JP2012516491A - ユーザのプライバシー保護のための方法 - Google Patents

Abstract

第三者との関係を監視する中で使用するための処理済みデータを生成するシステムが提供される。前記システムは、加入ユーザに対してサービスを提供する通信システムを含む。前記通信システムは、ルールを格納するルールデータベースと、加入ユーザに関連するデータに対してデータマイニングを実行して格納するデータマイニングエージェントと、前記データマイニングが実行されたデータから保護されたユーザ関連データを生成し、インタフェースを介して当該ユーザ関連データを通信するコンテンツ生成器と、前記ルールデータベースに格納された前記ルールに応じて使用権限オブジェクトを生成し、前記インタフェースを介して当該使用権限オブジェクトを通信する権限オブジェクト生成器と、有する。タンパ防止処理装置が前記インタフェースに接続される。前記タンパ防止処理装置は、前記通信システムから前記ユーザ関連データ及び前記使用権限オブジェクトを受信し、前記使用権限オブジェクトの制御下で前記ユーザ関連データを処理する。信号出力生成器は、前記タンパ防止処理装置から受信した処理済みデータを表す出力信号を生成する。

Description

本発明は、例えば少なくとも部分的には個人データから集められたデータの使用を制御することに関する。特に、本発明は、第１の当事者によって集められたデータを第２の当事者へエクスポートすることに関し、第２の当事者がこのデータを不適切には使用しないということを第１の当事者が信頼できるようにする。

ネットワークサービスを提供する通信オペレータは、加入ユーザに関する多量のデータにアクセスすることができる。例えば、オペレータは、ユーザの振る舞い、使用されたサービス、料金請求の記録、訪問したウェブページ、電話した他の加入者などのデータを収集することができる。更に、収集したデータを分析して、例えばユーザの好み（プリファレンス）に関する結論に到達することができる。加入者は、オペレータがそのようなデータを第三者へ転送することはないと信じているであろう。

しかしながら、ここで言及したデータは、例えばキャンペーンを行うことや商業広告というビジネス上の目的で、第三者にとって有用であろう。通常、この種の目的でこのようなデータの移送が行われる場合、オペレータとこのデータを使用する当事者との間でビジネス契約が結ばれる。しかしながら、使用者が受け取ったデータを不適切には使用しないことを保証する技術的手段は存在しない。例えば、第三者がデータを自己の所有の下に置くと、このデータが他の（第４の）当事者へ渡されることをオペレータが防止する手立てはない。

状況によっては、オペレータが第三者との契約に署名することでは不十分である。第三者が契約において自分が対象となっている部分を履行しない場合、第三者の行為はオペレータの信用を直接的に毀損する可能性があるのに、第三者に罰金等を科すことを除けばオペレータが第三者がそうすることを防ぐための簡単な手立てはない。それゆえ、第三者がオペレータから取得した情報及び知識を第４の当事者へ転送できないことをオペレータが保証するというニーズが存在する。

プライベートなデータを保護するアプローチの１つは、例えばWO 2006/068551及びEP 1611725に規定されているような、所謂「ロックボックス(Lock-Box)」技術を伴うものである。ロックボックスは、個人データに関するエンドユーザの制御のための通信システムである。より具体的には、ロックボックスは、データ提供エンティティにおいて入手可能なユーザデータに対して要求エンティティがアクセス可能か否か、そしてどのようにアクセス可能かを制御するメカニズムを提供する。伝統的なロックボックスシステムは中央サーバ（ブローカー）を採用し、中央サーバ（ブローカー）は、エンドユーザによって規定されたプライバシーポリシーをチェックし、ポリシーに従って許可される場合、提供エンティティからユーザデータを取得するために要求エンティティが必要とする情報を提供する。しかしながら、ロックボックスに関する問題は、ユーザに関するデータを要求エンティティが一度取得すると、要求エンティティによる再配布を防止する手段が存在しないことである。

ロックボックスがこの問題を解決する方法の１つは、この時点では別のデータ提供エンティティとなった要求エンティティに関してブローカーのデータベース中に新しいプライバシーポリシーを規定することをエンドユーザに許可することであろう。このアプローチの欠点は、ユーザデータに関する可能性のある全ての受信者についてユーザがプライバシーポリシーを規定しなければならないことであり、このことは、ブローカーにおける効率的なポリシー管理（例えば、WO 2006/068551に記述されるような汎用／個別プライバシーツリー及びデーモンノードを使用することによるもの）によって負担が軽減されたとしても、エンドユーザにとっては重い負担である。

たとえオペレータが、ユーザ関連データのエクスポートを、プライベートデータを明確には表さないデータに限定したとしても、エクスポートされたデータは依然として、受信者によって他のソース（情報源）からのデータと相関され得るものであり、例えばユーザの名前のようなプライベートデータの導出が可能となる。このプロセスは一般的に、「帰納的学習(inductive learning)」と呼ばれる。オペレータはそれゆえ、第三者が追加的な機密情報を推測できるかもしれないという危険性があるため、いかなる加入者関連情報であれ、第三者に対してこれを提供することをためらうであろう。

それゆえ、ユーザのプライバシーが保護されるようにデータの処理を制御するための方法及び構成に関するニーズが存在する。

本発明は、例えば商業的キャンペーンの実行のような商業的応用において有用であろう加工済みデータ（例えば、メディアファイルの形式で）を生成するためのシステム及び構成を含む。本発明の特徴的な性質は、ユーザのプライバシーが、保護され、且つ少なくとも部分的にはユーザの制御下にあるということである。一例では、生成されたメディアファイルからユーザアイデンティティを導出することを防止することができる。

