(57)【要約】  データ集合が繰り返し提供される可能性があり、後から追加されたデータエントリの属性情報が、既知のデータエントリがとる値の範囲から大きくずれる場合であっても、適切な汎化を可能にする。個人を特定し得る情報である準識別子を構成する少なくとも１つの属性データと、準識別子以外の少なくとも１つの属性データとを含むデータエントリを複数有するデータ集合の各データエントリについて、準識別子を構成する少なくとも１つの属性データの値を、所定の汎化規則に基づいて汎化し、データ集合に含まれる複数のデータエントリのうち、汎化規則に基づいて汎化されるとデータ集合が匿名性の所定の基準を満たさない要因となるデータエントリと、該データエントリと汎化対象の属性データの値が共通となることにより、データ集合が匿名性の所定の基準を満たすこととなる少なくとも１つのデータエントリとを選択し、選択されたデータエントリについて、汎化対象の属性データの値を、所定の汎化規則にかかわらず所定の共通の値に変更する。
2012063546.tif 000002
【特許請求の範囲】
【請求項１】
個人を特定し得る情報である準識別子を構成する少なくとも１つの属性データと、準識別子以外の少なくとも１つの属性データとを含むデータエントリを複数有するデータ集合の各データエントリについて、準識別子を構成する少なくとも１つの属性データの値を、所定の汎化規則に基づいて汎化する汎化部と、
前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさない要因となるデータエントリと、該データエントリと前記汎化対象の属性データの値が共通となることにより、前記データ集合が前記匿名性の所定の基準を満たすこととなる少なくとも１つのデータエントリとを選択するエントリ選択部と、
前記エントリ選択部によって選択されたデータエントリについて、前記汎化対象の属性データの値を、前記所定の汎化規則にかかわらず所定の共通の値に変更するエントリ加工部と
を備える匿名化装置。
【請求項２】
請求項１に記載の匿名化装置であって、
前記エントリ選択部は、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさなくなるデータエントリと、準識別子を構成する少なくとも１つの属性データのうちの前記汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリとを選択することを特徴とする匿名化装置。
【請求項３】
請求項１に記載の匿名化装置であって、
前記エントリ選択部は、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさなくなるデータエントリと、前記データ集合から除かれても前記データ集合が前記匿名性の所定の基準を満たす少なくとも１つのデータエントリとを選択することを特徴とする匿名化装置。
【請求項４】
請求項３に記載の匿名化装置であって、
前記エントリ加工部は、前記データ集合が前記匿名性の所定の基準を満たすように、前記汎化対象の属性データの値を前記所定の共通の値に変更するとともに、準識別子を構成する少なくとも１つの属性データのうちの前記汎化対象の属性データ以外の少なくとも１つの属性データの値を所定の共通の値に変更することを特徴とする匿名化装置。
【請求項５】
請求項１〜４の何れか一項に記載の匿名化装置であって、
前記エントリ加工部は、
前記データ集合に新たにデータエントリが追加された際に、該データエントリの値と、属性データの値が変更されたデータエントリのうちの少なくとも１つのデータエントリの変更前の値とが、前記汎化規則に基づいて汎化されると前記データ集合が前記匿名性の所定の基準を満たす場合は、該少なくとも１つのデータエントリについて、該属性データの値を前記変更前の値を前記汎化規則に基づいて汎化した値に変更することを特徴とする匿名化装置。
【請求項６】
請求項１〜５の何れか一項に記載の匿名化装置であって、
前記エントリ加工部は、前記データ集合から少なくとも１つのデータエントリが削除されたことにより、前記データ集合が前記匿名性の所定の基準を満たさなくなった場合に、前記データ集合が前記匿名性の所定の基準を満たすよう、前記データ集合に偽のデータエントリを追加することを特徴とする匿名化装置。
【請求項７】
請求項６に記載の匿名化装置であって、
前記データ集合に新たにデータエントリが追加されたことにより、前記偽のデータエントリが除かれても前記データ集合が前記匿名性の所定の基準を満たす場合は、前記データ集合から該偽のデータエントリを削除することを特徴とする匿名化装置。
【請求項８】
請求項１〜７の何れか一項に記載の匿名化装置であって、
前記エントリ選択部がデータエントリを選択する際の規則を入力するエントリ選択規則入力部をさらに備え、
前記エントリ選択部は、前記エントリ選択規則入力部から入力される規則に基づいて、データエントリを選択することを特徴とする匿名化装置。
【請求項９】
請求項１〜８の何れか一項に記載の匿名化装置であって、
前記エントリ加工部がデータエントリを加工する際の規則を入力するエントリ加工規則入力部をさらに備え、
前記エントリ加工部は、前記エントリ加工規則入力部から入力される規則に基づいて、データエントリを加工することを特徴とする匿名化装置。
【請求項１０】
請求項１〜９の何れか一項に記載の匿名化装置であって、
前記汎化部がデータエントリを汎化する際の規則を入力する汎化規則入力部をさらに備え、
前記汎化部は、前記汎化規則入力部から入力される規則に基づいて、データエントリを汎化することを特徴とする匿名化装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、匿名化装置及び匿名化方法に関する。
