(57)【要約】      （修正有）【課題】匿名性と分析有用性を両立する匿名加工技術を提供する。【解決手段】匿名加工システム１は、データ提供機関１０１、データ保管機関１０２、データ加工機関１０３、及びデータ分析機関１０４を備える。データ提供機関１０１は、患者に関する診察データ及び検査データなどの健康医療情報を収集する機関である。データ保管機関１０２は、データ提供機関１０１から送信された健康医療情報を保管しておき、データ分析機関１０４から健康医療情報の入手依頼を受けた際に、データ分析機関１０４が健康医療情報を二次利用できるように匿名加工処理を施して、データ分析機関１０４に出力する機関である。データ加工機関１０３は、データ保管機関１０２からの指示を受けて、データ保管機関１０２にて保管されている健康医療情報の匿名加工処理を代行する機関である。【選択図】図１
2020181487.tif 000002
【特許請求の範囲】
【請求項１】
制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有する匿名加工システムであって、
前記記憶部は、属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、
前記制御部は、
前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算し、
前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定し、
前記提示部を介して、前記特定した属性の項目を提示することを特徴とする匿名加工システム。
【請求項２】
請求項１に記載の匿名加工システムであって、
前記記憶部は、要求される匿名性を示す情報をさらに保持し、
前記制御部は、前記計算された匿名性が、前記要求される匿名性を満たさない場合に、前記許容される匿名加工の程度を変更する前記属性の項目を特定することを特徴とする匿名加工システム。
【請求項３】
請求項２に記載の匿名加工システムであって、
前記制御部は、
前記特定された属性の項目及び変更後の前記許容される匿名加工の程度の少なくとも一つが互いに異なり、かつ、変更後に計算された匿名性が前記要求される匿名性を満たす、複数の変更例を生成し、
前記提示部を介して、前記複数の変更例を提示することを特徴とする匿名加工システム。
【請求項４】
請求項３に記載の匿名加工システムであって、
前記制御部は、前記複数の変更例の一つが選択された場合、前記匿名加工の対象のデータに対して、前記選択された変更例によって特定された属性の項目に、前記選択された変更例の前記許容される加工の程度に基づく匿名加工を行い、
匿名加工されたデータを出力することを特徴とする匿名加工システム。
【請求項５】
請求項１に記載の匿名加工システムであって、
前記記憶部は、要求される匿名性を示す情報をさらに保持し、
前記制御部は、前記許容される匿名加工の程度の変更を指示する情報が入力されると、入力された情報に従って匿名加工が実行された後のデータの匿名性を計算し、
前記計算された匿名性が、前記要求される匿名性を満たさない場合に、前記許容される匿名加工の程度を変更する前記属性の項目を特定することを特徴とする匿名加工システム。
【請求項６】
請求項１に記載の匿名加工システムであって、
前記制御部は、前記特定された属性の項目及び変更後の前記許容される匿名加工の程度の少なくとも一つからなる変更案と、前記変更案に基づく匿名加工後のデータの匿名性と、を関連付けて、加工履歴として前記記憶部に格納することを特徴とする匿名加工システム。
【請求項７】
請求項６に記載の匿名加工システムであって、
前記制御部は、前記匿名加工に関するキーワード又は前記属性が検索条件として入力されると、前記記憶部から前記検索条件に適合する前記加工履歴を検索して、前記提示部を介して提示することを特徴とする匿名加工システム。
【請求項８】
請求項１に記載の匿名加工システムであって、
前記記憶部は、要求される匿名性を示す情報をさらに保持し、
前記重要度を示す情報は、前記属性の項目間の相対的な重要度を示す情報であり、
前記制御部は、
前記重要度が低い前記属性の項目を、前記許容される匿名加工の程度を変更する前記属性の項目として特定し、
前記特定された属性の項目の属性値について、変更後の前記許容される匿名加工の程度に基づく匿名加工を行った場合の匿名性が前記要求される匿名性を満たさない場合、前記重要度が高い前記属性の項目を、前記許容される匿名加工の程度を変更する前記属性の項目として特定することを特徴とする匿名加工システム。
【請求項９】
請求項１に記載の匿名加工システムであって、
前記許容される匿名加工の程度を示す情報は、前記属性値の匿名加工が許容されるかを示す情報であり、
前記制御部は、
前記特定した属性の項目の前記許容される匿名加工の程度を示す情報を、前記属性値の匿名加工が許容されないことを示す情報から、前記属性値の匿名加工が許容されることを示す情報に変更し、変更後の前記許容される匿名加工の程度に基づく匿名加工を行った場合の匿名性が前記要求される匿名性を満たす場合、当該許容される匿名加工の程度の変更を示す情報を含む変更例を生成し、
前記提示部を介して前記変更例を提示することを特徴とする匿名加工システム。
【請求項１０】
請求項１に記載の匿名加工システムであって、
前記記憶部は、要求される匿名性を示す情報をさらに保持し、
前記許容される匿名加工の程度を示す情報は、前記属性値の匿名加工が許容されるかを示す情報であり、
前記制御部は、
前記許容される匿名加工の程度を示す情報に基づいて、匿名加工が許容される属性値の匿名加工をした場合の匿名性を計算し、
計算された匿名性が前記要求される匿名性を満たさない場合に、匿名加工が許容される属性値について、さらに匿名性を高めるための匿名加工をした場合の匿名性を計算し、
前記さらに匿名性を高めるための匿名加工をした後に計算された匿名性が前記要求される匿名性を満たさない場合に、前記許容される匿名加工の程度を示す情報に基づいて、匿名加工が許容されない属性値の匿名加工をした場合の匿名性を計算することを特徴とする匿名加工システム。
【請求項１１】
請求項１に記載の匿名加工システムであって、
前記記憶部は、前記属性の項目ごとに、前記属性値の要否を示す情報を保持し、
前記制御部は、
前記特定した属性の項目の前記属性値の要否を示す情報を、前記属性値が必要であることを示す情報から前記属性値が必要でないことを示す情報に変更し、変更後の前記属性値の要否に基づく匿名加工を行った場合の匿名性が前記要求される匿名性を満たす場合、当該属性値の要否の変更を示す情報を含む変更例を生成し、
前記提示部を介して前記変更例を提示することを特徴とする匿名加工システム。
【請求項１２】
制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有する情報処理装置を制御するための匿名加工プログラムであって、
前記記憶部は、属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、
前記匿名加工プログラムは、
前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算する手順と、
前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定する手順と、
前記提示部を介して、前記特定した属性の項目を提示する手順と、を前記制御部に実行させることを特徴とする匿名加工プログラム。
【請求項１３】
制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有する情報処理装置が実行する匿名加工方法であって、
前記記憶部は、属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、
前記匿名加工方法は、
前記制御部が、前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算する手順と、
