(57)【要約】  本発明の情報処理装置は、単方向通信を用いて自装置の位置に関する情報を送信し、他の装置の位置に関する情報を受信する通信手段と、位置に関する情報を用いる装置の範囲を規定する制約を基に、通信手段を介し他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出する対象情報抽出手段と、抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する匿名化手段とを含む。
2016031177.tif 000002
【特許請求の範囲】
【請求項１】
単方向通信を用いて自装置の位置に関する情報を送信し、他の装置の位置に関する情報を受信する通信手段と、
位置に関する情報を用いる装置の範囲を規定する制約を基に、前記通信手段を介し前記他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出する対象情報抽出手段と、
前記抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する匿名化手段と
を含む情報処理装置。
【請求項２】
前記対象情報抽出手段が、
前記通信手段を介して前記匿名化された位置に関する情報を、その情報を利用する装置に送信する
請求項１に記載の情報処理装置。
【請求項３】
前記匿名化された位置に関する情報を利用する装置に送信する装置である代表となる装置を決定する代表決定手段を含む
請求項１又は２に記載の情報処理装置。
【請求項４】
前記通信手段が、
前記自装置の位置に関する情報の送信及び他の装置の位置に関する情報受信に、前記匿名化された位置に関する情報の送信に用いられる通信より通信距離の短い近距離通信を用いる
請求項１ないし３のいずれか１項に記載の情報処理装置。
【請求項５】
前記制約を格納する制約情報格納手段と、
前記他の装置から受信した位置に関する情報を格納する受信情報格納手段と
を含む請求項１ないし４のいずれか１項に記載の情報処理装置。
【請求項６】
前記制約情報格納手段が、
前記通信手段が位置に関する情報を送信及び受信可能な範囲である通信可能範囲の中に少なくとも１つ含まれるように設定された制約を格納する
請求項５に記載の情報処理装置。
【請求項７】
前記匿名化手段が、
位置に関する情報をグループに分割して匿名化する
請求項１ないし６のいずれか１項に記載の情報処理装置。
【請求項８】
単方向通信を用いて自装置の位置に関する情報を送信し、他の装置の位置に関する情報を受信し、
位置に関する情報を用いる装置の範囲を規定する制約を基に、前記他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出し、
前記抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する
情報処理方法。
【請求項９】
単方向通信を用いて自装置の位置に関する情報を送信する処理と、他の装置の位置に関する情報を受信する処理と、
位置に関する情報を用いる装置の範囲を規定する制約を基に、前記他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出する処理と、
前記抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する処理と
をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な不揮発性記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報の処理に関し、特に、情報の匿名化に関する。
【背景技術】
【０００２】
近年、利用者の位置情報を用いたサービスが、広がっている。【０００３】
例えば、利用者が携帯する端末装置（情報処理装置）は、ＧＰＳ（Global Positioning System）を備えている。そして、その携帯端末装置（情報処理装置）は、ＧＰＳを用いて測定した位置情報を所定のシステムに提供し、そのシステムから位置に対応するサービス情報を受けることができる。【０００４】
このような位置情報に基づくサービスにおいて、個別の端末装置に対するサービスではなく、複数の端末装置間のサービスが、提供されている（例えば、特許文献１を参照）。【０００５】
ただし、位置情報は、個人に関する情報である。そのため、利用者は、できる限り、自分の位置情報の提供を避けたいと考える。【０００６】
しかし、特許文献１に記載の技術は、位置情報を秘匿できないという問題点があった。【０００７】
そこで、位置情報を匿名化する技術が、用いられている（例えば、特許文献２及び特許文献３を参照）。【０００８】
ここで、データを匿名化する情報処理装置は、一般的に、所定の匿名性の方針に基づいて、データを匿名化する。【０００９】
例えば、「ｋ−匿名性」及び「ｌ−多様性」は、広く用いられている匿名性の方針である。【００１０】
「ｋ−匿名性」は、データの各グループにおいて、同じ準識別子又は準識別子の組を含むデータが、「ｋ」個以上含まれることを保証する方針である。ここで、「準識別子」とは、他のデータと組み合わせると個人を特定できるデータである。【００１１】
また、「ｌ−多様性」は、データの各グループにおいて、センシティブデータの種類が、「ｌ」個以上含まれることを保証する方針である。ここで、センシティブデータとは、ユーザが公開したくない情報である。【００１２】
なお、「ｋ−匿名化」とは、「ｋ−匿名性」を満足するような匿名化である。また、「ｌ−多様化」とは、「ｌ−多様性」を満足するような匿名化である。【００１３】
情報処理装置は、位置情報を準識別子又はセンシティブデータとして、上記の匿名性を満足するように、位置情報を含むデータを匿名化すればよい。【００１４】
また、匿名化の手法は、多く提案されている（例えば、非特許文献１を参照）。非特許文献１に記載の「Mondrian Multidimensional」は、準識別子を１つのグループにまとめた後、ｋ−匿名性を満足するように、準識別子をグループに分割する手法である。【００１５】
