JP6943260B2 - サーバ装置、情報管理方法、情報処理装置、情報処理方法およびプログラム - Google Patents

Description

本開示は、サーバ装置、情報管理方法、情報処理装置、情報処理方法およびプログラムに関する。

ユーザに関する情報として、様々な種類の情報が存在し得る。例えば、ユーザに関する情報として、匿名性を有する情報（以下、「匿名情報」とも言う。）が存在する。また、ユーザに関する情報として、関連するユーザの特定を可能とする情報（以下、「実名情報」とも言う。）が存在する。匿名情報と実名情報とが関連付けられた状態でサーバによって記憶され、サーバから匿名情報と実名情報とが漏洩した場合、匿名情報と実名情報とを取得した第三者がユーザに対して損害をもたらすおそれがある。

そのため、近年においては、匿名情報を実名情報から切り離した状態で管理するための技術が開発されている。例えば、実名情報を記憶するサーバ装置（以下、「実名情報サーバ」とも言う。）と匿名情報を記憶するサーバ装置（以下、「匿名情報サーバ」とも言う。）とを切り離すことによって、匿名情報が漏洩した場合であっても、実名情報と匿名情報との対応関係を第三者に容易に把握されないようにする技術が開示されている（例えば、特許文献１参照。）。

特開２０１３−１０９５７７号公報

しかし、匿名情報が漏洩した場合であっても、漏洩した匿名情報がどのユーザに関連するのかを特定しにくくする技術が提供されることが望ましい。

本開示によれば、ユーザの匿名情報が漏洩した場合におけるリスク値を取得するリスク値取得部と、前記匿名情報に前記匿名情報を識別するための匿名ＩＤを関連付ける処理実行部と、を備え、前記処理実行部は、前記リスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行する、サーバ装置が提供される。

本開示によれば、ユーザの匿名情報が漏洩した場合におけるリスク値を取得することと、前記匿名情報に前記匿名情報を識別するための匿名ＩＤを関連付けることと、を含み、前記リスク値が所定の閾値を超える場合、プロセッサにより、前記匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行することを含む、情報管理方法が提供される。

本開示によれば、コンピュータを、ユーザの匿名情報が漏洩した場合におけるリスク値を取得するリスク値取得部と、前記匿名情報に前記匿名情報を識別するための匿名ＩＤを関連付ける処理実行部と、を備え、前記処理実行部は、前記リスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行する、サーバ装置として機能させるためのプログラムが提供される。

本開示によれば、ユーザの匿名情報を識別するための匿名ＩＤを生成する匿名ＩＤ生成部と、前記匿名ＩＤおよび前記匿名情報をサーバ装置に提供する匿名ＩＤ提供部と、を備え、前記匿名ＩＤ生成部は、前記匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行する、情報処理装置が提供される。

本開示によれば、ユーザの匿名情報を識別するための匿名ＩＤを生成することと、前記匿名ＩＤおよび前記匿名情報をサーバ装置に提供することと、を含み、前記匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、プロセッサにより、前記匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行することを含む、情報処理方法が提供される。

本開示によれば、コンピュータを、ユーザの匿名情報を識別するための匿名ＩＤを生成する匿名ＩＤ生成部と、前記匿名ＩＤおよび前記匿名情報をサーバ装置に提供する匿名ＩＤ提供部と、を備え、前記匿名ＩＤ生成部は、前記匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行する、情報処理装置として機能させるためのプログラムが提供される。

以上説明したように本開示によれば、匿名情報が漏洩した場合であっても、漏洩した匿名情報がどのユーザに関連するのかを特定しにくくする技術が提供される。なお、上記の効果は必ずしも限定的なものではなく、上記の効果とともに、または上記の効果に代えて、本明細書に示されたいずれかの効果、または本明細書から把握され得る他の効果が奏されてもよい。

本開示の実施形態に係る情報処理システムの構成例を示す図である。 同実施形態に係る情報処理装置の機能構成例を示す図である。 同実施形態に係る実名情報サーバの機能構成例を示す図である。 同実施形態に係る匿名情報サーバの機能構成例を示す図である。 位置情報に関連付けられる匿名ＩＤを切り替える処理について説明するための図である。 位置情報と匿名ＩＤとの関連付けをユーザごとに示した例である。 匿名ＩＤを切り替えるタイミングの例を説明するための図である。 実名情報サーバおよび匿名情報サーバそれぞれによって記憶される情報の例を示す図である。 実名情報サーバおよび匿名情報サーバそれぞれによって記憶される情報の概要を説明するための図である。 ユーザＩＤと仮名ＩＤとのマッピングの例を示す図である。 仮名ＩＤと匿名ＩＤとのマッピングの例を示す図である。 匿名ＩＤを切り替える処理の詳細を説明するための図である。 ユーザの認証から位置情報の保存までの動作例（匿名ＩＤの切り替えがなされない場合）を示すフローチャートである。 ユーザの認証から位置情報の保存までの動作例（匿名ＩＤの切り替えがなされる場合）を示すフローチャートである。 ユーザの認証から位置情報の取得までの動作例を示すフローチャートである。 位置情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の詳細を説明するための図である。 同実施形態に係る情報処理装置のハードウェア構成例を示すブロック図である。

以下に添付図面を参照しながら、本開示の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

また、本明細書および図面において、実質的に同一または類似の機能構成を有する複数の構成要素を、同一の符号の後に異なる数字を付して区別する場合がある。ただし、実質的に同一または類似の機能構成を有する複数の構成要素の各々を特に区別する必要がない場合、同一符号のみを付する。また、異なる実施形態の類似する構成要素については、同一の符号の後に異なるアルファベットを付して区別する場合がある。ただし、類似する構成要素の各々を特に区別する必要がない場合、同一符号のみを付する。

なお、説明は以下の順序で行うものとする。
０．概要
１．実施形態の詳細
１．１．情報処理装置の機能構成例
１．２．実名情報サーバの機能構成例
１．３．匿名情報サーバの機能構成例
１．４．全体的な機能
１．５．動作例
２．変形例の説明
３．ハードウェア構成例
４．むすび

＜０．概要＞
まず、本開示の実施形態の概要について説明する。ユーザに関する情報として、様々な種類の情報が存在し得る。例えば、ユーザに関する情報として、匿名情報が存在する。また、ユーザに関する情報として、実名情報が存在する。匿名情報と実名情報とが関連付けられた状態でサーバによって記憶され、サーバから匿名情報と実名情報とが関連付けられた状態で漏洩した場合、匿名情報と実名情報とを取得した第三者がユーザに対して損害をもたらすおそれがある。

そのため、近年においては、匿名情報を実名情報から切り離した状態で管理するための技術が開発されている。図１は、本開示の実施形態に係る情報処理システムの構成例を示す図である。図１を参照すると、情報処理システム１は、情報処理装置１０と、実名情報を記憶する実名情報サーバ２０と、匿名情報を記憶する匿名情報サーバ３０とを備える。このように、実名情報サーバ２０と匿名情報サーバ３０とを切り離すことによって、匿名情報が漏洩した場合であっても、実名情報と匿名情報との対応関係を第三者に容易に把握されないようにすることが可能である。

実名情報サーバ２０は、記憶部２５０を備えており、ユーザを識別するための情報（以下、「ユーザＩＤ」とも言う。）とユーザの実名情報の例としてのユーザの個人情報とは、関連付けられた状態で記憶部２５０によって記憶されている。また、匿名情報サーバ３０は、記憶部３５０を備えており、ユーザの匿名情報を識別するための情報（以下、「匿名ＩＤ」とも言う。）とユーザの匿名情報の例としてのユーザの位置情報とが、関連付けられた状態で記憶部３５０によって記憶されている。

なお、本開示の実施形態においては、匿名情報の例として位置情報を用いる場合を主に説明する。しかし、匿名情報は位置情報に限定されない。例えば、匿名情報は、何らかの機微データであってもよい。機微データは、他人に知られたくないセンシティブな情報であればよく、ユーザの生活に関わる情報であってもよいし、ユーザの健康に関わる情報であってもよいし、ユーザの身体に関する情報（例えば、脈波などの生体情報など）であってもよい。

ユーザＩＤと匿名ＩＤとは、情報処理装置１０においてマッピングされる（関連付けられる）。本明細書においては、情報処理装置１０がユーザ自身のデバイスである場合を想定する。かかる場合には、クラウド上においては（サーバにおいては）、ユーザＩＤと匿名ＩＤとがマッピングされないため（個人情報と位置情報との相関がないため）、ユーザ自身のデバイスからの情報漏洩がない限り、実名情報と匿名情報との対応関係は第三者に把握されない。しかし、情報処理装置１０は、ユーザ自身のデバイスでなくてもよく、サーバであってもよい。

図１に示したように、情報処理装置１０は、一例として、ユーザＩＤと匿名ＩＤとの対応関係を把握するための鍵（以下、「マッピング鍵」とも言う。）１５１を保持しており、マッピング鍵１５１を用いて、ユーザＩＤに関連付けられた匿名ＩＤを特定することが可能である。なお、ユーザＩＤに関連付けられた匿名ＩＤの特定のために鍵は必須ではない。例えば、お互い乱数で生成したユーザＩＤと匿名ＩＤのペアを含むデータベースやファイルを保存しておくだけでもよい。以下では、位置情報に対する匿名ＩＤの関連付けを工夫することによって、位置情報が漏洩した場合であっても、漏洩した位置情報がどのユーザに関連するのかを特定しにくくする技術を主に説明する。

以上、本開示の実施形態の概要について説明した。

＜１．実施形態の詳細＞
続いて、本開示の実施形態の詳細について説明する。

［１．１．情報処理装置の機能構成例］
まず、本開示の実施形態に係る情報処理装置１０の機能構成例について説明する。図２は、本開示の実施形態に係る情報処理装置１０の機能構成例を示す図である。図２に示したように、情報処理装置１０は、制御部１１０、検出部１２０、入力部１３０、通信部１４０、記憶部１５０および出力部１６０を有している。

なお、本明細書においては、制御部１１０、検出部１２０、入力部１３０、通信部１４０、記憶部１５０および出力部１６０が、同一のデバイス（情報処理装置１０）の内部に存在する例を主に説明する。しかし、これらのブロックが存在する位置は特に限定されない。例えば、後に説明するように、これらのブロックの一部は、サーバなどに存在していてもよい。

