(57)【要約】【課題】匿名化の手間と提供する情報量とを必要最小限にしつつ、分析結果の精度を維持することができる。【解決手段】実施形態の匿名化データ変更システムは、匿名化データを分析する匿名化データ分析システムに通信可能である。前記匿名化データ変更システムは、データベース手段、匿名化処理手段及び分析精度判定手段を備える。前記匿名化処理手段は、前記データベース手段内のデータの一部を匿名化して前記匿名化データを生成する。前記分析精度判定手段は、前記匿名化データ分析システムによる前記分析の精度を判定し、分析結果が分析精度ポリシを満たす場合には処理を終了し、否の場合には再試行要求を前記匿名化手段に出力する。前記匿名化処理手段は、前記再試行要求を受けると、最高の適用順位よりも１位だけ低い適用順位の匿名化方法に基づいて、新たな匿名化データを生成する。【選択図】図１
2014086037.tif 000002
【特許請求の範囲】
【請求項１】
匿名化データを分析する匿名化データ分析システムに通信可能な匿名化データ変更システムであって、
各個人に関し、各項目毎に値を含むデータを記憶したデータベース手段と、
前記データの一部を匿名化して前記匿名化データを生成する匿名化手段と、
前記匿名化データ分析システムによる前記匿名化データの分析が完了すると、当該分析の精度を判定する分析精度判定手段と、
を備え、
前記匿名化手段は、
前記分析に用いられる項目の入力を受け付ける項目入力手段と、
前記入力を受け付けた項目に基づいて、当該項目に一致する項目及び値を含むデータを前記データベース手段から抽出する抽出手段と、
適用順位、匿名化する項目、及び匿名化方法を互いに関連付けた匿名化ポリシを格納する匿名化ポリシ格納手段と、
前記匿名化ポリシを参照し、前記抽出されたデータ内の項目に一致する前記匿名化する項目に関連付けられた前記匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定する匿名化方法決定手段と、
当該決定した匿名化方法の適用済みを記録する記録手段と、
前記抽出されたデータのうち、前記決定された匿名化方法に関連付けられた前記匿名化する項目に一致する項目の値を匿名化することにより、前記抽出されたデータから前記匿名化データを生成する匿名化手段と、
前記分析精度判定手段から再試行要求を受けると、前記匿名化方法決定手段を再試行するように制御する制御手段と、
を備え、
前記分析精度判定手段は、
前記匿名化データ分析システムから前記匿名化データを分析した分析結果の入力を受け付ける分析結果入力手段と、
前記分析の精度が満たす条件を示す分析精度ポリシを格納する分析精度ポリシ格納手段と、
前記受け付けた分析結果が前記分析精度ポリシを満たすか否かを判定する分析精度判定手段と、
前記判定の結果、前記満たす場合には処理を終了し、前記否の場合には前記匿名化方法決定手段、前記記録手段、前記匿名化手段、前記分析結果入力手段及び前記分析精度判定手段を再試行するように、前記再試行要求を前記制御手段に出力する再試行要求手段と、
を備えたことを特徴とする匿名化データ変更システム。
【請求項２】
匿名化データを分析する匿名化データ分析システムに通信可能な匿名化データ変更システムであって、
各個人に関し、各項目毎に値を含むデータを記憶したデータベース手段と、
前記データの一部を匿名化して前記匿名化データを生成する匿名化処理手段と、
を備え、
前記匿名化処理手段は、
前記分析に用いられる項目の入力を受け付ける項目入力手段と、
前記入力を受け付けた項目に基づいて、当該項目に一致する項目及び値を含むデータを前記データベース手段から抽出する抽出手段と、
適用順位、匿名化する項目、及び匿名化方法を互いに関連付けた匿名化ポリシを格納する匿名化ポリシ格納手段と、
前記匿名化ポリシを参照し、前記抽出されたデータ内の項目に一致する前記匿名化する項目に関連付けられた前記匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定する匿名化方法決定手段と、
当該決定した匿名化方法の適用済みを記録する記録手段と、
前記抽出されたデータのうち、前記決定された匿名化方法に関連付けられた前記匿名化する項目に一致する項目の値を匿名化することにより、前記抽出されたデータから前記匿名化データを生成する匿名化手段と、
前記匿名化データ分析システムから再試行要求を受けると、前記匿名化決定手段を再試行するように制御する制御手段と、
を備え、
前記制御手段は、前記匿名化データ分析システムによる前記匿名化データの分析結果が所定の精度を満たさない場合に、当該匿名化データ分析システムから再試行要求を受けると、前記匿名化方法決定手段を再試行するように制御し、
前記匿名化方法決定手段は、前記制御手段から再試行するように制御されると、前記匿名化ポリシ及び前記適用済みの記録に基づいて、前記最高の適用順位よりも１位だけ低い適用順位に関連付けられた匿名化方法を決定し、
前記記録手段は、当該低い順位に関連付けられた匿名化方法の適用済みを記録し、
前記匿名化手段は、当該低い順位に関連付けられた匿名化方法に基づいて、新たな匿名化データを生成することを特徴とする匿名化データ変更システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、匿名化データ変更システムに関する。
【背景技術】
【０００２】
企業や個人等といったデータ所有者が所有するデータは、増大化及び複雑化する一方である。また、データ所有者は、このような大量のデータを所有する反面、大量のデータに対する分析スキルや分析システムを持たない場合が多い。なお、ここでいう分析スキルは、統計学及び分析ツールの専門的な知識等を意味し、分析システムは、分析ツール、及び大量のデータを高速に分析可能な分散システム等を意味する。
【０００３】
従って、大量のデータを分析して有効活用を図る場合、分析スキルや分析システムを持つ外部の専門家等のデータ分析者にデータの分析を委託する形態が広まりつつある。
【０００４】
一方、分析対象のデータには個人情報が含まれる場合がある。よって、安易にデータ分析者にデータを提供することは、個人情報を漏えいさせる心配があり、望ましくない。この心配を解消可能な技術の一つに、匿名化技術がある（例えば、非特許文献１参照）。匿名化技術とは、個人を特定できないように、データの一部に変更を加える技術の総称である。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１０−８６１７９号公報
【特許文献２】特開２０１１−１２３７１２号公報
【非特許文献】
【０００６】
【非特許文献１】“個人情報匿名化基盤”、［online］、経済産業省、情報大航海プロジェクト、［平成２４年１０月３日検索］、インターネット＜URL：http://www.meti.go.jp/policy/it_policy/daikoukai/igvp/cp2_jp/common/024/010/post-9.html＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
以上のような匿名化技術は、通常は特に問題がないが、本発明者による検討によれば、以下に述べるように、２つの課題をもつ点で改良の余地がある。
【０００８】
