(57)【要約】【課題】複数ユーザを一定レベルで秘匿しつつ、プライバシー情報を安全性確保やサービス提供のために活用することが可能となるプライバシー情報の公開の可否を判断できる情報秘匿方法および個人情報管理運用装置を提供する。【解決手段】ネットワーク０には、ユーザ端末１、２、プロバイダ端末３、４、無線タグ７や街頭カメラ／センサ８、および個人情報を管理し運用する個人情報保護運用装置１０１接続されている。個人情報保護運用装置１０１は、プロバイダ３，４から属性開示要求を受け、要求された個人情報の属性を開示する。この時、個人情報保護運用装置１０１は、個々のユーザＩＤに対してどの程度秘匿性が失われるかについて秘匿性を計算し、秘匿性を確保できる属性の情報のみを、プロバイダ３，４に開示する。秘匿性を計算し求めるために、エントロピーをベースにした統計的定量的な値を用いる。【選択図】図１
2007219635.tif 000002
【特許請求の範囲】
【請求項１】
情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法において、
各情報は、属性と属性値からなる１つ以上のペアで格納されており、
属性の開示により、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し、
前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択し、
前記選択した属性と、前記選択した属性の属性値を開示する、
ことを特徴とする情報秘匿方法。
【請求項２】
情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法において、
各情報は、属性と属性値からなる１つ以上のペアで格納されており、
属性の開示により、前記格納されている属性と属性値に対して、秘匿したい属性の属性値ついて秘匿性を確保できるように抜き出しを行い、
前記抜き出しを行った属性と属性値に対して、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し、
前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択し、
前記抜き出しを行った属性と属性値に対して、前記選択した属性と、前記選択した属性の属性値を開示する、
ことを特徴とする情報秘匿方法。
【請求項３】
情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法において、
各情報は、属性と属性値からなる１つ以上のペアで格納されており、
秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し記憶し、
前記計算し記憶した秘匿性を用いて、属性を開示する場合に秘匿したい属性の秘匿性が失われにくいような属性を開示する順序を計算し記憶しておき、
属性の開示により、前記計算し記憶した秘匿性と前記属性を開示する順序を用いて、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性と属性値を選択し、
前記選択された属性と属性値を開示する、
ことを特徴とする情報秘匿方法。
【請求項４】
情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法において、
各情報は、属性と属性値からなる１つ以上のペアで格納されており、
前記格納された属性値と関連する属性と属性値を受信し格納し、
前記受信し格納した属性と属性値と、前記格納されている属性と属性値とを関連して、新たな属性と属性値を作成し、
属性の開示により、前記作成した新たな属性と属性値について、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し、
前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択し、
前記作成した新たな属性と属性値について、前記選択した属性と、前記選択した属性の属性値を開示する、
ことを特徴とする情報秘匿方法。
【請求項５】
請求項１から請求項４の情報秘匿方法において、
前記秘匿したい属性にサービス利用者の識別子であるユーザＩＤを設定し、
前記ユーザＩＤ全てに対して、閾値以上の秘匿性を確保する、
ことを特徴とする情報秘匿方法。
【請求項６】
情報を管理運用する個人情報管理運用装置において、
各情報を、属性と属性値からなる１つ以上のペアで格納する格納手段と、
属性の開示により、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算する計算手段と、
前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択する選択手段と、
前記選択した属性と、前記選択した属性の属性値を開示する開示手段と、
を有することを特徴とする個人情報管理運用装置。
【請求項７】
情報を管理運用する個人情報管理運用装置において、
各情報を、属性と属性値からなる１つ以上のペアで格納する格納手段と、
属性の開示により、前記格納されている属性と属性値に対して、秘匿したい属性の属性値ついて秘匿性を確保できるように抜き出しを行う抜き出し手段と、
前記抜き出しを行った属性と属性値に対して、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算する計算手段と、
前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択する選択手段と、
前記抜き出しを行った属性と属性値に対して、前記選択した属性と、前記選択した属性の属性値を開示する開示手段と、
を有することを特徴とする個人情報管理運用装置。
【請求項８】
情報を管理運用する個人情報管理運用装置において、
各情報を、属性と属性値からなる１つ以上のペアで格納する格納手段と、
秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し格納する計算格納手段と、
