WO2013121790A1 - プライバシ情報を扱う情報処理装置、プライバシ情報を扱う情報処理システム、プライバシ情報を扱う情報処理方法及びプログラム - Google Patents

プライバシ情報を扱う情報処理装置、プライバシ情報を扱う情報処理システム、プライバシ情報を扱う情報処理方法及びプログラム Download PDF

Info

Publication number
WO2013121790A1
WO2013121790A1 PCT/JP2013/000825 JP2013000825W WO2013121790A1 WO 2013121790 A1 WO2013121790 A1 WO 2013121790A1 JP 2013000825 W JP2013000825 W JP 2013000825W WO 2013121790 A1 WO2013121790 A1 WO 2013121790A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
policy
privacy information
service
identifier
Prior art date
Application number
PCT/JP2013/000825
Other languages
English (en)
French (fr)
Inventor
諒 古川
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US14/379,427 priority Critical patent/US9418233B2/en
Publication of WO2013121790A1 publication Critical patent/WO2013121790A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/11—File system administration, e.g. details of archiving or snapshots
    • G06F16/122—File system administration, e.g. details of archiving or snapshots using management policies
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/10—Office automation; Time management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
    • G06Q50/10—Services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • the present invention relates to a technology for privacy policy, and more particularly to a technology for setting an appropriate policy between a privacy information holder and a privacy information user.
  • attribute information and behavior information are privacy information, so if a privacy information user who is a service provider unilaterally acquires or uses attribute information or behavior information, the privacy information holder Privacy will be violated. Therefore, the privacy information holder needs to be able to control how privacy information is handled by the privacy information user (disclosure conditions, data protection requirements, etc.).
  • Non-Patent Document 1 Policy-based control method using P3P (Platform for Privacy Preferences) described in Non-Patent Document 1.
  • P3P technology controls how privacy information is handled as follows.
  • a privacy information user who provides a service sets a policy file (hereinafter referred to as “service policy”) in which privacy information to be collected and a method for handling the privacy information are described in XML.
  • the privacy information holder sets a policy file (hereinafter referred to as “user policy”) in which the privacy information to be provided and the data disclosure method are described in XML.
  • service policy a policy file
  • user policy a policy file
  • the P3P technology automatically or semi-automatically makes a data disclosure determination by investigating whether or not the data disclosure conditions match between the user policy and the service policy.
  • Non-Patent Document 2 An example of a policy mediation method is described in Non-Patent Document 2.
  • the policy arbitration method described in Non-Patent Document 2 includes a privacy information holding terminal and a privacy information using terminal connected by a network.
  • Non-Patent Document 2 operates as follows.
  • the privacy information use terminal transmits a use policy (service policy) to the privacy information holding terminal.
  • the privacy information holding terminal compares the usage policy with the privacy policy (user policy), and if there is no conflict, transmits the attribute information of the privacy information holder.
  • the privacy information holding terminal transmits the usage and holding conditions to the privacy information using terminal.
  • the privacy information using terminal generates a new usage policy so as to satisfy the condition, and transmits the generated usage policy to the privacy information holding terminal.
  • Non-Patent Document 2 performs policy mediation by repeating the above-described policy transmission and comparison, condition transmission, and generation of a new policy until the mutual agreement is formed.
  • Patent Document 1 The same technology as in Non-Patent Document 2 is also described in Patent Document 1.
  • Patent Document 2 Another technique related to the present invention is described in Patent Document 2.
  • Patent Document 2 discloses an access restriction information output device that outputs, as access restriction information, contents of access restriction for information accessible by an information processing terminal.
  • the storage means is a user who sets the set access restriction information, which is access restriction information indicating the content of the access restriction that has been set for each item divided based on a predetermined criterion. Remember every time.
  • the output request accepting unit accepts an output request for access restriction information and designation of an item to be requested from the terminal device used by the requester.
  • the selecting means selects at least one set access restriction information of another person whose content is similar to the set access restriction information of the requester among the set access restriction information stored in the storage means.
  • the output means outputs the content corresponding to the designated item among the contents indicated by the selected set access restriction information to the terminal device as the access restriction information.
  • the access control information output device described in Patent Document 2 can set access restriction information that meets the requester's policy without trouble by adopting the above-described configuration.
  • Non-Patent Document 2 and Patent Document 1 are based on the privacy information holder and the privacy information user by performing multiple dialogues even when a policy conflict occurs between the privacy information holder and the privacy information user.
  • a policy can be flexibly agreed between information users.
  • Non-Patent Document 2 and Patent Document 1 when a privacy information holder decides a policy with a plurality of privacy information users, it is necessary to perform a plurality of dialogues for each of the plurality of privacy information users, as described in Non-Patent Document 2 and Patent Document 1.
  • the technology is laborious and burdensome.
  • Patent Document 2 can set access restriction information that meets the requester's policy without much effort.
  • Patent Document 2 is a technology related to an access control policy and not a technology related to a privacy policy. Therefore, the technique described in Patent Literature 2 cannot solve the problem of performing policy arbitration when competition occurs between policies.
  • an object of the present invention is to provide a technique capable of easily determining a policy without taking time between a privacy information holder and a privacy information user when a conflict occurs between policies. It is.
  • the information processing apparatus for handling privacy information in the present invention provides a policy input by a user who is a privacy information holder and a service set in advance for each service provider who is a privacy information user Similar user extraction means for extracting a set of user identifiers of other users similar to the user identifier input by the user when a conflict occurs with the policy of the user, the set of extracted user identifiers, And a policy recommendation means for acquiring and outputting a set of policies based on the service identifier input by the user.
  • an information processing system for handling privacy information is selected from an information processing apparatus for handling privacy information and a set of policies output by the policy recommendation means by user input.
  • the user terminal according to the present invention selects a policy selected by a user input from a set of policies output by the policy recommendation unit of the information processing apparatus that handles the privacy information. The information is transmitted to an information processing apparatus that handles the privacy information.
  • the information processing method for handling privacy information in the present invention is preset for each policy provided by a user who is a privacy information holder and for each service provider who is a privacy information user.
  • a set of user identifiers of other users similar to the user identifier input by the user is extracted, and the set of extracted user identifiers and input by the user Based on the service identifier thus obtained, a set of policies is acquired and output.
  • the program according to the present invention includes a policy input by a user who is a privacy information holder, and a service policy preset for each service provider who is a privacy information user.
  • a conflict occurs, a set of user identifiers of other users similar to the user identifier input by the user is extracted, and the extracted set of user identifiers and the service identifier input by the user are extracted.
  • the computer is caused to execute a process of acquiring and outputting a set of policies.
  • FIG. 4 is a block diagram showing details of a similar user extraction unit 103.
  • FIG. It is a flowchart figure which shows operation
  • It is a figure which shows an example of the policy in a present Example. 4 is a diagram illustrating an example of data stored in a policy storage unit 101.
  • the policy describes data attributes and actions for each data attribute (how to handle privacy information).
  • the data attribute is a value that identifies the nature of the data including attribute information such as name, age, and address, and behavior information such as position information and purchase information.
  • the action for each data attribute describes how to handle privacy information.
  • the privacy information is handled in such a way that privacy information is “provided” or “not provided”, and “privacy information is protected and provided”.
  • ways of handling such as “provide after encryption” and “provide by adding noise”.
  • FIG. 1 is a block diagram showing a configuration of a privacy policy recommendation system 1000 according to the first embodiment of the present invention.
  • the privacy policy recommendation system 1000 includes a privacy policy recommendation device 100 and a user terminal 200.
  • the privacy policy recommendation device 100 includes a policy storage unit 101, a competition determination unit 102, a similar user extraction unit 103, a policy recommendation unit 104, and a policy reception unit 105.
  • the policy storage unit 101 defines a user identifier for identifying a privacy information holder as a user, a service identifier for identifying a privacy information user as a service provider, and handling of privacy information for each user identifier and service identifier. Policy.
  • the conflict determination unit 102 determines whether or not there is a conflict between the data policy input by the user and the service policy preset for each service provider. Note that “input by user”, “input by... By user”, and “input by user” described in this specification are other than the user's input. An input reflecting the user's will is also included.
  • the contention determination unit 102 defines the handling of the user identifier of the user, the service identifier of the service that the user wants to receive, and the privacy information of the user by the user via the user terminal 200. User policy is input.
  • the conflict determination unit 102 acquires a service policy of the service identifier input by the user from the service provider.
  • the conflict determination unit 102 determines whether or not there is a conflict between the user policy input by the user and the service policy acquired from the service provider. When it is determined that there is a conflict, the conflict determination unit 102 outputs the user identifier input by the user, the service identifier, and an execution command for extraction processing to the similar user extraction unit 103. If it is determined that there is no conflict, the conflict determination unit 102 prompts the service provider to provide the service and waits for the next data input by the user.
  • the similar user extraction unit 103 receives an execution instruction for extraction processing when the competition determination unit 102 determines that there is a conflict, and stores a set of user identifiers of other users similar to the user identifier input by the user in the policy Extract from the unit 101.
  • the similar user extraction unit 103 may determine whether or not the user identifier is similar depending on whether or not the service identifier and the policy corresponding to the user identifier are similar.
  • the similar user extraction unit 103 includes a service identifier and a policy similar to the service identifier and policy corresponding to the user identifier input by the user among the data stored in the policy storage unit 101. Are extracted as a corresponding set.
  • the similar user extraction unit 103 determines whether or not the service identifier and the policy are similar if the service identifier is the same and the policy is similar, and the similar user extraction unit 103 determines that the service identifier and the policy are similar. If they are not similar, it may be determined that they are not similar.
  • the similar user extraction unit 103 outputs the extracted set of user identifiers to the policy recommendation unit 104. In addition, the similar user extraction unit 103 outputs the service identifier input by the user to the policy recommendation unit 104.
  • the policy recommendation unit 104 acquires a set of policies from the policy storage unit 101 based on the set of user identifiers input from the similar user extraction unit 103 and the service identifier input by the user.
  • the policy recommendation unit 104 outputs a set of policies acquired from the policy storage unit 101 to the user terminal 200.
  • the policy receiving unit 105 receives the policy selected by the user from the set of policies output from the policy recommendation unit 104, and stores it in the policy storage unit 101 in association with the user identifier and the service identifier.
  • the user terminal 200 receives the user identifier, service identifier, and user policy input described above.
  • the user terminal 200 outputs the user identifier, service identifier, and user policy input by the user to the contention determination unit 102.
  • the user terminal 200 receives a set of policies from the policy recommendation unit 104. For example, the user terminal 200 displays a set of policies on a display or the like, and accepts a policy selection by the user. The user terminal 200 transmits the selected policy to the policy receiving unit 105.
  • FIG. 20 is a block diagram illustrating a configuration of the user terminal 200 according to the first embodiment.
  • the user terminal 200 includes a control unit 201 and a transmission / reception unit 202.
  • the transmission / reception unit 202 of the user terminal 200 receives the set of policies output by the policy recommendation unit 104 of the information processing apparatus 100.
  • the control unit 201 of the user terminal 200 displays the received policy set on the display (not shown) of the user terminal 200 and prompts the user to select a policy from the received policy set.
  • the policy selected by the user via the input unit (not shown) of the user terminal 200 is transmitted to the information processing apparatus 100 that handles privacy information by the transmission / reception unit 202.
  • FIG. 2 is a block diagram showing details of the similar user extraction unit 103. As illustrated in FIG. 2, the similar user extraction unit 103 includes a user extraction unit 106 and a similarity calculation unit 107.
  • the user extraction unit 106 extracts from the policy storage unit 101 a set of service identifiers and policies corresponding to the user identifier input by the user and a set of user identifiers corresponding to the service identifier input by the user.
  • the user extraction unit 106 outputs the extracted set of service identifiers and policies and the set of user identifiers to the similarity calculation unit 105.
  • the similarity calculation unit 107 calculates the service identifier similarity based on the service identifier and policy set extracted by the user extraction unit 106 and the user identifier set. The similarity calculation unit 107 calculates the similarity between user identifiers based on the calculated similarity of service identifiers.
  • the similarity calculation unit 107 calculates the similarity of service identifiers based on the reciprocal of the distance between policies for each service identifier, and calculates the similarity between user identifiers by summing up the similarities for each service identifier. You may do it. Further, the similarity calculation unit 107 may calculate the distance between policies as the number of data attributes in which the handling method for each data attribute does not match between the two policies.
  • the similarity calculation unit 107 extracts a set of user identifiers having a high similarity from the policy storage unit 101 based on the calculation result of the similarity between user identifiers.
  • the similarity calculation unit 107 outputs the extracted set of user identifiers to the policy recommendation unit 104.
  • FIG. 3 is a flowchart showing the operation of the privacy policy recommendation system 100 in the first embodiment.
  • a user identifier, a service identifier, and a user policy are input from the user terminal 200 to the conflict determination unit 102.
  • the conflict determination unit 102 acquires the service policy of the service provider indicated by the input service identifier, and determines whether or not there is a conflict between the user policy and the service policy (step A1).
  • step A2-Yes If it is determined that there is a conflict (step A2-Yes), the process proceeds to A3. If it is determined that there is no conflict (step A2-No), it waits for data to be input from the user again.
  • the competition determination unit 102 passes the user identifier and service identifier to the similar user extraction unit 103, and orders the execution of the extraction process (step A3).
  • the similar user extraction unit 103 acquires a set of user identifiers similar to the policy storage unit 101 and the input user identifier (step A4). Specifically, the similar user extraction unit 103 is set between service identifiers among data stored in the policy storage unit 101 and having the same service identifier as the service identifier corresponding to the input user identifier. A set of user identifiers of data having similar policies is acquired.
