JP7458863B2 - 情報処理装置、情報処理方法、情報処理プログラム - Google Patents

Description

本発明は、情報処理装置、情報処理方法、情報処理プログラムに関する。

近年、個人情報（personal information）（パーソナルデータ等ともいう）を特定の個人を識別することができないように加工した情報（匿名化情報等ともいう）を、第三者によるデータ分析等に利活用することが検討されている。このため、個人情報を匿名化情報に加工する技術（匿名化、匿名加工、一般化等ともいう）が検討されている。

例えば、特許文献１では、差分プライバシー（Differential Privacy）を用いて個人情報を保護する技術が記載されている。差分プライバシーでは、個人情報に対して乱数から生成したノイズを付加することで、元の個人情報の漏洩を回避する。

国際公開２０１８－１１６３６６号公報

近年、位置を示す情報（位置情報、例えば、Global Positioning System（ＧＰＳ）により取得される緯度及び経度等）を収集し、データ分析（例えば、ユーザの動線の分析等）に利活用することが検討されている。このような位置情報の利活用にあたっては、当該位置情報による個人の特定を防ぐために、当該位置情報の匿名化を適切に行うことが望まれる。

例えば、上記差分プライバシーを用いて位置情報に対して所定のノイズ幅のノイズをランダムに付加することが考えられる。しかしながら、位置情報の匿名性を確保するのに必要以上に大きいノイズ幅のノイズを位置情報に付与すると、当該位置情報の有用性が低下してしまう恐れがある。

そこで、本発明は、位置情報の匿名性を確保しながら、当該位置情報の有用性を向上可能な情報処理装置、情報処理方法、情報処理プログラムを提供する。

本発明の一態様に係る情報処理装置は、匿名化に関する処理を行う情報処理装置であって、ユーザの位置を示す位置情報を取得する取得部と、前記位置情報が属する領域における混雑度に基づいて、ノイズ幅を決定する決定部と、前記位置情報に対して前記ノイズ幅のノイズを付加する匿名化処理部と、を備える。

この態様によれば、位置情報が属する領域における混雑度に基づいて当該位置情報に付加されるノイズのノイズ幅が決定されるので、当該領域における位置情報の匿名性を確保しながら、当該位置情報の有用性を向上できる。

上記態様において、前記決定部は、前記領域における前記混雑度が高くなるほど、前記ノイズ幅を小さく決定してもよい。

この態様によれば、混雑度が相対的に高く、匿名性が確保し易い領域においては、ノイズ幅を小さくすることにより、位置情報の有用性を向上できる。

上記態様において、前記混雑度は、前記領域に属する位置情報の数に基づいて決定されてもよい。この態様によれば、上記領域における混雑度を適切に決定できる。

上記態様において、前記領域は、空間を分割して得られる複数の領域のうち前記位置情報が示す前記位置を含む領域、又は、該領域と前記位置情報に関する時間を含む所定の時間範囲とで構成される時空間領域であってもよい。

この態様によれば、位置情報が示す位置を含む領域、又は、当該領域と当該位置情報に関する時間を含む所定の時間範囲とで構成される時空間領域の混雑度に基づいてノイズ幅が決定されるので、当該位置を含む領域又は時空間領域固有の適切なノイズ幅を決定できる。

上記態様において、前記匿名化処理部は、前記位置情報と前記位置情報に関する時間を示す時間情報との少なくとも一つを、前記領域における代表値に変更してもよい。

この態様によれば、位置情報が属する領域の代表値に前記位置情報と前記位置情報に関する時間を示す時間情報との少なくとも一つが変更されるので、当該領域内における匿名性をより適切に確保できる。

上記態様において、前記領域に属する位置情報の数が所定数以下又はより小さい場合、前記位置情報を除去してもよい。

この態様によれば、位置情報が属する領域に他の位置情報が存在しない場合、当該位置情報が除去されるので、当該領域内における匿名性をより適切に確保できる。

本発明の他の態様に係る情報処理方法は、匿名化に関する処理を行う情報処理方法であって、ユーザの位置を示す位置情報を取得する工程と、前記位置情報が属する領域における混雑度に基づいて、ノイズ幅を決定する工程と、前記位置情報に対して前記ノイズ幅のノイズを付加する工程と、を有する。

本発明の他の態様に係る情報処理プログラムは、匿名化に関する処理を行う情報処理装置に、ユーザの位置を示す位置情報を取得することと、前記位置情報が属する領域における混雑度に基づいて、ノイズ幅を決定することと、前記位置情報に対して前記ノイズ幅のノイズを付加することと、を実行させる。

