JP2016200962A - 機器間通信の情報配信装置 - Google Patents

Abstract

【課題】匿名化した情報を提供する際に、提供するタイミングをかく乱することで、タイムスタンプとの照合による再接続の可能性を低減させる技術を提供する。【解決手段】協調管理サーバ２は、データ取得部２１、匿名化部２３、格納部２４、タイミング変更部２５、データ送信部２６を備える。データ取得部２１は、連携システム９Ａ〜９Ｅからセンサデータとユーザデータを取得する。匿名化部２３は、センサデータとユーザデータを匿名化処理して匿名化データとし、格納部２４へ一時的に格納する。タイミング変更部２５は、匿名化データを格納部２４に格納したタイミング又はセンサデータを取得したタイミングに応じた所定の送信タイミングと異なるように匿名化データの送信タイミングを変更する。データ送信部２６は、タイミング変更部２５によって定めた変更後の送信タイミングに基づいて格納部２４から匿名化データを読み出して送信する。【選択図】図２

Description

本発明は、機器間で通信する情報を配信する技術に関する。

従来、インターネットに接続されていた機器は、主にパソコンやサーバ、プリンタ、記憶装置といった情報の演算、出力、記憶等の処理を行うＩＴ関連機器であったが、近年、それ以外の様々な物も接続する、物のインターネット(ＩｏＴ：Internet of Things)を実現する技術が提案されている。これにより例えば、ドアや照明、エアコン、テレビといった機器の情報を配信し、ドアを外側から開錠した情報を取得した場合にユーザが帰宅したと判定して部屋の照明及びエアコンをオンにする、或は夜間に部屋の照明を消した情報を取得した場合に就寝と判定してテレビをオフにするといった協調制御が可能になる。更に、ユーザがＤＶＤプレーヤで映画のＤＶＤを再生した場合、当該映画の主演俳優が出演するテレビ番組を録画予約するといった協調制御が可能になる。

このような種々の機器による協調制御を実現しようとした場合、それぞれの機器の情報を管理する会社間で情報を送受信することになるため、他社へ提供する情報によって個人情報が漏洩することのないように配慮する必要がある。

特許文献１には、通信回線を介して家電機器を制御する装置が記載されている。また、特許文献２には、同じ属性値を持つ個人が所定数（ｋ値）以上存在するように匿名化することで、匿名化した情報が他の情報との照合によって容易に再識別されないようにする装置が記載されている。

特開２００４−４０２８５号公報 特開２０１４−１０２６４３号公報

図１３は、協調制御の一例を示す図である。図１３の例では、協調制御を行う機器として、ドアセンサ９１、エアコン９２、テレビ９３がユーザ宅内に備えられている。ドアセンサ９１は、通信経路Ｎａを介してＡ社の連携システム９Ａと接続する。同様に、エアコン９２は、通信経路Ｎｂを介してＢ社の連携システム９Ｂと接続し、テレビ９３は、通信経路Ｎｃを介してＣ社の連携システム９Ｃと接続する。

通信経路Ｎａ，Ｎｂ，Ｎｃは、電話回線や無線通信回線、インターネット等、特に限定されるものではなく、各機器９１〜９３と各連携システム９Ａ，９Ｂ，９Ｃとの通信が行えるものであれば良い。各連携システム９Ａ，９Ｂ，９Ｃは、通信経路Ｎａ，Ｎｂ，Ｎｃを介して複数のユーザ宅の機器９１〜９３と接続している。

連携システム９Ａ，９Ｂ，９Ｃは、それぞれネットワークＮを介して通信を行い、例えば、機器９１〜９３から取得した情報を他の連携システムへ送信する、また、他の連携システムから受信した情報に基づいて機器９１〜９３を制御する。連携システムＡは、ドアセンサ９１から開錠及び施錠の情報を取得し、この情報と、各ドアセンサ９１に応じたＩＤと、匿名化したユーザ情報とを連携システム９Ｂ，９Ｃへ送信している。本例では、連携システム９Ｂに、ＩＤ、センサ情報、及び性別の情報を送信し、連携システム９Ｃに、
ＩＤ、センサ情報、性別、年代の情報を送信する。このＩＤは、連携システム９Ｂ，９Ｃ毎に異ならせ、このＩＤによって再接続できないようにしている。

連携システム９Ｂは、このドアセンサ９１から開錠の情報を受信した場合、ユーザが男性であればエアコン９２を低い温度に設定して動作させ、ユーザが女性であればエアコン９２を高い温度に設定して動作させる。

