JP5757241B2 - 情報管理装置、そのデータ処理方法、およびコンピュータプログラム - Google Patents

Description

本発明は、情報管理装置、そのデータ処理方法、およびコンピュータプログラムに関し、位置情報を管理する情報管理装置、そのデータ処理方法、およびコンピュータプログラムに関する。

近年、携帯端末や自動車等に搭載されたＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）や無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等によって測定される位置情報を活用したサービスが増加している。位置情報は、自宅、勤務先、学校等の個人（携帯端末や自動車等のユーザ）を特定し、そのユーザに接触可能となる情報や、趣味・嗜好や通院等の他人に知られたくない情報である可能性があり、プライバシ性が高い情報と考えられる。そのようなプライバシ情報は匿名化をすることで、匿名性を確保することができる。

ここで匿名化とは、ユーザを特定できないようにプライバシ情報を加工する処理である。ユーザがどの程度特定できないかを示す指標を匿名性指標と呼ぶ。既存の匿名性指標として良く知られているものに、ｋ匿名性（ｋ−ａｎｏｎｙｍｉｔｙ）とｌ多様性（ｌ−ｄｉｖｅｒｓｉｔｙ）とがある。以下、ユーザ情報は、ユーザを識別する１つ以上の準識別子と、１つ以上のセンシティブ情報から構成されているものとして、匿名性指標について説明する。まず、ｋ匿名性は、準識別子の匿名化により、同じ準識別子がｋ通り以上になることを保証する指標である。ｋ匿名性を満たすことによって、ユーザが１人に特定されない。一方、ｌ多様性は、準識別子の匿名化により、同じ準識別子のセンシティブ情報がｌ通り以上になることを保証する指標である。ｌ多様性を満たすことによって、ユーザのセンシティブ情報が知られることを防止することができる。

例えば、図１Ａのような患者の病状記録を例として考える。図１Ａの病状記録では、準識別子としてＺＩＰコード、年齢、国籍が記録され、センシティブ情報として病状が記録されている。匿名化処理は、ＺＩＰコードと年齢の場合、任意の桁を伏せることで行われ、国籍の場合、国名を伏せることで行われるとする。図１Ｂに、図１Ａの病状記録を匿名化した例を表す。ＺＩＰコード、年齢、国籍を匿名化することによって、同一の準識別子を持つ２つグループが形成される。ｋ匿名性のｋはグループの人数であり、この例ではいずれもｋ＝４となる。ｋ≧２を保証することによって、どの行がどのユーザを表す情報であるのかを特定できなくなる。ｌ匿名性のｌは、グループの病状の数であり、ユーザ１〜４が属するグループではｌ＝２となり、ユーザ５〜８が属するグループではｌ＝１となる。ＺＩＰコードが１４８＊＊であり、３０代のユーザが通院していることを知る閲覧者がこのテーブル（図１Ｂ）を見た場合、ユーザが「がん」であることがわかってしまう。しかし、ｌ≧２（ユーザ１〜４）を保証することによって、ユーザを知る閲覧者であってもユーザの特徴（この例では病状）をさらに知ることを防ぐことができる。他に知られている匿名性指標として、ｔ近似性、ｍ不変性等があるが、説明を割愛する。

携帯端末や自動車等によって定期的に計測された位置情報は、情報によって性質が異なる。例えば、位置情報が、自宅や勤務地等の個人を特定する情報である可能性もあるし、趣味や嗜好を明確する場所や通院する病院等の個人の特徴を明確にする情報である可能性もある。単体の位置情報では、このような性質を知ることは難しいが、同じユーザの複数の位置情報を解析し、毎日長時間滞在する場所等を知ることによって、その性質を明確にできる場合が多い。したがって、位置履歴（同じユーザの複数の位置情報）を構成する各位置情報は準識別子でもあり、センシティブ情報でもあると考えるべきである。

位置情報の匿名化に関して、単体の位置情報は、その「場」にいる閲覧者がユーザを特定することができる情報となりうる。ユーザが特定されてしまうと、その後に同じユーザの位置情報が閲覧された場合に、そのユーザがどこに行っているかを知られてしまうことになる。そのため、単体の位置情報は、ｋ匿名性を保証し、ユーザが特定されることを防ぐ必要がある。図２は、単体の位置情報の匿名化の例を示す概念図である。ここでは、ユーザ１〜ユーザ４の位置情報をｋ匿名性（ｋ≧４）を満たすように匿名化（抽象化）した例を示している。図２において、黒点は各ユーザの緯度・経度を示すピンポイントの位置情報であり、灰色の円はエリアを表す。各ユーザのピンポイント情報を、４人のユーザが含まれるエリア情報に変換することによって、その「場」にいた閲覧者に対して、ユーザ全員を特定することを困難にすることができる。

上記技術に関連して、プライバシ情報の匿名性を確保しつつ、サービスに利用可能とする技術として、情報を匿名化するシステムの一例が特許文献１、２に記載されている。

特許文献１（特開２００５−２３４８６６号公報）のプライバシ情報管理サーバは、複数の端末間を接続し通信を行うためのネットワークにおける前記端末のユーザのプライバシ情報を管理する。そのプライバシ情報管理サーバは、ユーザのプライバシ情報を格納するプライバシ情報データベースと、該プライバシ情報データベースにおけるプライバシ情報の管理を行うプライバシ情報管理手段と、前記プライバシ情報データベースにおける登録ユーザ総数に対する、プライバシ情報の種類から特定されるユーザの割合を計算する統計処理手段とを有する。そして、前記プライバシ情報管理手段が、ユーザのプライバシ情報の要求メッセージを前記端末から受信した際、前記プライバシ情報データベースを検索して、このプライバシ情報が検索されると、前記統計処理手段が登録ユーザ総数に対するそのプライバシ情報を有する該ユーザの割合を計算し、あらかじめ定めた閾値以上である場合、前記端末にプライバシ情報を送信する。

また、特許文献２（特開２００７−２１９６３６号公報）に記載されたデータ開示装置は、プライバシ情報を含むデータを管理する。そのデータ開示装置は、１つ以上の属性から構成されるデータを１つ以上保持する保持手段と、データの特性の属性を開示する場合の匿名性を計算する匿名性計算手段と、前記計算した匿名性が所望する匿名性を有しない場合には、特定の属性のデータの粒度を変更し、所望の閾値以上の匿名性を有するようにして前記属性のデータを開示する粒度変更開示手段とを有する。

また、関連する技術として、特許文献３（特開２００５−０３１９６５号公報）に記載されたプレゼンス情報利用方法は、情報利用者側端末装置が、情報提供者側端末装置が開示したプレゼンス情報を、サーバ装置によるサービス制御のもとで通信ネットワークを介して利用する。このプレゼンス情報利用方法において、情報利用者側端末装置は、以下のステップを実施する。プレゼンス情報の収集をサーバ装置に依頼する情報収集依頼ステップと、前記サーバ装置が、情報提供者募集の広告および案内を情報提供者側端末装置に対し送信し、情報提供者側端末装置と連携して応募受信や契約を行い、前記契約の内容と情報提供者側端末装置からのプレゼンス対象情報とから生成されたプレゼンス情報を受信するプレゼンス情報受信ステップと、生成された前記プレゼンス情報の蓄積または統計処理をするプレゼンス情報蓄積または統計処理ステップと、統計処理されたプレゼンス情報に対する料金情報の蓄積を行って報酬の支払を支援する料金情報蓄積ステップ、である。

また、特許文献４（特開２００４−０２９９４０号公報）に記載された情報提供システムは、ネットワークに接続され、情報を管理する第１の情報処理装置と、前記第１の情報処理装置に前記情報を提供する第２の情報処理装置と、前記第１の情報処理装置より前記情報を取得する第３の情報処理装置とを備える。この情報提供システムにおいて、前記第１の情報処理装置は、前記第２の情報処理装置より供給された、前記第２の情報処理装置の周辺に関する周辺情報を取得する周辺情報取得手段と、前記周辺情報取得手段により取得された前記周辺情報より統計情報を生成する統計情報生成手段と、前記第３の情報処理装置より前記統計情報の要求を受け付ける要求受け付け手段と、前記要求受け付け手段により受け付けられた前記要求に基づいて、前記統計情報生成手段により生成された前記統計情報を、前記第３の情報処理装置に供給する統計情報供給手段とを備える。前記第２の情報処理装置は、前記周辺情報を収集する周辺情報収集手段と、前記周辺情報収集手段により収集された前記周辺情報を、前記第１の情報処理装置に供給する周辺情報供給手段と、前記周辺情報供給手段による前記周辺情報の供給を制御する供給制御手段とを備える。前記第３の情報処理装置は、前記統計情報を要求する統計情報要求手段と、前記統計情報要求手段により要求された前記統計情報を取得する統計情報取得手段とを備える。

また、特許文献５（特開２００４−３１８３９１号公報）に記載の情報提供装置は、ネットワークを介してアクセス装置と通信可能であり、アクセス装置からの要求に基づきアクセス装置に情報提供を行う。この情報提供装置は、個人に関する個人情報を記憶する個人情報記憶部と、前記アクセス装置から個人情報を検索する検索条件を含む個人情報送信要求を受信する受信部と、前記受信部が受信した個人情報送信要求に含まれる検索条件を確認し、前記個人情報送信要求に含まれる検索条件の中に個人を特定可能な条件が含まれるときは前記個人を特定可能な条件を削除し前記個人を特定可能な条件を削除した検索条件を確認後検索条件として出力し、前記個人情報送信要求に含まれる検索条件の中に個人を特定可能な条件が含まれないときは前記個人情報送信要求に含まれる検索条件をそのまま確認後検索条件として出力する検索条件確認部と、前記検索条件確認部の出力した確認後検索条件を入力し入力した確認後検索条件に基づいて前記個人情報記憶部を検索し個人情報を抽出する個人情報抽出部と、前記個人情報抽出部の抽出した個人情報を用いて、前記抽出した個人情報を識別するためのデータＩＤを所定の規則により生成し、生成したデータＩＤを前記抽出した個人情報に付与するデータＩＤ生成部と、前記個人情報抽出部が抽出しデータＩＤが付与された個人情報から個人の特定が可能か否かを所定の規則により判断し、個人の特定が不可能と判断したときは前記データＩＤが付与された個人情報を前記アクセス装置に送信する検索結果判断部とを備えている。

また、特許文献６（特開２００５−３４６２４８号公報）に記載の情報仲介装置は、メールアドレスを含み且つ個人を特定するための個人特定情報と当該個人の診断結果情報とを格納する第１データ格納部と、前記第１データ格納部を参照して、前記個人特定情報から氏名を含む所定の情報を除外し、残余の個人特定情報と前記診断結果情報のうち少なくとも一部とを匿名化個人情報として第２データ格納部に格納する匿名化手段と、前記第２データ格納部に格納された前記匿名化個人情報に対する、登録事業者の端末からのアクセスを可能にする手段と、前記第２データ格納部に格納された匿名化個人情報における情報種別に基づき規定される複数の分類の各々につき、前記第１データ格納部に格納された情報を利用して、所属する個人を識別し、前記複数の分類の各々につき所属する個人の識別情報を第３データ格納部に格納する手段と、前記第３データ格納部に含まれる前記複数の分類の各々につき、前記登録事業者からの広告メールを受け付け、前記第３データ格納部に格納された前記所属する個人の識別情報を用いて前記第１データ格納部に格納されたメールアドレス宛に前記広告メールを転送する手段と、を有する。

また、特許文献７（特開２００７−１７９５００号公報）匿名化識別情報生成システムは、遺伝情報を解析する対象の被験者毎に固有の被験者識別情報と、各被験者間の関係を示す被験者関係情報と、を取得する情報取得手段と、前記情報取得手段が取得した前記被験者識別情報を暗号化して暗号化識別情報を生成する識別情報暗号化手段と、前記識別情報暗号化手段が生成した前記暗号化識別情報と、前記情報取得手段が取得した前記被験者関係情報と、に基づいて暗号化情報を生成する暗号化情報生成手段と、前記暗号化情報生成手段が生成した前記暗号化情報を、解析用の他の装置に送信する暗号化情報送信手段と、を備える。

