JP4339776B2 - 位置匿名性をもつ通信装置及び通信方式 - Google Patents

Description

本発明は、インターネット、携帯電話網、無線ネットワーク等のネットワークを介して接続されたユーザ通信装置とサービス提供者通信装置に関し、特にユーザ通信装置からサービス提供者通信装置へユーザの位置を示す位置データを送信し、サービス提供者通信装置では受け取った位置データについてサービスとなる返信データをユーザ通信装置へ返送することにより、ユーザはサービス提供者から位置データに基づいたサービスを受けることが可能な位置匿名性をもつ通信装置及び通信方式に関する。

この種の位置データに基づいたサービスの例として、例えばユーザが自身の現在位置の周辺にあるレストランのリストを、サービス提供者に問い合わせて得るようなサービスがある。このサービスでは、ユーザは現在の自身の位置の情報を表す位置データを自身の通信装置からサービス提供者の通信装置へ送信する。サービス提供者の通信装置では受け取った位置データをもとに自身のデータベースを参照して、周囲のレストランのリストを取り出し、ユーザ通信装置へ返送する。そして、ユーザがサービス提供者からレストランのリストを受け取ることによりこのサービスは完了する。

このような従来の通信装置では、センサから得られた高精度なユーザの位置を表す位置データを、そのままサービス提供者の通信装置へ送信するようにしている。ここで、位置データは、例えば座標値の組（ｘ，ｙ，ｚ）で与えられる。
以下、従来の通信装置におけるデータの送受信手順について説明する。

（１）ユーザの通信装置は座標値（ｘ，ｙ，ｚ）と、時刻ｔ、およびユーザの識別子ｕのデータの組である位置データｐ＝（ｕ，ｔ，ｘ，ｙ，ｚ）を含む問合せ式ｑ［ｐ］を、サービス提供者の通信装置に送る。識別子ｕは、用途に応じて送信しない場合もある。問合せ式ｑ［ｐ］は例えばデータベースへの問合せ言語であるＳＱＬで記述される。問合せ式ｑ［ｐ］は自然言語で記述された問合せ式であるケースもあり、この場合はサービス提供者の通信装置でＳＱＬ文に変換する。
（２）サービス提供者の通信装置は問合せ式ｑ［ｐ］に基づきサービスを提供する。サービス提供者の通信装置は、受信した問合せ式ｑ［ｐ］に対する返信データｒp を用意し、ユーザの通信装置へ返送する。

返信データｒp は、位置データｐを式中に含む問合せ式ｑ［ｐ］に対する答えとなるデータの集合で、テキスト、画像、音声、センサデータ、或いはこれらの組合せによって作られるデータのリスト、集合若しくは表である。例えば位置データで示される位置ｐの半径ｌ以内にあるレストランのリストを問い合わせる式ｑ［ｐ］に対する返信データｒp は、レストランＸのリストＸ1 ，Ｘ2 ，…，Ｘn である。

これらの通信は通信網を介して行う。このとき、受信したデータｐが通信網上で第三者に受信されるか、またはサービス提供者がデータｐを格納した装置を第三者が操作して位置データｐを取り出すことで、ユーザＡの送信した座標値（ｘ，ｙ，ｚ）が第三者に容易に読み取られる。もしユーザが位置データｐを暗号化してサービス提供者にその暗号化データｐ’を送信したとしても、サービス提供者が暗号化データｐ’を復号して格納装置にデータｐとして格納すると、第三者は格納装置を操作して容易にデータｐを取り出すことができる。すなわち、通信の暗号化ではユーザが送信した位置データｐが第三者に読み取られることを防ぐことはできない。

このように、高精度な位置データをサービス提供者に送信すると、ユーザの存在する正確な位置がサービス提供者側または第三者により把握されてしまう。
これを防ぐために、位置データを座標値ではなく範囲を示すデータとして送り、位置データに含まれる情報を曖昧にすることにより、ユーザの位置を正確に追跡できないようにする方式がある（非特許文献１）。

なお、出願人は、本明細書に記載した先行技術文献情報で特定される先行技術文献以外には、本発明に関連する先行技術文献を出願時までに発見するには至らなかった。
中西健一，高汐一紀，徳田英幸，"粒度の動的変更による位置匿名性についての考察"，マルチメディア，分散，協調とモバイル（ＤＩＣＯＭＯ２００４）シンポジウム予稿集，２００４．

位置データに含まれる情報を曖昧にすることによりユーザの位置を正確に追跡できないようにする前述の方式は、実装が容易であることと、送信する範囲の面積に比例した匿名性を確保できる点では優れている。しかし、時間経過に対して高い頻度で位置データを送信する必要がある場合、送信した範囲データを時系列に並べて観察すると、ユーザの位置がおおよそ追跡できてしまう場合がある。これを防ぐためには送信する範囲データの面積を広く取る必要があるが、範囲データを広くすればするほどユーザのサービス取得効率が低下してしまうという問題がある。