制御部１１０は、情報処理装置１０の各部の制御を実行する。図２に示したように、制御部１１０は、取得部１１１、匿名ＩＤ生成部１１２および匿名ＩＤ提供部１１３を備える。これらの各機能ブロックについての詳細は、後に説明する。なお、制御部１１０は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ；中央演算処理装置）などで構成されていてよい。制御部１１０がＣＰＵなどといった処理装置によって構成される場合、かかる処理装置は、電子回路によって構成されてよい。

検出部１２０は、各種のセンサを有しており、各種のセンサによるセンシングによりセンサデータを取得することが可能である。本開示の実施形態においては、検出部１２０がＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）信号を受信可能なＧＰＳセンサを含んでおり、このＧＰＳセンサによって、情報処理装置１０の緯度、経度および高度を測定することが可能である。

入力部１３０は、ユーザによる操作を検出して、検出した操作を制御部１１０に出力する。例えば、入力部１３０がタッチパネルにより構成される場合には、ユーザによる操作はタッチパネルに対する操作（例えば、タップ操作、ドラッグ操作など）に相当し得る。しかし、入力部１３０はタッチパネル以外のハードウェア（例えば、ボタンなど）により構成されていてもよい。あるいは、入力部１３０はマイクロフォンにより構成され、マイクロフォンによって音声が操作として検出されてもよい。

通信部１４０は、実名情報サーバ２０および匿名情報サーバ３０との間で通信を行う機能を有する。例えば、通信部１４０は、通信インターフェースにより構成される。例えば、通信部１４０は、通信ネットワーク９３１（図１７）を介して、実名情報サーバ２０および匿名情報サーバ３０との間で通信を行うことが可能である。

記憶部１５０は、制御部１１０によって実行されるプログラムを記憶したり、プログラムの実行に必要なデータを記憶したりする記録媒体である。また、記憶部１５０は、制御部１１０による演算のためにデータを一時的に記憶する。記憶部１５０は、磁気記憶部デバイスであってもよいし、半導体記憶デバイスであってもよいし、光記憶デバイスであってもよいし、光磁気記憶デバイスであってもよい。

出力部１６０は、各種の情報を出力する。例えば、出力部１６０は、ユーザに視認可能な表示を行うことが可能なディスプレイを含んでよく、ディスプレイは、プロジェクタであってもよいし、液晶ディスプレイであってもよいし、有機ＥＬ（Ｅｌｅｃｔｒｏ−Ｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイであってもよい。また、出力部１６０は、音声出力装置を含んでもよい。あるいは、出力部１６０は、ユーザに触覚を提示する触覚提示装置を含んでもよい。

以上、本開示の実施形態に係る情報処理装置１０の機能構成例について説明した。

［１．２．実名情報サーバの機能構成例］
続いて、本開示の実施形態に係る実名情報サーバ２０の機能構成例について説明する。図３は、本開示の実施形態に係る実名情報サーバ２０の機能構成例を示す図である。図３に示したように、実名情報サーバ２０は、制御部２１０、通信部２４０および記憶部２５０を有している。

なお、本明細書においては、制御部２１０、通信部２４０および記憶部２５０が、同一のデバイス（実名情報サーバ２０）の内部に存在する例を主に説明する。しかし、これらのブロックが存在する位置は特に限定されない。例えば、後に説明するように、これらのブロックの一部は、他のサーバなどに存在していてもよい。

制御部２１０は、実名情報サーバ２０の各部の制御を実行する。制御部２１０は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ；中央演算処理装置）などで構成されていてよい。制御部２１０がＣＰＵなどといった処理装置によって構成される場合、かかる処理装置は、電子回路によって構成されてよい。

通信部２４０は、情報処理装置１０との間で通信を行う機能を有する。例えば、通信部２４０は、通信インターフェースにより構成される。例えば、通信部２４０は、通信ネットワーク９３１（図１７）を介して、情報処理装置１０との間で通信を行うことが可能である。

記憶部２５０は、制御部２１０によって実行されるプログラムを記憶したり、プログラムの実行に必要なデータを記憶したりする記録媒体である。また、記憶部２５０は、制御部２１０による演算のためにデータを一時的に記憶する。記憶部２５０は、磁気記憶部デバイスであってもよいし、半導体記憶デバイスであってもよいし、光記憶デバイスであってもよいし、光磁気記憶デバイスであってもよい。

以上、本開示の実施形態に係る実名情報サーバ２０の機能構成例について説明した。

［１．３．匿名情報サーバの機能構成例］
続いて、本開示の実施形態に係る匿名情報サーバ３０の機能構成例について説明する。図４は、本開示の実施形態に係る匿名情報サーバ３０の機能構成例を示す図である。図４に示したように、匿名情報サーバ３０は、制御部３１０、通信部３４０および記憶部３５０を有している。

なお、本明細書においては、制御部３１０、通信部３４０および記憶部３５０が、同一のデバイス（匿名情報サーバ３０）の内部に存在する例を主に説明する。しかし、これらのブロックが存在する位置は特に限定されない。例えば、後に説明するように、これらのブロックの一部は、他のサーバなどに存在していてもよい。

制御部３１０は、匿名情報サーバ３０の各部の制御を実行する。図４に示したように、制御部３１０は、データ取得部３１１、リスク値取得部３１２および処理実行部３１３を備える。これらの各機能ブロックについての詳細は、後に説明する。なお、制御部３１０は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ；中央演算処理装置）などで構成されていてよい。制御部３１０がＣＰＵなどといった処理装置によって構成される場合、かかる処理装置は、電子回路によって構成されてよい。

通信部３４０は、情報処理装置１０との間で通信を行う機能を有する。例えば、通信部３４０は、通信インターフェースにより構成される。例えば、通信部３４０は、通信ネットワーク９３１（図１７）を介して、情報処理装置１０との間で通信を行うことが可能である。

記憶部３５０は、制御部３１０によって実行されるプログラムを記憶したり、プログラムの実行に必要なデータを記憶したりする記録媒体である。また、記憶部３５０は、制御部３１０による演算のためにデータを一時的に記憶する。記憶部３５０は、磁気記憶部デバイスであってもよいし、半導体記憶デバイスであってもよいし、光記憶デバイスであってもよいし、光磁気記憶デバイスであってもよい。

以上、本開示の実施形態に係る匿名情報サーバ３０の機能構成例について説明した。

［１．４．全体的な機能］
続いて、本開示の実施形態に係る情報処理システム１の全体的な機能について説明する。まず、位置情報に対する匿名ＩＤの関連付けの工夫の例として、位置情報に関連付けられる匿名ＩＤを切り替える処理を説明する。

図５は、位置情報に関連付けられる匿名ＩＤを切り替える処理について説明するための図である。図１を参照しながら説明したように、匿名情報サーバ３０においては、記憶部３５０によってユーザの位置情報が記憶される。ユーザの位置情報は、時系列に沿って変化し得る。図５に示すように、匿名情報サーバ３０において、時刻Ｔ−０から時刻Ｔ−（ｊ＋１）までの各時刻におけるユーザの位置情報が、情報処理装置１０から匿名情報サーバ３０に送信され、匿名情報サーバ３０における記憶部３５０によって記憶される場合を想定する。

かかる場合、匿名情報サーバ３０において、処理実行部３１３は、位置情報に関連付けられる匿名ＩＤを所定のタイミングで切り替える処理を行う。匿名ＩＤを切り替えるタイミングについては後に説明する。図５に示した例では、処理実行部３１３は、時刻Ｔ−ｉにおける位置情報に関連付けられる匿名ＩＤ−ｉと時刻Ｔ−（ｉ＋１）における位置情報に関連付けられる匿名ＩＤ−ｊとの間で切り替えを行っている。また、処理実行部３１３は、時刻Ｔ−ｊにおける位置情報に関連付けられる匿名ＩＤ−ｊと時刻Ｔ−（ｊ＋１）における位置情報に関連付けられる匿名ＩＤ−ｋとの間で切り替えを行っている。

図６は、位置情報と匿名ＩＤとの関連付けをユーザごとに示した例である。上記したように、位置情報に関連付けられる匿名ＩＤを切り替える処理によって、１人当たりのユーザの複数の位置情報に対して関連付けられる匿名ＩＤは、１または複数種類になり得る。具体的に、図６を参照すると、ユーザＰ−１の１つの位置情報には、匿名ＩＤ−３が関連付けられ、ユーザＰ−１の２つの位置情報には、匿名ＩＤ−４が関連付けられ、ユーザＰ−１の５つの位置情報には、匿名ＩＤ−６が関連付けられている。

また、ユーザＰ−２の２つの位置情報には、匿名ＩＤ−１が関連付けられ、ユーザＰ−２の２つの位置情報には、匿名ＩＤ−５が関連付けられている。また、ユーザＰ−３の３つの位置情報には、匿名ＩＤ−２が関連付けられている。このように、位置情報に関連付けられる匿名ＩＤを切り替える処理によって、長期間にわたる位置情報の履歴（行動履歴）から個人が特定されるリスクが低減される。すなわち、匿名ＩＤを切り替える処理によって、ユーザＰ−１〜Ｐ−３それぞれに関連付けられた位置情報が第三者に把握されてしまう可能性が低減される（位置情報の秘密性が高まる）。

続いて、匿名ＩＤを切り替えるタイミングの例について説明する。図７は、匿名ＩＤを切り替えるタイミングの例を説明するための図である。図７に示すように、匿名情報サーバ３０において、記憶部３５０は、情報処理装置１０から受信した複数の位置情報を記憶している。そして、匿名情報サーバ３０において、データ取得部３１１は、通信部３４０を介して、情報処理装置１０から新たに位置情報を取得する。また、データ取得部３１１は、記憶部３５０によって記憶されている複数の位置情報を取得する。

続いて、リスク値取得部３１２は、データ取得部３１１によって取得された新たな位置情報が漏洩した場合におけるリスク値を算出する（Ｓ１）。具体的には、リスク値取得部３１２は、データ取得部３１１によって取得された新たな位置情報を現在の匿名ＩＤに関連付けて保存した後、新たな位置情報と匿名ＩＤとが関連付けられた状態で漏洩した場合に（あるいは、これらに加えて記憶部３５０から取得された複数の位置情報も匿名ＩＤに関連付けられた状態で漏洩した場合に）、当該新たな位置情報に関連するユーザが第三者によって特定される可能性をリスク値として算出する。例えば、かかるリスク値は、位置情報および位置情報に関連する情報の少なくともいずれか一方に基づいて算出（取得）されてよい。