本発明の一態様によれば、システムは、加入ユーザのネットワーク（例えば、ネットワークオペレータによって運用される通信システム）を含む。通信システムは、ユーザ関連データを含むデータファイルを生成するデータマイニングエージェントを含む。ユーザ関連データは、例えば、ユーザデータ、ユーザの振る舞い、ユーザの位置、及び／又はこれらから導出される情報を含み得る。通信ネットワークは、ルールの編成を有効化するために加入ユーザによって少なくとも部分的にアクセス可能なルールデータベースを含んでもよい。ルールに基づき、データファイルに対するアクセス及びその使用を制御するための使用権限オブジェクトを生成することができる。

通信システムは、外部の処理装置に接続して、データファイル（鍵によって保護されることが好ましい）及び使用権限オブジェクトをそこへ伝送することができる。処理装置は、データファイル中のユーザ関連データを処理する（可能であれば他の情報源からのデータと一緒に）。この処理は、使用権限オブジェクトの制御下にある。接続は、例えば使用権限オブジェクトによる制御が原因で停止していたかもしれない処理を継続する要求を管理するために、処理装置に対して制御信号を通信することもできる。

生成されたデータファイルは、第１及び第２の部分へと構造化可能である。これにより、処理の制御は、第１の部分が他の情報源からのデータに相関させて処理されることがないようになる。

保護された（即ち、暗号化された）データファイルは、処理装置において復号される。しかしながら、処理装置は、元のデータファイルのいかなる部分も平文では提供しないように構成される。代わりに、処理装置は、処理されたデータファイルを表す信号を出力するための出力インタフェースを有する。出力信号は、メディアファイルを生成するためにメディア生成器へと入力されてもよい。メディアファイルは、例えば広告のようなプリント素材(printed material)を含んでもよいし、識別された人のグループに対して提供可能な電子素材(electronic material)を含んでもよい。

出力信号は、処理装置から通信システムへと返されてもよく、通信システムによって、加入ユーザに対して対象サービスを提供するために使用されてもよい。これにより、処理装置は、ユーザの本当のアイデンティティを知ることがなくても、特定の属性を持つユーザに対して対象サービス（例えば、広告、マーケティングキャンペーン）を提供することが可能になる。

本発明の他の態様によれば、通信システムに対する接続のためのタンパ防止処理装置が提供される。タンパ防止処理装置は、通信システムからユーザ関連データ及び使用権限オブジェクトを受信する受信エージェントを備える。データプロセッサは、使用権限オブジェクトの制御下でユーザ関連データを処理することにより、ユーザ関連データから更なる処理において使用可能なエレメントを導出し、出力信号を生成する。出力信号は、これらのエレメントと、これらのエレメントを使用可能な更なる処理とを識別する。次いで、信号は出力インタフェースを介して出力されてもよい。ひとたび出力信号が生成されると、データプロセッサはユーザ関連データを保持しない。これにより、処理装置がユーザ関連データを更なるエンティティへ転送できないことが確実にされる。

ユーザ関連データは、通信システムの権限イシュアエージェントによって、コンテンツ暗号鍵を用いて暗号化されてもよい。使用権限オブジェクトは、同じコンテンツ暗号鍵を用いて使用ルールから生成することができる。

ユーザのプリファレンスにおける変更が考慮されることを確実にするために、処理装置は、通信システムに対して、通信システムが保持するユーザの承諾データに基づいてユーザ関連データを処理するように要求する１以上の要求を開始することができる。

前述のように、場合によっては、処理装置は外部の情報源から追加的なデータを受信する。この場合、ユーザ関連データ及び追加的なデータが使用権限オブジェクトの制御下で処理されることにより、ユーザ関連データ及び追加的なデータを相関させることなしに、更なる処理のために使用可能なユーザ関連データのエレメントが識別される。処理中に相関が行われないということは、ユーザのアイデンティティが提供されていないのに処理装置がユーザのアイデンティティを識別することを禁止する。たとえユーザのアイデンティティが処理装置に提供されたとしても、相関が行われなければ、これらのアイデンティティが第三者に提供されないということが確実にされる。状況によっては、使用権限オブジェクトが、ユーザ関連データの一部を、第２のデータと相関させてもよい部分として指定し、他の部分を相関させてはならない部分として指定する場合もある。この場合は、相関は、結果出力が、処理を制御するユーザの承諾データに基づいて、指定されたポリシー制限を満足するようになされる。そのような制限の一例は、更なる処理のための出力がユーザの識別を許可しないというものである。

本発明の更なる態様によれば、通信システムに接続されるタンパ防止処理装置が提供される。受信エージェントは、少なくとも第１及び第２のデータ情報源から第１及び第２の入力データを受信する。第１のデータは、通信システムから集められる。第２のデータ情報源は、通信システムの外部にある。データプロセッサは、制御オブジェクトをロードし、制御オブジェクトの制御下で、第１及び第２のデータが相関されないように第１及び第２のデータを処理する。出力インタフェースは、処理されたデータを表す出力信号を出力する。

本発明の別の態様によれば、加入ユーザに対してサービスを提供する通信システムにおいて第三者の関係データの使用を制御する方法が提供される。ユーザ関連データの使用を規定するルールが生成されて格納される。加入ユーザに関連するデータに対してデータマイニングが実行されて格納され、データマイニングが実行されたデータから保護されたユーザ関連データが生成される。保護されたユーザ関連データは、タンパ防止処理装置へと通信される。格納されたルールを用いて使用権限オブジェクトが生成され、これも処理装置へと通信される。処理装置において、ユーザ関連データは、使用権限オブジェクトの制御下で処理され、処理されたユーザ関連データを表す出力信号が生成される。

