(57)【要約】      （修正有）【課題】匿名化後のデータの性質を推測するために必要なデータ又はデータの処理量を削減する情報処理装置及びデータ処理方法を提供する。【解決手段】第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測する推測手段２００と、推測された匿名性に基づいて前記第二のデータを匿名化する匿名化手段３００とを含む。【選択図】図２
2015130024.tif 000002
【特許請求の範囲】
【請求項１】
第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測する推測手段と、
前記推測された匿名性に基づいて前記第二のデータを匿名化する匿名化手段と
を含む情報処理装置。
【請求項２】
前記推測手段が、
前記第一のデータの規模と、前記第一のデータを匿名化するために用いる匿名性と、前記第二のデータの規模とを基に、前記第二の匿名性を推測する
請求項１に記載の情報処理装置。
【請求項３】
前記推測手段が、
前記第二のデータの規模を算出する
請求項２に記載の情報処理装置。
【請求項４】
前記第一のデータの性質又は前記第二のデータの性質を基に前記第二のデータの少なくとも一部のデータを生成するダミーデータ生成手段を含み、
前記推測手段が、
前記第二のデータの規模と、前記第一のデータを匿名化するために用いる匿名性と、前記第二のデータのための所定の匿名性とを基に、前記ダミーデータ生成手段で生成するダミーデータのデータ規模を算出し、
前記ダミーデータ生成手段が
前記ダミーデータのデータ規模を基にダミーデータ生成する
請求項１ないし請求項３のいずれか１項に記載の情報処理装置。
【請求項５】
前記第二のデータを取得する取得手段を
含む請求項１ないし請求項４のいずれか１項に記載の情報処理装置。
【請求項６】
前記取得手段が、
前記第一のデータの所定の属性の範囲のデータを取得する
請求項５に記載の情報処理装置。
【請求項７】
前記匿名化手段が第二のデータを匿名化した第一の匿名化後のデータの性質を判定し、
前記取得手段に第二のデータの取得規模を大きくして第二のデータを取得するように指示し、
規模を大きくして取得した第二のデータを匿名化した第二の匿名化後データの性質を判定し、
前記第一の匿名化後のデータの性質と前記第二の匿名化後データの性質との変化が所定の閾値より大きい場合に、さらに、前記取得手段に第二のデータの取得規模を大きくして第二のデータを取得するように指示する判定手段を
含む請求項４に記載の情報処理装置。
【請求項８】
第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測し、
前記推測された匿名性に基づいて前記第二のデータを匿名化する
データ処理方法。
【請求項９】
第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測する処理と、
前記推測された匿名性に基づいて前記第二のデータを匿名化する処理と
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報の処理に関し、特に、情報を保護する情報処理装置及びデータ処理方法に関する。
【背景技術】
【０００２】
近年、情報処理装置及び情報処理装置を接続するネットワークの性能向上に伴い、多くの情報が、情報処理装置に保存されている。そして、情報処理装置に保存されている多量のデータを利用する分析又はサービスが、各種提案されている。
【０００３】
しかし、保存されている情報は、カルテ（Karte(独語)、診療録）情報又は位置情報のような個人の特徴及び行動を表す情報であるパーソナル情報を含む。そして、パーソナル情報は、一般的に、複数の情報（属性値）を含む。ただし、パーソナル情報は、個人を特定できるように公開されると、プライバシー侵害の要因となる。そこで、プライバシーを侵害しないパーソナル情報の公開方法が、望まれている。
【０００４】
匿名化技術は、パーソナル情報を含む情報を公開した場合でも、プライバシーが侵害されないように、パーソナル情報を処理する技術の一つである。つまり、匿名化技術は、第三者が個人のプライバシーを侵害しないでパーソナル情報を活用できるように、パーソナル情報を保護する技術である。
【０００５】
パーソナル情報は、個人を識別できる識別子と、個人にとって知られたくない情報（センシティブ属性）とを含む。そこで、匿名化として、例えば、公開前に、パーソナル情報から個人の識別子を削除して公開する方法が、想定される。
【０００６】
しかし、パーソナル情報は、単独では個人を識別できなくても、組合せを基に個人を識別できる情報（以下、この属性を「準識別子」と言う）を含む場合がある。
【０００７】
そこで、本発明に関連する匿名化技術は、準識別子のデータを加工（匿名化）し、パーソナル情報の集合から、個人に関連するパーソナル情報を推定（識別）できないようにデータを匿名化する（例えば、特許文献１を参照）。つまり、本発明に関連する匿名化技術は、プライバシーを保護するための所定の匿名性を満たすように、準識別子のデータを加工（匿名化）する。
【０００８】
ここで、匿名性は、個人の属性に関連する情報を推定できない程度を示す。
【０００９】
例えば、「ｋ−匿名性」及び「ｌ−多様性」は、匿名化のために適用される匿名性として、よく知られている（例えば、特許文献１を参照）。
【００１０】
ｋ−匿名性は、同じ準識別子を持つパーソナル情報が「ｋ個」以上存在することを保証する。ｋ−匿名性が保証されたパーソナル情報の集合は、同じ準識別子を持つパーソナル情報を、少なくとも「ｋ個」含む。そのため、第三者が集合の中から個人に関連するパーソナル情報を特定できる確率は、１／ｋとなる。
【００１１】
ｌ−多様性は、同じ準識別子を持つパーソナル情報のセンシティブ属性の値の種類が「ｌ通り」以上存在することを保証する。ｌ−多様性が保証されたパーソナル情報の集合は、センシティブ属性の値を少なくとも「ｌ通り」含む。そのため、第三者は、集合の中から個人のセンシティブ属性の値を、特定できない。
【００１２】
また、その他の匿名性として、「ｔ−近似性」及び「ｍ−不変性」が、知られている。