特開２００５−２３４８６６号公報 特開２００７−２１９６３６号公報 特開２００５−０３１９６５号公報 特開２００４−０２９９４０号公報 特開２００４−３１８３９１号公報 特開２００５−３４６２４８号公報 特開２００７−１７９５００号公報

上記図２で説明した匿名化の技術では、単体の位置情報に対しては有効であるが、複数の位置情報から構成される位置履歴に対しては必ずしも有効とは言えない。例えば、ユーザがある場所にいたことを知っている閲覧者に対して、そのユーザが他にどこに行ったのかを知られる情報となり得るからである。

また、上述した特許文献１に記載されたシステムにおいては、緯度・経度により表される位置情報のような互いに重なりが少ないプライバシ情報を匿名化しようとした場合、ほとんどのプライバシ情報が閾値を満たさないと考えられる。そのため、そのようなプライバシ情報をほとんど外部に送信できない（サービスに利用できない）という問題があった。

上述した特許文献２に記載されたシステムにおいては、特に、複数の位置情報から構成される行動履歴を対象とした場合、同じ行動をとるユーザの数が所定数以上になるように位置情報を匿名化するため、行動履歴からユーザを特定することはできなくなるとしている。しかし、ユーザの行動履歴の一部を知る閲覧者に対して、そのユーザが別の位置に行ったことを知られる可能性があるという問題があった。

本発明は上述した問題に鑑みて成されたものであり、本発明の目的は、プライバシ情報を匿名性を確保しつつサービスに利用する場合において、ユーザの行動の一部を知る閲覧者であっても閲覧者の知らない行動を新たに知ることがより困難になる情報管理装置、そのデータ処理方法、情報管理システム、およびコンピュータプログラムを提供することにある。

上記課題を解決するために、本発明の情報管理装置は、情報受付部と、利用者情報記憶部と、第１の抽出部と、加工部と、抽象化手法記憶部と、抽象化部と、検査部とを備える。情報受付部は、複数の携帯端末から位置情報を定期的に受信する。ここで、位置情報は、携帯端末の位置を示す測位データと、測位データの測位時刻及び携帯端末のユーザの識別情報を有する付随データとを含む。利用者情報記憶部は、情報受付部が受信した位置情報をユーザ毎に行動履歴として記憶する。第１の抽出部は、利用者情報記憶部に記憶されている行動履歴を構成する各位置情報について、それぞれ、単一の位置情報を対象情報とし、位置情報のユーザの識別情報と対象情報から構成されるノードを生成する。加工部は、ノードに含まれる対象情報について、対象情報が示す位置に移動する前の位置を示す位置情報と対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合をノードに登録する。抽象化手法記憶部は、位置情報に対する抽象化手法を記憶する。抽象化部は、記ノードの対象情報に対して、抽象化手法記憶部に記憶される抽象化手法を適用する。検査部は、抽象化部が抽象化した対象情報を有するノードに対して、ノードのユーザの識別情報とは異なり、ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、他ノードの数が閾値以上であったときにノードの対象情報を匿名情報として出力する。

また、本発明の情報管理装置は、情報受付部と、利用者情報記憶部と、第２の抽出部と、加工部と、抽象化手法記憶部と、抽象化部と、検査部とを備える。情報受付部は、複数の携帯端末から位置情報を定期的に受信する。ここで、位置情報は、携帯端末の位置を示す測位データと、測位データの測位時刻及び携帯端末のユーザの識別情報を有する付随データとを含む。利用者情報記憶部は、情報受付部が受信した位置情報をユーザ毎に行動履歴として記憶する。第２の抽出部は、利用者情報記憶部に記憶されている行動履歴を構成する１つ以上の位置情報についてべき集合を生成し、べき集合の各要素を対象情報とし、位置情報のユーザの識別情報と対象情報から構成されるノードを生成する。加工部は、ノードに含まれる対象情報について、対象情報が示す位置に移動する前の位置を示す位置情報と対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合をノードに登録する。抽象化手法記憶部は、位置情報に対する抽象化手法を記憶する。抽象化部は、ノードの対象情報に対して、抽象化手法記憶部に記憶される抽象化手法を適用する。検査部は、抽象化部が抽象化した対象情報を有するノードに対して、ノードのユーザの識別情報とは異なり、ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、他ノードの数が閾値以上であったときにノードの対象情報を匿名情報として出力する。

また、本発明の情報管理装置のデータ処理方法は、複数の端末機器から位置情報を定期的に受信して利用者情報記憶部に記憶するステップと、利用者情報記憶部に記憶されている行動履歴を構成する各位置情報について、それぞれ、単一の位置情報を対象情報とし、位置情報のユーザの識別情報と対象情報から構成されるノードを生成するステップと、ノードに含まれる対象情報について、対象情報が示す位置に移動する前の位置を示す位置情報と対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合をノードに登録するステップと、ノードの対象情報に対して、抽象化手法記憶部に記憶される抽象化手法を適用するステップと、抽象化した対象情報を有するノードに対して、ノードのユーザの識別情報とは異なり、ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、他ノードの数が閾値以上であったときにノードの対象情報を匿名情報として出力するステップとを備える。ただし、情報管理装置は、複数の携帯端末から受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、ここで、位置情報は、携帯端末の位置を示す測位データと、測位データの測位時刻及び携帯端末のユーザの識別情報を有する付随データとを含み、位置情報に対する抽象化手法を記憶する抽象化手法記憶部とを備える。

また、本発明の情報管理装置のデータ処理方法は、複数の端末機器から位置情報を定期的に受信して利用者情報記憶部に記憶するステップと、利用者情報記憶部に記憶されている行動履歴を構成する１つ以上の位置情報についてべき集合を生成し、べき集合の各要素を対象情報とし、位置情報のユーザの識別情報と対象情報から構成されるノードを生成するステップと、ノードに含まれる対象情報について、対象情報が示す位置に移動する前の位置を示す位置情報と対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合をノードに登録するステップと、ノードの対象情報に対して、抽象化手法記憶部に記憶される抽象化手法を適用するステップと、抽象化した対象情報を有するノードに対して、ノードのユーザの識別情報とは異なり、ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、他ノードの数が閾値以上であったときにノードの対象情報を匿名情報として出力するステップとを備える。ただし、情報管理装置は、複数の携帯端末から受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、ここで、位置情報は、携帯端末の位置を示す測位データと、測位データの測位時刻及び携帯端末のユーザの識別情報を有する付随データとを含み、位置情報に対する抽象化手法を記憶する抽象化手法記憶部とを備える。

また、本発明の情報管理装置のデータ処理方法をコンピュータに実行させるプログラムは、複数の端末機器から位置情報を定期的に受信して利用者情報記憶部に記憶するステップと、利用者情報記憶部に記憶されている行動履歴を構成する各位置情報について、それぞれ、単一の位置情報を対象情報とし、位置情報のユーザの識別情報と対象情報から構成されるノードを生成するステップと、ノードに含まれる対象情報について、対象情報が示す位置に移動する前の位置を示す位置情報と対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合をノードに登録するステップと、ノードの対象情報に対して、抽象化手法記憶部に記憶される抽象化手法を適用するステップと、抽象化した対象情報を有するノードに対して、ノードのユーザの識別情報とは異なり、ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、他ノードの数が閾値以上であったときにノードの対象情報を匿名情報として出力するステップとを備える。ただし、情報管理装置は、複数の携帯端末から受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、ここで、位置情報は、携帯端末の位置を示す測位データと、測位データの測位時刻及び携帯端末のユーザの識別情報を有する付随データとを含み、位置情報に対する抽象化手法を記憶する抽象化手法記憶部とを備えるデータ管理方法をコンピュータに実行させる。

また、本発明の情報管理装置のデータ処理方法をコンピュータに実行させるプログラムは、複数の端末機器から位置情報を定期的に受信して利用者情報記憶部に記憶するステップと、利用者情報記憶部に記憶されている行動履歴を構成する１つ以上の位置情報についてべき集合を生成し、べき集合の各要素を対象情報とし、位置情報のユーザの識別情報と対象情報から構成されるノードを生成するステップと、ノードに含まれる対象情報について、対象情報が示す位置に移動する前の位置を示す位置情報と対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合をノードに登録するステップと、ノードの対象情報に対して、抽象化手法記憶部に記憶される抽象化手法を適用するステップと、抽象化した対象情報を有するノードに対して、ノードのユーザの識別情報とは異なり、ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、他ノードの数が閾値以上であったときにノードの対象情報を匿名情報として出力するステップとを備える。ただし、情報管理装置は、複数の携帯端末から受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、ここで、位置情報は、携帯端末の位置を示す測位データと、測位データの測位時刻及び携帯端末のユーザの識別情報を有する付随データとを含み、位置情報に対する抽象化手法と優先度とを関連付けて記憶する抽象化手法記憶部とを備えるデータ管理方法をコンピュータに実行させる。

本発明によれば、ユーザの行動の一部を知る閲覧者であっても閲覧者の知らない行動を新たに知ることができないように行動履歴を匿名化する情報管理装置、そのデータ処理方法、およびコンピュータプログラムが提供される。

図１Ａは、匿名性指標を説明するための情報（匿名化前）の一例を示す表である。 図１Ｂは、匿名性指標を説明するための情報（匿名化後）の一例を示す表である。 図２は、単体の位置情報の匿名化の例を示す概念図である。 図３は、本発明の第１の実施の形態に係る匿名化の例を示す概念図である。 図４は、本発明の第１の実施の形態に係る情報管理装置の構成を示す機能ブロック図である。 図５は、本発明の第１の実施の形態に係る情報管理装置の動作（匿名化フェーズ）の一例を示すフローチャートである。 図６は、本発明の第１、２、３の実施の形態に係る情報管理装置の動作（参照フェーズ）の一例を示すフローチャートである。 図７Ａは、本発明の第２の実施の形態に係る匿名化の例を示す概念図である。 図７Ｂは、本発明の第２の実施の形態に係る匿名化の例を示す概念図である。 図８は、本発明の第２の実施の形態に係る匿名化の例を示す概念図である。 図９は、本発明の第２の実施の形態に係る匿名化の例を示す概念図である。 図１０は、本発明の第２の実施の形態に係る情報管理装置の構成を示す機能ブロック図である。 図１１は、本発明の第２、３の実施の形態に係る情報管理装置の動作（匿名化フェーズ）の一例を示すフローチャートである。 図１２は、本発明の第３の実施の形態に係る情報管理装置の構成を示す機能ブロック図である。 図１３は、本発明の第３の実施の形態に係る情報管理装置の動作（匿名化フェーズ）の一例を示すフローチャートである。 図１４は、本発明の実施例に係る情報管理装置の利用者情報記憶部の一例を示す表である。 図１５は、本発明の実施例に係る情報処理装置の処理を説明するための図である。 図１６は、本発明の実施例に係る情報管理装置の抽象化手法記憶部の一例を示す表である。 図１７は、本発明の実施例に係る情報管理装置の処理を説明するための図である。 図１８は、本発明の実施例に係る情報管理装置の処理を説明するための図である。 図１９は、本発明の実施例に係る情報管理装置の匿名情報記憶部の一例を示す表である。 図２０は、本発明の実施例に係る情報管理装置の処理を説明するための図である。 図２１は、本発明の実施例に係る情報管理装置の処理を説明するための図である。 図２２は、本発明の実施例に係る情報管理装置の処理を説明するための図である。 図２３は、本発明の実施例に係る情報管理装置の匿名情報記憶部の一例を示す表である。 図２４は、本発明の実施例に係る情報管理装置の処理を説明するための図である。 図２５は、本発明の実施例に係る情報管理装置の処理を説明するための図である。 図２６は、本発明の実施例に係る情報管理装置の処理を説明するための図である。 図２７は、本発明の実施例に係る情報管理装置の処理を説明するための図である。

