(57)【要約】【課題】プライバシー安全度と情報の有用性を両立させつつ仮名交換可能な範囲を決定する。【解決手段】位置情報記憶部５０に、複数のユーザ端末から受信する仮名、位置、時刻を含む位置情報が時系列に記憶されている。仕様取得部１０は、仮名交換範囲の初期値及び所望のプライバシー安全度の基準値を取得する。仮名交換モデル取得部２２は、位置情報及び仮名交換範囲に基づいて可能経路モデル及び仮名交換系列を含む仮名交換モデルを取得する。可能経路計算部２４は、仮名交換系列に基づいて可能経路モデルから選択不可能な経路の組み合わせを削除する。プライバシー安全度出力部２６は、更新された可能経路モデルに基づいてプライバシー安全度を計算する。仮名交換範囲更新部４０は、プライバシー安全度が所望のプライバシー安全度の基準値を満たさない場合に仮名交換範囲を変更する。【選択図】図７
2015219635.tif 000002
【特許請求の範囲】
【請求項１】
複数のユーザ端末から受信する、当該ユーザ端末を特定する情報を変換した仮名、当該ユーザ端末の位置、当該ユーザ端末の位置を取得した時刻を含む位置情報を時系列に記憶した位置情報記憶部と、
所望の情報の有用性に基づいて特定される仮名交換可能な位置の集合を表す仮名交換範囲の初期値及び所望のプライバシー安全度の基準値を取得する仕様取得部と、
上記位置情報及び上記仮名交換範囲に基づいて、各時刻において各仮名が取り得る上記ユーザ端末を特定する情報の集合を表す可能経路モデル及び各時刻において仮名交換が可能な仮名の集合を表す仮名交換系列を含む仮名交換モデルを取得する仮名交換モデル取得部と、
上記仮名交換系列に基づいて、上記可能経路モデルから選択不可能な経路の組み合わせを削除する可能経路計算部と、
上記更新された可能経路モデルに基づいて、各時刻における各ユーザ端末が取り得る仮名の数に対応するプライバシー安全度を計算するプライバシー安全度出力部と、
上記プライバシー安全度が上記所望のプライバシー安全度の基準値を満たさない場合に、上記仮名交換範囲を変更する仮名交換範囲更新部と、
を含む仮名交換範囲決定装置。
【請求項２】
請求項１に記載の仮名交換範囲決定装置であって、
上記位置情報から同じ時刻かつ同じ位置情報を持つ仮名を含む交換位置候補リストを生成する交換位置候補取得部と、
上記仮名交換範囲に基づいて、上記交換位置候補リストから仮名交換が制限される位置情報を抽出した削除候補リストを生成する削除候補決定部と、
をさらに含み、
上記仮名交換モデル取得部は、上記削除候補リストに含まれる位置情報を上記仮名交換系列から削除することで上記仮名交換モデルを更新し、削除した仮名交換系列を保持するものであり、
上記可能経路計算部は、上記可能経路モデルのうち上記削除した仮名交換系列に対応する経路についてのみ再計算することで上記可能経路モデルを更新するものであり、
上記仮名交換範囲更新部は、上記プライバシー安全度が上記所望のプライバシー安全度の基準値を超える場合に、上記仮名交換範囲を縮小するものである
仮名交換範囲決定装置。
【請求項３】
請求項１に記載の仮名交換範囲決定装置であって、
上記仮名交換範囲更新部は、上記プライバシー安全度が上記所望のプライバシー安全度の基準値未満の場合に、上記仮名交換範囲を拡大するものである
仮名交換範囲決定装置。
【請求項４】
請求項１から３のいずれかに記載の仮名交換範囲決定装置であって、
上記可能経路計算部は、
時刻が早い方から順番に、当該時刻において上記ユーザ端末を特定する情報それぞれが取り得る上記仮名を上記仮名交換系列にしたがって交換した結果から、直後の時刻において上記ユーザ端末を特定する情報それぞれが取り得る上記仮名の集合を満たさない上記仮名を削除することで、上記可能経路モデルを更新する順方向可能経路計算部と、
時刻が遅い方から順番に、当該時刻において上記ユーザ端末を特定する情報それぞれが取り得る上記仮名を上記仮名交換系列にしたがって交換した結果から、直前の時刻において上記ユーザ端末を特定する情報それぞれが取り得る上記仮名の集合を満たさない上記仮名を削除することで、上記可能経路モデルを更新する逆方向可能経路計算部と、
上記順方向可能経路計算部による更新と上記逆方向可能経路計算部による更新を、上記可能経路モデルが変化しなくなるまで交互に繰り返す反復制御部と、
を含む仮名交換範囲決定装置。
【請求項５】
位置情報記憶部に、複数のユーザ端末から受信する、当該ユーザ端末を特定する情報を変換した仮名、当該ユーザ端末の位置、当該ユーザ端末の位置を取得した時刻を含む位置情報が時系列に記憶されており、
仕様取得部が、所望の情報の有用性に基づいて特定される仮名交換可能な位置の集合を表す仮名交換範囲の初期値及び所望のプライバシー安全度の基準値を取得する仕様取得ステップと、
仮名交換モデル取得部が、上記位置情報及び上記仮名交換範囲に基づいて、各時刻において各仮名が取り得る上記ユーザ端末を特定する情報の集合を表す可能経路モデル及び各時刻において仮名交換が可能な仮名の集合を表す仮名交換系列を含む仮名交換モデルを取得する仮名交換モデル取得ステップと、
可能経路計算部が、上記仮名交換系列に基づいて、上記可能経路モデルから選択不可能な経路の組み合わせを削除する可能経路計算ステップと、
プライバシー安全度出力部が、上記更新された可能経路モデルに基づいて、各時刻における各ユーザ端末が取り得る仮名の数に対応するプライバシー安全度を計算するプライバシー安全度出力ステップと、
仮名交換範囲更新部が、上記プライバシー安全度が上記所望のプライバシー安全度の基準値を満たさない場合に、上記仮名交換範囲を変更する仮名交換範囲更新ステップと、
を含む仮名交換範囲決定方法。
【請求項６】
請求項１から４のいずれかに記載の仮名交換範囲決定装置としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、同じ時刻に同じ位置に居合わせた複数のユーザ間で、各ユーザに割り当てられた仮名を確率的に交換する仮名交換型の位置情報提供技術に関し、特に、プライバシー安全度と情報の有用性を両立させつつ仮名交換可能な範囲を決定する技術に関する。
【背景技術】
【０００２】
近年、全地球測位システム（GPS: Global Positioning System）などにより取得したユーザの位置情報の履歴を利用した様々なコンテンツが提供されている。位置情報はユーザのプライバシーに関する情報を含むため、コンテンツ提供者に必要以上のユーザのプライバシーに関する情報が漏えいすることを防ぐために、データを保護する技術（すなわち、プライバシー保護技術）が用いられる。
【０００３】
プライバシー保護技術の一つとして、仮名交換型位置情報システムが提案されている（例えば、非特許文献１参照）。非特許文献１に記載の方法では、各ユーザに仮名（ＩＤ）を割り当てておき、複数のユーザの位置情報を取得する過程で、同じ時刻に同じ場所に居合わせたユーザ間で仮名を確率的に交換することにより、ユーザの真の経路（ユーザのいる位置の履歴）が第三者から特定されにくくするものである。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Ken Mano, Kazuhiro Minami, Hiroshi Maruyama, “Privacy-preserving Publishing of Pseudonym-based Trajectory Location Data Set”, International Conference on Availability, Reliability and Security 2013, pp. 615-624.
