WO2012090628A1 - 情報保護装置及び情報保護方法 - Google Patents

情報保護装置及び情報保護方法 Download PDF

Info

Publication number
WO2012090628A1
WO2012090628A1 PCT/JP2011/077162 JP2011077162W WO2012090628A1 WO 2012090628 A1 WO2012090628 A1 WO 2012090628A1 JP 2011077162 W JP2011077162 W JP 2011077162W WO 2012090628 A1 WO2012090628 A1 WO 2012090628A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
anonymous information
anonymous
positioning
storage unit
Prior art date
Application number
PCT/JP2011/077162
Other languages
English (en)
French (fr)
Inventor
翼 高橋
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US13/993,250 priority Critical patent/US9087203B2/en
Priority to CA2821438A priority patent/CA2821438A1/en
Priority to JP2012550783A priority patent/JP5846548B2/ja
Publication of WO2012090628A1 publication Critical patent/WO2012090628A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2111—Location-sensitive, e.g. geographical location, GPS
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/42—Anonymization, e.g. involving pseudonyms

Definitions

  • the present invention relates to an information protection apparatus and an information protection method.
  • location information including positioning data measured by GPS (Global Positioning System) and wireless LAN (Local Area Network) mounted on mobile terminals and automobiles has increased in various situations. Furthermore, services that acquire location information regularly and record the movement trajectory and behavior history of users of mobile terminals and automobiles are increasing.
  • GPS Global Positioning System
  • wireless LAN Local Area Network
  • the location information may include information that does not want to be known to others, such as hobbies and hospital visits, in addition to information that can identify the user, such as home, work, and school. Therefore, the position information is information with high privacy.
  • the movement trajectory that is time-series information of the position information may indicate a route, stay, or absence to a place where the individual has high privacy, and the possibility of specifying the user is higher than that of single position information.
  • users are constantly exposed to threats such as tracking and monitoring through real-time use of movement trajectories by service providers and data analysts. Therefore, the movement trajectory is privacy information with very high privacy. Therefore, when providing such privacy information to a service provider or a data analyst, it is required to ensure anonymity by anonymization.
  • Anonymization is a process of processing privacy information so that a user cannot be specified.
  • An index indicating the degree to which a user cannot be specified is called an anonymity index.
  • k-anonymity is well known.
  • information that is not an identifier that can uniquely identify a user but that can identify a user in consideration of background knowledge or the like is called a quasi-identifier (indirect identifier).
  • sensitive information information that the user does not want to be known.
  • k anonymity is an index that guarantees that k or more pieces of sensitive information having the same quasi-identifier exist by anonymization of the quasi-identifier. By assuring k anonymity, the possibility that the user is specified is 1 / k or less, and the user can be specified with difficulty.
  • the patient's medical condition is recorded together with the patient's name, sex, occupation, and age.
  • the medical condition is sensitive information and highly privacy information.
  • the name is an identifier that uniquely identifies an individual, and the gender, occupation, and age are quasi-identifiers that may identify the individual.
  • the patient may be estimated based on a combination of occupation and age without knowing the patient's name. That is, even if the patient's name is hidden, a person who knows the patient's occupation and age may know the patient's medical condition.
  • FIG. 14 is an abstraction of occupation and age.
  • FIG. 14 shows anonymized information obtained by anonymizing the medical condition record of FIG.
  • the positioning data of position information is information indicating a specific place.
  • the positioning data may indicate a place where privacy is high for everyone, in general, the privacy of specific positioning data varies depending on the associated user. Even if the positioning data indicates a location such as a hospital or home, it is difficult to guess what the location means if the user and the positioning data are merely linked.
  • information such as a staying time zone and its length can be obtained from continuous positioning data such as a movement locus. From such information, it is possible to infer the meaning of the location indicated by the positioning data. And it becomes possible to identify a user based on the estimated information. Therefore, it can be considered that the positioning data constituting the movement trajectory is not only a quasi-identifier but also sensitive information.
  • FIG. 15 shows information obtained by anonymizing the position information.
  • Each point represents the positioning data of the position information
  • the ellipse is anonymous information obtained by anonymizing the position information by abstracting the positioning data of the position information included in the ellipse.
  • the movement trajectory has the feature of representing the actual state of the user's life.
  • the privacy of the movement trajectory has extremely high privacy compared to single position information or a simple combination of multiple pieces of position information.
  • the user may be able to be identified only by exposing the positioning data of some position information in the movement locus. For example, information such as the home location, work place, and nearest station is often known to colleagues and friends. For this reason, if the location data of these locations is included in the movement trajectory, the user associated with the movement trajectory is specified, and privacy such as a location where the visit destination or preference other than these locations is clarified is specified. there is a risk that information flows out.
  • FIG. 16 is a diagram illustrating an example in which the movement trajectory is anonymized.
  • a tube-like movement trajectory is generated so as to include four movement trajectories.
  • Information that makes the association between the movement trajectory and the user ambiguous is called anonymous information.
  • Non-Patent Document 1 discloses an example of an anonymization method using anonymous information.
  • Non-Patent Document 1 is a paper showing an anonymization technique for accumulated movement trajectories, and uses an anonymity index of (k, ⁇ ) -anonymity to represent static movement trajectories accumulated in a database in a tube shape.
  • An anonymization method has been proposed that generalizes. This is a method for anonymizing data with a clear start point and end point by grouping and abstracting data having close distances between the movement trajectories.
  • the guarantee of k anonymity for a static movement trajectory is to guarantee that k or more movement trajectories are consistently included in the same group (anonymous information) between the start point and the end point.
  • a set of movement trajectories is abstracted in a tube shape in a three-dimensional space of latitude and longitude and the time when they are positioned, and is output as anonymous information.
  • the anonymization technique shown in FIG. 16 is effective for anonymizing a movement trajectory for a predetermined period, but it is not always necessary to anonymize a movement trajectory in which position information is added every moment in real time. It is not valid. In such an environment, the movement trajectory extends (increases) on the time axis due to the arrival of unknown position information periodically. Therefore, in order to use the movement trajectory in real time while guaranteeing anonymity, real-time anonymization with respect to the increment of the movement trajectory is required. When performing such anonymization, it is necessary to anonymize the increment after considering the anonymized result. This is to make it difficult to associate the user and the movement trajectory by using a combination of a plurality of pieces of position information, as in the case of anonymization of the static movement trajectory.
  • the anonymization method shown in FIG. 16 anonymizes an accumulated movement trajectory, and anonymization with respect to the increment of the movement trajectory is not assumed.
  • the anonymization method shown in FIG. 16 is a macroscopic method in which anonymization is performed at once so as to satisfy anonymity in all paths between the start point and the end point, and the local anomaly such as the increment of the movement trajectory. not for target position information.
  • anonymization can be performed on a short route in which incremental data and previous data are regarded as an end point and a start point, respectively. is assumed.
  • the present invention has been made in view of such circumstances.
  • position information is added in real time
  • the anonymity of the movement trajectory is ensured and the degree of abstraction of the positioning data included in the position information is high.
  • an object of the present invention is to suppress the will too.
  • An information protection apparatus has the same positioning time as a movement locus storage unit that stores a movement locus that is a history of position information including a user identifier, positioning data indicating a user's position, and positioning time.
  • Positioning data abstracted by grouping positioning data of multiple users 'location information so that the location information satisfies a predetermined anonymity index is anonymized by associating it with identifiers and positioning times of multiple users' movement trajectories
  • Anonymous information is generated by grouping and abstracting positioning data in the same group as the anonymous information stored in the anonymous information storage unit, and stored in the anonymous information storage unit
  • An incremental abstraction unit stored in the anonymous information storage unit in association with the anonymous information, the anonymous information of the first positioning time satisfies a predetermined anonymity index, and the abstraction of the
  • the “unit” does not simply mean a physical means, but includes a case where the function of the “unit” is realized by software. Also, even if the functions of one “unit” or device are realized by two or more physical means or devices, the functions of two or more “units” or devices are realized by one physical means or device. May be.
  • FIG. 1 is a diagram showing a configuration of an information protection apparatus according to the first embodiment of the present invention.
  • the information protection device 10 includes a position information receiving unit 20, a movement locus storage unit 22, an initial abstraction unit 24, an anonymous information storage unit 26, an incremental abstraction unit 28, a continuity evaluation unit 30, a division unit 32, and a synthesis unit 34.
  • the reconstructing unit 36, the anonymity index receiving unit 38, and the continuity reference value receiving unit 40 are configured.
  • the information protection apparatus 10 is an information processing apparatus such as a server and includes a CPU, a memory, and a storage device. And the movement locus
  • the sex reference value accepting unit 40 can be realized by the CPU executing a program stored in the memory.
  • the information protection device 10 anonymizes the movement trajectory that is the history of position information transmitted from a plurality of users in real time, and outputs anonymous information. Prior to detailed description of each part of the information protection apparatus 10, the concept of anonymization in the information protection apparatus 10 will be described.
  • FIG. 2 is a diagram showing an example of anonymization of the movement trajectory.
  • the movement trajectory is time-series information of position information for each user composed of a plurality of pieces of position information.
  • Each position information includes positioning data indicating the position of the user. Therefore, when the user knows that he / she was at a certain place at a certain date and time, there is a possibility that the viewer of the movement trajectory can know where the user went elsewhere. Therefore, the information protection device 10 guarantees k anonymity of the movement trajectory in real time and suppresses the location information and the movement trajectory unknown to the viewer from being known.
  • each point corresponds to position information for each user at a certain time and represents a position indicated by positioning data of the position information.
  • An arrow connecting the points represents that the user has moved from the position of the start point of the arrow to the position of the end point, and a chain based on the connection relationship between the points and the arrow represents the movement locus of the user.
  • An ellipse represents a range (area) including a position indicated by a plurality of position information. A point included in the ellipse represents that the user of the position information indicating the point stayed in the area.
  • the position information of four users is included in the ellipse at time t0.
  • the position information of each user at time t1 also satisfies k anonymity.
  • the information protection device 10 can generate anonymous information in real time. For example, in a state where anonymous information up to time t2 has already been generated and position information at time t3 is further added, the information protection device 10 considers the anonymous information up to time t2 and Anonymous information is generated in real time from position information.
  • the position information at time t3 is represented by a white point (white point).
  • the white point represents the position information that has been measured recently among the position information of each user.
  • the other points (hereinafter black points) are position information received before the white point, and are position information that already constitutes anonymous information.
  • Anonymization with respect to white spots can be performed in the same group as anonymous information including black spots of the same user.
  • the area in the anonymous information may gradually increase.
  • the abstraction level of the positioning data may become excessive.
  • anonymity can be guaranteed, but position information and movement trajectory with a large loss of information become anonymous information with little utility value. There is a possibility that.
  • FIG. 3 is a diagram illustrating an example of dynamic reconfiguration of anonymous information in the information protection apparatus 10.
  • the anonymous information on the left side is divided into two on the way.
  • the anonymous information on the right side is synthesized with another anonymous information on the way.
  • the degree of abstraction of the positioning data indicates the amount of anonymous information, and is determined, for example, by the size of the area and the density of position information included in the area. For example, it can be said that an area that is too wide has little utility value and the amount of anonymous information is small.
  • the location information receiving unit 20 is connected to a plurality of user terminals via a network so that they can communicate with each other.
  • the user terminal is an information processing apparatus having a positioning function using GPS, wireless LAN, or the like, such as a portable terminal or a car navigation apparatus.
  • the position of the terminal is periodically measured, and position information obtained by adding a positioning time and a user ID to positioning data including information such as the measured longitude, latitude, altitude, etc. is, for example, wireless of a mobile phone. and it transmits the position information protection apparatus 10 via the network.
  • the position information receiving unit 20 receives the position information from each user terminal that is periodically transmitted in this manner, and stores it in the movement locus storage unit 22.
  • the user ID is information that can identify the user, and for example, a user name, a user ID, or a terminal ID can be used. Further, the positioning data is not limited to detailed information expressed by latitude, longitude, altitude, etc., for example, area information indicating a predetermined range expressed by a regional mesh code defined by the Ministry of Internal Affairs and Communications, etc. Also good.
  • the movement trajectory storage unit 22 records, for each user, the location information of the user that the location information receiving unit 20 continuously receives from moment to moment. That is, the movement locus storage unit 22 stores a movement locus that is a history of position information. Note that the movement locus storage unit 22 may store position information in time series for each user, or may store position information regardless of the order.
  • the initial abstraction unit 24 generates anonymous information by grouping and abstracting the positioning data of a plurality of users' positional information having the same positioning time for the positional information of users whose anonymous information has not yet been created, stores anonymous information storage unit 26.
  • positioning data is grouped, the positioning times do not have to be completely the same, and positioning times belonging to the same time zone with a certain width can be determined as the same positioning time.
  • FIG. 4 is a diagram illustrating an example of anonymous information stored in the anonymous information storage unit 26.
  • the anonymous information includes anonymous information ID, parent anonymous information ID, movement trajectory ID, positioning time, and area information.
  • the anonymous information ID is an identifier of anonymous information, and indicates a group of position information generated by abstracting positioning data. For example, one anonymous information ID is given to a series of anonymous information shown in FIG. And if the group of the positional information in anonymous information is changed by reconstruction processes, such as a division
  • the anonymous information ID before reconfiguration is set as the parent anonymous information ID. That is, the parent anonymous information ID is information indicating a parent-child relationship of anonymous information.
  • the movement locus ID is an identifier of the movement locus of a plurality of users included in the anonymous information.
  • the anonymous information shown in FIG. 2 includes the movement trajectories of four users A to D.
  • information indicating which user's movement trajectory anonymized information is anonymized is set in the movement trajectory ID.
  • a to D are set as the movement trajectory IDs for the four movement trajectories of the users A to D.
  • the movement trajectory ID is used for confirming whether or not anonymous information for a user's movement trajectory already exists.
  • the user ID included in the position information can be set as the movement trajectory ID.
  • the movement trajectory ID does not have to be the user ID itself, and may be any one that can identify the relationship with the user ID. Further, it is not necessary to be able to identify the relationship with the user ID only by the movement trajectory ID. For example, information indicating the correspondence between the user ID and the movement trajectory ID is stored in the anonymous information storage unit 26 separately from the anonymous information. It is good to keep it.
  • Measured time is set as the reference time for grouping positioning data.
  • the positioning time in anonymous information can be information which shows the time slot
  • the area information information for identifying an area including the position indicated by the positioning data of the position information of a plurality of users is set.
  • the area of the anonymous information is an ellipse as shown in FIG. 2
  • the latitude / longitude, major axis, and minor axis of the center point can be set in the area information.
  • the shape of the area is not limited to an ellipse, and may be any shape as long as it is an identifiable shape.
  • the incremental abstraction unit 28 extracts the position information of the user whose anonymous information has already been created from the movement trajectory storage unit 22, and abstracts the position data by grouping and abstracting the position information. Turn into. At this time, the incremental abstraction unit 28 generates anonymous information by grouping and abstracting the positioning data in the same group as the anonymous information stored in the anonymous information storage unit 26. Thereby, if the anonymous information previously stored in the anonymous information storage unit 26 satisfies k anonymity, the newly generated anonymous information also satisfies k anonymity.
  • the continuity evaluation unit 30 evaluates the continuity of anonymous information generated by the incremental abstraction unit 28 by abstracting the positioning data of the position information.
  • continuity is an index indicating the degree of continuation of anonymous information with the same combination of movement trajectories without performing division or synthesis, and can be determined by the amount of information in the anonymous information.
  • Specific examples of the continuity index include the size of the area and the density of anonymous information. The density of anonymous information can be obtained, for example, by dividing the number of movement trajectories constituting anonymous information by the size of the area.
  • the dividing unit 32 divides the anonymous information generated by the abstraction unit 28 by the abstraction of the positioning data into a plurality of anonymous information so that the degree of abstraction becomes small.
  • the dividing unit 32 performs the division so that the number of movement trajectories constituting the anonymous information is k or more, that is, the k anonymity is satisfied even after the division.
  • the anonymous information after the division is stored in the anonymous information storage unit 26 in association with the anonymous information before the division. That is, the anonymous information after the division is given a new anonymous information ID different from the anonymous information before the division, and the anonymous information ID of the anonymous information before the division is set as the parent anonymous information ID.
  • the synthesizing unit 34 synthesizes the anonymous information generated by the incremental abstraction unit 28 and the dividing unit 32 into a single anonymous information so that the degree of abstraction is reduced.