例えば、位置情報が所定の第１のエリアの内部に存在する場合には、位置情報が所定の第１のエリアの外部に存在する場合よりも、リスク値が高く算出されてよい。例えば、所定の第１のエリアは、ユーザのプライバシーへの影響度が高いエリア（例えば、自宅の内部または自宅の近隣など）であってよい。一方、位置情報が所定の第２のエリアの内部に存在する場合には、所定の第２のエリアの外部に存在する場合よりも、リスク値が低く算出されてよい。所定の第２のエリアは、ユーザのプライバシーへの影響度が低いエリア（例えば、公園の内部または公園の近隣など）であってよい。

具体的な例として、ユーザの走行を管理するアプリケーション（以下、「ランニングアプリ」とも言う。）が利用されている場合を想定する。かかる場合においては、ユーザがランニングを開始した直後は、ユーザが自宅の内部または自宅の近隣などに存在するため、リスク値は高く算出される。一方、ユーザが公園内においてランニングコースを周回している間は、リスク値が低く算出される。

また、記憶部３５０によって記憶されている複数の位置情報に対して、新たな位置情報が関連付けられて記憶された場合におけるリスク値であってよい。例えば、測位開始からの経過時間が所定の時間を上回った場合には、測位開始からの経過時間が所定の時間を下回る場合よりも、ユーザのプライバシーへの位置情報の影響度が高いことが想定される。そこで、測位開始からの経過時間が所定の時間を下回る場合よりも、リスク値が高く算出されてよい。

具体的な例として、ユーザの日々の運動データを記録するアプリケーション（以下、「ライフログアプリ」とも言う。）が利用されている場合を想定する。かかる場合においては、ユーザの位置情報が一定の時間ごと（例えば、２分ごと）に記録される。このとき、測位開始からの経過時間が所定の時間（例えば、２４時間など）を上回った場合には、測位開始からの経過時間が所定の時間を下回る場合よりも、ユーザのプライバシーへの位置情報の影響度が高いとして、リスク値が高く算出されてよい。

処理実行部３１３は、新たな位置情報に匿名ＩＤを関連付ける。このとき、処理実行部３１３は、リスク値が所定の閾値を超えない場合には、新たな位置情報に関連付けられる匿名ＩＤを前回受信された位置情報に関連付けられた匿名ＩＤと同じにする（新たな位置情報に関連付けられる匿名ＩＤを切り替えない）。一方、処理実行部３１３は、リスク値が所定の閾値を超える場合、新たな位置情報に関連付けられる匿名ＩＤを前回受信された位置情報に関連付けられた匿名ＩＤと異ならせる（新たな位置情報に関連付けられる匿名ＩＤを切り替える）。処理実行部３１３は、新たな位置情報と匿名ＩＤとを関連付けられた状態で記憶部３５０に保存する（記憶させる）（Ｓ２）。

続いて、実名情報サーバ２０および匿名情報サーバ３０それぞれによって記憶される情報の例について説明する。図８は、実名情報サーバ２０および匿名情報サーバ３０それぞれによって記憶される情報の例を示す図である。図８に示すように、実名情報サーバ２０は、実名ユーザについての情報を記憶する空間（以下、「実名ユーザ空間」とも言う。）を有している。実名ユーザ空間は、ユーザＩＤとユーザの実名情報の例としてのユーザの個人情報とを関連付けた状態で記憶する。

図８には、ユーザＩＤの例として、「ユーザＡ」「ユーザＢ」「ユーザＣ」が示されている。しかし、ユーザＩＤの数は３つに限定されず、いくつであってもよい。また、図８には、ユーザの個人情報として、ユーザの名前（実名）、ｅｍａｉｌアドレスおよびＳＮＳ（Ｓｏｃｉａｌ Ｎｅｔｗｏｒｋｉｎｇ Ｓｅｒｖｉｃｅ）アカウントが示されている。しかし、ユーザの個人情報は、これらに限定されない。

また、図８に示すように、匿名情報サーバ３０は、仮名ユーザについての情報を記憶する空間（以下、「仮名ユーザ空間」とも言う。）を有している。なお、以下では、ユーザＩＤが付されたユーザを実名ユーザと称し、実名ユーザに付されたユーザＩＤとは異なる種類のＩＤ（以下、「仮名ＩＤ」とも言う。）が付されたユーザを仮名ユーザと称する場合がある。仮名ユーザ空間は、仮名ＩＤと仮名ユーザの属性とを関連付けた状態で記憶する。

図８には、仮名ＩＤの例として、「仮名Ｘ」「仮名Ｙ」「仮名Ｚ」が示されている。また、図８には、仮名ユーザの属性として、仮名ユーザの年齢、性別、統計データおよび識別データの例としてのＩｎｉｔｉａｌｉｚａｔｉｏｎ ｖｅｃｔｏｒ（以下、「ＩＶ」とも示す。）が示されている。これらの例のように、仮名ユーザの属性は、位置情報などの匿名情報と比較して、関連するユーザの特定が困難な情報であり得る。仮名ユーザの属性は、これらに限定されない。なお、ＩＶ（ｓ）における（ｓ）は、ＩＶが複数存在することを示している。

また、図８に示すように、匿名情報サーバ３０は、ユーザの匿名情報の例としての位置情報を記憶する空間（以下、「位置データ空間」とも言う。）を有している。位置データ空間は、ユーザの位置情報と匿名ＩＤとを関連付けた状態で記憶する。図８には、匿名ＩＤの例として、「匿名ＩＤ−１」から「匿名ＩＤ−９」までが示されている。しかし、匿名ＩＤの数は９つに限定されず、いくつであってもよい。また、図８には、匿名ＩＤに関連する複数の位置情報がドットによって示されている。

図９は、実名情報サーバ２０および匿名情報サーバ３０それぞれによって記憶される情報の概要を説明するための図である。図９に示すように、実名情報サーバ２０は、実名ユーザ空間を有しており、実名ユーザ空間は、ユーザの名前およびｅｍａｉｌなどといった個人情報を扱う。一方、匿名情報サーバ３０は、仮名ユーザ空間を有しており、仮名ユーザ空間は、仮名ユーザの属性を保持する。また、匿名情報サーバ３０は、位置データ空間を有しており、位置データ空間は、位置情報を匿名で保持する。なお、匿名情報サーバ３０は、位置データ空間の代わりに機微データ空間を有していてもよい。機微データの例は既に述べた通りである。

続いて、情報処理装置１０におけるマッピングの例について説明する。図１０は、ユーザＩＤと仮名ＩＤとのマッピングの例を示す図である。図１０に示すように、ユーザＩＤと仮名ＩＤとは、同一のユーザに対して付される。図１０に示した例では、ユーザＩＤ「ユーザＡ」と仮名ＩＤ「仮名Ｘ」とが同一のユーザ（図６に示したユーザＰ−１）に対して付されており、情報処理装置１０において、ユーザＩＤ「ユーザＡ」と仮名ＩＤ「仮名Ｘ」とがマッピングされている。

同様に、ユーザＩＤ「ユーザＢ」と仮名ＩＤ「仮名Ｙ」とが同一のユーザ（図６に示したユーザＰ−２）に対して付されており、情報処理装置１０において、ユーザＩＤ「ユーザＢ」と仮名ＩＤ「仮名Ｙ」とがマッピングされている。また、ユーザＩＤ「ユーザＣ」と仮名ＩＤ「仮名Ｚ」とが同一のユーザ（図６に示したユーザＰ−３）に対して付されており、情報処理装置１０において、ユーザＩＤ「ユーザＣ」と仮名ＩＤ「仮名Ｚ」とがマッピングされている。

図１１は、仮名ＩＤと匿名ＩＤとのマッピングの例を示す図である。図１１に示すように、仮名ＩＤに対して１または複数の匿名ＩＤが関連付けられる。図１１に示した例では、仮名ＩＤ「仮名Ｘ」と複数の匿名ＩＤ（例えば、匿名ＩＤ−１、匿名ＩＤ−２および匿名ＩＤ−３）とが関連付けられており、情報処理装置１０において、仮名ＩＤ「仮名Ｘ」と複数の匿名ＩＤ（例えば、匿名ＩＤ−１、匿名ＩＤ−２および匿名ＩＤ−３）とがマッピングされている。

同様に、仮名ＩＤ「仮名Ｙ」と複数の匿名ＩＤ（例えば、匿名ＩＤ−４、匿名ＩＤ−５および匿名ＩＤ−６）とが関連付けられており、情報処理装置１０において、仮名ＩＤ「仮名Ｙ」と複数の匿名ＩＤ（例えば、匿名ＩＤ−４、匿名ＩＤ−５および匿名ＩＤ−６）とがマッピングされている。また、仮名ＩＤ「仮名Ｚ」と複数の匿名ＩＤ（例えば、匿名ＩＤ−７、匿名ＩＤ−８および匿名ＩＤ−９）とが関連付けられており、情報処理装置１０において、仮名ＩＤ「仮名Ｙ」と複数の匿名ＩＤ（例えば、匿名ＩＤ−７、匿名ＩＤ−８および匿名ＩＤ−９）とがマッピングされている。

続いて、匿名ＩＤを切り替える処理について詳細に説明する。図１２は、匿名ＩＤを切り替える処理の詳細を説明するための図である。図１２に示すように、情報処理装置１０において、実名情報サーバ２０によって提供される所定のサイトへのログインＩＤとパスワードとがユーザによって入力される。そして、入力部１３０によってログインＩＤとパスワードとが受け付けられると、通信部１４０によってログインＩＤとパスワードとが実名情報サーバ２０に送信される。

実名情報サーバ２０において、通信部２４０によってログインＩＤとパスワードとが受信されると、制御部２１０によってログインＩＤおよびパスワードがあらかじめ登録されたデータと一致するか否かを判断することによって、ユーザの認証を行う（Ｓ１１）。通信部２４０は、ユーザの認証が成功した場合、ログインＩＤおよびパスワードに対応してあらかじめ登録されたユーザＩＤを情報処理装置１０に送信する。なお、ここでは、ユーザＩＤが実名情報サーバ２０から送信される場合を主に説明するが、ユーザＩＤは、ユーザ自身が入力してもよい。

続いて、情報処理装置１０においては、取得部１１１は、通信部１４０を介してユーザＩＤを取得する。そして、匿名ＩＤ生成部１１２は、ユーザＩＤに関連付けられた仮名ＩＤを得る。例えば、匿名ＩＤ生成部１１２は、ユーザＩＤに対してあらかじめ用意されたマッピング鍵１５１を用いて暗号化を行うことによって得られる暗号化データを、ユーザＩＤに関連付けられた仮名ＩＤとして得る（Ｓ１２）。通信部１４０は、仮名ＩＤを匿名情報サーバ３０に送信する。

匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して仮名ＩＤが取得されると、処理実行部３１３は、仮名ＩＤにＩＶ−１（第１の識別データ）を関連付ける。そして、通信部３４０によってＩＶ−１が情報処理装置１０に送信される。情報処理装置１０においては、匿名ＩＤ生成部１１２によって通信部１４０を介してＩＶ−１が取得される。

匿名ＩＤ生成部１１２は、ＩＶ−１に応じた匿名ＩＤ−１（第１の匿名ＩＤ）を生成する。ここで、匿名ＩＤ−１はどのように生成されてもよい。一例として、匿名ＩＤ生成部１１２は、仮名ＩＤに関連付けられた匿名ＩＤ鍵１５２を得る。具体的には、匿名ＩＤ生成部１１２は、仮名ＩＤに対してマッピング鍵１５１を用いて暗号化を行うことによって得られる暗号化データを、仮名ＩＤに関連付けられた匿名ＩＤ鍵１５２として得る（Ｓ１３）。そして、匿名ＩＤ生成部１１２は、ＩＶ−１に対して匿名ＩＤ鍵１５２を用いて暗号化を行うことによって得られる暗号化データを、ＩＶ−１に応じた匿名ＩＤ−１として生成する（Ｓ２１）。

匿名ＩＤ提供部１１３は、時刻Ｔ−０における位置情報と匿名ＩＤ−１とを、通信部１４０を介して匿名情報サーバ３０に提供する。ここでは、匿名ＩＤ提供部１１３によって、匿名ＩＤ−１と匿名ＩＤ鍵１５２とハッシュ関数とに基づいて、ＨＭＡＣ（Ｈａｓｈ−ｂａｓｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）が生成され、ＨＭＡＣが匿名ＩＤ−１として匿名情報サーバ３０に提供される場合を主に想定する。しかし、ＨＭＡＣの生成は必須ではない。

匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して時刻Ｔ−０における位置情報と匿名ＩＤ−１とが取得される。そして、処理実行部３１３は、時刻Ｔ−０における位置情報と匿名ＩＤ−１とを関連付けた状態で、記憶部３５０に保存する（記憶させる）。なお、時刻Ｔ−０における位置情報は、匿名情報サーバ３０によって初めて取得される位置情報であるため、時刻Ｔ−０における位置情報が漏洩した場合におけるリスク値は特に算出されなくてよい。

続いて、匿名ＩＤ提供部１１３は、時刻Ｔ−１における位置情報（第１の匿名情報）と匿名ＩＤ−１（第１の匿名ＩＤ）とを、通信部１４０を介して匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって時刻Ｔ−１における位置情報と匿名ＩＤ−１とが通信部３４０を介して取得される。

ここで、リスク値取得部３１２は、時刻Ｔ−１における位置情報が漏洩した場合におけるリスク値を算出する。処理実行部３１３は、リスク値が閾値を超えない場合、匿名ＩＤを切り替える処理は行わずに、匿名ＩＤ−１を時刻Ｔ−１における位置情報に関連付ける。ここでは、リスク値が閾値を超えないために、時刻Ｔ−０における位置情報に関連付けられた匿名ＩＤ−１と同じ匿名ＩＤ−１が時刻Ｔ−１における位置情報に関連付けられる場合を想定する。

続いて、匿名ＩＤ提供部１１３は、時刻Ｔ−２における位置情報（第２の匿名情報）と匿名ＩＤ−２（第２の匿名ＩＤ）とを、通信部１４０を介して匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって時刻Ｔ−２における位置情報と匿名ＩＤ−２とが通信部３４０を介して取得される。

ここで、リスク値取得部３１２は、時刻Ｔ−２における位置情報が漏洩した場合におけるリスク値を算出する。処理実行部３１３は、リスク値が閾値を超える場合、匿名ＩＤを切り替える処理を行い、匿名ＩＤ−１とは異なる匿名ＩＤ−２を時刻Ｔ−２における位置情報に関連付ける。ここでは、リスク値が閾値を超える場合を想定する。

このとき、処理実行部３１３は、通信部３４０を介して匿名ＩＤ再生成リクエストを情報処理装置１０に提供する。情報処理装置１０においては、取得部１１１によって通信部１４０を介して匿名ＩＤ再生成リクエストが取得されると、匿名ＩＤ生成部１１２は、通信部１４０を介して新ＩＶ生成リクエストを匿名情報サーバ３０に提供する。

匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して新ＩＶ生成リクエストが取得されると、処理実行部３１３は、仮名ＩＤにＩＶ−１とは異なるＩＶ−２（第２の識別データ）を関連付ける。そして、通信部３４０によってＩＶ−２が情報処理装置１０に送信される。情報処理装置１０においては、匿名ＩＤ生成部１１２によって通信部１４０を介してＩＶ−２が取得される。

匿名ＩＤ生成部１１２は、ＩＶ−２に応じた匿名ＩＤ−２（第２の匿名ＩＤ）を生成する（Ｓ２２）。ここで、匿名ＩＤ−２は匿名ＩＤ−１と同様に生成されてよい。匿名ＩＤ提供部１１３は、時刻Ｔ−２における位置情報と匿名ＩＤ−２とを、通信部１４０を介して匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して時刻Ｔ−２における位置情報と匿名ＩＤ−２とが取得される。そして、処理実行部３１３は、時刻Ｔ−２における位置情報と匿名ＩＤ−２とを関連付けた状態で、記憶部３５０に保存する（記憶させる）。

続いて、匿名ＩＤ提供部１１３は、時刻Ｔ−３における位置情報と匿名ＩＤ−２とを、通信部１４０を介して匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって時刻Ｔ−３における位置情報と匿名ＩＤ−２とが通信部３４０を介して取得される。

ここで、リスク値取得部３１２は、時刻Ｔ−３における位置情報が漏洩した場合におけるリスク値を算出する。処理実行部３１３は、リスク値が閾値を超えない場合、匿名ＩＤを切り替える処理は行わずに、匿名ＩＤ−２を時刻Ｔ−３における位置情報に関連付ける。ここでは、リスク値が閾値を超えないために、時刻Ｔ−２における位置情報に関連付けられた匿名ＩＤ−２と同じ匿名ＩＤ−２が時刻Ｔ−３における位置情報に関連付けられる場合を想定する。

続いて、匿名ＩＤ提供部１１３は、時刻Ｔ−４における位置情報と匿名ＩＤ−２とを、通信部１４０を介して匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって時刻Ｔ−４における位置情報と匿名ＩＤ−２とが通信部３４０を介して取得される。

ここで、リスク値取得部３１２は、時刻Ｔ−４における位置情報が漏洩した場合におけるリスク値を算出する。処理実行部３１３は、リスク値が閾値を超えない場合、匿名ＩＤを切り替える処理は行わずに、匿名ＩＤ−２を時刻Ｔ−４における位置情報に関連付ける。ここでは、リスク値が閾値を超えないために、時刻Ｔ−３における位置情報に関連付けられた匿名ＩＤ−２と同じ匿名ＩＤ−２が時刻Ｔ−４における位置情報に関連付けられる場合を想定する。

続いて、匿名ＩＤ提供部１１３は、時刻Ｔ−５における位置情報と匿名ＩＤ−２とを、通信部１４０を介して匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって時刻Ｔ−５における位置情報と匿名ＩＤ−２とが通信部３４０を介して取得される。

ここで、リスク値取得部３１２は、時刻Ｔ−５における位置情報が漏洩した場合におけるリスク値を算出する。処理実行部３１３は、リスク値が閾値を超える場合、匿名ＩＤを切り替える処理を行い、匿名ＩＤ−２とは異なる匿名ＩＤ−３を時刻Ｔ−５における位置情報に関連付ける。ここでは、リスク値が閾値を超える場合を想定する。

このとき、匿名ＩＤ−１と同様にして匿名ＩＤ−３が生成される（Ｓ２３）。匿名ＩＤ提供部１１３は、時刻Ｔ−５における位置情報と匿名ＩＤ−３とを、通信部１４０を介して匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して時刻Ｔ−５における位置情報と匿名ＩＤ−３とが取得される。そして、処理実行部３１３は、時刻Ｔ−５における位置情報と匿名ＩＤ−３とを関連付けた状態で、記憶部３５０に保存する（記憶させる）。

続いて、匿名ＩＤ提供部１１３は、時刻Ｔ−６における位置情報と匿名ＩＤ−３とを、通信部１４０を介して匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって時刻Ｔ−６における位置情報と匿名ＩＤ−３とが通信部３４０を介して取得される。

ここで、リスク値取得部３１２は、時刻Ｔ−６における位置情報が漏洩した場合におけるリスク値を算出する。処理実行部３１３は、リスク値が閾値を超えない場合、匿名ＩＤを切り替える処理は行わずに、匿名ＩＤ−３を時刻Ｔ−６における位置情報に関連付ける。ここでは、リスク値が閾値を超えないために、時刻Ｔ−５における位置情報に関連付けられた匿名ＩＤ−３と同じ匿名ＩＤ−３が時刻Ｔ−６における位置情報に関連付けられる場合を想定する。

このようにして、時刻Ｔ−１から時刻Ｔ−６までのそれぞれにおける位置情報に対して匿名ＩＤが関連付けられる。特に、図１２には、時刻Ｔ−２および時刻Ｔ−５において、匿名ＩＤを切り替える処理がなされる例を示した。しかし、匿名ＩＤを切り替える処理がなされるタイミングは、これらの例に限定されない。そして、時刻Ｔ−７以降における位置情報に対しても同様にして匿名ＩＤが関連付けられる。

以上、本開示の実施形態に係る情報処理システム１の全体的な機能について説明した。

［１．５．動作例］
続いて、本開示の実施形態に係る情報処理システム１の動作例について説明する。図１３は、ユーザの認証から位置情報の保存までの動作例（匿名ＩＤの切り替えがなされない場合）を示すフローチャートである。なお、図１３に示したフローチャートは、ユーザの認証から位置情報の保存までの動作の一例を示したに過ぎない。したがって、ユーザの認証から位置情報の保存までの動作は、図１３に示したフローチャートの動作例に限定されない。

情報処理装置１０において、実名情報サーバ２０によって提供される所定のサイトへのログインＩＤとパスワードとがユーザによって入力される。そして、入力部１３０によってログインＩＤとパスワードとが受け付けられると、通信部１４０によってログインＩＤとパスワードとが実名情報サーバ２０に送信される（Ｓ３１）。

実名情報サーバ２０において、通信部２４０によってログインＩＤとパスワードとが受信されると、制御部２１０によってログインＩＤおよびパスワードがあらかじめ登録されたデータと一致するか否かを判断することによって、ユーザの認証を行う。通信部２４０は、ユーザの認証が成功した場合、ログインＩＤおよびパスワードに対応してあらかじめ登録されたユーザＩＤを情報処理装置１０に送信する（Ｓ３２）。

