(57)【特許請求の範囲】
【請求項１】
自装置の第一の個人情報と、前記自装置の前記第一の個人情報に割当てられたユーザ識別子と、他装置の第二の個人情報に割当てられたユーザ識別子を含むユーザデータを分割するデータ分割装置であって、
前記他装置のユーザ識別子を取得する送受信手段と、
前記自装置のユーザ識別子と当該識別子に関連付けられた前記第一の個人情報の値とを記憶する記憶手段と、
取得した前記他装置のユーザ識別子のうち、前記自装置のユーザ識別子と一致しない前記他装置のユーザ識別子に関連付けするダミーデータとして、前記第一の個人情報のダミー値を設定する設定手段と、
前記ダミーデータを含む所定のユーザデータを、前記ダミー値を含む前記第一の個人情報の値又は前記第二の個人情報の値に基づいて決定された分割点によって、グループに分割する分割手段と、
分割後のグループに属するユーザデータのうち、前記自装置と前記他装置のユーザ識別子が一致する前記第一の個人情報の値に基づいて、前記設定された第一の個人情報の前記ダミー値を修正する修正手段と、
を含むデータ分割装置。
【請求項２】
前記分割手段は、所定のルールで定まる分割候補点で前記所定のユーザデータを分割した場合に、エントロピーが最小となる点又は最小と近似する点を前記分割点として決定し、前記所定のユーザデータをグループに分割する、
請求項１に記載のデータ分割装置。
【請求項３】
前記修正手段は、分割後のグループに属するユーザデータのうち、前記自装置と前記他装置のユーザ識別子が一致する前記第一の個人情報の値の分布に従って、当該分割後のグループ内のダミー値の値を修正する、
請求項１又は２に記載のデータ分割装置。
【請求項４】
前記修正手段によるダミー値の修正の後に、当該修正前のダミー値と、当該修正後のダミー値との値の変化量に基づいてダミー値を調整する調整手段と、
をさらに含む請求項１〜３のいずれか一項に記載のデータ分割装置。
【請求項５】
前記変化量は、グループに属する修正前の所定のダミー値の平均値と、修正後の所定のダミー値の平均値との差である、
請求項４に記載のデータ分割装置。
【請求項６】
前記自装置と、前記他装置とのいずれにも存在するユーザ識別子の割合が、予め定められた匿名指標を満たすか否かを前記分割手段による分割後のグループ毎に判定する判定手段と、
をさらに含む請求項１〜４のいずれか一項に記載のデータ分割装置。
【請求項７】
第一のデータ分割装置の第一の個人情報と、前記第一のデータ分割装置の前記第一の個人情報に割当てられたユーザ識別子と、第二のデータ分割装置の第二の個人情報に割当てられたユーザ識別子を含むユーザデータを分割するデータ分割システムであって、
前記第一のデータ分割装置は、
前記第二のデータ分割装置のユーザ識別子を取得する第一の送受信手段と、
前記第一のデータ分割装置のユーザ識別子と当該識別子に関連付けられた前記第一の個人情報の値とを記憶する第一の記憶手段と、
取得した前記第二のデータ分割装置のユーザ識別子のうち、前記第一のデータ分割装置のユーザ識別子と一致しない前記第二のデータ分割装置のユーザ識別子に関連付けするダミーデータとして、前記第一の個人情報の第一のダミー値を設定する第一の設定手段と、
前記ダミーデータを含む所定のユーザデータを、前記第一のダミー値を含む前記第一の個人情報の値又は前記第二のデータ分割装置が設定した第二のダミー値を含む第二の個人情報の値に基づいて決定された分割点によって、グループに分割する第一の分割手段と、
分割後のグループに属するユーザデータのうち、前記第一のデータ分割装置と前記第二のデータ分割装置のユーザ識別子が一致する前記第一の個人情報の値に基づいて、設定された前記第一のダミー値を修正する修正手段と、
前記第二のデータ分割装置は、
前記第一のデータ分割装置のユーザ識別子を取得する第二の送受信手段と、
前記第二のデータ分割装置のユーザ識別子と当該識別子に関連付けられた前記第二の個人情報の値とを記憶する第二の記憶手段と、
取得した前記第一のデータ分割装置のユーザ識別子のうち、前記第二のデータ分割装置のユーザ識別子と一致しない前記第一のデータ分割装置のユーザ識別子に関連付けするダミーデータとして、前記第二の個人情報の第二のダミー値を設定する第二の設定手段と、
前記ダミーデータを含む所定のユーザデータを、前記第二のダミー値を含む前記第二の個人情報の値又は前記第一のダミー値を含む第一の個人情報の値に基づいて決定された分割点によって、グループに分割する第二の分割手段と、
分割後のグループに属するユーザデータのうち、前記第二のデータ分割装置と前記第一のデータ分割装置のユーザ識別子が一致する前記第二の個人情報の値に基づいて、設定された前記第二のダミー値を修正する修正手段と、
を含むデータ分割システム。
【請求項８】
自装置の第一の個人情報と、前記自装置の前記第一の個人情報に割当てられたユーザ識別子と、他装置の第二の個人情報に割当てられたユーザ識別子を含むユーザデータを分割するデータ分割方法であって、
前記他装置のユーザ識別子を取得し、
前記自装置のユーザ識別子と当該識別子に関連付けられた前記第一の個人情報の値とを記憶し、
取得した前記他装置のユーザ識別子のうち、前記自装置のユーザ識別子と一致しない前記他装置のユーザ識別子に関連付けするダミーデータとして、前記第一の個人情報のダミー値を設定し、
前記ダミーデータを含む所定のユーザデータを、前記ダミー値を含む前記第一の個人情報の値又は前記第二の個人情報の値に基づいて決定された分割点によって、グループに分割し、
分割後のグループに属するユーザデータのうち、前記自装置と前記他装置のユーザ識別子が一致する前記第一の個人情報の値に基づいて、前記設定された第一の個人情報の前記ダミー値を修正する、
データ分割方法。
【請求項９】
自装置の第一の個人情報と、前記自装置の前記第一の個人情報に割当てられたユーザ識別子と、他装置の第二の個人情報に割当てられたユーザ識別子を含むユーザデータを分割するデータ分割装置を実現するプログラムであって、
前記他装置のユーザ識別子を取得し、
前記自装置のユーザ識別子と当該識別子に関連付けられた前記第一の個人情報の値とを記憶し、
取得した前記他装置のユーザ識別子のうち、前記自装置のユーザ識別子と一致しない前記他装置のユーザ識別子に関連付けするダミーデータとして、前記第一の個人情報のダミー値を設定し、
前記ダミーデータを含む所定のユーザデータを、前記ダミー値を含む前記第一の個人情報の値又は前記第二の個人情報の値に基づいて決定された分割点によって、グループに分割し、
分割後のグループに属するユーザデータのうち、前記自装置と前記他装置のユーザ識別子が一致する前記第一の個人情報の値に基づいて、前記設定された第一の個人情報の前記ダミー値を修正する、
処理をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、分散して保持されているデータを、互いに開示することなく適切に分割する技術に関する。
【背景技術】
【０００２】
分散して保持されているデータを、互いに開示することなく分割する技術が知られている。例えば、非特許文献１には、分散して保持されているプライバシ保護の対象となるデータに関する、データマイニングによる分類木生成技術が開示されている。
非特許文献１に記載の技術は、複数の事業者が異なる種類のユーザの個人情報を保持している状況において、ＩＤ３（Ｉｔｅｒａｔｉｖｅ  Ｄｉｃｈｏｔｏｍｉｓｅｒ  ３）のアルゴリズムを分散環境で実現することで、互いの事業者がデータを開示することなく分類木を生成する。非特許文献１に記載の技術は、ＭＰＣ（Ｍｕｌｔｉ  Ｐａｒｔｙ  Ｃｏｍｐｕｔａｔｉｏｎ）を利用したエントロピー計算により、分類木の分割点を決定する。
以下、非特許文献１に記載の技術による、分類木生成の動作を説明する。
図４６は、事業者Ｓが保持しているデータの例を示す図である。図４６に示すように、事業者Ｓは、「ｕｓｅｒＩＤ」と「腹囲（Ｘ）」と「Ｃｌａｓｓ」に関するデータを保持している。「ｕｓｅｒＩＤ」はデータとして登録されているユーザの識別子である。事業者Ｓは、ｕｓｅｒ１〜ｕｓｅｒ９の計９人のユーザに関するデータを保持している。「腹囲（Ｘ）」は、ユーザの腹囲を示すデータである。「Ｃｌａｓｓ」は、「Ａ」又は「Ｂ」で表示され、「Ａ」はユーザが非メタボリックであることを、「Ｂ」はユーザがメタボリックであることを示す。
図４７は、事業者Ｔが保持しているデータの例を示す図である。図４７に示すように、事業者Ｔは、「ｕｓｅｒＩＤ」と「血圧（Ｙ）」に関するデータを保持している。また、事業者Ｔは、ｕｓｅｒ１〜ｕｓｅｒ８の計８人のユーザに関するデータを保持している。「血圧（Ｙ）」は、ユーザの血圧を示すデータである。
非特許文献１に記載の技術は、事業者Ｓと事業者Ｔとの共通のユーザであるｕｓｅｒ１〜ｕｓｅｒ８のデータに関して、ＭＰＣを用いてエントロピーを計算することにより、分割後に最もエントロピーが小さくなる点「Ｘ＝９０」を分割点として決定する。
図４８は、事業者Ｓ及び事業者Ｔが保持するデータが、「Ｘ＝９０」で２つに分割された状態を示す図である。図４９は、腹囲をＸ軸とし、血圧をＹ軸とした場合の、データの分布を「Ｘ＝９０」で分割した様子を示す図である。図４８及び図４９に示すように、ｕｓｅｒ１〜ｕｓｅｒ８のデータは、「Ｘ＝９０」を分割点として、「ｕｓｅｒ１〜３，７，８」のグループと、「ｕｓｅｒ４〜６」のグループとに分割される。
図５０は、図４８に示すデータが、さらに「Ｙ＝１３０」で分割された状態を示す図である。図５１は、データの分布を「Ｙ＝１３０」で分割した様子を示す図である。図５０及び図５１に示すように、非特許文献１に記載の技術は、ＭＰＣを用いたエントロピー計算により、「Ｙ＝１３０」で分割することが、最もデータの混じりが少なく、分割点として適切であると判断する。
