(57)【特許請求の範囲】
【請求項１】
複数の隠蔽対象レコードを格納したレコード格納ファイルと、隠蔽指示コマンド情報を記憶した隠蔽指示コマンド記憶部と、隠蔽変換テーブルを格納した隠蔽変換テーブルファイルと、乱数を形成する隠蔽変換テーブル形成部と、隠蔽データを形成するデータ変換部とを有し、それぞれ複数のフィールドを含んだ隠蔽対象レコードにおける前記複数のフィールドの中の指定フィールド間のデータ変換を行うことにより当該データを隠蔽するデータ隠蔽方法であって、隠蔽対象レコードを前記レコード格納ファイルから読み出し、前記隠蔽指示コマンド記憶部から隠蔽指示コマンド情報を読み出す第１ステップと、前記隠蔽指示コマンド情報の指示に基づいて前記隠蔽対象レコードにおける指定フィールド間のデータを前記形成した乱数を用いて倒置させ、当該データの倒置変換状態を表す隠蔽変換テーブルを形成し、その隠蔽変換テーブルを前記隠蔽変換テーブルファイルに格納する第２ステップと、前記レコード格納ファイルから読み出した隠蔽対象レコードの指定フィールドのデータを前記隠蔽変換テーブルファイルから読み出した隠蔽変換テーブルの内容に基づいて倒置した隠蔽データを形成する第３ステップとを有していることを特徴とするデータ隠蔽方法。
【請求項２】
前記隠蔽指示コマンド情報として変更前文字群と変更後文字群とを予め定義しておき、前記第２ステップにおいて、前記複数のフィールドの中の指定フィールド間のデータ変換を行う際に、そのデータの中に前記変更前文字群で定義した文字があった場合、その文字を前記変更後文字群の中のいずれかに前記形成した乱数を用いて倒置させるようにしたことを特徴とする請求項１に記載のデータ隠蔽方法。
【請求項３】
前記複数のフィールドの中の指定フィールド間のデータ変換を行う際に、前記隠蔽指示コマンド情報として前記指定フィールドの中の２つのフィールドを主フィールド及び従フィールドとして予め定義しておき、前記第２ステップにおいて、隠蔽対象レコードを読み込んだ際に、当該レコードにおける前記主フィールド及び従フィールドの各データ間を前記形成した乱数を用いて倒置させるようにしたことを特徴とする請求項１または２に記載のデータ隠蔽方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、データ隠蔽方法に係わり、特に、データファイルの中の１つ以上の特定のフィールド（項目）に該当するデータを倒置によって隠蔽させるようにしたデータ隠蔽方法に関する。
【０００２】
【従来の技術】
一般に、顧客情報管理システム等のように個人別の各種データを管理する情報処理システムは、これまでに数多く存在し、さらに増えつつある。このような情報処理システムにおいては、新たにシステムを構築する際に、そのシステムが正常に動作することを確認するため、テストが何回となく行われることが多い。
【０００３】
新たなシステムに対して行なわれるテストは、実際に、実データを用いて行うことが好ましいが、前記顧客情報管理システムのように、取り扱うデータが個人別の各種データであり、しかも、その各種データの中に各個人の住所、収入、趣味等を示すデータにように、機密にしておきたいデータが含まれている場合は、テスト中またはテスト後に、何等かの理由によってこれらのデータが外部へ漏洩すると、大きな問題になることがある。
【０００４】
ところで、コンピュータに関連する各種データに対するデータ機密保護手段に関しては、データを暗号化し、データ内容を隠蔽するデータ暗号化方式が知られている。この他にも、特開昭５８−６２７４５号に開示されているように、情報検索を行なうことができる有資格者が、予め定められた特定のコードを負荷した状態で情報検索を行った場合に限って、特定のフィールド（項目）の検索が許されるデータ機密保護手段も知られている。
【０００５】
【発明が解決しようとする課題】
