(57)【要約】【課題】コミュニティ型のネットワークサービスにおいて、公開した個人情報の重ね合わせによりユーザが特定されるといったプライバシー侵害の危険性を回避する。【解決手段】ユーザが新たに公開する個人情報をユーザ端末から受信するデータ入力部１１１と、ネットワークサービス上で公開されている個人情報をユーザ毎に記憶する個人情報データベース１３から読み出された前記個人情報と受信した前記個人情報とに基づき前記ユーザの匿名性喪失回避度を算出する匿名性計算部１２２と、前記匿名性喪失回避度が所定の閾値より低い場合に、前記ユーザ端末に警告を通知する警告送信部１５と、前記警告に対する応答として、前記データ入力部１１１により受信された前記個人情報の公開要求を受信した場合には、当該個人情報を前記個人情報データベース１３に登録する個人情報登録部１４と、を備える【選択図】図２
2010097336.tif 000002
【特許請求の範囲】
【請求項１】
ユーザが新たに公開する個人情報をユーザ端末から受信するデータ入力部と、
ネットワークサービス上で公開されている個人情報をユーザ毎に記憶する個人情報データベースから読み出された前記個人情報と前記データ入力部により受信された前記個人情報とに基づき前記ユーザの匿名性喪失回避度を算出する匿名性計算部と、
前記匿名性計算部により算出された前記匿名性喪失回避度が所定の閾値より低い場合に、前記ユーザ端末に警告を通知する警告送信部と、
前記警告送信部により通知された前記警告に対する応答として、前記データ入力部により受信された前記個人情報の公開要求を受信した場合には、当該個人情報を前記個人情報データベースに登録する個人情報登録部と、
を備えることを特徴とするプライバシー侵害監視装置。
【請求項２】
前記匿名性計算部は、前記個人情報データベースから読み出された個人情報であって前記ユーザが属する複数のサービスモジュール毎の個人情報を統合するマージ部を備え、前記マージ部により統合された個人情報と前記データ入力部により受信された前記個人情報とに基づいて前記ユーザの匿名性喪失回避度を算出することを特徴とする請求項１に記載のプライバシー侵害監視装置。
【請求項３】
前記データ入力部は、複数のネットワークサービス間で共通のＩＤとともにユーザが新たに公開する前記個人情報をユーザ端末から受信し、
前記データ入力部により入力された前記共通のＩＤを用いて、前記個人情報データベースを備える複数のサーバそれぞれから、前記ユーザが属するサービスモジュールの個人情報を受信する個人情報受信部を備え、
前記マージ部は、前記個人情報受信部により取得された複数の前記個人情報を統合し、
前記個人情報登録部は、前記警告送信部により通知された前記警告に対する応答として、前記データ入力部により受信された前記個人情報の公開要求を受信した場合には、当該個人情報を前記サーバに送信する
ことを特徴とする請求項２に記載のプライバシー侵害監視装置。
【請求項４】
データ入力部が、ユーザが新たに公開する個人情報をユーザ端末から受信するステップと、
匿名性計算部が、ネットワークサービス上で公開されている個人情報をユーザ毎に記憶する個人情報データベースから読み出された前記個人情報と前記データ入力部により受信された前記個人情報とに基づき前記ユーザの匿名性喪失回避度を算出するステップと、
警告送信部が、前記匿名性計算部により算出された前記匿名性喪失回避度が所定の閾値より低い場合に、前記ユーザ端末に警告を通知するステップと、
個人情報登録部が、前記警告送信部により通知された前記警告に対する応答として、前記データ入力部により受信された前記個人情報の公開要求を受信した場合には、当該個人情報を前記個人情報データベースに登録するステップと、
を有することを特徴とするプライバシー侵害監視方法。
【請求項５】
前記匿名性計算部は、前記個人情報データベースから読み出された個人情報であって前記ユーザが属する複数のサービスモジュール毎の個人情報を統合するマージ部を備え、前記マージ部により統合された個人情報と前記データ入力部により受信された前記個人情報とに基づいて前記ユーザの匿名性喪失回避度を算出することを特徴とする請求項４に記載のプライバシー侵害監視方法。
【請求項６】
前記データ入力部は、複数のネットワークサービス間で共通のＩＤとともにユーザが新たに公開する前記個人情報をユーザ端末から受信し、
前記データ入力部により入力された前記共通のＩＤを用いて、前記個人情報データベースを備える複数のサーバそれぞれから、前記ユーザが属するサービスモジュールの個人情報を受信するステップを有し、
前記マージ部は、前記個人情報受信部により取得された複数の前記個人情報を統合し、
前記個人情報登録部は、前記警告送信部により通知された前記警告に対する応答として、前記データ入力部により受信された前記個人情報の公開要求を受信した場合には、当該個人情報を前記サーバに送信する
ことを特徴とする請求項５に記載のプライバシー侵害監視方法。
【請求項７】
コンピュータに、
ユーザが新たに公開する個人情報をユーザ端末から受信するステップと、
ネットワークサービス上で公開されている個人情報をユーザ毎に記憶する個人情報データベースから読み出された前記個人情報と受信した前記個人情報とに基づき前記ユーザの匿名性喪失回避度を算出するステップと、
算出した前記匿名性喪失回避度が所定の閾値より低い場合に、前記ユーザ端末に警告を通知するステップと、
通知した前記警告に対する応答として、受信した前記個人情報の公開要求を受信した場合には、当該個人情報を前記個人情報データベースに登録するステップと、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プライバシー侵害監視装置、プライバシー侵害監視方法及びプログラムに関する。
【背景技術】
【０００２】
現在、個人情報の重ね合わせに対して、あるユーザの匿名性がどの程度低下するかについて情報エントロピーを用いて統計的に評価する方法がある（例えば、特許文献１及び２参照）。
一方、近年では、個人情報の登録・投稿を行い、場合によって、複数の機能モジュール又はサービス間で互いに情報の交換を行うタイプのネットワークサービスが注目を集めている。ソーシャルネットワーキングサービス（以下、ＳＮＳとする）は、その１つであり、実世界の人間のつながりを元に形成されたコミュニティ型のウェブサイトである。ＳＮＳは、嗜好、地域、出身校などによって、人間関係を構築していくサービスである。「友達の友達は、友達」という考えに基づき、多くの場合、参加者からの招待がないとＳＮＳに参加できないが、誰でも自由に登録できるＳＮＳも増えている。ＳＮＳは、社内の各部署におけるスケジュールや売上情報の共有や、病院における患者との情報共有（例えば、非特許文献１参照）など企業や医療の分野においても活用されている。
【特許文献１】特開２００７−２１９６３５号公報
【特許文献２】特開２００７−２１９６３６号公報
