(57)【要約】【課題】  Ｄ−Ｐｒｉｖａｃｙの情報により、Ｐｒｉｖａｃｙ ｐｒｏｘｙを介した場合の処理の煩雑化やフィルタを利用した場合の処理の煩雑さや個人情報の露見のような事情に鑑みてなされ、かつ個人情報を保護しながらビジネスとして運用することのできる、個人情報保護運用システムを提供する。【解決手段】  プロバイダ端末が、サービス提供に必要なユーザの個人情報の開示要求を個人情報保護運用装置に送信する。そして個人情報保護運用装置は、開示要求に含まれる個人情報がデータベースに存在するか否かを判定し、存在する場合はサービス利用者の特定が困難か否かを予め定めた閾値で判断して、閾値以上である場合に、開示要求に対応する個人情報を返信する。そして、個人情報の開示の対価となる利用の算出と、利用料の決済処理を行う。【選択図】    図１
2006350813.tif 000002
【特許請求の範囲】
【請求項１】
サービス利用者のユーザ端末、サービス提供者のプロバイダ端末、サービス利用者の個人情報の保護と開示を管理する個人情報保護運用装置とが通信ネットワークを介して接続された個人情報保護運用システムであって、
前記ユーザ端末は、
自身の個人情報を前記個人情報保護運用装置に登録する個人情報登録手段を備え、
前記プロバイダ端末は、
サービス提供に必要なユーザの個人情報の開示要求を前記個人情報保護運用装置に送信する開示要求手段を備え、
前記個人情報保護運用装置は、
ユーザの個人情報を格納するデータベースと、
前記開示要求に含まれる個人情報が前記データベースに存在するか否かを判定し、存在する場合は前記サービス利用者の特定が困難か否かを予め定めた閾値で判断して、前記閾値以上である場合に、前記開示要求に対応する個人情報を返信する開示可否判定手段と、
前記個人情報の開示の対価となる利用を算出する利用料算出手段と、
前記利用料の決済処理を行う支払処理手段とを備える
ことを特徴とする個人情報保護運用システム。
【請求項２】
前記個人情報保護運用装置は、
個人情報の提供としての対価としての特典を管理する特典提供管理手段を備え、
当該特典提供管理手段は、
前記個人情報の開示の対価として前記サービス利用者に提供する特典に関する情報をデータベースから読み込んで、その特典の情報を前記サービス利用者に供与すると特典と決定する
ことを特徴とする請求項１に記載の個人情報保護運用システム。
【請求項３】
前記個人情報保護運用装置は、
サービス利用者が個人情報を安全に保管するための保管料を計算する保管料計算手段と、
サービス利用者の個人情報保管料の支払処理を行う保管料支払手段と、
を備えることを特徴とする請求項１または請求項２に記載の個人情報保護運用システム。
【請求項４】
前記個人情報保護運用装置の開示可否判定手段は、
アンケート情報に登録されたアンケートの項目と回答との対応関係と、前記データベースにおける予め定められた閾値とに基づいて、前記データベースに登録されているユーザを特定することのないアンケート項目と回答との対応関係を抽出し、前記プロバイダ端末へ送信する
ことを特徴とする請求項１から請求項３に記載の個人情報保護運用システム。
【請求項５】
前記個人情報保護運用装置は、
前記データベースに登録されているユーザが特定できるアンケート項目への入力を検出した場合には、前記ユーザ端末へ警告情報を送信する警告手段
を備えることを特徴とする請求項４に記載の個人情報保護運用システム。
【請求項６】
前記開示可否判定手段は、
前記ユーザ端末より受信した複数の個人情報について、前記データベースに存在するか否かを判定し、存在する場合は前記サービス利用者の特定が困難か否かを予め定めた閾値で判断して、前記閾値以上である場合に、当該閾値以上の個人情報を転送する
ことを特徴とする請求項１に記載の個人情報保護運用システム。
【請求項７】
サービス利用者のユーザ端末、サービス提供者のプロバイダ端末、サービス利用者の個人情報の保護と開示を管理する個人情報保護運用装置とが通信ネットワークを介して接続された個人情報保護運用システムにおける個人情報保護運用方法であって、
前記ユーザ端末が、自身の個人情報を前記個人情報保護運用装置に登録し、
前記プロバイダ端末が、サービス提供に必要なユーザの個人情報の開示要求を前記個人情報保護運用装置に送信し、
前記個人情報保護運用装置が、ユーザの個人情報をデータベースに格納し、
前記個人情報保護運用装置が、前記開示要求に含まれる個人情報が前記データベースに存在するか否かを判定し、存在する場合は前記サービス利用者の特定が困難か否かを予め定めた閾値で判断して、前記閾値以上である場合に、前記開示要求に対応する個人情報を返信し、
前記個人情報保護運用装置が、前記個人情報の開示の対価となる利用を算出し、
前記個人情報保護運用装置が、前記利用料の決済処理を行う
ことを特徴とする個人情報保護運用方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不特定多数のプロバイダ（通信ネットワークを介してユーザにサービスを提供するサービス提供者）に対する、ユーザの個人情報の利用提供に係わり、ユーザの個人情報の提供に際して、利便性とユーザの匿名性確保とを行うことを目的とする個人情報保護運用システムおよび個人情報保護運用方法に関する。
【背景技術】
【０００２】
将来のネットワーク環境は、インターネットを中心としたホモジニアスな（Homogeneous：均質な）世界から、携帯電話，センサ，ＰＣ（パーソナルコンピュータ）及び情報家電などの様々な端末の接続されるヘテロジニアスな（Heterogeneous：不均質な）世界へと変化することが予測される。このようなネットワーク環境を実現するための基盤技術が、ユビキタスネットワーキング技術である。そして通信ネットワークに接続される多種多量な端末は、多様化及び遍在化し、互いに協調連携しながら、ユーザの嗜好や置かれている環境に適した広域アプリケーションサービスを提供する。
【０００３】
ユビキタスネットワーキング環境においては、各種センサやアクチュエータが通信ネットワークに接続されることにより、物理世界とアプリケーションサービスの連携がスムーズになる。これは、ネットワーク環境がユーザを支援するユーザ支援型のサービスシナリオであり、ユーザにとっては、アプリケーションサービス起動のための入力が軽減され、個人情報と組み合わせることで、意識することなくサービスを受けることができる。
