JP2016177452A - 移動経路データ匿名化装置および方法 - Google Patents

Abstract

【課題】個人の特定を避けつつ有効活用可能な形式で移動経路データを匿名化する。
【解決手段】移動経路データ匿名化装置は、移動経路と移動が行われた時間帯とを含む移動経路データを取得する経路データ取得手段と、前記複数の移動経路データを、移動経路の類似度に基づいて同一クラス内の移動経路データ数が第１閾値以上となるようにクラス分けし、同一クラス内の移動経路データの移動経路を代表移動経路に統一する経路匿名化手段と、同一クラス内の移動経路データについて同じ時間帯に行われた移動が第２閾値以上となるように前記移動経路データにおける移動が行われた時間帯を抽象化する時刻匿名化手段と、経路匿名化手段と時刻匿名化手段による処理後の移動経路データを出力する出力手段と、を備える。
【選択図】図３

Description

本発明は、移動経路データを匿名化する技術に関する。

数多くの車両からサーバにデータを送信し、サーバにおいてデータを加工することで種々のサービスを提供することができる。例えば、特許文献１では、災害時に車両の走行履歴を収集することで、その時点で走行可能な避難ルートマップを作成することが開示されている。このように、車両の移動経路データは有効なデータであり、種々のサービスに利用可能である。

ただし、移動経路データから個人を特定することが可能であるため、移動経路データは個人保護法によって規定される個人情報に該当し、そのままでは情報提供者の同意なく第三者に提供することはできない。したがって、個人を特定できないように移動経路データを匿名化することが望まれている。

特許文献２は、ユーザの移動履歴のうち、軌跡データに含まれるそれぞれの位置を存在確率に変換するとともに、一定時間が経過していればデータを消滅させることで個人特定を防いでいる。しかしながら、軌跡が抽象化されたエリアにぼかされてしまうので、経路案内等のサービスに応用することが困難になってしまうという問題がある。

特許文献３は、ユーザの位置情報を取得してよい領域と取得してはいけないパーソナルエリア領域とを設定し、ユーザの移動経路情報を取得する際に、パーソナルエリア領域の移動履歴は削除したり利用禁止にしたりすることで、ユーザのプライバシーに配慮している。しかしながら、パーソナルエリア領域の移動経路が削除されても、その他の経路が他のユーザと比べてユニークであれば、経路から個人を特定できてしまうという問題がある。

特許文献４は、ｋ−匿名化の手法を用いて、ユーザのプライバシーを保護することを開示する。しかしながら、ｋ−匿名性を担保するために位置情報の精度を落とすと、移動経路がぼかされてしまう。また、位置情報の精度を落とさずにｋ−匿名性を担保しようとすると、数多くのユーザが通る経路のみしか利用できないことになってしまう。

特許文献５は、車両情報を収集する際に、個人を特定できる情報と個人を特定できない情報とを異なるセッションで送信することで、ユーザのプライバシーに配慮している。しかしながら、移動経路自体が個人を特定できる情報であるため、この手法では移動経路の匿名化はできない。

特開２０１１−９５８５０号公報 特開２０１３−２２２３０５号公報 特開２０１０−３４７８４号公報 特開２０１２−１２８８５９号公報 特開２０１４−１０２６８０号公報

上記のような問題を考慮して、本発明は、個人の特定を避けつつ有効活用可能な形式で移動経路データを匿名化可能な技術を提供することを目的とする。

上記目的を達成するために、本発明に係る移動経路データ匿名化装置は、以下の構成を備える。すなわち、本発明にかかる移動経路データ匿名化装置は、移動経路と移動が行われた時間帯とを含む移動経路データを取得する経路データ取得手段と、前記複数の移動経路データを、移動経路の類似度に基づいて同一クラス内の移動経路データ数が第１閾値以上となるようにクラス分けし、同一クラス内の移動経路データの移動経路を代表移動経路に統一する経路匿名化手段と、同一クラス内の移動経路データについて同じ時間帯に行われた移動が第２閾値以上となるように前記移動経路データにおける移動が行われた時間帯を抽象化する時刻匿名化手段と、経路匿名化手段と時刻匿名化手段による処理後の移動経路データを出力する出力手段と、を備える。

このような構成によれば、移動経路および移動時刻（時間帯）が抽象化されて、出力結果に含まれる移動経路データにおいてある時間帯にある移動経路をとったユーザの数が閾値以上であることが担保でき、出力された移動経路から個人を特定することが困難となる。また、出力される移動経路データは位置範囲がぼかされたデータではないため、種々のサービスに有効活用することができる。

移動経路データは、例えば、通過したリンクの集合として表すことができるし、通過したノードの集合として表すこともできる。移動が行われた時間帯は、リンクあるいはノードに進入した時刻や退出した時刻として表すことができる。

経路匿名化手段による経路データのクラス分けは、移動経路の類似度に基づく処理であれば、特に限定されない。移動経路の類似度は、例えば、レーベンシュタイン距離やジャカード（Jaccard）距離などの尺度を用いて測ることができる。なお、本明細書では、類
似している場合を類似度が高いと表現し、類似していない場合を類似度が低いと表現するが、実装においては類似度として類似しているほど小さい数値を割り当てても構わない。例えば、距離を類似度として採用する場合には、値が小さいほど類似度が高いことになる。

本発明において、前記経路匿名化手段は、前記移動経路データにクラスタリング処理を施し、クラスタ内のデータ数が前記第１閾値よりも小さなクラスタ内の移動経路データは削除することができる。このようにすれば、同一クラス（クラスタ）内の移動経路データの数が第１閾値以上とすることができ、移動経路データから個人を特定することが困難になる。