始めに、本発明者の検討によれば、データ所有者には３つの要求がある。
【０００９】
第１の要求は、匿名化の手間を最小限にしたいという要求（以下、匿名化最小要求ともいう）である。
【００１０】
第２の要求は、データ解析者に提供するデータの情報量を必要最小限にしたいという要求（以下、情報量最小要求ともいう）である。
【００１１】
第３の要求は、分析結果の精度を良くしたい、少なくとも精度を許容範囲内に維持したいという要求（以下、精度維持要求ともいう）である。
【００１２】
実際の運用においては、これら３つの要求を同時に満たすことが困難であり、以下のような２つの課題が存在する。
【００１３】
例えば、情報量最小要求と精度向上要求とは、データ分析者に提供する情報量が少なければ分析結果の精度が悪くなるから、二律背反の関係となる。データ所有者は、分析スキルを持たない場合が多いため、情報量最小要求と精度維持要求とを同時に満たす適度な情報量が分からない。このため、情報量最小要求と精度維持要求とを同時に満たすことは困難である（第１の課題）。
【００１４】
また、この適度な情報量が分からないために、データ所有者が匿名化前の元データを過度に匿名化し、得られた匿名化データを外部のデータ分析者に出した場合、匿名化データをデータ分析者が十分に分析できず、分析結果の精度が許容範囲を逸脱して低下する。この結果、データ所有者が再度、全ての元データを匿名化し直す状況となり、匿名化処理に膨大な時間がかかる。従って、匿名化最小要求を満たすことができない（第２の課題）。
【００１５】
なお、特許文献１，２に示すように、匿名化前の元データをいかに匿名化するかに焦点が当てられた技術は多々ある。
【００１６】
しかしながら、過度な匿名化データを外部に出して、全ての元データを匿名化し直す状況となる場合に関する２つの課題を同時に解決した技術はない。すなわち、従来の匿名化技術は、上述した２つの課題をもつ点で改良の余地がある。具体的には、従来の匿名化技術は、２つの課題を同時に解決する観点から、匿名化の手間と提供する情報量とを必要最小限にしつつ、分析結果の精度を維持し得るように、改良の余地がある。
【００１７】
本発明が解決しようとする課題は、匿名化の手間と提供する情報量とを必要最小限にしつつ、分析結果の精度を維持し得る匿名化データ変更システムを提供することである。
【課題を解決するための手段】
【００１８】
実施形態の匿名化データ変更システムは、匿名化データを分析する匿名化データ分析システムに通信可能となっている。
【００１９】
前記匿名化データ変更システムは、データベース手段、匿名化手段及び分析精度判定手段を備えている。
【００２０】
前記データベース手段は、各個人に関し、各項目毎に値を含むデータを記憶している。
【００２１】
前記匿名化手段は、前記データの一部を匿名化して前記匿名化データを生成する。
【００２２】
前記分析精度判定手段は、前記匿名化データ分析システムによる前記匿名化データの分析が完了すると、当該分析の精度を判定する。
【００２３】
前記匿名化手段は、項目入力手段、抽出手段、匿名化ポリシ格納手段、匿名化方法決定手段、記録手段、匿名化手段及び制御手段を備えている。
【００２４】
前記項目入力手段は、前記分析に用いられる項目の入力を受け付ける。
【００２５】
前記抽出手段は、前記入力を受け付けた項目に基づいて、当該項目に一致する項目及び値を含むデータを前記データベース手段から抽出する。
【００２６】
前記匿名化ポリシ格納手段は、適用順位、匿名化する項目、及び匿名化方法を互いに関連付けた匿名化ポリシを格納する。
【００２７】
前記匿名化方法決定手段は、前記匿名化ポリシを参照し、前記抽出されたデータ内の項目に一致する前記匿名化する項目に関連付けられた前記匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定する。
【００２８】
前記記録手段は、当該決定した匿名化方法の適用済みを記録する。
【００２９】
前記匿名化手段は、前記抽出されたデータのうち、前記決定された匿名化方法に関連付けられた前記匿名化する項目に一致する項目の値を匿名化することにより、前記抽出されたデータから前記匿名化データを生成する。
【００３０】
前記制御手段は、前記分析精度判定手段から再試行要求を受けると、前記匿名化方法決定手段を再試行するように制御する。
【００３１】
前記分析精度判定手段は、分析結果入力手段、分析精度ポリシ格納手段、分析精度判定手段及び再試行要求手段を備えている。
【００３２】
前記分析結果入力手段は、前記匿名化データ分析システムから前記匿名化データを分析した分析結果の入力を受け付ける。
【００３３】
前記分析精度ポリシ格納手段は、前記分析の精度が満たす条件を示す分析精度ポリシを格納する。
【００３４】
前記分析精度判定手段は、前記受け付けた分析結果が前記分析精度ポリシを満たすか否かを判定する。
【００３５】
前記再試行要求手段は、前記判定の結果、前記満たす場合には処理を終了し、前記否の場合には前記匿名化方法決定手段、前記記録手段、前記匿名化手段、前記分析結果入力手段及び前記分析精度判定手段を再試行するように、前記再試行要求を前記制御手段に出力する。
【図面の簡単な説明】
【００３６】
【図１】第１の実施形態に係る匿名化データ変更システム及びその周辺構成の一例を示す模式図である。
【図２】同実施形態における匿名化前のデータの一例を示す模式図である。
【図３】同実施形態における匿名化ポリシの一例を示す模式図である。
【図４】同実施形態における匿名化データの一例を示す模式図である。
【図５】同実施形態における他の匿名化データの一例を示す模式図である。
【図６】同実施形態における分析精度ポリシの一例を示す模式図である。
【図７】同実施形態における動作の一例を説明するためのフローチャートである。
【図８】同実施形態における動作の概略を示す模式図である。
【図９】第２の実施形態に係る各システムの動作の概略を示す模式図である。
【図１０】第２の実施形態における匿名化ポリシの一例を示す模式図である。
【図１１】同実施形態における他の匿名化ポリシの一例を示す模式図である。
【図１２】同実施形態における分析精度ポリシの一例を示す模式図である。
【図１３】同実施形態における匿名化前のデータの一例を示す模式図である。
【図１４】同実施形態における匿名化データの一例を示す模式図である。
【図１５】同実施形態における他の匿名化データの一例を示す模式図である。
【図１６】第１及び第２の実施形態の概略を示す模式図である。
【図１７】第３の実施形態の概略を示す模式図である。
【図１８】同実施形態に係る匿名化データ変更システム及びその周辺構成の一例を示す模式図である。
【図１９】同実施形態における動作の一例を説明するためのフローチャートである。
【発明を実施するための形態】
【００３７】
以下、各実施形態について図面を用いて説明する。なお、以下の各装置は、それぞれハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。
【００３８】
＜第１の実施形態＞
図１は第１の実施形態に係る匿名化データ変更システム及び匿名化データ分析システムの構成例を示す模式図である。第１の実施形態は、互いに通信可能な２つのシステムから構成される。第１のシステムは、データ所有者側の匿名化データ変更システム１００であり、第２のシステムは、データ分析者側の匿名化データ分析システム２００である。
