JP6055756B2 - 開示度制御装置、開示度制御方法及びプログラム - Google Patents

Description

本発明は、外部機器により観測されるデータ提供者の行動に関わるデータの開示を制御する開示度制御装置、開示度制御方法及びプログラムに関する。

従来、ユーザがその個人の行動にかかわるセンサなどの外部機器から出力された値や信号などのデータ（以下、機器通信データ）を、サービス事業者や友人等の様々なデータ要求者に開示することが行われている。例えば、ユーザ（データ提供者）は、サービス事業者からサービスを受けるために、機器通信データをユーザの所有するネットワーク（宅内ＬＡＮ（Local Area Network）や広域ネットワークなど）を通じて、サービス事業者に対して送信する。サービス事業者は、機器通信データを受信することにより、ユーザに対して機器通信データに基づくサービスを提供することができる。

従来、ユーザからサービス事業者等のデータ要求者に機器通信データを送信するために、以下のような手法を用いている。
例えば、ライフログを開示してサービスを享受できるシステムにおいては、一部の機器通信データを非開示としたい場合、特異なデータだけ非開示とする、またはあるデータと特異なデータとの組み合わせが発生したときだけ非開示とする、などを条件として、システムへ予めまたは対話的に設定可能としている（例えば、非特許文献１参照）。

山田智広ら：集合的なライフログの利用を可能とするシステムアーキテクチャの検討，電子情報通信学会技術研究報告, LOIS2009-8,No.109,Vol.39,pp.113-118.

データ提供者がサービス事業者からのサービスを享受するにあたって、機器通信データを一律に開示しないで、一定の開示範囲に制限したい場合がある。例えば、データ提供者について、一日の生活状態を外部機器によりセンシングしたデータの場合、食事の時間が毎日固定であるというデータが開示されれば、その時間に対応した情報提供サービス等を受けることが可能になるが、一方でその時間に確実に在宅していることが把握されてしまうため、その時間を狙った不要なセールス等の来訪者を招く可能性がある。また、例えば、部屋の照明の点灯・消灯の時刻を示すデータが開示されれば、安定的な電源管理に利用できるが、一方で消灯時間には不在であることが推測されるため、空き巣狙いに入られる可能性を高めることになる。

このような、データ提供者が望まないデータの開示に伴うリスクを低減するためには、サービスを享受できる範囲内でデータの開示範囲を制限してデータを送信することになる。この場合、従来技術の方法では、データ要求者やデータの内容に応じて、データ提供者が開示範囲を意識しながら、対話的に手作業によってデータの開示／非開示の設定を書き換える必要があり、その操作が煩わしいものであった。

本発明は前述した事情に着目してなされたもので、その目的とするところは、データ提供者の操作負担を増大させることなく、データ要求者やデータの内容に応じた一定条件の開示範囲のデータを送信することが可能な開示度制御装置、開示度制御方法及びプログラムを提供することにある。

本発明は、上記の課題を解決するために、以下のような手段を講じている。

本発明の第１の態様は、データ提供者の状態を観測するための外部機器から機器通信データを受信するデータ受信手段と、対象とする機器通信データを特定するための第１情報と、前記第１情報により特定される機器通信データについての開示の条件を示す第２情報とを含むリストを管理する管理手段と、データ要求者に対して過去に送信した機器通信データについての送信ログを保持する送信ログ保持手段と、データ要求者からの要求に対して、要求された送信対象とする第１の機器通信データと前記送信ログが示す第２の機器通信データとをもとに、前記第１の機器通信データが前記第２情報の条件を満たしているか判断する送信判断手段と、前記第２情報の条件を満たしていないと判断された前記第１の機器通信データを、前記第２情報の条件を満たす第３の機器通信データに変換するデータ変換手段と、前記第２情報の条件を満たしていると判断された前記第１の機器通信データ及び前記第３の機器通信データを送信する送信手段とを具備する。

本発明によれば、データ提供者の操作負担を増大させることなく、データ要求者やデータの内容に応じた一定条件の開示範囲のデータを送信することが可能な開示度制御装置、開示度制御方法及びプログラムを提供することができる。

本実施形態における開示度制御装置の構成を示すブロック図。 本実施形態における機器情報の一例を示す図。 本実施形態におけるブラックリストの一例を示す図。 本実施形態におけるデータ要求クエリの一例を示す図。 本実施形態における送信ログの一例を示す図。 本実施形態における習慣プライバシ管理システムによる初期化処理について示すフローチャート。 本実施形態における習慣プライバシ管理システムによる変換・送信処理について示すフローチャート。 本実施形態における外部機器からの入力される機器通信データの一例を示す図。 本実施形態における傾向検出部により検出される傾向検出結果の一例を示す図。 本実施形態における変換後の傾向検出結果の一例を示す図。 本実施形態における送信ログの一例を示す図。 本実施形態における外部機器から習慣プライバシ管理システムが取得するデータの一例を示す図。 本実施形態におけるレポジトリの一例を示す図。 本実施形態における処理例（３）の傾向検出結果の一例を示す図。 本実施形態におけるブラックリストに設定される情報の一例を示す図。 本実施形態における処理例（４）の類似度の算出結果の一例を示す図。 本実施形態における処理例（４）の送信ログの一例を示す図。 本実施形態における処理例（４）のデータ要求者に送信されるデータの一例を示す図。

以下、図面を参照して本発明の実施の形態について説明する。
図１は、本実施形態における開示度制御装置の構成を示すブロック図である。

本実施形態における開示度制御装置１０は、データ提供者１２の状態（行動）等を観測するための各種の外部機器１４から、順次、機器通信データを受信し、この機器通信データについて、データ提供者１２により予め設定されるリスト（以下、ブラックリストと称する）の設定内容に基づいて、データを変換してデータ要求者Ａ，Ｂ，…に対して送信する。