本発明において、前記経路匿名化手段は、移動経路データを逐次的にクラスタリング処理を施すものであり、処理対象の移動経路データと、処理済みのクラスタの代表移動経路データとの類似度を算出し、前記類似度のいずれかが前記所定値以上であれば、処理対象の移動経路データは前記類似度が最も高い代表移動経路データのクラスタに属すると判断し、前記類似度のいずれもが前記所定値よりも低ければ、処理対象の移動経路データは、新たなクラスタの代表移動経路データであると判断する、ことができる。このような構成によれば、比較的少ない演算によりクラスタリングが可能である。

上記の手法によってクラスタリングを行う場合には、前記経路匿名化手段は、それぞれのクラスタについて、クラスタ内のその他の移動経路データとの類似度が最も高い移動経路データを、代表移動経路データに設定しなおす、ことも好ましい。なお、クラスタ内のその他の移動経路データとの類似度は、同一クラスタ内の他のデータとの距離の二乗和や
絶対値和などによって評価できる。上述のように移動経路データを逐次的に処理してクラスタリングする場合、後から入力された移動経路データの方が代表移動経路として相応しい場合も生じる。代表移動経路データを設定し直すことで、より適切な経路を代表移動経路とすることができる。

また、前記経路匿名化手段は、前記移動経路データに階層型クラスタリング処理を施すこともできる。階層型クラスタリングは、具体的にはどのようなものであってもよく、分岐型および凝集型のいずれも採用可能である。また、クラスタ間の距離として、最短距離、最長距離、群平均距離、ウォード距離などの基準を採用可能である。階層型クラスタリング処理を採用する場合、前記経路匿名化手段は、クラスタ内類似度が所定値以上でありかつクラス内のデータ数が前記第１閾値以上となるようにクラス分けを決定するものであり、クラス内類似度が前記所定値以上でありかつクラス内のデータ数が前記第１閾値以上となるようにクラス分けできない移動経路データは削除する、ことも好ましい。このようにしても、同一クラス内の移動経路の類似性を担保しつつ、同一クラス内のデータ数を第１閾値以上とすることができる。

また、前記経路匿名化手段は、出発地と目的地のペアが同じ移動経路データごとに、上記のクラス分けおよび移動経路の統一を行うことが好ましい。なお、出発地と目的地は、後述するようにある程度の範囲を有するエリアとして表されてもよく、この場合は、出発地エリアと目的地エリアのペアが同じ移動経路データごとに処理が行われることになる。上述したように、クラス分けおよび移動経路を統一する処理では、出発地と目的地のペアが一致している方が、処理が容易であるとともに得られる結果が有効活用しやすいという効果が得られる。

また、本発明における前記時刻匿名化手段は、同一クラス内の移動経路データについて、同じ時間帯に行われた移動が前記第２閾値よりも少なければ、当該時間帯に行われた移動経路データを削除することができる。あるいは、前記時刻匿名化手段は、同一クラス内の移動経路データについて、同じ時間帯に行われた移動が前記第２閾値よりも少なければ、時間帯を広げる処理を行うこともできる。このようにすれば、ある時間帯に行われた移動の数が第２閾値以上となることを担保でき、移動が行われた時間帯から個人を特定することが困難になる。

また、本発明は、移動経路データにおける出発地と目的地を、抽象化された領域に置き換える地点抽象化手段をさらに備えることも好ましい。出発地と目的地によって個人の特定が容易になるため、これらの地点をある程度の範囲を有するエリアに置き換えることで、個人の特定を困難にできる。なお、必ずしも全ての出発地と目的地を、抽象化する必要はなく、出発地および目的地が個人を特定する地点であるパーソナルエリアに該当するか否か判断し、パーソナルエリアに該当する出発地および目的地を抽象化された領域に置き換えてもよい。パーソナルエリアに該当するか否かは、移動経路データの提供者が明示的に指示してもよいし、同一ユーザの移動履歴から統計処理によって判断してもよい。

出発地および目的地の抽象化処理は、経路および時刻の抽象化処理の前に行われても後に行われてもよい。すなわち、前記経路匿名化手段および前記時刻匿名化手段が、前記地点抽象化手段による処理後の移動経路データを対象として処理を行ってもよいし、前記地点抽象化手段が、前記経路匿名化手段および前記時刻匿名化手段による処理後の移動経路データを対象として処理を行ってもよい。

本発明において、移動経路データ匿名化装置は、移動経路データをどのように取得してもよい。例えば、移動経路データ自体の入力を受け付けてもよい。あるいは、移動経路データ匿名化装置は、位置情報と時刻情報を複数含む移動履歴データを複数取得する移動履
歴取得手段をさらに備え、前記移動経路取得手段は、前記移動履歴データから前記移動経路データを生成する、こともできる。

なお、本発明は、上記手段の少なくとも一部を備える移動経路データ匿名化装置として捉えることができる。また、本発明は、上記手段が行う処理の少なくとも一部を実行する移動経路データ匿名化方法として捉えることもできる。また、本発明は、この方法をコンピュータに実行させるためのコンピュータプログラム、あるいはこのコンピュータプログラムを非一時的に記憶したコンピュータ可読記憶媒体として捉えることもできる。上記手段および処理の各々は可能な限り互いに組み合わせて本発明を構成することができる。

本発明によれば、個人の特定を避けつつ有効活用可能な形式で移動経路データを匿名化できる。

第１の実施形態にかかる（ａ）移動経路データ収集システムの構成、（ｂ）車載端末の機能ブロック図、（ｃ）経路データ処理装置２０の機能ブロック図である。 第１の実施形態において車載端末によって行われる移動履歴データの取得・送信処理を表すフローチャートである。 第１の実施形態において経路データ処理装置によって行われる移動経路匿名化処理の全体の流れを示すフローチャートである。 第１の実施形態における移動経路データのデータフォーマット例を示す図である。 第１の実施形態の移動経路匿名化処理における出発地／目的地匿名化処理の詳細を示すフローチャートである。 第１の実施形態における出発地／目的地匿名化処理を説明する図である。 第１の実施形態の移動経路匿名化処理における経路匿名化処理の詳細を示すフローチャートである。 第１の実施形態における経路匿名化処理を説明する図である。 第１の実施形態の移動経路匿名化処理における時刻匿名化処理の詳細を示すフローチャートである。 第１の実施形態の移動経路匿名化処理における時刻匿名化処理の変形例を示すフローチャートである。 第１の実施形態における時刻匿名化処理を説明する図である。 第２の実施形態における経路匿名化処理の詳細を示すフローチャートである。 第２の実施形態における経路匿名化処理を説明する図である。 第３の実施形態における移動経路匿名化処理の全体の流れを示すフローチャートである。

