(57)【要約】  本発明は、ｋ−匿名化後のレコード群の準識別子を対比しても個人特定性の向上ができないように、匿名性を強化したデータセットを生成する匿名化装置を提供する。その匿名化装置は、匿名化対象データセットの固有識別情報を偽識別情報に変換しかつ準識別子を定められたｋ−匿名性を満足するように変換して、ｋ−匿名化データセットを生成するｋ−匿名化手段と、ｋ−匿名化データセットの同一の偽識別情報毎に固有識別情報に対応して常に同じ値を持つ準識別子を、それらの準識別子の対比による具体化が不可能な準識別子に変換して、匿名性強化データセットを生成し、出力する匿名性強化部手段と、を備える。
2013183250.tif 000002
【特許請求の範囲】
【請求項１】
固有識別情報と前記固有識別情報に対応する１以上の対象準識別子とを含む１以上の対象レコードを含む匿名化対象データセットについて、前記固有識別情報のそれぞれを、前記固有識別情報への復元情報を含まず、前記固有識別情報のそれぞれに固有に割り当てられる偽識別情報に変換し、かつ前記対象準識別子のそれぞれを、前記匿名化対象データセットがｋ−匿名性を満足するように、匿名化準識別子に変換して、前記対象レコードを匿名化レコードに変換し、前記匿名化レコードを含むｋ−匿名化データセットを生成するｋ−匿名化手段と、
前記ｋ−匿名化データセットについて、同一の前記偽識別情報を持つ前記匿名化レコードを強化レコードに変換し、前記強化レコードを含む匿名性強化データセットを生成し、出力する匿名性強化手段と、を含み、
前記匿名性強化手段は、前記匿名化対象データセットにおいて前記固有識別情報のそれぞれに対応して常に同じ属性値を持つ前記対象準識別子に対応する、前記匿名化準識別子である強化対象準識別子を、前記強化対象準識別子の対比による当該強化対象準識別子の具体化が不可能な情報に変換することで、前記匿名化レコードを前記強化レコードに変換する
情報処理装置。
【請求項２】
前記強化対象準識別子のそれぞれは属性名と属性値とからなる属性であって、
前記匿名性強化手段は、前記同一の前記偽識別情報を持つ全ての前記匿名化レコードに含まれる、前記強化対象準識別子を前記属性名毎に同一の属性値に変換した、前記匿名性強化データセットを生成する
ことを特徴とする請求項１記載の情報処理装置。
【請求項３】
前記匿名性強化手段は、前記同一の偽識別情報を持つ全ての前記匿名化レコードに含まれる前記属性名毎の前記強化対象準識別子を包含しかつ最小の範囲を示す属性値を、前記同一の属性値として当該強化対象準識別子を変換する
ことを特徴とする請求項２記載の情報処理装置。
【請求項４】
前記匿名性強化手段による前記強化対象準識別子の変換に伴う前記固有識別情報のそれぞれに対応する強化加工情報損失量を計算する情報損失計算手段と、
前記情報損失計算手段が計算した前記強化加工情報損失量に基づいて、前記対象レコードを１以上のグループに振り分ける場合の前記対象レコードの組み合わせを決定する組合せ決定手段を更に含み、
前記ｋ−匿名化手段は、各前記グループに属する前記対象レコードに含まれる前記対象準識別子を前記属性名毎に同一の属性値に変換して、ｋ−匿名化データセットを生成する、
ことを特徴とする請求項１乃至３のいずれか１項に記載の情報処理装置。
【請求項５】
前記組合決定手段は、前記匿名化対象データセットに含まれる全ての前記対象レコードの、前記匿名性強化手段による変換後の、情報損失量の総和が最小になるように各前記対象レコードの組み合わせを決定する
ことを特徴とする請求項４記載の情報処理装置。
【請求項６】
前記ｋ−匿名化手段は、前記匿名化対象データセットに含まれる全ての前記対象レコードの、前記匿名性強化手段による変換後の、情報損失量の総和が最小になるように対象準識別子を変換する
ことを特徴とする請求項４または５記載の情報処理装置。
【請求項７】
固有識別情報と前記固有識別情報に対応する１以上の対象準識別子とを含む１以上の対象レコードを含む匿名化対象データセットについて、前記固有識別情報のそれぞれを、前記固有識別情報への復元情報を含まず、前記固有識別情報のそれぞれに固有に割り当てられる偽識別情報に変換し、かつ前記対象準識別子のそれぞれを、前記匿名化対象データセットがｋ−匿名性を満足するように、匿名化準識別子に変換して、前記対象レコードを匿名化レコードに変換し、前記匿名化レコードを含むｋ−匿名化データセットを生成し、
前記ｋ−匿名化データセットについて、同一の前記偽識別情報を持つ前記匿名化レコードを強化レコードに変換し、前記強化レコードを含む匿名性強化データセットを生成し、出力し、
前記匿名化対象データセットにおいて前記固有識別情報のそれぞれに対応して常に同じ属性値を持つ前記対象準識別子に対応する、前記匿名化準識別子である強化対象準識別子を、前記強化対象準識別子の対比による当該強化対象準識別子の具体化が不可能な情報に変換することで、前記匿名化レコードを前記強化レコードに変換する
匿名化方法。
【請求項８】
前記強化対象準識別子の変換に伴う前記固有識別情報のそれぞれに対応する強化加工情報損失量を計算し、前記計算した前記強化加工情報損失量に基づいて、前記対象レコードを１以上のグループに振り分ける場合の前記対象レコードの組み合わせを決定し、
各前記グループに属する前記対象レコードに含まれる前記対象準識別子を前記属性名毎に同一の属性値に変換して、ｋ−匿名化データセットを生成する、
ことを特徴とする請求項７記載の匿名化方法。
【請求項９】
固有識別情報と前記固有識別情報に対応する１以上の対象準識別子とを含む１以上の対象レコードを含む匿名化対象データセットについて、前記固有識別情報のそれぞれを、前記固有識別情報への復元情報を含まず、前記固有識別情報のそれぞれに固有に割り当てられる偽識別情報に変換し、かつ前記対象準識別子のそれぞれを、前記匿名化対象データセットがｋ−匿名性を満足するように、匿名化準識別子に変換して、前記対象レコードを匿名化レコードに変換し、前記匿名化レコードを含むｋ−匿名化データセットを生成する処理と、
前記ｋ−匿名化データセットについて、同一の前記偽識別情報を持つ前記匿名化レコードを強化レコードに変換し、前記強化レコードを含む匿名性強化データセットを生成し、出力する処理と、をコンピュータに実行させ、
前記匿名化レコードを前記強化レコードに変換する処理は、前記匿名化対象データセットにおいて前記固有識別情報のそれぞれに対応して常に同じ属性値を持つ前記対象準識別子に対応する、前記匿名化準識別子である強化対象準識別子を、前記強化対象準識別子の対比による当該強化対象準識別子の具体化が不可能な情報に変換する処理である
プログラムを記録した不揮発性記録媒体。
【請求項１０】
前記強化対象準識別子の変換に伴う前記固有識別情報のそれぞれに対応する強化加工情報損失量を計算する処理と、前記計算した前記強化加工情報損失量に基づいて、前記対象レコードを１以上のグループに振り分ける場合の前記対象レコードの組み合わせを決定する処理と、
各前記グループに属する前記対象レコードに含まれる前記対象準識別子を前記属性名毎に同一の属性値に変換して、ｋ−匿名化データセットを生成する処理と、をコンピュータに実行させる
ことを特徴とする請求項９記載のプログラムを記録した不揮発性記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報を加工して匿名化する情報処理装置、匿名化方法及びプログラムに関する。
【背景技術】
【０００２】
情報を匿名化する様々な関連技術が知られている。【０００３】
例えば、非特許文献１は、よく知られた匿名性指標であるｋ−匿名性を提案する。匿名化対象のデータセットに所定のｋ−匿名性を充足させる手法は、ｋ−匿名化と呼ばれる。また、匿名化対象のデータセットに含まれる変換されるべき属性の情報は、準識別子（ｑｕａｓｉ−ｉｄｅｎｔｉｆｉｅｒ）という。準識別子は、個人を特定する固有識別情報（例えば、名前）ではない。準識別子は、固有識別情報でない他の情報と組み合わせることで個人が特定される恐れがある属性の情報である。このｋ−匿名化では、同じ準識別子を有するレコードが匿名化対象のデータセットの中に少なくともｋ個以上存在するように、対象となる準識別子を、変換する処理が行われる。即ち、ｋ−匿名性を満足するように、対象となる準識別子を、個人を特定（または識別）され難い情報に変換する処理が行われる。この変換処理としては、一般化、切り落とし等の匿名化処理が知られている。その一般化において、準識別子の元の詳細（具体的）な情報は、より抽象化された情報に変換される。【０００４】
例えば、特許文献１は、上述のようなｋ−匿名性を満足するまでデータを加工する、データ加工手段を含むプライバシー保護装置を開示する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１１−１８０８３９号公報
【非特許文献】
【０００６】
【非特許文献１】Ｌ．Ｓｗｅｅｎｅｙ， “ｋ−ａｎｏｎｙｍｉｔｙ：ａ  ｍｏｄｅｌ  ｆｏｒ  ｐｒｏｔｅｃｔｉｎｇ  ｐｒｉｖａｃｙ ”，  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｊｏｕｒｎａｌ  ｏｎ  Ｕｎｃｅｒｔａｉｎｔｙ，  Ｆｕｚｚｉｎｅｓｓ  ａｎｄ  Ｋｎｏｗｌｅｄｇｅ−ｂａｓｅｄ  Ｓｙｓｔｅｍｓ，１０（５），ｐｐ．５５５−５７０，２００２．
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上述した先行技術文献に記載された技術においては、ｋ−匿名化後のレコード群の準識別子を互いに対比すると、個人を特定できる度合いを示す個人特定性が上昇する場合があるという問題点がある。【０００８】
その理由は、非特許文献１に記載されたｋ−匿名性及び特許文献１のプライバシー保護装置は、匿名化対象のデータセットに同一の固有識別情報を持つ複数のレコードが含まれている場合の問題点を考慮していないからである。【０００９】
具体的には、以下のようにｋ−匿名性によるプライバシー保護が破綻する場合がある。第一に、匿名化対象のデータセットが、同一の固有識別情報を持つ複数のレコードを含んでいる。第二に、その匿名化対象のデータセットが、同一の固有識別情報を持つ複数のレコード間の特定の接続関係を保ったまま、ｋ−匿名化される。そして、第三に、その接続関係によって関連付け可能なｋ−匿名化後のレコード群の準識別子が対比される。更に第四に、その対比により、上述のｋ−匿名化により抽象化された準識別子が具体化される。【００１０】
