JP6917879B2 - 計測装置および計測データ処理方法 - Google Patents

Description

本発明は、計測装置および計測データ処理方法に関する。

近年、ヘルスケア業界に注目が集まっている。それに伴い、医療現場におけるＩＴ（Information Technology）技術活用も進歩しており、予防医療サービスなどが開拓されている。

予防医療とは、病気になってから治療を行うという考え方ではなく、誰にでも将来起こりうる健康リスクを明確化し、病気にならないように継続的に健康維持や健康増進行動を行っていくという考え方である。

これら健康リスクを明確化したり、健康維持や増進行動の効果を確認したりするためには、計測による継続的な健康状態の定量化が必要となる。その一方で、健康に関する情報は被験者のプライバシーに関わるため、保護する必要がある。

特許文献１では、ＲＦＩＤ（Radio Frequency IDentifier）を用いて個人を匿名化し、個人が帯同する機器が持つ移動経路情報と、調査領域毎に蓄積された行動情報とに、情報を分断する。これにより、特許文献１では、調査領域毎に分析しつつ、情報のモザイク化によるプライバシー保護を実現する。

特許文献２では、データ送信先毎に設定した匿名化ポリシに基づいて、同一データが所定件数以上となるように、データを削除したり解釈したりする。これにより、特許文献２では、送信先毎にデータを分析でき、情報を抽象化してプライバシーを保護できる。

特開２００７−３４３６０号公報 特開２０１４−２４１０９８号公報

特許文献１の技術により分断された情報は、結合により復元可能である。さらに、特許文献１では、ＩＤにより情報を匿名化しているが、計測データの特徴から個人を識別できる可能性がある。したがって、特許文献１の技術では、プライバシー保護の点で改善の余地がある。

特許文献２の技術では、希少データが隠蔽される傾向にあるため、状態を識別するための特徴量が欠落してしまい、データ分析を十分に行えない可能性がある。

本発明は、上記課題に鑑みてなされたもので、その目的は、計測データが持つ特徴量に応じて当該計測データを保護することができるようにした計測装置および計測データ処理方法を提供することにある。

上記課題を解決すべく、本発明の一つの観点に従う計測装置は、プロセッサ部と、プロセッサ部により使用される記憶部とを備え、プロセッサ部は、記憶部に記憶された計測データに含まれる少なくとも一つの特徴量ごとにデータを置換するデータ置換率を設定し、特徴量に基づいて置換用データを生成し、データ置換率に基づいて、計測データの一部を置換用データに置き換える。

本発明によれば、特徴量ごとに設定されるデータ置換率に基づいて、計測データの一部を特徴量に基づいて生成される置換用データに置き換えることができる。これにより、置換前の計測データを隠すことができ、計測データを保護することができる。

本実施形態の全体概要を示す説明図。 計測装置を含む計測データ処理システム全体の物理構成図。 計測データ処理システム全体の論理構成図。 計測データベース（ＤＢ）が格納するセンサテーブルの構成図。 計測ＤＢが格納する特徴量テーブルの構成図。 保護ＤＢが格納するノイズ確率テーブルの構成図。 保護ＤＢが格納するノイズテーブルの構成図。 保護ＤＢが格納する保護テーブルの構成図。 センサデータ記録処理のフローチャート。 特徴量算出処理のフローチャート。 制御管理処理のフローチャート。 ノイズ挿入時に母数を考慮しない場合（ａ）とする場合（ｂ）とを比較して示す説明図。 ノイズ確率算処理のフローチャート。 ノイズデータ生成処理のフローチャート。 ノイズ挿入処理のフローチャート。 保護データ送信処理のフローチャート。 第２実施例に係る計測データ処理システム全体の論理構成図。 保護ＤＢが格納するテーブルの構成図。 ノイズ挿入処理のフローチャート。 制約判定処理のフローチャート。 ユーザインターフェース制御処理のフローチャート。 メニュー選択画面の構成例。

以下、図面に基づいて、本発明の実施の形態を説明する。本実施形態では、後述するように、計測データの一部を置換用データに置き換えることにより、計測データを保護するようになっている。

計測装置２０は、例えば、計測データの数値のばらつきや、分析のメニュー毎に必要な数値精度を基に、許容可能なデータ置換率（ノイズ確率とも呼ぶ）を設定し、ノイズ確率に応じてノイズ（置換用データとも呼ぶ）を含む計測データを記録する。ノイズには計測データを用いて生成するか、あらかじめ登録した模擬データを用いる。ノイズを含む計測データを記録する場合は、人体構造等の物理的な制約を基に整合性を判定する。矛盾が生じる場合は、制約に基づきノイズを修正する。

本実施形態によれば、数値のばらつきやアプリケーションの必要とする精度を基にノイズ確率を設定するため、分析に必要となる情報量は保持しつつ、矛盾のないノイズを計測データに混入させることができる。これにより、本実施形態によれば、個人のプライバシー保護と、計測データの分析とを両立させることができ、信頼性と使い勝手の両方を向上させることができる。

以下、図面を参照して本発明の幾つかの実施例を説明する。但し、それらの実施例は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではない。

以下の説明では、「記憶部」は、１以上のメモリである。少なくとも１つのメモリは、揮発性メモリであってもよいし不揮発性メモリであってもよい。記憶部は、１以上のメモリに加えて、１以上のＰＤＥＶを含んでもよい。「ＰＤＥＶ」は、物理的な記憶装置を意味し、典型的には、不揮発性の記憶装置（例えば補助記憶装置）でよい。ＰＤＥＶは、例えば、ＨＤＤ（Hard Disk Drive）またはＳＳＤ（Solid State Drive）でよい。

以下の説明では、「プロセッサ部」は、１以上のプロセッサである。少なくとも１つのプロセッサは、典型的には、ＣＰＵ（Central Processing Unit）である。プロセッサは、処理の一部または全部を行うハードウェア回路を含んでもよい。

