移動物に関連するトレース・データの開示を制御する方法、並びにそのコンピュータ及びコンピュータ・プログラム
【課題】本発明は、Ｖ２Ｘ通信システムから収集されるレコード・データから導出されるトレース・データが一定条件を満足した場合にのみ開示される技法を提供することを目的とする。
【解決手段】本発明は、移動物に関連するトレース・データの開示を制御する技法を提供する。当該技法は、一定範囲のＬ個の領域を一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算し、移動物が、上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返すことを特徴とする。
【解決手段】本発明は、移動物に関連するトレース・データの開示を制御する技法を提供する。当該技法は、一定範囲のＬ個の領域を一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算し、移動物が、上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返すことを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、移動物に関連するトレース・データの開示を制御する技法に関する。特には、本発明は、データ・プロバイダ・システムに接続されたサーバ・コンピュータが、移動物に関連するトレース・データの開示を制御する技法に関する。
【背景技術】
【０００２】
車車間（Vehicle to Vehicle, Ｖ２Ｖ）、車路間（Vehicle to Roadside, Ｖ２Ｒ）及び車外間（Vehicle to Infrastructure, Ｖ２Ｉ）を包含するＶ２Ｘ（vehicle-to-any）通信システムにおいて、データ・アグリゲータ・システムは、各データ・プロバイダ・システムが車又はヒトから収集されたデータをレコードとして集約し、当該集約されたレコードをサービス・プロバイダ・システムに提供する責任を有する。上記収集されたデータの権限所有主体は、車両の所有者若しくは運転者、又は車両に関連付けられた管理者にある。また、上記収集されたデータ及び上記集約されたレコードは、個人、個人の行動、又は個人の関心事を特定するために使用することが可能である。従って、データ・アグリゲータ・システムは、個人情報保護の観点から、上記収集されたデータ又は上記集約されたレコードが適切な管理の下にサービス・プロバイダ・システムに対して開示されるように制御する必要がある。
【０００３】
下記非特許文献１は、位置ベース・サービス（ＬＢＳ）のために報告された各位置がＫ個の異なるフットプリント（すなわち、異なるモバイル・ノードの履歴位置）を含む秘匿領域であることを保証することによって位置情報を没個性化し、それ故に、サービス要求者の正確な識別及び位置は、ＬＢＳサービス提供者から秘匿のままである旨を記載する（Ａｂｓｔｒａｃｔ）。
【０００４】
下記非特許文献２は、中央化された位置ブローカー・サービスによって使用さうれうるミドルウェア・アーキテクチャー及びアルゴリズムを開示し、適用可能なアルゴリズムは、所定の領域内の位置サービスを使用しているエンティティに基づいて、特定の秘匿制約に合致する空間的な又は一時的な次元に沿って位置情報の解決を調節する旨を記載する（Ａｂｓｔｒａｃｔ）。
【０００５】
下記非特許文献３は、出力摂動によるデータプライバシー確保すること、そのために差分プライバシーの概念を導入する旨を記載する。
【０００６】
下記特許文献１は、プライバシー情報を含むデータを管理するデータ開示装置におけるデータ開示方法において、前記データ管理装置は、１つ以上の属性から構成されるデータを１つ以上保持し、前記データの特定の属性を開示する場合の秘匿性を計算し、前記計算した秘匿性が所望する秘匿性を有しない場合には、前記特定の属性のデータの粒度を変更し、所望の閾値以上の秘匿性を有するようにして前記属性のデータを開示することを記載する（請求項１）。
【０００７】
下記特許文献２は、情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法を記載する（請求項１）。各情報は、属性と属性値からなる１つ以上のペアで格納されており、属性の開示により、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択し、前記選択した属性と、前記選択した属性の属性値を開示することを記載する（請求項１）。
【０００８】
下記特許文献３は、目標の装置の精密な位置情報を希薄化するための方法であって、精密な位置の測定された緯度の弧の値を、直線距離に変換することと、所定の直線精度の直線距離を、調整直線距離値へ丸めることと、調整直線距離値を、調整された緯度の弧の値に変換することと、調整された緯度の弧の値に対応する測定経度直線距離を判断することと、第２の所定の直線精度内の測定経度直線距離を、調整された測定経度直線距離へ丸めることと、調整された測定経度直線距離を、調整された経度の弧の値へ変換することと、調整された緯度の弧の値および調整された経度の弧の値を、要求側エンティティへ伝送することを含む方法を記載する（段落０００８）。
【０００９】
下記特許文献４は、利用者個人のプライバシーに関わるデータを含んだプライバシー情報を用いて利用者に各種のサービスを提供する際に、このプライバシー情報と、それを外部に公開できる条件を記述したプライバシープリファレンスと、をプライバシーカプセルとして一体で管理し、前記プライバシー情報の利用者の利用条件を記述したプライバシーポリシと、前記プライバシープリファレンスと比較して条件を満足する場合に、前記プライバシー情報を前記プライバシーカプセル内で使用することを許可するとともに、前記プライバシー情報を前記プライバシーカプセル外に流出するのを防止することにより、前記プライバシーカプセル外部から前記プライバシー情報を隠蔽するプライバシー情報保護方法を記載する（段落０００８）。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００７−２１９６３６号公報
【特許文献２】特開２００７−２１９６３５号公報
【特許文献３】特開２００９−２７８６３２号公報
【特許文献４】特開２００５−９９９４４号公報
【非特許文献】
【００１１】
【非特許文献１】Toby Xu, Ying Cai, “Exploring Historical Location Data for Anonymity Preservation in Location-based Services”, IEEE INFOCOM 2008, p547-555, April, 15-17, 2008 （ＵＲＬ：http://www.di.unito.it/~matteo/I09/DATA08/W3-1-3.PDFから入手可能）
【非特許文献２】Anonymous Usage of Location-Based Services Through Spatial and Temporal Cloaking, Marco Gruteser and Dirk Grunwald, （ＵＲＬ：http://www.winlab.rutgers.edu/~gruteser/papers/gruteser_anonymous_lbs.pdfから入手可能）
【非特許文献３】鹿島 久嗣、「16章：出力摂動によるデータプライバシーの確保 Chapter 16: Private Data Analysis via Output Perturbation in Aggarwal & Yu (Eds.): Privacy-preserving Data Mining」, The University of Tokyo, Depatment of Mathematical Informatics, 、［online］、（ＵＲＬ： http://www.geocities.jp/kashi_pong/PPDM_chap16.pdfから入手可能）
【発明の概要】
【発明が解決しようとする課題】
【００１２】
Ｖ２Ｘ通信システムから収集されるレコード・データから導出されるトレース・データは、いつ、どこに、どんな車両若しくは搭乗者又はヒトが位置しているか又はどんな行動をしているかについての個人情報を含む。当該個人情報は、例えば消費者の行動又は購買意欲を分析するための情報として又は移動物の環境（例えば道路交通環境）を分析するための情報として、例えば市場又は政策上において大きな価値を生み出しうる。一方、トレース・データは、例えば行動に関する情報（例えばどこに、いつ立ち寄ったかという情報）と関連付きやすい（又は紐付きやすい）。また、車又はヒトの位置情報を匿名化する方法は知られているが、当該方法はトレース・データを保護できない。何故ならば、データ・プロバイダが、個別のトレース・データから個々の車両若しくは搭乗者、又はヒトの振る舞いを特定することができでしまうためである。従って、結果として個人情報保護上の問題が生じやすい。そこで、個人情報保護上の問題を回避するために、一定条件を満足した場合においてのみトレース・データが開示される技法が必要とされている。
【課題を解決するための手段】
【００１３】
本発明は、移動物に関連するトレース・データの開示を制御する方法、並びにそのコンピュータ及びコンピュータ・プログラムを提供する。
【００１４】
特には、本発明は、少なくとも１つのデータ・プロバイダ・システムに接続されたサーバ・コンピュータが上記データ・プロバイダ・システムから提供されたデータの開示を制御する方法を提供する。当該方法は、
第１の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第１のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信するステップと、
第２の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第２のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信するステップであって、上記第２のレコード集合体中にある移動物の識別子は上記第１のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも１つ含む、上記第２のレコードを受信するステップと、
移動物に関連するデータ検索要求の受信に応じて、上記受信した第１及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、上記データ検索要求に対応する移動物に関連するトレース・データを計算するステップと、
一定範囲のＬ個の領域を一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算するステップと、
上記受信した第１及び第２のレコード集合体中の上記同一の識別子を有する移動物が上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返すステップと
を含む。
【００１５】
本発明の１つの実施態様において、上記検索結果として返すステップが、上記受信した第１及び第２のレコード中の上記同一の識別子に関連付けられたポリシーに従って、上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含みうる。また、本発明の１つの実施態様において、上記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、上記検索結果として返すステップが、上記開示回数又は開示先の制約データに従って、上記データ検索要求に対応する移動物に関連する上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含みうる。
【００１６】
本発明の１つの実施態様において、上記検索結果として返すステップが、
第１の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にあり、及び、第２の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にある場合に、上記受信した第１及び第２のレコード集合体中の上記第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、上記受信した第１及び第２のレコード集合体中の上記第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致になるように上記第１の属性値の取り方を制御するステップであって、上記第２の属性値から計算される値は上記第１の属性値から値を求める方法と同じ方法によって計算される、上記制御するステップと
上記制御によって、上記第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致することに応じて、上記データ検索要求に対応する移動物に関連する上記計算されたトレース・データ若しくは当該トレース・データの一部又は上記制御された属性値を検索結果として返すステップと
を含みうる。本発明の１つの実施態様において、上記検索結果として返すステップが、上記受信した第１及び第２のレコード中の上記同一の識別子に関連付けられたポリシーに従って、上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含みうる。また、本発明の１つの実施態様において、上記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、上記検索結果として返すステップが、上記開示回数又は開示先の制約データに従って、上記データ検索要求に対応する移動物に関連する上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含みうる。
【００１７】
本発明の１つの実施態様において、上記検索結果として返すステップが、上記開示回数又は開示先を履歴として記録するステップをさらに含みうる。
【００１８】
本発明の１つの実施態様において、上記ポリシーが、ポリシー・レポジトリから取り出される。本発明の１つの実施態様において、上記ポリシーが、上記移動物又は上記データ・プロバイダ・システムに関連付けられたデータ・オーナーにより設定されうる。
【００１９】
本発明の１つの実施態様において、上記サーバ・コンピュータが、上記受信した第１及び第２のレコード集合体をレコード・レポジトリに格納するステップをさらに含みうる。
【００２０】
本発明の１つの実施態様において、上記計算するステップが、上記データ検索要求に応じて、上記レコード・レポジトリに格納された第１及び第２のレコード集合体からトレース・データを作成するステップをさらに含みうる。
【００２１】
本発明の１つの実施態様において、上記計算するステップが、上記第１及び上記第２のレコード集合体を一つの統合レコード集合体にまとめて、当該統合レコード集合体中の同一の識別子に関連付けられたレコードを時刻データ順にソートするステップをさらに含みうる。
【００２２】
本発明の１つの実施態様において、上記移動物が車である場合に、上記属性値が、車両の識別子、車両の色、車両ナンバー、車種、時刻ｔにおけるスピード、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は、車内外の時刻ｔにおける状態、若しくは搭乗者の時刻ｔにおける状態の少なくとも一つを含みうる。
【００２３】
また、特には、本発明は、少なくとも１つのデータ・プロバイダ・システムに接続されたサーバ・コンピュータが上記データ・プロバイダ・システムから提供されたデータの開示を制御するコンピュータ・プログラムを提供する。当該コンピュータ・プログラムは、サーバ・コンピュータに、上記方法のいずれか一つの態様に記載の各ステップを実行させる。
【００２４】
また、特には、本発明は、少なくとも１つのデータ・プロバイダ・システムに接続されており、上記データ・プロバイダ・システムから提供されたデータの開示を制御するコンピュータを提供する。当該コンピュータは、
第１の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第１のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信し、且つ、第２の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第２のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信する受信部であって、上記第２のレコード集合体中にある移動物の識別子は上記第１のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも１つ含む、上記受信部と、
移動物に関連するデータ検索要求の受信に応じて、上記受信した第１及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、上記データ検索要求に対応する移動物に関連するトレース・データを計算し、及び、一定範囲のＬ個の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算する計算部と、
上記受信した第１及び第２のレコード集合体中の上記同一の識別子を有する移動物が上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返す秘匿部と
を含む。
【発明の効果】
【００２５】
本発明の実施態様に従うと、トレース・データのプライバシー保護が図られる。このことは、Ｖ２Ｘ通信システムの実装において、安全にトレース・データが利用できる基盤の構築を可能にする。
また、特には、本発明の実施態様に従うと、移動物の所有者を包含するデータの権限所有主体（以下、データ・オーナーともいう）によって設定されたポリシーに従ってトレース・データを開示することができる。このことは、データ・オーナーの意思に基づいてトレース・データの開示を可能にし、従って、プライバシーを懸念するデータ・オーナーからのデータ提供を促進することを容易にする。
また、特には、本発明の実施態様に従うと、データ・アグリゲータ・システム毎に、データ開示を制御することが可能になる。このことは、データ利用者に対するアクセス制御及び課金制御の基盤の構築を容易にする。
【図面の簡単な説明】
【００２６】
【図１】本発明の実施形態において使用されうるコンピュータ・ハードウェアの基本的なブロック図を示す。
【図２】本発明の実施態様において使用されうるデータ・プロバイダ・システム、データ・アグリゲータ・コンピュータ、サービス・プロバイダ・コンピュータ、データ・オーナー・サーバ・コンピュータ、及びユーザ端末を示す。
【図３】図１に示すコンピュータ・ハードウェアの機能を有し、本発明の実施態様において使用されうるデータ・アグリゲータ・コンピュータの機能ブロック図を示す。
【図４】本発明の実施態様において使用されうるデータ・プロバイダ・システムが、移動物についての情報をレコード集合体として記録する態様を示す。
【図５】本発明の実施態様において使用されうるレコード集合体の例を示す。
【図６】本発明の実施態様において、範囲ｗを広げることによって、広げた後の範囲ｗｊ内に入る移動物の数が増えること（図６Ａ）、及び、通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって、広げた後の又はずらした後の時間レンジ(sｊ，eｊ)内に入る移動物の数が増えること（図６Ｂ）を示す。
【図７】本発明の実施態様において、レコード集合体の各属性値を使用して集計値を求めるために、各属性値を数値化することを示す表である。
【図８】本発明の実施態様において、データ・アグリゲータ・コンピュータが、集計値に影響がないように属性の取り方を変更することを示す例を示す。
【図９Ａ】本発明の実施態様において、データ・アグリゲータ・コンピュータが、集計値に影響がないことを確認して、トレース・データを開示するためのフローチャートを示す。
【図９Ｂ】本発明の実施態様において、データ・アグリゲータ（２０２）が、集計値が完全に一致することに応じて、トレース・データを開示するための具体例を１及び２示す。
【図１０】本発明の実施態様において、時空間領域をつなげて得られるトレース・データを秘匿化した後に得られる秘匿化後トレース・データとレコード中の属性との関係を示す図である。
【図１１】本発明の実施態様において、個人情報を保護するために使用されうるポリシー設定において使用されうるシステム環境図を示す。
【図１２】本発明の実施態様において、トレース・データの開示を制御するために使用されうるポリシーの例を示す。
【図１３】本発明の実施態様において、データ検索要求において使用されうるシステム環境図を示す。
【図１４】本発明の実施態様において、ポリシーを取得すること、レコード集合体を受信すること、及び、データ検索要求を受信することに応じて、トレース・データを取得し、当該取得したトレース・データを処理（匿名化）して、その処理結果を検索結果として送信することの各フローチャートを示す図である。
【発明を実施するための形態】
【００２７】
本発明の実施形態を、以下に図面に従って説明する。以下の図を通して、特に断らない限り、同一の符号は同一の対象を指す。本発明の実施形態は、本発明の好適な態様を説明するためのものであり、本発明の範囲をここで示すものに限定する意図はないことを理解されたい。
【００２８】
図１は、本発明の実施形態において使用されうるコンピュータ・ハードウェアの基本的なブロック図を示す。
コンピュータ（１０１）は、ＣＰＵ（１０２）とメイン・メモリ（１０３）とを備えており、これらはバス（１０４）に接続されている。ＣＰＵ（１０２）は好ましくは、３２ビット又は６４ビットのアーキテクチャーに基づくものであり、例えば、インテル社のＣｏｒｅ ｉ（商標）シリーズ、Ｃｏｒｅ ２（商標）シリーズ、Ｘｅｏｎ（商標）シリーズ、Ｐｅｎｔｉｕｍ（Intel Corporationの登録商標）シリーズ、Ｃｅｌｅｒｏｎ（Intel Corporation登録商標）シリーズ、Ａｔｏｍ（商標）シリーズ、ＡＭＤ社のＰｈｅｎｏｍ（商標）シリーズ、Ａｔｈｌｏｎ（商標）シリーズ、Ｔｕｒｉｏｎ（商標）シリーズ又はＳｅｍｐｒｏｎ（商標）が使用されうる。バス（１０４）には、ディスプレイ・コントローラ（１０５）を介して、ディスプレイ（１０６）、例えば液晶ディスプレイ（ＬＣＤ）が接続されうる。ディスプレイ（１０６）は、コンピュータの管理のために、通信回線を介してネットワークに接続されたコンピュータについての情報と、そのコンピュータ上で動作中のソフトウェアについての情報を、適当なグラフィック・ユーザ・インタフェースで表示するために使用される。バス（１０４）にはまた、ＳＡＴＡ又はＩＤＥコントローラ（１０７）を介して、記憶装置（１０８）、例えばハードディスク又はソリッド・ステート・ドライブと、ドライブ（１０９）、例えばＣＤ、ＤＶＤ又はＢＤドライブとが接続されうる。バス（１０４）にはさらに、キーボード・マウス・コントローラ（１１０）又はＵＳＢバス（図示せず）を介して、キーボード（１１１）及びマウス（１１２）が接続されうる。
【００２９】
ディスク（１０８）には、オペレーティング・システム、Ｊ２ＥＥなどのＪａｖａ（Sun Microsystemの登録商標）処理環境、Ｊａｖａ（登録商標）アプリケーション、Ｊａｖａ（登録商標）仮想マシン（ＪＶＭ）、Ｊａｖａ（登録商標）実行時（ＪＩＴ）コンパイラを提供するプログラム、その他のプログラム、及びデータが、メイン・メモリにロード可能に記憶されている。
ドライブ（１０９）は、必要に応じて、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ又はＢＤからプログラムをディスク（１０８）にインストールするために使用される。
【００３０】
通信インタフェース（１１４）は、例えばイーサネット（登録商標）・プロトコルに従う。通信インタフェース（１１４）は、通信コントローラ（１１３）を介してバス（１０４）に接続され、コンピュータ（１０１）を通信回線（１１５）に物理的に接続する役割を担い、コンピュータ（１０１）のオペレーティング・システムの通信機能のＴＣＰ／ＩＰ通信プロトコルに対して、ネットワーク・インタフェース層を提供する。なお、通信回線は、有線ＬＡＮ環境、又は例えばＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎなどの無線ＬＡＮ接続規格に基づく無線ＬＡＮ環境であってもよい。
【００３１】
図２は、本発明の実施態様において使用されうるデータ・プロバイダ・システム（以下、「データ・プロバイダ」という）、データ・アグリゲータ・コンピュータ（以下、「データ・アグリゲータ」という）、サービス・プロバイダ・コンピュータ（以下、「サービス・プロバイダ」という）、データ・オーナー・サーバ・コンピュータ（以下、「データ・オーナー・サーバ」という）、及びユーザ端末を示す。
【００３２】
