(57)【要約】【課題】データ開示の可否設定の手間を防止すること。【解決手段】本実施の形態によれば、ユーザにより許容された許容単一開示度Ｒ１’の入力を受け付け、サービス端末５から要求された要求データの要素条件を満たし、かつ、当該要素条件を満たすデータの要素を用いて計算された単一開示度Ｒ１が上記許容単一開示度Ｒ１’を超えないデータの要素の組み合わせを決定し、決定された組み合わせのデータの要素に基づいてセンサ系機器３から出力されたデータを制御して送信する。【選択図】図１
2014153989.tif 000002
【特許請求の範囲】
【請求項１】
ユーザのセンサ系機器から出力されたデータの開示度を制御するデータ開示度制御装置において、
前記データの１回の開示によるユーザ情報の開示度合いを示す単一開示度であって、前記ユーザにより許容された許容単一開示度を入力して記憶手段に記憶する入力手段と、
外部から要求された要求データの要素条件を満たし、かつ、当該要素条件を満たすデータの要素を用いて計算された前記単一開示度が前記許容単一開示度を超えないデータの要素の組み合わせを決定する決定手段と、
決定された組み合わせのデータの要素に基づいて前記センサ系機器から出力されたデータを制御して前記外部に送信する送信手段と、
を有することを特徴とするデータ開示度制御装置。
【請求項２】
前記入力手段は、前記データの複数回の開示によるユーザ情報の開示度合いを示し、前記ユーザにより許容された許容累積開示度を更に入力し、
前記送信手段は、
前記外部への複数回の送信による前記単一開示度の累積値が前記許容累積開示度を超える場合、前記送信を中止することを特徴とする請求項１記載のデータ開示度制御装置。
【請求項３】
前記決定手段は、
前記データの種類毎の、前記データの種類の重要度と、前記センサ系機器が観測するデータの観測時間間隔と、前記センサ系機器が１回で出力するデータの数と、前記データの時間的鮮度とに基づいて計算した値を前記データの種類分で合計し、当該合計値を前記単一開示度とすることを特徴とする請求項１又は２記載のデータ開示度制御装置。
【請求項４】
前記決定手段は、
前記合計値を送信されたデータの送信回数分で更に合計した値を前記単一開示度の累積値とすることを特徴とする請求項３記載のデータ開示度制御装置。
【請求項５】
前記送信手段は、
ユーザがデータの送信を許可する場合、前記単一開示度の累積値をリセットして前記送信を再開することを特徴とする請求項２又は４に記載のデータ開示度制御装置。
【請求項６】
ユーザのセンサ系機器から出力されたデータの開示度を制御するデータ開示度制御方法において、
コンピュータにより、
前記データの１回の開示によるユーザ情報の開示度合いを示す単一開示度であって、前記ユーザにより許容された許容単一開示度を入力して記憶手段に記憶する入力ステップと、
外部から要求された要求データの要素条件を満たし、かつ、当該要素条件を満たすデータの要素を用いて計算された前記単一開示度が前記許容単一開示度を超えないデータの要素の組み合わせを決定する決定ステップと、
決定された組み合わせのデータの要素に基づいて前記センサ系機器から出力されたデータを制御して前記外部に送信する送信ステップと、
を有することを特徴とするデータ開示度制御方法。
【請求項７】
コンピュータを請求項１乃至５のいずれかに記載のデータ開示度制御装置として機能させるためのデータ開示度制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザのセンサ系機器から出力されたデータの開示度を制御する技術に関する。
【背景技術】
【０００２】
センサ系機器から出力されたデータをユーザ宅外のサービス提供者に送信し、そのサービス提供者のサービス端末から当該データを利用した所定のサービスを受けることができる。
【０００３】
そのようなサービスを受けるに際し、（１）ユーザは各データの開示可否を設定し、サービス提供者は開示可に設定されたデータのみを受信し、それを用いてサービスを提供する方法や、（２）ユーザはｋ−匿名性やｌ−多様性を用いて各データを当該各データからユーザを特定できないような形式に変更して送信し、サービス提供者はそれを用いてサービスを提供する方法が用いられる。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】山田智広、外５名、“集合的なライフログの利用を可能とするシステムアーキテクチャの検討”、電子情報通信学会、技術研究報告、LOIS2009-8、109(39)、2009年、p.113-118
【非特許文献２】浜本一知、外２名、“ユーザ背景情報及びコミュニティ状況を考慮した匿名度制御によるプライバシ保護エージェントの提案”、電子情報通信学会、論文誌D、Vol.J94-D、No.11、2011年、p.1812-1823
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、センサ系機器やサービスの数や種類が増加すると、各センサ系機器と各サービスの組み合わせ毎にデータの開示可否を設定することになるため、その設定の手間が増加してしまう。
【０００６】
また、データを匿名化するため、ユーザの自宅に直接何かを配達するようなサービス、つまりユーザに直接リーチするようなサービスを提供することは難しかった。
【０００７】
本発明は、上記事情を鑑みてなされたものであり、データ開示の可否設定の手間を防止することを主たる目的とする。
【課題を解決するための手段】
【０００８】
