(57)【要約】【課題】匿名化を行う対象の期間内のデータを抽象化後の価値に基づいて匿名化する技術を提供する。【解決手段】匿名化を行う対象の期間を取得し、個人と対応付けられた複数の項目を含む対象データのうち、前記期間に該当する対象データを取得し、前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成し、前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求め、前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定し、前記検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択し、前記価値に基づいて選択された抽象化候補データを匿名情報として出力する。【選択図】図３
2015069532.tif 000002
【特許請求の範囲】
【請求項１】
匿名化を行う対象の期間を取得する期間取得部と、
個人と対応付けられた複数の項目を含む対象データのうち、前記期間に該当する対象データを取得するデータ取得部と、
前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成する抽象化部と、
前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求める価値判定部と、
前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
前記検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択する選択部と、
前記価値に基づいて選択された抽象化候補データを匿名情報として出力する出力部と、を備える匿名化システム。
【請求項２】
対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した匿名化辞書を複数取得する辞書取得部と、
前記複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までをツリー状に対応付けて当該ツリー状の対応関係を一つの次元とし、前記複数の匿名化辞書に含まれる複数の前記最上位の語毎に前記次元を求め、前記最上位の語毎に求めた前記複数の次元を統合匿名化辞書とする統合部と、
前記次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する優先度決定部と、
前記複数の次元のうち、前記統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する次元選択部と、を備え、
前記抽象化部が、前記統合匿名化辞書を参照し、前記対象データ中の項目の値である語を抽象化した語に替えて匿名化候補データを生成することを特徴とする請求項１に記載の匿名化システム。
【請求項３】
前記出力部は、前記匿名情報が所定条件を満たした場合に配信を行うことを特徴とする請求項１に記載の匿名化システム。
【請求項４】
匿名化を行う対象の期間を取得するステップと、
個人と対応付けられた複数の項目を含む対象データのうち、前記期間に該当する対象データを取得するステップと、
前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成するステップと、
前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求めるステップと、
前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
前記検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択するステップと、
前記価値に基づいて選択された抽象化候補データを匿名情報として出力するステップと、
をコンピュータが実行する匿名化方法。
【請求項５】
匿名化を行う対象の期間を取得するステップと、
個人と対応付けられた複数の項目を含む対象データのうち、前記期間に該当する対象データを取得するステップと、
前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成するステップと、
前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求めるステップと、
前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
前記検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択するステップと、
前記価値に基づいて選択された抽象化候補データを匿名情報として出力するステップと、
をコンピュータに実行させるための匿名化プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報を匿名化又は多様化して利用する技術に関する。
【背景技術】
【０００２】
情報処理技術の発展に伴い、日常の多くの場面で情報が収集され、この収集された情報を用いた処理が行われている。例えば、消費者が店舗の会員となって商品を購入する場合、会員登録時に消費者の氏名、年齢、性別、住所、メールアドレス等を登録することが多い。そして、消費者が商品を購入すると、店舗側のシステムが、この消費者と購入した商品の情報を対応付けて記録する。このように購入した商品の情報を蓄積して分析すると、当該消費者の嗜好が推定でき、この消費者が好む新商品が発売されたような場合にダイレクトメールを発送するといったサービスを行うことができる。更に、多くの消費者の情報について分析することで、２０代女性の好む商品や関東エリアで好まれる商品といった情報を導くことができ、マーケティング等に利用される。
【０００３】
これらの情報は、当該店舗だけでなく、商品を製造するメーカや、他の事業者にとっても利用価値が高く、例えば広告やクーポン等のレコメンドに用いたいという要求があった。
【０００４】
しかし、店舗が有する消費者の個人情報を各消費者の許諾を得ずに、他者へ提供することはできない。このため、上記消費者に関する情報を他者へ提供する場合には、個人を特定できないように、匿名化する必要がある。
【０００５】
例えば、年齢が記載されている会員リストに２５歳の人が一人だけであると、２５歳の知人がその会員であることを知った時点で、その人を特定できることになる。即ち、２５歳の会員という属性を持つ人が一人だけであると、他の情報と照らし合わせることで、個人を特定できる可能性が高い。
【０００６】
そこで、会員リストの年齢の記載を１０歳区切りに抽象化し、２０代が３人のように同じ属性を持つ人が複数人となるようにすれば、３人のうちの誰であるかを特定できなくなる。このように同じ属性を持つ人がｋ人以上いる状態を、「k-匿名性」を満たすと称し、そのようにデータを加工することを「k-匿名化」と称する。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００３−１９６３９１号公報
【特許文献２】特開２００３−２３３５５１号公報
【特許文献３】特開２００５−１００４０８号公報
【特許文献４】特開２００４−０８６３８３号公報
【特許文献５】特開２００５−３４６２４８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ショッピングモールや展示会等、複数の店舗や事業者が出店・出展している状況において、来場者の情報を各店舗や事業者でマーケティング等に利用したいという要求があり、各店舗や事業者が収集した個人情報をk-匿名化することで他の店舗や事業者に提供することが検討されている。
【０００９】
しかし、k-匿名化の処理は、年令や性別、職業等のデータのうち、どのデータを匿名化する項目に採用するか、また、これらのデータをどのように抽象化するかといった匿名化の条件を決めて匿名化処理を行った後、ｋ−匿名性を満たしているか否かを確認し、ｋ−匿名性を満たしていない場合には、抽象化の程度を上げるように匿名化の条件を変えて処理を繰り返す。このためk-匿名化の処理には、手間と時間がかかってしまう。
【００１０】
一方、匿名情報を利用する店舗や事業者は、匿名情報を必要とするタイミングが夫々異なっていた。例えば、事業者Ａは１０分毎の匿名情報を必要とし、事業者Ｂは１時間毎の匿名情報を必要とし、事業者Ｃは１日毎の匿名情報を必要とする。この場合、それぞれの事業者が必要とするタイミングで匿名化処理を行って匿名情報を提供するのが望ましいが、匿名化するタイミングが異なると、その都度適切な匿名化の条件を決める手間がかかってしまう。例えば、１時間毎に匿名化を行った場合に「２０代，女性，コーヒー購入」という属性値を持つデータがｋ−匿名性を満たしていたとしても、１０分毎に匿名化を行った場合に「２０代，女性，コーヒー購入」という当該データがｋ−匿名性を満たしていなかった場合、「３０未満，女性，コーヒー購入」のように抽象化の程度を上げるか、「２０代，女性」のように採用する項目を少なくするなど、匿名化の条件を変えてk-匿名化を行う必要がある。即ち、匿名化処理の対象とする期間が短く、対象データが少ないと、k-匿名化したデータ（匿名情報）は、概略的なデータとなる。反対に、１日毎に匿名化を行う場合、「２０代前半，女性，レギュラーコーヒー購入」のように抽象化の程度を下げるか、「２０代前半，女性，コーヒー及びミルク購入」のように採用する項目を多くするように匿名化の条件を変えてもk-匿名性を満たす可能性がある。即ち、匿名化処理の対象とする期間が長く、対象データが多いと、k-匿名化したデータ（匿名情報）は、詳細なデータとなる。
【００１１】
このようにk-匿名化の処理には、手間と時間がかかり、各事業者が要求するタイミング毎に匿名化の条件を決定して匿名化を行うのは現実的ではないため、所定のタイミング、例えば１時間毎に匿名化を行い、この匿名情報を各事業者に提供することになる。この場合、１０分毎の匿名情報を必要とする事業者Ａにとっては、必要なタイミングで匿名情報が得られないという問題があり、１日毎の匿名情報を必要とする事業者Ｃにとっては、詳細な匿名情報が得られないという問題があった。
【００１２】
これに対し、匿名化の条件を情報処理装置が機械的に決定して各事業者の必要とするタイミングで匿名化を行うことも考えられる。
【００１３】
しかし、従来の情報処理装置で、k-匿名性を満たすように各項目の値を抽象化する場合、単に同じ属性値が複数となるように機械的にデータを区切るため、例えk-匿名性を満たしても利用価値の無いデータとなってしまうことがある。例えば、ファッションの傾向を知るためにデータを利用する場合、年齢の項目は重要であり、匿名化のために年齢の項目を抽象化し過ぎると、利用価値が無くなってしまう。また、匿名化のため、年齢の項目を１７歳以上２２歳未満のように機械的に区切ったとすると、同一グループに成年と未成年が混在したり、高校生と社会人が混在したりすることになり、マーケティング等への利用が難くなり、利用価値が無くなってしまう。
【００１４】
そこで本発明は、匿名化を行う対象の期間内のデータを抽象化後の価値に基づいて匿名化する技術を提供する。
【課題を解決するための手段】
【００１５】
上記課題を解決するため、本発明の匿名化システムは、
匿名化を行う対象の期間を取得する期間取得部と、
個人と対応付けられた複数の項目を含む対象データのうち、前記期間に該当する対象デ
ータを取得するデータ取得部と、
前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成する抽象化部と、
前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求める価値判定部と、
前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
前記検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択する選択部と、
前記価値に基づいて選択された抽象化候補データを匿名情報として出力する出力部と、を備える。
【００１６】
前記匿名化システムは、対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した匿名化辞書を複数取得する辞書取得部と、
前記複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までをツリー状に対応付けて当該ツリー状の対応関係を一つの次元とし、前記複数の匿名化辞書に含まれる複数の前記最上位の語毎に前記次元を求め、前記最上位の語毎に求めた前記複数の次元を統合匿名化辞書とする統合部と、
前記次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する優先度決定部と、
前記複数の次元のうち、前記統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する次元選択部と、を備え、
前記抽象化部が、前記統合匿名化辞書を参照し、前記対象データ中の項目の値である語を抽象化した語に替えて匿名化候補データを生成しても良い。
【００１７】
前記出力部は、前記匿名情報が所定条件を満たした場合に配信を行っても良い。
【００１８】
上記課題を解決するため、本発明の匿名化方法は、
匿名化を行う対象の期間を取得するステップと、
個人と対応付けられた複数の項目を含む対象データのうち、前記期間に該当する対象データを取得するステップと、
前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成するステップと、
前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求めるステップと、
前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
前記検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択するステップと、
前記価値に基づいて選択された抽象化候補データを匿名情報として出力するステップと、
をコンピュータが実行する。
【００１９】
また、本発明は、上記匿名化方法をコンピュータに実行させるための匿名化プログラムであっても良い。更に、前記匿名化プログラムは、コンピュータが読み取り可能な記憶媒体に記録されていても良い。
【００２０】
ここで、コンピュータが読み取り可能な記憶媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータから読み取ることができる記憶媒体をいう。このような記憶媒体の内コンピュータから取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、CD-ROM、CD-R/W、DVD、DAT、８mmテープ、メモリカード等がある。また、コンピュータに固定された記憶媒体としてハードディスクやＲＯＭ（リードオンリーメモリ）等がある。
【発明の効果】
【００２１】
本発明は、匿名化を行う対象の期間内のデータを抽象化後の価値に基づいて匿名化する技術を提供できる。
【図面の簡単な説明】
【００２２】
【図１】図１は、匿名化の説明図である。
【図２】図２は、多様化の説明図である。
【図３】図３は、匿名化システムの機能ブロック図である。
【図４】図４は、情報処理装置のハードウェア構成を示す図である。
【図５】図５は、匿名化システムが端末から取得する個人情報の一例である。
【図６】図６は、対象期間の一例を示す図である。
【図７】図７は、配信条件の説明図である。
【図８】図８は、対象期間及び配信条件を記憶した設定情報ＤＢの具体例を示す図である。
【図９】図９は、個人情報を受信して蓄積する処理を示す図である。
【図１０】図１０は、所定時間間隔及び履歴を用いた配信タイミングで配信を行う場合の処理を示す図である。
【図１１】図１１は、リアルタイムに配信を実行する処理を示す図である。