そこで、所定の範囲に含まれる情報処理装置が、位置情報を匿名化する場合、その情報処理装置は、例えば、非特許文献１に記載された技術を用いて、その範囲に含まれる他の情報処理装置の位置情報と自装置の位置情報とを匿名化する。より詳細には、情報処理装置は、所定の範囲に含まれる他の情報処理装置の位置情報と自装置の位置情報とをグループに分割し、各グループに含まれる情報処理装置の位置情報を、グループ毎に匿名化する。【００１６】
しかし、非特許文献１、特許文献２及び特許文献３に記載された技術（以下、まとめて、「特許文献などに記載された技術」と呼ぶ）は、次のような問題点があった。【００１７】
すなわち、情報処理装置は、それぞれ、異なる位置に存在する。そのため、情報処理装置が特許文献などに記載された技術を用いて匿名化のために設定するグループは、情報処理装置間で、一致するとは限らない。つまり、特許文献などに記載された技術を用いた場合、一つの情報処理装置が設定するグループと、他の情報処理装置が設定するグループとの間で、そのグループに含まれる装置が異なる場合がある。【００１８】
このことを、図面を参照して、より詳細に説明する。【００１９】
図９は、背景技術である特許文献などに記載された技術を説明するための図である。【００２０】
図９において、範囲９０は、複数の情報処理装置を含む。図９に示す丸は、範囲９０に含まれる情報処理装置の位置を示す。ここで、情報処理装置９１ないし情報処理装置９９は、以下の説明に関連する範囲９０に含まれる装置である。なお、図９において符号を付していない丸は、以下の説明に関係しない情報処理装置を示す。また、以下の説明における匿名性の方針は、「４−匿名性」とする。さらに、情報処理装置９１ないし情報処理装置９９は、通信範囲が限られている。【００２１】
図１０は、情報処理装置９１が、特許文献などに記載された技術を用いて設定したグループ分割の一例を示す図である。【００２２】
図１０に示す破線の範囲は、情報処理装置９１の通信可能範囲である。つまり、情報処理装置９１は、破線で示す範囲の情報処理装置（情報処理装置９２ないし情報処理装置９８）と通信可能である。この通信関係に基づいて、情報処理装置９１は、例えば、情報処理装置９１ないし情報処理装置９８を、図１０に示すグループ９１１とグループ９１２とに分割する。【００２３】
図１１は、情報処理装置９８が、特許文献などに記載の技術を用いて設定したグループ分割の一例を示す図である。【００２４】
図１１に示す破線の範囲は、情報処理装置９８の通信可能範囲である。つまり、情報処理装置９８は、破線で示す範囲の情報処理装置（情報処理装置９１ないし情報処理装置９３、情報処理装置９５ないし情報処理装置９７、及び、情報処理装置９９）と通信可能である。この通信関係に基づいて、情報処理装置９８は、図１１に示すように、上記の情報処理装置を、グループ９２１とグループ９２２とに分割する。【００２５】
このように、情報処理装置９１と通信可能な情報処理装置は、情報処理装置９８と通信可能な情報処理装置とは異なる装置を含む。この装置の関係に基づいて、情報処理装置９１と情報処理装置９８とは、互いに異なる情報処理装置が含まれるグループに、情報処理装置を分割する。そして、情報処理装置９１は、情報処理装置９８で生成されるグループと異なる分割後のグループを基に、位置情報を匿名化する。この結果、情報処理装置９１は、情報処理装置９８と、同じ匿名化処理を実現できない。他の情報処理装置も、同様である。つまり、情報処理装置９１ないし情報処理装置９９において、適切な匿名性が、保証されない。【００２６】
つまり、位置情報の適切な匿名化のためには、情報処理装置が、匿名化のためのグループ分割として、同じ分割を設定することが、必要である。しかし、特許文献などに記載の技術は、上記の通り、匿名化を実行する複数の情報処理装置において、同じグループ分割を実現できない。そのため、特許文献などに記載の技術は、適切な匿名化を実現できないという問題点があった。【００２７】
なお、特許文献１は、段落００７８に、メッシュＩＤを登録するなど、所定の範囲と端末装置の位置との連携について記載している。しかし、特許文献１は、メッシュＩＤと匿名化との関連について記載していない。そのため、特許文献１に記載の技術は、上記問題を解決することができない。【００２８】
そこで、アドホック・ネットワーク（ad hoc Network）の技術を用いて、上記問題点を解決する技術が提案されている（例えば、非特許文献２を参照）。【００２９】
非特許文献２に記載の技術は、まず、代表ピア（peer）を決定する。そして、代表ピア同士が、双方向通信を用いて、匿名化のグループを決定する。そして、代表ピアが、グループ内の端末装置と位置情報を匿名化する。
【先行技術文献】
【特許文献】
【００３０】
【特許文献１】特開２００５−２１５７２５号公報
【特許文献２】特開２０１２−２０９６４７号公報
【特許文献３】特開２０１２−１４７１９９号公報
【非特許文献】
【００３１】
【非特許文献１】K. LeFevre, D.J. DeWitt, R. Ramakrishnan, “Mondrian Multidimensional K-Anonymity”, Data Engineering, 2006. ICDE '06. Proceedings of the 22nd International Conference, 03-07 April 2006
【非特許文献２】G. Ghinita, P. Kalnis, S. Skiadopoulos, “PRIVE: anonymous location-based queries in distributed mobile systems”, WWW ’07 Proceedings of the 16th international conference on World Wide Web, May 8-12, 2007, Page 371-381 (ISBN: 978-1-59593-654-7)
【発明の概要】
【発明が解決しようとする課題】
【００３２】
非特許文献２に記載の技術は、各端末装置間において双方向の通信が必要である。例えば、代表ピアとなった端末装置は、グループを決めるために、相互に情報の通信が必要である。また、代表ピアとなった端末装置は、グループに含まれる端末装置との通信が必要である。【００３３】
