(57)【要約】【課題】  ユビキタスネットワーキング環境において、サービスを利用提供する際のプライバシ保護に関するものであり、プライバシ情報の公開の可否を判断できるプライバシ情報管理サーバ及びその方法を提供する。【解決手段】  本発明のプライバシ情報管理サーバは、サービス利用者のユーザ端末，サービス提供者のプロバイダ端末，前記ユーザ端末と前記プロバイダ端末間を接続し通信を行うためのネットワークにおけるユーザのプライバシ情報を管理するプライバシ情報管理サーバであり、ユーザのプライバシ情報を格納するプライバシ情報データベースと、  該プライバシ情報データベースにおけるプライバシ情報の管理を行うプライバシ情報管理手段と、前記プライバシ情報データベースにおける登録ユーザ総数に対する、プライバシ情報の種類から特定されるユーザの割合を計算する統計処理手段とを有している。【選択図】    図１
2005234866.tif 000002
【特許請求の範囲】
【請求項１】
複数の端末間を接続し通信を行うためのネットワークにおける前記端末のユーザのプライバシ情報を管理するプライバシ情報管理サーバであり、
ユーザのプライバシ情報を格納するプライバシ情報データベースと、
該プライバシ情報データベースにおけるプライバシ情報の管理を行うプライバシ情報管理手段と、
前記プライバシ情報データベースにおける登録ユーザ総数に対する、プライバシ情報の種類から特定されるユーザの割合を計算する統計処理手段と
を有し、
前記プライバシ情報管理手段が、ユーザのプライバシ情報の要求メッセージを前記端末から受信した際、前記プライバシ情報データベースを検索して、このプライバシ情報が検索されると、前記統計処理手段が登録ユーザ総数に対するそのプライバシ情報を有する該ユーザの割合を計算し、あらかじめ定めた閾値以上である場合、前記端末にプライバシ情報を送信することを特徴とするプライバシ情報管理サーバ。
【請求項２】
前記プライバシ情報管理手段が、前記端末からユーザのプライバシ情報の登録依頼のメッセージを受信すると、前記プライバシ情報データベースに該ユーザのプライバシ情報を格納し、該端末がネットワークから離脱したことを検出すると、このユーザのプライバシ情報をプライバシ情報データベースから削除することを特徴とする請求項１記載のプライバシ情報管理サーバ。
【請求項３】
前記プライバシ情報データベースに、前記プライバシ情報が、属性と属性値の形式で登録されており、
統計処理手段が、すべてのユーザのプライバシ情報を訓練事例とした場合、前記プライバシ情報を要求する端末から指定された属性と属性値を判断に用いた場合の情報エントロピー値に対して閾値を設定することを特徴とする請求項１または請求項２に記載のプライバシ情報管理サーバ。
【請求項４】
保護したいユーザの属性と属性値の情報エントロピーに対して、プライバシ情報を要求する端末に属性と属性値を送信することで減少する情報エントロピー値を正規化し、正規化した値に対して閾値が設定されていることを特徴とする請求項３に記載のプライバシ情報管理サーバ。
【請求項５】
時間を計測するタイマ手段と、
該計測時間内に前記端末に対して提供した前記属性及び該属性値を格納する情報公開履歴格納手段と
を有し、
前記タイマ手段であらかじめ定めた時間内に、前記端末に提供した前記属性および属性値を、前記情報公開履歴格納手段によりプライバシ情報データベースに蓄積し、前記統計処理手段が情報エントロピー値に対して閾値を設定することを特徴とする請求項３または請求項４に記載のプライバシ情報管理サーバ。
【請求項６】
プライバシ情報管理手段が、ユーザのプライバシ情報を前記プライバシ情報データベースに登録する際、ユーザの指定する閾値を設定しておき、
前記統計処理手段が計算した結果の照合を前記閾値と照合することを特徴とする請求項１から請求項４に記載のプライバシ情報管理サーバ。
【請求項７】
プライバシ情報管理手段が、プライバシ情報の公開を許可する、ユーザの指定するユーザ情報を、アクセス権として前記プライバシ情報データベースに設定しておき、
前記統計処理手段での計算の結果、情報エントロピー値が前記閾値を超えており、かつプロバイダ情報管理手段が、前記ユーザ情報から、該ユーザにアクセス権があることを検出した場合、該ユーザの端末にプライバシ情報を送信することを特徴とする請求項１から請求項４に記載のプライバシ情報管理サーバ。
【請求項８】
暗号化及びプロバイダの認証を行うセキュリティ実現手段を有し、
前記統計処理手段での計算の結果、情報エントロピー値が閾値を超えており、かつ前記プライバシ情報管理手段が前記アクセス権により、プライバシ情報を公開可能なユーザであることを検出した場合、
前記セキュリティ実現手段が、プロバイダの認証を行い、プライバシ情報を暗号化して、該ユーザの端末に送信することを特徴とする請求項７に記載のプライバシ情報管理サーバ。
【請求項９】
複数の端末間を接続し通信を行うためのネットワークにおける前記端末のユーザのプライバシ情報を管理するプライバシ情報管理方法であり、
