JP6053181B2 - 情報収集システムとその情報収集装置、情報提供装置、匿名情報収集方法及びプログラム - Google Patents

Description

この発明は、情報収集者が情報提供者からその個人情報を匿名化して収集するための情報収集システムとその情報収集装置、情報提供装置、情報収集方法及びプログラムに関する。

ユーザの手元にあるデータベース上の個人情報を匿名化して第三者に提供、又は公に公開する手法として、k-匿名化アルゴリズムが知られている。k-匿名化アルゴリズムは、事前に決められたkに対してk-匿名を満たすように匿名化処理する。図３４はその一例を示す図である。k-匿名化処理では、個人情報を識別子、準識別子、機微情報、機微でない情報の４種類に分割する。識別子は名前等の本人を直接識別できる情報、準識別子は他のデータベースとの組み合わせによって個人を識別する可能性がある情報である。k-匿名化アルゴリズムでは、識別子を公開する際に除外すれば、情報を悪用しようとする人たちに準識別子が既に知られていると仮定しても、k-匿名化が成り立っているときには、同じ準識別子を持つタプルが少なくとも（k-1）行あるため、個人と機微情報との対応関係はｋ分の１までしか絞り込むことができない（例えば非特許文献１を参照）。

また、与えられたデータベースの属性を一般化して除外することで匿名化を行うアルゴリズムも知られている。一般化とは、情報を分類上で一つ上の抽象度の値に変更する処理のことであり、例えば「武蔵野市」を一般化すると「東京都」になる。

一方、匿名通信技術の１つとして、TCP/IPにおける接続経路の匿名化を実現する技術が既に確立されている。例えば、Tor（The Onion Router）、TCP/IPにおける接続経路の匿名化を実現するための規格、及びそのリファレンス実装であるソフトウェアがこれに該当する（例えば非特許文献２を参照）。これらの匿名通信技術を適用すると、通信相手に通信元のＩＰアドレスを知られることなく通信を行うことが可能となる。

"Privacy-preserving data publishing": A survey of recent developments (Journal ACM Computing Surveys (CSUR) Surveys Homepage archive Volume 42 Issue 4, June 2010 Article No. 14 ) Tor: The Second-Generation Onion Router、インターネット＜URL:https://www.torproject.org/docs/documentation.html.en#DesignDoc https://svn.torproject.org/svn/projects/design-paper/tor-design.pdf＞

ところが、従来の匿名化技術には以下のような課題があった。
（１）データ収集者に対する匿名性
従来の匿名化技術は、既に多くの人の個人情報を持っている情報収集者がその情報を公開又は情報利用者に提供する際に、個人情報を匿名化することを目的としている。しかしこの場合、情報提供者から情報収集者へ個人情報を提供する際には、匿名化通信を適用してはいても、個人情報自体に対しては匿名化処理が行われないため、情報提供者の機微な情報の内容と自身との間の対応関係が情報収集者に推測されてしまうおそれがある。個人と機微な情報との対応関係が知られてしまうと、その情報が悪用されて情報提供者が不利益を被る。一方、悪用される可能性を恐れて情報提供者が情報提供に応じないと、情報分析に支障を来し情報収集者が不利益を被る。

例えば、個人と機微情報の対応関係が知られてしまう例として、情報収集者が（誕生日、性別、病気）の３つの内容の個人情報を集めている場合が考えられる。ここで、「病気」が機微な情報で、「誕生日」と「性別」が準識別子だとすると、従来の匿名化技術を用いると情報提供者は匿名通信により例えば（４月１２日生、男、ガン）のような情報を匿名で提供することができる。この方法では通信先から個人が特定されることはないが、情報の内容から個人と機微情報との間の対応関係が情報収集者に知られる可能性がある。情報収集者が既に（４月１２日生、男）はＡさんであることを知っている場合には、Ａさんがガンであることが情報収集者に推測されてしまう。

（２）個人の希望する匿名性の反映、提供者の人数
情報収集者が情報提供者から収集した個人情報を情報利用者に提供する際に、情報提供者は自身が提供した個人情報に対しどの程度の匿名化をして欲しいか要望を出すことができなかった。仮に要望を出したとしても、従来の技術では事前に決められている匿名度ｋに対して匿名化処理が行われるので、情報提供者からの匿名化の要望を取り入れることができなかった。そのため、情報提供者から機微な情報を情報収集者が集める際に、「自分の希望する匿名性が保障されない」、「実現される匿名性が分からない」等の理由で情報提供者候補が情報提供を断り、情報収集者が必要としている人数分の個人情報を集めることが困難になる場合があった。

（３）情報の有用性の確保
情報提供者からの情報提供を推進するには、情報提供者が希望する匿名化を取り入れればよい。しかし、情報提供者の要望だけを取り入れて匿名化・一般化の処理を行うと、過度な匿名化が行われる可能性がある。匿名化し過ぎると情報収集者にとって収集した情報の有用性がなくなってしまい、その後の情報分析や情報利用者への分析結果の情報提供を行うことができなくなってしまう。

この発明は上記事情に着目してなされたもので、その目的とするところは、情報提供者に対しては希望する匿名性を保障し、情報収集者に対しては収集した情報の有効性を保障することを可能にした情報収集システムとその情報収集装置、情報提供装置、情報収集方法及びプログラムを提供することにある。

上記目的を達成するためにこの発明の第１の観点は、情報収集装置が複数の情報提供装置からその情報提供者の個人情報を匿名化して収集する情報収集システムにあって、上記情報収集装置では、上記個人情報のうち収集を要求する機微情報の種類と、情報提供者を間接的に特定する準識別子の種類とを含む収集要求情報を生成し、当該生成された収集要求情報を上記複数の情報提供装置のうち情報提供者候補となる情報提供装置群へ選択的に送信する。これに対し上記複数の情報提供装置は、上記収集要求情報を受信した場合に、当該収集要求情報に含まれる準識別子の種類に対応する値を個人情報記憶部から読み出し、当該読み出された準識別子の値と、情報提供者が希望する匿名度を表す情報を、上記情報収集装置へ返信する。また上記情報収集装置は、上記情報提供者候補となる情報提供装置群から返信された準識別子の値及び希望する匿名度と、準識別子に対し予め設定した一般化許容条件及び情報収集希望者数とに基づいて、上記一般化許容条件の範囲内で情報提供候補者数が上記情報収集希望者数以上となる実現可能匿名度と一般化方法を決定し、当該決定された実現可能匿名度と、上記一般化方法により一般化された上記準識別子を上記複数の情報提供装置へ送信する。これに対し上記複数の情報提供装置は、上記情報収集装置から送信された実現可能匿名度と一般化された準識別子を受信した場合に、当該受信された実現可能匿名度を上記情報提供者が希望する匿名度と比較し、実現可能匿名度が希望する匿名度より高い場合に、上記収集要求情報に含まれる機微情報の種類に対応する機微情報を上記個人情報記憶部から読み出して、上記要求元の情報収集装置へ送信するようにしたものである。

この発明の第２の観点は、上記実現可能匿名度と一般化方法を決定する際に、上記実現可能匿名度と一般化方法の決定に失敗した場合に、上記情報提供者候補を増加させ、この増加された情報提供者候補について上記第１及び第２の手段と協同して上記実現可能匿名度と一般化方法の決定処理を再度実行するようにしたものである。

この発明の第１の観点によれば、情報提供装置から情報収集装置へ個人情報を送信する際に、当該個人情報の準識別子が情報提供者の希望する匿名度に応じて一般化される。このため、情報収集装置に収集された個人情報の中には同じ準識別子を有する個人情報が必ず複数存在することになり、これにより仮に情報収集者がある情報提供者についての事前知識を有していたとしても、当該情報提供者から提供された情報を特定することは困難となる。

また、情報提供者が自身の機微情報の提供に先立ち希望する匿名度を情報収集装置に伝え、情報収集装置はこの通知された希望する匿名度を１つの条件として、実現可能な匿名度を決定して情報提供者に要求するようにしているので、情報提供者にとっては希望する匿名性が保障され、さらに実現される匿名性を確認することができ、これにより不安は解消される。

