JP5381995B2

JP5381995B2 - データ処理システム、そのデータ処理装置とユーザ端末装置、そのコンピュータプログラムとデータ処理方法

Info

Publication number: JP5381995B2
Application number: JP2010535667A
Authority: JP
Inventors: 岳夫大野
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2008-10-31
Filing date: 2009-10-28
Publication date: 2014-01-08
Anticipated expiration: 2029-10-28
Also published as: JPWO2010050195A1; US8539600B2; US20110179496A1; WO2010050195A1

Description

本発明は、一般ユーザの現状を反映したユーザ行動データを所定のデータサービスシステムに提供するデータ処理システム、そのデータ処理装置およびユーザ端末装置、そのコンピュータプログラムおよびデータ処理方法、に関する。

近年、携帯電話のＧＰＳ(Global Positioning System)機能により取得した位置情報を使用して、高齢者や年少者の現在位置や行動履歴を確認できる見守りサービスなどの、位置情報を活用したサービスが多く提供されている。

また、位置情報だけでなく、ブラウザのウェブ参照履歴なども利用して、携帯電話の持ち主の行動や趣味趣向により合致した情報を提供するサービスなども開始され始めている。

しかし、このように位置情報やウェブ参照履歴などのユーザ行動データを一般ユーザがサービスに提供することは、そのサービスの運営者や、サービスを通して一般ユーザのユーザ行動データを利用する情報利用者に一般ユーザのプライバシが際限なく漏れる点に懸念がある。

一般ユーザが自らのプライバシ性の高い行動を秘匿するにはユーザ行動データ提供を止めるのが最も単純な対処方法であるが、その場合秘匿が必要なほどプライバシ性の高い行動を一般ユーザがしていることが相手側に分かってしまうため、一般ユーザがユーザ行動データの提供を止めても相手側に気づかれないようにする手段が必要である。

上述のような課題に対する従来のユーザ行動データ秘匿システム一例が提案されている。例えば、特定のサービスからの位置情報参照に対し、一般ユーザがあらかじめ地名等で指定した疑似測位情報を返すことができる技術が提案されている(例えば、特許文献１参照)。

また、特定のサービスからの位置情報参照に対し、一般ユーザの現在位置と指定された目的地から疑似的な移動経路を算出して返すことで、より秘匿前後で情報の矛盾の少ない秘匿処理を行う技術も提案されている(例えば、特許文献２参照)。

特開２００４−０３２３６７号公報特開２００６−２５４２９４号公報

しかし、既存技術の手段では一般ユーザの日常的な行動と矛盾しない疑似的なデータを作成できるとは限らない。また、秘匿できるデータが位置情報のみとなる制限もあった。

本発明は上述のような課題に鑑みてなされたものであり、一般ユーザのユーザ行動データを必要により秘匿してプライバシを保護するようなことができるデータ処理システム、そのデータ処理装置およびユーザ端末装置、そのコンピュータプログラムおよびデータ処理方法、を提供するものである。

本発明のデータ処理システムは、一般ユーザの現状を反映して所定のデータサービスシステムに提供されるユーザ行動データを発生するデータ発生手段と、発生した現状のユーザ行動データを取得するデータ取得手段と、取得された現状のユーザ行動データを蓄積するデータ蓄積手段と、蓄積された現状のユーザ行動データをデータサービスシステムに提供するデータ提供手段と、提供される現状のユーザ行動データを秘匿するかを所定条件で判定する条件判定手段と、秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから生成する疑似生成手段と、生成された疑似行動データを蓄積される現状のユーザ行動データに付加させるデータ秘匿手段と、を有する。

本発明のデータ処理装置は、本発明のデータ処理システムにデータ発生手段およびデータサービスシステムとともに利用されるデータ処理装置であって、データ発生手段が発生した現状のユーザ行動データを取得するデータ取得手段と、取得された現状のユーザ行動データを蓄積するデータ蓄積手段と、蓄積された現状のユーザ行動データをデータサービスシステムに提供するデータ提供手段と、提供される現状のユーザ行動データを秘匿するかを所定条件で判定する条件判定手段と、秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから生成する疑似生成手段と、生成された疑似行動データを蓄積される現状のユーザ行動データに付加させるデータ秘匿手段と、を有する。

本発明のユーザ端末装置は、本発明のデータ処理システムにデータサービスシステムとともに利用されるユーザ端末装置であって、一般ユーザの現状を反映して所定のデータサービスシステムに提供されるユーザ行動データを発生するデータ発生手段と、発生した現状のユーザ行動データを取得するデータ取得手段と、取得された現状のユーザ行動データを蓄積するデータ蓄積手段と、蓄積された現状のユーザ行動データをデータサービスシステムに提供するデータ提供手段と、提供される現状のユーザ行動データを秘匿するかを所定条件で判定する条件判定手段と、秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから生成する疑似生成手段と、生成された疑似行動データを蓄積される現状のユーザ行動データに付加させるデータ秘匿手段と、を有する。

本発明の第一のコンピュータプログラムは、本発明のデータ処理装置のコンピュータプログラムであって、データ発生手段が発生した現状のユーザ行動データを取得するデータ取得処理と、取得された現状のユーザ行動データを蓄積するデータ蓄積処理と、蓄積された現状のユーザ行動データをデータサービスシステムに提供するデータ提供処理と、提供される現状のユーザ行動データを秘匿するかを所定条件で判定する条件判定処理と、秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから生成する疑似生成処理と、生成された疑似行動データを蓄積される現状のユーザ行動データに付加させるデータ秘匿処理と、をデータ処理装置に実行させる。

