WO2012017612A1 - 匿名化情報共有装置および匿名化情報共有方法 - Google Patents

匿名化情報共有装置および匿名化情報共有方法 Download PDF

Info

Publication number
WO2012017612A1
WO2012017612A1 PCT/JP2011/004144 JP2011004144W WO2012017612A1 WO 2012017612 A1 WO2012017612 A1 WO 2012017612A1 JP 2011004144 W JP2011004144 W JP 2011004144W WO 2012017612 A1 WO2012017612 A1 WO 2012017612A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
anonymization
anonymization information
sharing
authentication
Prior art date
Application number
PCT/JP2011/004144
Other languages
English (en)
French (fr)
Inventor
江村　恒一
誠也 宮崎
Original Assignee
パナソニック株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック株式会社 filed Critical パナソニック株式会社
Priority to US13/814,051 priority Critical patent/US8752149B2/en
Priority to JP2012503824A priority patent/JP5735485B2/ja
Publication of WO2012017612A1 publication Critical patent/WO2012017612A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0421—Anonymous communication, i.e. the party's identifiers are hidden from the other party or parties, e.g. using an anonymizer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords

Definitions

  • the present invention relates to an anonymization information sharing apparatus and an anonymization information sharing method in which an output source shares anonymization information anonymized with another apparatus.
  • life stream service a life stream service or life log service (hereinafter referred to as "life stream service") that shares a series of information to which position information is added as the action history of the user with others. ) Is one of them.
  • medical treatment information which is a treatment record of the recipient has conventionally been stored for each medical institution.
  • EMR Electronic Medical Record
  • medical treatment information that is the treatment record of the recipient on the network, a large investment is required. Such a system is not widespread.
  • the anonymity of the output source of the anonymization information may be lost from the position information of the anonymization information or the like.
  • Such a situation can be prevented by the output source of the information correcting or deleting the anonymization information according to the situation. Therefore, the output source of the anonymization information can freely perform processing regarding its own anonymization information even after being shared, and it is desirable that the anonymization information can be substantially put under its own control.
  • the anonymization information sharing apparatus 10 manages a correspondence table in which each anonymization information is associated with an anonymization number.
  • the anonymization information sharing device 10 discards the correspondence table as needed by the correspondence table discarding unit 13. Further, when the anonymization information sharing apparatus 10 is requested to execute a predetermined process related to the anonymization information by passing the personal ID, the anonymization number creating unit 12 recreates the anonymization number from the personal ID. Then, the anonymization information sharing apparatus 10 executes the requested process on the anonymization information associated with the re-created anonymization number.
  • the anonymization information sharing apparatus 10 while maintaining the anonymity of the anonymization information for the persons other than the output source and the owner of the anonymization information with respect to the anonymization information once shared, depends on the output source Management can be continued.
  • Patent Document 1 The technology described in Patent Document 1 is effective in a centrally managed network in which the holding of anonymization information and the management of anonymization number are performed with one device, such as an operation mode in which the authority is concentrated in one place such as a hospital. It is.
  • Patent Document 1 is a system in which an unspecified or specified number such as twitter (registered trademark) post or browse information, as described above, or P2P (Peer to Peer) in which specific terminals communicate directly with each other.
  • an unspecified or specified number such as twitter (registered trademark) post or browse information, as described above, or P2P (Peer to Peer) in which specific terminals communicate directly with each other.
  • P2P Peer to Peer
  • continuation of anonymization information management is difficult. This is because, in such a network, it is necessary to delete anonymization information (anonymization information whose owner is unspecified) once shared by posting or the like.
  • the anonymization information sharing method is an anonymization information sharing method in which an output source shares the anonymization information anonymized with another device, and the sharing target is the sharing target information for each sharing target information. Applying a first one-way function to a combination of a part or all of the information and the processing password to generate an authentication ID, and adding the generated authentication ID to the sharing target information; Generating anonymization information, outputting the generated anonymization information and causing the other device to hold the generated anonymization information, generating a processing request including the processing password, and transmitting the processing request to the other device; And the other device hold the result of applying the first one-way function to the combination of part or all of the anonymization information held by the other device and the processing password for the device of Recognition of the anonymized information Based on the consistency of the ID, and a step of relative anonymous information is held in the other device, a request for execution of the predetermined process is permitted only to the output source.
  • only the output source of the anonymization information authenticates the processing request having the processing authority for the anonymization information while maintaining the anonymized state, and performs the predetermined processing on the anonymization information. , Can be executed on the device holding the anonymization information. That is, according to the present invention, the management by the output source can be continued for the anonymization information shared by the distributed management type network.
  • Block diagram showing an example of the configuration of a conventional anonymized information sharing apparatus A system configuration diagram showing an example of a configuration of an anonymization information sharing system including the anonymization information sharing device according to the first embodiment of the present invention Block diagram showing the configuration of the anonymized information sharing apparatus according to the present embodiment A diagram schematically showing an outline of processing in the first embodiment Flow chart showing the operation of the anonymized information sharing apparatus according to the first embodiment Flow chart showing anonymization information output process in the first embodiment Flow chart showing anonymization information deletion process in the first embodiment
  • Block diagram showing the configuration of the anonymized information sharing apparatus according to Embodiment 2 of the present invention A diagram schematically showing anonymization of personal attribute information in the second embodiment
  • a diagram schematically showing an outline of processing in the second embodiment The flowchart which shows the operation of the anonymization information sharing device which relates to the form 2 of this execution Flow chart showing anonymization information output process in the second embodiment Flow chart showing risk monitoring processing in the second embodiment Flow chart showing deletion request transmission processing according to the second embodiment
  • FIG. 2 is a system configuration diagram showing an example of a configuration of an anonymization information sharing system including the anonymization information sharing device according to the first embodiment of the present invention.
  • the anonymization information sharing system 100 includes first to j-th anonymization information sharing devices 300-1 to 300-j that perform wireless communication with each other via the communication network 200.
  • the first to j-th anonymized information sharing devices 300-1 to 300-j transmit each other's anonymization information and share them without using a central management server or the like. That is, the anonymization information sharing system 100 is a system for sharing anonymization information in a distributed management type network.
  • the first to j-th anonymized information sharing devices 300-1 to 300-j have the same configuration. Therefore, hereinafter, they are collectively referred to as the anonymization information sharing apparatus 300 as appropriate. Further, in the present embodiment, the anonymization information sharing device 300 which is an output source of anonymization information is appropriately described as the anonymization information sharing device 300s, and the anonymization information sharing device 300 which is an output destination of the anonymization information. Is described as the anonymization information sharing device 300r.
  • FIG. 3 is a block diagram showing the configuration of the anonymization information sharing apparatus 300. As shown in FIG. Here, the functional units used when transmitting (outputting) the anonymization information and the functional units used when receiving (inputting) the anonymized information are illustrated separately.
  • the anonymization information sharing apparatus 300s which is an output source of the anonymization information, includes an information non-sharing unit 310, an authentication ID generation unit 320, an anonymization unit 330, an information sharing unit 340, and anonymization information processing. It has a request unit 350.
  • the anonymization information sharing device 300r which is the output destination of the anonymization information, includes the above-described information sharing unit 340 and an anonymization information processing unit 360.
  • the information storage unit 310 stores data (data to be shared, hereinafter referred to as “personal attribute information”) which is data to be shared and to which time information and position information are added to the data main body.
  • the time information and the position information are, for example, Japan Standard Time and the latitude and longitude of the current position acquired from a global positioning system (GPS) signal.
  • the data body is, for example, a user's input text, biosignal information such as a pulse and blood pressure observed by a sensor, or activity amount information such as the number of steps and activity intensity.
  • HL7 is a standard protocol for medical information exchange, and includes patient management, order, inquiry, finance, examination report, master file, information management, reservation, patient referral, patient care, laboratory automation, application management, personnel management, etc. It is for handling information exchange.
  • the Continua Alliance has developed guidelines for interconnecting systems, focusing on three areas: preventive health and wellness, chronic disease management, and elderly independent living (Aging Independently). , It is an organization that performs connectivity verification and logo certification using actual devices.
  • DICOM is a standard that defines the format of medical images developed by the American Association of Radiology (ACR) and the North American Electronics Industries Association (NEMA) and the communication protocol between medical imaging devices that handle those images. That is, DICOM is for handling medical images captured by CT (Computed Tomography), MRI (Magnetic Resonance Imaging), CR (Computed Ragiography) or the like.
  • the authentication ID generation unit 320 applies a hash function, which is one of the one-way functions, to a combination of a part or all of personal attribute information, a deletion password, and a data ID for each personal attribute information. To generate an authentication ID. Then, the authentication ID generation unit 320 outputs the generated authentication ID to the anonymization unit 330, and outputs the authentication ID and the deletion password used to generate the authentication ID to the anonymization information processing request unit 350.
  • a hash function which is one of the one-way functions
  • the anonymization unit 330 acquires the personal attribute information stored in the information non-sharing unit 310, adds the authentication ID input from the authentication ID generation unit 320 to the personal attribute information, and generates anonymization information. Then, the anonymization unit 330 outputs the generated anonymization information to the information sharing unit 340.
  • the information sharing unit 340 shares anonymization information with the information sharing unit 340 of another anonymization information sharing apparatus 300 using, for example, an arbitrary peer-to-peer (P2P) protocol.
  • P2P peer-to-peer
  • This deletion request is for requesting deletion of the anonymization information held by the information sharing unit 340 of the anonymization information sharing device 300r in the request destination anonymization information sharing device 300r. More specifically, when there is anonymization information whose authentication ID matches the result of applying the hash function to a part or all of the anonymization information and the deletion password, the deletion request is the anonymization information Request the deletion of
  • the anonymization information sharing apparatus 300 applies the hash function to the combination of a part or all of each anonymization information held and the deletion password included in the deletion request, and the authentication ID of the anonymization information. And the corresponding anonymization information can be deleted according to the deletion request.
  • the anonymization information sharing device 300 can delete such anonymization information without specifically identifying or disclosing personal information.
  • the anonymization information sharing apparatus 300 enables sharing of the anonymization information on the distributed network, and a state in which the output source of the anonymization information once shared is anonymized. Allows only the output source to be deleted.
  • FIG. 4 is a diagram schematically showing an outline of processing from sharing of anonymization information to deletion.
  • the anonymization information sharing apparatus 300s generates a verification ID 430 by applying a hash function to a combination of a part of the personal attribute information 410, the data ID 415, and the delete password 420. Do.
  • the anonymization information sharing device 300s holds, in its own information sharing unit 340, the anonymization information 440 in which the authentication ID 430 is incorporated in the personal attribute information 410, and the other anonymization information It transmits to the sharing device 300r.
  • the same anonymization information 440 is held in the l information sharing unit 340 of the anonymization information sharing apparatus 300 s and the information sharing unit 340 of the anonymization information sharing apparatus 300 r.
  • the anonymization information sharing device 300s of the output source receives a deletion instruction of the anonymization information 440 from the user or the like, the deletion request including the deletion password 420 is shared with other anonymization information sharing Send to device 300r.
  • All the anonymization information sharing devices 300 of the anonymization information sharing system 100 use the same hash function. Then, all the anonymization information sharing devices 300 of the anonymization information sharing system 100 can extract the authentication ID 430 from the anonymization information 440, and can extract the deletion password 420 from the deletion request. Therefore, in the anonymization information sharing system 100, the anonymization information sharing apparatus 300s of the output source can delete the anonymization information 440 in response to the deletion request.
  • the authentication ID 430 is generated by a hash function which is a one-way function, a third party can not identify the original deleted password from the authentication ID 430. Therefore, devices other than the output source of the shared anonymization information 440 spoof a deletion request to delete the anonymization information 440 even if the authentication ID 430 of the anonymization information 440 is known, and the anonymization information 440 Can not be removed.
  • FIG. 5 is a flowchart showing the operation of the anonymization information sharing apparatus 300.
  • step S1000 the anonymization unit 330 determines whether there is an instruction to output anonymization information.
  • This instruction is, for example, an instruction by a user operation.
  • the anonymization unit 330 receives an instruction to output anonymization information (S1000: YES)
  • the process proceeds to step S2000.
  • the anonymization unit 330 proceeds to step S3000 as it is.
  • step S2000 the anonymization information sharing device 300s executes anonymization information output processing, and proceeds to step S3000.
  • the anonymization information output process is a process of generating anonymization information and outputting the generated anonymization information to another anonymization information sharing apparatus 300 r for sharing.
  • FIG. 6 is a flowchart showing anonymization information output processing.
  • authentication ID generation unit 320 applies a hash function to a part of personal attribute information, a delete password prepared in advance, and a data ID to be assigned to each data corresponding to anonymization information.
  • the deletion password is preferably a password different for each personal attribute information, such as, for example, a character string in which an 8-digit random number is added to the date, year, month, day and hour when the personal attribute information is registered.
  • the authentication ID generation unit 320 outputs the generated authentication ID to the anonymization unit 330. Note that these processes may be performed prior to the process of step S1000 in FIG.
  • the anonymization unit 330 acquires personal attribute information from the information non-sharing unit 310. Then, the anonymization unit 330 adds the authentication ID and the data ID input from the authentication ID generation unit 320 to the acquired personal attribute information to generate anonymization information.
  • the data ID is preferably a password different for each personal attribute information, such as, for example, a character string in which a 3-digit serial number is added to the date, year, month, day and hour when the personal attribute information is registered. Note that these processes may be performed prior to the process of step S1000 in FIG. Then, the anonymization unit 330 outputs the generated anonymization information to the information sharing unit 340.
  • step S2300 the information sharing unit 340 outputs (sends) the anonymization information newly input from the anonymization unit 330 to another anonymization information sharing apparatus 300r, and returns to the process of FIG.
  • the information sharing unit 340 of the anonymization information sharing apparatus 300 s and the information sharing unit 340 of the anonymization information sharing apparatus 300 r can be performed by the processing of step S 4000 described later with another anonymization information sharing apparatus 300 r. And shared with.
