DEIM Forum 2023 5c-6-3

モバイル端末からのイベント情報検索におけるGeo-indistinguishability を用いたユーザ位置匿名化の評価
石神京佳†

榎美紀††

小口正人†

† お茶の水女子大学 〒 112–8610 東京都文京区大塚２丁目１−１†† 日本アイ・ビー・エム株式会社 〒 103–8510 東京都中央区日本橋箱崎町 １９−２１E-mail: †{kyoka,oguchi}@ogl.is.ocha.ac.jp, ††enomiki@jp.ibm.com
あらまし 近年，ソーシャルネットワーキングサービス（以下 SNS とする）の普及に伴い，SNS 上にはローカルイベントや開催中のイベントをはじめ，大小様々な規模のイベントに関する情報が投稿されるようになった．それらの膨大なイベント情報をサーバ側に収集し，ユーザがモバイル端末の位置情報を提供して，現在地付近のイベント情報を得るようなサービスは近年多く存在するが，位置情報などの個人情報をそのままサーバに送信して情報分析に使用されることはプライバシ上の懸念がある．本研究では，ユーザの位置情報を地域メッシュと人流データを利用し，差分プライバシを位置情報匿名化に拡張した技術 Geo-Indistinguishability（以下 Geo-I とする）を満たすようなダミー位置を算出し，サーバへの問い合わせに使用することで，ユーザの位置情報を曖昧化しプライバシを考慮した．地理的な制約条件を満たしつつ，大量の SNS データからイベント情報を検索する手法を提案する．
キーワード 位置情報プライバシ，情報推薦，SNS データ

Evaluation of User Location Anonymization Using
Geo-indistinguishability for Event Information Retrieval from Mobile
Devices
Kyoka ISHIGAMI† , Miki ENOKI†† , and Masato OGUCHI†† Ochanomizu University
2–1–1 Otsuka, Bunkyou-ku, Tokyo 112–8610, Japan†† IBM Japan, Ltd.
19–21 Hakozaki, Nihonbashi, Chuo-ku, Tokyo 103–8510, Japan
E-mail: †{kyoka,oguchi}@ogl.is.ocha.ac.jp, ††enomiki@jp.ibm.com

1. は じ め にや時間で開催されるイベントを推薦するシステムは既に研究されている．しかし，問い合わせユーザにとって，位置情報をは近年，SNS の利用者は継続的に増加傾向で，総務省の調査 [1]

じめとする個人情報をサーバに送信して情報分析に使用されるによると，現在国内全体では約７割の人が SNS を利用していことはプライバシ上の懸念がある．この問題を解決するため，る．また，SNS の利用目的としては，情報収集目的がコミュニサーバを信頼しないようなユーザデータのプライバシ保護に関ケーション目的に次いで二番目に多い．これは，SNS 特有の情する研究が行われており，保護対象データを位置情報データに報発信のしやすさから，SNS 上には固定的なメディアに掲載さ拡張する動きも盛んである．

れていないような様々な有益な情報が存在することが理由とし

本研究では，SNS の一種である Twiiter [2] 上からイベントて考えられる．そこで我々は，SNS 上のローカルイベントや開情報を取得し，ユーザの必要とするイベント情報の個数的な条催中のイベントをはじめ，大小様々な規模のイベントに関する件，地理的な制約条件を満たすイベント情報検索システムの実情報が投稿されるようになったことに注目した．それらの膨大装を行う．ユーザの位置情報を地域メッシュ情報 [3] を利用しなイベント情報をサーバ側に収集し，問合せユーザの位置情報たダミー位置に変換し，サーバへの問い合わせに利用した実験や SNS データなどを利用することで，ユーザに対し特定の場所

では，サーバに付与されるユーザ位置情報は 1km 四方に曖昧

また，高木ら [9] は Geo-I の弱点として，攻撃者が道路ネッ化されていた [4]．本稿では人流データ [5] を利用し，差分プラトワークを考慮した場合，ユーザの予測の精度が上がってしイバシ [6] を位置情報匿名化に拡張した技術 Geo-I [7] を満たすまうことを挙げ，道路ネットワークにおける位置情報プライようなユーザ位置のダミー位置を算出し，サーバへの問い合わ