ユーザのプライバシ情報をプライバシ情報データベースに格納する記憶過程と、
該プライバシ情報データベースにおけるプライバシ情報の管理を行うプライバシ情報管理過程と、
前記プライバシ情報データベースにおける登録ユーザ総数に対する、プライバシ情報の種類から特定されるユーザの割合を計算する統計処理過程と
を有し、
前記プライバシ情報管理過程において、ユーザのプライバシ情報の要求メッセージを端末から受信した際、前記プライバシ情報データベースを検索して、このプライバシ情報が検索されると、前記統計処理過程において登録ユーザ総数に対するそのプライバシ情報を有する該ユーザの割合を計算し、あらかじめ定めた閾値以上である場合、前記ユーザ端末にプライバシ情報を送信することを特徴とするプライバシ情報管理方法。
【請求項１０】
複数の端末間を接続し通信を行うためのネットワークにおける前記端末のユーザのプライバシ情報を管理するプライバシ情報管理プログラムであり、
ユーザのプライバシ情報をプライバシ情報データベースに格納する記憶処理と、
該プライバシ情報データベースにおけるプライバシ情報の管理を行うプライバシ情報管理処理と、
前記プライバシ情報データベースにおける登録ユーザ総数に対する、プライバシ情報の種類から特定されるユーザの割合を計算する統計処理と
を有し、
前記プライバシ情報管理処理において、ユーザのプライバシ情報の要求メッセージを端末から受信した際、前記プライバシ情報データベースを検索して、このプライバシ情報が検索されると、前記統計処理において登録ユーザ総数に対するそのプライバシ情報を有する該ユーザの割合を計算し、あらかじめ定めた閾値以上である場合、前記端末にプライバシ情報を送信するプライバシ情報管理を行うコンピュータの実行可能なプログラム。
【請求項１１】
請求項１０に記載のプログラムが記録されたコンピュータの読み取り可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不特定多数のプロバイダに対する、ユーザのプライバシ情報の利用提供に係わり、ユーザのプライバシ情報の提供に際して、利便性と匿名性確保とを行うことを目的とするプライバシ情報管理サーバ、方法及びプラグラムに関する。
【背景技術】
【０００２】
将来のネットワーク環境は、インターネットを中心としたホモジニアスな(Homogeneous : 均質な）世界から、携帯電話，センサ, PC（パーソナルコンピュータ）及び情報家電などの様々な端末の接続されるヘテロジニアスな(Heterogeneous : 不均質な）世界へと変化しつつある。このようなネットワーク環境を実現するための基盤技術が、ユビキタスネットワーキング技術である。
ネットワークに接続される多種多量な端末は、多様化及び遍在化し、互いに協調連携しながら、ユーザの嗜好や置かれている環境に適した広域アプリケーションサービスを提供する。
【０００３】
ユビキタスネットワーキング環境においては、センサやアクチュエータがネットワークに接続されることにより、物理世界とアプリケーションサービスの連携がスムーズになる。
これは、ネットワーク環境がユーザを支援するユーザ支援型のサービスシナリオであり、ユーザにとっては、アプリケーションサービス起動のための入力が軽減され、個人情報と組み合わせることで、意識することなくサービスを受けることができる。
【０００４】
上述のサービスの前提とするシステムの構成とアプリケーション例を図４に示す。
ネットワーク１５には、携帯電話１やＰＣなどのユーザ端末１０，１１や、プロバイダ端末１２，１３、ディスプレイ機能付きテーブル１４など様々なユビキタス端末が接続されている。
また、ネットワーク１５には、認証サーバ１６や位置情報管理サーバ１７など各種サーバが接続されている。
【０００５】
そして、人検知や体温測定などを行うセンサにより構成されるセンサネットワーク１８がある。
このセンサネットワーク１８において収集したセンス情報は、ネットワーク１５にあるセンス情報管理サーバ１９で管理される。
ユーザはユーザ端末１０を保持しており、このユーザ端末１０においては、ユーザ自身が設定したユーザの嗜好情報やユーザ自身を特定する情報，嗜好や脆弱性情報を元に端末ソフトウェアが生成したアクセス制御リスト(ACL)、GPS(Global Positioning System)とネットワーク上の位置情報管理サーバ１７とにより位置情報を獲得する。
【０００６】
ユーザ端末１０は、移動先で適宜ネットワークと接続され、ネットワーク１５を介してプロバイダ端末１２，１３経由で提供するアプリケーションサービスを利用する。
ネットワーク１５には、インターネットの他に、ホームネットワーク，センサネットワーク１８，アドホックネットワークといったような様々な種類があり、それらは、ゲートウェイ１１０などを介して相互接続されている。
【０００７】
次に、アプリケーション例を用いて、本発明で想定しているシステムの概要を説明する。
（１）ユーザ端末１０は、ユーザが自宅からレストランの前に移動したことを検出する。