前記計算し格納した秘匿性を用いて、属性を開示する場合に秘匿したい属性の秘匿性が失われにくいような属性を開示する順序を計算し記憶する開示順序記憶手段と、
属性の開示により、前記計算した秘匿性と前記属性を開示する順序を用いて、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性と属性値を選択する選択手段と、
前記選択された属性と属性値を開示する開示手段と、
を有することを特徴とする個人情報管理運用装置。
【請求項９】
情報を管理運用する個人情報管理運用装置において、
各情報は、属性と属性値からなる１つ以上のペアで格納する格納手段と、
前記格納された属性値と関連する属性と属性値を受信し格納する受信格納手段と、
前記受信し格納した属性と属性値と、前記格納されている属性と属性値とを関連して、新たな属性と属性値を作成する作成格納手段と、
属性の開示により、前記作成した新たな属性と属性値について、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算する計算手段と、
前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択する選択手段と、
前記作成した新たな属性と属性値について、前記選択した属性と、前記選択した属性の属性値を開示する開示手段と、
を有することを特徴とする個人情報管理運用装置。
【請求項１０】
請求項６から請求項９の個人情報管理運用装置において、
前記秘匿したい属性にサービス利用者の識別子であるユーザＩＤを設定する設定手段を有することを特徴とする個人情報管理運用装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プライバシー情報の利用提供に関わり、複数のサービス利用者の秘匿性を同時に確保しつつ、個々人のプライバシー情報をサービス提供者に提供することによるユーザ指向型のサービスを実現するための同時秘匿方法および個人情報管理運用装置に関する。
【背景技術】
【０００２】
サービス提供者（以下、「プロバイダ」とする）が、個々人の思考や行動パターンにあったユーザ指向型のサービスを提供するためにサービス利用者（ユーザ）のプライバシー情報を利用したい場合、プロバイダは、ユーザ一人ひとりにアンケートを配布したり、製品購入やポイントカード発行時にユーザ登録をしてもらうことで収集する。プロバイダは、プライバシー情報を収集する際、プライバシー情報の利用目的、守秘に対する規定をユーザに説明する。ユーザは、それらに納得した場合、プロバイダに自身のプライバシー情報を提供する。
【０００３】
図１１に、前提とする従来のシステム構成を示す。ネットワーク０には、ユーザ端末１、２、プロバイダ端末３、４、無線タグ７や街頭カメラ／センサ８が接続されている。このような無線タグ７や街頭カメラ／センサ８が設置してあるネットワーク環境では、アンケートで採取されなかったユーザの行動に関するプライバシー情報が自動的に採取されてしまう。無線タグ７や街頭カメラ／センサ８を設置している自治体などのプロバイダは、防犯目的といったような公共性を理由に、特に個々のユーザに許可を求めることなく、無線タグ７や街頭カメラ／センサ８を設置していることが多い。
【０００４】
プロバイダは、アンケートや防犯目的の街頭カメラ設置などによってプライバシー情報を収集する際、ユーザに対してユーザ個人の特定につながるような名前や住所や性別のような端末から入力するような類の静的プライバシー情報の開示は行わないという誓約を行っている場合が多い。しかし、現実には、プロバイダ毎にプライバシー情報の管理方法が異なるため、すべてのプロバイダが一定以上のレベルのプライバシー保護を実現しているとは限らない。このため、ユーザは、身に覚えのないプロバイダから勧誘や広告のダイレクトメールや電子メールを受け取ることがしばしば発生する。
【０００５】
プロバイダがユーザの身元を秘匿する最もポピュラーな方法は、個人名や電話番号などユーザに関わるようなプライバシー情報を一切開示しない方法である。例えば、防犯目的で、奈良県立教育研究所（非特許文献１）のような多くの自治体や公的機関が提供している不審者情報は、発生場所や発生時刻、不審者の概要など、不審者に関連する細かな情報が記載されている。
【０００６】
一方、その情報を提供した通報者の年齢や性別や居住区域などの通報者のプライバシー情報は、全く開示されていない。しかし、不審者情報として開示した情報は、通報者がその場で実際に見た情報であるため、実は通報した情報が通報者の行動に伴って発生した動的プライバシー情報になる場合が多い。このため、本来ならこの動的プライバシー情報にも何らかの保護対策が必要であるが、現状は、上記でも述べたように通報者の名前や勤務先などの静的プライバシー情報のみ隠蔽し、動的プライバシー情報に関して特に対処していない場合が多い。従って、静的プライバシー情報の非開示により通報者の秘匿性を確保したつもりでも、通報した内容から、つまり動的プライバシー情報から、通報者が誰なのか分かってしまうことがある。
特に、不審者情報提供掲示板のような通報者の動的プライバシー情報を含む情報の開示には、一人の通報者だけでなく、通報者全ての秘匿性を同時に確保しないと、通報者に危害が及ぶ可能性がある。つまり、掲示版に掲載されているすべての通報者の安全性が確保されなければならない。
【０００７】
一方、プロバイダの立場としては、このような不審者に関する情報をより多くの人が知ることで、逆に不審者を追放することにつながることが多く、情報発信側の自治体や公的機関としてはできればより多くの情報を開示し、より多くの人の協力を得て不審者逮捕につなげたい。
【０００８】
このように、ユーザとプロバイダのプライバシー情報開示に関する要求は、相反していることがしばしば発生する。従って、ある事件や事故の通報者（ユーザ）すべてのプライバシー保護を実現しつつ、自治体（プロバイダ）が掲げている安全性確保などの目的を達成するために、通報者（ユーザ）すべてのプライバシー保護を実現し、かつ、より多くの情報を開示できるための手段が必要となる。