  • the synthesized anonymous information is stored in the anonymous information storage unit 26 in association with the anonymous information before synthesis. That is, the anonymous information after synthesis is given a new anonymous information ID different from the anonymous information before synthesis, and the anonymous information ID of the anonymous information before synthesis is set as the parent anonymous information ID.
  • the reconstructing unit 36 When the anonymous information generated by the division is associated with the anonymous information before the division, the reconstructing unit 36, when the anonymized movement trajectory including the anonymous information before and after the division does not satisfy k anonymity, to rid the correspondence between the anonymous information. That is, the anonymous information ID different from the anonymous information before the division is given to the anonymous information after the division, and the parent anonymous information ID is initialized.
  • Such reconstruction may be necessary when the synthesized anonymous information is split again. For example, when two pieces of anonymous information composed of k movement trajectories are synthesized, and then divided, k anonymity of the movement trajectory is only obtained when divided into anonymous information composed of the same movement trajectories as before the synthesis. The anonymity is not guaranteed otherwise.
  • the reconstruction of the anonymous information is performed by the reconstruction unit 36 during the division process in which k anonymity is not guaranteed.
  • the anonymity index receiving unit 38 receives and stores an anonymity index (for example, “k” in k anonymity), which is a reference when the movement locus is anonymized in the information protection apparatus 10 from the user.
  • an anonymity index for example, “k” in k anonymity
  • the continuity reference value receiving unit 40 receives and stores a reference value for determining the continuity of anonymous information from the user.
  • this reference value can be, for example, a value indicating the degree of abstraction of positioning data in anonymous information.
  • FIG. 5 is a flowchart illustrating an example of the anonymization process according to the first embodiment.
  • 6 to 9 are diagrams showing examples of generated anonymous information.
  • the position information receiving unit 20 periodically receives position information from a plurality of user terminals, and accumulates a history of position information as a movement track in the movement track storage unit 22 (S501). For example, the position information receiving unit 20 receives the user's position information from each user terminal every other minute.
  • the incremental abstraction unit 28 periodically receives position information from the movement trajectory storage unit 22, and generates anonymous information by abstracting the positioning data of the position information. For example, the position information received by the position information receiving unit 20 every other minute is passed to the incremental abstraction unit 28 via the movement track storage unit 22. When receiving the position information, the incremental abstraction unit 28 confirms whether anonymous information having a movement trajectory ID corresponding to each position information exists in the anonymous information storage unit 26 (S502). Note that the initial extraction unit 24 may check whether or not anonymous information exists.
  • the initial abstraction unit 24 When the corresponding anonymous information does not exist (S502: N), the initial abstraction unit 24 performs positioning so that each group (cluster) includes k or more pieces of position information for the position information having the same positioning time. Position information close to the position indicated by the data is grouped (clustered). That is, the initial abstraction unit 24 generates anonymous information by grouping and abstracting positioning data of position information of a plurality of users (S503). Specifically, the initial abstraction unit 24 obtains an area including the position indicated by the positioning data of the position information in each group, and generates anonymous information in which area information indicating this area is set. The area including a plurality of positions can be, for example, an ellipse having the smallest area including these positions. FIG.
  • FIG. 6 shows an example in which the location information of five users at time t0 is grouped and anonymous information is newly generated.
  • an anonymous information ID of “T001” is given to this anonymous information.
  • FIG. 9 shows an example of anonymous information stored in the anonymous information storage unit 26.
  • the incremental abstraction unit 28 uses positioning data for all position information having the same movement trajectory ID as the set of movement trajectories constituting the anonymous information. to implement the abstraction (S504). And the incremental abstraction part 28 produces
  • the continuity evaluation unit 30 evaluates the continuity for the anonymous information generated by the incremental abstraction unit 28 (S505). For example, when the area of the area is larger than a predetermined reference value or when the density of anonymous information is lower than a predetermined reference value, it is determined that the continuity is less than the threshold value. For example, in FIG. 6, it is determined that the anonymous information at time t1 satisfies the continuity possibility.
  • the dynamic reconfiguration of anonymous information is performed.
  • division processing and synthesis processing are executed as dynamic reconfiguration of anonymous information.
  • the dividing unit 32 divides the anonymous information whose continuity possibility is less than the threshold (S506).
  • the dividing unit 32 can divide anonymous information including 2k or more movement trajectories into two anonymous information. At this time, anonymous information that could not be divided because the number of movement trajectories is less than 2k can be added to the synthesis candidate list as a candidate for later synthesis processing.
  • the dividing unit 32 can divide the anonymous information in consideration of whether or not the continuation possibility is less than the threshold value is temporary. For example, the dividing unit 32 divides the anonymous information when there is no overlap between the areas of the two anonymous information after the division and the distance between the areas is equal to or greater than the threshold.
  • the distance between the areas can be, for example, the distance between the closest points of the two areas or the distance between the center points of the two areas. Further, the distance between the areas may be an angle of transition from the area at the previous time to the two areas after the division.
  • the anonymous information at time t2 in FIG. 6 has a larger area and the continuity is less than the threshold. Therefore, it can be considered that this anonymous information is divided into two groups indicated by broken lines. At this time, since the distance l (el) 2 between the areas of the two groups is smaller than the predetermined threshold L, the dividing unit 32 does not perform the dividing process.
  • the dividing unit 32 since the distance l (el) 3 between the areas of the two groups is larger than the predetermined threshold L, the dividing unit 32 generates two pieces of new anonymous information. Then, as illustrated in FIG. 9, the dividing unit 32 assigns “T002” and “T003” as the anonymous information ID to the two anonymous information generated by the division, and sets “T001” as the parent anonymous information ID. .
  • the reconstruction unit 36 confirms whether the anonymous information after division does not violate k anonymity (S507), and if it violates (S507: Y), the movement locus carry out the reconstruction of (S508). As described above, such reconstruction is necessary when the synthesized anonymous information is divided. A specific example of reconstruction will be described after the synthesis process.
  • a composition process by the composition unit 34 is executed (S509).
  • the number of movement trajectories is less than 2k, and anonymous information that could not be divided is added to the synthesis candidate list as a candidate for the synthesis process.
  • the synthesizing unit 34 synthesizes anonymous information such that the continuity after synthesis is higher than the average of the continuity of the two anonymous information before synthesis for the anonymous information included in the synthesis candidate list. Specifically, the synthesizing unit 34 attempts to synthesize anonymous information in the synthesis candidate list in descending order of area overlap.
  • the synthesis unit 34 approves the synthesis if the continuity of the anonymous information after the synthesis is greater than the average of the continuity of the two anonymous information before the synthesis, and does not perform the synthesis otherwise. This process is performed for all anonymous information in the synthesis candidate list.
  • combination part 34 provides anonymous information ID newly with respect to the anonymous information after a synthesis
  • the composition unit 34 determines whether or not the continuity is improved when these two pieces of anonymous information are synthesized. In the example of FIG. 7, it is determined that the continuity is not improved, and no synthesis is performed at time t5. On the other hand, at time t6, by combining the two anonymous information, the continuity is improved, so the combining unit 34 combines the two anonymous information, and a new anonymous whose anonymous information ID is “T005” Information is generated.
  • FIG. 8 shows an example in which the anonymous information synthesized at time t6 is divided again at time t7.
  • two pieces of anonymous information whose anonymous information IDs are “T006” and “T007” are generated.
  • the reconstruction unit 36 evaluates whether the movement trajectory up to time t7 violates k-anonymity. In the case of violation, the reconstruction unit 36 newly assigns a movement trajectory ID to the divided anonymous information and initializes the parent anonymous information ID. With this reconstruction process, the continuity of the movement trajectory is lost, but k anonymity is maintained.
  • the anonymous information generated by the abstraction process, the division process, the reconstruction process, and the synthesis process is stored in the anonymous information storage unit 26 (S510).
  • anonymous information in which a parent-child relationship configured by division or synthesis is set is stored in the anonymous information storage unit 26.
  • anonymous information whose parent-child relationship has been eliminated by reconstruction is stored in the anonymous information storage unit 26.
  • the anonymous information stored in the anonymous information storage unit 26 may not be tube-shaped information. For example, it may be a coordinate value of a center point or a barycentric point of anonymous information, or a coordinate value randomly sampled from within an area. Further, instead of storing the original area of anonymous information, an area of a certain size from the center coordinates and the barycentric coordinates may always be stored. Further, the anonymous information to be stored may include information other than the information obtained by anonymizing the position information actually measured from the user terminal. Also, information obtained by adding noise to the center coordinates, barycentric coordinates, and area may be stored. In addition, it is not necessary to memorize all the anonymous information of the positioning time, the interval of the memory may be constant, even if there are dynamic changes due to various factors such as anonymization processing load and data set size Good. (Second Embodiment)
  • the configuration of the information protection apparatus 10 in the second embodiment is the same as that in the first embodiment.
  • the process of generating anonymous information in the initial abstraction unit 24 is different from that in the first embodiment.
  • the initial abstraction unit 24 generates anonymous information so as to increase the continuity possibility.
  • the initial abstraction unit 24 when performing the initial abstraction, the initial abstraction unit 24 considers the density of the position information to be abstracted and derives the initial anonymity when generating anonymous information.
  • This initial anonymity can be set high according to the density of the location information.
  • the positioning data of adjacent positional information is grouped and abstracted with a minimum configuration within a range that satisfies k anonymity.
  • the formation of the minimum necessary anonymous information is difficult to perform the division process even after the elapse of time, and the degree of abstraction may not be suppressed until the synthesis process is performed.
  • the initial abstraction unit 24 sets the number of pieces of position information constituting anonymous information high in an area where the density of position information is high. That is, the initial abstraction unit 24 generates anonymous information so as to satisfy anonymity higher than a predetermined anonymity index required for anonymous information. In such a high-density area, it is possible to keep the degree of abstraction of positioning data low even if one piece of anonymous information is composed of many pieces of position information. Moreover, the freedom degree of the structure at the time of a division
  • FIG. 12 is a flowchart illustrating an example of the anonymization process according to the second embodiment.
  • the processing other than the initial abstraction unit 24 is the same as the processing shown in the flowchart of FIG. 5 in the first embodiment.
  • the initial abstraction unit 24 sets each location information to k anonymity. Abstraction of positioning data of each position information is performed so as to satisfy.
  • the initial abstraction unit 24 counts the number Rnum of position information existing within a radius R centered on the position indicated by the positioning data of the position information for each position information.
  • P is a set of all position information.
  • the initial abstraction unit 24 performs the following processing on the position information included in P in descending order of Rnum.
  • Q be the set of position information included within the radius R of the position information p ⁇ P. If
  • ⁇ (k ⁇ 1), the initial abstraction unit 24 processes P PQp and forms a cluster from p and Q (S503-1).
  • the initial abstraction unit 24 performs grouping so that position information that does not form a cluster satisfies k anonymity. At this time, the initial abstraction unit 24 targets the configured cluster and the positional information not included in the cluster until a cluster k such as a single connection method or a k-average method is used until all the clusters are equal to or larger than the size k. Clustering can be performed. Then, the initial abstraction unit 24 generates anonymous information of each finally formed cluster and stores it in the anonymous information storage unit 26 (S503-2).
  • a cluster k such as a single connection method or a k-average method
  • the initial abstraction unit 24 is not limited to the above-described S503-1 and S503-2.
  • the position information group is divided by clustering based on the density like the k-average method. If the cluster generated by the division includes k or more pieces of position information, further division is performed, and if it is less than k, the division is canceled. At this time, it is possible to generate a dense cluster in a dense zone by ending when the size of the area of the cluster falls below a certain threshold without performing the division by clustering until convergence.
  • the anonymous information is divided so that the abstraction degree of the positioning data is lower than the predetermined reference value, and the parent-child relationship is set in the anonymous information before and after the division. Therefore, when location information is added in real time, it is possible to ensure anonymity of the movement trajectory and to prevent the degree of abstraction of the positioning data included in the location information from becoming too high.
  • the division process is executed when the abstraction degree of the positioning data is higher than a predetermined reference value. Thereby, useless division can be prevented, and the continuity can be increased.
  • the dividing process is executed when the distance between the areas becomes larger than a predetermined threshold. That is, when it is considered that two or more groups are likely to proceed in different directions, the division process is performed. In other words, even if the abstraction level of the positioning data is higher than the predetermined reference value, the divided area may be approached again if the distance between the divided areas is short. Is not done. Thereby, it becomes possible to reduce the frequency
  • the abstraction degree of the positioning data can be made lower than that before the synthesis.
  • the first anonymous information can be generated so that the continuation possibility is high. That is, the initial abstraction unit 24 can generate anonymous information by grouping the positioning data so that the number of positions indicated by the positioning data included in the region of a predetermined size is maximized. Thereby, it becomes possible to improve the continuation possibility of anonymous information generated by anonymization.
  • this embodiment is for making an understanding of this invention easy, and is not for limiting and interpreting this invention.
  • the present invention can be changed / improved without departing from the spirit thereof, and the present invention includes equivalents thereof.
  • anonymous information generated by the initial abstraction unit 24 or the incremental abstraction unit 28 is stored in the anonymous information storage unit 26, but is generated outside the information protection apparatus 10.
  • Anonymous information may be stored in the anonymous information storage unit 26. That is, the incremental abstraction unit 28 can add anonymous information generated from position information added in real time to anonymous information provided from the outside.
  • the division process is performed when the continuity is less than the threshold.
  • the continuity is improved regardless of whether the continuity is less than the threshold. division may be performed so.
  • the abstraction level of positioning data can be determined in consideration of area characteristics.
  • the abstraction degree of positioning data may be determined in consideration of the number of people staying in the area, the population density of the area, and the density of facilities existing in the area. For example, even in an area of the same size, it can be determined that the degree of abstraction is higher as the density of facilities is higher. This is because the location information corresponding to many facilities is abstracted into one area in an area where the facility density is high.
  • the continuity evaluation unit 30 and the reconstruction unit 36 are provided separately from the division unit 32, but the continuity evaluation unit 30 and the reconstruction unit 36 are included in the division unit 32. Also good.
  • a moving locus storage unit that stores a moving locus that is a history of position information including a user identifier, positioning data indicating a user's position, and positioning time, and position information having the same positioning time is a predetermined anonymity index
  • Anonymous information that stores positioning data abstracted by grouping positioning data of position information of a plurality of users as anonymous information in association with identifiers of the movement trajectories of the plurality of users and the positioning time so as to satisfy
  • the anonymous information Anonymous information is generated by grouping and abstracting positioning data in the same group as the anonymous information stored in the storage unit, and stored in the anonymous information storage unit
  • An incremental abstraction unit stored in the anonymous information storage unit in association with anonymous information, and the anonymous information of the first positioning time satisfies the predetermined anonymity index, and the abstracted positioning in the anonymous information
  • the anonymous information Anonymous information is generated by grouping and abstracting positioning data in the same group as the anonymous information stored in the storage unit, and stored in the anonymous information storage unit
  • An incremental abstraction unit stored in
  • Additional remark 2 It is an information protection apparatus of Additional remark 1, Comprising: The position of several users with the same positioning time by which the said movement locus
  • An information protection device further comprising an initial abstraction unit that initially generates anonymous information including measured positioning data. *
  • (Supplementary note 6) The information protection apparatus according to any one of supplementary notes 1 to 5, wherein the degree of abstraction of the positioning data abstracted by the group after synthesis when synthesized is determined by each group before synthesis. On the condition that it is lower than the abstraction level of the abstracted positioning data, it is abstracted by a group obtained by combining two or more groups in the anonymous information of the third positioning time, and after the third positioning time.
  • An information protection device further comprising: a synthesizing unit that generates anonymous information including positioning data of a fourth positioning time and stores the anonymous information in the anonymous information storage unit in association with the anonymous information of the third positioning time.
  • trajectory which is a history of the positional information containing a user identifier, a user's position, and positioning time is stored in a movement locus
  • the positioning time is the same with reference to the said movement locus
  • By grouping and abstracting positioning data of position information of a plurality of users so that the position information of the plurality of users satisfies a predetermined anonymity index, the identifiers of the movement trajectories of the plurality of users, positioning times, and Anonymous information including the measured positioning data is initially generated and stored in the anonymous information storage unit, the moving locus storage unit is referenced, and the same positioning after the positioning time of the anonymous information stored in the anonymous information storage unit
  • the location information of the plurality of users including time is anonymous by grouping and abstracting the positioning data in the same group as the anonymous information stored in the anonymous information storage unit Information is generated, stored in the anonymous information storage unit in association with the anonymous information stored in the anonymous information storage unit,