したがって、本発明は、ユーザがサービス提供者側へ自身の位置データを送信してその位置データに応じたサービスを取得する場合、ユーザのサービス取得効率の低下を防止するとともに、サービス提供者または第三者の前記位置データに基づくユーザの正確な位置の把握やユーザの移動に対する追跡を困難にさせることを目的とする。

このような課題を解決するために本発明は、通信網に接続され、ユーザのサービスの要求時にユーザの位置を表す位置データを通信網を介してサービス提供装置へ送信し、サービス提供装置から位置データに応じたサービスを提供させる通信装置において、ユーザの偽の位置を表す位置データを作成する作成部と、ユーザのサービスの要求時に作成部を制御し、この作成部により作成されたユーザの偽の位置を表す複数の偽の位置データをユーザの実際の位置を表す真の位置データとともにサービス提供装置へ送信する制御部と、制御部の位置データの送信に対し、サービス提供装置からこの送信位置データに対応するサービスが返信データとして返送されると、この返信データの中から真の位置データに応じた返信データをユーザへのサービスとして取得するサービス取得部とを備えたものである。

ここで、本発明は、サービス提供装置へ送信された偽の位置データを記憶する第１の記憶部を備え、作成部は、第１の記憶部に記憶された偽の位置データで示される偽の位置からユーザが物理的に移動不可能な距離とならないような位置を、偽の位置データとして決定する位置決定部を備えるものである。これにより、前回の位置データの送信時点と今回の位置データの送信時点の間隔が極めて短く、したがって前回の真の位置と今回の真の位置間の移動距離が短い場合であっても、前回の偽の位置と今回の偽の位置間の距離を短くできることから、サービス提供者または第三者はユーザの正確な位置を把握することが困難になる。

この場合、位置決定部は、ユーザが物理的に移動可能な範囲を、第１の記憶部に記憶された偽の位置データを中心とした円及び多角形のいずれかで表し、その範囲内の任意の位置を、サービス提供装置に送信される偽の位置データとして決定するものである。
また、位置決定部は、少なくとも第１の記憶部に記憶された複数の偽の位置データが分布する範囲を複数の区画に区切り、区切られた複数の区画の中で偽の位置データが分布するいずれかの区画内の任意の位置、或いはこの偽の位置データが分布する区画に隣接し偽の位置データが分布しない区画内の任意の位置を、サービス提供装置へ送信される偽の位置データとして決定するものである。
また、サービス提供装置へ送信された真の位置データを記憶する第２の記憶部を備え、位置決定部は、前回のサービス提供装置への送信時に第２の記憶部に記憶された位置データの値と前々回のサービス提供装置への送信時に第２の記憶部に記憶された位置データの値の差、及び、前回のサービス提供装置への位置データの送信時刻と前々回のサービス提供装置への位置データの送信時刻の差に基づいてユーザの移動速度を求め、求めた移動速度をもとにサービス提供装置に送信される偽の位置データを決定するものである。

また、通信網には、サービス提供装置からそれぞれ位置データに応じたサービスが提供される複数の通信装置が接続され、サービス提供装置には、複数の通信装置から送信された真の位置データと偽の位置データが記憶され、作成部は、サービス提供装置に記憶された複数の位置データを取得して、取得した複数の位置データの空間上における分布を示す分布密度を計算する計算部を備え、位置決定部は、分布密度が空間全体で均一となるようにサービス提供装置へ送信される偽の位置データを決定するものである。

この場合、位置決定部は、ユーザが物理的に移動可能な範囲を、複数の偽の位置データを含む円或いは多角形のいずれかで表すとともに、その範囲内の偽の位置データの分布を調べ、その範囲内における分布密度の小さい位置にサービス提供装置へ送信される偽の位置データを配置するものである。
また、位置決定部は、ユーザが物理的に移動可能な範囲を、複数の偽の位置データを含む円或いは多角形のいずれかで表すとともに、この範囲を複数の区画に分割してそれぞれの区画に入る偽の位置データの数を数え、位置データの数の少ない区画にサービス提供装置へ送信される偽の位置データを配置するものである。