双方向通信は、通信する装置間で、通信開始の処理、応答確認の処理、及び、通信終了の処理など、多くの通信時間、通信処理、及び、通信容量が必要である。【００３４】
つまり、非特許文献２に記載の技術は、双方向通信を用いるため、通信時間及び通信容量が多くなるという問題点があった。また、非特許文献２に記載の技術は、情報処理装置における通信処理の負荷が大きくなるという問題点があった。つまり、非特許文献２に記載の技術は、通信コストが大きくなるという問題点があった。さらに、非特許文献２に記載の技術は、必要となる通信時間及び通信容量が大きいため、ネットワークの帯域が狭い場合、ネットワークの輻輳を発生させる可能性が高くなっていた。【００３５】
本発明の目的は、上記問題点を解決し、通信コストを削減しながら、適切に情報を匿名化する情報処理装置、情報処理方法及び記録媒体を提供することにある。
【課題を解決するための手段】
【００３６】
本発明の情報処理装置は、単方向通信を用いて自装置の位置に関する情報を送信し、他の装置の位置に関する情報を受信する通信手段と、位置に関する情報を用いる装置の範囲を規定する制約を基に、通信手段を介し他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出する対象情報抽出手段と、抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する匿名化手段とを含む。【００３７】
本発明の情報処理方法は、単方向通信を用いて自装置の位置に関する情報を送信し、他の装置の位置に関する情報を受信し、位置に関する情報を用いる装置の範囲を規定する制約を基に、他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出し、抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する。【００３８】
本発明の記録媒体は、単方向通信を用いて自装置の位置に関する情報を送信する処理と、他の装置の位置に関する情報を受信する処理と、位置に関する情報を用いる装置の範囲を規定する制約を基に、他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出する処理と、抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する処理とをコンピュータに実行させるプログラムをコンピュータが読み取り可能に記録する。
【発明の効果】
【００３９】
本発明に基づけば、通信コストを削減しながら、適切に情報を匿名化するとの効果を奏することができる。
【図面の簡単な説明】
【００４０】
【図１】図１は、本発明における第１の実施形態の係る情報処理装置を含む情報処理システムの構成の一例を示すブロック図である。
【図２】図２は、本発明における第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図３】図３は、第１の実施形態に係る制約を説明するための図である。
【図４】図４は、第１の実施形態に係る情報処理装置における匿名化の動作の一例を示すフローチャートである。
【図５】図５は、第１の実施形態の係る匿名化の一例を示す図である。
【図６】図６は、第１の実施形態に係る情報処理装置の変形例の一例を示すブロック図である。
【図７】図７は、第１の実施形態に係る情報処理装置の別の変形例の一例を示すブロック図である。
【図８】図８は、第２の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図９】図９は、背景技術を説明するための図である。
【図１０】図１０は、背景技術を用いる情報処理装置が設定したグループ分割を示す図である。
【図１１】図１１は、背景技術を用いる情報処理装置が設定したグループ分割を示す図である。
【発明を実施するための形態】
【００４１】
次に、本発明の実施形態について図面を参照して説明する。
【００４２】
なお、各図面は、本発明の実施形態を説明するものである。ただし、本発明は、各図面の記載に限られるわけではない。また、各図面における同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。
【００４３】
また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。
【００４４】
また、発明の実施形態において匿名化対象の情報は、位置に依存する情報であれば、特に制限はない。ただし、以下では、一例として、緯度及び経度のような、２次元の位置の情報を用いて説明する。
【００４５】
＜第１の実施形態＞
図１は、本発明における第１の実施形態に係る情報処理装置１０を含む情報処理システム５０の構成の一例を示すブロック図である。
【００４６】
情報処理システム５０は、情報処理装置１０と、情報処理装置２０と、ネットワーク３０とを含む。
【００４７】
情報処理装置１０及び情報処理装置２０は、相互に位置情報を送信し、位置情報を匿名化する装置である。情報処理装置１０及び情報処理装置２０は、同様の機能を実現する。そのため、情報処理装置１０及び情報処理装置２０は、入替え可能である。ただし、以下では、説明の便宜のため、説明対象の装置を情報処理装置１０とし、他の装置を情報処理装置２０として説明する。
【００４８】
ネットワーク３０は、情報処理装置１０及び情報処理装置２０を接続する通信経路である。ネットワーク３０は、情報処理装置１０及び情報処理装置２０を接続する通信経路であれば、特に制限はない。例えば、ネットワーク３０は、無線ＬＡＮ（Local Area Network）、又は、Ｂｌｕｅｔｏｏｔｈ（登録商標）でもよい。そのため、ネットワーク３０の詳細な説明を省略する。
【００４９】
図２は、第１の実施形態に係る情報処理装置１０の構成の一例を示すブロック図である。
【００５０】
情報処理装置１０は、対象情報抽出部１１０と、匿名化部１２０と、通信部１３０と、受信情報格納部１４０と、制約情報格納部１５０とを含む。