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

　位置情報がリアルタイムに追加されていく場合において、移動軌跡の匿名性を確保するとともに、位置情報に含まれる測位データの抽象度が高くなりすぎることを抑制する。第１の測位時間の匿名情報が所定の匿名性指標を満たし、かつ、該匿名情報における抽象化された測位データの抽象度が所定の基準値より低くなるように、該第１の測位時間より前の第２の測位時間の匿名情報のグループを２つ以上のグループに分割し、分割されたグループにより抽象化された第１の測位時間の測位データを含む匿名情報を生成し、第２の測位時間の匿名情報と対応づけて匿名情報記憶部に格納する。

Description

情報保護装置及び情報保護方法
　本発明は、情報保護装置及び情報保護方法に関する。
　近年、携帯端末や自動車に搭載されたＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）や無線ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）等によって測位される測位データを含む位置情報の利用が様々な場面で増加している。さらに、位置情報を定期的に取得し、携帯端末や自動車のユーザの移動軌跡や行動履歴を記録するサービスが増加している。
　位置情報は、自宅や勤務先、通学先等、ユーザを特定可能な情報のほかに、趣味や通院先等の他人に知られたくない情報を含む可能性がある。そのため、位置情報はプライバシ性が高い情報である。また、位置情報の時系列情報である移動軌跡は、個人のプライバシ性の高い場所への経路や滞在、不在を表すことがあり、ユーザの特定可能性は単独の位置情報よりも高い。さらに、サービス提供者やデータ解析者による移動軌跡のリアルタイムな利用によって、ユーザは常に追跡や監視といった脅威に晒される。そのため、移動軌跡は非常にプライバシ性の高いプライバシ情報である。そこで、このようなプライバシ情報をサービス提供者やデータ解析者に提供する際には、匿名化によって匿名性を確保することが求められる。
　匿名化とは、ユーザを特定できないようにプライバシ情報を加工する処理である。ユーザを特定できない度合を示す指標を匿名性指標と呼ぶ。既存の匿名性指標として、ｋ匿名性（ｋ－ａｎｏｎｙｍｉｔｙ）がよく知られている。プライバシ情報の中で、ユーザを一意に識別することが可能な識別子ではないが、背景知識等を考慮するとユーザを識別する可能性がある情報は、準識別子（間接識別子）と呼ばれる。また、ユーザが知られたくない情報はセンシティブ情報と呼ばれる。ｋ匿名性は、準識別子の匿名化によって、同じ準識別子を持つセンシティブ情報がｋ個以上存在することを保証する指標である。ｋ匿名性を保証することで、ユーザが特定される可能性が１／ｋ以下となり、ユーザの特定を困難にすることができる。
　図１３のような患者の病状記録を例に挙げる。図１３の病状記録では、患者の病状が患者の名前、性別、職業、年齢と共に記録されている。病状はセンシティブ情報であり、プライバシ性の高い情報である。名前は個人を一意に識別する識別子であり、性別、職業、年齢は個人を識別する可能性のある準識別子である。例えば、患者の名前が分からなくても、職業と年齢の組合せに基づいて患者を推定することができる場合がある。つまり、たとえ患者の名前を伏せた状態であっても、患者の職業と年齢を知る人に、その患者の病状を知られてしまう可能性がある。これを回避するために、職業と年齢を抽象化したものが図１４である。図１４は、図１３の病状記録をｋ＝２のｋ匿名性が保証されるように、匿名化を行った匿名情報である。図１４の匿名情報では、職業と年齢が分かったとしても、すべての職業と年齢の組合せについて２通り以上の病状が存在する。これによって、患者の職業と年齢を知る人であっても、患者の病状を正確に知ることはできない。なお、匿名性の指標としては、ｋ匿名性以外にも、ｌ多様性やｔ近接性、ｍ不変性等が知られている。
O. Abul，F. Bonchi，M. Nanni著，「Never Walk Alone: Uncertainty for Anonymity in Moving Objects Databases」，Proceedings of The 24th International Conference on Data Engineering, IEEE，2008年4月，p. 376-385
　ところで、位置情報や移動軌跡は、上述のような情報とは性質が異なる。位置情報の測位データは特定の場所を指し示す情報である。測位データが誰にとってもプライバシ性の高い場所を示す場合もあるが、一般的に、特定の測位データのプライバシ性は紐づくユーザによって異なる。測位データが病院や自宅などの場所を示していたとしても、ユーザと測位データが紐づいただけでは、どんな意味を持つ場所かを推測することは困難である。一方、移動軌跡のように連続する測位データからは、滞在している時間帯や、その長さといった情報が得られる。このような情報からは、測位データの指し示す場所の意味を推測することが可能である。そして、推測した情報にもとづいてユーザを特定することが可能となる。したがって、移動軌跡を構成する測位データは準識別子であると同時に、センシティブ情報でもあると考えることができる。
　図１５は、位置情報にｋ匿名化を施した情報である。各点が位置情報の測位データを表し、楕円が楕円内に包含される位置情報の測位データを抽象化することによって位置情報を匿名化して得られる匿名情報である。図１５では、ｋ＝４のｋ匿名性が保証されており、ユーザの正確な位置はわからない。
　また、前述した位置情報の持つ特徴に加えて、移動軌跡はユーザの生活の実態を表すという特徴を持つ。ユーザと移動軌跡が紐づけられることで、そのユーザにとってプライバシ性の高い場所を含むすべての行き先・滞在先が露わになる。また、行動の監視や追跡をされる危険性がある。そのため、移動軌跡のプライバシ性は単独の位置情報や、単なる複数の位置情報の組合せと比べて、極めて高いプライバシ性を有する。さらに、移動軌跡中のいくつかの位置情報の測位データが露わになるだけで、ユーザの特定が可能な場合がある。例えば、自宅の場所や勤務先、最寄駅等の情報は、同僚や友人に知られていることが多い。そのため、移動軌跡の中にこれらの場所の測位データが含まれていると、移動軌跡が紐づくユーザが特定されてしまい、これらの場所以外の通院先や嗜好を明確にするような場所といったプライバシ情報が流出してしまうおそれがある。
　そこで、ユーザと移動軌跡の紐づけを困難にするために移動軌跡の匿名化が行われる。ｋ匿名性を保証するためには、ｋ個以上の移動軌跡を含むように匿名化された移動軌跡を生成する必要がある。図１６は、移動軌跡を匿名化した例を示す図である。図１６では、４個の移動軌跡を包含するようにチューブ状の移動軌跡が生成されている。このように移動軌跡とユーザとの対応付けを曖昧にした情報を匿名情報と呼ぶ。対象となる移動軌跡は移動軌跡の始点から終点までの全区間において匿名情報に包含される。そのため、匿名情報内の特定の時間における位置情報も常にｋ匿名性が満たされている。つまり、図１６に示される匿名情報は、ｋ匿名性（ｋ＝４）を満たしている。
　非特許文献１には、匿名情報による匿名化手法の一例が開示されている。非特許文献１は、蓄積された移動軌跡に対する匿名化の手法を示した論文であり、（ｋ，δ）－ａｎｏｎｙｍｉｔｙという匿名性指標を用い、データベースに蓄積された静的な移動軌跡をチューブ状に汎化する匿名化手法が提案されている。これは移動軌跡の始点と終点が明らかなデータに対して、移動軌跡間の距離が近いものをグループ化して抽象化することで匿名化を行う手法である。静的な移動軌跡に対するｋ匿名性の保証とは、始点－終点間で一貫してｋ個以上の移動軌跡が同じグループ（匿名情報）に含まれることを保証することである。これによって、ユーザの移動軌跡中のある１つの滞在地点が分かったとしても、どの移動軌跡であるかを特定することはできない。移動軌跡の集合は、緯度・経度とそれらを測位した時間の３次元空間においてチューブ状に抽象化され、匿名情報として出力される。
　図１６に示した匿名化の手法は、 あらかじめ決まった期間の移動軌跡に対する匿名化には有効であるが、位置情報が時々刻々と追加されるような移動軌跡をリアルタイムに匿名化するには必ずしも有効ではない。このような環境では、未知の位置情報が定期的に到着することによって移動軌跡が時間軸上に伸長（増加）していく。そのため、匿名性を保証しながら移動軌跡をリアルタイムに利用するためには、移動軌跡の増分に対するリアルタイムな匿名化が必要となる。このような匿名化を行う場合、既に匿名化された結果を考慮したうえで増分に対する匿名化を行う必要がある。これは、静的な移動軌跡に対する匿名化と同様に、複数の位置情報の組み合わせを利用することによるユーザと移動軌跡の対応付けを困難にするためである。図１６に示した匿名化の手法は、蓄積済の移動軌跡に対して匿名化を行うものであり、移動軌跡の増分に対する匿名化は想定されていない。特に、図１６に示した匿名化の手法は、始点と終点間の全経路において匿名性を満たすように一度に匿名化を行う巨視的なものであり、移動軌跡の増分のように局所的な位置情報を対象とするものではない。
　そのため、新たに到着した増分に対して図１６に示した匿名化の手法を適用する場合、増分データとそれ以前のデータをそれぞれ終点および始点と捉えた短い経路に対して匿名化を行うことが想定される。このようなときにｋ匿名性を保証するには、以前に匿名化した匿名情報と少なくともｋ個以上の同じ移動軌跡を用いて匿名情報を構成する必要がある。
　ところで、ユーザは、それぞれ個々人の思考で行動し、移動する。そのため、過去のある時点において移動軌跡が隣接していたユーザが、将来も同じように隣接した移動軌跡を辿り続けるとは言い難い。そのため、図１６に示した匿名化の手法では、時間の経過に伴って、匿名情報を形成する移動軌跡同士の地理的類似度は低くなり、匿名情報の抽象度が徐々に高くなっていくことが想定される。つまり、常に同じ移動軌跡の組合せから匿名情報を構成すると、移動軌跡に含まれる位置情報の測位データが過度に抽象化されてしまい、意味のない情報となってしまうことがある。また、過去に匿名化した移動軌跡を考慮せずに、異なる時間間隔の移動軌跡をそれぞれ独立して匿名化を行うと匿名性を担保できない。
　本発明はこのような事情に鑑みてなされたものであり、位置情報がリアルタイムに追加されていく場合において、移動軌跡の匿名性を確保するとともに、位置情報に含まれる測位データの抽象度が高くなりすぎることを抑制することを目的とする。
　本発明の一側面に係る情報保護装置は、ユーザ識別子、ユーザの位置を示す測位データ、及び測位時間を含む位置情報の履歴である移動軌跡を記憶する移動軌跡記憶部と、測位時間が同一の位置情報が所定の匿名性指標を満たすように、複数のユーザの位置情報の測位データをグループ化して抽象化された測位データを、複数のユーザの移動軌跡の識別子及び測位時間と対応づけて匿名情報として記憶する匿名情報記憶部と、移動軌跡記憶部を参照し、匿名情報記憶部に記憶されている匿名情報の測位時間より後の同一の測位時間を含む、複数のユーザの位置情報について、匿名情報記憶部に記憶されている匿名情報と同一のグループで測位データをグループ化して抽象化することにより匿名情報を生成し、匿名情報記憶部に記憶されている匿名情報と対応づけて匿名情報記憶部に格納する増分抽象化部と、第１の測位時間の匿名情報が所定の匿名性指標を満たし、かつ、該匿名情報における抽象化された測位データの抽象度が所定の基準値より低くなるように、該第１の測位時間より前の第２の測位時間の匿名情報のグループを２つ以上のグループに分割し、分割されたグループにより抽象化された第１の測位時間の測位データを含む匿名情報を生成し、第２の測位時間の匿名情報と対応づけて匿名情報記憶部に格納する分割部と、を備える。
　なお、本発明において、「部」とは、単に物理的手段を意味するものではなく、その「部」が有する機能をソフトウェアによって実現する場合も含む。また、１つの「部」や装置が有する機能が２つ以上の物理的手段や装置により実現されても、２つ以上の「部」や装置の機能が１つの物理的手段や装置により実現されても良い。
　本発明によれば、位置情報がリアルタイムに追加されていく場合において、移動軌跡の匿名性を確保するとともに、位置情報に含まれる測位データの抽象度が高くなりすぎることを抑制することができる。