  • step S3000 of FIG. 5 the information sharing unit 340 determines whether anonymization information has been received from another anonymization information sharing device 300s. When the information sharing unit 340 receives the anonymization information (S3000: YES), the process proceeds to step S4000. If the information sharing unit 340 has not received the anonymization information (S3000: NO), the process proceeds directly to step S5000.
  • step S5000 the anonymization information processing request unit 350 determines whether an instruction to delete the shared anonymization information has been issued.
  • This instruction is, for example, an instruction by a user operation.
  • the anonymization information processing request unit 350 receives an instruction to delete anonymization information (S5000: YES)
  • the process proceeds to step S6000.
  • the anonymization information processing request unit 350 proceeds to step S7000 as it is.
  • step S7000 the anonymization information processing unit 360 determines whether a deletion request has been received from another anonymization information sharing device 300s.
  • the anonymization information processing unit 360 receives the deletion request (S7000: YES)
  • the process proceeds to step S8000. If the anonymization information processing unit 360 has not received the deletion request (S7000: NO), the process proceeds directly to step S9000.
  • step S8000 the anonymization information sharing device 300r executes the anonymization information deletion process.
  • the anonymization information deletion process is a process of appropriately deleting the anonymization information held by the information sharing unit 340 in response to the deletion request.
  • FIG. 7 is a flowchart showing anonymization information deletion processing.
  • step S8200 the anonymization information processing unit 360 selects one of the anonymization information held by the information sharing unit 340.
  • step S8300 the anonymization information processing unit 360 generates a combination of the acquired deletion password, the data ID included in the selected anonymization information, and the personal attribute information included in the selected anonymization information. Apply the hash function.
  • step S8400 the anonymization information processing unit 360 determines whether the result of applying the hash function matches the authentication ID of the anonymization information being selected. If the application result and the authentication ID match (S8400: YES), the anonymization information processing unit 360 proceeds to step S8500. When the application result and the authentication ID do not match (S8400: NO), the anonymization information processing unit 360 proceeds to step S8600.
  • step S8500 the anonymization information processing unit 360 deletes the selected anonymization information from the information sharing unit 340, and the process proceeds to step S8600.
  • the anonymization information is deleted according to the deletion request.
  • step S8600 the anonymization information processing unit 360 determines whether or not the anonymization information held in the information sharing unit 340 has an unselected one. If there is unselected anonymization information (S8600: YES), the anonymization information processing unit 360 returns to step S8200, selects the unselected anonymization information, and repeats the process. In addition, when there is no unselected anonymization information (S8600: NO), the anonymization information processing unit 360 returns to the process of FIG. As a result, the anonymization information sharing apparatus 300 s can delete the anonymization information output by itself even when there is a plurality of anonymization information held in another anonymization information sharing apparatus 300 r.
  • the target of the determination may be specified by transmitting a pair of the deletion password and the data ID and requesting deletion.
  • the anonymization information sharing device 300r that has received the anonymization information can narrow down the anonymization information first based on the data ID and then apply the hash function, so the processing load and processing time are greatly reduced. Can be reduced to
  • step S9000 the anonymization information sharing device 300 determines whether an instruction to end the process has been issued. This instruction is, for example, an instruction by a user operation. If the anonymization information sharing apparatus 300 has not been instructed to end the process (S9000: NO), the process returns to step S1000. When the anonymization information sharing apparatus 300 is instructed to finish the process (S9000: YES), the series of processes is finished.
  • the anonymization information sharing apparatus 300 includes the deletion password of the deletion request, the data ID included in the anonymization information, and part of the personal attribute information included in the anonymization information. Apply a hash function to the combination. Then, the anonymization information sharing device 300 deletes the anonymization information based on the matching between the result and the authentication ID of the anonymization information. This enables only the output source of the anonymization information to cause the other anonymization information sharing apparatus 300r to execute predetermined processing regarding the anonymization information while holding the anonymized state. That is, the anonymization information sharing apparatus 300 according to the present embodiment can continue the management by the output source for the anonymization information shared in the distributed management type network.
  • the anonymization information sharing device 300 executes the above steps and simultaneously transfers the deletion password to all or some of the anonymization information sharing devices shared by the terminal. . This can make it difficult to find which device has issued the delete request.
  • FIG. 8 is a block diagram showing the configuration of the anonymized information sharing apparatus according to the second embodiment of the present invention, and corresponds to FIG. 3 of the first embodiment.
  • the same parts as those in FIG. 3 are denoted by the same reference numerals, and the description thereof is omitted.
  • the anonymization information sharing device 300a that is an output source of anonymization information is appropriately described as the anonymization information sharing device 300as, and the anonymization information sharing device 300a of the output destination of the anonymization information is anonymized information sharing It is written as device 300ar.
  • the functional units of the anonymized information sharing apparatus 300 as that is the output source of the anonymized information are personal attribute information storage unit 370 a, data ID storage unit 380 a, and personal identification risk in addition to the respective functional units in FIG. It has a monitoring unit 390a.
  • the data ID storage unit 380a stores in advance a personal password arbitrarily set by the user. In addition, the data ID storage unit 380a holds a data ID identifying each piece of information in the anonymization information sharing device 300as.
  • the data ID is a part of key information when generating the one-time password, which is different for each personal attribute information, and is public key information for authenticating the operation authority of the personal attribute information.
  • the data ID is created for each anonymization information sharing apparatus by an arbitrary method or an arbitrary ID system using the same method, and is stored in the data ID storage unit 380a. It is memorized.
  • anonymization unit 330 converts the authentication ID into information (anonymization) such that the anonymity state is more easily maintained, and generates anonymization information.
  • authentication ID generation unit 320 applies a hash function to the combination of the data ID and the personal password to generate the deletion password. Then, as in the first embodiment, authentication ID generation unit 320 applies a hash function to the combination of the generated deletion password, data ID, and part or all of the personal attribute information to perform authentication. It shall generate an ID. That is, in the present embodiment, not only the authentication ID but also the deletion password has different contents for each anonymization information.
  • the anonymization information processing request unit 350 generates the deletion password by the same process as the authentication ID generation unit 320.
  • the personal identification risk monitoring unit 390 a monitors the personal identification risk of the anonymized information sharing device 300 as based on the anonymization information held by the information sharing unit 340.
  • the personal identification risk refers to the individual who outputs the anonymization information output from the anonymization information sharing apparatus 300 as, a high risk of identifying the anonymization information sharing apparatus 300 a linked to an individual. Shall be said. Then, when the personal identification risk is high, the personal identification risk monitoring unit 390 a instructs the anonymization information processing request unit 350 to delete the anonymized information having a high personal identification risk.
  • the simplest method of realizing authentication using a delete password and an authentication ID is to use a hash value of a personal password as an authentication ID and use a personal password as a delete password.
  • the anonymization information sharing apparatus 300a applies a hash function to the combination of the data ID and the personal password to generate a unique deletion password, thereby preparing and managing the deletion password for each data. There is no need to
  • the anonymization information sharing device 300a can change the deletion password and the authentication ID for each anonymization information. Thereby, the anonymization information sharing device 300a can reduce the risk that the third party tracks the action based on the deletion password and the authentication ID.
  • the anonymized information sharing device 300a can delete the anonymized information to reduce the personal identification risk.
  • personal identification risk for example, there are no other devices that are in the same time zone at the same location as the own device, and if the anonymization information is left as it is, the anonymity of the output source of the anonymization information is It is a situation that may be lost.
  • FIG. 9 is a view schematically showing anonymization of personal attribute information in the anonymization unit 330. As shown in FIG.
  • the anonymization unit 330 determines the time range 521 as a representative value of the time information 511 of the personal attribute information 510 t to 510 t + m .
  • the anonymization unit 330 determines a position range 522 as a representative value of the position range 512 of the first to n-th representative data 523 1 to 523 n .
  • the anonymization unit 330 sets the first to nth representative data as the representative value of each of the first to nth data bodies 513 1 to 513 n of the first to nth representative data 523 1 to 523 n . Determine 523 1 to 523 n .
  • the position range 522 includes, for example, latitude and longitude information G at the center position of the distribution range of position information from time t to time t + m, and a radius r from the center position of the distribution range.
  • the representative data 523 is a data main body at any time, frequently appearing words or values, an average value or the like.
  • FIG. 10 is a diagram schematically showing an outline of processing from sharing of anonymization information to deletion in the present embodiment, and corresponds to FIG. 4 of the first embodiment.
  • the anonymization information sharing apparatus 300 as has a hash function for the combination of the data ID 620, a part or all of the personal attribute information 610 (here, representative data), and the delete password 640. Apply Thereby, the anonymization information sharing device 300 as generates an authentication ID 650.
  • the anonymization information sharing device 300as of the output source instructs the personal identification risk monitoring unit 390a or the like to delete the shared anonymization information 660.
  • the anonymization information sharing device 300a can make each information (hereinafter referred to as "additional information") additionally transmitted and received for use in managing the anonymization information be in an anonymized state.
  • FIG. 12 is a flowchart showing anonymization information output processing according to the present embodiment, which corresponds to FIG. 6 of the first embodiment. The same steps as in FIG. 6 are assigned the same step numbers, and the explanation thereof is omitted.
  • FIG. 13 is a flowchart showing the risk monitoring process.
  • the personal identification risk monitoring unit 390a determines whether or not there is a group in which the number of pieces of anonymization information making up the group is equal to or smaller than a threshold k.
  • the threshold k is a value that is predetermined according to the permitted personal identification risk. That is, the threshold value k is the maximum population of a group where a specific individual is likely to be identified among the groups satisfying the condition that the time range and the position range overlap.
  • step S4530a the personal identification risk monitoring unit 390a instructs the anonymization information processing request unit 350 to delete the anonymization information of its own device in the group where the number of anonymization information is equal to or less than the threshold value k, as shown in FIG.
  • the anonymization information sharing device 300 as can detect this and instruct deletion of the anonymization information.
  • the deletion request transmission process is executed as Step S6000a.
  • the deletion request transmission process is a process of transmitting a deletion request for requesting deletion of the deletion designated anonymization information to another anonymization information sharing apparatus 300ar.
  • the personal identification risk monitoring unit 390a anonymizes the own device of the group Can be removed.
  • the personal identification risk monitoring unit 390a widens the position range based on the number of anonymized information that the individual grasps.
  • the personal identification risk monitoring unit 390a may re-set the anonymization information by re-setting various conditions at the time of creating the anonymization information, such as expanding the time range, and sharing again.
  • the personal identification risk monitoring unit 390a may be used to set a position range and a time range so as to reduce the personal identification risk before generating the anonymization information.
  • step S6010a the personal identification risk monitoring unit 390a acquires the data ID of the anonymized information for which deletion has been designated. Then, the personal identification risk monitoring unit 390a outputs the acquired data ID and the preset personal password to the anonymization information processing request unit 350.
  • step S6020a the anonymization information processing request unit 350 applies a hash function to the combination of the input data ID and the input personal password. Thereby, the anonymization information processing request unit 350 generates a deletion password.
  • step S6030a the anonymization information processing request unit 350 transmits a deletion request including the generated deletion password to the other anonymization information sharing apparatus 300ar, and returns to the processing of FIG.
  • the anonymization information sharing device 300 as can delete the anonymization information for which deletion is instructed by the personal identification risk monitoring unit 390 a or the like from the information sharing unit 340 of each anonymization information sharing device 300 a.
  • the anonymization information sharing apparatus 300a deletes the result of applying the one-way function to the data ID different for each anonymization information and the personal password different for each user. Used as Thereby, the anonymization information sharing apparatus 300a according to the present embodiment can ensure the anonymity of the output source of the deletion request.
  • the anonymization information sharing apparatus 300a applies a one-way function to other information that is different for each anonymization information, such as only the data ID or a part or all of the personal attribute information, and the deletion password May be generated.
  • the anonymization information sharing device 300a uses only the time range, the position range, or the data ID, etc. included in the anonymization information as the deletion password. You may combine them.
  • the anonymization information sharing apparatus 300a may determine whether the personal identification risk is high, using a criterion other than the above-described example. For example, the anonymization information sharing device 300a determines that the personal identification risk is high when the user's action history continues for a predetermined time or more, and some anonymization information is determined so that the continuity is lost. You may delete it.
  • the one-way function used when generating the delete password and the authentication ID is a hash function, but various other one-way functions can be used.
  • the process performed on the shared anonymized information is not limited to deletion.
  • the output of the anonymization information such as a correction to the contents of the anonymization information, a change in the management state of the anonymization information in another anonymization information sharing apparatus (prohibition of disclosure to a third party, etc.)
  • Various processes that are permitted only to the original can be applied.
  • An anonymization information sharing apparatus and an anonymization information sharing method according to the present invention can continue management by an output source with respect to anonymization information shared in a distributed management type network, and anonymization information sharing apparatus It is useful as an information sharing method.
  • the present invention is also useful in an information sharing system for posting information to a central system when sharing information that may identify a specific individual such as user's location information.
  • the present invention can be applied to the use of a position sharing type service in which the service provider does not manage the position of the user, for example, life stream service such as twitter (registered trademark).
  • life stream service such as twitter (registered trademark).
  • anonymization information sharing system 200 communication network 300, 300a anonymization information sharing apparatus 310 information non-sharing unit 320 authentication ID generation unit 330 anonymization unit 340 information sharing unit 350 anonymization information processing request unit 360 anonymization information processing unit 370a personal Attribute information storage unit 380a Data ID storage unit 390a Personal identification risk monitoring unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Medical Informatics (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