本発明の第二のコンピュータプログラムは、本発明のユーザ端末装置のコンピュータプログラムであって、一般ユーザの現状を反映して所定のデータサービスシステムに提供されるユーザ行動データを発生するデータ発生処理と、発生した現状のユーザ行動データを取得するデータ取得処理と、取得された現状のユーザ行動データを蓄積するデータ蓄積処理と、蓄積された現状のユーザ行動データをデータサービスシステムに提供するデータ提供処理と、提供される現状のユーザ行動データを秘匿するかを所定条件で判定する条件判定処理と、秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから生成する疑似生成処理と、生成された疑似行動データを蓄積される現状のユーザ行動データに付加させるデータ秘匿処理と、をユーザ端末装置に実行させる。

本発明の第一のデータ処理方法は、本発明のデータ処理装置のデータ処理方法であって、データ発生手段が発生した現状のユーザ行動データを取得するデータ取得動作と、取得された現状のユーザ行動データを蓄積するデータ蓄積動作と、蓄積された現状のユーザ行動データをデータサービスシステムに提供するデータ提供動作と、提供される現状のユーザ行動データを秘匿するかを所定条件で判定する条件判定動作と、秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから生成する疑似生成動作と、生成された疑似行動データを蓄積される現状のユーザ行動データに付加させるデータ秘匿動作と、を有する。

本発明の第二のデータ処理方法は、本発明のユーザ端末装置のデータ処理方法であって、一般ユーザの現状を反映して所定のデータサービスシステムに提供されるユーザ行動データを発生するデータ発生動作と、発生した現状のユーザ行動データを取得するデータ取得動作と、取得された現状のユーザ行動データを蓄積するデータ蓄積動作と、蓄積された現状のユーザ行動データをデータサービスシステムに提供するデータ提供動作と、提供される現状のユーザ行動データを秘匿するかを所定条件で判定する条件判定動作と、秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから生成する疑似生成動作と、生成された疑似行動データを蓄積される現状のユーザ行動データに付加させるデータ秘匿動作と、を有する。

なお、本発明の各種の構成要素は、その機能を実現するように形成されていればよく、例えば、所定の機能を発揮する専用のハードウェア、所定の機能がコンピュータプログラムにより付与されたデータ処理装置、コンピュータプログラムによりデータ処理装置に実現された所定の機能、これらの任意の組み合わせ、等として実現することができる。

また、本発明の各種の構成要素は、必ずしも個々に独立した存在である必要はなく、複数の構成要素が一個の部材として形成されていること、一つの構成要素が複数の部材で形成されていること、ある構成要素が他の構成要素の一部であること、ある構成要素の一部と他の構成要素の一部とが重複していること、等でもよい。

また、本発明のコンピュータプログラムおよびデータ処理方法は、複数の処理および動作を順番に記載してあるが、その記載の順番は複数の処理および複数の動作を実行する順番を限定するものではない。

このため、本発明のコンピュータプログラムおよびデータ処理方法を実施するときには、その複数の処理および複数の動作の順番は内容的に支障しない範囲で変更することができる。

さらに、本発明のコンピュータプログラムおよびデータ処理方法は、複数の処理および複数の動作が個々に相違するタイミングで実行されることに限定されない。このため、ある処理および動作の実行中に他の処理および動作が発生すること、ある処理および動作の実行タイミングと他の処理および動作の実行タイミングとの一部ないし全部が重複していること、等でもよい。

また、本発明で云うデータ処理装置およびユーザ端末装置は、コンピュータプログラムを読み取って対応する処理動作を実行できるように、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、Ｉ／Ｆ（Interface）ユニット、等の汎用デバイスで構築されたハードウェア、所定の処理動作を実行するように構築された専用の論理回路、これらの組み合わせ、等として実施することができる。

なお、本発明でコンピュータプログラムに対応した各種動作をデータ処理装置やユーザ端末装置に実行させることは、各種デバイスをデータ処理装置に動作制御させることなども意味している。

例えば、データ処理装置などに各種データを蓄積させることは、データ処理装置に固定されているＨＤＤ（Hard Disc Drive）等の情報記憶媒体にＣＰＵが各種データを格納すること、データ処理装置に交換自在に装填されているＣＤ−Ｒ（Compact Disc-Recordable）等の情報記憶媒体にＣＰＵがＣＤドライブで各種データを格納すること、等を許容する。

本発明のデータ処理システムでは、一般ユーザの現状を反映して所定のデータサービスシステムに提供されるユーザ行動データをデータ発生手段が発生し、発生した現状のユーザ行動データをデータ取得手段が取得する。取得されたユーザ行動データをデータ蓄積手段が蓄積し、蓄積された現状のユーザ行動データをデータサービスシステムにデータ提供手段が提供する。ただし、提供される現状のユーザ行動データを秘匿するかを所定条件で条件判定手段が判定する。これで秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから疑似生成手段が生成する。生成された疑似行動データを蓄積される現状のユーザ行動データにデータ秘匿手段が付加する。従って、データサービスシステムに提供される一般ユーザの現状のユーザ行動データが、例えば、一般ユーザの指定やシステムの自動判断などにより疑似行動データに部分的に置換される。このため、一般ユーザのユーザ行動データを必要により秘匿してプライバシを保護するようなことができる。特に、ユーザ行動データを秘匿する疑似行動データが、蓄積されている過去のユーザ行動データから生成されるので、不自然な疑似行動データでユーザ行動データが秘匿されて疑義が発生するようなことも防止できる。