データ・プロバイダ（２０１−１〜２０１−ｎ、ｎは整数である）は、移動物又は移動物に取り付けられた無線機器と通信し、移動物についての情報を取得し又は受信することが可能な装置でありうる。データ・プロバイダ（２０１−１〜２０１−ｎ）は、例えばカメラ／センサであり、例えば道路カメラ／センサでありうる。移動物についての情報は、時空間データを含む。時空間データは、例えば位置ｐｉで時刻ｔｉに観測された移動物についてのレコードであり、移動物又はそれに関連付けられた属性に対する属性値を含む。例えば、上記カメラ／センサは、移動物についての情報、例えば車の場合、例えば車両の識別子、車両の色、車両ナンバー、車種、時刻ｔにおけるスピード（車速）、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は移動物が立ち寄った場所（例えば施設）を検出し又は求めうる。車両の識別子は、例えばＶＩＮ（Vehicle Identification Number）又は車両ナンバーでありうる。ＶＩＮは、例えばＩＳＯ３７７９の場合、（１）先頭の３桁が車両製造会社識別コード（ＷＭＩ: World Manufacturer Identifier）であり、（２）４桁目から７桁目が車種識別コード（ＶＤＳ: Vehicle Descriptor Section）であり、及び（３）末尾８桁が車両個々識別コード（ＶＩＳ: Vehicle Identifier Section）である。または、上記識別子は、車両のナンバープレート上の記号、文字、数字若しくはそれらの組み合わせ、又は車両上に記載された番号（例えば、列車の各車両を特定する番号）でありうる。また、カメラ／センサは、移動物についての画像又は動画を記録しうる。データ・プロバイダ（２０１−１〜２０１−ｎ）は、上記検出した情報を移動物に固有の識別子に関連付けて、レコードとして記録する。識別子は、当該移動物を特定するために使用されうる。また、識別子は、同一の移動物についての複数のレコードを特定するために使用されうる。レコードは、移動物に固有の識別子、時刻ｔ、位置ｐ、及びその他の属性値を有する一単位のデータである。その他の属性値は、移動物に固有の属性値だけでなく、位置ｐ及び時刻ｔにおいて検出される属性値を含む。その他の属性値は、例えば移動物が車両の場合、例えば、車両の色、車両ナンバー、車種、時刻ｔにおけるスピード（車速）、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は移動物が立ち寄った場所（例えば施設）でありうる。データ・プロバイダ（２０１−１〜２０１−ｎ）が複数の移動物（すなわち、異なる識別子を有する）についての情報を検出した場合、データ・プロバイダ（２０１−１〜２０１−ｎ）は各移動物についてのレコードを生成し、当該生成されたレコードを複数のレコードにまとめてレコード集合体としうる（図５を参照）。
【００３３】
また、データ・プロバイダ（２０１−１〜２０１−ｎ）は、移動物（２２１−１〜２２１−ｎ）から送信されるレコードを受信しうる端末でありうる。レコードは、上記に述べたレコードと同じ内容でありうる。レコードは、データ・プロバイダ（２０１−１〜２０１−ｎ）からのレコード送信要求に応じて、又は、自動的に（例えば所定の時間間隔毎に）、データ・プロバイダ（２０１−１〜２０１−ｎ）からデータ・アグリゲータ（２０２）に提供されうる。データ・プロバイダ（２０１−１〜２０１−ｎ）と移動物（２２１−１〜２２１−ｎ）との間の通信は、例えば、車路間（Vehicle to Roadside, Ｖ２Ｒ）及び車外間（Vehicle to Infrastructure, Ｖ２Ｉ）を包含するＶ２Ｘ（vehicle-to-any）通信システムに従い行われうる。
【００３４】
データ・プロバイダ（２０１−１）は、例えば、一定時間中に一定の範囲（「時空間領域」ともいう）を移動中の移動物についての情報を検出し、又は、一定時間中に一定の範囲を移動中の移動物からレコードを受信しうる。また、データ・プロバイダ（２０１−１）がカバーする所定の範囲と、データ・プロバイダ（２０１−１）と異なるデータ・プロバイダ（２０１−２）がカバーする所定の範囲とは重複してもよい。
【００３５】
データ・プロバイダ（２０１−１〜２０１−ｎ）は、有線又は無線ネットワークを介して、データ・アグリゲータ・コンピュータ（２０２）に接続されうる。本発明の実施態様において、少なくとも１つのデータ・プロバイダが使用されうる。
【００３６】
データ・アグリゲータ（２０２）は、データ・プロバイダ（２０１−１〜２０１−ｎ）から、上記レコード又はレコードの集合体を受け取る。データ・プロバイダ（２０１−１〜２０１−ｎ）は、データ・プロバイダ（２０１−１〜２０１−ｎ）からのレコード送信要求に応じて、又は、自動的に（例えば所定の時間間隔毎に）、データ・アグリゲータ（２０２）に送信しうる。データ・アグリゲータ（２０２）は、データ・プロバイダ（２０１−１〜２０１−ｎ）からの上記レコード若しくはレコード集合体、又は複数のレコード集合体をさらにまとめた統合レコード集合体（以下、本明細書において「レコード集合体」という場合、レコード、レコード集合体、又は統合レコード集合体を包含するものとして理解されたい、特許請求の範囲においても同じである）を、データ・アグリゲータ（２０２）からアクセス可能なレコード・レポジトリ（２１１）に格納しうる。
【００３７】
データ・アグリゲータ（２０２）は、サービス・プロバイダ（２０３−１〜２０３−ｎ）の少なくとも１つからのデータ検索要求に応じて、上記レポジトリから上記レコード集合体を取得する。引き続き、データ・アグリゲータ（２０２）は、上記レコード集合体中の同一の識別子に関連付けられた各属性値から、上記データ検索要求に対応する移動物に関連するトレース・データを求めうる。
【００３８】
データ・アグリゲータ（２０２）は、データ検索要求に応じて開示するレコードに関連付けられている移動物において、一定範囲のＬ個（Ｌは１以上の整数）の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)を計算する。ここで、ｓは開始時間（start time）、ｅは終了時間（end time）、及びｊは１，２，・・・，Ｌの整数を示す。そして、データ・アグリゲータ（２０２）は、１又は複数のレコード集合体中の同一の識別子を有する移動物が上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算された求められたデータ又は当該データの一部を検索結果として、データ検索要求を送信したサービス・プロバイダに返す。データ・アグリゲータ（２０２）は、上記求められたデータ又は当該データの一部を、ポリシー・レポジトリ（２１２）から取り出したポリシーに従って、開示制限することが可能である。当該ポリシーは、検索結果を作成するために使用されるデータのデータ・オーナーによって作成されたポリシーでありうる。データ・オーナーは、移動物の所有者若しくは管理者、又は当該移動物の所有者若しくは管理者からデータの管理を委任された者若しくはシステムを包含する。
【００３９】
また、データ・アグリゲータ（２０２）は、第１の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にあり、且つ、第２の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にある場合に、レコード集合体中の第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、上記レコード集合体中の第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が当該第１の値から計算される集計値と完全一致になるように上記第１の属性値の取り方を制御することが可能である。なお、上記第２の属性値から計算される値は、上記第１の属性値から値を求める方法と同じ方法（すなわち、同じ属性を用いて計算する）によって計算される。データ・アグリゲータ（２０２）は、上記のようにして第１の属性値の取り方を制御し、上記第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致することに応じて、上記求められたデータ若しくは当該データの一部又は上記制御された属性値を検索結果として、データ検索要求を送信したサービス・プロバイダに返す。データ・アグリゲータ（２０２）は、上記求められたデータ又は当該データの一部を、ポリシー・レポジトリ（２１２）から取り出したポリシーに従って、開示制限することが可能である。当該ポリシーは、検索結果を作成するために使用されるデータのデータ・オーナーによって作成されたポリシーでありうる。
【００４０】
データ・アグリゲータ（２０２）は、有線又は無線ネットワークを介して、サービス・プロバイダ（２０３−１〜２０３−ｎ）、並びにレコード・レポジトリ（２１１）及びポリシー・レポジトリ（２１２）に接続されうる。データ・アグリゲータ（２０２）は、１つ又は複数のコンピュータからなっていてもよく、又は、サーバ、例えばエンタプライズ・サーバであってもよい。データ・アグリゲータ（２０２）は、データ・プロバイダ（２０１−１〜２０１−ｎ）又はサービス・プロバイダ（２０３−１〜２０３−ｎ）との関係において、サーバでありうる。
【００４１】
データ・アグリゲータ（２０２）は、移動物についてのデータのデータ・オーナーから、当該データ・オーナーの移動物についてのデータの開示を制限するポリシーを受け取る。データ・アグリゲータ（２０２）は、ポリシーを、当該データ・アグリゲータ（２０２）からアクセス可能なポリシー・レポジトリ（２１２）に格納する。また、データ・オーナーは、ユーザ端末（２０４）を介してポリシーの設定又は変更しうる。
【００４２】
サービス・プロバイダ（２０３−１〜２０３−ｎ）は、データ・アグリゲータ（２０２）に対して、データ・プロバイダ（２０１−１〜２０１−ｎ）からのデータ（すなわち、移動物についてのデータ、及び当該データから求められるデータである）検索を要求しうる。サービス・プロバイダ（２０３−１〜２０３−ｎ）は、データ検索の要求を例えばＳＱＬ規格に従い要求しうる。データ検索要求者（リクエスターともいう）は、サービス・プロバイダ（２０３−１〜２０３−ｎ）上で、又はサービス・プロバイダ（２０３−１〜２０３−ｎ）に接続されたユーザ端末（２０４）を通じて、データ・プロバイダ（２０１−１〜２０１−ｎ）からのデータ検索を要求しうる。データ検索要求者は、例えば、グラフィカル・ユーザ・インターフェス（ＧＵＩ）を介して、要求するデータの条件又は条件式を入力しうる。
【００４３】
ユーザ端末（２０４）は、データ・オーナーが、上記ポリシーを設定し又は変更するために使用されうる。また、ユーザ端末（２０４）は、データ検索要求者が移動物についてのデータを要求するために使用されうる。なお、データ・オーナーが使用するユーザ端末とデータ検索要求者が使用するユーザ端末が、同一である必要はない。
【００４４】
ユーザ端末（２０４）は、有線又は無線ネットワークを介して、データ・アグリゲータ（２０２）に接続されうる。
【００４５】
ユーザ端末（２０４）は、コンピュータ、パーソナル・デジタル・アシスタント、携帯電話、スマートフォン、及びゲーム機器を包含する。
【００４６】
移動物（２２１−１〜２２１−ｎ）は、例えば車両であり、車両は、例えば業種で分類すると建設車両、農業車両、産業車両、鉄道車両、又は軍用車両を包含し、さらに、例えば日本の道路交通法上でいう自動車、原動機付き自転車、軽車両又はトローリバスを包含する。移動物（２２１−１〜２２１−ｎ）は、また、航空機でありうる。また、移動物（２２１−１〜２２１−ｎ）は、ヒト又はその他の動物でありうる。
【００４７】
移動物（２２１−１〜２２１−ｎ）は、当該移動物を唯一に特定するための識別子を有する。識別子は、当該移動物を特定するために使用されうる。また、識別子は、同一の移動物についての複数のレコードを特定するために使用されうる。移動物が車両の場合、例えば、上記に述べたＶＩＮ、ナンバープレート上の記号、文字、数字又はそれらの組み合わせ、又は車両上に記載された番号でありうる。また、識別子は、移動物がヒト又はその他の動物である場合、ヒト又は動物に装着された電子機器（例えば、時計、腕輪）に固有の識別子でありうる。
【００４８】
本発明は、種々の移動物に適用可能であり、また、種々の場面において移動物に関連するトレース・データの開示を制限するために使用されうる。例えば、運送、輸送若しくは駐車場における車両又はヒト（移動物である）の管理、作業現場における車両又はヒト（移動物である）の管理、ビルにおけるヒト（移動物である）の管理において、必要なトレース・データを取得する際に、個人情報が保護されるように、本発明が適用されうる。
【００４９】
図３は、図１に示すコンピュータ・ハードウェアの機能を有し、本発明の実施態様において使用されうるデータ・アグリゲータ（２０２）の機能ブロック図を示す。
データ・アグリゲータ（２０２）は、レコード／ポリシー受信部（３０１）、検索要求受信／検索結果送信部（３０２）、計算部（３０３）及び秘匿部（３０４）を備えている。
【００５０】
レコード／ポリシー受信部（３０１）は、少なくとも１つのデータ・プロバイダ（２０１−１〜２０１−ｎ）から、レコード集合体を受け取り、当該受け取ったレコード集合体をレコード・レポジトリ（２１１）に格納する。レコード／ポリシー受信部（３０１）は、異なるデータ・プロバイダから、異なるレコード集合体（例えば、第１のレコード集合体及び第２のレコード集合体）を受け取り、又は、同じデータ・プロバイダから、異なるレコード集合体（例えば、第１のレコード集合体及び第２のレコード集合体）を受け取ってもよい。
【００５１】
また、レコード／ポリシー受信部（３０１）は、ユーザ端末（２０４）からポリシーを受け取り、当該受け取ったポリシーをポリシー・レポジトリ（２１２）に格納する。ユーザ端末（２０４）は、移動物のデータ・オーナーに関連付けている。
【００５２】
検索要求受信／検索結果送信部（３０２）は、サービス・プロバイダ（２０３−１〜２０３−ｎ）の少なくとも１つから、移動物に関連するデータ検索要求を受信する。検索要求受信／検索結果送信部（３０２）は、当該受信したデータ検索要求を計算部（３０３）に渡す。また、検索要求受信／検索結果送信部（３０２）は、秘匿部（３０４）からの検索結果を、データ検索要求を送信したサービス・プロバイダ（２０３−１〜２０３−ｎ）に送信する。
【００５３】
計算部（３０３）は、検索要求受信／検索結果送信部（３０２）から、移動物に関連するデータ検索要求を受け取る。当該データ検索要求を受け取ることに応じて、計算部（３０３）は、当該データ検索要求を構文解析し、当該構文解析の結果に応じて、当該データ検索要求に必要とされうるレコード集合体をレコード・レポジトリ（２１１）から取得する。計算部（３０３）は、例えば、第１のレコード集合体及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、データ検索要求に対応する移動物に関連するトレース・データを計算する。
【００５４】
計算部（３０３）は、データ検索要求に応じて開示するレコードに関連付けられている移動物において、一定範囲のＬ個（Ｌは１以上の整数）の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)を計算する。そして、計算部（３０３）は当該計算結果を秘匿部（３０４）に渡し、秘匿部（３０４）は、１又は複数のレコード集合体中の同一の識別子を有する移動物が上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算されたトレース・データ又は当該トレース・データの一部を、検索結果として検索要求受信／検索結果送信部（３０２）に渡す。本明細書において、秘匿部（３０４）の上記処理を秘匿化という。検索要求受信／検索結果送信部（３０２）は、データ検索要求を送信したサービス・プロバイダ・コンピュータに、上記検索結果を返す。また、秘匿部（３０４）は、上記計算されたトレース・データ又は当該トレース・データの一部を、ポリシー・レポジトリ（２１２）から取り出したポリシーに従って、開示制限することが可能である。当該ポリシーは、１又は複数のレコード集合体中の同一の識別子を有する移動物に関連付けられたポリシーでありうる。
【００５５】
秘匿部（３０４）は、第１の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にあり、及び、第２の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にある場合に、１又は複数のレコード集合体中の上記第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、上記１又は複数のレコード集合体中の上記第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致になるように上記第１の属性値の取り方を制御する。なお、上記第２の属性値から計算される値は、上記第１の属性値から値を求める方法と同じ方法によって計算される。そして、秘匿部（３０４）は、上記制御によって、上記第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致することに応じて、上記データ検索要求に対応する移動物に関連する上記計算されたトレース・データ若しくは当該トレース・データの一部又は上記制御された属性値を、検索結果として検索要求受信／検索結果送信部（３０２）に渡す。本明細書において、秘匿部（３０４）の上記処理もまた秘匿化という。検索要求受信／検索結果送信部（３０２）は、データ検索要求を送信したサービス・プロバイダ・コンピュータに、上記検索結果を返す。また、秘匿部（３０４）は、上記１又は複数のレコード集合体中の上記同一の識別子に関連付けられたポリシーに従って、上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する。当該ポリシーは、１又は複数のレコード集合体中の同一の識別子を有する移動物に関連付けられたポリシーでありうる。
【００５６】
図４は、本発明の実施態様において使用されうるデータ・プロバイダ（２０１−１〜２０１−３）が、移動物（４２１〜４２３）についての情報を収集してレコード集合体として記録し、又は、移動物から送信されるレコード集合体を受信して記録する態様を示す。
データ・プロバイダ（２０１−１）は、時空間領域（４１１及び４１２）の移動物からの情報を受け取る。データ・プロバイダ（２０１−２）は、時空間領域（４１３）の移動物からの情報を受け取る。データ・プロバイダ（２０１−３）は、時空間領域（４１４及び４１５）の移動物からの情報を受け取る。
時空間領域（４１１、４１２、４１３、４１４及び４１５）の領域はそれぞれ、例えば、東京、銀座、品川、新宿、及び池袋であるとする。また、時空間領域（４１１）の時間幅は９時〜１１時であり、時空間領域（４１２）の時間幅は１１〜１３時であり、時空間領域（４１３）の時間幅は１３〜１５時であり、時空間領域（４１４）の時間幅は１５〜１７時であり、及び時空間領域（４１５）の時間幅は１７〜１９時であるとする。
【００５７】
移動物（４２１）を２０代男性が運転しており、その識別子はＸＸＸＸであり、車両の色は赤色、車種は貨物車であるとする。移動物（４２１）は、東京、銀座、品川、新宿、及び池袋の地域を走行しているとする。
移動物（４２２）を５０代男性が運転しており、その識別子はＹＹＹＹＹであり、車両の色は茶色、車種はトラックであるとする。移動物（４２２）は、東京、銀座、品川、新宿、及び池袋の地域を走行しているとする。
移動物（４２３）を３０代女性が運転しており、その識別子はＺＺＺＺＺであり、車両の色は白色、車種はセダンであるとする。移動物（４２３）は、東京、銀座、品川、新宿、及び池袋の地域を走行しているとする。
【００５８】
移動物（４２１）は、時刻ｔ１において位置ｐ１（時空間領域（４１１）に属する）を時速４５ｋｍ／時間で走行しているとする。
移動物（４２２）は、時刻ｔ２において位置ｐ２（時空間領域（４１１）に属する）を時速５５ｋｍ／時間で走行しているとする。
移動物（４２３）は、時刻ｔ３において位置ｐ３（時空間領域（４１１）に属する）を時速５０ｋｍ／時間で走行しているとする。
【００５９】
データ・プロバイダ（２０１−１）は、移動物（４２１）から、識別子ＸＸＸＸＸ、時刻ｔ１、位置ｐ１、車両の色（赤色）、車種（貨物車）、車速（４５ｋｍ／時間）及び２０代男性というレコード１を受け取る。
データ・プロバイダ（２０１−１）は、移動物（４２２）から、識別子ＹＹＹＹＹ、時刻ｔ２、位置ｐ２、車両の色（茶色）、車種（トラック）、車速（５５ｋｍ／時間）、及び５０代男性というレコード２を受け取る。
データ・プロバイダ（２０１−１）は、移動物（４２３）から、識別子ＺＺＺＺＺ、時刻ｔ３、位置ｐ３、車両の色（白色）、車種（セダン）、車速（５０ｋｍ／時間）及び３０代女性というレコード３を受け取る。
【００６０】
データ・プロバイダ（２０１−１）は、レコード１〜３をレコード集合体１としてまとめる。レコード集合体１の例を図５に示す（５０１）。レコード集合体１（５０１）は、レコード１（５１１）、レコード（５１２）及びレコード３（５１３）を含む。データ・プロバイダ（２０１−１）は、レコード集合体１（５０１）をデータ・アグリゲータ（２０２）に送信する。なお、データ・プロバイダ（２０１−１）は、レコード集合体１の代わりにレコード１〜３それぞれをデータ・アグリゲータ（２０２）に送信してもよい。レコード１〜３それぞれがデータ・アグリゲータ（２０２）に送信された場合には、データ・アグリゲータ（２０２）がレコード１〜３をレコード集合体１（５０１）としてまとめうる。データ・アグリゲータ（２０２）は、レコード集合体１（５０１）をレコード・レポジトリ（２１１）に格納しうる。
【００６１】
また、移動物（４２１）は、時刻ｔ４において位置ｐ４（時空間領域（４１２）に属する）を時速５０ｋｍ／時間で走行しているとする。
また、移動物（４２２）は、時刻ｔ５において位置ｐ５（時空間領域（４１２）に属する）を時速５５ｋｍ／時間で走行しているとする。
また、移動物（４２３）は、時刻ｔ６において位置ｐ６（時空間領域（４１２）に属する）を時速６０ｋｍ／時間で走行しているとする。
【００６２】
データ・プロバイダ（２０１−１）は、移動物（４２１）から、識別子ＸＸＸＸＸ、時刻ｔ４、位置ｐ４、車両の色（赤色）、車種（貨物車）、車速（５０ｋｍ／時間）及び２０代男性というレコード４を受け取る。
データ・プロバイダ（２０１−１）は、移動物（４２２）から、識別子ＹＹＹＹＹ、時刻ｔ５、位置ｐ５、車両の色（茶色）、車種（トラック）、車速（５５ｋｍ／時間）及び５０代男性というレコード５を受け取る。
データ・プロバイダ（２０１−１）は、移動物（４２３）から、識別子ＺＺＺＺＺ、時刻ｔ６、位置ｐ６、車両の色（白色）、車種（セダン）、車速（６０ｋｍ／時間）及び３０代女性というレコード６を受け取る。
【００６３】
データ・プロバイダ（２０１−１）は、レコード４〜６をレコード集合体２としてまとめる。データ・プロバイダ（２０１−１）は、レコード集合体２をデータ・アグリゲータ（２０２）に送信する。なお、データ・プロバイダ（２０１−１）は、レコード集合体２の代わりにレコード４〜６それぞれをデータ・アグリゲータ（２０２）に送信してもよい。レコード４〜６それぞれがデータ・アグリゲータ（２０２）に送信された場合には、データ・アグリゲータ（２０２）がレコード４〜６をレコード集合体２としてまとめうる。データ・アグリゲータ（２０２）は、レコード集合体２をレコード・レポジトリ（２１１）に格納しうる。
【００６４】
また、データ・プロバイダ（２０１−１）は、レコード集合体１とレコード集合体２それぞれに同じ識別子を有するレコードが存在していることから、レコード集合体１とレコード集合体２とをまとめて、統合レコード集合体Ａとすることができる。統合レコード集合体Ａの例を図５に示す（５０２）。統合レコード集合体Ａ（５０２）では、識別子を第１キー、時刻ｔを第２キーとして各レコード（５２１〜５２６）がソートされているが、ソートは必ずしも必要でない。
【００６５】
移動物（４２１、４２２及び４２３）それぞれが時空間領域（４１３）を通過した場合の各レコード集合体は、データ・プロバイダ（２０１−２）からデータ・アグリゲータ（２０２）に送信される。同様に、移動物（４２１、４２２及び４２３）それぞれが時空間領域（４１４）及び時空間領域（４１５）を通過した場合の各レコード集合体も、データ・プロバイダ（２０１−３）からデータ・アグリゲータ（２０２）に送信される。
【００６６】
データ・アグリゲータ（２０２）は、データ検索要求に応じて、識別子ＸＸＸＸＸについてのレコードをレコード・レポジトリ（２１１）から取得しうる。データ・アグリゲータ（２０２）は、識別子ＸＸＸＸＸを含む識別子として含む複数のレコードを関連付ける。当該関連付けによって、データ・アグリゲータ（２０２）は、識別子ＸＸＸＸＸから特定される移動物（４２１）が、いつ、どこで、どのように移動したかについての情報に加えて、移動物（４２１）に関連付けられた個人情報、例えば、車両の色（赤）、車種（貨物車）、運転者の年代（２０代）、及び性別（男）などを知ることができる。
【００６７】
同様に、データ・アグリゲータ（２０２）は、データ検索要求に応じて、識別子ＹＹＹＹＹについてのレコードをレコード・レポジトリ（２１１）から取得しうる。データ・アグリゲータ（２０２）は、識別子ＹＹＹＹＹを含む識別子として含む複数のレコードを関連付ける。当該関連付けによって、データ・アグリゲータ（２０２）は、識別子ＹＹＹＹＹから特定される移動物（４２２）が、いつ、どこで、どのように移動したかについての情報に加えて、移動物（４２２）に関連付けられた個人情報、例えば、車両の色（茶）、車種（トラック）、運転者の年代（５０代）、及び性別（男）などを知ることができる。
【００６８】
同様に、データ・アグリゲータ（２０２）は、データ検索要求に応じて、識別子ＺＺＺＺＺについてのレコードをレコード・レポジトリ（２１１）から取得しうる。データ・アグリゲータ（２０２）は、識別子ＺＺＺＺＺを含む識別子として含む複数のレコードを関連付ける。当該関連付けによって、データ・アグリゲータ（２０２）は、識別子ＺＺＺＺＺから特定される移動物（４２３）が、いつ、どこで、どのように移動したかについての情報に加えて、移動物（４２３）に関連付けられた個人情報、例えば、車両の色（白）、車種（セダン）、運転者の年代（３０代）、及び性別（女）などを知ることができる。
【００６９】
上記のようにして、データ・アグリゲータ（２０２）は、車両の色、車種、運転者の年代、及び性別などを知ることができる。上記に示した例の場合、車両の色、車種、運転手の年代、又は性別であることのいずれかのデータが開示されることによって、移動物（４２１）、移動物（４２２）及び移動物（４２３）のいずれのデータであるかが特定されてしまう。このことは個人情報の漏洩につながり、個人情報保護の観点から問題である。
【００７０】
そこで、本願発明の実施態様に従うと、個人情報の保護を図るために、データ・アグリゲータ（２０２）は、以下の処理を行う。すなわち、データ検索要求に応じて開示するレコードに関連付けられている移動物において、一定範囲のＬ個（Ｌは１以上の整数）の領域を、一定時間以内に通過するという条件を満たす移動物がｋ個（ｋは２以上の整数）以上存在するように、Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ, eｊ)（sｊは通過時間の開始時間であり、eｊは通過時間の終了時間であり、及びｊは１，２，・・・，Ｌの整数である）を計算する。
【００７１】