【背景技術】
【０００２】
近年、ユーザのプライバシを守りつつ、企業が保有するパーソナル情報（microdata）の２次利用を可能にするプライバシ保護データ公開（Privacy Preserving Data Publication）のための技術が注目されている。非特許文献１には、プライバシ保護データ公開の技術が紹介されている。ユーザ情報（microdata）のうち、他の背景知識と組み合わせることで個人を特定しうる属性情報の組を準識別子という。また、ユーザが開示を望まない属性情報をセンシティブデータという。プライバシ保護データ公開の技術の一つである匿名化では、明示的なユーザ識別子を削除するだけでなく、準識別子を構成する属性情報をあいまい化して、これらの属性情報の組み合わせからの個人の特定を不能にしたり、準識別子とセンシティブデータの関連付けを弱めたりすることで、ユーザ情報の匿名性を高めることが行われる。【０００３】
匿名化のための具体的な操作には、データをより高次な概念に置き換える汎化（Generalization）、データを切り落とす切り落とし（Suppression）、テーブルを分割し、識別情報と秘密情報との関連を弱める解剖（Anatomization）、汎化した場合の準識別子が同一となるようなデータグループ内で識別情報と秘密情報との入れ替えを行う置換（Permutation）、データにノイズなどを付加する撹乱（Perturbation）などがある。このうちもっとも一般的な手法である汎化では、準識別子の属性に応じて、データエントリをグループ化し、グループごとに準識別子の属性値を汎化し、同一の準識別子グループに属するデータエントリに対して、同一の汎化準識別子が付与される。【０００４】
汎化による匿名化のプライバシ保護の評価に用いられる基本指標として、ｋ−匿名性というものがある。ｋ−匿名性とは、汎化された準識別子を同一とするデータエントリが、ｋ個以上存在することを示す。さらに、ｌ（エル）−多様性という指標は、センシティブデータの値が、汎化された準識別子を同一とするデータエントリ内にｌ（エル）種以上存在することを示す。基本的に、ｋやｌ（エル）の値が大きいほど、プライバシがより強く守られているといえる。これまでに、情報の損失を抑えつつ、ｋやｌ（エル）の値を高くするような汎化を実現するような手法が研究されている。【０００５】
ｋ−匿名性やｌ（エル）−多様性は、汎化データ集合の一回の提供に着目したプライバシ保護の指標であるが、非特許文献２には、データが複数回にわたって提供されるような場合に、これらの汎化データ集合を組み合わせることで漏えいするプライバシのリスクを考慮したｍ−不変性という指標も提案されている。ｍ−不変性とは、連続して発行された汎化データ集合に含まれるすべての準識別子グループ内に、センシティブデータ値が異なるｍ個以上のデータエントリが存在し、かつ複数の汎化データ集合にまたがって存在するデータエントリが属する汎化準識別子グループ内に含まれるセンシティブデータの値の集合が同一であることを示す。なお、ｍ−不変性が保証されていれば、同時にｌ（エル）−多様性も満たされる。ｍ−不変性を保証するために、偽エントリを追加した上で、準識別子グループの汎化を行う手法が提案されている。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】Chen, B.; Kifer, D.; Lefevre, K.; Machanavajjhala, A.、“Privacy-Preserving Data Publishing”、Foundations and Trends in Databases、2009年、Volume 2、p.1-167
【非特許文献２】X. Xiao and Y. Tao、“m-invariance: Towards privacy preserving re-publication of dynamic datasets”、Proceedings of the ACM SIGMOD International Conference on Management of Data、2007年
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、データ集合が繰り返し提供されるような場合、後から追加されたデータエントリの属性情報が、当初の想定した値の範囲から大きくずれる可能性がある。【０００８】
これらの値が準識別子を構成する属性の場合には、従来の汎化の手法では、ｋ−匿名性を保証し、かつ意味のある汎化を適用することが難しい。そのため、追加されたデータエントリを対象データから外すか、かなり抽象度のレベルが高い汎化を行う必要があり、情報損失を引き起こしていた。【０００９】
また、データ集合に変化が生じるたびに、そのデータ集合の特性にあわせた匿名化を実施すると、準識別子の汎化の方式がデータ集合ごとに異なり、各データエントリが属するグループが全く異なるものになり、データ集合の特性を時系列で観察したり、特定のデータエントリを時系列で追跡したりすることが難しくなるという問題もあった。【００１０】
例えば、図２３は、元のデータ集合を示している。このデータ集合において、準識別子を構成する属性は性別と出身地であり、病名がセンシティブデータである。そして、このデータ集合に対して、図２４及び図２５に示す出身地の汎化規則が適用されることにより汎化が行われ、図２６に示す汎化後のデータ集合が得られる。図２６に示すように、汎化後のデータ集合は、ｋ＝２の匿名性及びｌ（エル）＝２の多様性を満たしている。【００１１】
