特許 7490424 情報処理装置、情報処理方法、情報処理プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-05-17

(45)【発行日】2024-05-27

(54)【発明の名称】情報処理装置、情報処理方法、情報処理プログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20240520BHJP

【ＦＩ】

G06F21/62 354

【請求項の数】 7

(21)【出願番号】P 2020068237

(22)【出願日】2020-04-06

(65)【公開番号】P2021165879

(43)【公開日】2021-10-14

【審査請求日】2023-03-15

(73)【特許権者】

【識別番号】508324617

【氏名又は名称】株式会社ブログウォッチャー

(74)【代理人】

【識別番号】100079108

【弁理士】

【氏名又は名称】稲葉 良幸

(74)【代理人】

【識別番号】100109346

【弁理士】

【氏名又は名称】大貫 敏史

(74)【代理人】

【識別番号】100117189

【弁理士】

【氏名又は名称】江口 昭彦

(74)【代理人】

【識別番号】100134120

【弁理士】

【氏名又は名称】内藤 和彦

(74)【代理人】

【識別番号】100139066

【弁理士】

【氏名又は名称】伊藤 健太郎

(72)【発明者】

【氏名】村岡 恒輝

(72)【発明者】

【氏名】永川 圭介

【審査官】上島 拓也

(56)【参考文献】

【文献】特開２０１６－２０６８９６（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１６／００６６１７９（ＵＳ，Ａ１）

【文献】特開２０１１－１２３７１２（ＪＰ，Ａ）

【文献】特開２０１６－１４９０９９（ＪＰ，Ａ）

【文献】国際公開第２０１２／０９０６２８（ＷＯ，Ａ１）

【文献】正木 彰伍，時空間におけるクラスタリングを用いた軌跡情報のｋ－匿名化法，ＣＳＳ２０１６ コンピュータセキュリティシンポジウム２０１６ 論文集，日本，一般社団法人情報処理学会，2016年10月04日，Ｖｏｌ２０１６，Ｎｏ．２，第９２１－９２８頁

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

空間における位置を示す位置情報と、当該位置情報に関する時刻を示す時刻情報と、を関連付けた情報を記憶する記憶部と、
前記空間を分割して得られる複数の領域のうちの一つと所定の時間範囲とで構成される時空間領域に、前記情報をマッピングするマッピング部と、
前記時空間領域に基づいて、前記情報の匿名化に関する処理を行う匿名化処理部と、
を備え、
前記匿名化処理部は、前記時空間領域にマッピングされる前記情報の数が所定数以上又はより大きくなるように、前記時空間領域のサイズを制御し、
前記時空間領域のサイズの制御では、前記時空間領域を構成する時間範囲のサイズを制御することを含む、
情報処理装置。

【請求項2】

前記匿名化処理部は、前記情報内の前記位置情報及び／又は前記時刻情報の少なくとも一方を、前記時空間領域における代表値に変更する、
請求項１に記載の情報処理装置。

【請求項3】

前記匿名化処理部は、前記時空間領域にマッピングされる前記情報の数が所定数以下又はより小さい場合、該情報を除去する、
請求項１又は請求項２に記載の情報処理装置。

【請求項4】

前記匿名化処理部は、前記時空間領域にマッピングされる前記情報に基づいて決定される端末の軌跡が所定数以下又はより小さい数の端末に固有である場合、該情報を除去する、
請求項１から請求項３のいずれかに記載の情報処理装置。

【請求項5】

前記代表値には、前記時空間領域のサイズに基づいて決定されるオフセット値が与えられる、
請求項２に記載の情報処理装置。

【請求項6】

空間における位置を示す位置情報と、当該位置情報に関する時刻を示す時刻情報と、を関連付けた情報を記憶する情報処理装置において、
前記空間を分割して得られる複数の領域のうちの一つと所定の時間範囲とで構成される時空間領域に、前記情報をマッピングする工程と、
前記時空間領域に基づいて、前記情報の匿名化に関する処理を行う工程と、
を備え、
前記匿名化に関する処理を行う工程では、前記時空間領域にマッピングされる前記情報の数が所定数以上又はより大きくなるように、前記時空間領域のサイズを制御し、
前記時空間領域のサイズの制御では、前記時空間領域を構成する時間範囲のサイズを制御することを含む、
情報処理方法。

【請求項7】

空間における位置を示す位置情報と、当該位置情報に関する時刻を示す時刻情報と、を関連付けた情報を記憶する情報処理装置に、
前記空間を分割して得られる複数の領域のうちの一つと所定の時間範囲とで構成される時空間領域に、前記情報をマッピングすることと、
前記時空間領域に基づいて、前記情報の匿名化に関する処理を行うことと、
を実行させ、
前記匿名化に関する処理を行うことは、前記時空間領域にマッピングされる前記情報の数が所定数以上又はより大きくなるように、前記時空間領域のサイズを制御し、
前記時空間領域のサイズの制御では、前記時空間領域を構成する時間範囲のサイズを制御することを含む、
情報処理プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置、情報処理方法、情報処理プログラムに関する。

【背景技術】

【0002】

近年、個人情報（personal information）（パーソナルデータ等ともいう）を特定の個人を識別することができないように加工した情報（匿名化情報等ともいう）を、第三者によるデータ分析等に利活用することが検討されている。このため、個人情報を匿名化情報に加工する技術（匿名化、匿名加工、一般化等ともいう）が検討されている。

【0003】

例えば、特許文献１では、特定の個人の年齢（例えば、６８歳）及び体重（例えば、４９ｋｇ）を所定の年齢範囲（例えば、６０～７０代）及び所定の体重範囲（例えば、４０～５０ｋｇ）に変換することで、当該特定の個人を識別されないようにすることが記載されている。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０１９－１７５００２号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

