(57)【要約】【課題】一旦、外部にプライバシー情報を出してしまうと、プライバシー所有者の管理が及ばず、サービスプロキシに渡したプライバシー情報が悪用されてしまう危険性を回避できない。【解決手段】プライバシー情報と、それを外部に公開できる条件を記述したプライバシープリファレンスと、を「プライバシーカプセル」として一体で管理し、プライバシー情報の利用者の利用条件を記述したプライバシーポリシと、プライバシープリファレンスと比較して条件を満足する場合に、プライバシー情報をプライバシーカプセル内で使用することを許可するとともに、サービスを実行するためのプログラムを含んだ「モバイルエージェント」を外部からプライバシーカプセルに送り込み、プライバシーカプセル内でモバイルエージェントがプライバシー情報を用いてサービスを実行し、実行結果のみをパーソナルサーバ外部に出力する。【選択図】図２
2005099944.tif 000002
【特許請求の範囲】
【請求項１】
利用者個人のプライバシーに関わるデータを含んだプライバシー情報を用いて利用者に各種のサービスを提供する際に、このプライバシー情報と、それを外部に公開できる条件を記述したプライバシープリファレンスと、をプライバシーカプセルとして一体で管理し、前記プライバシー情報の利用者の利用条件を記述したプライバシーポリシと、前記プライバシープリファレンスと比較して条件を満足する場合に、前記プライバシー情報を前記プライバシーカプセル内で使用することを許可するとともに、前記プライバシー情報を前記プライバシーカプセル外に流出するのを防止することにより、前記プライバシーカプセル外部から前記プライバシー情報を隠蔽するプライバシー情報保護方法。
【請求項２】
請求項１に記載のプライバシー情報保護方法において、
前記プライバシーポリシと前記プライバシープリファレンスとを比較して条件に合った場合に、サービスを実行するためのプログラムを含んだモバイルエージェントを外部から前記プライバシーカプセルに送り込み、プライバシーカプセル内で前記モバイルエージェントが前記プライバシー情報を用いて前記サービスを実行し、実行結果のみを前記プライバシーカプセル外部に出力する、
ことを特徴とするプライバシー情報保護方法。
【請求項３】
請求項１または２に記載のプライバシー情報保護方法において、
ひとつのサービスを実行する際に、複数の前記プライバシーカプセルの各々に前記モバイルエージェントを送り込み、前記プライバシーカプセルのぞれぞれのなかの前記モバイルエージェントが自プライバシーカプセル内の前記プライバシー情報を使用して必要な処理を実行するとともに、自プライバシーカプセル内の前記プライバシー情報を他の前記プライバシーカプセルに対して隠蔽したまま、互いに連携して処理を実行し、最終的に前記ひとつのサービスを実行する、
ことを特徴とするプライバシー情報保護方法。
【請求項４】
プライバシーポリシーの所在情報を送信するプライバシービーコンと、携帯情報機器と、ユーザのプライバシープリファレンスおよびプライバシー情報を含むプライバシーカプセルを収容するパーソナルプライバシープロキシーと、プライバシーポリシー及びモバイルエージェントを収容するサービスプロキシーと、を含むプライバシー情報保護システムであって、
前記携帯情報機器は、
前記プライバシービーコンから送信された前記所在情報を受信し、この受信した前記所在情報を前記パーソナルプライバシープロキシーに送信する手段を具え、
前記パーソナルプライバシープロキシーは、
前記携帯情報機器から、前記プライバシーポリシーの所在情報と前記プライバシー情報とを受信する手段と、
前記プライバシーポリシーの所在情報に基づき、前記サービスプロキシから前記プライバシーポリシを受信する手段と、
前記プライバシーポリシと前記プライバシープリファレンスとを比較して条件を満足する場合に、前記サービスプロキシにモバイルエージェントを要求するポリシチェック手段と、
前記要求を受けて前記サービスプロキシから送信された前記モバイルーエージェントを受信し、それを前記プライバシーカプセルに組み込み、前記プライバシーカプセル内で前記モバイルエージェントに、プライバシー情報を用いてサービスを実行させ、実行結果のみを前記プライバシーカプセル外部に出力させるように制御するモバイルエージェント制御手段と、を具える、
ことを特徴とするプライバシー情報保護システム。
【請求項５】
請求項４に記載のプライバシー情報保護システムにおいて、
前記携帯情報機器は、
さらに、前記ユーザのプライバシー情報を取得或いは検出する手段と、
この取得或いは検出したプライバシー情報を前記所在情報と共に前記前記パーソナルプライバシープロキシーに送信する手段とをも具える、
ことを特徴とするプライバシー情報保護システム。
【請求項６】
請求項４または５に記載のプライバシー情報保護システムにおいて、