図２７は、図２３のデータ集合に対して後から追加されたデータエントリを示している。後から追加されたデータエントリの出身地の値は「ロンドン」であり、図２４及び図２５の汎化規則では汎化できない値である。したがって、この値を汎化するための新しい汎化規則が必要である。【００１２】
新しい汎化規則の一例を図２８〜図３０に示す。図２８〜図３０に示す規則でこの値「ロンドン」を汎化した場合、汎化後のデータエントリは、図３１に示すものになる。しかしながら、図３１に示されるデータエントリは、汎化された準識別子を、図２６に示したどのデータエントリとも共有せず、既存の汎化グループには属さない。したがって、ｋ＝２の匿名性、ｌ（エル）＝２の多様性を満たす汎化後データ集合を得るためには、追加されたデータエントリを切り捨てるしかなかった。【００１３】
あるいは、すでに存在するデータエントリに対しても、追加されたデータエントリを考慮した新しい汎化規則を適用する必要があった。たとえば、図３２に示すように、すべての出身地を包含する「地球」という概念を導入し、抽象度の高い汎化規則を導入する必要があった。ｋ＝２の匿名性及びｌ（エル）＝２の多様性を保つように、この規則に基づく汎化を行うと、図３３に示すように、すべてのデータエントリの出身地の値が「地球」になり、出身地の値が意味をもたなくなってしまうという問題があった。【００１４】
あるいは、図３４及び図３５に示すように、一部のデータエントリにだけ「地球」レベルの汎化規則を適用することも可能である。この場合は、図３６に示すように、出身地の値の意味をできる限り残すことは可能である。しかし、時刻ごとに独立して最適な汎化処理を実施すると、８番目のデータエントリのように、同一のデータエントリが属するグループがスナップショットごとに異なるものになり、データ集合の特性を時系列で追うことが難しくなるという問題があった。【００１５】
本発明はこのような事情に鑑みてなされたものであり、データ集合が繰り返し提供される可能性があり、後から追加されたデータエントリの属性情報が、既知のデータエントリがとる値の範囲から大きくずれる場合であっても、適切な汎化を可能にすることを目的とする。
【課題を解決するための手段】
【００１６】
本発明の一側面に係る匿名化装置は、個人を特定し得る情報である準識別子を構成する少なくとも１つの属性データと、準識別子以外の少なくとも１つの属性データとを含むデータエントリを複数有するデータ集合の各データエントリについて、準識別子を構成する少なくとも１つの属性データの値を、所定の汎化規則に基づいて汎化する汎化部と、データ集合に含まれる複数のデータエントリのうち、汎化規則に基づいて汎化されるとデータ集合が匿名性の所定の基準を満たさない要因となるデータエントリと、該データエントリと汎化対象の属性データの値が共通となることにより、データ集合が匿名性の所定の基準を満たすこととなる少なくとも１つのデータエントリとを選択するエントリ選択部と、エントリ選択部によって選択されたデータエントリについて、汎化対象の属性データの値を、所定の汎化規則にかかわらず所定の共通の値に変更するエントリ加工部とを備える。【００１７】
なお、本発明において、「部」とは、単に物理的手段を意味するものではなく、その「部」が有する機能をソフトウェアによって実現する場合も含む。また、１つの「部」や装置が有する機能が２つ以上の物理的手段や装置により実現されても、２つ以上の「部」や装置の機能が１つの物理的手段や装置により実現されても良い。
【発明の効果】
【００１８】
本発明によれば、データ集合が繰り返し提供される可能性があり、後から追加されたデータエントリの属性情報が、既知のデータエントリがとる値の範囲から大きくずれる場合であっても、適切な汎化が可能となる。
【図面の簡単な説明】
【００１９】
【図１】本発明の一実施形態である匿名化装置の構成例を示す図である。
【図２】匿名化装置における処理の流れの例を示す図である。
【図３】匿名化装置における処理の流れの例を示す図である。
【図４】出身地の値が変更されたデータエントリを含むデータ集合の一例を示す図である。
【図５】出身地の値が変更されたデータエントリの一例を示す図である。
【図６】性別及び出身地の値が変更されたデータエントリを含むデータ集合の一例を示す図である。
【図７】性別及び出身地の値が変更されたデータエントリの一例を示す図である。
【図８】データエントリが追加されたデータ集合の一例を示す図である。
【図９】追加されるデータエントリの一例を示す図である。
【図１０】性別及び出身地の値が元の値に変更されたデータエントリを含むデータ集合の一例を示す図である。
【図１１】追加されるデータエントリの一例を示す図である。
【図１２】時刻Ｔにおける元のデータ集合の一例を示す図である。
【図１３】時刻Ｔ＋１における元のデータ集合の一例を示す図である。
【図１４】時刻Ｔ＋２における元のデータ集合の一例を示す図である。
【図１５】時刻Ｔにおける加工されたデータ集合の一例を示す図である。
【図１６】時刻Ｔ＋１における加工されたデータ集合の一例を示す図である。
【図１７】時刻Ｔ＋２における加工されたデータ集合の一例を示す図である。
【図１８】匿名化装置の他の構成例を示す図である。
【図１９】匿名化装置の他の構成例を示す図である。
【図２０】匿名化装置の他の構成例を示す図である。
【図２１】匿名化装置の他の構成例を示す図である。
【図２２】匿名化装置の他の構成例を示す図である。
【図２３】元のデータ集合の一例を示す図である。
【図２４】汎化規則の一例を示す図である。
【図２５】汎化規則の構造の一例を示す図である。
【図２６】汎化されたデータ集合の一例を示す図である。