【発明の概要】
【発明が解決しようとする課題】
【０００５】
非特許文献１の仮名交換型位置情報提供システムでは、仮名が交換される可能性のある地点が多いほど、ユーザの真の経路が特定しづらくなりプライバシー安全度が高まるが、一方で、局所的な相関性などの情報が得にくくなる。局所的な相関性とは、例えば、「店舗ａに立ち寄った人物が次に店舗ｂに立ち寄る確率」のような、局所的な位置情報間の相関性を表す情報である。
【０００６】
例えば、図１に示すような、店舗ａ〜ｆから構成されるショッピングモールにおいて、各ユーザの位置情報を仮名交換型位置情報提供システムで取得することを考える。このとき、ショッピングモールの通路上の地点Ｘにおいて、店舗ａから店舗ｂに向かう人物Ａと店舗ｄから店舗ａに向かう人物Ｂとの間で仮名交換が行われたとする。
【０００７】
図２は、このとき取得される位置情報の例である。取得される位置情報からは、仮名p1を持つ人物が店舗ａに居続けていて、仮名p2を持つ人物が店舗ｄから店舗ｂに向かうという情報が得られることになり、実際の人物の移動経路に基づく相関関係の情報が解析できない。「店舗ａに立ち寄った人物が次に店舗ｂに立ち寄る確率」を正しく得られるようにするためには、ショッピングモールの通路上（例えば、図１の地点Ｘ）においては仮名交換がされないように制限をする必要がある。
【０００８】
一方、「時刻ｔにおいて店舗ａに何人の人がいるか」といった情報であれば、図１の地点Ｘで仮名が交換されていても正しい情報を得ることができる。そのため、仮名交換を制限する必要はない。
【０００９】
このように、プライバシー安全度を確保しつつ、コンテンツ提供に必要な情報（情報の有用性）も確保するためには、コンテンツに合わせて仮名交換可能な範囲を制限するように位置情報提供システムを設計する必要がある。
【００１０】
この発明の目的は、仮名交換型の位置情報提供システムを設計する技術において、プライバシー安全度と所望の情報の有用性を両立させつつ仮名交換可能な範囲を決定することである。
【課題を解決するための手段】
【００１１】
上記の課題を解決するために、この発明の仮名交換範囲決定装置は、複数のユーザ端末から受信する、当該ユーザ端末を特定する情報を変換した仮名、当該ユーザ端末の位置、当該ユーザ端末の位置を取得した時刻を含む位置情報を時系列に記憶した位置情報記憶部と、所望の情報の有用性に基づいて特定される仮名交換可能な位置の集合を表す仮名交換範囲の初期値及び所望のプライバシー安全度の基準値を取得する仕様取得部と、位置情報及び仮名交換範囲に基づいて、各時刻において各仮名が取り得るユーザ端末を特定する情報の集合を表す可能経路モデル及び各時刻において仮名交換が可能な仮名の集合を表す仮名交換系列を含む仮名交換モデルを取得する仮名交換モデル取得部と、仮名交換系列に基づいて、可能経路モデルから選択不可能な経路の組み合わせを削除する可能経路計算部と、更新された可能経路モデルに基づいて、各時刻における各ユーザ端末が取り得る仮名の数に対応するプライバシー安全度を計算するプライバシー安全度出力部と、プライバシー安全度が所望のプライバシー安全度の基準値を満たさない場合に、仮名交換範囲を変更する仮名交換範囲更新部と、を含む。
【発明の効果】
【００１２】
この発明によれば、プライバシー安全度と情報の有用性を両立させつつ仮名交換可能な範囲を決定することができる。
【図面の簡単な説明】
【００１３】
【図１】図１は、仮名交換型位置情報提供システムを説明するための図である。
【図２】図２は、仮名交換型位置情報提供システムを説明するための図である。
【図３】図３は、仮名交換型位置情報提供システムを説明するための図である。
【図４】図４は、仮名交換型位置情報提供システムを説明するための図である。
【図５】図５は、仮名交換型位置情報提供システムを説明するための図である。
【図６】図６は、仮名交換型位置情報提供システムを説明するための図である。
【図７】図７は、第一実施形態に係る仮名交換範囲決定装置の機能構成を例示する図である。
【図８】図８は、第一実施形態に係る仮名交換範囲決定方法の処理フローを例示する図である。
【図９】図９は、可能経路モデルを説明するための図である。
【図１０】図１０は、可能経路モデルを説明するための図である。
【図１１】図１１は、第二実施形態に係る仮名交換範囲決定装置の機能構成を例示する図である。
【図１２】図１２は、第二実施形態に係る仮名交換範囲決定方法の処理フローを例示する図である。
【発明を実施するための形態】
【００１４】
以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
【００１５】
この発明は、仮名交換型の位置情報提供システムを設計する技術において、プライバシー安全度と情報の有用性を両立させつつ仮名交換可能な範囲を決定する仮名交換範囲決定技術を提供する。
【００１６】
＜仮名交換型位置情報提供システムの説明＞
この発明の実施形態の説明に先立って、非特許文献１に記載された仮名交換型位置情報提供システムについて説明する。
【００１７】
図３は、各時刻t0〜t3（t0<t1<t2<t3）において、ユーザu1がその位置（点線）をa→b→c→dと移動し、ユーザu2がその位置（実線）をf→e→c→gと移動した場合の時刻ごとの位置情報を二次元平面で表した例である。ここで、u1,u2は、各ユーザから位置情報を取得するユーザ端末に固有の識別子（ＩＤ）である。
【００１８】
仮名交換型位置情報提供システムは、同じ時刻に同じ場所に居合わせたユーザ間（正確には、ユーザ端末のＩＤ間）で、割り当てられた仮名を確率的に交換するシステムである。例えば、図３の例では、時刻t2において、ユーザu1とユーザu2が同じ位置に居合わせるので、このときユーザu1とユーザu2に割り当てられる仮名が交換される可能性がある。したがって、出力される（仮名，位置情報，時刻）の情報からは、ユーザu1がa→b→c→dと移動した可能性と、a→b→c→gと移動した可能性と、二通りの可能性が考えられる。ここでは、各ユーザ端末のＩＤが取り得る経路を、各ユーザの可能経路と呼ぶ（すなわち、ユーザ端末とユーザは１対１に対応すると仮定する）。あるユーザの可能経路が複数存在する場合、第三者は可能経路のうちどれがそのユーザの真の経路であるかを特定することが難しくなる。つまり、真の経路が第三者に特定されにくいという意味で、プライバシーの安全性が高いといえる。
