(57)【要約】【課題】複数の事業者が夫々に用いている個人情報を一元的に利用可能とする技術を提供する。【解決手段】対象データに含まれる語を抽象化した語に替えて匿名化するため、語と抽象化した語とを対応付けて記憶した複数の匿名化辞書を取得し、複数の匿名化辞書に含まれる各語の対応関係に基づいて、最上位の語をルートとしてツリー状の対応関係にある語の次元を最上位の語毎に生成し、次元の夫々について、当該次元に含まれる語に基づいて優先度を決定し、複数の次元のうち、統合匿名化辞書として採用する次元と採用しない次元とを優先度に基づいて選択し、対象データを取得し、統合匿名化辞書を参照して、対象データ中の項目の値である語を抽象化した語に替えて匿名化候補データを生成し、抽象化候補データの項目の値の組み合わせが、対象データの一個人に限定されないことを条件として検定し、検定の条件を満たした抽象化候補データを匿名情報として出力する。【選択図】図１
2015049648.tif 000002
【特許請求の範囲】
【請求項１】
対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した匿名化辞書を複数取得する辞書取得部と、
前記複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までをツリー状に対応付けて当該ツリー状の対応関係を一つの次元とし、前記複数の匿名化辞書に含まれる複数の前記最上位の語毎に前記次元を求め、前記最上位の語毎に求めた前記複数の次元を統合匿名化辞書とする統合部と、
前記次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する優先度決定部と、
前記複数の次元のうち、前記統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する選択部と、
個人と対応付けられた複数の項目を含む前記対象データを取得するデータ取得部と、
前記統合匿名化辞書を参照し、前記対象データ中の項目の値である語を抽象化した語に替えて匿名化候補データを生成する抽象化部と、
前記匿名化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
前記検定の条件を満たした抽象化候補データを匿名情報として出力する出力部と、
を備える匿名化システム。
【請求項２】
前記優先度決定部は、前記次元に含まれる語の数、前記次元に含まれる語について上位と下位の関係にある段階の数、前記次元に含まれる語の価値のうち少なくとも一つに基づいて前記優先度を決定する請求項１に記載の匿名化システム。
【請求項３】
前記検定部は、前記抽象化候補データの一個人と対応付けられた異なる項目の値の組み合わせが前記抽象化候補データ中で単一でないことを条件として匿名性を検定する請求項１又は２に記載の匿名化システム。
【請求項４】
前記検定部は、前記抽象化候補データの一個人と対応付けられた同じ項目の値の組み合わせが前記抽象化候補データ中で単一でないことを条件として多様性を検定する請求項１から３の何れか１項に記載の匿名化システム。
【請求項５】
対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した匿名化辞書を複数取得する辞書取得部と、
前記複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までをツリー状に対応付けて当該ツリー状の対応関係を一つの次元とし、前記複数の匿名化辞書に含まれる複数の前記最上位の語毎に前記次元を求め、前記最上位の語毎に求めた前記複数の次元を統合匿名化辞書とする統合部と、
前記次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する優先度決定部と、
前記複数の次元のうち、前記統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する選択部と、
を備える辞書作成装置。
【請求項６】
対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した匿名化辞書を複数取得するステップと、
前記複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までをツリー状に対応付けて当該ツリー状の対応関係を一つの次元とし、前記複数の匿名化辞書に含まれる複数の前記最上位の語毎に前記次元を求め、前記最上位の語毎に求めた前記複数の次元を統合匿名化辞書とするステップと、
前記次元の夫々について、当該次元に含まれる語に基づいて優先度を決定するステップと、
前記複数の次元のうち、前記統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択するステップと、
個人と対応付けられた複数の項目を含む前記対象データを取得するデータ取得部と、
前記統合匿名化辞書を参照し、前記対象データ中の項目の値である語を抽象化した語に替えて匿名化候補データを生成するステップと、
前記匿名化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
前記検定の条件を満たした抽象化候補データを匿名情報として出力するステップと、
をコンピュータが実行する匿名化方法。
【請求項７】
対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した匿名化辞書を複数取得するステップと、
前記複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までをツリー状に対応付けて当該ツリー状の対応関係を一つの次元とし、前記複数の匿名化辞書に含まれる複数の前記最上位の語毎に前記次元を求め、前記最上位の語毎に求めた前記複数の次元を統合匿名化辞書とするステップと、
前記次元の夫々について、当該次元に含まれる語に基づいて優先度を決定するステップと、
前記複数の次元のうち、前記統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択するステップと、
個人と対応付けられた複数の項目を含む前記対象データを取得するデータ取得部と、
前記統合匿名化辞書を参照し、前記対象データ中の項目の値である語を抽象化した語に替えて匿名化候補データを生成するステップと、
前記匿名化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
前記検定の条件を満たした抽象化候補データを匿名情報として出力するステップと、
をコンピュータに実行させるための匿名化プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報を匿名化又は多様化して利用する技術に関する。
【背景技術】
【０００２】
情報処理技術の発展に伴い、日常の多くの場面で情報が収集され、この収集された情報を用いた処理が行われている。例えば、消費者が店舗の会員となって商品を購入する場合、会員登録時に消費者の氏名、年齢、性別、住所、メールアドレス等を登録することが多い。そして、消費者が商品を購入すると、店舗側のシステムが、この消費者と購入した商品の情報を対応付けて記録する。このように購入した商品の情報を蓄積して分析すると、当該消費者の嗜好が推定でき、この消費者が好む新商品が発売されたような場合にダイレクトメールを発送するといったサービスを行うことができる。更に、多くの消費者の情報について分析することで、２０代女性の好む商品や関東エリアで好まれる商品といった情報を導くことができ、マーケティング等に利用される。
【０００３】
これらの情報は、当該店舗だけでなく、商品を製造するメーカや、他の企業にとっても利用価値が高く、例えば広告やクーポン等のレコメンドに用いたいという要求があった。
【０００４】
しかし、店舗が有する消費者の個人情報を各消費者の許諾を得ずに、他者へ提供することはできない。このため、上記消費者に関する情報を他者へ提供する場合には、個人を特定できないように、匿名化する必要がある。
【０００５】
例えば、年齢が記載されている会員リストに２５歳の人が一人だけであると、２５歳の知人がその会員であることを知った時点で、その人を特定できることになる。即ち、２５歳の会員という属性を持つ人が一人だけであると、他の情報と照らし合わせることで、個人を特定できる可能性が高い。
【０００６】
そこで、会員リストの年齢の記載を１０歳区切りに抽象化し、２０代が３人のように同じ属性を持つ人が複数人となるようにすれば、３人のうちの誰であるかを特定できなくなる。このように同じ属性を持つ人がｋ人以上いる状態を、「k-匿名性」を満たすと称し、そのようにデータを加工することを「k-匿名化」と称する。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００３−１９６３９１号公報
【特許文献２】特開２００３−２３３５５１号公報
【特許文献３】特開２００５−１００４０８号公報
【特許文献４】特開２００４−０８６３８３号公報
【特許文献５】特開２００５−３４６２４８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ショッピングモールや展示会等、複数の店舗や企業が出店・出展している状況において、各店舗や企業で収集した個人情報を共有し、ショッピングモールや展示会全体のマーケティング等に利用したいという要求がある。しかし、各店舗や企業が収集した個人情報を共有するためには、匿名化する必要があるが、各店舗や企業が夫々独自に匿名化したデータは、夫々のデータに含まれる語に統一性が無く、利用し難いという問題があった。例えば、１９歳男性というデータをＡ店舗では１０代男性と匿名化し、Ｂ店舗では大学生男性
と匿名化したのでは、同じ１９歳男性のデータであってもＡ店舗で匿名化したデータとＢ店舗で匿名化したデータを一元的に扱うことができず、比較・検討等に利用することができなかった。
【０００９】
そこで本発明は、複数の事業者が夫々に用いている匿名化辞書を統合して共通辞書を作成し、この共通辞書を用いて個人情報を匿名化して匿名化データを生成し、複数の事業者で用いる匿名化データを一元的に利用可能とする技術を提供する。
【課題を解決するための手段】
【００１０】
上記課題を解決するため、本発明の匿名化システムは、
対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した匿名化辞書を複数取得する辞書取得部と、
前記複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までをツリー状に対応付けて当該ツリー状の対応関係を一つの次元とし、前記複数の匿名化辞書に含まれる複数の前記最上位の語毎に前記次元を求め、前記最上位の語毎に求めた前記複数の次元を統合匿名化辞書とする統合部と、
前記次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する優先度決定部と、
前記複数の次元のうち、前記統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する選択部と、