上述の同一の固有識別情報を持つ複数のレコードを含むデータセットは、所定の記録媒体に格納される。そのデータセットは、例えば、購買情報や診療情報等のような、それらのサービス提供者によって蓄積されている履歴情報を含む。これらの、購買情報や診療情報は、一般に、一個人（ユーザ）に関して複数のレコードの集合として、記録媒体に格納される。例えばクレジットカード番号に対応付けられた購買情報は、あるユーザが同一のクレジットカードを用いて購買行動をする度に発生する。それらの購買情報が、そのユーザに関連付けられてレコードとして記録媒体に蓄積される。また、診療情報も同様に、同一の保険証を用いて診療行為を受ける度に発生する。そして、同一被保険者に対応付けられた診療情報が記録媒体に蓄積される。【００１１】
上述したようにｋ−匿名性によるプライバシー保護が破綻する場合の例を、具体的なデータを示して説明する。【００１２】
図２は、匿名化対象のデータセットの一例を示す図である。図３は、図２の匿名化対象のデータセットを、ｋ−匿名化したデータセットの例を示す図である。【００１３】
図３に示すデータセットは、「性別」、「生年月日」及び「診療年月」の属性を準識別子として含む。そして、これらの準識別子は、図２に示す匿名化対象のデータセットにｋ＝２のｋ−匿名化を施したものである。また、図２に示す匿名化対象のデータセットの各レコードに存在する名前（固有識別情報）は、図３に示すデータセットにおいて偽ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）に変換されている。偽ＩＤは、図３に示すデータセットの各レコード間の関係のみを示し、具体的な個人を特定しない、図３に示すデータセットのための局所的な識別情報である。【００１４】
図３に示すデータセットは、ある個人に対する「性別」、「生年月日」及び「診療年月」に関する知識の任意の組み合わせから、個人のレコードをｋ個未満に絞り込まれることを防ぐようにされている。図３に示すデータセットは、図２に示す匿名化対象のデータセットの各レコードの準識別子に対して、ｋ＝２のｋ−匿名性が保たれるように、加工を施されている。即ち、図３に示すデータセットは、「性別」、「生年月日」及び「診療年月」に対するいかなる知識を用いたとしても、ある個人に紐づくレコードが２つ以上存在するように、ｋ＝２のｋ−匿名化を施されたデータセットである。【００１５】
図３に示すデータセットにおいて、背景技術において扱うデータセットと異なる点は、次の点である。すなわち、それは、図３に示すデータセットは、一個人に関して複数のレコードが格納されている匿名化対象のデータセット（図２）を匿名化した情報であるという点である。具体的には、図２に示す匿名化対象のデータセットの各個人のレコード群には、特定の接続関係、すなわち、名前（固有識別情報）の属性が共通するという接続関係が存在する。そして、同じ固有識別情報を有する複数のレコードが、匿名化された偽ＩＤによって図３に示すデータセットとして記録媒体に保存されている点が異なる。即ち、上述したように、関連技術のｋ−匿名化では、一個人のレコードが同時に複数出現することが考慮されていない。【００１６】
この図３に示すデータセットは、各レコードに対して、真にｋ＝２のｋ−匿名性を充足できていない。その理由は、以下の通りである。【００１７】
図２に示す名前：「Ａｌｉｃｅ」を持つ「性別：女、生年月日：１９８５年２月２日、診療年月：２０１０年４月」の対象レコード８２２は、図３に示す偽ＩＤ：「２」を持つ「性別：Ａｎｙ、生年月日：１９８１〜１９８５年、診療年月：２０１０年４月」の匿名化レコード８３２に加工されている。また、図２に示す名前：「Ａｌｉｃｅ」を持つ「性別：女、生年月日：１９８５年２月２日、診療年月：２０１０年５月」の対象レコード８２５は、図３に示す偽ＩＤ：「２」を持つ「性別：女、生年月日：１９８５〜１９８６年、診療年月：２０１０年５月」の匿名化レコード８３５に加工されている。【００１８】
このとき、ある人物ｘは、Ａｌｉｃｅに関する情報として「性別：女、生年月日：１９８５年２月２日」を知っていると仮定する。そのような場合でも、偽ＩＤ：２を持つ匿名化レコード８３２及び匿名化レコード８３５のそれぞれは、「性別：女、生年月日：１９８５年２月２日」に関して２−匿名性を有している。【００１９】
しかしながら、「性別」や「生年月日」の属性はある個人に対して不変な属性値を持つ。従って、同一の偽ＩＤを持つ匿名化レコードは、匿名化前の対象レコードにおいて、そのような不変な属性値として同一の属性値を持っていることが容易に推定できる。この知識を前提とし、その人物ｘは、偽ＩＤに基づいて匿名化レコードを結合することができる。この場合、人物ｘは、偽ＩＤ：２をもつ「性別：Ａｎｙ、生年月日：１９８１〜１９８５年」の匿名化レコード８３２と、「性別：女、生年月日：１９８５〜１９８６年」の匿名化レコード８３５との積から、具体化された偽ＩＤ：「２」の匿名化レコードの情報として「性別：女、生年月日：１９８５年」を得ることができる。以上より、偽ＩＤ：「２」の２−匿名性は破られてしまう。【００２０】
本発明の目的は、上述した問題点を解決できる匿名化を行う情報処理装置、匿名化方法及びプログラムを提供することにある。
【課題を解決するための手段】
【００２１】
本発明の匿名化を行う情報処理装置は、固有識別情報と前記固有識別情報に対応する１以上の対象準識別子とを含む１以上の対象レコードを含む匿名化対象データセットについて、前記固有識別情報のそれぞれを、前記固有識別情報への復元情報を含まず、前記固有識別情報のそれぞれに固有に割り当てられる偽識別情報に変換し、かつ前記対象準識別子のそれぞれを、前記匿名化対象データセットがｋ−匿名性を満足するように、匿名化準識別子に変換して、前記対象レコードを匿名化レコードに変換し、前記匿名化レコードを含むｋ−匿名化データセットを生成するｋ−匿名化部と、前記ｋ−匿名化データセットについて、同一の前記偽識別情報を持つ前記匿名化レコードを強化レコードに変換し、前記強化レコードを含む匿名性強化データセットを生成し、出力する匿名性強化部と、を含み、前記匿名性強化部は、前記匿名化対象データセットにおいて前記固有識別情報のそれぞれに対応して常に同じ属性値を持つ前記対象準識別子に対応する、前記匿名化準識別子である前記強化対象準識別子を、前記強化対象準識別子の対比による当該強化対象準識別子の具体化が不可能な情報に変換することで、前記匿名化レコードを前記強化レコードに変換する。【００２２】
本発明の匿名化方法は、固有識別情報と前記固有識別情報に対応する１以上の対象準識別子とを含む１以上の対象レコードを含む匿名化対象データセットについて、前記固有識別情報のそれぞれを、前記固有識別情報への復元情報を含まず、前記固有識別情報のそれぞれに固有に割り当てられる偽識別情報に変換し、かつ前記対象準識別子のそれぞれを、前記匿名化対象データセットがｋ−匿名性を満足するように、匿名化準識別子に変換して、前記対象レコードを匿名化レコードに変換し、前記匿名化レコードを含むｋ−匿名化データセットを生成し、前記ｋ−匿名化データセットについて、同一の前記偽識別情報を持つ前記匿名化レコードを強化レコードに変換し、前記強化レコードを含む匿名性強化データセットを生成し、出力し、前記匿名化対象データセットにおいて前記固有識別情報のそれぞれに対応して常に同じ属性値を持つ前記対象準識別子に対応する、前記匿名化準識別子である強化対象準識別子を、前記強化対象準識別子の対比による当該強化対象準識別子の具体化が不可能な情報に変換することで、前記匿名化レコードを前記強化レコードに変換する。【００２３】
本発明の不揮発性記録媒体プログラムは、固有識別情報と前記固有識別情報に対応する１以上の対象準識別子とを含む１以上の対象レコードを含む匿名化対象データセットについて、前記固有識別情報のそれぞれを、前記固有識別情報への復元情報を含まず、前記固有識別情報のそれぞれに固有に割り当てられる偽識別情報に変換し、かつ前記対象準識別子のそれぞれを、前記匿名化対象データセットがｋ−匿名性を満足するように、匿名化準識別子に変換して、前記対象レコードを匿名化レコードに変換し、前記匿名化レコードを含むｋ−匿名化データセットを生成する処理と、前記ｋ−匿名化データセットについて、同一の前記偽識別情報を持つ前記匿名化レコードを強化レコードに変換し、前記強化レコードを含む匿名性強化データセットを生成し、出力する処理と、をコンピュータに実行させるプログラムを記録し、前記匿名化レコードを前記強化レコードに変換する処理は、前記匿名化対象データセットにおいて前記固有識別情報のそれぞれに対応して常に同じ属性値を持つ前記対象準識別子に対応する、前記匿名化準識別子である強化対象準識別子を、前記強化対象準識別子の対比による当該強化対象準識別子の具体化が不可能な情報に変換する処理である。
【発明の効果】
【００２４】
本発明は、ｋ−匿名化後のレコード群の準識別子を対比しても個人特定性の向上ができないように、匿名性を強化したデータセットを生成することが可能になるという効果がある。
【図面の簡単な説明】
【００２５】
【図１】図１は第１の実施形態に係る匿名化装置の構成を示すブロック図である。
【図２】図２は第１の実施形態における匿名化対象データセットの一例を示す図である。
【図３】図３は第１の実施形態におけるｋ−匿名化データセットの一例を示す図である。
【図４】図４は第１の実施形態における匿名性強化データセットの一例を示す図である。
【図５】図５は第１の実施形態に係る匿名化装置を実現するコンピュータのハードウェア構成を示すブロック図である。
【図６】図６は第１の実施形態における匿名化装置の動作を示すフローチャートである。
【図７】図７は第１の実施形態における匿名性強化部の動作を示すフローチャートである。
【図８】図８は第１の実施形態の変形例における匿名性強化部の動作を示すフローチャートである。
【図９】図９は第１の実施形態における匿名性強化データセットの一例を示す図である。
【図１０】図１０は第２の実施形態に係る匿名化装置の構成を示すブロック図である。
【図１１】図１１は第２の実施形態における匿名化対象データセットの一例を示す図である。
【図１２】図１２は第２の実施形態における、匿名化対象データセットの対象レコードをグループに振り分ける場合のイメージを示す図である。
【図１３】図１３は第２の実施形態における、ある対象レコードの組み合わせにおいて、匿名化対象データセットがｋ−匿名化された場合の、匿名化準識別子の一例を    示す。
【図１４】図１４は第２の実施形態における、ある対象レコードの組み合わせにおいて、匿名化対象データセットがｋ−匿名化された場合の、匿名化準識別子の一例を    示す。