本実施形態の開示度制御装置１０は、予めデータ提供者１２によってブラックリストが設定されると、このブラックリストに応じたデータ開示制御をする。ブラックリストには、対象とする機器通信データを特定するための情報と開示の条件を示す情報が設定されるもので、例えば、提供可能な機器通信データのうち、開示を制御したい対象データの値やその範囲、対象データを収集する時間帯、対象データの出現傾向を算出する際に利用する周期、収集対象期間、対象データについて開示を許容する上限値、開示を制御する対象である要求者、上限値を超過した場合のデータ処理方法が設定される。

開示度制御装置１０は、当該対象データについて過去の送出データおよびこれから送出する蓄積データをもとに、ブラックリストに規定した収集対象期間について対象データの出現傾向（特異なデータの発生確率または類似度など）を求め、出現傾向がブラックリストに定義した開示の上限値を超過しなければ通常に対象データを送出し、超過した（特異なデータの）場合には蓄積データを加工（例えば、データ受信間隔またはデータ値の精度を改ざん）して、データ要求者Ａ，Ｂ，…へ送出する。これにより、データ提供者１２が対話的にデータの開示／非開示の設定を書き換えるといった操作を必要とすることなく、データ要求者やデータの内容に応じたデータ開示制御を実現することができる。

本実施形態における開示度制御装置１０は、コンピュータ等の電子機器を備えており、メモリやハードディスク装置等の記憶媒体、メモリに記憶された各種プログラムを実行するプロセッサ（ＣＰＵ（Central Processing Unit）等）の他、キーボードやマウス等の各種入力装置、ディスプレイ等の出力装置、外部の電子機器や各種ネットワーク等との通信を制御する通信装置などを有する。開示度制御装置１０は、基本プログラム（ＯＳ（Operating System）等）や開示度制御プログラムをプロセッサにより実行することにより、図１に示す各機能モジュールを実現することができる。本実施形態における開示度制御装置１０は、各機能部を動作させることによって、データ提供者１２の状態（行動）等を観測するための各種の外部機器１４から、順次、機器通信データを受信し、この機器通信データのうち、データ提供者１２が予め設定したブラックリストの内容に応じたデータをデータ要求者Ａ，Ｂ，…に提供することができる。

図１に示すように、開示度制御装置１０は、データ受信部２０、データ蓄積部２２、機器情報管理部２４、提供者設定管理部２６、クエリ管理部３０、送信ログ保持部３２、送信判断部３４、傾向検出部３６、データ変換部３８、及びデータ送信部４０の各機能モジュールを有している。以下、各機能モジュールについて説明する。

データ受信部２０は、データ提供者１２自身やその周辺環境、及び物体に関する状態を観測する外部機器１４から観測結果であるデータを含む機器通信データを受信して、機器通信データに含まれるネットワーク（ＮＷ）アドレスと機器情報管理部２４により管理されている機器情報をもとに、機器通信データの種類を特定する。外部機器１４は、生活状態センサ、温度センサ、照度センサなどの各種センサの他、スマートフォンなどの情報機器や同機器に設けられた位置情報センサ（ＧＰＳ（Global Positioning System）センサ）などを含む。データ受信部２０は、機器通信データを送信した外部機器１４及び機器通信データの種類毎にテーブルを作成し、機器通信データとそれに含まれるタイムスタンプとをデータ蓄積部２２（データベース）に蓄積する。タイムスタンプが付与されていない機器通信データの場合、データ受信部２０は、現在時刻を示すタイムスタンプを機器通信データに付与してデータ蓄積部２２に蓄積する。

データ蓄積部２２は、データ受信部２０から送信された機器通信データを蓄積し、傾向検出部３６及びデータ変換部３８からの要求に応じて、蓄積した機器通信データを出力する。

機器情報管理部２４は、データ提供者１２が所有する外部機器１４に関する機器情報を入力して保持する。機器情報管理部２４は、データ提供者１２またはデータ要求者Ａ，Ｂ，…が開示度制御装置１０に対して機器情報を入力するためのインタフェース（例えば、ＧＵＩ（Graphical User Interface））を持ち、このインタフェースを通じて外部機器１４に関する機器情報を入力する。あるいは、機器情報管理部２４は、外部通信機能を通じて、ＵＰｎＰ（Universal Plug and Play）のような設定情報自動取得手段を用いてネットワーク上から外部機器１４に関する機器情報を取得する。機器情報は、例えば図２に示すように、機器ＩＤ、ネットワーク（ＮＷ）アドレス、機器名称、データ種類、観測値集合、観測値精度の各フィールドのデータで構成される。

例えば、図２において、機器ＩＤ「０１」の外部機器１４は、ネットワークアドレス「１９２．１６８．２．１０１」が割り当てられた機器名称「生活状態センサ」であり、機器通信データとしてデータ種類「生活状態」のデータを送信することを示す。また、データ種類「生活状態」のデータは、観測値集合「仕事中、食事中、休憩中、就寝中、娯楽中、移動中」の何れかの観測値を示すことを表している。また、機器ＩＤ「０２」の外部機器１４は、ネットワークアドレス「１９２．１６８．２．１０２」が割り当てられた機器名称「照度センサ」であり、機器通信データとしてデータ種類「照度」のデータを送信することを示す。また、データ種類「照度」のデータは、観測値集合「０〜５００」の何れかの観測値を示し、観測値精度が「１．０」であることを示す。なお、機器情報は、必要であれば図２に示す以外のフィールドを定義して、データを追加してもよい。

提供者設定管理部２６は、データ提供者１２が開示度制御装置１０に対して要求を入力するためのインタフェース（例えば、ＧＵＩ）を持ち、このインタフェースを通じてデータ提供者１２から機器通信データの送信を制御するためのブラックリストの設定用のデータを入力する。提供者設定管理部２６は、データ提供者１２により設定されたブラックリストを内部に保持する。データ提供者１２は、自身の行動に関係する機器通信データについて、データ要求者Ａ，Ｂ，…に知られたくない観測値の傾向に関する情報を、予めブラックリストとして設定することができる。