  • the policy recommendation unit 104 acquires a set of policies recommended to the user from the policy storage unit 101 based on the user identifier set extracted by the similar user extraction unit 103 and the service identifier input by the user (step A5). .
  • the policy recommendation unit 104 transmits the acquired set of policies to the user terminal 200 and recommends it to the user (step A6). Specifically, the policy recommendation unit 104 controls the user terminal 200 to display a set of policies on the display.
  • the policy receiving unit 105 receives the policy selected by the user and transmitted from the user terminal 200, and stores it in the policy storage unit 101 (step A7).
  • FIG. 4 is a flowchart showing an operation in which the similar user extraction unit 103 acquires a user identifier set.
  • the user extraction unit 106 acquires a set of (service identifier, policy) sets corresponding to the user identifier input by the user from the policy storage unit 101 (step B1).
  • the user extraction unit 106 acquires a set of user identifiers corresponding to the service identifier input by the user from the policy storage unit 101 (step B2).
  • the user extraction unit 106 acquires a set of (service identifier, policy) pairs corresponding to the set of user identifiers acquired in step B2 from the policy storage unit 101, and sets the (user identifier, (service identifier, policy) set. Set) is acquired (step B3).
  • the user extraction unit 106 sets a set of (service identifier, policy) corresponding to the input user identifier and a set of (user identifier, (service identifier, policy) set) corresponding to the set of user identifiers. Are output to the similarity calculation unit 107.
  • the similarity calculation unit 107 includes a set of (service identifier, policy) set corresponding to the input user identifier and a set of (user identifier, (service identifier, policy) set) corresponding to the user identifier set. Based on the set of sets, the similarity between the user identifiers is calculated (step B4).
  • the similarity calculation unit 107 acquires a certain number of user identifiers having a high degree of similarity and outputs them to the policy recommendation unit 104 as a user set (step B5).
  • FIG. 5 is a flowchart showing an operation in which the similarity calculation unit 107 calculates the similarity of the user identifier.
  • two sets of sets (service identifiers, policies) S1 and S2 are input (step C1).
  • S1 is a set of a set of (service identifier, policy) corresponding to the user identifier input by the user.
  • S2 is one user identifier included in a set of (user identifier, set of (service identifier, policy) set) corresponding to a set of user identifiers (set of user identifiers acquired in step B2). Is a set of sets of (service identifier, policy) corresponding to.
  • the similarity calculation unit 107 repeats steps C3 to C5 described below for the predetermined service identifier included in S1.
  • it is a predetermined service identifier, in order for the similarity calculation unit 107 to calculate the similarity of the user identifier, all service identifiers may be targeted, or some service identifiers may be targeted.
  • the similarity calculation unit 107 acquires policies P1 and P2 corresponding to the service identifier from S1 and S2 for one of the service identifiers included in S1 (step C3).
  • the similarity calculation unit 107 calculates the distance d between the two policies P1 and P2 (step C4).
  • the distance between policies may be calculated, for example, by a different number of actions for data attributes in the policy, and is not limited to this, and may be calculated by other methods. In the present embodiment, it is assumed that the similarity calculation unit 107 calculates the distance between policies with different numbers of actions for data attributes in the policy.
  • the similarity of service identifiers is not limited to the above, and may be calculated by other methods.
  • the similarity calculation unit 107 calculates the similarity between user identifiers by summing up the similarities for each service identifier.
  • the similarity between user identifiers is not limited to the above, and may be calculated by other methods.
  • FIG. 6 is a diagram illustrating an example of a policy in the present embodiment.
  • XML is described as a policy that can set two values, “provide” and “do not provide”, for an action with respect to a data attribute using an ACTION tag.
  • the policy shown in FIG. 6 uses the user's “name”, “address”, “location information”, and “purchase information” as privacy information, and determines whether to provide each service information to the service provider. Represents.
  • FIG. 6 is an example of a policy in which “name” is “provided”, “address” is “not provided”, “location information” is “not provided”, and “purchasing information” is “provided”. is there.
  • FIG. 7 is a diagram illustrating an example of data stored in the policy storage unit 101.
  • the policy storage unit 101 stores a user identifier, a service identifier, and a policy in association with each other.
  • the policy mediation has already been completed between the privacy information holder and the privacy information user.
  • the user terminal 200 outputs the user identifier, the service identifier, and the user policy input by the user to the contention determination unit 102 of the privacy policy recommendation device 100.
  • the conflict determination unit 102 determines whether or not there is a conflict between the user policy shown in FIG. 8 and the service policy shown in FIG.
  • the above determination method is an example, and the conflict determination unit 102 may determine the presence of conflict using various other indicators.
  • predetermined privacy information all the privacy information may be sufficient, or a part of privacy information may be sufficient.
  • the conflict determination unit 102 determines that there is a conflict between the user policy and the service policy (step A2-Yes).
  • the user extraction unit 106 acquires a set of (service identifier, policy) sets corresponding to the input user identifier from the policy storage unit 101 (step B1).
  • FIG. 10 is a diagram illustrating a set of sets (service identifiers and policies) extracted by the user extraction unit 106.
  • the user extraction unit 106 acquires a set of user identifiers corresponding to the input service identifier from the policy storage unit 101 (step B2).
  • the user extraction unit 106 acquires a set of (service identifier, policy) pairs corresponding to the set of user identifiers from the policy storage unit 101, and sets a set of (user identifier, (service identifier, policy) sets. ) Is acquired (step B3).
  • the user extraction unit 106 corresponds to the set of service identifiers (policy) corresponding to the input user identifier (FIG. 10) and one user identifier included in the set of user identifiers (service identifier).
  • the similarity calculation unit 107 calculates the similarity of the user identifier (step B4).
  • the similarity calculation unit 107 receives two sets (S1 and S2) of sets (service identifier, policy) (step C1).
  • S1 is a set (FIG. 10) of a set of (service identifier, policy) corresponding to the input user identifier.
  • FIG. 12 is a diagram illustrating an example of S1 and S2 input to the similarity calculation unit 107.
  • the similarity calculation unit 107 receives data as shown in FIG.
  • the similarity calculation unit 107 repeats steps C3 to C5 described below for the predetermined service identifier included in S1.
  • the similarity calculation unit 107 acquires policies P1 and P2 corresponding to the service identifiers included in S1 and S2 for one service identifier (step C3).
  • the similarity calculation unit 107 calculates the distance d between the two policies P1 and P2 (step C4).
  • a method for calculating the distance between policies a number of different actions for data attributes in the policy is used.
  • P1 is set such that “name” is “not provided”, “address” is “not provided”, “location information” is “not provided”, and “purchasing information” is “provided”.
  • Steps C3 to C5 are repeated for the predetermined service identifier included in S1.
  • FIG. 14 is a diagram illustrating a distance for each service identifier with respect to a predetermined user identifier that is a target of similarity calculation.
  • the target for which the similarity calculation unit 107 calculates the similarity of the user identifier may be all user identifiers or some user identifiers.
  • the similarity calculation unit 107 acquires a predetermined number of user identifiers with high similarity and outputs them as a set of similar user identifiers (step B5, step A4).
  • the similarity calculation unit 107 outputs a user identifier set ⁇ “2”, “4” ⁇ .
  • FIG. 16 is a diagram illustrating an example of a policy set recommended to the user.
  • the policy recommendation unit 104 transmits the acquired policy set to the user terminal 200 and recommends it to the user (step A6).
  • FIG. 17 is a diagram showing a state where the data in the policy storage unit 101 is updated according to the present invention.
  • name is set to “provide”
  • address is set to “do not provide”
  • location information is set to “provide”
  • purchase information is set to “do not provide”.
  • policies can be determined.
  • the conflict determination unit 102 determines that there is a conflict between policies
  • the similar user extraction unit 103 sets a policy similar to that of the privacy information holder and sets other privacy information holders. This is because the policy recommendation unit 104 extracts and recommends a policy set by a privacy information user who has a similar policy tendency as a privacy information user.
  • the privacy policy recommendation system 1000 determines that a conflict has occurred, the policy information has already been properly and appropriately managed without performing complicated policy arbitration for each privacy information user. You can set a completed policy.
  • FIG. 18 is a block diagram showing a configuration of the privacy policy recommendation device 300 according to the second embodiment. As shown in FIG. 18, the privacy policy recommendation device 300 includes a similar user extraction unit 301 and a policy recommendation unit 302.
  • the similar user extraction unit 301 conflicts between a policy input by a user who is a privacy information holder and a service policy which is set in advance for each service provider who is a privacy information user Then, an extraction process for extracting a set of user identifiers of other users similar to the user identifier input by the user is executed.
  • the policy recommendation unit 302 acquires and outputs a set of policies based on the set of user identifiers extracted by the similar user extraction unit 301 and the service identifier input by the user.
  • the privacy policy recommendation device 300 when there is a conflict between policies, it is easy without any effort between the privacy information holder and the privacy information user.
  • the policy can be determined.
  • FIG. 19 is a block diagram illustrating an example of a hardware configuration of the privacy policy recommendation devices 100 and 300 according to the second embodiment.
  • each part constituting the privacy policy recommendation device includes a CPU 1 (Central Processing Unit 1), a network connection communication IF 2 (communication interface 2), a memory 3, a hard disk for storing a program, and the like. It is realized by a computer device including a storage device 4 and connected to an input device 5 and an output device 6 through a bus.
  • the configuration of the privacy policy recommendation device is not limited to the computer device shown in FIG.
  • CPU 1 operates the operating system to control the entire privacy policy recommendation device 300. Further, the CPU 1 reads a program and data from a recording medium mounted on, for example, a drive device to the memory 3 and executes various processes according to the program and data.
  • the competition determination unit, the similar user extraction unit, the policy recommendation unit, and the policy reception unit may be realized by the CPU 1 and a program.
  • the recording device 4 is, for example, an optical disk, a flexible disk, a magnetic optical disk, an external hard disk, a semiconductor memory, etc., and records a computer program so that it can be read by a computer.
  • the computer program may be downloaded from an external computer (not shown) connected to the communication network.
  • the policy storage unit may be realized by the recording device 4.
  • the input device 5 is, for example, a mouse or a keyboard.
  • the output device 6 is, for example, a display.
  • the privacy policy recommendation device itself may include an input device and an output device, or a user terminal that communicates via the communication IF 2.
  • the block diagrams (FIGS. 1, 2, and 18) of the respective embodiments described so far show functional unit blocks, not hardware unit configurations. These functional blocks are realized by any combination of hardware and software.
  • the means for realizing the constituent parts of the privacy policy recommendation device is not particularly limited. In other words, the privacy policy recommendation device may be realized by one physically coupled device, or two or more physically separated devices are connected by wire or wirelessly and realized by these plural devices. Also good.
  • the present invention is not limited to this, and the information processing device that handles privacy information or privacy information is handled.
  • the present invention is applicable to any information processing system.
  • " ⁇ Other expressions of the embodiment> In each of the above-described embodiments, a characteristic configuration of an information processing apparatus that handles privacy information as described below, an information processing system that handles privacy information, an information processing method that handles privacy information, and a program is described (hereinafter referred to as the following) Is not limited to this).
  • the program of this invention should just be a program which makes a computer perform each operation
  • (Appendix 1) When a conflict occurs between a policy entered by a user who is a privacy information holder and a service policy set in advance for each service provider who is a privacy information user, it is entered by the user. Similar user extraction means for extracting a set of user identifiers of other users similar to the user identifier; Policy recommendation means for obtaining and outputting a set of policies based on the extracted set of user identifiers and the service identifier input by the user; Information processing apparatus that handles privacy information including (Appendix 2) Conflict determination means for determining whether or not there is a conflict between a policy input by a user who is a privacy information holder and a service policy preset for each service provider who is a privacy information user When, Further including An information processing apparatus that handles the privacy information according to attachment 1.
  • (Appendix 3) Stores a user identifier that identifies a user who is a privacy information holder, a service identifier that identifies a service provider who is a privacy information user, and a policy that regulates the handling of privacy information for each user identifier and service identifier.
  • Policy storage means Further including The similar user extracting unit resembles a service identifier corresponding to the user identifier input by the user from the policy storage unit and a set of service identifiers similar to the policy and user identifiers of other users set with the policy. Extract as a set of user identifiers, The policy recommendation means acquires the set of policies from the policy storage means.
  • An information processing apparatus that handles the privacy information according to attachment 1 or 2.
  • a policy receiving means for receiving a policy selected by the user from a set of policies output from the policy recommendation means, and storing the policy in association with a user identifier and a service identifier in the policy storage means;
  • the information processing apparatus which handles the privacy information of Additional remark 3 which contains further.
  • the policy stored in the policy storage means is: Specify the handling of privacy information by describing the data attribute that defines the type of data and the method of handling that data attribute. An information processing apparatus that handles the privacy information according to attachment 3 or 4.
  • the similar user extraction means includes: A user extraction means for extracting from the policy storage means a set of service identifiers and policies corresponding to the user identifier input by the user; and a set of user identifiers corresponding to the service identifier input by the user; Similarity calculating means for calculating the similarity between user identifiers based on the similarity of service identifiers calculated based on the extracted set of service identifiers and policies and the set of user identifiers; An information processing apparatus that handles privacy information according to any one of appendices 3 to 5 including: (Appendix 7)
  • the similarity calculation means includes: Calculating the similarity of the service identifiers based on the reciprocal of the distance between policies for each service identifier, and calculating the similarity between the user identifiers by summing up the similarities for each service identifier; An information processing apparatus that handles the privacy information according to attachment 6.
  • the similarity calculation means includes: Calculating the distance between the policies as the number of data attributes for which the handling method for each data attribute is inconsistent between the two policies; An information processing apparatus that handles the privacy information according to attachment 7.
  • the present invention can be applied to uses such as a recommendation service using privacy information and a privacy policy setting in an SNS service.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Human Resources & Organizations (AREA)
  • Strategic Management (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Tourism & Hospitality (AREA)
  • Databases & Information Systems (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Data Mining & Analysis (AREA)
  • Software Systems (AREA)
  • General Business, Economics & Management (AREA)
  • Economics (AREA)
  • Marketing (AREA)
  • Medical Informatics (AREA)
  • Operations Research (AREA)
  • Quality & Reliability (AREA)
  • Primary Health Care (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