バシという題で道路ネットワークを考慮した基準 Geo-Graph-せに使用することで，よりプライバシ保護の指標に則った度合Indistinguishability(GGI) を提案した．

いで，ユーザの位置情報を曖昧化する手法を提案する．

このように，有効性のあるユーザデータのプライバシ保護基準が研究されている．プライバシ侵害の判定基準はユーザに

2. 関 連 研 究

よって異なる主観的な概念であるため，明確な基準を定めるの本章では，関連研究として，近年盛んに行われているユーザは非常に困難であるが，これらの数式で示された保護基準を用のプライバシを保護しながらデータを活用するためのプライバいることで，プライバシ保護度合いを値 ϵ で表現でき，統計的シ保護技術と，位置情報データ保護に関する研究について紹介なデータの保護に応用することが可能となった．

する．

2. 1 差分プライバシと局所差分プライバシ

3. 先 行 研 究

代表的なプライバシ保護保証の評価手法の一種に，Dwork ら

本章では，本研究の先行研究について紹介する．同研究室工により発表された差分プライバシ [6] が挙げられる．これは，

藤ら [10] が，Twitter のツイートデータからのイベントに関すあるユーザのデータが含まれるデータベースと含まないデーる情報の抽出に関する研究を行っている．工藤らの提案システ

タベースの差分を少なくすることで，攻撃者が統計的結果を得ムは以下に示すような，ツイートの抽出パート，イベントのカても，結果がどちらのデータベースから得たものなのか見分け

テゴリ分類パート，ユーザへの情報配信準備パートの大きく分を付きにくくするという概念である．差分プライバシの概念でけて 3 つのパートで構成されている．

は，データ収集者であるサーバを信頼し，データ解析結果を第三者に提供する際のプライバシ保護を想定している．近年ではユーザがデータ収集者を信頼せず，ユーザ自身が各々データにI ツイートの抽出
i Twitter API [11] のキーワード検索で地名をキーワー

差分プライバシを満たすようなノイズを加える，局所差分プラドに設定しツイートを収集

イバシに関する研究 [8] も盛んである．図 1 に差分プライバシ

ii 取得したツイートの情報を整理と局所差分プライバシの概要を示す．

iii さらに日付と時間，イベントの開催地がツイート本

2. 2 Geo-Indistinguishability（Geo-I）
Geo-I は，Andrés ら [7] によって提案された, 差分プライバ
シにおけるデータを位置情報，ハミング距離をユークリッド距離に置き換え，位置情報データの保護に応用したプライバシ保護基準である．局所差分プライバシと同様に，データ収集者を信頼しないようなモデルで，攻撃者に大まかな位置が予測されても，具体的な位置は予測されないようにするという概念である．X をユーザの位置の集合，Z をメカニズム K によって曖昧化した結果得られる位置の集合としたとき，任意の二つの点x, x′ ∈ X において以下が成り立てば，位置 z ∈ Z を確率 kxzで出力するメカニズム K は ϵ-Geo-I を満たすという．
′kxz ≦ eϵdχ (x,x ) kx′ z

文に含まれるものを抽出

iv 正規表現を用いてイベント名を取得，外部情報を利用しイベント情報を補完

II イベントのカテゴリ分類i ラ ン ダ ム フ ォ レ ス ト を 用 い て イ ベ ン ト を Music
Event,Comedy などのカテゴリに分類
III ユーザへの情報配信準備
i イベント名，開催日時，カテゴリ等のユーザに提供する情報を取得し整理ii 提供する情報を複数言語に分類
iii ユーザの位置を取得
iv ユーザ位置をもとに提供する情報の順位付け
また，同研究室今井ら [12] が，ユーザの過去のツイートデータから趣味趣向を判別し，工藤らのシステムを用て収集したイ
ベント情報のデータを，取得したユーザ趣向に基づいて順位付けし推薦するシステムを提案している．
本研究では，サーバ側が行う Twitter からのイベント情報抽出に，先行研究の手法を使用する．先行研究ではユーザの位置情報やユーザの過去のツイートをサーバに付与しているため，プライバシ上の課題があった．本研究ではユーザの位置情報プライバシ保護のためのデータ処理について検討し，先行研究の

