JP6803291B2 - プライバシー保護装置、プライバシー保護方法、及びプログラム - Google Patents
プライバシー保護装置、プライバシー保護方法、及びプログラム Download PDFInfo
- Publication number
- JP6803291B2 JP6803291B2 JP2017073948A JP2017073948A JP6803291B2 JP 6803291 B2 JP6803291 B2 JP 6803291B2 JP 2017073948 A JP2017073948 A JP 2017073948A JP 2017073948 A JP2017073948 A JP 2017073948A JP 6803291 B2 JP6803291 B2 JP 6803291B2
- Authority
- JP
- Japan
- Prior art keywords
- information
- unit
- combination
- privacy protection
- provider
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
本発明の実施形態は、プライバシー保護装置、プライバシー保護方法、及びプログラムに関する。
ソーシャルネットワーキングサービス（ｓｏｃｉａｌ ｎｅｔｗｏｒｋｉｎｇ ｓｅｒｖｉｃｅ：ＳＮＳ）とは、インターネット上の交流を通して社会的ネットワーク（ソーシャルネットワーク）を構築するサービスのことである。ソーシャルネットワークの機能として、送出された個人情報の内容を監視し、必要に応じて個人情報を修正して外部へ提供する技術が知られている。
ソーシャルネットワークに関して、ウェブサービスにパーソナルデータを提供する仕組みに関する規格が知られている（例えば、非特許文献１参照）。
Ｐ３Ｐ（Ｐｌａｔｆｏｒｍ ｆｏｒ Ｐｒｉｖａｃｙ Ｐｒｅｆｅｒｅｎｃｅ）にしたがって利用者によって設定される該利用者の意向に基づいて、これに違反するサービスが利用されようとした際に警告を発する技術が知られている（例えば、非特許文献２参照）。
ソーシャルネットワークに関して、ウェブサービスにパーソナルデータを提供する仕組みに関する規格が知られている（例えば、非特許文献１参照）。
Ｐ３Ｐ（Ｐｌａｔｆｏｒｍ ｆｏｒ Ｐｒｉｖａｃｙ Ｐｒｅｆｅｒｅｎｃｅ）にしたがって利用者によって設定される該利用者の意向に基づいて、これに違反するサービスが利用されようとした際に警告を発する技術が知られている（例えば、非特許文献２参照）。
Ｗ３Ｃ， "Ｔｈｅ ｐｌａｔｆｏｒｍ ｆｏｒ ｐｒｉｖａｃｙ ｐｒｅｆｅｒｅｎｃｅｓ １．０ （Ｐ３Ｐ１．０） ｓｐｅｃｉｆｉｃａｔｉｏｎ"， ２０００．
Ｌｏｒｒｉｅ Ｆａｉｔｈ Ｃｒａｎｏｒ， ｅｔ ａｌ． "Ｕｓｅ ｏｆ ａ Ｐ３Ｐ Ｕｓｅｒ Ａｇｅｎｔ ｂｙ Ｅａｒｌｙ Ａｄｏｐｔｅｒｓ"， Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２００２ ＡＣＭ ｗｏｒｋｓｈｏｐ ｏｎ Ｐｒｉｖａｃｙ ｉｎ ｔｈｅ Ｅｌｅｃｔｒｏｎｉｃ Ｓｏｃｉｅｔｙ， ＷＰＥＳ’０２， ｐｐ．１−１０， ２００２．
他人に知られたくない情報は、情報の提供先や、情報の種類によって異なる。しかし、情報の種類が数百種類にも及ぶ場合もあり、利用者が情報の提供先や情報の種類毎に提供してよいか否かを判断するとともに、提供してもよい粒度等に情報を修正することは、利用者にかなりの労力を強いることになる。このため、実際には、提供先毎に情報を送信するか否かが設定されているに過ぎない。情報を送信しないように設定されている提供先であっても、情報の種類や状況によっては送信してもよい場合があるが、現状では送信されないため、利用者は、情報を提供することによって得られるサービスが制限されている。
さらに、他人に知られたくない情報（以下、「センシティブ情報」と呼ぶ。）は、利用者の価値観や機微性によっても異なることが想定されるが、情報を提供するか否かを判定する際に利用者の価値観や機微性は考慮されていない。
さらに、リアルタイム性を要求しないサービスを利用する場合において、位置情報などの情報を、サービス提供者に直ちに通知することは、正常の場合には大きなプライバシーリスクとなる場合がある。しかし、異常が発生し緊急の場合には、サービス提供者に、情報を、直ちに通知したいという要求がある。
本発明は、上記問題を解決すべくなされたもので、その目的は、サービス提供者に情報を提供する場合に、サービス提供者が、情報を取得するタイミングを制御することにある。
さらに、他人に知られたくない情報（以下、「センシティブ情報」と呼ぶ。）は、利用者の価値観や機微性によっても異なることが想定されるが、情報を提供するか否かを判定する際に利用者の価値観や機微性は考慮されていない。
さらに、リアルタイム性を要求しないサービスを利用する場合において、位置情報などの情報を、サービス提供者に直ちに通知することは、正常の場合には大きなプライバシーリスクとなる場合がある。しかし、異常が発生し緊急の場合には、サービス提供者に、情報を、直ちに通知したいという要求がある。
本発明は、上記問題を解決すべくなされたもので、その目的は、サービス提供者に情報を提供する場合に、サービス提供者が、情報を取得するタイミングを制御することにある。
（１）本発明の一態様は、端末装置が送信した複数の情報から、提供先が要求する情報又は情報の組み合わせを抽出する情報抽出部と、前記情報抽出部が抽出した情報又は情報の組み合わせがセンシティブ情報に該当するか否かを判定する情報判定部と、前記情報判定部がセンシティブ情報に該当すると判定した情報又は情報の組み合わせについて、前記提供先へ送信するか否かを判定する転送判定部と、前記転送判定部が前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを開示するタイミングを示す開示情報に基づいて、暗号鍵を生成する暗号鍵生成部と、前記転送判定部が前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化する暗号化部と、前記暗号化部が前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを暗号化した結果を、前記提供先へ送信する送信部とを備える、プライバシー保護装置である。
（２）本発明の一態様は、上記（１）に記載のプライバシー保護装置において、補助情報を生成する補助情報生成部を備え、前記暗号鍵生成部は、前記補助情報生成部が生成した前記補助情報と前記開示情報とに基づいて、前記暗号鍵を生成し、前記送信部は、前記暗号化部が前記提供先へ送信すると判定した前記情報又は前記開示情報の組み合わせを暗号化した結果と前記補助情報とを別々に、前記提供先へ送信する、プライバシー保護装置で
ある。
（３）本発明の一態様は、上記（１）に記載のプライバシー保護装置において、前記転送判定部によって前記提供先へ送信すると判定された前記情報又は前記情報の組み合わせについて、前記情報又は前記情報の組み合わせの粒度を変更する情報変更部を備え、前記暗号化部は、前記情報変更部によって情報の粒度が変更された前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化する、プライバシー保護装置である。
（４）本発明の一態様は、上記（３）に記載のプライバシー保護装置において、提供先へ送信する情報の保護のレベルを記憶する記憶部を備え、前記情報変更部は、前記記憶部に記憶された情報の保護のレベルに応じて、前記情報抽出部によって抽出された前記情報又は前記情報の組み合わせの粒度を変更する、プライバシー保護装置である。
（５）本発明の一態様は、上記（３）又は上記（４）に記載のプライバシー保護装置において、前記情報変更部は、所定の事象が発生しない場合に、前記情報又は前記情報の組み合わせの粒度を変更する、プライバシー保護装置である。
（６）本発明の一態様は、上記（３）から上記（５）のいずれか一項に記載のプライバシー保護装置において、前記情報変更部は、前記情報判定部によってセンシティブ情報に該当すると判定された前記情報又は前記情報の組み合わせの解像度、精度、又は鮮度を変更する、プライバシー保護装置である。
（７）本発明の一態様は、上記（３）から上記（６）のいずれか一項に記載のプライバシー保護装置において、補助情報を生成する補助情報生成部を備え、前記暗号鍵生成部は、前記補助情報生成部が生成した前記補助情報と前記開示情報とに基づいて、前記暗号鍵を生成し、前記暗号化部は、前記情報変更部によって情報の粒度が変更された前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化し、前記送信部は、前記暗号化部が前記情報の粒度が変更された情報又は情報の組み合わせを暗号化した結果と前記補助情報とを別々に、前記提供先へ送信する、プライバシー保護装置である。
（８）本発明の一態様は、上記（１）から上記（７）のいずれか一項に記載のプライバシー保護装置において、前記暗号化部は、時限式暗号化方式によって暗号化する、プライバシー保護装置である。
（９）本発明の一態様は、プライバシー保護装置が実行するプライバシー保護方法であって、端末装置が送信した複数の情報から、提供先が要求する情報又は情報の組み合わせを抽出するステップと、前記抽出するステップで抽出した情報又は情報の組み合わせがセンシティブ情報に該当するか否かを判定するステップと、前記センシティブ情報に該当すると判定した情報又は情報の組み合わせについて、前記提供先へ送信するか否かを判定するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを開示するタイミングを示す開示情報に基づいて、暗号鍵を生成するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを暗号化した結果を、前記提供先へ送信するステップとを有する、プライバシー保護方法である。
（１０）本発明の一態様は、プライバシー保護装置のコンピュータに、端末装置が送信した複数の情報から、提供先が要求する情報又は情報の組み合わせを抽出するステップと、前記抽出するステップで抽出した情報又は情報の組み合わせがセンシティブ情報に該当するか否かを判定するステップと、前記センシティブ情報に該当すると判定した情報又は情報の組み合わせについて、前記提供先へ送信するか否かを判定するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを開示するタイミングを示す開示情報に基づいて、暗号鍵を生成するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを暗号化した結果を、前記提供先へ送信するステップとを実行させる、プログラムである。
（２）本発明の一態様は、上記（１）に記載のプライバシー保護装置において、補助情報を生成する補助情報生成部を備え、前記暗号鍵生成部は、前記補助情報生成部が生成した前記補助情報と前記開示情報とに基づいて、前記暗号鍵を生成し、前記送信部は、前記暗号化部が前記提供先へ送信すると判定した前記情報又は前記開示情報の組み合わせを暗号化した結果と前記補助情報とを別々に、前記提供先へ送信する、プライバシー保護装置で
ある。
（３）本発明の一態様は、上記（１）に記載のプライバシー保護装置において、前記転送判定部によって前記提供先へ送信すると判定された前記情報又は前記情報の組み合わせについて、前記情報又は前記情報の組み合わせの粒度を変更する情報変更部を備え、前記暗号化部は、前記情報変更部によって情報の粒度が変更された前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化する、プライバシー保護装置である。
（４）本発明の一態様は、上記（３）に記載のプライバシー保護装置において、提供先へ送信する情報の保護のレベルを記憶する記憶部を備え、前記情報変更部は、前記記憶部に記憶された情報の保護のレベルに応じて、前記情報抽出部によって抽出された前記情報又は前記情報の組み合わせの粒度を変更する、プライバシー保護装置である。
（５）本発明の一態様は、上記（３）又は上記（４）に記載のプライバシー保護装置において、前記情報変更部は、所定の事象が発生しない場合に、前記情報又は前記情報の組み合わせの粒度を変更する、プライバシー保護装置である。
（６）本発明の一態様は、上記（３）から上記（５）のいずれか一項に記載のプライバシー保護装置において、前記情報変更部は、前記情報判定部によってセンシティブ情報に該当すると判定された前記情報又は前記情報の組み合わせの解像度、精度、又は鮮度を変更する、プライバシー保護装置である。
（７）本発明の一態様は、上記（３）から上記（６）のいずれか一項に記載のプライバシー保護装置において、補助情報を生成する補助情報生成部を備え、前記暗号鍵生成部は、前記補助情報生成部が生成した前記補助情報と前記開示情報とに基づいて、前記暗号鍵を生成し、前記暗号化部は、前記情報変更部によって情報の粒度が変更された前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化し、前記送信部は、前記暗号化部が前記情報の粒度が変更された情報又は情報の組み合わせを暗号化した結果と前記補助情報とを別々に、前記提供先へ送信する、プライバシー保護装置である。
（８）本発明の一態様は、上記（１）から上記（７）のいずれか一項に記載のプライバシー保護装置において、前記暗号化部は、時限式暗号化方式によって暗号化する、プライバシー保護装置である。
（９）本発明の一態様は、プライバシー保護装置が実行するプライバシー保護方法であって、端末装置が送信した複数の情報から、提供先が要求する情報又は情報の組み合わせを抽出するステップと、前記抽出するステップで抽出した情報又は情報の組み合わせがセンシティブ情報に該当するか否かを判定するステップと、前記センシティブ情報に該当すると判定した情報又は情報の組み合わせについて、前記提供先へ送信するか否かを判定するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを開示するタイミングを示す開示情報に基づいて、暗号鍵を生成するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを暗号化した結果を、前記提供先へ送信するステップとを有する、プライバシー保護方法である。
（１０）本発明の一態様は、プライバシー保護装置のコンピュータに、端末装置が送信した複数の情報から、提供先が要求する情報又は情報の組み合わせを抽出するステップと、前記抽出するステップで抽出した情報又は情報の組み合わせがセンシティブ情報に該当するか否かを判定するステップと、前記センシティブ情報に該当すると判定した情報又は情報の組み合わせについて、前記提供先へ送信するか否かを判定するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを開示するタイミングを示す開示情報に基づいて、暗号鍵を生成するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化するステップと、前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを暗号化した結果を、前記提供先へ送信するステップとを実行させる、プログラムである。
本発明によれば、サービス提供者に情報を提供する場合に、サービス提供者が、情報を取得するタイミングを制御することができる。
次に、本発明を実施するための形態を、図面を参照しつつ説明する。以下で説明する実施形態は一例に過ぎず、本発明が適用される実施形態は、以下の実施形態に限られない。
なお、実施形態を説明するための全図において、同一の機能を有するものは同一符号を用い、繰り返しの説明は省略する。
なお、実施形態を説明するための全図において、同一の機能を有するものは同一符号を用い、繰り返しの説明は省略する。
＜実施形態＞
＜通信システムの構成＞
図１は、実施形態に係るプライバシー保護装置が適用される通信システムの一例を示す。
