(57)【特許請求の範囲】
【請求項１】
サービスプロバイダの少なくとも１人の加入者に関する加入者データを受信するように構成されたインタフェースであって、さらに、データ要求元から加入者データを求める要求を受信するように構成され、かつカスタム匿名化済み加入者データをデータ要求元に提供する、インタフェースと、
プロセッサであって、
複数のロールと、複数のカスタム匿名化機能のうち、複数のロールのそれぞれに関連する１つまたは複数とを含むロールテーブルを維持し、
ベース匿名化機能を加入者データに適用して、いずれの特定の加入者にも関連付けられることができないベース匿名化済み加入者データを生成し、
前記要求に応じて、ロールテーブルにおける複数のロールのうち、データ要求元に割り当てられる１つを決定し、
ロールを使用して、複数のロールのうち、データ要求元に割り当てられる１つに関連する、複数のカスタム匿名化機能のうちの少なくとも１つを決定し、かつ
前記要求に応じて、関連するカスタム匿名化機能を、ベース匿名化済み加入者データに適用して、カスタム匿名化済み加入者データを生成する、ように構成され、関連するカスタム匿名化機能が、ベース匿名化機能が含むものとは異なるタイプの匿名化を含む、プロセッサと、
ベース匿名化済み加入者データと、ベース匿名化機能およびロールテーブルを指定するプライバシポリシとを記憶するメモリと
を備える、装置。
【請求項２】
ベース匿名化機能が、加入者データのベースレベルの匿名化を提供して、いずれの特定の加入者にも関連付けられることができないベース匿名化済み加入者データを生成し、
関連するカスタム匿名化機能が、ベース匿名化済み加入者データに、ベースレベルを超える、追加レベルの匿名化を提供する、請求項１に記載の装置。
【請求項３】
関連するカスタム匿名化機能が、ベース匿名化済み加入者データを非匿名化して非匿名化済み加入者データをカスタム匿名化済み加入者データとして生成する非匿名化機能である、請求項１に記載の装置。
【請求項４】
非匿名化済み加入者データが、加入者データである、請求項３に記載の装置。
【請求項５】
関連するカスタム匿名化機能が、２つ以上のタイプのデータ匿名化を含む複合匿名化機能である、請求項１に記載の装置。
【請求項６】
関連するカスタム匿名化機能が、暗号化機能、復号機能、ｋ−匿名化機能またはデータマスキング機能のうちの２つ以上を含む、請求項１に記載の装置。
【請求項７】
複数のロールのうち、データ要求元に割り当てられる１つが、関連するカスタム匿名化機能に対する、あるタイプの匿名性と、そのタイプの匿名性用の１つまたは複数のパラメータとを含む、請求項１に記載の装置。
【請求項８】
カスタム匿名化済み加入者データをデータ要求元に提供する前に、データ要求元を認証するように、プロセッサが構成される、請求項１に記載の装置。
【請求項９】
加入者データを求める要求といっしょに、データ要求元によって提供されたトークンを使用して、データ要求元を認証するように、プロセッサが構成される、請求項８に記載の装置。
【請求項１０】
ロールベース匿名化を提供する方法であって、
サービスプロバイダの少なくとも１人の加入者に関する加入者データに、ベース匿名化機能を適用して、ベース匿名化済み加入者データを生成する手段によって、サービスプロバイダの少なくとも１人の加入者に関する加入者データに、ベース匿名化機能を適用して、ベース匿名化済み加入者データを生成するステップであって、ベース匿名化機能が、加入者データを処理して、適用されうるプライバシ法に従うベース匿名化済み加入者データを生成する、生成するステップと、
データ要求元から、加入者データを求める要求を受信する手段によって、データ要求元から、加入者データを求める要求を受信するステップと、
加入者データを要求するデータ要求元に割り当てられるロールを決定する手段によって、加入者データを要求するデータ要求元に割り当てられるロールを決定するステップであって、ロールが、ベース匿名化済み加入者データに適用されるカスタム匿名化機能を指定し、カスタム匿名化機能が、２つ以上のタイプのデータ匿名化を含む複合匿名化機能である、決定するステップと、
カスタム匿名化機能を、ベース匿名化済み加入者データに適用して、カスタム匿名化済み加入者データを生成する手段によって、カスタム匿名化機能を、ベース匿名化済み加入者データに適用して、カスタム匿名化済み加入者データを生成するステップと、
カスタム匿名化済み加入者データを、データ要求元に提供する手段によって、カスタム匿名化済み加入者データを、データ要求元に提供するステップと
を含む、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的にはデータ匿名化システムに関し、より詳細には、限定されるものではないが、匿名化済み加入者データを管理するシステムに関する。
【背景技術】
【０００２】