　ポリシ間で競合が生じた場合において、プライバシ情報保有者とプライバシ情報利用者との間で手間をかけずに容易にポリシを決定することができる技術を提供する。本発明におけるプライバシ情報を扱う情報処理装置は、プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出する抽出処理を実行する類似ユーザ抽出手段と、抽出したユーザ識別子の集合と、ユーザによって入力されたサービス識別子と、に基づいてポリシの集合を取得して出力するポリシレコメンド手段と、を含む。

Description

プライバシ情報を扱う情報処理装置、プライバシ情報を扱う情報処理システム、プライバシ情報を扱う情報処理方法及びプログラム
　本発明はプライバシポリシについての技術に関し、特にプライバシ情報保有者とプライバシ情報利用者との間で適切なポリシを設定する技術に関する。
　近年、プライバシ情報保有者の属性情報（年齢、性別、住所など）や行動情報（位置情報、商品購買情報など）を取得し、プライバシ情報保有者の嗜好に合った広告の配信などに利用するサービスが注目されている。
　このようなサービスにおいて、属性情報や行動情報はプライバシ情報であるため、サービスの提供者であるプライバシ情報利用者が、一方的に属性情報や行動情報を取得又は利用してしまうとプライバシ情報保有者のプライバシが侵害されることになる。そのため、プライバシ情報利用者によるプライバシ情報の取り扱い方（開示条件、データ保護の要件など）を、プライバシ情報保有者が制御できる必要がある。
　このような制御を行う方法として、非特許文献１に記載のＰ３Ｐ（Ｐｌａｔｆｏｒｍ　ｆｏｒ　Ｐｒｉｖａｃｙ　Ｐｒｅｆｅｒｅｎｃｅｓ）などを用いたポリシベースの制御方法がある。
　Ｐ３Ｐの技術は、プライバシ情報の取り扱い方を以下のように制御する。前提として、サービスを提供するプライバシ情報利用者は、収集するプライバシ情報とその取り扱い方法をＸＭＬで記載したポリシファイル（以下、「サービスポリシ」という。）を設定する。また、プライバシ情報保有者は、提供するプライバシ情報とそのデータ開示方法をＸＭＬで記載したポリシファイル（以下、「ユーザポリシ」という。）を設定する。Ｐ３Ｐの技術は、ユーザポリシとサービスポリシの間で、データ開示の条件が整合するかどうかを調査することで、データ開示の判断を自動的又は半自動的に実施する。
　Ｐ３Ｐの技術は、ユーザポリシとサービスポリシが競合し、データ開示の合意が得られない場合（たとえば、両者のデータ開示の条件が相反する場合）、プライバシ情報利用者はデータを利用できなくなる、或いは、プライバシ情報保有者はサービスを受けることができなくなる。そのため、プライバシ情報保有者とプライバシ情報利用者は、ポリシの合意形成を行う必要がある。このような２者間でのポリシの合意形成方法はポリシ調停方法と呼ばれる。
　ポリシ調停方法の一例が、非特許文献２に記載されている。非特許文献２に記載のポリシ調停方法は、ネットワークで接続されたプライバシ情報保有端末とプライバシ情報利用端末とから構成されている。
　非特許文献２に記載のポリシ調停方法は次のように動作する。
　すなわち、プライバシ情報利用端末は、利用ポリシ（サービスポリシ）をプライバシ情報保有端末へ送信する。
　プライバシ情報保有端末は、利用ポリシとプライバシポリシ（ユーザポリシ）の比較を行い、競合がなければ、プライバシ情報保有者の属性情報を送信する。
　競合がある場合、プライバシ情報保有端末は、利用及び保持の条件をプライバシ情報利用端末へ送信する。
　プライバシ情報利用端末は、条件を満たすように新しい利用ポリシを生成し、生成した利用ポリシをプライバシ情報保有端末へ送信する。
　非特許文献２に記載のポリシ調停方法は、上述のポリシの送信及び比較、条件の送信並びに新しいポリシの生成を両者の合意が形成されるまで繰り返すことでポリシ調停を行う。
　非特許文献２と同様の技術は、特許文献１にも記載されている。
　また、本発明に関連する他の技術が、特許文献２に記載されている。
　特許文献２は、情報処理端末によりアクセス可能な情報に対するアクセス制限の内容を、アクセス制限情報として出力するアクセス制限情報出力装置を開示する。
　特許文献２において、記憶手段は、既に設定されたアクセス制限の内容を、予め定められた基準に基づいて分けられた項目毎に示すアクセス制限情報である設定済みアクセス制限情報を、設定した利用者毎に記憶する。
　出力要求受付手段は、アクセス制限情報の出力要求と、要求対象の項目の指定と、を要求者が利用する端末装置から受け付ける。
　選択手段は、記憶手段に記憶された設定済みアクセス制限情報のうち、要求者の設定済みアクセス制限情報と内容が類似する他者の設定済みアクセス制限情報を少なくとも一つ選択する。
　出力手段は、選択された設定済みアクセス制限情報が示す内容のうち、指定された項目に対応する内容をアクセス制限情報として端末装置に出力する。
　特許文献２に記載のアクセス制御情報出力装置は、上述の構成を採用することにより、要求者の方針に合ったアクセス制限情報を、手間をかけずに設定できる。
特開２００４－１９２３５３号公報 特開２００９－２５８８２６号公報
http://www.w3.org/p3p Makoto Hatakeyama、Hidehito　Gomi著、"Privacy Policy Negotiation Framework for Attribute Exchange"、W3C Workshop on Languages for Privacy Policy Negotiation and Semantics-Driven Enforcement、2006年、http://www.w3.org/2006/07/privacy-ws/papers/22-hatakeyama-negotiation-attributes/
　非特許文献２や特許文献１に記載の技術は、プライバシ情報保有者とプライバシ情報利用者の間でポリシの競合が生じた場合でも、複数回の対話を行うことで、プライバシ情報保有者とプライバシ情報利用者の間で柔軟にポリシを合意できる。
　しかしながら、プライバシ情報保有者が、さまざまに存在するプライバシ情報利用者に対して、柔軟にポリシ調停を行うことは、プライバシ情報保有者にとって負荷が高い。
　つまり、プライバシ情報保有者は、複数のプライバシ情報利用者とポリシを決定する場合、複数のプライバシ情報利用者ごとに複数回の対話を行う必要があり、非特許文献２や特許文献１に記載の技術は、その対話が手間となり負荷が高くなる。
　一方、特許文献２に記載の技術は、要求者の方針に合ったアクセス制限情報を、手間をかけずに設定できる。
　しかしながら、特許文献２に記載の技術は、アクセス制御ポリシに関する技術であってプライバシポリシに関する技術ではない。そのため、特許文献２に記載の技術は、ポリシ間で競合が生じた場合にポリシ調停を行う、という課題を解決することができない。
　以上より本発明の目的は、ポリシ間で競合が生じた場合において、プライバシ情報保有者とプライバシ情報利用者との間で手間をかけずに容易にポリシを決定することができる技術を提供することである。
　上記目的を達成するため、本発明におけるプライバシ情報を扱う情報処理装置は、プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出する類似ユーザ抽出手段と、前記抽出したユーザ識別子の集合と、前記ユーザによって入力されたサービス識別子と、に基づいてポリシの集合を取得して出力するポリシレコメンド手段と、を含む。
　また、上記目的を達成するため、本発明におけるプライバシ情報を扱う情報処理システムは、プライバシ情報を扱う情報処理装置と、前記ポリシレコメンド手段によって出力されたポリシの集合の中からユーザの入力により選択されたポリシを、前記プライバシ情報を扱う情報処理装置へ送信するユーザ端末と、を含む。
また、上記目的を達成するため、本発明におけるユーザ端末は、前記プライバシ情報を扱う情報処理装置の前記ポリシレコメンド手段によって出力されたポリシの集合の中から、ユーザの入力により選択されたポリシを、前記プライバシ情報を扱う情報処理装置へ送信する。
　また、上記目的を達成するため、本発明におけるプライバシ情報を扱う情報処理方法は、プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出し、前記抽出したユーザ識別子の集合と、前記ユーザによって入力されたサービス識別子とに基づいてポリシの集合を取得して出力する。
　また、上記目的を達成するため、本発明におけるプログラムは、プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出し、前記抽出したユーザ識別子の集合と、前記ユーザによって入力されたサービス識別子とに基づいてポリシの集合を取得して出力する、処理をコンピュータに実行させる。
　本発明における技術によれば、ポリシ間で競合が生じた場合において、プライバシ情報保有者とプライバシ情報利用者との間で手間をかけずに容易にポリシを決定することができる。
本発明の第１実施形態に係るプライバシポリシレコメンドシステム１０００の構成を示すブロック図である。 類似ユーザ抽出部１０３の詳細を示すブロック図である。 第１実施形態におけるプライバシポリシレコメンドシステム１００の動作を示すフローチャート図である。 類似ユーザ抽出部１０３がユーザ識別子集合を取得する動作を示すフローチャート図である。 類似度計算部１０７がユーザ識別子の類似度を計算する動作を示すフローチャート図である。 本実施例におけるポリシの一例を示す図である。 ポリシ格納部１０１に格納されているデータの例を示す図である。 ユーザ識別子＝“１”のユーザのユーザポリシの例を示す図である。 サービス識別子＝“３”のサービス提供者のサービスポリシの例を示す図である ユーザ抽出部１０６が抽出する（サービス識別子、ポリシ）の組の集合の例を示す図である。 ユーザ抽出部１０６が抽出する（ユーザ識別子、（サービス識別子、ポリシ）の組の集合）の組の集合の例を示す図である。 類似度計算部１０７に入力されるＳ１及びＳ２の例を示す図である。 サービス識別子＝“１”に対して類似度計算部１０７が取得するポリシの例を示す図である。 類似度計算の対象となる所定のユーザ識別子に対するサービス識別子ごとの距離を示す図である。 ユーザ識別子＝“１”と、他の所定のユーザ識別子との類似度を示す図である。 ユーザに推薦されるポリシ集合の例を示す図である。 本発明によってポリシ格納部１０１のデータが更新された状態を示す図である。 第２実施形態に係るプライバシポリシレコメンド装置３００の構成を示すブロック図である。 第１実施形態におけるプライバシポリシレコメンド装置１００のハードウェア構成の例を示すブロック図である。 第１の実施形態に係るユーザ端末２００の構成を示すブロック図である。
　＜第１実施形態＞
　本発明の第１実施形態について図面を参照して詳細に説明する。
　まず、前提として本実施形態においてポリシは、データ属性とデータ属性ごとのアクション（プライバシ情報の取り扱い方）が記述されているものとする。データ属性は、氏名、年齢、住所などの属性情報と、位置情報、購買情報などの行動情報を含めて、データの性質を識別する値である。データ属性ごとのアクションは、プライバシ情報の取り扱い方を記述するものである。
　プライバシ情報の取り扱い方には、プライバシ情報を「提供する」か「提供しない」か、の他に「プライバシ情報に保護処理を実施して提供する」、といった取り扱い方がある。プライバシ情報に保護処理を実施して提供する態様には、「暗号化を施して提供する」や「ノイズを加えて提供する」などの取り扱い方がある。
　図１は、本発明の第１実施形態に係るプライバシポリシレコメンドシステム１０００の構成を示すブロック図である。図１に示すように、プライバシポリシレコメンドシステム１０００は、プライバシポリシレコメンド装置１００と、ユーザ端末２００と、を含む。また、プライバシポリシレコメンド装置１００は、ポリシ格納部１０１と、競合判定部１０２と、類似ユーザ抽出部１０３と、ポリシレコメンド部１０４と、ポリシ受信部１０５と、を含む。