（第１の実施形態）
＜システム構成＞
図１（ａ）は、本実施形態にかかる移動経路データ収集システムの構成を示す図である。移動経路データ収集システムは、車両１に搭載された車載端末１０と、車載端末１０とネットワーク３０を介して接続された経路データ処理装置２０とから構成される。図では１台の車両しか示していないが、移動経路データ収集システムは実際には複数の車両を含む。車載端末１０は、定期的に時刻時報と位置情報を取得し、経路データ処理装置２０に送信する。経路データ処理装置２０は、車載端末１０から収集した位置の履歴情報から移動経路データを生成し、移動経路データから個人を特定できないように移動経路データに
対して匿名化処理を施す。

車載端末１０は、ＣＰＵやＭＰＵなどの演算装置、主記憶装置や補助記憶装置などの記憶装置、入出力装置、通信インタフェースなどを含む。車載端末１０は、記憶装置に格納されたプログラムを演算装置が実行することによって、図１（ｂ）に示す各機能を実現する。すなわち、車載端末１０は、位置情報取得部１１、時刻情報取得部１２、履歴情報送信部１３として機能する。なお、これらの機能部の一部または全部について専用のハードウェア回路によって実現しても構わない。

位置情報取得部１１は、車両１に搭載された位置情報取得装置から現在位置の情報を取得する。位置情報取得装置は、典型的には、全地球航法衛星システム（ＧＮＳＳ：Global
Navigation Satellite System）の衛星信号に基づいて位置情報を算出する装置であり、例えば、ＧＰＳ（Global Positioning System）、ガリレオ、ＧＬＯＮＡＳＳ、北斗など
を挙げることができる。ただし、位置情報の取得は、無線基地局からの電波に基づく基地局測位によって行われてもよい。

時刻情報取得部１２は、現在時刻の情報を取得する。位置情報取得装置は時刻情報を取得可能であるため、位置情報取得装置と時刻情報取得装置は同じ装置であっても構わない。また、時刻情報取得部１２は、車両１に搭載された内部クロックから時刻情報を取得してもよい。

履歴情報送信部１３は、位置情報取得部１１が取得した位置情報と、時刻情報取得部１２が取得した時刻情報とを、経路データ処理装置２０に送信する機能部である。履歴情報送信部１３は、位置情報や時刻情報を取得する度に経路データ処理装置２０に送信してもよいし、位置情報や時刻情報を一時的に蓄積してからまとめて経路データ処理装置２０に送信してもよい。履歴情報送信部１３は、位置情報と時刻情報を含む送信データを生成して、無線通信によりネットワーク３を介して送信データを経路データ処理装置２０に送信する。

経路データ処理装置２０は、ＣＰＵやＭＰＵなどの演算装置、主記憶装置や保持記憶装置などの記憶装置、入出力装置、通信インタフェースなどを有するコンピュータである。経路データ処理装置２０は、必ずしも１台のコンピュータによって構成される必要はなく、ネットワークを介して通信可能な複数のコンピュータから構成されてもよい。経路データ処理装置２０は、演算装置がプログラムを実行することで、図１（ｃ）に示す各機能を実現する。すなわち、経路データ処理装置２０は、履歴情報受信部２１、ＩＤ変換部２２、移動経路データ生成部２３、経路匿名化部２４、時刻匿名化部２５、出発地／目的地匿名化部２６、移動経路データ出力部２７として機能する。経路データ処理装置２０は、本発明における移動経路データ匿名化装置に相当する。これらの各機能部が行う処理については、以下でフローチャートともに詳細に説明する。なお、これらの機能のうち一部または全部について専用のハードウェア回路によって実現しても構わない。

＜処理＞
以下、本実施形態における経路データ収集システムにおいて行われる処理を詳細に説明する。

［１．移動履歴データ送信処理］
まず、図２（ａ）を参照して、車載端末１０によって行われる移動履歴データの送信処理について説明する。車両１のエンジンが始動されると（Ｓ２０１）、履歴情報送信部１３は、位置情報取得部１１が取得した位置情報と、時刻情報取得部１２が取得した時刻情報を、経路データ処理装置２０に送信する（Ｓ２０２）。この際、現在位置がトリップの
出発地であることが分かるフラグ（出発地フラグ）を付けてこれらの情報を送信することが好ましい。

履歴情報送信部１３が送信する移動履歴データのデータフォーマットの例を図２（ｂ）に示す。図２（ｂ）に示すように、移動履歴データは、車両ＩＤ２０１、位置情報２０２、位置情報属性２０３、時刻情報２０４を含む。車両ＩＤ２０１は、車両を特定するＩＤである。なお、車両ＩＤの代わりに、運転者を特定するＩＤを採用してもよい。位置情報２０２は、位置情報取得部１１によって取得された位置情報である。位置情報２０２は、緯度・経度によって表されてもよいし、エリアＩＤなどの形式で表されてもよい。位置情報属性２０３は、位置情報２０２の属性を示す情報である。属性の例として、例えば、位置情報２０２によって表される位置が出発地・目的地・パーソナルエリアであるといった情報が含まれる。時刻情報２０４は、時刻情報取得部１２によって取得された位置情報である。

