(57)【要約】【課題】利用対象である匿名化データの個人特定リスクを低減する。【解決手段】制御装置１０において、取得部１２は、匿名化データ群を取得する。そして、選択部１３は、複数の抽象化パターンの内で匿名要件を満たした抽象化パターンに対応する匿名化データを、利用対象データの候補として選択する。匿名要件は、少なくともｋ−匿名性に基づく。さらに、匿名要件は、ｋ−匿名性に加えて、ｌ−多様性、及びＰｋ−匿名性の少なくともいずれか一方に基づいてもよい。【選択図】図１
2015130012.tif 000002
【特許請求の範囲】
【請求項１】
匿名化データの利用を制御する制御装置であって、
個人の情報に関する少なくとも１つの項目値を含む個人情報データが抽象化パターンに従って匿名化された匿名化データを取得する取得部と、
前記取得した匿名化データに対応する抽象化パターンがｋ−匿名性に基づく匿名要件を満たす場合、前記取得した匿名化データを、利用対象データの候補として選択する選択部と、
を具備することを特徴とする制御装置。
【請求項２】
前記取得部は、匿名化データ群を取得し、
前記匿名化データ群は、項目値についての複数の抽象化パターンに基づいて個人情報データを抽象化して得られた複数の匿名化データを含み、
前記選択部は、前記複数の抽象化パターンの内で前記匿名要件を満たした抽象化パターンに対応する匿名化データを、前記利用対象データの候補として選択する、
ことを特徴とする請求項１に記載の制御装置。
【請求項３】
前記選択した利用対象データの候補が利用要件を満たしている場合、前記選択した利用対象データの候補を、前記利用対象データとして決定する決定部を、さらに具備することを特徴とする請求項１又は２に記載の制御装置。
【請求項４】
前記選択した利用対象データの候補に対応する抽象化パターンに関する情報をオークション対象の情報として利用者候補に公開し、前記オークション対象を前記利用者候補に落札させ、前記落札されたオークション対象に対応する、前記選択した利用対象データの候補が利用要件を満たしている場合、前記選択した利用対象データの候補を、前記利用対象データとして決定するオークション制御部を、さらに具備することを特徴とする請求項１又は２に記載の制御装置。
【請求項５】
前記決定した利用対象データに対応する個人に対して、前記決定した利用対象データの利用者から取得した情報を報知する出力制御部を、さらに具備することを特徴とする請求項３又は４に記載の制御装置。
【請求項６】
前記決定した利用対象データに対応する利用者の端末に対して、前記決定した利用対象データを送信する出力制御部を、さらに具備することを特徴とする請求項３又は４に記載の制御装置。
【請求項７】
前記匿名要件は、前記ｋ−匿名性に加えて、ｌ−多様性、及びＰｋ−匿名性の少なくともいずれか一方に基づく、
ことを特徴とする請求項１から６のいずれか一項に記載の制御装置。
【請求項８】
前記ｋ−匿名性、前記ｌ−多様性、及び前記Ｐｋ−匿名性の各々について個人が特定される確率値を算出し、前記算出した確率値に基づいて、個人が特定されるリスク指標を前記匿名要件として算出する算出部を、さらに具備し、
前記選択部は、前記算出したリスク指標が閾値以下である場合、前記匿名要件が満たされていると判定する、
ことを特徴とする請求項１から７のいずれか一項に記載の制御装置。
【請求項９】
前記利用要件は、前記匿名化データの利用者の属性、及び、前記匿名化データの前記利用者による利用態様の少なくともいずれか一方を含む、モラル要件を含む、
ことを特徴とする請求項３又は４に記載の制御装置。
【請求項１０】
匿名化データの利用を制御する制御方法であって、
少なくとも１つの項目値を含む個人情報データが抽象化パターンに従って匿名化された匿名化データを取得し、
前記取得した匿名化データがｋ−匿名性に基づく匿名要件を満たすか否かを判定し、
前記匿名要件を満たすと判定した場合、前記取得した匿名化データを、利用対象データの候補として選択する、
ことを特徴とする制御方法。
【請求項１１】
匿名化データの利用を制御する制御プログラムであって、
少なくとも１つの項目値を含む個人情報データが抽象化パターンに従って匿名化された匿名化データを取得し、
前記取得した匿名化データがｋ−匿名性に基づく匿名要件を満たすか否かを判定し、
前記匿名要件を満たすと判定した場合、前記取得した匿名化データを、利用対象データの候補として選択する、
処理を、コンピュータに実行させる、
ことを特徴とする制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御装置、制御方法、及び制御プログラムに関する。
【背景技術】
【０００２】
近年、情報漏洩の問題及び個人情報保護法の制定等により、個人情報の取り扱いが問題となっている。個人情報は、公的機関のみならず、種々の企業によって収集されている。例えば、商品又はサービスを購入する消費者（以下では、「個人」と呼ぶことがある）が商品又はサービスを購入する際に、会員登録することがある。この会員登録時には、通常、個人の氏名、年齢、性別、住所、及びメールアドレス等のデータが、個人に割り振られた個人ＩＤと対応づけられた状態で、企業のシステムに登録（記憶）される。すなわち、企業のシステムは、「個人情報データ」を記憶しておく。ここで、「個人情報データ」は、例えば、氏名、年齢、性別、住所、メールアドレス、及び個人ＩＤを含む。さらに、企業のシステムは、個人情報データが既に登録されている個人が商品又はサービスを購入する度に、その個人のＩＤに対応づけて、購入された商品又はサービスに関する情報を記憶する。これにより、企業は、収集した個人情報データを用いて、企業活動に利用することができる。
【０００３】
一方で、例えば、個人情報データを収集した第１の企業以外の第２の企業が、その個人情報データを利用することを望むことがある。すなわち、データ収集主体とデータ利用主体とが異なる可能性がある。しかしながら、個人情報保護の観点から、個人の許可を得ること無しに、個人情報データそのものを提供することはできない。そこで、個人情報データを、個人を特定できない状態のデータ（以下では、「匿名化データ」と呼ぶことがある）に変換し、匿名化データを利用することが考えられている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００３−１９６３９１号公報
【非特許文献】
【０００５】