ひとつのサービスを実行する際に、前記サービスプロキシは前記モバイルエージェントを複数の前記パーソナルプライバシープロキシの前記プライバシーカプセルの各々に送り込み、各プライバシーカプセル内の前記モバイルエージェントが自プライバシーカプセル内の前記プライバシー情報を使用して必要な処理を実行するとともに、自プライバシーカプセル内の前記プライバシー情報を他の前記パーソナルプライバシープロキシ内の前記プライバシーカプセルに対して隠蔽したまま、互いに連携して処理を実行し、最終的にひとつのサービスを実行する、
ことを特徴とするプライバシー情報保護システム。
【請求項７】
請求項４〜６のいずれか1項に記載のプライバシー情報保護システムにおいて、
前記携帯情報機器と前記パーソナルプライバシープロキシが統合され、各ユーザの前記プライバシー情報が各ユーザの前記携帯情報機器で一元管理される、
ことを特徴とするプライバシー情報保護システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プライバシー情報保護システム及びその方法に関するものであり、より詳細には、情報システムにおいて個人のプライバシー情報を不当に悪用されないように保護するためのセキュリティ技術に関するものである。
【背景技術】
【０００２】
個人のプライバシー情報を保護する代表的な技術として、ＷＷＷ（World−Wide-Web）の関連技術の標準化を進めている業界団体であるＷ３C（World Wide Web Consortium）が仕様策定を進めてきたP3P（Platform for Privacy preferences Project：プライバシー情報取扱いに対する個人の選好を指示する技術基盤）がある（非特許文献１を参照されたい）。P3Pはインターネット上のプライバシー保護を目的とした技術基準で、サービス提供者等データを収集する者（データ収集者）がどのような目的でどのようなデータを必要とするか等、プライバシーを記述したプライバシーポリシの掲載項目等を標準化し、かつ、コンピュータが読み取り可能なＸＭＬ(eXtensible Markup Language)形式で記述することによって、プライバシーポリシを自動処理できるようにしたものである。掲載項目の例としては、データ収集を要求する側が自分の名前、データ保持期間、受信するデータの種類、データの使用目的などが挙げられる。
【０００３】
従来技術の例としてP3Pを具体的に実現するシステムであるpawSを図1に示す（非特許文献２を参照されたい。）。図1において、1はプライバシービーコンで、例えば、ユーザの位置情報を取得して、ユーザの携帯情報機器にユーザの周辺の地図情報を送り届ける位置追跡サービス等のように、各サービス毎にそのサービスが必要とするプライバシー情報に関するプライバシーポリシの所在場所（例えばURI：Uniform Resource Identifier：ネットワーク上のWebリソースであるURLなどを一意に識別するための識別子）を無線ビーコンで近隣に周知するデバイスである。
【０００４】
2は位置追跡サービスを受けるユーザが保持する携帯情報機器で、GPS機器や携帯電話のように、プライバシー情報の一つである「ユーザの位置情報」をセンシングする機能と、プライバシービーコン1が発信するプライバシーポリシの所在場所情報を無線経由で受信する機能を持つ。3はパーソナルプライバシープロキシで、ユーザの「プライバシー情報4」と、ユーザがプライバシー情報を外部に公開できる条件を記述した「プライバシープリファレンス5」と、プライバシー情報へのアクセス可否を判断する「ポリシチェック手段６」を含んだサーバである。ここで、プライバシー情報4はプライバシー保護対象となるデータの集合である。プライバシープリファレンス5はサービスを受けるユーザが、プライバシーポリシに対する自分の好みを宣言したファイルであり、ポリシチェック手段６は後述するプライバシーポリシ8とプライバシープリファレンス5とを比較することにより、最終的にユーザがサービスの提供を受けるかどうかを判断するプログラムである。
【０００５】
7はサービスプロキシで、例えばユーザの位置情報を取得して、ユーザの携帯情報機器にユーザの周辺の地図情報を送り届ける位置追跡サービスを実行するためのサーバで、位置追跡サービスを提供するサービスプロバイダがユーザのプライバシー情報に関する利用条件を記述した「プライバシーポリシ8」と、位置追跡サービスを実行するための「サービスプログラム9」とを含む。ここでプライバシーポリシ8はサービスを受けるユーザに対して、ユーザに関わるパーソナルデータを取得するためのポリシ（使用目的、使用期間、使用者等の情報）を決められた組織にしたがって記載したファイルである。
【０００６】