以下、本発明の情報管理装置、そのデータ処理方法、およびコンピュータプログラムの実施の形態に関して、添付図面を参照して説明する。以下の各図において、本発明の本質に関わらない部分の構成については省略してあり、図示されていない。

（第１の実施の形態）
まず、本発明の第１の実施の形態に係る情報管理装置による匿名化について説明する。図３は、本発明の第１の実施の形態に係る匿名化の例を示す概念図である。上述のように、位置履歴は、複数の位置情報から構成されるため、ユーザがある場所にいたことを知っている閲覧者に対して、そのユーザが他にどこに行ったのかを知られる情報となりうる。そのため、本実施の形態では、位置履歴がｌ多様性を保証し、閲覧者が知らない位置情報を知られることを防止する。図３は、ユーザ１〜ユーザ４の位置履歴をｌ多様性（ｌ＝４）を満たすように匿名化（抽象化）した例である。ここで、図３において、各点は各ユーザの緯度・経度を表すピンポイントの位置情報であり、点と点を結ぶ矢印は、矢印の元から矢印の先にユーザが移動したことを表す。また、円はエリアを表す。この例では、ユーザ１がエリアの中央（円の中央の点）にいること知る閲覧者が、位置履歴をみたときに、ユーザ１が他にどこに行くのかを知られないように、行き先の候補がｌ通りとなるように、中央の点を抽象化する。ｌを増加する（ｌ多様性を高める）ことで、匿名性をより高くすることができる。この多様化は、一つの位置に関して多様性を高める。そのことから、そのような多様性をＳＤＬＤ（Ｓｉｎｇｌｅ−Ｄｉｍｅｎｓｉｏｎａｌ ｌ−Ｄｉｖｅｒｓｉｔｙ：１次元ｌ多様性）ということができる。そして、第１の実施の形態では、１次元ｌ多様性が所定の条件を満たすように、複数の位置情報（位置履歴）を多様化する。以下、本発明の第１の実施の形態について詳細に説明する。

まず、本発明の第１の実施の形態に係る情報管理装置１００の構成について説明する。図４は、本発明の第１の実施の形態に係る情報管理装置１００の構成を示す機能ブロック図である。情報管理装置１００は、情報受付部１０２と、利用者情報記憶部１０４と、第１の抽出部１０６と、加工部１０８と、抽象化手法記憶部１１０と、抽象化部１１２と、検査部１１４と、匿名情報記憶部１１６と、出力部１１８とを具備する。

情報管理装置１００は、コンピュータに例示される情報処理装置である。情報管理装置１００及び後述される他の情報管理装置における各構成要素（機能ブロック）は、図４等の構成要素を実現するプログラム（ソフトウェア）により、情報処理装置のハードウェアを用いて実現される。例えば、コンピュータのＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、主記憶装置、補助記憶装置のようなハードウェアと、記憶装置に格納され主記憶装置にロードされた図４の構成要素を実現するプログラム（ソフトウェア）とが協働した手段により、本情報管理装置１００（各構成要素）の目的に対応したデータの演算処理を実行することで実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当事者には理解されるところである。以下説明する各図は、ハードウェア単位の構成ではなく、機能単位のブロックを示している。

そのような情報管理装置１００は、例えば、ＣＰＵ、メモリ（主記憶装置）、ハードディスク（補助記憶装置）、及び通信装置を備え、キーボードやマウス等の入力装置やディスプレイや、プリンタ等の出力装置と接続されたコンピュータにより実現することができる。そして、ＣＰＵがハードディスクに記憶されるプログラムをメモリに読み出して実行することにより、上記情報受付部１０２〜出力部１１８の各機能を実現することができる。

情報受付部１０２は、複数の端末機器とネットワークによって接続されている。各端末機器は、各ユーザに携帯されている。その携帯端末は、ＧＰＳや無線ＬＡＮ等の測位装置を搭載している。情報受付部１０２は、その端末機器から位置情報を適宜（例示：定期的、設定時刻毎、ユーザのボタン操作による送信など）受信する。その位置情報は、測位データと付随データとから構成され、測位装置によって生成される。ただし、その測位データは、緯度や経度や高度等の組合せにより位置を表す。その付随データは、測位時刻と、ユーザ名又はユーザＩＤ（又は携帯端末ＩＤ）のようなユーザ情報とを表す。なお、測位データは、緯度・経度・高度等によって表現されるピンポイント情報だけでなく、総務省が規定する地域メッシュコードによって表現されるエリア情報等であっても良い。

利用者情報記憶部１０４は、ユーザから送信され情報受付部１０２が連続的に受信する位置情報を、ユーザ毎に行動履歴として記録する。すなわち、利用者情報記憶部１０４は、例えば、ユーザ名（又はユーザＩＤ）と測位時刻と測位データとを関連付けて行動履歴として記録している。その行動履歴は、例えば測位時刻を用いることで、時系列に沿って記憶されることが好ましい。ただし、第１の抽出部１０６がその行動履歴を高速に参照できるのであれば、その限りではない。

第１の抽出部１０６は、利用者情報記憶部１０４に記憶されている行動履歴を構成する各位置情報について、それぞれ、単一の位置情報を対象情報とし、その対象情報（単一の位置情報）のユーザ名とその対象情報とから構成されるノードを生成する。第１の抽出部１０６は、この処理を利用者情報記憶部１０４に登録されている全ユーザの行動履歴（すなわちすべての位置情報）に関して実行する。すなわち、位置情報の個数と同数のノードが形成される。

加工部１０８は、第１の抽出部１０６によって生成された各ノードについて、ノードに含まれる対象情報が示す位置に移動する前の位置を示す位置情報と、対象情報が示す位置から移動した先の位置を示す位置情報とをいずれも移動情報とし、その移動情報を要素とする移動情報集合を生成して、そのノードに登録する。移動情報は、対象情報に対して前／後の時刻に実際にいた位置を表す単一の位置情報であってもよいし、対象情報に対して前／後の時刻にいる可能性がある１つ以上の位置を表す位置情報の集合であっても良い。可能性がある位置については、統計解析部（図示されず）がユーザの過去の実際にいた位置を表す位置情報に関する統計処理により、位置予測を行って決定することができる。また、移動する前の位置を示す位置情報及び移動する後の位置を示す位置情報のいずれか一方しか存在しない場合や、両方とも存在しない場合であってもよい。このとき、例えば、ノードには、対象情報と、その前の時刻にいた位置を示す位置情報と、その後の時刻にいた位置を示す位置情報とが含まれる。

抽象化手法記憶部１１０は、位置情報を抽象化するための抽象化手法とその優先度を記憶する。抽象化手法の一例としては、時刻抽象化、ユーザ識別子削除、位置抽象化、位置情報一部削除等が考えられる。ただし、時刻抽象化は、年・月・日・時・分・秒によって表現される時刻からいずれかの一部を削除する。ユーザ識別子削除は、一部の位置情報に含まれるユーザ名（又はユーザＩＤ）のような識別子を変更・削除する。位置抽象化は、緯度や経度で表されるピンポイントの位置や地域メッシュコード等のエリア情報をより広域の情報に変換する。位置情報削除は、行動履歴からの一部の位置情報を削除する。また、ユーザ等の提供者側が提供可能な匿名度の下限や、サービスプロバイダ等の閲覧者側が活用できる情報の抽象度の上限が設定されていてもよい。そして、抽象化手法記憶部１１０の管理者等が、抽象化手法の追加や削除や変更等の管理を行えることが好ましい。すなわち、情報管理装置１００が管理部（図示されず）を更に備え、その管理部が、利用者情報記憶部１０４に記憶されている位置情報の傾向や、匿名情報記憶部１１６に記憶されている匿名情報の精度等を判断材料として、匿名情報の内容を調整する。

抽象化部１１２は、各ノードに含まれる対象情報に対して、抽象手法記憶部１１０に記憶される抽象化手法を優先度順に適用する。すなわち、対象情報に対して、まず優先度１の抽象化手法を適用する。そして、その抽象化手法で抽象化された対象情報が後述の検査部１１４の検査を通らない場合、その対象情報に対して次の優先度２の抽象化手法を適用し、検査部１１４の検査を受ける。以下、検査を通るまで順次優先度を下げて抽象化を行う。

ここで、抽象化手法は、優先度が高いほど抽象化の程度は相対的に低く、優先度が低いほど抽象化の程度が相対的に高くなっている。従って、優先度の高い抽象化手法で抽象化された対象情報は、元の対象情報に対して相対的に近い又は同じ（焦点の合った）情報となる。一方、優先度の低い抽象化手法で抽象化された対象情報は、元の対象情報に対して相対的に遠い（焦点のぼやけた）情報となる。単一の対象情報だけで見れば、優先度の低い抽象化手法を用いるほど抽象化されて匿名性が高まる。すなわち、ノードの対象情報は、抽象化部１１２で適用される抽象化手法により、元の位置情報よりも抽象化されて匿名性が高まることになる。

検査部１１４は、抽象化手法が適用されたノードに対して、そのノードのユーザ名とは異なり、そのノードの対象情報の位置と同じ位置の対象情報を持ち、そのノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを列挙する。そして、その他ノードの数が閾値以上であったときに、そのノードの対象情報（抽象化手法により抽象化されて匿名化された位置情報）を匿名情報として出力する。

匿名情報記憶部１１６は、検査部１１４から出力された匿名情報を記憶する。匿名情報は、検査部１１４による検査を通過したノードの対象情報であり、抽象化手法により抽象化されて匿名化された位置情報である。すなわち、匿名情報記憶部１１６は、例えば、匿名化されたユーザ名（又はユーザＩＤ）と匿名化された測位時刻と匿名化された測位データとを関連付けて行動履歴として記録している。ただし、少なくとも一つが匿名化されていればよい。

出力部１１８は、位置情報を活用したサービスを提供するサービスプロバイダ等の匿名情報（抽象化により匿名化された位置情報）を利用する要求者（閲覧者）からの要求を受け付ける。そして、その要求を満たす匿名情報（抽象化により匿名化された位置情報）を匿名情報記憶部１１６から検索して、要求者（閲覧者）に送信する。

次に、本発明の第１の実施の形態に係る情報管理装置１００の動作（データ処理方法）について説明する。図５と図６は、本発明の第１の実施の形態に係る情報管理装置１００の動作の一例を示すフローチャートである。情報管理装置１００の動作は、図５に示される匿名化フェーズと、図６に示される参照フェーズとを備えている。ただし、匿名化フェーズは、複数のユーザから集約した位置情報からユーザが特定されないような匿名情報を生成する工程を含んでいる。参照フェーズは、閲覧者の要求を満たす匿名情報を検索して提供する工程を含んでいる。

まず、図５の匿名化フェーズについて説明する。
情報受付部１０２は、緯度や経度や高度等を組み合わせて位置とする測位データと、測位時刻やユーザ名を表す記号等の付随データとから構成される位置情報を複数の端末機器（ユーザ）から定期的に受信する。そして、ユーザから送信された位置情報を集約して、ユーザ毎に行動履歴として、利用者情報記憶部１０４（利用者情報記憶装置）に記憶する（情報受付手順：図５のステップＳ１０１）。

第１の抽出部１０６は、利用者情報記憶部１０４に記憶されている行動履歴を構成する位置情報（すなわちすべての位置情報）について、それぞれ、単一の位置情報を対象情報として、位置情報のユーザ名と対象情報とから構成されるノードを生成する（第１の抽出手順：図５のステップＳ１０３）。

加工部１０８は、ノードに含まれる対象情報について、対象情報が示す位置に移動する前の位置を示す位置情報と、その対象情報が示す位置から移動した後の位置を示す位置情報とをいずれも移動情報として、１つ以上の移動情報を要素として持つ移動情報集合を生成し、そのノードに登録する（加工手順：図５のステップＳ１０５）。