また、連携システム９Ｃは、このドアセンサ９１から開錠の情報を受信した場合、テレビ９３を動作させ、ユーザの年代及び性別に応じて推奨されるテレビ番組を選択する。

データ９９は、このとき連携システム９Ｂのデータベースに登録されるデータの一例であり、データ９８は、連携システム９Ｃのデータベースに登録されるデータの一例である。

連携システム９Ａから提供されるデータは、ＩＤ、センサ情報、性別、年代といった匿名化した情報であるため、この情報から個人が特定される可能性は少ない。しかし、この情報を受信した連携システム９Ｂ、９Ｃが、受信日時や更新日時をタイムスタンプとして記録していると、このタイムスタンプによって再識別できる可能性がある。例えば連携システムＢの担当者が不正に連携システム９Ｃのデータ９９を取得して、連携システム９Ｂのデータ９８と照合し、タイムスタンプが一致するデータを特定する。図１３の例では、連携システム９Ｃのデータ９９のうち、ＩＤがａ２５６のデータと、連携システム９ＢのＩＤがｘ１２３のデータのタイムスタンプが一致し、ａ２５６のデータが、ｘ１２３と対応するユーザのデータであることが分かってしまう。即ち、ユーザの判明している自社のデータと他社のデータとをタイムスタンプに基づいて接続し、他社のデータのユーザを識別することができてしまう。

そこで本発明は、匿名化した情報を提供する際に、提供するタイミングをかく乱することで、タイムスタンプとの照合による再接続の可能性を低減させる技術を提供する。

本発明に係る情報配信装置は、
センサデータとユーザデータを取得するデータ取得部と、
前記センサデータとユーザデータを匿名化処理して匿名化データとする匿名化部と、
前記匿名化データを格納する格納部と、
前記匿名化データを前記格納部に格納したタイミング又は前記センサデータを取得したタイミングに応じた所定の送信タイミングと異なるように前記匿名化データの送信タイミングを変更するタイミング変更部と、
変更後の前記送信タイミングに基づいて前記匿名化データを送信する送信部と
を備える。

前記情報配信装置は、前記タイミング変更部が、前記匿名化データの匿名化レベル又はセキュリティリスクに応じ、前記匿名化レベルが高い又はセキュリティリスクが低い場合には前記送信タイミングの変更を小さくし、前記匿名化レベルが低い又はセキュリティリスクが高い場合には前記送信タイミングの変更を大きくしても良い。

前記情報配信装置は、前記センサデータとユーザデータを匿名化する際の区分数を取得する区分数取得部と、
前記区分数を増加させた場合の最小出現数の減少量を示す減少係数と前記区分数とに基づいて、前記個人情報を前記区分数で匿名化した場合の最小出現数が所定の基準値を下回ると判定した場合に、最小出現数が所定の基準値以上となる区分数を求める匿名状態予測
部と、を備えても良い。

本発明に係る情報配信方法は、
センサデータとユーザデータを取得するステップと、
前記センサデータとユーザデータを匿名化処理して匿名化データとするステップと、
前記匿名化データを格納するステップと、
前記匿名化データを前記格納部に格納したタイミング又は前記センサデータを取得したタイミングに応じた所定の送信タイミングと異なるように前記匿名化データの送信タイミングを変更するステップと、
変更後の前記送信タイミングに基づいて前記匿名化データを送信するステップと
をコンピュータが実行する。

前記情報配信方法は、前記匿名化データの匿名化レベル又はセキュリティリスクに応じ、前記匿名化レベルが高い又はセキュリティリスクが低い場合には前記送信タイミングの変更を小さくし、前記匿名化レベルが低い又はセキュリティリスクが高い場合には前記送信タイミングの変更を大きくしても良い。

前記情報配信方法は、前記センサデータとユーザデータを匿名化する際の区分数を取得するステップと、
前記区分数を増加させた場合の前記最小出現数の減少量を示す減少係数と前記区分数とに基づいて、前記個人情報を前記区分数で匿名化した場合の最小出現数が所定の基準値を下回ると判定した場合に、最小出現数が所定の基準値以上となる区分数を求めるステップと、を含んでも良い。

また、本発明は、上記方法をコンピュータに実行させるためのプログラムであっても良い。更に、前記化プログラムは、コンピュータが読み取り可能な記録媒体に記録されていても良い。

ここで、コンピュータが読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータから読み取ることができる記録媒体をいう。このような記録媒体の内コンピュータから取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、CD-ROM、CD-R/W、DVD、DAT、８mmテープ、メモリカード等がある。

また、コンピュータに固定された記録媒体としてハードディスクやＲＯＭ（リードオンリーメモリ）等がある。

本発明は、匿名化した情報を提供する際に、提供するタイミングをかく乱することで、タイムスタンプとの照合による再接続の可能性を低減させる技術を提供できる。

図１は匿名化処理の説明図である。 図２は、協調制御システムの一例を示す図である。 図３は、減少係数の説明図である。 図４は、個人情報集約データベースの一例を示す図である。 図５は、協調制御定義データベースの一例を示す図である。 図６は、各機器のセキュリティレベルの判定に用いる情報の説明図である。 図７は、連携システムの機能ブロック図である。 図８は協調管理サーバ及び連携システムのハードウェア構成を示す図である。 図９は、機器の概略構成を示す図である。 図１０は、協調制御方法の説明図である。 図１１は、協調制御方法の説明図である。 図１２は、協調制御方法の説明図である。 図１３は、従来の協調制御の一例を示す図である。

