JP2013232068A - 位置情報匿名化装置、位置情報匿名化方法およびプログラム - Google Patents

Abstract

【課題】時刻情報と位置情報を同時に匿名化することにより、データの所有者のプライバシを有効に保護する。
【解決手段】真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成し、真の位置情報を表わすｎ次元座標に、生成した乱数を付加して摂動化した座標情報を生成する。そして、真の座標情報が、生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた半径ｒを決定し、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。
【選択図】図２

Description

本発明は、ユーザの位置情報を第三者に対して匿名化する位置情報匿名化装置、位置情報匿名化方法およびプログラムに関する。

データを公開する場合において、データの所有者のプライバシを保護するため、データの変形を行う必要がある。特に、位置情報などの重要情報については、十分な匿名化を行った後に提供されなければならない。これに対して、例えば、非特許文献１に示されるような技術が提案されている。

Ｃ．Ａ．Ａｒｄａｇｎａ，Ｍ．Ｃｒｅｍｏｎｉｎｉ，Ｓ．Ｄｅ Ｃａｐｉｔａｎｉ ｄｉ Ｖｉｍｅｒｃａｔｉ，ａｎｄ Ｐ．Ｓａｍａｒａｔｉ， "Ａｎ Ｏｂｆｕｓｃａｔｉｏｎ−ｂａｓｅｄ Ａｐｐｒｏａｃｈ ｆｏｒ Ｐｒｏｔｅｃｔｉｎｇ Ｌｏｃａｔｉｏｎ Ｐｒｉｖａｃｙ，" ｉｎ ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｄｅｐｅｎｄａｂｌｅ ａｎｄ Ｓｅｃｕｒｅ Ｃｏｍｐｕｔｉｎｇ（ＴＤＳＣ），Ｊａｎｕａｒｙ−Ｆｅｂｒｕａｒｙ，２０１１

しかしながら、非特許文献１に記載の手法においては、Ｘ、Ｙ、（Ｚ）座標系に対して、移動と拡大を行う方式が提案されていたが、従来の方式では、時系列的に複数の位置情報を俯瞰することで、利用者の行動が追跡されるおそれがある。そのため、利用者の行動の追跡という脅威を考えた場合、位置情報に加え、時刻情報も匿名化する必要がある。ところが、時刻情報と位置情報を同時に匿名化手法は提案されていない。

そこで、本発明は、上述の課題に鑑みてなされたものであり、時刻情報と位置情報を同時に匿名化することにより、データの所有者のプライバシを有効に保護する位置情報匿名化装置、位置情報匿名化方法およびプログラムを提供することを目的とする。

本発明は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。

（１）本発明は、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成する乱数生成手段（例えば、図１の乱数生成部１１０に相当）と、前記真の位置情報を表わすｎ次元座標に、該生成した乱数を付加して摂動化した座標情報を生成する座標生成手段（例えば、図１の座標生成部１２０に相当）と、前記真の座標情報が、該生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた前記半径ｒを決定する決定手段（例えば、図１の決定部１３０に相当）と、前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する時刻情報生成手段（例えば、図１の時刻情報生成部１４０に相当）と、を備えたことを特徴とする位置情報匿名化装置を提案している。

この発明によれば、乱数生成手段は、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成する。座標生成手段は、真の位置情報を表わすｎ次元座標に、生成した乱数を付加して摂動化した座標情報を生成する。決定手段は、真の座標情報が、生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた半径ｒを決定する。時刻情報生成手段は、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。したがって、位置情報の摂動により形成される立体を時間軸方向に延伸した立体図形内に真の位置情報が含まれることになる。これにより、従来の位置情報の匿名化方法に比べて、時間軸方向にその領域が拡大することから、さらに、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（２）本発明は、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する決定手段と、前記半径ｒを摂動する摂動手段と、前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する時刻情報生成手段と、を備えたことを特徴とする位置情報匿名化装置を提案している。

