(57)【要約】      （修正有）【課題】信頼する仲介者を必要とすることなく、通信量を削減した提供元のデータの匿名化を実現する。【解決手段】情報処理装置２０は、方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、提供元装置のデータの汎化に用いる方針を算出する方針決定部２０１と、提供元装置が方針を基に汎化したデータを基に、匿名化データを作成し利用者装置に提供する匿名化データ作成部２０２とを備える。【選択図】図２
2014170369.tif 000002
【特許請求の範囲】
【請求項１】
方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置のデータの汎化に用いる方針を算出する方針決定手段と、
前記提供元装置が前記方針を基に汎化したデータを基に、匿名化データを作成する匿名化データ作成手段と
を含む情報処理装置。
【請求項２】
前記方針決定手段が、
前記方針算出用データを集約する方針算出用データ集約手段と、
前記集約された方針算出用データを匿名化する匿名化手段と、
前記匿名化されたデータを基に前記方針を算出する方針算出手段と
を含む請求項１に記載の情報処理装置。
【請求項３】
前記方針算出用データ集約手段が、
前記方針算出用データとして、前記提供元装置のデータに所定のノイズを加算したデータを集約する
請求項２に記載の情報処理装置。
【請求項４】
前記方針算出手段が、
前記方針として、前記提供元装置の汎化における汎化幅又は汎化の境界を算出する
請求項２又は請求項３に記載の情報処理装置。
【請求項５】
前記匿名化手段が、
準識別子を匿名化する
請求項２乃至請求項４のいずれか１項に記載の情報処理装置。
【請求項６】
前記匿名化手段が、
匿名化における「分割の不均等性」及び「匿名性を満たさないリスク」を考慮して匿名化する
請求項２乃至請求項５のいずれか１項に記載の情報処理装置。
【請求項７】
前記方針算出用データが、前記提供元装置のデータの一部を曖昧化したデータであり、
前記匿名化手段が、前記提供元装置のデータに対する前記方針算出用データのデータ量を基に、前記方針算出用データを匿名化する
請求項２乃至請求項６のいずれか１項に記載の情報処理装置。
【請求項８】
前記匿名化データ作成手段が、
前記提供元装置が前記方針を基に汎化したデータを集約する汎化データ集約手段と、
前記集約された汎化データの匿名性を検査する匿名性検査手段と、
前記検査の結果、前記集約された汎化データが匿名性を満たさない場合、前記集約された汎化データをサプレッションするサプレッション手段と
を含む請求項１乃至請求項７のいずれか1項に記載の情報処理装置。
【請求項９】
前記匿名性検査手段が、
前記集約された汎化データの匿名性の検査を基に、前記提供元装置に方針算出用データの修正を指示する
請求項８に記載の情報処理装置。
【請求項１０】
前記サプレッション手段が、
準識別子をサプレッションする
請求項８又は請求項９に記載の情報処理装置。
【請求項１１】
前記準識別子が、
数値データ又は分類名データである
請求項５又は請求項１０に記載の情報処理装置。
【請求項１２】
方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置がデータの汎化に用いる方針を算出する方針算出手段と、
前記提供元装置が前記方針を基に汎化したデータを基に匿名化データを作成する匿名化データ作成手段と
を含む情報処理装置と、
前記提供元装置のデータを保存するデータ保存手段と、
前記保存するデータを基に前記方針算出用データを作成する方針算出用データ作成手段と、
前記情報処理装置が算出した前記方針を保存する方針保存手段と、
前記方針を基に前記保存するデータを汎化する汎化手段と
を含む提供元装置と
を含む情報処理システム。
【請求項１３】
階層構造で接続された複数の前記情報処理装置を含む
請求項８に記載の情報処理システム。
【請求項１４】
方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置のデータの汎化に用いる方針を算出し、
前記提供元装置が前記方針を基に汎化したデータを基に、匿名化データを作成する
情報匿名化方法。
【請求項１５】
方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置のデータの汎化に用いる方針を算出する処理と、
前記提供元装置が前記方針を基に汎化したデータを基に、匿名化データを作成する処理と
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理に関し、特に、匿名化に関する。
【背景技術】
【０００２】
近年、多くの個人データが、電子データ化されている。
【０００３】
データの電子データ化に伴い、個人データの２次利用が、拡大している。
【０００４】
しかし、個人データは、個人に関連した公開したくないデータ（センシティブデータ）を含むため、公開に際して、プライバシー保護が必要である。
【０００５】
匿名化技術は、プライバシーを保護する技術の１つである。
【０００６】
本発明に関連する匿名化技術は、例えば、個人データから、個人を一意に識別する識別子を削除して、データを公開する。
【０００７】
しかし、個人データは、他のデータとの組み合わせると、個人を特定できるデータを含む場合もある。
【０００８】
「準識別子」とは、このように、他のデータと組み合わせると個人を特定できるデータである。
【０００９】
そのため、本発明に関連する匿名化技術は、個人データを保護するための所定の方針を満たすように、準識別子を匿名化する。匿名化の方針は、幾つか提案されている。
【００１０】
例えば、「ｋ−匿名性」及び「ｌ−多様性」は、広く用いられている。
【００１１】
「ｋ−匿名性」は、データの各グループにおいて、同じ準識別子又は準識別子の組を含むデータが、「ｋ」個以上含まれる匿名化を保証する方針である。
【００１２】
「ｌ−多様性」は、データの各グループにおいて、センシティブデータの種類が、「ｌ」個以上含まれる匿名化を保証する方針である。
【００１３】
なお、「ｋ−匿名化」は、「ｋ−匿名性」を満足たすような匿名化である。また、「ｌ−多様化」は、「ｌ−匿名性」を満足するような匿名化である。
【００１４】
その他、例えば、「ｔ−近接性」、「ｍ−不変性」といった方針も、提案されている。
【００１５】
「ｔ−近接性」は、グループ間のセンシティブ情報の分布のおける距離と、全属性の分布における距離とが、「ｔ」以下であることを保証する方針である。
【００１６】
「ｍ−不変性」は、データの逐次開示において、準識別情報の組合せが同じレコードが「m」個以上あり、全てのレコードで違うセンシティブデータを持つことを保証する方針である。
【００１７】
また、匿名化の手法は、多く提案されている（例えば、非特許文献１を参照）。
【００１８】
非特許文献１に記載の「Mondrian Multidimensional」は、準識別子を１つのグループにまとめた後、ｋ−匿名性を満足するように、そのグループを分割する手法である。
【００１９】
さらに、データの提供者（提供元）は、１つに限らず、複数の場合がある。
【００２０】
データの匿名化の方針は、複数の提供元のデータを集約（結合）したデータ（結合データ）において満足する必要がある。従って、提供元が複数の場合、提供元のデータは、匿名化の前に、集約が必要である。しかし、各提供元にとってデータは、財産である。そのため、提供元は、他の提供元に、匿名化していないデータを提供したくない。
【００２１】
すべての提供元が信頼する仲介者が存在する場合、提供元は、その仲介者に、データの集約と匿名化を依頼すればよい。
【００２２】
しかし、常に、すべての提供元が信頼できる仲介者が、存在するとは限らない。
【００２３】
そこで、仲介者を必要としない手法が、提案されている（例えば、非特許文献２を参照）。
【００２４】
非特許文献２に記載の匿名化手法は、複数の「データの提供者」のデータを集約する際に、「Secure Multi-Party Computation（ＭＰＣ）」を用いる。そして、非特許文献２に記載の匿名化手法は、次のような手法でデータを匿名化する。
【００２５】
各提供者は、それぞれ保持するデータを抽象化してグループを作成する。そして、各提供者は、ＭＰＣを用いて、相互のデータを開示しないまま、データをグループに分割し、抽象化されたデータを詳細化する。提供者は、匿名性を満たす間、この処理を繰り返し、データを匿名化する。