10〜14は各機器類の間の通信を司る通信チャネルである。図1において、プライバシービーコン1の近くにユーザが来た場合に、ユーザの携帯情報機器2はプライバシービーコン1が発信している位置追跡サービスのプライバシーポリシの所在場所（URI）を通信チャネル10経由で取得する。そこでユーザの携帯情報機器2は通信チャネル11経由でユーザのプライバシー情報（現在位置の情報）とプライバシーポリシのURIをパーソナルプライバシープロキシ3に伝える。パーソナルプライバシープロキシ3ではユーザのプライバシー情報を記憶するとともに、URIに基づきサービスプロキシ7にアクセスしてプライバシーポリシ8を通信チヤネル12経由でダウンロードする。次に、パーソナルプライバシープロキシ3内のポリシチェック手段6が、ダウンロードしたプライバシーポリシと、あらかじめユーザによって設定されているプライバシープリファレンス5とを比較し、もし、条件が満たされなければ、プライバシー情報の提供を拒絶することを通信チャネル13経由でサービスプロキシ7に伝える。
【０００７】
条件が満たされた場合には、パーソナルプライバシープロキシ3はサービスプロキシ6に通信チャネル13経由でプライバシー情報4を送る。サービプロキシ6では、プライバシー情報、即ちユーザの位置情報をもとにサービスプログラム9を実行し、例えばユーザの周辺の地図情報を通信チヤネル14経由でユーザの携帯情報機器2に送り込む。このように、自分のプライバシー情報を提供しても良いと宣言したユーザに位置追跡サービスが提供されるようになる。
【非特許文献１】Platform for Privacy Preferences (Ｐ3Ｐ) Project、 http://www.w3.orgn/3P/detai
【非特許文献２】M. Langheinrich: A Privacy Awareness System for Ubiquitous Computing Environments International Conference on Ubiquitous Computing 2002 (UbiComp 2002), pp. 237-245, LNCS2498 (September 2002)
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、PaｗSのようなシステムにおいては、一旦、ユーザがサービスを受けることを承諾した場合にプライバシー情報が外部に流出するので、プライバシー情報が外部に送られる途中（通信経路、ルータ、中継サーバ、キャッシュサーバなど）で盗聴や改鼠が行われたり、そのデータの使用期間が終了した後にも、消去されずに他の目的に不正に使用される心配がある。例えば、図1においては、プライバシープロキシ3はサービスを開始する時点でのみ、相手にプライバシー情報を渡すべきかどうかのチェックを行っているので、一旦、条件が満たされてプライバシー情報4をサービスプロキシ7に渡してしまえば、たとえ、ユーザ（即ちプライバシー情報の所有者）がプライバシー情報4の不正利用を例え禁止しても、他人による不正利用を完璧に食い止めることが難しい。また、サービプロキシ7には、受信したプライバシー情報を記憶保存することができるので、プライバシー情報を使って本来のサービスプログラム9を実行した後に、プライバシー情報を他のサービスプログラムに使用させたり、プライバシー情報を無許可でコピーし、それがサービプロキシ7の外部に流出して他人が、ユーザの意図しない所で不正利用し、それらを検出したり、禁止したりすることが難しいという問題がある。
そのような問題が発生する根本原因は、パーソナルプライバシープロキシがプライバシー情報の所有者によって責任を持ってセキュアに運用管理されているサーバであるのに対して、サービスプロキシはサービス提供者等が運用管理するサーバなので、プライバシー情報の所有者の管理が及ばず、したがって一旦サービスプロキシに渡したプライバシー情報が悪用されてしまう危険性を回避できないということにある。
【課題を解決するための手段】
【０００９】
上述した諸課題を解決すべく、本発明によるプライバシー情報保護方法は、
プライバシー情報と、それを外部に公開できる条件を記述したプライバシープリファレンスと、を「プライバシーカプセル」として一体で管理し、プライバシー情報の利用者の利用条件を記述したプライバシーポリシと、プライバシープリファレンスと比較して条件を満足する場合に、プライバシー情報をプライバシーカプセル内で使用することを許可するとともに、サービスを実行するためのプログラムを含んだ「モバイルエージェント」を外部からプライバシーカプセルに送り込み、プライバシーカプセル内でモバイルエージェントがプライバシー情報を用いてサービスを実行し、実行結果のみをパーソナルサーバ外部に出力する。
また、本発明によるプライバシー情報保護方法は、
プライバシーカプセルに複数のモバイルエージェントを送り込み、各モバイル−エジェントがプライバシー情報を他のモバイルエージェントに対して隠蔽したまま、互いに連携して処理を実行し、最終的にひとつのサービスを実行する。
本発明によれば、プライバシー情報をサービスサーバに渡すのではなく、逆にサービスを実行するプログラムをエージェントとしてプライバシーカプセルに渡すものなので、プライバシー情報がサービスサーバに送る途中で盗聴、改ざんされることはない。また、サービスプロキシ側がサービス終了後に、プライバシー情報が不正に利用されたり、サービスプロキシにアクセス可能な第三者によってプライバシー情報が不正に利用されたり、コピーされたりすることも無い。