【００３９】
ここで、匿名化データ変更システム１００は、元データ格納データベース装置１１０、匿名化装置１２０、分析精度判定装置１３０及び通信部１４０を備えている。なお、匿名化データ変更システム１００は、装置の集合体として実施する場合に限らず、「…システム１００」の語を「…装置１００」と読み替え、「…装置１１０」、「…装置１２０」及び「…装置１３０」の語をそれぞれ「…部１１０」、「…部１２０」及び「…部１３０」と読み替えることにより、単一の装置として実施することも可能である。このことは以下の各実施形態でも同様である。
【００４０】
元データ格納データベース装置（データベース手段）１１０は、図２に示すように、データ所有者が所有する匿名化前のデータ（元データ）Ｄを記憶する機能と、記憶しているデータＤを匿名化装置１２０に渡す機能と、を有する。
【００４１】
データＤは、各個人に関し、各項目毎に値を含んでいる。ここで、各項目としては、例えば、身長、性別、年齢を用いている。なお、この種のデータとしては、例えば、年齢、性別、住所及び病名を個人毎に含むレセプト情報などを使用してもよい。この場合、病名を匿名化せず、年齢、性別、住所などを適宜、匿名化して使用することが、特定の病名に関する分析結果を得る点と、個人の特定を防ぐ点から好ましい。また、データとしては、各列（属性）の情報と、各行（レコード）の情報とからなる表形式のデータを用いてもよい。ここで、各列は各属性に対応し、各行は各個人に対応する。
【００４２】
匿名化装置１２０は、データＤの一部を匿名化して匿名化データを生成する装置である。匿名化装置（匿名化処理手段）１２０は、例えば、入力部（項目入力手段）１２１、データ項目抽出部（抽出手段）１２２、匿名化ポリシ格納部（匿名化ポリシ格納手段）１２３、匿名化方法決定部（匿名化方法決定手段、記録手段）１２４、及び匿名化部（匿名化手段、制御手段）１２５を備えている。
【００４３】
なお、各部は、受けた情報をそのまま送出する場合などには、適宜、一体化して構成してもよい。例えば、入力部１２１及びデータ項目抽出部１２２は、受けた情報をそのまま送出する場合などには一体化してもよい。また、受けた情報をそのまま送出する場合などに各部を適宜一体化してもよいことは、他の各部及び以下の各実施形態でも同様である。
【００４４】
ここで、入力部１２１、データ項目抽出部１２２、匿名化方法決定部１２４及び匿名化部１２５は、例えば、図示しないＣＰＵが、後述する匿名化装置１２０内の各ステップを含むプログラムを実行することにより実現される機能ブロックとなっている。
【００４５】
匿名化ポリシ格納部１２３は、図３に示すように、匿名化ポリシＰＡを保持する機能と、匿名化ポリシＰＡを匿名化方法決定部１２４に渡す機能と、を有する。ここで、匿名化ポリシＰＡは、適用順位、匿名化する項目、匿名化方法、の３つの項目を持つテーブルである。適用順位は、匿名化方法における個人の特定しにくさの順序に相当する。例えば、最も個人を特定しにくい匿名化方法が適用順位１位に関連付けられる。匿名化ポリシＰＡ内の匿名化する項目は、データＤの各項目のうち、匿名化する項目を示している。例えば、匿名化ポリシＰＡ内の適用順位“１位”の匿名化する項目“グルーピング（１０歳刻み）”に基づいて、データＤの項目の値が匿名化されることにより、図４に示す如き、匿名化データＤＡ１が生成される。また、匿名化ポリシＰＡ内の適用順位“２位”の匿名化する項目“グルーピング（５歳刻み）”の匿名化する項目に基づいて、データＤの項目の値が匿名化されることにより、図５に示す如き、匿名化データＤＡ２が生成される。
【００４６】
分析精度判定装置１３０は、匿名化データ分析システム２００による匿名化データＤＡ１，ＤＡ２の分析が完了すると、当該分析の精度を判定する装置である。分析精度判定装置（分析精度判定手段）１３０は、例えば、入力部（分析結果入力手段）１３１、分析精度ポリシ格納部（分析精度ポリシ格納手段）１３２、及び分析精度判定部（分析精度判定手段、再試行要求手段）１３３を備えている。
【００４７】
ここで、入力部１３１及び分析精度判定部１３３は、例えば、図示しないＣＰＵが、後述する分析精度判定装置１３０内の各ステップを含むプログラムを実行することにより実現される機能ブロックとなっている。
【００４８】
分析精度ポリシ格納部１３２は、図６に示すように、分析の精度が満たす条件を示す分析精度ポリシＰＢを保持する機能と、分析精度判定部１３３の要求に応じて分析精度ポリシＰＢを分析精度判定部１３３に渡す機能と、を有する。ここで、分析精度ポリシＰＢは、一意の番号を示すＮｏ、分析精度の条件、の２つの項目を持つテーブルである。
【００４９】
通信部１４０は、匿名化データ変更システム１００と匿名化データ分析システムとの間で情報を通信する機能を有する。
【００５０】
一方、匿名化データ分析システム２００は、匿名化データを分析する装置である。匿名化データ分析システム２００は、例えば、匿名化データ格納データベース装置２１０、分析部２２０、データ要求部２３０、分析結果送信部２４０及び通信部２５０を備えている。
【００５１】
匿名化データ格納データベース装置２１０は、通信部２５０を介して匿名化データ変更システム１００から匿名化データＤＡ１又はＤＡ２を受ける機能と、受けた匿名化データＤＡ１又はＤＡ２を保持する機能と、保持している匿名化データＤＡ１又はＤＡ２を分析部２２０に渡す機能と、を有する。
【００５２】
分析部２２０、データ要求部２３０及び分析結果送信部２４０は、例えば、図示しないＣＰＵが、後述する匿名化データ分析システム２００内の各ステップを含むプログラムを実行することにより実現される機能ブロックとなっている。
【００５３】
通信部２５０は、匿名化データ変更システム１００と匿名化データ分析システム２００との間で情報を通信する機能を有する。
【００５４】
次に、以上のように構成された匿名化データ変更システム及び匿名化データ分析システムの動作について図７のフローチャートを用いて説明する。
【００５５】
匿名化データ分析システムにおいては、データ要求部２３０が、分析に用いられる項目を、通信部２５０及び通信部１４０を介して、匿名化装置１２０の入力部１２１に入力する（ＳＴ１）。
【００５６】
入力部１２１は、この項目の入力を受け付けると、当該項目をデータ項目抽出部１２２に送出する（ＳＴ２）。
【００５７】
データ項目抽出部１２２は、送出された項目に基づいて、当該項目に一致する項目及び値を含むデータを元データ格納データベース装置１１０から抽出すると共に、当該データを匿名化部１２５に送出する（ＳＴ３）。
【００５８】
匿名化部１２５は、ステップＳＴ３で抽出されたデータを受けると、当該データを匿名化方法決定部１２４に送出し、匿名化方法を匿名化方法決定部１２４に問い合わせる（ＳＴ４）。
【００５９】
匿名化方法決定部１２４は、匿名化ポリシ格納部１２３内の匿名化ポリシＰＡを参照し、ステップＳＴ４で送出されたデータ内の項目に一致する匿名化ポリシＰＡ内の匿名化する項目に関連付けられた匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定し、当該決定した匿名化方法を匿名化部１２５に通知する（ＳＴ５）。また、匿名化方法決定部１２４は、当該決定した匿名化方法の適用済みを匿名化ポリシ格納部１２３に記録する。