本セクションは、本発明のよりよい理解を容易にするのに役立つ可能性のある態様を紹介する。従って、本セクションの記載は、この観点から読まれるものであり、何が先行技術のもので、何が先行技術のものでないかの自認として理解されるものではない。
【０００３】
サービスプロバイダは、自身の加入者のデータのプライバシを守るための法的要件を満たすことについて益々関心を強めている。鍵となる法的要件の１つは、加入者データを、それを加入者によって要求されたサービスの提供以外の目的（例えば、マーケティングまたは分析）で使用する前に匿名化することである。
【０００４】
データ匿名化に対してはいくつかの研究用試作品があるが、データ匿名化はまだ非常に活発な研究領域であるため、商業用システムは極めて少ない。商業用システムは、主に、データマスキング（例えば、センシティブな値の全体または部分をランダム文字列と取り替える）を使用するが、一方研究用試作品は、通常、ｋ−匿名性の何らかの変形（例えば、ｋ可能秘密（ｋ  ｐｏｓｓｉｂｌｅ  ｓｅｃｒｅｔｓ）セットに実際の秘密を隠す）か、または差分プライバシ（例えば、機能の出力が、個人のデータの有る無しによって著しく変わらないことを確実にする）を使用する。
【０００５】
匿名化によるデータの品質低下の結果として、加入者データのプライバシと有用性との間には基本的なトレードオフが存在する。従って、サービスプロバイダは、データを匿名化する場合、データ品質要件を考慮に入れることが必要な場合がある。データの様々な用途／使用が、様々なデータ品質要件を有することから、このことは、一層困難になってくる。このため、サービスプロバイダは、様々な使用でのデータ有用性要件とともにプライバシ要件を満たすための、複数の選択肢を提供する匿名化枠組みを必要とする。
【０００６】
しかし、商業用試作品でも研究用試作品でも、そのデータ匿名化システムは、データを匿名化する方法を１つしか提供しない。これらのシステムは、主に、プライバシと有用性とのトレードオフの範囲で、１つの特定データを取り扱うように設計され、実装される。さらに、これらのシステムは、アクセス元の識別子またはロールを考慮に入れずに、そのデータの匿名性および／または有用性の程度を調整する。さらに、いくつかのシステムは、一般化（例えば、正確な値を、意味的には矛盾しないが、正確さが劣る値と取り替える）などの不可逆の一方向データ変換機能を使用する。従って、用途（例えば、政府当局による使用、またはシステム診断）の要求に応じて、オリジナルデータを得る、またはデータの品質を高めることはできない。
【発明の概要】
【課題を解決するための手段】
【０００７】
本開示の実施形態は、データ要求元にロールベース匿名化を提供するデータ匿名化システムを対象とする。
【０００８】
データ匿名化システムの装置は、サービスプロバイダの少なくとも１人の加入者に関する加入者データを受信するインタフェースを含む。インタフェースは、さらに、データ要求元から加入者データを求める要求を受信し、カスタム匿名化済み加入者データを、データ要求元に提供する。装置は、データ要求元に割り当てられるロールを決定するプロセッサをさらに含み、このロールは、加入者データに適用されるカスタム匿名化機能を指定する。プロセッサは、ベース匿名化機能を加入者データに適用して、ベース匿名化済み加入者データを生成し、かつカスタム匿名化機能をベース匿名化済み加入者データに適用して、カスタム匿名化済み加入者データを生成するように、さらに構成される。装置はまた、ベース匿名化済み加入者データと、ベース匿名化機能およびロールを指定するプライバシポリシとを記憶するメモリをさらに含む。
【０００９】
別の実施形態では、データ匿名化システムの非一時的メモリデバイスは、そこからアクセス可能で、少なくとも１つのプロセッサによって解釈可能な命令セットを有する。命令セットは、プロセッサに、サービスプロバイダの少なくとも１人の加入者に関する加入者データに、ベース匿名化機能を適用して、ベース匿名化済み加入者データを生成し、かつ加入者データを要求するデータ要求元に割り当てられるロールを決定する動作であって、ロールは、加入者データに適用されるカスタム匿名化機能を指定する、決定する動作を実行させるように構成される。命令セットは、プロセッサに、カスタム匿名化機能をベース匿名化済み加入者データに適用して、カスタム匿名化済み加入者データを生成し、かつカスタム匿名化済み加入者データをデータ要求元に提供する動作を実行させるように、さらに構成される。
【００１０】
さらに別の実施形態では、匿名化済みデータを管理する方法は、ベース匿名化機能を、サービスプロバイダの少なくとも１人の加入者に関する加入者データに適用して、ベース匿名化済み加入者データを生成することと、加入者データを要求するデータ要求元に割り当てられるロールを決定することであって、ロールが、加入者データに適用されるカスタム匿名化機能を指定する、決定することと、を含む。方法は、カスタム匿名化機能をベース匿名化済み加入者データに適用して、カスタム匿名化済み加入者データを生成することと、カスタム匿名化済み加入者データをデータ要求元に提供することと、をさらに含む。
