(57)【要約】【課題】  匿名化対象データセットへのアクセス効率が悪い場合がある。【解決手段】  特定の属性の属性値とその属性値が再符号化された再符号化値とその再符号化値が更に再符号化された次再符号化値との対応を示す再符号化対応情報に基づいて、特定の属性を含むデータレコードを複数含むデータセットについて、そのデータレコードに含まれる属性値とその属性値を再符号化した再符号化値とに対応するその次再符号化値を、その読み出すデータレコードとの対応を示して出力する再符号化手段を含む。【選択図】      図１
2014219876.tif 000002
【特許請求の範囲】
【請求項１】
特定の属性の属性値と前記属性値が再符号化された再符号化値と前記再符号化値が更に再符号化された次再符号化値との対応を示す再符号化対応情報に基づいて、
前記特定の属性を含むデータレコードを複数含むデータセットについて、前記データレコードに含まれる属性値と前記属性値を再符号化した再符号化値とに対応する前記次再符号化値を、前記読み出すデータレコードとの対応を示して出力する再符号化手段を含む
情報処理装置。
【請求項２】
前記データレコードを特定するレコード識別子と前記データレコードに含まれる前記特定の属性の属性値と前記属性値が再符号化された再符号化値との組みであるカレントステートレコードを生成するカレントステート生成手段を更に含み、
前記再符号化手段は、前記再符号化対応情報に基づいて、順次読み出す前記カレントステートレコードに含まれる前記属性値及び前記再符号化値の組に対応する前記次再符号化値と、前記読み出すカレントステートレコードに含まれる前記レコード識別子との組を出力する
ことを特徴とする請求項１記載の情報処理装置。
【請求項３】
前記再符号化手段は、前記カレントステートレコードに含まれる前記再符号化値が前記カレントステートレコードに対応する前記次再符号化値で置き換えられた前記カレントステートレコードを保持する
ことを特徴とする請求項２記載の情報処理装置
【請求項４】
前記カレントステート生成手段は、前記レコード識別子と前記再符号化値と付加情報との組を含む前記カレントステートレコードを生成し、
前記再符号化手段は、前記属性値と前記再符号化値と前記次再符号化値と前記付加情報との組を含む前記再符号化対応情報に基づいて、前記順次読み出すカレントステートレコードに含まれる前記属性値、前記再符号化値及び前記付加情報の組に対応する前記次再符号化値と、前記読み出すカレントステートレコードに含まれる前記レコード識別子との組を出力する
ことを特徴とする請求項２または３記載の情報処理装置。
【請求項５】
前記次再符号化値は、前記再符号化値より具体化された値であって、
前記カレントステート生成部は、前記属性の最も一般化された値を前記再符号化値として、前記カレントステートレコードを生成する
ことを特徴とする請求項２乃至４のいずれか１項に記載の情報処理装置。
【請求項６】
前記次再符号化値は、前記再符号化値より一般化された値であって、
前記カレントステート生成部は、前記属性値を前記再符号化値として、前記カレントステートレコードを生成する
ことを特徴とする請求項２乃至４のいずれか１項に記載の情報処理装置。
【請求項７】
情報処理装置が、
特定の属性の属性値と前記属性値が再符号化された再符号化値と前記再符号化値が更に再符号化された次再符号化値との対応を示す再符号化対応情報に基づいて、
前記特定の属性を含むデータレコードを複数含むデータセットについて、前記データレコードに含まれる属性値と前記属性値を再符号化した再符号化値とに対応する前記次再符号化値を、前記読み出すデータレコードとの対応を示して出力する
再符号化方法。
【請求項８】
前記情報処理装置が、
前記データレコードを特定するレコード識別子と前記データレコードに含まれる前記特定の属性の属性値と前記属性値が再符号化された再符号化値との組みであるカレントステートレコードを生成し、
前記再符号化対応情報に基づいて、順次読み出す前記カレントステートレコードに含まれる前記属性値及び前記再符号化値の組に対応する前記次再符号化値と、前記読み出すカレントステートレコードに含まれる前記レコード識別子との組を出力する
ことを特徴とする請求項７記載の再符号化方法。
【請求項９】
特定の属性の属性値と前記属性値が再符号化された再符号化値と前記再符号化値が更に再符号化された次再符号化値との対応を示す再符号化対応情報に基づいて、
前記特定の属性を含むデータレコードを複数含むデータセットについて、前記データレコードに含まれる属性値と前記属性値を再符号化した再符号化値とに対応する前記次再符号化値を、前記読み出すデータレコードとの対応を示して出力する処理、をコンピュータに実行させる
プログラム。
【請求項１０】
前記データレコードを特定するレコード識別子と前記データレコードに含まれる前記特定の属性の属性値と前記属性値が再符号化された再符号化値との組みであるカレントステートレコードを生成する処理と、
前記再符号化対応情報に基づいて、順次読み出す前記カレントステートレコードに含まれる前記属性値及び前記再符号化値の組に対応する前記次再符号化値と、前記読み出すカレントステートレコードに含まれる前記レコード識別子との組を出力する処理と、をコンピュータに実行させる
ことを特徴とする請求項９記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、匿名化の技術に関し、特に属性を加工する再符号化の技術に関する。
【背景技術】
【０００２】
近年、購買情報や診療情報等のようなプライバシ情報が、販売サービスや診療サービスの提供者（サービス事業者）によって蓄積されている。
【０００３】
そのプライバシ情報は、複数の属性からなり、準識別子と呼ばれる属性を含む。準識別子は、生年や性別などといった、個人を特徴付けそれらの組み合わせから個人を特定する可能性を持つ属性である。
【０００４】
このようなプライバシ情報は、プライバシ侵害の懸念から積極的な二次活用がなされていない。例えば、二次活用とは、プライバシ情報を生成、蓄積しているサービス事業者が、第三者にそのプライバシ情報を提供し、その第三者が、自身の提供するサービスを強化するために、そのプライバシ情報を利用することを指す。また、二次活用とは、プライバシ情報を生成、蓄積しているサービス事業者が、第三者に対してそのプライバシ情報の分析などのアウトソーシングを依頼することなどを指す。