請求項１記載のデータ開示度制御装置は、ユーザのセンサ系機器から出力されたデータの開示度を制御するデータ開示度制御装置において、前記データの１回の開示によるユーザ情報の開示度合いを示す単一開示度であって、前記ユーザにより許容された許容単一開示度を入力して記憶手段に記憶する入力手段と、外部から要求された要求データの要素条件を満たし、かつ、当該要素条件を満たすデータの要素を用いて計算された前記単一開示度が前記許容単一開示度を超えないデータの要素の組み合わせを決定する決定手段と、決定された組み合わせのデータの要素に基づいて前記センサ系機器から出力されたデータを制御して前記外部に送信する送信手段と、を有することを要旨とする。
【０００９】
請求項２記載のデータ開示度制御装置は、請求項１記載のデータ開示度制御装置において、前記入力手段は、前記データの複数回の開示によるユーザ情報の開示度合いを示し、前記ユーザにより許容された許容累積開示度を更に入力し、前記送信手段は、前記外部への複数回の送信による前記単一開示度の累積値が前記許容累積開示度を超える場合、前記送信を中止することを要旨とする。
【００１０】
請求項３記載のデータ開示度制御装置は、請求項１又は２記載のデータ開示度制御装置において、前記決定手段は、前記データの種類毎の、前記データの種類の重要度と、前記センサ系機器が観測するデータの観測時間間隔と、前記センサ系機器が１回で出力するデータの数と、前記データの時間的鮮度とに基づいて計算した値を前記データの種類分で合計し、当該合計値を前記単一開示度とすることを要旨とする。
【００１１】
請求項４記載のデータ開示度制御装置は、請求項３記載のデータ開示度制御装置において、前記決定手段は、前記合計値を送信されたデータの送信回数分で更に合計した値を前記単一開示度の累積値とすることを要旨とする。
【００１２】
請求項５記載のデータ開示度制御装置は、請求項２又は４に記載のデータ開示度制御装置において、前記送信手段は、ユーザがデータの送信を許可する場合、前記単一開示度の累積値をリセットして前記送信を再開することを要旨とする。
【００１３】
請求項６記載のデータ開示度制御方法は、ユーザのセンサ系機器から出力されたデータの開示度を制御するデータ開示度制御方法において、コンピュータにより、前記データの１回の開示によるユーザ情報の開示度合いを示す単一開示度であって、前記ユーザにより許容された許容単一開示度を入力して記憶手段に記憶する入力ステップと、外部から要求された要求データの要素条件を満たし、かつ、当該要素条件を満たすデータの要素を用いて計算された前記単一開示度が前記許容単一開示度を超えないデータの要素の組み合わせを決定する決定ステップと、決定された組み合わせのデータの要素に基づいて前記センサ系機器から出力されたデータを制御して前記外部に送信する送信ステップと、を有することを要旨とする。
【００１４】
請求項７記載のデータ開示度制御プログラムは、コンピュータを請求項１乃至５のいずれかに記載のデータ開示度制御装置として機能させることを要旨とする。
【発明の効果】
【００１５】
本発明によれば、データ開示の可否設定の手間を防止することができる。
【図面の簡単な説明】
【００１６】
【図１】データ開示度制御装置の機能ブロック構成を示す図である。
【図２】機器情報の例を示す図である。
【図３】ユーザ情報の例を示す図である。
【図４】サービス提供者情報の例を示す図である。
【図５】データ開示度制御装置の全体動作フローを示す図である。
【図６】図５のシーケンスを示す図である。
【図７】図５のステップＳ４の動作フローを示す図である。
【図８】実施例１を説明する際の参照図である。
【図９】機器情報の例を示す図である。
【図１０】ユーザ情報の例を示す図である。
【図１１】サービス提供者情報の例を示す図である。
【図１２】実施例２を説明する際の参照図である。
【図１３】ユーザ情報の例を示す図である。
【図１４】サービス提供者情報の例を示す図である。
【図１５】ユーザ情報の例を示す図である。
【図１６】サービス提供者情報の例を示す図である。
【発明を実施するための形態】
【００１７】
本発明では、ユーザのセンサ系機器から出力されるデータについて、そのデータの開示度を、データの持つ要素（データの種類、データの観測時間間隔、データの時間的鮮度、１回で送られるデータの送信数、複数データ系列間の関係性、データの時系列変化の度合い等）を用いて指標化している。
【００１８】
そして、許容し得るデータの許容開示度をユーザに予め設定させておき、センサ系機器からデータを受信すると、そのデータをサービス提供者へ送信する前に、許容開示度の設定範囲内において当該サービス提供者からのデータ要求条件情報（要求データの種類、要求データの観測時間間隔、要求データの時間的鮮度、要求データの送信数等）を可能な限り満たせるよう、データの量・内容・送信方法を変更するようにしている。
【００１９】
以下、本発明を実施する一実施の形態について図面を用いて説明する。但し、本発明は多くの異なる様態で実施することが可能であり、本実施の形態の記載内容に限定して解釈すべきではない。
【００２０】
〔データ開示度制御装置の構成について〕
最初に、データ開示度制御装置１の構成について説明する。図１は、データ開示度制御装置１の機能ブロック構成を示す図である。このデータ開示度制御装置１は、データ受信部１１と、キャッシュメモリ１２と、機器情報保持部１３と、開示度計算・決定部１４と、データ送信部１５と、ユーザ情報保持部１６と、サービス提供者情報保持部１７とを備えている。以下、各機能部の機能について説明する。
【００２１】
データ受信部１１は、センサ系機器３から出力されたデータ（計測値や計測信号等）を受信し、キャッシュメモリ１２に保存するか、データ送信部１５にそのまま送信する。どちらかの処理を行うかは個別具体的な実施形態によって決定される。また、センサ系機器３から今まで定期的に受信していたデータが送信されなくなった場合にはそれを検知し、その旨を機器情報保持部１３に通知する。