　分散管理型のネットワークで共有される匿名化情報に対し、出力元による管理を継続することができる匿名化情報共有装置。この装置（３００ｓ）は、共有化対象情報の一部または全部と処理パスワードとの組み合わせに対して第１の一方向性関数を適用して、認証ＩＤを生成する認証ＩＤ生成部（３２０）と、認証ＩＤを共有化対象情報に付加して、匿名化情報を生成する匿名化部（３３０）と、匿名化情報を出力して他の装置に保持させる情報共有部（３４０）と、処理パスワードを含む処理要求を送信し、他の装置に対して、他の装置が保持する匿名化情報の一部または全部と処理パスワードとの組み合わせに対して第１の一方向性関数を適用した結果と匿名化情報の認証ＩＤとの一致性に基づき、保持させた匿名化情報に対して、出力元にのみ許可される所定の処理の実行を要求する匿名化情報処理要求部（３５０）とを有する。

Description

匿名化情報共有装置および匿名化情報共有方法
　本発明は、出力元が匿名化された匿名化情報を他の装置との間で共有する匿名化情報共有装置および匿名化情報共有方法に関する。
　携帯電話機からの呼び出し通報に対する警察等の迅速な対応を目的として、現在位置を特定する機能を携帯電話機に搭載することの法制化が進められている。また、これに伴い、全地球的測位システムの１つであるＧＰＳ（global positioning system）を搭載した携帯電話機の普及が進んでいる。一方で、第三世代携帯通信網により、携帯電話機からインターネットへの接続が容易となってきている。
　このような技術背景により、近年、ＧＰＳ機能を待ち受けアプリケーションとして常時起動しておくことを前提とした位置情報取得と、インターネットとを活用した、各種のサービスが登場している。例えば、位置情報が付加された一連の情報を、そのユーザの行動履歴として他者と共有するような、ライフストリーム（Life Stream）サービスやライフログ（Life Log）サービス（以下、「ライフストリームサービス」と総称する）は、その１つである。
　ライフストリームサービスの場合、情報の受信側で、情報の提供者（出力元）を識別し直す必要がある。なぜなら、同一のユーザによって提供された複数の情報が、同一のユーザによって提供されたものであることを示す必要があるからである。一方で、プライバシー確保の観点から、共有される個々の情報の出力元の匿名化を行う必要がある。
　したがって、このようなサービスでは、通常、ハンドルネーム等の個人情報以外の識別情報が、情報の出力元を特定するために用いられる。ここで、匿名化とは、個人を特定可能な情報（個人情報）が知られない状態にすることをいうものとする。また、出力元が匿名化された情報を「匿名化情報」というものとする。
　一方で、健康管理や病気のモニタリングに活用することを目的とした各種のサービスやシステムに、ライフストリームサービスを適用することが、注目されている。このようなサービスおよびシステムとしては、生活習慣改善ＡＳＰ（Application Service Provider）サービス、高齢者向け健康管理システム、活動量計や通信機能付血圧計が挙げられる。
　例えば、受信者の治療記録である診療情報は、従来では、医療機関ごとに保管されていた。ＥＭＲ（Electric Medical Record）等、受信者の治療記録である診療情報を電子化した電子カルテを、複数の医療機関がネットワーク上で共有する仕組みはあったが、大きな投資が必要であることから、このような仕組みは普及していない。
　これに対して、健康増進や病気予防、治療等へ役立てることを目的に、個人が自身の身体情報、行動情報、診療情報、処方箋情報等を収集、記録、活用するＰＨＲ（Personal Health Record）の導入が期待されている。
　ＰＨＲに上述のライフストリームサービスを適用することにより、医療機関は、医療機関毎に保管されるユーザの診療情報に加えて、身体情報や行動情報等を簡単に取得し、ユーザの生活習慣を把握することができる。更に、ＰＨＲに上述のライフストリームサービスを適用することにより、個人は、トレーニングでランニングした位置情報に加えて、健康管理情報を対応させて管理し、情報の一部を友人と共有したり公開したりすることができる。
　ところが、情報の閲覧者は、自分の位置の周辺に関する情報を検索して閲覧し、身近に起きた事柄に関する他者の情報を見付けることができる。したがって、状況によっては、匿名化情報の位置情報等から、匿名化情報の出力元の匿名性が失われてしまう可能性がある。
　例えば、あるユーザが、あるバス停で近所の住民と二人で並んでいた後に、ライフストリームサービスにおいてその時刻にそのバス停に居た旨の書き込み情報を発見したとする。この場合、ユーザは、その情報の書き込み主が、バス停に一緒に居た住民であることを特定することになる。
　このような事態は、情報の出力元が、状況に応じて匿名化情報を修正または削除することにより、防ぐことが可能である。したがって、匿名化情報の出力元は、共有化された後でも自己の匿名化情報に関する処理を自由に行うことができ、実質的に匿名化情報を自己の管理下に置けることが望ましい。
　そこで、特許文献１に記載の、出力元による匿名化情報の管理の継続を可能にする技術を、ライフストリームサービスに適用することが考えられる。
　図１は、特許文献１記載の匿名化情報共有装置の構成を示すブロック図である。
　図１に示すように、匿名化情報共有装置１０は、匿名化情報の出力元を特定する個人ＩＤ番号を取得する個人ＩＤ記憶部１１と、個人ＩＤ番号に対して一方向性関数を適用して匿名化番号を作成する匿名化番号作成部１２とを有する。
　匿名化情報共有装置１０は、各匿名化情報と匿名化番号とを対応付けた対応表を管理している。匿名化情報共有装置１０は、対応表破棄部１３によって、この対応表を、必要に応じて破棄する。また、匿名化情報共有装置１０は、個人ＩＤを渡されて匿名化情報に関する所定の処理の実行を要求されたとき、匿名化番号作成部１２においてその個人ＩＤから匿名化番号を再作成する。そして、匿名化情報共有装置１０は、再作成した匿名化番号に対応付けられた匿名化情報に対して、要求された処理を実行する。
　これにより、匿名化情報共有装置１０は、一旦共有化された匿名化情報に対し、匿名化情報の出力元および所有者以外に対しては匿名化情報の匿名性を保持したまま、出力元による管理を継続させることができる。
国際公開第２００８／０６９０１１号パンフレット
　特許文献１記載の技術は、病院のような権限が１箇所に集中した運用形態等、１つの装置で匿名化情報の保持および匿名化番号の管理を行うような集中管理型のネットワークにおいては有効である。
　しかしながら、特許文献１記載の技術は、上述のような、ｔｗｉｔｔｅｒ（登録商標）等の、不特定または特定多数が情報を投稿、閲覧するシステムや、特定端末間が直接通信するＰ２Ｐ（Peer to Peer）システム等の分散管理型のネットワークでは、匿名化情報管理の継続が困難であるという課題を有する。なぜなら、このようなネットワークでは、投稿等により一旦共有されてしまった匿名化情報（所有者が不特定である匿名化情報）を、削除する必要があるからである。
　本発明の目的は、分散管理型のネットワークで共有される匿名化情報に対し、出力元による管理を継続することができる匿名化情報共有装置および匿名化情報共有方法を提供することである。
　本発明の匿名化情報共有装置は、出力元が匿名化された匿名化情報を他の装置との間で共有する匿名化情報共有装置であって、共有化対象情報毎に、前記共有化対象情報の一部または全部と処理パスワードとの組み合わせに対して第１の一方向性関数を適用して、認証ＩＤを生成する認証ＩＤ生成部と、生成された前記認証ＩＤを共有化対象情報に付加して、匿名化情報を生成する匿名化部と、生成された前記匿名化情報を出力して前記他の装置に保持させる情報共有部と、前記処理パスワードを含む処理要求を生成して前記他の装置へ送信し、前記他の装置に対して、前記他の装置が保持する匿名化情報の一部または全部と前記処理パスワードとの組み合わせに対して前記第１の一方向性関数を適用した結果と前記他の装置が保持する匿名化情報の認証ＩＤとの一致性に基づき、前記他の装置に保持させた匿名化情報に対して、出力元にのみ許可される所定の処理の実行を要求する匿名化情報処理要求部とを有する。
　本発明の匿名化情報共有装置は、出力元が匿名化された、共有化対象情報と認証ＩＤとを含む匿名化情報を、他の装置との間で共有する匿名化情報共有装置であって、前記他の装置から出力された前記匿名化情報を保持する情報共有部と、前記他の装置から、処理パスワードを含む処理要求を受信したとき、前記情報共有部が保持する前記匿名化情報毎に、前記匿名化情報の共有化対象情報の一部または全部と前記処理パスワードとの組み合わせに対して第１の一方向性関数を適用した結果と、前記匿名化情報の認証ＩＤとの一致性に基づき、前記匿名化情報に関する所定の処理を実行するか否かを判断する匿名化情報処理部とを有する。
　本発明の匿名化情報共有方法は、出力元が匿名化された匿名化情報を他の装置との間で共有する匿名化情報共有方法であって、共有化対象情報毎に、前記共有化対象情報の一部または全部と処理パスワードとの組み合わせに対して第１の一方向性関数を適用して、認証ＩＤを生成するステップと、生成した前記認証ＩＤを共有化対象情報に付加して、匿名化情報を生成するステップと、生成した前記匿名化情報を出力して前記他の装置に保持させるステップと、前記処理パスワードを含む処理要求を生成して前記他の装置へ送信し、前記他の装置に対して、前記他の装置が保持する匿名化情報の一部または全部と前記処理パスワードとの組み合わせに対して前記第１の一方向性関数を適用した結果と前記他の装置が保持する匿名化情報の認証ＩＤとの一致性に基づき、前記他の装置に保持させた匿名化情報に対して、出力元にのみ許可される所定の処理の実行を要求するステップとを有する。
　本発明によれば、匿名化情報の出力元のみが、匿名化された状態を保持しつつ、匿名化情報に対する処理権限を持つ処理要求であることを認証し、匿名化情報に関する所定の処理を、匿名化情報を保持する装置に対して実行させることができる。すなわち、本発明は、分散管理型のネットワークで共有される匿名化情報に対し、出力元による管理を継続することができる。
従来の匿名化情報共有装置の構成の一例を示すブロック図 本発明の実施の形態１に係る匿名化情報共有装置を含む匿名化情報共有システムの構成の一例を示すシステム構成図 本実施の形態に係る匿名化情報共有装置の構成を示すブロック図 本実施の形態１における処理の概要を模式的に示す図 本実施の形態１に係る匿名化情報共有装置の動作を示すフローチャート 本実施の形態１における匿名化情報出力処理を示すフローチャート 本実施の形態１における匿名化情報削除処理を示すフローチャート 本発明の実施の形態２に係る匿名化情報共有装置の構成を示すブロック図 本実施の形態２における個人属性情報の匿名化を模式的に示す図 本実施の形態２における処理の概要を模式的に示す図 本実施の形態２に係る匿名化情報共有装置の動作を示すフローチャート 本実施の形態２における匿名化情報出力処理を示すフローチャート 本実施の形態２におけるリスク監視処理を示すフローチャート 本実施の形態２における削除要求送信処理を示すフローチャート
　以下、本発明の各実施の形態について、図面を参照して詳細に説明する。
　（実施の形態１）
　図２は、本発明の実施の形態１に係る匿名化情報共有装置を含む匿名化情報共有システムの構成の一例を示すシステム構成図である。
　図２において、匿名化情報共有システム１００は、通信ネットワーク２００を介して互いに無線通信を行う、第１～第ｊの匿名化情報共有装置３００－１～３００－ｊを有する。第１～第ｊの匿名化情報共有装置３００－１～３００－ｊは、中央管理サーバ等を用いずに、互いの匿名化情報を送信し合って共有化する。すなわち、匿名化情報共有システム１００は、分散管理型のネットワークにおいて、匿名化情報の共有を行うシステムである。
　第１～第ｊの匿名化情報共有装置３００－１～３００－ｊは同一の構成を有する。したがって、以下、適宜、これらは、匿名化情報共有装置３００と総称する。また、本実施の形態において、適宜、ある匿名化情報の出力元の匿名化情報共有装置３００は、匿名化情報共有装置３００ｓと表記し、その匿名化情報の出力先の匿名化情報共有装置３００は、匿名化情報共有装置３００ｒと表記する。
　図３は、匿名化情報共有装置３００の構成を示すブロック図である。ここでは、匿名化情報を送信（出力）する際に使用される機能部と、匿名化情報を受信（入力）する際に使用される機能部とを分けて図示する。