【図１５】図１５は第２の実施形態における、対象レコードの組み合わせに対応する情報損失量の一例を示す情報である。
【図１６】図１６は第２の実施形態におけるｋ−匿名化データセットの一例を示す図である。
【図１７】図１７は第２の実施形態における匿名化装置の動作を示すフローチャートである。
【発明を実施するための形態】
【００２６】
本発明を実施するための形態について図面を参照して詳細に説明する。尚、以下の各実施形態及び各図において、本発明の本質に関わらない構成については一般的な技術を採用することとし、本実施形態における詳細な説明及び図示は省略する。また、以下の各実施形態及び各図において、同様の機能を備える構成要素には同様の符号が与えられている。
【００２７】
＜第１の実施形態＞
図１は、本発明の第１の実施形態に係る匿名化装置（一般的に情報処理装置とも呼ばれる）１００の構成を示すブロック図である。
【００２８】
図１を参照すると、本実施形態に係る匿名化装置１００は、ｋ−匿名化部１１０と、匿名性強化部１２０とを含む。
【００２９】
尚、図１に示す構成要素は、ハードウェア単位の構成要素でも、コンピュータの機能単位に分割した構成要素でもよい。ここでは、図１に示す構成要素は、コンピュータの機能単位に分割した構成要素として説明する。
【００３０】
＝＝＝ｋ−匿名化部１１０＝＝＝
ｋ−匿名化部１１０は、図示しない記憶装置に格納された匿名化対象データセットを、予め定められたｋ（例えば、２）のｋ−匿名性を充足するｋ−匿名化データセットに変換する。尚、その変換は、データを匿名化する処理であり、「加工」とも呼ばれるが、ここでは、「変換」に統一する。
【００３１】
すなわち、ｋ−匿名化部１１０は、匿名化対象データセットについて、匿名化対象データセットに含まれるレコード（以後、対象レコードと呼ぶ）を匿名化レコードに変換したｋ−匿名化データセットを生成する。
【００３２】
ｋ−匿名化部１１０は、以下のようにして、対象レコードを匿名化レコードに変換する。第一に、ｋ−匿名化部１１０は、各対象レコードに含まれる固有識別情報を、固有識別情報に対して固有に割り当てられる偽識別情報に変換する。ここで、偽識別情報は、固有識別情報への復元情報を含まない識別情報である。
【００３３】
第二に、ｋ−匿名化部１１０は、ｋ−匿名化データセットの生成において、各対象レコードに含まれる準識別子（対象準識別子とも呼ばれる）を、同じ属性の少なくともｋ個の準識別子に対して固有に割り当てられる匿名化準識別子に変換する。ここで、匿名化準識別子は、その匿名化準識別子を含む匿名化対象データセットが、予め定められたｋ−匿名性を満足するように決定された準識別子である。
【００３４】
＝＝＝匿名化対象データセット８２０＝＝＝
図２は、匿名化対象データセット８２０の一例を示す図である。図２に示す匿名化対象データセット８２０は、図示しない記憶装置に格納される。この記憶装置は、ｋ−匿名化部１１０に含まれていても良いし、ｋ−匿名化部１１０に接続される外部記憶媒体でもよい。匿名化対象データセット８２０は、名前（固有識別情報）、性別、生年月日、診療年月及び傷病名の属性からなる複数の対象レコード（例えば、それらのうちの１つが対象レコード８２２）を含む。ここで、属性は、属性名（属性の要素名）とその属性の値（属性値）とからなる。例えば、対象レコード８２２の第１の属性は、要素名が「名前」で、「Ａｌｉｃｅ」が属性値である。
【００３５】
ここで、名前は、一種の固有識別情報であり、個人を特定する情報である。
【００３６】
また、属性である性別、生年月日及び診療年月のそれぞれは、準識別子（対象準識別子）である。固有識別情報のそれぞれに対応して常に同じ属性値を持つ、不変な準識別子は、不変準識別子と呼ばれる。また、固有識別情報のそれぞれに対応して異なる属性値を持つ場合がある、変動的な準識別子は、変動準識別子と呼ばれる。例えば、属性である「性別」、「生年月日」は、不変準識別子である。また、属性である「診療年月」は、変動準識別子である。
【００３７】
＝＝＝ｋ−匿名化データセット８３０＝＝＝
図３は、ｋ−匿名化データセット８３０の一例を示す図である。図３に示す匿名化対象データセット８３０は、図示しない記憶装置に格納される。この記憶装置は、ｋ−匿名化部１１０に含まれていても良いし、ｋ−匿名化部１１０に接続される外部記憶媒体でもよい。図３に示すｋ−匿名化データセット８３０は、ｋ−匿名化部１１０によって図２に示す匿名化対象データセット８２０がＫ＝２のｋ−匿名化を施された、ｋ−匿名化データセットの一例である。即ち、ｋ−匿名化データセット８３０の性別、生年月日及び診療年月の匿名化準識別子のそれぞれは、匿名化対象データセット８２０の性別、生年月日及び診療年月の対象準識別子のそれぞれがｋ＝２のｋ−匿名性を満足するような属性値に変換されたものである。
【００３８】
図３に示すように、ｋ−匿名化データセット８３０は、偽ＩＤ（偽識別情報）、性別、生年月日、診療年月及び傷病名の各属性からなる複数の匿名化レコード（例えば、匿名化レコード８３２）を含む。それらのｋ−匿名化データセット８３０の偽ＩＤのそれぞれは、匿名化対象データセット８２０に含まれる名前のそれぞれに、１対１に対応する。その偽ＩＤは、図３に示すｋ−匿名化データセット８３０の各匿名化レコード間の関係のみを示し、具体的な個人を特定しない、ｋ−匿名化データセット８３０の局所的な識別情報である。
【００３９】
また、ｋ−匿名化データセット８３０に含まれる属性である、性別、生年月日、診療年月は、上述した匿名化対象データセット８２０の場合と同様に、準識別子（匿名化準識別子）である。
【００４０】
尚、図２に示す匿名化対象データセット８２０の各対象レコードと図３に示すｋ−匿名化データセット８３０の各匿名化レコードとは、並び順で対応している（例えば、対象レコード８２２と匿名化レコード８３２とが対応し、対象レコード８２５と匿名化レコード８３５とが対応している）。
【００４１】
＝＝＝匿名性強化部１２０＝＝＝
匿名性強化部１２０は、ｋ−匿名化部１１０によってｋ−匿名化が施されたデータセット（例えば、ｋ−匿名化データセット８３０）について、匿名性強化データセットを生成し、出力する。
【００４２】
具体的には、匿名性強化部１２０は、ｋ−匿名化データセットに含まれる同一の偽ＩＤを持つ匿名化レコードに含まれる強化対象となる準識別子に対し、匿名性を強化する処理を実行する。ここで、強化対象となる準識別子（強化対象準識別子）は、ｋ−匿名化データセットに含まれる匿名化準識別子の内の、不変準識別子であるものである。また、強化対象準識別子に対する処理は、強化対象準識別子を対比したときに強化対象準識別子の具体化（個人を識別可能または特定可能な属性値に変換すること）が不可能なように、強化対象準識別子を匿名性が強化されたデータに変換することである。以後、この強化対象準識別子を匿名性が強化されたデータに変換することは、強化加工と呼ばれる。
【００４３】
即ち、匿名性強化部１２０は、同一ユーザ（同一の偽Ｉｄ）の複数の匿名化レコード８３１に含まれる、準識別子の対比によるｋ−匿名性の破綻を防ぐように、強化対象準識別子を強化加工する。
【００４４】
例えば、匿名性強化部１２０は、強化対象準識別子を、属性名毎に同一の属性値に強化加工する。例えば、この同一の属性値は、同一の偽ＩＤを持つ、属性名毎の全ての強化対象準識別子を包含する属性値であって、かつ最小の範囲を示す属性値である。尚、この同一の属性値は、属性名毎の、同一の偽ＩＤを持つ全ての強化対象準識別子を包含する、任意の範囲を示す属性値でもよい。以後、「属性名毎の、同一の偽ＩＤを持つ全ての強化対象準識別子」を、「同一偽ＩＤ強化対象準識別子」と、省略して表記する。
【００４５】
＝＝＝匿名性強化データセット８４０＝＝＝
図６は、匿名性強化データセット８４０の一例を示す図である。匿名性強化データセット８４０は、匿名性変換処理部１２０から出力され、図示しない記憶装置に格納される情報である。図６に示すように、匿名性強化データセット８４０は、偽ＩＤ、性別、生年月日、診療年月及び傷病名の各属性からなる複数の強化レコード（例えば、強化レコード８４２）を含む。強化レコードは、図３に示すｋ−匿名化データセット８３０の強化対象準識別子である性別及び生年月日が匿名性強化部１２０によって強化加工されたものである。
【００４６】
尚、図２に示す匿名化対象データセット８２０の各対象レコード及び図３に示すｋ−匿名化データセット８３０の各匿名化レコードと、図４に示す匿名性強化データセット８４０の各強化レコードとは、並び順で対応している。例えば、対象レコード８２２及び匿名化レコード８３２と、強化レコード８４２とが対応し、対象レコード８２５及び匿名化レコード８３５と、強化レコード８４５とが対応している。
【００４７】
以上が、匿名化装置１００の機能単位の各構成要素についての説明である。
【００４８】
次に、匿名化装置１００のハードウェア単位の構成要素について説明する。
【００４９】
本実施形態において、匿名化装置１００は、コンピュータ等の情報処理装置によって実現することができる。匿名化装置１００及び後述する他の実施形態における匿名化装置における各構成要素（機能ブロック）は、情報処理装置が備えるハードウェア資源によって実現される。その情報処理装置は、記録媒体に格納されるコンピュータ・プログラム（ソフトウェア・プログラム：以下、単に「プログラム」と称する場合がある）を実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）を含んでもよい。
【００５０】
例えば、匿名化装置１００は、コンピュータのＣＰＵ、主記憶装置、補助記憶装置等のハードウェアを含み、記憶装置等から主記憶装置にロードされたプログラムに基づいてＣＰＵが協働することによって実現される。但し、ＣＰＵによって実現される機能は、図１に示したブロック構成（ｋ−匿名化部１１０、匿名性強化部１２０）には限定されず、当業者が採用し得る様々な実装形態を適用可能である（以下の各実施形態においても同様）。
【００５１】
尚、匿名化装置１００及び後述する各実施形態に係る匿名化装置は、専用の装置によって実現してもよい。
【００５２】
図５は、本実施形態における匿名化装置１００を実現するコンピュータ７００のハードウェア構成を示す図である。
【００５３】
図５に示すように、コンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体であってもよい。
【００５４】
ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の、全体の動作を制御する。また、ＣＰＵ７０１は、例えば記憶装置７０３に装着された記録媒体７０７から、プログラムやデータを読み込み、読み込んだプログラムやデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図７に示すフローチャートの動作をコンピュータ７００に実行させるプログラムである。
【００５５】
そして、ＣＰＵ７０１は、読み込んだプログラムに従って、また読み込んだデータに基づいて、図１に示すｋ−匿名化部１１０及び匿名性強化部１２０として各種の処理を実行する。
【００５６】
尚、ＣＰＵ７０１は、通信網（不図示）に接続されている外部コンピュータ（不図示）から、記憶部７０２にプログラムやデータをダウンロードするようにしてもよい。
【００５７】
記憶部７０２は、プログラムやデータを記憶する。記憶部７０２は、匿名対象データセット、ｋ−匿名化データセット及び匿名性強化データセットを記憶してよい。
【００５８】
記憶装置７０３は、例えば、光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク及び半導体メモリであって、記録媒体７０７を含む。記憶装置７０３は、プログラムをコンピュータ読み取り可能に記録する。また、記憶装置７０３は、データをコンピュータ読み取り可能に記録してもよい。記憶装置７０３は、匿名対象のデータセット、ｋ−匿名化データセット及び匿名性強化データセットを記憶してよい。
【００５９】
入力部７０４は、例えばマウスやキーボード、内蔵のキーボタンなどで実現され、入力操作に用いられる。入力部７０４は、マウスやキーボード、内蔵のキーボタンに限らず、例えばタッチパネル、加速度計、ジャイロセンサ、カメラなどでもよい。
【００６０】
出力部７０５は、例えばディスプレイで実現され、出力を確認するために用いられる。
【００６１】
通信部７０６は、外部（例えば、匿名化対象データセットを記憶するデータサーバ）とのインタフェースを実現する。通信部７０６は、例えばｋ−匿名化部１１０の一部として含まれる。
【００６２】
以上説明したように、図１に示す匿名化装置１００の機能単位のブロックは、図５に示すハードウェア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
【００６３】
尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給され、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを読み出して実行するようにしてもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納するようにしてもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するプログラム（ソフトウェア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。
【００６４】
以上が、本実施形態における匿名化装置１００を実現するコンピュータ７００の、ハードウェア単位の各構成要素についての説明である。
【００６５】
次に本実施形態の動作について、図１〜図９を参照して詳細に説明する。
【００６６】
まず、図６に示すフローチャートを参照して匿名化装置１００の動作を説明する。図６は、本実施形態の匿名化装置１００の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵによるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
【００６７】
ｋ−匿名化部１１０は、匿名化対象データセット８２０を取得する（Ｓ６０１）。ｋ−匿名化部１１０は、例えば、図５に示す記憶部７０２または記憶装置７０３に保持されている匿名化対象データセットを読み取る。尚、ｋ−匿名化部１１０は、通信部７０６を介して、外部（不図示）から匿名化対象データセットを受信するようにしてもよい。また、ｋ−匿名化部１１０は、入力部７０４を介して入力された匿名化対象データセットを受け取るようにしてもよい。
【００６８】
次に、ｋ−匿名化部１１０は、匿名化対象データセット８２０をｋ−匿名化してｋ−匿名化データセット８３０を生成し、記憶部７０２または記憶装置７０３に出力する（Ｓ６０２）。ｋ−匿名化部１１０は、ｋ−匿名化データセット８３０において少なくともｋ種類の異なる偽ＩＤを持つ匿名化レコードが、同一の匿名化準識別子の組み合わせを持つように、匿名化対象データセット８２０の各対象レコードの対象準識別子を匿名化準識別子に変換する。ここで、各対象レコードの対象準識別子を匿名化準識別子に変換する方法は、例えば、対象準識別子を汎化することによる抽象化である。尚、各対象レコードの対象準識別子をｋ−匿名化する方法は、特定の方法に捕らわれず例えば摂動化などの様々な方法を用いてよい。
【００６９】
次に、匿名性強化部１２０は、ｋ−匿名化データセット８３０に含まれる強化対象準識別子を強化加工して、匿名化レコードを強化レコードに変換した匿名性強化データセット８４０を生成する（Ｓ６０３）。
【００７０】
例えば、匿名性強化部１２０は、同一偽ＩＤ強化対象準識別子を、属性名毎に同一になるように強化加工する。こうして、匿名性強化部１２０は、同一の偽ＩＤを持つ全ての匿名化レコードを強化レコードに変換する。この変換処理には、汎化や摂動化など一般的にｋ−匿名化で用いられる様々な処理の、任意の組み合わせを用いることができる。
【００７１】
同一の偽ＩＤを持つ全ての強化レコードにおいて、属性名毎の不変準識別子（強化識別子）が同一である場合、複数の強化レコードの不変準識別子（強化識別子）を対比したとしても、それ以上に不変準識別子（強化識別子）が具体化されることはない。従って、対比された場合でも、所望のｋ−匿名性の、破綻を防ぐことができる。
【００７２】
次に、匿名性強化部１２０は、生成した匿名性強化データセット８４０を出力する（Ｓ６０４）。匿名性強化部１２０は、例えば、通信部７０６を介して、外部（不図示）に匿名性強化データセットを出力する。尚、匿名性強化部１２０は、図５に示す記憶部７０２または記憶装置７０３に匿名性強化データセットを格納するようにしてもよい。また、匿名性強化部１２０は、図５に示す出力部７０５に匿名性強化データセットを出力し、ディスプレイに表示するよう制御してもよい。
【００７３】
以上が、図６に示すフローチャートによる匿名化装置１００の動作の説明である。
【００７４】
次に、図６に示すフローチャートのＳ６０３について説明する。
【００７５】
図７は、匿名性強化部１２０が匿名性強化データセットを生成する動作（図６に示すＳ６０３）を示すフローチャートである。
【００７６】
匿名性強化部１２０は、同一偽ＩＤを持つ全ての匿名化レコード群のそれぞれに対して、Ｓ６１１からＳ６１４の処理を行う。例えば、図３に示すｋ−匿名化データセット８３０の場合、匿名性強化部１２０は、偽ＩＤ：２の匿名化レコード８３２及び匿名化レコード８３５と、偽ＩＤ：４の匿名化レコード８３４及び匿名化レコード８３６とに対して、Ｓ６１１からＳ６１４の処理を行う。
【００７７】
匿名性強化部１２０は、処理対象の偽ＩＤを選出する（Ｓ６１１）。ここで、複数の匿名化レコードが同一の偽ＩＤを持つ場合、その偽ＩＤが処理対象の偽ＩＤである。処理対象の偽ＩＤがない場合（Ｓ６１２でＹＥＳ）、処理は終了する。
【００７８】
次に、匿名性強化部１２０は、選出した偽ＩＤを持つ全ての匿名化レコードの強化対象準識別子を、属性名毎の同一の属性値に強化加工する（Ｓ６１３）。
【００７９】
次に、匿名性強化部１２０は、処理対象の匿名化レコードの強化対象準識別子を、属性名毎に特定の強化対象準識別子と同一の属性値に強化加工する（Ｓ６１４）。ここで、処理対象の匿名化レコードは、「Ｓ６１３において、強化対象準識別子を強化加工した匿名化レコード」と同一の強化対象準識別子グループ（後述）に属する、匿名化レコードである。また、特定の強化対象準識別子は、「Ｓ６１３において、強化対象準識別子を強化加工した匿名化レコード」の強化対象準識別子である。
【００８０】
尚、Ｓ６１４の処理開始時において、処理対象の匿名化レコードが１つもない場合（Ｓ６１４で無し）、処理はＳ６１１へ戻る。
【００８１】
ここで、図３に示すｋ−匿名化データセット８３０を参照して、強化対象準識別子グループについて説明する。
【００８２】
例えば、偽ＩＤ：２の匿名化レコード８３２及び匿名化レコード８３５のいずれかと同一の強化対象準識別子を持つ匿名化レコードは、偽ＩＤ：１を持つ匿名化レコード８３１（性別：Ａｎｙ、生年月日：１９８１〜１９８５年）と偽ＩＤ：４を持つ匿名化レコード８３６（性別：女、生年月日：１９８５〜１９８６年）である。このような、同一の強化対象準識別子を持つ複数の匿名化レコードは、同一の強化対象準識別子グループに所属する。
【００８３】
即ち、偽ＩＤ：２を持つ匿名化レコード８３２と偽ＩＤ：１を持つ匿名化レコード８３１とは、同じ強化対象準識別子グループに所属する。また、偽ＩＤ：２を持つ匿名化レコード８３５と偽ＩＤ：４を持つ匿名化レコード８３６とは、同じ強化対象準識別子グループに所属する。また、偽ＩＤ：２を持つ匿名化レコードと同一の強化対象準識別子グループに属する匿名化レコードは、偽ＩＤ：１の匿名化レコード８３１及び偽ＩＤ：４の匿名化レコード８３６である。
【００８４】
次に、匿名性強化部１２０は、処理対象の匿名化レコードの強化対象準識別子を、属性名毎に「Ｓ６１４で強化加工した特定の強化対象準識別子と同一の属性値」に強化加工する（Ｓ６１５）。ここで、処理対象の匿名化レコードは、Ｓ６１４で強化対象準識別子を再び強化加工した匿名化レコードと同一の偽ＩＤを持つ、匿名化レコードである。また、特定の強化対象準識別子は、Ｓ６１４で強化加工された強化対象準識別子である。
【００８５】
そして、処理はＳ６１４へ戻る。
【００８６】
尚、Ｓ６１５の処理開始時において、Ｓ６１４で強化対象準識別子を再び強化加工した匿名化レコードと同一の偽ＩＤを持つ匿名化レコードが１つもない場合（Ｓ６１５で無）、処理はＳ６１１へ戻る。
【００８７】
以上のようにして、匿名性強化部１２０は、同一の偽ＩＤを持つ匿名化レコード間で同一の属性値の強化対象準識別子（不変準識別子）を与えるように、それらの強化対象準識別子に強化加工を施す。更に、匿名性強化部１２０は、強化対象準識別子に強化加工が施された強化レコードと同一の強化対象準識別子グループに所属している、匿名化レコードの強化対象準識別子にも、強化加工を施す。匿名性強化部１２０は、この強化対象準識別子の強化加工を再帰的に行う。