【００１０】
カプセル化
本発明によるプライバシー情報保護方法は、
利用者個人のプライバシーに関わるデータを含んだ「プライバシー情報」を用いて利用者に各種のサービスを提供する際に、「プライバシー情報」と、それを外部に公開できる条件を記述した「プライバシープリファレンス」とを「プライバシーカプセル」として一体で管理し、プライバシー情報の利用者の利用条件を記述した「プライバシーポリシ」と、プライバシープリファレンスと比較して条件を満足する場合に、プライバシー情報をプライバシーカプセル内で使用することを許可するとともに、プライバシー情報をプライバシーカプセル外に流出するのを防止することにより、プライバシーカプセル外部からプライバシー情報を隠蔽するプライバシー情報保護方法である。
【００１１】
モバイルエージェントの注入
また、本発明によるプライバシー情報保護方法は、
プライバシーポリシとプライバシープリファレンスとを比較して条件に合った場合に、サービスを実行するためのプログラムを含んだ「モバイルエージェント」を外部からプライバシーカプセルに送り込み、プライバシーカプセル内でモバイルエージェントがプライバシー情報を用いてサービスを実行し、実行結果のみをパーソナルサーバ（即ちプライバシーカプセル）外部に出力することにより、プライバシーカプセル外部からプライバシー情報を隠蔽するプライバシー情報保護方法である。
【００１２】
複数のモバイルエージェントの連携
さらにまた、本発明によるプライバシー情報保護方法は、
ひとつのサービスを実行する際に、複数のプライバシーカプセルの各々にモバイルエージェントを送り込み、各プライバシーカプセル内のモバイルエージェントが自プライバシーカプセル内のプライバシー情報を使用して必要な処理を実行するとともに、自プライバシーカプセル内のプライバシー情報を他のプライバシーカプセルに対して隠蔽したまま、互いに連携して処理を実行し、最終的にひとつのサービスを実行するプライバシー情報保護方法である。
【００１３】
総合システム
本発明によるプライバシー情報保護システムは、
プライバシーポリシーの所在情報を送信するプライバシービーコンと、携帯情報機器と、ユーザのプライバシープリファレンスおよびプライバシー情報を含むプライバシーカプセルを収容するパーソナルプライバシープロキシーと、プライバシーポリシー及びモバイルエージェントを収容するサービスプロキシーと、を含むプライバシー情報保護システムであって、
前記携帯情報機器は、
ユーザのプライバシー情報を取得或いは検出する手段と、
前記プライバシービーコンから送信された前記所在情報を受信し、この受信した前記所在情報および取得或いは検出したプライバシー情報を前記パーソナルプライバシープロキシーに送信する手段を具え、
前記パーソナルプライバシープロキシーは、
前記携帯情報機器から、前記プライバシーポリシーの所在情報と前記プライバシー情報とを受信する手段と、
前記プライバシーポリシーの所在情報に基づき、前記サービスプロキシから前記プライバシーポリシを受信する手段と、
前記プライバシーポリシと前記プライバシープリファレンスとを比較して条件を満足する場合に、前記サービスプロキシにモバイルエージェントを要求するポリシチェック手段と、
前記要求を受けて前記サービスプロキシから送信された前記モバイルーエージェントを受信し、それを前記プライバシーカプセルに組み込み、前記プライバシーカプセル内で前記モバイルエージェントに、プライバシー情報を用いてサービスを実行させ、実行結果のみを前記プライバシーカプセル（即ちパーソナルプライバシープロキシ）外部に出力させるように制御するモバイルエージェント制御手段と、を具える、
ことを特徴とするプライバシー情報保護システムである。
本発明によれば、携帯情報機器（例えばＰＤＡ，ＰＣ，携帯電話など）を持ったユーザが、ビーコンから発信される無線が届くエリア（例えば、地下街、ショッピングモール、テーマパークなど）に入ったときに、自動的にビーコンを受信しそのビーコンに含まれる情報（例えばプライバシーポリシーの所在情報、当該ビーコンの設置場所（即ちこれはユーザの簡易的な位置情報にも相当し、プライバシー情報の一部となり得る。）、タイムスタンプなど）をもとに、自己の管理するプロキシを用いてプライバシー情報を外部に出すことなく安全に何らかのサービス（例えば、当該エリアの地図、さらには、ユーザが開示してあるプライバシー情報（例えば年齢、性別、趣味、嗜好、年収、職業などの属性）に基づく付加情報など）を受けることが可能となる。
【００１４】
複数のモバイルエージェントの連携
さらにまた、本発明によるプライバシー情報保護システムは、