本発明によれば、位置情報の匿名性を確保しながら、当該位置情報の有用性を向上できる。

第１の実施形態に係る情報処理装置の構成の一例を示す図である。 第１の実施形態に係る記憶部で記憶される情報の一例を示す図である。 第１の実施形態に係る位置情報が属する領域の一例を示す図である。 第１の実施形態に係るノイズ幅の決定の一例を示す図である。 第１の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 第２の実施形態に係る情報処理装置の構成の一例を示す図である。 第２の実施形態に係るｋ－匿名化の一例を示す図である。 第２の実施形態に係るノイズの付加の一例を示す図である。 第２の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 第１及び第２の実施形態に係る情報処理装置のハードウェア構成の一例を示す図である。

添付図面を参照して、本発明の実施形態について説明する。なお、各図において、同一の符号を付したものは、同一又は同様の構成を有する。

（第１の実施形態）
第１の実施形態では、差分プライバシーを用いた位置情報の匿名化について説明する。差分プライバシーとは、「ある個人のデータを含むデータベースに対する問い合わせ結果が、その個人のデータを含まないデータベースへの問い合わせ結果と区別できないなら、その問い合わせは安全である」という考え方によりプライバシーを規定するものである。具体的には、差分プライバシーは、パラメータεを用いて以下のように定義される。

定義１：任意の隣接したデータベースＤ₁及びＤ₂（Ｄ₁，Ｄ₂∈Ｄ）に対し、ランダム化関数（randomized function）Κ：Ｄ→Ｒが下記式（１）を満たすとき、Κはε－差分プライバシーを満たす。ただし、ここで、Ｓは、Κの出力空間Ｒの任意の部分空間である（Ｓ⊆Ｒ）。
式（１）
Ｐｒ［Κ（Ｄ₁）∈Ｓ］≦ｅε・Ｐｒ［Κ（Ｄ₂）∈Ｓ］

上記定義１において、隣接したデータベースＤ₁及びＤ₂において、Ｄ₁に含まれるある個人ｉに関するレコードｘ_iが、Ｄ₂では別のレコードに置換されている、又は、削除されているものとする。Κはデータベースへの問い合わせを表す。また、Κは確率的な出力を持つランダム化関数であり、Ｋの出力には所定の（given）ノイズが付加される。Ｄ₁に対する問い合わせΚ（Ｄ₁）と、Ｄ₁からある個人ｉに関するレコードｘ_iを除いたＤ₂に対する問い合わせΚ（Ｄ₂）が区別できないなら、Ｄ₁からｘ_iに関して意味がある情報を抽出することができない、すなわち、個人ｉのプライバシーは保護されるといえる。

第１の実施形態では、以上のような差分プライバシーにおけるレコードｘ_iとして、位置情報を想定し、位置情報に対して付加するノイズのノイズ幅ｄを、当該位置情報が属する領域の混雑度に基づいて決定する。これにより、位置情報の匿名性を確保するのに必要以上に大きいノイズ幅ｄのノイズを位置情報に付与するのを防止できるので、当該領域における位置情報の匿名性を確保しながら、当該位置情報の有用性を向上できる。

＜情報処理装置の構成＞
図１は、第１の実施形態に係る情報処理装置の構成の一例を示す図である。図１に示すように、情報処理装置１０は、記憶部１１と、取得部１２と、決定部１３と、匿名化処理部１４とを備える。

記憶部１１は、ユーザの位置を示す位置情報を記憶する。具体的には、記憶部１１は、当該位置情報と、当該位置情報に関する時間を示す時間情報と、を少なくとも関連付けて記憶してもよい。また、記憶部１１は、当該位置情報及び時間情報に加えて、当該ユーザを識別するユーザ識別情報を関連付けて記憶してもよい。

図２は、第１の実施形態に係る記憶部で記憶される情報の一例を示す図である。図２に示すように、記憶部１１は、あるユーザがある時間においてどこに位置するかを示す情報（以下、位置時間情報）を記憶してもよい。位置時間情報は、例えば、図２に示すように、ユーザ識別情報と位置情報と時間情報とを関連付けた情報であってもよい。

ここで、ユーザ識別情報は、ユーザの識別情報であり、例えば、ユーザの識別子であるユーザＩＤ、ユーザが保持する端末の識別子である端末ＩＤ、又は、広告配信用に付与されるユーザ固有の識別子である広告ＩＤ等であってもよい。当該広告ＩＤは、ＩＤＦＡ（Identifier For Advertising）、ＡＡＩＤ（Google Advertising ID）等と呼ばれてもよい。

また、位置情報は、ユーザの位置を示す情報であり、例えば、経度及び緯度を含んでもよい。当該位置情報は、例えば、ＧＰＳ衛星からの信号により端末において取得されてもよいし、所定のセンサ（例えば、レーザセンサ、加速度センサ、ジャイロセンサ、カメラセンサ等）によって取得されてもよい。