【図１２】図１２は、匿名化処理を示す図である。
【図１３】図１３は、候補パターンの説明図である。
【図１４】図１４は、対象データにおける年齢の項目の一部の例を示す図である。
【図１５】図１５は、年齢について取得する価値データの一例を示す図である。
【図１６】図１６は、年齢の項目の価値を示す図である。
【図１７】図１７は、年齢の項目の価値を示す表である。
【図１８】図１８は、抽象化候補データにおける年齢の項目の一部の例を示す図である。
【図１９】図１９は、年代について取得する各ワードの価値データを示すである。
【図２０】図２０は、年代の項目の価値を示す図である。
【図２１】図２１は、年齢の項目の価値を示す図である。
【図２２】図２２は、匿名化システムの機能ブロック図である。
【図２３】図２３は、辞書ＤＢの例を示す図である。
【図２４】図２４は、優先度ＤＢの例を示す図である。
【図２５】図２５は、共通ＤＢの例を示す図である。
【図２６】図２６は、個人情報ＤＢの例を示す図である。
【図２７】図２７は、管理サーバ２０のハードウェア構成を示す図である。
【図２８】図２８は、匿名化装置のハードウェア構成を示す図である。
【図２９】図２９は、所定時間間隔及び履歴を用いた配信タイミングで配信を行う場合の処理を示す図である。
【図３０】図３０は、リアルタイムに配信を実行する処理を示す図である。
【図３１】図３１は、匿名化処理を示す図である。
【図３２】図３２は、管理サーバ２０が統合匿名化辞書を作成する処理の説明図である。
【図３３】図３３は、匿名化辞書を統合する処理の説明図である。
【図３４】図３４は、図３３の処理によって作成される各次元の説明図である。
【図３５】図３５は、複数の次元の説明図である。
【図３６】図３６は、図３５に示した次元に含まれる各ワードに重み付けをした例を示す図である。
【図３７】図３７は、各ワードの重みを集計して各次元の優先度を求める処理の説明図である。
【図３８】図３８は、統合匿名化辞書を用いて匿名化装置が実行する匿名化方法の説明図である。
【図３９】図３９は、Ａ社における匿名化の例を示す図である。
【図４０】図４０は、Ｂ社における匿名化の例を示す図である。
【図４１】図４１は、ショッピングモールの各店舗で収集された個人情報の匿名化の例を示す図である。
【図４２】図４２は、ナビゲーションシステムの位置情報（個人情報）を匿名化する例を示す図である。
【図４３】図４３は、匿名化システムの機能ブロック図である。
【図４４】図４４は、匿名化サーバのハードウェア構成を示す図である。
【図４５】図４５は、事業者端末のハードウェア構成を示す図である。
【図４６】図４６は、統合匿名化辞書を用いて匿名化サーバが実行する匿名化方法の説明図である。
【図４７】図４７は、匿名化システムの説明図である。
【図４８】図４８は、匿名化システムのハードウェア構成を示す図である。
【発明を実施するための形態】
【００２３】
以下、図面を参照して本発明を実施するための形態について説明する。以下の実施の形態の構成は例示であり、本発明は実施の形態の構成に限定されない。
【００２４】
〈実施形態１〉
§１．匿名化
図１はk−匿名化の説明図であり、図１（Ａ）は、姓、年齢、性別の項目を含む会員情
報から姓の項目を削除した例を示す。
【００２５】
図１（Ａ）に示すように年齢が記載されている会員情報に１６歳の女性が一人だけであると、１６歳の女性が、この会員であることが分かった時点で、その人を特定できる。即ち、１６歳・女性という属性を持つ人が一人だけであると、他の情報と照らし合わせることで、個人を特定できる可能性がある。
【００２６】
図１（Ｂ）では、会員リストの年齢の記載を抽象化し、０代（１０歳未満）、１０代、２０代のように年代別とした。しかし、この場合でも１０代女性は一人だけであり、図１（Ａ）と同様に個人が特定できてしまい匿名化としては不十分である。
【００２７】
そこで、図１（Ｃ）では、更に抽象化し、１０代以下（１９歳以下）と２０代のように年代の区切りを変更した。図１（Ｃ）の場合、１０代以下の女性が２人であり、［１０代以下］及び［女性］という属性が単一では無くなる。このため前述のように１６歳の女性が、この会員であることが分かったとしても、どちらが当該１６歳女性のデータであるかは特定できない。このように同じ属性を持つ人がｋ人（本例では２人）以上いる状態を、「k-匿名性」を満たすと称し、そのようにデータを加工することを「k-匿名化」と称する。
【００２８】
図２は、ｌ−多様化の説明図であり、ユーザ毎の利用駅のデータを抽象化し、ユーザ毎
の利用駅が属する区のデータとした例を示す。
【００２９】
抽象化前のデータでは、駅が特定されているために、住居が新宿駅付近で勤務地が東京駅付近といったデータと照らし合わせることでユーザを特定できる可能性がある。このため利用駅を抽象化して、利用駅が属する区とすることで、新宿区内の駅と千代田区内の駅を利用するユーザが複数となり、利用者が特定されなくなる。このように「新宿区内の駅と千代田区内の駅を利用する」のように属性値がｌ種類の可能性を持つ状態を、「ｌ-多
様性」を満たすと称し、そのようにデータを加工することを「ｌ-多様化」と称する。
【００３０】
本実施形態１の匿名化システム１０は、この「k-匿名性」や「ｌ-多様性」を満たすよ
うに対象データを抽象化する、即ちデータの項目の値の組み合わせが、対象データの一個人に限定されないように抽象化することにより匿名化を行う。
【００３１】
§２．システム構成
図３は匿名化システムの機能ブロック図である。本実施形態１の匿名化システム１０は、複数の事業者（本例では店舗とも称す）が出店するショッピングモールにおいて、各店舗で収集した個人情報を集約して匿名化を行い、匿名情報を各店舗や他の利用者の端末３０に対して配信する。
【００３２】
匿名化システム１０は、図３に示すように、データ取得部１０１、抽象化部１０２、検定部１０３、選択部１０４、価値判定部１０５、匿名情報登録部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、データ出力部１２０、設定情報登録部１２１、期間取得部１２２、予測部１２３、匿名化ＤＢ（データベース）１４４、検索情報蓄積ＤＢ１４５、設定情報ＤＢ１４６を備えている。
【００３３】
設定情報登録部１２１は、利用者又は事業者（以下、単にユーザとも称す）の端末３０から匿名化を行う対象の期間や、配信条件などの設定情報を受信して設定情報ＤＢ１４６に登録する。なお、本実施形態において設定情報ＤＢ１４６は、設定情報記憶部の一形態である。
【００３４】
期間取得部１２２は、匿名化を行う対象の期間を取得する。例えば、ユーザからのリクエストと共に対象の期間を受信することや、予め設定された対象の期間を設定情報ＤＢ１４６から読み出すことにより取得する。
【００３５】
予測部１２３は、端末３０から受信した個人情報等に基づいて予測結果を求める。例えば、所定期間内の属性値の変化の推移に基づいて、所定時間後の属性値を予測結果として求める。また、所定時間後の属性値が閾値を超えた場合に警告を予測結果としても良い。具体的には、１時間当たりの車による来店者数（即ち駐車場への入庫車数）と平均滞在時間に基づいて２時間後・３時間後の入庫車数を予測結果として求め、入庫車数が駐車場の容量（収容車数）の７０％（閾値）を超える場合に、誘導員の配置を促す警告と前記２時間後・３時間後の入庫車数を予測結果とする。また、複数属性の値の組み合わせと予測結果とを対応付けて記憶した予測ＤＢを備え、端末３０から受信した個人情報の属性値の組み合わせと対応する予測結果を予測ＤＢから求める。具体的には、車以外で来店した女性が４０％を超え、雨が降り出した場合に、１時間後に飲食店が混雑するのであれば、「車以外で来店した女性が４０％以上，雨」といった属性値の組み合わせと対応付けて「１時間後に女性をターゲットとしたタイムセールの実施」といった混雑緩和の為のメッセージを予測ＤＢに記憶させておき、この属性値と対応するメッセージを予測結果として求める。
【００３６】
データ取得部１０１は、個人と対応付けられた複数の項目を含む個人情報のうち、前記
対象期間に該当するものを対象データとして取得する。例えば、データ取得部１０１は、各店舗の端末３０から個人情報を受信して匿名化ＤＢ１４４に記憶させ、匿名化ＤＢ１４４から前記対象の期間に該当するデータを対象データとして読み出す。
【００３７】
抽象化部１０２は、対象データを匿名化或いは多様化する際に、対象データ中の項目の値であるワード（語）を抽象化したワードに替えて抽象化候補データを生成する。本実施形態においてワード（語）は、単語や句など、一まとまりの言葉であり、位置情報や電話番号等の数値、メールアドレスやＩＰアドレス等の識別情報、言葉と同様の意味を持つ記号等を含んでも良い。
【００３８】
価値判定部１０５は、抽象化候補データに含まれるワードの価値に基づいて当該抽象化候補データの価値を求める。
【００３９】
検定部１０３は、抽象化候補データの一個人と対応する項目の値の組み合わせが、当該抽象化候補データ中で単一でないことを条件として検定する。例えば検定部１０３は、抽象化候補データがｋ−匿名性を満たしているか、ｌ−多様性を満たしているかを検定する。
【００４０】
選択部１０４は、前記検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択する。例えば、選択部１０４は、ｋ−匿名性やｌ−多様性を満たした抽象化候補データを価値が高い順に所定数選択する。また、選択部１０４は、ｋ−匿名性やｌ−多様性を満たした抽象化候補データのうち、最も価値が高い抽象化候補データを選択しても良い。
【００４１】
匿名情報登録部１０６は、選択部１０４で選択された抽象化候補データを匿名情報として匿名化ＤＢ１４４に登録する。
【００４２】
価値データ取得部１０７は、抽象化候補データに含まれるワードの価値データを検索情報蓄積ＤＢ１４５から取得（受信）する。また、価値データ取得部１０７は、検索情報蓄積ＤＢ１４５に前記ワードの価値データが登録されていない場合に、他の装置にリクエストし、取得した価値データを検索情報蓄積ＤＢ１４５に登録する機能（データリクエスト）や、定期的に他の装置を巡回して最新の価値データを取得し、検索情報蓄積ＤＢ１４５に登録されている価値データを更新する機能（データクローラ）を有する。本実施形態では、この価値データとして検索エンジン７０から各ワードの統計情報を受信する。ここで、各ワードの統計情報は、例えばＳＥＭの広告単価（クリック単価）や、クリック率、平均掲載順位、１日の表示回数、１日のクリック数等である。なお、価値の取得先は、検索エンジンに限らず、ウェブページやＳＮＳ等であっても良い。この場合、例えばウェブページやＳＮＳにおける各ワードの使用頻度を価値としても良い。
【００４３】
ワードカテゴリ分析部１０８は、ウェブサイト等のデータを分析して、新規のワードや、当該ワードを抽象化したワード（カテゴリ）を求め、検索情報蓄積ＤＢに登録する。
【００４４】
価値計算部１９は、価値データ取得部１０７で取得したワードの価値に基づき、ワードの価値の年平均や月平均、週平均など、ワードの価値の統計情報を求める。特に、対象期間内の価値、例えば最高値や最低値、平均値であっても良い。
【００４５】
データ出力部１２０は、匿名化ＤＢ１４４から匿名情報を読み出して出力する。ここで、匿名情報の出力とは、表示装置による表示出力や、プリンタによる印刷出力、他のコンピュータへの送信、記憶媒体への書き込み等である。
【００４６】
また、本実施形態１のデータ出力部１２０は、配信条件に基づいて匿名情報を店舗等の端末３０へ情報の配信を行う。例えば、女性の割合が６０％を超えた場合や、２０代の来店者が１００人を超えた場合、３０代男性の割合が２０％未満となった場合等、所定の属性値を持つ人数（当該属性値と一致する個人の数）が所定値に達することを配信条件とし、所定値に達した場合に情報の配信を行う。この配信条件を満たした場合に配信する情報は、単に配信条件を満たした旨の通知であっても良いし、配信条件を満たした状態の匿名情報であっても良い。
【００４７】
匿名化ＤＢ１４４は、個人情報（対象データ）を記憶し、当該個人情報を検定用に供すると共に、個人情報を対象期間毎に匿名化した匿名情報を保持する。
【００４８】
検索情報蓄積ＤＢ１４５は、価値データ取得部１０７で取得したワードの価値や、ワードカテゴリ分析部１０８で求めたワードやカテゴリの情報、価値計算部１９で求めた価値の統計情報などを記憶する。
【００４９】
設定情報ＤＢ１４６は、ユーザの端末３０から匿名化を行う対象の期間や、配信条件などの設定情報を受信して、当該ユーザの識別情報（ユーザＩＤ）と対応付けて記憶する。
【００５０】
また、図１中、検索エンジン７０は、インターネット等のネットワーク上に存在する情報の検索機能を提供するサイト（コンピュータ）である。即ち、検索エンジン７０は、ユーザ端末から検索するキーワードを受信すると、このキーワードを含むウェブページのＵＲＬ等のリストを検索結果として提供し、ユーザ端末に表示させる。
【００５１】
また、検索エンジン７０は、この検索機能を利用し、検索結果にキーワードと連動した広告を表示させることや、キーワードに応じた広告料を支払ったスポンサーサイトへのリンクを表示させることも行う。このため、検索エンジン７０は、検索されたワード毎に、１日の検索回数（表示回数）、検索結果の広告がクリックされた回数（クリック数）、１クリック当たりの広告料（クリック単価）等をワードの統計情報として記憶する。
【００５２】
また、これらの情報に基づき、検索エンジン７０は、表示回数をクリック数で除したクリック率や、１日のクリック数にクリック単価を乗じた値（１日の費用）、広告の申し込み時（広告オークション時）に提示した費用に応じた広告の掲載順位等も求める。
【００５３】
検索エンジン７０は、匿名化システム１０に対し、上記クリック数、表示回数、掲載順位、１日の費用、クリック率、クリック単価等の情報を提供するデータ出力部７１や、これらワードに関する情報を記憶する検索ワード蓄積ＤＢ７２、検索結果と共に配信する広告の情報を記憶する検索広告配信ＤＢ７３を備える。
【００５４】
図４は匿名化システム１０のハードウェア構成を示す図である。匿名化システム１０は、ＣＰＵ１、メモリ２、通信制御部３、記憶装置４、入出力インタフェース５を有する所謂コンピュータである。
【００５５】
ＣＰＵ１は、記憶装置４からプログラムを読み出し、メモリ２に展開して実行し、前述の抽象化部１０２、価値判定部１０５、検定部１０３、選択部１０４、匿名情報登録部１０６、データ取得部１０１、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、データ出力部１２０、期間取得部１２２の機能を提供する。
【００５６】
メモリ２は、主記憶装置ということもできる。メモリ２は、例えば、ＣＰＵ１が実行するプログラムや、通信制御部３を介して受信したデータ、記憶装置４から読み出したデータ、その他のデータ等を記憶する。
【００５７】
通信制御部３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray(登録商標) Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置４に格納する。
【００５８】
記憶装置４は、外部記憶装置ということもできる。記憶装置４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置４は、ドライブ装置との間で、デ
ータを授受する。例えば、記憶装置４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置４は、プログラムを読み出し、メモリ２に引き渡す。本実施形態では、記憶装置４が前述の匿名化ＤＢ１４４や検索情報蓄積ＤＢ１４５を格納している。
【００５９】
また、端末３０は、ＣＰＵ、メモリ、通信制御部、記憶装置、入出力インタフェースを有する所謂コンピュータである。
【００６０】
端末３０のＣＰＵは、記憶装置からプログラムを読み出し、メモリに展開して実行し、前述の個人情報や設定情報を匿名化システム１０へ送信する機能や、匿名化システム１０から配信情報を受信し、表示等の出力を行う機能を提供する。