　ポリシ格納部１０１は、ユーザであるプライバシ情報保有者を識別するユーザ識別子と、サービス提供者であるプライバシ情報利用者を識別するサービス識別子と、ユーザ識別子及びサービス識別子ごとのプライバシ情報の取り扱いを規定するポリシと、を格納する。
　競合判定部１０２は、ユーザによって入力されたデータのポリシと、サービス提供者毎に予め設定されているサービスのポリシとの間に競合が存在するか否かを判定する。なお、本明細書で記述される「ユーザによって入力された」、「ユーザにより、・・・が入力される」、「ユーザにより入力された」は、ユーザ自身による入力の他に、ユーザ以外の者によるユーザの意志を反映した入力も含まれる。
　具体的には、競合判定部１０２は、ユーザ端末２００を介してユーザにより、当該ユーザのユーザ識別子と、当該ユーザが提供を受けたいサービスのサービス識別子と、当該ユーザのプライバシ情報の取り扱いを規定するユーザポリシと、が入力される。
　競合判定部１０２は、ユーザにより入力されたサービス識別子のサービスポリシを、サービス提供者から取得する。
　競合判定部１０２は、ユーザにより入力されたユーザポリシと、サービス提供者から取得したサービスポリシとの間に競合が存在するか否かを判定する。競合が存在すると判定すると、競合判定部１０２は、ユーザによって入力されたユーザ識別子と、サービス識別子と、抽出処理の実行命令と、を類似ユーザ抽出部１０３に出力する。競合が存在しないと判定すると、競合判定部１０２は、サービス提供者にサービスの提供を促し、ユーザによる次のデータの入力を待つ。
　類似ユーザ抽出部１０３は、競合判定部１０２によって競合が存在すると判定された場合に抽出処理の実行命令を受け、ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を、ポリシ格納部１０１から抽出する。ここで、類似ユーザ抽出部１０３は、ユーザ識別子が類似するか否かを、当該ユーザ識別子と対応するサービス識別子及びポリシが類似するか否かによって判定しても良い。
　具体的には、類似ユーザ抽出部１０３は、ポリシ格納部１０１に格納されるデータのうち、ユーザによって入力されたユーザ識別子に対応するサービス識別子及びポリシと類似するサービス識別子及びポリシが設定された他のユーザのユーザ識別子を、該当する集合として抽出する。ここで、類似ユーザ抽出部１０３は、サービス識別子及びポリシが類似するか否かについて、サービス識別子が同一でポリシが類似する場合は類似と判定し、サービス識別子が異なる場合又はサービス識別子が同一でポリシが類似でない場合は、類似でないと判定しても良い。
　類似ユーザ抽出部１０３は、抽出したユーザ識別子の集合をポリシレコメンド部１０４に出力する。また、類似ユーザ抽出部１０３は、ユーザによって入力されたサービス識別子をポリシレコメンド部１０４に出力する。
　ポリシレコメンド部１０４は、類似ユーザ抽出部１０３から入力されたユーザ識別子の集合と、ユーザによって入力されたサービス識別子とに基づいて、ポリシ格納部１０１からポリシの集合を取得する。
　ポリシレコメンド部１０４は、ポリシ格納部１０１から取得したポリシの集合をユーザ端末２００に出力する。
　ポリシ受信部１０５は、ポリシレコメンド部１０４から出力されたポリシの集合からユーザが選択したポリシを受信し、ユーザ識別子及びサービス識別子と対応付けてポリシ格納部１０１へ格納する。
　ユーザ端末２００は、上述の、ユーザによるユーザ識別子、サービス識別子及びユーザポリシの入力を受け付ける。ユーザ端末２００は、ユーザにより入力されたユーザ識別子、サービス識別子及びユーザポリシを競合判定部１０２に出力する。
　また、ユーザ端末２００は、ポリシレコメンド部１０４からポリシの集合が入力される。ユーザ端末２００は、例えばディスプレイなどにポリシの集合を表示し、ユーザによるポリシの選択を受け付ける。ユーザ端末２００は、選択されたポリシをポリシ受信部１０５へ送信する。
　ここで、ユーザ端末２００の具体的な構成について説明する。図２０は、第１の実施形態に係るユーザ端末２００の構成を示すブロック図である。図２０に示すようにユーザ端末２００は、制御部２０１、送受信部２０２を備える。ユーザ端末２００の送受信部２０２は、情報処理装置１００のポリシレコメンド部１０４によって出力されたポリシの集合を受信する。続いて、ユーザ端末２００の制御部２０１は、ユーザ端末２００のディスプレイ（図示せず）に受信したポリシの集合を表示し、ユーザに受信したポリシの集合からのポリシの選択を促す。ユーザ端末２００の入力部（図示せず）を介してユーザに選択されたポリシは、送受信部２０２によってプライバシ情報を扱う情報処理装置１００へ送信される。
　次に、図２を参照して、類似ユーザ抽出部１０３の詳細を説明する。
　図２は、類似ユーザ抽出部１０３の詳細を示すブロック図である。図２に示すように、類似ユーザ抽出部１０３は、ユーザ抽出部１０６と、類似度計算部１０７と、を含む。
　ユーザ抽出部１０６は、ユーザによって入力されたユーザ識別子に対応するサービス識別子及びポリシの集合と、ユーザによって入力されたサービス識別子に対応するユーザ識別子の集合と、をポリシ格納部１０１から抽出する。
　ユーザ抽出部１０６は、抽出したサービス識別子及びポリシの集合と、ユーザ識別子の集合とを類似度計算部１０５に出力する。
　類似度計算部１０７は、ユーザ抽出部１０６により抽出された、サービス識別子及びポリシの集合と、ユーザ識別子の集合とに基づいてサービス識別子の類似度を計算する。類似度計算部１０７は、計算したサービス識別子の類似度に基づいて、ユーザ識別子間の類似度を計算する。
　類似度計算部１０７は、サービス識別子の類似度を、サービス識別子毎にポリシ間の距離の逆数に基づいて計算し、サービス識別子毎の類似度を総積することでユーザ識別子間の類似度を計算しても良い。また、類似度計算部１０７は、ポリシ間の距離を、２つのポリシの間でデータ属性ごとの取り扱い方法が不一致であるデータ属性の数として計算しても良い。
　類似度計算部１０７は、ユーザ識別子間の類似度の計算結果に基づいて、類似度が高いユーザ識別子の集合をポリシ格納部１０１から抽出する。類似度計算部１０７は、抽出したユーザ識別子の集合をポリシレコメンド部１０４に出力する。
　次に本実施形態の全体的な動作について詳細に説明する。
　図３は、第１実施形態におけるプライバシポリシレコメンドシステム１００の動作を示すフローチャート図である。図３に示すように、競合判定部１０２にユーザ端末２００からユーザ識別子、サービス識別子及びユーザポリシが入力される。競合判定部１０２は、入力されたサービス識別子が示すサービス提供者のサービスポリシを取得し、ユーザポリシとサービスポリシとの間に競合があるか否かを判定する（ステップＡ１）。
　競合があると判定された場合（ステップＡ２－Ｙｅｓ）、処理はＡ３に進む。競合が存在しないと判定された場合（ステップＡ２－Ｎｏ）、再びユーザからデータが入力されるのを待つ。
　競合判定部１０２は、類似ユーザ抽出部１０３にユーザ識別子、サービス識別子を渡し、抽出処理の実行を命ずる（ステップＡ３）。
　類似ユーザ抽出部１０３は、ポリシ格納部１０１、入力されたユーザ識別子と類似するユーザ識別子の集合を取得する（ステップＡ４）。具体的には類似ユーザ抽出部１０３は、ポリシ格納部１０１が格納するデータのうち、入力されたユーザ識別子と対応するサービス識別子と同一のサービス識別子を持つデータのうち、サービス識別子間の設定されているポリシが類似しているデータのユーザ識別子集合を取得する。
　ポリシレコメンド部１０４は、類似ユーザ抽出部１０３が抽出したユーザ識別子集合と、ユーザによって入力されたサービス識別子を元にポリシ格納部１０１から、ユーザに対し推薦するポリシの集合を取得する（ステップＡ５）。
　ポリシレコメンド部１０４は、取得したポリシの集合をユーザ端末２００へ送信し、ユーザへ推薦する（ステップＡ６）。具体的には、ポリシレコメンド部１０４は、ユーザ端末２００に対しポリシの集合をディスプレイに表示するよう制御する。
　ポリシ受信部１０５は、ユーザが選択しユーザ端末２００から送信されたポリシを受け取り、ポリシ格納部１０１に格納する（ステップＡ７）。
　次に、図３のステップＡ３におけるユーザ識別子集合を抽出する動作の一例について詳細に説明する。
　図４は、類似ユーザ抽出部１０３がユーザ識別子集合を取得する動作を示すフローチャート図である。図４に示すように、ユーザ抽出部１０６は、ユーザによって入力されたユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合を、ポリシ格納部１０１から取得する（ステップＢ１）。
　ユーザ抽出部１０６は、ユーザによって入力されたサービス識別子に対応するユーザ識別子の集合を、ポリシ格納部１０１から取得する（ステップＢ２）。
　ユーザ抽出部１０６は、ポリシ格納部１０１から、ステップＢ２で取得したユーザ識別子の集合に対応する（サービス識別子、ポリシ）の組の集合を取得し、（ユーザ識別子、（サービス識別子、ポリシ）の組の集合）の組の集合を取得する（ステップＢ３）。ユーザ抽出部１０６は、入力されたユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合と、ユーザ識別子の集合に対応する（ユーザ識別子、（サービス識別子、ポリシ）の組の集合）の組の集合を、類似度計算部１０７へ出力する。
　類似度計算部１０７は、入力されたユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合と、ユーザ識別子の集合に対応する（ユーザ識別子、（サービス識別子、ポリシ）の組の集合）の組の集合に基づいて、ユーザ識別子間の類似度を計算する（ステップＢ４）。
　類似度計算部１０７は、類似度が高いユーザ識別子を一定数個取得し、ユーザ集合としてポリシレコメンド部１０４に出力する（ステップＢ５）。
　次に、図４のステップＢ４におけるユーザ識別子の類似度を計算する動作の一例について詳細に説明する。
　図５は、類似度計算部１０７がユーザ識別子の類似度を計算する動作を示すフローチャート図である。図５に示すように、２つの（サービス識別子、ポリシ）の組の集合Ｓ１、Ｓ２が入力される（ステップＣ１）。ここで、Ｓ１は、ユーザによって入力されたユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合である。また、Ｓ２は、ユーザ識別子の集合（ステップＢ２で取得したユーザ識別子の集合）に対応する（ユーザ識別子、（サービス識別子、ポリシ）の組の集合）の組の集合に含まれる、一つのユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合である。
　類似度計算部１０７は、ユーザ識別子の類似度の初期化を行う（ステップＣ２）。例えば、類似度をＳｉｍと表現すると、類似度計算部１０７は、Ｓｉｍ＝１．０とする。
　類似度計算部１０７は、Ｓ１に含まれる所定のサービス識別子について、以下で説明するステップＣ３～Ｃ５を繰り返す。なお、所定のサービス識別子とあるが、類似度計算部１０７がユーザ識別子の類似度を計算するために、全てのサービス識別子を対象としてもよく、或いは、一部のサービス識別子を対象としてもよい。
　類似度計算部１０７は、Ｓ１に含まれるサービス識別子の一つにつき、Ｓ１及びＳ２から当該サービス識別子に対応するポリシＰ１、Ｐ２を取得する（ステップＣ３）。
　類似度計算部１０７は、２つのポリシＰ１、Ｐ２間の距離ｄを計算する（ステップＣ４）。類似度計算部１０７は、サービス識別子に対応するＰ２がＳ２内に存在しないときはｄ＝０としても良い。ポリシ間の距離は、例えばポリシ内でデータ属性に対するアクションが異なる数で計算しても良く、これに限定されず他の方法で計算しても良い。本実施形態においては、類似度計算部１０７は、ポリシ間の距離を、ポリシ内でデータ属性に対するアクションが異なる数で計算するものとする。