【００６０】
匿名化部１２５は、ステップＳＴ３で抽出されたデータのうち、ステップＳＴ５で決定された匿名化方法に関連付けられた匿名化ポリシＰＡ内の匿名化する項目に一致する項目の値を匿名化することにより、当該抽出されたデータから匿名化データを生成する。しかる後、匿名化部１２５は、生成した匿名化データを通信部１４０及び通信部２５０を介してデータ要求部２３０に送信する（ＳＴ６）。匿名化部１２５は、必要に応じて、追加の匿名化データを既存の匿名データに匿名データ格納データベース装置２１０が反映できるよう、ステップＳＴ６で送信するデータに行を一意に指定できるＩＤを付加する処理を実行してもよい。また、匿名化部１２５は、生成した匿名化データを保持する。
【００６１】
データ要求部２３０は、ステップＳＴ６で受けた匿名化データを匿名化データ格納データベース装置２１０に保存する（ＳＴ７）。
【００６２】
分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データを、明示しない分析方法を用いて分析し、得られた分析結果を分析結果送信部２４０に送出する（ＳＴ８）。
【００６３】
分析結果送信部２４０は、ステップＳＴ８で送出された分析結果を受けると、この分析結果を、通信部２５０及び通信部１４０を介して分析精度判定装置１３０内の入力部１３１に入力する（ＳＴ９）。
【００６４】
入力部１３１は、匿名化データ分析システム２００から匿名化データを分析した分析結果の入力を受け付けると、当該受け付けた分析結果を分析精度判定部１３３に送出する（ＳＴ１０）。
【００６５】
分析精度判定部１３３は、ステップＳＴ１０で受け付けた分析結果が分析精度ポリシ格納部１３２内の分析精度ポリシＰＢを満たすか否かを判定する（ＳＴ１１）。判定の結果、満たす場合（合格）には処理を終了する。否の場合（不合格）には、ステップＳＴ１２に進む。
【００６６】
分析精度判定部１３３は、ステップＳＴ１１の判定結果が否の場合に、匿名化方法決定部１２４、匿名化部１２５、入力部１３１及び分析精度判定部１３３を再試行（リトライ）するように、匿名化方法決定部１２４を制御する。具体的には、分析精度判定部１３３は、再度匿名化方法を問い合わせるための再試行要求を匿名化部１２５に出力する（ＳＴ１２）。以下、ステップＳＴ４〜ＳＴ１１の処理が再試行される。
【００６７】
次に、上述した各ステップの具体例について、図２乃至図６に示した各データの模式図及び図８に示す動作の模式図を用いて述べる。なお、本実施形態での分析は、番号ｉで識別可能なｎ人の未成年者における年齢ｘと身長ｙの相関係数を求める処理とする。（ｘ，ｙ）＝｛（ｘｉ，ｙｉ）｝（ｉ＝１，２，…，ｎ）において、相関係数は以下の式で求められる。
【数１】
2014086037.tif 000003
【００６８】
ステップＳＴ１において、データ要求部２３０は、通信部２５０及び通信部１４０を介して、入力部１２１に分析に必要なデータを要求する。ここでの要求は「項目（身長、性別、年齢）」である。
【００６９】
ステップＳＴ２において、入力部１２１は、データ項目抽出部１２２にステップＳＴ１で受けた要求を渡す。この要求は「項目（身長、性別、年齢）」である。
【００７０】
ステップＳＴ３において、データ項目抽出部１２２は、元データ格納データベース装置１１０から、ステップＳＴ２で受けた要求のデータを抽出し、当該抽出したデータを匿名化部１２５に渡す。渡されたデータは「項目（身長、性別、年齢）」の全行である。
【００７１】
ステップＳＴ４において、匿名化部１２５は、匿名化方法決定部１２４に匿名化方法を問い合わせる。ここで問い合わせる内容は「項目（身長、性別、年齢）に関する匿名化方法」である。
【００７２】
ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡを受けると、匿名化方法を決定して匿名化部１２５に通知する。ここで匿名化方法決定部１２４は、受けた匿名化ポリシＰＡのうち一番適用順位が高い「グルーピング（１０歳刻み）」を匿名化部１２５に通知する。同時に匿名化ポリシ格納部１２３は適用順位１位を適用したことを記録する。
【００７３】
ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。しかる後、匿名化部１２５は、匿名化データＤＡ１（年齢の列が匿名化した箇所）を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ１を保持する。なお、データ要求部２３０に渡されるデータ項目は「身長、性別、年齢」である。
【００７４】
ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ１を匿名化データ格納データベース装置２１０に保存する。
【００７５】
ステップＳＴ８において、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ１に対する分析として、身長と年齢の相関係数を求める。この場合、年齢が１０代のみになり、［数１］に示した数式で分母が０となり、相関係数を求めることができない。
【００７６】
ステップＳＴ９において、分析結果送信部２４０は、分析部２２０からステップＳＴ８で分析した結果（計算できない旨）を受けると、当該分析結果を、通信部２５０及び通信部１４０を介し、入力部１３１に送信する。
【００７７】
ステップＳＴ１０において、入力部１３１は、ステップＳＴ９で受けた分析結果を分析精度判定部１３３に渡す。
【００７８】
ステップＳＴ１１において、分析精度判定部１３３は、分析精度ポリシ格納部１３２から分析精度ポリシＰＢを受けると、分析精度ポリシＰＢに基づいて、分析結果の精度が十分か否かを判定する。この分析結果（計算できない旨）は、分析精度ポリシＰＢのうちＮｏ．１（１０代の身長は、相関係数が０以上）を満たさないため、判定結果が不合格となる。よって、ステップＳＴ４から処理が繰り返される。
【００７９】
ステップＳＴ４において、匿名化部１２５は、分析精度判定部１３３から再試行要求を受けると、匿名化方法決定部１２４に匿名化方法を問い合わせる。問い合わせの内容は「項目（年齢）の適用順位を下げた匿名化方法」である。
【００８０】
ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡを受けると、匿名化方法を決定して匿名化部１２５に通知する。ここで匿名化方法決定部１２４は、受けた匿名化ポリシＰＡのうち、記録していた匿名化方法（適用順位１位）の次に適用順位の高い「グルーピング（５歳刻み）」を匿名化部１２５に通知する。同時に匿名化ポリシ格納部１２３は適用順位２位を適用したことを記録する。
【００８１】
ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。しかる後、匿名化部１２５は、匿名化データＤＡ２（太字部分が匿名化した箇所）を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ２を保持する。なお、データ要求部２３０に渡されるデータ項目は、匿名化を行った「年齢」のみである。