（２）プロバイダ１３の前に立ったユーザを、センサネットワーク１８を構成する人検出センサが検出し、センス情報としてセンス情報管理サーバ１９に通知する。プロバイダ端末１３で提供されるサービスは、センス情報管理サーバ１９をポーリングし、必要なプライバシ情報を取得する。プロバイダ端末は、ユーザ端末１０にサービスに関するメッセージを送信する。
【０００８】
（３）ユーザは、ディスプレイ機能付きテーブル１４に座る。椅子についている人検知セ      ンサによりユーザが席についたことを検出し、同時にディスプレイ機能付きテーブ      ル１４のデバイスＩＤをセンサネットワーク１８経由でセンス情報管理サーバ１９に通知する。プロバイダ端末１２で提供されるビデオコンテンツ配送サービスは、センス情報管理サーバ１９をボーリングすることでデバイスＩＤと人検知情報を入手する。本情報元に、ビデオコンテンツをディスプレイ機能付きテーブル１４に流す。
【０００９】
プライバシ情報とは、ユーザＩＤに付随した個人に関する情報である。これまでのプライバシ情報とは、名前，住所，年齢，性別，病歴，家族構成などのユーザの属性，嗜好，意図，および、これらの履歴などのユーザが端末から入力した静的な情報（静的プライバシ情報:S-privacy)に関する情報が主であった。
しかし、ユビキタスネットワーキング環境においては、生体，温度，人検知などのセンサによって取得できる情報，位置，時刻，電子マネーや乗車記録などのユーザの行動に付随して取得できる情報，およびこれらの履歴などユーザの挙動や振る舞いをシステムが感知して取得する動的な情報（動的プライバシ情報:D-privacy)もプライバシ情報に含まれるようになり、これらのユーザのプライバシに関する情報は増加の一途を辿ると考えられる。
【００１０】
一般に、プライバシ情報の利用において、匿名性と利便性とはトレードオフの関係にある。よって、プライバシ情報利用のシステム化のためには、匿名性を適正に評価する手法の確立が必要である。
これに対応して、ネットワーク上にあるprivacy proxy を介して、ユーザとプロバイダのend-to-endにおける公開可能なプライバシ情報のネゴシエーションを行う方法が提案されている（非特許文献１参照）。
【００１１】
しかし、上記従来技術で前提としているのは、S-privacyに対応するであり、D-privacyをプライバシ情報に含めた形で本従来技術を実現した場合、プライバシ情報の情報量の増加とサービス提供頻度とが増加するため、情報公開のためのネゴシエーションの回数が増加し、サービスに必要な処理が煩雑になる。
【００１２】
ユーザＩＤとプライバシ情報とを分離して、サービス起動制御を行う方式が提案されており、ユーザＩＤを用いず、位置情報をトリガにしてサービスを提案／提供するものである（非特許文献２及び３参照）。
しかしながら、上述した従来例においては、位置情報以外のD-privacy情報，およびプライバシ情報の組み合わせによるユーザの推定などについては、何ら規定がない。
ユーザ嗜好フィルタを用いて、ユーザの嗜好にあったサービスを検索する方式は、ユーザがS/D-privacyを元にあらかじめユーザ嗜好フィルタを生成し、フィルタを元にネットワーク上に該当するサービスがないかを検索する（非特許文献４参照）。
この従来技術においては、行動が変化する度にフィルタを生成し直す必要があり、ユー-ザの処理が煩雑になる。
【００１３】
また、この従来技術は、ネットワークにフィルタを送信する際、ユーザＩＤとフィルタ送信ログをとることで不特定多数のプロバイダにプライバシ情報を知られてしまう。
アンケートに協力したユーザが自分を含めたアンケート結果を知るといったアプリケーション利用例のように、プライバシ情報を提供したユーザ自身が、プライバシ情報の利用者になる場合がある。このように、上記従来技術は、ユーザとプロバイダに限った場合だけではなく、ユーザが、他のユーザのプライバシ情報を利用する場合も同様の問題が発生する。
【非特許文献１】Borriellorら[G.Borriello,L.E.Holmquist;" A Privacy Awareness System for Ubiquitous Computing Environments" In 4th International Conference on Ubiquitous Computing(UbiComp2002),Springer-Verlag LNCS 2498,pp.237-245,September 2002.
【非特許文献２】辛島明男，和泉憲明，車谷浩一，中島秀之：”ユビキタス環境におけるコンテンツ流通のためのマルチエージェントアーキテクチャ:CONSORTS”，情処研報  Vol.2003,No.39, pp.7-14, 2003.
【非特許文献３】中島秀之，橋田浩一，森彰，伊藤日出男，本村陽一，車谷浩一，山本吉伸，和泉潔，野田五十樹，”情報インフラに基づくグラウンディングとその応用−サイバーアシストプロジェクトの概要−”コンピュータソフトウェア, Vol.18,No4, pp.48-56,2001.