この発明によれば、決定手段は、真の座標情報が、生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた半径ｒを決定する。摂動手段は、半径ｒを摂動する。時刻情報生成手段は、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。したがって、位置情報の摂動により形成される立体を時間軸方向に延伸した立体図形内に真の位置情報が含まれることになる。これにより、従来の位置情報の匿名化方法に比べて、時間軸方向にその領域が拡大することから、さらに、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（３）本発明は、（２）の位置情報匿名化装置について、前記摂動手段（例えば、図５の摂動部１６０に相当）が、前記半径ｒを拡大することにより、摂動化を行うことを特徴とする位置情報匿名化装置を提案している。

この発明によれば、摂動手段が、半径ｒを拡大することにより、摂動化を行う。これにより、さらに、領域が拡大するため、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（４）本発明は、（２）の位置情報匿名化装置について、前記摂動手段（例えば、図８の摂動部１８０に相当）が、前記半径ｒを減少することにより、摂動化を行うことを特徴とする位置情報匿名化装置を提案している。

この発明によれば、摂動手段が、半径ｒを減少することにより、摂動化を行う。つまり、本発明では、時刻情報についても、摂動化を行い、匿名化することから、半径が減少する摂動化を許容しても、十分に、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（５）本発明は、（１）の位置情報匿名化装置について、前記立体内に含まれ、かつ、求められる匿名度を満たす範囲内で、前記半径ｒを摂動する摂動手段を備えたことを特徴とする位置情報匿名化装置を提案している。

この発明によれば、摂動手段が、立体内に含まれ、かつ、求められる匿名度を満たす範囲内で、半径ｒを摂動する。したがって、位置情報を移動させる摂動に加えて、半径を摂動するため、より匿名化が向上する。

（６）本発明は、（５）の位置情報匿名化装置について、前記摂動手段（例えば、図５の摂動部１６０に相当）が、前記半径ｒを拡大することにより、摂動化を行うことを特徴とする位置情報匿名化装置を提案している。

この発明によれば、摂動手段が、半径ｒを拡大することにより、摂動化を行う。これにより、さらに、領域が拡大するため、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（７）本発明は、（５）の位置情報匿名化装置について、前記摂動手段（例えば、図８の摂動部１８０に相当）が、前記半径ｒを減少することにより、摂動化を行うことを特徴とする位置情報匿名化装置を提案している。

この発明によれば、つまり、本発明では、時刻情報についても、摂動化を行い、匿名化することから、半径が減少する摂動化を許容しても、十分に、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（８）本発明は、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成する第１のステップ（例えば、図２のステップＳ１０１に相当）と、前記真の位置情報を表わすｎ次元座標に、該生成した乱数を付加して摂動化した座標情報を生成する第２のステップ（例えば、図２のステップＳ１０２に相当）と、前記真の座標情報が、該生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた前記半径ｒを決定する第３のステップ（例えば、図２のステップＳ１０３に相当）と、前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第４のステップ（例えば、図２のステップＳ１０４に相当）と、を備えたことを特徴とする位置情報匿名化方法を提案している。

この発明によれば、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成し、真の位置情報を表わすｎ次元座標に、生成した乱数を付加して摂動化した座標情報を生成する。そして、真の座標情報が、生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた半径ｒを決定し、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。したがって、位置情報の摂動により形成される立体を時間軸方向に延伸した立体図形内に真の位置情報が含まれることになる。これにより、従来の位置情報の匿名化方法に比べて、時間軸方向にその領域が拡大することから、さらに、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（９）本発明は、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する第１のステップ（例えば、図６のステップＳ２０１に相当）と、前記半径ｒを拡大することにより、摂動化を行う第２のステップ（例えば、図６のステップＳ２０２に相当）と、前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第３のステップ（例えば、図６のステップＳ２０３に相当）と、を備えたことを特徴とする位置情報匿名化方法を提案している。