【０００４】
上述のサービスの前提とするシステムの構成とアプリケーション例を図１２に示す。
ネットワーク１５には、携帯電話やＰＣなどのユーザ端末１０，１１や、プロバイダ端末１２，１３、ディスプレイ機能付きテーブル１４など様々なユビキタス端末が接続されている。また、ネットワーク１５には、認証サーバ１６や位置情報管理サーバ１７など各種サーバが接続されている。
【０００５】
そして、人検知や体温測定などを行うセンサにより構成されるセンサネットワーク１８がある。このセンサネットワーク１８において収集したセンス情報（体温、人検知時刻など）は、ネットワーク１５にあるセンス情報管理サーバ１９で管理される。またユーザはユーザ端末１０を保持しており、このユーザ端末１０においては、ユーザ自身が設定したユーザの嗜好情報やユーザ自身を特定する情報、また嗜好・脆弱性情報を元に端末ソフトウェアが生成したアクセス制御リスト（ＡＣＬ）、またＧＰＳ（Global Positioning System）やネットワーク上の位置情報管理サーバ１７からの位置情報などを取得する。
【０００６】
ユーザ端末１０は、移動先で適宜ネットワークと接続され、ネットワーク１５を介してプロバイダ端末１２，１３から提供されるアプリケーションサービスを利用する。
ネットワーク１５には、インターネットの他に、ホームネットワーク，センサネットワーク１８，アドホックネットワークといったような様々な種類があり、それらは、ゲートウェイ１１０などを介して相互接続されている。
【０００７】
次に、アプリケーション例を用いて、本発明で想定しているシステムの概要を説明する。
（１）ユーザ端末１０は、ユーザが自宅からレストランの前に移動したことを検出する。
（２）プロバイダの前に立ったユーザを、センサネットワーク１８を構成する人検出センサが検出し、センス情報としてセンス情報管理サーバ１９に通知する。プロバイダ端末１３で提供されるサービスは、センス情報管理サーバ１９をポーリングし、必要な個人情報を取得する。プロバイダ端末は、ユーザ端末１０にサービスに関するメッセージを送信する。
【０００８】
（３）ユーザは、ディスプレイ機能付きテーブル１４に座る。椅子についている人検知センサによりユーザが席についたことを検出し、同時にディスプレイ機能付きテーブル１４のデバイスＩＤをセンサネットワーク１８経由でセンス情報管理サーバ１９に通知する。プロバイダ端末１２で提供されるビデオコンテンツ配送サービスは、センス情報管理サーバ１９をポーリングすることでデバイスＩＤと人検知情報を入手する。本情報元に、ビデオコンテンツをディスプレイ機能付きテーブル１４に流す。
【０００９】
個人情報とは、ユーザＩＤに付随した個人に関する情報である。これまでの個人情報とは、名前，住所，年齢，性別，病歴，家族構成などのユーザの属性，嗜好，意図，および、これらの履歴などのユーザが端末から入力した静的な情報（静的個人情報：Ｓ−Ｐｒｉｖａｃｙ）に関する情報が主であった。
しかし、ユビキタスネットワーキング環境においては、生体，温度，人検知などのセンサによって取得できる情報，位置，時刻，電子マネーや乗車記録などのユーザの行動に付随して取得できる情報、およびこれらの履歴などユーザの挙動や振る舞いをシステムが感知して取得する動的な情報（動的個人情報：Ｄ−Ｐｒｉｖａｃｙ）も個人情報に含まれるようになり、これらのユーザのプライバシに関する個人情報は増加の一途を辿ると考えられる。
【００１０】
一般に、個人情報の利用において、匿名性と利便性とはトレードオフの関係にある。よって、個人情報利用のシステム化のためには、匿名性を適正に評価する手法の確立が必要である。
これに対応して、ネットワーク上にあるprivacy proxy を介して、ユーザとプロバイダのend-to-endにおける公開可能な個人情報のネゴシエーションを行う方法が提案されている（非特許文献１参照）。
【００１１】
しかし、非特許文献１の従来技術で前提としているのは、Ｓ−Ｐｒｉｖａｃｙに対応するであり、D-privacyを個人情報に含めた形で本従来技術を実現した場合、個人情報の情報量の増加とサービス提供頻度とが増加するため、情報公開可能か否かの判定のためのユーザ：プロバイダ間のネゴシエーションの回数が増加し、サービスに必要な処理が煩雑になる。
【００１２】
またユーザＩＤと個人情報とを分離して、サービス起動制御を行う提案方式では、ユーザＩＤを用いず、位置情報をトリガにしてサービスを提案／提供するものである（非特許文献２及び３参照）。
しかしながら、上述した従来例においては、位置情報以外のＤ−Ｐｒｉｖａｃｙ情報，および個人情報の組み合わせによるユーザの推定などについては、何ら規定がない。
【００１３】
ユーザ嗜好フィルタを用いて、ユーザの嗜好にあったサービスを検索する方式は、ユーザがＳ／Ｄ−Ｐｒｉｖａｃｙを元にあらかじめユーザ嗜好フィルタを生成し、フィルタを元にネットワーク上に該当するサービスがないかを検索する（非特許文献４参照）。
この従来技術においては、行動が変化する度にフィルタを生成し直す必要があり、ユーザの処理が煩雑になる。
【００１４】
また、非特許文献４の従来技術は、ネットワークにフィルタを送信する際、ユーザＩＤとフィルタ送信ログをとることで不特定多数のプロバイダに個人情報を知られてしまう。
アンケートに協力したユーザが自分を含めたアンケート結果を知るといったアプリケーション利用例のように、個人情報を提供したユーザ自身が、個人情報の利用者になる場合がある。このように、上記従来技術は、ユーザとプロバイダに限った場合だけではなく、ユーザが、他のユーザの個人情報を利用する場合も同様の問題が発生する。
【非特許文献１】Borriellorら[G.Borriello,L.E.Holmquist;" A Privacy Awareness System for Ubiquitous Computing Environments" In 4th International Conference on Ubiquitous Computing(UbiComp2002),Springer-Verlag LNCS 2498,pp.237-245,September 2002.
