"少なくとも1つのデータプロバイダシステムに接続されたサーバコンピュータが前記データプロバイダシステムから提供されたデータの開示を制御する方法であって、前記サーバコンピュータが、第1の時空間領域における1又は複数の移動物について、1つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも1つの属性値とをレコード単位として含む第1のレコード集合体を、少なくとも1つのデータプロバイダシステムから受信するステップと、第2の時空間領域における1又は複数の移動物について、1つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも1つの属性値とをレコード単位として含む第2のレコード集合体を、少なくとも1つのデータプロバイダシステムから受信するステップであって、前記第2のレコード集合体中にある移動物の識別子は前記第1のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも1つ含む、前記第2のレコードを受信するステップと、移動物に関連するデータ検索要求の受信に応じて、前記受信した第1及び第2のレコード集合体中の同一の識別子に関連付けられた各属性値から、前記データ検索要求に対応する移動物に関連するトレースデータを計算するステップと、一定範囲のL個の領域を一定時間以内に通過するという条件を満たし、且つ移動物がk個kは2以上の整数以上存在するように、前記L個の領域ごとに、範囲wj及び/又は当該範囲wjの通過時間レンジjは1,2,,Lの整数を計算するステップと、前記受信した第1及び第2のレコード集合体中の前記同一の識別子を有する移動物が前記計算された範囲wjを前記計算された通過時間レンジに移動していることに応じて、前記計算されたトレースデータ又は当該トレースデータの一部を検索結果として返すステップとを実行することを含む、前記方法。前記検索結果として返すステップが、第1の移動物が前記計算された範囲wjにあり且つ前記計算された通過時間レンジにあり、及び、第2の移動物が前記計算された範囲wjにあり且つ前記計算された通過時間レンジにある場合に、前記受信した第1及び第2のレコード集合体中の前記第1の移動物の識別子に関連付けられた少なくとも1つの属性値第1の属性値から計算される第1の値を、前記受信した第1及び第2のレコード集合体中の前記第2の移動物の識別子に関連付けられた少なくとも1つの属性値第2の属性値から計算される第2の値と入れ替えて、当該第2の値に入れ替えられた後に計算される集計値が前記第1の値から計算される集計値と完全一致になるように前記第1の属性値の取り方を制御するステップであって、前記第2の属性値から計算される値は前記第1の属性値から値を求める方法と同じ方法によって計算される、前記制御するステップと前記制御によって、前記第2の値に入れ替えられた後に計算される集計値が前記第1の値から計算される集計値と完全一致することに応じて、前記データ検索要求に対応する移動物に関連する前記計算されたトレースデータ若しくは当該トレースデータの一部又は前記制御された属性値を検索結果として返すステップとを含む、請求項1に記載の方法。前記検索結果として返すステップが、前記受信した第1及び第2のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレースデータ又は当該トレースデータの一部の開示を制限するステップを含む、請求項1に記載の方法。前記検索結果として返すステップが、前記受信した第1及び第2のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレースデータ又は当該トレースデータの一部の開示を制限するステップを含む、請求項2に記載の方法。前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレースデータの開示回数又は開示先の制約データを含み、前記検索結果として返すステップが、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレースデータ又は当該トレースデータの一部の開示を制限するステップを含む、請求項3に記載の方法。前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレースデータの開示回数又は開示先の制約データを含み、前記検索結果として返すステップが、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレースデータ又は当該トレースデータの一部の開示を制限するステップを含む、請求項4に記載の方法。前記検索結果として返すステップが、前記開示回数又は開示先を履歴として記録するステップをさらに含む、請求項5又は6に記載の方法。前記ポリシーが、ポリシーレポジトリから取り出される、請求項3~6のいずれか一項に記載の方法。前記ポリシーが、前記移動物又は前記データプロバイダシステムに関連付けられたデータオーナーにより設定される、請求項3~6のいずれか一項に記載の方法。前記サーバコンピュータが、前記受信した第1及び第2のレコード集合体をレコードレポジトリに格納するステップをさらに含む、請求項1に記載の方法。前記計算するステップが、前記データ検索要求に応じて、前記レコードレポジトリに格納された第1及び第2のレコード集合体からトレースデータを作成するステップをさらに含む、請求項10に記載の方法。前記計算するステップが、前記第1及び前記第2のレコード集合体を一つの統合レコード集合体にまとめて、当該統合レコード集合体中の同一の識別子に関連付けられたレコードを時刻データ順にソートするステップをさらに含む、請求項1に記載の方法。前記移動物が車である場合に、前記属性値が、車両の識別子、車両の色、車両ナンバー、車種、時刻tにおけるスピード、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は、車内外の時刻tにおける状態、若しくは搭乗者の時刻tにおける状態の少なくとも一つを含む、請求項1に記載の方法。少なくとも1つのデータプロバイダシステムに接続されており、前記データプロバイダシステムから提供されたデータの開示を制御するコンピュータであって、第1の時空間領域における1又は複数の移動物について、1つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも1つの属性値とをレコード単位として含む第1のレコード集合体を、少なくとも1つのデータプロバイダシステムから受信し、且つ、第2の時空間領域における1又は複数の移動物について、1つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも1つの属性値とをレコード単位として含む第2のレコード集合体を、少なくとも1つのデータプロバイダシステムから受信する受信部であって、前記第2のレコード集合体中にある移動物の識別子は前記第1のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも1つ含む、前記受信部と、移動物に関連するデータ検索要求の受信に応じて、前記受信した第1及び第2のレコード集合体中の同一の識別子に関連付けられた各属性値から、前記データ検索要求に対応する移動物に関連するトレースデータを計算する計算部と、一定範囲のL個の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がk個kは2以上の整数以上存在するように、前記L個の領域ごとに、範囲wj及び/又は当該範囲wjの通過時間レンジjは1,2,,Lの整数を計算する秘匿部と、前記受信した第1及び第2のレコード集合体中の前記同一の識別子を有する移動物が前記計算された範囲wjを前記計算された通過時間レンジに移動していることに応じて、前記計算されたトレースデータ又は当該トレースデータの一部を検索結果として返す送信部とを含む、前記コンピュータ。前記秘匿部が、第1の移動物が前記計算された範囲wjにあり且つ前記計算された通過時間レンジにあり、及び、第2の移動物が前記計算された範囲wjにあり且つ前記計算された通過時間レンジにある場合に、前記受信した第1及び第2のレコード集合体中の前記第1の移動物の識別子に関連付けられた少なくとも1つの属性値第1の属性値から計算される第1の値を、前記受信した第1及び第2のレコード集合体中の前記第2の移動物の識別子に関連付けられた少なくとも1つの属性値第2の属性値から計算される第2の値と入れ替えて、当該第2の値に入れ替えられた後に計算される集計値が前記第1の値から計算される集計値と完全一致になるように前記第1の属性値の取り方を制御し、ここで、前記第2の属性値から計算される値は前記第1の属性値から値を求める方法と同じ方法によって計算され、前記制御によって、前記第2の値に入れ替えられた後に計算される集計値が前記第1の値から計算される集計値と完全一致することに応じて、前記データ検索要求に対応する移動物に関連する前記計算されたトレースデータ若しくは当該トレースデータの一部又は前記制御された属性値を検索結果として返す、請求項14に記載のコンピュータ。前記秘匿部が、前記受信した第1及び第2のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレースデータ又は当該トレースデータの一部の開示を制限する、請求項14に記載のコンピュータ。前記秘匿部が、前記受信した第1及び第2のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレースデータ又は当該トレースデータの一部の開示を制限する、請求項16に記載のコンピュータ。前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレースデータの開示回数又は開示先の制約データを含み、前記秘匿部が、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレースデータ又は当該トレースデータの一部の開示を制限する、請求項16に記載のコンピュータ。前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレースデータの開示回数又は開示先の制約データを含み、前記秘匿部が、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレースデータ又は当該トレースデータの一部の開示を制限する、請求項17に記載のコンピュータ。サーバコンピュータに、請求項1~13のいずれか一項に記載の方法の各ステップを実行させるコンピュータプログラム。V2X通信システムから収集されるレコードデータから導出されるトレースデータは、いつ、どこに、どんな車両若しくは搭乗者又はヒトが位置しているか又はどんな行動をしているかについての個人情報を含む。