【００１９】
一方で、このような方法で取得された各時刻における位置情報は、実際のいずれかのユーザの情報が反映されており、隣り合う時刻において取り得る可能経路は、いずれかのユーザが取った真の経路である。例えば、図３の例で、時刻t2から時刻t3の区間における可能経路c→gもしくはc→dは、ユーザu1もしくはユーザu2のどちらのユーザの真の経路なのかは特定できない。しかし、少なくとも一方はユーザu1が取った真の経路であり、もう一方はユーザu2が取った真の経路であることがわかる。つまり、ユーザのプライバシーを侵害することなく実際のユーザの行動を反映した有益な解析をすることも可能である。
【００２０】
＜発明の目的＞
図４に仮名交換型位置情報提供システムを使用する実環境の一例を示す。図４の例は、６つの店舗ａ，ｂ，ｃ，ｄ，ｅ，ｆ及び２つの出入口１，２から構成される、例えば、ショッピングモールのような建物である。
【００２１】
このショッピングモールへの総入場者数の情報を位置情報から得たい場合、出入口１及び出入口２の付近での仮名交換は行わないことが望ましい。例えば、図５（Ａ）に示すように、人物Ａが入場しようとしており（実線）、人物Ｂが出場しようとしている（破線）とする。このとき、人物Ａの仮名と人物Ｂの仮名が出入口付近で交換されると、図５（Ｂ）に示すように、人物Ａは入場しないで入り口前を素通りした経路（実線）を取り、人物Ｂは出場しないで建物内に戻った経路（破線）を取ったように見えてしまう。そうすると、実際には人物Ａと人物Ｂが入場しているにも関わらず、人物Ｂのみが入場していたように見え、正しい入出場者数がわからなくなってしまう。各店舗の入退場の状況についても同様のことが言える。したがって、例えば、「店舗ａに立ち寄った人が次に店舗ｂに立ち寄る確率」を知りたい場合には、店舗付近以外の通路部分では、仮名交換を制限することが望ましい。図４の例では、仮名交換を制限すべき範囲を斜線で示している。
【００２２】
しかしながら、仮名交換可能な位置が少なくなると、ユーザの真の経路が特定されやすくなる。これはプライバシー安全度が低下することを意味する。そこで、図６に示すように、仮名交換可能な範囲を店舗の近傍範囲（例えば、店舗から半径１ｍ以内など）にまで拡張することで、情報の有用性を確保しつつプライバシー安全度を高めることを考える。図６の例では白抜きで示した店舗の周辺の範囲において仮名交換を可能に設定している。
【００２３】
このように、仮名交換可能な範囲が広くなると、プライバシー安全度は向上するが、情報の有用性は低下する。一方、仮名交換可能な範囲が狭くなると、プライバシー安全度は低下するが、情報の有用性は向上する。したがって、プライバシー安全度と情報の有用性との間にはトレードオフの関係があり、そのバランスは仮名交換可能な範囲の広さにより決定される。この発明の目的は、プライバシー安全度と情報の有用性のバランスを取れるように仮名交換可能な範囲を決定することである。
【００２４】
［第一実施形態］
第一実施形態の仮名交換範囲決定装置１は、図７に示すように、仕様取得部１０、プライバシー安全度計算部２０、判定部３０、仮名交換範囲更新部４０及び位置情報記憶部５０を例えば含む。プライバシー安全度計算部２０は、仮名交換モデル取得部２２、可能経路計算部２４、プライバシー安全度出力部２６を例えば含む。可能経路計算部２４は、順方向可能経路計算部２４２、逆方向可能経路計算部２４４及び反復制御部２４６を例えば含む。
【００２５】
仮名交換範囲決定装置１は、例えば、中央演算処理装置（CPU: Central Processing Unit）、主記憶装置（RAM: Random Access Memory）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。仮名交換範囲決定装置１は、例えば、中央演算処理装置の制御のもとで各処理を実行する。仮名交換範囲決定装置１に入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて読み出されて他の処理に利用される。また、仮名交換範囲決定装置１の各処理部の少なくとも一部が集積回路等のハードウェアによって構成されていてもよい。
【００２６】
仮名交換範囲決定装置１が備える各記憶部は、例えば、RAM（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。仮名交換範囲決定装置１が備える各記憶部は、それぞれ論理的に分割されていればよく、一つの物理的な記憶装置に記憶されていてもよい。
【００２７】
位置情報記憶部５０には、複数のユーザ端末から受信する位置情報が時系列に記憶されている。位置情報は、ユーザ端末を特定する情報を変換した仮名、ユーザ端末の位置、ユーザ端末の位置を取得した時刻を含む、すなわち（仮名，位置情報，時刻）の系列である。位置情報は、従来の仮名交換型位置情報提供システムで取得することができる。仮名交換型位置情報提供システムはユーザ端末から随時送信されるＩＤ、位置、時刻から、そのユーザ端末に割り当てる仮名を決定し、（仮名，位置情報，時刻）からなる位置情報に変換し、その位置情報を位置情報記憶部５０に記憶している。
【００２８】
図８を参照して、第一実施形態の仮名交換範囲決定方法を説明する。
【００２９】
ステップＳ１０において、仕様取得部１０は、所望の情報の有用性に基づいて特定される仮名交換可能な位置の集合を表す仮名交換範囲の初期値（以下、所望の仕様ともいう）と、所望のプライバシー安全度の基準値（以下、下限値ともいう）とを取得する。例えば、上述の「店舗ａに立ち寄った人が次に店舗ｂに立ち寄る確率」を解析したい場合には、仮名交換可能な範囲の初期値は、例えば「店舗内のみ」となる。これは、外部から与えればよい。
【００３０】
ステップＳ２２からＳ２６において、プライバシー安全度計算部２０は、仕様取得部１０で取得した所望の仕様（仮名交換可能な範囲）を初期値として、位置情報記憶部５０に記憶された位置情報を参照し、現在の仕様（仮名交換可能な範囲）のもとでのプライバシー安全度を計算する。
【００３１】
プライバシー安全度計算部２０の詳細構成の説明に先立ち、「仮名交換モデル」「可能経路」「可能経路モデル」「仮名交換系列」について説明する。
【００３２】
〔仮名交換モデル〕