【００１１】
上記の装置／方法のいずれかのいくつかの実施形態では、ベース匿名化機能とカスタム匿名化機能は、同じタイプの匿名化であり、ベース匿名化機能は、加入者データのベースレベルの匿名化を提供し、カスタム匿名化機能は、ベースレベルを超える、加入者データの追加レベルの匿名化を提供する。
【００１２】
上記の装置／方法のいずれかのいくつかの実施形態では、カスタム匿名化機能は、ベース匿名化機能とは異なるタイプの匿名化である。
【００１３】
上記の装置／方法のいずれかのいくつかの実施形態では、カスタム匿名化機能は、ベース匿名化済み加入者データを非匿名化して非匿名化済み加入者データをカスタム匿名化済み加入者データとして生成する非匿名化機能である。例示的な実施形態では、非匿名化済み加入者データは、オリジナル加入者データである。
【００１４】
上記の装置／方法のいずれかのいくつかの実施形態では、カスタム匿名化機能は、ベース匿名化済み加入者データが、カスタム匿名化済み加入者データであることを指定する。
【００１５】
上記の装置／方法のいずれかのいくつかの実施形態では、ベース匿名化機能とカスタム匿名化機能の少なくとも一方は、２つ以上のタイプのデータ匿名化を含む複合匿名化機能である。
【００１６】
上記の装置／方法のいずれかのいくつかの実施形態では、ベース匿名化機能とカスタム匿名化機能はそれぞれ、暗号化機能、復号機能、ｋ−匿名化機能およびデータマスキング機能のうちの１つまたは複数を含む。
【００１７】
上記の装置／方法のいずれかのいくつかの実施形態では、ロールは、カスタム匿名化機能に対する、あるタイプの匿名性と、そのタイプの匿名性用の１つまたは複数のパラメータとを含む。
【００１８】
上記の装置／方法のいずれかのいくつかの実施形態では、データ要求元は、カスタム匿名化済み加入者データを受信する前に、認証される。ある例示的実施形態では、データ要求元は、加入者データを求める要求といっしょに、データ要求元によって提供されたトークンを使用して、認証される。
【図面の簡単な説明】
【００１９】
【図１】ロールベース匿名化を提供するデータ匿名化システムの実施形態の概略図である。
【図２】ロールベース匿名化システムの実施形態の概略図である。
【図３】ロールベース匿名化を実施するサービスプロバイダサーバの実施形態の概略ブロック図である。
【図４】複数のデータ要求元用の匿名化ロールを維持するロールテーブルの実施形態を例示する図である。
【図５】トークンベースロール割当および匿名化システムの実施形態の概略図である。
【図６】ロールベース匿名化を提供する方法の実施形態を例示するフローチャートである。
【発明を実施するための形態】
【００２０】
図１は、ロールベース匿名化を提供するデータ匿名化システム１００の実施形態を例示する。データ匿名化システム１００は、サービスプロバイダサーバ１１０および複数の加入者デバイス１２０を含む。加入者デバイス１２０は、例えば、ラップトップデバイス１２０ａ、デスクトップデバイス１２０ｂ（例えば、モニタに結合されたデスクトップコンピュータ）、モバイルデバイス１２０ｃ（例えば、スマートフォン、タブレットもしくはその他のモバイルデバイス）またはその他のタイプの加入者デバイスであってもよい。加入者デバイス１２０は、ネットワーク１３０を介して、サービスプロバイダサーバ１１０に結合される。ネットワーク１３０は、例えば、有線ネットワーク（例えば、インターネットプロトコル（ＩＰ：Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワーク、ローカルエリアネットワークもしくはその他のタイプの有線ネットワーク）および無線ネットワーク（例えば、ＷｉＦｉ、ＷＬＡＮ、３Ｇ、４Ｇもしくはその他のタイプの無線ネットワーク）のうちの１つまたは複数を含んでもよい。
【００２１】
加入者デバイス１２０のそれぞれは、加入者デバイス１２０に関連した加入者、および／または加入者による加入者デバイス１２０の操作に関する加入者データ１２５を、サービスプロバイダサーバ１１０に、直接（例えば、電話によって、もしくは対面で）またはネットワーク１３０を介して（例えば、データをオンラインフォームに入力することによって、もしくは加入者デバイス１２０の使用中に）提供するように構成される。加入者データ１２５の例は、加入者の名前、住所、電話番号、年齢および性別、加入者デバイスのウェブ閲覧履歴、加入者デバイスによってなされたかつ／または受信された呼び出し、加入者デバイスにダウンロードされて使用されたアプリケーション、加入者デバイスで見られた映像、ならびに加入者デバイスの位置（または、モバイルデバイスの位置履歴）を含むがこれらに限定されるものではない。
【００２２】