また、本発明は、通信網に接続され、ユーザのサービスの要求時にユーザの位置を表す位置データを通信網を介してサービス提供装置へ送信し、サービス提供装置から位置データに応じたサービスを提供させる通信装置の通信方法において、ユーザの偽の位置を表す位置データを作成する第１のステップと、ユーザのサービスの要求時に第１のステップの処理に基づき作成されたユーザの偽の位置を表す複数の偽の位置データをユーザの実際の位置を表す真の位置データとともにサービス提供装置へ送信する第２のステップと、第２のステップの処理による位置データの送信に対し、サービス提供装置からこの送信位置データに対応するサービスが返信データとして返送されると、この返信データの中から真の位置データに応じた返信データをユーザへのサービスとして取得する第３のステップとを有する通信方法である。

本発明によれば、ユーザがサービス提供者側へ自身の位置データを送信してその位置データに応じたサービスを取得する場合、ユーザ通信装置はサービス提供装置へユーザの真の位置データと一緒に偽の位置データを送信し、サービス提供装置からこの送信位置データに対応するサービスが返信データとして返送されると、ユーザ通信装置はこの返信データの中から真の位置データに応じた返信データをユーザへのサービスとして取得するようにしたので、ユーザのサービス取得効率の低下を防止できるとともに、サービス提供者または第三者側ではユーザの真の位置と偽の位置との判別が不可能であることから、ユーザの正確な位置を把握することが困難になり、さらにユーザの移動に対する追跡も困難になる。

以下、本発明の実施の形態について図面を参照して説明する。

（実施の形態１）
本発明における通信装置は、ユーザＡが用いる通信装置１とサービス提供者Ｂが用いるサービス提供装置２から構成され、互いの装置１，２は通信網を介して位置データを送受信する。

ここで、ユーザＡが用いる通信装置１は図１（ａ）に示すように、サービス提供装置２と位置データの送受信を行うデータ送受信部１１と、ユーザＡの偽の位置（架空の位置）データを作成するダミーデータ作成部１２と、ユーザＡの偽の位置データを記憶するダミーデータ記憶部１３と、データ制御部１４と、ユーザＡの真の位置データを記憶する真のデータ記憶部１５と、サービス提供装置１からの返信データを解読する返信データ解読部１６とからなる。

なお、ダミーデータ作成部１２は、図１（ｂ）に示すように、位置決定部１２ａと、計算部１２ｂとを含む。ここで、位置決定部１２ａは、後述するように、ユーザＡの偽の位置を決定するものである。また、計算部１２ｂは、後述するように、複数の通信装置１から送信されサービス提供装置２に記憶された複数の位置データを取得して、取得した複数の位置データの空間上における分布を示す分布密度を計算するものである。なお、返信データ解読部１６は、図１（ｃ）に示すように、サービス取得部１６ａを含む。このサービス取得部１６ａは、後述するように、通信装置１からの位置データの送信に対し、サービス提供装置２からこの送信位置データに対応するサービスが返信データとして返送されると、この返信データの中から真の位置データに応じた返信データをユーザＡへのサービスとして取得するものである。

一方、サービス提供者Ｂが用いるサービス提供装置２は、図２に示すように、通信装置１と位置データの送受信を行うデータ送受信部２１と、通信装置１からの位置データに対して返信データを作成する返信データ作成部２２と、サービスデータベース２３とから構成される。

次に、通信装置１とサービス提供装置２との間で行われるデータの送受信動作を図１及び図２に基づいて説明する。
（１）まず、ユーザＡの通信装置１は、ユーザＡの座標値（ｘ，ｙ，ｚ）、時刻ｔ、およびユーザＡの識別子ｕを、センサまたは外部入力装置から入力すると、入力したデータの組である位置データｐ＝（ｕ，ｔ，ｘ，ｙ，ｚ）を、真の位置データとして真のデータ記憶部１５に記録する。
（２）次に、ユーザＡの指示があった時に、データ制御部１４は、真のデータ記憶部１５を閲覧して真の位置データｐを得ると同時に、ダミーデータ作成部１２内の位置決定部１２ａに指示して、この真の位置データｐと全く関連性のないランダムな位置データｐf ＝（ｕ，ｔ，ｘ，ｙ，ｚ）を一定の範囲内にｍ個生成させる。生成する個数は利用するアプリケーションに依存して決定される。この位置データ群をＰf ＝ｐf1，ｐf2，…，ｐfmとする。

（３）続いて、データ制御部１４は、真の位置データｐと位置データ群Ｐf とを混成し位置データ群Ｐ（Ｐ＝ｐ，ｐf1，ｐf2，…，ｐfm）を得る。そして、データ送受信部１１に送り、データ送信部１１から、位置データ群Ｐの要素全てとユーザＡから受け取った条件式（即ち、問合せ式）ｑをサービス提供装置２へ送信させる。
（４）サービス提供装置２では、位置データ群Ｐの各要素と問合せ式ｑをデータ送受信部２１にて受け取り、返信データ作成部２２へ送る。