ここで、例として、添付の図面を参照して、本発明の幾つかの好適な実施形態を説明する。
ＤＲＭシステムを示す図である。 第三者の権限管理を制御するためのシステムの概観を示す図である。 ユーザ、オペレータ、第三者、及び第４の当事者の間でのデータフローを示す図である。 広告の対象グループを識別して広告をその対象グループへ送信するためのデータの移動を示すシーケンス図である。 図４の広告シナリオに関する処理フローの詳細を示す図である。 例示的なタンパ防止(tamper-proof))処理装置の概略図である。

ユーザのプライバシー保護は、音楽や映画のような商業コンテンツの配信に係る問題（例えば、コンテンツプロバイダは、確立したルールに従ってコンテンツが使用されるものと想定している）と類似するものとして考えることができる。これを達成する方法の１つは、一般的に、ＤＲＭ（デジタル著作権管理）保護と呼ばれている。幾つかのＤＲＭ標準が存在し、それは例えば、ＯＭＡ ＤＲＭ(http://www.openmobilealliance.org/Technical/release_program/drm_v2_1.aspx)である。ＤＲＭ技術によって、管理された態様でデジタルコンテンツを配信して消費することが可能になる。

図１に、ＤＲＭの基本原理を示す。コンテンツ／権限イシュア１０１は、特定のコンテンツ１０３に関する使用ルール１０２（例えば、どれだけ長く、又は何回、コンテンツを再生可能であるか）を規定する。コンテンツ暗号鍵（ＣＥＫ）１０４が作成される。コンテンツ暗号鍵１０４を用いてコンテンツ１０３が暗号化されて、保護コンテンツ１０５が生成される。ＣＥＫ１０４及び使用ルール１０２は、ライセンス即ち権限オブジェクト（ＲＯ）１０６の中に入れられ、ＲＯ１０６は、細工防止のために権限イシュア１０１によって署名される。保護コンテンツ１０５及びライセンス１０６は、消費者１０７に対して、一緒に、又は別々に配信可能である。消費者側には、ＤＲＭエージェント１０８及びレンダーエージェント１０９を実装した認証済みデバイスが存在する。通常、ＲＯ１０６は、ユーザが商業的条件に基づいて取得可能な鍵を用いて保護されている。ＲＯ１０６を暗号化した鍵を持つＤＲＭエージェント１０８は、ライセンス１０６からＣＥＫ１０４を取得し、コンテンツを復号し、平文のコンテンツをレンダーエージェント１０９へ送信することができる。レンダーエージェント１０９は、コンテンツを再生する（例えば、音楽ファイルや映画ファイルを再生する）。ＤＲＭシステムの特徴的な性質は、再生後直ちに入力コンテンツファイルが削除されることである。消費者がコンテンツを再び再生することを望む場合、ＤＲＭエージェントは、ライセンス１０６において規定される使用ルールに従い、それが許可されるか否かをチェックすることになる。許可される場合、ＤＲＭエージェントは、次の再生のために平文のコンテンツをレンダーエージェントへ送信する。留意すべきこととして、消費者デバイスは、ＤＲＭコンテンツを消費可能になる前に、何らかの認証局(trust authority)によって認証されなければならない。ＤＲＭエージェント１０８及びレンダーエージェント１０９の実装を含むハードウェア及びソフトウェアは、何らかの堅牢性ルールを満足しなければならず、こうして、デバイスを簡単にハッキングしてコンテンツ暗号鍵や平文のコンテンツを暴露することが不可能になる。留意されるであろうこととして、ＤＲＭシステムはレンダリングフェーズにおいて入力ファイルの平文を提供する。それゆえ、ファイルが機密データを含む場合、入力（デジタル）ファイルは削除されるものの、その情報を第三者に転送することを防止する技術的保護は存在しない。

そのような保護を提供するために、図２に示すように、類似した状況を作成することができる。これは、オペレータ２００にコンテンツ／権限イシュア２０１の役割を持たせ、第三者２０７に消費者の役割を持たせることにより、行われる。以下で更に詳細に説明するように、オペレータ２００は、ユーザ関連データ２０３（必ずしもユーザデータそのものではない）を「ＤＲＭコンテンツ」２０５として保護し、ユーザのプライバシーポリシーに基づいて権限オブジェクト２０６の中に使用ルールを指定する。第三者２０７は、これらの使用ルールを実行に移す認証済みエージェント２０８を有する。伝統的なＤＲＭの構成（ここにはコンテンツを再生するレンダーエージェントが存在する）とは異なり、第三者２０７は代わりに、データ処理アプリケーション２０９を実行する。このアプリケーション２０９は、オペレータ２００によって提供された（平文の）データを処理し、事前定義された基準に基づいて分析を実行し、結果（例えば、以下に説明するように、プロモーション（販促活動）が適当であるか否か）を出力する。データ処理アプリケーション２０９はまた、認証される必要もある（即ち、処理の目的で平文のデータを一時的にキャッシュするだけであり、結果に到達すると直ちにデータは削除されるという意味で、実装は堅牢である）。認証済みデータ処理アプリケーション２０９は、オペレータにより提供されたデータをアプリケーションの外部には漏洩しないものと信じられている。データ処理アプリケーションが情報を再び読むことを望む場合、アプリケーションは最初に、オペレータの支配下(at the operator sphere)に存在するデータルールストレージ２１０に対するクエリのような簡単な「ping要求」を実行することにより、その情報を「解錠（アンロック）」する必要がある。このストレージ２１０は、ユーザ及びオペレータからの全ルール（例えば、ユーザによる承諾やｂ２ｂの契約など）が格納される場所である。