【００５１】
通信部１３０は、情報処理装置２０から位置情報を受信する。また、通信部１３０は、情報処理装置２０に情報処理装置１０の位置情報を送信する。ただし、通信部１３０は、ＩＰ（Internet Protocol）におけるブロードキャストのような、単方向通信（simplex）を用いて位置情報を送信及び受信する。なお、通信部１３０の単方向通信は、ＩＰのブロードキャストに限る必要はない。例えば、通信部１３０は、一般的な放送技術を用いてもよい。
【００５２】
受信情報格納部１４０は、通信部１３０が受信した情報処理装置２０の位置情報を格納する。受信情報格納部１４０は、自装置（情報処理装置１０）の位置情報を格納してもよい。
【００５３】
制約情報格納部１５０は、対象情報抽出部１１０が位置情報の抽出に用いる制約（以下、「メッシュ（mesh）」又は「Ｍ」とも呼ぶ）を格納する。制約（Ｍ）については、後ほど説明する。
【００５４】
対象情報抽出部１１０は、制約情報格納部１５０から、自装置が含まれる制約（Ｍ）を抽出する。そして、対象情報抽出部１１０は、受信情報格納部１４０に格納された情報処理装置２０の位置情報の中から、制約（Ｍ）に含まれる情報処理装置２０の位置情報を抽出する。つまり、対象情報抽出部１１０は、自装置と同じ制約（Ｍ）に含まれる情報処理装置２０の位置情報を抽出する。
【００５５】
そして、対象情報抽出部１１０は、抽出した位置情報を、匿名化部１２０に送り、位置情報の匿名化を依頼する。
【００５６】
このように、制約（Ｍ）を用いて抽出された位置情報は、匿名化対象の位置情報である。つまり、制約（Ｍ）は、匿名化に用いる位置情報の範囲を規定する情報である。
【００５７】
匿名化部１２０は、対象情報抽出部１１０が抽出した位置情報を匿名化する。
【００５８】
なお、情報処理装置１０は、匿名化部１２０が匿名化した位置情報を、通信部１３０を介して、図示しない匿名化済み情報を利用する装置に提供してもよい。
【００５９】
次に、本実施形態の制約（Ｍ）について、図面を参照して説明する。
【００６０】
本実施形態に係る情報処理装置１０及び情報処理装置２０は、通信できる範囲が限られている。以下、通信できる範囲は、「通信可能範囲（Ｄ）」とする。
【００６１】
なお、既に説明したとおり、情報処理装置１０及び情報処理装置２０は、機能的に同様である。そのため、情報処理装置１０及び情報処理装置２０の通信できる範囲は、特に区別が必要な場合を除き、以下、「通信可能範囲（Ｄ）」とする。そして、情報処理装置１０及び情報処理装置２０の通信可能範囲を区別する場合、情報処理装置１０及び情報処理装置２０の通信可能範囲は、それぞれ「通信可能範囲（Ｄ１０）」及び「通信可能範囲（Ｄ２０）」とする。
【００６２】
ここで、通信可能範囲（Ｄ）は、情報処理装置１０の通信性能を基に決定される範囲である。例えば、通信可能範囲（Ｄ）は、情報処理装置１０が、損失なく信号を送信及び受信できる範囲である。
【００６３】
本実施形態の通信可能範囲（Ｄ）の形状は、特に制限はない。例えば、通信可能範囲（Ｄ）の形状は、矩形、多角形、円形、楕円形、球形、又は、多面体でもよい。以下では、説明の便宜のため、通信可能範囲（Ｄ）の形状は、矩形の平面とする。そして、「ｗ」は、矩形の幅（例えば、東西方向の長さ）とする。また、「ｈ」は、矩形の高さ（例えば、南北方向の長さ）とする。
【００６４】
そして、情報処理装置１０は、通信可能範囲（Ｄ）を基に、予め、制約（Ｍ）が設定されている。制約（Ｍ）は、既に説明した通り、制約情報格納部１５０に格納される。
【００６５】
ここで、制約（Ｍ）について、さらに図面を参照して説明する。
【００６６】
図３は、本実施形態に係る制約（Ｍ）を説明するための図である。
【００６７】
図３において、情報処理装置１０の通信可能範囲（Ｄ１０）と情報処理装置２０の通信可能範囲（Ｄ２０）とは、同じ広さ（ｗ×ｈ）である。情報処理装置１０及び情報処理装置２０は、それぞれの通信可能範囲（Ｄ１０及びＤ２０）の中央に位置する。
【００６８】
そして、制約（Ｍ）は、情報処理装置１０の通信可能範囲（Ｄ１０）及び情報処理装置２０の通信可能範囲（Ｄ２０）の４分の１の広さ（（ｗ／２）×（ｈ／２））の範囲として設定される。図３に示すように、この制約（Ｍ）に含まれる情報処理装置１０及び情報処理装置２０は、この制約（Ｍ）に含まれる全ての情報処理装置１０及び情報処理装置２０と通信可能である。
【００６９】
その理由は、次のとおりである。すなわち、情報処理装置１０及び情報処理装置２０の通信可能範囲（Ｄ１０及びＤ２０）の広さ（ｗ×ｈ）は、制約（Ｍ）の広さ（（ｗ／２）×（ｈ／２））の４倍である。この広さの関係に基づいて、情報処理装置１０及び情報処理装置２０が制約（Ｍ）内のどこに位置しても、その通信可能範囲（Ｄ１０及びＤ２０）は、制約（Ｍ）を含むためである。
【００７０】
例えば、図３に示す、情報処理装置１０の通信可能範囲（Ｄ１０）は、制約（Ｍ）を含む。また、情報処理装置２０は、制約（Ｍ）の右下側の端に位置するが、情報処理装置２０の通信可能範囲（Ｄ２０）は、制約（Ｍ）を含む。このように、情報処理装置１０の通信可能範囲（Ｄ１０）及び情報処理装置２０の通信可能範囲（Ｄ２０）は、常に、制約（Ｍ）を含む。
【００７１】
そのため、制約（Ｍ）に含まれる情報処理装置１０及び情報処理装置２０は、制約（Ｍ）に含まれる全ての装置と通信可能である。
【００７２】
このように、情報処理装置１０及び情報処理装置２０は、次に説明する匿名化に先立ち、全ての装置が通信可能な範囲となる制約（Ｍ）を制約情報格納部１５０に格納する。そして、情報処理装置１０及び情報処理装置２０は、制約（Ｍ）内の装置の位置情報を匿名化に用いる。
【００７３】
なお、制約（Ｍ）は、情報処理装置１０の移動が想定される全ての範囲（例えば、日本全土）を含むように設定されていることが望ましい。つまり、制約（Ｍ）は、情報処理装置１０が移動する全ての位置の情報に対応できるように設定されていることが望ましい。上記のように、制約（Ｍ）が設定された場合、情報処理装置１０の通信部１３０の「通信可能範囲（Ｄ）」は、少なくとも１つの制約（Ｍ）を含むことができる。その結果、情報処理装置１０は、いずれの位置に移動しても、匿名化が可能である。