【非特許文献１】（ｈｔｔｐ：／／ｗｗｗ．ｎａｒａ−ｃ．ｅｄ．ｊｐ／）
【発明の開示】
【発明が解決しようとする課題】
【０００９】
本発明は、このような事情に鑑みてなされたもので、その目的は、複数ユーザを一定レベルで秘匿しつつ、プライバシー情報を安全性確保やサービス提供のために活用することが可能となるプライバシー情報の公開の可否を判断できる情報秘匿方法および個人情報管理運用装置を提供することにある。
【課題を解決するための手段】
【００１０】
この発明は上述した課題を解決するためになされたもので、請求項１に記載の発明は、情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法において、各情報は、属性と属性値からなる１つ以上のペアで格納されており、属性の開示により、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択し、前記選択した属性と、前記選択した属性の属性値を開示する、ことを特徴とする。
【００１１】
請求項２に記載の発明は、情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法において、各情報は、属性と属性値からなる１つ以上のペアで格納されており、属性の開示により、前記格納されている属性と属性値に対して、秘匿したい属性の属性値ついて秘匿性を確保できるように抜き出しを行い、前記抜き出しを行った属性と属性値に対して、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択し、前記抜き出しを行った属性と属性値に対して、前記選択した属性と、前記選択した属性の属性値を開示する、ことを特徴とする。
【００１２】
請求項３に記載の発明は、情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法において、各情報は、属性と属性値からなる１つ以上のペアで格納されており、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し記憶し、前記計算し記憶した秘匿性を用いて、属性を開示する場合に秘匿したい属性の秘匿性が失われにくいような属性を開示する順序を計算し記憶しておき、属性の開示により、前記計算し記憶した秘匿性と前記属性を開示する順序を用いて、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性と属性値を選択し、前記選択された属性と属性値を開示する、ことを特徴とする。
【００１３】
請求項４に記載の発明は、情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法において、各情報は、属性と属性値からなる１つ以上のペアで格納されており、前記格納された属性値と関連する属性と属性値を受信し格納し、前記受信し格納した属性と属性値と、前記格納されている属性と属性値とを関連して、新たな属性と属性値を作成し、属性の開示により、前記作成した新たな属性と属性値について、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択し、前記作成した新たな属性と属性値について、前記選択した属性と、前記選択した属性の属性値を開示する、ことを特徴とする。
【００１４】
請求項５に記載の発明は、請求項１から請求項４の情報秘匿方法において、前記秘匿したい属性にサービス利用者の識別子であるユーザＩＤを設定し、前記ユーザＩＤ全てに対して、閾値以上の秘匿性を確保する、ことを特徴とする。
【００１５】
請求項６に記載の発明は、情報を管理運用する個人情報管理運用装置において、各情報を、属性と属性値からなる１つ以上のペアで格納する格納手段と、属性の開示により、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算する計算手段と、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択する選択手段と、前記選択した属性と、前記選択した属性の属性値を開示する開示手段と、を有することを特徴とする。
【００１６】
請求項７に記載の発明は、情報を管理運用する個人情報管理運用装置において、各情報を、属性と属性値からなる１つ以上のペアで格納する格納手段と、属性の開示により、前記格納されている属性と属性値に対して、秘匿したい属性の属性値ついて秘匿性を確保できるように抜き出しを行う抜き出し手段と、前記抜き出しを行った属性と属性値に対して、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算する計算手段と、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択する選択手段と、前記抜き出しを行った属性と属性値に対して、前記選択した属性と、前記選択した属性の属性値を開示する開示手段と、を有することを特徴とする。
【００１７】
請求項８に記載の発明は、情報を管理運用する個人情報管理運用装置において、各情報を、属性と属性値からなる１つ以上のペアで格納する格納手段と、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し格納する計算格納手段と、前記計算し格納した秘匿性を用いて、属性を開示する場合に秘匿したい属性の秘匿性が失われにくいような属性を開示する順序を計算し記憶する開示順序記憶手段と、属性の開示により、前記計算した秘匿性と前記属性を開示する順序を用いて、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性と属性値を選択する選択手段と、前記選択された属性と属性値を開示する開示手段と、を有することを特徴とする。
【００１８】