近年、位置を示す情報（位置情報、例えば、Global Positioning System（ＧＰＳ）により取得される緯度及び経度等）を収集し、データ分析（例えば、ユーザの動線の分析等）に利活用することが検討されている。しかしながら、ＧＰＳ等により取得された位置情報をそのまま使うと、当該位置情報からユーザが識別されてしまう恐れがあるため、第三者による位置情報の利活用を適切に推進できない恐れがある。

【0006】

そこで、本発明は、位置情報の匿名性を適切に確保可能な情報処理装置、情報処理方法、情報処理プログラムを提供する。

【課題を解決するための手段】

【0007】

本発明の一態様に係る情報処理装置は、空間における位置を示す位置情報と、当該位置情報に関する時刻を示す時刻情報と、を関連付けた情報を記憶する記憶部と、前記空間を分割して得られる複数の領域のうちの一つと所定の時間範囲とで構成される時空間領域に、前記情報をマッピングするマッピング部と、前記時空間領域に基づいて、前記情報の匿名化に関する処理を行う匿名化処理部と、を備える。

【0008】

この態様によれば、位置情報と時刻情報とを関連付けた情報がマッピングされた時空間領域に基づいて当該情報の匿名化に関する処理が行われるので、当該情報の匿名性を適切に確保できる。

【0009】

上記態様において、前記匿名化処理部は、前記情報内の前記位置情報及び／又は前記時刻情報の少なくとも一方を、前記時空間領域における代表値に変更してもよい。

【0010】

この態様によれば、同一の時空間領域にマッピングされた複数の情報が同一の代表値に変更されるので、当該複数の情報をそれぞれ識別できなくなるので、当該複数の情報の匿名性を適切に確保できる。

【0011】

上記態様において、前記匿名化処理部は、前記時空間領域にマッピングされる前記情報の数が所定数以下又はより小さい場合、該情報を前記記憶部から除去してもよい。

【0012】

この態様によれば、ある時空間領域にマッピングされた情報の数が所定数以下又はより小さい場合、当該情報を除去するので、ある時空間領域内における位置（点）の匿名性を確保できる。

【0013】

上記態様において、前記匿名化処理部は、前記時空間領域にマッピングされる前記情報に基づいて決定される前記端末の軌跡が一つの端末に固有である場合、該情報を前記記憶部から除去してもよい。

【0014】

この態様によれば、位置情報と時刻情報とを関連付けた情報に基づいて決定される端末の軌跡が一つの端末に固有である場合、当該情報を除去するので、端末の軌跡の匿名性を確保できる。

【0015】

上記態様において、前記匿名化処理部は、前記時空間領域にマッピングされる前記端末位置情報の数が所定数以上又はより大きくなるように、前記時空間領域のサイズを制御してもよい。

【0016】

この態様によれば、位置情報と時刻情報とを関連付けた情報を除去せずに当該端末位置情報の匿名性を確保でき、空間における上記情報の網羅率を向上できる。

【0017】

上記態様において、前記匿名化処理部は、前記情報内の前記位置情報及び／又は前記時刻情報の少なくとも一方を、前記制御された時空間領域における代表値に変更してもよい。

【0018】

この態様によれば、サイズが制御された時空間領域にマッピングされた複数の情報が同一の代表値に変更されるので、当該複数の情報をそれぞれ識別できなくなるので、当該複数の情報の匿名性を適切に確保できる。

【0019】

上記態様において、前記代表値には、前記時空間領域のサイズに基づいて決定されるオフセット値が与えられてもよい。

【0020】

この構成によれば、時空間領域の代表値に当該時空間領域のサイズに応じたオフセット値が与えられるので、時空間領域の境界が目立つのを防止できる。

【0021】

本発明の他の態様に係る情報処理方法は、空間における位置を示す位置情報と、当該位置情報に関する時刻を示す時刻情報と、を関連付けた情報を記憶する情報処理装置において、前記空間を分割して得られる複数の領域のうちの一つと所定の時間範囲とで構成される時空間領域に、前記情報をマッピングする工程と、前記時空間領域に基づいて、前記情報の匿名化に関する処理を行う工程と、を備える。

【0022】

本発明の他の態様に係る情報処理プログラムは、空間における位置を示す位置情報と、当該位置情報に関する時刻を示す時刻情報と、を関連付けた情報を記憶する情報処理装置に、前記空間を分割して得られる複数の領域のうちの一つと所定の時間範囲とで構成される時空間領域に、前記情報をマッピングすることと、前記時空間領域に基づいて、前記情報の匿名化に関する処理を行うことと、を実行させる。

【発明の効果】

【0023】

本発明によれば、位置情報の匿名性を適切に確保できる。

【図面の簡単な説明】

【0024】

【図1】本実施形態に係る時空間領域の概念図である。

【図2】第１の実施形態に係る情報処理装置の構成の一例を示す図である。

【図3】第１の実施形態に係る端末位置情報の一例を示す図である。

【図4A】第１の実施形態に係る端末位置情報のマッピングの一例を示す図である。

【図4B】第１の実施形態に係る時空間領域の代表値への変更の一例を示す図である。

【図4C】第１の実施形態に係る端末の位置（点）の除去の一例を示す図である。

【図5A】第１の実施形態に係る端末の軌跡の一例を示す図である。

【図5B】第１の実施形態に係る端末の軌跡の他の例を示す図である。

【図5C】第１の実施形態に係る端末の軌跡の除去の一例を示す図である。

【図6】第１の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。

【図7】第２の実施形態に係る情報処理装置の構成の一例を示す図である。

【図8A】第２の実施形態に係る端末位置情報のマッピングの一例を示す図である。

【図8B】第２の実施形態に係る時空間領域のサイズの制御の一例を示す図である。

【図8C】第２の実施形態に係る時空間領域の代表値への変更の一例を示す図である。

【図9A】第２の実施形態に係る端末位置情報のマッピングの一例を示す図である。

【図9B】第２の実施形態に係る時空間領域の代表値の一例を示す図である。

【図9C】第２の実施形態に係る時空間領域の代表値のオフセット値の一例を示す図である。

【図10】第２の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。

【図11】本実施形態に係る情報処理装置のハードウェア構成の一例を示す図である。

【発明を実施するための形態】

【0025】

添付図面を参照して、本発明の実施形態について説明する。なお、各図において、同一の符号を付したものは、同一又は同様の構成を有する。

【0026】

本実施形態では、位置を示す情報（位置情報）についての「ｋ－匿名化」に関する手法を説明する。「ｋ－匿名化」とは、対象となるデータ内に同一の属性を持つデータがｋ件以上存在する（ｋ－匿名性を満たす）ようにデータを変換することで、個人が識別される確率をｋ分の１以下に低減させることである。なお、以下では、ｋ＞１の場合を中心に説明するが、これに限られない。ｋの閾値は、１に限られず、所定数であればよい。