【図２７】追加されるデータエントリの一例を示す図である。
【図２８】汎化規則の一例を示す図である。
【図２９】汎化規則の構造の一例を示す図である。
【図３０】汎化規則の構造の一例を示す図である。
【図３１】汎化されたデータエントリの一例を示す図である。
【図３２】汎化規則の一例を示す図である。
【図３３】汎化されたデータ集合の一例を示す図である。
【図３４】汎化規則の一例を示す図である。
【図３５】汎化規則の構造の一例を示す図である。
【図３６】汎化されたデータ集合の一例を示す図である。
【発明を実施するための形態】
【００２０】
以下、図面を参照して本発明の一実施形態について説明する。
【００２１】
図１は、本発明の一実施形態である匿名化装置の構成例を示す図である。匿名化装置１０は、例えば、図２３に示すような、個人を特定可能な属性データを含むデータエントリを有するデータ集合に対して、匿名化を行う装置である。匿名化装置１０は、例えば、アプリケーションサーバ等の情報処理装置であり、プロセッサやメモリ、入力装置、記憶装置等を含んで構成される。
【００２２】
また、図１に示されるように、匿名化装置１０は、匿名化処理部２０、データ集合受付部２２、加工データエントリ選択部２４、データエントリ加工部２６、及びデータ集合出力部２８を機能部として備えている。こららの機能部は、例えば、メモリに記憶されたプログラムをプロセッサが実行することにより実現される。
【００２３】
匿名化処理部２０（汎化部）は、入力されるデータ集合に対して汎化や切り落とし、置換等の匿名化処理を実行し、匿名化されたデータ集合を出力する。例えば、匿名化処理部２０は、所定の汎化規則に従って各データエントリに含まれる属性データの汎化を行う。
【００２４】
例えば、図２３に示すデータ集合の場合、性別及び出身地が、他の背景知識と組み合わせることで個人を特定し得る情報の組であり、準識別子を構成している。匿名化処理部２０は、例えば、図２４及び図２５に示される汎化規則に従って、図２３に示すデータ集合の各データエントリについて、準識別子を構成する属性データのうちの出身地の値の汎化を行う。
【００２５】
図２６は、図２３のデータ集合を汎化して得られるデータ集合の一例を示している。例えば、１番目のデータエントリでは、出身地の「名古屋」が「東海」に汎化されている。その他のデータエントリについても同様に汎化されることにより、準識別子による汎化グループが形成される。例えば、汎化後のデータ集合における１番目と２番目のデータエントリは、性別が「女」、出身地が「東海」となっており、１つの汎化グループを形成している。匿名化処理部２０は、汎化により形成される汎化グループに対して、汎化グループを識別するための識別子を付与する。
【００２６】
なお、汎化の手法は、言葉の意味を抽象化することに限られない。例えば、年齢を「３０代」や「２５〜３５歳」に変換する等、数値等の粒度をあげるような処理や、緯度経度などの位置情報を適当な範囲（領域）のデータに変換するような処理を汎化のために用いてもよい。
【００２７】
ここで、図２６のデータ集合を見ると、各汎化グループには、２個以上のデータエントリがあり、ｋ＝２の匿名性が満たされている。また、各汎化グループには、センシティブデータである「病名」の値が２種類以上含まれており、ｌ（エル）＝２の多様性が満たされている。なお、匿名化装置１０においては、ｋ−匿名性やｌ（エル）−多様性等について、匿名性の所定の基準が設定されている。本実施形態では、匿名化装置１０において、ｋ＝２の匿名性及びｌ（エル）＝２の多様性が匿名性の所定の基準として設定されていることとする。
【００２８】
図１に戻り、データ集合受付部２２は、匿名化処理部２０から、汎化前または汎化後のデータ集合を受け付け、加工データエントリ選択部２４に出力する。
【００２９】
加工データエントリ選択部２４は、入力されるデータ集合に含まれる複数のデータエントリのうち、匿名化処理部２０において汎化規則に基づいて汎化されるとデータ集合が匿名性の所定の基準を満たさなくなるデータエントリと、このデータエントリ以外の少なくとも１つのデータエントリとを選択する。ここで、汎化規則に基づいて汎化されるとデータ集合が匿名性の所定の基準を満たさなくなるデータエントリとは、例えば、準識別子を汎化規則に基づいて汎化すると、データ集合内におけるいずれの汎化グループにも属さず切り捨ての対象となるデータエントリである。また、少なくとも１つのデータエントリとは、例えば、準識別子を構成する複数の属性データのうちの汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリや、データ集合から除かれてもデータ集合が匿名性の所定の基準を満たす少なくとも１つのデータエントリである。詳細については具体例を用いて後述する。
【００３０】
データエントリ加工部２６は、加工データエントリ選択部２４によって選択されたデータエントリについて、汎化対象の属性データの値を所定の共通の値に変更し、データ集合出力部２８を介して匿名化処理部２０に出力する。例えば、データエントリ加工部２６は、選択されたデータエントリの出身地の値を「＊」に変更することができる。なお、変更後の所定の共通の値としては、例えば、その属性データが取りうる最も抽象度の高い値とすることができる。例えば、出身地の場合であれば、「地球」とすることができる。
【００３１】
図２及び図３は、匿名化装置１０における処理の流れの例を示す図である。図２に示すように、データ集合に対する加工処理は、匿名化処理部２０における汎化前のデータ集合に対して行うことができる。また、図３に示すように、匿名化処理部２０における汎化後のデータ集合に対して加工処理を施すことも可能である。また、汎化前及び汎化後の２回に分けてデータ集合に対する加工処理を行う等、匿名化の途中で加工処理を複数回実行してもよい。