図 1: 差分プライバシ・局所差分プライバシの概要

プライバシを考慮したモデルへの拡張を目指す．

図 2: 提案システムの概要

4. 提案システム

4. 2 地域メッシュ情報の付与
本研究では，地域メッシュ [3] 情報を用いて，ユーザの位置情本研究ではユーザの位置情報プライバシを保護しつつ，膨大報のプライバシ保護処理を試みる．地域メッシュは，統計に利な SNS 上のイベント情報から，ユーザに適したイベント情報用するために緯度・経度に基づいて地域を隙間のない網の目のよを推薦するシステムの構築を目指す．提案するシステムの概要

うな区画としたものである．イベント開催地にスポット名（注 1）を図 2 に示す．

または住所が保存されているイベント情報に対し，Geolocation

サーバ側は先行研究で紹介した工藤ら [10] が提案する手法をAPI [15] を用いて開催地の緯度経度を取得し，地域メッシュ参考にし，パブリックなツイートデータからのイベント情報抽コードを算出し保持しておく．本研究では，現在日本で用いら出・分析処理を行う．クライアント側はユーザのプライバシにれている，昭和 48 年 7 月 12 日行政管理庁告示第 143 号に基づ関わるような情報の保護処理をしてからサーバへイベント情報

く「標準地域メッシュ・コード」から以下の区画を使用する．の問い合わせをする．本提案手法ではメッシュ単位の人流デー

第 1 次メッシュ (第 1 次地域区画)：

タを使用し算出した確率分布を満たすダミー位置を問い合わせ

緯度の間隔 40 分，経度の間隔 1 度，一辺の長さ約 80kmに使用する．クライアントは問い合わせ結果で得られたイベン

第 2 次メッシュ (第 2 次地域区画)：ト情報から，ユーザが必要としている範囲や個数などの制約を

第 1 次メッシュを緯線方向及び経線方向に 8 等分してできる区満たすイベント情報を抽出しユーザへのイベント情報推薦を域，一辺の長さ約 10km行う．

第 3 次メッシュ (基準地域メッシュ)：

4. 1 イベント情報抽出

第 2 次メッシュを緯線方向及び経線方向に 10 等分してできる

Twitter API [11] を使用しキーワード (地名) を含むツイー

区域，一辺の長さ約 1kmトを収集する．尚，同一内容のツイートの重複した収集を防ぐ

分割地域メッシュ (2 分の 1 地域メッシュ)：

ため，リツイート機能を用いて再投稿されたツイートは除いて第 3 次メッシュを緯線方向及び経線方向に 2 等分してできる区収集する．続いて，取得したツイートデータから，正規表現を域，一辺の長さ約 500m用いて日付とイベント名が含まれるツイートを抽出し，それら

4. 3 プライバシを考慮した問い合わせをイベント情報としてイベント名が重複するものを除きデータ[4] で提案した地域メッシュを用いたイベント情報問い合わベースに格納する．表 1 にデータベースとして格納されるイベせ手法では，ユーザの位置情報プライバシを保護するために，ント情報の一例を示す．

ユーザ位置から算出した第 3 次メッシュの中心位置をダミーの位置としてサーバへの問い合わせに使用した．この処理を行う

表 1: データベースに格納されているイベント情報 (一部抜粋)

ことで，サーバに付与されるユーザの位置情報は第 3 次メッシュコードに限られ，約 1km 四方の区画に曖昧化されていたが，ユーザ位置に関わらずプライバシ保護度合いが固定的であり，攻撃者が周辺の人流やユーザの移動経路，道路ネットワー（注 1）：東京 23 区内のアミューズメント施設, ミュージアム, ショッピング施設,エンターテインメント施設, 温泉, 劇場, ホールを東京ウォーカー [13] とナビタ
イム [14] から抜粋しイベントスポット辞書を作成する．ツイートにイベントス
ポット辞書内の要素が存在する場合は, その要素をイベント開催地として保持ている．

5. 2 考察

ϵ はノイズ付きの位置から元の位置に関して漏洩する情報量を制御するパラメータであり，その値が小さいほどプライバシ保護度合いは高くなるが，ノイズは大きくなり，よりユーザ位置とは無関係な区画が選ばれる．図 4(a)ϵ = 3.0 では元のユーザ位置がそのままダミー位置として選ばれる確率が 35.0％ であるのに対し，図 4(b)ϵ = 2.0 においては 25.5％ となっていて低い．また，人流数が多い赤色や桃色の区画に注目すると，