上述した目的、および、その他の目的、特徴および利点は、以下に述べる好適な実施の形態、および、それに付随する以下の図面によって、さらに明らかになる。
本発明の実施の形態のデータ処理システムの論理構造を示す模式的なブロック図である。より詳細なデータ処理システムの論理構造を示す模式的なブロック図である。データ処理システムの物理構造を示す模式的なブロック図である。ユーザ行動データのデータ構造を示す模式図である。疑似行動データを内包したユーザ行動データのデータ構造を示す模式図である。データ処理システムのデータ処理装置の処理動作を示すフローチャートである。一般ユーザの行動の実例を示す模式図である。ユーザ行動データのデータ構造を示す模式図である。一般ユーザの行動の実例を示す模式図である。ユーザ行動データのデータ構造を示す模式図である。一般ユーザの行動の実例を示す模式図である。ユーザ行動データのデータ構造を示す模式図である。一般ユーザの行動の実例を示す模式図である。ユーザ行動データのデータ構造を示す模式図である。一般ユーザの行動の実例を示す模式図である。ユーザ行動データのデータ構造を示す模式図である。データ処理システムの一具体例を示す模式的なブロック図である。一般ユーザの行動の実例を示す模式図である。一般ユーザの行動の実例を示す模式図である。一の変形例のデータ処理システムを示す模式的なブロック図である。他の変形例のデータ処理システムを示す模式的なブロック図である。さらに他の変形例のデータ処理システムを示す模式的なブロック図である。

本発明の実施の第一の形態を図面を参照して以下に説明する。まず、図１ないし図３に示すように、本実施の形態のデータ処理システム１００は、ユーザ端末装置１１０とデータ処理装置１２０とデータ提供先システム１３０とを有する。

ユーザ端末装置１１０は、例えば、携帯電話端末やパーソナルコンピュータなどからなり、一般ユーザ(図示せず)のユーザ行動データを発生する。データ提供先システム１３０は、例えば、一般ユーザと契約する携帯電話業者のサーバシステムなどからなり、契約によりユーザ行動データの記録などを実行する。

このため、図２に示すように、データ提供先システム１３０には多数のユーザ端末装置１１０が有線や無線で接続されている。ただし、本実施の形態のデータ処理システム１００では、ユーザ端末装置１１０の少なくとも一部が、データ処理装置１２０を経由してデータ提供先システム１３０に接続されている。

このデータ処理装置１２０は、例えば、所定業者の通信ユニットやコンピュータユニットや記憶デバイス等を有するコンピュータ装置からなり、契約などによりデータ提供先システム１３０に記録されるユーザ行動データの秘匿をサービスとして提供する。

このデータ処理装置１２０は、コンピュータユニットが実装されているコンピュータプログラムに対応して各種ハードウェアを機能させることなどにより、例えば、図１に示すように、データ受信装置１２１、疑似データ生成装置１２２、データベース装置１２３、データ送信装置１２４、等を有している。

同様に、ユーザ端末装置１１０もコンピュータ装置からなり、実装されているコンピュータプログラムに対応して各種ハードウェアを機能させることなどにより、図３に示すように、データ発生部１１１や秘匿指定部１１２が形成されている。

データ発生部１１１は、一般ユーザの現状を反映して所定のデータサービスシステムであるデータ提供先システム１３０に提供されるユーザ行動データを発生する。例えば、ユーザ端末装置１１０が、いわゆるＧＰＳ携帯電話の場合、その移動軌跡データがユーザ行動データとしてＧＰＳユニット(図示せず)により発生される。

秘匿指定部１１２は、上述のようにユーザ行動データが発生されるときに秘匿の有無を指定するユーザ開示ポリシが一般ユーザに指定される。これは、上述のようにＧＰＳ携帯電話からなるユーザ端末装置１１０のキーボードへの所定操作をコンピュータユニットが認識する機能などに相当する。

上述のようなユーザ端末装置１１０とデータ提供先システム１３０とを中継するデータ処理装置１２０は、より詳細には、図３に示すように、発生した現状のユーザ行動データを取得するデータ取得手段であるデータ受信装置１２１と、取得された現状のユーザ行動データを蓄積するデータ蓄積手段であるデータベース装置１２３と、蓄積された現状のユーザ行動データをデータ提供先システム１３０に提供するデータ提供手段であるデータ送信装置１２４と、提供される現状のユーザ行動データを秘匿するかを所定条件で判定する条件判定部１２５と、秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから生成する疑似生成手段である疑似データ生成装置１２２と、生成された疑似行動データを蓄積される現状のユーザ行動データに付加するデータ秘匿部１２６と、を有する。

なお、データ受信装置１２１は、前述のようにユーザ端末装置１１０で指定されたユーザ開示ポリシをユーザ行動データとともに取得するので、条件判定部１２５は、取得されたユーザ開示ポリシに対応して現状のユーザ行動データを秘匿するかを判定する。また、疑似データ生成装置１２２は、蓄積されている過去の複数のユーザ行動データから現状のユーザ行動データに類似した一つを選定して疑似行動データを生成する。

