JP2016143417A - 個人の行動を表すデータの記憶及びアクセス制御のためのシステム、方法及び非一時的な記憶媒体 - Google Patents

Abstract

【課題】個人の行動を表すデータの記憶及びアクセス制御のためのシステム等を提供する。
【解決手段】システムは、個人の身元を示す識別情報に対応するリクエストをＩＤ生成装置へ提起し、匿名にされたユーザＩＤを見返りとして受け取って個人へ出力するＩＤ検索装置と、個人化された行動データを記憶しており、ＩＤ検索装置にはアクセス不可能なデータストア及び記憶されている個人化された行動データへのアクセスを制御するアクセスコントローラを有するデータエンジンとを有する。個人化された行動データは、個人の行動を表す行動データであって、匿名にされたユーザＩＤにより匿名で個人化されている。アクセスコントローラは、個人化された行動データが個人化されている匿名にされたユーザＩＤを特定するようサービスプロバイダからのデータアクセスリクエストに求めることによって、個人化された行動データへのアクセスを制御する。
【選択図】図２

Description

本発明は、個人化されたデータの記憶及びアクセス制御のためのシステムの分野に属する。特に、本発明は、個人化されたデータの匿名化及び匿名エンティティとしての個人へのサービスの提供に関する。

毎日の生活における個人の行動を表すデータの生成、個人化、記憶及びアクセスのためのプロトコル及びスキームが存在する。ユーザは、サービスをサービスプロバイダに登録することができ、サービスプロバイダは、ユーザによって又はユーザに代わって生成されたデータをサービスとして処理する。結果はユーザへ又は第三者に提供されてよい。

そのようなスキームは、あらゆる人が、行動データを扱うときに、進展したコンピュータ機能、モバイルデバイス及びクラウドネットワークから安全に恩恵を受けることを可能にするよう設計される。

このような極めて詳細な個人情報を記憶することは大いに繊細であるから、ユーザが匿名性を保つことを可能にすることが望ましい。

実施形態は、個人の行動を表すデータの記憶及びアクセス制御のためのシステムであって、
個人の身元を示す識別情報を受け取り、該受け取られた識別情報に対応するリクエストをＩＤ生成装置へ提起し、匿名にされたユーザＩＤを見返りとして受け取り、該匿名にされたユーザＩＤを前記個人へ出力するよう構成されるＩＤ検索装置と、
データストア及びアクセスコントローラを有し、前記データストアは、前記ＩＤ検索装置にはアクセス不可能であり、個人化された行動データを受けて記憶するよう構成され、該記憶されている個人化された行動データへのアクセスは、前記アクセスコントローラによって制御され、前記個人化された行動データは、前記個人の行動を表す行動データであって、前記匿名にされたユーザＩＤにより匿名で個人化されている、データエンジンと
を有し、
前記アクセスコントローラは、サービスプロバイダからのデータアクセスリクエストが、前記個人化された行動データにアクセスするために、該個人化された行動データが個人化されている前記匿名にされたユーザＩＤを特定することを要求することによって、前記個人化された行動データへのアクセスを制御するよう構成される、
システムを含む。

システムは、サービスプロバイダが、例えば、データ処理サービスを個人に提供する目的で、個人に固有のデータにアクセスするために使用することができる匿名にされた識別を個人が取得することを可能にする。個人の観点からは、個人自身の行動を表す行動データは、個人である物理的又は法的な身元が識別されないようにする非識別（すなわち、匿名にされた）ユーザＩＤにより個人化され得る。従って、個人は、行動データが個人に帰する（すなわち、名前を挙げることによる）危険性なしで、複数のサービスプロバイダがアクセス可能なデータエンジンに自身らの行動データをアップロードすることができる。このように、個人は、個人が識別されることなしに、個人に固有の行動データを使用する１つ以上のサービスプロバイダのサービスから恩恵を受けることができる。システムは、個人をペルソナ、すなわち、匿名にされたユーザＩＤの制御下に置く。匿名にされたユーザＩＤは、サービスを登録するために使用され得る。

個人の身元を示す個人識別情報を個人と関連付ける機能を備えたエンティティ（個人の身元は、個人である特定の物的存在又は合法的な組織を意味すると考えられる。）は、原理上、ＩＤ検索装置、場合によりＩＤ生成装置、及び個人自身である。ＩＤ検索装置によってＩＤ生成装置へ提起される、受け取られた識別情報に対応するリクエストは、場合により、処理された形において、受け取られた識別情報の一部又は全てを含んでよい。代替的に、受け取られた識別情報に対応するリクエストは、単に、受け取られた識別情報のいずれも含まないが、識別情報の受信によってトリガされる非識別リクエストであってよい。後者の場合に、識別情報とリクエストとの間の対応は、リクエストが識別情報の受信によってトリガされたことである。ＩＤ生成装置は、ステートレス・エンティティとして実現されてよく、その場合に、個人の身元を示す受け取られた識別情報を何ら保持しない。実際に、それは、識別情報が如何なる場合にも受け取られないことであってよい。ＩＤ検索装置は、個人の身元を示す如何なる識別情報も（実施に応じて）保持してもしなくてもよいが、如何なる場合でも、個人化された行動データを記憶するデータストアにアクセスすることはできず、よって、実際上、個人された行動データを特定の個人と関連付けることができない。個人は、自身の個人された行動データを自身の身元と関連付けることができる。

ＩＤ検索装置が匿名にされたユーザＩＤを見返りとして受け取ることは、提起したリクエストに対する見返りとしての匿名にされたユーザＩＤの受信である。従って、リクエストを受けることに対するＩＤ生成装置の応答は、匿名にされたユーザＩＤを生成し、該生成された匿名にされたユーザＩＤをＩＤ検索装置へ出力することである。ＩＤは、本明細書の全体を通して身元（アイデンティティ）であると見なされる。

匿名にされたユーザＩＤは一意であり、それにより、同じ匿名にされたユーザＩＤが２人以上の個人に割り当てられることはない。ＩＤ生成装置は、不可逆的なハッシュ関数を実行して、提示された個人識別情報をはるかに大規模の匿名ユーザＩＤ空間上にマッピングするよう構成されてよい（すなわち、２つ以上の異なったバージョンの個人識別情報が同じ匿名にされたユーザＩＤにつながることはない。）。個人識別情報は、潜在的なシステムユーザの集団の中から特定のシステムユーザを識別するのに十分な情報である。ＩＤ検索装置からＩＤ生成装置へのリクエストが非識別的であって、匿名にされたリクエストと呼ばれ得る実施形態では、ＩＤ生成装置は、受け取られたリクエストに応答して匿名にされたユーザＩＤの生成の時点でシステムクロックから時間及び／又は日付情報を取り出し、不可逆的なハッシュ関数は、取り出された時間及び／又は日付情報の２つ以上の異なるインスタンスが同じ匿名にされたユーザＩＤにマッピングしないよう使用されることがあってよい。

行動データは、個人の測定された物理的性質を表してよく、あるいは、行動データのソースとなるインフラストラクチャとの個人の相互作用を表してよい。行動データは、匿名にされたユーザＩＤによって表されるペルソナとリンク又は関連付けされることによって、個人化される。従って、データストアによって記憶されている個人データは、たとえペルソナが匿名にされたユーザＩＤによってしか表されず、よって、ペルソナが、個人への匿名にされたユーザＩＤのマッピングを知っているエンティティによってしか個人にリンクされ得ないとしても、ペルソナにリンク若しくは関連付けされるか又は帰属せしめられる限りは個人化される。

データエンジン及びサービスプロバイダからのＩＤ検索装置及びＩＤ生成装置の分離は、個人が、自身らの匿名にされたユーザＩＤのみを用いて匿名でサービスにサインアップすることができることを意味し、個人識別情報はサービスプロバイダに示されない。ＩＤ検索装置は、サービスプロバイダにはアクセス不可能である。データエンジンは、ＩＤ検索装置及びＩＤ生成装置にはアクセス不可能である。

実施形態は、持続的に存在し、更には、ユーザによって選択可能な複数の匿名にされたペルソナの中の１つを用いて個人が操作することを可能にする匿名にされたユーザＩＤによって具現される匿名にされたペルソナを（単純な登録カウントとは対照的に）個人に提供する。実施形態は、この機能を、ユーザの個人情報を侵害すること又は未承認のサービスプロバイダ若しくはデータエンジンに付加的なアトム（atom(s)）を示すことなしに、ユーザに提供する。

アクセスコントローラの機能の特定の例として、前記アクセスコントローラは、前記データストアにアクセスすることを許可されているサービスプロバイダのリストを保持し、受け取られたデータアクセスリクエストが前記サービスプロバイダのリストの中の１つからであるか否かを判定し、そうでない場合は当該データアクセスリクエストをブロックするよう構成される。