【００２６】
つまり、各提供者は、ＭＰＣを用いることで、相互のデータを開示しないで、データを匿名化できる。そして、データの受け取る利用者は、匿名化後のデータを受け取る。
【先行技術文献】
【非特許文献】
【００２７】
【非特許文献１】K. LeFevre, D.J. DeWitt, R. Ramakrishnan, , "Mondrian Multidimensional K-Anonymity", Data Engineering, 2006. ICDE '06. Proceedings of the 22nd International Conference, 03-07 April 2006
【非特許文献２】Pawel Jurczyk, Li Xiong, "Distributed Anonymization: Achieving Privacy for Both Data Subjects and Data Providers, "Proceedings of the 23rd Annual IFIP WG 11.3 Working Conference, Montreal, Canada, July 12-15, 2009 on Data and Applications Security XXIII, pp. 191-207
【発明の概要】
【発明が解決しようとする課題】
【００２８】
非特許文献２に記載のＭＰＣは、データの提供元間の相互の通信と、通信したデータの提供元での処理が必要である。そのため、ＭＰＣの通信量は、データの提供元の数をＮとし、Ｏ記法を用いて記載すると、おおよそ次のようになる。なお、この通信量は、データの提供元が1つのデータを持っている場合の例である。
【００２９】
通信量：Ｏ（Ｎ・ｌｏｇＮ）
つまり、非特許文献２に記載の手法は、提供元の数とその対数との積に比例して通信量が増加する。
【００３０】
このように、非特許文献２に記載の技術は、データの提供元が多くなると、通信量が多くなるため、実用化が困難となる問題点があった。
【００３１】
本発明の目的は、上記問題点を解決し、信頼できる仲介者が存在しない場合でも、装置通信量を低減した匿名化を実現する情報処理装置、情報処理システム、及び、情報匿名化方法を提供することにある。
【課題を解決するための手段】
【００３２】
本発明の情報処理装置は、方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置のデータの汎化に用いる方針を算出する方針決定手段と、前記提供元装置が前記方針を基に汎化したデータを基に、匿名化データを作成する匿名化データ作成手段とを含む。
【００３３】
本発明の情報処理システムは、方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置がデータの汎化に用いる方針を算出する方針算出手段と、前記提供元装置が前記方針を基に汎化したデータを基に匿名化データを作成する匿名化データ作成手段とを含む情報処理装置と、前記提供元装置のデータを保存するデータ保存手段と、前記保存するデータを基に前記方針算出用データを作成する方針算出用データ作成手段と、前記情報処理装置が算出した前記方針を保存する方針保存手段と、前記方針を基に前記保存するデータを汎化する汎化手段とを含む提供元装置とを含む。
【００３４】
本発明の情報匿名化方法は、方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置のデータの汎化に用いる方針を算出し、前記提供元装置が前記方針を基に汎化したデータを基に、匿名化データを作成する。
【００３５】
本発明のプログラムは、方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置のデータの汎化に用いる方針を算出する処理と、前記提供元装置が前記方針を基に汎化したデータを基に、匿名化データを作成する処理とをコンピュータに実行させる。
【発明の効果】
【００３６】
本発明によれば、提供元が信頼できる仲介者を必要としないで、通信量を削減した複数の提供元のデータを用いた匿名化を実現できる。
【図面の簡単な説明】
【００３７】
【図１】図１は、本発明における第１の実施形態に係る情報処理装置を含む情報処理システムの構成の一例を示すブロック図である。
【図２】図２は、第1の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図３】図３は、第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図４】図４は、第１の実施形態に係る情報処理装置及び提供元装置の構成の一例を示すブロック図である。
【図５】図５は、第１の実施形態の説明に用いる保存する元のデータの一例を示す図である。
【図６】図６は、第１の実施形態の説明に用いるノイズ付加データの一例を示す図である。
【図７】図７は、第１の実施形態に係る匿名化後のノイズ付加データの一例を示す図である。
【図８】図８は、第１の実施形態に係る汎化後のデータの一例を示すブロック図である。
【図９】図９は、第１の実施形態の変形例の構成の一例を示す図である。
【図１０】図１０は、第２の実施形態に係る匿名化部の動作の説明に用いるノイズ付加データを示す図である。
【図１１】図１１は、第２の実施形態に係る匿名化部の動作の説明に用いるノイズ付加データを示す図である。
【図１２】図１２は、第２の実施形態に係る匿名化部の動作を説明するための汎化後のデータを示す図である。
【図１３】図１３は、第２の実施形態に係る匿名化部の動作を説明に用いるデータを示す図である。
【図１４】図１４は、第２の実施形態に係る匿名化部を用いた場合の匿名化後のデータの一例を示す図である。
【発明を実施するための形態】
【００３８】
次に、本発明の実施形態について図面を参照して説明する。
【００３９】
なお、各図面は、本発明の実施形態を説明するものである。そのため、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明は、省略する場合がある。
【００４０】
なお、本発明に係る情報処理装置が匿名化する準識別子は、特に制限はない。また、発明に係る情報処理装置は、匿名化する準識別子の数に、特に制限はない。ただし、以下の説明では、準識別子の一例として、「年齢」を用いて説明する。
【００４１】
また、本発明に係る情報処理装置が取り扱うセンシティブ情報は、特に制限はない。ただし、以下の説明では、センシティブ情報の一例として、「疾病」を用いて説明する。
【００４２】
（第１の実施形態）
図１は、本発明における第１の実施形態に係る情報処理装置２０を含む情報処理システム１０の構成の一例を示すブロック図である。
【００４３】
情報処理システム１０は、情報処理装置２０と、提供元装置３０と、利用者装置４０と、ネットワーク５０とを含む。
【００４４】
第１の実施形態に係る情報処理装置２０は、提供元装置３０が提供するデータを匿名化し、利用者装置４０に送信する。また、情報処理装置２０は、提供元装置３０が提供するデータを集約してもよい。情報処理装置２０については、後ほど詳細に説明する。
【００４５】
提供元装置３０は、汎化済みデータを情報処理装置２０に提供する装置である。情報処理装置２０は、汎化済みデータを用いて作成した匿名化済みデータを、利用者装置４０に提供する。
【００４６】
提供元装置３０は、データを汎化して提供する装置であれば、特に制限はない。そのため、提供元装置３０の詳細な説明を省略する。ただし、後ほどの情報処理装置２０の説明において、情報処理装置２０の動作に関連する提供元装置３０の構成及び動作については、詳細に説明する。
【００４７】
なお、本実施形態の情報処理装置２０は、匿名化のための汎化データを提供する提供元装置３０の数に、特に制限はない。情報処理装置２０は、複数の提供元装置３０からの汎化データを匿名化しても良い。あるいは、情報処理装置２０は、１つの提供元装置３０の汎化データを匿名化しても良い。
【００４８】
利用者装置４０は、情報処理装置２０から、匿名化されたデータを受け取る。利用者装置４０は、受け取ったデータを基に、例えば、所定のデータ解析を実施する装置である。利用者装置４０は、一般的なコンピュータや端末装置でも良く、特に限定はない。そのため、利用者装置４０の詳細な説明を省略する。
【００４９】
