[发明专利]信息管理装置、数据处理方法及计算机程序

说明书

技术领域

本发明涉及一种信息管理装置、数据处理方法及计算机程序，更具体地，涉及一种管理位置数据的信息管理装置、数据处理方法和计算机程序。

背景技术

近年来，利用安装在移动终端、汽车等上的全球定位系统(GPS)和无线局域网(LAN)等测量的位置数据的服务在增长。存在如下可能性，即位置数据是详细描述了在家、办公室、学校等地点的(移动终端、汽车等用户的)个体并允许接触用户的数据，或者是用户不希望陌生人知道的数据，例如爱好、娱乐、医院访问等，并且位置数据是高级的隐私数据。这种隐私数据是匿名的，以保护匿名人。

此处，进行匿名化来处理隐私数据，以使得不能够确定用户。表示不能指定用户的程度的指标被称作匿名指标。作为匿名指标的现有指标是k-匿名或l多样性。在下文中，假定用户数据包括如下匿名指标：对用户及一个或多个敏感数据加以识别的一个或多个准标识符。首先，k-匿名是一种指标，以通过对准标识符进行匿名化，来保证相同准标识符变为k或多个准标识符。通过满足k匿名不能指定用户。另一方面，l多样性是一种指标，通过对准标识符进行匿名化，来保证相同准标识符的敏感数据变为一个或多个准标识符。通过满足l多样性可以阻止了解到用户的敏感数据。

例如，作为示例，假定存在图1A所示的病人的疾病情况记录。在图1A所示的疾病情况记录中，将ZIP码、年龄和国籍作为准标识符进行记录，而疾病情况则作为敏感数据进行记录。在ZIP码和年龄的情况下，通过隐去(turn down)任意字段来执行匿名化，以及在国籍的情况下，则通过隐去国家的名称来执行匿名化。图1B示出了当对图1A所示的疾病情况记录进行匿名化时的示例。通过对ZIP码、年龄和国籍进行匿名化，形成了具有相同准标识符的两组。在任何情况下，k匿名中的“k”是组中用户的数目，以及在本示例中，k＝4。通过保证k≥2而使得不能指定与线对应的用户。l匿名中的“l”是组中的疾病情况的数目，用户1至4所属组中的l＝2，而用户5至8所属组中的l＝1。当浏览者看见该表中(图1B)30岁且ZIP码是148**的用户访问了医院时，浏览者会知道用户是“癌症患者”。但是，即使浏览者认识该用户，通过保证l≥2，使得可以阻止浏览者进一步了解到用户的特征(在该示例中，疾病情况)。存在作为公知匿名指标的t近似性和m不变性，但是省略了其描述。

通过移动终端、汽车等周期性地测量的位置数据本质上依赖于数据。例如，位置数据可能是如下数据：通过该数据指定在家或办公室的个体的数据，以及位置数据可能是使个体特征清晰化的数据，，其中该个体特征例如指定偏好和娱乐的地点以及要访问的医院。然而，难以知道单个位置数据的本质，但是通过分析同一用户的多个位置数据并且检测该用户每天长时间停留的地点，来使该本质清楚。因此，位置历史(相同用户的多个位置数据)的每个位置数据是准标识符，并且是敏感数据。

对于位置数据的匿名化，单个位置数据可以是处于“地点”中的浏览者可以通过其指定用户的数据。当在指定用户之后浏览该用户的位置数据时，该用户要去往哪里是已知的。因此，在单个位置数据的情况下，通过保证k匿名来阻止用户被指定是必要的。图2是示出了单个位置数据的匿名化的示例的概念图。此处，示出了如下示例，即匿名化(抽象)用户1至用户4的位置数据，以满足k匿名(k≥4)。在图2中，黑点是以纬度和经度示出的每个用户的位置数据，以及灰色圆示出了区域。可以通过将每个用户的位置数据转换为包括四个用户的区域数据，使得处于“地点”中的浏览者难以指定所有用户。

关于以上技术，专利文件1和2示出了作为现有技术的匿名化数据的系统的示例，其中所述技术在保护隐私数据的匿名的同时使用了隐私数据。

专利文献1(JP 2005-234866A)的隐私数据管理服务器在用于通信的多个终端相连的网络中管理终端用户的隐私数据。隐私数据管理服务器配置有隐私数据库，存储用户的隐私数据；隐私数据管理部，管理隐私数据库中的隐私数据；以及统计数据处理部，计算根据一种隐私数据指定的用户与登记在所述隐私数据库中的用户总数之比。当从终端接收用户的隐私数据的请求消息时，隐私数据管理部搜索隐私数据库。当搜索到隐私数据时，统计处理部计算具有该隐私数据的用户与登记用户之比，以及当搜索到的隐私数据大于阈值时，向终端发送隐私数据。