抽象化手法記憶部１１０（抽象化手法記憶装置）は、予め時刻抽象化、ユーザ識別子削除、位置の抽象化、位置情報削除等の位置情報に対する抽象化の手法とその優先度を記憶している。抽象化部１１２は、抽象化手法記憶部１１０に記憶される抽象化手法であり、ノードにまだ適用していない最も優先度が高い抽象化方法を選択し、そのノードの対象情報に対して抽象化方法を適用する（抽象化手順：図５のステップＳ１０７）。その結果、そのノードの対象情報は、適用される抽象化手法によっては、元の位置情報よりも抽象化されて匿名性が高まる。

検査部１１４は、ノードに対して、そのノードのユーザ名とは異なり、そのノードの対象情報の位置と同じ位置の対象情報を持ち、そのノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを列挙する。すなわち、列挙されるノードは、ユーザと同じ位置にいた別のユーザのノードであって、そのユーザが前後の時刻で異なる位置にいるようなノードである。そして、他ノードの数が閾値以上であるか否かを検査する（図５のステップＳ１０９）。そして、他ノードの数が閾値以上であった場合（図５のステップＳ１０９：Ｙｅｓ）、そのノードの対象情報（抽象化手法により抽象化されて匿名化された位置情報）を匿名情報として出力し、匿名情報記憶部１１４（匿名情報記憶装置）に、その匿名情報（抽象化により匿名化された位置情報）を記憶する（図５のステップＳ１１１；以上、検査手順：図５のステップＳ１０９〜Ｓ１１１）。これにより、所望のｌ多様性を確保することができる。また、結果として、所望のk匿名性も確保することができる。

次に、図６の参照フェーズについて説明する。
出力部１１８は、匿名情報（抽象化により匿名化された位置情報）を利用するサービスプロバイダ等の要求者（閲覧者）から、所定条件の情報提供の要求を受け付ける（受付手順：図６のステップＳ１２１）。
出力部１１８は、匿名情報記憶部１１６の内容を検索して、その所定条件を満たす匿名情報（抽象化により匿名化された位置情報）を抽出し、要求者（閲覧者）に出力する（出力手順：図６のステップＳ１２３）。

このように本実施の形態の情報管理装置１００によれば、各ノード（対象情報）に対して所定の検査条件を満足するように抽象化が施される。すなわち、あるノードに対して、そのノードのユーザ名とは異なり、そのノードの対象情報の位置と同じ位置の対象情報を持ち、そのノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードの数が閾値以上となるように、抽象化が行われる。従って、ユーザの任意の一箇所の位置情報が同じであり、その位置情報以外の位置情報が異なる他ユーザが存在するように抽象化（匿名化）がおこなわれる。これにより、ユーザがある一箇所の位置（あるノード）に過去にいたことを知っている閲覧者が、匿名化されたユーザの行動履歴を閲覧しようとしたとき、当該ある一箇所と同様の位置にいた他ユーザの匿名化された行動履歴と区別がつけられなくなっているので、ユーザを特定することと、ユーザが他に行った場所を知ることが困難になる。それにより、ユーザの行動の一部を知る閲覧者であっても閲覧者の知らない行動を新たに知ることができないように行動履歴を匿名化することが可能となる。

（第２の実施の形態）
まず、本発明の第２の実施の形態に係る情報管理装置による匿名化について説明する。図７Ａ及び図７Ｂは、本発明の第２の実施の形態に係る匿名化の例を示す概念図である。第１の実施の形態では、ユーザがある一箇所の位置に過去にいたことを知っている閲覧者が、匿名化されたユーザの行動履歴を閲覧しようとしたとき、当該ある一箇所と同様の位置にいた他ユーザの匿名化された行動履歴と区別がつけられなくなっているので、ユーザを特定することと、ユーザが他に行った場所を知ることが困難になる。しかし、閲覧者が、ユーザがある複数の箇所の位置に過去にいたことを知っている場合、当該閲覧者に対して、ユーザ及びその位置履歴を匿名化することが困難になる場合がある。そこで、第２の実施の形態では、ユーザがある複数の箇所の位置に過去にいたことを知っている閲覧者に対しても、ユーザの位置履歴を知ることができないように匿名化を実施する。

例えば、図７Ａ及び図７Ｂの例のように自宅、勤務地、及び病院を行動範囲とするユーザについて考える。その場合、図７Ａに示すように閲覧者が自宅と勤務地を知っていたとき、自宅や勤務地や病院それぞれについてｌ多様性を満たすように匿名化（抽象化）をしても、自宅を含むエリア及び勤務地を含むエリアの両エリアに存在するユーザが一人しかいない場合、そのユーザが病院を含むエリアに移動した場合、そのユーザが病院に行っていることを知られる可能性がある。また、図７Ｂに示すように閲覧者が病院と勤務地を知っていたとき、を病院含むエリア及び勤務地を含むエリアの両エリアに存在するユーザが一人しかいない場合、そのユーザが自宅を含むエリアに移動した場合、そのユーザの自宅が知られる可能性がある。第２の実施の形態では、このようにユーザがある複数の箇所の位置に過去にいたことを知っている閲覧者に対しても、ユーザの位置履歴を知ることができないように匿名化を実施する。

これを実現するために、閲覧者が知る可能性がある位置情報の組合せを列挙し、それぞれについてｌ多様性を満たすように位置情報を匿名化する方式を採用する。具体的な方法として、ユーザ１の位置履歴が２地点の位置情報を含む場合を図８に、３地点の位置情報を含む場合を図９に示す。例えば図８において、位置Ａ及び位置Ｂをそれぞれ空間抽象化して匿名化する場合、位置Ａに関しては、位置Ａの周辺にはいるが位置Ｂの周辺に行かないユーザ２を含むように位置Ａを含むエリアを形成する（空間抽象化する）。一方、位置Ｂに関しては、位置Ｂの周辺にはいるが位置Ａの周辺に行かないユーザ３を含むように位置Ｂを含むエリアを形成する（空間抽象化する）。このように、各位置での空間抽象化を、その位置の情報のみを用いて単独で行うのではなく、互いの位置での情報を参照しながら互いに関連付けて行う。それにより、仮に、ユーザ１が位置Ａ及び位置Ｂに存在することが知られていても、その後、どこに行くのかについてはユーザ２やユーザ３の存在により、匿名化を図ることができる。また、例えば、図９の場合も、基本的に同様に考えることができる。ただし、閲覧者が知っている位置情報のパターンは、いずれか１つ知っている３通り、及びいずれか２つ知っている３通りの合計６通りある。そのため、例えば、まず、いずれか１つ知っている３通りの場合について、図８のように空間抽象化を行う（図の中央）。そして、いずれか２つ知っている３通りの場合について、更に空間抽象化を行う。

この多様化は、単に複数の位置の各々において多様性を高めるのでなく、複数の位置について可能な組合せを生成し、それらの組合せごとに多様性を高める。すなわち、多次元的な多様性を取り扱っている。そのことから、そのような多様性をＭＤＬＤ（Ｍｕｌｔｉ−Ｄｉｍｅｎｓｉｏｎａｌ ｌ−Ｄｉｖｅｒｓｉｔｙ：多次元ｌ多様性）ということができる。そして、第２の実施の形態では、多次元ｌ多様性（ＭＤＬＤ）の所定の条件を満たすように、複数の位置情報（位置履歴）が多様化される（多様性を高めている）。ここで、ＭＤＬＤの所定の条件を満たす（以下、ＭＤＬＤ保証ともいう）とは、以下のように定義される。

ユーザの移動範囲（移動圏、後述）に含まれる（そのユーザの）位置（ノード）がｎ個あったとき、位置の重なり方は２^ｎ−１通り存在する。ＭＤＬＤ保証とは、すべてが重なる場合を除いた２^ｎ−２通りについて、それぞれを満たす他ユーザが少なくとも１人以上存在することを保証することである。例えば、ユーザの行動が位置ｐ１、ｐ２、ｐ３から構成される場合、ユーザの移動圏はｐ１，ｐ２，ｐ３を含む範囲であり、ユーザの移動圏に含まれる（そのユーザの）位置は３個である。この行動との重なり方を重なる位置の集合で表現すると、｛ｐ１｝、｛ｐ２｝、｛ｐ３｝、｛ｐ１，ｐ２｝、｛ｐ２，ｐ３｝、｛ｐ３，ｐ１｝、｛ｐ１，ｐ２，ｐ３｝の７通り（２^３−１＝７）となる。すべてが重なる｛ｐ１，ｐ２，ｐ３｝を除いた６通り（２^３−２＝６）について、それぞれを満たす他ユーザが少なくとも１人存在することを保証することが、ＭＤＬＤ保証（ＭＤＬＤを満たすこと）となる。

以下、本発明の第２の実施の形態について詳細に説明する。なお、以下において、第１の実施の形態と同様の機能や動作をする構成やステップがある場合、それらについて図中には同じ符号を付し、明細書中の説明を省略する場合がある。他の実施の形態や実施例についても同様である。

まず、本発明の第２の実施の形態に係る情報管理装置２００の構成について説明する。図１０は、本発明の実施の形態に係る情報管理装置２００の構成を示す機能ブロック図である。情報管理装置２００は、情報受付部１０２と、利用者情報記憶部１０４と、第２の抽出部２０２と、加工部１０８と、抽象化手法記憶部１１０と、抽象化部１１２と、検査部１１４と、匿名情報記憶部１１６と、出力部１１８とを具備する。

上記第１の実施の形態に係る情報管理装置１００は、ユーザの任意の一箇所の位置情報が同じであり、その位置情報以外の位置情報が異なる他ユーザが存在するように匿名化処理を行うことにより、一箇所の位置を基準としてその他の位置の多様性を保証している。しかし、本実施の形態の情報管理装置２００は、情報管理装置１００とは、ユーザの位置情報の任意の組合せを基準として、その他の位置の多様性を保証する点で相違する。相違する構成について以下に説明する。

情報処理装置２００は、上記第１の実施の形態に係る情報管理装置１００の構成における第１の抽出部１０６の代わりとして、第２の抽出部２０２を備えている。第２の抽出部２０２は、利用者情報記憶部１０４に記憶されるユーザ毎の行動履歴を構成する１つ以上の位置情報に対して任意の集合を生成して、集合を対象情報として、位置情報のユーザ名と対象情報とから構成されるノードを生成する。

すなわち、第２の抽出部２０２は、利用者情報記憶部１０４に記憶されているユーザ毎の位置情報の集合を元集合として、任意の組合せを抽出して部分集合を生成する。具体的には、第２の抽出部２０２は、あるユーザの部分集合として、あらゆる組合せ、いわゆる、元集合に対するべき集合を生成する。たとえば、あるユーザの位置情報であるＡとＢとＣから構成される元集合｛Ａ，Ｂ，Ｃ｝に対しては、７通りの部分集合（｛Ａ｝、｛Ｂ｝、｛Ｃ｝、｛Ａ，Ｂ｝、｛Ａ，Ｃ｝、｛Ｂ，Ｃ｝、｛Ａ，Ｂ，Ｃ｝）を生成する。そして、それら部分集合（べき集合の要素）を対象情報として、それぞれノードを生成する。

加工部１０８は、各ノード（各部分集合）について、その部分集合を構成する各位置情報が示す位置に移動する前の位置を示す位置情報と、その部分集合を構成する各位置情報が示す位置から移動した後の位置を示す位置情報であって、その部分集合に含まれない位置情報とをいずれも移動情報として抽出し、抽出したすべての移動情報を移動情報集合としてノードに付与する。この場合にも、移動情報は、対象情報に対して前／後の時刻に実際にいた位置を表す単一の位置情報であってもよいし、対象情報に対して前／後の時刻にいる可能性がある１つ以上の位置を表す位置情報の集合であっても良い。また、移動する前の位置を示す位置情報及び移動する後の位置を示す位置情報のいずれか一方しか存在しない場合や、両方とも存在しない場合であってもよい。このとき、例えば、ノードには、部分集合（少なくとも一つの対象情報）と、その前の時刻にいた位置を示す位置情報と、その後の時刻にいた位置を示す位置情報とが含まれる。