サービスプロバイダサーバ１１０は、サービスプロバイダに関連し、それによって維持される。サービスプロバイダサーバ１１０は、サービスプロバイダによって提供された１つもしくは複数の製品および／またはサービスを購入し、かつ／または使用する複数の加入者デバイス１２０に関連する加入者データ１２５を収集する。例として、サービスプロバイダは、無線電話会社、ウェブブラウザ会社、ウェブサービス会社、インターネットサービスプロバイダ会社、あるいは製品および／またはサービスを顧客／加入者に提供するその他の会社であってもよいが、これらに限定されるものではない。
【００２３】
一実施形態では、サービスプロバイダは、収集された加入者データ１２５を使用して、要求された製品および／またはサービスを提供する。別の実施形態では、サービスプロバイダは、収集された加入者データ１２５を、要求された製品および／またはサービスを提供する以外の目的で使用する。例えば、サービスプロバイダは、収集された加入者データ１２５を、内部のマーケティング、カスタマケアまたは分析目的で使用してもよく、あるいは、加入者データ１２５を１つまたは複数のサードパーティに販売または提供してもよい。
【００２４】
サービスプロバイダが、収集された加入者データ１２５を、要求された製品および／またはサービスを提供する以外の目的で使用する実施形態では、サービスプロバイダは、加入者データ１２５に関して、サービスプロバイダに課せられた法的プライバシ要件を満たすように要求される場合がある。例えば、ほとんどの国は、結果としてもたらされる匿名化済み加入者データが、いずれの特定の顧客／加入者にも関連付けられることができない程度にまで、加入者データ１２５を匿名化するよう、サービスプロバイダに要求するプライバシ法を有する。
【００２５】
しかし、要求される匿名性の程度は、国によって異なる（また、国内の地域／州によって異なる場合がある）。さらに、特定の地域／国内で、要求される匿名性の程度は、匿名化済み加入者データの使用間で異なる場合がある。例えば、匿名化済み加入者データが、マーケティング、診断またはその他の目的で、内部で使用される場合、１レベルの匿名性が要求される可能性があるが、匿名化済み加入者データが、サードパーティへの販売で提供される場合は、より高いレベルの匿名性が要求される可能性がある。別の例として、匿名化済み加入者データが政府当局によって要求される場合、より低いレベルの匿名性（または非匿名性）が要求される可能性がある。このように、匿名性のレベルは、匿名化済み加入者データの意図された受信先（本明細書では「データ要求元１８０」と呼ばれる）によって左右される可能性がある。さらに、様々なタイプまたはレベルの匿名性が、そのデータ要求元に対する法的プライバシ要件に加えて、様々なデータ要求元１８０によって望まれる場合がある。
【００２６】
加入者データ１２５に対する法的匿名化要件を満たしつつ、様々なデータ要求元１８０に、様々なレベルおよび／またはタイプの匿名性を提供するために、サービスプロバイダサーバ１１０は、そのデータ要求元１８０に対する加入者データ１２５のプライバシの程度と有用性を調整する際に使用する、各データ要求元１８０のそれぞれのロール１５０を考慮に入れるプライバシポリシ１４０を維持する。特に、プライバシポリシ１４０は、サービスプロバイダの権限に対する最低限の法的プライバシ要件を満たすベース匿名化機能（ＢＡＦ）１４５を指定し、また各ロール１５０（各データ要求元１８０）に対しては、そのデータ要求元１８０によって要求されたプライバシの程度とデータ有用性を実現するために行われる、さらなる匿名化または非匿名化を示すカスタム匿名化機能（ＣＡＦ）１５５を指定する。
【００２７】
例示的な実施形態では、サービスプロバイダサーバ１１０は、ＢＡＦ１４５を加入者データ１２５に適用し、ベース匿名化済みデータ１６０を生成し、このベース匿名化済みデータ１６０を格納する。特定のデータ要求元１８０から、匿名化済み加入者データを求める要求１９０を受信すると、サービスプロバイダサーバ１１０は、プライバシポリシ１４０にアクセスして、データ要求元１８０のロール１５０を特定する。このロール１５０に基づいて、サービスプロバイダサーバ１１０は、ロール１５０に関連するＣＡＦ１５５を、ベース匿名化済みデータ１６０に適用して、カスタム匿名化済みデータ１７０を生成し、このカスタム匿名化済みデータ１７０を、データ要求元１８０に提供する。本明細書で使用される際には、「ｃｕｓｔｏｍ（カスタム）」と言う用語は、特定の動作、項目または特性が、要求元の識別子に少なくとも部分的に基づいて選択されてもよい少なくとも１つの属性を含むことを示す。
【００２８】