ひとつのサービスを実行する際に、前記サービスプロキシは前記モバイルエージェントを複数の前記パーソナルプライバシープロキシの前記プライバシーカプセルの各々に送り込み、各プライバシーカプセル内のモバイルエージェントが自プライバシーカプセル内の前記プライバシー情報を使用して必要な処理を実行するとともに、自プライバシーカプセル内の前記プライバシー情報を他のパーソナルプライバシープロキシ内の前記プライバシーカプセルに対して隠蔽したまま、互いに連携して処理を実行し、最終的にひとつのサービスを実行するプライバシー情報保護システムである。
【００１５】
携帯情報機器とパーソナルプライバシープロキシの統合
さらにまた、本発明によるプライバシー情報保護方法及びシステムは、
携帯情報機器とパーソナルプライバシープロキシが統合され、各ユーザのプライバシー情報がユーザの携帯情報機器で一元管理されることを特徴とするプライバシー情報保護方法及びシステムである。
【発明を実施するための最良の形態】
【００１６】
図２は、本発明プライバシー情報保護方式を含んだシステムの第一の実施例を説明する全体構成図である。図２において、21はプライバシービーコンで、プライバシーポリシの所在場所（URI）を無線ビーコンで近隣に周知するデバイスである。22は、位置追跡サービスを受けるユーザが保持する携帯情報機器で、ユーザの物理的な位置情報をセンシングする機能と、プライバシービーコン21が発信するプライバシーポリシの所在場所（URI）を無線で受信する機能を持つ。23はパーソナルプライバシープロキシである。パーソナルプライバシープロキシ23は論理的なサーバであり、ユーザ機器、例えば携帯情報端末22や他のサーバと物理的に同居しても良い。24はユーザに関するプライバシー情報、即ちユーザの位置情報で、25は、そのプライバシー情報に対応するプライバシープリファレンスである。26は、プライバシー情報24とプライバシープリファレンス25を一まとめにしたカプセルで、外部からプライバシー情報を隠蔽し、後述するチェックを経ないとプライバシー情報にアクセスできない構造としている。27は、プライバシーポリシとプライバシープリファレンスとを比較し、プライバシー情報へのアクセス可否を判断するポリシチェック手段（プログラム）である。28は、パーソナルプライバシープロキシ23の外部から送られてくるモバイルエージェントを受け付けてそれを実行させるためのエージェント制御手段であり、詳細は図3を参照して後述する。29は位置追跡サービスを実行するモバイルエージェントで、後述するサービスプロキシから送り込まれる。
【００１７】
30はサービスプロキシで、ユーザの位置情報を取得して、ユーザの携帯情報機器22にユーザの周辺の地図情報を送り届ける位置追跡サービスを実行するためのサーバである。サービスプロキシ30は、位置追跡サービスを提供するサービスプロバイダがユーザのプライバシー情報に関する利用条件を記述した「プライバシーポリシ31」と、位置追跡サービスを実行するためのプログラムを含んだ「モバイルエージェント32」とが記憶されている。サービスプロキシ30は論理的なサーバであり、他のサーバやユーザ機器と物理的に同居しても良いし、ネットワーク上に分散されていても良い。モバイルエージェント32は単にサービスを実行するだけでなく、自分自身が他のサーバやノードに移動して、移動先で例えばモバイルエージェント29としてサービスを実行する機能を持つ点で図1のサービスプログラム9と異なる。40〜45は各機器類の間の通信を司る通信チャネルである。
【００１８】
図3は、図２で示したエージェント制御手段28の詳細を説明するブロック図である。エージェント制御手段28は、安全性が100％確認されていないモバイルエージェントを安全に実行させるとともに、プライバシー情報をプライバシーカプセル外に流出するのを防止する機能をもつ。エージェント制御手段28はSafe−Tclのセーフインタプリタ技術（John K. Ousterhout, Jacob Y. Levy, and Brent B. Welch: The Safe-Tcl Security Model,TR-97-60, Sun Micrcosystcms, (March 1997),http://research.sun.com/research/techrep/1997/abstract-60.htm1）を活用している。この実施例ではサービスを実行するためのモバイルエージェント29は、Tclと言うインタプリタ型スクリプト言語（B. Welch, Practical Programming in Tcl and Tk, Prentice-Hall, ISBN 0-13-182007-9, 1995）でサービス処理内容（スクリプト）が記述されている。46はセーフインタプリタと呼ばれるシステムソフトウェアで、安全な動作が保障されないモバイルエージェントのスクリプトを解釈実行するためのものである。セーフインタプリタ46はTcl言語のコマンドの中で、安全でないものをモバイルエージェント29から隠蔽してモバイルエージェント29が使えないようにしている。安全でないコマンドの例としては、ファイルシステムへのアクセス関連のコマンド（file，glob）、サブプロセス実行関係のコマンド（exec）、ファイルオープンやネットワーク接続関係のコマンド（open，socket）などがある。47は、マスターインタプリタと呼ばれるソフトウェアで、上述の安全でないコマンドも含めてTcl言語のすべてのコマンドと機能を解釈実行することができる。マスタインタプリタ47はセーフインタプリタ46内にある変数の読み書き、セーフインタプリタ46内のスクリプトの実行起動ができる他、さらにセーフインタプリタ46内の隠されたコマンドも呼び出すことができるエイリアス機能48も有している。