【０００５】
プライバシ侵害の懸念なしに二次活用ができれば、プライバシ情報を利用した研究の促進、分析・研究結果を用いたサービスの強化を行うことができる。そして、プライバシ情報を保有するサービス事業者以外の第三者も、プライバシ情報の持つ高い有益性を享受することができる。
【０００６】
例えば、第三者と想定し得るものとして製薬会社がある。その製薬会社にとっては診療情報を入手することは、困難である。その製薬会社は、その診療情報を入手することができれば、薬品がどのように利用されているのかを知ることができる。更には、その製薬会社は、その診療情報から、薬品の共起関係や相関関係などを分析することもできる。
【０００７】
例えば、プライバシ情報のデータセットは、サービス利用者（個人）を一意に識別するユーザ識別子と、一つ以上の準識別子とを一つのレコードとして含む。そして、サービス提供者は、サービス利用者がサービスを享受する度に、係るレコードを蓄積する。
【０００８】
ユーザ識別子が付与されたままのプライバシ情報が第三者に提供される場合、その第三者は、そのユーザ識別子を用いることによってサービス利用者を特定することが可能である。そのため、プライバシ侵害の問題が発生し得る。
【０００９】
また、複数のレコードによって構成される履歴情報などのデータセットの中から、各レコードに付与されている準識別子の組み合わせに基づいて、ある個人を特定できてしまう場合がある。即ち、例えユーザ識別子を取り除いた履歴情報であっても、準識別子の組み合わせに基づいてある個人を特定可能な場合があり、プライバシ侵害が発生し得る。
【００１０】
このような特性を有するプライバシ情報のデータセットを、本来の有用性を保ちながら、プライバシを保護した形態に変換する手法として、匿名化（匿名化技術：Ａｎｏｎｙｍｉｚａｔｉｏｎ）が知られている。
【００１１】
非特許文献１は、最もよく知られた匿名性指標である“ｋ−匿名性”を提案する。匿名化対象のデータセットに、係るｋ−匿名性を充足させる手法は、“ｋ−匿名化”と呼ばれる。このｋ−匿名化では、同じ値の準識別子を有するレコードがその匿名化対象のデータセットの中に少なくともｋ個以上存在するように、その準識別子を変換する処理が行われる。この変換処理としては、一般化、切り落とし等の方式が知られている。係る一般化において、元の詳細な情報は、抽象化された情報に変換される。
【００１２】
例えば、特許文献１は、プライバシ情報評価サーバを開示する。第１に、そのプライバシ情報評価サーバは、ユーザ端末から受信したプライバシ情報を加工する。第２に、そのプライバシ情報評価サーバは、その加工したプライバシ情報がｋ-匿名性を満たすか否かを判定する。第３に、そのプライバシ情報評価サーバは、その判定結果に基づいて、ユーザの識別情報を除いたその加工したプライバシ情報を出力する。
【００１３】
そのプライバシ情報評価サーバのｋ-匿名性判定部は、ｋ-匿名性判定のフィードバックに基づいて、ボトムアップ処理或いはトップダウン処理により、そのプライバシ情報を一般化する。
【００１４】
また、このようなｋ−匿名化技術を利用する他の関連技術が、非特許文献２に記載されている。非特許文献２では、類似する属性値を持つレコードの集合（以降、クラスタと呼ぶ）を逐次生成し、クラスタに含まれるレコードにおいて、一般化や切り落としにより共通の属性値を生成することで多次元データをｋ−匿名化する手法が提案されている。
【００１５】
また、特許文献２は、公開情報のプライバシ保護装置を開示する。第１に、そのプライバシ保護装置は、入力されたデータの各準識別子を加工し、一般化を行う。第２に、そのプライバシ保護装置は、その一般化された準識別子の全てから構成される表が、所定のｋ-匿名性を満たすことを判定する。第３に、そのプライバシ保護装置は、その判定した結果に基づいて、最適なデータセットを出力する。
【先行技術文献】
【特許文献】
【００１６】
【特許文献１】特開２０１１−１８０８３９
【特許文献２】特開２０１２−００３４４０
【非特許文献】
【００１７】
【非特許文献１】Ｌ．Ｓｗｅｅｎｅｙ、“ｋ−ａｎｏｎｙｍｉｔｙ：ａ  ｍｏｄｅｌ  ｆｏｒ  ｐｒｏｔｅｃｔｉｎｇ  ｐｒｉｖａｃｙ”、  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｊｏｕｒｎａｌ  ｏｎ  Ｕｎｃｅｒｔａｉｎｔｙ，  Ｆｕｚｚｉｎｅｓｓ  ａｎｄ  Ｋｎｏｗｌｅｄｇｅ−ｂａｓｅｄ  Ｓｙｓｔｅｍｓ，１０（５），ｐｐ５５５−５７０，２００２．
【非特許文献２】Ｋ．  ＬｅＦｅｖｒｅ，  Ｄａｖｉｄ  Ｊ．  ＤｅＷｉｔｔ  ａｎｄ  Ｒａｇｈｕ  Ｒａｍａｋｒｉｓｈｎａｎ，  “Ｍｏｎｄｒｉａｎ  Ｍｕｌｔｉｄｉｍｅｎｓｉｏｎａｌ  ｋ−Ａｎｏｎｙｍｉｔｙ”，  ＩＣＤＥ２００６．Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ２２ｎｄ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｄａｔａ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｐａｇｅ  ２５
【発明の概要】
【発明が解決しようとする課題】
【００１８】
上述した先行技術文献に記載された技術においては、匿名化対象データセットへのアクセス効率が悪い場合があるという問題点がある。
【００１９】
即ち、先行技術文献は、匿名化対象データセットがいわゆる大規模データである場合に、その匿名化対象データセットのｋ-匿名化処理において、その匿名化対象データセットを高速にかつ無駄なくアクセスする技術を開示できていない。
【００２０】
大規模データである匿名化対象データセットを先行技術文献に記載された技術によって匿名化する場合、高速にかつ無駄なくその匿名化対象データセットをアクセスすることが、できない理由を以下に具体的に説明する。
【００２１】