この発明によれば、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた半径ｒを決定し、半径ｒを拡大することにより、摂動化を行う。そして、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。したがって、位置情報の摂動により形成される立体を時間軸方向に延伸した立体図形内に真の位置情報が含まれることになる。これにより、従来の位置情報の匿名化方法に比べて、時間軸方向にその領域が拡大することから、さらに、匿名化が進み、ユーザのプライバシを有効に保護することができる。また、半径ｒを拡大することにより、摂動化を行うことにより、さらに、領域が拡大するため、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（１０）本発明は、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する第１のステップ（例えば、図９のステップＳ３０１に相当）と、前記半径ｒを減少することにより、摂動化を行う第２のステップ（例えば、図９のステップＳ３０２に相当）と、前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第３のステップ（例えば、図９のステップＳ３０３に相当）と、を備えたことを特徴とする位置情報匿名化方法を提案している。

この発明によれば、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた半径ｒを決定し、半径ｒを減少することにより、摂動化を行う。そして、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。したがって、位置情報の摂動により形成される立体を時間軸方向に延伸した立体図形内に真の位置情報が含まれることになる。これにより、従来の位置情報の匿名化方法に比べて、時間軸方向にその領域が拡大することから、さらに、匿名化が進み、ユーザのプライバシを有効に保護することができる。なお、本発明では、時刻情報についても、摂動化を行い、匿名化することから、半径が減少する摂動化を許容しても、十分に、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（１１）本発明は、コンピュータに、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成する第１のステップ（例えば、図２のステップＳ１０１に相当）と、前記真の位置情報を表わすｎ次元座標に、該生成した乱数を付加して摂動化した座標情報を生成する第２のステップ（例えば、図２のステップＳ１０２に相当）と、前記真の座標情報が、該生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた前記半径ｒを決定する第３のステップ（例えば、図２のステップＳ１０３に相当）と、前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第４のステップ（例えば、図２のステップＳ１０４に相当）と、を実行させるためのプログラムを提案している。

この発明によれば、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成し、真の位置情報を表わすｎ次元座標に、生成した乱数を付加して摂動化した座標情報を生成する。そして、真の座標情報が、生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた半径ｒを決定し、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。したがって、位置情報の摂動により形成される立体を時間軸方向に延伸した立体図形内に真の位置情報が含まれることになる。これにより、従来の位置情報の匿名化方法に比べて、時間軸方向にその領域が拡大することから、さらに、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（１２）本発明は、コンピュータに、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する第１のステップ（例えば、図６のステップＳ２０１に相当）と、前記半径ｒを拡大することにより、摂動化を行う第２のステップ（例えば、図６のステップＳ２０２に相当）と、前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第３のステップ（例えば、図６のステップＳ２０３に相当）と、を実行させるためのプログラムを提案している。

この発明によれば、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた半径ｒを決定し、半径ｒを拡大することにより、摂動化を行う。そして、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。したがって、位置情報の摂動により形成される立体を時間軸方向に延伸した立体図形内に真の位置情報が含まれることになる。これにより、従来の位置情報の匿名化方法に比べて、時間軸方向にその領域が拡大することから、さらに、匿名化が進み、ユーザのプライバシを有効に保護することができる。また、半径ｒを拡大することにより、摂動化を行うことにより、さらに、領域が拡大するため、匿名化が進み、ユーザのプライバシを有効に保護することができる。

（１３）本発明は、コンピュータに、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する第１のステップ（例えば、図９のステップＳ３０１に相当）と、前記半径ｒを減少することにより、摂動化を行う第２のステップ（例えば、図９のステップＳ３０２に相当）と、前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第３のステップ（例えば、図９のステップＳ３０３に相当）と、を実行させるためのプログラムを提案している。

この発明によれば、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた半径ｒを決定し、半径ｒを減少することにより、摂動化を行う。そして、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。したがって、位置情報の摂動により形成される立体を時間軸方向に延伸した立体図形内に真の位置情報が含まれることになる。これにより、従来の位置情報の匿名化方法に比べて、時間軸方向にその領域が拡大することから、さらに、匿名化が進み、ユーザのプライバシを有効に保護することができる。なお、本発明では、時刻情報についても、摂動化を行い、匿名化することから、半径が減少する摂動化を許容しても、十分に、匿名化が進み、ユーザのプライバシを有効に保護することができる。

