム（７３１）のユーザからのデータ送信要求の命令を受信することに応じて、又は当該ユーザからのデータ送信要求の受信の有無にかかわらず、例えば上記ユーザによってスケジューリングされた時刻において（例えば、定期的に）、名寄せデータ又は当該名寄せデータを集計した集計データを必要とするとする。ユーザ・システム（７３１）は、当該名寄せデータ又は当該集計データが必要であることに応じて、当該名寄せデータ又は当該集計データを要求する送信要求毎に異なる値（例えば、ソルト）を送信することを要求する送信要求（以下、「値の送信要求」ともいう）を名寄せシステム（７２１）に送信する。

【0165】

ステップ７４６において、名寄せシステム（７２１）は、上記値の送信要求を受信することに応じて、上記値を上記値の送信要求毎に生成し、当該生成した値をユーザ・システム（７３１）に送信する。

【0166】

ステップ７４７において、ユーザ・システム（７３１）は、上記値を受信することに応じて、ユーザに関連付けられた識別番号（例えば、ＵＵＩＤ）と当該受信した値とに基づいてハッシュ値（以下、第１のハッシュ値ともいう）を生成する。

【0167】

ステップ７４８において、ユーザ・システム（７３１）は、上記第１のハッシュ値を名寄せシステム（７２１）に送信する。

【0168】

ステップ７４９において、名寄せシステム（７２１）は、上記第１のハッシュ値を受信することに応じて、データの送信を要求する送信要求をサービス提供システム（７１１〜７１４）それぞれに送信する。また、名寄せシステム（７２１）は、上記送信要求とともに、ステップ７４６でユーザ・システム（７３１）に送信した上記値及び上記第１のハッシュ値をサービス提供システム（７１１〜７１４）それぞれに送信する。

【0169】

ステップ７５０において、サービス提供システム（７１１〜７１４）それぞれは、当該サービス提供システム（７１１〜７１４）それぞれが有しているユーザに関連付けられた識別番号と上記受信した値とに基づいてハッシュ値（以下、第２のハッシュ値ともいう）を生成する。サービス提供システム（７１１〜７１４）それぞれは、同一のハッシュ化アルゴリズムを使用してハッシュ化を行う。すなわち、上記第１のハッシュ値を生成するためのハッシュ化アルゴリズムと、上記第２のハッシュ値を生成するためのハッシュ化アルゴリズムとは同一である。サービス提供システム（７１１〜７１４）それぞれは、上記ユーザＥに関連付けられた識別番号を、当該ユーザＥに関連付けられたデータをデータ提供エンティティ（７０１〜７０４）それぞれから受信する際において、例えば当該データの属性又はキーとして受信しているとする。サービス提供システム（７１１〜７１４）それぞれは、当該受信したデータを、上記識別番号をキーとして保管又は管理しうる。

【0170】

ステップ７５１において、サービス提供システム（７１１〜７１４）それぞれは、第１のハッシュ値と第２のハッシュ値とを比較する。サービス提供システム（７１１〜７１４）それぞれは、第１のハッシュ値と第２のハッシュ値とが一致することに応じて、上記第２のハッシュ値を生成する際に用いた識別番号を有する匿名化データを名寄せシステム（７２１）に送信する。

【0171】

ステップ７５３〜７５４それぞれは図４Ｄに示すステップ４５６〜４５７に対応するので、ステップ７５３〜７５４についてはステップ４５６〜４５７についての上記説明を参照されたい。

【0172】

図８Ａ〜図１２Ｃは、本発明の実施態様に従い、名寄せデータを取得するために行われる種々の態様におけるステップを纏めたフローチャートを示す。

【0173】

図８Ａは、本発明の実施態様に従い、データ提供エンティティに関連付けられたユーザが識別番号（例えば、ＵＵＩＤ）を取得して、データ提供エンティティが当該識別番号で特定されるデータを各サービス提供システムに送信することを可能にする処理のためのフローチャートを示す。当該フローチャートを説明するために、便宜的に、図２Ａに示すデータ提供エンティティ（２０１〜２０４）、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）（以上が、コンピュータ・システム（２００）に含まれている）、並びに、第三者機関（２０９）を用いて説明する。

【0174】

ステップ８０１において、データ提供エンティティ（２０１〜２０４）のうちの例えばデータ提供エンティティ（２０１）が上記処理を開始する。

【0175】

ステップ８０２において、データ提供エンティティ（２０１）は、データ提供エンティティ（２０１〜２０４）に関連付けられたユーザ（Ａさん）を唯一に識別するための識別番号（例えば、ＵＵＩＤ）の発行要求を第三者機関（２０９）に送信する。

【0176】

ステップ８０３において、データ提供エンティティ（２０１）は、第三者機関（２０９）から上記識別番号を受信する。

【0177】

ステップ８０４において、データ提供エンティティ（２０１）は、上記受信した識別番号を使用して、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれに、データを送信するサービス提供システムと上記識別番号とを登録をする。当該登録において、サービス提供システムＡ（２１１）には、データ提供エンティティ（２０１）及び上記識別番号が登録される。同様に、サービス提供システムＢ（２１２）には、データ提供エンティティ（２０２）及び上記識別番号が登録される。同様に、サービス提供システムＣ（２１３）には、データ提供エンティティ（２０３）及び上記識別番号が登録される。同様に、サービス提供システムＤ（２１４）には、データ提供エンティティ（２０４）及び上記識別番号が登録される。

【0178】

ステップ８０２〜ステップ８０３の各処理は、例えば、データ提供エンティティがデータをサービス提供システムに提供することを登録するためのものであり、例えば、データ提供エンティティが当該データ提供エンティティ内にインストールされたアプリケーション（例えば、登録エージェント）を実行することによって行われうる。

【0179】

ステップ８０５において、データ提供エンティティ（２０１〜２０４）それぞれは、任意のタイミングにおいて（例えば、契約の終了に応じて）、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれにデータ１〜４（識別番号に関連付けられている）それぞれを送信する。当該データ１〜４の送信は、同時に行われる必要はなく、任意の時間において別々に行われうる。代替的には、データ提供エンティティ（２０１〜２０４）それぞれは、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれからのデータ送信要求に応じて、データ１〜４それぞれを送信する。すなわち、データ１〜４それぞれが、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれによって収集される。

【0180】

ステップ８０６において、データ提供エンティティ（２０１〜２０４）それぞれは、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれへのデータの送信が終了したかどうかを判断する。当該送信が終了していることに応じて、データ提供エンティティ（２０１〜２０４）それぞれは、処理を終了ステップ８０７に進める。当該送信が終了していないことに応じて、データ提供エンティティ（２０１〜２０４）それぞれは、処理をステップ８０５に戻す。

【0181】

ステップ８０７において、データ提供エンティティ（２０１〜２０４）それぞれは、上記処理を終了する。

【0182】

図８Ｂは、本発明の実施態様に従い、各サービス提供システムと名寄せシステムとの間でデータ収集契約を締結し、データ提供モードを決定する処理のためのフローチャートを示す。

【0183】

ステップ８１１において、上記処理が下記に示す証明書の取得から開始される。

【0184】

ステップ８１２において、サービス提供システム（２１１〜２１４）それぞれは、当該サービス提供システムそれ自身の証明書を例えば第三者機関（２０９）に要求して取得しうる。当該サービス提供システムそれ自身の証明書は、公開鍵と当該公開鍵に対応する秘密鍵の対を有する。当該公開鍵及び秘密鍵それぞれは、データの暗号化及び復号に使用するためのものである。従って、データを暗号化しない場合には、ステップ８１２を省略することが可能である。

【0185】

ステップ８１３において、サービス提供システム（２１１〜２１４）それぞれと名寄せシステム（２２１）との間でデータ提供契約を締結する。

【0186】

ステップ８１４において、名寄せシステム（２２１）は、サービス提供システム（２１１〜２１４）それぞれの証明書を例えば第三者機関（２０９）に要求して取得しうる。当該証明書は、公開鍵を有する（すなわち、秘密鍵は有していない）。当該公開鍵は、データの暗号化に使用するためのものである。従って、データを暗号化しない場合には、ステップ８１４を省略することが可能である。

【0187】

ステップ８１５において、名寄せシステム（２２１）は、当該名寄せシステム（２２１）から名寄せデータ又は集計データを取得するユーザからの指示又は当該ユーザとのデータ提供契約が対話式のデータ取得かどうかを判断する。対話式のデータ取得とは、名寄せシステム（２２１）がユーザ・システム（２３１）からのデータ送信要求の受信に応じて当該ユーザに提供するデータをサービス提供システム（２１１〜２１４）それぞれから取得することをいう（例えば、図３Ｃのフローチャートを参照）。対話式のデータ取得であることに応じて、名寄せシステム（２２１）は、処理をステップ８１５に進める。一方、対話式のデータ取得でないこと（すなわち、非同期のデータ取得）に応じて、名寄せシステム（２２１）は、処理をステップ８１７に進める。非同期のデータ取得とは、名寄せシステム（２２１）がユーザ・システム（２３１）からのデータ送信要求の受信の有無にかかわらず、例えばスケジューリングされた時刻において（例えば、定期的に）当該ユーザ・システム（２３１）に提供するデータをサービス提供システム（２１１〜２１４）それぞれから取得することをいう（例えば、図３Ｂのフローチャートを参照）。名寄せシステム（２２１）は、例えば、上記ユーザとの間のデータ提供の契約時において、対話式のデータ取得でサービスを行うか若しくは非同期のデータ取得でサービスを行うかを選択させること、又は、提供するデータの種類若しくは内容毎に、対話式のデータ取得でサービスを行うか若しくは非同期のデータ取得でサービスを行うかを選択させることが可能である。

