JP2017534969A - 第３者データ共有のためのプライバシー保護 - Google Patents

Abstract

通信ネットワークに従う１人または複数のユーザの活動に関する生データの組が取得される。通信ネットワークは、ネットワーク事業者によって管理されている。取得された生データの組は、ネットワーク事業者によって維持される少なくとも１つのデータ隔離ポリシーに従って処理され、１人または複数のユーザに関連する機密データが除去された生データの組の少なくとも一部を含む第１のデータの組、生データの組から除去された機密データを含む第２のデータの組、および、生データの組と第１のデータの組の各部分の間のマッピングを含む第３のデータの組を生成する。第１のデータの組は第３者に公開されるが、第２のデータの組および第３のデータの組は第３者から隔離される。

Description

本願は一般に通信ネットワークに関し、より具体的には、それだけには限らないが、第３者データ共有のためのプライバシー保護に関する。

この項では、本発明をよりよく理解するために役立ち得る態様を紹介する。したがって、この項の文言はそれに鑑みて読まれるべきであり、従来技術に何が含まれるか、または従来技術に何が含まれないかに関する承認として理解されてはならない。

一般に、通信ネットワーク事業者（例えば、ネットワーク所有者および／またはネットワークサービスプロバイダ）が通常、ユーザトラフィック情報、ならびにサービスアクセス（例えば位置サービス）情報を収集し、その情報を所与の期間保持することが知られている。このデータによって、ネットワーク事業者は、とりわけ、誤った課金についてのユーザの苦情に対処し、ユーザ課金を適切に是正することが可能になる。

ネットワーク事業者はまた、そのようなトラフィックおよびサービスアクセス情報が有価値であり得ることにも気付いている。例えば、ネットワーク事業者は、データ分析およびデータマイニングの手順を通した、付加価値サービスすなわちＶＡＳ（例えば、広告サービス、市場予測サービス、およびユーザ行動分析サービス）を開発および配備してきている。さらに、ネットワーク事業者は、そのトラフィック情報およびサービスアクセス情報を第３者と共有して利益を増加させ得ることに気付いている。例えば、ネットワーク事業者はその情報をインダストリーアナリスト企業（例えば、ＩＤＣおよびＧａｒｔｎｅｒ）と共有して深く掘り下げた分析を行うと共に、広告プロバイダとも共有して、広告プロバイダがユーザへ送られる広告をパーソナル化できるようにすることができる。

説明的な実施形態で、第３者データ共有のためのプライバシー保護の技法を提供する。

例えば、一実施形態では、方法が下記のステップを含む。通信ネットワークに従う１人または複数のユーザの活動に関する生データの組が取得される。通信ネットワークは、ネットワーク事業者によって管理されている。取得された生データの組は、ネットワーク事業者によって維持される少なくとも１つのデータ隔離ポリシーに従って処理され、１人または複数のユーザに関連する機密データが除去された生データの組の少なくとも一部を含む第１のデータの組、生データの組から除去された機密データを含む第２のデータの組、および、生データの組と第１のデータの組の各部分の間のマッピングを含む第３のデータの組を生成する。第１のデータの組は第３者に公開されるが、第２のデータの組および第３のデータの組は第３者から隔離される。

別の実施形態では、符号化された１つまたは複数のソフトウェアプログラムの実行可能コードを内部に有するプロセッサ可読記憶媒体を含む製造物品が提供される。１つまたは複数のソフトウェアプログラムは、少なくとも１つの処理デバイスによって実行されると、前述した方法のステップを実施する。

さらに別の実施形態では、装置が、メモリおよび前述した方法を行うように構成されたプロセッサを含む。

有利には、説明的な実施形態は、ネットワークのユーザのプライベート情報を公開することなく第３者とデータを共有するための技法をネットワーク事業者に提供する。

本明細書に記載される実施形態のこれらおよびその他の特徴および利点は、添付図面および下記の詳細な説明によって、さらに明らかになる。

一実施形態によるサービスアクセス情報を表す生データのテーブル例を示す図である。 図１Ａの生データからユーザのプライベート情報が除去された処理済みデータのテーブル例を示す図である。 図１Ａの識別子と図１Ｂの識別子の間のマッピング関係のテーブル例を示す図である。 図１Ａの生データから除去されたユーザ機密データのテーブル例を示す図である。 一実施形態による図１Ａの生データからユーザのプライベート情報が除去された処理済みデータのテーブル例を示す図である。 図１Ａの識別子と図１Ｅの識別子の間のマッピング関係のテーブル例を示す図である。 図１Ａの生データから導出された統計情報のテーブル例を示す図である。 図１Ｇの統計情報に対応する処理済みデータのテーブル例を示す図である。 一実施形態による第３者データ共有のためのセキュリティアーキテクチャ環境を示す図である。 一実施形態による第３者データ共有のためのセキュリティの方法を示す図である。 一実施形態による第３者データ共有のための広告パーソナル化の方法を示す図である。 １つまたは複数の実施形態による第３者データ共有のためのセキュリティアーキテクチャが実装された処理プラットフォームを示す図である。