【非特許文献４】柴田弘，星合隆成，”パーソナライズ情報提案サービスにおける自律エージェンド”，信学技報, KBSE2001-56, pp.53-60, 2001.
【発明の開示】
【発明が解決しようとする課題】
【００１４】
本発明は、D-privacyの追加により、privacy proxyを介した場合の処理の煩雑化やフィルタを利用した場合の処理の煩雑さやプライバシ情報の露見のような事情に鑑みてなされたもので、ユビキタスネットワーキング環境において、サービスを利用提供する際のプライバシ保護に関するものであり、プライバシ情報の公開の可否を判断できるプライバシ情報管理サーバ及びその方法を提供する。
【課題を解決するための手段】
【００１５】
本発明のプライバシ情報管理サーバは、複数の端末間を接続し通信を行うためのネットワークにおける前記端末のユーザのプライバシ情報を管理するプライバシ情報管理サーバであり、ユーザのプライバシ情報を格納するプライバシ情報データベースと、該プライバシ情報データベースにおけるプライバシ情報の管理を行うプライバシ情報管理手段と、前記プライバシ情報データベースにおける登録ユーザ総数に対する、プライバシ情報の種類から特定されるユーザの割合を計算する統計処理手段とを有し、前記プライバシ情報管理手段が、ユーザのプライバシ情報の要求メッセージを前記端末から受信した際、前記プライバシ情報データベースを検索して、このプライバシ情報が検索されると、前記統計処理手段が登録ユーザ総数に対するそのプライバシ情報を有する該ユーザの割合を計算し、あらかじめ定めた閾値以上である場合、前記端末にプライバシ情報を送信することを特徴とする。
【００１６】
本発明のプライバシ情報管理サーバは、前記プライバシ情報管理手段が、前記端末からユーザのプライバシ情報の登録依頼のメッセージを受信すると、前記プライバシ情報データベースに該ユーザのプライバシ情報を格納し、該端末がネットワークから離脱したことを検出すると、このユーザのプライバシ情報をプライバシ情報データベースから削除することを特徴とする。
【００１７】
本発明のプライバシ情報管理サーバは、前記プライバシ情報データベースに、前記プライバシ情報が、属性と属性値の形式で登録されており、統計処理手段が、すべてのユーザのプライバシ情報を訓練事例とした場合、前記プライバシ情報を要求する端末から指定された属性と属性値を判断に用いた場合の情報エントロピー値に対して閾値を設定することを特徴とする。
【００１８】
本発明のプライバシ情報管理サーバは、保護したいユーザの属性と属性値の情報エントロピーに対して、プライバシ情報を要求する端末に属性と属性値を送信することで減少する情報エントロピー値を正規化し、正規化した値に対して閾値が設定されていることを特徴とする。
【００１９】
本発明のプライバシ情報管理サーバは、時間を計測するタイマ手段と、該計測時間内に前記端末に対して提供した前記属性及び該属性値を格納する情報公開履歴格納手段とを有し、前記タイマ手段であらかじめ定めた時間内に、前記端末に提供した前記属性および属性値を、前記情報公開履歴格納手段によりプライバシ情報データベースに蓄積し、前記統計処理手段が情報エントロピー値に対して閾値を設定することを特徴とする。
【００２０】
本発明のプライバシ情報管理サーバは、プライバシ情報管理手段が、ユーザのプライバシ情報を前記プライバシ情報データベースに登録する際、ユーザの指定する閾値を設定しておき、前記統計処理手段が計算した結果の照合を前記閾値と照合することを特徴とする。
【００２１】
本発明のプライバシ情報管理サーバは、プライバシ情報管理手段が、プライバシ情報の公開を許可する、ユーザの指定するユーザ情報を、アクセス権として前記プライバシ情報データベースに設定しておき、前記統計処理手段での計算の結果、情報エントロピー値が前記閾値を超えており、かつプロバイダ情報管理手段が、前記ユーザ情報から、該ユーザにアクセス権があることを検出した場合、該ユーザの端末にプライバシ情報を送信することを特徴とする。
【００２２】
本発明のプライバシ情報管理サーバは、暗号化及びプロバイダの認証を行うセキュリティ実現手段を有し、前記統計処理手段での計算の結果、情報エントロピー値が閾値を超えており、かつ前記プライバシ情報管理手段が前記アクセス権により、プライバシ情報を公開可能なユーザであることを検出した場合、前記セキュリティ実現手段が、プロバイダの認証を行い、プライバシ情報を暗号化して、該ユーザの端末に送信することを特徴とする。
【００２３】