　類似度計算部１０７は、サービス識別子の類似度を、サービス識別子毎にポリシ間の距離の逆数に基づいて計算する。すなわち、類似度計算部１０７は、サービス識別子の類似度を、Ｓｉｍ＝Ｓｉｍ／（ｄ＋１）として計算する（ステップＣ５）。なお、サービス識別子の類似度は、上記に限定されず他の方法で計算しても良い。
　また、類似度計算部１０７は、サービス識別子毎の類似度を総積することでユーザ識別子間の類似度を計算する。なお、ユーザ識別子間の類似度は、上記に限定されず他の方法で計算しても良い。
　次に、具体的な例と上述のフローチャートを用いて本発明における第１実施形態の実施例を説明する。
　図６は、本実施例におけるポリシの一例を示す図である。図６に示すように、本実施例ではポリシとして、データ属性に対してアクションを“提供する”、“提供しない”の２値を、ＡＣＴＩＯＮタグを用いて設定できるＸＭＬとして記述される例について述べる。　図６で示すポリシは、ユーザの「名前」、「住所」、「位置情報」及び「購買情報」をプライバシ情報として、それぞれの情報をサービス提供者に「提供する」か「提供しない」かについて表している。具体的に図６は、「名前」は「提供する」、「住所」は「提供しない」、「位置情報」は「提供しない」、「購買情報」は「提供する」とするポリシの例である。
　図７は、ポリシ格納部１０１に格納されているデータの例を示す図である。図７に示すように、ポリシ格納部１０１は、ユーザ識別子と、サービス識別子と、ポリシとを対応付けて格納する。ポリシ格納部１０１が格納するデータは、プライバシ情報保有者とプライバシ情報利用者との間で既にポリシ調停が完了している。
　以下、ユーザ識別子＝“１”のプライバシ情報保有者がサービス識別子＝“３”のプライバシ情報利用者に対してサービスの提供を求める場面でのプライバシポリシレコメンドシステム１０００の動作を説明する。
　ユーザ識別子＝“１”のプライバシ情報保有者であるユーザは、ユーザ端末２００に、自身のユーザ識別子＝“１”と、求めるサービスの提供者のサービス識別子＝“３”と、自身のユーザポリシとを入力する。
　図８は、ユーザ識別子＝“１”のユーザのユーザポリシの例を示す図である。図８に示すように、ユーザ識別子＝“１”のユーザは、ポリシを、「名前」を「提供する」、「住所」を「提供しない」、「位置情報」を「提供しない」、「購買情報」を「提供する」と設定している。
　ユーザ端末２００は、ユーザによって入力されたユーザ識別子と、サービス識別子と、ユーザポリシとをプライバシポリシレコメンド装置１００の競合判定部１０２に出力する。
　競合判定部１０２は、ユーザ端末２００から「ユーザ識別子＝“１”」、「サービス識別子＝“３”」及び図８に示すユーザポリシが入力され、ユーザポリシとサービスポリシの間に競合が存在するか否かを判定する（ステップＡ１）。競合判定のため、まず競合判定部１０２は、ユーザによって入力されたサービス識別子のサービスポリシを外部から取得する。競合判定部１０２は、直接プライバシ情報利用者にサービスポリシを問い合わせても良いし、各プライバシ情報利用者のサービスポリシがまとめられた外部のデータベースに問い合わせても良い。
　図９は、サービス識別子＝“３”のサービス提供者のサービスポリシの例を示す図である。図９に示すように、サービス識別子＝“３”のサービス提供者は、４つのプライバシ情報を「提供する」ことを要求している。
　競合判定部１０２は、図８に示すユーザポリシと、図９に示すサービスポリシの間で競合が存在するか否かを判定する。本実施例において、競合判定部１０２は、所定のプライバシ情報を「提供する」ことを要求するサービス識別子＝“３”のサービスポリシとの競合判定において、ユーザポリシに、（１）「位置情報」が「提供しない」に設定されている、又は（２）「提供しない」に設定されているデータ属性が３つ以上ある、のいずれかの場合に競合が存在すると判定するものとする。上記の判定方法は一例であり、競合判定部１０２は、他に様々な指標で競合の存在を判定して良い。また、所定のプライバシ情報とあるが、全てのプライバシ情報でもよく、或いは、一部のプライバシ情報でもよい。
　図８に示すユーザポリシは、「位置情報」が「提供しない」となっているため、競合判定部１０２は、ユーザポリシとサービスポリシの間に競合が存在すると判定する（ステップＡ２－Ｙｅｓ）。
　競合判定部１０２は、類似ユーザ抽出部１０３へユーザ識別子＝“１”とサービス識別子＝“３”を出力し、抽出処理の実行を命令する（ステップＡ３）。
　類似ユーザ抽出部１０３は、競合判定部１０２からユーザ識別子＝“１”が入力されると、ポリシ格納部１０１からユーザ識別子＝“１”に類似するユーザ識別子の集合を取得する（ステップＡ４）。つまり、類似ユーザ抽出部１０３は、ユーザ識別子＝“１”のデータとサービス識別子が同一であり、設定しているポリシが類似しているデータのユーザ識別子の集合を取得する。
　類似ユーザ抽出部１０３における抽出処理の動作をより詳細に説明する。
　まず、ユーザ抽出部１０６は、入力されたユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合を、ポリシ格納部１０１から取得する（ステップＢ１）。
　図１０は、ユーザ抽出部１０６が抽出する（サービス識別子、ポリシ）の組の集合を示す図である。本実施例では、ユーザ抽出部１０６は、ポリシ格納部１０１が格納する図７のデータから、ユーザ識別子＝“１”のデータを抽出し、図１０のようなデータを取得する。
　次に、ユーザ抽出部１０６は、入力されたサービス識別子に対応するユーザ識別子の集合を、ポリシ格納部１０１から取得する（ステップＢ２）。図７のデータを参照すると、サービス識別子＝“３”が設定されているユーザ識別子は“２”、“３”及び“４”である。そのため、ユーザ抽出部１０６は、ユーザ識別子の集合｛“２”、“３”、“４”｝を取得する。
　次に、ユーザ抽出部１０６は、ポリシ格納部１０１から、ユーザ識別子の集合に対応する（サービス識別子、ポリシ）の組の集合を取得し、（ユーザ識別子、（サービス識別子、ポリシ）の組の集合）の組の集合を取得する（ステップＢ３）。
　図７を参照すると、ユーザ識別子の集合｛“２”、“３”、“４”｝のそれぞれに対応するサービス識別子は、ユーザ識別子＝“２”に対してはサービス識別子｛“１”、“２”、“３”｝であり、ユーザ識別子＝“３”に対してはサービス識別子｛“１”、“２”、“３”｝であり、ユーザ識別子＝“４”に対してはサービス識別子｛“２”、“３”｝である。そのため、ユーザ抽出部１０６は、（ユーザ識別子、（サービス識別子、ポリシ）の組の集合）の組の集合として、図１１に示すようなデータを取得する。
　次に、ユーザ抽出部１０６は、入力されたユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合（図１０）と、ユーザ識別子の集合に含まれる一つのユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合（例えば図１１のユーザ識別子＝“２”の集合）を、類似度計算部１０７へ出力する。類似度計算部１０７は、ユーザ識別子の類似度を計算する（ステップＢ４）。
　以下では例としてユーザ識別子＝“２”との類似度を計算する動作を示す。
　まず、類似度計算部１０７は、２つの（サービス識別子、ポリシ）の組の集合Ｓ１、Ｓ２が入力される（ステップＣ１）。Ｓ１は、入力されたユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合（図１０）である。Ｓ２は、ユーザ識別子の集合に含まれる一つのユーザ識別子に対応する（サービス識別子、ポリシ）の組の集合（図１１のユーザ識別子＝“２”の集合）である。
　図１２は、類似度計算部１０７に入力されるＳ１及びＳ２の例を示す図である。類似度計算部１０７は、図１２に示すようなデータが入力される。
　次に、類似度計算部１０７は、類似度Ｓｉｍ＝１．０と初期化を行う（ステップＣ２）。
　次に、類似度計算部１０７は、Ｓ１に含まれる所定のサービス識別子について、以下で説明するステップＣ３～Ｃ５を繰り返す。本実施例ではサービス識別子＝“１”、“２”対して繰り返しが行われるが、以下には例としてサービス識別子＝“１”について説明する。
　類似度計算部１０７は、一つのサービス識別子に対してＳ１、Ｓ２に含まれる当該サービス識別子に対応するポリシＰ１、Ｐ２を取得する（ステップＣ３）。
　図１３は、サービス識別子＝“１”に対して類似度計算部１０７が取得するポリシの例を示す図である。類似度計算部１０７は、サービス識別子＝“１”に対して図１３に示すようなポリシＰ１、Ｐ２を取得する。
　次に、類似度計算部１０７は、２つのポリシＰ１、Ｐ２間の距離ｄを計算する（ステップＣ４）。本実施例は、ポリシ間の距離の計算方法として、ポリシ内でデータ属性に対するアクションが異なる数を利用する。
　具体的には、Ｐ１は「名前」が「提供しない」、「住所」が「提供しない」、「位置情報」が「提供しない」、「購買情報」が「提供する」に設定されている。一方Ｐ２も同様に「名前」が「提供しない」、「住所」が「提供しない」、「位置情報」が「提供しない」、「購買情報」が「提供する」に設定されており、異なるアクションは０個である。そのため、類似度計算部１０７は、ユーザ識別子＝“１”と“２”の間におけるサービス識別子＝“１”に対するポリシ間の距離をｄ＝０と計算する。
　類似度計算部１０７は、Ｓｉｍ＝Ｓｉｍ／（ｄ＋１）とする（ステップＣ５）。ここで、Ｓｉｍ＝１．０と初期化されているので、類似度計算部１０７は、Ｓｉｍを、Ｓｉｍ＝１．０／（０＋１）＝１．０とする。すなわち類似度計算部１０７は、ユーザ識別子＝“１”と“２”の間におけるサービス識別子＝“１”の類似度を１．０と計算する。
　ステップＣ３からステップＣ５は、Ｓ１に含まれる所定のサービス識別子について繰り返される。サービス識別子＝“２”についても、類似度計算部１０７は距離ｄ＝０と計算するので、Ｓｉｍは再び、Ｓｉｍ＝１．０／（０＋１）＝１．０となる。すなわち、類似度計算部１０７は、ユーザ識別子＝“１”とユーザ識別子＝“２”の類似度を“１”であると算出する。
　図１４は、類似度計算の対象となる所定のユーザ識別子に対するサービス識別子ごとの距離を示す図である。図１４に示すように、ユーザ識別子＝“４”、サービス識別子＝“１”の距離は０となっている。図１１を参照すると、ユーザ識別子＝“４”はサービス識別子＝“１”のデータを持たない。このように、類似度計算部１０７は、Ｐ１のサービス識別子に対応するＰ２がＳ２内に存在しないときはｄ＝０としても良い。なお、所定のユーザ識別子とあるが、類似度計算部１０７がユーザ識別子の類似度を計算する対象は、全てのユーザ識別子としてもよく、或いは、一部のユーザ識別子であってもよい。
　図１５は、ユーザ識別子＝“１”と、他の所定のユーザ識別子との類似度を示す図である。例えばユーザ識別子＝“３”との類似度を考えると、サービス識別子＝“１”、“２”との距離はそれぞれ“４”と“２”である。従って、類似度計算部１０７は、ユーザ識別子＝“１”とユーザ識別子＝“３”との間におけるサービス識別子＝“１”の類似度を、Ｓｉｍ＝１．０／（４＋１）＝１／５と計算する。また、類似度計算部１０７は、ユーザ識別子＝“１”とユーザ識別子＝“３”との間におけるサービス識別子＝“２”の類似度を、Ｓｉｍ＝１．０／（２＋１）＝１／３と計算する。
　本実施例において類似度計算部１０７は、サービス識別子毎の類似度を総積することでユーザ識別子間の類似度を計算する。具体的には、類似度計算部１０７は、ユーザ識別子＝“１”　とユーザ識別子＝“３”の類似度を、１／５×１／３＝１／１５として計算する。
　次に、類似度計算部１０７は、類似度が高いユーザ識別子を所定の個数取得し、類似するユーザ識別子の集合として出力する（ステップＢ５、ステップＡ４）。本実施例においては２つのユーザ識別子を出力するものとすると、類似度計算部１０７は、ユーザ識別子集合｛“２”、“４”｝を出力する。