【0188】

ステップ８１６において、名寄せシステム（２２１）は、対話式のデータ取得モードの状態で次の指示を待つ（ステップ８１６）。

【0189】

ステップ８１７において、名寄せシステム（２２１）は、対話式のデータ取得でないことに応じて、サービス提供システム（２１１〜２１４）それぞれからのデータ取得の時期のスケジュールを作成する。当該データ取得の時期は、例えば、２４時間毎又は１週間毎など、取得するデータの種類又は内容によって適宜設定されうる。

【0190】

ステップ８１８において、名寄せシステム（２２１）は、非同期のデータ取得モードの状態で次の指示を待つ（ステップ８１８）。

【0191】

ステップ８１９において、上記処理が終了する。

【0192】

上記フローチャートでは、ステップ８１５において対話式のデータ取得であるかどうかの判断結果に応じて、名寄せシステム（２２１）が対話式のデータ取得モードの状態又は非同期のデータ取得モードの状態のいずれかで次の指示を待つ実施態様を説明した。本発明に従う代替的な実施態様として、名寄せシステム（２２１）は対話式のデータ取得モード及び非同期のデータ取得モードの両状態で次の指示を待ってもよい。

【0193】

図９は、本発明の実施態様に従い、名寄せデータを取得する処理のためのフローチャートを示す。当該フローチャートを説明するために、便宜的に、図２Ａに示すデータ提供エンティティ（２０１〜２０４）、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）（以上が、コンピュータ・システム（２００）に含まれている）、並びに、第三者機関（２０９）を用いて説明する。

【0194】

ステップ９０１において、ユーザ・システム（２３１）又は名寄せシステム（２２１）は、名寄せデータを取得する上記処理を開始する。

【0195】

ステップ９０２において、ユーザ・システム（２３１）は、データの取得要求が対話式のデータ取得を求めるものであるかどうかを判断しうる。データの取得要求が対話式のデータ取得で行うかどうかをユーザが選択可能にすることによって、ユーザ・システム（２３１）がデータの取得要求が対話式のデータ取得を求めるものであるかどうかを判断できるようにしてもよい。または、対話式のデータ取得である場合とそうでない場合とでユーザ・システム（２３１）の要求メニューを異なるようにして、ユーザ・システム（２３１）がデータの取得要求が対話式のデータ取得を求めるものであるかどうかを判断できるようにしてもよい。そして、ユーザ・システム（２３１）は、名寄せシステム（２２１）に対して、データの取得要求が対話式のデータ取得であるかそうでないかを通知しうる。上記取得要求が対話式のデータ取得を求めるものであることに応じて、ユーザ・システム（２３１）は処理をステップ９０４に進める。一方、上記取得要求が対話式のデータ取得を求めるものでないことに応じて、ユーザ・システム（２３１）は処理をステップ９０３に進める。代替的には、ステップ９０２において、名寄せシステム（２２１）が、上記取得要求が対話式のデータ取得を求めるものであるかどうかを判断しうる。当該取得要求が対話式のデータ取得を求めるかどうかの判断は、例えば、名寄せシステム（２２１）とユーザ・システム（２３１）とのデータ提供契約においての取り決め事項を参照することによって行われうる。当該取り決め事項は、データの取得要求が対話式のデータ取得であるかどうかのデータを含みうる。上記取得要求は、例えばユーザ・システム（２３１）が名寄せシステム（２２１）に名寄せデータ又は集計データの送信を要求する送信要求でありうる。上記取得要求が対話式のデータ取得を求めるものであることに応じて、名寄せシステム（２２１）は処理をステップ９０４に進める。一方、上記取得要求が対話式のデータ取得を求めるものでないことに応じて、名寄せシステム（２２１）は処理をステップ９０３に進める。

【0196】

ステップ９０３において、ユーザ・システム（２３１）は、当該自身がデータ提供者（すなわち、データ提供エンティティ）であるかどうかを判断しうる。ユーザ・システム（２３１）は、当該自身がデータ提供者であるかどうかをユーザが選択可能することによって、ユーザ・システム（２３１）が、当該自身がデータ提供者であるかどうかを判断できるようにしてもよい。または、当該自身がデータ提供者である場合とそうでない場合とでユーザ・システム（２３１）の要求メニューを異なるようにして、ユーザ・システム（２３１）が当該自身がデータ提供者であるかどうかを判断できるようにしてもよい。ユーザ・システム（２３１）は当該自身がデータ提供エンティティであることに応じて、処理をステップ９０４に進める。一方、ユーザ・システム（２３１）は当該自身がデータ提供エンティティでないことに応じて、処理を終了ステップ９１５に進める。代替的には、ステップ９０３において、名寄せシステム（２２１）は、上記取得要求が非同期のデータ取得を求めるものであるかどうかを判断する。上記取得要求は、例えば図８Ｂのステップ８１７で設定されたスケジュールに従うものでありうる。上記取得要求が非同期のデータ取得を求めるものであることに応じて、名寄せシステム（２２１）は処理をステップ９０４に進める。一方、上記取得要求が非同期のデータ取得を求めるものでないことに応じて、名寄せシステム（２２１）は処理を終了ステップ９１５に進める。

【0197】

ステップ９０４において、名寄せシステム（２２１）は、データの当該送信要求にのみ有効な値（例えば、ソルト）を生成する。

【0198】

ステップ９０５において、名寄せシステム（２２１）は、複数のサービス提供システムのうちの一部のサービス提供システム、もしくはそのうちの特定のグループのサービス提供システム、又は名寄せシステム（２２１）とデータ提供に関する契約をしている全てのサービス提供システムに、上記送信要求を送信する。また、名寄せシステム（２２１）は、上記送信要求とともに、上記値を上記サービス提供システムに送信する。

【0199】

ステップ９０６において、サービス提供システムそれぞれは、例えばユーザ条件を満たすデータを特定し、当該特定されたデータを匿名化する。次に、サービス提供システムそれぞれは、当該データを管理するための識別番号と上記値とに基づいてハッシュ値を生成する。例えば、サービス提供システムそれぞれは、上記識別番号を上記値でハッシュ化する。なお、サービス提供システムそれぞれは同一のハッシュ化アルゴリズムを実装している。

【0200】

ステップ９０７において、サービス提供システムそれぞれは、上記匿名化データと上記ハッシュ値とを名寄せシステム（２２１）に送信する。

【0201】

ステップ９０８において、名寄せシステム（２２１）は、上記サービス提供システムから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せし、名寄せデータを得る。

【0202】

ステップ９０９において、名寄せシステム（２２１）は、例えばユーザ・システム（２３１）からのデータ送信要求が名寄せデータをさらに集計した集計データの送信要求であるかどうかを判断する。名寄せシステム（２２１）は、集計データの送信要求でないことに応じて、処理をステップ９１１に進める。名寄せシステム（２２１）は、集計データの送信要求であることに応じて、処理をステップ９１１に進める。

【0203】

ステップ９１０において、名寄せシステム（２２１）は、上記データの送信要求が集計データの送信要求でないことに応じて、上記データの送信要求が対話式のデータ取得かどうかを判断する。名寄せシステム（２２１）は、上記データの送信要求が対話式のデータ取得を求めるものであることに応じて、処理をステップ９１２に進める。一方、名寄せシステム（２２１）は、上記送信要求が対話式のデータ取得を求めるものでないことに応じて、処理をステップ９１３に進める。

【0204】

ステップ９１１において、名寄せシステム（２２１）は、上記送信要求が集計データの送信要求であることに応じて、名寄せデータを所定の方法に従って名寄せデータを集計する。

【0205】

ステップ９１２において、名寄せシステム（２２１）は、上記送信要求が対話式のデータ取得であることに応じて、ユーザ・システム（２２１）に名寄せデータが生成された旨を通知し、ユーザ・システムからのデータ送信要求に応じて、上記名寄せデータ又は上記集計データを送信する。

【0206】

ステップ９１３において、名寄せシステム（２２１）は、対話式のデータ取得を求めるものでないことに応じて、上記名寄せデータ又は上記集計データを当該名寄せシステム（２２１）がアクセス可能な記憶媒体中に格納する。

【0207】

ステップ９１４において、名寄せシステム（２２１）は、任意のタイミングにおいて（例えば、ユーザ・システム（２２１）からのデータ送信要求を受信することに応じて）、上記記憶媒体中に格納した名寄せデータ又は集計データをユーザ・システム（２２１）に送信する。そして、ユーザ・システム（２２１）は、当該送信された名寄せデータ又は集計データを、名寄せシステム（２２１）がサービス提供システムそれぞれからデータ受信することとは非同期的に受信する。