【非特許文献１】コンピュータセキュリティシンポジウム2009  (CSS2009)  論文集、page 1-6，“k-匿名性の確率的指標への拡張とその適用例”，2011-10-12
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来の匿名化データの利用提供技術では、匿名化データが、個人を特定されるリスク（つまり、「個人特定リスク」）が十分低減されたレベル（つまり、「匿名目標レベル」）に達していない状態で利用対象として提供されている可能性がある。
【０００７】
開示の技術は、上記に鑑みてなされたものであって、利用対象である匿名化データの個人特定リスクを低減することができる、制御装置、制御方法、及び制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
開示の態様では、匿名化データの利用を制御する制御装置は、取得部と、選択部とを有する。前記取得部は、個人の情報に関する少なくとも１つの項目値を含む個人情報データが抽象化パターンに従って匿名化された匿名化データを取得する。前記選択部は、前記取得した匿名化データに対応する抽象化パターンがｋ−匿名性に基づく匿名要件を満たす場合、前記取得した匿名化データを、利用対象データの候補として選択する。
【発明の効果】
【０００９】
開示の態様によれば、利用対象である匿名化データの個人特定リスクを低減することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施例１の制御装置の一例を示すブロック図である。
【図２】図２は、リスク指標の算出例の説明に供する図である。
【図３】図３は、実施例１の制御装置の処理動作の一例を示すフローチャートである。
【図４】図４は、実施例２の制御装置の一例を示すブロック図である。
【図５】図５は、実施例２の定性指標の説明に供する図である。
【図６】図６は、匿名化データの状態の説明に供する図である。
【図７】図７は、実施例３の制御装置の一例を示すブロック図である。
【図８】図８は、実施例４の匿名化データの利用システムの一例を示す図である。
【図９】図９は、個人情報テーブルの一例を示す図である。
【図１０】図１０は、抽象化パターンの説明に供する図である。
【図１１】図１１は、匿名化データテーブルの一例を示す図である。
【図１２】図１２は、識別情報対応テーブルの一例を示す図である。
【図１３】図１３は、抽象化パターンの選択処理の説明に供する図である。
【図１４】図１４は、利用パターン候補テーブルの一例を示す図である。
【図１５】図１５は、実施例４の制御装置の処理動作の一例を示すフローチャートである。
【図１６】図１６は、実施例４の制御装置の処理動作の一例を示すフローチャートである。
【図１７】図１７は、実施例５の匿名化データの利用システムの一例を示す図である。
【図１８】図１８は、公開テーブルの一例を示す図である。
【図１９】図１９は、実施例５の制御装置の処理動作の一例を示すフローチャートである。
【図２０】図２０は、実施例５の制御装置の処理動作の一例を示すフローチャートである。
【図２１】図２１は、制御装置のハードウェア構成例を示す図である。
【発明を実施するための形態】
【００１１】
以下に、本願の開示する制御装置、制御方法、及び制御プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願の開示する制御装置、制御方法、及び制御プログラムが限定されるものではない。また、実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略される。また、実施形態において同等の処理ステップには同一の符号を付し、重複する説明は省略される。
【００１２】
［実施例１］
［制御装置の構成例］
図１は、実施例１の制御装置の一例を示すブロック図である（例えば、後述する図１１参照）。図１において、制御装置１０は、記憶部１１と、取得部１２と、選択部１３とを有する。
【００１３】
記憶部１１は、「匿名化データテーブル」を記憶している。「匿名化データテーブル」には、「匿名化データ群」が記憶されている。「匿名化データ群」は、項目値についての複数の「抽象化パターン」に基づいて個人情報データを抽象化して得られた複数の匿名化データを含んでいる。例えば、個人ＩＤと項目である年齢及び性別のそれぞれに対応する項目値を含み且つ個人ＩＤが「１１１」、年齢の項目値が「１８歳」、性別の項目値が「男」である個人情報データの場合、「匿名化データ群」には、個人ＩＤ「１１１」の個人に対応する匿名化データとして、「１０代、男」、「１０代以下、男」、「学生、男」等が含まれている。ここで、「１０代、男」、「１０代以下、男」、「学生、男」は、それぞれ異なる「抽象化パターン」である。すなわち、個人ＩＤが「１１１」、年齢「１８歳」、性別「男」である個人情報データの場合、第１の抽象化パターン「１０代、男」で抽象化した匿名化データが、個人ＩＤ「１１１」に対応する「１０代、男」というデータとなる。また、第２の抽象化パターン「１０代以下、男」で抽象化した匿名化データが、個人ＩＤ「１１１」に対応する「１０代以下、男」というデータとなる。また、第３の抽象化パターン「学生、男」で抽象化した匿名化データが、個人ＩＤ「１１１」に対応する「学生、男」というデータとなる。なお、「匿名化データテーブル」では、匿名化データ毎に異なる番号（つまり、「匿名化データ識別情報」）が付されている。
【００１４】
取得部１２は、記憶部１１に記憶されている匿名化データ群を取得し、取得した匿名化データ群を選択部１３へ出力する。
【００１５】
選択部１３は、複数の抽象化パターンの内で「匿名要件」を満たした抽象化パターンに対応する匿名化データを、「利用対象データ」の候補として選択する。すなわち、選択部１３は、複数の抽象化パターンの内で「匿名要件」を満たす抽象化パターンを、「利用パターン」の候補として特定する。そして、選択部１３は、特定した利用パターンの候補に対応する匿名化データを、利用対象データの候補として選択する。ここで、「匿名要件」は、少なくとも「ｋ−匿名性」に基づく。さらに、「匿名要件」は、ｋ−匿名性に加えて、「ｌ−多様性」、及び「Ｐｋ−匿名性」の少なくともいずれか一方に基づいてもよい。なお、選択部１３は、利用パターンの候補の識別情報と当該候補で匿名化された匿名化データの識別情報と対応づけて記憶する「パターン対応テーブル」を記憶部１１に記憶させてもよい。また、選択部１３は、利用パターンの候補の識別情報と、当該利用パターンの候補に対応する個人情報データの個人ＩＤとを対応づけて記憶する「利用パターン候補テーブル」を記憶部１１に記憶させてもよい（例えば、後述する図１４参照）。