　図３に示すように、匿名化情報の出力元である匿名化情報共有装置３００ｓは、情報非共有部３１０、認証ＩＤ生成部３２０、匿名化部３３０、情報共有部３４０、および匿名化情報処理要求部３５０を有する。また、匿名化情報の出力先である匿名化情報共有装置３００ｒは、上述の情報共有部３４０と、匿名化情報処理部３６０とを有する。
　情報蓄積部３１０は、共有化の対象となるデータであって、データ本体に時刻情報および位置情報が付加されたデータ（共有化対象情報、以下「個人属性情報」という）を格納する。
　時刻情報および位置情報は、例えば、ＧＰＳ（global positioning system）信号から取得された、日本標準時および現在位置の緯度経度である。データ本体は、例えばユーザの入力テキスト、センサが観測する脈拍や血圧等の生体信号情報、あるいは、歩数や活動強度等の活動量情報等である。
　なお、データ本体の情報フォーマットの一部または全部は、限定しないが、ＨＬ７（Health Level Seven）、Ｃｏｎｔｉｎｕａ　Ａｌｌｉａｎｃｅのガイドライン、ＤＩＣＯＭ（Digital Imaging and Communication）等で規定されたフォーマットとしても良い。また、データ本体は、これらのフォーマットで記述される情報の一部または全部を用いたものであっても良い。
　ＨＬ７は、医療情報交換のための標準規約であり、患者管理、オーダ、照会、財務、検査報告、マスタファイル、情報管理、予約、患者紹介、患者ケア、ラボラトリオートメーション、アプリケーション管理、人事管理等の情報交換を取り扱うためのものである。
　Ｃｏｎｔｉｎｕａ　Ａｌｌｉａｎｃｅは、予防的な健康管理（Health and Wellness）、慢性疾患管理（Disease Management）、高齢者の自立生活（Aging Independently）の３分野を中心に、システムの相互接続のためのガイドラインを策定し、実機器を用いた接続性検証やロゴ認証を行っている団体である。
　ＤＩＣＯＭは、米国放射線学会（ＡＣＲ）と北米電子機器工業会（ＮＥＭＡ）が開発した医用画像のフォーマットと、それらの画像を扱う医用画像機器間の通信プロトコルとを定義した、標準規格である。すなわち、ＤＩＣＯＭは、ＣＴ（Computed Tomography）やＭＲＩ（Magnetic Resonance Imaging）、ＣＲ（Computed Ragiography）等で撮影した医用画像を取り扱うためのものである。
　また、データ本体は、Ｇｏｏｇｌｅ　ＨｅａｌｔｈやＭｉｃｒｏｓｏｆｔ　Ｈｅａｌｔｈ　Ｖａｕｌｔといった健康情報記録サービスの情報そのものでも良い。また、データ本体は、健康情報記録サービスの情報へのリンク情報や、健康情報記録サービスのＡＰＩ（Application Program Interface）を介して得られる情報であっても良い。
　認証ＩＤ生成部３２０は、個人属性情報ごとに、個人属性情報の一部または全部と、削除パスワードと、データＩＤとの組み合わせに対して、一方向性関数の１つであるハッシュ関数を適用して、認証ＩＤを生成する。そして、認証ＩＤ生成部３２０は、生成した認証ＩＤを匿名化部３３０へ出力し、認証ＩＤと、認証ＩＤの生成に用いた削除パスワードとを、匿名化情報処理要求部３５０へ出力する。
　匿名化部３３０は、情報非共有部３１０に格納された個人属性情報を取得し、認証ＩＤ生成部３２０から入力された認証ＩＤを個人属性情報に付加して、匿名化情報を生成する。そして、匿名化部３３０は、生成した匿名化情報を、情報共有部３４０へ出力する。
　情報共有部３４０は、出力元の匿名化情報共有装置３００ｓにおいて、匿名化部３３０から入力された匿名化情報を、出力先の匿名化情報共有装置３００ｒの情報共有部３４０に送信する。また、情報共有部３４０は、出力先の匿名化情報共有装置３００ｒにおいて、他の匿名化情報共有装置３００ｓから送られてきた匿名化情報を受信し、これを保持する。
　すなわち、情報共有部３４０は、他の匿名化情報共有装置３００の情報共有部３４０との間で、例えば任意のピア・ツー・ピア（Ｐ２Ｐ）プロトコルを用いて、匿名化情報を共有する。
　匿名化情報処理要求部３５０は、認証ＩＤ生成部３２０から入力された認証ＩＤに対応する個人属性情報を削除する場合に、その認証ＩＤに対応する削除パスワードを含む削除要求を、他の匿名化情報共有装置３００ｒへ送信する。
　この削除要求は、要求先の匿名化情報共有装置３００ｒにおいて、その匿名化情報共有装置３００ｒの情報共有部３４０が保持する匿名化情報の削除を要求するものである。より具体的には、削除要求は、匿名化情報の一部または全部と削除パスワードとに対してハッシュ関数を適用した結果と、認証ＩＤが一致する匿名化情報が存在するとき、その匿名化情報の削除を要求するものである。
　ここでは、削除要求は、匿名化情報の一部または全部として、個人属性データの一部とデータＩＤとを指定するものとする。また、ハッシュ関数を適用する際の情報の並べ方等は、予め定められているものとする。
　匿名化情報処理部３６０は、匿名化情報の出力先の匿名化情報共有装置３００ｒにおいて、匿名化情報の出力元の匿名化情報共有装置３００ｓから送られてきた削除要求を受信する。匿名化情報処理部３６０は、情報共有部３４０に保持する匿名化情報の一部または全部と削除要求に含まれる削除パスワードとの組み合わせに対して、ハッシュ関数を適用した結果と、情報共有部３４０に保持された匿名化情報の認証ＩＤとを比較する。そして、匿名化情報処理部３６０は、ハッシュ関数を適用した結果と認証ＩＤが一致する匿名化情報が存在するとき、その匿名化情報を削除する。
　なお、匿名化情報処理部３６０は、図示しないが、例えば、ＣＰＵ（central processing unit）、ＲＡＭ（random access memory）等の記憶媒体、複数のキースイッチ等から成る操作部、液晶ディスプレイ等から成る表示部、および無線通信回路を有する。この場合、上述の各機能部は、ＣＰＵが制御プログラムを実行することにより実現する。
　このような構成を有する匿名化情報共有装置３００は、個人属性情報から匿名化情報を生成し、生成した匿名化情報を他の匿名化情報共有装置３００と共有することができる。　
　また、匿名化情報共有装置３００は、共有する個人属性情報毎に、個人属性情報の一部と、削除パスワードと、データＩＤとの組み合わせに対してハッシュ関数を適用して生成した認証ＩＤを付加し、匿名化情報を生成することができる。
　また、匿名化情報共有装置３００は、匿名化情報に対する削除権限を持つ削除要求であることを認証する削除パスワードを含めた削除要求を行うことにより、自己が出力元である匿名化情報を削除することができる。
　そして、匿名化情報共有装置３００は、保持する各匿名化情報の一部または全部と削除要求に含まれる削除パスワードとの組み合わせに対してハッシュ関数を適用した結果と、その匿名化情報の認証ＩＤとが一致するとき、その削除要求に従い、該当する匿名化情報を削除することができる。
　また、匿名化情報共有装置３００は、特に個人情報を特定したり公開したりすることなく、このような匿名化情報の削除を行うことができる。
　したがって、本実施の形態の匿名化情報共有装置３００は、分散型ネットワーク上で匿名化情報の共有化を可能にし、かつ、一旦共有化された匿名化情報を、出力元が匿名化された状態を保持しつつ、出力元のみが削除することを可能にする。
　次に、匿名化情報の共有化から削除までに各匿名化情報共有装置３００で行われる処理の概要について説明する。
　図４は、匿名化情報の共有化から削除までの処理の概要を模式的に示す図である。
　まず、ある匿名化情報共有装置３００ｓは、図４Ａに示すように、個人属性情報４１０を、情報非共有部３１０から匿名化部３３０へと渡す。
　次に、匿名化情報共有装置３００ｓは、図４Ｂに示すように、削除パスワード４２０を、認証ＩＤ生成部３２０から匿名化部３３０へと渡す。
　そして、図４Ｃに示すように、匿名化情報共有装置３００ｓは、個人属性情報４１０の一部と、データＩＤ４１５と、削除パスワード４２０との組み合わせに対して、ハッシュ関数を適用して認証ＩＤ４３０を生成する。
　そして、図４Ｄに示すように、匿名化情報共有装置３００ｓは、認証ＩＤ４３０を個人属性情報４１０に組み込んだ匿名化情報４４０を、自己の情報共有化部３４０に保持すると共に、他の匿名化情報共有装置３００ｒに送信する。これにより、匿名化情報共有装置３００ｓのｌ情報共有化部３４０と匿名化情報共有装置３００ｒの情報共有部３４０には、同一の匿名化情報４４０が保持される。
　そして、図４Ｅに示すように、出力元の匿名化情報共有装置３００ｓは、匿名化情報４４０の削除指示がユーザ等からあった場合、削除パスワード４２０を含む削除要求を、他の匿名化情報共有装置３００ｒへ送信する。
　すると、図４Ｆに示すように、匿名化情報共有装置３００ｒは、匿名化情報処理部３６０において、情報共有部３４０に保持する匿名化情報の一部または全部（ここでは個人属性情報４１０の一部およびデータＩＤ４１５）と削除パスワード４２０との組み合わせに対してハッシュ関数を適用する。
　そして、図４Ｇに示すように、匿名化情報共有装置３００ｒは、ハッシュ関数の結果と、匿名化情報４４０に組み込まれた認証ＩＤ４３０とを比較し、これらが一致するときは、匿名化情報４４０を削除する。
　匿名化情報共有システム１００の全ての匿名化情報共有装置３００は、同一のハッシュ関数を用いる。そして、匿名化情報共有システム１００の全ての匿名化情報共有装置３００は、匿名化情報４４０から認証ＩＤ４３０を抽出することができ、削除要求から削除パスワード４２０を抽出することができる。したがって、匿名化情報共有システム１００では、出力元の匿名化情報共有装置３００ｓは、匿名化情報４４０を削除要求によって削除することができる。
　また、認証ＩＤ４３０は、一方向性関数であるハッシュ関数により生成されるため、第三者は認証ＩＤ４３０から元の削除パスワードを特定することができない。したがって、共有化された匿名化情報４４０の出力元以外の装置は、匿名化情報４４０の認証ＩＤ４３０が分かっていても、その匿名化情報４４０を削除する削除要求の成りすましを行い、匿名化情報４４０を削除することはできない。
　次に、匿名化情報共有装置３００の動作について説明する。
　図５は、匿名化情報共有装置３００の動作を示すフローチャートである。
　まず、ステップＳ１０００において、匿名化部３３０は、匿名化情報の出力の指示があったか否かを判断する。この指示は、例えば、ユーザ操作による指示である。匿名化部３３０は、匿名化情報の出力の指示があった場合は（Ｓ１０００：ＹＥＳ）、ステップＳ２０００へ進む。また、匿名化部３３０は、匿名化情報の出力の指示が無い場合は（Ｓ１０００：ＮＯ）、そのままステップＳ３０００へ進む。
　ステップＳ２０００において、匿名化情報共有装置３００ｓは、匿名化情報出力処理を実行し、ステップＳ３０００へ進む。匿名化情報出力処理は、匿名化情報を生成し、生成した匿名化情報を、他の匿名化情報共有装置３００ｒへ出力して共有化する処理である。
　図６は、匿名化情報出力処理を示すフローチャートである。
　まず、ステップＳ２１００において、認証ＩＤ生成部３２０は、個人属性情報の一部と、予め用意した削除パスワードと、匿名化情報に対応するデータ毎に付与するデータＩＤとに対して、ハッシュ関数を適用することにより、認証ＩＤを生成する。削除パスワードは、例えば、個人属性情報が登録された年月日時分秒に８桁の乱数を加えた文字列等、個人属性情報毎に異なるパスワードであることが望ましい。さらに、認証ＩＤ生成部３２０は、生成した認証ＩＤを匿名化部３３０へ出力する。なお、これらの処理は、図５のステップＳ１０００の処理よりも先に実行されていても良い。
　そして、ステップＳ２２００において、匿名化部３３０は、情報非共有部３１０から個人属性情報を取得する。そして、匿名化部３３０は、取得した個人属性情報に、認証ＩＤ生成部３２０から入力された認証ＩＤおよびデータＩＤを付加して、匿名化情報を生成する。データＩＤは、例えば、個人属性情報が登録された年月日時分秒に３桁の通し番号を加えた文字列等、個人属性情報毎に異なるパスワードであることが望ましい。なお、これらの処理は、図５のステップＳ１０００の処理よりも先に実行されていても良い。そして、匿名化部３３０は、生成した匿名化情報を、情報共有部３４０へ出力する。
　そして、ステップＳ２３００において、情報共有部３４０は、匿名化部３３０から新たに入力された匿名化情報を、他の匿名化情報共有装置３００ｒに出力（送信）し、図５の処理へ戻る。この結果、匿名化情報は、他の匿名化情報共有装置３００ｒでの後述のステップＳ４０００の処理により、匿名化情報共有装置３００ｓの情報共有部３４０と、匿名化情報共有装置３００ｒの情報共有部３４０との間で、共有化される。