図４の例では、５個の時空間領域（４１１〜４１５）がある。そこで、時空間領域（４１１〜４１５）ごとに、一定時間以内に通過するという条件を満たす移動物がｋ個（ｋは２以上の整数）以上存在するように、当該時空間領域の範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ, eｊ)を計算する。範囲ｗを広げることによって、広げた後の範囲ｗｊ内に入る移動物の数が増える（以下の図６Ａを参照）。また、通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって、広げた後の又はずらした後の時間レンジ(sｊ, eｊ)内に入る移動物の数が増える（以下の図６Ｂを参照）。また、範囲ｗを広げ且つ通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって、広げた後の範囲ｗｊ及び広げた後の又はずらした後の通過時間レンジ(sｊ, eｊ)内に入る移動物の数が増える。
【００７２】
図５は、本発明の実施態様において使用されうるレコード集合体の例を示す。
レコード集合体（５０１及び５０２）は各レコードを含む。レコードは一単位のデータであり、各レコードは、移動物の識別子、及び当該識別子に関連付けられた各属性値を有する。各属性値は、時刻ｔ及び位置ｐという時空間を決めるための属性値に加えて、時刻ｔ及び位置ｐにおける移動物に関する各属性についての属性値を含む。
【００７３】
図６Ａは、本発明の実施態様において、範囲ｗを広げることによって、広げた後の範囲ｗｊ内に入る移動物の数が増えることを示す。
範囲ｗを広げる前に、時空間領域（４１１）にある移動物は４２１、４２２及び４２３で示される３台である。一方、時空間領域（４１１）の範囲ｗを広げることによって（６１１、ｗｊ）、移動物は４２１、４２２及び４２３で示される３台に加えて、６２１、６２２及び６２３で示される３台を加えた合計６台になる。従って、当該範囲ｗｊ内に、移動物（４２１）に関連付けられた属性値、例えば車種（貨物車）を有する移動物が複数台存在（４２１、６２１、６２２及び６２３）することによって、移動物（４２１）が属性値（貨物車）が公開された場合であっても、当該公開された属性値（貨物車）から移動物（４２１）が特定されることがなくなる。言い換えれば、移動物（４２１、６２１、６２２及び６２３）は、同一の振る舞いと、同一の属性値（貨物車）を持つ車であるとして開示される。従って、移動物（４２１）の属性値（貨物車）が公開された場合であっても、移動物（４２１）のデータ・オーナーの個人情報の保護が図られる。
【００７４】
図６Ｂは、本発明の実施態様において、通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって、広げた後の又はずらした後の時間レンジ(sｊ，eｊ)内に入る移動物の数が増えることを示す。
通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらす前に、時空間領域（４１１）にある移動物は４２１、４２２及び４２３で示される３台である。一方、通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって（６１２）、移動物は４２１、４２２及び４２３で示される３台に加えて、６３１、６３２及び６３３で示される３台を加えた合計６台になる。従って、広げた後の又はずらした後の時間レンジ(sｊ，eｊ)内に、移動物（４２１）に関連付けられた属性値、例えば車種（貨物車）を有する移動物が複数台存在（４２１、６３１、６３２及び６３３）することによって、移動物（４２１）が属性値（貨物車）公開された場合であっても、当該公開された属性値（貨物車）から移動物（４２１）が特定されることがなくなる。言い換えれば、移動物（４２１、６３１、６３２及び６３３）は、同一の振る舞いと、同一の属性値（貨物車）を持つ車であるとして開示される。従って、移動物（４２１）の属性値（貨物車）が公開された場合であっても、移動物（４２１）のデータ・オーナーの個人情報の保護が図られる。
【００７５】
図７は、本発明の実施態様において使用されるレコードにおいて、各属性値を使用して集計値を求めるために、各属性値を数値に変換する態様を示す。
各属性値を使用して求められる集計値は、集計値を開示してよいかどうかを判断するために使用される。具体的には、秘匿部（３０４）は、第１の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レン(sｊ，eｊ)にあり、且つ、第２の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にある場合に、レコード集合体中の第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、上記レコード集合体中の第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が当該第１の値から計算される集計値と完全一致になるように上記第１の属性値の取り方を制御することが可能である。
【００７６】
以下に、図７のレコード集合体（７０１）を例にして、上記第１の属性値の取り方を説明する。
【００７７】
レコード集合体（７０１）は、図５のレコード集合体（５０１）のレコード（５１１〜５１３）と同一のレコード（７２１〜７２３）を含む。また、レコード集合体（７０１）は、レコード（７２１〜７２３）に加えて、レコード（７２４及び７２５）を含む。なお、時刻ｔ１〜ｔ５及び位置ｐ１〜ｐ５は１つのデータ・プロバイダが検出する１つの時空間領域内（例えば、図４の４１１）にあるとする。
【００７８】
データ・アグリゲータ（２０２）の計算部（３０３）は、属性値を所定のルールに従い数値化する。属性「時刻」の属性値は、例えば、シリアル値に変換されうる。属性「位置」の属性値は、例えばdegree度分秒表示に変換されうる。属性「色」の属性値は、例えば色コードに変換されうる。属性「車速」の属性値は、数値であるので変更されなくてもよく、又は、「０〜１０ｋｍ未満／時間」を１、「１０〜２０ｋｍ未満／時間」を２、「２０〜３０ｋｍ未満／時間」を３、「３０〜４０ｋｍ未満／時間」を４、「４０〜５０ｋｍ未満／時間」を５、（以降、同様）のように数値化されてもよい。属性「運転者」は、例えば、年代（数値）と男（数値「１」とする）又は女（数値「０」とする）との各数値が組み合わされた属性値に変換されうる。その結果のレコード集合体が図７の７０２に示されている。
【００７９】
計算部（３０３）は、レコード集合体（７０２）のレコード（７３１、７３２及び７３３）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、所定の関数にこれら属性値を代入して集計値（第１の集計値）を計算するとする。
一方、計算部（３０３）は、レコード（７３１、７３２及び７３３）のうち、レコード（７３１）の属性値をレコード（７３２）の属性値の全てと入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３２、７３２及び７３３）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第２の集計値）を計算する。そうすると、第１の集計値と第２の集計値とは一致しない。従って、レコード（７３１）の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することは、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながる。
【００８０】
同様に、計算部（３０３）は、レコード（７３１、７３２及び７３３）のうち、レコード（７３１）の属性値をレコード（７３３）の属性値の全てと入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３３、７３２及び７３３）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第３の集計値）を計算する。そうすると、第１の集計値と第３の集計値とは一致しない。従って、レコード（７３１）の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することは、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながる。
【００８１】
従って、レコード（７３１〜７３３）しかない場合、レコード（７３１）の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することはできない。同様に、レコード（７３２）又はレコード（７３３）の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することはできない。
【００８２】
そこで、本発明の１つの実施態様では、以下の処理を行う。計算部（３０３）は、例えば、レコード（７３１、７３２、７３３及び７３４）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、所定の関数にこれら属性値を代入して集計値（第４の集計値）を計算するとする。
一方、計算部（３０３）は、レコード（７３１、７３２、７３３及び７３４）のうち、レコード（７３１）の属性１〜４の属性値全てをレコード（７３４）の属性１〜４の属性値と入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３４、７３２、７３３及び７３４）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第５の集計値）を計算する。そうすると、レコード（７３１）の属性１〜属性４の各値は、レコード（７３４）の属性１〜属性４の各値と同じであることから、レコード（７３１）の属性１〜４の各属性値全てをレコード（７３４）の属性１〜４の各属性値と入れ替えたとしても、第５の集計値は第４の集計値と完全に一致する。すなわち、レコード（７３１）の属性１〜４の各属性値全てをレコード（７３４）の属性１〜４の各属性値と入れ替えたとしても、集計値は影響されない。従って、レコード（７３１）の識別子によって特定される各属性値１〜４、又は当該属性値１〜４から求められるデータを公開したとしても、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながらない。計算部（３０３）は、上記のようにして、集計値として使用するレコードを集計値が同じになるように取捨選択することによって、公開可能なレコード及びその属性を決定することが可能である。
【００８３】
次に、計算部（３０３）は、例えば、レコード（７３１、７３２、７３３及び７３５）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、所定の関数にこれら属性値を代入して集計値（第６の集計値）を計算するとする。
一方、計算部（３０３）は、レコード（７３１、７３２、７３３及び７３５）のうち、レコード（７３１）の属性１〜４の属性値全てをレコード（７３５）の属性１〜４の属性値と入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３４、７３２、７３３及び７３５）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第７の集計値）を計算する。そうすると、レコード（７３５）の属性１の値（#ffffff）は、レコード（７３１）の属性１の値（#ff0000）と異なることから、レコード（７３１）の属性１〜４の各属性値全てをレコード（７３５）の属性１〜４の各属性値と入れ替えた場合には、第７の集計値は第６の集計値と完全に一致しない。すなわち、レコード（７３１）の属性１〜４の各属性値全てをレコード（７３５）の属性１〜４の各属性値と入れ替えた場合には、集計値が影響される。従って、レコード（７３１）の識別子によって特定される属性値（例えば属性１）を公開すると、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながらない。
【００８４】
そこで、本発明の他の実施態様では、以下の処理を行う。計算部（３０３）は、レコード（７３１、７３２、７３３及び７３５）のうち、レコード（７３１）の属性１を除く属性２〜４の属性値全てをレコード（７３５）の属性１を除く属性２〜４の属性値と入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３５、７３２、７３３及び７３５）について、属性１（色）を除く、属性２（車種）、属性３（車速）及び属性４（運転者）の３つの各属性値から、所定の関数にこれら属性値を代入して集計値（第８の集計値）を計算する。そうすると、レコード（７３５）の属性２〜属性４の各値は、レコード（７３１）の属性２〜属性４の各値と全て同じであることから、レコード（７３１）の属性２〜４の各属性値全てをレコード（７３５）の属性２〜４の各属性値と入れ替えたとしても、第８の集計値は第７の集計値と完全に一致する。すなわち、レコード（７３１）の属性２〜４の各属性値全てをレコード（７３５）の属性２〜４の各属性値と入れ替えたとしても、集計値は影響されない。従って、レコード（７３１）の識別子によって特定される各属性値２〜４、又は当該属性値２〜４から求められるデータを公開したとしても、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながらない。計算部（３０３）は、上記のようにして、集計値として使用する属性を集計値が同じになるように取捨選択することによって、公開可能なレコード及びその属性を決定することが可能である。
【００８５】
図８は、本発明の実施態様において、データ・アグリゲータ（２０２）が、集計値に影響がないように属性の取り方を変更することを示す例を示す。
移動物Ａ〜Ｄの各識別子に、属性１〜４についての各属性値が関連付けられている（８０１〜８０４）。属性１〜４の各属性値は、便宜的に記号○、△及び□のいずれかで示されている。移動物Ａの属性１〜４の各属性値は○○○○であり、移動物Ｂの属性１〜４の各属性値は○○△○であり、移動物Ｃの属性１〜４の各属性値は○□△○であり、及び、移動物Ｄの属性１〜４の各属性値は○□○○である。
【００８６】
計算部（３０３）は、移動物Ａ〜Ｄそれぞれの４つの各属性値から、所定の関数にこれら属性値を代入して集計値（第１の集計値）を計算するとする（８０１）。次に、計算部（３０３）は、移動物Ａの属性値全てを移動物Ｄの属性値と入れ替えたとする（８０２）。すなわち、計算部（３０３）は、移動物Ｄ、Ｂ、Ｃ及びＤそれぞれの４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第２の集計値）を計算するとする。移動物Ｄの属性２の属性値□と、移動物Ａの属性２の属性値○は異なる。従って、第２の集計値は、第１の集計値と一致しない。従って、移動物Ａによって特定される属性値又は当該属性値から求められるデータ（すなわち、トレース・データ）を公開することは、移動物Ａの識別子によって特定されるデータ・オーナーの個人情報を開示することにつながる。
【００８７】
そこで、本発明の１つの実施態様では、以下の処理を行う。計算部（３０３）は、移動物Ａ〜Ｄそれぞれの属性１〜４のうち、属性２を除く属性１及び３〜４の属性値を選択して、所定の関数にこれら選択した属性値を代入して集計値（第３の集計値）を計算するとする（８１１）。次に、移動物Ａの属性２を除く属性１及び３〜４の属性値全てを移動物Ｄの属性２を除く属性１及び３〜４の属性値と入れ替えたとする（８１２）。すなわち、計算部（３０３）は、移動物Ｄ、Ｂ、Ｃ及びＤそれぞれの３つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第４の集計値）を計算するとする。移動物Ｄの属性１及び属性３〜４の各属性値は、移動物Ａの属性１及び属性３〜４の各属性値と同じである。従って、第４の集計値は、第３の集計値と完全に一致する。すなわち、移動物Ａの属性１及び２〜４の各属性値全てを移動物Ｄの属性１及び３〜４の各属性値と入れ替えたとしても、集計値（すなわち、第３の集計値及び第４の集計値）は影響されない。従って、移動物Ａの識別子によって特定される各属性値１及び３〜４又は当該属性値１及び３〜４から求められるデータ（すなわち、トレース・データ）を公開したとしても、移動物Ａの識別子によって特定されるデータ・オーナーの個人情報を開示することにつながらない。上記のようにして、計算部（３０３）は、属性値の取り方を集計値が完全に一致するように制御することによって（言い換えれば、集計のために利用する属性値を集計値が完全に一致するように選択することによって）、公開可能なトレース・データを決定することが可能である。
【００８８】
図９Ａは、本発明の実施態様において、データ・アグリゲータ（２０２）が、集計値に影響がないことを確認して、トレース・データを開示するためのフローチャートを示す。
ステップ９０１では、計算部（３０３）は、移動物（例えば、Ａ、Ｂ及びＣ）の各識別子を含むレコードからの属性値から集計値（ＡＶ１）を求める。
ステップ９０２では、計算部（３０３）は、移動物（例えば、Ａ、Ｂ及びＣ）のうち、移動物Ａの識別子を含むレコードの属性値を移動物Ｂ又はＣの識別子を含むレコードの属性値全てと入れ替えて、ステップ９０１で集計値を求めた同じ方法（例えば、所定の関数）に従い集計値（ＡＶ２）を求める。
ステップ９０３では、計算部（３０３）は、集計値（ＡＶ１）と集計値（ＡＶ２）とを比較し、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致するかどうかを判断する。集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致する場合には、ステップ９０４に進み、一方、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致しない場合には、ステップ９０２に戻る。
ステップ９０４では、秘匿部（３０４）は、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致することに応じて、移動物（Ａ）の属性値（固有データでもある）の影響が集計値から求められないと判断する。
一方、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致しないことに応じて、秘匿部（３０４）は、ステップ９０２の処理に戻り、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致するように、例えば、移動物の識別子を含むレコードからの属性値を変更したり、移動物（Ａ）の属性値を入れ替える移動物を他の移動物に変更して、属性値を変更したり、又は移動物を入れ替えたり若しくは増減することによって属性値を変更する。そして、処理は、再度ステップ９０３に戻り、計算部（３０３）は、集計値（ＡＶ１）と集計値（ＡＶ２）とを比較する。なお、属性値を変更することによって、開示可能なトレース・データが減少しうる場合がある。
【００８９】
図９Ｂは、本発明の実施態様において、データ・アグリゲータ（２０２）が、集計値が完全に一致することに応じて、トレース・データを開示するための具体例１及び２を示す。
具体例１は、移動物に関連するトレース・データの集計値として、６０歳未満というデータを開示してよいかという条件１（「６０歳未満か否か」）に従って、開示してよいトレース・データを調べる例である。移動物の数についての閾値ｋは３であるとする。
具体例２は、移動物に関連するトレース・データの集計値として、４０歳未満というデータを開示してよいかという条件２（「４０歳未満か否か」）に従って、開示してよいトレース・データかを調べる例である。移動物の数についての閾値ｋは３であるとする。
【００９０】
ステップ９１１において、計算部（３０３）は、３つの移動物Ａ、Ｂ及びＣの各識別子をそれぞれ含むレコードの属性値を使用して、トレース・データＡ、Ｂ及びＣをそれぞれ求める。その結果、トレース・データＡは、Ａ：Ｆ１：50km/h，Ｆ２：45km/h，Ｆ３：30km/h，属性値：２０代男、であり、トレース・データＢは、Ｂ：Ｆ１:50km/h，Ｆ２：45km/h，Ｆ３：30km/h，属性値：３０代女、であり、及びトレース・データＣは、Ｃ：Ｆ１:50km/h，Ｆ２：45km/h，Ｆ３：30km/h，属性値：４０代男、であるとする。
トレース・データＡ、Ｂ及びＣにおいて、３つの時空間領域Ｆ１、Ｆ２及びＦ３と、各時空間領域に関連付けられた属性（平均速度）の属性値（Ｆ１：50km/h，Ｆ２：45km/h，Ｆ３：30km/h）は全て一致するように選択されている。従って、トレース・データＡ、Ｂ及びＣにおいて、時空間領域Ｆ１、Ｆ２及びＦ３と、各時空間領域に関連付けられた属性（平均速度）を見るだけでは、移動物Ａ、Ｂ及びＣは全く同じであり区別できない。従って、閾値ｋが３であるという匿名性は満たされている。
しかしながら、トレース・データＡ、Ｂ及びＣの各属性（世代、年代）を見ると、２０代男、３０代女性及び４０代男であるので、当該属性（世代、年代）から、移動物Ａ、Ｂ及びＣは特定可能である。従って、当該属性（世代、年代）を開示してしまうと、移動物Ａ、Ｂ及びＣは特定されてしまう。従って、閾値ｋが３であるという匿名性は満たされていない。
一方、属性（世代、年代）を直接ではなく、上記具体例１及び２に挙げたように、属性値の取り方を制御する集計処理をすることによって、トレース・データＡ、Ｂ及びＣを開示できる可能性がある。
【００９１】
以下に具体例１について、説明する。
ステップ９１２において、計算部（３０３）は、トレース・データＡ、Ｂ及びＣから集計値ＡＶを計算する。ステップ９１２では、条件１（「６０歳未満か否か」）は満たされている。
ステップ９１３において、計算部（３０３）は、トレース・データＡの属性値（２０代男）をトレース・データＢの属性値（３０代女）に置換する。
ステップ９１４では、計算部（３０３）は、トレース・データＢ、Ｂ及びＣの属性値から、ステップ９１２と同じ方法に従い集計値ＡＶ＿１を計算する。ステップ９１４では、条件１（「６０歳未満か否か」）は満たされている。
ステップ９１５において、計算部（３０３）は、トレース・データＡの属性値（２０代男）をトレース・データＣの属性値（４０代男）に置換する。
ステップ９１６において、計算部（３０３）は、トレース・データＣ、Ｂ及びＣの属性値から、ステップ９１２と同じ方法に従い集計値ＡＶ＿２を計算する。ステップ９１６では、条件１（「６０歳未満か否か」）は満たされている。
ステップ９１７において、計算部（３０３）は、集計値ＡＶ、ＡＶ＿１及びＡＶ＿２を比較する。具体例１では、ステップ９１４及びステップ９１６でそれぞれ計算される集計値ＡＶ＿１及びＡＶ＿２は、ステップ９１２で計算される集計値ＡＶと一致する。従って、処理は、ステップ９１８に進む。
ステップ９１８において、秘匿部（３０４）は、集計値ＡＶ、ＡＶ＿１及びＡＶ＿２の全部が一致することから、トレース・データ及び制御された属性（６０歳未満）を開示可能であると判断する。何故ならば、ステップ９１３において、トレース・データＡの属性値（２０代男）をトレース・データＢの属性値（３０代女）に置換しても、及び、トレース・データＡの属性値（２０代男）をトレース・データＣの属性値（４０代男）に置換しても、条件１（「６０歳未満か否か」）は満たされているからである。従って、「６０歳未満か否か」という制御された属性を開示しても、移動物Ａ、Ｂ及びＣのうちから、移動物Ａを区別するだけのデータは漏れないということが確認できる。従って、具体例１では、秘匿部（３０４）は、トレース・データ及び必要に応じて制御された属性値（派生の属性情報の属性値）は開示可能であると判断する。従って、開示可能なデータ（秘匿化された検索結果）は、Ｆ１：50km/h，Ｆ２：45km/h，Ｆ３：30km/h，６０歳未満である。
【００９２】
以下に具体例２について、説明する。
ステップ９１２において、計算部（３０３）は、トレース・データＡ、Ｂ及びＣから集計値ＡＶを計算する。ステップ９１２では、条件２（「４０歳未満か否か」）は満たされている。
ステップ９１３において、計算部（３０３）は、トレース・データＡの属性値（２０代男）をトレース・データＢの属性値（３０代女）に置換する。
ステップ９１４では、計算部（３０３）は、トレース・データＢ、Ｂ及びＣの属性値から、ステップ９１２と同じ方法に従い集計値ＡＶ＿１を計算する。ステップ９１４では、条件２（「４０歳未満か否か」）は満たされている。
ステップ９１５において、計算部（３０３）は、トレース・データＡの属性値（２０代男）をトレース・データＣの属性値（４０代男）に置換する。
ステップ９１６において、計算部（３０３）は、トレース・データＣ、Ｂ及びＣの属性値から、ステップ９１２と同じ方法に従い集計値ＡＶ＿２を計算する。ステップ９１６では、条件２（「４０歳未満か否か」）は満たされていない。
ステップ９１７において、計算部（３０３）は、集計値ＡＶ、ＡＶ＿１及びＡＶ＿２を比較する。具体例２では、ステップ９１４で計算される集計値ＡＶ＿１はステップ９１２で計算される集計値ＡＶに一致する。しかし、ステップ９１６で計算される集計値ＡＶ＿２はステップ９１２で計算される集計値ＡＶに一致しない。従って、処理は、ステップ９１９に進む。
ステップ９１９において、秘匿部（３０４）は、集計値ＡＶ、ＡＶ＿１及びＡＶ＿２の間でずれが生じていることから、「４０歳未満か否か」という制御された属性を開示可能であると判断する。何故ならば、ステップ９１３において、トレース・データＡの属性値（２０代男）をトレース・データＢの属性値（３０代女）に置換しても条件２（「６０歳未満か否か」）は満たされるが、一方、トレース・データＡの属性値（２０代男）をトレース・データＣの属性値（４０代男）に置換すると、条件２（「６０歳未満か否か」）は満たさないからである。従って、「４０歳未満か否か」という結果を開示すると、移動物Ａ、Ｂ及びＣのうちから、移動物Ｃを区別するだけのデータが漏れてしまうということが確認できる。従って、具体例２では、秘匿部（３０４）は、トレース・データの一部は開示可能であるが、制御された属性値（４０歳未満）は開示可能でない、と判断する。従って、開示可能なデータ（秘匿化された検索結果）は、Ｆ１：50km/h，Ｆ２：45km/h，Ｆ３：30km/hであり、制御された属性値（４０歳未満）は開示されない。
【００９３】
図１０は、本発明の実施態様において、時空間領域をつなげて得られるトレース・データを秘匿化した後に得られる秘匿化後トレース・データとレコード中の属性との関係を示す図である。