【００２２】
尚、センサ系機器３とは、例えば、室温センサ、加速度センサ、火災報知機、人感センサ等である。また、データ開示度制御装置１には、各センサ系機器３と通信するためのドライバプログラムが動作しているものとする。
【００２３】
キャッシュメモリ１２は、データ受信部１１から送信されたデータを受け取り、保持する。また、開示度計算・決定部１４やデータ送信部１５からの要求に応じて、保持していたデータをデータ送信部１５へ送信する。
【００２４】
機器情報保持部１３は、センサ系機器３に関する機器情報を保持する。機器情報とは、図２に示すように、例えば、センサ系機器３を識別するための機器ＩＤと、センサ系機器３が観測し出力するデータの種類と、当該データの種類の重要さ（その種類が同じ場合には、センサ系機器３の重み付け係数に相当）と、センサ系機器３が観測するデータの観測時間間隔との４つのフィールドで構成される。
【００２５】
尚、機器情報については、必要に応じて任意のフィールドを新たに定義して追加しても構わない。このような機器情報は、ユーザが予め手動で入力しておいても構わないし、ＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ  Ｐｌｕｇ  ａｎｄ  Ｐｌａｙ）のような設定情報自動取得手段を用いて取得しても構わない。
【００２６】
また、データの種類とは、例えば、温度、加速度、ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）座標、人感センサの反応情報等である。センサ系機器３が観測して送信できる物理量や信号の種類であれば、どのようなものでも構わない。
【００２７】
開示度計算・決定部１４は、機器情報保持部１３の機器情報と、ユーザ情報保持部１６のユーザ情報と、サービス提供者情報保持部１７のサービス提供者情報とを入力とし、サービス提供者へ送信するデータの量・内容・送信方法をサービス提供者毎に決定し、決定されたデータ制御情報をデータ送信部１５に送信する。
【００２８】
データ送信部１５は、キャッシュメモリ１２から必要なデータを取り出し、又はデータ受信部１１から送られてきたデータを受け取って、そのデータ制御情報に応じた制御処理（例えば、間引き処理、補間処理等）を実行した後に、サービス提供者のサービス端末５へ送信する。
【００２９】
尚、サービス提供者とは、例えば、通報サービス事業者、遠隔地の家族、近隣の知人等である。また、データ送信部１５は、その内部処理で複数のスレッドを生成し、制御処理後の各データを時間並列的に複数のサービス端末５にそれぞれ送信しても構わない。
【００３０】
ユーザ情報保持部１６は、ユーザによってユーザ端末７で入力され、設定されたユーザ情報を保持する。ユーザ情報とは、図３に示すように、例えば、ユーザが許容するデータの開示度（許容単一開示度、許容累積開示度）と、単一開示度の計算時に利用される、データの送信数に対する重み付け係数ｗ１とデータの観測時間間隔に対する重み付け係数ｗ２とデータの時間的鮮度に対する重み付け係数ｗ３と、累積開示度の計算時に利用される、データの送信数に対する重み付け係数ｖ１とデータの観測時間間隔に対する重み付け係数ｖ２とデータの時間的鮮度に対する重み付け係数ｖ３とである。
【００３１】
尚、これらの値は、最低限ユーザ１人に対し１種類存在し、特定のサービス提供者に対して独自の値を設定するようにしても構わない。また、データ要求条件情報に含まれるべき要素条件の値が一部不在の場合に初期値として使用するため、単位時間と単位個数と最大探索回数とを更に含むようにしても構わない。
【００３２】
サービス提供者情報保持部１７は、サービス提供者によってサービス端末５で入力され、送信されたサービス提供者情報を保持する。サービス提供者情報とは、図４に示すように、例えば、サービス提供者を識別するサービス提供者ＩＤと、サービス提供者の氏名又は名称と、データ要求条件情報と、サービス事業者へ今まで送信したデータの送信回数とである。
【００３３】
尚、データ要求条件情報とは、サービス提供者がサービス提供時に必要とするデータの要素条件の集合であり、具体的には、要求データの種類と、要求データの観測時間間隔と、要求データの時間的鮮度と、要求データの送信数（１回で送られるデータの送信数）との４つの条件要素で構成される。
【００３４】
また、サービス提供者情報保持部１７は、データ要求条件情報内の各条件要素と、各サービス提供者に対する今までのデータ送信回数と、ユーザの許容開示度とを積算することにより、各サービス提供者への実際のデータ開示度を算出するための開示度係数をサービス提供者情報に更に保持しても構わない。この開示度係数は、その値が高いほどそのサービス提供者へは許容開示度が大きくなることを示している。
【００３５】
〔開示度の定義について〕
次に、データの開示度の定義について説明する。サービス提供者へデータを送信する際、そのデータの量・内容・送信方法によってどれだけユーザのプライバシが開示されるかを以下のように指標化する。
【００３６】
まず、データ又はデータ列を１回送信することによるユーザのプライバシの開示リスクを単一開示度Ｒ１とし、以下の式（１）を用いて指標化する。
【数１】
2014153989.tif 000003
【００３７】
但し、ｘｉはデータの種類ｉの重要さ（重み）であり、Δｔはデータの観測時間間隔であり、ｎは１回で送られるデータの送信数（センサ系機器３が同時に観測し送信した値又は値のセット数）であり、ｆは全データの時間的平均鮮度（観測時刻と現時刻の差）であり、ｗ１（０≦ｗ１≦１）は１回で送られるデータの送信数に対する重みであり、ｗ２（０≦ｗ２≦１）はデータの観測時間間隔に対する重みであり、ｗ３（０≦ｗ３≦１）は全データの時間的平均鮮度に対する重みである。