本明細書では、例示的コンピューティングシステム、データストレージシステム、通信ネットワーク、処理プラットフォーム、システム、ユーザデバイス、ネットワークノード、ネットワーク要素、クライアント、サーバ、および関連する通信プロトコルを参照しながら、説明的な実施形態について記載する。ただし、実施形態は記載される具体的な構成での使用に限定されず、むしろ、通信ネットワークでの第３者データ共有のためのプライバシー保護の形での強化されたセキュリティの機構および方法を提供することが望ましいあらゆる環境に、より一般的に適用可能であることを理解されたい。

ネットワーク事業者にとっての１つの重要な問題は、そのネットワークユーザのプライバシーを保ちながらトラフィックおよびサービスアクセス情報をどのようにして第３者と共有するかである。本明細書で後に詳細に説明するように、説明的な実施形態は、ネットワーク事業者（例えば、ネットワーク所有者および／またはネットワークサービスプロバイダ）がネットワークユーザのプライバシーを公開することなくデータを第３者と共有できるようにする。説明的な実施形態では、このことは、データを第３者と共有する前にユーザの機密情報を除去すること、および、ネットワーク事業者によって管理されているネットワーク環境から機密データが出ていくことを防ぐことのうち、１つまたは複数によって実現される。これらおよびその他の説明的な実施形態について、下記のサービスアクセス情報の例を使用して後に説明する。しかし、本明細書に記載される発明的教示を前提として、他の形のデータに、簡単な様式で代替実施形態が実装されてもよいことが当業者に実感されることは理解される。

本明細書で使用するとき、「第３者」という語句は、ネットワーク事業者とユーザ以外のあらゆる当事者を一般に指す。単に例として、第３者は、個人、別のユーザ、グループ、エンティティ、事業、システムなどであることができる。

まず、図１Ａから１Ｈのコンテキストでの実施形態によりプライバシー保護の概念について述べ、次に、それらの概念の１つまたは複数を図２Ａから２Ｃの実施形態のコンテキストで実装するための説明的なシステムおよび方法について述べる。

図１Ａは、一実施形態によるサービスアクセス情報を表す生データのテーブル例を示す。この、サービスアクセス情報に関する生データは、テーブル１００に示されるようなレコードとして収集および保持されると仮定される。この例の生データは、ネットワークユーザによって通信ネットワークを介して購入された商品および／またはサービス（例えば、電子商取引のウェブサイト）に関連するが、実施形態はこのタイプのデータに制限されない。

テーブル１００に示されるように、テーブルの列は下記の生データを含む：

Ｕｓｅｒ＿ＩＤ：ネットワークユーザのアカウントの識別子であり、ネットワーク事業者によって提供されるサービスプラットフォームに登録されている。

Ｕｓｅｒ＿ｓ＿Ｉｎｆｏ：このデータはネットワークユーザが第３者との共有を希望しない、そのユーザの「機密」（プライベート）情報を含み、単なる例として、Ｅメールアドレス、位置、携帯電話番号、自宅または事業所の住所などである。

Ｕｓｅｒ＿ｐ＿Ｉｎｆｏ：このデータはネットワークユーザが自ら第３者との共有を望む、そのユーザの公開情報を含み、単なる例として、職業、選好、年齢などである。

Ｓｅｒｖｉｃｅ＿ＩＤ：第３者サービスプロバイダのアカウントの識別子であり、ネットワーク事業者によって提供されるサービスプラットフォームに登録されている。

Ｓｅｒｖｉｃｅ＿Ｔｙｐｅ：このデータはサービスのタイプを示し、単なる例として、書籍、衣類、ケータリングサービス、スポーツなどである。

Ｓｅｒｖｉｃｅ＿Ｉｎｆｏ：このデータは第３者サービスプロバイダに関する情報を示し、単なる例として、Ｅメールアドレス、電話番号、ファックス番号、店舗住所などである。

また、テーブル１００の生データにはネットワークアクセス時間（例えば、ユーザがいつネットワークにアクセスしたか）、購入した品目、および課金（例えば、購入価格）に関する情報も含まれる。

テーブル１００のデータを第３者と共有する前に、生データを次のとおり処理するべきであることが理解される：

（ｉ）テーブル１００の生データ内のユーザの機密情報（例えばＵｓｅｒ＿ＩＤ、Ｕｓｅｒ＿Ｉｎｆｏ）が除去されて別途格納される。

（ｉｉ）Ｕｓｅｒ＿ＩＤがＡｎｏｎｙｍｏｕｓ＿ＩＤに置き換えられる。

（ｉｉｉ）広告プロバイダが広告をパーソナル化するために、Ｕｓｅｒ＿ＩＤとＡｎｏｎｙｍｏｕｓ＿ＩＤの間のマッピング関係が保持される。

よって、テーブル１００の生データは次の３つのテーブルに分けられる：

図１Ｂのテーブル１１０は、図１Ａの生データからユーザの機密情報が除去された処理済みデータを示す。

図１Ｃのテーブル１２０は、図１Ａの識別子（Ｕｓｅｒ＿ＩＤ）と図１Ｂの識別子（Ａｎｏｎｙｍｏｕｓ＿ＩＤ）の間のマッピング関係を示す。

図１Ｄのテーブル１３０は、図１Ａの生データから除去されたユーザ機密データ（Ｕｓｅｒ＿ｓ＿ｉｎｆｏ）を示す。

テーブル１００（図１Ａ）、テーブル１２０（図１Ｃ）およびテーブル１３０（図１Ｄ）のデータは、そのデータが第３者からアクセス不能であるように、ネットワーク事業者のドメイン（すなわち、システム環境）の中で保持されるべきであることが理解される。