【００１３】
ｔ−近接性は、グループ間のセンシティブ属性の値の分布における距離と、全属性の値の分布における距離とが、「ｔ」以下であることを保証する。
【００１４】
ｍ−不変性は、データの逐次開示において、同じ準識別子の組合せのレコードが「ｍ個」以上あり、全てのレコードで異なるセンシティブ属性の値を持つことを保証する。
【００１５】
なお、匿名化の対象となる準識別子は、１つである必要なく、複数でも良い。例えば、ｋ−匿名性は、複数の準識別子の組合せを匿名化した匿名性でも良い。そのため、以下の説明では、特に区別して記載していない限り、準識別子は、単数及び複数を含むとする。
【先行技術文献】
【特許文献】
【００１６】
【特許文献１】特開２０１１−１７０６３２号公報
【発明の概要】
【発明が解決しようとする課題】
【００１７】
匿名化した結果のデータ（匿名化後のデータ）の性質（例えば、属性値の密度又は分布）は、元のデータの性質に依存する。つまり、互いに異なる属性を含むデータは、匿名化後のデータの性質が異なる。
【００１８】
データを利用する場合、データの性質は、データの有用性の判断において重要な要因である。
【００１９】
そのため、データを匿名化して提供するデータ提供元（例えば、サービス事業者）及びデータの利用者は、匿名化後のデータの匿名性（つまり、プライバシーの保護状態）に加え、匿名化後のデータの性質を知る必要がある。
【００２０】
しかし、特許文献１に記載の匿名化技術は、匿名化において、全てのデータを用いて処理を進める。そのため、特許文献１に記載の匿名化技術は、匿名化後のデータの性質を算出するために、大量のデータの処理が必要となる問題点があった。
【００２１】
本発明の目的は、上記問題点を解決し、匿名化後のデータの性質を算出するために必要となるデータ又はデータの処理量を削減する情報処理装置及びデータ処理方法を提供することにある。
【課題を解決するための手段】
【００２２】
本発明の一形態における情報処理装置は、第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測する推測手段と、前記推測された匿名性に基づいて前記第二のデータを匿名化する匿名化手段とを含む。
【００２３】
本発明の一形態におけるデータ処理方法は、第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測し、前記推測された匿名性に基づいて前記第二のデータを匿名化する。
【００２４】
本発明の一形態におけるプログラムは、第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測する処理と、前記推測された匿名性に基づいて前記第二のデータを匿名化する処理とをコンピュータに実行させる。
【発明の効果】
【００２５】
本発明に基づけば、匿名化後のデータの性質の推測に必要なデータ又はデータの処理量を削減できるとの効果を提供できる。
【図面の簡単な説明】
【００２６】
【図１】図１は、本発明における第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図２】図２は、第２の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図３】図３は、第２の実施形態に係る情報処理装置の別の構成の一例を示すブロック図である。
【図４】図４は、第３の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図５】図５は、第４の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図６】図６は、第５の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【発明を実施するための形態】
【００２７】
次に、本発明の実施形態について図面を参照して説明する。
【００２８】
なお、各図面は、本発明の実施形態を説明するものである。そのため、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。
【００２９】
また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。
【００３０】
また、本発明に用いる匿名性は、特に制限はない。ただし、以下の説明では、広く用いられている「ｋ−匿名性」を用いて説明する。
【００３１】
＜第１の実施形態＞
まず、本発明における第１の実施形態の情報処理装置１０について説明する。
【００３２】
図１は、本実施形態の情報処理装置１０の構成の一例を示すブロック図である。
情報処理装置１０は、匿名化対象のデータ（以下、「対象データ」と言う）を匿名化した後データ（以下、「匿名化後データ」と言う）の性質を推測するために用いられるデータ（以下、「推測用データ」と言う）を算出（生成）する。そのため、情報処理装置１０は、推測部２０と、匿名化部３０とを含む。
【００３３】
ここで、推測用データは、対象データを推測するためのデータである。そのため、これらのデータの区別の明確にする場合、「対象データ」を「第一のデータ」と、「推測用データ」を「第二のデータ」と言っても良い。
【００３４】
なお、性質とは、例えば、対象データの属性値の密度、属性毎の分布、又は、属性間の相関である。
【００３５】
推測部２０は、推測用データを生成するために必要なデータ（以下、「参照データ」と言う）を受け取る。
【００３６】
ここで、参照データは、対象データに関するデータ（例えば、対象データの規模及び対象データに必要な匿名性）と、対象データの一部のデータ（以下、「サンプルデータ」と言う）とを含むデータである。つまり、推測部２０が受け取る参照データの規模は、対象データの規模より小さい。サンプルデータは、対象データの一部のデータであるので、匿名化後のサンプルデータの性質は、匿名化後の対象データの性質に近似する。
【００３７】
そして、推測部２０は、参照用データを用いて、サンプルデータを匿名化する匿名性（以下、「サンプル用匿名性（ｋｓ）」と言う）を推測（算出）する。そして、推測部２０は、サンプルデータと、サンプル用匿名性とを匿名化部３０に送信する。
