(57)【要約】【課題】  パーソナル情報が追加及び削除されるデータベースにおいて、パーソナル情報が表す個人のプライバシーを保護する。【解決手段】  個人に関連する属性値を含むパーソナル情報とパーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する抽出手段と、集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する変換手段と、を含む情報処理装置。【選択図】      図１
2015007885.tif 000002
【特許請求の範囲】
【請求項１】
個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する抽出手段と、
前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する変換手段と、
を含む情報処理装置。
【請求項２】
前記変換手段の変換が前記パーソナル情報の匿名化処理である
請求項１に記載の情報処理装置
【請求項３】
前記パーソナル情報と、前記パーソナル情報の有効期間との組を記憶するパーソナル有効情報記憶手段と、
前記変換後のパーソナル情報を記憶する結果記憶手段と、
を含む請求項１又は請求項２に記載の情報処理装置。
【請求項４】
変換する前のパーソナル情報が前記パーソナル有効情報記憶手段に記憶されていない前記変換後のパーソナル情報を前記結果記憶手段から削除する削除手段を含み、
前記抽出手段が、前記変換手段が変換していない前記パーソナル有効情報記憶手段に記憶されているパーソナル情報を要素とする集合を抽出する
請求項３に記載の情報処理装置。
【請求項５】
前記抽出手段が、所定の期間より長い有効期間のパーソナル情報の集合と所定の期間より短い有効期間のパーソナル情報の集合とを抽出し、
前記変換手段が、有効期間が短いパーソナル情報の集合に含まれるパーソナル情報の少なくとも一部と前記変換後のパーソナル情報の少なくとも一部とが同様の変換後のパーソナル情報となるように、前記パーソナル情報の一部及び前記変換後のパーソナル情報の一部を変換する
請求項１乃至請求項４のいずれか１項に記載の情報処理装置。
【請求項６】
前記抽出手段が、前記所定の期間より長い有効期間のパーソナル情報の集合を複数抽出し、
前記変換手段が、前記抽出した複数の集合毎に前記パーソナル情報を変換する
請求項５に記載の情報処理装置。
【請求項７】
パーソナル情報と、パーソナル情報の性質と有効期間との相関と、を基に、前記パーソナル情報の有効期間を予測する予測手段
を含む請求項１乃至請求項６のいずれか１項に記載の情報処理装置。
【請求項８】
前記予測手段が、
前記パーソナル情報に含まれる属性値を用いて有効期間を予測する
請求項７に記載の情報処理装置。
【請求項９】
前記パーソナル情報の性質が階層構造を備え、前記性質の一部に有効期間を付与する
請求項７又は請求項８に記載の情報処理装置。
【請求項１０】
前記予測手段が、前記パーソナル情報の性質の階層構造を辿って前記有効期間を検索する
請求項９に記載の情報処理装置。
【請求項１１】
前記パーソナル情報が記憶された時刻と、前記パーソナル情報が削除された時刻とを基に、前記パーソナル情報の有効期間を分析する分析手段、
を含む請求項１乃至請求項１０のいずれか１項に記載の情報処理装置。
【請求項１２】
前記分析手段が、
前記パーソナル情報と同様の属性値を含むパーソナル情報の有効期間を基に、有効期間を分析する
請求項１１に記載の情報処理装置。
【請求項１３】
個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出し、
前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する
データ処理方法。
【請求項１４】
個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する処理と、
前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する処理と
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報の保護に関し、特に、追加又は削除される情報を保護する情報処理装置、及び、データ処理方法に関する。
【背景技術】
【０００２】
近年、サービス事業者の情報処理装置は、カルテ情報や位置情報等の個人の特徴や行動を表す情報であるパーソナル情報を収集し、活用している。そして、サービス事業者の情報処理装置が収集及び活用するパーソナル情報は、増え続けている。
【０００３】
また、サービス事業者が収集したパーソナル情報は、第三者に提供又は公開される。公開された情報は、例えば、医学研究、創薬開発、都市計画、及びマーケティングに活用される。しかし、プライバシーが侵害される危険性は、パーソナル情報を活用できる第三者が増える程、高まる。
【０００４】
匿名化技術は、プライバシーが侵害される問題を解決し、第三者にパーソナル情報を公開できるようにする技術の一つである。
【０００５】
つまり、匿名化技術は、第三者が個人のプライバシーを侵害しないでパーソナル情報を活用できるように、個人のプライバシーを保護する技術である。
【０００６】
パーソナル情報は、個人を識別できる識別子と、個人にとって知られたくない情報（センシティブ属性）とを含む。
【０００７】
そこで、本発明に関連する匿名化技術は、パーソナル情報から、個人を識別できる識別子を削除する。
【０００８】
しかし、パーソナル情報は、単独では個人を識別できなくても、組合せを基に個人を識別できる情報（以下、準識別子と言う）を含む場合がある。
【０００９】
そこで、本発明に関連する匿名化技術は、準識別子を加工（匿名化）し、パーソナル情報の集合から、個人に関連するパーソナル情報を推定（識別）できないようにする。
【００１０】
つまり、本発明に関連する匿名化技術は、匿名性を満たすように、準識別子を加工（匿名化）する。
【００１１】
ここで、匿名性は、個人を推定できない程度を示す指標である。
【００１２】
例えば、ｋ−匿名性及びｌ−多様性は、匿名性として、よく知られている（例えば、特許文献１を参照）。
【００１３】