複数のレコードからなる匿名化対象データセットにおいて、全ての準識別子に対して同一の値の組を持つそのレコードの集合は、等価クラス（Ｅｑｕｉｖａｌｅｎｔ  Ｃｌａｓｓ）と呼ばれる。ある等価クラスのレコード数（またはユニークなユーザ識別子の種類数）がｋ以上である場合、そのクラスに含まれるレコード集合は、ｋ−匿名性を充足していると判断される。
【００２２】
例えば、ｋ−匿名化処理は、準識別子の値を加工（再符号化）することで、所定のｋ−匿名性を充足する等価クラスを得る。
【００２３】
また、ｋ−匿名化処理は、所定のｋ−匿名性を充足する等価クラスについて、その準識別子を更に再符号化し、新たな等価クラスを生成することを実現する。その更なる再符号化は、所定のｋ−匿名性を充足しつつ、その準識別子の属性値の範囲や性質がオリジナルの属性値に近づくように、準識別子の値を加工する再符号化である。
【００２４】
その再符号化では、特定の等価クラスに含まれるレコード（行）をその再符号化の対象とする。これによって、必要最小限のデータだけを用いた、空間効率の高い再符号化が実現できる。例えば、一般的な計算機環境で大規模データをｋ−匿名化する際に、全てのデータを一度に再符号化の対象とすると、メモリ空間にデータが乗り切らない場合がある。そのため、仮想メモリ等の領域を用いる必要があり、再符号化に必要なデータの入出力が低速になりやすい。しかし、再符号化の対象となるレコード群は、等価クラスを形成する（或いは、形成し得る）、準識別子の属性値として互いに近しい値を持つ、レコードの集合である。データの索引を用いることで、このようなレコード群を高速に参照することができる。従って、こうした場合は、小さな計算資源であっても、効率的に再符号化を実施することが可能である。
【００２５】
属性毎に再符号化の方法が異なる場合には、一度の再符号化で対象となる属性は限られる。多くの場合、１つの属性だけが対象となる。多くのレコードを含む等価クラスを再符号化する場合には、再符号化の対象となる属性だけを効率良くアクセスできた方が、再符号化の効率がよい。
【００２６】
一方、大量のデータ（行）の少数の列に対して効率的な集約処理を行うことができる列指向データストア（カラム指向データストア、Ｃｏｌｕｍｎ−ｏｒｉｅｎｔｅｄ  Ｄａｔａ  Ｓｔｏｒｅ）という技術がある。列指向データストアでは、行を構成する列データを一まとまりとして格納することで、ある列（属性）のデータ群を高速に読み出し、集約することができる。列指向データストアを実現したミドルウェアとして列指向データマネージメントシステム（Ｃｏｌｕｍｎ−ｏｒｉｅｎｔｅｄ  Ｄａｔａｂａｓｅ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）やカラムストア型ＤＷＨ（Ｄａｔａ  Ｗａｒｅ−Ｈｏｕｓｅ）がある。
【００２７】
列指向データストアでは、従来のリレーショナルデータベース（Ｒｅｌａｔｉｏｎａｌ  Ｄａｔａｂａｓｅ）や特定の行を対象とした（行指向）演算のように、行単位での演算や、大量の列（属性）に対する集約は得意ではない。これは、特定の列のデータに対する高速な読み出しを実現するために設計されているためであり、行指向データストアのように特定の行に対する索引（Ｉｎｄｅｘ）を持たないためである。
【００２８】
上述したように再符号化は、特定のレコード群（準識別子の属性値に、互いに近しい値を持つレコードの集合）を対象とする。そのため、１度の再符号化で対象となるレコード数は、データセット全体の一部である。
【００２９】
しかしながら、カラムストアで格納されたその匿名化対象データセットから、特定のレコードを取得・参照する場合、カラムストア型ＤＷＨは索引構造を持たないため、常に全てのデータを走査する。例えば、その匿名化対象データセットに含まれる全レコード数をＮ（Ｎ≧１）、ある再符号化において参照したいレコード数をｎ（ｎ≦Ｎ）とすると、全てのデータを走査することで、Ｎ−ｎ件の余分なデータ走査が生じる。カラムストア型ＤＷＨは、全レコードＮ件の走査を高速に実現できる。しかし、カラムストア型ＤＷＨは、特定のレコード群の走査を複数回、例えばｍ回実施する場合、合計ｍＮ件のデータアクセスが生じる。そして、ｍ回のアクセスのそれぞれにおいて、常に不要なデータアクセスが発生する。カラムストア型ＤＷＨの中には、読み飛ばしのための情報を持つものも存在するが、その場合であっても、再符号化の対象としたいレコードの抽出条件に合致しない無関係なデータへのアクセスが完全になくなるわけではない。
【００３０】
本発明の目的は、上述した問題点を解決情報処理装置、再符号化方法、及びそのためのプログラムを提供することにある。
【課題を解決するための手段】
【００３１】
本発明の情報処理装置は、特定の属性の属性値と前記属性値が再符号化された再符号化値と前記再符号化値が更に再符号化された次再符号化値との対応を示す再符号化対応情報に基づいて、前記特定の属性を含むデータレコードを複数含むデータセットについて、前記データレコードに含まれる属性値と前記属性値を再符号化した再符号化値とに対応する前記次再符号化値を、前記読み出すデータレコードとの対応を示して出力する再符号化手段を含む。
【００３２】
本発明の再符号化方法は、情報処理装置が、特定の属性の属性値と前記属性値が再符号化された再符号化値と前記再符号化値が更に再符号化された次再符号化値との対応を示す再符号化対応情報に基づいて、前記特定の属性を含むデータレコードを複数含むデータセットについて、前記データレコードに含まれる属性値と前記属性値を再符号化した再符号化値とに対応する前記次再符号化値を、前記読み出すデータレコードとの対応を示して出力する。
【００３３】
本発明のプログラムは、特定の属性の属性値と前記属性値が再符号化された再符号化値と前記再符号化値が更に再符号化された次再符号化値との対応を示す再符号化対応情報に基づいて、前記特定の属性を含むデータレコードを複数含むデータセットについて、前記データレコードに含まれる属性値と前記属性値を再符号化した再符号化値とに対応する前記次再符号化値を、前記読み出すデータレコードとの対応を示して出力する処理、をコンピュータに実行させるプログラム。
【発明の効果】
【００３４】
本発明は、カラムストアによって格納された匿名化対象データセットを再符号化する際に、必要なデータへのアクセス回数を低減することが可能になるという効果がある。