図５２は、非特許文献１に記載の技術により最終的に生成される分類木の例を示す図である。上述の例の場合、非特許文献１に記載の技術によれば、図５２に示される分類木が生成される。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Ｙ．Ｌｉｎｄｅｌｌ，ａｎｄ  Ｂ．Ｐｉｎｋａｓ，“Ｐｒｉｖａｃｙ  Ｐｒｅｓｅｒｖｉｎｇ  Ｄａｔａ  Ｍｉｎｉｎｇ”，Ｃｒｙｐｔｏ  ２０００．
【非特許文献２】″Ｐｒｉｖａｃｙ−Ｐｒｅｓｅｒｖｉｎｇ  Ｄａｔａ  Ｍａｓｈｕｐ″，Ｎｏｍａｎ  Ｍｏｈａｍｍｅｄ，Ｂｅｎｊａｍｉｎ  Ｃ．Ｍ．Ｆｕｎｇ，Ｋｅ  Ｗａｎｇ，Ｐａｔｒｉｃｋ  Ｃ．Ｋ．Ｈｕｎｇ，Ｉｎ  ＥＤＢＴ  ’０９  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  １２ｔｈＩｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｅｘｔｅｎｄｉｎｇ  Ｄａｔａｂａｓｅ  Ｔｅｃｈｎｏｌｏｇｙ：Ａｄｖａｎｃｅｓ  ｉｎ  Ｄａｔａｂａｓｅ  Ｔｅｃｈｎｏｌｏｇｙ，２００９．
【発明の概要】
【発明が解決しようとする課題】
【０００４】
非特許文献１に記載の技術の課題は、一方の事業者（装置）が保持する非共通ユーザのデータが重要な意味を持っていた場合に、該データが分割の処理に反映されず、分類の精度が悪くなることである。なぜなら、非特許文献１に記載の技術は、双方の事業者（装置）が保持する共通のユーザのデータを処理の対象とし、一方の事業者（装置）が保持する非共通のユーザのデータを処理の対象としないからである。また、一方の事業者（装置）が保持する非共通のユーザのデータに対し、他の事業者（装置）の非共通のユーザのデータをランダムに値を割り当てたとしても、分類の精度が良くなるとは限らない。
【課題を解決するための手段】
【０００５】
上記目的を達成するため、本発明におけるデータ分割装置は、自装置の第一の個人情報と、前記自装置の前記第一の個人情報に割当てられたユーザ識別子と、他装置の第二の個人情報に割当てられたユーザ識別子を含むユーザデータを分割するデータ分割装置であって、前記他装置のユーザ識別子を取得する送受信手段と、前記自装置のユーザ識別子と当該識別子に関連付けられた前記第一の個人情報の値とを記憶する記憶手段と、取得した前記他装置のユーザ識別子のうち、前記自装置のユーザ識別子と一致しない前記他装置のユーザ識別子に関連付けするダミーデータとして、前記第一の個人情報のダミー値を設定する設定手段と、前記ダミーデータを含む所定のユーザデータを、前記ダミー値を含む前記第一の個人情報の値又は前記第二の個人情報の値に基づいて決定された分割点によって、グループに分割する分割手段と、分割後のグループに属するユーザデータのうち、前記自装置と前記他装置のユーザ識別子が一致する前記第一の個人情報の値に基づいて、前記設定された第一の個人情報の前記ダミー値を修正する修正手段と、を含む。
上記目的を達成するため、本発明におけるデータ分割システムは、第一のデータ分割装置の第一の個人情報と、前記第一のデータ分割装置の前記第一の個人情報に割当てられたユーザ識別子と、第二のデータ分割装置の第二の個人情報に割当てられたユーザ識別子を含むユーザデータを分割するデータ分割システムであって、前記第一のデータ分割装置は、前記第二のデータ分割装置のユーザ識別子を取得する第一の送受信手段と、前記第一のデータ分割装置のユーザ識別子と当該識別子に関連付けられた前記第一の個人情報の値とを記憶する第一の記憶手段と、取得した前記第二のデータ分割装置のユーザ識別子のうち、前記第一のデータ分割装置のユーザ識別子と一致しない前記第二のデータ分割装置のユーザ識別子に関連付けするダミーデータとして、前記第一の個人情報の第一のダミー値を設定する第一の設定手段と、前記ダミーデータを含む所定のユーザデータを、前記第一のダミー値を含む前記第一の個人情報の値又は前記第二のデータ分割装置が設定した第二のダミー値を含む第二の個人情報の値に基づいて決定された分割点によって、グループに分割する第一の分割手段と、分割後のグループに属するユーザデータのうち、前記第一のデータ分割装置と前記第二のデータ分割装置のユーザ識別子が一致する前記第一の個人情報の値に基づいて、設定された前記第一のダミー値を修正する修正手段と、前記第二のデータ分割装置は、前記第一のデータ分割装置のユーザ識別子を取得する第二の送受信手段と、前記第二のデータ分割装置のユーザ識別子と当該識別子に関連付けられた前記第二の個人情報の値とを記憶する第二の記憶手段と、取得した前記第一のデータ分割装置のユーザ識別子のうち、前記第二のデータ分割装置のユーザ識別子と一致しない前記第一のデータ分割装置のユーザ識別子に関連付けするダミーデータとして、前記第二の個人情報の第二のダミー値を設定する第二の設定手段と、前記ダミーデータを含む所定のユーザデータを、前記第二のダミー値を含む前記第二の個人情報の値又は前記第一のダミー値を含む第一の個人情報の値に基づいて決定された分割点によって、グループに分割する第二の分割手段と、分割後のグループに属するユーザデータのうち、前記第二のデータ分割装置と前記第一のデータ分割装置のユーザ識別子が一致する前記第二の個人情報の値に基づいて、設定された前記第二のダミー値を修正する修正手段と、を含む。
上記目的を達成するため、本発明におけるデータ方法は、自装置の第一の個人情報と、前記自装置の前記第一の個人情報に割当てられたユーザ識別子と、他装置の第二の個人情報に割当てられたユーザ識別子を含むユーザデータを分割するデータ分割方法であって、前記他装置のユーザ識別子を取得し、前記自装置のユーザ識別子と当該識別子に関連付けられた前記第一の個人情報の値とを記憶し、取得した前記他装置のユーザ識別子のうち、前記自装置のユーザ識別子と一致しない前記他装置のユーザ識別子に関連付けするダミーデータとして、前記第一の個人情報のダミー値を設定し、前記ダミーデータを含む所定のユーザデータを、前記ダミー値を含む前記第一の個人情報の値又は前記第二の個人情報の値に基づいて決定された分割点によって、グループに分割し、分割後のグループに属するユーザデータのうち、前記自装置と前記他装置のユーザ識別子が一致する前記第一の個人情報の値に基づいて、前記設定された第一の個人情報の前記ダミー値を修正する。
上記目的を達成するため、本発明におけるプログラムは、自装置の第一の個人情報と、前記自装置の前記第一の個人情報に割当てられたユーザ識別子と、他装置の第二の個人情報に割当てられたユーザ識別子を含むユーザデータを分割するデータ分割装置を実現するプログラムであって、前記他装置のユーザ識別子を取得し、前記自装置のユーザ識別子と当該識別子に関連付けられた前記第一の個人情報の値とを記憶し、取得した前記他装置のユーザ識別子のうち、前記自装置のユーザ識別子と一致しない前記他装置のユーザ識別子に関連付けするダミーデータとして、前記第一の個人情報のダミー値を設定し、前記ダミーデータを含む所定のユーザデータを、前記ダミー値を含む前記第一の個人情報の値又は前記第二の個人情報の値に基づいて決定された分割点によって、グループに分割し、分割後のグループに属するユーザデータのうち、前記自装置と前記他装置のユーザ識別子が一致する前記第一の個人情報の値に基づいて、前記設定された第一の個人情報の前記ダミー値を修正する、処理をコンピュータに実行させる。
【発明の効果】
【０００６】
本発明の効果の一例は、複数の装置によるデータの分散処理において、一方の装置が保持する非共通ユーザのデータを有効に活用することで、精度の良いデータの分割が可能になることである。
【図面の簡単な説明】
【０００７】
【図１】事業者Ｓが保持しているデータの例を示す図である。
【図２】事業者Ｔが保持しているデータの例を示す図である。
【図３】事業者Ｓ及び事業者Ｔが保持するデータが、「Ｙ＝１３０」で２つに分割された状態を示す図である。
【図４】腹囲をＸ軸とし、血圧をＹ軸とした場合の、データの分布を「Ｙ＝１３０」で分割した様子を示す図である。
【図５】図１及び図２に示すデータから最終的に生成される分類木の例を示す図である。
【図６】非特許文献１の技術により生成された分類木を用いた、ｕｓｅｒ１〜ｕｓｅｒ１５の分類結果を示す図である。
【図７】事業者Ｔが保持しているデータに対し、ｕｓｅｒ７〜ｕｓｅｒ１５の値をリサンプリングにより決定したデータを示す図である。
【図８】ｕｓｅｒ１〜ｕｓｅｒ１５のデータを「Ｘ＝９０」で２つに分割した状態を示す図である。
【図９】ダミー値が設定されたデータも含めたｕｓｅｒ１〜ｕｓｅｒ１５のデータの分布と、「Ｘ＝９０」で分割した様子を示す図である。
【図１０】図８に示すデータを、さらに「Ｙ＝１２０」で分割した状態を示す図である。
【図１１】ダミー値が設定されたデータも含めたデータの分布を「Ｙ＝１２０」で分割した様子を示す図である。
【図１２】ダミー値を設定したデータも含めたｕｓｅｒ１〜ｕｓｅｒ１５のデータから最終的に生成される分類木の例を示す図である。
【図１３】ダミー値を設定したデータも含めたデータにより生成された分類木を用いた、ｕｓｅｒ１〜ｕｓｅｒ１５の分類結果を示す図である。
【図１４】第１実施形態に係る第一のデータ分割装置１００の構成を示すブロック図である。
【図１５】第１実施形態に係る第二のデータ分割装置２００の構成を示すブロック図である。
【図１６】本発明の第１実施形態に係る第一のデータ分割装置１００の動作を示すフローチャート図である。
【図１７】図７のデータに対し、ダミー値を修正したデータを表す図である。
【図１８】ダミー値を修正した場合の分割の状態を示す図である。
【図１９】ダミー値を修正した場合の、データの分布と分割の様子を示す図である。