通信システムは、プライバシー保護装置１００と、パーソナルデータ送出装置２００とを備える。パーソナルデータ送出装置２００には、データｄ０１、データｄ０２、・・・、データｄ０Ｎ（Ｎは、Ｎ＞２の整数）が供給される。パーソナルデータ送出装置２００は、通信ネットワーク２０と接続され、該通信ネットワーク２０を経由してデータｄ０１、データｄ０２、・・・、データｄ０Ｎをプライバシー保護装置１００へ送信する。通信ネットワーク２０の一例は、移動通信ネットワークである。パーソナルデータ送出装置２００の一例は、スマートフォン、タブレット端末、ＰＣ、車載端末等の端末装置である。
プライバシー保護装置１００は、パーソナルエージェントとも呼ばれ、通信ネットワーク２０及びインターネット５０等のネットワークと接続される。プライバシー保護装置１００には、プライバシーポリシーが設定される。プライバシーポリシーは、パーソナルデータ送出装置２００から送信されたデータをそのまま転送するのか、一定の条件に基づいて加工して転送するのか、転送しないのか等のデータの取り扱いを定めた規範である。例えば、プライバシーポリシーは、データｄ０１、データｄ０２、・・・、データｄ０Ｎをパーソナルデータ送出装置２００へ供給するプライバシー保護装置１００の利用者によって設定される。
＜通信システムの構成＞
図１は、実施形態に係るプライバシー保護装置が適用される通信システムの一例を示す。
通信システムは、プライバシー保護装置１００と、パーソナルデータ送出装置２００とを備える。パーソナルデータ送出装置２００には、データｄ０１、データｄ０２、・・・、データｄ０Ｎ（Ｎは、Ｎ＞２の整数）が供給される。パーソナルデータ送出装置２００は、通信ネットワーク２０と接続され、該通信ネットワーク２０を経由してデータｄ０１、データｄ０２、・・・、データｄ０Ｎをプライバシー保護装置１００へ送信する。通信ネットワーク２０の一例は、移動通信ネットワークである。パーソナルデータ送出装置２００の一例は、スマートフォン、タブレット端末、ＰＣ、車載端末等の端末装置である。
プライバシー保護装置１００は、パーソナルエージェントとも呼ばれ、通信ネットワーク２０及びインターネット５０等のネットワークと接続される。プライバシー保護装置１００には、プライバシーポリシーが設定される。プライバシーポリシーは、パーソナルデータ送出装置２００から送信されたデータをそのまま転送するのか、一定の条件に基づいて加工して転送するのか、転送しないのか等のデータの取り扱いを定めた規範である。例えば、プライバシーポリシーは、データｄ０１、データｄ０２、・・・、データｄ０Ｎをパーソナルデータ送出装置２００へ供給するプライバシー保護装置１００の利用者によって設定される。
プライバシー保護装置１００は、プライバシーポリシーに基づいて、パーソナルデータ送出装置２００によって送信されたデータｄ０１、データｄ０２、・・・、データｄ０Ｎをどのように取り扱うのかを判定する。例えば、プライバシー保護装置１００は、データｄ０１、データｄ０２、・・・、データｄ０Ｎの各々について、転送先へ転送するのか否か、転送する場合にデータを加工するのか否かを判定する。
そして、プライバシー保護装置１００は、データを加工しないでインターネット５０を経由して転送先Ｔ０１、転送先Ｔ０２、・・・、転送先Ｔ０Ｍのいずれか、或いは複数の転送先へ転送すると判定した場合に、パーソナルデータ送出装置２００に対して当該データのプライバシー保護装置１００への送信を許可する。プライバシー保護装置１００は、当該データが位置情報等のサービス提供者へ直ちに通知することでプライバシーリスクにつながるおそれがあり、且つ緊急の場合には直ちに通知する情報に該当するか否かを判定する。プライバシー保護装置１００は、該当すると判定した場合、転送先毎に設定された情報開示ポリシーと補助情報とに基づいて、時限式暗号化方式によって、暗号鍵を生成する。そして、プライバシー保護装置１００は、当該データに時刻情報が含まれる場合には、その時刻情報を削除し、時刻情報を削除した当該データを、暗号鍵によって、暗号化する。プライバシー保護装置１００は、暗号化した結果を、当該転送先へ転送する。プライバシー保護装置１００は、暗号化した結果を転送先へ転送した後に、補助情報を転送先へ転送する。
そして、プライバシー保護装置１００は、データを加工しないでインターネット５０を経由して転送先Ｔ０１、転送先Ｔ０２、・・・、転送先Ｔ０Ｍのいずれか、或いは複数の転送先へ転送すると判定した場合に、パーソナルデータ送出装置２００に対して当該データのプライバシー保護装置１００への送信を許可する。プライバシー保護装置１００は、当該データが位置情報等のサービス提供者へ直ちに通知することでプライバシーリスクにつながるおそれがあり、且つ緊急の場合には直ちに通知する情報に該当するか否かを判定する。プライバシー保護装置１００は、該当すると判定した場合、転送先毎に設定された情報開示ポリシーと補助情報とに基づいて、時限式暗号化方式によって、暗号鍵を生成する。そして、プライバシー保護装置１００は、当該データに時刻情報が含まれる場合には、その時刻情報を削除し、時刻情報を削除した当該データを、暗号鍵によって、暗号化する。プライバシー保護装置１００は、暗号化した結果を、当該転送先へ転送する。プライバシー保護装置１００は、暗号化した結果を転送先へ転送した後に、補助情報を転送先へ転送する。
また、プライバシー保護装置１００は、データを変更して転送先へ転送すると判定した場合に、パーソナルデータ送出装置２００に対して当該データのプライバシー保護装置１００への送信を許可する。プライバシー保護装置１００は、当該データが位置情報等のサービス提供者へ直ちに通知することでプライバシーリスクにつながるおそれがあり、且つ緊急の場合には直ちに通知する情報に該当するか否かを判定する。プライバシー保護装置１００は、該当すると判定した場合、転送先毎に設定された情報開示ポリシーと補助情報とに基づいて、時限式暗号化方式によって、暗号鍵を生成する。そして、プライバシー保護装置１００は、当該データに時刻情報が含まれる場合には、その時刻情報を削除し、時刻情報を削除した当該データを適切な情報の粒度に変更し、適切な情報の粒度に変更した当該データを、暗号鍵によって、暗号化する。プライバシー保護装置１００は、暗号化した結果を、インターネット５０を経由して転送先Ｔ０１、転送先Ｔ０２、・・・、転送先Ｔ０Ｍのいずれか、或いは複数の転送先へ転送する。プライバシー保護装置１００は、暗号化した結果を転送先へ転送した後に、補助情報を転送先へ転送する。パーソナルデータ送出装置２００及びプライバシー保護装置１００は、転送しないデータは破棄する。
以下、一例として、パーソナルデータ送出装置２００に車載端末を適用した場合について説明を続ける。さらに、以下では、サービス提供者へ直ちに通知することでプライバシーリスクにつながるおそれがあり、且つ緊急の場合には直ちに通知する情報の一例として、位置情報を適用した場合について説明を続ける。
以下、一例として、パーソナルデータ送出装置２００に車載端末を適用した場合について説明を続ける。さらに、以下では、サービス提供者へ直ちに通知することでプライバシーリスクにつながるおそれがあり、且つ緊急の場合には直ちに通知する情報の一例として、位置情報を適用した場合について説明を続ける。
図２は、パーソナルデータ送出装置２００に車載端末３５０を適用した場合の車両用通信システムの構成例を示す。
車両用通信システムは、プライバシー保護装置１００と、車載端末３５０とを備える。車載端末３５０は、車両３００に搭載され、車両３００で取得される情報をプライバシー保護装置１００へ送信する。車両３００には、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、ＥＣＵ３１０ｄ、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）３３０、及びゲートウェイ（Ｇ／Ｗ：ｇａｔｅｗａｙ）３２０が設置される。ＥＣＵ３１０ａと、ＥＣＵ３１０ｂと、ＥＣＵ３１０ｃと、ＥＣＵ３１０ｄと、Ｇ／Ｗ３２０との間は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）３１５等の機器間のデータ転送に使われる規格にしたがって接続される。
ＥＣＵ３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、及びＥＣＵ３１０ｄは、エンジン、モーター、メーター、トランスミッション、ブレーキ、エアバック、ランプ、パワーステアリング、パワーウィンドウ、カーエアコン、電子キーの車両側受信部、カーオーディオ、カーナビゲーション等のシステムを制御する。ＥＣＵ３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、及びＥＣＵ３１０ｄは、速度情報、走行ルート情報、アクセス操作情報、ブレーキ操作情報、ハンドル操作情報、エンジン回転数情報、消費燃費情報等を取得し、車載端末３５０へ出力する。ＧＰＳ３３０は、車両３００の位置情報を取得する。
ＥＣＵ３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、ＥＣＵ３１０ｄ、及びＧＰＳ３３０によって取得される情報（以下、「車両情報」という）は、Ｇ／Ｗ３２０から、データブローカ３４０へ出力される。データブローカ３４０は、車両情報を収集し、車載端末３５０へ出力する。車載端末３５０は、データブローカ３４０によって出力される車両情報をプライバシー保護装置１００へ送信する。車載端末３５０によって出力される車両情報は、パーソナルデータ送出装置２００の機能に相当するパーソナルデータ送出アプリケーション・プログラム（ＡＰＰＳ＃０）３５５によって、通信ネットワーク２０を経由してプライバシー保護装置１００へ送信される。
車両用通信システムは、プライバシー保護装置１００と、車載端末３５０とを備える。車載端末３５０は、車両３００に搭載され、車両３００で取得される情報をプライバシー保護装置１００へ送信する。車両３００には、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、ＥＣＵ３１０ｄ、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）３３０、及びゲートウェイ（Ｇ／Ｗ：ｇａｔｅｗａｙ）３２０が設置される。ＥＣＵ３１０ａと、ＥＣＵ３１０ｂと、ＥＣＵ３１０ｃと、ＥＣＵ３１０ｄと、Ｇ／Ｗ３２０との間は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）３１５等の機器間のデータ転送に使われる規格にしたがって接続される。
ＥＣＵ３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、及びＥＣＵ３１０ｄは、エンジン、モーター、メーター、トランスミッション、ブレーキ、エアバック、ランプ、パワーステアリング、パワーウィンドウ、カーエアコン、電子キーの車両側受信部、カーオーディオ、カーナビゲーション等のシステムを制御する。ＥＣＵ３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、及びＥＣＵ３１０ｄは、速度情報、走行ルート情報、アクセス操作情報、ブレーキ操作情報、ハンドル操作情報、エンジン回転数情報、消費燃費情報等を取得し、車載端末３５０へ出力する。ＧＰＳ３３０は、車両３００の位置情報を取得する。
ＥＣＵ３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、ＥＣＵ３１０ｄ、及びＧＰＳ３３０によって取得される情報（以下、「車両情報」という）は、Ｇ／Ｗ３２０から、データブローカ３４０へ出力される。データブローカ３４０は、車両情報を収集し、車載端末３５０へ出力する。車載端末３５０は、データブローカ３４０によって出力される車両情報をプライバシー保護装置１００へ送信する。車載端末３５０によって出力される車両情報は、パーソナルデータ送出装置２００の機能に相当するパーソナルデータ送出アプリケーション・プログラム（ＡＰＰＳ＃０）３５５によって、通信ネットワーク２０を経由してプライバシー保護装置１００へ送信される。
プライバシー保護装置１００は、インターネット５０と接続される。インターネット５０には、道路交通情報サーバ４００ａ、データセンターのサーバ４００ｂ、保険会社・ロードサービス会社のサーバ４００ｃ、Ｘ社のサーバ４００ｄ、時報局５００等が接続される。
道路交通情報サーバ４００ａは、車載端末３５０へ道路交通情報を提供する。データセンターのサーバ４００ｂは、車載端末３５０へ各種データを提供する。保険会社・ロードサービス会社のサーバ４００ｃは、車載端末３５０へ保険に関するサービスを提供する。Ｘ社のサーバ４００ｄは、車載端末３５０へＸ社が提供するサービスを提供する。
以下、一例として、車載端末３５０を搭載した車両３００のユーザが、Ｘ社のサーバ４００ｄからＸ社のサービスの提供を受ける場合について説明を続ける。ただし、車載端末３５０を搭載した車両３００のユーザが、Ｘ社のサーバ４００ｄからＸ社のサービスの提供を受ける場合に限らず、道路交通情報サーバ４００ａ、データセンターのサーバ４００ｂ、又は保険会社・ロードサービス会社のサーバ４００ｃからサービスの提供を受ける場合についても適用できる。
車載端末３５０を搭載した車両３００のユーザが、Ｘ社のサーバ４００ｄからＸ社のサービスの提供を受ける場合、プライバシー保護装置１００は、車両３００から取得した車両情報をＸ社のサーバ４００ｄへ転送するか否かを判定するとともに、転送すると判定した車両情報については該車両情報の粒度を変更するか否かを判定する。さらに、プライバシー保護装置１００は、転送すると判定した車両情報が位置情報であり、且つその位置情報に時刻情報が含まれる場合には、時刻情報を削除する。そして、プライバシー保護装置１００は、転送先毎に設定された情報開示ポリシーと補助情報とに基づいて、時限式暗号化方式によって、暗号鍵を生成する。プライバシー保護装置１００は、生成した暗号鍵で、時刻情報を削除した位置情報を暗号化する。プライバシー保護装置１００は、暗号化した結果を、当該転送先へ転送する。プライバシー保護装置１００は、暗号化した結果を転送先へ転送した後に、補助情報を転送先へ転送する。
道路交通情報サーバ４００ａは、車載端末３５０へ道路交通情報を提供する。データセンターのサーバ４００ｂは、車載端末３５０へ各種データを提供する。保険会社・ロードサービス会社のサーバ４００ｃは、車載端末３５０へ保険に関するサービスを提供する。Ｘ社のサーバ４００ｄは、車載端末３５０へＸ社が提供するサービスを提供する。
以下、一例として、車載端末３５０を搭載した車両３００のユーザが、Ｘ社のサーバ４００ｄからＸ社のサービスの提供を受ける場合について説明を続ける。ただし、車載端末３５０を搭載した車両３００のユーザが、Ｘ社のサーバ４００ｄからＸ社のサービスの提供を受ける場合に限らず、道路交通情報サーバ４００ａ、データセンターのサーバ４００ｂ、又は保険会社・ロードサービス会社のサーバ４００ｃからサービスの提供を受ける場合についても適用できる。
車載端末３５０を搭載した車両３００のユーザが、Ｘ社のサーバ４００ｄからＸ社のサービスの提供を受ける場合、プライバシー保護装置１００は、車両３００から取得した車両情報をＸ社のサーバ４００ｄへ転送するか否かを判定するとともに、転送すると判定した車両情報については該車両情報の粒度を変更するか否かを判定する。さらに、プライバシー保護装置１００は、転送すると判定した車両情報が位置情報であり、且つその位置情報に時刻情報が含まれる場合には、時刻情報を削除する。そして、プライバシー保護装置１００は、転送先毎に設定された情報開示ポリシーと補助情報とに基づいて、時限式暗号化方式によって、暗号鍵を生成する。プライバシー保護装置１００は、生成した暗号鍵で、時刻情報を削除した位置情報を暗号化する。プライバシー保護装置１００は、暗号化した結果を、当該転送先へ転送する。プライバシー保護装置１００は、暗号化した結果を転送先へ転送した後に、補助情報を転送先へ転送する。