【００８２】
ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ２を匿名化データ格納データベース装置２１０に保存する。
【００８３】
ステップＳＴ８において、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ２を分析する。この分析の結果、相関係数は０と求められる。
【００８４】
ステップＳＴ９において、分析結果送信部２４０は、分析部２２０からステップＳＴ８の分析結果（相関係数＝０）を受けると、当該分析結果を、通信部２５０及び通信部１４０を介し、入力部１３１に送信する。
【００８５】
ステップＳＴ１０において、入力部１３１は、ステップＳＴ９で受けた分析結果（相関係数＝０）を分析精度判定部１３３に渡す。
【００８６】
ステップＳＴ１１において、分析精度判定部１３３は、分析精度ポリシ格納部１３２から分析精度ポリシＰＢを受けると、分析精度ポリシＰＢに基づいて、分析結果の精度が十分か否かを判定する。この分析結果（相関係数＝０）は、分析精度ポリシＰＢのうちＮｏ．１（１０代の身長は、相関係数が０以上）を満たし、Ｎｏ．２（２０代の身長は、相関係数が−０．１以上）が無関係のため、判定結果が合格となる。このため、分析精度判定部１３３は、処理を終了する。
【００８７】
上述したように本実施形態によれば、未適用の匿名化方法のうち、最高の適用順位の匿名化方法を決定し、当該決定した匿名化方法の適用済みを記録し、抽出されたデータのうち、当該決定された匿名化方法に関する匿名化する項目の値を匿名化して匿名化データを生成し、分析精度が分析精度ポリシを満たさないことにより再試行要求を受けると、匿名化方法の決定を再試行する構成により、匿名化の手間と提供する情報量とを必要最小限にしつつ、分析結果の精度を維持することができる。
【００８８】
補足すると、データ全体を匿名化するのではなく、データのうちの匿名化する項目の値を匿名化する構成により、匿名化の手間を必要最小限にすることができる。
【００８９】
また、匿名化データの分析結果が分析精度ポリシを満たさない場合には、匿名化方法の適用順位を下げる構成により、提供する情報量を必要最小限にしつつ、分析結果の精度を維持することができる。
【００９０】
＜第２の実施形態＞
次に、第２の実施形態に係る匿名化データ変更システムについて説明する。第１の実施形態は、図８に示したように、匿名化データの列の情報に再度匿名化を行う例であった。これに対し、第２の実施形態は、図９に示すように、匿名化データの行の情報に再度匿名化を行う例である。
【００９１】
これに伴い、第２の実施形態は、図１０及び図１１に示す匿名化ポリシＰＡ１，ＰＡ２を匿名化ポリシ格納部１２３が格納し、図１２に示す分析精度ポリシＰＢ’を分析精度ポリシ格納部１３２が格納し、図１３に示す匿名化前のデータＤ’を元データ格納データベース装置１１０が格納している構成とする。匿名化ポリシＰＡ１は、前述した匿名化ポリシＰＡと同一である。匿名化ポリシＰＡ２は、匿名化ポリシＰＡ１と同様に、適用順位、匿名化する項目、匿名化方法、の３つの項目を持つテーブルである。但し、匿名化ポリシＰＡ２は、匿名化ポリシＰＡ１とは異なり、匿名化する項目には「行」が設定されており、匿名化方法には「リサンプリング（＊％）」が設定されている（＊＝４０，６０，８０）。また、２つの匿名化ポリシＰＡ１，ＰＡ２があるのは、匿名化を行う項目ごとに１つの匿名化ポリシＰＡｉ（但し、ｉ＝１，２）を用意しているためである。
【００９２】
なお、匿名化ポリシＰＡ１，ＰＡ２、分析精度ポリシＰＢ’及びデータＤ’以外の構成及び処理の流れは、第１の実施形態と同様である。
【００９３】
次に、以上のように構成された匿名化データ変更システム及び匿名化データ分析システムの動作について、前述した図７のフローチャートを用いて説明する。以下の説明では、既にデータＤ’を匿名化ポリシＰＡ１の提供順位３位のグルーピング（３歳刻み）と匿名化ポリシＰＡ２の適用順位１位のリサンプリング（４０％）で匿名化した匿名化データＤＡ１’（図１４）が、匿名化データ格納データベース装置２１０に格納されているものとする。
【００９４】
ステップＳＴ１において、データ要求部２３０は、通信部２５０及び通信部１４０を介して、入力部１２１に分析に必要なデータを要求する。ここでは、「行」データを要求する。
【００９５】
ステップＳＴ２において、入力部１２１は、データ項目抽出部１２２にステップＳＴ１で受けた要求を渡す。この要求は「行」のデータである。
【００９６】
ステップＳＴ３において、データ項目抽出部１２２は、元データ格納データベース装置１１０から、ステップＳＴ２で受けた要求のデータを抽出し、当該抽出したデータを匿名化部１２５に渡す。渡されたデータは「すべて」である。
【００９７】
ステップＳＴ４において、匿名化部１２５は、匿名化方法決定部１２４に匿名化方法を問い合わせる。問い合わせの内容は「行」である。
【００９８】
ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡ１，ＰＡ２を受けると、匿名化方法を決定して匿名化部１２５に通知する。また、ステップＳＴ４で問い合わせの内容が「行」の場合、匿名化方法決定部１２４は、保持している過去に行った匿名化処理の情報から、「リサンプリング（４０％）」と「グルーピング（３歳刻み）」を取得する。匿名化方法決定部１２４は、受けた匿名化ポリシＰＡ１，ＰＡ２のうち、適用順位２位の「リサンプリング（６０％）」と、適用順位３位の「グルーピング（３歳刻み）」を、匿名化部１２５に通知する。
【００９９】
ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。ここでのデータは、リサンプリングが前回の４０％から６０％に増えたことにより、当該データの行数が増える。また、匿名化部１２５が保持している前回送付した匿名化データＤＡ１’との差分をとる。この差分データにグルーピング（３歳刻み）の匿名化処理を行う。この匿名化処理により、図１５に示すように、匿名化データＤＡ２’が生成される。しかる後、匿名化部１２５は、匿名化データＤＡ２’（年齢の列が匿名化した箇所）を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ２’を保持する。
【０１００】
ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ２’を匿名化データ格納データベース装置２１０に保存する。
【０１０１】
ステップＳＴ８において、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ１’，ＤＡ２’に対する分析として、身長と年齢の相関係数を求める。ここで、相関係数は約０．８として求められる。
【０１０２】
ステップＳＴ９において、分析結果送信部２４０は、分析部２２０からステップＳＴ８で分析された結果（相関係数＝約０．８）を受けると、当該分析結果を、通信部２５０及び通信部１４０を介し、入力部１３１に渡す。
【０１０３】
ステップＳＴ１０において、入力部１３１は、ステップＳＴ９で受けた分析結果（相関係数＝約０．８）を分析精度判定部１３３に渡す。