【非特許文献１】“ビジネスブログ及びビジネスＳＮＳの活用事例の公表”、［online］、総務省、［２００８年０９月２６日検索］、インターネット〈URL: http://www.soumu.go.jp/s-news/2005/051222_13.html〉
【発明の開示】
【発明が解決しようとする課題】
【０００３】
図２１は、本発明で前提とするＳＮＳシステムの構成を示す概略図である。
ＳＮＳを提供するＳＮＳサーバ１Ａと、ＳＮＳを利用する複数のユーザ端末２Ａが、インターネットを介して接続されている。ＳＮＳは、メール送受信機能、ブログ機能、掲示板、ビデオ投稿のような様々な機能を提供するサービスである。ＳＮＳでは、ユーザが自分の日記や写真を知り合いのみに公開することができ、コミュニティという掲示板のようなサービスを利用して特定のトピックに対する情報をやりとりすることができる。
【０００４】
図２２は、ＳＮＳが提供するコミュニティの概念図である。ＳＮＳには、旅行やカメラ関係のような趣味に関するコミュニティや、企業や学校関係のコミュニティなどが複数存在する。コミュニティにおいて、ユーザは自信の分身であるエージェントを用いて情報のやりとりを行う。各エージェントは、ＳＭＳの中で一意に識別できるエージェントＩＤを保持する。また、ユーザによっては、仕事用とプライベート用とで異なるＳＮＳを使い分けている場合がある。また、同じプライベート用でもサイバー犯罪発生率やＳＮＳが提供する機能の違いによって、現在使用しているＳＮＳの使用を中断して別のＳＮＳに乗り換える場合もある。ユーザは、次々に新しいユーザを招待することができるため、連鎖的にＳＮＳを利用するユーザ数が増えてゆく。
【０００５】
ＳＮＳのビジネスモデルは、ユーザのサイトに広告を出すことにより広告収入を得るモデルや、ＳＮＳの集客を利用して他社や自社のサイトへ誘導又は連動するシナジー効果から収益を得るモデルなどがある。
多くのＳＮＳは、それぞれが独立にサービスを提供しているが、複数のサイトを共通のＩＤとパスワードで認証できるＯｐｅｎＩＤのような認証手段を用いると、異なるＳＮＳでも同一のＩＤでログインできる。ＯｐｅｎＩＤを発行するサーバは、認証局と同等の役割を果たす。
【０００６】
ところで、ＳＮＳには様々なプライバシーに関する問題がある。そのひとつに、個々の情報だけでは個人が特定されないが、複数の情報を重ね合わせることで個人を特定することが可能になる場合がある、という問題がある。ユーザが個人特定に繋がらないように個人情報を公開したとしても、公開した個人情報の履歴や友人関係にあるユーザから得た他の個人情報を重ね合わせることで、ユーザがどのような人物かが分かってしまい、意図しない相手にプライバシーを侵害されることがある。情報を重ね合わせるとは、情報を組み合わせることである。例えば、情報「性別：女性」と情報「趣味：旅行」を重ね合わせるとは、それらを組み合わせてそのユーザの情報を「性別：女性」かつ「趣味：旅行」とすることである。
この情報の重ね合わせによるプライバシー侵害問題は、ＯｐｅｎＩＤを利用するとより深刻になる。ＯｐｅｎＩＤを利用することにより、様々なプライバシーポリシーで設計されたＳＮＳをネットワーク上で仮想的な１つのＳＮＳとして見ることができる。このため、より広範囲から特定の個人情報を収集しやすくなり、情報の重ね合わせによるプライバシー侵害の問題が深刻化する。
しかしながら、特許文献１及び２に記載された技術は、主にユビキタスネットワークのように限られた空間のネットワークを前提としたものであり、インターネットのような解放空間への適用は考慮されていない、という問題がある。
更に、特許文献１及び２に記載された技術では、個々の個人情報をだけでは個人が特定されないが、複数の個人情報を重ね合わせることにより個人が特定される場合があるということをユーザが気付きにくかった。
本発明は上記の点に鑑みてなされたものであり、その目的は、コミュニティ型のネットワークサービスにおいて、公開した個人情報の重ね合わせによりユーザが特定されるといったプライバシー侵害の危険性を回避するプライバシー侵害監視装置、プライバシー侵害監視方法及びプログラムを提供することにある。
【課題を解決するための手段】
【０００７】
本発明は上記の課題を解決するためになされたものであり、本発明の一態様は、ユーザが新たに公開する個人情報をユーザ端末から受信するデータ入力部と、ネットワークサービス上で公開されている個人情報をユーザ毎に記憶する個人情報データベースから読み出された前記個人情報と前記データ入力部により受信された前記個人情報とに基づき前記ユーザの匿名性喪失回避度を算出する匿名性計算部と、前記匿名性計算部により算出された前記匿名性喪失回避度が所定の閾値より低い場合に、前記ユーザ端末に警告を通知する警告送信部と、前記警告送信部により通知された前記警告に対する応答として、前記データ入力部により受信された前記個人情報の公開要求を受信した場合には、当該個人情報を前記個人情報データベースに登録する個人情報登録部と、を備えることを特徴とするプライバシー侵害監視装置である。
【０００８】
また、本発明の一態様は、上記のプライバシー侵害監視装置において、前記匿名性計算部は、前記個人情報データベースから読み出された個人情報であって前記ユーザが属する複数のサービスモジュール毎の個人情報を統合するマージ部を備え、前記マージ部により統合された個人情報と前記データ入力部により受信された前記個人情報とに基づいて前記ユーザの匿名性喪失回避度を算出することを特徴とする。
【０００９】
また、本発明の一態様は、上記のプライバシー侵害監視装置において、前記データ入力部は、複数のネットワークサービス間で共通のＩＤとともにユーザが新たに公開する前記個人情報をユーザ端末から受信し、前記データ入力部により入力された前記共通のＩＤを用いて、前記個人情報データベースを備える複数のサーバそれぞれから、前記ユーザが属するサービスモジュールの個人情報を受信する個人情報受信部を備え、前記マージ部は、前記個人情報受信部により取得された複数の前記個人情報を統合し、前記個人情報登録部は、前記警告送信部により通知された前記警告に対する応答として、前記データ入力部により受信された前記個人情報の公開要求を受信した場合には、当該個人情報を前記サーバに送信することを特徴とする。
【００１０】
また、本発明の一態様は、データ入力部が、ユーザが新たに公開する個人情報をユーザ端末から受信するステップと、匿名性計算部が、ネットワークサービス上で公開されている個人情報をユーザ毎に記憶する個人情報データベースから読み出された前記個人情報と前記データ入力部により受信された前記個人情報とに基づき前記ユーザの匿名性喪失回避度を算出するステップと、警告送信部が、前記匿名性計算部により算出された前記匿名性喪失回避度が所定の閾値より低い場合に、前記ユーザ端末に警告を通知するステップと、個人情報登録部が、前記警告送信部により通知された前記警告に対する応答として、前記データ入力部により受信された前記個人情報の公開要求を受信した場合には、当該個人情報を前記個人情報データベースに登録するステップと、を有することを特徴とするプライバシー侵害監視方法である。