本発明によれば、時刻情報と位置情報を同時に匿名化することにより、データの所有者のプライバシを有効に保護することができるという効果がある。

本発明の第１の実施形態に係る位置情報匿名化装置の構成を示す図である。 本発明の第１の実施形態に係る位置情報匿名化装置の処理を示す図である。 移動による摂動化を説明するための図である。 位置情報と時刻情報のそれぞれに摂動を与えた場合の様子を示す図である。 本発明の第２の実施形態に係る位置情報匿名化装置の構成を示す図である。 本発明の第２の実施形態に係る位置情報匿名化装置の処理を示す図である。 拡大による摂動化を説明するための図である。 本発明の第３の実施形態に係る位置情報匿名化装置の構成を示す図である。 本発明の第３の実施形態に係る位置情報匿名化装置の処理を示す図である。 減少による摂動化を説明するための図である。

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜第１の実施形態＞
図１から図４を用いて、本発明の第１の実施形態について説明する。

＜位置情報匿名化装置の構成＞
本実施形態に係る位置情報匿名化装置は、図１に示すように、乱数生成部１１０と、座標生成部１２０と、決定部１３０と、時刻情報生成部１４０とから構成されている。

乱数生成部１１０は、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成する。座標生成部１２０は、真の位置情報を表わすｎ次元座標に、生成した乱数を付加して摂動化した座標情報を生成する。

決定部１３０は、真の位置情報に対応する座標情報が、生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた半径ｒを決定する。時刻情報生成部１４０は、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。

＜位置情報匿名化装置の処理＞
図２から図４を用いて、本実施形態に係る位置情報匿名化装置の処理について説明する。

まず、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成し（ステップＳ１０１）、真の位置情報を表わすｎ次元座標に、生成した乱数を付加して摂動化した座標情報を生成する（ステップＳ１０２）。

そして、真の座標情報が、生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた半径ｒを決定して（ステップＳ１０３）、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する（ステップＳ１０４）。

ここで、図３を用いて、移動による摂動化について説明する。
なお、ここでは、理解を容易にするために、２次元座標系を例に説明するが、２次元以上の多次元にも展開することができる。

位置情報は、２次元平面状の円のエリアとして表される。つまり、中心の座標（ｘ、ｙ）と、半径ｒの組合せで表される。ここで、中心の座標（ｘ、ｙ）、半径ｒの位置情報を＜ｘ、ｙ、ｒ＞で表す。

ｒ_０をずれが最小で、最も精度のよい半径とする。このとき、適切度（匿名化度の逆数）Ｒ（０＜Ｒ≦１）は、以下、数１で与えられる。

摂動オペレータは、位置情報Ａ_０をＡ_ｆに変換するオペレータであり、以下の条件を満たすものとする。

（１）Ｒ_ｆ＜Ｒ_０（Ｒ_ｆ、Ｒ_０は、それぞれＡ_ｆ、Ａ_０の関連性（変換の度合い））
（２）Ａ_ｆ∩Ａ_０≠φ

位置情報Ａ_０＝＜ｘ_０、ｙ_０、ｒ_０＞に対して、位置情報の中心を移動する変換を行った後の位置情報をＡ_ｆ＝＜ｘ_ｆ、ｙ_ｆ、ｒ_ｆ＞とし、Ａ_０とＡ_ｆの中心の距離をｄとする。また、２つの円が交差する点のうちの１点とＡ_ｆの中心を結んだ直線をｘ軸とする。Ａ_０とＡ_ｆの中心を結んだ直線とｘ軸とのなす角をθとする。