【００８８】
即ち、匿名性強化部１２０は、ある匿名化レコードの強化対象準識別子を強化加工した場合、同一の偽ＩＤを持つ匿名化レコードにおける強化対象準識別子も同じように強化加工する。更に、匿名性強化部１２０は、強化対象準識別子を強化加工した匿名化レコードと同じ強化対象準識別子グループに属する匿名化レコードの強化対象準識別子を強化加工する。更に、匿名性強化部１２０は、強化対象準識別子を再び強化加工した匿名化レコードと同一の偽ＩＤを持つ匿名化レコードの強化対象準識別子の強化加工へと再帰的に繰り返していく。
【００８９】
次に、匿名性強化部１２０がｋ−匿名化データセット８３０を匿名性強化データセット８４０に変換する動作を、具体的な値を示して説明する。
【００９０】
まず、匿名性強化部１２０は、偽ＩＤ：２を、処理対象の偽ＩＤとして選出する（Ｓ６１１）。
【００９１】
次に、匿名性強化部１２０は、選出した偽ＩＤ：２を持つ匿名化レコード８３２及び匿名化レコード８３５の強化対象準識別子を、属性名毎の同一の属性値に変換することで強化加工する（Ｓ６１３）。
【００９２】
ここでは、属性名が「性別」の強化対象準識別子に対する同一の属性値は、「Ａｎｙ」と「女」を包含する「Ａｎｙ」となる。また、属性名が「生年月日」の強化対象準識別子に対する同一の属性値は、「１９８１〜１９８５年」と「１９８５〜１９８６年」を包含する「１９８１〜１９８６年」となる。
【００９３】
このようにして匿名性強化部１２０は、偽ＩＤ：２を持つ匿名化レコード８３２及び匿名化レコード８３５の強化対象準識別子を、「性別：Ａｎｙ、生年月日：１９８１〜１９８６年」に汎化する。
【００９４】
次に、匿名性強化部１２０は、Ｓ６１３において強化対象準識別子を強化加工した、偽ＩＤ：２の匿名化レコード８３２及び匿名化レコード８３５と同一の強化対象準識別子グループに属する、匿名化レコードの強化対象準識別子を強化加工する。即ち、匿名性強化部１２０は、偽ＩＤ：２の匿名化レコード８３２と同一の強化対象準識別子グループに属する、偽ＩＤ：１の匿名化レコード８３１の強化対象準識別子を、偽ＩＤ：２の匿名化レコード８３２の強化対象準識別子と同一の属性値である「性別：Ａｎｙ、生年月日：１９８１〜１９８６年」に強化加工する。同時に、匿名性強化部１２０は、偽ＩＤ：２の匿名化レコード８３５と同一の強化対象準識別子グループに属する、偽ＩＤ：４の匿名化レコード８３６の強化対象準識別子を、偽ＩＤ：２の匿名化レコード８３５の強化対象準識別子と同一の属性値である「性別：Ａｎｙ、生年月日：１９８１〜１９８６年」に強化加工する（Ｓ６１４）。
【００９５】
次に、匿名性強化部１２０は、偽ＩＤ：４を、処理対象の偽ＩＤとして選出する（Ｓ６１１）。
【００９６】
次に、匿名性強化部１２０は、選出した偽ＩＤ：４を持つ匿名化レコード８３４及び匿名化レコード８３６の強化対象準識別子を、属性名毎の同一の属性値に変換することで強化加工する（Ｓ６１３）。ここで、同一の強化対象準識別子グループに属する偽ＩＤ：２の匿名化レコード８３５と偽ＩＤ：４の匿名化レコード８３６は、Ｓ６１１において偽ＩＤ：２が選出された場合のＳ６１２の処理によって不変準識別子「性別：Ａｎｙ、生年月日：１９８１〜１９８６年」を与えられている。従って、匿名性強化部１２０は、偽ＩＤ：４の匿名化レコード８３４及び匿名化レコード８３６を、「性別：Ａｎｙ、生年月日：１９８１〜１９９０年」に汎化する。ここで、「性別：Ａｎｙ、生年月日：１９８１〜１９９０年」は、「性別：女、生年月日：１９８６〜１９９０年」と「性別：Ａｎｙ、生年月日：１９８１〜１９８６年」とにおいて属性名毎に属性値のそれぞれを包含し、かつ最小の範囲を示す属性値を同一の属性値とした強化対象準識別子である。
【００９７】
次に、匿名性強化部１２０は、Ｓ６１３において強化対象準識別子を強化加工した偽ＩＤ：４の匿名化レコード８３４及び匿名化レコード８３６と同一の強化対象準識別子グループに属する、匿名化レコードの強化対象準識別子を強化加工する。即ち、匿名性強化部１２０は、偽ＩＤ：４の匿名化レコード８３４と同一の強化対象準識別子グループに属する偽ＩＤ：３の匿名化レコード８３３の強化対象準識別子を属性名毎に、匿名化レコード８３４の強化対象準識別子と同一の属性値である「性別：Ａｎｙ、生年月日：１９８１〜１９９０年」に強化加工する。また、匿名性強化部１２０は、偽ＩＤ：４の匿名化レコード８３６と同一の強化対象準識別子グループに属する偽ＩＤ：２の匿名化レコード８３５の強化対象準識別子を属性名毎に、匿名化レコード８３６の強化対象準識別子と同一の属性値である「性別：Ａｎｙ、生年月日：１９８１〜１９９０年」に強化加工する（Ｓ６１４）。
【００９８】
次に、匿名性強化部１２０は、Ｓ６１４における偽ＩＤ：２の匿名化レコード８３５の強化対象準識別子に対する再びの強化加工に伴って、偽ＩＤ：２の匿名化レコード８３２を属性名毎に匿名化レコード８３５の強化対象準識別子と同一の属性値である「性別：Ａｎｙ、生年月日：１９８１〜１９９０年」に強化加工する（Ｓ６１５）。
【００９９】
次に、匿名性強化部１２０は、偽ＩＤ：２の匿名化レコード８３２の強化対象準識別子の再びの強化加工に伴って、偽ＩＤ：２の匿名化レコード８３２と同一の強化対象準識別子グループに属する偽ＩＤ：１の匿名化レコード８３１の強化対象準識別子を属性名毎に、偽ＩＤ：２の匿名化レコード８３２の強化対象準識別子と同一の属性値である「性別：Ａｎｙ、生年月日：１９８１〜１９８６年」に強化加工する（Ｓ６１４）。
【０１００】
次に、処理対象の偽ＩＤは残っていないため（Ｓ６１２でＹＥＳ）、処理は終了する。＜第１の実施形態の変形例＞
以上説明したように、本実施形態の匿名性強化部１２０は、強化対象準識別子（不変準識別子）の強化加工を施すことによって、同一の偽ＩＤを持つ匿名化レコード間の匿名化準識別子の対比によるｋ−匿名性の破綻を防ぐ。即ち、本実施形態の匿名性強化部１２０は、この対比をされたとしてもｋ−匿名性が充足されるように強化対象準識別子に強化加工を施す。
【０１０１】
しかしながら、上述の強化加工においては、一つの匿名化レコードの強化対象準識別子が強化加工された場合、再帰的にその強化加工が他の匿名化レコードへと波及していき、多くの匿名化レコードの強化対象準識別子（不変準識別子）が大きく抽象化されてしまう。
【０１０２】
これは、ある偽ＩＤを持つ強化レコードがｋ−匿名性を充足させるためには、同一の強化準識別子を含む他の偽ＩＤを持つ強化レコードが少なくともｋ−１個必要になるためである。即ち、ｋ−匿名性は大きいプライバシー強度を持っている。それゆえに、そのｋ−匿名性を保持する匿名性強化データセットの情報の損失もまた大きい。
【０１０３】
そこで、情報の損失が比較的小さく抑えられた、第１の実施形態の変形例を説明する。
【０１０４】
ｋ−匿名化データセット８３０は、ｋ−匿名化部１１０によって、ｋ−匿名化が施されている。そのため、各匿名化レコード単位では、ｋ−匿名性が満たされている。従って、ｋ−匿名性を充足する匿名化レコードの匿名化準識別子を更に汎化する場合、その匿名化レコードの匿名化準識別子に対応する、汎化後の強化レコードは常にｋ個以上存在する。即ち、対象レコードの対象準識別子に対応する汎化後の強化レコードは、ｋ−匿名化されたレコードと同様に、常にｋ個以上存在する。従って、匿名化準識別子を更に汎化された匿名性強化データセットは、厳密なｋ−匿名性の定義からは外れる場合であっても、ｋ−匿名化データセット８３０のｋ−匿名性と同様のプライバシー強度を持つことができる。
【０１０５】
ゆえに、同一の偽ＩＤを持つ複数の匿名化レコードの不変準識別子の対比によるｋ−匿名性の破綻を解消するための、さらなる変換（強化加工）は、必ずしもｋ−匿名性を保証しなくてもよい。即ち、そのさらなる変換は、対比による個人特定性の上昇を回避するための、さらなる汎化だけでよい。
【０１０６】
具体的には、このさらなる汎化によって、同一の偽ＩＤを持つ匿名化レコードの不変準識別子が全て、属性名毎の同一の属性値を持てばよい。同一の偽ＩＤを持つ全ての匿名化レコードが属性名毎に同一の不変準識別子を持てば、それ以上の不変準識別子の特化（具体化）は不可能である。従って、個人の特定性が上昇することはない。
【０１０７】
これは即ち、匿名性強化部１２０が、同一の偽ＩＤを持つ匿名化レコードを不変準識別子（強化対象準識別子）の超集合へと汎化すればよいということである。ここで、超集合は、同一偽ＩＤ強化対象準識別が、その属性名毎に、同一の属性値（その属性名毎の全ての不変準識別子の、属性値の範囲を包含する属性値）を持つ不変準識別子に変換されたものである。ここで、超集合は、同一偽ＩＤ強化対象準識別が、その属性名毎に、同一の属性値（その属性名毎の全ての不変準識別子の、属性値の範囲を包含する属性値）を持つ不変準識別子に変換されたものである。換言すると、超集合は、ある集合の上位概念を表す集合である。ここでは、不変準識別子の属性値は、属性名毎に、全ての不変準識別子の属性値、もしくは不変準識別子の属性値に含まれる値の全てを包含する超集合(または和集合)へと変換される。ここで、和集合とは、全ての不変準識別子の属性値、もしくは不変準識別子の属性値に含まれる値の全てを包含する超集合のうち、最小の超集合である。また、超集合は範囲等を用いて表現してもよい。このような超集合は、ｋ−匿名化部１１０によって保証されたｋ−匿名性と同程度のプライバシー強度を保つことができる。
【０１０８】
次に、本第１の実施形態の変形例における、匿名性強化部１２０の動作を説明する。
【０１０９】
図８は、本第１の実施形態の変形例における、匿名性強化部１２０が匿名性強化データセットを生成する動作（図６に示すＳ６０３）を示すフローチャートである。
【０１１０】
図８のＳ６２１、Ｓ６２２及びＳ６２３のそれぞれの動作は、図７のＳ６１１、Ｓ６１２及びＳ６１３のそれぞれと同じである。
【０１１１】
次に、匿名性強化部１２０がｋ−匿名化データセット８３０を匿名性強化データセットに変換する動作を、具体的な値を示して説明する。
【０１１２】
図９は、匿名性強化部１２０がｋ−匿名化データセット８３０を汎化して生成した、匿名性強化データセット８５０の一例を示す図である。
【０１１３】
まず、匿名性強化部１２０は、偽ＩＤ：２を処理対象の偽ＩＤとして選出する（Ｓ６２１）。
【０１１４】