【００１１】
また、本発明の一態様は、上記のプライバシー侵害監視方法において、前記匿名性計算部は、前記個人情報データベースから読み出された個人情報であって前記ユーザが属する複数のサービスモジュール毎の個人情報を統合するマージ部を備え、前記マージ部により統合された個人情報と前記データ入力部により受信された前記個人情報とに基づいて前記ユーザの匿名性喪失回避度を算出することを特徴とする。
【００１２】
また、本発明の一態様は、上記のプライバシー侵害監視方法において、前記データ入力部は、複数のネットワークサービス間で共通のＩＤとともにユーザが新たに公開する前記個人情報をユーザ端末から受信し、前記データ入力部により入力された前記共通のＩＤを用いて、前記個人情報データベースを備える複数のサーバそれぞれから、前記ユーザが属するサービスモジュールの個人情報を受信するステップを有し、前記マージ部は、前記個人情報受信部により取得された複数の前記個人情報を統合し、前記個人情報登録部は、前記警告送信部により通知された前記警告に対する応答として、前記データ入力部により受信された前記個人情報の公開要求を受信した場合には、当該個人情報を前記サーバに送信することを特徴とする。
【００１３】
また、本発明の一態様は、コンピュータに、ユーザが新たに公開する個人情報をユーザ端末から受信するステップと、ネットワークサービス上で公開されている個人情報をユーザ毎に記憶する個人情報データベースから読み出された前記個人情報と受信した前記個人情報とに基づき前記ユーザの匿名性喪失回避度を算出するステップと、算出した前記匿名性喪失回避度が所定の閾値より低い場合に、前記ユーザ端末に警告を通知するステップと、通知した前記警告に対する応答として、受信した前記個人情報の公開要求を受信した場合には、当該個人情報を前記個人情報データベースに登録するステップと、を実行させるためのプログラムである。
【発明の効果】
【００１４】
本発明によれば、未公開の個人情報と既に公開している個人情報とに基づいて未公開の個人情報を公開することによる匿名性喪失回避度を算出する。これにより、公開した個人情報の重ね合わせによりユーザが特定されるといったプライバシー侵害の危険性を検知することができる。また、匿名性喪失回避度が閾値より低い場合にユーザに警告を発するため、ユーザに未公開の個人情報を公開することによりプライバシー侵害の危険性があることを報知することができる。このため、ユーザは、ある個人情報を公開することによるプライバシー侵害の危険性を知ることができる。
【発明を実施するための最良の形態】
【００１５】
[第１の実施形態]
以下、図面を参照しながら本発明の実施形態について詳しく説明する。
図１は、本発明の実施形態によるプライバシー侵害監視システムの構成を示す概略図である。
プライバシー侵害監視システムは、個人情報を公開するサービスを提供し、かつ個人情報の重ね合わせによるプライバシー侵害の監視を行うプライバシー侵害監視装置１と、サービスを利用するユーザが使用するユーザ端末２と、を含んで構成される。複数のユーザ端末２とプライバシー侵害監視装置１は、インターネットを介して接続されており、互いにデータの送受信ができる。
【００１６】
図２は、第１の実施形態におけるプライバシー侵害監視装置１の機能構成を示すブロック図である。
プライバシー侵害監視装置１は、サービスの種類に依存する処理を行うサービス依存部１１と、ネットワークサービス上で公開されている個人情報をユーザ毎に記憶する個人情報データベース１３と、サービスの種類に依存しない処理を行うサービス非依存部１２と、警告送信部１５と、匿名性を計算するための個人情報を一時的に格納するバッファ１７と、公開要求受信部１６と、個人情報登録部１４と、を含んで構成される。
サービス依存部１１は、データ入力部１１１と、入力データ検出部１１２と、プライバシー関連属性抽出部１１３と、組合せ出力部１１４と、を含んで構成される。
サービス非依存部１２は、保護受付部１２１と、匿名性計算部１２２と、プライバシー侵害を監視するユーザの識別情報を記憶する保護対象ユーザ記憶部１２３と、を含んで構成される。
【００１７】
保護受付部１２１は、ユーザ端末２から保護要求を受信する。保護要求は、ユーザの識別情報を含むメッセージである。保護受付部１２１は、受信したユーザの識別情報を保護対象ユーザ記憶部１２３に登録する。
個人情報データベース１３は、各ユーザの個人情報を（属性，属性値）（例えば、（性別，女性）など）のペアでドメインとサービスモジュール毎に管理する。
【００１８】
データ入力部１１１は、ユーザ端末２から確認要求を受信する。確認要求は、ユーザが新たに公開する個人情報及びユーザの識別情報を含むメッセージである。そして、データ入力部１１１は、個人情報を入力データ検出部１１２に出力する。受信する個人情報には、２種類あり、１つは公開予定のテキストから予め個人情報を抜き出し、（属性，属性値）の形に分類されたデータである。一方、もう１つは、何も手を加えていないフルテキストである。
入力データ検出部１１２は、入力された個人情報が分類されたデータであるかフルテキストであるかを判定する。そして、入力データ検出部１１２は、個人情報が分類されたデータである場合には、個人情報を組合せ出力部１１４に出力する。一方、入力データ検出部１１２は、個人情報がフルテキストである場合には、個人情報をプライバシー関連属性抽出部１１３に出力する。
プライバシー関連属性抽出部１１３は、例えばＮＥｘＴ（ｎａｍｅｄ  ｅｎｔｉｔｙ  ｅｘｔｒａｃｔｉｏｎ  ｔｏｏｌ）などの日本語形態素解析を用いてフルテキストである個人情報を（属性，属性値）に分類し、分類したプライバシーデータを組合せ出力部１１４へ出力する。
組合せ出力部１１４は、ドメイン判別部１１４Ａと、モジュール判別部１１４Ｂと、を含んで構成される。ドメイン判別部１１４Ａは、ユーザが利用しているサービスのドメインが単一であるか複数であるかを判別する。モジュール判別部１１４Ｂは、ユーザが利用しているサービスのサービスモジュールが単一であるか複数であるかを判別する。なお、各ユーザが利用しているサービスのドメイン及びサービスモジュールは予めプライバシー侵害監視装置１に登録されている。組合せ出力部１１４は、入力された個人情報と、ユーザの識別情報と、ドメイン判別部１１４Ａ及びモジュール判別部１１４Ｂの判別結果をバッファ１７に書き込む。
【００１９】
匿名性計算部１２２は、バッファ１７に記憶された個人情報及びユーザの識別情報を取得し、取得したユーザの識別情報が保護対象ユーザ記憶部１２３に記憶されている場合に、そのユーザの匿名性喪失回避度を計算する。匿名性計算部１２２は、ユーザの匿名性喪失回避度を計算する匿名性定量化部１２２Ａと、予め定められた匿名性閾値を管理する閾値管理部１２２Ｂと、を含んで構成される。