【図面の簡単な説明】
【００３５】
【図１】図１は第１の実施形態に係る再符号化装置の構成を示すブロック図である。
【図２】図２は第１の実施形態に係る再符号化装置を含む匿名化装置の構成を示すブロック図である。
【図３】図３は第１の実施形態におけるカレントステートテーブルの一例を示す図である。
【図４】図４は第１の実施形態における属性の一般化階層の一例を示す図である。
【図５】図５は第１の実施形態における再符号化マップの一例を示す図である。
【図６】図６は第１の実施形態における更新後カレントステートテーブルの一例を示す図である。
【図７】図７は第１の実施形態における再符号化結果の一例を示す図である。
【図８】図８は、第１の実施形態に係る匿名性検証装置を実現するコンピュータのハードウェア構成を示すブロック図である。
【図９】図９は第１の実施形態における匿名性検証装置の動作を示すフローチャートである。
【図１０】図１０は第２の実施形態に係る再符号化装置の構成を示すブロック図である。
【図１１】図１１は第２の実施形態におけるカレントステートテーブルの一例を示す図である。
【図１２】図１２は第２の実施形態における再符号化マップの一例を示す図である。
【図１３】図１３は第３の実施形態に係る再符号化装置の構成を示すブロック図である。
【発明を実施するための形態】
【００３６】
本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の構成要素には同様の符号を付与し、適宜説明を省略する。
【００３７】
＜＜＜第１の実施形態＞＞＞
図１は、本発明の第１の実施形態に係る再符号化装置（情報処理装置とも呼ばれる）１００の構成を示すブロック図である。
【００３８】
図１に示すように、本実施形態に係る再符号化装置１００は、カレントステート生成部１０１と再符号化部１０２とを含む。尚、図１に示す構成要素は、ハードウェア単位の構成要素でも、コンピュータ装置の機能単位に分割した構成要素でもよい。ここでは、図１に示す構成要素は、コンピュータ装置の機能単位に分割した構成要素として説明する。
【００３９】
図２は、本発明の第１の実施形態に係る再符号化装置１００を含む匿名化装置２００の構成を示すブロック図である。
【００４０】
図２を示すように、匿名化装置２００は、再符号化装置１００、匿名化検証部２０１及び記憶装置２０２を備える。記憶装置２０２は、匿名化対象データセット８０１、再符号化マップ８３１及び匿名化済データセット８０３を記憶する。
【００４１】
まず、本実施形態に係る再符号化装置１００の動作の概要を説明する。
【００４２】
再符号化装置１００は、特定の属性を含む匿名化対象レコード（データレコードとも呼ばれる）８０２のそれぞれについて、カレントステートレコードを生成する。ここで、匿名化対象レコード８０２は、例えば記憶装置２０２に記憶された匿名化対象データセット（単に、データセットとも呼ばれる）８０１に含まれるレコードである。そのカレントステートレコードは、レコード識別子とその属性の属性値とその属性値が再符号化された再符号化値との組みである。レコード識別子は、そのカレントステートレコードに対応する匿名化対象レコード８０２を特定する識別子である。属性値は、匿名化対象レコード８０２に含まれる属性値そのものである。尚、以降、再符号化の対象となる属性を準識別子であるものとして説明する。尚、属性値は、属性の具体的内容を表すデータであり、数値に限定されない（例えば、文字や画像などの）情報である。
【００４３】
次に、再符号化装置１００は、再符号化マップ（再符号化対応情報とも呼ばれる）８３１に基づいて、レコード識別子と次再符号化値との組を、例えば匿名化検証部２０１へ出力する。ここで、再符号化マップ８３１は、特定の準識別子の属性値と再符号化値とその再符号化値が更に再符号化された次再符号化値との組を含む。従って、再符号化マップ８３１は、準識別子の種類数分だけ存在してよい。その出力する次再符号化値は、順次読み出すカレントステートレコードに含まれるその属性値及びその再符号化値の組に対応する、再符号化マップ８３１に含まれる次再符号化値である。その出力するレコード識別子は、その読み出されたカレントステートレコードに含まれるレコード識別子である。
【００４４】
例えば、匿名化検証部２０１は、受け取ったレコード識別子と次再符号化値とのその組に基づいて、その準識別子の匿名性を検証する。更に、匿名化検証部２０１は、その匿名性の検証結果に基づいて、再符号化装置１００にその準識別子の再符号化を再度実行させるようにしてよい。また、匿名化検証部２０１は、匿名性の検証結果に基づいて、記憶装置２０２に記憶される匿名化済データセット８０３を生成及び更新するようにしてよい。
【００４５】
次に、第１の実施形態における再符号化装置１００が備える各構成要素について、具体例を挙げて、説明する。
【００４６】
＝＝＝カレントステートレコード８２９＝＝＝
図３は、カレントステートレコード８２９を複数含むカレントステートテーブル８２１の一例を示す図である。図３に示すようにカレントステートレコード８２９は、レコード識別子（ＲＩＤ）、属性値（ＯＲＧ＿ＶＡＬ）及び再符号化値（ＲＥＣ＿ＶＡＬ）を含む。
【００４７】
図３に示すカレントステートレコード８２９は、トップダウン再符号化の場合に対応するカレントステートレコードの例である。そのトップダウン再符号化は、所定のｋ−匿名性を充足しつつ、その準識別子の属性値の範囲や性質がオリジナルの属性値に近づくように、準識別子の値を加工（具体化）する再符号化である。
【００４８】
第１に、そのカレントステートレコード８２９において、次再符号化値（ＮＥＸＴ＿ＶＡＬ）は、再符号化値（ＲＥＣ＿ＶＡＬ）より具体化された値である。第２に、カレントステート生成部１０１は、対象とする順識別子の最も一般化された属性値をその再符号化値（ＲＥＣ＿ＶＡＬ）として、そのカレントステートレコード８２９を生成する。
【００４９】
具体的には、図３は、「生年」の準識別子に関するカレントステートレコード８２９を示す。各カレントステートレコード８２９のＲＥＣ＿ＶＡＬである「ＡＮＹ」は、準識別子である「生年」の属性値が最も一般化された属性値を示す。
【００５０】