【００３２】
本実施形態では、汎化後のデータ集合に対して加工処理を施す場合を例にとって説明する。まず、匿名化処理部２０では、図２４に示す汎化規則が設定されていることとする。そして、図２３に示すデータ集合が匿名化処理部２０に入力されると、汎化規則に基づいて出身地の値が汎化され、図２６に示すデータ集合が得られる。前述したように、図２６に示すデータ集合は、匿名化装置１０における匿名性の基準を満たしている。この状態を前提として、以下にデータ加工処理についての例を示す。
＜データ加工例１＞
【００３３】
図２６に示すデータ集合が得られた後、データ集合に対する追加エントリとして、図２７に示すデータエントリが匿名化処理部２０に入力されたとする。ここで、図２７に示すデータエントリの出身地は「ロンドン」であり、図２４に示す汎化規則では汎化することができない。そのため、このデータエントリを追加すると、匿名性の基準が満たされなくなってしまう。そこで、匿名化処理部２０は、図２６に示す汎化後のデータ集合と、図２７に示すデータエントリとにより構成されるデータ集合をデータ集合受付部２２に出力する。
【００３４】
データ集合受付部２２は、匿名化処理部２０からデータ集合を受け付け、加工データエントリ選択部２４に出力する。
【００３５】
加工データエントリ選択部２４は、データ集合に含まれる複数のデータエントリのうち、汎化規則に基づいて汎化されるとデータ集合が匿名性の基準を満たさなくなるデータエントリと、準識別子を構成する複数の属性データのうちの汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリとを選択する。ここで、汎化規則に基づいて汎化されるとデータ集合が匿名性の基準を満たさなくなるデータエントリは、図２７に示すデータエントリである。また、準識別子を構成する複数の属性データのうちの汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリの例は、図４において破線で囲われているデータエントリである。すなわち、準識別子を構成する属性データのうちの汎化されない属性データは性別であり、性別の値が異なる複数のデータエントリが選択される。図４の例では、性別が「女」で汎化グループが「１」のデータエントリと、性別が「男」で汎化グループが「４」のデータエントリとが選択されている。
【００３６】
データエントリ加工部２６は、加工データエントリ選択部２４によって選択されたデータエントリの出身地の値を、図４及び図５に示されるように、例えば「＊」に変更する。なお、図２６に示すデータ集合に対する加工は、図２７に示すデータエントリが追加される前に予め行われることとしてもよいし、図２７に示すデータエントリが追加されたタイミングで行われることとしてもよい。
【００３７】
データ集合出力部２８は、データエントリ加工部２６によって加工されたデータ集合を匿名化処理部２０に出力する。
【００３８】
図４及び図５に示すように、データエントリ加工部２６によるデータ加工によって、図５に示すデータエントリの準識別子は、図４に示すデータ集合における汎化グループが「１」の準識別子と同一となっている。そのため、匿名化処理部２０において、図５に示すデータエントリの汎化グループに例えば「１」が付与される。これにより、追加されたデータエントリを切り捨てることなく、かつ出身地を意味のないレベルにまで汎化することなく、データ集合が匿名性の基準を満たすようにすることができる。
【００３９】
換言すると、データ集合に対して汎化を行う際に、より具体的な汎化規則を適用できるデータエントリの一部に対して、あえてより抽象的な汎化規則を適用することにより、後から追加されるデータエントリがいかなる値をとっても、匿名性の基準を保った上で、汎化データ集合に加えることができる。
【００４０】
また、図４に示すように、加工データエントリ選択部２４が、データエントリを汎化グループ単位で選択することにより、各汎化グループのデータエントリの個数が減少しないため、匿名性の基準が満たされなくなってしまうことを防ぐことができる。
＜データ加工例２＞
【００４１】
本例でも、図２６に示すデータ集合が得られた後、データ集合に対する追加エントリとして、図２７に示すデータエントリが匿名化処理部２０に入力されたとする。
【００４２】
データ集合受付部２２は、匿名化処理部２０からデータ集合を受け付け、加工データエントリ選択部２４に出力する。
【００４３】
加工データエントリ選択部２４は、データ集合に含まれる複数のデータエントリのうち、汎化規則に基づいて汎化されるとデータ集合が匿名性の基準を満たさなくなるデータエントリと、データ集合から除かれてもデータ集合が匿名性の基準を満たす少なくとも１つのデータエントリとを選択する。ここで、データ集合から除かれてもデータ集合が匿名性の基準を満たす少なくとも１つのデータエントリの例は、図６において破線で囲われているデータエントリである。すなわち、図６に示すように、３番目から５番目のデータエントリの汎化グループが「２」となっているが、このうち５番目のデータエントリが除かれたとしても、３番目及び４番目のデータエントリによって、匿名性の基準は満たされる。同様に、汎化グループが「３」となっている６番目から８番目のデータエントリのうち、８番目のデータエントリが除かれたとしても、匿名性の基準は満たされる。
【００４４】