【００３８】
式（１）は、データの種類ｉ毎の重みｘｉや１回で送られるデータの送信数ｎが大きくなるほど、単一開示度Ｒ１は高く、つまり開示される度合いが大きくなることを意味している。逆に、データの観測時間間隔Δｔや時間的平均鮮度ｆが大きくなるほど、単一開示度Ｒ１が低く、つまり開示度が小さくなることを意味している。
【００３９】
次に、継続してデータを送信し続けた際、送信され続けた全てのデータによって開示されたユーザのプライバシの開示リスクを累積開示度Ｒ２とし、以下の式（２）を用いて指標化する。
【数２】
2014153989.tif 000004
【００４０】
但し、ｘｉ，ｋはｋ回目に送信したデータの種類ｉの重要さ（重み）であり、Δｔｋはｋ回目に送信したデータの観測時間間隔であり、ｎｋはｋ回目に送信したデータの送信数であり、ｆｋは１回目に送信したデータからｋ回目に送信したデータまでの全データの現在時刻における時間的平均鮮度であり、Ｋは現時点までのデータ送信の合計回数であり、ｋはデータ送信の順番であり、ｖ１（０≦ｖ１≦１）は１回で送られるデータの送信数に対する重みであり、ｖ２（０≦ｖ２≦１）はデータの観測時間間隔に対する重みであり、ｖ３（０≦ｖ３≦１）は全データの時間的平均鮮度に対する重みである。
【００４１】
この累積開示度Ｒ２は、式（１）の単一開示度Ｒ１の和の形で構成され、同じ相手に対してデータを繰り返し送信することで単調増加するが、過去の送信データは時間的平均鮮度ｆが低下することによって、増加量が徐々に減少する指標となる。
【００４２】
これらの式を用いて開示度を指標化することにより、プライバシの開示リスクを計算機上で抑制することが可能となり、センサ系機器３から出力されたデータを要求されたデータの要素条件に該当するようにデータの量・内容・送信方法を自動的に制御することが可能となる。
【００４３】
〔データ開示度制御装置の動作について〕
次に、データ開示度制御装置１の動作について説明する。本動作は、（１）ユーザ情報の設定・サービス提供者情報の取得・機器情報の取得、（２）送信するデータの量・内容・送信方法の決定、（３）継続的なデータ送信の判定と送信、の３つのフェーズに分かれている。全体の動作フローを図５に示し、そのシーケンスを図６に示す。
【００４４】
まず、１つ目のフェーズについて説明する。
【００４５】
最初に、ユーザ情報保持部１６が、ユーザにより許容された、１回で送るデータに対する許容単一開示度Ｒ１’と、全送信データに対する許容累積開示度Ｒ２’との入力を受け付け、それらを関連付けてユーザ情報として保持する。また、それと共に、ユーザ又はデータ開示度制御装置１やセンサ系機器３の提供者若しくはメンテナンス業者等により入力された、各重み付け係数ｗ１，ｗ２，ｗ３，ｖ１，ｖ２，ｖ３の入力も受け付けて、それらを更に関連付けてユーザ情報に追加して保持する（ステップＳ１）。
【００４６】
尚、各重み付け係数ｗ１，ｗ２，ｗ３，ｖ１，ｖ２，ｖ３が入力されず、未保持（ｎｕｌｌ）のまま以下の動作が開始された場合には、それらの値が参照された時点で各値に１．０をそれぞれ代入した上で動作する。
【００４７】
次に、サービス提供者情報保持部１７が、サービス提供者により入力された、サービス提供者の名前や支援内容と、データ要求条件情報（要求データの種類、要求データの観測時間間隔、要求データの時間的鮮度、要求データの送信数）とを取得して、それらを関連付けてサービス提供者情報として保持する（ステップＳ２）。
【００４８】
尚、予め用意したデフォルトの初期値を用いても構わないため、データ要求条件情報内の各条件要素が全て予め定義されている必要はない。また、「要求データの観測時間間隔＝ｘ秒」のような等式での要求条件だけでなく、「要求データの観測時間間隔＜ｙ秒」（例えば、３秒以下）のような不等式による要求条件でも構わない。
【００４９】
続いて、機器情報保持部１３が、自動取得手段又はユーザ若しくはサービス提供者による手動入力により、センサ系機器３からその機器情報（機器ＩＤ、データの種類、データの種類の重要さ、データの観測時間間隔）を取得して保持する（ステップＳ３）。
【００５０】
続いて、２つ目のフェーズについて説明する。
【００５１】
その後、開示度計算・決定部１４は、サービス端末５から送信されたデータ要求条件情報内の要素条件を満たし、かつ、当該要素条件を満たすデータの要素を用いて計算された単一開示度が許容単一開示度を超えないデータの要素の組み合わせを決定する（ステップＳ４）。
【００５２】
具体的には、データ要求条件情報内の条件要素群と機器情報内のデータの種類及びデータの観測時間間隔との範囲内において、その範囲に含まれるデータの要素群を用いて単一開示度Ｒ１を計算し、許容単一開示度Ｒ１’を超えないデータ要素の組み合わせを探索し、その組み合わせをデータ制御情報として、つまり、サービス端末５に送信するデータの量・内容・送信方法としてサービス提供者毎に決定する。以下、図７を参照しながら、その手順の具体例について説明する。
【００５３】
まず、サービス端末５に送信するデータの種類とデータの観測時間間隔とデータの時間的鮮度とデータの送信数（１回で送られるデータの送信数）との４つの要素のうち、データ要求条件情報（要求データの種類、要求データの観測時間間隔、要求データの時間的鮮度、要求データの送信数）において等式で指定されている要素については、そこで指定された値を単一開示度Ｒ１の変数値に決定する（ステップＳ４−１）。
【００５４】
次に、ステップＳ４−１でデータの種類が決定されているか否かを判定し（ステップＳ４−２）、決定されていなかった場合には、機器情報内の機器ＩＤから求められる全てのデータの種類の組み合わせをデータの種類の候補とする（ステップＳ４−３）。図２の場合には、機器ＩＤとして「１」と「２」と「１，２」との３つがデータの種類の候補とされる。以下、ここで決定された各候補のそれぞれについて以降の計算をそれぞれ行う。