　図５のステップＳ３０００において、情報共有部３４０は、他の匿名化情報共有装置３００ｓから匿名化情報を受信したか否かを判断する。情報共有部３４０は、匿名化情報を受信した場合は（Ｓ３０００：ＹＥＳ）、ステップＳ４０００へ進む。また、情報共有部３４０は、匿名化情報を受信していない場合は（Ｓ３０００：ＮＯ）、そのままステップＳ５０００へ進む。
　ステップＳ４０００において、情報共有部３４０は、受信した匿名化情報を保持し、ステップＳ５０００へ進む。
　ステップＳ５０００において、匿名化情報処理要求部３５０は、共有化した匿名化情報の削除の指示があったか否かを判断する。この指示は、例えば、ユーザ操作による指示である。匿名化情報処理要求部３５０は、匿名化情報の削除の指示があった場合は（Ｓ５０００：ＹＥＳ）、ステップＳ６０００へ進む。また、匿名化情報処理要求部３５０は、匿名化情報の削除の指示が無い場合は（Ｓ５０００：ＮＯ）、そのままステップＳ７０００へ進む。
　ステップＳ６０００において、匿名化情報処理要求部３５０は、削除パスワードを含む削除要求を、他の匿名化情報共有装置３００ｒへ送信し、ステップＳ７０００へ進む。
　ステップＳ７０００において、匿名化情報処理部３６０は、他の匿名化情報共有装置３００ｓから削除要求を受信したか否かを判断する。匿名化情報処理部３６０は、削除要求を受信した場合は（Ｓ７０００：ＹＥＳ）、ステップＳ８０００へ進む。また、匿名化情報処理部３６０は、削除要求を受信していない場合は（Ｓ７０００：ＮＯ）、そのままステップＳ９０００へ進む。
　ステップＳ８０００において、匿名化情報共有装置３００ｒは、匿名化情報削除処理を実行する。匿名化情報削除処理は、削除要求を受けて、情報共有部３４０が保持する匿名化情報を適宜削除する処理である。
　図７は、匿名化情報削除処理を示すフローチャートである。
　まず、ステップＳ８１００において、匿名化情報処理部３６０は、受信した削除要求の削除パスワードを取得する。
　そして、ステップＳ８２００において、匿名化情報処理部３６０は、情報共有部３４０が保持する匿名化情報の中から１つを選択する。
　そして、ステップＳ８３００において、匿名化情報処理部３６０は、取得した削除パスワードと、選択中の匿名化情報に含まれるデータＩＤと、選択中の匿名化情報に含まれる個人属性情報との組み合わせに対して、ハッシュ関数を適用する。
　ステップＳ８４００において、匿名化情報処理部３６０は、ハッシュ関数を適用した結果が、選択中の匿名化情報の認証ＩＤと一致するか否かを判断する。匿名化情報処理部３６０は、適用結果と認証ＩＤとが一致する場合は（Ｓ８４００：ＹＥＳ）、ステップＳ８５００へ進む。また、匿名化情報処理部３６０は、適用結果と認証ＩＤとが一致しない場合は（Ｓ８４００：ＮＯ）、ステップＳ８６００へ進む。
　ステップＳ８５００において、匿名化情報処理部３６０は、選択中の匿名化情報を、情報共有部３４０から削除して、ステップＳ８６００へ進む。この結果、出力元からの削除要求である場合には、その削除要求に従って、匿名化情報が削除される。
　ステップＳ８６００において、匿名化情報処理部３６０は、情報共有部３４０に保持されている匿名化情報に、未選択のものがあるか否かを判断する。匿名化情報処理部３６０は、未選択の匿名化情報がある場合は（Ｓ８６００：ＹＥＳ）、ステップＳ８２００へ戻り、未選択の匿名化情報を選択して処理を繰り返す。また、匿名化情報処理部３６０は、未選択の匿名化情報が無い場合は（Ｓ８６００：ＮＯ）、図５の処理へ戻る。この結果、匿名化情報共有装置３００ｓは、他の匿名化情報共有装置３００ｒに保持されている匿名化情報が複数存在する場合でも、自装置が出力した匿名化情報を削除させることができる。
　なお、本実施の形態では、情報共有部３４０が保持する匿名化情報毎に、削除パスワードと匿名化情報に含まれるデータＩＤに対してハッシュ関数を適用し、同じ匿名化情報に含まれる認証ＩＤと一致するか判断している。
　しかし、匿名化情報のどの部分に基づいて判断を行えば良いかは、上述の例に限定されるものではない。例えば、削除パスワードとデータＩＤとのペアを送信して削除要求することにより、判断の対象を指定してもよい。この場合、匿名化情報を受信した匿名化情報共有装置３００ｒは、まずデータＩＤに基づいて匿名化情報の絞り込みを行ってからハッシュ関数の適用を行うことができるので、処理負荷および処理時間を大幅に削減することができる。
　ステップＳ９０００において、匿名化情報共有装置３００は、処理の終了を指示されたか否かを判断する。この指示は、例えばユーザ操作による指示である。匿名化情報共有装置３００は、処理の終了を指示されていない場合は（Ｓ９０００：ＮＯ）、ステップＳ１０００へ戻る。また、匿名化情報共有装置３００は、処理の終了を指示された場合は（Ｓ９０００：ＹＥＳ）、一連の処理を終了する。
　以上のように、本実施の形態に係る匿名化情報共有装置３００は、削除要求の削除パスワードと、匿名化情報に含まれるデータＩＤと、匿名化情報に含まれる個人属性情報の一部との組み合わせに対してハッシュ関数を適用する。そして、匿名化情報共有装置３００、その結果と匿名化情報の認証ＩＤとの一致性に基づいて、匿名化情報を削除させる。これにより、匿名化情報の出力元のみが、匿名化された状態を保持しつつ、匿名化情報に関する所定の処理を他の匿名化情報共有装置３００ｒに対して実行させることを可能にする。すなわち、本実施の形態に係る匿名化情報共有装置３００は、分散管理型のネットワークで共有される匿名化情報に対し、出力元による管理を継続することができる。
　また、匿名化情報共有装置３００は、削除パスワードを受信すると、上記ステップを実行すると同時にその端末が共有している全部、あるいはいくつかの匿名化情報共有装置に対して、その削除パスワードを転送する。これにより、どの装置が削除要求を発したかの発見を難しくすることができる。
　（実施の形態２）
　図８は、本発明の実施の形態２に係る匿名化情報共有装置の構成を示すブロック図であり、実施の形態１の図３に対応するものである。図３と同一部分には同一符号を付し、これについての説明を省略する。また、以下、適宜、ある匿名化情報の出力元の匿名化情報共有装置３００ａを匿名化情報共有装置３００ａｓと表記し、その匿名化情報の出力先の匿名化情報共有装置３００ａを匿名化情報共有装置３００ａｒと表記する。
　図８において、匿名化情報の出力元である匿名化情報共有装置３００ａｓの機能部は、図３の各機能部に加えて、個人属性情報蓄積部３７０ａ、データＩＤ記憶部３８０ａ、および個人識別リスク監視部３９０ａを有する。
　個人属性情報蓄積部３７０ａは、ユーザの現在位置の緯度経度情報等のセンサ情報を取得して個人属性情報を生成し、生成した個人属性情報を情報非共有部３１０に記録する。
　データＩＤ記憶部３８０ａは、ユーザにより任意に設定された個人パスワードを予め記憶する。また、データＩＤ記憶部３８０ａは、匿名化情報共有装置３００ａｓ内の各情報を特定するデータＩＤを保持する。
　すなわち、本実施の形態においては、データＩＤは、個人属性情報毎に異なる、ワンタイムパスワードを生成する際の鍵情報の一部であり、個人属性情報の操作権限を認証する公開鍵情報である。データＩＤは、例えば、個人属性情報が生成される際に、匿名化情報共有装置毎に、任意の方法、または、同一の方法を用いて任意のＩＤ体系で作成され、データＩＤ記憶部３８０ａに記憶される。
　なお、本実施の形態においては、匿名化部３３０は、認証ＩＤを、匿名状態がより維持され易いような情報に変換（匿名化）して、匿名化情報を生成するものとする。
　具体的には、本実施の形態においては、認証ＩＤ生成部３２０は、データＩＤと個人パスワードとの組み合わせに対してハッシュ関数を適用して、削除パスワードを生成するものとする。そして、認証ＩＤ生成部３２０は、実施の形態１と同様に、生成した削除パスワードと、データＩＤと、個人属性情報の一部または全部との組み合わせに対して、ハッシュ関数を適用して、認証ＩＤを生成するものとする。すなわち、本実施の形態においては、認証ＩＤだけでなく、削除パスワードも、匿名化情報毎に異なる内容となる。
　また、本実施の形態においては、匿名化情報処理要求部３５０は、認証ＩＤ生成部３２０と同様の処理により、削除パスワードを生成するものとする。
　個人識別リスク監視部３９０ａは、情報共有部３４０が保持する匿名化情報に基づいて、匿名化情報共有装置３００ａｓの個人識別リスクを監視する。ここで、個人識別リスクとは、匿名化情報共有装置３００ａｓが出力した匿名化情報の出力元である、個人または個人に紐付けられた、匿名化情報共有装置３００ａが特定される危険性の高さをいうものとする。そして、個人識別リスク監視部３９０ａは、個人識別リスクが高いとき、匿名化情報処理要求部３５０に対し、個人識別リスクが高い匿名化情報の削除を指示する。
　削除パスワードと認証ＩＤとを用いて認証を実現する最も単純な方法は、個人パスワードによるハッシュ値を認証ＩＤとし、個人パスワードを、削除パスワードとして用いることである。
しかしながら、この場合、すべての匿名化情報で同一の削除パスワードが用いられるため、削除パスワードの漏洩により、個人の任意の匿名化情報が削除、改ざんされるおそれがある。
　それを防ぐためには、匿名化情報毎に異なる削除パスワードを設定すれば良い。但し、その場合、ユーザは全ての匿名化情報の削除パスワードを準備し管理する必用がでてくるため、現実的ではない。
　そのため、本実施の形態の匿名化情報共有装置３００ａは、データＩＤと個人パスワードとの組み合わせにハッシュ関数を適用して、ユニークな削除パスワードを生成することにより、データ毎に削除パスワードを準備し管理する必要がない。
　このように、匿名化情報共有装置３００ａは、削除パスワードおよび認証ＩＤを、匿名化情報毎に変化させることができる。これにより、匿名化情報共有装置３００ａは、削除パスワードおよび認証ＩＤに基づいて行動を第三者に追跡されるリスクを低減することができる。
　また、匿名化情報共有装置３００ａは、個人識別リスクが高いとき、当該匿名化情報を削除し、個人識別リスクを低減することができる。個人識別リスクが高い状況とは、例えば、自装置が居た場所に同時間帯に居たとする他装置がおらず、匿名化情報をそのままにしておくと匿名化情報の出力元の匿名性が失われるおそれがあるような状況である。
　次に、匿名化情報の共有化から削除までに各匿名化情報共有装置３００ａで行われる処理の概要について説明する。
　図９は、匿名化部３３０における個人属性情報の匿名化を模式的に示す図である。
　図９に示すように、匿名化部３３０は、時刻ｔ～時刻ｔ＋ｍに生成された１＋ｍ個の個人属性情報５１０ｔ～５１０ｔ＋ｍを、元の個人属性情報の詳細が特定され難い１個の個人属性情報５２０に纏める。
　具体的には、匿名化部３３０は、個人属性情報５１０ｔ～５１０ｔ＋ｍの時刻情報５１１の代表値として、時刻レンジ５２１を決定する。
　また、匿名化部３３０は、第１～第ｎの代表データ５２３１～５２３ｎの位置レンジ５１２の代表値として、位置レンジ５２２を決定する。
　また、匿名化部３３０は、第１～第ｎの代表データ５２３１～５２３ｎの第１～第ｎのデータ本体５１３１～５１３ｎのそれぞれの代表値として、第１～第ｎの代表データ５２３１～５２３ｎを決定する。
　時刻レンジ５２１は、例えば、時刻ｔと、時刻ｔから時刻ｔ＋ｍまでの時間長ｄと、個人属性情報５１０ｔ～５１０ｔ＋ｍのサンプリング間隔ｓとから成る。
　位置レンジ５２２は、例えば、時刻ｔから時刻ｔ＋ｍまでの位置情報の分布範囲の中心位置の緯度経度情報Ｇと、分布範囲の中心位置からの半径ｒとから成る。
　代表データ５２３は、いずれかの時刻のデータ本体、頻出する語句や値、平均値等である。
　すなわち、匿名化情報共有装置３００ａは、個人のある時刻における居場所を示す情報を直接に共有するのではなく、ある空間範囲かつ時間範囲の集約情報や統計情報を共有する。このような個人属性情報５２０は、個人属性情報５１０ｔ～５１０ｔ＋ｍのそれぞれに比べて、出力元をより特定し難い（より匿名化された）情報と成り得る。したがって、ユーザは、位置情報を活用する有用なサービスを享受しながら、匿名化された情報を他者と共有することが可能となる。
　図１０は、本実施の形態における匿名化情報の共有化から削除までの処理の概要を模式的に示す図であり、実施の形態１の図４に対応するものである。
　まず、ある匿名化情報共有装置３００ａｓは、図１０Ａに示すように、個人属性情報６１０（図９の個人属性情報５２０に相当）を生成する。
　そして、図１０Ｂに示すように、匿名化情報共有装置３００ａｓは、個人属性情報６１０のデータＩＤ６２０を設定する。
　そして、図１０Ｃに示すように、匿名化情報共有装置３００ａｓは、データＩＤ６２０と予め設定された個人パスワード６３０との組み合わせに対して、ハッシュ関数を適用して削除パスワード６４０を生成する。