さらに、詳細には後述するが、データ送信装置１２４は、リアルタイムに提供している疑似行動データが提供していない現状のユーザ行動データと整合すると疑似行動データの提供を終了するとともに現状のユーザ行動データの提供を再開してもよい。また、条件判定部１２５は、疑似行動データを生成できる過去のユーザ行動データが検索されないと現状のユーザ行動データをデータ提供先システム１３０に提供させてもよい。

前述のように、上述のようなデータ処理装置１２０の各部は必要により各種ハードウェアを利用して実現されるが、本質的にはコンピュータユニットがコンピュータプログラムに対応して機能することで実現されている。

このようなコンピュータプログラムは、例えば、ユーザ端末装置１１０のデータ発生部１１１が発生した現状のユーザ行動データを取得するデータ取得処理と、取得された現状のユーザ行動データを蓄積するデータ蓄積処理と、蓄積された現状のユーザ行動データをデータ提供先システム１３０に提供するデータ提供処理と、提供される現状のユーザ行動データを秘匿するかを所定条件で判定する条件判定処理と、秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから生成する疑似生成処理と、生成された疑似行動データを蓄積される現状のユーザ行動データに付加するデータ秘匿処理と、をデータ処理装置１２０に実行させるように記述されている。

上述のような構成において、本実施の形態のデータ処理システム１００の動作を以下に説明する。まず、ユーザ端末装置１１０を利用する一般ユーザは、所望によりユーザ行動データを記録するサービスを、データ提供先システム１３０の業者と契約する。

このようなサービスを契約した一般ユーザは、さらに所望により、その記録されるユーザ行動データを必要により秘匿するサービスをデータ処理装置１２０の業者と契約する。

上述のような状態で、例えば、一般ユーザの行動に対応してユーザ端末装置１１０がユーザ行動データを生成し、これがデータ提供先システム１３０に送信されて記録される。

ただし、ユーザ行動データがデータ処理装置１２０を経由して送信される場合は、一般ユーザの所望によりユーザ行動データの少なくとも一部を疑似行動データと置換することができる。

その場合、一般ユーザは所望によりユーザ端末装置１１０の手動操作でユーザ行動データの秘匿を指定する。すると、図４に示すように、この入力操作に対応したユーザ開示ポリシがユーザ行動データとともにユーザ端末装置１１０からデータ処理装置１２０に送信される。

このデータ処理装置１２０では、図６に示すように、疑似データ生成装置１２２はデータ受信装置１２１を経由してユーザ端末装置１１０からユーザ行動データを受信する（ステップ２０１）。

疑似データ生成装置１２２はユーザ開示ポリシが真値を渡さないことを示している場合（ステップ２０２−Ｙ）、過去のユーザ行動データを参照して疑似行動データを作成し（ステップ２０３〜２０４）、ユーザ行動データに付加する（ステップ２０５）。

このとき、ユーザ行動データは、図５に示すように、本来のユーザ行動データである真値、疑似行動データからなる偽値、ユーザ開示ポリシ、の一組から構成されることになる。

ユーザ開示ポリシが真値を渡すことを示している場合は(ステップ２０２−Ｎ)、ステップ２０３〜２０５の処理は行われない。ユーザ行動データは、上述のような秘匿の有無に関係なくデータベース装置１２３に蓄積される（ステップ２０６）。

続いて、データ提供先システム１３０にユーザ行動データを渡す際、データ提供先システム１３０がユーザ開示ポリシの偽値利用対象だった場合(ステップ２０７−Ｙ)、ユーザ行動データから偽値を抽出する（ステップ２０９）。

偽値利用対象でなかった場合は(ステップ２０７−Ｎ)、真値を抽出する（ステップ２０８）。最後に抽出したデータをデータ提供先システム１３０に送信する（ステップ２１０）。

以上のように、本実施の形態のデータ処理システム１００では、従来と同様に、一般ユーザの現状を反映して所定のデータ提供先システム１３０に提供されるユーザ行動データをデータ発生部１１１が発生し、発生した現状のユーザ行動データをデータ受信装置１２１が取得する。取得されたユーザ行動データをデータベース装置１２３が蓄積し、蓄積された現状のユーザ行動データをデータ提供先システム１３０にデータ送信装置１２４が提供する。

ただし、従来とは相違して、提供される現状のユーザ行動データを秘匿するかを所定条件で条件判定部１２５が判定する。それで秘匿すると判定されると蓄積される現状のユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去のユーザ行動データから疑似データ生成装置１２２が生成する。生成された疑似行動データを蓄積される現状のユーザ行動データにデータ秘匿部１２６が付加する。

従って、データ提供先システム１３０に提供される一般ユーザの現状のユーザ行動データが、例えば、一般ユーザの指定やシステムの自動判断などにより疑似行動データに部分的に置換される。

このため、一般ユーザのユーザ行動データを必要により秘匿してプライバシを保護するようなことができる。特に、ユーザ行動データを秘匿する疑似行動データが、蓄積されている過去のユーザ行動データから生成されるので、不自然な疑似行動データでユーザ行動データが秘匿されて疑義が発生するようなことも防止できる。

しかも、ユーザ行動データが発生されるときに秘匿の有無を指定するユーザ開示ポリシが一般ユーザによりユーザ端末装置１１０で指定されると、データ処理装置１２０は、指定されたユーザ開示ポリシをユーザ行動データとともに取得し、取得されたユーザ開示ポリシに対応して現状のユーザ行動データを秘匿するかを判定する。このため、一般ユーザの所望のタイミングで簡単かつ確実にユーザ行動データを秘匿することができる。

