(57)【要約】      （修正有）【課題】処理負荷の軽減や不要な処理の削減を行い、ユーザにより設定された優先順位（重み付け）を考慮した表を高速に導き出す。【解決手段】入力されたデータを準識別子もしくは重要情報に分類し、該準識別子データの各属性ごとに優先順位を設定する。各データの評価ポイントを評価関数により算出し、それぞれの属性において、属性単体でｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行う。次に、一般化されたデータについて、トップダウン処理により、データの加工を行い、加工されたデータについて、ボトムアップ処理により、データの加工を行う。上記の２つの処理を繰り返して、設定された優先順位を考慮したデータセットを生成し、準識別子データから構成される属性値の組をグループ化し、クラスタを形成してｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行なって匿名データセットとして出力する。【選択図】図６
2015114871.tif 000002
【特許請求の範囲】
【請求項１】
データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、
入力されたデータを準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）もしくは重要情報（Ｓｅｎｓｉｔｉｖｅ  Ｉｎｆｏｒｍａｔｉｏｎ）に分類する分類手段と、
公開情報を利用する利用者の要求条件を考慮して、該準識別子データの各属性ごとに優先順位（重み付け）を設定する設定手段と、
該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを評価関数により算出する算出手段と、
それぞれの属性において、属性単体でｋ−匿名性を満たすようにデータの一般化を行う処理手段と、
該一般化されたデータについて、前記算出した評価ポイントの増加分が最大となるトップダウン処理により、データの加工を行う第１のデータ加工手段と、
該第１のデータ加工手段において加工されたデータについて、前記算出した評価ポイントの減少分が最小となるボトムアップ処理により、データの加工を行う第２のデータ加工手段と、
前記第１のデータ加工手段による処理と前記第２のデータ加工手段による処理とを繰り返して、データセットを生成するデータセット生成手段と、
該生成されたデータセットにおいて、準識別子データから構成される属性値の組をグループ化し、クラスタを形成して、該形成したクラスタ単位で、ｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行なって、匿名化する部分匿名化処理手段と、
該部分匿名化処理手段が処理したデータセットを匿名データセットとして出力する匿名データセット出力手段と、
を備えたことを特徴とする公開情報のプライバシー保護装置。
【請求項２】
前記評価関数が少なくとも数１、数２であることを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
【数１】
2015114871.tif 000006
【数２】
2015114871.tif 000007
【請求項３】
前記第１のデータ加工手段が、各属性に対して、前記処理手段がトップダウン処理をしたデータに対して更なるトップダウン処理を行ったとした場合に取り得る属性の種類数と前記利用者が入力した優先順位情報とに基づいて、トップダウン処理による評価ポイントの増加分を概算することを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
【請求項４】
前記第１のデータ加工手段が、前記評価ポイントの増加分の概算結果が大きい順番にトップダウン処理を行うことを特徴とする請求項３に記載の公開情報のプライバシー保護装置。
【請求項５】
前記第１のデータ加工手段が、すべての属性が一致するデータからなるグループに対してトップダウン処理を行い、ｋ−匿名性およびｌ−多様性を満たすデータについて、各属性の属性値の数を算出して、評価ポイントを導出し、最も評価ポイントの高いものについて、処理を繰り返し、ｋ−匿名性およびｌ−多様性を満たさなくなった場合に、ｋ−匿名性およびｌ−多様性を満たさなくなったデータの中から最も評価ポイントが高いものを前記第２のデータ加工手段に出力することを特徴とする請求項３または４に記載の公開情報のプライバシー保護装置。
【請求項６】
前記第２のデータ加工手段が、属性およびすべての属性が一致するデータからなるグループに対してボトムアップ処理を行い、ｋ−匿名性およびｌ−多様性を満たすデータについて、各属性の属性値の数を算出して、評価ポイントを導出し、最も評価ポイントの高いものについて、処理を繰り返し、ｋ−匿名性を満たさなくなった場合に、ｋ−匿名性およびｌ−多様性を満たさなくなったデータの評価ポイントを比較し、前記第１のデータ加工手段において、最も評価ポイントが高いものを含めて、最大の評価ポイントであるデータを前記第１のデータ加工手段に出力することを特徴とする請求項５に記載の公開情報のプライバシー保護装置。