エンジン始動後、車載端末１０は、定期的に移動履歴データを送信する。すなわち、位置情報および時刻情報の取得タイミングが到来したか判定し（Ｓ２０３）、取得タイミングが到来していれば（Ｓ２０３−ＹＥＳ）、位置情報と時刻情報を取得して経路データ処理装置２０に送信する（Ｓ２０４）。なお、データの取得タイミングは、前回の取得タイミングから所定の時間が経過したタイミングであってもよいし、前回の取得タイミングから所定の距離を移動したタイミングであってもよい。移動履歴データの送信は、エンジンが始動している間（Ｓ２０５−ＮＯ）継続される。

車両１のエンジンが停止すると（Ｓ２０５−ＹＥＳ）、履歴情報送信部１３は、位置情報取得部１１が取得した位置情報と、時刻情報取得部１２が取得した時刻情報を、経路データ処理装置２０に送信する（Ｓ２０６）。この際、現在位置がトリップの目的地であることが分かるフラグ（目的地フラグ）を付けてこれらの情報を送信することが好ましい。

ここでの説明では、車載端末１０が位置情報と時刻情報を取得する度に経路データ処理装置２０に送信しているが、これらの情報を蓄積してまとめて経路データ処理装置２０に送信してもよい。また、蓄積した移動履歴データに処理を施してから経路データ処理装置２０に送信してもよい。例えば、移動履歴データを、移動経路を表す移動経路データに変換してから経路データ処理装置２０に送信してもよい。

また、ここでの説明では、エンジンが始動された位置をトリップの出発地、エンジンが停止された位置をトリップの目的地としているが、これは処理の一例である。エンジンが停止されてもすぐにエンジンが再始動された場合には、目的地であると判断しなくてもよい。また、エンジンが停止しなくても、長期間停車されたり、停車後に出発地に戻ったりした場合には、その地点を目的地としてもよい。

［２．移動経路匿名化処理］
次に、経路データ処理装置２０が行う移動経路匿名化処理の全体の流れを図３を参照して説明する。経路データ処理装置２０の履歴情報受信部２１は、車載端末１０から送信される移動履歴データを受信して一時的に蓄積する。出発地から目的地までの一連の移動履歴データが取得できたら、移動経路データ生成部２３は、移動履歴データから移動経路データを生成する（Ｓ３０１）。図４は、移動経路データのデータフォーマットの一例を示す図である。移動経路データは、車両ＩＤ、出発地、出発時刻、通過したリンクとリンク進入時刻、目的地、到着時刻を含む。なお、ここでは移動経路をリンクの集合として表す例を挙げているが、移動経路をノード（交差点）の集合として表してもよいし、リンクとノードの集合として表してもよい。

ステップＳ３０２において、ＩＤ変換部２２は、移動経路データにおける車両ＩＤを仮想ＩＤに変換する。ＩＤ変換部２２は、車両ＩＤの一意性を保ちつつ、変換後の仮想ＩＤから変換前の車両ＩＤを決定できない（決定困難）なようにＩＤの変換を行う。具体的には、ＩＤ変換部２２は、乱数などをシードとするハッシュ関数や、特定のパスワードを用いた共通鍵暗号、データベースの標準機能によって生成可能なユニークＩＤ（ＵＵＩＤ）などを仮想ＩＤとして用いる。

ステップＳ３０３において、出発地／目的地匿名化部２６は、移動経路データにおける出発地と目的地を匿名化する処理を行う。ステップＳ３０３の出発地／目的地匿名化処理の詳細を、図５に示す。図５に示される処理は、それぞれの移動経路データの出発地と目的地について実行されるが、以下では出発地を処理対象とする場合を例に説明する。出発地／目的地匿名化部２６は、出発地がパーソナルエリアであるか否か判定する（Ｓ５０１）。パーソナルエリアは、個人を特定する可能性が高い場所であり、例えば、自宅、職場、学校などが含まれる。出発地がパーソナルエリアであるか否かは、例えば、車載端末１０から送信される移動履歴データに出発地がパーソナルエリアであることを示すフラグ（属性）が付けられているか否かによって判定できる。あるいは、当該車両ＩＤについての蓄積されている過去の移動履歴データから、同じ場所を出発地または目的地とした移動が多く行われていることが分かる場合には、その場所はパーソナルエリアであると判定できる。出発地がパーソナルエリアである場合には処理はステップＳ５０２に進み、そうでなければ処理を終了する。なお、出発地／目的地匿名化部２６は、全ての出発地および目的地はパーソナルエリアであるとして、全ての経路データについてステップＳ５０２以降の処理を施してもよい。

ステップＳ５０２において、出発地／目的地匿名化部２６は、出発地が示す位置（範囲）を、出発地を中心とし所定の半径を有するエリア（領域）に拡張する。そして、ステップＳ５０３において、この拡張されたエリア内を出発地とする移動経路データの数が閾値ｋ１以上であるか否か判定する。この条件を満たす場合には（Ｓ５０３−ＹＥＳ）、当該出発地についての抽象化処理はここで終了する。その際、このエリアに含まれる出発地は、全てこのエリアを表すように変更する。この条件を満たさない場合（Ｓ５０３−ＮＯ）は、エリア範囲が拡張上限であるか否か判定する（Ｓ５０４）。エリア半径の上限は、匿名化後のデータの使用目的に応じて適宜決定すればよいが、例えば、１ｋｍ、２ｋｍ、５ｋｍなどとすることができる。エリア範囲が拡張の上限に達していなければ（Ｓ５０４−ＮＯ）、ステップＳ５０２に戻ってエリア半径を増加させる。エリア半径の増加のさせ方は、あらかじめ定められた手法で行えばよい。

エリアを上限まで拡張しても、エリア内を出発地とする移動経路データの数が閾値ｋ１に達しない場合（Ｓ５０３−ＮＯかつＳ５０４−ＹＥＳ）は、処理対象の移動経路データを削除する（Ｓ５０５）。