当該個人情報は、例えば消費者の行動又は購買意欲を分析するための情報として又は移動物の環境例えば道路交通環境を分析するための情報として、例えば市場又は政策上において大きな価値を生み出しうる。一方、トレースデータは、例えば行動に関する情報例えばどこに、いつ立ち寄ったかという情報と関連付きやすい又は紐付きやすい。また、車又はヒトの位置情報を匿名化する方法は知られているが、当該方法はトレースデータを保護できない。何故ならば、データプロバイダが、個別のトレースデータから個々の車両若しくは搭乗者、又はヒトの振る舞いを特定することができでしまうためである。従って、結果として個人情報保護上の問題が生じやすい。そこで、個人情報保護上の問題を回避するために、一定条件を満足した場合においてのみトレースデータが開示される技法が必要とされている。本発明は、移動物に関連するトレースデータの開示を制御する方法、並びにそのコンピュータ及びコンピュータプログラムを提供する。特には、本発明は、少なくとも1つのデータプロバイダシステムに接続されたサーバコンピュータが上記データプロバイダシステムから提供されたデータの開示を制御する方法を提供する。当該方法は、第1の時空間領域における1又は複数の移動物について、1つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも1つの属性値とをレコード単位として含む第1のレコード集合体を、少なくとも1つのデータプロバイダシステムから受信するステップと、第2の時空間領域における1又は複数の移動物について、1つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも1つの属性値とをレコード単位として含む第2のレコード集合体を、少なくとも1つのデータプロバイダシステムから受信するステップであって、上記第2のレコード集合体中にある移動物の識別子は上記第1のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも1つ含む、上記第2のレコードを受信するステップと、移動物に関連するデータ検索要求の受信に応じて、上記受信した第1及び第2のレコード集合体中の同一の識別子に関連付けられた各属性値から、上記データ検索要求に対応する移動物に関連するトレースデータを計算するステップと、一定範囲のL個の領域を一定時間以内に通過するという条件を満たし、且つ移動物がk個kは2以上の整数以上存在するように、上記L個の領域ごとに、範囲wj及び/又は当該範囲wjの通過時間レンジjは1,2,,Lの整数を計算するステップと、上記受信した第1及び第2のレコード集合体中の上記同一の識別子を有する移動物が上記計算された範囲wjを上記計算された通過時間レンジに移動していることに応じて、上記計算されたトレースデータ又は当該トレースデータの一部を検索結果として返すステップとを含む。本発明の1つの実施態様において、上記検索結果として返すステップが、上記受信した第1及び第2のレコード中の上記同一の識別子に関連付けられたポリシーに従って、上記計算されたトレースデータ又は当該トレースデータの一部の開示を制限するステップを含みうる。また、本発明の1つの実施態様において、上記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレースデータの開示回数又は開示先の制約データを含み、上記検索結果として返すステップが、上記開示回数又は開示先の制約データに従って、上記データ検索要求に対応する移動物に関連する上記計算されたトレースデータ又は当該トレースデータの一部の開示を制限するステップを含みうる。本発明の1つの実施態様において、上記検索結果として返すステップが、第1の移動物が上記計算された範囲wjにあり且つ上記計算された通過時間レンジにあり、及び、第2の移動物が上記計算された範囲wjにあり且つ上記計算された通過時間レンジにある場合に、上記受信した第1及び第2のレコード集合体中の上記第1の移動物の識別子に関連付けられた少なくとも1つの属性値第1の属性値から計算される第1の値を、上記受信した第1及び第2のレコード集合体中の上記第2の移動物の識別子に関連付けられた少なくとも1つの属性値第2の属性値から計算される第2の値と入れ替えて、当該第2の値に入れ替えられた後に計算される集計値が上記第1の値から計算される集計値と完全一致になるように上記第1の属性値の取り方を制御するステップであって、上記第2の属性値から計算される値は上記第1の属性値から値を求める方法と同じ方法によって計算される、上記制御するステップと上記制御によって、上記第2の値に入れ替えられた後に計算される集計値が上記第1の値から計算される集計値と完全一致することに応じて、上記データ検索要求に対応する移動物に関連する上記計算されたトレースデータ若しくは当該トレースデータの一部又は上記制御された属性値を検索結果として返すステップとを含みうる。本発明の1つの実施態様において、上記検索結果として返すステップが、上記受信した第1及び第2のレコード中の上記同一の識別子に関連付けられたポリシーに従って、上記計算されたトレースデータ又は当該トレースデータの一部の開示を制限するステップを含みうる。また、本発明の1つの実施態様において、上記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレースデータの開示回数又は開示先の制約データを含み、上記検索結果として返すステップが、上記開示回数又は開示先の制約データに従って、上記データ検索要求に対応する移動物に関連する上記計算されたトレースデータ又は当該トレースデータの一部の開示を制限するステップを含みうる。本発明の1つの実施態様において、上記検索結果として返すステップが、上記開示回数又は開示先を履歴として記録するステップをさらに含みうる。本発明の1つの実施態様において、上記ポリシーが、ポリシーレポジトリから取り出される。本発明の1つの実施態様において、上記ポリシーが、上記移動物又は上記データプロバイダシステムに関連付けられたデータオーナーにより設定されうる。本発明の1つの実施態様において、上記サーバコンピュータが、上記受信した第1及び第2のレコード集合体をレコードレポジトリに格納するステップをさらに含みうる。本発明の1つの実施態様において、上記計算するステップが、上記データ検索要求に応じて、上記レコードレポジトリに格納された第1及び第2のレコード集合体からトレースデータを作成するステップをさらに含みうる。本発明の1つの実施態様において、上記計算するステップが、上記第1及び上記第2のレコード集合体を一つの統合レコード集合体にまとめて、当該統合レコード集合体中の同一の識別子に関連付けられたレコードを時刻データ順にソートするステップをさらに含みうる。本発明の1つの実施態様において、上記移動物が車である場合に、上記属性値が、車両の識別子、車両の色、車両ナンバー、車種、時刻tにおけるスピード、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は、車内外の時刻tにおける状態、若しくは搭乗者の時刻tにおける状態の少なくとも一つを含みうる。また、特には、本発明は、少なくとも1つのデータプロバイダシステムに接続されたサーバコンピュータが上記データプロバイダシステムから提供されたデータの開示を制御するコンピュータプログラムを提供する。当該コンピュータプログラムは、サーバコンピュータに、上記方法のいずれか一つの態様に記載の各ステップを実行させる。また、特には、本発明は、少なくとも1つのデータプロバイダシステムに接続されており、上記データプロバイダシステムから提供されたデータの開示を制御するコンピュータを提供する。当該コンピュータは、第1の時空間領域における1又は複数の移動物について、1つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも1つの属性値とをレコード単位として含む第1のレコード集合体を、少なくとも1つのデータプロバイダシステムから受信し、且つ、第2の時空間領域における1又は複数の移動物について、1つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも1つの属性値とをレコード単位として含む第2のレコード集合体を、少なくとも1つのデータプロバイダシステムから受信する受信部であって、上記第2のレコード集合体中にある移動物の識別子は上記第1のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも1つ含む、上記受信部と、移動物に関連するデータ検索要求の受信に応じて、上記受信した第1及び第2のレコード集合体中の同一の識別子に関連付けられた各属性値から、上記データ検索要求に対応する移動物に関連するトレースデータを計算し、及び、一定範囲のL個の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がk個kは2以上の整数以上存在するように、上記L個の領域ごとに、範囲wj及び/又は当該範囲wjの通過時間レンジjは1,2,,Lの整数を計算する計算部と、上記受信した第1及び第2のレコード集合体中の上記同一の識別子を有する移動物が上記計算された範囲wjを上記計算された通過時間レンジに移動していることに応じて、上記計算されたトレースデータ又は当該トレースデータの一部を検索結果として返す秘匿部とを含む。本発明の実施態様に従うと、トレースデータのプライバシー保護が図られる。このことは、V2X通信システムの実装において、安全にトレースデータが利用できる基盤の構築を可能にする。また、特には、本発明の実施態様に従うと、移動物の所有者を包含するデータの権限所有主体以下、データオーナーともいうによって設定されたポリシーに従ってトレースデータを開示することができる。このことは、データオーナーの意思に基づいてトレースデータの開示を可能にし、従って、プライバシーを懸念するデータオーナーからのデータ提供を促進することを容易にする。また、特には、本発明の実施態様に従うと、データアグリゲータシステム毎に、データ開示を制御することが可能になる。このことは、データ利用者に対するアクセス制御及び課金制御の基盤の構築を容易にする。本発明の実施形態を、以下に図面に従って説明する。以下の図を通して、特に断らない限り、同一の符号は同一の対象を指す。本発明の実施形態は、本発明の好適な態様を説明するためのものであり、本発明の範囲をここで示すものに限定する意図はないことを理解されたい。図1は、本発明の実施形態において使用されうるコンピュータハードウェアの基本的なブロック図を示す。コンピュータ101は、CPU102とメインメモリ103とを備えており、これらはバス104に接続されている。