以下の説明では、「ｋｋｋ部」（記憶部およびプロセッサ部を除く）の表現にて機能を説明することがあるが、機能は、１以上のコンピュータプログラムがプロセッサ部によって実行されることで実現されてもよいし、１以上のハードウェア回路（例えばＦＰＧＡ（Field-Programmable Gate Array）またはＡＳＩＣ（Application Specific Integrated Circuit））によって実現されてもよい。プログラムがプロセッサ部によって実行されることで機能が実現される場合、定められた処理が、適宜に記憶部および／またはインターフェース部等を用いながら行われるため、機能はプロセッサ部の少なくとも一部とされてもよい。

機能を主語として説明された処理は、プロセッサ部あるいはそのプロセッサ部を有する装置が行う処理としてもよい。プログラムは、プログラムソースからインストールされてもよい。プログラムソースは、例えば、プログラム配布計算機または計算機が読み取り可能な記録媒体（例えば非一時的な記録媒体）であってもよい。各機能の説明は一例であり、複数の機能が１つの機能にまとめられたり、１つの機能が複数の機能に分割されたりしてもよい。

以下の説明では、「ｋｋｋテーブル」等の表現にて情報を説明することがあるが、情報は、どのようなデータ構造で表現されてもよい。すなわち、情報がデータ構造に依存しないことを示すために、「ｋｋｋテーブル」を「ｋｋｋ情報」と言うことができる。

以下の説明において、各テーブルの構成は一例であり、１つのテーブルは、２以上のテーブルに分割されてもよいし、２以上のテーブルの全部または一部が１つのテーブルであってもよい。

以下の説明では、「時刻」は、年月日時分秒の単位で表現されるが、時刻の単位は、それよりも粗くても細かくてもよいし、また異なる単位でもよい。

以下の説明では、「データセット」とは、１以上のデータ要素から成るデータ（論理的な電子データの塊）を意味し、例えば、レコード、ファイル、キーバリューペアおよびタプルのうちのいずれでもよい。

以下の説明では、「特徴量」は分析の目的に依存する情報であってもよい。例えば、人体構造に基づく情報、歩幅、歩行速度、開脚角度あるいはそれらの平均値、最大値、中間値などを特徴量として用いてもよい。これらのほかに、例えば、頭部の揺れ具合、身体の傾き、心拍数、血圧などを特徴量として採用してもよい。

図１は、本実施形態にかかる計測データ処理システムの全体概要を示す。計測データ処理システムは、例えば、分析装置１０ａ，１０ｂと、計測装置２０とを含む。

分析装置１０ａは、例えば、大学や製薬会社などの研究機関の使用する計算機システムである。研究者などのユーザは、計測装置２０から取得した各被験者ＴＳの計測データを、分析装置１０ａを用いて解析することにより、例えば、疾病の予兆判断や健康状態の推測などを行う。

分析装置１０ｂは、例えば、保険会社、健康管理会社、スポーツ用品会社、娯楽施設運営会社、食品会社などのサービスを提供する機関の使用する計算機システムである。サービス企画者などのユーザは、各被験者ＴＳに対してサービスを提供するために必要な計測データを計測装置２０から収集する。

このように本実施例の計測装置２０は、計測データの使用目的の異なる分析装置１０ａ，１０ｂに対して、計測データを提供することができる。分析装置１０ａ，１０ｂは、計測データの使用目的が異なるため、それぞれの要求する計測データの品質（ノイズ確率）も相違する。

計測装置２０は、各分析装置１０ａ，１０ｂの両方に計測データを供給してもよいし、各分析装置１０ａ，１０ｂのいずれか一方に計測データを供給してもよい。なお、図１では、分析装置１０ａ，１０ｂをそれぞれ１つずつ示すが、複数の分析装置１０ａまたは複数の分析装置１０ｂが一つの計測装置２０を共有してもよい。複数の分析装置１０ａおよび複数の分析装置１０ｂが一つの計測装置２０を共有してもよい。

「計算機」としての計測装置２０は、複数のセンサ２７と接続されており、各センサ２７から計測データを定期的にまたは不定期に受信する。センサ２７は、信号増幅機能やフィルタリング機能などを備えてもよい。以下の説明では、置換用データ（ノイズ）を混入する前の計測データを生データと呼び、置換用データを混入させた後の計測データを保護データと呼ぶことがある。

計測データ記録部２１１は、各センサ２７からの計測データ（生データ）を取得して保存する。特徴量算出部２１２は、計測データから特徴量を算出する。特徴量は、計測データの使用目的や分析目的に応じて設定することができる。例えば、被験者の歩行状態と健康状態との関係を分析する場合は、歩幅、歩行速度、開脚角度などを特徴量として設定し、計測データから算出することができる。

データ置換率設定部２２２は、計測データに混入させる置換用データ（ノイズ）の割合を設定する。この割合は、ノイズ確率とも呼ばれる。データ置換率設定部２２２は、幾つかの実施例において、ノイズ確率算出部２２２と呼ばれる。

置換用データ生成部２２３は、置換用データを生成する。置換用データは、ノイズデータ（またはノイズと略記）と呼ばれる。置換部２２４は、データ置換率に応じて置換用データを計測データの一部と置き換えることにより、置換用データを計測データへ混入させて計測データを保護する。すなわち、置換部２２４は、元の計測データ（生データ）とは異なる計測データに偽装させることにより、計測データの提供元である被験者と計測データとの関係性を偽装し、被験者のプライバシーを保護する。置換部２２４はノイズ挿入部２２４とも呼ばれる。

出力部２２５は、ノイズの混入された計測データ（保護された計測データ）を分析装置１０ａ，１０ｂへ提供する。出力部２２５は、例えば、有線または無線の通信媒体を介して、または、記憶媒体を介して、保護された計測データを分析装置１０ａ，１０ｂへ提供する。出力部２２５は、後述の実施例で示すように、メニュー画面を分析者などのユーザへ提示することにより、計測データの処理に使用するパラメータ（例えば、特徴量ごとのノイズ確率）をユーザから取得することもできる。

図２は、本実施例に係る計測装置２０を含む計測データ処理システム全体の物理構成を示す。図２では、図１で述べた分析装置１０ａ，１０ｂを区別せずに、分析装置１０として説明する。