【００６１】
図５は、匿名化システム１０が各店舗の端末３０から取得する個人情報の一例である。図５の例では、各店舗の端末３０から利用日時と、年齢、性別、購入商品等の情報を取得し、利用店舗名と共に記憶している。
【００６２】
利用日時は、消費者が当該店舗を利用した時刻を示している。なお、図５の例では、利用日時として、利用した日付と時刻を記録したが、日付が必須でない場合には、利用した時刻（利用時刻）のみとしても良い。
【００６３】
図６は、対象期間の一例を示す図である。対象期間としては、例えば、１０分毎、１時間毎、１日毎、１週間毎のように所定の間隔で対象期間が設定される。また、１０：００〜１２：００、１２：００〜１４：００等のように所定の開始時刻と所定の終了時刻によって対象期間が設定される。更に、曜日、祝祭日、平日、休日、祝祭日、週末、月初、月末等によって対象期間が設定されても良い。なお、これらは、平日の１０：００〜１８：００、休日の１２：００〜２０：００、月末の３日間のように組み合わせて設定しても良い。
【００６４】
図７は、配信条件の説明図である。図７の例では、配信条件として、配信パターンや、配信種別、配信タイミング、配信情報、配信先を有し、配信タイミングと配信情報に応じた６つの配信パターンを示している。配信種別は、配信タイミングが所定時間間隔で定期的に配信を行うこととなっている定期配信と、配信タイミングが所定情報の取得等のイベントを契機に配信を行うこととなっているイベント配信とを示す。図７の例では、配信パターン１，２が定期配信であり、配信パターン３−６がイベント配信である。
【００６５】
配信タイミングは、配信の契機を示す情報であり、所定時間間隔やイベント等が設定されている。所定時間間隔は、前述の対象期間と同様に１０分毎、１時間毎、１日毎、１週間毎のように所定の間隔が設定される。また、所定時間間隔は、１０：００〜１２：００
、１２：００〜１４：００等のように所定の開始時刻と所定の終了時刻によって設定されても良い。更に、曜日、祝祭日、平日、休日、祝祭日、週末、月初、月末等によって所定時間間隔が設定されても良い。なお、これらは、平日の１０：００〜１８：００、休日の１２：００〜２０：００、月末の３日間のように組み合わせて設定しても良い。
【００６６】
また、配信の契機とするイベントは、例えば、所定の情報を取得した場合(パターン３)や、匿名情報が基準とする時点から所定値以上乖離した場合(パターン４)、匿名情報における所定の属性値（所定情報）の出現数や出現率が所定値に達した場合(パターン５)、匿名情報の順位が変動した場合(パターン６)などである。
【００６７】
配信パターン１の場合、配信タイミングに設定した時間間隔で、匿名情報や匿名化した情報の順位を配信情報として配信する。
【００６８】
配信パターン２の場合、匿名情報に基づく予測情報を求め、この予測情報を配信情報として配信タイミングに設定した時間間隔で配信する。
【００６９】
配信パターン３の場合、所定情報の取得時に、匿名情報や匿名化した情報の順位を配信情報として配信する。
【００７０】
配信パターン４の場合、配信タイミングを満たした場合に、配信情報配信タイミングを満たした旨の通知、即ち履歴情報との差分が所定値以上乖離した旨の通知や、匿名情報、匿名化した情報の順位を配信情報として配信する。
【００７１】
配信パターン５の場合、配信タイミングを満たした場合に、配信情報配信タイミングを満たした旨の通知、即ち匿名情報の出現数や出現率が所定値に達した旨の通知や、匿名情報、匿名化した情報の順位を配信情報として配信する。
【００７２】
配信パターン６の場合、配信タイミングを満たした場合に、配信情報配信タイミングを満たした旨の通知、即ち匿名情報の順位が変動した旨の通知や、匿名情報、匿名化した情報の順位を配信情報として配信する。
【００７３】
配信先は、端末のメールアドレスなど、配信情報の宛先を示す情報である。なお、配信手法は、電子メールに限らず、ショートメッセージサービスや、メッセンジャーソフト間のメッセージ等、電子的に情報を送信できるものであれば良い。
【００７４】
なお、配信タイミングや配信情報の組み合わせは、この６パターンに限定されるものではなく、コンピュータによる判定が可能な配信タイミングや電子的に配信可能な配信情報であれば任意に採用できる。
【００７５】
図８は、対象期間及び配信条件を記憶した設定情報ＤＢ１４６の具体例を示す図である。図８の例では、設定情報ＤＢ１４６が、ユーザＩＤと、対象期間と、配信条件（配信パターン、配信タイミング、配信情報、配信先）とを対応付けて記憶している。
【００７６】
ユーザＩＤは、設定情報（対象期間や配信条件）毎に付した識別情報であり、本例では当該設定情報を設定したユーザの識別情報としている。なお、設定情報の識別情報は、ユーザＩＤに限らず、リクエスト毎に付した識別情報（リクエストＩＤ）や、シリアル番号等の任意の識別情報であっても良い。
【００７７】
対象期間は、１０分毎や１週間毎など、ユーザによって設定された任意の期間が記憶されている。
【００７８】
配信条件は、以下のように配信パターン１〜６の例を示した。
配信パターン１の例では、１時間毎の配信タイミングで、２０代２５人、３０代４８人・・・のような匿名情報が、配信情報としてＢ店舗端末へ配信される。
【００７９】
配信パターン２の例では、１５分毎に予測処理が行われ、来場者の推移等から１３時に駐車場が混雑することが予測された場合に、この予測情報が配信情報としてＣ店舗端末へ配信される。
【００８０】
配信パターン３の例では、商品Ａを販売したという所定情報が取得された場合に、商品Ａを購入した人の年代と性別の順位が配信情報としてＡ店舗の端末へ配信される。
【００８１】
配信パターン４の例では、先週の土曜日を基準として４０代女性が２０％減少した場合に、「先週の土曜日と比べて女性の来店者が減少しています。」といった通知が配信情報として全店舗の端末へ配信される。
【００８２】
配信パターン５の例では、２０代のコーヒー購入者が１００人以上となった場合に、２０代女性２５人、２０代男性７６人・・・といった匿名情報が配信情報としてＡ店舗端末へ配信される。
【００８３】
配信パターン６の例では、年代と性別の順位が変動した場合に、１位２０代女性、２位３０代男性といった順位が配信情報としてＢ店舗端末へ配信される。
【００８４】
〈匿名化方法〉
図９−図１２は、匿名化システム１０が、匿名化プログラムに従って実行する匿名化方法の説明図であり、図９は、個人情報を受信して蓄積する処理を示す図、図１０は、所定時間間隔及び履歴を用いた配信タイミングで配信を行う場合の処理を示す図、図１１は、リアルタイムに配信を実行する処理を示す図、図１２は、匿名化処理を示す図である。
【００８５】
匿名化システム１０は、図９に示す蓄積処理を定期的に起動させ、端末３０から個人情報を受信したか否かを確認する（ステップＳ１０１０）。ここで匿名化システム１０は、個人情報を受信していなければ（ステップＳ１０１０，Ｎｏ）、図９の処理を終了させ、個人情報を受信していれば（ステップＳ１０１０，Ｙｅｓ）、受信した個人情報を匿名化ＤＢ１４４に登録し（ステップＳ１０２０）、蓄積処理を終了する。このように匿名化システム１０は、図９の蓄積処理を繰り返し実行し、受信した個人情報を随時匿名化ＤＢ１４４に登録する。
【００８６】
また、匿名化システム１０は、図１０に示す処理を定期的に起動させ、先ず、各ユーザの設定情報を設定情報ＤＢ１４６から読み出す（ステップＳ１０３０）。
【００８７】
次に、匿名化システム１０は、読み出した設定情報に処理を行っていない対象期間があるか否かを判定する（ステップＳ１０３５）。匿名化システム１０は、例えば、対象期間に該当する個人情報の取得を完了し、当該個人情報の匿名化を行っていない場合に、未処理の対象期間があると判定し、対象期間に該当する個人情報の取得が完了していない、及び当該個人情報の匿名化が完了しているものだけの場合に、未処理の対象期間が無いと判定する。未処理の対象期間が無ければ（ステップＳ１０３５，Ｎｏ）、匿名化システム１０は、図１０の処理を終了し、未処理の対象期間が有れば（ステップＳ１０３５，Ｙｅｓ）、当該対象期間と対応付けられた配信情報が予測情報か否か、即ち当該対象期間と対応付けられた配信パターンが２か否かを判定する（ステップＳ１０４０）。ここで配信パターン２と判定した場合（ステップＳ１０４０，Ｙｅｓ）、匿名化システム１０は、対象期
間の個人情報を対象データとして求め、この対象データ等に基づいて予測処理を行い、予測結果を求める（ステップＳ１０４５）。
【００８８】
そして、匿名化システム１０は、当該対象期間に該当する個人情報を対象情報として匿名化する（ステップＳ１０５０）。例えば、予測情報が個人情報（対象データ）を含む場合には、この予測情報に含まれる個人情報を匿名化する。また、予測情報と共に配信する場合には、予測の対象とした対象データを匿名化する。
【００８９】
一方、ステップＳ１０４０で配信パターン２では無いと判定した場合（ステップＳ１０４０，Ｎｏ）、予測処理を行わずに対象データの匿名化を行う（ステップＳ１０５０）。なお、匿名化の処理の詳細については、後述する。
【００９０】
匿名化後、匿名化システム１０は、現在時刻が所定期間毎に定められた配信タイミングに該当するか否か、即ち配信パターン１，２の配信タイミングか否かを判定する（ステップＳ１０５５）。所定期間毎の配信タイミングに該当する場合（ステップＳ１０５５，Ｙｅｓ）、匿名化システム１０は、配信情報を配信先へ配信する（ステップＳ１０６０）。匿名化システム１０は、例えば、配信パターン１の場合、配信情報として順位や匿名情報を配信し、配信パターン２の場合、予測情報や匿名情報を配信する。
【００９１】
また、ステップＳ１０５５で、配信パターン１，２の配信タイミングでは無いと判定した場合（ステップＳ１０５５，Ｎｏ）、匿名化システム１０は、履歴情報を用いた配信タイミングか否か、即ち配信パターン４〜６か否かを判定する（ステップＳ１０６５）。ここで匿名化システム１０は、配信パターン４〜６でないと判定した場合には（ステップＳ１０６５，Ｎｏ）、図１０の処理を終了し、配信パターン４〜６であると判定した場合には（ステップＳ１０６５，Ｙｅｓ）、履歴情報（過去の匿名情報）を匿名化ＤＢ１４４から読み出し（ステップＳ１０７０）、匿名情報と比較して配信条件を満たしているか否かを判定する（ステップＳ１０７５）。
【００９２】
配信条件を満たしていなければ（ステップＳ１０７５，Ｎｏ）、匿名化システム１０は、図１０の処理を終了させ、配信条件を満たしていれば（ステップＳ１０７５，Ｙｅｓ）、通知や順位、匿名情報を配信情報として配信する（ステップＳ１０８０）。
【００９３】
また、匿名化システム１０は、図１１に示すリアルタイム配信の処理を定期的に起動させ、先ず、各ユーザの設定情報を設定情報ＤＢ１４６から読み出す（ステップＳ１０８２）。また、匿名化システム１０は、リアルタイム配信を行う所定情報を取得したか否かを判定する（ステップＳ１０８５）。
【００９４】
匿名化システム１０は、所定情報を取得していない場合（ステップＳ１０８５，Ｎｏ）、図１１の処理を終了し、所定情報を取得した場合（ステップＳ１０８５，Ｙｅｓ）、対象データの匿名化処理を行う（ステップＳ１０９０）。
【００９５】
匿名化後、匿名化システム１０は、匿名情報をリアルタイムに配信先の端末３０へ配信する（ステップＳ１０９５）。
【００９６】
図１２は、ステップＳ１０５０における匿名化の処理の説明図である。匿名化システム１０は、ステップＳ１０３５で未処理と判定した対象期間に該当する個人情報を匿名化ＤＢ１４４から読み出して取得する（ステップＳ１１３０）。例えば、１０分毎、１時間毎、１日毎のように所定の間隔で対象期間が設定されている場合には、前回の匿名化の処理から当該間隔毎に対象データを読み出す。また、８：００〜１３：００、１３：００〜１８：００等のように所定の開始時刻と所定の終了時刻によって対象期間が設定されている
場合には、当該期間に取得された個人情報を対象データとして読み出す。
【００９７】
次に匿名化システム１０は、対象データ中の各ワードについて、価値データが検索情報蓄積ＤＢ１４５に存在するか否かを判定する（ステップＳ１１４０）。匿名化システム１０は、全てのワードの価値データが検索情報蓄積ＤＢ１４５に存在する場合にはステップＳ１１６０へ移行し（ステップＳ１１４０，Ｙｅｓ）、足りない価値データがある場合（ステップＳ１１４０，Ｎｏ）、当該ワードの価値データを外部の装置、本例では検索エンジン７０から取得する（ステップＳ１１５０）。なお、検索エンジンから取得した価値データ以外、即ち検索情報蓄積ＤＢ１４５に存在したワードの価値情報は、検索情報蓄積ＤＢ１４５から取得する（ステップＳ１１６０）。
【００９８】
また、匿名化システム１０は、匿名性を満たすため対象データの各項目を抽象化したワード（カテゴリ）に置き換えて抽象化候補データを作成する（ステップＳ１１７０）。なお、抽象化可能な項目が複数存在する場合には、各項目を抽象化した場合と抽象化しない場合の全てのパターンを作成する。例えば対象データに三つの項目Ａ，Ｂ，Ｃが含まれ、全項目について抽象化が可能で、抽象化した項目をＡ´，Ｂ´，Ｃ´とした場合、図１３に示すように、項目Ａだけを抽象化した場合Ａ´，Ｂ，Ｃや、項目Ａ，Ｂを抽象化した場合Ａ´，Ｂ´，Ｃなど、七つの候補パターンが作成できる。また、対象データに含まれる項目Ａ，Ｂ，Ｃのうち一部を省略した候補パターンを作成しても良い。例えば、項目Ａ，Ｂ、項目Ａ´，Ｂ、項目Ａ，Ｂ´、項目Ａ´，Ｂ´や、項目Ｂ，Ｃ、項目Ｂ´，Ｃ、項目Ｂ，Ｃ´、項目Ｂ´，Ｃ´、項目Ａ，Ｃ、項目Ａ´，Ｃ、項目Ａ，Ｃ´、項目Ａ´，Ｃ´のような候補を作成しても良い。このとき省略しない項目（必須項目）を予め設定しておき、この必須項目以外の項目を省略した候補パターンを作成しても良い。なお、匿名化システム１０は、候補パターンの項目数をステップＳ１１２５で取得した対象期間の長さに応じて定めても良い。例えば、対象期間が１０分であれば項目数１〜３、１時間であれば項目数２〜５、１日以上であれば項目数５〜８のように、対象期間毎に候補パターンの項目数の範囲を定めて記憶部に記憶しておき、ステップＳ１１２５で取得した対象期間と対応する項目数の範囲を読み出し、この項目数の範囲で候補パターンを作成しても良い。
【００９９】
次に匿名化システム１０は、抽象化候補データに含まれる各ワードの価値データに基づいて各パターンの抽象化候補データの価値を算出し（ステップＳ１１８０）、この抽象化候補データの価値に基づいて検定の順番を決定する（ステップＳ１１９０）。例えばこの価値が高い順（降順）に検定の順番を決定する。なお、全ての候補パターンについて検定を行うことが望ましいが、この抽象化候補データの価値に基づき、価値の低過ぎる抽象化候補データを順番から外しても良い。例えば、価値の高い順番で、所定番目以降或いは半分未満など所定割合未満の抽象化候補データを外しても良い。また、抽象化候補データの価値が対象データの価値に対して所定割合未満となった抽象化候補データを外しても良い。これにより検定数が少なくなり、処理時間の短縮化が図れる。
【０１００】
この検定の順番に従い、匿名化システム１０は、抽象化候補データの匿名性を検定する（ステップＳ１２００）。例えば、ｋ−匿名性を検定するため、一個人と対応付けられた異なる項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。或いは、ｌ多様性を検定するため、一個人と対応付けられた同じ項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。そして、この存在数のうち最小のものを最低出現数（ｋ値／ｌ値）として求め（ステップＳ１２１０）、この最低出現数が１を超えているか否かを判定する（ステップＳ１２２０）。即ち、ここでｋ値が１を超えていればｋ−匿名性を満たし、１であればｋ−匿名性を満たさない。同様にｌ値が１を超えていればｌ−多様性を満たし、１であればｌ−多様性を満たさない。
【０１０１】
最低出現数（ｋ値／ｌ値）が１を超えていない場合（ステップＳ１２２０，Ｎｏ）、匿