ϵ = 3.0 の場合より ϵ = 2.0 の場合の方がより選ばれる確率が高くなっていることが見て取れる．ϵ が大きい値のときはよりユーザ位置からの距離が近い区画が選ばれ，ϵ が小さい値のと
図 3: Geo-I を用いた位置情報匿名化の概要

きはより人流数が多い区画が選ばれる．また，図 5(a) の (b) を比較すると，ユーザ位置や周りの区画にあまり人がいない場合クを考慮した予測を行うとユーザ位置の予測精度が高くなっては，人流数の多い区画がより選ばれやすくなっていることがわしまうという課題があった．そこで本提案手法では，ユーザのかる．このような ϵ の値とユーザ位置における人流数の大小の位置情報を地域メッシュと人流データを利用し，2.2 節で紹介

傾向を利用し，適切な ϵ の値を調整することで，より人のいるした Geo-I を満たすようなダミー位置を算出し，サーバへの問ところ，またはユーザ位置から近い場所を問い合わせの位置とい合わせに使用することで，ユーザ位置の匿名化を保護度合いして選んで欲しいというユーザの要件に柔軟に対応することがϵ で行う．Geo-I を満たすメカニズム K は，データの平均にラ可能となる．

プラスノイズを加えるラプラスメカニズムをはじめ様々なものが提案されているが，今回の実験では Bordenabe [16] らが提案

6. まとめと今後の課題

した，ユーザ位置が x ∈ X である事前確率 πx を用いたメカ

ユーザ位置周辺という地理的な制約条件を満たすような，ニズム K を参考に実装を行った．このメカニズム K を使用し

SNS データからのイベント情報の検索をする際の，ユーザの位たときのユーザ位置 x とノイズ付きの位置 z との距離 dQ (x, z)

置情報プライバシを保護するためのデータ処理方法について検の期待値は以下のように表せる．

討した．第 3 次メッシュの中心位置をダミーの位置としてサー∑バへの問い合わせに使用した手法における，ユーザ位置の人流
πx kxz dQ (x, z)x,z∈χ

数に関わらずプライバシ保護度合いが固定的であるという課題を解決するため，本稿では地域メッシュと人流データを利用し分割地域メッシュ単位の人流データを用いた重みづけをユーザ

Geo-I を満たすようなダミー位置を算出する処理を行った．ϵ

位置の事前確率 πx とし，ユーザ位置の匿名化を保護度合い ϵの値と Geo-I を満たす確率分布に従ってダミー位置が選ばれるで行う．求めた ϵ-Geo-I を満たす確率分布に従ってダミー位置確率を調査した結果，ϵ の値を調整することで，より人のいるを算出し，問い合わせの位置として使用する．今回の実験ではところまたはユーザ位置から近い場所を問い合わせの位置とし

図 3 に表すように，試験的に分割地域メッシュ 20 区画に対し，て選んで欲しいというユーザの要件に柔軟に対応でき，従来の人流数が多い区画から少ない区画に 10 から 1 の 5 段階の重み手法よりプライバシ保護の指標に則った度合いで，論理的，定付けを行い，ϵ の値と確率分布の関係を調査した．

量的なプライバシ保護を行うことが可能となる．今回の実験で5. Geo-I を用いた位置情報匿名化は限定的な区画で実験を行い，年間の人流データを使用したが，今後はより広い連続する範囲での実装，時間帯別や年齢別の人

5. 1 実験

流データを使用し，より細かなユーザの要件に柔軟に対応し，例として，新宿駅周辺と新橋駅周辺における 500m 四方の適切な ϵ の値の設定を行いたい．また，より適切にイベント開分割地域メッシュ 20 区画の人流データを用いて重み付けを行

催地分布に応じた場合分けを行うために過去のイベントの発生ない，問い合わせの位置として使用される ϵ-Geo-I を満たすダ情報の利用や，ユーザの要望に合うような情報の推薦を行うた

ミー位置として各区画が選ばれる確率を調査する．ユーザ位置

めに他のユーザデータを利用したイベント情報の推薦順位付けを固定しプライバシ保護度合い ϵ = 3.0 としたときの結果（図を考えていきたい．また，本手法はユーザが移動しながら都度4(a)）と ϵ = 2.0 としたときの結果（図 4(b)）を示す．また，複数回の問い合わせを行い，攻撃者が問い合わせ結果を全て得