有利なことには、リストは、システムによって記憶されているデータへのアクセスを許可されているサービスプロバイダの経過を追うメカニズムを提供する。ＰＫＳのような認証スキームは、リクエストが、それらが主張するサービスプロバイダに由来することを確かめるために使用されてよい。サービスプロバイダは、システムを動作させることに関与する組織との同意に応じて、リストに対して追加及び削除され得る。

サービスプロバイダは、個人化された行動データを使用して、サービスを個人に提供する。サービスへのアクセスは、サービスユーザとしての個人が匿名性を保つことができるように制御される。例えば、システムは、前記データストアにアクセスすることを許可されている前記サービスプロバイダのうちの１つに代わって動作可能なサービス提供装置を更に有してよく、該サービス提供装置は、匿名で個人化された登録リクエストを前記個人から受け取り、該匿名で個人化された登録リクエストは前記匿名にされたユーザＩＤによってのみ個人化されており、前記匿名にされたユーザＩＤを特定するとともに該特定された匿名にされたユーザＩＤにより個人化されている前記行動データの範囲を特定する前記データエンジンへのデータアクセスリクエストを提起し、前記特定された範囲内からの行動データを前記データエンジンから受け取り、該受け取られた行動データに対するデータ処理を実行し、前記個人に代わってデータ処理結果を出力するよう構成される。

よって、匿名にされたユーザＩＤは、システム内のペルソナの表現又は実施形態として、更には、データストアによって記憶されている個人化された行動データへのアクセスをサービスプロバイダが許可されるキーとしても働く。個人は、サービスの見返りとして自身の身元を表す如何なる情報も提示するようサービスプロバイダによって求められない。サービスプロバイダによって要求される行動データの範囲は、誰にサービスが提供されているのかに代わって、匿名にされたユーザＩＤによってのみならず、データストアへの提示の発生の日付又は提示の日付と、（行動データがカテゴリ化されているシステムにおける）データのカテゴリと、データが起こるデバイス又はインフラストラクチャ（行動データソースデバイス）に対する制限とを含む行動データの特性によっても、定義されてよい。

行動データは、個人の物理的性質を測定することによって、あるいは、個人と行動データ生成インフラストラクチャとの間の相互作用を表すことによって、個人の行動の何らかの要素を表す。そのようなインフラストラクチャは、ユーザによって所有されるか、又はユーザがアクセス可能であるデバイスであってよい。データ生成インフラストラクチャは、行動データソースデバイスと呼ばれてよく、特定の実施では、行動データは、個人の行動を表す行動データを生成するように前記個人と相互作用するよう構成される行動データソースデバイスからである。

行動データソースデバイスは、インターネットのようなネットワーク上でデータエンジンへ接続可能であってよく、あるいは、中間デバイスへ接続可能であってよく、中間デバイスは、それ自身がネットワーク上でデータエンジンへ接続可能である。行動データソースデバイスは、それ自身が、生成された行動データに、個人の匿名にされたユーザＩＤによりラベルを付してよく、あるいは、行動データは、それらが匿名にされたユーザＩＤとの関連付けによって個人化される中間デバイスに到着するまで、個人化されていなくてよい。

行動データソースデバイスの例には、いわゆるスマート装置が含まれる。スマート装置は、それ自身がネットワーク化されており、ネットワーク上でデータを送信及び受信するよう構成される。行動データソースデバイスは、個人との相互作用を表す情報を記録してよく、該情報は、匿名にされたユーザＩＤを介してペルソナと関連付けられる（生成時に行動データと関連付けられるか、あるいは、データエンジンへの提示時に個人によって又は個人に代わってデバイスによって付加されてよい。）。それらの相互作用は、個人の物理的性質の測定であってよく、それにより、行動データソースデバイスはセンサ装置である。例えば、行動データソースデバイスは、センサ装置であってよく、該センサ装置は、前記個人の物理的性質の一連の測定を行動データとして記録するよう、且つ、前記行動データを前記センサ装置で前記個人の前記匿名にされたユーザＩＤにより匿名で個人化することによって、又は前記行動データが受け取られ、前記個人の前記匿名にされたユーザＩＤにより匿名で個人化され、個人化された行動データとして前記データエンジンへ転送される中間デバイスを介して、前記記録された一連の測定を個人化された行動データとして前記データエンジンへ提示するよう構成される。

他の例では、一連の測定よりむしろ単一の測定が、行動データとして記録され提示されてよい。個人の物理的性質は、例えば、物理的位置であってよく、あるいは、行われたステップの数と言った、移動に基づく物理的性質であってよい。他の例には、心拍、温度、呼吸数がある。中間デバイス及び／又はセンサ装置は、サービスプロバイダによって提供されてよく、あるいは、サービスプロバイダからダウンロードされたソフトウェアを実行してよい。

データエンジンは、行動データソースデバイスが、個人化された行動データを提示することができるインターフェイスを提供してよい。

行動データソースデバイスの更なる例として、行動データソースデバイスは、個人と相互作用し、該個人との相互作用を表す情報を記録するよう、且つ、行動データを前記行動データソースデバイスで前記個人の匿名にされたユーザＩＤにより匿名で個人化することによって、又は前記行動データが受け取られ、前記個人の前記匿名にされたユーザＩＤにより匿名で個人化され、個人化された行動データとしてデータエンジンへ転送される中間デバイスを介して、前記記録された情報を個人化された行動データとしてデータエンジンへ提示するよう構成される。

任意に、行動データソースデバイスは、実行される場合に前記行動データソースデバイスに個人データを生成させ且つ該生成されたデータをデータエンジンへ提示させるソフトウェアを受けてインストールするよう構成される。

換言すると、行動データソースデバイスは、スマートフォン又はタブレットのようなユーザデバイスであって、行動データの基礎として使用され得る測定を行うために、ＧＰＳ、クロック、及び／又は加速度計のような、オペレーティングシステムを介してアプリケーションレベルのソフトウェアによってアクセスされ得るハードウェアを備えてよい。ソフトウェアは、データエンジンへの提示の前に、データを集め、データの前処理を実行するために、ユーザデバイスのハードウェアを利用するよう構成されるアプリケーションレベルのソフトウェアであってよい。例えば、ハードウェアによって出力された情報は、サービスプロバイダにとって有用であって、それ故にデータエンジンへ提示される形で、システムユーザの行動を表すデータを生成するために、アプリケーションレベルのソフトウェアによる処理を受けてよい。次いで、サービスプロバイダは、データエンジンを介して行動データにアクセスし、データエンジン又は他のサービスにおいて更なる処理を実行し、情報を個人へサービスとして、任意にユーザデバイスを介して提供する。

任意に、個人化された行動データは、アクセスコントローラによってマスクをかけられ得る。それにより、特定のサービスプロバイダは、特定のデータカテゴリに属するデータにのみアクセスすることができる。例えば、データカテゴリは、行動の異なる側面を表してよい。そのようなマスキングが実施され得る方法の例として、データストアは、受け取られた個人化された行動データを、所定のカテゴリ集合の中の１つ以上のカテゴリのカテゴリ化と関連付けて記憶するよう構成され、アクセスコントローラは、サービスプロバイダからデータアクセスリクエストを受け取ると、前記サービスプロバイダを識別し、該識別されたサービスプロバイダが前記所定のカテゴリ集合の中のどの１つ以上のカテゴリにアクセスすることを許可されているのかを決定し、前記サービスプロバイダがアクセスすることを許可されている前記１つ以上のカテゴリのうちの１つにおいてカテゴリ化されていない個人化された行動データに当該データアクセスリクエストがアクセスしないようにすることによって、前記個人化された行動データへのアクセスを制御するよう構成される。

有利なことには、データにラベルを付すためのカテゴリの使用は、あらゆるサービスプロバイダが全てのデータにアクセスすることができるわけではないようにすることで、アクセスコントローラに対して責任がある組織へ及び個人へ制御の要素を与える。例えば、レジャー活動に関連するものとしてカテゴリ化されている個人化された行動データにアクセスすることを許可されているが、健康に関連するものとしてカテゴリ化されている個人化された行動データにアクセスしないようにされている特定のサービスプロバイダが存在し得る。カテゴリへのアクセスに対する制御は、２つの方法のうちのいずれか一方又は両方において動作することができる。特定のサービスプロバイダは、特定のカテゴリに属している個人化された行動データにアクセスしないようにされ得、且つ／あるいは、特定のサービスプロバイダは、特定のカテゴリに属している個人化された行動データにアクセスすることしかできないように制限されたアクセスを有することができる。アクセスコントローラは、サービスプロバイダがアクセスを阻止されるカテゴリ、及び／又はサービスプロバイダがアクセスを許可されているカテゴリのみに関して、サービスプロバイダ及びアクセス許可のリスト又はディクショナリを保持してよい。

データが属するカテゴリは、行動データソースデバイスによって決定され、個人化された行動データの提示時に示されてよく、あるいは、行動データソースデバイスの識別に基づき、個人化された行動データの受信時に、データエンジンによって決定されてよい。