　次に、ポリシレコメンド部１０４は、類似度計算部１０７から出力されたユーザ識別子集合と、ユーザによって入力されたサービス識別子を元に、ユーザに対し推薦するポリシ集合をポリシ格納部１０１から取得する（ステップＡ５）。具体的には、ポリシレコメンド部１０４は、ユーザ識別子＝“２”、“４”のそれぞれについてサービス識別子＝“３”のポリシを図７に示すデータから取得する。
　図１６は、ユーザに推薦されるポリシ集合の例を示す図である。
　次に、ポリシレコメンド部１０４は、取得したポリシ集合をユーザ端末２００へ送信し、ユーザに推薦する（ステップＡ６）。
　ポリシ受信部１０５は、ユーザが選択し、ユーザ端末から送信されたポリシを受け取りポリシ格納部１０１に格納する（ステップＡ７）。たとえば、ユーザがユーザ識別子＝“４”と同じポリシを選択したとすると、ポリシ格納部１０１は図１７のように更新される。
　図１７は、本発明によってポリシ格納部１０１のデータが更新された状態を示す図である。図１７に示すように、図７に示すデータに対して、ユーザ識別子＝“１”のサービス識別子＝“３”のデータが追加されている。新たに追加されたポリシは、「名前」が「提供する」、「住所」が「提供しない」、「位置情報」が「提供する」、「購買情報」が「提供しない」に設定されている。
　このポリシは、（１）「位置情報」が「提供しない」に設定されている、又は（２）「提供しない」に設定されているデータ属性が３つ以上ある、のいずれにも該当しないため、サービス識別子＝“３”のサービスポリシと競合は発生しない。
　以上説明したように、第１実施形態におけるプライバシポリシレコメンドシステム１０００によれば、ポリシ間で競合が生じた場合において、プライバシ情報保有者とプライバシ情報利用者との間で手間をかけずに容易にポリシを決定することができる。
　その理由は、競合判定部１０２がポリシ間で競合が生じていると判定すると、類似ユーザ抽出部１０３がプライバシ情報保有者と類似するポリシを設定している、他のプライバシ情報保有者の集合を抽出し、ポリシレコメンド部１０４が、ポリシの傾向が類似するプライバシ情報保有者がプライバシ情報利用者に設定しているポリシを推薦するからである。
　上記構成を採用することにより、プライバシポリシレコメンドシステム１０００は、競合が生じていると判定した場合に、プライバシ情報利用者ごとに複雑なポリシ調停などを行わずに、適切に、かつポリシ調停が既に完了しているポリシを設定することができる。
　＜第２実施形態＞　本発明の第２実施形態について図面を参照して詳細に説明する。
　図１８は、第２実施形態に係るプライバシポリシレコメンド装置３００の構成を示すブロック図である。図１８に示すように、プライバシポリシレコメンド装置３００は、類似ユーザ抽出部３０１と、ポリシレコメンド部３０２とを含む。
　類似ユーザ抽出部３０１は、プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出する抽出処理を実行する。
　ポリシレコメンド部３０２は、類似ユーザ抽出部３０１が抽出したユーザ識別子の集合と、ユーザによって入力されたサービス識別子とに基づいてポリシの集合を取得して出力する。
　以上説明したように、第２実施形態に係るプライバシポリシレコメンド装置３００によれば、ポリシ間で競合が生じた場合において、プライバシ情報保有者とプライバシ情報利用者との間で手間をかけずに容易にポリシを決定することができる。
　図１９は、第２実施形態におけるプライバシポリシレコメンド装置１００及び３００のハードウェア構成の例を示すブロック図である。図１９に示すように、プライバシポリシレコメンド装置を構成する各部は、ＣＰＵ１（Central Processing Unit 1）と、ネットワーク接続用の通信ＩＦ２（通信インターフェース２）と、メモリ３と、プログラムを格納するハードディスク等の記憶装置４とを含み、バスを通して入力装置５及び出力装置６と接続される、コンピュータ装置によって実現される。ただし、プライバシポリシレコメンド装置の構成は、図１９に示すコンピュータ装置に限定されない。
　ＣＰＵ１は、オペレーティングシステムを動作させてプライバシポリシレコメンド装置３００の全体を制御する。また、ＣＰＵ１は、例えばドライブ装置などに装着された記録媒体からメモリ３にプログラムやデータを読み出し、これにしたがって各種の処理を実行する。
　例えば競合判定部と、類似ユーザ抽出部と、ポリシレコメンド部と、ポリシ受信部とは、ＣＰＵ１及びプログラムによって実現されても良い。
　記録装置４は、例えば光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク、半導体メモリ等であって、コンピュータプログラムをコンピュータ読み取り可能に記録する。また、コンピュータプログラムは、通信網に接続されている図示しない外部コンピュータからダウンロードされても良い。
　例えば、ポリシ格納部は記録装置４によって実現されても良い。
　入力装置５は、例えばマウスやキーボード等である。出力装置６は、例えばディスプレイ等である。プライバシポリシレコメンド装置自身が入力装置及び出力装置を備えていても良いし、通信ＩＦ２を通じて通信するユーザ端末が備えていても良い。
　なお、これまでに説明した各実施形態のブロック図（図１、図２及び図１８）は、ハードウェア単位の構成ではなく、機能単位のブロックを示している。これらの機能ブロックはハードウェア及びソフトウェアの任意の組み合わせによって実現される。また、プライバシポリシレコメンド装置の構成部の実現手段は特に限定されない。すなわち、プライバシポリシレコメンド装置は、物理的に結合した一つの装置により実現されても良いし、物理的に分離した二つ以上の装置を有線又は無線で接続し、これら複数の装置により実現されても良い。
　なお、上述の各実施の形態では、プライバシポリシレコメンド装置、又は、プライバシポリシレコメンドシステムの例で説明したが、これに限られるものではなく、プライバシ情報を扱う情報処理装置、又は、プライバシ情報を扱う情報処理システムであれば本発明は適用可能である。」
　＜実施形態の他の表現＞
　上記の各実施の形態においては、以下に示すようなプライバシ情報を扱う情報処理装置、プライバシ情報を扱う情報処理システム、プライバシ情報を扱う情報処理方法及びプログラムの特徴的構成が示されている（以下のように限定されるわけではない）。なお、本発明のプログラムは、上記の各実施形態で説明した各動作を、コンピュータに実行させるプログラムであれば良い。
（付記１）
　プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出する類似ユーザ抽出手段と、
　前記抽出したユーザ識別子の集合と、前記ユーザによって入力されたサービス識別子と、に基づいてポリシの集合を取得して出力するポリシレコメンド手段と、
　を含むプライバシ情報を扱う情報処理装置。
（付記２）
　プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が存在するか否かを判定する競合判定手段と、
　をさらに含む、
　付記１に記載のプライバシ情報を扱う情報処理装置。
（付記３）
　プライバシ情報保有者であるユーザを識別するユーザ識別子と、プライバシ情報利用者であるサービス提供者を識別するサービス識別子と、ユーザ識別子及びサービス識別子ごとのプライバシ情報の取り扱いを規定するポリシと、を格納するポリシ格納手段と、
　をさらに含み、
　前記類似ユーザ抽出手段は、前記ポリシ格納手段から、前記ユーザによって入力されたユーザ識別子に対応するサービス識別子及びポリシと類似するサービス識別子及びポリシが設定された他ユーザのユーザ識別子の集合を、類似するユーザ識別子の集合として抽出し、
　前記ポリシレコメンド手段は、前記ポリシの集合を前記ポリシ格納手段から取得する、
　付記１又は２に記載のプライバシ情報を扱う情報処理装置。
（付記４）
　前記ポリシレコメンド手段から出力されたポリシの集合から前記ユーザが選択したポリシを受信し、ユーザ識別子及びサービス識別子と対応付けて前記ポリシ格納手段へ格納するポリシ受信手段と、
　をさらに含む付記３に記載のプライバシ情報を扱う情報処理装置。
（付記５）
　前記ポリシ格納手段に格納されるポリシは、
　データの種類を規定するデータ属性と、当該データ属性に対する取り扱いの方法を記述することによってプライバシ情報の取り扱いを規定する、
　付記３又は４に記載のプライバシ情報を扱う情報処理装置。
（付記６）
　前記類似ユーザ抽出手段は、
　前記ユーザによって入力されたユーザ識別子に対応するサービス識別子及びポリシの集合と、前記ユーザによって入力されたサービス識別子に対応するユーザ識別子の集合と、を前記ポリシ格納手段から抽出するユーザ抽出手段と、
　前記抽出された、サービス識別子及びポリシの集合と、ユーザ識別子の集合とに基づいて計算されるサービス識別子の類似度に基づいて、ユーザ識別子間の類似度を計算する類似度計算手段と、
　を含む付記３～５のいずれか１項に記載のプライバシ情報を扱う情報処理装置。
（付記７）
　前記類似度計算手段は、
　前記サービス識別子の類似度を、サービス識別子毎にポリシ間の距離の逆数に基づいて計算し、当該サービス識別子毎の類似度を総積することで前記ユーザ識別子間の類似度を計算する、
　付記６に記載のプライバシ情報を扱う情報処理装置。
（付記８）
　前記類似度計算手段は、
　前記ポリシ間の距離を、２つのポリシの間でデータ属性ごとの取り扱い方法が不一致であるデータ属性の数として計算する、
　付記７に記載のプライバシ情報を扱う情報処理装置。
（付記９）
　付記１～８のいずれか１項に記載のプライバシ情報を扱う情報処理装置と、
　前記ポリシレコメンド手段によって出力されたポリシの集合の中からユーザの入力により選択されたポリシを、前記プライバシ情報を扱う情報処理装置へ送信するユーザ端末と、
　を含むプライバシ情報を扱う情報処理システム。
（付記１０）
　プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出する抽出処理を実行し、
　前記抽出したユーザ識別子の集合と、前記ユーザによって入力されたサービス識別子とに基づいてポリシの集合を取得して出力する、
　プライバシ情報を扱う情報処理方法。
（付記１１）
　プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出する抽出処理を実行し、
　前記抽出したユーザ識別子の集合と、前記ユーザによって入力されたサービス識別子とに基づいてポリシの集合を取得して出力する、
　処理をコンピュータに実行させるプログラム。
（付記１２）
　付記１に記載のプライバシ情報を扱う情報処理装置の前記ポリシレコメンド手段によって出力されたポリシの集合の中から、ユーザの入力により選択されたポリシを、前記プライバシ情報を扱う情報処理装置へ送信するユーザ端末。
　以上、各実施形態及び実施例を参照して本発明を説明したが、本発明は以上の実施形態及び実施例に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で同業者が理解し得る様々な変更をすることができる。
この出願は、２０１２年２月１７日に出願された日本出願特願２０１２－３２９９１を基礎出願とする優先権を主張し、その開示の全てをここに取り込む。
　本発明は、プライバシ情報を利用するレコメンデーションサービスやＳＮＳサービスにおけるプライバシポリシの設定といった用途に適用できる。
　１　　ＣＰＵ
　２　　通信ＩＦ
　３　　メモリ
　４　　記憶装置
　５　　入力装置
　６　　出力装置
　１００、３００　プライバシポリシレコメンド装置
　１０１　ポリシ格納部
　１０２　競合判定部
　１０３、３０１　類似ユーザ抽出部
　１０４、３０２　ポリシレコメンド部
　１０５　ポリシ受信部
　１０６　ユーザ抽出部
　１０７　類似度計算部
　２００　ユーザ端末
　１０００　プライバシポリシレコメンドシステム