尚、カレントステートレコードは、以下に示すボトムアップ再符号化の場合に対応するカレントステートレコードであってもよい。そのボトムアップ再符号化は、その準識別子オリジナルの属性値を、所定のｋ−匿名性を充足するように、加工（一般化）する再符号化である。
【００５１】
第１に、そのカレントステートレコードにおいて、次再符号化値（ＮＥＸＴ＿ＶＡＬ）は、再符号化値（ＲＥＣ＿ＶＡＬ）より一般化された値である。第２に、カレントステート生成部１０１は、対象とする順識別子の属性値をその再符号化値（ＲＥＣ＿ＶＡＬ）として、そのカレントステートレコードを生成する。
【００５２】
＝＝＝カレントステート生成部１０１＝＝＝
カレントステート生成部１０１は、匿名化対象レコード８０２の識別子をＲＩＤとし、その匿名化対象レコード８０２の属性値をＯＲＧ＿ＶＡＬとして、カレントステートレコード８２９を生成する。更に、カレントステート生成部１０１は、そのカレントステートレコード８２９のＲＥＣ＿ＶＡＬとして「ＡＮＹ」を設定し、カレントステートレコード８２９を生成する。カレントステート生成部１０１は、その生成したカレントステートレコード８２９を含むカレントステートテーブル８２１を準識別子毎に生成する。
【００５３】
尚、上述したように、ボトムアップ再符号化の場合においては、カレントステート生成部１０１は、カレントステートレコードのＲＥＣ＿ＶＡＬとして、その匿名化対象レコード８０２の属性値を設定するようにしてよい。
【００５４】
＝＝＝一般化階層８１０＝＝＝
図４は、一般化階層８１０の一例を示す図である。図４に示すように、一般化階層８１０は、生年属性の一般化階層であり、最上位（ルート）に、生年属性が取り得る値を全て包含する値（ＡＮＹ）を持ち、下位に向かって、順次具体化された値のノードを持つ。
【００５５】
＝＝＝再符号化マップ８３１＝＝＝
図５は、再符号化マップ８３１の一例を示す図である。図５に示すように、再符号化マップ８３１は、複数のマップレコード８３９を含む。マップレコード８３９は、属性値（ＯＲＧ＿ＶＡＬ）と再符号化値（ＲＥＣ＿ＶＡＬ）と次再符号化値（ＮＥＸＴ＿ＶＡＬ）との組である。属性値（ＯＲＧ＿ＶＡＬ）と再符号化値（ＲＥＣ＿ＶＡＬ）との特定の組み合わせには、ただ１つの次再符号化値（ＮＥＸＴ＿ＶＡＬ）が対応する。図５に示す再符号化マップ８３１は、図４に示す一般化階層８１０をコンピュータ等が参照容易な形式で記憶する構造の一つである。
【００５６】
マップレコード８３９は、図４に示す一般化階層８１０における最底辺のノード毎に、ルートノード（「ＡＮＹ」の値を持つノード）からその最底辺のノードまで、全てのエッジ（枝）の親子関係を示す。即ち、マップレコード８３９は、最底辺のノードの値をＯＲＧ＿ＶＡＬとし、あるエッジの親ノードの値をＲＥＣ＿ＶＡＬとし、そのエッジの子ノードの値をＮＥＸＴ＿ＶＡＬとする。このようなマップレコード８３９を含む再符号化マップ８３１を、以下「トップダウン再符号化マップ」と呼ぶ。
【００５７】
例えば、１行目のマップレコード８３９は、最底辺のノード（ＯＲＧ＿ＶＡＬが「１９３０」）に対応する、ルートノード（ＲＥＣ＿ＶＡＬが「ＡＮＹ」）とその子ノード（ＮＥＸＴ＿ＶＡＬが「１９００〜１９４９」）の親子関係を示す。
【００５８】
尚、マップレコードは、最底辺のノードの値をＯＲＧ＿ＶＡＬとし、あるエッジの子ノードの値をＲＥＣ＿ＶＡＬとし、そのエッジの親ノードの値をＮＥＸＴ＿ＶＡＬとするようにしてもよい。このような再符号化レコードを含む再符号化マップを、以下「ボトムアップ再符号化マップ」と呼ぶ。
【００５９】
＝＝＝再符号化結果８５１＝＝＝
図６は、再符号化結果８５１の一例を示す図である。図６に示すように再符号化結果８５１は、複数の結果レコード８５９を含む。結果レコード８５９は、レコード識別子（ＲＩＤ）と次再符号化値（ＮＥＸＴ＿ＶＡＬ）との組である。
【００６０】
＝＝＝更新後カレントステートテーブル８４１＝＝＝
図７は、更新後カレントステートテーブル８４１の一例を示す図である。図７に示すように更新後カレントステートテーブル８４１は、複数の更新後カレントステートレコード８４９を含む。更新後カレントステートレコード８４９の構造は、図３に示すカレントステートレコード８２９の構造と同じである。
【００６１】
＝＝＝再符号化部１０２＝＝＝
再符号化部１０２は、カレントステートレコード８２９に含まれるＯＲＧ＿ＶＡＬ及びＲＥＣ＿ＶＡＬの組をキーとして、再符号化マップ８３１からただ１つのＮＥＸＴ＿ＶＡＬを取得する。そのＮＥＸＴ＿ＶＡＬを取得することは、即ち、ＲＥＣ＿ＶＡＬをＮＥＸＴ＿ＶＡＬへ再符号化（加工）することである。
【００６２】
再符号化部１０２は、そのカレントステートレコード８２９に含まれるＲＩＤとその取得したＮＥＸＴ＿ＶＡＬとの組を結果レコード８５９とする再符号化結果８５１を出力する。
【００６３】
また、再符号化部１０２は、カレントステートレコード８２９のＲＥＣ＿ＶＡＬの値をその取得したＮＥＸＴ＿ＶＡＬの値で置き換え、更新後カレントステートレコード８４９を生成するようにしてもよい。この場合、再符号化部１０２は、その更新後カレントステートレコード８４９を含む更新後カレントステートテーブル８４１を、新たなカレントステートテーブルとして、再符号化マップ８３１に基づいて、再符号化の処理を実行してよい。
【００６４】
上述のように、再符号化部１０２は、カレントステートテーブル８２１に含まれるカレントステートレコード８２９を順次読み出し、その時点で、読み出されたカレントステートレコード８２９について再符号化を実施する。換言すると、再符号化部１０２は、カレントステートテーブル８２１について、１回だけ全てのカレントステートレコード８２９をアクセスすることで、カレントステートテーブル８２１の再符号化を完了させる。
【００６５】
尚、再符号化マップ８３１は、上述したようにトップダウン再符号化マップである。ボトムアップ再符号化の場合、再符号化部１０２は、上述したボトムアップ再符号化マップを使用すればよい。
【００６６】
