特開 2023-39505 通信システム及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023039505

(43)【公開日】2023-03-22

(54)【発明の名称】通信システム及びプログラム

(51)【国際特許分類】

   H04L 9/32 20060101AFI20230314BHJP

   G06F 21/60 20130101ALI20230314BHJP

   H04L 9/08 20060101ALI20230314BHJP

【ＦＩ】

H04L9/32 200Z

G06F21/60 320

H04L9/08 F

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2021146642

(22)【出願日】2021-09-09

(71)【出願人】

【識別番号】321003371

【氏名又は名称】ＬＩＮＥ株式会社

(74)【代理人】

【識別番号】110003199

【氏名又は名称】弁理士法人高田・高橋国際特許事務所

(72)【発明者】

【氏名】リュウ センペイ

(72)【発明者】

【氏名】▲高▼橋 翼

(57)【要約】

【課題】統計データとしての有用性とプライバシーの保護強度の向上を図りつつデータの収集が可能な通信システムを提供する。
【解決手段】通信システムはサーバと複数の端末を含む。サーバは、公開鍵及び秘密鍵を管理する。各端末は、自端末に記憶された対象データにノイズを付加するノイズ付加部と、ノイズが付加された対象データを公開鍵で暗号化する暗号化部と、自端末に記憶された対象データの送信先をサーバ及び他の端末のうちから無作為に決定する送信先決定部と、暗号化された対象データを決定された送信先に送信する送信部と、他の端末からの対象データを受信する受信部とを備える。送信先決定部は、受信した対象データの送信先をサーバ及び他の端末のうちから無作為に決定する。送信部は、受信した対象データを決定された送信先に送信する。サーバは、端末から送信された対象データを受信して秘密鍵で復号する。
【選択図】図５

【特許請求の範囲】

【請求項1】

サーバと複数の端末とを含む通信システムであって、
前記サーバは、公開鍵と前記公開鍵で暗号化された情報を復号する秘密鍵とを管理する暗号鍵管理部を備え、
前記端末のそれぞれは、
対象データを記憶する記憶部と、
当該端末の前記記憶部に記憶された対象データにノイズを付加するノイズ付加部と、
前記ノイズ付加部によりノイズが付加された対象データを前記公開鍵で暗号化する暗号化部と、
当該端末の前記記憶部に記憶された対象データの送信先を、前記サーバ及び当該端末以外の他の前記端末のうちから無作為に決定する送信先決定部と、
前記暗号化部で暗号化された対象データを、前記送信先決定部で決定された送信先に送信する送信部と、
当該端末以外の他の前記端末から送信された対象データを受信する端末受信部と、を備え、
前記送信先決定部は、さらに、前記端末受信部が受信した対象データの送信先を、前記サーバ及び当該端末以外の他の前記端末のうちから無作為に決定し、
前記送信部は、さらに、前記端末受信部が受信した対象データを、前記送信先決定部で決定された送信先に送信し、
前記サーバは、
前記端末から送信された対象データを受信するサーバ受信部と、
前記サーバ受信部が受信した対象データを前記秘密鍵で復号する復号部と、をさらに備える。

【請求項2】

請求項１に記載の通信システムであって、
前記送信先決定部は、
当該端末の前記記憶部に記憶された対象データの送信先を、当該端末以外の他の前記端末のうちから無作為に決定するとともに、
前記端末受信部が受信した対象データの送信先を、予め設定された基準回数だけ前記端末同士での対象データの通信が行われるまでは、当該端末以外の他の前記端末のうちから無作為に決定し、前記基準回数の前記端末同士での対象データの通信が行われた後は、前記サーバに決定する。

【請求項3】

請求項１に記載の通信システムであって、
前記送信先決定部は、
当該端末の前記記憶部に記憶された対象データの送信先を、当該端末以外の他の前記端末のうちから無作為に決定するとともに、
前記端末受信部が受信した対象データの送信先を、予め設定された基準回数だけ前記端末同士での対象データの通信が行われるまでは、当該端末以外の他の前記端末のうちから無作為に決定し、前記基準回数の前記端末同士での対象データの通信が行われた後は、前記サーバ及び当該端末以外の他の前記端末のうちから無作為に決定する。

【請求項4】

請求項２又は請求項３に記載の通信システムであって、
前記基準回数は、前記端末の数に応じて決定される。

【請求項5】

請求項４に記載の通信システムであって、
前記基準回数は、前記端末の数の自然対数の値に応じて決定される。

【請求項6】

請求項１から請求項５のいずれか一項に記載の通信システムであって、
前記端末は、当該端末の前記記憶部に記憶された対象データ及び／又は前記端末受信部が受信した対象データを、予め設定された確率で削除するデータ削除部をさらに備える。

【請求項7】

請求項２から請求項５のいずれか一項に記載の通信システムであって、
前記端末は、前記基準回数の前記端末同士での対象データの通信が行われた後に、前記端末受信部が受信した対象データを、予め設定された確率で削除するデータ削除部をさらに備える。

【請求項8】

請求項１から請求項７のいずれか一項に記載の通信システムであって、
前記端末同士での対象データの通信は、前記サーバを経由し、かつ、エンドツーエンド暗号化されている。

【請求項9】

請求項１から請求項８のいずれか一項に記載の通信システムであって、
前記送信先決定部は、当該端末の前記記憶部に記憶された対象データの送信先及び前記端末受信部が受信した対象データの送信先を、各前記端末をノードとしたネットワークの論理トポロジーにおいて当該端末に隣接するノードの前記端末のうちから無作為に決定する。

【請求項10】

サーバと複数の端末とを含む通信システムの前記端末によって実行されるためのプログラムであって、
当該端末の記憶部に記憶された対象データにノイズを付加することと、
ノイズが付加された対象データを、前記サーバで管理された公開鍵で暗号化することと、
当該端末の前記記憶部に記憶された対象データの送信先を、前記サーバ及び当該端末以外の他の前記端末のうちから無作為に決定することと、
暗号化された対象データを、決定された送信先に送信することと、
当該端末以外の他の前記端末から送信された対象データを受信することと、
受信した対象データの送信先を、前記サーバ及び当該端末以外の他の前記端末のうちから無作為に決定することと、
受信した対象データを、決定された送信先に送信することと、が前記端末によって実行される。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、通信システム及びプログラムに関するものである。

【背景技術】

【0002】

収集したデータに含まれる個人に関する情報が当該個人以外に開示されてしまうことを抑制してプライバシー保護を図りつつ、収集したデータを解析するための技術として、差分プライバシー技術が知られている。差分プライバシー技術においては、データの収集元においてデータに統計的ノイズを付加して乱雑化したり、データをシャッフルして入れ換えることでデータの収集元を匿名化したりすることで、プライバシーの保護強度の向上を図っている（例えば、非特許文献１参照）。特に、データの収集元におけるノイズ付与と、データのシャッフルとを組み合わせることで、データを収集する装置におけるデータの非識別性を確保しつつ必要なノイズを小さくすることができる。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】Albert Cheu, Adam Smith, Jonathan Ullman, David Zeber, Maxim Zhilyaev "Distributed Differential Privacy via Shuffling" arXiv preprint arXiv:1808.01394 [cs.CR] (2018).