【0208】

ステップ９１５において、名寄せシステム（２２１）は、上記処理を終了する。

【0209】

図１０Ａ及び図１０Ｂは、本発明の実施態様に従い、名寄せデータを取得する処理のためのフローチャートを示す。当該フローチャートは、図３Ａ〜図３Ｃに示す第１の実施態様、図４Ａ〜図４Ｄに示す第２の実施態様、及び図７Ａ〜図７Ｄに示す第５の実施態様と類似又は重複するステップを含むものであるが、当該第１、２及び５の実施態様に記載の各ステップの全てを網羅するものではなく又は当該第１、２及び５の実施態様に記載の各ステップを排除するものでもないことに留意されたい。また、当該フローチャートを説明するために、便宜的に、図２Ａに示すデータ提供エンティティ（２０１〜２０４）、サービス提供システムＡ〜Ｄ（２１１〜２１４）、名寄せシステム（２２１）及びユーザ・システム（２３１）（以上が、コンピュータ・システム（２００）に含まれている）、並びに、第三者機関（２０９）を用いて説明する。

【0210】

ステップ１００１において、名寄せシステム（２２１）は、名寄せデータを取得する上記処理を開始する。

【0211】

ステップ１００２〜１００３それぞれは図９に示すステップ９０２〜９０３に対応するので、ステップ１００２〜１００３についてはステップ９０２〜９０３についての上記説明を参照されたい。

【0212】

ステップ１００４において、名寄せシステム（２２１）は、複数のサービス提供システムＡ〜Ｄ（２１１〜２１４）のうち、ユーザ許可要求を処理することが可能なサービス提供システム（すなわち、ユーザ許可を得る為のサービス提供システム）を特定する。ユーザ許可要求を処理することが可能なサービス提供システムの特定は、例えばサービス提供システムＡ〜Ｄ（２１１〜２１４）のうちのいずれをユーザ認可要求の処理をするためのシステムであるかを名寄せシステム（２２１）とサービス提供システムとの間で取り決めておくことによって行われうる。なお、本フローチャートを説明する上で、便宜的に、サービス提供システムＡ（２１１）がユーザ許可要求を処理できるシステムであるとする。

【0213】

ステップ１００５において、名寄せシステム（２２１）は、複数のサービス提供システムＡ〜Ｄ（２１１〜２１４）のうち、名寄せの為に匿名化データを提供しうるサービス提供システムを特定しうる。名寄せの為に匿名化データを提供しうるサービス提供システムの特定は、例えばサービス提供システムＡ〜Ｄ（２１１〜２１４）のうちのいずれを、匿名化データを提供するためのシステムであるかを名寄せシステム（２２１）とサービス提供システムとの間で取り決めておくことによって行われうる。なお、本フローチャートを説明する上で、便宜的に、サービス提供システムＡ〜Ｄ（２１１〜２１４）の全てがユーザ許可要求を処理できるシステムであるとする。

【0214】

ステップ１００６において、名寄せシステム（２２１）は、ステップ１００４でのユーザ許可要求（すなわち、今回のユーザ許可）にのみ有効な値（例えば、ソルト）を生成する。当該値は、ユーザ許可要求が異なる毎に、異なる値となるように生成されるものである。

【0215】

ステップ１００７において、名寄せシステム（２２１）は、ユーザ許可要求及び上記値、並びに、ユーザ許可要求を求めるユーザに関連付けられた匿名化された識別番号（例えば、ＵＵＩＤ）を、ステップ１００４で特定したサービス提供システムＡ（２１１）に送信する。また、名寄せシステム（２２１）は、ユーザ許可要求、上記値及び上記匿名化された識別番号（匿名化ＩＤ）とともに、任意的に名寄せの為に匿名化データを提供しうるサービス提供システムの証明書（公開鍵のみを含む）をサービス提供システムＡ（２１１）に送信しうる。なお、本フローチャートを説明する上で、便宜的に、データ提供エンティティ（２０１）がユーザ許可要求の許可を判断するユーザに関連付けられているシステムであるとする。

【0216】

ステップ１００８において、サービス提供システムＡ（２１１）は、識別情報と匿名化された識別番号とのマッピング・テーブル（図１４の記憶手段（１４０８）を参照）を用いて、上記匿名化された識別番号から、匿名化されていない元の識別番号を特定する。

【0217】

ステップ１００９において、サービス提供システムＡ（２１１）は、ステップ１００８で特定された識別番号を管理するデータ提供エンティティ（２０１）に、ステップ１００７のユーザ許可要求を送信する。データ提供エンティティ（２０１）は、上記ユーザ許可要求を受信することに応じて、データ提供エンティティ（２０１）のユーザ（以下、データ提供者ともいう）に上記ユーザ許可要求の内容を例えば画面上に表示する。また、データ提供エンティティ（２０１）は、データ提供者が上記表示された以外の許可条件を追加したり又は許可条件を修正したりすることを可能にするユーザ・インタフェースを画面上に表示しうる。データ提供エンティティ（２０１）は、データ提供者が上記ユーザ許可要求を承認したか又は承認しなかったかを示す結果データをサービス提供システムＡ（２１１）に送信する。

【0218】

ステップ１０１０において、サービス提供システムＡ（２１１）は、上記結果データが上記ユーザ許可要求を承認したことを示しているかどうかを判断する。サービス提供システムＡ（２１１）は、上記結果データが承認したことを示していることに応じて、処理をステップ１０１１に進める。一方、サービス提供システムＡ（２１１）は、上記結果データが承認されなかったことを示していることに応じて、処理をステップ１０１２に進める。

【0219】

ステップ１０１１において、サービス提供システムＡ（２１１）は、ステップ１００７で受信したサービス提供システムそれぞれの証明書又は第三者機関（２０９）から取得したサービス提供システムそれぞれの証明書中から、サービス提供システムそれぞれの公開鍵を取得する。

【0220】

ステップ１０１２において、サービス提供システムＡ（２１１）は、承認が得られたことを示していることに応じて、承認が得られなかった旨の通知を名寄せシステム（２２１）に送信する。サービス提供システムＡ（２１１）は、当該通知の送信に応じて、処理を終了ステップ１０３２に進める。

【0221】

ステップ１０１３において、サービス提供システムＡ（２１１）は、ステップ１００８で特定された識別番号、上記受信した値及び上記許可条件を有するトークンを生成する。

【0222】

ステップ１０１４において、サービス提供システムＡ（２１１）は、ステップ１０１３で生成したトークンを、ステップ１０１１で取得したサービス提供システムそれぞれの各公開鍵で暗号化し、当該暗号化されたトークンのセットを生成する。

【0223】

ステップ１０１５において、サービス提供システムＡ（２１１）は、上記暗号化されたトークンのセットを名寄せシステム（２２１）に送信する。

【0224】

ステップ１０１６において、名寄せシステム（２２１）は、当該暗号化されたトークンのセットを受信する。

【0225】

ステップ１０１７において、名寄せシステム（２２１）は、ステップ１００５で特定されたサービス提供システムそれぞれに、上記暗号化されたトークンのセットのうちの一つの暗号化トークンを送信する。名寄せシステム（２２１）は、上記暗号化されたトークン中の、例えば（対象であるサービス提供システム）：（対象トークン）のようなペアのキー＝値（KEY=VALUE）の情報を読み取り、当該暗号化されたトークンをどのサービス提供システムに送信するかを決定しうる。

【0226】

ステップ１０１８において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、ステップ１０１７で送信された上記一つの暗号化されたトークンを受信する。

【0227】

ステップ１０１９において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、当該暗号化されたトークンを、当該サービス提供システム自身の秘密鍵で復号する。

【0228】

ステップ１０２０において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、当該復号したトークン中のユーザ許可条件を評価する。

【0229】

ステップ１０２１において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、上記ユーザ許可条件を評価した結果が承認できるものであることに応じて、処理をステップ１０２２に進める。一方、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、上記ユーザ許可条件を評価した結果が承認できるものでないことに応じて、処理をステップ１０１７に戻す。

【0230】

ステップ１０２２において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、ステップ１０１９で復号したトークンをサービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれがアクセス可能な記憶媒体中に格納する。当該トークン格納は、次回以降のユーザ許可条件の評価に用いる為である。

【0231】

ステップ１０２３において、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれは、上記復号したトークン中の識別番号に関連付けられた匿名化データを名寄せシステム（２２１）に送信する。

【0232】

ステップ１０２４において、名寄せシステム（２２１）は、サービス提供システムＡ〜Ｄ（２１１〜２１４）それぞれからの匿名化データを受信する。

【0233】

ステップ１０２５において、名寄せシステム（２２１）は、上記受信した匿名化データのうちから、上記トークンによって特定される匿名化データを名寄せし、名寄せデータを得る。

【0234】

ステップ１０２６〜１０３１それぞれは図９に示すステップ９０９〜９１４に対応するので、ステップ１０２６〜１０３１についてはステップ９０９〜９１４についての上記説明を参照されたい。