さらに、情報収集装置では、予め設定された一般化許容条件の範囲内で情報提供候補者数が予め設定した情報収集希望者数以上となるように実現可能匿名度と一般化方法が決定されるので、過度な匿名度を希望している提供候補者を切り捨て、データ収集者側が集めたい精度と同等、もしくはそれ以下の匿名度を希望している情報提供者候補から情報提供を受けることが可能となる。すなわち、過度な匿名化が行われることを防止して提供された情報の有用性を保障することができる。

この発明の第２の観点によれば、実現可能匿名度と一般化方法を決定する際に、当該決定処理が成功したか失敗したかが判定され、失敗した場合には情報提供者候補を増加させて、この増加された情報提供者候補を対象に実現可能匿名度と一般化方法の決定処理が再度実行される。このため、情報収集者が有効な分析等を行うに必要な情報提供者数をより確実に確保することが可能となり、これにより収集情報の有効性をさらに高めることができる。

すなわちこの発明によれば、情報提供者に対しては希望する匿名性を保障し、情報収集者に対しては収集した情報の有効性を保障することを可能にした情報収集システムとその情報収集装置、情報提供装置、情報収集方法及びプログラムを提供することができる。

この発明の第１の実施形態における情報収集システムの概要を示す図。 この発明の第１の実施形態における匿名度・一般化決定処理の概要を示す図。 一般化の種類の一例を示す図。 この発明の第１の実施形態に係る情報収集システムの全体構成を示す概略図。 図４に示したシステムの情報提供装置の機能構成を示すブロック図。 図４に示したシステムの情報収集装置の機能構成を示すブロック図。 図５に示した情報提供装置及び図６に示した情報収集装置内の各処理部間の情報の流れを示す図。 図４に示したシステムの全体の処理の流れを示すフローチャート。 図８に示したフローチャートのうち管理部の処理１の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち提供判定部の処理１の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち管理部の処理２の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち終了判定部の処理の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち匿名度検査部の処理の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち一般化処理部の処理の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち管理部の処理３の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち提供判定部の処理２の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち匿名度決定部の処理１の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち匿名度決定部の処理２の手順と処理内容の一例を示す図。 図８に示したフローチャートのうち個人情報管理部の処理の手順と処理内容の一例を示す図。 図７に示したシステムによる第１の動作を示すシーケンス図。 図７に示したシステムによる第２の動作を示すシーケンス図。 図７に示したシステムによる第３の動作を示すシーケンス図。 この発明の第２の実施形態の課題を説明するための図。 この発明の第２の実施形態に係る情報収集システムの概略構成図。 この発明の第２の実施形態に係る情報収集システムにおける情報の流れを示すシーケンス図。 この発明の第３の実施形態に係る情報収集システムの概略構成図。 この発明の第４の実施形態に係る情報収集システムの概略構成図。 この発明の第４の実施形態におけるシステムの動作を示すシーケンス図。 この発明の第４の実施形態におけるシステムの動作を示すシーケンス図。 この発明の第４の実施形態の別の実施例を説明するための図。 この発明の第５の実施形態の課題を説明するための図。 この発明の第５の実施形態に係る情報収集システムの概略構成図。 この発明の第１の実施形態による効果を説明するための図。 従来の匿名化技術の処理の一例を示す図。

以下、図面を参照してこの発明に係わる実施形態を説明する。
［第１の実施形態］
（概要）
図１は、この発明に係る情報収集方法の第１の実施形態の概要を示すもので、図中の１は情報提供者側の装置を、２は情報収集者側の装置をそれぞれ示している。
情報提供者が所有する個人情報を匿名化して情報収集者が収集する際に、先ずステップＳＴ１において情報収集側の装置２から情報提供者候補の装置１に対し、使用する準識別子の種類と欲しい機微情報の種類を通知する。これに対し情報提供者候補の装置１はステップＳＴ２において準識別子の種類に対応する値と希望する匿名度を情報収集者側の装置２に返答する。この返答を受けて情報収集側の装置２は、ステップＳＴ３において実施可能な匿名度と一般化の方法を決定する処理を行い、この決定した実現可能な匿名度と一般化の方法をステップＳＴ４により情報提供者候補の装置１へ通知する。情報提供者候補の装置１は、ステップＳＴ５において、上記通知された匿名度と一般化の方法に従い、一般化した準識別子の値と機微情報を情報収集側の装置２へ送信する。

上記処理手順のうち実施可能な匿名度と一般化の方法を決定する処理は、以下のように行われる。図２はその概要を示すものである。すなわち、先ず準識別子ごとに実現可能なもので最大の匿名度を求める。その結果、実現可能な匿名がなかった準識別子については一般化処理を行い、上記最大の匿名度の算出処理に戻る。以上の処理を一般化許可条件で定義された一般化回数の上限になるまで繰り返す。そして、情報提供者候補の数が希望する数に達したならば終了し、人数が足りない場合には情報提供者候補を増やしてリトライする。

一般化処理には、具体的なものを抽象化する処理と、準識別子の種類を減らす処理がある。前者は、例えば図３に示すように「東京都武蔵野市」を「東京都」する処理である。後者は、例えば図３に示すように、使用する準識別子（誕生日、性別、住所）から「住所」を除外して、使用する準識別子を（誕生日、性別）のみにする処理である。これらは一般化の許可条件で定義される。

（構成）
図４は、この発明の第１の実施形態における情報収集システムの全体構成を示す図である。このシステムは、複数の情報提供者がそれぞれ使用する情報提供装置ＴＭ１〜ＴＭｎと、情報収集者が使用する情報収集装置ＳＶとを備え、これらの装置間で通信ネットワークＮＷを介して情報提供者の個人情報を匿名化して収集するための処理を実行するようにしたものである。

通信ネットワークＮＷは、インターネットと、このインターネットにアクセスするためのアクセス網とから構成される。アクセス網としては、有線電話網、ＣＡＴＶ（Cable Television）網、有線ＬＡＮ、携帯電話網やWiMAX（登録商標）、無線ＬＡＮ等の移動通信網が用いられる。

情報収集装置ＳＶは、例えばクラウド又はＷｅｂ上に配置されたサーバコンピュータからなり、図６に示すように制御ユニット６０と、記憶ユニット７０と、通信インタフェース８０を備えている。

通信インタフェース８０は、上記通信ネットワークＮＷを介して各情報提供装置ＴＭ１〜ＴＭｎとの間で情報通信を行うもので、通信プロトコルとしては例えばＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）が用いられる。

制御ユニット６０はＣＰＵ（Central Processing Unit）を有し、この発明を実施するための処理機能として、管理部６１と、匿名度決定部６２と、終了判定部６３と、匿名度検査部６４と、一般化処理部６５を備えている。これらの処理機能は何れも記憶ユニット７０に格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

図７は、先に述べた情報提供装置ＳＶ内、及び情報収集装置ＴＭ１〜ＴＭｎ内の各部間の情報の流れを示す図である。

管理部６１は、以下の処理機能を有する。
(1) 情報収集処理の開始に先立ち、使用する準識別子の種類及び欲しい機微情報の種類を決定し、さらに一般化ツリー、希望の参加人数及び一般化回数の上限を決定する。そして、上記決定した使用する準識別子の種類及び欲しい機微情報の種類を、通信インタフェース８０から情報提供者候補となる情報提供装置ＴＭ１〜ＴＭｉへそれぞれ送信する。なお、情報提供者候補となる情報提供装置は、希望する情報収集希望者数（希望参加人数）より多くなるように設定する。またそれと共に、希望の参加人数及び一般化回数の上限値を終了判定部６３に通知し、さらに一般化ツリーを一般化処理部６５に通知する処理。