また、時間情報は、位置情報に関する時間を示す情報であり、例えば、上記位置情報が取得される時間、又は、上記位置情報が示す位置にユーザが存在する時間を示してもよい。なお、時間情報は、当該時間（時、分及び秒の少なくとも一つ）に限られず、位置情報が取得される（又は、位置情報が示す位置に端末が存在する）日時、年月日等を示してよい。

なお、記憶部１１に記憶される位置時間情報は、各ユーザの端末（又は、各ユーザの端末の位置時間情報を収集するサーバ等）から送信され、後述する通信部１０ｃによって受信されたものであってもよい。或いは、当該位置時間情報は、コンピュータによって読み取り可能な記憶媒体（例えば、ＤＶＤ、ＣＤ、ＵＳＢメモリ等）に記憶されて情報処理装置１０の提供されたものであってもよい。

取得部１２は、位置情報を取得する。具体的には、取得部１２は、記憶部１１において記憶された位置時間情報（例えば、図２）を取得してもよい。また、取得部１２は、位置情報が属する領域に関する領域情報を取得してもよい。

ここで、当該領域は、例えば、空間を分割して得られる複数の領域のうち当該位置情報が示す位置を含む領域（例えば、後述するメッシュ領域）であってもよいし、又は、当該領域と当該位置情報に関する時間を含む所定の時間範囲とで構成される時空間領域であってもよい。領域情報は、当該位置情報が示す位置を含む領域を示す情報（例えば、後述するメッシュＩＤ）であってもよいし、当該時空間領域を示す情報（例えば、後述する時空間領域ＩＤ）であってもよいし、両者を含んでもよい。

図３は、第１の実施形態に係る位置情報が属する領域の一例を示す図である。例えば、図３に示すように、位置情報が属する領域は、空間を分割して得られる複数の領域のうち当該位置情報が示す位置を含む領域であり、例えば、経度及び緯度を用いる地理座標内の所定領域であってもよい。なお、図３は例示にすぎず、これに限られない。当該空間は、２次元の座標系（平面地図）又は３次元の座標系（立体地図）等であってもよく、例えば、Simultaneous Localization And Mapping（ＳＬＡＭ）等で作成される座標系（地図）であってもよい。

図３に示すように、空間を分割して得られる領域は、メッシュ状の領域（メッシュ領域）であってもよい。各メッシュ領域は、所定距離（例えば、１２５ｍ）四方で構成されてもよい。各メッシュ領域には、各メッシュ領域の識別情報であるメッシュＩＤが付与されてもよい。例えば、図３では、メッシュＩＤでそれぞれ識別されるメッシュ領域Ｍ０～Ｍ３が示される。

例えば、図３では、図２に示すユーザＡ～Ｊの位置情報が示す位置がどのメッシュ領域に含まれるかが示される。なお、図３では、時間軸の図示を省略するが、ユーザＡ～Ｊの位置情報は、それぞれ、同一の時間範囲（例えば、図２では、午前１０時０分～１５分の１５分）内に取得されるものとする。すなわち、図３では、メッシュ領域Ｍ０～Ｍ３それぞれとある時間範囲（ここでは、午前１０時０分～１５分）とで構成される時空間領域ＴＳ０～ＴＳ３（不図示）のうちのどの時空間領域にユーザＡ～Ｊの位置情報が属するかが示されるともいえる。

なお、図３では、ｘ０～ｘ２、ｙ、ａ０～ａ２、ｂは、所定の値であり、ｘ０＜ｘ１＜ｘ２、ａ０＜ａ１＜ａ２の関係であるものとする。また、図２におけるｘ１Ａ～ｘ１Ｉはｘ１以上ｘ２未満の任意の値であり、ｘ０Ｊはｘ０以上ｘ１未満の任意の値であり、ａ０Ａ～ａ０Ｆ、ａ０Ｈ、ａ０Ｊは、ａ０以上ａ１未満の任意の値であり、ａ１Ｇ、ａ１Ｈは、ａ１以上ａ２未満の任意の値であるものとする。

例えば、図３では、ユーザＡ～Ｆ、Ｈの位置情報はメッシュ領域Ｍ２に属し、ユーザＧ及びＩの位置情報はメッシュ領域Ｍ３に属し、ユーザＪの位置情報はメッシュ領域Ｍ０に属する。なお、図３では、ある時間範囲（ここでは、午前１０時０分～１５分）においてメッシュ領域Ｍ０～Ｍ３に属する位置情報を示しており、メッシュ領域Ｍ０～Ｍ３は、それぞれ、時空間領域ＴＳ０～ＴＳ３（不図示）と言い換えることもできる。すなわち、ユーザＡ～Ｆ、Ｈの位置情報は時空間領域ＴＳ２に属し、ユーザＧ及びＩの位置情報は時空間領域ＴＳ３に属し、ユーザＪの位置情報は時空間領域ＴＳ０に属するともいえる。