【００７４】
ただし、情報処理装置１０は、制約（Ｍ）が設定されていない位置に移動した場合、その位置では、匿名化を実行しないよう動作してもよい。情報処理装置１０が、そのように動作する場合、制約（Ｍ）は、情報処理装置１０の移動範囲の一部に設定されてもよい。
【００７５】
ここで、制約（Ｍ）の情報の形式は、特に制限はない。例えば、制約（Ｍ）が多角形の場合、制約情報格納部１５０は、制約（Ｍ）の各頂点の位置の情報（例えば、緯度と経度）を格納してもよい。あるいは、制約（Ｍ）が矩形の場合、制約情報格納部１５０は、制約（Ｍ）の１つの頂点の位置の情報と、幅及び高さの値とを格納してもよい。あるいは、制約（Ｍ）が円形の場合、制約情報格納部１５０は、中心の位置の情報と、半径の値とを格納してもよい。
【００７６】
なお、情報処理装置１０及び情報処理装置２０は、例えば、マージンを確保するため、制約（Ｍ）として、通信可能範囲（Ｄ）の４分の１より狭い範囲を設定してもよい。あるいは、情報処理装置１０及び情報処理装置２０は、通信可能範囲（Ｄ）の形状とは異なる形状の制約（Ｍ）を設定してもよい。また、情報処理装置１０及び情報処理装置２０の通信可能範囲が異なる場合、情報処理装置１０及び情報処理装置２０は、狭い方の通信可能範囲（D）を基に、制約（Ｍ）を設定してもよい。
【００７７】
このように、情報処理装置１０は、次に説明する匿名化の処理の前に、予め制約（Ｍ）を保持する。
【００７８】
次に、情報処理装置１０の匿名化動作について、図面を参照して説明する。
【００７９】
なお、以下の説明において、対象情報抽出部１１０が、情報処理装置１０に含まれる各構成を制御する。ただし、情報処理装置１０の制御は、この構成に限る必要はない。例えば、情報処理装置１０は、図示しない制御部を含み、その制御部が、対象情報抽出部１１０を含む情報処理装置１０に含まれる各構成を制御してもよい。
【００８０】
また、情報処理装置１０は、位置情報に必要とされる匿名性の方針を、保持しているとする。なお、以下の説明では、一例として、匿名性は、「３−匿名性」とする。
【００８１】
図４は、情報処理装置１０における匿名化の動作の一例を示すフローチャートである。
【００８２】
既に説明したとおり、情報処理装置１０の制約情報格納部１５０は、予め、制約（Ｍ）を格納する。
【００８３】
そこで、情報処理装置１０の対象情報抽出部１１０は、まず、自分の位置情報を取得する。対象情報抽出部１１０が位置情報を取得する方法は、特に制限はない。例えば、対象情報抽出部１１０は、図示しないＧＰＳ情報取得部を用いて位置情報を取得してもよい。
【００８４】
そして、対象情報抽出部１１０は、通信部１３０を介して、取得した位置情報を情報処理装置２０に送信する（ステップＳ２０１）。既に説明したとおり、通信部１３０は、単方向通信を用いて位置情報を送信する。つまり、通信部１３０は、自装置の位置情報の送信に対する情報処理装置２０からの応答などを受信しない。
【００８５】
次に、対象情報抽出部１１０は、通信部１３０を介して、周囲の情報処理装置２０から位置情報を取得する（ステップＳ２０２）。対象情報抽出部１１０は、通信部１３０を介して受信した情報処理装置２０の位置情報を、受信情報格納部１４０に格納する。既に説明したとおり、通信部１３０は、情報処理装置２０から単方向通信を用いて送信された位置情報を受信する。つまり、通信部１３０は、情報処理装置２０に、受信した情報に対する応答などを返さない。なお、位置情報の格納は、対象情報抽出部１１０に限る必要はない。例えば、対象情報抽出部１１０は、通信部１３０に、情報の取得を指示する。そして、通信部１３０が、指示を基に、受信した位置情報を受信情報格納部１４０に格納してもよい。
【００８６】
なお、情報処理装置１０は、後ほど説明するとおり、制約（Ｍ）に含まれる情報処理装置２０の情報を抽出して使用する。そのため、情報処理装置１０は、制約（Ｍ）に含まれない情報処理装置２０の位置情報を取得してもよい。
【００８７】
次に、対象情報抽出部１１０は、制約情報格納部１５０に格納された制約（Ｍ）から自装置の位置を含む制約（Ｍ）を抽出する（ステップＳ２０３）。
【００８８】
そして、対象情報抽出部１１０は、受信情報格納部１４０に格納された位置情報の中から、抽出された制約（Ｍ）を満足する位置情報を抽出する（ステップＳ２０４）。つまり、対象情報抽出部１１０は、制約（Ｍ）に含まれる情報処理装置２０の位置情報を抽出する。
【００８９】
対象情報抽出部１１０は、抽出した位置情報と自装置の位置情報とを基に、予め決められた匿名性を満足する匿名化が可能か否かを判断する（ステップＳ２０５）。これは、制約（Ｍ）に含まれる情報処理装置２０の数が、変化するためである。例えば、制約（Ｍ）内に情報処理装置２０が１台もいない場合、制約（Ｍ）に含まれる装置は、情報処理装置１０の１台となる。この場合、情報処理装置１０は、位置情報を匿名化できない。
【００９０】
匿名化が可能でない場合（ステップＳ２０５でＮＯ）、情報処理装置１０は、匿名化処理を終了する。
【００９１】
匿名化が可能の場合（ステップＳ２０５でＹＥＳ）、対象情報抽出部１１０は、位置情報を匿名化部１２０に送信し、位置情報を匿名化する（ステップＳ２０６）。
【００９２】
ここで、匿名化部１２０が匿名化する位置情報は、情報処理装置１０の位置情報と、制約（Ｍ）に含まれる情報処理装置２０の位置情報とである。そして、情報処理装置１０は、情報処理装置２０と、制約（Ｍ）を共有している。そのため、情報処理装置１０は、情報処理装置２０と、匿名化に用いる装置の位置情報が一致する。そのため、情報処理装置１０は、情報処理装置２０と、匿名化処理、より詳細には、匿名化のためのグループ分割が一致する。
【００９３】
匿名化後、情報処理装置１０は、例えば、図示しない装置に匿名化済みの位置情報を送信してもよい。そして、情報処理装置１０は、処理を終了する。
【００９４】
図５は、制約（Ｍ）に含まれる情報処理装置１０及び情報処理装置２０の匿名化の一例を示す図である。
【００９５】