ｋ−匿名性は、同じ準識別子を持つパーソナル情報が「ｋ個」以上存在することを表す指標である。ｋ−匿名性が保証されたパーソナル情報の集合は、同じ準識別子を持つパーソナル情報を、少なくとも「ｋ個」含む。そのため、第三者は、集合の中から個人に関連するパーソナル情報を、特定できない。
【００１４】
ｌ−多様性は、同じ準識別子を持つパーソナル情報のセンシティブ属性の値の種類が「ｌ通り」以上存在することを表す指標である。ｌ−多様性が保証されたパーソナル情報の集合は、センシティブ属性の値を少なくとも「ｌ通り」含む。そのため、第三者は、集合の中から個人のセンシティブ属性の値を、推定できない。
【００１５】
図面を参照し、ｋ−匿名性とｌ−多様性とをさらに説明する。
【００１６】
図３６に示すデータ９００１は、患者の病状記録の一例を示す図である。
【００１７】
図３６に示すデータ９００１の病状記録において、ＺＩＰコード、年齢、国籍が、準識別子とする。また、病状が、センシティブ属性とする。
【００１８】
そして、本発明に関連する情報処理装置は、匿名化として、ＺＩＰコードと年齢との任意の桁を伏せ、国籍の国名を伏せるとする。
【００１９】
図３７に示すデータ９００２は、本発明に関連する情報処理装置が、図３６に示すデータ９００１の病状記録を匿名化した一例を示す図である。図３７の「＊」は、匿名化され、伏せられたデータを示す。
【００２０】
本発明に関連する情報処理装置は、ＺＩＰコード、年齢、国籍を匿名化し、同一の準識別子を持つ２つグループを形成する。
【００２１】
図３７に示す「ｋ」は、「ｋ−匿名性」の「ｋ」を示し、グループに属する個人（この例では患者）の数である。図３７では、いずれのグループも、「ｋ＝４」である。つまり、本発明に関連する情報処理装置は、「４−匿名性」を保証している。そのため、第三者（閲覧者）は、どのレコードがどの個人を表す情報であるのかを特定できない。
【００２２】
図３７に示す「ｌ」は、「ｌ−多様性」の「ｌ」を示し、グループに属する個人のセンシティブ属性（この例では病状）の種類（又は値）の数である。図３７では、患者１〜４が属するグループのｌ−多様性は、「ｌ＝２」である。また、患者５〜８が属するグループのｌ−多様性は、「ｌ＝１」である。
【００２３】
例えば、閲覧者が、ある患者のＺＩＰコードが１４８＊＊で、年齢が３０代であることを知ったとする。すると、閲覧者は、図３７のデータ９００２を基に、患者の病状が「癌」であることが分かる。
【００２４】
しかし、患者１〜４が属するグループは、「２−多様性」を保証されている。そのため、閲覧者は、患者のＺＩＰコード及び年齢（例えば、「ＺＩＰコードが１４８＊＊で３０代である」、又は、「ＺＩＰコードが１３０＊＊で２０代である」）を知っても、患者１〜４のグループを基に、病状（センシティブ属性の種類又は値）を特定できない。このように、本発明に関連する情報処理装置は、患者のＺＩＰコードと年齢とを知る閲覧者に、病状が特定されることを、防げる。
【００２５】
また、その他の匿名性の指標として、ｔ−近似性及びｍ−不変性が、知られている。
【００２６】
ｔ−近接性は、グループ間のセンシティブ属性の値の分布における距離と、全属性の値の分布における距離とが、「ｔ」以下であることを保証する指標である。
【００２７】
ｍ−不変性は、データの逐次開示において、同じ準識別子の組合せのレコードが「m個」以上あり、全てのレコードで異なるセンシティブ属性の値を持つことを保証する指標である。
【００２８】
実際の運用を想定すると、パーソナル情報は、パーソナル情報を記憶するデータベースに追加され、又は、データベースから削除される。
【００２９】
例えば、新たな患者が来院した場合、新たな患者のカルテ（パーソナル情報）が、患者のカルテを蓄積する病院のデータベースに、追加される。また、治癒した患者又は退院した患者が発生した場合、その患者のカルテ（パーソナル情報）は、病院のデータベースから、削除される。
【００３０】
あるいは、会員が入会した場合、会員データ（パーソナル情報）が、会員データベースに、追加される。会員が退会した場合、会員データ（パーソナル情報）は、会員データベースから、削除される。
【００３１】
パーソナル情報が追加・削除されるデータベースにおいて、ｍ−不変性を確保するための匿名化システムが、提案されている（例えば、非特許文献１を参照）。
【００３２】
削除されたパーソナル情報のセンシティブ属性の値が、新たに追加されたパーソナル情報のセンシティブ属性の値に一致しない場合、非特許文献１に記載の匿名化システムは、ダミーとなるパーソナル情報を、データベースに、追加する。データベースからパーソナル情報が削除された場合、非特許文献１に記載の匿名化システムは、ダミー情報を追加する。このような動作を用いて、非特許文献１に記載の匿名化システムは、データベースのパーソナル情報を用いた個人の特定を防ぎ、個人のプライバシーを保護する。
【００３３】
一方、準識別子を加工して、同じ準識別子からなる匿名化グループを生成する場合、特許文献１に記載の匿名化システムは、匿名化処理で得られた各グループ間のデータの移動を流量とする。そして、特許文献１に記載の匿名化システムは、流量を所定の値以下に抑えるように、データの匿名性を定義する。そして、特許文献１に記載の匿名化システムは、定義した匿名性を満たすように、準識別子を加工して、データを匿名化する。
【００３４】
つまり、特許文献１に記載の匿名化システムは、匿名化グループ間のデータの移動を抑制する。匿名化グループ間でのデータ（パーソナル情報）の移動の抑制は、匿名化の処理における準識別子が変更となるデータ（パーソナル情報）の数を減らす。変更となるパーソナル情報の数が減るため、特許文献１に記載の匿名化システムは、データベースに存在するパーソナル情報を用いた個人の特定を防ぎ、個人のプライバシーを保護する。
【先行技術文献】
【特許文献】
【００３５】
【特許文献１】特開２０１１−１７０６３２
【非特許文献】
【００３６】
【非特許文献１】Xiaokui Xiao, Yufei Tao, "M-Invariance: Towards Privacy Preserving Re-publication of Dynamic Datasets", SIGMOD '07, Proceedings of the 2007 ACM SIGMOD international conference on Management of data, Pages 689-700, 2007.