決定部１３は、位置情報が属する領域における混雑度に基づいて、当該領域に属する位置情報に付加されるノイズの幅（以下、「ノイズ幅」という）ｄを決定する。ノイズ幅ｄは、当該ノイズの量又は大きさ等を示す情報であってもよい。

ここで、当該領域における混雑度は、例えば、位置情報が属する領域（例えば、上記メッシュ領域又は時空間領域）における位置情報の数に基づいて決定されてもよい。具体的には、属する位置情報の数が多い領域ほど混雑度が高く決定され、属する位置情報の数が少ない領域ほど混雑度が低く決定されてもよい。

例えば、図３では、所定時間（例えば、午前１０時０分～１５分の１５分間）においてメッシュ領域Ｍ０、Ｍ１、Ｍ２及びＭ３（上記の通り、時空間領域ＴＳ０、ＴＳ１、ＴＳ２及びＴＳ３ともいえる）に属する位置情報の数は１、０、７及び２である。このため、午前１０時０分～１５分の間では、メッシュ領域Ｍ２の混雑度が最も高く決定され、メッシュ領域Ｍ３の混雑度が２番目に高く決定され、メッシュ領域Ｍ１の混雑度が３番目に高く決定される。

また、決定部１３は、位置情報が属する領域における混雑度が高くなるほど、当該領域に属する位置情報に付加するノイズ幅ｄを小さく決定してもよい。具体的には、決定部１３は、領域内における少なくとも二つの位置情報が入れ替わる確率が所定の割合（例えば、９９％）以上又はより大きくなるように、当該ノイズ幅ｄを決定してもよい。また、決定部１３は、混雑度ｐに対して単調に減少する関数ｆ（ｐ）を用いてノイズ幅ｄを決定してもよい。

図４は、第１の実施形態に係るノイズ幅の決定の一例を示す図である。図４では、図３で説明したように、ユーザＡ～Ｆ及びＨの位置情報はメッシュ領域Ｍ２内の位置を示し、ユーザＧ、Ｉの位置情報はメッシュ領域Ｍ３内の位置を示し、ユーザＪの位置情報はメッシュ領域Ｍ０内の位置を示すものとする。混雑度は、メッシュ領域Ｍ２、Ｍ３、Ｍ０の順番に高い。

図４に示すように、混雑度が高いメッシュ領域Ｍ２では、各位置情報に付加するノイズ幅ｄが小さくても、各位置情報によりユーザが特定される確率は低い（匿名性を確保し易い）。一方、混雑度が低いメッシュ領域Ｍ３では、各位置情報に付加するノイズ幅ｄが小さいと、各位置情報によりユーザが特定される確率が高くなる（匿名性を確保し難くなる）。

そこで、決定部１３は、図４に示すように、混雑度が高いメッシュ領域Ｍ２に属する位置情報に対するノイズ幅ｄを、混雑度が低いメッシュ領域Ｍ３に属する各位置情報に対するノイズ幅ｄよりもノイズ幅ｄを小さく決定してもよい。一般に、情報に付加するノイズ幅ｄが小さい方が当該情報の有用性は高いと考えられる。このため、混雑度の高いメッシュ領域Ｍ２に属する位置情報に対しては相対的に小さいノイズ幅ｄを付加することで、当該位置情報の匿名性を確保しながら、有用性を向上できる。

一方、決定部１３は、図４に示すように、混雑度が低いメッシュ領域Ｍ３又はＭ０に属する位置情報に対するノイズ幅ｄを、混雑度が高いメッシュ領域Ｍ２に属する各位置情報に対するノイズ幅ｄよりもノイズ幅ｄを小さく決定してもよい。これにより、混雑度の低いメッシュ領域Ｍ３に属する当該位置情報の匿名性を適切に確保できる。

匿名化処理部１４は、決定部１３によって決定されたノイズ幅ｄに基づいて、位置情報の匿名化に関する処理を行う。具体的には、匿名化処理部１４は、差分プライバシー処理部１４１を備えてもよい。