ネットワーク５０は、情報処理装置２０と各装置を接続する通信路又は通信網である。ネットワーク５０は、各装置が接続できれば、特に制限はない。そのため、ネットワーク５０の詳細な説明を省略する。
【００５０】
次に、情報処理装置２０について、図面を参照して、さらに説明する。
【００５１】
まず、情報処理装置２０に構成について説明する。
【００５２】
図２は、第１の実施形態に係る情報処理装置２０の構成の一例を示すブロック図である。
【００５３】
情報処理装置２０は、提供元装置３０が提供するデータを汎化するための方針の決定と、提供元装置３０が提供する汎化データを基に利用者装置４０に提供する匿名化済み結合データを作成する。
【００５４】
そのため、情報処理装置２０は、方針決定部２０１と匿名化データ作成部２０２とを含む。
【００５５】
方針決定部２０１は、提供元装置３０が作成した方針算出用データを受信する。さらに、方針決定部２０１は、方針算出用データを基に、提供元装置３０が汎化で使用する方針を決定する。
【００５６】
ここで、「方針」とは、提供元装置３０が利用者装置４０に提供するために、元のデータを汎化するときに用いる汎化の方針である。情報処理装置２０は、利用者装置４０に提供するデータに用いる匿名化に基づいて、方針を算出する。例えば、方針は、提供元装置３０の汎化処理のための汎化幅、境界、又は、レベルである。
【００５７】
また、「方針算出用データ」とは、情報処理装置２０が方針を算出するために、提供元装置３０が、情報処理装置２０に提供するデータである。
【００５８】
匿名化データ作成部２０２は、提供元装置３０から受け取った汎化データを基に、利用者装置４０に提供する匿名化済み結合データを作成する。後ほど説明するが、匿名化データ作成部２０２は、必要に応じ、汎化データを集約し、サプレッションを実施する。
【００５９】
図面を参照し、情報処理装置２０の各構成の詳細について更に説明する。
【００６０】
図３は、第１の実施形態に係る情報処理装置２０の構成の一例を示すブロック図である。
【００６１】
図３に示すように、情報処理装置２０の方針決定部２０１は、方針算出用データ集約部２１０と、匿名化部２２０と、方針算出部２３０とを含む。また、匿名化データ作成部２０２は、汎化データ集約部２４０と、匿名性検査部２５０と、サプレッション部２６０とを含む。
【００６２】
方針算出用データ集約部２１０は、提供元装置３０から受信した方針算出用データを集約する。なお、ここでの集約とは、次に説明する匿名化部２２０が匿名化するためにデータをまとめることである。
【００６３】
また、方針算出用データ集約部２１０は、提供元装置３０から、連続的に方針算出用データを受信しても良い。あるいは、方針算出用データ集約部２１０は、提供元装置３０から、複数回に分けて方針算出用データを受信しても良い。
【００６４】
なお、後ほど説明するように、情報処理装置２０は、提供元装置３０から受信する汎化済みデータの匿名性を検査し、必要な場合、データをサプレッションする。そのため、提供元装置３０は、データを、最終的に利用者装置４０に提供する状態まで汎化する必要はない。また、提供元装置３０は、できる限り保存する元のデータをそのままの状態で、情報処理装置２０に公開したくない。
【００６５】
そこで、本実施形態の情報処理装置２０は、方針算出用データとして、提供元装置３０から、方針を算出できる程度に曖昧化したデータを基に方針を算出する。
【００６６】
つまり、提供元装置３０は、元のデータではなく、曖昧化したデータ（方針算出用データ）を情報処理装置２０に送信する。そして、提供元装置３０は、その応答として、情報処理装置２０から汎化の方針を受信できる。
【００６７】
例えば、提供元装置３０は、情報処理装置２０に、利用者装置４０に提供するためのデータにノイズを入れた「ノイズ付加データ」を送信しても良い。あるいは、提供元装置３０は、利用者装置４０に提供するためのデータと同様の構成の準識別子を含むデータ、例えば、開示済みの過去のデータを送信しても良い。方針算出用データについては、後ほど、さらに説明する。
【００６８】
方針算出用データ集約部２１０は、集約後の方針算出用データを、匿名化部２２０に送る。
【００６９】
匿名化部２２０は、方針算出用データ集約部２１０が集約した方針算出用データを匿名化する。後ほど説明するように、方針算出部２３０は、匿名化後のデータを用いて、方針を算出する。つまり、匿名化部２２０は、方針を算出するために、方針算出用データを匿名化する。
【００７０】
そのため、匿名化部２２０は、情報処理装置２０が利用者装置４０に提供するデータに必要な匿名性と同程度の匿名性を満足するように、集約したデータを匿名化する。
【００７１】
なお、本実施形態の匿名化部２２０の匿名化は、特に制限はない。例えば、匿名化部２２０は、所定の準識別子に対してｋ−匿名化を実施しても良い。匿名化部２２０は、ｋ-匿名性に加え、ｌ−多様化やｔ−近接性を満たすように匿名化しても良い。
【００７２】
匿名化部２２０は、匿名化後のデータを方針算出部２３０に送る。
【００７３】
方針算出部２３０は、匿名化部２２０が匿名化したデータを基に、提供元装置３０がデータを汎化するための方針を算出する。
【００７４】
そして、方針算出部２３０は、算出した方針を、提供元装置３０に送信する。
【００７５】
提供元装置３０は、方針を基にデータを汎化し、汎化データを情報処理装置２０に送付する。
【００７６】
汎化データ集約部２４０は、提供元装置３０から受け取った汎化データを集約、つまり結合し、結合データを作成する。
【００７７】
そして、汎化データ集約部２４０は、結合データを匿名性検査部２５０に送る。
【００７８】
匿名性検査部２５０は、汎化データ集約部２４０から受け取った結合データが、所定の匿名性を満足するか否か検査する。
【００７９】
ここで、情報処理装置２０が匿名性検査部２５０を含むのは、次に示す理由のためである。
【００８０】
既に説明したとおり、情報処理装置２０が方針の算出に使用する方針算出用データと、提供元装置３０が汎化する元のデータとは、異なる。そのため、情報処理装置２０が算出した方針は、提供元装置３０におけるデータの汎化を方針として、最適でない可能性がある。つまり、情報処理装置２０が受け取った汎化後のデータは、所定の匿名性を満足しない可能性がある。そこで、情報処理装置２０は、匿名性検査部２５０を用いて、結合データの匿名性を検査する。
【００８１】
結合データが匿名性を満足しない場合、匿名性検査部２５０は、結合データをサプレッション部２６０に送り、結合データのサプレッションを依頼する。
【００８２】
サプレッション部２６０は、受け取った結合データの匿名性を確保するため、結合データを、サプレッションする。
【００８３】
ここで、サプレッションとは、データの匿名性を確保するための処理である。サプレッションは、匿名性を確保する処理であれば、特に制限はない。サプレッションは、例えば、所定の匿名性を満たしていないデータを削除する、又は、所定の匿名性を満たしていないデータをさらに汎化するなどである。
【００８４】
サプレッション後、サプレッション部２６０は、処理済み結合データを、匿名性検査部２５０に戻す。
【００８５】
匿名性検査部２５０は、サプレッション部２６０から受け取った結合データの匿名性を検査し、匿名性を満足しない場合、サプレッション部２６０に結合データを送る。
【００８６】
匿名性検査部２５０は、結合データが所定の匿名性を確保するまで、サプレッション部２６０への結合データの送信を繰り返す。
【００８７】
なお、サプレッション部２６０は、所定の匿名性を満足するまでデータを処理し、匿名性を満足後、匿名性検査部２５０に結合データを戻しても良い。
【００８８】
結合データが匿名性を満足する場合、匿名性検査部２５０は、結合データを、匿名化後データして、利用者装置４０に送信する。
【００８９】
次に、具体的にデータを用いて、本実施形態の情報処理装置２０について、さらに説明する。
【００９０】
なお、以下の説明において、提供元装置３０は、曖昧化としてノイズ付加を用いるとする。つまり、提供元装置３０は、方針算出用データの一例として、「ノイズ付加データ」を送信する。
【００９１】
また、情報処理装置２０は、方針の一例として「汎化幅」を算出するとする。
【００９２】
準識別子は、「年齢」とする。また、センシティブ情報は、「疾病」とする。
【００９３】
なお、「ノイズ付加データ」及び「汎化幅」は、後ほど、図面を参照して、詳細に説明する。
【００９４】