請求項９に記載の発明は、情報を管理運用する個人情報管理運用装置において、各情報は、属性と属性値からなる１つ以上のペアで格納する格納手段と、前記格納された属性値と関連する属性と属性値を受信し格納する受信格納手段と、前記受信し格納した属性と属性値と、前記格納されている属性と属性値とを関連して、新たな属性と属性値を作成する作成格納手段と、属性の開示により、前記作成した新たな属性と属性値について、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算する計算手段と、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択する選択手段と、前記作成した新たな属性と属性値について、前記選択した属性と、前記選択した属性の属性値を開示する開示手段と、を有することを特徴とする。
【００１９】
請求項１０に記載の発明は、請求項６から請求項９の個人情報管理運用装置において、前記秘匿したい属性にサービス利用者の識別子であるユーザＩＤを設定する設定手段を有することを特徴とする。
【発明の効果】
【００２０】
この発明によれば、秘匿したい複数のターゲット属性を同時に秘匿しつつ、プライバシー情報を開示して運用することができるという効果を奏する。
【００２１】
また、請求項２または７の発明によれば、仮に複数のターゲット属性またはユーザＩＤを同時に秘匿しつつ開示できるプライバシー情報が存在しない、あるいは、サービス提供者が自身のサービスを提供するのに必要なプライバシー情報を開示してもらえない場合、もともと秘匿性確保についての統計計算を行ったＤＢをそのまま用いるのではなく、情報開示できるＤＢを作成しなおすことで、秘匿性を確保しつつ開示できる情報を増やすことができるという効果を奏する。
【００２２】
また、請求項３または８の発明によれば、プライバシー情報開示をする際、開示の順番によっては、著しく秘匿性を低下させる場合がある。そこで、秘匿性の低下を抑えながら開示するための開示順序についてスケジューリングする。これにより、秘匿性を確保しつつ開示する情報を多くすることができるという効果を奏する。
【００２３】
また、請求項４または９の発明によれば、秘匿性計算を行うＤＢにおいて、センサやタグやＧＰＳを利用して採取したサービス利用者の行動に伴うプライバシー情報を用いて、例えば８時１０分に小学校の正門の前で不審者を見た人達といったような時間や場所を限定した人のＤＢを自動的に生成し、該時間や場所にいた人の秘匿性を確保しつつ、不審者情報を拳げていくといったような、時間や場所を限定したサービス利用者のＤＢを自動生成し、自動生成した情報を元に秘匿性を確保しつつ情報を開示することができるという効果を奏する。
【００２４】
また、請求項５または１０の本発明によれば、請求項６から９のターゲット属性をサービス利用者のＩＤ（ユーザＩＤ）に限定することで、その場にいるサービス利用者の秘匿性を確保しつつ、プライバシー情報を開示することができるという効果を奏する。
【発明を実施するための最良の形態】
【００２５】
以下、図面を用いて本発明の実施の形態を説明する。図１は本発明の第一の実施の形態による情報秘匿方法および個人情報管理運用装置が用いられるシステム構成図であり、図１１の従来のシステム構成図に個人情報を管理し運用する個人情報保護運用装置１０１が追加されている。
【００２６】
図１の個人情報保護運用装置１０１の内部構成を示すブロック図を図２に示す。個人情報保護運用装置１０１は、予め定めた閥値を元にプライバシー情報の開示の可否判断を行う開示可否判別手段１０２、プロバイダからの属性開示要求を受け属性を開示する外部インターフェース手段１１２、当該属性を開示することによりターゲット属性値、ここでは個々のユーザＩＤに対してどの程度秘匿性が失われるかについて統計的に計算する秘匿性計算手段１０３、ＤＢ（データベース）１０６ヘの情報の登録／削除を行うＤＢ管理手段１０４、秘匿性計算手段１０３により計算した結果を一時的に格納する計算結果格納手段１０５、計算結果格納手段１０５に格納してある閾値以上の属性から全てのユーザＩＤに共通の属性を抽出する属性抽出手段１１５、ＤＢ１０６からなる。
【００２７】
ここで、本発明における、秘匿性計算手段１０３で用いられる秘匿性の計算は、エントロピーをベースとした値（参照：文献Ａ「今田、山口、太田、高杉、小柳、“ユビキタスネットワーキング環境におけるプライバシ保護手法  ＬｏｏＭ”電子情報通信学会論文誌、Ｖｏｌ．Ｊ８８Ｂ、Ｎｏ．３、ｐｐ．５６３−５７３、２００５．３」）を用いる。
【００２８】
エントロピーとは、決定木学習の分類アルゴリズムにおいて、どの属性から分類すると、目的とする情報を効率よく分類できるかを計算する際に利用する値である。エントロピーは、属性値の分布が均一、例えば、性別という属性の場合、属性値の男性と女性が同じ人数である場合、最も不確定性が高くなり、エントロピー値も高い。
例えば図３に、男性と女性のように属性値が２値しかとらない場合のエントロピーの計算方法と、その変化のグラフを示す。男性と女性の比率（確率）をそれぞれＰ＋とＰ−とすると、エントロピーＨ０は式１により計算される。またＰ＋＋Ｐ−＝１より、男性の確率Ｐ＋をＰ、女性の確率Ｐ−を１−Ｐとして、男性の確率Ｐに対するエントロピーＨ０のグラフを描くと、図３のグラフのようになる。
図３のグラフから、男性と女性が同じ割合である場合（Ｐ＝０．５の場合）が、エントロピーＨ０が最大となる。本実施の形態においては、このような状態の時を最も秘匿性が高いという。
逆に、男性しかいない、または女性しかいない場合、”性別”という情報を与えたとしても、はじめから男性または女性を特定することは可能なので、確率Ｐ＝０または１となるため、エントロピーＨ０＝０となり、不確定度はない。つまり、性別は明確であるということになる。このとき、秘匿性はないという。
また、上記においては、属性値が男性か女性かという２値の値を取る場合のみを説明したが、属性値が複数の値をとる場合には、図３の式２によりエントロピーＨ０は計算される。
【００２９】