テーブル１１０（図１Ｂ）の処理済みデータは、理論的にはデータ分析およびデータマイニングのために第３者と共有されてもかまわない。しかし、テーブル１１０のデータを受け取る、イベントの相関付けと分析（ＥＣＡ）に熟達した第３者は、匿名ユーザ（例えば、テーブル１１０のａｎｏｎｙｍｏｕｓ＿１）の行動を追跡して、このデータを他の情報と結び付けることによって実際のユーザ（例えば、テーブル１００のｕｓｅｒ＿１）を識別できる可能性がある。ユーザの行動が追跡される可能性を減少させるために、テーブル１１０のデータは、１つまたは複数のさらなる説明的な実施形態によって、さらに処理される。

一実施形態では、所与の各ユーザについて、異なるサービス間の相関情報が除去される。例えば、テーブル１１０で、ｓｅｒｖｉｃｅ＿１、ｓｅｒｖｉｃｅ＿２、およびｓｅｒｖｉｃｅ＿３の３つのサービスにアクセスするユーザａｎｏｎｙｍｏｕｓ＿１に対して、３つの異なるＡｎｏｎｙｍｏｕｓ＿ＩＤがセットされる。このようにすれば、所与のユーザの相関因子を第３者が見つけることが、より困難になる。したがって、テーブル１１０とテーブル１２０は、それぞれ図１Ｅのテーブル１４０と図１Ｆのテーブル１５０に変更される。

さらに、場合によっては、第３者が市場予測に必要とするのは統計データのみであることが理解される。例えば、ある出版社が、ハリーポッターの本を買うユーザはＪ．Ｋ．ローリングが執筆する新しい本の読者になる可能性があると仮定する。そこで出版社は、新しい本の出版部数を予測できるように、ハリーポッターの本を買ったユーザの数を知ろうと望む。このシナリオでは、図１Ｂのテーブル１１０のデータを分析することにより図１Ｇのテーブル１６０が生成される。次に、この統計データ（ユーザの機密情報がある場合は、それを取り除いたもの）が出版社に送られる。図１Ｈのテーブル１７０について、広告パーソナル化の実施形態のコンテキストで下記に説明する。

図２Ａは、一実施形態による第３者データ共有のためのセキュリティアーキテクチャ環境２００を示す図である。この説明的なアーキテクチャは、第３者とデータを共有するときにネットワーク事業者のユーザのプライバシーを保護するように、ネットワーク事業者によって実装および管理される。さらに、あるデータ共有プラットフォーム２１０−１は、例えば２１０−２などの他のデータ共有プラットフォームとデータを共有することもできる。

図示されるように、環境２００は、データ共有プラットフォーム２１０−１に関連するｒａｗ＿ｄａｔａ＿１ ２０２−１および生データ管理コンポーネント２０４−１を含み、一方、ｒａｗ＿ｄａｔａ＿２ ２０２−２および生データ管理コンポーネント２０４−２はデータ共有プラットフォーム２１０−２に関連する。データ共有プラットフォーム２１０−２がデータ共有プラットフォーム２１０−１について下記に図示および説明されるコンポーネントと同じまたは類似したコンポーネントを有してもよいことは理解される。

データ共有プラットフォーム２１０−１はデータ抽出コンポーネント２１２、処理済みデータ２１３、機密データ２１４、マッピングデータ（生データと処理済みデータの間のマッピング）２１５、マッピング管理コンポーネント２１６、プラットフォームセキュリティ管理コンポーネント２１７、認可ポリシーコンポーネント２１８、データ隔離コンポーネント２１９、課金ポリシーコンポーネント２２０、ＡＰＩ（アプリケーションプログラミングインタフェース）保護コンポーネント２２１、データライフサイクル管理コンポーネント２２２、データ分析ツール２２３、ＡＰＩ（第３者に公開される）２２４、およびＡＰＩ（ネットワーク事業者のドメイン内）２２５を含む。図示されるように、ＡＰＩ２２４はデータ共有プラットフォーム２１０−１と第３者２３０（およびそのアプリケーション）の間にインタフェースを提供し、第３者は、例えば情報可視化サービスプロバイダ２３１、データマイニングサービスプロバイダ２３２、イベント相関付けと分析のサービスプロバイダ２３３、および、ビジネスインテリジェンスサービスプロバイダ２３４を含む。ＡＰＩ２２５は、データ共有プラットフォーム２１０−１とネットワーク事業者アプリケーション２４０の間にインタフェースを提供し、ネットワーク事業者アプリケーションは、例えば、データ分析サービス２４１およびネットワーク事業者ポータル２４２を含む。環境２００にさらに示されているように、マッピング管理コンポーネント２１６は、ネットワーク事業者広告プラットフォーム２５０に結合されている。破線２０５がプライバシー境界を示すことに留意されたい。

データ抽出コンポーネント２１２は、ネットワーク事業者によって収集された生データを処理するように構成された論理機能を含む。様々なモデルによれば、生データを様々に異なるテーブルに分ける方法がいくつかある。例えば、粒度の粗いモデルによれば、テーブル１００の生データは、テーブル１１０、テーブル１２０、およびテーブル１３０に分けられ得る。より粒度の細かいモデルによれば、テーブル１００の生データは、テーブル１３０、テーブル１４０、およびテーブル１５０に分けられ得る。