CPU102は好ましくは、32ビット又は64ビットのアーキテクチャーに基づくものであり、例えば、インテル社のCorei商標シリーズ、Core2商標シリーズ、Xeon商標シリーズ、PentiumIntelCorporationの登録商標シリーズ、CeleronIntelCorporation登録商標シリーズ、Atom商標シリーズ、AMD社のPhenom商標シリーズ、Athlon商標シリーズ、Turion商標シリーズ又はSempron商標が使用されうる。バス104には、ディスプレイコントローラ105を介して、ディスプレイ106、例えば液晶ディスプレイLCDが接続されうる。ディスプレイ106は、コンピュータの管理のために、通信回線を介してネットワークに接続されたコンピュータについての情報と、そのコンピュータ上で動作中のソフトウェアについての情報を、適当なグラフィックユーザインタフェースで表示するために使用される。バス104にはまた、SATA又はIDEコントローラ107を介して、記憶装置108、例えばハードディスク又はソリッドステートドライブと、ドライブ109、例えばCD、DVD又はBDドライブとが接続されうる。バス104にはさらに、キーボードマウスコントローラ110又はUSBバス図示せずを介して、キーボード111及びマウス112が接続されうる。ディスク108には、オペレーティングシステム、J2EEなどのJavaSunMicrosystemの登録商標処理環境、Java登録商標アプリケーション、Java登録商標仮想マシンJVM、Java登録商標実行時JITコンパイラを提供するプログラム、その他のプログラム、及びデータが、メインメモリにロード可能に記憶されている。ドライブ109は、必要に応じて、CD-ROM、DVD-ROM又はBDからプログラムをディスク108にインストールするために使用される。通信インタフェース114は、例えばイーサネット登録商標プロトコルに従う。通信インタフェース114は、通信コントローラ113を介してバス104に接続され、コンピュータ101を通信回線115に物理的に接続する役割を担い、コンピュータ101のオペレーティングシステムの通信機能のTCP/IP通信プロトコルに対して、ネットワークインタフェース層を提供する。なお、通信回線は、有線LAN環境、又は例えばIEEE802.11a/b/g/nなどの無線LAN接続規格に基づく無線LAN環境であってもよい。図2は、本発明の実施態様において使用されうるデータプロバイダシステム以下、データプロバイダという、データアグリゲータコンピュータ以下、データアグリゲータという、サービスプロバイダコンピュータ以下、サービスプロバイダという、データオーナーサーバコンピュータ以下、データオーナーサーバという、及びユーザ端末を示す。データプロバイダ201-1~201-n、nは整数であるは、移動物又は移動物に取り付けられた無線機器と通信し、移動物についての情報を取得し又は受信することが可能な装置でありうる。データプロバイダ201-1~201-nは、例えばカメラ/センサであり、例えば道路カメラ/センサでありうる。移動物についての情報は、時空間データを含む。時空間データは、例えば位置piで時刻tiに観測された移動物についてのレコードであり、移動物又はそれに関連付けられた属性に対する属性値を含む。例えば、上記カメラ/センサは、移動物についての情報、例えば車の場合、例えば車両の識別子、車両の色、車両ナンバー、車種、時刻tにおけるスピード車速、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は移動物が立ち寄った場所例えば施設を検出し又は求めうる。車両の識別子は、例えばVINVehicleIdentificationNumber又は車両ナンバーでありうる。VINは、例えばISO3779の場合、1先頭の3桁が車両製造会社識別コードWMIWorldManufacturerIdentifierであり、24桁目から7桁目が車種識別コードVDSVehicleDescriptorSectionであり、及び3末尾8桁が車両個々識別コードVISVehicleIdentifierSectionである。または、上記識別子は、車両のナンバープレート上の記号、文字、数字若しくはそれらの組み合わせ、又は車両上に記載された番号例えば、列車の各車両を特定する番号でありうる。また、カメラ/センサは、移動物についての画像又は動画を記録しうる。データプロバイダ201-1~201-nは、上記検出した情報を移動物に固有の識別子に関連付けて、レコードとして記録する。識別子は、当該移動物を特定するために使用されうる。また、識別子は、同一の移動物についての複数のレコードを特定するために使用されうる。レコードは、移動物に固有の識別子、時刻t、位置p、及びその他の属性値を有する一単位のデータである。その他の属性値は、移動物に固有の属性値だけでなく、位置p及び時刻tにおいて検出される属性値を含む。その他の属性値は、例えば移動物が車両の場合、例えば、車両の色、車両ナンバー、車種、時刻tにおけるスピード車速、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は移動物が立ち寄った場所例えば施設でありうる。データプロバイダ201-1~201-nが複数の移動物すなわち、異なる識別子を有するについての情報を検出した場合、データプロバイダ201-1~201-nは各移動物についてのレコードを生成し、当該生成されたレコードを複数のレコードにまとめてレコード集合体としうる図5を参照。また、データプロバイダ201-1~201-nは、移動物221-1~221-nから送信されるレコードを受信しうる端末でありうる。レコードは、上記に述べたレコードと同じ内容でありうる。レコードは、データプロバイダ201-1~201-nからのレコード送信要求に応じて、又は、自動的に例えば所定の時間間隔毎に、データプロバイダ201-1~201-nからデータアグリゲータ202に提供されうる。データプロバイダ201-1~201-nと移動物221-1~221-nとの間の通信は、例えば、車路間VehicletoRoadsideV2R及び車外間VehicletoInfrastructureV2Iを包含するV2Xvehicletoany通信システムに従い行われうる。データプロバイダ201-1は、例えば、一定時間中に一定の範囲時空間領域ともいうを移動中の移動物についての情報を検出し、又は、一定時間中に一定の範囲を移動中の移動物からレコードを受信しうる。また、データプロバイダ201-1がカバーする所定の範囲と、データプロバイダ201-1と異なるデータプロバイダ201-2がカバーする所定の範囲とは重複してもよい。データプロバイダ201-1~201-nは、有線又は無線ネットワークを介して、データアグリゲータコンピュータ202に接続されうる。本発明の実施態様において、少なくとも1つのデータプロバイダが使用されうる。データアグリゲータ202は、データプロバイダ201-1~201-nから、上記レコード又はレコードの集合体を受け取る。データプロバイダ201-1~201-nは、データプロバイダ201-1~201-nからのレコード送信要求に応じて、又は、自動的に例えば所定の時間間隔毎に、データアグリゲータ202に送信しうる。データアグリゲータ202は、データプロバイダ201-1~201-nからの上記レコード若しくはレコード集合体、又は複数のレコード集合体をさらにまとめた統合レコード集合体以下、本明細書においてレコード集合体という場合、レコード、レコード集合体、又は統合レコード集合体を包含するものとして理解されたい、特許請求の範囲においても同じであるを、データアグリゲータ202からアクセス可能なレコードレポジトリ211に格納しうる。データアグリゲータ202は、サービスプロバイダ203-1~203-nの少なくとも1つからのデータ検索要求に応じて、上記レポジトリから上記レコード集合体を取得する。引き続き、データアグリゲータ202は、上記レコード集合体中の同一の識別子に関連付けられた各属性値から、上記データ検索要求に対応する移動物に関連するトレースデータを求めうる。データアグリゲータ202は、データ検索要求に応じて開示するレコードに関連付けられている移動物において、一定範囲のL個Lは1以上の整数の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がk個kは2以上の整数以上存在するように、上記L個の領域ごとに、範囲wj及び/又は当該範囲wjの通過時間レンジを計算する。ここで、sは開始時間starttime、eは終了時間endtime、及びjは1,2,,Lの整数を示す。そして、データアグリゲータ202は、1又は複数のレコード集合体中の同一の識別子を有する移動物が上記計算された範囲wjを上記計算された通過時間レンジに移動していることに応じて、上記計算された求められたデータ又は当該データの一部を検索結果として、データ検索要求を送信したサービスプロバイダに返す。データアグリゲータ202は、上記求められたデータ又は当該データの一部を、ポリシーレポジトリ212から取り出したポリシーに従って、開示制限することが可能である。当該ポリシーは、検索結果を作成するために使用されるデータのデータオーナーによって作成されたポリシーでありうる。データオーナーは、移動物の所有者若しくは管理者、又は当該移動物の所有者若しくは管理者からデータの管理を委任された者若しくはシステムを包含する。また、データアグリゲータ202は、第1の移動物が上記計算された範囲wjにあり且つ上記計算された通過時間レンジにあり、且つ、第2の移動物が上記計算された範囲wjにあり且つ上記計算された通過時間レンジにある場合に、レコード集合体中の第1の移動物の識別子に関連付けられた少なくとも1つの属性値第1の属性値から計算される第1の値を、上記レコード集合体中の第2の移動物の識別子に関連付けられた少なくとも1つの属性値第2の属性値から計算される第2の値と入れ替えて、当該第2の値に入れ替えられた後に計算される集計値が当該第1の値から計算される集計値と完全一致になるように上記第1の属性値の取り方を制御することが可能である。なお、上記第2の属性値から計算される値は、上記第1の属性値から値を求める方法と同じ方法すなわち、同じ属性を用いて計算するによって計算される。データアグリゲータ202は、上記のようにして第1の属性値の取り方を制御し、上記第2の値に入れ替えられた後に計算される集計値が上記第1の値から計算される集計値と完全一致することに応じて、上記求められたデータ若しくは当該データの一部又は上記制御された属性値を検索結果として、データ検索要求を送信したサービスプロバイダに返す。データアグリゲータ202は、上記求められたデータ又は当該データの一部を、ポリシーレポジトリ212から取り出したポリシーに従って、開示制限することが可能である。当該ポリシーは、検索結果を作成するために使用されるデータのデータオーナーによって作成されたポリシーでありうる。データアグリゲータ202は、有線又は無線ネットワークを介して、サービスプロバイダ203-1~203-n、並びにレコードレポジトリ211及びポリシーレポジトリ212に接続されうる。