　そして、図１０Ｄに示すように、匿名化情報共有装置３００ａｓは、データＩＤ６２０と、個人属性情報６１０の一部または全部（ここでは代表データ）と、削除パスワード６４０との組み合わせに対してハッシュ関数を適用する。これにより、匿名化情報共有装置３００ａｓは、認証ＩＤ６５０を生成する。
　そして、図１０Ｅに示すように、匿名化情報共有装置３００ａｓは、認証ＩＤ６５０およびデータＩＤ６２０を個人属性情報６１０に組み込んだ匿名化情報６６０を、他の匿名化情報共有装置３００ａｒの情報共有部３４０に送信する。これにより、匿名化情報６６０は、共有される。
　そして、図１０Ｆに示すように、出力元の匿名化情報共有装置３００ａｓは、個人識別リスク監視部３９０ａ等から、共有化した匿名化情報６６０の削除指示を行う。
　このとき、匿名化情報共有装置３００ａｓは、図１０Ｂ、図１０Ｃと同様の手順により、削除パスワード６４０を生成する。そして、匿名化情報共有装置３００ａｓは、削除要求に含める形で、削除パスワード６４０を他の匿名化情報共有装置３００ａｒへ送信する。
　すると、図１０Ｇに示すように、他の匿名化情報共有装置３００ａｒは、匿名化情報処理部３６０において、個人属性情報６１０の一部または全部（代表データ）と、削除パスワード６４０と、データＩＤとの組み合わせに対して、ハッシュ関数を適用する。
　そして、図１０（Ｈ）に示すように、他の匿名化情報共有装置３００ａｒは、ハッシュ関数の結果と、匿名化情報６６０に組み込まれた認証ＩＤ６５０とを比較し、これらが一致するときは、匿名化情報６６０を削除する。
　全ての匿名化情報共有装置３００ａは、認証ＩＤの生成および削除パスワードの生成に同一のハッシュ関数を用いることができる。また、全ての匿名化情報共有装置３００ａは、ハッシュ関数を匿名化情報６６０の同一部分に対して適用することができる。したがって、各匿名化情報共有装置３００ａｓは、実施の形態１と同様に、自装置が出力して共有化した匿名化情報の管理を継続することができる。
　また、データＩＤは、個人属性情報６１０毎に異なる。また、個人パスワード６３０はユーザが任意に設定することができる。したがって、これらからハッシュ関数により生成される削除パスワード６４０は、出力元が非常に特定され難い情報となる。
　更に、データＩＤと、個人属性情報６１０自体と、削除パスワードとから、ハッシュ関数により生成される認証ＩＤも、出力元が非常に特定され難い情報となる。すなわち、匿名化情報共有装置３００ａは、匿名化情報の管理に用いるために付加的に送受信される各情報（以下「付加的情報」という）についても、匿名化された状態にすることができる。
　次に、匿名化情報共有装置３００ａの動作について説明する。
　図１１は、本実施の形態に係る匿名化情報共有装置３００ａの動作を示すフローチャートであり、実施の形態１の図５に対応するものである。図５と同一部分には同一符号を付し、これについての説明を省略する。
　匿名化情報共有装置３００ａｓは、ユーザ操作等により匿名化情報の出力の指示があった場合は（Ｓ１０００：ＹＥＳ）、ステップＳ２０００ａにおいて、実施の形態１とは異なる匿名化情報出力処理を実行する。
　図１２は、本実施の形態における匿名化情報出力処理を示すフローチャートであり、実施の形態１の図６に対応するものである。図６と同一部分には同一ステップ番号を付し、これについての説明を省略する。
　まず、ステップＳ２０１０ａにおいて、匿名化部３３０は、匿名化情報の出力の指示の対象となっている個人属性情報を取得し、これを匿名化する。すなわち、匿名化部３３０は、図９で説明したように、時刻ｔ～時刻ｔ＋ｍに生成された１＋ｍ個の個人属性情報５１０ｔ～５１０ｔ＋ｍが対象となっている場合には、これらを１個の個人属性情報５２０で代表させる。
　そして、ステップＳ２０２０ａにおいて、データＩＤ記憶部３８０ａは、匿名化部３３０が匿名化した個人属性情報のデータＩＤを生成する。そして、データＩＤ記憶部３８０ａは、生成したデータＩＤと予め設定された個人パスワードとを、認証ＩＤ生成部３２０へ出力する。
　そして、ステップＳ２０３０ａにおいて、認証ＩＤ生成部３２０は、入力されたデータＩＤと入力された個人パスワードとの組み合わせに対してハッシュ関数を適用する。これにより、認証ＩＤ生成部３２０は、削除パスワードを生成する。匿名化情報出力処理における以降の処理は、実施の形態１と同様である。
　また、匿名化情報共有装置３００ａｓは、削除指示の有無を判断する前に（図１１のＳ５０００）、ステップＳ４５００ａとして、リスク監視処理を実行する。リスク監視処理は、情報共有部３４０に保持された各匿名化情報の個人識別リスクを監視し、個人識別リスクが高くなった匿名化情報を削除させる処理である。
　図１３は、リスク監視処理を示すフローチャートである。
　まず、ステップＳ４５１０ａにおいて、個人識別リスク監視部３９０ａは、情報共有部３４０が保持する匿名化情報を、時刻レンジと位置レンジとの組み合わせに基づいてグルーピングする。具体的には、個人識別リスク監視部３９０ａは、例えば、自装置の匿名化情報に対して、時刻レンジと位置レンジとの両方が重なる他装置の匿名化情報が存在するとき、これらをグループ化する。
　そして、ステップＳ４５２０ａにおいて、個人識別リスク監視部３９０ａは、グループを構成する匿名化情報の数が閾値ｋ以下であるグループが存在するか否かを判断する。閾値ｋは、許容される個人識別リスクに応じて予め定められる値である。すなわち、閾値ｋは、時刻レンジおよび位置レンジが重なるという条件を満たす集団の中で、特定の個人が識別される可能性が出る、集団の最大母数である。
　個人識別リスク監視部３９０ａは、該当するグループが存在する場合は（Ｓ４５２０ａ：ＹＥＳ）、ステップＳ４５３０ａへ進む。また、個人識別リスク監視部３９０ａは、該当するグループが存在しない場合は（Ｓ４５２０ａ：ＮＯ）、そのまま図１１の処理に戻る。
　ステップＳ４５３０ａにおいて、個人識別リスク監視部３９０ａは、匿名化情報処理要求部３５０に対し、匿名化情報の数が閾値ｋ以下であるグループの自装置の匿名化情報の削除を指定して、図１１の処理に戻る。この結果、匿名化情報共有装置３００ａｓは、いずれかの自装置の匿名化情報の個人識別リスクが高いときに、これを検出し、その匿名化情報の削除を指示することができる。
　また、匿名化情報共有装置３００ａｓは、いずれかの匿名化情報を削除する旨の指示があった場合は（Ｓ５０００：ＹＥＳ）、ステップＳ６０００ａとして、削除要求送信処理を実行する。削除要求送信処理は、削除指定された匿名化情報の削除を要求する削除要求を他の匿名化情報共有装置３００ａｒへ送信する処理である。
　例えば、ある駅を示す位置レンジにおいて、通勤時間帯である８時から９時までの間の１時間の時刻レンジでは、匿名化情報の数が３００であり、１２時から１３時までの間の１時間の時刻レンジでは、匿名化情報の数が１０である状況を想定する。
　この場合、８時から９時までの時刻レンジのでは、個人を特定される可能性が低いが、１２時から１３時までの時刻レンジでは、個人を特定される可能性が高くなる。このような場合、例えば、ｋ＝３０を閾値として設定することにより、個人識別リスク監視部３９０ａは、匿名化情報の数が３０を下回るグループが存在するとき、そのグループの自装置の匿名化情報を削除することができる。
更に、匿名化情報を削除した後に、個人識別リスク監視部３９０ａは、自身が把握する匿名化情報数に基づいて、位置レンジを広げる。あるいは、個人識別リスク監視部３９０ａは、時刻レンジを広げる等、匿名化情報を作成する際の各種条件を再設定して、匿名化情報を作成し直して再び共有化してもよい。
　なお、個人識別リスク監視部３９０ａは、匿名化情報を生成する前に、個人識別リスクが低くなるような位置レンジおよび時刻レンジを設定するために用いられても良い。
　図１４は、本実施の形態における削除要求送信処理を示すフローチャートである。
　まず、ステップＳ６０１０ａにおいて、個人識別リスク監視部３９０ａは、削除が指定された匿名化情報のデータＩＤを取得する。そして、個人識別リスク監視部３９０ａは、取得したデータＩＤと予め設定された個人パスワードとを、匿名化情報処理要求部３５０へ出力する。
　そして、ステップＳ６０２０ａにおいて、匿名化情報処理要求部３５０は、入力されたデータＩＤと入力された個人パスワードとの組み合わせに対してハッシュ関数を適用する。これにより、匿名化情報処理要求部３５０は、削除パスワードを生成する。
　そして、ステップＳ６０３０ａにおいて、匿名化情報処理要求部３５０は、生成した削除パスワードを含む削除要求を、他の匿名化情報共有装置３００ａｒへ送信し、図１１の処理へ戻る。この結果、匿名化情報共有装置３００ａｓは、個人識別リスク監視部３９０ａ等により削除が指示された匿名化情報を、各匿名化情報共有装置３００ａの情報共有部３４０から削除することができる。
　また、本実施の形態に係る匿名化情報共有装置３００ａｒは、削除要求を他の匿名化情報共有装置３００ａｓから受信したとき（Ｓ７０００：ＹＥＳ）、ステップＳ８０００ａとして、実施の形態１とは異なる匿名化情報削除処理を実行する。
　このように、本実施の形態に係る匿名化情報共有装置３００ａは、匿名化情報毎に異なるデータＩＤと、ユーザ毎に異なる個人パスワードとに対して一方向性関数を適用した結果を、削除パスワードとして用いる。これにより、本実施の形態に係る匿名化情報共有装置３００ａは、削除要求の出力元の匿名性を確保することができる。
　なお、匿名化情報共有装置３００ａは、データＩＤのみ、あるいは個人属性情報の一部または全部等、匿名化情報毎に異なるような他の情報に対して一方向性関数を適用して、削除パスワードを生成しても良い。
　また、匿名化情報共有装置３００ａは、ハッシュ関数を適用して認証ＩＤおよび削除パスワードを生成する際に、匿名化情報に含まれる、時刻レンジ、位置レンジ、あるいはデータＩＤのみ等を、削除パスワードと組み合わせても良い。
　また、匿名化情報共有装置３００ａは、上述の例以外の基準を用いて、個人識別リスクが高いか否かを判断しても良い。例えば、匿名化情報共有装置３００ａは、ユーザの行動履歴が一定時間以上連続している場合に、個人識別リスクが高いと判断し、その連続性が失われるように、一部の匿名化情報を削除するようにしても良い。
　また、削除要求の送信は、必ずしも匿名化情報の送信を行った装置と同一の装置から行われなくても良い。例えば、削除要求の送信は、ユーザが同一である等、匿名化情報の出力元という観点において同一視することができる別の装置から行われても良い。この場合、削除要求を行う装置は、匿名化情報を送信した装置で用いられた削除パスワードを、なんらかの秘密通信手段により取得する必要がある。このようなシステム構成によっても、出力元による匿名化情報に対する管理の継続が可能である。
　また、以上説明した各実施の形態では、削除パスワードおよび認証ＩＤを生成する際に用いる一方向性関数をハッシュ関数としたが、他の各種の一方向性関数を用いることができる。
　また、共有化された匿名化情報に対して行う処理は、削除に限定されない。例えば、本実施の形態は、匿名化情報の内容に対する修正、他の匿名化情報共有装置における匿名化情報の管理状態の変更（第三者への公開の禁止等）等、匿名化情報の出力元にのみ許可されるような各種処理を適用することができる。
　２０１０年８月６日出願の特願２０１０－１７７５４０の日本出願に含まれる明細書、図面および要約書の開示内容は、すべて本願に援用される。
　本発明に係る匿名化情報共有装置および匿名化情報共有方法は、分散管理型のネットワークで共有される匿名化情報に対し、出力元による管理を継続することができる匿名化情報共有装置および匿名化情報共有方法として有用である。
　すなわち、本発明は、ピア・ツー・ピア型ネットワーク等における、権威ある中央システムの無いような情報共有システムにおいて、ユーザの位置情報等の特定の個人を識別する可能性のある情報を共有する場合に有用である。
　また、本発明は、中央システムに情報を投稿する情報共有システムにおいても、ユーザの位置情報等の特定の個人を識別する可能性のある情報を共有する場合に有用である。
　また、本発明は、サービス事業者がユーザの位置を管理しない位置共有型サービス、例えば、ｔｗｉｔｔｅｒ（登録商標）等のライフストリームサービスの用途に応用することができる。
　１００　匿名化情報共有システム
　２００　通信ネットワーク
　３００、３００ａ　匿名化情報共有装置
　３１０　情報非共有部
　３２０　認証ＩＤ生成部
　３３０　匿名化部
　３４０　情報共有部
　３５０　匿名化情報処理要求部
　３６０　匿名化情報処理部
　３７０ａ　個人属性情報蓄積部
　３８０ａ　データＩＤ記憶部
　３９０ａ　個人識別リスク監視部