【０１０４】
ステップＳＴ１１において、分析精度判定部１３３は、分析精度ポリシ格納部１３２から分析精度ポリシＰＢ’を受けると、分析精度ポリシＰＢ’に基づいて、分析結果の精度が十分か否かを判定する。この分析結果（相関係数＝約０．８）は、分析精度ポリシＰＢ’のＮｏ．１（１０代の身長は、相関係数が０以上）とＮｏ．３（データ数が３以上）を満たし、Ｎｏ．２（２０代の身長は、相関係数が−０．１以上）が無関係のため、判定結果が合格となる。このため、分析精度判定部１３３は、処理を終了する。
【０１０５】
上述したように本実施形態によれば、再度行う匿名化処理の対象を一度目の匿名化処理の差分データとした構成により、第１の実施形態の効果に加え、匿名化処理の処理時間を削減することができる。
【０１０６】
＜第３の実施形態＞
次に、第３の実施形態に係る匿名化データ変更システムについて説明する。第１及び第２の実施形態は、図１６に示すように、匿名化データ変更システム１００内で分析精度を判定する例であった。これに対し、第３の実施形態は、図１７に示すように、匿名化データ分析システム２００内で分析精度を判定する例である。
【０１０７】
図１８は第３の実施形態に係る匿名化データ変更システム及び匿名化データ分析システムの構成例を示す模式図であり、図１と略同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。
【０１０８】
すなわち、第３の実施形態の構成は、第１及び第２の実施形態の構成を示す図１に比べ、匿名化データ変更システム１００内の分析精度判定装置１３０を省略する点と、匿名化データ分析システム２００内に分析精度判定装置２６０が配置される点と、匿名化データ分析システム２００内の分析結果送信部２４０を省略する点で異なっている。
【０１０９】
また、各部の機能は概ね同じであるが、匿名化データ変更システム１００内の匿名化部１２５が再試行要求を匿名化データ分析システム２００から受ける点と、分析精度判定装置２６０が匿名化データを匿名化データ格納データベース装置２１０から受ける点と、分析精度判定装置２６０が再試行要求を匿名化データ変更システム１００に送信する点とで異なっている。
【０１１０】
なお、分析精度判定装置２６０は、前述した分析精度判定装置１３０と同様の装置であり、前述同様の入力部２６１、分析精度ポリシ格納部２６２及び分析精度判定部２６３を備えている。
【０１１１】
次に、以上のように構成された匿名化データ変更システム及び匿名化データ分析システムの動作について図１９のフローチャートを用いて説明する。
【０１１２】
匿名化データ分析システムにおいては、データ要求部２３０が、分析に用いられる項目を、通信部２５０及び通信部１４０を介して、匿名化装置１２０の入力部１２１に入力する（ＳＴ１）。
【０１１３】
入力部１２１は、この項目の入力を受け付けると、当該項目をデータ項目抽出部１２２に送出する（ＳＴ２）。
【０１１４】
データ項目抽出部１２２は、送出された項目に基づいて、当該項目に一致する項目及び値を含むデータを元データ格納データベース装置１１０から抽出すると共に、当該データを匿名化部１２５に送出する（ＳＴ３）。
【０１１５】
匿名化部１２５は、ステップＳＴ３で抽出されたデータを受けると、当該データを匿名化方法決定部１２４に送出し、匿名化方法を匿名化方法決定部１２４に問い合わせる（ＳＴ４）。
【０１１６】
匿名化方法決定部１２４は、匿名化ポリシ格納部１２３内の匿名化ポリシＰＡを参照し、ステップＳＴ４で送出されたデータ内の項目に一致する匿名化ポリシＰＡ内の匿名化する項目に関連付けられた匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定し、当該決定した匿名化方法を匿名化部１２５に通知する（ＳＴ５）。また、匿名化方法決定部１２４は、当該決定した匿名化方法の適用済みを匿名化ポリシ格納部１２３に記録する。
【０１１７】
匿名化部１２５は、ステップＳＴ３で抽出されたデータのうち、ステップＳＴ５で決定された匿名化方法に関連付けられた匿名化ポリシＰＡ内の匿名化する項目に一致する項目の値を匿名化することにより、当該抽出されたデータから匿名化データを生成する。しかる後、匿名化部１２５は、生成した匿名化データを通信部１４０及び通信部２５０を介してデータ要求部２３０に送信する（ＳＴ６）。匿名化部１２５は、必要に応じて、追加の匿名化データを既存の匿名データに匿名データ格納データベース装置２１０が反映できるよう、ステップＳＴ６で送信するデータに行を一意に指定できるＩＤを付加する処理を実行してもよい。また、匿名化部１２５は、生成した匿名化データを保持する。
【０１１８】
データ要求部２３０は、ステップＳＴ６で受けた匿名化データを匿名化データ格納データベース装置２１０に保存する（ＳＴ７）。なお、以上のステップＳＴ１〜ＳＴ７の処理は、第１の実施形態（図７）と同様である。
【０１１９】
分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データを、明示しない分析方法を用いて分析する（ＳＴ８ｃ）。
【０１２０】
分析部２２０は、ステップＳＴ８ｃにより得られた分析結果を分析精度判定装置２６０内の入力部２６１に入力する（ＳＴ９ｃ）。
【０１２１】
入力部２６１は、分析結果の入力を受け付けると、当該受け付けた分析結果を分析精度判定部２６３に送出する（ＳＴ１０ｃ）。
【０１２２】
分析精度判定部２６３は、ステップＳＴ１０ｃで受け付けた分析結果が分析精度ポリシ格納部２６２内の分析精度ポリシＰＢを満たすか否かを判定する（ＳＴ１１ｃ）。判定の結果、満たす場合（合格）には処理を終了する。否の場合（不合格）には、ステップＳＴ１２ｃに進む。
【０１２３】
分析精度判定部２６３は、ステップＳＴ１１ｃの判定結果が否の場合に、匿名化方法決定部１２４、匿名化部１２５、入力部２６１及び分析精度判定部２６３を再試行するように、匿名化方法決定部１２４を制御する。具体的には、分析精度判定部２６３は、通信部２５０及び通信部１４０を介し、再度匿名化方法を問い合わせるための再試行要求を匿名化部１２５に出力する（ＳＴ１２ｃ）。以下、ステップＳＴ４〜ＳＴ１１ｃの処理が再試行される。
【０１２４】
再試行中、例えば、ステップＳＴ５においては、匿名化方法決定部１２４は、匿名化ポリシＰＡ及び適用済みの記録に基づいて、前回の最高の適用順位よりも１位だけ低い適用順位に関連付けられた匿名化方法を決定する。また、匿名化方法決定部１２４は、当該低い順位に関連付けられた匿名化方法の適用済みを匿名化ポリシ格納部１２３に記録する。
【０１２５】
また、再試行中、例えば、ステップＳＴ６においては、匿名化部１２５は、当該低い順位に関連付けられた匿名化方法に基づいて、新たな匿名化データを生成する。以下、この新たな匿名化データに基づき、分析が再試行され、分析結果が判定されることになる。
【０１２６】
次に、上述した各ステップの具体例について、図２乃至図６に示した各データの模式図を用いて述べる。
【０１２７】
ステップＳＴ１において、データ要求部２３０は、通信部２５０及び通信部１４０を介して、入力部１２１に分析に必要なデータを要求する。ここでの要求は「項目（身長、性別、年齢）」である。
【０１２８】