（５）返信データ作成部２２は、受け取った位置データ群Ｐの各要素（ｐ，ｐf1，ｐf2，…，ｐfm）と問合せ式ｑそれぞれについて、サービスデータベース２３を閲覧しながら、位置データ群Ｐの要素を問合せ式ｑそれぞれに代入した各式、すなわち、ｑ［ｐ］，ｑ［ｐf1］，ｑ［ｐf2］，…，ｑ［ｐfm］の各式に対する返信データＲp ＝ｒp ，ｒpf1 ，…，ｒpfm を用意する。ただし、真の位置データｐには、真の位置データであることを表す情報が付与されていないため、サービス提供装置２は、実際には位置データ群Ｐの中のどのデータが真の位置データｐであるかを区別することができない。

サービス提供装置２は、真の位置データｐであるか否かにかかわらず、全ての位置データ群Ｐの要素についてそれぞれ返信データを作成する。返信データｒpfには返信の対象となった位置データｐf を含む。すなわち、ユーザＡの通信装置１は、返信データｒpfに含まれる位置データｐf を調べることで、その返信データｒpfがどのデータに対する返信であるかを知ることができる。

具体例として、例えば問合せ式ｑとして、「与えられた位置データの半径１００ｍ以内にあるレストラン」という問合せ式が与えられたとき、位置データ群Ｐの要素ｐ，ｐf1，ｐf2，…，ｐfmそれぞれを、この問合せ式に当てはめた式を評価する。ｐf1を式に当てはめた場合は、「位置データｐf1の半径１００ｍ以内にあるレストラン」という式を評価し、その答として得られたレストランのリストＸ1 ，Ｘ2 ，…，Ｘn を返信データｒpf1 とする。さらに、返信データｒpf1 には返信の対象となった位置データｐf1も含ませる。つまり、この例では返信データｒpf1 ＝｛ｐf1，Ｘ1 ，Ｘ2 ，…，Ｘn ｝という形になる。

（６）返信データ作成部２２は、作成した返信データ群Ｒp をデータ送受信部２１に送り、データ送受信部２１からこの返信データ群Ｒp をユーザＡの通信装置１に返信させる。

（７）ユーザＡの通信装置１のデータ送受信部１１は返信データ群Ｒp を受け取り、返信データ解読部１６に送る.
（８）返信データ解読部１６は、受け取った返信データ群Ｒp を調べ、各返信データｒpfに含まれる位置データを、真のデータ記憶部１５に記憶された真の位置データｐと比較しする。そして、サービス取得部１６ａにより、真の位置データｐに対する返信データｒp のみを選択して取り出す。これにより、ユーザＡの真のデータｐに対する返信データのみが取り出されて、必要なサービスを受けることができる。

図３（ａ）〜図３（ｄ）は、ユーザＡの通信装置１のダミーデータ作成部１２により６個のランダムな位置データ（偽の位置データ）が生成されサービス提供装置２側へ送信された場合の通信装置１とサービス提供装置２における真の位置データｐの認識状況を説明する図である。

ユーザＡの通信装置１では、前述したように、ユーザＡの指示があった時に、真のデータ記憶部１５を閲覧して位置データｐを得ると同時に、ダミーデータ作成部１２の位置決定部１２ａにより、一定の範囲内に偽の位置データが生成されることから、通信装置１では当然のことながら、図３（ａ）のように、真の位置データｐがどれであるかを把握している。そして、生成した６個の偽の位置データｐf1，ｐf2，…，ｐf6を真の位置データｐとともに、位置データ群Ｐ（Ｐ＝ｐ，ｐf1，ｐf2，…，ｐf6）としてサービス提供装置２側へ送信する。ただし、どの位置データが真の位置データであるかを表す情報は送信しない。このため、この位置データ群Ｐを受け取ったサービス提供装置２側では、あたかも図３（ｂ）に示すような、即ち、Ｐ＝ｐf1，ｐf2，…，ｐf6，ｐf7のようなデータが送られてきたかのように見え、いずれが真の位置データｐであるかを判別することができない。

サービス提供装置２側では、いずれが真の位置データｐであるかを判別できないまま、図３（ｃ）のように、全ての位置データについてそれぞれ返信データを作成して通信装置１へ返送する。通信装置１では、図３（ａ）に示されるように、どれが真の位置データｐであるかを認識しているため、サービス提供装置２から受け取った返信データ群から、返信データ解読部１６内のサービス取得部１６ａにより、真の位置データｐに対する返信データのみを選択して取りだす。これにより、ユーザＡは必要なサービスを受けることができる。