【0027】

本発明者らは、位置情報の「ｋ－匿名化」を行うために、空間を分割して得られる複数の領域のうちの一つと所定の時間範囲とで構成される時空間領域に、位置情報と当該位置情報に関する時刻を示す時刻情報とを関連付けた情報をマッピングして、当該時空間領域に基づいて、位置情報の匿名化に関する処理を行うことを着想した。これにより、位置情報の匿名性を適切に確保できるので、当該位置情報の利活用を促進できる。

【0028】

図１は、本実施形態に係る時空間領域の概念図である。本実施形態では、位置の特定に用いられる空間として、図１に示すような経度及び緯度を用いる地理座標（地図）を例示するが、これに限られない。当該空間は、２次元の座標系（平面地図）又は３次元の座標系（立体地図）等であってもよく、例えば、Simultaneous Localization And Mapping（ＳＬＡＭ）等で作成される座標系（地図）であってもよい。

【0029】

また、空間（例えば、図１では、図１では、経度軸及び緯度軸を有する２次元の平面地図）における位置を示す位置情報は、全地球測位システム（Global Positioning System（ＧＰＳ））衛星からの信号により取得されるものとするが、これに限られない。当該位置情報は、例えば、所定のセンサ（例えば、レーザセンサ、加速度センサ、ジャイロセンサ、カメラセンサ等）によって取得されてもよい。また、当該位置情報は、所定の端末（例えば、スマートフォン、車載端末、車載装置等）の位置を示すものとするが、これに限られない。

【0030】

以下では、図１に示すように、位置の特定に用いられる空間（例えば、図１では、経度軸及び緯度軸を有する２次元の平面地図）を分割して得られる各領域は、メッシュ状の領域（メッシュ領域）であるものとするが、これに限られない。各メッシュ領域は、所定距離（例えば、１０ｍ）四方で構成される。一つのメッシュ領域と所定の時間範囲（例えば、１５分）とにより、一つの時空間領域が構成される。

【0031】

例えば、図１では、時空間領域＃０は、緯度３５度ｙ分ｘ０秒～ｘ１秒及び経度１３９度ｂ分ａ０秒～ａ１秒で特定されるメッシュ領域と、午前７時０分～１５分の時間範囲とで構成される。同様に、時空間領域＃０とは異なる緯度のメッシュ領域と午前７時０分～１５分の時間範囲とで時空間領域＃１、＃２が構成される。また、インデックスを示さないが、時空間領域＃０とは異なる経度のメッシュ領域と、時空間領域＃０とは同一の時間範囲又は異なる時間範囲（例えば、午前７時１５分～３０分、午前７時３０分～４５分等）で、各時空間領域が構成される。また、時空間領域＃０と同一のメッシュ領域と、時空間領域＃０とは異なる時間範囲で、各時空間領域が構成される。

【0032】

なお、図１における、ｘ０～ｘ３、ｙ、ａ０～ａ２、ｂは、所定の値であり、ｘ０＜ｘ１＜ｘ２＜ｘ３、ａ０＜ａ１＜ａ２の関係であってもよい。

【0033】

本実施形態において、位置情報と時刻情報とを関連付けた情報（以下、端末位置情報ともいう）は、例えば、図１に示される複数の時空間領域の一つにマッピングされる。また、当該端末位置情報がマッピングされた時空間領域に基づいて、当該端末位置情報の匿名化に関する処理（匿名化処理）が実施される。匿名化処理では、ある時空間領域内に一つの端末位置情報だけがマッピングされる場合、当該端末位置情報は除去されてもよいし（第１の実施形態）、或いは、複数の端末位置情報を含むように当該ある時空間領域のサイズが動的に制御されてもよい（第２の実施形態）。

【0034】

（第１の実施形態）
＜情報処理装置の構成＞
図２は、第１の実施形態に係る情報処理装置の構成の一例を示す図である。図２に示すように、情報処理装置１０は、記憶部１１と、取得部１２と、マッピング部１３と、匿名化処理部１４とを備える。

【0035】

記憶部１１は、位置情報と時刻情報とを関連付けた端末位置情報を記憶する。図３は、第１の実施形態に係る端末位置情報の一例を示す図である。図３に示すように、端末位置情報は、例えば、端末の識別情報（端末識別情報）と、当該端末の位置を示す位置情報と、当該位置情報に関する時刻を示す情報（時刻情報）と、関連付けた情報であってもよい。なお、ｘ１１～ｘ１３、ｘ２１、ｂ、０１～ａ０４は、所定の値であればよく、ｘ１＜ｘ１１～ｘ１３＜ｘ２、ｘ２＜ｘ２１＜ｘ３、ａ０＜ａ０１～ａ０４＜ａ１の関係であってもよい。

【0036】

ここで、端末識別情報は、例えば、広告配信用に付与される端末固有の識別子である広告ＩＤであってもよい。当該広告ＩＤは、ＩＤＦＡ（Identifer For Advertising）、ＡＡＩＤ（Google Advertising ID）等と呼ばれてもよい。また、位置情報は、例えば、経度及び緯度を含んでもよい。当該位置情報は、ＧＰＳ衛星からの信号により端末において取得されてもよい。