【非特許文献２】辛島明男，和泉憲明，車谷浩一，中島秀之：”ユビキタス環境におけるコンテンツ流通のためのマルチエージェントアーキテクチャ:CONSORTS”，情処研報  Vol.2003,No.39, pp.7-14, 2003.
【非特許文献３】中島秀之，橋田浩一，森彰，伊藤日出男，本村陽一，車谷浩一，山本吉伸，和泉潔，野田五十樹，”情報インフラに基づくグラウンディングとその応用−サイバーアシストプロジェクトの概要−”コンピュータソフトウェア, Vol.18,No4, pp.48-56,2001.
【非特許文献４】柴田弘，星合隆成，”パーソナライズ情報提案サービスにおける自律エージェンド”，信学技報, KBSE2001-56, pp.53-60, 2001.
【発明の開示】
【発明が解決しようとする課題】
【００１５】
そこで本発明は、Ｄ−Ｐｒｉｖａｃｙの情報により、privacy proxyを介した場合の処理の煩雑化やフィルタを利用した場合の処理の煩雑さや個人情報の露見のような事情に鑑みてなされ、かつ個人情報を保護しながらビジネスとして運用することのできる、個人情報保護運用システムおよび個人情報保護運用方法を提供することを目的としている。
【課題を解決するための手段】
【００１６】
上記目的を達成するために、本発明は、サービス利用者のユーザ端末、サービス提供者のプロバイダ端末、サービス利用者の個人情報の保護と開示を管理する個人情報保護運用装置とが通信ネットワークを介して接続された個人情報保護運用システムであって、前記ユーザ端末は、自身の個人情報を前記個人情報保護運用装置に登録する個人情報登録手段を備え、前記プロバイダ端末は、サービス提供に必要なユーザの個人情報の開示要求を前記個人情報保護運用装置に送信する開示要求手段を備え、前記個人情報保護運用装置は、ユーザの個人情報を格納するデータベースと、前記開示要求に含まれる個人情報が前記データベースに存在するか否かを判定し、存在する場合は前記サービス利用者の特定が困難か否かを予め定めた閾値で判断して、前記閾値以上である場合に、前記開示要求に対応する個人情報を返信する開示可否判定手段と、前記個人情報の開示の対価となる利用を算出する利用料算出手段と、前記利用料の決済処理を行う支払処理手段とを備えることを特徴とする個人情報保護運用システムである。
これにより、利用料の計算や料金の支払いを行うので、サービス利用者プライバシーを保護しつつ、個人情報を運用してビジネスを行うことができる。
【００１７】
また本発明は、前記個人情報保護運用装置が、個人情報の提供としての対価としての特典を管理する特典提供管理手段を備え、当該特典提供管理手段は、前記個人情報の開示の対価として前記サービス利用者に提供する特典に関する情報をデータベースから読み込んで、その特典の情報を前記サービス利用者に対して与えると決定することを特徴とする。
これにより、個人情報提供による見返りとして、プロバイダがユーザに特典を与え、特典によって、特典別に閥値を変更し、ユーザの個人情報の開示量を変えることができる。
【００１８】
また本発明は、前記個人情報保護運用装置が、サービス利用者が個人情報を安全に保管するための保管料を計算する保管料計算手段と、サービス利用者の個人情報保管料の支払処理を行う保管料支払手段と、を備えることを特徴とする。
これにより、ユーザの個人情報を安全に保管する維持管理費を徴収することができ、したがって、機密性の高い個人情報の保管を高いセキュリティ機能を投じて保管することができる。
【００１９】
また本発明は、前記個人情報保護運用装置の開示可否判定手段が、アンケート情報に登録されたアンケートの項目と回答との対応関係と、前記データベースにおける予め定められた閾値とに基づいて、前記データベースに登録されているユーザを特定することのないアンケート項目と回答との対応関係を抽出し、前記プロバイダ端末へ送信することを特徴とする。
【００２０】
また本発明は、前記個人情報保護運用装置が、前記データベースに登録されているユーザが特定できるアンケート項目への入力を検出した場合には、前記ユーザ端末へ警告情報を送信する警告手段を備えることを特徴とする。
【００２１】
また本発明は、前記開示可否判定手段が、前記ユーザ端末より受信した複数の個人情報について、前記データベースに存在するか否かを判定し、存在する場合は前記サービス利用者の特定が困難か否かを予め定めた閾値で判断して、前記閾値以上である場合に、当該閾値以上の個人情報を転送することを特徴とする。
【００２２】
また本発明は、サービス利用者のユーザ端末、サービス提供者のプロバイダ端末、サービス利用者の個人情報の保護と開示を管理する個人情報保護運用装置とが通信ネットワークを介して接続された個人情報保護運用システムにおける個人情報保護運用方法であって、前記ユーザ端末が、自身の個人情報を前記個人情報保護運用装置に登録し、前記プロバイダ端末が、サービス提供に必要なユーザの個人情報の開示要求を前記個人情報保護運用装置に送信し、前記個人情報保護運用装置が、ユーザの個人情報をデータベースに格納し、前記個人情報保護運用装置が、前記開示要求に含まれる個人情報が前記データベースに存在するか否かを判定し、存在する場合は前記サービス利用者の特定が困難か否かを予め定めた閾値で判断して、前記閾値以上である場合に、前記開示要求に対応する個人情報を返信し、前記個人情報保護運用装置が、前記個人情報の開示の対価となる利用を算出し、前記個人情報保護運用装置が、前記利用料の決済処理を行うことを特徴とする個人情報保護運用方法である。