続いて、情報処理装置１０においては、取得部１１１は、通信部１４０を介してユーザＩＤを取得する。そして、匿名ＩＤ生成部１１２は、ユーザＩＤに対してあらかじめ用意されたマッピング鍵１５１を用いて暗号化を行うことによって得られる暗号化データを、ユーザＩＤに関連付けられた仮名ＩＤとして得る（Ｓ３３）。通信部１４０は、仮名ＩＤを匿名情報サーバ３０に送信する（Ｓ３４）。

匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して仮名ＩＤが取得されると、処理実行部３１３は、仮名ＩＤにＩＶを関連付ける。そして、通信部３４０によってＩＶが情報処理装置１０に送信される（Ｓ３５）。情報処理装置１０においては、取得部１１１によって通信部１４０を介してＩＶが取得される。

匿名ＩＤ生成部１１２は、仮名ＩＤに対してマッピング鍵１５１を用いて暗号化を行うことによって得られる暗号化データを、仮名ＩＤに関連付けられた匿名ＩＤ鍵１５２として得る（Ｓ３６）。そして、匿名ＩＤ生成部１１２は、ＩＶに対して匿名ＩＤ鍵１５２を用いて暗号化を行うことによって得られる暗号化データを、ＩＶに応じた匿名ＩＤとして生成する（Ｓ３７）。

匿名ＩＤ提供部１１３は、位置情報と匿名ＩＤとを、通信部１４０を介して匿名情報サーバ３０に提供する（Ｓ３８）。匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して位置情報と匿名ＩＤとが取得される。

ここで、リスク値取得部３１２は、位置情報が漏洩した場合におけるリスク値を算出する。処理実行部３１３は、リスク値が閾値（ｍａｘ）を超えない場合、匿名ＩＤを切り替える処理を行わない。ここでは、リスク値が閾値を超えない場合を想定する。このとき、処理実行部３１３は、位置情報と匿名ＩＤとを関連付けた状態で、記憶部３５０に保存する（記憶させる）。

図１４は、ユーザの認証から位置情報の保存までの動作例（匿名ＩＤの切り替えがなされる場合）を示すフローチャートである。なお、図１４に示したフローチャートは、ユーザの認証から位置情報の保存までの動作の一例を示したに過ぎない。したがって、ユーザの認証から位置情報の保存までの動作は、図１４に示したフローチャートの動作例に限定されない。

まず、図１３を参照しながら説明したように、ユーザの認証から匿名ＩＤの生成までが実行される（Ｓ３１〜Ｓ３７）。続いて、匿名ＩＤ提供部１１３は、位置情報と匿名ＩＤとを、通信部１４０を介して匿名情報サーバ３０に提供する（Ｓ４１）。匿名情報サーバ３０においては、データ取得部３１１によって位置情報と匿名ＩＤとが通信部３４０を介して取得される。

ここで、リスク値取得部３１２は、位置情報が漏洩した場合におけるリスク値を算出する。処理実行部３１３は、リスク値が閾値（ｍａｘ）を超える場合（Ｓ４２）、匿名ＩＤを切り替える処理を行う。ここでは、リスク値が閾値を超える場合を想定する。

このとき、処理実行部３１３は、通信部３４０を介して匿名ＩＤ再生成リクエストを情報処理装置１０に提供する（Ｓ４３）。情報処理装置１０においては、取得部１１１によって通信部１４０を介して匿名ＩＤ再生成リクエストが取得されると、匿名ＩＤ生成部１１２は、通信部１４０を介して新ＩＶ生成リクエストを匿名情報サーバ３０に提供する（Ｓ４４）。

匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して新ＩＶ生成リクエストが取得されると、処理実行部３１３は、仮名ＩＤに関連付けられるＩＶを切り替える。そして、通信部３４０によって切り替え後のＩＶが情報処理装置１０に送信される（Ｓ４５）。情報処理装置１０においては、取得部１１１によって通信部１４０を介して切り替え後のＩＶが取得される。切り替え後のＩＶに応じた匿名ＩＤの生成から位置情報の保存までは、図１３を参照しながら説明したように実行される（Ｓ３７〜Ｓ３８）。

図１５は、ユーザの認証から位置情報の取得までの動作例を示すフローチャートである。なお、図１５に示したフローチャートは、ユーザの認証から位置情報の取得までの動作の一例を示したに過ぎない。したがって、ユーザの認証から位置情報の取得までの動作は、図１５に示したフローチャートの動作例に限定されない。

まず、図１３を参照しながら説明したように、ユーザの認証から仮名ＩＤの生成までが実行される（Ｓ３１〜Ｓ３３）。通信部１４０は、仮名ＩＤと開始時刻および終了時刻とを匿名情報サーバ３０に送信する（Ｓ５１）。なお、開始時刻および終了時刻は、ＩＶの範囲を特定するための情報の例であるため、開始時刻および終了時刻の代わりに、ＩＶの範囲を特定するための他の情報が用いられてもよい。例えば、ＩＶの範囲を特定するための情報は、開始時刻のみを含んでもよいし、終了時刻のみを含んでもよい。

ここで、開始時刻および終了時刻は、どのように指定されてもよい。一例として、開始時刻および終了時刻は、ユーザによって利用される所定のアプリケーションに記録された開始時刻および終了時刻であってもよい。開始時刻および終了時刻は、ユーザによる所定の操作（例えば、ボタンの押下操作など）によって記録されてもよい。このとき、ユーザの位置情報も、開始時刻において保存開始され、終了時刻において保存終了されてもよい。

なお、ユーザによって利用されるアプリケーションの種類は限定されない。例えば、ユーザによって利用されるアプリケーションは、ユーザの走行を管理するアプリケーションであってもよい。このとき、開始時刻および終了時刻は、ランニングアプリに記録された走行開始時刻および走行終了時刻であってもよい。

匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して仮名ＩＤと開始時刻および終了時刻とが取得されると、処理実行部３１３は、仮名ＩＤに関連付けられたＩＶ（ｓ）のうち、開始時刻および終了時刻までの時間に関連付けられたＩＶ（ｓ）を、通信部３４０を介して情報処理装置１０に送信する（Ｓ５３）。情報処理装置１０においては、取得部１１１によって通信部１４０を介してＩＶ（ｓ）が取得される。

匿名ＩＤ生成部１１２は、取得されたすべてのＩＶ（ｓ）に対して匿名ＩＤ鍵１５２を用いて暗号化を行うことによって得られる暗号化データを、全ＩＶ（ｓ）に応じた匿名ＩＤ（ｓ）として生成する（Ｓ３７）。続いて、匿名ＩＤ提供部１１３は、生成された匿名ＩＤ（ｓ）を、通信部１４０を介して匿名情報サーバ３０に提供する（Ｓ５３）。匿名情報サーバ３０においては、データ取得部３１１によって匿名ＩＤ（ｓ）が通信部３４０を介して取得される。

匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して匿名ＩＤ（ｓ）が取得されると、処理実行部３１３は、匿名ＩＤ（ｓ）に関連付けられた位置情報を、通信部３４０を介して情報処理装置１０に提供する（Ｓ５４）。なお、ここでは、位置情報に関する所定の動作として位置情報の取得を例として説明したが、位置情報の取得の代わりに、または、位置情報の取得に加えて、位置情報に関する他の動作が行われてもよい。

例えば、このようにして取得された位置情報は、出力部１６０によって出力されてもよい。あるいは、制御部１１０は、このようにして取得された位置情報に基づいて、所定の表示データを生成し、この表示データを出力１６０に出力させてもよい。例えば、ユーザによってランニングアプリが利用されている場合、位置情報に基づいてランニングルートが表示データとして算出されてもよいし、位置情報に基づいてランニングの平均速度が表示データとして算出されてもよい。

以上において、本開示の実施形態について説明した。本開示の実施形態によれば、情報処理装置において、リスク値取得部３１２が、ユーザの位置情報が漏洩した場合におけるリスク値を取得する。そして、処理実行部３１３が、位置情報に位置情報を識別するための匿名ＩＤを関連付ける。また、処理実行部３１３は、リスク値が所定の閾値を超える場合、位置情報に関連付けられる匿名ＩＤを切り替える処理を実行する。かかる構成によれば、匿名情報が漏洩した場合であっても、漏洩した匿名情報がどのユーザに関連するのかを特定しにくくすることが可能である。また、長期間にわたる位置情報の履歴（行動履歴）から個人が特定されるリスクが低減される。

＜２．変形例の説明＞
続いて、本開示の実施形態の変形例について説明する。上記においては、位置情報に対する匿名ＩＤの関連付けの工夫の例として、位置情報に関連付けられる匿名ＩＤを切り替える処理について説明した。本開示の実施形態の変形例においては、位置情報に対する匿名ＩＤの関連付けの工夫の例として、位置情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理について説明する。

図１６は、位置情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の詳細を説明するための図である。複数の分割情報として、緯度および経度を例に挙げて説明するが、複数の分割情報は、緯度および経度に限定されない。例えば、複数の分割情報は、緯度および経度に加えて、高度をさらに含んでもよい。

まず、図１３を参照しながら説明したように、ユーザの認証から匿名ＩＤ鍵の生成までが実行される（Ｓ３１〜Ｓ３６）。続いて、匿名ＩＤ提供部１１３は、通信部１４０を介して位置情報を匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって位置情報が通信部３４０を介して取得される。

ここで、リスク値取得部３１２は、位置情報が漏洩した場合におけるリスク値を算出する。処理実行部３１３は、リスク値が閾値（ｍａｘ）を超えない場合、位置情報の分割を行わない。すなわち、処理実行部３１３は、リスク値が閾値（ｍａｘ）を超えない場合、通信部３４０を介してＩＶ（第１の識別データ）を情報処理装置１０に提供する。

情報処理装置１０においては、取得部１１１によって通信部１４０を介してＩＶ（第１の識別データ）が取得されると、匿名ＩＤ生成部１１２は、ＩＶ（第１の識別データ）に応じた匿名ＩＤ−１（第１の匿名ＩＤ）を生成し、匿名ＩＤ提供部１１３は、通信部１４０を介して匿名ＩＤ−１を匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって匿名ＩＤ−１が通信部３４０を介して取得されると、処理実行部３１３は、位置情報に対して匿名ＩＤ−１を関連付け、位置情報と匿名ＩＤ−１とを関連付けた状態で、記憶部３５０に保存する（記憶させる）。