ＩＤ生成装置は、ＩＤ検索装置とは別個の装置であってよく、実際上、個人の身元を示す識別情報を、サービスプロバイダからのサービスを登録する際及び行動データを個人化する際に個人によって使用される匿名にされたユーザＩＤと交換するために、ＩＤ検索装置によって遠隔で呼び出され得るメソッドである。

特定の例では、実施形態は、ＩＤ生成装置を含み、該ＩＤ生成装置は、リクエストを受信することに応答して不可逆プロセスを実行することによって、匿名にされたユーザＩＤを生成し、該匿名にされたユーザＩＤを個人へＩＤ検索装置を介して出力するよう構成される。

データストアは、ＩＤ生成装置にはアクセス不可能であり、それ故に、個人の識別情報と個人の個人化された行動データとの間においてＩＤ生成装置によって関連付けがなされ得ない。更には、ＩＤ生成装置は、如何なる識別情報を受信しなくてよく、識別情報がＩＤ生成装置で受信される実施形態では、ＩＤ生成装置は如何なる識別情報も記憶しない。任意に、ＩＤ生成装置は、出力される匿名にされたユーザＩＤの記録を保持しない。

任意に、ＩＤ生成装置は、匿名にされたユーザＩＤを生成し出力するステップをステートレス・メソッドとして実行するよう構成される。

特定の個人は、システムとの関連で１つ以上のペルソナを用いて動作させたいと望んでよく、そのために、１つよりも多い匿名にされたユーザＩＤを要求してよい。特定のバージョンのシステムは、次のように、かかる機能を実現してよい。ＩＤ検索装置は、ＩＤ生成装置へのリクエストを、匿名にされたユーザＩＤに加えて、１つ以上の更なる匿名にされたユーザＩＤのためのリクエストと関連付けて提起し、前記１つ以上の更なる匿名にされたユーザＩＤを受け取り、該１つ以上の更なる匿名にされたユーザＩＤを前記個人へ出力するよう構成され、行動データソースデバイスは、又は利用される場合に中間デバイスは、前記匿名にされたユーザＩＤ及び前記１つ以上の更なる匿名にされたユーザＩＤの中からの１つの匿名にされたユーザＩＤの選択を前記個人から受け付け、該選択された匿名にされたユーザＩＤにより行動データを匿名で個人化するよう構成される。

ユーザデータを保護するために、実施形態は、暗号化及び認証を利用してよい。例えば、ＩＤ検索装置及び／又はＩＤ生成装置は、パブリック・キー・インフラストラクチャを介して認証されてよい。

実施形態は、匿名の且つ制限されたサービスの要望に対処する。この機能を実現するよう、先行技術のフレームワークは、プロトコル及び前提の基礎となるレベルで変更される。実施形態は、次の特徴を更に含んでよい。

・集団において個人を一意に特定するのに名前及び生年月日が適切でないことを前提として、何らかの更なる情報は、匿名にされたユーザＩＤの衝突を回避するよう、個人によってＩＤ生成装置へＩＤ検索装置を介して提供される個人識別情報から必要とされる。従って、例えば母親の旧姓、親又は他の親類の生年月日のような（名前及び生年月日を凌駕する）追加情報も、ＩＤ生成装置によって要求されてよい。追加情報は、要求される個人化された識別情報の高い水準に起因して、他の個人に成り代わって匿名にされたユーザＩＤを要求する一個人の能力をも低減する。個人識別情報は、集団の中から個人を一意に特定し且つ個人の身元を示す情報である。

・前の出来事において提起された匿名にされたユーザＩＤの新しい通知を受けるために、前の出来事において提起された同じ個人識別情報を個人が（ＩＤ生成装置へＩＤ検索装置を介して）再提起することが望ましいことがある。このために、日付フォーマットの変更、ある文字が大文字で書かれること、又はその他といった、同じ個人識別情報の表現の間の不一致は、異なる匿名にされたユーザＩＤが発せられることを生じさせないことが望ましい。従って、ＩＤ検索装置は、大文字で書かれるよう全てのテキストを設定すること、句読点を取ること、及び日付フォーマットを均一化することといった、フォーマット処理を実行することがあってよい。

・新しい匿名にされたユーザＩＤ（すなわち、前の出来事において生成された匿名にされたユーザＩＤとは異なる。）の要求とともに、前の出来事においてＩＤ検索装置に提起された同じ個人識別情報を個人が再提起する選択肢があってよい。この要求は、ＩＤ検索装置によって提供されるインターフェイスを介してよい。ＩＤ生成装置がステートレス・メソッドを作動させることに起因して、要求されている個人識別情報の組ごとに提起が１番目、２番目、３番目、又は他の新しい匿名にされたユーザＩＤのいずれであるかを特定するように、数値インジケータがＩＤ生成装置への全ての提起へ付加されることがあってよい。それによって、２番目の組は、１番目とは異なるようにされ得るが、どちらも再要求され得る。毎日の活動の異なる側面ごとに別個のペルソナをユーザが有して、ユーザに自身の個人情報に対する更なる制御を与えることも望ましい。

・個人は、ＩＤ検索装置とともに、パスワードにより保護されたユーザアカウントを有してよい。例えば、かかるユーザアカウントは、個人が、いくつの匿名にされたユーザＩＤを自身が過去に要求したことがあるのか、更には、場合により、その要求の日付／時間を知ることができるようにしてよい。

・ＩＤ生成装置によって提供されるサービス／機能のＰＫＩ証明書が実装されてよい。

他の態様の実施形態は、個人の行動を表すデータの記憶及びアクセス制御のための方法を含む。当該方法は、ＩＤ検索装置で、個人の身元を示す識別情報を受け取り、該受け取られた識別情報に対応するリクエストをＩＤ生成装置へ提起し、匿名にされたユーザＩＤを見返りとして受け取り、該匿名にされたユーザＩＤを前記個人へ出力する工程と、データストア及びアクセスコントローラを有するデータエンジンで、前記データストアは、前記ＩＤ検索装置にはアクセス不可能であり、個人化された行動データを受けて記憶し、該記憶されている個人化された行動データへのアクセスは、前記アクセスコントローラによって制御され、前記個人化された行動データは、前記個人の行動を表す行動データであって、前記匿名にされたユーザＩＤにより匿名で個人化されている工程と、前記アクセスコントローラで、サービスプロバイダからのデータアクセスリクエストが、前記個人化された行動データにアクセスするために、該個人化された行動データが個人化されている前記匿名にされたユーザＩＤを特定することを要求することによって、前記記憶されている個人化された行動データへのアクセスを制御する工程とを有する。

他の態様の実施形態は、コンピュータプログラムの組を含む。当該コンピュータプログラムは、複数の別個のコンピュータ装置によって実行される場合に、該複数の別個のコンピュータ装置に、本発明を具現する方法を実行させる。

他の態様の実施形態は、コンピュータプログラムの組であって、サーバによって実行される場合に、該サーバを実施形態のＩＤ検索装置として機能させるコンピュータプログラムと、サーバによって実行される場合に、該サーバを実施形態のデータエンジンとして機能させるコンピュータプログラムとを有するコンピュータプログラムの組を含む。

コンピュータプログラムの組は、サーバによって実行される場合に、該サーバを実施形態のＩＤ生成装置として機能させるコンピュータプログラムを更に有してよい。任意に、コンピュータプログラムの組は、ユーザデバイスによって実行される場合に、該ユーザデバイスを実施形態の行動データソースデバイス及び／又は中間デバイスとして機能させるコンピュータプログラムを有してよい。

更には、本発明の実施形態は、複数の相互接続されたコンピュータデバイスによって実行される場合に、該複数の相互接続されたコンピュータデバイスに、本発明を具現する方法を実行させるコンピュータプログラム又はコンピュータプログラムの組を含む。

本発明の実施形態は、複数の相互接続されたコンピュータデバイスによって実行される場合に、該複数の相互接続されたコンピュータデバイスを、先に又は本明細書における別なところで発明実施形態として定義されたコンピュータ装置として、機能させるコンピュータプログラム又はコンピュータプログラムの組を更に含む。

先に又は本明細書における別なところで発明実施形態として定義されたコンピュータ装置は、サーバ若しくはストレージユニット又は他のコンピュータであってよく、記載される機能は、コンピュータプログラムとして記憶されている命令の組をメモリにロードして、それらをプロセッサにより実行することによって、実施されてよい。コンピュータ装置は、メモリ、ストレージ、プロセッサ、ネットワークインターフェイス、及びＩ／Ｏデバイスのうちの１つ以上を含んでよい。

たとえ態様（ソフトウェア／方法／装置／システム）が別々に議論されるとしても、１つの態様に関して議論されるその特徴及び結果は、他の態様に同じく適用可能であることが理解されるべきである。従って、方法の特徴が議論される場合に、当然ながら、装置の実施形態は、その機能を実行するか又は適切な機能性を提供するよう構成されるユニット又は装置を含み、且つ、プログラムは、それらが実行されているコンピュータ装置に当該方法の特徴を実現させるよう構成される。