本発明の第１の実施形態である情報保護装置の構成を示す図である。 移動軌跡の匿名化の一例を示す図である。 匿名情報の動的再構成の一例を示す図である。 匿名情報の構成の一例を示す図である。 第１の実施形態における匿名化処理の一例を示すフローチャートである。 匿名情報の分割の一例を示す図である。 匿名情報の合成の一例を示す図である。 匿名情報の再構築の一例を示す図である。 匿名情報の一例を示す図である。 第１の実施形態における匿名情報の推移の一例を示す図である。 第２の実施形態における匿名情報の推移の一例を示す図である。 第２の実施形態における匿名化処理の一例を示すフローチャートである。 患者の病状記録の一例を示す図である。 患者の病状記録を匿名化した一例を示す図である。 位置情報を匿名化した一例を示す図である。 移動軌跡を匿名化した一例を示す図である。
　以下、図面を参照して本発明の一実施形態について説明する。
（第１の実施形態）
　まず、本発明の第１の実施形態について説明する。図１は、本発明の第１の実施形態である情報保護装置の構成を示す図である。
　情報保護装置１０は、位置情報受付部２０、移動軌跡記憶部２２、初期抽象化部２４、匿名情報記憶部２６、増分抽象化部２８、継続可能性評価部３０、分割部３２、合成部３４、再構築部３６、匿名性指標受付部３８、及び継続可能性基準値受付部４０を含んで構成されている。情報保護装置１０は、例えばサーバ等の情報処理装置であり、ＣＰＵやメモリ、記憶装置を含んでいる。そして、移動軌跡記憶部２２及び匿名情報記憶部２６は、メモリや記憶装置上の記憶領域を用いて実現することができる。また、位置情報受付部２０、初期抽象化部２４、増分抽象化部２８、継続可能性評価部３０、分割部３２、合成部３４、再構築部３６、匿名性指標受付部３８、及び継続可能性基準値受付部４０は、メモリに格納されたプログラムをＣＰＵが実行することにより実現することができる。
　情報保護装置１０は、複数のユーザから送信されてくる位置情報の履歴である移動軌跡に対してリアルタイムに匿名化を施し、匿名情報を出力する。情報保護装置１０の各部の詳細な説明の前に、情報保護装置１０における匿名化の概念について説明する。
　図２は、移動軌跡の匿名化の一例を示す図である。ここで、移動軌跡は、複数の位置情報から構成されるユーザ毎の位置情報の時系列情報である。また、各位置情報には、ユーザの位置を示す測位データが含まれている。そのため、ユーザがある日時にある場所にいたことを知っている場合、移動軌跡の閲覧者は、そのユーザがそれ以外にどこに行ったのかを知ることができてしまう可能性がある。そこで、情報保護装置１０は、移動軌跡のｋ匿名性をリアルタイムに保証し、閲覧者が知らない位置情報や移動軌跡が知られてしまうことを抑制する。
　図２の例では、ｋ匿名性（ｋ＝４）を満たすように、ユーザＡ～Ｄの移動軌跡が匿名化（抽象化）されている。図２において、各点はある時刻におけるユーザ毎の位置情報に対応し、位置情報の測位データによって示される位置を表している。そして、点と点をつなぐ矢印は、矢印の始点の位置から終点の位置へ当該ユーザが移動したことを表し、点と矢印の接続関係による連鎖が当該ユーザの移動軌跡を表す。また、楕円は複数の位置情報によって示される位置を含む範囲（エリア）を表す。楕円に含まれる点は、その点を示す位置情報の当該ユーザがそのエリア内に滞在したことを表す。
　図２の例では、時刻ｔ０において、４人のユーザの位置情報が楕円の中に含まれている。これは、４人のユーザの時刻ｔ０における位置情報を、測位データのグループ化（クラスタリング）によって楕円が示すエリアに抽象化することにより、匿名化していることを示している。図２に示すように、４人のユーザの位置情報は、ｋ匿名性（ｋ＝４）を満たすエリアに抽象化される形で匿名化されている。同様に、時刻ｔ１における各ユーザの位置情報もｋ匿名性を満たしている。
　このとき、ｔ１の匿名情報をｔ０の匿名情報を構成するユーザからｋ人以上を選んで構成することで、［ｔ０，ｔ１］間の移動軌跡はｋ匿名性を満たすこととなる。図２では、二つの楕円とその間を結ぶ点線が、その楕円間がｋ匿名性を満たすように匿名化されていることを表している。
　情報保護装置１０は、匿名情報の生成をリアルタイムに行うことができる。例えば、既に時刻ｔ２までの匿名情報が生成されている状態で、さらに、時刻ｔ３の位置情報が追加された場合、情報保護装置１０は、時刻ｔ２までの匿名情報を考慮したうえで時刻ｔ３の位置情報から匿名情報をリアルタイムに生成する。
　図２において、時刻ｔ３における位置情報は、白抜きされた点（白点）で表されている。白点は、各ユーザの位置情報の内、最近測位された位置情報を表している。それ以外の点（以降、黒点）は、白点以前に受信した位置情報であり、既に匿名情報を構成している位置情報である。白点に対する匿名化は、同じユーザの黒点が含まれる匿名情報と同じグループで行うことができる。このように匿名化を行うことで、移動軌跡のｋ匿名性を満たしながら、移動軌跡の新たな増分データ（白点）に対する匿名化を、増分データの到着に合わせてリアルタイムに行うことが可能となる。
　ただし、常に同じ移動軌跡の組合せを用いて匿名情報を構成すると、匿名情報におけるエリアが徐々に広くなってくることが考えられる。つまり、測位データの抽象度が過剰となってしまうことがある。このように、測位データの抽象度が過剰になってしまうと、匿名性を保証することができるものの、情報の損失が大きい位置情報、移動軌跡となってしまい、利用価値の少ない匿名情報となってしまう可能性がある。
　そこで、情報保護装置１０は、匿名情報の分割や合成によって匿名情報を動的に再構成することにより、測位データの抽象度が高くなりすぎることを抑制している。図３は、情報保護装置１０における匿名情報の動的再構成の一例を示す図である。図３に示す例では、左側の匿名情報は、途中で２つに分割されている。また、右側の匿名情報は、途中で別の匿名情報と合成されている。このように匿名情報の分割や合成を行うことにより、分割や合成前よりも測位データの抽象度が高くなりすぎてしまうことが抑制されている。
　なお、測位データの抽象度は、匿名情報の情報量を示すものであり、例えば、エリアの大きさや、エリアに含まれる位置情報の密度により求められる。例えば、広すぎるエリアは利用価値が少なく、匿名情報の情報量が小さいと言うことができる。
　図１に戻り、情報保護装置１０における各部の詳細について説明する。
　位置情報受付部２０は、複数のユーザ端末とネットワークを介して通信可能に接続されている。ユーザ端末は、ＧＰＳや無線ＬＡＮ等による測位機能を有する情報処理装置であり、例えば、携帯端末やカーナビゲーション装置等である。このようなユーザ端末では、定期的に端末の位置を測位し、測位された経度・緯度・高度等の情報を含む測位データに、測位時間やユーザＩＤを付加した位置情報を例えば携帯電話の無線ネットワークを介して位置情報保護装置１０に送信する。位置情報受付部２０はこのように定期的に送信されてくる各ユーザ端末からの位置情報を受信し、移動軌跡記憶部２２に格納する。
　なお、ユーザＩＤは、ユーザを識別可能な情報であり、例えば、ユーザ名や、ユーザＩＤ、端末ＩＤを用いることができる。また、測位データは、緯度・経度・高度等によって表現される詳細な情報に限られず、例えば、総務省が規定する地域メッシュコードによって表現されるような所定の範囲を表すエリア情報等であっても良い。
　移動軌跡記憶部２２は、位置情報受付部２０が時々刻々と連続的に受信したユーザの位置情報をユーザ毎に記録する。つまり、移動軌跡記憶部２２には、位置情報の履歴である移動軌跡が記憶される。なお、移動軌跡記憶部２２には、ユーザ毎に時系列に沿って位置情報を格納してもよいし、特に順序は関係なく位置情報を格納してもよい。
　初期抽象化部２４は、匿名情報がまだ作成されていないユーザの位置情報について、測位時間が同一の複数のユーザの位置情報の測位データをグループ化して抽象化することにより匿名情報を生成し、匿名情報記憶部２６に格納する。なお、測位データをグループ化する際に、測位時間が完全に同一である必要はなく、ある幅の同一の時間帯に属している測位時間を同一の測位時間と判定することができる。
　図４は、匿名情報記憶部２６に格納される匿名情報の一例を示す図である。図４に示すように、匿名情報には、匿名情報ＩＤ、親匿名情報ＩＤ、移動軌跡ＩＤ、測位時間、及びエリア情報が含まれる。
　匿名情報ＩＤは、匿名情報の識別子であり、測位データの抽象化により生成される、位置情報のグループを示している。例えば、図２に示した１連の匿名情報に対して、１つの匿名情報ＩＤが付与される。そして、分割や合成等の再構成処理によって、匿名情報における位置情報のグループが変更されると、新たに生成された匿名情報に対して新たな匿名情報ＩＤが付与される。このとき、再構成前の匿名情報と再構成後の匿名情報とを関連づけるために、再構成前の匿名情報ＩＤが親匿名情報ＩＤに設定される。つまり、親匿名情報ＩＤは、匿名情報の親子関係を示す情報である。
　移動軌跡ＩＤは、匿名情報に含まれる複数のユーザの移動軌跡の識別子である。例えば、図２に示した匿名情報には、ユーザＡ～Ｄの４人の移動軌跡が含まれている。この場合、匿名情報がどのユーザの移動軌跡を匿名化したものであるかを示す情報が移動軌跡ＩＤに設定される。例えば、図４に示すように、ユーザＡ～Ｄの４人の移動軌跡に対する移動軌跡ＩＤとしてＡ～Ｄが設定される。なお、移動軌跡ＩＤは、あるユーザの移動軌跡に対する匿名情報が既に存在するかどうかを確認するために用いられる。例えば、移動軌跡ＩＤには、位置情報に含まれるユーザＩＤを設定することができる。この場合、位置情報に含まれるユーザＩＤが移動軌跡ＩＤとして設定された匿名情報の存在有無を確認することにより、あるユーザに対する匿名情報が既に作成されているかどうかを確認することができる。また、移動軌跡ＩＤは、ユーザＩＤそのものでなくてもよく、ユーザＩＤとの関係を識別可能なものであればよい。また、移動軌跡ＩＤのみによってユーザＩＤとの関係を識別可能である必要はなく、例えば、ユーザＩＤと移動軌跡ＩＤとの対応関係を示す情報を匿名情報とは別に匿名情報記憶部２６に格納しておくこととしてもよい。
　測位時間には、測位データをグループ化する際の基準とされた測位時間が設定される。なお、匿名情報における測位時間は、特定の時刻ではなく、ある幅を有する時間帯を示す情報とすることができる。
　エリア情報には、複数のユーザの位置情報の測位データによって示される位置を包含するエリアを識別するための情報が設定される。例えば、図２に示したように匿名情報におけるエリアの形状を楕円とする場合であれば、中心点の緯度・経度、長径、短径をエリア情報に設定することができる。なお、エリアの形状は楕円に限られず、識別可能な形状であれば任意の形状とすることができる。
　図１に戻り、増分抽象化部２８は、匿名情報が既に作成されているユーザの位置情報を移動軌跡記憶部２２から抽出し、測位データをグループ化して抽象化することにより、位置情報を匿名化する。この際、増分抽象化部２８は、匿名情報記憶部２６に記憶されている匿名情報と同一のグループで測位データをグループ化して抽象化することにより匿名情報を生成する。これにより、先に匿名情報記憶部２６に記憶されている匿名情報がｋ匿名性を満たしていれば、新たに生成される匿名情報もｋ匿名性を満たすこととなる。
　継続可能性評価部３０は、増分抽象化部２８が位置情報の測位データを抽象化して生成した匿名情報の継続可能性を評価する。ここで、継続可能性とは、分割や合成を行わずに匿名情報を同じ移動軌跡の組合せで継続可能な度合いを示す指標であり、匿名情報の情報量によって判定することができる。継続可能性の指標の具体例としては、エリアの大きさや匿名情報の密度があげられる。匿名情報の密度は、例えば、匿名情報を構成する移動軌跡の数をエリアの大きさで割ることにより求めることができる。
　分割部３２は、増分抽象化部２８が測位データの抽象化によって生成した匿名情報を、抽象化の度合いが小さくなるように複数の匿名情報に分割する。なお、分割部３２は、匿名情報を構成する移動軌跡の数がｋ以上になるように、すなわち、分割後もｋ匿名性が満たされるように分割を行う。分割後の匿名情報は、分割前の匿名情報と対応づけられて匿名情報記憶部２６に格納される。つまり、分割後の匿名情報には、分割前の匿名情報とは異なる新たな匿名情報ＩＤが付与されるとともに、分割前の匿名情報の匿名情報ＩＤが親匿名情報ＩＤに設定される。
　合成部３４は、増分抽象化部２８や分割部３２が生成した匿名情報を、抽象化の度合いが小さくなるように複数の匿名情報を一つの匿名情報に合成する。合成後の匿名情報は、合成前の匿名情報と対応づけられて匿名情報記憶部２６に格納される。つまり、合成後の匿名情報には、合成前の匿名情報とは異なる新たな匿名情報ＩＤが付与されるとともに、合成前の匿名情報の匿名情報ＩＤが親匿名情報ＩＤに設定される。