また、再符号化部１０２は、再符号化マップ８３１を以下のように用いて、ボトムアップ再符号化を行ってもよい。再符号化部１０２は、カレントステートレコード８２９に含まれるＯＲＧ＿ＶＡＬ及びＲＥＣ＿ＶＡＬのそれぞれが、再符号化マップ８３１に含まれるＯＲＧ＿ＶＡＬ及びＮＥＸＴ＿ＶＡＬのそれぞれと一致するマップレコード８３９を検出する。次に、再符号化部１０２は、その検出したマップレコード８３９に含まれるＲＥＣ＿ＶＡＬを取得する。次に、再符号化部１０２は、上述のＮＥＸＴ＿ＶＡＬを取得した場合と同様の処理を行う。尚、同様にして、再符号化部１０２は、ボトムアップ再符号化マップを用いて、ボトムアップ再符号化を行ってもよい。
【００６７】
本実施形態によらない場合、例えば、以下のような問題がある。
【００６８】
一般化階層を用いたトップダウンの処理によりデータを分割する場合において、本実施形態によらない再符号化装置は、カラムストア型のＤＷＨに格納された匿名化対象データセットへのアクセスを、以下のように実行する。
【００６９】
例えば、ある匿名化対象データセットが２つの等価クラスを含む状態であり、その等価クラスのそれぞれについて更に再符号化処理をする場合、その再符号化装置は、その再符号化処理の度に、カラムストア型ＤＷＨを用いてその匿名化対象データセットの全てのレコードを走査する。即ち、一方のその等価クラスについて、更に再符号化処理をする場合、もう一方の等価クラス分のレコードの走査は、無駄なアクセスである。
【００７０】
即ち、その再符号化装置による匿名化対象データセットのアクセスは、効率が悪い。
【００７１】
以上が、再符号化装置１００の機能単位の各構成要素についての説明である。
【００７２】
次に、再符号化装置１００のハードウェア単位の構成要素について説明する。
【００７３】
図８は、本実施形態における再符号化装置１００を実現するコンピュータ７００のハードウェア構成を示す図である。
【００７４】
図８に示すように、コンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体であってもよい。
【００７５】
ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の、全体の動作を制御する。また、ＣＰＵ７０１は、例えば記憶装置７０３に装着された記録媒体７０７から、プログラムやデータを読み込み、読み込んだプログラムやデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図９に示すフローチャートの動作をコンピュータ７００に実行させるプログラムである。
【００７６】
そして、ＣＰＵ７０１は、読み込んだプログラムに従って、また読み込んだデータに基づいて、図１に示すカレントステート生成部１０１及び再符号化部１０２として各種の処理を実行する。
【００７７】
尚、ＣＰＵ７０１は、通信網（不図示）に接続されている外部コンピュータ（不図示）から、記憶部７０２にプログラムやデータをダウンロードするようにしてもよい。
【００７８】
記憶部７０２は、プログラムやデータを記憶する。記憶部７０２は、記憶装置２０２を含んでもよいし、記憶装置２０２の一部であってもよい。
【００７９】
記憶装置７０３は、例えば、光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク及び半導体メモリであって、記録媒体７０７を含む。記憶装置７０３（記録媒体７０７）は、プログラムをコンピュータ読み取り可能に記憶する。また、記憶装置７０３は、データを記憶してもよい。記憶装置７０３は、記憶装置２０２を含んでもよいし、記憶装置２０２の一部であってもよい。
【００８０】
通信部７０６は、外部とのインタフェースを実現する。通信部７０６は、カレントステート生成部１０１及び再符号化部１０２の一部として含まれる。例えば、カレントステート生成部１０１及び再符号化部１０２は、通信部７０６を用いて、匿名化検証部２０１及び記憶装置２０２とデータの送受信を行う。
【００８１】
以上説明したように、図１に示す再符号化装置１００の機能単位のブロックは、図８に示すハードウェア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
【００８２】
尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給され、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを読み出して実行するようにしてもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納するようにしてもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するプログラム（ソフトウェア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。
【００８３】
以上が、本実施形態における再符号化装置１００を実現するコンピュータ７００の、ハードウェア単位の各構成要素についての説明である。
【００８４】
次に本実施形態の動作について、図１〜図９を参照して詳細に説明する。
【００８５】
図９は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
【００８６】
カレントステート生成部１０１は、準識別子毎のカレントステートテーブル８２１を生成する（Ｓ６０１）。
【００８７】
次に、再符号化部１０２は、各準識別子に対応するカレントステートテーブル８２１のそれぞれについて、ステップＳ６０３からステップＳ６１１の処理を実行する。
【００８８】
再符号化部１０２は、任意のカレントステートテーブル８２１を１つ選択する（Ｓ６０３）。
【００８９】
次に、再符号化部１０２は、１つのカレントステートテーブル８２１に含まれるカレントステートレコード８２９のそれぞれについて、以下のステップＳ６０５からＳ６０９の処理を実行する。
【００９０】
再符号化部１０２は、その選択したカレントステートテーブル８２１からカレントステートレコード８２９を読み出す（Ｓ６０５）。
【００９１】
次に、再符号化部１０２は、そのカレントステートレコード８２９に含まれるＯＲＧ＿ＶＡＬ及びＲＥＣ＿ＶＡＬの組をキーとして、再符号化マップ８３１からＮＥＸＴ＿ＶＡＬを取得する（Ｓ６０７）。