【請求項７】
前記属性の値が数値データでない場合に、木構造のデータとして扱うことを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
【請求項８】
データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、
コンピュータが、
入力されたデータを準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）もしくは重要情報（Ｓｅｎｓｉｔｉｖｅ  Ｉｎｆｏｒｍａｔｉｏｎ）に分類する第１のステップと、
公開情報を利用する利用者の要求条件を考慮して、該準識別子データの各属性ごとに優先順位（重み付け）を設定する第２のステップと、
該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを評価関数により算出する第３のステップと、
それぞれの属性において、属性単体でｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行う第４のステップと、
該一般化されたデータについて、前記算出した評価ポイントの増加分が最大となるトップダウン処理により、データの加工を行う第５のステップと、
該第５のステップにおいて加工されたデータについて、前記算出した評価ポイントの減少分が最小となるボトムアップ処理により、データの加工を行う第６のステップと、
前記第５のステップによる処理と前記第６のステップによる処理とを繰り返して、前記設定された優先順位（重み付け）を考慮したデータセットを生成する第７のステップと、
該生成されたデータセットにおいて、準識別子データから構成される属性値の組をグループ化し、クラスタを形成して、該形成したクラスタ単位で、ｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行なって、匿名化する第８のステップと、
該第８のステップで処理したデータセットを匿名データセットとして出力する第９のステップと、
を備えることを特徴とする公開情報のプライバシー保護方法。
【請求項９】
データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
コンピュータに、
入力されたデータを準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）もしくは重要情報（Ｓｅｎｓｉｔｉｖｅ  Ｉｎｆｏｒｍａｔｉｏｎ）に分類する第１のステップと、
公開情報を利用する利用者の要求条件を考慮して、該準識別子データの各属性ごとに優先順位（重み付け）を設定する第２のステップと、
該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを評価関数により算出する第３のステップと、
それぞれの属性において、属性単体でｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行う第４のステップと、
該一般化されたデータについて、前記算出した評価ポイントの増加分が最大となるトップダウン処理により、データの加工を行う第５のステップと、
該第５のステップにおいて加工されたデータについて、前記算出した評価ポイントの減少分が最小となるボトムアップ処理により、データの加工を行う第６のステップと、
前記第５のステップによる処理と前記第６のステップによる処理とを繰り返して、前記設定された優先順位（重み付け）を考慮したデータセットを生成する第７のステップと、
該生成されたデータセットにおいて、準識別子データから構成される属性値の組をグループ化し、クラスタを形成して、該形成したクラスタ単位で、ｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行なって、匿名化する第８のステップと、
該第８のステップで処理したデータセットを匿名データセットとして出力する第９のステップと、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、医療情報等の公開情報に対するプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムに関する。
【背景技術】
【０００２】
従来より、多くのデータに基づいて、統計処理を行って、例えば、特定の病気にかかりやすい年代、性別、地域、人種といった情報を広く公開して、その傾向分析を行い、その対策に用いる場合がある。
【０００３】