前記データ暗号化方式は、データを暗号化することにより、データの機密性を保持することができるものの、暗号化データは、本来の実データに対してデータの有意性が大幅に損なわれているため、新たなシステムのテストを行なう場合、そのまま実データとして用いることができないという問題を有している。
【０００６】
また、前記特開昭５８−６２７４５号に開示されているデータ機密保護手段は、情報検索を行なうことができる有資格者でなければ、新たなシステムのテストを行なうことができず、その上、テストに実データが用いられるため、盗用等の悪意を持つ者が有資格者になった場合、テストに用いられたデータが外部に漏洩する恐れがあるという問題を有している。
【０００７】
本発明は、これら問題点を解決するもので、その目的は、データの有意性と機密性の双方を保ちながら、データを加工することを可能にしたデータ隠蔽方法を提供することにある。
【０００８】
【課題を解決するための手段】
前記目的を達成するために、本発明によるデータ隠蔽方法は、複数の隠蔽対象レコードを格納したレコード格納ファイルと、隠蔽指示コマンド情報を記憶した隠蔽指示コマンド記憶部と、隠蔽変換テーブルを格納した隠蔽変換テーブルファイルとを用い、それぞれ複数のフィールドを含んだ隠蔽対象レコードにおける複数のフィールドの中の指定フィールド間のデータ変換を行うことにより当該データを隠蔽するデータ隠蔽方法であって、隠蔽対象レコードをレコード格納ファイルから読み出し、隠蔽指示コマンド記憶部から隠蔽指示コマンド情報を読み出す第１ステップと、隠蔽指示コマンド情報の指示に基づいて隠蔽対象レコードにおける指定フィールド間のデータを乱数を用いて倒置させ、当該データの倒置変換状態を表す隠蔽変換テーブルを形成し、その隠蔽変換テーブルを隠蔽変換テーブルファイルに格納する第２ステップと、レコード格納ファイルから読み出した隠蔽対象レコードの指定フィールドのデータを隠蔽変換テーブルファイルから読み出した隠蔽変換テーブルの内容に基づいて倒置した隠蔽データを形成する第３ステップとを有している第１の手段を具備する。
【０００９】
前記目的を達成するために、本発明によるデータ隠蔽方法は、隠蔽指示コマンド情報として変更前文字群と変更後文字群とを予め定義しておき、第２ステップにおいて、複数のフィールドの中の指定フィールド間のデータ変換を行う際に、そのデータの中に変更前文字群で定義した文字があった場合、その文字を変更後文字群の中のいずれかに乱数を用いて倒置させるようにした第２の手段を具備する。
【００１０】
前記目的を達成するために、本発明によるデータ隠蔽方法は、複数のフィールドの中の指定フィールド間のデータ変換を行う際に、隠蔽指示コマンド情報として指定フィールドの中の２つのフィールドを主フィールド及び従フィールドとして予め定義しておき、第２ステップにおいて、隠蔽対象レコードを読み込んだ際に、当該レコードにおける前記主フィールド及び従フィールドの各データ間を乱数を用いて倒置させるようにした第３の手段を具備する。
【００１１】
前記第１の手段によれば、隠蔽すべきフィールドに該当するデータ間で、データの一部を乱数に基づいて倒置させるものであるので、倒置前のデータを有効に隠蔽することができるだけでなく、倒置後のデータに有意性を有しており、倒置後のデータをそのまま新たなシステムのテストに用いることができる。
【００１２】
また、前記第２の手段によれば、隠蔽すべきフィールド内に倒置後のデータ中に変更前文字群に該当する文字があった場合、その文字を乱数に基づいて選んだ変更後文字群の中の文字に倒置させるものであるので、前記第１の手段に比べて倒置前のデータの隠蔽状態がより優れ、しかも、倒置後のデータの有意性も保持されていて、同様に倒置後のデータをシステムのテストに用いることができる。
【００１３】
さらに、前記第３の手段によれば、同一のレコード内の主フィールドと従フィールドにそれぞれ該当するデータを、乱数に基づいて同じように倒置させるものであるので、倒置前のデータを有効に隠蔽することができるとともに、倒置後のデータの有意性及び関連性が損なわれることがなく、同様に倒置後のデータをシステムのテストに用いることができる。
