JP2007219636A - データ開示方法およびデータ開示装置 - Google Patents

Abstract

【課題】ユーザが登録した情報が、ユーザＩＤや名前と同じくらい個人を識別してしまう情報であっても、他の情報に置き換えることで、ユーザやプロバイダへ情報を提供することが可能となるデータ開示方法およびデータ開示装置を提供する。
【解決手段】サービスを利用するユーザ端末１、サービスを提供するプロバイダ端末２、ユーザの置かれている環境や行動パターンを検知するセンサ３、無線タグ４、ユーザの行動を記録するためのカメラ５がネットワーク６に接続されている。またネットワーク６に、ユーザの個人情報を格納管理し、プロバイダの要求に応じて個人情報を提供する個人情報管理運用サーバ１０を配置する。
個人情報管理運用サーバ１０は、開示する個人情報についてのエントロピーを用いる統計的な匿名性を計算し、十分な匿名性が確保できない場合には、個人情報の粒度を変更してプロバイダ情報を提供する。
【選択図】図１

Description

本発明は、プライバシー保護とプライバシー情報運用に関するものであり、ユーザＩＤや名前以外のプライバシー情報からその人物が誰かを推測されることを防止して匿名性を確保すると同時に、そのプライバシー情報をサービス提供するデータ開示方法およびデータ開示装置に関する。

プライバシー情報は、個人を表現する情報であり、“性別”のようなプライバシー情報の種別である属性と、“女性”のような属性の値である属性値で構成されるとする。プライバシー情報は、ＩＤや名前や住所や電話番号やメールアドレスのような個人特定に直接つながるキー情報と、嗜好や行動履歴などの私事性情報に大別される。ここでいうプライバシー保護とは、匿名性を確保することであり、このキー情報と私事性情報が結びつかないようにすることを意味する。

本発明では、サービスを利用する人をユーザ、サービスを提供する人をプロバイダと呼ぶ。図１に前提とするシステムの構成図を示す。サービスを利用するユーザ端末１、サービスを提供するプロバイダ端末２、ユーザの置かれている環境や行動パターンを検知するセンサ３、無線タグ４、ユーザの行動を記録するためのカメラ５がネットワーク６に接続されている。プロバイダが個々のユーザの嗜好や置かれている状況にあったユーザ指向型のサービスを提供するためには、ユーザのプライバシー情報が必要不可欠となる。

そこでネットワーク６に、ユーザの個人情報を格納管理し、プロバイダ端末２の要求に応じて匿名性を確保しつつプライバシー情報を提供する個人情報管理運用サーバ１０を配置させている。匿名性の確保とは、キー情報と私事性情報が結びつかないことである。

プロバイダ端末２、個人情報管理運用サーバ１０、ユーザ端末１の間においてなされる情報の開示の動作を簡単に述べる。
情報を一般ユーザへ提供するプロバイダ端末２は、個人情報管理運用サーバ１０へ情報開示の要求をし、個人情報管理運用サーバ１０はプロバイダ端末２へ要求された情報を開示する。プロバイダ端末２は個人情報管理運用サーバ１０からの情報を、一般ユーザへ提供する。一般のユーザは、ユーザが有するユーザ端末１を用いて、プロバイダ端末２へアクセスすることにより、プロバイダ端末２より情報の提供を受ける。
以上のようにして、個人情報管理運用サーバ１０の情報が開示される。

ここで個人情報管理運用サーバ１０において用いられる、匿名性を確保するための従来技術は、キー情報を完全に秘匿し、私事性情報のみを開示する手法が主流であった（例：アンケート）。しかし、キー情報を隠蔽したとしても、開示した私事性情報からキー情報を推測されてしまう場合がある。例えば、あるユーザ集合において、５：００ＰＭに居室にいた女性研究者（性別：女性 かつ 職業：研究者 かつ 場所：居室 かつ 時間：５：００ＰＭ）が１人しかいない場合、女性研究者の名前やＩＤのキー情報をいくら隠蔽しても、“女性研究者“という私事性情報を開示すれば、（５：００ＰＭに居室に居た人）が誰かが容易に推測されてしまう。このため、私事情報開示の際は、どの属性を開示すると、集団の中で個人特定されやすくなるかについて、匿名性損失具合を把握しながら開示することが求められる。