具体的には、匿名性計算部１２２は、バッファ１７に記憶されたユーザの識別情報に基づいて、過去にユーザが個人情報を公開したことがあるドメイン及びサービスモジュールの個人情報を個人情報データベース１３から取得し、バッファ１７に記憶する。そして、匿名性計算部１２２は、バッファ１７に記憶された個人情報を個人情報データベース１３から取得した個人情報に追加したテーブルを生成する。そして、匿名性計算部１２２は、生成したテーブルを用いて匿名性定量化部１２２Ａにより匿名性喪失回避度を計算する。匿名性喪失回避度は、値が大きいほど匿名性（匿名性喪失回避度）が高く、値が小さいほど匿名性（匿名性喪失回避度）が低い。匿名性計算部１２２は、計算した匿名性喪失回避度と匿名性閾値とを比較し、匿名性喪失回避度が匿名性閾値より小さい場合に、警告送信部１５からユーザ端末２に警告を送信する。一方、匿名性喪失回避度が匿名性閾値以上である場合には、個人情報登録部１４を用いてバッファ１７に記憶された個人情報を個人情報データベース１３に登録する。
【００２０】
警告送信部１５は、匿名性計算部１２２により算出された匿名性喪失回避度が匿名性閾値より小さい場合に、ユーザ端末２に警告を通知する。
公開要求受信部１６は、警告送信部１５部により通知された警告に対する応答をユーザ端末２から受信する。
個人情報登録部１４は、警告送信部１５部により通知された警告に対する応答として、受信した個人情報の公開要求を受信した場合には、当該個人情報を個人情報データベース１３に登録する。また、個人情報登録部１４は、匿名性計算部１２２により算出された匿名性喪失回避度が匿名性閾値以上である場合に、バッファ１７に記憶された個人情報を個人情報データベース１３に登録する。
【００２１】
なお、本発明における匿名性喪失回避度の計算方は、エントロピーをベースとした値（参照： 文献Ａ 「今田、山口、太田、高杉、小柳、“ ユビキタスネットワーキング環境におけるプライバシ保護手法  Ｌ ｏ ｏ Ｍ ” 電子情報通信学会論文誌、Ｖ ｏ ｌ ． Ｊ ８ ８ Ｂ 、Ｎ ｏ ． ３ 、ｐ ｐ ． ５ ６ ３ − ５ ７ ３ 、２ ０ ０ ５ ． ３ 」） を用いる。
具体的には、まず、匿名性定量化部１２２Ａは、保護したい属性において、匿名にしたいユーザと同じ属性値のユーザを正、そうでない属性値を負という二つのクラスに分ける。そして、匿名性定量化部１２２Ａは、次の式（１）を用いて匿名にしたいユーザの正負に関するエントロピーＨ０を算出する。ただし、Ｐ＋は、すべてのユーザ集合において、正事例である確率である。Ｐ−は、すべてのユーザ集合において、負事例である確率である。
【００２２】
【数１】
2010097336.tif 000003
【００２３】
次に、匿名性定量化部１２２Ａは、ある属性Ｆが判明したときのエントロピーＨＦを次の式（２）を用いて算出する。ただし、Ｐｉは、Ｆの属性値の集合を｛ｖ１，ｖ２，ｖ３，ｖ４・・・ｖｎ｝とした場合、Ｆがｖｉである確率である。Ｐｉ＋は、Ｆの属性値の集合を｛ｖ１，ｖ２，ｖ３，ｖ４・・・ｖｎ｝とした場合、Ｆがｖｉである集合において正である確率である。Ｐｉーは、Ｆの属性値の集合を｛ｖ１，ｖ２，ｖ３，ｖ４・・・ｖｎ｝とした場合、Ｆがｖｉである集合において負である確率である。
【００２４】
【数２】
2010097336.tif 000004
【００２５】
そして、匿名性定量化部１２２Ａは、次の式（３）を用いて匿名性喪失回避度を算出する。
【００２６】
【数３】
2010097336.tif 000005
【００２７】
次に、図３から６を参照して、上述したプライバシー侵害監視装置１の動作を説明する。図３は、事前処理の手順を示すフローチャートである。
ステップＳ１では、プライバシー侵害監視装置１は、個人情報登録部１４によりユーザが公開した個人情報を個人情報データベース１３に登録する。
【００２８】
図４は、保護対象ユーザ登録処理の動作を示すシーケンス図である。
まず、ステップＳ１１では、ユーザ端末２が保護要求をプライバシー侵害監視装置１に送信する。保護要求には、ユーザの識別情報が含まれる。
次に、ステップＳ１２では、プライバシー侵害監視装置１において、保護受付部１２１が、受信したユーザの識別情報を保護対象ユーザ記憶部１２３に登録する。
これにより、保護要求を送信したユーザ端末２のユーザの個人情報がプライバシー侵害の監視対象となる。
【００２９】
図５は、プライバシー侵害監視処理の手順を示すフローチャートである。
まず、ステップＳ２１では、データ入力部１１１が、確認要求を受信する。
次に、ステップＳ２２では、匿名性計算部１２２が、個人情報の確認要求元であるユーザが保護対象であるか否かを判定する。具体的には、匿名性計算部１２２は、確認要求に含まれるユーザの識別情報が保護対象ユーザ記憶部１２３に記憶されている場合に、ユーザが保護対象であると判定する。ユーザが保護対象である場合には、ステップＳ２３へ進む。一方、そうでない場合には、処理を終了する。
【００３０】
ステップＳ２３では、匿名性計算部１２２が、ユーザの識別情報に基づいて、過去にユーザが個人情報を公開したことがあるドメイン及びサービスモジュールの個人情報を個人情報データベース１３から取得し、バッファ１７に格納する。
次に、ステップＳ２４では、匿名性計算部１２２が、ステップＳ２１で受信した確認要求に含まれる個人情報を個人情報データベースに仮登録する。具体的には、匿名性計算部１２２は、受信した個人情報を個人情報データベース１３から取得した個人情報に追加したテーブルを作成してバッファ１７に格納する。
次に、ステップＳ２５では、匿名性計算部１２２が、作成したテーブルを用いて、受信した個人情報を公開することによる匿名性喪失回避度を算出する。
次に、ステップＳ２６では、匿名性計算部１２２が、算出した匿名性喪失回避度が匿名性閾値以上であるか否かを判定する。匿名性喪失回避度が匿名性閾値以上である場合には、ステップＳ２８へ進む。一方、匿名性喪失回避度が匿名性閾値より小さい場合には、ステップＳ２７へ進む。
【００３１】
ステップＳ２７では、警告送信部１５が、受信した個人情報により匿名性が低下することを警告する旨を確認要求元のユーザ端末２に通知する。
一方、ステップＳ２８では、警告送信部１５が、受信した個人情報を公開可能な旨を確認要求元のユーザ端末２に通知する。また、個人情報登録部１４が受信した個人情報を個人情報データベース１３に登録する。
【００３２】
図６は、個人情報公開処理の動作を示すシーケンス図である。この図に示す処理は、上述したステップＳ２７で警告を通知されたとしても、ユーザが個人情報の公開を要求する場合の処理である。
まず、ステップＳ３１では、プライバシー侵害監視装置１の警告送信部１５が受信した個人情報により匿名性が低下することを警告する旨を確認要求元のユーザ端末２に通知する。この処理は、上述したステップＳ２７の処理に相当する。