図５に示すように、情報処理装置１０及び制約（Ｍ）に含まれる情報処理装置２０は、制約（Ｍ）に含まれる情報処理装置１０及び情報処理装置２０の位置情報を、２つのグループ（グループ１０１とグループ１０２）に分ける。そして、情報処理装置１０及び情報処理装置２０は、各グループに含まれるデータを、匿名化する。ここで、情報処理装置１０及び情報処理装置２０は、同じ制約（Ｍ）を基に、匿名化に用いる位置情報を抽出する。そのため、情報処理装置１０及び情報処理装置２０は、同じ位置情報を基に、匿名化のためのグループ分割を実行する。そのため、情報処理装置１０及び情報処理装置２０は、共通の匿名化を実現できる。
【００９６】
次に、本実施形態の効果について説明する。
【００９７】
上記のように、本実施形態の情報処理装置１０は、通信コストを削減しながら、位置情報を適切に匿名化するとの効果を奏することができる。
【００９８】
その理由は、次のとおりである。
【００９９】
本実施形態の情報処理装置１０の制約情報格納部１５０は、他の情報処理装置２０と共通に、匿名化に用いる装置の範囲となる制約（Ｍ、メッシュ）を格納する。そして、対象情報抽出部１１０は、制約（Ｍ）を満足する他の情報処理装置２０の位置情報を受信情報格納部１４０から抽出する。そして、匿名化部１２０は、抽出された位置情報を匿名化する。情報処理装置１０は、他の情報処理装置２０と共通した制約（Ｍ）を用いる。そのため、対象情報抽出部１１０は、他の情報処理装置２０と同じ装置の位置情報を抽出する。つまり、情報処理装置１０の匿名化部１２０は、他の情報処理装置２０の匿名化部１２０と同じ位置情報を用いて匿名化するためである。このように、情報処理装置１０は、適切な匿名化を実現できる。
【０１００】
また、情報処理装置１０の通信部１３０は、単方向通信を用いる。そのため、情報処理装置１０は、双方向通信に比べ、応答などに伴う通信コスト（通信時間、処理時間など）を削減できるためである。また、単方向通信は、双方向通信に比べ、必要となる通信容量が少ない。そのため、情報処理装置１０は、必要となる通信容量又は通信帯域などの通信コストを削減できる。
【０１０１】
（変形例１）
なお、情報処理装置１０における、匿名化のグループ分けの手法は、グループの分け方が決定的であることが必要である。言い換えると、情報処理装置１０は、同じ入力に対して（例えば、匿名化の「ｋ」の値と匿名化対象の位置情報が同じ場合）、同じグループ分けを実行する必要がある。
【０１０２】
ただし、情報処理装置１０の匿名化のグループ分けの手法は、上記を除き、特に制限はない。例えば、情報処理装置１０は、制約（Ｍ）に含まれる位置情報の分割点候補として複数の候補がある場合、所定の評価尺度を基に、候補を選択してもよい。例えば、情報処理装置１０は、評価尺度として、制約（Ｍ、メッシュ）の中央の点からの距離を用いてもよい。あるいは、情報処理装置１０は、評価尺度として、グループ分割後の位置情報を分散、又は、クラスタリングの程度を用いてもよい。あるいは、情報処理装置１０は、評価尺度として、グループ分割後のエントロピーを用いてもよい。
【０１０３】
あるいは、情報処理装置１０は、評価尺度を用いず、予め決められた順番に候補を選択してもよい。
【０１０４】
（変形例２）
以上説明した情報処理装置１０は、次のように構成される。
【０１０５】
情報処理装置１０の各構成部は、ハードウェア回路で構成されてもよい。あるいは、情報処理装置１０は、各構成部をネットワーク又はバスを介して接続した複数の情報処理装置として構成されてもよい。あるいは、情報処理装置１０は、各格納部を、ネットワークを介して接続した外部の記憶装置を用いて実現されてもよい。
【０１０６】
図６は、第１の実施形態の変形例２に係る情報処理装置１１の構成の一例を示すブロック図である。
【０１０７】
情報処理装置１１は、図２に示す受信情報格納部１４０と、制約情報格納部１５０としての機能を、ネットワークを介して接続する外部記憶装置を用いて実現されている。そのため、図６に示す情報処理装置１１は、これら格納部の構成を含まない。
【０１０８】
ただし、本変形例に係る情報処理装置１１は、情報処理装置１０と同様の効果を実現できる。その理由は、情報処理装置１１は、外部の記憶装置の情報を基に情報処理装置１０と同様に動作できるためである。
【０１０９】
なお、図６に示す情報処理装置１１は、本実施形態の最小構成である。
【０１１０】
（変形例３）
また、情報処理装置１０は、複数の構成部を１つのハードウェアで構成されてもよい。
【０１１１】
また、情報処理装置１０は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）とを含むコンピュータ装置として実現されてもよい。情報処理装置１０は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Input Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現されてもよい。
【０１１２】
図７は、本実施形態の変形例３に係る情報処理装置６０の構成の一例を示すブロック図である。
【０１１３】
情報処理装置６０は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータを構成している。
【０１１４】
ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御し、図２に示す対象情報抽出部１１０と、匿名化部１２０と、通信部１３０としての各機能を実現する。ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０又は内部記憶装置６４０を、プログラムの一時記憶として使用してもよい。
【０１１５】
また、ＣＰＵ６１０は、プログラムを記憶したコンピュータ読み取り可能な記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでもよい。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取ってもよい。さらに、ＣＰＵ６１０は、読み込んだプログラム又は受け取ったプログラムをＲＡＭ６３０に保存し、ＲＡＭ６３０に保存されたプログラムを基に動作してもよい。