あるユーザに対して、私事性情報のどの属性を開示するとどの程度匿名性が喪失するかを評価する方法として、情報エントロピーを用いて統計的に評価する方法がある。（非特許文献１、非特許文献２または特許文献１参照）。

本方法は、匿名にしたいユーザ（ユーザは、１人でなくともよく、“女性研究者”といった複数ユーザの集合でもよい）の属性、属性値を基準に、例えば属性：性別、属性値：女性を開示すると、もともとあるユーザ集合がどのように分類され、匿名にしたいユーザがどの程度絞り込まれたかという量を計算する方法である。

本方法は、ユーザがあらかじめ登録したプライバシー情報、およびその組み合わせを元に匿名性の喪失の程度を定量的に計算する。よって、ユーザがＤＢに登録した属性と属性値そのもの（例えば、「時間：５：００ＰＭ」）、あるいはそれらを組み合わせること（例えば、「性別：女性」かつ「職業：研究者」かつ「居場所：居室」など）が、名前やＩＤと同じくらいその集団の中で個人を識別しやすい情報であった場合、匿名性確保の観点からはその属性情報を開示することができない。このため、プロバイダはその情報を利用したサービスをユーザに提供することができないため、ビジネスチャンスを狭めてしまうことになる。逆にユーザも、情報の登録の仕方によって、利用できないサービスがでてくる。
Ｔ．Ｍ．Ｍｉｔｃｈｅｌｌ、"Ｍａｃｈｉｎｅ Ｌｅｒｎｉｎｇ、"ＷＣＢ ＭｃＧｒａｗ−Ｈｉｌｌ、１９９７． 今田美幸、山口、太田、高杉、小柳、"ユビキタスネットワーキング環境におけるプライバシー保護手法ＬｏｏＭ"電子情報通信学会論文誌、Ｖｏｌ．Ｊ８８Ｂ、Ｎｏ．３、ｐｐ．５６３−５７３、２００５．３． 特願２００４−０４２８２９号公報

本発明は、このような事情に鑑みてなされたもので、その目的は、ユーザが登録した情報が、ユーザＩＤや名前と同じくらい個人を識別してしまう情報であっても、他の情報に置き換えることで、ユーザやプロバイダへ情報を提供することが可能となるデータ開示方法およびデータ開示装置を提供することにある。

この発明は上述した課題を解決するためになされたもので、請求項１に記載の発明は、プライバシー情報を含むデータを管理するデータ開示装置におけるデータ開示方法において、前記データ管理装置は、１つ以上の属性から構成されるデータを１つ以上保持し、前記データの特定の属性を開示する場合の匿名性を計算し、前記計算した匿名性が所望する匿名性を有しない場合には、前記特定の属性のデータの粒度を変更し、所望の閾値以上の匿名性を有するようにして前記属性のデータを開示する、ことを特徴とするデータ開示方法。

請求項２に記載の発明は、請求項１記載のデータ開示方法において、データ開示先毎に異なる閾値を保持し、データ開示先毎に、前記保持した閾値に基づく粒度でデータを開示すること、を特徴とするデータ開示方法。

請求項３に記載の発明は、請求項１または請求項２に記載のデータ開示方法において、前記保持しているデータの個数が所定の数だけ変化した場合に、所望の閾値以上の秘匿パラメータが得られる属性の粒度を再変更し、既に開示しているデータの中で、前記粒度の再変更により、細かい粒度で属性を開示できる場合には、前記再変更後の粒度でデータを開示する、ことを特徴とするデータ開示方法。

請求項４に記載の発明は、プライバシー情報を含むデータを管理するデータ開示装置において、１つ以上の属性から構成されるデータを１つ以上保持する保持手段と、前記データの特定の属性を開示する場合の匿名性を計算する匿名性計算手段と、前記計算した匿名性が所望する匿名性を有しない場合には、前記特定の属性のデータの粒度を変更し、所望の閾値以上の匿名性を有するようにして前記属性のデータを開示する粒度変更開示手段と、を有することを特徴とするデータ開示装置。