【００１４】
【発明の実施の形態】
本発明の第１の実施の形態において、データ隠蔽方法は、データファイルが複数のフィールドを含む複数のレコードからなり、複数のフィールドの中の１つ以上のフィールドに該当するデータを隠蔽するものであって、隠蔽すべきフィールドに該当するデータ間で、データの一部を乱数に基づいて倒置させるようにしたものである。
【００１５】
また、本発明の第１の実施の形態の一具体例において、データ隠蔽方法は、隠蔽すべきフィールドに該当するデータ間で、データの一部を乱数に基づいて倒置させる動作の実行プログラムを読出し専用記憶媒体に記憶させ、記憶媒体から読出したプログラムに基づいて動作が実行されるものである。
【００１６】
本発明の第２の実施の形態において、データ隠蔽方法は、第１の実施の形態による倒置に加えて、隠蔽すべきフィールドに該当するデータに対して変更前文字群と変更後文字群とを予め定義し、隠蔽すべきフィールド内において倒置後のデータ中に定義した変更前文字群に該当する文字があった場合、その文字を乱数に基づいて選んだ変更後文字群の中の文字に倒置させるようにしたものである。
【００１７】
また、本発明の第２の実施の形態の一具体例において、データ隠蔽方法は、隠蔽すべきフィールドに該当するデータに対して変更前文字群と変更後文字群とを予め定義し、隠蔽すべきフィールド内において倒置後のデータ中に定義した変更前文字群に該当する文字があった場合、その文字を乱数に基づいて選んだ変更後文字群の中の文字に倒置させる動作の実行プログラムを読出し専用記憶媒体に記憶させ、記憶媒体から読出したプログラムに基づいて動作が実行されるものである。
【００１８】
本発明の第３の実施の形態において、データ隠蔽方法は、第１の実施の形態による倒置または第２の実施の形態による倒置に加えて、複数のフィールドの中の関連のある２つのフィールドを選択し、選択した２つのフィールド間で主従関係を予め定義し、同一のレコード内における定義した主フィールドと従フィールドにそれぞれ該当するデータを乱数に基づいて同じように倒置させるようにしたものである。
【００１９】
また、本発明の第３の実施の形態の一具体例において、データ隠蔽方法は、複数のフィールドの中の関連のある２つのフィールドを選択し、選択した２つのフィールド間で主従関係を予め定義し、同一のレコード内における定義した主フィールドと従フィールドにそれぞれ該当するデータを乱数に基づいて同じように倒置させる動作の実行プログラムを読出し専用記憶媒体に記憶させ、記憶媒体から読出したプログラムに基づいて動作が実行されるものである。
【００２０】
本発明の第１の実施の形態によれば、隠蔽すべきフィールドに該当するデータ間においてデータの一部を乱数に基づいて倒置させるようにしたので、倒置前のデータと倒置後のデータの内容がランダムに異なり、倒置前のデータを有効に隠蔽することができる。また、倒置後のデータは、それ自体、有意性を備えているので、倒置後のデータをそのまま新たなシステムのテストに利用し、その動作の確認のために使用することができる。
【００２１】
本発明の第２の実施の形態によれば、隠蔽すべきフィールド内に倒置後のデータ中に変更前文字群に該当する文字があった場合に、その文字を乱数に基づいて選んだ変更後文字群の中の文字に倒置させるようにしたので、倒置前のデータと倒置後のデータの内容が第１の手段に比べてよりランダムに異なり、倒置前のデータをより有効に隠蔽することができる。また、倒置後のデータは、第１の手段における倒置後のデータと同様に、それ自体、有意性を備えているので、倒置後のデータをそのまま新たなシステムのテストに利用し、その動作の確認のために使用することができる。
【００２２】