図６（ａ）〜（ｄ）を参照して、出発地／目的地匿名化処理の処理例を説明する。図６（ａ）は、移動経路データに含まれる出発地を示す図である。ここでは、８つの出発地が含まれているが、以下では３つの出発地Ｎ１〜Ｎ３に着目して説明する。最初のエリア拡張により、図６（ｂ）に示すように、出発地Ｎ１〜Ｎ３を中心とする所定の半径のエリアＡ１〜Ａ３が設定される。ここで、閾値ｋ１が「３」であるとする。エリアＡ１には４つの出発地が含まれるので、匿名化の条件を満たす。エリアＡ１に含まれる４つの出発地の位置情報は、エリアＡ１を表す情報に統一する。エリアＡ２，Ａ３については、そのエリアに含まれる出発地の数が閾値ｋ１より少ないため、図６（ｃ）に示すように、エリアＢ２，Ｂ３にさらに拡張される。エリアＢ２に含まれる出発地の数は３つであり、閾値ｋ１以上であるため、匿名化の条件を満たす。そこで、エリアＢ２に含まれる３つの出発地の位置情報を、エリアＢ２を表す情報に統一する。エリアＢ３に含まれる出発地の数は閾値
ｋ１より少ないため、図６（ｄ）に示すようにエリアＣ３にさらに拡張される。エリアＣ３の大きさ（半径）は、エリアの拡張上限であるとする。拡張上限までエリアの大きさを拡張しても、そのエリアに含まれる出発地の数を閾値ｋ１以上にならないので、出発地Ｎ３を含む移動経路データは破棄される。

上記では、出発地を例にして説明を行ったが、目的地についても同様の処理が行われる。全ての移動経路データの出発地と目的地について、上記の処理が実施されたら出発地／目的地匿名化処理は終了する。

次に、ステップＳ３０４において、経路匿名化部２４が経路の匿名化処理を行う。経路の匿名化処理は、移動経路データをクラスタリング（クラス分け）し、同一クラスタ内のデータ数が閾値（ｋ２）より少なければそのクラスタ内のデータを破棄し、同一クラスタ内のデータ数が閾値以上であればこのクラスタ内のデータを１つの代表経路に統一する処理である。これにより、同じ経路を有するデータの数が閾値以上となり、経路から個人を特定することが困難となる。経路匿名化部２４は、出発地と目的地のペアが同一の移動経路データにごとに、経路匿名化処理を実施する。図７は、１つの出発地・目的地ペアを有する移動経路データ群に対する経路匿名化処理の詳細を示すフローチャートである。以下、図７を参照しながら、経路匿名化処理Ｓ３０４について説明する。

経路匿名化部２４は、記憶している移動経路データのそれぞれについて逐次的に（順番に）ループＬ１の処理を実行する。まず、処理対象の移動経路データと、それまでの処理によりクラスタの代表データであると判定された移動経路との類似度が算出される（Ｓ７０１）。以下の説明では、類似しているほど類似度が高いと表現するが、実装において類似度の数値は類似しているほど小さな数値で表されてもよい。移動経路データの類似度は任意の基準により算出されて良いが、移動経路データがリンクの集合として表されている場合には、レーベンシュタイン距離を用いることができる。レーベンシュタイン距離は、ある移動経路データを別の移動経路データと一致させるために必要な要素（リンク）の置換・挿入・削除の回数に基づいて決定される距離測度である。この他にも、ジャカード距離などを用いて移動経路データの類似度を算出することもできる。

経路匿名化部２４は、ステップＳ７０１において算出された類似度が閾値Ｒ以上となるような代表データが存在するか判定する（Ｓ７０２）。そのような代表データが存在する場合（Ｓ７０２−ＹＥＳ）には、処理対象の移動経路データは、最も類似する代表データのクラスタに属するものと判定される（Ｓ７０３）。一方、類似度が閾値Ｒ以上となるような代表データが存在しない場合（Ｓ７０２−ＮＯ）には、処理対象の移動経路データは既存のいずれのクラスタに属しないと判定され、この移動経路データを代表データとする新規のクラスタが生成される（Ｓ７０４）。

図８を参照して上記の処理を例示的に説明する。図８（ａ）は、ある処理時点で処理されたデータを模式的に表す図であり、黒丸で示すデータＮ１，Ｎ２がクラスタの代表データであり、各代表データに接続して示された白丸のデータがクラスタ内のデータである。ここで、図８（ｂ）に示すように新規のデータが処理されて、最も類似する既存の代表データ（ここでデータＮ２）との類似度が閾値Ｒ以上であると場合は、この新規の移動経路データは代表データＮ２と同じクラスタに属するものと判定される。一方、図８（ｃ）に示すように、新規のデータがいずれの代表データＮ１，Ｎ２との類似度も閾値Ｒよりも低い場合には、新規のデータを代表データとする新たなクラスタが生成される。

なお、ここでは一度クラスタの代表データであると判断された移動経路データは常に代表データであり続けるが、データの増加に伴って代表データを変更する処理を行っても良い。例えば、ステップＳ７０３およびＳ７０４の後に、代表データの変更処理を行うこと
ができる。この処理では、（１）代表データとの類似度に基づく各移動経路データの再クラスタリングと、（２）各クラスタ内の代表データの再決定とを、代表データが変化しなくなるまで行われる。上記（２）の代表データの決定処理では、同一クラスタ内の他のデータとの類似度が最も高い移動経路データを代表データとすることできる。同一クラスタ内の他のデータとの類似度は、他のデータとの距離の二乗和や絶対値和などによって評価できる。このような処理を追加することで、処理量は増えるがより適切なクラスタリングが可能となる。