名化システム１０は、抽象化候補データのうち、少なくとも一つの項目の値を更に抽象化する、即ち抽象化したワードに置き換え（ステップＳ１２３０）、ステップＳ１２００に戻る。
【０１０２】
一方、最低出現数（ｋ値／ｌ値）が１を超えている場合（ステップＳ１２２０，Ｙｅｓ）、匿名化システム１０は、当該抽象化候補データの価値と元の対象データの価値との差分を求め（ステップＳ１２４０）、この差分や、この差分に基づく値、例えば対象データの価値に対する差分の割合、対象データの価値に対する抽象化候補データの価値の割合を当該抽象化候補データの価値として決定する（ステップＳ１２５０）。
【０１０３】
また、匿名化システム１０は、検定していない候補パターンがあるか否かを判定し（ステップＳ１２６０）、検定していない候補パターンがあれば（ステップＳ１２６０，Ｙｅｓ）、ステップＳ１１９０で決定した順番に従って、次の順番の抽象化候補データを特定し（ステップＳ１２７０）、ステップＳ１２００に戻って次の抽象化候補データについて検定を行う。
【０１０４】
このように各パターンの抽象化候補データについて検定を繰り返し、次の候補パターンが無くなった場合（ステップＳ１２６０，Ｎｏ）、匿名化システム１０は、ステップＳ１２５０で求各抽象化候補データの価値に基づいて、採用すべき抽象化候補データを選択し（ステップＳ１２８０）、選択した抽象化候補データを匿名情報としてステップＳ１１２５で取得した対象期間と対応付けて匿名化ＤＢ１４４に登録し（ステップＳ１２９０）、匿名化の処理を終了する。
【０１０５】
このように抽象化候補データの選択は、例えば、全候補パターンの中で最も価値の高い抽象化候補データを選択する。また、匿名化システム１０は、全候補パターンの中から価値の高い順に複数の抽象化候補データを出力し、この出力された抽象化候補データの中から操作者が適切だと思う抽象化候補データを指定し、この指定された抽象化候補データを選択しても良い。
【０１０６】
次に図１４−図２１を用いて本実施形態におけるデータの価値について説明する。図１４は対象データにおける年齢の項目の一部の例を示す図である。図１４に示すように対象データは、年齢ｓｉ毎に人数ｃｉを有している。例えば、１８歳（ｓ１）の人数（ｃ１）が３０人、１９歳（ｓ２）の人数（ｃ２）が１０人である。
【０１０７】
図１５は、年齢ｓｉについて取得する価値データの一例を示す。図１５の価値データは、年齢ｓｉ毎にＳＥＭ単価ｅｉを有している。
【０１０８】
この年齢ｓｉの価値は、ＳＥＭ単価ｅｉに人数ｃｉを乗じた値であり、式１で示される。
【０１０９】
ｓｉ＝ｃｉ×ｅｉ  ・・・（式１）
そして、図１６に示すように年齢の項目Ｓ（ｅ）の価値は、各年齢ｓｉの総計であり、式２で示される。なお、図１６においてｎは５である。従って、年齢の項目Ｓ（ｅ）の価値は、図１７に示すように、２４４６円である。また、対象データにおける全ての項目の価値を合計したものが対象データの価値である。
【０１１０】
一方、図１８は抽象化候補データにおける年齢の項目の一部の例を示す図である。図１８に示すように抽象化候補データは、年代ｋｉ毎に人数ｃｉを有している。例えば、１０代（ｋ１）の人数（ｃ１）が４０人、２０代（ｋ２）の人数（ｃ２）が２２人である。
【０１１１】
図１９は、年代ｋｉについて取得する各ワードの価値データの一例を示す。図１９の価値データは、年代ｋｉ毎にＳＥＭ単価ｅｉを有している。
【０１１２】
この年代ｋｉの価値は、ＳＥＭ単価ｅｉに人数ｃｉを乗じた値であり、式３で示される。
【０１１３】
ｋｉ＝ｃｉ×ｅｉ  ・・・（式３）
そして、図２０に示すように年代の項目Ｓ（ｋ）の価値は、各年代ｋｉの総計であり、式４で示される。なお、図２０においてｎは２である。従って、年齢の項目Ｓ（ｋ）の価値は、図２１に示すように、２１３４円である。即ち、年齢の項目を年代に抽象化したことにより、価値が３１２円減損したことになる。また、抽象化候補データにおける全ての項目の価値を合計したものが抽象化候補データの価値である。
【０１１４】
そして、ステップＳ１２５０で求める抽象化候補データの価値として、例えば式５に示すように、抽象化候補データの価値を抽象化候補データの価値と対象データの価値の合計で除した減損率Ｍ（ｋ）を求める。
【０１１５】
Ｍ（ｋ）＝Ｓ（ｋ）／（Ｓ（ｋ）＋Ｓ（ｅ））  ・・・（式５）
このように本実施形態１の匿名化システム１０は、各抽象化候補データの価値を抽象化したワードの価値に基づいて評価することにより、精度良く各抽象化候補データの価値を評価でき、抽象化後も高い価値を有する抽象化候補データを選択できる。
【０１１６】
また、本実施形態１の匿名化システム１０は、利用者側の指定する対象期間内の個人情報を対象データとして匿名化を行うので、対象期間の長さによって匿名化するための抽象化の程度が異ならせている。例えば、対象期間が１０分のように短い期間であると、個人情報の数が少なく、ｋ−匿名性又はｌ−匿名性を満たすためには抽象化の程度を高める必要があり、対象期間が１日のように比較的長い期間であると、個人情報の数が多く、抽象化の程度が低くてもｋ−匿名性又はｌ−匿名性を満たすことができる。このように利用者の指定する対象期間によって抽象化の程度が変化する場合であっても、本実施形態１の匿名化システム１０によれば、抽象化後の価値に基づいて抽象化候補を選択でき、対象期間と抽象化後の価値に基づいた適切な匿名化処理を行うことができる。
【０１１７】
〈実施形態２〉
図２２は、実施形態２に係る匿名化システム１００の機能ブロック図である。本実施形態２の匿名化システム１００は、複数の事業者が出展する展示会において、各事業者が来場者から収集した個人情報の匿名化を行うシステムであり、各事業者の匿名化装置５０や、各事業者で匿名化した匿名情報を管理する管理サーバ２０を有する。なお、本実施形態２において、前述の実施形態１と同じ要素には同符号を付す等して一部記載を省略する。
【０１１８】
本実施形態２の匿名化システム１００では、管理サーバ２０が、各事業者の匿名化装置５０から夫々匿名化辞書を取得し、各事業者の匿名化辞書を統合して統合匿名化辞書を生成し、各事業者の匿名化装置５０へ配信する。また、管理サーバ２０が、各事業者の匿名化装置５０から設定情報を受信し、受信した設定情報を各事業者の匿名化装置５０へ夫々配信する。そして、各事業者の匿名化装置５０が、設定情報の対象期間に該当する対象データを取得し、当該対象データを各事業者共通の統合匿名化辞書を用いて匿名化して匿名情報とし、この匿名情報を配信条件に基づいて配信することで、各事業者がそれぞれ匿名化した匿名情報を他の事業者が所望の条件で利用できるようにしている。
【０１１９】
図２２に示すように、管理サーバ２０は、辞書取得部２０１や、統合部２０２、優先度決定部２０３、辞書管理部２０４、匿名情報登録部２０５、匿名情報制御部２０６、次元
選択部２０７、設定情報管理部２０８、配信部２０９、辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３、設定情報ＤＢ２３６を備えている。即ち、本実施形態２の管理サーバ２０は、辞書取得部２０１、統合部２０２、優先度決定部２０３及び次元選択部２０７を備えた辞書作成装置でもある。
【０１２０】
辞書取得部２０１は、対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した複数の匿名化辞書を各事業者の匿名化装置５０から取得する。本実施形態では、各事業者の匿名化装置５０から送信された匿名化辞書を辞書取得部２０１が受信し、辞書ＤＢ２３１に登録する。
【０１２１】
統合部２０２は、各事業者の匿名化装置５０から取得した複数の匿名化辞書を統合して統合匿名化辞書を作成する。例えば統合部２０２は、複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までのツリー状の対応関係にある語の次元を前記最上位の語毎に生成し、統合匿名化辞書として辞書ＤＢ２３１に記憶させる。この各最上位の語をルートとするツリー状の語の次元が統合匿名化辞書を構成する。
【０１２２】
優先度決定部２０３は、前記統合匿名化辞書を構成する次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する。例えば、優先度決定部２０３は、各次元に含まれる語の数、各次元に含まれる語について上位と下位の関係にある段階の数、各次元に含まれる語の価値のうち少なくとも一つに基づいて前記優先度を決定する。なお、前記語について予め定めた値を、例えば優先度ＤＢ２３２が記憶しておき、優先度決定部２０３は、優先度ＤＢ２３２を参照して優先度を決定する。
【０１２３】
次元選択部２０７は、前記統合部２０２で生成した複数の次元のうち、統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する。
【０１２４】
辞書管理部２０４は、統合部２０２で作成された統合匿名化辞書を管理する。例えば辞書管理部２０４は、統合匿名化辞書を辞書ＤＢ２３１から読み出して各事業者の匿名化装置５０へ配信する。
【０１２５】
匿名情報登録部２０５は、各事業者の匿名化装置５０から匿名情報を取得し、共通ＤＢ２３３に登録する。
【０１２６】
匿名情報制御部２０６は、共通ＤＢ２３３に登録された匿名情報の出力処理等を制御する。例えば、匿名化装置５０等の情報処理装置から匿名情報の取得要求を受けた場合に、該当する匿名情報を要求元の情報処理装置へ配信する。本実施形態２において、匿名情報制御部２０６は、出力部の一形態である。
【０１２７】
設定情報管理部２０８は、各事業者の匿名化装置５０から設定情報を受信し、設定情報ＤＢ２３６に記憶させると共に、受信した設定情報（対象期間）を他の事業者の匿名化装置５０に配信する。設定情報ＤＢ２３６が記憶するデータの構成は、図８と略同じであり、ユーザＩＤ、対象期間、配信条件（配信パターン、配信タイミング、配信情報、配信先）等の情報を有するが、配信条件等の具体的内容については、処理する個人情報の内容に応じて適宜設定される。なお、管理サーバ２０は、受信した設定情報のうち、対象期間を他の事業者へ配信した後は保持する必要がなく、設定情報ＤＢ２３６に記憶しなくても良い。
【０１２８】
配信部２０９は、設定情報ＤＢ２３６の配信条件に基づき、匿名情報等の配信情報を各事業者の匿名化装置５０等の配信先へ配信する。
【０１２９】
図２３は辞書ＤＢ２３１の例を示す図である。辞書ＤＢ２３１は、抽象化前のワード（以下、下位のワードとも称す）と、当該ワードを抽象化した後のワード(以下、上位のワ
ードとも称す)とを対応付けて記憶している。
【０１３０】
図２４は、優先度ＤＢ２３２の例を示す図である。優先度ＤＢ２３２は、各ワードについて、優先度を決定するための値（価値）を記憶している。図２４の例では、各ワードに対して、１日当たりのクリック数、１日当たりの表示回数、参入企業数、１日当たりのコスト、クリック率、ＳＥＭ価格（獲得価格）など、ＳＥＭに用いられる値が記憶されている。
【０１３１】
図２５は、共通ＤＢ２３３の例を示す図である。共通ＤＢ２３３は、各事業者の匿名化装置５０で統合匿名化辞書を用いて匿名化した匿名情報を記憶している。図２５の例では、来訪ブース、年齢、性別、所属企業、役職、興味を示した商品、ステータスなどの項目のデータを記憶している。この項目や各項目の抽象化の程度は、後述のように統合匿名化辞書や検定の結果等によって決まる。
【０１３２】
また、各事業者の匿名化装置５０は、図２２に示すように、データ取得部１０１や、抽象化部１０２、検定部１０３、選択部１０４、匿名情報登録部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、出力制御部１１０、設定情報登録部１２１、期間取得部１２２、予測部１２３、個人情報ＤＢ１３１、検索情報蓄積ＤＢ１４５、設定情報ＤＢ１４６を備えている。
【０１３３】
データ取得部１０１は、個人と対応付けられた複数の項目を含むデータ、即ち個人情報を取得し、この個人情報のうち、対象期間に該当するものを対象データとして取得する。例えば、データ取得部１０１は、来場者が記載したアンケートや来場者から聞き取った個人情報をキーボード等から入力を受けて個人情報ＤＢ１３１に記憶しておき、この個人情報ＤＢ１３１から１０分・１時間・１日などの対象期間に該当する個人情報を対象データとして読み出す。また、データ取得部１０１は、来場者の名刺やアンケートに記載された事項をＯＣＲ（Optical Character Recognition）によって読み取り、個人情報として記
憶しても良いし、来場者のＲＦ−ＩＤタグやＩＣチップ等から当該来場者の個人情報を取得して記憶しても良い。
【０１３４】
抽象化部１０２は、前記次元からなる統合匿名化辞書を参照し、前記対象データ中の項目の値である語を前記優先度に基づいて抽象化した語に替えて匿名化候補データを生成する。
【０１３５】
検定部１０３は、前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する。例えば、検定部１０３は、抽象化候補データの項目の値の組み合わせが、ｋ−匿名性を満たすこと、或いはｌ−多様性を満たすことを条件として検定する。
【０１３６】
出力制御部１１０は、前記検定の条件を満たした抽象化候補データを匿名情報として出力する。例えば、出力制御部１１０は、匿名情報を管理サーバ２０へ送信する。
【０１３７】
設定情報登録部１２１は、当該事業者（ユーザ）によって入力された設定情報を設定情報ＤＢ１４６に記憶させると共に管理サーバ２０へ送信する。また、設定情報登録部１２１は、管理サーバ２０から配信される他の事業者の設定情報（対象期間）を受信して設定
情報ＤＢ１４６に登録する。なお、設定情報ＤＢ１４６に記憶される設定情報（対象期間）は、図６の例と同様である。
【０１３８】
期間取得部１２２は、匿名化を行う対象の期間を取得する。例えば、期間取得部１２２は、対象期間を設定情報ＤＢ１４６から読み出すことにより取得する。
【０１３９】
予測部１２３は、取得した個人情報等に基づいて予測結果を求める。例えば、所定期間内の属性値の変化の推移に基づいて、所定時間後の属性値を予測結果として求める。また、所定時間後の属性値が閾値を超えた場合に警告を予測結果としても良い。
【０１４０】
図２６は、個人情報ＤＢ１３１の例を示す図である。個人情報ＤＢ１３１は、データ取得部１０１で取得した個人情報を記憶している。図２６の例では氏名、メール、所属企業名、役職、興味、ステータス等を記憶している。
【０１４１】
図２７は管理サーバ２０のハードウェア構成を示す図である。管理サーバ２０は、ＣＰＵ２１、メモリ２２、通信制御部２３、記憶装置２４、入出力インタフェース２５を有する所謂コンピュータである。
【０１４２】
ＣＰＵ２１は、メモリ２２に実行可能に展開されたプログラムを実行し、前述の辞書取得部２０１や、統合部２０２、優先度決定部２０３、辞書管理部２０４、匿名情報登録部２０５、匿名情報制御部２０６、次元選択部２０７、設定情報管理部２０８、配信部２０９の機能を提供する。
【０１４３】
メモリ２２は、主記憶装置ということもできる。メモリ２２は、例えば、ＣＰＵ２１が実行するプログラムや、通信制御部２３を介して受信したデータ、記憶装置２４から読み出したデータ、その他のデータ等を記憶する。
【０１４４】
通信制御部２３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース２５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置２４に格納する。
【０１４５】
記憶装置２４は、外部記憶装置ということもできる。記憶装置２４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置２４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置２４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置２４は、プログラムを読み出し、メモリ２２に引き渡す。本実施形態では、記憶装置２４が前述の辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３を格納している。