一実施形態では、ＣＡＦ１５５は、より厳格なプライバシ要件を満たすために、ベース匿名化済みデータ１６０に適用される１つまたは複数の追加の匿名化機能を指定する。別の実施形態では、ＣＡＦ１５５は、ベース匿名化済みデータ１６０を非匿名化して、非匿名化済みデータを、カスタム匿名化済みデータ１７０として生成する、非匿名化機能を指定する。例えば、非匿名化済みデータは、オリジナル加入者データ１２５か、またはベース匿名化済みデータ１６０に対して高められた品質を有する、部分的に非匿名化されたデータであってもよい。本明細書で使用される際には、「ｑｕａｌｉｔｙ（品質）」と言う用語は、加入者データの少なくとも可読性を指すが、加入者データのその他の属性も含んでもよい。さらに別の実施形態では、ＣＡＦ１５５は、追加の匿名化も非匿名化も、ベース匿名化済みデータ１６０に適用されるべきではないことを指定する。この実施形態において、ベース匿名化済みデータ１６０は、データ要求元１８０に、カスタム匿名化済みデータ１７０として提供される。
【００２９】
ＢＡＦ１４５とＣＡＦ１５５は、それぞれ、１つのタイプの匿名化、あるいは２つ以上のタイプの匿名化および／または非匿名化の複合を含んでもよい。匿名化タイプは、例えば、暗号化、ｋ−匿名性、データマスキング、一般化またはその他のタイプの匿名化を含んでもよい。各タイプの匿名化に対して、ＢＡＦ１４５とＣＡＦ１５５は、さらに、匿名化のレベルを指定する。例えば、ＢＡＦ１４５とＣＡＦ１５５が、それぞれ一般化匿名化機能であり、加入者データ１２５が、加入者デバイス１２０が位置する特定座標を示す位置データを含む実施形態では、ＢＡＦ１４５は、位置データを、特定の区画または街区に一般化してもよく、ＣＡＦ１５５は、次に、位置データを特定の都市にさらに一般化してもよい。
【００３０】
サービスプロバイダサーバ１１０は、さらに、例えば、ウェブサーバ、データベース、有線または無線スイッチ、ならびに匿名化済み加入者データの収集、匿名化、および／または提供に関わるその他のネットワークデバイスを含む１つまたは複数のネットワークデバイスと一体化されても、または結合されてもよい（ローカルエリアネットワークまたは広域ネットワークを介して）。例えば、サービスプロバイダサーバ１１０は、サービスプロバイダサーバ１１０に結合されたデータベースに、ベース匿名化済みデータ１６０を格納してもよい。別の例として、サービスプロバイダサーバ１１０は、サービスプロバイダのウェブサーバに結合されて、加入者データ１２５を受信し、かつ／または要求１９０を受信し、かつカスタム匿名化済みデータ１７０を提供してもよい。さらに別の例として、サービスプロバイダサーバ１１０は、サービスプロバイダのローカルエリアネットワークを介して、例えば、ローカルエリアネットワーク内のデバイスで作動するアプリケーションであってもよいデータ要求元１８０に結合されてもよい。
【００３１】
図２は、例えば、図１のサービスプロバイダサーバ１１０によって実施されてもよい、ロールベース匿名化システム２００の実施形態の概略図を例示する。図２に示されるように、オリジナル（生）加入者データ１２５は、ベース匿名化モジュール２１０に入力される。ベース匿名化モジュール２１０は、プライバシポリシ１４０にアクセスして、システム用のベース匿名化機能（ＢＡＦ）１４５を決定し、このベース匿名化機能（ＢＡＦ）１４５をオリジナル加入者データ１２５に適用して、ベース匿名化済みデータ１６０を生成する。ベース匿名化済みデータ１６０は、システム２００によって維持され、新たなオリジナル加入者データ１２５がベース匿名化モジュール２１０に入力されると、更新される。
【００３２】
ベース匿名化済みデータ１６０は、次に、カスタム匿名化モジュール２２０に入力される。各データ要求元１８０に対して、カスタム匿名化モジュール２２０は、プライバシポリシ１４０にアクセスして、データ要求元１８０に割り当てられるロールと、データ要求元１８０用のベース匿名化済みデータ１６０に適用される、対応するカスタム匿名化機能（ＣＡＦ）１５５とを決定する。例えば、図２に示されるように、プライバシポリシ１４０は、オリジナルの加入者データ１２５を、ＤＲ１に提供される第１のカスタム匿名化済みデータ（ＣＡＤ１）として生成するために、非匿名化機能が、第１のデータ要求元（ＤＲ１）（すなわち、政府当局）用のベース匿名化済みデータ１６０に適用されるべきであり、一方、部分的非匿名化済みデータを、第２のデータ要求元（ＤＲ２）（すなわち、サービスプロバイダのカスタマケアセンタまたは診断アプリケーション）に提供される第２のカスタム匿名化済みデータ（ＣＡＤ２）として生成するために、部分的非匿名化機能が、ＤＲ２用のベース匿名化済みデータ１６０に適用されるべきであることを指定することができる。プライバシポリシ１４０は、ベース匿名化済みデータ１６０を、第３のデータ要求元（ＤＲ３）（すなわち、サービスプロバイダの分析アプリケーション）に提供される第３のカスタム匿名化済みデータ（ＣＡＤ３）として生成するために、何の動作も、ＤＲ３用のベース匿名化済みデータ１６０に適用されるべきではないことを、さらに指定することができる。
【００３３】