　再構築部３６は、分割により生成された匿名情報が、分割前の匿名情報と対応づけられると、分割前後の匿名情報を含む匿名化された移動軌跡がｋ匿名性を満たさない場合、分割前後の匿名情報の対応関係を解消する。つまり、分割後の匿名情報に対して分割前の匿名情報とは異なる匿名情報ＩＤが付与されるとともに、親匿名情報ＩＤが初期化される。このような再構築は、合成された匿名情報が再度分割された場合に必要となることがある。例えば、ｋ個の移動軌跡から構成される２つの匿名情報を合成し、その後分割が行われると、合成以前と同じ移動軌跡から構成される匿名情報へ分割される場合のみ、移動軌跡のｋ匿名性が保証され、それ以外の場合はｋ匿名性が保証されない。このようにｋ匿名性が保証されない分割処理時に、再構築部３６による匿名情報の再構築が行われる。
　匿名性指標受付部３８は、情報保護装置１０において移動軌跡を匿名化する際の基準となる匿名性指標（例えば、ｋ匿名性における“ｋ”）をユーザから受け付けて記憶する。
　継続可能性基準値受付部４０は、匿名情報の継続可能性を判断する際の基準値をユーザから受け付けて記憶する。前述したように、この基準値は、例えば、匿名情報における測位データの抽象度を示す値とすることができる。
　次に、情報保護装置１０における匿名化処理について具体例を参照しつつ説明する。図５は、第１の実施形態における匿名化処理の一例を示すフローチャートである。また、図６～図９は、生成される匿名情報の一例を示す図である。ここでは、匿名性指標受付部３８が受け付けた匿名性指標が、ｋ＝２のｋ匿名性であるとして説明する。
　位置情報受付部２０は、複数のユーザ端末から位置情報を定期的に受け付け、位置情報の履歴を移動軌跡として移動軌跡記憶部２２に蓄積する（Ｓ５０１）。例えば、位置情報受付部２０は、各ユーザ端末から１分置きにユーザの位置情報を受信する。
　増分抽象化部２８は、移動軌跡記憶部２２から定期的に位置情報を受け取り、位置情報の測位データを抽象化することにより匿名情報を生成する。例えば、増分抽象化部２８には、位置情報受付部２０が１分置きに受信する位置情報が移動軌跡記憶部２２を介して受け渡される。増分抽象化部２８は、位置情報を受け取ると、各位置情報と対応する移動軌跡ＩＤを持つ匿名情報が匿名情報記憶部２６に存在しているか確認する（Ｓ５０２）。なお、匿名情報の存在有無の確認は、初期抽出化部２４が行ってもよい。
　対応する匿名情報が存在しない場合（Ｓ５０２：Ｎ）、初期抽象化部２４は、測位時間が同一の位置情報について、各グループ（クラスタ）がｋ個以上の位置情報から構成されるように、測位データによって示される位置が近い位置情報をグループ化（クラスタリング）する。つまり、初期抽象化部２４は、複数のユーザの位置情報の測位データをグループ化して抽象化することにより匿名情報を生成する（Ｓ５０３）。具体的には、初期抽象化部２４は、各グループにおける位置情報の測位データで示される位置を包含するエリアを求め、このエリアを示すエリア情報が設定された匿名情報を生成する。なお、複数の位置を包含するエリアは、例えば、これらの位置を包含する面積が最小の楕円とすることができる。図６には、時刻ｔ０における５人のユーザの位置情報をグループ化して匿名情報を新たに生成した例が示されている。また、図６の例では、この匿名情報に対して“Ｔ００１”の匿名情報ＩＤが付与されている。また、図９には、匿名情報記憶部２６に格納された匿名情報の例が示されている。このように位置情報を抽象化することで、エリアに含まれるユーザの位置情報は同一視され、ユーザの詳細な位置を特定することができなくなる。
　一方、対応する匿名情報が存在する場合（Ｓ５０２：Ｙ）、増分抽象化部２８は、その匿名情報を構成する移動軌跡の集合と同じ移動軌跡ＩＤを持つすべての位置情報に対して、測位データの抽象化を実施する（Ｓ５０４）。そして、増分抽象化部２８は、先に生成された匿名情報と同じ匿名情報ＩＤ及び移動軌跡ＩＤを付与した匿名情報を生成する。例えば、図６では、時刻ｔ１における５人のユーザの位置情報について、時刻ｔ０の匿名情報と同一のグループで測位データをグループ化して抽象化することにより匿名情報が生成されている。
　続いて、継続可能性評価部３０は、増分抽象化部２８によって生成された匿名情報に対して継続可能性を評価する（Ｓ５０５）。例えば、エリアの面積が所定の基準値より大きい場合や、匿名情報の密度が所定の基準値より低い場合に、継続可能性が閾値未満であると判断される。例えば、図６では、時刻ｔ１の匿名情報は継続可能性を満たすものであると判定されている。
　継続可能性が閾値未満である場合（Ｓ５０５：Ｙ）、匿名情報の動的再構成が行われる。本実施形では、匿名情報の動的再構成として、分割処理及び合成処理が実行される。
　分割部３２は、継続可能性が閾値未満となった匿名情報を分割する（Ｓ５０６）。なお、分割処理には、既存のクラスタリング手法や、分類手法の適用が可能であり、状況に応じて様々な手法を選択して適用したり、組み合わせて適用したりすることが考えられる。例えば、分割部３２は、２ｋ個以上の移動軌跡が含まれる匿名情報を２つの匿名情報に分割することができる。このとき、移動軌跡の数が２ｋ個未満であるために分割できなかった匿名情報は、後の合成処理の候補として合成候補リストに追加することができる。また、分割部３２は、継続可能性が閾値未満となっているのが一時的なものであるかどうかを考慮したうえで匿名情報を分割することができる。例えば、分割部３２は、分割後の二つの匿名情報のエリア間にオーバーラップがなく、エリア間の距離が閾値以上である場合に匿名情報を分割する。
　ここで、エリア間の距離は、例えば、２つのエリアの最近接点間の距離や、２つのエリアの中心点間の距離とすることができる。また、エリア間の距離は、前の時刻におけるエリアから分割後の２つのエリアへの遷移の角度であってもよい。
　例えば、図６の時刻ｔ２における匿名情報は、エリアが広くなり、継続可能性が閾値未満となっている。そのため、この匿名情報を破線で示した２つのグループに分割することが考えられる。このとき、２つのグループのエリア間の距離ｌ（エル）２は、所定の閾値Ｌよりも小さいため、分割部３２は分割処理を行わない。
　また、例えば、図６の時刻ｔ３においても同様に２つのグループに分割することが考えられる。このとき、２つのグループのエリア間の距離ｌ（エル）３は、所定の閾値Ｌより大きいため、分割部３２は、新たな２つの匿名情報を生成する。そして、分割部３２は、図９に示すように、分割により生成された２つの匿名情報に匿名情報ＩＤとして“Ｔ００２”、“Ｔ００３”を付与し、親匿名情報ＩＤに“Ｔ００１”を設定する。
　分割処理が行われた後、再構築部３６は、分割後の匿名情報がｋ匿名性に違反していないかどうか確認し（Ｓ５０７）、違反している場合は（Ｓ５０７：Ｙ）、移動軌跡の再構築を行う（Ｓ５０８）。前述したように、このような再構築が必要となるのは合成された匿名情報を分割する場合である。再構築の具体例については合成処理の後に説明する。
　続いて、合成部３４による合成処理が実行される（Ｓ５０９）。分割処理時に、移動軌跡の数が２ｋ未満であり、分割できなかった匿名情報が合成処理の候補として合成候補リストに追加される。合成部３４は、合成候補リストに含まれる匿名情報に対して、合成後の継続可能性が合成前の２つの匿名情報の継続可能性の平均よりも高くなるように匿名情報の合成を行う。具体的には、合成部３４は、合成候補リスト内の匿名情報について、エリアがオーバーラップする面積が大きいものから順に合成を試みる。そして、合成部３４は、合成後の匿名情報の継続可能性が、合成前の二つの匿名情報の継続可能性の平均よりも大きければ合成を承認し、そうでなければ合成を行わない。この処理が、合成候補リスト内のすべての匿名情報に対して行われる。そして、合成部３４は、合成後の匿名情報に対して新たに匿名情報ＩＤを付与し、親匿名情報ＩＤに合成前の匿名情報ＩＤを設定する。
　例えば、図７の時刻ｔ５において、匿名情報ＩＤが“Ｔ００３”と“Ｔ００４”の２つの匿名情報が合成候補リストに含まれているとする。ここで、合成部３４は、これら２つの匿名情報を合成した場合に継続可能性が改善されるかどうかを判定する。図７の例では、継続可能性が改善されないと判定され、時刻ｔ５においては合成は行われていない。一方、時刻ｔ６においては、２つの匿名情報を合成することにより、継続可能性が改善されるため、合成部３４は２つの匿名情報を合成し、匿名情報ＩＤが“Ｔ００５”である新たな匿名情報を生成している。
　図８には、時刻ｔ６に合成された匿名情報が時刻ｔ７に再度分割された例が示されている。図８に示すように、時刻ｔ７において、匿名情報ＩＤが“Ｔ００６”、“Ｔ００７”である２つの匿名情報が生成されている。このとき、再構築部３６は、時刻ｔ７までの移動軌跡がｋ匿名性に違反するかどうかを評価する。違反する場合、再構築部３６は、分割後の匿名情報に対して新たに移動軌跡ＩＤを付与するとともに、親匿名情報ＩＤを初期化する。この再構築処理により、移動軌跡の継続性はなくなるものの、ｋ匿名性は維持されることとなる。
　そして、最後に、抽象化処理、分割処理、再構築処理、及び合成処理により生成された匿名情報が匿名情報記憶部２６に格納される（Ｓ５１０）。これにより、図９に示すように、分割や合成により構成された親子関係が設定された匿名情報が匿名情報記憶部２６に格納される。また、再構築により親子関係が解消された匿名情報が匿名情報記憶部２６に格納される。なお、匿名情報記憶部２６に対する匿名情報の格納は、各処理において個別に行ってもよい。
　匿名情報記憶部２６に記憶される匿名情報は、チューブ状の情報でなくてもよい。例えば、匿名情報の中心点や重心点の座標値、エリア内からランダムに標本した座標値であってもよい。また、匿名情報の本来のエリアを記憶するのではなく、中心座標や重心座標からある一定サイズのエリアを常に記憶し続けてもよい。また、記憶する匿名情報内には、実際にユーザ端末から測位した位置情報を匿名化した情報以外が含まれてもよい。また、中心座標、重心座標、エリアに対してノイズを付加した情報を記憶してもよい。加えて、測位時刻すべての匿名情報を記憶しなくてもよく、記憶の間隔は一定でもよいし、匿名化処理の負荷やデータセットのサイズ等の様々な要因から動的に変更があってもよい。
（第２の実施形態）
　次に、本発明の第２の実施形態について説明する。第２の実施形態における情報保護装置１０の構成は第１の実施形態と同様である。ただし、初期抽象化部２４において匿名情報を生成する処理が第１の実施形態とは異なっている。具体的には、第２の実施形態では、初期抽象化部２４は、継続可能性が高くなるように匿名情報の生成を行う。
　例えば、初期抽象化部２４は、初期抽象化を行う際に、抽象化対象の位置情報の密集度を考慮して、匿名情報を生成するときの初期匿名度を導出する。この初期匿名度は、位置情報の密集度に応じて高く設定することができる。初期匿名度を大きくすることで、その分だけ分割による細分化を行い易く、移動軌跡の再構築(合成後の分割)による情報損失の機会を減らすことができる。そのため、ユーザの移動軌跡を匿名化した匿名情報を、長い期間に渡って連続した情報として提供することが可能となる。
　図１０は、ｋ匿名性（ｋ＝３）を満たすように第１の実施形態で匿名化を行った移動軌跡の匿名情報の一例を示している。図１０の例では、はじめに匿名情報を形成する際に、近接する位置情報の測位データがｋ匿名性を満たす範囲内で最小限の構成でグループ化し、抽象化している。このように必要最小限の匿名情報の形成は、時間経過後も分割処理が行いづらく、合成処理を行うまで抽象化の度合いを抑制することができない場合がある。
　そこで、第２の実施形態では、初期抽象化部２４は、図１１に示すように、位置情報の密集度の高い区域では、匿名情報を構成する位置情報の数を高く設定している。つまり、初期抽象化部２４は、匿名情報に対して求められる所定の匿名性指標より高い匿名性を満たすように匿名情報の生成を行っている。このように密集度の高い区域においては、多くの位置情報から一つの匿名情報を構成しても、測位データの抽象度を低く抑えることが可能である。また、分割時の構成の自由度も高く、継続可能性の高い匿名情報を構成することが可能となる。
　図１２は、第２の実施形態における匿名化処理の一例を示すフローチャートである。図１２に示すフローチャートにおいて、初期抽象化部２４以外の処理については第１の実施形態における図５のフローチャートで示した処理と同じである。
　ここでは、第１の実施形態とは異なる、初期抽出化部２４における処理についてのみ説明する。