分析装置１０は、計測データを分析する装置である。分析装置１０は、計算機として構成することができる。分析装置１０は、例えば、プロセッサ１１、メモリ１２、記憶装置１３、ネットワークインターフェース１４を備え、これら回路１１〜１４はバスにより通信可能に接続されている。

さらに、図示は省略するが、分析装置１０には、分析者などのユーザとの間で情報を交換するためのユーザインターフェース装置を設けることができる。ユーザインターフェース装置は、入力装置および出力装置（いずれも図示せず）を含む。

分析装置１０には、通信ネットワーク（例えばＷＡＮ（Wide Area Network））ＣＮを介して、１以上の計測装置２０が接続されている。

計測装置２０は、データを計測する装置である。計測装置２０は、センサに接続された計算機として構成することができる。計測装置２０は、例えば、プロセッサ２１、メモリ２２、記憶装置２３、ネットワークインターフェース２４、入力装置２５、出力装置２６、センサ２７を備え、これら回路２１〜２７はバスにより通信可能に接続される。

ネットワークインターフェース１４，２４は、インターフェース部の一例であり、通信ネットワークＣＮを介して通信するための通信インターフェース装置である。

記憶装置１３，２３およびメモリ１２，２２は、記憶部の一例である。記憶装置１３，２３は、１以上のＰＤＥＶである。ＰＤＥＶは、物理的な不揮発記憶デバイス、例えば、ＨＤＤ（Hard Disk Drive）またはＳＳＤ（Solid State Drive）である。

記憶装置１３の少なくとも一部は、分析装置１０の外に存在してもよい。記憶装置２３の少なくとも一部は、計測装置２０の外に存在してもよい。メモリ１２，２２は、例えば、ＤＲＡＭ（Dynamic Random Access Memory）であり、プロセッサ１１，２１により実行される１以上のコンピュータプログラムを記憶する。

プロセッサ１１，２１は、プロセッサ部の一例であり、１以上のコンピュータプログラムを実行する。

入力装置２５および出力装置２６は、ユーザインターフェース装置の一例である。入力装置２５は、例えば、キーボード、ポインティング装置、タッチパネル、音声入力装置（音声認識装置）などである。出力装置２６は、例えば、ディスプレイ、プリンタ、音声合成装置などである。入力装置２５および出力装置２６は、複数設けることもできる。

より詳しくは、「ユーザインターフェース装置」は、計算機の１以上のユーザインターフェース装置（入力装置と出力装置のうちの少なくとも１つ）でもよいし、１以上のユーザインターフェース装置を有する別のクライアント計算機であってもよい。

以下、「ユーザ操作」とは、ユーザが入力装置を使用する操作を言う。以下の説明によれば、計測装置２０は情報を表示することができるが、「情報を表示する」とは、ユーザインターフェース装置に表示対象の情報を送り、ユーザインターフェース装置によりその情報が表す表示対象（例えば分析結果）が表示されることであってよい。

センサ２７は、計測対象である被験者毎に１以上設けられる。ここでは、計測対象として人間を例に挙げるが、犬、猫、鳥、植物などの被験者に関連する動植物を計測対象に含めてもよい。被験者の周囲の動植物が被験者の健康状態に関係する場合も考えられ、かつ、どのような動植物を好むのかは被験者のプライバシーに属する問題と考えることができるためである。

センサ群のうち少なくとも一つのセンサ２７は、被験者の身体に装着することができ、例えば、被験者の歩行速度、歩数、加速度、揺れ、血圧、脈拍などを計測する。これらは例示であり、歩数や血圧などの全ての項目を計測する必要はない。計測データの分析目的に合った項目のデータを計測できればよい。被験者の身体に装着するタイプのセンサとしては、例えば、カード型、スティック型、腕時計型、腕輪型、指輪型、ペンダント型、眼鏡型、帽子型、靴型、下着型、マスク型などの形状が考えられる。

センサ群のうち他の少なくとも一つのセンサ２７は、被験者の周囲空間に配置されるセンサとして構成することができ、例えば、被験者の容姿、顔の表情、歩行状態などを計測する。

センサ２７は、上述の通り、計測データの使用目的（分析目的を含む）に応じて、その種類および配置方法などが決定される。センサ２７の種類としては、例えば、速度センサ、加速度センサ、画像センサ、音センサ、超音波センサ、レーダーセンサ、圧力センサ、脈拍センサ、温度センサ、匂いセンサなどを例示的に列挙できる。

分析装置１０および計測装置２０は、計算機システム（１以上の計算機）として構成される。計算機システムは、例えば、１以上のユーザ（分析者）が使用可能なスタンドアロンの計算機から構成されてもよいし、または、サーバ計算機およびクライアント計算機から構成されてもよい。分析装置１０は、例えば、同一施設内に存在する１以上の計測装置２０と接続されてもよいし、または、異なる施設内の１以上の計測装置２０と接続されてもよい。

以上が、本実施例に係るシステム全体の構成である。なお、本実施例では、分析装置１０と計測装置２０が通信ネットワークＣＮに接続されているが、システム全体の構成は、図１に示す構成に限定されない。例えば、装置１０，２０のうちの１以上の装置の各々が、計算機システムにおいて実行されるＶＭ（Virtual Machine）でもよい。

図３は、計測データ処理システム全体の論理構成を示す。図３に示す論理構成は、図２で述べたコンピュータのハードウェア資源を用いることにより実現される。

分析装置１０では、記憶装置１３に分析ＤＢ１００を格納する。分析ＤＢ１００は、保護テーブル１０１を格納する。保護テーブル１０１は、計測装置２０内の保護テーブル２４３の全部または一部のコピーである。保護テーブルの構成例は後述する。