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、非特許文献１に示されるような技術においては、データを収集する装置の他に、データをシャッフルする装置が必要である。シャッフルする装置には、シャッフル前のデータが集められることになる。このため、データに付与するノイズを小さくした場合、シャッフルする装置においてシャッフル前のデータが漏洩すると、漏洩データのノイズが小さいために個人に関する情報が特定されやすくなる。この場合、適切なプライバシー保護を図ることが困難になるおそれがある。

【0005】

本開示は、このような課題を解決するためになされたものである。その目的は、データの収集元で付与するノイズを小さく抑えつつ、収集されたデータの匿名性を確保でき、統計データとしての有用性の向上とプライバシーの保護強度の向上との両立を図りながらデータの収集が可能である通信システム及びプログラムを提供することにある。

【課題を解決するための手段】

【0006】

本開示に係る通信システムは、サーバと複数の端末とを含む通信システムであって、前記サーバは、公開鍵と前記公開鍵で暗号化された情報を復号する秘密鍵とを管理する暗号鍵管理部を備え、前記端末のそれぞれは、対象データを記憶する記憶部と、当該端末の前記記憶部に記憶された対象データにノイズを付加するノイズ付加部と、前記ノイズ付加部によりノイズが付加された対象データを前記公開鍵で暗号化する暗号化部と、当該端末の前記記憶部に記憶された対象データの送信先を、前記サーバ及び当該端末以外の他の前記端末のうちから無作為に決定する送信先決定部と、前記暗号化部で暗号化された対象データを、前記送信先決定部で決定された送信先に送信する送信部と、当該端末以外の他の前記端末から送信された対象データを受信する端末受信部と、を備え、前記送信先決定部は、さらに、前記端末受信部が受信した対象データの送信先を、前記サーバ及び当該端末以外の他の前記端末のうちから無作為に決定し、前記送信部は、さらに、前記端末受信部が受信した対象データを、前記送信先決定部で決定された送信先に送信し、前記サーバは、前記端末から送信された対象データを受信するサーバ受信部と、前記サーバ受信部が受信した対象データを前記秘密鍵で復号する復号部と、をさらに備える。

【0007】

本開示に係るプログラムは、サーバと複数の端末とを含む通信システムの前記端末によって実行されるためのプログラムであって、当該端末の記憶部に記憶された対象データにノイズを付加することと、ノイズが付加された対象データを、前記サーバで管理された公開鍵で暗号化することと、当該端末の前記記憶部に記憶された対象データの送信先を、前記サーバ及び当該端末以外の他の前記端末のうちから無作為に決定することと、暗号化された対象データを、決定された送信先に送信することと、当該端末以外の他の前記端末から送信された対象データを受信することと、受信した対象データの送信先を、前記サーバ及び当該端末以外の他の前記端末のうちから無作為に決定することと、受信した対象データを、決定された送信先に送信することと、が前記端末によって実行される。

【発明の効果】

【0008】

本開示に係る通信システム及びプログラムによれば、データの収集元で付与するノイズを小さく抑えつつ、収集されたデータの匿名性を確保でき、統計データとしての有用性の向上とプライバシーの保護強度の向上との両立を図りながらデータの収集が可能であるという効果を奏する。

【図面の簡単な説明】

【0009】

【図1】実施の形態１に係る通信システムの全体構成を示す図である。

【図2】実施の形態１に係る通信システムが備えるサーバの構成を示すブロック図である。

【図3】実施の形態１に係る通信システムが備える端末の構成を示すブロック図である。

【図4】実施の形態１に係る通信システムにおける端末での処理の一例を説明する図である。

【図5】実施の形態１に係る通信システムにおける処理の一例を説明する図である。

【図6】実施の形態１に係る通信システムの変形例における処理の一例を説明する図である。

【図7】実施の形態１に係る通信システムにおいて対象データの送信先を隣接する端末のうちから決定する場合の一例を説明する図である。

【発明を実施するための形態】

【0010】

本開示に係る通信システム及びプログラムを実施するための形態について添付の図面を参照しながら説明する。各図において、同一又は相当する部分には同一の符号を付して、重複する説明は適宜に簡略化又は省略する。以下の説明においては便宜上、図示の状態を基準に各構造の位置関係を表現することがある。なお、本開示は以下の実施の形態に限定されることなく、本開示の趣旨を逸脱しない範囲において、各実施の形態の自由な組み合わせ、各実施の形態の任意の構成要素の変形、又は各実施の形態の任意の構成要素の省略が可能である。

【0011】

実施の形態１．
図１から図７を参照しながら、本開示の実施の形態１について説明する。図１は通信システムの全体構成を示す図である。図２は通信システムが備えるサーバの構成を示すブロック図である。図３は通信システムが備える端末の構成を示すブロック図である。図４は通信システムにおける端末での処理の一例を説明する図である。図５は通信システムにおける処理の一例を説明する図である。図６は通信システムの変形例における処理の一例を説明する図である。図７は通信システムにおいて対象データの送信先を隣接する端末のうちから決定する場合の一例を説明する図である。

【0012】

図１に示すように、この実施の形態に係る通信システム４００は、サーバ１００と、端末２００とを備えている。通信システム４００では、サーバ１００と端末２００とが、ネットワーク３００を介して通信可能に接続されている。通信システム４００は、ｎ個の端末２００を含んでいる。ここでｎは２以上の整数である。サーバ１００は、ユーザが所有する端末２００に記憶されているデータをネットワーク３００を介して収集するためのものである。本開示の説明では、サーバ１００が収集する対象となるデータを「対象データ」と呼ぶ。対象データには、当該対象データが記憶されている端末２００の所有者であるユーザ個人に関する情報が含まれ得る。サーバ１００は、このような収集した対象データに含まれる個人に関する情報が当該個人以外に開示されてしまうことを抑制しつつ、すなわち、プライバシー保護を図りつつ、収集した対象データを解析し、その統計的な性質や特徴等を得るためのものである。

【0013】

ネットワーク３００は、１以上の端末２００と、１以上のサーバ１００とを接続する役割を担う。すなわち、ネットワーク３００は、端末２００がサーバ１００に接続した後、データを送受信することができるように接続経路を提供する通信網を意味する。ネットワーク３００のうちの１つ又は複数の部分は、有線ネットワークや無線ネットワークであってもよいし、そうでなくてもよい。