　初期抽象化部２４は、移動軌跡記憶部２２から抽出した位置情報のユーザ識別子に対応する匿名情報が匿名情報記憶部２６に存在しない場合に（Ｓ５０２：Ｎ）、各位置情報がｋ匿名性を満たすように各位置情報の測位データの抽象化を行う。まず、初期抽象化部２４は、各位置情報に対して、位置情報の測位データで示される位置を中心とする半径Ｒ以内に存在する位置情報の数Ｒｎｕｍを数える。ここで、すべての位置情報の集合をＰとする。初期抽象化部２４は、Ｐに含まれる位置情報に対して、Ｒｎｕｍが多い順に以下の処理を行う。位置情報ｐ∈Ｐの半径Ｒ以内に含まれる位置情報の集合をＱとする。初期抽象化部２４は、｜Ｑ｜≧（ｋ－１）であれば、Ｐ＝Ｐ－Ｑ－ｐを処理し、ｐとＱからクラスタを構成する（Ｓ５０３－１）。
　次に、初期抽象化部２４は、クラスタを形成していない位置情報がｋ匿名性を満たすようにグループ化する。このとき、初期抽象化部２４は、構成されたクラスタとクラスタに含まれない位置情報を対象にして、単連結法やｋ平均法などのクラスタリング手法で、すべてのクラスタがサイズｋ以上になるまでクラスタリングを行うことができる。そして、初期抽象化部２４は、最終的に形成された各クラスタの匿名情報を生成し、匿名情報記憶部２６に格納する（Ｓ５０３－２）。
　また、初期抽象化部２４は、上述のＳ５０３－１とＳ５０３－２の限りではない。例えば以下のような方法でもよい。すべての位置情報を対象に、ｋ平均法のような密集度に基づくクラスタリングで位置情報群を分割する。分割によって生成されたクラスタがｋ個以上の位置情報を含んでいればさらに分割を行い、ｋ個未満であればこの分割を取りやめる。このとき、収束するまでクラスタリングによる分割を行わずに、クラスタのエリアのサイズがある閾値以下になったら終了させることで、密集地帯では密なクラスタを生成できる。
　以上、本発明の実施形態について説明した。本実施形態によれば、測位データの抽象度が所定の基準値より低くなるように匿名情報が分割されるとともに、分割前後の匿名情報に親子関係が設定される。したがって、位置情報がリアルタイムに追加されていく場合において、移動軌跡の匿名性を確保するとともに、位置情報に含まれる測位データの抽象度が高くなりすぎることを抑制することが可能となる。
　また、本実施形態では、測位データの抽象度が所定の基準値より高い場合に分割処理が実行される。これにより、無駄な分割を防ぐことが可能となり、継続可能性を高めることができる。
　また、本実施形態では、エリア間の距離が所定の閾値より大きくなる場合に分割処理が実行される。つまり、２つ以上のグループが異なる方向へ進んでいく可能性が高いと考えられる場合に、分割処理が行われる。換言すると、測位データの抽象度が所定の基準値より高くなった場合であっても、分割されたエリア間の距離が近い場合は、分割されたエリアが再び近づく可能性があるため、分割処理は行われない。これにより、分割の回数を削減することが可能となり、将来の継続可能性を高めることができる。
　また、本実施形態では、分割すると匿名性指標が満たされなくなってしまう２つ以上の匿名情報を合成することにより、測位データの抽象度を合成前よりも低くすることができる。
　さらに、本実施形態では、合成された匿名情報が再度分割された場合に、移動軌跡が匿名性指標を満たさなくなる場合は、分割前後の親子関係が解消される。これにより、移動軌跡の匿名性を確保することが可能となる。
　また、本実施形態では、継続可能性が高くなるように最初の匿名情報を生成することができる。すなわち、初期抽象化部２４は、所定の大きさの領域に含まれる測位データによって示される位置の数が最大となるように測位データをグループ化して匿名情報を生成することができる。これにより、匿名化により生成される匿名情報の継続可能性を高めることが可能となる。
　なお、本実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明は、その趣旨を逸脱することなく、変更／改良され得るととともに、本発明にはその等価物も含まれる。
　例えば、本実施形態では、初期抽象化部２４または増分抽象化部２８によって生成された匿名情報が匿名情報記憶部２６に格納される例を示したが、情報保護装置１０の外部で生成された匿名情報が匿名情報記憶部２６に格納されることとしてもよい。つまり、増分抽象化部２８は、外部から提供される匿名情報に対して、リアルタイムに追加される位置情報から生成される匿名情報を追加していくことができる。
　また、例えば、本実施形態では、継続可能性が閾値未満である場合に分割処理が行われることとしたが、継続可能性が閾値未満であるかどうかにかかわらず、継続可能性が改善されるように分割を行うこととしてもよい。
　また、本実施形態では、測位データの抽象度を判定するための指標として、匿名情報におけるエリアの大きさや、エリアに含まれる位置情報の密度を示したが、匿名情報以外の情報を考慮して測位データの抽象度を判定することとしてもよい。例えば、エリアの特性を考慮して、測位データの抽象度を判定することもできる。具体的には、例えば、エリアに滞在している人の数やエリアの人口密度、エリア内に存在する施設の密集度を考慮して測位データの抽象度を判定してもよい。例えば、同じ大きさのエリアであっても、施設の密集度が高いほど抽象度が高いと判定することができる。施設の密集度が高いエリアでは、多くの施設に対応する位置情報が１つのエリアに抽象化されるからである。
　また、本実施形態では、分割部３２とは別に継続可能性評価部３０及び再構築部３６が設けられているが、継続性評価部３０及び再構築部３６は分割部３２に含まれていてもよい。
　この出願は、２０１０年１２月２７日に出願された日本出願特願２０１０－２９０８１９を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　本実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）ユーザ識別子、ユーザの位置を示す測位データ、及び測位時間を含む位置情報の履歴である移動軌跡を記憶する移動軌跡記憶部と、測位時間が同一の位置情報が所定の匿名性指標を満たすように、複数のユーザの位置情報の測位データをグループ化して抽象化された測位データを、前記複数のユーザの移動軌跡の識別子及び前記測位時間と対応づけて匿名情報として記憶する匿名情報記憶部と、前記移動軌跡記憶部を参照し、前記匿名情報記憶部に記憶されている匿名情報の測位時間より後の同一の測位時間を含む、前記複数のユーザの位置情報について、前記匿名情報記憶部に記憶されている匿名情報と同一のグループで測位データをグループ化して抽象化することにより匿名情報を生成し、前記匿名情報記憶部に記憶されている匿名情報と対応づけて前記匿名情報記憶部に格納する増分抽象化部と、第１の測位時間の前記匿名情報が前記所定の匿名性指標を満たし、かつ、該匿名情報における抽象化された測位データの抽象度が所定の基準値より低くなるように、該第１の測位時間より前の第２の測位時間の前記匿名情報のグループを２つ以上のグループに分割し、分割されたグループにより抽象化された前記第１の測位時間の測位データを含む匿名情報を生成し、前記第２の測位時間の匿名情報と対応づけて前記匿名情報記憶部に格納する分割部と、を備える情報保護装置。
（付記２）付記１に記載の情報保護装置であって、前記移動軌跡記憶部を参照し、前記匿名情報記憶部に前記匿名情報が記憶されていない、測位時間が同一の複数のユーザの位置情報について、前記所定の匿名性指標を満たすように前記複数のユーザの位置情報の測位データをグループ化して抽象化することにより、前記複数のユーザの移動軌跡の識別子、測位時間、及び抽象化された測位データを含む匿名情報を初期生成する初期抽象化部をさらに備える、情報保護装置。　
（付記３）付記２に記載の情報保護装置であって、前記初期抽象化部は、前記所定の匿名性指標を満たすとともに、所定の大きさの領域に含まれる測位データによって示される位置の数が最大となるように測位データをグループ化して前記匿名情報を生成する、情報保護装置。
（付記４）付記１～３の何れか一項に記載の情報保護装置であって、前記分割部は、前記第１の測位時間の前記匿名情報における抽象化された測位データの抽象度が前記所定の基準値より高い場合に、該第１の測位時間の匿名情報を前記２つ以上のグループに分割する、情報保護装置。
（付記５）付記１～４の何れか一項に記載の情報保護装置であって、前記分割部は、分割された場合に各グループにより抽象化された測位データによって表される領域間の距離が所定の閾値より大きくなることを条件に、前記匿名情報を分割する、情報保護装置。
（付記６）付記１～５の何れか一項に記載の情報保護装置であって、合成された場合に合成後のグループにより抽象化された測位データの抽象度が、合成前の各グループにより抽象化された測位データの抽象度より低くなることを条件に、第３の測位時間の匿名情報における２つ以上のグループを合成したグループにより抽象化された、前記第３の測位時間より後の第４の測位時間の測位データを含む匿名情報を生成し、前記第３の測位時間の匿名情報と対応づけて前記匿名情報記憶部に格納する合成部をさらに備える、情報保護装置。
（付記７）付記６に記載の情報保護装置であって、前記分割部は、第５の測位時間の匿名情報を該第５の測位時間より前の第６の測位時間の匿名情報と対応づけると、該第５の測位時間までの移動軌跡が前記所定の匿名性指標を満たさない場合は、前記第５の測位時間の匿名情報を前記第６の測位時間の匿名情報と対応づけずに前記匿名情報記憶部に格納する、情報保護装置。
（付記８）付記１～７の何れか一項に記載の情報保護装置であって、前記所定の匿名性指標を受け付ける匿名性指標受付部をさらに備える、情報保護装置。
（付記９）付記１～８の何れか一項に記載の情報保護装置であって、前記所定の基準値を受け付ける基準値受付部をさらに備える、情報保護装置。
（付記１０）ユーザ識別子、ユーザの位置を示す測位データ、及び測位時間を含む位置情報の履歴である移動軌跡を移動軌跡記憶部に格納し、前記移動軌跡記憶部を参照し、測位時間が同一の位置情報が所定の匿名性指標を満たすように、複数のユーザの位置情報の測位データをグループ化して抽象化することにより、前記複数のユーザの移動軌跡の識別子、測位時間、及び抽象化された測位データを含む匿名情報を初期生成して匿名情報記憶部に格納し、前記移動軌跡記憶部を参照し、前記匿名情報記憶部に記憶されている匿名情報の測位時間より後の同一の測位時間を含む、前記複数のユーザの位置情報について、前記匿名情報記憶部に記憶されている匿名情報と同一のグループで測位データをグループ化して抽象化することにより匿名情報を生成し、前記匿名情報記憶部に記憶されている匿名情報と対応づけて前記匿名情報記憶部に格納し、第１の測位時間の前記匿名情報が前記所定の匿名性指標を満たし、かつ、該匿名情報における抽象化された測位データの抽象度が所定の基準値より低くなるように、該第１の測位時間より前の第２の測位時間の前記匿名情報のグループを２つ以上のグループに分割し、分割されたグループにより抽象化された前記第１の測位時間の測位データを含む匿名情報を生成し、前記第２の測位時間の匿名情報と対応づけて前記匿名情報記憶部に格納する、情報保護方法。
（付記１１）コンピュータに、ユーザ識別子、ユーザの位置を示す測位データ、及び測位時間を含む位置情報の履歴である移動軌跡を移動軌跡記憶部に格納する機能と、測位時間が同一の位置情報が所定の匿名性指標を満たすように、複数のユーザの位置情報の測位データをグループ化して抽象化された測位データを、前記複数のユーザの移動軌跡の識別子及び前記測位時間と対応づけて匿名情報として匿名情報記憶部に格納する機能と、前記移動軌跡記憶部を参照し、前記匿名情報記憶部に記憶されている匿名情報の測位時間より後の同一の測位時間を含む、前記複数のユーザの位置情報について、前記匿名情報記憶部に記憶されている匿名情報と同一のグループで測位データをグループ化して抽象化することにより匿名情報を生成し、前記匿名情報記憶部に記憶されている匿名情報と対応づけて前記匿名情報記憶部に格納する機能と、第１の測位時間の前記匿名情報が前記所定の匿名性指標を満たし、かつ、該匿名情報における抽象化された測位データの抽象度が所定の基準値より低くなるように、該第１の測位時間より前の第２の測位時間の前記匿名情報のグループを２つ以上のグループに分割し、分割されたグループにより抽象化された前記第１の測位時間の測位データを含む匿名情報を生成し、前記第２の測位時間の匿名情報と対応づけて前記匿名情報記憶部に格納する機能と、を実現させるプログラム。
　１０　情報保護装置
　２０　位置情報受付部
　２２　移動軌跡記憶部
　２４　初期抽象化部
　２６　匿名情報記憶部
　２８　増分抽象化部
　３０　継続可能性評価部
　３２　分割部
　３４　合成部
　３６　再構築部