＜車載端末＞
車載端末３５０は、ハードウェア（ＨＷ）及びオペレーティングシステム（ＯＳ）（ＨＷ＋ＯＳ）３５２と、ウェブランタイム（Ｗｅｂｒｕｎｔｉｍｅ）３５４と、パーソナルデータ送出アプリケーション・プログラム（ＡＰＰＳ＃０）３５５と、ＡＰＰＳ＃１と、ＡＰＰＳ＃２と、ＡＰＰＳ＃３、・・・、ＡＰＰＳ＃ｎ（ｎは、ｎ＞３の整数）とを備える。
ＨＷは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）と、不揮発性メモリと、通信Ｉ／Ｆ部と、各部を接続する内部バスとを備えている。
ＣＰＵは、車載端末３５０の動作を制御する制御プログラム等を不揮発性メモリから読み出し、ＲＡＭに展開して実行する。不揮発性メモリは、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）カード等によって構成される。不揮発性メモリは、車載端末３５０の動作を制御する制御プログラム等を記憶する。通信Ｉ／Ｆ部は、無線ＬＡＮモジュール、移動通信モジュール等の通信モジュールによって構成され。通信Ｉ／Ｆ部は、移動通信によってプライバシー保護装置１００等の外部の機器との間で通信を行う。
ＯＳは、ＨＷを機能毎に抽象化したインターフェースをアプリケーションソフトウェアに提供する。Ｗｅｂｒｕｎｔｉｍｅ３５４は、ウェブアプリケーション・プログラムを実行し、当該プログラムのライフサイクル、レイアウト及びセキュリティを管理する。
ＡＰＰＳ＃０、ＡＰＰＳ＃１、ＡＰＰＳ＃２、ＡＰＰＳ＃３、・・・、及びＡＰＰＳ＃ｎは、車両３００に搭載されたＥＣＵ３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、ＥＣＵ３１０ｄ、及びＧＰＳ３３０によって生成され、且つ出力される車両情報を取得する要求をウェブランタイム３５４に通知する。
ウェブランタイム３５４は、ＡＰＰＳ＃０−ＡＰＰＳ＃ｎの要求に応じて、データブローカ３４０を経由して、Ｇ／Ｗ３２０から車両情報を取得し、取得した当該車両情報をＡＰＰＳ＃０−ＡＰＰＳ＃ｎ）へ通知する。
さらに、ＡＰＰＳ＃０のパーソナルデータ送出アプリケーション・プログラム３５５は、プライバシー保護装置１００によって送出を許可された車両情報をプライバシー保護装置１００へ送信する。
車載端末３５０は、ハードウェア（ＨＷ）及びオペレーティングシステム（ＯＳ）（ＨＷ＋ＯＳ）３５２と、ウェブランタイム（Ｗｅｂｒｕｎｔｉｍｅ）３５４と、パーソナルデータ送出アプリケーション・プログラム（ＡＰＰＳ＃０）３５５と、ＡＰＰＳ＃１と、ＡＰＰＳ＃２と、ＡＰＰＳ＃３、・・・、ＡＰＰＳ＃ｎ（ｎは、ｎ＞３の整数）とを備える。
ＨＷは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）と、不揮発性メモリと、通信Ｉ／Ｆ部と、各部を接続する内部バスとを備えている。
ＣＰＵは、車載端末３５０の動作を制御する制御プログラム等を不揮発性メモリから読み出し、ＲＡＭに展開して実行する。不揮発性メモリは、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）カード等によって構成される。不揮発性メモリは、車載端末３５０の動作を制御する制御プログラム等を記憶する。通信Ｉ／Ｆ部は、無線ＬＡＮモジュール、移動通信モジュール等の通信モジュールによって構成され。通信Ｉ／Ｆ部は、移動通信によってプライバシー保護装置１００等の外部の機器との間で通信を行う。
ＯＳは、ＨＷを機能毎に抽象化したインターフェースをアプリケーションソフトウェアに提供する。Ｗｅｂｒｕｎｔｉｍｅ３５４は、ウェブアプリケーション・プログラムを実行し、当該プログラムのライフサイクル、レイアウト及びセキュリティを管理する。
ＡＰＰＳ＃０、ＡＰＰＳ＃１、ＡＰＰＳ＃２、ＡＰＰＳ＃３、・・・、及びＡＰＰＳ＃ｎは、車両３００に搭載されたＥＣＵ３１０ａ、ＥＣＵ３１０ｂ、ＥＣＵ３１０ｃ、ＥＣＵ３１０ｄ、及びＧＰＳ３３０によって生成され、且つ出力される車両情報を取得する要求をウェブランタイム３５４に通知する。
ウェブランタイム３５４は、ＡＰＰＳ＃０−ＡＰＰＳ＃ｎの要求に応じて、データブローカ３４０を経由して、Ｇ／Ｗ３２０から車両情報を取得し、取得した当該車両情報をＡＰＰＳ＃０−ＡＰＰＳ＃ｎ）へ通知する。
さらに、ＡＰＰＳ＃０のパーソナルデータ送出アプリケーション・プログラム３５５は、プライバシー保護装置１００によって送出を許可された車両情報をプライバシー保護装置１００へ送信する。
実施形態に係る車載端末３５０は、複数のＡＰＰＳ＃０−ＡＰＰ＃ｎの各々がプライバシー保護装置１００へ送信するのではなく、ＡＰＰＳ＃０が他のＡＰＰＳ＃１−ＡＰＰＳ＃ｎから外部へ転送する車両データをまとめて、プライバシー保護装置１００へ送信する。これによって、車載端末３５０とプライバシー保護装置１００との間の通信回数を低減できるため、通信ネットワーク２０への負荷を低減できる。また、車載端末３５０に撮像部を備え、車両３００の画像を撮像し、車両情報としてプライバシー保護装置１００へ送信するようにしてもよい。具体的には、撮像部は、車両３００の車内外で発生している事象を検出できる画像を撮像する。
＜プライバシー保護装置＞
実施形態に係るプライバシー保護装置１００のハードウェア構成について説明する。プライバシー保護装置１００は、ＣＰＵとメモリと不揮発性メモリと通信Ｉ／Ｆと内部バスとを備えている。ＣＰＵは、例えば不揮発性メモリに格納されるプログラムを実行し、メモリをワークメモリとして使用して、プライバシー保護装置１００の各部を制御する。メモリは、半導体素子を利用した揮発性のメモリ等のＲＡＭによって構成される。メモリは、ＣＰＵのワークメモリとして使用される。不揮発性メモリは、例えばハードディスク（ＨＤ）やＲＯＭ等によって構成され、ＣＰＵによって実行されるプログラムが格納される。通信Ｉ／Ｆは、車載端末３５０等の外部機器と通信して、車両データ等の送受信を行うためのインターフェースである。さらに、通信Ｉ／Ｆは、インターネット５０を経由して、サービスゲートウェイ、アプリケーションストア、道路交通情報サーバ４００ａ、データセンターのサーバ４００ｂ、保険会社・ロードサービス会社のサーバ４００ｃ、Ｘ社のサーバ４００ｄ、及び時報局５００と通信を行う。内部バスは、ＣＰＵ、メモリ、不揮発性メモリ、及び通信Ｉ／Ｆを互いに接続する。内部バスに接続される各部は、内部バスを介して互いにデータのやりとりを行うことができるようにされている。
実施形態に係るプライバシー保護装置１００のハードウェア構成について説明する。プライバシー保護装置１００は、ＣＰＵとメモリと不揮発性メモリと通信Ｉ／Ｆと内部バスとを備えている。ＣＰＵは、例えば不揮発性メモリに格納されるプログラムを実行し、メモリをワークメモリとして使用して、プライバシー保護装置１００の各部を制御する。メモリは、半導体素子を利用した揮発性のメモリ等のＲＡＭによって構成される。メモリは、ＣＰＵのワークメモリとして使用される。不揮発性メモリは、例えばハードディスク（ＨＤ）やＲＯＭ等によって構成され、ＣＰＵによって実行されるプログラムが格納される。通信Ｉ／Ｆは、車載端末３５０等の外部機器と通信して、車両データ等の送受信を行うためのインターフェースである。さらに、通信Ｉ／Ｆは、インターネット５０を経由して、サービスゲートウェイ、アプリケーションストア、道路交通情報サーバ４００ａ、データセンターのサーバ４００ｂ、保険会社・ロードサービス会社のサーバ４００ｃ、Ｘ社のサーバ４００ｄ、及び時報局５００と通信を行う。内部バスは、ＣＰＵ、メモリ、不揮発性メモリ、及び通信Ｉ／Ｆを互いに接続する。内部バスに接続される各部は、内部バスを介して互いにデータのやりとりを行うことができるようにされている。
＜プライバシー保護装置の機能構成＞
図３は、プライバシー保護装置１００の機能構成の一例を示す。
プライバシー保護装置１００は、無線通信部１５２、通信部１５４、情報抽出部１５６、事象判定部１５８、情報判定部１６０、転送判定部１６２、情報変更部１６４、記憶部１６６、補助情報生成部１６８、暗号鍵生成部１７０、暗号化部１７２、及び上記各構成要素を図３に示されているように電気的に接続するためのアドレスバスやデータバス等のバスライン１６９を有している。これらの各部は、図３に示されている各構成要素のいずれかが、不揮発性メモリからメモリ上に展開されたプログラムを実行するＣＰＵからの命令によって動作することで実現される機能である。
図３を用いて、プライバシー保護装置１００の各機能構成について詳細に説明する。無線通信部１５２は、ＣＰＵからの命令、及び通信Ｉ／Ｆよって実現される。無線通信部１５２は、車載端末３５０等の他の装置との間で車両情報等の各種データの送受信を行う。通信部１５４は、ＣＰＵからの命令、及び通信Ｉ／Ｆによって実現される。通信部１５４は、インターネット５０を経由して、道路交通情報サーバ４００ａ、データセンターのサーバ４００ｂ、保険会社・ロードサービス会社のサーバ４００ｃ、Ｘ社のサーバ４００ｄ、時報局５００等の他の装置との間で各種データの送受信を行う。
記憶部１６６には、プライバシー保護対象外事象判定テーブル１６６２、センシティブ情報判定テーブル１６６４、保護レベル判定テーブル１６６６、及び情報開示ポリシーＤＢ１６６８が格納される。ここで、センシティブ情報（データ）は、他人には知られたくない情報である。センシティブ情報に対して、他人に知られても支障がない、或いは気にならならない情報はノンセンシティブ情報と呼ばれる。ノンセンシティブ情報と呼ばれる情報であっても、情報を複数組み合わせることによってセンシティブ情報となりうる場合がある。実施形態では、情報を複数組み合わせることによってセンシティブ情報となる情報を「コンテキストセンシティブ情報」と定義する。
プライバシー保護対象外事象とは、車載端末３５０から取得した車両情報がセンシティブ情報、或いはコンテキストセンシティブ情報であっても、該車両情報の粒度を変更することなく転送先へ送信すると判定される事象である。
情報開示ポリシーは、情報の提供先毎に、情報を開示するタイミングを示す開示情報が関連付けられる。
図３は、プライバシー保護装置１００の機能構成の一例を示す。
プライバシー保護装置１００は、無線通信部１５２、通信部１５４、情報抽出部１５６、事象判定部１５８、情報判定部１６０、転送判定部１６２、情報変更部１６４、記憶部１６６、補助情報生成部１６８、暗号鍵生成部１７０、暗号化部１７２、及び上記各構成要素を図３に示されているように電気的に接続するためのアドレスバスやデータバス等のバスライン１６９を有している。これらの各部は、図３に示されている各構成要素のいずれかが、不揮発性メモリからメモリ上に展開されたプログラムを実行するＣＰＵからの命令によって動作することで実現される機能である。
図３を用いて、プライバシー保護装置１００の各機能構成について詳細に説明する。無線通信部１５２は、ＣＰＵからの命令、及び通信Ｉ／Ｆよって実現される。無線通信部１５２は、車載端末３５０等の他の装置との間で車両情報等の各種データの送受信を行う。通信部１５４は、ＣＰＵからの命令、及び通信Ｉ／Ｆによって実現される。通信部１５４は、インターネット５０を経由して、道路交通情報サーバ４００ａ、データセンターのサーバ４００ｂ、保険会社・ロードサービス会社のサーバ４００ｃ、Ｘ社のサーバ４００ｄ、時報局５００等の他の装置との間で各種データの送受信を行う。
記憶部１６６には、プライバシー保護対象外事象判定テーブル１６６２、センシティブ情報判定テーブル１６６４、保護レベル判定テーブル１６６６、及び情報開示ポリシーＤＢ１６６８が格納される。ここで、センシティブ情報（データ）は、他人には知られたくない情報である。センシティブ情報に対して、他人に知られても支障がない、或いは気にならならない情報はノンセンシティブ情報と呼ばれる。ノンセンシティブ情報と呼ばれる情報であっても、情報を複数組み合わせることによってセンシティブ情報となりうる場合がある。実施形態では、情報を複数組み合わせることによってセンシティブ情報となる情報を「コンテキストセンシティブ情報」と定義する。
プライバシー保護対象外事象とは、車載端末３５０から取得した車両情報がセンシティブ情報、或いはコンテキストセンシティブ情報であっても、該車両情報の粒度を変更することなく転送先へ送信すると判定される事象である。
情報開示ポリシーは、情報の提供先毎に、情報を開示するタイミングを示す開示情報が関連付けられる。
＜プライバシー保護対象外事象判定テーブル＞
図４は、プライバシー保護対象外事象判定テーブル１６６２の一例を示す。プライバシー保護対象外事象判定テーブル１６６２は、プライバシー保護対象外事象の識別情報と、プライバシー保護対象外事象とを紐付けたテーブルである。センシティブ情報、コンテキストセンシティブ情報或いはＤｏ Ｎｏｔ Ｔｒａｃｋモード等によって車両情報の提供が拒否されている対象であっても、プライバシー保護対象外事象が発生した場合には、車両情報の削除や情報の粒度を変更する等による情報の保護は行わず、原車両情報を提供先へ送信しても、利用者個人から許容されることが多いと想定される。
プライバシー保護対象外事象には、識別情報「＃ａ」に紐付けられる「生命・身体・財産の保護を目的とした事象」が含まれる。「生命・身体・財産の保護を目的とした事象」には、運転者、同乗者、歩行者等の生命を守る事象、或いは負傷等から救済するため、合理的に必要となる事象が含まれる。具体的には、エアバッグ展開、タイヤ破裂、車両異常警報時等が該当する。また、「生命・身体・財産の保護を目的とした事象」には、盗難、損傷を受けたと合理的に認定される車両の位置の特定や、状況把握及び発見支援（盗難の場合）を行うために、必要となる事象が含まれる。また、「生命・身体・財産の保護を目的とした事象」には、誘拐、テロ、殺人等の凶悪犯罪の捜査、車両の位置特定又は発見支援を行うため、法的権限内において合理的に必要となる事象が含まれる。また、「生命・身体・財産の保護を目的とした事象」には、天変地異等の発災時の橋梁倒壊、トンネル崩落、落盤等における被災車両・被災者の特定又は発見支援を行うため、法的権限内において合理的に必要となる事象が含まれる。
図４は、プライバシー保護対象外事象判定テーブル１６６２の一例を示す。プライバシー保護対象外事象判定テーブル１６６２は、プライバシー保護対象外事象の識別情報と、プライバシー保護対象外事象とを紐付けたテーブルである。センシティブ情報、コンテキストセンシティブ情報或いはＤｏ Ｎｏｔ Ｔｒａｃｋモード等によって車両情報の提供が拒否されている対象であっても、プライバシー保護対象外事象が発生した場合には、車両情報の削除や情報の粒度を変更する等による情報の保護は行わず、原車両情報を提供先へ送信しても、利用者個人から許容されることが多いと想定される。
プライバシー保護対象外事象には、識別情報「＃ａ」に紐付けられる「生命・身体・財産の保護を目的とした事象」が含まれる。「生命・身体・財産の保護を目的とした事象」には、運転者、同乗者、歩行者等の生命を守る事象、或いは負傷等から救済するため、合理的に必要となる事象が含まれる。具体的には、エアバッグ展開、タイヤ破裂、車両異常警報時等が該当する。また、「生命・身体・財産の保護を目的とした事象」には、盗難、損傷を受けたと合理的に認定される車両の位置の特定や、状況把握及び発見支援（盗難の場合）を行うために、必要となる事象が含まれる。また、「生命・身体・財産の保護を目的とした事象」には、誘拐、テロ、殺人等の凶悪犯罪の捜査、車両の位置特定又は発見支援を行うため、法的権限内において合理的に必要となる事象が含まれる。また、「生命・身体・財産の保護を目的とした事象」には、天変地異等の発災時の橋梁倒壊、トンネル崩落、落盤等における被災車両・被災者の特定又は発見支援を行うため、法的権限内において合理的に必要となる事象が含まれる。
プライバシー保護対象外事象には、識別情報「＃ｂ」に紐付けられる「後続・周辺車両等の安全・便益を目的とした事象」が含まれる。「後続・周辺車両等の安全・便益を目的とした事象」には、健康状態の急変、居眠り等によって自車が危険走行車両と判定される事象が含まれる。また、「後続・周辺車両等の安全・便益を目的とした事象」には、積雪、圧雪、凍結、半湿、湿潤、冠水等によって危険な路面状態や、事故車両・落石・陥没等の障害物、急ブレーキ・スポット（歩行者を含む飛び出し）等後続車両等へ通知する事象が含まれる。また、「後続・周辺車両等の安全・便益を目的とした事象」には、車線規制や大型パーキングの空きスペースを通知する事象が含まれる。