図２Ａに示されるデータベースは、ユーザの公開データ（例えば、テーブル１１０およびテーブル１４０）を格納しており第３者と共有可能な、処理済みデータのデータベース２１３および、ユーザの機密情報（例えば、テーブル１３０）を格納しており第３者と共有されない、機密データのデータベース２１４、および、生データと処理済みデータの間のマッピング関係を反映するデータを格納しており第３者と共有されない、マッピングデータのデータベース２１５（例えば、テーブル１２０およびテーブル１５０）を含む。マッピング管理コンポーネント２１６は、生データと処理済みデータの間のマッピング関係のデータベースを管理する。例えば、ある広告サービスのシナリオでは、実際のユーザ情報は、機密データベース２１４およびマッピング関係のデータベース２１５を検索することによって見つかる。

データ隔離コンポーネント２１９は、ネットワーク事業者のデータ隔離ポリシーを設定および維持する。例えば、前述したように、生データが機密データ、処理済みデータ、および生データと処理済みデータの間のマッピング関係を反映するデータに分けられる。第３者は処理済みデータにアクセスしてデータ分析およびデータマイニングを行うことができる。しかし、第３者が生データ、機密データ、およびマッピング関係を反映するデータにアクセスすることは禁じられている。この禁止データは隔離され、別途格納される（例えば、別の物理機器内に記憶される）。処理済みデータについては、特定の情報を隔離することが可能である。例えば、第３者が所与のユーザについての相関因子を見つけにくくなるように、同一ユーザへの様々なサービスの間の相関情報が処理済みデータから除去される（その結果がテーブル１５０）。

認可ポリシーコンポーネント２１８は、データアクセスポリシーを実装する。ある説明的なデータ共有プラットフォームでは、ユーザのデータアクセスについて少なくとも２組のポリシーがある。１つは、アプリケーションを実行する代表者のため、他方はデータ共有プラットフォームＡＰＩを呼び出すアプリケーションのためのポリシーである。結合されたアクセス制御ポリシーには、（アプリケーションを実行する）代表者と（データ共有プラットフォームＡＰＩの呼び出す）アプリケーションの間でのアクセス権の共通部分が含まれる。例えば、データマイニングのアプリケーション２３２を実行する代表者はデータ共有プラットフォームのスーパーアドミニストレータであり、処理済みデータおよび機密データにアクセスするための全権利（例えば、読み出し、検索、書き込み、更新など）を有する。しかし、データマイニングのアプリケーション２３２は第３者アプリケーションであり、この例では、処理済みデータを検索する権利しかもたない。したがって、データマイニングのアプリケーション２３２を実行しているスーパーアドミニストレータの最終的な権利は、処理済みデータを検索する権利になる。

第３者に公開されるＡＰＩ２２４は、第３者アプリケーションがユーザのデータにアクセスするためのＡＰＩである。内部ＡＰＩ２２５は、内部のプラットフォーム管理およびアプリケーションがユーザのデータにアクセするためのＡＰＩである。ＡＰＩ保護コンポーネント２２１（例えば、ＩＥＴＦ ＯＡｕｔｈ２．０を参照）は、ＡＰＩの認証、ＡＰＩを呼び出す所有者の認証、ならびに、例えばトランスポートレイヤセキュリティ（ＴＬＳ）／セキュアソケットレイヤ（ＳＳＬ）などの、データ分析結果の移送のための秘密性および完全性などの機能を含む。

プラットフォームセキュリティ管理コンポーネント２１７は、ソフトウェア更新、ログおよび監査、アンチウィルス／マルウェア、信頼されるコンピューティングモジュール、ならびに、アドミニストレータの認証およびアクセスコントロールなどの機能を含む。

課金ポリシーコンポーネント２２０は、データ利用状況（例えば、データタイプ、データサイズなど）に応じて第３者に料金を指定する課金ポリシーを管理する。データライフサイクル管理モジュール２２２は、データ収集、データ処理、データ共有、データ格納、データクリーニングなど、指定されたデータのライフサイクルを管理する。データ分析ツール２２３は、統計および統計分析、相関分析などを含む。

図２Ｂは、一実施形態による第３者データ共有のためのセキュリティの方法を示す。図２Ａのセキュリティアーキテクチャ環境２００のコンポーネントのうち方法２６０が関与するものには、一貫して理解できるように、図２Ｂでも図２Ａと同じ番号が付与されていることに留意されたい。

ステップ１で、生データ管理コンポーネント２０４がトリガされて、データベースＲａｗ＿Ｄａｔａ ２０２から生データ（例えば、未処理）を取り出す。トリガする機構には、生データ管理コンポーネント２０４内のタイムトリガ、データ抽出コンポーネント２１２からの要求が含まれるが、これに限定されない（また、データ抽出コンポーネント内のタイムトリガおよび他のコンポーネントからの要求も含まれる）。ある説明的な実施形態では、生データのデータベース２０２と生データ管理コンポーネント２０４との間のデータ伝送は安全である。説明的な実施形態では、データ移送を安全にするために、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）またはトランスポートレイヤセキュリティ（ＴＬＳ）を採用することができる。