Claims (7)

  1. 　出力元が匿名化された匿名化情報を他の装置との間で共有する匿名化情報共有装置であって、
    　共有化対象情報毎に、前記共有化対象情報の一部または全部と処理パスワードとの組み合わせに対して第１の一方向性関数を適用して、認証ＩＤを生成する認証ＩＤ生成部と、
    　生成された前記認証ＩＤを共有化対象情報に付加して、匿名化情報を生成する匿名化部と、
    　生成された前記匿名化情報を出力して前記他の装置に保持させる情報共有部と、
    　前記処理パスワードを含む処理要求を生成して前記他の装置へ送信し、前記他の装置に対して、前記他の装置が保持する匿名化情報の一部または全部と前記処理パスワードとの組み合わせに対して前記第１の一方向性関数を適用した結果と前記他の装置が保持する匿名化情報の認証ＩＤとの一致性に基づき、前記他の装置に保持させた匿名化情報に対して、出力元にのみ許可される所定の処理の実行を要求する匿名化情報処理要求部と、を有する、
    　匿名化情報共有装置。
  2. 　前記認証ＩＤ生成部は、
    　前記共有化対象情報の一部または全部と、前記処理パスワードと、データＩＤとの組み合わせに対して前記第１の一方向性関数を適用して、前記認証ＩＤを生成する、
    　請求項１記載の匿名化情報共有装置。
  3. 　前記認証ＩＤ生成部は、
    　個人パスワードと前記データＩＤとの組み合わせに対して第２の一方向性関数を適用して、前記処理パスワードを生成する、
    　請求項１記載の匿名化情報共有装置。
  4. 　前記情報共有部は、
    　前記匿名化情報共有装置から出力された匿名化情報および前記他の装置から出力された匿名化情報を保持し、
    　前記情報共有部が保持する前記匿名化情報に基づいて、前記匿名化情報共有装置が出力した前記匿名化情報の出力元として前記匿名化情報共有装置が特定されるリスクを監視する個人識別リスク監視部、を更に有し、
    　前記匿名化情報処理要求部は、
    　前記リスクが高いとき、前記他の装置に対して前記所定の処理を要求し、
    　前記所定の処理は、前記リスクが低くなるような処理である、
    　請求項１記載の匿名化情報共有装置。
  5. 　前記所定の処理は、前記他の装置に保持させた前記匿名化情報の削除を含む、
    　請求項１記載の匿名化情報共有装置。
  6. 　出力元が匿名化された、共有化対象情報と認証ＩＤとを含む匿名化情報を、他の装置との間で共有する匿名化情報共有装置であって、
    　前記他の装置から出力された前記匿名化情報を保持する情報共有部と、
    　前記他の装置から、処理パスワードを含む処理要求を受信したとき、前記情報共有部が保持する前記匿名化情報毎に、前記匿名化情報の共有化対象情報の一部または全部と前記処理パスワードとの組み合わせに対して第１の一方向性関数を適用した結果と、前記匿名化情報の認証ＩＤとの一致性に基づき、前記匿名化情報に関する所定の処理を実行するか否かを判断する匿名化情報処理部と、を有する、
    　匿名化情報共有装置。
  7. 　出力元が匿名化された匿名化情報を他の装置との間で共有する匿名化情報共有方法であって、
    　共有化対象情報毎に、前記共有化対象情報の一部または全部と処理パスワードとの組み合わせに対して第１の一方向性関数を適用して、認証ＩＤを生成するステップと、
    　生成した前記認証ＩＤを共有化対象情報に付加して、匿名化情報を生成するステップと、
    　生成した前記匿名化情報を出力して前記他の装置に保持させるステップと、
    　前記処理パスワードを含む処理要求を生成して前記他の装置へ送信し、前記他の装置に対して、前記他の装置が保持する匿名化情報の一部または全部と前記処理パスワードとの組み合わせに対して前記第１の一方向性関数を適用した結果と前記他の装置が保持する匿名化情報の認証ＩＤとの一致性に基づき、前記他の装置に保持させた匿名化情報に対して、出力元にのみ許可される所定の処理の実行を要求するステップと、を有する、
    　匿名化情報共有方法。
PCT/JP2011/004144 2010-08-06 2011-07-22 匿名化情報共有装置および匿名化情報共有方法 WO2012017612A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US13/814,051 US8752149B2 (en) 2010-08-06 2011-07-22 Device for sharing anonymized information, and method for sharing anonymized information
JP2012503824A JP5735485B2 (ja) 2010-08-06 2011-07-22 匿名化情報共有装置および匿名化情報共有方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010177540 2010-08-06
JP2010-177540 2010-08-06