データエントリ加工部２６は、加工データエントリ選択部２４によって選択されたデータエントリの性別及び出身地の値を、図６及び図７に示されるように、例えば「＊」に変更する。なお、データエントリ加工部２６は、性別及び出身地の値をそれぞれ別の所定の共通の値に変更してもよい。
【００４５】
データ集合出力部２８は、データエントリ加工部２６によって加工されたデータ集合を匿名化処理部２０に出力する。
【００４６】
図６及び図７に示すように、データエントリ加工部２６によるデータ加工によって、図７に示すデータエントリの準識別子は、図６に示すデータ集合において選択されたデータエントリの準識別子と同一となっている。そのため、匿名化処理部２０において、これらのデータエントリに汎化グループとして「５」が付与される。これにより、追加されたデータエントリを切り捨てることなく、かつ出身地を意味のないレベルにまで汎化することなく、データ集合が匿名性の基準を満たすようにすることができる。
【００４７】
なお、データエントリ加工部２６は、汎化対象の属性データである出身地の値のみを「＊」に変更することとしてもよいが、準識別子に含まれる他の属性データである性別の値についても「＊」に変更することにより、加工されたデータエントリと追加されたデータエントリとによって新たな汎化グループが形成される可能性を高めることができる。
＜データ加工例３＞
【００４８】
本例は、データ加工例２によって加工されたデータ集合に対してさらにデータエントリが追加された場合の一例である。図８は、データ加工例２によって加工されたデータ集合を示している。なお、本例では、図２８に示す「欧州」の汎化規則も適用されていることとする。すなわち、図８に示すように、１１番目のデータエントリの出身地の変更前の値は、図２７に示すデータエントリの出身地の値である「ロンドン」を、図２８に示す汎化規則で汎化して得られる「欧州」となっている。
【００４９】
ここで、図８に示すデータ集合が得られた後、データ集合に対する追加エントリとして、図９に示すデータエントリが匿名化処理部２０に入力されたとする。ここで、図９に示すデータエントリの出身地の値は「パリ」である。このデータエントリが匿名化処理部２０で汎化されると、出身地の値が「欧州」に汎化され、匿名性の基準が満たされなくなってしまう。そこで、匿名化処理部２０は、図８に示す汎化後のデータ集合と、図９に示すデータエントリとにより構成されるデータ集合をデータ集合受付部２２に出力する。
【００５０】
データ集合受付部２２は、匿名化処理部２０からデータ集合を受け付け、加工データエントリ選択部２４に出力する。
【００５１】
加工データエントリ選択部２４は、データ集合に含まれる複数のデータエントリのうち、汎化規則に基づいて汎化されるとデータ集合が匿名性の基準を満たさなくなるデータエントリである追加されたエントリと、属性データの値を加工前の値に戻せば、追加されたエントリと汎化グループを形成して匿名性の基準が満たされるデータエントリとを選択する。
【００５２】
ここで、図８に示すデータ集合を見ると、１１番目のデータエントリは、性別及び出身地の加工前の値が、それぞれ、「女」及び「欧州」であり、センシティブデータの値が「消化不良」である。なお、属性データの加工前の値は、例えば、汎化前のデータエントリの属性データを汎化規則に従って汎化することにより得ることができる。また、例えば、汎化前のデータエントリとは別に、属性データが加工されたエントリと対応付けて、加工前の属性データの値を記憶しておく記憶部を設けてもよい。
【００５３】
また、図９に示すデータエントリは、性別及び出身地の値が、それぞれ、「女」及び「パリ」であり、センシティブデータの値が「気管支炎」である。つまり、図８のデータ集合における１１番目のデータエントリの性別及び出身地の値を、それぞれ、加工前の「女」及び「欧州」に戻し、図９に示すデータエントリの出身地を汎化すれば、これら２つのデータエントリにより、匿名性の基準を満たす新たな汎化グループが形成されることとなる。
【００５４】
そこで、データエントリ加工部２６は、加工データエントリ選択部２４によって選択された、図８のデータ集合における１１番目のデータエントリの性別及び出身地の値を、それぞれ、加工前の「女」及び「欧州」に変更する。図１０は、加工されたデータ集合を示している。
【００５５】
データ集合出力部２８は、データエントリ加工部２６によって加工されたデータ集合を匿名化処理部２０に出力する。
【００５６】
そして、匿名化処理部２０において図９に示すデータエントリが汎化されると、図１１に示すデータエントリが得られ、図１０に示すデータ集合の１１番目のデータエントリとによって新たな汎化グループが形成される。すなわち、これらのデータエントリの汎化グループに例えば「６」が付与される。
＜データ加工例４＞
【００５７】
本例では、データエントリの追加及び削除が行われる場合の一例について説明する。図１２〜図１４は、時刻Ｔ〜Ｔ＋２における匿名化前のデータ集合の一例を示している。
【００５８】
まず、図１２に示すデータ集合に対して出身地の値の汎化を行うとともに、上記データ加工例１の場合と同様にデータの加工が行われたデータ集合が図１５に示されている。
【００５９】
次に、時刻Ｔ＋１に、元のデータ集合が図１３に示すように変化したとする。すなわち、時刻Ｔにおける元のデータ集合から、「千代」、「陽子」、「正」、及び「三郎」のデータエントリが削除され、「アリス」のデータエントリが追加されている。この場合、図１６に示すように、「アリス」のデータエントリについては、データ加工例１の場合と同様に、出身地の値が「＊」に変更され、「花子」と同一の汎化グループとされる。しかしながら、「千代」のデータエントリが削除されており、かつ「花子」と「アリス」のデータエントリの「病名」がいずれも「消化不良」であるため、匿名化の基準が満たされない状況となってしまう。そこで、データエントリ加工部２６は、図１６に示すように、「病名」が「気管支炎」の偽のデータエントリを追加することにより、匿名化の基準が満たされるようにしている。