個人と対応付けられた複数の項目を含む前記対象データを取得するデータ取得部と、
前記統合匿名化辞書を参照し、前記対象データ中の項目の値である語を抽象化した語に替えて匿名化候補データを生成する抽象化部と、
前記匿名化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
前記検定の条件を満たした抽象化候補データを匿名情報として出力する出力部と、
を備える。
【００１１】
また、上記課題を解決するため、本発明の辞書作成装置は、
対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した複数の匿名化辞書を取得する辞書取得部と、
前記複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までのツリー状の対応関係にある語の次元を前記最上位の語毎に作成する統合部と、
前記次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する優先度決定部と、
前記複数の次元のうち、前記統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する選択部と、
を備える。
【００１２】
前記優先度決定部は、前記次元に含まれる語の数、前記次元に含まれる語について上位と下位の関係にある段階の数、前記次元に含まれる語の価値のうち少なくとも一つに基づいて前記優先度を決定しても良い。
【００１３】
前記検定部は、前記抽象化候補データの一個人と対応付けられた異なる項目の値の組み
合わせが前記抽象化候補データ中で単一でないことを条件として匿名性を検定しても良い。
【００１４】
前記検定部は、前記抽象化候補データの一個人と対応付けられた同じ項目の値の組み合わせが前記抽象化候補データ中で単一でないことを条件として多様性を検定しても良い。
【００１５】
上記課題を解決するため、本発明の匿名化方法は、
対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した匿名化辞書を複数取得するステップと、
前記複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までをツリー状に対応付けて当該ツリー状の対応関係を一つの次元とし、前記複数の匿名化辞書に含まれる複数の前記最上位の語毎に前記次元を求め、前記最上位の語毎に求めた前記複数の次元を統合匿名化辞書とするステップと、
前記次元の夫々について、当該次元に含まれる語に基づいて優先度を決定するステップと、
前記複数の次元のうち、前記統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択するステップと、
個人と対応付けられた複数の項目を含む前記対象データを取得するデータ取得部と、
前記統合匿名化辞書を参照し、前記対象データ中の項目の値である語を抽象化した語に替えて匿名化候補データを生成するステップと、
前記匿名化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
前記検定の条件を満たした抽象化候補データを匿名情報として出力するステップと、
をコンピュータが実行する。
【００１６】
また、本発明は、上記匿名化方法をコンピュータに実行させるための匿名化プログラムであっても良い。更に、前記匿名化プログラムは、コンピュータが読み取り可能な記憶媒体に記録されていても良い。
【００１７】
ここで、コンピュータが読み取り可能な記憶媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータから読み取ることができる記憶媒体をいう。このような記憶媒体の内コンピュータから取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、CD-ROM、CD-R/W、DVD、DAT、８mmテープ、メモリカード等がある。また、コンピュータに固定された記憶媒体としてハードディスクやＲＯＭ（リードオンリーメモリ）等がある。
【発明の効果】
【００１８】
本発明は、複数の事業者が夫々に用いている個人情報を一元的に利用可能とする技術を提供できる。
【図面の簡単な説明】
【００１９】
【図１】図１は、匿名化の説明図である。
【図２】図２は、多様化の説明図である。
【図３】図３は、匿名化システムの機能ブロック図である。
【図４】図４は、辞書ＤＢの例を示す図である。
【図５】図５は、優先度ＤＢの例を示す図である。
【図６】図６は、共通ＤＢの例を示す図である。
【図７】図７は、個人情報ＤＢの例を示す図である。
【図８】図８は、管理サーバ２０のハードウェア構成を示す図である。
【図９】図９は、匿名化装置１０のハードウェア構成を示す図である。
【図１０】図１０は、管理サーバ２０が統合匿名化辞書を作成する処理の説明図である。
【図１１】図１１は、匿名化辞書を統合する処理の説明図である。
【図１２】図１２は、図１１の処理によって作成される各次元の説明図である。
【図１３】図１３は、複数の次元の説明図である。
【図１４】図１４は、図１３に示した次元に含まれる各ワードに重み付けをした例を示す図である。
【図１５】図１５は、各ワードの重みを集計して各次元の優先度を求める処理の説明図である。
【図１６】図１６は、統合匿名化辞書を用いて匿名化装置が実行する匿名化方法の説明図である。
【図１７】図１７は、抽象化候補データの説明図である。
【図１８】図１８は、対象データにおける年齢の項目の一部の例を示す図である。
【図１９】図１９は、年齢について取得する価値データの一例を示す。
【図２０】図２０は、年齢の項目の価値を示す図である。
【図２１】図２１は、年齢の項目の価値を示す図である。
【図２２】図２２は、抽象化候補データにおける年齢の項目の一部の例を示す図である。
【図２３】図２３は、年代について取得する各ワードの価値データの一例を示す図である。
【図２４】図２４は、年代の項目の価値を示す図である。
【図２５】図２５は、年齢の項目の価値を示す図である。
【図２６】図２６は、Ａ社における匿名化の例を示す図である。
【図２７】図２７は、Ｂ社における匿名化の例を示す図である。
【図２８】図２８は、匿名情報の配信処理の一例を示す図である。
【図２９】図２９は、配信条件を満たしたタイミングで配信を行う例を示す図である。
【図３０】図３０は、ショッピングモールの各店舗で収集された個人情報の匿名化の例を示す図である。
【図３１】図３１は、ナビゲーションシステムの位置情報（個人情報）を匿名化する例を示す図である。
【図３２】図３２は、匿名化システムの機能ブロック図である。
【図３３】図３３は、匿名化サーバのハードウェア構成を示す図である。
【図３４】図３４は、事業者端末のハードウェア構成を示す図である。
【図３５】図３５は、統合匿名化辞書を用いて匿名化サーバが実行する匿名化方法の説明図である。
【図３６】図３６は、匿名化システムの説明図である。
【図３７】図３７は、匿名化システムのハードウェア構成を示す図である。
【発明を実施するための形態】
【００２０】
以下、図面を参照して本発明を実施するための形態について説明する。以下の実施の形態の構成は例示であり、本発明は実施の形態の構成に限定されない。
【００２１】
〈実施形態１〉
§１．匿名化
図１はk−匿名化の説明図であり、図１（Ａ）は、姓、年齢、性別の項目を含む会員情
報から姓の項目を削除した例を示す。
【００２２】
図１（Ａ）に示すように年齢が記載されている会員情報に１６歳の女性が一人だけであると、１６歳の女性が、この会員であることが分かった時点で、その人を特定できる。即ち、１６歳・女性という属性を持つ人が一人だけであると、他の情報と照らし合わせることで、個人を特定できる可能性がある。
【００２３】
図１（Ｂ）では、会員リストの年齢の記載を抽象化し、０代（１０歳未満）、１０代、２０代のように年代別とした。しかし、この場合でも１０代女性は一人だけであり、図１（Ａ）と同様に個人が特定できてしまい匿名化としては不十分である。
【００２４】
そこで、図１（Ｃ）では、更に抽象化し、１０代以下（１９歳以下）と２０代のように年代の区切りを変更した。図１（Ｃ）の場合、１０代以下の女性が２人であり、［１０代以下］及び［女性］という属性が単一では無くなる。このため前述のように１６歳の女性が、この会員であることが分かったとしても、どちらが当該１６歳女性のデータであるかは特定できない。このように同じ属性を持つ人がｋ人（本例では２人）以上いる状態を、「k-匿名性」を満たすと称し、そのようにデータを加工することを「k-匿名化」と称する。
【００２５】
図２は、ｌ−多様化の説明図であり、ユーザ毎の利用駅のデータを抽象化し、ユーザ毎の利用駅が属する区のデータとした例を示す。
【００２６】
抽象化前のデータでは、駅が特定されているために、住居が新宿駅付近で勤務地が東京駅付近といったデータと照らし合わせることでユーザを特定できる可能性がある。このため利用駅を抽象化して、利用駅が属する区とすることで、新宿区内の駅と千代田区内の駅を利用するユーザが複数となり、利用者が特定されなくなる。このように「新宿区内の駅と千代田区内の駅を利用する」のように属性値がｌ種類の可能性を持つ状態を、「ｌ-多
様性」を満たすと称し、そのようにデータを加工することを「ｌ-多様化」と称する。
【００２７】
本実施形態１の匿名化システム３０は、この「k-匿名性」や「ｌ-多様性」を満たすよ
うに対象データを抽象化する、即ちデータの項目の値の組み合わせが、対象データの一個人に限定されないように抽象化することにより匿名化を行う。
【００２８】
§２．システム構成
図３は匿名化システムの機能ブロック図である。本実施形態１の匿名化システム３０は、複数の事業者が出展する展示会において、各事業者が来場者から収集した個人情報の匿名化を行うシステムであり、各事業者の匿名化装置１０や、各事業者で匿名化した匿名情報を管理する管理サーバ２０を有する。
【００２９】
本実施形態１の匿名化システム３０では、管理サーバ２０が、各事業者の匿名化装置１０から夫々匿名化辞書を取得し、各事業者の匿名化辞書を統合して統合匿名化辞書を生成し、各事業者の匿名化装置１０へ配信する。そして、各事業者の匿名化装置１０が共通の統合匿名化辞書を用いて個人情報を匿名化して匿名情報とし、管理サーバ２０の共通ＤＢ（Data Base）に登録することで、各事業者がそれぞれ匿名化した匿名情報を一元的に利
用できるようにしている。
【００３０】
図３に示すように、管理サーバ２０は、辞書取得部２０１や、統合部２０２、優先度決定部２０３、辞書管理部２０４、匿名情報登録部２０５、匿名情報制御部２０６、選択部２０７、辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３を備えている。即ち、本実施形態１の管理サーバ２０は、辞書取得部２０１、統合部２０２、優先度決定部２０３及び選択部２０７を備えた辞書作成装置でもある。
【００３１】
辞書取得部２０１は、対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した複数の匿名化辞書を各事業者の匿名化装置１０から取得する。本実施形態では、各事業者の匿名化装置１０から送信された匿名化辞書を辞書取得部２０１が受信し、辞書ＤＢ２３１に登録する。