【0235】

図１１Ａ〜図１１Ｃは、本発明の実施態様に従い、名寄せデータを取得する処理のためのフローチャートを示す。当該フローチャートは、図５Ａ〜図５Ｄに示す第３の実施態様と類似又は重複するステップを含むものであるが、当該第３の実施態様に記載の各ステップの全てを網羅するものではなく又は当該第３の実施態様に記載の各ステップを排除するものでもないことに留意されたい。また、当該フローチャートを説明するために、便宜的に、図５Ａに示すデータ提供エンティティ（５０１〜５０４）、サービス提供システムＡ〜Ｄ（５１１〜５１４）、名寄せシステム（５２１）及びユーザ・システム（５３１）（以上が、コンピュータ・システム（５００）に含まれている）、並びに、第三者機関（５０９）を用いて説明する。

【0236】

ステップ１１０１において、ユーザ・システム（５３１）又は名寄せシステム（５２１）は、名寄せデータを取得する上記処理を開始する。

【0237】

ステップ１１０２において、ユーザ・システム（５３１）は、データの取得要求が対話式のデータ取得を求めるものであるかどうかを判断しうる。データの取得要求が対話式のデータ取得で行うかどうかをユーザが選択可能にすることによって、ユーザ・システム（５３１）がデータの取得要求が対話式のデータ取得を求めるものであるかどうかを判断できるようにしてもよい。または、対話式のデータ取得である場合とそうでない場合とでユーザ・システム（５３１）の要求メニューを異なるようにして、ユーザ・システム（５３１）がデータの取得要求が対話式のデータ取得を求めるものであるかどうかを判断できるようにしてもよい。そして、ユーザ・システム（５３１）は、名寄せシステム（５２１）に対して、データの取得要求が対話式のデータ取得であるかそうでないかを通知しうる。上記取得要求が対話式のデータ取得を求めるものであることに応じて、ユーザ・システム（５３１）は処理をステップ１１０３に進める。一方、上記取得要求が対話式のデータ取得を求めるものでないことに応じて、ユーザ・システム（５３１）は処理を図９に示すステップ９０３又は図１０Ａに示すステップ１００３に進める。代替的には、ステップ１１０２において、名寄せシステム（５２１）が、上記取得要求が対話式のデータ取得を求めるものであるかどうかを判断しうる。当該取得要求が対話式のデータ取得を求めるかどうかの判断は、例えば、名寄せシステム（５２１）とユーザ・システム（５３１）とのデータ提供契約においての取り決め事項を参照することによって行われうる。当該取り決め事項は、データの取得要求が対話式のデータ取得であるかどうかのデータを含みうる。上記取得要求は、例えばユーザ・システム（５３１）が名寄せシステム（５２１）に名寄せデータ又は集計データの送信を要求する送信要求でありうる。上記取得要求が対話式のデータ取得を求めるものであることに応じて、名寄せシステム（５２１）は処理をステップ１１０３に進める。一方、上記取得要求が対話式のデータ取得を求めるものでないことに応じて、名寄せシステム（５２１）は処理を図９に示すステップ９０３又は図１０Ａに示すステップ１００３に進める。

【0238】

ステップ１１０３において、ユーザ・システム（５３１）は、当該自身がデータ提供者（すなわち、データ提供エンティティ）であるかどうかを判断しうる。ユーザ・システム（５３１）は、当該自身がデータ提供者であるかどうかをユーザが選択可能することによって、ユーザ・システム（５３１）が当該自身がデータ提供者であるかどうかを判断できるようにしてもよい。または、当該自身がデータ提供者である場合とそうでない場合とでユーザ・システム（５３１）の要求メニューを異なるようにして、ユーザ・システム（５３１）が当該自身がデータ提供者であるかどうかを判断できるようにしてもよい。ユーザ・システム（５３１）は当該自身がデータ提供エンティティであることに応じて、処理をステップ１１０４に進める。一方、ユーザ・システム（５３１）は当該自身がデータ提供エンティティでないことに応じて、処理をステップ１１０９に進める。代替的には、ステップ１１０３において、名寄せシステム（５２１）が、ユーザ・システム（５３１）がデータ提供エンティティと同一であるかどうかを判断しうる。ユーザ・システム（５３１）がデータ提供エンティティと同一であることに応じて、名寄せシステム（５２１）は処理をステップ１１０４に進める。一方、名寄せシステム（５２１）は、ユーザ・システム（５３１）がデータ提供エンティティでないことに応じて、処理をステップ１１０９に進める。

【0239】

ステップ１１０４において、ユーザ・システム（５３１）は、ユーザ・システム（５３１）がデータ提供エンティティと同一であることに応じて、当該ユーザ・システム（５３１）自身の識別番号（データを管理するための識別番号でもある）に関連付けられているサービス提供システムＡ（５１１）に、匿名化ＩＤを問い合わせる。サービス提供システムＡ（５１１）は、上記問い合わせに応じて、匿名化ＩＤをユーザ・システム（５３１）に返す。ユーザ・システム（５３１）は、当該サービス提供システムＡ（５１１）から匿名化ＩＤを受信する。

【0240】

ステップ１１０５において、ユーザ・システム（５３１）は、名寄せデータ又は収集データの送信を依頼する名寄せシステムを特定する。例えば、図５Ａに示す名寄せシステム（５２１）が特定されたとする。ユーザ・システム（５３１）は、当該名寄せシステム（５２１）に、匿名化された識別番号及びユーザ許可条件、並びに任意的に、サービス提供システムＡ（５１１）を特定する情報を名寄せシステム（５２１）に送信する。

【0241】

ステップ１１０６において、名寄せシステム（５２１）は、複数のサービス提供システムＡ〜Ｄ（５１１〜５１４）のうち、ユーザ許可要求を処理することが可能なサービス提供システムを特定する。なお、本フローチャートを説明する上で、便宜的に、サービス提供システムＡ（５１１）がユーザ許可要求を処理できるシステムであるとする。

【0242】

ステップ１１０７において、名寄せシステム（５２１）は、今回のトークンの生成要求にのみ有効な値（例えば、ソルト）を生成する。当該値は、トークンの生成要求毎に、異なる値となるように生成されるものである。

【0243】

ステップ１１０８において、名寄せシステム（５２１）は、上記トークンの生成要求とともに、ステップ１１０７で生成された値、並びに、上記匿名化された識別番号、及び任意的に、ユーザ許可条件、及び任意的に、複数のサービス提供システムのうちの匿名化データの取得対象であるサービス提供システムの証明書（公開鍵のみを含む）、及び任意的に、名寄せシステム（５２１）に関連付けられた固有のＩＤ（例えば、当該名寄せシステム（５２１）のＭＡＣアドレス又は製造番号）をサービス提供システムＡ（５１１）に送信する。

【0244】

ステップ１１０９において、ユーザ・システム（５３１）は、ユーザ・システム（５３１）がデータ提供エンティティでないことに応じて、特定の収集されたテータに対して、ユーザ・システム（５３１）のユーザが名寄せシステム（５２１）に名寄せデータの送信を依頼する送信要求を当該名寄せシステム（５２１）に送信する。

【0245】

ステップ１１１０〜１１１６それぞれは図１０Ａに示すステップ１００４〜１０１０に対応するので、ステップ１１１０〜１１１６についてはステップ１００４〜１０１０についての上記説明を参照されたい。

【0246】

ステップ１１１７において、サービス提供システムＡ（５１１）は、名寄せシステム（５２１）からの証明書中それぞれから、サービス提供システムそれぞれの公開鍵を取得する。

【0247】

ステップ１１１８は図１０Ａに示すステップ１０１２に対応するので、ステップ１１１８についてはステップ１０１２についての上記説明を参照されたい。

【0248】

ステップ１１１９において、サービス提供システムＡ（５１１）は、識別番号（匿名化されていない）及び上記値、並びに任意的に、ユーザ許可条件を有するトークンを生成する。

【0249】

ステップ１１２０〜１１３８それぞれは図１０Ａに示すステップ１０１４〜１０３２に対応するので、ステップ１１２０〜１１３８についてはステップ１０１４〜１０３２についての上記説明を参照されたい。

【0250】

図１２Ａ〜図１２Ｃは、本発明の実施態様に従い、名寄せデータを取得する処理のためのフローチャートを示す。なお、当該フローチャートは、図６Ａ〜図６Ｃに示す第４の実施態様と類似又は重複するステップを含むものであるが、当該第４の実施態様に記載の各ステップの全てを網羅するものではなく又は当該第４の実施態様に記載の各ステップを排除するものでもないことに留意されたい。また、当該フローチャートを説明するために、便宜的に、図６Ａに示すデータ提供エンティティ（６０１〜６０４）、サービス提供システムＡ〜Ｄ（６１１〜６１４）、名寄せシステム（６２１）及びユーザ・システム（６３１）（以上が、コンピュータ・システム（６００）に含まれている）、並びに、第三者機関（６０９）を用いて説明する。

【0251】

ステップ１２０１において、ユーザ・システム（６３１）又は名寄せシステム（６２１）は、名寄せデータを取得する上記処理を開始する。

【0252】

ステップ１２０２及び１２０３それぞれは図１１Ａに示すステップ１１０２及び１１０３に対応するので、ステップ１２０２及び１２０３についてはステップ１１０２及び１１０３についての上記説明を参照されたい。