本発明の第３の実施の形態によれば、同一のレコード内の主フィールドと従フィールドにそれぞれ該当するデータを、乱数に基づいて同じように倒置させるようにしたので、倒置前のデータと倒置後のデータの内容がランダムに異なり、しかも、倒置前のデータの関連性を保持した状態で有効に隠蔽することができる。また、倒置後のデータは、第１の手段または第２の手段における倒置後のデータと同様に、それ自体、有意性を備えているので、倒置後のデータをそのまま新たなシステムのテストに利用し、その動作の確認のために使用することができる。
【００２３】
【実施例】
以下、本発明の実施例を図面を参照して詳細に説明する。
【００２４】
図１は、本発明によるデータ隠蔽方法を実施するのに用いるデータ隠蔽システムの構成を示すブロック図である。
【００２５】
図１において、１は隠蔽指示コマンド記憶部、２は隠蔽変換テーブル形成部、３は隠蔽変換テーブルファイル、４はデータ変換部、５は隠蔽すべきフィールド（隠蔽項目）指示コマンド、６は隠蔽方法指示コマンド、７は関連フィールド（項目）指示コマンド、８はレコード格納ファイル、９は関連データファイル、１０は倒置後データファイル、１１は倒置後関連データファイルである。
【００２６】
そして、隠蔽指示コマンド記憶部１は、隠蔽項目指示コマンド５、隠蔽方法指示コマンド６、関連項目指示コマンド７からなる隠蔽指示コマンド情報を記憶しており、隠蔽指示コマンドは、いずれも、ユーザーによって予め定義されるものである。隠蔽項目指示コマンド５は、レコード格納ファイル８に格納されているレコードの中で、隠蔽すべきフィールド（項目）とその隠蔽種別を指定するコマンドであり、隠蔽方法指示コマンド６は、隠蔽すべきフィールド（項目）の指定または隠蔽すべきフィールド（項目）の中の隠蔽変更文字等の指定を行なうコマンドであり、関連項目指示コマンド７は、隠蔽すべきフィールド（項目）の中に住所項目と郵便番号項目のように、項目の内容に深い関連を有する２つ以上の項目が存在する場合、項目の内の１つを主項目に選び、それ以外の項目を従項目に選ぶというように、項目間の関係を指示するコマンドである。このように、関連項目を選択した理由は、例えば、住所と郵便番号の関連をチェックするようなシステムにおうては、住所と郵便番号とを異なる隠蔽手段によってデータの隠蔽を行なった場合、隠蔽後のこれらのデータは、相互に無関係になり、データとしての意味がなくなってしまうからである。
【００２７】
隠蔽変換テーブル形成部２は、後述するように、隠蔽変換テーブルを形成するものであり、隠蔽変換テーブルファイル３は、形成された隠蔽変換テーブルを格納するものである。
【００２８】
データ変換部４は、隠蔽変換テーブルファイル３に格納されている隠蔽変換テーブル、レコード格納ファイル８に格納されているレコード、関連データファイル９に格納されている関連データに基づいて指定されたフィールド（項目）に対して指定された隠蔽方法に従う倒置によるデータ隠蔽を実行する。この場合、関連データは、隠蔽すべきフィールド（項目）に該当するデータ（主データ）に関連するデータ（従属データ）という意味であって、主データが隠蔽によって変更された場合に、従属データも同じような変更を行ない、主データと従属データとの整合性を保つためのものである。例えば、主データが保険契約情報（基本情報）である場合、関連データは、特約情報、名寄情報・、契約トランザクション、住所変更データ等になる。倒置によって隠蔽されたデータは、倒置後データファイル１０及び倒置後関連データファイル１１は、倒置によって隠蔽されたデータを収納する。
【００２９】
次に、図２は、図１に図示されたデータ隠蔽システムにおける隠蔽変換テーブル形成部２で実行されるデータ処理経緯を示すフローチャートである。
【００３０】
図２のフローチャートを用い、隠蔽変換テーブル形成部２で実行されるデータ処理の動作経緯について説明する。
【００３１】
始めに、ステップＳ１において、隠蔽すべきフィールド（項目）を有するレコード数ｎを定める。
【００３２】
次に、ステップＳ２において、定めた隠蔽すべき項目を有するレコード数ｎを順番に１つづつ読み込む。
【００３３】