以下、図面を参照して本発明を実施するための形態について説明する。以下の実施の形態の構成は例示であり、本発明は実施の形態の構成に限定されない。

〈実施形態１〉

図１は匿名化処理の説明図である。図１（Ａ）は、姓、年齢、性別の項目を含む会員情報から姓の項目を削除した例を示す。図１（Ａ）に示すように年齢が記載されている会員情報に１６歳の女性が一人だけであると、１６歳の女性が、この会員であることが分かった時点で、その人を特定できる。即ち、１６歳・女性という属性を持つ人が一人だけであると、他の情報と照らし合わせることで、個人を特定できる可能性がある。

図１（Ｂ）では、会員リストの年齢の記載を抽象化し、０代（１０歳未満）、１０代、２０代のように年代別とした。しかし、この場合でも１０代女性は一人だけであり、図１（Ａ）と同様に個人が特定できてしまい匿名化としては不十分である。

そこで、図１（Ｃ）では、更に抽象化し、１０代以下（１９歳以下）と２０代のように年代の区切りを変更した。図１（Ｃ）の場合、１０代以下の女性が２人であり、［１０代以下］及び［女性］という属性が単一では無くなる。このため前述のように１６歳の女性が、この会員であることが分かったとしても、どちらが当該１６歳女性のデータであるかは特定できない。このように同じ属性を持つ人がｋ人以上いる状態を、「k-匿名性」を満たすと称し、そのようにデータを加工することを「k-匿名化」と称する。

図２は、協調制御システムの一例を示す図である。図２の例では、協調制御を行う機器として、ドアセンサ９１、エアコン９２、テレビ９３がユーザ宅内に備えられている。また、協調制御を行う機器は、ユーザ宅内のものに限らず、ユーザ宅外の駐車場の照明９４等でも良い。また、協調制御を行う機器は、店舗で決済を行う端末や、駅の自動改札装置９５であっても良い。

ドアセンサ９１は、通信経路Ｎａを介してＡ社の連携システム１Ａと接続する。同様に、エアコン９２は、通信経路Ｎｂを介してＢ社の連携システム１Ｂと接続し、テレビ９３は、通信経路Ｎｃを介してＣ社の連携システム１Ｃと接続し、照明９４は、通信経路Ｎｄを介してＤ社の連携システム１Ｄと接続する。また、自動改札装置９５は、ネットワークＮｅを介してＥ社の連携システム１Ｅと接続する。

通信経路Ｎａ〜Ｎｅは、電話回線や無線通信回線、インターネット等、特に限定されるものではなく、各機器９１〜９５と各連携システム１Ａ〜１Ｅとの通信が行えるものであれば良い。なお、各機器９１〜９５と各連携システム１Ａ〜１Ｅとは、相互に通信を行うことに限らず、機器９１〜９５がセンサ情報の送信、又は機器９１〜９５が匿名化データの受信を一方向に行うものであっても良い。また、各連携システム１Ａ〜１Ｅは、複数のユーザ宅の機器９１〜９４と通信経路Ｎａ〜Ｎｄを介して接続している。

連携システム１Ａ〜１Ｅは、それぞれネットワークＮを介して協調管理サーバ２に接続
し、協調管理サーバ２を介して協調制御に用いる情報の送受信を行う装置である。例えば、連携システム１Ａ〜１Ｅは、ユーザ宅の機器から当該機器で検出した情報を示すセンサデータを受信し、このセンサデータを協調管理サーバ２へ送信する。また、連携システム１Ａ〜１Ｅは、協調管理サーバ２から、他社の機器のセンサデータを受信し、このセンサデータに基づいて、協調制御を行うための匿名化データをユーザ宅の機器９１〜９４に送信する。なお、機器９１〜９５の何れかを特定せずに機器９１〜９５の説明をする場合には、機器９０とも称す。また、連携システム１Ａ〜１Ｅの何れかを特定せずに連携システム１Ａ〜１Ｅの説明をする場合には、連携システム１とも称す。

協調管理サーバ２は、図２に示すように、データ取得部２１や、セキュリティレベル判定部２２、匿名化部２３、格納部２４、タイミング変更部２５、データ送信部２６、区分数取得部２７、匿名状態予測部２８、個人情報集約データベース３１、協調制御定義データベース３２、リスク判定データベース３３を備える。

データ取得部２１は、各連携システム１からセンサデータやユーザデータを取得する。

セキュリティレベル判定部２２は、リスクの評価者による評価結果や、各連携システム１のセキュリティに関する情報、機器９０のセキュリティに関する情報に基づいて個人情報が特定される危険性をセキュリティレベルとして判定する。この評価結果やセキュリティに関する情報は、例えば予め記憶装置に記憶しておき、これを読み出してセキュリティレベルの判定に用いる。また、ＯＳ（operating system）のバージョンやセキュリティパッチの適用状況等、連携システム１や機器９０から取得可能な情報は、それぞれ連携システム１や機器９０から受信しても良い。

匿名化部２３は、センサデータとユーザデータを匿名化処理して匿名化データとする。

格納部２４は、匿名化データを一時的に格納し、適切なタイミングで送信させるためのキューとして機能する。

タイミング変更部２５は、前記匿名化データを前記格納部に格納したタイミング又は前記センサデータを取得したタイミングに応じた所定の送信タイミングと異なるように前記匿名化データの送信タイミングを変更する。タイミング変更部２５は、例えば、匿名化データの匿名化レベル又はセキュリティリスクに応じて、匿名化レベルが高い又はセキュリティリスクが低い場合には送信タイミングの変更を小さくし、匿名化レベルが低い又はセキュリティリスクが高い場合には前記送信タイミングの変更を大きくする。