【００１６】
例えば、「匿名要件」が「ｋ−匿名性」にのみ基づく場合、「匿名要件」は、「抽象化パターンに対応する匿名化データの数が「第１の閾値」以上であること」である。この場合、選択部１３は、各抽象化パターンに対応する匿名化データの数と第１の閾値とを比較し、その数が第１の閾値以上である抽象化パターンを「利用パターン」の候補として選択するとともに、利用パターンの候補に対応する匿名化データを、「利用対象データ」の候補として選択する。なお、「ｋ−匿名性」とは、同じ属性を持つ個人がｋ人以上いる状態をいう。また、「ｌ−多様性」とは、属性の組合せが少なくともｌ通り以上ある状態をいう。また、「Ｐｋ−匿名性」とは、個人情報データから個人を１／ｋ以上の確率で当てることができない状態をいう。
【００１７】
また、例えば、「匿名要件」がｋ−匿名性、ｌ−多様性、及びＰｋ−匿名性に基づく場合、「匿名要件」は、「個人特定リスクを表す「リスク指標」が「第２の閾値」以下であること」である。例えば、「リスク指標」は、リスク算出部（図示せず）において、ｋ−匿名性、ｌ−多様性、及びＰｋ−匿名性の各々について算出された、個人が特定される確率値に基づいて、算出される。この場合、選択部１３は、各抽象化パターンに対応する匿名化データのリスク指標と第２の閾値とを比較し、リスク指標が第２の閾値以下である抽象化パターンを「利用パターン」の候補として選択するとともに、利用パターンの候補に対応する匿名化データを、「利用対象データ」の候補として選択する。
【００１８】
図２は、リスク指標の算出例の説明に供する図である。図２には、或る抽象化パターンに対応する、ｋ−匿名性、ｌ−多様性、及びＰｋ−匿名性のそれぞれの値等が示されている。例えば、ｋ−匿名性に関しては、その抽象化パターンに対応するｋ−匿名性の値（つまり、発生数）は、１０である。つまり、その抽象化パターンに対応する匿名化データが１０個存在することを示している。従って、この場合、個人が特定される確率値は、１／１０＝１０％である。また、その抽象化パターンに対するｌ−多様性の値は、３である。つまり、その抽象化パターン（複数の項目を含む）に対する匿名化データが３つ存在することを示している。従って、この場合、個人が特定される確率値は、１／３＝３３％である。また、その抽象化パターンに対応するＰｋ−匿名性の値は２％であり、個人が特定される確率値は１％となっている。ここで、図２における「優先度」は、ｋ−匿名性、ｌ−多様性、及びＰｋ−匿名性のそれぞれに対する「重み付け係数」となっている。従って、図２の場合のリスク指標は、次のように算出することができる。
リスク指標の値＝（１／１０×０．８）＋（１／３×０．２）＝０．１４６７
【００１９】
ここで、図２には、ｋ−匿名性、ｌ−多様性、及びＰｋ−匿名性のそれぞれの値が取り得る、上限値（図２では、論理的最大値）及び下限値（図２では、下限閾値）が示されている。
【００２０】
［制御装置の動作例］
以上の構成を有する制御装置の処理動作の一例について説明する。図３は、実施例１の制御装置の処理動作の一例を示すフローチャートである。
【００２１】
制御装置１０において、取得部１２は、匿名化データ群を取得する（ステップＳ１０１）。
【００２２】
選択部１３は、各抽象化パターンについて匿名要件を満たしているか否かを判定する（ステップＳ１０２）。
【００２３】
選択部１３は、匿名化要件を満たした抽象化パターンに対応する匿名化データを、利用対象データの候補として選択する（ステップＳ１０３）。
【００２４】
以上のように本実施例によれば、制御装置１０において、取得部１２は、匿名化データ群を取得する。そして、選択部１３は、複数の抽象化パターンの内で匿名要件を満たした抽象化パターンに対応する匿名化データを、利用対象データの候補として選択する。
【００２５】
この制御装置１０の構成により、匿名要件を満たした抽象化パターンに対応する匿名化データのみを利用対象データの候補とすることができる。すなわち、匿名化データの利用提供の前段階で、「匿名化フィルタ」を適用することができる。これにより、個人特定リスクを低減することができる。
【００２６】
また、匿名要件は、少なくともｋ−匿名性に基づく。さらに、匿名要件は、ｋ−匿名性に加えて、ｌ−多様性、及びＰｋ−匿名性の少なくともいずれか一方に基づいてもよい。
【００２７】
なお、匿名要件がｋ−匿名性にのみ基づく場合、匿名化要件は、抽象化パターンに対応する匿名化データの数が第１の閾値以上であること、であってもよい。
【００２８】
また、匿名要件がｋ−匿名性、ｌ−多様性、及びＰｋ−匿名性に基づく場合、匿名要件は、個人特定リスクを表すリスク指標が第２の閾値以下であること、であってもよい。例えば、リスク指標は、リスク算出部（図示せず）において、ｋ−匿名性、ｌ−多様性、及びＰｋ−匿名性の各々について算出された、個人が特定される確率値に基づいて、算出されてもよい。
【００２９】
なお、以上の説明では、匿名化データテーブルが制御装置１０に記憶されていることを前提として説明を行ったが、これに限定されるものではない。例えば、匿名化データテーブルは、制御装置１０とは別体の装置（例えば、個人情報テータの収集主体である企業等の装置）に記憶されていてもよい。
【００３０】
［実施例２］
実施例２は、実施例１で選択された利用対象データの候補を、利用対象データとして決定する処理に関する。
【００３１】
図４は、実施例２の制御装置の一例を示すブロック図である。図４において、制御装置２０は、決定部２１と、出力制御部２２とを有する。
【００３２】
決定部２１は、選択部１３で選択した利用対象データの候補が「利用要件」を満たしている場合、その利用対象データの候補を、「利用対象データ」として決定する。
【００３３】
「利用要件」は、例えば、「モラル要件」を含む。「モラル要件」は、例えば、匿名化データの利用者の属性、及び、匿名化データの利用者による利用態様の少なくともいずれか一方を含む。また、「モラル要件」として、匿名化データの利用を禁止する企業を定めてもよい。例えば、利用者の属性が風俗営業等である場合には、利用要件が満たされず、利用対象データの候補は、その利用者に対しては利用対象データとはされない。また、利用者による利用態様がアダルト関係の広告配信等である場合にも、利用要件が満たされず、利用対象データの候補は、その利用者に対しては利用対象データとはされない。