移動経路データのクラスタリングが終了すると、経路匿名化部２４は、各クラスタについてループＬ２の処理を実行する。経路匿名化部２４は、クラスタ内のデータ数が閾値ｋ２以上であるか否か判定し（Ｓ７０５）、閾値ｋ２以上であれば、このクラスタ内の移動経路データを代表データの経路で置換する（Ｓ７０６）。なお、代表データは上記のループＬ１の処理によって決定されたものであっても良いし、この段階でクラスタ内の他のデータとの類似度が最も高いデータを代表データとして選択し直しても良い。一方、クラスタ内のデータ数が閾値ｋ２よりも少なければ（Ｓ７０５−ＮＯ）、経路匿名化部２４は、このクラスタ内の移動経路データを破棄する（Ｓ７０７）。

経路匿名化部２４は、全ての出発地・目的地ペアの移動経路データに対する上記の処理を実行する。

経路匿名化処理Ｓ３０４が終了すると、ステップＳ３０５において、時刻匿名化部２５が時刻情報の匿名化処理を行う。時刻情報の匿名化処理は、上記の経路匿名化処理におけるクラスタごとに実行され、同じ時間帯に行われた移動のデータ数が閾値以上となるように、時間情報を抽象化する処理である。図９は、時刻情報匿名化処理Ｓ３０５の詳細を示すフローチャートである。以下、図９を参照しながら、時刻情報匿名化処理Ｓ３０５について説明する。

時刻匿名化部２５は、移動経路データのそれぞれのクラスについてループＬ３の処理を実行する。まず、移動経路データにおける出発地の出発時刻および目的地への到着時刻から、この移動経路データによって表される移動が行われた時刻を時間帯で表す（Ｓ９０１）。例えば、図１１（ａ）に示すように３つの移動経路データ１１０１〜１１０３がある場合を考える。ここでは、出発時刻および到着時刻を１時間単位の時間帯で表すものとすると、移動経路データ１１０１および１１０２は、７時台（７時台に出発、７時台に到着）に行われた移動であると表現される。一方、移動経路データ１１０３は、７時台〜８時台（７時台に出発、８時台に到着）に行われた移動であると表現される。

時刻匿名化部２５は、次に、同一の時間帯を有する移動経路データごとにループＬ４の処理を実行する。時刻匿名化部２５は、同一時間帯を有する移動経路データ数が閾値ｋ３以上であるか否か判定する（Ｓ９０２）。データ数が閾値ｋ３以上であれば（Ｓ９０２−ＹＥＳ）、移動経路データの出発時刻および時刻情報を、上記の時間帯に置き換える（Ｓ９０３）。一方、データ数が閾値ｋ３より少なければ（Ｓ９０２−ＮＯ）、これらの移動経路データを削除する。閾値ｋ３が「２」の場合の例を図１１（ｂ）を参照して説明する。ここでは、７時台に行われた移動経路データの数は「２」であり閾値ｋ３（２）以上であるので、これらの移動経路データの出発時刻および到着時刻を、上記の時間帯に置換する。一方、７時台〜８時台に行われた移動経路データの数は「１」であり閾値ｋ３（２）よりも少ないので、この移動経路データは削除される。

なお、同一の時間帯に含まれる移動経路データの数が閾値ｋ３より少ない場合に、単純にデータを削除するのではなく、時間帯の幅を大きくして同一時間帯に含まれるデータ数を増やす処理を行うことも好ましい。この変形例では、図９のステップＳ９０４の処理が
図１０のフローチャートに示す処理に変更される。時刻匿名化部２５は、時間帯が最大時間幅であるか否か判定する（Ｓ１００１）。時間帯が最大時間幅より狭い場合（Ｓ１００１−ＮＯ）、すなわち、時間幅を拡張可能な場合には、移動経路データにおける時間幅を拡張する（Ｓ１００２）。そして拡張した時間幅内の移動経路データの数が閾値ｋ３以上であるか否か判定し（Ｓ１００３）、閾値ｋ３以上であれば時間帯の拡張処理を終了する。一方、時間帯の拡張後もデータ数が閾値ｋ３より少ない場合には、ステップＳ１００１に戻って時間幅の再拡張を試みる。

閾値ｋ３が「３」、最大時間幅が３時間の場合の例を図１１（ｃ）を参照して説明する。ここでは、７時台および７時台〜８時台に行われた移動経路データの数はそれぞれ「２」および「１」であり閾値ｋ３より少ない。それぞれの時間幅は１時間および２時間であるため時間幅の拡張が可能である。ここでは、７時台の移動経路データを７時台〜８時台に拡張することにより、７時台〜８時台に行われた移動経路データの数を閾値ｋ３以上とすることができる。

なお、図１１（ｃ）に示す例において、閾値ｋ３が「２」の場合に、データ１１３３を削除してデータ１１２１および１１２２のみを７時台の移動として出力しても良いし、データ１１２１〜１１２２を７時台〜８時台の移動として出力しても良い。選択基準として、できるだけデータを削除しないように時間幅を大きくするようにしても良いし、データの精度を保つようにデータ数が閾値ｋ３以上となる範囲で最小の時間幅とするようにしてもよいし、時間幅を拡張しない場合の削除データ数と時間幅の拡張に伴う時間の精度の低下の度合いを評価して評価結果に基づいて時間幅を拡張するか否かを決定しても良い。

時刻情報の匿名化処理Ｓ３０５が終了すると、ステップＳ３０６において、移動経路データ出力部２７は、以上の匿名化処理後の移動経路データを出力する。出力する移動経路のデータは、出発地、目的地、移動経路（リンクの列）、出発時刻、到着時刻である。ここで、出発地および目的地は、出発地／目的地匿名化処理Ｓ３０３によって拡張されたエリアを示す情報である。また、移動経路は経路匿名化処理Ｓ３０４によって統一された移動経路である。出発時刻および到着時刻は、時刻匿名化処理Ｓ３０５によって拡張された時間帯を表すものである。

匿名化された移動経路データの出力先は、特に限定されない。例えば、外部の装置にネットワークを介して送信しても良いし、データベース装置に格納してもよいし、他の処理の入力として用いても良い。匿名化された移動経路データは、例えば、災害時などにおいて実測データに基づいて通行可能な経路を示す災害時交通マップの生成をはじめ種々のサービスにために活用することができる。