計測装置２０は、それぞれ後述するように、例えば、計測部２１０と、保護部２２０と、計測ＤＢ２３０と、保護ＤＢ２４０とを備える。

計測装置２０の記憶装置２３には、例えば、計測ＤＢ２３０と保護ＤＢ２４０とが格納されている。計測ＤＢ２３０は、センサテーブル２３１と特徴量テーブル２３２とを格納する。保護ＤＢ２４０は、ノイズ確率テーブル２４１と、ノイズテーブル２４２と、保護テーブル２４３とを格納する。各テーブルの詳細な一例は後述する。

計測部２１０および保護部２２０は、プロセッサ２１が１以上のコンピュータプログラムを実行することにより実現される機能である。

計測部２１０は、センサ２７で計測した値（計測値）を基に、センサデータと特徴量とを記録する。計測部２１０は、例えば、センサデータセットを記録するセンサデータ記録部２１１と、記録されたセンサデータセットを基に特徴量を算出する特徴量算出部２１２とを有する。ここで「センサデータセット」とは、センサにより計測された値を含んだデータセットであり、「計測データ」に該当する。以下の説明では、センサデータセットと、単にデータ、センサデータ、または計測データと呼ぶ場合がある。

保護部２２０は、計測部２１０により記録されたデータを保護する。保護部２２０は、例えば、制御管理部２２１と、保護データ送信部２２５とを備える。制御管理部２２１は、例えば、ノイズ確率算出部２２２と、ノイズ生成部２２３と、ノイズ挿入部２２４とを備える。

図１の「データ置換率設定部２２２」に対応するノイズ確率算出部２２２は、記録された値（計測データ）の一部をノイズに置換する確率を算出する。図１の「置換用データ生成部２２３」に対応するノイズ生成部２２３は、ノイズデータを生成する。図１の「置換部２２４」に対応するノイズ挿入部２２４は、計測データの一部（記録値の一部）をノイズデータに置換する。

保護データ送信部２２５は、一部がノイズに置換されることでプライバシーが保護された計測データ（保護データ）を分析装置１０へ出力する。

計測部２１０の処理と保護部２２０の処理と分析装置１０の処理とは、同期して実行されてもよいし、非同期に実行されてもよい。計測ＤＢ２３０と保護ＤＢ２４０と分析ＤＢ１００とは、同一構造のデータベースまたは同一構造のレコードを持つデータベースとして構成されてもよい。

図４は、計測ＤＢ２３０が格納するセンサテーブル２３１の構成例を示す。センサテーブル２３１は、各センサ２７からのセンサデータセット（計測データ）を格納する。センサテーブル２３１は、例えば、計測毎に、レコード（以下、センサレコードとも呼ぶ）を有する。各センサレコードは、センサデータセットを格納する。センサデータセットは、例えば、計測時刻２３１１、センサＩＤ２３１２および計測値２３１３といった情報を格納する。センサＩＤ２３１２は、センサ２７を計測データ処理システム内で一意に特定する識別子である。本実施例では、計測データを時系列データとして説明したが、これは例示であって、本発明の範囲を時系列データに限定する趣旨ではない。例えば、計測データは、距離を用いて空間で系列化したデータを用いてもよく、計測のある瞬間のみを捉えて系列化していないデータを用いてもよい。

以下、計測時刻２３１１が対象時間帯に属するセンサレコード（センサデータセット）を、「対象時間帯に属するセンサレコード（センサデータセット）」と言う。

図５は、計測ＤＢ２３０が格納する特徴量テーブル２３２の構成例を示す。特徴量テーブル２３２は、対象時間帯に属する複数のセンサレコード（複数のセンサデータセット）の統計的な集約結果に関する情報を格納する。

特徴量テーブル２３２は、例えば、センサ２７毎に、レコード（以下、特徴量レコードとも呼ぶ）を有する。各特徴量レコードは、特徴量データセットを格納する。特徴量データセットは、例えば、計測時刻２３２１、センサＩＤ２３２２、特徴量ＣＡ２３２３、特徴量ＣＢ２３２４、特徴量ＣＣ２３２５といった情報を格納する。

特徴量ＣＡ２３２３、特徴量ＣＢ２３２４、特徴量ＣＣ２３２５とは、例えば、対象時間帯に属するセンサレコードの各計測値の平均値、最大値、最大値と平均値の差分などである。すなわち、一つの例では、特徴量ＣＡは各計測値の平均値であり、特徴量ＣＢは計測値の最大値であり、特徴量ＣＣは最大値と平均値との差分である。

本実施例では、ＣＡ，ＣＢ，ＣＣの３つの特徴量を格納する構成を例示した。これに限らず、特徴量はセンサレコードに関する１以上の統計的な集約結果でよく、センサレコードの値そのものを特徴量として構成してもよい。

図６は、保護ＤＢ２４０が格納するノイズ確率テーブル２４１の構成例を示す。ノイズ確率テーブル２４１は、特徴量レコードの各特徴量をノイズに変更する確率に関する情報を格納する。ノイズ確率テーブル２４１は、例えば、確率ＰＡ２４１１、確率ＰＢ２４１２、確率ＰＣ２４１３を有する。

確率ＰＡ２４１１は、各特徴量レコードについて、特徴量ＣＡ２３２３をノイズへ変更する確率を示す。確率ＰＢ２４１２は、各特徴量レコードについて、特徴量ＣＢ２３２４をノイズへ変更する確率を示す。同様に確率ＰＣ２４１３は、各特徴量レコードについて、特徴量ＣＣ２３２５をノイズへ変更する確率を示す。本実施例では変更確率をパーセントで表記しているが、これに代えて、分数での表記や、変更しない確率での表記などでもよい。ノイズに置換する確率を判断できる表記方法であればよい。

図７は、保護ＤＢ２４０が格納するノイズテーブル２４２の構成例を示す。ノイズテーブル２４２は、各特徴量に対応するノイズに関する情報を格納する。ノイズとは、模擬の計測値のことを示す。ノイズテーブル２４２は、例えば、ノイズＤＡ２４２１、ノイズＤＢ２４２２、ノイズＤＣ２４２３を有する。