【0037】

また、時刻情報は、例えば、上記位置情報が取得される時刻、又は、上記位置情報が示す位置に端末が存在する時刻を示してもよい。なお、時刻情報は、当該時刻に限られず、位置情報が取得される（又は、位置情報が示す位置に端末が存在する）日時、年月日等を示してよい。

【0038】

取得部１２は、上記端末位置情報を取得する。具体的には、取得部１２は、記憶部１１に記憶された端末位置情報を取得してもよい。なお、記憶部１１に記憶される端末位置情報は、各端末（又は、各端末の端末位置情報を収集するサーバ等）から送信され、後述する通信部１０ｃによって受信されたものであってもよい。或いは、当該端末位置情報は、コンピュータによって読み取り可能な記憶媒体（例えば、ＤＶＤ、ＣＤ、ＵＳＢメモリ等）に記憶されて情報処理装置１０の提供されたものであってもよい

【0039】

マッピング部１３は、各端末位置情報を時空間領域にマッピングする。具体的には、マッピング部１３は、端末位置情報内の位置情報が示す位置を含むメッシュ領域を特定するとともに、当該端末位置情報内の時刻情報が示す時刻を含む時間範囲を特定してもよい。マッピング部１３は、特定されたメッシュ領域及び時間範囲で構成される時空間領域に当該端末位置情報をマッピングしてもよい。

【0040】

図４Ａは、第１の実施形態に係る端末位置情報のマッピングの一例を示す図である。図４Ａでは、経度軸を示していないが、各時空間領域が緯度軸、時間軸及び経度軸で特定されることは勿論である。図４Ａでは、図１における経度１３９度ｂ分ａ０秒からａ１秒までと、緯度３５度ｙ分ｘ０秒からｘ１秒まで、ｘ１秒からｘ２秒まで、ｘ２秒からｘ３秒までとで構成される３つのメッシュ領域と、午前７時０分から午前７時４５分までの１５分毎の３つの時間範囲と、で構成される９つの時空間領域が示されるものとする。図４Ａは、図１の左側面図ともいえる。

【0041】

例えば、午前７時０分～１５分の間の時間範囲内で端末Ａ、Ｂの位置を示す４件（４レコード）の端末位置情報が記憶部１１に記憶される場合（図３参照）、図４Ａに示すように、マッピング部１３は、緯度が３５度ｙ分ｘ２１秒（ここで、ｘ２＜ｘ２１＜ｘ３）である午前７時１分の端末Ａの端末位置情報を時空間情報＃２にマッピングしてもよい。

【0042】

一方、マッピング部１３は、緯度が３５度ｙ分ｘ１３秒（ここで、ｘ１＜ｘ１３＜ｘ２）である午前７時３分の端末Ｂの位置を示す端末位置情報と、緯度が３５度ｙ分ｘ１２秒（ここで、ｘ１＜ｘ１２＜ｘ２）である午前７時１２分の端末Ｂの位置を示す端末位置情報と、緯度が３５度ｙ分ｘ１１秒（ここで、ｘ１＜ｘ１１＜ｘ２）である午前７時１３分の端末Ａの位置を示す端末位置情報とを、時空間領域＃１にマッピングしてもよい。

【0043】

匿名化処理部１４は、端末位置情報がマッピングされた時空間領域に基づいて、当該端末位置情報の匿名化処理を行う。具体的には、匿名化処理部１４は、変更部１４１と、除去部１４２と、を備える。

【0044】

変更部１４１は、端末位置情報内の位置情報及び／又は時刻情報の少なくとも一方を、当該端末位置情報がマッピングされた時空間領域を代表する値（代表値）に変更する。当該時空間領域における代表値は、当該時空間領域を構成するメッシュ領域内の代表値及び／又は時間範囲の代表値を含んでもよい。当該メッシュ領域内の代表値は、例えば、当該メッシュ領域内の経度及び緯度の中央値、最小値又は最大値等であってもよい。また、時間範囲内の代表値は、例えば、当該時間範囲内の中央値、最小値又は最大値等であってもよい。

【0045】

図４Ｂは、第１の実施形態に係る時空間領域の代表値への変更の一例を示す図である。例えば、図４Ｂ、図１に示される時空間領域＃１の代表値は、当該時空間領域＃１を構成するメッシュ領域の中央値である（緯度、経度）＝（（３５度ｙ分ｘ１秒＋３５度ｙ分ｘ２秒）／２，（１３９度ｂ分ａ０秒＋１３９度ｂ分ａ１秒）／２）と、当該時空間領域＃１を構成する時間範囲の中央値である午前７時７．５分（＝（午前７時０分＋午前７時１５分）／２）で特定される点であってもよい。

【0046】

この場合、変更部１４１は、図４Ｂに示すように、時空間領域＃１にマッピングされた３つの端末位置情報内の位置情報及び時刻情報（例えば、図３）を、それぞれ、当該メッシュ領域の中央値及び時間範囲の中央値に変更してもよい。このように、時空間領域＃１にマッピングされた３つの端末位置情報を当該時空間領域＃１の代表値に変更することにより、当該３つの端末位置情報それぞれを識別できなくなるので、当該３つの端末位置情報の匿名性を確保できる。

【0047】

除去部１４２は、記憶部１１に記憶された端末位置情報を所定の条件に基づいて除去する。具体的には、除去部１４２は、時空間領域にマッピングされる端末位置情報の数が所定数（例えば、１）以下又はより小さい場合、当該端末位置情報を記憶部１１から除去してもよい。図４Ｃは、第１の実施形態に係る端末の位置（点）の除去の一例を示す図である。