【００１９】
エイリアス48の具体例としては、ある特定のホストとポートにのみソケットをオープンしたい場合、ネットワーク接続をするために使うsocketコマンドは、安全でないので、セーフインタプリタ46内に隠されている。そこで、モバイルエージェント29からは、新しい種類のsocketコマンド（これをエイリアスコマンドと呼ぶ）を呼び出すと、セーフインタブリタからマスタインタプリタに制御がわたってホストとポート番号を確認してサーフィンタプリタ内に隠された本当のsocketコマンドを呼び出す。これによってモバイルエージェント29はセーフインタプリタ46内に隔離された実行環境で処理を進め、安全でない操作を行わなければならない場合はマスタインタプリタ47の制御のもとで、安全49はセキュリティポリシで、具体的には、安全で、どのモバイルエージェントでも使用可能なコマンドと、そのモバイルエージェントにとって使用が許されたエイリアスコマンドとのセットを言う。そこで、セキュリティポリシとしてプライバシー情報24について書き込みは許さず、読み出しのみを可能とするようにエイリアスを設定することによって、モバイルエージェント29が不正にプライバシー情報24を書き換える操作を防止することができる。また、プライバシー情報24をソケットを通して外部のネットワークへ転送することを不可能にするようにエイリアス48を設定することによって、モバイルエージェントがプライバシー情報を外部に不正に流出することを防止することもできる。
【００２０】
図４は図２のシステムの主要部における動作フローを示したもので、以下、図２と図４を参照しながら説明する。図２において、プライバシービーコン２１の近くにユーザが来た場合に、ユーザの携帯情報機器22はプライバシービーコン２１が発信している位置追跡サービスのプライバシーポリシ所在場所（URI）を通信チャネル４０経由で取得する。次にユーザの携帯情報機器22は通信チャネル４１経由でユーザのプライバシー情報（現在位置の情報）とプライバシーポリシのURIをパーソナルプライバシープロキシ23に伝える。パーソナルプライバシープロキシ23ではユーザのプライバシー情報を記憶するとともに（図4のステップ50に対応する。）、URIをもとにサービスプロキシ30にアクセスしてプライバシーポリシを通信チヤネル43経由でダウンロードする（ステップ51）。ここまでは、図1における処理手順と同じである。
【００２１】
次に、パーソナルプライバシープロキシ２３内のポリシチェック手段２７が、ダウンロードしてきたプライバシーポリシと、あらかじめユーザによって設定されているプライバシープリファレンス25と比較し（ステップ52）、もし、条件が満たされなければ、通信チヤネル43経由でサービスプロキシ30にプライバシー情報の利用を拒絶することを通知する（ステップ53）。もし、条件が満たされればプライバシープロキシ23は通信チャネル44経由でサービスプロキシ30にプライバシー情報の利用許可を通知する。そこでサービプロキシ30は、モバイルエージェント32を通信チャネル43経由でパーソナルプライバシープロキシ23に送り込む（ステップ54）。パーソナルプライバシープロキシ23では、エージェント制御手段28の制御のもとでモバイルエージェント２９がプライバシー情報24内にあるユーザの物理的位置情報を入力としてユーザの周辺の地図情報を出力する（ステップ60）。出力結果は通信チャネル44経由でサービスプロキシ30に送られ（ステップ61）、サービスプロキシ30から通信チャネル45経由でユーザの携帯情報機器22に送り込む。あるいは出力結果を通信チヤネル42経由で直接、ユーザの携帯情報機器22に送り込んでもよい。以上により、「個人の現在位置情報」というプライバシー情報をパーソナルプライバシープロキシの外部に直接見せずに、位置追跡サービスを実行することができる。
【００２２】