ところが、データを公開する場合には、そのデータの所有者が特定されないように、プライバシーを慎重に保護する必要があるため、データの変形処理を行う必要がある。そのため、今までにも、プライバシーを保護するためのデータの変形処理に関する技術が多く開示されている（例えば、非特許文献１参照。）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Ｂ．Ｆｕｎｇ  ａｎｄ  Ｋ．Ｗａｎｇ  ａｎｄ  Ｐ．Ｙｕ， “Ｔｏｐ−ｄｏｗｎ  ｓｐｅｃｉａｌｉｚａｔｉｏｎ ｆｏｒ  ｉｎｆｏｒｍａｔｉｏｎ  ａｎｄ ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖａｔｉｏｎ”Ｐｒｏｃ  ｏｆ  ＩＣＤＥ  ２００５  ｐｐ．２０５−２１６
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、これまでの手法においては、ｋ−匿名性を満たすためにすべてのデータを平等に扱っていたが、データ利用者が求める情報が欠落してしまうという問題点があった。また、データの加工時に各データに対して優先順位を設定し、特殊な関数を用いて変形したデータを評価することにより、データ利用者が求める情報を可能な限り保持する方法も考えられるが、早期に枝刈りを実施するため、必ずしも求めるような表が導出されるとは限らないという問題があった。また、最近では、ｌ−多様性という新しい指標も提案され高いレベルのプライバシー保護を求められるようになった。
【０００６】
そこで、本発明は、上述の課題に鑑みてなされたものであり、処理負荷の軽減や不要な処理の削減を行い、また、異なる評価関数を用いることで異なる特性を有する可能な限りユーザにより設定された優先順位（重み付け）を考慮した表を高速に導き出す公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
発明者は、上記の課題を解決するために、以下の事項を提案している。
【０００８】
（１）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、入力されたデータを準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）もしくは重要情報（Ｓｅｎｓｉｔｉｖｅ  Ｉｎｆｏｒｍａｔｉｏｎ）に分類する分類手段と、公開情報を利用する利用者の要求条件を考慮して、該準識別子データの各属性ごとに優先順位（重み付け）を設定する設定手段と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを評価関数により算出する算出手段と、それぞれの属性において、属性単体でｋ−匿名性を満たすようにデータの一般化を行う処理手段と、該一般化されたデータについて、前記算出した評価ポイントの増加分が最大となるトップダウン処理により、データの加工を行う第１のデータ加工手段と、該第１のデータ加工手段において加工されたデータについて、前記算出した評価ポイントの減少分が最小となるボトムアップ処理により、データの加工を行う第２のデータ加工手段と、前記第１のデータ加工手段による処理と前記第２のデータ加工手段による処理とを繰り返して、データセットを生成するデータセット生成手段と、該生成されたデータセットにおいて、準識別子データから構成される属性値の組をグループ化し、クラスタを形成して、該形成したクラスタ単位で、ｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行なって、匿名化する部分匿名化処理手段と、該部分匿名化処理手段が処理したデータセットを匿名データセットとして出力する匿名データセット出力手段と、を備えたことを特徴とする公開情報のプライバシー保護装置を提案している。
【０００９】
（２）本発明は、（１）の公開情報のプライバシー保護装置について、前記評価関数が少なくとも数１、数２であることを特徴とする公開情報のプライバシー保護装置を提案している。
【００１０】
（３）本発明は、（１）の公開情報のプライバシー保護装置について、前記第１のデータ加工手段が、各属性に対して、前記処理手段がトップダウン処理をしたデータに対して更なるトップダウン処理を行ったとした場合に取り得る属性の種類数と前記利用者が入力した優先順位情報とに基づいて、トップダウン処理による評価ポイントの増加分を概算することを特徴とする公開情報のプライバシー保護装置を提案している。
【００１１】
（４）本発明は、（３）の公開情報のプライバシー保護装置について、前記第１のデータ加工手段が、前記評価ポイントの増加分の概算結果が大きい順番にトップダウン処理を行うことを特徴とする公開情報のプライバシー保護装置を提案している。
【００１２】
（５）本発明は、（３）または（４）の公開情報のプライバシー保護装置について、前記第１のデータ加工手段が、すべての属性が一致するデータからなるグループに対してトップダウン処理を行い、ｋ−匿名性およびｌ−多様性を満たすデータについて、各属性の属性値の数を算出して、評価ポイントを導出し、最も評価ポイントの高いものについて、処理を繰り返し、ｋ−匿名性およびｌ−多様性を満たさなくなった場合に、ｋ−匿名性およびｌ−多様性を満たさなくなったデータの中から最も評価ポイントが高いものを前記第２のデータ加工手段に出力することを特徴とする公開情報のプライバシー保護装置を提案している。