【0048】

図４Ａ、４Ｂにおいて、例えば、上記所定数が１である場合、一つの端末位置情報だけがマッピングされる時空間領域（例えば、時空間領域＃２等）については、当該時空間領域におけるｋ－匿名性（ｋ＞１）を確保できない。このため、図４Ｃに示すように、除去部１４２は、当該端末位置情報を記憶部１１から除去してもよい。

【0049】

一方、複数の端末位置情報がマッピングされる時空間領域（例えば、時空間領域＃１等）については、当該時空間領域におけるｋ－匿名性（ｋ＞１）を確保できるので、当該複数の端末位置情報は、記憶部１１に維持されてもよい。このように、除去部１４２は、時空間領域にマッピングされる端末位置情報の数に基づいて、記憶部１１に記憶される端末位置情報の除去又は維持を制御してもよい。

【0050】

また、除去部１４２は、時空間領域にマッピングされる端末位置情報に基づいて決定される端末の軌跡が所定数（例えば、１）以下又はより小さい数の端末に固有である場合、当該端末位置情報を記憶部１１から除去してもよい。

【0051】

図５Ａ及び５Ｂは、第１の実施形態に係る端末の軌跡の一例を示す図である。図５Ａ及び５Ｂでは、端末位置情報によって示される各端末の位置の時間変化（すなわち、各端末の位置の軌跡）が示される。また、図５Ｃは、第１の実施形態に係る端末の軌跡の除去の一例を示す図である。

【0052】

図５Ａでは、記憶部１１に記憶される端末位置情報（すなわち、時空間領域の代表値への変更前の端末位置情報、ロウデータ等とおいう）に基づいて決定さる端末Ａ、Ｂ、Ｃの軌跡が示される。一方、図５Ｂでは、例えば、各端末位置情報内の位置情報及び時刻情報を各端末位置情報がマッピングされる時空間領域の代表値に変更した場合における、端末Ａ、Ｂ、Ｃの軌跡が示される。すなわち、図５Ｂでは、端末Ａ、Ｂ、Ｃの端末位置情報がマッピングされる時空間領域の代表値の軌跡（当該代表値の変化）が示されるともいえる。

【0053】

図５Ｂでは、端末Ａ、Ｂの端末位置情報がマッピングされる時空間領域の代表値の軌跡は、ｋ－匿名性（ｋ＞１）を確保できるので、図５Ｃに示すように、端末Ａ、Ｂの端末位置情報は、記憶部１１に維持されてもよい。一方、端末Ｃの端末位置情報がマッピングされる時空間領域の代表値の軌跡は、端末Ｃ固有であり、ｋ－匿名性（ｋ＞１）を確保できない。このため、図５Ｃに示すように、除去部１４２は、当該端末Ｃの端末位置情報を記憶部１１から除去してもよい。

【0054】

匿名化処理部１４は、以上のように記憶部１１に記憶される各端末位置情報に対して匿名化処理を施した後の情報（匿名化情報）の出力（例えば、送信又は表示等）を制御してもよい。具体的には、匿名化処理部１４は、後述する通信部１０ｃによる他の装置に対する当該匿名化情報の送信を制御してもよい。また、匿名化処理部１４は、後述する出力部ｅによる当該匿名化情報の表示を制御してもよい。なお、匿名化処理部１４は、当該匿名化情報を記憶部１１に記憶させ、通信部１０ｃ又は入力部１０ｄからの指示に基づいて、当該記憶部１１から取得した匿名化情報の出力を制御してもよい。

【0055】

＜情報処理装置の動作＞
図６は、第１の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。図６に示すように、情報処理装置１０は、各端末位置情報を取得する（ステップＳ１０１）。具体的には、情報処理装置１０は、端末を識別する端末識別情報と、当該端末の位置を示す位置情報と、当該位置情報に関する時刻とを関連付けた各端末位置情報を記憶部１１から取得してもよい。

【0056】

情報処理装置１０は、ステップＳ１０１で取得された各端末位置情報を時空間領域にマッピングする（ステップＳ１０２）。例えば、図４Ａに示すように、情報処理装置１０は、各端末位置情報内の位置情報及び時刻情報に基づいてそれぞれ特定されたメッシュ領域及び時間範囲で構成される時空間領域に、当該各端末位置情報をマッピングしてもよい。

【0057】

情報処理装置１０は、各端末位置情報内の位置情報及び／又は時刻情報の少なくとも一方を、各端末位置情報がマッピングされた時空間領域の代表値に変更する（ステップＳ１０３）。例えば、図４Ｂに示すように、情報処理装置１０は、各時空間領域の代表値に、当該各時空間領域にマッピングされる各端末位置情報内の位置情報及び／又は時刻情報の少なくとも一方を変更してもよい。

【0058】

情報処理装置１０は、ｋ－匿名性（ｋ＞１）を阻害する端末位置情報を除去する（ステップＳ１０４）。具体的には、図４Ｂ、４Ｃに示すように、情報処理装置１０は、時空間領域にマッピングされる端末位置情報の数が所定数（例えば、一つ）以下又はより小さい場合、当該端末位置情報を記憶部１１から除去してもよい。或いは、図５Ｂ、５Ｃに示すように、情報処理装置１０は、時空間領域にマッピングされる端末位置情報に基づいて決定される端末の軌跡が所定数（例えば、一つ）の端末に固有である場合、当該端末位置情報を記憶部１１から除去してもよい。

【0059】

情報処理装置１０は、以上のように匿名化処理を施した後の匿名化情報を出力（例えば、送信又は表示等）する（ステップＳ１０５）。

【0060】

以上のように、第１の実施形態に係る情報処理装置１０では、各端末位置情報内の位置情報及び／又は時刻情報の少なくとも一方が、各端末位置情報がマッピングされた時空間領域の代表値に変更される。このため、同一の時空間領域にマッピングされた複数の端末位置情報それぞれが識別されず、当該複数の端末位置情報の匿名性を確保できる。