【００３４】
また、「利用要件」のパラメータとして、ユーザ又は第三者（法律家を含んでもよい）のアンケート結果、及び、インターネットにおける風評（顧客のクレームの数を含んでもよい）等から求められる「定性指標」が用いられてもよい。図５は、実施例２の定性指標の説明に供する図である。
【００３５】
図５の「定性指標テーブル」は、項目として、「意見聴取者」、「人数」、「頻度」、「確認」、「下限設定」、「現在の値」、「優先度」を含んでいる。
【００３６】
図５の定性指標テーブルでは、「意見聴取者」として、「法学者・研究者」、「感度の高い顧客」、「通常のユーザ」、「自社の顧客以外」、「フェイスブック（登録商標）の該当ページへのコメント数」、「ツイッター（登録商標）の該当商品を含むつぶやき」が含まれている。
【００３７】
「法学者・研究者」に着目すると、「人数」の項目値である「１０人」は、アンケートに答えた「法学者・研究者」の数が１０人であることを意味している。また、「頻度」の項目値である「１回／月」は、月に１回の頻度でアンケートを実行していることを示している。また、「確認」の項目値である「不許可率」は、対象の利用者に匿名化データを利用させることについて不許可と回答した人数の割合を、「現在の値」の項目値とすることを示している。また、「下限設定」の項目値である「６人」は、アンケート回答者の必要最小限の値であり、６人を下回った場合には、その利用者への匿名化データの提供は一時停止される。「優先度」は、「現在の値」の項目値に対する重み付け係数である。すなわち、図５のテーブルでは、「法学者・研究者」、「感度の高い顧客」、「通常のユーザ」、「自社の顧客以外」の順番で重要度が低くなっている。この優先度を調整することで、多様な設定を行うことができる。また、「フェイスブック（登録商標）の該当ページへのコメント数」及び「ツイッター（登録商標）の該当商品を含むつぶやき」に対応するネガティブコメント数は、クローニングによって収集され、その数に対するデータマイニングの結果が「現在の値」の項目値となる。
【００３８】
また、「利用要件」のパラメータには、例えば、匿名化データの利用者候補が事前に指定してきた、「ｋ−匿名性の最低目標値」が含まれてもよい。すなわち、利用対象データの候補であっても、利用対象データの候補に対応する抽象化パターンのｋ−匿名性の値が、利用者候補が指定した「ｋ−匿名性の最低目標値」より小さい場合、その利用対象データの候補は、その利用者候補に対しては利用対象データとはされない。つまり、「利用対象データの候補に対応する抽象化パターンのｋ−匿名性の値が、利用者候補が指定したｋ−匿名性の最低目標値以上であること」が、「利用要件」となる。
【００３９】
また、「利用要件」のパラメータには、例えば、利用対象データの候補に対応する抽象化パターンの「価値」が含まれてもよい。この「価値」は、例えば、制御装置２０が有する価値算出部（図示せず）によって、抽象化パターンを構成する各項目値毎についての、インターネットにおけるアクセス数又はクリック数等に基づいて、算出される。例えば、「算出された価値の最も高い抽象化パターンに対応する利用対象データの候補であること」が、「利用要件」となる。
【００４０】
また、「利用要件」のパラメータには、匿名化データの利用者候補が事前に指定してきた「利用希望抽象化パターン」が含まれていてもよい。すなわち、「利用希望抽象化パターンと対応する利用対象データの候補であること」が、「利用要件」となる。
【００４１】
なお、以上で例示した複数の利用要件は、それぞれ単独で用いられてもよいし、任意の組み合わせで用いられてもよい。また、１個人について利用対象データである匿名化データが複数存在する場合、決定部２１は、最も詳しい、つまり項目値が下位概念である抽象化パターンに対応する匿名化データを利用対象データに決定すればよい。
【００４２】
図４の説明に戻り、出力制御部２２は、決定部２１で決定された利用対象データに対応する「利用者の利用態様」に応じた「情報」の出力制御を行う。
【００４３】
例えば、利用者が利用態様として「広告配信」を事前に指定してきている場合、出力制御部２２は、決定部２１で決定された利用対象データに対応する個人に対して、その利用者から事前に取得している情報（例えば、広告及びクーポン等）を報知する制御を行う。例えば、記憶部１１には、「個人情報テーブル」が記憶されている（例えば、後述する図９参照）。「個人情報テーブル」には、匿名化データの元となる個人情報データが記憶されている。各個人情報データは、例えば、個人ＩＤ、及び、個人の情報に関する少なくとも１つの項目値を含む。例えば、項目値の１つとして、個人のメールアドレスが含まれている。また、例えば、記憶部１１には、個人ＩＤと、上記の匿名化データ識別情報とを対応づけて記憶する「識別情報対応テーブル」が記憶されている（例えば、後述する図１２参照）。そして、出力制御部２２は、決定部２１で決定された利用対象データの識別情報を、上記の匿名化データテーブルを用いて特定する。そして、出力制御部２２は、特定した利用対象データの識別情報に対応する個人ＩＤを、識別情報対応テーブルを用いて特定する。そして、出力制御部２２は、特定した個人ＩＤに対応するメールアドレスを用いて、広告を送信する。
【００４４】
また、例えば、利用者が利用態様として「匿名化データの配信」を事前に指定してきている場合、出力制御部２２は、その利用者の端末に対して利用対象データを送信する。
【００４５】
なお、出力制御部２２は、実際に利用された利用対象データに対応する抽象化パターンのｋ−匿名性の値及び利用者識別情報を含むログ情報を、記憶部１１に記憶させてもよい。
【００４６】
以上のように本実施例によれば、制御装置２０において、決定部２１は、選択部１３で選択した利用対象データの候補が「利用要件」を満たしている場合、選択部１３で選択した利用対象データの候補を、利用対象データとして決定する。
【００４７】
この制御装置２０の構成により、匿名要件に加えて利用要件を満たした利用対象データの候補のみを利用対象データとすることができるので、匿名化データ利用における、個人及び利用者等のリスクを低減させることができる。
【００４８】