【0014】

ネットワーク３００は、例えば、アドホック・ネットワーク（Ａｄ Ｈｏｃ Ｎｅｔｗｏｒｋ）、イントラネット、エクストラネット、仮想プライベート・ネットワーク（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ：ＶＰＮ）、ローカル・エリア・ネットワーク（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ：ＬＡＮ）、ワイヤレスＬＡＮ（Ｗｉｒｅｌｅｓｓ ＬＡＮ：ＷＬＡＮ）、広域ネットワーク（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ：ＷＡＮ）、ワイヤレスＷＡＮ（Ｗｉｒｅｌｅｓｓ ＷＡＮ：ＷＷＡＮ）、大都市圏ネットワーク（Ｍｅｔｒｏｐｏｌｉｔａｎ Ａｒｅａ Ｎｅｔｗｏｒｋ：ＭＡＮ）、インターネットの一部、公衆交換電話網（Ｐｕｂｌｉｃ Ｓｗｉｔｃｈｅｄ Ｔｅｌｅｐｈｏｎｅ Ｎｅｔｗｏｒｋ：ＰＳＴＮ）の一部、携帯電話網、ＩＳＤＮ（Ｉｎｔｅｇｒａｔｅｄ Ｓｅｒｖｉｃｅ Ｄｉｇｉｔａｌ Ｎｅｔｗｏｒｋｓ）、無線ＬＡＮ、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）、ＣＤＭＡ（Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ）、ブルートゥース（Ｂｌｕｅｔｏｏｔｈ（登録商標））、又は、衛星通信等、もしくは、これらの２つ以上の組合せを含むことができる。ネットワーク３００は、１つ又は複数のネットワーク３００を含むことができる。

【0015】

端末２００は、本開示に係る実施形態の機能を実現できる情報処理端末であればどのような端末であってもよい。端末２００は、例えば、スマートフォン、携帯電話（フィーチャーフォン）、コンピュータ（例えば、デスクトップＰＣ、ラップトップＰＣ、タブレットＰＣ等）、メディアコンピュータプラットホーム（例えば、ケーブル、衛星セットトップボックス、デジタルビデオレコーダ）、ハンドヘルドコンピュータデバイス（例えば、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）、電子メールクライアント等）、ウェアラブル端末（メガネ型デバイス、時計型デバイス等）、又は他種のコンピュータ、又はコミュニケーションプラットホームを含む。また、端末２００は情報処理端末と表現されてもよい。

【0016】

サーバ１００は、端末２００に対して、所定のサービスを提供する機能を備える。サーバ１００は、前述した対象データを収集する機能に加えて、例えば、端末２００間でコンテンツの送受信を行わせるメッセージングサービスを提供する機能を有していてもよいし、そうでなくともよい。

【0017】

サーバ１００は、本開示に係る実施形態の機能を実現できる情報処理装置であればどのような装置であってもよい。サーバ１００は、例えば、サーバ装置、コンピュータ（例えば、デスクトップＰＣ、ラップトップＰＣ、タブレットＰＣ等）、メディアコンピュータプラットホーム（例えば、ケーブル、衛星セットトップボックス、デジタルビデオレコーダ）、ハンドヘルドコンピュータデバイス（例えば、ＰＤＡ、電子メールクライアント等）、あるいは他種のコンピュータ、又はコミュニケーションプラットホームを含む。また、サーバ１００は情報処理装置と表現されてもよい。サーバ１００と端末２００とを区別する必要がない場合は、サーバ１００と端末２００とは、それぞれ情報処理装置と表現されてもよいし、されなくてもよい。

【0018】

それぞれの端末２００の構成は基本的には同一である。次に、図２を参照しながら、端末２００の構成について説明する。端末２００は、端末制御部２３０、端末記憶部２２０、端末通信部２１０、入出力部２４０、表示部２５０、マイク２６０、スピーカ２７０及びカメラ２８０を備える。端末２００のハードウェアの各構成要素は、例えば、バスを介して相互に接続されている。なお、端末２００のハードウェア構成として、ここで説明する全ての構成要素を含むことは必須ではない。例えば、端末２００は、マイク２６０、カメラ２８０等、個々の構成要素、又は複数の構成要素を取り外すような構成であってもよいし、そうでなくてもよい。

【0019】

端末制御部２３０は、プログラム内に含まれたコード又は命令によって実現する機能を実行するために物理的に構造化された回路を有し、例えば、ハードウェアに内蔵されたデータ処理装置により実現される。そのため、端末制御部２３０は、制御回路と表現されてもよいし、されなくてもよい。

【0020】

端末制御部２３０は、例えば、中央処理装置（ＣＰＵ：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、マイクロプロセッサ（Ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）、プロセッサコア（Ｐｒｏｃｅｓｓｏｒ Ｃｏｒｅ）、マルチプロセッサ（Ｍｕｌｔｉｐｒｏｃｅｓｓｏｒ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ－Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等を含む。

【0021】

端末記憶部２２０は、端末２００が動作するうえで必要とする各種プログラムや各種データを記憶する機能を有する。端末記憶部２２０は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、フラッシュメモリ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等各種の記憶媒体を含む。また、端末記憶部２２０は、メモリ（Ｍｅｍｏｒｙ）と表現されてもよいし、されなくてもよい。

【0022】

端末２００は、プログラムを端末記憶部２２０に記憶し、このプログラムを実行することで、端末制御部２３０が、端末制御部２３０に含まれる各部としての処理を実行する。つまり、端末記憶部２２０に記憶されるプログラムは、端末２００に、端末制御部２３０が実行する各機能を実現させる。換言すれば、端末２００においてメモリに記憶されたプログラムをプロセッサが実行し、端末２００のハードウェアとソフトウェアとが協働することによって、端末２００が備える各部の機能が実現される。なお、このプログラムは、プログラムモジュールと表現されてもよいし、されなくてもよい。

【0023】

端末通信部２１０は、ネットワーク３００を介して各種データの送受信を行う。当該通信は、有線、無線のいずれで実行されてもよく、互いの通信が実行できるのであれば、どのような通信プロトコルを用いてもよい。端末通信部２１０は、ネットワーク３００を介して、サーバ１００との通信を実行する機能を有する。端末通信部２１０は、端末送信部２１１及び端末受信部２１２を含んでいる。端末送信部２１１は、各種データを端末制御部２３０からの指示に従って、サーバ１００に送信する。端末受信部２１２は、サーバ１００から送信された各種データを受信し、端末制御部２３０に伝達する。端末通信部２１０を端末通信Ｉ／Ｆ（インタフェース）と表現する場合もある。また、端末通信部２１０が物理的に構造化された回路で構成される場合には、端末通信回路と表現する場合もある。

【0024】

入出力部２４０は、入力部及び出力部を含む。入力部は、端末２００に対する各種操作を入力する装置である。出力部は、端末２００で処理された処理結果を出力する装置である。入出力部２４０は、入力部と出力部が一体化していてもよいし、入力部と出力部に分離していてもよいし、そうでなくてもよい。

【0025】

入力部は、ユーザからの入力を受け付けて、当該入力に係る情報を端末制御部２３０に伝達できる全ての種類の装置のいずれか、又は、その組み合わせにより実現される。入力部は、例えば、タッチパネル、タッチディスプレイ、キーボード等のハードウェアキーや、マウス等のポインティングデバイス、カメラ（動画像を介した操作入力）、マイク（音声による操作入力）を含む。

【0026】

出力部は、端末制御部２３０で処理された処理結果を出力することができる全ての種類の装置のいずれか、又は、その組み合わせにより実現される。出力部は、例えば、タッチパネル、タッチディスプレイ、スピーカ（音声出力）、レンズ（例えば３Ｄ（Ｔｈｒｅｅ Ｄｉｍｅｎｓｉｏｎｓ）出力や、ホログラム出力）、プリンター等を含む。

