結果を検証できない技術を使うべきか
COCOAが採用した技術が特殊なのは、システムを運営する政府からみても判定精度の検証が困難だという点だ。他の利用者、つまりアプリを動かしている端末との接触の履歴は利用者の端末だけに保存するなど、極めてプライバシーを重視した仕様にしているからだ。
COCOAをはじめとする各国の接触確認アプリは米Apple（アップル）と米Google（グーグル）が開発した技術を用いている。システム運用者のサーバーで扱える情報は限定的で、接触の判定もAPI（アプリケーション・プログラミング・インターフェース）を通じてアップルとグーグルが定義した基準に委ねられている。システム運用者が把握できる情報や基準の調整は限定的だ。
例えば接触の判定は、当初は2メートル、その後に1メートルという特定の距離に15分以上いた場合とされている。2020年に一度変更があったが、その後は特に判定基準を変更していない。変異ウイルスに合わせた小まめな基準変更はしていないようだ。
COCOA開発に携わった内閣官房情報通信技術（IT）総合戦略室（現デジタル庁）や厚労省も、プライバシー重視をうたってアプリの普及を促すため、アップルとグーグルの方針に同調した。
しかし接触の判定精度や、どのようにアプリが利用されているかなど、統計情報さえ取得することが困難になり、その後の効果検証を阻んだ。2020年末頃にはこの状況を改善するため、内閣官房情報通信技術（IT）総合戦略室（現デジタル庁）や厚労省のアプリ担当者らは、同意を得た利用者に限定してより詳しい利用情報を得るなどの案も検討していた。しかしその後に、アプリで同意の手続きなどが実装された様子はない。同意を得ても有益な情報を集めにくいなど、何らかの困難があったのかもしれない。
各国政府と恐らくアップルとグーグルともに効果検証がしにくい仕組みを維持していくのが良いのか。2つのスマホOSベンダーを交えて検証すべきではないか。
オープンソースをどう取り込むか
最初にも触れた、COCOAの開発ベンダーを選定するプロセスや厚労省側の態勢もぜひ検証してほしい。アプリが品質問題を長く抱える大きな要因になったと記者は考えている。
政府は新型コロナ感染者を登録する「新型コロナウイルス感染者等情報把握・管理支援システム（HER-SYS）」の開発を受託したベンダーを、技術的能力を検証することなくそのまま選定した。HER-SYSの元請けであるパーソルプロセス＆テクノロジーと結んだHER-SYSの契約を変更して、委託する業務を増やした。
日本マイクロソフトを中心に、同社のクラウド「Microsoft Azure」を使った開発で実績を持つパーソルPTやFIXERなどのITベンダーによるコンソーシアム態勢だった。
しかしパーソルPTはHER-SYSの工程管理を担当したものの、COCOAについては特に知見がなく、日本マイクロソフトにCOCOAのベンダー選定や体制構築を任せていた。2020年9月時点の日経クロステックの取材で、パーソルPTでHER-SYSを担当する幹部が証言している。
COCOAは当初、有志の技術者が開発に参加するオープンソースとして開発が始まった。しかし開発チームはマイクロソフトのクラウドや開発ツールを使うチームと、他の技術を使うチームに分かれていた。厚労省がHER-SYSの開発ベンダーにCOCOAの開発・運用も丸投げしたことが、COCOAの知見がなかったり公平な立場で選べなかったりするベンダーが候補技術を選定する結果を招いた。記者は当時の取材から経緯をこう捉えている。
次のパンデミックでCOCOAの蹉跌（さてつ）と経験を生かすためにも、幅広い視野に立った検証を期待する。