【００６０】
さらに、時刻Ｔ＋２に、元のデータ集合が図１４に示すように変化したとする。すなわち、時刻Ｔ＋１における元のデータ集合に、「ソフィ」のデータエントリが追加されている。この場合、図１７に示すように、「ソフィ」のデータエントリについては、「アリス」のデータエントリと同様に、出身地の値が「＊」に変更され、「花子」及び「アリス」と同一の汎化グループとされる。ここで、「ソフィ」のデータエントリの「病名」は「気管支炎」であるため、図１６に示した偽のデータエントリが除かれても、匿名化の基準が満たされることとなる。そこで、図１７に示すように、偽のデータエントリは、データエントリ加工部２６によって削除されている。
【００６１】
以上説明したように、本実施形態の匿名化装置１０によれば、データ集合が繰り返し提供される可能性があり、後から追加されたデータエントリの属性情報が、既知のデータエントリがとる値の範囲から大きくずれる場合であっても、適切な汎化が可能となる。
【００６２】
なお、本実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明は、その趣旨を逸脱することなく、変更／改良され得るととともに、本発明にはその等価物も含まれる。
【００６３】
例えば、図１８に示すように、匿名化装置１０は、加工データエントリ選択規則入力部３０を備えることとしてもよい。すなわち、データエントリを選択する際の規則が加工データエントリ選択部２４において固定ではなく、加工データエントリ選択規則入力部３０からの入力に応じて変更可能であることとしてもよい。
【００６４】
また、例えば、図１９に示すように、匿名化装置１０は、データエントリ加工規則入力部３２を備えることとしてもよい。すなわち、データエントリを加工する際の規則がデータエントリ加工部２６において固定ではなく、データエントリ加工規則入力部３２からの入力に応じて変更可能であることとしてもよい。
【００６５】
さらに、例えば、図２０に示すように、匿名化装置１０は、加工データエントリ選択規則入力部３０及びデータエントリ加工規則入力部３２の両方を備えることとしてもよい。
【００６６】
また、図２１に示すように、匿名化装置１０は、匿名化処理部２０による匿名化により生成される匿名化データ集合の匿名性を評価するための匿名性評価部３４を備えることとしてもよい。この場合、匿名性評価部３４は、匿名性の評価結果に基づいて、匿名性が所定の基準を満たすように、加工データエントリ決定規則入力部３０及びデータエントリ加工規則入力部３２を制御することができる。
【００６７】
また、図２２に示すように、匿名化装置１０は、汎化規則入力部３６を備えることとしてもよい。すなわち、データエントリに対して汎化処理を施す際の規則が匿名化処理部２０において固定ではなく、汎化規則入力部３６からの入力に応じて変更可能であることとしてもよい。例えば、図２８及び図２９に示した「欧州」の汎化規則を匿名化処理部２０が有していない場合に、汎化規則入力部３６を用いることにより汎化規則を追加することができる。
【００６８】
この出願は、２０１０年１１月９日に出願された日本出願特願２０１０−２５０６００を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【００６９】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【００７０】
本実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【００７１】
（付記１）個人を特定し得る情報である準識別子を構成する少なくとも１つの属性データと、準識別子以外の少なくとも１つの属性データとを含むデータエントリを複数有するデータ集合の各データエントリについて、準識別子を構成する少なくとも１つの属性データの値を、所定の汎化規則に基づいて汎化する汎化部と、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさない要因となるデータエントリと、該データエントリと前記汎化対象の属性データの値が共通となることにより、前記データ集合が前記匿名性の所定の基準を満たすこととなる少なくとも１つのデータエントリとを選択するエントリ選択部と、前記エントリ選択部によって選択されたデータエントリについて、前記汎化対象の属性データの値を、前記所定の汎化規則にかかわらず所定の共通の値に変更するエントリ加工部とを備える匿名化装置。
【００７２】
（付記２）付記１に記載の匿名化装置であって、前記エントリ選択部は、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさなくなるデータエントリと、準識別子を構成する少なくとも１つの属性データのうちの前記汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリとを選択することを特徴とする匿名化装置。
【００７３】
（付記３）付記１に記載の匿名化装置であって、前記エントリ選択部は、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさなくなるデータエントリと、前記データ集合から除かれても前記データ集合が前記匿名性の所定の基準を満たす少なくとも１つのデータエントリとを選択することを特徴とする匿名化装置。