ステップＳＴ２において、入力部１２１は、データ項目抽出部１２２にステップＳＴ１で受けた要求を渡す。この要求は「項目（身長、性別、年齢）」である。
【０１２９】
ステップＳＴ３において、データ項目抽出部１２２は、元データ格納データベース装置１１０から、ステップＳＴ２で受けた要求のデータを抽出し、当該抽出したデータを匿名化部１２５に渡す。渡されたデータは「項目（身長、性別、年齢）」の全行である。
【０１３０】
ステップＳＴ４において、匿名化部１２５は、匿名化方法決定部１２４に匿名化方法を問い合わせる。ここで問い合わせる内容は「項目（身長、性別、年齢）に関する匿名化方法」である。
【０１３１】
ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシを受けると、匿名化方法を決定して匿名化部１２５に通知する。ここで匿名化方法決定部１２４は、受け取った匿名化ポリシＰＡのうち一番適用順位が高い「グルーピング（１０歳刻み）」を匿名化部１２５に通知する。同時に匿名化ポリシ格納部１２３は適用順位１位を適用したことを記録する。
【０１３２】
ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。しかる後、匿名化データＤＡ１（年齢の列が匿名化した箇所）を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ１を保持する。なお、データ要求部２３０に渡されるデータ項目は「身長、性別、年齢」である。
【０１３３】
ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ１を、匿名化データ格納データベース装置２１０に保存する。
【０１３４】
ステップＳＴ８ｃにおいて、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ１に対する分析として、身長と年齢の相関係数を求める。この場合、年齢が１０代のみになり、前述同様に、相関係数を求めることができない。
【０１３５】
ステップＳＴ９ｃにおいて、分析部２２０は、ステップＳＴ８ｃで分析した結果（計算できない旨）を分析精度判定装置２６０内の入力部２６１に入力する。
【０１３６】
ステップＳＴ１０ｃにおいて、入力部２６１は、この分析結果を分析精度判定部２６３に送出する。
【０１３７】
ステップＳＴ１１ｃにおいて、分析精度判定部２６３は、分析精度ポリシ格納部２６２から分析精度ポリシＰＢを受けると、分析精度ポリシＰＢに基づいて、分析結果の精度が十分か否かを判定する。この分析結果（計算できない旨）は、分析精度ポリシＰＢのうちＮｏ．１（１０代の身長は、相関係数が０以上）を満たさないため、判定結果が不合格となる。よって、ステップＳＴ４から処理が繰り返される。
【０１３８】
ステップＳＴ４において、匿名化部１２５は、分析精度判定部２６３から再試行要求を受けると、匿名化方法決定部１２４に匿名化方法を問い合わせる。問い合わせの内容は「項目（年齢）の適用順位を下げた匿名化方法」である。
【０１３９】
ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡを受けると、匿名化方法を決定して匿名化部１２５に通知する。ここで匿名化方法決定部１２４は、受けた匿名化ポリシＰＡのうち、記録していた匿名化方法（適用順位１位）の次に適用順位の高い「グルーピング（５歳刻み）」を匿名化部１２５に通知する。同時に、匿名化方法決定部１２４は、適用順位２位の適用済みを匿名化ポリシ格納部１２３に記録する。
【０１４０】
ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。しかる後、匿名化部１２５は、匿名化データＤＡ２を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ２を保持する。なお、データ要求部２３０に渡されるデータ項目は、匿名化を行った「年齢」のみである。
【０１４１】
ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ２を匿名化データ格納データベース装置２１０に保存する。
【０１４２】
ステップＳＴ８ｃにおいて、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ２を分析する。この分析の結果、相関係数は０と求められる。
【０１４３】
ステップＳＴ９ｃにおいて、分析部２２０は、ステップＳＴ８の分析結果（相関係数＝０）を分析精度判定装置２６０内の入力部２６１に入力する。
【０１４４】
ステップＳＴ１０ｃにおいて、入力部２６１は、この分析結果（相関係数＝０）を分析精度判定部２６３に送出する。
【０１４５】
ステップＳＴ１１ｃにおいて、分析精度判定部２６３は、分析精度ポリシ格納部２６２から分析精度ポリシＰＢを受けると、分析精度ポリシＰＢに基づいて、分析結果の精度が十分か否かを判定する。この分析結果（相関係数＝０）は、分析精度ポリシＰＢのうちＮｏ．１（１０代の身長は、相関係数が０以上）を満たし、Ｎｏ．２（２０代の身長は、相関係数が−０．１以上）が無関係のため、判定結果が合格となる。このため、分析精度判定部２６３は、処理を終了する。
【０１４６】
上述したように本実施形態によれば、匿名化データ変更システム１００内の分析精度判定装置１３０に代えて、匿名化データ分析システム２００内に分析精度判定装置２６０を配置した構成としても、第１の実施形態と同様の効果を得ることができる。
【０１４７】
＜第４の実施形態＞
次に、第４の実施形態に係る匿名化データ変更システムについて説明する。第３の実施形態は、第１の実施形態と同様に、匿名化データの列の情報に再度匿名化を行う例であった。これに対し、第４の実施形態は、第２の実施形態と同様に、匿名化データの行の情報に再度匿名化を行う例である。
【０１４８】
これに伴い、第４の実施形態は、図１０及び図１１に示す匿名化ポリシＰＡ１，ＰＡ２を匿名化ポリシ格納部１２３が格納し、図１２に示す分析精度ポリシＰＢ’を分析精度ポリシ格納部１３２が格納し、図１３に示す匿名化前のデータＤ’を元データ格納データベース装置１１０が格納している構成とする。なお、２つの匿名化ポリシＰＡ１，ＰＡ２があるのは、匿名化を行う項目ごとに１つの匿名化ポリシＰＡｉ（但し、ｉ＝１，２）を用意しているためである。
【０１４９】
なお、匿名化ポリシＰＡ１，ＰＡ２、分析精度ポリシＰＢ’及びデータＤ’以外の構成及び処理の流れは、第３の実施形態と同様である。
【０１５０】
次に、以上のように構成された匿名化データ変更システム及び匿名化データ分析システムの動作について、前述した図１９のフローチャートを用いて説明する。以下の説明では、既にデータＤ’を匿名化ポリシＰＡ１の提供順位３位のグルーピング（３歳刻み）と匿名化ポリシＰＡ２の適用順位１位のリサンプリング（４０％）で匿名化した匿名化データＤＡ１’（図１４）が、匿名化データ格納データベース装置２１０に格納されているものとする。
【０１５１】
ステップＳＴ１において、データ要求部２３０は、通信部２５０及び通信部１４０を介して、入力部１２１に分析に必要なデータを要求する。ここでは、「行」データを要求する。
【０１５２】
ステップＳＴ２において、入力部１２１は、データ項目抽出部１２２にステップＳＴ１で受けた要求を渡す。この要求は「行」のデータである。