次に、ステップＳ３２では、ユーザが通知された警告を基に確認要求を行った個人情報を公開すると判断した場合に、ユーザ端末２はユーザの操作により確認要求を行った個人情報の公開要求をプライバシー侵害監視装置１に送信する。
ステップＳ３３では、プライバシー侵害監視装置１の公開要求受信部１６が公開要求を受信する。そして、個人情報登録部１４が、公開要求に対応する個人情報を個人情報データベース１３に登録する。
【００３３】
このように、第１の実施形態によれば、未公開の個人情報と既に公開している個人情報とを合わせて、未公開の個人情報を公開することによる匿名性喪失回避度を算出する。これにより、公開した個人情報の重ね合わせによりユーザが特定されるといったプライバシー侵害の危険性を検知することができる。また、匿名性喪失回避度が匿名性閾値より小さい場合にユーザに警告を発するため、ユーザに未公開の個人情報を公開することによりプライバシー侵害の危険性があることを報知することができる。このため、ユーザは、ある個人情報を公開することによるプライバシー侵害の危険性を知ることができる。
【００３４】
[第２の実施形態]
次に、この発明の第２の実施形態によるプライバシー侵害監視装置について説明する。
図７は、第２の実施形態におけるプライバシー侵害監視装置２０の機能構成を示すブロック図である。第２の実施形態におけるプライバシー侵害監視装置２０は、ＳＮＳを提供するＳＮＳサーバである。図７に示すとおり、プライバシー侵害監視装置２０は、図２に示す構成に加えて、ＳＮＳをユーザ端末２に提供するＳＮＳ機能部２００を備えている。
【００３５】
ＳＮＳでは、エージェントＩＤによって個々のユーザを一意に識別する。個人を表現する情報には、性別等の個人情報と、エージェントＩＤと、ユーザ本人との３つがある。プライバシー侵害とは、個人情報と、エージェントＩＤと、ユーザ本人とが対応付け可能になることである。ＳＮＳでは、エージェントＩＤを公開した上で個人情報を逐次公開していく。よって、ＳＮＳにおけるプライバシー侵害とは、公開した個人情報によってエージェントＩＤとユーザ本人とが一意に対応付け可能になることである。したがって、ＳＮＳでは、公開した個人情報によってエージェントＩＤが一意に特定されないようにしておけば、エージェントＩＤとユーザ本人とが一意に対応付けられることがなくなり、プライバシー侵害を防止することができる。第２の実施形態では、プライバシー侵害監視装置２０は、公開した個人情報の中に、エージェントＩＤを一意に特定できるような情報が含まれていないかをチェックし、特定できる情報が含まれる場合に警告を通知する。第２の実施形態では、エージェントＩＤが保護したい属性である。
【００３６】
第２の実施形態における保護受付部２２１は、ユーザの識別情報としてエージェントＩＤを受信する。また、保護対象ユーザ記憶部２２３は、ユーザのエージェントＩＤを記憶している。個人情報データベース２３は、各ユーザの個人情報を（属性，属性値）のペアでＳＮＳのサービスジュールであるコミュニティ毎に管理する。また、第２の実施形態では、１つのコミュニティで公開された個人情報の重ね合わせによるプライバシー侵害を監視する。よって、組合せ出力部２１４のドメイン判別部２１４Ａは、常に単一のドメインと判別する。また、組合せ出力部２１４のドメイン判別部２１４Ａは、常に単一のサービスモジュールと判別する。
他の構成は第１の実施形態と同様であるので説明を省略する。
【００３７】
図８は、第２の実施形態における個人情報データベース２３が記憶する個人情報テーブルのデータ構造とデータ例を示す概略図である。個人情報データベース２３は、この個人情報テーブルをコミュニティ毎に記憶している。
図示するように、個人情報テーブルは、行と列からなる２次元の表形式のデータであり、属性（性別、休暇中、趣味、８月の旅行先）と、エージェントＩＤと、情報キャリアの各項目の列を有している。情報キャリアは、ユーザ名である。また、属性値「＊」は、その属性の情報が公開されていないことを表す。
この図に示す例では、１行目のデータは、エージェントＩＤ「Ａ」（情報キャリア「Ｃｈｒｉｓ」）が属性である性別「Ｍ（男性）」と、趣味「旅行」とを公開していることを表す。２行目のデータは、エージェントＩＤ「Ｂ」（情報キャリア「Ｋａｎｃｙ」）が属性である性別「Ｆ（女性）」と、趣味は「旅行」とを公開していることを表す。３行目のデータは、エージェントＩＤ「Ｄ」（情報キャリア「Ｈａｎａｋｏ」）が属性である性別「Ｆ（女性）」と、休暇中は「ｎｏ（休暇中ではない）」と、趣味「Ｙｏｇａ」とを公開していることを表す。４行目のデータは、エージェントＩＤ「００１」（情報キャリア「Ａｌｉｃｅ」）が属性である性別「Ｆ（女性）」と、趣味「旅行」とを公開していることを表す。
【００３８】
次に、図９を参照して、第２の実施形態におけるプライバシー侵害監視処理の手順を説明する。図９は、プライバシー侵害監視処理の手順を示すフローチャートである。以下、情報キャリア「Ａｌｉｃｅ」が旅行関係コミュニティに繰り返し個人情報を公開する例を用いて説明する。なお、個人情報データベース２３には情報キャリア「Ａｌｉｃｅ」がこれまで公開した個人情報が格納されている。また、情報キャリア「Ａｌｉｃｅ」のエージェントＩＤ「００１」は、保護対象ユーザ記憶部２２３に記憶されている。
ユーザ端末２は、情報キャリア「Ａｌｉｃｅ」の操作により、旅行関係コミュニティに新規公開予定の文章から個人情報を（属性，属性値）の形式で抽出し、抽出した個人情報とエージェントＩＤ「００１」を含む確認要求をプライバシー侵害監視装置２０に送信する。なお、（属性，属性値）の登録形式は予めプライバシー侵害監視装置２０からユーザ端末２に通知されている。例えば新規公開予定の文章が「８月は、休暇を取得し、Ｐａｒｉｓに行きます」だった場合には、抽出した個人情報は（休暇中，ｙｅｓ）及び（８月の旅行先，Ｐａｒｉｓ）である。つまり、ユーザ端末２は、属性分類された個人情報をプライバシー侵害監視装置２０に送信する。
【００３９】
まず、ステップＳ１２１では、データ入力部２１１が、確認要求を受信する。本例では、確認要求にはエージェントＩＤ「００１」と個人情報（休暇中，ｙｅｓ）及び（８月の旅行先，Ｐａｒｉｓ）が含まれる。
次に、ステップＳ１２２では、匿名性計算部２２２が、受信したエージェントＩＤが保護対象ユーザ記憶部２２３に記憶されているか否かを判定する。エージェントＩＤが保護対象ユーザ記憶部２２３に記憶されている場合には、ステップＳ１２３へ進む。一方、エージェントＩＤが保護対象ユーザ記憶部２２３に記憶されていない場合は、処理を終了する。
ステップＳ１２３では、匿名性計算部２２２が、個人情報データベース２３から旅行関係コミュニティの個人情報テーブルを取得し、バッファ２７に格納する。
【００４０】
次に、ステップＳ１２４では、匿名性計算部２２２が、ステップＳ１２１で取得した確認要求に含まれる個人情報を個人情報データベース２３に仮登録する。具体的には、匿名性計算部１２２は、個人情報データベース２３から取得した個人情報テーブルに受信した個人情報を追加してバッファ１７に格納する。