プライバシー保護対象外事象には、識別情報「＃ｃ」に紐付けられる「利用者の便益等を目的とした事象」が含まれる。「利用者の便益等を目的とした事象」には、一つのアプリケーション・プログラムが複数の提供サービスや動作モード等を有しており、一定の条件において、利用者の情報提供の対象や、粒度が異なっているために、プライバシー保護対象から除外される場合が含まれる。例えば、「利用者の便益等を目的とした事象」には、カーシェアやライドシェアでの客待ち、つまり待機モード（個人行動モード）と出迎え、つまり乗車モード（ビジネスモード）が含まれる。さらに、「利用者の便益等を目的とした事象」には、ある店舗から一定の距離内にいる場合にのみ受けたいクーポンや優待案内等が含まれる。
車両３００のユーザは、プライバシー保護対象外事象として、識別情報＃ａ、＃ｂ、及び＃ｃのいずれか又は複数の識別情報を指定できるが、この例に限られない。例えば、利用者によって、識別情報＃ａ、＃ｂ、及び＃ｃ以外の事象が登録されてもよい。
プライバシー保護対象外事象には、識別情報「＃ｃ」に紐付けられる「利用者の便益等を目的とした事象」が含まれる。「利用者の便益等を目的とした事象」には、一つのアプリケーション・プログラムが複数の提供サービスや動作モード等を有しており、一定の条件において、利用者の情報提供の対象や、粒度が異なっているために、プライバシー保護対象から除外される場合が含まれる。例えば、「利用者の便益等を目的とした事象」には、カーシェアやライドシェアでの客待ち、つまり待機モード（個人行動モード）と出迎え、つまり乗車モード（ビジネスモード）が含まれる。さらに、「利用者の便益等を目的とした事象」には、ある店舗から一定の距離内にいる場合にのみ受けたいクーポンや優待案内等が含まれる。
車両３００のユーザは、プライバシー保護対象外事象として、識別情報＃ａ、＃ｂ、及び＃ｃのいずれか又は複数の識別情報を指定できるが、この例に限られない。例えば、利用者によって、識別情報＃ａ、＃ｂ、及び＃ｃ以外の事象が登録されてもよい。
＜センシティブ情報判定テーブル＞
図５は、センシティブ情報判定テーブル１６６４の一例を示す。センシティブ情報判定テーブル１６６４は、車両情報又は車両情報を複数組み合わせたものがセンシティブ情報又はコンテキストセンシティブ情報に該当するか否かを判定する際に使用される。センシティブ情報判定テーブル１６６４は、センシティブ情報を識別する情報と、センシティブ情報とを紐付けたテーブルである。センシティブデータには、ＪＩＳ規格 Ｑ１５００１：２００６「個人情報保護マネジメントシステム」で述べられている機微情報と一般的な個人情報とがあるが、車両及びその走行に関しては、利用者個人にもよるが、図５に示される情報がセンシティブ情報となりえる代表例である。
センシティブ情報には、識別情報「＃Ａ」に紐付けられる「自宅・勤務先・行先」が含まれる。「自宅・勤務先・行先」には、センシティブ・ロケーションと時刻・位置情報が含まれる。センシティブ情報には、識別情報「＃Ｂ」に紐付けられる「交通違反と判断されうる情報」が含まれる。「交通違反と判断されうる情報」には、速度超過、徐行場所違反、駐停車違反、信号無視、一時不停止、踏切不停止、通行区分・通行帯違反が含まれる。さらに、徐行場所違反には、時刻・位置情報、制限速度情報、走行速度等が含まれる。駐停車違反には、時刻・位置情報、道路標識情報、速度、パーキングブレーキ、イグニッション・オフが含まれる。信号無視には、時刻・位置情報、交通信号、速度が含まれる。踏切不停止には、時刻・位置情報、道路標識情報、速度、ブレーキ等が含まれる。通行区分・通行帯違反には、時刻・位置情報、道路標識情報、速度が含まれる。
センシティブ情報には、識別情報「＃Ｃ」に紐付けられる「ストーカや強盗被害等の危険性が高まる情報」が含まれる。「ストーカや強盗被害等の危険性が高まる情報」には、走行ルート、時刻・位置、速度、とくに現在位置が含まれる。センシティブ情報には、識別情報「＃Ｄ」に紐付けられる「運転癖・技能」が含まれる。「運転癖・技能」には、アクセル／ブレーキ／ハンドル操作、車速、加速度、エンジン回転数、消費燃料量・電力量が含まれる。さらに、加速度には、急発進・急ブレーキが含まれる。
センシティブ情報判定テーブル１６６４によれば、位置情報はデータ単体でも、上記したＪＩＳ規格、及び一般的個人情報で掲げられている情報に関係するため、センシティブ情報となる可能性が高い。ただし、位置情報以外の情報については単一のデータでは殆どの場合、利用者個人にとってセンシティブ性が低く、データの組合せ（コンテキスト）によってセンシティブ性が高くなる。
図５は、センシティブ情報判定テーブル１６６４の一例を示す。センシティブ情報判定テーブル１６６４は、車両情報又は車両情報を複数組み合わせたものがセンシティブ情報又はコンテキストセンシティブ情報に該当するか否かを判定する際に使用される。センシティブ情報判定テーブル１６６４は、センシティブ情報を識別する情報と、センシティブ情報とを紐付けたテーブルである。センシティブデータには、ＪＩＳ規格 Ｑ１５００１：２００６「個人情報保護マネジメントシステム」で述べられている機微情報と一般的な個人情報とがあるが、車両及びその走行に関しては、利用者個人にもよるが、図５に示される情報がセンシティブ情報となりえる代表例である。
センシティブ情報には、識別情報「＃Ａ」に紐付けられる「自宅・勤務先・行先」が含まれる。「自宅・勤務先・行先」には、センシティブ・ロケーションと時刻・位置情報が含まれる。センシティブ情報には、識別情報「＃Ｂ」に紐付けられる「交通違反と判断されうる情報」が含まれる。「交通違反と判断されうる情報」には、速度超過、徐行場所違反、駐停車違反、信号無視、一時不停止、踏切不停止、通行区分・通行帯違反が含まれる。さらに、徐行場所違反には、時刻・位置情報、制限速度情報、走行速度等が含まれる。駐停車違反には、時刻・位置情報、道路標識情報、速度、パーキングブレーキ、イグニッション・オフが含まれる。信号無視には、時刻・位置情報、交通信号、速度が含まれる。踏切不停止には、時刻・位置情報、道路標識情報、速度、ブレーキ等が含まれる。通行区分・通行帯違反には、時刻・位置情報、道路標識情報、速度が含まれる。
センシティブ情報には、識別情報「＃Ｃ」に紐付けられる「ストーカや強盗被害等の危険性が高まる情報」が含まれる。「ストーカや強盗被害等の危険性が高まる情報」には、走行ルート、時刻・位置、速度、とくに現在位置が含まれる。センシティブ情報には、識別情報「＃Ｄ」に紐付けられる「運転癖・技能」が含まれる。「運転癖・技能」には、アクセル／ブレーキ／ハンドル操作、車速、加速度、エンジン回転数、消費燃料量・電力量が含まれる。さらに、加速度には、急発進・急ブレーキが含まれる。
センシティブ情報判定テーブル１６６４によれば、位置情報はデータ単体でも、上記したＪＩＳ規格、及び一般的個人情報で掲げられている情報に関係するため、センシティブ情報となる可能性が高い。ただし、位置情報以外の情報については単一のデータでは殆どの場合、利用者個人にとってセンシティブ性が低く、データの組合せ（コンテキスト）によってセンシティブ性が高くなる。
＜保護レベル判定テーブル＞
保護レベル判定テーブル１６６６は、車両情報に対する利用者個人の意向を登録したものである。ユーザが気になる情報の組み合わせや、センシティブ情報となる情報の組合せ（コンテキスト）は、転送先（情報の提供先）とその目的によって、情報の削除や情報の粒度の変更が必要となる場合がある。例えば、交通違反を気にする場合には、交通違反と判定されない走行であれば、ノンセンシティブ情報として、特に車両情報の変更や、削除を必要としない。また、走行時点検アプリ等も位置情報が不要であれば車両情報の変更や、削除を必要としない。
図６は、保護レベル判定テーブル１６６６の一例を示す。保護レベル判定テーブル１６６６は、利用者識別ＩＤと、プライバシーとして保護を求める対象となる情報と、保護のレベルと、保護の例外とを紐付けたテーブルである。保護レベル判定テーブル１６６６の各欄は、車両３００のユーザによって登録される。利用者識別ＩＤは、Ｘ社のサーバ４００ｄへ車両情報を提供してサービスを受ける車両３００のユーザを識別する情報である。プライバシーとして保護を求める対象となる情報は、センシティブ情報に該当するデータが登録される。つまり、図５のセンシティブ情報判定テーブル１６６４の識別情報＃Ａ、＃Ｂ、＃Ｃ、及び＃Ｄのいずれか又は複数の識別情報が登録される。利用者が、識別情報＃Ａ、＃Ｂ、＃Ｃ、及び＃Ｄ以外の情報を登録してもよい。図６に示される例では、利用者識別ＩＤが「１００ａａ」であるユーザのプライバシーとして保護を求める対象となる情報は「＃Ａ」である。つまり、図５のセンシティブ情報判定テーブル１６６４の「自宅・勤務先・行先」が登録される。
保護のレベルは、センシティブ情報に該当する車両情報、又はコンテキストセンシティブ情報に該当する車両情報について、Ｘ社のサーバ４００ｄへ送信するか否か、また、送信する場合に該車両情報へ適用する情報の粒度が登録される。具体的には、保護のレベルは、Ｘ社のサーバ４００ｄへ送信しない場合には「提供不可」が登録される。さらに、プライバシーとして保護を求める対象となる情報に識別情報「＃Ａ」（自宅・勤務先・行先）が登録されている場合に、保護のレベルとして「原データレベル」、「市町村レベル」、「都道府県レベル」等のエリアの規模が登録される。また、プライバシーとして保護を求める対象となる情報に識別情報「＃Ａ」が登録されている場合に、保護のレベルとして緯度経度の粒度が登録されてもよい。例えば、北緯３５．７０１１２９３度、東経１３９．７４０９０６度の位置情報を北緯３５．７０度、東経１３９．７４度と変更するように情報の解像度を変更することが登録されてもよい。また、プライバシーとして保護を求める対象となる情報に識別情報「＃Ｂ」（交通違反と判断されうる情報）が登録されている場合に、保護のレベルとして「原データレベル」、「１０ｋｍ／ｈの解像度」、「一般道１０ｋｍ／ｈ未満か否か」、「高速道路３０ｋｍ／ｈ未満か否か」等の情報の粒度が登録されてもよい。
保護レベル判定テーブル１６６６は、車両情報に対する利用者個人の意向を登録したものである。ユーザが気になる情報の組み合わせや、センシティブ情報となる情報の組合せ（コンテキスト）は、転送先（情報の提供先）とその目的によって、情報の削除や情報の粒度の変更が必要となる場合がある。例えば、交通違反を気にする場合には、交通違反と判定されない走行であれば、ノンセンシティブ情報として、特に車両情報の変更や、削除を必要としない。また、走行時点検アプリ等も位置情報が不要であれば車両情報の変更や、削除を必要としない。
図６は、保護レベル判定テーブル１６６６の一例を示す。保護レベル判定テーブル１６６６は、利用者識別ＩＤと、プライバシーとして保護を求める対象となる情報と、保護のレベルと、保護の例外とを紐付けたテーブルである。保護レベル判定テーブル１６６６の各欄は、車両３００のユーザによって登録される。利用者識別ＩＤは、Ｘ社のサーバ４００ｄへ車両情報を提供してサービスを受ける車両３００のユーザを識別する情報である。プライバシーとして保護を求める対象となる情報は、センシティブ情報に該当するデータが登録される。つまり、図５のセンシティブ情報判定テーブル１６６４の識別情報＃Ａ、＃Ｂ、＃Ｃ、及び＃Ｄのいずれか又は複数の識別情報が登録される。利用者が、識別情報＃Ａ、＃Ｂ、＃Ｃ、及び＃Ｄ以外の情報を登録してもよい。図６に示される例では、利用者識別ＩＤが「１００ａａ」であるユーザのプライバシーとして保護を求める対象となる情報は「＃Ａ」である。つまり、図５のセンシティブ情報判定テーブル１６６４の「自宅・勤務先・行先」が登録される。
保護のレベルは、センシティブ情報に該当する車両情報、又はコンテキストセンシティブ情報に該当する車両情報について、Ｘ社のサーバ４００ｄへ送信するか否か、また、送信する場合に該車両情報へ適用する情報の粒度が登録される。具体的には、保護のレベルは、Ｘ社のサーバ４００ｄへ送信しない場合には「提供不可」が登録される。さらに、プライバシーとして保護を求める対象となる情報に識別情報「＃Ａ」（自宅・勤務先・行先）が登録されている場合に、保護のレベルとして「原データレベル」、「市町村レベル」、「都道府県レベル」等のエリアの規模が登録される。また、プライバシーとして保護を求める対象となる情報に識別情報「＃Ａ」が登録されている場合に、保護のレベルとして緯度経度の粒度が登録されてもよい。例えば、北緯３５．７０１１２９３度、東経１３９．７４０９０６度の位置情報を北緯３５．７０度、東経１３９．７４度と変更するように情報の解像度を変更することが登録されてもよい。また、プライバシーとして保護を求める対象となる情報に識別情報「＃Ｂ」（交通違反と判断されうる情報）が登録されている場合に、保護のレベルとして「原データレベル」、「１０ｋｍ／ｈの解像度」、「一般道１０ｋｍ／ｈ未満か否か」、「高速道路３０ｋｍ／ｈ未満か否か」等の情報の粒度が登録されてもよい。
また、プライバシーとして保護を求める対象となる情報に識別情報「＃Ｃ」（ストーカや強盗被害等の危険性が高まる情報）が登録されている場合には、保護のレベルとして「原データレベル」、「市町村レベル」、「都道府県レベル」等のエリアの規模が登録される。また、プライバシーとして保護を求める対象となる情報に識別情報「＃Ｃ」が登録されている場合に、保護のレベルとして緯度経度の粒度が登録されてもよい。また、プライバシーとして保護を求める対象となる情報に識別情報「＃Ｃ」が登録されている場合に、保護のレベルとして「原データレベル」、「１０ｋｍ／ｈの解像度」、「一般道１０ｋｍ／ｈ未満か否か」、「高速道路３０ｋｍ／ｈ未満か否か」等の情報の粒度が登録されてもよい。また、プライバシーとして保護を求める対象となる情報に識別情報「＃Ｄ」（運転癖・技能）が登録されている場合には、保護のレベルとして、識別情報「＃Ａ」、「＃Ｂ」、「＃Ｃ」とは異なる粒度が各センシティブ情報について登録されてもよい。図６に示される例では、「自宅・勤務先・行先」をＸ社のサーバ４００ｄへ提供する場合に「市町村レベル」の粒度へ変更することが登録されている。
保護の例外は、センシティブ情報に該当する車両情報であっても、原車両情報のままＸ社のサーバ４００ｄへ提供すると判定される事象が登録される。つまり、図４のプライバシー保護対象外事象判定テーブル１６６２の識別情報＃ａ、＃ｂ、及び＃ｃのいずれか又は複数の識別情報が登録される。利用者が、識別情報＃ａ、＃ｂ、及び＃ｃ以外の情報が登録されてもよい。図６に示される例では、保護の例外として、図４のプライバシー保護対象外事象判定テーブル１６６２に示される識別情報が「＃ａ」が登録されている。つまり、「生命・身体・財産の保護を目的とした事象」が発生した場合に、プライバシー保護装置１００は、センシティブ情報に該当するデータであっても、原車両情報のままＸ社のサーバ４００ｄへ提供する。
保護の例外は、センシティブ情報に該当する車両情報であっても、原車両情報のままＸ社のサーバ４００ｄへ提供すると判定される事象が登録される。つまり、図４のプライバシー保護対象外事象判定テーブル１６６２の識別情報＃ａ、＃ｂ、及び＃ｃのいずれか又は複数の識別情報が登録される。利用者が、識別情報＃ａ、＃ｂ、及び＃ｃ以外の情報が登録されてもよい。図６に示される例では、保護の例外として、図４のプライバシー保護対象外事象判定テーブル１６６２に示される識別情報が「＃ａ」が登録されている。つまり、「生命・身体・財産の保護を目的とした事象」が発生した場合に、プライバシー保護装置１００は、センシティブ情報に該当するデータであっても、原車両情報のままＸ社のサーバ４００ｄへ提供する。
＜情報開示ポリシーＤＢ＞
情報開示ポリシーＤＢ１６６８は、車両情報の提供先毎に、提供した車両情報を開示するタイミングを登録したものである。情報開示ポリシーＤＢ１６６８には、プライバシー保護装置１００が、サービス提供者に車両情報を送信した場合に、サービス提供者がその車両情報を受信してから開示できるまでの時間が登録される。