機密知識／情報が他の情報源と相関されるかもしれないというリスクも、ライセンス２０６の中の追加的ルールによって、保護可能である。オペレータ２００は、他の情報源からの情報と共に使用することが許されないデータの部分に対して使用ルールを指定することができる。このことは、オペレータの支配下にあるデータマイニングアプリケーションから取得された知識を第三者が悪用する可能性を制限するであろう。これは、第三者がその知識を第４の当事者へ転送しようとするあらゆる試みについても防止するであろう。これは、オペレータが「自分が持つ」データに対する制御（支配）を維持することを助け、エンドユーザのプライバシーは、より簡単に維持される。

図３は、ユーザ３２０、オペレータ２００、第三者２０７、及び第４の当事者３２１の間でのデータフローを示す。最初に、オペレータはデータ３０１に対するデータマイニングを実行し、加入ユーザに関する推論情報を得る。この情報に関して何らかの使用を行う前に、オペレータは、情報を第三者に渡すにはユーザの承諾が必要とされるか否かをチェックする（３０２）。ユーザの承諾が必要とされる場合、ユーザ承諾データベース２１０に対する参照が行われ、そのような承諾が用意されているか否かを調べる。

推論された情報は、コンテンツ／権限イシュア２０１へ渡され、「ＤＲＭコンテンツ」として保護される。この処理の一部には「匿名化(pseudonymization)」が含まれ、ユーザの本当のアイデンティティがオペレータから何らかの第三者へ渡されることはない。匿名化は時間依存のサービスであり、タイムスタンプ及び鍵に基づいて本当のエンドユーザ（又はユーザグループ）のアイデンティティ（例えばＭＳＩＳＤＮ）を暗号化し、新たなランダムの識別情報（エイリアス）にする。最も単純な例では、特定の時間に依存するアルゴリズム（ハッシュ等）を使用して或る番号を新たな番号に変換する。

第三者へ送信すべきデータを用意する際に、オペレータは、データを幾つかの部分（パーツ）に分割することができる。例えば、機密であって他の情報源からの情報と相関された場合にユーザのプライベート情報を暴露するかもしれない属性は、１つの部分に集められる。他の情報源と共に使用してもよいその他の属性は、他の部分に集められる。するとオペレータは、これらの異なる部分に対して異なる使用ルールを指定することができる。機密性のレベルに応じて、何らかの部分は暗号化されてもよいし、他の部分は平文のままであってもよい。このことは例えば、ＯＭＡ ＤＲＭマルチパートＤＲＭコンテンツフォーマットを使用することにより達成可能である。

オペレータ２００は、第三者がこの情報をどのように使用することを許可されるか（例えば、どの部分が他の情報源と共に使用可能でありどの部分が不可能であるかや、どれだけ長く又はどれだけの頻度で第三者がこの情報を使用してよいか）に関するルールを、Ｂ２Ｂの契約及びユーザの承諾に基づいて決定する。その後、コンテンツ暗号鍵及び使用ルールがライセンスの中に入れられ、意図された第三者のみが知っている鍵によって保護される。オペレータはまた、ライセンスをデジタル署名し、いかなる他者も検知されることなくライセンスを改変することができないようにする。更に、提供される情報の完全性(integrity)を保証するために、オペレータは、データに関するハッシュ値を計算してそのハッシュ値をライセンスに含めることができる。

第三者は、ライセンスからコンテンツ暗号鍵を取得し、これを使用して情報を復号することができる。第三者２０７のＤＲＭ受信エージェント２０８は、ライセンスの中で規定される使用ルールが遵守されることを確実にする。ユーザが自己の承諾を取り消したり承諾の期限に達したりする場合もあろうが、すると、受信エージェントは、第三者がこの情報／知識を使用することを防止する。

場合によっては、外部の当事者２０７（例えば、広告代理店）は、別の当事者（例えば、ネットワークオペレータ２００）によって運用されているネットワークの中のユーザグループに対して情報を送信することを要求していることがある。このことの例はマーケティングキャンペーンであり、このキャンペーンは、特定のプロファイルに対応するか又は他の何らかの基準を共有する（例えば、同じコミュニティに属しているなど）ユーザに限定することが要求される。通常は、外部の当事者２０７が対象ユーザのアイデンティティを知ることは必要とされない。グループのサイズ及びユーザのプロファイルを知れば十分であろう。

上述の方法は、このシナリオをサポートするために使用可能である。外部の当事者２０７が対象グループを定義することを望む場合、要求中に何らかの基準（例えば、ユーザのプロファイル又は位置、特定の電話サービスの使用レベル、装置の種類など）を追加する。これに応えて、オペレータは、対象グループの詳細（例えば、ユーザ数、基準を満足するレベルなどのような情報を含む）を提供する（３１１）。また、対象グループには、前述のように暗号化された特定の参照値によってタグが付けられ、それゆえ、これは、共通鍵(secret key)を用いてのみ復号可能となり、第４の当事者へ転送することは不可能となる。また、対象グループへの参照が有効な期間や参照される対象グループを呼び出し可能な回数を制限することも可能である。