【0253】

但し、上記ステップ１２０３において、ユーザ・システム（６３１）又は名寄せシステム（６２１）は、ユーザ・システム（６３１）がデータ提供エンティティと同一であることに応じて、処理をステップ１２０４（証明書より各サービス提供システムの公開鍵を取得）に進めるのに対して、上記ステップ１１０３において、ユーザ・システム（５３１）又は名寄せシステム（５２１）は、処理をステップ１１０４（匿名化ＩＤをサービス提供から取得）に進める点で異なる。

【0254】

ステップ１２０４において、ユーザ・システム（６３１）は、ユーザ・システム（６３１）がデータ提供エンティティと同一であることに応じて、自己が保持している証明書中それぞれから、サービス提供システムそれぞれの公開鍵を取得する。ユーザ・システム（６３１）は、上記証明書を、例えば第三者機関（６０９）から入手可能である。

【0255】

ステップ１２０５において、ユーザ・システム（６３１）は、識別番号（匿名化されていない）及び名寄せデータ又は集計データを要求する送信要求毎に異なる値（例えば、ソルト）、並びに任意的に、ユーザ許可条件を有するトークンを生成する。

【0256】

ステップ１２０６において、ユーザ・システム（６３１）は、ステップ１２０５で生成したトークンを、ステップ１２０４で取得したサービス提供システムそれぞれの公開鍵で暗号化して、当該暗号化されたトークンのセットを生成する。

【0257】

ステップ１２０７において、ユーザ・システム（６３１）は、当該暗号化されたトークンのセットを名寄せシステム（６２１）に送信する。

【0258】

ステップ１２０８〜１２１５それぞれは図１１Ａ及び図１１Ｂに示すステップ１１０９〜１１１６に対応するので、ステップ１２０８〜１２１５についてはステップ１１０９〜１１１６についての上記説明を参照されたい。

【0259】

ステップ１２１６において、サービス提供システムＡ（５１１）は、名寄せシステム（６２１）からの証明書中それぞれから、サービス提供システムそれぞれの公開鍵を取得する。

【0260】

ステップ１２１７は図１１Ｂに示すステップ１１１８に対応するので、ステップ１２１７についてはステップ１１１８についての上記説明を参照されたい。

【0261】

ステップ１２２１〜１２３７それぞれは図１１Ｃに示すステップ１１２２〜１１３８に対応するので、ステップ１２２１〜１２３７についてはステップ１１２２〜１１３８についての上記説明を参照されたい。

【0262】

図１３は、図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従う名寄せシステムの機能ブロック図の一例を示した図である。
名寄せのためのコンピュータ・システム（１３００）は、データ提供エンティティ１〜ｎ（１３０１〜１３０６）、１又は複数のデータ提供エンティティにネットワークを介して接続されたサービス提供システム１〜ｎ（１３１１〜１３１４）、複数のサービス提供システムにネットワークを介して接続された名寄せシステム（１３２１）、及び、名寄せシステムにネットワークを介して接続されたユーザ・システム（１３３１）を備えているとする。

【0263】

名寄せシステム（１３２１）は、ソルト生成手段（１３２２）、送信／受信手段（１３２３）、名寄せ手段（１３２４）、及び集計手段（１３２５）を備えている。また、名寄せシステム（１３２１）は、匿名化データを記憶するための記憶手段（１３２６）、及び名寄せデータ及び／又は集計データを記憶するための記憶手段（１３２７）を備えているか、又は、当該記憶手段（１３２６，１３２７）にケーブルを介して又はネットワークを介してアクセス可能である。

【0264】

ソルト生成手段（１３２２）は、データの送信を要求する送信要求毎に異なる値を生成しうる。また、ソルト生成手段（１３２２）は、複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求毎に異なる値を生成しうる。

【0265】

送信／受信手段（１３２３）は、図３Ｂ〜図３Ｃ、図４Ｃ〜図４Ｄ、図５Ｃ〜図５Ｄ、図６Ｂ〜図６Ｃ、及び図７Ｃ〜図７Ｄ中の各名寄せシステム（３２１、４２１、５２１、６２１、及び７２１）について示されている各種データ（例えば、匿名化データ、名寄せデータ及び集計データ）、ソルト、ハッシュ値、及び各種証明書を、サービス提供システム１〜ｎ（１３１１〜１３１４）又はユーザ・システム（１３３１）との間で送受信しうる。

【0266】

名寄せ手段（１３２４）は、複数のサービス提供システムそれぞれから匿名化データを受信して、当該受信した匿名化データを名寄せし、名寄せデータを取得する。当該名寄せは、例えば、複数のサービス提供システムそれぞれから受信した匿名化データのうちから、ハッシュ値によって特定される匿名化データを名寄せすること、又は、トークンによって特定される匿名化データを名寄せすることによって行われうる。

【0267】

集計手段（１３２５）は、名寄せデータを任意の集計方法を使用して集計し、集計データを生成する。

【0268】

記憶手段（１３２６）は、複数のサービス提供システム１〜ｎ（１３１１〜１３１４）それぞれから送信された匿名化データを記憶する。記憶手段（１３２６）は、１又は複数の物理媒体である記憶装置から構成されうる。

【0269】

記憶手段（１３２７）は、名寄せ手段（１３２４）で取得した名寄せデータ及び／又は集計手段（１３２５）で生成した集計データを記憶する。記憶手段（１３２７）は、１又は複数の物理媒体である記憶装置から構成されうる。

【0270】

記憶手段（１３２６）と記憶手段（１３２７）は、１つの物理的な記憶媒体（例えば、図１の記憶媒体（１０８））で実現されてもよい。

【0271】

図１４は、図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うサービス提供システムの機能ブロック図の一例を示した図である。
サービス提供システム１（１３１１）は、ハッシュ化手段（１４０１）、送信／受信手段（１４０２）、匿名化手段（１４０３）、暗号化／復号手段（１４０４）、トークン生成手段（１４０５）、及びトークン評価手段（１４０６）を備えている。また、サービス提供システム１（１３１１）は、匿名化データを記憶するための記憶手段（１４０７）、並びに、識別情報及び／又は匿名化された識別番号（匿名化ＩＤ）、及び／又はそれらのマッピング・テーブルを記憶するための記憶手段（１４０８）を備えているか、又は、当該記憶手段（１４０７，１４０８）にケーブルを介して又はネットワークを介してアクセス可能である。

【0272】

ハッシュ化手段（１４０１）は、識別番号（例えば、ＵＵＩＤ）をソルトでハッシュ化してハッシュ値を生成する。

【0273】

送信／受信手段（１４０２）は、図３Ｂ〜図３Ｃ、図４Ｃ〜図４Ｄ、図５Ｃ〜図５Ｄ、図６Ｂ〜図６Ｃ、及び図７Ｃ〜図７Ｄ中の各サービス提供システム（３１１〜３１４、４１１〜４１４、５１１〜５１４、６１１〜６１４、及び７１１〜７１４）について示されている各種データ（例えば、名寄せ対象のデータ、匿名化データ）、ソルト、ハッシュ値、トークン、又は各種証明書を、データ提供エンティティ１〜ｎ（１３０１〜１３０６）又は名寄せシステム（１３２１）との間で送受信しうる。

【0274】

匿名化手段（１４０３）は、データ提供エンティティ１〜ｎ（１３０１〜１３０６）から収集したデータを匿名化する。

【0275】

暗号化／復号手段（１４０４）は、各種データ（例えば、匿名化データ）を暗号化又は復号する。また、トークン生成手段（１４０５）によって生成されたトークンを暗号化して、当該暗号化されたトークンを生成する。

【0276】

トークン生成手段（１４０５）は、識別番号及び複数のサービス提供システムそれぞれに名寄せすることのユーザ許可要求毎に異なる値、並びに任意的に、ユーザ許可条件を有するトークンを生成する。

【0277】

トークン評価手段（１４０６）は、トークン中のユーザ許可条件を評価する。また、トークン評価手段（１４０６）は、トークン同士が同一であるかどうかを判断する。

【0278】

記憶手段（１４０７）は、匿名化手段（１４０３）によって匿名化された匿名化データを記憶する。

【0279】

記憶手段（１４０８）は、識別情報及び／又は匿名化された識別番号（匿名化ＩＤ）、及び／又はそれらのマッピング・テーブルを記憶する。

【0280】

記憶手段（１４０７）と記憶手段（１４０８）とは、１つの物理的な記憶媒体（例えば、図１の記憶媒体（１０８））で実現されてもよい。

【0281】

図１５は、図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うユーザ・システムの機能ブロック図の一例を示した図である。
ユーザ・システム（１３３１）は、データ送信要求手段（１５０１）、送信／受信手段（１５０２）、ハッシュ化手段（１５０３）、暗号化／復号手段（１５０４）、及びトークン生成手段（１５０５）を備えている。また、ユーザ・システム（１３３１）は、名寄せデータ及び／又は集計データを記憶するための記憶手段（１５０６）を備えているか、又は、当該記憶手段（１５０６）にケーブルを介して又はネットワークを介してアクセス可能である。