Claims (11)

  1. 　ユーザ識別子、ユーザの位置を示す測位データ、及び測位時間を含む位置情報の履歴である移動軌跡を記憶する移動軌跡記憶部と、
    　測位時間が同一の位置情報が所定の匿名性指標を満たすように、複数のユーザの位置情報の測位データをグループ化して抽象化された測位データを、前記複数のユーザの移動軌跡の識別子及び前記測位時間と対応づけて匿名情報として記憶する匿名情報記憶部と、
    　前記移動軌跡記憶部を参照し、前記匿名情報記憶部に記憶されている匿名情報の測位時間より後の同一の測位時間を含む、前記複数のユーザの位置情報について、前記匿名情報記憶部に記憶されている匿名情報と同一のグループで測位データをグループ化して抽象化することにより匿名情報を生成し、前記匿名情報記憶部に記憶されている匿名情報と対応づけて前記匿名情報記憶部に格納する増分抽象化部と、
    　第１の測位時間の前記匿名情報が前記所定の匿名性指標を満たし、かつ、該匿名情報における抽象化された測位データの抽象度が所定の基準値より低くなるように、該第１の測位時間より前の第２の測位時間の前記匿名情報のグループを２つ以上のグループに分割し、分割されたグループにより抽象化された前記第１の測位時間の測位データを含む匿名情報を生成し、前記第２の測位時間の匿名情報と対応づけて前記匿名情報記憶部に格納する分割部と、
    　を備える情報保護装置。
  2. 　請求項１に記載の情報保護装置であって、
    　前記移動軌跡記憶部を参照し、前記匿名情報記憶部に前記匿名情報が記憶されていない、測位時間が同一の複数のユーザの位置情報について、前記所定の匿名性指標を満たすように前記複数のユーザの位置情報の測位データをグループ化して抽象化することにより、前記複数のユーザの移動軌跡の識別子、測位時間、及び抽象化された測位データを含む匿名情報を初期生成する初期抽象化部をさらに備える、情報保護装置。　
  3. 　請求項２に記載の情報保護装置であって、
    　前記初期抽象化部は、前記所定の匿名性指標を満たすとともに、所定の大きさの領域に含まれる測位データによって示される位置の数が最大となるように測位データをグループ化して前記匿名情報を生成する、情報保護装置。
  4. 　請求項１～３の何れか一項に記載の情報保護装置であって、
    　前記分割部は、前記第１の測位時間の前記匿名情報における抽象化された測位データの抽象度が前記所定の基準値より高い場合に、該第１の測位時間の匿名情報を前記２つ以上のグループに分割する、情報保護装置。
  5. 　請求項１～４の何れか一項に記載の情報保護装置であって、
    　前記分割部は、分割された場合に各グループにより抽象化された測位データによって表される領域間の距離が所定の閾値より大きくなることを条件に、前記匿名情報を分割する、情報保護装置。
  6. 　請求項１～５の何れか一項に記載の情報保護装置であって、
    　合成された場合に合成後のグループにより抽象化された測位データの抽象度が、合成前の各グループにより抽象化された測位データの抽象度より低くなることを条件に、第３の測位時間の匿名情報における２つ以上のグループを合成したグループにより抽象化された、前記第３の測位時間より後の第４の測位時間の測位データを含む匿名情報を生成し、前記第３の測位時間の匿名情報と対応づけて前記匿名情報記憶部に格納する合成部をさらに備える、情報保護装置。
  7. 　請求項６に記載の情報保護装置であって、
    　前記分割部は、第５の測位時間の匿名情報を該第５の測位時間より前の第６の測位時間の匿名情報と対応づけると、該第５の測位時間までの移動軌跡が前記所定の匿名性指標を満たさない場合は、前記第５の測位時間の匿名情報を前記第６の測位時間の匿名情報と対応づけずに前記匿名情報記憶部に格納する、情報保護装置。
  8. 　請求項１～７の何れか一項に記載の情報保護装置であって、
    　前記所定の匿名性指標を受け付ける匿名性指標受付部をさらに備える、情報保護装置。
  9. 　請求項１～８の何れか一項に記載の情報保護装置であって、
    　前記所定の基準値を受け付ける基準値受付部をさらに備える、情報保護装置。
  10. 　ユーザ識別子、ユーザの位置を示す測位データ、及び測位時間を含む位置情報の履歴である移動軌跡を移動軌跡記憶部に格納し、
    　前記移動軌跡記憶部を参照し、測位時間が同一の位置情報が所定の匿名性指標を満たすように、複数のユーザの位置情報の測位データをグループ化して抽象化することにより、前記複数のユーザの移動軌跡の識別子、測位時間、及び抽象化された測位データを含む匿名情報を初期生成して匿名情報記憶部に格納し、
    　前記移動軌跡記憶部を参照し、前記匿名情報記憶部に記憶されている匿名情報の測位時間より後の同一の測位時間を含む、前記複数のユーザの位置情報について、前記匿名情報記憶部に記憶されている匿名情報と同一のグループで測位データをグループ化して抽象化することにより匿名情報を生成し、前記匿名情報記憶部に記憶されている匿名情報と対応づけて前記匿名情報記憶部に格納し、
    　第１の測位時間の前記匿名情報が前記所定の匿名性指標を満たし、かつ、該匿名情報における抽象化された測位データの抽象度が所定の基準値より低くなるように、該第１の測位時間より前の第２の測位時間の前記匿名情報のグループを２つ以上のグループに分割し、分割されたグループにより抽象化された前記第１の測位時間の測位データを含む匿名情報を生成し、前記第２の測位時間の匿名情報と対応づけて前記匿名情報記憶部に格納する、
    　情報保護方法。
  11. 　コンピュータに、
    　ユーザ識別子、ユーザの位置を示す測位データ、及び測位時間を含む位置情報の履歴である移動軌跡を移動軌跡記憶部に格納する機能と、
    　測位時間が同一の位置情報が所定の匿名性指標を満たすように、複数のユーザの位置情報の測位データをグループ化して抽象化された測位データを、前記複数のユーザの移動軌跡の識別子及び前記測位時間と対応づけて匿名情報として匿名情報記憶部に格納する機能と、
    　前記移動軌跡記憶部を参照し、前記匿名情報記憶部に記憶されている匿名情報の測位時間より後の同一の測位時間を含む、前記複数のユーザの位置情報について、前記匿名情報記憶部に記憶されている匿名情報と同一のグループで測位データをグループ化して抽象化することにより匿名情報を生成し、前記匿名情報記憶部に記憶されている匿名情報と対応づけて前記匿名情報記憶部に格納する機能と、
    　第１の測位時間の前記匿名情報が前記所定の匿名性指標を満たし、かつ、該匿名情報における抽象化された測位データの抽象度が所定の基準値より低くなるように、該第１の測位時間より前の第２の測位時間の前記匿名情報のグループを２つ以上のグループに分割し、分割されたグループにより抽象化された前記第１の測位時間の測位データを含む匿名情報を生成し、前記第２の測位時間の匿名情報と対応づけて前記匿名情報記憶部に格納する機能と、
    　を実現させるプログラム。
PCT/JP2011/077162 2010-12-27 2011-11-25 情報保護装置及び情報保護方法 WO2012090628A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US13/993,250 US9087203B2 (en) 2010-12-27 2011-11-25 Information protection device and information protection method
CA2821438A CA2821438A1 (en) 2010-12-27 2011-11-25 Information protection device and information protection method
JP2012550783A JP5846548B2 (ja) 2010-12-27 2011-11-25 情報保護装置及び情報保護方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010-290819 2010-12-27
JP2010290819 2010-12-27

Publications (1)

Publication Number Publication Date
WO2012090628A1 true WO2012090628A1 (ja) 2012-07-05

Family

ID=46382748

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/077162 WO2012090628A1 (ja) 2010-12-27 2011-11-25 情報保護装置及び情報保護方法