仮名交換範囲決定装置１は（ＩＤ，仮名，位置情報，時刻）の組み合わせを扱うが、プライバシー安全度を評価するにあたっては、位置情報を排除して仮名交換の時間経過（すなわち、各仮名に割り当てられるＩＤが時刻ごとにどのように変化するか）のみを考慮すればよい。仮名交換モデルとは、図９に示すように、仮名交換の時間経過をあみだくじを模した構造によりモデル化したものである。ただし、プライバシー安全度の計算においては、図９に示すようなデータ構造をそのまま記憶しておく必要はなく、後述の可能経路モデルと仮名交換系列とを仮名交換モデルとして扱う。
【００３３】
図９は、図３に示した位置情報の例に対応する仮名交換モデルである。図９における縦線はそれぞれユーザu1,u2,u3を表し、紙面上方から下方へ行くほど時刻が経過していくものとする。横線は、当該時刻において交換される可能性のある仮名間を接続したものである。図９の例では、（１）ユーザu1とユーザu2の間、（２）ユーザu2とユーザu3の間、（３）ユーザu1とユーザu3の間、の順に仮名交換が確率的に起こることを表す。なお、仮名交換範囲決定装置１における仮名交換は、２つの仮名間の交換だけでなく、３以上の仮名の間での置換も可能である。この場合において図９のようにモデル化する場合には、置換を互換の積に置き換えて表現するものとする。例えば、ユーザu1,u2,u3にそれぞれ対応する仮名を（p1,p2,p3）→（p2,p3,p1）に置換する仮名交換は、u1とu2の互換とu2とu3の互換の積で表現できる。
【００３４】
〔可能経路〕
仮名交換モデルにより、各ユーザが各時刻において取り得る仮名の系列がわかる。この、各ユーザが取り得る仮名の系列が可能経路である。
【００３５】
図９の例では、ユーザu1が取り得る可能経路は、p1→p1→p1→p1（経路Ａ、太い実線）とp1→p2→p3→p1（経路Ｂ、太い破線）の２種類である。なお、図面を見やすくするため、時刻を示す横線は、仮名交換を表す太線の下にずらして表示している。
【００３６】
仮名交換モデルは、通常のあみだくじと異なり、横線を使うか使わないかを選択できる。この選択は仮名が交換されたか否かに対応する。何の制約もなければ、各ユーザの可能経路は、あみだくじの横線を使うか使わないかに応じたすべての組み合わせの数だけ存在する。しかしこの条件では、ユーザ数及び横線の数に対して指数関数的に可能経路が増えてしまうので、可能経路の数と相関のあるユーザのプライバシー安全度を実用的な時間で評価することが困難となる。
【００３７】
そこで、プライバシー安全度を評価するにあたっては、所定時間区間（T1,T2）の開始時刻T1と終了時刻T2においては各仮名とユーザとの対応関係がわかっている（予め定められている）ものとし、これを制約条件する。この仮定は実世界における自然な設定を反映したものである。例えば、多くの人は朝自宅を出て、夜自宅に帰るので、一日のうち始点と終点の位置は同じ位置（すなわち、自宅周辺の位置情報）になる可能性が高い。例えば、朝（時刻t0）と夜（時刻te）において仮名p1と仮名p3が同じ位置Xにいる場合、すなわち位置情報（p1,X,t0）及び（p3,X,te）が存在する場合、これらの位置情報は同じユーザについての情報である可能性が高い。よって、位置情報記憶部に記憶された情報のみから、あるユーザは時刻t0において仮名p1を使い、時刻teにおいて仮名p3を使っている可能性が高いことが推定できる。この点については、位置情報提供システムでは避けられない事象である。すなわち、位置情報提供システムができることは、開始時刻T1と終了時刻T2の中間の時刻ti（T1<ti<T2）において各ユーザのプライバシー安全度を高めることである。よって、上記制約条件のもとでの可能経路を計算しても何ら矛盾はない。
【００３８】
この制約条件を考慮すると、ユーザごとに可能経路を単に計算するだけでは正しい可能経路（真の可能経路）を計算できないことがわかる。例えば、図９の経路Ｂは、図９のモデルにおいては真の可能経路ではない。経路Ｂは、時刻t1で仮名p1と仮名p2の間で交換が行われることを意味するが、この交換を行うとユーザu2が仮名p1を使うことになる。そして、時刻t3で仮名p1と仮名p3の間で交換が行われると、ユーザu2は仮名p3を使うことになる。しかし、図９の例は、終了時刻T2=t3において仮名p3にはユーザu3が割り当てられることを示しており、この条件と整合しない。つまり、図９の例では、ユーザu1の真の可能経路は経路Ａのみである。
【００３９】
〔可能経路モデル〕
可能経路モデルは、開始時刻T1と終了時刻T2で各ユーザに割り当てられる仮名を位置情報記憶部５０から取得した情報とし、各時刻T1<ti<T2において各ユーザに割り当てられる可能性のある仮名をすべての仮名の集合と仮定して作成されるテーブルである。可能経路モデルの一例を次表に示す。
【００４０】
【表１】
2015219635.tif 000003
【００４１】
この表は、図１０に示した仮名交換モデルにおける可能経路を計算するための可能経路モデルを想定している。そのため、時刻がt0〜t4の５つから構成されている。
【００４２】
この初期状態は、真の可能経路を表現したものではない。この表を初期値として、可能経路計算部２４において、仮名交換モデルに当てはめることにより、各時刻の各ユーザに対応する仮名集合を更新することで、真の可能経路モデルが得られる。真の可能経路の具体的な計算方法は後述する。
【００４３】
〔仮名交換系列〕
仮名交換系列は、仮名交換モデルの各時刻において交換可能なユーザのインデックスの集合を表したリストである。図１０に示す仮名交換モデルに対応する仮名交換系列は、次表のようになる。
【００４４】
【表２】
2015219635.tif 000004
【００４５】
この表は、位置情報記憶部５０に記憶された位置情報の系列において、同じ時刻かつ同じ位置情報を持つ仮名のインデックスの組を、当該時刻において交換可能なインデックスとして列挙したものと同じである。つまり、位置情報記憶部５０に記憶された位置情報に基づいて作成することができる。
【００４６】
ただし、仕様取得部１０において所望の仕様（仮名交換可能な範囲）が与えられているので、仮名交換系列は、所望の仕様と合致する交換可能なインデックスのみからなる系列とする。つまり、位置情報記憶部５０に記憶された位置情報のうち、所望の仕様で認められている位置、かつ、同じ時刻をもつ仮名のインデックスの組を当該時刻において交換可能なインデックスとして列挙したものである。