ϵ = 2.5 と固定したとき，ユーザが周辺の人流数の多い地域（新られるような場合を考慮していない．今後は取得したイベント

宿）にいる場合の結果（図 5(a)）と，海などに囲まれ周辺の人情報の精査に加え，ユーザの移動経路を保護できるようなモデ流数の少ない地域（新橋）にいる場合の結果（図 5(b)）を示す．

ルも構築していきたい．

各メッシュ区画が選ばれる確率を数値で記載し，各メッシュ区画の色は図 3 における，5 段階の人流数に従う重み付けを表し

(a) ϵ = 3.0(b) ϵ = 2.0

図 4: ユーザ位置固定, 各区画が選ばれる確率 (％)(a) 周辺の人流数の多い地域（新宿）にいる場合(b) 周辺の人流数の少ない地域（新橋）にいる場合

図 5: ϵ = 2.5 固定, 各区画が選ばれる確率 (％)

7. 謝

辞

本研究は一部，JST CREST JPMJCR22M2 の支援を受けたものである．

文

献[1] Survey of communication usage trends in the ﬁrstyear of reiwa (ministry of internal aﬀairs and communications). https://www.soumu.go.jp/johotsusintokei/
statistics/data/200529_1.pdf.
[2] Twitter. http://twitter.com/.
[3] Ministry of internal aﬀairs and communications information bureau regional mesh statistics overview. https://www.
stat.go.jp/data/mesh/m_tuite.html.
[4] Kyoka Ishigami, Miki Enoki, and Masato Oguchi. Event information search method from sns data considering privacyof user’s location information. pages 240–245, 2022.
[5] Ministry of land, infrastructure, transport and tourism national open data on human ﬂow. https://www.geospatial.
jp/ckan/dataset/mlit-1km-fromto.
[6] Miguel E. Andrés, Nicolás E. Bordenabe, Konstantinos
Chatzikokolakis, and Catuscia Palamidessi. Diﬀerential privacy. Proc. 33rd International Colloquium on Automata,Languages and Programming (ICALP 06), pages 1–12,2006.
[7] Miguel E. Andrés, Nicolás E. Bordenabe, Konstantinos Chatzikokolakis, and Catuscia Palamidessi.
Geoindistinguishability: Diﬀerential privacy for location-basedsystems. Proceedings of the 2013 ACM SIGSAC conference
on Computer and Communications Security (CCS’13)),
pages 901–914, 2013.

[8] John C. Duchi, Michael I. Jordan, and Martin J. Wainwright. Local privacy and statistical minimax rates. Proc.
IEEE 54th Annual Symposium on Foundations of Computer Science (FOCS 13), pages 429–438, 2013.
[9] Shun Takagi, Yang Cao, Yasuhito Asano, and Masatoshi
Yoshikawa. Geo-graph-indistinguishability: Location privacy on road networks based on diﬀerential privacy. CoRR,abs/2010.13449, 2020.
[10] Ruriko Kudo, Miki Enoki, Akihiro Nakao, Shu Yamamoto,Saneyasu Yamaguchi, and Masato Oguchi. Real-time event
search corresponding to place and time using social stream.
the 3rd IEEE International Conference on Big Data Intelligence and Computing (DataCom2017), pages 1047–1053,2017.
[11] Twitter search api.
https://dev.twitter.com/rest/
public/search.
[12] Miki Imai, Miki Enoki, Ruriko Kudo, and Masato Oguchi.
Personalized local event search based on sns data analysis.
the 14th IEEE International Conference on Ubiquitous Information Management and Communication, pages 6–14,
2020.
[13] Walker+ list of places to go in tokyo. https://www.
walkerplus.com/spot_list/ar0313/.
[14] Navitime. https://www.navitime.co.jp/category/.
[15] Google maps geolocation api. https://developers.google.
com/maps/documentation/geolocation/overview.
[16] Nicolás E Bordenabe, Konstantinos Chatzikokolakis, andCatuscia Palamidessi. Optimal geo-indistinguishable mechanisms for location privacy, 2014.