次に、匿名性強化部１２０は、選出した偽ＩＤ：２を持つ匿名化レコード８３２及び匿名化レコード８３５の強化対象準識別子を、属性名毎に同一の属性値に強化加工する（Ｓ６２３）。
【０１１５】
ここで、属性名が「性別」の強化対象準識別子に対する同一の属性値は、例えば、「Ａｎｙ」と「女」を包含する「Ａｎｙ」である。また、属性名が「生年月日」の強化対象準識別子に対する同一の属性値は、例えば、「１９８１〜１９８５年」と「１９８５〜１９８６年」を包含する最小の範囲を示す属性値である「１９８１〜１９８６年」である。尚、その属性値は、必ずしも全てを包含する最小の範囲を示す属性値でなくてもよく、例えば「１９８０〜１９８９年」のような、属性名が「生年月日」の全ての匿名化準識別子を包含する任意の範囲の属性値でもよい。
【０１１６】
次に、匿名性強化部１２０は、偽ＩＤ：４を処理対象の偽ＩＤとして選出する（Ｓ６２１）。
【０１１７】
次に、匿名性強化部１２０は、選出した偽ＩＤ：２を持つ匿名化レコード８３２及び匿名化レコード８３５の強化対象準識別子を、属性名毎に同一の属性値に強化加工する（Ｓ６２３）。
【０１１８】
ここで、属性名が「性別」の強化対象準識別子に対する同一の属性値は、例えば、「女」と「女」を包含する「女」である。また、属性名が「生年月日」の強化対象準識別子に対する同一の属性値は、例えば、「１９８６〜１９９０年」と「１９８５〜１９８６年」を包含する最小の範囲を示す属性値である「１９８６〜１９９０年」である。
【０１１９】
次に、強化対象準識別子に強化加工を施す対象の偽ＩＤは残っていないため（Ｓ６２２でＮＯ）、処理は終了する。
【０１２０】
不変準識別子の対比後もｋ−匿名性を充足させるためには、同じ強化対象準識別子グループに属する匿名化レコードに対しても強化加工が必要であった。しかし、以上説明したように、不変準識別子を具体化させないようにだけする際には、同じ強化対象準識別子グループに属する匿名化レコードに対する強化加工は、不要である。
【０１２１】
図９に示す匿名性強化データセット８５０は、図２に示す匿名化対象データセット８２０の各対象レコードに対して、それらの不変準識別子（対象準識別子）を包含する不変準識別子（強化準識別子）を含む、強化レコードの偽ＩＤの種類数が２個以上である。従って、匿名性強化データセット８５０は、ｋ＝２のｋ−匿名性（２−匿名性）と同程度のプライバシー強度を持っている。
【０１２２】
上述した本実施形態における第１の効果は、ｋ−匿名化後の匿名化レコードの不変準識別子（匿名化準識別子）を対比しても、個人特定性の向上ができないデータセットを生成することを可能にする点である。
【０１２３】
その理由は、ｋ−匿名化部１１０が生成したｋ−匿名化データセットを、匿名性強化部１２０が匿名化レコードに含まれる強化対象準識別子を強化加工して、匿名性強化データセットを生成するようにしたからである。
【０１２４】
上述した本実施形態における第２の効果は、ｋ−匿名化部１１０が生成したｋ−匿名化データセットのｋ−匿名性を厳密に保持しつつ、個人特定性の向上ができないデータセットを生成することを可能にする点である。
【０１２５】
その理由は、匿名性強化部１２０が上述の強化加工を再帰的に実行して、匿名性強化データセットを生成するようにしたからである。
【０１２６】
上述した本実施形態における第３の効果は、情報の損失を比較的小さく抑えつつ、ｋ−匿名化後のレコード群の準識別子を対比しても個人特定性の向上ができないように、匿名性を強化したデータセットを生成することを可能にする点である。
【０１２７】
その理由は、匿名性強化部１２０が同一の偽ＩＤを持つ匿名化レコードに含まれる強化対象準識別子だけを強化加工して、匿名性強化データセットを生成するようにしたからである。
【０１２８】
＜第２の実施形態＞
次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【０１２９】
まず、第２の実施形態の匿名化装置の概要を説明する。
【０１３０】
本実施形態の匿名化装置は、図１に示す匿名性強化部１２０による汎化（匿名性強化）に対応する、情報損失量を計算する。それから、本実施形態の匿名化装置は、計算した情報損失量に基づいて、例えば情報損失量が最も小さくなるように、ｋ−匿名化における対象レコードの組み合わせを決定する。それから、本実施形態の匿名化装置は、決定した対象レコードの組み合わせに基づいて、匿名化対象データセットの対象準識別子を、所望の匿名性を充足するように変換してｋ−匿名化データセットを生成する。
【０１３１】
本実施形態の匿名化装置は、固有識別情報を単位として情報損失量を計算する。その理由は、匿名化対象データセットが一つの固有識別情報に対する複数の対象レコードを含む場合に対応するためである。
【０１３２】
具体的には、本実施形態の匿名化装置においては、匿名性強化部１２０が、対比による匿名性の破綻を防ぐために、強化加工を実施する。しかし、各対象レコードの情報損失量をレコード単位で計算した場合、その情報損失量は、匿名性強化部１２０によって強化加工された際の情報の損失分を含まない。その損失分は、一つの固有識別情報に対する複数の対象レコードを含む匿名化対象データセットに対するものである。
【０１３３】
匿名性強化部１２０による強化加工は、第１の実施形態で説明したように、ｋ−匿名化データセットの匿名化レコードを、各固有識別情報に対応する偽ＩＤに基づいて、更に汎化するものである。従って、単一の対象レコードの情報損失量を求めるだけでは、その場合の情報の損失が加味されない。
【０１３４】
このため、本実施形態の匿名化装置は、各偽ＩＤに対応する固有識別情報を単位とする情報損失量、即ち匿名性強化部１２０によって強化加工された際の情報の損失分を含む情報損失量を、計算する。以後、この「匿名性強化部１２０による強化対象準識別子の強化加工に伴う、固有識別情報のそれぞれに対応する情報損失量」を強化加工情報損失量と呼ぶ。こうして、本実施形態の匿名化装置は、匿名化対象データセットが一つの固有識別情報に対する複数の対象レコードを含む場合にも対応し、汎化による情報の損失をより小さくした匿名性強化データセットを生成する。
【０１３５】
以上が、第２の実施形態の匿名化装置の概要の説明である。
【０１３６】
図１０は、本発明の第２の実施形態に係る匿名化装置２００の構成を示すブロック図である。
【０１３７】
図１０を参照すると、本実施形態における匿名化装置２００は、第１の実施形態の匿名化装置１００に比べて、ｋ−匿名化部１１０に替えてｋ−匿名化部２１０を含む。また、匿名化装置２００は、匿名化装置１００に比べて、組合せ決定部２３０及び情報損失計算部２４０を更に含む。尚、組合せ決定部２３０は、情報損失計算部２４０を含むようにしてもよい。
【０１３８】
＝＝＝組合せ決定部２３０＝＝＝
組合せ決定部２３０は、強化加工情報損失量に基づいて、対象レコードを１以上のグループに振り分ける場合の対象レコードの組み合わせを決定する。
【０１３９】
具体的には、組合せ決定部２３０は、組み合わせ候補を１以上生成する。ここで、組み合わせ候補は、匿名化対象データセットに含まれる対象レコードを１以上のグループに振り分ける場合の、対象レコードの組み合わせの候補である。
【０１４０】
組合せ決定部２３０は、情報損失計算部２４０に組み合わせ候補を渡す。そして、組合せ決定部２３０は、各組み合わせ候補に対応する強化加工情報損失量を情報損失計算部２４０から受け取る。
【０１４１】
組合せ決定部２３０は、受け取った強化加工情報損失量に基づいて算出した情報の損失が、最も小さい組み合わせ候補を対象レコードの組み合わせとして決定する。即ち、組合せ決定部２３０は、匿名化対象データセットに含まれる全ての対象レコードの、匿名性強化部１２０による強化加工後の、情報損失量の総和が最小になるように対象レコードの組み合わせを決定する。
【０１４２】
＝＝＝匿名化対象データセット８２０＝＝＝
図１１は、匿名化対象データセット８６０の一例を示す図である。図１１に示すように匿名化対象データセット８６０は、患者ＩＤ（固有識別情報とも呼ばれる）、生年、診療年月及び傷病名の属性からなる複数の対象レコード（例えば、対象レコード８６０１）を複数含む。尚、属性である「生年」は、不変準識別子である。また、属性である「診療年月」は、変動準識別子である。
【０１４３】
図１２は、匿名化対象データセット８６０の対象レコードを１以上のグループに振り分ける場合のイメージを示す図である。図１２中の点線は、３−匿名性を保証可能なように対象レコードを組み合わせ、グループに振り分けるパーティショニングの一例を示す。以後、このグループを、匿名グループと呼ぶ。
【０１４４】
パーティション４０１、パーティション４０２は、属性：生年によって匿名化対象データセットを分割するパーティションである。また、パーティション４０３、パーティション４０４は、属性：診療年月によって匿名化対象データセットを分割するパーティションである。
【０１４５】
ここで、図１２に示すように、各匿名グループは、３以上の異なる患者ＩＤを持った対象レコードを含む。尚、図１２では、便宜上、患者ＩＤを図１３に示す偽ＩＤ（図１２に示す患者ＩＤに並び順で対応する）を用いて示す。従って、各匿名グループのそれぞれは、３−匿名性を保証可能なようにパーティショニングされたグループである。
【０１４６】
例えば、組合せ決定部２３０は、パーティション４０３及びパーティション４０４のいずれかにより分割される匿名化グループ、即ち対象レコードの組み合わせの候補を採用するかを決定する。組合せ決定部２３０は、このようにして、対象レコードの組み合わせの候補の中から、所望のｋ−匿名性が充足可能であって、各患者ＩＤ（固有識別情報）に対応する強化加工情報損失量の総和が最も小さい、対象レコードの組み合わせの候補を採用し、対象レコードの組み合わせとして決定する。
【０１４７】
＝＝＝情報損失計算部２４０＝＝＝
情報損失計算部２４０は、強化加工情報損失量を計算する。
【０１４８】
具体的には、情報損失計算部２４０は、組合せ決定部２３０から組み合わせ候補を受け取る。次に、情報損失計算部２４０は、受け取った組み合わせ候補に基づいて、強化加工情報損失量を計算する。次に、情報損失計算部２４０は、計算した強化加工情報損失量を組合せ決定部２３０に渡す。
【０１４９】
尚、情報損失計算部２４０は、匿名性強化部１２０の強化加工に対応する計算方法を用いて、強化加工情報損失量を計算する。
【０１５０】
次に、匿名性強化部１２０の強化加工が、匿名化対象データセット８６０の対象レコードに含まれる対象準識別子（属性が「生年」の不変準識別子）を、最小の範囲を示す属性値の超集合に汎化する、強化加工である場合について説明する。