図７は、情報開示ポリシーＤＢ１６６８の一例を示す。情報開示ポリシーＤＢ１６６８は、情報の提供先と、開示情報とを紐付けたテーブルである。情報開示ポリシーＤＢ１６６８の各欄は、車両３００のユーザによって登録される。情報の提供先は、道路交通情報サーバ４００ａ、データセンターのサーバ４００ｂ、保険会社・ロードサービス会社のサーバ４００ｃ、Ｘ社のサーバ４００ｄ等の車両情報の送信先を示す。開示情報は、サービス提供者が車両情報を受信してから、該車両情報を開示できる時間を示す。図３へ戻り説明を続ける。
情報開示ポリシーＤＢ１６６８は、車両情報の提供先毎に、提供した車両情報を開示するタイミングを登録したものである。情報開示ポリシーＤＢ１６６８には、プライバシー保護装置１００が、サービス提供者に車両情報を送信した場合に、サービス提供者がその車両情報を受信してから開示できるまでの時間が登録される。
図７は、情報開示ポリシーＤＢ１６６８の一例を示す。情報開示ポリシーＤＢ１６６８は、情報の提供先と、開示情報とを紐付けたテーブルである。情報開示ポリシーＤＢ１６６８の各欄は、車両３００のユーザによって登録される。情報の提供先は、道路交通情報サーバ４００ａ、データセンターのサーバ４００ｂ、保険会社・ロードサービス会社のサーバ４００ｃ、Ｘ社のサーバ４００ｄ等の車両情報の送信先を示す。開示情報は、サービス提供者が車両情報を受信してから、該車両情報を開示できる時間を示す。図３へ戻り説明を続ける。
情報抽出部１５６は、ＣＰＵからの命令、及び通信Ｉ／Ｆによって実現される。情報抽出部１５６には、インターネット５０を経由して、Ｘ社のサーバ４００ｄからＸ社が要求する車両情報を表す情報が供給される。例えば、Ｘ社のサーバ４００ｄからＸ社が要求する車両情報の一覧ＳＰ１が供給される。さらに、情報抽出部１５６には、プライバシー保護装置１００によって収集できる車両情報が登録された収集可能データテーブルＴ１が保持される。情報抽出部１５６は、収集可能データテーブルＴ１と、車両情報の一覧ＳＰ１を照合することによって、車両情報の一覧ＳＰ１に含まれる車両情報から、プライバシー保護装置１００によって収集可能な車両情報を抽出する。情報抽出部１５６は、抽出した車両情報を車載端末３５０から取得し、情報判定部１６０へ出力する。
事象判定部１５８は、ＣＰＵからの命令によって実現される。事象判定部１５８は、車両３００にプライバシー保護対象外事象が発生しているか否かを判定する。例えば、事象判定部１５８は、記憶部１６６に記憶されているプライバシー保護対象外事象判定テーブル１６６２、及び保護レベル判定テーブル１６６６を参照し、車載端末３５０が送信する車両情報が、保護レベル判定テーブル１６６６の保護の例外の欄に登録されているプライバシー保護対象外事象判定テーブル１６６２の識別情報＃ａ、＃ｂ、及び＃ｃのいずれかに該当するかを判定する。事象判定部１５８は、車両情報が、保護レベル判定テーブル１６６６の保護の例外の欄に登録されているプライバシー保護対象外事象判定テーブル１６６２の識別情報＃ａ、＃ｂ、及び＃ｃのいずれかに該当するか否かの判定結果を表す情報を情報判定部１６０へ出力する。
事象判定部１５８は、ＣＰＵからの命令によって実現される。事象判定部１５８は、車両３００にプライバシー保護対象外事象が発生しているか否かを判定する。例えば、事象判定部１５８は、記憶部１６６に記憶されているプライバシー保護対象外事象判定テーブル１６６２、及び保護レベル判定テーブル１６６６を参照し、車載端末３５０が送信する車両情報が、保護レベル判定テーブル１６６６の保護の例外の欄に登録されているプライバシー保護対象外事象判定テーブル１６６２の識別情報＃ａ、＃ｂ、及び＃ｃのいずれかに該当するかを判定する。事象判定部１５８は、車両情報が、保護レベル判定テーブル１６６６の保護の例外の欄に登録されているプライバシー保護対象外事象判定テーブル１６６２の識別情報＃ａ、＃ｂ、及び＃ｃのいずれかに該当するか否かの判定結果を表す情報を情報判定部１６０へ出力する。
情報判定部１６０は、ＣＰＵからの命令によって実現される。情報判定部１６０は、事象判定部１５８によって供給された判定結果が、プライバシー保護対象外事象が発生していることを表しているか否かを判定する。プライバシー保護対象外事象が発生している場合、情報判定部１６０は、記憶部１６６に記憶されているセンシティブ情報判定テーブル１６６４、及び保護レベル判定テーブル１６６６を参照し、情報抽出部１５６から供給された車両情報がセンシティブ情報に該当するか否かを判定する。具体的には、情報判定部１６０は、情報抽出部１５６から供給された車両情報が、保護レベル判定テーブル１６６６のプライバシーとして保護を求める対象となる情報の欄に登録されているセンシティブ情報判定テーブル１６６４の識別情報＃Ａ、＃Ｂ、＃Ｃ、及び＃Ｄのいずれかに該当するかを判定する。そして、情報判定部１６０は、センシティブ情報に該当する車両情報を転送判定部１６２へ出力し、センシティブ情報に該当する車両情報以外の車両情報を通信部１５４へ出力する。つまり、情報判定部１６０は、コンテキストセンシティブ情報に該当しない、又はノンセンシティブ情報に該当する車両情報を通信部１５４へ出力する。
また、プライバシー保護対象外事象が発生していない場合、情報判定部１６０は、記憶部１６６に記憶されているセンシティブ情報判定テーブル１６６４、及び保護レベル判定テーブル１６６６を参照し、情報抽出部１５６から供給された車両情報がセンシティブ情報又はコンテキストセンシティブ情報に該当するか否かを判定する。具体的には、情報判定部１６０は、情報抽出部１５６から供給された車両情報又は車両情報を複数組み合わせたものが、保護レベル判定テーブル１６６６のプライバシーとして保護を求める対象となる情報の欄に登録されているセンシティブ情報判定テーブル１６６４の識別情報＃Ａ、＃Ｂ、＃Ｃ、及び＃Ｄのいずれかに該当するかを判定する。そして、情報判定部１６０は、センシティブ情報又はコンテキストセンシティブ情報に該当する車両情報を転送判定部１６２へ出力し、センシティブ情報又はコンテキストセンシティブ情報に該当する車両情報以外の車両情報を通信部１５４へ出力する。つまり、情報判定部１６０は、ノンセンシティブ情報に該当する車両情報を通信部１５４へ出力する。
また、プライバシー保護対象外事象が発生していない場合、情報判定部１６０は、記憶部１６６に記憶されているセンシティブ情報判定テーブル１６６４、及び保護レベル判定テーブル１６６６を参照し、情報抽出部１５６から供給された車両情報がセンシティブ情報又はコンテキストセンシティブ情報に該当するか否かを判定する。具体的には、情報判定部１６０は、情報抽出部１５６から供給された車両情報又は車両情報を複数組み合わせたものが、保護レベル判定テーブル１６６６のプライバシーとして保護を求める対象となる情報の欄に登録されているセンシティブ情報判定テーブル１６６４の識別情報＃Ａ、＃Ｂ、＃Ｃ、及び＃Ｄのいずれかに該当するかを判定する。そして、情報判定部１６０は、センシティブ情報又はコンテキストセンシティブ情報に該当する車両情報を転送判定部１６２へ出力し、センシティブ情報又はコンテキストセンシティブ情報に該当する車両情報以外の車両情報を通信部１５４へ出力する。つまり、情報判定部１６０は、ノンセンシティブ情報に該当する車両情報を通信部１５４へ出力する。
転送判定部１６２は、ＣＰＵからの命令によって実現される。転送判定部１６２は、情報判定部１６０によって供給された車両情報をＸ社のサーバ４００ｄへ転送するか否かを判定する。具体的には、転送判定部１６２は、記憶部１６６に格納された保護レベル判定テーブル１６６６の保護レベルの欄を参照し、「提供不可」とされている場合には転送しないと判定し、「提供不可」以外とされている場合には転送すると判定する。転送判定部１６２は、「提供不可」とされている場合に情報判定部１６０によって供給された車両情報を削除し、「提供不可」以外とされている場合に情報判定部１６０によって供給された車両情報を情報変更部１６４へ出力する。
情報変更部１６４は、ＣＰＵからの命令によって実現される。情報変更部１６４は、転送判定部１６２によって供給された車両情報が位置情報であるか否かを判定する。位置情報でないと判定した場合、情報変更部１６４は、車両情報をＸ社のサーバ４００ｄへ転送する場合に、該車両情報の粒度を変更する。一方、位置情報であると判定した場合、情報変更部１６４は、位置情報に時刻情報が含まれている場合には、時刻情報を削除し、時刻情報を削除した位置情報をＸ社のサーバ４００ｄへ転送する場合に、必要に応じて、該車両情報の粒度を変更する。具体的には、情報変更部１６４は、記憶部１６６に格納された保護レベル判定テーブル１６６６の保護レベルの欄に登録されている情報の粒度にしたがって、必要に応じて、車両情報又は位置情報を変更する。そして、情報変更部１６４は、必要に応じて、情報の粒度を変更した位置情報を、暗号化部１７２へ出力するとともに、補助情報生成部１６８に、位置情報を送信することを通知する情報である位置情報送信通知を出力する。ここで、情報変更部１６４は、一つのデータに対して指定されている保護レベルが複数あり、且つ異なる場合には、保護レベルが高い方を採用するようにしてもよい。例えば、センシティブ・ロケーション域内において速度超過があった場合の位置情報として、住所コード（都道府県・市区郡・町村コード）が最も保護レベルが高い場合、該住所コードが採用されてもよい。
情報変更部１６４は、ＣＰＵからの命令によって実現される。情報変更部１６４は、転送判定部１６２によって供給された車両情報が位置情報であるか否かを判定する。位置情報でないと判定した場合、情報変更部１６４は、車両情報をＸ社のサーバ４００ｄへ転送する場合に、該車両情報の粒度を変更する。一方、位置情報であると判定した場合、情報変更部１６４は、位置情報に時刻情報が含まれている場合には、時刻情報を削除し、時刻情報を削除した位置情報をＸ社のサーバ４００ｄへ転送する場合に、必要に応じて、該車両情報の粒度を変更する。具体的には、情報変更部１６４は、記憶部１６６に格納された保護レベル判定テーブル１６６６の保護レベルの欄に登録されている情報の粒度にしたがって、必要に応じて、車両情報又は位置情報を変更する。そして、情報変更部１６４は、必要に応じて、情報の粒度を変更した位置情報を、暗号化部１７２へ出力するとともに、補助情報生成部１６８に、位置情報を送信することを通知する情報である位置情報送信通知を出力する。ここで、情報変更部１６４は、一つのデータに対して指定されている保護レベルが複数あり、且つ異なる場合には、保護レベルが高い方を採用するようにしてもよい。例えば、センシティブ・ロケーション域内において速度超過があった場合の位置情報として、住所コード（都道府県・市区郡・町村コード）が最も保護レベルが高い場合、該住所コードが採用されてもよい。
補助情報生成部１６８は、情報変更部１６４が出力した位置情報送信通知を取得した場合に、Ｘ社のサーバ４００ｄが、暗号化した位置情報を復号するときに使用する情報を生成する。以下、Ｘ社のサーバ４００ｄが、暗号化した位置情報を復号するときに使用する情報を、補助情報という。補助情報生成部１６８は、生成した補助情報を、暗号鍵生成部１７０と暗号化部１７２へ出力する。
暗号鍵生成部１７０は、補助情報生成部１６８が出力した補助情報を取得した場合、情報開示ポリシーＤＢ１６６８に記載されている開示情報のうち、情報の提供先であるＸ社のサーバ４００ｄに関連付けられている開示情報を取得する。ここでは、情報の提供先であるＸ社のサーバ４００ｄに関連付けられている開示情報が、Ｍ３時間経過後開示、つまりＭ３時間経過後が位置情報を開示するタイミングである場合について説明を続ける。暗号鍵生成部１７０は、取得した補助情報と開示情報とに基づいて、時限式暗号化方式によって、Ｍ３時間経過後に位置情報を復号可能に暗号化する共通鍵等の暗号鍵を生成する。暗号鍵生成部１７０は、乱数ｒを生成し、生成した乱数ｒと補助情報ｗと開示情報ｔ０（＝Ｍ３）とに基づいて、ｓ＝ｅ（ｒＰ，ｗＰ）を演算する。ここで、ｅ（ｒＰ，ｗＰ）は、ペアリングと呼ばれる演算であり、双線形写像を与える。Ｐは、楕円曲線上の点であり、ｒＰ，ｗＰは、楕円曲線上での掛け算に相当する。そして、暗号鍵生成部１７０は、演算した結果ｓのハッシュ値等のダイジェスト値を位置情報の暗号鍵とする。暗号鍵生成部１７０は、暗号鍵を、暗号化部１７２へ出力する。
暗号化部１７２は、情報変更部１６４が出力した位置情報と暗号化部１７２が出力した暗号鍵とを取得する。暗号化部１７２は、暗号鍵で、情報の粒度を変更した位置情報を暗号化する。暗号化部１７２は、暗号化した結果を、通信部１５４へ出力する。通信部１５４は、暗号化した結果を送信する。そして、暗号化部１７２は、通信部１５４が暗号化した結果を送信してから、Ｍ２時間経過後（Ｍ３＞Ｍ２）に、通信部１５４へ、補助情報を出力する。通信部１５４は、補助情報を送信する。
暗号鍵生成部１７０は、補助情報生成部１６８が出力した補助情報を取得した場合、情報開示ポリシーＤＢ１６６８に記載されている開示情報のうち、情報の提供先であるＸ社のサーバ４００ｄに関連付けられている開示情報を取得する。ここでは、情報の提供先であるＸ社のサーバ４００ｄに関連付けられている開示情報が、Ｍ３時間経過後開示、つまりＭ３時間経過後が位置情報を開示するタイミングである場合について説明を続ける。暗号鍵生成部１７０は、取得した補助情報と開示情報とに基づいて、時限式暗号化方式によって、Ｍ３時間経過後に位置情報を復号可能に暗号化する共通鍵等の暗号鍵を生成する。暗号鍵生成部１７０は、乱数ｒを生成し、生成した乱数ｒと補助情報ｗと開示情報ｔ０（＝Ｍ３）とに基づいて、ｓ＝ｅ（ｒＰ，ｗＰ）を演算する。ここで、ｅ（ｒＰ，ｗＰ）は、ペアリングと呼ばれる演算であり、双線形写像を与える。Ｐは、楕円曲線上の点であり、ｒＰ，ｗＰは、楕円曲線上での掛け算に相当する。そして、暗号鍵生成部１７０は、演算した結果ｓのハッシュ値等のダイジェスト値を位置情報の暗号鍵とする。暗号鍵生成部１７０は、暗号鍵を、暗号化部１７２へ出力する。
暗号化部１７２は、情報変更部１６４が出力した位置情報と暗号化部１７２が出力した暗号鍵とを取得する。暗号化部１７２は、暗号鍵で、情報の粒度を変更した位置情報を暗号化する。暗号化部１７２は、暗号化した結果を、通信部１５４へ出力する。通信部１５４は、暗号化した結果を送信する。そして、暗号化部１７２は、通信部１５４が暗号化した結果を送信してから、Ｍ２時間経過後（Ｍ３＞Ｍ２）に、通信部１５４へ、補助情報を出力する。通信部１５４は、補助情報を送信する。
（サーバ）
図８は、実施形態に係るサーバの一例を示す機能ブロック図である。ここでは、サーバ４００の機能のうち、プライバシー保護装置１００が送信した暗号化した結果と補助情報とを受信し、暗号化した結果を復号することによって位置情報を取得する機能について説明する。
サーバ４００は、通信部４０２と記憶部４１０と制御部４３０とを備える。
通信部４０２は、通信モジュールによって実現される。通信部４０２は、インターネット５０を介して、プライバシー保護装置１００、時報局５００などの他の装置との間で通信を行う。具体的には、通信部４０２は、プライバシー保護装置１００が送信した暗号化した結果を受信し、受信した暗号化した結果を、制御部４３０へ出力する。また、通信部４０２は、プライバシー保護装置１００が送信した補助情報ｗを受信し、受信した補助情報ｗを、制御部４３０へ出力する。また、通信部４０２は、Ｍ３時間経過後に、時報局５００が送信した電子署名が付加された時刻情報を受信し、受信した電子署名が付加された時刻情報を、制御部４３０へ出力する。
記憶部４１０は、プログラム４１２を記憶する。プログラム４１２は、制御部４３０を、取得部４３２と復号部４３４として機能させる。
制御部４３０は、例えばＣＰＵ等の演算処理装置によって構成され、記憶部４１０に記憶されたプログラム４１２を実行することにより、取得部４３２と復号部４３４として機能する。取得部４３２は、通信部４０２が出力した暗号化した結果を取得し、取得した暗号化した結果を、復号部４３４へ出力する。また、取得部４３２は、通信部４０２が出力した補助情報ｗを取得し、取得した補助情報ｗを、復号部４３４へ出力する。ここで、取得部４３２は、暗号化した結果を取得してからＭ２時間経過後に補助情報ｗを取得し、暗号化した結果を取得してからＭ３時間経過後に電子署名が付加された時刻情報を取得する。