ここで、ｘ_ｆ、ｙ_ｆは、ｄ、θを用いて、数２のように表わされる。

Ａ_０、Ａ_ｆの関連性をそれぞれＲ_０、Ｒ_ｆとし、λを数３とした場合に、数４に示す方程式が得られる。

ここで、ｒ_ｆは、Ａ_ｆの半径である。ｒ_ｆ＝ｒ_０であることから、数５のように簡単化でき、この連立方程式を解くことにより、ｄ、θを求めることができる。

次に、時刻情報の匿名化を付与することにより、位置情報を２次元とした場合、図４に示すような円柱となる。このとき、その場所にいた時刻の情報である時刻情報Ｔは、（Ｔ＋ｔ１、Ｔ＋ｔ２）といったある範囲（ｔ２−ｔ１）の幅を持った値に変換される。ｔ２、ｔ１は、円柱の体積がある閾値を越えるようにランダムな値が選択される。

したがって、本実施形態によれば、ユーザが移動していく場合を考えると、ある時刻において、（１）の円内にいたユーザは、（２）の円内へと移動するとすれば、移動が完了した後も、（１）の円柱に相当する位置情報が残り続けるため、ある時間の断面で見た場合、あるユーザが（１）の円内にいるのか、（２）の円内にいるのかを判別することは困難となる。なお、本実施形態においては、中心座標を移動する摂動を与える例について説明したが、これに加えて、半径を拡大あるいは減少する摂動を与えてもよい。

＜第２の実施形態＞
図５から図７を用いて、本発明の第２の実施形態について説明する。

＜位置情報匿名化装置の構成＞
本実施形態に係る位置情報匿名化装置は、図５に示すように、決定部１５０と、摂動部１６０と、時刻情報生成部１７０とから構成されている。

決定部１５０は、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた半径ｒを決定する。摂動部１６０は、半径ｒを拡大することにより、摂動化を行う。時刻情報生成部１７０は、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する。

＜位置情報匿名化装置の処理＞
図６および図７を用いて、本実施形態に係る位置情報匿名化装置の処理について説明する。

まず、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた半径ｒを決定し（ステップＳ２０１）、半径ｒを拡大することにより、摂動化を行う（ステップＳ２０２）。そして、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する（ステップＳ２０３）。

ここで、図７を用いて、移動による摂動化について説明する。
なお、ここでは、理解を容易にするために、２次元座標系を例に説明するが、２次元以上の多次元にも展開することができる。

位置情報は、２次元平面状の円のエリアとして表される。つまり、中心の座標（ｘ、ｙ）と、半径ｒの組合せで表される。ここで、中心の座標（ｘ、ｙ）、半径ｒの位置情報を＜ｘ、ｙ、ｒ＞で表す。

ｒ_０をずれが最小で、最も精度のよい半径とする。このとき、適切度（匿名化度の逆数）Ｒ（０＜Ｒ≦１）は、以下、数６で与えられる。

摂動オペレータは、位置情報Ａ_０をＡ_ｆに変換するオペレータであり、以下の条件を満たすものとする。

（１）Ｒ_ｆ＜Ｒ_０（Ｒ_ｆ、Ｒ_０は、それぞれＡ_ｆ、Ａ_０の関連性（変換の度合い））
（２）Ａ_ｆ∩Ａ_０≠φ

位置情報Ａ_０＝＜ｘ_０、ｙ_０、ｒ_０＞に対して、半径を拡大する変換を行った後の位置情報をＡ_ｆ＝＜ｘ_ｆ、ｙ_ｆ、ｒ_ｆ＞とする。このとき、ｒ_ｆ＞ｒ_０となる。

Ａ_０、Ａ_ｆの関連性をそれぞれＲ_０、Ｒ_ｆとし場合、半径は、数７で与えられる。

次に、時刻情報の匿名化を付与することにより、位置情報を２次元とした場合、図４に示すような円柱となる。このとき、その場所にいた時刻の情報である時刻情報Ｔは、（Ｔ＋ｔ１、Ｔ＋ｔ２）といったある範囲（ｔ２−ｔ１）の幅を持った値に変換される。ｔ２、ｔ１は、円柱の体積がある閾値を越えるようにランダムな値が選択される。