Claims (11)

  1. 　プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出する類似ユーザ抽出手段と、
    　前記抽出したユーザ識別子の集合と、前記ユーザによって入力されたサービス識別子と、に基づいてポリシの集合を取得して出力するポリシレコメンド手段と、
    　を含むプライバシ情報を扱う情報処理装置。
  2. 　プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が存在するか否かを判定する競合判定手段と、
    　をさらに含む、
    　請求項１に記載のプライバシ情報を扱う情報処理装置。
  3. 　プライバシ情報保有者であるユーザを識別するユーザ識別子と、プライバシ情報利用者であるサービス提供者を識別するサービス識別子と、ユーザ識別子及びサービス識別子ごとのプライバシ情報の取り扱いを規定するポリシと、を格納するポリシ格納手段と、
    　をさらに含み、
    　前記類似ユーザ抽出手段は、前記ポリシ格納手段から、前記ユーザによって入力されたユーザ識別子に対応するサービス識別子及びポリシと類似するサービス識別子及びポリシが設定された他ユーザのユーザ識別子の集合を、類似するユーザ識別子の集合として抽出し、
    　前記ポリシレコメンド手段は、前記ポリシの集合を前記ポリシ格納手段から取得する、
    　請求項１に記載のプライバシ情報を扱う情報処理装置。
  4. 　前記ポリシレコメンド手段から出力されたポリシの集合から前記ユーザが選択したポリシを受信し、ユーザ識別子及びサービス識別子と対応付けて前記ポリシ格納手段へ格納するポリシ受信手段と、
    　をさらに含む請求項３に記載のプライバシ情報を扱う情報処理装置。
  5. 　前記ポリシ格納手段に格納されるポリシは、
    　データの種類を規定するデータ属性と、当該データ属性に対する取り扱いの方法を記述することによってプライバシ情報の取り扱いを規定する、
    　請求項３に記載のプライバシ情報を扱う情報処理装置。
  6. 　前記類似ユーザ抽出手段は、
    　前記ユーザによって入力されたユーザ識別子に対応するサービス識別子及びポリシの集合と、前記ユーザによって入力されたサービス識別子に対応するユーザ識別子の集合と、を前記ポリシ格納手段から抽出するユーザ抽出手段と、
    　前記抽出された、サービス識別子及びポリシの集合と、ユーザ識別子の集合とに基づいて計算されるサービス識別子の類似度に基づいて、ユーザ識別子間の類似度を計算する類似度計算手段と、
    　を含む請求項３に記載のプライバシ情報を扱う情報処理装置。
  7. 　前記類似度計算手段は、
    　前記サービス識別子の類似度を、サービス識別子毎にポリシ間の距離の逆数に基づいて計算し、当該サービス識別子毎の類似度を総積することで前記ユーザ識別子間の類似度を計算する、
    　請求項６に記載のプライバシ情報を扱う情報処理装置。
  8. 　請求項１に記載のプライバシ情報を扱う情報処理装置と、
    　前記ポリシレコメンド手段によって出力されたポリシの集合の中からユーザの入力により選択されたポリシを、前記プライバシ情報を扱う情報処理装置へ送信するユーザ端末と、
    　を含むプライバシ情報を扱う情報処理システム。
  9. 　請求項１に記載のプライバシ情報を扱う情報処理装置の前記ポリシレコメンド手段によって出力されたポリシの集合の中から、ユーザの入力により選択されたポリシを、前記プライバシ情報を扱う情報処理装置へ送信するユーザ端末。
  10. 　プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出し、
    　前記抽出したユーザ識別子の集合と、前記ユーザによって入力されたサービス識別子とに基づいてポリシの集合を取得して出力する、
    　プライバシ情報を扱う情報処理方法。
  11. 　プライバシ情報保有者であるユーザによって入力されたポリシと、プライバシ情報利用者であるサービス提供者毎に予め設定されているサービスのポリシとの間に競合が生じた場合に、当該ユーザによって入力されたユーザ識別子と類似する他ユーザのユーザ識別子の集合を抽出し、
    　前記抽出したユーザ識別子の集合と、前記ユーザによって入力されたサービス識別子とに基づいてポリシの集合を取得して出力する、
    　処理をコンピュータに実行させるプログラム。
PCT/JP2013/000825 2012-02-17 2013-02-15 プライバシ情報を扱う情報処理装置、プライバシ情報を扱う情報処理システム、プライバシ情報を扱う情報処理方法及びプログラム WO2013121790A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/379,427 US9418233B2 (en) 2012-02-17 2013-02-15 Information processing device for handling privacy information, information processing system for handling privacy information, and information processing method and program for handling privacy information