データ送信部２６は、タイミング変更部２５によって定めた変更後の送信タイミングに基づいて格納部２４から匿名化データを読み出して送信する。

区分数取得部２７は、匿名化対象の個人情報を匿名化する際の区分数を取得する。区分数は、匿名情報に含まれる属性が取り得る属性値（語）の種類の数、換言すると属性値を同一の属性値毎に区分した場合の区分の数である。図Ａ５は、区分の説明図である。例えば、属性が性別の場合に、属性値を男性と女性の２区分とする。また、属性が年齢の場合に、属性値を未成年、成人、老人の３区分や、２０代以下、３０代、４０代、５０代、６０代以上の５区分、更に０代、１０代、２０代、３０代、４０代、５０代、６０代、７０代、８０代以上の９区分とする。また、属性が住所や購入場所等の地域の場合に、属性値を西日本と東日本の２区分や、北海道、東北、関東、中部、近畿、中国、四国、九州、沖縄の９区分、北海道、青森県、岩手県・・・東京都・・・大阪府といった都道府県の４７区分とする。

区分数取得部２７は、例えば、対象データの属性を抽象化する語（属性値）として匿名化辞書に登録されている語の計数により区分数を取得する。

匿名状態予測部２８は、減少係数と前記区分数に基づいて、個人情報を前記区分数で匿名化した場合の最小出現数が所定の基準値を下回る可能性、即ち匿名性を満たさない可能性を判定する。また、匿名状態予測部２８は、匿名性を満たさない可能性がある場合、匿名性を満たす区分数を求める。

図３は、減少係数の説明図である。図３に示されるように、全体数が２００００、区分数２のときの最小出現数が１００００、区分数７のときの最小出現数が１０００、区分数１１のときの最小出現数が５００・・・といった区分数及び最小出現数の組み合わせ８５であるとき、累乗近似式１を求めると、ｙ＝１１４６５９ｘ^-1.414となる。この累乗近似式１から各区分の区分数が１増加した場合の最小出現数の減少数がわかる。そこで、匿名状態予測部２８は、区分数取得部２７で取得した区分数と、対象データの全体数（本実施形態では、後述の送信単位）とにより、最小出現数が基準値を超えるか否か、即ち匿名性を満たすか否かを判定する。また、最小出現数が基準値を超えない場合、最小出現数が基準値を超える区分数を求める。

個人情報集約データベース３１は、協調制御に用いるユーザ情報（個人情報）を各連携システム１から定期的に取得して格納したデータベースである。図４は、個人情報集約データベース３１の一例を示す図である。図４の個人情報集約データベース３１は、ＩＤ、提供元、性別、年齢、趣味、興味のあるジャンル等の情報を有している。ここで、ＩＤは、ユーザ情報を識別するための識別情報であり、例えば提供元においてユーザ毎、機器毎にユーザ情報に付加される。提供元は、Ａ社〜Ｅ社等、ユーザ情報の提供元を示す情報である。

協調制御定義データベース３２は、センサデータを受信した際に実行する協調制御を定めた定義データを格納するデータベースである。図５は、協調制御定義データベース３２の一例を示す図である。図５の協調制御定義データベース３２は、ＩＤ、提供元、機器、提供先、提供情報等の情報を有している。ＩＤは定義データを識別するための識別情報であり、例えばユーザ毎、機器毎に定義データに付加される。提供元は、Ａ社〜Ｅ社等、センサデータの提供元を示す情報である。機器は、センサデータを検出した機器の種類や型式を示す情報である。提供先は、協調制御の為にセンサデータ及びユーザデータを送信する際の宛先を示す情報である。提供情報は、ユーザ情報のうち、提供先へ提供する項目を示す情報である。なお、提供する項目だけでなく、提供しない項目を示しても良い。例えば、家族構成の項目を提供せず、他の項目を提供するのであればオプトアウト（家族構成）のように提供しない項目を指定する。また、オプトアウト（全項）のように全ての項目を提供しないことを指定することもできる。図５の例では、Ａ社のＩＤがx001については、Ｄ社に対してユーザ情報を提供しないことを示している。

このように協調制御定義データベース３２が、どの提供先にどの情報を送信するのかを示し、センサ情報を受信した際、協調制御定義データベース３２に基づいて、提供する情報や提供しない情報を制御できることが望ましい。しかしながら、これに限らず、センサ情報を受信した際、全ての情報を全ての提供先へ提供することとして、協調制御定義データベース３２を省略しても良い。

図６は、各機器のセキュリティレベルの判定に用いる情報の説明図である。図６（ａ）は、リスクを評価する項目の一例を示し、図６（ｂ）は、セキュリティレベルの判定に用いる情報のスコアに対する評価値を対応付けた評価テーブル、図６（ｃ）は、評価結果として記憶するデータの例を示す。