トレース・データとは、同一の識別子を有する複数のレコードを集めて、例えば古い時刻から新しい時刻へと時刻順にソートすることによって得られる、移動物の時刻変化による位置（又は空間）の推移を示すデータである。すなわち、本明細書において、トレース・データは、同一の識別子を有する移動物から得られるトレース情報である。トレース・データは、例えば、図４に示されているように、時空間領域（４１１）における移動物（４２１）のレコード１、時空間領域（４１２）における移動物（４２１）のレコード２、時空間領域（４１３）における移動物（４２１）のレコード３、時空間領域（４１４）における移動物（４２１）のレコード４、及び時空間領域（４１５）における移動物（４２１）のレコード５を集めて、時刻順にソートすることによって得られる。
【００９４】
秘匿化後トレース・データは、上記トレース・データが秘匿部（３０４）によって秘匿された後に求められるトレース・データであり、公開対象となりうるトレース・データである。従って、秘匿化後トレース・データは、秘匿前のトレース・データの全部又は一部でありうる。秘匿化後トレース・データが秘匿前のトレース・データの全部である場合とは、全てのトレース・データを公開してよい場合である。一方、秘匿化後トレース・データが秘匿前のトレース・データの一部である場合とは、一部のトレース・データを公開してよい場合である。秘匿化トレース・データには、レコード１〜５の中の各属性が関連付けられている。当該関連付けられている属性は、例えば、トレース・データ検索要求内に指示されうる。例えば、各時空間領域の平均速度である。計算部（３０３）は、データ検索要求に応じて、秘匿化後トレース・データについて情報開示を行うことが可能である。なお、秘匿化後トレース・データについての情報開示において、レコード自体が含まれるとは限らず、例えば、位置の遷移に関する情報が含まれうる。
【００９５】
時空間上の領域の関数Ｆｉ（ｉは１以上の整数）は、図１０の各時空間領域Ｆ１〜Ｆ５（１００１〜１００５）を配列した関数である。時空間領域Ｆ１〜Ｆ５（１００１〜１００５）それぞれは、上記レコード１〜５に対応しているとする。
時空間上の領域の関数Ｆの配列は、位置ｐ及び時間ｔについて、Ｆ（ｐ，ｔ）＝ｔｒｕｅである場合は領域内であり、Ｆ（ｐ，ｔ）＝ｆａｌｓｅである場合は領域外となるような関数である。関数Ｆは、直感的には、「ある範囲にある時間帯にあるか」という判断の結果を表す関数である。すなわち、位置ｐ１を中心とした半径ｄの領域に時間ｔ１〜ｔ２に存在する点は、数学的に表現すれば、下記式によって表されうる：|p-p1| > d and(t-t1)(t2-t)>0。
なお、関数Ｆをどのようにするかは、データ検索要求内において定義されうる。
【００９６】
図１０の時空間領域Ｆ１〜Ｆ５（１００１〜１００５）において、各時空間領域の関数Ｆｉ（ｉは１以上の整数）に、各属性情報（attr１，attr２，attr３，attr４，attr５）（１０２１〜１０２５）が関連付けられる場合がある。各属性情報（１０２１〜１０２５）は、同じものであっても、異なるものであってもよい。各属性情報が異なる場合とは、例えば、各時空間領域の平均速度である。この場合、属性情報（１０２１〜１０２５）は、当該時空間領域中に位置及び時刻（例えば、レコード中の位置及び時刻の情報）が含まれるレコード中の属性情報、又は、当該レコードの属性情報から生成されうる属性情報（すなわち、派生の属性情報）でありうる。当該派生の属性情報は、例えば「各時空間領域の平均速度」であり、派生の属性情報「各時空間領域の平均速度」は、１つの時空間領域内に複数のレコードが含まれていて、平均速度が当該複数のレコードの属性情報「速度」の平均である場合である。各属性情報（１０２１〜１０２５）の各領域における生成方法は、データ検索要求内において定義されうる。
【００９７】
図１１は、本発明の実施態様において、個人情報を保護するために使用されうるポリシー設定において使用されうるシステム環境図を示す。
データ・オーナーが、ユーザ端末（２０４）を介して、上記ポリシーを設定し又は変更しうる。ポリシーの例を、図１２に示す。ポリシーは、データ・アグリゲータ（２０２）からアクセス可能なポリシー・レポジトリ（２１２）に格納される。
【００９８】
ポリシー・レポジトリ（２１２）は、図１０において説明したトレース・データを利用するために必要となるポリシーも格納している。トレース・データの利用も、上記ポリシーに準拠する必要がある。ポリシーの具体例を以下に説明する。
【００９９】
ポリシーは、各トレース・データの秘匿化の閾値を定義する。トレースは、「F1, F2, ..., FN」で表されるＮ個の時空間領域の配列である。トレース・データは、Ｎ個の時空間領域を通過する、具体的なレコードの配列（配列長Ｎ）である。トレース・データT1, ..., Tkは、ｋ個存在しなくてはならず、当該ｋが上記秘匿化の閾値である。トレースF1, F2, ..., FN及びそれに関連付けられている属性情報attr1, attr2, ..., attrNは、
（１）ｋ個のトレース・データT1, ..., Tkがあって、（２）各トレース・データTiは、F1(r1)=true, F2(r2)=true, ..., FN(rN)=trueとなるようなレコードの配列r1,r2,...,rNを含み、A(Ti)=attrとなる、を満足する、という意味である。
ここで、ｋは、各トレース・データのデータ・オーナーがポリシー内において定義した閾値の最大値でありうる。閾値の最大値でありうる理由は、以下の通りである。レコード毎にデータ・オーナーがいて、各データ・オーナーが各レコードについて異なるポリシーを定義している場合がある。従って、各レコードについて、異なる閾値ｋが定義されている場合がある。そのような場合には、異なる閾値ｋの中でも、最大値の閾値が閾値として用いられるのである。
F1, F2, ..., FN及びattrは、検索結果内に含まれる。
トレース・データT1, ..., Tk及びレコードの配列r1, r2, ..., rNは、秘匿化時に利用する内部変数である。トレース・データT1, ... , Tkは時空間領域の配列であるので、秘匿化時において、時空間領域の推移を捉えるために使用されうる。レコードの配列r1, r2, ..., rNは、秘匿化時において、各時空間領域の属性情報を計算するために使用されうる。
Aは、属性情報attr1, attr2, ..., attrNの生成関数であり、データ検索要求内に含まれる。
【０１００】
秘匿部（３０４）は、ポリシーにおいて使用されうるデータの開示回数又は開示先を含むデータを例えばポリシー・レポジトリ（２１２）内に格納しうる。当該データは、当該データに関連付けられた移動物のポリシーに関連付けて格納されうる。
【０１０１】
図１２は、本発明の実施態様において、トレース・データの開示を制御するために使用されうるポリシーの例を示す。
ポリシー（１２０１）は、例えば、ポリシーを識別するための識別子（例えば、移動物の識別子と同じであってもよい）、移動物の識別子、移動物のデータの開示回数、及びその閾値、移動物のデータの開示先、移動物のデータの開示を拒否する属性、及び移動物のトレース・データの閾値を含みうる。ポリシーを使用してトレース・データの開示が制御されるために、ポリシーを設定したデータ・オーナーの意思に基づいて又は秘匿部（３０４）に設定されたデフォルトのポリシー設定に基づいて移動物に関連する個人情報を保護することが可能である。
【０１０２】
以下に、ポリシーを使用して、トレース・データがどのように秘匿化されるかを説明する。以下では、図５のレコード集合体１（５０１）を例にして説明する。
レコード集合体１（５０１）は、一つのデータ・プロバイダ（例えば２０１−１）からデータ・アグリゲータ（２０２）に提供されるレコードの集合である。このようなレコード集合体が、１つ又は複数のデータ・プロバイダからデータ・アグリゲータ（２０２）に提供される。そうすると、データ・アグリゲータ（２０２）は、移動物の識別子ＸＸＸＸＸについて、下記に示すような、データを複数行もつことになる。
【０１０３】
（ＸＸＸＸＸ，ｔ１ ，ｐ１ ，赤，貨物車，４５，２０代男，・・・）※
（ＸＸＸＸＸ，ｔ１１，ｐ１１，赤，貨物車，５５，２０代男，・・・）
（ＸＸＸＸＸ，ｔ１２，ｐ１２，赤，貨物車，３５，２０代男，・・・）
（ＸＸＸＸＸ，ｔ１３，ｐ１３，赤，貨物車，１５，２０代男，・・・）
（ＸＸＸＸＸ，ｔ１４，ｐ１４，赤，貨物車，３５，２０代男，・・・）
（注： レコード（５１１）に対応する）
【０１０４】
そこで、計算部（３０３）は、上記各レコードを、時間順でソートする。そうすると、上記例において、車速以外は固定属性であるので、下記のようにまとめられる。
【０１０５】
ＸＸＸＸＸ−（赤，貨物車，２０代男，・・・・）
（ｔ１， ｐ１， ４５） ・・・・Ｆ１
（ｔ１１，ｐ１１，５５） ・・・・Ｆ１
（ｔ１２，ｐ１２，３５） ・・・・Ｆ２
（ｔ１３，ｐ１３，１５） ・・・・Ｆ２
（ｔ１４，ｐ１４，３５） ・・・・Ｆ３
ここで、Ｆ１、Ｆ２及びＦ３は、時空間領域を示す。
【０１０６】
上記結果が、トレース・データである。（ｔ１，ｐ１）と（ｔ１１，ｐ１１）とが近く、（ｔ１２，ｐ１２）と（ｔ１３，ｐ１３）とが近いとする。そして、結果として、秘匿化処理の結果、トレース・データが３つの時空間領域Ｆ１、Ｆ２及びＦ３を包含するとする。各時空間領域の属性情報を「速度平均」とすると、
ＸＸＸＸＸ−（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
というのが、秘匿化したトレース・データである（なお、ＸＸＸＸＸは外部に明かさない）。
【０１０７】
秘匿化が完了していることから、同じ属性を持つ移動物はｋ個あるはずである。ここで、ポリシーにおいてｋ＝３であると設定されているとする。
ｋ＝３である場合、
ＸＸＸＸＸ−（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
ＹＹＹＹＹ−（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
ＺＺＺＺＺ−（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
という３つの移動物がある。しかし、秘匿化後の検索結果として返すのは、
（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
になる。
【０１０８】
図１３は、本発明の実施態様において、データ検索要求において使用されうるシステム環境図を示す。
データ検索要求者は、ユーザ端末（２０４）にデータ検索要を入力して、又は、サービス・プロバイダ（２０３−１〜２０３−ｎ）にデータ検索要求を入力して、移動物についてのデータ検索をデータ・アグリゲータ（２０２）に対して要求しうる。
【０１０９】
以下に、トレース・データの検索要求について説明する。
トレース・データの検索要求は、距離関数を含む。距離関数は、例えば、下記に示される３つのいずれかでありうる。
（１）距離関数＝位置のずれ（時間帯＝∞、位置範囲＝最小）；この式は、時間幅に拘らずに、細粒度の距離精度で通過したことのある移動物のトレースを取得するために使用される。
（２）距離関数＝時刻の差（時間帯＝最小、位置範囲＝∞）；この式は、範囲の大きさに拘らずに、細粒度の時間精度でその時間帯に移動物がいたことを知りたい場合に使用される。
（３）距離関数＝c1*時間幅^2+c2*位置のずれ^2；この式は、c1及びc2を重み係数として、時間幅、距離を調整して時空間範囲を知りたい場合に使用される。
また、トレース・データの検索要求は、各時空間領域に関連付けられている属性情報をトレース・データからどう作って関連付けるかの定義を含む。当該定義は、例えば派生の属性情報であり、例えば、その時空間領域を通過したときの速度の平均値である。
【０１１０】
図１４は、本発明の実施態様において、（Ａ）ポリシーを取得すること、（Ｂ）レコード集合体を受信すること、及び、（Ｃ）データ検索要求を受信することに応じて、トレース・データを取得し、当該取得したトレース・データを処理（匿名化）して、その処理結果を検索結果として送信することの各フローチャートを示す図である。
【０１１１】
（Ａ）ポリシーを取得すること
ステップ１４０１において、データ・アグリゲータ（２０２）は、ポリシーを取得する処理を開始する。
ステップ１４０２において、データ・アグリゲータ（２０２）は、データ・オーナーのユーザ端末（２０４）から送信されたポリシーを受信する。当該ポリシーは、新しく作成されたポリシー又は修正されたポリシーでありうる。
ステップ１４０３において、データ・アグリゲータ（２０２）は、当該受信したポリシーを、ポリシー・レポジトリ（２１２）に格納する。
ステップ１４０４において、データ・アグリゲータ（２０２）は、ポリシーを取得する処理を終了する。
【０１１２】
（Ｂ）レコード集合体を受信すること
ステップ１４１１において、データ・アグリゲータ（２０２）のレコード／ポリシー受信部（３０１）は、レコード集合体を受信する処理を開始する。
ステップ１４１２において、レコード／ポリシー受信部（３０１）は、少なくとも１つのデータ・プロバイダ（２０１−１〜２０１−ｎ）から、レコード集合体を受信する。
ステップ１４１３において、レコード／ポリシー受信部（３０１）は、受信したレコード集合体をレコード・レポジトリ（２１１）に格納する。なお、受信したレコード集合体は、まとめられて統合レコード集合体としてレコード・レポジトリ（２１１）に格納されてもよい。
ステップ１４１４では、レコード／ポリシー受信部（３０１）は、レコード集合体を受信する処理を終了する。
【０１１３】
（Ｃ）データ検索要求を受信して、検索結果を送信すること
ステップ１４２１において、データ・アグリゲータ（２０２）は、トレース・データの検索処理を開始する。
ステップ１４２２において、検索要求受信／検索結果送信部（３０２）は、データ検索要求者からのデータ検索要求を少なくとも１つのサービス・プロバイダ（２０３−１〜２０３−ｎ）から受信する。検索要求受信／検索結果送信部（３０２）は、当該データ検索要求を計算部（３０３）に渡す。
ステップ１４２３において、計算部（３０３）は、当該データ検索要求に従って、レコード・レポジトリ（２１１）中のレコード集合体からデータを検索する。検索された結果が、トレース・データである。計算部（３０３）は、トレース・データを秘匿部（３０４）に渡す。
ステップ１４２４において、ステップ１４２３からのトレース・データに対して、秘匿化を行う。秘匿部（３０４）は、例えば、秘匿部（３０４）が保持している（又は秘匿部（３０４）に設定されている）固有の閾値ｋを使用して、又は、ポリシー・レポジトリ（２１２）からポリシーを取得し、当該ポリシー中の閾値ｋを使用して、トレース・データの秘匿化を行う。また、秘匿部（３０４）は、さらに上記ポリシー中の他の条件に従って、トレース・データの秘匿化を行いうる。ポリシーのポリシー・レポジトリ（２１２）からの取得は、例えば、移動物の識別子を特定し、当該特定された識別子からデータ・オーナーを特定し、そして、当該特定されたデータ・オーナーから、当該データ・オーナーが提出したポリシーを特定することによって行われうる。具体的には、ポリシーの取得は、移動物が例えば車両である場合、ＶＩＮ（又はプレート・ナンバー）を特定し、当該特定されたＶＩＮからデータ・オーナーを特定し、当該データ・オーナーが提出したポリシーを特定することによって行われうる。秘匿部（３０４）は、秘匿化を行った検索結果（秘匿化後トレース・データである）を検索要求受信／検索結果送信部（３０２）に送信する。
ステップ１４２５において、検索要求受信／検索結果送信部（３０２）は、秘匿化を行った上記検索結果を、データ検索要求を送信したサービス・プロバイダに送信する。
ステップ１４２６において、データ・アグリゲータ（２０２）は、トレース・データの検索処理を終了する。
【技術分野】
【０００１】
本発明は、移動物に関連するトレース・データの開示を制御する技法に関する。特には、本発明は、データ・プロバイダ・システムに接続されたサーバ・コンピュータが、移動物に関連するトレース・データの開示を制御する技法に関する。
【背景技術】
【０００２】
車車間（Vehicle to Vehicle, Ｖ２Ｖ）、車路間（Vehicle to Roadside, Ｖ２Ｒ）及び車外間（Vehicle to Infrastructure, Ｖ２Ｉ）を包含するＶ２Ｘ（vehicle-to-any）通信システムにおいて、データ・アグリゲータ・システムは、各データ・プロバイダ・システムが車又はヒトから収集されたデータをレコードとして集約し、当該集約されたレコードをサービス・プロバイダ・システムに提供する責任を有する。上記収集されたデータの権限所有主体は、車両の所有者若しくは運転者、又は車両に関連付けられた管理者にある。また、上記収集されたデータ及び上記集約されたレコードは、個人、個人の行動、又は個人の関心事を特定するために使用することが可能である。従って、データ・アグリゲータ・システムは、個人情報保護の観点から、上記収集されたデータ又は上記集約されたレコードが適切な管理の下にサービス・プロバイダ・システムに対して開示されるように制御する必要がある。
【０００３】
下記非特許文献１は、位置ベース・サービス（ＬＢＳ）のために報告された各位置がＫ個の異なるフットプリント（すなわち、異なるモバイル・ノードの履歴位置）を含む秘匿領域であることを保証することによって位置情報を没個性化し、それ故に、サービス要求者の正確な識別及び位置は、ＬＢＳサービス提供者から秘匿のままである旨を記載する（Ａｂｓｔｒａｃｔ）。
【０００４】
下記非特許文献２は、中央化された位置ブローカー・サービスによって使用さうれうるミドルウェア・アーキテクチャー及びアルゴリズムを開示し、適用可能なアルゴリズムは、所定の領域内の位置サービスを使用しているエンティティに基づいて、特定の秘匿制約に合致する空間的な又は一時的な次元に沿って位置情報の解決を調節する旨を記載する（Ａｂｓｔｒａｃｔ）。
【０００５】
下記非特許文献３は、出力摂動によるデータプライバシー確保すること、そのために差分プライバシーの概念を導入する旨を記載する。
【０００６】
下記特許文献１は、プライバシー情報を含むデータを管理するデータ開示装置におけるデータ開示方法において、前記データ管理装置は、１つ以上の属性から構成されるデータを１つ以上保持し、前記データの特定の属性を開示する場合の秘匿性を計算し、前記計算した秘匿性が所望する秘匿性を有しない場合には、前記特定の属性のデータの粒度を変更し、所望の閾値以上の秘匿性を有するようにして前記属性のデータを開示することを記載する（請求項１）。
【０００７】
下記特許文献２は、情報を管理運用する個人情報管理運用装置において用いられる情報秘匿方法を記載する（請求項１）。各情報は、属性と属性値からなる１つ以上のペアで格納されており、属性の開示により、秘匿したい属性の属性値の特定のし易さを示す秘匿性を統計的に計算し、前記秘匿性があらかじめ設定した秘匿性の閾値よりも秘匿性が確保される属性を選択し、前記選択した属性と、前記選択した属性の属性値を開示することを記載する（請求項１）。
【０００８】
下記特許文献３は、目標の装置の精密な位置情報を希薄化するための方法であって、精密な位置の測定された緯度の弧の値を、直線距離に変換することと、所定の直線精度の直線距離を、調整直線距離値へ丸めることと、調整直線距離値を、調整された緯度の弧の値に変換することと、調整された緯度の弧の値に対応する測定経度直線距離を判断することと、第２の所定の直線精度内の測定経度直線距離を、調整された測定経度直線距離へ丸めることと、調整された測定経度直線距離を、調整された経度の弧の値へ変換することと、調整された緯度の弧の値および調整された経度の弧の値を、要求側エンティティへ伝送することを含む方法を記載する（段落０００８）。
【０００９】
下記特許文献４は、利用者個人のプライバシーに関わるデータを含んだプライバシー情報を用いて利用者に各種のサービスを提供する際に、このプライバシー情報と、それを外部に公開できる条件を記述したプライバシープリファレンスと、をプライバシーカプセルとして一体で管理し、前記プライバシー情報の利用者の利用条件を記述したプライバシーポリシと、前記プライバシープリファレンスと比較して条件を満足する場合に、前記プライバシー情報を前記プライバシーカプセル内で使用することを許可するとともに、前記プライバシー情報を前記プライバシーカプセル外に流出するのを防止することにより、前記プライバシーカプセル外部から前記プライバシー情報を隠蔽するプライバシー情報保護方法を記載する（段落０００８）。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００７−２１９６３６号公報
【特許文献２】特開２００７−２１９６３５号公報
【特許文献３】特開２００９−２７８６３２号公報
【特許文献４】特開２００５−９９９４４号公報
【非特許文献】
【００１１】
【非特許文献１】Toby Xu, Ying Cai, “Exploring Historical Location Data for Anonymity Preservation in Location-based Services”, IEEE INFOCOM 2008, p547-555, April, 15-17, 2008 （ＵＲＬ：http://www.di.unito.it/~matteo/I09/DATA08/W3-1-3.PDFから入手可能）
【非特許文献２】Anonymous Usage of Location-Based Services Through Spatial and Temporal Cloaking, Marco Gruteser and Dirk Grunwald, （ＵＲＬ：http://www.winlab.rutgers.edu/~gruteser/papers/gruteser_anonymous_lbs.pdfから入手可能）
【非特許文献３】鹿島 久嗣、「16章：出力摂動によるデータプライバシーの確保 Chapter 16: Private Data Analysis via Output Perturbation in Aggarwal & Yu (Eds.): Privacy-preserving Data Mining」, The University of Tokyo, Depatment of Mathematical Informatics, 、［online］、（ＵＲＬ： http://www.geocities.jp/kashi_pong/PPDM_chap16.pdfから入手可能）
【発明の概要】
【発明が解決しようとする課題】
【００１２】
Ｖ２Ｘ通信システムから収集されるレコード・データから導出されるトレース・データは、いつ、どこに、どんな車両若しくは搭乗者又はヒトが位置しているか又はどんな行動をしているかについての個人情報を含む。当該個人情報は、例えば消費者の行動又は購買意欲を分析するための情報として又は移動物の環境（例えば道路交通環境）を分析するための情報として、例えば市場又は政策上において大きな価値を生み出しうる。一方、トレース・データは、例えば行動に関する情報（例えばどこに、いつ立ち寄ったかという情報）と関連付きやすい（又は紐付きやすい）。また、車又はヒトの位置情報を匿名化する方法は知られているが、当該方法はトレース・データを保護できない。何故ならば、データ・プロバイダが、個別のトレース・データから個々の車両若しくは搭乗者、又はヒトの振る舞いを特定することができでしまうためである。従って、結果として個人情報保護上の問題が生じやすい。そこで、個人情報保護上の問題を回避するために、一定条件を満足した場合においてのみトレース・データが開示される技法が必要とされている。
【課題を解決するための手段】
【００１３】
本発明は、移動物に関連するトレース・データの開示を制御する方法、並びにそのコンピュータ及びコンピュータ・プログラムを提供する。
【００１４】
特には、本発明は、少なくとも１つのデータ・プロバイダ・システムに接続されたサーバ・コンピュータが上記データ・プロバイダ・システムから提供されたデータの開示を制御する方法を提供する。当該方法は、
第１の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第１のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信するステップと、
第２の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第２のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信するステップであって、上記第２のレコード集合体中にある移動物の識別子は上記第１のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも１つ含む、上記第２のレコードを受信するステップと、
移動物に関連するデータ検索要求の受信に応じて、上記受信した第１及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、上記データ検索要求に対応する移動物に関連するトレース・データを計算するステップと、
一定範囲のＬ個の領域を一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算するステップと、
上記受信した第１及び第２のレコード集合体中の上記同一の識別子を有する移動物が上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返すステップと
を含む。
【００１５】
本発明の１つの実施態様において、上記検索結果として返すステップが、上記受信した第１及び第２のレコード中の上記同一の識別子に関連付けられたポリシーに従って、上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含みうる。また、本発明の１つの実施態様において、上記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、上記検索結果として返すステップが、上記開示回数又は開示先の制約データに従って、上記データ検索要求に対応する移動物に関連する上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含みうる。