上記の態様のいずれにおいても、様々な特徴は、ハードウェアにおいて、又は１つ以上のプロセッサで実行されるソフトウェアモジュールとして、実装されてよい。１つの態様の特徴は、他の態様のいずれにも適用されてよい。

本発明は、ここで記載される方法のいずれかを実行するためのコンピュータプログラム又はコンピュータプログラム製品と、ここで記載される方法のいずれかを実行するためのプログラムを記憶しているコンピュータ可読媒体とを更に提供する。本発明を具現するコンピュータプログラムは、コンピュータ可読媒体において記憶されてよく、あるいは、それは、例えば、インターネットのウェブサイトから提供されるダウンロード可能なデータ信号のような信号の形をとってよく、又はそれは如何なる他の形であってもよい。

実施形態の具体例の詳細な説明は、添付の図面を参照して、以下で記載される。

実施形態のシステムを表す。 個人の行動を表すデータの記憶及びアクセス制御のための例となる方法又はプロトコルが如何にして図１のシステムを用いて実施されるのかを表す。 実施形態のシステム及びプロトコル／方法を表す。 実施形態のシステムの部分のハードウェア構成を表す。

図１は、実施形態のシステムを表す。システムは、ＩＤ（ＩＤは、本明細書の全体を通じて、身元（identity）の簡単な表記として使用される。）生成装置１２と、ＩＤ検索装置１４と、アクセスコントローラ２４及びデータストア２２を有するデータエンジン２０とを有する。

ＩＤ検索装置１４は、個人の身元を示す識別情報を受け取り、受け取った識別情報に対応するリクエストをＩＤ生成装置１２へ提起し、匿名にされたユーザＩＤを見返りとして受け取り、その匿名にされたユーザＩＤを個人へ出力するよう構成される。提起されるリクエストは匿名にされてよい。換言すると、提起されたリクエストは、受け取った識別情報のいずれも含まなくてよい。それにより、１つのリクエストは、他のリクエストと、それらが異なる時点に送出される場合以外では区別不可能である。代替案として、一意のシリアル番号がリクエストに帰属してよい。

ＩＤ検索装置１４は、例えばインターネット上で、バラバラな地理的位置にある個人がアクセス可能であるサーバ又は他のネットワーク化されたコンピュータデバイスである。サーバは、ネットワークＩ／Ｏ機能と、メモリと、ＩＤ検索装置の機能を実現するプログラムを実行するよう構成されるプロセッサと、プログラムを（符号化された形で）記憶するよう少なくとも構成されるストレージユニットとを有する。ＩＤ検索装置は、特定の識別情報と、任意に、対応する匿名にされたユーザＩＤとを記憶するよう構成されてよい。それらのデータがＩＤ検索装置１４によって記憶される場合は、それらは安全な方式で記憶され、例えば、パスワードにより保護されている。それにより、個人は、個人識別情報の提起時にパスワードを用意し、次いで、そのパスワードは、記憶されている個人識別情報又は対応する匿名にされたユーザＩＤにアクセスするために、提示されなければならない。

ＩＤ生成装置１２は、ＩＤ検索装置１４から個人識別情報を受け取り、受け取った個人識別情報に対して不可逆プロセスを実行することによってその受け取った個人識別情報に対応する匿名にされたユーザＩＤを生成し、匿名にされたユーザＩＤを個人へＩＤ検索装置１４を介して出力するよう構成される。

ＩＤ生成装置１２は、例えばインターネット上で又はセキュアネットワーク上で、ＩＤ検索装置１４のみがアクセス可能であるサーバ又は他のネットワーク化されたコンピュータデバイスである。ＩＤ生成装置１２は、１つよりも多いＩＤ検索装置１４がアクセス可能であってよい。それにより、１つよりも多い異なったエンティティがＩＤ検索装置の役割を満足することができる。ＩＤ生成装置１２の役割を果たすサーバは、ネットワークＩ／Ｏ機能と、メモリと、ＩＤ生成装置の機能を実現するプログラムを実行するよう構成されるプロセッサと、プログラムを（符号化された形で）記憶するよう少なくとも構成されるストレージユニットとを有する。プログラムは、簡易メッセージ（受け取られた個人識別情報）を、暗号ハッシュ関数を用いて、よりずっと大きいメッセージ空間（匿名にされたユーザＩＤを表す。）にマッピングするアルゴリズムであってよい。代替的に、ＩＤ検索装置１４からのリクエストは、識別情報を含まなくてよく、簡易メッセージは、システムクロック又は外部の計時装置から読み出された時間／日付情報のような情報から成ってよい。よって、個人識別情報の２つの異なる組は、同じ匿名にされたユーザＩＤを生じさせず、故に、衝突は回避される。いくつかの実施形態では、無作為化された要素が組み込まれてよく、それにより、特定の匿名にされたユーザＩＤへのリクエストのマッピングは、少なくとも部分的に無作為化され、それ故に容易には再現され得ない。ＩＤ生成装置１２は、如何なる個人識別情報も（実際には、いくつかの実施形態では、それはいずれも受信しない。）、又は出力される匿名にされたユーザＩＤの如何なる記録も記憶しない。ＩＤ生成装置は、その機能をステートレス・メソッドとして実行するよう構成される。

データエンジン２０は、データストア２２及びアクセスコントローラ２４を有する。データストア２２は、ＩＤ検索装置１４にはアクセス不可能であり、個人化された行動データを受け取り、その個人化された行動データを、アクセスがアクセスコントローラ２４によって制御される制御されたアクセス環境において記憶するよう構成される。個人化された行動データは、個人の行動を表す行動データであって、匿名にされたユーザＩＤにより匿名で個人化されている。データエンジン２０は、単一のサーバによって、又はサーバのネットワークによって、実現されてよい。特に、アクセスコントローラ２４は単一のサーバであってよく、このとき、データストア２２は複数の相互接続されたストレージユニットである。代替的に、アクセスコントローラ２４は、互いに協働して動作する複数のデータストレージサーバによって実行されるサービスであってよく、よって、複数のデータストレージサーバは、データストア２２及びアクセスコントローラ２４の両方の機能を実行するデータエンジン２０である。データストア２２を形成する１つ以上のストレージユニットは、制御されたアクセス環境であり、これは、その中に記憶されているデータにアクセスしたいと望む関係者が、例えば、パスワード、認証コード、又は他の技術を用いて、自身を認証しなければならないことを意味する。そのようにして、データエンジン２０は、データストア２２において記憶されている個人化された行動データにどの関係者がアクセスすることができるのかを制御することができ、特に、認証されたサービスプロバイダにのみアクセスを制限することができる。更には、アクセスコントローラ２４は、認証を通った認証されたサービスプロバイダでさえ、特定の個人化された行動データが個人化されている匿名にされたユーザＩＤが、サービスプロバイダによって知られており且つデータアクセスリクエストにおいて提示される場合にしか、その特定の個人化された行動データにアクセスすることができないように、アクセスを制限するよう構成される。従って、夫々のサービスプロバイダは、サービスプロバイダに登録している個人の個人化された行動データにしかアクセスすることができない。更には、アクセスコントローラは、所定の行動データカテゴリ集合の中の１つ以上のカテゴリに属するものとして個人化された行動データを記憶し、肯定的（すなわち、サービスプロバイダは、彼らが肯定的にアクセスすることを認められているカテゴリに属する行動データにのみアクセスすることができる。）及び／又は否定的（すなわち、サービスプロバイダは、特定のカテゴリに属する行動データにアクセス不可能にされ得る。）アクセスポリシーを用いてアクセスを制限することによって、個人化された行動データへのアクセスを更に制限するよう構成されてよい。

システムのエンティティ及び／又はシステム外部のエンティティ間のインターネット又は他のネットワーク上でのデータ交換は、暗号化されてよい。

データストア２２によって記憶されているデータは、ＩＤ検索装置１４及びＩＤ生成装置１２にはアクセス不可能である。データストア２２によって記憶されているデータへのアクセスは、識別可能なサービスプロバイダに制限されてよく、認証スキームは、アクセスリクエストの出所を確認するために実施されてよい。

個人化された行動データは、個人のリクエストがあったときに、アクセスコントローラ２４を介して、又は何らかの他のインターフェイスを介して、更には、場合により、データエンジン２０へ接続可能な行動データソースデバイス及び／又は中間デバイスを介して（例えば、インターネットを介して）、データストア２２へ書き込まれてよい。

アクセスコントローラ２４は、サービスプロバイダからのデータアクセスリクエストが、個人化された行動データにアクセスするために、その個人化された行動データが個人化されている匿名にされたユーザＩＤを特定することを要求することによって、個人化された行動データへのアクセスを制御するよう構成される。