ブラックリストは、例えば図３に示すように、開示を制御したい対象データの値やその範囲（対象データ）、対象データを収集する時間帯（時間帯）、対象データの出現傾向を算出する際に利用する周期（周期）、対象データを収集する期間（対象期間）、対象データについて開示を許容する上限値（上限確率）、開示を制御する対象である要求者（対象）、上限値に抵触した場合のデータ処理方法（処理方法）が含まれる。なお、対象データについて開示を許容する上限値は、上限確率に限るものではなく、過去の送出データおよびこれから送出する蓄積データをもとにした対象データの出現傾向を判別するための類似度の上限値とすることもできる。

また、図３に示すブラックリストは一例であって、必要に応じて任意のフィールドを定義し、各フィールドについて設定できるようにしても良い。また、提供者設定管理部２６は、ＧＵＩを通じて、データ提供者１２に対してブラックリストに設定可能な図３に示す各フィールドの項目を提示し、任意に選択されたフィールドに対する設定データを入力してブラックリストを設定するようにしても良い。これにより、データ提供者１２が外部機器１４から送信される機器通信データの観測値や、その観測値の範囲などを知らない場合であっても、データ提供者１２のブラックリストの設定作業を容易にすることが可能となる。さらに、本実施形態ではブラックリストの周期と対象期間について「なし」とすることもできる。この場合、周期について「なし」とすることで、過去の指定時刻のデータを使用せず最近のデータのみを使用することを設定でき、対象期間について「なし」とすることで、開示度制御装置１０と該当する外部機器１４の動作が開始されてから全てのデータを対象とすることを設定できる。

クエリ管理部３０は、データ要求者Ａ，Ｂ，…が開示度制御装置１０に対して要求を入力するためのインタフェース（例えば、ＧＵＩ）を持ち、各データ要求者Ａ，Ｂ，…からの機器通信データの取得要求（データ要求クエリ）を受信する。クエリ管理部３０は、データ要求者Ａ，Ｂ，…から入力されたデータ要求クエリを内部に保持する。データ要求クエリは、例えば図４に示すように、データ要求者に対して個々に割り当てられた要求者ＩＤと、データ種類、期間、及び観測間隔のそれぞれについての要求値という形で表現される。例えば、図４に示す要求者ＩＤ「０１」が割り当てられたデータ要求者からのデータ要求クエリは、データ種類「生活状態」について、期間「最近１か月」の観測間隔「１時間」の機器通信データの取得要求であることを示している。なお、データ要求クエリは、必要であれば任意のフィールドを定義して、追加してもよい。

送信ログ保持部３２は、データ送信部４０によるデータ要求者Ａ，Ｂ，…に対する機器通信データの送信ログ、すなわち過去に送信した機器通信データの情報を保持する。送信ログ保持部３２は、データ要求者Ａ，Ｂ，…毎に送信ログを保持するもので、データ送信部４０から機器通信データが送信される時に、データ送信部４０から送信データに関するログを受信して保持する。送信ログ保持部３２は、例えば図５に示すように、送信時刻、送信先のデータ要求者を識別するＩＤ、データ種類、送信データのタイムスタンプ、送信データの観測値のそれぞれについての数値の形で送信ログを保持する。例えば、図５には、送信時刻「２０１３．２．５ １２：００」に送信先「要求者ＩＤ＝０２」のデータ要求者に対して、データ種類「温度」についての観測値「２５℃」（送信データのタイムスタンプ「２０１３．２．５ １１：００」）を送信したことを示す送信ログを示している。なお、送信ログは、必要であれば任意のフィールドを定義して、追加してもよい。

送信判断部３４は、機器情報管理部２４、提供者設定管理部２６、クエリ管理部３０より取得された情報と、データ蓄積部２２から取得した送信予定の機器通信データ、及び送信ログ保持部３２から取得した送信ログ（過去に送信した機器通信データの情報）をもとに、ブラックリストに設定された条件を満たすデータの送信を判断する。送信判断部３４は、送信予定の機器通信データ及び過去に送信済の機器通信データから判明しうる傾向（傾向の詳細については傾向検出部３６についての説明を参照）がどの程度であり、それがブラックリストにおいて提供者が設定した条件を満たしているか否かを判定し、満たしていない場合、送信予定の機器通信データをどのように変換させればブラックリストに設定された条件を満たすかを探索し、決定する。

送信判断部３４は、傾向に関する計算をブラックリストの条件に応じて、後述の傾向検出部３６に対して要求する。傾向検出部３６が傾向の計算をすることかできる機能を有していない場合、送信判断部３４は、システム外部からネットワーク等を通じて必要とする傾向の計算をできる機能を探索し、ダウンロードとインストールにより利用可能としたり、またはその公開ＡＰＩ（Application Programming Interface）を通じて当該機能に計算要求を出したりすることができる。送信判断部３４は、システム外部の機能を探索・利用する場合には、例えば、予めプログラムの種類と配備場所、処理内容を含むレポジトリを持っているものとする。送信判断部３４は、提供可能な機器通信データのうち、ブラックリストに設定された条件を満たすデータ、すなわち開示を制御したい対象データの値やその範囲、対象データを収集する時間帯、対象データの出現傾向を算出する際に利用する周期、収集対象期間に該当する機器通信データが、ブラックリストに設定された条件のもとで開示を許容する上限値を超過しない場合には、データ変換部３８によるデータに対する変換処理を経ないで、開示を制御する対象であるデータ要求者に対してデータ送信部４０を通じて送信させる。一方、送信判断部３４は、提供可能な機器通信データが、ブラックリストに設定された対象データについて開示を許容する上限値を超過する場合には、ブラックリストに設定された上限値を超過した場合のデータ処理方法に応じて、データ変換部３８によるデータ変換処理を実行させて、上限値を超過しないデータに変換した上でデータ送信部４０を通じて送信させる。