ユーザＡの通信装置１で作成する偽の位置データ数ｍを増大させると、サービス提供装置２側でユーザの真の位置を特定することは極めて困難になる。そして、仮に第三者Ｃがサービス提供装置２の受信したデータ群Ｐを閲覧したとしても、データ群Ｐの要素数が十分多い場合は、第三者Ｃがデータ群Ｐの中から真の位置データｐのみを判別することは同様に困難である。さらに、第三者Ｃが通信網上でデータ群Ｐまたは返信データ群Ｒp を傍受しても、真の位置データｐを示す情報が含まれていないため、第三者Ｃがデータ群Ｐから真の位置データｐがいずれであるかを判別することは困難である。

（実施の形態２）
ユーザＡの通信装置１が位置データ群Ｐを短時間の間に連続して送信する場合には、実施の形態１の通信方式のみでは第三者Ｃが位置データ群Ｐから真の位置データｐのみを判別することが容易になるケースがある。

すなわち、時刻ｔの位置データ群をＰ（ｔ）とする。位置データ群をＰ（ｔ）に含まれる真の位置データをｐ（ｔ）、偽の位置データをｐf1（ｔ），…，ｐfm（ｔ）とする。位置データはｔ，ｔ＋１，ｔ＋２，…のそれぞれの時刻に、ユーザＡの通信装置１からサービス提供装置２に連続的に送られるとする。もし送信間隔が極めて短い間隔であるとき（例えばｔが秒で表されるとき）は、真の位置データであるｐ（ｔ）とｐ（ｔ＋１）のデータは極めて似た値になる可能性が高い。

一方、偽の位置データであるｐfi（ｔ）とｐfi（t+1)のデータはランダムに決められていることから似た値を取っていない可能性が高く、容易に偽の位置データであることが推測される。この事実を利用することで第三者Ｃが位置データ群Ｐ（ｔ）とＰ（ｔ＋１）の両方を受信し、各データ群の要素を比較することで、真のデータｐ（ｔ）がいずれであるかが推測される可能性がある。

すなわち、図４（ａ）に示すように、時刻ｔ−１及び時刻ｔにおいてそれぞれランダムに偽の位置データを発生すると、真の位置データｐ（ｔ−１）とｐ（ｔ）のみが距離的に近い位置に存在し、それ以外の偽の位置データは時刻ｔ−１に存在していた位置とは距離的に離れた無関係な位置へ移動してしまう可能性が高く、これにより、図中のｐ（ｔ）が真の位置データであると判別される可能性が高まる。

これを防止するために、実施の形態２では、実施の形態１でランダムに生成していた偽の位置データｐf の生成方法を次のように改める。
すなわち、
（１）ユーザＡの通信装置１のダミーデータ作成部１２内の位置決定部１２ａは、各時刻τで発生させた全ての偽の位置データｐf1（τ），…，ｐfm（τ）をダミーデータ記憶部１３へ送る。ダミーデータ記憶部１３は、受け取った全ての偽の位置データを記憶する。
（２）ダミーデータ作成部１２内の位置決定部１２ａは、時刻ｔで偽の位置データを発生させるとき、ダミーデータ記憶部１３に記憶されている時刻ｔ−１のデータを閲覧し、偽の位置データ群｛ｐf1（ｔ−１），…，ｐfm（ｔ−１）｝を取り出す。

（３）ダミーデータ作成部１２内の位置決定部１２ａは、それぞれの偽の位置データｐfi（ｔ−１）をもとに、時刻ｔにおける偽の位置データｐfi（ｔ）が不自然な動きとならないような位置座標値に決定する。すなわち、時刻ｔ−１における偽の位置データｐfi（ｔ−１）と時刻ｔにおける偽の位置データｐfi（ｔ）との間の距離が、物理的に移動が不可能なほど離れることがないようにし、ｐfi（ｔ）が偽のデータであることが推測できないようにする。こうした時刻ｔにおける偽の位置データｐfi（ｔ）の決め方には以下の（ａ）〜（ｃ）の３つが挙げられる。

（ａ）時刻ｔ−１における偽の位置データｐfi（ｔ−１）を中心とする正方形、円、長方形、多角形等のいずれかの図形を描き、これらの図形の中のランダムな位置を時刻ｔにおける偽の位置データｐfi（ｔ）とする。これを、位置データ群Ｐに含まれる全ての偽の位置データについて行う。
（ｂ）時刻ｔ−１における偽の位置データｐfi（ｔ−１）が分布する範囲を、予めいくつかの区画に区切っておき、各ｐfi（ｔ−１）が現在含まれている区画と、その隣接する区画の中のランダムな点を、時刻ｔにおける偽の位置データｐfi（ｔ）とする。