【発明の概要】
【発明が解決しようとする課題】
【００３７】
しかし、上述した非特許文献１に記載された匿名化システムは、特定個人についてパーソナル情報の追加又は削除の事実を知る攻撃者に対して、特定個人のパーソナル情報の特定を防げないという問題点があった。さらに、非特許文献１に記載された匿名化システムは、ダミーのパーソナル情報を追加するため、データが不正確になるという問題点があった。
【００３８】
また、上述した特許文献１に記載された匿名化システムは、データベースに存在し続けるパーソナル情報の中で、個人の特定の防止を保証できないパーソナル情報が発生する可能性があるという問題点があった。さらに、特許文献１に記載された匿名化システムは、特定個人についてのパーソナル情報の追加又は削除の事実を知る攻撃者に対して、特定個人のパーソナル情報の特定を防げないという問題があった。
【００３９】
本発明の目的は、上記問題点を解決し、パーソナル情報が追加・削除されるデータベースにおいて、パーソナル情報が表す個人の特定を困難にする情報処理装置、及び、データ処理方法を提供することにある。
【課題を解決するための手段】
【００４０】
本発明の情報処理装置は、個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する抽出手段と、前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する変換手段と、を含む。
【００４１】
本発明のデータ処理方法は、個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出し、前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する。
【００４２】
本発明のプログラムは、個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する処理と、前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する処理とをコンピュータに実行させる。
【発明の効果】
【００４３】
本発明によれば、パーソナル情報が追加・削除されるデータベースにおいて、パーソナル情報が表す特定個人のプライバシーの保護を提供することができる。
【図面の簡単な説明】
【００４４】
【図１】図１は、本発明における第1の実施形態に係る情報処理装置に構成の一例を示すブロック図である。
【図２】図２は、第１の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。
【図３】図３は、第１の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図４】図４は、第１の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図５】図５は、第１の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図６】図６は、第１の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図７】図７は、第１の実施形態に係る情報処理装置の別の構成の一例を示すブロック図である。
【図８】図８は、第１の実施形態に係る情報処理装置の別の構成の一例を示すブロック図である。
【図９】図９は、第２の実施形態に係る情報処理装置に構成の一例を示すブロック図である。
【図１０】図１０は、第２の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。
【図１１】図１１は、第２の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図１２】図１２は、第２の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図１３】図１３は、第２の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図１４】図１４は、第２の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図１５】図１５は、第３の実施形態に係る情報処理装置に構成の一例を示すブロック図である。
【図１６】図１６は、第３の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。
【図１７】図１７は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図１８】図１８は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図１９】図１９は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図２０】図２０は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図２１】図２１は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図２２】図２２は、第４の実施形態に係る情報処理装置に構成の一例を示すブロック図である。
【図２３】図２３は、第４の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。
【図２４】図２４は、第４の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図２５】図２５は、第４の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図２６】図２６は、第４の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図２７】図２７は、第４の実施形態の係る情報処理装置の動作の説明に用いるデータを示す図である。
【図２８】図２８は、第５の実施形態に係る情報処理装置に構成の一例を示すブロック図である。