【００３８】
あるいは、参照データは、対象データの関するデータと、対象データの性質に関するデータを含むデータでも良い。この場合でも、推測部２０が受け取る参照データの規模は、対象データの規模より小さくても良い。
【００３９】
この場合、推測部２０は、参照データと個人に関連するパーソナル情報を保護するための所定の匿名性とを基に、匿名化部３０で匿名化するデータを生成する。以下、推測部２０が生成したデータを「ダミーデータ」と言う。ただし、推測部２０が生成するダミーデータの規模は、対象データの規模より小さくても良い。一方、推測部２０は、対象データの性質を満たすようにダミーデータを生成する。そのため、ダミーデータの匿名化後の性質は、対象データの匿名化後の性質に近似している。そして、推測部２０は、生成したデータと所定の匿名性とを匿名化部３００に送る。なお、推測部２０は、所定の匿名性を、予め保持しても良く、参照データを共に受け取っても良い。
【００４０】
あるいは、参照データは、対象データに関するデータと、対象データの性質に関するデータと、サンプルデータとを含んでも良い。
【００４１】
この場合、推測部２０は、上記と同様にダミーデータを生成し、サンプルデータと生成したダミーデータとの両方を、匿名化部３０に送っても良い。そのため、以下、ダミーデータを含めて「サンプルデータ」と言う場合もある。なお、サンプルデータにダミーデータを含む場合、推測部２０は、サンプル用匿名性、又は、所定の匿名性を匿名化部３０に送れば良い。
【００４２】
匿名化部３０は、推測部２０から受け取ったサンプル用匿名性又は所定の匿名性を基に、サンプルデータ又はダミーデータを匿名化する。匿名化部３０が匿名化したデータは、「推測用データ」である。
【００４３】
このように、情報処理装置１０は、対象データを匿名化するのではなく、対象データより規模が小さいサンプルデータ又はダミーデータを匿名化する。
【００４４】
次に本実施形態の効果について説明する。
【００４５】
本発明の第１の実施形態は、匿名化後のデータの性質（例えば、分布）の推定に必要となるデータ又はデータの処理量を削減できるという効果を奏する。
【００４６】
その理由は、次のとおりである。
【００４７】
推測部２０は、対象データより規模が小さいサンプルデータを匿名化するための匿名性（サンプル用匿名性）を推測（算出）する。あるいは、推測部２０は、所定の匿名性を満たす対象データより規模が小さいダミーデータを生成する。
【００４８】
そして、推測部２０は、サンプルデータとサンプル用匿名性、又は、ダミーデータと所定の匿名性を、匿名化部３０に送る。
【００４９】
匿名化部３０は、サンプル匿名性を満たすように、サンプルデータを匿名化する。あるいは、匿名化部３０は、所定の匿名性を満たすように、ダミーデータを匿名化する。
【００５０】
サンプルデータ及びダミーデータの規模は、対象データの規模より小さい。つまり、情報処理装置１０は、処理対象のデータ規模を削減する。そして、データの規模が小さいため、匿名化部３０は、匿名化の処理量を削減できる。
【００５１】
一方、サンプルデータ及びダミーデータの性質は、対象データの性質に近似する。そのため、匿名化後のサンプルデータ及びダミーデータの性質（推測用データの性質）は、匿名化後の対象データの性質を推測可能である。
【００５２】
このように、情報処理装置１０は、匿名化後対象データの性質を推測可能なデータ（推測用データ）を、データ又はデータの処理量を削減して算出できるためである。
【００５３】
なお、本実施形態は、本発明の最小構成でもある。情報処理装置１０のそれぞれの構成部は、ハードウェア回路で構成されても良い。また、情報処理装置１０は、メモリに記憶されるプログラムを実行するプロセッサを含むコンピュータでも良い。
【００５４】
次に、より具体的な実施形態について説明する。
【００５５】
＜第２の実施形態＞
図２は、本発明の第２の実施形態に係る情報処理装置１１の構成の一例を示すブロック図である。
【００５６】
情報処理装置１１は、取得部１００と、推測部２００と、匿名化部３００と、処理部４００と、送信部５００とを含む。
【００５７】
取得部１００は、図示しない外部の装置から情報処理装置１１の処理に必要なデータ（参照用データ）を取得し、推測部２００に送る。
【００５８】
ここで、本実施形態の参照用データは、次のデータを含む。
【００５９】
（１）対象データ規模（Ｔ）：匿名化の対象データの規模（例えば、対象データの数）に関する情報
（２）対象データの匿名性（ｋ）：対象データが満たす匿名性
（３）サンプルデータ：対象データの一部のデータ
取得部１００は、参照用データに含まれるデータを同時に受け取っても良く、個別に分けて受け取っても良い。
【００６０】
なお、情報処理装置１１は、参照用データの作成又は取得先に特に制限はない。取得部１００は、対象データの性質（例えば、属性値の密度、属性毎の分布、又は、属性間の相関）を推定可能な参照用データを取得できれば良い。ただし、これは、サンプルデータの性質が、対象データの性質と完全一致することを要求するわけではない。サンプルデータの性質は、対象データの性質を推定可能な範囲で近似する性質でも良い。
【００６１】
例えば、サンプルデータは、対象データに対して、ランダムに分布したデータでも良い。つまり、サンプルデータは、対象データのランダム抽出データでも良い。あるいは、サンプルデータは、対象データの性質の解析結果を基に生成されたデータでも良い。
【００６２】
なお、対象データを保持する装置が、複数の装置に分かれている場合、取得部１００は、各装置からサンプルデータを取得すれば良い。例えば、取得部１００は、各装置が保持する対象データの規模に比例した規模のサンプルデータを、各装置から取得すれば良い。
【００６３】
取得部１００は、参照用データを推測部２００に送る。
【００６４】
推測部２００は、参照用データに含まれるサンプルデータを基にサンプルデータの規模（以下、「規模（Ｓ）」と言う）を推測（算出）する。そして、推測部２００は、サンプルデータの規模（Ｓ）と、対象データ規模（Ｔ）と、匿名性（ｋ）と基に、サンプルデータを匿名化する匿名性（以下、「サンプル用匿名性（ｋｓ）」と言う）を推測する。