【００４７】
以下、プライバシー安全度の計算方法を詳細に説明する。
【００４８】
ステップＳ２２において、仮名交換モデル取得部２２は、位置情報記憶部５０に記憶された位置情報及び仕様取得部１０が取得した仮名交換範囲もしくは仮名交換範囲更新部４０が出力する仮名交換範囲に基づいて、各時刻において各仮名が取り得るユーザ端末を特定する情報の集合を表す可能経路モデル及び各時刻において仮名交換が可能な仮名の集合を表す仮名交換系列を含む仮名交換モデルを取得する。具体的には、予め定められた開始時刻T1と終了時刻T2における仮名とＩＤとの対応関係と、開始時刻T1と終了時刻T2の間の各時刻における仮名交換の対象となる仮名の集合とを位置情報記憶部５０から取得し、仮名交換モデルを作成する。ここでの仮名交換モデルとは、各時刻において各仮名とその仮名が取り得るＩＤの集合とを対応づけた可能経路モデルと、各時刻において交換される可能性のある仮名の集合からなる仮名交換系列とで表現される。
【００４９】
ステップＳ２４２からＳ２４６において、可能経路計算部２４は、仮名交換モデル取得部２２が出力する仮名交換モデルに含まれる仮名交換系列に基づいて、仮名交換モデルに含まれる可能経路モデルから選択不可能な経路の組み合わせを削除することで可能経路モデルを更新する。
【００５０】
ステップＳ２４２において、順方向可能経路計算部２４２は、時系列と順方向に順番に（すなわち、T1=t0,T2=teとしたとき、i=1,2,…,e-1の順に）、
（１）仮名交換系列から得られる時刻tiにおいて交換可能なインデックスの集合
（２）可能経路モデルの時刻tiにおける各ＩＤに対応する仮名の集合
（３）可能経路モデルの時刻ti-1における各ＩＤに対応する仮名の集合
を制約条件として、時刻tiにおいて各ＩＤの取り得る仮名の集合を更新することにより、可能経路モデルを更新する。
【００５１】
s回目の更新後の可能経路モデルにおいて、時刻tiでユーザujに対応する仮名の集合をAs(ti,uj)とする。なお、時刻t0における各仮名に対応するＩＤの集合は更新されない（すなわち、位置情報記憶部５０に記憶されている結果のまま固定である）ため、任意のs≧1についてAs(ti,uj)=A0(ti,uj)である。
【００５２】
順方向可能経路計算部２４２は、具体的には以下の処理により可能経路モデルを更新する。
（１）As(ti-1,uj)の制約条件を満たすように、各uj（j=1,2,…,U、Uはユーザの総数）について相異なる仮名を１つずつ選択する。可能なすべての組み合わせを求めて、交換前組み合わせリストを作成する。
（２）上記で求めた交換前組み合わせリスト中の各組み合わせについて、仮名交換系列が示す時刻tiにおいて交換可能な仮名を交換した交換後組み合わせリストを作成する。
（３）得られた交換後組み合わせリスト中の各組み合わせが、As-1(ti,uj)の制約条件を満たすか否かを判定する。制約条件を満たす組み合わせのみを残し、制約条件を満たさない組み合わせを除いて、交換後組み合わせリストを更新する。
（４）交換前組み合わせリストと更新後の交換後組み合わせリストを合わせた組み合わせリストにより可能経路モデルを更新する。
【００５３】
表１及び表２の例を用いて、より具体的に処理を説明する。
【００５４】
＜A1(t1,uj)の計算＞
（１）各ＩＤについてA1(t0,uj)で取りうる仮名は１種類ずつしかないので、可能な組み合わせは（p1,p2,p3）のみである。ここで、各組み合わせ（括弧で括られた仮名集合）において、第１要素、第２要素、第３要素の順にユーザu1,u2,u3にそれぞれ対応する仮名を表す。よって、交換前組み合わせリストは、
（（p1,p2,p3））
である。
【００５５】
（２）時刻t1において交換可能なユーザのインデックスは{2,3}なので、交換後組み合わせリストは、p2とp3を交換し、
（（p1,p3,p2））
である。
【００５６】
（３）交換後組み合わせリスト中の各組み合わせが、A0(t1,uj)の制約条件を満たすか否かを判定する。ここでは、
u1に対応する仮名：p1∈A0(t1,u1)={p1,p2,p3}
u2に対応する仮名：p3∈A0(t1,u2)={p1,p2,p3}
u3に対応する仮名：p2∈A0(t1,u3)={p1,p2,p3}
なので、制約条件を満たす。よって、交換後組み合わせリストは変化しない。なお、もし制約条件を満たさない場合には、交換後組み合わせリストは空のリストに更新される。
【００５７】
（４）以上の処理により、交換前組み合わせリストと交換後組み合わせリストの和である組み合わせリストは、
（（p1,p2,p3）,（p1,p3,p2））
である。よって、ユーザu1に対応する仮名集合を{p1}、ユーザu2に対応する仮名集合を{p2,p3}、ユーザu3に対応する仮名集合を{p2,p3}に更新する。つまり、可能経路モデルは、次表のように更新される。
【００５８】
【表３】
2015219635.tif 000005
【００５９】
＜A1(t2,uj)の計算＞
（１）上記の処理により、交換前組み合わせリストは、
（（p1,p2,p3）,（p1,p3,p2））
である。
【００６０】
（２）時刻t2において交換可能なインデックスは{1,2}なので、交換後組み合わせリストは、
（（p2,p1,p3）,（p3,p1,p2））
である。なお、インデックスはユーザのインデックス、つまり、リスト中の要素番号に対応するものであり、pの添え字の番号を指すものではないことに注意されたい。
【００６１】
（３）交換後組み合わせリスト中の各組み合わせが、A0(t2,uj)の制約条件を満たすか否かを判定する。ここでは、
u1に対応する仮名：{p2,p3}∈A0(t2,u1)={p1,p2,p3}
u2に対応する仮名：{p1}∈A0(t2,u2)={p1,p2,p3}
u3に対応する仮名：{p2,p3}∈A0(t2,u3)={p1,p2,p3}
なので、制約条件を満たす。よって、更新後の交換後組み合わせリストは変化しない。
【００６２】
（４）以上の処理により、交換前組み合わせリストと交換後組み合わせリストの和である組み合わせリストは、
（（p1,p2,p3）,（p1,p3,p2）,（p2,p1,p3）,（p3,p1,p2））
である。よって、可能経路モデルは以下のように更新される。
【００６３】