したがって、本実施形態によれば、ユーザが移動していく場合を考えると、ある時刻において、（１）の円内にいたユーザは、（２）の円内へと移動するとすれば、移動が完了した後も、（１）の円柱に相当する位置情報が残り続けるため、ある時間の断面で見た場合、あるユーザが（１）の円内にいるのか、（２）の円内にいるのかを判別することは困難となる。なお、本実施形態においては、半径を拡大する摂動を与える例について説明したが、これに加えて、中心座標を移動するあるいは半径を減少する摂動を与えてもよい。

＜第３の実施形態＞
図８から図１０を用いて、本発明の第３の実施形態について説明する。

＜位置情報匿名化装置の構成＞
本実施形態に係る位置情報匿名化装置は、図８に示すように、決定部１５０と、摂動部１８０と、時刻情報生成部１７０とから構成されている。なお、第１の実施形態あるいは第２の実施形態と同一の符号を付す構成要素については、同様の機能を有することから、その詳細な説明は省略する。

摂動部１８０は、半径ｒを拡大することにより、摂動化を行う。

＜位置情報匿名化装置の処理＞
図９および図１０を用いて、本実施形態に係る位置情報匿名化装置の処理について説明する。

まず、真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた半径ｒを決定し（ステップＳ３０１）、半径ｒを減少することにより、摂動化を行う（ステップＳ３０２）。そして、真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、時刻情報に時間幅を付加して摂動化した時刻情報を生成する（ステップＳ３０３）。

ここで、図１０を用いて、移動による摂動化について説明する。
なお、ここでは、理解を容易にするために、２次元座標系を例に説明するが、２次元以上の多次元にも展開することができる。

位置情報は、２次元平面状の円のエリアとして表される。つまり、中心の座標（ｘ、ｙ）と、半径ｒの組合せで表される。ここで、中心の座標（ｘ、ｙ）、半径ｒの位置情報を＜ｘ、ｙ、ｒ＞で表す。

ｒ_０をずれが最小で、最も精度のよい半径とする。このとき、適切度（匿名化度の逆数）Ｒ（０＜Ｒ≦１）は、以下、数８で与えられる。

摂動オペレータは、位置情報Ａ_０をＡ_ｆに変換するオペレータであり、以下の条件を満たすものとする。

（１）Ｒ_ｆ＜Ｒ_０（Ｒ_ｆ、Ｒ_０は、それぞれＡ_ｆ、Ａ_０の関連性（変換の度合い））
（２）Ａ_ｆ∩Ａ_０≠φ

位置情報Ａ_０＝＜ｘ_０、ｙ_０、ｒ_０＞に対して、半径を減少する変換を行った後の位置情報をＡ_ｆ＝＜ｘ_ｆ、ｙ_ｆ、ｒ_ｆ＞とする。このとき、ｒ_ｆ＜ｒ_０となる。

Ａ_０、Ａ_ｆの関連性をそれぞれＲ_０、Ｒ_ｆとし場合、半径は、数９で与えられる。

次に、時刻情報の匿名化を付与することにより、位置情報を２次元とした場合、図４に示すような円柱となる。このとき、その場所にいた時刻の情報である時刻情報Ｔは、（Ｔ＋ｔ１、Ｔ＋ｔ２）といったある範囲（ｔ２−ｔ１）の幅を持った値に変換される。ｔ２、ｔ１は、円柱の体積がある閾値を越えるようにランダムな値が選択される。

したがって、本実施形態によれば、ユーザが移動していく場合を考えると、ある時刻において、（１）の円内にいたユーザは、（２）の円内へと移動するとすれば、移動が完了した後も、（１）の円柱に相当する位置情報が残り続けるため、ある時間の断面で見た場合、あるユーザが（１）の円内にいるのか、（２）の円内にいるのかを判別することは困難となる。なお、本実施形態においては、半径を減少する摂動を与える例について説明したが、これに加えて、中心座標を移動するあるいは半径を拡大する摂動を与えてもよい。