さらに、データ処理装置１２０は、蓄積されている過去の複数のユーザ行動データから現状のユーザ行動データに類似した一つを選定して疑似行動データを生成する。このため、簡単な処理でユーザ行動データを巧妙に秘匿することができる。

ここで、上述のようなデータ処理装置１２０の動作を図７ないし図１６を参照して以下に具体的に説明する。まず、偽値の生成手順の第一の具体例を図７および図８に基づいて説明する。

ここでは前提としてデータベース装置１２３に蓄積されている一般ユーザのユーザ行動データの中に「偽値を返す」を選んでいないＢ−Ｄ−Ｅの経路に該当するものがあるとする。一般ユーザがＡ−Ｂ−Ｃ−Ｅ−Ｆの経路で移動する時に、Ｂ−Ｅ区間で「偽値を返す」設定をした場合、過去の位置情報の記録Ｂ−Ｄ−Ｅが偽値として生成される。

図９および図１０のように一般ユーザがＥ地点に到着する前に過去のユーザ行動データが無くなった場合は偽値は値なし(Null)とする。逆に図１１および図１２のように一般ユーザが過去のユーザ行動データがＤ地点に達した段階で早くＥ地点に到着した場合は、Ｄ地点からＥ地点までの距離に応じた一定時間偽値を値なしとし、Ｄ地点からＥ地点へ急に移動したように見えないようにする。真値の位置に追いついた時点（Ｇ地点）で偽値の使用を解除する。

図１３および図１４のように一般ユーザがＣ地点以外（図１１および図１２のＣ地点）で「偽値を返す」設定を解除した場合、偽値で使用しているユーザ行動データの現在地から一般ユーザの現在地までの距離に応じた一定時間偽値を値なしとし、Ｄ地点からＨ地点へ急に移動したように見えないようにする。

ステップ２０２において、一般ユーザが明示的に「偽値を返す」設定をしなくても、疑似データ生成装置１２２が過去の位置情報からずれた位置情報を受信した場合は自動的に「偽値を返す」設定を行い、位置情報が過去の位置情報と一致するまで継続する形態もある。

自動的に「偽値を返す」設定が行われたあと、一般ユーザがさかのぼって設定を解除した場合は、図１５および図１６に示すようにＢ−Ｄの偽値を返していたのがＢ−Ｃに修正される。

ここで、上述のようなデータ処理システム１００を利用した場合の一具体例を、図１７ないし図１９を参照して以下に例示する。まず、図１７に挙げた構成の例では、複数のＧＰＳ機能付き携帯電話１３０１、１３０２、１３０３から一般ユーザ１、一般ユーザ２、および一般ユーザ３の位置情報をデータ受信用ウェブサーバ１３０４で受信する。

またデータ提供用ウェブサーバ１３０７を用いて、データ提供先システム１３０であるＡ社、Ｂ社、およびＣ社のクライアントＰＣ１３０８、１３０９、１３１０へ一般ユーザの位置情報の提供を行う。

一般ユーザ１の日常的な行動が、二次元の位置情報で表すと図１８のようになっており、この位置情報は偽値使用設定がされていないとする。また、一般ユーザ１はＡ社に対しては真値を提供し、Ｂ社とＣ社には偽値を提供するというユーザ開示ポリシを端末に設定しているとする。

ある日、一般ユーザ１が日常的な行動と異なる図１９のような行動を行った場合、Ａ社のクライアントでは図１９と同じ位置情報が取得できるが、Ｂ社とＣ社のクライアントには偽値として図１８の位置情報が提供される。これにより、一般ユーザ１はＢ社およびＣ社に対してのみ日常的でない自分の行動を秘匿することができる。

なお、本発明は本実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で各種の変形を許容する。例えば、上記形態ではユーザ端末装置１１０に秘匿指定部１１２が実装されており、一般ユーザが所望によりユーザ行動データの秘匿を指定できることを例示した。

しかし、これではユーザ行動データの秘匿が必要な場合に一般ユーザが指定を失念すると、秘匿されていないユーザ行動データがデータ提供先システム１３０に記録されることになる。そこで、真値が出現回数の多い過去のユーザ行動データからずれた場合に、自動的に偽値生成を開始してもよい(図示せず)。

この場合、データベース装置１２３は、蓄積する複数のユーザ行動データの少なくとも一部が同一パターンからなり、データ受信装置１２１は、同一パターンのユーザ行動データと一部のみ相違する現状のユーザ行動データを取得し、条件判定部１２５は、同一パターンのユーザ行動データと相違している現状のユーザ行動データの一部を秘匿すると判定し、疑似データ生成装置１２２は、取得される現状のユーザ行動データと相違する同一パターンのユーザ行動データの一部を疑似行動データとして生成すればよい。

なお、上述のような状態から一般ユーザが偽値生成を取り消した場合は、見かけの移動速度が急激に変化しないよう緩衝時間を設けるか、または自動的に偽値生成を開始した時から偽値生成を取り消した時までの偽値の履歴を真値に修正することがよい。

さらに、上述のように偽値を自動生成する設定の場合でも、必要により事前に自動生成を中止しておくこともできる。その場合、ユーザ端末装置１１０では、やはりユーザ行動データが発生されるときに秘匿の有無を指定するユーザ開示ポリシが一般ユーザに指定される。