一方、処理実行部３１３は、リスク値が閾値（ｍａｘ）を超える場合、位置情報を緯度および経度に分割し、緯度および経度それぞれに対して関連付けられる匿名ＩＤを異ならせる処理を行う。ここでは、リスク値が閾値を超える場合を想定する。

このとき、処理実行部３１３は、通信部３４０を介して匿名ＩＤ追加リクエストを情報処理装置１０に提供する。情報処理装置１０においては、取得部１１１によって通信部１４０を介して匿名ＩＤ追加リクエストが取得されると、匿名ＩＤ生成部１１２は、通信部１４０を介して新ＩＶ追加リクエストを匿名情報サーバ３０に提供する。

匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して新ＩＶ追加リクエストが取得されると、処理実行部３１３は、仮名ＩＤに関連付けられるＩＶ（第２の識別データ）を追加する。そして、通信部３４０によって追加されたＩＶ（第２の識別データ）が情報処理装置１０に送信される。情報処理装置１０においては、取得部１１１によって通信部１４０を介して追加されたＩＶ（第２の識別データ）が取得される。

匿名ＩＤ生成部１１２は、追加されたＩＶ（第２の識別データ）に対して匿名ＩＤ鍵１５２を用いて暗号化を行うことによって得られる暗号化データを、追加されたＩＶ（第２の識別データ）に応じた匿名ＩＤ−２（第２の匿名ＩＤ）として生成する。匿名ＩＤ提供部１１３は、匿名ＩＤ−２を、通信部１４０を介して匿名情報サーバ３０に提供する。匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して匿名ＩＤ−２が取得される。

匿名情報サーバ３０においては、データ取得部３１１によって通信部３４０を介して匿名ＩＤ−２が取得されると、処理実行部３１３は、緯度に対して匿名ＩＤ−１を関連付け、経度に対して匿名ＩＤ−２を関連付ける。そして、処理実行部３１３は、緯度と匿名ＩＤ−１とを関連付けた状態で、記憶部３５０に保存する（記憶させる）とともに、経度と匿名ＩＤ−２とを関連付けた状態で、記憶部３５０に保存する（記憶させる）。

以上において、本開示の実施形態の変形例について説明した。本開示の実施形態によれば、情報処理装置において、リスク値取得部３１２が、ユーザの位置情報が漏洩した場合におけるリスク値を取得する。そして、処理実行部３１３が、位置情報に位置情報を識別するための匿名ＩＤを関連付ける。また、処理実行部３１３は、リスク値が所定の閾値を超える場合、位置情報の分割によって得られる緯度および経度それぞれに対して関連付けられる匿名ＩＤを異ならせる処理を実行する。かかる構成によれば、匿名情報が漏洩した場合であっても、漏洩した匿名情報がどのユーザに関連するのかを特定しにくくすることが可能である。より具体的には、緯度と経度との対応関係が特定できないため、漏洩した情報からでは位置情報を特定することができない。また、位置情報が特定できないため、その漏洩した情報から個人を推定することも困難となる。

＜３．ハードウェア構成例＞
次に、図１７を参照して、本開示の実施形態に係る情報処理装置１０のハードウェア構成について説明する。図１７は、本開示の実施形態に係る情報処理装置１０のハードウェア構成例を示すブロック図である。なお、図１７に示した例は、情報処理装置１０のハードウェア構成例であるが、実名情報サーバ２０および匿名情報サーバ３０それぞれのハードウェア構成も、図１７に示したハードウェア構成例と同様に実現され得る。

図１７に示すように、情報処理装置１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）９０１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９０３、およびＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９０５を含む。また、情報処理装置１０は、ホストバス９０７、ブリッジ９０９、外部バス９１１、インターフェース９１３、入力装置９１５、出力装置９１７、ストレージ装置９１９、ドライブ９２１、接続ポート９２３、通信装置９２５を含んでもよい。さらに、情報処理装置１０は、必要に応じて、撮像装置９３３、およびセンサ９３５を含んでもよい。情報処理装置１０は、ＣＰＵ９０１に代えて、またはこれとともに、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）またはＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）と呼ばれるような処理回路を有してもよい。

ＣＰＵ９０１は、演算処理装置および制御装置として機能し、ＲＯＭ９０３、ＲＡＭ９０５、ストレージ装置９１９、またはリムーバブル記録媒体９２７に記録された各種プログラムに従って、情報処理装置１０内の動作全般またはその一部を制御する。ＲＯＭ９０３は、ＣＰＵ９０１が使用するプログラムや演算パラメータなどを記憶する。ＲＡＭ９０５は、ＣＰＵ９０１の実行において使用するプログラムや、その実行において適宜変化するパラメータなどを一時的に記憶する。ＣＰＵ９０１、ＲＯＭ９０３、およびＲＡＭ９０５は、ＣＰＵバスなどの内部バスにより構成されるホストバス９０７により相互に接続されている。さらに、ホストバス９０７は、ブリッジ９０９を介して、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ／Ｉｎｔｅｒｆａｃｅ）バスなどの外部バス９１１に接続されている。

入力装置９１５は、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチおよびレバーなど、ユーザによって操作される装置である。入力装置９１５は、ユーザの音声を検出するマイクロフォンを含んでもよい。入力装置９１５は、例えば、赤外線やその他の電波を利用したリモートコントロール装置であってもよいし、情報処理装置１０の操作に対応した携帯電話などの外部接続機器９２９であってもよい。入力装置９１５は、ユーザが入力した情報に基づいて入力信号を生成してＣＰＵ９０１に出力する入力制御回路を含む。ユーザは、この入力装置９１５を操作することによって、情報処理装置１０に対して各種のデータを入力したり処理動作を指示したりする。また、後述する撮像装置９３３も、ユーザの手の動き、ユーザの指などを撮像することによって、入力装置として機能し得る。このとき、手の動きや指の向きに応じてポインティング位置が決定されてよい。

出力装置９１７は、取得した情報をユーザに対して視覚的または聴覚的に通知することが可能な装置で構成される。出力装置９１７は、例えば、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、ＰＤＰ（Ｐｌａｓｍａ Ｄｉｓｐｌａｙ Ｐａｎｅｌ）、有機ＥＬ（Ｅｌｅｃｔｒｏ−Ｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイ、プロジェクタなどの表示装置、ホログラムの表示装置、スピーカおよびヘッドホンなどの音出力装置、ならびにプリンタ装置などであり得る。出力装置９１７は、情報処理装置１０の処理により得られた結果を、テキストまたは画像などの映像として出力したり、音声または音響などの音として出力したりする。また、出力装置９１７は、周囲を明るくするためライトなどを含んでもよい。

ストレージ装置９１９は、情報処理装置１０の記憶部の一例として構成されたデータ格納用の装置である。ストレージ装置９１９は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）などの磁気記憶部デバイス、半導体記憶デバイス、光記憶デバイス、または光磁気記憶デバイスなどにより構成される。このストレージ装置９１９は、ＣＰＵ９０１が実行するプログラムや各種データ、および外部から取得した各種のデータなどを格納する。

ドライブ９２１は、磁気ディスク、光ディスク、光磁気ディスク、または半導体メモリなどのリムーバブル記録媒体９２７のためのリーダライタであり、情報処理装置１０に内蔵、あるいは外付けされる。ドライブ９２１は、装着されているリムーバブル記録媒体９２７に記録されている情報を読み出して、ＲＡＭ９０５に出力する。また、ドライブ９２１は、装着されているリムーバブル記録媒体９２７に記録を書き込む。

接続ポート９２３は、機器を情報処理装置１０に直接接続するためのポートである。接続ポート９２３は、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）ポートなどであり得る。また、接続ポート９２３は、ＲＳ−２３２Ｃポート、光オーディオ端子、ＨＤＭＩ（登録商標）（Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）ポートなどであってもよい。接続ポート９２３に外部接続機器９２９を接続することで、情報処理装置１０と外部接続機器９２９との間で各種のデータが交換され得る。

通信装置９２５は、例えば、通信ネットワーク９３１に接続するための通信デバイスなどで構成された通信インターフェースである。通信装置９２５は、例えば、有線または無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、またはＷＵＳＢ（Ｗｉｒｅｌｅｓｓ ＵＳＢ）用の通信カードなどであり得る。また、通信装置９２５は、光通信用のルータ、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）用のルータ、または、各種通信用のモデムなどであってもよい。通信装置９２５は、例えば、インターネットや他の通信機器との間で、ＴＣＰ／ＩＰなどの所定のプロトコルを用いて信号などを送受信する。また、通信装置９２５に接続される通信ネットワーク９３１は、有線または無線によって接続されたネットワークであり、例えば、インターネット、家庭内ＬＡＮ、赤外線通信、ラジオ波通信または衛星通信などである。

撮像装置９３３は、例えば、ＣＣＤ（Ｃｈａｒｇｅ Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ）またはＣＭＯＳ（Ｃｏｍｐｌｅｍｅｎｔａｒｙ Ｍｅｔａｌ Ｏｘｉｄｅ Ｓｅｍｉｃｏｎｄｕｃｔｏｒ）などの撮像素子、および撮像素子への被写体像の結像を制御するためのレンズなどの各種の部材を用いて実空間を撮像し、撮像画像を生成する装置である。撮像装置９３３は、静止画を撮像するものであってもよいし、また動画を撮像するものであってもよい。

センサ９３５は、例えば、測距センサ、加速度センサ、ジャイロセンサ、地磁気センサ、振動センサ、光センサ、音センサなどの各種のセンサである。センサ９３５は、例えば情報処理装置１０の筐体の姿勢など、情報処理装置１０自体の状態に関する情報や、情報処理装置１０の周辺の明るさや騒音など、情報処理装置１０の周辺環境に関する情報を取得する。また、センサ９３５は、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）信号を受信して装置の緯度、経度および高度を測定するＧＰＳセンサを含んでもよい。

＜４．むすび＞
以上説明したように、本開示の実施形態によれば、ユーザの匿名情報が漏洩した場合におけるリスク値を取得するリスク値取得部３１２と、匿名情報に匿名情報を識別するための匿名ＩＤを関連付ける処理実行部３１３と、を備え、処理実行部３１３は、リスク値が所定の閾値を超える場合、匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行する、匿名情報サーバ３０が提供される。かかる構成によれば、匿名情報が漏洩した場合であっても、漏洩した匿名情報がどのユーザに関連するのかを特定しにくくすることが可能となる。