【００６５】
ここで、推測部２００は、対象データの匿名化後のデータの性質に対して、匿名化後のサンプルデータの性質が近似するようにサンプルデータの匿名性（サンプル用匿名性（ｋｓ））を推測する。
【００６６】
推測部２００が用いるサンプル用匿名性（ｋｓ）の推測する方法は、匿名化後のサンプルデータの性質が、匿名化後の対象データの性質に近似すれば、特に制限はない。
【００６７】
例えば、推測部２００は、次に示す数式１を用いて、ｋ−匿名化のサンプル用匿名性を推測（算出）しても良い。
【００６８】
［数式１］
2015130024.tif 000003
【００６９】
ここで、数式１の各変数は、次のとおりである。
【００７０】
ｋｓ：サンプル用匿名性のｋ−匿名化のｋの値
ｋ  ：対象データの匿名性のｋ−匿名化のｋの値
Ｓ  ：サンプルデータの規模（例えば、サンプルデータのデータ数）
Ｔ  ：対象データ規模（例えば、対象データのデータ数）
つまり、推測部２００は、対象データの匿名性（ｋ）と、サンプルデータ規模（Ｓ）と、データ規模（Ｔ）とを基に、サンプル用匿名性（ｋｓ）を推測（算出）する。
【００７１】
あるいは、推測部２００は、次に示す数式２を用いて、ｋ−匿名性のサンプル用匿名性を推測（算出）しても良い。
【００７２】
［数式２］
2015130024.tif 000004
【００７３】
ここで、ｋｓ、ｋ、Ｓ及びＴは、数式１と同じである。Ｗ、ａ及びｂは、予め、推測部２００が保持している値である。Ｗは、所定の重さである。また、ａ及びｂは、所定の整数である。「ａ＝ｂ＝１」の場合、数式２のｋｓは、数式１のｋｓに重さ（Ｗ）を掛けた値となる。また、例えば、「ａ＝１」と「ｂ＝２」の場合、右辺は、サンプルデータ規模（Ｓ）とデータ規模（Ｔ）の比の２乗根に比例する値となる。あるいは、「ａ＝２」と「ｂ＝１」の場合、右辺は、サンプルデータ数（Ｓ）とデータ数（Ｔ）の比の２乗に比例する値となる。なお、推測部２００は、ｋｓに、所定の定数を加算又は減算しても良い。
【００７４】
このように、取得部１００及び推測部２００は、図１の推測部２０に相当する構成の一例である。
【００７５】
匿名化部３００は、推測部２００が算出したサンプル用匿名性を基に、処理部４００を用いて、サンプルデータを匿名化する。この匿名化されたサンプルデータが、推測用データである。本実施形態の説明では、匿名化部３００は、サンプルデータを推測部２００から受け取るとする。ただし、匿名化部３００は、サンプルデータを、取得部１００から受け取っても良い。この動作は、図２において、取得部１００から匿名化部３００への破線の矢印で示す。
【００７６】
処理部４００は、サンプルデータを匿名化する。処理部４００の匿名化処理は、一般的な匿名化処理を用いればよい。例えば、処理部４００は、データの抽象化、データの一部の削除、又は、属性の交換を用いて、サンプル用匿名性を満たすように、サンプルデータを匿名化する。
【００７７】
このように、匿名化部３００は、推測部２００が算出したサンプル用匿名性を基に、推測用データを生成する。サンプルデータの規模（Ｓ）は、対象データの規模（Ｔ）より小さい。そのため、匿名化部３００（及び処理部４００）の処理量は、対象データを匿名化する場合に比べ、少ない。
【００７８】
さらに、サンプルデータの性質（例えば、分布）は、対象データの性質に近似する。そのため、利用者は、推測用データ（匿名化後のサンプルデータ）を基に、対象データの匿名化後の性質を推測可能である。
【００７９】
また、サンプルデータは、対象データの一部のデータある。例えば、サンプルデータは、対象データからランダムに選択された一部のデータである。そのため、サンプルデータは、対象データを利用する場合に比べ、個人を特定される危険が少ない。
【００８０】
サンプルデータが、対象データの性質を基に生成されたデータの場合、個人の特定は、さらに困難である。
【００８１】
図２において、匿名化部３００と処理部４００とは、別構成であるとして示した。情報処理装置１１の構成は、これに限る必要はない。例えば、匿名化部３００は、処理部４００を含んでも良い。
【００８２】
サンプルデータを匿名化後、匿名化部３００は、推測用データを、送信部５００に送る。
【００８３】
送信部５００は、推測用データを所定の送信先に送信する。例えば、送信部５００は、情報処理装置１１に処理を依頼した装置に、推測用データを送信しても良い。
【００８４】
このように、匿名化部３００、処理部４００及び送信部５００は、図１の匿名化部３０に相当する構成の一例である。
【００８５】
なお、推測部２００が算出したサンプル用匿名性が、適切な値でない場合、情報処理装置１１は、匿名化を中止し、警告（アラーム）を通報しても良い。ここで、適切な値でない場合とは、例えば、ｋ−匿名化の「ｋｓ」の値が、１より小さな値になった場合である。
【００８６】
また、情報処理装置１１は、図示しない記憶部を含み、記憶部が記憶したデータを用いて動作しても良い。例えば、取得部１００は、図示しない記憶部から参照用データを取得しても良い。あるいは、送信部５００は、推測用データを、図示しない記憶部に送信しても良い。
【００８７】
さらに、既に説明したとおり、匿名化部３００は、処理部４００の機能を含んでも良い。
【００８８】
次に、本実施形態の情報処理装置１１の効果について説明する。
【００８９】
本実施形態の情報処理装置１１は、第１の実施形態と同様に、匿名化後のデータの性質の推測に必要なデータ又はデータの処理量を削減できるとの効果を得ることができる。
【００９０】
その理由は、次のとおりである。
【００９１】
推測部２００は、サンプルデータを基にサンプルデータの規模を推測（算出）する。そして、推測部２００は、サンプルデータの規模と、対象データの規模と、匿名性とを基に、サンプル匿名性を推測（算出）する。
【００９２】
匿名化部３００は、サンプル匿名性を基に、サンプルデータを匿名化し、推測用データを生成する。
【００９３】
サンプルデータは、対象データの一部のデータである。つまり、匿名化部３００は、対象データの一部のデータを匿名化する。
【００９４】
ただし、推測部２００は、匿名化後のサンプルデータの性質が、匿名化後の対象データの性質を推測できるように、サンプル匿名性を算出する。