【発明の効果】
【００２３】
本発明によれば、個人情報の保護と運用を実現するものであり、ユーザがネットワーク上の個人情報保護運用装置に登録した個人情報に対して、個人特定困難なレベルでプロバイダに個人情報を開示し、プロバイダのサービス提供につなげることができる。
【発明を実施するための最良の形態】
【００２４】
以下、本発明の一実施形態による個人情報保護運用システムを図面を参照して説明する。図１は同実施形態による個人情報保護運用システムの構成を示すブロック図である。この図において、符号１はユーザ端末である。また２はプロバイダ端末である。ユーザ端末１は例えばユーザの自宅に備えられたり、またはユーザ自身が携帯する端末である。そして、ユーザはプロバイダ端末２からの各種サービスの提供を受ける。また３はユーザ端末１の認証などを行う認証・鍵管理サーバである。また４はユーザが検知された際の各種情報を保持するセンス情報管理サーバである。また５はプロバイダ端末２からの個人情報送信要求に応じて、個人情報保護の処理を行う共にユーザの個人情報をプロバイダ端末２へ送信する個人情報保護運用サーバである。また６は例えばユーザ端末１の無線発信するＩＤなどを受信してそのＩＤの情報をセンス情報管理サーバ４へ送信する無線タグである。また７は街頭カメラでありユーザを検知するとともに撮影したユーザの識別情報やその時刻などをセンス情報管理サーバへ送信する。そして、図１に示した各端末や装置はそれぞれが通信ネットワークを介して接続されている。
【００２５】
図２は個人情報保護運用サーバの機能ブロックを示す図である。
次に図２を用いて個人情報保護運用サーバについて説明する。
個人情報保護運用サーバ５において、符号５０１は通信ネットワークを介して他サーバや端末などと情報を送受信する通信処理部である。また５０２は個人情報保護運用サーバ５内の各処理部を制御する制御部である。また５０３は個人情報の開示可否を判定する開示可否判定処理部である。また５０４は開示する個人情報をプロバイダ端末２などへ送信する処理を行う開示処理部である。また５０５はデータベースの情報を管理するデータベース管理部である。また５０６は個人情報の開示によりプロバイダに対して課金される利用料を算出する利用料管理部である。また５０７は個人情報の開示により個人のユーザに支払われる対価を算出する支払処理部である。また５０８は各種個人情報を記憶するデータベースである。
【００２６】
図３は個人情報保護運用サーバのデータベースが保持するデータテーブルの例を示す図である。この図が示すように、データベース５０８は、個人情報（Ｓ−Ｐｒｉｖａｃｙ／Ｄ−Ｐｒｉｖａｃｙ）とユーザＩＤが対応付けて記録されている。ここで、Ｄ−Ｐｒｉｖａｃｙは、データベース管理部５０５により、一定時間毎か、または新たな個人情報が入力された時点において、ＦＩＦＯ (First In First out)方式により書換えが行われる。Ｄ−Ｐｒｉｖａｃｙの情報は図３においては、属性３（夕食の場所）、属性４（一緒に食べた人）、属性５（１９時の居場所）である。その他の属性はＳ−Ｐｒｉｖａｃｙの個人情報である。
【００２７】
次に、個人情報保護運用サーバ５における開示可否判定処理部５０３の処理について説明する。
本発明では個人情報を保護するという観点から、決定木学習アルゴリズムを考える。プロバイダに対して、匿名にしたい対象の個人情報は例えばユーザの名前である。そして保護したいユーザの名前（つまり個人を特定できてしまうユーザの名前という情報をプロバイダに通知しないことにより、ユーザＩＤのような個人情報を保護する）に対して、プロバイダから開示要求された個人情報の情報利得を計算し、情報利得が少ない個人情報であれば開示を許可する処理を行う。
【００２８】
情報利得の計算には「情報エントロピー（以下エントロピーと略す）」を用いる。エントロピーとは、情報の集合である情報源に対して、その要素である情報を受け取る前後の不確定度を定量的に表す量である。本願発明では、ある個人情報を受け取ることによって得られる情報量の期待値をエントロピーで表現する。
【００２９】
エントロピーの概要を説明する為に、例として５０人ずつの男女からなる１００人のユーザの集合を考えるとする。エントロピー値が最大になるのは「性別」のような全てが同じ確率で発生する情報を与えられた場合であり、このとき匿名性が最も高いと定義する。逆にエントロピーが最小になるのは、発生確率が１になる個人情報を与えた場合であり、この時、匿名性が最も低いと定義する。つまり１００人の中で「Alice」という名前のユーザが一人しかいない場合、Aliceという名前を情報として受け取ることで匿名性が最小（つまり匿名性が無い）となる。匿名性が最小である情報を開示することは個人情報保護の観点から問題である。
【００３０】
ユーザの個人情報をエントロピー計算のための情報源とし、個人情報を受け取る前後でのユーザＩＤの特定に関する不確かさの減少量をエントロピーで表現し、匿名性の定量化を実現する。個人情報は上述したように、Ｓ−ＰｒｉｖａｃｙとＤ−Ｐｒｉｖａｃｙがあり、データベース５０８にユーザＩＤに対応付けて属性種別と属性値のペアとして記憶する。属性とは性別や年齢などである。
【００３１】
エントロピーを用いることの利点は、匿名にしたい対象が図３の「属性６：名前―Ａｌｉｃｅ」のように一人を特定できてしまう属性値であっても、「属性１：性別―男」や「属性２：職業―学生」のような共通の属性値をもつユーザ集合を匿名対象としても同じ手法で計算できるという点である。