図２は、個人の行動を表すデータの記憶及びアクセス制御のための例となる方法又はプロトコルが如何にして図１のシステムを用いて実行されるのかを表す。個人４０及びサービスプロバイダ３０を含む更なるエンティティが、図２の特定の例には含まれている。サービスプロバイダは、実施に応じて、システムの内部又は外部にあると見なされてよい。

個人４０は、個人識別情報によって特定の人又は合法的な組織として識別可能な人物である。個人４０はシステムユーザであり、本明細書との関連で、語「個人」は、語「システムユーザ」と置き換え可能である。

サービスプロバイダ３０は、サーバのようなサービス提供装置を有し、それにより、特定のペルソナの個人化された行動データを処理し、その処理の結果を用いて、ペルソナ（匿名にされたユーザＩＤによって表現されるペルソナ）が属する個人へサービスを提供する関係者である。従って、図２におけるサービスプロバイダ３０は、暗号化され得る接続にわたってネットワーク（例えば、インターネット）を介してデータエンジン２０へ接続可能なサーバによって表される。ＰＫＳシステム又は代替案は、サービスプロバイダ３０の身元を認証するよう、データエンジン２０に代わって作動してよい。

ステップＳ１０１で、個人４０は、個人識別情報をＩＤ検索装置１４へ提示する。個人識別情報は、個人４０の身元を示す情報である。ＩＤ検索装置１４は、提示された個人識別情報を受け取り、ステップＳ１０２で、識別情報（場合により、テキストの大文字化、日付フォーマットの正規化のような何らかの処理の後の情報）、又は識別情報の受信によってトリガされるが如何なる識別情報も含まない匿名にされたリクエストのいずれかであるリクエストをＩＤ生成装置１２へ提起する。ＩＤ生成装置１２は、個人識別情報に対応するリクエストをＩＤ検索装置１４から受け取り、一意であって、個人識別情報を識別するよう可逆的に処理され得ない匿名にされたユーザＩＤを生成するアルゴリズムを実行する。ステップＳ１０３で、ＩＤ生成装置１２は、受け取った個人識別情報の如何なる記録も記憶することなしに、生成したユーザＩＤを個人４０へＩＤ検索装置１４を介して出力する。ステップＳ１０４で、ＩＤ検索装置１４は、匿名にされたユーザＩＤをＩＤ生成装置１２から受け取り、それを個人４０へ転送する。

ステップＳ１０１及びＳ１０４に関与することにおいて、個人４０は、安全な接続（例えば、暗号化されたインターネット接続）にわたってＩＤ検索装置１４へ接続可能である１つ以上のユーザデバイスを使用してよい。

ステップＳ１０５は、データエンジン２０による個人４０の行動に関する個人化された行動データの受信、具体的には、データストア２２におけるそれらのデータの記憶を表す。現実には、個人４０はデータストア２２と直接には通信せず、実際上は行動データソースインフラストラクチャを利用して、行動データを生成し、その生成されたデータを（場合により、中間デバイスを用いて）匿名で個人化し、それらをデータストア２２での記憶のためにデータエンジン２０へ提示するので、ステップＳ１０５の線は破線である。

行動データは、個人４０の１つ以上の物理的性質の測定、及び／又は個人４０と行動データソースインフラストラクチャとの相互作用に関係がある。行動データは、個人４０のために生成された匿名にされたユーザＩＤとのリンク、ラベル付け、又は何らかの他の形式の関連付けによって、匿名で個人化される。

アクセスコントローラ２４は、データストア２２において記憶されている個人化された行動データへのアクセスを制御する。ステップＳ１０６で、サービスプロバイダ３０からのデータアクセスリクエストは、アクセスコントローラ２４で受け取られる（データストア２２は、アクセスコントローラ２４を介する以外には、リードアクセスのために直接にはアクセス不可能である。）。アクセスコントローラ２４は、サービスプロバイダ３０から受け取ったデータアクセスリクエストが、個人化された行動データにアクセスするために、個人化された行動データが個人化されている匿名にされたユーザＩＤを特定することを求めることによって、記憶されている個人化された行動データへのアクセスを制御するよう構成される。換言すると、サービスプロバイダ３０が、個人４０のために生成された匿名にされたユーザＩＤを用いて個人化されている行動データにアクセスしたいと望むならば、サービスプロバイダ３０は、ステップＳ１０６でのアクセスリクエストにおいて、匿名にされたユーザＩＤを特定しなければならない。ステップＳ１０７で、アクセスコントローラ２４は、次いで、サービスプロバイダ３０によって要求されているデータを用いて応答することができる。アクセスコントローラ２４は、サービスプロバイダ３０が匿名にされたユーザＩＤを知っていることに基づいて、個人４０がサービスプロバイダ３０に登録していると推測することができる。

図３は、実施形態のシステム及び方法／プロトコルの更なる例である。図３の例は、オープン“Ｃｏｅｌｉｔｉｏｎ”標準（http://coelition.org/を参照）との関連で与えられているが、既存のＣｏｅｌｉｔｉｏｎ標準化されたプロトコル及びアーキテクチャとは異なる。

ＩＤＡ２１２は、ＩＤ発行オーソリティ、例えば、Ｃｏｅｌｉｔｉｏｎに従うＩＤＡである。ＩＤＡ２１２は、本明細書において他の場所で記載されているＩＤ生成装置の例である。

ペルソナ装置２１４は、本明細書において他の場所で記載されているＩＤ検索装置の例である。

データエンジン２２０は、他の実施形態のデータエンジン２０の更なる例である。同様に、サービスプロバイダ２３０は、他の実施形態のサービスプロバイダ又はサービス提供装置の更なる例である。

デバイス２４２は、本明細書において他の場所で記載されるセンサ装置の例であり、行動データソースデバイスの例でもある。アトムソース２４４は、行動データソースデバイスの例であり、必要に応じて、デバイス２４２とデータエンジン２２０との間の中間デバイスとしても機能してよい。

ＣｏｅｌｉｔｉｏｎＩＤ（ＣＩＤ）は、本明細書において他の場所で記載される匿名にされたユーザＩＤの例である。クエリは、本明細書において他の場所で記載されるデータアクセスリクエストの例である。アトムは、本明細書において他の場所で記載される行動データの例であり、例えばステップ２０８にあるように、ＣＩＤとアトムとの組み合わせは、個人化された行動データの例である。

Ｃｏｅｌｉｔｉｏｎ運用要件は、ユーザがＣｏｅｌｉｔｉｏｎＩＤＡとの関連付けを形成することを禁止しており、従って、第三者が必要とされる。このペルソナ装置２１４は、第三者の役割を満足する。

図３の装置によって実行される動作の例となるシーケンスは、次のとおりである。

ステップＳ２０１で、任意に、何らかの追加情報により強化されており、任意に、クラスタマスクによってマスクをかけられている個人識別情報は、個人、又はシステムユーザ２４０によって、ペルソナ装置２１４へ提示される。Ｓ２０２で、個人識別情報の受信によってトリガされる匿名にされたリクエスト、又は個人識別情報の一部若しくは全てを含むリクエストは、ペルソナ装置２１４によってＩＤＡ２１２に提起される。ペルソナ装置２１４は、大文字化、句読点の除去、及び日付フォーマットの正規化のような何らかの処理を、受け取った個人識別情報に対して実行してよい。個人識別情報は、潜在的なユーザの集団の中から個人を一意に特定するのに十分であるべきである。名前及び生年月日のような基本的な個人識別情報は、ふた組の提示された個人識別情報が同じである確率を低減するよう、母親の生年月日のような追加の個人識別情報により強化されてよい。ＩＤＡ２１２によって用いられる暗号ハッシュ関数は、２つの異なる組の入力された個人識別情報が、同じ出力される匿名にされたユーザＩＤにマッピングしないようにする。ステップＳ２０３で、ＩＤＡ２１２は、匿名にされているか又は何らかの個人識別情報を含む受け取ったリクエストを、その受け取った個人識別情報に対応するＣｏｅｌｉｔｉｏｎＩＤと交換するステートレス・メソッドを実行し、ＣｏｅｌｉｔｉｏｎＩＤをペルソナ装置２１４へ出力する。ＩＤ生成装置がステートレスである（すなわち、ステートレス・メソッドを実行する）ことの代替案として、ＩＤ生成装置は、ステートフルにされ、よって、同じ匿名にされたユーザＩＤを二度と発行しないように、出力される匿名にされたユーザＩＤのリストを記録するよう構成されてよい。クラスタマスクは、任意に、ステップＳ２０２で用いられる。

Ｓ２０４で、ペルソナ装置２１４は、生成されたＣＩＤをユーザ２４０へ返す。このＣＩＤは、ユーザがアトム（例えば、エクササイズ・アトム）をデータエンジン２２０において記憶するために使用する匿名のペルソナを表す。