【0282】

データ送信要求手段（１５０１）は、名寄せデータ又は集計データの送信を要求する送信要求を名寄せシステム（１３２１）に送信する。

【0283】

送信／受信手段（１５０２）は、図３Ｂ〜図３Ｃ、図４Ｃ〜図４Ｄ、図５Ｃ〜図５Ｄ、図６Ｂ〜図６Ｃ、及び図７Ｃ〜図７Ｄ中の各ユーザ・システム（３３１、４３１、５３１、６３１、及び７３１）について示されている各種データ（例えば、名寄せデータ、集計データ）、暗号化されたトークン、又はハッシュ値を、名寄せシステム（１３２１）との間で送受信しうる。

【0284】

ハッシュ化手段（１５０３）は、識別番号（例えば、ＵＵＩＤ）をソルトでハッシュ化してハッシュ値を生成する。

【0285】

暗号化／復号手段（１５０４）は、暗号化された名寄せデータ又は集計データを復号する。また、トークン生成手段（１５０５）によって生成されたトークンを暗号化して、当該暗号化されたトークンを生成する。

【0286】

トークン生成手段（１５０５）は、識別番号及びデータを要求する送信要求毎に異なる値、並びに任意的に、ユーザ許可条件を有するトークンを生成する。

【0287】

記憶手段（１５０６）は、名寄せデータ及び／又は集計データを記憶する。

【0288】

図１６は、図１に従うハードウェア構成を好ましくは備えており、本発明の実施態様に従うデータ提供エンティティの機能ブロック図の一例を示した図である。
データ提供エンティティ１（１３０１）は、データ収集手段（１６０１）、送信／受信手段（１６０２）、ユーザ許可条件入力手段（１６０３）、及び暗号化／復号手段（１６０４）を備えている。また、データ提供エンティティ１（１３０１）は、サービス提供システム１（１３１１）に提供するためのデータ及び識別情報を記憶するための記憶手段（１６０５）を備えているか、又は、当該記憶手段（１６０５）にケーブルを介して又はネットワークを介してアクセス可能である。

【0289】

データ収集手段（１６０１）は、サービス提供システム１（１３１１）に提供するためのデータを収集し、当該収集したデータを記憶手段（１６０５）に格納する。

【0290】

送信／受信手段（１６０２）は、図３Ｂ〜図３Ｃ、図４Ｃ〜図４Ｄ、図５Ｃ〜図５Ｄ、図６Ｂ〜図６Ｃ、及び図７Ｃ〜図７Ｄ中の各データ提供エンティティ（３０１〜３０４、４０１〜４０４、５０１〜５０４、６０１〜６０４、及び７０１〜７０４）について示されている各種データ（例えば、名寄せ対象のオリジナル・データ）を、サービス提供システム１（１３１１）との間で送受信しうる。詳細には、送信／受信手段（１６０２）は、サービス提供システム１（１３１１）に提供するためのデータを例えば当該サービス提供システム１（１３１１）に備えられた例えば周辺機器から受信し、且つ、記憶手段（１６０５）に格納されたデータをサービス提供システム１（１３１１）に送信する。

【0291】

ユーザ許可条件入力手段（１６０３）は、データ提供エンティティ１（１３０１）のユーザに対して、ユーザ許可条件の承認を求め、また必要に応じて、追加のユーザ許可条件を入力することを可能にする。

【0292】

暗号化／復号手段（１６０４）は、サービス提供システム１（１３１１）に提供するためのデータを暗号化する。

【0293】

記憶手段（１６０５）は、サービス提供システム１（１３１１）に提供するためのデータ及び識別情報を記憶する。

【0294】

図１７〜図１９はそれぞれ、本発明の実施態様に従い、名寄せデータを取得する処理の実例を示す。

【0295】

図１７は、事故診断サービス提供会社（１７２１）が、各種データ提供エンティティ（１７０１〜１７０３）からの名寄せデータを取得し、事故原因の特定、事故の起き易い状況の解析、又は運転中の携帯電話操作との関連性などの情報を提供する例を示す。

【0296】

データ提供者Ｘは、第三者機関（１７０９）より、識別ＩＤ（ＵＵＩＤ）の発行を受けているとする。データ提供者Ｘは、データ提供エンティティである車搭載機（１７０１）、カーナビ（１７０２）、及び携帯電話（１７０３）を所有しているとする。

【0297】

データ提供者Ｘは、車ベンダーのサーバ・システム（サービス提供システムである）（以下、単に、「車ベンダー」という）（１７１１）と、データ提供者Ｘの所有する車搭電子制御ユニット（１７０１）から、運転データ（例えば、運転操作）、位置、速度情報、給油などの各種情報を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。車搭電子制御ユニット（１７０１）は、当該契約に基づいて、車ベンダー（１７１１）に、上記各種情報を定期的に若しくは任意の時間に、又は車ベンダー（１７１１）からのデータ送信要求に応じて送信しているとする。

【0298】

同様に、データ提供者Ｘは、カーナビ・ベンダーのサーバ・システム（サービス提供システムである）（以下、単に、「カーナビ・ベンダー」という）（１７１２）と、データ提供者Ｘの所有するカーナビ（１７０２）から、天気、渋滞情報、近辺の信号、緊急車両の情報、路車間情報などの各種情報を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。カーナビ（１７０２）は、当該契約に基づいて、カーナビ・ベンダー（１７１２）に、上記各種情報を定期的に若しくは任意の時間に、又はカーナビ・ベンダー（１７１２）からのデータ送信要求に応じて送信しているとする。

【0299】

同様に、データ提供者Ｘは、携帯電話ベンダーのサーバ・システム（サービス提供システムである）（以下、単に、「携帯電話ベンダー」という）（１７１３）と、データ提供者Ｘの所有する携帯電話（１７０３）から、操作記録、加速度情報、位置情報などの各種情報を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。携帯電話（１７０３）は、当該契約に基づいて、携帯電話ベンダー（１７１３）に、上記各種情報を定期的に若しくは任意の時間に、又は携帯電話ベンダー（１７１３）からのデータ送信要求に応じて送信しているとする。

【0300】

事故診断サービス提供会社（名寄せシステムである）（１７２１）は、車ベンダー（１７１１）、カーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）それぞれと、匿名化データを収集且つ当該収集した匿名化データ又はそれを集計した集計データを他に提供してもよい旨の契約を締結しているとする。事故診断サービス提供会社（１７２１）は、複数のデータ提供者との契約により収集した情報を使用して、例えば、車１台当たりの各種情報、例えば平均運転時間若しくは距離、天気と運転との相関関係（例えば、日時若しくは道単位で）又はカーナビの使用状態を集計しており、また、当該集計サービスを提供しているとする。また、事故診断サービス提供会社（１７２１）はまた、複数のデータ提供者との契約により収集した情報を使用して、事故診断サービスを提供しているとする。

【0301】

保険会社（ユーザ・システムである）（１７３１）は、事故診断サービス提供会社（１７２１）と、名寄せデータ又は集計データの提供をする旨の契約を締結しているとする。

【0302】

保険会社（１７３１）は、運転データよりデータ提供者Ｘが車事故を起こしたことを知った。

【0303】

保険会社（１７３１）は、データ提供者Ｘの事故データに対する解析要求を事故診断サービス提供会社（１７２１）に送信する。代替的には、保険会社（１７３１）が事故データに対して解析をすることを事故診断サービス提供会社（１７２１）に事前に登録することによって、事故診断サービス提供会社（１７２１）が自動で事故データに対する解析を行ってもよい。

【0304】

事故診断サービス提供会社（１７２１）は、車ベンダー（１７１１）からのデータをカーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）それぞれのデータと名寄せをする為のユーザ許可要求、及び当該許可要求にのみ有効なソルトを、当該ユーザ許可要求を処理することが可能な車ベンダー（１７１１）に送信する。上記ユーザ許可要求は、車ベンダー（１７１１）からのデータをカーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）それぞれのデータと名寄せをする旨の要求でありうる。また、事故診断サービス提供会社（１７２１）は、データ提供者Ｘの匿名化ＩＤ、並びに、カーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）の各証明書（公開鍵を含む）を車ベンダー（１７１１）に送信する。

【0305】

車ベンダー（１７１１）は、受信した匿名化ＩＤからＵＵＩＤを特定する。そして、車ベンダー（１７１１）は、上記ユーザ許可要求を当該ＵＵＩＤに関連付けられたデータ提供者Ｘ（例えば、データ提供者Ｘの携帯電話）に送信する。データ提供者Ｘの携帯電話は、上記ユーザ許可要求を受信することに応じて、上記ユーザ許可要求を承認するかどうかのユーザ・インタフェースを表示する。データ提供者Ｘの携帯電話は、上記ユーザ許可要求が承認されることに応じて、当該承認された旨のメッセージを車ベンダー（１７１１）に送信する。一方、データ提供者Ｘの携帯電話は、上記ユーザ許可要求が承認されなかったことに応じて、当該承認されなかった旨のメッセージを車ベンダー（１７１１）に送信する。