【表４】
2015219635.tif 000006
【００６４】
同様に、時刻t3について計算を行うと、可能経路モデルは以下のように更新される。
【００６５】
【表５】
2015219635.tif 000007
【００６６】
これが、順方向可能経路計算部２４２から出力される可能経路モデルとなる。
【００６７】
ステップＳ２４４において、逆方向可能経路計算部２４４は、時系列と逆方向に順番に（すなわち、T1=t0,T2=teとしたとき、i=e-1,e-2,…,1の順に）、
（１）仮名交換系列から得られる時刻ti+1において交換可能なＩＤの集合
（２）可能経路モデルの時刻ti+1における各ＩＤに対応する仮名の集合
を制約条件として、時刻tiにおいて各ＩＤの取り得る仮名の集合を更新することにより、可能経路モデルを更新する。
【００６８】
逆方向可能経路計算部２４４は、具体的には以下の処理により可能経路モデルを更新する。
【００６９】
（１）As(ti+1,uj)の制約条件を満たすように、各uj（j=1,2,…,U、Uはユーザの総数）について相異なる仮名を１つずつ選択する。可能なすべての組み合わせを求めて、交換前組み合わせリストを作成する。
（２）上記で求めた交換前組み合わせリスト中の各組み合わせについて、仮名交換系列が示す時刻tiにおいて交換可能な仮名を交換した交換後組み合わせリストを作成する。
（３）得られた交換後組み合わせリスト中の各組み合わせが、As-1(ti,uj)の制約条件を満たすか否かを判定する。制約条件を満たす組み合わせのみを残し、制約条件を満たさない組み合わせを除いて、交換後組み合わせリストを更新する。
（４）交換前組み合わせリストと更新後の交換後組み合わせリストを合わせた組み合わせリストにより可能経路モデルを更新する。
【００７０】
表１及び表２の例を用いて、より具体的に処理を説明する。
【００７１】
＜A2(t4,uj)の計算＞
（１）各仮名についてA2(t4,uj)で取りうるＩＤは１種類ずつしかないので、可能な組み合わせは（p1,p2,p3）のみである。よって、交換前組み合わせリストは、
（（p1,p2,p3））
である。
【００７２】
（２）時刻t4において交換可能なインデックスは{1,3}なので、交換後組み合わせリストは、p1とp3を交換し、
（（p3,p2,p1））
である。
【００７３】
（３）交換後組み合わせリスト中の各組み合わせが、A1(t3,uj)の制約条件を満たすか否かを判定する。ここでは、
u1に対応する仮名：p3∈A1(t3,u1)={p1,p2,p3}
u2に対応する仮名：p2∈A1(t3,u2)={p1,p2,p3}
u3に対応する仮名：p1∈A1(t3,u3)={p1,p2,p3}
なので、制約条件を満たす。よって、交換後組み合わせリストは変化しない。
【００７４】
（４）以上の処理により、交換前組み合わせリストと交換後組み合わせリストの和である組み合わせリストは、
（（p1,p2,p3）,（p3,p2,p1））
である。よって、ユーザu1に対応する仮名集合を{p1,p3}、ユーザu2に対応する仮名集合を{p2}、ユーザu3に対応する仮名集合を{p1,p3}に更新する。つまり、可能経路モデルは、次表のように更新される。
【００７５】
【表６】
2015219635.tif 000008
【００７６】
＜A2(t3,uj)の計算＞
（１）上記の処理により、更新前組み合わせリストは、
（（p1,p2,p3）,（p3,p2,p1））
である。
【００７７】
（２）時刻t3において交換可能なインデックスは{2,3}なので、交換後組み合わせリストは、
（（p1,p3,p2）,（p3,p1,p2））
である。
【００７８】
（３）交換後組み合わせリスト中の各組み合わせが、A2(t2,uj)の制約条件を満たすか否かを判定する。ここでは、
u1に対応する仮名：{p1,p3}∈A0(t3,u1)={p1,p2,p3}
u2に対応する仮名：{p1,p3}∈A0(t3,u2)={p1,p2,p3}
u3に対応する仮名：{p2}∈A0(t3,u3)={p1,p2,p3}
なので、制約条件を満たす。よって、更新後の交換後組み合わせリストは変化しない。
【００７９】
（４）以上の処理により、交換前組み合わせリストと交換後組み合わせリストの和である組み合わせリストは、
（（p1,p2,p3）,（p3,p2,p1）,（p1,p3,p2）,（p3,p1,p2））
である。よって、可能経路モデルは以下のように更新される。
【００８０】
【表７】
2015219635.tif 000009
【００８１】
同様に、時刻t1について計算を行うと、可能経路モデルは以下のように更新される。
【００８２】
【表８】
2015219635.tif 000010
【００８３】
これが、逆方向可能経路計算部２４４から出力される可能経路モデルとなる。
【００８４】
ステップＳ２４６において、反復制御部２４６は、上記の順方向可能経路計算部２４２と逆方向可能経路計算部２４４を、所定の収束条件を満たすまで交互に繰り返し実行させる。ここで、最初の実行時は必ず順方向可能経路計算部２４２を実行させるものとする。順方向可能経路計算部２４２により得られた更新後の可能経路モデルが更新前の可能経路モデルと変化がなければ繰返し処理を終了し、プライバシー安全度出力部２６に更新後の可能経路モデルを出力する。変化があった場合には、逆方向可能経路計算部２４４を実行させる。
【００８５】
同様に、逆方向可能経路計算部２４４により得られた更新後の可能経路モデルが更新前の可能経路モデルと変化がなければ繰返し処理を終了し、プライバシー安全度出力部２６に更新後の可能経路モデルを出力する。変化があった場合には、再度、順方向可能経路計算部２４２を実行させる。
【００８６】
上述の例では、１回目の順方向可能経路計算部２４２を実行して得られる可能経路モデル（表５）は初期状態（表１）とは異なるため、逆方向可能経路計算部２４４を実行する。逆方向可能経路計算部２４４を実行して得られる可能経路モデル（表８）は、順方向可能経路計算部２４２を実行して得られる可能経路モデル（表５）とは異なるため、再度順方向可能経路計算部２４２を実行する。再度順方向可能経路計算部２４２を実行しても逆方向可能経路計算部２４４を実行して得られる可能経路モデル（表８）の結果から変化がないため、反復制御部２４６は処理を終了し、逆方向可能経路計算部２４４を実行して得られる可能経路モデル（表８）をプライバシー安全度出力部２６に出力する。