ノイズＤＡ２４２１は、各特徴量レコードについて、特徴量ＣＡ２３２３を変更する場合のノイズの値を示す。ノイズＤＢ２４２２は、各特徴量レコードについて、特徴量ＣＢ２３２４を変更する場合のノイズの値を示す。ノイズＤＣ２４２３は、各特徴量レコードについて、特徴量Ｃ２３２５を変更する場合のノイズの値を示す。

本実施例では、テーブルにノイズの値を予め格納しているが、これに代えて、ノイズの計算式や、ノイズを生成するための確率密度分布などをテーブルに格納してもよい。ノイズの値を生成できる構成であればよい。

図８は、保護ＤＢ２４０が格納する保護テーブル２４３の構成例を示す。保護テーブル２４３は、各特徴量レコードについて、一部をノイズに変更したレコード（以下、保護レコード）に関する情報を格納する。保護テーブル２４３は、例えば、センサ２７毎に保護レコードを有する。各保護レコードは、保護データセットを記憶する。保護データセットは、計測時刻２４３１、センサＩＤ２４３２、特徴量ＣＡ２４３３、特徴量ＣＢ２４３４、特徴量ＣＣ２４３５を有する。

保護レコードには一部ノイズが含まれているが、図５で述べた特徴量レコードと同様の項目が格納される。特徴量ＣＡ２４３３には、図５に示す特徴量ＣＡ２３２３の一部が図７に示すノイズＤＡ２４２１に置き換わったデータが記録される。同様に、特徴量ＣＢ２４３４には、特徴量ＣＢ２３２４の一部がノイズＤＢ２４２２に置き換わったデータが記録される。特徴量ＣＣ２４３５には、特徴量ＣＣ２３２５の一部がノイズＤＣ２４２３に置き換わったデータが記録される。

本実施例では特徴量ＣＡ，ＣＢ，ＣＣについて、ノイズ確率に基づきノイズに入れ替える例を示したが、これに限らず、計測時刻２４３１やセンサＩＤ２４３２についても同様の処理を行ってもよい。

本実施例では、保護レコードを分析装置１０へ送信した場合、その保護レコードを削除する。しかし、保護レコードは必ずしも記録されたり、削除されたりしなくてよい。例えば、保護レコードは、保護レコードの送信時に特徴量テーブル２３２から適宜生成してもよい。保護レコードは全て蓄積しておき、時間範囲に基づいて保護レコードを送信してもよい。

以下、本実施例で行われる処理の一例を説明する。図９は、センサデータ記録処理のフローチャートである。

定期時間間隔で、ステップＳ１１〜Ｓ１３が行われる。センサデータ記録部２１１は、対象時間帯分のセンサデータセットをセンサ２７から取得し（Ｓ１１）、センサデータセットからなるセンサレコードをセンサテーブル２３１へ追加する（Ｓ１２）。そして、センサデータ記録部２１１は、特徴量算出部２１２を呼び出す（Ｓ１３）。

なお、常に、対象時間帯分のセンサレコードが取得されるとは限らない。すなわち、センサデータセットの受信に遅延が生じたり、またはセンサデータセットが通信途中で消失し、欠損を生じたりすることもあり得る。そこで、例えば、現在時刻と格納実績（計測時刻２３１１）との差分などに基づいて、対象時間帯分のセンサデータセットを全て取得するまで待ったり、または、欠損したと判定されたセンサデータセットの受信をスキップしたりしてもよい。

図１０は、特徴量算出処理のフローチャートを示す。各センサレコードについて、ステップＳ２１〜Ｓ２４が行われる。

すなわち、特徴量算出部２１２は、対象時間帯分のセンサレコードをセンサテーブル２３１から取得する（Ｓ２１）。特徴量算出部２１２は、取得した各センサレコードをセンサＩＤ毎に統計的に集計することにより、特徴量ＣＡ２３２３，ＣＢ２３２４，ＣＣ２３２５を生成する（Ｓ２２）。特徴量算出部２１２は、生成した特徴量レコードを特徴量テーブル２３２へ追加する（Ｓ２３）。最後に、特徴量算出部２１２は、制御管理部２２１へレコードが追加されたことを通知する（Ｓ２４）。

図１１は、制御管理処理のフローチャートを示す。制御管理部２２１は、計測装置２０が停止するまで、ステップＳ３１〜Ｓ３５を実行する。

すなわち、制御管理部２２１は、特徴量レコードが追加された旨の通知を受け取ったか判断する（Ｓ３１）。通知を受信した場合（Ｓ３１：Ｙｅｓ）、制御管理部２２１は、ノイズ確率算出部２２２を呼び出し（Ｓ３２）、ノイズデータ生成部２２３を呼び出し（Ｓ３３）、ノイズ挿入部２２４を呼び出し（Ｓ３４）、保護データ送信部２２５を呼び出す（Ｓ３５）。

図１１では、特徴量レコードが追加されたことの通知を制御管理部２２１が受信したことを契機に、ステップＳ３２〜Ｓ３５を実施する場合を示したが、これに代えて、定期的にステップＳ３２〜Ｓ３５を実行してもよい。

図１２は、計測データ（センサデータセット）の一部をノイズに置換する際の一つの手法を概念的に示す説明図である。図１２の左側のグラフには、或る一つの特徴量ＣＡについて、属性ＰＳ１を持つ母集団と、属性ＰＳ２を持つ母集団とが示されている。このグラフの縦軸は集計値であり、横軸は集計範囲の各計測値である。すなわち、このグラフは計測値ごとの集計結果の分布を示す。

図１２（ａ）に示すように、もしも各属性ＰＳ１，ＰＳ１を持つ母集団の母数を全く無視して、計測データの一部をノイズに置換したとすると、属性ＰＳ１を持つ母集団と属性ＰＳ２を持つ母集団との差異が失われてしまい、母集団間の有意差を観察することが難しくなる。これに対し、図１２（ｂ）に示すように、各母集団の母数を考慮して、計測データの一部をノイズに置換したとすると、各母集団の有意差を観察できる。