次いで、ステップＳ３において、１つのレコードが読み込まれる毎に、隠蔽項目指示コマンド５で指示されている項目に対し、１項目づつ所定のデータ処理を実行する。
【００３４】
続く、ステップＳ４において、ステップＳ３でデータ処理を行っている項目が関連項目指示コマンド７で指示されている従項目に該当するか否かを判断する。そして、従項目に該当するものと判断（Ｙ）したときは次のステップＳ５に移行し、一方、従項目に該当しないものと判断（Ｎ）したときは他のステップＳ６に移行する。
【００３５】
続いて、ステップＳ５において、読み込んだレコードをｉ、レコードｉの主項目をｊとしたとき、ｇ（ｉ、ｊ）に従って１からｎまでの整数値に変換し、１からｎの範囲内で一様な乱数Ｒ｛ｇ（ｉ、ｊ）、ｎ）を作成する。このように作成された乱数を用いて、隠蔽すべきレコードｉの対象項目Ｘのデータの一部に所定の倒置を行うための倒置変換を形成する。ここで、対象項目ＸをＦとし、Ｆの内容をＹとすると、Ｙ＝Ｆ（ｉ、ｊ、ｎ）で表される。
【００３６】
また、ステップＳ６において、読み込んだレコードをｉ、レコードｉの項目をｊとしたとき、ｇ（ｉ、ｊ）に従って１からｎまでの整数値に変換し、１からｎの範囲内で一様な乱数Ｒ｛ｇ（ｉ、ｊ）、ｎ）を作成する。このように作成された乱数Ｒ｛ｇ（ｉ、ｊ）、ｎ）を用いて、隠蔽すべきレコードｉの対象項目Ｘのデータの一部に所定の倒置を行うための倒置変換を形成する。ここで、対象項目ＸをＦとし、Ｆの内容をＹとすると、Ｙ＝Ｆ（ｉ、ｊ、ｎ）で表される。
【００３７】
次に、ステップＳ７において、隠蔽すべきレコードｉの対象項目Ｘが隠蔽方法指示コマンド６で指示されているか否かを判断する。そして、隠蔽方法指示コマンド６で指示されているものと判断（Ｙ）したときは次のステップＳ８に移行し、一方、隠蔽方法指示コマンド６で指示されていないものと判断（Ｎ）したときは他のステップＳ９に移行する。
【００３８】
次いで、ステップＳ８において、隠蔽方法指示コマンド６に指示されている変更後文字をａ、文字ａの文字数をＬとし、内容Ｙの中のＫ番目の文字が隠蔽方法指示コマンド６の変更前文字の中に含まれるとき、隠蔽方法指示コマンド６の変更後文字の中から１乃至Ｌの一様な乱数Ｒ（ｉ、ｊ、ｋ、Ｌ）に従って１文字を取り出し、これを変換結果ＧにおけるＫ番目の文字に選択する。このような文字の選択は、内容Ｙの中の全ての文字に対して行われ、得られた変換結果Ｇの内容をＹとすると、Ｙ＝Ｇ（ｉ、ｊ、ｋ、Ｌ）で表される。一方、内容Ｙの中のＫ番目の文字が隠蔽方法指示コマンド６の変更前文字の中に含まれないとき、内容Ｙの中のＫ番目の文字をそのまま変換結果ＧのＫ番目の文字に選択する。このような文字の選択は、内容Ｙの中の全ての文字に対して行われる。
【００３９】
続いて、ステップＳ９において、ステップＳ４乃至ステップＳ８における処理によって項目Ｘに対する変換後の内容Ｙが得られ、項目Ｘ及び変換後の内容Ｙから隠蔽変換テーブルＴが作成される。この場合、隠蔽変換テーブルＴは、Ｔ＝（Ｘ、Ｙ）で表される。作成された隠蔽変換テーブルＴは、隠蔽変換テーブルファイル３に収納される。
【００４０】
ここで、図３は、隠蔽項目指示コマンド５、隠蔽方法指示コマンド６、関連項目コマンド７、レコード格納ファイル８に収納されている隠蔽すべきレコードのデータフォーマットの一例を示す説明図である。
【００４１】
また、図４は、隠蔽変換テーブルファイル３に収納された隠蔽変換テーブルＴの一例を示す説明図であり、隠蔽変換テーブルＴの一部を示すものである。
【００４２】