【0027】

表示部２５０は、フレームバッファに書き込まれた表示データに従って、表示することができる全ての種類の装置のいずれか、又は、その組み合わせにより実現される。表示部２５０は、例えば、タッチパネル、タッチディスプレイ、モニタ（例えば、液晶ディスプレイやＯＥＬＤ（Ｏｒｇａｎｉｃ Ｅｌｅｃｔｒｏｌｕｍｉｎｅｓｃｅｎｃｅ Ｄｉｓｐｌａｙ）等）、ヘッドマウントディスプレイ（ＨＤＭ：Ｈｅａｄ Ｍｏｕｎｔｅｄ Ｄｉｓｐｌａｙ）、プロジェクションマッピング、ホログラム、空気中等（真空であってもよいし、そうでなくてもよい）に画像やテキスト情報等を表示可能な装置を含む。なお、これらの表示部２５０は、３Ｄで表示データを表示可能であってもよいし、そうでなくてもよい。

【0028】

端末制御部２３０は、表示部２５０の表示を制御する機能を有している。端末制御部２３０は、表示部２５０に表示させる表示画面に係る表示データを生成する。そして、端末制御部２３０は、生成した表示データを表示部２５０に表示させる処理を行う。すなわち、端末制御部２３０は、表示データを画素情報に変換し、表示部２５０のフレームバッファに書き込む機能を有する。

【0029】

なお、入出力部２４０がタッチパネルを有する場合、入出力部２４０と表示部２５０とは、略同一の大きさ及び形状で対向して配置されていてもよい。

【0030】

マイク２６０は、音声データの入力に利用される。スピーカ２７０は、音声データの出力に利用される。カメラ２８０は、動画像データ及び／又は静止画像データの取得に利用される。

【0031】

次に、図３を参照しながら、サーバ１００の構成について説明する。サーバ１００は、サーバ制御部１３０、サーバ記憶部１２０及びサーバ通信部１１０を備えている。サーバ１００のハードウェアの各構成要素は、例えば、バスを介して相互に接続されている。

【0032】

サーバ制御部１３０は、プログラム内に含まれたコード又は命令によって実現する機能を実行するために物理的に構造化された回路を有し、例えば、ハードウェアに内蔵されたデータ処理装置により実現される。サーバ制御部１３０は、代表的には中央処理装置（ＣＰＵ）であり、その他にマイクロプロセッサ、プロセッサコア、マルチプロセッサ、ＡＳＩＣ、ＦＰＧＡ等であってもよいし、そうでなくてもよい。本開示において、サーバ制御部１３０は、これらに限定されない。

【0033】

サーバ記憶部１２０は、サーバ１００が動作するうえで必要とする各種プログラムや各種データを記憶する機能を有する。サーバ記憶部１２０は、ＨＤＤ、ＳＳＤ、フラッシュメモリ等各種の記憶媒体により実現される。ただし、本開示において、サーバ記憶部１２０は、これらに限定されない。また、サーバ記憶部１２０は、メモリ（Ｍｅｍｏｒｙ）と表現されてもよいし、されなくてもよい。

【0034】

サーバ通信部１１０は、ネットワーク３００を介して各種データの送受信を行う。当該通信は、有線、無線のいずれで実行されてもよく、互いの通信が実行できるのであれば、どのような通信プロトコルを用いてもよい。サーバ通信部１１０は、ネットワーク３００を介して、端末２００との通信を実行する機能を有する。サーバ通信部１１０は、サーバ送信部１１１及びサーバ受信部１１２を含んでいる。サーバ送信部１１１は、各種データをサーバ制御部１３０からの指示に従って、端末２００に送信する。また、サーバ通信部１１０は、端末２００から送信された各種データを受信し、サーバ制御部１３０に伝達する。また、サーバ通信部１１０をサーバ通信Ｉ／Ｆ（インタフェース）と表現する場合もある。また、サーバ通信部１１０が物理的に構造化された回路で構成される場合には、サーバ通信回路と表現する場合もある。

【0035】

なお、サーバ１００は、ハードウェア構成として、入出力部及びディスプレイを備えてもよい。入出力部は、サーバ１００に対する各種操作を入力する装置により実現される。入出力部は、ユーザからの入力を受け付けて、当該入力に係る情報をサーバ制御部１３０に伝達できる全ての種類の装置のいずれか、又は、その組み合わせにより実現される。ディスプレイは、代表的にはモニタ（例えば、液晶ディスプレイやＯＥＬＤ等）で実現される。この場合、例えば、サーバ１００のハードウェアは、ディスプレイを取り外すような構成であってもよいし、そうでなくてもよい。

【0036】

サーバ１００は、プログラムをサーバ記憶部１２０に記憶し、このプログラムを実行することで、サーバ制御部１３０が、サーバ制御部１３０に含まれる各部としての処理を実行する。つまり、サーバ記憶部１２０に記憶されるプログラムは、サーバ１００に、サーバ制御部１３０が実行する各機能を実現させる。換言すれば、サーバ１００においてメモリに記憶されたプログラムをプロセッサが実行し、サーバ１００のハードウェアとソフトウェアとが協働することによって、サーバ１００が備える各部の機能が実現される。なお、このプログラムは、プログラムモジュールと表現されてもよいし、されなくてもよい。

【0037】

なお、端末２００の端末制御部２３０、及び／又は、サーバ１００のサーバ制御部１３０は、制御回路を有するＣＰＵだけでなく、集積回路（ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）チップ、ＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ））等に形成された論理回路（ハードウェア）や専用回路によって各処理を実現してもよいし、そうでなくてもよい。また、これらの回路は、１又は複数の集積回路により実現されてよく、本開示に係る実施形態に示す複数の処理を１つの集積回路により実現されることとしてもよいし、そうでなくてもよい。また、ＬＳＩは、集積度の違いにより、ＶＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩ等と呼称されることもある。

【0038】

また、本開示に係る実施形態のプログラム(例えば、ソフトウェアプログラム、コンピュータプログラム、又はプログラムモジュール)は、コンピュータに読み取り可能な記憶媒体に記憶された状態で提供されてもよいし、されなくてもよい。記憶媒体は、「一時的でない有形の媒体」に、プログラムを記憶可能である。また、プログラムは、本開示に係る実施形態の機能の一部を実現するためのものであってもよいし、そうでなくてもよい。さらに、本開示に係る実施形態の機能を記憶媒体に既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよいし、そうでなくてもよい。

【0039】

記憶媒体は、１つ又は複数の半導体ベースの、又は他の集積回路（ＩＣ）（例えば、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）又は特定用途向けＩＣ（ＡＳＩＣ）等）、ハード・ディスク・ドライブ（ＨＤＤ）、ハイブリッド・ハード・ドライブ（ＨＨＤ）、光ディスク、光ディスクドライブ（ＯＤＤ）、光磁気ディスク、光磁気ドライブ、フロッピィ・ディスケット、フロッピィ・ディスク・ドライブ（ＦＤＤ）、磁気テープ、固体ドライブ（ＳＳＤ）、ＲＡＭドライブ、セキュア・デジタル・カード、又はドライブ、任意の他の適切な記憶媒体、もしくは、これらの２つ以上の適切な組合せを含むことができる。記憶媒体は、適切な場合、揮発性、不揮発性、又は揮発性と不揮発性の組合せでよい。なお、記憶媒体はこれらの例に限られず、プログラムを記憶可能であれば、どのようなデバイス又は媒体であってもよい。また、記憶媒体をメモリ（Ｍｅｍｏｒｙ）と表現されてもよいし、されなくてもよい。