（ｃ）時刻ｔ−１のときのユーザＡの移動速度を求めておき、その速度をもとに時刻ｔにおける偽の位置データｐfi（ｔ）を決定する。すなわち、時刻ｔ−１のときのユーザＡの位置と時刻ｔ−２のときのユーザＡの位置との差を、時刻ｔ−１と時刻ｔ−２との差で除算することにより、時刻ｔ−１のときのユーザＡの移動速度を求め、そのユーザＡの移動速度に基づき時刻ｔにおける偽の位置データｐfi（ｔ）を決定する。

このように、時刻ｔにおいて偽の位置データｐfi（ｔ）を作成するときに過去のデータｐfi（ｔ−１）を参照し、上記（ａ）〜（ｃ）に示す方法によってｐfi（ｔ）の作成される位置を制限することにより、図４（ｂ）のように、真の位置データｐ（ｔ）と偽の位置データｐfi（ｔ）との判別を困難にさせることができる。

（実施の形態３）
実施の形態２ではサービス提供者Ｂのサービス提供装置２が１つの通信装置１に対してサービスを提供する例について説明したが、実施の形態３では、サービス提供装置２が複数のユーザの通信装置１₁ ，１₂ ，…，１_n に対してそれぞれサービスを提供する例について説明する。

ここで、サービス提供装置２がユーザの通信装置１_k から受信した位置データ群をＰ_k と表記するものとする。サービス提供装置２が受信しサービスデータベース２３に記憶したすべての位置データ群Ｐの各要素を全てのユーザの通信装置１₁ ，１₂ ，…，１_k が取得して閲覧できる場合、時刻ｔ−１における偽の位置データｐfi（ｔ−１）から時刻ｔにおける偽の位置データｐfi（ｔ）を決める方法として、次のような手順を使うことが可能である。

すなわち、
（１）各ユーザの通信装置１₁ ，…，１_k のダミーデータ作成部１２内の計算部１２ｂは、位置データ群Ｐ₁ （ｔ−１），…，Ｐ_k （ｔ−１）全てに含まれる位置データの空間上における存在密度分布ρ（ｔ−１）を予め計算しダミーデータ記憶部１３に記憶させておく。
（２）各ユーザの通信装置１₁ ，…，１_k のダミーデータ作成部１２内の位置決定部１２ａは、時刻ｔにおける偽の位置データｐf（ｔ） を決める場合は、実施の形態２に記載したｐfi（ｔ−１）からｐfi（ｔ）を決める方法に加え、先に計算した存在密度分布ρ（ｔ−１）を用いて、存在密度ρ（ｔ）が空間全体でより均一になるようにｐf（ｔ） を決める。具体的には密度の高いところよりも密度の低いところに優先的にｐf（ｔ） を配置する。この手順を以下に示す。

（ａ）まず、時刻ｔ−１における偽の位置データｐf （ｔ−１）を含む図形を描く。この図形は正方形、円、長方形、多角形のいずれかを用いることができる。
（ｂ）次に、全体をいくつかの区画に分割し、それぞれの区画に入る位置データの数を数えておく。ここで、時刻ｔ−１における各区画に入るデータの数をρ（ｔ−１）とする。
（ｃ）そして、時刻ｔにおける存在密度ρ（ｔ）が全ての区画で均一になるようにｐf（ｔ） を配置する。このｐf（ｔ） の配置方法として、例えば、存在密度ρ（ｔ）の低い区画に優先的にｐf（ｔ） を配置する方法がある。
また、手順（ａ）で描いた図形の中の時刻ｔ−１の位置データの存在する点の分布を調べ、これをρ（ｔ−１）とする。このρ（ｔ−１）をもとに、存在密度の低い場所に優先的にｐf（ｔ） を配置する方法もある。

この方法により、時刻ｔにおける偽の位置データｐf （ｔ）が空間全体により均一に散乱するようになる。サービス提供装置２内の位置データ群Ｐ（ｔ）を第三者Ｃが閲覧したとき、もしそれぞれの位置データの返送先通信装置を表す情報が第三者Ｃにより取得されなかった場合は、位置データ群Ｐ（ｔ）の中から真の位置データｐ（ｔ）を特定することは、実施の形態２の場合より困難である。

（実施の形態４）
ユーザの通信装置１から時刻ｔにおける真の位置データｐ（ｔ）や、偽の位置データｐf （ｔ）を送信する際に実施の形態１〜３では、座標値（ｘ，ｙ，ｚ）を送信しているが、実施の形態４では、座標値（ｘ，ｙ，ｚ）が含まれる範囲を表すデータ（即ち、前記座標値が含まれる正方形、円、長方形、多角形等で表される図形データ）を送信する。このように、座標値（ｘ，ｙ，ｚ）を含む範囲データを送信することにより、真の位置データｐ（ｔ）の正確な位置を特定することがより困難となる。また、偽の位置データに含める真の位置データｐを平文ではなく、暗号化することより、真の位置データｐの特定をより困難にすることができる。