【００３２】
そして図１で示したようなユビキタスネットワーキング環境では、通信ネットワークに接続されるユーザ数が時間と共に変化する。よって、ユビキタスネットワーキング環境における個人情報保護にエントロピーの概念を適用する場合、エントロピー計算の前提であるユーザの集合が一定という条件は、通常成り立たない。よってユーザ集合に依存しない匿名性の定量化が必要となる。そこで、ユビキタスネットワーキング環境における離脱／参加や移動によるユーザ集合の変化が無視できる時間をΔｔとし、Δｔ時間単位にエントロピーを計算し、その計算結果であるエントロピー値を正規化することでユーザ集合の変化を吸収する。
【００３３】
そしてこの正規化した値を匿名性の評価尺度に用いる。ユーザ集合はΔｔ時間毎に変わるので、個人情報保護運用サーバ５はその都度データベース５０８を書き換える。属性の数や種類、およびその属性値の分布はユーザ集合が違えば、それらも異なる。
【００３４】
ここで正規化の方式には様々な方式が考えられるが、本実施形態いにおいては、以下のような方式を採用する。まず保護したい属性において、匿名にしたいユーザと同じ属性値のユーザを正、そうでない属性値を負という二つのクラスに分ける。ユーザ集合において、匿名にしたいユーザの正負に関するエントロピーをＨＯ、ある属性Ｆが判明した時のエントロピーをＨＦとした場合に、Ｆを知ることにより減少するエントロピーの割合を、ＤＦとし、これを匿名性の定量的評価尺度に用いる
【００３５】
【数１】
2006350813.tif 000003
【００３６】
【数２】
2006350813.tif 000004
【００３７】
【数３】
2006350813.tif 000005
【００３８】
上述の式において、
Ｐ＋：全てのユーザ集合において、正である確率
Ｐ−：全てのユーザ集合において、負である確率
Ｐｉ：Ｆの属性値の集合を｛ν１，ν２，ν３，ν４，・・・，νｎ｝とした場合、Ｆがνｉである場合において正である確率
Ｐｉ＋：Ｆの属性値の集合を｛ν１，ν２，ν３，ν４，・・・，νｎ｝とした場合、Ｆがνｉである集合において正である確率
Ｐｉ−：Ｆの属性値の集合を｛ν１，ν２，ν３，ν４，・・・，νｎ｝とした場合、Ｆがνｉである集合において負である確率
である。
【００３９】
個人情報保護運用サーバ５の開示可否判定処理部５０３は、アプリケーションやシステムのセキュリティ要求条件により、ＤＦの閾値を予め設定しておく。そしてプロバイダ端末２から指定された開示要求に含まれる属性種別と属性値の組合せに対するＤＦの計算結果が閾値以上の場合にその属性種別と属性値の組合せに対応するユーザの個人情報をプロバイダに開示し、閾値未満である場合には、属性種別と属性値に対応するユーザの個人情報を開示しないといった処理を行う。
【００４０】
次に、具体例を示して開示可否判定の処理について説明する。
まず、以下に述べる実施形態では、個人情報をネットワークサービスの提供者（以下、「サービス提供者」または「プロバイダ」と記す）が要求するものとして説明する。個人情報保護運用サーバ５は、サービスを提供するにあたり必要なユーザの個人情報の要求メッセージ（開示要求）をプロバイダ端末２から受信した際に、データベース５０８を検索して、この個人情報を検索すると、開示可否判定処理部５０３が登録ユーザ総数に対するその個人情報を有するユーザの割合を計算し、あらかじめ定めた閾値以上である場合、前記プロバイダ端末２に個人情報を送信し、閾値以下である場合、個人情報を公開しないといった処理を行う。以下その処理の詳細について説明する。
【００４１】
まず、ユーザは、ユーザ端末１を通信ネットワークに接続した際、ユビキタスサービスを受けるのと引き換えに提示してもよいＳ−ｐｒｉｖａｃｙを、当該端末１を用いて個人情報保護運用サーバ５へ登録する。またＤ−ｐｒｉｖａｃｙの情報についても、街頭カメラ７や無線タグ６によって取得されセンス情報管理サーバ４に登録される。データベース管理部５０５はΔｔの時間毎にセンス情報管理サーバ４から登録されたＤ−ｐｒｉｖａｃｙ（ユーザＩＤ、属性種別、属性値）の情報を取得してデータベース５０８に登録する。
【００４２】
次に、プロバイダ端末２は、あらかじめ定めた契機において、サービスを利用してくれるユーザがネットワークに接続されているかを検出するために、属性種別と属性値を少なくとも保持する開示要求を個人情報保護運用サーバ５へ送信する。このとき、プロバイダ端末２は、複数の属性種類と属性値のペアを保持した開示要求を送信するようにしてもよい。
【００４３】
図４は個人情報保護運用サーバにおける開示要求判定処理のフローを示す図である。
次に、図４より、個人情報保護運用サーバ５が開示要求を受信し（ステップＳ１０１）、データベース管理部５０５がデータベース５０８から開示要求に含まれる属性種類と属性値のペアに該当する情報があるか否かを検索して確認する（ステップＳ１０２）。次に開示可否判定処理部５０３は、データベース管理部５０５が該当する開示要求の属性種類と属性値のペアが記録されていることを検出すると、このネットワークに接続されているユーザ端末１の数により、ユーザ総数（データベース２０８に登録されているユーザＩＤの数から検出）の中で、開示要求で指定された属性種類と属性値のペアを持つユーザ数を計算する（ステップＳ１０３）。
【００４４】