図１０は、個人情報データベース２３の個人情報テーブルに公開予定の個人情報を追加したテーブルの一例である。
この図に示す例では、図８に示すデータ例に１行目のデータが追加されている。１行目のデータは、エージェントＩＤ「００１」（情報キャリア「Ａｌｉｃｅ」）の個人情報（休暇中，ｙｅｓ）及び（８月の旅行先，Ｐａｒｉｓ）を表している。
【００４１】
次に、ステップＳ１２５では、匿名性計算部２２２が、ステップＳ１２４で作成したテーブルを用いて受信した個人情報を公開することによる匿名性喪失回避度を算出する。
次に、ステップＳ１２６では、匿名性計算部２２２が、算出した匿名性喪失回避度が匿名性閾値以上であるか否かを判定する。匿名性喪失回避度が匿名性閾値以上である場合には、ステップＳ１２８へ進む。一方、匿名性喪失回避度が匿名性閾値より小さい場合には、ステップＳ１２７へ進む。
【００４２】
ステップＳ１２７では、警告送信部２５が、受信した個人情報により匿名性が低下することを警告する旨を確認要求元のユーザ端末２に通知する。
一方、ステップＳ１２８では、警告送信部２５が、受信した個人情報を公開可能な旨を確認要求元のユーザ端末２に通知する。また、個人情報登録部２４が受信した個人情報を個人情報データベース２３に登録する。
【００４３】
上述したステップＳ１２７において警告が通知された場合であっても、情報キャリア「Ａｌｉｃｅ」が個人情報を公開してもよいと判断したら、ユーザ端末２は、その個人情報の公開要求をプライバシー侵害監視装置２０に送信する。プライバシー侵害監視装置２０では、公開要求受信部２６が公開要求を受信する。そして、個人情報登録部２４が、公開要求に対応する個人情報を個人情報データベース２３に登録する。そして、ユーザ端末２が、公開予定の文章「８月は、休暇を取得し、Ｐａｒｉｓに行きます」をプライバシー監視装置１のＳＮＳ機能部２００に送信して、コミュニティに公開する。
一方、上述したステップＳ１２７において通知された警告に従う場合には、情報キャリア「Ａｌｉｃｅ」の操作によりユーザ端末２は、例えばシソーラスを用いて粒度変更（例：８月→夏）し、再度確認要求をプライバシー侵害監視装置２０に送信する。プライバシー侵害監視装置２０では、粒度変更された個人情報に対して再度匿名性喪失回避度を算出する。
【００４４】
このように、第２の実施形態によれば、同一コミュニティの中で公開した個人情報の重ね合わせによって、エージェントＩＤと情報キャリアとが一意に特定されるといったユーザが意図しないプライバシー侵害を回避することができる。
【００４５】
[第３の実施形態]
次に、この発明の第３の実施形態によるプライバシー侵害監視装置について説明する。第３の実施形態では、第２の実施形態におけるプライバシー侵害監視装置において、複数のコミュニティで公開された個人情報の重ね合わせによるプライバシー侵害を監視する。
図１１は、第３の実施形態におけるプライバシー侵害監視装置が提供するＳＮＳのコミュニティの構成を示す概略図である。この図に示す例では、ＳＮＳには、旅行関係コミュニティと、α社コミュニティと、カメラ関係のコミュニティと、β大学のコミュニティと、が含まれる。エージェントＩＤ「００１」（情報キャリア「Ａｌｉｃｅ」）は、旅行関係コミュニティとα社コミュニティとの２つのコミュニティに属している。
【００４６】
図１２は、第３の実施形態におけるプライバシー侵害監視装置３０の機能構成を示すブロック図である。図１２に示すとおり、プライバシー侵害監視装置３０は、図７に示す構成に加えて、マージ部３２２Ｃを新たに備えている。
第３の実施形態における保護受付部３２１は、エージェントＩＤとともにユーザが属するコミュニティの識別情報を受信する。また、保護対象ユーザ記憶部３２３は、エージェントＩＤに対応させてユーザが属するコミュニティの識別情報を記憶する。組合せ出力部３１４のドメイン判別部３１４Ａは、常に単一のドメインと判別する。また、組合せ出力部３１４のモジュール判別部３１４Ｂは、常に複数のサービスモジュールと判別する。マージ部３２２Ｃは、異なる複数のコミュニティの個人情報テーブルをマージして新たにテーブルを生成する。
他の構成は第２の実施形態と同様なので説明を省略する。
【００４７】
次に、図１３を参照して、第３の実施形態におけるプライバシー侵害監視処理の手順を説明する。図１３は、プライバシー侵害監視処理の手順を示すフローチャートである。以下、情報キャリア「Ａｌｉｃｅ」が旅行関係コミュニティに「８月は、休暇を取得し、Ｐａｒｉｓに行きます」という文章を公開する場合を例にして説明する。なお、保護対象ユーザ記憶部３２３には、予めエージェントＩＤ「００１」に対応してコミュニティ「旅行関係コミュニティ」及び「α社コミュニティ」が登録されている。
【００４８】
まず、ステップＳ２２１では、データ入力部３１１が、確認要求を受信する。本例では、確認要求にエージェントＩＤ「００１」と個人情報（休暇中，ｙｅｓ）及び（８月の旅行先，Ｐａｒｉｓ）が含まれる。
次に、ステップＳ２２２では、匿名性計算部３２２が、受信したエージェントＩＤが保護対象ユーザ記憶部３２３に記憶されているか否かを判定する。エージェントＩＤ保護対象ユーザ記憶部３２３に記憶されている場合には、ステップＳ２２３へ進む。一方、保護対象ユーザ記憶部３２３に記憶されていない場合には、処理を終了する。
【００４９】
ステップＳ２２３では、匿名性計算部３２２が、保護対象ユーザ記憶部３２３を参照して、エージェントＩＤ「００１」が属するコミュニティ（旅行関係コミュニティ及びα社コミュニティ）を判別する。そして、匿名性計算部３２２が、判別したコミュニティ（旅行関係コミュニティ及びα社コミュニティ）の個人情報テーブルを個人情報データベース３３から取得し、バッファ３７に格納する。
次に、ステップＳ２２４では、匿名性計算部３２２が、ステップＳ２３３で取得した複数のコミュニティの個人情報テーブルをマージする。
【００５０】
次に、ステップＳ２２５では、匿名性計算部３２２が、マージした個人情報テーブルにステップＳ２２１で取得した確認要求に含まれる個人情報を追加してバッファ３７に格納する。
図１４は、個人情報テーブルをマージしたテーブルに新たに公開予定の個人情報を追加したテーブルの一例である。
この図において、符号Ａで示すデータが旅行関係コミュニティの個人情報であり、符号Ｂで示すデータがα社コミュニティの個人情報である。また、１行目のデータが新たに公開予定の個人情報である。
【００５１】
次に、ステップＳ２２６では、匿名性計算部３２２が、ステップＳ２２５で作成したテーブルを用いて受信した個人情報を公開することによる匿名性喪失回避度を算出する。
次に、ステップＳ２２７では、匿名性計算部３２２が、算出した匿名性喪失回避度が匿名性閾値以上であるか否かを判定する。匿名性喪失回避度が匿名性閾値以上である場合には、ステップＳ２２９へ進む。一方、匿名性喪失回避度が匿名性閾値より小さい場合には、ステップＳ２２８へ進む。