【００９５】
そのため、匿名化部３００は、匿名化後の対象データの性質を推測できるように、対象データの一部であるサンプルデータを匿名化できるためである。
【００９６】
さらに、情報処理装置１１は、個人の特定される危険性を低くできる効果を得ることができる。
【００９７】
その理由は、次のとおりである。
【００９８】
情報処理装置１１が処理するサンプルデータは、対象データの一部のデータである。さらに、サンプルデータは、所定の手法（例えばランダム）で選択されたデータである。そのため、サンプルデータは、対象データに比べ、個人を特定する情報が少ないためである。
【００９９】
（変形例１）
以上のように説明した情報処理装置１１は、次のように構成される。
【０１００】
例えば、情報処理装置１１の各構成部は、ハードウェア回路で構成されても良い。
【０１０１】
また、情報処理装置１１の各構成部をネットワーク又はバスを介して接続した複数の情報処理装置を用いて構成されても良い。
【０１０２】
また、情報処理装置１１は、複数の構成部を１つのハードウェアで構成しても良い。
【０１０３】
また、情報処理装置１１は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）とを含むコンピュータ装置として実現しても良い。情報処理装置１１は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Input / Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現しても良い。
【０１０４】
図３は、変形例１に係る情報処理装置６０の構成の一例を示すブロック図である。
【０１０５】
情報処理装置６０は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータを構成している。
【０１０６】
ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御し、図２に示す、取得部１００と、推測部２００と、匿名化部３００と、処理部４００と、送信部５００としての各機能を実現する。
【０１０７】
ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０又は内部記憶装置６４０を、プログラムの一時記憶として使用しても良い。
【０１０８】
また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでも良い。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取り、ＲＡＭ６３０に保存して、保存したプログラムを基に動作しても良い。
【０１０９】
ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programable-ROM）又はフラッシュＲＯＭである。
【０１１０】
ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。
【０１１１】
内部記憶装置６４０は、情報処理装置６０が長期的に保存するデータ及びプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作しても良い。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。
【０１１２】
ここで、ＲＯＭ６２０と内部記憶装置６４０は、不揮発性の記憶媒体である。一方、ＲＡＭ６３０は、揮発性の記憶媒体である。そして、ＣＰＵ６１０は、ＲＯＭ６２０、内部記憶装置６４０、又は、ＲＡＭ６３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ６１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。
【０１１３】
ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Universal Serial Bus）カードである。
【０１１４】
入力機器６６０は、情報処理装置６０の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。
【０１１５】
表示機器６７０は、情報処理装置６０の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。
【０１１６】
ＮＩＣ６８０は、ネットワークを介した図示しない外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮ（Local Area Network）カードである。
【０１１７】
このように構成された情報処理装置６０は、情報処理装置１１と同様の効果を得ることができる。
【０１１８】
その理由は、情報処理装置６０のＣＰＵ６１０が、プログラムに基づいて情報処理装置１１と同様の機能を実現できるためである。
【０１１９】
＜第３の実施形態＞
本発明の第３の実施形態の情報処理装置１２について図面を参照して説明する。
【０１２０】
図４は、本実施形態に係る情報処理装置１２の構成の一例を示すブロック図である。
【０１２１】
図４に示す本実施形態の情報処理装置１２は、第２の情報処理装置１１の推測部２００に替えて推測部２０１を含み、さらに、ダミーデータ生成部２１０を含む。それ以外の構成は、第２の実施形態の情報処理装置１１と同様である。そのため、同様の構成の詳細な説明を省略する。
【０１２２】
また、本実施形態の情報処理装置１２は、取得部１００が取得する参照用データの一部と、推測部２０１及びダミーデータ生成部２１０の動作を除き、第２の実施形態の情報処理装置１１と同様に動作する。そのため、同様の動作の説明を省略し、本実施形態の特有の動作について説明する。
【０１２３】
なお、情報処理装置１２は、図３に示すコンピュータを用いて構成しても良い。
【０１２４】