そして、データ処理装置１２０では、指定されたユーザ開示ポリシをユーザ行動データとともに取得し、取得されたユーザ開示ポリシにより秘匿なしが指定されると疑似行動データの生成を中止し、データ送信装置１２４は、疑似行動データの提供を中止するとともに現状のユーザ行動データを提供すればよい。

また、上述のように基準となるユーザ行動データと疑似行動データとが多対一でなくともよく、一つのユーザ行動データを基準として指定しておいてもよい(図示せず)。この場合、データ受信装置１２１は、蓄積されているユーザ行動データと一部のみ相違する現状のユーザ行動データを取得し、条件判定部１２５は、取得される現状のユーザ行動データが蓄積されているユーザ行動データと一部のみ相違していると秘匿すると判定し、疑似データ生成装置１２２は、蓄積されているユーザ行動データの取得されるユーザ行動データと相違する部分を疑似行動データとして生成すればよい。

また、上記形態ではデータ処理装置１２０が蓄積されている過去の複数のユーザ行動データから現状のユーザ行動データに類似した一つを選定することで疑似行動データを生成することを例示した。

しかし、蓄積されている過去の複数のユーザ行動データから現状のユーザ行動データに類似した複数を抽出し、抽出された類似の複数のユーザ行動データを一般ユーザに提示して選定させた一つで疑似行動データを生成してもよい(図示せず)。

また、上記形態ではユーザ端末装置１１０がデータ処理装置１２０に直接にユーザ行動データおよび開示ポリシを提供することを例示した。しかし、図２０に示すように、ユーザ端末装置１００１と通信を行ったサービス装置１００２が、一般ユーザのユーザ行動データをデータ処理装置１０１０のデータ受信装置１００３に送信してもよい。

これはユーザ端末装置１００１がデータ受信装置１００３と直接通信できない場合や、決済情報などユーザ端末装置１００１よりサービス装置１００２側のほうがより詳細なユーザ行動データを生成できる場合に実施される。

さらに、上記形態では複数のユーザ端末装置１１０が共通の携帯電話サービスなどを利用していることを想定したが、図２１に示すように、ユーザ端末装置がＡ社ユーザ端末装置１１０１、Ｂ社ユーザ端末装置１１０２の二種類、疑似データ生成装置がＡ社疑似データ生成装置１１０４、Ｂ社疑似データ生成装置１１０５の二種類、データ提供先システムがＡ社データ提供先システム１１０８、Ｂ社データ提供先システム１１０９の二種類、などとなっていてもよい。

このようにデータ受信装置、データベース装置、データ送信装置を共有しても、疑似データ生成装置が分かれていれば、複数の疑似行動データ生成サービスを実施することができる。

データベース装置、データ受信装置またはデータ送信装置が複数に分かれている場合、また、ユーザ端末装置やデータ提供先システムが一つの場合でも、同様に実施可能である。

さらに、上記形態ではユーザ端末装置１１０とデータ提供先システム１３０とを中継するデータ処理装置１２０が、ユーザ行動データを秘匿することを例示した。しかし、このようにユーザ行動データを秘匿する機能がユーザ端末装置に実装されていてもよい。

例えば、図２２に示すように、ユーザ端末装置１２０１の中に行動データ生成装置１２０２と疑似データ生成装置１２０３、データベース装置１２０４が含まれていればよい。

疑似行動データの生成はユーザ端末装置１２０１の中で行なわれ、データ提供先システム１２０８には、図４または図５に示すように、現状のユーザ行動データか、必要により疑似行動データで秘匿されたユーザ行動データか、が提供されることになる。

これにより秘匿されていないユーザ行動データがデータ提供先システム１２０８に提供されることが無くなり、不正アクセスなどによるプライバシ漏洩の危険を減らすことができる。

また、図５に示すように、上記形態では疑似行動データで秘匿されたユーザ行動データが、ユーザ開示ポリシが内包されたままデータ提供先システム１３０に提供されることを例示した。

しかし、これではユーザ行動データのユーザ開示ポリシを解析することで秘匿が判明する可能性がある。そこで、上述のようにユーザ開示ポリシにより疑似行動データを生成してユーザ行動データを秘匿したとき、このユーザ行動データからユーザ開示ポリシを削除してデータ提供先システム１３０に提供してもよい(図示せず)。

さらに、上記形態ではユーザ端末装置１１０として、いわゆるＧＰＳ携帯電話を想定し、ユーザ行動データとして移動軌跡データを想定した。しかし、本発明のデータ処理システムは、例えば、ＧＰＳやブラウザ、電子マネークライアントなどを内蔵してユーザ行動データを生成するユーザ端末装置と、ユーザ端末装置からユーザ行動データを受信するユーザ行動データ受信装置と、ユーザ行動データの個々の値を記録するデータベース装置と、疑似的な情報を生成する疑似データ生成装置と、提供先からの要求を受け付けるデータ送信装置とを備えることができる(図示せず)。

その場合、ユーザ行動データは、位置情報、購買情報、ウェブ参照履歴などで構成されていてもよい。また、データの個々の値は、その行動が行われた時刻の情報を含むことができる。時刻の情報を含まない場合でも、行動が行われた順番でデータが並んでおり、行動の時間的な前後関係は識別可能とすることができる。