【００９２】
次に、再符号化部１０２は、そのカレントステートレコード８２９に含まれるＲＩＤとその取得したＮＥＸＴ＿ＶＡＬとの組である結果レコード８５９を生成する（Ｓ６０９）。
【００９３】
ここで、再符号化部１０２は、そのカレントステートレコード８２９のＲＥＣ＿ＶＡＬを、その取得したＮＥＸＴ＿ＶＡＬで再符号化してもよい。即ち、再符号化部１０２は、図３に示すカレントステートレコード８２９を図７に示す更新後カレントステートレコード８４９に更新するようにしてもよい。こうした場合、再符号化部１０２は、例えば匿名化検証部２０１の指示に基づいて、図７に示す更新後カレントステートレコード８４９を新たなカレントステートレコード８２９として、ステップＳ６０３から処理を実行してもよい。
【００９４】
次に、再符号化部１０２は、その生成した結果レコード８５９からなる再符号化結果８５１を出力する（Ｓ６１１）。
【００９５】
上述した本実施形態における第１の効果は、カラムストアによって格納された匿名化対象データセットを再符号化する際に、必要なデータへのアクセス回数を低減することを可能にする点である。これによって、大規模データを効率良く再符号化できる。
【００９６】
その理由は、以下のような構成を含むからである。即ち、第１に、カレントステート生成部１０１がカレントステートレコード８２９を生成する。第２に、再符号化部１０２が再符号化対応情報と順次読み出すカレントステートレコード８２９とに基づいて、ＲＩＤとＮＥＸＴ＿ＶＡＬとの組を出力する。
【００９７】
上述した本実施形態における第２の効果は、カレントステートレコード８２９を生成するための、匿名化対象データセットへのアクセス回数を削減することを可能にする点である。
【００９８】
その理由は、以下のような構成を含むからである。即ち、第１に、再符号化部１０２が、再符号化対応情報と順次読み出すカレントステートレコード８２９とに基づいて、カレントステートレコード８２９を、更新後カレントステートレコード８４９に更新する。第２に、再符号化部１０２は、更新後カレントステートレコード８４９を含む更新後カレントステートテーブル８４１を新たなカレントステートテーブルとして、再符号化処理を実行する。
【００９９】
＜＜＜第２の実施形態＞＞＞
次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【０１００】
図１０は、本発明の第２の実施形態に係る再符号化装置１２０の構成を示すブロック図である。
【０１０１】
図１０に示すように、本実施形態における再符号化装置１２０は、カレントステート生成部１２１と再符号化部１２２とを含む。
【０１０２】
再符号化装置１２０は、図２に示す再符号化装置１００に替えて、匿名化装置２００に含まれてもよい。
【０１０３】
＝＝＝カレントステートレコード８６９＝＝＝
図１１は、カレントステートレコード８６９を複数含むカレントステートテーブル８６１の一例を示す図である。図１１に示すようにカレントステートレコード８２９は、レコード識別子（ＲＩＤ）、属性値（ＯＲＧ＿ＶＡＬ）、再符号化値（ＲＥＣ＿ＶＡＬ）及び付加情報（ＡＤＤＩＴＩＯＮＡＬ）を含む。
【０１０４】
その付加情報は、例えば、匿名化対象レコード８０２に含まれる他の属性値や状態、変数等である。尚、その付加情報は１つ以上の値の組み合わせでもよい。
【０１０５】
上述の点を除きカレントステートレコード８６９は、図３に示すカレントステートレコード８２９と同等である。
【０１０６】
＝＝＝カレントステート生成部１２１＝＝＝
カレントステート生成部１２１は、匿名化対象レコード８０２の識別子をＲＩＤとし、その匿名化対象レコード８０２の属性値をＯＲＧ＿ＶＡＬとし、付加情報（ＡＤＤＩＴＩＯＮＡＬ）を付加して、カレントステートレコード８６９を生成する。
【０１０７】
上述の点を除きカレントステート生成部１２１は、図１に示すカレントステート生成部１０１と同等である。
【０１０８】
＝＝＝再符号化マップ８７１＝＝＝
図１２は、再符号化マップ８７１の一例を示す図である。図１２に示すように、再符号化マップ８７１は、複数のマップレコード８７９を含む。マップレコード８７９は、属性値（ＯＲＧ＿ＶＡＬ）と再符号化値（ＲＥＣ＿ＶＡＬ）と付加情報（ＡＤＤＩＴＩＯＮＡＬ）と次再符号化値（ＮＥＸＴ＿ＶＡＬ）との組である。属性値（ＯＲＧ＿ＶＡＬ）と再符号化値（ＲＥＣ＿ＶＡＬ）と付加情報（ＡＤＤＩＴＩＯＮＡＬ）との特定の組み合わせには、ただ１つの次再符号化値（ＮＥＸＴ＿ＶＡＬ）が対応する。
【０１０９】
その付加情報は、カレントステートレコード８６９に含まれる付加情報と同等である。
【０１１０】
上述の点を除きマップレコード８７９は、図５に示すマップレコード８３９と同等である。
【０１１１】
＝＝＝再符号化部１２２＝＝＝
再符号化部１２２は、カレントステートレコード８６９に含まれるＯＲＧ＿ＶＡＬ、ＲＥＣ＿ＶＡＬ及びＡＤＤＩＴＩＯＮＡＬの組をキーとして、再符号化マップ８７１からＮＥＸＴ＿ＶＡＬをただ１つだけ取得する。
【０１１２】
上述の点を除き再符号化部１２２は、図１に示す再符号化部１０２と同等である。
【０１１３】
上述した本実施形態における効果は、第１の実施形態の効果に加えて、再符号化処理の対象をきめ細かく選択することが可能になる点である。
【０１１４】
その理由は、カレントステート生成部１２１が付加情報を含むカレントステートレコード８６９を生成し、再符号化部１２２が付加情報を含む再符号化マップ８７１に基づいて、次再符号化値を取得するようにしたからである。
【０１１５】
＜＜＜第３の実施形態＞＞＞
図１３は、本発明の第３の実施形態に係る再符号化装置（情報処理装置とも呼ばれる）１３０の構成を示すブロック図である。
【０１１６】
図１３に示すように、本実施形態に係る再符号化装置１３０は、再符号化部１３２を含む。尚、図１３に示す構成要素は、ハードウェア単位の構成要素でも、コンピュータ装置の機能単位に分割した構成要素でもよい。ここでは、図１３に示す構成要素は、コンピュータ装置の機能単位に分割した構成要素として説明する。
【０１１７】
再符号化装置１３０は、図２に示す再符号化装置１００に替えて、匿名化装置２００に含まれてもよい。
【０１１８】