【００３２】
統合部２０２は、各事業者の匿名化装置１０から取得した複数の匿名化辞書を統合して統合匿名化辞書を作成する。例えば統合部２０２は、複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までのツリー状の対応関係にある語の次元を前記最上位の語毎に生成し、統合匿名化辞書として辞書ＤＢ２３１に記憶させる。この各最上位の語をルートとするツリー状の語の次元が統合匿名化辞書を構成する。
【００３３】
優先度決定部２０３は、前記統合匿名化辞書を構成する次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する。例えば、優先度決定部２０３は、各次元に含まれる語の数、各次元に含まれる語について上位と下位の関係にある段階の数、各次元に含まれる語の価値のうち少なくとも一つに基づいて前記優先度を決定する。なお、前記語について予め定めた値を、例えば優先度ＤＢ２３２が記憶しておき、優先度決定部２０３は、優先度ＤＢ２３２を参照して優先度を決定する。
【００３４】
選択部２０７は、前記統合部２０２で生成した複数の次元のうち、統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する。
【００３５】
辞書管理部２０４は、統合部２０２で作成された統合匿名化辞書を管理する。例えば辞書管理部２０４は、統合匿名化辞書を辞書ＤＢ２３１から読み出して各事業者の匿名化装置１０へ配信する。
【００３６】
匿名情報登録部２０５は、各事業者の匿名化装置１０から匿名情報を取得し、共通ＤＢ２３３に登録する。
【００３７】
匿名情報制御部２０６は、共通ＤＢ２３３に登録された匿名情報の出力処理等を制御する。例えば、匿名化装置１０等の情報処理装置から匿名情報の取得要求を受けた場合に、該当する匿名情報を要求元の情報処理装置へ配信する。本実施形態１において、匿名情報制御部２０６は、出力部の一形態である。
【００３８】
図４は辞書ＤＢ２３１の例を示す図である。辞書ＤＢ２３１は、抽象化前のワード（以下、下位のワードとも称す）と、当該ワードを抽象化した後のワード(以下、上位のワー
ドとも称す)とを対応付けて記憶している。
【００３９】
図５は、優先度ＤＢ２３２の例を示す図である。優先度ＤＢ２３２は、各ワードについて、優先度を決定するための値（価値）を記憶している。図５の例では、各ワードに対して、１日当たりのクリック数、１日当たりの表示回数、参入企業数、１日当たりのコスト、クリック率、ＳＥＭ価格（獲得価格）など、ＳＥＭに用いられる値が記憶されている。
【００４０】
図６は、共通ＤＢ２３３の例を示す図である。共通ＤＢ２３３は、各事業者の匿名化装置１０で統合匿名化辞書を用いて匿名化した匿名情報を記憶している。図６の例では、来訪ブース、年齢、性別、所属企業、役職、興味を示した商品、ステータスなどの項目のデータを記憶している。この項目や各項目の抽象化の程度は、後述のように統合匿名化辞書
や検定の結果等によって決まる。
【００４１】
また、各事業者の匿名化装置１０は、図３に示すように、データ取得部１０１や、抽象化部１０２、検定部１０３、出力制御部１０４、個人情報ＤＢ１３１を備えている。
【００４２】
データ取得部１０１は、個人と対応付けられた複数の項目を含むデータ、即ち個人情報を対象データとして取得する。例えば来場者が記載したアンケートや来場者から聞き取った個人情報をキーボード等から入力して個人情報ＤＢ１３１に記憶しておき、この個人情報を個人情報ＤＢ１３１からデータ取得部１０１が対象データとして読み出す。また、来場者の名刺やアンケートに記載された事項を読み取り、ＯＣＲ（Optical Character Recognition）により電子データとしても良いし、来場者のＲＦ−ＩＤタグやＩＣチップ等か
ら当該来場者の情報を取得しても良い。
【００４３】
抽象化部１０２は、前記次元からなる統合匿名化辞書を参照し、前記対象データ中の項目の値である語を前記優先度に基づいて抽象化した語に替えて匿名化候補データを生成する。
【００４４】
検定部１０３は、前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する。例えば、検定部１０３は、抽象化候補データの項目の値の組み合わせが、ｋ−匿名性を満たすこと、或いはｌ−多様性を満たすことを条件として検定する。
【００４５】
出力制御部１０４は、前記検定の条件を満たした抽象化候補データを匿名情報として出力する。例えば、出力制御部１０４は、匿名情報を管理サーバ２０へ送信する。
【００４６】
図７は、個人情報ＤＢ１３１の例を示す図である。個人情報ＤＢ１３１は、データ取得部１０１で取得した個人情報を記憶している。図７の例では氏名、メール、所属企業名、役職、興味、ステータス等を記憶している。
【００４７】
図８は管理サーバ２０のハードウェア構成を示す図である。管理サーバ２０は、ＣＰＵ２１、メモリ２２、通信制御部２３、記憶装置２４、入出力インタフェース２５を有する所謂コンピュータである。
【００４８】
ＣＰＵ２１は、メモリ２２に実行可能に展開されたプログラムを実行し、前述の辞書取得部２０１や、統合部２０２、優先度決定部２０３、辞書管理部２０４、匿名情報登録部２０５、匿名情報制御部２０６、選択部２０７の機能を提供する。
【００４９】
メモリ２２は、主記憶装置ということもできる。メモリ２２は、例えば、ＣＰＵ２１が実行するプログラムや、通信制御部２３を介して受信したデータ、記憶装置２４から読み出したデータ、その他のデータ等を記憶する。
【００５０】
通信制御部２３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース２５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray（登録商標） Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置２４に格納する。
【００５１】
記憶装置２４は、外部記憶装置ということもできる。記憶装置２４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置２４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置２４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置２４は、プログラムを読み出し、メモリ２２に引き渡す。本実施形態では、記憶装置２４が前述の辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３を格納している。
【００５２】
図９は匿名化装置１０のハードウェア構成を示す図である。匿名化装置１０は、ＣＰＵ１１、メモリ１２、通信制御部１３、記憶装置１４、入出力インタフェース１５を有する所謂コンピュータである。
【００５３】
ＣＰＵ１１は、メモリ１２に実行可能に展開されたプログラムを実行し、前述のデータ取得部１０１や、抽象化部１０２、検定部１０３、出力制御部１０４の機能を提供する。
【００５４】
メモリ１２は、主記憶装置ということもできる。メモリ１２は、例えば、ＣＰＵ１１が実行するプログラムや、通信制御部１３を介して受信したデータ、記憶装置１４から読み出したデータ、その他のデータ等を記憶する。
【００５５】
通信制御部１３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース１５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置１４に格納する。
【００５６】
記憶装置１４は、外部記憶装置ということもできる。記憶装置１４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置１４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置１４は、ドライブ装置からインストールされるプログラム等を記憶する。また、記憶装置１４は、プログラムを読み出し、メモリ１２に引き渡す。本実施形態では、記憶装置１４が前述の個人情報ＤＢ１３１を格納している。
【００５７】
§３．匿名化方法
次に図１０〜図２５を用いて匿名化方法について説明する。図１０は、管理サーバ２０がプログラムに従って実行する統合匿名化辞書を作成する処理の説明図である。
【００５８】
（３−１）統合匿名化辞書の作成
まず、管理サーバ２０は、各事業者の匿名化装置１０から各事業者の匿名化辞書を受信する（ステップＳ１０）。
【００５９】
次に管理サーバ２０は、各事業者の匿名化辞書を統合する（ステップＳ２０）。なお、匿名化辞書を統合する際の具体的な処理については後述する。
【００６０】
また、管理サーバ２０は、統合匿名化辞書を構成するワードの次元について、優先度を決定し（ステップＳ３０）、この優先度に基づいて統合匿名化辞書に採用する次元と採用しない次元とを選択する（ステップＳ４０）。
【００６１】
そして、管理サーバ２０は、ステップＳ４０で選択した次元から構成される統合匿名化辞書を各匿名化装置１０へ配信する（ステップＳ５０）。
【００６２】
図１１は、ステップＳ２０における匿名化辞書を統合する処理の説明図である。管理サーバ２０は、先ず、各事業者の匿名化辞書を記憶した辞書ＤＢ２３１から最下位のワードを抽出する（ステップＳ１１０）。例えば各事業者の匿名化辞書には、図４に示すように「ソフトＡ」を抽象化した語が「伝票ソフト」と記憶されており、「ソフトＡ」に対して一段階上位のワードが「伝票ソフト」であることがわかる。同様に、「ソフトＺ」を抽象化した語が「伝票ソフト」であり、「ソフトＢ」を抽象化した語が「会計ソフト」である。
【００６３】
更に、「ソフトＡ」や「ソフトＺ」に対して一段階上位のワードである「伝票ソフト」についても一段階上位のワードが「業務ソフト」と記憶されている。
【００６４】
このように辞書ＤＢ２３１に上位・下位の関係と共に記憶されているワードのうち、下位のワードと対応付けられていないワード、即ち最も下位のワードを一つ抽出する。
【００６５】
次に管理サーバ２０は、ステップＳ１１０で抽出したワードより一つ上位のワードを求め、一つ上位の段階（抽象化レベル）を設定する（ステップＳ１２０）。例えば、ステップＳ１１０で抽出したワードが「ソフトＡ」であれば、「伝票ソフト」を一段階上位のワードとして抽出する。
【００６６】
管理サーバ２０は、ステップＳ１２０で抽出したワードと対応する一つ下位のワードと同じ段階（抽象化レベル）のワードを抽出する（ステップＳ１３０）。例えば、ステップＳ１２０で抽出したワードが「伝票ソフト」であれば、「ソフトＡ」と同じ段階の「ソフトＺ」が抽出される。
【００６７】
更に、管理サーバ２０は、ステップＳ１３０で抽出したワードと対応する下位のワードがあれば抽出し、対応する下位のワードが無くなるまで下位のワードの抽出を繰り返す（ステップＳ１４０）。
【００６８】