ここで、実施例２の制御装置２０によれば、例えば、図６に示すように、匿名化データを、「法的・モラル的違反状態」、「法的高リスク状態」、「モラル的高リスク状態」、「個人特定高リスク状態」、「モラル違反状態」、及び「利用可能状態」の６つの状態に分類することができる。そして、「利用可能状態」に分類される匿名化データのみを利用可能データとすることができる。
【００４９】
［実施例３］
実施例３は、実施例１及び実施例２で選択された利用対象データの候補を、オークション形式で利用対象データとして決定する処理に関する。
【００５０】
図７は、実施例３の制御装置の一例を示すブロック図である。図７において、制御装置３０は、オークション制御部３１を有する。
【００５１】
オークション制御部３１は、選択部１３で選択した利用対象データの候補に対応する抽象化パターン（つまり、上記の利用パターンの候補）に関する情報を、オークション対象の情報として利用者候補に公開する制御を行う。例えば、オークション制御部３１は、利用者候補の端末からアクセスされると、「公開テーブル」を利用者候補の端末に表示させる制御を行う。「公開テーブル」は、例えば、項目として、「抽象化パターン」と、「抽象化パターンの番号」と、「ｋ−匿名性の値」とを含む（例えば、後述する図１８参照）。すなわち、「公開テーブル」では、選択部１３で選択した利用対象データの複数の候補にそれぞれ対応する複数の抽象化パターンと、各抽象化パターンに対応する、識別情報及びｋ−匿名性の値とが対応づけられている。
【００５２】
そして、オークション制御部３１は、公開した各抽象化パターン（つまり、各オークション対象）に対する入札を受け付ける入札受付処理を行い、各オークション対象について最も入札額の高い利用者候補にそのオークション対象を落札させる。
【００５３】
そして、オークション制御部３１は、落札されたオークション対象に対応する、選択部１３で選択した利用対象データの候補が「利用要件」を満たしている場合、その利用対象データの候補を、利用対象データとして決定する。なお、オークション制御部３１は、落札された抽象化パターンの識別情報と、上記のパターン対応テーブルとを用いて、落札された抽象化パターンに対応する匿名化データを特定し、これを利用対象データとして決定してもよい。また、オークション制御部３１は、落札された抽象化パターンの識別情報と、落札した利用者の識別情報と、その利用者が指定してきている利用態様の識別情報とを対応づけた「落札パターンテーブル」を、記憶部１１に記憶させてもよい。
【００５４】
ここで、オークション制御部３１の「利用要件」としては、実施例２で説明したものを用いることができる。
【００５５】
そして、出力制御部２２は、オークション制御部３１で決定された利用対象データに対応する「利用者の利用態様」に応じた「情報」の出力制御を行う。
【００５６】
以上のように本実施例によれば、制御装置３０において、オークション制御部３１は、選択部１３で選択した利用対象データの候補に対応する抽象化パターンに関する情報をオークション対象の情報として利用者候補に公開し、オークション対象を利用者候補に落札させる。
【００５７】
この制御装置３０の構成により、匿名要件を満たした抽象化パターンのみをオークション対象として公開することができるので、オークションにおける個人特定リスクを低減することができる。
【００５８】
また、オークション制御部３１は、落札されたオークション対象に対応する、選択部１３で選択した利用対象データの候補が利用要件を満たしている場合、選択部１３で選択した利用対象データの候補を、利用対象データとして決定する。
【００５９】
この制御装置３０の構成により、匿名要件に加えて利用要件を満たした利用対象データの候補のみを利用対象データとすることができるので、匿名化データの利用における、個人及び利用者等のリスクを低減させることができる。
【００６０】
［実施例４］
実施例４は、実施例２で説明した匿名化フィルタの具体的な利用態様例に関する。
【００６１】
［利用システムの概要］
図８は、実施例４の匿名化データの利用システムの一例を示す図である。図８において、利用システム１００は、制御装置１２０と、個人情報データを収集する収集システム１３０と、端末１５０とを有する。制御装置１２０は、実施例２で説明した制御装置２０に対応し、制御装置２０と基本的に同じ機能を有している。また、収集システム１３０は、例えば、病院に設置されたシステムである。また、端末１５０は、匿名化データの利用者候補の端末である。なお、図８では収集システム１３０及び端末１５０を１つ示しているが、この数はこれに限定されるものではない。すなわち、利用システム１００は、収集システム１３０及び端末１５０をそれぞれ２つ以上有していてもよい。また、以下では、収集システム１３０が病院に設置されたシステムであるものとして説明を行う。
【００６２】
まず、収集システム１３０では、個人情報データ群（例えば、カルテ情報データ）が複数の抽象化パターンに従って匿名化処理され、匿名化データ群にされる。この匿名化データ群は、制御装置１２０へ提供される。
【００６３】
そして、制御装置１２０は、収集システム１３０から提供された匿名化データ群を用いて、利用対象データを決定する。
【００６４】
そして、制御装置１２０は、決定された利用対象データに対応する「利用者の利用態様」に応じた「情報」の出力制御を行う。
【００６５】
例えば、制御装置１２０は、端末１５０から指定された「匿名化データの利用態様」が「広告配信」である場合、決定された利用対象データに対応する個人に対して、その利用者から事前に取得している情報（つまり、広告）を報知する制御を行う。
【００６６】
また、制御装置１２０は、端末１５０から指定された「匿名化データの利用態様」が「匿名化データの配信」である場合、端末１５０に対して利用対象データを送信する。
【００６７】
以上の動作処理（以下では、この動作処理を「バッチ処理」と呼ぶことがある）が行われた後に、収集システム１３０の後述する受付装置１３６で患者の受付処理が行われることがある。この場合、受付処理が行われた患者の個人ＩＤが制御装置１２０に提供される。
【００６８】