マーケティングキャンペーンの場合、これは極めて有用となる。というのも、外部の当事者２０７は通常、対象ユーザのアイデンティティに関心があるのではなく、むしろユーザのプロファイル及びグループのサイズに関心があるからである。ネットワークオペレータはまた、通常、加入者のアイデンティティを外部の当事者に与えることをためらう。

マーケティングキャンペーンにおける第２のステップとして、外部の当事者２０７がキャンペーンを立ち上げることを望む場合、ネットワークオペレータに対して、キャンペーンのコンテンツ（例えば、対象グループへ配信するための広告）と共に対象グループを規定する参照値を送信することができる（３１２）。

広告のシナリオは、図４を参照して理解することができる。これは、以下の複数のステップに落とし込むことができる。
Ｓ１． 最初に、ユーザ３２０が、一般的な又は特定のキャンペーンに対して自己の承諾を与える。この情報は、オペレータ２００によって、ルールストレージデータベース２１０の中にローカルに格納される。ユーザの承諾に加えて、オペレータはまた、ルール及び規制／基準を追加してルールストレージ２１０の中に格納することもできる。理解されるであろうが、図４には単一のユーザ３２０のみが示されているが、ネットワークが意味のある情報を抽出できるようにするためには、多数のユーザが何らかのキャンペーンに対して彼らの承諾を与える必要があろう。
Ｓ２． 第三者２０７は、オペレータ２００に対して、ユーザグループに関する情報の抽出を要求する。
Ｓ３． オペレータ２００は、ユーザ関連データに対して追加的分析を実行し、ユーザに関する余計な情報（例えば、名前や住所など）を暴露してしまう不要なユーザ情報を取り去るが、第三者２０７にとって関心のある応答を行うのに十分な情報を依然として残す。理解されるであろうが、この分析は、個々のユーザのレベルであってもよいし、ユーザグループのレベルであってもよい。
Ｓ４． オペレータ２００は、第三者２０７に対して応答し、要求された基準を満たすユーザグループを伝える。
Ｓ５． 第三者２０７は、アプリケーションエージェント２０８を使用してこの情報を受信し、そして、データ処理エージェント２０９を用いてこの情報の読み込みを開始する。
Ｓ６． ライセンスを読み込む際に、処理アプリケーション２０９は、ルールストレージ２１０に対して「pingのような」チェックを実行して承諾が依然として有効であるか否かをチェックすることを求められる。
Ｓ７． 第三者２０７は、最終的に、関心のある対象グループを発見し、彼らに対するキャンペーンを立ち上げることを決定する（関心のある対象グループが発見されない場合、第三者２０７は、ステップＳ２に戻って他のユーザを要求することができる）。
Ｓ８． 第三者２０７は、このユーザグループに関してキャンペーンを立ち上げることを望むという要求をオペレータ２００に対して送信する。
Ｓ９． オペレータ２００は、ルールストレージが変更されているか否かをチェックし、変更されている場合、何らかのユーザをグループから取り去る場合がある。
Ｓ１０． オペレータは、第三者２０７に対して応答を送信し、その後、第三者２０７は、キャンペーンを立ち上げる。留意されるであろうこととして、第三者２０７は固有のユーザに対するいかなるアクセス／住所／電話番号も持たないので、広告はオペレータ２００経由で送信されるのであって直接は送信されない。
Ｓ１１． ユーザはキャンペーンに応答するか、又はこれを無効化する。