プライバシポリシ１４０はまた、ｋ−匿名化済みデータを、第４のデータ要求元（ＤＲ４）（すなわち、サービスプロバイダの営業部門）に提供される第４のカスタム匿名化済みデータ（ＣＡＤ４）として生成するために、ｋ−匿名化機能が、ＤＲ４用のベース匿名化済みデータ１６０に適用されるべきであり、一方、データマスクされた匿名化済みデータを、第５のデータ要求元（ＤＲ５）（すなわち、サービスプロバイダの監査役）に提供される第５のカスタム匿名化済みデータ（ＣＡＤ５）として生成するために、データマスキング機能が、ＤＲ５用のベース匿名化済みデータ１６０に適用されるべきであることを、さらに指定することができる。さらに、プライバシポリシ１４０は、暗号化された匿名化済みデータを、第６のデータ要求元（ＤＲ６）（すなわち、サードパーティ）に提供される第６のカスタム匿名化済みデータ（ＣＡＤ６）として生成するために、暗号化機能が、ＤＲ６用のベース匿名化済みデータ１６０に適用されるべきであることも指定することができる。
【００３４】
図３は、匿名化済み加入者データを受信し、匿名化し、かつ配信するサービスプロバイダサーバ１１０の実施形態の概略ブロック図を例示する。サービスプロバイダサーバ１１０は、プロセッサ３００、メモリ３１０およびネットワークインタフェース３２０を含む。インタフェース３２０は、ネットワークに結合されて、サービスプロバイダの複数の加入者用のオリジナル（生）加入者データ１２５を受信する。インタフェースは、例えば、有線ネットワークに結合された有線インタフェース、または無線ネットワークに結合された無線インタフェースであってもよい。
【００３５】
メモリ３１０は、サービスプロバイダサーバ１１０用のベース匿名化ロール３４０と、データ要求元用の１つまたは複数のデータ要求元ロール３５０とを識別するロールテーブル３３０を含むプライバシポリシ１４０を維持する。各ロール３４０および３５０は、そのロールに対する匿名化機能を指定する。例えば、ベース匿名化ロール３４０は、受信された加入者データ１２５からベース匿名化済みデータ１６０を生成するベース匿名化機能１４５を指定するが、各データ要求元ロール３５０は、特定のデータ要求元用のカスタム匿名化済みデータ１７０を生成するための関連するカスタム匿名化機能１５５を指定する。メモリ３１０は、さらに、匿名化機能ライブラリ３６０を維持する。例えば、匿名化機能ライブラリ３６０は、受信された加入者データ１２５からベース匿名化済み加入者データ１６０を生成するための、サービスプロバイダサーバ１１０用のベース匿名化機能１４５と、１つまたは複数のデータ要求元に提供される匿名化済み加入者データ１７０をカスタマイズするための、１つまたは複数のカスタム匿名化機能１５５とを含んでもよい。
【００３６】
例示的な実施形態では、サービスプロバイダの１人または複数人の加入者から加入者データ１２５を受信すると、プロセッサ３００は、ベース匿名化ロール３４０によって指定された、匿名化機能ライブラリ３６０内のベース匿名化機能１４５を使用して、受信された加入者データ１２５を処理して、ベース匿名化済みデータ１６０を生成するよう動作可能である。プロセッサ３００は、メモリ３１０内にベース匿名化済みデータ１６０を記憶するよう、さらに動作可能である。
【００３７】
データ要求元から加入者データを求める要求を受信すると、プロセッサ３００は、プライバシポリシ１４０にアクセスして、データ要求元に関連するデータ要求元ロール３５０を決定するよう、さらに動作可能である。データ要求元ロール３５０は、その要求に応じて、プロセッサ３００によって使用される、匿名化機能ライブラリ３６０内の１つまたは複数のカスタム匿名化機能１５５を指定する。例えば、プロセッサは、そのデータ要求元用のデータ要求元ロール３５０で識別された１つまたは複数のカスタム匿名化機能を使用して、ベース匿名化済みデータ１６０の少なくとも一部を処理して、カスタム匿名化済みデータ１７０を生成することができる。プロセッサ３００は、次に、カスタム匿名化済みデータ１７０を、データ要求元に、ネットワークインタフェース３２０を介して提供することができる。
【００３８】
様々な実施形態では、プロセッサ３００は、さらに、カスタム匿名化済みデータ１７０を生成し、かつ／またはデータ要求元に配信する前に、データ要求元を認証する。例えば、データ要求元の識別子を確認し、かつ加入者データを要求する際にデータ要求元によって使用されるトークンを得るために、トークンベースの認証機構が使用されることができる。認証をすると、プロセッサ３００は、データ要求元のニーズに基づいて、ロールテーブル３４０内で、データ要求元用のロールを定義するか、または予め定義されたロールを決定し、データ要求元にそのロール３５０を割り当てることができる。
【００３９】