差分プライバシー処理部１４１は、取得部１２によって取得された位置情報に対して、差分プライバシーに関する処理を適用する。具体的には、差分プライバシー処理部１４１は、決定部１３によって決定されるノイズ幅ｄのノイズ値を、取得部１２によって取得される各位置情報（例えば、緯度及び経度の少なくとも一つを示す値）に付加する。具体的には、差分プライバシー処理部１４１は、上記ノイズ幅ｄに基づくランダム化関数Κに対して各位置情報を入力し、当該ランダム化関数Κに出力として上記ノイズ幅ｄのノイズが付加された位置情報を取得してもよい。上記ランダム化関数Κとしては、ラプラス分布に従うノイズ幅ｄの確率密度関数、又は、分散がノイズ幅ｄの正規分布に従う確率密度関数等を用いることができる。

匿名化処理部１４は、以上のように各位置情報に対して匿名化処理を施した後の情報（匿名化情報）の出力（例えば、送信又は表示等）を制御してもよい。具体的には、匿名化処理部１４は、後述する通信部１０ｃによる他の装置に対する当該匿名化情報の送信を制御してもよい。また、匿名化処理部１４は、後述する出力部ｅによる当該匿名化情報の表示を制御してもよい。なお、匿名化処理部１４は、当該匿名化情報を記憶部１１に記憶させ、通信部１０ｃ又は入力部１０ｄからの指示に基づいて、当該記憶部１１から取得した匿名化情報の出力を制御してもよい。

＜情報処理装置の動作＞
図５は、第１の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。図５に示すように、情報処理装置１０は、ユーザの位置を示す位置情報を取得する（ステップＳ１０１）。具体的には、情報処理装置１０は、当該位置情報と、当該ユーザを識別するユーザ識別情報と、当該位置情報に関する時間を示す時間情報とを関連付けた位置時間情報を記憶部１１から取得してもよい。

情報処理装置１０は、ステップＳ１０１で取得された各位置情報が属する領域（例えば、ある時間範囲内のメッシュ領域又は時空間領域）の混雑度に基づいて、当該領域に属する位置情報用のノイズ幅ｄを決定する（ステップＳ１０２）。例えば、図４に示すように、情報処理装置１０は、各領域の混雑度が高いほど、各領域に属する位置情報のノイズ幅ｄを小さく決定してもよい。

情報処理装置１０は、各位置情報に対して、ステップＳ１０３で決定されたノイズ幅ｄのノイズを付加する（ステップＳ１０３）。当該ノイズの値は、ノイズ幅ｂに基づくランダム化関数Κに基づいて決定されてもよい。情報処理装置１０は、ノイズが付加された各位置情報である匿名化情報を出力する（ステップＳ１０４）。

以上のように、第１の実施形態に係る情報処理装置１０では、各位置情報が属する領域（例えば、メッシュ領域又は時空間領域）の混雑度に基づいて各領域のノイズ幅ｄが決定されるので、各領域にマッピングされた位置時間情報の匿名性を確保しながら、有用性を確保できる。

（第２の実施形態）
第２の実施形態では、第１の実施形態に係る差分プライバシーを用いた匿名化処理と、ｋ－匿名化を用いた匿名化処理との組み合わせについて説明する。ｋ－匿名化とは、対象となるデータ内に同一の属性を持つデータがｋ件以上存在する（ｋ－匿名性を満たす）ようにデータを変換することで、個人が識別される確率をｋ分の１以下に低減させることである。差分プライバシーに加えてｋ－匿名化を行うことにより蓄積されたデータの平均値を取っても匿名性を確保できる。

第２の実施形態では、差分プライバシーに加えて以上のようなｋ－匿名化を用いて、位置情報を匿名化する。これにより、攻撃者が時空間領域内の位置情報の平均値を取っても元の位置情報が漏洩するのを防止でき、匿名性をより適切に確保できる。なお、第２の実施形態では、第１の実施形態との相違点を中心に説明し、同様の部分については説明を省略する。また、以下では、ｋ＞１の場合を中心に説明するが、これに限られない。ｋの閾値は、１に限られず、所定数であればよい。

＜情報処理装置の構成＞
図６は、第２の実施形態に係る情報処理装置の構成の一例を示す図である。図６に示すように、情報処理装置１０は、記憶部１１と、取得部１２と、決定部１３と、匿名化処理部１４とを備える。情報処理装置１０の匿名化処理部１４は、差分プライバシー処理部１４１に加えて、ｋ－匿名化処理部１４２を具備する。

ｋ－匿名化処理部１４２は、取得部１２によって取得された位置情報に対して、ｋ－匿名化に関する処理を適用する。具体的には、ｋ－匿名化処理部１４２は、当該位置情報が属する領域（例えば、上記時空間領域）の代表値に、当該位置情報と当該位置情報に関する時間を示す時間情報との少なくとも一つを変更してもよい。