【０１４６】
図２８は匿名化装置５０のハードウェア構成を示す図である。匿名化装置５０は、ＣＰＵ５１、メモリ５２、通信制御部５３、記憶装置５４、入出力インタフェース５５を有する所謂コンピュータである。
【０１４７】
ＣＰＵ５１は、メモリ５２に実行可能に展開されたプログラムを実行し、前述のデータ取得部１０１や、抽象化部１０２、検定部１０３、選択部１０４、匿名情報登録部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、出
力制御部１１０、設定情報登録部１２１、期間取得部１２２、予測部１２３の機能を提供する。
【０１４８】
メモリ５２は、主記憶装置ということもできる。メモリ５２は、例えば、ＣＰＵ５１が実行するプログラムや、通信制御部５３を介して受信したデータ、記憶装置５４から読み出したデータ、その他のデータ等を記憶する。
【０１４９】
通信制御部５３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース５５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置５４に格納する。
【０１５０】
記憶装置５４は、外部記憶装置ということもできる。記憶装置５４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置５４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置５４は、ドライブ装置からインストールされるプログラム等を記憶する。また、記憶装置５４は、プログラムを読み出し、メモリ５２に引き渡す。本実施形態では、記憶装置５４が前述の個人情報ＤＢ１３１を格納している。
【０１５１】
§３．匿名化方法
次に図２９〜図３２を用いて本実施形態２の匿名化方法について説明する。
【０１５２】
（３−１）設定情報に基づく処理
匿名化装置５０は、図２９に示す処理を定期的に起動させ、先ず、設定情報（対象期間）を設定情報ＤＢ１４６から読み出す（ステップＳ１０３０）。
【０１５３】
次に、匿名化装置５０は、読み出した対象期間に未処理のものがあるか否かを判定し（ステップＳ１０３５）、未処理の対象期間が無ければ（ステップＳ１０３５，Ｎｏ）、図２９の処理を終了し、未処理の対象期間が有れば（ステップＳ１０３５，Ｙｅｓ）、当該対象期間と対応付けられた配信情報が予測情報か否か、即ち当該対象期間と対応付けられた配信パターンが２か否かを判定する（ステップＳ１０４０）。ここで配信パターン２と判定した場合（ステップＳ１０４０，Ｙｅｓ）、匿名化システム１０は、対象期間の個人情報を対象データとして求め、この対象データ等に基づいて予測処理を行い、予測結果を求める（ステップＳ１０４５）。
【０１５４】
当該対象期間に該当する個人情報を対象情報として匿名化ＤＢ１４４から読み出す（ステップＳ１０４０）。そして、匿名化システム１０は、予測情報や対象データを匿名化する（ステップＳ１０５０）。例えば、予測情報が個人情報（対象データ）を含む場合には、この予測情報に含まれる個人情報を匿名化する。また、予測情報と共に配信する場合には、予測の対象とした対象データを匿名化する。
【０１５５】
一方、ステップＳ１０４０で配信パターン２では無いと判定した場合（ステップＳ１０４０，Ｎｏ）、予測処理を行わずに対象データの匿名化を行う（ステップＳ１０５０）。なお、匿名化の処理の詳細については、後述する。
【０１５６】
匿名化後、匿名化装置５０は、匿名情報を管理サーバ２０へ送信する（ステップＳ１０５２）。なお、匿名情報とは別にステップＳ４５で予測情報を生成した場合、匿名化装置
５０は、匿名情報と共に予測情報を管理サーバ２０へ送信する。この匿名情報や予測情報を受信した管理サーバ２０は、共通ＤＢ２３３に蓄積する。
【０１５７】
また、匿名化装置５０は、図３０に示すリアルタイム配信の処理を定期的に起動させ、先ず、各ユーザの設定情報を設定情報ＤＢ１４６から読み出す（ステップＳ１０８２）。また、匿名化装置５０は、リアルタイム配信を行う所定情報を取得したか否かを判定する（ステップＳ１０８５）。
【０１５８】
匿名化装置５０は、所定情報を取得していない場合（ステップＳ１０８５，Ｎｏ）、図３０の処理を終了し、所定情報を取得した場合（ステップＳ１０８５，Ｙｅｓ）、対象データの匿名化処理を行う（ステップＳ１０９０）。
【０１５９】
匿名化後、匿名化装置５０は、リアルタイム配信を示す情報を匿名情報と共に管理サーバ２０へ送信する（ステップＳ１０９２）。
【０１６０】
一方、管理サーバ２０は、図３１に示す配信の処理を定期的に起動させ、先ず、各ユーザの設定情報を設定情報ＤＢ２３６から読み出す（ステップＳ１０３２）。また、管理サーバ２０は、リアルタイム配信を示す情報を取得したか否かを判定する（ステップＳ１０３７）。リアルタイム配信を示す情報を取得した場合（ステップＳ１０３７，Ｙｅｓ）、管理サーバ２０は、当該情報と共に受信した匿名情報を設定情報に基づいて匿名化装置５０等の配信先に配信する（ステップＳ１０９７）。
【０１６１】
また、ステップＳ１０３７でリアルタイム配信を示す情報を取得していないと判定した場合（ステップＳ１０３７，Ｎｏ）、管理サーバ２０は、設定情報に基づき、現在時刻が所定期間毎に定められた配信タイミングに該当するか否か、即ち配信パターン１，２の配信タイミングか否かを判定する（ステップＳ１０５５）。所定期間毎の配信タイミングに該当する場合（ステップＳ１０５５，Ｙｅｓ）、管理サーバ２０は、ステップＳ１０５０で匿名化装置５０から受信した匿名情報等の配信情報を配信先へ配信する（ステップＳ１０６０）。管理サーバ２０は、例えば、配信パターン１の場合、配信情報として順位や匿名情報を配信し、配信パターン２の場合、予測情報や匿名情報を配信する。
【０１６２】
また、ステップＳ１０５５で、配信パターン１，２の配信タイミングでは無いと判定した場合（ステップＳ１０５５，Ｎｏ）、匿名化システム１０は、履歴情報を用いた配信タイミングか否か、即ち配信パターン４〜６か否かを判定する（ステップＳ１０６５）。ここで管理サーバ２０は、配信パターン４〜６でないと判定した場合には（ステップＳ１０６５，Ｎｏ）、図３１の処理を終了し、配信パターン４〜６であると判定した場合には（ステップＳ１０６５，Ｙｅｓ）、履歴情報を共通ＤＢ２３３から読み出し（ステップＳ１０７０）、匿名情報と比較して配信条件を満たしているか否かを判定する（ステップＳ１０７５）。
【０１６３】
配信条件を満たしていなければ（ステップＳ１０７５，Ｎｏ）、匿名化システム１０は、図３１の処理を終了させ、配信条件を満たしていれば（ステップＳ１０７５，Ｙｅｓ）、通知や順位、匿名情報を配信情報として匿名化装置５０等の配信先へ配信する（ステップＳ１０８０）。
図３２は、管理サーバ２０がプログラムに従って実行する統合匿名化辞書を作成する処理の説明図である。
【０１６４】
（３−２）統合匿名化辞書の作成
まず、管理サーバ２０は、各事業者の匿名化装置５０から各事業者の匿名化辞書を受信する（ステップＳ１０）。
【０１６５】
次に管理サーバ２０は、各事業者の匿名化辞書を統合する（ステップＳ２０）。なお、匿名化辞書を統合する際の具体的な処理については後述する。
【０１６６】
また、管理サーバ２０は、統合匿名化辞書を構成するワードの次元について、優先度を決定し（ステップＳ３０）、この優先度に基づいて統合匿名化辞書に採用する次元と採用しない次元とを選択する（ステップＳ４０）。
【０１６７】
そして、管理サーバ２０は、ステップＳ４０で選択した次元から構成される統合匿名化辞書を各匿名化装置５０へ配信する（ステップＳ５０）。
【０１６８】
図３３は、ステップＳ２０における匿名化辞書を統合する処理の説明図である。管理サーバ２０は、先ず、各事業者の匿名化辞書を記憶した辞書ＤＢ２３１から最下位のワードを抽出する（ステップＳ１１０）。例えば各事業者の匿名化辞書には、図２３に示すように「ソフトＡ」を抽象化した語が「伝票ソフト」と記憶されており、「ソフトＡ」に対して一段階上位のワードが「伝票ソフト」であることがわかる。同様に、「ソフトＺ」を抽象化した語が「伝票ソフト」であり、「ソフトＢ」を抽象化した語が「会計ソフト」である。
【０１６９】
更に、「ソフトＡ」や「ソフトＺ」に対して一段階上位のワードである「伝票ソフト」についても一段階上位のワードが「業務ソフト」と記憶されている。
【０１７０】
このように辞書ＤＢ２３１に上位・下位の関係と共に記憶されているワードのうち、下位のワードと対応付けられていないワード、即ち最も下位のワードを一つ抽出する。
【０１７１】
次に管理サーバ２０は、ステップＳ１１０で抽出したワードより一つ上位のワードを求め、一つ上位の段階（抽象化レベル）を設定する（ステップＳ１２０）。例えば、ステップＳ１１０で抽出したワードが「ソフトＡ」であれば、「伝票ソフト」を一段階上位のワードとして抽出する。
【０１７２】
管理サーバ２０は、ステップＳ１２０で抽出したワードと対応する一つ下位のワードと同じ段階（抽象化レベル）のワードを抽出する（ステップＳ１３０）。例えば、ステップＳ１２０で抽出したワードが「伝票ソフト」であれば、「ソフトＡ」と同じ段階の「ソフトＺ」が抽出される。
【０１７３】
更に、管理サーバ２０は、ステップＳ１３０で抽出したワードと対応する下位のワードがあれば抽出し、対応する下位のワードが無くなるまで下位のワードの抽出を繰り返す（ステップＳ１４０）。
【０１７４】
ステップＳ１４０で、下位のワードが出尽くした場合に、管理サーバ２０は、直前のステップＳ１２０又はステップＳ１６０で設定した段階が最上位か否か、即ち更に上位のワードが存在するか否かを判定し、最上位でなければ（ステップＳ１５０，Ｎｏ）、一つ上位のワードを求め、一つ上位の段階（抽象化レベル）を設定してステップＳ１３０に戻る（ステップＳ１６０）。例えば、ステップＳ１２０で設定したワードが「伝票ソフト」であった場合、一つ上位のワード「業務ソフト」を求め、一つ上位の段階として設定する。
【０１７５】
そして、ステップＳ１３０へ戻り、ステップＳ１３０，Ｓ１４０の処理を行った後、ステップＳ１５０で、直前のステップＳ１２０又はステップＳ１６０で設定した段階が最上位と判定した場合（ステップＳ１５０，Ｙｅｓ）、前記複数の匿名化辞書に含まれる全てのワードの処理が終了したか否かを判定し（ステップＳ１７０）、残りのワードがあれば
（ステップＳ１７０，Ｎｏ）、ステップＳ１１０に戻って処理を繰り返し、全てのワードの処理が終了したならば（ステップＳ１７０，Ｙｅｓ）図３３の処理を終了する。
【０１７６】
（３−３）次元の説明
図３４は、図３３の処理によって作成される各次元の説明図である。図３４の例では、「ＩＴ製品」をルートとする次元について示している。即ち、図３４の次元において、「ＩＴ製品」が最上位の段階のワードである。
【０１７７】
「ＩＴ製品」は、その一つ下位の段階（図３４の例では段階４）のワードとして「ソフト」「ハード」が対応付けられている。そして、「ソフト」は、その一つ下位の段階（図３４の例では段階３）のワードとして「業務ソフト」「個人ソフト」が対応付けられている。
【０１７８】
また、「業務ソフト」は、その一つ下位の段階（図３４の例では段階２）のワードとして「伝票ソフト」「会計ソフト」「顧客管理ソフト」が対応付けられ、「伝票ソフト」は、その一つ下位の段階（図３４の例では段階１、最下位の段階）のワードとして「ソフトＡ」「ソフトＺ」が対応付けられている。なお、「個人ソフト」は、その一つ下位の段階のワードとして「ソフトＶ」「ソフトＵ」と対応付けられ、「ハード」は、その一つ下位の段階のワードとして「サーバＤ」「サーバＥ」と対応付けられている。
【０１７９】
このように本実施形態の統合部は、各事業者の匿名化辞書に基づいて図３４に示すような次元を複数作成する。ここで次元は、最上位のワードをルートとし、最下位のワードにかけて樹状に対応付けられた対応関係であり、最上位のワード毎に生成される。即ち統合部は、各事業者の匿名化辞書に含まれる全てのワードをまとめて樹状に対応つけて複数の次元とすることにより匿名化辞書を統合化している。そして、この複数の次元が、統合匿名化辞書である。
【０１８０】
図３５は複数の次元の説明図である。図３５に示すように、あるワードを抽象化する次元は複数存在し得る。例えば、図３５の次元ａでは、「ソフトウェアＡ」を「会計ソフト」、「業務ソフト」に抽象化し、次元ｃでは、「ソフトウェアＡ」を「ａ社製品」、「パッケージ」に抽象化する。また、次元ｂや次元ｄでもそれぞれ異なるワードに抽象化する。
【０１８１】
特に本実施形態の統合匿名化辞書は、多数の事業者の匿名化辞書を統合しているので、例えば数十〜数百の次元を含むことになり、全ての次元を用いて抽象化を行うと、データ量が膨大になってしまう。このため、本実施形態では、統合匿名化辞書の各次元について、抽象化に採用する次元の優先度を決定している。
【０１８２】
（３−４）優先度の説明
次に、図３５〜図３７を用いてステップＳ３０における優先度の決定処理の詳細について説明する。図３６は、図３５に示した次元に含まれる各ワードに重み付けをした例を示す図である。図３６の例では、各次元に含まれるワードの夫々が、当該ワードの段階と対応付けて記憶されると共に、三種類の重み付けが行われる。重み付け１では、重要フラグの有無を付し、重み付け２では、検索回数を付し、重み付け３では、ＳＥＭ（Search Engine Marketing）価格を付している。ここで重要フラグは、ユーザが重要か否かを入力し
た値であり、重要なワード、即ち抽象化に利用したいワードには重要と記録する（重要フラグを立てる）。
【０１８３】
また、優先度決定部２０３は、図２４に示す優先度ＤＢ２３２からワードの価値を読み出し、図３５に示すように対応するワードに重み付けとして付加する。
【０１８４】
そして図３５に示した次元のワードの数や、段階の和、各ワードの重み付けを次元毎に集計して、優先度を決定する。
【０１８５】
図３７は、各ワードの重みを集計して各次元の優先度を求める処理の説明図である。図３７において、次元ａの各ワードについて、ワード数、段階数の和、重み付け１、重み付け２、重み付け３を集計したものが表５１Ａである。同様に次元ｂを集計した表が５１Ｂ、次元ｃを集計した表が５１Ｃである。
【０１８６】
ワード数は、各次元に含まれるワードの総数であり、図３７の例では、次元ａが２５、次元ｂが５０、次元ｃが９である。このワード数が多いと、抽象化のバリエーションが多く、ｌ−多様性を満たし難くなる、即ち安全性が低くなることが考えられるが、データとしての詳細性は高いため、ワード数が多いものを優先する。
【０１８７】
段階数の和とは、段階の数に、当該段階に属するワードの数を乗じ、総計を求めたものであり、例えば（段階数５×ワード数１）＋（段階数４×ワード数２）＋（段階数３×ワード数２）＋（段階数２×ワード数３）＋（段階数１×ワード数９）＝３４と求める。この段階数の和が多いと、上位の段階が多く存在し、抽象度の高い選択肢が多く存在することになり、適切な抽象化レベルで抽象化可能で、安全性が高いため、段階数の和が多いものを優先する。
【０１８８】
同様に、重み付け１〜３についても、重要フラグの数や、検索回数、ＳＥＭ価格の総計を求め、この値の高い、即ち価値の高いものを優先する。
【０１８９】
そして、これらワード数、段階数の和、重み付け１〜３について、次式に基づいて全体出現率（全体数に対する割合）を求める。
【０１９０】
全体出現率＝ｔｆ／ｉｄｆ
＝次元ａの値／（次元ａの値＋次元ｂの値＋次元ｃの値＋・・・）
この全体出現率を各次元について比較したものが表５２である。表５２の各次元について、ワード数、段階数の和、重み付け１〜３の全体出現率を合計して全体優先度を定めている。
【０１９１】
このように各次元について全体優先度を求め、この全体優先度に基づいて次元選択部２０７が統合匿名化辞書に採用する次元と採用しない次元とを選択する。例えば、次元選択部２０７が表５２の全体優先度を参照し、全体優先度が高い順に所定数の次元を採用し、これ以外の全体優先度が低い次元は採用しない。