本発明のプライバシ情報管理方法は、複数の端末間を接続し通信を行うためのネットワークにおける前記端末のユーザのプライバシ情報を管理するプライバシ情報管理方法であり、ユーザのプライバシ情報をプライバシ情報データベースに格納する記憶過程と、該プライバシ情報データベースにおけるプライバシ情報の管理を行うプライバシ情報管理過程と、前記プライバシ情報データベースにおける登録ユーザ総数に対する、プライバシ情報の種類から特定されるユーザの割合を計算する統計処理過程とを有し、前記プライバシ情報管理過程において、ユーザのプライバシ情報の要求メッセージを端末から受信した際、前記プライバシ情報データベースを検索して、このプライバシ情報が検索されると、前記統計処理過程において登録ユーザ総数に対するそのプライバシ情報を有する該ユーザの割合を計算し、あらかじめ定めた閾値以上である場合、前記ユーザ端末にプライバシ情報を送信することを特徴とする。
【００２４】
本発明のプライバシ情報管理プログラムは、複数の端末間を接続し通信を行うためのネットワークにおける前記端末のユーザのプライバシ情報を管理するプライバシ情報管理プログラムであり、ユーザのプライバシ情報をプライバシ情報データベースに格納する記憶処理と、該プライバシ情報データベースにおけるプライバシ情報の管理を行うプライバシ情報管理処理と、前記プライバシ情報データベースにおける登録ユーザ総数に対する、プライバシ情報の種類から特定されるユーザの割合を計算する統計処理とを有し、前記プライバシ情報管理処理において、ユーザのプライバシ情報の要求メッセージを端末から受信した際、前記プライバシ情報データベースを検索して、このプライバシ情報が検索されると、前記統計処理において登録ユーザ総数に対するそのプライバシ情報を有する該ユーザの割合を計算し、あらかじめ定めた閾値以上である場合、前記端末にプライバシ情報を送信するプライバシ情報管理を行うコンピュータの実行可能なプログラムである。
【００２５】
本発明の記録媒体は、上記プライバシ情報管理プログラムが記録されたコンピュータの読み取り可能な記憶媒体である。
【００２６】
上述したように、本発明は、プライバシ情報の公開の可否をシステムが判断できる手段を提供するため、プライバシ情報を上記プライバシ情報管理サーバにより管理し、サービス起動時に利用を許可する。
そして、プロバイダが当該プライバシ情報管理サーバに対して、プライバシ情報提供を要求した場合、上述した統計処理手段によりプライバシ情報管理サーバ内の匿名性に対して統計的手法で評価を行い、あらかじめ定めた閾値により、公開するか否か判断する。
この閾値の設定方法としてはユーザ個別に設定が可能であり、また、アプリケーションによって高いセキュリティが要求される場合、上記セキュリティ実現手段を追加し対応することができる。
【００２７】
このように、本発明は、プライバシ情報の利便性向上とプライバシ情報利用の際の匿名性についての定量的尺度を示すものであり、サービス利用に必要なプライバシ情報をネットワーク上のサーバで管理し、プロバイダのサービス起動に必要な情報を、統計的手法によりユーザまたはシステムであらかじめ定めた閾値で管理することにより、匿名性に対する基準を規定することができ、利便性を向上させる作用を有する。
【発明の効果】
【００２８】
以上説明したように、本発明のプライバシ情報管理サーバによれば、S及びD-privacyの提供による匿名性の低下尺度を与えることができるため、プライバシ情報の機密性の高さに応じたセキュリティ技術を付与することが可能となる。
また、本発明のプライバシ情報管理サーバによれば、ネットワーク上において、このネットワーク系に含まれるユーザのプライバシ情報を一括管理し、公開の是非を管理するため、サービス提供の利便性が向上する。
【発明を実施するための最良の形態】
【００２９】
以下に述べる実施形態は、プライバシ情報を求めるユーザがネットワークサービスの提供者（以下、「サービス提供者」または「プロバイダ」と記す）であるとして説明する。
本発明のプライバシ情報管理サーバは、図１に示すように、サービス利用者のユーザ端末１１，１２，サービス提供者のユーザ端末（以下、「プロバイダ端末」と記す）１４、これらユーザ端末１１，１２とプロバイダ端末１４間を接続し通信を行うためのネットワークにおけるユーザのプライバシ情報を管理するプライバシ情報管理サーバ２０であり、ユーザのプライバシ情報を格納するプライバシ情報データベースと、該プライバシ情報データベースにおけるプライバシ情報の管理を行うプライバシ情報管理部と、前記プライバシ情報データベースにおける登録ユーザ総数に対する、プライバシ情報の種類から特定されるユーザの割合を計算する統計処理部とを有し、前記プライバシ情報管理部が、サービスを提供するのに必要なユーザのプライバシ情報の要求メッセージをプロバイダ端末から受信した際、前記プライバシ情報データベースを検索して、このプライバシ情報が検索されると、上記統計処理部が登録ユーザ総数に対するそのプライバシ情報を有する該ユーザの割合を計算し、あらかじめ定めた閾値以上である場合、前記プロバイダにプライバシ情報を送信し、閾値以下である場合、プライバシ情報を公開しないことを特徴とする。