図６（ａ）に示すように、リスクの評価項目は、事業者評価、サービス・機器評価、情報蓄積評価といった大項目に区分され、これら大項目がそれぞれ小項目に区分される。例えば、事業者評価は、評価対象の機器の協調制御を行う連携システムを運営する事業者に関する評価であり、契約・管理状況、第三者提供、利用規約、セキュリティ認定、事故・トラブル発生といった小項目に区分される。サービス・機器評価は、評価対象の機器の協調制御を行う連携システムや当該機器に関する評価であり、OSバージョン、セキュリティパッチ、HTTPレスポンス、規格の違い、故障・サービストラブルといった小項目に区分される。また、情報蓄積評価は、評価対象の機器の協調制御によって蓄積された情報に関する評価であり、接続開始時期、利用期間、結合情報リスク、連続稼動時間、情報のセンシティブ性といった小項目に区分される。評価者は、この小項目についてそれぞれスコアを求める。例えば、契約・管理状況について、全く問題がなければ、最小のスコア１とし、問題があれば、問題の程度に応じてスコアを１０段階でスコアを付ける。また、連携システム１や機器９０のＯＳやセキュリティパッチのバージョンを取得し、最新のバージョンであれば、最小のスコア１とし、古いバージョンであれば、古さに応じて１０段階でスコアを求める。

図６（ｂ）に示す評価テーブルは、大項目毎のスコアの値とセキュリティレベルとを対応付けている。セキュリティレベル判定部２２は、各小項目のスコアを大項目毎に集計し、この集計したスコアと対応するセキュリティレベルを評価テーブルから求め、図６（ｃ）に示すように各大項目のセキュリティレベルを評価対象の機器のＩＤと対応付けて、リスク判定データベース３３に格納する。

また、図６（ｂ）に示す評価テーブルは、スコアとセキュリティレベルの他、セキュリティレベルと匿名レベルの閾値、攪乱レベル、表示色等とを対応付けている。

図７は、連携システム１の機能ブロック図である。連携システム１は、データ取得部１１、データ送信部１２、セキュリティ更新部１３を備えている。

データ取得部１１は、各機器９０からセンサデータを取得する。また、データ取得部１１は、協調管理サーバ２から匿名化データを取得する。

データ送信部１２は、センサデータを、協調管理サーバ２へ送信する。また、データ送信部１２は、匿名化データを機器９０へ送信し、協調制御させる。

セキュリティ更新部１３は、協調管理サーバ２からセキュリティパッチ（更新情報）を取得し、このセキュリティパッチに基づいて設定値の変更やプログラムモジュールの置換を行う。

図８は協調管理サーバ２及び連携システム１のハードウェア構成を示す図である。協調管理サーバ２及び連携システム１は、ＣＰＵ１０１、メモリ１０２、通信制御部１０３、記憶装置１０４、入出力インタフェース１０５を有する所謂コンピュータである。

ＣＰＵ１０１は、メモリ１０２に実行可能に展開されたプログラムを実行する。これにより、協調管理サーバ２のＣＰＵ１０１は、前述のデータ取得部２１や、セキュリティレベル判定部２２、匿名化部２３、格納部２４、タイミング変更部２５、データ送信部２６、区分数取得部２７、匿名状態予測部２８の機能を提供する。また、連携システム１のＣＰＵ１０１は、前述のデータ取得部１１、データ送信部１２、セキュリティ更新部１３の機能を提供する。

メモリ１０２は、主記憶装置ということもできる。メモリ１０２は、例えば、ＣＰＵ１０１が実行するプログラムや、通信制御部１０３を介して受信したデータ、記憶装置１０４から読み出したデータ、その他のデータ等を記憶する。

通信制御部１０３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース１０５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray(登録商標) Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置１０４に格納する。

記憶装置１０４は、外部記憶装置ということもできる。記憶装置１０４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置１０４は、ドライブ装置
との間で、データを授受する。例えば、記憶装置１０４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置１０４は、プログラムを読み出し、メモリ１０２に引き渡す。本実施形態では、協調管理サーバ２の記憶装置１０４が前述の個人情報集約データベース３１、協調制御定義データベース３２、リスク判定データベース３３を格納している。

図９は、機器９０の概略構成を示す図である。機器９０は、機能部４１、制御部４２、通信部４３、出力部４４を備えている。

機能部４１は、各機器の機能を実現する手段であり、例えばテレビであれば放送を受信して映像の表示や音声の出力を行い手段、ドアの錠であれば施錠又は開錠する手段、エアコンであれば空気を調和する手段、照明であれば照明光を発する手段等である。

制御部４２は、機能部４１の状態を検出し、また、通信部４３で受信した制御データに基づいて機能部４１を制御する。更に、制御部４２は、制御データにセキュリティレベルを示す評価データが含まれていた場合、この評価データに基づいて出力部４４を制御し、セキュリティレベルを示す出力を行わせる。