(2) 全ての情報提供者候補の情報提供装置ＴＭ１〜ＴＭｉから、準識別子の値と希望匿名度とのペア（以後タプルと呼ぶ）が通信インタフェース８０を介して受信された場合に、この受信された各タプルを準識別子の値が等しいグループに分ける。そして、当該分割された各グループを匿名度決定部６２に通知する。また、情報提供者候補数が希望参加人数に満たない場合には、匿名度がNULLでないグループを参加グループ表に加えると共に、全タプル、実現可能匿名度及び参加グループ表を終了判定部６３に通知する処理。
なお、後に情報提供者候補を追加し、当該追加した情報提供者候補の情報提供装置ＴＫｊから準識別子の値及び希望匿名度を受信した場合には、当該タプルを上記先に受信したタプル群に追加する。全グループの結果を匿名度決定部から受信する。

(3) 終了判定部６３から全タプル、実現可能匿名度、実行済一般化表及び参加グループ表を受け取った場合に、先ず参加数ｎを計算する。参加数ｎは参加グループ表内のグループの実現可能匿名度の和として求められる。次に上記計算された参加数ｎと希望の参加人数Ｎとの比較を行い、ｎ≧Ｎならば「成功」と判定し、ｎ＜Ｎならば「失敗」と判定とする。そして、判定結果が「成功」だった場合には、各提供者候補に関係がある実現可能匿名度及び実行済一般化の情報を、通信インタフェース８０から情報提供候補の情報提供装置ＴＭ１〜ＴＭｉへ送信する。これに対し、判定結果が「失敗」だった場合には、情報提供者候補を追加し、この追加した情報提供者候補の情報提供装置ＴＭｊ，ＴＭｋ，…へ、使用する準識別子と欲しい機微情報の取得要求を送信する処理。

匿名度決定部６２は、上記管理部６１及び一般化処理部６５から準識別子の値が等しいグループを入力として受け取った場合に、この受け取ったグループに含まれるタプルを希望匿名度の昇順に並べる。そして、自分の希望匿名度≦自分の順位を満たすタプルに標を付け、当該標がついたタプルの中で順位が最大のタプルの順位を実現可能匿名度とし、標がついているタプルがないグループの実現可能匿名度をNULLとする。そして、上記求めた実現可能匿名度を管理部６１に返す処理を行う。

終了判定部６３は、以下の処理機能を有する。
(1) 管理部６１、匿名度検査部６４及び一般化処理部６５から、実現可能匿名度、実行済一般化情報、参加グループ表及び全タプルを受け取った場合に、この受け取った実現可能匿名度及び実行済一般化情報から、一般化を行った回数を計算する。そして、一般化を行った回数ｍを一般化回数の上限Ｍと比較し、Ｍ＞ｍであれば一般化が可能と判定し、Ｍ≦ｍであれば成功・失敗と判定する処理。

(2) 一般化が可能と判定した場合には、入力された実現可能匿名度、実行済一般化、参加グループ表及び全タプルを匿名度検査部６４に送る。一方、成功・失敗と判定した場合には、当該判定結果と、上記入力された実現可能匿名度、実行済一般化、参加グループ表及び全タプルを管理部６１に送る処理。

匿名度検査部６４は、以下の処理機能を有する。
(1) 終了判定部６３から全タプル、実現可能匿名度、実行済一般化及び参加グループ表を受け取った場合に、先ず参加グループ表に存在しないグループで実現可能匿名度がNULLではない準識別子グループを探す。そして、この条件を満たすグループが存在した場合には、その中で実現可能匿名度が最も高いグループを参加グループ表に加える処理。

(2) これに対し、上記条件を満たすグループがなかった場合には、上記受け取った全タプル、実現可能匿名度、実行済一般化及び参加グループ表をそのまま一般化処理部６５に送る。また、上記条件を満たすグループがあり参加グループ表を更新した場合には、全タプル、実現可能匿名度、実行済一般化及び更新した参加グループ表を終了判定部６３に送る処理。

一般化処理部６５は、以下の処理機能を有する。
(1) 匿名度検査部６４から全タプル、実現可能匿名度、実行済一般化及び参加グループ表を受け取った場合に、参加グループ表にない準識別子グループの中で一般化が可能な全組み合わせを作成する。その結果、条件を満たす組み合わせが存在しない場合には、現在の準識別子の中で一般化が可能な全組み合わせを作成する。そして、上記作成された全組み合わせについて準識別子の一般化処理を行い、等しい準識別子グループに分別して当該グループを匿名度決定部６２に送信すると共に、行った一般化処理を実行済一般化表に記録する処理。

(2) 全組み合わせの実現可能匿名度を匿名度決定部６２から受信した場合に、全組み合わせの中で実現可能匿名度が最も大きいグループを参加グループ表に加える。またそれと共に、実行済一般化表を更新する。そして、全タプル、更新した実現可能匿名度、実行済一般化及び参加グループ表を終了判定部６３に送る処理。

情報提供装置ＴＭ１〜ＴＭｎは、例えばパーソナルコンピュータ等の固定端末、携帯電話機やスマートホン、ＰＤＡ（Personal Digital Assistant）、タブレット型端末等の携帯端末からなり、図５に示すように制御ユニット１０と、記憶ユニット２０と、キーボード又はタブレットからなる入力デバイス３０と、液晶表示器からなる表示デバイス４０と、通信インタフェース５０を備えている。

通信インタフェース５０は、上記通信ネットワークＮＷを介して情報収集装置ＳＶとの間で情報通信を行うもので、通信プロトコルとしては例えばＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）が用いられる。

制御ユニット１０はＣＰＵ（Central Processing Unit）を有し、この発明を実施するための処理機能として提供判定部１１及び個人情報管理部１２を備えている。これらの処理機能は何れも記憶ユニット２０に格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

提供判定部１１は、以下の処理機能を有する。
(1) 情報収集装置ＳＶから要求情報（使用する準識別子、欲しい機微情報）を通信インタフェース５０を介して受信した場合に、準識別子の値を個人情報管理部１２に要求して取得し、機微情報の提供に要求する希望匿名度の値を決定する。そして、上記取得した準識別子の値と上記決定した希望匿名度をペアにして、通信インタフェース５０から上記情報収集装置ＳＶへ返送する処理。

(2) 情報収集装置ＳＶから使用する準識別子の値と、実現可能匿名度の情報を通信インタフェース５０を介して受信した場合に、当該受信した実現可能匿名度を希望匿名度と比較する。そして、実現可能匿名度が希望匿名度より小さい場合は個人情報を提供しないことに決定して、拒否通知を通信インタフェース５０から情報収集装置ＳＶへ送信する。また、実現可能匿名度が希望匿名度以上であった場合には、収集者が取得を希望している個人情報を個人情報管理部１２に要求して該当する個人情報を取得し、この取得した個人情報を一般化した準識別子の値と機微情報の値を、匿名通信技術を使用して通信ネットワーク５０から情報収集装置ＳＶへ送信する処理。

個人情報管理部１２は、提供判定部１１からの取得要求に応じて記憶ユニット２０をアクセスし、当該記憶ユニット２０から上記要求された情報を読み出して提供判定部１１に返す処理を行う。

（動作）
次に、以上のように構成された情報収集装置ＳＶ及び情報提供装置ＴＭ１〜ＴＭｎの動作を説明する。図８はその全体の処理の流れを示すフローチャート、図９乃至図１９は各処理部の処理手順と処理内容を示すフローチャートである。

先ずステップＳ１において、情報収集装置ＳＶの管理部６１から情報提供者候補となる情報提供装置ＴＭ１〜ＴＭｉに対し、個人情報の提供を要求するための情報を送信する処理１が以下のように行われる。図９はその処理手順と処理内容を示すフローチャートである。

すなわち、先ずステップＳ１１において、使用する準識別子と、欲しい機微情報が決定される。例えば、使用する準識別子は「誕生日」、欲しい機微情報は「病気」に決定される。続いてステップＳ１２により、一般化ツリー、希望の参加人数及び一般化回数の上限が決定される。例えば、一般化ツリーは「○年×月△日→○年×月→○年」、参加人数は「１００人」、一般化回数の上限は「１２」と決定される。