また、ユーザの匿名情報を識別するための匿名ＩＤを生成する匿名ＩＤ生成部１１２と、匿名ＩＤおよび匿名情報を匿名情報サーバ３０に提供する匿名ＩＤ提供部１１３と、を備え、匿名ＩＤ生成部１１２は、匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行する、情報処理装置１０が提供される。かかる構成によれば、匿名情報が漏洩した場合であっても、漏洩した匿名情報がどのユーザに関連するのかを特定しにくくすることが可能となる。

以上、添付図面を参照しながら本開示の好適な実施形態について詳細に説明したが、本開示の技術的範囲はかかる例に限定されない。本開示の技術分野における通常の知識を有する者であれば、請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本開示の技術的範囲に属するものと了解される。

例えば、上記した情報処理装置１０の動作が実現されれば、各構成の位置は特に限定されない。具体的な一例として、制御部１１０が有する各ブロック（取得部１１１、匿名ＩＤ生成部１１２および匿名ＩＤ提供部１１３）の一部または全部は、サーバなどに存在していてもよい。このように、情報処理装置１０はいわゆるクラウドコンピューティングによって達成され得る。

また、コンピュータに内蔵されるＣＰＵ、ＲＯＭおよびＲＡＭなどのハードウェアを、上記した制御部１１０が有する機能と同等の機能を発揮させるためのプログラムも作成可能である。また、該プログラムを記録した、コンピュータに読み取り可能な記録媒体も提供され得る。

また、上記したマッピング鍵には、幾つかの種別があり得る。例えば、マッピング鍵として、複数のアプリケーションに共通の鍵（以下、「アプリ共通鍵」とも言う。）、ユーザに固有の鍵（以下、「ユーザ固有鍵」とも言う。）、情報処理装置１０に固有の鍵（以下、「デバイス固有鍵」とも言う。）などが挙げられる。

マッピング鍵としてアプリ共通鍵が用いられる場合、ユーザＩＤに対してアプリ共通鍵による暗号化によって生成される仮名ＩＤのユニーク性は保証される。しかし、マッピング鍵としてアプリ共通鍵が用いられる場合、デバイスから不正にアプリ共通鍵が抜き出されたり、任意の値の入力によってアプリ共通鍵による暗号化結果を得られたりしないようなデバイスのセキュリティ機構が必要となる。かかるセキュリティ機構の実現のため、ハードウェア的に安全なデバイスが用意されてもよいし、難読化されたソフトウェアに安全にアプリ共通鍵が埋め込まれてもよい。

マッピング鍵としてユーザ固有鍵が用いられる場合、ユーザＩＤに対してユーザ固有鍵による暗号化によって生成される仮名ＩＤのユニーク性は保証されない。そのため、複数の仮名ＩＤ同士が衝突した場合においてユーザ固有鍵の再生成などが必要となる。しかし、マッピング鍵としてユーザ固有鍵が用いられる場合、攻撃者は、たかだか自分の鍵しか知り得ないため、デバイスに求められるセキュリティは、マッピング鍵としてアプリ共通鍵が用いられる場合ほど高くないと考えられる。また、デバイスの買い替え時などに複数のデバイス間でデータを引き継ぐためには、ユーザ固有鍵の安全なバックアップ・リストア機能が必要である。なお、ユーザ固有鍵は、サーバからダウンロードされてもよいし、デバイス内部で一定の乱数性を有するように生成されてもよい。

マッピング鍵としてデバイス固有鍵が用いられる場合、マッピング鍵としてユーザ固有鍵が用いられる場合と同様に、ユーザＩＤに対してデバイス固有鍵による暗号化によって生成される仮名ＩＤのユニーク性は保証されない。そのため、複数の仮名ＩＤ同士が衝突した場合においてデバイス固有鍵の再生成などが必要となる。また、マッピング鍵としてデバイス固有鍵が用いられる場合、デバイスに求められるセキュリティは、マッピング鍵としてユーザ固有鍵が用いられる場合と同様であると考えられる。なお、デバイス固有鍵は、他のデバイスとの間でデータ共有がされない場合に適用される。

また、本明細書に記載された効果は、あくまで説明的または例示的なものであって限定的ではない。つまり、本開示に係る技術は、上記の効果とともに、または上記の効果に代えて、本明細書の記載から当業者には明らかな他の効果を奏し得る。

なお、以下のような構成も本開示の技術的範囲に属する。
（１）
ユーザの匿名情報が漏洩した場合におけるリスク値を取得するリスク値取得部と、
前記匿名情報に前記匿名情報を識別するための匿名ＩＤを関連付ける処理実行部と、を備え、
前記処理実行部は、前記リスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行する、
サーバ装置。
（２）
前記処理実行部は、情報処理装置からユーザＩＤの暗号化データが取得された場合、前記暗号化データに第１の識別データを関連付け、前記情報処理装置から第１の匿名情報と前記第１の識別データに応じた第１の匿名ＩＤとが取得された場合、前記第１の匿名ＩＤを前記第１の匿名情報に関連付ける、
前記（１）に記載のサーバ装置。
（３）
前記リスク値取得部は、前記情報処理装置から前記第１の匿名ＩＤおよび第２の匿名情報が取得された場合、前記第２の匿名情報が漏洩した場合におけるリスク値を取得し、
前記処理実行部は、前記リスク値が前記閾値を超える場合、前記暗号化データに第２の識別データを関連付け、前記情報処理装置から前記第２の識別データに応じた第２の匿名ＩＤが取得された場合、前記第２の匿名ＩＤを前記第２の匿名情報に関連付ける、
前記（２）に記載のサーバ装置。
（４）
前記処理実行部は、前記リスク値が前記閾値を超えない場合、前記第１の匿名ＩＤを前記第２の匿名情報に関連付ける、
前記（３）に記載のサーバ装置。
（５）
前記処理実行部は、前記情報処理装置から前記暗号化データが再度取得された場合、前記暗号化データに関連付けられている前記第１の識別データを前記情報処理装置に提供し、前記情報処理装置から前記第１の識別データに応じた第１の匿名ＩＤが取得された場合、前記第１の匿名ＩＤに関連付けられた前記第１の匿名情報に関する所定の動作を実行する、
前記（２）〜（４）のいずれか一項に記載のサーバ装置。
（６）
前記処理実行部は、情報処理装置から前記匿名情報およびユーザＩＤの暗号化データが取得された場合、前記暗号化データに対して第１の識別データを関連付け、前記リスク値が前記閾値を超える場合、前記暗号化データに対して第２の識別データを関連付け、前記情報処理装置から前記第１の識別データに応じた第１の匿名ＩＤおよび前記第２の識別データに応じた第２の匿名ＩＤが取得された場合、第１の分割情報に対して前記第１の匿名ＩＤを関連付け、第２の分割情報に対して前記第２の匿名ＩＤを関連付ける、
前記（１）に記載のサーバ装置。
（７）
前記処理実行部は、前記リスク値が前記閾値を超えない場合、前記情報処理装置に前記第１の識別データを提供し、前記情報処理装置から前記第１の識別データに応じた第１の匿名ＩＤが取得された場合、前記匿名情報に対して前記第１の匿名ＩＤを関連付ける、
前記（６）に記載のサーバ装置。
（８）
前記リスク値取得部は、前記匿名情報および前記匿名情報に関連する情報の少なくともいずれか一方に基づいて、前記リスク値を取得する、
前記（１）〜（７）のいずれか一項に記載のサーバ装置。
（９）
ユーザの匿名情報が漏洩した場合におけるリスク値を取得することと、
前記匿名情報に前記匿名情報を識別するための匿名ＩＤを関連付けることと、を含み、
前記リスク値が所定の閾値を超える場合、プロセッサにより、前記匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行することを含む、
情報管理方法。
（１０）
コンピュータを、
ユーザの匿名情報が漏洩した場合におけるリスク値を取得するリスク値取得部と、
前記匿名情報に前記匿名情報を識別するための匿名ＩＤを関連付ける処理実行部と、を備え、
前記処理実行部は、前記リスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行する、
サーバ装置として機能させるためのプログラム。
（１１）
ユーザの匿名情報を識別するための匿名ＩＤを生成する匿名ＩＤ生成部と、
前記匿名ＩＤおよび前記匿名情報をサーバ装置に提供する匿名ＩＤ提供部と、を備え、
前記匿名ＩＤ生成部は、前記匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行する、
情報処理装置。
（１２）
前記匿名ＩＤ生成部は、前記ユーザＩＤの暗号化データを前記サーバ装置に提供し、前記サーバ装置から前記暗号化データに関連付けられた第１の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤを生成し、
前記匿名ＩＤ提供部は、前記第１の匿名ＩＤおよび第１の匿名情報を前記サーバ装置に提供する、
前記（１１）に記載の情報処理装置。
（１３）
前記匿名ＩＤ生成部は、前記第１の匿名ＩＤおよび第２の匿名情報を前記サーバ装置に提供し、前記第２の匿名情報が漏洩した場合におけるリスク値が閾値を超える場合、前記サーバ装置から前記暗号化データに関連付けられた第２の識別データを取得し、前記第２の識別データに応じた第２の匿名ＩＤを生成し、
前記匿名ＩＤ提供部は、前記第２の匿名ＩＤを前記サーバ装置に提供する、
前記（１２）に記載の情報処理装置。
（１４）
前記匿名ＩＤ生成部は、前記第２の匿名情報が漏洩した場合におけるリスク値が閾値を超えない場合、前記第１の匿名ＩＤを前記サーバ装置に提供する、
前記（１３）に記載の情報処理装置。
（１５）
前記匿名ＩＤ生成部は、前記暗号化データを前記サーバ装置に再度提供し、前記サーバ装置から前記暗号化データに関連付けられている前記第１の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤを生成し、
前記匿名ＩＤ提供部は、前記第１の匿名ＩＤを前記サーバ装置に提供する、
前記（１２）〜（１４）のいずれか一項に記載の情報処理装置。
（１６）
前記匿名ＩＤ生成部は、前記匿名情報およびユーザＩＤの暗号化データを前記サーバ装置に提供し、前記匿名情報が漏洩した場合におけるリスク値が閾値を超える場合、前記サーバ装置から前記暗号化データに関連付けられた第１の識別データおよび第２の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤおよび前記第２の識別データに応じた第２の匿名ＩＤを生成し、
前記匿名ＩＤ提供部は、前記第１の匿名ＩＤおよび前記第２の匿名ＩＤを前記サーバ装置に提供する、
前記（１１）に記載の情報処理装置。
（１７）
前記匿名ＩＤ生成部は、前記匿名情報および前記暗号化データを前記サーバ装置に提供し、前記リスク値が前記閾値を超えない場合、前記サーバ装置から前記暗号化データに関連付けられた第１の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤを生成し、
前記匿名ＩＤ提供部は、前記第１の匿名ＩＤを前記サーバ装置に提供する、
前記（１６）に記載の情報処理装置。
（１８）
前記リスク値は、前記匿名情報および前記匿名情報に関連する情報の少なくともいずれか一方に基づいて、前記サーバ装置によって取得される、
前記（１１）〜（１７）のいずれか一項に記載の情報処理装置。
（１９）
ユーザの匿名情報を識別するための匿名ＩＤを生成することと、
前記匿名ＩＤおよび前記匿名情報をサーバ装置に提供することと、を含み、
前記匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、プロセッサにより、前記匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行することを含む、
情報処理方法。
（２０）
コンピュータを、
ユーザの匿名情報を識別するための匿名ＩＤを生成する匿名ＩＤ生成部と、
前記匿名ＩＤおよび前記匿名情報をサーバ装置に提供する匿名ＩＤ提供部と、を備え、
前記匿名ＩＤ生成部は、前記匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行する、
情報処理装置として機能させるためのプログラム。