ステップＳ１４０で、下位のワードが出尽くした場合に、管理サーバ２０は、直前のステップＳ１２０又はステップＳ１６０で設定した段階が最上位か否か、即ち更に上位のワードが存在するか否かを判定し、最上位でなければ（ステップＳ１５０，Ｎｏ）、一つ上位のワードを求め、一つ上位の段階（抽象化レベル）を設定してステップと１３０に戻る（ステップＳ１６０）。例えば、ステップＳ１２０で設定したワードが「伝票ソフト」であった場合、一つ上位のワード「業務ソフト」を求め、一つ上位の段階として設定する。
【００６９】
そして、ステップＳ１３０へ戻り、ステップＳ１３０，Ｓ１４０の処理を行った後、ステップＳ１５０で、直前のステップＳ１２０又はステップＳ１６０で設定した段階が最上位と判定した場合（ステップＳ１５０，Ｙｅｓ）、前記複数の匿名化辞書に含まれる全てのワードの処理が終了したか否かを判定し（ステップＳ１７０）、残りのワードがあれば（ステップＳ１７０，Ｎｏ）、ステップＳ１１０に戻って処理を繰り返し、全てのワードの処理が終了したならば（ステップＳ１７０，Ｙｅｓ）図１１の処理を終了する。
【００７０】
（３−２）次元の説明
図１２は、図１１の処理によって作成される各次元の説明図である。図１２の例では、「ＩＴ製品」をルートとする次元について示している。即ち、図１２の次元において、「ＩＴ製品」が最上位の段階のワードである。
【００７１】
「ＩＴ製品」は、その一つ下位の段階（図１２の例では段階４）のワードとして「ソフト」「ハード」が対応付けられている。そして、「ソフト」は、その一つ下位の段階（図
１２の例では段階３）のワードとして「業務ソフト」「個人ソフト」が対応付けられている。
【００７２】
また、「業務ソフト」は、その一つ下位の段階（図１２の例では段階２）のワードとして「伝票ソフト」「会計ソフト」「顧客管理ソフト」が対応付けられ、「伝票ソフト」は、その一つ下位の段階（図１２の例では段階１、最下位の段階）のワードとして「ソフトＡ」「ソフトＺ」が対応付けられている。なお、「個人ソフト」は、その一つ下位の段階のワードとして「ソフトＶ」「ソフトＵ」と対応付けられ、「ハード」は、その一つ下位の段階のワードとして「サーバＤ」「サーバＥ」と対応付けられている。
【００７３】
このように本実施形態の統合部は、各事業者の匿名化辞書に基づいて図１２に示すような次元を複数作成する。ここで次元は、最上位のワードをルートとし、最下位のワードにかけて樹状に対応付けられた対応関係であり、最上位のワード毎に生成される。即ち統合部は、各事業者の匿名化辞書に含まれる全てのワードをまとめて樹状に対応つけて複数の次元とすることにより匿名化辞書を統合化している。そして、この複数の次元が、統合匿名化辞書である。
【００７４】
図１３は複数の次元の説明図である。図１３に示すように、あるワードを抽象化する次元は複数存在し得る。例えば、図１３の次元ａでは、「ソフトウェアＡ」を「会計ソフト」、「業務ソフト」に抽象化し、次元ｃでは、「ソフトウェアＡ」を「ａ社製品」、「パッケージ」に抽象化する。また、次元ｂや次元ｄでもそれぞれ異なるワードに抽象化する。
【００７５】
特に本実施形態の統合匿名化辞書は、多数の事業者の匿名化辞書を統合しているので、例えば数十〜数百の次元を含むことになり、全ての次元を用いて抽象化を行うと、データ量が膨大になってしまう。このため、本実施形態では、統合匿名化辞書の各次元について、抽象化に採用する次元の優先度を決定している。
【００７６】
（３−３）優先度の説明
次に、図１３〜図１５を用いてステップＳ３０における優先度の決定処理の詳細について説明する。図１４は、図１３に示した次元に含まれる各ワードに重み付けをした例を示す図である。図１４の例では、各次元に含まれるワードの夫々が、当該ワードの段階と対応付けて記憶されると共に、三種類の重み付けが行われる。重み付け１では、重要フラグの有無を付し、重み付け２では、検索回数を付し、重み付け３では、ＳＥＭ（Search Engine Marketing）価格を付している。ここで重要フラグは、ユーザが重要か否かを入力し
た値であり、重要なワード、即ち抽象化に利用したいワードには重要と記録する（重要フラグを立てる）。
【００７７】
また、優先度決定部２０３は、図５に示す優先度ＤＢ２３２からワードの価値を読み出し、図１３に示すように対応するワードに重み付けとして付加する。
【００７８】
そして図１３に示した次元のワードの数や、段階の和、各ワードの重み付けを次元毎に集計して、優先度を決定する。
【００７９】
図１５は、各ワードの重みを集計して各次元の優先度を求める処理の説明図である。図１５において、次元ａの各ワードについて、ワード数、段階数の和、重み付け１、重み付け２、重み付け３を集計したものが表５１Ａである。同様に次元ｂを集計した表が５１Ｂ、次元ｃを集計した表が５１Ｃである。
【００８０】
ワード数は、各次元に含まれるワードの総数であり、図１５の例では、次元ａが２５、
次元ｂが５０、次元ｃが９である。このワード数が多いと、抽象化のバリエーションが多く、ｌ−多様性を満たし難くなる、即ち安全性が低くなることが考えられるが、データとしての詳細性は高いため、ワード数が多いものを優先する。
【００８１】
段階数の和とは、段階の数に、当該段階に属するワードの数を乗じ、総計を求めたものであり、例えば（段階数５×ワード数１）＋（段階数４×ワード数２）＋（段階数３×ワード数２）＋（段階数２×ワード数３）＋（段階数１×ワード数９）＝３４と求める。この段階数の和が多いと、上位の段階が多く存在し、抽象度の高い選択肢が多く存在することになり、適切な抽象化レベルで抽象化可能で、安全性が高いため、段階数の和が多いものを優先する。
【００８２】
同様に、重み付け１〜３についても、重要フラグの数や、検索回数、ＳＥＭ価格の総計を求め、この値の高い、即ち価値の高いものを優先する。
【００８３】
そして、これらワード数、段階数の和、重み付け１〜３について、次式に基づいて全体出現率（全体数に対する割合）を求める。
【００８４】
全体出現率＝ｔｆ／ｉｄｆ
＝次元ａの値／（次元ａの値＋次元ｂの値＋次元ｃの値＋・・・）
この全体出現率を各次元について比較したものが表５２である。表５２の各次元について、ワード数、段階数の和、重み付け１〜３の全体出現率を合計して全体優先度を定めている。
【００８５】
このように各次元について全体優先度を求め、この全体優先度に基づいて選択部２０７が統合匿名化辞書に採用する次元と採用しない次元とを選択する。例えば、選択部２０７が表５２の全体優先度を参照し、全体優先度が高い順に所定数の次元を採用し、これ以外の全体優先度が低い次元は採用しない。
【００８６】
なお、選択の基準は、全体優先度の順だけでなく、重要フラグを含む次元は採用し、重要フラグを含まない次元については全体優先度が高い順に所定数の次元を採用するといったように選択条件を設定しても良い。
【００８７】
また、選択の対象は、例えば統合匿名化辞書に含まれる全ての次元を選択の対象とし、全体優先度に基づいて所定数の次元を採用しても良いし、同じワードを含む次元毎に選択の対象とし、全体優先度に基づいて所定数の次元を採用しても良い。
【００８８】
（３−４）匿名化方法
図１６は、統合匿名化辞書を用いて匿名化装置が実行する匿名化方法の説明図である。匿名化装置１０は、ユーザの操作或いは定期的なスケジュールに基づいて匿名化プログラムを起動し、図１６の匿名化方法を開始する。匿名化装置１０は、先ず対象データを他のコンピュータから受信する或いは個人情報ＤＢ１３１から読み出す等して取得し（ステップＳ２１０）、対象データ中の各ワードについて、価値データが検索情報蓄積ＤＢ１４２に存在するか否かを判定する（ステップＳ２２０）。匿名化装置１０は、全てのワードの価値データが検索情報蓄積ＤＢ１４２に存在する場合にはステップＳ２３０へ移行し（ステップＳ２２０，Ｙｅｓ）、足りない価値データがある場合（ステップＳ２２０，Ｎｏ）、当該ワードの価値データを外部の装置、本例では検索エンジンから取得する（ステップＳ２４０）。そして、匿名化装置１０は、検索情報蓄積ＤＢ１４２に存在するワードの価値情報を検索情報蓄積ＤＢ１４２から取得する（ステップＳ２３０）。
【００８９】
また、匿名化装置１０は、匿名性を満たすため対象データの各項目を抽象化したワード
（カテゴリ）に置き換えて抽象化候補データを作成する（ステップＳ２５０）。なお、抽象化可能な項目が複数存在する場合には、各項目を抽象化した場合と抽象化しない場合の全てのパターンを作成する。
【００９０】
例えば対象データに三つの項目Ａ，Ｂ，Ｃが含まれ、全項目について抽象化が可能で、抽象化した項目をＡ´，Ｂ´，Ｃ´とした場合、図１７に示すように、項目Ａだけを抽象化した場合Ａ´，Ｂ，Ｃ、項目Ａ，Ｂを抽象化した場合Ａ´，Ｂ´，Ｃなど、七つの候補パターンが作成できる。また、全項目を用いるものに限らず、Ａ´，ＢやＢ´，Ｃなど、一部の項目を用いた候補パターンを作成しても良い。
【００９１】
また、一つの項目について、抽象化可能な次元が、統合匿名化辞書に複数存在する場合には、当該項目を複数に増やして、それぞれの次元で抽象化を行う。例えば所属企業の項目について、上場企業又は非上場企業に抽象化する次元ｐと、ＩＴ関連企業、教育関連企業、出版業のように業種に抽象化する次元ｑとが存在する場合、所属企業の項目を次元ｐで抽象化した所属企業（上場／非上場）の項目と、次元ｑで抽象化した所属企業（業種）の項目とに、それぞれ抽象化する。換言すれば、三つの項目Ａ，Ｂ，Ｃのうち、項目Ｂについて抽象化可能な次元が二つ存在する場合に、項目Ａ，Ｂ１´，Ｂ２´，Ｃのように四つの項目に抽象化する。即ち図１７の例では、項目Ｂ´に代えて項目Ｂ１´，Ｂ２´に抽象化する七つの候補パタンーンが作成できる。
【００９２】
次に匿名化装置１０は、抽象化候補データに含まれる各ワードの価値データに基づいて各パターンの抽象化候補データの価値を算出し（ステップＳ２６０）、この抽象化候補データの価値に基づいて検定の順番を決定する（ステップＳ２７０）。例えばこの価値が高い順（降順）に検定の順番を決定する。なお、全ての候補パターンについて検定を行うことが望ましいが、この抽象化候補データの価値に基づき、価値の低過ぎる抽象化候補データを順番から外しても良い。例えば、価値の高い順番で、所定番目以降或いは全体数の半分より価値の低い順番など、価値の順番が候補パターンの全数と比べて所定割合より低い価値の抽象化候補データを外しても良い。また、抽象化候補データの価値が対象データの価値に対して所定割合未満となった抽象化候補データを外しても良い。これにより検定数が少なくなり、処理時間の短縮化が図れる。
【００９３】
この検定の順番に従い、匿名化装置１０は、抽象化候補データの匿名性を検定する（ステップＳ２８０）。例えば、ｋ−匿名性を検定するため、一個人と対応付けられた異なる項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。或いは、ｌ多様性を検定するため、一個人と対応付けられた同じ項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。そして、この存在数のうち最小のものを最低出現数（ｋ値／ｌ値）として求め（ステップＳ２９０）、この最低出現数が１を超えているか否かを判定する（ステップＳ３００）。即ち、ここでｋ値が１を超えていればｋ−匿名性を満たし、１であればｋ−匿名性を満たさない。同様にｌ値が１を超えていればｌ−多様性を満たし、１であればｌ−多様性を満たさない。