【００１６】
本発明の１つの実施態様において、上記検索結果として返すステップが、
第１の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にあり、及び、第２の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にある場合に、上記受信した第１及び第２のレコード集合体中の上記第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、上記受信した第１及び第２のレコード集合体中の上記第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致になるように上記第１の属性値の取り方を制御するステップであって、上記第２の属性値から計算される値は上記第１の属性値から値を求める方法と同じ方法によって計算される、上記制御するステップと
上記制御によって、上記第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致することに応じて、上記データ検索要求に対応する移動物に関連する上記計算されたトレース・データ若しくは当該トレース・データの一部又は上記制御された属性値を検索結果として返すステップと
を含みうる。本発明の１つの実施態様において、上記検索結果として返すステップが、上記受信した第１及び第２のレコード中の上記同一の識別子に関連付けられたポリシーに従って、上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含みうる。また、本発明の１つの実施態様において、上記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、上記検索結果として返すステップが、上記開示回数又は開示先の制約データに従って、上記データ検索要求に対応する移動物に関連する上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含みうる。
【００１７】
本発明の１つの実施態様において、上記検索結果として返すステップが、上記開示回数又は開示先を履歴として記録するステップをさらに含みうる。
【００１８】
本発明の１つの実施態様において、上記ポリシーが、ポリシー・レポジトリから取り出される。本発明の１つの実施態様において、上記ポリシーが、上記移動物又は上記データ・プロバイダ・システムに関連付けられたデータ・オーナーにより設定されうる。
【００１９】
本発明の１つの実施態様において、上記サーバ・コンピュータが、上記受信した第１及び第２のレコード集合体をレコード・レポジトリに格納するステップをさらに含みうる。
【００２０】
本発明の１つの実施態様において、上記計算するステップが、上記データ検索要求に応じて、上記レコード・レポジトリに格納された第１及び第２のレコード集合体からトレース・データを作成するステップをさらに含みうる。
【００２１】
本発明の１つの実施態様において、上記計算するステップが、上記第１及び上記第２のレコード集合体を一つの統合レコード集合体にまとめて、当該統合レコード集合体中の同一の識別子に関連付けられたレコードを時刻データ順にソートするステップをさらに含みうる。
【００２２】
本発明の１つの実施態様において、上記移動物が車である場合に、上記属性値が、車両の識別子、車両の色、車両ナンバー、車種、時刻ｔにおけるスピード、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は、車内外の時刻ｔにおける状態、若しくは搭乗者の時刻ｔにおける状態の少なくとも一つを含みうる。
【００２３】
また、特には、本発明は、少なくとも１つのデータ・プロバイダ・システムに接続されたサーバ・コンピュータが上記データ・プロバイダ・システムから提供されたデータの開示を制御するコンピュータ・プログラムを提供する。当該コンピュータ・プログラムは、サーバ・コンピュータに、上記方法のいずれか一つの態様に記載の各ステップを実行させる。
【００２４】
また、特には、本発明は、少なくとも１つのデータ・プロバイダ・システムに接続されており、上記データ・プロバイダ・システムから提供されたデータの開示を制御するコンピュータを提供する。当該コンピュータは、
第１の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第１のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信し、且つ、第２の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第２のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信する受信部であって、上記第２のレコード集合体中にある移動物の識別子は上記第１のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも１つ含む、上記受信部と、
移動物に関連するデータ検索要求の受信に応じて、上記受信した第１及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、上記データ検索要求に対応する移動物に関連するトレース・データを計算し、及び、一定範囲のＬ個の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算する計算部と、
上記受信した第１及び第２のレコード集合体中の上記同一の識別子を有する移動物が上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返す秘匿部と
を含む。
【発明の効果】
【００２５】
本発明の実施態様に従うと、トレース・データのプライバシー保護が図られる。このことは、Ｖ２Ｘ通信システムの実装において、安全にトレース・データが利用できる基盤の構築を可能にする。
また、特には、本発明の実施態様に従うと、移動物の所有者を包含するデータの権限所有主体（以下、データ・オーナーともいう）によって設定されたポリシーに従ってトレース・データを開示することができる。このことは、データ・オーナーの意思に基づいてトレース・データの開示を可能にし、従って、プライバシーを懸念するデータ・オーナーからのデータ提供を促進することを容易にする。
また、特には、本発明の実施態様に従うと、データ・アグリゲータ・システム毎に、データ開示を制御することが可能になる。このことは、データ利用者に対するアクセス制御及び課金制御の基盤の構築を容易にする。
【図面の簡単な説明】
【００２６】
【図１】本発明の実施形態において使用されうるコンピュータ・ハードウェアの基本的なブロック図を示す。
【図２】本発明の実施態様において使用されうるデータ・プロバイダ・システム、データ・アグリゲータ・コンピュータ、サービス・プロバイダ・コンピュータ、データ・オーナー・サーバ・コンピュータ、及びユーザ端末を示す。
【図３】図１に示すコンピュータ・ハードウェアの機能を有し、本発明の実施態様において使用されうるデータ・アグリゲータ・コンピュータの機能ブロック図を示す。
【図４】本発明の実施態様において使用されうるデータ・プロバイダ・システムが、移動物についての情報をレコード集合体として記録する態様を示す。
【図５】本発明の実施態様において使用されうるレコード集合体の例を示す。
【図６】本発明の実施態様において、範囲ｗを広げることによって、広げた後の範囲ｗｊ内に入る移動物の数が増えること（図６Ａ）、及び、通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって、広げた後の又はずらした後の時間レンジ(sｊ，eｊ)内に入る移動物の数が増えること（図６Ｂ）を示す。
【図７】本発明の実施態様において、レコード集合体の各属性値を使用して集計値を求めるために、各属性値を数値化することを示す表である。
【図８】本発明の実施態様において、データ・アグリゲータ・コンピュータが、集計値に影響がないように属性の取り方を変更することを示す例を示す。
【図９Ａ】本発明の実施態様において、データ・アグリゲータ・コンピュータが、集計値に影響がないことを確認して、トレース・データを開示するためのフローチャートを示す。
【図９Ｂ】本発明の実施態様において、データ・アグリゲータ（２０２）が、集計値が完全に一致することに応じて、トレース・データを開示するための具体例を１及び２示す。
【図１０】本発明の実施態様において、時空間領域をつなげて得られるトレース・データを秘匿化した後に得られる秘匿化後トレース・データとレコード中の属性との関係を示す図である。
【図１１】本発明の実施態様において、個人情報を保護するために使用されうるポリシー設定において使用されうるシステム環境図を示す。
【図１２】本発明の実施態様において、トレース・データの開示を制御するために使用されうるポリシーの例を示す。
【図１３】本発明の実施態様において、データ検索要求において使用されうるシステム環境図を示す。
【図１４】本発明の実施態様において、ポリシーを取得すること、レコード集合体を受信すること、及び、データ検索要求を受信することに応じて、トレース・データを取得し、当該取得したトレース・データを処理（匿名化）して、その処理結果を検索結果として送信することの各フローチャートを示す図である。
【発明を実施するための形態】
【００２７】
本発明の実施形態を、以下に図面に従って説明する。以下の図を通して、特に断らない限り、同一の符号は同一の対象を指す。本発明の実施形態は、本発明の好適な態様を説明するためのものであり、本発明の範囲をここで示すものに限定する意図はないことを理解されたい。
【００２８】
図１は、本発明の実施形態において使用されうるコンピュータ・ハードウェアの基本的なブロック図を示す。
コンピュータ（１０１）は、ＣＰＵ（１０２）とメイン・メモリ（１０３）とを備えており、これらはバス（１０４）に接続されている。ＣＰＵ（１０２）は好ましくは、３２ビット又は６４ビットのアーキテクチャーに基づくものであり、例えば、インテル社のＣｏｒｅ ｉ（商標）シリーズ、Ｃｏｒｅ ２（商標）シリーズ、Ｘｅｏｎ（商標）シリーズ、Ｐｅｎｔｉｕｍ（Intel Corporationの登録商標）シリーズ、Ｃｅｌｅｒｏｎ（Intel Corporation登録商標）シリーズ、Ａｔｏｍ（商標）シリーズ、ＡＭＤ社のＰｈｅｎｏｍ（商標）シリーズ、Ａｔｈｌｏｎ（商標）シリーズ、Ｔｕｒｉｏｎ（商標）シリーズ又はＳｅｍｐｒｏｎ（商標）が使用されうる。バス（１０４）には、ディスプレイ・コントローラ（１０５）を介して、ディスプレイ（１０６）、例えば液晶ディスプレイ（ＬＣＤ）が接続されうる。ディスプレイ（１０６）は、コンピュータの管理のために、通信回線を介してネットワークに接続されたコンピュータについての情報と、そのコンピュータ上で動作中のソフトウェアについての情報を、適当なグラフィック・ユーザ・インタフェースで表示するために使用される。バス（１０４）にはまた、ＳＡＴＡ又はＩＤＥコントローラ（１０７）を介して、記憶装置（１０８）、例えばハードディスク又はソリッド・ステート・ドライブと、ドライブ（１０９）、例えばＣＤ、ＤＶＤ又はＢＤドライブとが接続されうる。バス（１０４）にはさらに、キーボード・マウス・コントローラ（１１０）又はＵＳＢバス（図示せず）を介して、キーボード（１１１）及びマウス（１１２）が接続されうる。
【００２９】
ディスク（１０８）には、オペレーティング・システム、Ｊ２ＥＥなどのＪａｖａ（Sun Microsystemの登録商標）処理環境、Ｊａｖａ（登録商標）アプリケーション、Ｊａｖａ（登録商標）仮想マシン（ＪＶＭ）、Ｊａｖａ（登録商標）実行時（ＪＩＴ）コンパイラを提供するプログラム、その他のプログラム、及びデータが、メイン・メモリにロード可能に記憶されている。
ドライブ（１０９）は、必要に応じて、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ又はＢＤからプログラムをディスク（１０８）にインストールするために使用される。
【００３０】
通信インタフェース（１１４）は、例えばイーサネット（登録商標）・プロトコルに従う。通信インタフェース（１１４）は、通信コントローラ（１１３）を介してバス（１０４）に接続され、コンピュータ（１０１）を通信回線（１１５）に物理的に接続する役割を担い、コンピュータ（１０１）のオペレーティング・システムの通信機能のＴＣＰ／ＩＰ通信プロトコルに対して、ネットワーク・インタフェース層を提供する。なお、通信回線は、有線ＬＡＮ環境、又は例えばＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎなどの無線ＬＡＮ接続規格に基づく無線ＬＡＮ環境であってもよい。
【００３１】
図２は、本発明の実施態様において使用されうるデータ・プロバイダ・システム（以下、「データ・プロバイダ」という）、データ・アグリゲータ・コンピュータ（以下、「データ・アグリゲータ」という）、サービス・プロバイダ・コンピュータ（以下、「サービス・プロバイダ」という）、データ・オーナー・サーバ・コンピュータ（以下、「データ・オーナー・サーバ」という）、及びユーザ端末を示す。
【００３２】
データ・プロバイダ（２０１−１〜２０１−ｎ、ｎは整数である）は、移動物又は移動物に取り付けられた無線機器と通信し、移動物についての情報を取得し又は受信することが可能な装置でありうる。データ・プロバイダ（２０１−１〜２０１−ｎ）は、例えばカメラ／センサであり、例えば道路カメラ／センサでありうる。移動物についての情報は、時空間データを含む。時空間データは、例えば位置ｐｉで時刻ｔｉに観測された移動物についてのレコードであり、移動物又はそれに関連付けられた属性に対する属性値を含む。例えば、上記カメラ／センサは、移動物についての情報、例えば車の場合、例えば車両の識別子、車両の色、車両ナンバー、車種、時刻ｔにおけるスピード（車速）、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は移動物が立ち寄った場所（例えば施設）を検出し又は求めうる。車両の識別子は、例えばＶＩＮ（Vehicle Identification Number）又は車両ナンバーでありうる。ＶＩＮは、例えばＩＳＯ３７７９の場合、（１）先頭の３桁が車両製造会社識別コード（ＷＭＩ: World Manufacturer Identifier）であり、（２）４桁目から７桁目が車種識別コード（ＶＤＳ: Vehicle Descriptor Section）であり、及び（３）末尾８桁が車両個々識別コード（ＶＩＳ: Vehicle Identifier Section）である。または、上記識別子は、車両のナンバープレート上の記号、文字、数字若しくはそれらの組み合わせ、又は車両上に記載された番号（例えば、列車の各車両を特定する番号）でありうる。また、カメラ／センサは、移動物についての画像又は動画を記録しうる。データ・プロバイダ（２０１−１〜２０１−ｎ）は、上記検出した情報を移動物に固有の識別子に関連付けて、レコードとして記録する。識別子は、当該移動物を特定するために使用されうる。また、識別子は、同一の移動物についての複数のレコードを特定するために使用されうる。レコードは、移動物に固有の識別子、時刻ｔ、位置ｐ、及びその他の属性値を有する一単位のデータである。その他の属性値は、移動物に固有の属性値だけでなく、位置ｐ及び時刻ｔにおいて検出される属性値を含む。その他の属性値は、例えば移動物が車両の場合、例えば、車両の色、車両ナンバー、車種、時刻ｔにおけるスピード（車速）、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は移動物が立ち寄った場所（例えば施設）でありうる。データ・プロバイダ（２０１−１〜２０１−ｎ）が複数の移動物（すなわち、異なる識別子を有する）についての情報を検出した場合、データ・プロバイダ（２０１−１〜２０１−ｎ）は各移動物についてのレコードを生成し、当該生成されたレコードを複数のレコードにまとめてレコード集合体としうる（図５を参照）。
【００３３】
また、データ・プロバイダ（２０１−１〜２０１−ｎ）は、移動物（２２１−１〜２２１−ｎ）から送信されるレコードを受信しうる端末でありうる。レコードは、上記に述べたレコードと同じ内容でありうる。レコードは、データ・プロバイダ（２０１−１〜２０１−ｎ）からのレコード送信要求に応じて、又は、自動的に（例えば所定の時間間隔毎に）、データ・プロバイダ（２０１−１〜２０１−ｎ）からデータ・アグリゲータ（２０２）に提供されうる。データ・プロバイダ（２０１−１〜２０１−ｎ）と移動物（２２１−１〜２２１−ｎ）との間の通信は、例えば、車路間（Vehicle to Roadside, Ｖ２Ｒ）及び車外間（Vehicle to Infrastructure, Ｖ２Ｉ）を包含するＶ２Ｘ（vehicle-to-any）通信システムに従い行われうる。
【００３４】
データ・プロバイダ（２０１−１）は、例えば、一定時間中に一定の範囲（「時空間領域」ともいう）を移動中の移動物についての情報を検出し、又は、一定時間中に一定の範囲を移動中の移動物からレコードを受信しうる。また、データ・プロバイダ（２０１−１）がカバーする所定の範囲と、データ・プロバイダ（２０１−１）と異なるデータ・プロバイダ（２０１−２）がカバーする所定の範囲とは重複してもよい。
【００３５】
データ・プロバイダ（２０１−１〜２０１−ｎ）は、有線又は無線ネットワークを介して、データ・アグリゲータ・コンピュータ（２０２）に接続されうる。本発明の実施態様において、少なくとも１つのデータ・プロバイダが使用されうる。
【００３６】
データ・アグリゲータ（２０２）は、データ・プロバイダ（２０１−１〜２０１−ｎ）から、上記レコード又はレコードの集合体を受け取る。データ・プロバイダ（２０１−１〜２０１−ｎ）は、データ・プロバイダ（２０１−１〜２０１−ｎ）からのレコード送信要求に応じて、又は、自動的に（例えば所定の時間間隔毎に）、データ・アグリゲータ（２０２）に送信しうる。データ・アグリゲータ（２０２）は、データ・プロバイダ（２０１−１〜２０１−ｎ）からの上記レコード若しくはレコード集合体、又は複数のレコード集合体をさらにまとめた統合レコード集合体（以下、本明細書において「レコード集合体」という場合、レコード、レコード集合体、又は統合レコード集合体を包含するものとして理解されたい、特許請求の範囲においても同じである）を、データ・アグリゲータ（２０２）からアクセス可能なレコード・レポジトリ（２１１）に格納しうる。
【００３７】
データ・アグリゲータ（２０２）は、サービス・プロバイダ（２０３−１〜２０３−ｎ）の少なくとも１つからのデータ検索要求に応じて、上記レポジトリから上記レコード集合体を取得する。引き続き、データ・アグリゲータ（２０２）は、上記レコード集合体中の同一の識別子に関連付けられた各属性値から、上記データ検索要求に対応する移動物に関連するトレース・データを求めうる。
【００３８】
データ・アグリゲータ（２０２）は、データ検索要求に応じて開示するレコードに関連付けられている移動物において、一定範囲のＬ個（Ｌは１以上の整数）の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)を計算する。ここで、ｓは開始時間（start time）、ｅは終了時間（end time）、及びｊは１，２，・・・，Ｌの整数を示す。そして、データ・アグリゲータ（２０２）は、１又は複数のレコード集合体中の同一の識別子を有する移動物が上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算された求められたデータ又は当該データの一部を検索結果として、データ検索要求を送信したサービス・プロバイダに返す。データ・アグリゲータ（２０２）は、上記求められたデータ又は当該データの一部を、ポリシー・レポジトリ（２１２）から取り出したポリシーに従って、開示制限することが可能である。当該ポリシーは、検索結果を作成するために使用されるデータのデータ・オーナーによって作成されたポリシーでありうる。データ・オーナーは、移動物の所有者若しくは管理者、又は当該移動物の所有者若しくは管理者からデータの管理を委任された者若しくはシステムを包含する。
【００３９】
また、データ・アグリゲータ（２０２）は、第１の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にあり、且つ、第２の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にある場合に、レコード集合体中の第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、上記レコード集合体中の第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が当該第１の値から計算される集計値と完全一致になるように上記第１の属性値の取り方を制御することが可能である。なお、上記第２の属性値から計算される値は、上記第１の属性値から値を求める方法と同じ方法（すなわち、同じ属性を用いて計算する）によって計算される。データ・アグリゲータ（２０２）は、上記のようにして第１の属性値の取り方を制御し、上記第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致することに応じて、上記求められたデータ若しくは当該データの一部又は上記制御された属性値を検索結果として、データ検索要求を送信したサービス・プロバイダに返す。データ・アグリゲータ（２０２）は、上記求められたデータ又は当該データの一部を、ポリシー・レポジトリ（２１２）から取り出したポリシーに従って、開示制限することが可能である。当該ポリシーは、検索結果を作成するために使用されるデータのデータ・オーナーによって作成されたポリシーでありうる。
【００４０】
データ・アグリゲータ（２０２）は、有線又は無線ネットワークを介して、サービス・プロバイダ（２０３−１〜２０３−ｎ）、並びにレコード・レポジトリ（２１１）及びポリシー・レポジトリ（２１２）に接続されうる。データ・アグリゲータ（２０２）は、１つ又は複数のコンピュータからなっていてもよく、又は、サーバ、例えばエンタプライズ・サーバであってもよい。データ・アグリゲータ（２０２）は、データ・プロバイダ（２０１−１〜２０１−ｎ）又はサービス・プロバイダ（２０３−１〜２０３−ｎ）との関係において、サーバでありうる。
【００４１】
データ・アグリゲータ（２０２）は、移動物についてのデータのデータ・オーナーから、当該データ・オーナーの移動物についてのデータの開示を制限するポリシーを受け取る。データ・アグリゲータ（２０２）は、ポリシーを、当該データ・アグリゲータ（２０２）からアクセス可能なポリシー・レポジトリ（２１２）に格納する。また、データ・オーナーは、ユーザ端末（２０４）を介してポリシーの設定又は変更しうる。
【００４２】
サービス・プロバイダ（２０３−１〜２０３−ｎ）は、データ・アグリゲータ（２０２）に対して、データ・プロバイダ（２０１−１〜２０１−ｎ）からのデータ（すなわち、移動物についてのデータ、及び当該データから求められるデータである）検索を要求しうる。サービス・プロバイダ（２０３−１〜２０３−ｎ）は、データ検索の要求を例えばＳＱＬ規格に従い要求しうる。データ検索要求者（リクエスターともいう）は、サービス・プロバイダ（２０３−１〜２０３−ｎ）上で、又はサービス・プロバイダ（２０３−１〜２０３−ｎ）に接続されたユーザ端末（２０４）を通じて、データ・プロバイダ（２０１−１〜２０１−ｎ）からのデータ検索を要求しうる。データ検索要求者は、例えば、グラフィカル・ユーザ・インターフェス（ＧＵＩ）を介して、要求するデータの条件又は条件式を入力しうる。
【００４３】
ユーザ端末（２０４）は、データ・オーナーが、上記ポリシーを設定し又は変更するために使用されうる。また、ユーザ端末（２０４）は、データ検索要求者が移動物についてのデータを要求するために使用されうる。なお、データ・オーナーが使用するユーザ端末とデータ検索要求者が使用するユーザ端末が、同一である必要はない。
【００４４】
ユーザ端末（２０４）は、有線又は無線ネットワークを介して、データ・アグリゲータ（２０２）に接続されうる。
【００４５】
ユーザ端末（２０４）は、コンピュータ、パーソナル・デジタル・アシスタント、携帯電話、スマートフォン、及びゲーム機器を包含する。
【００４６】
移動物（２２１−１〜２２１−ｎ）は、例えば車両であり、車両は、例えば業種で分類すると建設車両、農業車両、産業車両、鉄道車両、又は軍用車両を包含し、さらに、例えば日本の道路交通法上でいう自動車、原動機付き自転車、軽車両又はトローリバスを包含する。移動物（２２１−１〜２２１−ｎ）は、また、航空機でありうる。また、移動物（２２１−１〜２２１−ｎ）は、ヒト又はその他の動物でありうる。
【００４７】
移動物（２２１−１〜２２１−ｎ）は、当該移動物を唯一に特定するための識別子を有する。識別子は、当該移動物を特定するために使用されうる。また、識別子は、同一の移動物についての複数のレコードを特定するために使用されうる。移動物が車両の場合、例えば、上記に述べたＶＩＮ、ナンバープレート上の記号、文字、数字又はそれらの組み合わせ、又は車両上に記載された番号でありうる。また、識別子は、移動物がヒト又はその他の動物である場合、ヒト又は動物に装着された電子機器（例えば、時計、腕輪）に固有の識別子でありうる。
【００４８】
本発明は、種々の移動物に適用可能であり、また、種々の場面において移動物に関連するトレース・データの開示を制限するために使用されうる。例えば、運送、輸送若しくは駐車場における車両又はヒト（移動物である）の管理、作業現場における車両又はヒト（移動物である）の管理、ビルにおけるヒト（移動物である）の管理において、必要なトレース・データを取得する際に、個人情報が保護されるように、本発明が適用されうる。
【００４９】
図３は、図１に示すコンピュータ・ハードウェアの機能を有し、本発明の実施態様において使用されうるデータ・アグリゲータ（２０２）の機能ブロック図を示す。
データ・アグリゲータ（２０２）は、レコード／ポリシー受信部（３０１）、検索要求受信／検索結果送信部（３０２）、計算部（３０３）及び秘匿部（３０４）を備えている。
【００５０】