図４は、本実施形態の情報処理装置２１と提供元装置３０との構成の一例を示すブロック図である。図４の提供元装置３０は、例示として、１台としている。ただし、これは、図面の明確にするためである。情報処理装置２１は、情報処理装置２０と同様に、複数の提供元装置３０と接続しても良い。
【００９５】
また、図４において、図３の同じ構成には同じ番号を付し、その詳細な説明を省略する。
【００９６】
情報処理装置２１は、方針決定部２０３と匿名化データ作成部２０２とを含む。
【００９７】
方針決定部２０３は、ノイズ付加データ集約部２１１と、匿名化部２２０と、汎化幅算出部２３１とを含む。
【００９８】
ノイズ付加データ集約部２１１は、図３の方針算出用データ集約部２１０に相当し、ノイズ付加データを集約する。
【００９９】
匿名化部２２０は、図３の匿名化部２２０と同様に、集約後のノイズ付加データを匿名化する。
【０１００】
汎化幅算出部２３１は、図３の方針算出部２３０に相当し、方針として汎化幅を算出する。
【０１０１】
匿名化データ作成部２０２は、図３と同様に、汎化データ集約部２４０と、匿名性検査部２５０と、サプレッション部２６０とを含む。各構成は、図３と同様のため、構成の説明は、省略する。
【０１０２】
提供元装置３０は、データ保存部３１０と、ノイズ付加部３２０と、汎化幅保存部３３０と、汎化部３４０とを含む。
【０１０３】
データ保存部３１０は、情報処理装置２１を介して、利用者装置４０に提供する元のデータを保存する。つまり、データ保存部３１０が保存する元のデータは、汎化後、情報処理装置２１で集約され、利用者装置４０に提供される。
【０１０４】
ノイズ付加部３２０は、方針算出用データとして、データ保存部３１０が保存する元のデータに所定のノイズを付加した「ノイズ付加データ」を、作成する。つまり、ノイズ付加部３２０は、「方針算出用データ作成部」とも言える。ノイズ付加部３２０は、作成したノイズ付加データを情報処理装置２１に送信する。
【０１０５】
汎化幅保存部３３０は、情報処理装置２１から受け取った方針である汎化幅を保存する。つまり、汎化幅保存部３３０は、「方針保存部」とも言える。汎化幅保存部３３０は、保存した方針を、汎化部３４０に送る。
【０１０６】
汎化部３４０は、汎化幅を用いて、データ保存部３１０が保存する元のデータを汎化する。そして、汎化部３４０は、汎化後のデータを、情報処理装置２１に送信する。
【０１０７】
次に、図４に示す情報処理装置２１と提供元装置３０とを合わせた動作を説明する。
【０１０８】
まず、ノイズ付加部３２０は、方針算出用データとして、データ保存部３１０が保存する元のデータに所定のノイズを付加した「ノイズ付加データ」を作成し、情報処理装置２１に送信する。
【０１０９】
ここで、ノイズは、その平均が「０」となるように、所定の分布に従ってランダムに発生された値である。つまり、ノイズの付加は、データの数が多くなると、付加の影響が少なくなる（０に近づく）値の付加である。ノイズのデータの分布は、特に制限はない。例えば、ノイズの発生の分布は、０を中心とした所定の範囲おいて、発生確率が均等（ホワイトノイズ）でも良い。あるいは、ノイズの発生の分布は、「０」を中心とする正規分布でも良い。
【０１１０】
具体的な値を用いて説明する。
【０１１１】
図５は、説明に用いるデータ保存部３１０が保存する元のデータの一例を示す図である。
【０１１２】
つまり、データ保存部３１０は、図５に示す元のデータを保存する。
【０１１３】
図６は、図５に示すデータにノイズを付加した「ノイズ付加データ」の一例を示す図である。
【０１１４】
ノイズ付加部３２０は、例えば、図５に示すデータの準識別子の年齢に、図６に示すノイズを付加し、識別子を削除し、ノイズ付加データを算出する（図６を参照）。このノイズ付加データは、方針算出用データに相当する。
【０１１５】
図４を用いた説明に戻る。
【０１１６】
ノイズ付加部３２０は、ノイズ付加データを情報処理装置２１に送信する。
【０１１７】
ノイズ付加データ集約部２１１は、ノイズ付加データを提供元装置３０から受け取り、ノイズ付加データを集約し、匿名化部２２０に送る。
【０１１８】
匿名化部２２０は、集約後のノイズ付加データを、予め指定された匿名性を満たすように、匿名化する。
【０１１９】
具体的な値を用いて説明する。
【０１２０】
図７は、図６に示すノイズ付加データを匿名化した匿名化後データの一例を示す図である。
【０１２１】
例えば、匿名化部２２０は、図６に示すデータの年齢を、最も汎化した状態（図７の左の図）に汎化する。そして、匿名化部２２０は、データの年齢の中央値「２６」を境界として、年齢を２グループに分割し、図７の右に示すように、ノイズ付加データを匿名化する。なお、図７において、匿名化部２２０は、「２−匿名性」を満たすように、データを匿名化している。
【０１２２】
図４の用いた説明に戻る。
【０１２３】
匿名化部２２０は、匿名化後のデータを汎化幅算出部２３１に送る。
【０１２４】
汎化幅算出部２３１は、匿名化後のデータを基に、「汎化幅」を算出する。
【０１２５】
ここで「汎化幅」とは、匿名化後のデータにおける、匿名化した値の範囲である。
【０１２６】
例えば、図７の右に示す匿名化後ノイズ付加データは、年齢が「２０−２５」と「２６−３０」との２つのグループに分かれている。この場合、年齢の「２０−２５」及び「２６−３０」が、汎化幅である。
【０１２７】
汎化幅算出部２３１は、匿名化後のデータを基に、汎化幅（図７では、「年齢：２０−２５」と「年齢：２６−３０」）を算出する。
【０１２８】
なお、汎化幅算出部２３１が算出する汎化幅は、ノイズ付加データを基にした汎化幅である。そのため、汎化幅算出部２３１が算出した汎化幅は、提供元装置３０が保持する元のデータを基にした汎化幅と異なる可能性がある。しかし、既に説明したとおり、提供元装置３０が加算するノイズは、平均が０となる値の付加である。そのため、ノイズ付加データを基にした汎化幅は、元のデータを基に算出した汎化幅から大きくずれる可能性（確率）が低い。つまり、汎化幅算出部２３１が算出する汎化幅は、提供元装置３０のデータに対して、ある程度の妥当性を備えた汎化幅である。
【０１２９】
汎化幅算出部２３１は、提供元装置３０に、汎化幅を送信する。
【０１３０】
なお、汎化幅算出部２３１は、汎化幅として、年齢の範囲とは異なる値を送信しても良い。例えば、汎化幅算出部２３１は、汎化の境界（例えば、図７に示すデータの「年齢の２６」）を送信しても良い。
【０１３１】
汎化幅保存部３３０は、情報処理装置２０から受け取った汎化幅を保存する。そして、汎化幅保存部３３０は、汎化幅を汎化部３４０に送る。
【０１３２】
汎化部３４０は、情報処理装置２０から受け取った汎化幅を用いて、データ保存部３１０が保存する元のデータを汎化する。
【０１３３】
具体的な値を用いて説明する。
【０１３４】
図８は、提供元装置３０が汎化した、汎化後のデータの一例を示す図である。
【０１３５】
例えば、汎化部３４０は、図５に示す元のデータを、受け取った汎化幅（「年齢：２０−２５」と「年齢：２６−３０」）を基に、図８に示すデータに汎化する。
【０１３６】
図４の用いた説明に戻る。
【０１３７】
汎化部３４０は、汎化したデータを、情報処理装置２１に送信する。
【０１３８】
汎化データ集約部２４０と、匿名性検査部２５０と、サプレッション部２６０は、図３の用いた説明と同様に動作する。繰り返しとなるが、各部について説明すると、次のようになる。
【０１３９】
汎化データ集約部２４０は、提供元装置３０から受け取った汎化後のデータを集約、つまり結合し、結合データを匿名性検査部２５０に送る。
【０１４０】
匿名性検査部２５０は、汎化データ集約部２４０から受け取った結合データの匿名性を検査する。
【０１４１】
結合データが匿名性を満足しない場合、匿名性検査部２５０は、結合データをサプレッション部２６０に送り、データのサプレッションを依頼する。
【０１４２】
サプレッション部２６０は、受け取った結合データをサプレッションし、匿名性検査部２５０に戻す。
【０１４３】
匿名性検査部２５０は、サプレッション部２６０から受け取った結合データの匿名性を検査し、匿名性を満足しない場合、サプレッション部２６０に結合データを送る。
【０１４４】
匿名性検査部２５０は、結合データが匿名性を確保するまで、サプレッション部２６０への結合データの送信を繰り返す。
【０１４５】
結合データが匿名性を満足する場合、匿名性検査部２５０は、結合データを、匿名化後データとして、利用者装置４０に送る。
【０１４６】