Publications (1)

Publication Number Publication Date
WO2012017612A1 true WO2012017612A1 (ja) 2012-02-09

Family

ID=45559137

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/004144 WO2012017612A1 (ja) 2010-08-06 2011-07-22 匿名化情報共有装置および匿名化情報共有方法

Country Status (3)

Country Link
US (1) US8752149B2 (ja)
JP (1) JP5735485B2 (ja)
WO (1) WO2012017612A1 (ja)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013232068A (ja) * 2012-04-27 2013-11-14 Kddi Corp 位置情報匿名化装置、位置情報匿名化方法およびプログラム
JP2014044528A (ja) * 2012-08-24 2014-03-13 Kddi Corp ユーザ非特定情報の提供記録を通知するユーザ情報管理装置、プログラム及び方法
JP2014109934A (ja) * 2012-12-03 2014-06-12 Fujitsu Ltd 匿名化データ生成方法、装置及びプログラム
WO2015033416A1 (ja) * 2013-09-05 2015-03-12 株式会社日立製作所 情報処理システム及びそのデータ処理方法
JP2015510163A (ja) * 2012-01-08 2015-04-02 インターナショナル・ビジネス・マシーンズ・コーポレーションＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ ソーシャル・ネットワーキング・ウェブ・サービスを介した機密情報アクセスのための方法、システム、コンピュータ・プログラム
WO2016117354A1 (ja) * 2015-01-19 2016-07-28 ソニー株式会社 情報処理装置および方法、並びにプログラム
JP2020102214A (ja) * 2018-12-19 2020-07-02 キヤノンメディカルシステムズ株式会社 医用情報匿名化システム、及び匿名化方法設定装置
US20210203481A1 (en) * 2018-05-14 2021-07-01 nChain Holdings Limited Systems and methods for storage, generation and verification of tokens used to control access to a resource
US11809600B2 (en) 2020-07-31 2023-11-07 Snowflake Inc. Data clean room

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013031997A1 (ja) * 2011-09-02 2013-03-07 日本電気株式会社 匿名化装置、及び、匿名化方法
US11120163B2 (en) * 2014-11-14 2021-09-14 Oracle International Corporation Associating anonymous information with personally identifiable information in a non-identifiable manner
US11165771B2 (en) 2017-11-20 2021-11-02 At&T Intellectual Property I, L.P. Proximity based data access restrictions
US10666584B2 (en) * 2018-10-06 2020-05-26 Jiazheng Shi Method and system for protecting messenger identity

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007058590A (ja) * 2005-08-24 2007-03-08 Nec Corp 主体同一性判定システム、及びプログラム
JP2008226133A (ja) * 2007-03-15 2008-09-25 Hitachi Software Eng Co Ltd 個人情報管理システム

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE69836455T2 (de) * 1997-08-20 2007-03-29 Canon K.K. System für elektronische Wasserzeichen, elektronisches Informationsverteilungssystem und Gerät zur Abspeicherung von Bildern
JP2000221881A (ja) * 1999-02-01 2000-08-11 Nec Corp 電子署名端末装置、電子署名管理装置および電子署名システム
US20050086492A1 (en) * 2003-08-15 2005-04-21 Fiberlink Communications Corporation System, method, apparatus and computer program product for facilitating digital communications
US7565702B2 (en) * 2003-11-03 2009-07-21 Microsoft Corporation Password-based key management
US20110110568A1 (en) * 2005-04-08 2011-05-12 Gregory Vesper Web enabled medical image repository
GB2446199A (en) * 2006-12-01 2008-08-06 David Irvine Secure, decentralised and anonymous peer-to-peer network
JP5083218B2 (ja) 2006-12-04 2012-11-28 日本電気株式会社 情報管理システム、匿名化方法、及び記憶媒体
JP2009237804A (ja) * 2008-03-26 2009-10-15 Sky Co Ltd 電子メールシステム
JP5008633B2 (ja) * 2008-10-15 2012-08-22 日本電信電話株式会社 プライバシー侵害監視装置、プライバシー侵害監視方法及びプログラム
US8364969B2 (en) * 2009-02-02 2013-01-29 Yahoo! Inc. Protecting privacy of shared personal information
US8661423B2 (en) * 2009-05-01 2014-02-25 Telcordia Technologies, Inc. Automated determination of quasi-identifiers using program analysis
US20110078775A1 (en) * 2009-09-30 2011-03-31 Nokia Corporation Method and apparatus for providing credibility information over an ad-hoc network

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007058590A (ja) * 2005-08-24 2007-03-08 Nec Corp 主体同一性判定システム、及びプログラム
JP2008226133A (ja) * 2007-03-15 2008-09-25 Hitachi Software Eng Co Ltd 個人情報管理システム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
KAZUKI OTSU ET AL.: "Access Seigyo Kiko o Motsu P2P File Kyoyu System", 2005 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY, vol. 1, 25 January 2005 (2005-01-25), pages 13 - 18 *

Cited By (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015510163A (ja) * 2012-01-08 2015-04-02 インターナショナル・ビジネス・マシーンズ・コーポレーションＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ ソーシャル・ネットワーキング・ウェブ・サービスを介した機密情報アクセスのための方法、システム、コンピュータ・プログラム
US9419967B2 (en) 2012-01-08 2016-08-16 International Business Machines Corporation Confidential information access via social networking web site
JP2013232068A (ja) * 2012-04-27 2013-11-14 Kddi Corp 位置情報匿名化装置、位置情報匿名化方法およびプログラム
JP2014044528A (ja) * 2012-08-24 2014-03-13 Kddi Corp ユーザ非特定情報の提供記録を通知するユーザ情報管理装置、プログラム及び方法
JP2014109934A (ja) * 2012-12-03 2014-06-12 Fujitsu Ltd 匿名化データ生成方法、装置及びプログラム
WO2015033416A1 (ja) * 2013-09-05 2015-03-12 株式会社日立製作所 情報処理システム及びそのデータ処理方法
WO2016117354A1 (ja) * 2015-01-19 2016-07-28 ソニー株式会社 情報処理装置および方法、並びにプログラム
JPWO2016117354A1 (ja) * 2015-01-19 2017-10-26 ソニー株式会社 情報処理装置および方法、並びにプログラム
US11838407B2 (en) 2018-05-14 2023-12-05 Nchain Licensing Ag Computer-implemented systems and methods for using a blockchain to perform an atomic swap
US20210203481A1 (en) * 2018-05-14 2021-07-01 nChain Holdings Limited Systems and methods for storage, generation and verification of tokens used to control access to a resource
US11764947B2 (en) * 2018-05-14 2023-09-19 Nchain Licensing Ag Systems and methods for storage, generation and verification of tokens used to control access to a resource
US11917051B2 (en) 2018-05-14 2024-02-27 Nchain Licensing Ag Systems and methods for storage, generation and verification of tokens used to control access to a resource
US11985225B2 (en) 2018-05-14 2024-05-14 Nchain Licensing Ag Computer-implemented systems and methods for using veiled values in blockchain
JP2020102214A (ja) * 2018-12-19 2020-07-02 キヤノンメディカルシステムズ株式会社 医用情報匿名化システム、及び匿名化方法設定装置
US11880485B2 (en) 2018-12-19 2024-01-23 Canon Medical Systems Corporation Medical information anonymizing system and anonymizing method setting device
JP7433038B2 (ja) 2018-12-19 2024-02-19 キヤノンメディカルシステムズ株式会社 医用情報匿名化システム、及び匿名化方法設定装置
US11809600B2 (en) 2020-07-31 2023-11-07 Snowflake Inc. Data clean room

Also Published As

Publication number Publication date
US20130133050A1 (en) 2013-05-23
US8752149B2 (en) 2014-06-10
JPWO2012017612A1 (ja) 2013-09-19
JP5735485B2 (ja) 2015-06-17

Similar Documents

Publication Publication Date Title
WO2012017612A1 (ja) 匿名化情報共有装置および匿名化情報共有方法
US11907397B2 (en) Records access and management
TWI784092B (zh) 分享電子醫療健康記錄的方法與系統
KR101200814B1 (ko) 근거리 무선 통신 기반의 개인 건강 기록 관리 방법 및 시스템
CN113228023A (zh) 培训和健康领域的统一识别协议
EP3583526A1 (en) Records access and management
US20150046192A1 (en) Records access and management
KR20200016458A (ko) 블록체인 기반의 phr 플랫폼 서버 운영 방법 및 phr 플랫폼 서버 운영 시스템
JP2022033242A (ja) Ｂｃｎ（ブロックチェーンネットワーク）を使用したデータ利用方法、システムおよびそのプログラム
JP6150129B2 (ja) 薬歴管理装置および方法、情報処理装置および方法、並びにプログラム
WO2018124501A1 (ko) 응급상황에서 제3자에 대한 응급의료 정보제공 방법
JP2003162578A (ja) 緊急医療情報提供方法および緊急医療情報提供システム
JP2013250754A (ja) カルテ情報地域共有システム
WO2016065172A1 (en) Records access and management
US20100235924A1 (en) Secure Personal Medical Process
KR20200134744A (ko) 환자에 대한 진료정보 액세스 방법 및 시스템
CN113722731A (zh) 一种医疗数据共享方法、装置、电子设备及存储介质
US9953188B2 (en) System, method, and program for storing and controlling access to data representing personal behavior
KR100945819B1 (ko) 휴대 단말기를 이용한 개인건강기록 서비스 방법 및 그에따른 시스템
Huda et al. Privacy-aware access to patient-controlled personal health records in emergency situations
KR102064970B1 (ko) 의료 기록 관리 방법 및 장치
CN109979555A (zh) 一种病案数据管理方法
JP7437592B1 (ja) ヘルスケアデータ管理システム、ヘルスケアデータ管理方法及びヘルスケアデータ管理プログラム
KR102573773B1 (ko) 개인정보 비식별 처리를 적용한 디지털 치료제 처방 데이터 교환 시스템 및 방법
JP6566990B2 (ja) 薬歴管理装置および方法、並びにプログラム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2012503824

Country of ref document: JP

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11814251

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 13814051

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11814251

Country of ref document: EP

Kind code of ref document: A1