【0306】

車ベンダー（１７１１）は、上記ＵＵＩＤ、上記許可条件及び上記ソルトからトークンを作成する。そして、車ベンダー（１７１１）は、任意的に、当該車ベンダー（１７１１）の公開鍵を上記証明書中から又は自身の証明書を格納した記憶媒体中にある証明書中から取得して、当該取得した公開鍵で上記トークンを暗号化しうる。車ベンダー（１７１１）は、カーナビ・ベンダー（１７１２）の公開鍵を上記証明書中から取得して、当該取得した公開鍵で上記トークンを暗号化する。同様に、車ベンダー（１７１１）は、携帯電話ベンダー（１７１３）の公開鍵を上記証明書中から取得して、当該取得した公開鍵で上記トークンを暗号化する。すなわち、車ベンダー（１７１１）は、車ベンダー（１７１１）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＡという）とカーナビ・ベンダー（１７１２）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＢという）と携帯電話ベンダー（１７１３）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＣという）とのセット（以下、「暗号化されたトークンのセット１」という）、又は、カーナビ・ベンダー（１７１２）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＢという）と携帯電話ベンダー（１７１３）の公開鍵で暗号化された暗号化トークン（以下、暗号化トークンＣという）とのセット（以下、「暗号化されたトークンのセット２」という）を作成する。

【0307】

車ベンダー（１７１１）は、上記暗号化されたトークンのセット１又は２を事故診断サービス提供会社（１７２１）に送信する。

【0308】

事故診断サービス提供会社（１７２１）は、上記暗号化されたトークンのセット１を受信した場合には、当該セット１のうちの暗号化トークンＡを車ベンダー（１７１１）に送信し、当該セット１のうちの暗号化トークンＢをカーナビ・ベンダー（１７１２）に送信し、当該セット１のうちの暗号化トークンＣを携帯電話ベンダー（１７１３）に送信しうる。また、事故診断サービス提供会社（１７２１）は、上記暗号化されたトークンのセット２を受信した場合には、当該セット２のうちの暗号化トークンＢをカーナビ・ベンダー（１７１２）に送信し、当該セット２のうちの暗号化トークンＣを携帯電話ベンダー（１７１３）に送信しうる。事故診断サービス提供会社（１７２１）は、当該暗号化されたトークンをＩＤとして管理する。事故診断サービス提供会社（１７２１）が上記暗号化トークンＡを車ベンダー（１７１１）に送信する前者の態様の場合、車ベンダー（１７１１）は、すでに暗号化トークンＡを事故診断サービス提供会社（１７２１）から受信しなくとも当該暗号化トークンＡを有しているので、事故診断サービス提供会社（１７２１）が上記暗号化トークンＡを車ベンダー（１７１１）に送信しない後者の態様の方が、暗号化されたトークンの処理として冗長でない点で有用である。

【0309】

カーナビ・ベンダー（１７１２）は、上記暗号化されたトークンのセット１又は２のうちの上記暗号化トークンＢを受信し、当該カーナビ・ベンダー（１７１２）の秘密鍵で当該受信した暗号化トークンＢを復号して、トークンＢを得る。同様に、携帯電話ベンダー（１７１３）は、上記暗号化されたトークンのセット１又は２のうちの上記暗号化トークンＣを受信し、当該携帯電話ベンダー（１７１３）の秘密鍵で当該受信した暗号化トークンＣを復号して、トークンＣを得る。

【0310】

同様に、車ベンダー（１７１１）は、トークンＡ中の許可条件を評価する。そして、車ベンダー（１７１１）は、当該許可条件が満たされることに応じて、ＵＵＩＤによって特定されるデータ（車からの各種データ）を匿名化して、当該匿名化データを事故診断サービス提供会社（１７２１）にトークンＡとともに送信する。カーナビ・ベンダー（１７１２）は、復号されたトークンＢ中の許可条件を評価する。そして、カーナビ・ベンダー（１７１２）は当該許可条件が満たされることに応じて、ＵＵＩＤによって特定されるデータ（カーナビからの各種データ）を匿名化して、当該匿名化データを事故診断サービス提供会社（１７２１）にトークンＢとともに送信する。同様に、携帯電話ベンダー（１７１３）は、復号されたトークンＣ中の許可条件を評価する。そして、携帯電話ベンダー（１７１３）は当該許可条件が満たされることに応じて、ＵＵＩＤによって特定されるデータ（携帯電話からの各種データ）を匿名化して、当該匿名化データを事故診断サービス提供会社（１７２１）にトークンＣとともに送信する。

【0311】

事故診断サービス提供会社（１７２１）は、車ベンダー（１７１１）、カーナビ・ベンダー（１７１２）及び携帯電話ベンダー（１７１３）からの匿名化データを名寄せして集計し、集計データを作成する。当該集計データは、例えば、事故原因の特定、事故の起き易い状況の解析（例えば、天気、渋滞、若しくは経路との関係）、又は運転中の携帯電話操作との関連性などの情報を含みうる。

【0312】

事故診断サービス提供会社（１７２１）は、上記集計データを保険会社（１７３１）に送信する。

【0313】

保険会社（１７３１）は、上記集計データを利用して、データ提供者Ｘが起こした車事故についての保険金の計算に使用する。

【0314】

図１８は、健康診断サービス提供会社（１８２１）が、各種データ提供エンティティ（１８０１〜１８０４）からの名寄せデータを取得し、病院Ａ（１８１１）での受診と病院Ｂ（１８１２）での受診の相関関係、傾向若しくは双方の受診記録による病気の診断、又は普段の運動記録と病気との関係の解析などの情報を提供する例を示す。

【0315】

データ提供者Ｙは、第三者機関（１８０９）より、識別ＩＤ（ＵＵＩＤ）の発行を受けているとする。データ提供者Ｙは、データ提供エンティティである歩数計（１８０４）（スマートフォンによるアプリにより実装されるもの又は携帯型の端末でありうる）を所有しているとする。

【0316】

データ提供者Ｙは、病院Ａのサーバ・システム（サービス提供システムである）（以下、単に、「病院Ａ」という）（１８１１）と、データ提供者Ｙの病院Ａ内での受診記録（例えば、データ提供エンティティ（１８０１）から収集されるデータ）を当該病院Ａ（１８１１）が他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。データ提供エンティティ（１８０１）は、当該契約に基づいて、病院Ａ（１８１１）に、上記各種情報を定期的に若しくは任意の時間に、又は病院Ａ（１８１１）からのデータ送信要求に応じて送信しているとする。

【0317】

同様に、データ提供者Ｙは、病院Ｂのサーバ・システム（サービス提供システムである）（以下、単に、「病院Ｂ」という）（１８１２）と、データ提供者Ｙの病院Ｂ内での受診記録（例えば、データ提供エンティティ（１８０２）から収集されるデータ）を当該病院Ｂ（１８１２）が他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。データ提供エンティティ（１８０２）は、当該契約に基づいて、病院Ｂ（１８１２）に、上記各種情報を定期的に若しくは任意の時間に、又は病院Ｂ（１８１２）からのデータ送信要求に応じて送信しているとする。

【0318】

同様に、データ提供者Ｙは、スポーツジムのサーバ・システム（サービス提供システムである）（以下、単に、「スポーツジム」という）（１８１３）と、データ提供者Ｙのスポーツジム内での運動記録（例えば、データ提供エンティティ（１８０３）から収集されるデータ）を当該スポーツジム（１８１３）に提供し且つ他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。データ提供エンティティ（１８０３）は、当該契約に基づいて、スポーツジム（１８１３）に、上記各種情報を定期的に若しくは任意の時間に、又はスポーツジム（１８１３）からのデータ送信要求に応じて送信しているとする。

【0319】

同様に、データ提供者Ｙは、健康機器メーカーのサーバ・システム（サービス提供システムである）（以下、単に、「健康機器メーカー」という）（１８１４）と、データ提供者Ｙの所有する歩数計（１８０４）の運動記録を当該健康機器メーカー（１８１４）に提供し且つ他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。データ提供エンティティ（１８０４）は、当該契約に基づいて、健康機器メーカー（１８１４）に、上記各種情報を定期的に若しくは任意の時間に、又は健康機器メーカー（１８１４）からのデータ送信要求に応じて送信しているとする。

【0320】

健康診断サービス提供会社（名寄せシステムである）（１８２１）は、病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれと、匿名化データを収集且つ当該収集した匿名化データ又はそれを集計した集計データを他に提供してもよい旨の契約を締結しているとする。健康診断サービス提供会社（１８２１）は、複数のデータ提供者との契約により収集した情報を使用して、病院Ａでの受診と病院Ｂでの受診の相関関係、傾向若しくは双方の受診記録による病気の診断、又は普段の運動記録と病気との関係の解析などの情報を提供しているとする。また、健康診断サービス提供会社（１８２１）はまた、複数のデータ提供者との契約により収集した情報を使用して、健康診断サービスを提供しているとする。

【0321】

病院Ｚ（ユーザ・システムである）（１８３１）は、健康診断サービス提供会社（１８２１）と、ある疾病の患者に対して、運動、生活習慣、又は他の病気との関連などの統計記録を提供する旨の契約を締結しているとする。

【0322】

病院Ｚ（１８３１）は、健康診断サービス提供会社（１８２１）に対して、最新の統計データを要求する。代替的には、病院Ｚ（１８３１）が統計データを収集することを健康診断サービス提供会社（１８２１）に事前に登録することによって、健康診断サービス提供会社（１８２１）が自動で統計データに対する解析を行ってもよい。