検査部１１４において、各ノードについて匿名性を検査するとき、閾値を設定し、閾値と比較して匿名性を判断する。閾値は、匿名化ポリシとしてユーザが設定可能とするのが好ましい。すなわち、情報管理装置２００において、匿名性の度合いを決定する閾値を受け付ける設定受付部（図示されず）をさらに備えることができ、検査部１１４は、抽象化部１１０が生成した位置情報について、閾値と比較して匿名性の判断を変えることができる。

次に、本発明の第２の実施の形態に係る情報管理装置２００の動作（データ処理方法）について説明する。図１１と図６は、本発明の第２の実施の形態に係る情報管理装置２００の動作の一例を示すフローチャートである。情報管理装置２００の動作は、図１１に示される匿名化フェーズと、図６に示される参照フェーズとを備えている。ただし、匿名化フェーズは、図１１に示されるように、図５に示される情報管理装置１００の動作と同様のステップＳ１０１、Ｓ１０５〜Ｓ１０９を有し、さらに、以下に説明するステップＳ２０１を有している。参照フェーズは、図６に示される情報管理装置１００と同様の参照フェーズを有している。

まず、図１１の匿名化フェーズについて説明する。
情報受付部１０２は、情報受付手順を実行する（図１１のステップＳ１０１）。

第２の抽出部２０６は、ステップＳ１０１によって蓄積されたユーザ毎の行動履歴を示す位置情報の集合から、ユーザ毎にべき集合を生成する。そして、そのべき集合を構成する各要素に対して、それぞれ、ノードを割り当て、各要素に含まれるすべての位置情報を対象情報として、それら対象情報が示す位置に移動する前にいた位置の位置情報と、それら対象位置情報が示す位置から移動した後の位置の位置情報とであって、各要素に含まれない位置情報の集合を移動情報集合としてノードに付与する（第２の抽出手順：図１１のステップＳ２０１）。

その後、加工部１０８は、加工手順を実行する（図１１のステップＳ１０５）。次に、抽象化部１１２は、抽象化手順を実行する（図１１のステップＳ１０７）。そして、検査部１１４は、検査手順を実行する（図１１のステップＳ１０９〜Ｓ１１１）。続いて、出力部１１８は、受付手順（図６のステップＳ１２１）及び出力手順（図６のステップＳ１２３）を実行する。

以上説明したように、本実施の形態の情報管理装置２００によれば、ユーザの位置情報の任意の組合せに対して同様の位置情報の組合せから構成され、かつ、その組合せに含まれない位置情報の集合が異なる他ユーザが存在することが保証される。そのため、ユーザが複数の位置にいたことを知る閲覧者が位置情報の集合を参照したとしても、ユーザを特定することと、ユーザが閲覧者が知る位置以外にいた位置を知ることを困難にできる。それにより、ユーザの行動の一部を知る閲覧者であっても閲覧者の知らない行動を新たに知ることができないように行動履歴を匿名化することが可能となる。

（第３の実施の形態）
まず、本発明の第３の実施の形態に係る情報管理装置３００の構成について説明する。図１２は、本発明の実施の形態に係る情報管理装置３００の構成を示す機能ブロック図である。情報管理装置３００は、情報受付部１０２と、利用者情報記憶部１０４と、第２の抽出部２０２と、加工部１０８と、抽象化手法記憶部１１０と、抽象化部１１２と、検査部１１４と、匿名情報記憶部１１６と、出力部１１８と、設定受付部３０２と、提示部３０４と、サンプル記憶部３０６とを具備する。

本実施形態の情報管理装置３００は、上記第２の実施の形態の情報管理装置２００とは、提供者が匿名性の閾値を変更したときに、閲覧者に提供される位置情報のサンプルを確認できる点で相違する。相違する構成について以下に説明する。

設定受付部３０２は、検査部１１４による位置情報の匿名性検査における閾値の設定変更を受け付ける。サンプル記憶部３０６は、閾値を変更したことによって検査部１１４を通過する位置情報をサンプルとして記憶する。提示部３０４は、サンプル記憶部３０６に記憶されたサンプルを提示する。

提示部３０４は、検査部１１４が位置情報の匿名性を判断するときに使う閾値をいくつか列挙し、設定受付部３０２に対していくつかの閾値を指定する。提示部３０４は、設定されている閾値を満たす位置情報が記憶されているサンプル記憶部３０６から位置情報を参照し、閾値と位置情報を提供者に提示する。提供者は、閾値によって変化する位置情報を参照し、自分にとってどの閾値が妥当であるかを判断することができる。

次に、本発明の第３の実施の形態に係る情報管理装置３００の動作（データ処理方法）について説明する。図１３と図１１と図６は、本発明の第３の実施の形態に係る情報管理装置３００の動作の一例を示すフローチャートである。情報管理装置３００の動作は、図１３に示されるサンプル生成フェーズと、図１１に示される匿名化フェーズと、図６に示される参照フェーズとを備えている。ただし、サンプル生成フェーズは、図１３に示されるように、図１１に示される情報管理装置２００の動作と同様のステップＳ１０１、Ｓ２０１、Ｓ１０５〜Ｓ１０９を有し、さらに、以下に説明するステップＳ３０１〜Ｓ３０５を有している。匿名化フェーズは、図１１に示される情報管理装置２００の動作と同様の匿名化フェーズを有している。参照フェーズは、図６に示される情報管理装置１００と同様の参照フェーズを有している。

まず、図１３のサンプル生成フェーズについて説明する。
情報受付部１０２は、情報受付手順を実行する（図１３のステップＳ１０１）。

図１２の提示部３０４は、抽象化部１１０に設定可能な匿名化の閾値リストを生成し、リストの先頭から順に閾値を設定受付部３０２に対して設定する（図１３のステップＳ３０１）。次に、第２の抽出部２０６は、第２の抽出手順を実行する（図１３のステップＳ２０１）。その後、加工部１０８は、加工手順を実行する（図１３のステップＳ１０５）。次に、抽象化部１１２は、抽象化手順を実行する（図１３のステップＳ１０７）。そして、検査部１１４は、検査手順を実行する（図１３のステップＳ１０９）。

検査部１１４は、位置情報がステップＳ３０１にて設定した閾値を満たす場合に、サンプル記憶部３０６に位置情報を記憶する（図１３のステップＳ３０３）。提示部３０４は、閾値リストに含まれるすべての閾値について、図１３のステップＳ３０１、Ｓ２０１、Ｓ１０５、Ｓ１０７、Ｓ１０９、Ｓ３０３の処理を繰り返す（図１３のステップＳ３０５）。

なお、図１１に示される匿名化フェーズ及び図６に示される参照フェーズは、それぞれ第２の実施の形態及び第３の実施の形態と同様であるのでその説明を省略する。

以上説明したように、本実施の形態の情報管理装置３００によれば、匿名性の閾値に応じて、閲覧者に提供される位置情報のサンプルを提供者が確認することができるので、提供者は適切な閾値の値を決定することができる。
「実施例」

（実施例１）
以下、本発明の情報管理装置の実施例として、複数ユーザの位置情報を入力として受け取り、ＳＤＬＤ（１次元ｌ多様性）を高めるように各ユーザの位置情報を匿名化する例（匿名化フェーズ）を説明する。本実施例は第１の実施の形態における一つの具体例を示している。

情報受付部１０２は、ユーザＡ〜ユーザＤの位置情報を定期的に受け付け、例えば、地図上に記載したときに図１４で表されるような位置情報リストを利用者情報記憶部１０４に記憶する（ステップＳ１０１）。図１４は、一例として、１時間置きに受信されるユーザＡ〜ユーザＤの位置情報の一部を示している。この例では、位置情報は、緯度・経度によって表される測位データ（“位置”）と、ユーザ名と測位時刻によって表される付随データ（“測位時刻”及び“ユーザ名”）から構成されている。

図１４の位置情報リストのユーザＡ〜ユーザＤの各位置情報が、例えば、図１５のように地図上に図示されるとする。図１５において、黒点はユーザが長期的に滞在する場所が緯度・経度で表された位置を表し、黒点と黒点を結ぶ線は、線に付されたユーザ名を持つユーザが２つの位置を移動することを表す。そして、ユーザＡは位置Ａ１と位置Ａ２に長期的に滞在していて、その２点を相互に往復している。ユーザＢは位置Ｂ１と位置Ｂ２に長期的に滞在していて、その２点を相互に往復している。ユーザＣは位置Ｃ１と位置Ｃ２に長期的に滞在していて、その２点を相互に往復している。ユーザＤは位置Ｄ１と位置Ｄ２に長期的に滞在していて、その２点を相互に往復している。また、位置Ａ１−位置Ｂ１間、位置Ａ２−位置Ｂ２間、位置Ｃ２−位置Ｄ２間の距離は、いずれも３００ｍ以内であるとする。また、位置Ａ１−位置Ｃ１間、位置Ｂ１−位置Ｃ１間、位置Ａ２−位置Ｄ１間、位置Ｂ２−位置Ｄ１間の距離はいずれも５００ｍ以内であるとする。

第１の抽出部１０６は、すべての位置情報について、図１５の各黒点のユーザ名と、その黒点の１つを対象情報として含むようなノードを生成する（ステップＳ１０３）。ここで、位置Ｘを含むノードをノードＸと記す。

次に、加工部１０８は、各ノードの対象情報が示す位置に移動する前の位置情報と、その対象情報が示す位置から移動した後の位置情報とを移動情報として、１つ以上の移動情報を要素として持つ移動情報集合をノードに付与する（ステップＳ１０５）。図１５の例においては、ノードの対象情報を示す黒点から線によってつながれているもうひとつの黒点を移動情報として、移動情報を要素とする移動情報集合を生成し、そのノードに登録する。たとえば、ノードＡ１については、ノードＡ１に含まれる位置Ａ１（対象情報）と線でつながれている位置Ａ２（対象情報が示す位置から移動した後の位置情報）を要素とするような｛Ａ２｝を移動情報集合としてノードＡ１に登録する。この例の場合、対象情報が示す位置に移動する前の位置情報はない。逆に、ノードＡ２については、ノードＡ２に含まれる位置Ａ２（対象情報）と線でつながれている位置Ａ１（対象情報が示す位置から移動する前の位置情報）を要素とするような｛Ａ１｝を移動情報集合としてノードＡ２に登録する。この例の場合、対象情報が示す位置に移動した後の位置情報はない。

抽象化手法記憶部１１０には、図１６に示す抽象化手法と優先度とが互いに関連付けられて記憶されているとする。優先度は、各ノードに含まれる対象情報に対して行う抽象化の操作を表し、優先度は適用する順番を表す。また、抽象化手法としては、位置を３００ｍ範囲に拡大や位置情報削除など位置の抽象化が例示されている。たとえば、１回目に位置情報に対して抽象化手法を適用する際には、優先度１に記載されているように抽象化処理を行わず、２回目に位置情報に対して抽象化手法を適用する際には、優先度１に記載されているように位置を３００ｍ範囲に拡大し位置を抽象化する。

抽象化部１１２は、全てのノードに対して、抽象化手法記憶部１１０に記憶された優先度１の抽象化手法を適用する（ステップＳ１０７）。図１６に記載されたように、優先度１の抽象化方法は、何も処理しない（「何もしない」）ことである。そのため、ノードの対象情報は図１５に示したままで変化はない。

検査部１１４は、各ノードについて、ユーザ名が異なり、対象情報の位置が同じであり、移動情報集合が異なるような他ノードを検索する（ステップＳ１０９）。しかし、図１５の場合、対象情報が一致するノードがひとつも存在しないため、検査部１１４による検査を通過するノードは存在しない（ステップＳ１０９：Ｎｏ）。

次に、抽象化部１１２は、各ノードに対して優先度２の抽象化方法を適用する（ステップＳ１０７）。図１６に記載されたように、優先度２の抽象化方法は、緯度・経度で表された位置情報を直径３００ｍの範囲の円に拡大する（「位置を３００ｍ範囲に拡大」）ことである。この抽象化によって、ユーザの位置を正確に把握できる緯度・経度の情報から、３００ｍの範囲の中にいるといったあいまいな情報にすることができる。すなわち、正確な緯度・経度の情報を抽象化により匿名化された対象情報にすることができる。