【０１９２】
なお、選択の基準は、全体優先度の順だけでなく、重要フラグを含む次元は採用し、重要フラグを含まない次元については全体優先度が高い順に所定数の次元を採用するといったように選択条件を設定しても良い。
【０１９３】
また、選択の対象は、例えば統合匿名化辞書に含まれる全ての次元を選択の対象とし、全体優先度に基づいて所定数の次元を採用しても良いし、同じワードを含む次元毎に選択の対象とし、全体優先度に基づいて所定数の次元を採用しても良い。
【０１９４】
（３−５）匿名化方法
図３８は、ステップＳ１０５０において、統合匿名化辞書を用いて匿名化装置が実行する匿名化の処理の説明図である。匿名化装置５０は、ステップＳ１０３５で未処理と判定した対象期間に該当する個人情報を個人情報ＤＢ１３１から読み出して取得し（ステップ
Ｓ２１０）、対象データ中の各ワードについて、価値データが検索情報蓄積ＤＢ１４２に存在するか否かを判定する（ステップＳ２２０）。匿名化装置５０は、全てのワードの価値データが検索情報蓄積ＤＢ１４２に存在する場合にはステップＳ２３０へ移行し（ステップＳ２２０，Ｙｅｓ）、足りない価値データがある場合（ステップＳ２２０，Ｎｏ）、当該ワードの価値データを外部の装置、本例では検索エンジンから取得する（ステップＳ２４０）。そして、匿名化装置５０は、検索情報蓄積ＤＢ１４２に存在するワードの価値情報を検索情報蓄積ＤＢ１４２から取得する（ステップＳ２３０）。
【０１９５】
また、匿名化装置５０は、匿名性を満たすため対象データの各項目を抽象化したワード（カテゴリ）に置き換えて抽象化候補データを作成する（ステップＳ２５０）。なお、抽象化可能な項目が複数存在する場合には、各項目を抽象化した場合と抽象化しない場合の全てのパターンを作成する。
【０１９６】
例えば対象データに三つの項目Ａ，Ｂ，Ｃが含まれ、全項目について抽象化が可能で、抽象化した項目をＡ´，Ｂ´，Ｃ´とした場合、図１３に示すように、項目Ａだけを抽象化した場合Ａ´，Ｂ，Ｃや、項目Ａ，Ｂを抽象化した場合Ａ´，Ｂ´，Ｃなど、七つの候補パターンが作成できる。また、全項目を用いるものに限らず、Ａ´，ＢやＢ´，Ｃなど、一部の項目を用いた候補パターンを作成しても良い。例えば、項目Ａ，Ｂ、項目Ａ´，Ｂ、項目Ａ，Ｂ´、項目Ａ´，Ｂ´や、項目Ｂ，Ｃ、項目Ｂ´，Ｃ、項目Ｂ，Ｃ´、項目Ｂ´，Ｃ´、項目Ａ，Ｃ、項目Ａ´，Ｃ、項目Ａ，Ｃ´、項目Ａ´，Ｃ´のような候補を作成しても良い。このとき省略しない項目（必須項目）を予め設定しておき、この必須項目以外の項目を省略した候補パターンを作成しても良い。なお、匿名化システム１０は、候補パターンの項目数をステップＳ１１２５で取得した対象期間の長さに応じて定めても良い。例えば、対象期間が１０分であれば項目数１〜３、１時間であれば項目数２〜５、１日以上であれば項目数５〜８のように、対象期間毎に候補パターンの項目数の範囲を定めて記憶部に記憶しておき、ステップＳ１１２５で取得した対象期間と対応する項目数の範囲を読み出し、この項目数の範囲で候補パターンを作成しても良い。
【０１９７】
また、一つの項目について、抽象化可能な次元が、統合匿名化辞書に複数存在する場合には、当該項目を複数に増やして、それぞれの次元で抽象化を行う。例えば所属企業の項目について、上場企業又は非上場企業に抽象化する次元ｐと、ＩＴ関連企業、教育関連企業、出版業のように業種に抽象化する次元ｑとが存在する場合、所属企業の項目を次元ｐで抽象化した所属企業（上場／非上場）の項目と、次元ｑで抽象化した所属企業（業種）の項目とに、それぞれ抽象化する。換言すれば、三つの項目Ａ，Ｂ，Ｃのうち、項目Ｂについて抽象化可能な次元が二つ存在する場合に、項目Ａ，Ｂ１´，Ｂ２´，Ｃのように四つの項目に抽象化する。即ち図１３の例では、項目Ｂ´に代えて項目Ｂ１´，Ｂ２´に抽象化する七つの候補パタンーンが作成できる。
【０１９８】
次に匿名化装置５０は、抽象化候補データに含まれる各ワードの価値データに基づいて各パターンの抽象化候補データの価値を算出し（ステップＳ２６０）、この抽象化候補データの価値に基づいて検定の順番を決定する（ステップＳ２７０）。例えばこの価値が高い順（降順）に検定の順番を決定する。なお、全ての候補パターンについて検定を行うことが望ましいが、この抽象化候補データの価値に基づき、価値の低過ぎる抽象化候補データを順番から外しても良い。例えば、価値の高い順番で、所定番目以降或いは全体数の半分より価値の低い順番など、価値の順番が候補パターンの全数と比べて所定割合より低い価値の抽象化候補データを外しても良い。また、抽象化候補データの価値が対象データの価値に対して所定割合未満となった抽象化候補データを外しても良い。これにより検定数が少なくなり、処理時間の短縮化が図れる。
【０１９９】
この検定の順番に従い、匿名化装置５０は、抽象化候補データの匿名性を検定する（ス
テップＳ２８０）。例えば、ｋ−匿名性を検定するため、一個人と対応付けられた異なる項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。或いは、ｌ多様性を検定するため、一個人と対応付けられた同じ項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。そして、この存在数のうち最小のものを最低出現数（ｋ値／ｌ値）として求め（ステップＳ２９０）、この最低出現数が１を超えているか否かを判定する（ステップＳ３００）。即ち、ここでｋ値が１を超えていればｋ−匿名性を満たし、１であればｋ−匿名性を満たさない。同様にｌ値が１を超えていればｌ−多様性を満たし、１であればｌ−多様性を満たさない。
【０２００】
最低出現数（ｋ値／ｌ値）が１を超えていない場合（ステップＳ３００，Ｎｏ）、匿名化装置５０は、抽象化候補データのうち、少なくとも一つの項目の値を更に抽象化する、即ち抽象化したワードに置き換え（ステップＳ３１０）、ステップＳ２８０に戻る。
【０２０１】
一方、最低出現数（ｋ値／ｌ値）が１を超えている場合（ステップＳ３００，Ｙｅｓ）、匿名化装置５０は、当該抽象化候補データの価値と元の対象データの価値との差分を求め（ステップＳ３２０）、この差分や、この差分に基づく値、例えば対象データの価値に対する差分の割合、対象データの価値に対する抽象化候補データの価値の割合を当該抽象化候補データの価値として決定する（ステップＳ３３０）。
【０２０２】
また、匿名化装置５０は、検定していない候補パターンがあるか否かを判定し（ステップＳ３４０）、検定していない候補パターンがあれば（ステップＳ３４０，Ｙｅｓ）、ステップＳ２７０で決定した順番に従って、次の順番の抽象化候補データを特定し（ステップＳ３５０）、ステップＳ２８０に戻って次の抽象化候補データについて検定を行う。
【０２０３】
このように各パターンの抽象化候補データについて検定を繰り返し、次の候補パターンが無くなった場合（ステップＳ３４０，Ｎｏ）、匿名化装置５０は、ステップＳ３２０で各抽象化候補データの価値に基づいて、採用すべき抽象化候補データを選択し（ステップＳ３６０）、選択した抽象化候補データを匿名情報として管理サーバ２０へ送信して（ステップＳ３７０）、図３８の処理を終了する。
【０２０４】
抽象化候補データの選択は、例えば、全候補パターンの中で最も価値の高い抽象化候補データを選択する。また、匿名化装置５０は、全候補パターンの中から価値の高い順に複数の抽象化候補データを出力し、この出力された抽象化候補データの中から操作者が適切だと思う抽象化候補データを指定し、この指定された抽象化候補データを選択しても良い。
【０２０５】
§４．匿名情報の具体例
次に図３９，図４０を用いて匿名情報の具体例について説明する。図３９は、Ａ社における匿名化の例を示す図であり、図３９（ａ）は、Ａ社が収集した個人情報、図３９（ｂ）は、図３９（ａ）の個人情報をＡ社独自の匿名化辞書で匿名化した場合の匿名情報の例を示す図、図３９（ｃ）は、図３９（ａ）の個人情報を統合匿名化辞書で匿名化した場合の匿名情報の例を示す図である。
【０２０６】
Ａ社の匿名化装置５０は、図３９（ａ）の個人情報を独自の匿名化辞書で匿名化した場合、図３９（ｂ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を上場企業又は非上場企業に、役職を管理職や社員、アルバイトに抽象化する。
【０２０７】
これに対して、Ａ社の匿名化装置５０は、図３９（ａ）の個人情報を統合匿名化辞書で匿名化した場合、図３９（ｃ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を上場企業又は非上場企業、及び所属企業を業種に抽象化する。ま
た、Ａ社の匿名化装置５０は、統合匿名化辞書を用いた場合、役職をマネージャやスタッフに、興味を示した商品を伝票ソフトやサーバに抽象化すると共に、来訪ブースの項目を追加して、Ａ社に来訪した人のデータであることを示す値「Ａ社」を入力する。
【０２０８】
一方、図４０は、Ｂ社における匿名化の例を示す図であり、図４０（ａ）は、Ｂ社が収集した個人情報、図４０（ｂ）は、図４０（ａ）の個人情報をＢ社独自の匿名化辞書で匿名化した場合の匿名情報の例を示す図、図４０（ｃ）は、図４０（ａ）の個人情報を統合匿名化辞書で匿名化した場合の匿名情報の例を示す図である。
【０２０９】
Ｂ社の匿名化装置５０は、図４０（ａ）の個人情報を独自の匿名化辞書で匿名化した場合、図４０（ｂ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を業種に、職種を開発や総務に抽象化する。
【０２１０】
これに対して、Ｂ社の匿名化装置５０は、図４０（ａ）の個人情報を統合匿名化辞書で匿名化した場合、図４０（ｃ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を上場企業又は非上場企業、及び所属企業を業種に抽象化する。また、Ｂ社の匿名化装置５０は、統合匿名化辞書を用いた場合、職種を技術職や事務に、興味を示した商品を会計ソフトやサーバに抽象化すると共に、来訪ブースの項目を追加して、Ｂ社に来訪した人のデータであることを示す値「Ｂ社」を入力する。
【０２１１】
このように各事業者の匿名化装置５０は、統合匿名化辞書に基づいて所属企業の項目を複数の次元で抽象化する。前述のように統合匿名化辞書には優先度の高い次元が採用されているので、この統合匿名化辞書に存在する次元で抽象化することにより、各事業者にとって有用な抽象化を行うことができる。
【０２１２】
また、前述のように匿名化辞書を統合したことにより、抽象化する際のワードの対応関係が再編され、Ａ社の役職やＢ社の職種のように独自の項目についても共通の次元で抽象化されるので、類似の項目を有する他社のデータと比較することができる。
【０２１３】
§５．実施形態の効果
以上のように本実施形態２によれば、利用者側の指定する対象期間内の個人情報を対象データとして匿名化を行うので、対象期間の長さによって匿名化するための抽象化の程度を異ならせて、対象期間と抽象化後の価値に基づいた適切な匿名化処理を行うことができる。また、複数の事業者の匿名化装置が、匿名化辞書を統合した共通の統合匿名化辞書を用いて匿名化を行うことで、この匿名情報を各事業者が一元的に利用できる。
【０２１４】
特に、各事業者で匿名化したワードの抽象化レベルが異なっていたとしても、共通の匿名化辞書を用いているので、抽象化レベルをそろえて集計などに利用でき、利便性が高い。
【０２１５】
また、各事業者で用いられている匿名化辞書を統合した統合匿名化辞書で匿名化された匿名情報、即ち共通ＤＢ２３３に登録された匿名情報は、各事業者で利用している匿名化の情報を反映しているため、共通ＤＢ２３３の匿名情報から他社の動向を知ることができる。例えば、各事業者の匿名化辞書で共通して用いられている次元の場合、統合匿名化辞書を作成する際、当該次元に属するワードや段階が各事業者の匿名化辞書から集まるため、必然的に多くなり、優先度が高くなって当該次元が統合匿名化辞書に採用される。このため、統合匿名化辞書に採用された次元で匿名化された匿名情報は、各事業者で利用度の高い情報であることが分かる。
【０２１６】
また、匿名情報が所定条件を満たしたことを契機に配信を行うことにより、他の事業者
の匿名情報を含めた匿名情報全体に基づいて所定の処理を開始させるための契機を提供できる。例えば、複数の事業者が収集した匿名情報に基づいて、キャンペーンを行うことやデジタルサイネージに表示するコンテンツを変更するなど、展示会に参加している複数事業者全体に係る処理を適切に行うことができる。
【０２１７】
§７．変形例
上記の例では、展示会における個人情報の匿名化の例を示したが、本実施形態２の匿名化システム１００は、ショッピングモールや商店街における各店舗で収集された個人情報の匿名化に適用しても良い。
【０２１８】
図４１はショッピングモールの各店舗で収集された個人情報の匿名化の例を示す図である。図４１の例では、同じショッピングモールに出店している店舗（事業者）Ｄ〜Ｆの匿名化装置５０が、夫々個人情報を匿名化して管理サーバ２０の共通ＤＢに登録する。なお、図４１のシステムにおいても統合匿名化辞書の作成方法や統合匿名化辞書を用いた匿名化の方法、配信方法は、前述の実施形態２と同じである。
【０２１９】
店舗Ｄは、飲食店であり、事前に顧客のメールアドレスや性別、年齢を記憶部に登録しておき、メールでの予約の受け付けやメールクーポンの送信を行う。そして、顧客が来店時に予約のメールやメールクーポンを提示した場合に、このメールから匿名化装置５０が顧客のＩＤやメールアドレスを取得し、対応する顧客の情報を記憶部から読み出し、来店者情報として記憶部に記憶する。なお、顧客のＩＤやメールアドレスの取得は、例えばメール中に二次元バーコード等を含めておき、この二次元バーコードを読み取り機で読み取って匿名化装置５０に送信する。また、顧客のＩＤやメールアドレスを店舗の担当者が聞き取って匿名化装置５０に入力しても良い。また、来店者情報には、前記顧客の情報に加えて、来店人数（大人の人数、子供の人数）や、購入商品、金額等を入力しても良い。
【０２２０】
図４１において、Ｄ１は店舗Ｄが取得した個人情報を示し、Ｄ２がＤ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。図４１に示すように匿名情報Ｄ２は、年代、性別、購入商品、購入金額を有している。
【０２２１】
店舗Ｅは、クリーニング店であり、顧客にスタンプカードを配布し、クリーニングの代金に応じてスタンプを押し、スタンプが１０個たまった場合に景品を提供する。この景品の提供時に顧客の性別や年齢等の情報を聞き取って匿名化装置５０へ入力する。なお、景品の提供時に限らず、スタンプカードの配布時に顧客の氏名や性別、年齢を記憶部に登録しておき、顧客が来店時にスタンプカードを提示した場合に、このスタンプカードから匿名化装置５０が顧客のＩＤや氏名を取得して、対応する顧客の情報を記憶部から読み出し、来店者情報として記憶部に記憶する。なお、顧客のＩＤや氏名の取得は、例えばスタンプカードに二次元バーコード等を付しておき、この二次元バーコードを読み取り機で読み取って匿名化装置５０に送信する。また、顧客のＩＤや氏名を店舗の担当者が聞き取って匿名化装置５０に入力しても良い。また、来店者情報には、前記顧客の情報に加えて、来店人数（大人の人数、子供の人数）や、クリーニング種類、金額等を入力しても良い。
【０２２２】
図４１において、Ｅ１は店舗Ｅが取得した個人情報を示し、Ｅ２がＥ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。
【０２２３】
また、店舗Ｆは、スーパーマーケットであり、事前に顧客のメールアドレスや氏名、性別、年齢を記憶部に登録し、顧客に会員カードを配布しておく。そして、顧客が会計時に会員カードを提示すると代金を５％割引し、このとき会員カードから匿名化装置５０が顧客のＩＤや氏名を取得して、対応する顧客の情報を記憶部から読み出し、来店者情報として記憶部に記憶する。なお、顧客のＩＤや氏名の取得は、例えば会員カードに二次元バー