【図２０】図１８に示すデータにおける｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループが、さらに「Ｙ＝１３０」で分割された状態を示す図である。
【図２１】ダミー値が修正されたデータの分布を｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループの「Ｙ＝１３０」で分割した様子を示す図である。
【図２２】ダミー値を修正した場合のｕｓｅｒ１〜ｕｓｅｒ１５のデータから最終的に生成される分類木の例を示す図である。
【図２３】ダミー値を修正したデータにより生成された分類木を用いた、ｕｓｅｒ１〜ｕｓｅｒ１５の分類結果を示す図である。
【図２４】第２実施形態に係る第一のデータ分割装置３００の構成を示すブロック図である。
【図２５】本発明の第２実施形態に係る第一のデータ分割装置３００の動作を示すフローチャート図である。
【図２６】修正されたデータを表す図１７のデータに対し、ダミー値を調整したデータを表す図である。
【図２７】ダミー値を調整した場合の分割の状態を示す図である。
【図２８】ダミー値を調整した場合の、データの分布と分割の様子を示す図である。
【図２９】ダミー値を調整した場合のｕｓｅｒ１〜ｕｓｅｒ１５のデータから最終的に生成される分類木の例を示す図である。
【図３０】ダミー値を調整したデータにより生成された分類木を用いた、ｕｓｅｒ１〜ｕｓｅｒ１５の分類結果を示す図である。
【図３１】第３実施形態に係る第一のデータ分割装置４００の構成を示すブロック図である。
【図３２】第３実施形態に係る第二のデータ分割装置５００の構成を示すブロック図である。
【図３３】第３実施形態における第一のデータ分割装置４００の動作を示すフローチャート図である。
【図３４】第３実施形態において事業者Ｔが保持しているデータの例を示す図である。
【図３５】第３実施形態において、ｕｓｅｒ７〜ｕｓｅｒ１５の値をリサンプリングにより決定したデータを示す図である。
【図３６】事業者Ｓが生成する初期匿名データの例を示す図である。
【図３７】事業者Ｔが生成する初期匿名データの例を示す図である。
【図３８】図３６のデータを「Ｘ＝９０」で分割したデータを表す図である。
【図３９】図３７のデータを「Ｘ＝９０」で分割したデータを表す図である。
【図４０】図３５のデータに対し、ダミー値を修正したデータを表す図である。
【図４１】図３８のデータを「Ｙ＝１３０」で分割したデータを表す図である。
【図４２】図３９のデータを「Ｙ＝１３０」で分割したデータを表す図である。
【図４３】第３実施形態に係る本発明により生成された最終的な結合された匿名化データ（結合匿名化データ）を示す図である。
【図４４】第４実施形態に係るデータ分割装置６００の構成を示すブロック図である。
【図４５】第１実施形態に係る第一のデータ分割装置１００のハードウェア構成の一例を示すブロック図である。
【図４６】背景技術を説明するための事業者Ｓが保持しているデータの例を示す図である。
【図４７】背景技術を説明するための事業者Ｔが保持しているデータの例を示す図である。
【図４８】事業者Ｓ及び事業者Ｔが保持するデータが、「Ｘ＝９０」で２つに分割された状態を示す図である。
【図４９】腹囲をＸ軸とし、血圧をＹ軸とした場合の、データの分布を「Ｘ＝９０」で分割した様子を示す図である。
【図５０】図４８に示すデータが、さらに「Ｙ＝１３０」で分割された状態を示す図である。
【図５１】データの分布を「Ｙ＝１３０」で分割した様子を示す図である。
【図５２】非特許文献１に記載の技術により最終的に生成される分類木の例を示す図である。
【発明を実施するための形態】
【０００８】
まず、本発明の実施形態の理解を容易にするために、本発明の背景を説明する。
背景技術で説明した例と同様に、事業者Ｓと事業者Ｔが、それぞれ保持している個人情報から、分類木を生成することを考える。各事業者が保持する個人情報は、識別子管理事業者が管理する共通の識別子に対応していても良い。
分類木生成の技術には、非特許文献１の技術を用いるものとする。
まず、例えば、識別子管理事業者は、分類木生成の対象となるユーザの識別子を各事業者に対して通知する。例えば、ｕｓｅｒ１〜ｕｓｅｒ１５の識別子が各事業者に通知されたものとする。
事業者Ｓは、通知された識別子のユーザに関して、図１に示すデータを保持しているとする。図１に示すように、事業者Ｓは、ｕｓｅｒ１〜ｕｓｅｒ１５の識別子のユーザに関する個人情報（「腹囲（Ｘ）」と「Ｃｌａｓｓ」のデータ）を保持している。「Ｃｌａｓｓ」は、「Ａ」又は「Ｂ」で表示され、「Ａ」はユーザが非メタボリックであることを、「Ｂ」はユーザがメタボリックであることを示す。
事業者Ｔは、通知された識別子のユーザに関して、図２に示すデータを保持しているとする。図２に示すように、事業者Ｔは、ｕｓｅｒ１〜ｕｓｅｒ６の識別子のユーザに関する個人情報（「血圧（Ｙ）」のデータ）を保持している。
非特許文献１に記載の技術は、事業者Ｓと事業者Ｔとの共通のユーザであるｕｓｅｒ１〜ｕｓｅｒ６のデータを分類木生成処理の対象とし、ｕｓｅｒ７〜ｕｓｅｒ１５のデータは使用しない。非特許文献１に記載の技術は、ｕｓｅｒ１〜ｕｓｅｒ６のデータを対象としてＭＰＣを用いてエントロピーを計算することにより、分割後に最もエントロピーが小さくなる点「Ｙ＝１３０」を分割点として決定する。
図３は、事業者Ｓ及び事業者Ｔが保持するデータが、「Ｙ＝１３０」で２つに分割された状態を示す図である。図４は、腹囲をＸ軸とし、血圧をＹ軸とした場合の、データの分布を「Ｙ＝１３０」で分割した様子を示す図である。図３及び図４に示すように、ｕｓｅｒ１〜ｕｓｅｒ８のデータは、「Ｙ＝１３０」を分割点として、「ｕｓｅｒ１〜４」のグループと、「ｕｓｅｒ５，６」のグループとに分割される。
図５は、図１及び図２に示すデータから最終的に生成される分類木の例を示す図である。上述の例の場合、非特許文献１に記載の技術は、図３及び図４に示した以上の分類は不可能と判断し、図５に示される分類木を生成する。図５に示される分類木によれば、ｕｓｅｒ１〜ｕｓｅｒ６のデータは正確に分類される。具体的には、ｕｓｅｒ１〜ｕｓｅｒ４は、「Ａ」、すなわち「非メタボリック」に分類され、ｕｓｅｒ５，ｕｓｅｒ６は、「Ｂ」、すなわち「メタボリック」に分類される。しかしながら、ｕｓｅｒ７〜ｕｓｅｒ１５のデータは、「血圧（Ｙ）」の値を持たないため、分類することができない。
図６は、非特許文献１の技術により生成された分類木を用いた、ｕｓｅｒ１〜ｕｓｅｒ１５の分類結果を示す図である。図６の「正解」は、図５に示される分類木を用いて分類した場合に、「Ａ」又は「Ｂ」が正しく分類されているかを示すデータである。「○」は正しく分類されていることを表す。「不明」は、対象となるデータが分類に必要な値を保持していないことから分類ができないか、又は「Ａ」と「Ｂ」とが混ざったグループに分類されるため「Ａ」と「Ｂ」とのいずれに該当するか不明であることを表す。
図６に示す分類結果は、ｕｓｅｒ１〜ｕｓｅｒ１５のデータ全体から見ると、決して精度の良い分類であるとは言えない。ここで、分類木の生成に使用されなかったｕｓｅｒ７〜ｕｓｅｒ１５のデータに着目する。ｕｓｅｒ７〜ｕｓｅｒ１５のデータは、「腹囲（Ｘ）＝８０台」のユーザのほとんどが「Ａ」であることを示し、また、「腹囲（Ｘ）＝９０台」のユーザのほとんどが「Ｂ」であることを示す。ｕｓｅｒ７〜ｕｓｅｒ１５のデータは、分類木生成にあたり重要な意味を持つにも関わらず、非特許文献１の技術では、分類木生成にあたりこれらのデータが活用されない。
分類木生成にあたり、ｕｓｅｒ７〜ｕｓｅｒ１５のデータを活用するために、「リサンプリング」という技術を用いることが考えられる。「リサンプリング」とは、標本に基づいてサンプルの値を決定する手法をいう。上述の例においては、「血圧（Ｙ）」の値を実際に保持するｕｓｅｒ１〜ｕｓｅｒ６の値の分布に基づいて、ｕｓｅｒ７〜ｕｓｅｒ１５の値を決定する。
図７は、事業者Ｔが保持しているデータに対し、ｕｓｅｒ７〜ｕｓｅｒ１５の値をリサンプリングにより決定したデータを示す図である。事業者Ｔは、ｕｓｅｒ１〜ｕｓｅｒ６の「血圧（Ｙ）」の値に関し、「１１０台：１２０台：１３０台＝１：１：１」の割合で保持している。そこで、事業者Ｔの装置は、図７に示すように、ｕｓｅｒ７〜ｕｓｅｒ１５の「血圧（Ｙ）」の値を「１１０台：１２０台：１３０台＝１：１：１」の割合でリサンプリングしてダミー値を設定する。本例においては、１１０台として１１５を、１２０台として１２５を、１３０台として１３５を割り当てた。
非特許文献１に記載の技術は、ダミー値を設定することで事業者Ｓと事業者Ｔとの共通のユーザとなったｕｓｅｒ１〜ｕｓｅｒ１５のデータに関して、ＭＰＣを用いてエントロピーを計算することにより、分割後に最もエントロピーが小さくなる点「Ｘ＝９０」を分割点として決定する。
図８は、ｕｓｅｒ１〜ｕｓｅｒ１５のデータが、「Ｘ＝９０」で２つに分割された状態を示す図である。図９は、ダミー値が設定されたデータも含めたｕｓｅｒ１〜ｕｓｅｒ１５のデータの分布を「Ｘ＝９０」で分割した様子を示す図である。図８及び図９に示すように、ｕｓｅｒ１〜ｕｓｅｒ１５のデータは、「Ｘ＝９０」を分割点として、「ｕｓｅｒ１〜３，７〜９，１１，１２，１４」のグループと、「ｕｓｅｒ４〜６，１０，１３，１５」のグループとに分割される。
図１０は、図８に示すデータが、さらに「Ｙ＝１２０」で分割された状態を示す図である。図１１は、ダミー値が設定されたデータも含めたデータの分布を「Ｙ＝１２０」で分割した様子を示す図である。図１０及び図１１に示すように、非特許文献１に記載の技術は、ＭＰＣを用いたエントロピー計算により、本例においては「Ｙ＝１２０」で分割することが、最もデータの混じりが少なく、分割点として適切であると判断する。