そして、制御装置１２０は、提供された個人ＩＤに対応する利用対象データを特定する。そして、制御装置１２０は、特定された利用対象データに対応する「利用者の利用態様」に応じた「情報」の出力制御を行う。例えば、端末１５０から指定された「匿名化データの利用態様」が「広告配信」である場合、制御装置１２０は、収集システム１３０の後述する精算装置１３７から患者の精算時に出力されるレシートに広告が印字される制御を行う。また、広告の配信態様としては、例えば、後述する精算装置１３７に配設されるか、又は、後述する精算装置１３７の設置場所付近に設置された、サイネージに表示されてもよい。ここで説明した、バッチ処理後に行われた一連の処理を、以下では、「リアルタイム処理」と呼ぶことがある。
【００６９】
［収集システムの構成例］
図８において、収集システム１３０は、個人情報テーブル１３１と、匿名化処理部１３２と、匿名化データテーブル１３３と、識別情報対応テーブル１３４と、インタフェース（ＩＦ）１３５と、受付装置１３６と、精算装置１３７とを有する。
【００７０】
個人情報テーブル１３１は、個人情報データ群を記憶している。図９は、個人情報テーブルの一例を示す図である。図９に示す個人情報テーブルは、項目として、「個人ＩＤ」、「氏名」、「年齢」、「性別」、「住所」、「病名」、「メールアドレス」を含んでいる。
【００７１】
匿名化処理部１３２は、個人情報テーブル１３１の個人情報データを複数の「抽象化パターン」に基づいて抽象化して、匿名化データ群を形成する。複数の抽象化パターンは、例えば、図１０に示すような「木構造」で表すことができる。図１０は、抽象化パターンの説明に供する図である。形成された匿名化データ群は、匿名化データテーブル１３３に記憶される。また、個人情報データの個人ＩＤと、当該個人情報データから形成された匿名化データの識別情報との対応関係が、識別情報対応テーブル１３４に記憶される。
【００７２】
図１１は、匿名化データテーブルの一例を示す図である。また、図１２は、識別情報対応テーブルの一例を示す図である。図１２において、匿名化データ番号０００１−０００３の３つの匿名化データは、個人ＩＤ「０００１」の個人情報データから形成されたものであることを示している。
【００７３】
匿名化データテーブル１３３に記憶された匿名化データ群及び識別情報対応テーブル１３４に記憶された対応関係は、ＩＦ１３５を介して制御装置１２０へ提供される。
【００７４】
受付装置１３６は、患者の受付処理を実行する。そして、受付装置１３６は、受付処理を行った患者の個人ＩＤを、ＩＦ１３５を介して制御装置１２０へ提供する。
【００７５】
精算装置１３７は、患者の精算処理を実行する。そして、精算装置１３７は、制御装置１２０からその個人ＩＤに対応する広告出力命令及び広告を受け取っている場合、レシートにその広告を印字する。
【００７６】
［制御装置の構成例］
図８において、制御装置１２０は、ＩＦ１５，１６と、記憶部１１と、取得部１２と、選択部１３と、決定部２１と、出力制御部２２とを有する。
【００７７】
記憶部１１は、収集システム１３０から送信された匿名化データテーブル及び識別情報対応テーブルを、ＩＦ１５を介して受け取り、記憶する。
【００７８】
取得部１２は、記憶部１１から匿名化データ群を取得し、取得した匿名化データ群を選択部１３へ出力する。
【００７９】
選択部１３は、対応する匿名化データの存在数、つまりｋ−匿名性の値（ｋ値）が「第１の閾値」以上である抽象化パターンを、利用パターンの候補として特定する。例えば、各抽象化パターンの存在数が図１３に示すようであり、且つ、第１の閾値が１０である場合、抽象化パターン識別情報「０００３」の抽象化パターンは、利用パターンの候補とされる。図１３は、抽象化パターンの選択処理の説明に供する図である。
【００８０】
また、選択部１３は、利用パターンの候補の識別情報と、当該利用パターンの候補に対応する個人情報データの個人ＩＤとを対応づけて記憶する「利用パターン候補テーブル」を記憶部１１にさせる。図１４は、利用パターン候補テーブルの一例を示す図である。利用パターンの候補の識別情報「０００３」に対応する抽象化パターンは、匿名化データ番号「０００３」の匿名化データに対応し、当該匿名化データは、個人ＩＤ「０００１」の個人情報データに対応する。このため、図１４の利用パターン候補テーブルでは、個人情報ＩＤ「０００１」と利用パターンの候補の識別情報「０００３」とが、対応づけられている。
【００８１】
決定部２１は、選択部１３で選択した利用対象データの候補が「利用要件」を満たしている場合、その利用対象データの候補を、「利用対象データ」として決定する。
【００８２】
また、決定部２１は、ＩＦ１６を介して端末１５０から、「ｋ−匿名性の最低目標値」や「利用希望抽象化パターン」等の利用要件及び「利用者の利用態様」等の指定を受け付ける。
【００８３】
出力制御部２２は、決定部２１で決定された利用対象データに対応する「利用者の利用態様」に応じた「情報」の出力制御を行う。
【００８４】
例えば、出力制御部２２は、端末１５０から指定された「匿名化データの利用態様」が「広告配信」である場合、決定された利用対象データに対応する個人に対して、その利用者から事前に取得している情報（つまり、広告）を報知する制御を行う。
【００８５】
また、出力制御部２２は、端末１５０から指定された「匿名化データの利用態様」が「匿名化データの配信」である場合、端末１５０に対して利用対象データを送信する。
【００８６】
［利用システムの動作例］
以上の構成を有する利用システム１００の処理動作例について説明する。図１５及び図１６は、実施例４の制御装置の処理動作の一例を示すフローチャートである。
【００８７】
制御装置１２０において、決定部２１は、利用希望の受け付け処理を実行する（ステップＳ２０１）。例えば、端末１５０は、利用者候補の「利用要求信号」を制御装置１２０へ送信する。「利用要求信号」には、例えば、利用希望抽象化パターンの情報及び利用態様の情報が含まれる。決定部２１は、端末１５０から送信された利用要求信号を、ＩＦ１６を介して受け取る。そして、決定部２１は、送信元である利用者候補の識別情報と、利用希望抽象化パターンの識別情報と、利用態様の情報とを対応付けで記憶しておく。なお、利用要求信号には、さらに、広告及びクーポンの内容が含まれる場合もある。
【００８８】
＜バッチ処理＞
取得部１２は、匿名化データ群を取得する（ステップＳ２０２）。
【００８９】
選択部１３は、取得部１２が取得した匿名化データ群において、各抽象化パターンに対応する匿名化データの存在数をカウントする（ステップＳ２０３）。
【００９０】