図１３は、ノイズ確率算出処理のフローチャートを示す。この処理は、ノイズ確率算出部２２２が呼び出された場合に行われる。

ノイズ確率算出部２２２は、特徴量テーブル２３２の全特徴量レコードを参照し（Ｓ４１）、特徴量レコードの特徴量ごとにステップＳ４２〜Ｓ４４を実行する。すなわち、ノイズ確率算出部２２２は、特徴量の値の頻度分布を集計する（Ｓ４２）。値の集計幅は値に応じて任意の幅でよく、例えば最大値と最小値までを１０分割する幅でもよい。

ノイズ確率算出部２２２は、各集計幅の中で最も少ない集計値を抽出し（Ｓ４３）、抽出した集計値に基づきノイズ確率を生成する（Ｓ４４）。集計値に基づきとは、計測値をノイズに置き換えた際にその集計幅の集計値が無くならない程度の確率を設定することを示す。例えば、（集計値−１）／集計値をパーセンテージに変換した値をノイズ確率として用いてよい（ノイズ確率＝（集計値−１）／集計値）。

ノイズ確率算出部２２２は、特徴量ごとに生成したノイズ確率を用いて、ノイズテーブル２４２の値を更新する（Ｓ４５）。

本実施例では、特徴量ごとにノイズ確率を生成しているが、全特徴量のなかで最も値の集計値が小さい特徴量から生成されるノイズ確率を全てのノイズテーブルに格納してもよい。また、集計値に基づく値は、当該対象時間帯に加えて過去の対象時間帯についての値も参酌された値でよい。

図１４は、ノイズデータ生成処理のフローチャートを示す。この処理は、ノイズデータ生成部２２３が呼び出された場合に行われる。

ノイズデータ生成部２２３は、特徴量テーブル２３２の全特徴量レコードを参照し（Ｓ５１）、特徴量ごとにステップＳ５２を実行する。すなわち、ノイズデータ生成部２２３は、特徴量の値の平均値を集計する（Ｓ５２）。ノイズデータ生成部２２３は、集計した平均値を用いてノイズを生成し、ノイズテーブル２４２に記憶させる（Ｓ５３）。

本実施例では、特徴量の平均値をノイズとして用いたが、これに限らない。他の特徴量の値と比較して自然に見える値であればよい。したがって、例えば、中間値から生成される値をノイズとして用いてもよいし、あるいは、特徴量の値のばらつきを用いて生成された確率密度分布から生成される値をノイズとして用いてもよい。

図１５は、ノイズ挿入処理のフローチャートを示す。この処理は、ノイズ挿入部２２４が呼び出された場合に行われる。

ノイズ挿入部２２４は、ノイズ確率テーブル２４１を参照し（Ｓ６１）、さらにノイズテーブル２４２を参照する（Ｓ６２）。ノイズ挿入部２２４は、特徴量テーブル２３２の全特徴量レコードを取得する（Ｓ６３）。

ノイズ挿入部２２４は、特徴量レコードごとにステップＳ６４〜Ｓ６７を実行し、さらに特徴量ごとにステップＳ６４，Ｓ６５を実行する。すなわち、ノイズ挿入部２２４は、特徴量レコードの特徴量ごとに、ノイズ確率レコードに記録されたノイズ確率に基づいて、特徴量の一部の値をノイズに置き換えるか判定する（Ｓ６４）。

ノイズへ置き換えると判定された場合（Ｓ６４：Ｙｅｓ）、ノイズ挿入部２２４は、特徴量の値を当該ノイズレコードのノイズ値に置き換える（Ｓ６５）。ノイズへ置き換えないと判定された場合（Ｓ６４：Ｎｏ）、ステップＳ６５はスキップされる。

ノイズ挿入部２２４は、特徴量レコードごとに、保護テーブル２４３へ保護レコードを記録する（Ｓ６６）。ノイズ挿入部２２４は、特徴量テーブル２３２から当該特徴量レコードを削除する（Ｓ６７）。

本実施例では、保護レコードの記録後に特徴量レコードを削除するが、ノイズ置き換え判定をしたか否かを識別できるのであれば、特徴量レコードを削除しなくてもよい。例えば、時間範囲を用いたり、特徴量レコードに判定済みフラグの情報を持たせたりして、当該レコードを識別してもよい。

図１６は、保護データ送信処理のフローチャートを示す。この処理は、保護データ送信部２２５が呼び出された場合に行われる。

保護データ送信部２２５は、保護テーブル２４３の全保護レコードを取得し（Ｓ７１）、取得した保護レコードを分析装置１０へ送信する（Ｓ７２）。

分析装置１０に送信するとは、分析ＤＢ１００の保護テーブル１０１へ保護レコードを格納することである。保護レコードを保護テーブル１０１へ格納する処理は、分析装置１０が保護レコードを受信後に実施してもよく、あるいは、保護データ送信部２２５が通信ネットワークＣＮを経由して分析ＤＢ１００へ直接クエリを発行してもよい。

保護データ送信部２２５は、保護テーブル２４３に記録された全保護レコードを削除する（Ｓ７３）。

本実施例では、保護レコードの送信後に保護レコードを全て削除しているが、過去の送信有無が識別できるのであれば、保護レコードを削除しなくてもよい。例えば、時間範囲を用いたり、保護レコードに送信済みフラグの情報を持たせたりして、当該保護レコードの送信の有無を識別してもよい。

このように構成される本実施例によれば、計測データのばらつきに基づいてノイズ確率を設定し、ノイズ確率に基づいて計測データの一部をノイズに置換する。したがって、本実施例では、分析に必要な情報量は維持しつつ、個人の状態を断定できない程度のプライバシーを実現することができる。すなわち、本実施例によれば、信頼性と使い勝手とを両立させることができる。

図１７〜図２２を用いて第２実施例を説明する。本実施例では、第１実施例との相違点を中心に説明する。本実施例では、計測データへノイズを挿入する判定に際して、メニューテーブル２４４から選択されたサービスごとのノイズ確率が参酌される。さらに、保護レコードの条件判定として、制約テーブルが２４５参酌され、制約を満たさない場合は保護レコードが変更される。