ステップ２で、生データ管理コンポーネント２０４が取り出した生データをデータ抽出コンポーネント２１２に転送する。コンポーネント２０４とコンポーネント２１２の間のデータ移送を安全にするために、ＴＬＳまたはＩＰＳｅｃが使用される。

ステップ３では、データ抽出コンポーネント２１２が、ステップ４でデータ隔離コンポーネント２１９から取得するアドミニストレータからの隔離ポリシーに従って、生データを処理する。単なる例として、受け取られる生データはテーブル１００のデータである。ポリシーに従ってテーブル１００が処理されて、テーブル１３０、１４０、および１５０になる。ステップ５で、データ抽出コンポーネント２１２が、結果の３つのテーブルを３つの別々のデータベースへ送る。テーブル１４０は処理済みデータのデータベース２１３に格納される。テーブル１５０はマッピングのデータベース２１５に格納される。テーブル１３０は機密データのデータベース２１４に格納される。ある説明的な実施形態では、データ抽出コンポーネント２１２と３つのデータベースとの間のデータ伝送は、例えば、データ伝送を安全にするためのＩＰＳｅｃまたはＴＬＳを使用して、安全である。

ある適用例では、出版社が、ハリーポッターの本を買うユーザはＪ．Ｋ．ローリングが執筆する新しい本の読者になる可能性があると仮定する。そこで出版社は、新しい本の出版部数を予測できるように、ハリーポッターの本を買ったユーザの数を知ることを希望する。さらに、出版社がハリーポッターの本を買ったそれらのユーザに、Ｊ．Ｋ．ローリングが執筆する新しい本に関する広告情報を送ることを希望すると仮定する。

図２Ａに示されるデータ共有プラットフォームを使用して、出版社は、図２Ｃに示されるように、市場予測を生成して、広告をパーソナル化することができる。図２Ａのセキュリティアーキテクチャ環境２００のコンポーネントのうち方法２８０が関与するものには、一貫して理解できるように、図２Ｃでも図２Ａと同じ番号が付与されていることに留意されたい。図２Ｃによれば、手順は次のとおりである：

Ａ．出版社はデータマイニングアプリケーション２３２（このアプリケーションは統計分析を行うことに留意）を呼び出して、目標ユーザのリストおよび、何人のユーザがハリーポッターの本を買ったかを要求する（テーブル１６０および１７０）。

Ａ．１）データマイニングアプリケーション２３２は、ＡＰＩ保護コンポーネント２２１にメッセージを送って目標ユーザのリストを要求する。ＡＰＩ保護コンポーネント２２１は、出版社（エンドユーザとして）とデータマイニングアプリケーション２３２の両方を認証する。説明的な認証機構は、ユーザ名／パスワード、対称鍵、および／または証明書に基づいてもよい。説明的な適用事例では、第３者アプリケーションのためのアクセス認可として、ＩＥＴＦ ＯＡｕｔｈ２．０が使用されてもよい。

Ａ．２）出版社とデータマイニングアプリケーションの両方の認証に成功した後、ＡＰＩ保護コンポーネント２２１は認可ポリシーコンポーネント２１８に要求を転送する。認可ポリシーコンポーネント２１８は、出版社とデータマイニングアプリケーションの両方のアクセスポリシーをチェックして、出版社とデータマイニングコンポーネントの共通部分を、この要求についての最終的なアクセス権として決定する。例えば、出版社はＡｍａｚｏｎ．ｃｏｍから販売された本についてのユーザのトランザクションに関するデータのみにアクセスできると仮定する（出版社は他のオンライン書店から販売された本についての他のトランザクションにアクセスするには、より多くの金額を支払う必要があると仮定する）。データマイニングアプリケーションは、処理済みデータのデータベース２１３内の、本に関するすべてのユーザトランザクションのデータにアクセスする権利を有する。したがって、この要求についての最終的なアクセス権は、Ａｍａｚｏｎ．ｃｏｍから販売されたハリーポッターの本についてのトランザクションのみが計算され、出版社に提供されるということである。

Ａ．３）認可ポリシーコンポーネント２１８がこのメッセージをデータ分析ツール２２３に転送する。データ分析ツール２２３は、Ａｍａｚｏｎ．ｃｏｍから販売されたハリーポッターの本についてのトランザクションのみが計算され、関連するユーザのリストが広告をパーソナル化する目標ユーザのリストとして提供されるというアクセスポリシーに従って、処理済みのデータのデータベース２１３からデータを取り出す。

Ａ．４）データ分析ツール２２３はデータマイニングアプリケーション２３２に、統計データ（テーブル１６０）および目標ユーザのリスト（テーブル１７０）を返す。したがって、出版社はハリーポッターの本を何人のユーザが買ったかについての統計データおよび、目標ユーザのリストを取得する。この情報を使用して、出版社は、所与の目標ユーザに対してＪ．Ｋ．ローリングの執筆する新しい本の広告をパーソナル化することができる。

データマイニングアプリケーションとデータ共有プラットフォームの間のデータ伝送を安全にするためにＩＰｓｅｃまたはＴＬＳが使用されてもよい。

Ｂ．目標ユーザのリストを取得した後、出版社がＪ．Ｋ．ローリングの執筆する新しい本に関する広告情報をそれらの目標ユーザに送ることを希望すると仮定する。しかし、出版社はそれらの目標ユーザの実際の連絡先情報（例えば、Ｅメールアドレス、電話番号）を知らない。よって、出版社はネットワーク事業者に、事業者広告プラットフォーム２５０を通して広告をパーソナル化するための支援を求める必要がある。