位置情報が属する領域の代表値とは、位置情報が示す位置を含むメッシュ領域の代表値であってもよいし、又は、時空間領域の代表値であってもよい。当該メッシュ領域の代表値は、例えば、当該メッシュ領域内の経度及び緯度の中央値、最小値又は最大値等であってもよい。また、時空間領域の代表値とは、上記メッシュ領域の代表値及び／又は所定の時間範囲内の代表値であってもよい。当該所定の時間範囲内の代表値は、例えば、当該所定の時間範囲の中央値、最小値又は最大値等であってもよい。

また、ｋ－匿名化処理部１４２は、位置情報が属する領域にマッピングされる位置情報の数が所定数（例えば、１）以下又はより小さい場合、当該位置情報を記憶部１１から除去してもよい。

図７は、第２の実施形態に係るｋ－匿名化の一例を示す図である。例えば、図７では、同一の時間範囲（例えば、午前１０時０分から１５分までの１５分間）の異なる複数のメッシュ領域（例えば、メッシュ領域Ｍ０～Ｍ３）にそれぞれ対応する複数の時空間領域（例えば、時空間領域ＴＳ０～ＴＳ３）が示される。なお、図示しないが、同一のメッシュ領域の異なる複数の時間範囲にそれぞれ対応する複数の時空間領域が構成されてもよいことは勿論である。また、図７では、上記所定数が１であるものとするが、これに限られない。

例えば、図７では、時空間領域ＴＳ２に属するユーザＡ～Ｆ及びＨの７つの位置情報を含む位置時間情報は、時空間領域ＴＳ２の代表値（例えば、図７では、時空間領域ＴＳ２内の緯度、経度及び時間の最小値）に変更される。これにより、ユーザＡ～Ｆ及びＨの７つの位置時間情報が同一の代表値を示すことになるので、時空間領域ＴＳ２におけるｋ－匿名性（ここでは、ｋ＝７）を確保可能となる。

同様に、図７では、時空間領域ＴＳ３に属するユーザＧ及びＩの２つの位置情報を含む位置時間情報は、時空間領域ＴＳ３の代表値（例えば、図７では、時空間領域ＴＳ３内の緯度、経度及び時間の最小値）に変更される。これにより、ユーザＧ及びＩの２つの位置時間情報が同一の代表値を示すことになるので、時空間領域ＴＳ３におけるｋ－匿名性（ここでは、ｋ＝２）を確保可能となる。

一方、時空間領域ＴＳ０には、ユーザＪの位置情報を含む位置時間情報のみが属するので、ｋ－匿名化処理部１４２は、当該ユーザＪの位置時間情報を記憶部１１から除去してもよい。これにより、時空間領域ＴＳ０におけるｋ－匿名性（ここでは、ｋ＞１）を確保可能となる。

第２の実施形態において、差分プライバシー処理部１４１は、ｋ－匿名化処理部１４２において上記ｋ－匿名化に関する処理が施された位置情報に対して、差分プライバシーに関する処理を適用する。具体的には、差分プライバシー処理部１４１は、決定部１３によって決定されるノイズ幅ｄのノイズ値を、ｋ－匿名化処理部１４２においてｋ－匿名化に関する処理が適用された各位置情報（例えば、緯度及び経度の少なくとも一つを示す値）に付加してもよい。

図８は、第２の実施形態に係るノイズの付加の一例を示す図である。例えば、図８では、同一の時間範囲（例えば、午前１０時０分から１５分までの１５分間）の異なる複数のメッシュ領域（例えば、メッシュ領域Ｍ０～Ｍ３）にそれぞれ対応する複数の時空間領域（例えば、時空間領域ＴＳ０～ＴＳ３）が示される。

例えば、図８では、ユーザＡ～Ｉの位置時間情報は、それぞれが属する時空間領域の代表値に変更されている。また、ユーザＪの位置時間情報（図７）は、時空間領域ＴＳ０におけるｋ－匿名性（ｋ＞１）を満たさないので、除去されている。また、混雑度は、時空間領域ＴＳ２、ＴＳ３の順番に高い。

図８に示すように、混雑度が高い時空間領域ＴＳ２では、各位置情報に付加するノイズ幅ｄが小さくても、各位置情報によりユーザが特定される確率は低い（匿名性を確保し易い）。このため、図８に示すように、時空間領域ＴＳ２に属する位置情報には、時空間領域ＴＳ３に属する各位置情報に対するノイズ幅ｄよりも小さいノイズ幅ｄのノイズが付加されてもよい。

一方、混雑度が低い時空間領域ＴＳ３では、各位置情報に付加するノイズ幅ｄが小さいと、各位置情報によりユーザが特定される確率が高くなる（匿名性を確保し難くなる）。このため、図８に示すように、時空間領域ＴＳ３に属する位置情報には、時空間領域ＴＳ２に属する各位置情報に対するノイズ幅ｄよりも大きいノイズ幅ｄのノイズが付加されてもよい。