傾向検出部３６は、送信判断部３４からの要求に応じて、観測対象（データ提供者自身、環境、物体等）について行動や特徴の傾向を分析し、分析結果とする数値を算出して送信判断部３４に通知する。例えば、傾向検出部３６は、複数日の観測された機器通信データに対する、ある時間帯における特定の状態である確率値の計算や、相関係数の算出、及びある期間内での位置情報の類似度などを分析する。また、傾向検出部３６は、送信判断部３４からの異なる要求に対応することができるように、異なる内容の傾向を算出することができる複数種類の機能を実装することができる。さらに、傾向検出部３６は、予め実装された機能により送信判断部３４から要求された傾向の検出ができない場合は、送信判断部３４によりシステム外部から探索された機能をダウンロードとインストールにより実行可能としたり、または公開ＡＰＩを通して利用したりすることができる。

データ変換部３８は、データ蓄積部２２より機器通信データを取得し、送信判断部３４から受信した変換処理に関する決定情報に応じてデータ変換処理を行った上で、変換済みの機器通信データをデータ送信部４０へ送信する。

データ送信部４０は、データ変換部３８から受信した機器通信データを、データ送信先のデータ要求者へ送信すると共に、送信データに関するログを送信ログ保持部３２へ送信して、保持させる。

次に、本実施形態における開示度制御装置１０の動作について説明する。本実施形態における開示度制御装置１０の動作は、外部機器１４を接続した際に行われる初期化処理と、データ要求者Ａ，Ｂ，…からのデータ要求クエリを受信した際に行われる変換・送信処理とに分類される。以下、初期化処理と変換・送信処理のそれぞれについて説明する。

まず、開示度制御装置１０による初期化処理について、図６に示すフローチャートを参照しながら説明する。

まず、機器情報管理部２４は、開示度制御装置１０に接続された外部機器１４の機器情報を入力して保持する（ステップＳ１−１）。例えば、機器情報管理部２４は、ＧＵＩなどのインタフェースを通じて、データ提供者１２による手動設定により機器情報を入力したり、あるいはＵＰｎＰのような自動設定取得機能を用いてネットワークを通じて機器情報を入力したりすることができる。

機器情報管理部２４は、例えば図２に示すように、複数の外部機器１４が開示度制御装置１０に接続された場合には、それぞれの外部機器１４についての機器情報を入力して保持する。図２に示す機器情報では、３種類の外部機器１４（機器名称「生活状態センサ」「照度センサ」「ＧＰＳセンサ」）の機器情報が保持されている状態を示している。機器情報管理部２４は、機器情報として、それぞれの外部機器１４が観測することができる観測値の集合である観測値集合を入力して、図２に示すような形式で保持する。

次に、提供者設定管理部２６は、機器情報管理部２４により保持された機器情報に基づいて、データ提供者１２からの指示に応じてブラックリストを設定して保持する（ステップＳ１−２）。

例えば、提供者設定管理部２６は、ＧＵＩなどのインタフェースを通じて、機器情報管理部２４により保持された機器情報をデータ提供者１２に提示して、データ提供者１２から機器情報をもとにしたブラックリストの設定内容を入力する。例えば、データ提供者１２は、図２に示す機器ＩＤ「０１」の生活状態センサについての機器情報を参照しながら、データ種類の「生活状態」を指定し、「生活状態」に対応する観測値集合「仕事中、食事中、休憩中、就寝中、娯楽中、移動中」から「仕事中」を指定することにより、図３に示すブラックリストのように、対象データ「生活状態＝食事中」について設定することができる。

この対象データ「生活状態＝食事中」については、時間帯「毎時」、周期「１日」、対象期間「２か月」がデータ提供者１２により設定されている。さらに、対象データ「生活状態＝食事中」が１日を周期として１時間毎の各時間帯に表れる確率（「傾向」）に対する上限確率「０．８」が設定され、この上限確率「０．８」を超過した場合の機器通信データに対する処理方法として「データ自体の隠ぺい」が設定されている。これにより、データ提供者１２は、対象データ「生活状態＝食事中」についての機器通信データが上限確率「０．８」を超過して発生している場合には、「データ自体の隠ぺい」をするように、開示度制御装置１０により制御させることができる。

なお、図３に示すブラックリストの例では、機器通信データの「傾向」が上限確率（上限値）を超過した場合の処理方法として「データ自体の隠ぺい」のみを示しているが、データ提供者１２が要求する開示レベル以下に収まるように機器通信データを変換する処理方法を設定することができる。データの変換方法としては、例えば観測データの観測間隔を大きくする方法、観測データの観測値精度を低下させる方法、データ提供者１２が指定した対象データをフィルタリングして、別のデータに書き替える方法などを設定することができる。なお、データの変換方法の具体的な例については、後述する図７のステップＳ２−８の処理として説明する。

また、図３に示すブラックリストの対象データ「生活状態＝食事中」については、機器通信データを送信する対象として「全て」が設定されているが、特定のデータ要求者に対してのみを対象とする場合には、例えば「要求者ＩＤ＝０２」のように、データ要求者を特定する要求者ＩＤをブラックリストに設定することが可能である。

こうして、データ提供者１２は、開示度制御装置１０に対して、一定条件の開示範囲を定義するブラックリストを予め設定しておくことで、機器通信データを要求するデータ要求者Ａ，Ｂ，…やデータの内容に応じて、データの開示／非開示の設定を逐次書き換えるといった操作をすることなく、ブラックリストに設定されたデータ提供者１２が意図する条件に沿ったデータをデータ要求者Ａ，Ｂ，…に対して提供することができるようになる。

次に、開示度制御装置１０による変換・送信処理について、図７に示すフローチャートを参照しながら説明する。変換・送信処理は、データ要求者Ａ，Ｂ，…からデータ要求クエリを受信した場合に実行される処理であって、各外部機器１４から受信された機器通信データを、データ提供者１２が設定したブラックリストの条件に従って送信するもので、必要に応じて機器通信データを変換して送信する。

まず、クエリ管理部３０は、データ要求クエリをデータ要求者Ａ，Ｂ，…の何れかより取得する（ステップＳ２−１）。データ要求クエリには、例えば図４に示すように、要求者ＩＤと、データ種類、期間、及び観測間隔のそれぞれについての数値が含まれる。