Ｂ．１）事業者広告プラットフォーム２５０は、マッピング管理コンポーネント２１６に、ユーザの実際の連絡先情報を取得するようにメッセージを送る。

Ｂ．２）マッピング管理コンポーネント２１６はユーザのマッピング情報（テーブル１５０のものなど）を取り出し、次にユーザの実際の連絡先情報（テーブル１３０のものなど）を取り出す。マッピング管理コンポーネント２１６は事業者広告プラットフォーム２５０に、対応するユーザの実際の連絡先情報を返す。

Ｂ．３）事業者広告プラットフォーム２５０は次に、出版社のために、それらの目標ユーザにＪ．Ｋ．ローリングの執筆する新しい本に関する広告情報を送る。事業者広告プラットフォーム２５０は事業者のドメインに所属するので、ユーザの機密データを第３者（例えば出版社）に公開することはない。このようにして、ユーザのプライバシーを保護することができる。事業者広告プラットフォーム２５０とデータ共有プラットフォームの間のデータ伝送を安全にするためにＩＰｓｅｃまたはＴＬＳが使用されてもよい。

図３を参照すると、１つまたは複数の実施形態によるセキュリティアーキテクチャ（例えば、図２Ａの２００）が実装された処理プラットフォームが示されている。この実施形態の処理プラットフォーム３００は、３０２−１、３０２−２、３０２−３、…、３０２−Ｐで表された複数の処理デバイスを含み、それらは互いにネットワーク３０４を介して通信する。アーキテクチャ２００の１つまたは複数のコンポーネントおよび／またはモジュール（例えば、ＡＰＩ、コンポーネント、データベースなど）は、したがって、それぞれ１つまたは複数のコンピュータまたは他の処理プラットフォーム要素の上で実行してもよく、それらのそれぞれは、本明細書で、より一般的に「処理デバイス」と呼ばれるものの例として見なすことができる。図３に示されるように、そのようなデバイスは一般に、少なくとも１つのプロセッサおよび関連するメモリを備え、本明細書に記載されるシステムおよび方法の特徴をインスタンス化および／または制御するための１つまたは複数の機能モジュールを実装する。所与の一実施形態では、複数の要素またはモジュールが単一の処理デバイスによって実装されてもよい。

処理プラットフォーム３００内の処理デバイス３０２−１は、メモリ３１２に結合されたプロセッサ３１０を備える。プロセッサ３１０は、マイクロプロセッサ、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）または、その他のタイプの処理回路、ならびに、そのような回路要素の一部または組み合わせを備えてもよい。本明細書に開示されるシステムのコンポーネントは、少なくとも部分的には、メモリに記憶されてプロセッサ３１０などの処理デバイスのプロセッサによって実行される１つまたは複数のソフトウェアプログラムの形で実装されることができる。そのようなプログラムコードを内部に具現化したメモリ３１２（または他のストレージデバイス）は、本明細書でより一般的にプロセッサ可読記憶媒体と呼ばれるものの例である。そのようなプロセッサ可読記憶媒体を備える製造物品は、実施形態と見なされる。所与のそのような製造物品は、例えば、ストレージディスク、ストレージアレイ、またはメモリを含む集積回路などの、ストレージデバイスを備えていてもよい。本明細書で使用されるとき、「製造物品」という用語は、一時的な伝播信号を除外すると理解されるべきである。

さらに、メモリ３１２は、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）または、その他のタイプのメモリなどの電子的メモリを任意の組み合わせで備えてもよい。１つまたは複数のソフトウェアプログラムは、処理デバイス３０２−１などの処理デバイスによって実行されると、そのデバイスに、システム／方法３００のコンポーネント／ステップのうち１つまたは複数に関連する機能を行わせる。当業者は、本明細書で提供される教示を前提として、そのようなソフトウェアを容易に実装することができる。実施形態を具現化するプロセッサ可読記憶媒体の他の例には、例えば、光ディスクまたは磁気ディスクが含まれてもよい。

また、処理デバイス３０２−１にはネットワークインタフェース回路３１４が含まれ、ネットワークインタフェース回路３１４は、処理デバイスとネットワーク３０４または他のシステムコンポーネントをインタフェースさせるために使用される。そのような回路は、当技術分野でよく知られているタイプの従来型トランシーバを備えてもよい。

処理プラットフォーム３００の他の処理デバイス３０２は、図で処理デバイス３０２−１について示されているものと類似した様式で構成されると仮定される。

図３に示される処理プラットフォーム３００は、バッチ処理システム、並列処理システム、物理マシン、仮想マシン、仮想スイッチ、ストレージボリューム、論理ユニットなどの、知られている追加コンポーネントを備えてもよい。ここでも、図３に示される具体的な処理プラットフォームは、単なる例として示されており、図１のＳＤＮネットワーク１００は、追加または代替の処理プラットフォームおよび、多数の独立した処理プラットフォームを任意の組み合わせで含んでもよい。

また、サーバ、コンピュータ、ストレージデバイスまたは他のコンポーネントの多数の他の構成が可能である。そのようなコンポーネントは、広域ネットワーク（ＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、衛星ネットワーク、電話もしくはケーブルのネットワーク、ストレージネットワーク、コンバージドネットワーク、または、それらおよび他のタイプのネットワークの様々な部分または組み合わせなどの、任意のタイプのネットワークを介してシステムの他の要素と通信することができる。