本実施形態の取得部１００は、参照用データとして、サンプルデータの替わりに、対象データの性質（例えば、分布）に関する情報を取得する。取得部１００は、対象データ規模（Ｔ）と、匿名性（ｋ）とは、第２の実施形態と同様に取得する。
【０１２５】
そして、取得部１００は、対象データの性質と、データ規模（Ｔ）と、匿名性（ｋ）とを含む参照用データを推測部２０１に送る。
【０１２６】
推測部２０１は、ダミーデータ生成部２１０を用いて、対象データの性質を満たすダミーデータを生成する。ただし、推測部２０１は、匿名化後の対象データの性質を推測できる規模のダミーデータを生成する。匿名化後の対象データの性質を推測するためのダミーデータの規模は、対象データの規模より小さくても良い。そのため、推測部２０１は、対象データの規模より小さな規模のダミーデータを生成する。
【０１２７】
そのため、推測部２０１は、対象データの性質を、ダミーデータ生成部２１０に送る。さらに、推測部２０１は、データ規模とダミーデータの匿名性（以下、「ダミーデータ用匿名性）と言う）とを基に、推測に必要なダミーデータのデータ数を算出し、ダミーデータ生成部２１０に通知する。
【０１２８】
なお、本実施形態の推測部２０１は、予め、ダミーデータ用匿名性を保持しているものとする。
【０１２９】
そして、例えば、推測部２０１は、次に示す数式３を用いて、ダミーデータの規模（Ｄ）を算出する。
【０１３０】
［数式３］
2015130024.tif 000005
【０１３１】
数式３において各変数は、次のとおりである。
【０１３２】
Ｄ  ：ダミーデータ規模（例えば、データ数）
Ｔ  ：対象データ規模（例えば、データ数）
ｋｄ：ダミーデータ用匿名性のｋ−匿名化のｋの値
ｋ  ：対象データの匿名性のｋ−匿名化のｋの値
例えば、匿名性が１０−匿名化（ｋ＝１０）で、ダミーデータ用匿名性が、２−匿名化（ｋｄ＝２）で、対象データ規模が、１万（Ｔ＝１０，０００）の場合、ダミーデータの規模（Ｄ）は、「２０００」となる。
【０１３３】
なお、推測部２０１は、予め、ダミーデータ用匿名性の替わりに、ダミーデータの規模（Ｄ）を保持しても良い。この場合、推測部２０１は、ダミーデータの規模（Ｄ）と、対象データ規模（Ｔ）と、対象データの匿名性（ｋ）を基に、例えば、数式３を用いて、ダミーデータ用匿名性（ｋｄ）を算出すればよい。
【０１３４】
ダミーデータ生成部２１０は、推測部２０１から通知を受けた対象データの性質を満たすように、通知を受けたダミーデータ規模（Ｄ）のダミーデータを生成し、推測部２０１に送る。
【０１３５】
なお、ダミーデータ生成部２１０は、ダミーデータの生成に特に制限はない。例えば、対象データの性質として、対象データの分布における各領域のデータ数の比率を受けた場合、ダミーデータ生成部２１０は、各領域のデータの、受け取った比率を満たすように発生すれば良い。あるいは、属性間の相関を受け取った場合、ダミーデータ生成部２１０は、相関を満足するダミーデータを生成すれば良い。
【０１３６】
ここで、既に説明したように、推測部２０１は、「ｋｄ＜ｋ」を満たすようにする。その結果、ダミーデータ規模は、対象データの規模より小さくなる。つまり、生成されるダミーデータ規模は、対象データの規模より小さい。
【０１３７】
そして、推測部２０１は、ダミーデータと、ダミーデータ用匿名性とを、匿名化部３００に送る。
【０１３８】
匿名化部３００は、第２の実施形態において、サンプル用匿名性を満たすようにサンプルデータと匿名化したのと同様に、ダミーデータ用匿名性を満たすようにダミーデータを匿名化する。
【０１３９】
つまり、情報処理装置１２は、推測用データとして必要な規模を有するダミーデータを生成する。そして、情報処理装置１２は、生成したダミーデータを匿名化し、推測用データを生成する。
【０１４０】
なお、推測部２０１は、対象データの性質の替わりに、サンプルデータの性質を用いても良い。その場合、推測部２０１は、サンプルデータを受け取り、サンプルデータを基にサンプルデータの性質を抽出する。そして、推測部２０１は、サンプルデータの性質を基にダミーデータ生成部２１０にダミーデータの生成を依頼すれば良い。
【０１４１】
あるいは、推測部２０１は、サンプルデータを受け取り、推測用データに必要なデータ規模とサンプルデータ規模との差に相当する規模のダミーデータを生成しても良い。この場合、匿名化部３００は、サンプルデータとダミーデータとを匿名化する。
【０１４２】
次に、本実施形態の情報処理装置１２の効果について説明する。
【０１４３】
本実施形態の情報処理装置１２は、第２の実施形態の効果に加え、受け取るデータの量をさらに削減する効果を得ることができる。
【０１４４】
その理由は、情報処理装置１２は、サンプルデータの替わりに、対象データの性質に関するデータを取得するためである。一般に、性質に関するデータは、サンプルデータに比べデータ量が少ないためである。
【０１４５】
さらに、情報処理装置１２は、サンプルデータ規模が、匿名化後の対象データの性質の推測に必要な規模ほどない場合でも、推測用データを算出できるとの効果を得ることができる。
【０１４６】
その理由は、次のとおりである。
【０１４７】
推測部２０１は、ダミーデータ用匿名性を満足する、つまり、推測用データの規模を算出する。そして、ダミーデータ生成部２１０は、その規模を満たすのに必要な規模のダミーデータを生成する。そして、匿名化部３００は、推測用データとして必要な規模のダミーデータを匿名化するためである。
【０１４８】
＜第４の実施形態＞
本発明の第４の実施形態の情報処理装置１３について図面を参照して説明する。
【０１４９】
図５は、本実施形態に係る情報処理装置１３の構成の一例を示すブロック図である。
【０１５０】
図５に示す本実施形態の情報処理装置１３は、図４の情報処理装置１２に対し、取得部１００及び推測部２０１に替えて取得部１０１及び推測部２０２を含む。それ以外の構成は、第３の実施形態の情報処理装置１２と同様である。そのため、同様の構成の詳細な説明を省略する。
【０１５１】
また、本実施形態の情報処理装置１３は、取得部１０１と推測部２０２との動作を除き、第３の実施形態の情報処理装置１２と同様に動作する。そのため、同様の動作の説明を省略し、本実施形態の特有の動作について説明する。
【０１５２】