通信部４３は、連携システム１との通信を行う通信モジュールであり、制御部４２で検出した機能部４１の状態をセンサデータとして連携システム１へ送信する。また、通信部４３は、連携システム１から制御データを受信して制御部４２へ送る。通信部４３は、連携システム１と直接通信するものでも良いし、ブルートゥースやＷｉＦｉ等の近距離無線通信方式によりユーザ宅内の無線ルータ等の装置に接続し、この装置を介して連携システム１と通信するものでも良い。なお、通信部４３は、連携システム１と相互に通信するものに限らず、一方的に連携システム１へセンサデータを送信する送信部、又は連携システム１から制御データを受信する受信部であっても良い。

出力部４４は、セキュリティレベルを示す出力を行う手段であり、セキュリティレベルを色で示すインジケータやメッセージを表示するディスプレイ、音や音声を出力するスピーカ等である。なお、テレビやインターフォン等のように機能部にディスプレイやスピーカが含まれている機器については、機能部４１が出力部として機能してもよい。

次に本実施形態における協調制御システムの協調管理サーバ２や連携システム１がプログラムに従って実行する協調制御方法について説明する。図１０〜図１２は、協調制御方
法の説明図である。

協調管理サーバ２は、連携システム１を介して機器９０からセンサデータを受信すると（ステップＳ１０（図１０））、センサデータに含まれる機器ＩＤと対応する協調制御の定義データを協調制御定義データベース３２から索出する（ステップＳ２０）。協調管理サーバ２は、この定義データに基づいて、センサデータと共に提供する個人情報を個人情報集約データベース３１から読み出し、各機器９０へ提供する匿名化データを生成する（ステップＳ３０）。

次に、協調管理サーバ２は、匿名化データの提供先として示される機器のＩＤがリスク判定データベース３３等に存在するか否かによって、協調制御の対象か否かを判定し（ステップＳ４０）、協調制御の対象でなければ（ステップＳ４０，Ｎｏ）、データを保存して（ステップＳ５０）、処理を終了する。

一方、協調管理サーバ２は、協調制御の対象であれば（ステップＳ４０，Ｙｅｓ）、提供先の機器のＩＤと対応するセキュリティレベルをリスク判定データベース３３から取得し（ステップＳ６０）、大項目毎のセキュリティレベルのうち、最も低いセキュリティレベルを当該機器のセキュリティレベルとする（ステップＳ７０（図１１））。なお、このセキュリティレベルが、所定値以下の場合、本実施形態ではセキュリティレベルがＥの場合、当該匿名化データの提供を停止する。また、協調管理サーバ２は、当該機器へ送信する匿名化データについて、当該機器のセキュリティレベルに対応する匿名レベルの閾値、攪乱レベルを評価テーブルから求め、提供する際の条件として設定し、セキュリティレベルに対応する表示色を求めて匿名化データに追加し、送信時間を追加する（ステップＳ８０）。この送信許可時刻は、協調管理サーバ２から各連携システム１へ当該匿名化データを送信する時刻を指定するものである。送信許可時刻は、例えば、匿名化データを格納部（キュー）２４内に所定量の匿名化データを滞留させ、匿名レベルやセキュリティレベル等の提供条件を満たして送信するまでにかかる時間を受信時刻に加えた時刻を設定する。

次に協調管理サーバ２は、匿名化データに含まれる個人情報を匿名化する。例えば、１１歳、２５歳、３９歳のような値を１０−１２歳、２４―２６歳、３７−３９歳のように抽象化する（ステップＳ９０）。そして、協調管理サーバ２は、所定期間内に同一の事業者に提供される匿名化データについて、匿名化データに含まれる個人情報の値が同じとなる情報の数をカウントし、最も少ない数、即ち最小出現数（ｋ値）を求め、匿名レベルとする（ステップＳ１００）。協調管理サーバ２は、この匿名レベルが各匿名化データの条件として設定した閾値を超えているか否かを判定し（ステップＳ１１０）、閾値を超えていれば（ステップＳ１１０、Ｙｅｓ）、匿名化データを格納部（キュー）２４に格納する（ステップＳ１５０）。一方、閾値を超えていない場合（ステップＳ１１０、Ｎｏ）、協調管理サーバ２は、リアルタイムに提供する必要があるか否かを判定し（ステップＳ１２０）、リアルタイムに提供する必要がなければ（ステップＳ１２０，Ｎｏ）、過去一時間や過去一日など、匿名性を確認するデータ範囲を広げ、演算に時間がかかったとしても所定のデータ範囲のなかで当該匿名化データの匿名レベルが閾値を超えるか否かを確認し（ステップＳ１３０）、匿名レベルが閾値を超えていれば、当該匿名化データを格納部２４に格納する（ステップＳ１５０）。また、前記データ範囲のなかで当該匿名化データの匿名レベルが閾値を超えていない場合、閾値を超えるように匿名化をやり直す（ステップＳ１３０）。例えば、当該匿名化データの各項目を更に抽象化して区分数を少なくする。そして、閾値を超えた当該匿名化データを格納部２４に格納する（ステップＳ１５０）。また、リアルタイムに提供する必要があると判定した場合（ステップＳ１２０、Ｙｅｓ）、匿名化データに含まれる個人情報の区分数に基づいて、匿名レベルが閾値を超える区分数を予測し、この閾値を超える区分数となるように匿名化を行って（ステップＳ１４０）、格納部（キュー）２４に格納する（ステップＳ１５０）。このように図１０，図１１の処
理を周期的に実行し、受信したセンサデータを匿名化して格納部２４に格納していく。そして、協調管理サーバ２は、この図１０，図１１の処理と並行して図１３の送信処理を行う。