【０１１６】
ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programmable-ROM）又はフラッシュＲＯＭである。
【０１１７】
ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。
【０１１８】
内部記憶装置６４０は、情報処理装置６０が長期的に保存するデータ及びプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作してもよい。また、内部記憶装置６４０は、図２に示す受信情報格納部１４０及び制約情報格納部１５０として動作してもよい。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。
【０１１９】
ここで、ＲＯＭ６２０と内部記憶装置６４０は、不揮発性の記憶媒体である。一方、ＲＡＭ６３０は、揮発性の記憶媒体である。そして、ＣＰＵ６１０は、ＲＯＭ６２０、内部記憶装置６４０、又は、ＲＡＭ６３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ６１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。
【０１２０】
ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Universal Serial Bus）カードである。
【０１２１】
入力機器６６０は、情報処理装置６０の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。
【０１２２】
表示機器６７０は、情報処理装置６０の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。
【０１２３】
ＮＩＣ６８０は、ネットワークを介して他の構成とのデータのやり取りを中継する。ＮＩＣ６８０は、図２に示す通信部１３０として動作してもよい。ＮＩＣ６８０は、例えば、ＬＡＮ（Local Area Network）カードである。
【０１２４】
このように構成された情報処理装置６０は、情報処理装置１０と同様の効果を得ることができる。
【０１２５】
その理由は、情報処理装置６０のＣＰＵ６１０が、プログラムに基づいて情報処理装置１０と同様の機能を実現できるためである。
【０１２６】
＜第２の実施形態＞
図８は、第２の実施形態に係る情報処理装置１２の構成の一例を示すブロック図である。
【０１２７】
情報処理装置１２は、第１の実施形態の情報処理装置１０の構成に加え、代表決定部１６０を含む。情報処理装置１２におけるその他の構成及び動作は、第１の実施形態と同様である。そのため、第１の実施形態と同様の構成及び動作についての説明を省略し、代表決定部１６０について説明する。
【０１２８】
なお、情報処理装置１２は、第１の実施形態と同様に、図７に示されるコンピュータを用いて構成されてもよい。この場合、ＣＰＵ６１０は、プログラムに基づいて、他の構成要素に加え、代表決定部１６０としての機能を実現する。
【０１２９】
代表決定部１６０は、匿名化後の位置情報を図示しない装置に提供する装置（以下、「代表」と呼ぶ）を決定する。
【０１３０】
ここで、代表を決定する手法は、特に制限はない。例えば、代表決定部１６０は、受信した位置情報を基に、制約（Ｍ）の中心に最も近い装置を、代表と決定してもよい。あるいは、代表決定部１６０は、受信した位置情報を基に、制約（Ｍ）に含まれる装置の中心位置に最も近い装置を、代表と決定してもよい。あるいは、代表決定部１６０は、予め定められた順番（例えば、ラウンドロビン）に従って、代表を決定してもよい。
【０１３１】
代表決定部１６０は、自装置が代表となった場合、対象情報抽出部１１０に、通信部１３０を介した匿名化後の位置情報の送信を依頼する。あるいは、代表決定部１６０が、通信部１３０を介して匿名化後の位置情報を送信してもよい。
【０１３２】
自装置が代表とならない場合、情報処理装置１０は、匿名化後の位置情報を送信しない。
【０１３３】
次に、本実施形態の効果について説明する。
【０１３４】
本実施形態は、第１の実施形態の効果に加え、情報処理装置１０又は情報処理装置２０の通信の負荷を低減するとの効果を奏することができる。
【０１３５】
その理由は、次のとおりである。
【０１３６】
代表となった場合を除き、情報処理装置１０は、匿名化後の位置情報を送信しない。そのため、情報処理装置１０は、位置情報の送信に必要となる消費電力及び処理時間を削減できるためである。
【０１３７】
なお、情報処理装置１０及び情報処理装置２０は、同じ制約（Ｍ）に含まれる。そのため、情報処理装置１０及び情報処理装置２０は、位置情報の送信に、近距離通信を利用できる。ここで、近距離通信とは、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＺｉｇＢｅｅ（登録商標）、又は、ＵＷＢ（Ultra Wide Band）である。また、近距離通信は、無線ＬＡＮである。
【０１３８】
これに対し、図示しない匿名化した位置情報の提供先となる装置は、情報処理装置１０及び情報処理装置２０から離れている場合が多い。そのため、情報処理装置１０は、匿名化後の位置情報の提供に、遠距離通信を用いる必要がある。ここで、遠距離通信とは、上記の近距離通信より通信距離が長い通信である。例えば、遠距離通信は、一般的な携帯電話網である。また、遠距離通信は、ＷｉＭＡＸ（登録商標：Worldwide Interoperability for Microwave Access）、又は、ＬＴＥ（Long Term Evolution）である。
【０１３９】
一般的に、近距離通信は、遠距離通信に比べ、電力の消費が少ない。また、近距離通信は、遠距離通信に比べ、通信時間などの処理時間が短い場合が多い。
【０１４０】
したがって、位置情報の送信に近距離通信を用いる場合、本実施形態の情報処理装置１０は、大きな通信コストの削減を実現できる。