前記制御部が、前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定する手順と、
前記制御部が、前記提示部を介して、前記特定した属性の項目を提示する手順と、を含むことを特徴とする匿名加工方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、匿名加工技術に関する。
【背景技術】
【０００２】
特許文献１に開示されたプライバシー保護装置は、データ利用者に提供するテーブルの加工時にそのテーブルを構成する各属性に対して重み（重要度）を設定し、特殊な関数を用いて加工したテーブルを評価することで、データ利用者が求める情報を可能な限り保持する、と記されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１６−１８３７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
分析有用性を満足することなく匿名加工されたデータを用いた分析では、分析に必要な精度のデータが含まれていない可能性があり、意味のある分析ができなくなることがある。その結果、一旦出力されたデータを破棄し、元データから再度、匿名加工処理を実施した後に、出力して再度分析するという手戻りが発生するため、分析効率が悪くなる。
【０００５】
特許文献１には匿名加工を行う技術について記載されているが、匿名加工されたデータに関して評価関数等による評価値が最大のテーブルを有用と判定するものであり、データの利用者にとっての分析有用性を満足するための対策を行うものではない。
【０００６】
本発明は、上記の点に鑑みてなされたものであって、匿名性と分析有用性を両立する匿名加工技術の提供を目的とする。
【課題を解決するための手段】
【０００７】
本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下の通りである。
【０００８】
上記課題の少なくとも一部を解決するため、本発明の一態様に係る匿名加工システムは、制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有し、前記記憶部は、属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、前記制御部は、前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算し、前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定し、前記提示部を介して、前記特定した属性の項目を提示することを特徴とする。
【発明の効果】
【０００９】
本発明の一態様によれば、匿名性と分析有用性を両立する匿名加工を実現し、匿名加工済みのデータ出力の手戻りを削減することができる。
【００１０】
上記した以外の課題、構成、及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施形態における匿名加工システムの利用の流れの一例を示す図である。
【図２】本発明の実施形態における匿名加工システムの機能ブロックの一例を示す図である。
【図３】本発明の実施形態における匿名加工システムを利用する際の全体処理フローの一例を示す図である。
【図４】本発明の実施形態における匿名加工システムの匿名加工に関する主要フローの一例を示す図である。
【図５】本発明の実施形態における匿名加工システムの初期入力値に基づいた匿名加工に関する主要フローの一例を示す図である。
【図６】本発明の実施形態における匿名加工システムの匿名加工可能な属性に関して匿名加工度合を調整して匿名加工処理を行うフローの一例を示す図である。
【図７】本発明の実施形態における匿名加工システムの匿名加工不可な属性に関して匿名加工度合を調整して匿名加工処理を行うフローの一例を示す図である。
【図８】本発明の実施形態における匿名加工システムの属性設定画面の一例を示す図である。
【図９】本発明の実施形態における匿名加工システムの属性設定値に基づいた匿名加工の結果を表示する画面の一例を示す図である。
【図１０】本発明の実施形態における匿名加工システムの匿名性を満足する匿名加工の候補を表示し、匿名加工許容レベルを変更すべき属性を推薦する画面の一例を示す図である。
【図１１】本発明の実施形態における匿名加工システムの匿名加工レベルの変更を承諾する画面の一例である。
【図１２】本発明の実施形態における匿名加工システムの匿名加工済みデータの出力画面の一例である。
【発明を実施するための形態】
【００１２】
以下、図面に基づいて本発明の実施形態の例を説明する。
【００１３】
図１は、本発明の実施形態における匿名加工システムの利用の流れの一例を示す図である。
【００１４】
匿名加工システム１に関わる主体としては、主にデータ提供機関１０１、データ保管機関１０２、データ加工機関１０３、及びデータ分析機関１０４がある。また、匿名加工システム１は、データの匿名加工処理を行い、匿名性と分析有用性を両立するデータを出力することを目的とする。以降、医療分野の例を挙げて説明するが、これに限るものではない。
【００１５】
データ提供機関１０１は、患者に関する診察データ及び検査データなどの健康医療情報を収集する機関であり、例えば病院又は検査機関などが想定されている。データ提供機関１０１が健康医療情報を収集した後は、後述のデータ保管機関１０２に送信する。
【００１６】
データ保管機関１０２は、データ提供機関１０１から送信された健康医療情報を保管しておき、後述するデータ分析機関１０４から健康医療情報の入手依頼を受けた際に、データ分析機関１０４が健康医療情報を二次利用できるように匿名加工処理を施して、データ分析機関１０４に出力する機関である。
【００１７】
データ加工機関１０３は、データ保管機関１０２からの指示を受けて、前記データ保管機関１０２にて保管されている健康医療情報の匿名加工処理を、匿名加工システム１を用いて代行する機関である。匿名加工システム１を直接利用する主体は、このデータ加工機関１０３に従事する者と想定されている。
【００１８】
データ分析機関１０４は、データ保管機関１０２に対して分析対象のデータの入手依頼を発行し、その後に入手した匿名加工済みの健康医療情報の分析を行う機関である。データ分析機関１０４としては、例えば、大学や民間企業の研究機関等が想定されている。データ分析機関１０４に従事する者は直接匿名加工システム１を操作することはないと想定される。
【００１９】
図２は、本発明の実施形態における匿名加工システム１の機能ブロックの一例を示す図である。
【００２０】
匿名加工システム１は、制御部２００、記憶部２０１、提示部２０２、入力部２０３、データ出力部２０４、データ読出部２０５、属性設定部２０６、匿名加工部２０７、匿名性算出部２０８、属性特定部２０９、テーブル候補生成部２１０、テーブル候補選択部２１１、及び履歴検索部２１２からなる、ＰＣ（パーソナルコンピュータ）又はサーバコンピュータ等の情報処理装置である。
【００２１】
制御部２００は、後述する記憶部２０１に格納されているデータに対して匿名加工処理等を実行するための匿名加工システム１全体の制御を行う。
【００２２】
記憶部２０１は、例えばハードディスクドライブ又は半導体記憶装置などの記憶装置であり、データ提供機関１０１から受信した健康医療情報を記憶するデータベースなどを格納する。この健康医療情報とは、データ提供機関１０１で作成した診療データ及び検査データ等の情報である。
【００２３】
提示部２０２は、匿名加工システム１の利用者に対して、健康医療情報のデータベース、匿名加工候補、匿名加工済みのテーブル及びレコードなどの情報を提示し、利用者の意思選択を促すためのディスプレイ等である。
【００２４】
入力部２０３は、匿名加工システム１の利用者がデータ分析機関１０４の分析要望の具体的な条件を入力したり、変更したりするためのキーボード、マウス又はタッチパネル等である。
【００２５】
データ出力部２０４は、匿名加工システム１にて匿名加工されて匿名性指標を満たしたテーブルをデータ分析機関１０４に対して出力する。データ出力部２０４は、例えば、取り外しが可能な記憶メディア等に書き出すことが可能なリーダライタデバイス、又は、外部との通信が可能なネットワークアダプタ等でもよい。
【００２６】
データ読出部２０５は、記憶部２０１に格納されている健康医療情報を読み出し、利用者が健康医療情報を利用できるようにする機能を持つ。このとき、データ読出部２０５は、検索条件及び利用者に関する登録情報等が入力された場合には、それらの情報に基づいて所望の健康医療情報を絞り込んでから読み出してもよいし、データベース全件を記憶部２０１から読み出してから絞り込んでもよい。
【００２７】
属性設定部２０６は、記憶部２０１に格納されている健康医療情報などのデータベースの属性に関して、入手希望属性、匿名加工許容レベル、及び属性の相対的重要度を、入力部を介して設定する機能を有する。属性設定の際は、提示部２０２が属性のリストを提示し、匿名加工システム１の利用者（例えばデータ加工機関１０３）が各属性について入手希望属性を指定する情報を入力部２０３に入力する。以下に説明する入手希望属性、匿名加工許容レベル及び属性の相対的重要度の設定は、利用者が入力部２０３を介して入力した情報に基づいて属性設定部２０６が実行する。
【００２８】
なお、これらの設定の内容は匿名加工後のデータの分析有用性に影響を与える。このため、例えばデータ加工機関１０３がこれらの設定を行う場合には、データ分析機関１０４の意見を参考にしてもよいし、データ分析機関１０４自身がこれらの設定を行ってもよい。データ加工機関１０３が行う他の処理についても同様に、必要に応じてデータ分析機関１０４が関与する場合がある。
【００２９】
まず、入手希望属性の設定の際には、属性設定部２０６は、その属性値に関して、例えば入手必須、入手任意、又は不要等のいずれかを指定する。ただし、テーブル内の属性数が多い場合には、利用者が全ての属性に関して入力するのは時間を要するため、入手希望属性を指定する際のデフォルト値は、すべて入手必須か、又は不要にプリセットしておき、プリセットされた値を変更する必要がある場合に利用者が入力してもよい。
【００３０】
次に、匿名加工許容レベルを設定する際には、属性設定部２０６は、入手希望属性にて入手必須、又は入手任意と指定した各属性に関して匿名加工の許容度合を指定する。例えば、属性設定部２０６は、利用者からの入力に従って、匿名加工不可、匿名加工可能、削除可能などを指定する。
【００３１】
なお、ある属性に関して匿名加工可能を指定する場合は、属性設定部２０６は、その属性のデータ型に応じて詳細の匿名加工許容レベルを指定してもよい。例えば、属性設定部２０６は、文字列型の属性値をもつ属性に関しては、匿名加工前の文字列に関する情報量を基準として、匿名加工後の残存情報量の比率、又は、エントロピー等を用いた加工度合を指定してもよい。また、数値型であれば、匿名加工後に残す有効桁数などを指定してもよい。
【００３２】
そして、属性の相対的重要度を設定する際は、入手希望属性にて入手必須又は入手任意と指定した入手希望属性群のうちの２つの属性に関して、利用者が入力部２０３を用いて一対比較値をそれぞれ入力し、それを属性設定部２０６が相対的重要度として設定してもよい。ただし、この方法では属性数が増加すると入力の手間が増えるため、単に入手希望属性群の中で相対的な重要度を示す順位を入力してもよい。この重要度の指定方法は特に限定されるものではなく、結果的に入手希望属性群内における順位が確定していればよい。
【００３３】
匿名加工部２０７は、属性設定部２０６において設定された加工可能属性及び削除可能属性に関して、実際に属性値の一般化処理等の匿名加工処理を行う。それに加え、匿名加工部２０７は、後述するテーブル候補生成部２１０において、利用者に対して匿名加工されたテーブルの候補を算出する場合には、加工不可属性に関しても匿名加工処理を試行することもある。
【００３４】
匿名性算出部２０８は、匿名加工部２０７にて算出された匿名加工されたテーブルに対して、テーブルに残存するデータから既定数ｋ以下に個人を特定できないかどうかを判定する。例えば、匿名性算出部２０８は、そのテーブルに同一の属性値をもつレコードが既定数ｋ以上の数が存在するかどうかを確認するｋ−匿名性等の指標を用いて判定する。
【００３５】
なお、この判定において、匿名加工されたテーブルの匿名性が、既定の匿名性指標を大幅に上回っている場合には、属性設定部２０６で入力した設定が厳しすぎた可能性がある。このため、匿名性算出部２０８は、分析有用性の向上を目的として、匿名性を低下させる処理を匿名加工部２０７に指示してもよい。また、匿名性判定の算出値と、属性設定部２０６にて入力した設定値とを関連付けて、加工履歴として記憶部２０１に格納することもできる。
【００３６】
属性特定部２０９は、匿名性算出部２０８にて匿名性が指標を満たさないと判定された場合に、匿名性を満たせない阻害要因となっている属性を特定する処理を行う。例えば、後述するテーブル候補生成部２１０にて生成したテーブル候補に関して、既定の匿名性指標を満足できるかどうかを判定する。このとき、指標を満足できた場合には、属性特定部２０９は、匿名加工度合を緩和した（すなわち匿名加工度合を匿名性が低下する方向に変更した）緩和推奨属性群を特定する。
【００３７】
テーブル候補生成部２１０は、属性設定部２０６が属性間の相対的な重要度等を入力し、入手希望属性群内における順位を確定した後に、重要度が下位の属性から順に匿名加工度合を緩和して匿名加工処理を試行して、テーブル候補を作成する。また、テーブル候補生成部２１０は、属性設定部２０６にて加工不可属性と指定された属性に関しても、匿名加工処理を試行し、テーブル候補を作成する。
【００３８】
テーブル候補選択部２１１は、属性特定部２０９にて特定された緩和推奨属性群と、テーブル候補生成部２１０にて生成されたテーブル候補との組み合わせを、提示部２０２を介して利用者に提示し、利用者に対して分析有用性を考慮した選択を促す。利用者は入力部２０３等を介してテーブル候補を選択する。
【００３９】
さらに、属性設定部２０６にて入力した属性が緩和推奨属性群に含まれる場合は、利用者に対して提示部２０２を介して提示し、選択した匿名加工済みのテーブル候補に関する匿名加工条件は、当初入力した匿名加工条件と異なっていることを確認させる通知を行なって、入力部２０３を介して承諾を得てもよい。
【００４０】
履歴検索部２１２は、属性設定部２０６で入力された設定値と、匿名性算出部２０８が算出した匿名性判定の結果値とを関連付けて記憶している記憶部２０１から、入力部２０３を介して入力されたキーワード及び入手希望属性などの検索条件に合う加工履歴を検索して、提示部２０２を介して匿名性判定の結果値と、入手希望属性及び匿名加工許容レベルなどの加工履歴を提示することができる。ただし、ここで検索されることが適さないデータの場合は、登録時に検索対象除外の設定を行うことで加工履歴として提示しないこともできる。
【００４１】
なお、匿名加工システム１の機能（例えば上記のデータ読出部２０５〜履歴検索部２１２の機能）は、制御部２００が記憶部２０１に格納されたプログラムに従って、必要に乗じて提示部２０２、入力部２０３及びデータ出力部２０４等を制御することによって実行される。この場合、データ読出部２０５〜履歴検索部２１２が記憶部２０１に格納されたプログラムであると考えてもよい。
【００４２】
図３は、本発明の実施形態における匿名加工システム１を利用する際の全体処理フローの一例を示す図である。
【００４３】
データ提供機関１０１は加工前の生データを保管しており、そのデータを編集及び匿名加工する機能は、匿名加工システム１として、生データにアクセスできるデータ保管機関１０２側にある想定で説明する。なお、データ加工機関１０３側は匿名加工前のデータを保持せず、匿名加工後のデータのみ保持できる想定で説明するが、データ加工機関１０３はデータ保管機関１０２の内部機関であるため、匿名加工及びその前後にある処理は、厳密には匿名加工システム１及びデータ加工機関１０３のどちらで実行しても構わない。
【００４４】
ステップＳ３０１では、データ提供機関１０１が発行した患者に関する診療データ及び検査データをデータ保管機関１０２に継続的に送信し、データ保管機関１０２は受診した上記のデータを記憶部２０１に継続的に蓄積する。
【００４５】
ステップＳ３０２では、データ分析機関１０４が、データ保管機関１０２が有するデータベースの出力要求を行う。
【００４６】
ステップＳ３０３では、データ保管機関１０２又はデータ加工機関１０３が、データ分析機関１０４から得た分析要求から、次以降のステップで、データの検索条件、テーブルの属性に関する入手要望及び各属性に関する匿名加工要望等を明確化（又は詳細化）する。
【００４７】
ステップＳ３０４では、データ加工機関１０３は、詳細化された分析要求に応じて、まず記憶部２０１に格納されているデータベースに対して検索条件を入力する。
【００４８】
ステップＳ３０５では、匿名加工システム１のデータ読出部２０５が、入力された検索条件に基づいて所望のデータセットを記憶部２０１から抽出する。このとき、データ保管機関１０２からデータ加工機関１０３にこの抽出データを渡してもよい。
【００４９】
ステップＳ３０６では、データ加工機関１０３が、詳細化された分析要求に基づき、そのテーブルを構成する各属性に関して入手希望属性、匿名加工許容レベル及び相対的重要度を入力し、設定する。このとき、履歴検索部２１２は記憶部２０１から設定された条件に合う加工履歴を検索し、加工例を提示部２０２に表示してもよい。
【００５０】
ステップＳ３０７では、匿名加工システム１が、データ加工機関１０３から入力された検索条件に基づいて抽出したテーブルに対して匿名加工処理を行う。あるいは、匿名加工システム１が抽出されたテーブルをデータ加工機関１０３に渡して、データ加工機関１０３が匿名加工処理を行ってもよい。
【００５１】
ステップＳ３０８では、匿名加工システム１が匿名加工処理を行なったテーブルについて既定の匿名性指標を満足しているか判定する。匿名性指標を満たさないテーブルについては、匿名加工システム１は、属性設定の緩和を試行し、匿名性を満たすように属性設定の緩和を促す。このとき、匿名加工システム１は、属性設定の値と匿名性の算出値を記憶部２０１に格納して、後ほど検索できるようにしてもよい。また、匿名性判定はデータ加工機関１０３で行ってもよい。
【００５２】
ステップＳ３０９では、匿名加工済みで匿名性指標を満足しているテーブル、又は、テーブルの一部のデータセットもしくはレコードを、少なくとも一つ以上のデータ加工機関１０３がデータ保管機関１０２から受信する。また、データ保管機関１０２からデータベースのコピーをデータ加工機関１０３が受信しておき、それに対して匿名加工するという順序で処理が実行されてもよい。
【００５３】
ステップＳ３１０では、データ加工機関１０３が、匿名加工システム１から受信したテーブル、データセット又はレコードを提示し、それに分析有用性があるかどうかを判断する。その結果、分析有用性が無い場合は、Ｓ３０６に戻って属性設定の変更を行うか、匿名加工システム１から変更すべき属性の推薦を受ける。一方、分析有用性があると判断した場合は、ステップＳ３１１に進む。これらの分析有用性判断は、その判断を人間が実施したほうが効率や精度が良い間は人間が行なえばよいが、自動化してもよい。例えばデータ加工機関１０３は匿名加工システム１から受信した情報の少なくとも一部をデータ分析機関１０４に提示して、データ分析機関１０４の意見に基づいて分析有用性を判断してもよい。
【００５４】
ステップＳ３１１では、データ加工機関１０３は、匿名加工システム１が匿名性と分析有用性を両立したテーブルの出力を行うようにデータ保管機関１０２に依頼する。
【００５５】
ステップＳ３１２では、データ保管機関１０２はデータ分析機関１０４に対してデータを出力する。そのデータはデータ分析機関１０４によって分析される。
【００５６】
図４は、本発明の実施形態における匿名加工システム１の匿名加工に関する主要フローの一例を示す図である。
【００５７】
ステップＳ４０１では、図３のステップＳ３０４で示したように、データ分析機関１０４の詳細要望に関する検索条件が匿名加工システム１に入力される。例えば、主疾病名属性には「肺炎」、投薬コード属性にはある薬のコードを入力するなどして、健康医療情報のデータベースから分析に要する所望のデータセットが抽出される。
【００５８】
ステップＳ４０２では、匿名加工システム１は、ステップＳ４０１で入力された初期入力値に基づいて、匿名加工処理を行う。この処理の詳細フローは図５にて示す。
【００５９】
ステップＳ４０３では、匿名加工システム１は、前記匿名加工処理後のテーブルに関して、匿名性指標の判定処理を行う。もし指標を満足している場合は、ステップＳ４０７に進む。一方、満足していない場合は、ステップＳ４０４へ進む。このとき、匿名加工システム１は、図９に示す画面を提示して、匿名性に関する判定結果を通知する。
【００６０】
ステップＳ４０４では、匿名加工システム１は、ステップＳ４０２で入力された属性設定において、加工可能属性と指定された属性について、重要度を考慮して匿名加工条件の変更を試行する。この処理の詳細フローは図６に示す。
【００６１】
次に、匿名加工システム１は、ステップＳ４０４の処理に成功したかを判定する（ステップＳ４０８）。例えば、ステップＳ４０４の処理の結果、加工可能属性のみを対象とする匿名加工条件の変更であって、匿名性が所定の条件を満たし、かつ、分析有用性がある変更の候補が生成された場合、ステップＳ４０４の処理に成功したと判定される。ステップＳ４０４の処理に成功した場合（ステップＳ４０８：Ｙｅｓ）、匿名加工システム１は、次のステップＳ４０５を実行せずにステップＳ４０６に進む。ステップＳ４０４の処理に失敗した場合（ステップＳ４０８：Ｎｏ）、匿名加工システム１はステップＳ４０５を実行する。
【００６２】
ステップＳ４０５では、匿名加工システム１は、ステップＳ４０２で入力された属性設定において、加工不可属性と指定された属性について、重要度も考慮して匿名加条件の緩和を試行する。この処理の詳細フローは図７に示す。
【００６３】
ステップＳ４０６では、匿名加工システム１は、それまでに匿名加工された加工例を提示して、それが分析有用性を満たすかどうかを判断する。この分析有用性の判断処理は、その判断を人間が実施したほうが効率や精度が良い間は人間が行なえばよいが、自動化してもよい。
【００６４】
例えば、匿名加工システム１は、それまでに匿名加工された加工例を、提示部２０２を介してデータ加工機関１０３に提示して、データ加工機関１０３が入力部２０３を介して分析有用性の有無を示す情報を入力した場合に、その情報に従って分析有用性を判断してもよい。このとき、データ加工機関１０３は、必要に応じて、分析を行う当事者であるデータ分析機関１０４の意見を求めてもよい。
【００６５】
分析有用性がある場合は、ステップＳ４０７に進む。一方、分析有用性が無い場合は、匿名加工システム１は所定の終了条件が満たされるかを判定する（ステップＳ４０９）。終了条件はいかなるものであってもよいが、例えば、処理の繰り返しの回数が所定の回数を超えた場合、処理の実行時間が所定の時間を超えた場合、又は、利用者（例えばデータ加工機関）によって処理の終了の指示が入力された場合に、終了条件が満たされたと判定してもよい。終了条件が満たされた場合は（ステップＳ４０９：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合は（ステップＳ４０９：Ｎｏ）、ステップＳ４０４へ戻って、属性設定の再調整を行う。
【００６６】
ステップＳ４０７では、匿名加工システム１は、匿名性と分析有用性を両立したテーブルを匿名加工システム１から出力して、終了する。このとき、匿名加工システム１は、図１２に示す情報を提示部２０２に示してもよい。
【００６７】
図５は、本発明の実施形態における匿名加工システム１の初期入力値に基づいた匿名加工に関する主要フローの一例を示す図である。
【００６８】
ステップＳ５０１では、データ分析機関１０４の分析目的に応じて、データ加工機関１０３がテーブルを構成する属性群について、入手希望属性の選択が行われる。この処理は、匿名加工システム１の属性設定部２０６を介して行われる。例えば、匿名加工システム１は、各属性について入手必須、入手任意又は不要などを選択する。このとき、匿名加工システム１は、図８のような画面を、提示部２０２を介して提示してもよい。また、履歴検索部２１２が入力条件に合う加工履歴を記憶部２０１から読み出して提示してもよい。
【００６９】
ステップＳ５０２では、データ分析機関１０４の分析目的に応じて、入手希望属性として入手必須、入手任意に指定された各属性について、匿名加工許容度合が指定される。この指定は、データ加工機関１０３が匿名加工システム１の属性設定部２０６を介して行う。なお、この匿名加工許容度合としては、属性値のデータ型に応じて、属性値をどの程度加工してよいかの限度を指定することもできる。
【００７０】
ステップＳ５０３では、データ分析機関１０４の分析目的に応じて、入手希望属性として入手必須又は入手任意に指定された各属性間における相対的な重要度が入力される。この入力は、データ加工機関１０３が匿名加工システム１の属性設定部２０６を介して行う。ここで入力される値は、各属性間の一対比較値でもよいし、単に各属性を順位付けしたものでもよい。
【００７１】
ステップＳ５０４では、匿名加工システム１の匿名加工部２０７は、ステップ５０１から５０３に記載の属性設定部２０６を介して入力された、入手希望属性、匿名加工許容度合及び相対的重要度の設定値に基づいて、図４のステップＳ４０１にて読み出されたテーブルに対して匿名加工処理を行う。例えば、匿名加工部２０７は、属性値に対して一般化処理を行なって、そのレコードに関わる個人を特定できないようにする。
【００７２】
ステップＳ５０５では、匿名加工システム１の匿名加工部２０７が、匿名加工処理を施したテーブルについて既定の匿名性指標を満足するか判定する。例えば、ｋ−匿名性を指標として使い、ｋ＝３とする場合は、テーブルを構成する属性に関して、同一の属性値をもつレコードが３つ以上そのテーブルに存在するかどうかを判定する。ここで、もし匿名性が既に満たされている場合は（Ｓ５０５：Ｙｅｓ）、入力した条件を緩めて分析有用性を向上するために、匿名性を低下させる処理をステップＳ５０６にて行う。
【００７３】
一方、匿名性が満たされていない場合は（Ｓ５０５：Ｎｏ）、これらの入力条件で施した匿名加工済みのテーブルは匿名加工システム１の外部に出力できない状態であるため、このフローは終了して、匿名加工システム１は、匿名性を満足できる属性の加工条件を探索する。このとき、匿名加工システム１は、提示部２０２を介して図９に示す情報を提示して、匿名性判定の結果を示しても良い。
【００７４】
また、匿名加工システム１は、この匿名性判定の処理を、ステップＳ５０１乃至５０３で示す入力処理を全て完了した後に実行してもよいし、部分的に入力があった時点で都度実行してもよい。後者の場合、匿名加工システム１は、直前の入力が匿名性判定に与える影響を提示部２０２を介して提示して、属性設定の修正を促してもよい。
【００７５】
ステップＳ５０６では、匿名加工システム１は、各属性について入力された匿名加工許容度合を緩和して、直前の匿名加工処理によって作成された匿名化済みデータと比較して、残存情報を多く、かつ匿名性を満たす条件があるかどうかを探索する。もし解がある場合は、より多くの情報が残っていて分析有用性が高いと思われる匿名加工済みテーブルが、後続の前記分析有用性判断処理（Ｓ４０６）において選択候補として推薦される。
【００７６】
図６は、本発明の実施形態における匿名加工システム１の匿名加工可能な属性に関して匿名加工度合を調整して匿名加工処理を行うフローの一例を示す図である。
【００７７】
ステップＳ６０１では、匿名加工システム１は、属性設定部２０６を介して匿名加工許容度合が加工可能と指定された属性群を抽出する。
【００７８】
ステップＳ６０２では、匿名加工システム１の匿名加工部２０７は、属性設定部２０６を介して指定された各属性の重要度が下位の属性から順に匿名加工処理を施す。このとき、加工対象の属性は一つに限らず、重要度が下位の二つ以上の属性を組み合わせて、その属性値の組に対して匿名加工してもよい。ただし、計算の順序は、重要度によらなくてもよい。すなわち、必ずしも重要度が下位の属性を組み合わせたものについて優先して計算する必要はない。
【００７９】
ステップＳ６０３では、匿名加工システム１は、ステップ６０２にて匿名加工を施したテーブルに関して、匿名性を満足するか判定する。匿名性を満足する場合は（ステップＳ６０３：Ｙｅｓ）、ステップＳ６０４に進む。一方、匿名性を満足しない場合は（ステップＳ６０３：Ｎｏ）、匿名加工システム１は、所定の終了条件が満たされるかを判定する（ステップＳ６０８）。この終了条件はいかなるものであってもよいが、例えば図４のステップＳ４０９と同様のものであってもよい。
【００８０】
終了条件が満たされる場合（ステップＳ６０８：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合（ステップＳ６０８：Ｎｏ）、匿名加工対象の属性の変更又は属性の組み合わせの変更を行うためにステップＳ６０２に戻る。
【００８１】
ステップＳ６０４では、匿名加工システム１は、ステップＳ６０３にて匿名性を満足したテーブルを提示部２０２に表示する。このとき、過去の匿名性判定処理にて匿名性を満足したテーブル候補を複数表示してそれらのいずれかを選択できるようにするために、図１０のような画面を提示部２０２を介して提示してもよい。
【００８２】
ステップＳ６０５では、匿名加工システム１は、ステップＳ６０３において匿名性を満足すると判定した場合に、属性設定部２０６を介して入力した当初の匿名加工条件と異なっていることを確認させる提示を行う。例えば、当初は加工可能と指定された属性に対して、削除処理を行なわないと匿名性が満足できない場合にはこの提示を行う。
【００８３】
ステップＳ６０６では、匿名加工システム１は、ステップＳ６０４にて匿名性を満足したテーブル候補について、分析有用性があるか確認させるための表示を行う。分析有用性がある場合は（ステップＳ６０６：Ｙｅｓ）、ステップＳ６０７に進む。一方、分析有用性が無い場合は（ステップＳ６０６：Ｎｏ）、匿名加工システム１は、所定の終了条件が満たされるかを判定する（ステップＳ６０９）。この終了条件はいかなるものであってもよいが、例えば図４のステップＳ４０９と同様のものであってもよい。
【００８４】
終了条件が満たされる場合（ステップＳ６０９：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合（ステップＳ６０９：Ｎｏ）、匿名加工システム１は、ステップＳ６０２へ戻って、匿名加工処理を再試行する。ステップＳ６０６での分析有用性の判定は、例えば図４のステップ４０６と同様に行うことができる。
【００８５】
ステップＳ６０７では、匿名加工システム１は、分析有用性があると確認された後に、最終的な匿名加工条件の変更について入力部２０３を介して利用者に承諾させ、このフローを終了する。このとき、匿名加工システム１は、図１１のような画面を提示部２０２を介して提示してもよい。また、このとき、匿名加工システム１は、提示された匿名加工条件を記憶部２０１に記憶してもよい。これにより、後で履歴検索部２１２がキーワード又は属性を用いて検索することができる。
【００８６】
図７は、本発明の実施形態における匿名加工システム１の匿名加工不可な属性に関して匿名加工度合を調整して匿名加工処理を行うフローの一例を示す図である。
【００８７】
ステップＳ７０１では、匿名加工システム１は、属性設定部２０６を介して匿名加工許容度合が加工不可と指定された属性群を抽出する。
【００８８】
ステップＳ７０２では、匿名加工システム１は、属性設定部２０６を介して指定された各属性の重要度が下位の属性から順に加工不可を加工可能に変更し、匿名加工処理を試行する。このとき、加工対象の属性を一つに限らないのは、Ｓ６０２と同様である。
【００８９】
ステップＳ７０３では、匿名加工システム１は、ステップ７０２にて匿名加工を施したテーブルに関して、匿名性を満足するか判定する。匿名性を満足する場合は（ステップＳ７０３：Ｙｅｓ）、ステップＳ７０４に進む。一方、匿名性を満足しない場合は（ステップＳ７０３：Ｎｏ）、匿名加工システム１は、所定の終了条件が満たされるかを判定する（ステップＳ７０８）。この終了条件はいかなるものであってもよいが、例えば図４のステップＳ４０９と同様のものであってもよい。
【００９０】
終了条件が満たされる場合（ステップＳ７０８：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合（ステップＳ７０８：Ｎｏ）、匿名加工対象の属性の変更又は属性の組み合わせの変更を行うためにステップＳ７０２に戻る。
【００９１】
ステップＳ７０４では、匿名加工システム１は、ステップＳ７０３にて匿名性を満足したテーブルを提示部２０２に表示する。このとき、過去の匿名性判定処理にて匿名性を満足したテーブル候補を複数表示してそれらのいずれかを選択できるようにするために、図１０に示すような画面を提示してもよい。
【００９２】
ステップＳ７０５では、匿名加工システム１は、ステップＳ７０３において匿名性を満足すると判定した場合に、テーブル候補選択部２１１が属性設定部２０６を介して入力した当初の匿名加工条件と異なっていることを確認させる提示を提示部２０２を介して行う。例えば、当初は加工不可と指定された属性に対して、一般化による匿名加工処理を行なわないと匿名性が満足できない場合には、その旨の提示を行う。
【００９３】
ステップＳ７０６では、匿名加工システム１は、ステップＳ７０４にて匿名性を満足したテーブル候補について、分析有用性があるか確認させるための表示を提示部２０２を介して行う。分析有用性がある場合は（ステップＳ７０６：Ｙｅｓ）、ステップＳ６０７に進む。一方、分析有用性が無い場合は（ステップＳ７０６：Ｎｏ）、匿名加工システム１は、所定の終了条件が満たされるかを判定する（ステップＳ７０９）。この終了条件はいかなるものであってもよいが、例えば図４のステップＳ４０９と同様のものであってもよい。
【００９４】
終了条件が満たされる場合（ステップＳ７０９：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合（ステップＳ７０９：Ｎｏ）、匿名加工システム１は、Ｓ７０２へ戻って、匿名加工処理を再試行する。ステップＳ７０６での分析有用性の判定は、例えば図４のステップ４０６と同様に行うことができる。
【００９５】
ステップＳ７０７では、匿名加工システム１は、分析有用性があると確認された後に、最終的な匿名加工条件の変更について承諾を推薦する画面を表示させ、入力部２０３を介して利用者の承諾を得た後、このフローを終了する。このとき、匿名加工システム１は、図１１のような画面を提示部２０２に示してもよい。また、このとき、匿名加工システム１は、提示された匿名加工条件を記憶部２０１に記憶してもよい。これにより、後で履歴検索部２１２がキーワード又は属性を用いて検索することができる。
【００９６】
図８は、本発明の実施形態における匿名加工システム１の属性設定画面の一例を示す図である。
【００９７】
図中の太枠の内部の項目に関して、属性設定部２０６を介して値が入力される。
【００９８】
具体的には、データ読出部２０５が記憶部２０１から読み出したテーブルを構成する各属性に関して、属性設定部２０６を介して入手希望属性、匿名加工許容レベル及び重要度が設定される。
【００９９】
入手希望属性としては、対象の属性ごとに、例えば、その属性の値が「必須」「任意」又は「不要」のいずれであるかが設定される。「任意」は、その属性の値があってもなくてもよいことを示す。これらは、例えば、分析の目的に応じて、その分析における属性値の必要性の高さに基づいて設定されてもよい。
【０１００】
匿名加工許容レベルとしては、対象の属性ごとに、例えば、「加工ＯＫ」及び「加工ＮＧ」のいずれかが設定される。「加工ＯＫ」は、匿名化のための加工が許容されることを、「加工ＮＧ」は匿名化のための加工が許容されないことを示す。また、「加工ＯＫ」の場合に、許容される加工の程度が設定されてもよい。これは、例えば、分析の目的に応じて属性値に求められる精度に基づいて設定されてもよい。
【０１０１】
重要度は、属性の項目ごとの属性値の重要度であり、例えば、分析の目的に応じて設定されてもよい。図８の例では、重要度の値「１」が最も高い重要度を、「７」が最も低い重要度を示す。図８の例では、重要度は各属性の重要度の順位という形で設定されるが、このような形式の設定は一例であり、項目間の相対的な重要度が分かるように設定されていればよい。また、複数の属性に同一の重要度が設定されてもよい。そのような設定は、それらの属性の相対的な重要度が同程度であることを示す。
【０１０２】
例えば、図８の例では、年齢属性の入手希望属性の設定値が必須であり、匿名加工許容レベル設定値が加工不可（加工ＮＧ）を指定している。これは分析要望の詳細化の結果、年齢属性が分析に重要な属性であり、属性値の精度も必要であったことを示している。疾病名コード属性及び投薬名称属性も同様である。
【０１０３】
次に、性別属性については、入手希望属性は不要と指定しており、分析に不要であることを示している。投薬期間属性については、入手は必須であるものの、加工可能（加工ＯＫ）となっている。これは、属性値の精度はそれほど重要ではないが、この属性値が存在することが重要であることを示している。
【０１０４】
身長属性については、入手できるなら属性値の匿名加工は不可であり、匿名加工されてしまうならば、その属性値は不要である、という設定例を示している。
【０１０５】
体重属性については、属性値を入手してもしなくてもよく、入手できた場合には匿名加工は可能である、という設定例を示している。
【０１０６】
また、図８の例は、疾病名コード属性の重要度が最も高く、次いで、投薬名称属性、年齢属性、投薬期間属性、身長属性、体重属性の順に重要度が高く、性別属性の重要度が最も低いことを示す。
【０１０７】
なお、図８に挙げた属性の他にも多数の属性がある場合が想定されるが、全ての属性のデフォルト値として入手不要と設定しておき、入手必須又は入手任意とする属性のみを選択して入力できるようにすれば、入力の手間を省くことができる。
【０１０８】
図９は、本発明の実施形態における匿名加工システム１の属性設定値に基づいた匿名加工の結果を表示する画面の一例を示す図である。
【０１０９】
図中の太枠の内部の項目は、初期入力値（すなわち最初に設定された入手希望属性及び匿名加工許容レベル）に従って行われた各属性の加工の内容とその結果として得られた匿名性の程度を示すものであり、匿名加工システム１の提示部２０２によって表示される。
【０１１０】
具体的には、図９の例では、年齢属性、身長属性、疾病名コード属性及び投薬名称属性は、入手希望属性が必須又は任意のいずれかであり、匿名加工許容レベルが加工不可であるため、いずれも、無加工となっている。性別属性は、入手希望属性が不要であるため、削除されている。
【０１１１】
体重属性は、入手希望属性が任意であり、匿名加工許容レベルが加工可能であるため、「３０〜１００」に匿名加工されている。すなわち、３０ｋｇ〜１００ｋｇの範囲内の属性値は、いずれも、「３０ｋｇ〜１００ｋｇ」という属性値に置き換えられる。投薬期間属性は、入手希望属性が必須であり、匿名加工許容レベルが加工可能であるため、「１〜６」及び「７〜１２」に匿名加工されている。
【０１１２】
この例において匿名性の値が×であるのは、属性設定部２０６で入力した当初の加工条件に従って上記のように加工したデータでは要求される匿名性が満足できなかったことを示す。
【０１１３】
図１０は、本発明の実施形態における匿名加工システム１の匿名性を満足する匿名加工の候補を表示し、匿名加工許容レベルを変更すべき属性を推薦する画面の一例を示す図である。
【０１１４】
提示部２０２には、匿名性を満足した加工例が複数提示される。図１０では、加工例１〜６の合計６つが候補として挙げられている。これらの候補は、属性設定部２０６において指定された匿名加工許容レベル設定値が加工ＮＧであった属性の加工を許容する、又は、入手希望が必須である属性を削除するなど、条件を緩和した匿名加工処理を施した結果、匿名性を満足できた加工例である。また、加工ＯＫと指定された属性に関して、削除可と条件を緩和した匿名加工を施した結果、匿名性を満足できた加工例も示すことができる。
【０１１５】
例えば、加工例１では、入手希望が必須、匿名加工許容レベルが加工ＮＧと設定されていた年齢属性が削除されている。これは、年齢属性の入手希望が任意又は不要に変更されたことに相当する。
【０１１６】
加工例２では、年齢属性が匿名加工されている。これは、年齢属性の匿名加工許容レベルが加工ＯＫに変更されたことに相当する。さらに、加工例２では、投薬期間属性が匿名加工されているが、その加工は、初期入力値による加工より匿名性が高く、情報の欠落が多い加工となっている。
【０１１７】
加工例３では、入手希望が必須、匿名加工許容レベルが加工ＯＫと設定されていた投薬期間属性が削除されている。これは、投薬期間属性の入手希望が任意又は不要に変更されたことに相当する。さらに、加工例３では、年齢属性が匿名加工されているが、その加工は、加工例２における加工より匿名性が低く、情報の欠落が少ない加工となっている。
【０１１８】
加工例４では、入手希望が任意、匿名加工許容レベルが加工ＮＧと設定されていた身長属性が削除されている。匿名加工許容レベルが加工ＮＧであっても、入手希望が任意であるため、この例では身長属性が削除の対象となっている。
【０１１９】
加工例５では、身長属性が匿名加工されている。これは、身長属性の匿名加工許容レベルが加工ＯＫに変更されたことに相当する。
【０１２０】
加工例６では、入手希望が任意、匿名加工許容レベルが加工ＯＫと設定されていた体重属性が削除されている。また、加工例６では投薬期間属性が匿名加工されているが、その加工は、初期入力値による加工より匿名性が低く、情報の欠落が少ない加工となっている。
【０１２１】
このように複数の加工例を表示するユーザインターフェース（ＵＩ）は、どの条件をどのように変更したかを示す情報を表示してもよい。例えば加工例１については、入手希望が必須、匿名加工許容レベルが加工ＮＧ（Ｎ）と設定されていた年齢属性が削除（Ｄ）されたことを示す「必須Ｎ→Ｄ」が表示されてもよい。同様に、例えば加工例５については、入手希望が任意、匿名加工許容レベルが加工ＮＧ（Ｎ）と設定されていた年齢属性が加工ＯＫ（Ｋ）に変更され、加工されたことを示す「必須Ｎ→Ｋ」が表示されてもよい。
【０１２２】
なお、匿名加工システム１は、重要度が所定の値より低い属性について匿名加工許容レベル等の設定を変更した場合の匿名性が匿名性指標を満たす場合に、その変更を含む加工例を生成してもよい。それによって匿名性が匿名性指標を満たす加工例を生成できない場合には、より重要度が高い属性について設定を変更して、加工例を生成してもよい。あるいは、種々の重要度の属性の設定を変更した複数の加工例を生成して、より重要性が低い属性の設定を変更した加工例を上位の加工例として表示し、より重要性が高い属性の設定を変更した加工例を介の加工例として表示してもよい。
【０１２３】
このように、加工例として、加工する属性及び加工の程度を変更することで複数の候補が算出される。複数の加工例を提示することによって、データ加工機関１０３又はデータ分析機関１０４がそれぞれの候補を他の候補と比べながら分析有用性があるかどうかを判断する過程を支援する。
【０１２４】
図１０には、データ加工機関１０３が匿名加工例２に分析有用性があると判定して、入力部２０３を介して加工例２を選択した場合の表示例を示している。この選択は、例えば、匿名性の列にあるチェック欄を有効化することで行われる。その結果、図１０では、匿名加工例２の行が太枠で表示されている。さらに、属性値の加工サンプルとその加工サンプルを実現するために匿名加工許容レベルを変更すべき属性が示される。例えば加工例２が選択された場合、年齢属性と投薬期間属性の匿名加工許容レベルが変更されているため、それらが太枠で表示されている。
【０１２５】
例えば、年齢属性については、当初は加工不可と指定されていたが、加工例２では、年齢属性を加工可能属性に変更して、１０〜５０才、５０〜１００才の２分類になる加工を許容できれば、匿名性を満足できることが提示部２０２を介して示される。また、投薬期間属性については当初から加工可能と指定されていたが、初期値による匿名加工による属性値は１〜６、７〜１２の２分類であった。一方、加工例２を選択した場合は属性値が１〜１２の１分類となり、匿名性が向上した代わりに情報量が欠落したことを示す。ただし、この情報欠落の通知は必須ではない。
【０１２６】
図１１は、本発明の実施形態における匿名加工システム１の匿名加工レベルの変更を承諾する画面の一例である。
【０１２７】
図中の太枠は、年齢属性に関して当初の匿名加工許容レベルの設定値と、匿名性を満足するために変更すべき匿名加工許容レベルの推奨設定値の両方を提示し、前者に対する後者の変更点を明示したものである。画面下部にはさらに承諾を確認する表示を含む承諾ボタン１１０１が表示される。データ加工機関１０３が上記の変更を承諾した場合にはこの承諾ボタン１１０１を操作する。ただし、このような画面の表示は必須ではなく、図１０に示したユーザインターフェースにて匿名加工例２を選択した時点で変更を承諾したものとして処理を進めても良い。
【０１２８】
なお、投与期間属性に関しては、匿名加工許容レベルの設定値の変更は不要であるが、当初の匿名加工条件に基づいた加工結果と比べて、情報が欠落した属性であることが示されている。ただし、この情報欠落の通知は必須ではない。
【０１２９】
図１２は、本発明の実施形態における匿名加工システム１の匿名加工済みデータの出力画面の一例である。
【０１３０】
図中の太枠は、匿名加工例２を選択し、推奨設定を選択して匿名加工条件の変更を承諾した場合に出力されるデータの具体例である。例えば、年齢属性に関しては、属性値として１０〜５０及び５０〜１００の２分類があり、このテーブルにそれぞれ３レコード以上存在し、既定の匿名性を満足している。
【０１３１】
本実施形態により、匿名性と分析有用性とを両立した匿名加工を実現し、匿名加工済みのデータ出力の手戻りを削減することができる。
【０１３２】
以上に説明した本発明の態様の代表的な例をまとめると次の通りとなる。すなわち、制御部（例えば制御部２００）と、制御部に接続される記憶部（例えば記憶部２０１）と、制御部に接続される提示部（例えば提示部２０２）と、を有する匿名加工システム（例えば匿名加工システム１）であって、記憶部は、属性の項目ごとに、重要度を示す情報（例えば図８に示した重要度）及び属性値に許容される匿名加工の程度を示す情報（例えば図８等に示した匿名加工許容レベル）を保持し、制御部は、重要度を示す情報及び許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算し（例えばステップＳ４０２及びＳ４０３）、計算された匿名性と、重要度と、許容される匿名加工の程度と、に基づいて、許容される匿名加工の程度を変更する属性の項目を特定し（例えばＳ４０４又はＳ４０５）、提示部を介して、特定した属性の項目を提示する（例えばステップＳ６０５又はＳ７０５）。
【０１３３】
これによって、あらかじめ指定された匿名性指標を満足するための匿名加工の対象となる属性の項目の候補を示すことができる。
【０１３４】
ここで、記憶部は、要求される匿名性を示す情報（例えばステップＳ４０３、Ｓ５０５、Ｓ６０３及びＳ７０３における判定基準となる匿名性指標）をさらに保持してもよく、制御部は、計算された匿名性が、要求される匿名性を満たさない場合に、許容される匿名加工の程度を変更する属性の項目を特定してもよい。
【０１３５】
これによって、初期に設定された条件では匿名性が満たされない場合に、加工の対象となる属性の項目の候補を示すことができる。
【０１３６】
また、制御部は、特定された属性の項目及び変更後の許容される匿名加工の程度の少なくとも一つが互いに異なり、かつ、変更後に計算された匿名性が要求される匿名性を満たす、複数の変更例（例えば図１０に示す加工例１〜６）を生成し、提示部を介して、複数の変更例を提示してもよい。
【０１３７】
これによって、匿名加工されたデータの利用者（例えばデータ分析機関）が受け入れやすい匿名加工の案を提示できる可能性が高まる。
【０１３８】
また、制御部は、複数の変更例の一つが選択された場合、匿名加工の対象のデータに対して、選択された変更例によって特定された属性の項目に、選択された変更例の許容される加工の程度に基づく匿名加工を行い、匿名加工されたデータを出力（例えばステップＳ４０７）してもよい。
【０１３９】
これによって、匿名性と分析有用性を両立する匿名加工を実現し、匿名加工済みのデータ出力の手戻りを削減することができる。
【０１４０】
また、記憶部は、要求される匿名性を示す情報をさらに保持してもよく、制御部は、許容される匿名加工の程度の変更を指示する情報が入力されると、入力された情報に従って匿名加工が実行された後のデータの匿名性を計算し、計算された匿名性が、要求される匿名性を満たさない場合に、許容される匿名加工の程度を変更する属性の項目を特定してもよい。
【０１４１】
例えば、データ加工機関１０３は、図９に示すユーザインターフェースを参照して、少なくとも一つの属性の匿名加工許容レベル等を変更する指示を、入力部２０３を介して匿名加工システム１に入力してもよい。匿名加工システム１は、入力された変更を反映させた匿名加工の結果、匿名性指標が満たされない場合に、変更例を生成して、その結果を例えば図１０の加工例と同様の形式で表示してもよい。
【０１４２】
これによって、データ加工機関１０３による条件の変更の試行が容易になり、データの利用者が受け入れやすい匿名加工データを取得するための利便性が向上する。
【０１４３】
また、制御部は、特定された属性の項目及び変更後の許容される匿名加工の程度の少なくとも一つからなる変更案と、変更案に基づく匿名加工後のデータの匿名性と、を関連付けて、加工履歴として記憶部に格納してもよい。
【０１４４】
そして、制御部は、匿名加工に関するキーワード又は属性が検索条件として入力されると、記憶部から検索条件に適合する加工履歴を検索して（例えば履歴検索部２１２の処理）、提示部を介して提示してもよい。
【０１４５】
これによって、過去に設定された条件が記録され、それに基づいて新たな条件を設定して匿名加工を試行するなどが容易になり、利便性が向上する。
【０１４６】
また、記憶部は、要求される匿名性を示す情報をさらに保持してもよく、重要度を示す情報は、属性の項目間の相対的な重要度を示す情報であってもよく、制御部は、重要度が低い属性の項目を、許容される匿名加工の程度を変更する属性の項目として特定し、特定された属性の項目の属性値について、変更後の許容される匿名加工の程度に基づく匿名加工を行った場合の匿名性が要求される匿名性を満たさない場合、重要度が高い属性の項目を、許容される匿名加工の程度を変更する属性の項目として特定してもよい。
【０１４７】
これによって、あらかじめデータの利用者によって設定された重要度が低い属性が優先的に匿名加工の対象として特定されるため、データの利用者に受け入れられやすい匿名加工の例を優先的に生成して提示することができる。
【０１４８】
また、許容される匿名加工の程度を示す情報は、属性値の匿名加工が許容されるかを示す情報であってもよく、制御部は、特定した属性の項目の許容される匿名加工の程度を示す情報を、属性値の匿名加工が許容されないことを示す情報（例えば加工ＮＧ）から、属性値の匿名加工が許容されることを示す情報（例えば加工ＯＫ）に変更し、変更後の許容される匿名加工の程度に基づく匿名加工を行った場合の匿名性が要求される匿名性を満たす場合、当該許容される匿名加工の程度の変更を示す情報を含む変更例を生成し、提示部を介して変更例を提示してもよい。
【０１４９】
これによって、匿名加工の条件が緩和され、匿名性指標を満たす匿名加工の例が生成されやすくなる。
【０１５０】
また、記憶部は、要求される匿名性を示す情報をさらに保持してもよく、許容される匿名加工の程度を示す情報は、属性値の匿名加工が許容されるかを示す情報であってもよく、制御部は、許容される匿名加工の程度を示す情報に基づいて、匿名加工が許容される属性値の匿名加工をした場合の匿名性を計算し、計算された匿名性が要求される匿名性を満たさない場合に、匿名加工が許容される属性値について、さらに匿名性を高めるための匿名加工をした場合の匿名性を計算し、さらに匿名性を高めるための匿名加工をした後に計算された匿名性が要求される匿名性を満たさない場合に、許容される匿名加工の程度を示す情報に基づいて、匿名加工が許容されない属性値の匿名加工をした場合の匿名性を計算してもよい。
【０１５１】
これは、例えば、匿名加工システム１が図４のステップＳ４０４を実行し、それによって匿名性指標が満たされる匿名加工ができない場合に（ステップＳ４０８：Ｎｏ）、ステップＳ４０５を実行することに相当する。
【０１５２】
これによって、データの利用者に受け入れられやすい匿名加工が先に試行され、それでも匿名性指標が満たされない場合に、より匿名性を高めるための匿名加工が試行される。
【０１５３】
また、記憶部は、属性の項目ごとに、属性値の要否を示す情報（例えば図８に示す入手希望設定）を保持してもよく、制御部は、特定した属性の項目の属性値の要否を示す情報を、属性値が必要であることを示す情報（例えば「必須」）から属性値が必要でないことを示す情報（例えば「不要」）に変更し、変更後の属性値の要否に基づく匿名加工を行った場合の匿名性が要求される匿名性を満たす場合、当該属性値の要否の変更を示す情報を含む変更例を生成し、提示部を介して変更例を提示してもよい。
【０１５４】
これによって、匿名加工の条件が緩和され、匿名性指標を満たす匿名加工の例が生成されやすくなる。
【０１５５】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明のより良い理解のために詳細に説明したのであり、必ずしも説明の全ての構成を備えるものに限定されるものではない。
【０１５６】
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によってハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによってソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤ等の計算機読み取り可能な非一時的データ記憶媒体に格納することができる。
【０１５７】
また、制御線及び情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線及び情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【０１５８】
１：匿名加工システム
１０１：データ提供機関
１０２：データ保管機関
１０３：データ加工機関
１０４：データ分析機関
２００：制御部
２０１：記憶部
２０２：提示部
２０３：入力部
２０４：データ出力部
２０５：データ読出部
２０６：属性設定部
２０７：匿名加工部
２０８：匿名性算出部
２０９：属性特定部
２１０：テーブル候補生成部
２１１：テーブル候補選択部
２１２：履歴検索部
【図１】
2020181487.tif 000003
【図２】
2020181487.tif 000004
【図３】
2020181487.tif 000005
【図４】
2020181487.tif 000006
【図５】
2020181487.tif 000007
【図６】
2020181487.tif 000008
【図７】
2020181487.tif 000009
【図８】
2020181487.tif 000010
【図９】
2020181487.tif 000011
【図１０】
2020181487.tif 000012
【図１１】
2020181487.tif 000013
【図１２】
2020181487.tif 000014