なお、既に説明したとおり、汎化幅算出部２３１が算出する汎化幅は、ある程度の妥当性を備えている。そのため、提供元装置３０が汎化したデータは、適切な汎化に近い汎化である。そのため、情報処理装置２１のサプレッション部２６０の処理は、大きな処理量とはならない。
【０１４７】
ここで、本実施形態の情報処理装置２０及び情報処理装置２１（以下、まとめて情報処理装置２０と言う）の効果について説明する。
【０１４８】
本実施形態の情報処理装置２０は、提供元装置３０が保存する元のデータを受信しなくても、提供元装置３０が保存する元のデータを匿名化して、利用者装置４０に提供する効果を実施できる。つまり、本実施形態の情報処理装置２０を用いて情報を匿名化する提供元装置３０は、情報処理装置２０を信頼しない場合でも、元のデータを汎化して集約し、匿名化できる効果を得ることができる。
【０１４９】
その理由は、次のとおりである。
【０１５０】
本実施形態の情報処理装置２０は、提供元装置３０から、元のデータを受信するのではなく、方針算出用データ（例えば、ノイズ付加データ）を受信し、汎化のための方針を算出し、提供元装置３０に送信する。そして、情報処理装置２０は、提供元装置３０が方針を基に汎化した汎化後のデータを受信する。
【０１５１】
つまり、情報処理装置２０は、提供元装置３０が保存する元のデータを受信しなくても、提供元装置３０から汎化したデータを受信できるためである。
【０１５２】
さらに、本実施形態の情報処理装置２０は、情報処理システム１０の通信量を削減する効果を得ることができる。
【０１５３】
その理由は、次のとおりである。
【０１５４】
本実施形態の情報処理装置２０を用いてデータを匿名化する提供元装置３０は、他の提供元装置３０と通信する必要がない。
【０１５５】
提供元装置３０の送信は、情報処理装置２０に対する、ノイズ付加データと汎化後のデータとの送信である。
【０１５６】
情報処理装置２０の送信は、提供元装置３０への、方針の送信である。方針の送信は、データの送信に比べると、十分小さな通信量である。
【０１５７】
つまり、情報処理装置２０を含む情報処理システム１０の通信量は、各提供元装置３０の２回のデータ（ノイズ付加データと匿名化後のデータ）を送信となる。このように、情報処理装置２０を含む情報処理システム１０の通信量は、各提供元装置３０のデータの２倍である。つまり、提供元装置３０の数をＮとする、通信量は、「Ｏ（Ｎ）」のレベルとなるためである。
【０１５８】
また、本実施形態の情報処理装置２０は、提供元装置３０の処理量を削減する効果を得ることができる。
【０１５９】
その理由は、次のとおりである。
【０１６０】
例えば、提供元装置３０が、本発明に関連する「Mondrian Multidimensional」と「ＭＰＣ」を用いる場合、計算量は、「Ｏ（Ｎ２・ｌｏｇ２Ｎ）」となる。
【０１６１】
一方、本実施形態の情報処理装置２０を用いる提供元装置３０は、他の提供元装置３０のデータを処理する必要がない。
【０１６２】
提供元装置３０の処理は、保存する元のデータにノイズを入れる処理、及び、保存する元のデータを汎化する処理となる。つまり、提供元装置３０の処理量は、「Ｏ（Ｎ）」のレベルとなる。このように、本実施形態の情報処理装置２０は、提供元装置３０の処理量を削減できる。
【０１６３】
＜変形例１＞
本実施形態の情報処理装置２０は、準識別子として、年齢のような数値に限る必要はない。例えば、情報処理装置２０は、準識別子の一部又は全てに、性別や病気名のような分類名（カテゴリー）を用いても良い。
【０１６４】
分類名を使用する場合、情報処理装置２０は、分類名を数値に置き換えて処理しても良い。分類名を数値に置き換えれば、情報処理装置２０は、第１の実施形態と同様の構成及び処理を用いて、処理を実現できる。
【０１６５】
また、情報処理装置２０は、分類に木構造を適用し、一般的な木構造の処理を用いて、分類名の準識別子を処理しても良い。
【０１６６】
本変形例の情報処理装置２０は、数値以外の準識別子を取り扱う効果を得ることができる。
【０１６７】
その理由は、次のとおりである。
【０１６８】
本変形例の情報処理装置２０は、数値以外の順識別子を数値に変換する、又は、木構造を用いて、数値以外の準識別子を処理できるためである。
【０１６９】
＜変形例２＞
情報処理装置２０は、提供元装置３０に、方針算出用データの算出について、指示しても良い。
【０１７０】
例えば、提供元装置３０が、データにノイズを加える場合を用いて説明する。
【０１７１】
情報処理装置２０の匿名性検査部２５０の検査に結果において、集約後のデータの匿名性を満たすデータの比率が、所定の値より低い場合、情報処理装置２０は、ノイズ付加データを基にした方針の算出が、適切でないと判断する。
【０１７２】
そこで、情報処理装置２０は、提供元装置３０にノイズ幅の調整を依頼する。
【０１７３】
そして、情報処理装置２０は、提供元装置３０からノイズ幅の調整後のノイズ付加データを受信し、新たな方針を算出する。そして、情報処理装置２０は、算出した方針を、提供元装置３０に送信する。
【０１７４】
なお、情報処理装置２０は、新に算出した方針が、前回の方針と変化したか否かを判断しても良い。そして、変化しない場合、情報処理装置２０は、方針を送信せず、さらにノイズ幅の変更を依頼しても良い。
【０１７５】
提供元装置３０は、新たな方針を基にデータを汎化し、情報処理装置２０に送信する。
【０１７６】
情報処理装置２０は、修正した方針を基に汎化したデータを集約し、匿名性を検査する。
【０１７７】
情報処理装置２０は、所定の匿名性を満たすまで、この処理を繰り返しても良い。
【０１７８】
なお、情報処理装置２０が提供元装置３０に指示する構成は、特に制限はない。
【０１７９】
例えば、情報処理装置２０の匿名性検査部２５０が、提供元装置３０にノイズの修正を指示してもよい。
【０１８０】
あるいは、情報処理装置２０が、図示しないノイズ修正指示部を含み、匿名性検査部２５０が、ノイズ修正指示部に提供元装置３０への通知を依頼してもよい。
【０１８１】
あるいは、匿名性検査部２５０が、提供元装置３０に汎化幅を送信する方針算出部２３０に指示し、方針算出部２３０が、提供元装置３０にノイズの変更を指示してもよい。
【０１８２】
本変形例に係る情報処理装置２０は、より適切な匿名性を実現する効果を得ることできる。
【０１８３】
その理由は、次のとおりである。
【０１８４】
本変形例の情報処理装置２０は、集約した汎化データの匿名性の検査結果を基に、提供元装置３０から受け取る方針算出用データを修正できるためである。
【０１８５】
＜変形例３＞
情報処理装置２０は、提供元装置３０から、各提供元装置３０が必要とするデータの匿名性を受け取っても良い。
【０１８６】
この場合、情報処理装置２０は、受け取ったデータの匿名性を満たすように、利用者装置４０に提供する結合データの匿名性を決定する。
【０１８７】
例えば、情報処理装置２０は、提供元装置３０から受け取った最も高い匿名性を満たすように、汎化の方針を決定し、データを匿名化しても良い。
【０１８８】
あるいは、情報処理装置２０は、提供元装置３０から受け取ったデータが含まれる各グループにおいて、受け取った匿名性を満足するように、各提供元装置３０の汎化の方針を決定し、データを匿名化しても良い。
【０１８９】
本変形例に係る情報処理装置２０は、提供元装置３０にとって、より適切な匿名性を実現する効果を得ることができる。
【０１９０】
その理由は、次のとおりである。
【０１９１】
本変形例の情報処理装置２０は、提供元装置３０が必要とするデータの匿名性を受け取り、その匿名性を満たすように、データを匿名化するためである。
【０１９２】
＜変形例４＞
情報処理装置２０の構成は、これまでの説明に限らない。
【０１９３】
情報処理装置２０は、各構成を複数の構成に分けても良い。
【０１９４】
例えば、情報処理装置２０の方針算出部２３０は、方針を算出する構成と、方針を送信する構成とに分かれても良い。
【０１９５】
あるいは、情報処理装置２０は、１つの装置で構成される必要はない。例えば、情報処理装置２０は、ネットワーク５０を介して接続した方針決定部２０１を含む装置と、匿名化データ作成部２０２を含む装置とを用いて構成されても良い。
【０１９６】
また、情報処理装置２０は、複数の構成を１つの構成としても良い。
【０１９７】
例えば、情報処理装置２０は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）と、入出力接続回路（ＩＯＣ：Input/Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現しても良い。