【0040】

また、本開示のプログラムは、当該プログラムを伝送可能な任意の伝送媒体（通信ネットワークや放送波等）を介して、サーバ１００及び／又は端末２００に提供されてもよいし、されなくてもよい。プログラムが伝送媒体を介して提供される場合、サーバ１００及び／又は端末２００は、例えば、インターネット等を介してダウンロードしたプログラムを実行することにより、各実施形態に示す複数の機能部の機能を実現することが可能である。

【0041】

また、本開示に係る実施形態は、プログラムが電子的な伝送によって具現化された、搬送波に埋め込まれたデータ信号の形態でも実現され得る。また、サーバ１００及び／又は端末２００における処理の少なくとも一部は、１以上のコンピュータにより構成されるクラウドコンピューティングにより実現されていてもよいし、そうでなくてもよい。また、端末２００における処理の少なくとも一部を、サーバ１００により行う構成としてもよいし、そうでなくてもよい。この場合、端末２００の端末制御部２３０の各機能部の処理のうち少なくとも一部の処理を、サーバ１００で行う構成としてもよいし、そうでなくてもよい。また、サーバ１００における処理の少なくとも一部を、端末２００により行う構成としてもよいし、そうでなくてもよい。この場合、サーバ１００のサーバ制御部１３０の各機能部の処理のうち少なくとも一部の処理を、端末２００で行う構成としてもよいし、そうでなくてもよい。

【0042】

なお、本開示のプログラムは、例えば、ＡｃｔｉｏｎＳｃｒｉｐｔ、ＪａｖａＳｃｒｉｐｔ（登録商標）等のスクリプト言語、Ｏｂｊｅｃｔｉｖｅ－Ｃ、Ｊａｖａ（登録商標）等のオブジェクト指向プログラミング言語、ＨＴＭＬ５等のマークアップ言語等を用いて実装され得る。

【0043】

図３に示すように、サーバ１００のサーバ記憶部１２０は、暗号鍵記憶部１２１を含んでいる。暗号鍵記憶部１２１には、公開鍵及び秘密鍵の情報が記憶されている。公開鍵は、情報を暗号化するためのものである。秘密鍵は、公開鍵で暗号化された情報を復号するためのものである。サーバ１００は、サーバ制御部１３０により実現される機能として、暗号鍵管理部１３１を有している。公開鍵と秘密鍵とは対になっている。例えば、公開鍵は、対になる秘密鍵から生成される。暗号鍵管理部１３１は、公開鍵及び秘密鍵の各対について管理する。暗号鍵管理部１３１による管理のもとで、公開鍵は少なくともサーバ１００と通信する端末２００に公開される。一方、秘密鍵は秘匿される。

【0044】

この実施の形態に係る通信システム４００において、それぞれの端末２００の端末記憶部２２０は、対象データを記憶する記憶部である。例えば、端末記憶部２２０には、当該端末２００の所有者のユーザ情報、使用履歴に関する情報、当該端末２００の設定情報、ユーザが入力した特定の質問やアンケートに対するユーザの回答内容等を記憶している。ユーザ情報は、例えば、ユーザにより入力される、ユーザの名前、ユーザのアイコン画像、ユーザの年齢、ユーザの性別、ユーザの住所、ユーザの趣味趣向、ユーザの識別子等のユーザに対応づけられた情報を含んでいる。このようなユーザ情報、使用履歴に関する情報、設定情報及びユーザの回答内容の一部又は全部は、対象データになり得る。

【0045】

図２に示すように、それぞれの端末２００は、端末制御部２３０により実現される機能として、ノイズ付加部２３１、公開鍵暗号化部２３２及び送信先決定部２３３を有している。ノイズ付加部２３１は、当該端末２００の端末記憶部２２０に記憶された対象データにノイズを付加する。ノイズ付加部２３１は、所定の統計的操作により対象データにノイズを付加する。

【0046】

次に、ノイズ付加部２３１によるノイズ付加の一例を説明する。この例では、対象データは２つの値をとり得る２値データであるとする。２値データの例として、生物学的な性（男性か女性か）、回答（ＹｅｓかＮｏか）、有無（有るか無いか）等が挙げられる。ここでは、対象データは、０と１の値をとるとする。ノイズ付加部２３１は、予め設定された確率ｐ（０＜ｐ＜１）で、対象データの値を反転させる。すなわち、対象データの真の値が０のとき、ノイズ付加後の対象データの値は、確率ｐで１となり、確率（１－ｐ）で０となる。また、対象データの真の値が１のとき、ノイズ付加後の対象データの値は、確率ｐで０となり、確率（１－ｐ）で１となる。

【0047】

公開鍵暗号化部２３２は、ノイズ付加部２３１によりノイズが付加された対象データを公開鍵で暗号化する暗号化部である。この際の暗号化に用いられる公開鍵は、サーバ１００の暗号鍵管理部１３１により管理されているものである。サーバ１００と端末２００との通信において、サーバ送信部１１１は、端末２００へと公開鍵を送信する。端末受信部２１２は、サーバ１００から送信された公開鍵を受信する。公開鍵暗号化部２３２は、このようにして取得した公開鍵を用いて、ノイズが付加された対象データを暗号化する。

【0048】

送信先決定部２３３は、当該端末の端末記憶部２２０に記憶された対象データの送信先を、サーバ１００及び当該端末２００以外の他の端末２００のうちから無作為（ランダム）に決定する。以下の説明においては、当該端末２００以外の他の端末２００のことを単に他の端末２００ともいう。ここで、他の端末２００のそれぞれを送信先に決定する確率をそれぞれｐ１とし、サーバ１００を送信先に決定する確率をｐ２とすると、以下の（１）式から（３）式を満たすように、ｐ１及びｐ２が予め設定される。

【0049】

ｐ１×（ｎ－１）＋ｐ２＝１ ・・・ （１）
０＜ｐ１＜１ ・・・ （２）
０＜ｐ２＜１ ・・・ （３）

【0050】

端末送信部２１１は、公開鍵暗号化部２３２で暗号化された対象データを、送信先決定部２３３で決定された送信先に送信する。すなわち、端末送信部２１１は、公開鍵暗号化部２３２で暗号化された対象データを、他の端末２００のいずれか、あるいは、サーバ１００に送信する。

【0051】

いずれかの他の端末２００の送信先決定部２３３により、送信先が当該端末２００に決定されると、当該端末２００に他の端末２００から暗号化された対象データが送信される。端末受信部２１２は、当該端末２００以外の他の端末２００から送信された対象データを受信する。当該端末２００の端末受信部２１２が他の端末２００から送信された対象データを受信した場合、当該端末２００の送信先決定部２３３は、さらに、当該端末２００の端末受信部２１２が受信した対象データの送信先を、サーバ１００及び当該端末２００以外の他の端末２００のうちから無作為に決定する。そして、当該端末２００の端末送信部２１１は、当該端末２００の端末受信部２１２が受信した対象データを、当該端末２００の送信先決定部２３３で決定された送信先に送信する。