図１２は、ダミー値を設定したデータも含めたｕｓｅｒ１〜ｕｓｅｒ１５のデータから最終的に生成される分類木の例を示す図である。リサンプリングを行った場合、非特許文献１に記載の技術によれば、図１２に示される分類木が生成される。
図１３は、ダミー値を設定したデータも含めたデータにより生成された分類木を用いた、ｕｓｅｒ１〜ｕｓｅｒ１５の分類結果を示す図である。図１３に示すように、図６の結果と比較して、リサンプリングを行うことで、分類結果が「不明」であったｕｓｅｒ７〜ｕｓｅｒ１５のデータのうち、ｕｓｅｒ７〜９，１１，１２，１４のデータを正しく分類することが可能な分類木を生成することができる。一方で、リサンプリングの値は標本の分布に従っているとはいえランダムに設定されるため、ｕｓｅｒ４〜６のように本来正しく分類可能であったデータが、「不明」となってしまうことがある。
以上説明したように、共通ユーザのデータを用いたデータ分割の場合、精度の良い分類木を生成することができない。リサンプリングの手法によりダミー値をランダムに設定しても、必ずしも精度の良い分類木が生成されるとは言えない。言い換えれば、非特許文献１の技術に単純にリサンプリングの手法を適用しただけでは、データを精度良く分割することができない。
以下に説明される本発明の第１実施形態によれば、これまでに説明した問題が解決される。
＜第１実施形態＞
まず、図１４及び図１５を参照して、本発明の第１実施形態に係るデータ分割装置の構成を説明する。
図１４は、第１実施形態に係る第一のデータ分割装置１００の構成を示すブロック図である。図１４に示すように、第一のデータ分割装置１００は、第一の送受信部１１０と、第一の記憶部１２０と、第一の設定部１３０と、第一の分割部１４０と、第一の修正部１５０とを含む。
図１５は、第１実施形態に係る第二のデータ分割装置２００の構成を示すブロック図である。図１５に示すように、第二のデータ分割装置２００の構成は、第一のデータ分割装置１００と同様でも良い。本実施形態では、第一のデータ分割装置１００及び第二のデータ分割装置２００が、データ分割システムを構成する。以下の説明においては、第一のデータ分割装置１００の構成を中心として説明する。
なお、本実施形態においては、データ分割装置は２台として説明するが、２台に限定されず、２台以上の複数の装置を含むシステムでも良い。
第一の送受信部１１０は、外部装置と通信を行うことで、自装置（第一のデータ分割装置１００）及び他装置（第二のデータ分割装置２００）のそれぞれが保持しているユーザの識別子の情報を取得する。なお、プライバシを保護することを前提とするため、例えば「腹囲」や「血圧」等の個人情報に関しては互いに開示せず、例えば、ｕｓｅｒＩＤの情報を交換する。
また、第一の送受信部１１０は、例えば識別子管理事業者が保持する識別子管理装置からの通知を受け、母集団となる所定の識別子の情報を取得しても良い。第一の送受信部１１０は、取得した所定の識別子の情報のうち、第一のデータ分割装置１００（自装置）が保持していない識別子の情報を第二のデータ分割装置２００（他装置）が保持している非共通な識別子の情報であると判定しても良い。
または、第一の送受信部１１０は、第二の送受信部２１０と直接ｕｓｅｒＩＤの情報の送受信を行うことで、第二のデータ分割装置２００（他装置）が保持しているｕｓｅｒＩＤの情報を取得しても良い。
または、第一のデータ分割装置１００は、予め第二のデータ分割装置２００が保持しているｕｓｅｒＩＤの情報を第一の記憶部１２０に記憶していても良い。この場合、第一の送受信部１１０は、第二のデータ分割装置２００のｕｓｅｒＩＤの情報を取得する処理を行わなくても良い。
なお、本実施形態において使用する識別子は、例えば国民ＩＤでも良い。又は識別子は、非特許文献２に記載されているＯｐｅｎＩＤでも良く、これらに限定されない。
第一の記憶部１２０は、複数のユーザ識別子と第一の個人情報の値とを関連付けたユーザデータを記憶する。ここで「ユーザ識別子」とは、各データ分割装置が記憶しているユーザの識別子を意味する。例えば、「第一の記憶部１２０が記憶するユーザ識別子」とは、第一のデータ分割装置１００の第一の記憶部１２０が記憶しているユーザの識別子を意味し、第二のデータ分割装置２００の第二の記憶部２２０が記憶しているが、第一の記憶部１２０が記憶していないユーザの識別子は含まない。
また、「第一の個人情報」とは、第一のデータ分割装置１００（自装置）が記憶している個人情報の一つを言う。例えば、第一の記憶部１２０が図１に示すユーザデータを記憶している場合、「第一の個人情報」は「腹囲」でも良い。
第一の設定部１３０は、第一のデータ分割装置１００（自装置）が記憶しているユーザデータ（ユーザ識別子と当該識別子に関連する個人情報の値）を第一の記憶部１２０から取得する。また、第一の設定部１３０は、第二のデータ分割装置２００（他装置）が保持しているユーザ識別子を第一の送受信部１１０又は第一の記憶部１２０から取得する。
第一の設定部１３０は、第二のデータ分割装置（他装置）が記憶しているユーザデータであって、第一の記憶部１２０が記憶していないユーザ識別子のデータに対し、ダミーデータとして第一の個人情報の値にダミー値を設定する。ダミー値は、例えば、ユーザ識別子に対応する第一の個人情報の値の分布に従って、リサンプリングの手法により設定する。第一の設定部１３０によるダミー値の設定方法は、リサンプリングの手法に限定されず、他の適当な方法でも良い。
第一の設定部１３０は、ダミーデータを含む所定のユーザデータを第一の分割部１４０に出力する。
第一の分割部１４０は、第一の設定部１３０から出力されたダミーデータを含む所定のユーザデータを、分割点によってクループに分割する。分割点とは、ユーザデータを分割するための閾値であり、ダミー値を含む第一の個人情報の値、又は、第二の個人情報の値に基づいて、決定される。
上記の他に、第一の分割部１４０は、第一の送受信部１１０を介して第二の分割部２４０と通信を行い、第一のデータ分割装置１００及び第二のデータ分割装置２００が保持する個人情報のうち、分割の軸として最も適切な個人情報を決定しても良い。この場合、第一の分割部１４０は、第二の分割部２４０と通信を行い、該個人情報の値の中で最も適切な分割点を決定しても良い。
なお、第二のデータ分割装置２００（他装置）においてもダミー値の設定が行われている場合には、分割点を決定するための第二の個人情報の値には第二のデータ分割装置（他装置）が設定したダミー値（第二のダミー値）を含む。
分割方法は特に限定されない。第一の分割部１４０は、所定の個人情報の値の平均値を分割点として、ユーザデータを２つのグループに分割しても良い。この場合、第一の分割部１４０は、分割後のグループの内容を第一の送受信部１１０を介して第二の分割部２４０に送信しても良い。第一の分割部１４０及び第二の分割部２４０は、互いの個人情報の値の平均値を分割点として、順番に分割を繰り返しても良い。または、第一の分割部１４０は、周知のヒューリスティック関数を用いて分割点を決定しても良い。
また、第一の分割部１４０は、ユーザデータを分割した場合のエントロピーを考慮して分割点を決定しても良い。エントロピーを考慮することで、第一の分割部１４０は、分割後のグループに属するユーザデータの混ざりが少なくなるように分割点を決定しても良い。
例えば、分割後のグループにおけるエントロピーは以下の式で計算しても良い。
エントロピー＝Σ｛−１×Ｐ（Ｃｌａｓｓ）×ｌｏｇ（Ｐ（Ｃｌａｓｓ））｝
ここで、「Ｃｌａｓｓ」を「Ａ」又は「Ｂ」で分類する場合、Ｐ（Ｃｌａｓｓ）はそれぞれ以下のようになる。
Ｐ（Ａ）＝「分割後のグループ内での「Ａ」の数」／「分割後のグループ内での「Ａ」及び「Ｂ」の数の合計」
Ｐ（Ｂ）＝「分割後のグループ内での「Ｂ」の数」／「分割後のグループ内での「Ａ」及び「Ｂ」の数の合計」
この場合、第一の分割部１４０は、分割後のグループにおけるエントロピーを以下のように計算する。
エントロピー＝｛−１×Ｐ（Ａ）×ｌｏｇ（Ｐ（Ａ））｝＋｛−１×Ｐ（Ｂ）×ｌｏｇ（Ｐ（Ｂ））｝
例えば、第一の分割部１４０は、上記のエントロピーを、適当な分割候補点における分割後の２つのグループ（分割点以上と未満の２つのグループ）について計算する。分割候補点は、所定のルール（アルゴリズム）で決めれば良く、周知の手法で良い。
第一の分割部１４０は、分割候補点でデータを２つのグループに分割して、２つのグループのエントロピーを足した値をＳとした場合に、Ｓの値が最も小さくなる点を分割点として決定しても良い。なお、Ｓの値が最も小さくなる点を分割点として決定することが好ましいが、これに限らず最も小さくなるＳの値に近似した値でもよい。
Ｓの値が小さいということは、２つのグループ内におけるデータの混ざり（「Ａ」と「Ｂ」の混ざり）が少ないことを意味する。
または、第一の分割部１４０は、所定の分割候補点のうちで、分割点以上と未満の２つのグループのいずれかが最小の値を取るグループを含むように分割する分割候補点を、分割点として決定しても良い。なお、前述のように、分割候補点のうちで、分割点以上と未満の２つのグループのいずれかが最小の値をとるグループを含むように分割することが好ましいが、これに限られず最小の値に近似した値であってもよい。エントロピーを用いた分割点の決定方法は上述の方法には限定されず、他の方法でも良い。
なお上述したように、第一のデータ分割装置１００と第二のデータ分割装置２００とは、互いの個人情報の値がわからない。具体的には第一のデータ分割装置１００は、第二のデータ分割装置２００が保持する第二の個人情報の真の値がわからない。
そこで、第一の分割部１４０は、ＭＰＣ（Ｍｕｌｔｉ  Ｐａｒｔｙ  Ｃｏｍｐｕｔａｔｉｏｎ）又はＳＭＰＣ（Ｓｅｃｕｒｅ  Ｍｕｌｔｉ  Ｐａｒｔｙ  Ｃｏｍｐｕｔａｔｉｏｎ）を用いて、第二の個人情報の値も考慮して、分割点を計算しても良い。第一の分割部１４０は、ＭＰＣ等を用いることで、第一のデータ分割装置１００及び第二のデータ分割装置２００の互いの個人情報の値を一切出さずに分割点を計算することができる。