なお、位置情報匿名化装置の処理をコンピュータシステムが読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを位置情報匿名化装置に読み込ませ、実行することによって本発明の位置情報匿名化装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１１０；乱数生成部
１２０；座標生成部
１３０；決定部
１４０；時刻情報生成部
１５０；決定部
１６０；摂動部
１７０；時刻情報生成部
１８０；摂動部

Claims (13)

1. 真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成する乱数生成手段と、
   前記真の位置情報を表わすｎ次元座標に、該生成した乱数を付加して摂動化した座標情報を生成する座標生成手段と、
   前記真の位置情報に対応する座標情報が、該生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた前記半径ｒを決定する決定手段と、
   前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する時刻情報生成手段と、
   を備えたことを特徴とする位置情報匿名化装置。
2. 真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する決定手段と、
   前記半径ｒを摂動する摂動手段と、
   前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する時刻情報生成手段と、
   を備えたことを特徴とする位置情報匿名化装置。
3. 前記摂動手段が、前記半径ｒを拡大することにより、摂動化を行うことを特徴とする請求項２に記載の位置情報匿名化装置。
4. 前記摂動手段が、前記半径ｒを減少することにより、摂動化を行うことを特徴とする請求項２に記載の位置情報匿名化装置。
5. 前記立体内に含まれ、かつ、求められる匿名度を満たす範囲内で、前記半径ｒを摂動する摂動手段を備えたことを特徴とする請求項１に記載の位置情報匿名化装置。
6. 前記摂動手段が、前記半径ｒを拡大することにより、摂動化を行うことを特徴とする請求項５に記載の位置情報匿名化装置。
7. 前記摂動手段が、前記半径ｒを減少することにより、摂動化を行うことを特徴とする請求項５に記載の位置情報匿名化装置。
8. 真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成する第１のステップと、
   前記真の位置情報を表わすｎ次元座標に、該生成した乱数を付加して摂動化した座標情報を生成する第２のステップと、
   前記真の座標情報が、該生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた前記半径ｒを決定する第３のステップと、
   前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第４のステップと、
   を備えたことを特徴とする位置情報匿名化方法。
9. 真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する第１のステップと、
   前記半径ｒを拡大することにより、摂動化を行う第２のステップと、
   前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第３のステップと、
   を備えたことを特徴とする位置情報匿名化方法。
10. 真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する第１のステップと、
    前記半径ｒを減少することにより、摂動化を行う第２のステップと、
    前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第３のステップと、
    を備えたことを特徴とする位置情報匿名化方法。
11. コンピュータに、
    真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、乱数を生成する第１のステップと、
    前記真の位置情報を表わすｎ次元座標に、該生成した乱数を付加して摂動化した座標情報を生成する第２のステップと、
    前記真の座標情報が、該生成された座標情報を中心座標とし、半径をｒとしたときに、これらにより形成される立体内に含まれ、かつ、求められる匿名度に応じた前記半径ｒを決定する第３のステップと、
    前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第４のステップと、
    を実行させるためのプログラム。
12. コンピュータに、
    真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する第１のステップと、
    前記半径ｒを拡大することにより、摂動化を行う第２のステップと、
    前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第３のステップと、
    を実行させるためのプログラム。
13. コンピュータに、
    真の位置情報を表わすｎ次元座標系（ｎは、２以上の整数）に対応して、前記真の位置情報に対応する座標情報を中心座標とし、半径をｒとしたときに、求められる匿名度に応じた前記半径ｒを決定する第１のステップと、
    前記半径ｒを拡大することにより、摂動化を行う第２のステップと、
    前記真の位置情報を取得した時刻情報を求められる匿名度に応じた値により、前記時刻情報に時間幅を付加して摂動化した時刻情報を生成する第３のステップと、
    を実行させるためのプログラム。

Images