【0061】

また、第１の実施形態に係る情報処理装置１０では、時空間領域にマッピングされる端末位置情報の数が一つである場合、当該端末位置情報が除去されるので、端末の位置（点）についてのｋ－匿名性（ｋ＞１）を確保できる。また、時空間領域にマッピングされる端末位置情報に基づいて決定される端末の軌跡が一つの端末に固有である場合、当該端末位置情報が除去されるので、端末の位置の軌跡についてのｋ－匿名性（ｋ＞１）を確保できる。

【0062】

（第２の実施形態）
第１の実施形態では、ｋ－匿名性（ｋ＞１）を阻害する端末位置情報は除去される。一方、第２の実施形態では、当該端末位置情報を除去せずに、ｋ－匿名性（ｋ＞１）を満たすように、当該端末位置情報がマッピングされる時空間領域のサイズを変更する点で、第１の実施形態と異なる。以下では、第１の実施形態との相違点を中心に説明する。

【0063】

＜情報処理装置の構成＞
図７は、第２の実施形態に係る情報処理装置の構成の一例を示す図である。図７に示すように、情報処理装置１０は、記憶部１１と、取得部１２と、マッピング部１３と、匿名化処理部１５と、を備える。なお、記憶部１１、取得部１２、マッピング部１３の詳細は、第１の実施形態と同様であるため、説明を省略する。

【0064】

匿名化処理部１５は、端末位置情報がマッピングされた時空間領域に基づいて、当該端末位置情報の匿名化に関する処理を行う。具体的には、匿名化処理部１５は、サイズ制御部１５１と、変更部１５２と、を備える。

【0065】

サイズ制御部１５１は、時空間領域にマッピングされる端末位置情報の数が所定数（例えば、１）以上又はより大きくなるように（すなわち、ｋ－匿名性（ｋ＞１）を満たすように）、時空間領域のサイズを制御する。ここで、時空間領域のサイズの制御とは、時空間領域を構成するメッシュ領域及び時間範囲の少なくとも一方のサイズを制御することであってもよい。当該時空間領域のサイズは、時空間領域の解像度等と呼ばれてもよい。

【0066】

図８Ａは、第２の実施形態に係る端末位置情報のマッピングの一例を示す図である。図８Ａでは、時間軸が示していないが、各時空間領域が緯度軸、時間軸及び経度軸で特定されることは勿論である。図５Ａでは、空間（例えば、地図）を１６個に分割した１６個のメッシュ領域と、同一の時間範囲と、で構成される１６個の時空間領域が示されるものとする。

【0067】

例えば、図８Ａに示すように、端末Ａ、Ｂ、Ｃ及びＤの端末位置情報がマッピングされるとする。この場合、端末Ｃ及びＤの端末位置情報は、同一の時空間領域にマッピングされるので、当該端末Ｃ及びＤの端末位置情報についてｋ－匿名性（ｋ＞１、ここでは、Ｋ＝２）が満たされる。一方、端末Ａがマッピングされる時空間領域及び当該端末Ｂがマッピングされる時空間領域には、それぞれ、単一の端末位置情報だけがマッピングされるので、端末Ａ及びＢの端末位置情報についてｋ－匿名性（ｋ＞１）が満たされない。

【0068】

そこで、サイズ制御部１５１は、端末Ａ及びＢそれぞれの端末位置情報がｋ－匿名性（ｋ＞１）を満たすように、時空間領域のサイズを制御してもよい。図８Ｂは、第２の実施形態に係る時空間領域のサイズの制御の一例を示す図である。図８Ｂでは、端末Ａ、Ｂの端末位置情報のようにｋ－匿名性（ｋ＞１）が満たされるように、図８Ａにおける４つの時空間領域を統合して一つの時空間領域が構成される。

【0069】

例えば、図８Ａでは、時空間領域は、単一のメッシュ領域と単一の時間範囲（例えば、１５分）とで構成される。一方、図８Ｂでは、サイズ制御部１５１は、端末Ａの位置情報がマッピングされるメッシュ領域及び端末Ｂの位置情報がマッピングされるメッシュ領域を含む４つのメッシュ領域と、当該単一の時間範囲とで、時空間領域を構成してもよい。

【0070】

図８Ｂに示すように、サイズ制御部１５１は、位置の特定に用いられる空間（例えば、図８Ｂでは、経度軸及び緯度軸を有する平面地図）を分割して得られるメッシュ領域のサイズ（すなわち、当該空間を分割して得られる各領域のサイズ）を拡大して、ｋ－匿名性（ｋ＞１）が満たされるように時空間領域のサイズを拡大してもよい。また、図示しないが、サイズ制御部１５１は、時間範囲のサイズ（長さ）を変更（長く）して、ｋ－匿名性（ｋ＞１）が満たされるように時空間領域のサイズを拡大してもよい。

【0071】

また、図８Ｂでは、端末Ｃ及びＤの端末位置情報がマッピングされる時空間領域のサイズは、図８Ａと同様に維持される、端末位置情報の提供サービスの質は、匿名化処理に用いられる時空間領域のサイズが小さいほど（解像度が高いほど）、高くなると想定される。このため、図８Ｂに示すように、ｋ－匿名性（ｋ＞１）が満たされる限りは、時空間領域のサイズを維持する（変更しない）ことにより、端末位置情報の提供サービスの質の低下を防止してもよい。

【0072】

なお、図８Ｂにおいて、匿名化処理の簡便化のために、当該端末Ｃ及びＤの端末位置情報がマッピングされる時空間領域のサイズが、端末Ａ及びＢの端末位置情報がマッピングされる時空間領域と同一サイズに変更されてもよい。

【0073】

変更部１５２は、端末位置情報内の位置情報及び／又は時刻情報の少なくとも一方を、サイズ制御部１５１によりサイズが制御された時空間領域の代表値に変更する。当該時空間領域における代表値は、当該時空間領域を構成するメッシュ領域内の代表値及び／又は時間範囲の代表値を含んでもよい。当該メッシュ領域内の代表値は、例えば、当該メッシュ領域内の経度及び緯度の中央値、最小値又は最大値等であってもよい。また、時間範囲内の代表値は、例えば、当該時間範囲内の中央値、最小値又は最大値等であってもよい。