【００５５】
次に、ステップＳ４−１で決定されなかった要素（データ要求条件情報において不等式で指定又は未指定）のうち、データ要求条件情報において不等式を用いて指定されている要素については、その不等式における境界の値を単一開示度Ｒ１の変数値に決定する（ステップＳ４−４）。例えば、Δｔ≦５（分）であれば５と決定し、Δｔ＜５（分）であればユーザ情報内の単位時間（図３）を用いて０．１（＝４．９）（分）と決定する。
【００５６】
次に、ステップＳ４−１〜ステップＳ４−４で決定されなかった残りの要素（データ要求条件情報において未指定）については、任意に決定した初期値を単一開示度Ｒ１の変数値とする（ステップＳ４−５）。例えば、初期値を決定する要素がデータの送信数であれば、ユーザ情報内の単位個数を初期値に決定する。また、データの観測時間間隔やデータの時間的鮮度であれば、ユーザ情報内の単位時間を各初期値にそれぞれ決定する。
【００５７】
次に、ステップＳ４−５で初期値が与えられた各要素について、データ要求条件情報の不等式を満たす範囲内で、要素がデータの送信数であれば、ユーザ情報内の単位個数の値ずつ変化させ、要素がデータの観測時間間隔やデータの時間的鮮度であれば、ユーザ情報内の単位時間の値ずつそれぞれ変化させた値を、ユーザ情報内の最大探索回数分だけ算出し、候補とする（ステップＳ４−６）。例えば、最大探索回数が１００、単位個数が１、要求データの送信数の初期値が１の場合、１，２，３，４，…，１００が候補となる。
【００５８】
次に、ステップＳ４−１〜ステップＳ４−６で決定された各変数値をデータ制御情報の候補値（データの種類、データの観測時間間隔、データの時間的鮮度、データの送信数の４要素に対する候補値）とし、その候補値の全ての組み合わせとユーザ情報内の各重み付け係数ｗ１，ｗ２，ｗ３とを式（１）に代入し、それぞれの候補値の組み合わせによる単一開示度Ｒ１を計算して、ユーザが許容する許容単一開示度Ｒ１’と比較する（ステップＳ４−７）。
【００５９】
その後、許容単一開示度Ｒ１’を超えていない単一開示度Ｒ１の算出元（候補値の組み合わせ）が存在するか否かを判定し（ステップＳ４−８）、そのような算出元がなかった場合には、サービス端末５へ送信するデータの量・内容・送信方法は決定できなかったとする（ステップＳ４−９）。
【００６０】
一方、そのような算出元があった場合には、その組み合わせの中で最適となる組み合わせを任意のアルゴリズムによって１つ選択し、データ制御情報（データの種類、データの観測時間間隔、データの時間的鮮度、データの送信数の４要素）を決定する（ステップＳ４−１０）。これにより、サービス端末５へ送信するデータの量・内容・送信方法が決定される。
【００６１】
例えば、最もユーザの許容単一開示度Ｒ１’に近い値となる組み合わせを、送信するデータの量・内容・送信方法として決定する方法が挙げられる。後述する各実施例についても同様である。該当する組み合わせが複数あった場合には、ユーザ端末７を通じてユーザの候補を提示し、ユーザに選択させるようにしても構わないし、ステップＳ４−６で最も早く若しくは最も遅く探索された組み合わせにしても構わない。
【００６２】
続いて、ステップＳ４の後、開示度計算・決定部１４は、データの量・内容・送信方法が決定できたか否かを判定し（ステップＳ５）、決定できなかった場合には、データの送信を中止し、ユーザ端末７に警告情報を送信してフィードバック表示する（ステップＳ１０）。
【００６３】
続いて、最後のフェーズについて説明する。
【００６４】
次に、開示度計算・決定部１４は、決定した送信データの量・内容・送信方法でデータを送信する前に、サービス提供者毎に、そのデータをサービス提供者に送った場合の累積開示度Ｒ２（つまり、サービス端末５へ繰り返し送信したことによる単一開示度Ｒ１の累積値）を、決定した４要素の値とユーザ情報内の各重み付け係数ｖ１，ｖ２，ｖ３とを式（２）に代入して計算する（ステップＳ６）。
【００６５】
続いて、開示度計算・決定部１４は、計算された累積開示度Ｒ２が許容累積開示度Ｒ２’を越えるか否かを判定し（ステップＳ７）、その許容累積開示度Ｒ２’を超えてしまう場合には、ステップＳ１０に進んでそのサービス提供者に対するデータ送信を中止し、ユーザ端末７に警告情報を送信する。
【００６６】
一方、データを送信しても許容累積開示度Ｒ２’を超えない場合には、開示度計算・決定部１４は、ステップＳ４で決定したデータ制御情報に基づいてデータを制御するようデータ送信部１５に指示し、データ送信部１５は、キャッシュメモリ１２から取り出したデータ又はデータ受信部１１からそのまま送られてきたデータを、当該データ制御情報に基づいてデータの量・内容・送信方法を変更した後に、サービス端末５に送信する（ステップＳ８）。
【００６７】
その後、ステップＳ４で決定した「データの観測時間間隔×データの送信数」の時間だけ待機した後（ステップＳ９）にステップＳ６に戻り、データを再度送って良いか否かを再び判定する。
【００６８】
ここで、補足説明をしておく。データの観測時間間隔とは、送信する個々のデータ（観測値）の時間間隔である。例えば、１０時００分に２６度、１０時０１分に２７度、…というデータの場合、観測時間間隔は１分である。
【００６９】
また、データの送信数とは、一度に送信するデータ（観測値）の個数である。例えば、データ数が５の場合、１０時００分に２６度、１０時０１分に２７度、…、１０時０４分に２５度という５つのデータをまとめて送信する。
【００７０】