【００５２】
ステップＳ２２８では、警告送信部３５が、受信した個人情報により匿名性が低下することを警告する旨を確認要求元のユーザ端末２に通知する。
一方、ステップＳ２２９では、警告送信部３５が、受信した個人情報を公開可能な旨を確認要求元のユーザ端末２に通知する。また、個人情報登録部３４が受信した個人情報を個人情報データベース３３に登録する。
他の処理は第２の実施形態と同様なので説明を省略する。
【００５３】
このように、第３の実施形態によれば、コミュニティ毎に異なる個人情報を公開していた場合であっても、ユーザが意図しないプライバシー侵害を回避することができる。
【００５４】
[第４の実施形態]
次に、この発明の第４の実施形態によるプライバシー侵害監視装置について説明する。第４の実施形態では、プライバシー侵害監視装置は、複数のドメインで公開された個人情報の重ね合わせによるプライバシー侵害を監視する。
図１５は、第４の実施形態におけるプライバシー侵害監視システムの構成を示す概略図である。
プライバシー侵害監視システムは、個人情報の重ね合わせについてのプライバシー侵害の監視を行うプライバシー侵害監視装置４０と、ＳＮＳを提供するＳＮＳサーバ５と、ＳＮＳを利用するユーザが使用するユーザ端末６と、ユーザ端末６とＳＮＳサーバ５とプライバシー侵害監視装置４０とは、インターネットを介して接続されており、互いにデータの送受信が行える。第４の実施形態におけるプライバシー侵害監視装置４０は、異なる複数のＳＮＳ間でも共通に使えるエージェントＩＤ（ＯｐｅｎＩＤ（共通のＩＤ））の発行と認証を行うＯｐｅｎＩＤサーバである。なお、各ＳＮＳサーバ５とプライバシー侵害監視装置４０間の通信は、データを暗号化することによりデータ送受信時の安全を確保する。
【００５５】
図１６は、第４の実施形態におけるプライバシー侵害監視装置４０の処理を説明するための図である。
この図に示す例では、情報キャリア「Ａｌｉｃｅ」はＯｐｅｎＩＤ「ＯｐｅｎＡｌｉｃｅＩＤ」を用いて複数のＳＮＳ（図に示す例では、プライベート用ＳＮＳと地域活動用ＳＮＳ）にアクセスすることができる。なお、各ＳＮＳで公開されるエージェントＩＤは異なる。例えば、情報キャリア「Ａｌｉｃｅ」のエージェントＩＤは、プライベート用ＳＮＳでは「００１」であるのに対し、地域活動用ＳＮＳでは「００４」である。
以下、情報キャリア「Ａｌｉｃｅ」が使っている２つのコミュニティを情報キャリア「Ｂｏｂ」も使っている場合を例に説明する。ただし、情報キャリア「Ａｌｉｃｅ」と情報キャリア「Ｂｏｂ」は互いに同じコミュニティを使っていることを知らない。第４の実施形態では、プライバシー侵害監視装置４０は、プライベート用ＳＮＳのエージェントＩＤ「００１」と地域活動用ＳＮＳのエージェントＩＤ「００４」が情報キャリア「Ａｌｉｃｅ」であると特定されないようにするための処理を行う。第４の実施形態では、ＯｐｅｎＩＤが保護したい属性である。
【００５６】
図１７は、第４の実施形態におけるプライバシー侵害監視装置４０の機能構成を示すブロック図である。図１７に示すとおり、プライバシー侵害監視装置４０は、図２に示す構成に加えて、ＯｐｅｎＩＤの発行と認証を行うＯｐｅｎＩＤ機能部４００と、ＳＮＳサーバ５から個人情報テーブルを受信する個人情報受信部４８と、を備えている。また、図２に示す構成から個人情報データベース１３を除いている。
【００５７】
第４の実施形態における保護受付部４２１は、ユーザの識別情報としてＯｐｅｎＩＤとともにユーザが利用しているＳＮＳのドメイン及びコミュニティの識別情報を受信する。また、保護対象ユーザ記憶部４２３は、ＯｐｅｎＩＤに対応させてユーザが属するＳＮＳ及びコミュニティを記憶する。また、組合せ出力部４１４のドメイン判定部４１４Ａは、常に異なるドメインと判定する。
【００５８】
図１８は、第４の実施形態におけるＳＮＳサーバ５の機能構成を示すブロック図である。ＳＮＳサーバ５は、プライバシー侵害監視装置４０に個人情報テーブルを送信する個人情報送信部５１と、個人情報テーブルを記憶する個人情報データベース５２と、ＳＮＳを提供するＳＮＳ機能部５３と、を含んで構成される。
【００５９】
次に、図１９を参照して、第４の実施形態におけるプライバシー侵害監視処理の手順を説明する。図１９は、プライバシー侵害監視処理の手順を示すフローチャートである。以下、情報キャリア「Ａｌｉｃｅ」がプライベート用ＳＮＳの旅行関係コミュニティに「８月は、休暇を取得し、Ｐａｒｉｓに行きます」という文章を公開する場合を例にして説明する。なお、保護対象ユーザ記憶部４２３には、予めＯｐｅｎＩＤ「ＯｐｅｎＡｌｉｃｅＩＤ」に対応してＳＮＳのドメイン「プライベート用ＳＮＳ」及び「地域活動用ＳＮＳ」が登録されている。
【００６０】
まず、ステップＳ３２１では、データ入力部４１１が、確認要求を受信する。本例では、確認要求にＯｐｅｎＩＤ「ＯｐｅｎＡｌｉｃｅＩＤ」と個人情報（休暇中，ｙｅｓ）及び（８月の旅行先，Ｐａｒｉｓ）が含まれる。
次に、ステップＳ３２２では、匿名性計算部４２２が、受信したＯｐｅｎＩＤが保護対象ユーザ記憶部４２３に記憶されているか否かを判定する。ＯｐｅｎＩＤが保護対象ユーザ記憶部４２３に記憶されている場合には、ステップＳ３２３へ進む。一方、ＯｐｅｎＩＤが保護対象ユーザ記憶部４２３に記憶されていない場合には、処理を終了する。
【００６１】
ステップＳ３２３では、匿名性計算部４２２が、保護対象ユーザ記憶部４２３を参照して、ＯｐｅｎＩＤ「ＯｐｅｎＡｌｉｃｅＩＤ」が属するドメイン（「プライベート用ＳＮＳ」及び「地域活動用ＳＮＳ」）及びコミュニティを判別する。そして、個人情報受信部４８が、判別したドメインのＳＮＳサーバ５に対して、判別したコミュニティの個人情報テーブルを要求する。要求を受信したＳＮＳサーバ５の個人情報送信部５１は、個人情報データベース５２から要求のあったコミュニティの個人情報テーブルを取得して、プライバシー侵害監視装置４０に送信する。個人情報受信部４８は、受信した個人情報テーブルをバッファ４７に格納する。
次に、ステップＳ３２４では、匿名性計算部４２２が、ステップＳ２３３で取得した複数のドメインの個人情報テーブルをマージする。
【００６２】
次に、ステップＳ３２５では、匿名性計算部４２２が、マージした個人情報テーブルにステップＳ３２１で取得した確認要求に含まれる個人情報を追加してバッファ４７に格納する。
図２０は、個人情報テーブルをマージしたテーブルに新たに公開予定の個人情報を追加したテーブルの一例である。
この図において、符号Ｃで示すデータがプライベート用ＳＮＳの個人情報であり、符号Ｄで示すデータが地域活動用ＳＮＳの個人情報である。また、１行目のデータが新たに公開予定の個人情報である。
【００６３】
次に、ステップＳ３２６では、匿名性計算部４２２が、ステップＳ３２５で作成したテーブルを用いて受信した個人情報を公開することによる匿名性喪失回避度を算出する。