図４は、複数のデータ要求元用の匿名化ロールを維持するロールテーブル３５０の実施形態を例示する。ロールテーブル３５０は、複数のロール３４０および３５０と、ロール３４０および３５０のそれぞれに対して使用される１つまたは複数の匿名化機能を識別する匿名化機能識別子（ＩＤ：ＩＤｅｎｔｉｆｉｅｒ）４２０と、を含む。例えば、一実施形態では、各匿名化機能識別子（ＩＤ）４２０は、そのロール３４０または３５０に対して、１つのタイプおよび／またはレベルの匿名化を指定する。様々な匿名化機能の複合が望まれる他の実施形態では、匿名化機能ＩＤ４２０は、そのロール３４０または３５０に対して、複数のタイプおよび／またはレベルの匿名化を指定する。
【００４０】
例示的な実施形態では、ロールテーブル３５０は、１つまたは複数のデータ要求元ロール（ＤＲＲ１、ＤＲＲ２、ＤＲＲ３．．．ＤＲＲＮ）３５０とともに、ベース匿名化ロール３４０を含む。他の実施形態では、ベース匿名化ロール３４０は、データ要求元ロール３５０とは別個に格納されてもよく、またはベース匿名化ロール３４０とデータ要求元ロール３５０を格納するのに複数のテーブルが使用されてもよい。ベース匿名化ロール３４０に対して、匿名化機能ＩＤ４２０は、ベース匿名化機能ＩＤ（ＢＡＦ  ＩＤ）を指定し、一方、データ要求元ロール３５０に対して、匿名化機能ＩＤ４２０は、カスタム匿名化機能ＩＤ（ＣＡＦ  ＩＤ１、ＣＡＦ  ＩＤ２、ＣＡＦ  ＩＤ３．．．ＣＡＦ  ＩＤＮ）を指定する。
【００４１】
各データ要求元ロール３５０に対して、ロールテーブル３３０は、そのデータ要求元ロール３５０に割り当てられる１つまたは複数のデータ要求元を識別する、１つまたは複数のデータ要求元識別子（ＤＲ１  ＩＤ、ＤＲ２  ＩＤ、ＤＲ３  ＩＤ．．．ＤＲＮ  ＩＤ）４１０をさらに含む。図４では、各データ要求元ロール３５０は、１つのデータ要求元のみに割り当てられる。他の実施形態では、複数のデータ要求元（例えば、同じカスタム匿名化仕様を有するデータ要求元）が、１つのデータ要求元ロール３５０に割り当てられてもよい。
【００４２】
各匿名化ロール３４０および３５０は、そのロール３４０または３５０用の加入者データを匿名化するのに必要な１つまたは複数のパラメータ４３０をさらに含んでもよい。例えば、ベース匿名化機能ＩＤ４２０が、ベース匿名化済みデータを生成するために、暗号化匿名化機能が使用されるべきであることを指定する場合、ベース匿名化ロール３４０用のパラメータ４３０の１つとして、暗号鍵が含まれてもよい。別の例として、データ要求元ロールの１つ（例えば、ＤＲＲ１）が、カスタム匿名化済みデータを生成するために、ベース匿名化済みデータを復号する非匿名化機能が使用されるべきであることを指定する場合、ＤＲＲ１用のパラメータ４３０の１つとして、復号鍵が含まれてもよい。
【００４３】
図５は、例えば、図１または図３に示されたサービスプロバイダサーバ１１０によって、少なくとも部分的に実施されてもよい、トークンベースロール割当および匿名化システム５００の実施形態の概略図を例示する。図５に示されるように、オリジナル（生）加入者データ１２５は、ベース匿名化モジュール２１０に入力される。ベース匿名化モジュール２１０は、プライバシポリシ１４０にアクセスして、システム用のベース匿名化機能（ＢＡＦ）１４５を決定し、そのベース匿名化機能（ＢＡＦ）１４５をオリジナル加入者データ１２５に適用して、ベース匿名化済みデータ１６０を生成する。ベース匿名化済みデータ１６０は、システム２００によって維持され、新たなオリジナル加入者データ１２５がベース匿名化モジュール２１０に入力されると更新される。
【００４４】
データ要求元１８０が加入者データを求める要求を送信するために、データ要求元１８０は、最初に、サービスプロバイダの登録／ロール−割当モジュール５３０を介して、サービスプロバイダに登録する。例えば、データ要求元１８０は、クレデンシャル５１０を登録／ロール−割当モジュール５３０に送信し、登録／ロール割当モジュール５３０が、データ要求元１８０の識別子を確認し、データ要求元１８０が受信を望む、かつ／または受信を許される（プライバシ法などに基づいて）匿名化のタイプおよび／またはレベルを決定できるようにすることができる。登録されると、登録／ロール割当モジュール５３０は、プライバシポリシ仕様ツール５４０を利用して、データ要求元１８０用のロールを、プライバシポリシ１４０内で定義または決定し、そのロールにデータ要求元１８０を割り当てる。
【００４５】
さらに、登録／ロール割当モジュール５３０は、加入者データを求める次の要求１９０に、データ要求元によって含められるトークン５２０を、データ要求元１８０に提供する。認証モジュール５５０は、要求１９０およびトークン５５０を受信し、このトークン５５０を使用してデータ要求元１８０を認証する。認証をすると、要求１９０は、カスタム匿名化モジュール２２０に入力され、モジュール２２０は、プライバシポリシ１４０にアクセスして、データ要求元１８０に割り当てられるロールと、データ要求元１８０用のベース匿名化済みデータ１６０の全てまたは一部に適用される、それに対応するカスタム匿名化機能（ＣＡＦ）１５５とを決定する。カスタム匿名化モジュール２２０は、ＣＡＦ１５５を使用して、データ要求元１８０用のカスタム匿名化済みデータ１７０を生成し、このカスタム匿名化済みデータ１７０をデータ要求元１８０に配信する。