次に、開示可否判定処理部５０３は、属性種類と属性値のペアを持つユーザのユーザ総数に占める割合を計算して、この割合がシステムであらかじめ設定した閾値より多い（以上である）か否かを判定し（ステップＳ１０４）、その結果閾値より多い場合には、システムで定めた匿名性の基準を満足しているとみなし、開示要求で指定された属性種類と属性値を保持するユーザＩＤの各ユーザに対する個人情報であって、ユーザＩＤを特定することのできない個人情報をプロバイダ端末２へ通知する（ステップＳ１０５）。一方、開示可否判定処理部５０３は、属性種類と属性値のペアを持つユーザのユーザ総数に占める割合を計算した結果、この割合がシステムであらかじめ設定した閾値より少ない場合、システムが指定した匿名性を満足していないとみなし、開示処理部５０４が該当するユーザがいない旨をプロバイダ端末２へ通知する（ステップＳ１０６）。また、ステップＳ１０２において開示要求で指定された属性種類と属性値のペアが検出されない場合、開示処理部５０４は、該当するユーザがいない旨をプロバイダ端末２に通知する（ステップＳ１０７）。
【００４５】
これにより、プロバイダ端末２は、通知された個人情報に基づいて各種サービスを行う。以上の処理により、通信ネットワークに接続しているユーザ端末１とプロバイダ端末２は、個別にend-to-endで公開可能な個人情報の通知をしなくとも、あらかじめ規定した匿名性レベルを確保しながら、通知可能となる。
さらに、ユーザの個人情報登録とは非同期に個人情報を利用できるため、プロバイダまたはユーザといった個人情報利用者の個人情報（特にＤ−Ｐｒｉｖａｃｙの情報）に対する利便性が向上する。
【００４６】
そして、利用料管理部５０６は、個人情報がプロバイダ端末２へ通知されると、個人情報の提供による対価としての料金を計算する。この計算手法は、例えば、属性種別に対応する料金テーブルなどから料金を読み取って、通知した属性種別分だけ合算して計算するなどの処理により行う。または利用の度に利用料管理部５０６が料金を計算し、支払処理部５０７が計算結果の金額を通信ネットワークを介して接続された銀行の決済システム等に送信して、個人情報提供による対価の決済処理を行うようにしても良い。
【００４７】
図５は個人情報保護運用サーバを利用したサービスの例を示す第１の図である。
個人情報保護運用サーバ５は図５に示すように、個人情報の運用による対価として金銭や商品などの特典を与える特典提供管理部５０９を備えるようにしても良い。例えば特典提供管理部５０９は、個人情報として通知した属性種別の数をカウントし、その数が閾値以上であれば、属性種別の数に応じた商品識別番号をデータベース５０８などから取得し、その商品識別番号についての発送フラグと個人情報を提供したユーザＩＤとを対応付けてデータベース５０８に書き込み、これにより後日、商品などの特典がユーザに配送されるよう処理する。これによって、ユーザは、個人情報を提供した対価として、特典という利益を得ることができる。ユーザは、特典の内容によって個人情報の開示範囲が変わる。例えば、我々が実施した調査によると、ユーザは、１００円の商品券の特典を得るために最大限開示してもよい個人情報の種類は数種類であるが、１０００円の商品券のためであれば、１００円の場合の倍以上の個人情報を開示してもよいと考えている。このように、個人情報の開示量には、対価として得られる特典の内容に依存する。なおこの開示可否判定処理部５０３は、特典毎に、閥値を変え、ユーザにとって有用な特典の場合、閥値を下げることで、プロバイダにより多くの個人情報を開示するようにしてもよい。
【００４８】
図６は個人情報保護運用サーバを利用したサービスの例を示す第２の図である。
個人情報保護運用サーバ５はアンケート調査およびその結果を公表するサービスを行うようにしてもよい。この処理を行う場合には、図６に示すようにプロバイダ端末２が個人情報を収集するためのアンケートを作成するアンケート作成部２０１を備える。
プロバイダは、プロバイダ端末２にアンケート作成を指示すると、アンケート作成部２０１がアンケートを作成する。そして作成されたアンケートは通信ネットワークを介してユーザ端末１へ送信される。このアンケートは例えばウェブページのデータによって配信されるようにしてもよい。ユーザは、ユーザ端末１の表示部に表示されたアンケート画面からアンケート結果を入力し、個人情報保護運用サーバ５へ送信する。個人情報保護運用サーバ５は、回収したアンケートをデータベース５０８へ登録する。そしてアンケートを回収し終わると、例えば、アンケートに登録されているアンケート結果の属性種別（質問内容）と属性値（回答）ごとに、ユーザが特定されないアンケート結果か否かを上記式（１）〜（３）と閾値とを用いて上記ステップＳ１０４と同様に判定する。そして、開示可否判定処理部５０３は、ユーザが特定されないアンケート項目と回答を抽出し、その結果をプロバイダ端末１に送信する。
【００４９】
図７は個人情報保護運用サーバを利用したサービスの例を示す第３の図である。
個人情報保護運用サーバ５において、ユーザを特定される危険性がある場合、つまり、開示可否判定処理部５０３の処理において閥値以下ならば個人を特定されやすいと判断し、アンケートに答える際に警告を出す処理を行うようにしても良い。この場合図７で示すように、個人情報保護運用サーバ５が新たに警告処理部５１０を備える。
まずアンケートの回収があらかじめ定めた分量以上になった場合、事前に開示可否判定処理部５０３により、ユーザ個人が特定されやすいアンケート項目を抽出する。そして、新たにアンケートに登録しようとするユーザが、個人特定されやすい項目にマーキングを行った場合、警告処理部５１０が警告情報をユーザ端末１へ送信する処理を行う。これによりユーザは、個人が特定され易いアンケート項目に対して、答えなくてもよくなる。