【００７４】
（付記４）付記３に記載の匿名化装置であって、前記エントリ加工部は、前記データ集合が前記匿名性の所定の基準を満たすように、前記汎化対象の属性データの値を前記所定の共通の値に変更するとともに、準識別子を構成する少なくとも１つの属性データのうちの前記汎化対象の属性データ以外の少なくとも１つの属性データの値を所定の共通の値に変更することを特徴とする匿名化装置。
【００７５】
（付記５）付記１〜４の何れか一項に記載の匿名化装置であって、前記エントリ加工部は、前記データ集合に新たにデータエントリが追加された際に、該データエントリの値と、属性データの値が変更されたデータエントリのうちの少なくとも１つのデータエントリの変更前の値とが、前記汎化規則に基づいて汎化されると前記データ集合が前記匿名性の所定の基準を満たす場合は、該少なくとも１つのデータエントリについて、該属性データの値を前記変更前の値を前記汎化規則に基づいて汎化した値に変更することを特徴とする匿名化装置。
【００７６】
（付記６）付記１〜５の何れか一項に記載の匿名化装置であって、前記エントリ加工部は、前記データ集合から少なくとも１つのデータエントリが削除されたことにより、前記データ集合が前記匿名性の所定の基準を満たさなくなった場合に、前記データ集合が前記匿名性の所定の基準を満たすよう、前記データ集合に偽のデータエントリを追加することを特徴とする匿名化装置。
【００７７】
（付記７）付記６に記載の匿名化装置であって、前記データ集合に新たにデータエントリが追加されたことにより、前記偽のデータエントリが除かれても前記データ集合が前記匿名性の所定の基準を満たす場合は、前記データ集合から該偽のデータエントリを削除することを特徴とする匿名化装置。
【００７８】
（付記８）付記１〜７の何れか一項に記載の匿名化装置であって、前記エントリ選択部がデータエントリを選択する際の規則を入力するエントリ選択規則入力部をさらに備え、前記エントリ選択部は、前記エントリ選択規則入力部から入力される規則に基づいて、データエントリを選択することを特徴とする匿名化装置。
【００７９】
（付記９）付記１〜８の何れか一項に記載の匿名化装置であって、前記エントリ加工部がデータエントリを加工する際の規則を入力するエントリ加工規則入力部をさらに備え、前記エントリ加工部は、前記エントリ加工規則入力部から入力される規則に基づいて、データエントリを加工することを特徴とする匿名化装置。
【００８０】
（付記１０）付記１〜９の何れか一項に記載の匿名化装置であって、前記汎化部がデータエントリを汎化する際の規則を入力する汎化規則入力部をさらに備え、前記汎化部は、前記汎化規則入力部から入力される規則に基づいて、データエントリを汎化することを特徴とする匿名化装置。
【符号の説明】
【００８１】
１０  匿名化装置
２０  匿名化処理部
２２  データ集合受付部
２４  加工データエントリ選択部
２６  データエントリ加工部
２８  データ集合出力部
３０  加工データエントリ選択規則入力部
３２  データエントリ加工規則入力部
３４  匿名性評価部
３６  汎化規則入力部
【図１】
2012063546.tif 000003
【図２】
2012063546.tif 000004
【図３】
2012063546.tif 000005
【図４】
2012063546.tif 000006
【図５】
2012063546.tif 000007
【図６】
2012063546.tif 000008
【図７】
2012063546.tif 000009
【図８】
2012063546.tif 000010
【図９】
2012063546.tif 000011
【図１０】
2012063546.tif 000012
【図１１】
2012063546.tif 000013
【図１２】
2012063546.tif 000014
【図１３】
2012063546.tif 000015
【図１４】
2012063546.tif 000016
【図１５】
2012063546.tif 000017
【図１６】
2012063546.tif 000018
【図１７】
2012063546.tif 000019
【図１８】
2012063546.tif 000020
【図１９】
2012063546.tif 000021
【図２０】
2012063546.tif 000022
【図２１】
2012063546.tif 000023
【図２２】
2012063546.tif 000024
【図２３】
2012063546.tif 000025
【図２４】
2012063546.tif 000026
【図２５】
2012063546.tif 000027
【図２６】
2012063546.tif 000028
【図２７】
2012063546.tif 000029
【図２８】
2012063546.tif 000030
【図２９】
2012063546.tif 000031
【図３０】
2012063546.tif 000032
【図３１】
2012063546.tif 000033
【図３２】
2012063546.tif 000034
【図３３】
2012063546.tif 000035
【図３４】
2012063546.tif 000036
【図３５】
2012063546.tif 000037
【図３６】
2012063546.tif 000038
【国際調査報告】
2012063546.tif 000039
2012063546.tif 000040
2012063546.tif 000041
2012063546.tif 000042