【００４６】
図６は、ロールベース匿名化を提供する方法６００の実施形態を例示するフローチャートである。方法は、６１０で始まり、そこでは、ベース匿名化機能が、オリジナル（生）加入者データに適用され、ベース匿名化済みデータが生成される。６２０では、データ要求元からの加入者データを求める要求が、受信される。６３０では、そのデータ要求元用のカスタム匿名化機能を識別するために、データ要求元に割り当てられるロールが決定される。６４０では、カスタム匿名化機能がベース匿名化済みデータに適用され、カスタム匿名化済みデータを生成し、６５０では、カスタム匿名化済みデータが、データ要求元に提供される。
【００４７】
本明細書において使用される際、「ｐｒｏｃｅｓｓｏｒ（プロセッサ）」と言う用語は、１つの処理デバイスか、または複数の処理デバイスとして定義される。このような処理デバイスは、マイクロプロセッサ、マイクロ−コントローラ、デジタル信号プロセッサ、マイクロコンピュータ、中央処理ユニット、フィールドプログラマブルゲートアレイ、プログラマブルロジックデバイス、論理回路、アナログ回路、デジタル回路、および／または回路のハードコーディングおよび／または動作上の命令に基づいて、信号（アナログおよび／またはデジタル）を操作する任意のデバイスであってもよい。プロセッサは、さらに、外部メモリデバイスにアクセスしてもよく、かつ／または統合型メモリデバイスを含んでもよく、このようなメモリデバイスは、１つのメモリデバイス、複数のメモリデバイス、および／または別のプロセッサの埋め込み回路であってもよい。このような統合型メモリデバイスおよび／または外部メモリデバイスは、読み取り専用メモリ、ランダムアクセスメモリ、揮発性メモリ、不揮発性メモリ、スタティックメモリ、ダイナミックメモリ、フラッシュメモリ、キャッシュメモリ、および／またはデジタル情報を記憶する任意のデバイスであってもよい。本明細書で説明されたステップおよび／または機能のうちの少なくともいくつかに対応する、ハードコードされた、かつ／または動作上の命令を、メモリデバイスは記憶してもよく、プロセッサは実行してもよいことに留意されたい。このようなメモリデバイスは、製造物品にさらに含まれることができる。
【００４８】
また本明細書で使用される際には、「ｃｏｕｐｌｅｄ  ｔｏ（に結合される）」および／または「ｃｏｕｐｌｉｎｇ（結合する）」と言う用語は、項目間の直接結合および／または介在する項目を介した項目間の間接結合を含み（例えば、項目は、構成部品、要素、回路、モジュールおよび／またはデバイスを含むが、これらに限定されるものではない）、間接結合の場合、介在する項目は、信号の情報を変更しない。さらに本明細書で使用される際には、推論された結合（すなわち、１つの要素が、推論によって別の要素に結合される）は、「ｃｏｕｐｌｅｄ  ｔｏ（に結合される）」と同じ方法での２つの項目間での直接および間接結合を含む。本明細書で使用される際には、「ｏｐｅｒａｂｌｅ  ｔｏ（するように動作可能な）」と言う用語は、項目が、説明された、または必要な対応する機能のうちの１つまたは複数を行うために、処理モジュール、データ、入力、出力などのうちの１つまたは複数を含み、また、説明された、または必要な対応する機能を行うために、１つまたは複数のその他の項目への推論された結合をさらに含んでもよい、ことを示す。また本明細書で使用される際には、「ｃｏｎｎｅｃｔｅｄ  ｔｏ（に接続される）」および／または「ｃｏｎｎｅｃｔｉｎｇ（接続する）」もしくは「ｉｎｔｅｒｃｏｎｎｅｃｔｉｎｇ（相互接続する）」と言う用語は、ノード／デバイス間の直接接続もしくはリンク、および／または介在する項目（例えば、項目は、構成部品、要素、回路、モジュール、ノード、デバイスなどを含むが、これらに限定されるものではない）を介したノード／デバイス間の間接接続を含む。さらに本明細書で使用される際には、推論された接続（すなわち、１つの要素が、推論によって別の要素に接続される）は、「ｃｏｎｎｅｃｔｅｄ  ｔｏ（に接続される）」と同じ方法での２つの項目間での直接および間接接続を含む。
【００４９】
１つまたは複数の実施形態の様々な機能および特徴の特定の組合せが、本明細書で明示的に説明されたが、これらの特徴および機能のその他の組合せも同様に可能である。本開示は、本明細書に開示された特定の例に限定されるものではなく、これらのその他の組合せを明示的に含む。
【図１】
0006320538.tif 000002
【図２】
0006320538.tif 000003
【図３】
0006320538.tif 000004
【図４】
0006320538.tif 000005
【図５】
0006320538.tif 000006
【図６】
0006320538.tif 000007