すなわち、抽象化部１１２は、すべてのノードに対して、抽象化手法記憶部１１０に記憶された優先度２の抽象化手法を適用することによって、図１７の円のような対象情報（抽象化により匿名化された位置情報）を得ることが出来る。黒点を含む円は、直径３００ｍの領域を表し、黒点によって表されるそれぞれの位置がぼやかされたことを表す。たとえば、ユーザＡの位置Ａ１とユーザＢの位置Ｂ１は同じ位置であると判断される。

検査部１１４は各ノードについて、ユーザ名が異なり、対象情報の位置が同じであり、移動情報集合が異なる他ノードを検索し、他ノードが閾値以上存在するかどうかを検査する（ステップＳ１０９）。ここで、閾値は１に設定されているとして、条件を満たす他ノードが１つあれば、検査を通過するとする。位置Ｃ２を含むノードＣ２について、同じ位置にユーザＤの位置Ｄ２があり、ノードＣ２の移動情報は｛位置Ｃ１｝であり、ノードＤ２の移動情報は｛位置Ｄ１｝であり、位置Ｃ１と位置Ｄ１は異なる位置であるために、ノードＣ２とノードＤ２は検査を通過し（ステップＳ１０９：Ｙｅｓ）、匿名情報記憶部１１６に記憶される（ステップＳ１１１）。

一方、そのほかのノードについては、検査部による検査を通過しない。たとえば、ノードＡ１については、同じ位置にユーザＢの位置Ｂ１があるが、ノードＡ１の移動情報は位置Ａ２であり、ノードＢ１の移動情報が位置Ｂ２であり、位置Ａ２と位置Ｂ２は同じ位置であるために、検査を通過しない（ステップＳ１０９：Ｎｏ）。そのほかのノードについても同様である。

次に、抽象化部１１２は、検査を通過していないノードＡ１、Ａ２、Ｂ１、Ｂ２、Ｃ１、Ｄ１に対して、再び、抽象化手法を適用する（ステップＳ１０７）。それぞれのノードは抽象化方法が３回目に適用されるノードであるため、図１６に記載したように、優先度３の抽象化方向が適用される。優先度３の抽象化方向は、位置情報を直径５００ｍの範囲の円に拡大する（「位置を５００ｍ範囲に拡大」）ことである。この抽象化によって、ユーザの位置を、５００ｍの範囲の中にいるといった更にあいまいな情報にすることができる。すなわち、３００ｍの範囲の中にいるという情報から、更に抽象化されてより匿名化された対象情報にすることができる。

すなわち、抽象化部１１２は、すべてのノードに対して、抽象化手法記憶部１１０に記憶された優先度２の抽象化手法を適用することによって、図１８のような対象情報（更に抽象化されてより匿名化された位置情報）を得ることが出来る。黒点を含む大きな円は、直径５００ｍの範囲を表し、黒点によって表されるそれぞれの位置が更にぼやかされたことを表す。たとえば、ユーザＡの位置Ａ１とユーザＢの位置Ｂ１とユーザＣの位置Ｃ１が同じ位置であると判断される。

検査部１１４は、各ノードについて、ユーザ名が異なり、対象情報の位置が同じであり、移動情報集合が異なる他ノードを検索し、他ノードが閾値以上存在するかどうかを検査する（ステップＳ１０９）。ノードＡ１については、ノードＢ１とノードＣ１が同じ位置であり、ノードＣ１の移動情報に含まれる位置Ｃ２が、ノードＡ１の移動情報の位置Ａ２と異なる位置であるために、検査部１１４による検査を通過する。ノードＢ１とノードＣ１についても同様である。また、ノードＡ２については、ノードＢ２とノードＤ１が同じ位置であり、ノードＤ１の移動情報に含まれる位置Ｄ２が、ノードＡ２の移動情報のＡ１と異なる位置であるために、検査部による検査を通過する。ノードＢ２とノードＤ１についても同様である。このことから、ノードＡ１、Ｂ１、Ｃ１、Ａ２、Ｂ２、Ｄ１は検査部１１４による検査に通過し（ステップＳ１０９：Ｙｅｓ）、匿名情報記憶部１１６に記憶される（ステップＳ１１１）。

匿名情報記憶部１１６は、上記の利用者情報記憶部１０４に対応させて記載すると、例えば、図１９に示すように表すことができる。この図に示されるように、位置の範囲が広がり（抽象化され）、同じような位置にいるユーザが増えることにより匿名化が図られている。

（実施例２）
次に、本発明の情報管理装置の実施例として、閲覧者がユーザの一部の位置を知っていたとしてもユーザの他の位置を知ることができなくるすために、ＭＤＬＤ（多次元ｌ多様性）を高めるように各ユーザの位置情報について匿名化処理を行う例（匿名化フェーズ）を説明する。本実施例は第２の実施の形態における一つの具体例を示している。

情報受付部１０２は、ユーザＡ〜ユーザＨの位置情報を定期的に受け付け、例えば、地図上に記載したときに図２０で表されるような位置情報リストを利用者情報記憶部１０４に記憶する（ステップＳ１０１）。図２０において、黒点と線は上記の実施例１と同様であり、黒点はユーザが長期的に滞在する場所が緯度・経度によって表現された位置を表し、線はユーザが滞在した位置を相互に往復したことを表す。黒点に付与した位置ＸＮ（Ｎ＝１、２、３、…）は、ユーザＸ（Ａ，Ｂ，Ｃ，Ｄ，Ｅ，Ｆ，Ｇ，Ｈ，…）の位置情報であることを表す。

なお、位置Ｈ１、位置Ｄ１は位置Ａ１から直径３００ｍの円の範囲にあり、位置Ｂ１と位置Ｃ１は位置Ａ１から直径５００ｍの円の範囲にある。また、位置Ｇ１、位置Ｆ２は位置Ａ３から直径３００ｍの円の範囲にあり、位置Ｈ２、位置Ｂ３は位置Ａ１から直径５００ｍの円の範囲にある。さらに、位置Ｃ２，位置Ｅ１、位置Ｆ１は位置Ａ２から直径３００ｍの円の範囲にあり、位置Ｂ２は位置Ａ２から直径５００ｍの円の範囲にある。

以下では、便宜上、ユーザＡの位置情報の匿名化について焦点を絞って説明するが、他のユーザの位置情報の匿名化についても同様である。
第２の抽出部２０２は、ユーザＡの任意の位置情報を要素とする集合（部分集合）を対象情報として、対象情報を含むノードを生成する（ステップＳ２０１）。例えば、ユーザＡの位置情報は、Ａ１とＡ２とＡ３であるため、元集合は｛Ａ１，Ａ２，Ａ３｝であり、その部分集合、すなわち対象情報は、｛Ａ１｝、｛Ａ２｝、｛Ａ３｝、｛Ａ１，Ａ２｝、｛Ａ１，Ａ３｝、｛Ａ２，Ａ３｝、｛Ａ１，Ａ２，Ａ３｝となる。そして、それら対象情報を含むノードを生成する。

加工部１０８は、各ノードについて、ノードに含まれる対象情報から線によってつながれている位置を移動情報として、移動情報を要素とする移動情報集合をそのノードに登録する（ステップＳ１０５）。｛Ａ１｝を対象情報とするノードの移動情報集合は｛Ａ２，Ａ３｝となる。｛Ａ２｝を対象情報とするノードの移動情報集合は｛Ａ１，Ａ３｝となる
１，Ａ２｝を位置情報とするノードの移動情報集合は｛Ａ３｝となる。｛Ａ１，Ａ３｝を位置情報とするノードの移動情報集合は｛Ａ２｝となる。｛Ａ２，Ａ３｝を位置情報とするノードの移動情報集合は｛Ａ１｝となる。さらに、｛Ａ１，Ａ２，Ａ３｝を位置情報とするノードの移動情報集合は、｛｝となる。

抽象化手法記憶部１１０には、実施例１と同様に図１６に示す抽象化手法と優先度とが互いに関連付けられて記憶されているとする。

抽象化部１１２は、全てのノードに対して、抽象化手法記憶部１１０に記憶された優先度１の抽象化手法を適用する（ステップＳ１０７）。図１６に記載したように、優先度１の抽象化方法は、何も処理しない（「何もしない」）ことである。そのため、ノードの対象情報は図２０に示したままで変化はない。

検査部１１４は、各ノードについて、ユーザ名が異なり、対象情報の位置が同じであり、移動情報集合が異なるような他ノードを検索する（ステップＳ１０９）。しかし、図２０の場合、対象情報が一致するノードがひとつも存在しないため、検査部１１４による検査を通過するノードは存在しない（ステップＳ１０９：Ｎｏ）。

次に、抽象化部１１２は、各ノードに対して優先度２の抽象化方法を適用する（ステップＳ１０７）。
図１６に記載されたように、優先度２の抽象化方法は、緯度・経度で表された位置情報を直径３００ｍの範囲の円に拡大する（「位置を３００ｍ範囲に拡大」）ことである。この抽象化によって、ユーザの位置を正確に把握できる緯度・経度の情報から、３００ｍの範囲の中にいるといったあいまいな情報にすることができる。すなわち、正確な緯度・経度の情報を抽象化により匿名化された対象情報にすることができる。

すなわち、抽象化部１１２は、図１６に記載されたように、すべてのノードに対して、抽象化手法記憶部１１０に記憶された優先度２の抽象化手法を適用することによって、図２１のような対象情報（抽象化により匿名化された位置情報）を得ることができる。黒点を含む円は、直径３００ｍの領域を表し、黒点によって表されるそれぞれの位置がぼやかされたことを表す。たとえば、ユーザＡの位置Ａ１とユーザＨの位置Ｈ１は同じ位置であると判断される。

検査部１１４は、各ノードについて、同じ位置にいて、異なる移動情報を持つ他ユーザのノードが閾値以上いるかどうかを検査する（ステップＳ１０９）。なお、閾値は１に設定されているとし、条件を満たす他ユーザのノードが１つであれば、検査を通過するとする。｛Ａ１｝を位置情報とするノードＡ１については、ノードＡ１の移動情報と異なる移動情報を持ち、Ａ１と同じ位置を示す｛Ｄ１｝を位置情報とするノードＤ１が存在するために検査を通過する。｛Ａ２｝を位置情報とするノードＡ１については、ノードＡ２の移動情報と異なる移動情報を持ち、Ａ２と同じ位置を示す｛Ｅ１｝を位置情報とするノードＥ１が存在するために検査を通過する。｛Ａ３｝を位置情報とするノードＡ３については、ノードＡ１の移動情報と異なる移動情報を持ち、Ａ３と同じ位置を示す｛Ｇ１｝を位置情報とするノードＧ１が存在するために検査を通過する。さらに、｛Ａ２，Ａ３｝を位置情報とするノードＡ２−Ａ３については、このノードと異なる移動情報を持ち、かつ、｛Ａ２，Ａ３｝と同じ位置を示す｛Ｆ１，Ｆ２｝を位置情報とするノードが存在するために検査を通過する。しかし、その他のノードＡ１−Ａ２（位置情報｛Ａ１，Ａ２｝）、ノードＡ１−Ａ３（位置情報｛Ａ１，Ａ３｝）、及びノードＡ１−Ａ２−Ａ３（位置情報｛Ａ１，Ａ２，Ａ３｝）については検査を通過しない。このように、Ａ１とＡ２とＡ３を含むその他のノードが検査を通過しないため、すべてのノードを再び抽象化の対象とする（ステップＳ１０９：Ｎｏ）。

次に、抽象化部１１２は、全てのノードに対して優先度３の抽象化方法を適用する（ステップＳ１０７）。図１６に記載されたように、優先度３の抽象化方法は、緯度・経度で表された位置情報を直径５００ｍの範囲の円に拡大する（「位置を５００ｍ範囲に拡大」）ことである。この抽象化によって、ユーザの位置を正確に把握できる緯度・経度の情報から、５００ｍの範囲の中にいるといったあいまいな情報にすることができる。すなわち、３００ｍの範囲の中にいるという情報から、更に抽象化されてより匿名化された対象情報にすることができる。