請求項５に記載の発明は、請求項４記載のデータ開示装置において、データ開示先毎に異なる閾値を保持するデータ開示先閾値保持手段と、データ開示先毎に、前記保持した閾値に基づく粒度でデータを開示するデータ開示手段と、を有することを特徴とするデータ開示装置。

請求項６に記載の発明は、請求項４または請求項５に記載のデータ開示装置において、前記保持しているデータの個数が所定の数だけ変化を検出するデータ個数検出手段と、前記データ個数検出手段が、データの個数が所定の数だけ変化を検出した場合に、所望の閾値以上の秘匿パラメータが得られる属性の粒度を再変更する粒度再変更手段と、既に開示しているデータの中で、前記粒度の再変更により、細かい粒度で属性を開示できるかを判定する粒度開示判定手段と、前記粒度開示判定手段が、細かい粒度で属性を開示できると判定した場合には、前記再変更後の粒度でデータを開示する粒度再変更後開示手段と、を有することを特徴とするデータ開示装置。

請求項１または４の発明によれば、個人情報を保持し、プロバイダへ個人情報を開示する個人情報管理運用サーバにおいて、個人情報の属性値の記述粒度が細かすぎるために、匿名性確保が困難であり、開示できなかった属性と属性値について、その属性値の記述粒度を粗くすることにより、匿名性確保の観点から開示できなかった属性値を開示することができるという効果を奏する。
また、プロバイダへ開示される個人情報が増え、その情報を利用するプロバイダや、プロバイダを見る一般ユーザも、多くの情報を得ることが可能となる。

また、請求項２または５の発明によれば、個人情報を提供するプロバイダ毎に、属性値の記述粒度を変えて提供することが可能となる。これにより、登録された個人情報がプロバイダに応じた匿名性を確保しつつ開示されることが可能となる。

また、請求項３または６の発明によれば、登録される個人情報の増大により、開示できる情報が変化した場合、プロバイダに開示が変化したことを通知することにより、プロバイダおよび一般ユーザが、最新の個人情報を得ることが可能となる。

まず、発明のポイントについて簡単に説明を行う。本発明では、上記した従来の問題点を解決するために、サービスを受けるのに必要な属性の属性値の記述粒度を、単語の上位（粗い）／下位（詳細）関係を分類したシソーラスを使って変更する属性値記述粒度変更手段と匿名性の喪失具合を計算する匿名性計算手段を用い、ユーザが登録した属性値の記述粒度が細かいために匿名性確保ができず、ブロバイダの提供するサービスを受けることができない場合は、あらかじめシステムで定めた匿名性を確保できる範囲で、登録した属性、属性値の記述粒度をあげていく。

前記のように行うことにより、属性値の記述粒度が細かすぎるために、匿名性確保が困難であった属性、属性値において、属性値の記述粒度を粗くすることで、その属性値に該当するユーザの数を増やすことができ（ユーザ集合の分類をラフにできる）、属性を開示したとしても、システムで定めた匿名性を確保できるようになり、サービスを受けることができるようになる。

第一の実施の形態においては、ユーザが目撃した事件や事故の情報を公開するサービスを例に述べる。図２に、本発明の第一の実施の形態による個人情報管理運用サーバ１０の構成を示す。個人情報管理運用サーバ１０には、ユーザの個人情報を格納するデータベース（ＤＢ）２１、ユーザ端末１やセンサ３や無線タグ４などから採取した個人情報をＤＢ２１へ書き込みまた削除を行うＤＢ管理手段２２、私事性情報の開示により失われる匿名性を定量的に計算する匿名性計算手段２３、あらかじめシステム管理者が定める匿名性閾値により開示の可否を決定する匿名性閾値管理手段２４、プロバイダ端末２がこの事件事故情報開示サービスの中で開示したい属性を登録するプロバイダ開示要求属性管理手段２５、属性、属性値の記述粒度を粗くする記述粒度変更手段２６、記述粒度をどのように粗く変更するかの方法を記載した粒度変更ＤＢ２７からなる。