【００１３】
（６）本発明は、（５）の公開情報のプライバシー保護装置について、前記第２のデータ加工手段が、属性およびすべての属性が一致するデータからなるグループに対してボトムアップ処理を行い、ｋ−匿名性およびｌ−多様性を満たすデータについて、各属性の属性値の数を算出して、評価ポイントを導出し、最も評価ポイントの高いものについて、処理を繰り返し、ｋ−匿名性を満たさなくなった場合に、ｋ−匿名性およびｌ−多様性を満たさなくなったデータの評価ポイントを比較し、前記第１のデータ加工手段において、最も評価ポイントが高いものを含めて、最大の評価ポイントであるデータを前記第１のデータ加工手段に出力することを特徴とする公開情報のプライバシー保護装置を提案している。
【００１４】
（７）本発明は、（１）の公開情報のプライバシー保護装置について、前記属性の値が数値データでない場合に、木構造のデータとして扱うことを特徴とする公開情報のプライバシー保護装置を提案している。
【００１５】
（８）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、コンピュータが、入力されたデータを準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）もしくは重要情報（Ｓｅｎｓｉｔｉｖｅ  Ｉｎｆｏｒｍａｔｉｏｎ）に分類する第１のステップと、公開情報を利用する利用者の要求条件を考慮して、該準識別子データの各属性ごとに優先順位（重み付け）を設定する第２のステップと、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを評価関数により算出する第３のステップと、それぞれの属性において、属性単体でｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行う第４のステップと、該一般化されたデータについて、前記算出した評価ポイントの増加分が最大となるトップダウン処理により、データの加工を行う第５のステップと、該第５のステップにおいて加工されたデータについて、前記算出した評価ポイントの減少分が最小となるボトムアップ処理により、データの加工を行う第６のステップと、前記第５のステップによる処理と前記第６のステップによる処理とを繰り返して、前記設定された優先順位（重み付け）を考慮したデータセットを生成する第７のステップと、該生成されたデータセットにおいて、準識別子データから構成される属性値の組をグループ化し、クラスタを形成して、該形成したクラスタ単位で、ｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行なって、匿名化する第８のステップと、該第８のステップで処理したデータセットを匿名データセットとして出力する第９のステップと、を備えることを特徴とする公開情報のプライバシー保護方法を提案している。
【００１６】
（９）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、コンピュータに、入力されたデータを準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）もしくは重要情報（Ｓｅｎｓｉｔｉｖｅ  Ｉｎｆｏｒｍａｔｉｏｎ）に分類する第１のステップと、公開情報を利用する利用者の要求条件を考慮して、該準識別子データの各属性ごとに優先順位（重み付け）を設定する第２のステップと、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを評価関数により算出する第３のステップと、それぞれの属性において、属性単体でｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行う第４のステップと、該一般化されたデータについて、前記算出した評価ポイントの増加分が最大となるトップダウン処理により、データの加工を行う第５のステップと、該第５のステップにおいて加工されたデータについて、前記算出した評価ポイントの減少分が最小となるボトムアップ処理により、データの加工を行う第６のステップと、前記第５のステップによる処理と前記第６のステップによる処理とを繰り返して、前記設定された優先順位（重み付け）を考慮したデータセットを生成する第７のステップと、該生成されたデータセットにおいて、準識別子データから構成される属性値の組をグループ化し、クラスタを形成して、該形成したクラスタ単位で、ｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行なって、匿名化する第８のステップと、該第８のステップで処理したデータセットを匿名データセットとして出力する第９のステップと、を実行させるためのプログラムを提案している。
【発明の効果】
【００１７】
本発明によれば、データ利用者が求めるデータが欠落することなく、データの加工によるプライバシー保護を実現できるという効果がある。また、処理手段により前処理を実行するため可能な限り設定された優先順位（重み付け）を考慮した表を高速に導出できるという効果がある。