【0052】

サーバ１００のサーバ受信部１１２は、それぞれの端末２００から送信された暗号化された対象データを受信する。図２に示すように、この実施の形態に係る通信システム４００においては、サーバ１００は、サーバ制御部１３０により実現される機能として、復号部１３２及びデータ解析部１３３を備えている。また、サーバ記憶部１２０は、対象データ記憶部１２２をさらに含んでいる。復号部１３２は、サーバ受信部１１２が受信した対象データを秘密鍵で復号する。この復号に用いられる秘密鍵は、暗号鍵管理部１３１により管理されたものである。対象データ記憶部１２２は、復号部１３２により復号された対象データを記憶・蓄積する。

【0053】

データ解析部１３３は、対象データ記憶部１２２に記憶されている対象データを統計的に処理して解析し、対象データ全体についての性質や特徴等を得て、解析結果として出力する。なお、データ解析部１３３による対象データの統計的処理は、各端末２００のノイズ付加部２３１によるノイズ付加時に施された、前述の所定の統計的操作の内容を加味して行われる。そして、サーバ送信部１１１は、指定された出力先に解析結果を出力する。

【0054】

この実施の形態に係る通信システム４００においては、それぞれの端末２００は、当該端末２００の端末記憶部２２０に記憶された対象データ及び端末受信部２１２が受信した対象データの一方又は両方を、予め設定された確率で削除してもよいし、しなくともよい。端末記憶部２２０に記憶された対象データ及び端末受信部２１２が受信した対象データの一方又は両方を予め設定された確率で削除する場合、それぞれの端末２００は、端末制御部２３０により実現される機能として、データ削除部２３４をさらに備えている。

【0055】

データ削除部２３４は、端末記憶部２２０に記憶された対象データ及び／又は端末受信部２１２が受信した対象データを確率ｐ３で削除する。そして、削除しない場合、対象データの送信先が送信先決定部２３３により決定される。すなわち、前述した確率ｐ１及びｐ２と確率ｐ３とは、前述の（２）式及び（３）式、並びに、次の（１’）式及び（４）式を満たすように予め設定される。

【0056】

ｐ１×（ｎ－１）＋ｐ２＋ｐ３＝１ ・・・ （１’）
０＜ｐ３＜１ ・・・ （４）

【0057】

なお、端末２００同士での対象データの通信は、サーバ１００を経由し、かつ、エンドツーエンド暗号化されていてもよいし、されていなくともよい。端末２００同士での対象データの通信が、サーバ１００を経由し、かつ、エンドツーエンド暗号化されている場合、図２に示すように、それぞれの端末２００は、端末制御部２３０により実現される機能として、エンドツーエンド暗号化部２３５をさらに備えている。また、図３に示すように、サーバ１００は、サーバ制御部１３０により実現される機能として、エンドツーエンド通信管理部１３４をさらに備えている。

【0058】

この場合、送信先決定部２３３により対象データの送信先が他の端末２００に決定された場合、これらの端末２００間での対象データの通信は、サーバ１００を経由して行われる。この際、サーバ１００を経由した端末２００間での通信は、サーバ１００のエンドツーエンド通信管理部１３４により管理される。また、ある端末２００から別の端末２００への対象データの送信時には、エンドツーエンド暗号化が施される。すなわち、送信先決定部２３３により対象データの送信先が他の端末２００に決定された場合、エンドツーエンド暗号化部２３５は、対象データを暗号化する。

【0059】

次に、以上のように構成された通信システム４００における端末２００での処理の一例について、図４を参照しながら説明する。まず、端末受信部２１２がサーバ１００からのデータ送信コマンドを受信すると（ステップＳ１１）、端末制御部２３０は、次にステップＳ１２の処理を行う。ステップＳ１２においては、ノイズ付加部２３１は、端末記憶部２２０に記憶された対象データにノイズを付加する。そして、公開鍵暗号化部２３２は、ノイズ付加部２３１によりノイズが付加された対象データを公開鍵で暗号化する。

【0060】

続くステップＳ１３において、送信先決定部２３３による対象データの送信先の決定、又は、データ削除部２３４による対象データの削除のいずれかが行われ、その結果として、ステップＳ１４からＳ１６のいずれかの処理が無作為に行われる。すなわち、確率ｐ２で送信先決定部２３３により対象データの送信先がサーバ１００に決定され、この場合、端末送信部２１１は、対象データをサーバ１００に送信する（ステップＳ１４）。また、それぞれの他の端末２００につき確率ｐ１で送信先決定部２３３により対象データの送信先が他の端末２００に決定され、この場合、対象データはエンドツーエンド暗号化部２３５で暗号化された上で、端末送信部２１１により他の端末２００に送信される（ステップＳ１５）。そして、確率ｐ３でデータ削除部２３４により対象データが削除される（ステップＳ１６）。

【0061】

また、端末受信部２１２が他の端末２００から送信された対象データを受信した場合（ステップＳ１７）も、ステップＳ１３において、対象データの削除又は送信先の決定が無作為に行われる。そして、その結果として、ステップＳ１４からＳ１６のいずれかの処理が無作為に行われる。

【0062】

このようにして、この実施の形態に係る端末２００においては、例えば、通信システム４００の端末２００によって実行されるためのプログラムによって、少なくとも以下の処理が実行される。
・当該端末２００の端末記憶部２２０に記憶された対象データにノイズを付加すること
・ノイズが付加された対象データを、サーバ１００で管理された公開鍵で暗号化すること
・当該端末２００の端末記憶部２２０に記憶された対象データの送信先を、サーバ１００及び他の端末２００のうちから無作為に決定すること
・暗号化された対象データを、決定された送信先に送信すること
・他の端末２００から送信された対象データを受信すること
・受信した対象データの送信先を、サーバ１００及び他の端末２００のうちから無作為に決定すること
・受信した対象データを、決定された送信先に送信すること

【0063】

次に、以上のように構成された通信システム４００全体における処理の一例を、図５を参照しながら説明する。同図に示す例では、まず、ユーザ１の端末２００において、端末記憶部２２０に記憶されている対象データに、ノイズ付加部２３１によりノイズが付加される（図中の（Ａ））。次に、図中の（Ｂ）に示すように、ノイズが付加された対象データは、公開鍵暗号化部２３２により、サーバ１００の公開鍵により暗号される。これにより、対象データの内容は、公開鍵に対応する秘密鍵を有するサーバ１００でしか見ることができず、サーバ１００以外のデバイス等による盗聴を防ぐことができる。

【0064】

対象データは、確率ｐ１でサーバ１００を経由して他の端末２００に送信される（図中の（Ｄ））。図示の例では、対象データは、ユーザ１の端末２００からユーザ２の端末２００に送信され、ユーザ２の端末２００からユーザ３の端末２００に送信され、ユーザ３の端末２００からユーザｎの端末２００に送信されている。この際、図中の（Ｃ）に示すように、それぞれの端末２００間での通信は、エンドツーエンドで暗号化されている。これにより、送信先の端末２００以外の第三者による盗聴を防ぐことができる。