【０１５１】
例えば、情報損失計算部２４０は、ＮＣＰ（Ｎｏｒｍａｌｉｚｅｄ  Ｃｉｒｔａｉｎｔｙ  Ｐｅｎａｌｔｙ）によって、強化加工情報損失量を計算する。尚、情報損失量を測る指標は様々なものが提案されている。情報損失計算部２４０は、ＮＣＰに限らず、匿名性強化部１２０の強化加工に対応する任意の計算方法を用いて、強化加工情報損失量を計算してよい。
【０１５２】
一般的な、対象レコード単位のＮＣＰは、ある対象レコードｒの属性ａに関するＮＣＰの値をＮＣＰ（ｒ．ａ）とすると、ＮＣＰ（ｒ．ａ）＝｜ｒ．ａ＿ｍａｘ−ｒ．ａ＿ｍｉｎ｜／｜ａ．ｍａｘ−ａ．ｍｉｎ｜で求められる。ここで、ｒ．ａ＿ｍａｘは対象レコードｒの属性ａの属性値の最大値、ｒ．ａ＿ｍｉｎは対象レコードｒの属性ａの属性値の最小値である。また、ａ．ｍａｘは匿名化対象データセット８６０中の全対象レコードにおける属性ａの最大値、ａ．ｍｉｎは匿名化対象データセット８６０中の全対象レコードにおける属性ａの最小値を表す。
【０１５３】
例えば、パーティション４０３により分割される匿名化グループ、即ち対象レコードの組み合わせの場合、患者ＩＤ：Ａｌｉｃｅを持つ各対象レコード単位のＮＣＰは、以下のように算出される。対象レコード８６０１に含まれる属性が「生年」の対象準識別子は、パーティション４０３により分割された匿名化グループにおいて、ｋ−匿名化部２１０によって１９８１−１９８８年にｋ−匿名化される。従って、対象レコード８６０１に含まれる属性が「生年」の対象準識別子のＮＣＰは、０．７８（小数点３位以下は四捨五入、以下も同様）である。同様に、対象レコード８６０４に含まれる属性が「生年」の対象準識別子のＮＣＰは、０．６７、対象レコード８６０７に含まれる属性が「生年」の対象準識別子のＮＣＰは、が０．４４である。
【０１５４】
本実施形態の情報損失計算部２４０は、強化加工情報損失量として、患者ＩＤ単位のＮＣＰを計算する。上述のＮＣＰを対象レコード単位の情報損失量から、患者ＩＤ単位の強化加工情報損失量へと拡張した指標をＮＣＰ＊と表す。ある患者ＩＤｕの属性ａに関するＮＣＰ＊の値をＮＣＰ＊（ｕ．ａ）とすると、ＮＣＰ＊（ｕ．ａ）＝｜ｕ．ａ＿ｍａｘ ―
ｕ．ａ＿ｍｉｎ｜／｜ａ．ｍａｘ−ａ．ｍｉｎ｜で求められる。ここで、ｕ．ａ＿ｍａｘは患者ＩＤｕを持つ全ての対象レコードの属性ａの値における最大値を、ｕ．ａ＿ｍｉｎは患者ＩＤｕを持つ全ての対象レコードの属性ａの値における最小値を示す。
【０１５５】
例えば、患者ＩＤ：Ａｌｉｃｅを持つ対象レコード８６０１、対象レコード８６０４及び対象レコード８６０７に含まれる属性が「生年」の対象準識別子のそれぞれは、パーティション４０３により分割された匿名化グループにおいて、ｋ−匿名化部２１０によって１９８１−１９８８年、１９８３−１９８９年及び１９８１−１９８５年に変換される。この場合、患者ＩＤ：Ａｌｉｃｅの対象レコード８６０１、対象レコード８６０４及び対象レコード８６０７に含まれる属性が「生年」の最小値は１９８１であり、最大値は１９８９である。従って、患者ＩＤ：Ａｌｉｃｅの対象レコード８６０１、対象レコード８６０４及び対象レコード８６０７のＮＣＰ＊は、０．８９である。
【０１５６】
図１３は、匿名化対象データセット８６０がパーティション４０１、パーティション４０３及びパーティション４０４により分割された場合の、各対象レコードに含まれる属性が「生年」の対象準識別子に対応する、匿名化準識別子を示す図である。図１４は、匿名化対象データセット８６０がパーティション４０２、パーティション４０３及びパーティション４０４により分割された場合の、各対象レコードに含まれる属性が「生年」の対象準識別子に対応する、匿名化準識別子を示す図である。即ち、図１３及び図１４は、ある対象レコードの組み合わせにおいて、匿名化対象データセット８６０がｋ−匿名化された場合の、匿名化準識別子の一例を示す。
【０１５７】
図１５は、対象レコードの組み合わせに対応する情報損失量の一例を示す情報である。具体的には、図１５は、パーティション４０１及びパーティション４０２のそれぞれを採用した場合の、患者ＩＤ毎ＮＣＰ＊の値と匿名化対象データセット８６０全体のＮＣＰ＊の総和とを示している。図１５は、パーティション４０１ではなくパーティション４０２を採用した場合に、匿名化による情報の損失を小さくできることを示している。この場合、組合せ決定部２３０は、パーティション４０２を採用する。
【０１５８】
＝＝＝ｋ−匿名化部２１０＝＝＝
ｋ−匿名化部２１０は、組合せ決定部２３０が決定した対象レコードの組み合わせの、各匿名グループに属する対象レコードに含まれる対象準識別子を匿名化準識別子に変換して、ｋ−匿名化データセットを生成する。ｋ−匿名化部２１０は、例えば、各匿名グループに属する対象レコードに含まれる対象準識別子のそれぞれを、属性名毎に同一の属性値に変換する。
【０１５９】
即ち、ｋ−匿名化部２１０は、匿名化対象データセットに含まれる全ての対象レコードの、匿名性強化部１２０による変換後の、情報損失量の総和が最小になるように対象準識別子を匿名化準識別子に変換する。
【０１６０】
図１６は、ｋ−匿名化部２１０が生成するｋ−匿名化データセットの一例を示す図である。このｋ−匿名化データセットは、組合せ決定部２３０が対象レコードの組み合わせをパーティション４０２、パーティション４０３及びパーティション４０４により分割するように決定した場合に、ｋ−匿名化部２１０が匿名化対象データセット８６０をｋ−匿名化したものである。
【０１６１】
尚、匿名化装置２００のハードウェア単位の構成要素は、図５に示す構成であってよい。
【０１６２】
次に本実施形態の動作について、図面を参照して詳細に説明する。
【０１６３】
図１７は、本実施形態に係る匿名化装置２００の動作を示すフローチャートである。
【０１６４】
組合せ決定部２３０は、１以上の組み合わせ候補を生成し、生成した組み合わせ候補を情報損失計算部２４０に渡す（Ｓ６３１）。
【０１６５】
次に、情報損失計算部２４０は、受け取った組み合わせ候補に基づいて、強化加工情報損失量を計算し、計算した強化加工情報損失量を組合せ決定部２３０に渡す（Ｓ６３２）。
【０１６６】
次に、組合せ決定部２３０は、受け取った強化加工情報損失量に基づいて算出した情報の損失が最も小さい組み合わせ候補を、対象レコードの組み合わせとして決定する（Ｓ６３３）。
【０１６７】
次に、ｋ−匿名化部２１０は、組合せ決定部２３０が決定した対象レコードの組み合わせの、各匿名グループに属する対象レコード毎に、それらの対象レコードに含まれる対象準識別子を匿名化準識別子に変換して、ｋ−匿名化データセットを生成し、記憶部７０２または記憶装置７０３に出力する（Ｓ６３４）。
【０１６８】
次に、匿名性強化部１２０は、受け取ったｋ−匿名化データセットに含まれる強化対象準識別子を強化加工して、匿名化レコードを強化レコードに変換した匿名性強化データセットを生成する（Ｓ６３５）。
【０１６９】
尚、匿名化対象データセットは、複数の不変準識別子を含んでいてもよい。この場合、組合せ決定部２３０は、例えば、同一の組み合わせ候補における不変準識別子のＮＣＰ＊を、同一の属性名かつ同一の偽ＩＤ単位で全て合算し、その総和を「強化加工情報損失量に基づいて算出した情報の損失」としてよい。尚、任意の同一の属性名を対象として、上述の合算を行ってよい。
【０１７０】
上述した本実施形態における第１の効果は、第１の実施形態の効果に加え、第１の実施形態の匿名化装置１００が生成する匿名性強化データセットより、情報の損失を小さくした匿名性強化データセットを生成することを可能にする点である。
【０１７１】
その理由は、以下のような構成を含むからである。即ち、第１に情報損失計算部２４０が固有識別情報のそれぞれに対応する強化加工情報損失量を計算する。第２に、組合せ決定部２３０が強化加工情報損失量に基づいて対象レコードの組み合わせを決定する。第３に、ｋ−匿名化部２１０が決定された組み合わせの対象レコードに含まれる対象準識別子を属性名毎に同一の属性値に変換して、ｋ−匿名化データセットを生成する。
【０１７２】
上述した本実施形態における第２の効果は、情報の損失を相対的により小さくした匿名性強化データセットを生成することを可能にする点である。
【０１７３】
その理由は、組合せ決定部２３０が、受け取った強化加工情報損失量に基づいて算出した情報の損失が、最も小さい組み合わせ候補を、対象レコードの組み合わせとして決定するようにしたからである。
【０１７４】
或いは、その理由は、ｋ−匿名化部２１０は、ｋ−匿名化部２１０は、各匿名グループに属する対象レコードに含まれる対象準識別子のそれぞれを、属性名毎に同一の属性値に変換するようにしたからである。
【０１７５】
以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、各構成要素は、複数の構成要素が１個のモジュールとして実現されてよい。また、各構成要素は、１つの構成要素が複数のモジュールで実現されてもよい。また、各構成要素は、ある構成要素が他の構成要素の一部であるような構成であってよい。また、各構成要素は、ある構成要素の一部と他の構成要素の一部とが重複するような構成であってもよい。
【０１７６】
以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ、可能であれば、ハードウェア的に実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、コンピュータ及びプログラムで実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、ハードウェア的なモジュールとコンピュータ及びプログラムとの混在により実現されてもよい。
【０１７７】
そのプログラムは、例えば、磁気ディスクや半導体メモリなど、不揮発性のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。
【０１７８】
また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障しない範囲で変更することができる。
【０１７９】
更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生したり、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複していたりしていてもよい。
【０１８０】