【００８７】
ステップＳ２６において、プライバシー安全度出力部２６は、可能経路計算部２４の出力する可能経路モデルに基づいて、各時刻における各ユーザ端末が取り得る仮名の数に対応するプライバシー安全度を計算し、出力する。
【００８８】
時刻tiにおける各ユーザのプライバシー安全度は、例えば、次表の通りである。
【００８９】
【表９】
2015219635.tif 000011
【００９０】
この例では、プライバシー安全度は可能経路モデルの各時刻において取り得る仮名の数そのものとしている。しかしながら、プライバシー安全度は取り得る仮名の数の増加に対して単調増加の関係にある指標であれば何でもよい。
【００９１】
ステップＳ３０において、判定部３０は、プライバシー安全度計算部２０が計算したプライバシー安全度が、仕様取得部１０で取得した所望のプライバシー安全度の下限値より低い場合には、ステップＳ４０へ処理を進める。プライバシー安全度が所望のプライバシー安全度の下限値以上である場合には、現在の仮名交換可能な範囲を出力して処理を終了する。
【００９２】
ステップＳ４０において、仮名交換範囲更新部４０は、判定部３０においてプライバシー安全度計算部２０で計算されたプライバシー安全度が仕様取得部１０で取得した所望のプライバシー安全度の下限値より低いと判定された場合に、現在の仕様よりも仮名交換可能な範囲を拡大し、新たな仮名交換可能な範囲をプライバシー安全度計算部２０へ出力する。
【００９３】
［第二実施形態］
第二実施形態の仮名交換範囲決定装置２は、第一実施形態の仮名交換範囲決定装置１よりも、効率的に仮名交換可能な範囲を決定する構成である。
【００９４】
仮名交換範囲決定装置１では、仮名交換可能な範囲が最も制限された状態（狭い範囲）から、徐々に仮名交換可能な範囲を拡大していく方向で計算を行う。この場合、プライバシー安全度の計算を行う際に、毎回、現在の仮名交換可能な範囲に基づいて最初から計算をやり直す必要がある。したがって、非常に効率が悪い。
【００９５】
そこで、仮名交換範囲決定装置２では、初期状態を仮名交換可能な範囲が制限されていない状態（最も広い範囲）から開始し、徐々に仮名交換可能な範囲を狭めていく方向で計算を行う。仮名交換可能な範囲を狭めることは、図１０に示すような仮名交換モデルにおける横棒の一部を削除することに相当する。言い換えれば、仮名交換系列のリストの要素を減らすことに相当する。新たに削減された横棒部分に至る直前までの計算結果は１ステップ前のものを再利用できるので、効率よく所望のプライバシー安全度と所望の情報の有用性を両立しながら仮名交換可能な範囲を決定することができる。
【００９６】
図１１に第二実施形態の仮名交換範囲決定装置２の機能構成の例を示す。仮名交換範囲決定装置２は、仮名交換範囲決定装置１と同様に、仕様取得部１０、プライバシー安全度計算部２０、判定部３０、仮名交換範囲更新部４０及び位置情報取得部５０を例えば含み、さらに、交換位置候補取得部４２、削除候補決定部４４及び可能経路モデル記憶部６０を例えば含む。
【００９７】
第二実施形態の仮名交換範囲決定装置２では、プライバシー安全度計算部２０の処理が、以下の点で第一実施形態の仮名交換範囲決定装置１と異なる。
１．仮名交換モデル取得部２２が１回目に取得する仮名交換系列が、所望の仕様により制限されない。
２．可能経路計算部２４が各ステップを実行するたびに出力する可能経路モデルをそれぞれ個別に可能経路モデル記憶部６０に記憶する。
３．２回目以降の各部の処理が異なる。
【００９８】
上記１．に関しては、１回目にプライバシー安全度計算部２０を実行するときの仕様（すなわち、仮名交換可能な範囲）を全領域とする。よって、位置情報記憶部５０に記憶された位置情報の系列において、同じ時刻かつ同じ位置情報を持つ仮名のインデックスの組を、当該時刻において交換可能なインデックスとして列挙したものが仮名交換系列となる。
【００９９】
上記２．に関しては、２回目以降のプライバシー安全度計算部２０において再利用するために、可能経路計算部２４が各ステップで出力する可能経路モデルを可能経路モデル記憶部６０に記憶しておく。
【０１００】
上記３．に関しては、２回目以降のプライバシー安全度計算部２０の処理を以下に説明する。
【０１０１】
図１２を参照して、第二実施形態の仮名交換範囲決定方法を説明する。以下では、上述の第一実施形態との相違点を中心に説明する。
【０１０２】
ステップＳ１０において、仕様取得部１０は、所望の情報の有用性に基づいて特定される仮名交換可能な範囲の初期値（以下、所望の仕様ともいう）と、所望のプライバシー安全度の下限値とを取得する。
【０１０３】
ステップＳ３０において、判定部３０は、プライバシー安全度計算部２０が計算したプライバシー安全度が、仕様取得部１０で取得した所望のプライバシー安全度の下限値より高い場合には、ステップＳ４０へ処理を進める。プライバシー安全度が所望のプライバシー安全度の下限値以下である場合には、その１ステップ前の仮名交換可能な範囲を出力して処理を終了する。
【０１０４】
ステップＳ４０において、仮名交換範囲更新部４０は、判定部３０においてプライバシー安全度計算部２０で計算されたプライバシー安全度が仕様取得部１０で取得した所望のプライバシー安全度の下限値より高いと判定された場合に、現在の仕様よりも仮名交換可能な範囲を縮小し、新たな仮名交換可能な範囲をプライバシー安全度計算部２０に送る。
【０１０５】
ステップＳ４２において、交換位置候補取得部４２は、位置情報記憶部５０から仮名交換される可能性のある位置情報のリスト（以下、交換位置候補リストともいう）を取得する。すなわち、位置情報記憶部５０に記憶された（仮名，位置情報，時刻）を参照し、同じ時刻かつ同じ位置情報を持つ仮名が複数あるか否かを判定し、複数ある場合に、その位置情報を交換位置候補リストに加える。作成した交換位置候補リストは削除候補決定部４４へ出力される。
【０１０６】
ステップＳ４４において、削除候補決定部４４は、交換位置候補取得部４２から出力された交換位置候補リストから仮名交換を制限する位置候補を決定し削除候補リストに加える。具体的には、交換位置候補リストに含まれる位置情報のうち、仕様取得部１０で取得した所望の仕様に対応する位置情報（例えば、各店舗内に対応する位置情報）のいずれからも距離が離れている位置情報を削除候補とする。このとき、削除候補となり得る位置情報が多い場合には、距離が最も離れているものから順に所定数を削除候補と決定すればよい。作成した削除候補リストはプライバシー安全度計算部２０へ出力される。