ステップＳ２０５で、匿名のサービスを個人２４０に提供したいと望むサービスプロバイダ２３０は、匿名のユーザとして個人２４０を登録するメカニズムを提供する。インターフェイスがサービスプロバイダによって提供され、これによって、登録は、ユーザを識別する情報としてＣＩＤを用意することしか要しない。換言すると、ユーザは、匿名にされたユーザＩＤがユーザに個人化されるのでサービスのユーザとして識別され得るが、ユーザの身元は登録によって明らかにされない。よって、サービスプロバイダ２３０は、ユーザがサービスに登録されていることと、ユーザがペルソナ装置２１４を利用して、匿名にされたユーザＩＤを受け取ったこととを知っているが、物理的な個人又は合法的な組織としてユーザを識別することはできない。

ステップＳ２０６で、ソフトウェアは、ユーザによってアトムソースデバイス２４４にダウンロードされる。ソフトウェアはＣＩＤを用いて個人化され、それにより、ソフトウェアがアトムソースデバイス２４４によって実行される場合に、ステップ２０７での如何なる受け取られた又は生成された行動データも、ＣＩＤを用いて個人化されてデータエンジン２２０に提示され得る。特定のサービスプロバイダ２３０からのソフトウェアを実行するアトムソースデバイス２４４によってデータエンジン２２０に提示される個人化された行動データは、その特定のサービスプロバイダ２３０のみがアクセス可能であるようにデータエンジン２２０によって記憶されてよい。

ステップＳ２０９で、サービスプロバイダ２３０は、サービスプロバイダ２３０のソフトウェアを実行する場合にアトムソースデバイス２４４によって生成されるユーザ２４０に関する行動データについて、プライバシー保護の制限をかけられたクエリを行う。ＣＩＤは、クエリに含まれ、データエンジン２２０によって、要求されているデータを識別し且つサービスプロバイダ２３０によるアクセスを認証するためにキーとして使用される。サービスプロバイダ２３０のある認証は、データエンジン２２０によって実行されてよい。

ステップＳ２１１で、サービス（例えば、カロリーカウント）は、オペークのＣＩＤにのみ基づき、ユーザに匿名で提供される。

Ｓ２０２、Ｓ２０３、Ｓ２０１、Ｓ２０９、Ｓ２０７及びＳ２０８の中のいずれかの個々のステップ又はステップの組み合わせは、ＰＫＩを介して保護されてよい。代替的に、又は付加的に、Ｓ２０１、Ｓ２０９、Ｓ２０７及びＳ２０８の中のいずれかの個々のステップ又はステップの組み合わせは、パスワードを介して保護されてよい。

図３の装置及び方法／プロトコルの使用ケースの例が、これより与えられる。これは、個々の患者の身体活動のレベルをモニタし、それを報告するＮＨＳのようなヘルスサービスの代表としての医師のために、サービスプロバイダによって、患者が何者であるかをサービスプロバイダが知らずに、歩数計数サービスが提供される医療使用ケースである（ヘルスサービスのみ個人識別情報を保持する。）。この例において、ヘルスサービスは、ペルソナ装置２１４を作動させる権限を与えられている。

ステップＳ２０１〜Ｓ２０３：患者（個人）は、彼らの医師（ペルソナ装置２１４を作動させる権限を与えられているヘルスサービスの代表）を通じてＣｏｅｌｉｔｉｏｎＩＤを登録する。

ステップＳ２０４：医師は、そのようにして得られたＣＩＤを患者に提供する。

ステップＳ２０５：患者は、このＣＩＤを用いて、歩数計数サービスプロバイダ２３０に匿名で登録する。

ステップＳ２０６〜Ｓ２１０：デバイスを腕に装着した患者は、携帯電話機２４４を介して、アプリケーションが患者の毎日の人間活動（この場合には、主として歩数計数）について報告し、それらのアトムをデータエンジン２２０に記憶する。歩数計数サービスプロバイダ２３０は、次いで、データエンジン２２０によって収集されたデータに対してクエリを行い、患者の活動レベルについての報告を（全ての歩数サービスがＣＩＤを有するので、匿名で）生成する。

ステップＳ２１１：報告は、患者のＣＩＤを用いて医師又は患者自身のいずれかによって読み出され得る。

図４は、実施形態のシステムの１つ以上の要素を実装するために使用され得る、例えばデータストレージサーバのようなコンピュータデバイスのブロック図である。例えば、ＩＤ生成装置、ＩＤ検索装置、又はデータエンジンは、図４において表されているような１つ以上のコンピュータデバイスによって夫々実施されてよい。データエンジンは、ネットワーク相互接続を介して協働する複数のそのようなコンピュータデバイスによって実現されてよい。コンピュータデバイスは、コンピュータプロセッシングユニット（ＣＰＵ）９３３と、ランダムアクセスメモリ（ＲＡＭ）のようなメモリ９９５と、ハードディスクのようなストレージ９９６とを有する。任意に、コンピュータデバイスは、実施形態の他のそのようなコンピュータデバイスとの通信のためのネットワークインターフェイス９９９を更に有する。例えば、実施形態は、そのようなコンピュータデバイスのネットワークから成ってよい。任意に、コンピュータデバイスは、リードオンリーメモリ（ＲＯＭ）９９４と、キーボード及びマウスのような１つ以上の入力メカニズム９９８と、１つ以上のモニタのようなディスプレイユニット９９７とを更に有してよい。コンポーネントは、バス９９２を介して互いに接続可能である。

ＩＤ検索装置及びＩＤ生成装置は、データエンジンにアクセスすることができず、従って、データエンジンは、ＩＤ検索装置又はＩＤ生成装置のいずれかと同じコンピュータデバイスの部分として設けられない。

ＣＰＵ９９３は、コンピュータデバイスを制御し、プロセッシング動作を実行するよう構成される。ＲＡＭ９９５は、ＣＰＵ９９３によって読み出され且つ書き込まれるデータを記憶する。ストレージユニット９９６は、例えば、不揮発性ストレージユニットであってよく、データを記憶するよう構成される。

ディスプレイユニット９９７は、コンピュータデバイスによって記憶されるデータの表現を表示し、ユーザとプログラムとの間の相互作用を可能にするカーソル並びにダイアログボックス及び画面と、コンピュータデバイスに記憶されているデータとを表示する。入力メカニズム９９８は、ユーザがコンピュータデバイスへデータ及び命令を入力できるようにする。

ネットワークインターフェイス（ネットワークＩ／Ｆ）９９９は、インターネットのようなネットワークへ接続され、ネットワークを介して他のそのようなコンピュータデバイスへ接続可能である。ネットワークＩ／Ｆ９９９は、ネットワークを介した他の装置とのデータ入出力を制御する。

マイクロホン、スピーカ、プリンタ、電源ユニット、ファン、ケース、スキャナ、トラックボールなどのような他の周辺デバイスは、コンピュータデバイスに含まれてよい。

ＩＤ生成装置、ＩＤ検索装置、及びデータエンジンのうちの１つ以上は、図４に表されているようなコンピュータデバイスによって実現される機能性として具現されてよい。本発明を具現する方法は、図４に表されているようなコンピュータデバイスにおいて実行されるか、又はそれによって実施されてよい。複数のそのようなコンピュータデバイスは、実施形態のソフトウェアを実行するために使用されてよい。実施形態を具現するか、又はそれを実施するために使用されるコンピュータデバイスは、図４に表されているあらゆるコンポーネントを有する必要はなく、それらのコンポーネントの一部から成ってよい。本発明を具現する方法は、ネットワークを介して１つ以上のデータストレージサーバと通信する単一のコンピュータデバイスによって実行されてよい。

ＩＤ生成装置は、ストレージユニット９９６において記憶されているプロセッシング命令と、該プロセッシング命令を実行するプロセッサ９９３と、前記プロセッシング命令の実行の間に情報オブジェクトを記憶するＲＡＭ９９５とを有してよい。

ＩＤ検索装置は、ストレージユニット９９６において記憶されているプロセッシング命令と、該プロセッシング命令を実行するプロセッサ９９３と、前記プロセッシング命令の実行の間に情報オブジェクトを記憶するＲＡＭ９９５とを有してよい。

データエンジンは、ストレージユニット９９６において記憶されているプロセッシング命令と、該プロセッシング命令を実行するプロセッサ９９３と、プロセッシング命令の実行の間に情報オブジェクトを記憶するＲＡＭ９９５とを有してよい。