図５に、図４の広告シナリオに関する処理フローの詳細を示す。
１． 第三者２０７が何らかの基準を指定してユーザ情報の要求を送信すると、処理が開始する。最初のＢ２Ｂ契約において公開鍵が送信されてはいない場合は、公開鍵も送信される。
２． ネットワークオペレータ２００が要求及び基準を受信する。
３． ネットワークオペレータ２００は、ネットワークからユーザ情報を取得する。
４． ネットワークオペレータ２００は、データマイニング処理を使用してデータをリッチにする。そこから、ネットワークオペレータは、ステップ３において収集されたデータに基づく何らかの種類の知識を取得する。
５． ネットワークオペレータ２００は、推論された特定のデータ／知識に対してタイムスタンプを追加する。
６． その知識が、その選択元であるエンドユーザ又はグループにとって何らかの形で機密である場合、ユーザの承諾が必要となるかもしれない。
７． 言及された（単数又は複数の）ユーザから、直接（例えば端末を介して）、又は、（単数又は複数の）ユーザが契約書に署名する際に間接的に、応答を取得することによって、ユーザの承諾を与えることができる。
８． ユーザにはまた、例えば情報を転送可能であるか否かや、どれだけの長さかといったふうに、承諾に対して特定の要件の調整を行うという選択権も与えられる。全てのこの情報を承諾に追加することができる。
９． ステップ５において与えられたタイムスタンプに基づき、ネットワークオペレータ２００は、対象ユーザ又は対象ユーザグループを参照する時間依存のランダムのエイリアスを作成することができる。これは時間依存であるので、これは、ネットワークオペレータ自身を別にすれば、いかなる他者にとっても元のユーザへとトラックバックすることを困難にする。
１０． ネットワークオペレータ２００にはまた、ステップ８における特定の（単数又は複数の）ユーザの要件、及びステップ１において情報を要求した特定の第三者との間で署名されたＢ２Ｂ契約を調べることにより、データ及びセキュリティレベルを調整するという選択権が与えられる。
１１． ネットワークオペレータはまた、データに対して時間的制限及び／又は量的制限を作成することができ、これにより、情報にアクセスする許可を求めて第三者が継続的にネットワークオペレータに対して問い合わせを行う必要性が作り出される。これは、時間が経過すると（単数又は複数の）ユーザが彼らの（単数又は複数の）承諾を変更する場合があり、この変更が第三者のアクセスに影響を与えるからである。このことはまた、オペレータに対して、機密であるかもしれないデータ／知識に関するより多くの権限及びセキュリティを与えることにもなる。
１２． ステップ１０におけるデータは、ステップ１において言及された基準を満たすように純化される(filtered out)が、依然として（単数又は複数の）ユーザのアイデンティティを保護している。これは、ネットワークオペレータが統計的な（そしてユーザ固有ではない）情報のみを提供することになるように、情報を単に濾過するだけという更に別の選択肢もある。
１３． 上述のデータは共通鍵を用いて暗号化され、暗号化されたデータに関するハッシュ値が計算される。共通鍵、ハッシュ値、及び、（あれば）時間的／量的制限が、ライセンスの中に入れられる。
１４． その後これは、第三者の公開鍵を用いて暗号化され、第三者へ転送される。
１５． 第三者２０７が情報を受信する。
１６． 第三者２０７は、自分の秘密鍵(private key)を用いてライセンスを復号し、共通鍵を取得し、これを用いてデータを復号する。
１７． 第三者２０７は、（ステップ１１で規定された）追加の許可情報（パーミッション）をネットワークオペレータに対して要求する。これは、ユーザのＰＣにローカルに格納されるバンキング・セキュリティ・プログラムと類似する方法で機能する。これにより、第三者が知識を第４の当事者へ転送することが防止される。
１８． その後、第三者２０７は、この知識に基づいて関心のあるパターン又はアプリケーションを見つけることが自由である。知識が十分に良好でない場合や十分に大きくない場合には、基準を調整することもできる。その場合、再びステップ１から開始する。
１９． 第三者２０７が広告又は類似物を用いて（単数又は複数の）対象ユーザに対して販促活動を行うことを望む場合、これを実行可能であり、そうでない場合、処理は停止する。
２０． 停止する。
２１． （単数又は複数の）ユーザを識別して広告、アプリケーション、又は類似物を転送するために、第三者２０７は、ネットワークオペレータ２００に対する返送を行わなければならず、これは、ネットワークオペレータの公開鍵を用いて暗号化される。
２２． ネットワークオペレータは、自分の秘密鍵を用いて要求を復号することになる。
２３． ネットワークオペレータ２００は、タイムスタンプを使用してネットワークオペレータにおいてローカルに格納されているランダムのエイリアス参照を見つけることにより、ユーザに対する本当の参照を識別する。
２４． その後、第三者２０７に対して販促活動の相手を正確に知らせることなしに、広告又はアプリケーションを（単数又は複数の）ユーザへ転送することができる。
２５． 停止する。

このアプローチは、例を参照することによっても理解できる。Ｌｉｓａという人は、ＳｔｅｖｅｎとＭｓ Ｓｍｉｔｈとの間の唯一のコネクションである。Ｌｉｓａは２９歳であり、靴を買うことが好きである。彼女の移動体電話の利用から、彼女のオペレータＡは、彼女が仕事（或いは、少なくとも、彼女が通常０８：００と１７：００との間に過ごす場所）の往復の間にポップミュージックを聴くのが好きであるということも知る。今、オペレータＡは、広告会社Ｂ（第三者）に対して、Ｌｉｓａの疑念を生じさせずにＬｉｓａに関するちょっとしたことを伝えたいと望む。最初に、オペレータＡは、Ｌｉｓａに対して、新しいアプリケーション及び付加価値を発見するために何らかのネットワークデータ知識を使用することが彼女にとって受け入れられるか否かを尋ねる。オペレータＡは、もし彼女の情報を使用できれば、Ｌｉｓａはより関係のある広告を得られるのみならず、移動体電話の支払いが減じられると提案する。Ｌｉｓａはこれに同意するが、オペレータが彼女のアイデンティティを第三者に開示することは望まない。

オペレータＡは、企業Ｂとの間にＢ２Ｂ契約を有しており、企業Ｂが販促活動を行う予定である新しい音楽キャンペーンの対象ユーザを発見することを望んでいるということを知っている。そこで、オペレータＡは、オペレータＡのネットワークにはラッシュ時にポップミュージックを聴くのが好きな人物Ｐが存在するという「情報ファイル」を企業Ｂに転送する。人物Ｐが「ポップ」ミュージックを聴くという事実は、「情報ファイル」中に平文で言及されているが、人物Ｐが人物Ｐ２及びＰ３とつながっているという情報も存在し、この情報は、この例では機密であると言われており、隠されたままである。企業Ｂはそれゆえ、人物Ｐが社交的な人であるという情報を使用することができるが、この具体的な情報を他の情報と共に使用することは許可されない。ＬｉｓａはＳｔｅｖｅｎ及びＭｓ Ｓｍｉｔｈの唯一のコネクションであり、Ｓｔｅｖｅｎ及びＭｓ Ｓｍｉｔｈが特定のソーシャルネットワークの中にいるという別の情報源から入手可能な他の情報が存在する場合、Ｌｉｓａもそうである（帰納的学習）ということが明らかになるであろうから、これは許されない。

企業Ｂはこの情報を使用し、人物Ｐが彼らのキャンペーンにとってふさわしいユーザであってポップミュージックを好みソーシャルネットワークを有するので、Ｐが好むであろうと彼らが信じる何らかの新しい音楽によって彼女に対する販促活動を行いたいということに気付く。その結果、企業Ｂは、人物Ｐが何らかの広告と一緒にこの新しい音楽を取得すべきであるという新しい要求をオペレータＡに対して送信する。するとオペレータＡは、人物Ｐに対する参照を暗号化し、新しい音楽を取得するＬｉｓａに対して、彼女が企業ＢからＣＤ全体を購入できるとする広告と一緒に音楽を転送する。彼女は、支払いの減額も得る。