再符号化部１３２は、再符号化対応情報に基づいて、特定の属性を含むデータレコードを複数含むデータセットについて、前記データレコードに対応する次再符号化値を出力する。
【０１１９】
ここで、その再符号化対応情報は、特定の属性の属性値とその属性値が再符号化された再符号化値とその再符号化値が更に再符号化された次再符号化値との対応を示す情報である。例えば、その再符号化対応情報は、再符号化マップ８３１や再符号化マップ８７１であってよい。
【０１２０】
例えば、そのデータセットは、匿名化対象データセット８０１である。そして、そのデータレコードは、匿名化対象データセット８０１に含まれる匿名化対象レコード８０２である。
【０１２１】
例えば、再符号化部１３２は、そのデータレコードに含まれる属性値とその属性値を再符号化した再符号化値に対応する、その再符号化対応情報に含まれる次再符号化値を取得する。その属性値は、例えば、図５に示すカレントステートテーブル８２１に含まれるＯＲＧ＿ＶＡＬである。その再符号化値は、例えば、図３に示すカレントステートテーブル８２１に含まれるＲＥＣ＿ＶＡＬである。その次再符号化値は、例えば、図５に示す再符号化マップ８３１に含まれるＮＥＸＴ＿ＶＡＬである。
【０１２２】
そして、再符号化部１３２は、そのデータレコードの識別子（例えば、図３に示すカレントステートテーブル８２１に含まれるＲＩＤ）とその次再符号化値との組を出力する。
【０１２３】
上述した本実施形態における効果は、匿名化対象データセットへのアクセス効率を向上することを可能にする点である。
【０１２４】
その理由は、再符号化部１３２が、再符号化対応情報に基づいて、特定の属性を含むデータレコードを複数含むデータセットについて、そのデータレコードに対応する次再符号化値を出力するようにしたからである。
【０１２５】
以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、各構成要素は、複数の構成要素が１個のモジュールとして実現されてよい。また、各構成要素は、１つの構成要素が複数のモジュールで実現されてもよい。また、各構成要素は、ある構成要素が他の構成要素の一部であるような構成であってよい。また、各構成要素は、ある構成要素の一部と他の構成要素の一部とが重複するような構成であってもよい。
【０１２６】
以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ、可能であれば、ハードウェア的に実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、コンピュータ及びプログラムで実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、ハードウェア的なモジュールとコンピュータ及びプログラムとの混在により実現されてもよい。
【０１２７】
そのプログラムは、例えば、磁気ディスクや半導体メモリなど、不揮発性のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。
【０１２８】
また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障しない範囲で変更することができる。
【０１２９】
更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生したり、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複していたりしていてもよい。
【０１３０】
更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との全ての関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障をきたさない範囲内で変更されて良い。
【０１３１】
以上、各実施形態及び実施例を参照して本発明を説明したが、本発明は上記実施形態及び実施例に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得るさまざまな変更をすることができる。
【符号の説明】
【０１３２】
１００    再符号化装置
１０１    カレントステート生成部
１０２    再符号化部
１２０    再符号化装置
１２１    カレントステート生成部
１２２    再符号化部
１３０    再符号化装置
１３２    再符号化部
２００    匿名化装置
２０１    匿名化検証部
２０２    記憶装置
７００    コンピュータ
７０１    ＣＰＵ
７０２    記憶部
７０３    記憶装置
７０４    入力部
７０５    出力部
７０６    通信部
７０７    記録媒体
８０１    匿名化対象データセット
８０２    匿名化対象レコード
８０３    匿名化済データセット
８１０    一般化階層
８２１    カレントステートテーブル
８２９    カレントステートレコード
８３１    再符号化マップ
８３９    マップレコード
８４１    更新後カレントステートテーブル
８４９    更新後カレントステートレコード
８５１    再符号化結果
８５９    結果レコード
８６１    カレントステートテーブル
８６９    カレントステートレコード
８７１    再符号化マップ
８７９    マップレコード
【図１】
2014219876.tif 000003
【図２】
2014219876.tif 000004
【図３】
2014219876.tif 000005
【図４】
2014219876.tif 000006
【図５】
2014219876.tif 000007
【図６】
2014219876.tif 000008
【図７】
2014219876.tif 000009
【図８】
2014219876.tif 000010
【図９】
2014219876.tif 000011
【図１０】
2014219876.tif 000012
【図１１】
2014219876.tif 000013
【図１２】
2014219876.tif 000014
【図１３】
2014219876.tif 000015