以降は説明の便宜のため、第一の分割部１４０は、ＭＰＣを用いてエントロピーを計算することで分割点を決定し、データを分割するものとする。
第一の分割部１４０は、分割した各グループにおける識別子の内容を示す分割情報を、第一の送受信部１１０を介して第二のデータ分割装置２００に送信する。分割情報は、例えば分割点で分割したｕｓｅｒＩＤのリストでも良い。
また、第一の分割部１４０は、第二の送受信部２１０から送信される分割情報を、第一の送受信部１１０を介して受信する。第一の分割部１４０は、受信した分割情報に基づいてデータを分割する。
第一の分割部１４０は、分割後のデータを第一の修正部１５０に出力する。
第一の修正部１５０は、第一の分割部１４０による分割の度に、分割後のグループに属するユーザデータのうちダミーデータ以外のデータの第一の個人情報の値に基づいて、ダミー値を修正する。例えば、第一の修正部１５０は、分割後のグループにおいて、ユーザ識別子に対応するデータの第一の個人情報の値の分布に従って、そのグループ内でダミー値の値を修正しても良い。
第一の修正部１５０は、ダミー値の修正後のデータを、再び第一の分割部１４０に出力する。第一の分割部１４０は、ダミー値が修正されたグループ内のユーザデータを、さらに２つのグループに分割することが可能か否かを判定する。第一の分割部１４０は、グループ内において周知の手法により分割候補点が存在するか否かを判定することで、さらに分割可能か否かを判定しても良い。
さらに分割可能であると判定した場合、第一の分割部１４０は、第一の修正部１５０から出力されたデータを、さらにグループに分割する。
分割不可能と判定した場合、第一のデータ分割装置１００は、処理を終了する。この場合、第一のデータ分割装置１００は、分割後のユーザデータ、生成した分類木等を出力装置、外部の他のシステム等に出力しても良い。
次に図１６を参照して、本発明の第１実施形態に係る第一のデータ分割装置１００の動作について説明する。
図１６は、本発明の第１実施形態に係る第一のデータ分割装置１００の動作を示すフローチャート図である。図１６に示すように、例えば第一の送受信部１１０は、第二のデータ分割装置２００が保持しているデータのｕｓｅｒＩＤの情報（ユーザ識別子）を取得する（ステップＳ１１）。
第一の送受信部１１０が第二のデータ分割装置２００（他装置）のｕｓｅｒＩＤの情報を取得すると、第一の設定部１３０は、取得したｕｓｅｒＩＤの情報を含んだユーザデータのうち第一の記憶部１２０が実際に記憶しているｕｓｅｒＩＤ（ユーザ識別子）に対応するデータ以外のデータに対し、ダミーデータとして第一の個人情報の値にダミー値を設定する（ステップＳ１２）。この時、第二のデータ分割装置２００においても同様に、第二の送受信部２１０が第一のデータ分割装置１００が保持するｕｓｅｒＩＤの情報を取得し、第二の設定部２３０が第二の個人情報の値にダミー値を設定する。当然のことながら、第一の記憶部１２０と第二の記憶部２２０とが記憶しているデータは異なるので、互いのダミーデータは異なる。
次に、第一の分割部１４０は、ダミー値が設定されたデータを含めた所定のユーザデータの分割にあたり、分割候補点が存在するか否かを判定する。分割候補点が存在すると判定すると、第一の分割部１４０は、所定の分割候補点について、分割した場合の２つのグループのエントロピーの合計を計算する。第一の分割部１４０は、エントロピーの合計が最も低い点を分割点として決定し、その点で所定のユーザデータを２つのグループに分割する（ステップＳ１３）。
次に、第一の修正部１５０は、分割後のグループ内のユーザデータに対しダミー値を修正する（ステップＳ１４）。第一の修正部１５０は、ユーザ識別子に対応するデータの第一の個人情報の値の分布に従って、分割後のグループ内でダミー値を修正しても良い。
次に、第一の修正部１５０は、ダミー値を修正した分割後のグループ内のユーザデータを、再び第一の分割部１４０に出力する。第一の分割部１４０は、分割後にダミー値が修正されたユーザデータを、さらに分割可能か否かを判定する（ステップＳ１５）。第一の分割部１４０は、分割候補点が存在するか否かを判定することで、さらに分割可能か否かを判定しても良い。
分割候補点が存在すると判定した場合は、処理は、ステップＳ１３に進む。ステップＳ１３において、第一の分割部１４０は、分割後にダミー値を修正したユーザデータのグループを、さらに分割する。分割候補点が存在しないと判定した場合は、処理は終了する。
次に、図１７〜図２２を参照して、図１６の各ステップを、具体的に例を用いて説明する。前提として、第一のデータ分割装置１００は事業者Ｓの装置であるものとする。また、第二のデータ分割装置２００は事業者Ｔの装置であるものとする。
また、以降の例は、上述した例と同様の状況を前提とする。具体的には、事業者Ｓ（第一のデータ分割装置１００）は、「腹囲」と「Ｃｌａｓｓ」に関する個人情報（図１に示すデータ）を保持しているとする。事業者Ｔ（第二のデータ分割装置２００）は、「血圧」に関する個人情報（図２に示すデータ）を保持しているとする。各事業者が保持する個人情報は、識別子管理事業者が管理する共通の識別子で対応している。また、以降の例では「腹囲」を第一の個人情報とし、「血圧」を第二の個人情報とする。
図１６のステップＳ１１において、第一のデータ分割装置１００及び第二のデータ分割装置２００は、互いが保持しているデータのｕｓｅｒＩＤの情報を交換する。具体的には、第一の送受信部１１０は、ｕｓｅｒ１〜ｕｓｅｒ１５の識別子を第二の送受信部２１０に送信し、第二の送受信装置２１０から、ｕｓｅｒ１〜ｕｓｅｒ６の識別子を受信する。
図１６のステップＳ１２において、事業者Ｓにおける第一の送受信部１１０がｕｓｅｒ１〜ｕｓｅｒ６の識別子を受信すると、第一の設定部１３０は、図１に示すデータと照合する。照合した結果、第一の設定部１３０は、第二のデータ分割装置２００が記憶しているｕｓｅｒ１〜ｕｓｅｒ６の識別子は、第一のデータ分割装置１００が記憶しているｕｓｅｒ１〜ｕｓｅｒ１５の識別子に含まれていると判定する。従って第一の設定部１３０は、ダミーデータの設定を行わない。
一方、事業者Ｔにおける第二の設定部２３０は、受信したｕｓｅｒ１〜ｕｓｅｒ１５の識別子と、図２に示す情報とを照らし合わせた結果、第一のデータ分割装置１００は、第二のデータ分割装置２００が記憶していないｕｓｅｒ７〜ｕｓｅｒ１５のデータを記憶していると判定する。従って、第二の設定部２３０は、図７に示すようにｕｓｅｒ７〜ｕｓｅｒ１５のデータに対し、リサンプリングの手法により第二の個人情報にダミー値を設定する。
図１６のステップＳ１３において、第一のデータ分割装置１００の第一の分割部１４０及び第二のデータ分割装置２００の第二の分割部２４０は、互いに通信を行いながら、個人情報の分割候補点が存在するか否かを判定する。第一の分割部１４０及び第二の分割部２４０は、第一の個人情報に関して「Ｘ＝９０」が、第二の個人情報に関して「Ｙ＝１２０」及び「Ｙ＝１３０」が、分割候補点であると判定する。
第一の分割部１４０及び第二の分割部２４０は、互いに通信を行いながら、ＭＰＣを用いて個人情報の値を開示することなく、各分割候補点で分割した場合の２つのグループのエントロピーの合計を計算する。第一の分割部１４０及び第二の分割部２４０は、「Ｘ＝９０」を、エントロピーの合計が最小となる点であると判定し、分割点に決定する。
分割点が決定すると、腹囲（Ｘ）の個人情報（第一の個人情報）を保持している第一のデータ分割装置１００において、第一の分割部１４０が所定のユーザデータを｛ｕｓｅｒ１〜３，７〜９，１１，１２，１４｝及び｛ｕｓｅｒ４〜６，１０，１３，１５｝の２つのグループに分割する。
第一の分割部１４０は、データの分割情報（｛ｕｓｅｒ１〜３，７〜９，１１，１２，１４｝、｛ｕｓｅｒ４〜６，１０，１３，１５｝という２つのグループにユーザデータを分割することを示す情報）を事業者Ｔの第二の送受信部２１０に送信する。分割情報を受信すると、第二の分割部２４０も所定のユーザデータを分割する。図８及び図９は分割後のユーザデータの状態を示す図である。
図１６のステップＳ１４において、第一の修正部１５０及び第二の修正部２５０は、分割後のグループ内でダミー値の修正を行う。本例においては、事業者Ｓ（第一のデータ分割装置１００）はダミーデータを保持しないためダミー値の修正は行わず、事業者Ｔ（第二のデータ分割装置２００）の第二の修正部２５０が、ダミー値の修正を行う。
図１７は、図７のユーザデータに対し、ダミー値を修正したデータを表す図である。第二のデータ分割装置２００の第二の修正部２５０は、グループ毎にダミーデータ（ｕｓｅｒ７〜ｕｓｅｒ１５のデータ）以外の識別子（ユーザ識別子）のデータ（ｕｓｅｒ１〜ｕｓｅｒ６のデータ）の第二の個人情報の値の分布に従って、ダミー値を修正する。
まず、｛ｕｓｅｒ１〜３，７〜９，１１，１２，１４｝のグループについて考える。当該グループに属する第二のデータ分割装置２００におけるユーザ識別子のデータはｕｓｅｒ１〜ｕｓｅｒ３のデータである。ｕｓｅｒ１〜ｕｓｅｒ３のデータは、第二の個人情報（血圧）に関し「１１０台：１２０台＝２：１」に分布している。そのため、第二の修正部２５０は、｛ｕｓｅｒ１〜３，７〜９，１１，１２，１４｝のグループに属するダミーデータ（ｕｓｅｒ  ７〜９，１１，１２，１４のデータ）のダミー値を「１１０台：１２０台＝２：１」になるように修正する。
図１７に示すように、第二の修正部２５０は、例えばｕｓｅｒ９を「１３５」から「１１５」に、ｕｓｅｒ１２を「１３５」から「１１５」に、ｕｓｅｒ１４を「１２５」から「１１５」に修正する。