企業ＢがオペレータＡから取得した情報ファイルを検討している間にＬｉｓａが考え直して、誰かが彼女の情報を使用することをもはや望まないと決めた場合、彼女は自分の承諾を取り消すことができる。すると、企業Ｂは、そのファイルをもはや使用することができない。というのも、企業Ｂは、オペレータＡの特定の許可リポジトリを用いて、オペレータＡからの「情報ファイル」を読み込めたローカルに持っているアプリケーションを企業Ｂが依然として使用可能であるということを定期的にチェックしなければならないからである。換言すると、Ｌｉｓａが自分の承諾を見直すことを望む場合はいつでも、たとえ情報が既に第三者との間で共有されていても、見直しが可能である。

図６は、例示的なタンパ防止装置６０７の概略図であり、これは、例えば図２に示す第三者２０７によって使用される種類のものである。処理装置６０７は、データプロセッサ６０９に対して動作可能に接続された受信エージェント６０８を含む。受信エージェント６０８は、ユーザ関連データ及び使用権限オブジェクトを、例えば図２に示すネットワーク２００のような通信システムから受信するように構成される。データプロセッサ６０９は、使用権限オブジェクトの制御下でユーザ関連データを処理し、更なる処理において使用可能なユーザ関連データのエレメントを識別し、出力信号を生成するように構成される。出力信号は、ユーザ関連データのエレメントを識別し、また、これらのエレメントを使用可能な更なる処理に関する識別情報を識別する。処理装置はまた、この出力信号を出力するための出力インタフェース６１０も含む。

理解されるであろうが、上述の実施形態からの変形版も、依然として、添付の請求項において規定される本発明の範囲に含まれ得る。

Claims (27)