１ 情報処理システム
１０ 情報処理装置
１１０ 制御部
１１１ 取得部
１１２ 匿名ＩＤ生成部
１１３ 匿名ＩＤ提供部
１２０ 検出部
１３０ 入力部
１４０ 通信部
１５０ 記憶部
１５１ マッピング鍵
１５２ 匿名ＩＤ鍵
１６０ 出力部
２０ 実名情報サーバ
２１０ 制御部
２４０ 通信部
２５０ 記憶部
３０ 匿名情報サーバ
３１０ 制御部
３１１ データ取得部
３１２ リスク値取得部
３１３ 処理実行部
３４０ 通信部
３５０ 記憶部

Claims (18)

1. ユーザの匿名情報が漏洩した場合におけるリスク値を取得するリスク値取得部と、
   前記匿名情報に前記匿名情報を識別するための匿名ＩＤを関連付ける処理実行部と、を備え、
   前記処理実行部は、前記リスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行し、さらに、
   情報処理装置からユーザＩＤの暗号化データが取得された場合、前記暗号化データに第１の識別データを関連付け、前記情報処理装置から第１の匿名情報と前記第１の識別データに応じた第１の匿名ＩＤとが取得された場合、前記第１の匿名ＩＤを前記第１の匿名情報に関連付ける、
   サーバ装置。
2. 前記リスク値取得部は、前記情報処理装置から前記第１の匿名ＩＤおよび第２の匿名情報が取得された場合、前記第２の匿名情報が漏洩した場合におけるリスク値を取得し、
   前記処理実行部は、前記リスク値が前記閾値を超える場合、前記暗号化データに第２の識別データを関連付け、前記情報処理装置から前記第２の識別データに応じた第２の匿名ＩＤが取得された場合、前記第２の匿名ＩＤを前記第２の匿名情報に関連付ける、
   請求項１に記載のサーバ装置。
3. 前記処理実行部は、前記リスク値が前記閾値を超えない場合、前記第１の匿名ＩＤを前記第２の匿名情報に関連付ける、
   請求項２に記載のサーバ装置。
4. 前記処理実行部は、前記情報処理装置から前記暗号化データが再度取得された場合、前記暗号化データに関連付けられている前記第１の識別データを前記情報処理装置に提供し、前記情報処理装置から前記第１の識別データに応じた第１の匿名ＩＤが取得された場合、前記第１の匿名ＩＤに関連付けられた前記第１の匿名情報に関する所定の動作を実行する、
   請求項１に記載のサーバ装置。
5. 前記処理実行部は、前記情報処理装置から前記匿名情報および前記ユーザＩＤの暗号化データが取得された場合、前記暗号化データに対して第１の識別データを関連付け、前記リスク値が前記閾値を超える場合、前記暗号化データに対して第２の識別データを関連付け、前記情報処理装置から前記第１の識別データに応じた第１の匿名ＩＤおよび前記第２の識別データに応じた第２の匿名ＩＤが取得された場合、第１の分割情報に対して前記第１の匿名ＩＤを関連付け、第２の分割情報に対して前記第２の匿名ＩＤを関連付ける、
   請求項１に記載のサーバ装置。
6. 前記処理実行部は、前記リスク値が前記閾値を超えない場合、前記情報処理装置に前記第１の識別データを提供し、前記情報処理装置から前記第１の識別データに応じた第１の匿名ＩＤが取得された場合、前記匿名情報に対して前記第１の匿名ＩＤを関連付ける、
   請求項５に記載のサーバ装置。
7. 前記リスク値取得部は、前記匿名情報および前記匿名情報に関連する情報の少なくともいずれか一方に基づいて、前記リスク値を取得する、
   請求項１に記載のサーバ装置。
8. ユーザの匿名情報が漏洩した場合におけるリスク値を取得することと、
   前記匿名情報に前記匿名情報を識別するための匿名ＩＤを関連付けることと、を含み、
   前記リスク値が所定の閾値を超える場合、プロセッサにより、前記匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行し、さらに、
   情報処理装置からユーザＩＤの暗号化データが取得された場合、前記暗号化データに第１の識別データを関連付け、前記情報処理装置から第１の匿名情報と前記第１の識別データに応じた第１の匿名ＩＤとが取得された場合、前記第１の匿名ＩＤを前記第１の匿名情報に関連付けることを含む、
   情報管理方法。
9. コンピュータを、
   ユーザの匿名情報が漏洩した場合におけるリスク値を取得するリスク値取得部と、
   前記匿名情報に前記匿名情報を識別するための匿名ＩＤを関連付ける処理実行部と、を備え、
   前記処理実行部は、前記リスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを切り替える処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを異ならせる処理の少なくともいずれか一方を実行し、さらに、
   情報処理装置からユーザＩＤの暗号化データが取得された場合、前記暗号化データに第１の識別データを関連付け、前記情報処理装置から第１の匿名情報と前記第１の識別データに応じた第１の匿名ＩＤとが取得された場合、前記第１の匿名ＩＤを前記第１の匿名情報に関連付ける、
   サーバ装置として機能させるためのプログラム。
10. ユーザの匿名情報を識別するための匿名ＩＤを生成する匿名ＩＤ生成部と、
    前記匿名ＩＤおよび前記匿名情報をサーバ装置に提供する匿名ＩＤ提供部と、を備え、
    前記匿名ＩＤ生成部は、前記匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行し、さらに、
    ユーザＩＤの暗号化データを前記サーバ装置に提供し、前記サーバ装置から前記暗号化データに関連付けられた第１の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤを生成し、
    前記匿名ＩＤ提供部は、前記第１の匿名ＩＤおよび第１の匿名情報を前記サーバ装置に提供する、
    情報処理装置。
11. 前記匿名ＩＤ生成部は、前記第１の匿名ＩＤおよび第２の匿名情報を前記サーバ装置に提供し、前記第２の匿名情報が漏洩した場合におけるリスク値が閾値を超える場合、前記サーバ装置から前記暗号化データに関連付けられた第２の識別データを取得し、前記第２の識別データに応じた第２の匿名ＩＤを生成し、
    前記匿名ＩＤ提供部は、前記第２の匿名ＩＤを前記サーバ装置に提供する、
    請求項１０に記載の情報処理装置。
12. 前記匿名ＩＤ生成部は、前記第２の匿名情報が漏洩した場合におけるリスク値が閾値を超えない場合、前記第１の匿名ＩＤを前記サーバ装置に提供する、
    請求項１１に記載の情報処理装置。
13. 前記匿名ＩＤ生成部は、前記暗号化データを前記サーバ装置に再度提供し、前記サーバ装置から前記暗号化データに関連付けられている前記第１の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤを生成し、
    前記匿名ＩＤ提供部は、前記第１の匿名ＩＤを前記サーバ装置に提供する、
    請求項１０に記載の情報処理装置。
14. 前記匿名ＩＤ生成部は、前記匿名情報および前記ユーザＩＤの暗号化データを前記サーバ装置に提供し、前記匿名情報が漏洩した場合におけるリスク値が閾値を超える場合、前記サーバ装置から前記暗号化データに関連付けられた第１の識別データおよび第２の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤおよび前記第２の識別データに応じた第２の匿名ＩＤを生成し、
    前記匿名ＩＤ提供部は、前記第１の匿名ＩＤおよび前記第２の匿名ＩＤを前記サーバ装置に提供する、
    請求項１０に記載の情報処理装置。
15. 前記匿名ＩＤ生成部は、前記匿名情報および前記暗号化データを前記サーバ装置に提供し、前記リスク値が前記閾値を超えない場合、前記サーバ装置から前記暗号化データに関連付けられた第１の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤを生成し、
    前記匿名ＩＤ提供部は、前記第１の匿名ＩＤを前記サーバ装置に提供する、
    請求項１４に記載の情報処理装置。
16. 前記リスク値は、前記匿名情報および前記匿名情報に関連する情報の少なくともいずれか一方に基づいて、前記サーバ装置によって取得される、
    請求項１０に記載の情報処理装置。
17. ユーザの匿名情報を識別するための匿名ＩＤを生成することと、
    前記匿名ＩＤおよび前記匿名情報をサーバ装置に提供することと、を含み、
    前記匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、プロセッサにより、前記匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行し、さらに、
    ユーザＩＤの暗号化データを前記サーバ装置に提供し、前記サーバ装置から前記暗号化データに関連付けられた第１の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤを生成し、
    前記第１の匿名ＩＤおよび第１の匿名情報を前記サーバ装置に提供することを含む、
    情報処理方法。
18. コンピュータを、
    ユーザの匿名情報を識別するための匿名ＩＤを生成する匿名ＩＤ生成部と、
    前記匿名ＩＤおよび前記匿名情報をサーバ装置に提供する匿名ＩＤ提供部と、を備え、
    前記匿名ＩＤ生成部は、前記匿名情報が漏洩した場合におけるリスク値が所定の閾値を超える場合、前記匿名情報に関連付けられる匿名ＩＤを新たに生成する処理、および、前記匿名情報の分割によって得られる複数の分割情報それぞれに対して関連付けられる匿名ＩＤを生成する処理の少なくともいずれか一方を実行し、さらに、
    ユーザＩＤの暗号化データを前記サーバ装置に提供し、前記サーバ装置から前記暗号化データに関連付けられた第１の識別データを取得し、前記第１の識別データに応じた第１の匿名ＩＤを生成し、
    前記匿名ＩＤ提供部は、前記第１の匿名ＩＤおよび第１の匿名情報を前記サーバ装置に提供する、
    情報処理装置として機能させるためのプログラム。

Images