レコード／ポリシー受信部（３０１）は、少なくとも１つのデータ・プロバイダ（２０１−１〜２０１−ｎ）から、レコード集合体を受け取り、当該受け取ったレコード集合体をレコード・レポジトリ（２１１）に格納する。レコード／ポリシー受信部（３０１）は、異なるデータ・プロバイダから、異なるレコード集合体（例えば、第１のレコード集合体及び第２のレコード集合体）を受け取り、又は、同じデータ・プロバイダから、異なるレコード集合体（例えば、第１のレコード集合体及び第２のレコード集合体）を受け取ってもよい。
【００５１】
また、レコード／ポリシー受信部（３０１）は、ユーザ端末（２０４）からポリシーを受け取り、当該受け取ったポリシーをポリシー・レポジトリ（２１２）に格納する。ユーザ端末（２０４）は、移動物のデータ・オーナーに関連付けている。
【００５２】
検索要求受信／検索結果送信部（３０２）は、サービス・プロバイダ（２０３−１〜２０３−ｎ）の少なくとも１つから、移動物に関連するデータ検索要求を受信する。検索要求受信／検索結果送信部（３０２）は、当該受信したデータ検索要求を計算部（３０３）に渡す。また、検索要求受信／検索結果送信部（３０２）は、秘匿部（３０４）からの検索結果を、データ検索要求を送信したサービス・プロバイダ（２０３−１〜２０３−ｎ）に送信する。
【００５３】
計算部（３０３）は、検索要求受信／検索結果送信部（３０２）から、移動物に関連するデータ検索要求を受け取る。当該データ検索要求を受け取ることに応じて、計算部（３０３）は、当該データ検索要求を構文解析し、当該構文解析の結果に応じて、当該データ検索要求に必要とされうるレコード集合体をレコード・レポジトリ（２１１）から取得する。計算部（３０３）は、例えば、第１のレコード集合体及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、データ検索要求に対応する移動物に関連するトレース・データを計算する。
【００５４】
計算部（３０３）は、データ検索要求に応じて開示するレコードに関連付けられている移動物において、一定範囲のＬ個（Ｌは１以上の整数）の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、上記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)を計算する。そして、計算部（３０３）は当該計算結果を秘匿部（３０４）に渡し、秘匿部（３０４）は、１又は複数のレコード集合体中の同一の識別子を有する移動物が上記計算された範囲ｗｊを上記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、上記計算されたトレース・データ又は当該トレース・データの一部を、検索結果として検索要求受信／検索結果送信部（３０２）に渡す。本明細書において、秘匿部（３０４）の上記処理を秘匿化という。検索要求受信／検索結果送信部（３０２）は、データ検索要求を送信したサービス・プロバイダ・コンピュータに、上記検索結果を返す。また、秘匿部（３０４）は、上記計算されたトレース・データ又は当該トレース・データの一部を、ポリシー・レポジトリ（２１２）から取り出したポリシーに従って、開示制限することが可能である。当該ポリシーは、１又は複数のレコード集合体中の同一の識別子を有する移動物に関連付けられたポリシーでありうる。
【００５５】
秘匿部（３０４）は、第１の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にあり、及び、第２の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にある場合に、１又は複数のレコード集合体中の上記第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、上記１又は複数のレコード集合体中の上記第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致になるように上記第１の属性値の取り方を制御する。なお、上記第２の属性値から計算される値は、上記第１の属性値から値を求める方法と同じ方法によって計算される。そして、秘匿部（３０４）は、上記制御によって、上記第２の値に入れ替えられた後に計算される集計値が上記第１の値から計算される集計値と完全一致することに応じて、上記データ検索要求に対応する移動物に関連する上記計算されたトレース・データ若しくは当該トレース・データの一部又は上記制御された属性値を、検索結果として検索要求受信／検索結果送信部（３０２）に渡す。本明細書において、秘匿部（３０４）の上記処理もまた秘匿化という。検索要求受信／検索結果送信部（３０２）は、データ検索要求を送信したサービス・プロバイダ・コンピュータに、上記検索結果を返す。また、秘匿部（３０４）は、上記１又は複数のレコード集合体中の上記同一の識別子に関連付けられたポリシーに従って、上記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する。当該ポリシーは、１又は複数のレコード集合体中の同一の識別子を有する移動物に関連付けられたポリシーでありうる。
【００５６】
図４は、本発明の実施態様において使用されうるデータ・プロバイダ（２０１−１〜２０１−３）が、移動物（４２１〜４２３）についての情報を収集してレコード集合体として記録し、又は、移動物から送信されるレコード集合体を受信して記録する態様を示す。
データ・プロバイダ（２０１−１）は、時空間領域（４１１及び４１２）の移動物からの情報を受け取る。データ・プロバイダ（２０１−２）は、時空間領域（４１３）の移動物からの情報を受け取る。データ・プロバイダ（２０１−３）は、時空間領域（４１４及び４１５）の移動物からの情報を受け取る。
時空間領域（４１１、４１２、４１３、４１４及び４１５）の領域はそれぞれ、例えば、東京、銀座、品川、新宿、及び池袋であるとする。また、時空間領域（４１１）の時間幅は９時〜１１時であり、時空間領域（４１２）の時間幅は１１〜１３時であり、時空間領域（４１３）の時間幅は１３〜１５時であり、時空間領域（４１４）の時間幅は１５〜１７時であり、及び時空間領域（４１５）の時間幅は１７〜１９時であるとする。
【００５７】
移動物（４２１）を２０代男性が運転しており、その識別子はＸＸＸＸであり、車両の色は赤色、車種は貨物車であるとする。移動物（４２１）は、東京、銀座、品川、新宿、及び池袋の地域を走行しているとする。
移動物（４２２）を５０代男性が運転しており、その識別子はＹＹＹＹＹであり、車両の色は茶色、車種はトラックであるとする。移動物（４２２）は、東京、銀座、品川、新宿、及び池袋の地域を走行しているとする。
移動物（４２３）を３０代女性が運転しており、その識別子はＺＺＺＺＺであり、車両の色は白色、車種はセダンであるとする。移動物（４２３）は、東京、銀座、品川、新宿、及び池袋の地域を走行しているとする。
【００５８】
移動物（４２１）は、時刻ｔ１において位置ｐ１（時空間領域（４１１）に属する）を時速４５ｋｍ／時間で走行しているとする。
移動物（４２２）は、時刻ｔ２において位置ｐ２（時空間領域（４１１）に属する）を時速５５ｋｍ／時間で走行しているとする。
移動物（４２３）は、時刻ｔ３において位置ｐ３（時空間領域（４１１）に属する）を時速５０ｋｍ／時間で走行しているとする。
【００５９】
データ・プロバイダ（２０１−１）は、移動物（４２１）から、識別子ＸＸＸＸＸ、時刻ｔ１、位置ｐ１、車両の色（赤色）、車種（貨物車）、車速（４５ｋｍ／時間）及び２０代男性というレコード１を受け取る。
データ・プロバイダ（２０１−１）は、移動物（４２２）から、識別子ＹＹＹＹＹ、時刻ｔ２、位置ｐ２、車両の色（茶色）、車種（トラック）、車速（５５ｋｍ／時間）、及び５０代男性というレコード２を受け取る。
データ・プロバイダ（２０１−１）は、移動物（４２３）から、識別子ＺＺＺＺＺ、時刻ｔ３、位置ｐ３、車両の色（白色）、車種（セダン）、車速（５０ｋｍ／時間）及び３０代女性というレコード３を受け取る。
【００６０】
データ・プロバイダ（２０１−１）は、レコード１〜３をレコード集合体１としてまとめる。レコード集合体１の例を図５に示す（５０１）。レコード集合体１（５０１）は、レコード１（５１１）、レコード（５１２）及びレコード３（５１３）を含む。データ・プロバイダ（２０１−１）は、レコード集合体１（５０１）をデータ・アグリゲータ（２０２）に送信する。なお、データ・プロバイダ（２０１−１）は、レコード集合体１の代わりにレコード１〜３それぞれをデータ・アグリゲータ（２０２）に送信してもよい。レコード１〜３それぞれがデータ・アグリゲータ（２０２）に送信された場合には、データ・アグリゲータ（２０２）がレコード１〜３をレコード集合体１（５０１）としてまとめうる。データ・アグリゲータ（２０２）は、レコード集合体１（５０１）をレコード・レポジトリ（２１１）に格納しうる。
【００６１】
また、移動物（４２１）は、時刻ｔ４において位置ｐ４（時空間領域（４１２）に属する）を時速５０ｋｍ／時間で走行しているとする。
また、移動物（４２２）は、時刻ｔ５において位置ｐ５（時空間領域（４１２）に属する）を時速５５ｋｍ／時間で走行しているとする。
また、移動物（４２３）は、時刻ｔ６において位置ｐ６（時空間領域（４１２）に属する）を時速６０ｋｍ／時間で走行しているとする。
【００６２】
データ・プロバイダ（２０１−１）は、移動物（４２１）から、識別子ＸＸＸＸＸ、時刻ｔ４、位置ｐ４、車両の色（赤色）、車種（貨物車）、車速（５０ｋｍ／時間）及び２０代男性というレコード４を受け取る。
データ・プロバイダ（２０１−１）は、移動物（４２２）から、識別子ＹＹＹＹＹ、時刻ｔ５、位置ｐ５、車両の色（茶色）、車種（トラック）、車速（５５ｋｍ／時間）及び５０代男性というレコード５を受け取る。
データ・プロバイダ（２０１−１）は、移動物（４２３）から、識別子ＺＺＺＺＺ、時刻ｔ６、位置ｐ６、車両の色（白色）、車種（セダン）、車速（６０ｋｍ／時間）及び３０代女性というレコード６を受け取る。
【００６３】
データ・プロバイダ（２０１−１）は、レコード４〜６をレコード集合体２としてまとめる。データ・プロバイダ（２０１−１）は、レコード集合体２をデータ・アグリゲータ（２０２）に送信する。なお、データ・プロバイダ（２０１−１）は、レコード集合体２の代わりにレコード４〜６それぞれをデータ・アグリゲータ（２０２）に送信してもよい。レコード４〜６それぞれがデータ・アグリゲータ（２０２）に送信された場合には、データ・アグリゲータ（２０２）がレコード４〜６をレコード集合体２としてまとめうる。データ・アグリゲータ（２０２）は、レコード集合体２をレコード・レポジトリ（２１１）に格納しうる。
【００６４】
また、データ・プロバイダ（２０１−１）は、レコード集合体１とレコード集合体２それぞれに同じ識別子を有するレコードが存在していることから、レコード集合体１とレコード集合体２とをまとめて、統合レコード集合体Ａとすることができる。統合レコード集合体Ａの例を図５に示す（５０２）。統合レコード集合体Ａ（５０２）では、識別子を第１キー、時刻ｔを第２キーとして各レコード（５２１〜５２６）がソートされているが、ソートは必ずしも必要でない。
【００６５】
移動物（４２１、４２２及び４２３）それぞれが時空間領域（４１３）を通過した場合の各レコード集合体は、データ・プロバイダ（２０１−２）からデータ・アグリゲータ（２０２）に送信される。同様に、移動物（４２１、４２２及び４２３）それぞれが時空間領域（４１４）及び時空間領域（４１５）を通過した場合の各レコード集合体も、データ・プロバイダ（２０１−３）からデータ・アグリゲータ（２０２）に送信される。
【００６６】
データ・アグリゲータ（２０２）は、データ検索要求に応じて、識別子ＸＸＸＸＸについてのレコードをレコード・レポジトリ（２１１）から取得しうる。データ・アグリゲータ（２０２）は、識別子ＸＸＸＸＸを含む識別子として含む複数のレコードを関連付ける。当該関連付けによって、データ・アグリゲータ（２０２）は、識別子ＸＸＸＸＸから特定される移動物（４２１）が、いつ、どこで、どのように移動したかについての情報に加えて、移動物（４２１）に関連付けられた個人情報、例えば、車両の色（赤）、車種（貨物車）、運転者の年代（２０代）、及び性別（男）などを知ることができる。
【００６７】
同様に、データ・アグリゲータ（２０２）は、データ検索要求に応じて、識別子ＹＹＹＹＹについてのレコードをレコード・レポジトリ（２１１）から取得しうる。データ・アグリゲータ（２０２）は、識別子ＹＹＹＹＹを含む識別子として含む複数のレコードを関連付ける。当該関連付けによって、データ・アグリゲータ（２０２）は、識別子ＹＹＹＹＹから特定される移動物（４２２）が、いつ、どこで、どのように移動したかについての情報に加えて、移動物（４２２）に関連付けられた個人情報、例えば、車両の色（茶）、車種（トラック）、運転者の年代（５０代）、及び性別（男）などを知ることができる。
【００６８】
同様に、データ・アグリゲータ（２０２）は、データ検索要求に応じて、識別子ＺＺＺＺＺについてのレコードをレコード・レポジトリ（２１１）から取得しうる。データ・アグリゲータ（２０２）は、識別子ＺＺＺＺＺを含む識別子として含む複数のレコードを関連付ける。当該関連付けによって、データ・アグリゲータ（２０２）は、識別子ＺＺＺＺＺから特定される移動物（４２３）が、いつ、どこで、どのように移動したかについての情報に加えて、移動物（４２３）に関連付けられた個人情報、例えば、車両の色（白）、車種（セダン）、運転者の年代（３０代）、及び性別（女）などを知ることができる。
【００６９】
上記のようにして、データ・アグリゲータ（２０２）は、車両の色、車種、運転者の年代、及び性別などを知ることができる。上記に示した例の場合、車両の色、車種、運転手の年代、又は性別であることのいずれかのデータが開示されることによって、移動物（４２１）、移動物（４２２）及び移動物（４２３）のいずれのデータであるかが特定されてしまう。このことは個人情報の漏洩につながり、個人情報保護の観点から問題である。
【００７０】
そこで、本願発明の実施態様に従うと、個人情報の保護を図るために、データ・アグリゲータ（２０２）は、以下の処理を行う。すなわち、データ検索要求に応じて開示するレコードに関連付けられている移動物において、一定範囲のＬ個（Ｌは１以上の整数）の領域を、一定時間以内に通過するという条件を満たす移動物がｋ個（ｋは２以上の整数）以上存在するように、Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ, eｊ)（sｊは通過時間の開始時間であり、eｊは通過時間の終了時間であり、及びｊは１，２，・・・，Ｌの整数である）を計算する。
【００７１】
図４の例では、５個の時空間領域（４１１〜４１５）がある。そこで、時空間領域（４１１〜４１５）ごとに、一定時間以内に通過するという条件を満たす移動物がｋ個（ｋは２以上の整数）以上存在するように、当該時空間領域の範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ, eｊ)を計算する。範囲ｗを広げることによって、広げた後の範囲ｗｊ内に入る移動物の数が増える（以下の図６Ａを参照）。また、通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって、広げた後の又はずらした後の時間レンジ(sｊ, eｊ)内に入る移動物の数が増える（以下の図６Ｂを参照）。また、範囲ｗを広げ且つ通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって、広げた後の範囲ｗｊ及び広げた後の又はずらした後の通過時間レンジ(sｊ, eｊ)内に入る移動物の数が増える。
【００７２】
図５は、本発明の実施態様において使用されうるレコード集合体の例を示す。
レコード集合体（５０１及び５０２）は各レコードを含む。レコードは一単位のデータであり、各レコードは、移動物の識別子、及び当該識別子に関連付けられた各属性値を有する。各属性値は、時刻ｔ及び位置ｐという時空間を決めるための属性値に加えて、時刻ｔ及び位置ｐにおける移動物に関する各属性についての属性値を含む。
【００７３】
図６Ａは、本発明の実施態様において、範囲ｗを広げることによって、広げた後の範囲ｗｊ内に入る移動物の数が増えることを示す。
範囲ｗを広げる前に、時空間領域（４１１）にある移動物は４２１、４２２及び４２３で示される３台である。一方、時空間領域（４１１）の範囲ｗを広げることによって（６１１、ｗｊ）、移動物は４２１、４２２及び４２３で示される３台に加えて、６２１、６２２及び６２３で示される３台を加えた合計６台になる。従って、当該範囲ｗｊ内に、移動物（４２１）に関連付けられた属性値、例えば車種（貨物車）を有する移動物が複数台存在（４２１、６２１、６２２及び６２３）することによって、移動物（４２１）が属性値（貨物車）が公開された場合であっても、当該公開された属性値（貨物車）から移動物（４２１）が特定されることがなくなる。言い換えれば、移動物（４２１、６２１、６２２及び６２３）は、同一の振る舞いと、同一の属性値（貨物車）を持つ車であるとして開示される。従って、移動物（４２１）の属性値（貨物車）が公開された場合であっても、移動物（４２１）のデータ・オーナーの個人情報の保護が図られる。
【００７４】
図６Ｂは、本発明の実施態様において、通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって、広げた後の又はずらした後の時間レンジ(sｊ，eｊ)内に入る移動物の数が増えることを示す。
通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらす前に、時空間領域（４１１）にある移動物は４２１、４２２及び４２３で示される３台である。一方、通過時間レンジ(sｊ, eｊ)を広げる又は前後にずらすことによって（６１２）、移動物は４２１、４２２及び４２３で示される３台に加えて、６３１、６３２及び６３３で示される３台を加えた合計６台になる。従って、広げた後の又はずらした後の時間レンジ(sｊ，eｊ)内に、移動物（４２１）に関連付けられた属性値、例えば車種（貨物車）を有する移動物が複数台存在（４２１、６３１、６３２及び６３３）することによって、移動物（４２１）が属性値（貨物車）公開された場合であっても、当該公開された属性値（貨物車）から移動物（４２１）が特定されることがなくなる。言い換えれば、移動物（４２１、６３１、６３２及び６３３）は、同一の振る舞いと、同一の属性値（貨物車）を持つ車であるとして開示される。従って、移動物（４２１）の属性値（貨物車）が公開された場合であっても、移動物（４２１）のデータ・オーナーの個人情報の保護が図られる。
【００７５】
図７は、本発明の実施態様において使用されるレコードにおいて、各属性値を使用して集計値を求めるために、各属性値を数値に変換する態様を示す。
各属性値を使用して求められる集計値は、集計値を開示してよいかどうかを判断するために使用される。具体的には、秘匿部（３０４）は、第１の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レン(sｊ，eｊ)にあり、且つ、第２の移動物が上記計算された範囲ｗｊにあり且つ上記計算された通過時間レンジ(sｊ，eｊ)にある場合に、レコード集合体中の第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、上記レコード集合体中の第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が当該第１の値から計算される集計値と完全一致になるように上記第１の属性値の取り方を制御することが可能である。
【００７６】
以下に、図７のレコード集合体（７０１）を例にして、上記第１の属性値の取り方を説明する。
【００７７】
レコード集合体（７０１）は、図５のレコード集合体（５０１）のレコード（５１１〜５１３）と同一のレコード（７２１〜７２３）を含む。また、レコード集合体（７０１）は、レコード（７２１〜７２３）に加えて、レコード（７２４及び７２５）を含む。なお、時刻ｔ１〜ｔ５及び位置ｐ１〜ｐ５は１つのデータ・プロバイダが検出する１つの時空間領域内（例えば、図４の４１１）にあるとする。
【００７８】
データ・アグリゲータ（２０２）の計算部（３０３）は、属性値を所定のルールに従い数値化する。属性「時刻」の属性値は、例えば、シリアル値に変換されうる。属性「位置」の属性値は、例えばdegree度分秒表示に変換されうる。属性「色」の属性値は、例えば色コードに変換されうる。属性「車速」の属性値は、数値であるので変更されなくてもよく、又は、「０〜１０ｋｍ未満／時間」を１、「１０〜２０ｋｍ未満／時間」を２、「２０〜３０ｋｍ未満／時間」を３、「３０〜４０ｋｍ未満／時間」を４、「４０〜５０ｋｍ未満／時間」を５、（以降、同様）のように数値化されてもよい。属性「運転者」は、例えば、年代（数値）と男（数値「１」とする）又は女（数値「０」とする）との各数値が組み合わされた属性値に変換されうる。その結果のレコード集合体が図７の７０２に示されている。
【００７９】
計算部（３０３）は、レコード集合体（７０２）のレコード（７３１、７３２及び７３３）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、所定の関数にこれら属性値を代入して集計値（第１の集計値）を計算するとする。
一方、計算部（３０３）は、レコード（７３１、７３２及び７３３）のうち、レコード（７３１）の属性値をレコード（７３２）の属性値の全てと入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３２、７３２及び７３３）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第２の集計値）を計算する。そうすると、第１の集計値と第２の集計値とは一致しない。従って、レコード（７３１）の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することは、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながる。
【００８０】
同様に、計算部（３０３）は、レコード（７３１、７３２及び７３３）のうち、レコード（７３１）の属性値をレコード（７３３）の属性値の全てと入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３３、７３２及び７３３）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第３の集計値）を計算する。そうすると、第１の集計値と第３の集計値とは一致しない。従って、レコード（７３１）の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することは、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながる。
【００８１】
従って、レコード（７３１〜７３３）しかない場合、レコード（７３１）の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することはできない。同様に、レコード（７３２）又はレコード（７３３）の識別子によって特定される属性値、又は当該属性値から求められるデータを公開することはできない。
【００８２】
そこで、本発明の１つの実施態様では、以下の処理を行う。計算部（３０３）は、例えば、レコード（７３１、７３２、７３３及び７３４）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、所定の関数にこれら属性値を代入して集計値（第４の集計値）を計算するとする。
一方、計算部（３０３）は、レコード（７３１、７３２、７３３及び７３４）のうち、レコード（７３１）の属性１〜４の属性値全てをレコード（７３４）の属性１〜４の属性値と入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３４、７３２、７３３及び７３４）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第５の集計値）を計算する。そうすると、レコード（７３１）の属性１〜属性４の各値は、レコード（７３４）の属性１〜属性４の各値と同じであることから、レコード（７３１）の属性１〜４の各属性値全てをレコード（７３４）の属性１〜４の各属性値と入れ替えたとしても、第５の集計値は第４の集計値と完全に一致する。すなわち、レコード（７３１）の属性１〜４の各属性値全てをレコード（７３４）の属性１〜４の各属性値と入れ替えたとしても、集計値は影響されない。従って、レコード（７３１）の識別子によって特定される各属性値１〜４、又は当該属性値１〜４から求められるデータを公開したとしても、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながらない。計算部（３０３）は、上記のようにして、集計値として使用するレコードを集計値が同じになるように取捨選択することによって、公開可能なレコード及びその属性を決定することが可能である。
【００８３】
次に、計算部（３０３）は、例えば、レコード（７３１、７３２、７３３及び７３５）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、所定の関数にこれら属性値を代入して集計値（第６の集計値）を計算するとする。
一方、計算部（３０３）は、レコード（７３１、７３２、７３３及び７３５）のうち、レコード（７３１）の属性１〜４の属性値全てをレコード（７３５）の属性１〜４の属性値と入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３４、７３２、７３３及び７３５）について、属性１（色）、属性２（車種）、属性３（車速）及び属性４（運転者）の４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第７の集計値）を計算する。そうすると、レコード（７３５）の属性１の値（#ffffff）は、レコード（７３１）の属性１の値（#ff0000）と異なることから、レコード（７３１）の属性１〜４の各属性値全てをレコード（７３５）の属性１〜４の各属性値と入れ替えた場合には、第７の集計値は第６の集計値と完全に一致しない。すなわち、レコード（７３１）の属性１〜４の各属性値全てをレコード（７３５）の属性１〜４の各属性値と入れ替えた場合には、集計値が影響される。従って、レコード（７３１）の識別子によって特定される属性値（例えば属性１）を公開すると、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながらない。