次に、送信判断部３４はクエリ管理部３０よりデータ要求クエリを取得し（ステップＳ２−２）、そのデータ要求クエリの条件を満たす機器通信データをデータ蓄積部２２より取得し、またデータ要求クエリに含まれる要求者ＩＤ及びデータ種類に合致する送信ログを送信ログ保持部３２より取得する（ステップＳ２−３）。

次に、送信判断部３４は、初期化処理により設定されたブラックリストを提供者設定管理部２６より取得する（ステップＳ２−４）。その後、送信判断部３４は、ステップＳ２−３，Ｓ２−４において取得した情報と、ブラックリストの情報を傾向検出部３６へ送信し、当該機器通信データが持つ傾向について分析（「傾向」を表す数値の計算）を依頼し、傾向検出部３６が検出した分析結果を受信する（ステップＳ２−５）。送信判断部３４は、傾向検出部３６から受信した分析結果をブラックリストと比較し、ブラックリストにおいて設定された開示の上限値を超過しているかを判定する（ステップＳ２−６）。

ここで、傾向検出部３６による分析結果が上限値を超過している場合（ステップＳ２−７のＹＥＳ）、データ変換部３８は、ブラックリストにおいて設定された処理方法に従って、当該機器通信データに対して変換処理を行う（ステップＳ２−８）。その後、ステップＳ２−５の処理に戻る。なお、機器通信データに対する変換処理の詳細については後述する。

一方、傾向検出部３６による分析結果が上限値を超過していない場合（ステップＳ２−７のＮＯ）、データ変換部３８は、機器通信データに対して変換処理を実行せずに、データ送信部４０を通じて要求者へ送信する（ステップＳ２−９）。

ここで、ステップＳ２−８におけるデータ変換部３８による変換処理の詳細について説明する。
ステップＳ２−８における変換処理は、例えば以下のような処理の種類と例がある。データ変換部３８は、これらの処理のうちどれを選択されるかはブラックリストに含まれる「処理方法」情報によって決定され、データ変換部３８において処理される。

時系列の曖昧化（観測データの観測間隔を大きくする方法）：例えば１分間隔のデータを、１時間間隔のデータとする。
データ自体の曖昧化（観測データの観測値精度を低下させる方法）：例えば有効数字０．０１のデータを、０．１とする。
データ自体の隠ぺい（別のデータに書き替える方法）：ブラックリストで設定された上限値に抵触するデータである０．２５を、別のデータ（例えば前時刻での観測データや、ランダムに選ばれたデータである）１．５で置き換える。

次に、本実施形態における具体的な処理例（１）（２）（３）（４）について説明する。
（１）複数回送信される生活状態データから判明する生活習慣をフィルタする場合。
データ提供者１２の外部機器１４であるスマートフォンから開示度制御装置１０に入力される機器通信データが、スマートフォン内で取得されたデータから解析された結果である、生活状態を表す定性的データ（図２に示す、データ種類「生活状態」に対応する観測値集合が示す値）である場合を例としてあげる。図８は、外部機器１４（スマートフォン）からの入力される機器通信データの一例を示している。

ここでは、２０１３年３月１日０：００に外部機器１４が開示度制御装置１０に接続されたと仮定し、その際に初期化処理が行われることとする。まず、機器情報管理部２４は、データ提供者１２の操作により外部機器１４の機器情報を入力して保持する（ステップＳ１−１）。この時に入力された機器情報は、図２に示す機器ＩＤ＝０１に対応するデータとする。

次に、提供者設定管理部２６は、機器情報に基づくデータ提供者１２の操作によりブラックリストを設定する（ステップＳ１−２）。ここでし、図３に示すように、対象データ「生活状態＝食事中」について、（時間帯、周期、対象期間、上限確率、対象、処理方法）として（毎時、１日、１か月、０．８、全て、データ自体の隠ぺい）が設定されているものとする。

次に、開示度制御装置１０は、クエリ管理部３０によりデータ要求者からデータ要求クエリを受信すると、変換・送信処理を実行する。

クエリ管理部３０は、要求者ＩＤ＝０１のデータ要求者から、図４に示すデータ要求クエリを受信したとする（ステップＳ２−１）。送信判断部３４は、クエリ管理部３０からデータ要求クエリを取得した後（ステップＳ２−２）、データ要求クエリに含まれる情報をもとに、データ蓄積部２２から該当する機器通信データを取得し、送信ログ保持部３２から該当する送信ログを取得する（ステップＳ２−３）。

例えば、送信ログ保持部３２に保持された送信ログが、図５に示す内容である場合、要求者ＩＤ＝０１への送信ログはない。一方、データ蓄積部２２からデータ要求クエリのデータ種類と一致する機器通信データとして、図８に示す生活状態に関するデータを取得する。

次に、送信判断部３４は、ブラックリストとして、図３に示す対象データ「生活状態＝食事中」に対して設定された（食事中、毎時、１日、２か月、０．８、全て，データ自体の隠ぺい）の各情報を提供者設定管理部２６より取得する（ステップＳ２−４）。送信判断部３４は、これらの情報を傾向検出部３６へ送信し、傾向検出部３６が検出した機器通信データの傾向についての分析結果を取得する（ステップＳ２−５）。

例えば、傾向検出部３６は、対象データとする機器通信データの中で、ブラックリストが指定した対象期間である当該データを保持していた期間について、１日を周期として１時間毎の各時間帯において、どの種類の機器通信データがどの程度の確率で表れているかを「傾向」として算出する。もし、ある時間帯における特定の行動に関する機器通信データが多く出ているならば、その時間帯におけるその行動の発生確率が高い、すなわちその時間帯におけるその行動は習慣的であるといえる。

図９は、傾向検出部３６により検出される傾向検出結果の一例を示している。図９に示す例では、ブラックリストにあった「毎時」の期間と「１日」の周期に従って１日の中での毎時の行動において、最も頻度が高かった「生活状態」とその確率（または類似度とすることもできる）が計算されている。