ゆえに、データの観測時間間隔とデータの送信数を乗算すると、サービス提供者にとってデータを送信する時間間隔となる。例えば、１分毎のデータの場合、１０時００分から１０時０４分までの５個のデータを１０時０４分に送った後、次に送るのはデータ数が５個になる１０時０９分であり、１０時０５分−１０時０９分のデータを送る。この２回のデータ送信動作の間は５分開いており、これは観測時間間隔（１分）とデータ数（５個）の積である。
【００７１】
引き続き、データ開示度制御装置１の具体的な実施例について説明する。
【００７２】
（実施例１：見守りサービス加入）
実施例１では、図８を参照しながら、見守りサービス加入の場合について説明する。
【００７３】
ユーザはあまり自分の状況を詳しく知られたくないと思っているが、漠然と見守りサービスが必要だと思っており、一方、当該ユーザを見守るサービス側は５分毎の状況をできる限り遅延なく（鮮度を保って）、例えば０．１秒の遅延で知る必要がある場合を例とする。
【００７４】
図９のような機器情報を持ち、ユーザが図１０のように許容単一開示度Ｒ１’を０．１と入力すると、データ開示度制御装置１は、見守りサービス側から図１１のようなデータ要求条件情報（要求データの観測時間間隔Δｔ＝５分毎、要求データの時間的平均鮮度ｆ＝０．１分）を受け、両方の要求を満たせるデータの量・内容・送信方法を式（１）より算出する。
【００７５】
その結果、例えば、温度センサ（データの種類の重要さｘｉ＝０．３）を対象として、データの送信数ｎを１で計算すると、単一開示度Ｒ１＝０．３×（（１．０×１）／（１．０×５＋１．０×０．１））≒０．０５９となるため、温度センサのデータでかつその送信数が１であれば、５分毎かつ時間的鮮度０．１分で観測・送信できると判断し、見守りサービス側に送信する。
【００７６】
これによりサービス提供者側の要求を満たしつつ、ユーザにとって過剰にプライバシに当たるデータを発信することなく、サービスを提供することができる。尚、加速度センサや人感センサの場合、単一開示度Ｒ１の計算結果は０．１を超えるため、それらのデータは送信しない。
【００７７】
（実施例２：機器トラブル時の自動対応）
実施例２では、図１２を参照しながら、機器トラブル時の自動対応の場合について説明する。
【００７８】
図１３のようなユーザ情報を持つユーザは、遠くの知人に対し、人感センサのデータを１時間毎に時間的鮮度を１分以内で送信していた。その際の単一開示度Ｒ１は、機器情報を図９とすると、Ｒ１＝０．９×（（１．０×１）／（１．０×６０＋１．０×１））≒０．０１４７５である。
【００７９】
しかし、何らかの理由で人感センサが故障してしまった場合、データ開示度制御装置１は、データ受信部１１で送信パケットをチェックし、観測値を含む送信パケットが「今まで送信していた時間間隔×ｍ秒以上（ｍは任意の整数。デフォルト値は１０であり、ユーザ端末７を用いて設定可能。）」届いてないことを感知し、故障を判断して機器情報の人感センサの「データの種類の重要さ」を０に更新する。
【００８０】
その後、開示度計算・決定部１４は、人感センサの故障分を補い、同じ開示度である０．０１４７５に限りなく近くなるようなデータを送信可能なセンサ系機器３と、その送る量・内容・送信方法を再度探索し、決定する。
【００８１】
その結果、図１４のように、要求データの時間的鮮度が１分、要求データの観測時間間隔が６０分以内という要求の下で、「データの種類の重要さ」が人感センサより低い加速度センサのデータでも、４６分毎であれば、単一開示度Ｒ１＝０．７×（（１．０×１）／（１．０×４６＋１．０×１））≒０．０１４８９となるため、最も元の開示度に近い開示度で送信できると決定する。
【００８２】
そして、その決定内容（データの種類＝加速度データ、データの観測時間間隔＝４６分、データの時間的鮮度＝１分、データの送信数＝１個）で、定期的な送信を再開する。
【００８３】
（実施例３：見守りサービスに向けた開示度の算出式の改良）
実施例３では、見守りサービスに向けた開示度の算出式の改良方法について説明する。
【００８４】
例えば、室温センサと人感センサがある場合、（１）２種類のデータの相関係数が高いほど、家の中にいることが確実にわかってしまう、（２）変化の度合いが大きいデータほど、何かしらの特異点と判断し、そこから何かしらユーザの行動などが特定されてしまう、といった要素がユーザのプライバシの開示に影響すると考えられる。
【００８５】
そこで、式（１）の単一開示度Ｒ１と式（２）の累積開示度Ｒ２をそれぞれ以下のように改良する。
【数３】
2014153989.tif 000005
【数４】
2014153989.tif 000006
【００８６】
但し、ｒｉ，ｉ‐αはデータの種類ｉとｉ‐αの相関係数（但し、ｒ１０＝０）であり、ｓｉはデータの種類ｉの標準偏差である。また、各重み付け係数ｗ１，ｗ２，ｗ３，ｖ１，ｖ２，ｖ３に更に付与された添え字ｓは、あるサービス提供者を意味している。
【００８７】
式（３）に用いた相関係数や標準偏差は、それぞれ複数のデータ系列間における関係性や、データの時系列内での変化の度合いを測る指標の一例として用いたものであり、類似の概念を測定できる他の指標を用いても構わない。
【００８８】
尚、ｒｉ，ｉ‐αやｓｉは、式（３）で用いる場合には、図５のステップＳ１で許容開示度と共にユーザが入力し、ユーザ情報内に保持しておく。また、式（４）で用いる場合には、まず、データをサービス提供者へ送信すると同時にキャッシュへメモリ１２に保持しておき、そして、ｋ回目のデータ送信を行う際、図５のステップＳ６において、キャッシュメモリ１２からk−１回目までに送信した当該データを開示度計算・決定部１４が取得し、そのデータを用いてｒｉ，ｉ‐αとｓｉを算出した上で式（４）に代入する。
【００８９】