ユーザは、自身が目撃した事件や事故の情報についてＤＢ２１に登録する。この目撃情報は、登録したユーザが実際に見た情報のみ記録するものとする。ユーザが目撃した情報は、その場にユーザが居たという情報でもあるので、ユーザのプライバシー情報でもある。よって、情報を公開する際は、登録したユーザが誰であるかを匿名にする必要がある。

その一方で、事件や事故に関する情報を共有し、犯罪防止に役立てなければならず、プロバイダとしてはできれば多くの情報を公開したい。しかし、もし、公開した目撃場所や時間に、登録したユーザが一人しかいなかった場合、誰がこの情報を登録したかが特定されてしまう危険性がある。

そこで、目撃情報を公開する前に、公開することによって登録したユーザの匿名性がどの程度失われるかについて統計的に計算し、あらかじめ定めた匿名性を確保できればその情報を開示するという方法を用いる（非特許文献２参照）。この方法は、同じ属性値ならば、それが誰かを識別することが困難だが、属性値が異なると、それが誰かを識別することが可能となり、匿名性が確保できなくなるという考えに基づいている。

図２のＤＢ２１に登録されている一例としてのテーブルＴ１では、“目撃時間“を開示しなければ、”通報者ＩＤ“が「１２」と「３４」の人の区別ができない。よって、もし、目撃時間の情報を開示するのであれば、どのような粒度で開示すれば、匿名性を確保できるかを、粒度が細かいところから粗いところまで匿名性の確保の程度を見ながら変更し、匿名性を確保できる粒度で目撃時間の情報を開示する。

次に、第一の実施の形態で行われるデータ開示方法の動作を示す。まず、事件や事故を目撃したユーザは、その情報を他のユーザと共有するために、ＤＢ管理手段２２を介してＤＢ２１に登録する。登録する属性は、事件事故種別、目撃時刻、目撃した日、場所、通報したユーザのＩＤ（通報者ＩＤ）とする。まず、通報者ＩＤ＝１２の人が通報した情報について、どこまで属性および属性値を開示したら通報者ＩＤ＝１２が特定されやすくなるかについて、匿名性計算手段２３で計算し、匿名性閾値管理手段２４にあらかじめ登録してある閾値より高い値ならばシステムで定めた匿名性が確保できていると見なす。

匿名性計算手段２４における計算方法は、情報エントロピー（非特許文献１を参照）や情報エントロピーをベースにした値（非特許文献２や特許文献１を参照）などを用いる。

ここで、簡単に情報エントロピーや情報エントロピーをベースにした値を用いた匿名性を定量的に計算する方法について説明する。
情報エントロピーとは、決定木学習の分類アルゴリズムにおいて、どの属性から分類すると、目的とする情報を効率よく分類できるかを計算する際に利用する値である。情報エントロピーは、属性値の分布が均一、例えば、性別という属性の場合、属性値の男性と女性が同じ人数である場合、最も不確定性が高くなり、情報エントロピー値も高い。
例えば図６に、男性と女性のように属性値が２値しかとらない場合の情報エントロピーの計算方法と、その変化のグラフを示す。男性と女性の比率（確率）をそれぞれＰ_＋とＰ₋とすると、情報エントロピーＨ_０は式１により計算される。またＰ_＋＋Ｐ₋＝１より、男性の確率Ｐ_＋をＰ、女性の確率Ｐ₋を１−Ｐとして、男性の確率Ｐに対する情報エントロピーＨ_０のグラフを描くと、図６のグラフのようになる。
図６のグラフから、男性と女性が同じ割合である場合（Ｐ＝０．５の場合）が、情報エントロピーＨ_０が最大となる。本実施の形態においては、このような状態の時を最も匿名性が高いという。
逆に、男性しかいない、または女性しかいない場合、”性別”という情報を与えたとしても、はじめから男性または女性を特定することは可能なので、確率Ｐ＝０または１となるため、エントロピーＨ_０＝０となり、不確定度はない。つまり、性別は明確であるということになる。このとき、匿名性はないという。
また、上記においては、属性値が男性か女性かという２値の値を取る場合のみを説明したが、属性値が複数の値をとる場合には、図６の式２により情報エントロピーＨ_０は計算される。