【０１９８】
図９は、本実施形態の情報処理装置２０の変形例である情報処理装置６０の構成の一例を示すブロック図である。
【０１９９】
情報処理装置６０は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータを構成している。
【０２００】
ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０は、これらの構成を制御し、図２に示す、方針決定部２０１と匿名化データ作成部２０２としての各機能を実現する。ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０をプログラムの一時記憶として使用しても良い。
【０２０１】
また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでも良い。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取っても良い。
【０２０２】
ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programable-ROM）やフラッシュＲＯＭである。
【０２０３】
ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラムやデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。
【０２０４】
内部記憶装置６４０は、情報処理装置６０が長期的に保存するデータやプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作しても良い。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。
【０２０５】
ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカードである。
【０２０６】
入力機器６６０は、情報処理装置６０の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。
【０２０７】
表示機器６７０は、情報処理装置６０の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。
【０２０８】
ＮＩＣ６８０は、ネットワークを介した外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮカードである。
【０２０９】
このように構成された情報処理装置６０は、情報処理装置２０と同様の効果を得ることができる。
【０２１０】
その理由は、次のとおりである。
【０２１１】
情報処理装置６０のＣＰＵ６１０は、プログラムに基づいて情報処理装置２０と同様の機能を実現できるためである。
【０２１２】
なお、提供元装置３０も、情報処理装置２０の同様に、図９で示すコンピュータを用いて実現されても良い。
【０２１３】
（第２の実施形態）
第１の実施形態の情報処理装置２０は、匿名性検査部２５０とサプレッション部２６０とを用いて、適切な匿名化を実現する。
【０２１４】
また、情報処理装置２０が匿名性を検査する汎化後の結合データは、提供元装置３０において、方針を基に匿名化されている。情報処理装置２０が算出する方針は、既に説明のとおり、汎化としてかなり妥当な値である。そのため、提供元装置３０は、ある程度適切にデータを汎化できる。従って、サプレッション部２６０の処理は、大きな処理量とはならない。
【０２１５】
しかし、サプレッション部２６０の処理は、できる限り少ない方が、望ましい。サプレッション部２６０の処理を削減するために、情報処理装置２０において、より適切な方針（例えば、汎化幅又は境界）の算出が、望ましい。
【０２１６】
そこで、第２の実施形態の情報処理装置２０は、方針の算出を改善し、より適切な方針（例えば、汎化幅又は境界）を算出する。
【０２１７】
第２の実施形態の情報処理装置２０の構成は、第１の実施形態と同様のため、構成の説明を省略する。また、第２の実施形態の情報処理装置２０の動作は、匿名化部２２０の動作を除き、第１に実施形態と同様である。そのため、第１の実施形態と同じ動作の説明は省略し、第２の実施形態に特有の動作について説明する。
【０２１８】
第１の実施形態の匿名化部２２０は、受け取った方針算出用データを基に、匿名化を進めた。
【０２１９】
これに対し、第２の実施形態の匿名化部２２０は、受け取った方針算出用データを、方針算出用データの作成方法のデータへの影響を考慮して、匿名化する。つまり、第２の実施形態の匿名化部２２０は、提供元装置３０の方針算出用データの作成手法を参照し、匿名化を実施する。
【０２２０】
以下の匿名化部２２０の動作の説明は、図５に示すデータに、ノイズを入れる場合を用いて説明する。
【０２２１】
第２の実施形態の匿名化部２２０の動作について、図１０−１３を参照して説明する。
【０２２２】
図１０は、第１の実施形態の説明に用いた図６に示すノイズ付加データを示す図である。
【０２２３】
図中の黒丸が、ノイズ付加データを示す。また、各黒丸の上下の範囲が、ノイズの範囲である。ここで、ノイズの最大は、「２」としている。つまり、各ノイズ付加データに対応する元のデータは、この範囲に入る。
【０２２４】
図１０の右に示す表は、図５に示す「元のデータ」と、図１０に示す「ノイズ付加データ」と、ノイズ付加データを基に匿名化部２２０が匿名化した「匿名化データ」とを対応させた表である。
【０２２５】
また、図１０に示す「境界」は、匿名化後データの境界である。
【０２２６】
図１１は、図５のデータに、図１０とは異なるノイズを加算したノイズ付加データを示す図である。
【０２２７】
第１の実施形態の匿名化部２２０は、受信したデータを基に、境界（例えば、ノイズ付加データの中央値）を算出した。
【０２２８】
第１の実施形態と同様に動作すると、匿名化部２２０は、図１１に示すように、ノイズ付加データの中央値である「２２」を境界として用いて、データを匿名化する。その結果、情報処理装置２０は、汎化幅として、「年齢：２０−２１」と「年齢：２２−３０」を、提供元装置３０に送信する。図１１の右の表は、この汎化幅に対応するデータのである。
【０２２９】
図１１に示す匿名化の場合、汎化幅は、「年齢：２０−２１」と「年齢：２２−３０」となる。
【０２３０】
図１２は、提供元装置３０が、図１１に示す匿名化を基に算出される汎化幅を基に汎化した場合のデータを示す図である。
【０２３１】
図１２から明らかなように、この匿名化は、適切ではない。例えば、年齢２０−２１のグループは、データ数が「１」であり、「２−匿名性」を満足しない。そのため、この汎化データを受け取った情報処理装置２０は、サプレッション部２６０でのサプレッション処理が必要となる。
【０２３２】
そこで、本実施形態の匿名化部２２０は、各点における「分割の不均等性」及び「匿名性を満たさないリスク」を用いて境界を選択する。
【０２３３】
「分割の不均等性」とは、その点を境界とした場合における、分割後のデータの不均等さである。例えば、「中央値からの距離」は、「分割の不均等性」の一例である。中央値から遠い点での分割は、中央値に近い点での分割に比べ、分割後のグループに含まれるデータの数の差が大きくなる。
【０２３４】
「匿名性を満たさないリスク」は、その点を境界とした場合における、方針算出用データの曖昧さに基づく分割の不適正さである。例えば、「ノイズ範囲を考慮した分割点に含まれるデータの数」は、「匿名性を満たさないリスク」の一例である。ノイズ範囲を考慮したデータが多く含まれる境界は、その境界で分割した場合の元のデータの分割後の分布の変動が大きいと想定できる。
【０２３５】
そこで、本実施形態の匿名化部２２０は、例えば、次に示す「数式１」を用いて計算した値（スコア）が小さい点を境界（分割点）とする。
【０２３６】
（数１）
スコア＝「中央値からの距離」＋「ノイズ範囲を考慮したデータの数」  …  （１）
図１３は、各データに「数式１」のスコアを記載したデータを示す図である。
【０２３７】
年齢のデータの括弧の中が、「数式１」を用いたスコアである。右辺の第１項が、「中央値からの距離」である。第２項が、「ノイズ範囲を考慮したデータの数」である。
【０２３８】