例えば、ｋ＝１０回目にデータの種類１，２を同時に送信する際、１〜９回目の送信データが、データ種類１が（２０，２１，２０，１８，１７，１８，２２，２０，１９）であり、データ種類２が（５，４，２，３，０，１，２，０，３）であったとする。この場合、ステップＳ６の時点で、これら２つのデータ列を用いてｒ１２＝０．３７、ｓ１＝１．５９、ｓ２＝１．７２と計算する。
【００９０】
（実施例４：ユーザへの警告とそのインタラクション）
実施例４では、ユーザへの警告とそのインタラクションについて説明する。
【００９１】
図５のステップＳ１０において、ユーザへ警告情報を送信すると共にデータの送信を中止するが、ここで、ユーザへ契約の延長（つまり、データ送信の許可・不許可）を求めるメッセージをユーザ端末７上で表示し、延長の有無を選択させるようにする。
【００９２】
延長しない場合には、データの送信を中止した当該サービス提供者へのデータ送信は中止したままとする。一方、延長する場合には、当該サービス提供者の累積開示度を０にリセットし、図５のステップＳ１から再び動作を開始してデータ送信を再開する。
【００９３】
累積開示度を０に戻すことにより、いつかはサービス提供者に対する累積開示度が許容値に達してしまい、必ずデータ送信が中止又は停止してしまう現象が起こっても、サービスを継続して利用できるようになり、同時にユーザが自身にとって良いサービス、悪いサービスの選別を簡単に行うことが可能となる。
【００９４】
また、この際、あるサービス提供者の累積開示度をリセットしたことにより、サービス提供者を信頼したと判断し、開示度計算・決定部１４がユーザ情報内の許容単一開示度と許容累積開示度の値を、事前にユーザ端末７を通じてユーザ等に入力してもらった設定値よりも大きな値（例えば、＋１０％）に書き換えるような動作を行うことにより、ユーザとサービス提供者間の信頼関係構築を動作に自動的に反映することが可能になる。
【００９５】
（実施例５：サービス提供者毎に異なる設定）
実施例５では、サービス提供者毎に異なる設定を行う場合ついて説明する。
【００９６】
ここでは、開示度を計算する際に用いる式（１）と式（２）の各重み付け変数をサービス提供者毎に設定可能としている。
【００９７】
具体的には、まず、各重み付け係数ｗ１，ｗ２，ｗ３，ｖ１，ｖ２，ｖ３について、特定のサービス提供者に対して独自の値も設定できるようするため、図５のステップＳ１の段階で、例えば、ＩＤ＝２のサービス提供者に対してユーザがｗ１．２と設定し、図１５のようなユーザ情報を保持する。
【００９８】
また、サービス提供者毎に許容開示度に差をつけるため、単一開示度係数αｓと累積開示度係数βｓを新たに設定できるようにし、ユーザがユーザ端末７を通じて、例えば、サービス提供者ＩＤ＝１に対しα１＝０．８、β１＝０．７と設定し、サービス提供者ＩＤ＝２に対しα１＝１．０、β２＝１．０と設定し、サービス提供者ＩＤ＝３に対しα３＝１．２、β３＝１．０と設定して、図１６のようなサービス提供者情報を保持する。
【００９９】
次に、図５のステップＳ４やステップＳ６で使用する単一開示度Ｒ１と累積開示度Ｒ２の各計算式をそれぞれ以下の式（５）と式（６）のように変更する。
【数５】
2014153989.tif 000007
【数６】
2014153989.tif 000008
【０１００】
但し、ｗ１，ｓ（０≦ｗ１，ｓ≦１、０≦ｓ≦Ｓ）は、あるサービス提供者ｓに対する、１回で送られるデータの送信数に対する重みであり、もしｗ１，ｓがユーザ情報に含まれていない場合には、代わりにｗ１を用いる。また、ｗ２，ｓ（０≦ｗ２，ｓ≦１、０≦ｓ≦Ｓ）は、あるサービス提供者ｓに対する、データの観測時間間隔に対する重みであり、もしｗ２，ｓがユーザ情報に含まれていない場合には、代わりにｗ２を用いる。また、ｗ３，ｓ（０≦ｗ３，ｓ≦１、０≦ｓ≦Ｓ）は、あるサービス提供者ｓに対する、全データの時間的平均鮮度に対する重みであり、もしｗ３，ｓがユーザ情報に含まれていない場合には、代わりにｗ３を用いる。ｖ１，ｓ〜ｖ３，ｓについても同様である。尚、Ｓは、サービス提供者の総数である。
【０１０１】
そして、図２、図１５、図１６と式（５）を用いて、図５のステップＳ４を実行する。すると、サービス提供者ＩＤ＝１に対しては、単一開示度Ｒ１＝０．８×０．７５×（（１．０×１）／（１．０×１＋１．０×５））＝０．１となる。つまり、室温（寝室）データを、データの観測時間間隔を１分、データの時間的鮮度を５分で、データの送信数を１個で送ることになる。
【０１０２】
一方、サービス提供者ＩＤ＝２に対しては、単一開示度Ｒ１＝１．０×０．７５×（（１．２×１）／（１．０×１＋１．０×８））＝０．１となる。つまり、室温（寝室）データを、データの観測時間間隔を１分、データの時間的鮮度を８分、データの送信数を１個で送ることになる。
【０１０３】
このように、サービス提供者毎に重みを設定することにより、同じ内容のデータ要求条件情報が異なるサービス提供者からあった場合でも、ユーザの選好に合った形で、サービス提供者毎に自動的に差をつけてデータを送信することができる。
【０１０４】
同様に、以上のようにサービス提供者ＩＤ＝１，２に対して送信するデータが決定した後、式（６）を用いてステップＳ６を実行する。すると、サービス提供者ＩＤ＝１に対しては、データの送信が９回目となるときに累積開示度Ｒ２＝０．８×０．７５×（（１．０×９）／（１．０×１＋１．０×（（９＋１）／２）））＝０．９となるため、９回目のデータ送信まで行う。一方、サービス提供者ＩＤ＝２に対しては、データ送信が９回目となるときに累積開示度Ｒ２＝１．２×０．７５×（（１．０×３）／（１．０×１＋１．０×（（３＋１）／２）））＝０．９となるため、３回目のデータ送信まで行うことになる。
【０１０５】