データアグリゲータ202は、1つ又は複数のコンピュータからなっていてもよく、又は、サーバ、例えばエンタプライズサーバであってもよい。データアグリゲータ202は、データプロバイダ201-1~201-n又はサービスプロバイダ203-1~203-nとの関係において、サーバでありうる。データアグリゲータ202は、移動物についてのデータのデータオーナーから、当該データオーナーの移動物についてのデータの開示を制限するポリシーを受け取る。データアグリゲータ202は、ポリシーを、当該データアグリゲータ202からアクセス可能なポリシーレポジトリ212に格納する。また、データオーナーは、ユーザ端末204を介してポリシーの設定又は変更しうる。サービスプロバイダ203-1~203-nは、データアグリゲータ202に対して、データプロバイダ201-1~201-nからのデータすなわち、移動物についてのデータ、及び当該データから求められるデータである検索を要求しうる。サービスプロバイダ203-1~203-nは、データ検索の要求を例えばSQL規格に従い要求しうる。データ検索要求者リクエスターともいうは、サービスプロバイダ203-1~203-n上で、又はサービスプロバイダ203-1~203-nに接続されたユーザ端末204を通じて、データプロバイダ201-1~201-nからのデータ検索を要求しうる。データ検索要求者は、例えば、グラフィカルユーザインターフェスGUIを介して、要求するデータの条件又は条件式を入力しうる。ユーザ端末204は、データオーナーが、上記ポリシーを設定し又は変更するために使用されうる。また、ユーザ端末204は、データ検索要求者が移動物についてのデータを要求するために使用されうる。なお、データオーナーが使用するユーザ端末とデータ検索要求者が使用するユーザ端末が、同一である必要はない。ユーザ端末204は、有線又は無線ネットワークを介して、データアグリゲータ202に接続されうる。ユーザ端末204は、コンピュータ、パーソナルデジタルアシスタント、携帯電話、スマートフォン、及びゲーム機器を包含する。移動物221-1~221-nは、例えば車両であり、車両は、例えば業種で分類すると建設車両、農業車両、産業車両、鉄道車両、又は軍用車両を包含し、さらに、例えば日本の道路交通法上でいう自動車、原動機付き自転車、軽車両又はトローリバスを包含する。移動物221-1~221-nは、また、航空機でありうる。また、移動物221-1~221-nは、ヒト又はその他の動物でありうる。移動物221-1~221-nは、当該移動物を唯一に特定するための識別子を有する。識別子は、当該移動物を特定するために使用されうる。また、識別子は、同一の移動物についての複数のレコードを特定するために使用されうる。移動物が車両の場合、例えば、上記に述べたVIN、ナンバープレート上の記号、文字、数字又はそれらの組み合わせ、又は車両上に記載された番号でありうる。また、識別子は、移動物がヒト又はその他の動物である場合、ヒト又は動物に装着された電子機器例えば、時計、腕輪に固有の識別子でありうる。本発明は、種々の移動物に適用可能であり、また、種々の場面において移動物に関連するトレースデータの開示を制限するために使用されうる。例えば、運送、輸送若しくは駐車場における車両又はヒト移動物であるの管理、作業現場における車両又はヒト移動物であるの管理、ビルにおけるヒト移動物であるの管理において、必要なトレースデータを取得する際に、個人情報が保護されるように、本発明が適用されうる。図3は、図1に示すコンピュータハードウェアの機能を有し、本発明の実施態様において使用されうるデータアグリゲータ202の機能ブロック図を示す。データアグリゲータ202は、レコード/ポリシー受信部301、検索要求受信/検索結果送信部302、計算部303及び秘匿部304を備えている。レコード/ポリシー受信部301は、少なくとも1つのデータプロバイダ201-1~201-nから、レコード集合体を受け取り、当該受け取ったレコード集合体をレコードレポジトリ211に格納する。レコード/ポリシー受信部301は、異なるデータプロバイダから、異なるレコード集合体例えば、第1のレコード集合体及び第2のレコード集合体を受け取り、又は、同じデータプロバイダから、異なるレコード集合体例えば、第1のレコード集合体及び第2のレコード集合体を受け取ってもよい。また、レコード/ポリシー受信部301は、ユーザ端末204からポリシーを受け取り、当該受け取ったポリシーをポリシーレポジトリ212に格納する。ユーザ端末204は、移動物のデータオーナーに関連付けている。検索要求受信/検索結果送信部302は、サービスプロバイダ203-1~203-nの少なくとも1つから、移動物に関連するデータ検索要求を受信する。検索要求受信/検索結果送信部302は、当該受信したデータ検索要求を計算部303に渡す。また、検索要求受信/検索結果送信部302は、秘匿部304からの検索結果を、データ検索要求を送信したサービスプロバイダ203-1~203-nに送信する。計算部303は、検索要求受信/検索結果送信部302から、移動物に関連するデータ検索要求を受け取る。当該データ検索要求を受け取ることに応じて、計算部303は、当該データ検索要求を構文解析し、当該構文解析の結果に応じて、当該データ検索要求に必要とされうるレコード集合体をレコードレポジトリ211から取得する。計算部303は、例えば、第1のレコード集合体及び第2のレコード集合体中の同一の識別子に関連付けられた各属性値から、データ検索要求に対応する移動物に関連するトレースデータを計算する。計算部303は、データ検索要求に応じて開示するレコードに関連付けられている移動物において、一定範囲のL個Lは1以上の整数の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がk個kは2以上の整数以上存在するように、上記L個の領域ごとに、範囲wj及び/又は当該範囲wjの通過時間レンジを計算する。そして、計算部303は当該計算結果を秘匿部304に渡し、秘匿部304は、1又は複数のレコード集合体中の同一の識別子を有する移動物が上記計算された範囲wjを上記計算された通過時間レンジに移動していることに応じて、上記計算されたトレースデータ又は当該トレースデータの一部を、検索結果として検索要求受信/検索結果送信部302に渡す。本明細書において、秘匿部304の上記処理を秘匿化という。検索要求受信/検索結果送信部302は、データ検索要求を送信したサービスプロバイダコンピュータに、上記検索結果を返す。また、秘匿部304は、上記計算されたトレースデータ又は当該トレースデータの一部を、ポリシーレポジトリ212から取り出したポリシーに従って、開示制限することが可能である。当該ポリシーは、1又は複数のレコード集合体中の同一の識別子を有する移動物に関連付けられたポリシーでありうる。秘匿部304は、第1の移動物が上記計算された範囲wjにあり且つ上記計算された通過時間レンジにあり、及び、第2の移動物が上記計算された範囲wjにあり且つ上記計算された通過時間レンジにある場合に、1又は複数のレコード集合体中の上記第1の移動物の識別子に関連付けられた少なくとも1つの属性値第1の属性値から計算される第1の値を、上記1又は複数のレコード集合体中の上記第2の移動物の識別子に関連付けられた少なくとも1つの属性値第2の属性値から計算される第2の値と入れ替えて、当該第2の値に入れ替えられた後に計算される集計値が上記第1の値から計算される集計値と完全一致になるように上記第1の属性値の取り方を制御する。なお、上記第2の属性値から計算される値は、上記第1の属性値から値を求める方法と同じ方法によって計算される。そして、秘匿部304は、上記制御によって、上記第2の値に入れ替えられた後に計算される集計値が上記第1の値から計算される集計値と完全一致することに応じて、上記データ検索要求に対応する移動物に関連する上記計算されたトレースデータ若しくは当該トレースデータの一部又は上記制御された属性値を、検索結果として検索要求受信/検索結果送信部302に渡す。本明細書において、秘匿部304の上記処理もまた秘匿化という。検索要求受信/検索結果送信部302は、データ検索要求を送信したサービスプロバイダコンピュータに、上記検索結果を返す。また、秘匿部304は、上記1又は複数のレコード集合体中の上記同一の識別子に関連付けられたポリシーに従って、上記計算されたトレースデータ又は当該トレースデータの一部の開示を制限する。当該ポリシーは、1又は複数のレコード集合体中の同一の識別子を有する移動物に関連付けられたポリシーでありうる。図4は、本発明の実施態様において使用されうるデータプロバイダ201-1~201-3が、移動物421~423についての情報を収集してレコード集合体として記録し、又は、移動物から送信されるレコード集合体を受信して記録する態様を示す。データプロバイダ201-1は、時空間領域411及び412の移動物からの情報を受け取る。データプロバイダ201-2は、時空間領域413の移動物からの情報を受け取る。データプロバイダ201-3は、時空間領域414及び415の移動物からの情報を受け取る。時空間領域411、412、413、414及び415の領域はそれぞれ、例えば、東京、銀座、品川、新宿、及び池袋であるとする。また、時空間領域411の時間幅は9時~11時であり、時空間領域412の時間幅は11~13時であり、時空間領域413の時間幅は13~15時であり、時空間領域414の時間幅は15~17時であり、及び時空間領域415の時間幅は17~19時であるとする。移動物421を20代男性が運転しており、その識別子はXXXXであり、車両の色は赤色、車種は貨物車であるとする。移動物421は、東京、銀座、品川、新宿、及び池袋の地域を走行しているとする。移動物422を50代男性が運転しており、その識別子はYYYYYであり、車両の色は茶色、車種はトラックであるとする。移動物422は、東京、銀座、品川、新宿、及び池袋の地域を走行しているとする。移動物423を30代女性が運転しており、その識別子はZZZZZであり、車両の色は白色、車種はセダンであるとする。移動物423は、東京、銀座、品川、新宿、及び池袋の地域を走行しているとする。移動物421は、時刻t1において位置p1時空間領域411に属するを時速45km/時間で走行しているとする。移動物422は、時刻t2において位置p2時空間領域411に属するを時速55km/時間で走行しているとする。移動物423は、時刻t3において位置p3時空間領域411に属するを時速50km/時間で走行しているとする。データプロバイダ201-1は、移動物421から、識別子XXXXX、時刻t1、位置p1、車両の色赤色、車種貨物車、車速45km/時間及び20代男性というレコード1を受け取る。データプロバイダ201-1は、移動物422から、識別子YYYYY、時刻t2、位置p2、車両の色茶色、車種トラック、車速55km/時間、及び50代男性というレコード2を受け取る。