以上のように決定された各情報のうち、使用する準識別子及び欲しい機微情報は、ステップＳ１３において情報提供者候補となる情報提供装置ＴＭ１〜ＴＭｉへ送信される。なお、情報提供者候補は希望する参加人数より多く設定される。また、上記希望の参加人数、一般化回数の上限の種類数は終了判定部６３に通知され、一般化ツリーは一般化処理部６５に通知される。

次にステップＳ２では、情報提供者候補となる情報提供装置ＴＭ１〜ＴＭｉにおいてそれぞれ希望する匿名度の値を決定する処理が行われる。図１０はその処理手順と処理内容を示すフローチャートである。

情報提供装置ＴＭ１〜ＴＭｉでは、上記使用する準識別子及び欲しい機微情報が受信されると、先ずステップＳ２１で提供判定部１１から個別情報管理部１２に対し準識別子の値が要求される。この要求に対し個別情報管理部１２では、図１９に示すようにステップＳ１１１により記憶ユニット２０から上記要求された情報が読み出され、提供判定部１１に返送される。
例えば、上記要求する準識別子の値が「誕生日」であれば、情報提供装置ＴＭ１では「１９９９年７月１５日」が読み出され、また情報提供装置ＴＭ２では「１９８６年１１月１９日」が読み出されて、提供判定部１１に返送される。

提供判定部１１では、上記返送された準識別子の値がステップＳ２２で受信されると、ステップＳ２３において機微情報の提供に対する希望匿名度の値が決定される。例えば、情報提供装置ＴＭ１では“５”、情報提供装置ＴＭ２では“１０”とそれぞれ決定される。そして、上記読み出された準識別子の値と上記決定された希望匿名度の値とのペアが、上記要求元の情報収集装置ＳＶへ返送される。

次にステップＳ３では、情報収集装置ＳＶの管理部６１により以下のような処理が行われる。図１１はその処理手順と処理内容を示すフローチャートである。
すなわち、全ての情報提供者候補の情報提供装置ＴＭ１〜ＴＭｉからそれぞれ準識別子の値と希望匿名度の値とのペア（タプル）を受信したことがステップＳ３１で確認されると、先ずステップＳ３２において、上記受信された各タプルが準識別子の値の等しいグループに分けられる。そして、当該分けられた各グループがステップＳ３３により匿名度決定部６２に通知される。
例えば、情報提供者候補とした「２００人」のユーザ全員からタプルが受信されると、準識別子の値が「１９９９年７月１６日」の組、「１９８６年１１月１９日」の組、…というようにグループ分けされ、匿名度決定部６２に通知される。

匿名度決定部６２では、上記管理部６１から準識別子の各グループが通知されると、そのグループごとに匿名度を決定する処理が以下のように行われる。図１７はその処理手順と処理内容の一例を示すフローチャートである。

すなわち、先ずステップＳ９１により、上記管理部６１から受け取ったグループごとに、当該グループに含まれるタプルが希望匿名度の昇順に並べられる。続いてステップＳ９２により、「自分の希望匿名度≦自分の順位」を満たすタプルに標が付けられる。次にステップＳ９３において、当該標が付けられたタプルの中で順位が最大のタプルの順位が実現可能匿名度に決定される。一方、標がついているタプルのないグループについては、実現可能匿名度はNULLとされる。そして、このように決定された実現可能匿名度は管理部６１に返却される。

例えば、いま図１７に例示したように、管理部６１からタプルとして「１９９３年、５」「１９９３年、１１」、「１９９３年、５」、「１９９３年、９」、…を受け取ったとする。この場合、これらのタプルは「１９９３年、４」、「１９９３年、５」、「１９９３年、５」、「１９９３年、６」、…のように並べられ、これらのタプルの中で「自分の希望匿名度≦自分の順位」を満たすタプルに標“○”が付けられる。そして、当該標“○”が付けられたタプルの中で順位が最大のタプルの順位、つまり図１７の例では「１９９３年、２」の順位“３”が実現可能匿名度となり、管理部６１に返却される。

図１８は「自分の希望匿名度≦自分の順位」を満たすタプルが存在しない場合の例を示したもので、ステップＳ１０２では何れのタプルにも標“○”が付けられない。このため、ステップＳ１０３では実現可能匿名度はNULLとされ、この実現可能匿名度NULLが管理部６１に返却される。

管理部６１では、上記匿名度決定部６２から返送された実現可能匿名度をステップＳ３４により受信すると、ステップＳ３５において実現可能匿名度がNULLではないグループを参加グループ表に加える処理が行われる。この処理後の実現可能匿名度及び参加グループ表は終了判定部６３に通知される。

例えば、いま図１１に例示したように、匿名度決定部６２から２つのグループについてそれぞれ「準識別子の値が１９９９年７月１６日の組で実現可能匿名度５」、「準識別子の値が１９８６年１１月１９日の組で実現可能匿名度NULL」が返却されたとすると、このうち実現可能匿名度がNULLではないグループ、つまり準識別子の値が「１９９９年７月１６日の組」のグループが参加グループ表に加えられる。そして、「準識別子の値が１９９９年７月１６日の組で実現可能匿名度“５”」と、参加グループ表が終了判定部６３に通知される。

次にステップＳ４において、終了判定部６３により以下の処理が実行される。図１２はその処理手順と処理内容を示すフローチャートである。
すなわち、管理部６１から実現可能匿名度と参加グループ表が通知され、さらに後述する一般化処理部６５から実行済一般化表が通知されると、先ずステップＳ４１において、上記受け取った実行済一般化表から一般化が行われた回数が計算される。そして、ステップＳ４２において、上記一般化が行われた回数ｍが一般化回数の上限Ｍと比較され、ステップＳ４３によりＭ＞ｍと判定されればステップＳ４４で「一般化が可能」と判定される。この場合、入力された実現可能匿名度、実行済一般化、参加グループ表及び全タプルが匿名度検査部６４に送られる。

これに対しステップＳ４５によりＭ≦ｍと判定された場合には、ステップＳ４６で「成功・失敗」と判定される。そして、この場合には当該判定結果と、上記入力された実現可能匿名度、実行済一般化表、参加グループ表及び全タプルが管理部６１に返却される。

例えば、いま図１２に示したように管理部６１から、「準識別子の値が１９９９年７月１６日の組で実現可能匿名度“５”」と、参加グループ「１９９９年７月１６日、…」が通知され、さらに一般化処理部６５から実行済一般化表として「１９８６年１１月１６日→ １９８６年１１月、…」が通知されたとする。このとき、開始時の準識別子の種類数が「１００（１９９９年７月１６日が１００種）」で、かつ実行済一般化表から一般化を行った準識別子の種類数が「５０（１９８６年１１月１６日→ １９８６年１１月の左側（一般化前の準識別子）が５０種）」だったとすると、実行済一般化表から一般化処理で生成された準識別子の種類数は「１０（１９８６年１１月１６日→ １９８６年１１月の右側（一般化後の準識別子）が１０種）」と計算される。なお、残りの準識別子数は１００−５０＋１０＝６０となる。

そして、一般化回数の上限Ｍを「２０」とした場合、一般化した回数が「１２」であれば、（一般化回数の上限２０）＞（一般化した回数１２）となるので「一般化可能」と判定される。これに対し、一般化した回数が「２２」であれば、（一般化回数の上限２０）≦（一般化した回数２２）となるため「成功・失敗」と判定される。

上記終了判定部６３において「一般化可能」と判定されると、匿名度検査部６４ではステップＳ５により以下のように匿名度の検査が行われる。図１３はその処理手順と処理内容を示すフローチャートである。

すなわち、先ずステップＳ５１において、上記終了判定部６３から受け取った参加グループ表に存在しないグループで、実現可能匿名度がNULLではない準識別子グループが探索される。そして、この条件を満たすグループが存在するとステップＳ５３で判定された場合には、ステップＳ５４においてその中で実現可能匿名度が最も高いグループが参加グループ表に追加され、その結果が終了判定部６３に返却される。これに対し、上記条件を満たすグループがなかった場合には、上記受け取った全タプル、実現可能匿名度、実行済一般化及び参加グループ表がそのまま一般化処理部６５に送られる。