【図２９】図２９は、第５の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。
【図３０】図３０は、第５の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。
【図３１】図３１は、第５の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。
【図３２】図３２は、第５の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図３３】図３３は、第５の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図３４】図３４は、第５の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図３５】図３５は、第５の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。
【図３６】図３６は、一般的な匿名化を説明するための図である。
【図３７】図３７は、一般的な匿名化を説明するための図である。
【発明を実施するための形態】
【００４５】
次に、本発明における実施形態について図面を参照して説明する。
【００４６】
なお、各図面は、本発明の実施形態を説明するものである。そのため、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ符号を付し、その繰り返しの説明を、省略する場合がある。
【００４７】
また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。
【００４８】
説明に先立ち、本実施形態の説明で用いる用語について整理する。
【００４９】
「パーソナル情報」とは、個人（パーソナル）の属性を含む情報である。例えば、パーソナル情報は、個人の特徴を表す属性を含む。ここで、個人の特徴を表す属性は、準識別子及びセンシティブ属性を含む。以下、個人の特徴を表す属性を含め、パーソナル情報と言う。
【００５０】
「有効期間」とは、パーソナル情報が、パーソナル情報を記憶している装置又はシステムにおいて、有効である期間のことである。例えば、パーソナル情報が、データベースに記憶される場合、有効期間は、パーソナル情報がデータベースに記憶されている期間である。
【００５１】
より具体的に説明する。病気の治療のために1年間通院する患者を仮定する。その患者のパーソナル情報は、通院の開始時に病院のデータベースに記憶される。そして、1年間の通院後、病気が完治した場合、患者のパーソナル情報は、データベースから削除される。この場合、患者のパーソナル情報の有効期間は、病院のデータベースに記憶されている1年間である。そのため、有効期間は、「存続期間」といっても良い。
【００５２】
ただし、有効期間は、時間（例えば、年、月、日、時、分、又は、秒）のように連続した値に限る必要はない。例えば、治療のための通院回数が決まっている治療の場合、パーソナル情報の有効期間は、通院回数となる。
【００５３】
より具体的に説明する。血液検査の通院を仮定する。この場合、例えば、患者は、申込み、採血、及び、結果報告の三回通院する。この場合、有効期間は、三回となる。
【００５４】
＜第１の実施形態＞
まず、本発明における第１の実施形態に係る情報処理装置１００の構成について、図面を参照して説明する。
【００５５】
図１は、第１の実施形態に係る情報処理装置１００の構成の一例を示すブロック図である。
【００５６】
第１の実施形態に係る情報処理装置１００は、パーソナル情報が追加・削除されるデータベースにおいて、プライバシーを保護するため、有効期間が同一又は所定の範囲のパーソナル情報を匿名化する。
【００５７】
そのため、情報処理装置１００は、抽出部１１１と、変換部１１２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。
【００５８】
パーソナル有効情報記憶部１２１は、パーソナル情報と、パーソナル情報の有効期間とを、相互に参照できるように、記憶する。
【００５９】
なお、パーソナル有効情報記憶部１２１は、パーソナル情報と、有効期間とを、相互に参照できるように記憶すれば、記憶の形式に、特に制限はない。例えば、パーソナル有効情報記憶部１２１は、テーブルの形式を用いて、パーソナル情報と有効期間とを、異なるカラム（列）に記憶してもよい。また、パーソナル有効情報記憶部１２１は、パーソナル情報と有効期間とを、複数のテーブルに分けて、記憶してもよい。また、パーソナル有効情報記憶部１２１は、リレーショナルデータベース管理システム（RDBMS : Relational DataBase Management System）のような、データベース管理手法を用いて、記憶しても良い。
【００６０】
さらに、パーソナル有効情報記憶部１２１は、パーソナル情報と有効期間とに関連するパーソナル情報の識別子を記憶しても良い。
【００６１】
抽出部１１１は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報を、有効期間を参照して分類し、特定の有効期間の範囲となるパーソナル情報を含む集合データ（以下、単に「集合」と言う）を抽出する。
【００６２】
より詳細には、抽出部１１１は、パーソナル情報を、特定の範囲の有効期間毎に分類し、特定の範囲の有効期間のパーソナル情報を集めて集合を生成する。そして、抽出部１１１は、全てのパーソナル情報を用いて、複数の集合を生成する。そして、抽出部１１１は、集合を、変換部１１２に出力する。
【００６３】
より具体的には、抽出部１１１は、例えば、次のように動作する。
【００６４】
抽出部１１１は、パーソナル有効情報記憶部１２１からパーソナル情報と有効期間とを読み出す。読み出した有効期間を含む集合が作成済みの場合、抽出部１１１は、その集合に、パーソナル情報を追加する。有効期間を含む集合が作成されていない場合、抽出部１１１は、その有効期間を含む集合を作成し、その集合にパーソナル情報を追加する。
【００６５】