【０１０７】
ステップＳ２２において、仮名交換モデル取得部２２は、削除候補決定部４４から入力された削除候補リストと、位置情報記憶部５０に記憶された位置情報とを参照して、仮名交換系列を更新する。具体的には、位置情報に記憶された同じ時刻かつ同じ位置情報を持つ仮名のインデックスの組のうち、その位置情報が削除候補決定部４４から入力された削除候補リストに含まれているインデックスの組を、仮名交換系列から削除する。削除したインデックスの組に対応する時刻及び削除したインデックスの組をいずれかの記憶部（例えば可能経路モデル記憶部６０）へ記憶しておく。
【０１０８】
ステップＳ２４２からＳ２４６において、可能経路計算部２４は、仮名交換モデル取得部２２で仮名交換系列を更新したときに得られる削除したインデックスの組と対応する時刻の集合に基づいて、削除されたインデックスの組に関連する部分だけ可能経路を再計算することで可能経路モデルを更新する。また、各ステップで更新される可能経路モデルを都度可能経路モデル記憶部６０に記憶しておく。
【０１０９】
ステップＳ２４２において、順方向可能経路計算部２４２は、削除されたインデックスの組と対応する時刻の集合のうち、最も早い時刻をtiとしたとき、As(ti,uj)の計算結果である可能経路モデルを可能経路モデル記憶部６０から読み出す。
【０１１０】
次に、時刻tiに対応する削除されたインデックスの組を{I1(ti),I2(ti)}としたとき、As(ti,uI_1(t_i))及びAs(ti,uI_2(t_i))の結果は、１時刻前のAs(ti-1,uI_1(t_i))及びAs(ti-1,uI_2(t_i))の結果をコピーすることで、読み出した可能経路モデルの対応する要素を更新する。
【０１１１】
そして、時刻ti+1以降のAs(tk,ui)（j=1,2,…,U、k=i+1,i+2,…,T2-1）を再計算することで可能経路モデルを更新する。このとき、時刻tiから遡って、{I1(ti),I2(ti)}と関連するインデックスの組をたどった時に、関連するインデックスに含まれないインデックスについては、計算結果が変わることはないので、現在記憶されているAs(tk,ui)の値をそのまま利用してよい。例えば、表１及び表２の例において、仮に、ユーザu1,u2,u3に加えてユーザu4,u5が存在していた場合、ユーザu4,u5に関する可能経路モデルは更新する必要はない。
【０１１２】
このように、第二実施形態では、仮名交換可能な範囲を制限しない状態を初期状態として、徐々に仮名交換可能な位置を制限しながらプライバシー安全度を計算し、プライバシー安全度が所望の値を下回る直前の仮名交換可能な位置を求める。また、プライバシー安全度の計算にあたっては、１つ前のステップの計算結果のうち、新たに削除された仮名交換候補に関連しない部分の結果を流用し、削除された仮名交換候補に関連する部分のみを再計算する。したがって、第一実施形態よりも効率よくプライバシー安全度を計算することができる。
【０１１３】
［上位概念の抽出］
第一実施形態では、仮名交換範囲更新部４０は、プライバシー安全度計算部２０で計算されたプライバシー安全度が仕様取得部１０で取得した所望のプライバシー安全度の下限値より低いと判定された場合に、仮名交換範囲を拡大する。一方、第二実施形態では、仮名交換範囲更新部４０は、プライバシー安全度計算部２０で計算されたプライバシー安全度が仕様取得部１０で取得した所望のプライバシー安全度の下限値より高いと判定された場合に、仮名交換範囲を縮小する。
【０１１４】
プライバシー安全度を判定する方法や、判定結果により仮名交換範囲を変更する方法は、これらの実施形態の記載に限定されるものではない。この発明のポイントは、プライバシー安全度が所望のプライバシー安全度の基準値を満たさない場合に、仮名交換範囲を変更することである。この趣旨に合致する限り、どのようにプライバシー安全度を判定するものであってもよいし、その判定結果によりどのように仮名交換範囲を変更するものであってもよい。
【０１１５】
この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。
【０１１６】
［プログラム、記録媒体］
上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。
【０１１７】
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
【０１１８】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【０１１９】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
【０１２０】
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【符号の説明】
【０１２１】
１、２  仮名交換範囲決定装置
１０  仕様取得部
２０  プライバシー安全度計算部
２２  仮名交換モデル取得部
２４  可能経路計算部
２４２  順方向可能経路計算部
２４４  逆方向可能経路計算部
２４６  反復制御部
２６  プライバシー安全度出力部
３０  判定部
４０  仮名交換範囲更新部
４２  交換位置候補取得部
４４  削除候補決定部
５０  位置情報記憶部
６０  可能経路モデル記憶部
【図１】
2015219635.tif 000012
【図２】
2015219635.tif 000013
【図３】
2015219635.tif 000014
【図４】
2015219635.tif 000015
【図５】
2015219635.tif 000016
【図６】
2015219635.tif 000017
【図７】
2015219635.tif 000018
【図８】
2015219635.tif 000019
【図９】
2015219635.tif 000020
【図１０】
2015219635.tif 000021
【図１１】
2015219635.tif 000022
【図１２】
2015219635.tif 000023