【００３０】
＜第１の実施形態＞
以下、本発明の第１の実施形態（請求項１及び２に対応）によるプライバシ情報管理サーバを図面を参照して説明する。図１は同実施形態を用いたネットワーク構成例を示す概念図である。
この図において、図４に示す従来の装置と同一の部分には同一の符号または名称を付し、その説明を省略する。この図１に示す装置が従来の図４に示す装置と異なる点は、ユーザのプライバシを管理するプライバシ情報管理サーバ２０を追加して設けられている点である。
【００３１】
また、ユーザ端末１１及び１２、プロバイダ端末１３及び１４には、エージェント３０１〜３０４が搭載されており、ユーザやプロバイダの処理支援を行う。
そして、信頼関係のないユーザとプロバイダとの最初のコミュニケーション手段としては、ネットワーク掲示板２１が利用される。
すなわち、プロバイダは、ユーザに提案したいサービスをネットワーク掲示板２１に掲示し、ユーザは定期的に掲示板を見に行き、コミュニケーションを取るか否かの判断を行う。
【００３２】
また、図２に、図１における、本発明におけるプライバシ情報データベース（ＤＢ）管理部３１およびプライバシ情報ＤＢ３２、統計処理部３３から構成されるプライバシ情報管理サーバ２０の構成を示す。
プライバシ情報データベース（ＤＢ）管理部３１は、ネットワークヘの接続／離脱を契機に、ユーザ端末のエージェント３０１経由で、ユーザから送信されたこのユーザのプライバシ情報の格納/削除/検索を行う。
【００３３】
プライバシ情報ＤＢ３２には、ユーザＩＤ，S/D-privacy，ユーザのエージェント３０１〜３０２が定期的に見に行くネットワーク掲示板ＩＤ（YPID）を格納されている。
ここで、D-privacyは、プライバシ情報データベース（ＤＢ）管理部３１により、一定時間毎か、または新たなプライバシ情報が入力された時点において、FIFO (First In First out）方式により書換えが行割れる。
統計処理手段３３は、プライバシ情報ＤＢ３２の中から、プライバシ情報ＤＢ管理部３１経由により、プロバイダが要求するS/D-privacy情報検索式に対応するユーザ数を算出する。
【００３４】
次に、図３を参照して、図２に示すプライバシ情報管理サーバ２０の動作を説明する。この図３は、プライバシ情報管理サーバ２０の処理の動作例を示すフローチャートである。
ユーザは、ユーザ端末１１をネットワークに接続した際、ユビキタスサービスを受けるのと引き換えに提示してもよいS-privacyを、エージェント３０１を用いて＜属性，属性値＞としてプライバシ情報管理サーバ２０に登録する。
【００３５】
このとき、D-privacyに関しては、属性のみプライバシ情報ＤＢ管理部３１が用いられ、プライバシ情報ＤＢ３２に登録される。
また、D-privacyの属性値は、センス情報管理サーバ１９、プライバシ情報ＤＢ管理部３１により、プライバシ情報ＤＢ３２に随時登録される。
D-privacyの属性値は、あらかじめ決めたルール（例えばFIFO方式）で書換える（3001）。
【００３６】
次に、プロバイダのエージェント３０３は、あらかじめ定めた契機において、サービスを利用してくれるユーザがネットワークに接続されているかを、＜属性，属性値＞のペアの要求をプライバシ情報管理サーバ２０に送信することで確認する。
このとき、プロバイダのエージェント３０３は、＜属性，属性値＞のペアを、複数指定する場合もある(3002)。
【００３７】
そして、プライバシ情報ＤＢ管理部３１は、プライバシ情報ＤＢ３２から該当する＜属性，属性値＞の有無を検索して確認する(3003, 3004)。
プライバシ情報ＤＢ管理部３１は、プライバシ情報ＤＢ３２に該当する＜属性，属性値＞が有ることを検出した場合、統計処理部３３により、このネットワーク系にいるユーザ総数の中で、指定された＜属性，属性値＞を持つユーザ数を計算する(3005)。
一方、プライバシ情報ＤＢ管理部３１は、該当する＜属性，属性値＞が検出されない場合、該当するユーザがいない旨をプロバイダのエージェント３０３に通知する（3007）。
【００３８】
次に、プライバシ情報ＤＢ管理部３１は、統計処理部３３がユーザ総数に対する該ユーザの占める割合を計算した結果（3006）、この割合がシステムであらかじめ設定した同値より多い（以上である）場合、システムで定めた匿名性の基準を満足しているとみなし、プロバイダが指定した＜属性，属性値＞を満たすユーザのエージェント３０１が利用するネットワーク掲示板２１のYPIDを通知する(3008)。
一方、プライバシ情報ＤＢ管理部３１は、統計処理部３３がユーザ総数に対する該ユーザの占める割合を計算した結果（3006）、この割合がシステムであらかじめ設定した閾値より少ない場合、システムが指定した匿名性を満足していないとみなし、該当するユーザがいない旨通知する（3007）。
【００３９】