復号部４３４は、取得部４３２が出力した暗号化した結果と補助情報ｗと電子署名が付加された時刻情報を取得した場合に、電子署名を検証する。復号部４３４は、電子署名の検証が成功した場合に、取得した補助情報ｗと時刻情報ｔ０（＝Ｍ３）とに基づいて、ｅ（ｒ（ｔ０＋ｘ）Ｐ，ｗ／（ｘ＋ｔ０）Ｐ）＝ｓを演算する。そして、復号部４３４、演算した結果ｓのハッシュ値等のダイジェスト値を位置情報の復号鍵とする。復号部４３４は、復号鍵で、暗号化した結果を復号することによって、位置情報を取得する。
図８は、実施形態に係るサーバの一例を示す機能ブロック図である。ここでは、サーバ４００の機能のうち、プライバシー保護装置１００が送信した暗号化した結果と補助情報とを受信し、暗号化した結果を復号することによって位置情報を取得する機能について説明する。
サーバ４００は、通信部４０２と記憶部４１０と制御部４３０とを備える。
通信部４０２は、通信モジュールによって実現される。通信部４０２は、インターネット５０を介して、プライバシー保護装置１００、時報局５００などの他の装置との間で通信を行う。具体的には、通信部４０２は、プライバシー保護装置１００が送信した暗号化した結果を受信し、受信した暗号化した結果を、制御部４３０へ出力する。また、通信部４０２は、プライバシー保護装置１００が送信した補助情報ｗを受信し、受信した補助情報ｗを、制御部４３０へ出力する。また、通信部４０２は、Ｍ３時間経過後に、時報局５００が送信した電子署名が付加された時刻情報を受信し、受信した電子署名が付加された時刻情報を、制御部４３０へ出力する。
記憶部４１０は、プログラム４１２を記憶する。プログラム４１２は、制御部４３０を、取得部４３２と復号部４３４として機能させる。
制御部４３０は、例えばＣＰＵ等の演算処理装置によって構成され、記憶部４１０に記憶されたプログラム４１２を実行することにより、取得部４３２と復号部４３４として機能する。取得部４３２は、通信部４０２が出力した暗号化した結果を取得し、取得した暗号化した結果を、復号部４３４へ出力する。また、取得部４３２は、通信部４０２が出力した補助情報ｗを取得し、取得した補助情報ｗを、復号部４３４へ出力する。ここで、取得部４３２は、暗号化した結果を取得してからＭ２時間経過後に補助情報ｗを取得し、暗号化した結果を取得してからＭ３時間経過後に電子署名が付加された時刻情報を取得する。
復号部４３４は、取得部４３２が出力した暗号化した結果と補助情報ｗと電子署名が付加された時刻情報を取得した場合に、電子署名を検証する。復号部４３４は、電子署名の検証が成功した場合に、取得した補助情報ｗと時刻情報ｔ０（＝Ｍ３）とに基づいて、ｅ（ｒ（ｔ０＋ｘ）Ｐ，ｗ／（ｘ＋ｔ０）Ｐ）＝ｓを演算する。そして、復号部４３４、演算した結果ｓのハッシュ値等のダイジェスト値を位置情報の復号鍵とする。復号部４３４は、復号鍵で、暗号化した結果を復号することによって、位置情報を取得する。
＜プライバシー保護装置の動作＞
図９は、実施形態に係るプライバシー保護装置１００の動作（その１）の一例を示す。図９に示される例では、Ｘ社のサーバ４００ｄからＸ会社が要求する車両情報の一覧ＳＰ１がプライバシー保護装置１００へ供給された後の動作を示す。
（ステップＳ１０２） 無線通信部１５２は、車両３００に搭載された車載端末３５０によって送信される車両情報を収集する。
（ステップＳ１０４） 情報抽出部１５６は、ステップＳ１０２において収集した車両情報から、情報提供先、つまりＸ会社から要求される車両情報を抽出する。
（ステップＳ１０６） 事象判定部１５８は、プライバシー保護の対象外となる事象が発生しているか否かを判定する。プライバシー保護の対象外となる事象が発生していない場合にはステップＳ１０８へ移行し、発生している場合には図１０のステップＳ２０２へ移行する。
（ステップＳ１０８） 情報判定部１６０は、ステップＳ１０４において抽出した車両情報がセンシティブ情報又はコンテキストセンシティブ情報であるか否かを判定する。車両情報がセンシティブ情報である場合にはステップＳ１１０へ移行し、車両情報がセンシティブ情報でない場合には図１０のステップＳ２０８へ移行する。
（ステップＳ１１０） 転送判定部１６２は、ステップＳ１０４において抽出した車両情報をＸ社のサーバ４００ｄへ提供するか否かを判定する。Ｘ社のサーバ４００ｄへ提供しないと判定した場合には終了し、提供すると判定した場合にはステップＳ１１２へ移行する。
（ステップＳ１１２） 情報変更部１６４は、車両情報が位置情報であるか否かを判定する。車両情報が位置情報であると判定した場合にはステップＳ１１４へ移行し、車両情報が位置情報でないと判定した場合には図１０のステップＳ２０６へ移行する。
図９は、実施形態に係るプライバシー保護装置１００の動作（その１）の一例を示す。図９に示される例では、Ｘ社のサーバ４００ｄからＸ会社が要求する車両情報の一覧ＳＰ１がプライバシー保護装置１００へ供給された後の動作を示す。
（ステップＳ１０２） 無線通信部１５２は、車両３００に搭載された車載端末３５０によって送信される車両情報を収集する。
（ステップＳ１０４） 情報抽出部１５６は、ステップＳ１０２において収集した車両情報から、情報提供先、つまりＸ会社から要求される車両情報を抽出する。
（ステップＳ１０６） 事象判定部１５８は、プライバシー保護の対象外となる事象が発生しているか否かを判定する。プライバシー保護の対象外となる事象が発生していない場合にはステップＳ１０８へ移行し、発生している場合には図１０のステップＳ２０２へ移行する。
（ステップＳ１０８） 情報判定部１６０は、ステップＳ１０４において抽出した車両情報がセンシティブ情報又はコンテキストセンシティブ情報であるか否かを判定する。車両情報がセンシティブ情報である場合にはステップＳ１１０へ移行し、車両情報がセンシティブ情報でない場合には図１０のステップＳ２０８へ移行する。
（ステップＳ１１０） 転送判定部１６２は、ステップＳ１０４において抽出した車両情報をＸ社のサーバ４００ｄへ提供するか否かを判定する。Ｘ社のサーバ４００ｄへ提供しないと判定した場合には終了し、提供すると判定した場合にはステップＳ１１２へ移行する。
（ステップＳ１１２） 情報変更部１６４は、車両情報が位置情報であるか否かを判定する。車両情報が位置情報であると判定した場合にはステップＳ１１４へ移行し、車両情報が位置情報でないと判定した場合には図１０のステップＳ２０６へ移行する。
（ステップＳ１１４） 情報変更部１６４は、車両情報に時刻情報が含まれる場合に、時刻情報を削除する。
（ステップＳ１１５） 情報変更部１６４は、保護レベル判定テーブル１６６６の保護レベルの欄に登録された情報の粒度にしたがって、必要に応じて、車両情報を変更する。
（ステップＳ１１６） 暗号鍵生成部１７０は、補助情報生成部１６８が生成した補助情報と情報開示ポリシー１６６８に記憶されているサーバ４００ｄに関連付けられている開示情報とに基づいて、暗号鍵を生成する。
（ステップＳ１１８） 暗号化部１７２は、暗号鍵で、車両情報を暗号化する。
（ステップＳ１２０） 通信部１５４は、車両情報を暗号化した結果を含むメッセージセットを作成する。
（ステップＳ１２２） 通信部１５４は、Ｘ社のサーバ４００ｄへ、作成したメッセージセットを送信する。
（ステップＳ１２４） 暗号化部１７２は、Ｘ社のサーバ４００ｄに関連付けられている時刻関連情報で示される時間が経過したか否かを判定することによって、補助時間を送信する時間であるか否かを判定する。補助時間を送信する時間でない場合にはステップＳ１２４へ戻り、補助時間を送信する時間である場合にはステップＳ１２６へ移行する。
（ステップＳ１２６） 暗号化部１７２は、補助情報を送信する。
（ステップＳ１１５） 情報変更部１６４は、保護レベル判定テーブル１６６６の保護レベルの欄に登録された情報の粒度にしたがって、必要に応じて、車両情報を変更する。
（ステップＳ１１６） 暗号鍵生成部１７０は、補助情報生成部１６８が生成した補助情報と情報開示ポリシー１６６８に記憶されているサーバ４００ｄに関連付けられている開示情報とに基づいて、暗号鍵を生成する。
（ステップＳ１１８） 暗号化部１７２は、暗号鍵で、車両情報を暗号化する。
（ステップＳ１２０） 通信部１５４は、車両情報を暗号化した結果を含むメッセージセットを作成する。
（ステップＳ１２２） 通信部１５４は、Ｘ社のサーバ４００ｄへ、作成したメッセージセットを送信する。
（ステップＳ１２４） 暗号化部１７２は、Ｘ社のサーバ４００ｄに関連付けられている時刻関連情報で示される時間が経過したか否かを判定することによって、補助時間を送信する時間であるか否かを判定する。補助時間を送信する時間でない場合にはステップＳ１２４へ戻り、補助時間を送信する時間である場合にはステップＳ１２６へ移行する。
（ステップＳ１２６） 暗号化部１７２は、補助情報を送信する。
図１０は、実施形態に係るプライバシー保護装置１００の動作（その２）の一例を示す。図１０に示される例では、図９のステップＳ１０６において、プライバシー保護の対象外となる事象が発生している場合の動作が示される。
（ステップＳ２０２） 情報判定部１６０は、ステップＳ１０４において抽出した車両情報がセンシティブ情報であるか否かを判定する。車両情報がセンシティブ情報でない場合、ステップＳ２０４へ移行する。
（ステップＳ２０４） 転送判定部１６２は、ステップＳ１０４において抽出した車両情報を情報提供先へ提供するか否かを判定する。情報提供先へ提供しないと判定した場合には終了し、提供すると判定した場合にはステップＳ２０６へ移行する。
（ステップＳ２０６） 情報変更部１６４は、保護レベル判定テーブル１６６６の保護レベルの欄に登録された情報の粒度にしたがって、必要に応じて、車両情報を変更する。
（ステップＳ２０８） 通信部１５４は、車両情報を暗号化した結果を含むメッセージセットを作成する。
（ステップＳ２１０） 通信部１５４は、Ｘ社のサーバ４００ｄへ、作成したメッセージセットを送信する。
図９−図１０に示されるフローチャートは一例であり、図９−図１０とは異なる順序で処理が行われてもよい。例えば、ステップＳ１０６と、ステップＳ１０８、ステップＳ１１０、及びステップＳ１１２の順序が入れ替えられてもよい。
（ステップＳ２０２） 情報判定部１６０は、ステップＳ１０４において抽出した車両情報がセンシティブ情報であるか否かを判定する。車両情報がセンシティブ情報でない場合、ステップＳ２０４へ移行する。
（ステップＳ２０４） 転送判定部１６２は、ステップＳ１０４において抽出した車両情報を情報提供先へ提供するか否かを判定する。情報提供先へ提供しないと判定した場合には終了し、提供すると判定した場合にはステップＳ２０６へ移行する。
（ステップＳ２０６） 情報変更部１６４は、保護レベル判定テーブル１６６６の保護レベルの欄に登録された情報の粒度にしたがって、必要に応じて、車両情報を変更する。
（ステップＳ２０８） 通信部１５４は、車両情報を暗号化した結果を含むメッセージセットを作成する。
（ステップＳ２１０） 通信部１５４は、Ｘ社のサーバ４００ｄへ、作成したメッセージセットを送信する。
図９−図１０に示されるフローチャートは一例であり、図９−図１０とは異なる順序で処理が行われてもよい。例えば、ステップＳ１０６と、ステップＳ１０８、ステップＳ１１０、及びステップＳ１１２の順序が入れ替えられてもよい。
＜サーバの動作＞
図１１は、実施形態に係るサーバの動作の一例を示す。図１１に示される例では、プライバシー保護装置１００が送信した暗号化した結果を、Ｘ社のサーバ４００ｄが受信した後の動作を示す。
（ステップＳ３０２） 通信部４０２は、プライバシー保護装置１００が送信した車両情報を受信する。この車両情報は、暗号化されている。
（ステップＳ３０４） 復号部４３４は、車両情報を受信してから時間Ｍ４が経過したか否かを判定する。ここで、時間Ｍ４は、時間Ｍ３よりも長い時間である。時間Ｍ４が経過していない場合にはステップＳ３０６へ移行し、時間Ｍ４が経過している場合には終了する。終了した場合、Ｘ社のサーバ４００ｄは位置情報を取得できなかったことになる。
（ステップＳ３０６） 復号部４３４は、補助情報を受信したか否かを判定する。具体的には、復号部４３４は、車両情報を受信してからＭ２時間経過後に、補助情報を受信したか否かを判定する。補助情報を受信した場合にはステップＳ３０８へ移行し、受信していない場合にはステップＳ３０４へ移行する。
（ステップＳ３０８） 復号部４３４は、電子署名が付加された時刻情報を取得する。具体的には、復号部４３４は、車両情報を受信してからＭ３時間経過後に、電子署名が付加された時刻情報を取得する。
（ステップＳ３１０） 復号部４３４は、時刻情報と補助情報とに基づいて、復号鍵を生成する。
（ステップＳ３１２） 復号部４３４は、ステップＳ３０２で受信した車両情報を、復号する。
図１１は、実施形態に係るサーバの動作の一例を示す。図１１に示される例では、プライバシー保護装置１００が送信した暗号化した結果を、Ｘ社のサーバ４００ｄが受信した後の動作を示す。
（ステップＳ３０２） 通信部４０２は、プライバシー保護装置１００が送信した車両情報を受信する。この車両情報は、暗号化されている。
（ステップＳ３０４） 復号部４３４は、車両情報を受信してから時間Ｍ４が経過したか否かを判定する。ここで、時間Ｍ４は、時間Ｍ３よりも長い時間である。時間Ｍ４が経過していない場合にはステップＳ３０６へ移行し、時間Ｍ４が経過している場合には終了する。終了した場合、Ｘ社のサーバ４００ｄは位置情報を取得できなかったことになる。
（ステップＳ３０６） 復号部４３４は、補助情報を受信したか否かを判定する。具体的には、復号部４３４は、車両情報を受信してからＭ２時間経過後に、補助情報を受信したか否かを判定する。補助情報を受信した場合にはステップＳ３０８へ移行し、受信していない場合にはステップＳ３０４へ移行する。
（ステップＳ３０８） 復号部４３４は、電子署名が付加された時刻情報を取得する。具体的には、復号部４３４は、車両情報を受信してからＭ３時間経過後に、電子署名が付加された時刻情報を取得する。
（ステップＳ３１０） 復号部４３４は、時刻情報と補助情報とに基づいて、復号鍵を生成する。
（ステップＳ３１２） 復号部４３４は、ステップＳ３０２で受信した車両情報を、復号する。
（位置情報の暗号化、及び復号処理）
前述したプライバシー保護装置１００が実行する位置情報の暗号化処理、サービス提供者のサーバ４００が実行する位置情報を暗号化した結果を復号する処理について説明する。（Ｇ１，＋），（Ｇ２，×）をそれぞれ離散対数問題が困難な群とする。
ｅ：Ｇ１×Ｇ１→Ｇ２をペアリング写像とする。つまり、ｅ（ｎＰ，Ｑ）＝ｅ（Ｐ，ｎＱ）が成り立つ。
また、ペアリング演算では、式（１）が成り立つ。
ｅ（ｘＰ，ｙＰ）＝ｅ（ｙＰ，ｘＰ）＝ｅ（Ｐ，Ｐ）＾ｘｙ （１）
時報局５００は、自然数ｘを秘密鍵とし、Ｐ∈Ｇ１（Ｇ１に含まれるＰ）を選択して（Ｐ，ｘＰ）を公開鍵として公開する。時報局５００は、現在時刻ｔに対して、（ｔ，１／（ｘ＋ｔ）Ｐ）を正式な時報として毎秒発行する。
サーバ４００は、ｅ（１／（ｘ＋ｔ）Ｐ，ｘＰ＋ｔＰ）＝ｅ（Ｐ，Ｐ）が成立する場合に、署名が正式であると判定する。
プライバシー保護装置１００は、乱数ｒと補助情報ｗとプライバシー要件によって定められた時刻ｔ０を選択し、ｓ＝ｅ（ｒＰ，ｗＰ）を計算する。プライバシー保護装置１００は、計算した結果ｓのハッシュ値を位置情報の暗号鍵として、共通鍵暗号等の暗号化方式を用いて、Ｃ＝Ｅ＿ｓ（Ｐ）のように暗号化する。暗号化された位置情報には、（ｔ０，ｒ（ｔ０＋ｘ）Ｐ）をヘッダとして付加する。プライバシー保護装置１００は、Ｍ２時間経過した後に、補助情報ｗをサービス提供者に送付する。
サーバ４００は、Ｍ２時間経過した後に、補助情報ｗを受信する。また、サーバ４００は、時刻ｔ０になると正式な時報につけられた署名データ１／（ｘ＋ｔ０）Ｐを時報局５００から取得できる。このため、サーバ４００は、ｅ（ｒ（ｔ０＋ｘ）Ｐ，ｗ／（ｘ＋ｔ０）Ｐ）＝ｅ（ｒＰ，ｗＰ）＾（（ｔ０＋ｘ）／（ｘ＋ｔ０））＝ｅ（ｒＰ，ｗＰ）＝ｓを計算し、計算によって得られたｓのハッシュ値から復号鍵を導出できるため、位置情報を復号できる。