このように、サービス提供者毎に重みを設定することにより、ユーザの選好に合った形で、サービス提供者毎に自動的にデータをどこまで送信し続けるかを制御することができる。
【０１０６】
以上より、本実施の形態によれば、ユーザにより許容された許容単一開示度Ｒ１’の入力を受け付け、サービス端末５から要求された要求データの要素条件を満たし、かつ、当該要素条件を満たすデータの要素を用いて計算された単一開示度Ｒ１が上記許容単一開示度Ｒ１’を超えないデータの要素の組み合わせを決定し、決定された組み合わせのデータの要素に基づいてセンサ系機器３から出力されたデータを制御して送信するため、データ開示の可否設定の手間を防止することができる。
【０１０７】
すなわち、サービス端末５から要求された要求データの要素条件を満たし、かつ、当該要素条件を満たすデータの要素を用いて単一開示度Ｒ１や累積開示度Ｒ２を計算する構成にしていることから、ユーザは個別にデータ開示可否の設定をする必要がなく、センサ系機器３やサービスの数や種類が増加したとしても、ユーザが２種類の許容開示度を入力するだけで、一括して開示度を設定することができる。
【０１０８】
また、データを匿名化することなく、かつ、ユーザが許容するプライバシの範囲内に内容を変えて送信しているので、プライバシリスクをユーザの許容範囲内に抑えつつ、ユーザの自宅に直接何かを配達するような、ユーザに直接リーチするようなサービスを提供することが容易になる。
【０１０９】
引き続き、本実施の形態の効果を個別の構成に基づいて説明する。
【０１１０】
本実施の形態では、ユーザが所有するセンサ系機器３からのデータを匿名化することなく、かつ、ユーザが許容したプライバシポリシの範囲で当該データを送信するため、開示度計算・決定部１４において、データの要素を用いて開示度として指標化するようにしている。これに基づいてデータを送信することにより、ユーザのプライバシがどの程度開示されてしまうのかを数値化することができる。
【０１１１】
また、そのような指標化によって、更に、データの持つ要素（データの種類、データの観測時間間隔、データの時間的鮮度、１回で送られるデータの送信数、複数データ系列間の関係性、データの時系列変化の度合い等）を横断的に１つの指標として扱うことができる。
【０１１２】
そして、それによって各要素間の関係が明らかになるため、計算機上の処理で、各要素を横断的に管理し、各要素を自動的に変更・調整することができる。例えば、データの時間的鮮度を上げる代わりに、データの種類を変更して開示度を一定に保つ等である。
【０１１３】
また、上記の指標化によって、更に、ユーザは数値を用いて許容できる送信データの開示度をアナログに設定可能となる。これにより、センサ系機器毎に開示の可否を設定する手間や、可否のいずれかしか設定できないことによる、データ送信によるリスクとリターンのバランスを取るような設定や、それを用いた開示度計算・決定部１４でのデータの量・内容・送信方法の自動決定、及びリスクとリターンのバランスを取れるようなサービスを受けられるようになる。
【０１１４】
また、開示度計算・決定部１４が、ユーザ情報と機器情報とサービス提供者情報に含まれるデータ要求条件情報とを受け取った上で、センサ系機器３から出力されたデータに対し、各サービス提供者の要求の範囲内かつユーザの許容開示度を超えないように、データの送信量・内容・送信方法を単一開示度の計算式（１）を用いて決定するため、機器・サービスの組み合わせごとの開示可否設定を行わなくても、自動的に送信データの量・内容・送信方法を決定し、適切にデータを送信することができる。また、データ提供側とデータ要求側の両者の条件に合致するデータの開示・送信を行うことができる。
【０１１５】
また、開示度計算・決定部１４が、同じサービス提供者へデータを継続して送信する際、そのデータを送ることによりサービス提供者へユーザのプライバシに関する情報をどの程度与えてしまうのかを累積開示度の計算式（２）を用いて計算し、ユーザの許容累積開示度と比較して、その許容開示度を超えている場合にはデータを送信しないため、サービス提供者にデータが大量に渡ることによるユーザの習慣や行動が推測されてしまうことを防止することができる。
【０１１６】
最後に、本実施の形態で説明したデータ開示度制御装置１は、ＣＰＵやメモリを具備するコンピュータにより実現可能である。また、その処理は、プログラムによって実行される。
【符号の説明】
【０１１７】
１…データ開示度制御装置
１１…データ受信部
１２…キャッシュメモリ
１３…機器情報保持部
１４…開示度計算・決定部
１５…データ送信部
１６…ユーザ情報保持部
１７…サービス提供者情報保持部
３…センサ系機器
５…サービス端末
７…ユーザ端末
Ｓ１〜Ｓ１０、Ｓ４−１〜Ｓ４−１０…ステップ
【図１】
2014153989.tif 000009
【図２】
2014153989.tif 000010
【図３】
2014153989.tif 000011
【図４】
2014153989.tif 000012
【図５】
2014153989.tif 000013
【図６】
2014153989.tif 000014
【図７】
2014153989.tif 000015
【図８】
2014153989.tif 000016
【図９】
2014153989.tif 000017
【図１０】
2014153989.tif 000018
【図１１】
2014153989.tif 000019
【図１２】
2014153989.tif 000020
【図１３】
2014153989.tif 000021
【図１４】
2014153989.tif 000022
【図１５】
2014153989.tif 000023
【図１６】
2014153989.tif 000024