なお、上述のようなデータ処理システム１００を一般ユーザが実際に利用する場合には、一般ユーザに対し現在位置から長時間（おおむね６時間以上）停止した地点までの過去のユーザ行動データの履歴を出現回数の多いパターン順に偽値の候補として表示し、一般ユーザに選択させてもよい。

一般的には、勤務先から自宅までの通勤の履歴が何パターンか表示され、その中から偽値に使うパターンを選択する形が好適である。パターン選択後はそのパターンの過去の履歴が偽値として使われる。

しかし、真値が偽値とほぼ同じ位置になって一定時間が経過した場合は偽値生成の設定を解除すればよい。一般的には、自宅または勤務先で真値と偽値が重なり、偽値設定を解除すればよい。

偽値の履歴が無くなってしまった場合は値なしを返せばよい。真値が偽値に近づいていない段階で一般ユーザが偽値生成の設定を解除した場合は、すぐに偽値=真値とせず、真値と偽値の間の距離に応じた一定時間偽値=値なしとし、見かけの移動速度が急激に変化しないようにすることがよい。

さらに、本実施の形態ではデータ処理装置の各部がコンピュータプログラムにより各種機能として論理的に実現されることを例示した。しかし、このような各部の各々を固有のハードウェアとして形成することもでき、ソフトウェアとハードウェアとの組み合わせとして実現することもできる。

なお、当然ながら、上述した実施の形態および複数の変形例は、その内容が相反しない範囲で組み合わせることができる。また、上述した実施の形態および変形例では、各部の構造などを具体的に説明したが、その構造などは本願発明を満足する範囲で各種に変更することができる。