そして、抽出部１１１は、全てのパーソナル情報を集合に追加後、集合を抽出し、変換部１１２に出力する。
【００６６】
抽出部１１１は、上記の通り、パーソナル有効情報記憶部１２１に記憶されている全てのパーソナル情報を処理する。すなわち、抽出部１１１が生成する全集合の要素の総数は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報の総数である。
【００６７】
変換部１１２は、抽出部１１１が抽出した集合に含まれるパーソナル情報を、匿名性を満たすパーソナル情報に、変換する。以下、変換後のパーソナル情報を「保護済パーソナル情報」と言う。そして、変換部１１２は、保護済パーソナル情報を、結果記憶部１２２に記憶する。変換部１１２は、保護済パーソナル情報の他に、パーソナル有効情報記憶部１２１が記憶するパーソナル情報（変換前のパーソナル情報）の識別子を、結果記憶部１２２に記憶しても良い。
【００６８】
なお、変換部１１２が実施する保護済パーソナル情報への変換は、パーソナル情報が表す個人のプライバシーを守る変換であれば、特に制限はない。例えば、その変換は、「ｋ−匿名性」又は「ｌ−多様性」を満たす匿名化処理でも良い。
【００６９】
結果記憶部１２２は、変換部１１２で変換された保護済パーソナル情報を、記憶する。また、結果記憶部１２２は、パーソナル情報の識別子と保護済パーソナル情報の両方を、記憶しても良い。
【００７０】
例えば、結果記憶部１２２は、識別子としてのパーソナル有効情報記憶部１２１に記憶されたパーソナル情報のレコード番号と、保護済パーソナル情報を構成する属性値とを、１つのテーブルの各カラム（列）に記憶しても良い。
【００７１】
なお、結果記憶部１２２は、保護済パーソナル情報を参照できれば、記憶形式に特に制限はない。例えば、結果記憶部１２２は、パーソナル情報の識別子と保護済パーソナル情報の識別子とを１つのテーブルの異なるカラムに記憶し、別のテーブルに保護済パーソナル情報を構成する属性値を記憶し、さらに別のテーブルに識別子と属性値との関連情報を記憶してもよい。
【００７２】
次に、本実施形態に係る情報処理装置１００の動作（データ処理方法）について、図面を参照して説明する。
【００７３】
図２は、本実施形態に係る情報処理装置１００の動作の一例を示すフローチャートである。
【００７４】
なお、パーソナル有効情報記憶部１２１は、予め、パーソナル情報と有効期間とを含む複数のレコードを記憶しているとする。
【００７５】
まず、抽出部１１１は、パーソナル情報の集合のリストを抽出（生成）する（ステップＳ１０１）。
【００７６】
具体的には、抽出部１１１は、ステップＳ１０１において、例えば、次のように動作する。
【００７７】
抽出部１１１は、まず、空のリストを生成する。そして、抽出部１１１は、パーソナル有効情報記憶部１２１に記憶されている１つのレコード（パーソナル情報と有効期間との１つの組）を読み込む。抽出部１１１は、読み込んだパーソナル情報と有効期間とを参照し、その有効期間が含まれる集合がリストに存在するか否かを判定する。
【００７８】
有効期間が含まれる集合がリストに存在しない場合、抽出部１１１は、その有効期間を含む集合を生成し、リストに登録する。集合の生成（登録）後、抽出部１１１は、パーソナル情報を、生成した集合に追加する。
【００７９】
なお、抽出部１１１は、どのような集合を生成するかについて、予め設定されているとする。例えば、抽出部１１１は、年単位（例えば、「1年未満」、「１年以上２年未満」、「２年以上３年未満」、・・・）の集合を生成すると、設定されていても良い。あるいは、抽出部１１１は、所定の回数範囲（例えば、「１回−５回」、「６回−１０回」、・・・）の集合を生成すると、設定されていても良い。
【００８０】
有効期間が含まれる集合がリストに存在する場合、抽出部１１１は、有効期間が含まれる集合に、パーソナル情報を追加する。
【００８１】
抽出部１１１は、パーソナル有効情報記憶部１２１に記憶されている全てのレコード（パーソナル情報と有効期間との組）を処理し、リストを生成する。
【００８２】
次に、変換部１１２は、抽出部１１１が生成したリストに、未処理（未変換）の要素（集合）があるか否かを判定する（ステップＳ１０３）。
【００８３】
リストの未処理の要素（集合）がある場合（ステップＳ１０３で「ＹＥＳ」）、変換部１１２は、抽出部１１１が抽出（生成）したリストから集合を、１つ取り出す。そして、変換部１１２は、集合を構成するパーソナル情報を、所定の匿名性を満たす保護済パーソナル情報に変換する（ステップＳ１０５）。
【００８４】
そして、変換部１１２は、結果記憶部１２２に、パーソナル情報の識別子と保護済パーソナル情報とを出力する（ステップＳ１０７）。結果記憶部１２２は、識別子と保護済パーソン情報とを記憶する。
【００８５】
そして、変換部１１２は、ステップＳ１０３に戻る。
【００８６】
リストに未処理の要素（集合）がある場合、変換部１１２は、上記の処理を繰り返す。
【００８７】
未処理の要素（集合）がない場合（ステップＳ１０３で「ＮＯ」）、情報処理装置１００は、動作を終了する。
【００８８】
つまり、変換部１１２は、抽出部１１１が抽出したリストに登録されているすべての集合に対して、上記動作を実行する。
【００８９】
（動作例）
次に、本実施形態の情報処理装置１００の動作について、具体的なパーソナル情報を含むデータを用いて説明する。
【００９０】
図３は、情報処理装置１００の動作の説明に用いるパーソナル有効情報記憶部１２１が記憶するデータの一例を示す図である。
【００９１】
パーソナル有効情報記憶部１２１は、図３に示すデータ１００１を記憶する。データ１００１は、病状記録（個人に関連するパーソナル情報）として、識別子の番号（Ｎｏ．）と、患者の郵便番号（ＺＩＰコード）と、年齢と、病状（センシティブ属性）との組合せのデータである。また、パーソナル有効情報記憶部１２１は、有効期間として、診療を受ける回数を、記憶する。
【００９２】
図４−図６は、情報処理装置１００の動作を説明するための図であり、結果記憶部１２２が記憶するデータの推移の一例を示す図である。
【００９３】