【０１４１】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成及び詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０１４２】
この出願は、２０１４年８月２７日に出願された日本出願特願２０１４−１７２８０１を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０１４３】
１０    情報処理装置
１１    情報処理装置
１２    情報処理装置
２０    情報処理装置
３０    ネットワーク
５０    情報処理システム
６０    情報処理装置
９０    範囲
９１    情報処理装置
９２    情報処理装置
９３    情報処理装置
９５    情報処理装置
９７    情報処理装置
９８    情報処理装置
９９    情報処理装置
１１０    対象情報抽出部
１０１    グループ
１０２    グループ
１２０    匿名化部
１３０    通信部
１４０    受信情報格納部
１５０    制約情報格納部
１６０    代表決定部
６１０    ＣＰＵ
６２０    ＲＯＭ
６３０    ＲＡＭ
６４０    内部記憶装置
６５０    ＩＯＣ
６６０    入力機器
６７０    表示機器
６８０    ＮＩＣ
７００    記憶媒体
９１１    グループ
９１２    グループ
９２１    グループ
９２２    グループ
【図１】
2016031177.tif 000003
【図２】
2016031177.tif 000004
【図３】
2016031177.tif 000005
【図４】
2016031177.tif 000006
【図５】
2016031177.tif 000007
【図６】
2016031177.tif 000008
【図７】
2016031177.tif 000009
【図８】
2016031177.tif 000010
【図９】
2016031177.tif 000011
【図１０】
2016031177.tif 000012
【図１１】
2016031177.tif 000013
【手続補正書】
【提出日】平成29年2月9日(2017.2.9)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
単方向通信を用いて自装置の位置に関する情報を送信し、他の装置の位置に関する情報を受信する通信手段と、
位置に関する情報を用いる装置の範囲を規定する制約を基に、前記通信手段を介し前記他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出する対象情報抽出手段と、
前記抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する匿名化手段と
を含む情報処理装置。
【請求項２】
前記対象情報抽出手段が、
前記通信手段を介して前記匿名化された位置に関する情報を、その情報を利用する装置に送信する
請求項１に記載の情報処理装置。
【請求項３】
前記匿名化された位置に関する情報を利用する装置に送信する装置である代表となる装置を決定する代表決定手段を含む
請求項１又は２に記載の情報処理装置。
【請求項４】
前記通信手段が、
前記自装置の位置に関する情報の送信及び他の装置の位置に関する情報受信に、前記匿名化された位置に関する情報の送信に用いられる通信より通信距離の短い近距離通信を用いる
請求項１ないし３のいずれか１項に記載の情報処理装置。
【請求項５】
前記制約を格納する制約情報格納手段と、
前記他の装置から受信した位置に関する情報を格納する受信情報格納手段と
を含む請求項１ないし４のいずれか１項に記載の情報処理装置。
【請求項６】
前記制約情報格納手段が、
前記通信手段が位置に関する情報を送信及び受信可能な範囲である通信可能範囲の中に少なくとも１つ含まれるように設定された制約を格納する
請求項５に記載の情報処理装置。
【請求項７】
前記匿名化手段が、
位置に関する情報をグループに分割して匿名化する
請求項１ないし６のいずれか１項に記載の情報処理装置。
【請求項８】
単方向通信を用いて自装置の位置に関する情報を送信し、他の装置の位置に関する情報を受信し、
位置に関する情報を用いる装置の範囲を規定する制約を基に、前記他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出し、
前記抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する
情報処理方法。
【請求項９】
単方向通信を用いて自装置の位置に関する情報を送信する処理と、他の装置の位置に関する情報を受信する処理と、
位置に関する情報を用いる装置の範囲を規定する制約を基に、前記他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出する処理と、
前記抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する処理と
をコンピュータに実行させるプログラム。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００３５
【補正方法】変更
【補正の内容】
【００３５】
本発明の目的は、上記問題点を解決し、通信コストを削減しながら、適切に情報を匿名化する情報処理装置、情報処理方法及びプログラムを提供することにある。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００３８
【補正方法】変更
【補正の内容】
【００３８】
本発明のプログラムは、単方向通信を用いて自装置の位置に関する情報を送信する処理と、他の装置の位置に関する情報を受信する処理と、位置に関する情報を用いる装置の範囲を規定する制約を基に、他の装置から受信した位置に関する情報の中から匿名化の対象となる情報を抽出する処理と、抽出した位置に関する情報と自装置の位置に関する情報とを匿名化する処理とをコンピュータに実行させる。
【国際調査報告】
2016031177.tif 000014
2016031177.tif 000015