【００１８】
また、評価ポイントが最高となった表について部分匿名化処理を実施することにより、さらに情報量の多い表を作成することができるという効果がある。さらに、複数種類の評価関数を用意することにより異なる特性を持つ表を出力することができるという効果がある。
【図面の簡単な説明】
【００１９】
【図１】本実施形態に係る公開情報のプライバシー保護装置の構成図である。
【図２】本実施形態に係る加工処理前のデータを例示した図である。
【図３】本実施形態に係るボトムアップ処理およびトップダウン処理を示したイメージ図である。
【図４】本実施形態に係る評価関数の特性を例示する図である。
【図５】本実施形態に係る評価関数の特性を例示する図である。
【図６】本実施形態に係る公開情報のプライバシー保護装置の処理フローである。
【発明を実施するための形態】
【００２０】
以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。
【００２１】
＜公開情報のプライバシー保護装置の構成＞
図１を用いて、本実施形態に係る公開情報のプライバシー保護装置の構成について説明する。本実施形態に係る公開情報のプライバシー保護装置は、図１に示すように、分類部１と、設定部２と、算出部４と、前処理部５と、第１のデータ加工部６と、第２のデータ加工部７と、データセット生成部８と、部分匿名化処理部９と、匿名データセット出力部１０とから構成されている。
【００２２】
分類部１は、例えば、図２にしめすように入力されたデータを、削除すべき情報、重要情報（Ｓｅｎｓｉｔｉｖｅ  Ｉｎｆｏｒｍａｔｉｏｎ）と準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）とに分類する。なお、実際には、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を用いて、コンピュータ上のグラフィックス表示をマウス等でポインティングすることにより、公開情報を利用する利用者が分類を行う。また、重要情報（Ｓｅｎｓｉｔｉｖｅ  Ｉｎｆｏｒｍａｔｉｏｎ）に指定された属性の変更は行われない。さらに、削除すべき情報に指定された情報は加工処理の際に自動的に削除される。これにより、ユーザを直接的に特定できる情報を排除してプライバシーを保護するとともに、重要な情報を公開することができる。
【００２３】
設定部２は、公開情報を利用する利用者の要求条件を考慮して、準識別子データの各属性ごとに優先順位（重み付け）を設定する。具体的には、各属性の重み付けは、利用者の入力により行われる。重み付けは、属性の優先順位を表わし、利用者が最も重視する属性を最上位とする。また、加工処理においては、優先順位が最下位の属性から順に加工処理を行い、ｋ−匿名性を満たした段階で終了する。したがって、最上位の属性ほど元の情報が保持される確率が高くなる。また、これにより、ユーザとの関連性が低い複数の情報を組み合わせることによるユーザの特定を防止し、公開情報を利用する利用者が求める情報を可能な限り保持することが可能となる。利用者は、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を利用して各属性に対して優先順位を入力する。公開情報を利用する利用者は、各優先順位に対して、 重み付けポイント（数値）を設定する。この値は、加工処理を行う属性を選択する際に使用する。
【００２４】
各準識別子データの各属性ごとの評価ポイントは、評価関数を用いて算出される。評価関数としては、具体的に、以下の数１、数２を例示する。
【００２５】
【数１】
2015114871.tif 000003
【００２６】
【数２】
2015114871.tif 000004
【００２７】
ここで、数１に示す評価関数は、図３に示すように、ある項目に偏って匿名化を行なう特性を有し、数２に示す評価関数は、図４に示すように、項目によって偏りのない匿名化を行なう特性を有している。また、数１、数２における重要度に代えて、エントロピーを用いることにより、さらに異なった特性の表を導出することができる。なお、数１、数２において、重要度とは、公開情報を利用する利用者の要求条件を考慮した優先順位に基づく重要度を示している。
【００２８】
算出部４は、設定部２において設定された優先順位（重み付け）に基づいて、各準識別子データの各属性ごとの評価ポイントを算出する。具体的には、評価関数により評価ポイントを算出する。なお、数１、数２において、項目ａｉの種類数とは、その属性が持つ属性値の種類の数を表す。そのため、第１のデータ加工部６の処理においては、トップダウン処理によって、この評価ポイントの増加が最大になる属性をトップダウン処理を行う属性として選択する。また、第２のデータ加工部７の処理においては、この値の減少が最小になる属性をボトムアップ処理を行う属性として選択する。ここで、属性は、図３に示すように、木構造をなして、いわゆる大分類からさらに細かい分類へと配置されている。したがって、トップダウン処理では、処理を進めるにつれて、属性値の種類の数が増加するために、評価ポイントが増加し、ボトムアップ処理では、処理を進めるにつれて、属性値の種類の数が減少するために、評価ポイントが減少する。