この出願は、２００８年１０月３１日に出願された日本出願特願２００８−２８０７４９号を基礎とする優先権を主張し、その開示の全てを、ここに取り込む。

Claims

一般ユーザの現状を反映して所定のデータサービスシステムに提供されるユーザ行動データを発生するデータ発生手段と、
発生した現状の前記ユーザ行動データを取得するデータ取得手段と、
取得された現状の前記ユーザ行動データを蓄積するデータ蓄積手段と、
蓄積された現状の前記ユーザ行動データを前記データサービスシステムに提供するデータ提供手段と、
提供される現状の前記ユーザ行動データを秘匿するかを所定条件で判定する条件判定手段と、
秘匿すると判定されると蓄積される現状の前記ユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去の前記ユーザ行動データから生成する疑似生成手段と、
生成された前記疑似行動データを蓄積される現状の前記ユーザ行動データに付加するデータ秘匿手段と、
を有するデータ処理システム。
前記ユーザ行動データが発生されるときに前記秘匿の有無を指定するユーザ開示ポリシが前記一般ユーザに指定される秘匿指定手段を、さらに有し、
前記データ取得手段は、指定された前記ユーザ開示ポリシを前記ユーザ行動データとともに取得し、
前記条件判定手段は、取得された前記ユーザ開示ポリシに対応して現状の前記ユーザ行動データを秘匿するかを判定する請求項１に記載のデータ処理システム。
前記疑似生成手段は、蓄積されている過去の複数の前記ユーザ行動データから現状の前記ユーザ行動データに類似した複数を抽出し、
前記疑似生成手段は、抽出された類似の複数の前記ユーザ行動データを前記一般ユーザに提示して選定させた一つで前記疑似行動データを生成する請求項２に記載のデータ処理システム。
前記疑似生成手段は、蓄積されている過去の複数の前記ユーザ行動データから現状の前記ユーザ行動データに類似した一つを選定して前記疑似行動データを生成する請求項１に記載のデータ処理システム。
前記データ取得手段は、蓄積されている前記ユーザ行動データと一部のみ相違する現状の前記ユーザ行動データを取得し、
前記条件判定手段は、取得される現状の前記ユーザ行動データが蓄積されている前記ユーザ行動データと一部のみ相違していると秘匿すると判定し、
前記疑似生成手段は、蓄積されている前記ユーザ行動データの取得される前記ユーザ行動データと相違する部分を前記疑似行動データとして生成する請求項４に記載のデータ処理システム。
前記データ蓄積手段は、蓄積する複数の前記ユーザ行動データの少なくとも一部が同一パターンからなり、
前記データ取得手段は、前記同一パターンの前記ユーザ行動データと一部のみ相違する現状の前記ユーザ行動データを取得し、
前記条件判定手段は、前記同一パターンの前記ユーザ行動データと相違している現状の前記ユーザ行動データの一部を秘匿すると判定し、
前記疑似生成手段は、取得される現状の前記ユーザ行動データと相違する前記同一パターンの前記ユーザ行動データの一部を前記疑似行動データとして生成する請求項４に記載のデータ処理システム。
前記ユーザ行動データが発生されるときに前記秘匿の有無を指定するユーザ開示ポリシが前記一般ユーザに指定される秘匿指定手段を、さらに有し、
前記データ取得手段は、指定された前記ユーザ開示ポリシを前記ユーザ行動データとともに取得し、
前記疑似生成手段は、取得された前記ユーザ開示ポリシにより秘匿なしが指定されると前記疑似行動データの生成を中止し、
前記データ提供手段は、前記疑似行動データの提供を中止するとともに現状の前記ユーザ行動データを提供する請求項４ないし６の何れか一項に記載のデータ処理システム。
前記データ提供手段は、リアルタイムに提供している前記疑似行動データが提供していない現状の前記ユーザ行動データと整合すると前記疑似行動データの提供を終了するとともに現状の前記ユーザ行動データの提供を再開する請求項１ないし６の何れか一項に記載のデータ処理システム。
前記条件判定手段は、前記疑似行動データを生成できる過去の前記ユーザ行動データが検索されないと現状の前記ユーザ行動データを前記データサービスシステムに提供させる請求項１ないし８の何れか一項に記載のデータ処理システム。
請求項１に記載のデータ処理システムに前記データ発生手段および前記データサービスシステムとともに利用されるデータ処理装置であって、
前記データ発生手段が発生した現状の前記ユーザ行動データを取得するデータ取得手段と、
取得された現状の前記ユーザ行動データを蓄積するデータ蓄積手段と、
蓄積された現状の前記ユーザ行動データを前記データサービスシステムに提供するデータ提供手段と、
提供される現状の前記ユーザ行動データを秘匿するかを所定条件で判定する条件判定手段と、
秘匿すると判定されると蓄積される現状の前記ユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去の前記ユーザ行動データから生成する疑似生成手段と、
生成された前記疑似行動データを蓄積される現状の前記ユーザ行動データに付加するデータ秘匿手段と、
を有するデータ処理装置。
請求項１に記載のデータ処理システムに前記データサービスシステムとともに利用されるユーザ端末装置であって、
一般ユーザの現状を反映して所定の前記データサービスシステムに提供されるユーザ行動データを発生するデータ発生手段と、
発生した現状の前記ユーザ行動データを取得するデータ取得手段と、
取得された現状の前記ユーザ行動データを蓄積するデータ蓄積手段と、
蓄積された現状の前記ユーザ行動データを前記データサービスシステムに提供するデータ提供手段と、
提供される現状の前記ユーザ行動データを秘匿するかを所定条件で判定する条件判定手段と、
秘匿すると判定されると蓄積される現状の前記ユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去の前記ユーザ行動データから生成する疑似生成手段と、
生成された前記疑似行動データを蓄積される現状の前記ユーザ行動データに付加するデータ秘匿手段と、
を有するユーザ端末装置。
請求項１０に記載のデータ処理装置のコンピュータプログラムであって、
前記データ発生手段が発生した現状の前記ユーザ行動データを取得するデータ取得処理と、
取得された現状の前記ユーザ行動データを蓄積するデータ蓄積処理と、
蓄積された現状の前記ユーザ行動データを前記データサービスシステムに提供するデータ提供処理と、
提供される現状の前記ユーザ行動データを秘匿するかを所定条件で判定する条件判定処理と、
秘匿すると判定されると蓄積される現状の前記ユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去の前記ユーザ行動データから生成する疑似生成処理と、
生成された前記疑似行動データを蓄積される現状の前記ユーザ行動データに付加するデータ秘匿処理と、
をデータ処理装置に実行させるコンピュータプログラム。
請求項１１に記載のユーザ端末装置のコンピュータプログラムであって、
前記一般ユーザの現状を反映して所定の前記データサービスシステムに提供されるユーザ行動データを発生するデータ発生処理と、
発生した現状の前記ユーザ行動データを取得するデータ取得処理と、
取得された現状の前記ユーザ行動データを蓄積するデータ蓄積処理と、
蓄積された現状の前記ユーザ行動データを前記データサービスシステムに提供するデータ提供処理と、
提供される現状の前記ユーザ行動データを秘匿するかを所定条件で判定する条件判定処理と、
秘匿すると判定されると蓄積される現状の前記ユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去の前記ユーザ行動データから生成する疑似生成処理と、
生成された前記疑似行動データを蓄積される現状の前記ユーザ行動データに付加するデータ秘匿処理と、
をユーザ端末装置に実行させるコンピュータプログラム。
請求項１０に記載のデータ処理装置のデータ処理方法であって、
前記データ発生手段が発生した現状の前記ユーザ行動データを取得するデータ取得動作と、
取得された現状の前記ユーザ行動データを蓄積するデータ蓄積動作と、
蓄積された現状の前記ユーザ行動データを前記データサービスシステムに提供するデータ提供動作と、
提供される現状の前記ユーザ行動データを秘匿するかを所定条件で判定する条件判定動作と、
秘匿すると判定されると蓄積される現状の前記ユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去の前記ユーザ行動データから生成する疑似生成動作と、
生成された前記疑似行動データを蓄積される現状の前記ユーザ行動データに付加するデータ秘匿動作と、
を有するデータ処理方法。
請求項１１に記載のユーザ端末装置のデータ処理方法であって、
前記一般ユーザの現状を反映して所定の前記データサービスシステムに提供されるユーザ行動データを発生するデータ発生動作と、
発生した現状の前記ユーザ行動データを取得するデータ取得動作と、
取得された現状の前記ユーザ行動データを蓄積するデータ蓄積動作と、
蓄積された現状の前記ユーザ行動データを前記データサービスシステムに提供するデータ提供動作と、
提供される現状の前記ユーザ行動データを秘匿するかを所定条件で判定する条件判定動作と、
秘匿すると判定されると蓄積される現状の前記ユーザ行動データと矛盾せず相違する疑似行動データを蓄積されている過去の前記ユーザ行動データから生成する疑似生成動作と、
生成された前記疑似行動データを蓄積される現状の前記ユーザ行動データに付加するデータ秘匿動作と、
を有するデータ処理方法。