【0323】

健康診断サービス提供会社（１８２１）は、データ提供者Ｙに関する情報の送信を要求する今回の送信要求にのみ有効なソルトを生成し、当該ソルトを上記送信要求とともに、病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれに送信する。

【0324】

病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれは、上記送信要求を受信することに応じて、データ提供者ＹのＵＵＩＤを上記ソルトでハッシュ化し、ハッシュ値を生成する。病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれは、上記ＵＵＩＤを有するデータを匿名化して、匿名化データを生成し、当該匿名化データと上記ハッシュ値とのセットを健康診断サービス提供会社（１８２１）に送信する。

【0325】

健康診断サービス提供会社（１８２１）は、病院Ａ（１８１１）、病院Ｂ（１８１２）、スポーツジム（１８１３）及び健康機器メーカー（１８１４）それぞれから匿名化データと上記ハッシュ値とのセットを受信する。健康診断サービス提供会社（１８２１）は、複数のサービス提供システム（１８１１、１８１２、１８１３、及び１８１４）それぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せし、名寄せデータを得る。健康診断サービス提供会社（１８２１）は、当該名寄せデータについて、例えば次のような解析を行い、データ提供者Ｙに関する集計データを生成する。
−ある疾病を持つ人が、
・別の疾病を持つ割合、又は、別の疾病の既往歴からの相関；
・運動しているデータ、又は、毎日の歩く距離との相関；及び、
・年齢又はその他の情報との相関。
−運動データ又は歩行データから、上記ある疾病にかかる確率の算出。

【0326】

健康診断サービス提供会社（１８２１）は、上記集計データを病院Ｚ（１８３１）に送信する。

【0327】

病院Ｚ（１８３１）は上記集計データを受信し、患者Ｙに対して、他院での診察若しくは投薬状況、及び運動などを考慮した診断を提供することができる。

【0328】

図１９は、家電購買情報サービス提供会社（１９２１）が、各種データ提供エンティティ（１９０１〜１９０４）からの名寄せデータを取得し、家電Ａと家電Ｂの両方を持っている家庭の割合若しくは相関関係、消費者の嗜好の把握、又はレコメンデーション・サービスなどの情報を提供する例を示す。

【0329】

データ提供者Ｚは、第三者機関（１９０９）より、識別ＩＤ（ＵＵＩＤ）の発行を受けているとする。データ提供者Ｚは、データ提供エンティティである家電Ａ（１９０１）、家電Ｂ（１９０２）、インターネット・ショッピング端末（１９０３）、及び家庭内エネルギー管理システム（ＨＥＭＳ）（１９０４）を所有しているとする。

【0330】

データ提供者Ｚは、家電メーカーＡのサーバ・システム（サービス提供システムである）（以下、単に、「家電メーカーＡ」という）（１９１１）と、データ提供者Ｚの所有する家電Ａ（１９０１）から、使用記録データ（例えば、視聴チャンネル、視聴時間、又は接続周辺機器などの各種情報）を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。家電Ａ（１９０１）は、当該契約に基づいて、家電メーカーＡ（１９１１）に、上記使用記録データを定期的に若しくは任意の時間に、又は家電メーカーＡ（１９１１）からのデータ送信要求に応じて送信しているとする。

【0331】

データ提供者Ｚは、家電メーカーＢのサーバ・システム（サービス提供システムである）（以下、単に、「家電メーカーＢ」という）（１９１２）と、データ提供者Ｚの所有する家電Ｂ（１９０２）から、使用記録データ（例えば、設定温度、稼働時間、風量、消耗品の劣化度、クリーニング状況、冷暖房などの運転状況などの各種情報）を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。家電Ｂ（１９０２）は、当該契約に基づいて、家電メーカーＢ（１９１２）に、上記使用記録データを定期的に若しくは任意の時間に、又は家電メーカーＢ（１９１２）からのデータ送信要求に応じて送信しているとする。

【0332】

データ提供者Ｚは、インターネット・ショップのサーバ・システム（サービス提供システムである）（以下、単に、「インターネット・ショップ」という）（１９１３）と、データ提供者Ｚの所有するインターネット・ショッピング端末（１９０３）から、使用記録データ（例えば、注文商品、注文金額、注文頻度、購買関心のあるカテゴリ、又は精算情報などの各種情報）を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。インターネット・ショッピング端末（１９０３）は、当該契約に基づいて、インターネット・ショップ（１９１３）に、上記使用記録データを定期的に若しくは任意の時間に、又はインターネット・ショップ（１９１３）からのデータ送信要求に応じて送信しているとする。

【0333】

データ提供者Ｚは、電力会社のサーバ・システム（サービス提供システムである）（以下、単に、「電力会社」という）（１９１４）と、データ提供者Ｚの所有するＨＥＭＳ（１９０４）から、使用記録データ（例えば、使用電力、蓄電量、売電量、時間帯における使用電力量、夜間発電量、どの家電をいつ使用しているかの情報などの各種情報）を収集し且つ当該収集した各種情報を他に提供してもよい旨の契約を、識別ＩＤを使用して締結しているとする。ＨＥＭＳ（１９０４）は、当該契約に基づいて、電力会社（１９１４）に、上記使用記録データを定期的に若しくは任意の時間に、又は電力会社（１９１４）からのデータ送信要求に応じて送信しているとする。

【0334】

家電購買情報サービス提供会社（名寄せシステムである）（１９２１）は、家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれと、匿名化データを収集且つ当該収集した匿名化データ又はそれを集計した集計データを他に提供してもよい旨の契約を締結しているとする。家電購買情報サービス提供会社（１９２１）は、複数のデータ提供者との契約により収集した情報を使用して、家電購買情報サービスを提供している。

【0335】

家電販売店（ユーザ・システムである）（１９３１）は、家電購買情報サービス提供会社（１９２１）と、名寄せデータ又は集計データの提供をする旨の契約を締結しているとする。

【0336】

家電販売店（１９３１）は、ある家電Ｒが、どこで、どのような消費者に対して販売活動をすればよいかについての情報を知りたいとする。

【0337】

家電販売店（１９３１）は、家電Ｒを特定する情報とともに、当該家電Ｒについて上記知りたい情報の送信要求を家電購買情報サービス提供会社（１９２１）に送信する。

【0338】

家電購買情報サービス提供会社（１９２１）は、家電Ｒに関する情報の送信を要求する今回の送信要求にのみ有効なソルトを生成し、当該ソルトを上記送信要求とともに、家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれに送信する。

【0339】

家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれは、上記送信要求を受信することに応じて、データ提供者ＺのＵＵＩＤを上記ソルトでハッシュ化し、ハッシュ値を生成する。同様にして、データ提供者Ｚ以外のデータ提供者についても当該データ提供者のＵＵＩＤを上記ソルトでハッシュ化し、ハッシュ値を生成する。家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれは、上記データ提供者Ｚ及びその他のデータ提供者の各ＵＵＩＤを有する各データを匿名化して、各匿名化データを生成する。また、家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれは、当該匿名化データと当該匿名化データに関連付けられた上記ハッシュ値とのセットを家電購買情報サービス提供会社（１９２１）に送信する。

【0340】

家電購買情報サービス提供会社（１９２１）は、家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）それぞれから匿名化データと上記ハッシュ値とのセットを受信する。家電購買情報サービス提供会社（１９２１）は、上記複数のサービス提供システム（１９１１、１９１２、１９１３、及び１９１４）それぞれから受信した匿名化データのうちから、上記ハッシュ値によって特定される匿名化データを名寄せし、名寄せデータを得る。家電メーカーＡ（１９１１）、家電メーカーＢ（１９１２）、インターネット・ショップ（１９１３）及び電力会社（１９１４）は、当該名寄せデータについて、例えば次のような解析を行い、家電Ｒに関する集計データを生成する。
−家電Ｒを持っている家庭の傾向又は相関関係：例えば、
・他にどのような家電を所有しているか；
・家電又は電力の使用形態；
・インターネットでの購買割合；及び、
・データ提供者の年代、規模、種類。
−家電Ｒを持っていない家庭の傾向又は相関関係（例えば、潜在的な購買層）。

【0341】

家電購買情報サービス提供会社（１９２１）は、上記集計データを家電販売店（１９３１）に送信する。

【0342】

家電販売店（１９３１）は上記集計データを受信し、例えば、家電Ｒの販促に適した広告を出したり若しくは家電Ｒの需要が高い購買層に対してダイレクトメールを送信したり、又は家電Ｒの適切な商品レイアウト（例えば他の商品との陳列の並び）をしたりすることができる。

【図1】

【図2A】

【図2B】

【図3A】

【図3B】

【図3C】

【図4A】

【図4B】

【図4C】

【図4D】

【図5A】

【図5B】

【図5C】

【図5D】

【図6A】

【図6B】

【図6C】

【図7A】

【図7B】

【図7C】

【図7D】

【図8A】

【図8B】

【図9】

【図10A】

【図10B】

【図11A】

【図11B】

【図11C】

【図12A】

【図12B】

【図12C】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】