これにより、プロバイダのエージェント３０３は、通知されたYPIDを元にネットワーク掲示板２１へ、プロバイダＩＤ，サービス内容，有効期限を登録する(3009)。
そして、ユーザのエージェント３０１は、定期的にネットワーク掲示板２１を参照しに行き、ユーザ嗜好や行動にあったサービスがあれば、ユーザに提案し、ユーザが許可すればプロバイダにアクセスしてサービスを利用する。
【００４０】
本第１の実施形態は、ネットワーク掲示板をユーザインタフェースとして用いたが、プライバシ情報が公開可能な場合、ユーザとプロバイダの間の一時的な通信を行うセッションＩＤを発行し、プロバイダとユーザで直接通信を行う方法もある。
また、本第１の実施形態は、ユーザ/プロバイダ間のプライバシ情報公開の可否について述べたが、プライバシ情報の提供者であるユーザが、ユーザ端末11または12を介してプライバシ情報管理サーバ20から統計値としてのプライバシ情報を利用する方法もある。
これにより、ネットワークに接続しているユーザとプロバイダまたはユーザのようなプライバシ情報利用者が、個別にend-to-endで公開可能なプライバシ情報のネゴシエーションしなくとも、あらかじめ規定した匿名性レベルが確保できる。
さらに、ユーザのプライバシ情報登録とは非同期にプライバシ情報を利用できるため、プロバイダまたはユーザといったプライバシ情報利用者のプライバシ情報に対する利便性が向上する。
【００４１】
＜第２の実施形態＞
第２の実施形態は、請求項３を説明するためのものであり、統計処理部３３にて行われる計算的統計量を情報エントロピーとしたものである。他の処理及び構成は第１の実施形態と同様である。
すべてのユーザのプライバシ情報を訓練事例とする。ユーザ"Alice"やＡ社の女子社員といったような匿名にしたい属性の属性値のクラスを正、そうでない属性値のクラスを負として表現する場合を訓練事例の持つ情報エントロピーＨ０とし、単一または複数指定の属性Ｆを判断に用いた場合の情報エントロピーＨＦとした場合、Ｈ０，ＨＦは以下の式で表現される。
【００４２】
ここで、情報エントロピーＨ０及びＨＦをプライバシ情報公開のための評価尺度として用い、これらから閾値を設定する。
Ｈ０＝−Ｐ＋log２（Ｐ＋）−Ｐ−log２(Ｐ−)
上式において、
Ｐ＋＝訓練事例の正の確率
Ｐ−＝訓練事例の負の確率
【００４３】
【数１】
2005234866.tif 000003
【００４４】
上式において、
Ｐｉ＋＝Ｆの属性値の集合を{ν１,ν２,…>νｉ>…>νｎＦ}とした場合、Ｆがνｉである正の確率
Ｐｉ−＝Ｆの属性値の集合を{ν１,ν２,…>νｉ>…>νｎＦ}とした場合、Ｆがνｉである負の確率
【００４５】
ここで、ユーザ総数に変動がない場合、つまりΔt内に訓練事例の変化がない場合、情報エントロピーを用いることにより、ユーザ"Alice"の匿名性だけでなく、Ａ社の女子社員といったような同じ属性を持つユーザの集合に対する匿名性についても閾値を設定できる。
【００４６】
＜第３の実施形態＞
第３の実施形態は，請求項４を説明するためのものであり、第２の実施形態の情報エントロピー値の同値として、保護すべきユーザ属性の情報エントロピーに対して正規化した値を用いる。
例として、Ｆ分岐により減少する情報エントロピーの割合ＤＦ＝ＨＦ／Ｈ０を匿名性尺度に用いる。
ここで、上記割合ＤＦは、セキリティレベルに応じて、システム毎に規定するかまたはユーザがＤＦを指定しておく。
この割合ＤＦを用いることにより、ユーザ数、すなわち訓練事例集合およびその屈性分布が異なる場合についても、匿名性の閾値を設定できる。
【００４７】
＜第４の実施形態＞
第４の実施形態は、請求項５を説明するためのものであり、第２及び第３の実施形態により、時間計測を行うタイマと、タイマによりあらかじめ定めた時間Δt内にプロバイダに提供した＜属性，属性値＞の提供履歴情報記録する情報公開履歴格納手段を追加したものである。
Δt内にプロバイダに提供した＜属性，属性値＞を情報公開履歴格納手段経由でプライバシ情報ＤＢ３２に蓄積し，この蓄積情報に対して，統計処理部３３により情報エントロピー、または割合ＤＦを計算し、プライバシ情報ＤＢ管理部３１はシステムであらかじめ規定した匿名性に関する閾値に到達した場合、＜属性，属性値＞の提供を停止し、規定した閾値に達していない場合、＜属性，属性値＞を提供する。
これによって、Δt内にプライバシ情報管理サーバ２０から情報提供を受けたプロバイダ同士またはユーザ同士といったようなプライバシ情報利用者同士が、互いに情報交換しても、一定基準の匿名性は確保できる。
【００４８】
＜第５の実施形態＞
第５の実施形態は、請求項６を説明するものであり、第１，第２及び第３の実施形態において、匿名性に関する閾値をユーザ自身で決定し、これをプライバシ情報サーバ２０に送信することで、プライバシ情報ＤＢ管理部３１はプライバシ情報ＤＢ３２に該ユーザの占める割合、または情報エントロピー値,または割合ＤＦの閾値を設定する。