選択部１３は、カウントされた存在数に基づいて、利用パターンの候補及び利用対象データの候補を選択する（ステップＳ２０４）。例えば、選択部１３は、カウントされた存在数が第１の閾値以上である抽象化パターンを、利用パターンの候補として選択する。そして、選択部１３は、利用パターンの候補に対応する匿名化データを、利用対象パターンの候補として選択する。
【００９１】
選択部１３は、「利用パターン候補テーブル」を更新する（ステップＳ２０５）。上記の通り、「利用パターン候補テーブル」は、利用パターンの候補の識別情報と、当該利用パターンの候補に対応する個人情報データの個人ＩＤとを対応づけて記憶している。
【００９２】
決定部２１は、選択部１３で選択した利用対象データの候補が「利用要件」を満たしている場合、その利用対象データの候補を、「利用対象データ」として決定する（ステップＳ２０６）。ここで、説明を簡単にするために、「利用要件」がステップＳ２０１で受け付けられた「利用希望抽象化パターン」のみであるとする。この場合、決定部２１は、利用希望抽象化パターンと一致する利用パターンの候補に対応する利用対象データの候補を、利用対象データとして決定する。
【００９３】
出力制御部２２は、決定部２１で決定された利用対象データの利用を実行する（ステップＳ２０７）。例えば、出力制御部２２は、利用者が利用態様として「匿名化データの配信」を事前に指定してきている場合、出力制御部２２は、その利用者の端末１５０に対して利用対象データを送信する。
【００９４】
＜リアルタイム処理＞
上記のバッチ処理は、リアルタイム処理が実行される前に、実行されている。
【００９５】
制御装置１２０において、取得部１２は、収集システム１３０において受け付け処理が行われた患者の個人ＩＤを取得する（ステップＳ３０１）。
【００９６】
決定部２１は、取得部１２で取得された個人ＩＤと、利用パターン候補テーブルとに基づいて、その個人ＩＤに対応する利用パターンの候補を選択する（ステップＳ３０２）。
【００９７】
決定部２１は、選択した利用パターンの候補と、利用希望抽象化パターンとが一致する場合、その利用パターンの候補に対応する利用対象データの候補を、利用対象データとして決定する（ステップＳ３０３）。
【００９８】
出力制御部２２は、決定部２１で決定された利用対象データの利用を実行する（ステップＳ３０４）。例えば、出力制御部２２は、利用者が利用態様として「広告配信」を事前に指定してきている場合、個人ＩＤとともに広告情報をＩＦ１５及びＩＦ１３５を介して精算装置１３７へ送信する。これにより、例えば、その患者の精算時に出力されるレシートに広告を印字することができる。
【００９９】
例えば、タクシー業者である利用者候補が利用希望抽象化パターンとして、「下半身骨折」という項目値を含む抽象化パターンを指定した場合、レシートに「帰りにタクシーのご利用はいかがですか？  ××タクシー会社  電話番号ｙｙｙ−４５６−７８９９」といった広告を印字することができる。
【０１００】
［実施例５］
実施例５は、実施例３で説明した、匿名化データに関するオークションの具体的な利用態様例に関する。なお、実施例５の利用システムの基本構成は、実施例４の利用システム１００と同じである。実施例４と実施例５の相違点は、主に、制御装置におけるオークション制御部の処理動作である。
【０１０１】
図１７は、実施例５の匿名化データの利用システムの一例を示す図である。図１７において、利用システム２００は、制御装置２３０を有する。制御装置２３０は、実施例３で説明した制御装置３０に対応し、制御装置３０と基本的に同じ機能を有している。
【０１０２】
図１７において、制御装置２３０は、オークション制御部３１を有する。
【０１０３】
オークション制御部３１は、選択部１３で選択した利用対象データの候補に対応する抽象化パターン（つまり、上記の利用パターンの候補）に関する情報を、オークション対象の情報として利用者候補に公開する制御を行う。例えば、オークション制御部３１は、利用者候補の端末からアクセスされると、「公開テーブル」を利用者候補の端末に表示させる制御を行う。図１８は、公開テーブルの一例を示す図である。図１８に示すように、公開テーブルは、抽象化パターン番号と、抽象化パターンと、存在数（つまり、ｋ−匿名性の値）とを含む。図１８に示す公開テーブルには、さらに、アクセス数と、クリック数と、値段とが含まれている。
【０１０４】
そして、オークション制御部３１は、公開した各抽象化パターン（つまり、各オークション対象）に対する入札を受け付ける入札受付処理を行う。そして、オークション制御部３１は、各オークション対象について最も入札額の高い利用者候補にそのオークション対象を落札させる。
【０１０５】
そして、オークション制御部３１は、落札された抽象化パターンの識別情報と、落札した利用者の識別情報と、その利用者が指定してきている利用態様の識別情報とを対応づけた「落札パターンテーブル」を、記憶部１１に記憶させる。
【０１０６】
そして、オークション制御部３１は、落札されたオークション対象に対応する、選択部１３で選択した利用対象データの候補が「利用要件」を満たしている場合、その利用対象データの候補を、利用対象データとして決定する。
【０１０７】
以上の構成を有する利用システム２００の処理動作例について説明する。
【０１０８】
＜バッチ処理＞
図１９は、実施例５の制御装置の処理動作の一例を示すフローチャートである。図１９におけるステップＳ２０２−ステップＳ２０５の処理ステップは、図１５の処理ステップと同等である。図１９は、所謂バッチ処理に対応する。
【０１０９】
オークション制御部３１は、選択部１３で選択した利用対象データの候補に対応する抽象化パターンに関する情報を、オークション対象の情報として利用者候補に公開する（ステップＳ４０１）。
【０１１０】
オークション制御部３１は、公開した各抽象化パターン（つまり、各オークション対象）に対する入札を受け付ける（ステップＳ４０２）。
【０１１１】
オークション制御部３１は、各オークション対象について落札者を決定する（ステップＳ４０３）。例えば、オークション制御部３１は、各オークション対象について最も入札額の高い利用者候補にそのオークション対象を落札させる。
【０１１２】
オークション制御部３１は、「落札パターンテーブル」を更新する（ステップＳ４０４）。上記の通り、「落札パターンテーブル」は、落札された抽象化パターンの識別情報と、落札した利用者の識別情報と、その利用者が指定してきている利用態様の識別情報とを対応づけて記憶している。