なお、本実施形態の説明において、情報処理装置１００が、ＺＩＰコードと年齢とを抽象化しているのは、例示である。情報処理装置１００が匿名化の対象とするデータは、これらに限る必要はない。
【００９４】
以下の説明では、情報処理装置１００は、２−匿名性を満たすように匿名化する。
【００９５】
結果記憶部１２２は、図４に示すデータ１００２の状態から、図５に示すデータ１００３の状態を経由して、図６に示すデータ１００４を記憶する。
【００９６】
まず、抽出部１１１は、有効期間が１０回の病状記録の番号（Ｎｏ．）を付与した集合と、有効期間が１回である病状記録の番号（Ｎｏ．）を付与した集合とのリストを生成する（ステップＳ１０１）。
【００９７】
ここで、以下の説明の便宜のため、実施形態の説明に用いるリスト及び集合の記載書式を説明する。
【００９８】
以下、集合を｛｝、リストを［］、有効期間ｎが付与された集合を｛｝：ｎと表現する。なお、記載を明確にするため、「」を用いて記載を囲む場合もある。
【００９９】
この記載書式を用いると、抽出部１１１は、パーソナル有効情報記憶部１２１に記憶されるすべての病状記録から、リスト［｛１，４｝：１０，｛２，３｝：１］を生成する。
【０１００】
ここで、結果記憶部１２２の初期状態は、図４に示すデータ１００２のように、保護済パーソナル情報である匿名化された病状記録が、記憶されていない状態である。
【０１０１】
変換部１１２は、リストに、未処理の要素（集合）があるか否かを判定する（ステップＳ１０３）。
【０１０２】
リストに要素があるため（ステップＳ１０３で「ＹＥＳ」）、変換部１１２は、リストの先頭の集合「｛１，４｝：１０」を取り出す。そして、変換部１１２は、ＺＩＰと年齢とを汎化して、リストの要素であるＮｏ．１とＮｏ．４の病状記録を、匿名化する（ステップＳ１０５）。この結果、リストの先頭の集合は、「｛２，３｝：１」となる。
【０１０３】
変換部１１２は、匿名化したＮｏ．１とＮｏ．４の病状記録を、図５に示すデータ１００３のように、結果記憶部１２２に記憶する（ステップＳ１０７）。
【０１０４】
次に、変換部１１２は、リストに、未処理の要素（集合）があるか否かを判定する（ステップＳ１０３）。
【０１０５】
リストに要素があるため（ステップＳ１０３で「ＹＥＳ」）、変換部１１２は、リストの先頭の集合「｛２，３｝：１」を取り出し、リストの要素であるＮｏ．２とＮｏ．３の病状記録を、匿名化する（ステップＳ１０５）。
【０１０６】
変換部１１２は、匿名化したＮｏ．２とＮｏ．３の病状記録を、図６に示すデータ１００４のように、結果記憶部１２２に記憶する（ステップＳ１０７）。
【０１０７】
そして、変換部１１２は、リストに、未処理の要素（集合）があるか否かを判定する（ステップＳ１０３）。
【０１０８】
リストが空であるため（ステップＳ１０３で「ＮＯ」）、変換部１１２は、処理を終了する。
【０１０９】
図６のデータ１００４から明らかなとおり、データ１００４の集合（「Ｎｏ．１とＮｏ．４」及び「Ｎｏ．２とＮｏ．３」）は、２−匿名化を満たす。さらに、データ１００４の集合は、２−多様性も満たしている。
【０１１０】
（実施形態の効果）
このように、本実施形態の情報処理装置１００は、パーソナル情報が追加・削除されるデータベースにおいて、パーソナル情報が表す個人のプライバシーの保護する効果を提供できる。
【０１１１】
その理由は、次のとおりである。
【０１１２】
本実施形態の情報処理装置１００は、有効期間が同一又は所定の範囲のデータの集合を抽出し、データを匿名化する。つまり、情報処理装置１００は、パーソナル情報を、同一又は所定の範囲の有効期間の集合において匿名化する。
【０１１３】
したがって、閲覧者は、有効期間を知っていても、匿名化されたデータから個人を特定できない。
【０１１４】
例えば、ある個人が、病院に治療のために通い、パーソナル有効情報記憶部１２１に、パーソナル情報が記憶されたとする。情報処理装置１００は、例えば、所定の期間より長く通院する長期通院者のデータ集合を抽出して、データを匿名化する。また、情報処理装置１００は、所定の期間より短い通院期間のデータを抽出して、データを匿名化する。
【０１１５】
したがって、閲覧者は、例えば、ある患者の通院が長期間であることを知っても、結果記憶部１２２に記憶される保護済（匿名化済）パーソナル情報を参照して、個人を特定できない。より具体的には、閲覧者は、例えば、有効期間（通院期間）が長いことを予測できるパーソナル情報（例えば、「症状」という属性の値（種類）が「重症」であるパーソナル情報）を入手しても、その特定個人のパーソナル情報を識別できない。
【０１１６】
また、閲覧者は、例えば、有効期間（通院期間）が短いことを予測できるパーソナル情報（例えば、「症状」という属性の値（種類）が「軽症」であるパーソナル情報）を入手しても、その特定個人のパーソナル情報を識別できない。
【０１１７】
このように、本実施形態に情報処理装置１００は、パーソナル情報の有効期間を予測できる攻撃者が、特定個人のパーソナル情報を識別することを、防止できる。
【０１１８】
つまり、本実施形態の情報処理装置１００は、所定の有効期間の集団に属するパーソナル情報を、集団毎に匿名化する。そのため、情報処理装置１００は、集合に属することを知る攻撃者から、特定個人のパーソナル情報の識別を、防止する。
【０１１９】
（変形例１）
情報処理装置１００の構成は、これまでの説明に限らない。
【０１２０】
情報処理装置１００は、各構成を複数の構成に分けても良い。
【０１２１】
さらに、情報処理装置１００は、１つの装置で構成される必要はない。例えば、情報処理装置１００は、ネットワークを介して接続した抽出部１１１を含む装置と、変換部１１２を含む装置とを用いて構成されても良い。
【０１２２】
あるいは、情報処理装置１００は、パーソナル有効情報記憶部１２１と結果記憶部１２２とのいずれか、又は、両方を外部の記憶装置として構成しても良い。
【０１２３】
図７は、第1の実施形態の変形例1の構成の一例を示すブロック図である。
【０１２４】
情報処理装置１０１は、抽出部１１１と、変換部１１２とを含む。
【０１２５】
抽出部１１１は、情報処理装置１０１の抽出部と同様に、図示しない記憶装置のパーソナル有効情報記憶部１２１に記憶されているパーソナル情報の集合を抽出する。