この結果を基に、送信判断部３４は、検出結果がブラックリストに示した上限値を超過（抵触）しているかを判定する（ステップＳ２−６）。この例では、図９に示す傾向検出結果を示すデータのうち（１：００、食事中、０．８５７）が、ブラックリストの条件と合致し、なおかつ上限確率を超えている。この場合、データ変換部３８は、該当する機器通信データについてデータ変換を実行する。

本例の場合、データ変換部３８は、前述した変換処理の方法のうち、ブラックリスト中の「処理方法」に指定された「データ自体の隠ぺい」を行う。例えば、１：００に食事中である確率がブラックリストに設定された上限確率０．８を超過しないよう、２８日分ある１：００に観測されたデータの内、ランダムに選択された１つのデータの値を、その前の時間帯（時刻）の値に置き換える。

例えば、図８に示す「２０１３．２．１ １：００」のデータについて値「食事中」の置き換えをする場合には、その前の時間帯（時刻）の値「仕事中」に置き換えられる。実際には、傾向検出結果として確率０．８５７となる状況は、２８日分の時刻１：００のデータ中、２４日分のデータが食事中であることを示すため、確率０．８以下にするために、確率が０．７８６まで下がる２２日分のデータを「食事中」と置き換えれば良い。つまり、ランダムに選択した１日分のデータの値を置き換える処理を行った後、再度、ステップＳ２−５を経て、ステップＳ２−６，Ｓ２−７で判定され、さらに１日分の置き換えがされればよい（ステップＳ２−８）。

その結果、ステップＳ２−８の処理を２回実行した後のステップＳ２−５では、図１０に示すような、変換後の傾向検出結果が得られる。すなわち、１：００に食事中である確率がブラックリストに設定された上限確率０．８を超過しない値（０．７８６）に変換されているため、このデータがデータ送信部４０を通じてデータ要求クエリ発行元の要求者へ送信される（ステップＳ２−９）。また、この時の送信ログは、図１１に示す送信時刻「２０１３．３．１ ０：００」以降のデータのように保存される。

次に、２０１３年４月１日０：００に、同じデータ要求者（要求者ＩＤ＝０１）からデータ要求クエリを受信した場合を考える。この場合、ステップＳ２−１〜Ｓ２−４の動作は前述と同様にして実行される。

ステップＳ２−５では、図３に示すように、ブラックリストの対象データ「生活状態＝食事中」に対して「対象期間＝２か月」と設定されているため、傾向検出部３６は、今回送信予定の２０１３年３月１日０：００〜３月３１日２３：５９までの機器通信データのみでなく、図１１に示すような、送信ログ保持部３２に保持されている２０１３年２月１日０：００〜２月２８日２３：５９までの送信ログも用いて、ブラックリストが指定した対象期間中について、１日を周期として１時間毎の各時間帯において、どの種類のデータがどの程度の確率で表れているかを算出する。

その後の動作は前述と同様にして実行される。もし２か月分のデータから計算した結果がブラックリストに抵触する場合、過去に送信したデータは改変できないため、データ変換部３８は、今から送信予定の３月分のデータの書き換えを行い、ブラックリストに抵触しないデータに変換した後、送信する。

（２）環境データの変化傾向の一部を、複数ある傾向検出部３６から選んだ手段を用いてフィルタする場合。
環境データとして、照度センサから取得される機器通信データを対象とし、その一部をフィルタする場合を例にあげる。外部機器１４から開示度制御装置１０が取得するデータを図１２に示す。

まず、機器情報管理部２４は、照度センサが接続された際、初期化処理において「照度センサ」についての機器情報を入力して保持する（ステップＳ１−１）。ここでは、図２に示す「機器ＩＤ＝０２」に対応する機器情報が入力されたものとする。次に、提供者設定管理部２６は、ステップ１−２において、データ提供者１２によりブラックリストが設定される。ここで、図３に示す対象データ「照度の分散≧５０」に対応する各情報が設定されたとする。

初期化処理の後、開示度制御装置１０は、２０１３年３月３日１３：００に、図４に示す「要求者ＩＤ＝０２」からのデータ要求クエリを受信すると変換・送信処理を実行する。

送信判断部３４は、クエリ管理部３０を通じてデータ要求クエリを取得した後（ステップＳ２−２）、データ要求クエリに含まれる情報をもとに、データ蓄積部２２から該当する機器通信データを取得し、送信ログ保持部３２から該当する送信ログを取得する（ステップＳ２−３）。すなわち、送信判断部３４は、送信予定のデータとして、データ要求クエリと合致する図１２に示すような照度データをデータ蓄積部２２より取得する。また、送信判断部３４は、ブラックリストとして、データ要求クエリ中のデータ種類に応じて、図３に示す対象データ「照度の分散≧５０」に対して設定された（夜１９時〜朝６時の毎時、１日、１か月、０．７５、要求者ＩＤ＝２、データ自体の隠ぺい）の各情報を提供者設定管理部２６より取得する（ステップＳ２−４）。

次に、送信判断部３４は、傾向検出部３６に対して機器通信データの傾向についての分析結果を要求するが、ブラックリストにおいて対象データとして設定された「分散」を算出する機能が傾向検出部３６において予め用意されていなかったとする。この場合、送信判断部３４は、開示度制御装置１０の外部（インターネット等のネットワーク上にある外部装置など）に存在する、「分散」が算出できる機能を探索し、この外部の機能を利用して、送信判断部３４から要求された分析結果を検出する。

例えば、傾向検出部３６は、予め設定された図１３に示すような、各種処理を実行可能な機能を提供することができる外部装置やネットワーク上の場所を示すレポジトリを参照し、「分散」を計算できる機能を探索して、決定する。複数候補がある場合、送信判断部３４は、予め設定された複数のレポジトリについて、順次、ＨＴＴＰ（HyperText Transfer Protocol）等でアクセスし、応答があったものを選択する。