＜情報処理装置の動作＞
図９は、第２の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。図９に示すように、情報処理装置１０は、ユーザの位置を示す位置情報を取得する（ステップＳ２０１）。具体的には、情報処理装置１０は、当該位置情報と、当該ユーザを識別するユーザ識別情報と、当該位置情報に関する時間を示す時間情報とを関連付けた位置時間情報を記憶部１１から取得してもよい。

情報処理装置１０は、ステップＳ２０１で取得された各位置情報が属する領域（例えば、メッシュ領域又は時空間領域）の代表値に、当該位置情報及び時間情報の少なくとも一つを変更する（ステップＳ２０２）。例えば、図７に示すように、情報処理装置１０は、ユーザＡ～Ｆ及びＨの位置時間情報が属する時空間領域ＴＳ２の代表値に、当該各位置時間情報を変更してもよい。また、情報処理装置１０は、ユーザＧ及びＩの位置時間情報が属する時空間領域ＴＳ３の代表値に、当該各位置時間情報を変更してもよい。

情報処理装置１０は、ステップＳ２０１で取得されたある位置情報が属する領域（例えば、ある時間範囲内のメッシュ領域又は時空間領域）におけるｋ－匿名性（ｋ＞１）が阻害される場合、当該位置情報を除去する（ステップＳ２０３）。例えば、図７に示すように、情報処理装置１０は、時空間領域ＴＳ０に属するユーザＪの位置時間情報を除去してもよい。

情報処理装置１０は、ステップＳ２０２及びＳ２０３においてｋ－匿名化処理が施された位置情報に対して付加するノイズのノイズ幅を、当該位置情報が属する領域の混雑度に基づいて決定する（ステップＳ２０４）。

情報処理装置１０は、各位置情報に対して、ステップＳ２０４で決定されたノイズ幅ｄのノイズを付加する（ステップＳ２０５）。当該ノイズの値は、ノイズ幅ｂに基づくランダム化関数Κに基づいて決定されてもよい。情報処理装置１０は、ノイズが付加された各位置情報である匿名化情報を出力する（ステップＳ２０６）。

以上のように、第２の実施形態に係る情報処理装置１０では、各位置情報に対してｋ－匿名化処理が施された後に、当該各位置情報が属する領域（例えば、メッシュ領域又は時空間領域）の混雑度に基づいて各領域のノイズ幅ｄが決定される。各領域にマッピングされた位置時間情報の匿名性をより適切に確保しながら、有用性を維持できる。

なお、上記第２の実施形態では、ｋ－匿名化処理を施した後に、差分プライバシーに関する処理（すなわち、混雑度に基づいて決定されたノイズ幅のノイズの付加）が適用されたが、これに限られない。当該差分プライバシーに関する処理が適用された後に、ｋ－匿名化処理が施されてもよい。

（ハードウェア構成）
次に、第１及び第２の実施形態に係る情報処理装置１０のハードウェア構成を説明する。図１０に示すように、情報処理装置１０は、演算装置に相当するＣＰＵ（Central Processing Unit）１０ａと、記憶装置１０ｂと、通信部１０ｃと、入力部１０ｄと、出力部１０ｅとを有する。これらの各構成は、バスを介して相互にデータ送受信可能に接続される。なお、本例では、情報処理装置１０は、一台のコンピュータで構成されるが、複数のコンピュータで構成されてもよい。

ＣＰＵ１０ａは、記憶装置１０ｂに記憶されたプログラムの実行に関する制御やデータの演算、加工を行う制御部である。ＣＰＵ１０ａは、ユーザの位置を示す位置情報が属する領域における混雑度に基づいて、ノイズ幅を決定し、前記位置情報に対して前記ノイズ幅のノイズを付加する情報処理プログラムを実行する演算装置（演算部、制御部、制御装置等ともいう）であってもよい。ＣＰＵ１０ａは、入力部１０ｄ及び／又は通信部１０ｃから種々の入力データを受け取り、入力データの演算結果を出力部１０ｅに出力（例えば、表示）したり、記憶装置１０ｂに格納したり、又は、通信部１０ｃを介して送信したりする。

記憶装置１０ｂは、メモリ、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、の少なくとも一つである。情報処理装置１０の記憶装置１０ｂは、記憶部１１を構成してもよい。また、情報処理装置１０の記憶装置１０ｂは、ＣＰＵ１０ａが実行する情報処理プログラムを記憶してもよい。

通信部１０ｃは、情報処理装置１０を外部機器に接続するインターフェースである。通信部１０ｃは、他の装置から送信される位置情報（又は位置時間情報）を受信して、ＣＰＵ１０ａの制御に基づいて、当該位置情報（又は位置時間情報）を記憶装置１０ｂに出力してもよい。通信部１０ｃは、位置情報に対して匿名化処理が施された匿名化情報を他の装置に送信してもよい。