例えば、年齢「２５」のスコアの「４」は、「中央値からの距離」の「３」と「ノイズ範囲を考慮したデータの数」の「１」との和である。
【０２３９】
なお、ノイズ付加データのデータ範囲でない年齢（例えば、図１１の２０未満、及び、２８を超える範囲）は、境界となる可能性がないため、考慮しなくても良い。
【０２４０】
図１１の各データで上記スコアを計算すると、年齢「２２」、「２３」、及び、「２４」のスコアが、最も小さい値（３）である。
【０２４１】
同じスコアの準識別子（今の場合、年齢）が複数ある場合、本実施形態の匿名化部２２０は、いずれの準識別子を境界として採用してもよく、特に制限はない。
【０２４２】
ただし、本実施形態の情報処理装置２０は、匿名化を満たさない可能性の低減を、目的の１つとしている。そこで、以下、本実施形態の匿名化部２２０は、最も「匿名性を満たさないリスク」である「ノイズ範囲を考慮したデータの数」が小さい準識別子を採用するとして説明する。
【０２４３】
今の場合、年齢「２４」の「ノイズ範囲を考慮したデータの数」の値「１」が、最も小さい値である。そのため、匿名化部２２０は、年齢「２４」を境界として、ノイズ付加データを匿名化する（図１３に示す境界を参照）。
【０２４４】
なお、図１３に示すように、年齢「２４」は、ノイズ付加データのノイズを考慮した場合の、データの重なりの少ない、つまり、「匿名性を満たさないリスク」が低い年齢の中で、最も中央値に近い値である。
【０２４５】
図１４は、年齢「２４」を境界とした場合の提供元装置３０の汎化後のデータを示す図である。
【０２４６】
図１４に示すデータは、図１２に示すデータと比べ、適切な匿名化が実施されている。例えば、図１４に示すデータは、「２−匿名性」を満足する。
【０２４７】
なお、本実施形態の情報処理装置２０が使用するスコアは、「数式１」に限る必要はない。
【０２４８】
例えば、情報処理装置２０は、「分割の不均等性」又は「匿名性を満たさないリスク」の影響を修正するための「重み」を用いても良い。
【０２４９】
そのため、情報処理装置２０は、「数式１」の代わりに、次に示す「数式２」を用いて、スコアを算出しても良い。
【０２５０】
（数２）
スコア＝「中央値からの距離」＋「重み」×「ノイズ範囲を考慮したデータの数」…（２）
「数式２」の「重み」は、「ノイズ範囲を考慮したデータの数」がスコアに与える影響を調整するためのパラメータである。
【０２５１】
「重み」に「１」より大きな値を設定した場合、スコアは、「ノイズ範囲を考慮したデータの数」の影響を大きく受ける。その結果、「ノイズ範囲を考慮したデータの数」の値が大きな境界は、選択されにくくなる。反対に、「中央値からの距離」の値が大きな境界は、相対的に、選択され易くなる。
【０２５２】
一方、「重み」に「１」より小さな値を設定した場合、スコアは、「ノイズ範囲を考慮したデータの数」の影響を受けにくくなる。その結果、「ノイズ範囲を考慮したデータの数」の値が大きな境界は、選択され易くなる。反対に、「中央時からの距離」が大きな境界は、相対的に、選択されにくくなる。
【０２５３】
なお、「重み」は、「中央値からの距離」に乗じても良い。その場合、「重み」と「境界としての選択され易さ」とは、上記の反対となる。
【０２５４】
さらに、情報処理装置２０は、「重み」を、準識別子の属性に応じて変更しても良い。例えば、事前に、分割に対する準識別子の属性の影響の良否が分かっている場合、情報処理装置２０は、準識別子の属性に異なる重みを設定しても良い。
【０２５５】
例えば、準識別子の属性「年齢」が、属性「身長」と比べ、分割に対して良い影響を与えることが分かっている場合、情報処理装置２０は、属性「年齢」に大きなの「重み」（例えば「２」）を用い、属性「身長」に小さな「重み」（例えば「１」）を用いても良い。情報処理装置２０は、このような「重み」の設定を基に、更に、良い分割を実現できる。
【０２５６】
このように、第２の実施形態に係る情報処理装置２０は、第１の実施形態の効果に加え、より適切な汎化幅を算出する効果を得ることができる。
【０２５７】
その理由は、次のとおりである。
【０２５８】
第２の実施形態に係る匿名化部２２０は、「分割の不均等性」及び「匿名性を満たさないリスク」を用いて、提供元装置３０での汎化の方針を選択する。そのため、本実施形態の情報処理装置２０は、提供元装置３０において、より適切な汎化を指示できるためである。
【０２５９】
さらに、第２の実施形態に係る情報処理装置２０は、サプレッション部２６０の処理を低減する効果を得ることができる。
【０２６０】
その理由は、次のとおりである。
【０２６１】
匿名化部２２０は、提供元装置３０での汎化を改善できる。そのため、サプレッション部２６０で必要となる処理の回数が少なくなるためである。
【０２６２】
（第３の実施形態）
提供元装置３０は、情報処理装置２０に、できる限りデータを提供したくない。
【０２６３】
また、情報処理装置２０は、提供元装置３０の一部のデータを基に、所定の適応度を持った方針を算出できる。
【０２６４】
そのため、本実施形態の情報処理装置２０は、方針算出用データとして、提供元装置３０から、利用者装置４０に提供するためのデータの一部又は属性の一部を受信する。
【０２６５】
なお、ここに記載の「一部」は、提供元装置３０が、保持するデータの一部を方針算出用データとして提供する場合と、一部の提供元装置３０が、方針算出用データを提供する場合とを含む。
【０２６６】
情報処理装置２０の構成は、第１及び第２の実施形態と同様で良い。そのため、本実施形態の情報処理装置２０の構成の説明を省略する。
【０２６７】
また、情報処理装置２０の動作は、第１の実施形態及び第２の実施形態と同様でも良い。
【０２６８】
ただし、方針算出用データが、提供元装置３０が提供するデータの一部の場合、情報処理装置２０の匿名化部２２０は、利用者装置４０に提供するデータの匿名性とは異なる匿名性を満足するように、方針算出用データを匿名化しても良い。この場合でも、方針算出部２３０は、匿名化部２２０が匿名化したデータを基に方針を算出する。
【０２６９】
以下、第１及び第２の実施形態と同様の動作の説明を省略し、本実施形態に特有の動作について説明する。
【０２７０】
データ量が多い結合データは、データ量が少ない結合データに比べ、匿名性を満たしやすい。例えば、１００００人の結合データは、３０００人の結合データに比べ、所定の「ｋ−匿名性」を容易に満たせる。
【０２７１】
そこで、本実施形態の匿名化部２２０は、データの量に比例してデータを匿名化する。
【０２７２】
具体的な数値を用いて説明する。
【０２７３】
例えば、情報処理装置２０は、匿名化済みデータとして、「１０−匿名性」を満足した１００００人のデータを利用者装置４０に提供するとする。そして、情報処理装置２０は、方針算出用データとして、提供元装置３０から３０％の確率、つまり、３０００人のデータを受信するとする。
【０２７４】
この場合、情報処理装置２０の匿名化部２２０は、匿名化として、匿名化済み結合データの匿名化より低い匿名化、具体的には、「１０―匿名化」の「１０」の値を３０％に削減した「３−匿名化」を実現しても良い。
【０２７５】
これは、既に説明したとおり、情報処理装置２０において、データ量が少ないほど、「ｋ−匿名性」を満たしにくいためである。
【０２７６】
例えば、３０００人のデータを基に「１０−匿名性」を満足する方針は、１００００人のデータに対して、必要以上に高い匿名性を実現する方針となる可能性が高い。
【０２７７】
一方、３０００人のデータにおいて「３−匿名性」を満足する方針は、１００００人のデータにおいて「１０−匿名性」を満足する方針に相当する可能性が高いと想定できる。
【０２７８】
このように、本実施形態の情報処理装置２０は、利用者装置４０に提供するデータの量に対する方針算出用データのデータ量を基に、匿名化部２２０の匿名化を選択する。方針算出部２３０は、匿名化部２２０が匿名化しデータを基に方針を算出する。その結果、情報処理装置２０は、方針算出用データのデータ量を基に、算出する方針を変更する。
【０２７９】
なお、匿名化部２２０は、データの比率ではなく、他の指標を基に、匿名性を変更しても良い。
【０２８０】
本実施形態の情報処理装置２０は、第１の及び第２の実施形態の効果に加え、通信量及び処理量を、低減する効果を得ることができる。
【０２８１】
その理由は、次のとおりである。
【０２８２】
情報処理装置２０の方針算出用データ集約部２１０は、提供元装置３０の保存する元のデータの一部を受信する。そのため、情報処理装置２０が受信するデータの通信量は、低減する。