Country Status (4)

Country Link
US (1) US9087203B2 (ja)
JP (1) JP5846548B2 (ja)
CA (1) CA2821438A1 (ja)
WO (1) WO2012090628A1 (ja)

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013232068A (ja) * 2012-04-27 2013-11-14 Kddi Corp 位置情報匿名化装置、位置情報匿名化方法およびプログラム
WO2014049995A1 (ja) * 2012-09-26 2014-04-03 日本電気株式会社 匿名化を実行する情報処理装置、匿名化方法及びプログラムを記録した記録媒体
WO2014073370A1 (ja) * 2012-11-12 2014-05-15 ソニー株式会社 情報処理装置、情報処理方法及びコンピュータプログラム
JP2014109934A (ja) * 2012-12-03 2014-06-12 Fujitsu Ltd 匿名化データ生成方法、装置及びプログラム
WO2014112045A1 (ja) * 2013-01-16 2014-07-24 富士通株式会社 秘匿化データ生成方法及び装置
JP2014164476A (ja) * 2013-02-25 2014-09-08 Hitachi Systems Ltd ｋ−匿名データベース制御サーバおよび制御方法
JP2015090617A (ja) * 2013-11-06 2015-05-11 富士通株式会社 匿名化データ生成方法、装置及びプログラム
JP2015103025A (ja) * 2013-11-25 2015-06-04 富士通株式会社 経路情報処理装置、方法、及びプログラム
JP2015219777A (ja) * 2014-05-19 2015-12-07 ニフティ株式会社 制御装置、制御方法、及び制御プログラム
WO2016013057A1 (ja) * 2014-07-22 2016-01-28 株式会社日立システムズ 情報保護システム、情報保護方法及び情報保護プログラム
JP2016115330A (ja) * 2014-12-12 2016-06-23 パナソニックＩｐマネジメント株式会社 履歴情報匿名化方法及び履歴情報匿名化装置
JP2016206896A (ja) * 2015-04-21 2016-12-08 トヨタ自動車株式会社 位置情報匿名化方法、移動情報匿名化方法、および装置
JPWO2015118801A1 (ja) * 2014-02-04 2017-03-23 日本電気株式会社 情報判定装置、情報判定方法及びプログラム
JP2018055610A (ja) * 2016-09-30 2018-04-05 日本電信電話株式会社 匿名化装置、匿名化方法、およびプログラム
WO2018123190A1 (ja) * 2016-12-28 2018-07-05 ソニー株式会社 サーバ装置、情報管理方法、情報処理装置、情報処理方法およびプログラム
JP2021532617A (ja) * 2018-07-03 2021-11-25 インターナショナル・ビジネス・マシーンズ・コーポレーションInternational Business Machines Corporation 位置データの仮名化
JP7458863B2 (ja) 2020-04-06 2024-04-01 株式会社ブログウォッチャー 情報処理装置、情報処理方法、情報処理プログラム
JP7490424B2 (ja) 2020-04-06 2024-05-27 株式会社ブログウォッチャー 情報処理装置、情報処理方法、情報処理プログラム

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140380489A1 (en) * 2013-06-20 2014-12-25 Alcatel-Lucent Bell Labs France Systems and methods for data anonymization
US9135452B2 (en) * 2013-11-21 2015-09-15 International Business Machines Corporation Method and system for anonymization in continuous location-based services
US10013576B2 (en) * 2014-12-12 2018-07-03 Panasonic Intellectual Property Management Co., Ltd. History information anonymization method and history information anonymization device for anonymizing history information
US9396210B1 (en) * 2015-03-12 2016-07-19 Verve Wireless, Inc. Systems, methods, and apparatus for reverse geocoding
US9760718B2 (en) 2015-09-18 2017-09-12 International Business Machines Corporation Utility-aware anonymization of sequential and location datasets
KR20170040552A (ko) 2015-10-05 2017-04-13 울산과학기술원 분산형 내부 덕트를 가진 한국형 액체금속냉각로 핵연료 집합체
US10452510B2 (en) * 2017-10-25 2019-10-22 Oracle International Corporation Hybrid clustering-partitioning techniques that optimizes accuracy and compute cost for prognostic surveillance of sensor data
US11042648B2 (en) * 2019-07-17 2021-06-22 Here Global B.V. Quantification of privacy risk in location trajectories
US11526628B2 (en) 2020-05-29 2022-12-13 Here Global B.V. Method and apparatus for device-side trajectory anonymization based on negative gapping
US11423416B2 (en) * 2020-06-19 2022-08-23 Apple Inc. Impact based fraud detection
US11184762B1 (en) * 2020-06-26 2021-11-23 Moj.Io, Inc. Compute system with anonymization mechanism and method of operation thereof
US11751007B2 (en) * 2021-06-04 2023-09-05 Here Global B.V. Method, apparatus, and computer program product for anonymizing trajectories and stay points
KR102507480B1 (ko) * 2021-07-12 2023-03-09 주식회사 메쉬코리아 위치 정보의 비식별화 방법 및 장치

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8031051B2 (en) * 2003-12-08 2011-10-04 Mieko Ishii Privacy protection method, device for transmitting identifier for privacy protection, privacy protection system and program, and monitoring system
US9088450B2 (en) * 2012-10-31 2015-07-21 Elwha Llc Methods and systems for data services
US9710670B2 (en) * 2012-12-20 2017-07-18 Intel Corporation Publication and removal of attributes in a multi-user computing system

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
NTT DOCOMO INC.: "Heisei 21 Nendo Joho Daikokai Project (Model Service no Kaihatsu to Jissho) Jigyo Hokokusho", NTT DOCOMO INC., 1 December 2010 (2010-12-01), pages 43 - 68, Retrieved from the Internet <URL:http://www.meti.go.jp/policy/it-policy/daikoukai/igvp/index/h22_report/main/mode101.pdf> [retrieved on 20111219] *
R. YAROVOY ET AL.: "Anonymizing Moving Objects: How to Hide a MOB in a Crowd?", PROCEEDINGS OF THE 12TH INTERNATIONAL CONFERENCE ON EXTENDING DATABASE TECHNOLOGY (EDBT '09), 2009, pages 72 - 83, Retrieved from the Internet <URL:http://dl.acm.org/citation.cfm?id=1516370> [retrieved on 20111215] *
TSUBASA TAKAHASHI ET AL.: "Real-time k-anonymization for Trajectory Stream", DEIM 2011 PROCEEDINGS, 27 July 2011 (2011-07-27), Retrieved from the Internet <URL:http://db-event.jpn.org/deim2011/proceedings/pdf/c5-l.pdf> [retrieved on 20111216] *

Cited By (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013232068A (ja) * 2012-04-27 2013-11-14 Kddi Corp 位置情報匿名化装置、位置情報匿名化方法およびプログラム
WO2014049995A1 (ja) * 2012-09-26 2014-04-03 日本電気株式会社 匿名化を実行する情報処理装置、匿名化方法及びプログラムを記録した記録媒体
JPWO2014049995A1 (ja) * 2012-09-26 2016-08-22 日本電気株式会社 匿名化を実行する情報処理装置、匿名化方法及びプログラムを記録した記録媒体
US10108650B2 (en) 2012-11-12 2018-10-23 Sony Corporation Information processing device and information processing method
WO2014073370A1 (ja) * 2012-11-12 2014-05-15 ソニー株式会社 情報処理装置、情報処理方法及びコンピュータプログラム
JP2014109934A (ja) * 2012-12-03 2014-06-12 Fujitsu Ltd 匿名化データ生成方法、装置及びプログラム
US9747467B2 (en) 2013-01-16 2017-08-29 Fujitsu Limited Anonymized data generation method and apparatus
WO2014112045A1 (ja) * 2013-01-16 2014-07-24 富士通株式会社 秘匿化データ生成方法及び装置
JP6015777B2 (ja) * 2013-01-16 2016-10-26 富士通株式会社 秘匿化データ生成方法及び装置
JP2014164476A (ja) * 2013-02-25 2014-09-08 Hitachi Systems Ltd ｋ−匿名データベース制御サーバおよび制御方法
JP2015090617A (ja) * 2013-11-06 2015-05-11 富士通株式会社 匿名化データ生成方法、装置及びプログラム
JP2015103025A (ja) * 2013-11-25 2015-06-04 富士通株式会社 経路情報処理装置、方法、及びプログラム
JPWO2015118801A1 (ja) * 2014-02-04 2017-03-23 日本電気株式会社 情報判定装置、情報判定方法及びプログラム
JP2015219777A (ja) * 2014-05-19 2015-12-07 ニフティ株式会社 制御装置、制御方法、及び制御プログラム
JP6046807B2 (ja) * 2014-07-22 2016-12-21 株式会社日立システムズ 情報保護システム、情報保護方法及び情報保護プログラム
WO2016013057A1 (ja) * 2014-07-22 2016-01-28 株式会社日立システムズ 情報保護システム、情報保護方法及び情報保護プログラム
JP2016115330A (ja) * 2014-12-12 2016-06-23 パナソニックＩｐマネジメント株式会社 履歴情報匿名化方法及び履歴情報匿名化装置
JP2020091916A (ja) * 2014-12-12 2020-06-11 パナソニックＩｐマネジメント株式会社 情報匿名化方法及び情報匿名化装置
JP2019117647A (ja) * 2014-12-12 2019-07-18 パナソニックＩｐマネジメント株式会社 情報匿名化方法及び情報匿名化装置
JP2016206896A (ja) * 2015-04-21 2016-12-08 トヨタ自動車株式会社 位置情報匿名化方法、移動情報匿名化方法、および装置
JP2018055610A (ja) * 2016-09-30 2018-04-05 日本電信電話株式会社 匿名化装置、匿名化方法、およびプログラム
JPWO2018123190A1 (ja) * 2016-12-28 2019-10-31 ソニー株式会社 サーバ装置、情報管理方法、情報処理装置、情報処理方法およびプログラム
WO2018123190A1 (ja) * 2016-12-28 2018-07-05 ソニー株式会社 サーバ装置、情報管理方法、情報処理装置、情報処理方法およびプログラム
US11194931B2 (en) 2016-12-28 2021-12-07 Sony Corporation Server device, information management method, information processing device, and information processing method
JP2021532617A (ja) * 2018-07-03 2021-11-25 インターナショナル・ビジネス・マシーンズ・コーポレーションInternational Business Machines Corporation 位置データの仮名化
JP7139459B2 (ja) 2018-07-03 2022-09-20 インターナショナル・ビジネス・マシーンズ・コーポレーション 位置データの仮名化
JP7458863B2 (ja) 2020-04-06 2024-04-01 株式会社ブログウォッチャー 情報処理装置、情報処理方法、情報処理プログラム
JP7490424B2 (ja) 2020-04-06 2024-05-27 株式会社ブログウォッチャー 情報処理装置、情報処理方法、情報処理プログラム

Also Published As

Publication number Publication date
JP5846548B2 (ja) 2016-01-20
US20130269038A1 (en) 2013-10-10
JPWO2012090628A1 (ja) 2014-06-05
CA2821438A1 (en) 2012-07-05
US9087203B2 (en) 2015-07-21

Similar Documents

Publication Publication Date Title
JP5846548B2 (ja) 情報保護装置及び情報保護方法
AU2017399007B2 (en) Mobility gene for trajectory data
US20220136857A1 (en) Safety-aware route recommendation system and method
Bonchi et al. Trajectory anonymity in publishing personal mobility data
Qiao et al. Predicting long-term trajectories of connected vehicles via the prefix-projection technique
Memon et al. Search me if you can: Multiple mix zones with location privacy protection for mapping services
Palanisamy et al. Anonymizing continuous queries with delay-tolerant mix-zones over road networks
Yu et al. Modeling user activity patterns for next-place prediction
Hayashida et al. Dummy generation based on user-movement estimation for location privacy protection
JP6464849B2 (ja) 移動経路データ匿名化装置および方法
Chow et al. Privacy of spatial trajectories
US20210172759A1 (en) Map Matching and Trajectory Analysis
US10169468B2 (en) Secure monitoring technique for moving k-nearest queries in road network
WO2018150228A1 (en) Mobility gene for visit data
Ma et al. A voronoi-based location privacy-preserving method for continuous query in LBS
US9752888B2 (en) Method and apparatus of computing location of safe exit for moving range query in road network
Shin et al. A profile anonymization model for location-based services
Ho et al. Clustering indoor location data for social distancing and human mobility to combat COVID-19
Krishnamachari et al. Privacy-preserving publication of user locations in the proximity of sensitive sites
Blumenstock et al. Probabilistic inference of unknown locations: Exploiting collective behavior when individual data is scarce
Gkoulalas-Divanis et al. Concealing the position of individuals in location-based services
Hikita et al. Preliminary study about advantageous trajectory anonymization methods based on population
Jin et al. An online framework for publishing privacy-sensitive location traces
Khetarpaul et al. Mining optimal meeting points for moving users in spatio-temporal space
Rizzi Location inference through social media and social relationships

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11853848

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 13993250

Country of ref document: US

ENP Entry into the national phase

Ref document number: 2821438

Country of ref document: CA

ENP Entry into the national phase

Ref document number: 2012550783

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11853848

Country of ref document: EP

Kind code of ref document: A1