【００８４】
そこで、本発明の他の実施態様では、以下の処理を行う。計算部（３０３）は、レコード（７３１、７３２、７３３及び７３５）のうち、レコード（７３１）の属性１を除く属性２〜４の属性値全てをレコード（７３５）の属性１を除く属性２〜４の属性値と入れ替えたとする。すなわち、計算部（３０３）は、レコード（７３５、７３２、７３３及び７３５）について、属性１（色）を除く、属性２（車種）、属性３（車速）及び属性４（運転者）の３つの各属性値から、所定の関数にこれら属性値を代入して集計値（第８の集計値）を計算する。そうすると、レコード（７３５）の属性２〜属性４の各値は、レコード（７３１）の属性２〜属性４の各値と全て同じであることから、レコード（７３１）の属性２〜４の各属性値全てをレコード（７３５）の属性２〜４の各属性値と入れ替えたとしても、第８の集計値は第７の集計値と完全に一致する。すなわち、レコード（７３１）の属性２〜４の各属性値全てをレコード（７３５）の属性２〜４の各属性値と入れ替えたとしても、集計値は影響されない。従って、レコード（７３１）の識別子によって特定される各属性値２〜４、又は当該属性値２〜４から求められるデータを公開したとしても、レコード（７３１）の識別子によって特定されるデータ・オーナーの個人情報を開示することにつながらない。計算部（３０３）は、上記のようにして、集計値として使用する属性を集計値が同じになるように取捨選択することによって、公開可能なレコード及びその属性を決定することが可能である。
【００８５】
図８は、本発明の実施態様において、データ・アグリゲータ（２０２）が、集計値に影響がないように属性の取り方を変更することを示す例を示す。
移動物Ａ〜Ｄの各識別子に、属性１〜４についての各属性値が関連付けられている（８０１〜８０４）。属性１〜４の各属性値は、便宜的に記号○、△及び□のいずれかで示されている。移動物Ａの属性１〜４の各属性値は○○○○であり、移動物Ｂの属性１〜４の各属性値は○○△○であり、移動物Ｃの属性１〜４の各属性値は○□△○であり、及び、移動物Ｄの属性１〜４の各属性値は○□○○である。
【００８６】
計算部（３０３）は、移動物Ａ〜Ｄそれぞれの４つの各属性値から、所定の関数にこれら属性値を代入して集計値（第１の集計値）を計算するとする（８０１）。次に、計算部（３０３）は、移動物Ａの属性値全てを移動物Ｄの属性値と入れ替えたとする（８０２）。すなわち、計算部（３０３）は、移動物Ｄ、Ｂ、Ｃ及びＤそれぞれの４つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第２の集計値）を計算するとする。移動物Ｄの属性２の属性値□と、移動物Ａの属性２の属性値○は異なる。従って、第２の集計値は、第１の集計値と一致しない。従って、移動物Ａによって特定される属性値又は当該属性値から求められるデータ（すなわち、トレース・データ）を公開することは、移動物Ａの識別子によって特定されるデータ・オーナーの個人情報を開示することにつながる。
【００８７】
そこで、本発明の１つの実施態様では、以下の処理を行う。計算部（３０３）は、移動物Ａ〜Ｄそれぞれの属性１〜４のうち、属性２を除く属性１及び３〜４の属性値を選択して、所定の関数にこれら選択した属性値を代入して集計値（第３の集計値）を計算するとする（８１１）。次に、移動物Ａの属性２を除く属性１及び３〜４の属性値全てを移動物Ｄの属性２を除く属性１及び３〜４の属性値と入れ替えたとする（８１２）。すなわち、計算部（３０３）は、移動物Ｄ、Ｂ、Ｃ及びＤそれぞれの３つの各属性値から、上記所定の関数にこれら属性値を代入して集計値（第４の集計値）を計算するとする。移動物Ｄの属性１及び属性３〜４の各属性値は、移動物Ａの属性１及び属性３〜４の各属性値と同じである。従って、第４の集計値は、第３の集計値と完全に一致する。すなわち、移動物Ａの属性１及び２〜４の各属性値全てを移動物Ｄの属性１及び３〜４の各属性値と入れ替えたとしても、集計値（すなわち、第３の集計値及び第４の集計値）は影響されない。従って、移動物Ａの識別子によって特定される各属性値１及び３〜４又は当該属性値１及び３〜４から求められるデータ（すなわち、トレース・データ）を公開したとしても、移動物Ａの識別子によって特定されるデータ・オーナーの個人情報を開示することにつながらない。上記のようにして、計算部（３０３）は、属性値の取り方を集計値が完全に一致するように制御することによって（言い換えれば、集計のために利用する属性値を集計値が完全に一致するように選択することによって）、公開可能なトレース・データを決定することが可能である。
【００８８】
図９Ａは、本発明の実施態様において、データ・アグリゲータ（２０２）が、集計値に影響がないことを確認して、トレース・データを開示するためのフローチャートを示す。
ステップ９０１では、計算部（３０３）は、移動物（例えば、Ａ、Ｂ及びＣ）の各識別子を含むレコードからの属性値から集計値（ＡＶ１）を求める。
ステップ９０２では、計算部（３０３）は、移動物（例えば、Ａ、Ｂ及びＣ）のうち、移動物Ａの識別子を含むレコードの属性値を移動物Ｂ又はＣの識別子を含むレコードの属性値全てと入れ替えて、ステップ９０１で集計値を求めた同じ方法（例えば、所定の関数）に従い集計値（ＡＶ２）を求める。
ステップ９０３では、計算部（３０３）は、集計値（ＡＶ１）と集計値（ＡＶ２）とを比較し、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致するかどうかを判断する。集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致する場合には、ステップ９０４に進み、一方、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致しない場合には、ステップ９０２に戻る。
ステップ９０４では、秘匿部（３０４）は、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致することに応じて、移動物（Ａ）の属性値（固有データでもある）の影響が集計値から求められないと判断する。
一方、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致しないことに応じて、秘匿部（３０４）は、ステップ９０２の処理に戻り、集計値（ＡＶ１）と集計値（ＡＶ２）とが完全一致するように、例えば、移動物の識別子を含むレコードからの属性値を変更したり、移動物（Ａ）の属性値を入れ替える移動物を他の移動物に変更して、属性値を変更したり、又は移動物を入れ替えたり若しくは増減することによって属性値を変更する。そして、処理は、再度ステップ９０３に戻り、計算部（３０３）は、集計値（ＡＶ１）と集計値（ＡＶ２）とを比較する。なお、属性値を変更することによって、開示可能なトレース・データが減少しうる場合がある。
【００８９】
図９Ｂは、本発明の実施態様において、データ・アグリゲータ（２０２）が、集計値が完全に一致することに応じて、トレース・データを開示するための具体例１及び２を示す。
具体例１は、移動物に関連するトレース・データの集計値として、６０歳未満というデータを開示してよいかという条件１（「６０歳未満か否か」）に従って、開示してよいトレース・データを調べる例である。移動物の数についての閾値ｋは３であるとする。
具体例２は、移動物に関連するトレース・データの集計値として、４０歳未満というデータを開示してよいかという条件２（「４０歳未満か否か」）に従って、開示してよいトレース・データかを調べる例である。移動物の数についての閾値ｋは３であるとする。
【００９０】
ステップ９１１において、計算部（３０３）は、３つの移動物Ａ、Ｂ及びＣの各識別子をそれぞれ含むレコードの属性値を使用して、トレース・データＡ、Ｂ及びＣをそれぞれ求める。その結果、トレース・データＡは、Ａ：Ｆ１：50km/h，Ｆ２：45km/h，Ｆ３：30km/h，属性値：２０代男、であり、トレース・データＢは、Ｂ：Ｆ１:50km/h，Ｆ２：45km/h，Ｆ３：30km/h，属性値：３０代女、であり、及びトレース・データＣは、Ｃ：Ｆ１:50km/h，Ｆ２：45km/h，Ｆ３：30km/h，属性値：４０代男、であるとする。
トレース・データＡ、Ｂ及びＣにおいて、３つの時空間領域Ｆ１、Ｆ２及びＦ３と、各時空間領域に関連付けられた属性（平均速度）の属性値（Ｆ１：50km/h，Ｆ２：45km/h，Ｆ３：30km/h）は全て一致するように選択されている。従って、トレース・データＡ、Ｂ及びＣにおいて、時空間領域Ｆ１、Ｆ２及びＦ３と、各時空間領域に関連付けられた属性（平均速度）を見るだけでは、移動物Ａ、Ｂ及びＣは全く同じであり区別できない。従って、閾値ｋが３であるという匿名性は満たされている。
しかしながら、トレース・データＡ、Ｂ及びＣの各属性（世代、年代）を見ると、２０代男、３０代女性及び４０代男であるので、当該属性（世代、年代）から、移動物Ａ、Ｂ及びＣは特定可能である。従って、当該属性（世代、年代）を開示してしまうと、移動物Ａ、Ｂ及びＣは特定されてしまう。従って、閾値ｋが３であるという匿名性は満たされていない。
一方、属性（世代、年代）を直接ではなく、上記具体例１及び２に挙げたように、属性値の取り方を制御する集計処理をすることによって、トレース・データＡ、Ｂ及びＣを開示できる可能性がある。
【００９１】
以下に具体例１について、説明する。
ステップ９１２において、計算部（３０３）は、トレース・データＡ、Ｂ及びＣから集計値ＡＶを計算する。ステップ９１２では、条件１（「６０歳未満か否か」）は満たされている。
ステップ９１３において、計算部（３０３）は、トレース・データＡの属性値（２０代男）をトレース・データＢの属性値（３０代女）に置換する。
ステップ９１４では、計算部（３０３）は、トレース・データＢ、Ｂ及びＣの属性値から、ステップ９１２と同じ方法に従い集計値ＡＶ＿１を計算する。ステップ９１４では、条件１（「６０歳未満か否か」）は満たされている。
ステップ９１５において、計算部（３０３）は、トレース・データＡの属性値（２０代男）をトレース・データＣの属性値（４０代男）に置換する。
ステップ９１６において、計算部（３０３）は、トレース・データＣ、Ｂ及びＣの属性値から、ステップ９１２と同じ方法に従い集計値ＡＶ＿２を計算する。ステップ９１６では、条件１（「６０歳未満か否か」）は満たされている。
ステップ９１７において、計算部（３０３）は、集計値ＡＶ、ＡＶ＿１及びＡＶ＿２を比較する。具体例１では、ステップ９１４及びステップ９１６でそれぞれ計算される集計値ＡＶ＿１及びＡＶ＿２は、ステップ９１２で計算される集計値ＡＶと一致する。従って、処理は、ステップ９１８に進む。
ステップ９１８において、秘匿部（３０４）は、集計値ＡＶ、ＡＶ＿１及びＡＶ＿２の全部が一致することから、トレース・データ及び制御された属性（６０歳未満）を開示可能であると判断する。何故ならば、ステップ９１３において、トレース・データＡの属性値（２０代男）をトレース・データＢの属性値（３０代女）に置換しても、及び、トレース・データＡの属性値（２０代男）をトレース・データＣの属性値（４０代男）に置換しても、条件１（「６０歳未満か否か」）は満たされているからである。従って、「６０歳未満か否か」という制御された属性を開示しても、移動物Ａ、Ｂ及びＣのうちから、移動物Ａを区別するだけのデータは漏れないということが確認できる。従って、具体例１では、秘匿部（３０４）は、トレース・データ及び必要に応じて制御された属性値（派生の属性情報の属性値）は開示可能であると判断する。従って、開示可能なデータ（秘匿化された検索結果）は、Ｆ１：50km/h，Ｆ２：45km/h，Ｆ３：30km/h，６０歳未満である。
【００９２】
以下に具体例２について、説明する。
ステップ９１２において、計算部（３０３）は、トレース・データＡ、Ｂ及びＣから集計値ＡＶを計算する。ステップ９１２では、条件２（「４０歳未満か否か」）は満たされている。
ステップ９１３において、計算部（３０３）は、トレース・データＡの属性値（２０代男）をトレース・データＢの属性値（３０代女）に置換する。
ステップ９１４では、計算部（３０３）は、トレース・データＢ、Ｂ及びＣの属性値から、ステップ９１２と同じ方法に従い集計値ＡＶ＿１を計算する。ステップ９１４では、条件２（「４０歳未満か否か」）は満たされている。
ステップ９１５において、計算部（３０３）は、トレース・データＡの属性値（２０代男）をトレース・データＣの属性値（４０代男）に置換する。
ステップ９１６において、計算部（３０３）は、トレース・データＣ、Ｂ及びＣの属性値から、ステップ９１２と同じ方法に従い集計値ＡＶ＿２を計算する。ステップ９１６では、条件２（「４０歳未満か否か」）は満たされていない。
ステップ９１７において、計算部（３０３）は、集計値ＡＶ、ＡＶ＿１及びＡＶ＿２を比較する。具体例２では、ステップ９１４で計算される集計値ＡＶ＿１はステップ９１２で計算される集計値ＡＶに一致する。しかし、ステップ９１６で計算される集計値ＡＶ＿２はステップ９１２で計算される集計値ＡＶに一致しない。従って、処理は、ステップ９１９に進む。
ステップ９１９において、秘匿部（３０４）は、集計値ＡＶ、ＡＶ＿１及びＡＶ＿２の間でずれが生じていることから、「４０歳未満か否か」という制御された属性を開示可能であると判断する。何故ならば、ステップ９１３において、トレース・データＡの属性値（２０代男）をトレース・データＢの属性値（３０代女）に置換しても条件２（「６０歳未満か否か」）は満たされるが、一方、トレース・データＡの属性値（２０代男）をトレース・データＣの属性値（４０代男）に置換すると、条件２（「６０歳未満か否か」）は満たさないからである。従って、「４０歳未満か否か」という結果を開示すると、移動物Ａ、Ｂ及びＣのうちから、移動物Ｃを区別するだけのデータが漏れてしまうということが確認できる。従って、具体例２では、秘匿部（３０４）は、トレース・データの一部は開示可能であるが、制御された属性値（４０歳未満）は開示可能でない、と判断する。従って、開示可能なデータ（秘匿化された検索結果）は、Ｆ１：50km/h，Ｆ２：45km/h，Ｆ３：30km/hであり、制御された属性値（４０歳未満）は開示されない。
【００９３】
図１０は、本発明の実施態様において、時空間領域をつなげて得られるトレース・データを秘匿化した後に得られる秘匿化後トレース・データとレコード中の属性との関係を示す図である。
トレース・データとは、同一の識別子を有する複数のレコードを集めて、例えば古い時刻から新しい時刻へと時刻順にソートすることによって得られる、移動物の時刻変化による位置（又は空間）の推移を示すデータである。すなわち、本明細書において、トレース・データは、同一の識別子を有する移動物から得られるトレース情報である。トレース・データは、例えば、図４に示されているように、時空間領域（４１１）における移動物（４２１）のレコード１、時空間領域（４１２）における移動物（４２１）のレコード２、時空間領域（４１３）における移動物（４２１）のレコード３、時空間領域（４１４）における移動物（４２１）のレコード４、及び時空間領域（４１５）における移動物（４２１）のレコード５を集めて、時刻順にソートすることによって得られる。
【００９４】
秘匿化後トレース・データは、上記トレース・データが秘匿部（３０４）によって秘匿された後に求められるトレース・データであり、公開対象となりうるトレース・データである。従って、秘匿化後トレース・データは、秘匿前のトレース・データの全部又は一部でありうる。秘匿化後トレース・データが秘匿前のトレース・データの全部である場合とは、全てのトレース・データを公開してよい場合である。一方、秘匿化後トレース・データが秘匿前のトレース・データの一部である場合とは、一部のトレース・データを公開してよい場合である。秘匿化トレース・データには、レコード１〜５の中の各属性が関連付けられている。当該関連付けられている属性は、例えば、トレース・データ検索要求内に指示されうる。例えば、各時空間領域の平均速度である。計算部（３０３）は、データ検索要求に応じて、秘匿化後トレース・データについて情報開示を行うことが可能である。なお、秘匿化後トレース・データについての情報開示において、レコード自体が含まれるとは限らず、例えば、位置の遷移に関する情報が含まれうる。
【００９５】
時空間上の領域の関数Ｆｉ（ｉは１以上の整数）は、図１０の各時空間領域Ｆ１〜Ｆ５（１００１〜１００５）を配列した関数である。時空間領域Ｆ１〜Ｆ５（１００１〜１００５）それぞれは、上記レコード１〜５に対応しているとする。
時空間上の領域の関数Ｆの配列は、位置ｐ及び時間ｔについて、Ｆ（ｐ，ｔ）＝ｔｒｕｅである場合は領域内であり、Ｆ（ｐ，ｔ）＝ｆａｌｓｅである場合は領域外となるような関数である。関数Ｆは、直感的には、「ある範囲にある時間帯にあるか」という判断の結果を表す関数である。すなわち、位置ｐ１を中心とした半径ｄの領域に時間ｔ１〜ｔ２に存在する点は、数学的に表現すれば、下記式によって表されうる：|p-p1| > d and(t-t1)(t2-t)>0。
なお、関数Ｆをどのようにするかは、データ検索要求内において定義されうる。
【００９６】
図１０の時空間領域Ｆ１〜Ｆ５（１００１〜１００５）において、各時空間領域の関数Ｆｉ（ｉは１以上の整数）に、各属性情報（attr１，attr２，attr３，attr４，attr５）（１０２１〜１０２５）が関連付けられる場合がある。各属性情報（１０２１〜１０２５）は、同じものであっても、異なるものであってもよい。各属性情報が異なる場合とは、例えば、各時空間領域の平均速度である。この場合、属性情報（１０２１〜１０２５）は、当該時空間領域中に位置及び時刻（例えば、レコード中の位置及び時刻の情報）が含まれるレコード中の属性情報、又は、当該レコードの属性情報から生成されうる属性情報（すなわち、派生の属性情報）でありうる。当該派生の属性情報は、例えば「各時空間領域の平均速度」であり、派生の属性情報「各時空間領域の平均速度」は、１つの時空間領域内に複数のレコードが含まれていて、平均速度が当該複数のレコードの属性情報「速度」の平均である場合である。各属性情報（１０２１〜１０２５）の各領域における生成方法は、データ検索要求内において定義されうる。
【００９７】
図１１は、本発明の実施態様において、個人情報を保護するために使用されうるポリシー設定において使用されうるシステム環境図を示す。
データ・オーナーが、ユーザ端末（２０４）を介して、上記ポリシーを設定し又は変更しうる。ポリシーの例を、図１２に示す。ポリシーは、データ・アグリゲータ（２０２）からアクセス可能なポリシー・レポジトリ（２１２）に格納される。
【００９８】
ポリシー・レポジトリ（２１２）は、図１０において説明したトレース・データを利用するために必要となるポリシーも格納している。トレース・データの利用も、上記ポリシーに準拠する必要がある。ポリシーの具体例を以下に説明する。
【００９９】
ポリシーは、各トレース・データの秘匿化の閾値を定義する。トレースは、「F1, F2, ..., FN」で表されるＮ個の時空間領域の配列である。トレース・データは、Ｎ個の時空間領域を通過する、具体的なレコードの配列（配列長Ｎ）である。トレース・データT1, ..., Tkは、ｋ個存在しなくてはならず、当該ｋが上記秘匿化の閾値である。トレースF1, F2, ..., FN及びそれに関連付けられている属性情報attr1, attr2, ..., attrNは、
（１）ｋ個のトレース・データT1, ..., Tkがあって、（２）各トレース・データTiは、F1(r1)=true, F2(r2)=true, ..., FN(rN)=trueとなるようなレコードの配列r1,r2,...,rNを含み、A(Ti)=attrとなる、を満足する、という意味である。
ここで、ｋは、各トレース・データのデータ・オーナーがポリシー内において定義した閾値の最大値でありうる。閾値の最大値でありうる理由は、以下の通りである。レコード毎にデータ・オーナーがいて、各データ・オーナーが各レコードについて異なるポリシーを定義している場合がある。従って、各レコードについて、異なる閾値ｋが定義されている場合がある。そのような場合には、異なる閾値ｋの中でも、最大値の閾値が閾値として用いられるのである。
F1, F2, ..., FN及びattrは、検索結果内に含まれる。
トレース・データT1, ..., Tk及びレコードの配列r1, r2, ..., rNは、秘匿化時に利用する内部変数である。トレース・データT1, ... , Tkは時空間領域の配列であるので、秘匿化時において、時空間領域の推移を捉えるために使用されうる。レコードの配列r1, r2, ..., rNは、秘匿化時において、各時空間領域の属性情報を計算するために使用されうる。
Aは、属性情報attr1, attr2, ..., attrNの生成関数であり、データ検索要求内に含まれる。
【０１００】
秘匿部（３０４）は、ポリシーにおいて使用されうるデータの開示回数又は開示先を含むデータを例えばポリシー・レポジトリ（２１２）内に格納しうる。当該データは、当該データに関連付けられた移動物のポリシーに関連付けて格納されうる。
【０１０１】
図１２は、本発明の実施態様において、トレース・データの開示を制御するために使用されうるポリシーの例を示す。
ポリシー（１２０１）は、例えば、ポリシーを識別するための識別子（例えば、移動物の識別子と同じであってもよい）、移動物の識別子、移動物のデータの開示回数、及びその閾値、移動物のデータの開示先、移動物のデータの開示を拒否する属性、及び移動物のトレース・データの閾値を含みうる。ポリシーを使用してトレース・データの開示が制御されるために、ポリシーを設定したデータ・オーナーの意思に基づいて又は秘匿部（３０４）に設定されたデフォルトのポリシー設定に基づいて移動物に関連する個人情報を保護することが可能である。
【０１０２】
以下に、ポリシーを使用して、トレース・データがどのように秘匿化されるかを説明する。以下では、図５のレコード集合体１（５０１）を例にして説明する。
レコード集合体１（５０１）は、一つのデータ・プロバイダ（例えば２０１−１）からデータ・アグリゲータ（２０２）に提供されるレコードの集合である。このようなレコード集合体が、１つ又は複数のデータ・プロバイダからデータ・アグリゲータ（２０２）に提供される。そうすると、データ・アグリゲータ（２０２）は、移動物の識別子ＸＸＸＸＸについて、下記に示すような、データを複数行もつことになる。
【０１０３】
（ＸＸＸＸＸ，ｔ１ ，ｐ１ ，赤，貨物車，４５，２０代男，・・・）※
（ＸＸＸＸＸ，ｔ１１，ｐ１１，赤，貨物車，５５，２０代男，・・・）
（ＸＸＸＸＸ，ｔ１２，ｐ１２，赤，貨物車，３５，２０代男，・・・）
（ＸＸＸＸＸ，ｔ１３，ｐ１３，赤，貨物車，１５，２０代男，・・・）
（ＸＸＸＸＸ，ｔ１４，ｐ１４，赤，貨物車，３５，２０代男，・・・）
（注： レコード（５１１）に対応する）
【０１０４】
そこで、計算部（３０３）は、上記各レコードを、時間順でソートする。そうすると、上記例において、車速以外は固定属性であるので、下記のようにまとめられる。
【０１０５】
ＸＸＸＸＸ−（赤，貨物車，２０代男，・・・・）
（ｔ１， ｐ１， ４５） ・・・・Ｆ１
（ｔ１１，ｐ１１，５５） ・・・・Ｆ１
（ｔ１２，ｐ１２，３５） ・・・・Ｆ２
（ｔ１３，ｐ１３，１５） ・・・・Ｆ２
（ｔ１４，ｐ１４，３５） ・・・・Ｆ３
ここで、Ｆ１、Ｆ２及びＦ３は、時空間領域を示す。
【０１０６】
上記結果が、トレース・データである。（ｔ１，ｐ１）と（ｔ１１，ｐ１１）とが近く、（ｔ１２，ｐ１２）と（ｔ１３，ｐ１３）とが近いとする。そして、結果として、秘匿化処理の結果、トレース・データが３つの時空間領域Ｆ１、Ｆ２及びＦ３を包含するとする。各時空間領域の属性情報を「速度平均」とすると、
ＸＸＸＸＸ−（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
というのが、秘匿化したトレース・データである（なお、ＸＸＸＸＸは外部に明かさない）。
【０１０７】
秘匿化が完了していることから、同じ属性を持つ移動物はｋ個あるはずである。ここで、ポリシーにおいてｋ＝３であると設定されているとする。
ｋ＝３である場合、
ＸＸＸＸＸ−（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
ＹＹＹＹＹ−（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
ＺＺＺＺＺ−（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
という３つの移動物がある。しかし、秘匿化後の検索結果として返すのは、
（Ｆ１，５０）→（Ｆ２，２５）→（Ｆ３，３５）
になる。
【０１０８】
図１３は、本発明の実施態様において、データ検索要求において使用されうるシステム環境図を示す。
データ検索要求者は、ユーザ端末（２０４）にデータ検索要を入力して、又は、サービス・プロバイダ（２０３−１〜２０３−ｎ）にデータ検索要求を入力して、移動物についてのデータ検索をデータ・アグリゲータ（２０２）に対して要求しうる。
【０１０９】
以下に、トレース・データの検索要求について説明する。
トレース・データの検索要求は、距離関数を含む。距離関数は、例えば、下記に示される３つのいずれかでありうる。
（１）距離関数＝位置のずれ（時間帯＝∞、位置範囲＝最小）；この式は、時間幅に拘らずに、細粒度の距離精度で通過したことのある移動物のトレースを取得するために使用される。
（２）距離関数＝時刻の差（時間帯＝最小、位置範囲＝∞）；この式は、範囲の大きさに拘らずに、細粒度の時間精度でその時間帯に移動物がいたことを知りたい場合に使用される。
（３）距離関数＝c1*時間幅^2+c2*位置のずれ^2；この式は、c1及びc2を重み係数として、時間幅、距離を調整して時空間範囲を知りたい場合に使用される。
また、トレース・データの検索要求は、各時空間領域に関連付けられている属性情報をトレース・データからどう作って関連付けるかの定義を含む。当該定義は、例えば派生の属性情報であり、例えば、その時空間領域を通過したときの速度の平均値である。
【０１１０】