【００９４】
最低出現数（ｋ値／ｌ値）が１を超えていない場合（ステップＳ３００，Ｎｏ）、匿名化装置１０は、抽象化候補データのうち、少なくとも一つの項目の値を更に抽象化する、即ち抽象化したワードに置き換え（ステップＳ３１０）、ステップＳ２８０に戻る。
【００９５】
一方、最低出現数（ｋ値／ｌ値）が１を超えている場合（ステップＳ３００，Ｙｅｓ）、匿名化装置１０は、当該抽象化候補データの価値と元の対象データの価値との差分を求め（ステップＳ３２０）、この差分や、この差分に基づく値、例えば対象データの価値に対する差分の割合、対象データの価値に対する抽象化候補データの価値の割合を当該抽象化候補データの価値として決定する（ステップＳ３３０）。
【００９６】
また、匿名化装置１０は、検定していない候補パターンがあるか否かを判定し（ステップＳ３４０）、検定していない候補パターンがあれば（ステップＳ３４０，Ｙｅｓ）、ステップＳ２７０で決定した順番に従って、次の順番の抽象化候補データを特定し（ステップＳ３５０）、ステップＳ２８０に戻って次の抽象化候補データについて検定を行う。
【００９７】
このように各パターンの抽象化候補データについて検定を繰り返し、次の候補パターンが無くなった場合（ステップＳ３４０，Ｎｏ）、匿名化装置１０は、ステップＳ３２０で各抽象化候補データの価値に基づいて、採用すべき抽象化候補データを選択し（ステップＳ３６０）、選択した抽象化候補データを匿名情報として管理サーバ２０へ送信して（ステップＳ３７０）、処理を終了する。
【００９８】
抽象化候補データの選択は、例えば、全候補パターンの中で最も価値の高い抽象化候補データを選択する。また、匿名化装置１０は、全候補パターンの中から価値の高い順に複数の抽象化候補データを出力し、この出力された抽象化候補データの中から操作者が適切だと思う抽象化候補データを指定し、この指定された抽象化候補データを選択しても良い。
【００９９】
（３−５）データの価値の説明
次に図１８−図２５を用いて本実施形態におけるデータの価値について説明する。図１８は対象データにおける年齢の項目の一部の例を示す図である。図１８に示すように対象データは、年齢ｓｉ毎に人数ｃｉを有している。例えば、１８歳（ｓ１）の人数（ｃ１）が３０人、１９歳（ｓ２）の人数（ｃ２）が１０人である。
【０１００】
図１９は、年齢ｓｉについて取得する価値データの一例を示す。図１９の価値データは、年齢ｓｉ毎にＳＥＭ単価ｅｉを有している。
【０１０１】
この年齢ｓｉの価値は、ＳＥＭ単価ｅｉに人数ｃｉを乗じた値であり、式１で示される。
【０１０２】
ｓｉ＝ｃｉ×ｅｉ  ・・・（式１）
そして、図２０に示すように年齢の項目Ｓ（ｅ）の価値は、各年齢ｓｉの総計であり、式２で示される。なお、図２０においてｎは５である。従って、年齢の項目Ｓ（ｅ）の価値は、図２１に示すように、２４４６円である。また、対象データにおける全ての項目の価値を合計したものが対象データの価値である。
【０１０３】
一方、図２２は抽象化候補データにおける年齢の項目の一部の例を示す図である。図２２に示すように抽象化候補データは、年代ｋｉ毎に人数ｃｉを有している。例えば、１０代（ｋ１）の人数（ｃ１）が４０人、２０代（ｋ２）の人数（ｃ２）が２２人である。
【０１０４】
図２３は、年代ｋｉについて取得する各ワードの価値データの一例を示す。図２３の価値データは、年代ｋｉ毎にＳＥＭ単価ｅｉを有している。
【０１０５】
この年代ｋｉの価値は、ＳＥＭ単価ｅｉに人数ｃｉを乗じた値であり、式３で示される。
【０１０６】
ｋｉ＝ｃｉ×ｅｉ  ・・・（式３）
そして、図２４に示すように年代の項目Ｓ（ｋ）の価値は、各年代ｋｉの総計であり、式４で示される。なお、図２４においてｎは２である。従って、年齢の項目Ｓ（ｋ）の価値は、図２５に示すように、２１３４円である。即ち、年齢の項目を年代に抽象化したこ
とにより、価値が３１２円減損したことになる。また、抽象化候補データにおける全ての項目の価値を合計したものが抽象化候補データの価値である。
【０１０７】
そして、ステップＳ３２０で求める抽象化候補データの価値として、例えば式５に示すように、抽象化候補データの価値を抽象化候補データの価値と対象データの価値の合計で除した減損率Ｍ（ｋ）を求める。
【０１０８】
Ｍ（ｋ）＝Ｓ（ｋ）／（Ｓ（ｋ）＋Ｓ（ｅ））  ・・・（式５）
このように本実施形態の匿名化装置１０は、各抽象化候補データの価値を抽象化したワードの価値に基づいて評価することにより、精度良く各抽象化候補データの価値を評価でき、抽象化後も高い価値を有する抽象化候補データを選択できるので、適切な匿名化処理を行うことができる。
【０１０９】
§４．匿名情報の具体例
次に図２６，図２７を用いて匿名情報の具体例について説明する。図２６は、Ａ社における匿名化の例を示す図であり、図２６（ａ）は、Ａ社が収集した個人情報、図２６（ｂ）は、図２６（ａ）の個人情報をＡ社独自の匿名化辞書で匿名化した場合の匿名情報の例を示す図、図２６（ｃ）は、図２６（ａ）の個人情報を統合匿名化辞書で匿名化した場合の匿名情報の例を示す図である。
【０１１０】
Ａ社の匿名化装置１０は、図２６（ａ）の個人情報を独自の匿名化辞書で匿名化した場合、図２６（ｂ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を上場企業又は非上場企業に、役職を管理職や社員、アルバイトに抽象化する。
【０１１１】
これに対して、Ａ社の匿名化装置１０は、図２６（ａ）の個人情報を統合匿名化辞書で匿名化した場合、図２６（ｃ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を上場企業又は非上場企業、及び所属企業を業種に抽象化する。また、Ａ社の匿名化装置１０は、統合匿名化辞書を用いた場合、役職をマネージャやスタッフに、興味を示した商品を伝票ソフトやサーバに抽象化すると共に、来訪ブースの項目を追加して、Ａ社に来訪した人のデータであることを示す値「Ａ社」を入力する。
【０１１２】
一方、図２７は、Ｂ社における匿名化の例を示す図であり、図２７（ａ）は、Ｂ社が収集した個人情報、図２７（ｂ）は、図２７（ａ）の個人情報をＢ社独自の匿名化辞書で匿名化した場合の匿名情報の例を示す図、図２７（ｃ）は、図２７（ａ）の個人情報を統合匿名化辞書で匿名化した場合の匿名情報の例を示す図である。
【０１１３】
Ｂ社の匿名化装置１０は、図２７（ａ）の個人情報を独自の匿名化辞書で匿名化した場合、図２７（ｂ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を業種に、職種を開発や総務に抽象化する。
【０１１４】
これに対して、Ｂ社の匿名化装置１０は、図２７（ａ）の個人情報を統合匿名化辞書で匿名化した場合、図２７（ｃ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を上場企業又は非上場企業、及び所属企業を業種に抽象化する。また、Ｂ社の匿名化装置１０は、統合匿名化辞書を用いた場合、職種を技術職や事務に、興味を示した商品を会計ソフトやサーバに抽象化すると共に、来訪ブースの項目を追加して、Ｂ社に来訪した人のデータであることを示す値「Ｂ社」を入力する。
【０１１５】
このように各事業者の匿名化装置１０は、統合匿名化辞書に基づいて所属企業の項目を複数の次元で抽象化する。前述のように統合匿名化辞書には優先度の高い次元が採用されているので、この統合匿名化辞書に存在する次元で抽象化することにより、各事業者にと
って有用な抽象化を行うことができる。
【０１１６】
また、前述のように匿名化辞書を統合したことにより、抽象化する際のワードの対応関係が再編され、Ａ社の役職やＢ社の職種のように独自の項目についても共通の次元で抽象化されるので、類似の項目を有する他社のデータと比較することができる。
【０１１７】
§５．匿名情報の配信
図１６に示したように各事業者が収集した個人情報を各事業者の匿名化装置１０が匿名化し、管理サーバ２０へ送信することにより、管理サーバ２０は、各事業者の匿名情報を受信し、共通ＤＢ２３３に蓄積する。そして各事業者の端末からのリクエストに応じて、匿名情報を配信する。
【０１１８】
図２８は、匿名情報の配信処理の一例を示す図である。事業者側の端末、例えば匿名化装置１０が匿名情報のリクエストを管理サーバ２０に送信すると（ステップＳ４１０）、管理サーバ２０がこれを受信し（ステップＳ４２０）、受信したリクエストと対応する匿名データを共通ＤＢ２３３から読み出す。このときリクエストする匿名情報は、共通ＤＢ２３３に登録された全てであっても良いし、項目によって指定された範囲であっても良い。例えば、年代、性別、来訪ブース、興味を示した商品のように必要な項目が指定されたリクエストであっても良いし、年代が２０代、性別が男性、興味を示した商品がハード、ステータスが資料請求又は商談のように項目の値が指定されたリクエストであっても良い。
【０１１９】
管理サーバ２０は、共通ＤＢ２３３から読み出した匿名情報について、項目毎にワード段階（抽象化レベル）を統一する（ステップＳ４３０）。例えば、製品の項目のワードが「ソフトウェアＡ」と「伝票ソフト」のように、匿名化した事業者によって抽象化レベルが違っている場合に、「伝票ソフト」のように上位のワードに統一する。なお、事業者側の端末からリクエストする際、項目の指定と共に、抽象化レベルの上限を指定することで、管理サーバ２０が、この上限よりも抽象化された匿名情報を除外しても良い。例えば、製品の項目が「業務ソフト」等まで抽象化されると、情報の価値が無くなってしまう場合、事業者は、製品の項目に係る抽象化レベルの上限を「段階２」のように指定することで、「段階２」の「伝票ソフト」よりも抽象化されたデータを除外できる。
【０１２０】
そして、管理サーバ２０が、この上限以内の匿名情報をリクエスト元の端末へ送信し（ステップＳ４４０）、リクエスト元の端末が、この匿名情報を受信する（ステップＳ４５０）。
【０１２１】
なお、各事業者がリクエストした匿名情報を他の事業者も確認できるようにしても良い。例えば、ある事業者から管理サーバ２０へリクエストを送信した場合に、このリクエストに応じた匿名情報を他の事業者に同報送信しても良い。また、各事業者がリクエストした匿名情報を履歴として記憶しておき、他の事業者が、この履歴の一覧を表示させて、一覧から選択することで他の事業者がリクエストした匿名情報を取得できるようにしても良い。これにより、他の事業者が重視している情報を知ることができ、マーケティング等に利用することができる。
【０１２２】
また、図２８の例では、事業者側の端末からのリクエストに応じて管理サーバ２０が匿名情報を配信したが、匿名情報が配信条件を満たしたタイミングで匿名情報を配信しても良い。図２９は、配信条件を満たしたタイミングで配信を行う例を示す図である。
【０１２３】
図２９の例では、事業者側からのリクエスト或いは管理サーバ２０の管理者によって、配信条件を予め定め、管理サーバ２０に記憶させておく。例えば、「伝票ソフトの資料請