エントロピーＨ０とは上記のようなものであるが、上述した“エントロピーをベースにした値”とは、システム化した際に、１つの閾値を設定することで、秘匿性を判定できるようにエントロピー値をＤＢの規模や属性値分布に非依存な値に改良したものであり、エントロピー値を正規化したＤＦ値のことを指す。
【００３０】
次に図４と図５を用いて、複数の属性を組み合わせた場合の、正規化したエントロピー値ＤＦについて説明する。図４のテーブルには、属性１から６が登録されている。ここで秘匿したいターゲット属性は属性６「ユーザＩＤ」である、とする。
あるユーザＡｌｉｃｅを秘匿する場合を例に、ＤＦの計算方法を示す。ＡｌｉｃｅのユーザＩＤは、Ａｌｉｃｅ１１とする。
Ｈ０は、Ａｌｉｃｅ１１であれば正事例、Ａｌｉｃｅ１１でなければ負事例として、式１により計算を行う。
ここでは、開示対象の属性を属性１「性別」と属性４「空腹」とした場合に得られるエントロピーＨＦを考える。ＨＦは、図４の式３で求めることができる。
正規化したエントロピー値ＤＦは、具体的には、図５に示すように、全体のターゲット属性（Ａｌｉｃｅ１１か否か）に対するエントロピーＨ０と、ある属性（例えば、属性１と属性４）を開示した場合のターゲット属性のエントロピーＨＦ（この場合、Ｈ１４）の比で表し、図５の式４に示すようにＤＦ＝ＨＦ／Ｈ０（この場合、Ｄ１４＝Ｈ１４／Ｈ０）となる。
開示可否判別手段１０２で設定する閾値は、システムを使うユーザがどの程度の秘匿性を要求するかにあわせてＤＦ値の１つの値を選び、設定する。
【００３１】
上記の複数の属性を同時に開示した場合のエントロピー値ＨＦについての計算は、文献Ｂ「Ｔ．Ｍ．Ｍｉｔｃｈｅｌｌ、“Ｍａｃｈｉｎｅ  Ｌｅｒｎｉｎｇ、”ＷＣＢ  ＭｃＧｒａｗ−Ｈｉｌｌ、１９９７．」または文献Ａを参照のこと。
【００３２】
図６に個人情報管理運用手段１０１においてなされる、情報の登録の手順と、ＤＦ値を計算し登録する手順と、ＤＦ値を用いてプロバイダへ情報を提供する手順を示す。
【００３３】
情報の登録においては、ユーザＩＤ毎に、静的／動的プライバシー情報を、ＤＢ管理手段１０４を介して、属性、属性値のペアとしてＤＢ１０６に登録する（ステップＳ１００１〜ステップＳ１００３）。また、静的／動的プライバシー情報の登録／削除も、ＤＢ管理手段１０４を介してＤＢ１０６に対して行う。
図２のＤＢ１０６の登録情報の内容（テーブルＴ１）においては、属性１と２が静的プライバシー情報であり、属性３〜５が動的プライバシー情報である。秘匿対象、つまり秘匿すべきターゲット属性は、「属性：ユーザＩＤ」であり、ターゲット属性値は個々のユーザＩＤの値である。
【００３４】
ＤＦ値の計算と登録においては、先ず、全てのユーザＩＤに対して、Ｈ０をあらかじめ計算しておく（ステップＳ１０１２）（例えば、ユーザＩＤ１００に対してＨ０（１００）、ユーザＩＤ１０１に対してＨ０（１０１）、・・・など）。
次に、全ての属性または属性の組（Ｃｏｍｂｉｎａｔｉｏｎ）を開示したと仮定した場合の、全てのユーザＩＤに対するＨＦを順次計算し、先に計算し保存していたＨ０とＨＦよりＤＦを計算する（ステップＳ１０１３）。
例えば、図２のＤＢ１０６に格納されているテーブルＴ１において、先ず、夕−ゲット属性であるユーザＩＤの属性値１００（ユーザＩＤ１００）に対して、属性１〜５を１つずつ開示した場合のＨＦ（例えば、属性１に対してＨ１（１００）、属性２に対してＨ２（１００）、・・・など）を計算する。次に、ユーザＩＤ１００に対して、属性１と属性２、属性１と属性３といったような属性１〜５の中から５Ｃ２の組み合わせで開示した場合のＨＦ（例えば、属性１と２に対してＨ１２（１００）、属性１と３に対してＨ１３（１００）、・・・など）、５Ｃ３とした場合のＨＦ（例えば、属性１と２と３に対してＨ１２３（１００）、属性１と２と４に対してＨ１２４（１００）、・・・・など）と順次全ての組み合わせについて計算し、ユーザＩＤ１００に対する、全ての属性の組み合わせについてのＤＦ値をＨＦ／Ｈ０により順次計算する。
次に、開示可否判別手段１０２により、求めたＤＦ値が、予め決められている閾値以上であるかどうかの、判別が行われる（ステップＳ１０１４）。（例えば、Ｄ１２（１００）が０．５以上であるかどうか？）
ステップＳ１０１４の開示可否判別手段１０２による判別の結果が、「以上である」場合には、計算し求めたＤＦ値を（属性または属性の組、ＤＦ値）の形式で計算結果格納手段１０５に保存する（例えば、ユーザＩＤ１００の（属性１と属性２、０．７））。次に、全てのユーザに対して計算が行われたかの判定が行われる（ステップＳ１０１６）。
ステップＳ１０１４の開示可否判別手段１０２による判別の結果が、「以上でない」場合には、計算結果格納手段１０５に保存することなく、全てのユーザに対して計算が行われたかの判定が行われる（ステップＳ１０１６）。
ステップＳ１０１６で、全てのユーザに対して計算が終了していない場合には、次のユーザ（例えば、ＩＤ１０１）に対して、先のステップＳ１０１３からステップＳ１０１６の処理を行い、次のユーザに対する秘匿性ＤＦの計算が行われ、閾値以上のＤＦ値が計算結果格納手段１０５に保存される。
同様に、各ユーザＩＤに対するＤＦ値をＨＦ／Ｈ０により計算し、計算結果を（属性または属性の組、ＤＦ値）の形式で計算結果格納手段１０５に格納する（ステップＳ１０１５）。
【００３５】
ステップ１０１６で、全てのユーザに対する計算が終了すると、全てのユーザＩＤ共通の閾値以上の属性または属性の組み合わせを抽出する（ステップＳ１０１７）（例えば、属性１、属性３、属性１と２、など）。
最後に、抽出した属性または属性の組み合わせを計算結果格納手段１０５に格納する（ステップＳ１０１８）。
これにより、「全てのユーザに共通して開示可能な属性または属性の組」が抽出され、計算結果格納手段１０５に格納される。
【００３６】
次に、プロバイダ３（または４）、は、個人情報管理運用装置１０１へ、外部インターフェース手段１１２を介して、属性の開示要求を送信する（ステップＳ１０２２）。送信する要求には、必ず開示して欲しい必須開示属性が入っていてもよい。