図１４は、本発明の実施態様において、（Ａ）ポリシーを取得すること、（Ｂ）レコード集合体を受信すること、及び、（Ｃ）データ検索要求を受信することに応じて、トレース・データを取得し、当該取得したトレース・データを処理（匿名化）して、その処理結果を検索結果として送信することの各フローチャートを示す図である。
【０１１１】
（Ａ）ポリシーを取得すること
ステップ１４０１において、データ・アグリゲータ（２０２）は、ポリシーを取得する処理を開始する。
ステップ１４０２において、データ・アグリゲータ（２０２）は、データ・オーナーのユーザ端末（２０４）から送信されたポリシーを受信する。当該ポリシーは、新しく作成されたポリシー又は修正されたポリシーでありうる。
ステップ１４０３において、データ・アグリゲータ（２０２）は、当該受信したポリシーを、ポリシー・レポジトリ（２１２）に格納する。
ステップ１４０４において、データ・アグリゲータ（２０２）は、ポリシーを取得する処理を終了する。
【０１１２】
（Ｂ）レコード集合体を受信すること
ステップ１４１１において、データ・アグリゲータ（２０２）のレコード／ポリシー受信部（３０１）は、レコード集合体を受信する処理を開始する。
ステップ１４１２において、レコード／ポリシー受信部（３０１）は、少なくとも１つのデータ・プロバイダ（２０１−１〜２０１−ｎ）から、レコード集合体を受信する。
ステップ１４１３において、レコード／ポリシー受信部（３０１）は、受信したレコード集合体をレコード・レポジトリ（２１１）に格納する。なお、受信したレコード集合体は、まとめられて統合レコード集合体としてレコード・レポジトリ（２１１）に格納されてもよい。
ステップ１４１４では、レコード／ポリシー受信部（３０１）は、レコード集合体を受信する処理を終了する。
【０１１３】
（Ｃ）データ検索要求を受信して、検索結果を送信すること
ステップ１４２１において、データ・アグリゲータ（２０２）は、トレース・データの検索処理を開始する。
ステップ１４２２において、検索要求受信／検索結果送信部（３０２）は、データ検索要求者からのデータ検索要求を少なくとも１つのサービス・プロバイダ（２０３−１〜２０３−ｎ）から受信する。検索要求受信／検索結果送信部（３０２）は、当該データ検索要求を計算部（３０３）に渡す。
ステップ１４２３において、計算部（３０３）は、当該データ検索要求に従って、レコード・レポジトリ（２１１）中のレコード集合体からデータを検索する。検索された結果が、トレース・データである。計算部（３０３）は、トレース・データを秘匿部（３０４）に渡す。
ステップ１４２４において、ステップ１４２３からのトレース・データに対して、秘匿化を行う。秘匿部（３０４）は、例えば、秘匿部（３０４）が保持している（又は秘匿部（３０４）に設定されている）固有の閾値ｋを使用して、又は、ポリシー・レポジトリ（２１２）からポリシーを取得し、当該ポリシー中の閾値ｋを使用して、トレース・データの秘匿化を行う。また、秘匿部（３０４）は、さらに上記ポリシー中の他の条件に従って、トレース・データの秘匿化を行いうる。ポリシーのポリシー・レポジトリ（２１２）からの取得は、例えば、移動物の識別子を特定し、当該特定された識別子からデータ・オーナーを特定し、そして、当該特定されたデータ・オーナーから、当該データ・オーナーが提出したポリシーを特定することによって行われうる。具体的には、ポリシーの取得は、移動物が例えば車両である場合、ＶＩＮ（又はプレート・ナンバー）を特定し、当該特定されたＶＩＮからデータ・オーナーを特定し、当該データ・オーナーが提出したポリシーを特定することによって行われうる。秘匿部（３０４）は、秘匿化を行った検索結果（秘匿化後トレース・データである）を検索要求受信／検索結果送信部（３０２）に送信する。
ステップ１４２５において、検索要求受信／検索結果送信部（３０２）は、秘匿化を行った上記検索結果を、データ検索要求を送信したサービス・プロバイダに送信する。
ステップ１４２６において、データ・アグリゲータ（２０２）は、トレース・データの検索処理を終了する。
【特許請求の範囲】
【請求項１】
少なくとも１つのデータ・プロバイダ・システムに接続されたサーバ・コンピュータが前記データ・プロバイダ・システムから提供されたデータの開示を制御する方法であって、前記サーバ・コンピュータが、
第１の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第１のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信するステップと、
第２の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第２のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信するステップであって、前記第２のレコード集合体中にある移動物の識別子は前記第１のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも１つ含む、前記第２のレコードを受信するステップと、
移動物に関連するデータ検索要求の受信に応じて、前記受信した第１及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、前記データ検索要求に対応する移動物に関連するトレース・データを計算するステップと、
一定範囲のＬ個の領域を一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、前記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算するステップと、
前記受信した第１及び第２のレコード集合体中の前記同一の識別子を有する移動物が前記計算された範囲ｗｊを前記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、前記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返すステップと
を実行することを含む、前記方法。
【請求項２】
前記検索結果として返すステップが、
第１の移動物が前記計算された範囲ｗｊにあり且つ前記計算された通過時間レンジ(sｊ，eｊ)にあり、及び、第２の移動物が前記計算された範囲ｗｊにあり且つ前記計算された通過時間レンジ(sｊ，eｊ)にある場合に、前記受信した第１及び第２のレコード集合体中の前記第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、前記受信した第１及び第２のレコード集合体中の前記第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が前記第１の値から計算される集計値と完全一致になるように前記第１の属性値の取り方を制御するステップであって、前記第２の属性値から計算される値は前記第１の属性値から値を求める方法と同じ方法によって計算される、前記制御するステップと
前記制御によって、前記第２の値に入れ替えられた後に計算される集計値が前記第１の値から計算される集計値と完全一致することに応じて、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ若しくは当該トレース・データの一部又は前記制御された属性値を検索結果として返すステップと
を含む、請求項１に記載の方法。
【請求項３】
前記検索結果として返すステップが、
前記受信した第１及び第２のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップ
を含む、請求項１に記載の方法。
【請求項４】
前記検索結果として返すステップが、
前記受信した第１及び第２のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップ
を含む、請求項２に記載の方法。
【請求項５】
前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、
前記検索結果として返すステップが、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含む、請求項３に記載の方法。
【請求項６】
前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、
前記検索結果として返すステップが、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含む、請求項４に記載の方法。
【請求項７】
前記検索結果として返すステップが、前記開示回数又は開示先を履歴として記録するステップをさらに含む、請求項５又は６に記載の方法。
【請求項８】
前記ポリシーが、ポリシー・レポジトリから取り出される、請求項３〜６のいずれか一項に記載の方法。
【請求項９】
前記ポリシーが、前記移動物又は前記データ・プロバイダ・システムに関連付けられたデータ・オーナーにより設定される、請求項３〜６のいずれか一項に記載の方法。
【請求項１０】
前記サーバ・コンピュータが、前記受信した第１及び第２のレコード集合体をレコード・レポジトリに格納するステップをさらに含む、請求項１に記載の方法。
【請求項１１】
前記計算するステップが、前記データ検索要求に応じて、前記レコード・レポジトリに格納された第１及び第２のレコード集合体からトレース・データを作成するステップをさらに含む、請求項１０に記載の方法。
【請求項１２】
前記計算するステップが、前記第１及び前記第２のレコード集合体を一つの統合レコード集合体にまとめて、当該統合レコード集合体中の同一の識別子に関連付けられたレコードを時刻データ順にソートするステップをさらに含む、請求項１に記載の方法。
【請求項１３】
前記移動物が車である場合に、前記属性値が、車両の識別子、車両の色、車両ナンバー、車種、時刻ｔにおけるスピード、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は、車内外の時刻ｔにおける状態、若しくは搭乗者の時刻ｔにおける状態の少なくとも一つを含む、請求項１に記載の方法。
【請求項１４】
少なくとも１つのデータ・プロバイダ・システムに接続されており、前記データ・プロバイダ・システムから提供されたデータの開示を制御するコンピュータであって、
第１の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第１のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信し、且つ、第２の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第２のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信する受信部であって、前記第２のレコード集合体中にある移動物の識別子は前記第１のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも１つ含む、前記受信部と、
移動物に関連するデータ検索要求の受信に応じて、前記受信した第１及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、前記データ検索要求に対応する移動物に関連するトレース・データを計算する計算部と、
一定範囲のＬ個の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、前記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算する秘匿部と、
前記受信した第１及び第２のレコード集合体中の前記同一の識別子を有する移動物が前記計算された範囲ｗｊを前記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、前記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返す送信部と
を含む、前記コンピュータ。
【請求項１５】
前記秘匿部が、
第１の移動物が前記計算された範囲ｗｊにあり且つ前記計算された通過時間レンジ(sｊ，eｊ)にあり、及び、第２の移動物が前記計算された範囲ｗｊにあり且つ前記計算された通過時間レンジ(sｊ，eｊ)にある場合に、前記受信した第１及び第２のレコード集合体中の前記第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、前記受信した第１及び第２のレコード集合体中の前記第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が前記第１の値から計算される集計値と完全一致になるように前記第１の属性値の取り方を制御し、ここで、前記第２の属性値から計算される値は前記第１の属性値から値を求める方法と同じ方法によって計算され、
前記制御によって、前記第２の値に入れ替えられた後に計算される集計値が前記第１の値から計算される集計値と完全一致することに応じて、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ若しくは当該トレース・データの一部又は前記制御された属性値を検索結果として返す、
請求項１４に記載のコンピュータ。
【請求項１６】
前記秘匿部が、前記受信した第１及び第２のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する、請求項１４に記載のコンピュータ。
【請求項１７】
前記秘匿部が、前記受信した第１及び第２のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する、請求項１６に記載のコンピュータ。
【請求項１８】
前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、
前記秘匿部が、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する、請求項１６に記載のコンピュータ。
【請求項１９】
前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、
前記秘匿部が、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する、請求項１７に記載のコンピュータ。
【請求項２０】
サーバ・コンピュータに、請求項１〜１３のいずれか一項に記載の方法の各ステップを実行させるコンピュータ・プログラム。
【請求項１】
少なくとも１つのデータ・プロバイダ・システムに接続されたサーバ・コンピュータが前記データ・プロバイダ・システムから提供されたデータの開示を制御する方法であって、前記サーバ・コンピュータが、
第１の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第１のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信するステップと、
第２の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第２のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信するステップであって、前記第２のレコード集合体中にある移動物の識別子は前記第１のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも１つ含む、前記第２のレコードを受信するステップと、
移動物に関連するデータ検索要求の受信に応じて、前記受信した第１及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、前記データ検索要求に対応する移動物に関連するトレース・データを計算するステップと、
一定範囲のＬ個の領域を一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、前記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算するステップと、
前記受信した第１及び第２のレコード集合体中の前記同一の識別子を有する移動物が前記計算された範囲ｗｊを前記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、前記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返すステップと
を実行することを含む、前記方法。
【請求項２】
前記検索結果として返すステップが、
第１の移動物が前記計算された範囲ｗｊにあり且つ前記計算された通過時間レンジ(sｊ，eｊ)にあり、及び、第２の移動物が前記計算された範囲ｗｊにあり且つ前記計算された通過時間レンジ(sｊ，eｊ)にある場合に、前記受信した第１及び第２のレコード集合体中の前記第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、前記受信した第１及び第２のレコード集合体中の前記第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が前記第１の値から計算される集計値と完全一致になるように前記第１の属性値の取り方を制御するステップであって、前記第２の属性値から計算される値は前記第１の属性値から値を求める方法と同じ方法によって計算される、前記制御するステップと
前記制御によって、前記第２の値に入れ替えられた後に計算される集計値が前記第１の値から計算される集計値と完全一致することに応じて、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ若しくは当該トレース・データの一部又は前記制御された属性値を検索結果として返すステップと
を含む、請求項１に記載の方法。
【請求項３】
前記検索結果として返すステップが、
前記受信した第１及び第２のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップ
を含む、請求項１に記載の方法。
【請求項４】
前記検索結果として返すステップが、
前記受信した第１及び第２のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップ
を含む、請求項２に記載の方法。
【請求項５】
前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、
前記検索結果として返すステップが、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含む、請求項３に記載の方法。
【請求項６】
前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、
前記検索結果として返すステップが、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限するステップを含む、請求項４に記載の方法。
【請求項７】
前記検索結果として返すステップが、前記開示回数又は開示先を履歴として記録するステップをさらに含む、請求項５又は６に記載の方法。
【請求項８】
前記ポリシーが、ポリシー・レポジトリから取り出される、請求項３〜６のいずれか一項に記載の方法。
【請求項９】
前記ポリシーが、前記移動物又は前記データ・プロバイダ・システムに関連付けられたデータ・オーナーにより設定される、請求項３〜６のいずれか一項に記載の方法。
【請求項１０】
前記サーバ・コンピュータが、前記受信した第１及び第２のレコード集合体をレコード・レポジトリに格納するステップをさらに含む、請求項１に記載の方法。
【請求項１１】
前記計算するステップが、前記データ検索要求に応じて、前記レコード・レポジトリに格納された第１及び第２のレコード集合体からトレース・データを作成するステップをさらに含む、請求項１０に記載の方法。
【請求項１２】
前記計算するステップが、前記第１及び前記第２のレコード集合体を一つの統合レコード集合体にまとめて、当該統合レコード集合体中の同一の識別子に関連付けられたレコードを時刻データ順にソートするステップをさらに含む、請求項１に記載の方法。
【請求項１３】
前記移動物が車である場合に、前記属性値が、車両の識別子、車両の色、車両ナンバー、車種、時刻ｔにおけるスピード、車両の機器に関する値、運転者又は同乗者の名前、年齢若しくは性別、搭乗者の数、又は、車内外の時刻ｔにおける状態、若しくは搭乗者の時刻ｔにおける状態の少なくとも一つを含む、請求項１に記載の方法。
【請求項１４】
少なくとも１つのデータ・プロバイダ・システムに接続されており、前記データ・プロバイダ・システムから提供されたデータの開示を制御するコンピュータであって、
第１の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第１のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信し、且つ、第２の時空間領域における１又は複数の移動物について、１つの移動物を特定するための識別子と当該識別子に関連付けられた少なくとも１つの属性値とをレコード単位として含む第２のレコード集合体を、少なくとも１つのデータ・プロバイダ・システムから受信する受信部であって、前記第２のレコード集合体中にある移動物の識別子は前記第１のレコード集合体中にある移動物の識別子と同一の識別子を少なくとも１つ含む、前記受信部と、
移動物に関連するデータ検索要求の受信に応じて、前記受信した第１及び第２のレコード集合体中の同一の識別子に関連付けられた各属性値から、前記データ検索要求に対応する移動物に関連するトレース・データを計算する計算部と、
一定範囲のＬ個の領域を、一定時間以内に通過するという条件を満たし、且つ移動物がｋ個（ｋは２以上の整数）以上存在するように、前記Ｌ個の領域ごとに、範囲ｗｊ及び／又は当該範囲ｗｊの通過時間レンジ(sｊ，eｊ)（ｊは１，２，・・・，Ｌの整数）を計算する秘匿部と、
前記受信した第１及び第２のレコード集合体中の前記同一の識別子を有する移動物が前記計算された範囲ｗｊを前記計算された通過時間レンジ(sｊ，eｊ)に移動していることに応じて、前記計算されたトレース・データ又は当該トレース・データの一部を検索結果として返す送信部と
を含む、前記コンピュータ。
【請求項１５】
前記秘匿部が、
第１の移動物が前記計算された範囲ｗｊにあり且つ前記計算された通過時間レンジ(sｊ，eｊ)にあり、及び、第２の移動物が前記計算された範囲ｗｊにあり且つ前記計算された通過時間レンジ(sｊ，eｊ)にある場合に、前記受信した第１及び第２のレコード集合体中の前記第１の移動物の識別子に関連付けられた少なくとも１つの属性値（第１の属性値）から計算される第１の値を、前記受信した第１及び第２のレコード集合体中の前記第２の移動物の識別子に関連付けられた少なくとも１つの属性値（第２の属性値）から計算される第２の値と入れ替えて、当該第２の値に入れ替えられた後に計算される集計値が前記第１の値から計算される集計値と完全一致になるように前記第１の属性値の取り方を制御し、ここで、前記第２の属性値から計算される値は前記第１の属性値から値を求める方法と同じ方法によって計算され、
前記制御によって、前記第２の値に入れ替えられた後に計算される集計値が前記第１の値から計算される集計値と完全一致することに応じて、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ若しくは当該トレース・データの一部又は前記制御された属性値を検索結果として返す、
請求項１４に記載のコンピュータ。
【請求項１６】
前記秘匿部が、前記受信した第１及び第２のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する、請求項１４に記載のコンピュータ。
【請求項１７】
前記秘匿部が、前記受信した第１及び第２のレコード中の前記同一の識別子に関連付けられたポリシーに従って、前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する、請求項１６に記載のコンピュータ。
【請求項１８】
前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、
前記秘匿部が、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する、請求項１６に記載のコンピュータ。
【請求項１９】
前記同一の識別子に関連付けられたポリシーが、当該同一の識別子を有する移動物についてのトレース・データの開示回数又は開示先の制約データを含み、
前記秘匿部が、前記開示回数又は開示先の制約データに従って、前記データ検索要求に対応する移動物に関連する前記計算されたトレース・データ又は当該トレース・データの一部の開示を制限する、請求項１７に記載のコンピュータ。
【請求項２０】
サーバ・コンピュータに、請求項１〜１３のいずれか一項に記載の方法の各ステップを実行させるコンピュータ・プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９Ａ】
【図９Ｂ】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９Ａ】
【図９Ｂ】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２０１２−１５９９９７（Ｐ２０１２−１５９９９７Ａ）
【公開日】平成２４年８月２３日（２０１２．８．２３）
【国際特許分類】
【出願番号】特願２０１１−１８９４８（Ｐ２０１１−１８９４８）
【出願日】平成２３年１月３１日（２０１１．１．３１）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【復代理人】
【識別番号】１０００８５５４５
【弁理士】
【氏名又は名称】松井 光夫
【復代理人】
【識別番号】１００１１８５９９
【弁理士】
【氏名又は名称】村上 博司
【公開日】平成２４年８月２３日（２０１２．８．２３）
【国際特許分類】
【出願日】平成２３年１月３１日（２０１１．１．３１）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【復代理人】
【識別番号】１０００８５５４５
【弁理士】
【氏名又は名称】松井 光夫
【復代理人】
【識別番号】１００１１８５９９
【弁理士】
【氏名又は名称】村上 博司
[ Back to top ]