【０１５３】
ステップＳＴ３において、データ項目抽出部１２２は、元データ格納データベース装置１１０から、ステップＳＴ２で受けた要求のデータを抽出し、当該抽出したデータを匿名化部１２５に渡す。渡されたデータは「すべて」である。
【０１５４】
ステップＳＴ４において、匿名化部１２５は、匿名化方法決定部１２４に匿名化方法を問い合わせる。問い合わせの内容は「行」である。
【０１５５】
ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡ１，ＰＡ２を受けると、匿名化方法を決定して匿名化部１２５に通知する。また、ステップＳＴ４で問い合わせの内容が「行」の場合、匿名化方法決定部１２４は、保持している過去に行った匿名化処理の情報から、「リサンプリング（４０％）」と「グルーピング（３歳刻み）」を取得する。匿名化方法決定部１２４は、受けた匿名化ポリシＰＡ１，ＰＡ２のうち、適用順位２位の「リサンプリング（６０％）」と、適用順位３位の「グルーピング（３歳刻み）」を、匿名化部１２５に通知する。
【０１５６】
ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。ここでのデータは、リサンプリングが前回の４０％から６０％になったことにより、当該データの行数が増える。また、匿名化部１２５が保持している前回送付した匿名化データＤＡ１’との差分をとる。この差分データにグルーピング（３歳刻み）の匿名化処理を行う。この匿名化処理により、図１５に示したように、匿名化データＤＡ２’が生成される。しかる後、匿名化部１２５は、匿名化データＤＡ２’を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ２’を保持する。
【０１５７】
ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ２’を匿名化データ格納データベース装置２１０に保存する。
【０１５８】
ステップＳＴ８ｃにおいて、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ１’，ＤＡ２’に対する分析として、身長と年齢の相関係数を求める。ここで、相関係数は約０．８として求められる。
【０１５９】
ステップＳＴ９ｃにおいて、分析部２２０は、ステップＳＴ８ｃで分析した結果（相関係数＝約０．８）を分析精度判定装置２６０内の入力部２６１に入力する。
【０１６０】
ステップＳＴ１０ｃにおいて、入力部２６１は、この分析結果（相関係数＝約０．８）を分析精度判定部２６３に送出する。
【０１６１】
ステップＳＴ１１ｃにおいて、分析精度判定部２６３は、分析精度ポリシ格納部２６２から分析精度ポリシＰＢ’を受けると、分析精度ポリシＰＢ’に基づいて、分析結果の精度が十分か否かを判定する。この分析結果（相関係数＝約０．８）は、分析精度ポリシＰＢ’のＮｏ．１（１０代の身長は、相関係数が０以上）とＮｏ．３（データ数が３以上）を満たし、Ｎｏ．２（２０代の身長は、相関係数が−０．１以上）が無関係のため、判定結果が合格となる。このため、分析精度判定部２６３は、処理を終了する。
【０１６２】
上述したように本実施形態によれば、匿名化データ分析システム２００内に分析精度判定装置２６０を配置し、且つ再度行う匿名化処理の対象を一度目の匿名化処理の差分データとした構成により、第２及び第３の実施形態の効果を同時に得ることができる。
【０１６３】
以上説明した少なくとも一つの実施形態によれば、未適用の匿名化方法のうち、最高の適用順位の匿名化方法を決定し、当該決定した匿名化方法の適用済みを記録し、抽出されたデータのうち、当該決定された匿名化方法に関する匿名化する項目の値を匿名化して匿名化データを生成し、分析精度が分析精度ポリシを満たさないことにより再試行要求を受けると、匿名化方法の決定を再試行する構成により、匿名化の手間と提供する情報量とを必要最小限にしつつ、分析結果の精度を維持することができる。
【０１６４】
なお、上記の各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１６５】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１６６】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１６７】
さらに、各実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１６８】
また、記憶媒体は１つに限らず、複数の媒体から上記の各実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１６９】
なお、各実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の各実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１７０】
また、各実施形態におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１７１】
なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【０１７２】
１００…匿名化データ変更システム、１１０…元データ格納データベース装置、１２０…匿名化装置、１２１，１３１，２６１…入力部、１２２…データ項目抽出部、１２３…匿名化ポリシ格納部、１２４…匿名化方法決定部、１２５…匿名化部、１３０，２６０…分析精度判定装置、１３２，２６２…分析精度ポリシ格納部、１３３，２６３…分析精度判定部、１４０，２５０…通信部、２００…匿名化データ分析システム、２１０…匿名化データ格納データベース装置、２２０…分析部、２３０…データ要求部、２４０…分析結果送信部、Ｄ，Ｄ’…データ、ＰＡ，ＰＡ１，ＰＡ２…匿名化ポリシ、ＤＡ１，ＤＡ２，ＤＡ１’，ＤＡ２’…匿名化データ、ＰＢ，ＰＢ’…分析精度ポリシ。
【図１】
2014086037.tif 000004
【図２】
2014086037.tif 000005
【図３】
2014086037.tif 000006
【図４】
2014086037.tif 000007
【図５】
2014086037.tif 000008
【図６】
2014086037.tif 000009
【図７】
2014086037.tif 000010
【図８】
2014086037.tif 000011
【図９】
2014086037.tif 000012
【図１０】
2014086037.tif 000013
【図１１】
2014086037.tif 000014
【図１２】
2014086037.tif 000015
【図１３】
2014086037.tif 000016
【図１４】
2014086037.tif 000017
【図１５】
2014086037.tif 000018
【図１６】
2014086037.tif 000019
【図１７】
2014086037.tif 000020
【図１８】
2014086037.tif 000021
【図１９】
2014086037.tif 000022