コードやＲＦＩＤタグ等を付しておき、この二次元バーコードやＲＦＩＤタグを読み取り機で読み取って匿名化装置５０に送信する。また、来店者情報には、前記顧客の情報に加えて、子連れか否かや、購入商品、金額等を入力しても良い。
【０２２４】
図４１において、Ｆ１は店舗Ｆが取得した個人情報を示し、Ｆ２がＦ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。
【０２２５】
このようにショッピングモールにおいても、複数の店舗がそれぞれに収集した個人情報を共通の統合匿名化辞書を用いて匿名化を行い、匿名情報を共通ＤＢ２３３に登録することで、この匿名情報を一元的に利用することができる。
【０２２６】
例えば、ある店舗で女性を優遇するキャンペーンを行った結果、女性の来店者が増えた場合に、他の店舗においても共通ＤＢの匿名情報から女性客の増加を知ることができ、女性向けメニューを増やすことで相乗効果を狙うといったマーケティングに利用できる。
【０２２７】
また、子供連れの顧客の割合が所定値以上となった場合に、デジタルサイネージに表示するコンテンツを子供向けに変更するなど、ショッピングモール全体に係る処理を適切に行うことができる。
【０２２８】
一方、図４２はナビゲーションシステムの位置情報（個人情報）を匿名化する例を示す図である。図４２の例では、各車両のナビゲーションシステム６１から事業者Ｇ〜Ｉの匿名化装置５０へ位置情報を送信し、各事業者Ｇ〜Ｉの匿名化装置５０が、夫々個人情報を匿名化して管理サーバ２０の共通ＤＢに登録する。なお、図４２のシステムにおいても統合匿名化辞書の作成方法や統合匿名化辞書を用いた匿名化の方法、配信方法は、前述の実施形態２と同じである。
【０２２９】
事業者Ｇは、予め各運転者にＩＤを割り当て、この運転者ＩＤと共に運転者のメールアドレスや性別、年齢等を運転者情報として記憶部に登録しておく。そして、車両に搭載したナビゲーションシステム６１が、定期的に車両の位置情報を運転者ＩＤと共に事業者Ｇの匿名化装置５０へ送信する。
【０２３０】
位置情報及び運転者ＩＤを受診した匿名化装置５０は、運転者のＩＤと対応する運転者情報を記憶部から読み出して位置情報と共に記憶する。そして匿名化装置５０は、この位置情報及び運転者情報を統合匿名化辞書を用いて匿名化する。図４２において、Ｇ１は事業者Ｇが取得した個人情報を示し、Ｇ２がＧ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。なお、図４２の例では、位置情報を統合匿名化辞書に基づきメッシュコードや行政区に抽象化している。例えば、ナビゲーションシステム６１から車両の位置情報として緯度及び経度を受信した場合に、当該緯度及び経度が示す地点を含む標準地域メッシュのメッシュコードや、前記地点を含む行政区に抽象化する。図４２において匿名情報Ｄ２は、年代、性別、メッシュコード、行政区を有している。
【０２３１】
事業者Ｈ，Ｉについても上記事業者Ｇと同様に、予め運転者情報を登録しておき、各車両のナビゲーションシステム６１から位置情報及び運転者ＩＤを受診した場合に匿名化装置５０が、運転者ＩＤと対応する運転者情報を記憶部から読み出して位置情報と共に記憶する。そして匿名化装置５０は、この位置情報及び運転者情報を統合匿名化辞書を用いて匿名化する。図４２において、Ｈ１は事業者Ｈが取得した個人情報を示し、Ｈ２がＨ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。また、Ｉ１は事業者Ｉが取得した個人情報を示し、Ｉ２がＩ１の個人情報を統合匿名化辞書で匿名化した匿名情報を示す。
【０２３２】
このように車両の位置情報についても、複数の事業者がそれぞれに収集した位置情報を共通の統合匿名化辞書を用いて匿名化を行い、匿名情報を共通ＤＢ２３３に登録することで、この匿名情報を一元的に利用することができる。
【０２３３】
〈実施形態３〉
前述の実施形態２では、複数の事業者がそれぞれ個人情報を取得して匿名化を行った例を示したが、これに限らず展示会の主催者が個人情報を一括して記憶部に蓄積し、統合匿名化辞書を用いて匿名化する構成であっても良い。本実施形態３は、前述の実施形態２と比べて、個人情報を主催者側の装置で匿名化する構成が異なり、その他の構成は同じである。このため、実施形態１，２と異なる構成を主に説明し、同一の要素には同符号を付す等して再度の説明を省略する。
【０２３４】
図４３は本実施形態３の匿名化システム３００の機能ブロック図である。匿名化システム３００は、複数の事業者が出展する展示会において、各事業者が来場者から収集した個人情報の匿名化を行うシステムであり、統合匿名化辞書の作成や個人情報の匿名化及び匿名情報の配信を行う。
【０２３５】
本実施形態３では、各事業者が取得した個人情報を事業者端末３０から匿名化システム３００へ送信し、匿名化システム３００が各事業者で取得した個人情報を一括して記憶部に記憶する。即ち主催者は、個人情報を取得した夫々の事業者との間で当該個人情報を共有し、他の事業者に対しては個人情報を匿名化して提供する。例えば、事業者Ａが取得した個人情報を事業者Ｂ，Ｃを含む他の事業者に提供する場合には、匿名化して提供する。
【０２３６】
図４３に示すように、匿名化システム３００は、辞書取得部２０１や、統合部２０２、優先度決定部２０３、匿名情報制御部２０６、次元選択部２０７、配信部２０９、データ取得部１０１、抽象化部１０２、検定部１０３、選択部１０４、匿名情報登録部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、設定情報登録部１２１、期間取得部１２２、予測部１２３、検索情報蓄積ＤＢ１４５、設定情報ＤＢ１４６、辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３、個人情報ＤＢ２３４を備えている。即ち、本実施形態３の匿名化システム３００は、辞書取得部２０１、統合部２０２、優先度決定部２０３及び次元選択部２０７を備えた辞書作成装置であり、抽象化部１０２、検定部１０３、匿名情報制御部２０６を備えた匿名化装置でもある。
【０２３７】
辞書取得部２０１は、対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した複数の匿名化辞書を各事業者の事業者端末３０から取得する。本実施形態では、各事業者の事業者端末３０から送信された匿名化辞書を辞書取得部２０１が受信し、辞書ＤＢ２３１に登録する。
【０２３８】
統合部２０２は、各事業者の事業者端末３０から取得した複数の匿名化辞書を統合して統合匿名化辞書を作成し、辞書ＤＢ２３１に記憶させる。
【０２３９】
優先度決定部２０３は、前記統合匿名化辞書を構成する次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する。例えば、優先度決定部２０３は、各次元に含まれる語の数、各次元に含まれる語について上位と下位の関係にある段階の数、各次元に含まれる語の価値のうち少なくとも一つに基づいて前記優先度を決定する。なお、前記語について予め定めた値を、例えば優先度ＤＢ２３２が記憶しておき、優先度決定部２０３は、優先度ＤＢ２３２を参照して優先度を決定する。
【０２４０】
次元選択部２０７は、前記統合部２０２で生成した複数の次元のうち、統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する。
【０２４１】
データ取得部１０１は、事業者端末３０から個人情報を取得して個人情報ＤＢ２３４に記憶させる。また、データ取得部１０１は、匿名化の際、この個人情報ＤＢ２３４の個人情報のうち対象期間に該当するものを対象データとして読み出す。
【０２４２】
抽象化部１０２は、記憶部から個人情報を読み出して対象データとし、統合匿名化辞書を参照して前記対象データ中の項目の値である語を前記優先度に基づいて抽象化した語に替えて匿名化候補データを生成する。
【０２４３】
検定部１０３は、前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する。例えば、検定部１０３は、抽象化候補データの項目の値の組み合わせが、ｋ−匿名性を満たすこと、或いはｌ−多様性を満たすことを条件として検定する。
【０２４４】
匿名情報制御部２０６は、匿名情報の出力処理等を制御する。例えば、匿名情報制御部２０６は、前記検定の条件を満たした抽象化候補データを匿名情報として共通ＤＢ２３３に登録する、即ち共通ＤＢ２３３に記憶させる。また、匿名情報制御部２０６は、事業者端末３０等の情報処理装置から匿名情報の取得要求を受けた場合に、該当する匿名情報を要求元の情報処理装置へ配信する。本実施形態３において、匿名情報制御部２０６は、出力部の一形態である。
【０２４５】
また、事業者端末３０は、図４３に示すように、データ入力部３１１や、匿名情報取得部３１２、設定情報送信部３１３を備えている。
【０２４６】
データ入力部３１１は、個人と対応付けられた複数の項目を含むデータ、即ち個人情報を取得する。例えば来場者が記載したアンケートや来場者から聞き取った個人情報をキーボード等から入力を受け、匿名化システム３００へ送信する。また、データ入力部３１は、来場者の名刺やアンケートに記載された事項を読み取り、ＯＣＲ（Optical Character Recognition）により電子データとして取得する、又は来場者のＲＦ−ＩＤタグやＩＣチ
ップ等から当該来場者の情報を取得し、匿名化システム３００へ送信しても良い。
【０２４７】
匿名情報取得部３１２は、匿名化システム３００から匿名情報を取得し、表示部への表示や記憶部への記憶といった出力を行う。
【０２４８】
設定情報送信部３１３は、ユーザによって入力された対象期間や配信条件等の設定情報を匿名化システム３００へ送信する。
【０２４９】
図４４は匿名化システム３００のハードウェア構成を示す図である。管理サーバ２０は、ＣＰＵ２１、メモリ２２、通信制御部２３、記憶装置２４、入出力インタフェース２５を有する所謂コンピュータである。
【０２５０】
ＣＰＵ２１は、メモリ２２に実行可能に展開されたプログラムを実行し、前述の辞書取得部２０１や、統合部２０２、優先度決定部２０３、匿名情報制御部２０６、次元選択部２０７、配信部２０９、データ取得部１０１、抽象化部１０２、検定部１０３、選択部１０４、匿名情報登録部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、設定情報登録部１２１、期間取得部１２２、予測部１２３の機能を提供する。
【０２５１】
メモリ２２は、主記憶装置ということもできる。メモリ２２は、例えば、ＣＰＵ２１が実行するプログラムや、通信制御部２３を介して受信したデータ、記憶装置２４から読み
出したデータ、その他のデータ等を記憶する。
【０２５２】
通信制御部２３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース２５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。
【０２５３】
記憶装置２４は、プログラム、個人情報、設定情報等の情報を記憶する。また、記憶装置２４は、ドライブ装置やメモリ２２との間で、データを授受する。本実施形態３では、記憶装置２４が前述の辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３、個人情報ＤＢ２３４、検索情報蓄積ＤＢ１４５、設定情報ＤＢ１４６を格納している。
【０２５４】
図４５は事業者端末３０のハードウェア構成を示す図である。事業者端末３０は、ＣＰＵ３１、メモリ３２、通信制御部３３、記憶装置３４、入出力インタフェース３５を有する所謂コンピュータである。
【０２５５】
ＣＰＵ３１は、メモリ３２に実行可能に展開されたプログラムを実行し、前述のデータ入力部３１１や匿名情報取得部３１２、設定情報送信部３１３の機能を提供する。
【０２５６】
メモリ３２は、主記憶装置ということもできる。メモリ３２は、例えば、ＣＰＵ３１が実行するプログラムや、通信制御部３３を介して受信したデータ、記憶装置３４から読み出したデータ、その他のデータ等を記憶する。
【０２５７】
通信制御部３３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース３５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置３４に格納する。
【０２５８】
記憶装置３４は、外部記憶装置ということもできる。記憶装置３４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置３４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置３４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。
【０２５９】
次に本実施形態３に係る匿名化方法について説明する。匿名化システム３００は、図９に示す蓄積処理を定期的に起動させ、事業者端末３０から個人情報を受信したか否かを確認する（ステップＳ１０１０）。ここで匿名化システム３００は、個人情報を受信していなければ（ステップＳ１０１０，Ｎｏ）、図９の処理を終了させ、個人情報を受信していれば（ステップＳ１０１０，Ｙｅｓ）、受信した個人情報を個人情報ＤＢ２３４に登録し（ステップＳ１０２０）、蓄積処理を終了する。このように匿名化システム３００は、図９の蓄積処理を繰り返し実行し、各事業者の端末３０から受信した個人情報を随時個人情報ＤＢ２３４に登録する。
【０２６０】
また、匿名化システム３００は、図１０に示す処理を定期的に起動させ、先ず、各ユーザの設定情報を設定情報ＤＢ１４６から読み出す（ステップＳ１０３０）。
【０２６１】
次に、匿名化システム３００は、読み出した設定情報に処理を行っていない対象期間があるか否かを判定する（ステップＳ１０３５）。未処理の対象期間が無ければ（ステップ
Ｓ１０３５，Ｎｏ）、匿名化システム３００は、図１０の処理を終了し、未処理の対象期間が有れば（ステップＳ１０３５，Ｙｅｓ）、当該対象期間と対応付けられた配信情報が予測情報か否か、即ち当該対象期間と対応付けられた配信パターンが２か否かを判定する（ステップＳ１０４０）。ここで配信パターン２と判定した場合（ステップＳ１０４０，Ｙｅｓ）、匿名化システム３００は、対象期間の個人情報を対象データとして求め、この対象データ等に基づいて予測処理を行い、予測結果を求める（ステップＳ１０４５）。
【０２６２】
当該対象期間に該当する個人情報を対象情報として個人情報ＤＢ２３４から読み出す（ステップＳ１０４０）。そして、匿名化システム３００は、予測情報や対象データを匿名化する（ステップＳ１０５０）。例えば、予測情報が個人情報（対象データ）を含む場合には、この予測情報に含まれる個人情報を匿名化する。また、予測情報と共に配信する場合には、予測の対象とした対象データを匿名化する。
【０２６３】
一方、ステップＳ１０４０で配信パターン２では無いと判定した場合（ステップＳ１０４０，Ｎｏ）、予測処理を行わずに対象データの匿名化を行う（ステップＳ１０５０）。なお、匿名化の処理の詳細については、後述する。
【０２６４】
匿名化後、匿名化システム３００は、現在時刻が所定期間毎に定められた配信タイミングに該当するか否か、即ち配信パターン１，２の配信タイミングか否かを判定する（ステップＳ１０５５）。所定期間毎の配信タイミングに該当する場合（ステップＳ１０５５，Ｙｅｓ）、匿名化システム３００は、配信情報を配信先へ配信する（ステップＳ１０６０）。匿名化システム３００は、例えば、配信パターン１の場合、配信情報として順位や匿名情報を配信し、配信パターン２の場合、予測情報や匿名情報を配信する。
【０２６５】