【0074】

図８Ｃは、第２の実施形態に係る時空間領域の代表値への変更の一例を示す図である。図８Ｃにおいて、各時空間領域の代表値は、例えば、各時空間領域を構成するメッシュ領域の中央値と、各時空間領域を構成する時間範囲の中央値で特定される点であってもよい。

【0075】

例えば、図８Ｃに示すように、変更部１５２は、各時空間領域にマッピングされた複数の端末位置情報（図８Ｃでは、例えば、端末Ａ及びＢの端末位置情報、又は、端末Ｃ及びＤの端末位置情報）内の位置情報及び時刻情報を、それぞれ、当該メッシュ領域の中央値及び時間範囲の中央値に変更してもよい。このように、サイズ制御部１５１によりサイズが制御された時空間領域にマッピングされた複数の端末位置情報を当該時空間領域の代表値に変更することにより、当該複数の端末位置情報それぞれを識別できなくなるので、当該複数の端末位置情報の匿名性を確保できる。

【0076】

また、上記時空間領域の代表値には、時空間領域のサイズに応じたオフセット値（ノイズ）が与えられてもよい。変更部１５２は、端末位置情報内の位置情報及び／又は時刻情報の少なくとも一方を、オフセット値が与えられた代表値に変更してもよい。当該オフセット値は、メッシュ領域を構成する緯度及び経度と時間範囲との少なくとも一つに与えられればよい。

【0077】

図９Ｂは、第２の実施形態に係る時空間領域の代表値の他の例を示す図である。図９Ｃは、第２の実施形態に係る時空間領域のサイズに応じたオフセット値を与えた代表値の一例を示す図である。図９Ａに示すように、時空間領域にマッピングされる端末Ａ、Ｂ、Ｃ及びＤの端末位置情報は、図９Ｂに示すように、ｋ－匿名性（ｋ＞１）が満たされるように、時空間領域のサイズが制御される。

【0078】

図９Ｂでは、複数の端末位置情報（図９Ｂでは、例えば、端末Ａ及びＢの端末位置情報、又は、端末Ｃ及びＤの端末位置情報）がマッピングされる各時空間領域の代表値は、当該各時空間領域を構成するメッシュ領域の緯度の最大値及び経度の最小値である点で、メッシュ領域の中央値を用いる図８Ｃと異なる。

【0079】

図９Ｃに示すように、変更部１５２は、図９Ｂで示される各時空間領域の代表値に対して、各時空間領域のサイズに応じたオフセット値を与えてもよい。変更部１５２は、各時空間領域にマッピングされた複数の端末位置情報（図９Ｃでは、例えば、端末Ａ及びＢの端末位置情報、又は、端末Ｃ及びＤの端末位置情報）内の位置情報及び時刻情報を、それぞれ、上記オフセット値が与えられた代表値に変更してもよい。

【0080】

図９Ｃに示すように、各時空間領域の代表値に各時空間領域のサイズ（例えば、メッシュ領域及び時間範囲の少なくとも一方のサイズ）に応じたオフセット値を与えることにより、各時空間領域の境界（解像度）が明確化されるのを防止できる。

【0081】

なお、代表値に与えられるオフセット値は、各時空間領域のサイズに基づいて決定されるものに限られない。例えば、当該オフセット値は、ランダムに決定されてもよい。

【0082】

匿名化処理部１５は、以上のように匿名化処理を施した後の情報（匿名化情報）の出力（例えば、送信又は表示等）を制御してもよい。具体的には、匿名化処理部１５は、後述する通信部１０ｃによる他の装置に対する当該匿名化情報の送信を制御してもよい。また、匿名化処理部１５は、後述する出力部ｅによる当該匿名化情報の表示を制御してもよい。なお、匿名化処理部１５は、当該匿名化情報を記憶部１１に記憶させ、通信部１０ｃ又は入力部１０ｄからの指示に基づいて、当該記憶部１１から取得した匿名化情報の出力を制御してもよい。

【0083】

＜情報処理装置の動作＞
図１０は、第２の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。なお、図１０のステップＳ２０１及びＳ２０２は、図６のステップＳ１０１及びＳ１０２と同様である。

【0084】

情報処理装置１０は、ｋ－匿名性（ｋ＞１）を満たさない時空間領域があるか否かを判定する（ステップＳ２０３）。ｋ－匿名性（ｋ＞１）を満たさない時空間領域が存在しない場合（ステップＳ２０３；Ｎｏ）、ステップＳ２０４をスキップしてもよい。

【0085】

ｋ－匿名性（ｋ＞１）を満たさない時空間領域がある場合（ステップＳ２０３；Ｙｅｓ）、情報処理装置１０は、時空間領域にマッピングされる端末位置情報の数が所定数（例えば、１）以上又はより大きくなるように（すなわち、ｋ－匿名性（ｋ＞１）を満たすように）、時空間領域のサイズを制御する（ステップＳ２０４）。具体的には、図８Ｂに示すように、情報処理装置１０は、端末Ａ及びＢの端末位置情報が同一の時空間領域にマッピングされるように、図８Ａにおいて端末Ａ及びＢの端末位置情報がそれぞれマッピングされる２つの時空間領域を包含する時空間領域を形成してもよい。

【0086】

ステップＳ２０４において、情報処理装置１０は、図８Ｂに示すように、複数の端末位置情報がマッピングされる他の時空間領域のサイズを変更せずに維持してもよいし、変更してもよい。