上記の実施形態に加えて、以下の付記を開示する。
（付記１）
個人の行動を表すデータの記憶及びアクセス制御のためのシステムであって、
個人の身元を示す識別情報を受け取り、該受け取られた識別情報に対応するリクエストをＩＤ生成装置へ提起し、匿名にされたユーザＩＤを見返りとして受け取り、該匿名にされたユーザＩＤを前記個人へ出力するよう構成されるＩＤ検索装置と、
データストア及びアクセスコントローラを有し、前記データストアは、前記ＩＤ検索装置にはアクセス不可能であり、個人化された行動データを受けて記憶するよう構成され、該記憶されている個人化された行動データへのアクセスは、前記アクセスコントローラによって制御され、前記個人化された行動データは、前記個人の行動を表す行動データであって、前記匿名にされたユーザＩＤにより匿名で個人化されている、データエンジンと
を有し、
前記アクセスコントローラは、サービスプロバイダからのデータアクセスリクエストが、前記個人化された行動データにアクセスするために、該個人化された行動データが個人化されている前記匿名にされたユーザＩＤを特定することを要求することによって、前記個人化された行動データへのアクセスを制御するよう構成される、
システム。
（付記２）
前記アクセスコントローラは、前記データストアにアクセスすることを許可されているサービスプロバイダのリストを保持し、受け取られたデータアクセスリクエストが前記サービスプロバイダのリストの中の１つからであるか否かを判定し、そうでない場合は当該データアクセスリクエストをブロックするよう構成される、
付記１に記載のシステム。
（付記３）
前記データストアにアクセスすることを許可されている前記サービスプロバイダのうちの１つに代わって動作可能であって、匿名で個人化された登録リクエストを前記個人から受け取り、該匿名で個人化された登録リクエストは前記匿名にされたユーザＩＤによってのみ個人化されており、前記匿名にされたユーザＩＤを特定するとともに該特定された匿名にされたユーザＩＤにより個人化されている前記行動データの範囲を特定する前記データエンジンへのデータアクセスリクエストを提起し、前記特定された範囲内からの行動データを前記データエンジンから受け取り、該受け取られた行動データに対するデータ処理を実行し、前記個人に代わってデータ処理結果を出力するよう構成されるサービス提供装置を更に有する
付記２に記載のシステム。
（付記４）
前記行動データは、前記個人の行動を表す行動データを生成するように前記個人と相互作用するよう構成される行動データソースデバイスからである、
付記１に記載のシステム。
（付記５）
前記行動データソースデバイスは、センサ装置であり、該センサ装置は、前記個人の物理的性質の一連の測定を行動データとして記録するよう、且つ、前記行動データを前記センサ装置で前記個人の前記匿名にされたユーザＩＤにより匿名で個人化することによって、又は前記行動データが受け取られ、前記個人の前記匿名にされたユーザＩＤにより匿名で個人化され、個人化された行動データとして前記データエンジンへ転送される中間デバイスを介して、前記記録された一連の測定を個人化された行動データとして前記データエンジンへ提示するよう構成される、
付記４に記載のシステム。
（付記６）
前記行動データソースデバイスは、前記個人と相互作用し、該個人との相互作用を表す情報を記録するよう、且つ、前記行動データを前記行動データソースデバイスで前記個人の前記匿名にされたユーザＩＤにより匿名で個人化することによって、又は前記行動データが受け取られ、前記個人の前記匿名にされたユーザＩＤにより匿名で個人化され、個人化された行動データとして前記データエンジンへ転送される中間デバイスを介して、前記記録された情報を個人化された行動データとしてデータエンジンへ提示するよう構成される、
付記４に記載のシステム。
（付記７）
前記行動データソースデバイスは、実行される場合に前記行動データソースデバイスに個人データを生成させ且つ該生成されたデータを前記データエンジンへ提示させるソフトウェアを受けてインストールするよう構成される、
付記６に記載のシステム。
（付記８）
前記データストアは、前記受け取られた個人化された行動データを、所定のカテゴリ集合の中の１つ以上のカテゴリのカテゴリ化と関連付けて記憶するよう構成され、
前記アクセスコントローラは、サービスプロバイダからデータアクセスリクエストを受け取ると、前記サービスプロバイダを識別し、該識別されたサービスプロバイダが前記所定のカテゴリ集合の中のどの１つ以上のカテゴリにアクセスすることを許可されているのかを決定し、前記サービスプロバイダがアクセスすることを許可されている前記１つ以上のカテゴリのうちの１つにおいてカテゴリ化されていない個人化された行動データに当該データアクセスリクエストがアクセスしないようにすることによって、前記個人化された行動データへのアクセスを制御するよう構成される、
付記１に記載のシステム。
（付記９）
前記ＩＤ生成装置を更に有し、該ＩＤ生成装置は、前記リクエストを受信することに応答して不可逆プロセスを実行することによって前記匿名にされたユーザＩＤを生成し、該匿名にされたユーザＩＤを前記個人へ前記ＩＤ検索装置を介して出力するよう構成される、
付記１に記載のシステム。
（付記１０）
前記ＩＤ生成装置は、前記匿名にされたユーザＩＤを生成し出力するステップをステートレス・メソッドとして実行するよう構成される、
付記９に記載のシステム。
（付記１１）
前記ＩＤ検索装置は、前記ＩＤ生成装置へのリクエストを、前記匿名にされたユーザＩＤに加えて、１つ以上の更なる匿名にされたユーザＩＤのためのリクエストと関連付けて提起し、前記１つ以上の更なる匿名にされたユーザＩＤを受け取り、該１つ以上の更なる匿名にされたユーザＩＤを前記個人へ出力するよう構成され、
前記行動データソースデバイスは、又は利用される場合に中間デバイスは、前記匿名にされたユーザＩＤ及び前記１つ以上の更なる匿名にされたユーザＩＤの中からの１つの匿名にされたユーザＩＤの選択を前記個人から受け付け、該選択された匿名にされたユーザＩＤにより行動データを匿名で個人化するよう構成される、
付記４又は５に記載のシステム。
（付記１２）
前記ＩＤ検索装置及び／又は前記ＩＤ生成装置は、パブリック・キー・インフラストラクチャを介して認証される、
付記１に記載のシステム。
（付記１３）
個人の行動を表すデータの記憶及びアクセス制御のための方法であって、
ＩＤ検索装置で、個人の身元を示す識別情報を受け取り、該受け取られた識別情報に対応するリクエストをＩＤ生成装置へ提起し、匿名にされたユーザＩＤを見返りとして受け取り、該匿名にされたユーザＩＤを前記個人へ出力し、
データストア及びアクセスコントローラを有するデータエンジンで、前記データストアは、前記ＩＤ検索装置にはアクセス不可能であり、個人化された行動データを受けて記憶し、該記憶されている個人化された行動データへのアクセスは、前記アクセスコントローラによって制御され、前記個人化された行動データは、前記個人の行動を表す行動データであって、前記匿名にされたユーザＩＤにより匿名で個人化されており
前記アクセスコントローラで、サービスプロバイダからのデータアクセスリクエストが、前記個人化された行動データにアクセスするために、該個人化された行動データが個人化されている前記匿名にされたユーザＩＤを特定することを要求することによって、前記記憶されている個人化された行動データへのアクセスを制御する
ことを有する方法。
（付記１４）
第１のサーバによって実行される場合に、該第１のサーバに、
個人の身元を示す識別情報を受け取り、該受け取られた識別情報に対応するリクエストをＩＤ生成装置へ提起し、匿名にされたユーザＩＤを見返りとして受け取り、該匿名にされたユーザＩＤを前記個人へ出力する工程
を実行させるコンピュータプログラムを記憶した第１の非一時的な記憶媒体エリアと、
前記第１のサーバにはアクセス不可能であるデータ記憶ユニットを有する第２のサーバによって実行される場合に、該第２のサーバに、
個人化された行動データを受けて記憶する工程であって、該記憶されている個人化された行動データへのアクセスは、前記第２のサーバによって制御され、前記個人化された行動データは、前記個人の行動を表す行動データであって、前記匿名にされたユーザＩＤにより匿名で個人化されている、工程と、
サービスプロバイダからのデータアクセスリクエストが、前記個人化された行動データにアクセスするために、該個人化された行動データが個人化されている前記匿名にされたユーザＩＤを特定することを要求することによって、前記記憶されている個人化された行動データへのアクセスを制御する工程と
を実行させるコンピュータプログラムを記憶した第２の非一時的な記憶媒体エリアと
を有する非一時的な記憶媒体。
（付記１５）
第３のサーバによって実行される場合に、該第３のサーバに、
前記第１のサーバから前記リクエストを受け取り、該リクエストを受け取ることに応答して不可逆プロセスを実行することによって前記匿名にされたユーザＩＤを生成し、該匿名にされたユーザＩＤを前記個人へ前記第１のサーバを介して出力する工程
を実行させるコンピュータプログラムを記憶した第３の非一時的な記憶媒体エリアを更に有する
付記１４に記載の非一時的な記憶媒体。

１２ ＩＤ生成装置
１４ ＩＤ検索装置
２０，２２０ データエンジン
２２ データストア
２４ アクセスコントローラ
３０，２３０ サービスプロバイダ
４０ 個人
２１２ ＩＤＡ（ＩＤ生成装置）
２１４ ペルソナ装置（ＩＤ検索装置）
２４２ デバイス（センサ装置；行動データソースデバイス）
２４４ アトムソース（行動データソースデバイス；中間デバイス）

Claims (15)