ユーザが用いるユーザ通信装置の構成を示すブロック図である。 サービス提供者が用いるサービス提供装置の構成を示すブロック図である。 偽の位置データに真の位置データを混入させた場合におけるユーザ通信装置とサービス提供装置の処理状況を示す図である。 時刻ｔ，ｔ−１において偽の位置データをランダムに発生させた例を示す図（図４（ａ））、及び、時刻ｔ，ｔ−１で互いに関連性があるように偽の位置データを発生させた例を示す図（図４（ｂ））である。

符号の説明

１…ユーザ通信装置、２…サービス提供装置、１１，２１…データ送受信部、１２…ダミーデータ作成部、１２ａ…位置決定部、１２ｂ…計算部、１３…ダミーデータ記憶部、１４…データ制御部、１５…真のデータ記憶部、１６…返信データ解読部、１６ａ…サービス取得部、２２…返信データ作成部、２３…サービスデータベース。

Claims (16)

1. 通信網に接続され、ユーザのサービスの要求時に前記ユーザの位置を表す位置データを前記通信網を介してサービス提供装置へ送信し、前記サービス提供装置から前記位置データに応じたサービスを提供させる通信装置において、
   前記ユーザの偽の位置を表す位置データを作成する作成部と、
   前記ユーザのサービスの要求時に前記作成部を制御し、この作成部により作成された前記ユーザの偽の位置を表す複数の偽の位置データを前記ユーザの実際の位置を表す真の位置データとともに前記サービス提供装置へ送信する制御部と、
   前記制御部の位置データの送信に対し、前記サービス提供装置からこの送信位置データに対応するサービスが返信データとして返送されると、この返信データの中から真の位置データに応じた返信データを前記ユーザへのサービスとして取得するサービス取得部と
   を備えることを特徴とする位置匿名性をもつ通信装置。
2. 請求項１において、
   前記サービス提供装置へ送信された偽の位置データを記憶する第１の記憶部を備え、
   前記作成部は、前記第１の記憶部に記憶された前記偽の位置データで示される偽の位置から前記ユーザが物理的に移動不可能な距離とならないような位置を、偽の位置データとして決定する位置決定部を備えることを特徴とする位置匿名性をもつ通信装置。
3. 請求項２において、
   前記位置決定部は、前記ユーザが物理的に移動可能な範囲を、前記第１の記憶部に記憶された前記偽の位置データを中心とした円或いは多角形のいずれかで表し、その範囲内の任意の位置を、サービス提供装置へ送信される偽の位置データとして決定することを特徴とする位置匿名性をもつ通信装置。
4. 請求項２において、
   前記位置決定部は、少なくとも前記第１の記憶部に記憶された複数の偽の位置データが分布する範囲を複数の区画に区切り、この区切られた複数の区画の中で偽の位置データが分布するいずれかの区画内の任意の位置、或いは偽の位置データが分布する区画に隣接し偽の位置データが分布しない区画の任意の位置を、サービス提供装置へ送信される偽の位置データとして決定することを特徴とする位置匿名性をもつ通信装置。
5. 請求項２において、
   前記サービス提供装置へ送信された真の位置データを記憶する第２の記憶部を備え、
   前記位置決定部は、前回のサービス提供装置への送信時に第２の記憶部に記憶された真の位置データの値と前々回のサービス提供装置への送信時に第２の記憶部に記憶された位置データの値の差、及び、前回のサービス提供装置への位置データの送信時刻と前々回のサービス提供装置への位置データの送信時刻の差に基づいてユーザの移動速度を求め、求めた移動速度をもとにサービス提供装置に送信される偽の位置データを決定することを特徴とする位置匿名性をもつ通信装置。
6. 請求項３〜５のいずれかにおいて、
   前記通信網には、前記サービス提供装置からそれぞれ位置データに応じたサービスが提供される複数の通信装置が接続され、
   前記サービス提供装置には、複数の通信装置から送信された真の位置データと偽の位置データが記憶され、
   前記作成部は、前記サービス提供装置に記憶された複数の位置データを取得して、取得した複数の位置データの空間上における分布を示す分布密度を計算する計算部を備え、
   前記位置決定部は、前記分布密度が空間全体で均一となるようにサービス提供装置へ送信される偽の位置データを決定することを特徴とする位置匿名性をもつ通信装置。
7. 請求項６において、
   前記位置決定部は、前記ユーザが物理的に移動可能な範囲を、複数の偽の位置データを含む円或いは多角形のいずれかで表すとともに、その範囲内の偽の位置データの分布を調べ、その範囲内における分布密度の小さい位置にサービス提供装置へ送信される偽の位置データを配置することを特徴とする位置匿名性をもつ通信装置。
8. 請求項７において、