また、協調管理サーバ２は、格納部２４に格納されている各匿名化データを順次読み出して（ステップＳ１６０）、情報のかく乱レベルを取得し(ステップＳ１７０)、送信許可時刻を読み出し、現在時刻と比較して送信許可時刻に達したか否かを判定する（ステップＳ１８０）。

送信許可時刻に達していないと判定した場合(ステップＳ１８０，Ｎｏ)、即ち、送信許可時刻に達する前に、同じタイミングで送信する匿名化データのなかに同情報が複数存在するか否かを判定する（ステップＳ１９０）。ここで、同情報とは、例えば、機器ＩＤ以外の項目の値が同じものである。なお、完全に同一のものに限らず、提供先や機器の型式等、一部の項目が異なっても良い。また、同じタイミングで送信するとは、５分毎、１０分毎のように、匿名化データを送信する単位を所定の時間間隔で定め、同じ送信単位で送信することである。なお、送信単位は、時間で定められるものに限らず、匿名化データのデータ数で定められるものでも良い。例えば、送信単位を１００件とした場合、この１件目に送信する匿名化データから１００件目に送信する匿名化データまでが同じタイミングで送信する匿名化データとする。

同情報が複数存在すると判定した場合（ステップＳ１９０，Ｙｅｓ）、匿名化データを送信する順番をランダムに変更し、匿名化データにより協調制御をリクエストする順番をかく乱する（ステップＳ２００）。基本的には、格納部２４に格納された順番に送信されるが、このかく乱によって順番を入れ替える。なお、このかく乱の際、ステップＳ１６０で取得したかく乱レベルに応じて、変更の幅、即ち、かく乱の程度を設定する。かく乱レベルが１％であれば、送信単位全体に対して１％の範囲で順番を入れ替え、かく乱レベルが４０％であれば、送信単位全体に対して４０％の範囲で順番を入れ替える。

一方、ステップＳ１９０で同情報が複数存在しないと判定した場合（ステップＳ１９０，Ｎｏ）、当該匿名化データの経過時間、例えばステップＳ１０でセンサ情報が受信されてからや、格納部２４に格納されてからの経過時間が閾値以上か否かを判定する（ステップＳ２１０）。当該匿名化データの経過時間が閾値以上でない場合には（ステップＳ２１０，Ｎｏ）、送信を保留にしてステップＳ２７０に移行し、閾値以上となった場合には（ステップＳ２１０，Ｙｅｓ）、当該匿名化データ（ステップＳ２１０で経過時間が閾値以上か否かの判定が行われた匿名化データ）と同じ情報を有するノイズ情報を生成して、同じ送信単位の匿名化データとして格納部２４に追加し、ステップＳ２００へ移行して送信する順番をかく乱する。即ち同情報が複数存在しない状態では個人を特定される可能性があり、送信できないので、送信を保留し、他の匿名化データの処理に移り、同情報が複数になるのを待つが、送信許可時刻が迫り、閾値を超えた場合には、ノイズデータを加える。当該匿名化データと比べて、ノイズデータは、機器ＩＤが異なり、その他の項目は同じ情報となっている。即ち、このノイズデータを加えることで、疑似的に同情報が複数存在するようにしている。なお、ノイズデータの機器ＩＤは、ダミーであるため、協調制御に影響を与えないが、匿名化データが漏えいした場合でも同情報が複数存在するため、当該匿名化データの個人が特定されることを防止できる。

そして、協調管理サーバ２は、ステップＳ２００で送信の順番をかく乱した匿名化データの送信許可時刻を一律に設定し（ステップＳ２４０）、ステップＳ１８０に戻る。なお、送信許可時刻を一律に設定した場合でも、送信許可時刻を超えた匿名データが順次送信されることになるため、この順番が微細なタイムスタンプの違いとして現れる可能性があるため、送信の順番を入れ替え、且つ一律の送信タイミングで送信することで、タイムス
タンプによる再接続を防止するようにしている。

ステップＳ１８０にて、現在時刻が匿名化データの送信許可時刻に達した場合には（ステップＳ１８０，Ｙｅｓ）、当該匿名化データを宛先の連携システム１へ送信する（ステップＳ２５０）。また、協調管理サーバ２は、送信した匿名化データを記憶部に記憶し（ステップＳ２６０）、次に処理すべきセンサ情報及び個人情報が格納部２４に存在するか否かを判定し（ステップＳ２７０）、存在すれば（ステップＳ２７０，Ｙｅｓ）ステップＳ１７０に戻って処理を繰り返し、存在しなければ（ステップＳ２７０，Ｎｏ）処理を終了する。