例えば、いま「準識別子の値が１９９９年７月１６日の組で実現可能匿名度“５”」、…と、参加グループとして「１９９９年７月１６日」、…と、実行済一般化表として「１９８６年１１月１６日→ １９８６年１１月」、…が終了判定部６３から通知されたとする。この場合には、「準識別子の値が１９９９年７月１６日の組で実現可能匿名度“５”」、「準識別子の値が１９８９年５月の組で実現可能匿名度１１」、「準識別子の値が１９８３年の組で実現可能匿名度“２０”」、…と、参加グループ表「１９９９年７月１６日、１９８９年５月」、…が比較され、実現可能匿名度がNULLでないのに参加グループ表に入ってない準識別子グループが探索される。

そして、実現可能匿名度がNULLではなく参加グループ表にないグループである、「準識別子の値が１９８３年の組で実現可能匿名度“２０”」、…の中で、実現可能匿名度がもっとも大きいグループが選択されて参加グループ表に追加される。またそれと共に、このとき行われていた一般化の種類が実行済一般化表に追加される。最後に、「準識別子の値が１９９９年７月１６日の組で実現可能匿名度“５”」、…と、参加グループ「１９９９年７月１６日、…」と、実行済一般化表「１９８６年１１月１６日→ １９８６年１１月、…」が終了判定部６３に返却される。

上記匿名度検査部６４において、参加グループ表に存在しないグループで、実現可能匿名度がNULLではない準識別子グループが見つからなかった場合には、ステップＳ６に移行する。ステップＳ６では、一般化処理部６５により準識別子グループを一般化する処理が行われる。図１４はその処理手順と処理内容を示すフローチャートである。

一般化処理部６５では、先ずステップＳ６１において、上記匿名度検査部６４から受け取った参加グループ表にない準識別子グループの中で一般化が可能な全ての組み合わせが作成される。そして、条件を満たす組み合わせが存在しないとステップＳ６３で判定された場合には、現在の準識別子の中で一般化が可能な全ての組み合わせがステップＳ６５で作成される。

例えば、いま図１４に例示したように、「準識別子の値が１９９９年７月１６日の組で実現可能匿名度“５”」…、参加グループ「１９９９年７月１６日…、」及び実行済一般化表「１９８６年１１月１６日→ １９８６年１１月…、」が匿名度検査部６４から通知されたとする。このうち参加表にないグループが、「１９７８年５月１１日」、「１９７８年５月１４日」、「１９７８年５月２２日」、「１９７８年５月１７日」、「１９７８年５月１５日」、「１９８８年６月１５日」、…だったとすると、一般化できる組み合わせとして「１９７８年５月」が作成される。これに対し、このような組が作れない場合には、参加グループ表にあるグループも含めて組み合わせが作成される。

一般化処理部６５では、次にステップＳ６５において、上記作成された準識別子グループの中で一般化が可能な全ての組み合わせ、又は現在の準識別子の中で一般化が可能な全ての組み合わせについて、準識別子の一般化処理が行われる。そして、この一般化処理されたグループが匿名度決定部６２に通知される。

匿名度決定部６２では、図１７又は図１８にて説明したように、上記一般化処理部６５から通知されたグループについての実現可能匿名度が求められる。例えば、一般化処理部６５から「準識別子の値が１９７８年５月の組」が通知されたとすると、「準識別子の値が１９７８年５月の組で匿名度“５”」が求められ、一般化処理部６５に返却される。

一般化処理部６５では、上記匿名度決定部６２から全ての組の一般化処理の結果が返却されたことがステップＳ６６で確認されると、ステップＳ６７において上記全ての組の中で実現可能匿名度が最も大きいグループが抽出され、参加グループ表に加えられる。またそれと共に、実行済一般化表が更新される。この更新された参加グループ表と実行済一般化表は、終了判定部６３に通知される。

例えば、いま図１４に例示したように「準識別子の値が１９７８年７月の組で実現可能匿名度“５”」、「準識別子の値が１９８９年５月の組で実現可能匿名度“１１”」、…だったとする。この場合、実現可能匿名度が一番大きい準識別子、つまり「１９８９年５月１１日→１９８９年５月」が参加グループ表に追加され、さらにこの準識別子の一般化方法が実行済一般化に追加される。

終了判定部６３では、上記一般化処理部６５から更新された参加グループ表と実行済一般化表が通知されると、図１２に示した手順に従い再度「一般化可能」か「成功・失敗」かを判定する処理が行われる。そして、この判定の結果「成功・失敗」と判定されると、全タプル、実現可能匿名度、実行済一般化表及び参加グループ表が管理部６１に通知される。

管理部６１では、上記終了判定部６３から上記「成功・失敗」の判定に伴い全タプル、実現可能匿名度、実行済一般化表及び参加グループ表が判定結果が通知されると、ステップＳ７において「成功」か「失敗」かを判定するための処理が実行される。図１５はその処理手順と処理内容を示すフローチャートである。

すなわち、先ずステップＳ７１において参加数ｎが計算される。参加数ｎは参加グループ表内のグループの実現可能匿名度の和として算出される。続いて上記計算された参加数ｎが希望の参加人数Ｎと比較され、ｎ≧Ｎならば「成功」と判定され、ｎ＜Ｎならば「失敗」と判定される。そして、判定結果が「成功」だった場合には、ステップＳ７２において、先に匿名度決定部６２で決定された準識別子とその実現可能匿名度の情報がそれぞれ対応する情報提供装置ＴＭ１〜ＴＭｉへ送信される。

例えば、いま図１５に例示したように、終了判定部６３から「準識別子の値が１９９９年７月１６日の組で実現可能匿名度５」、…と、参加グループ「１９９９年７月１６日、…」と、実行済一般化表「１９８６年１１月１６日→ １９８６年１１月」、…が通知されたとする。この場合、参加グループ表内に含まれるグループの情報、例えば「準識別子の値が１９９９年７月１６日の組で実現可能匿名度“５”」、「準識別子の値が１９８６年１１月の組で実現可能匿名度“１０”」、「準識別子の値が２００１年の組で実現可能匿名度“２０”」、…をもとに、各グループの参加人数の合計ｎが例えばｎ＝１５＋１０＋２０＋…のように計算される。そして、その合計参加人数ｎが希望参加人数Ｎ（Ｎ＝１００）と比較され、合計参加人数ｎが希望参加人数Ｎ＝１００以上であれば「成功」、未満であれば「失敗」とそれぞれ判定される。

そして、「成功」と判定された場合には、匿名度決定部６２で決定された準識別子とその実現可能匿名度の情報、例えば「準識別子が１９９９年７月で実現可能匿名度５」が対応する情報提供装置ＴＭ１へ、また「準識別子が１９８６年で実現可能匿名度１０」が情報提供装置ＴＭ２へ送信される。

情報提供装置ＴＭ１，ＴＭ２の各提供判定部１１では、それぞれ上記情報収集装置ＳＶから上記使用する準識別子と実現可能匿名度が送られると、ステップＳ８において個人情報を匿名化して送信する処理が実行される。図１６はその処理手順と処理内容を示すフローチャートである。

先ずステップＳ８１において、受信した実現可能匿名度が希望匿名度と比較される。そして、ステップＳ８２において実現可能匿名度が希望匿名度より小さいと判定された場合には、ステップＳ８３により個人情報を提供しないと決定され、拒否通知が情報収集装置ＳＶへ送信される。

一方、ステップＳ８４において実現可能匿名度が希望匿名度以上と判定された場合には、ステップＳ８５により収集者が取得を希望している個人情報の取得要求が個人情報管理部１２に送られる。個人情報管理部１２では、図１９に示すようにステップＳ１１１において、上記提供判定部１１からの取得要求に応じて記憶ユニット２０から上記要求された個人情報が読み出され、提供判定部１１に返送される。提供判定部１１では、上記個人情報が受信されると、ステップＳ８６において当該受信された個人情報を一般化した準識別子の値と機微情報の値が生成され、当該情報が匿名通信技術を使用して情報収集装置ＳＶへ送信される。