【００２９】
前処理部５は、それぞれの属性単体を、単体でｋ−匿名性を満たすように一般化する。また、公開情報を利用する利用者が一般化の限界レベルを設定している属性については、それを超えて一般化はしない。さらに、生成したデータがｋ−匿名性満たさなければ、各属性を１レベルだけ一般化して再度チェックを行う。この場合も、公開情報を利用する利用者が設定した限界レベルを超えて一般化はせず、他の属性を一般化することで、ｋ―匿名性を達成する。
【００３０】
第１のデータ加工部６は、算出した評価ポイントの増加分が最大となるようなデータ加工方法（トップダウン処理）により、データの加工を行う。第２のデータ加工部７は、算出した評価ポイントの減少分が最小となるようなデータ加工方法（ボトムアップ処理）により、データの加工を行う。
【００３１】
つまり、本実施形態においては、トップダウン処理を行って、一般化を実施した後に、ボトムアップ処理により逆方向の変形を行い、この処理を繰り返して設定された優先順位（重み付け）を考慮したな表を導出する。
【００３２】
データセット生成部８は、第１のデータ加工部６による処理と第２のデータ加工部７による処理とを繰り返して、ユーザにより設定された優先順位（重み付け）を考慮したデータセットを生成する。
【００３３】
部分匿名化処理部９は、データセット生成部８が生成したデータセットにおいて、準識別子データから構成される属性値の組をグループ化し、クラスタを形成して、その形成したクラスタ単位で、ｋ−匿名性およびｌ−多様性を満たすようにデータの一般化を行って、匿名化する。
【００３４】
匿名データセット出力部１０は、部分匿名化処理部９が処理したデータセットを匿名データセットとして出力する。
【００３５】
＜加工処理前のデータ＞
図２を用いて、加工処理前のデータについて、説明する。
図２は、加工処理前のデータとして医療情報を例示したものであり、本例では、データの属性として、「名前」、「年齢」、「性別」、「出身地」、「人種」、「病名」等が例示されている。
【００３６】
本例では、女性である２５歳のＡが東京出身の日本人であって、肥満症という病気を持っており、男性である３７歳のＢが北海道出身の日本人であって、糖尿病という病気を持っており、男性である５５歳のＣが沖縄出身の日本人であって、高血圧症という病気を持っていることが示されている。
【００３７】
このうち、「名前」という属性は、個人を直接的に特定できるものであるため、「削除すべき情報」に分類される。また、「病名」という属性は、プライバシー情報であるため、「重要情報（Ｓｅｎｓｉｔｉｖｅ  Ｉｎｆｏｒｍａｔｉｏｎ）」に分類される。さらに、「年齢」、「性別」、「出身地」、「人種」という属性は、直接的に個人を特定できる情報ではないため、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」に分類され、公開情報を利用する利用者の利用目的に応じて、重み付けが行われる。
【００３８】
なお、属性が数値データではない場合、例えば、「Ｃｏｕｎｔｒｙ」、「Ｓｔａｔｅ」、「Ｃｉｔｙ」のような場合、属性値の持つ意味の包含関係によって構築された木構造を用いて、上位ノードを探索する。従って、各属性に対してこのような木構造データを利用者が設定可能とする。
【００３９】
＜公開情報のプライバシー保護装置の処理＞
図６を用いて、本実施形態に係る公開情報のプライバシー保護装置の処理について説明する。
【００４０】
まず、オリジナルデータに対して、属性ごとに、準識別子か重要情報かを決め、入力データをすべての準識別子からなる表と、すべての重要情報からなる表に分割する（ステップＳ１００）。
【００４１】
分類部１、設定部２、算出部４の処理を行ったデータセットを前処理部５に入力する。前処理部５では、それぞれの属性単体を、単体で（ｋ＋ｌ）−匿名性を満たすように一般化する。ここで、ｌは、システムのパラメータとする。また、属性によって公開情報を利用する利用者が一般化の限界レベルを設定しているものについては、それを超えて一般化はしない。さらに、生成したデータがｋ−匿名性を満たさなければ、各属性を１レベルだけ一般化して再度チェックを行う。この場合も、公開情報を利用する利用者が設定した限界レベルを超えて一般化はせず、他の属性を一般化することで、ｋ―匿名性を達成する（ステップＳ２００、Ｓ３００）。したがって、ｋ−匿名性を満足するまで、繰り返し処理が行われる。
【００４２】
トップダウン処理（ステップＳ４００、Ｓ５００）では、当該データに対して準識別子のすべての属性の属性値が一致するデータを集めてグループ化を行う。次に、公開情報を利用する利用者の入力した優先順位情報とｋ−匿名性判定およびｌ−多様性判定からのフィードバック結果を基に、トップダウン処理を行う属性およびグループを選択する。その際には、各属性に対して、トップダウン処理を行った場合に取り得る属性値の種類の数と公開情報を利用する利用者が入力した優先順位（重み付け）から、トップダウン処理による評価ポイントの増加分を概算する。ここで、概算は、属性値の種類の数の最大値で予測する。そして、この概算結果が大きい順からトップダウン処理の対象とする。