例えば、図１３に示すレポジトリ「１３３．９．３３．３１」が示す場所（ネットワーク上の外部装置）において「任意区分の分散を計算後、区間ごとの傾向検出」の処理を実行可能であるので、送信判断部３４は、ステップＳ２−３で取得したデータを、このレポジトリをもとに探索した外部装置の機能に送信することで分析結果を取得する。すなわち、送信判断部３４は、ブラックリストに設定された時間帯及び周期に基づく、１９時から朝６時の毎時データ（１５分毎のデータのため４個ずつ）の分散と、各時間帯で分散が５０以上となる確率を計算結果として受信する。

ここでは、例えば図１４に示すような傾向検出結果が得られたとする。図１４に示す傾向検出結果の例では、「１：０１−２：００」の１時間で、分散が５０以上の確率が０．８５７であり、ブラックリストに設定された上限値０．７５を超えていることが分かる。

これは、１時台に照度の変動が大きい、すなわちデータ提供者１２に電灯を消して寝る、あるいは電灯を点けて起きるといった行動が多いという情報を与えうることを意味している。この場合、変換・送信処理のステップＳ２−８において、データ変換部３８は、機器通信データに対する変換処理を実行する。ここでは、データ要求クエリにより指定されたデータ観測間隔が１時間であるのに対して、機器通信データが１５分間隔で観測されたデータであるため、データ数を減らす余裕がある。この場合、データ変換部３８は、変換処理によって、２８日分ある１時台（１：００，１：１５，１：３０，１：４５）の４つのデータについて、分散が５０を超えている日のうちランダムで選ばれた１日を４データの平均値に置き換えることで、その日の１時台の照度データの分散を減らす処理を行う。この例の場合、確率０．８５７は２８日中２４日で分散が５０を超えていることを意味しており、確率０．７５にまで落とすにはあと３日の１時台の機器通信データについて分散を小さくする必要がある。データ変換部３８は、変換処理によって１日分ずつ機器通信データを平均値に置き換え、分散を減らすので、繰り返し処理によってステップＳ２−８の変換処理を３回実行することにより、ブラックリストに設定された上限値を超過しないようにすることができる。この変換処理をした結果、ステップＳ２−９の処理へ遷移し、データ送信部４０は、変換済みデータを要求者ＩＤ＝０２のデータ要求者に対して送信し、その送信ログを送信ログ保持部３２に保存させる。

（３）同時刻の複数種類データを異なるタイミングで同じデータ要求者へ送信しようとする場合。
前述した処理例（１）では、初回のデータ要求クエリによってデータ種類「生活状態」の機器通信データが要求されているが、次のデータ要求クエリによって、同じデータ要求者より、前回送信したデータ種類「生活状態」の機器通信データと同じ時刻に観測された照度データが要求されたとする。

この場合、ブラックリストに、例えば図１５に示すような情報が含まれていれば、過去に送信したデータ種類「生活状態」についての機器通信データの送信ログと、送信予定のデータ種類「照度」の機器通信データとを組み合わせた、複数種類のデータ種類にそれぞれ対応する機器通信データについての「傾向」を、傾向検出部３６によって検出させることができる。この場合、ブラックリストに設定された上限値を超過するデータがあった場合、送信予定の照度データについて、処理例（１）のように変換処理を実行して、ブラックリストの設定に抵触しないデータとして送信することになる。

（４）リアルタイムデータの判定を行う場合。
処理例（４）は、長期的なデータではなく、最近のデータに対してブラックリストに抵触するかをチェックし、フィルタする例である。
まず、開示度制御装置１０は、機器情報管理部２４により図２に示す機器情報を入力し、提供者設定管理部２６により図３に示すブラックリストを入力したものとする（ステップＳ１−１、１−２）。

次に、クエリ管理部３０は、２０１３年２月１日０：０１の時点で、図４に示すように、要求者ＩＤ＝３のデータ要求者より、最近５分間の位置情報データを５分毎に要求するデータ要求クエリを受信したとする（ステップＳ２−１、Ｓ２−２）。

次に、送信判断部３４は、データ受信部２０により外部機器１４から受信され、データ蓄積部２２に蓄積された機器通信データから、データ要求クエリの条件を満たすデータを取得する。この場合、送信判断部３４は、時刻０：０５の時点で、その時点で持っている最近５分間の機器通信データを送信するものと判断する。ここで、機器通信データは、外部機器１４によって、時刻０：００を基準として５分毎にＧＰＳ座標の幅を持ったデータとして観測され、データ受信部２０により受信されることを前提とする。従って、送信判断部３４は、時刻０：０５に観測された機器通信データを選択して、図３に示すブラックリストに設定された位置情報に対する設定内容に該当するか否かを判断する。図３に示すブラックリストに設定された位置情報については周期「なし」と設定されているため、観測データ（機器通信データ）と、ブラックリストにおいて設定された対象データとをもとに以下の計算をして、設定内容に該当するか否かを判断する。

外部機器１４である温度センサが、１分単位のタイムスタンプ付で温度データを１．０℃の精度で１分間隔に観測する場合、たとえば(０：００，２３℃），(０：０１，２４℃）という観測値が観測される．このうち(０：０１，２４℃）は「０：００：００．００…１〜０：０１：００の間で、２３．５℃〜２４．４９…９℃」の間のいずれかの値を示していると考えられる。そのため、この観測値は以下のように表される。

処理例（４）における類似度は、時刻、緯度、経度の３次元上において、ブラックリストに設定された対象範囲と最近３０分のデータが重なった体積と、ブラックリストの対象範囲により設定された体積との比を表しており、値が大きいほど、送信予定の機器通信データはブラックリストに設定された対象データに近いといえる。

最初の送信である０：０６時点では、０：０５の観測データのみが代入され、Ｓｉｍｉｌａｒｉｔｙ＝０となる。これはブラックリストに抵触していないため、送信される。
これを繰り返すことで、図１６に示すように送信時毎の各時間内の機器通信データをもとに類似度が計算される。時刻０：１１以降でのデータ送信では、図１７に示すような送信ログも用いて計算される。