情報エントロピーＨ_０とは上記のようなものであるが、匿名性を判定できるようにするために、情報エントロピー値をデータベースの規模や属性値分布に非依存な値に改良し、定量的にするために、エントロピー値を正規化したＤ_Ｆを用いる。これが先の情報エントロピーをベースにした値である。
匿名性としてエントロピー値を正規化したＤ_Ｆを用いることにより、その値が０．０から１．０の値となる。また、閾値を予め０．５と設定することにより、それ以上の匿名性があるかどうかの判定が容易に可能となる。
またエントロピー値を正規化したＤ_Ｆを用いることにより、その値が０．０から１．０の値となり、Ｄ_Ｆは匿名性を表すパラメータとして用いることも可能である。

また図７と図８を用いて、複数の属性を組み合わせた場合の、正規化したエントロピー値Ｄ_Ｆについて説明する。図７のテーブルには、属性１から６が登録されている。ここで秘匿したいターゲット属性は属性６「ユーザＩＤ」である、とする。
あるユーザＡｌｉｃｅを秘匿する場合を例に、Ｄ_Ｆの計算方法を示す。ＡｌｉｃｅのユーザＩＤは、Ａｌｉｃｅ１１とする。
Ｈ_０は、Ａｌｉｃｅ１１であれば正事例、Ａｌｉｃｅ１１でなければ負事例として、式１により計算を行う。
ここでは、開示対象の属性Ｆを属性１「性別」と属性４「空腹」とした場合に得られるエントロピーＨ_Ｆを考える。Ｆは、性別と空腹なので、属性値の集合は、｛女∧ｙｅｓ、女∧ｎｏ、男∧ｙｅｓ、男∧ｎｏ｝となる。ここで、Ａｌｉｃｅ１１と同じ属性値を正事例、異なる属性値を負事例とすると、式３は、Ｈ_Ｆ＝−１／６ｌｏｇ２（１／６）−５／６ｌｏｇ２（５／６）となる。
正規化したエントロピー値Ｄ_Ｆは、具体的には、図８に示すように、全体のターゲット属性（Ａｌｉｃｅ１１か否か）に対するエントロピーＨ_０と、ある属性（例えば、属性１と属性４）を開示した場合のターゲット属性のエントロピーＨ_Ｆ（この場合、Ｈ_１４）の比で表し、図８の式４に示すようにＤ_Ｆ＝Ｈ_Ｆ／Ｈ_０（この場合、Ｄ_１４＝Ｈ_１４／Ｈ_０）となる。

属性を開示できるか否かの判断は、匿名性計算手段２３と匿名性閾値管理手段２４を用いて行う。匿名性計算手段２３は、該属性に対して上記のＤ_Ｆの計算を行う。次に、計算結果を匿名性閾値管理手段２４で管理している閾値と照合し、計算結果が閾値以上であれば、該属性は開示可能と判断し、閾値以下なら開示不可能と判断する。
本実施形態では、ユーザが目撃した事件や事故の情報を公開するサービスを例にしている。ユーザが通報した情報は、図２のＴ１であったとする。Ｔ１において、開示可能な属性は、”事件事故種別”、”目撃した日”、”場所”であり、開示不可能な属性は、”目撃時刻”であったとする。もし、時刻を開示すると、目撃時刻３：００ＰＭの通報者が通報者ＩＤ＝１２は１人だけになってしまう。このため、通報者ＩＤ＝１２のユーザの匿名性を保障できない。