【0087】

情報処理装置１０は、各端末位置情報内の位置情報及び／又は時刻情報の少なくとも一方を、サイズが制御された時空間領域の代表値に変更する（ステップＳ２０５）。例えば、図８Ｃに示すように、情報処理装置１０は、各時空間領域の代表値に、当該各時空間領域にマッピングされる各端末位置情報内の位置情報及び／又は時刻情報の少なくとも一方を変更してもよい。当該代表値には、図９Ｃに示されるように、各時空間領域のサイズに応じたオフセット値が与えられてもよい。

【0088】

情報処理装置１０は、以上のように匿名化処理を施した後の匿名化情報を出力（例えば、送信又は表示等）する（ステップＳ２０６）。

【0089】

以上のように、第２の実施形態に係る情報処理装置１０では、時空間領域にマッピングされる端末位置情報の数に基づいて、当該時空間領域のサイズが制御されるので、端末位置情報を除去せずに、当該端末位置情報の匿名性を確保でき、位置の特定に用いられる空間（例えば、経度軸及び緯度軸を有する平面地図）における端末位置情報の網羅率を向上できる。また、時空間領域の代表値にオフセットが与えられるので、時空間領域の境界の明確化を防止できる。

【0090】

（ハードウェア構成）
次に、第１及び第２の実施形態に係る情報処理装置１０のハードウェア構成を説明する。図１１に示すように、情報処理装置１０は、演算装置に相当するＣＰＵ（Central Processing Unit）１０ａと、記憶装置１０ｂと、通信部１０ｃと、入力部１０ｄと、出力部１０ｅとを有する。これらの各構成は、バスを介して相互にデータ送受信可能に接続される。なお、本例では、情報処理装置１０は、一台のコンピュータで構成されるが、複数のコンピュータで構成されてもよい。

【0091】

ＣＰＵ１０ａは、記憶装置１０ｂに記憶されたプログラムの実行に関する制御やデータの演算、加工を行う制御部である。ＣＰＵ１０ａは、位置の特定に用いられる空間（例えば、経度軸及び緯度軸を有する平面地図）を分割して得られる複数の領域のうちの一つと所定の時間範囲とで構成される時空間領域に、端末位置情報をマッピングし、当該時空間領域に基づいて、当該端末位置情報の匿名化に関する処理を行う情報処理プログラムを実行する演算装置（演算部、制御部、制御装置等ともいう）であってもよい。ＣＰＵ１０ａは、入力部１０ｄ及び／又は通信部１０ｃから種々の入力データを受け取り、入力データの演算結果を出力部１０ｅに出力（例えば、表示）したり、記憶装置１０ｂに格納したり、又は、通信部１０ｃを介して送信したりする。

【0092】

記憶装置１０ｂは、メモリ、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、の少なくとも一つである。情報処理装置１０の記憶装置１０ｂは、記憶部１１を構成してもよい。また、情報処理装置１０の記憶装置１０ｂは、ＣＰＵ１０ａが実行する情報処理プログラムを記憶してもよい。

【0093】

通信部１０ｃは、情報処理システム１内の各装置を外部機器に接続するインターフェースである。通信部１０ｃは、他の装置から送信される端末位置情報を受信して、ＣＰＵ１０ａの制御に基づいて、当該端末位置情報を記憶装置１０ｂに出力してもよい。通信部１０ｃは、端末位置情報に対して匿名化処理が施された匿名化情報を他の装置に送信してもよい。

【0094】

入力部１０ｄは、ユーザからデータの入力を受け付けるものであり、例えば、キーボード、マウス、タッチパネル、マイクの少なくとも一つを含んでよい。入力部１０ｄは、端末位置情報の匿名化処理の開始要求を受け付けてもよい。

【0095】

出力部１０ｅは、ＣＰＵ１０ａによる演算結果を出力するものであり、例えば、ＬＣＤ（Liquid Crystal Display）等のディスプレイ及びスピーカの少なくとも一つにより構成されてよい。出力部１０ｅは、匿名化処理部１４、１５によって生成された匿名化情報を出力してもよい。

【0096】

情報処理プログラムは、記憶装置１０ｂ等のコンピュータによって読み取り可能な記憶媒体に記憶されて提供されてもよいし、通信部１０ｃにより接続されるネットワークを介して提供されてもよい。当該情報提供プログラムを格納した記憶媒体は、コンピュータ読み取り可能な非一時的な記憶媒体（Non-transitory computer readable medium）であってもよい。非一時的な記憶媒体は特に限定されないが、例えば、ＵＳＢメモリ、ＣＤ－ＲＯＭ又はＤＶＤ等の記憶媒体であってもよい。

【0097】

情報処理装置１０では、ＣＰＵ１０ａが情報処理プログラムを実行することにより、取得部１２、マッピング部１３、匿名化処理部１４、１５等の動作が実現される。なお、これらの物理的な構成は例示であって、必ずしも独立した構成でなくてもよい。例えば、情報処理装置１０は、ＣＰＵ１０ａと記憶装置１０ｂが一体化したＬＳＩ（Large-Scale Integration）を備えていてもよい。

【0098】

以上説明した実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。実施形態が備える各要素並びにその配置、材料、条件、形状及びサイズ等は、例示したものに限定されるわけではなく適宜変更することができる。また、異なる実施形態で示した構成同士を部分的に置換し又は組み合わせることが可能である。

【符号の説明】

【0099】

１…情報処理システム、１０…情報処理装置、１１…記憶部、１２…取得部、１３…マッピング部、１４…匿名化処理部、１４１…変更部、１４２…除去部、１５…匿名化処理部、１５１…サイズ制御部、１５２…変更部、１０ａ…ＣＰＵ、１０ｂ…記憶装置、１０ｃ…通信部、１０ｄ…入力部、１０ｅ…出力部

【図1】

【図2】

【図3】

【図4A】

【図4B】

【図4C】

【図5A】

【図5B】

【図5C】

【図6】

【図7】

【図8A】

【図8B】

【図8C】

【図9A】

【図9B】

【図9C】

【図10】

【図11】