次に、｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループについて考える。当該グループに属する第二のデータ分割装置２００におけるユーザ識別子のデータはｕｓｅｒ４〜ｕｓｅｒ６のデータである。ｕｓｅｒ４〜ｕｓｅｒ６のデータは、第二の個人情報（血圧）に関し「１２０台：１３０台＝１：２」に分布している。そのため、第二の修正部２５０は、｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループに属するダミーデータ（ｕｓｅｒ  １０，１３，１５のデータ）のダミー値を「１２０台：１３０台＝１：２」になるように修正する。
図１７に示すように、第二の修正部２５０は、例えばｕｓｅｒ１０を「１１５」から「１２５」に、ｕｓｅｒ１３を「１１５」から「１３５」に修正する。
図１８は、ダミー値を修正した場合の分割の状態を示す図である。図１９は、ダミー値を修正した場合の、ユーザデータの分布と分割の様子を示す図である。図１９において、丸で囲ったデータが、ダミー値が修正されたデータである。
ダミー値の修正後、ステップＳ１５において、第一の分割装置１００の第一の分割部１４０及び第二の分割装置２００の第二の分割部２４０は、２つの各グループにおいて分割候補点が存在するか否かを判定する。第一の分割部１４０及び第二の分割部２４０は、｛ｕｓｅｒ１〜３，７〜９，１１，１２，１４｝のグループには分割候補点はないと判定する。第一の分割部１４０及び第二の分割部２４０は、｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループについては、「Ｙ＝１２０」及び「Ｙ＝１３０」が分割候補点であると判定し、処理は再び図１６のステップＳ１３に戻る。第一の分割部１４０及び第二の分割部２４０は、ＭＰＣを用いて分割後のエントロピーの合計を計算する。その結果、第一の分割部１４０及び第二の分割部２４０は、「Ｙ＝１３０」を分割点に決定する。
図２０は、図１８に示すデータにおける｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループが、さらに「Ｙ＝１３０」で分割された状態を示す図である。図２１は、ダミー値が修正されたユーザデータの分布と、｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループの「Ｙ＝１３０」で分割した様子を示す図である。図２０において、｛ｕｓｅｒ５，６，１３，１５｝のグループは、「Ａ」と「Ｂ」とが混じっているが、「Ｂ」の数が明かに多いため、当該グループは「Ｂ」のグループであると判定している。
図２２は、ダミー値を修正した場合のｕｓｅｒ１〜ｕｓｅｒ１５のデータから最終的に生成される分類木の例を示す図である。本発明によれば、図２２に示される分類木が生成される。分類木は、図１４及び図２５には図示しない生成部によって、データの分割の過程を情報としてまとめることで生成されても良い。
図２３は、ダミー値を修正したユーザデータにより生成された分類木を用いた、ｕｓｅｒ１〜ｕｓｅｒ１５の分類結果を示す図である。図２３に示すように、図１３の結果と比較して、ダミー値の修正を行うことで、分類結果が「不明」であったｕｓｅｒ４〜６のデータのうち、ｕｓｅｒ５，６のデータを正しく分類することが可能な分類木を生成することができる。当該分類木は、図５、図１２に示す分類木と比較して、最も精度の良い分類木である。
以上説明したように、第１実施形態に係るデータ分割装置１００によれば、複数の装置によるデータの分散処理において、一方の装置が保持する非共通データを有効に活用することで、精度の良いデータの分割が可能となる。第１実施形態に係るデータ分割装置１００においては、非共通データにダミー値を設定して活用し、分割の度にダミー値を修正することで、非共通データを有効に活用する。
＜第２実施形態＞
次に本発明の第２実施形態に係る第一のデータ分割装置３００の機能構成を説明する。
図２４は、第２実施形態に係る第一のデータ分割装置３００の構成を示すブロック図である。図２４に示すように、第一のデータ分割装置３００は、第１実施形態における第一のデータ分割装置１００と比較して、第一の調整部３１０を含む点で異なる。第一の調整部３１０以外の構成部については第１実施形態と同様の構成であるため、同様の番号を付し、説明を省略する。
第一の調整部３１０は、第一の修正部１５０によるダミー値の修正の後に、当該修正前のダミー値と、当該修正後のダミー値との値の変化量に基づいてダミー値を調整する。データの分布に相関関係などの特徴がある場合、第一の調整部３１０がダミー値の変化量に基づいてダミー値を調整することで、第一のデータ分割装置３００は、その特徴を反映してより精度良くデータを分割する。
図２５は、本発明の第２実施形態に係る第一のデータ分割装置３００の動作を示すフローチャート図である。図２５に示すように、第一のデータ分割装置３００の動作は、図１６に示す第一のデータ分割装置１００の動作と比較して、第一の調査部３１０がダミー値の修正前後の変化量に基づいてダミー値を調整するステップＳ１６を有する点で異なる。
ステップＳ１６の後、ステップＳ１５において、第一の分割部１４０は、分割後にダミー値が修正及び調整されたデータを、さらに分割可能か否かを判定する（ステップＳ１５）。
図２６及び図２７は第一の調整部３１０の機能を説明するための図である。
図２６は、修正されたデータを表す図１７のデータに対し、ダミー値を調整したデータを表す図である。第一の調整部３１０は、第一の修正部１５０によるダミー値の修正の後に、グループ毎に当該修正前のダミーデータ（ｕｓｅｒ７〜ｕｓｅｒ１５のデータ）のダミー値と、当該修正後のダミーデータ（ｕｓｅｒ７〜ｕｓｅｒ１５のデータ）のダミー値との値の変化量に基づいてダミー値を調整する。修正前後のダミー値の変化量に基づく調整の方法はどのような方法でも良いが、以下ではダミー値の重心の値（ダミー値の平均値）の変化に基づいて、調整する方法を例に説明する。
まず、｛ｕｓｅｒ１〜３，７〜９，１１，１２，１４｝のグループについて考える。当該グループに属するダミーデータはｕｓｅｒ７〜９，１１，１２，１４のデータである。
図７に示す第一の修正部１５０による修正前のユーザデータにおいて、ｕｓｅｒ７〜９，１１，１２，１４のダミー値はそれぞれ、「１１５」、「１２５」、「１３５」、「１２５」、「１３５」及び「１２５」である。従って、第一の調整部３１０は、当該グループにおける修正前のダミー値の重心の値（平均値）を、（１１５＋１２５＋１３５＋１２５＋１３５＋１２５）÷６により「１２６．６６６」であると算出する。
また、図１７に示す第一の修正部１５０による修正後のデータにおいて、ｕｓｅｒ７〜９，１１，１２，１４のダミー値はそれぞれ、「１１５」、「１２５」、「１１５」、「１２５」、「１１５」及び「１１５」である。従って、第一の調整部３１０は、当該グループにおける修正後のダミー値の重心の値（平均値）を、（１１５＋１２５＋１１５＋１２５＋１１５＋１１５）÷６により「１１８．６６６」であると算出する。
ダミー値の修正によって、重心の値が「１２６．６６６」から「１１８．６６６」に変化したため、ダミー値の重心の値の変化量は「−８」である。そのため、第一の調整部３１０は、｛ｕｓｅｒ１〜３，７〜９，１１，１２，１４｝のグループに属するダミーデータ（ｕｓｅｒ  ７〜９，１１，１２，１４のデータ）所定のダミー値から「１０」を減算する。ここで、ダミー値は「１１５」から１０刻みの値を取ることとしているため、「−８」は、「−１０」とした。また、本実施形態において、ダミー値は「１１５〜１３５」の範囲の値をとることとし、１１５以下又は１３５以上の値はとらないこととする。
図２６に示すように、第一の調整部３１０は、例えばｕｓｅｒ８及びｕｓｅｒ１１のダミー値を「１２５」から「１１５」に修正する。
同様に、｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループについて考える。当該グループに属するダミーデータはｕｓｅｒ１０，１３，１５のデータである。
図７に示す第一の修正部１５０による修正前のデータにおいて、ｕｓｅｒ１０，１３，１５のダミー値はそれぞれ、「１１５」、「１１５」及び「１３５」である。従って、第一の調整部３１０は、当該グループにおける修正前のダミー値の重心の値（平均値）を、（１１５＋１１５＋１３５）÷３により「１２１．６６６」であると算出する。
また、図１７に示す第一の修正部１５０による修正後のデータにおいて、ｕｓｅｒ１０，１３，１５のダミー値はそれぞれ、「１２５」、「１３５」及び「１３５」である。従って、第一の調整部３１０は、当該グループにおける修正後のダミー値の重心の値（平均値）を、（１２５＋１３５＋１３５）÷３により「１３１．６６６」であると算出する。
ダミー値の修正によって、重心の値が「１２１．６６６」から「１３１．６６６」に変化したため、ダミー値の重心の値の変化量は「＋１０」である。そのため、第一の調整部３１０は、｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループに属するダミーデータ（ｕｓｅｒ１０，１３，１５のデータ）所定のダミー値に「１０」を加算する。
図２６に示すように、第一の調整部３１０は、例えばｕｓｅｒ１０のダミー値を「１２５」から「１３５」に修正する。
図２７は、ダミー値を調整した場合の分割の状態を示す図である。図２８は、ダミー値を調整した場合の、ユーザデータの分布と分割の様子を示す図である。図２８において、丸で囲ったデータが、ダミー値が調整されたデータである。
図２９は、ダミー値を調整した場合のｕｓｅｒ１〜ｕｓｅｒ１５のデータから最終的に生成される分類木の例を示す図である。第２実施形態に係る本発明によれば、図２９に示される分類木が生成される。