目撃時刻を開示するためには、通報者ＩＤ＝１２のユーザが一意に特定されない粒度に属性値の記述を変更すればよい。例えば、図３のテーブルＴ３に示すように目撃した時間ではなく、目撃した時間帯に変更する。第一の実施の形態においては、３時間毎の時間帯にすると、目撃時間帯が３：０１ＰＭ〜６：００ＰＭの中に通報者ＩＤ＝１２のユーザが、通報者ＩＤ＝３４のユーザと共に入ることになるので、目撃時間帯を３：０１ＰＭ〜６：００ＰＭとして開示したとしても、通報者ＩＤ＝１２のユーザを一意に特定されることはなくなる。

上記のように元の属性値では記述粒度が細か過ぎるためにシステムであらかじめ定めた属性値を開示できないが、プロバイダ開示要求属性管理手段２５により当該属性に関する情報をプロバイダ端末２から開示するよう求められている場合、記述粒度変更手段２６を用いて、属性と属性値の記述粒度を変更して、記述粒度を変更した属性と属性値を開示する。

粒度の変更方法は、あらかじめサーバ管理者により粒度変更ＤＢ２７へ登録してある変更ルールに基づいて、粒度を粗くしていく。登録される変更ルールは、アプリケーション毎に既存のシソーラス用いるか、シソーラスを参照して決める。
粒度変更ＤＢ２７には、時間や場所などの属性分類毎に記述粒度の粗さをレベル分けし、記述粒度の細かなレベル（ここでは、レベル１）から粗いレベル（ここではレベル２）がある（図２のテーブルＴ２）。記述粒度変更手段２６は、この粒度へ粒度変更ＤＢ２７に登録されている情報を参考に、記述粒度のレベルが低い方から高い方へと、ＤＢ２１に登録されている情報を変更する。この際、どのレベルの粒度で属性情報を開示するかは、匿名性計算手段２３で匿名性を計算し、閾値と照合することで開示の可否を判断する。

記述粒度変更手段２６は、まず、粗さレベル１に基づいて、目撃時刻を変更する。変更した結果が、図３のＤＢ２１の内容であるテーブルＴ３の目撃時間帯である。変更後は、通報者ＩＤ＝１２の匿名性が確保できたかを匿名性計算手段２３で計算する。計算結果が、匿名性閾値管理手段２４で管理している閾値より大きければ、粗さレベル１の記述粒度で通報者ＩＤ＝１２の匿名性を確保できるとみなし、開示する属性値は、粗さレベル１の「目撃時間帯」として、プロバイダ端末２に開示する。

計算結果が、閾値以下ならば、粗さレベルを２にして、同様の計算を行う。計算結果が、匿名性閾値管理手段２４で管理している閾値より大きければ、粗さレベル２の記述粒度で通報者ＩＤ＝１２の匿名性を確保できるとみなし、開示する属性値は、粗さレベル２の「ＡＭ／ＰＭ目撃」として、プロバイダ端末２に開示する。

粒度変更ＤＢ２７に格納してある粗さレベルの全てを試しても、閾値以下になる場合、プロバイダ開示要求属性管理手段２５を介して、プロバイダ端末２に開示できない旨を通知する。

以上のように、粒度を変更して情報を開示することにより、匿名性の確保が出来るため、事件事故を目撃した通報者は、その情報を開示することで通報者の匿名性の確保ができるか否かを気にすることなく、目撃情報を登録でき、同時に、プロバイダの要求にあった属性も開示できるという効果を生じる。

次に、第二の実施の形態においては、第一の実施の形態の匿名性閾値管理手段２４において、開示した情報の機密保持具合と、開示する相手によって匿名性閾値を変更する。

例えば、図４のように、警察に開示する際は閾値を０．０、ＰＴＡや自治体といったある程度社会的に信用の置かれておる機関に対しては閾値を０．５、一般のプロバイダに開示する時は閾値を０．８などといった具合に設定しておく。
これに基づいて、記述粒度変更手段２６により、属性の記述粒度を閾値０．０、０．５および０．８のそれぞれにあうように変更し、閾値毎にもっとも多くの情報を開示する。
このようにすることで、それぞれの開示先に応じて異なる匿名性による情報開示が可能になる。