図１７は、本実施例に係るシステム全体の論理構成を示す。計測装置２０ａは、メニュー選択を行なうユーザインターフェース制御部２５０をさらに有する。ユーザインターフェース制御部２５０は、計測ＤＢ２３０および保護ＤＢ２４０ａを用いることができ、入力装置２５からの操作に対応する情報を出力装置２６へ出力する。図中では、ユーザインターフェース制御部をＵＩ制御部と表示する。

保護部２２０ａは、ノイズ確率算出部２２２に代えて（または加えて）、制約を判定する制約判定部２２６を有する。保護ＤＢ２４０ａは、ノイズ確率テーブルに代えて（または加えて）、メニューテーブル２４４および制約テーブル２４５を有する。

図１８は、保護ＤＢ２４０ａが格納するテーブルの構成を示す。保護ＤＢ２４０ａは、例えば、メニューテーブル２４４と、ノイズテーブル２４２と、保護テーブル２４３と、制約テーブル２４５とを格納する。

ノイズテーブル２４２および保護テーブル２４３の構成は、第１実施例と同様のため、説明を省略する。

メニューテーブル２４４は、ユーザが受けるサービスメニューと、サービスメニューに必要な計測精度の情報とを対応づけて格納する。メニューテーブル２４４は、サービスごとにレコード（以下メニューレコードとも呼ぶ）を有する。メニューレコードは、例えば、サービス２４４１、確率ＰＡ２４４２、確率ＰＢ２４４３、確率ＰＣ２４４４、選択２４４５といった情報を格納する。

サービス２４４１は、保護レコードを分析して受けられるサービスの内容である。サービスの内容としては、例えば、保険料の策定サービスや、健康診断のスクリーニングサービスや、健康促進の保健指導サービスなどがある。

確率ＰＡ２４４２，ＰＢ２４４３，ＰＣ２４４４は、第１実施例のノイズ確率テーブル２４１で述べたと同様のため説明を省略する。

選択２４４５は、メニューレコードが選択されているか（“True”）否か（“False”）を示す。

制約テーブル２４５は、保護レコードの各特徴量が満たすべき制約と、制約を満たさない場合に行なう対策処理の情報とを格納する。例えば、制約テーブル２４５は、例えば、制約ＬＡ２４５１、制約ＬＢ２４５２、制約ＬＣ２４５３、対策ＭＡ２４５４、対策ＭＢ２４５５、対策ＭＣ２４５６といった情報を格納する。

制約２４５１〜２４５３は、特徴量の値が満たすべき条件である。制約ＬＡ２４５１は、各保護レコードについて、特徴量ＣＡ２４３３が満たすべき条件を示す。制約ＬＢ２４５２は、各保護レコードについて、特徴量ＣＢ２４３４が満たすべき条件を示す。制約ＬＣ２４５３は、各保護レコードについて、特徴量ＣＣ２４３５が満たすべき条件を示す。制約は、特徴量に依存してよく、例えば人体構造から成る可動領域、限界速度、あるいはそれらを用いた統計量の符合条件などでよい。

対策２４５４〜２４５６は、制約を満たさない場合に、制約を満たすように保護レコードに行う処理である。対策ＭＡ２４５４は、制約ＬＡ２４５１を満たさない場合に特徴量ＣＡ２４３３へ行なう処理である。対策ＭＢ２４５５は、制約ＬＢ２４５２を満たさない場合に特徴量ＣＢ２４３４へ行なう処理である。対策ＭＣ２４５６は、制約ＬＣ２４５３を満たさない場合に特徴量ＣＣ２４３５へ行なう処理である。対策は、制約に依存してよく、例えば他のレコードからの数値の複製や入れ替えでよい。

図１９は、ノイズ挿入処理（置換処理）のフローチャートを示す。この処理は、ノイズ挿入部２２４が呼び出された場合に行われる。

ノイズ挿入部２２４は、選択２４４５“True”を含んだメニューテーブル２４４内のメニューレコードを参照する（Ｓ１０１）。次にノイズ挿入部２２４は、ステップＳ６２〜Ｓ６７を実行する。ステップＳ６２〜Ｓ６７は、第１実施例で述べたため、ここでは説明を省略する。

ノイズ挿入部２２４は、ステップＳ６５でノイズ置き換え処理を行った場合、制約判定部２２６を呼び出す（Ｓ１０２）。

本実施例では、制約判定を特徴量の書き換え処理ごとに行なっているが、これに代えて、レコードやテーブルの単位で、まとまった判定を行なってもよい。

図２０は、制約判定処理のフローチャートを示す。この処理は、制約判定部２２６が呼び出された場合に行われる。本実施例では、制約判定処理はノイズ挿入処理のサブルーチンである。

制約判定部２２６は、制約テーブル２４５を参照する（Ｓ１１１）。制約判定部２２６は、特徴量の値が制約テーブル２４５の制約を満たさないか判定する（Ｓ１１２）。特徴量の値が制約を満たさない場合（Ｓ１１２：Ｙｅｓ）、制約判定部２２６は、制約テーブル２４５の対策に従って特徴量の値を更新する（Ｓ１１３）。これに対し、特徴量の値が制約を満たす場合（Ｓ１１２：Ｎｏ）、ステップＳ１１３はスキップされる。

図２１は、ユーザインターフェース制御処理のフローチャートを示す。この処理は、ユーザインターフェース制御部２５０が呼び出された場合に行われる。

ユーザインターフェース制御部２５０は、全メニューレコードを取得し（Ｓ１２１）、ステップＳ１２１で取得した全メニューレコードを基に、サービス一覧を表示した画面であるメニュー選択画面Ｇ１を表示する（Ｓ１２２）。

図２２は、メニュー選択画面Ｇ１の一例である。サービス一覧ＧＰ１１は、サービス毎に、メニューテーブル２４４を基に表示されたサービス名、特徴量ＣＡの取得率、特徴量ＣＢの取得率、特徴量ＣＣの取得率を有する。さらにメニュー選択画面Ｇ１は、決定ボタンＧＰ１２と取消ボタンＧＰ１３とを有する。