次に、ステップＳ３２７では、匿名性計算部４２２が、算出した匿名性喪失回避度が匿名性閾値以上であるか否かを判定する。匿名性喪失回避度が匿名性閾値以上である場合には、ステップＳ３２９へ進む。一方、匿名性喪失回避度が匿名性閾値より小さい場合には、ステップＳ３２８へ進む。
【００６４】
ステップＳ３２８では、警告送信部４５が、受信した個人情報により匿名性が低下することを警告する旨を確認要求元のユーザ端末６に通知する。
一方、ステップＳ３２９では、警告送信部４５が、受信した個人情報を公開可能な旨を確認要求元のユーザ端末６に通知する。また、個人情報登録部４４が、受信した個人情報を、当該個人情報を公開するＳＮＳサーバ５に送信して、ＳＮＳサーバ５の個人情報データベース５２に登録する。
他の処理は第２及び第３の実施形態と同様なので説明を省略する。
【００６５】
このように、第４の実施形態によれば、情報キャリア「Ａｌｉｃｅ」と同じＳＮＳのコミュニティを利用している情報キャリア「Ｂｏｂ」がいたとしても、情報キャリア「Ｂｏｂ」はプライベート用ＳＮＳのエージェントＩＤ「００１」と地域活動用ＳＮＳのエージェントＩＤ「００４」が情報キャリア「Ａｌｉｃｅ」であることを特定することが困難となる。
【００６６】
また、図３から６，９，１３，１９に示す各ステップを実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、事前処理、保護対象ユーザ登録処理、プライバシー侵害監視処理、個人情報公開処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。
【００６７】
さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００６８】
以上、図面を参照してこの発明の一実施形態について詳しく説明してきたが、具体的な構成は上述のものに限られることはなく、この発明の要旨を逸脱しない範囲内において様々な設計変更等をすることが可能である。
【図面の簡単な説明】
【００６９】
【図１】第１の実施形態によるプライバシー侵害監視システムの構成を示す概略図である。
【図２】第１の実施形態におけるプライバシー侵害監視装置の機能構成を示すブロック図である。
【図３】第１の実施形態における事前処理の手順を示すフローチャートである。
【図４】第１の実施形態における保護対象ユーザ登録処理の動作を示すシーケンス図である。
【図５】第１の実施形態におけるプライバシー侵害監視処理の手順を示すフローチャートである。
【図６】第１の実施形態における個人情報公開処理の動作を示すシーケンス図である。
【図７】第２の実施形態におけるプライバシー侵害監視装置の機能構成を示すブロック図である。
【図８】第２の実施形態における個人情報データベースが記憶する個人情報テーブルのデータ構造とデータ例を示す概略図である。
【図９】第２の実施形態におけるプライバシー侵害監視処理の手順を示すフローチャートである。
【図１０】個人情報データベースの個人情報テーブルに公開予定の個人情報を追加したテーブルの一例である。
【図１１】第３の実施形態におけるプライバシー侵害監視装置が提供するＳＮＳのコミュニティの構成を示す概略図である。
【図１２】第３の実施形態におけるプライバシー侵害監視装置の機能構成を示すブロック図である。
【図１３】第３の実施形態におけるプライバシー侵害監視処理の手順を示すフローチャートである。
【図１４】個人情報テーブルをマージしたテーブルに新たに公開予定の個人情報を追加したテーブルの一例である。
【図１５】第４の実施形態におけるプライバシー侵害監視システムの構成を示す概略図である。
【図１６】第４の実施形態におけるプライバシー侵害監視装置の処理を説明するための図である。
【図１７】第４の実施形態におけるプライバシー侵害監視装置の機能構成を示すブロック図である。
【図１８】第４の実施形態におけるＳＮＳサーバの機能構成を示すブロック図である。
【図１９】第４の実施形態におけるプライバシー侵害監視処理の手順を示すフローチャートである。
【図２０】個人情報テーブルをマージしたテーブルに新たに公開予定の個人情報を追加したテーブルの一例である。
【図２１】ＳＮＳシステムの構成を示す概略図である。
【図２２】ＳＮＳが提供するコミュニティの概念図である。
【符号の説明】
【００７０】
１，２０，３０，４０…プライバシー侵害監視装置  １１，２１，３１，４１…サービス依存部  １２，２２，３２，４２…サービス非依存部  １３，２３，３３，４３…個人情報データベース  １４，２４，３４，４４…個人情報登録部  １５，２５，３５，４５…警告送信部  １６，２６，３６，４６…公開要求受信部  １７，２７，３７，４７…バッファ  １Ａ，５…ＳＮＳサーバ  １１１，２１１，３１１，４１１…データ入力部  １１２，２１２，３１２，４１２…入力データ検出部  １１３，２１３，３１３，４１３…プライバシー関連属性抽出部  １１４，２１４，３１４，４１４…組合せ出力部  １１４Ａ，２１４Ａ，３１４Ａ，４１４Ａ…ドメイン判別部  １１４Ｂ，２１４Ｂ，３１４Ｂ，４１４Ｂ…モジュール判別部  １２１，２２１，３２１，４２１…保護受付部  １２２，２２２，３２２，４２２…匿名性計算部  １２２Ａ，２２２Ａ，３２２Ａ，４２２Ａ…匿名性定量化部  １２２Ｂ，２２２Ｂ，３２２Ｂ，４２２Ｂ…閾値管理部  １２３，２２３，３２３，４２３…保護対象ユーザ記憶部  ２，２Ａ，６…ユーザ端末  ２００…ＳＮＳ機能部
【図１】
2010097336.tif 000006
【図２】
2010097336.tif 000007
【図３】
2010097336.tif 000008
【図４】
2010097336.tif 000009
【図５】
2010097336.tif 000010
【図６】
2010097336.tif 000011
【図７】
2010097336.tif 000012
【図８】
2010097336.tif 000013
【図９】
2010097336.tif 000014
【図１０】
2010097336.tif 000015
【図１１】
2010097336.tif 000016
【図１２】
2010097336.tif 000017
【図１３】
2010097336.tif 000018
【図１４】
2010097336.tif 000019
【図１５】
2010097336.tif 000020
【図１６】
2010097336.tif 000021
【図１７】
2010097336.tif 000022
【図１８】
2010097336.tif 000023
【図１９】
2010097336.tif 000024
【図２０】
2010097336.tif 000025
【図２１】
2010097336.tif 000026
【図２２】
2010097336.tif 000027