【００５０】
図８は個人情報保護運用サーバを利用したサービスの例を示す第４の図である。
個人情報保護運用サーバ５が防犯サービスを行うに処理について説明する。この場合、図８で示すようにプロバイダ端末２が防犯上問題がある場合に警告を送信する警告処理部２０２を備え、また個人情報保護運用サーバ５に、プロバイダからの警告メッセージを受信し、データベース５０８に登録してあるユーザに警告メールを送信するプロバイダメッセージ管理部５１１を供えるようにする。
【００５１】
ユーザは、不審者や喧嘩などの犯罪に繋がるような出来事に遭遇した場合、遭遇した場所や時間など出来事に関係する情報と通報者の個人に関する情報をユーザ端末１を用いて個人情報保護運用サーバ５に送信する。個人情報保護運用サーバ５は、通報者から通知された個人情報の中で、通報者が特定されやすい個人情報を、上記式（１）〜（３）と閾値とを用いて上記ステップＳ１０４と同様に判定する。そして個人情報の中で通報者が特定されやすいと判定された個人情報を削除し、出来事の情報を防犯関連のサービスを行うプロバイダ端末２へ通知する。プロバイダ端末２は、送られてきた出来事情報の内容により、対応に緊急性があると判断した場合、警察のサーバ等にその情報を送信し通報する。そして経過観察の場合、警告処理部２０２は、個人情報保護運用サーバ５に、ユーザに警告メールを送るよう指示する。個人情報保護運用サーバ５のプロバイダメッセージ管理部５１１は、データベース５０８に登録されているユーザ端末１のメールアドレスを読み込んで、当該メールアドレス宛てに警告メッセージのメールを送信する。これにより、ユーザは、従来に通報に比べて、気軽に不審者などの目撃情報の通報ができるようになり、地域の防犯効果が向上する。
【００５２】
図９は個人情報保護運用サーバを利用したサービスの例を示す第５の図である。
個人情報保護運用サーバ５は、ユーザの個人情報の維持管理を料金制として行うようにしてもよい。この場合、図９で示すように、個人情報保護運用サーバ５は、ユーザの個人情報をデータベース５０８に格納している期間、個人情報を外部に漏洩させることなく管理するための保管料計算部５１２と、保管料をユーザから徴収する保管料支払処理部５１３を備える。保管料計算部５１２はユーザＩＤ毎に、期間×単価などにより保管料を算出し、また保管料支払処理部５１３は算出された保管料を通信ネットワークに接続されている決済システムに送信するなどして、決済処理を行う。これにより、個人情報保護運用サーバ５では、データベース５０８に登録されているユーザの個人情報に対して高いセキュリティ技術を用いた個人情報管理をすることになる。ユーザは、秘密性の高い個人情報も、個人情報保護運用サーバ５で運用可能となる。
【００５３】
図１０は個人情報保護運用サーバを利用したサービスの例を示す第６の図である。
個人情報保護運用サーバ５は、内部告発サービスの処理を行うようにしても良い。まずプロバイダは、企業もしくは第３者機関から委託された不正監視を行うサービスを実施する。この処理を行う場合、図１０に示すように、内部告発による企業不正を監視するプロバイダのプロバイダ端末３に対し、企業Ａの不正管理部門や警察に通報するための通報処理部２０３を備える。
【００５４】
企業Ａの社員であるユーザは、ユーザ端末１を用いて、目撃などして知りえた企業Ａ内の不正行為に関する情報を、通報者であるユーザの個人情報とともに、個人情報保護運用サーバ５に通知する。個人情報保護運用サーバ５のデータベース管理部５０５は、通知された情報をデータベース５０８に格納する。次に、開示可否判定処理部５０３は、通報に受けた個人情報に対応付けられてデータベース５０８に記録されている個人情報のうち、上記式（１）〜（３）と閾値とを用いて上記ステップＳ１０４と同様に、通報者であるユーザを特定するのが困難な個人情報を特定し、開示処理部５０４が通報者の個人情報として目撃情報とともに、企業の不正監視を行うプロバイダ端末３に通知する。情報提供料は、利用料管理部５０６と支払処理部５０７により、提供料金の計算と支払い処理を行う。通知されたプロバイダは、緊急性があれば、通報処理部２０３が警察などに目撃情報と個人情報を送信することにより通知する。緊急性がなければ、通報処理部２０３により、企業Ａの不正を監視する部門のプロバイダ端末４に、不正行為に対する情報を通知し警告を促す。
これにより、企業Ａで働く社員は、通報者が自分であることを知られることなく、社内の不正を暴くことが可能となる。
【００５５】
図１１は個人情報保護運用サーバを利用したサービスの例を示す第７の図である。
個人情報保護運用サーバ５は、大衆の嗜好や行動にあったｍａｓｓユーザ向け広告配送サービスを行うようにしても良い。具体的には、待ち合わせ場所などに設置してあるモニタに対して、タイムサービスなどの企業広告を、居合わせたユーザに向けに配信するサービスである。このサービスを行うに当たり、通信ネットワークには、ｍａｓｓユーザ向け広告を流す広告用モニタ８が接続される。
【００５６】