取得率とは、特徴量の全データのうちサービス提供に必要な割合を示し、１００％から「ノイズ確率」を差し引いた値に相当する。例えば、保険サービスのように多額の金銭の支払いに関するサービスでは、厳格な調査判定が必要になる。このため、保険サービスの提供に際しては、各特徴量の全てが必要になる。したがって、保険サービスを受けるための取得率は、１００％に設定されている。この場合、ノイズ確率は０％である。

これに対し、健康を促進するサービスのような、金銭の授受と無関係な遊び心を持ったサービスの場合は、厳格な調査判定は不要である。このため、健康促進サービスの提供に際しては、各特徴量の半分程度を取得できればよい。そこで、健康促進サービスを受けるための取得率は、５０％に設定されている。この場合、ノイズ確率は５０％である。

図２１に戻る。ユーザが、サービス一覧ＧＰ１１の中から所望のサービスを選択して、決定ボタンＧＰ１２を押すと、サービスが選択される。ユーザによるサービス選択操作が入力されると（Ｓ１２３：Ｙｅｓ）、ユーザインターフェース制御部２５０は、非選択状態のサービスに対応したメニューレコードの選択２４４５の“True”を“False”に更新し、選択状態のサービスに対応したメニューレコードの選択２４４５の“False”を“True”に更新する（Ｓ１２４）。

サービス選択のユーザ操作は、ブラウザを閉じるユーザ操作が行われるまで判定され（Ｓ１２５）、操作が行われると処理を終了する（Ｓ１２５：Ｙｅｓ）。なお、サービスの追加または削除は、サービス選択画面のようなユーザインターフェース経由で行われてもよい。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。本実施例では、分析メニュー毎に必要な精度に基づきノイズ確率を設定するため、分析に必要な情報量は維持しつつ、制約判定により矛盾のないノイズを挿入することができる。したがって、本実施例によれば、ユーザの利用するサービスの種類に応じて、そのサービスを受けるために必要な範囲でノイズの挿入された計測データを提供することができる。この結果、本実施例では、プライバシー保護と使い勝手とを両立させることができる。

以上、幾つかの実施例を説明したが、それらは本発明の説明のための例示であって、本発明の範囲をそれらの実施例に限定する趣旨ではない。本発明は、他の種々の形態でも実施する事が可能である。

例えば、第１実施例の処理と第２実施例の処理とを組み合わせて、同時に実施する構成としてもよい。つまり、計測装置２０は、異なる分析装置１０ａ，１０ｂに対して、それぞれの分析装置１０ａ，１０ｂでの使用目的に応じた計測データ（保護データ）を提供することができる。

１０，１０ａ，１０ｂ：分析装置、２０：計測装置、１００：分析ＤＢ、２１０：計測部、２１１：センサデータ記録部、２１２：特徴量算出部、２２０：保護部、２２１：制御管理部、２２２：ノイズ確率算出部、２２３：ノイズ生成部、２２４：ノイズ挿入部、２２５：保護データ送信部、２２６：制約判定部、２３０：計測ＤＢ、２４０：保護ＤＢ、２５０：制約判定部

Claims (9)

1. 計測データを処理して出力する計測装置であって、
   プロセッサ部と、
   前記プロセッサ部により使用される記憶部とを備え、
   前記プロセッサ部は、
   前記記憶部に記憶された計測データに含まれる少なくとも一つの特徴量ごとにデータを置換するデータ置換率を設定し、
   前記特徴量に基づいて置換用データを生成し、
   前記データ置換率に基づいて、前記計測データの一部を前記置換用データに置き換えるものであり、
   前記特徴量ごとに値の頻度分布を集計し、集計の結果最も少ない集計値に基づいて前記データ置換率を設定する、
   計測装置。
2. 前記計測データは時系列データである、
   請求項１に記載の計測装置。
3. 前記プロセッサ部は、前記計測データの一部を前記置換用データで置き換えた場合に、前記最も少ない集計値の存在を維持するように前記データ置換率を設定する、
   請求項１又は２のいずれかに記載の計測装置。
4. 前記プロセッサ部は、前記特徴量ごとに値を集計し、集計した平均値を前記置換用データとして用いる、
   請求項１乃至３のいずれか一項に記載の計測装置。
5. 前記プロセッサ部は、前記特徴量ごとに前記データ置換率に従って前記計測データを置き換えるかを判定することにより、前記計測データの一部を前記置換用データに置き換える、
   請求項１乃至４のいずれか一項に記載の計測装置。
6. 前記プロセッサ部は、予め用意される複数のサービスの中から選択されるサービスに必要な分析精度に基づいて前記特徴量ごとに、前記データ置換率を設定する、
   請求項１に記載の計測装置。
7. 前記プロセッサ部は、ユーザインターフェース装置を介してメニュー画面を提供可能になっており、
   前記メニュー画面は、前記複数のサービスを特定する情報と、前記複数のサービスごとに予め対応づけられている少なくとも一つの特徴量を示す情報と、前記特徴量ごとの前記データ置換率を示す情報とを含み、
   前記プロセッサ部は、前記メニュー画面を通じて選択される前記サービスに従って、前記サービスに予め対応づけられている前記特徴量および前記データ置換率を取得する、
   請求項６に記載の計測装置。
8. 計算機により計測データを処理して出力する計測データ処理方法であって、
   前記計算機は、
   計測データに含まれる少なくとも一つの特徴量ごとにデータを置換するデータ置換率を設定し、
   前記特徴量に基づいて置換用データを生成し、
   前記データ置換率に基づいて、前記計測データの一部を前記置換用データに置き換えるものであり、
   前記特徴量ごとに値の頻度分布を集計し、集計の結果最も少ない集計値に基づいて、前記計測データの一部を前記置換用データで置き換えた場合に、前記最も少ない集計値の存在を維持するように前記データ置換率を設定する、
   計測データ処理方法。
9. 前記計算機は、予め用意される複数のサービスの中から選択されるサービスに必要な分析精度に基づいて前記特徴量ごとに、前記データ置換率を設定する、
   請求項８に記載の計測データ処理方法。

Images