なお、情報処理装置１３は、図３に示すコンピュータを用いて構成しても良い。
【０１５３】
取得部１０１は、対象データにおいて、対象データの特徴的な所定の属性の範囲のデータを取得する。例えば、取得部１０１は、対象データにおいて、匿名化後に抽象度が高い領域と、低い領域とのデータを取得する。より具体的には、取得部１０１は、対象データにおいて、属性値が最も密集する領域（ｒｄ）及び最もまばらな領域（ｒｓ）のサンプルデータを取得する。そして、取得部１０１は、取得した両領域のサンプルデータを推測部２０２に送る。ここで、情報処理装置１３は、密集とまばらの判断として、例えば、所定に範囲内のデータの数を基に判断しても良い。
【０１５４】
例えば、対象データの属性の年齢の値が、次のようになっていると仮定する。
【０１５５】
１歳から１０歳が１０人
１１歳から２０歳が１５人
２１歳から３０歳が２０人
３１歳から４０歳が８人
４１歳から５０歳が６人
５１歳から６０歳が３人
この場合、最も密集する領域（ｒｄ）は、「２１歳から３０歳」の領域である。また、最もまばらな領域（ｒｓ）は、「５１歳から６０歳」の領域である。
【０１５６】
なお、取得部１０１は、第３の実施形態と同様に、属性値が最も密集する領域（ｒｄ）と、最もまばらな領域（ｒｓ）との性質を取得し、推測部２０２に送っても良い。
【０１５７】
推測部２０２は、各領域（ｒｄとｒｓ）のデータの性質を抽出し、各領域のデータの性質に対応するダミーデータの生成を、ダミーデータ生成部２１０に指示する。なお、推測部２０２は、性質を受け取った場合は、受け取った性質をダミーデータ生成部２１０に送る。
【０１５８】
ダミーデータ生成部２１０は、各領域（ｒｄ、ｒｓ）の性質に対応する（性質を満足する）ダミーデータ（ＤｄとＤｓ）を生成し、推測部２０２に戻す。
【０１５９】
推測部２０２は、各領域（ｒｄ、ｒｓ）に対応するダミーデータ（ＤｄとＤｓ）を匿名化部３００の送り、匿名化する。
【０１６０】
なお、情報処理装置１３は、２つの領域に限る必要はなく、２を超えた領域に対応するダミーデータを生成し、匿名化しても良い。
【０１６１】
本実施形態の情報処理装置１３の効果について説明する。
【０１６２】
本実施形態の情報処理装置１３は、第３の実施形態の効果に加え、匿名化後の対象データの性質の推測に必要なデータ量をさらに削減するとの効果を得ることができる。
【０１６３】
その理由は、次のとおりである。
【０１６４】
取得部１０１は、所定の特性の領域（例えば、抽象度の高い領域と低い領域と）のデータを取得する。
【０１６５】
推測部２０２は、ダミーデータ生成部２１０を用いて、所定の特性の領域に対応するダミーデータを生成する。
【０１６６】
匿名化部３００は、ダミーデータを匿名化する。
【０１６７】
各領域は、対象データにおいて特徴的な領域である。したがって、情報処理装置１３は、特徴的な領域の匿名化データ生成する。そのため、情報処理装置１３は、少ないダミーデータ量でも、匿名化後の対象データの性質を推測可能な推測用データを生成できるためである。
【０１６８】
＜第５の実施形態＞
本発明の第５の実施形態の情報処理装置１４について図面を参照して説明する。
【０１６９】
図６は、本実施形態に係る情報処理装置１４の構成の一例を示すブロック図である。
【０１７０】
図６に示す本実施形態の情報処理装置１４は、図１に示す情報処理装置１１において、取得部１００に替えて取得部１０２を含み、さらに、判定部５５０を含む。それ以外の構成は、第２の実施形態の情報処理装置１１と同様である。そのため、同様の構成の詳細な説明を省略する。
【０１７１】
また、本実施形態の情報処理装置１４において、取得部１０２と判定部５５０の動作を除き、第２の実施形態の情報処理装置１１と同様に動作する。そのため、同様の動作の説明を省略し、本実施形態の特有の動作について説明する。
【０１７２】
なお、情報処理装置１４は、図３に示すコンピュータを用いて構成しても良い。
【０１７３】
取得部１０２は、第２の実施形態の取得部１００と同様に、所定の規模（例えば、データ数）のサンプルデータを取得する。ただし、取得部１０２は、後ほど説明する判定部５５０の指示を基に、サンプルデータの規模を大きくして再取得する。なお、取得部１０２が、データの性質を取得する場合、取得部１０２は、判定部５５０の指示を基に、対象データの性質を算出する範囲を拡大する。
【０１７４】
判定部５５０は、匿名化部３００が匿名化した推測用データの性質を判定する。そして、判定部５５０は、推測用データの性質が、所定の要件（例えば、後ほど説明する性質の変化）を満たさない場合、取得部１０２に新しいサンプルデータの取得を指示し、情報処理装置１４におけるサンプルデータの匿名化を実施させる。情報処理装置１４は、所定の要件を満足するまで、上記処理を繰り返す。
【０１７５】
判定部５５０の判定についてさらに詳細に説明する。
【０１７６】
判定部５５０は、匿名化部３００が匿名化した推測用データを分析し、推測用データの性質（例えば、データの粒度又は分布）を抽出する。
【０１７７】
次に、判定部５５０は、取得部１０２に、サンプルデータの規模（例えば、データ数）を所定量増加させて取得するように指示する。匿名化部３００は、規模を増加したサンプルデータを匿名化し、推測用データを生成し、判定部５５０に送る。判定部５５０は、サンプルデータの規模を変更した推測用データの性質を抽出する。そして、判定部５５０は、サンプルデータの規模の変更前の推測用データの性質と、変更後の推測用データの性質との差を判定する。つまり、判定部５５０は、推測用データの性質の変化を判定する。
【０１７８】
もし、差がない又は差が所定の閾値より小さい場合、判定部５５０は、サンプルデータの規模（データ量）が、匿名化後の対象データの性質を推測する規模として十分な大きさだと判断できる。
【０１７９】
そこで、差がない又は差が所定の閾値より小さい場合、判定部５５０は、匿名化部３００が匿名化したデータを送信部５００に送り、処理を終了する。
【０１８０】
一方、差が所定の閾値より大きい場合、判定部５５０は、取得部１０２にサンプルデータの規模の増加を指示する。
【０１８１】
判定部５５０は、１つ前の推測用データの性質と今回の推測用データの性質との差が所定の閾値より小さくなるまで、上記の処理を繰り返す。