求をした人が１００人を超えたか」、「ソフトウェアについて質問した５０代男性が３０人を超えたか」「２０代男性の割合が４０％未満か」等を配信条件とする。
【０１２４】
管理サーバ２０は、管理者の操作或いは定期的なスケジュールに基づいて配信プログラムを起動し、図２９の配信方法を実行する。
【０１２５】
管理サーバ２０は、先ず、設定された配信条件に応じて匿名情報を共通ＤＢ２３３から読み出す（ステップＳ５１０）。例えば、配信条件が「伝票ソフトの資料請求をした人が１００人を超えたか」であれば、製品の項目のワードが「伝票ソフト」でステータスのワードが「資料請求」となっているレコードを読み出す。なお、製品の項目のワードが「ソフトウェアＡ」と「伝票ソフト」のように、匿名化した事業者によって抽象化レベルが違っている場合、配信条件として指定されているワードの下位に属するワードのレコードも読み出す。例えば配信条件として指定されているワードが「伝票ソフト」であれば、下位に属する「ソフトウェアＡ」や「ソフトウェアＺ」のレコードも同様に読み出す。
【０１２６】
そして、管理サーバ２０は、匿名情報が配信条件を満たしたか否かを判定し（ステップＳ５２０）、配信条件を満たしていなければ（ステップＳ５２０，Ｎｏ）、図２９の処理を終了し、配信条件を満たしていれば（ステップＳ５２０，Ｙｅｓ）、所定の情報を配信する（ステップＳ５５０）。ここで所定の情報の配信は、例えば「伝票ソフトの資料請求をした人が１００人を超えました」「Ａ社で商談した人が５０人を超えました」のように、所定のメッセージや、「３０代女性の注目度が低いようです。３０代女性には粗品を進呈して下さい。」「来場者が目標人数に達しました、１０％ＯＦＦクーポンを配布して下さい。」のようにキャンペーンを促すメッセージ等を送信することである。また、所定の情報の配信とは、メッセージの配信に限らず、デジタルサイネージの表示内容を変更させる等、特定の処理を行わせる制御情報であっても良い。例えば、５０代以上の来場者の割合が高くなった場合に、高齢者向けの広告を表示させることや、女性の割合が高くなった場合に、女性向けの広告を表示させること等を行わせる。
【０１２７】
§６．実施形態の効果
以上のように本実施形態１によれば、複数の事業者がそれぞれに収集した個人情報を共通の統合匿名化辞書を用いて匿名化を行い、匿名情報を共通ＤＢ２３３に登録することで、この匿名情報を一元的に利用することができる。
【０１２８】
特に、各事業者で匿名化したワードの抽象化レベルが異なっていたとしても、共通の匿名化辞書を用いているので、抽象化レベルをそろえて集計などに利用でき、利便性が高い。
【０１２９】
また、各事業者で用いられている匿名化辞書を統合した統合匿名化辞書で匿名化された匿名情報、即ち共通ＤＢ２３３に登録された匿名情報は、各事業者で利用している匿名化の情報を反映しているため、共通ＤＢ２３３の匿名情報から他社の動向を知ることができる。例えば、各事業者の匿名化辞書で共通して用いられている次元の場合、統合匿名化辞書を作成する際、当該次元に属するワードや段階が各事業者の匿名化辞書から集まるため、必然的に多くなり、優先度が高くなって当該次元が統合匿名化辞書に採用される。このため、統合匿名化辞書に採用された次元で匿名化された匿名情報は、各事業者で利用度の高い情報であることが分かる。
【０１３０】
更に、他の事業者がリクエストした匿名情報を利用することが出来る為、他の事業者の利用手法を知り、自社のマーケティング等に取り入れることができる。例えば、所属企業が上場企業で、興味を示した商品が伝票ソフトの匿名情報を他の事業者がリクエストしていた場合、この事業者が伝票ソフトについて上場企業をターゲットにしていることが分か
り、自社と競合するのか、棲み分けできるのかといったマーケティング上の判断が可能になる。
【０１３１】
また、匿名情報が所定条件を満たしたことを契機に配信を行うことにより、他の事業者の匿名情報を含めた匿名情報全体に基づいて所定の処理を開始させるための契機を提供できる。例えば、複数の事業者が収集した匿名情報に基づいて、キャンペーンを行うことやデジタルサイネージに表示するコンテンツを変更するなど、展示会に参加している複数事業者全体に係る処理を適切に行うことができる。
【０１３２】
§７．変形例
上記の例では、展示会における個人情報の匿名化の例を示したが、本実施形態１の匿名化システム３０は、ショッピングモールや商店街における各店舗で収集された個人情報の匿名化に適用しても良い。
【０１３３】
図３０はショッピングモールの各店舗で収集された個人情報の匿名化の例を示す図である。図３０の例では、同じショッピングモールに出店している店舗（事業者）Ｄ〜Ｆの匿名化装置１０が、夫々個人情報を匿名化して管理サーバ２０の共通ＤＢに登録する。なお、図３０のシステムにおいても統合匿名化辞書の作成方法や統合匿名化辞書を用いた匿名化の方法、配信方法は、前述の実施形態１と同じである。
【０１３４】
店舗Ｄは、飲食店であり、事前に顧客のメールアドレスや性別、年齢を記憶部に登録しておき、メールでの予約の受け付けやメールクーポンの送信を行う。そして、顧客が来店時に予約のメールやメールクーポンを提示した場合に、このメールから匿名化装置１０が顧客のＩＤやメールアドレスを取得し、対応する顧客の情報を記憶部から読み出し、来店者情報として記憶部に記憶する。なお、顧客のＩＤやメールアドレスの取得は、例えばメール中に二次元バーコード等を含めておき、この二次元バーコードを読み取り機で読み取って匿名化装置１０に送信する。また、顧客のＩＤやメールアドレスを店舗の担当者が聞き取って匿名化装置１０に入力しても良い。また、来店者情報には、前記顧客の情報に加えて、来店人数（大人の人数、子供の人数）や、購入商品、金額等を入力しても良い。
【０１３５】
図３０において、Ｄ１は店舗Ｄが取得した個人情報を示し、Ｄ２がＤ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。図３０に示すように匿名情報Ｄ２は、年代、性別、購入商品、購入金額を有している。
【０１３６】
店舗Ｅは、クリーニング店であり、顧客にスタンプカードを配布し、クリーニングの代金に応じてスタンプを押し、スタンプが１０個たまった場合に景品を提供する。この景品の提供時に顧客の性別や年齢等の情報を聞き取って匿名化装置１０へ入力する。なお、景品の提供時に限らず、スタンプカードの配布時に顧客の氏名や性別、年齢を記憶部に登録しておき、顧客が来店時にスタンプカードを提示した場合に、このスタンプカードから匿名化装置１０が顧客のＩＤや氏名を取得して、対応する顧客の情報を記憶部から読み出し、来店者情報として記憶部に記憶する。なお、顧客のＩＤや氏名の取得は、例えばスタンプカードに二次元バーコード等を付しておき、この二次元バーコードを読み取り機で読み取って匿名化装置１０に送信する。また、顧客のＩＤや氏名を店舗の担当者が聞き取って匿名化装置１０に入力しても良い。また、来店者情報には、前記顧客の情報に加えて、来店人数（大人の人数、子供の人数）や、クリーニング種類、金額等を入力しても良い。
【０１３７】
図３０において、Ｅ１は店舗Ｅが取得した個人情報を示し、Ｅ２がＥ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。
【０１３８】
また、店舗Ｆは、スーパーマーケットであり、事前に顧客のメールアドレスや氏名、性
別、年齢を記憶部に登録し、顧客に会員カードを配布しておく。そして、顧客が会計時に会員カードを提示すると代金を５％割引し、このとき会員カードから匿名化装置１０が顧客のＩＤや氏名を取得して、対応する顧客の情報を記憶部から読み出し、来店者情報として記憶部に記憶する。なお、顧客のＩＤや氏名の取得は、例えば会員カードに二次元バーコードやＲＦＩＤタグ等を付しておき、この二次元バーコードやＲＦＩＤタグを読み取り機で読み取って匿名化装置１０に送信する。また、来店者情報には、前記顧客の情報に加えて、子連れか否かや、購入商品、金額等を入力しても良い。
【０１３９】
図３０において、Ｆ１は店舗Ｆが取得した個人情報を示し、Ｆ２がＦ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。
【０１４０】
このようにショッピングモールにおいても、複数の店舗がそれぞれに収集した個人情報を共通の統合匿名化辞書を用いて匿名化を行い、匿名情報を共通ＤＢ２３３に登録することで、この匿名情報を一元的に利用することができる。
【０１４１】
例えば、ある店舗で女性を優遇するキャンペーンを行った結果、女性の来店者が増えた場合に、他の店舗においても共通ＤＢの匿名情報から女性客の増加を知ることができ、女性向けメニューを増やすことで相乗効果を狙うといったマーケティングに利用できる。
【０１４２】
また、子供連れの顧客の割合が所定値以上となった場合に、デジタルサイネージに表示するコンテンツを子供向けに変更するなど、ショッピングモール全体に係る処理を適切に行うことができる。
【０１４３】
一方、図３１はナビゲーションシステムの位置情報（個人情報）を匿名化する例を示す図である。図３１の例では、各車両のナビゲーションシステム６１から事業者Ｇ〜Ｉの匿名化装置他１０へ位置情報を送信し、各事業者Ｇ〜Ｉの匿名化装置１０が、夫々個人情報を匿名化して管理サーバ２０の共通ＤＢに登録する。なお、図３１のシステムにおいても統合匿名化辞書の作成方法や統合匿名化辞書を用いた匿名化の方法、配信方法は、前述の実施形態１と同じである。
【０１４４】
事業者Ｇは、予め各運転者にＩＤを割り当て、この運転者ＩＤと共に運転者のメールアドレスや性別、年齢等を運転者情報として記憶部に登録しておく。そして、車両に搭載したナビゲーションシステム６１が、定期的に車両の位置情報を運転者ＩＤと共に事業者Ｇの匿名化装置１０へ送信する。
【０１４５】
位置情報及び運転者ＩＤを受診した匿名化装置１０は、運転者のＩＤと対応する運転者情報を記憶部から読み出して位置情報と共に記憶する。そして匿名化装置１０は、この位置情報及び運転者情報を統合匿名化辞書を用いて匿名化する。図３１において、Ｇ１は事業者Ｇが取得した個人情報を示し、Ｇ２がＧ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。なお、図３１の例では、位置情報を統合匿名化辞書に基づきメッシュコードや行政区に抽象化している。例えば、ナビゲーションシステム６１から車両の位置情報として緯度及び経度を受信した場合に、当該緯度及び経度が示す地点を含む標準地域メッシュのメッシュコードや、前記地点を含む行政区に抽象化する。図３１において匿名情報Ｄ２は、年代、性別、メッシュコード、行政区を有している。
【０１４６】
事業者Ｈ，Ｉについても上記事業者Ｇと同様に、予め運転者情報を登録しておき、各車両のナビゲーションシステム６１から位置情報及び運転者ＩＤを受診した場合に匿名化装置１０が、運転者ＩＤと対応する運転者情報を記憶部から読み出して位置情報と共に記憶する。そして匿名化装置１０は、この位置情報及び運転者情報を統合匿名化辞書を用いて匿名化する。図３１において、Ｈ１は事業者Ｈが取得した個人情報を示し、Ｈ２がＨ１の
個人情報を統合匿名化辞書で匿名化した匿名情報を示す。また、Ｉ１は事業者Ｉが取得した個人情報を示し、Ｉ２がＩ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。