次に、もう少し複雑な実施例として、複数のパーソナルプロキシが連携しながら、互いに他のパーソナルプライバシープロキシに、自分のプライバシー情報を見せることなく、ひとつのサービスを実行する方法を第2の実施例として説明する。例えば、ユーザＡ（夫）とユーザＢ（妻）が両方とも自宅から外出したら留守番電話の録音機能をセットするという留守番電話アプリケーションを想定する。図5は本発明の第2の実施例の構成図である。図5において、71は留守番電話機で、通信チヤネルを介して録音機能を設定したり解除したりできる機能を有する。72A，72Bはそれぞれ夫と妻の携帯情報機器で、ユーザの物理的な位置情報をセンシングする機能を有する。73A，73Bはそれぞれ夫と妻のパーソナルプライバシープロキシである。74A，74Bはそれぞれ夫と妻のプライバシー情報（現在位置の情報）で、75A，75Bは、それぞれのプライバシー情報に対応するプライバシープリファレンスである。76A，76Bは、それぞれ、プライバシー情報74A，74Bとプライバシープリファレンス75A，75Bを一体で管理しているカプセルである。77A，77Bは、それぞれ夫と妻のポリシチェック手段である。78A，78Bは、それぞれ夫と妻のエージェント制御手段である。79A，79Bは、それぞれ夫と妻のモバイルエージェントで、後述するサービスプロキシから送り込まれる。80はサービスプロキシで留守番電話サービスの利用条件を記述した「プライバシーポリシ81」と、留守番電話サービスを実行するための「モバイルエージェント82」とを含む。モバイルエージェント82が2つのパーソナルプライバシープロキシ53A，53Bに移動して、それぞれモバイルエージェント79A，79Bとして動作する。90〜101は各サーバや機器類の間の通信を司る通信チヤネルである。留守番電話サービスは、夫と妻という複数のユーザが関わるサービスであるので、サービスプロキシ80に、あらかじめ夫と妻が留守番電話サービスへの加入登録を行っているものとする。
【００２３】
図6は図5のシステムの主要部における動作フローを示したもので、以下、図5と図6を参照しながら説明する。図5において、ユーザA（夫）が外出先にいて、妻が外出したら自宅の電話機を留守番電話モードに設定したいと考えて、自分の携帯情報機器72Aに表示されている留守番電話サービスのメニューを選択する。その結果、ユーザA（夫）の現在位置と留守番電話サービスのプライバシーポリシを示すURIが携帯情報機器72Aからパーソナルプライバシープロキシ73Aに送られる。パーソナルプライバシープロキシ73Aは、指定されたURIをもとにサービスプロキシ80からプライバシーポリシ81を通信チャネル93経由でダウンロードする。それとともに、サービスプロキシ80は、妻のサービス加入登録情報をもとにパーソナルプライバシープロキシ73Bのアドレスを入手し、妻のパーソナルプライバシープロキシ73Bに通信チャネル95経由で留守番電話サービスのプライバシーポリシのURIを知らせる。これにより、妻のパーソナルプライバシープロキシ73Bも、サービスプロキシ80からプライバシーポリシ81を通信チャネル95経由でダウンロードすることができる。
【００２４】
パーソナルプライバシープロキシ73A、73Bは、それぞれ、ポリシチェック手段77A，77Bで、ダウンロードしてきたプライバシーポリシと，プライバシープリファレンス75A，75Bと比較し、条件が満たされれば、それそれ通信チヤネル92，94経由でサービスプロキシ80にモバイルエージェント82を送り込むよう要請する。サービスプロキシ80は通信チヤネル93、95経由でパーソナルプライバシープロキシ73A，73Bに、それぞれ必要なモバイルエージェント82を送り込み、エージェント制御手段78A，78Bのもとでモバイルエージェント79A，79Bとしてそれらの実行を開始させる。この場合、モバイルエージェント79A，79Bの動作は図6に示すように多少異なる。その理由は、夫がサービス提供を要求したので、夫のモバイルエージェント79Aがマスタとなってサービス実行全体の取りまとめを行い、妻のモバイルエージェント79Bはスレーブとして動作し、実行結果をマスタに渡すまでの処理を行うためである。
【００２５】
具体的動作を以下に説明する。パーソナルプライバシープロキシ73A、73Bには、それぞれ携帯情報機器72A，72Bから定期的に位置情報が送られてきて、それらがプライバシー情報74A，74Bとして記憶されているので、各モバイルエージェント79A、79Bは家の物理的な位置情報とプライバシー情報（ユーザの現在位置情報）74A，74Bとを定期的に比較して「外出したかどうか」を判断する（（図6のステップ110と120以下、カッコ内は図6の番号を示す）。例えば妻のモバイルエージェント79Bは妻の現在位置をモニタリングして、最終的に「妻は外出中」と判断すると（ステップ121）、通信チヤネル98経由で夫のモバイルエージェント79Aに「妻は、サービス条件を満足した」ことを伝える（ステップ122）。この際、妻のパーソナルプライバシープロキシ73Bは、妻のプライバシー情報である妻の現在の位置情報を妻のパーソナルプライバシープロキシ73Bの外に出さずに，単に実行結果のみを夫のパーソナルプライバシープロキシ73Aに提供しており、妻のプライバシー情報を十分に保護している。