すなわち、抽象化部１１２は、すべてのノードに対して、抽象化手法記憶部１１０に記憶された優先度３の抽象化手法を適用することによって、図２２のような対象情報（更に抽象化されてより匿名化された位置情報）を持つノードを生成する。黒点を含む円は、直径５００ｍの領域を表し、黒点によって表されるそれぞれの位置がぼやかされたことを表す。たとえば、ユーザＡの位置Ａ１とユーザＢの位置Ｂ１は同じ位置であると判断される。

検査部１１４は、再び、各ノードについて、同じ位置にいて、異なる移動情報を持つ他ユーザのノードが１つ以上あるかどうかを検査する（ステップＳ１０９）。そして、この場合、すべてのノードについて検査を通過する（ステップＳ１０９：Ｙｅｓ）ため、すべてのノードを構成する位置Ａ１、Ａ２、Ａ３を匿名情報記憶部１１６に記憶する（ステップＳ１１１）。

匿名情報記憶部１１６は、ユーザＡ、ユーザＢについては、例えば、図２３のように表すことができる。この図に示されるように、位置の範囲が広がり（抽象化され）、同じような位置にいるユーザが増えることにより匿名化が図られている。

（実施例３）
次に、本発明の情報管理装置の実施例として、閲覧者が匿名性の閾値の違いによるサンプルを参照しながら適切な閾値を決定する例（サンプル生成フェーズ）を説明する。本実施例は第３の実施の形態における一つの具体例を示している。

実施例２と同様に、情報受付部１０２は、ユーザＡ〜ユーザＨの位置情報を定期的に受け付け、例えば、地図上に記載したときに図２０で表されるような位置情報リストを利用者情報記憶部１０４に記憶する（ステップＳ１０１）。

検査部１１４に対して設定可能な閾値の値は、０、０．２、１のいずれかであるとする。閾値が０とは、ユーザのすべてのノードにおいて、位置情報が同じで移動情報が異なるユーザが一人も存在しなくてもよいことを表す。閾値が０．２とは、ユーザのすべてのノードの２０％のノードにおいて、位置情報が同じで移動情報が異なるユーザが少なくとも一人存在することを表す。閾値が１とは、ユーザのすべてのノードにおいて、位置情報が同じで移動情報が異なるユーザが少なくとも一人は存在することを表す。

提示部３０４は、まず、閾値として０を検査部１１４に設定する（ステップＳ３０１）。閾値が０の場合、優先度１の状態で検査を通ることになるため、図２４の位置情報がサンプルとして生成される（ステップＳ２０１、Ｓ１０５〜Ｓ１０９、Ｓ３０３）。

次に、提示部３０４は他の閾値を設定可能であるので（ステップＳ３０５：Ｙｅｓ）、提示部３０４は他の閾値として０．２を検査部１１４に設定する（ステップＳ３０１）。優先度２の抽象化手法を適用することによって、７つのノードのうち、２つのノードが検査を通るため、この状態における図２５のようなサンプルが生成される（ステップＳ２０１、Ｓ１０５〜Ｓ１０９、Ｓ３０３）。

さらに、提示部３０４は他の閾値を設定可能であるので（ステップＳ３０５：Ｙｅｓ）、提示部３０４は他の閾値として１を検査部１１４に設定する。実施例２において説明したように、優先度３の抽象化手法を適用することによって、７つすべてのノードが検査部の検査を通過するため、図２６のようなサンプルとして生成する。

提示部３０４は、以上によって生成された３つのサンプルと閾値の値をユーザＡに提示し、ユーザＡはサンプルを見比べて、ユーザＡが望む閾値の値を設定受付部３０２に設定する。

（実施例４）
次に、本発明の情報管理装置の実施例として、ＭＤＬＤ（多次元ｌ多様性）を満たす（ＭＤＬＤ保証が成立する）匿名化アルゴリズムについて図２７を参照して説明する。本実施例は第２の実施の形態における一つの変形例を示している。

まず、第２の抽出部２０６は、利用者情報記憶部１０４を参照して、対象ユーザの（緯度・経度形式のノードからなる）移動圏を導出する（ステップＳ４０１）。対象ユーザは全ユーザである。
ただし、移動圏は、ユーザがこれまでにいた一箇所以上の位置、もしくは、これから移動する一箇所以上の位置を表し、一つ以上のノードから構成される。そして、移動圏は、第２の実施の形態におけるべき集合の要素である部分集合（又は第２の実施の形態におけるノード）に対応する。また、本実施例におけるノードは、緯度・経度やメッシュコード（メッシュを識別するための数字表現のコード）で表されるユーザの一つの位置を表す。すなわち、当該ノードは、第２の実施の形態におけるノードに含まれる位置（情報）に対応する。また、メッシュは、例えば、総務省が定義する地域メッシュであり、対象となる種別は、１／４メッシュ（２５０ｍ四方）、１／２メッシュ（２５０ｍ四方）、２倍メッシュ（２ｋｍ四方）がある。

次に、第２の抽出部２０６は、対象ユーザの移動圏内のノードを緯度・経度から最小エリアに変換する（ステップＳ４０２）。例えば、移動圏を構成する緯度・経度形式のノードを１／４メッシュコードに変換する。対象ユーザは、全ユーザである。このとき、加工部１０８は各移動圏について所定の移動情報を抽出し、移動情報集合としてその移動圏に付与する。

そして、すべての対象ユーザについての匿名化が完了するまで（ステップＳ４０３：Ｙｅｓ）、一人の対象ユーザごとに、以下のステップＳ４０４〜Ｓ４０６の匿名化を繰り返す。

そして、検査部１１４は、全ノードのＭＤＬＤ適合率を算出する（ステップＳ４０４）。すなわち、あるユーザの移動圏に含まれる全ノードのＭＤＬＤ適合率を算出する。
ここで、ＭＤＬＤ適合率は、以下の通りである。ユーザの移動圏に含まれる（そのユーザの）位置（ノード）がｎ個あり、ある１個のノードに着目したとき、そのノードを含む位置の重なり方は２^ｎ−１通り存在し、その中からすべてのノードと重なる場合を除いた２^ｎ−１−１通りのうち、何通りが他ユーザ（一人以上であれば可）と重なっているのかを表す値をＭＤＬＤ適合率と呼ぶこととする。例えば、４個のノードｐ１、ｐ２、ｐ３、ｐ４を含む行動のうち、ある１個のノードｐ１に着目したとき、そのノードｐ１を含む位置の重なり方は、｛ｐ１｝、｛ｐ１，ｐ２｝、｛ｐ１，ｐ３｝、｛ｐ１，ｐ４｝、｛ｐ１，ｐ２，ｐ３｝、｛ｐ１，ｐ２，ｐ４｝、｛ｐ１，ｐ３，ｐ４｝であり、２^４−１−１＝７通り存在する。ここで｛ｐ１，ｐ２｝、｛ｐ１，ｐ４｝と同じ位置を行動範囲に含む他のユーザ（一人以上）しか存在しない場合、ＭＤＬＤ適合率は２／７となる。

抽象化部１１２は、ＭＤＬＤ適合率・ノード優先度が最も低いノードを抽象化・無効化する（ステップＳ４０５）。移動圏に含まれる有効ノード（無効化されていないノード）のうち、ＭＤＬＤ適合率が最も低いノードのエリアを１段階（例示：図１６に記載した優先度の段階）だけ抽象化する。ただし、該当するノードのエリアが２倍メッシュコードの場合、そのノードを無効化する（優先度４の位置情報削除に相当）。

ただし、移動圏に含まれる有効ノードのうちＭＤＬＤ適合率が最も低く、かつ、その中でノード優先度が最も低いノードのエリアを１段階だけ抽象化しても良い。ここで、ノード優先度とは、ノード自体の優先度であり、行動範囲の場合、自宅や勤務地等のより頻繁に訪れる場所の当該優先度を高くする。例えば、利用者情報記憶部１０４を参照して、各ノードについて訪問する頻度や滞在する頻度を抽出して比較することで、当該優先度を判断することができる。

検査部１１４は、全有効ノードのＭＤＬＤ適合率が１か否かを判定する（ステップＳ４０６）。すべての有効ノードの適合率が１になった時点で１ユーザの移動圏の匿名化処理を完了する。

以上示された各実施の形態（各実施例）において、実施の形態（実施例）間の各構成要素を任意の組合せたもの、各実施の形態（各実施例）の表現を方法、装置、記憶媒体、コンピュータプログラム等の間で変換したものもまた、本発明の態様として有効である。

また、各実施の形態（各実施例）の各種の構成要素は、必ずしも個々に独立した存在である必要はなく、複数の構成要素が一個の機器として形成されていること、一つの構成要素が複数の機器で形成されていること、ある構成要素が他の構成要素の一部であること、ある構成要素の一部と他の構成要素の一部とが重複していること、等でもよい。

また、各実施の形態（各実施例）のデータ処理方法およびコンピュータプログラムには複数の手順を順番に記載してあるが、その記載の順番は複数の手順を実行する順番を限定するものではない。このため、各実施の形態（各実施例）のデータ処理方法およびコンピュータプログラムを実施するときには、その複数の手順の順番は内容的に支障がない範囲で変更することができる。

さらに、各実施の形態（各実施例）のデータ処理方法およびコンピュータプログラムの複数の手順は個々に相違するタイミングで実行されることに限定されない。このため、ある手順の実行中に他の手順が発生すること、ある手順の実行タイミングと他の手順の実行タイミングとの一部ないし全部が重複していること、等でもよい。

以上、各実施の形態（各実施例）を参照して本発明を説明したが、本発明は上記各実施の形態（各実施例）に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。また、各実施の形態（各実施例）の技術は、技術的矛盾の発生しない限り互いに適用可能である。

この出願は、２００９年１０月９日に出願された特許出願番号２００９−２３４８９７号の日本特許出願に基づいており、その出願による優先権の利益を主張し、その出願の開示は、引用することにより、そっくりそのままここに組み込まれている。

Claims (16)