例えば、いま情報収集装置ＳＶから、「準識別子が１９９９年７月で実現可能匿名度“１０”」が送られたとする。この場合、実現可能匿名度“１０”が希望匿名度と比較される。そして、例えば希望匿名度が“１５”だったとすると、実現可能匿名度“１０”は希望匿名度“１５”より小さいため、拒否通知処理が行われる。

これに対し、例えば希望匿名度が“５”だったとすると、実現可能匿名度“１０”は希望匿名度“５”より大きいため、個人情報を匿名化して送信する処理が行われる。例えば、図１６の例では、個人情報管理部１２により機微情報として「インフルエンザ」が読み出され、この「インフルエンザ」が準識別子である「１９９９年７月」と共に情報収集装置ＳＶへ送信される。情報収集装置ＳＶの管理部６１は、上記情報提供装置ＴＭ１〜ＴＭｉから送信された個人情報が受信されると、当該個人情報を記憶ユニットに７０に格納する。

一方、情報収集装置ＳＶの管理部６１において、ステップＳ７３により合計参加人数ｎが希望参加人数Ｎ未満となり、これにより「失敗」と判定されると、情報提供者候補が追加される。そして、この追加された情報提供者候補の情報提供装置ＴＭｊ，ＴＭｋ，…へ、使用する準識別子と欲しい機微情報の取得要求が送信される。例えば図１５に例示したように、使用する準識別子として「誕生日」、欲しい機微情報として「病歴」の取得要求が送信される。

この取得要求を受信すると情報提供者装置ＴＭｊ，ＴＭｋ，…では、ステップＳ２において提供判定部１１の制御の下、先に図１０において説明したように機微情報の提供に対する希望匿名度の値が決定され、この決定された希望匿名度の値が準識別子の値と共に要求元の情報収集装置ＳＶへ返送される。この準識別子の値と希望匿名度の値が受信されると、情報収集装置ＳＶでは先に述べたステップＳ３〜Ｓ９による処理が行われる。

図２０乃至図２２は、以上述べた情報収集装置ＳＶ及び情報提供装置ＴＭ１〜ＴＭｎの各処理部間における情報の流れを示したもので、このうち図２０は情報提供者数が希望人数以上と判定されて匿名度の設定に成功した場合のシーケンスを、図２１は情報提供者数が希望人数に満たず匿名度の設定に失敗した場合のシーケンスを、図２２は一般化処理が可能と判定された場合のシーケンスをそれぞれ示している。

（効果）
以上詳述したように第１の実施形態では、以下のような処理を行っている。すなわち、情報提供装置ＴＭ１〜ＴＭｎに保存されたユーザの個人情報を匿名化して情報収集装置ＳＶで収集する際に、先ず情報収集装置ＳＶから情報提供者候補の装置ＴＭ１〜ＴＭｉに対し、使用する準識別子と欲しい機微情報を通知する。これに対し情報提供装置ＴＭ１〜ＴＭｉは準識別子の値と希望する匿名度を情報収集装置ＳＶに返答する。この返答を受けて情報収集装置ＳＶは、実施可能な匿名度と一般化の方法を決定する処理を行う。具体的には、先ず準識別子ごとに実現可能なもので最大の匿名度を求め、実現可能な匿名がなかった準識別子については一般化処理を行い、上記最大の匿名度の算出処理に戻る。以上の処理を一般化回数の上限になるまで繰り返す。そして、人数が希望に達したならば終了し、人数が足りない場合には候補者を増やしてリトライする。情報収集装置ＳＶは、上記決定した実現可能匿名度と一般化の方法を情報提供装置ＴＭ１〜ＴＭｉへ通知する。情報提供装置ＴＭ１〜ＴＭｉは、上記通知された実現可能匿名度と一般化の方法に従い、一般化した準識別子の値と機微情報を情報収集装置ＳＶへ送信する。

したがって、情報提供装置ＴＭ１〜ＴＭｎから情報収集装置ＳＶへ個人情報を送信する際に、当該個人情報の準識別子が情報提供者の希望する匿名度に応じて一般化される。このため、情報収集装置ＳＶに収集された個人情報の中には同じ準識別子を有する個人情報が必ず複数存在することになり、これにより仮に情報収集者がある情報提供者についての事前知識を有していたとしても、当該情報提供装置ＴＭ１〜ＴＭｎから提供された情報を特定することは困難となる。図３４はこの効果を説明するための匿名化処理の一例を示すものである。

また、装置ＴＭ１〜ＴＭｎから情報提供者自身が希望する匿名度が事前に情報収集装置ＳＶに伝えられ、情報収集装置ＳＶではこの通知された希望する匿名度を１つの条件として実現可能な匿名度が決定されるので、情報提供者にとっては希望する匿名性が保障され、さらに実現される匿名性を確認することができ、これにより不安は解消される。

さらに、情報収集装置ＳＶでは、予め設定された一般化回数の上限内で情報提供候補者数が予め設定した情報収集希望者数以上となるように実現可能匿名度と一般化方法が決定されるので、過度な匿名度を希望している提供候補者を切り捨て、データ収集者側が集めたい精度と同等、もしくはそれ以下の匿名度を希望している情報提供者候補から情報提供を受けることが可能となる。すなわち、過度な匿名化が行われることを防止して提供された情報の有用性を保障することができる。

さらに、実現可能匿名度と一般化方法を決定する際に、当該決定処理が成功したか失敗したかが判定され、失敗した場合には情報提供者候補を増加させて、この増加された情報提供者候補を対象に実現可能匿名度と一般化方法の決定処理がリトライされる。このため、情報収集者が有効な分析等を行うに必要な情報提供者数をより確実に確保することが可能となり、これにより収集情報の有効性をさらに高めることができる。

［第２の実施形態］
第１の実施形態による情報収集方法では、情報収集者が嘘の実現可能匿名度を通知すると、本当は提供しないはずの提供者候補から機微情報を引き出すことが可能となってしまう。例えば図２３に示すように、実現可能匿名度が本当は“６”なのに、実現可能匿名度が“１０”だと情報収集者が嘘の通知をすると、希望匿名度が“１０”の情報提供者候補は機微情報を提供してしまうため、本当に実現可能匿名度が“１０”になることは保障されない。

そこで、この発明の第２の実施形態では、信頼できる第三者のサーバ装置を追加し、この第三者のサーバ装置により情報提供者候補の数を実現可能匿名度の数と比較することにより、情報提供者候補の数が実現可能匿名度の数以上か否かをチェックするようにしている。

図２４はこの発明の第２の実施形態に係る情報収集システムの概略構成図、図２５は当該システムにおける情報の流れを示すシーケンス図である。なお、本実施形態の基本機能は第１の実施形態と同一なので、第１の実施形態の説明で用いた図面をそのまま使用し、異なる機能のみを説明する。

情報収集装置ＳＶの管理部６１は、図１５に示した処理３において、実現可能匿名度及び一般化方法の決定処理が終了すると、使用する準識別子の値と、実現可能匿名度を情報提供者候補の情報提供装置ＴＭ１〜ＴＭｉに通知する。これに対し情報提供者装置ＴＭ１〜ＴＭｉの提供判定部１１は、上記情報提供装置ＳＶから準識別子の値と実現可能匿名度が通知されると、この通知された実現可能匿名度を希望匿名度と比較して実現可能匿名度が希望匿名度以上であれば、上記受け取った準識別子の値と実現可能匿名度を図２５に示すように信用できる第三者のサーバ装置へ転送する。

サーバ装置は、情報提供者候補ごとに、その情報提供装置ＴＭ１〜ＴＭｉから受信した準識別子の値と実現可能匿名度から、同じ準識別子の値を送ってきた他の情報提供者候補の数が実現可能匿名度の数以上かどうかをそれぞれチェックする。そして、そのチェック結果を表す情報を、送信元の情報提供装置ＴＭ１〜ＴＭｉにそれぞれ通知する。これに対し情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１は、上記通知された判定結果をもとに実現可能匿名度が実現されることが確認できた場合に限り、機微情報を情報収集装置ＳＶへ送信する。
以上の機能を追加することで、情報収集者が実現可能匿名度の値を偽ること防止することが可能となる。