図３０は、ダミー値を調整したデータにより生成された分類木を用いた、ｕｓｅｒ１〜ｕｓｅｒ１５の分類結果を示す図である。図３０に示すように、図２３の結果と比較して、ダミー値の調整を行うことで、分類結果が「不明」であったｕｓｅｒ４のデータを正しく分類することが可能な分類木を生成することができる。当該分類木は、図５、図１２、図２２に示す分類木と比較して、最も精度の良い分類木である。
以上説明したように、第２実施形態に係るデータ分割装置３００によれば、データの特徴を反映したより精度の良いデータの分割が可能となる。その理由は、例えばデータの分布に相関関係があるとか、一定の範囲にデータが固まっている等の特徴がある場合に、第一の調整部３１０が、その特徴が強調されるように修正後のデータを調整するからである。
＜第３実施形態＞
次に本発明の第３実施形態について説明する。本発明の第３実施形態は、第一のデータ分割装置４００及び第二のデータ分割装置５００を用いて分散匿名化を行う分散匿名化システムである。
分散匿名化とは、分散して保持されている情報を結合する際における、個人の特定や属性の推定を防ぐための匿名化の技術である。分散匿名化技術は、例えば、非特許文献２に記載されている。
非特許文献２の技術は、２つの事業者の間でデータを結合する際に、まず２つの事業者がそれぞれ保持する個人情報を抽象化して初期匿名データを生成する。非特許文献２の技術は、抽象化された個人情報を、匿名性を満たすことを確認しながら徐々に具体化していく。
個人情報の具体化のために、個人情報の分割点を決定し、データを分割する。非特許文献２に記載の技術は、分割の際に、ｋ−匿名性（ｋ−ａｎｏｎｙｍｉｔｙ）とｌ−多様性（ｌ−ｄｉｖｅｒｓｉｔｙ）という二つの指標が満たされるか否かを、センシティブ情報を保持している事業者で確認する。
ここでセンシティブ情報とは、結合後のデータの情報処理に用いるため、変更したくない情報のことを言う。
ｋ−匿名性（ｋ−ａｎｏｎｙｍｉｔｙ）とは、準識別子の組み合わせが同じユーザをｋ人以上にすることを要求する指標である。ｌ−多様性（ｌ−ｄｉｖｅｒｓｉｔｙ）とは、準識別子の組み合わせが同じユーザのセンシティブ情報をｌ通り以上にすることを要求する指標である。二つの指標を満たしているデータを利用者に提供することで、非特許文献１の技術により、提供するデータからの個人の特定を防ぐことができ、個人のセンシティブ情報が知られることを防ぐことができる。
以降の本実施形態の説明では、個人情報のデータが２−匿名性を満たすことを要求する。
図３１は、第３実施形態に係る第一のデータ分割装置４００の構成を示すブロック図である。図３１に示すように、第一のデータ分割装置４００は、第１実施形態における第一のデータ分割装置１００と比較して、第一の判定部４１０を含む点で異なる。第一の判定部４１０以外の構成部については第１実施形態と同様の構成であるため、同様の番号を付し、説明を省略する。
第一の判定部４１０は、自装置（第一のデータ分割装置４００）と、他装置（第二のデータ分割装置５００）とのいずれにも存在するユーザ識別子の割合が、予め定められた匿名指標を満たすか否かを第一の分割部１４０による分割後のグループ毎に判定する。
図３２は、第３実施形態に係る第二のデータ分割装置５００の構成を示すブロック図である。図３２に示すように、第二のデータ分割装置２００の構成は、第一のデータ分割装置４００と同様でも良い。
図３３は、第３実施形態における第一のデータ分割装置４００の動作を示すフローチャート図である。図３３に示すように、第一のデータ分割装置４００の動作は、図１６に示す第一のデータ分割装置１００の動作と比較して、第一の判定部４１０が分割後のグループが所定の匿名指標を満たすか否かを判定するステップＳ１８を有する点で異なる。また、第一のデータ分割装置４００の動作は、ステップＳ１２を有さず、代わりにステップＳ１７を有する。図１６における動作と同様の動作には同様の符合を付し、説明を省略する。
次に、図３４〜図４３を参照して、図３３の各ステップを、具体的に例を用いて説明する。前提として、第一のデータ分割装置４００は事業者Ｓが有するものとする。また、第二のデータ分割装置５００は事業者Ｔが有するものとする。
また、事業者Ｓは、「腹囲」と「Ｃｌａｓｓ」に関する個人情報（図１に示すデータ）を保持しているとする。事業者Ｔは、「血圧」と「病気」に関する個人情報を保持しているとする。
図３４は、第３実施形態において事業者Ｔが保持しているデータの例を示す図である。
各事業者が保持する個人情報は、識別子管理事業者が管理する共通の識別子で対応している。また、以降の例では「腹囲」を第一の個人情報とし、「血圧」を第二の個人情報とし、「病気」をセンシティブ情報とする。
図３３のステップＳ１１において、第一のデータ分割装置４００及び第二のデータ分割装置５００は、互いに、互いが保持するユーザの識別子を取得する。
図３５は、ｕｓｅｒ７〜ｕｓｅｒ１５のデータをリサンプリングにより決定したデータを示す図である。より具体的に説明すると、図３３のステップＳ１７において、事業者Ｔ（第二のデータ分割装置５００）における第二の設定部２３０は、受信した図１に示すデータと、図３４に示すデータとを照らし合わせた結果、図３５に示すようにｕｓｅｒ７〜ｕｓｅｒ１５のデータに対し、リサンプリングの手法により第二の個人情報にダミー値を設定し、センシティブ情報を適当に設定する。
また、ステップＳ１７において、第一の設定部１３０及び第二の設定部２３０は、初期匿名データを生成する。例えば、第一の設定部１３０は、図１のデータから図３６に示す初期匿名データを生成する。また、第二の操作部２４０は、事業者Ｔが保持する図３４のデータから図３７に示す初期匿名データを生成する。
図３６及び図３７に示すように、初期匿名データは、ｕｓｅｒＩＤ、準識別子（血圧、腹囲、及び、ｃｌａｓｓに関する情報）及びセンシティブ情報（病気に関する情報）を含む。
図３３のステップＳ１３において、第１実施形態と同様に、第一の分割部１４０及び第二の分割部２４０は、「Ｘ＝９０」を、エントロピーの合計が最小となる点であると判定し、分割点に決定する。腹囲（Ｘ）に関する情報を保持している事業者Ｓは、「Ｘ＝９０」で分割した場合のグループの内容に関する情報を第一の送受信部１１０を介して事業者Ｔに送信する。具体的には、第一の分割部１４０は、データの分割情報（｛ｕｓｅｒ１〜３，７〜９，１１，１２，１４｝、｛ｕｓｅｒ４〜６，１０，１３，１５｝という２つのグループにデータを分割することを示す情報）を事業者Ｔの第二の送受信部２１０に送信する。
図３８は、図３６のデータを「Ｘ＝９０」で分割したユーザデータを表す図である。図３９は、図３７のユーザデータを「Ｘ＝９０」で分割したユーザデータを表す図である。
次に図３３のステップＳ１８において、第一の判定部４１０及び第二の判定部４２０は、第一の分割装置４００（自装置）と、第二の分割装置５００（他装置）とのいずれにも存在するユーザ識別子の割合が、予め定められた匿名指標を満たすか否かを第１の分割装置４００第一の分割部１４０による分割後のグループ毎に判定する。
「ユーザ識別子」とは、自装置が記憶しているユーザの識別子を意味する。具体的には、事業者Ｓのユーザ識別子はｕｓｅｒ１〜１５である。事業者Ｔのユーザ識別子はｕｓｅｒ１〜６である。
本実施形態において、予め定められた匿名指標は、２−匿名性である。図３９の｛ｕｓｅｒ１〜３，７〜９，１１，１２，１４｝のグループ（一行目のグループ）は、ユーザ９名のうち６名がダミーなので３−匿名である。また、｛ｕｓｅｒ４〜６，１０，１３，１５｝のグループ（二行目のグループ）は、ユーザ６名のうち３名がダミーなので３−匿名である。従って、いずれのグループも２−匿名性を満たす。
なお、本例においては、センシティブ情報を保持しているのは事業者Ｔなので、匿名指標の確認は事業者Ｔが行えばよい。
また、本例においては、ダミーデータは事業者Ｔのユーザデータに含まれているので、指標を満たしていることの確認は難しくない。仮に事業者Ｓのデータにもダミーデータが含まれている場合には、第１の判定部４１０が、ＭＰＣを用いて事業者Ｓのデータ及び事業者Ｔのデータが共に匿名指標を満たしていることを確認しても良い。
事業者Ｔが保持するデータの匿名指標が保たれていることを確認すると、図３３のステップＳ１４において第二の修正部２５０は、第１実施形態と同様の手順でダミー値の修正を行う。
図４０は、図３５のデータに対し、ダミー値を修正したユーザデータを表す図である。第二の修正部２５０がダミー値を修正することで、次のステップにおいて適格な点で精度良くユーザデータを分割することが可能となる
次に、第一の分割部１４０及び第二の分割部２４０は、第１実施形態と同様の方法により、分割後にダミー値が修正されたユーザデータを、さらに分割可能か否かを判定する（ステップＳ１５）。分割候補点が存在すると判定すると、第一の分割部１４０及び第二の分割部２４０は、ＭＰＣを用いて分割後のエントロピーの合計を計算して、第１実施形態と同様に「Ｙ＝１３０」を分割点に決定する。
再び図３３のステップＳ１３において、第一の分割部１４０及び第二の分割部２４０は、ユーザデータを分割する。図４１は、図３８のデータを「Ｙ＝１３０」で分割したデータを表す図である。図４２は、図３９のデータを「Ｙ＝１３０」で分割したユーザデータを表す図である。
図３３のステップＳ１８において、第二の判定部４２０は、図４２のユーザデータについて匿名指標が保たれているかを確認する。第二の判定部４２０は、｛ｕｓｅｒ４，１０｝のグループ（二行目のグループ）は、ユーザ２名のうち１名がダミーなので１匿名であり、２匿名性を満たさないと判定する。
第二の判定部４２０が匿名指標を満たさないと判定すると、第一のデータ分割装置４００及び第二のデータ分割装置５００は、最後に行った分割をキャンセルする。第一のデータ分割装置４００及び第二のデータ分割装置５００は、キャンセルしたそれぞれのデータについて、ＭＰＣを用いて双方に存在する人数を計算し、結合匿名化データを生成する。