データプロバイダ201-1は、移動物423から、識別子ZZZZZ、時刻t3、位置p3、車両の色白色、車種セダン、車速50km/時間及び30代女性というレコード3を受け取る。データプロバイダ201-1は、レコード1~3をレコード集合体1としてまとめる。レコード集合体1の例を図5に示す501。レコード集合体1501は、レコード1511、レコード512及びレコード3513を含む。データプロバイダ201-1は、レコード集合体1501をデータアグリゲータ202に送信する。なお、データプロバイダ201-1は、レコード集合体1の代わりにレコード1~3それぞれをデータアグリゲータ202に送信してもよい。レコード1~3それぞれがデータアグリゲータ202に送信された場合には、データアグリゲータ202がレコード1~3をレコード集合体1501としてまとめうる。データアグリゲータ202は、レコード集合体1501をレコードレポジトリ211に格納しうる。また、移動物421は、時刻t4において位置p4時空間領域412に属するを時速50km/時間で走行しているとする。また、移動物422は、時刻t5において位置p5時空間領域412に属するを時速55km/時間で走行しているとする。また、移動物423は、時刻t6において位置p6時空間領域412に属するを時速60km/時間で走行しているとする。データプロバイダ201-1は、移動物421から、識別子XXXXX、時刻t4、位置p4、車両の色赤色、車種貨物車、車速50km/時間及び20代男性というレコード4を受け取る。データプロバイダ201-1は、移動物422から、識別子YYYYY、時刻t5、位置p5、車両の色茶色、車種トラック、車速55km/時間及び50代男性というレコード5を受け取る。データプロバイダ201-1は、移動物423から、識別子ZZZZZ、時刻t6、位置p6、車両の色白色、車種セダン、車速60km/時間及び30代女性というレコード6を受け取る。データプロバイダ201-1は、レコード4~6をレコード集合体2としてまとめる。データプロバイダ201-1は、レコード集合体2をデータアグリゲータ202に送信する。なお、データプロバイダ201-1は、レコード集合体2の代わりにレコード4~6それぞれをデータアグリゲータ202に送信してもよい。レコード4~6それぞれがデータアグリゲータ202に送信された場合には、データアグリゲータ202がレコード4~6をレコード集合体2としてまとめうる。データアグリゲータ202は、レコード集合体2をレコードレポジトリ211に格納しうる。また、データプロバイダ201-1は、レコード集合体1とレコード集合体2それぞれに同じ識別子を有するレコードが存在していることから、レコード集合体1とレコード集合体2とをまとめて、統合レコード集合体Aとすることができる。統合レコード集合体Aの例を図5に示す502。統合レコード集合体A502では、識別子を第1キー、時刻tを第2キーとして各レコード521~526がソートされているが、ソートは必ずしも必要でない。移動物421、422及び423それぞれが時空間領域413を通過した場合の各レコード集合体は、データプロバイダ201-2からデータアグリゲータ202に送信される。同様に、移動物421、422及び423それぞれが時空間領域414及び時空間領域415を通過した場合の各レコード集合体も、データプロバイダ201-3からデータアグリゲータ202に送信される。データアグリゲータ202は、データ検索要求に応じて、識別子XXXXXについてのレコードをレコードレポジトリ211から取得しうる。データアグリゲータ202は、識別子XXXXXを含む識別子として含む複数のレコードを関連付ける。当該関連付けによって、データアグリゲータ202は、識別子XXXXXから特定される移動物421が、いつ、どこで、どのように移動したかについての情報に加えて、移動物421に関連付けられた個人情報、例えば、車両の色赤、車種貨物車、運転者の年代20代、及び性別男などを知ることができる。同様に、データアグリゲータ202は、データ検索要求に応じて、識別子YYYYYについてのレコードをレコードレポジトリ211から取得しうる。データアグリゲータ202は、識別子YYYYYを含む識別子として含む複数のレコードを関連付ける。当該関連付けによって、データアグリゲータ202は、識別子YYYYYから特定される移動物422が、いつ、どこで、どのように移動したかについての情報に加えて、移動物422に関連付けられた個人情報、例えば、車両の色茶、車種トラック、運転者の年代50代、及び性別男などを知ることができる。同様に、データアグリゲータ202は、データ検索要求に応じて、識別子ZZZZZについてのレコードをレコードレポジトリ211から取得しうる。データアグリゲータ202は、識別子ZZZZZを含む識別子として含む複数のレコードを関連付ける。当該関連付けによって、データアグリゲータ202は、識別子ZZZZZから特定される移動物423が、いつ、どこで、どのように移動したかについての情報に加えて、移動物423に関連付けられた個人情報、例えば、車両の色白、車種セダン、運転者の年代30代、及び性別女などを知ることができる。上記のようにして、データアグリゲータ202は、車両の色、車種、運転者の年代、及び性別などを知ることができる。上記に示した例の場合、車両の色、車種、運転手の年代、又は性別であることのいずれかのデータが開示されることによって、移動物421、移動物422及び移動物423のいずれのデータであるかが特定されてしまう。このことは個人情報の漏洩につながり、個人情報保護の観点から問題である。そこで、本願発明の実施態様に従うと、個人情報の保護を図るために、データアグリゲータ202は、以下の処理を行う。すなわち、データ検索要求に応じて開示するレコードに関連付けられている移動物において、一定範囲のL個Lは1以上の整数の領域を、一定時間以内に通過するという条件を満たす移動物がk個kは2以上の整数以上存在するように、L個の領域ごとに、範囲wj及び/又は当該範囲wjの通過時間レンジsjは通過時間の開始時間であり、ejは通過時間の終了時間であり、及びjは1,2,,Lの整数であるを計算する。図4の例では、5個の時空間領域411~415がある。そこで、時空間領域411~415ごとに、一定時間以内に通過するという条件を満たす移動物がk個kは2以上の整数以上存在するように、当該時空間領域の範囲wj及び/又は当該範囲wjの通過時間レンジを計算する。範囲wを広げることによって、広げた後の範囲wj内に入る移動物の数が増える以下の図6Aを参照。また、通過時間レンジを広げる又は前後にずらすことによって、広げた後の又はずらした後の時間レンジ内に入る移動物の数が増える以下の図6Bを参照。また、範囲wを広げ且つ通過時間レンジを広げる又は前後にずらすことによって、広げた後の範囲wj及び広げた後の又はずらした後の通過時間レンジ内に入る移動物の数が増える。図5は、本発明の実施態様において使用されうるレコード集合体の例を示す。レコード集合体501及び502は各レコードを含む。レコードは一単位のデータであり、各レコードは、移動物の識別子、及び当該識別子に関連付けられた各属性値を有する。各属性値は、時刻t及び位置pという時空間を決めるための属性値に加えて、時刻t及び位置pにおける移動物に関する各属性についての属性値を含む。図6Aは、本発明の実施態様において、範囲wを広げることによって、広げた後の範囲wj内に入る移動物の数が増えることを示す。範囲wを広げる前に、時空間領域411にある移動物は421、422及び423で示される3台である。一方、時空間領域411の範囲wを広げることによって611、wj、移動物は421、422及び423で示される3台に加えて、621、622及び623で示される3台を加えた合計6台になる。従って、当該範囲wj内に、移動物421に関連付けられた属性値、例えば車種貨物車を有する移動物が複数台存在421、621、622及び623することによって、移動物421が属性値貨物車が公開された場合であっても、当該公開された属性値貨物車から移動物421が特定されることがなくなる。言い換えれば、移動物421、621、622及び623は、同一の振る舞いと、同一の属性値貨物車を持つ車であるとして開示される。従って、移動物421の属性値貨物車が公開された場合であっても、移動物421のデータオーナーの個人情報の保護が図られる。図6Bは、本発明の実施態様において、通過時間レンジを広げる又は前後にずらすことによって、広げた後の又はずらした後の時間レンジ内に入る移動物の数が増えることを示す。通過時間レンジを広げる又は前後にずらす前に、時空間領域411にある移動物は421、422及び423で示される3台である。一方、通過時間レンジを広げる又は前後にずらすことによって612、移動物は421、422及び423で示される3台に加えて、631、632及び633で示される3台を加えた合計6台になる。従って、広げた後の又はずらした後の時間レンジ内に、移動物421に関連付けられた属性値、例えば車種貨物車を有する移動物が複数台存在421、631、632及び633することによって、移動物421が属性値貨物車公開された場合であっても、当該公開された属性値貨物車から移動物421が特定されることがなくなる。言い換えれば、移動物421、631、632及び633は、同一の振る舞いと、同一の属性値貨物車を持つ車であるとして開示される。従って、移動物421の属性値貨物車が公開された場合であっても、移動物421のデータオーナーの個人情報の保護が図られる。図7は、本発明の実施態様において使用されるレコードにおいて、各属性値を使用して集計値を求めるために、各属性値を数値に変換する態様を示す。各属性値を使用して求められる集計値は、集計値を開示してよいかどうかを判断するために使用される。具体的には、秘匿部304は、第1の移動物が上記計算された範囲wjにあり且つ上記計算された通過時間レンにあり、且つ、第2の移動物が上記計算された範囲wjにあり且つ上記計算された通過時間レンジにある場合に、レコード集合体中の第1の移動物の識別子に関連付けられた少なくとも1つの属性値第1の属性値から計算される第1の値を、上記レコード集合体中の第2の移動物の識別子に関連付けられた少なくとも1つの属性値第2の属性値から計算される第2の値と入れ替えて、当該第2の値に入れ替えられた後に計算される集計値が当該第1の値から計算される集計値と完全一致になるように上記第1の属性値の取り方を制御することが可能である。以下に、図7のレコード集合体701を例にして、上記第1の属性値の取り方を説明する。レコード集合体701は、図5のレコード集合体501のレコード511~513と同一のレコード721~723を含む。また、レコード集合体701は、レコード721~723に加えて、レコード724及び725を含む。なお、時刻t1~t5及び位置p1~p5は1つのデータプロバイダが検出する1つの時空間領域内例えば、図4の411にあるとする。