【００４３】
また、可能性のあるトップダウン処理を順番に行って候補データを作成していくわけであるが、直前のトップダウン処理を行ったデータの評価ポイントに対して、概算した評価ポイントの増加を考慮しても、次に行うトップダウン処理が評価ポイントの上で上回れない場合には、残りのトップダウン処理による候補データの作成は行わない。
【００４４】
次に、選択したグループのトップダウン処理を行い、実施結果（データセット全体）をｋ−匿名性判定およびｌ−多様性判定（ステップＳ５００）に入力する。ｋ−匿名性判定およびｌ−多様性判定に合格したデータについては、属性毎に属性値の種類の数を算出し、評価ポイントを導出する。候補データのうち、最も評価ポイントが高い属性を次の処理対象データとする。そしてｋ−匿名性およびｌ−多様性を満たさなくなるまで、トップダウン処理（ステップＳ４００）を繰り返し、ｋ−匿名性およびｌ−多様性を満たさなくなった場合、ｋ−匿名性およびｌ−多様性を満たしたデータおよびその評価ポイントを保存しておくとともに、ｋ−匿名性およびｌ−多様性を満たさなくなったデータの中からもっとも評価ポイントが高いものをボトムアップ処理に受け渡す。
【００４５】
設定された優先順位（重み付け）を考慮したデータ判定（ステップＳ６００）では、ステップＳ１００からステップＳ４００までの処理により、ｋ−匿名性判定およびｌ−多様性判定（ステップＳ５００）に入力されたデータセットがｋ−匿名性およびｌ−多様性を満たすと判定されたデータセット、ｋ−匿名性判定およびｌ−多様性判定（ステップＳ８００）においてｋ−匿名性およびｌ−多様性を満たすと判定されたデータセット、再トップダウン処理を行って、ｋ−匿名性判定およびｌ−多様性判定（ステップＳ５００）においてｋ−匿名性およびｌ−多様性を満たすと判定されたデータセットが設定された優先順位（重み付け）を考慮したデータであるか否かの判定を行い、設定された優先順位（重み付け）を考慮したデータである場合には、このデータセットを匿名データセットとして出力する。一方で、設定された優先順位（重み付け）を考慮したデータでないと判定した場合には、このデータセットをボトムダウン処理（ステップＳ７００）やトップダウン処理（ステップＳ４００）に戻して、再度、処理を行う。
【００４６】
ボトムアップ処理（ステップＳ７００、Ｓ８００）では、当該データに対してすべての属性値が一致するデータを集めてグループ化を行う。次に、公開情報を利用する利用者の入力した優先順位（重み付け）とｋ−匿名性判定およびｌ−多様性判定からのフィードバック結果を基に、ボトムアップ処理を行う属性およびグループを選択する。具体的には、公開情報を利用する利用者が入力した優先順位（重み付け）が高い属性から順にボトムアップ処理をして候補データを作成する。
【００４７】
次に、選択したグループのボトムアップ処理を行い、実施結果（データセット全体）をｋ−匿名性判定およびｌ−多様性判定に入力する。ｋ−匿名性判定およびｌ−多様性判定に合格したデータについては、各属性の属性値の数を算出し、評価ポイントを導出する。そして、評価ポイントを比較し、トップダウン処理（ステップＳ４００）において保存されたデータの評価ポイントも含めて最大の評価ポイントを得たデータを匿名データセットとして保存する。さらに、そのデータを再びトップダウン処理（ステップＳ４００）に受け渡す。
【００４８】
また、すべてのｋ−匿名性判定およびｌ−多様性判定に合格しなかった場合には、候補データの中から前記の匿名データセットよりも評価ポイントが高くかつ評価ポイントが高いものを選択し、再度ボトムアップ処理（ステップＳ７００）を行い同様の判定を行う。すべての候補データがｋ−匿名性およびｌ−多様性を満たさず、かつ、現在保存されている匿名データセットの評価ポイントを上回ることができない場合には、保存されている匿名データセットを匿名データセット出力に渡して終了する、なお、公開情報を利用する利用者が属性に対して一般化レベル限界を設定していた場合には、それを超えて一般化は行わない。
【００４９】
再度のトップダウン処理では、前回のトップダウン処理とほぼ同様の手順で行う。ｋ−匿名性判定およびｌ−多様性判定に合格したデータについては、各属性の属性値の数を算出し、評価ポイントを導出する。候補データのうち、最も評価ポイントの高いものを次の処理対象データとする。そして、ｋ−匿名性およびｌ−多様性を満たさなくなるまで、トップダウン理を繰り返す。
【００５０】
ｋ―匿名性およびｌ−多様性を満たさなくなった場合、ｋ―匿名性およびｌ−多様性を満たしたデータおよびその評価ポイントを保存しておくとともに、ｋ−匿名性およびｌ−多様性を満たさなくなったデータの中からもっとも評価ポイントが高いものをボトムアップ処理（ステップＳ７００）に受け渡す。
【００５１】