前述したプライバシー保護装置１００が実行する位置情報の暗号化処理、サービス提供者のサーバ４００が実行する位置情報を暗号化した結果を復号する処理について説明する。（Ｇ１，＋），（Ｇ２，×）をそれぞれ離散対数問題が困難な群とする。
ｅ：Ｇ１×Ｇ１→Ｇ２をペアリング写像とする。つまり、ｅ（ｎＰ，Ｑ）＝ｅ（Ｐ，ｎＱ）が成り立つ。
また、ペアリング演算では、式（１）が成り立つ。
ｅ（ｘＰ，ｙＰ）＝ｅ（ｙＰ，ｘＰ）＝ｅ（Ｐ，Ｐ）＾ｘｙ （１）
時報局５００は、自然数ｘを秘密鍵とし、Ｐ∈Ｇ１（Ｇ１に含まれるＰ）を選択して（Ｐ，ｘＰ）を公開鍵として公開する。時報局５００は、現在時刻ｔに対して、（ｔ，１／（ｘ＋ｔ）Ｐ）を正式な時報として毎秒発行する。
サーバ４００は、ｅ（１／（ｘ＋ｔ）Ｐ，ｘＰ＋ｔＰ）＝ｅ（Ｐ，Ｐ）が成立する場合に、署名が正式であると判定する。
プライバシー保護装置１００は、乱数ｒと補助情報ｗとプライバシー要件によって定められた時刻ｔ０を選択し、ｓ＝ｅ（ｒＰ，ｗＰ）を計算する。プライバシー保護装置１００は、計算した結果ｓのハッシュ値を位置情報の暗号鍵として、共通鍵暗号等の暗号化方式を用いて、Ｃ＝Ｅ＿ｓ（Ｐ）のように暗号化する。暗号化された位置情報には、（ｔ０，ｒ（ｔ０＋ｘ）Ｐ）をヘッダとして付加する。プライバシー保護装置１００は、Ｍ２時間経過した後に、補助情報ｗをサービス提供者に送付する。
サーバ４００は、Ｍ２時間経過した後に、補助情報ｗを受信する。また、サーバ４００は、時刻ｔ０になると正式な時報につけられた署名データ１／（ｘ＋ｔ０）Ｐを時報局５００から取得できる。このため、サーバ４００は、ｅ（ｒ（ｔ０＋ｘ）Ｐ，ｗ／（ｘ＋ｔ０）Ｐ）＝ｅ（ｒＰ，ｗＰ）＾（（ｔ０＋ｘ）／（ｘ＋ｔ０））＝ｅ（ｒＰ，ｗＰ）＝ｓを計算し、計算によって得られたｓのハッシュ値から復号鍵を導出できるため、位置情報を復号できる。
（適用例）
データ或いはデータ群の転送対象として、時刻と位置情報とが含まれる場合、データ或いはデータ群を転送するプライバシー保護装置１００は、車両のイグニッション・キーがオンにされ、走行を開始してからＭ１時間の間は、時刻と位置情報を転送対象から除外する。これによって、家等の車両の出発地点の位置情報が、サービス提供者へ送信されることを防ぐことができるため、プライバシーリスクを避けることができる。
さらに、データ或いはデータ群の転送対象として、時刻と位置情報が含まれる場合、データ或いはデータ群を転送するプライバシー保護装置１００は、車両のイグニッション・キーがオフにされ、走行を停止したと判断される場合には、停止する前のＭ２時間の間、暗号化した結果を復号するのに必要とされる補助情報の送付を停止する。なお、Ｍ１は、出発地近傍の車両保管台数及び走行車両台数の統計と利用者の知られたくない度合い（Ｎ）によって決定される。これによって、家等の車両の到着地点の位置情報が、サービス提供者へ送信されることを防ぐことができるため、プライバシーリスクを避けることができる。
一方、データ或いはデータ群の転送対象として、時刻と位置情報とが含まれる場合、プライバシー保護装置１００は、利用者によって予め指定された「情報保護対象外事象」が発生し、所定の機関・団体等からの開示リクエストを受領した場合には、すべての情報を所定の機関・団体に対して、開示する。これによって、異常が発生し緊急の場合には、サービス提供者に、情報を、直ちに通知することができる。
データ或いはデータ群の転送対象として、時刻と位置情報とが含まれる場合、データ或いはデータ群を転送するプライバシー保護装置１００は、車両のイグニッション・キーがオンにされ、走行を開始してからＭ１時間の間は、時刻と位置情報を転送対象から除外する。これによって、家等の車両の出発地点の位置情報が、サービス提供者へ送信されることを防ぐことができるため、プライバシーリスクを避けることができる。
さらに、データ或いはデータ群の転送対象として、時刻と位置情報が含まれる場合、データ或いはデータ群を転送するプライバシー保護装置１００は、車両のイグニッション・キーがオフにされ、走行を停止したと判断される場合には、停止する前のＭ２時間の間、暗号化した結果を復号するのに必要とされる補助情報の送付を停止する。なお、Ｍ１は、出発地近傍の車両保管台数及び走行車両台数の統計と利用者の知られたくない度合い（Ｎ）によって決定される。これによって、家等の車両の到着地点の位置情報が、サービス提供者へ送信されることを防ぐことができるため、プライバシーリスクを避けることができる。
一方、データ或いはデータ群の転送対象として、時刻と位置情報とが含まれる場合、プライバシー保護装置１００は、利用者によって予め指定された「情報保護対象外事象」が発生し、所定の機関・団体等からの開示リクエストを受領した場合には、すべての情報を所定の機関・団体に対して、開示する。これによって、異常が発生し緊急の場合には、サービス提供者に、情報を、直ちに通知することができる。
前述した実施形態において、プライバシー保護装置１００は、インターネットへのアクセスログを一定数保存するようにしてもよい。そして、利用者によってアクセスログの全て、或いは一部を削除すること、並びに特定のサイトへのアクセスを禁じることができるようにしてもよい。また、プライバシー保護装置１００は、指定された通信プロトコル以外の通信プロトコルにおいて、原データ或いはデータ群を転送先に伝送することを禁じるようにしてもよい。また、プライバシー保護装置１００は、指定されたデータフォーマット以外のデータフォーマットにおいて、原データ或いはデータ群を転送先に伝送することを禁じるようにしてもよい。
また、プライバシー保護装置１００は、提供先によって収集された車両情報を第三者へ提供する場合等の二次利用に関する事前承諾が、提供先から利用者へ求められた場合に、利用者に代行して回答するようにしてもよい。この場合、プライバシー保護装置１００は、以下の（イ）、（ロ）、及び（ハ）の場合には二次利用を禁止する回答を返信してもよい。
（イ） 第三者が、利用者の意向により二次利用を禁じられている場合
（ロ） 第三者が、プライバシー保護装置において既に転送先である場合
（ハ） 第三者が、プライバシー保護装置において過去に転送先であり、その転送期間に二次利用データの対象期間が含まれる場合
また、プライバシー保護装置１００は、提供先によって収集された車両情報を第三者へ提供する場合等の二次利用に関する事前承諾が、提供先から利用者へ求められた場合に、利用者に代行して回答するようにしてもよい。この場合、プライバシー保護装置１００は、以下の（イ）、（ロ）、及び（ハ）の場合には二次利用を禁止する回答を返信してもよい。
（イ） 第三者が、利用者の意向により二次利用を禁じられている場合
（ロ） 第三者が、プライバシー保護装置において既に転送先である場合
（ハ） 第三者が、プライバシー保護装置において過去に転送先であり、その転送期間に二次利用データの対象期間が含まれる場合
前述した実施形態においては、サービス提供者へ直ちに通知することでプライバシーリスクにつながるおそれがあり、且つ緊急の場合には直ちに通知する情報の一例として、位置情報を適用した場合について説明したが、この例に限られない。例えば、位置情報以外の情報に適用することもできる。
前述した実施形態においては、プライバシー保護装置１００が、開示情報と補助情報とに基づいて、時限式暗号方式によって暗号鍵を生成し、生成した暗号鍵で、位置情報を暗号化する場合について説明したが、この例に限られない。例えば、プライバシー保護装置１００は、開示情報に基づいて、時限式暗号方式によって暗号鍵を生成し、生成した暗号鍵で、位置情報を暗号化するようにしてもよい。このように構成することによって、車両情報の提供先は、補助情報を受信することなく、開示情報で示される開示するタイミングで、暗号化した結果を復号できる。
前述した実施形態においては、利用者識別ＩＤ、及び情報の提供先毎に情報の粒度を変更する場合について説明したが、この例に限られない。例えば、車載端末３５０に搭載されているアプリケーション毎に情報の粒度を変更するようにしてもよい。さらに、プライバシー保護装置１００では、プライバシー保護対象外の事象が発生しているか否かを判定できない場合には、車載端末３５０で判定されてもよいし、車載端末３５０以外の装置によって判定されてもよい。
前述した実施形態においては、パーソナルデータ送出装置２００が通信ネットワーク２０に接続される場合について説明したが、通信ネットワーク２０に限られず、インターネット５０に接続されてもよい。また、前述した実施形態においては、プライバシー保護装置１００がインターネット５０に接続される場合について説明したが、インターネットに限られず、インターネット以外のネットワークに接続されてもよい。さらに、パーソナルデータ送出装置２００が、インターネット以外のネットワークに接続されてもよい。
前述した実施形態において、Ｍ１時間、Ｍ２時間、Ｍ３時間は、秒で表されてもよいし分で表されてもよい。
前述した実施形態においては、プライバシー保護装置１００が、開示情報と補助情報とに基づいて、時限式暗号方式によって暗号鍵を生成し、生成した暗号鍵で、位置情報を暗号化する場合について説明したが、この例に限られない。例えば、プライバシー保護装置１００は、開示情報に基づいて、時限式暗号方式によって暗号鍵を生成し、生成した暗号鍵で、位置情報を暗号化するようにしてもよい。このように構成することによって、車両情報の提供先は、補助情報を受信することなく、開示情報で示される開示するタイミングで、暗号化した結果を復号できる。
前述した実施形態においては、利用者識別ＩＤ、及び情報の提供先毎に情報の粒度を変更する場合について説明したが、この例に限られない。例えば、車載端末３５０に搭載されているアプリケーション毎に情報の粒度を変更するようにしてもよい。さらに、プライバシー保護装置１００では、プライバシー保護対象外の事象が発生しているか否かを判定できない場合には、車載端末３５０で判定されてもよいし、車載端末３５０以外の装置によって判定されてもよい。
前述した実施形態においては、パーソナルデータ送出装置２００が通信ネットワーク２０に接続される場合について説明したが、通信ネットワーク２０に限られず、インターネット５０に接続されてもよい。また、前述した実施形態においては、プライバシー保護装置１００がインターネット５０に接続される場合について説明したが、インターネットに限られず、インターネット以外のネットワークに接続されてもよい。さらに、パーソナルデータ送出装置２００が、インターネット以外のネットワークに接続されてもよい。
前述した実施形態において、Ｍ１時間、Ｍ２時間、Ｍ３時間は、秒で表されてもよいし分で表されてもよい。
また、前述した実施形態においては、プライバシー保護装置１００が、データを、インターネット５０を経由して転送先Ｔ０１、転送先Ｔ０２、・・・、転送先Ｔ０Ｍのいずれか、或いは複数の転送先へ転送すると判定した場合に、当該データをパーソナルデータ送出装置２００にプライバシー保護装置１００への送出を許可する場合について説明したが、この例に限られない。例えば、パーソナルデータ送出装置２００は、プライバシー保護装置に全ての情報を（重複がないように）送信してもよい。この場合、プライバシー保護装置１００は、パーソナルデータ送出装置２００が送信したデータについて、転送可否、粒度変更を行う。このように構成することによって、パーソナルデータ送出装置２００、及びプライバシー保護装置１００を単純化或いは低コスト化することができる。
実施形態に係る通信システムによれば、提供元から提供先へ、プライバシー保護装置を経由して車両情報が送信される。プライバシー保護装置は、提供元から複数の車両情報を取集し、提供先毎に、提供元の意向に基づいて、車両情報が、提供先へ直ちに通知することでプライバシーリスクにつながるおそれがあり、且つ緊急の場合には直ちに通知する情報に該当する場合に、車両情報の変更や、削除を行い、変更した車両情報を暗号化して配信できる。
実施形態に係る通信システムによれば、車載端末３５０とサービス提供者との間に、プライバシー保護装置１００を備えることによって、プライバシー保護装置１００は、車両の走行中もサービスを享受するために、プライバシーポリシーにしたがって、ユーザの意思を代行する。このため、車載端末３５０とＧＷとの間のデータ伝送を削減することができる。
実施形態に係る通信システムによれば、プライバシー保護装置１００は、位置情報等の提供先へ直ちに通知することでプライバシーリスクにつながるおそれがあり、且つ緊急の場合には直ちに通知する情報を送付する際の開示情報を定め、定めた開示情報にしたがって、時限式暗号方式等で暗号化を行い、暗号化した結果を送付する。このように構成することによって、サービスの形態やプライバシー要件に基づいて、サービス提供者が位置情報を取得できる時間をコントロールすることができる。
実施形態に係る通信システムによれば、車載端末３５０とサービス提供者との間に、プライバシー保護装置１００を備えることによって、プライバシー保護装置１００は、車両の走行中もサービスを享受するために、プライバシーポリシーにしたがって、ユーザの意思を代行する。このため、車載端末３５０とＧＷとの間のデータ伝送を削減することができる。
実施形態に係る通信システムによれば、プライバシー保護装置１００は、位置情報等の提供先へ直ちに通知することでプライバシーリスクにつながるおそれがあり、且つ緊急の場合には直ちに通知する情報を送付する際の開示情報を定め、定めた開示情報にしたがって、時限式暗号方式等で暗号化を行い、暗号化した結果を送付する。このように構成することによって、サービスの形態やプライバシー要件に基づいて、サービス提供者が位置情報を取得できる時間をコントロールすることができる。
前述した実施形態において、車載端末は、複数のアプリケーションが、個別に車両情報を取得し、情報の提供先に転送する場合に比べ、プライバシー保護装置１００へ送信することによって、車載端末によって出力されるデータの伝送量を低減できるとともに、効率化できる。さらに、車両情報の変更は、解像度、精度、鮮度等の情報の粒度を変更することによって実現される。ユーザは、適用する情報の粒度について、どの程度抽象化した概念を採用するのかについて自己の状況に応じて選択できる。例えば、ユーザは、位置情報については緯度経度の桁数や市町村名、時刻については時分秒や朝昼夕晩等、自己の状況については平時であるのか、緊急事態等の特別な事象が発生した場合であるのかに応じて選択できる。
実施形態に係るプライバシー保護装置は、車両、及び車載端末から供給される車両情報に限定するものではなく、あらゆる端末装置によって供給される情報も収容し、前述した機能を提供することができる。これによって、多種多様なものがネットワークに接続されるようなＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）が適用される環境において、利用者がプライバシー保護のために生じる負担を一層軽減することができる。
前述した実施の形態において、車載端末は端末装置の一例であり、車載情報は情報の一例であり、Ｘ社のサーバ４００ｄは提供先の一例であり、コンテキストは情報の組み合わせの一例であり、通信部は送信部の一例であり、パーソナルデータ送出装置２００は取得部の一例である。
本発明は特定の実施例、変形例を参照しながら説明されてきたが、各実施例、変形例は単なる例示に過ぎず、当業者は様々な変形例、修正例、代替例、置換例等を理解するであろう。説明の便宜上、本発明の実施例に従った装置は機能的なブロック図を用いて説明されたが、そのような装置はハードウェアで、ソフトウェアでまたはそれらの組み合わせで実現されてもよい。本発明は上記実施例に限定されず、本発明の精神から逸脱することなく、様々な変形例、修正例、代替例、置換例等が包含される。