データアグリゲータ202の計算部303は、属性値を所定のルールに従い数値化する。属性時刻の属性値は、例えば、シリアル値に変換されうる。属性位置の属性値は、例えばdegree度分秒表示に変換されうる。属性色の属性値は、例えば色コードに変換されうる。属性車速の属性値は、数値であるので変更されなくてもよく、又は、0~10km未満/時間を1、10~20km未満/時間を2、20~30km未満/時間を3、30~40km未満/時間を4、40~50km未満/時間を5、以降、同様のように数値化されてもよい。属性運転者は、例えば、年代数値と男数値1とする又は女数値0とするとの各数値が組み合わされた属性値に変換されうる。その結果のレコード集合体が図7の702に示されている。計算部303は、レコード集合体702のレコード731、732及び733について、属性1色、属性2車種、属性3車速及び属性4運転者の4つの各属性値から、所定の関数にこれら属性値を代入して集計値第1の集計値を計算するとする。一方、計算部303は、レコード731、732及び733のうち、レコード731の属性値をレコード732の属性値の全てと入れ替えたとする。すなわち、計算部303は、レコード732、732及び733について、属性1色、属性2車種、属性3車速及び属性4運転者の4つの各属性値から、上記所定の関数にこれら属性値を代入して集計値第2の集計値を計算する。そうすると、第1の集計値と第2の集計値とは一致しない。従って、レコード731の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することは、レコード731の識別子によって特定されるデータオーナーの個人情報を開示することにつながる。同様に、計算部303は、レコード731、732及び733のうち、レコード731の属性値をレコード733の属性値の全てと入れ替えたとする。すなわち、計算部303は、レコード733、732及び733について、属性1色、属性2車種、属性3車速及び属性4運転者の4つの各属性値から、上記所定の関数にこれら属性値を代入して集計値第3の集計値を計算する。そうすると、第1の集計値と第3の集計値とは一致しない。従って、レコード731の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することは、レコード731の識別子によって特定されるデータオーナーの個人情報を開示することにつながる。従って、レコード731~733しかない場合、レコード731の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することはできない。同様に、レコード732又はレコード733の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することはできない。そこで、本発明の1つの実施態様では、以下の処理を行う。計算部303は、例えば、レコード731、732、733及び734について、属性1色、属性2車種、属性3車速及び属性4運転者の4つの各属性値から、所定の関数にこれら属性値を代入して集計値第4の集計値を計算するとする。一方、計算部303は、レコード731、732、733及び734のうち、レコード731の属性1~4の属性値全てをレコード734の属性1~4の属性値と入れ替えたとする。すなわち、計算部303は、レコード734、732、733及び734について、属性1色、属性2車種、属性3車速及び属性4運転者の4つの各属性値から、上記所定の関数にこれら属性値を代入して集計値第5の集計値を計算する。そうすると、レコード731の属性1~属性4の各値は、レコード734の属性1~属性4の各値と同じであることから、レコード731の属性1~4の各属性値全てをレコード734の属性1~4の各属性値と入れ替えたとしても、第5の集計値は第4の集計値と完全に一致する。すなわち、レコード731の属性1~4の各属性値全てをレコード734の属性1~4の各属性値と入れ替えたとしても、集計値は影響されない。従って、レコード731の識別子によって特定される各属性値1~4、又は当該属性値1~4から求められるデータを公開したとしても、レコード731の識別子によって特定されるデータオーナーの個人情報を開示することにつながらない。計算部303は、上記のようにして、集計値として使用するレコードを集計値が同じになるように取捨選択することによって、公開可能なレコード及びその属性を決定することが可能である。次に、計算部303は、例えば、レコード731、732、733及び735について、属性1色、属性2車種、属性3車速及び属性4運転者の4つの各属性値から、所定の関数にこれら属性値を代入して集計値第6の集計値を計算するとする。一方、計算部303は、レコード731、732、733及び735のうち、レコード731の属性1~4の属性値全てをレコード735の属性1~4の属性値と入れ替えたとする。すなわち、計算部303は、レコード734、732、733及び735について、属性1色、属性2車種、属性3車速及び属性4運転者の4つの各属性値から、上記所定の関数にこれら属性値を代入して集計値第7の集計値を計算する。そうすると、レコード735の属性1の値ffffffは、レコード731の属性1の値ff0000と異なることから、レコード731の属性1~4の各属性値全てをレコード735の属性1~4の各属性値と入れ替えた場合には、第7の集計値は第6の集計値と完全に一致しない。すなわち、レコード731の属性1~4の各属性値全てをレコード735の属性1~4の各属性値と入れ替えた場合には、集計値が影響される。従って、レコード731の識別子によって特定される属性値例えば属性1を公開すると、レコード731の識別子によって特定されるデータオーナーの個人情報を開示することにつながらない。そこで、本発明の他の実施態様では、以下の処理を行う。計算部303は、レコード731、732、733及び735のうち、レコード731の属性1を除く属性2~4の属性値全てをレコード735の属性1を除く属性2~4の属性値と入れ替えたとする。すなわち、計算部303は、レコード735、732、733及び735について、属性1色を除く、属性2車種、属性3車速及び属性4運転者の3つの各属性値から、所定の関数にこれら属性値を代入して集計値第8の集計値を計算する。そうすると、レコード735の属性2~属性4の各値は、レコード731の属性2~属性4の各値と全て同じであることから、レコード731の属性2~4の各属性値全てをレコード735の属性2~4の各属性値と入れ替えたとしても、第8の集計値は第7の集計値と完全に一致する。すなわち、レコード731の属性2~4の各属性値全てをレコード735の属性2~4の各属性値と入れ替えたとしても、集計値は影響されない。従って、レコード731の識別子によって特定される各属性値2~4、又は当該属性値2~4から求められるデータを公開したとしても、レコード731の識別子によって特定されるデータオーナーの個人情報を開示することにつながらない。計算部303は、上記のようにして、集計値として使用する属性を集計値が同じになるように取捨選択することによって、公開可能なレコード及びその属性を決定することが可能である。図8は、本発明の実施態様において、データアグリゲータ202が、集計値に影響がないように属性の取り方を変更することを示す例を示す。移動物A~Dの各識別子に、属性1~4についての各属性値が関連付けられている801~804。属性1~4の各属性値は、便宜的に記号○、△及び□のいずれかで示されている。移動物Aの属性1~4の各属性値は○○○○であり、移動物Bの属性1~4の各属性値は○○△○であり、移動物Cの属性1~4の各属性値は○□△○であり、及び、移動物Dの属性1~4の各属性値は○□○○である。計算部303は、移動物A~Dそれぞれの4つの各属性値から、所定の関数にこれら属性値を代入して集計値第1の集計値を計算するとする801。次に、計算部303は、移動物Aの属性値全てを移動物Dの属性値と入れ替えたとする802。すなわち、計算部303は、移動物D、B、C及びDそれぞれの4つの各属性値から、上記所定の関数にこれら属性値を代入して集計値第2の集計値を計算するとする。移動物Dの属性2の属性値□と、移動物Aの属性2の属性値○は異なる。従って、第2の集計値は、第1の集計値と一致しない。従って、移動物Aによって特定される属性値又は当該属性値から求められるデータすなわち、トレースデータを公開することは、移動物Aの識別子によって特定されるデータオーナーの個人情報を開示することにつながる。そこで、本発明の1つの実施態様では、以下の処理を行う。計算部303は、移動物A~Dそれぞれの属性1~4のうち、属性2を除く属性1及び3~4の属性値を選択して、所定の関数にこれら選択した属性値を代入して集計値第3の集計値を計算するとする811。次に、移動物Aの属性2を除く属性1及び3~4の属性値全てを移動物Dの属性2を除く属性1及び3~4の属性値と入れ替えたとする812。すなわち、計算部303は、移動物D、B、C及びDそれぞれの3つの各属性値から、上記所定の関数にこれら属性値を代入して集計値第4の集計値を計算するとする。移動物Dの属性1及び属性3~4の各属性値は、移動物Aの属性1及び属性3~4の各属性値と同じである。従って、第4の集計値は、第3の集計値と完全に一致する。すなわち、移動物Aの属性1及び2~4の各属性値全てを移動物Dの属性1及び3~4の各属性値と入れ替えたとしても、集計値すなわち、第3の集計値及び第4の集計値は影響されない。従って、移動物Aの識別子によって特定される各属性値1及び3~4又は当該属性値1及び3~4から求められるデータすなわち、トレースデータを公開したとしても、移動物Aの識別子によって特定されるデータオーナーの個人情報を開示することにつながらない。上記のようにして、計算部303は、属性値の取り方を集計値が完全に一致するように制御することによって言い換えれば、集計のために利用する属性値を集計値が完全に一致するように選択することによって、公開可能なトレースデータを決定することが可能である。図9Aは、本発明の実施態様において、データアグリゲータ202が、集計値に影響がないことを確認して、トレースデータを開示するためのフローチャートを示す。ステップ901では、計算部303は、移動物例えば、A、B及びCの各識別子を含むレコードからの属性値から集計値AV1を求める。ステップ902では、計算部303は、移動物例えば、A、B及びCのうち、移動物Aの識別子を含むレコードの属性値を移動物B又はCの識別子を含むレコードの属性値全てと入れ替えて、ステップ901で集計値を求めた同じ方法例えば、所定の関数に従い集計値AV2を求める。ステップ903では、計算部303は、集計値AV1と集計値AV2とを比較し、集計値AV1と集計値AV2とが完全一致するかどうかを判断する。