【０１２６】
変換部１１２は、集合に含まれるパーソナル情報を匿名化し、図示しない記憶装置の結果記憶部１２２に記憶する。
【０１２７】
このように構成された情報処理装置１０１は、情報処理装置１００と同様の効果を実現できる。
【０１２８】
その理由は、次のとおりである。
【０１２９】
情報処理装置１０１の抽出部１１１及び変換部１１２は、情報処理装置１００の抽出部１１１及び変換部１１２と同様に動作できるためである。
【０１３０】
なお、情報処理装置１０１は、本発明の最小構成である。
【０１３１】
（変形例２）
また、情報処理装置１００は、複数の構成を１つの構成としても良い。
【０１３２】
例えば、情報処理装置１００は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）と、入出力接続回路（ＩＯＣ：Input/Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現しても良い。
【０１３３】
図８は、本実施形態の情報処理装置１００の変形例である情報処理装置６００の構成の一例を示すブロック図である。
【０１３４】
情報処理装置６００は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータを構成している。
【０１３５】
ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０は、これらの構成を制御し、図１に示す、抽出部１１１と、変換部１１２としての各機能を実現する。ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０をプログラムの一時記憶として使用しても良い。
【０１３６】
また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでも良い。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取っても良い。
【０１３７】
ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programable-ROM）やフラッシュＲＯＭである。
【０１３８】
ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラムやデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。
【０１３９】
内部記憶装置６４０は、情報処理装置６００が長期的に保存するデータやプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作しても良い。内部記憶装置６４０は、パーソナル有効情報記憶部１２１又は結果記憶部１２２として動作する。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。
【０１４０】
ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカードである。
【０１４１】
入力機器６６０は、情報処理装置６００の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。
【０１４２】
表示機器６７０は、情報処理装置６００の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。
【０１４３】
ＮＩＣ６８０は、ネットワークを介した外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮカードである。
【０１４４】
このように構成された情報処理装置６００は、情報処理装置１００と同様の効果を得ることができる。
【０１４５】
その理由は、次のとおりである。
【０１４６】
情報処理装置６００のＣＰＵ６１０は、プログラムに基づいて情報処理装置１００と同様の機能を実現できるためである。
【０１４７】
＜第２の実施形態＞
第２の実施形態について、図面を参照して説明する。なお、第１の実施形態の同様の構成又はステップには、同じ符号を付し、明細書中の説明を省略する場合がある。
【０１４８】
まず、第２の実施形態に係る情報処理装置２００の構成について説明する。
【０１４９】
図９は、本実施形態に係る情報処理装置２００の構成の一例を示すブロック図である。
【０１５０】
情報処理装置２００は、削除部２１１と、抽出部２１２と、変換部１１２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。
【０１５１】
第１の実施形態に係る情報処理装置１００は、パーソナル有効情報記憶部１２１に記憶されたパーソナル情報が示す個人のプライバシーを、図２に示すフローを１回実行することで、保護する。つまり、第１の実施形態に係る情報処理装置１００は、保護されていないパーソナル情報を、一度の処理で保護する。
【０１５２】
一方、本実施形態の情報処理装置２００は、複数のタイミングで、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報が示す個人のプライバシーを保護するための処理を実行する点で、情報処理装置１００と、相違する。つまり、情報処理装置２００は、断続的に、すなわち、繰り返し処理を実行し、プライバシーを継続的に保護する。
【０１５３】
第２の実施形態において、パーソナル有効情報記憶部１２１に記憶されるパーソナル情報は、時間経過に伴って変化する。つまり、新たなパーソナル情報が、パーソナル有効情報記憶部１２１に追加され、有効期間を過ぎたパーソナル情報が、パーソナル有効情報記憶部１２１から削除される。
【０１５４】
したがって、パーソナル有効情報記憶部１２１に記憶されるパーソナル情報を、時間の経過とともに、継続的に保護する必要がある。そのため、情報処理装置２００は、第１の実施形態に係る情報処理装置１００の構成における抽出部１１１の代わりとして、抽出部２１２を含み、更に、削除部２１１を含む。以下、本実施形態の情報処理装置２００における、情報処理装置１００と相違する構成について、説明する。