   前記位置決定部は、前記ユーザが物理的に移動可能な範囲を、複数の偽の位置データを含む円或いは多角形のいずれかで表すとともに、その範囲を複数の区画に分割してそれぞれの区画に入る偽の位置データの数を数え、位置データの数の少ない区画にサービス提供装置へ送信される偽の位置データを配置することを特徴とする位置匿名性をもつ通信装置。
9. 通信網に接続され、ユーザのサービスの要求時に前記ユーザの位置を表す位置データを前記通信網を介してサービス提供装置へ送信し、前記サービス提供装置から前記位置データに応じたサービスを提供させる通信装置の通信方法において、
   前記ユーザの偽の位置を表す位置データを作成する第１のステップと、
   前記ユーザのサービスの要求時に前記第１のステップの処理に基づき作成された前記ユーザの偽の位置を表す複数の偽の位置データを前記ユーザの実際の位置を表す真の位置データとともに前記サービス提供装置へ送信する第２のステップと、
   第２のステップの処理による位置データの送信に対し、前記サービス提供装置からこの送信位置データに対応するサービスが返信データとして返送されると、この返信データの中から真の位置データに応じた返信データをユーザへのサービスとして取得する第３のステップと
   を有することを特徴とする通信方法。
10. 請求項９において、
    前記サービス提供装置へ送信された偽の位置データを記憶する第４のステップを有し、
    前記第１のステップの処理は、前記第４のステップの処理により記憶された前記偽の位置データで示される偽の位置から前記ユーザが物理的に移動不可能な距離とならないような位置を、サービス提供装置へ送信される偽の位置データとして決定する第５のステップを有することを特徴とする通信方法。
11. 請求項１０において、
    前記第５のステップの処理は、前記ユーザが物理的に移動可能な範囲を、第４のステップの処理に基づき記憶された偽の位置データを中心とした円或いは多角形のいずれかで表し、その範囲内の任意の位置を、サービス提供装置へ送信される偽の位置データとして決定する処理を含むことを特徴とする通信方法。
12. 請求項１０において、
    前記第５のステップの処理は、少なくとも第４のステップの処理に基づき記憶された複数の偽の位置データが分布する範囲を複数の区画に区切り、この区切られた複数の区画の中で偽の位置データが分布するいずれかの区画内の任意の位置、或いはこの偽の位置データが分布する区画に隣接し偽の位置データが分布しない区画の任意の位置を、サービス提供装置へ送信される偽の位置データとして決定する処理を含むことを特徴とする通信方法。
13. 請求項１０において、
    前記サービス提供装置へ送信された真の位置データを記憶する第６のステップを有し、
    前記第５のステップの処理は、前回のサービス提供装置への送信時に前記第６のステップの処理により記憶された真の位置データの値と前々回にサービス提供装置への送信時に前記第６のステップの処理により記憶された真の位置データの値の差、及び、前回のサービス提供装置への位置データの送信時刻と前々回のサービス提供装置への位置データの送信時刻の差に基づいてユーザの移動速度を求め、求めた移動速度をもとにサービス提供装置へ送信される偽の位置データを決定する処理を含むことを特徴とする通信方法。
14. 請求項１１〜１３のいずれかにおいて、
    前記通信網には、前記サービス提供装置からそれぞれ位置データに応じたサービスが提供される複数の通信装置が接続され、
    前記サービス提供装置には、複数の通信装置から送信された真の位置データと偽の位置データが記憶され、
    前記第１のステップの処理は、前記サービス提供装置に記憶された複数の位置データを取得して、取得した複数の位置データの空間上における分布を示す分布密度を計算する第７のステップを有し、
    前記第５のステップの処理は、前記分布密度が空間全体で均一となるようにサービス提供装置へ送信される偽の位置データを決定する処理を含むことを特徴とする通信方法。
15. 請求項１４において、
    前記第５のステップの処理は、前記ユーザが物理的に移動可能な範囲を、複数の偽の位置データを含む円或いは多角形のいずれかで表すとともに、その範囲内の偽の位置データの分布を調べ、その範囲内における分布密度の小さい位置にサービス提供装置へ送信される偽の位置データを配置する処理を含むことを特徴とする通信方法。
16. 請求項１５において、
    前記第５のステップの処理は、前記ユーザが物理的に移動可能な範囲を、複数の偽の位置データを含む円或いは多角形のいずれかで表すとともに、その範囲を複数の区画に分割してそれぞれの区画に入る偽の位置データの数を数え、位置データの数の少ない区画にサービス提供装置へ送信される偽の位置データを配置する処理を含むことを特徴とする通信方法。
    

Images