一例としての第二の実施の形態の運用方法としては、例えば、個人情報管理サーバ１０には、警察、ＰＴＡまたは自治体などのプロバイダ端末２毎のＩＤとパスワードが予め登録してあり、ＩＤとパスワードにより警察、ＰＴＡまたは自治体が識別されるものとする。また、プロバイダ端末２が、警察の場合は閾値を０．０、ＰＴＡや自治体の場合には閾値を０．５、また一般のプロバイダの場合には閾値を０．８として予め保存してあるとする。
次に、個人情報管理サーバ１０が、プロバイダ端末２から個人情報の開示の要求を受け付ける時に、同時に、プロバイダ端末２からＩＤとパスワードを受信するとする。
個人情報管理サーバ１０は、受信したＩＤとパスワードにより、プロバイダ端末２が、警察、ＰＴＡまたは自治体のどのプロバイダ端末２であるのかを識別する。また、ＩＤとパスワードが無い場合には、一般のプロバイダ端末２であると識別する。
以上のように識別したプロバイダ端末２に応じて、予め保存されていた閾値を選択し、選択された閾値により、情報の開示を行う。
このようにして、開示先に応じて異なる匿名性による情報の開示が可能になる。

第三の実施の形態においては、図２の第一の実施の形態における個人情報運用管理サーバ１０に、ＤＢ２１の属性値分布や規模が、あらかじめ定めた値より大きく変更したことを検出するＤＢ変更検出手段５１を追加する（図５参照）。

ＤＢ変更検出手段５１は、ＤＢ管理手段２２を経由して、ＤＢ２１へ追加またはＤＢ２１から削除されるユーザの人数が、あらかじめ定めた値より大きく変動した場合、匿名性計算手段２３を用いて、既に開示しているプライバシー情報の開示粒度が適当であるかを再計算する。

計算の結果、匿名性閾値管理手段２４で定めた閾値より大きい場合、粒度変更ＤＢ２７を用いて、記述粒度を細かくして開示する。逆に、閾値より小さい場合は、第一の実施の形態や第二の実施の形態と同様に、記述粒度を粗くして開示する。

このようにすることで、ＤＢ２１の変化に追従しながら記述粒度を変更することが可能となる。例えば、個人情報運用管理サーバ１０を事件事故開示サービスに適用した場合、事件や事故の直後には登録されている目撃情報が少ない。そのため、匿名性を確保するためには、事件事故の目撃情報を粗い粒度で開示する必要がある。その後、事件や事故を見た他の目撃者が同様の追加情報を登録することにより、ＤＢ２１の規模が大きくなる。そのため、細い粒度の情報でも匿名性を確保しながら開示できるようになる。
この結果、事件事故開示サービスを受ける人は、事件事故からの目撃情報の登録情報の増加に従い、詳細な情報を得ることができる。また、目撃情報を登録した人の匿名性も、登録された情報の規模に依存せず確保されている。

一例としての第三の実施の形態の運用方法として、個人情報運用管理運用サーバ１０に、予め開示情報が変化した場合に、開示情報を通知すべきプロバイダ端末２が登録されており、開示情報が変化した場合には、登録されているプロバイダ端末２へ開示情報が変化したことを通知するようにする。
通知を受けたプロバイダ端末２は、通知より、個人情報運用管理運用サーバ１０へ再度情報の開示要求を行い、個人情報運用管理運用サーバ１０より更新された開示情報を受け取り、受け取った開示情報によりプロバイダ端末２の情報を更新する。
一般のユーザはユーザ端末１より、プロバイダ端末２へアクセスすることにより、最新の情報を得ることが可能となる。

第一から第三の実施の形態を用いて本発明の説明を行ってきたが、第一から第三の実施の形態は、それぞれ組み合わせて用いることも可能である。

また、本発明の説明として、第一から第三の実施の形態において、図２のテーブルＴ１のように、ユーザ自身にユーザのユーザ端末１によって登録されてきたデータを扱ってきたが、このようなデータのみに限定されるものではなく、例えばセンサ３、無線タグ４やカメラ５などから収集される情報をＤＢ２１に自動的に登録するようにしておき、自動的に登録されたデータについても、本発明による方法は適応可能である。