【０１４７】
このように車両の位置情報についても、複数の事業者がそれぞれに収集した位置情報を共通の統合匿名化辞書を用いて匿名化を行い、匿名情報を共通ＤＢ２３３に登録することで、この匿名情報を一元的に利用することができる。
【０１４８】
〈実施形態２〉
前述の実施形態１では、複数の事業者がそれぞれ個人情報を取得して匿名化を行った例を示したが、これに限らず展示会の主催者が個人情報を一括して記憶部に蓄積し、統合匿名化辞書を用いて匿名化する構成であっても良い。本実施形態２は、前述の実施形態１と比べて、個人情報を主催者側の装置で匿名化する構成が異なり、その他の構成は同じである。このため、実施形態１と異なる構成を主に説明し、同一の要素には同符号を付す等して再度の説明を省略する。
【０１４９】
図３２は本実施形態２の匿名化システム３００の機能ブロック図である。匿名化システム３００は、複数の事業者が出展する展示会において、各事業者が来場者から収集した個人情報の匿名化を行うシステムであり、統合匿名化辞書の作成や個人情報の匿名化及び匿名情報の配信を行う匿名化サーバ２２０、及び匿名化サーバ２２０との情報の授受を行う事業者端末２１０を有する。
【０１５０】
本実施形態２の匿名化システム３００では、各事業者が取得した個人情報を事業者端末２１０から匿名化サーバ２２０へ送信し、匿名化サーバ２２０が各事業者で取得した個人情報を一括して記憶部に記憶する。即ち主催者は、個人情報を取得した夫々の事業者との間で当該個人情報を共有し、他の事業者に対しては個人情報を匿名化して提供する。例えば、事業者Ａが取得した個人情報を事業者Ｂ，Ｃを含む他の事業者に提供する場合には、匿名化して提供する。
【０１５１】
図３２に示すように、匿名化サーバ２２０は、辞書取得部２０１や、統合部２０２、優先度決定部２０３、匿名情報制御部２０６、選択部２０７、データ取得部１０１、抽象化部１０２、検定部１０３、個人情報ＤＢ２３４、辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３を備えている。即ち、本実施形態１の匿名化サーバ２２０は、辞書取得部２０１、統合部２０２、優先度決定部２０３及び選択部２０７を備えた辞書作成装置であり、抽象化部１０２、検定部１０３、匿名情報制御部２０６を備えた匿名化装置でもある。
【０１５２】
辞書取得部２０１は、対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した複数の匿名化辞書を各事業者の事業者端末２１０から取得する。本実施形態では、各事業者の事業者端末２１０から送信された匿名化辞書を辞書取得部２０１が受信し、辞書ＤＢ２３１に登録する。
【０１５３】
統合部２０２は、各事業者の事業者端末２１０から取得した複数の匿名化辞書を統合して統合匿名化辞書を作成し、辞書ＤＢ２３１に記憶させる。
【０１５４】
優先度決定部２０３は、前記統合匿名化辞書を構成する次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する。例えば、優先度決定部２０３は、各次元に含まれる語の数、各次元に含まれる語について上位と下位の関係にある段階の数、各次元に含まれる語の価値のうち少なくとも一つに基づいて前記優先度を決定する。なお、前記語について予め定めた値を、例えば優先度ＤＢ２３２が記憶しておき、優先度決定部２０３は、優先度ＤＢ２３２を参照して優先度を決定する。
【０１５５】
選択部２０７は、前記統合部２０２で生成した複数の次元のうち、統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する。
【０１５６】
データ取得部１０１は、事業者端末２１０から個人情報を取得して個人情報ＤＢ２３４に記憶させる。また、データ取得部１０１は、匿名化の際、この個人情報を個人情報ＤＢ２３４から対象データとして読み出す。
【０１５７】
抽象化部１０２は、記憶部から個人情報を読み出して対象データとし、統合匿名化辞書を参照して前記対象データ中の項目の値である語を前記優先度に基づいて抽象化した語に替えて匿名化候補データを生成する。
【０１５８】
検定部１０３は、前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する。例えば、検定部１０３は、抽象化候補データの項目の値の組み合わせが、ｋ−匿名性を満たすこと、或いはｌ−多様性を満たすことを条件として検定する。
【０１５９】
匿名情報制御部２０６は、匿名情報の出力処理等を制御する。例えば、匿名情報制御部２０６は、前記検定の条件を満たした抽象化候補データを匿名情報として共通ＤＢ２３３に登録する、即ち共通ＤＢ２３３に記憶させる。また、匿名情報制御部２０６は、事業者端末２１０等の情報処理装置から匿名情報の取得要求を受けた場合に、該当する匿名情報を要求元の情報処理装置へ配信する。本実施形態２において、匿名情報制御部２０６は、出力部の一形態である。
【０１６０】
また、事業者端末２１０は、図３２に示すように、データ入力部１０５や、匿名情報取得部１０６を備えている。
【０１６１】
データ入力部１０５は、個人と対応付けられた複数の項目を含むデータ、即ち個人情報を取得する。例えば来場者が記載したアンケートや来場者から聞き取った個人情報をキーボード等から入力を受け、匿名化サーバ２２０へ送信する。また、データ入力部１０５は、来場者の名刺やアンケートに記載された事項を読み取り、ＯＣＲ（Optical Character Recognition）により電子データとして取得する、又は来場者のＲＦ−ＩＤタグやＩＣチ
ップ等から当該来場者の情報を取得し、匿名化サーバ２２０へ送信しても良い。
【０１６２】
匿名情報取得部１０６は、匿名化サーバ２２０から匿名情報を取得し、表示部への表示や記憶部への記憶といった出力を行う。
【０１６３】
図３３は匿名化サーバ２２０のハードウェア構成を示す図である。管理サーバ２０は、ＣＰＵ２１、メモリ２２、通信制御部２３、記憶装置２４、入出力インタフェース２５を有する所謂コンピュータである。
【０１６４】
ＣＰＵ２１は、メモリ２２に実行可能に展開されたプログラムを実行し、前述の辞書取得部２０１や、統合部２０２、優先度決定部２０３、匿名情報制御部２０６、選択部２０７、抽象化部１０２、検定部１０３の機能を提供する。
【０１６５】
メモリ２２は、主記憶装置ということもできる。メモリ２２は、例えば、ＣＰＵ２１が実行するプログラムや、通信制御部２３を介して受信したデータ、記憶装置２４から読み出したデータ、その他のデータ等を記憶する。
【０１６６】
通信制御部２３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御
する。入出力インタフェース２５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置２４に格納する。
【０１６７】
記憶装置２４は、外部記憶装置ということもできる。記憶装置２４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置２４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置２４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置２４は、プログラムを読み出し、メモリ２２に引き渡す。本実施形態では、記憶装置２４が前述の辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３、個人情報ＤＢ２３４を格納している。
【０１６８】
図３４は事業者端末２１０のハードウェア構成を示す図である。匿名化装置１０は、ＣＰＵ１１、メモリ１２、通信制御部１３、記憶装置１４、入出力インタフェース１５を有する所謂コンピュータである。
【０１６９】
ＣＰＵ１１は、メモリ１２に実行可能に展開されたプログラムを実行し、前述のデータ取得部１０１や匿名情報取得部１０６の機能を提供する。
【０１７０】
メモリ１２は、主記憶装置ということもできる。メモリ１２は、例えば、ＣＰＵ１１が実行するプログラムや、通信制御部１３を介して受信したデータ、記憶装置１４から読み出したデータ、その他のデータ等を記憶する。
【０１７１】
通信制御部１３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース１５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置１４に格納する。
【０１７２】
記憶装置１４は、外部記憶装置ということもできる。記憶装置１４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置１４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置１４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置１４は、プログラムを読み出し、メモリ１２に引き渡す。
【０１７３】
次に図３５を用いて匿名化方法について説明する。なお、匿名化サーバ２２０は、各事業者の事業者端末２１０から各事業者の匿名化辞書を受信して統合匿名化辞書を作成するが、この統合の処理は、図１０の処理と同じであるため、再度の説明を省略する。
【０１７４】
図３５は、統合匿名化辞書を用いて匿名化サーバ２２０が実行する匿名化方法の説明図である。匿名化サーバ２２０は、操作者の操作或いは定期的なスケジュールに基づいて匿名化プログラムを起動し、図３５の匿名化方法を開始する。匿名化サーバ２２０は、先ず対象データを他のコンピュータから受信する或いは個人情報ＤＢ２３４から読み出す等して取得し（ステップＳ６１０）、対象データ中の各ワードについて、価値データが検索情
報蓄積ＤＢ１４２に存在するか否かを判定する（ステップＳ６２０）。匿名化サーバ２２０は、全てのワードの価値データが検索情報蓄積ＤＢ１４２に存在する場合にはステップＳ６３０へ移行し（ステップＳ６２０，Ｙｅｓ）、足りない価値データがある場合（ステップＳ６２０，Ｎｏ）、当該ワードの価値データを外部の装置、本例では検索エンジンから取得する（ステップＳ６４０）。そして、匿名化サーバ２２０は、検索情報蓄積ＤＢ１４２に存在するワードの価値情報を検索情報蓄積ＤＢ１４２から取得する（ステップＳ６３０）。
【０１７５】
また、匿名化サーバ２２０は、匿名性を満たすため対象データの各項目を抽象化したワード（カテゴリ）に置き換えて抽象化候補データを作成する（ステップＳ６５０）。なお、抽象化可能な項目が複数存在する場合には、各項目を抽象化した場合と抽象化しない場合の全てのパターンを作成する。
【０１７６】
次に匿名化サーバ２２０は、抽象化候補データに含まれる各ワードの価値データに基づいて各パターンの抽象化候補データの価値を算出し（ステップＳ６６０）、この抽象化候補データの価値に基づいて検定の順番を決定する（ステップＳ６７０）。
【０１７７】