【０２８３】
また、提供元装置３０は、方針算出用データの作成処理が少なくなる。さらに、情報処理装置２０の匿名化部２２０の匿名化処理は、処理するデータ量が少なくなるためである。
【０２８４】
＜変形例１＞
情報処理装置２０は、階層化された複数の装置で構成されても良い。
【０２８５】
情報処理装置２０が階層構造を構成する場合、階層構造の下位の情報処理装置２０は、必要に応じて、上位に情報処理装置２０に匿名化したデータを送信する。上位の情報処理装置２０は、受け取った匿名化後のデータを集約し、必要な匿名化を実施する。
【０２８６】
そして、本変形例に係る情報処理装置２０は、取扱いデータ量を基に、データが満足する匿名性を変更する。
【０２８７】
具体的な数値を用いて説明する。
【０２８８】
Ｘ市は、Ａ町とＢ町とを含むとする。そして、情報処理装置２０は、Ｘ市と、Ａ町と、Ｂ町とに備えられるとする。そして、情報処理装置２０は、人口に比例した匿名化を実施するとする。例えば、情報処理装置２０は、「［人口／１０００］−匿名性」を実施するとする。そして、Ａ町の人口が４０００人、Ｂ町の人口が６０００人とする。つまり、Ｘ市の人口は、１００００人とする。
【０２８９】
この場合、Ａ町の情報処理装置２０は、Ａ町のデータを「４（＝４０００／１０００）−匿名化」する。
【０２９０】
同様に、Ｂ町の情報処理装置２０は、Ｂ町のデータを「６（＝６０００／１０００）−匿名化」する。
【０２９１】
さらに、Ｘ市の情報処理装置２０は、Ａ町の情報処理装置２０からＡ町の匿名化後のデータを受信し、Ｂ町の情報処理装置２０からＢ町の匿名化後のデータ受信し、データを集約し、「１０（＝１００００／１０００）−匿名化」する。
【０２９２】
本変形例の情報処理装置２０は、適切な処理量と匿名化を実現できる効果を得ることができる。
【０２９３】
その理由は、次のとおりである。
【０２９４】
本変形例の情報処理装置２０は、必要なデータの範囲を匿名化するためである。
【０２９５】
また、本実施形態の上位の情報処理装置２０は、下位の情報処理装置２０から匿名化後のデータを受信し、匿名化するためである。
【０２９６】
以上、実施形態を参照して本願発明を説明したが、本願発明は、上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０２９７】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０２９８】
（付記１）
方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置のデータの汎化に用いる方針を算出する方針決定手段と、
前記提供元装置が前記方針を基に汎化したデータを基に、匿名化データを作成する匿名化データ作成手段と
を含む情報処理装置。
【０２９９】
（付記２）
前記方針決定手段が、
前記方針算出用データを集約する方針算出用データ集約手段と、
前記集約された方針算出用データを匿名化する匿名化手段と、
前記匿名化されたデータを基に前記方針を算出する方針算出手段と
を含む付記１に記載の情報処理装置。
【０３００】
（付記３）
前記方針算出用データ集約手段が、
前記方針算出用データとして、前記提供元装置のデータに所定のノイズを加算したデータを集約する
付記２に記載の情報処理装置。
【０３０１】
（付記４）
前記方針算出手段が、
前記方針として、前記提供元装置の汎化における汎化幅又は汎化の境界を算出する
付記２又は付記３に記載の情報処理装置。
【０３０２】
（付記５）
前記匿名化手段が、
準識別子を匿名化する
付記２乃至付記４のいずれか１項に記載の情報処理装置。
【０３０３】
（付記６）
前記匿名化手段が、
匿名化における「分割の不均等性」及び「匿名性を満たさないリスク」を考慮して匿名化する
付記２乃至付記５のいずれか１項に記載の情報処理装置。
【０３０４】
（付記７）
前記方針算出用データが、前記提供元装置のデータの一部を曖昧化したデータであり、
前記匿名化手段が、前記提供元装置のデータに対する前記方針算出用データのデータ量を基に、前記方針算出用データを匿名化する
付記２乃至付記６のいずれか１項に記載の情報処理装置。
【０３０５】
（付記８）
前記匿名化データ作成手段が、
前記提供元装置が前記方針を基に汎化したデータを集約する汎化データ集約手段と、
前記集約された汎化データの匿名性を検査する匿名性検査手段と、
前記検査の結果、前記集約された汎化データが匿名性を満たさない場合、前記集約された汎化データをサプレッションするサプレッション手段と
を含む付記１乃至付記７のいずれか1項に記載の情報処理装置。
【０３０６】
（付記９）
前記匿名性検査手段が、
前記集約された汎化データの匿名性の検査を基に、前記提供元装置に方針算出用データの修正を指示する
付記８に記載の情報処理装置。
【０３０７】
（付記１０）
前記サプレッション手段が、
準識別子をサプレッションする
付記８又は付記９に記載の情報処理装置。
【０３０８】
（付記１１）
前記準識別子が、
数値データ又は分類名データである
付記５又は付記１０に記載の情報処理装置。
【０３０９】
（付記１２）
方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置がデータの汎化に用いる方針を算出する方針算出手段と、
前記提供元装置が前記方針を基に汎化したデータを基に匿名化データを作成する匿名化データ作成手段と
を含む情報処理装置と、
前記提供元装置のデータを保存するデータ保存手段と、
前記保存するデータを基に前記方針算出用データを作成する方針算出用データ作成手段と、
前記情報処理装置が算出した前記方針を保存する方針保存手段と、
前記方針を基に前記保存するデータを汎化する汎化手段と
を含む提供元装置と
を含む情報処理システム。
【０３１０】
（付記１３）
階層構造で接続された複数の前記情報処理装置を含む
付記８に記載の情報処理システム。
【０３１１】
（付記１４）
方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置のデータの汎化に用いる方針を算出し、
前記提供元装置が前記方針を基に汎化したデータを基に、匿名化データを作成する
情報匿名化方法。
【０３１２】
（付記１５）
方針を算出できる程度に提供元装置のデータを曖昧化したデータである方針算出用データを基に、前記提供元装置のデータの汎化に用いる方針を算出する処理と、
前記提供元装置が前記方針を基に汎化したデータを基に、匿名化データを作成する処理と
をコンピュータに実行させるプログラム。
【符号の説明】
【０３１３】
１０    情報処理システム
２０    情報処理装置
２１    情報処理装置
３０    提供元装置
４０    利用者装置
５０    ネットワーク
６０    情報処理装置
２０１    方針決定部
２０２    匿名化データ作成部
２０３    方針決定部
２１０    方針算出用データ集約部
２１１    ノイズ付加データ集約部
２２０    匿名化部
２３０    方針算出部
２３１    汎化幅算出部
２４０    汎化データ集約部
２５０    匿名性検査部
２６０    サプレッション部
３１０    データ保存部
３２０    ノイズ付加部
３３０    汎化幅保存部
３４０    汎化部
６１０    ＣＰＵ
６２０    ＲＯＭ
６３０    ＲＡＭ
６４０    内部記憶装置
６５０    ＩＯＣ
６６０    入力機器
６７０    表示機器
６８０    ＮＩＣ
７００    記憶媒体
【図１】
2014170369.tif 000003
【図２】
2014170369.tif 000004
【図３】
2014170369.tif 000005
【図４】
2014170369.tif 000006
【図５】
2014170369.tif 000007
【図６】
2014170369.tif 000008
【図７】
2014170369.tif 000009
【図８】
2014170369.tif 000010
【図９】
2014170369.tif 000011
【図１０】
2014170369.tif 000012
【図１１】
2014170369.tif 000013
【図１２】
2014170369.tif 000014
【図１３】
2014170369.tif 000015
【図１４】
2014170369.tif 000016