入力部１０ｄは、ユーザからデータの入力を受け付けるものであり、例えば、キーボード、マウス、タッチパネル、マイクの少なくとも一つを含んでよい。入力部１０ｄは、位置情報の匿名化処理の開始要求を受け付けてもよい。

出力部１０ｅは、ＣＰＵ１０ａによる演算結果を出力するものであり、例えば、ＬＣＤ（Liquid Crystal Display）等のディスプレイ及びスピーカの少なくとも一つにより構成されてよい。出力部１０ｅは、匿名化処理部１４によって生成された匿名化情報を出力してもよい。

情報処理プログラムは、記憶装置１０ｂ等のコンピュータによって読み取り可能な記憶媒体に記憶されて提供されてもよいし、通信部１０ｃにより接続されるネットワークを介して提供されてもよい。当該情報提供プログラムを格納した記憶媒体は、コンピュータ読み取り可能な非一時的な記憶媒体（Non-transitory computer readable medium）であってもよい。非一時的な記憶媒体は特に限定されないが、例えば、ＵＳＢメモリ、ＣＤ－ＲＯＭ又はＤＶＤ等の記憶媒体であってもよい。

情報処理装置１０では、ＣＰＵ１０ａが情報処理プログラムを実行することにより、取得部１２、決定部１３、匿名化処理部１４等の動作が実現される。なお、これらの物理的な構成は例示であって、必ずしも独立した構成でなくてもよい。例えば、情報処理装置１０は、ＣＰＵ１０ａと記憶装置１０ｂが一体化したＬＳＩ（Large-Scale Integration）を備えていてもよい。

以上説明した実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。実施形態が備える各要素並びにその配置、材料、条件、形状及びサイズ等は、例示したものに限定されるわけではなく適宜変更することができる。また、異なる実施形態で示した構成同士を部分的に置換し又は組み合わせることが可能である。

１０…情報処理装置、１１…記憶部、１２…取得部、１３…決定部、１４…匿名化処理部、１４１…差分プライバシー処理部、１４２…ｋ－匿名化処理部、１０ａ…ＣＰＵ、１０ｂ…記憶装置、１０ｃ…通信部、１０ｄ…入力部、１０ｅ…出力部

Claims (7)

1. 匿名化に関する処理を行う情報処理装置であって、
   ユーザの位置を示す位置情報を取得する取得部と、
   前記位置情報が属する領域における混雑度に基づいて、ノイズ幅を決定する決定部と、
   前記位置情報に対して前記ノイズ幅のノイズを付加する匿名化処理部と、
   を備え、
   前記混雑度は、前記取得部により取得された前記位置情報であって、前記領域に属する前記位置情報の数に基づいて決定される、
   情報処理装置。
2. 前記決定部は、前記領域における前記混雑度が高くなるほど、前記ノイズ幅を小さく決定する、
   請求項１に記載の情報処理装置。
3. 前記領域は、空間を分割して得られる複数の領域のうち前記位置情報が示す前記位置を含む領域、又は、該領域と前記位置情報に関する時間を含む所定の時間範囲とで構成される時空間領域である、
   請求項１又は請求項２に記載の情報処理装置。
4. 前記匿名化処理部は、前記位置情報と前記位置情報に関する時間を示す時間情報との少なくとも一つを、前記領域における代表値に変更する、
   請求項１から請求項３のいずれかに記載の情報処理装置。
5. 前記匿名化処理部は、前記領域に属する位置情報の数が所定数以下又はより小さい場合、前記位置情報を除去する、
   請求項１から請求項４のいずれかに記載の情報処理装置。
6. 匿名化に関する処理を行う情報処理方法であって、
   ユーザの位置を示す位置情報を取得する工程と、
   前記位置情報が属する領域における混雑度に基づいて、ノイズ幅を決定する工程と、
   前記位置情報に対して前記ノイズ幅のノイズを付加する工程と、
   を有し、
   前記混雑度は、前記取得する工程により取得された前記位置情報であって、前記領域に属する前記位置情報の数に基づいて決定される、
   情報処理方法。
7. 匿名化に関する処理を行う情報処理装置に、
   ユーザの位置を示す位置情報を取得することと、
   前記位置情報が属する領域における混雑度に基づいて、ノイズ幅を決定することと、
   前記位置情報に対して前記ノイズ幅のノイズを付加することと、
   を実行させ、
   前記混雑度は、前記取得することにより取得された前記位置情報であって、前記領域に属する前記位置情報の数に基づいて決定される、
   情報処理プログラム。