更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との全ての関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障をきたさない範囲内で変更されて良い。
【０１８１】
以上、各実施形態及び実施例を参照して本発明を説明したが、本発明は上記実施形態及び実施例に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０１８２】
この出願は、２０１２年６月４日に出願された日本出願特願２０１２−１２７２５７を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０１８３】
１００    匿名化装置
１１０    ｋ−匿名化部
１２０    匿名性強化部
２００    匿名化装置
２１０    ｋ−匿名化部
２３０    組合せ決定部
２４０    情報損失計算部
４０１    パーティション
４０２    パーティション
４０３    パーティション
４０４    パーティション
７００    コンピュータ
７０１    ＣＰＵ
７０２    記憶部
７０３    記憶装置
７０４    入力部
７０５    出力部
７０６    通信部
７０７    記録媒体
８２０    匿名化対象データセット
８２２    対象レコード
８２５    対象レコード
８３０    ｋ−匿名化データセット
８３０    匿名化データセット
８３１    匿名化レコード
８３２    匿名化レコード
８３３    匿名化レコード
８３４    匿名化レコード
８３５    匿名化レコード
８３６    匿名化レコード
８４０    匿名性強化データセット
８４２    強化レコード
８４５    強化レコード
８５０    匿名性強化データセット
８６０    匿名化対象データセット
８６０１    対象レコード
８６０４    対象レコード
８６０７    対象レコード
【図１】
2013183250.tif 000003
【図２】
2013183250.tif 000004
【図３】
2013183250.tif 000005
【図４】
2013183250.tif 000006
【図５】
2013183250.tif 000007
【図６】
2013183250.tif 000008
【図７】
2013183250.tif 000009
【図８】
2013183250.tif 000010
【図９】
2013183250.tif 000011
【図１０】
2013183250.tif 000012
【図１１】
2013183250.tif 000013
【図１２】
2013183250.tif 000014
【図１３】
2013183250.tif 000015
【図１４】
2013183250.tif 000016
【図１５】
2013183250.tif 000017
【図１６】
2013183250.tif 000018
【図１７】
2013183250.tif 000019
【手続補正書】
【提出日】平成26年12月2日(2014.12.2)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
固有識別情報と前記固有識別情報に対応する１以上の対象準識別子とを含む１以上の対象レコードを含む匿名化対象データセットについて、前記対象準識別子のそれぞれを、前記匿名化対象データセットがｋ−匿名性を満足するように、匿名化準識別子に変換して、前記対象レコードを匿名化レコードに変換し、前記匿名化レコードを含むｋ−匿名化データセットを生成するｋ−匿名化手段と、
前記ｋ−匿名化データセットについて、同一の前記固有識別情報に対応する前記匿名化レコードを強化レコードに変換し、前記強化レコードを含む匿名性強化データセットを生成し、出力する匿名性強化手段と、を含み、
前記匿名性強化手段は、前記匿名化対象データセットにおいて前記固有識別情報のそれぞれに対応して常に同じ属性値を持つ前記対象準識別子に対応する、前記匿名化準識別子である強化対象準識別子を、前記強化対象準識別子の対比による当該強化対象準識別子の具体化が不可能な情報に変換することで、前記匿名化レコードを前記強化レコードに変換する
情報処理装置。
【請求項２】
前記ｋ−匿名化手段は、前記匿名化対象データセットについて、更に、前記固有識別情報のそれぞれを、前記固有識別情報への復元情報を含まず、前記固有識別情報のそれぞれに固有に割り当てられる偽識別情報に変換し、
前記匿名性強化手段は、前記ｋ−匿名化データセットについて、同一の前記偽識別情報を持つ前記匿名化レコードを前記強化レコードに変換する
ことを特徴とする請求項１記載の情報処理装置。
【請求項３】
前記強化対象準識別子のそれぞれは属性名と属性値とからなる属性であって、
前記匿名性強化手段は、前記同一の前記偽識別情報を持つ全ての前記匿名化レコードに含まれる、前記強化対象準識別子を前記属性名毎に同一の属性値に変換した、前記匿名性強化データセットを生成する
ことを特徴とする請求項２記載の情報処理装置。
【請求項４】
前記匿名性強化手段は、前記同一の偽識別情報を持つ全ての前記匿名化レコードに含まれる前記属性名毎の前記強化対象準識別子を包含しかつ最小の範囲を示す属性値を、前記同一の属性値として当該強化対象準識別子を変換する
ことを特徴とする請求項３記載の情報処理装置。
【請求項５】
前記匿名性強化手段による前記強化対象準識別子の変換に伴う前記固有識別情報のそれぞれに対応する強化加工情報損失量を計算する情報損失計算手段と、
前記情報損失計算手段が計算した前記強化加工情報損失量に基づいて、前記対象レコードを１以上のグループに振り分ける場合の前記対象レコードの組み合わせを決定する組合せ決定手段を更に含み、
前記ｋ−匿名化手段は、各前記グループに属する前記対象レコードに含まれる前記対象準識別子を前記属性名毎に同一の属性値に変換して、ｋ−匿名化データセットを生成する、
ことを特徴とする請求項１乃至４のいずれか１項に記載の情報処理装置。
【請求項６】
前記組合決定手段は、前記匿名化対象データセットに含まれる全ての前記対象レコードの、前記匿名性強化手段による変換後の、情報損失量の総和が最小になるように各前記対象レコードの組み合わせを決定する
ことを特徴とする請求項５記載の情報処理装置。
【請求項７】
前記ｋ−匿名化手段は、前記匿名化対象データセットに含まれる全ての前記対象レコードの、前記匿名性強化手段による変換後の、情報損失量の総和が最小になるように対象準識別子を変換する
ことを特徴とする請求項５または６記載の情報処理装置。
【請求項８】
固有識別情報と前記固有識別情報に対応する１以上の対象準識別子とを含む１以上の対象レコードを含む匿名化対象データセットについて前記対象準識別子のそれぞれを、前記匿名化対象データセットがｋ−匿名性を満足するように、匿名化準識別子に変換して、前記対象レコードを匿名化レコードに変換し、前記匿名化レコードを含むｋ−匿名化データセットを生成し、
前記ｋ−匿名化データセットについて、同一の前記固有識別情報に対応する前記匿名化レコードを強化レコードに変換し、前記強化レコードを含む匿名性強化データセットを生成し、出力し、
前記匿名化対象データセットにおいて前記固有識別情報のそれぞれに対応して常に同じ属性値を持つ前記対象準識別子に対応する、前記匿名化準識別子である強化対象準識別子を、前記強化対象準識別子の対比による当該強化対象準識別子の具体化が不可能な情報に変換することで、前記匿名化レコードを前記強化レコードに変換する
匿名化方法。
【請求項９】
前記匿名化対象データセットについて、更に、前記固有識別情報のそれぞれを、前記固有識別情報への復元情報を含まず、前記固有識別情報のそれぞれに固有に割り当てられる偽識別情報に変換し、
前記ｋ−匿名化データセットについて、同一の前記偽識別情報を持つ前記匿名化レコードを前記強化レコードに変換する
ことを特徴とする請求項８記載の匿名化方法。
【請求項１０】
前記強化対象準識別子の変換に伴う前記固有識別情報のそれぞれに対応する強化加工情報損失量を計算し、前記計算した前記強化加工情報損失量に基づいて、前記対象レコードを１以上のグループに振り分ける場合の前記対象レコードの組み合わせを決定し、
各前記グループに属する前記対象レコードに含まれる前記対象準識別子を前記属性名毎に同一の属性値に変換して、ｋ−匿名化データセットを生成する、
ことを特徴とする請求項８または９記載の匿名化方法。
【請求項１１】
固有識別情報と前記固有識別情報に対応する１以上の対象準識別子とを含む１以上の対象レコードを含む匿名化対象データセットについて前記対象準識別子のそれぞれを、前記匿名化対象データセットがｋ−匿名性を満足するように、匿名化準識別子に変換して、前記対象レコードを匿名化レコードに変換し、前記匿名化レコードを含むｋ−匿名化データセットを生成する処理と、
前記ｋ−匿名化データセットについて、同一の前記固有識別情報に対応する前記匿名化レコードを強化レコードに変換し、前記強化レコードを含む匿名性強化データセットを生成し、出力する処理と、をコンピュータに実行させ、
前記匿名化レコードを前記強化レコードに変換する処理は、前記匿名化対象データセットにおいて前記固有識別情報のそれぞれに対応して常に同じ属性値を持つ前記対象準識別子に対応する、前記匿名化準識別子である強化対象準識別子を、前記強化対象準識別子の対比による当該強化対象準識別子の具体化が不可能な情報に変換する処理である
プログラム。
【請求項１２】
前記匿名化対象データセットについて、更に、前記固有識別情報のそれぞれを、前記固有識別情報への復元情報を含まず、前記固有識別情報のそれぞれに固有に割り当てられる偽識別情報に変換し、
前記ｋ−匿名化データセットについて、同一の前記偽識別情報を持つ前記匿名化レコードを前記強化レコードに変換する
ことを特徴とする請求項１１記載のプログラム。
【請求項１３】
前記強化対象準識別子の変換に伴う前記固有識別情報のそれぞれに対応する強化加工情報損失量を計算する処理と、前記計算した前記強化加工情報損失量に基づいて、前記対象レコードを１以上のグループに振り分ける場合の前記対象レコードの組み合わせを決定する処理と、
各前記グループに属する前記対象レコードに含まれる前記対象準識別子を前記属性名毎に同一の属性値に変換して、ｋ−匿名化データセットを生成する処理と、をコンピュータに実行させる
ことを特徴とする請求項１１または１２記載のプログラム。
【国際調査報告】
2013183250.tif 000020
2013183250.tif 000021