また、ステップＳ１０５５で、配信パターン１，２の配信タイミングでは無いと判定した場合（ステップＳ１０５５，Ｎｏ）、匿名化システム３００は、履歴情報を用いた配信タイミングか否か、即ち配信パターン４〜６か否かを判定する（ステップＳ１０６５）。ここで匿名化システム３００は、配信パターン４〜６でないと判定した場合には（ステップＳ１０６５，Ｎｏ）、図１０の処理を終了し、配信パターン４〜６であると判定した場合には（ステップＳ１０６５，Ｙｅｓ）、履歴情報（過去の匿名情報）を共通ＤＢ２３３から読み出し（ステップＳ１０７０）、匿名情報と比較して配信条件を満たしているか否かを判定する（ステップＳ１０７５）。
【０２６６】
配信条件を満たしていなければ（ステップＳ１０７５，Ｎｏ）、匿名化システム３００は、図１０の処理を終了させ、配信条件を満たしていれば（ステップＳ１０７５，Ｙｅｓ）、通知や順位、匿名情報を配信情報として配信する（ステップＳ１０８０）。
【０２６７】
また、匿名化システム３００は、図１１に示すリアルタイム配信の処理を定期的に起動させ、先ず、各ユーザの設定情報を設定情報ＤＢ１４６から読み出す（ステップＳ１０８２）。次に匿名化システム３００は、リアルタイム配信を行う所定情報を取得したか否かを判定する（ステップＳ１０８５）。
【０２６８】
匿名化システム３００は、所定情報を取得していない場合（ステップＳ１０８５，Ｎｏ）、図１１の処理を終了し、所定情報を取得した場合（ステップＳ１０８５，Ｙｅｓ）、対象データの匿名化処理を行う（ステップＳ１０９０）。
【０２６９】
匿名化後、匿名化システム３００は、匿名情報をリアルタイムに配信先の端末３０へ配信する（ステップＳ１０９５）。
【０２７０】
次に図４６を用いてステップＳ１０５０における匿名化の処理について説明する。なお
、本実施形態３の匿名化システム３００は、各事業者の事業者端末３０から各事業者の匿名化辞書を受信して統合匿名化辞書を作成するが、この統合の処理は、図３２の処理と同じであるため、再度の説明を省略する。
【０２７１】
匿名化システム３００は、匿名化装置５０は、ステップＳ１０３５で未処理と判定した対象期間に該当する個人情報を個人情報ＤＢ１３１から読み出して取得し（ステップＳ６１０）、対象データ中の各ワードについて、価値データが検索情報蓄積ＤＢ１４２に存在するか否かを判定する（ステップＳ６２０）。匿名化システム３００は、全てのワードの価値データが検索情報蓄積ＤＢ１４２に存在する場合にはステップＳ６３０へ移行し（ステップＳ６２０，Ｙｅｓ）、足りない価値データがある場合（ステップＳ６２０，Ｎｏ）、当該ワードの価値データを外部の装置、本例では検索エンジンから取得する（ステップＳ６４０）。そして、匿名化システム３００は、検索情報蓄積ＤＢ１４２に存在するワードの価値情報を検索情報蓄積ＤＢ１４２から取得する（ステップＳ６３０）。
【０２７２】
また、匿名化システム３００は、匿名性を満たすため対象データの各項目を抽象化したワード（カテゴリ）に置き換えて抽象化候補データを作成する（ステップＳ６５０）。なお、抽象化可能な項目が複数存在する場合には、各項目を抽象化した場合と抽象化しない場合の全てのパターンを作成する。
【０２７３】
次に匿名化システム３００は、抽象化候補データに含まれる各ワードの価値データに基づいて各パターンの抽象化候補データの価値を算出し（ステップＳ６６０）、この抽象化候補データの価値に基づいて検定の順番を決定する（ステップＳ６７０）。
【０２７４】
この検定の順番に従い、匿名化システム３００は、抽象化候補データの匿名性を検定する（ステップＳ６８０）。例えば、ｋ−匿名性を検定するため、一個人と対応付けられた異なる項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。或いは、ｌ多様性を検定するため、一個人と対応付けられた同じ項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。そして、この存在数のうち最小のものを最低出現数（ｋ値／ｌ値）として求め（ステップＳ６９０）、この最低出現数が１を超えているか否かを判定する（ステップＳ７００）。即ち、ここでｋ値が１を超えていればｋ−匿名性を満たし、１であればｋ−匿名性を満たさない。同様にｌ値が１を超えていればｌ−多様性を満たし、１であればｌ−多様性を満たさない。
【０２７５】
最低出現数（ｋ値／ｌ値）が１を超えていない場合（ステップＳ７００，Ｎｏ）、匿名化システム３００は、抽象化候補データのうち、少なくとも一つの項目の値を更に抽象化する、即ち抽象化したワードに置き換え（ステップＳ７１０）、ステップＳ６８０に戻る。
【０２７６】
一方、最低出現数（ｋ値／ｌ値）が１を超えている場合（ステップＳ７００，Ｙｅｓ）、匿名化システム３００は、当該抽象化候補データの価値と元の対象データの価値との差分を求め（ステップＳ７２０）、この差分や、この差分に基づく値、例えば対象データの価値に対する差分の割合、対象データの価値に対する抽象化候補データの価値の割合を当該抽象化候補データの価値として決定する（ステップＳ７３０）。
【０２７７】
また、匿名化システム３００は、検定していない候補パターンがあるか否かを判定し（ステップＳ７４０）、検定していない候補パターンがあれば（ステップＳ７４０，Ｙｅｓ）、ステップＳ６７０で決定した順番に従って、次の順番の抽象化候補データを特定し（ステップＳ７５０）、ステップＳ６８０に戻って次の抽象化候補データについて検定を行う。
【０２７８】
このように各パターンの抽象化候補データについて検定を繰り返し、次の候補パターンが無くなった場合（ステップＳ７４０，Ｎｏ）、匿名化システム３００は、ステップＳ７２０で各抽象化候補データの価値に基づいて、採用すべき抽象化候補データを選択し（ステップＳ７６０）、選択した抽象化候補データを匿名情報として共通ＤＢ２３３へ登録する（ステップＳ７７０）。
【０２７９】
以上のように本実施形態３によれば、利用者側の指定する対象期間内の個人情報を対象データとして匿名化を行うので、対象期間の長さによって匿名化するための抽象化の程度を異ならせて、対象期間と抽象化後の価値に基づいた適切な匿名化処理を行うことができる。また、匿名化システム３００が、複数の事業者の匿名化辞書を統合した統合匿名化辞書を用いて匿名化を行うことで、各事業者に適合した匿名情報を提供することができる。
【０２８０】
また、匿名情報が所定条件を満たしたことを契機に配信を行うことにより、他の事業者の匿名情報を含めた匿名情報全体に基づいて所定の処理を開始させるための契機を提供できる。
【０２８１】
〈実施形態４〉
前述の実施形態２では、複数の事業者がそれぞれ匿名化装置を備え、展示会の主催者が管理サーバ（辞書作成装置）を備える構成を示したが、これに限らず複数の事業者がそれぞれ辞書作成装置と匿名化装置を含む匿名化システムを備えた構成であっても良い。本実施形態４は、前述の実施形態２と比べて、各事業者がそれぞれ匿名化システム４００を備えた構成が異なり、その他の構成は同じである。このため、実施形態１，２と異なる構成を主に説明し、同一の要素には同符号を付す等して再度の説明を省略する。
【０２８２】
図４７に示すように、匿名化システム４００は、辞書取得部２０１や、統合部２０２、優先度決定部２０３、匿名情報制御部２０６、次元選択部２０７、配信部２０９、データ取得部１０１、抽象化部１０２、検定部１０３、選択部１０４、匿名情報登録部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、設定情報登録部１２１、期間取得部１２２、予測部１２３、検索情報蓄積ＤＢ１４５、設定情報ＤＢ１４６、辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３、個人情報ＤＢ２３４を備えている。即ち、本実施形態４の匿名化システム４００は、辞書取得部２０１、統合部２０２、優先度決定部２０３及び次元選択部２０７を備えた辞書作成装置であると共に、データ取得部１０１や、抽象化部１０２、検定部１０３、出力制御部１１０を備えた匿名化装置でもある。
【０２８３】
辞書取得部２０１は、対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した複数の匿名化辞書を他の事業者の匿名化システム４００から取得する。本実施形態４では、他の事業者の匿名化システム４００から送信された匿名化辞書を辞書取得部２０１が受信し、辞書ＤＢ２３１に登録する。
【０２８４】
統合部２０２は、各事業者の匿名化装置５０から取得した匿名化辞書及び自社の匿名化辞書を統合して統合匿名化辞書を作成する。
【０２８５】
優先度決定部２０３は、前記統合匿名化辞書を構成する次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する。
【０２８６】
次元選択部２０７は、前記統合部２０２で生成した複数の次元のうち、統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する。
【０２８７】
辞書管理部２０４は、統合部２０２で作成された統合匿名化辞書を管理する。例えば辞
書管理部２０４は、統合匿名化辞書を辞書ＤＢ２３１から読み出して他の事業者の匿名化システム４００へ送信する。
【０２８８】
匿名情報制御部２０６は、匿名情報の出力処理等を制御する。例えば、匿名情報を他の事業者の匿名化システム４００へ送信する。本実施形態４において、匿名情報制御部２０６は、出力部の一形態である。
【０２８９】
データ取得部１０１は、個人と対応付けられた複数の項目を含むデータ、即ち個人情報を対象データとして取得する。
【０２９０】
抽象化部１０２は、前記次元からなる統合匿名化辞書を参照し、前記対象データ中の項目の値である語を前記優先度に基づいて抽象化した語に替えて匿名化候補データを生成する。
【０２９１】
検定部１０３は、前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する。
【０２９２】
図４８は匿名化システム４００のハードウェア構成を示す図である。匿名化システム４００は、ＣＰＵ２１、メモリ２２、通信制御部２３、記憶装置２４、入出力インタフェース２５を有する所謂コンピュータである。
【０２９３】
ＣＰＵ２１は、メモリ２２に実行可能に展開されたプログラムを実行し、前述の辞書取得部２０１や、統合部２０２、優先度決定部２０３、匿名情報制御部２０６、次元選択部２０７、配信部２０９、データ取得部１０１、抽象化部１０２、検定部１０３、選択部１０４、匿名情報登録部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、設定情報登録部１２１、期間取得部１２２、予測部１２３の機能を提供する。
【０２９４】
本実施形態４の匿名化システム４００では、匿名情報を交換する事業者へ匿名化辞書を渡して統合匿名化辞書を作成し、自社の個人情報を統合匿名化辞書で匿名化して他の事業者へ提供する。
【０２９５】
なお、統合匿名化辞書の作成の処理や、統合匿名化辞書を用いた匿名化の処理は、前述の実施形態と同様である。
【０２９６】
このように各事業者が匿名化システム４００を備えることで、展示会の主催者のように複数の事業者を取りまとめるものが存在しなくても事業者間で匿名情報を交換できる。
【０２９７】
これにより複数の事業者間で夫々の顧客の個人情報を匿名化して交換し、業務提携やマーケティング等の分析に用いることができる。
【０２９８】
〈その他〉
本発明は、上述の図示例にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。
【符号の説明】
【０２９９】
１     ＣＰＵ
２     メモリ
４     記憶装置
５     入出力インタフェース
１０   匿名化システム
１９   価値計算部
２０   管理サーバ
２２   メモリ
２３   通信制御部
２４   記憶装置
２５   入出力インタフェース
３０   端末
３１   データ入力部
３２   メモリ
３３   通信制御部
３４   記憶装置
３５   入出力インタフェース
５０   匿名化装置
５２   メモリ
５３   通信制御部
５４   記憶装置
５５   入出力インタフェース
６１   ナビゲーションシステム
７０   検索エンジン
７１   データ出力部
７２   検索ワード蓄積ＤＢ
７３   検索広告配信ＤＢ
１００ 匿名化システム
１０１ データ取得部
１０２ 抽象化部
１０３ 検定部
１０４ 選択部
１０５ 価値判定部
１０６ 匿名情報登録部
１０７ 価値データ取得部
１０８ ワードカテゴリ分析部
１０９ ワード価値計算部
１１０ 出力制御部
１２０ データ出力部
１２１ 設定情報登録部
１２２ 期間取得部
１２３ 予測部
１３１ 個人情報ＤＢ
１４２ 検索情報蓄積ＤＢ
１４４ 匿名化ＤＢ
１４５ 検索情報蓄積ＤＢ
１４６ 設定情報ＤＢ
２３１ 辞書ＤＢ
２３２ 優先度ＤＢ
２３３ 共通ＤＢ
２３４ 個人情報ＤＢ
２３６ 設定情報ＤＢ
２０１ 辞書取得部
２０２ 統合部
２０３ 優先度決定部
２０４ 辞書管理部
２０５ 匿名情報登録部
２０６ 匿名情報制御部
２０７ 次元選択部
２０８ 設定情報管理部
２０９ 配信部
３００ 匿名化システム
３１１ データ入力部
３１２ 匿名情報取得部
３１３ 設定情報送信部
４００ 匿名化システム
【図１】
2015069532.tif 000003
【図２】
2015069532.tif 000004
【図３】
2015069532.tif 000005
【図４】
2015069532.tif 000006
【図５】
2015069532.tif 000007
【図６】
2015069532.tif 000008
【図７】
2015069532.tif 000009
【図８】
2015069532.tif 000010
【図９】
2015069532.tif 000011
【図１０】
2015069532.tif 000012
【図１１】
2015069532.tif 000013
【図１２】
2015069532.tif 000014
【図１３】
2015069532.tif 000015
【図１４】
2015069532.tif 000016
【図１５】
2015069532.tif 000017
【図１６】
2015069532.tif 000018
【図１７】
2015069532.tif 000019
【図１８】
2015069532.tif 000020
【図１９】
2015069532.tif 000021
【図２０】
2015069532.tif 000022
【図２１】
2015069532.tif 000023
【図２２】
2015069532.tif 000024
【図２３】
2015069532.tif 000025
【図２４】
2015069532.tif 000026
【図２５】
2015069532.tif 000027
【図２６】
2015069532.tif 000028
【図２７】
2015069532.tif 000029
【図２８】
2015069532.tif 000030
【図２９】
2015069532.tif 000031
【図３０】
2015069532.tif 000032
【図３１】
2015069532.tif 000033
【図３２】
2015069532.tif 000034
【図３３】
2015069532.tif 000035
【図３４】
2015069532.tif 000036
【図３５】
2015069532.tif 000037
【図３６】
2015069532.tif 000038
【図３７】
2015069532.tif 000039
【図３８】
2015069532.tif 000040
【図３９】
2015069532.tif 000041
【図４０】
2015069532.tif 000042
【図４１】
2015069532.tif 000043
【図４２】
2015069532.tif 000044
【図４３】
2015069532.tif 000045
【図４４】
2015069532.tif 000046
【図４５】
2015069532.tif 000047
【図４６】
2015069532.tif 000048
【図４７】
2015069532.tif 000049
【図４８】
2015069532.tif 000050