集計値AV1と集計値AV2とが完全一致する場合には、ステップ904に進み、一方、集計値AV1と集計値AV2とが完全一致しない場合には、ステップ902に戻る。ステップ904では、秘匿部304は、集計値AV1と集計値AV2とが完全一致することに応じて、移動物Aの属性値固有データでもあるの影響が集計値から求められないと判断する。一方、集計値AV1と集計値AV2とが完全一致しないことに応じて、秘匿部304は、ステップ902の処理に戻り、集計値AV1と集計値AV2とが完全一致するように、例えば、移動物の識別子を含むレコードからの属性値を変更したり、移動物Aの属性値を入れ替える移動物を他の移動物に変更して、属性値を変更したり、又は移動物を入れ替えたり若しくは増減することによって属性値を変更する。そして、処理は、再度ステップ903に戻り、計算部303は、集計値AV1と集計値AV2とを比較する。なお、属性値を変更することによって、開示可能なトレースデータが減少しうる場合がある。図9Bは、本発明の実施態様において、データアグリゲータ202が、集計値が完全に一致することに応じて、トレースデータを開示するための具体例1及び2を示す。具体例1は、移動物に関連するトレースデータの集計値として、60歳未満というデータを開示してよいかという条件160歳未満か否かに従って、開示してよいトレースデータを調べる例である。移動物の数についての閾値kは3であるとする。具体例2は、移動物に関連するトレースデータの集計値として、40歳未満というデータを開示してよいかという条件240歳未満か否かに従って、開示してよいトレースデータかを調べる例である。移動物の数についての閾値kは3であるとする。ステップ911において、計算部303は、3つの移動物A、B及びCの各識別子をそれぞれ含むレコードの属性値を使用して、トレースデータA、B及びCをそれぞれ求める。その結果、トレースデータAは、A:F1:50kmh,F2:45kmh,F3:30kmh,属性値:20代男、であり、トレースデータBは、B:F150kmh,F2:45kmh,F3:30kmh,属性値:30代女、であり、及びトレースデータCは、C:F150kmh,F2:45kmh,F3:30kmh,属性値:40代男、であるとする。トレースデータA、B及びCにおいて、3つの時空間領域F1、F2及びF3と、各時空間領域に関連付けられた属性平均速度の属性値F1:50kmh,F2:45kmh,F3:30kmhは全て一致するように選択されている。従って、トレースデータA、B及びCにおいて、時空間領域F1、F2及びF3と、各時空間領域に関連付けられた属性平均速度を見るだけでは、移動物A、B及びCは全く同じであり区別できない。従って、閾値kが3であるという匿名性は満たされている。しかしながら、トレースデータA、B及びCの各属性世代、年代を見ると、20代男、30代女性及び40代男であるので、当該属性世代、年代から、移動物A、B及びCは特定可能である。従って、当該属性世代、年代を開示してしまうと、移動物A、B及びCは特定されてしまう。従って、閾値kが3であるという匿名性は満たされていない。一方、属性世代、年代を直接ではなく、上記具体例1及び2に挙げたように、属性値の取り方を制御する集計処理をすることによって、トレースデータA、B及びCを開示できる可能性がある。以下に具体例1について、説明する。ステップ912において、計算部303は、トレースデータA、B及びCから集計値AVを計算する。ステップ912では、条件160歳未満か否かは満たされている。ステップ913において、計算部303は、トレースデータAの属性値20代男をトレースデータBの属性値30代女に置換する。ステップ914では、計算部303は、トレースデータB、B及びCの属性値から、ステップ912と同じ方法に従い集計値AV_1を計算する。ステップ914では、条件160歳未満か否かは満たされている。ステップ915において、計算部303は、トレースデータAの属性値20代男をトレースデータCの属性値40代男に置換する。ステップ916において、計算部303は、トレースデータC、B及びCの属性値から、ステップ912と同じ方法に従い集計値AV_2を計算する。ステップ916では、条件160歳未満か否かは満たされている。ステップ917において、計算部303は、集計値AV、AV_1及びAV_2を比較する。具体例1では、ステップ914及びステップ916でそれぞれ計算される集計値AV_1及びAV_2は、ステップ912で計算される集計値AVと一致する。従って、処理は、ステップ918に進む。ステップ918において、秘匿部304は、集計値AV、AV_1及びAV_2の全部が一致することから、トレースデータ及び制御された属性60歳未満を開示可能であると判断する。何故ならば、ステップ913において、トレースデータAの属性値20代男をトレースデータBの属性値30代女に置換しても、及び、トレースデータAの属性値20代男をトレースデータCの属性値40代男に置換しても、条件160歳未満か否かは満たされているからである。従って、60歳未満か否かという制御された属性を開示しても、移動物A、B及びCのうちから、移動物Aを区別するだけのデータは漏れないということが確認できる。従って、具体例1では、秘匿部304は、トレースデータ及び必要に応じて制御された属性値派生の属性情報の属性値は開示可能であると判断する。従って、開示可能なデータ秘匿化された検索結果は、F1:50kmh,F2:45kmh,F3:30kmh,60歳未満である。以下に具体例2について、説明する。ステップ912において、計算部303は、トレースデータA、B及びCから集計値AVを計算する。ステップ912では、条件240歳未満か否かは満たされている。ステップ913において、計算部303は、トレースデータAの属性値20代男をトレースデータBの属性値30代女に置換する。ステップ914では、計算部303は、トレースデータB、B及びCの属性値から、ステップ912と同じ方法に従い集計値AV_1を計算する。ステップ914では、条件240歳未満か否かは満たされている。ステップ915において、計算部303は、トレースデータAの属性値20代男をトレースデータCの属性値40代男に置換する。ステップ916において、計算部303は、トレースデータC、B及びCの属性値から、ステップ912と同じ方法に従い集計値AV_2を計算する。ステップ916では、条件240歳未満か否かは満たされていない。ステップ917において、計算部303は、集計値AV、AV_1及びAV_2を比較する。具体例2では、ステップ914で計算される集計値AV_1はステップ912で計算される集計値AVに一致する。しかし、ステップ916で計算される集計値AV_2はステップ912で計算される集計値AVに一致しない。従って、処理は、ステップ919に進む。ステップ919において、秘匿部304は、集計値AV、AV_1及びAV_2の間でずれが生じていることから、40歳未満か否かという制御された属性を開示可能であると判断する。何故ならば、ステップ913において、トレースデータAの属性値20代男をトレースデータBの属性値30代女に置換しても条件260歳未満か否かは満たされるが、一方、トレースデータAの属性値20代男をトレースデータCの属性値40代男に置換すると、条件260歳未満か否かは満たさないからである。従って、40歳未満か否かという結果を開示すると、移動物A、B及びCのうちから、移動物Cを区別するだけのデータが漏れてしまうということが確認できる。従って、具体例2では、秘匿部304は、トレースデータの一部は開示可能であるが、制御された属性値40歳未満は開示可能でない、と判断する。従って、開示可能なデータ秘匿化された検索結果は、F1:50kmh,F2:45kmh,F3:30kmhであり、制御された属性値40歳未満は開示されない。図10は、本発明の実施態様において、時空間領域をつなげて得られるトレースデータを秘匿化した後に得られる秘匿化後トレースデータとレコード中の属性との関係を示す図である。トレースデータとは、同一の識別子を有する複数のレコードを集めて、例えば古い時刻から新しい時刻へと時刻順にソートすることによって得られる、移動物の時刻変化による位置又は空間の推移を示すデータである。すなわち、本明細書において、トレースデータは、同一の識別子を有する移動物から得られるトレース情報である。トレースデータは、例えば、図4に示されているように、時空間領域411における移動物421のレコード1、時空間領域412における移動物421のレコード2、時空間領域413における移動物421のレコード3、時空間領域414における移動物421のレコード4、及び時空間領域415における移動物421のレコード5を集めて、時刻順にソートすることによって得られる。秘匿化後トレースデータは、上記トレースデータが秘匿部304によって秘匿された後に求められるトレースデータであり、公開対象となりうるトレースデータである。従って、秘匿化後トレースデータは、秘匿前のトレースデータの全部又は一部でありうる。秘匿化後トレースデータが秘匿前のトレースデータの全部である場合とは、全てのトレースデータを公開してよい場合である。一方、秘匿化後トレースデータが秘匿前のトレースデータの一部である場合とは、一部のトレースデータを公開してよい場合である。秘匿化トレースデータには、レコード1~5の中の各属性が関連付けられている。当該関連付けられている属性は、例えば、トレースデータ検索要求内に指示されうる。例えば、各時空間領域の平均速度である。計算部303は、データ検索要求に応じて、秘匿化後トレースデータについて情報開示を行うことが可能である。なお、秘匿化後トレースデータについての情報開示において、レコード自体が含まれるとは限らず、例えば、位置の遷移に関する情報が含まれうる。時空間上の領域の関数Fiiは1以上の整数は、図10の各時空間領域F1~F51001~1005を配列した関数である。時空間領域F1~F51001~1005それぞれは、上記レコード1~5に対応しているとする。時空間上の領域の関数Fの配列は、位置p及び時間tについて、Fp,t=trueである場合は領域内であり、Fp,t=falseである場合は領域外となるような関数である。関数Fは、直感的には、ある範囲にある時間帯にあるかという判断の結果を表す関数である。すなわち、位置p1を中心とした半径dの領域に時間t1~t2に存在する点は、数学的に表現すれば、下記式によって表されうる:pp1dand0。なお、関数Fをどのようにするかは、データ検索要求内において定義されうる。図10の時空間領域F1~F51001~1005において、各時空間領域の関数Fiiは1以上の整数に、各属性情報attr1,attr2,attr3,attr4,attr51021~1025が関連付けられる場合がある。各属性情報1021~1025は、同じものであっても、異なるものであってもよい。各属性情報が異なる場合とは、例えば、各時空間領域の平均速度である。