【0065】

対象データは、確率ｐ２でサーバ１００に送信される（図中の（Ｅ））。図示の例では、ユーザ１の端末２００の対象データは、最終的にユーザｎの端末２００からサーバ１００に送信されている。そして、サーバ１００は、受信したデータを復号部１３２で秘密鍵を用いて復号することで、ユーザ１の端末２００の対象データを得ることができる（図中の（Ｆ））。このようにして、サーバ１００においては、それぞれの端末２００間でやり取りされる対象データの内容を見ることはできないが、最終的にサーバ１００に送信されてきた対象データの内容は見ることができるようにすることが可能である。なお、図中の（Ｇ）に示すように、対象データは、それぞれの端末２００において、確率ｐ３で削除されることもある。

【0066】

このようにして、この実施の形態に係る通信システム４００によれば、それぞれの端末２００で対象データにノイズを付与した上で、それぞれの端末２００間で対象データを無作為に交換しつつ、一定確率で端末２００からサーバ１００に対象データを送信する。このため、対象データをシャッフルして入れ換えるための装置を必要とすることなく、対象データをシャッフルしたのと同様の匿名性を得ることができる。したがって、端末２００側で対象データに付与するノイズを小さく抑えつつ、データを収集するサーバ１００側でのデータの匿名性を向上し、統計データとしての有用性の向上とプライバシーの保護強度の向上とを両立させることができる。また、対象データをシャッフルして入れ換えるための装置を必要としないため、シャッフルする前の対象データ集合が漏洩してしまうリスクも抑えることが可能である。

【0067】

また、データ削除部２３４を備えることで、収集する対象データについて無作為抽出を行った場合と同様の効果を得ることができる。このため、プライバシー保護強度のさらなる向上を図ることが可能である。また、それぞれの端末２００間で通信される対象データの数が減少するため、それぞれの端末２００間で通信データ量が削減され、通信負荷の低減を図ることができる。特に、データ削除部２３４により自端末に記憶された対象データを一定確率ｐ３で削除することで、通信負荷を効果的に低減させることが可能である。

【0068】

また、それぞれの端末２００間での通信をエンドツーエンドで暗号化することで、送信先の端末２００以外の第三者による盗聴を防ぐことができる。これにより、それぞれの端末２００間での対象データの通信については、サーバ１００においても見ることができないため、データを収集するサーバ１００におけるデータの匿名性を、より確実に保つことができる。

【0069】

次に、この実施の形態に係る通信システム４００の第１変形例及び第２変形例について説明する。これらの第１変形例及び第２変形例においては、送信先決定部２３３は、当該端末２００の端末記憶部２２０に記憶された対象データの送信先を、他の端末のうちから無作為に決定する。すなわち、自端末に記憶された対象データを直接にサーバ１００に送ることはない。

【0070】

そして、端末受信部２１２が受信した対象データ、つまり、他の端末２００から送信されてきた対象データについては、端末２００同士での対象データの通信が行われた回数によって、その送信先の候補が変化する。まず、第１変形例においては、送信先決定部２３３は、端末受信部２１２が受信した対象データの送信先を、予め設定された基準回数だけ端末２００同士での対象データの通信が行われるまでは、他の端末２００のうちから無作為に決定する。そして、送信先決定部２３３は、端末受信部２１２が受信した対象データの送信先を、前述の基準回数だけ端末２００同士での対象データの通信が行われた後は、サーバ１００に決定する。

【0071】

この際の基準回数は、通信システム４００に含まれる端末２００の数に応じて決定される。例えば、基準回数は、通信システム４００に含まれる端末２００の数ｎの自然対数ｌｎ（ｎ）以上の最小の整数以上とする。

【0072】

例えば、端末２００同士の通信がサーバ１００を経由して行われる場合、通信システム４００において端末２００同士で対象データの通信が行われた回数は、サーバ１００で容易にカウントすることができる。また、端末２００同士の通信がサーバ１００を経由して行われない場合であっても、各端末２００が他の端末２００から送信された対象データを受信した回数をサーバ１００に通知することで、サーバ１００において通信回数をカウントできる。そして、サーバ１００は、カウントした端末２００同士で対象データの通信が行われた回数、あるいは、端末２００同士で対象データの通信が行われた回数が基準回数以上となったか否かを各端末２００に通知することで、それぞれの端末２００において通信回数に応じた送信先の決定を行うことができる。

【0073】

このようにして、第１変形例では、最初に自端末に記憶された対象データを他の端末２００に送信し、端末２００同士での対象データの通信回数が基準回数になるまでは、対象データをサーバ１００には送らずに端末２００同士での対象データの通信を繰り返す。そして、端末２００同士での対象データの通信回数が基準回数以上になれば、それぞれの端末２００からサーバ１００へ対象データを送信する。これにより、端末２００同士で対象データが一定回数以上交換されることになり、対象データをシャッフルしたのと同様の匿名性をより確実に確保できる。特に、基準回数を、通信システム４００に含まれる端末２００の数ｎの自然対数ｌｎ（ｎ）以上の最小の整数とすることで、全ての端末２００の対象データを集めて一度にシャッフルしたのと同等の匿名性を得ることができる。

【0074】

また、第２変形例においては、送信先決定部２３３は、端末受信部２１２が受信した対象データの送信先を、前述の基準回数だけ端末２００同士での対象データの通信が行われるまでは、第１変形例と同様に、他の端末２００のうちから無作為に決定する。そして、送信先決定部２３３は、端末受信部２１２が受信した対象データの送信先を、前述の基準回数だけ端末２００同士での対象データの通信が行われた後は、第１変形例とは異なり、サーバ１００及び他の端末２００のうちからに決定する。

【0075】

このようにして、第２変形例では、最初に自端末に記憶された対象データを他の端末２００に送信し、端末２００同士での対象データの通信回数が基準回数になるまでは、対象データをサーバ１００には送らずに端末２００同士での対象データの通信を繰り返す。そして、端末２００同士での対象データの通信回数が基準回数以上になれば、端末２００からサーバ１００又は他の端末２００へ対象データを送信する。このようにしても、第１変形例と同様に、端末２００同士で対象データが一定回数以上交換されることになり、対象データをシャッフルしたのと同様の匿名性をより確実に確保できる。

【0076】

なお、これらの第１変形例及び第２変形例においても、それぞれの端末２００は、データ削除部２３４を有してもよいし、有さなくてもよい。そして、端末２００がデータ削除部２３４を有する場合、データ削除部２３４は、端末２００同士での対象データの通信が行われた回数によって、対象データを削除するか否かを変えてもよいし、変えなくてもよい。端末２００同士での対象データの通信が行われた回数によって対象データを削除するか否かを変える場合、例えば、データ削除部２３４は、端末２００同士での対象データの通信回数が前述した基準回数になるまでは、対象データの削除を行わない。そして、前述した基準回数の端末２００同士での対象データの通信が行われた後に、端末受信部２１２が受信した対象データを、前述の確率ｐ３で削除する。