外部インターフェース手段１１２を介して要求を受信した個人情報管理運用装置１０１は、送信されてきた要求の中に必須開示属性が含まれているかどうかの判定を行う（ステップＳ１０２３）。
【００３７】
ステップＳ１０２３の判定で、受け取った要求の中に必須開示属性がない場合、計算結果格納手段１０５から、属性抽出手段１１５を用いて全てのユーザに共通に開示してもよい閾値以上の属性を抽出する（ステップＳ１０２７）。
抽出は、先のステップＳ１０１７で抽出し、ステップＳ１０１８により格納されたいた、全てのユーザＩＤ共通の閾値以上の属性または属性の組み合わせを用いる（例えば、属性１、属性３、属性１と２、など）。
このように抽出された属性は、ＤＢ１０６に格納してある全てのユーザに共通して開示してもよい属性なので、抽出した属性に関するＤＢ１０６の情報を、外部インターフェース手段１１２を介してプロバイダ３（または４）に開示する。
全てのユーザに共通する閾値以上の共通の属性がない場合、開示できる属性はないので、外部インターフェース手段１１２を介して、プロバイダ３（または４）にその旨を伝える（ステップＳ１０２７）。
【００３８】
ステップＳ１０２３の判定で、受け取った要求の中に必須開示属性がある場合（例えば、属性１、など）、ステップＳ１０１８で計算機格納手段に格納した「全てのユーザに共通して開示可能な属性」の中に、必須開示属性が存在するかどうかの判定が行われる（ステップＳ１０２４）（例えば、属性１があるかどうか）。
必須開示属性が存在する場合、必須開示属性を含む共通の閾値以上の属性（例えば、属性１、属性１と２、など）を、計算結果格納手段１０５に保存されている「全てのユーザに共通して開示可能な属性または属性の組」より抽出し、該当する属性、属性値を、外部インターフェース手段１１２を介してプロバイダ３（または４）に開示する（ステップＳ１０２５）。
必須開示属性が存在しない場合、外部インターフェース手段１１２を介してプロバイダ３（または４）に、開示できる属性がない旨を通知する（ステップＳ１０２６）。
【００３９】
以上のようにＤＦ値を用いた情報秘匿方法および個人情報管理運用装置の第一の実施の形態により、ＤＢに登録してある全てのユーザの情報を、閾値により規定されているレベル以上の秘匿性を確保しつつ、プロバイダへ開示をすることが可能となる。
【００４０】
また、上記ステップ１０２５において、必須開示属性を含む共通の閾値以上の属性を抽出し開示を行ったが、開示を行う属性の選択方法には以下のような考慮をすることも可能である。
例えば、属性１と２と３があるして、計算結果格納手段１０５に保存されている「全てのユーザに共通して開示可能な属性または属性の組」として、「属性１、属性２、属性３、属性１と２、属性１と３」があるものとする。
ここで、属性１を必須開示属性として要求されたとする。
すると、「属性１のみを開示すること」、「属性１と属性２を同時に開示すること」、または、「属性１と属性３を同時に開示すること」は可能である。しかしながら、計算結果格納手段１０５には「属性１と２と３」がないため、「属性１と２と３の全てを同時に開示すること」はできない。
以上のようなことを考慮して、「属性１を必須開示属性として要求された」場合に、「属性１と属性２を同時に開示する」などすることも可能である。
【００４１】
第一の実施の形態においては、全てのユーザに共通する属性を開示したが、全てのユーザに共通する開示可能な属性が存在しない可能性がある。また、全てのユーザに共通する開示可能な属性が１つや２つしかなく、プロバイダが提供するサービスの情報量としては、不十分な属性数である可能性がある。
次に第二の実施の形態を、図７を用いて説明する。図７に図示する第二の実施の形態におけるシステム構成図では、図１の個人情報管理運用装置１０１に、類似の属性を持つユーザをグルーピングする類似ユーザグルーピング手段１０７を追加する。第二の実施の形態においては、類似ユーザグルーピング手段１０７を用いることにより、開示することが可能な属性数を増やすことを目的とする。
また、図７の開示スケジューリング手段１０８については、後述の第三の実施の形態の説明において説明する。
【００４２】
これは、文献Ｃ（今田、太田、山口；”プライバシー保護実現に向けた秘匿性定量化手法：ＬｏｏＭ”、信学技報  Ｖｏｌ．１０５、Ｎｏ．２２４、ｐｐ．ｌｌ−１６、２００５．  付録１）で示してあるように、秘匿したいユーザと同じ属性値のユーザが多い集団の中では、開示可能な属性数が多くなるという特性を利用する。例えば、女子大学に通う学生の集団の中で、属性と属性値として（性別、女性）、（学校種別、大学）などのプライバシー情報を開示したとしても、どの学生なのかを識別することが困難となり、前記属性と属性値を開示したとしても、個々のユーザの秘匿性が確保できる。
【００４３】
類似ユーザグルーピング手段１０７は、計算結果格納手段１０５に格納されているユーザＩＤと開示可能な属性の組が同じユーザの集合をグルーピングする。グルーピング方法は、先ず、プロバイダから外部インターフェース手段１１２を介して、開示して欲しい必須属性は何であるかの情報を受け取る。次に、必須属性の属性値分布を確認するために、属性値別にユーザＩＤ毎のレコードを分類する。
【００４４】
一例として、”性別”属性と、”学校種別”属性が、必須開示属性の場合を考える。ＤＢに格納されている性別属性には、”男性、女性”の２つの属性値があるとする。学校種別属性には、”大学、高校、中学”の３つの属性値があるとする。エントロピーの特徴から、最も曖昧性が高い（つまり、最も匿名性が高い）属性値の分布は、各属性値が均等に割り振られている場合である。つまり、”男性、女性”と、”大学、高校、中学”のｃｏｍｂｉｎａｔｉｏｎ（男性∧大学、男性∧高校、男性∧中学、女性∧大学、女性∧高校、女性∧中学）を作った場合、各Ｃｏｍｂｉｎａｔｉｏｎの値に対して割り振られる人数が均等になるようにすればよい。
【００４５】
一方、ＤＦは、文献Ｃで示してあるように、属性値分布が同じ条件であれば、母集団であるユーザ数が多いほうが秘匿性を確保しやすい。よって、この２つの条件を満たすようなグルーピングをする。母集団が大きければ、エントロピーの計算上、各属性値の組における１人２人の人数の差は小さくなるので、全く同じ人数にする必要はない。