さらに、図３の処理プラットフォーム３００が、ハイパーバイザを使用して実装された仮想マシン（ＶＭ）を備え得ることが理解される。ハイパーバイザは、本明細書でより一般的に「仮想化インフラストラクチャ」と呼ばれるものの例である。ハイパーバイザは物理インフラストラクチャ上で動作する。処理プラットフォーム３００はまた、それぞれが各自の物理インフラストラクチャ上で動作している複数のハイパーバイザを含んでもよい。知られているように、ＶＭは、１つまたは複数の物理的処理要素（例えば、サーバ、コンピュータ、処理デバイス）によってインスタンス化される論理的処理要素である。つまり、ＶＭとは一般に、物理的なマシン（すなわちコンピュータ）のようにプログラムを実行するマシンのソフトウェア実装を指す。よって、様々に異なるＶＭが、同一の物理コンピュータ上で様々に異なるオペレーティングシステムおよび複数のアプリケーションを実行させることができる。仮想化は、物理コンピュータのハードウェアリソースを動的かつ透過的に割り振るために、コンピュータハードウェアの上に重ねて直接挿入されたハイパーバイザによって実装される。ハイパーバイザは、単一の物理コンピュータ上で複数のオペレーティングシステムを同時に実行させ、互いにハードウェアリソースを共有させる能力をもつ。

本明細書では、特定の通信プロトコルを利用する通信ネットワークのコンテキストで特定の説明的な実施形態について説明しているが、他の実施形態では他のタイプのネットワークを使用することができる。したがって、前述したように、本明細書で使用するとき、「ネットワーク」という用語は広義に解釈されるものと意図される。さらに、前述した実施形態は説明のみを目的とし、決して制限的であると解釈されるべきではないことを強調しておかなければならない。他の実施形態では、様々なタイプのネットワーク、デバイスおよびモジュールの構成、ならびにロードバランス機能を実装するための代替の通信プロトコル、プロセスステップ、および動作が使用されてもよい。ネットワークノードが通信する具体的な様式は、他の実施形態では異なっていてもよい。また、この説明的な実施形態を説明するというコンテキストで行われた具体的な仮定は、本発明の要件と解釈されてはならないことが理解されるべきである。本発明は、これらの具体的な仮定が適用されない他の実施形態に実装することができる。添付の特許請求の範囲内にある、これらおよび他の多数の代替実施形態は、当業者には容易に明らかになる。

Claims (27)