図３に示されるように、隠蔽すべきレコードのフォーマット（項目）は、（１）氏名、（２）住所、（３）郵便番号、（４）商品、（５）商品情報コード、（６）金額からなる内容を含んでいる。隠蔽項目指示コマンド５は、項目（１）、（２）においてはデータの中の漢字データだけを隠蔽すること、項目（３）、（４）、（５）においてはデータの中の英数字データだけを隠蔽すること、項目（６）においてはデータの中の数値データだけを隠蔽することをそれぞれ指示している。関連項目コマンド７は、項目（２）、（３）の間においては項目（２）が主項目であり、項目（３）が従項目であること、及び、項目（４）、（５）の間においては項目（４）が主項目であり、項目（５）が従項目であることを指示している。隠蔽方法指示コマンド６は、項目（１）のデータの中の変更前文字（上段）とそれに対応する倒置後文字（下段）とを指示しており、項目（２）のデータの中の倒置前文字（上段）とそれに対応する倒置後文字（下段）とを指示している。
【００４３】
また、図４に示されるように、隠蔽変換テーブルＴは、項目（１）氏名については、項目Ｘ（変換前文字）がＡＡ  ＢＢであったとき、内容Ｙ（変換後文字）ではＥＦＧ  Ｈに倒置されること、項目Ｘ（変換前文字）がＣＣ  ＤＤであったとき、内容Ｙ（変換後文字）ではＩ  ＪＡＨに倒置されること等がそれぞれ指示され、項目（２）住所については、項目Ｘ（変換前文字）がＡ市Ｂ区Ｃ町１２であったとき、内容Ｙ（変換後文字）がＤ市Ｅ区Ｆ町３２に倒置されること、項目Ｘ（変換前文字）がＪ市Ｂ区Ｋ町２であったとき、内容Ｙ（変換後文字）がＬ市Ｍ区Ｎ町３に倒置されること等がそれぞれ指示されている。なお、図４には図示されていないが、他の項目（３）乃至（６）においても、前記項目（１）、（２）の場合と同じように倒置状態がそれぞれ指示されている。
【００４４】
次に、図１に図示されたデータ隠蔽システムにおけるデータ変換部４で行なわれる動作について説明する。
【００４５】
データ変換部４は、隠蔽変換テーブルファイル３に収納されている隠蔽変換テーブルＴと、レコード格納ファイル８に収納されている隠蔽すべきフィールド（項目）を有するレコードと、関連データファイル９に収納されている関連データと、隠蔽すべき項目の位置とその桁数と、関連データファイル９の項目の位置とその桁数とをそれぞれ入力し、隠蔽すべき項目の中の隠蔽項目指示コマンド５で指示されている全項目に対して、内容Ｙが隠蔽変換テーブルＴの変換項目Ｘに一致するものをそれらに対応する内容Ｙに倒置させ、倒置後のデータ（倒置結果）を倒置後データファイル１０または倒置後関連データファイル１１に収納する。
【００４６】
この場合、隠蔽変換テーブル形成部２やデータ変換部４で行なわれるデータ処理を隠蔽変換テーブル形成部２やデータ変換部４で行なう代わりに、隠蔽変換テーブル形成部２及びデータ変換部４で行なわれるデータ処理のプログラムを記憶媒体、例えば、ＣＤ−ＲＯＭやフロッピディスク（ＦＤ）等に格納させ、前記データ処理を行なう際に、このプログラムをインストールしたパーソナルコンピュータ（パソコン）等を用いて前記データ処理を実行させるようにしてもよい。
【００４７】
このように、本実施例においては、隠蔽すべきフィールド（項目）に該当するデータ間で、データの一部を乱数に基づいて倒置させるようにしているので、倒置前のデータを有効に隠蔽することができるだけでなく、倒置後のデータに有意性を有しており、倒置後のデータをそのまま新たなシステムのテストに用いることができる。
【００４８】
また、本実施例においては、隠蔽すべきフィールド（項目）内に倒置後のデータ中に変更前文字群に該当する文字があった場合、その文字を乱数に基づいて選んだ変更後文字群の中の文字に倒置させるようにしているので、倒置前のデータの隠蔽状態がより優れたものになり、しかも、倒置後のデータの有意性も保持されていて、同様に倒置後のデータをシステムのテストに用いることができる。
【００４９】
さらに、本実施例においては、同一のレコード内の主フィールド（主項目）と従フィールド（従項目）にそれぞれ該当するデータを、乱数に基づいて同じように倒置させるようにしているので、倒置前のデータを有効に隠蔽することができるとともに、倒置後のデータの有意性及び関連性が損なわれることがなく、同様に倒置後のデータをシステムのテストに用いることができる。
【００５０】