【０１１３】
オークション制御部３１は、落札されたオークション対象に対応する、選択部１３で選択した利用対象データの候補が「利用要件」を満たしている場合、その利用対象データの候補を、利用対象データとして決定する（ステップＳ４０５）。
【０１１４】
出力制御部２２は、オークション制御部３１で決定された利用対象データの利用を実行する（ステップＳ４０６）。
【０１１５】
＜リアルタイム処理＞
上記のバッチ処理は、リアルタイム処理が実行される前に、実行されている。図２０は、実施例５の制御装置の処理動作の一例を示すフローチャートである。図２０は、所謂リアルタイム処理に対応する。
【０１１６】
制御装置２３０において、取得部１２は、収集システム１３０において受け付け処理が行われた患者の個人ＩＤを取得する（ステップＳ５０１）。
【０１１７】
オークション制御部３１は、取得部１２で取得された個人ＩＤと、利用パターン候補テーブルとに基づいて、その個人ＩＤに対応する利用パターンの候補を選択する（ステップＳ５０２）。
【０１１８】
オークション制御部３１は、選択した利用パターンの候補のうちで落札パターンテーブルに記憶されている利用パターンの候補に対応する利用対象データの候補を、利用対象データとして決定する（ステップＳ５０３）。
【０１１９】
出力制御部２２は、オークション制御部３１で決定された利用対象データの利用を実行する（ステップＳ５０４）。
【０１２０】
［他の実施例］
［１］実施例４及び実施例５では、収集システムが病院システムであるものとして説明を行ったが、これに限定されるものではない。例えば、スーパーマーケットのシステムであってもよい。そして、顧客（個人）が購入した商品又は購入を検討している商品に関する情報をインターネットで制御装置へ送信し、制御装置が、レシピ、又は、他社の安売り広告等を報知する制御処理を行ってもよい。
【０１２１】
［２］実施例１から実施例５では、個人情報データの項目として、略固定、つまり殆ど変動しない項目が用いられているが、これに限定されるものではない。例えば、個人の位置情報、又は、買い物履歴情報等が用いられてもよい。
【０１２２】
［３］実施例１から実施例５で図示した各部の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。
【０１２３】
更に、各装置で行われる各種処理機能は、ＣＰＵ（Central  Processing  Unit）（又はＭＰＵ（Micro  Processing  Unit）、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部又は任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（又はＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行するプログラム上、又はワイヤードロジックによるハードウェア上で、その全部又は任意の一部を実行するようにしてもよい。
【０１２４】
実施例１から実施例５の制御装置は、例えば、次のようなハードウェア構成により実現することができる。
【０１２５】
図２１は、制御装置のハードウェア構成例を示す図である。図２１に示すように、制御装置３００は、プロセッサ３０１と、メモリ３０２と、ＩＦ３０３を有する。
【０１２６】
プロセッサ３０１の一例としては、ＣＰＵ（Central  Processing  Unit）、ＤＳＰ（Digital  Signal  Processor）、ＦＰＧＡ（Field  Programmable  Gate  Array）等が挙げられる。また、メモリ３０２の一例としては、ＳＤＲＡＭ（Synchronous  Dynamic  Random  Access  Memory）等のＲＡＭ（Random  Access  Memory）、ＲＯＭ（Read  Only  Memory）、フラッシュメモリ等が挙げられる。
【０１２７】
そして、実施例１から実施例５の制御装置で行われる各種処理機能は、不揮発性記憶媒体などの各種メモリに格納されたプログラムを制御装置が備えるプロセッサで実行することによって実現してもよい。すなわち、取得部１２と、選択部１３と、決定部２１と、出力制御部２２と、オークション制御部３１とによって実行される各処理に対応するプログラムがメモリ３０２に記録され、各プログラムがプロセッサ３０１で実行されてもよい。また、記憶部１１は、メモリ３０２によって実現される。また、ＩＦ１５，１６は、ＩＦ３０３によって実現される。
【符号の説明】
【０１２８】
１０，２０，３０  制御装置
１１  記憶部
１２  取得部
１３  選択部
１６，１５，１３５  ＩＦ
２１  決定部
２２  出力制御部
３１  オークション制御部
１００，２００  利用システム
１２０，２３０  制御装置
１３０  収集システム
１３１  個人情報テーブル
１３２  匿名化処理部
１３３  匿名化データテーブル
１３４  識別情報対応テーブル
１３６  受付装置
１３７  精算装置
１５０  端末
【図１】
2015130012.tif 000003
【図２】
2015130012.tif 000004
【図３】
2015130012.tif 000005
【図４】
2015130012.tif 000006
【図５】
2015130012.tif 000007
【図６】
2015130012.tif 000008
【図７】
2015130012.tif 000009
【図８】
2015130012.tif 000010
【図９】
2015130012.tif 000011
【図１０】
2015130012.tif 000012
【図１１】
2015130012.tif 000013
【図１２】
2015130012.tif 000014
【図１３】
2015130012.tif 000015
【図１４】
2015130012.tif 000016
【図１５】
2015130012.tif 000017
【図１６】
2015130012.tif 000018
【図１７】
2015130012.tif 000019
【図１８】
2015130012.tif 000020
【図１９】
2015130012.tif 000021
【図２０】
2015130012.tif 000022
【図２１】
2015130012.tif 000023