1. 通信ネットワークに従う１人または複数のユーザの活動に関する生データの組を取得するステップであって、通信ネットワークがネットワーク事業者によって管理されている、取得するステップと、
   ネットワーク事業者によって維持される少なくとも１つのデータ隔離ポリシーに従って、取得された生データの組を処理するステップであって、それによって、１人または複数のユーザに関連する機密データが除去された生データの組の少なくとも一部を含む第１のデータの組、生データの組から除去された機密データを含む第２のデータの組、および、生データの組と第１のデータの組の各部分の間のマッピングを含む第３のデータの組を生成する、処理するステップと、
   第１のデータの組を第３者に公開するステップと、
   第２のデータの組および第３のデータの組を第３者から隔離するステップと
   を含み、ステップのうち１つまたは複数が処理デバイスによって行われる、方法。
2. 処理するステップが、生データの組から１人または複数のユーザに関連する機密データを削除することによって第１のデータの組を生成するステップをさらに含み、機密データが、１人または複数のユーザに帰すことができる個人情報を含む、請求項１に記載の方法。
3. 処理するステップが、１人または複数のユーザの実際の識別子をマスクするために、１人または複数のユーザの実際のユーザ識別子を、１人または複数のユーザの割り当てられた匿名識別子に置き換えることによって第１のデータの組を生成するステップをさらに含む、請求項１に記載の方法。
4. 所与のユーザについて、所与のユーザに帰すことができる複数の活動についての実際のユーザ識別子を置き換えるために、複数の匿名識別子がそれぞれ割り当てられる、請求項３に記載の方法。
5. 第３のデータの組が、実際のユーザ識別子と対応する割り当てられた匿名識別子との間のマッピングを含む、請求項３に記載の方法。
6. 取得された生データの組を処理するステップが、生データの組の少なくとも一部から第３者による要求に基づいて計算された統計データを含む第４のデータの組を生成するステップをさらに含む、請求項１に記載の方法。
7. 取得された生データの組を処理するステップが、第４のデータの組から導出された匿名データを含む第５のデータの組を生成するステップをさらに含む、請求項６に記載の方法。
8. 公開するステップが、第４のデータの組および第５のデータの組を第３者に公開するステップをさらに含む、請求項７に記載の方法。
9. 第４および第５のデータの組を生成する前、かつ第１、第４、および第５のデータの組を第３者に公開する前に、第３者を認証するステップをさらに含む、請求項８に記載の方法。
10. 認証の後、かつ、第４および第５のデータの組を生成する前に、第３者が第１、第４、および第５のデータの組のうち１つまたは複数にアクセスする１つまたは複数の権利を有するか決定するステップをさらに含む、請求項９に記載の方法。
11. １人または複数のユーザのうち少なくとも１人への第３者からのメッセージを第４および第５のデータの組において公開されているデータに基づいてパーソナル化するための要求を受け取るステップをさらに含む、請求項１０に記載の方法。
12. パーソナル化されたメッセージを受け取る少なくとも１人のユーザを、少なくとも１人のユーザの識別子を第３者に公開することなく識別するステップと、パーソナルメッセージを識別されたユーザに送るステップとをさらに含む、請求項１１に記載の方法。
13. 機密データを含む第２のデータの組および生データの組と第１のデータの組の各部分の間のマッピングを含む第３のデータの組と共に、匿名データを含む第５のデータの組に従って、少なくとも１人のユーザを識別するステップをさらに含む、請求項１２に記載の方法。
14. 実行可能プログラムコードを内部に具現化したプロセッサ可読記憶媒体を備える製造物品であって、実行可能プログラムコードは、処理デバイスによって実行されると、処理デバイスに、
    通信ネットワークに従う１人または複数のユーザの活動に関する生データの組を取得するステップであって、通信ネットワークがネットワーク事業者によって管理されている、取得するステップと、
    ネットワーク事業者によって維持される少なくとも１つのデータ隔離ポリシーに従って、取得された生データの組を処理するステップであって、それによって、１人または複数のユーザに関連する機密データが除去された生データの組の少なくとも一部を含む第１のデータの組、生データの組から除去された機密データを含む第２のデータの組、および、生データの組と第１のデータの組の各部分の間のマッピングを含む第３のデータの組を生成する、処理するステップと、
    第１のデータの組を第３者に公開するステップと、
    第２のデータの組および第３のデータの組を第３者から隔離するステップと
    を行わせる、製造物品。
15. メモリと、
    メモリに動作可能に結合された、データ共有プラットフォームを形成するプロセッサとを備えた装置であって、データ共有プラットフォームが、
    通信ネットワークに従う１人または複数のユーザの活動に関する生データの組を取得するステップであって、通信ネットワークがネットワーク事業者によって管理されている、取得するステップと、
    ネットワーク事業者によって維持される少なくとも１つのデータ隔離ポリシーに従って、取得された生データの組を処理するステップであって、それによって、１人または複数のユーザに関連する機密データが除去された生データの組の少なくとも一部を含む第１のデータの組、生データの組から除去された機密データを含む第２のデータの組、および、生データの組と第１のデータの組の各部分の間のマッピングを含む第３のデータの組を生成する、処理するステップと、
    第１のデータの組を第３者に公開するステップと、
    第２のデータの組および第３のデータの組を第３者から隔離するステップと
    を行うように構成される、装置。
16. 取得された生データの組を処理するステップが、生データの組から１人または複数のユーザに関連する機密データを削除することによって第１のデータの組を生成するステップをさらに含み、機密データが、１人または複数のユーザに帰すことができる個人情報を含む、請求項１５に記載の装置。
17. 取得された生データの組を処理するステップが、１人または複数のユーザの実際のユーザ識別子をマスクするために、１人または複数のユーザの実際の識別子を、１人または複数のユーザの割り当てられた匿名識別子に置き換えることによって第１のデータの組を生成するステップをさらに含む、請求項１５に記載の装置。
18. 所与のユーザについて、所与のユーザに帰すことができる複数の活動についての実際のユーザ識別子を置き換えるために、複数の匿名識別子がそれぞれ割り当てられる、請求項１７に記載の装置。
19. 第３のデータの組が、実際のユーザ識別子と対応する割り当てられた匿名識別子との間のマッピングを含む、請求項１７に記載の装置。
20. 取得された生データの組を処理するステップが、生データの組の少なくとも一部から第３者による要求に基づいて計算された統計データを含む第４のデータの組を生成するステップをさらに含む、請求項１５に記載の装置。
21. 取得された生データの組を処理するステップが、第４のデータの組から導出された匿名データを含む第５のデータの組を生成するステップをさらに含む、請求項２０に記載の装置。
22. 第１のデータの組を第３者に公開するステップが、第４のデータの組および第５のデータの組を第３者に公開するステップをさらに含む、請求項２１に記載の装置。
23. 第４および第５のデータの組を生成する前、かつ第１、第４、および第５のデータの組を第３者に公開する前に、第３者を認証するようにさらに構成される、請求項２２に記載の装置。
24. 認証の後、かつ、第４および第５のデータの組を生成する前に、第３者が第１、第４、および第５のデータの組のうち１つまたは複数にアクセスする１つまたは複数の権利を有するか決定するようにさらに構成される、請求項２３に記載の装置。
25. １人または複数のユーザのうち少なくとも１人への第３者からのメッセージを第４および第５のデータの組において公開されているデータに基づいてパーソナル化するための要求を受け取るようにさらに構成される、請求項２４に記載の装置。
26. パーソナル化されたメッセージを受け取る少なくとも１人のユーザを、少なくとも１人のユーザの識別子を第３者に公開することなく識別し、パーソナルメッセージを識別されたユーザに送るようにさらに構成される、請求項２５に記載の装置。
27. 機密データを含む第２のデータの組および生データの組と第１のデータの組の各部分の間のマッピングを含む第３のデータの組と共に、匿名データを含む第５のデータの組に従って、少なくとも１人のユーザを識別するようにさらに構成される、請求項２６に記載の装置。

Images