【０１８２】
なお、判定部５５０は、判定に用いたデータの性質、算出した性質の差、又は、算出したサンプルデータの規模を出力しても良い。
【０１８３】
あるいは、判定部５５０は、推測用データの性質と、性質の算出に用いたサンプルデータの規模とを基に、取得部１０２に指示するサンプルデータの規模を算出しても良い。例えば、判定部５５０は、推測用データの性質とサンプルデータの規模とを基に、所定の手法（例えば、回帰分析）を用いて、推測用データの性質が安定するサンプルデータの規模を算出し、取得部１０２に指示しても良い。
【０１８４】
あるいは、判定部５５０は、取得部１０２から、対象データの規模、又は、対象データの匿名性を受け取り、判定に用いても良い。
【０１８５】
なお、情報処理装置１４は、情報処理装置１２又は情報処理装置１３と同様に、ダミーデータを用いて動作しても良い。
【０１８６】
本実施形態の情報処理装置１４の効果について説明する。
【０１８７】
本実施形態の情報処理装置１４は、第２の実施形態の効果に加え、匿名化後の対象データの性質の推測をより正確にできる推測用データ算出できるとの効果を得ることができる。
【０１８８】
その理由は、次のとおりである。
【０１８９】
判定部５５０が、サンプルデータの規模の変化に伴う、匿名化部３００が匿名化した推測用データの性質の変化を判定する。そして、判定部５５０が、推測用データの性質の変化が所定の閾値より小さくなるまで、つまり、推測用データの性質が適切な状態に落ち着く規模までサンプルデータの規模を増加させるためである。
【０１９０】
さらに、情報処理装置１４は、サンプル用匿名性の値（例えば、ｋ−匿名性のｋの値）が小さい場合でも、匿名化後の対象データの性質の推測に有効なサンプルデータを選択できる効果を得ることができる。
【０１９１】
その理由は、次のとおりである。
【０１９２】
判定部５５０が、推測用データの性質が適切な状態となるように、サンプルデータの規模を大きくするためである。
【０１９３】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成及び詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０１９４】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０１９５】
（付記１）
第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測する推測手段と、
前記推測された匿名性に基づいて前記第二のデータを匿名化する匿名化手段と
を含む情報処理装置。
【０１９６】
（付記２）
前記推測手段が、
前記第一のデータの規模と、前記第一のデータを匿名化するために用いる匿名性と、前記第二のデータの規模とを基に、前記第二の匿名性を推測する
付記１に記載の情報処理装置。
【０１９７】
（付記３）
前記推測手段が、
前記第二のデータの規模を算出する
付記２に記載の情報処理装置。
【０１９８】
（付記４）
前記第一のデータの性質又は前記第二のデータの性質を基に前記第二のデータの少なくとも一部のデータを生成するダミーデータ生成手段を含み、
前記推測手段が、
前記第二のデータの規模と、前記第一のデータを匿名化するために用いる匿名性と、前記第二のデータのための所定の匿名性とを基に、前記ダミーデータ生成手段で生成するダミーデータのデータ規模を算出し、
前記ダミーデータ生成手段が
前記ダミーデータのデータ規模を基にダミーデータ生成する
付記１ないし付記３のいずれか１項に記載の情報処理装置。
【０１９９】
（付記５）
前記第二のデータを取得する取得手段を
含む付記１ないし付記４のいずれか１項に記載の情報処理装置。
【０２００】
（付記６）
前記取得手段が、
前記第一のデータの所定の属性の範囲のデータを取得する
付記５に記載の情報処理装置。
【０２０１】
（付記７）
前記匿名化手段が第二のデータを匿名化した第一の匿名化後のデータの性質を判定し、
前記取得手段に第二のデータの取得規模を大きくして第二のデータを取得するように指示し、
規模を大きくして取得した第二のデータを匿名化した第二の匿名化後データの性質を判定し、
前記第一の匿名化後のデータの性質と前記第二の匿名化後データの性質との変化が所定の閾値より大きい場合に、さらに、前記取得手段に第二のデータの取得規模を大きくして第二のデータを取得するように指示する判定手段を
含む付記４に記載の情報処理装置。
【０２０２】
（付記８）
第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測し、
前記推測された匿名性に基づいて前記第二のデータを匿名化する
データ処理方法。
【０２０３】
（付記９）
第一のデータの匿名化後の性質を推測するための第二のデータの匿名性を推測する処理と、
前記推測された匿名性に基づいて前記第二のデータを匿名化する処理と
をコンピュータに実行させるプログラム。
【符号の説明】
【０２０４】
１０    情報処理装置
１１    情報処理装置
１２    情報処理装置
１３    情報処理装置
１４    情報処理装置
２０    推測部
３０    匿名化部
６０    情報処理装置
１００    取得部
１０１    取得部
１０２    取得部
２００    推測部
２０１    推測部
２０２    推測部
２１０    ダミーデータ生成部
３００    匿名化部
４００    処理部
５００    送信部
５５０    判定部
６１０    ＣＰＵ
６２０    ＲＯＭ
６３０    ＲＡＭ
６４０    内部記憶装置
６５０    ＩＯＣ
６６０    入力機器
６７０    表示機器
６８０    ＮＩＣ
７００    記憶媒体
【図１】
2015130024.tif 000006
【図２】
2015130024.tif 000007
【図３】
2015130024.tif 000008
【図４】
2015130024.tif 000009
【図５】
2015130024.tif 000010
【図６】
2015130024.tif 000011