ところで、本実施例においては、隠蔽すべきフィールド（項目）に該当するデータ間において、データの一部を乱数に基づいて倒置させる手段（第１手段）と、隠蔽すべきフィールドに該当するデータに対して変更前文字群と変更後文字群とを予め定義し、隠蔽すべきフィールド内において倒置後のデータ中に定義した変更前文字群に該当する文字があった場合、その文字を乱数に基づいて選んだ変更後文字群の中の文字に倒置させる手段（第２手段）と、複数のフィールドの中の関連のある２つのフィールドを選択し、選択した２つのフィールド間で主従関係を予め定義し、同一のレコード内における定義した主フィールドと従フィールドにそれぞれ該当するデータを乱数に基づいて同じように倒置させる手段（第３手段）との３つの手段を合わせて実行する例を挙げて説明したものであるが、本発明のデータ隠蔽方法は、その中の第１手段だけを実行すれば、前述のように、本発明の目的が達成され、所期の効果が得られるものである。
【００５１】
しかしながら、第１手段に、第２手段及び／または第３手段を併用すれば、前述のように、データの隠蔽の度合いを高めたり、有意性を高めたりすることができるので、より好ましいものである。
【００５２】
また、本実施例においては、データの有意性を保持するために、データを隠蔽する前後において、同一項目中の文字種やデータの桁数を同じに保った例を挙げて説明したが、本発明のデータ隠蔽方法は文字種や桁数を同じに保つことに限定さえるものでなく、文字種や桁数以外の要素を同じに保つようにしてもよい。例えば、項目中のデータにおける最大値をテストしたり、項目中のデータが数値である場合、これらの数値の合計値をテストするようにしてもよい。この場合は、データを隠蔽した後においてもこの条件を保持する必要があるので、このような項目を隠蔽項目指示コマンド５で指定せずに、データ隠蔽処理の対象から除外することより対処可能になる。
【００５３】
【発明の効果】
以上説明したように、本発明によれば、隠蔽すべきフィールド（項目）に該当するデータ間で、データの一部を乱数に基づいて倒置させているので、倒置前のデータを有効に隠蔽することができるだけでなく、倒置後のデータにも有意性を備えていて、倒置後のデータをそのまま新たなシステムのテストに用いることができるという効果がある。
【００５４】
また、本発明によれば、隠蔽すべきフィールド（項目）に該当するデータの量が多くなればなる程、データの隠蔽の度合いが向上するようになり、新たなシステムのテスト時に、データ漏洩によって個人のプライバシーが侵害される等の危険がなく、新たなシステムの開発や検証を行なうためのデータとして有効に利用する使用することができ、データのアクセス権限を与えたりすることなく、誰でもこのデータを用いて新たなシステムの開発や検証を行なうことができるという効果がある。
【図面の簡単な説明】
【図１】本発明によるデータ隠蔽方法を実施するのに用いるデータ隠蔽システムの構成を示すブロック図である。
【図２】図１に図示されたデータ隠蔽システムにおける隠蔽変換テーブル形成部で実行されるデータ処理経緯を示すフローチャートである。
【図３】隠蔽項目指示コマンド、隠蔽方法指示コマンド、関連項目コマンド、レコード格納ファイルに収納されている隠蔽すべきレコードのデータフォーマットの一例を示す説明図である。
【図４】隠蔽変換テーブルファイルに収納された隠蔽変換テーブルの一例を示す説明図である。
【符号の説明】
１  隠蔽指示コマンド記憶部
２  隠蔽変換テーブル形成部
３  隠蔽変換テーブルファイル
４  データ変換部
５  隠蔽項目指示コマンド、
６  隠蔽方法指示コマンド
７  関連項目指示コマンド
８  レコード格納ファイル
９  関連データファイル
１０  倒置後データファイル
１１  倒置後関連データファイル
【図１】
0003576829.tif 000002
【図２】
0003576829.tif 000003
【図３】
0003576829.tif 000004
【図４】
0003576829.tif 000005