図４３は、第３実施形態に係る本発明により生成された最終的な結合された匿名化データ（結合匿名化データ）を示す図である。
ここで、最終的に出力される図４３に示すユーザデータを参照しても、事業者Ｓはどのユーザのデータが確実に事業者Ｔのデータに存在するかはわからない。また、事業者Ｔはどのユーザのデータが確実に事業者Ｓのデータに存在するかはわからない。
以上説明したように、第３実施形態に係る本願発明である分散匿名化システムによれば、他の事業者にユーザのデータの存在が漏洩する危険性なく、かつ一方の装置が保持する非共通データを有効に活用して、データ分割の精度良く分散匿名化処理を実行することができる。その理由は、本願発明の分散匿名化システムは、他の事業者に送信するデータの中に、実際には存在しないダミーのデータを含めて送信することで、分散匿名化処理の過程における、他の事業者へのユーザのデータの存在の漏洩が防止できるからである。また、分割の度でダミー値を修正することで、適切な分割点で分割が可能となるからである。
＜第４実施形態＞
次に図４４を参照して、本発明の第４実施形態に係るデータ分割装置６００の機能構成を説明する。
図４４は、第４実施形態に係るデータ分割装置６００の構成を示すブロック図である。図４４に示すように、データ分割装置６００は、送受信部６１０と、記憶部６２０と、設定部６３０と、分割部６４０と、修正部６５０とを含む。なお、これらは上述した第一の送受信部１１０、第一の記憶部１２０、第一の設定部１３０、第一の分割部１４０及び第一の修正部１５０と同様の構成である。
データ分割装置６００は、第一の個人情報を記憶しており、第二の個人情報を記憶している他装置と、送受信部６１０を介して互いに通信を行いながらデータを分割する。
送受信部６１０は、他装置とデータを送受信する。
記憶部６２０は、複数のユーザの識別子と、第一の個人情報の値とを関連付けてユーザデータとして記憶する。
設定部６３０は、送受信手段６１０が受信した他装置が記憶しているデータであって、記憶部６２０が記憶していない識別子のデータに対し、ダミーデータとして第一の個人情報に第一のダミー値を設定する。
分割部６４０は、ダミーデータを含む所定のデータを、ダミー値を含む第一の個人情報の値又は第二の個人情報の値に基づいて決定された分割点によって、グループに分割する。
修正部６５０は、分割の度に、分割後のグループに属するデータのうちダミーデータ以外のデータの第一の個人情報の値に基づいて、ダミー値を修正する。
以上説明したように、第４実施形態に係るデータ分割装置６００によれば、複数の装置によるデータの分散処理において、一方の装置が保持する非共通データを有効に活用することで、精度の良いデータの分割が可能となる。
以上、各実施形態を参照して本発明を説明したが、本発明は以上の実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で同業者が理解し得る様々な変更をすることができる。
なお、本発明に係る二以上の異なる事業者が保持するデータ分割装置は、それぞれ管理上分離された装置であれば良く、例えば、仮想的に分離された装置であっても良い。また、例えば、各事業者のデータ分割装置の記憶部が同一のデータベースで保持されており、異なる事業者が保持するデータであることが分かるような管理形態で保持されていても良い。
図４５は、第１実施形態に係る第一のデータ分割装置１００のハードウェア構成の一例を示すブロック図である。
図４５に示すように、第一のデータ分割装置１００を構成する各部は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１と、ネットワーク接続用の通信ＩＦ２（通信インターフェース２）と、メモリ３と、プログラムを格納するハードディスク等の記憶装置４とを含む、コンピュータ装置によって実現される。ただし、第一のデータ分割装置１００の構成は、図４５に示すコンピュータ装置に限定されない。
例えば、第一の送受信部１１０は、通信ＩＦ２によって実現されても良い。
ＣＰＵ１は、オペレーティングシステムを動作させて第一のデータ分割装置１００を制御する。また、ＣＰＵ１は、例えばドライブ装置などに装着された記録媒体からメモリ３にプログラムやデータを読み出し、これにしたがって各種の処理を実行する。
例えば第一の設定部１３０、第一の分割部１４０及び第一の修正部１５０は、ＣＰＵ１及びプログラムによって実現されても良い。
記録装置４は、例えば光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク、半導体メモリ等であって、コンピュータプログラムをコンピュータ読み取り可能に記録する。コンピュータプログラムは、通信網に接続されている図示しない外部コンピュータからダウンロードされても良い。
例えば、第一の記憶部１２０は記録装置４によって実現されても良い。
なお、これまでに説明した各実施形態において利用するブロック図は、ハードウェア単位の構成ではなく、機能単位のブロックを示している。これらの機能ブロックはハードウェア及びソフトウェアの任意の組み合わせによって実現される。また、第一のデータ分割装置１００の構成部の実現手段は特に限定されない。すなわち、第一のデータ分割装置１００は、物理的に結合した一つの装置により実現されても良いし、物理的に分離した二つ以上の装置を有線又は無線で接続し、これら複数の装置により実現されても良い。
本発明のプログラムは、上記の各実施形態で説明した各動作を、コンピュータに実行させるプログラムであれば良い。
この出願は、２０１１年９月２１日に出願された日本出願特願２０１１−２０５５１９を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０００９】
１    ＣＰＵ
２    通信ＩＦ
３    メモリ
４    記憶装置
１００、３００、４００  第一のデータ分割装置
１１０  第一の送受信部
１２０  第一の記憶部
１３０  第一の設定部
１４０  第一の分割部
１５０  第一の修正部
３１０  第一の調整部
４１０  第一の判定部
６００  データ分割装置
６１０  送受信部
６２０  記憶部
６３０  設定部
６４０  分割部
６５０  修正部
２００、５００  第二のデータ分割装置
２１０  第二の送受信部
２２０  第二の記憶部
２３０  第二の設定部
２４０  第二の分割部
２５０  第二の修正部
４２０  第二の判定部
【図１】
0006015661.tif 000002
【図２】
0006015661.tif 000003
【図３】
0006015661.tif 000004
【図４】
0006015661.tif 000005
【図５】
0006015661.tif 000006
【図６】
0006015661.tif 000007
【図７】
0006015661.tif 000008
【図８】
0006015661.tif 000009
【図９】
0006015661.tif 000010
【図１０】
0006015661.tif 000011
【図１１】
0006015661.tif 000012
【図１２】
0006015661.tif 000013
【図１３】
0006015661.tif 000014
【図１４】
0006015661.tif 000015
【図１５】
0006015661.tif 000016
【図１６】
0006015661.tif 000017
【図１７】
0006015661.tif 000018
【図１８】
0006015661.tif 000019
【図１９】
0006015661.tif 000020
【図２０】
0006015661.tif 000021
【図２１】
0006015661.tif 000022
【図２２】
0006015661.tif 000023
【図２３】
0006015661.tif 000024
【図２４】
0006015661.tif 000025
【図２５】
0006015661.tif 000026
【図２６】
0006015661.tif 000027
【図２７】
0006015661.tif 000028
【図２８】
0006015661.tif 000029
【図２９】
0006015661.tif 000030
【図３０】
0006015661.tif 000031
【図３１】
0006015661.tif 000032
【図３２】
0006015661.tif 000033
【図３３】
0006015661.tif 000034
【図３４】
0006015661.tif 000035
【図３５】
0006015661.tif 000036
【図３６】
0006015661.tif 000037
【図３７】
0006015661.tif 000038
【図３８】
0006015661.tif 000039
【図３９】
0006015661.tif 000040
【図４０】
0006015661.tif 000041
【図４１】
0006015661.tif 000042
【図４２】
0006015661.tif 000043
【図４３】
0006015661.tif 000044
【図４４】
0006015661.tif 000045
【図４５】
0006015661.tif 000046
【図４６】
0006015661.tif 000047
【図４７】
0006015661.tif 000048
【図４８】
0006015661.tif 000049
【図４９】
0006015661.tif 000050
【図５０】
0006015661.tif 000051
【図５１】
0006015661.tif 000052
【図５２】
0006015661.tif 000053