ここで、時刻０：４６時点でのデータ送信を考える。この場合、時刻０：２０から時刻０：４５までの時間の観測値を利用して類似度を計算する。この計算により得られる類似度は、図１６に示すように１．１８７５となるが、これは図３に示すブラックリストの位置情報に対して設定された許容値（上限確率０．７５）を超過する。このため、ブラックリストに設定された処理方法が示す「データ自体の隠ぺい」のために、例えば図１８に示すようにデータを改ざんしてデータ要求者に送信する。

このようにして、本実施形態における開示度制御装置１０では、データ提供者１２の状態（行動）等を観測するための外部機器１４から出力される各種の機器通信データを、データ要求者Ａ，Ｂ，…に送信する場合、あるいは断続的に機器通信データを長期間送信する場合において、複数の機器通信データから判明するデータ提供者１２にとって一定の許容範囲で開示したい情報（データ提供者１２の傾向など）を予めブラックリストとして設定されていれば、データ提供者１２に意識させることなく、常時、自動的に機器通信データを管理して、データ送信を制御することができる。従って、データ提供者の操作負担を増大させることなく、データ要求者やデータの内容に応じた一定条件の開示範囲のデータを送信することが可能となる。

開示度制御装置１０は、データ提供者１２が個人行動にかかわる機器通信データを開示することでデータ要求者Ａ，Ｂ，…のサービスを受ける場合に、データ提供者１２が予めブラックリストに設定した開示レベルを超過する機器通信データが送出対象となる場合には、開示レベル以下に収まるように機器通信データを加工（データ受信間隔またはデータ値の精度を改ざん）してデータ要求者Ａ，Ｂ，…へ送信する。

ブラックリストには、提供可能な機器通信データのうち、開示を制御したい対象データの値やその範囲、対象データを収集する時間帯、対象データを収集する周期、収集対象期間、対象データについて開示を許容する上限値、開示を制御する対象である要求者、上限値を超過した場合のデータ処理方法を設定することができる。

開示度制御装置１０は、ブラックリストの設定内容に従い、対象データについて過去に送出した機器通信データ（送信ログ）及びこれから送出する機器通信データをもとに、ブラックリストに規定した収集対象期間について対象データの出現傾向（特異なデータの発生確率または類似度など）を求め、傾向がブラックリストに定義した開示の上限値を超過しなければ通常に対象データを送出し、超過した場合には機器通信データを加工（データ受信間隔またはデータ値の精度を改ざん）した上でデータ要求者Ａ，Ｂ，…へ送出することで、データ要求者Ａ，Ｂ，…やデータの内容に応じた開示制御を実現することができる。

なお、前述した実施形態に記載した方法は、コンピュータに実行させることができる開示度制御プログラムとして、例えば磁気ディスク（フレキシブルディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ（ＲＯＭ、ＲＡＭ、フラッシュメモリ等）等の記録媒体に格納し、また通信媒体により伝送して頒布することもできる。なお、媒体側に格納されるプログラムには、コンピュータに実行させるソフトウエア手段（実行プログラムのみならずテーブルやデータ構造も含む）をコンピュータ内に構成させる設定プログラムをも含む。本装置を実現するコンピュータは、記録媒体に記録されたプログラムを読み込み、また場合により設定プログラムによりソフトウエア手段を構築し、このソフトウエア手段によって動作が制御されることにより上述した処理を実行する。なお、本明細書でいう記録媒体は、頒布用に限らず、コンピュータ内部あるいはネットワークを介して接続される機器に設けられた磁気ディスクや半導体メモリ等の記憶媒体を含むものである。

また、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

１０…開示度制御装置、１２…データ提供者、１４…外部機器、２０…データ受信部、２２…データ蓄積部、２４…機器情報管理部、２６…提供者設定管理部、３０…クエリ管理部、３２…送信ログ保持部、３４…送信判断部、３６…傾向検出部、３８…データ変換部、４０…データ送信部、Ａ，Ｂ…データ要求者。

Claims (4)

1. データ提供者の状態を観測するための外部機器から機器通信データを受信するデータ受信手段と、
   対象とする機器通信データを特定するための第１情報と、前記第１情報により特定される機器通信データについての開示の条件を示す第２情報とを含むリストを管理する管理手段と、
   データ要求者に対して過去に送信した機器通信データについての送信ログを保持する送信ログ保持手段と、
   データ要求者からの要求に対して、要求された送信対象とする第１の機器通信データと前記送信ログが示す第２の機器通信データとをもとに、前記第１の機器通信データが前記第２情報の条件を満たしているか判断する送信判断手段と、
   前記第２情報の条件を満たしていないと判断された前記第１の機器通信データを、前記第２情報の条件を満たす第３の機器通信データに変換するデータ変換手段と、
   前記第２情報の条件を満たしていると判断された前記第１の機器通信データ及び前記第３の機器通信データを送信する送信手段と
   を具備したことを特徴とする開示度制御装置。
2. 前記第２情報が示す条件は、所定期間における特異なデータの発生確率またはデータの類似度の上限値により定義されることを特徴とする請求項１記載の開示度制御装置。
3. 開示度制御装置が実行する開示度制御方法であって、
   データ提供者の状態を観測するための外部機器から機器通信データを受信するデータ受信ステップと、
   対象とする機器通信データを特定するための第１情報と、前記第１情報により特定される機器通信データについての開示の条件を示す第２情報とを含むリストを管理する管理ステップと、
   データ要求者に対して過去に送信した機器通信データについての送信ログを保持する送信ログ保持ステップと、
   データ要求者からの要求に対して、要求された送信対象とする第１の機器通信データと前記送信ログが示す第２の機器通信データとをもとに、前記第１の機器通信データが前記第２情報の条件を満たしているか判断する送信判断ステップと、
   前記第２情報の条件を満たしていないと判断された前記第１の機器通信データを、前記第２情報の条件を満たす第３の機器通信データに変換するデータ変換ステップと、
   前記第２情報の条件を満たしていると判断された前記第１の機器通信データ及び前記第３の機器通信データを送信する送信ステップと
   を具備したことを特徴とする開示度制御方法。
4. 請求項１に記載の開示度制御装置が具備する各手段が行う処理を、当該開示度制御装置が備えるコンピュータに実行させるプログラム。

Images