【００４６】
よって、グルーピングの方法は、この２つの条件を満たす、つまり、各Ｃｏｍｂｉｎａｔｉｏｎに対して割り振られる人数を均等し、かつ、各々に属するユーザ数が最も多くなるように、ユーザのグループをつくる。グルーピングの結果生成したユーザのグループの母集団が大きければ、大きいほどエントロピーの計算上、１人２人の人数の差は小さくなるので、Ｃｏｍｂｉｎａｔｉｏｎの値間のユーザ数を全く同じ人数にする必要はない。
上記の例でいうと、グルーピングした結果が、属性値のＣｏｍｂｉｎａｔｉｏｎである男性∧大学、男性∧高校、男性∧中学、女性∧大学のそれぞれに対応する人数が全て５０人ずつにしようとする場合を考える。ただし、属性値のＣｏｍｂｉｎａｔｉｏｎである女性∧高校、女性∧中学に対応する人数は、１０人未満だったので、これらの属性値のＣｏｍｂｉｎａｔｉｏｎに対応するユーザは排除したとする。
もし、グルーピングの結果、男性∧大学にあたるユーザ数が、５１人であった場合、５１人から１人排除しなくても、ＤＦの計算には、大きな影響はない。属性値のｃｏｍｂｉｎａｔｉｏｎ間で、どの程度、人数の差があっても許容できるかグループの人数によって変わる値なので、許容値は、閾値によって判断する。
【００４７】
このようにして、作成したグループに対して、図３の１０１２からの処理フローに従い、ＤＦの計算を行い、必須開示属性以外に開示できる属性があるかを、秘匿性計算手段１０３により秘匿性を計算することにより判断し、閾値以上の属性を計算結果格納手段１０５に再度格納する。
格納した開示可能な属性の数や種別が、プロバイダの要求を満たすことを確認したら、外部インターフェース手段１１２を用いて、プロバイダに属性、属性値の開示を行う。
【００４８】
これにより、ＤＢの登録されている情報にとらわれることなく、プロバイダの要求を満たす属性を開示することが可能となる。
【００４９】
次に、第三の実施の形態について図７を用いて説明する。これは第一または第二の実施の形態の個人情報管理運用装置１０１（図２）に、秘匿性を下げない開示順序を決める開示スケジューリング手段１０８を追加したものである。開示スケジューリング手段１０８を用いることにより、秘匿性を最も失わない属性開示の順序でより多くの属性を開示する。
【００５０】
まず、属性を開示する順序により、開示することが可能な属性の数が変化する例を、図８を用いて説明する。図８には、「通知、目撃した時期、性別、目撃、場所、都道府県」の６つの属性を順に開示していった場合の、秘匿性ＤＦ値の変化が示してある。
開示の仕方により、例えば、最初に「通知」を開示し（Ａ１）、次に「通知＋目撃した時期」を開示し（Ａ２）、次に「通知＋目撃した時期＋性別」を開示し（Ａ３）、次に「通知＋目撃した時期＋性別＋目撃」を開示し（Ａ４）、次に「通知＋目撃した時期＋性別＋目撃＋場所」を開示し（Ａ５）、最後に「通知＋目撃した時期＋性別＋目撃＋場所＋通知」を開示し（Ａ６）した場合の、秘匿性ＤＦ値の変化が示してある。
また、最初に「都道府県」を開示し（Ｂ１）、次に「都道府県＋目撃した時期」を開示し（Ｂ２）、次に「都道府県＋目撃した時期＋目撃」（Ｂ３）を開示し（Ｂ３）、次に「都道府県＋目撃した時期＋目撃＋性別」を開示し（Ｂ４）、次に「都道府県＋目撃した時期＋目撃＋性別＋場所」を開示し（Ｂ５）、最後に「都道府県＋目撃した時期＋目撃＋性別＋場所＋通知」を開示し（Ｂ６）した場合の、秘匿性ＤＦ値の変化が示してある。
【００５１】
属性の開示順序と秘匿性ＤＦ値の間に図８のような関係がある場合、例えば、秘匿性の閾値を０．５とした場合、Ｂ１〜Ｂ６の順序で開示を行おうとすると「都道府県（Ｂ１）」のみの属性しか開示することが出来ない。しかし、Ａ１〜Ａ６の順序で開示を行おうとする場合には、「通知＋目撃した時期＋性別＋目撃（Ａ４）」の４つの属性を開示することが可能となる。
以上のように、属性を開示する順序を考慮することにより、開示可能な属性数を多く開示することが可能となる。
【００５２】
次に、１例として、属性の開示の順序の中で、開示する属性の数が最大となる順序を求める方法を示す。例えば、属性１と属性２と属性３の３つの属性があるものとする。また、属性１と属性２と属性３に対して、複数のユーザの情報が登録されているものとする。この属性１から３を開示する順序の中で、先のＡ１〜Ａ６のように、開示することが可能となる属性の数が最大となるような順序を求める。
【００５３】
まず、図３のステップＳ１０１３で行ったように、全てのＤＦを求め、全てのＤＦ値を計算格納手段１０５に保存しておく。
次に、１つの属性における秘匿性ＤＦ値の最小値が最大となる属性を選択する。例えば、全てのユーザの属性１と２と３に対して、それぞれＤ１とＤ２とＤ３が計算されているとする。ここで、Ｄ１が最小となるユーザの値を求める。例えば、Ｄ１においては、ユーザＩＤ１０５のＤ１（１０５）が最低値であるとする。同様に、属性２に対してはＤ２（２０１）が最低値であり、属性３に対してはＤ３（１３２）が最低値であるものとする。
【００５４】
ここで、例えば、各属性の最低地の中で最大値となるものより、順に開示することも可能である。例えば、Ｄ１（１０５）＞Ｄ３（１３２）＞Ｄ２（２０１）であった場合には、開示を行う順序を属性１、３、２とする。
【００５５】
または、属性の組み合わせも考慮し、先と同様にＤ１（１０５）＞Ｄ３（１３２）＞Ｄ２（２０１）であった場合には、まず属性１を開示する。次に、属性１は開示されるものとして、属性１と２の場合と、属性１と３の場合での秘匿性ＤＦ値の最小値が最大となる、次の属性を選択する。
例えば、属性１と２を同時に開示した場合の秘匿性Ｄ１２においては、ユーザＩＤ１３２のＤ１２（１３２）が最低値であるとする。同様に、属性１と３を開示した場合の秘匿性Ｄ１３では、Ｄ１３（２２３）が最低値であるとする。次に、例えば、Ｄ１２（１３２）＞Ｄ１３（２２３）であるとすると、属性１を開示してある場合、属性２と３では、属性２を開示する方が秘匿性の最低値が高いことより、属性１の次には属性２を開示する。最後に、属性３となる。