なお、この場合も、評価ポイントの最も高い候補データは、現在保存されている匿名データセットの評価ポイントよりも評価ポイントが高くなければならない。現在保存されている匿名データセットの評価ポイントを上回ることができない場合には、保存されている匿名データセットを部分匿名化処理部９に渡して終了する。
【００５２】
部分匿名化処理では、各属性の詳細化(トップダウン処理）を一律に行うのではなく、細かいクラスタに分割し、各クラスタがｋ−匿名性およびｌ−多様性を満たすように詳細化処理を行なう。具体的には、準識別子から構成される属性値の組をグループ化し、クラスタとする。このクラスタ単位で、ｋ−匿名性およびｌ−多様性を満たすように詳細化処理を実行する。各属性が単純木で構成されている場合、互いのクラスタは独立集合であることが保証されるので、各クラスタが、ｋ−匿名性およびｌ−多様性を満たす限り、この処理によって、クラスタ全体のｋ−匿名性およびｌ−多様性が失われることは無い。従って、本プロセスでは、詳細化処理のみを行うので、実行によって、評価ポイントが必ず増加することを保証できる。従って、評価ポイントの算出を省略することにより高速化できる。また、本プロセスはオプションとし、ユーザが望まない場合には処理を省略することも可能とする。最終的に得られた表を匿名データセット出力部１０に渡して終了する（ステップＳ９００）。
【００５３】
ｋ−匿名性判定およびｌ−多様性判定では、入力されたデータセットのすべての準識別子から構成される表がｋ−匿名性を満たし、かつすべての重要情報から構成される情報がｌ−多様性もしくはｔ−ｃｌｏｓｅｎｅｓｓを満たすかどうか判定し,満たす場合はデータを匿名データセット出力部１０に受け渡す。満たさない場合、満たさなかったグループをフィードバック情報としてトップダウン処理、ボトムアップ処理、再トップダウン処理に返す。なお、各匿名性の条件判定は、以下のように行なう。
【００５４】
ｋ−匿名性の判定条件は、最小のグループの行数が（Ｋ値）以上であるであり、ｌ−多様性の判定条件は、各グループの重要情報属性について属性ごとにグループ化を行い、全ての属性について、「グループの総数が（Ｌ値）以上である。」を満たすことである。
【００５５】
また、（ｃ、ｌ）−多様性の判定条件は、各グループの重要情報属性について属性ごとにグループ化を行い、全ての属性について、「「最大のグループの属性値の総数」が「最大のグループに属さない属性値の総数に（Ｃ値）を掛けた値」より小さい。」を満たすことである。
【００５６】
さらに、ｔ−ｃｌｏｓｅｎｅｓｓの判定条件は、各グループのｓｅｎｓｔｉｖｅ属性と、全データに対する重要情報属性について、数３の指標がt値よりも小さいことである。なお、ここで、ｐｉ（ｑｉ）は、ｓｅｎｓｔｉｖｅ属性が、ｉとなる割合を示している。
【００５７】
【数３】
2015114871.tif 000005
【００５８】
匿名データセット出力は、受け取ったデータをもとのデータ形式に成形し、先に分割した表を結合して出力する（ステップＳ１０００）。受け取ったデータは、データそのものではなく、各属性の一般化レベルで与えられている場合がある。このときには、元データも読み込み、一般化を行った後出力する。
【００５９】
また、評価ポイントが一致した場合は、ユーザの優先順位が高い順から属性を見ていき、優先順位が高い属性のうち、一般化レベルが低いデータを採用する。
【００６０】
したがって、本実施形態によれば、処理負荷の軽減や不要な処理の削減を行い、また、異なる評価関数を選択することで異なる特性を有する可能な限りユーザにより設定された優先順位（重み付け）を考慮した表を高速に導き出すことができる。
【００６１】
なお、公開情報のプライバシー保護装置の処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを公開情報のプライバシー保護装置に読み込ませ、実行することによって本発明の公開情報のプライバシー保護装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。
【００６２】
また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００６３】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００６４】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【００６５】
１；分類部
２；設定部
４；算出部
５；前処理部
６；第１のデータ加工部
７；第２のデータ加工部
８；データセット生成部
９；部分匿名化処理部
１０；匿名データセット出力部
【図１】
2015114871.tif 000008
【図２】
2015114871.tif 000009
【図４】
2015114871.tif 000010
【図５】
2015114871.tif 000011
【図６】
2015114871.tif 000012
【図３】
2015114871.tif 000013