以上、この発明の実施の形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

本発明によるデータ開示方法は、匿名性が必要な情報を登録し配信を行うサービスに用いて好適である。

この発明のデータ開示方法および装置が用いられる全体の構成を示すブロック図である。 図１の個人情報管理運用サーバ１０の第一の実施の形態における構成を示すブロック図である。 図２のＤＢ２１に登録されている内容の粒度を変更した例を示す図である。 第二の実施の形態における開示方法の例を示した説明図である。 図１の個人情報管理運用サーバ１０の第三の実施の形態における構成を示すブロック図である。 情報エントロピーを説明する第１の説明図である。 情報エントロピーを説明する第２の説明図である。 情報エントロピーを説明する第３の説明図である。

符号の説明

１ ユーザ端末
２ プロバイダ端末
３ センサ
４ 無線タグ
５ カメラ
１０ 個人情報管理運用サーバ
２１ ＤＢ
２２ ＤＢ管理手段
２３ 匿名性計算手段
２４ 匿名性閾値管理手段
２５ プロバイダ開示要求属性管理手段
２６ 記述粒度変更手段
２７ 粒度変更ＤＢ
５１ ＤＢ変更検出手段

Claims (6)

1. プライバシー情報を含むデータを管理するデータ開示装置におけるデータ開示方法において、
   前記データ管理装置は、１つ以上の属性から構成されるデータを１つ以上保持し、
   前記データの特定の属性を開示する場合の匿名性を計算し、
   前記計算した匿名性が所望する匿名性を有しない場合には、
   前記特定の属性のデータの粒度を変更し、所望の閾値以上の匿名性を有するようにして前記属性のデータを開示する、
   ことを特徴とするデータ開示方法。
2. 請求項１記載のデータ開示方法において、
   データ開示先毎に異なる閾値を保持し、
   データ開示先毎に、前記保持した閾値に基づく粒度でデータを開示すること、
   を特徴とするデータ開示方法。
3. 請求項１または請求項２に記載のデータ開示方法において、
   前記保持しているデータの個数が所定の数だけ変化した場合に、
   所望の閾値以上の秘匿パラメータが得られる属性の粒度を再変更し、
   既に開示しているデータの中で、前記粒度の再変更により、細かい粒度で属性を開示できる場合には、
   前記再変更後の粒度でデータを開示する、
   ことを特徴とするデータ開示方法。
4. プライバシー情報を含むデータを管理するデータ開示装置において、
   １つ以上の属性から構成されるデータを１つ以上保持する保持手段と、
   前記データの特定の属性を開示する場合の匿名性を計算する匿名性計算手段と、
   前記計算した匿名性が所望する匿名性を有しない場合には、前記特定の属性のデータの粒度を変更し、所望の閾値以上の匿名性を有するようにして前記属性のデータを開示する粒度変更開示手段と、
   を有することを特徴とするデータ開示装置。
5. 請求項４記載のデータ開示装置において、
   データ開示先毎に異なる閾値を保持するデータ開示先閾値保持手段と、
   データ開示先毎に、前記保持した閾値に基づく粒度でデータを開示するデータ開示手段と、
   を有することを特徴とするデータ開示装置。
6. 請求項４または請求項５に記載のデータ開示装置において、
   前記保持しているデータの個数が所定の数だけ変化を検出するデータ個数検出手段と、
   前記データ個数検出手段が、データの個数が所定の数だけ変化を検出した場合に、所望の閾値以上の秘匿パラメータが得られる属性の粒度を再変更する粒度再変更手段と、
   既に開示しているデータの中で、前記粒度の再変更により、細かい粒度で属性を開示できるかを判定する粒度開示判定手段と、
   前記粒度開示判定手段が、細かい粒度で属性を開示できると判定した場合には、前記再変更後の粒度でデータを開示する粒度再変更後開示手段と、
   を有することを特徴とするデータ開示装置。
   
   
   

Images