この検定の順番に従い、匿名化サーバ２２０は、抽象化候補データの匿名性を検定する（ステップＳ６８０）。例えば、ｋ−匿名性を検定するため、一個人と対応付けられた異なる項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。或いは、ｌ多様性を検定するため、一個人と対応付けられた同じ項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。そして、この存在数のうち最小のものを最低出現数（ｋ値／ｌ値）として求め（ステップＳ６９０）、この最低出現数が１を超えているか否かを判定する（ステップＳ７００）。即ち、ここでｋ値が１を超えていればｋ−匿名性を満たし、１であればｋ−匿名性を満たさない。同様にｌ値が１を超えていればｌ−多様性を満たし、１であればｌ−多様性を満たさない。
【０１７８】
最低出現数（ｋ値／ｌ値）が１を超えていない場合（ステップＳ７００，Ｎｏ）、匿名化サーバ２２０は、抽象化候補データのうち、少なくとも一つの項目の値を更に抽象化する、即ち抽象化したワードに置き換え（ステップＳ７１０）、ステップＳ６８０に戻る。
【０１７９】
一方、最低出現数（ｋ値／ｌ値）が１を超えている場合（ステップＳ７００，Ｙｅｓ）、匿名化サーバ２２０は、当該抽象化候補データの価値と元の対象データの価値との差分を求め（ステップＳ７２０）、この差分や、この差分に基づく値、例えば対象データの価値に対する差分の割合、対象データの価値に対する抽象化候補データの価値の割合を当該抽象化候補データの価値として決定する（ステップＳ７３０）。
【０１８０】
また、匿名化サーバ２２０は、検定していない候補パターンがあるか否かを判定し（ステップＳ７４０）、検定していない候補パターンがあれば（ステップＳ７４０，Ｙｅｓ）、ステップＳ６７０で決定した順番に従って、次の順番の抽象化候補データを特定し（ステップＳ７５０）、ステップＳ６８０に戻って次の抽象化候補データについて検定を行う。
【０１８１】
このように各パターンの抽象化候補データについて検定を繰り返し、次の候補パターンが無くなった場合（ステップＳ７４０，Ｎｏ）、匿名化サーバ２２０は、ステップＳ７２０で各抽象化候補データの価値に基づいて、採用すべき抽象化候補データを選択し（ステップＳ７６０）、選択した抽象化候補データを匿名情報として共通ＤＢ２３３へ登録して（ステップＳ７７０）、処理を終了する。
【０１８２】
そして、各事業者のユーザが事業者端末２１０を操作して所望の匿名情報の項目等を指
定し、事業者端末２１０からこの匿名情報の要求を匿名化サーバ２２０へ送信すると、匿名化サーバ２２０は要求に応じた匿名情報を共通ＤＢ２３３から読み出して要求元の事業者端末２１０へ配信する。この匿名情報の配信の処理は、図２８の処理と同様のため再度の説明を省略する。
【０１８３】
以上のように本実施形態２によれば、複数の事業者が収集した個人情報を匿名化サーバ２２０が統合匿名化辞書を用いて匿名化を行い、匿名情報を共通ＤＢ２３３に登録することで、この匿名情報を一元的に利用することができる。
【０１８４】
特に、各事業者で用いられている匿名化辞書を統合した統合匿名化辞書で匿名化された匿名情報、即ち共通ＤＢ２３３に登録された匿名情報は、各事業者で利用している匿名化の情報を反映しているため、共通ＤＢ２３３の匿名情報から他社の動向を知ることができる。
【０１８５】
更に、他の事業者がリクエストした匿名情報を利用することが出来る為、他の事業者の利用手法を知り、自社のマーケティング等に取り入れることができる。
【０１８６】
また、匿名情報が所定条件を満たしたことを契機に配信を行うことにより、他の事業者の匿名情報を含めた匿名情報全体に基づいて所定の処理を開始させるための契機を提供できる。
【０１８７】
〈実施形態３〉
前述の実施形態１では、複数の事業者がそれぞれ匿名化装置を備え、展示会の主催者が管理サーバ（辞書作成装置）を備える構成を示したが、これに限らず複数の事業者がそれぞれ辞書作成装置と匿名化装置を含む匿名化システムを備えた構成であっても良い。本実施形態３は、前述の実施形態１と比べて、各事業者がそれぞれ匿名化システム４００を備えた構成が異なり、その他の構成は同じである。このため、実施形態１と異なる構成を主に説明し、同一の要素には同符号を付す等して再度の説明を省略する。
【０１８８】
図３６に示すように、匿名化システム４００は、辞書取得部２０１や、統合部２０２、優先度決定部２０３、辞書管理部２０４、匿名情報制御部２０６、選択部２０７、データ取得部１０１、抽象化部１０２、検定部１０３、個人情報ＤＢ２３４、辞書ＤＢ２３１、優先度ＤＢ２３２を備えている。即ち、本実施形態３の匿名化システム４００は、辞書取得部２０１、統合部２０２、優先度決定部２０３及び選択部２０７を備えた辞書作成装置であると共に、データ取得部１０１や、抽象化部１０２、検定部１０３、出力制御部１０４を備えた匿名化装置でもある。
【０１８９】
辞書取得部２０１は、対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した複数の匿名化辞書を他の事業者の匿名化システム４００から取得する。本実施形態３では、他の事業者の匿名化システム４００から送信された匿名化辞書を辞書取得部２０１が受信し、辞書ＤＢ２３１に登録する。
【０１９０】
統合部２０２は、各事業者の匿名化装置１０から取得した匿名化辞書及び自社の匿名化辞書を統合して統合匿名化辞書を作成する。
【０１９１】
優先度決定部２０３は、前記統合匿名化辞書を構成する次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する。
【０１９２】
選択部２０７は、前記統合部２０２で生成した複数の次元のうち、統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する。
【０１９３】
辞書管理部２０４は、統合部２０２で作成された統合匿名化辞書を管理する。例えば辞書管理部２０４は、統合匿名化辞書を辞書ＤＢ２３１から読み出して他の事業者の匿名化システム４００へ送信する。
【０１９４】
匿名情報制御部２０６は、匿名情報の出力処理等を制御する。例えば、匿名情報を他の事業者の匿名化システム４００へ送信する。本実施形態３において、匿名情報制御部２０６は、出力部の一形態である。
【０１９５】
データ取得部１０１は、個人と対応付けられた複数の項目を含むデータ、即ち個人情報を対象データとして取得する。
【０１９６】
抽象化部１０２は、前記次元からなる統合匿名化辞書を参照し、前記対象データ中の項目の値である語を前記優先度に基づいて抽象化した語に替えて匿名化候補データを生成する。
【０１９７】
検定部１０３は、前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する。
【０１９８】
図３７は匿名化システム４００のハードウェア構成を示す図である。匿名化システム４００は、ＣＰＵ２１、メモリ２２、通信制御部２３、記憶装置２４、入出力インタフェース２５を有する所謂コンピュータである。
【０１９９】
ＣＰＵ２１は、メモリ２２に実行可能に展開されたプログラムを実行し、前述の辞書取得部２０１や、統合部２０２、優先度決定部２０３、辞書管理部２０４、匿名情報制御部２０６、選択部２０７、データ取得部１０１、抽象化部１０２、検定部１０３の機能を提供する。
【０２００】
本実施形態３の匿名化システム４００では、匿名情報を交換する事業者へ匿名化辞書を渡して統合匿名化辞書を作成し、自社の個人情報を統合匿名化辞書で匿名化して他の事業者へ提供する。
【０２０１】
なお、統合匿名化辞書の作成の処理や、統合匿名化辞書を用いた匿名化の処理は、前述の実施形態と同様である。
【０２０２】
このように各事業者が匿名化システム４００を備えることで、展示会の主催者のように複数の事業者を取りまとめるものが存在しなくても事業者間で匿名情報を交換できる。
【０２０３】
これにより複数の事業者間で夫々の顧客の個人情報を匿名化して交換し、業務提携やマーケティング等の分析に用いることができる。
【０２０４】
〈その他〉
本発明は、上述の図示例にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。
【符号の説明】
【０２０５】
１０   匿名化装置
１２   メモリ
１３   通信制御部
１４   記憶装置
１５   入出力インタフェース
２０   管理サーバ
２２   メモリ
２３   通信制御部
２４   記憶装置
２５   入出力インタフェース
６１   ナビゲーションシステム
１０１ データ取得部
１０２ 抽象化部
１０３ 検定部
１０４ 出力制御部
１０５ データ入力部
１０６ 匿名情報取得部
２０１ 辞書取得部
２０２ 統合部
２０３ 優先度決定部
２０４ 辞書管理部
２０５ 匿名情報登録部
２０６ 匿名情報制御部
２０７ 選択部
２１０ 事業者端末
２２０ 匿名化サーバ
３０，３００，４００ 匿名化システム
【図１】
2015049648.tif 000003
【図２】
2015049648.tif 000004
【図３】
2015049648.tif 000005
【図４】
2015049648.tif 000006
【図５】
2015049648.tif 000007
【図６】
2015049648.tif 000008
【図７】
2015049648.tif 000009
【図８】
2015049648.tif 000010
【図９】
2015049648.tif 000011
【図１０】
2015049648.tif 000012
【図１１】
2015049648.tif 000013
【図１２】
2015049648.tif 000014
【図１３】
2015049648.tif 000015
【図１４】
2015049648.tif 000016
【図１５】
2015049648.tif 000017
【図１６】
2015049648.tif 000018
【図１７】
2015049648.tif 000019
【図１８】
2015049648.tif 000020
【図１９】
2015049648.tif 000021
【図２０】
2015049648.tif 000022
【図２１】
2015049648.tif 000023
【図２２】
2015049648.tif 000024
【図２３】
2015049648.tif 000025
【図２４】
2015049648.tif 000026
【図２５】
2015049648.tif 000027
【図２６】
2015049648.tif 000028
【図２７】
2015049648.tif 000029
【図２８】
2015049648.tif 000030
【図２９】
2015049648.tif 000031
【図３０】
2015049648.tif 000032
【図３１】
2015049648.tif 000033
【図３２】
2015049648.tif 000034
【図３３】
2015049648.tif 000035
【図３４】
2015049648.tif 000036
【図３５】
2015049648.tif 000037
【図３６】
2015049648.tif 000038
【図３７】
2015049648.tif 000039