実施形態に係るプライバシー保護装置は、車両、及び車載端末から供給される車両情報に限定するものではなく、あらゆる端末装置によって供給される情報も収容し、前述した機能を提供することができる。これによって、多種多様なものがネットワークに接続されるようなＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）が適用される環境において、利用者がプライバシー保護のために生じる負担を一層軽減することができる。
前述した実施の形態において、車載端末は端末装置の一例であり、車載情報は情報の一例であり、Ｘ社のサーバ４００ｄは提供先の一例であり、コンテキストは情報の組み合わせの一例であり、通信部は送信部の一例であり、パーソナルデータ送出装置２００は取得部の一例である。
本発明は特定の実施例、変形例を参照しながら説明されてきたが、各実施例、変形例は単なる例示に過ぎず、当業者は様々な変形例、修正例、代替例、置換例等を理解するであろう。説明の便宜上、本発明の実施例に従った装置は機能的なブロック図を用いて説明されたが、そのような装置はハードウェアで、ソフトウェアでまたはそれらの組み合わせで実現されてもよい。本発明は上記実施例に限定されず、本発明の精神から逸脱することなく、様々な変形例、修正例、代替例、置換例等が包含される。
２０…通信ネットワーク、５０…インターネット、１００…プライバシー保護装置、１５２…無線通信部、１５４…通信部、１５６…情報抽出部、１５８…事象判定部、１６０…情報判定部、１６２…転送判定部、１６４…情報変更部、１６６…記憶部、１６８…補助情報生成部、１７０…暗号鍵生成部、１７２…暗号化部、１６６２…プライバシー保護対象外事象判定テーブル、１６６４…センシティブ情報判定テーブル、１６６６…保護レベル判定テーブル、１６６８…情報開示ポリシー、２００…パーソナルデータ送出装置、３００…車両、３１０ａ、３１０ｂ、３１０ｃ、３１０ｄ…ＥＣＵ、３１５…ＣＡＮ、３２０…Ｇ／Ｗ、３３０…ＧＰＳ、３４０…Ｄａｔａ Ｂｒｏｋｅｒ、３５０…車載端末、３５２…ＨＷ＋ＯＳ、３５４…Ｗｅｂ ｒｕｎｔｉｍｅ、３５５…パーソナルデータ送出アプリケーション・プログラム、４００ａ…道路交通情報サーバ、４００ｂ…データセンターのサーバ、４００ｃ…保険会社・ロードサービス会社のサーバ、４００ｄ…Ｘ社のサーバ、４０２…通信部、４１０…記憶部、４１２…プログラム、４３０…制御部、４３２…取得部、４３４…復号部、５００…時報局
Claims (10)
- 端末装置が送信した複数の情報から、提供先が要求する情報又は情報の組み合わせを抽出する情報抽出部と、
前記情報抽出部が抽出した情報又は情報の組み合わせがセンシティブ情報に該当するか否かを判定する情報判定部と、
前記情報判定部がセンシティブ情報に該当すると判定した情報又は情報の組み合わせについて、前記提供先へ送信するか否かを判定する転送判定部と、
前記転送判定部が前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを開示するタイミングを示す開示情報に基づいて、暗号鍵を生成する暗号鍵生成部と、
前記転送判定部が前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化する暗号化部と、
前記暗号化部が前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを暗号化した結果を、前記提供先へ送信する送信部と
を備える、プライバシー保護装置。 - 補助情報を生成する補助情報生成部
を備え、
前記暗号鍵生成部は、前記補助情報生成部が生成した前記補助情報と前記開示情報とに基づいて、前記暗号鍵を生成し、
前記送信部は、前記暗号化部が前記提供先へ送信すると判定した前記情報又は前記開示情報の組み合わせを暗号化した結果と前記補助情報とを別々に、前記提供先へ送信する、請求項１に記載のプライバシー保護装置。 - 前記転送判定部によって前記提供先へ送信すると判定された前記情報又は前記情報の組み合わせについて、前記情報又は前記情報の組み合わせの粒度を変更する情報変更部
を備え、
前記暗号化部は、前記情報変更部によって情報の粒度が変更された前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化する、請求項１に記載のプライバシー保護装置。 - 提供先へ送信する情報の保護のレベルを記憶する記憶部
を備え、
前記情報変更部は、前記記憶部に記憶された情報の保護のレベルに応じて、前記情報抽出部によって抽出された前記情報又は前記情報の組み合わせの粒度を変更する、請求項３に記載のプライバシー保護装置。 - 前記情報変更部は、所定の事象が発生しない場合に、前記情報又は前記情報の組み合わせの粒度を変更する、請求項３又は請求項４に記載のプライバシー保護装置。
- 前記情報変更部は、前記情報判定部によってセンシティブ情報に該当すると判定された前記情報又は前記情報の組み合わせの解像度、精度、又は鮮度を変更する、請求項３から請求項５のいずれか１項に記載のプライバシー保護装置。
- 補助情報を生成する補助情報生成部
を備え、
前記暗号鍵生成部は、前記補助情報生成部が生成した前記補助情報と前記開示情報とに基づいて、前記暗号鍵を生成し、
前記暗号化部は、前記情報変更部によって情報の粒度が変更された前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化し、
前記送信部は、前記暗号化部が前記情報の粒度が変更された情報又は情報の組み合わせ
を暗号化した結果と前記補助情報とを別々に、前記提供先へ送信する、請求項３から請求項６のいずれか一項に記載のプライバシー保護装置。 - 前記暗号化部は、時限式暗号化方式によって暗号化する、請求項１から請求項７のいずれか一項に記載のプライバシー保護装置。
- プライバシー保護装置が実行するプライバシー保護方法であって、
端末装置が送信した複数の情報から、提供先が要求する情報又は情報の組み合わせを抽出するステップと、
前記抽出するステップで抽出した情報又は情報の組み合わせがセンシティブ情報に該当するか否かを判定するステップと、
前記センシティブ情報に該当すると判定した情報又は情報の組み合わせについて、前記提供先へ送信するか否かを判定するステップと、
前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを開示するタイミングを示す開示情報に基づいて、暗号鍵を生成するステップと、
前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化するステップと、
前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを暗号化した結果を、前記提供先へ送信するステップと
を有する、プライバシー保護方法。 - プライバシー保護装置のコンピュータに、
端末装置が送信した複数の情報から、提供先が要求する情報又は情報の組み合わせを抽出するステップと、
前記抽出するステップで抽出した情報又は情報の組み合わせがセンシティブ情報に該当するか否かを判定するステップと、
前記センシティブ情報に該当すると判定した情報又は情報の組み合わせについて、前記提供先へ送信するか否かを判定するステップと、
前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを開示するタイミングを示す開示情報に基づいて、暗号鍵を生成するステップと、
前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを、前記暗号鍵で暗号化するステップと、
前記提供先へ送信すると判定した前記情報又は前記情報の組み合わせを暗号化した結果を、前記提供先へ送信するステップと
を実行させる、プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017073948A JP6803291B2 (ja) | 2017-04-03 | 2017-04-03 | プライバシー保護装置、プライバシー保護方法、及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017073948A JP6803291B2 (ja) | 2017-04-03 | 2017-04-03 | プライバシー保護装置、プライバシー保護方法、及びプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2018180600A JP2018180600A (ja) | 2018-11-15 |
| JP6803291B2 true JP6803291B2 (ja) | 2020-12-23 |
Family
ID=64275433
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2017073948A Active JP6803291B2 (ja) | 2017-04-03 | 2017-04-03 | プライバシー保護装置、プライバシー保護方法、及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6803291B2 (ja) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP7458805B2 (ja) * | 2020-02-03 | 2024-04-01 | 日本放送協会 | 情報処理装置、情報処理システム、及びプログラム |
| CN111556339B (zh) * | 2020-04-15 | 2022-04-08 | 长沙学院 | 一种基于敏感信息度量的视频信息隐私保护系统及方法 |
| JP7105283B2 (ja) * | 2020-09-08 | 2022-07-22 | ソフトバンク株式会社 | 情報送信装置及びプログラム |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP5076955B2 (ja) * | 2008-02-20 | 2012-11-21 | 日本電気株式会社 | 通信システム、通信装置、通信方法 |
| JP2013057995A (ja) * | 2011-09-07 | 2013-03-28 | Ntt Data Corp | 情報公開システム、情報公開サーバ、運転ユーザ端末、情報公開方法 |
-
2017
- 2017-04-03 JP JP2017073948A patent/JP6803291B2/ja active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2018180600A (ja) | 2018-11-15 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Raya et al. | Securing vehicular communications | |
| JP6706965B2 (ja) | 通信システム、端末装置、プライバシー保護装置、プライバシー保護方法、及びプログラム | |
| US11652643B2 (en) | Verification method, verification apparatus, and storage medium including program stored therein | |
| US20200151971A1 (en) | Ledger management device, ledger management system, and vehicle-mounted information provision device | |
| CN111149324A (zh) | 用于管理具有链接值的数字证书的密码学方法和系统 | |
| WO2012056688A1 (ja) | 端末装置 | |
| JP2017536787A (ja) | 公道上のパーキングスペースを管理するための方法 | |
| US11314893B2 (en) | Systems and methods for securing personally identifiable information within telematics data | |
| JP6803291B2 (ja) | プライバシー保護装置、プライバシー保護方法、及びプログラム | |
| JP2021510481A (ja) | デジタル認証書の撤回のための活性化コードを用いた暗号化方法及びそのシステム | |
| CN105323753A (zh) | 车内安全模块、车载系统与车辆间进行信息交互的方法 | |
| US20230246849A1 (en) | Verification method, verification apparatus, and storage medium including program stored therein | |
| WO2021159488A1 (en) | A method of vehicle permanent id report triggering and collecting | |
| JP6233041B2 (ja) | 無線通信装置および無線通信方法 | |
| CN115004271A (zh) | 用于在蜂窝车辆到一切(c-v2x)消息中嵌入受保护车辆标识符信息的方法 | |
| US11704107B2 (en) | Software updates based on transport-related actions | |
| JP7491470B2 (ja) | ゾーンベースのブロックチェーンシステム、及びゾーンベースのブロックチェーンシステムを運用するための方法 | |
| US20220274593A1 (en) | Transport-related object avoidance | |
| US11870557B2 (en) | Process for generating transport keys for data communication based on actions performed by a transport | |
| KR101046907B1 (ko) | 차량용 블랙박스 데이터의 하이브리드 프록시 기반 접근 제어 장치 및 그 방법 | |
| WO2023074072A1 (ja) | データ保存システム、移動体、及びデータ保存プログラム | |
| US11503114B2 (en) | Provisioning of event-based keys to transports | |
| WO2023136288A1 (ja) | データ保存装置、移動体、及びデータ削除プログラム | |
| US20240054563A1 (en) | Auto insurance system | |
| US20240182038A1 (en) | Vehicle functionality based on road segments |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20170404 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20190610 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20200318 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20200421 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20200612 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20201124 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20201130 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6803291 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |