(57)【要約】【課題】個体情報に含まれる属性情報が多くても、情報の精度を損ねない。【解決手段】所持装置１は、少なくとも１個の個体に関する複数の属性情報を含む個体情報を記憶している。所持装置１は、個体情報を前記属性情報単位で分割して分割情報を生成する。所持装置１は、分割情報を匿名化装置３へ分配する。利用者装置５は、所望の属性情報を匿名化した匿名化情報を匿名化装置３へ要求する。匿名化装置３は、利用者装置５からの要求に応じて分割情報を匿名化して匿名化分割情報を生成する。匿名化装置３は、匿名化分割情報を利用者装置５へ出力する。利用者装置５は、匿名化分割情報を統合して匿名化情報を生成する。【選択図】図１
2014191431.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１個の所持装置と複数の匿名化装置と少なくとも１個の利用者装置とを含む匿名化システムであって、
前記所持装置は、
少なくとも１個の個体に関する複数の属性情報を含む個体情報を記憶する記憶部と、
前記個体情報を前記属性情報単位で分割して分割情報を生成する分割部と、
前記分割情報を前記匿名化装置へ分配する分配部と、
を含み、
前記匿名化装置は、
前記利用者装置からの要求に応じて前記分割情報を匿名化して匿名化分割情報を生成する匿名化部と、
前記匿名化分割情報を前記利用者装置へ出力する応答部と、
を含み、
前記利用者装置は、
所望の前記属性情報を匿名化した匿名化情報を前記匿名化装置へ要求する要求部と、
前記匿名化分割情報を統合して前記匿名化情報を生成する統合部と、
を含む匿名化システム。
【請求項２】
請求項１に記載の匿名化システムであって、
前記匿名化装置は、
前記利用者装置からの要求がある度に全ての前記匿名化装置で共通の置換を決定し前記匿名化分割情報の並べ替えを行う置換部を含む
ことを特徴とする匿名化システム。
【請求項３】
少なくとも１個の個体に関する複数の属性情報を含む個体情報を記憶する記憶部と、
前記個体情報を前記属性情報単位で分割して分割情報を生成する分割部と、
前記分割情報を複数の匿名化装置へ分配する分配部と、
を含む所持装置。
【請求項４】
利用者装置からの要求に応じて、少なくとも１個の個体に関する複数の属性情報を含む個体情報を前記属性情報単位で分割した分割情報を匿名化して匿名化分割情報を生成する匿名化部と、
前記匿名化分割情報を前記利用者装置へ出力する応答部と、
を含む匿名化装置。
【請求項５】
所望の属性情報を匿名化した匿名化情報を匿名化装置へ要求する要求部と、
少なくとも１個の個体に関する複数の属性情報を含む個体情報を前記属性情報単位で分割した分割情報を匿名化した匿名化分割情報を統合して前記匿名化情報を生成する統合部と、
を含む利用者装置。
【請求項６】
所持装置が、少なくとも１個の個体に関する複数の属性情報を含む個体情報を前記属性情報単位で分割して分割情報を生成する分割ステップと、
前記所持装置が、前記分割情報を複数の匿名化装置へ分配する分配ステップと、
利用者装置が、所望の前記属性情報を匿名化した匿名化情報を前記匿名化装置へ要求する要求ステップと、
前記匿名化装置が、前記利用者装置からの要求に応じて前記分割情報を匿名化して匿名化分割情報を生成する匿名化ステップと、
前記匿名化装置が、前記匿名化分割情報を前記利用者装置へ出力する応答ステップと、
前記利用者装置が、前記匿名化分割情報を統合して前記匿名化情報を生成する統合ステップと、
を含む匿名化方法。
【請求項７】
請求項３に記載の所持装置もしくは請求項４に記載の匿名化装置もしくは請求項５に記載の利用者装置としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、情報分析の分野においてプライバシー保護の観点から情報と個体との対応関係を秘匿する匿名化技術に関し、特に、情報に含まれる属性情報が多くても匿名化の精度を損ねない匿名化技術に関する。
【背景技術】
【０００２】
近年、情報の電子化とインターネットの普及により、多種多様な個体情報を蓄積した大規模なデータベースの構築が行われている。これらの個人や団体等の個体に関する情報を分析等に利用する際に、プライバシー保護の観点から、それらの情報の利用主体に対して情報と個体との対応関係を秘匿するために匿名化処理がしばしば用いられる。
【０００３】
匿名化処理とはより具体的には以下のような情報処理である。M,Nを整数として、M個の個体Ei（i=1,…,M）に関するN個の属性情報vi,j（j=1,…,N）を所持主体Xが所持しており、この属性情報vi,jを利用主体Zが利用する場面を考える。所持主体Xは、個体情報Vi=(vi,1,…,vi,N)が個体Eiに関する情報であることを秘匿するために、個体情報Viの少なくとも一部の属性情報vi,jを加工（変換、置換、削除等）して匿名化情報V’iを生成する。所持主体Xは個体情報Viの匿名化情報V’iを利用主体Zに提供する。なお、匿名化には程度があり、個体Eiと匿名化情報V’iとの対応関係の秘匿が無条件に保証されるものではない。
【０００４】
匿名化の例として、k-匿名化（非特許文献１）やPk-匿名化（非特許文献２）が知られている。k-匿名化は、個体Eiに関する情報が個体情報V1,…,VMのどれかk個未満に絞り込めないように個体情報V1,…,VMを匿名化する手法であり、データの削除や一般化（例えば、「年齢」を「年代」に変換するなど）を行う。Pk-匿名化は、個体Eiに関する情報が個体情報V1,…,VMのどれであるかを1/k以上の確率で推定できないように個体情報V1,…,VMを匿名化する手法であり、データを確率的に別のデータに変換して個体Eiと個体情報V’iとの対応関係を撹乱する。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】L.Sweeney, “k-anonymity: a model for protecting privacy” International Journal on Uncertainty, Fuzziness and Knowledge-based systems, 10(5), pp.557-570, 2002.
【非特許文献２】五十嵐，千田，高橋，“数値属性における, k-匿名性を満たすランダム化手法”, コンピュータセキュリティシンポジウム2011論文集, 2011(3), pp.450-455, 2011.
【発明の概要】
【発明が解決しようとする課題】
【０００６】
匿名化情報は元の個体情報と比べ情報の精度が落ちる場合がある。k-匿名化では、例えば年齢が年代に一般化されれば年齢ごとの分析が行えなくなる。Pk-匿名化では、例えば年齢が確率的に別のデータに変換されれば年齢を用いた分析結果に誤差が生じることになる。特に、k-匿名化やPk-匿名化では、個体情報に含まれる属性情報が増えるほど（すなわちNが大きくなるほど）、匿名化情報からその情報に紐づく個体が一意に特定されやすくなるため、データの加工の度合いを高める必要がある。その結果、情報の精度は低下し、詳細な情報の分析が困難になる。
【０００７】
この発明の目的は、個体情報に含まれる属性情報が多くても、情報の精度をなるべく損ねない匿名化情報を求めることができる匿名化技術を提供することである。
【課題を解決するための手段】
【０００８】
上記の課題を解決するために、この発明の匿名化システムは、少なくとも１個の所持装置と複数の匿名化装置と少なくとも１個の利用者装置とを含む。所持装置は、少なくとも１個の個体に関する複数の属性情報を含む個体情報を記憶する記憶部と、個体情報を属性情報単位で分割して分割情報を生成する分割部と、分割情報を匿名化装置へ分配する分配部とを含む。匿名化装置は、利用者装置からの要求に応じて分割情報を匿名化して匿名化分割情報を生成する匿名化部と、匿名化分割情報を利用者装置へ出力する応答部とを含む。利用者装置は、所望の属性情報を匿名化した匿名化情報を匿名化装置へ要求する要求部と、匿名化分割情報を統合して匿名化情報を生成する統合部とを含む。
【発明の効果】
【０００９】
この発明の匿名化システムは、複数の匿名化装置に属性情報単位で分割して匿名化処理を行う。すなわち、個体情報全体としての属性情報が多くても、各匿名化装置が実行する匿名化処理では属性情報の数を抑えることができる。これにより、匿名化の強度を低くすることができ情報の精度を高くすることが可能となる。
【００１０】
したがって、この発明によれば、個体情報に含まれる属性情報が多くても、情報の精度をなるべく損ねない匿名化情報を求めることができる。
【図面の簡単な説明】
【００１１】
【図１】第一実施形態の匿名化システムの機能構成を例示する図。
【図２】所持装置の機能構成を例示する図。
【図３】第一実施形態の匿名化装置の機能構成を例示する図。
【図４】利用者装置の機能構成を例示する図。
【図５】第一実施形態の匿名化システムの処理フローを例示する図。
【図６】第二実施形態の匿名化システムの機能構成を例示する図。
【図７】第二実施形態の匿名化装置の機能構成を例示する図。
【図８】第二実施形態の匿名化システムの処理フローを例示する図。
【図９】変形例の匿名化システムの機能構成を例示する図。
【発明を実施するための形態】
【００１２】
以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
【００１３】
［第一実施形態］
この発明の第一実施形態に係る匿名化システムは、個体情報を属性単位に複数に分割し、複数の匿名化装置に分散して匿名化処理を実行する。このような構成とすることで１個の匿名化装置で匿名化処理を実行する従来の匿名化システムよりも情報の精度が高くなることが期待できる。また、各匿名化主体に開示する情報が少なくて済むため、例えば匿名化処理を組織外の主体に委託する場合などにセキュリティを向上することができる。
【００１４】
＜構成＞
図１を参照して、第一実施形態の匿名化システム１０の機能構成例を説明する。匿名化システム１０は所持装置１とN（≧2）個の匿名化装置３1,…,３Nと少なくとも１個の利用者装置５を含む。所持装置１と匿名化装置３1,…,３Nと利用者装置５はネットワーク９に接続される。ネットワーク９は、所持装置１と匿名化装置３1,…,３Nそれぞれと利用者装置５とが相互に通信可能なように構成されていればよく、例えばインターネットやＬＡＮ、ＷＡＮなどで構成することができる。また、所持装置１と匿名化装置３1,…,３Nそれぞれと利用者装置５とは必ずしもネットワークを介してオンラインで通信可能である必要はない。例えば、所持装置１が出力する情報をＵＳＢメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体からいずれかの匿名化装置３1,…,３Nへオフラインで入力するように構成してもよい。その他の装置間でのデータの入出力も同様であるので、具体的な説明は省略する。
【００１５】
図２を参照して、匿名化システム１０に含まれる所持装置１の構成例を説明する。所持装置１は、記憶部１１と分割部１２と分配部１３と制御部１０１とメモリ１０２を含む。所持装置１は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。所持装置１は制御部１０１の制御のもとで各処理を実行する。所持装置１に入力されたデータや各処理で得られたデータはメモリ１０２に格納され、メモリ１０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。記憶部１１は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。
【００１６】
図３を参照して、匿名化システム１０に含まれる匿名化装置３n（1≦n≦N）の構成例を説明する。匿名化装置３nは、入力部３１と記憶部３２と匿名化部３３と応答部３５と制御部３０１とメモリ３０２を含む。匿名化装置３nは、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。匿名化装置３nは制御部３０１の制御のもとで各処理を実行する。匿名化装置３nに入力されたデータや各処理で得られたデータはメモリ３０２に格納され、メモリ３０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。記憶部３２は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。
【００１７】
図４を参照して、匿名化システム１０に含まれる利用者装置５の構成例を説明する。利用者装置５は、要求部５１と取得部５２と統合部５３と制御部５０１とメモリ５０２を含む。利用者装置５は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。利用者装置５は制御部５０１の制御のもとで各処理を実行する。利用者装置５に入力されたデータや各処理で得られたデータはメモリ５０２に格納され、メモリ５０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。
【００１８】
＜処理＞
図５を参照して、匿名化システム１０の実行する匿名化処理の動作例を、実際に行われる手続きの順に従って説明する。
【００１９】
所持装置１に含まれる記憶部１１には、M（≧1）個の個体Ei（i=1,…,M）に関するL（≧2）個の属性情報vi,j（i=1,…,M、j=1,…,L）を含む個体情報Vi（i=1,…,M）が予め記憶されている（ステップＳ１１）。
【００２０】
所持装置１に含まれる分割部１２は、記憶部１１に記憶されている個体情報Vi（i=1,…,M）を属性単位で分割してN個の分割情報νi,1,…,νi,Nを生成する（ステップＳ１２）。生成した分割情報νi,1,…,νi,Nは分配部１３へ入力される。分割情報νi,n（n=1,…,N）に含まれる属性情報vi,jの数は、各属性情報vi,jが取り得る値を考慮して適宜設計すればよい。例えば、個体情報Viに含まれる属性情報vi,jの数Lと匿名化装置３nの個数Nが等しい場合であれば、各分割情報νi,nには１つの属性情報vi,jが含まれるようにして、N（=L）個の分割情報νi,1,…,νi,Nを生成すればよい。また例えば、個体情報Viに含まれる属性情報vi,jの数Lが匿名化装置３nの個数Nの2倍となる場合、すなわちL=2Nであれば、各分割情報νi,nには２つの属性情報vi,jが含まれるようにして、N（=L/2）個の分割情報νi,1,…,νi,Nを生成すればよい。なお、分割情報νi,1,…,νi,Nそれぞれが所持する属性情報の数は等しくなくてもよい。このとき各分割情報νi,nに含まれる属性情報vi,jの組み合わせは任意の組み合わせでよいが、匿名性を向上するためには、各属性情報vi,jの取り得る値の組み合わせ数が全ての分割情報νi,1,…,νi,Nの間でできるだけ均一となることが望ましい。
【００２１】
所持装置１に含まれる分配部１３は、分割部１２により生成された分割情報νi,1,…,νi,Nを匿名化装置３1,…,３Nへ分配する（ステップＳ１３）。
【００２２】
匿名化装置３nに含まれる入力部３１へ分割情報νi,nが入力されると、匿名化装置３nは分割情報νi,nを記憶部３２へ記憶する（ステップＳ３２）。
【００２３】
利用者装置５に含まれる要求部５１は、匿名化装置３nへ所望の属性情報Vi,zを匿名化した匿名化情報V’i,zを要求する（ステップＳ５１）。利用者装置５には予めいずれの匿名化装置３nがどの属性情報vi,jを所持しているかが設定されており、所望の属性情報Vi,zに含まれる属性情報vi,jを所持している匿名化装置３nへ直接要求を出力するように構成することができる。このとき、所望の属性情報Vi,zに含まれる属性情報vi,jが複数の匿名化装置３nに分散して所持されている場合には、その複数の匿名化装置３nそれぞれに要求を出力すればよい。もしくは、利用者装置５は全ての匿名化装置３nへ要求を出力し、所望の属性情報Vi,zに含まれる属性情報vi,jを所持している匿名化装置３nのみがその要求に応答するように構成してもよい。
【００２４】
匿名化装置３nに含まれる匿名化部３３は、利用者装置５からの要求に応じて、記憶部３２に記憶されている分割情報νi,nを匿名化して匿名化分割情報ν’i,nを生成する（ステップＳ３３）。生成した匿名化分割情報ν’i,nは応答部３５へ入力される。匿名化の方法は、匿名化対象となる属性の情報の性質や利用者装置における情報分析の目的等を考慮して、任意の最適な匿名化手法を選択すればよい。匿名化のための具体的なデータ操作の手法に関しては非特許文献１や非特許文献２に詳しい。
【００２５】
匿名化装置３nに含まれる応答部３５は、匿名化部３３により生成された匿名化分割情報ν’i,nを利用者装置５へ出力する（ステップＳ３５）。
【００２６】
利用者装置５に含まれる取得部５２へ匿名化分割情報ν’i,nが入力される（ステップＳ５２）。所望の属性情報Vi,zが複数の匿名化装置３nによって所持されている場合には、それらの匿名化装置３nからの匿名化分割情報ν’i,nを全て取得するまで待機する。取得した匿名化分割情報ν’i,nは統合部５３へ入力される。
【００２７】
利用者装置５に含まれる統合部５３は、取得部５２が匿名化装置３nから受信した全ての匿名化分割情報ν’i,nを統合して匿名化情報V’i,zを生成する（ステップＳ５３）。所望の属性情報Vi,zに含まれる属性情報vi,jが１個の匿名化装置３nのみにより所持されている場合には、取得部５２が取得した１個の匿名化分割情報ν’i,nをそのまま匿名化情報V’i,zとして生成すればよい。
【００２８】
［第二実施形態］
第一実施形態の匿名化システムでは、利用者装置が複数回にわたって異なる属性情報を含む匿名化情報を取得した場合、その並び順から属性情報同士の関連を推測し匿名化情報に紐づく個体が特定されるおそれがある。この発明の第二実施形態の匿名化システムは、匿名化装置が匿名化情報を生成するたびに順番の並べ替えを行う。このように構成することで利用者装置が複数回にわたって異なる属性を含む匿名化情報を取得した場合でも、それらの匿名化情報から個体を特定することが困難となる。
【００２９】
＜構成＞
図６を参照して、第二実施形態の匿名化システム１１の機能構成例を説明する。匿名化システム１１は所持装置１とN（≧2）個の匿名化装置４1,…,４Nと少なくとも１個の利用者装置５を含む。所持装置１と匿名化装置４1,…,４Nと利用者装置５はネットワーク９に接続される。ネットワーク９は、所持装置１と匿名化装置４1,…,４Nそれぞれと利用者装置５とが相互に通信可能なように構成されていればよく、例えばインターネットやＬＡＮ、ＷＡＮなどで構成することができる。また、所持装置１と匿名化装置４1,…,４Nそれぞれと利用者装置５とは必ずしもネットワークを介してオンラインで通信可能である必要はない。例えば、所持装置１が出力する情報をＵＳＢメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体からいずれかの匿名化装置４1,…,４Nへオフラインで入力するように構成してもよい。その他の装置間でのデータの入出力も同様であるので、具体的な説明は省略する。
【００３０】
図７を参照して、匿名化システム１１に含まれる匿名化装置４n（1≦n≦N）の構成例を説明する。匿名化装置４nは、第一実施形態の匿名化装置３nと同様に、入力部３１と記憶部３２と匿名化部３３と応答部３５と制御部３０１とメモリ３０２を含む。匿名化装置４nは、さらに置換部３４を含む。匿名化装置４nは、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。匿名化装置４nは制御部３０１の制御のもとで各処理を実行する。匿名化装置４nに入力されたデータや各処理で得られたデータはメモリ３０２に格納され、メモリ３０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。記憶部３２は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。
【００３１】
すなわち、匿名化システム１１と第一実施形態の匿名化システム１０との相違点は、匿名化装置４nが置換部３４を含む点である。所持装置１と利用者装置５とネットワーク９の構成は上述の第一実施形態と同様であるので詳細な説明は省略する。
【００３２】
＜処理＞
図８を参照して、匿名化システム１１の実行する匿名化処理の動作例を、実際に行われる手続きの順に従って説明する。なお、ステップＳ３３までの処理は第一実施形態と同様であるので説明は省略する。
【００３３】
匿名化部３３により生成された匿名化分割情報ν’i,nは置換部３４へ入力される。置換部３４は、匿名化システム１１に含まれるN個の匿名化装置４1,…,４N全てで共通の置換π:{1,…,M}→{1,…,M}を決定し、匿名化部３３により生成された匿名化分割情報ν’i,nの並べ替えを行い、匿名化分割情報ν’π(i),nを生成する（ステップＳ３４）。生成した匿名化分割情報ν’π(i),nは応答部３５へ入力される。置換πは利用者装置５からの要求がある度に決定される。つまり、利用者装置５からの要求がある度に生成される匿名化分割情報ν’π(i),nの並び順は毎回異なるものとなる。
【００３４】
置換πの決定方法は様々な方法で構成することができる。例えば、匿名化装置４nは利用者装置５からの要求がある度に他の匿名化装置４1,…,４Nと連携して置換πを決定するように構成することができる。また例えば、匿名化装置４1,…,４Nは予め複数の共通する置換πが与えられており、利用者装置５からの要求がある度に予め定められた順番に従って置換πを選択するように構成してもよい。匿名化装置４1,…,４N間で共通の置換πを用いて匿名化分割情報ν’の並べ替えを行うことで、利用者装置５が匿名化分割情報ν’を統合して匿名化情報V’を生成する際に、各個体Eiに関する属性情報vi,jの組み合わせが崩れることなく順番の並べ替えがされた匿名化情報V’を得ることができる。また、置換πは利用者装置５からの要求の度に異なるものとなるため、利用者装置５が異なる属性情報vi,jを複数回に分けて取得した場合でも、取得できる匿名化分割情報ν’の並び順は一致しない。そのため、複数の匿名化分割情報ν’を組み合わせて特定の個体Eiを特定することが困難になり、匿名性を向上することができる。
【００３５】
匿名化装置４nに含まれる応答部３５は、置換部３４により並べ替えされた匿名化分割情報ν’π(i),nを利用者装置５へ出力する（ステップＳ３５）。
【００３６】
利用者装置５に含まれる取得部５２へ匿名化分割情報ν’π(i),nが入力される（ステップＳ５２）。所望の属性情報Vi,zが複数の匿名化装置４nによって所持されている場合には、それらの匿名化装置４nからの匿名化分割情報ν’π(i),nを全て受信するまで待機する。取得した匿名化分割情報ν’π(i),nは統合部５３へ入力される。
【００３７】
利用者装置５に含まれる統合部５３は、取得部５２が匿名化装置４nから受信した全ての匿名化分割情報ν’π(i),nを統合して匿名化情報V’π(i),zを生成する（ステップＳ５３）。所望の属性情報Vi,zに含まれる属性情報vi,jが１個の匿名化装置４nのみにより所持されている場合には、取得部５２が取得した１個の匿名化分割情報ν’π(i),nをそのまま匿名化情報V’π(i),zとして生成すればよい。
【００３８】
［変形例］
第一実施形態もしくは第二実施形態の変形例である匿名化システムは、所持装置を複数含み、各所持装置が一部の個体に関する個体情報のみを所持する。このように構成することですべての個体に関する個体情報を一元的に所持する装置が存在しなくなるため、匿名化システム全体としてのセキュリティを向上することができる。
【００３９】
＜構成＞
図９を参照して、変形例の匿名化システム１２の機能構成例を説明する。匿名化システム１２はK（≧2）個の所持装置１1,…,１KとN（≧2）個の匿名化装置３1,…,３Nと少なくとも１個の利用者装置５を含む。匿名化装置３1,…,３Nは第二実施形態に係る匿名化装置４1,…,４Nであってもよい。所持装置１1,…,１Kと匿名化装置３1,…,３N（もしくは匿名化装置４1,…,４N）と利用者装置５はネットワーク９に接続される。
【００４０】
すなわち、匿名化システム１２と第一実施形態の匿名化システム１０および第二実施形態の匿名化システム１１との相違点は、匿名化装置の数が複数となる点である。また、所持装置１k（1≦k≦K）と匿名化装置３n（もしくは匿名化装置４n）（1≦n≦N）と利用者装置５とネットワーク９の構成は上述の第一実施形態もしくは第二実施形態と同様であるので詳細な説明は省略する。
【００４１】
＜処理＞
以降では第一実施形態の変形例を説明する。第二実施形態の変形例では下記の匿名化装置３nが匿名化装置４nとなるのみであるので適宜読み替えられたい。
【００４２】
所持装置１kに含まれる記憶部１１には、Qk（≧1）個の個体Eq（q=1,…,Qk）に関するL（≧2）個の属性情報vq,j（q=1,…,Qk、j=1,…,L）を含む個体情報Vq（q=1,…,Qk）が予め記憶されている（ステップＳ１１）。ここで、Q1,…,QKは任意の整数であり、Q1,…,QKの総和はMとなる。すなわち、Σk=1KQk=Mである。また、各所持装置１1,…,１Kが所持する個体情報Vqには重複がないものとする。言い替えると、各所持装置１kが所持する個体情報Vqは、第一実施形態および第二実施形態の所持装置１が所持するM個の個体情報Vi（i=1,…,M）を個体情報単位にK個に分割したうちの１個である。
【００４３】
個体情報Vqに含まれる個体情報の数は任意に設計すればよい。例えば、全ての個体情報の数Mと所持装置の個数Kが等しい場合、すなわちM=Kであれば、各個体情報Vqには１個の個体情報Viのみが含まれるようになる。この場合、Q1=Q2=…=QK=1である。また例えば、全ての個体情報の数Mが所持装置の個数Kの2倍となる場合、すなわち2M=Kであれば、各個体情報Vqには２個の個体情報が含まれるようにすればよい。この場合、Q1=Q2=…=QK=2である。なお、所持装置１1,…,１Kそれぞれが所持する個体情報の数は等しくなくてもよい。
【００４４】
所持装置１kに含まれる分割部１２は、記憶部１１に記憶されている個体情報Vq（q=1,…,Qk）を属性単位で分割してN個の分割情報νq,1,…,νq,Nを生成する（ステップＳ１２）。生成した分割情報νq,1,…,νq,Nは分配部１３へ入力される。
【００４５】
所持装置１kに含まれる分配部１３は、分割部１２により生成された分割情報νq,1,…,νq,Nを匿名化装置３1,…,３Nへ分配する（ステップＳ１３）。
【００４６】
匿名化装置３nに含まれる入力部３１へK個の所持装置１1,…,１Kそれぞれで生成されたK個の分割情報νq,nが入力される。匿名化装置３nはK個の分割情報νq,nを統合して分割情報νi,nとして記憶部３２へ記憶する（ステップＳ３２）。このとき、匿名化装置３1,…,３Nの間で個体情報の並び順が等しくなるようにしなければならない。
【００４７】
以降のステップＳ５１からステップＳ５３までの処理は第一実施形態もしくは第二実施形態と同様であるので説明は省略する。
【００４８】
第一実施形態および第二実施形態では、１個の所持装置１が全ての個体E1,…,EMに関する個体情報V1,…,VMを記憶していた。変形例では、K個の所持装置１1,…,１Kが相異なる個体Eqに関する個体情報Vqのみを所持するため、全ての個体E1,…,EMに関する個体情報V1,…,VMを一元的に所持する装置が存在しなくなる。したがって、匿名化システム全体としてのセキュリティを向上することができる。
【００４９】
［変形例２］
上述の実施形態および変形例において、所持装置１が各匿名化装置３1,…,３N（もしくは匿名化装置４1,…,４N）に送信する分割情報νi,1,…,νi,Nを匿名化して送信するように構成してもよい。すなわち、所持装置１は匿名化部３３を含み、分割部１２が生成する分割情報νi,1,…,νi,Nをそれぞれ匿名化して匿名化分割情報ν’i,1,…,ν’i,Nを生成する。所持装置１に含まれる分配部１３は、その匿名化分割情報ν’i,1,…,ν’i,Nを匿名化装置３1,…,３N（もしくは匿名化装置４1,…,４N）へ分配する。
【００５０】
このような構成としても、k-匿名化やPk-匿名化などの匿名化処理で属性情報の種類の数を抑えることができるため、上述の実施形態や変形例と同様に、匿名化の強度を低くすることができ情報の精度を高くすることが可能となる。
【００５１】
［プログラム、記録媒体］
この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。
【００５２】
また、上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。
【００５３】
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
【００５４】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００５５】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
【００５６】
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【符号の説明】
【００５７】
１０，１１，１２  匿名化システム
１  所持装置
３，４  匿名化装置
５  利用者装置
９  ネットワーク
１１  記憶部
１２  分割部
１３  分配部
３１  入力部
３２  記憶部
３３  匿名化部
３４  置換部
３５  応答部
５１  要求部
５２  取得部
５３  統合部
【図１】
2014191431.tif 000003
【図２】
2014191431.tif 000004
【図３】
2014191431.tif 000005
【図４】
2014191431.tif 000006
【図５】
2014191431.tif 000007
【図６】
2014191431.tif 000008
【図７】
2014191431.tif 000009
【図８】
2014191431.tif 000010
【図９】
2014191431.tif 000011