1. 複数の携帯端末から位置情報を定期的に受信する情報受付部と、ここで、前記位置情報は、前記携帯端末の位置を示す測位データと、前記測位データの測位時刻及び前記携帯端末のユーザの識別情報を有する付随データとを含み、
   前記情報受付部が受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、
   前記利用者情報記憶部に記憶されている行動履歴を構成する各位置情報について、それぞれ、単一の位置情報を対象情報とし、前記位置情報のユーザの識別情報と前記対象情報から構成されるノードを生成する第１の抽出部と、
   前記ノードに含まれる対象情報について、前記対象情報が示す位置に移動する前の位置を示す位置情報と前記対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合を前記ノードに登録する加工部と、
   位置情報に対する抽象化手法を記憶する抽象化手法記憶部と、
   前記ノードの対象情報に対して、前記抽象化手法記憶部に記憶される抽象化手法を適用する抽象化部と、
   前記抽象化部が抽象化した対象情報を有する前記ノードに対して、前記ノードのユーザの識別情報とは異なり、前記ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、前記ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、前記他ノードの数が閾値以上であったときに前記ノードの対象情報を匿名情報として出力する検査部と
   を備える
   情報管理装置。
2. 複数の携帯端末から位置情報を定期的に受信する情報受付部と、ここで、前記位置情報は、前記携帯端末の位置を示す測位データと、前記測位データの測位時刻及び前記携帯端末のユーザの識別情報を有する付随データとを含み、
   前記情報受付部が受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、
   前記利用者情報記憶部に記憶されている行動履歴を構成する１つ以上の位置情報についてべき集合を生成し、前記べき集合の各要素を対象情報とし、前記位置情報のユーザの識別情報と前記対象情報から構成されるノードを生成する第２の抽出部と、
   前記ノードに含まれる対象情報について、前記対象情報が示す位置に移動する前の位置を示す位置情報と前記対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合を前記ノードに登録する加工部と、
   位置情報に対する抽象化手法を記憶する抽象化手法記憶部と、
   前記ノードの対象情報に対して、前記抽象化手法記憶部に記憶される抽象化手法を適用する抽象化部と、
   前記抽象化部が抽象化した対象情報を有する前記ノードに対して、前記ノードのユーザの識別情報とは異なり、前記ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、前記ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、前記他ノードの数が閾値以上であったときに前記ノードの対象情報を匿名情報として出力する検査部と
   を備える
   情報管理装置。
3. 請求項１又は２に記載の情報管理装置において、
   前記抽象化手法記憶部は、抽象化手法と優先度とを関連付けて記憶し、
   前記抽象化部は、前記他ノードが閾値未満であったとき、更に、前記ノードの対象情報に対して、前記抽象化手法記憶部に記憶される抽象化手法のうち、抽象化回数に応じた優先度の抽象化手法で抽象化を行い、
   前記検査部は、更に前記抽象化部が抽象化した対象情報を有する前記ノードに対して、前記他ノードを抽出し、前記他ノードの数が閾値以上であったときに前記ノードの対象情報を前記匿名情報として出力する
   情報管理装置。
4. 請求項２に記載の情報管理装置において、
   前記検査部は、前記対象情報に含まれる全ての位置情報について、１個の位置情報ごとに多様性適合率を計算し、前記全ての位置情報の前記多様性適合率が閾値以上の場合、前記ノードの対象情報を匿名情報として出力し、
   ここで、前記１個の位置情報の前記多様性適合率は、前記全ての位置情報がｎ個のとき、当該１個の位置情報を含む位置の重なり方である２^ｎ−１通りから前記全ての位置情報と重なる場合を除いた（２^ｎ−１−１）通りのうち、何通りが他ユーザの位置情報と重なっているかを表す値であり、
   前記全ての位置情報の前記多様性適合率が閾値未満の場合、前記抽象化部は、前記多様性適合率の最も低い前記１個の位置情報を更に１段階抽象化する
   情報管理装置。
5. 請求項１乃至４のいずれか一項に記載の情報管理装置において、
   前記抽象化手法は、測位時刻の抽象化、ユーザ識別情報の削除、測位データの抽象化、及び位置情報の一部削除のうちのいずれか一つである
   情報管理装置。
6. 請求項２に記載の情報管理装置において、
   前記抽象化手法記憶部に対して、抽象化手法の追加、削除、変更等の管理を行うための管理部
   をさらに備える
   情報管理装置。
7. 請求項２に記載の情報管理装置において、
   前記検査部を通過する閾値を設定可能な設定受付部
   をさらに備える
   情報管理装置。
8. 請求項７に記載の情報管理装置において、
   前記閾値の違いによって前記検査部を通過する前記匿名情報の違いをユーザに提示する提示部
   をさらに備える
   情報管理装置。
9. 情報管理装置のデータ処理方法であって、
   前記情報管理装置は、
   複数の携帯端末から受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、ここで、前記位置情報は、前記携帯端末の位置を示す測位データと、前記測位データの測位時刻及び前記携帯端末のユーザの識別情報を有する付随データとを含み、
   位置情報に対する抽象化手法を記憶する抽象化手法記憶部と
   を備え、
   前記データ処理方法は、
   前記複数の携帯端末から位置情報を定期的に受信して前記利用者情報記憶部に記憶するステップと、
   前記利用者情報記憶部に記憶されている行動履歴を構成する各位置情報について、それぞれ、単一の位置情報を対象情報とし、前記位置情報のユーザの識別情報と前記対象情報から構成されるノードを生成するステップと、
   前記ノードに含まれる対象情報について、前記対象情報が示す位置に移動する前の位置を示す位置情報と前記対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合を前記ノードに登録するステップと、
   前記ノードの対象情報に対して、前記抽象化手法記憶部に記憶される抽象化手法を適用するステップと、
   前記抽象化手法を適用するステップにより抽象化した対象情報を有する前記ノードに対して、前記ノードのユーザの識別情報とは異なり、前記ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、前記ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、前記他ノードの数が閾値以上であったときに前記ノードの対象情報を匿名情報として出力するステップと
   を備える
   データ管理方法。
10. 情報管理装置のデータ処理方法であって、
    前記情報管理装置は、
    複数の携帯端末から受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、ここで、前記位置情報は、前記携帯端末の位置を示す測位データと、前記測位データの測位時刻及び前記携帯端末のユーザの識別情報を有する付随データとを含み、
    位置情報に対する抽象化手法を記憶する抽象化手法記憶部と
    を備え、
    前記データ処理方法は、
    前記複数の携帯端末から位置情報を定期的に受信して前記利用者情報記憶部に記憶するステップと、
    前記利用者情報記憶部に記憶されている行動履歴を構成する１つ以上の位置情報についてべき集合を生成し、前記べき集合の各要素を対象情報とし、前記位置情報のユーザの識別情報と前記対象情報から構成されるノードを生成するステップと、
    前記ノードに含まれる対象情報について、前記対象情報が示す位置に移動する前の位置を示す位置情報と前記対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合を前記ノードに登録するステップと、
    前記ノードの対象情報に対して、前記抽象化手法記憶部に記憶される抽象化手法を適用するステップと、
    前記抽象化手法を適用するステップにより抽象化した対象情報を有する前記ノードに対して、前記ノードのユーザの識別情報とは異なり、前記ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、前記ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、前記他ノードの数が閾値以上であったときに前記ノードの対象情報を匿名情報として出力するステップと
    を備える
    データ管理方法。
11. 請求項９又は１０に記載のデータ管理方法において、
    前記抽象化手法記憶部は、抽象化手法と優先度とを関連付けて記憶し、
    前記他ノードが閾値未満であったとき、更に、前記ノードの対象情報に対して、前記抽象化手法記憶部に記憶される抽象化手法のうち、抽象化回数に応じた優先度の抽象化手法で抽象化を行うステップと、
    更に前記抽象化手法を適用するステップにより抽象化した対象情報を有する前記ノードに対して、前記他ノードを抽出し、前記他ノードの数が閾値以上であったときに前記ノードの対象情報を前記匿名情報として出力するステップと
    を更に備える
    データ管理方法。
12. 請求項１０に記載のデータ管理方法において、
    前記ノードの対象情報を匿名情報として出力するステップは、
    前記対象情報に含まれる全ての位置情報について、１個の位置情報ごとに多様性適合率を計算し、前記全ての位置情報の前記多様性適合率が閾値以上の場合、前記ノードの対象情報を匿名情報として出力するステップを含み、
    ここで、前記１個の位置情報の前記多様性適合率は、前記全ての位置情報がｎ個のとき、当該１個の位置情報を含む位置の重なり方である２^ｎ−１通りから前記全ての位置情報と重なる場合を除いた（２^ｎ−１−１）通りのうち、何通りが他ユーザの位置情報と重なっているかを表す値であり、
    前記抽象化手法を適用するステップは、
    前記全ての位置情報の前記多様性適合率が閾値未満の場合、前記多様性適合率の最も低い前記１個の位置情報を１段階抽象化するステップを含む
    データ管理方法。
13. 情報管理装置のデータ処理方法をコンピュータに実行させるプログラムであって、
    前記情報管理装置は、
    複数の携帯端末から受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、ここで、前記位置情報は、前記携帯端末の位置を示す測位データと、前記測位データの測位時刻及び前記携帯端末のユーザの識別情報を有する付随データとを含み、
    位置情報に対する抽象化手法を記憶する抽象化手法記憶部と
    を備え、
    前記プログラムは、
    前記複数の携帯端末から位置情報を定期的に受信して前記利用者情報記憶部に記憶するステップと、
    前記利用者情報記憶部に記憶されている行動履歴を構成する各位置情報について、それぞれ、単一の位置情報を対象情報とし、前記位置情報のユーザの識別情報と前記対象情報から構成されるノードを生成するステップと、
    前記ノードに含まれる対象情報について、前記対象情報が示す位置に移動する前の位置を示す位置情報と前記対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合を前記ノードに登録するステップと、
    前記ノードの対象情報に対して、前記抽象化手法記憶部に記憶される抽象化手法を適用するステップと、
    前記抽象化手法を適用するステップにより抽象化した対象情報を有する前記ノードに対して、前記ノードのユーザの識別情報とは異なり、前記ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、前記ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、前記他ノードの数が閾値以上であったときに前記ノードの対象情報を匿名情報として出力するステップと
    を備えるデータ管理方法をコンピュータに実行させるプログラム。
14. 情報管理装置のデータ処理方法をコンピュータに実行させるプログラムであって、
    前記情報管理装置は、
    複数の携帯端末から受信した位置情報をユーザ毎に行動履歴として記憶する利用者情報記憶部と、ここで、前記位置情報は、前記携帯端末の位置を示す測位データと、前記測位データの測位時刻及び前記携帯端末のユーザの識別情報を有する付随データとを含み、
    位置情報に対する抽象化手法を記憶する抽象化手法記憶部と
    を備え、
    前記プログラムは、
    前記複数の携帯端末から位置情報を定期的に受信して前記利用者情報記憶部に記憶するステップと、
    前記利用者情報記憶部に記憶されている行動履歴を構成する１つ以上の位置情報についてべき集合を生成し、前記べき集合の各要素を対象情報とし、前記位置情報のユーザの識別情報と前記対象情報から構成されるノードを生成するステップと、
    前記ノードに含まれる対象情報について、前記対象情報が示す位置に移動する前の位置を示す位置情報と前記対象情報が示す位置から移動した後の位置を示す位置情報の少なくとも一方を要素とする移動情報集合を前記ノードに登録するステップと、
    前記ノードの対象情報に対して、前記抽象化手法記憶部に記憶される抽象化手法を適用するステップと、
    前記抽象化手法を適用するステップにより抽象化した対象情報を有する前記ノードに対して、前記ノードのユーザの識別情報とは異なり、前記ノードの対象情報の位置と同じ位置又は前記ノードの対象情報の位置に含まれる位置の対象情報を持ち、前記ノードの移動情報集合との積集合が空集合となる移動情報集合を持つ他ノードを抽出し、前記他ノードの数が閾値以上であったときに前記ノードの対象情報を匿名情報として出力するステップと
    を備えるデータ管理方法をコンピュータに実行させるプログラム。
15. 請求項１３又は１４に記載のプログラムにおいて、
    前記抽象化手法記憶部は、抽象化手法と優先度とを関連付けて記憶し、
    前記他ノードが閾値未満であったとき、更に、前記ノードの対象情報に対して、前記抽象化手法記憶部に記憶される抽象化手法のうち、抽象化回数に応じた優先度の抽象化手法を適用するステップと、
    更に前記抽象化手法を適用するステップにより抽象化した対象情報を有する前記ノードに対して、前記他ノードを抽出し、前記他ノードの数が閾値以上であったときに前記ノードの対象情報を前記匿名情報として出力するステップとを更に備えるデータ管理方法をコンピュータに実行させるプログラム。
16. 請求項１４に記載のプログラムにおいて、
    前記ノードの対象情報を匿名情報として出力するステップは、
    前記対象情報に含まれる全ての位置情報について、１個の位置情報ごとに多様性適合率を計算し、前記全ての位置情報の前記多様性適合率が閾値以上の場合、前記ノードの対象情報を匿名情報として出力するステップを含み、
    ここで、前記１個の位置情報の前記多様性適合率は、前記全ての位置情報がｎ個のとき、当該１個の位置情報を含む位置の重なり方である２^ｎ−１通りから前記全ての位置情報と重なる場合を除いた（２^ｎ−１−１）通りのうち、何通りが他ユーザの位置情報と重なっているかを表す値であり、
    前記抽象化手法を適用するステップは、
    前記全ての位置情報の前記多様性適合率が閾値未満の場合、前記多様性適合率の最も低い前記１個の位置情報を１段階抽象化するステップを含むデータ管理方法をコンピュータに実行させるプログラム。
    

Images