［第３の実施形態］
この発明の第３の実施形態は、情報収集者が実現可能匿名度の値を偽ること防止するために、情報提供者候補となる情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１間にＰ２Ｐ（Pear-to-Pear）方式を採用したネットワークを構成し、これにより情報収集者から通知された実現可能匿名度が正しいことを確認するようにしたものである。

図２６はこの発明の第３の実施形態に係る情報収集システムの概略構成図である。同図において、情報提供者候補となる情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１間には、Ｐ２Ｐ方式を採用したネットワークが構成される。なお、このネットワークに情報収集装置ＳＶは加わっていない。

情報収集装置ＳＶの管理部６１は、情報提供候補が使用する準識別子の値と実現可能匿名度をそれぞれ情報提供装置ＴＭ１〜ＴＭｉへ通知する際に、準識別子の値ごとのハッシュのソルト（ハッシュ用の追加データ）を併せて通知する。

これに対し情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１は、上記通知された実現可能匿名度と希望匿名度を比較し、実現可能匿名度が希望匿名以上であれば、情報収集装置ＳＶから通知された準識別子の値、実現可能匿名度及びソルトを合わせてハッシュ関数で計算する。このとき、ハッシュ関数は予め提供者候補間で使用する関数を決めておく。そして、上記計算されたハッシュの値をＰ２Ｐネットワークを介して他の情報提供装置との間で転送し合って共有することで、自装置と同じハッシュ値を提出した情報提供者候補が実現可能匿名度と同じ数存在するか否かを判定する。この判定の結果、実現可能匿名度が同じハッシュ値を提出した人数以下だった場合に限り、機微情報を情報収集装置ＳＶへ送信する。なお、ハッシュ関数を使用するのは準識別子の値が他の情報提供者候補に流通することを防ぐためである。

［第４の実施形態］
第１の実施形態に係る情報収集システムでは、情報収集者が自由に情報提供者候補を選択することができる。このため、ある個人の個人情報が含まれているかどうかが分かっているので、その個人の後にその個人と機微情報の対応に利用される可能性がある。

そこで、この発明の第４の実施形態では、前記第２の実施形態と同様に、信頼できる第三者のサーバ装置を設け、情報収集装置ＳＶから依頼を受けた情報提供者候補の情報提供装置ＴＭ１〜ＴＭｉが、信頼できるサーバ装置に対し別の情報提供者候補の情報提供装置へ自身の情報提供権の再配布を依頼する。さらに、その後の情報収集装置ＳＶとの通信にはすべて匿名通信を使用して、通信先から情報提供者候補を特定できないようにするものである。

図２７はこの発明の第４の実施形態に係る情報収集システムの概略構成図、図２８及び図２９は当該システムにおける情報の流れを示すシーケンス図である。なお、本実施形態の基本機能は第１の実施形態と同一なので、第１の実施形態の説明で用いた図面をそのまま使用し、異なる機能のみを説明する。

情報収集装置ＳＶの管理部６１は、図９に示した処理１において、情報収集装置ＳＶの管理部６１から、選択した情報提供者候補の情報提供装置ＴＭ１〜ＴＭｉに対し、使用する準識別子の種類と機微情報の種類を表す情報を通知する。これに対し情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１は、信用できるサーバ装置に対し、図２８に示すように別の情報提供者候補の情報提供装置への情報提供権の再配布を依頼する。上記情報提供権の再配布を受け取ると、情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１は、以後情報収集装置ＳＶとの通信にはすべて匿名通信を使用し、これにより通信先から情報提供者候補を特定できないようにする。

またそれと共に情報収集装置ＳＶの管理部６１は、図１５に示した処理３において、準識別子の種類と欲しい機微情報の種類を表す情報を最初に送信した情報提供者候補の情報提供装置ＴＭ１〜ＴＭｉに対し、使用する準識別子の値と、実現可能匿名度の全リストを送信する。

これに対し情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１は、上記情報収集装置ＳＶから準識別子の値と実現可能匿名度の全リストを受け取ると、図２９に示すように信用できるサーバ装置に対し、当該受け取った準識別子の値と実現可能匿名度の全リストを他の情報提供装置へ転送する。上記準識別子の値と実現可能匿名度の全リストを受け取ると情報提供装置の提供判定部１１は、通知された実現可能匿名度と希望匿名度とを比較する。そして、実現可能匿名度が希望匿名度以上の場合には、個人情報管理部１２により記憶ユニット２０から読み出された機微情報を情報収集装置ＳＶへ送信する。

なお、この第４の実施形態においても、先に述べた第３の実施形態と同様に、Ｐ２Ｐ通信を使用して依頼権の交換を行うことで同じ処理を実現するようにしてもよい。図３０はその情報の流れを示した図である。すなわち、上記信頼できるサーバ装置による転送処理を、情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１間でＰ２Ｐネットワークを介して行うことができる。

［第５の実施形態］
第１の実施形態では、同じ情報収集者が同じ機微情報を複数回要求して来た場合、当該情報収集者が前回までに得ている情報と新たに獲得した情報とを結合させることで、要求している匿名性が保障されなくなる可能性がある。図３１はその一例を示した図である。

この発明の第５の実施形態は、上記課題を以下のように解決する。図３２はこの発明の第５の実施形態に係る情報収集システムの概略構成図である。なお、本実施形態においても基本機能は第１の実施形態と同一なので、第１の実施形態の説明で用いた図面をそのまま使用し、異なる機能のみを説明する。

すなわち、情報提供者候補の情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１は、以前にどの情報収集装置にどの機微情報を提供したかを表す情報提供履歴を作成し保存しておく。なお、この実施形態においても、前記第２及び第４の実施形態と同様に第三者の信用できるサーバ装置が設けられている。

情報収集装置ＳＶの管理部６１が、図９に示した処理１を終了して、使用する準識別子の種類と要求とする機微情報の種類を表す情報を送信すると、情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１は、要求元の情報収集装置ＳＶが、要求された機微情報の種類に対応する機微情報を過去に提供したことがある相手かどうかを、情報提供履歴をもとに判定する。そして、以前に提供したことがあった場合には、第三者の信頼できるサーバ装置を使用して提供権の再配布を行う。この処理を、過去に一度も機微情報を提供したことがない情報提供者候補に辿り着くまで転送処理を繰り返す。

なお、この第５の実施形態においても、先に述べた第３の実施形態と同様に、Ｐ２Ｐ通信を使用して依頼権の交換を行うことで同じ処理を実現するようにしてもよい。すなわち、上記信頼できるサーバ装置による転送処理を、情報提供装置ＴＭ１〜ＴＭｉの提供判定部１１間でＰ２Ｐネットワークを介して行うことができる。

［その他の実施形態］
なお、この発明は上記各実施形態に限定されるものではない。例えば、情報提供装置及び情報収集装置の構成とその処理手順及び処理内容、通信プロトコル、個人情報の種類や構成等についても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

要するにこの発明は、上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、各実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１…情報提供者候補の装置、２…情報収集者側の装置、ＴＭ１〜ＴＭｎ…情報提供装置、ＳＶ…情報収集装置、ＮＷ…通信ネットワーク、１０…情報提供装置の制御ユニット、１１…提供判定部、１２…個人情報管理部、２０…情報提供装置の記憶ユニット、３０…入力デバイス、４０…表示デバイス、５０…情報提供装置の通信インタフェース、６０…情報収集装置の制御ユニット、６１…管理部、６２…匿名度決定部、６３…終了判定部、６４…匿名度検査部、６５…一般化処理部、７０…情報収集装置の記憶ユニット、８０…情報収集装置の通信インタフェース。

Claims (8)