従って、開示を行う属性の順序は属性１、２、３の順序となる。
以上のような組み合わせを考慮し、開示の順序を決めることも可能である。
【００５６】
以上のようにして開示を行う属性の順序が決められている時、属性の開示の要求があった場合には、秘匿性の閾値と比較され、先の順序により属性とその属性値が開示される。
【００５７】
例えば、外部インターフェース手段１１２を介して明示的にどの属性を開示して欲しいという要求を受けなかった場合（例えば、図６のステップ１０２７）、要求を受けた個人情報管理運用装置１０１は、以上に説明を行ったように、開示を行う属性の順序を決定し、開示の順序に従って属性の開示を行うことにより、開示する属性が最多となるように属性を開示することが可能となる。
【００５８】
第四の実施の形態は、第一、第二および第三の実施の形態で用いるＤＢ１０６において、無線タグ７や街頭カメラ／センサ８を用いて自動採取される動的プライバシー情報を格納する動的プライバシー情報ＤＢ１１６と、ユーザ端末１や２から入力した静的プライバシー情報を格納する静的プライバシー情報ＤＢ１２６と、どの無線タグ７や街頭カメラ／センサ８を誰が所有しているかについての情報を格納するタグＩＤユーザＩＤ対応ＤＢ１３６と、外部インターフェース手段１１２経由で、ある時間、場所に集まったユーザのプライバシー情報のみを検索編集してＤＢとしてＤＢ１０６に格納するＤＢ検索結合手段１０９を追加し（図９参照）、タグ７や街頭カメラ／センサ８などで採取する単純な動的プライバシー情報と静的なプライバシー情報を組み合わせることで、場所や時間毎にどのような属性のユーザが集まっているかを判別できるＤＢを構築する。
また、図９には特に図示していないが、他の構成は第一から第三の実施の形態と同様である。
【００５９】
図１０に、各ＤＢで管理する情報と、“休憩コーナにいた”という動的プライバシー情報をトリガにした、休憩コーナにいた人だけのＤＢの構築方法を示す。
先ず、外部インターフェース手段１１２を介して、プロバイダが知りたい時間や場所に関するユーザ情報を受け取る。
該当する時間や場所情報を動的プライバシー情報ＤＢ１１６から検索し、対応する他の属性とタグＩＤに関するレコードを、ＤＢ検索結合手段１０９を介して取得する（Ｔ２）。
次に、無線タグ７を所有するユーザは誰なのかを検索するために、タグＩＤとそれを所有するユーザＩＤの対応をタグＩＤユーザＩＤ対応ＤＢ１３６からＤＢ検索結合手段１０９を介して取得する（Ｔ３）。
ユーザＩＤが分かると、静的プライバシー情報ＤＢ１２６から対応するユーザＩＤの属性、属性値情報のレコードを、ＤＢ検索結合手段１０９を介して取得する（Ｔ４）。
最後に、ターゲット属性をユーザＩＤとし、ＤＢを、ＤＢ検索結合手段１０９を介して結合する（Ｔ５）。結合したＤＢ（Ｔ５）に対して、実施例１、実施例２または実施例３で用いた方法を適応し、秘匿性について計算する。
【００６０】
これにより、動的プライバシー情報と静的プライバシー情報を適宜組み合わせたＤＢが自動生成でき、このＤＢに対して第一から第三の実施の形態で行った秘匿性を確保した情報の開示を行うことにより、秘匿性を時間や場所に着目した秘匿性を確保して、情報を開示を行うことが可能となる。
【００６１】
以上、この発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【産業上の利用可能性】
【００６２】
本発明は、個人のプライバシーを保護しつつ、個人情報を取り扱い開示するプロバイダに用いて最適である。
【図面の簡単な説明】
【００６３】
【図１】この発明による情報秘匿方法および個人情報管理運用装置が用いられるシステムの全体を示すブロック図である。
【図２】図１の第一の実施の形態による個人情報管理運用装置１０１の構成を示すブロック図である。
【図３】エントロピーの概要を示す説明図である。
【図４】正規化したエントロピー値ＤＦの説明のための一例としてのテーブルと説明を示す説明図である。
【図５】正規化したエントロピー値ＤＦの計算方法を示す説明図である。
【図６】第一の実施の形態による個人情報管理運用装置１０１で用いられる動作フローを示す流れ図である。
【図７】図１の第二または第三の実施の形態による個人情報管理運用装置１０１の構成を示すブロック図である。
【図８】属性開示と秘匿性の関係を示す説明図である。
【図９】図１の第四の実施の形態による個人情報管理運用装置１０１の構成を示すブロック図である。
【図１０】第四の実施の形態による動的静的プライバシー情報結合を説明する説明図である。
【図１１】従来の個人情報を取り扱うシステムの構成を示すブロック図である。
【符号の説明】
【００６４】
０  ネットワーク
１  ユーザ端末
２  ユーザ端末
３  プロバイダ端末
４  プロバイダ端末
７  無線タグ
８  街頭カメラ／センサ８
１０１  個人情報管理運用装置
１０２  開示可否判別手段
１０３  秘匿性計算手段
１０４  ＤＢ管理手段
１０５  計算結果格納手段
１０６  ＤＢ
１０７  類似ユーザグルーピング手段
１０８  開示ユーザグルーピング手段
１１２  外部インタフェース手段
１１５  属性抽出手段
１１６  動的プライバシー情報ＤＢ
１２６  静的プライバシー情報ＤＢ
１３６  タグＩＤユーザＩＤ対応ＤＢ
【図１】
2007219635.tif 000003
【図２】
2007219635.tif 000004
【図３】
2007219635.tif 000005
【図４】
2007219635.tif 000006
【図５】
2007219635.tif 000007
【図６】
2007219635.tif 000008
【図７】
2007219635.tif 000009
【図８】
2007219635.tif 000010
【図９】
2007219635.tif 000011
【図１０】
2007219635.tif 000012
【図１１】
2007219635.tif 000013