1. 個人の行動を表すデータの記憶及びアクセス制御のためのシステムであって、
   個人の身元を示す識別情報を受け取り、該受け取られた識別情報に対応するリクエストをＩＤ生成装置へ提起し、匿名にされたユーザＩＤを見返りとして受け取り、該匿名にされたユーザＩＤを前記個人へ出力するよう構成されるＩＤ検索装置と、
   データストア及びアクセスコントローラを有し、前記データストアは、前記ＩＤ検索装置にはアクセス不可能であり、個人化された行動データを受けて記憶するよう構成され、該記憶されている個人化された行動データへのアクセスは、前記アクセスコントローラによって制御され、前記個人化された行動データは、前記個人の行動を表す行動データであって、前記匿名にされたユーザＩＤにより匿名で個人化されている、データエンジンと
   を有し、
   前記アクセスコントローラは、サービスプロバイダからのデータアクセスリクエストが、前記個人化された行動データにアクセスするために、該個人化された行動データが個人化されている前記匿名にされたユーザＩＤを特定することを要求することによって、前記個人化された行動データへのアクセスを制御するよう構成される、
   システム。
2. 前記アクセスコントローラは、前記データストアにアクセスすることを許可されているサービスプロバイダのリストを保持し、受け取られたデータアクセスリクエストが前記サービスプロバイダのリストの中の１つからであるか否かを判定し、そうでない場合は当該データアクセスリクエストをブロックするよう構成される、
   請求項１に記載のシステム。
3. 前記データストアにアクセスすることを許可されている前記サービスプロバイダのうちの１つに代わって動作可能であって、匿名で個人化された登録リクエストを前記個人から受け取り、該匿名で個人化された登録リクエストは前記匿名にされたユーザＩＤによってのみ個人化されており、前記匿名にされたユーザＩＤを特定するとともに該特定された匿名にされたユーザＩＤにより個人化されている前記行動データの範囲を特定する前記データエンジンへのデータアクセスリクエストを提起し、前記特定された範囲内からの行動データを前記データエンジンから受け取り、該受け取られた行動データに対するデータ処理を実行し、前記個人に代わってデータ処理結果を出力するよう構成されるサービス提供装置を更に有する
   請求項２に記載のシステム。
4. 前記行動データは、前記個人の行動を表す行動データを生成するように前記個人と相互作用するよう構成される行動データソースデバイスからである、
   請求項１に記載のシステム。
5. 前記行動データソースデバイスは、センサ装置であり、該センサ装置は、前記個人の物理的性質の一連の測定を行動データとして記録するよう、且つ、前記行動データを前記センサ装置で前記個人の前記匿名にされたユーザＩＤにより匿名で個人化することによって、又は前記行動データが受け取られ、前記個人の前記匿名にされたユーザＩＤにより匿名で個人化され、個人化された行動データとして前記データエンジンへ転送される中間デバイスを介して、前記記録された一連の測定を個人化された行動データとして前記データエンジンへ提示するよう構成される、
   請求項４に記載のシステム。
6. 前記行動データソースデバイスは、前記個人と相互作用し、該個人との相互作用を表す情報を記録するよう、且つ、前記行動データを前記行動データソースデバイスで前記個人の前記匿名にされたユーザＩＤにより匿名で個人化することによって、又は前記行動データが受け取られ、前記個人の前記匿名にされたユーザＩＤにより匿名で個人化され、個人化された行動データとして前記データエンジンへ転送される中間デバイスを介して、前記記録された情報を個人化された行動データとしてデータエンジンへ提示するよう構成される、
   請求項４に記載のシステム。
7. 前記行動データソースデバイスは、実行される場合に前記行動データソースデバイスに個人データを生成させ且つ該生成されたデータを前記データエンジンへ提示させるソフトウェアを受けてインストールするよう構成される、
   請求項６に記載のシステム。
8. 前記データストアは、前記受け取られた個人化された行動データを、所定のカテゴリ集合の中の１つ以上のカテゴリのカテゴリ化と関連付けて記憶するよう構成され、
   前記アクセスコントローラは、サービスプロバイダからデータアクセスリクエストを受け取ると、前記サービスプロバイダを識別し、該識別されたサービスプロバイダが前記所定のカテゴリ集合の中のどの１つ以上のカテゴリにアクセスすることを許可されているのかを決定し、前記サービスプロバイダがアクセスすることを許可されている前記１つ以上のカテゴリのうちの１つにおいてカテゴリ化されていない個人化された行動データに当該データアクセスリクエストがアクセスしないようにすることによって、前記個人化された行動データへのアクセスを制御するよう構成される、
   請求項１に記載のシステム。
9. 前記ＩＤ生成装置を更に有し、該ＩＤ生成装置は、前記リクエストを受信することに応答して不可逆プロセスを実行することによって前記匿名にされたユーザＩＤを生成し、該匿名にされたユーザＩＤを前記個人へ前記ＩＤ検索装置を介して出力するよう構成される、
   請求項１に記載のシステム。
10. 前記ＩＤ生成装置は、前記匿名にされたユーザＩＤを生成し出力するステップをステートレス・メソッドとして実行するよう構成される、
    請求項９に記載のシステム。
11. 前記ＩＤ検索装置は、前記ＩＤ生成装置へのリクエストを、前記匿名にされたユーザＩＤに加えて、１つ以上の更なる匿名にされたユーザＩＤのためのリクエストと関連付けて提起し、前記１つ以上の更なる匿名にされたユーザＩＤを受け取り、該１つ以上の更なる匿名にされたユーザＩＤを前記個人へ出力するよう構成され、
    前記行動データソースデバイスは、又は利用される場合に中間デバイスは、前記匿名にされたユーザＩＤ及び前記１つ以上の更なる匿名にされたユーザＩＤの中からの１つの匿名にされたユーザＩＤの選択を前記個人から受け付け、該選択された匿名にされたユーザＩＤにより行動データを匿名で個人化するよう構成される、
    請求項４又は５に記載のシステム。
12. 前記ＩＤ検索装置及び／又は前記ＩＤ生成装置は、パブリック・キー・インフラストラクチャを介して認証される、
    請求項１に記載のシステム。
13. 個人の行動を表すデータの記憶及びアクセス制御のための方法であって、
    ＩＤ検索装置で、個人の身元を示す識別情報を受け取り、該受け取られた識別情報に対応するリクエストをＩＤ生成装置へ提起し、匿名にされたユーザＩＤを見返りとして受け取り、該匿名にされたユーザＩＤを前記個人へ出力し、
    データストア及びアクセスコントローラを有するデータエンジンで、前記データストアは、前記ＩＤ検索装置にはアクセス不可能であり、個人化された行動データを受けて記憶し、該記憶されている個人化された行動データへのアクセスは、前記アクセスコントローラによって制御され、前記個人化された行動データは、前記個人の行動を表す行動データであって、前記匿名にされたユーザＩＤにより匿名で個人化されており
    前記アクセスコントローラで、サービスプロバイダからのデータアクセスリクエストが、前記個人化された行動データにアクセスするために、該個人化された行動データが個人化されている前記匿名にされたユーザＩＤを特定することを要求することによって、前記記憶されている個人化された行動データへのアクセスを制御する
    ことを有する方法。
14. 第１のサーバによって実行される場合に、該第１のサーバに、
    個人の身元を示す識別情報を受け取り、該受け取られた識別情報に対応するリクエストをＩＤ生成装置へ提起し、匿名にされたユーザＩＤを見返りとして受け取り、該匿名にされたユーザＩＤを前記個人へ出力する工程
    を実行させるコンピュータプログラムを記憶した第１の非一時的な記憶媒体エリアと、
    前記第１のサーバにはアクセス不可能であるデータ記憶ユニットを有する第２のサーバによって実行される場合に、該第２のサーバに、
    個人化された行動データを受けて記憶する工程であって、該記憶されている個人化された行動データへのアクセスは、前記第２のサーバによって制御され、前記個人化された行動データは、前記個人の行動を表す行動データであって、前記匿名にされたユーザＩＤにより匿名で個人化されている、工程と、
    サービスプロバイダからのデータアクセスリクエストが、前記個人化された行動データにアクセスするために、該個人化された行動データが個人化されている前記匿名にされたユーザＩＤを特定することを要求することによって、前記記憶されている個人化された行動データへのアクセスを制御する工程と
    を実行させるコンピュータプログラムを記憶した第２の非一時的な記憶媒体エリアと
    を有する非一時的な記憶媒体。
15. 第３のサーバによって実行される場合に、該第３のサーバに、
    前記第１のサーバから前記リクエストを受け取り、該リクエストを受け取ることに応答して不可逆プロセスを実行することによって前記匿名にされたユーザＩＤを生成し、該匿名にされたユーザＩＤを前記個人へ前記第１のサーバを介して出力する工程
    を実行させるコンピュータプログラムを記憶した第３の非一時的な記憶媒体エリアを更に有する
    請求項１４に記載の非一時的な記憶媒体。

Images