また、匿名化データを受信した連携システム１は（ステップＳ３１０）、この匿名化データに基づいて、機器９０を協調制御する制御情報を生成し（ステップＳ３２０）、ネットワークを介して機器９０へ送信する（ステップＳ３３０）。例えば、連携システム１Ｂは、ドアセンサ９１の開錠を示すセンサデータと、ユーザの性別を示す個人情報とを含む匿名化情報を受信した場合、ユーザが男性であればエアコン９２を低い温度に設定して動作させ、ユーザが女性であればエアコン９２を高い温度に設定して動作させる制御データをエアコン９２へ送信する。

また、連携システム１Ｃは、ドアセンサ９１の開錠を示すセンサデータと、ユーザの年齢及び性別を示す個人情報とを含む匿名化情報を受信した場合、テレビ９３を動作させ、ユーザの年代及び性別に応じて推奨されるテレビ番組を選択する制御データをテレビ９３へ送信する。

連携システム１Ｄは、ユーザが最寄り駅の改札を出たことを示すセンサデータを含む匿名化情報を受信した場合、外灯を点灯させる制御データを外灯へする。

例えば、連携システム１は、匿名化情報を受信した場合に生成する制御データのテンプレートを記憶しておき、匿名化情報を受信した場合に、制御データのテンプレートを読み出して、個人情報に基づく値を挿入して、制御情報を生成する。

そして、連携システム１から、制御データを受信した機器９０は、制御データに基づいて機能部を制御して協調制御を実行するとともに、制御データに基づく表示色でセキュリティレベルを表示する。

このように本実施形態によれば、匿名化データを提供する際に、提供するタイミングをかく乱することで、タイムスタンプとの照合による再接続の可能性を低減させることができる。たとえば、提供する順番を入れ替えることで、提供するタイミングをかく乱する。

また、匿名化データを送信する際にｋ匿名性が満たされない場合、ノイズデータを挿入することで、匿名性を満たすと共に提供するタイミングをかく乱することができる。

また、本実施形態によれば、リアルタイムに処理する必要がある匿名化情報については、送信時の匿名化状態を予測し、送信時に匿名性が満たせるように区分数を調整する。これにより、送信時に匿名性が満たされずに提供できなくなること防止し、確実に匿名化情報を提供することができる。

〈その他〉
本発明は、上述の図示例にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。例えば、前記実施形態２，３では、減少係数として累乗近似式を用いたが、これに代えて多項近似式や指数近似式等の近似式
を用いても良い。

１ 連携システム
２ 協調管理サーバ
１１ データ取得部
１２ データ送信部
１３ セキュリティ更新部
２１ データ取得部
２２ セキュリティレベル判定部
２３ 匿名化部
２４ 格納部
２５ タイミング変更部
２６ データ送信部
２７ 区分数取得部
２８ 匿名状態予測部
３１ 個人情報集約データベース
３２ 協調制御定義データベース
３３ リスク判定データベース
４１ 機能部
４２ 制御部
４３ 通信部
４４ 出力部
９０ 機器

Claims (5)

1. センサデータとユーザデータを取得するデータ取得部と、
   前記センサデータとユーザデータを匿名化処理して匿名化データとする匿名化部と、
   前記匿名化データを格納する格納部と、
   前記匿名化データを前記格納部に格納したタイミング又は前記センサデータを取得したタイミングに応じた所定の送信タイミングと異なるように前記匿名化データの送信タイミングを変更するタイミング変更部と、
   変更後の前記送信タイミングに基づいて前記匿名化データを送信する送信部と
   を備える情報配信装置。
2. 前記タイミング変更部が、前記匿名化データの匿名化レベル又はセキュリティリスクに応じ、前記匿名化レベルが高い又はセキュリティリスクが低い場合には前記送信タイミングの変更を小さくし、前記匿名化レベルが低い又はセキュリティリスクが高い場合には前記送信タイミングの変更を大きくする請求項１に記載の情報配信装置。
3. 前記センサデータとユーザデータを匿名化する際の区分数を取得する区分数取得部と、
   前記区分数を増加させた場合の最小出現数の減少量を示す減少係数と前記区分数とに基づいて、個人情報を前記区分数で匿名化した場合の最小出現数が所定の基準値を下回ると判定した場合に、最小出現数が所定の基準値以上となる区分数を求める匿名状態予測部と、
   を備える請求項１又は２に記載の情報配信装置。
4. センサデータとユーザデータを取得するステップと、
   前記センサデータとユーザデータを匿名化処理して匿名化データとするステップと、
   前記匿名化データを格納するステップと、
   前記匿名化データを前記格納部に格納したタイミング又は前記センサデータを取得したタイミングに応じた所定の送信タイミングと異なるように前記匿名化データの送信タイミングを変更するステップと、
   変更後の前記送信タイミングに基づいて前記匿名化データを送信するステップと
   をコンピュータが実行する情報配信方法。
5. センサデータとユーザデータを取得するステップと、
   前記センサデータとユーザデータを匿名化処理して匿名化データとするステップと、
   前記匿名化データを格納するステップと、
   前記匿名化データを前記格納部に格納したタイミング又は前記センサデータを取得したタイミングに応じた所定の送信タイミングと異なるように前記匿名化データの送信タイミングを変更するステップと、
   変更後の前記送信タイミングに基づいて前記匿名化データを送信するステップと
   をコンピュータに実行させるための情報配信プログラム。