次に夫のモバイルエージェント79Aも、夫の位置情報をモニタリングし（ステップ110）、「夫が外出した」と判断すると（ステップ111）、妻のモバイルエージェントの出力情報が来るまで待つ（ステップ112）。それが来ると、夫、妻とも「サービス条件を満足した」と判断して、モバイルエージェント79Aは、通信回線93を介して留守番電話機の録音スイッチをONにする（ステップ113）。これによって、留守番電話にかかってきた電話に関して相手の音声を録音することができるようになる。
【００２６】
このように、ひとつのサービスを実行する際に、サービスプロキシから複数のパーソナルプライバシープロキシの各々にモバイルエージェントを送り込み、各パーソナルプライバシープロキシ内のモバイルエージェントが自パーソナルプライバシープロキシ内のプライバシー情報を使用して必要な処理を実行するとともに、自パーソナルプライバシープロキシ内のプライバシー情報を他のモバイルエージェントに対して隠蔽したまま、互いに連携して処理を実行し、最終的にひとつのサービスを実行することができる。なお、本実施例の図2及び図5においては、携帯情報機器とパーソナルプライバシープロキシとを分離した構成で説明したが、両者を統合してシステムを構成することが可能である。この場合には、各ユーザのすべてのプライバシー情報を管理するパーソナルプライバシープロキシがユーザの携帯情報機器としてユーザに携行されるので、ユーザにプライバシー管理の面で安心感を与えると言う利点が生ずる。
【００２７】
また、各通信チャネルを介して携帯情報機器、パーソナルプライバシープロキシ、サービスプロキシ等で各種情報を送受する場合は、互いに正しい相手と、改窟、盗聴されていない、正しい情報のやり取りができることを保障することが信頼性向上の点で望ましいが、これはPKI（Public Key Infrastructure）技術を用いて、互いに認証局より証明書を発行してもらい、かつ、SSLプロトコルうにより、互いにサーバ認証、クライアント認証を行った後、暗号化された情報をやりとりするという公知の技術で実現できる。
本実施例では、プライバシー情報のアクセス可否を判断する際にP3Pのようにポリシとプレファレンスの照合によるチェック方法の例を用いて説明したが、本発明は、それに拘束されるものでなく、パスワードやチャレンジレスボンス方式のような公知の認証技術と組み合わせて実現することも勿論、可能である。
【００２８】
なお、通常はプライバシー情報がパーソナルプライバシープロキシの外部に出ないが、例えばデータ所有者の要望や警察からの要請により、パーソナルプライバシープロキシ内のプライバシー情報をどうしても外部に取り出したいケースもありうる。その場合には、パスワードあるいはスーパーユーザなどの公知のセキュリティ技術を組み合わせることによってプライバシー情報を例外的に取り出せるようにできる。以上に述べた方法によれば、プライバシー情報をパーソナルプライバシープロキシの外部に出さずに、サービスを実行できるので、強国なセキュリティを有するパーソナルプライバシープロキシさえ用意しておけば、プライバシーが十分保護されたシステムを容易に構築することができる。
本明細書では、様々な実施態様で本発明の原理を説明してきたが、本発明は上述した実施例に限定されず幾多の変形および修正を施すことが可能であり、これら変形および修正されたものも本発明に含まれることを理解されたい。例えば、ビーコンは、ＰＨＳや携帯電話などの移動電話の基地局、携帯情報機器は移動電話に置き換えることは、当業者であれば容易である。また、モバイルエージェントは、JAVA（登録商標）のアプレットなどでも実現され得る。また、プロキシ間を結ぶ通信チャネルなどは、専用の回線でもよいが、インターネットなどのネットワークを利用することが好適である。
【図面の簡単な説明】
【００２９】
【図１】従来のプライバシー保護方式を組み込んだシステムの構成図である。
【図２】本発明のプライバシー保護方式を組み込んだシステムの構成図である。
【図３】エージェント制御手段の構成図である。
【図４】実施例1の主要部の動作フロー示すフローチャートである。
【図５】本発明のプライバシー保護方式を組み込んで複数のモバイルエージェントを連携させてサービスを実行するシステムの構成図である。
【図６】実施例2の主要部の動作フローを示すフローチャートである。
【符号の説明】
【００３０】
２１  プライバシービーコン
２２  携帯情報機器
２３  パーソナルプライバシープロキシ
２４  プライバシー情報
２５  プライバシープリファレンス
２６  カプセル
２７  ポリシチェック手段（プログラム）
２８  エージェント制御手段
２９  モバイルエージェント
３０  サービスプロキシ
３１  プライバシーポリシ
３２  モバイルエージェント
４０〜４５  通信チャネル
【図１】
2005099944.tif 000003
【図２】
2005099944.tif 000004
【図３】
2005099944.tif 000005
【図４】
2005099944.tif 000006
【図５】
2005099944.tif 000007
【図６】
2005099944.tif 000008