【0077】

次に、以上のように構成された第２変形例における端末２００での処理の一例について、図６を参照しながら説明する。まず、端末受信部２１２がサーバ１００からのデータ送信コマンドを受信すると（ステップＳ２１）、端末制御部２３０は、次にステップＳ２２の処理を行う。ステップＳ２２においては、ノイズ付加部２３１は、端末記憶部２２０に記憶された対象データにノイズを付加する。そして、公開鍵暗号化部２３２は、ノイズ付加部２３１によりノイズが付加された対象データを公開鍵で暗号化する。

【0078】

続くステップＳ２３において、送信先決定部２３３による対象データの送信先の決定が行われ、その結果として、ステップＳ２４の処理が行われる。ステップＳ２４においては、送信先決定部２３３により対象データの送信先が他の端末２００に決定され、この場合、対象データはエンドツーエンド暗号化部２３５で暗号化された上で、端末送信部２１１により他の端末２００に送信される。

【0079】

また、端末受信部２１２が他の端末２００から送信された対象データを受信した場合（ステップＳ２５）、前述した基準回数だけ端末２００同士での対象データの通信が行われるまでは、ステップＳ２３及びＳ２４の処理が行われる。すなわち、端末受信部２１２が受信した対象データはエンドツーエンド暗号化部２３５で暗号化された上で、端末送信部２１１により他の端末２００に送信される。

【0080】

一方、端末２００同士での対象データの通信回数が前述した基準回数に達した後に、端末受信部２１２が他の端末２００から送信された対象データを受信した場合（ステップＳ３１）、続くステップＳ３２において、送信先決定部２３３による対象データの送信先の決定、又は、データ削除部２３４による対象データの削除のいずれかが行われ、その結果として、ステップＳ３３からＳ３５のいずれかの処理が無作為に行われる。すなわち、確率ｐ２で送信先決定部２３３により対象データの送信先がサーバ１００に決定され、この場合、端末送信部２１１は、対象データをサーバ１００に送信する（ステップＳ３３）。また、それぞれの他の端末２００につき確率ｐ１で送信先決定部２３３により対象データの送信先が他の端末２００に決定され、この場合、対象データはエンドツーエンド暗号化部２３５で暗号化された上で、端末送信部２１１により他の端末２００に送信される（ステップＳ３４）。そして、確率ｐ３でデータ削除部２３４により対象データが削除される（ステップＳ３５）。

【0081】

なお、以上で説明した構成例では、送信先決定部２３３が対象データの送信先を無作為に決定する際、送信先の候補となる他の端末２００は、当該端末２００以外の全ての端末２００、つまり（ｎ－１）個の端末２００であった。しかしながら、送信先決定部２３３が対象データの送信先を無作為に決定する際、当該端末２００以外の全ての（ｎ－１）個の端末２００を送信先の候補としてもよいし、当該端末２００以外の端末２００のうちの一部のみを送信先の候補としてもよい。

【0082】

ここで、各端末２００をノードとした仮想的なネットワークの論理トポロジーとして、例えば、リング型、メッシュ型、スター型、フルコネクト型、バス型、ツリー型等の既知の各種形態が考えられる。送信先決定部２３３は、送信先の候補となる他の端末２００を、各端末２００をノードとした仮想的なネットワークの論理トポロジーに応じて決定してもよい。この場合、例えば、送信先決定部２３３は、各端末２００をノードとしたネットワークの論理トポロジーにおいて、当該端末２００に隣接するノードの端末２００を対象データの送信先の候補にすることが考えられる。

【0083】

次に、図７を参照しながら、対象データの送信先を、隣接する端末２００のうちから決定する場合の一例について説明する。図示のネットワークにおける論理トポロジーでは、ユーザ１の端末２００には、ユーザ２の端末２００とユーザ３の端末２００が隣接している。また、ユーザ２の端末２００には、ユーザ４の端末２００とユーザ５の端末２００が隣接している。そして、ユーザ３の端末２００には、ユーザ５の端末２００とユーザ６の端末２００が隣接している。

【0084】

このようなネットワークで、図７（ａ）に示す初期状態において、ユーザ１の端末２００の送信先決定部２３３は、当該端末２００の対象データの送信先を、当該端末２００に隣接するユーザ２の端末２００及びユーザ３の端末２００のうちから無作為に決定する。図示の例では、送信先がユーザ２の端末２００に決定されている。そして、ユーザ１の端末２００の対象データがユーザ２の端末２００に送信される。

【0085】

次に、図７（ｂ）に示すように、ユーザ１の端末２００から送信された対象データをユーザ２の端末２００が受信する。ユーザ２の端末２００の送信先決定部２３３は、受信した対象データの送信先を、当該端末２００に隣接するユーザ４の端末２００及びユーザ５の端末２００のうちから無作為に決定する。図示の例では、送信先がユーザ５の端末２００に決定されている。そして、対象データがユーザ５の端末２００に送信される。そして、図７（ｃ）に示すように、ユーザ２の端末２００から送信された対象データをユーザ５の端末２００が受信する。

【0086】

このようにして、送信先決定部２３３は、対象データの送信先を、各端末２００をノードとしたネットワークの論理トポロジーにおいて当該端末２００に隣接するノードの端末２００のうちから無作為に決定する。これにより、端末２００間で対象データが送信される際の経路長を短くすることができ、ネットワーク３００における通信負荷の軽減を図ることが可能である。

【0087】

本開示に係る発明を諸図面や実施例に基づき説明してきたが、当業者であれば本開示に基づき種々の変形や修正を行うことが容易であることに注意されたい。したがって、これらの変形や修正は本開示に係る発明の範囲に含まれることに留意されたい。例えば、各部、各手段、各ステップ等に含まれる機能等は論理的に矛盾しないように再配置可能であり、複数の手段やステップ等を１つに組み合わせたり、あるいは分割したりすることが可能である。また、以上で説明した実施形態に示す構成を適宜組み合わせることとしてもよい。

【0088】

本開示に係る通信システム及びプログラムは、サーバと複数の端末とを含み、サーバが複数の端末から対象データを収集する通信システム及びプログラムにおいて活用することができる。

【符号の説明】

【0089】

１００ サーバ
１１０ サーバ通信部
１１１ サーバ送信部
１１２ サーバ受信部
１２０ サーバ記憶部
１２１ 暗号鍵記憶部
１２２ 対象データ記憶部
１３０ サーバ制御部
１３１ 暗号鍵管理部
１３２ 復号部
１３３ データ解析部
１３４ エンドツーエンド通信管理部
２００ 端末
２１０ 端末通信部
２１１ 端末送信部
２１２ 端末受信部
２２０ 端末記憶部
２３０ 端末制御部
２３１ ノイズ付加部
２３２ 公開鍵暗号化部
２３３ 送信先決定部
２３４ データ削除部
２３５ エンドツーエンド暗号化部
２４０ 入出力部
２５０ 表示部
２６０ マイク
２７０ スピーカ
２８０ カメラ
３００ ネットワーク
４００ 通信システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】