1. 通信システムに対する接続のためのタンパ防止処理装置であって、
   前記通信システムから、ユーザ関連データ及び使用権限オブジェクトを受信する受信エージェントと、
   前記使用権限オブジェクトの制御下で前記ユーザ関連データを処理することにより、更なる処理において使用可能なエレメントを前記ユーザ関連データから導出し、当該エレメントと当該エレメントを使用可能な前記更なる処理の識別情報とを識別する出力信号を生成するデータプロセッサと、
   前記出力信号を出力するための出力インタフェースと、
   を備え、
   前記データプロセッサは、前記出力信号の生成後は前記ユーザ関連データを保持しないように構成される
   ことを特徴とするタンパ防止処理装置。
2. 前記ユーザ関連データを別のエンティティへ転送するために使用可能である
   ことを特徴とする請求項１に記載のタンパ防止処理装置。
3. 前記ユーザ関連データは、前記通信システムの権限イシュアエージェントによってコンテンツ暗号鍵を用いて暗号化され、
   前記使用権限オブジェクトは、当該コンテンツ暗号鍵を用いて使用ルールから生成される
   ことを特徴とする請求項１又は２に記載のタンパ防止処理装置。
4. 前記通信システムに対して、前記通信システムが保持するユーザの承諾データに基づいて前記ユーザ関連データを処理することを要求する１以上の要求を開始するように構成される
   ことを特徴とする請求項１乃至３のいずれか１項に記載のタンパ防止処理装置。
5. 前記受信エージェントは、前記通信システムの外部のデータ情報源から追加的なデータを受信するように構成され、
   前記データプロセッサは、前記使用権限オブジェクトの制御下で前記ユーザ関連データ及び前記追加的なデータを処理することにより、前記ユーザ関連データと前記追加的なデータとを相関させることなしに、更なる処理のために使用可能な前記ユーザ関連データの前記エレメントを導出するように構成される
   ことを特徴とする請求項１乃至４のいずれか１項に記載のタンパ防止処理装置。
6. 通信システムに接続されるタンパ防止処理装置であって、少なくとも第１及び第２のデータ情報源から第１及び第２の入力データを受信する受信エージェントであって、前記第１のデータは前記通信システムから集められ、前記第２のデータ情報源は前記通信システムの外部である、前記受信エージェントと、
   制御オブジェクトをロードし、当該制御オブジェクトの制御下で、前記第１及び第２のデータが相関されないように前記第１及び第２のデータを処理するデータプロセッサと、
   前記処理されたデータを表す出力信号を出力するための出力インタフェースと、
   を備えることを特徴とするタンパ防止処理装置。
7. 前記出力信号からメディアファイルを生成するメディア生成器を更に備える
   ことを特徴とする請求項６に記載のタンパ防止処理装置。
8. 前記通信システムは、ネットワークオペレータによって運用されており、
   前記第１のデータは、前記ネットワークオペレータに加入しているユーザの少なくとも一部のプロパティを含むユーザ関連データを含む
   ことを特徴とする請求項６又は７に記載のタンパ防止処理装置。
9. 前記制御オブジェクトは、前記通信システムから受信される使用権限オブジェクトである
   ことを特徴とする請求項８に記載のタンパ防止処理装置。
10. 前記使用権限オブジェクトは、前記加入しているユーザが制御可能な部分を含む
    ことを特徴とする請求項９に記載のタンパ防止処理装置。
11. 前記使用権限オブジェクトは、前記ユーザ関連データの一部を、前記第２のデータと相関させてもよい部分として指定し、他の部分を相関させてはならない部分として指定する
    ことを特徴とする請求項９又は１０に記載のタンパ防止処理装置。
12. 前記データプロセッサは、前記制御オブジェクトの制御下で、前記通信システムに対して承諾を示す情報を要求する要求を開始し、当該承諾を示す情報が許可する場合にのみデータの前記処理を実行するように構成される
    ことを特徴とする請求項８乃至１１のいずれか１項に記載のタンパ防止処理装置。
13. 前記出力信号、又は前記出力信号から生成されるメディアファイルを前記通信システムへ転送することにより、前記通信システムのユーザに対して情報を転送可能にするように構成される
    ことを特徴とする請求項６乃至１２のいずれか１項に記載のタンパ防止処理装置。
14. 第三者との関係を監視する中で使用するための処理済みデータを生成するシステムであって、
    加入ユーザに対してサービスを提供する通信システムであって、
    ルールを格納するルールデータベースと、
    加入ユーザに関連するデータに対してデータマイニングを実行して格納するデータマイニングエージェントと、
    前記データマイニングが実行されたデータから保護されたユーザ関連データを生成し、インタフェースを介して当該ユーザ関連データを通信するコンテンツ生成器と、
    前記ルールデータベースに格納された前記ルールに応じて使用権限オブジェクトを生成し、前記インタフェースを介して当該使用権限オブジェクトを通信する権限オブジェクト生成器と、
    を有する前記通信システムと、
    前記インタフェースに接続され、前記通信システムから前記ユーザ関連データ及び前記使用権限オブジェクトを受信し、前記使用権限オブジェクトの制御下で前記ユーザ関連データを処理するタンパ防止処理装置と、
    前記タンパ防止処理装置から受信した処理済みデータを表す出力信号を生成する信号出力生成器と、
    を備えることを特徴とするシステム。
15. 前記ルールデータベースは、加入ユーザの要求に応えて更新可能である
    ことを特徴とする請求項１４に記載のシステム。
16. 前記ユーザ関連データの使用に関する承諾の詳細を含むユーザ承諾データベースを更に備え、
    前記タンパ防止処理装置は、前記ユーザ関連データを処理する前に、当該データベースから承諾データを取得しなければならない
    ことを特徴とする請求項１４又は１５に記載のシステム。
17. 前記通信システムは、前記タンパ防止処理装置からの処理継続の要求に応えて、前記タンパ防止処理装置に対して制御信号を通信するように構成される
    ことを特徴とする請求項１４乃至１６のいずれか１項に記載のシステム。
18. 前記通信システムは、前記出力信号を受信し、その結果、加入ユーザに対して対象サービスを提供する手段を備える
    ことを特徴とする請求項１４乃至１７のいずれか１項に記載のシステム。
19. 前記対象サービスは、広告又はマーケティングキャンペーンを含む
    ことを特徴とする請求項１８に記載のシステム。
20. 加入ユーザに対してサービスを提供する通信システムにおいて第三者の関係データの使用を制御する方法であって、
    ユーザ関連データの使用を規定するルールを生成して格納するステップと、
    加入ユーザに関連するデータに対してデータマイニングを実行して格納するステップと、
    前記データマイニングが実行されたデータから保護されたユーザ関連データを生成するステップと、
    前記ユーザ関連データをタンパ防止処理装置へ通信するステップと、
    前記格納されたルールを用いて使用権限オブジェクトを生成するステップと、
    前記使用権限オブジェクトを前記タンパ防止処理装置へ通信するステップと、
    前記タンパ防止処理装置において、前記使用権限オブジェクトの制御下で前記ユーザ関連データを処理するステップと、
    前記処理されたユーザ関連データを表す出力信号であって、前記ユーザ関連データから導出された、更なる処理において使用可能なエレメントの識別情報を当該エレメントを使用可能な前記更なる処理の識別情報と共に含む、前記出力信号を生成するステップと、
    を備えることを特徴とする方法。
21. 前記出力信号は、メディアファイルを生成するために使用される
    ことを特徴とする請求項２０に記載の方法。
22. 前記メディアファイルは、前記通信システムへ返され、選択された加入ユーザに対して対象サービスを提供するために使用される
    ことを特徴とする請求項２１に記載の方法。
23. 前記通信システムから受信される前記ユーザ関連データは、前記出力信号の生成後は、前記タンパ防止処理装置によって保持されない
    ことを特徴とする請求項２０乃至２２のいずれか１項に記載の方法。
24. 前記通信システムは、ユーザのプリファレンスを含むユーザ承諾データベースを維持管理し、
    前記タンパ防止処理装置は、前記ユーザ関連データを処理する前に、パーミッションを取得するために前記ユーザ承諾データベースにコンタクトする
    ことを特徴とする請求項２０乃至２３のいずれか１項に記載の方法。
25. ユーザが、前記ユーザ承諾データベースの中の各自のプリファレンスを更新する
    ことを特徴とする請求項２４に記載の方法。
26. ユーザは、前記通信システムに格納された前記ルールを更新可能である
    ことを特徴とする請求項２０乃至２５のいずれか１項に記載の方法。
27. 前記タンパ防止処理装置は、前記通信システムの外部のデータ情報源から追加的なデータを取得し、前記追加的なデータを前記ユーザ関連データと相関させることなしに、前記使用権限オブジェクトの制御下で前記追加的なデータを前記ユーザ関連データと共に処理する
    ことを特徴とする請求項２０乃至２６のいずれか１項に記載の方法。

Images