待ち合わせ場所に到着したユーザは、ユーザ端末１を用いて、自身のプロフィールと本日の予定など、個人が特定されなければプロバイダからのサービスを受けるために開示してもよい個人情報を個人情報保護運用サーバ５に登録する。個人情報保護運用サーバ５のデータベース管理部５０５は、受付けたユーザの個人情報をデータベース５０８へ登録する。次に開示可否判定処理部５０３は、登録された個人情報を含めて、データベース５０８に登録されている開示可能な個人情報がどれであるかを上記式（１）〜（３）と閾値とを用いて上記ステップＳ１０４と同様に判別する。プロバイダ端末２は、定期的に開示可否判定処理部５０３に問い合わせをしてもよいし、開示要求情報登録部に、プロバイダが欲する個人情報をあらかじめ登録しておき、欲しい個人情報を持つユーザ数があらかじめ設定した割合より多い場合は、プロバイダに通知するようにしてもよい。
この際、利用料管理部５０６で利用料を計算し、料金も一緒に通知する。プロバイダが、個人情報保護運用サーバ５からの情報を利用する場合は、支払処理部５０７を介して、利用料を払う。通知されたプロバイダ端末３は、自身のサービスに興味があるユーザが待ち合わせ場所に一定割合以上いるとみなし、自身のサービス広告を広告用モニタ８に送信する。または、プロバイダメッセージ管理部５１１が、データベース５０８に登録されているあるユーザの端末１に広告メールを送信するようにしてもよい。
これにより、待ち合わせ場所にいるユーザが動的に変動しても、ユーザの嗜好や行動にあった的確な広告を配送できる。
【００５７】
また個人情報保護運用サーバ５は、企業のコンサルティングの処理を行うようにしても良い。企業に対する顧客ニーズを把握するために、企業のコンサルティングを行うプロバイダは、プロバイダ端末２を介して、企業のサービス内容に対するアンケートをユーザに実施する。アンケート結果は個人情報保護運用サーバ５に送信される。そして開示可否判定処理部５０３が、アンケート結果の属性種別（質問内容）と属性値（回答）ごとに、ユーザが特定されることのないアンケート結果の情報か否かを上記式（１）〜（３）と閾値とを用いて上記ステップＳ１０４と同様に判定する。そして、開示可否判定処理部５０３は、ユーザが特定されることないアンケート項目の情報と回答を抽出し、その結果をプロバイダ端末１に送信する。または、内部告発により、企業の実態を把握し、結果は、通報者が識別困難な形式で、企業コンサルティングを行うプロバイダ端末２に通知する。企業コンサルティングを行うプロバイダは、アンケート結果や内部告発の情報を個人情報保護運用サーバ５から受け取る際に、個人情報保護運用サーバ５の利用料管理部５０６と支払処理部５０７の処理に基づいて、情報開示料を支払う。また企業コンサルティングを行うプロバイダは、結果を元に、企業Ａのコンサルティングを行う。
【００５８】
本発明により、個人情報の秘匿と運用の両方が実現できる、よって、個々のプロバイダは、個別にユーザから個人情報を収集しなくとも、必要なユーザの個人情報が収集でき、サービス提供ができる。また、プロバイダ個別にユーザの個人情報を管理する必要がなくなるため、個人情報の管理コストを削減することができる。また、プロバイダは、個人情報を管理しないため、仮に個人情報が漏洩したとしても、プロバイダのイメージダウンを避けることができる。個人を特定されることなくユーザの行動に追従した広告配送サービスや、ユーザの防犯に対する協力体制の確保、内部告発による企業の犯罪防止効果を高めることが可能となる。
【００５９】
なお上述の各サーバや端末など内部に、コンピュータシステムを有している。そして、上述した処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。
【００６０】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【図面の簡単な説明】
【００６１】
【図１】個人情報保護運用システムの構成を示すブロック図である。
【図２】個人情報保護運用サーバの機能ブロックを示す図である。
【図３】データベースが保持するデータテーブルの例を示す図である。
【図４】開示要求判定処理のフローを示す図である。
【図５】個人情報保護運用サーバを利用したサービスの例を示す第１の図である。
【図６】個人情報保護運用サーバを利用したサービスの例を示す第２の図である。
【図７】個人情報保護運用サーバを利用したサービスの例を示す第３の図である。
【図８】個人情報保護運用サーバを利用したサービスの例を示す第４の図である。
【図９】個人情報保護運用サーバを利用したサービスの例を示す第５の図である。
【図１０】個人情報保護運用サーバを利用したサービスの例を示す第６の図である。
【図１１】個人情報保護運用サーバを利用したサービスの例を示す第７の図である。
【図１２】個人情報保護運用サーバを利用したサービスの例を示す第８の図である。
【符号の説明】
【００６２】
１・・・ユーザ端末
２・・・プロバイダ端末
３・・・認証・鍵管理サーバ
４・・・センス情報管理サーバ
５・・・個人情報保護運用サーバ
６・・・無線タグ
７・・・街頭カメラ
８・・・広告用モニタ
【図１】
2006350813.tif 000006
【図２】
2006350813.tif 000007
【図３】
2006350813.tif 000008
【図４】
2006350813.tif 000009
【図５】
2006350813.tif 000010
【図６】
2006350813.tif 000011
【図７】
2006350813.tif 000012
【図８】
2006350813.tif 000013
【図９】
2006350813.tif 000014
【図１０】
2006350813.tif 000015
【図１１】
2006350813.tif 000016
【図１２】
2006350813.tif 000017