1. 情報収集装置が複数の情報提供装置からその情報提供者の個人情報を匿名化して収集する情報収集システムであって、
   前記情報収集装置は、前記個人情報のうち収集を要求する機微情報の種類と、情報提供者を間接的に特定する準識別子の種類とを含む収集要求情報を生成し、当該生成された収集要求情報を前記複数の情報提供装置のうち情報提供者候補となる情報提供装置群へ選択的に送信する第１の手段を備え、
   前記複数の情報提供装置は、前記収集要求情報を受信した場合に、当該収集要求情報に含まれる準識別子の種類に対応する値を個人情報記憶部から読み出し、当該読み出された準識別子の値と、情報提供者が希望する匿名度を表す情報を、前記情報収集装置へ返信する第２の手段を備え、
   前記情報収集装置は、前記情報提供者候補となる情報提供装置群から返信された準識別子の値及び希望する匿名度と、準識別子に対し予め設定した一般化許容条件及び情報収集希望者数とに基づいて、前記一般化許容条件の範囲内で情報提供候補者数が前記情報収集希望者数以上となる実現可能匿名度と一般化方法を決定し、当該決定された実現可能匿名度と、前記一般化方法により一般化された前記準識別子を前記複数の情報提供装置へ送信する第３の手段を備え、
   前記複数の情報提供装置は、前記情報収集装置から送信された実現可能匿名度と一般化された準識別子を受信した場合に、当該受信された実現可能匿名度を前記情報提供者が希望する匿名度と比較し、実現可能匿名度が希望する匿名度より高い場合に、前記収集要求情報に含まれる機微情報の種類に対応する機微情報を前記個人情報記憶部から読み出し、前記情報収集装置へ送信する第４の手段を備える
   ことを特徴とする情報収集システム。
2. 前記第３の手段は、前記実現可能匿名度と一般化方法の決定に失敗した場合に、前記情報提供者候補を増加させ、この増加された情報提供者候補について前記第１及び第２の手段と協同して前記実現可能匿名度と一般化方法の決定処理を再度実行することを特徴とする請求項１記載の情報収集システム。
3. 複数の情報提供装置からその情報提供者の個人情報を匿名化して収集する情報収集装置であって、
   前記個人情報のうち収集を要求する機微情報の種類と、情報提供者を間接的に特定する準識別子の種類とを含む収集要求情報を生成し、当該生成された収集要求情報を前記複数の情報提供装置のうち情報提供者候補となる情報提供装置群へ選択的に送信する手段と、
   前記情報提供者候補となる情報提供装置群から、前記準識別子の種類に対応する値と、情報提供者が希望する匿名度を表す情報が返信された場合に、当該準識別子の値及び希望する匿名度と、準識別子に対し予め設定した一般化許容条件及び情報収集希望者数とに基づいて、前記一般化許容条件の範囲内で情報提供候補者数が前記情報収集希望者数以上となる実現可能匿名度と一般化方法を決定し、当該決定された実現可能匿名度と、前記一般化方法により一般化された前記準識別子を前記複数の情報提供装置へ送信する決定手段と
   を具備することを特徴とする情報収集装置。
4. 前記決定手段は、前記実現可能匿名度と一般化方法の決定に失敗した場合に、前記情報提供者候補を増加させ、この増加された情報提供者候補について前記実現可能匿名度と一般化方法の決定処理を再度実行することを特徴とする請求項３記載の情報収集装置。
5. 情報収集装置が複数の情報提供装置からその情報提供者の個人情報を匿名化して収集する情報収集システムで使用される前記情報提供装置であって、
   前記情報収集装置から、前記個人情報のうち収集を要求する機微情報の種類と、情報提供者を間接的に特定する準識別子の種類とを含む収集要求情報を受信した場合に、当該収集要求情報に含まれる準識別子の種類に対応する値を個人情報記憶部から読み出し、当該読み出された準識別子の値と、情報提供者が希望する匿名度を表す情報を、前記情報収集装置へ返信する手段と、
   前記情報収集装置から、前記準識別子に対し予め設定された一般化許容条件の範囲内で情報提供候補者数が情報収集希望者数以上となるように決定された実現可能匿名度を受信した場合に、当該受信された実現可能匿名度を前記情報提供者が希望する匿名度と比較し、実現可能匿名度が希望する匿名度より高い場合に、前記収集要求情報に含まれる機微情報の種類に対応する機微情報を前記個人情報記憶部から読み出し、前記情報収集装置へ送信する手段と
   を具備することを特徴とする情報提供装置。
6. 情報収集装置が複数の情報提供装置からその情報提供者の個人情報を匿名化して収集する情報収集システムが実行する情報収集方法であって、
   前記情報収集装置が、前記個人情報のうち収集を要求する機微情報の種類と、情報提供者を間接的に特定する準識別子の種類とを含む収集要求情報を生成し、当該生成された収集要求情報を前記複数の情報提供装置のうち情報提供者候補となる情報提供装置群へ選択的に送信する第１の過程と、
   前記複数の情報提供装置が、前記収集要求情報を受信した場合に、当該収集要求情報に含まれる準識別子の種類に対応する値を個人情報記憶部から読み出し、当該読み出された準識別子の値と、情報提供者が希望する匿名度を表す情報を、前記情報収集装置へ返信する第２の過程と、
   前記情報収集装置が、前記情報提供者候補となる情報提供装置群から返信された準識別子の値及び希望する匿名度と、準識別子に対し予め設定した一般化許容条件及び情報収集希望者数とに基づいて、前記一般化許容条件の範囲内で情報提供候補者数が前記情報収集希望者数以上となる実現可能匿名度と一般化方法を決定し、当該決定された実現可能匿名度と、前記一般化方法により一般化された前記準識別子を前記複数の情報提供装置へ送信する第３の過程と、
   前記複数の情報提供装置が、前記情報収集装置から送信された実現可能匿名度と一般化された準識別子を受信した場合に、当該受信された実現可能匿名度を前記情報提供者が希望する匿名度と比較し、実現可能匿名度が希望する匿名度より高い場合に、前記収集要求情報に含まれる機微情報の種類に対応する機微情報を前記個人情報記憶部から読み出し、前記情報収集装置へ送信する第４の過程と
   を具備することを特徴とする情報収集方法。
7. 複数の情報提供装置からその情報提供者の個人情報を匿名化して収集する、コンピュータを備えた情報収集装置で使用されるプログラムであって、
   前記個人情報のうち収集を要求する機微情報の種類と、情報提供者を間接的に特定する準識別子の種類とを含む収集要求情報を生成し、当該生成された収集要求情報を前記複数の情報提供装置のうち情報提供者候補となる情報提供装置群へ選択的に送信する処理と、
   前記情報提供者候補となる情報提供装置群から、前記準識別子の種類に対応する値と、情報提供者が希望する匿名度を表す情報が返信された場合に、当該準識別子の値及び希望する匿名度と、準識別子に対し予め設定した一般化許容条件及び情報収集希望者数とに基づいて、前記一般化許容条件の範囲内で情報提供候補者数が前記情報収集希望者数以上となる実現可能匿名度と一般化方法を決定し、当該決定された実現可能匿名度と、前記一般化方法により一般化された前記準識別子を前記複数の情報提供装置へ送信する処理と
   を、前記コンピュータに実行させるプログラム。
8. 情報収集装置がコンピュータを備えた複数の情報提供装置からその情報提供者の個人情報を匿名化して収集する情報収集システムで使用される、前記情報提供装置で使用されるプログラムであって、
   前記情報収集装置から、前記個人情報のうち収集を要求する機微情報の種類と、情報提供者を間接的に特定する準識別子の種類とを含む収集要求情報を受信した場合に、当該収集要求情報に含まれる準識別子の種類に対応する値を個人情報記憶部から読み出し、当該読み出された準識別子の値と、情報提供者が希望する匿名度を表す情報を、前記情報収集装置へ返信する処理と、
   前記情報収集装置から、前記準識別子に対し予め設定された一般化許容条件の範囲内で情報提供候補者数が情報収集希望者数以上となるように決定された実現可能匿名度を受信した場合に、当該受信された実現可能匿名度を前記情報提供者が希望する匿名度と比較し、実現可能匿名度が希望する匿名度より高い場合に、前記収集要求情報に含まれる機微情報の種類に対応する機微情報を前記個人情報記憶部から読み出し、前記情報収集装置へ送信する処理と
   を、前記コンピュータに実行させるプログラム。

Images