＜本実施形態の作用・効果＞
以上の処理により、同一の出発地・目的地ペアの間を、同一の時間帯に行われた移動データが閾値ｋ３以上となる。したがって、出力される移動経路データから個人を匿名化することが困難である。移動経路は、類似する複数の移動経路の代表経路であるので、存在確率のような曖昧な情報ではなく経路データとして出力が可能であるとともに、匿名化に伴うデータ精度の低下を最小限にできる。また、複数の経路の共通部分だけを出力するのではなく、出発地と目的地の情報を残したままで経路を出力できるので、匿名化データをより有効に活用することができる。

（第２の実施形態）
第２の実施形態にかかる移動経路データ収集システムについて説明する。本実施形態の構成は、基本的に第１の実施形態と同様であり、経路データ処理装置２０における経路匿名化処理Ｓ３０４の処理内容が異なる。その他の構成や処理内容は第１の実施形態と同様
であるので説明を省略して、本実施形態における経路匿名化処理Ｓ３０４について、図１２を参照しながら以下で説明する。

本実施形態では、経路匿名化部２４は、移動経路データに対して階層型クラスタリング処理を施して、移動経路データをクラスタリングする（Ｓ１２０１）。階層型クラスタリング処理の具体的なアルゴリズムは特に限定されず、分岐型アルゴリズムであっても凝集型アルゴリズムであっても良い。また、クラスタ間の距離として、最短距離、最長距離、群平均距離、ウォード距離などの基準を採用可能である。移動経路データ間の類似度には、第１の実施形態と同様にレーベンシュタイン距離などを用いることができる。階層型クラスタリング処理によって、図１３（ａ）に示すように、移動経路データは二分木（樹形図）で表現されるようにクラスタリングされる。

次に、経路匿名化部２４は、クラスタ内の類似度が閾値Ｒ以上であり、かつ、クラスタ内のデータ数が閾値ｋ２以上となるように、クラスタ数を決定する。具体的には、経路匿名化部２４は、下位クラスタから順番にループＬ５の処理を実施する。経路匿名化部２４は、まず、クラスタ内のデータ数が閾値ｋ２以上であるか否か判定する（Ｓ１２０２）。データ数が閾値ｋ２以上であれば（Ｓ１２０２−ＹＥＳ）、そのクラスタは１つのクラスタとして扱い、当該クラスタ内の移動経路データを代表経路データで置き換える（Ｓ１２０３）。クラスタにおける代表移動経路の決定方法は第１の実施形態と同様に、クラスタ内の他の移動経路との類似度が最も高い経路を選択することができる。

一方、クラスタ内のデータ数が閾値ｋ２よりも少ない場合（Ｓ１２０２−ＮＯ）には、経路匿名化部２４は、より上位のクラスタで移動経路データを統一しようとする。そのために、まず、上位クラスタ内の全移動経路データのクラスタ内類似度を算出する（Ｓ１２０４）。クラスタ内類似度は、例えば、クラスタ内の移動経路データの類似度の最小値（最大距離）、平均値（平均距離）などによって評価できる。クラスタ内類似度が閾値Ｒ以上であれば（Ｓ１２０５−ＹＥＳ）、上位クラスタに含まれる移動経路データを統一しても経路の精度が保たれると判断できる。したがって、経路匿名化部２４は上位クラスタに対して、ステップＳ１２０２からの処理を再度適用する。逆に、クラスタ内類似度が閾値Ｒよりも低ければ（Ｓ１２０５−ＮＯ）、クラスタ内の移動経路があまり類似しないことになるので、上位クラスタへの統一は中止し、クラスタ内に含まれる移動経路データを破棄する（Ｓ１２０６）。

図１３（ａ）に示す階層型クラスタリングの結果を例にとって説明する。なお、ここでは、閾値ｋ２は「３」であるとする。まず、データＡ、Ｂを含むクラスタＸ１に着目すると、クラスタＸ１内のデータ数は「２」であり閾値ｋ２未満である。したがって、経路匿名化部２４は、これらのデータを上位クラスタによって統一しようとする。クラスタＸ１の上位クラスタＸ２はデータＡ，Ｂ，Ｃ，Ｄを含み、ここではクラスタ内類似度が閾値Ｒ以上であるとする。クラスタＸ２のクラスタ内類似度は閾値Ｒ以上であり、データ数が閾値ｋ２以上であるため、経路匿名化部２４はデータＡ，Ｂ，Ｃ，Ｄを、クラスタＸ２内の代表移動経路Ｘで置換する。データＥ，Ｆを含むクラスタＹ１に着目すると、クラスタＹ１内のデータ数は「２」であり閾値ｋ２未満であるため、経路匿名化部２４はこれらのデータを上位クラスタによって統一しようとする。クラスタＹ１の上位クラスタＹ２は、データＥ，Ｆ，Ｇを含むが、クラスタ内類似度は閾値Ｒよりも低いものとする。すると、経路匿名化部２４は、データＥ，Ｆ，Ｇを削除する。最終的に図１３（ｄ）に示すように、クラスタＸ２で統一された４つの移動経路データのみが出力されることになる。

本実施形態によっても、第１の実施形態と同様の効果を得ることができる。階層型クラスタリングを採用することで、クラスタ内の類似度とデータ数に条件を設けて移動経路のクラス分けが可能である。

（第３の実施形態）
第３の実施形態にかかる移動経路データ収集システムについて説明する。本実施形態の構成は、基本的に第１の実施形態と同様であり、経路データ処理装置２０における移動経路匿名化処理内の処理の順序が異なる。本実施形態における移動経路匿名化処理のフローチャートを図１４に示す。第１の実施形態では、出発地／目的地匿名化処理Ｓ３０３を行ってから、移動経路匿名化処理Ｓ３０４および時刻匿名化処理Ｓ３０５を行っているが、本実施形態では、移動経路匿名化処理Ｓ３０４および時刻匿名化処理Ｓ３０５を行ってから出発地／目的地匿名化処理Ｓ３０３を行う点が異なる。なお、図１４のフローチャートに示すそれぞれの処理の内容は、第１の実施形態と同様であるため詳しい説明は省略する。本実施形態によっても、第１の実施形態と同様の効果を得ることができる。