この場合、属性情報1021~1025は、当該時空間領域中に位置及び時刻例えば、レコード中の位置及び時刻の情報が含まれるレコード中の属性情報、又は、当該レコードの属性情報から生成されうる属性情報すなわち、派生の属性情報でありうる。当該派生の属性情報は、例えば各時空間領域の平均速度であり、派生の属性情報各時空間領域の平均速度は、1つの時空間領域内に複数のレコードが含まれていて、平均速度が当該複数のレコードの属性情報速度の平均である場合である。各属性情報1021~1025の各領域における生成方法は、データ検索要求内において定義されうる。図11は、本発明の実施態様において、個人情報を保護するために使用されうるポリシー設定において使用されうるシステム環境図を示す。データオーナーが、ユーザ端末204を介して、上記ポリシーを設定し又は変更しうる。ポリシーの例を、図12に示す。ポリシーは、データアグリゲータ202からアクセス可能なポリシーレポジトリ212に格納される。ポリシーレポジトリ212は、図10において説明したトレースデータを利用するために必要となるポリシーも格納している。トレースデータの利用も、上記ポリシーに準拠する必要がある。ポリシーの具体例を以下に説明する。ポリシーは、各トレースデータの秘匿化の閾値を定義する。トレースは、F1F2FNで表されるN個の時空間領域の配列である。トレースデータは、N個の時空間領域を通過する、具体的なレコードの配列配列長Nである。トレースデータT1Tkは、k個存在しなくてはならず、当該kが上記秘匿化の閾値である。トレースF1F2FN及びそれに関連付けられている属性情報attr1attr2attrNは、1k個のトレースデータT1Tkがあって、2各トレースデータTiは、F1trueF2trueFNtrueとなるようなレコードの配列r1r2rNを含み、Aattrとなる、を満足する、という意味である。ここで、kは、各トレースデータのデータオーナーがポリシー内において定義した閾値の最大値でありうる。閾値の最大値でありうる理由は、以下の通りである。レコード毎にデータオーナーがいて、各データオーナーが各レコードについて異なるポリシーを定義している場合がある。従って、各レコードについて、異なる閾値kが定義されている場合がある。そのような場合には、異なる閾値kの中でも、最大値の閾値が閾値として用いられるのである。F1F2FN及びattrは、検索結果内に含まれる。トレースデータT1Tk及びレコードの配列r1r2rNは、秘匿化時に利用する内部変数である。トレースデータT1Tkは時空間領域の配列であるので、秘匿化時において、時空間領域の推移を捉えるために使用されうる。レコードの配列r1r2rNは、秘匿化時において、各時空間領域の属性情報を計算するために使用されうる。Aは、属性情報attr1attr2attrNの生成関数であり、データ検索要求内に含まれる。秘匿部304は、ポリシーにおいて使用されうるデータの開示回数又は開示先を含むデータを例えばポリシーレポジトリ212内に格納しうる。当該データは、当該データに関連付けられた移動物のポリシーに関連付けて格納されうる。図12は、本発明の実施態様において、トレースデータの開示を制御するために使用されうるポリシーの例を示す。ポリシー1201は、例えば、ポリシーを識別するための識別子例えば、移動物の識別子と同じであってもよい、移動物の識別子、移動物のデータの開示回数、及びその閾値、移動物のデータの開示先、移動物のデータの開示を拒否する属性、及び移動物のトレースデータの閾値を含みうる。ポリシーを使用してトレースデータの開示が制御されるために、ポリシーを設定したデータオーナーの意思に基づいて又は秘匿部304に設定されたデフォルトのポリシー設定に基づいて移動物に関連する個人情報を保護することが可能である。以下に、ポリシーを使用して、トレースデータがどのように秘匿化されるかを説明する。以下では、図5のレコード集合体1501を例にして説明する。レコード集合体1501は、一つのデータプロバイダ例えば201-1からデータアグリゲータ202に提供されるレコードの集合である。このようなレコード集合体が、1つ又は複数のデータプロバイダからデータアグリゲータ202に提供される。そうすると、データアグリゲータ202は、移動物の識別子XXXXXについて、下記に示すような、データを複数行もつことになる。XXXXX,t1,p1,赤,貨物車,45,20代男,※XXXXX,t11,p11,赤,貨物車,55,20代男,XXXXX,t12,p12,赤,貨物車,35,20代男,XXXXX,t13,p13,赤,貨物車,15,20代男,XXXXX,t14,p14,赤,貨物車,35,20代男,注:レコード511に対応するそこで、計算部303は、上記各レコードを、時間順でソートする。そうすると、上記例において、車速以外は固定属性であるので、下記のようにまとめられる。XXXXX-赤,貨物車,20代男,t1,p1,45F1t11,p11,55F1t12,p12,35F2t13,p13,15F2t14,p14,35F3ここで、F1、F2及びF3は、時空間領域を示す。上記結果が、トレースデータである。t1,p1とt11,p11とが近く、t12,p12とt13,p13とが近いとする。そして、結果として、秘匿化処理の結果、トレースデータが3つの時空間領域F1、F2及びF3を包含するとする。各時空間領域の属性情報を速度平均とすると、XXXXX-F1,50→F2,25→F3,35というのが、秘匿化したトレースデータであるなお、XXXXXは外部に明かさない。秘匿化が完了していることから、同じ属性を持つ移動物はk個あるはずである。ここで、ポリシーにおいてk=3であると設定されているとする。k=3である場合、XXXXX-F1,50→F2,25→F3,35YYYYY-F1,50→F2,25→F3,35ZZZZZ-F1,50→F2,25→F3,35という3つの移動物がある。しかし、秘匿化後の検索結果として返すのは、F1,50→F2,25→F3,35になる。図13は、本発明の実施態様において、データ検索要求において使用されうるシステム環境図を示す。データ検索要求者は、ユーザ端末204にデータ検索要を入力して、又は、サービスプロバイダ203-1~203-nにデータ検索要求を入力して、移動物についてのデータ検索をデータアグリゲータ202に対して要求しうる。以下に、トレースデータの検索要求について説明する。トレースデータの検索要求は、距離関数を含む。距離関数は、例えば、下記に示される3つのいずれかでありうる。1距離関数=位置のずれ時間帯=∞、位置範囲=最小;この式は、時間幅に拘らずに、細粒度の距離精度で通過したことのある移動物のトレースを取得するために使用される。2距離関数=時刻の差時間帯=最小、位置範囲=∞;この式は、範囲の大きさに拘らずに、細粒度の時間精度でその時間帯に移動物がいたことを知りたい場合に使用される。3距離関数=c1時間幅2c2位置のずれ2;この式は、c1及びc2を重み係数として、時間幅、距離を調整して時空間範囲を知りたい場合に使用される。また、トレースデータの検索要求は、各時空間領域に関連付けられている属性情報をトレースデータからどう作って関連付けるかの定義を含む。当該定義は、例えば派生の属性情報であり、例えば、その時空間領域を通過したときの速度の平均値である。図14は、本発明の実施態様において、Aポリシーを取得すること、Bレコード集合体を受信すること、及び、Cデータ検索要求を受信することに応じて、トレースデータを取得し、当該取得したトレースデータを処理匿名化して、その処理結果を検索結果として送信することの各フローチャートを示す図である。Aポリシーを取得することステップ1401において、データアグリゲータ202は、ポリシーを取得する処理を開始する。ステップ1402において、データアグリゲータ202は、データオーナーのユーザ端末204から送信されたポリシーを受信する。当該ポリシーは、新しく作成されたポリシー又は修正されたポリシーでありうる。ステップ1403において、データアグリゲータ202は、当該受信したポリシーを、ポリシーレポジトリ212に格納する。ステップ1404において、データアグリゲータ202は、ポリシーを取得する処理を終了する。Bレコード集合体を受信することステップ1411において、データアグリゲータ202のレコード/ポリシー受信部301は、レコード集合体を受信する処理を開始する。ステップ1412において、レコード/ポリシー受信部301は、少なくとも1つのデータプロバイダ201-1~201-nから、レコード集合体を受信する。ステップ1413において、レコード/ポリシー受信部301は、受信したレコード集合体をレコードレポジトリ211に格納する。なお、受信したレコード集合体は、まとめられて統合レコード集合体としてレコードレポジトリ211に格納されてもよい。ステップ1414では、レコード/ポリシー受信部301は、レコード集合体を受信する処理を終了する。Cデータ検索要求を受信して、検索結果を送信することステップ1421において、データアグリゲータ202は、トレースデータの検索処理を開始する。ステップ1422において、検索要求受信/検索結果送信部302は、データ検索要求者からのデータ検索要求を少なくとも1つのサービスプロバイダ203-1~203-nから受信する。検索要求受信/検索結果送信部302は、当該データ検索要求を計算部303に渡す。ステップ1423において、計算部303は、当該データ検索要求に従って、レコードレポジトリ211中のレコード集合体からデータを検索する。検索された結果が、トレースデータである。計算部303は、トレースデータを秘匿部304に渡す。ステップ1424において、ステップ1423からのトレースデータに対して、秘匿化を行う。秘匿部304は、例えば、秘匿部304が保持している又は秘匿部304に設定されている固有の閾値kを使用して、又は、ポリシーレポジトリ212からポリシーを取得し、当該ポリシー中の閾値kを使用して、トレースデータの秘匿化を行う。また、秘匿部304は、さらに上記ポリシー中の他の条件に従って、トレースデータの秘匿化を行いうる。ポリシーのポリシーレポジトリ212からの取得は、例えば、移動物の識別子を特定し、当該特定された識別子からデータオーナーを特定し、そして、当該特定されたデータオーナーから、当該データオーナーが提出したポリシーを特定することによって行われうる。具体的には、ポリシーの取得は、移動物が例えば車両である場合、VIN又はプレートナンバーを特定し、当該特定されたVINからデータオーナーを特定し、当該データオーナーが提出したポリシーを特定することによって行われうる。秘匿部304は、秘匿化を行った検索結果秘匿化後トレースデータであるを検索要求受信/検索結果送信部302に送信する。ステップ1425において、検索要求受信/検索結果送信部302は、秘匿化を行った上記検索結果を、データ検索要求を送信したサービスプロバイダに送信する。ステップ1426において、データアグリゲータ202は、トレースデータの検索処理を終了する。"