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2012032991 2012-02-17
JP2012-032991 2012-02-17

Publications (1)

Publication Number Publication Date
WO2013121790A1 true WO2013121790A1 (ja) 2013-08-22

Family

ID=48983920

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/000825 WO2013121790A1 (ja) 2012-02-17 2013-02-15 プライバシ情報を扱う情報処理装置、プライバシ情報を扱う情報処理システム、プライバシ情報を扱う情報処理方法及びプログラム

Country Status (3)

Country Link
US (1) US9418233B2 (ja)
JP (1) JPWO2013121790A1 (ja)
WO (1) WO2013121790A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017033937A1 (ja) * 2015-08-24 2017-03-02 アセンブローグ株式会社 情報処理装置、情報処理方法及びプログラム
WO2020144735A1 (ja) * 2019-01-08 2020-07-16 三菱電機株式会社 プライバシーリスク分析システム、プライバシーリスク分析方法及びプライバシーリスク分析プログラム

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10445513B2 (en) * 2015-03-06 2019-10-15 Nokia Technologies Oy Privacy management
US9390285B1 (en) * 2015-06-09 2016-07-12 Hortonworks, Inc. Identifying inconsistent security policies in a computer cluster
US10929467B2 (en) * 2018-12-11 2021-02-23 Colby Greene Method for custom-tagging and recognizing recycled data
CN114979253B (zh) * 2022-05-06 2024-03-12 蚂蚁区块链科技(上海)有限公司 数据推送决策方法、装置、介质及设备

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009258826A (ja) * 2008-04-14 2009-11-05 Nec Corp アクセス制限情報出力装置及びアクセス制限情報提示システム等
US20120204222A1 (en) * 2009-10-16 2012-08-09 Nokia Siemens Networks Oy Privacy policy management method for a user device

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7401352B2 (en) * 2002-08-30 2008-07-15 International Business Machines Corporation Secure system and method for enforcement of privacy policy and protection of confidentiality
JP2004171343A (ja) * 2002-11-21 2004-06-17 Nippon Telegr & Teleph Corp <Ntt> 個人情報の分散開示制御方法及びシステム
JP2004192353A (ja) 2002-12-11 2004-07-08 Nippon Telegr & Teleph Corp <Ntt> 個人情報開示制御システム及び個人情報開示制御方法
JP2006309737A (ja) * 2005-03-28 2006-11-09 Ntt Communications Kk 開示情報提示装置、個人特定度算出装置、ｉｄ度取得装置、アクセス制御システム、開示情報提示方法、個人特定度算出方法、ｉｄ度取得方法、及びプログラム
JP5036140B2 (ja) * 2005-06-10 2012-09-26 日本電気株式会社 個人情報流通管理システム、個人情報流通管理方法、個人情報提供プログラム及び個人情報利用プログラム
JP2007072581A (ja) * 2005-09-05 2007-03-22 Nippon Telegr & Teleph Corp <Ntt> ポリシ集合生成装置とその制御方法
US9407662B2 (en) * 2005-12-29 2016-08-02 Nextlabs, Inc. Analyzing activity data of an information management system
US8301902B2 (en) * 2009-02-12 2012-10-30 International Business Machines Corporation System, method and program product for communicating a privacy policy associated with a biometric reference template
US20120054824A1 (en) * 2009-04-10 2012-03-01 Ryo Furukawa Access control policy template generating device, system, method and program
US9424556B2 (en) * 2010-10-14 2016-08-23 Nokia Technologies Oy Method and apparatus for linking multiple contact identifiers of an individual
US8595798B2 (en) * 2011-06-17 2013-11-26 International Business Machines Corporation Enforcing data sharing policy through shared data management

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009258826A (ja) * 2008-04-14 2009-11-05 Nec Corp アクセス制限情報出力装置及びアクセス制限情報提示システム等
US20120204222A1 (en) * 2009-10-16 2012-08-09 Nokia Siemens Networks Oy Privacy policy management method for a user device

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
RYO FURUKAWA: "A Privacy Policy Negotiation Method Based on Policy Ranking", CSS2011 COMPUTER SECURITY SYMPOSIUM 2011 RONBUNSHU HEISAI ANTI-MALWARE ENGINEERING WORKSHOP 2011, IPSJ SYMPOSIUM SERIES, vol. 2011, no. 3, 12 October 2011 (2011-10-12), pages 253 - 258 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017033937A1 (ja) * 2015-08-24 2017-03-02 アセンブローグ株式会社 情報処理装置、情報処理方法及びプログラム
WO2020144735A1 (ja) * 2019-01-08 2020-07-16 三菱電機株式会社 プライバシーリスク分析システム、プライバシーリスク分析方法及びプライバシーリスク分析プログラム
JPWO2020144735A1 (ja) * 2019-01-08 2021-02-18 三菱電機株式会社 プライバシーリスク分析システム、プライバシーリスク分析方法及びプライバシーリスク分析プログラム

Also Published As

Publication number Publication date
JPWO2013121790A1 (ja) 2015-05-11
US9418233B2 (en) 2016-08-16
US20150012965A1 (en) 2015-01-08

Similar Documents

Publication Publication Date Title
US10558684B2 (en) Auditing database access in a distributed medical computing environment
US11663212B2 (en) Identifying configuration parameters for a query using a metadata catalog
WO2013121790A1 (ja) プライバシ情報を扱う情報処理装置、プライバシ情報を扱う情報処理システム、プライバシ情報を扱う情報処理方法及びプログラム
US10917389B2 (en) Trusted tunnel bridge
US20220156267A1 (en) Revising catalog metadata based on parsing queries
US8271615B2 (en) Centrally managing and monitoring software as a service (SaaS) applications
US11392578B1 (en) Automatically generating metadata for a metadata catalog based on detected changes to the metadata catalog
JP6104184B2 (ja) クラウドストレージシステムのデータ暗号化処理装置及び方法
US20160380933A1 (en) System and method for providing crowd-based technical support to smartphone users
CN108491267A (zh) 用于生成信息的方法和装置
US9374388B2 (en) Policy arbitration method, policy arbitration server, and program
CN116414370A (zh) 基于低代码的平台构建方法、装置、介质及电子设备
CN108549586A (zh) 信息处理方法和装置
CN107430557A (zh) 多方加密立方体处理设备、方法和系统
JP5942634B2 (ja) 秘匿化装置、秘匿化プログラムおよび秘匿化方法
CN109992719A (zh) 用于确定推送优先级信息的方法和装置
US20190180353A1 (en) Dynamically normalizing product reviews
KR20120116772A (ko) 멀티 테넌시 서비스 플랫폼에서의 테넌트 데이터 캐싱 방법
JP6517521B2 (ja) 知的財産格付けシステム
JP2006209650A (ja) 利用権発行方法および利用権発行装置
US20220300509A1 (en) Database system, distributed processing apparatus, database apparatus, distributed processing method and distributed processing program
JP6701646B2 (ja) 情報処理装置、情報処理システム及び情報管理方法
JP5809220B2 (ja) データセット転送プロトコルを用いた多重要請処理方法
US11467794B1 (en) Displaying device-associated data in an extended reality environment
US11853366B1 (en) Generating extended reality views based on user-based filters

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13748727

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2014500114

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 14379427

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 13748727

Country of ref document: EP

Kind code of ref document: A1