また、プライバシ情報ＤＢ管理部３１は、統計処理部３３において計算した結果を、プライバシ情報ＤＢ３２に照会し、該閾値により情報公開の可否を判定する。これによって、ユーザ毎に匿名性の閾値を規定できる。
【００４９】
＜第６の実施形態＞
第６の実施形態は、請求項７を説明するためのものであり、プライバシ情報ＤＢ３２に、プロバイダのプライバシ情報に対するアクセス権を追加することにより、ユーザがプライバシ情報を公開したくないプロバイダまたはユーザを指定できる。
【００５０】
＜第７の実施形態＞
第７の実施形態は、請求項８説明するためのものであり、第１の実施形態のプライバシ情報管理サーバ２０にセキュリティ実現手段を追加する。
このセキュリティ実現手段は、不正アクセスの防御、ユーザのプライバシ情報の格納／削除の際のend-to-endでの通信秘匿，盗聴，改鼠を防御手段として，アクセス履歴，追跡，耐タンパ，脆弱性データベース、暗号，認証などを、プライバシ情報サーバ２０外部にある認証サーバなどとの連携によって、セキュリティ確保を実現する。
上記セキュリティ実現手段を追加することによって、通信の暗号化やプロバイダの認証を実現でき、安全性の確保を行うことができる。
【００５１】
また、さらに強固な安全性が必要な場合、上記セキュリティ実現手段に、ＴＴＰ(Trusted Third Party)で生成した安全なエージェント：セキュアエージェント（特願2001-331446)にプロバイダとの通信処理を仲介させる。
このセキュアエージェントは、プロバイダからユーザＩＤを要求された場合、ユーザに当該プロバイダヘユーザＩＤの公開可否について問い合わせる。
この問い合わせを、ユーザが公開を許可した場合、セキュアエージェントがプロバイダに、公開を許可したユーザＩＤを通知する。
これにより、オンデマンドにユーザとプロバイダ間、またはユーザ間の２者間の安全な通信が実現できる。
【００５２】
＜第８の実施形態＞
第８の実施形態は、請求項１〜請求項７におけるプライバシ情報共有のスケーラビリティについて説明するものであり、第１の実施形態において、ネットワーク単位または、１つのネットワークを分割した分割単位ごとに、プライバシ情報管理サーバ２０を設置する。
このプライバシ情報管理サーバ２０には、プライバシ情報を共有するプライバシ情報共有手段を付与し、プライバシ情報管理サーバ２０間でプライバシ情報ＤＢ３２を共有する。
プライバシ情報管理サーバ２０間の共有範囲は、ネットワーク管理者がＴＴＬ（Time to Live)やサービス内容によってあらかじめ規定しておく。
【００５３】
また、プライバシ情報ＤＢ３２を共有する際は、あらかじめ定めた方法により、マスタとなるサーバを規定するか、個々のプライバシ情報管理サーバ２０において、統計処理部３３が、共有しているプライバシ情報ＤＢ３２の中で第１から第５の実施形態に示した統計処理計算を行う．
これによって、プロバイダまたはユーザのプライバシ情報利用範囲拡大し、スケーラビリティの確保が実現できる。
【００５４】
なお、図１におけるプライバシ情報管理サーバの機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによりユーザのプライバシ情報の管理処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００５５】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【図面の簡単な説明】
【００５６】
【図１】本発明の実施形態のプライバシ情報管理サーバを用いたネットワークの構成例を示す概念図である。
【図２】図１におけるプライバシ情報管理サーバ２０の構成例を示すブロック図である。
【図３】図２のプライバシ情報管理サーバ２０の動作例を示すフローチャートである。
【図４】プライバシ情報の提供サービスの実行を前提とするシステムの構成とアプリケーション例を示す概念図である。
【符号の説明】
【００５７】
１０，１１  ユーザ端末
１２，１３  プロバイダ端末
１４  ディスプレイ機能付きテーブル
１５  ネットワーク
１６  認証サーバ
１７  位置情報管理サーバ
１８  センサネットワーク
１９  センス情報管理サーバ
１１０  ゲートウェイ
２０  プライバシ情報管理サーバ
２１  ネットワーク掲示板
３０１、３０２、３０３、３０４  エージェント
３１  プライバシ情報データベース（ＤＢ）管理部
３２  プライバシ情報ＤＢ
３３  統計処理部
【図１】
2005234866.tif 000004
【図２】
2005234866.tif 000005
【図３】
2005234866.tif 000006
【図４】
2005234866.tif 000007