１：車両 １０：車載端末 ２０：経路データ処理装置
１１：位置情報取得部 １２：時刻情報取得部 １３：履歴情報送信部
２１：履歴情報受信部 ２２：ＩＤ変換部 ２３：移動経路データ生成部
２４：経路匿名化部 ２５：時刻匿名化部
２６：出発地／目的地匿名化部 ２７：移動経路データ出力部

Claims (15)

1. 移動経路と移動が行われた時間帯とを含む移動経路データを取得する経路データ取得手段と、
   前記複数の移動経路データを、移動経路の類似度に基づいて同一クラス内の移動経路データ数が第１閾値以上となるようにクラス分けし、同一クラス内の移動経路データの移動経路を代表移動経路に統一する経路匿名化手段と、
   同一クラス内の移動経路データについて同じ時間帯に行われた移動が第２閾値以上となるように前記移動経路データにおける移動が行われた時間帯を抽象化する時刻匿名化手段と、
   経路匿名化手段と時刻匿名化手段による処理後の移動経路データを出力する出力手段と、
   を備える、移動経路データ匿名化装置。
2. 前記経路匿名化手段は、前記移動経路データにクラスタリング処理を施し、クラスタ内のデータ数が前記第１閾値よりも小さなクラスタ内の移動経路データは削除する、
   請求項１に記載の移動経路データ匿名化装置。
3. 前記経路匿名化手段は、移動経路データを逐次的にクラスタリング処理を施すものであり、
   処理対象の移動経路データと、処理済みのクラスタの代表移動経路データとの類似度を算出し、
   前記類似度のいずれかが所定値以上であれば、処理対象の移動経路データは前記類似度が最も高い代表移動経路データのクラスタに属すると判断し、
   前記類似度のいずれもが前記所定値よりも低ければ、処理対象の移動経路データは、新たなクラスタの代表移動経路データであると判断する、
   請求項２に記載の移動経路データ匿名化装置。
4. 前記経路匿名化手段は、それぞれのクラスタについて、クラスタ内のその他の移動経路データとの類似度が最も高い移動経路データを、代表移動経路データに設定しなおす、
   請求項３に記載の移動経路データ匿名化装置。
5. 前記経路匿名化手段は、前記移動経路データに階層型クラスタリング処理を施し、
   クラス内類似度が所定値以上でありかつクラス内のデータ数が前記第１閾値以上となるようにクラス分けを決定するものであり、クラス内類似度が前記所定値以上でありかつクラス内のデータ数が前記第１閾値以上となるようにクラス分けできない移動経路データは削除する、
   請求項１に記載の移動経路データ匿名化装置。
6. 前記経路匿名化手段は、出発地と目的地のペアが同じ移動経路データごとに、前記クラス分けおよび移動経路の統一を行う、
   請求項１から５のいずれか１項に記載の移動経路データ匿名化装置。
7. 前記時刻匿名化手段は、同一クラス内の移動経路データについて、同じ時間帯に行われた移動が前記第２閾値よりも少なければ、当該時間帯に行われた移動経路データを削除する、
   請求項１から６のいずれか１項に記載の移動経路データ匿名化装置。
8. 前記時刻匿名化手段は、同一クラス内の移動経路データについて、同じ時間帯に行われた移動が前記第２閾値よりも少なければ、時間帯を広げる処理を行う、
   請求項１から６のいずれか１項に記載の移動経路データ匿名化装置。
9. 移動経路データにおける出発地と目的地を、抽象化された領域に置き換える地点抽象化手段をさらに備える、
   請求項１から８のいずれか１項に記載の移動経路データ匿名化装置。
10. 前記地点抽象化手段は、出発地および目的地が個人を特定する地点であるパーソナルエリアに該当するか否か判断し、パーソナルエリアに該当する出発地および目的地を抽象化された領域に置き換える、
    請求項９に記載の移動経路データ匿名化装置。
11. 前記経路匿名化手段および前記時刻匿名化手段は、前記地点抽象化手段による処理後の移動経路データを対象として処理を行う、
    請求項９または１０に記載の移動経路データ匿名化装置。
12. 前記地点抽象化手段は、前記経路匿名化手段および前記時刻匿名化手段による処理後の移動経路データを対象として処理を行う、
    請求項９または１０に記載の移動経路データ匿名化装置。
13. 位置情報と時刻情報を複数含む移動履歴データを複数取得する移動履歴取得手段をさらに備え、
    前記経路データ取得手段は、前記移動履歴データから前記移動経路データを生成する、
    請求項１から１２のいずれか１項に記載の移動経路データ匿名化装置。
14. コンピュータが行う移動経路データ匿名化方法であって、
    移動経路と移動が行われた時間帯とを含む移動経路データを取得する経路データ取得ステップと、
    前記複数の移動経路データを、移動経路の類似度に基づいて同一クラス内の移動経路データ数が第１閾値以上となるようにクラス分けし、同一クラス内の移動経路データの移動経路を代表移動経路に統一する経路匿名化ステップと、
    同一クラス内の移動経路データについて同じ時間帯に行われた移動が第２閾値以上となるように前記移動経路データにおける移動が行われた時間帯を抽象化する時刻匿名化ステップと、
    経路匿名化ステップと時刻匿名化ステップによる処理後の移動経路データを出力する出力ステップと、
    を含む、移動経路データ匿名化方法。
15. 請求項１４に記載の方法の各ステップをコンピュータに実行させるためのプログラム。
    
    
    

Images