【０１５５】
削除部２１１は、パーソナル有効情報記憶部１２１に記憶されていないパーソナル情報の識別子と、そのパーソナル情報を変換して得られた保護済パーソナル情報とを、結果記憶部１２２から、削除する。
【０１５６】
抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報の中から、結果記憶部１２２にパーソナル情報の識別子が記憶されていないパーソナル情報を、抽出する。この抽出は、断続的に実行される。
【０１５７】
そして、抽出部２１２は、抽出したパーソナル情報と、そのパーソナル情報の有効期間とを参照し、その有効期間が含まれる集合が、パーソナル情報のリストに存在するか否かを判定する。
【０１５８】
集合が存在しない場合、抽出部２１２は、その有効期間を含む集合を作成し、リストに登録する。そして、抽出部２１２は、抽出したパーソナル情報を、要素として、作成した集合に追加する。
【０１５９】
集合が存在する場合、抽出部２１２は、抽出したパーソナル情報を、要素として、その集合に追加する。
【０１６０】
抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されているすべてのパーソナル情報を、同様に処理する。
【０１６１】
このように、抽出部２１２は、結果記憶部１２２にパーソナル情報の識別子が記憶されていないパーソナル情報の集合を、断続的に、抽出する。結果記憶部１２２に記憶されていないパーソナル情報は、変換部１１２が変換していない情報である。つまり、抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報の中で、変換部１１２が変換していないパーソナル情報の集合を抽出する。
【０１６２】
そして、抽出部２１２は、全てのパーソナル情報を処理後（つまり、集合を抽出後）、変換部１１２に出力する。
【０１６３】
なお、最初の状態、つまり結果記憶部１２２にパーソナル情報を含まない場合、抽出部２１２は、抽出部１１１と同様に動作する。そのため、抽出部２１２は、抽出部１１１の機能を持つ第２の抽出部と言っても良い。なお、この場合、抽出部１１１は、第１の抽出部と言っても良い。
【０１６４】
また、抽出部２１２は、抽出部１１１に相当する構成と、本実施形態で追加された機能を実現する構成とに分けて構成されても良い。
【０１６５】
なお、情報処理装置２００は、情報処理装置１００と同様に、図８に示すコンピュータで構成されても良い。
【０１６６】
次に、本実施形態に係る情報処理装置２００の動作（データ処理方法）について説明する。
【０１６７】
図１０は、第２の実施形態に係る情報処理装置２００の動作の一例を示すフローチャートである。
【０１６８】
なお、情報処理装置２００の動作のタイミングは、特に制限はない。例えば、情報処理装置２００は、定期的に、動作しても良い。あるいは、情報処理装置２００は、例えば、情報処理装置２００の管理者、又は、図示しない管理装置の指示を基に、動作してもよい。
【０１６９】
また、結果記憶部１２２は、記憶するパーソナル情報の識別子を記憶する。
【０１７０】
削除部２１１は、パーソナル有効情報記憶部１２１に記憶されていないパーソナル情報の識別子と、そのパーソナル情報に対応する保護済パーソナル情報とを、結果記憶部１２２から削除する（ステップＳ２０１）。
【０１７１】
次に、抽出部２１２は、新規のパーソナル情報の集合のリストを生成する（ステップＳ２０３）。
【０１７２】
より具体的には、抽出部２１２は、例えば、次のように動作する。
【０１７３】
まず、抽出部２１２は、空のリストを生成する。
【０１７４】
そして、抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されている１つのレコードから、パーソナル情報とそのパーソナル情報の有効期間とを読み込む。
【０１７５】
抽出部２１２は、読み込んだパーソナル情報の識別子が、結果記憶部１２２に記憶されているか否かを判定する。
【０１７６】
結果記憶部１２２に記憶されていない場合、抽出部２１２は、パーソナル情報の有効期間が含まれる集合が、リストに存在するか否かを判定する。
【０１７７】
リストに存在しない場合、抽出部２１２は、有効期間を含む集合を、生成する。そして、抽出部２１２は、生成した集合を、リストに登録する。
【０１７８】
集合が存在する場合又は集合の登録後、抽出部２１２は、有効期間を含む集合をリストから読み込む。そして、抽出部２１２は、読み込んだ集合に、パーソナル情報を登録する。
【０１７９】
抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されているすべてのパーソナル情報について、同様に、処理する。
【０１８０】
次に、変換部１１２は、リストに、未処理の要素（集合）があるか否かを判定する（ステップＳ１０３）。
【０１８１】
未処理の要素（集合）がある間（ステップＳ１０３が「ＹＥＳ」）、変換部１１２は、次の処理を繰り返す。
【０１８２】
変換部１１２は、抽出部２１２が生成したリストから集合を１つ取り出し、集合を構成するパーソナル情報を変換し、保護済パーソナル情報を生成する（ステップＳ１０５）。
【０１８３】
そして、変換部１１２は、結果記憶部１２２に、パーソナル情報への参照（識別子）と、保護済パーソナル情報とを記憶する（ステップＳ１０７）。
【０１８４】
変換部１１２は、リストに登録されているすべての集合に対して、同様に、処理する。
【０１８５】
（動作例）
次に、本実施形態の情報処理装置２００の動作について、具体的なパーソナル情報を含んだデータを用いて説明する。
【０１８６】
図１１−１４は、情報処理装置２００の動作の説明に用いる、パーソナル有効情報記憶部１２１及び結果記憶部１２２が記憶するデータの一例を示す図である。
【０１８７】
時刻ｔ０において、パーソナル有効情報記憶部１２１は、図１１に示すデータ２００１を記憶する。データ２００１は、病状記録（個人に関するパーソナル情報）として、病状記録を識別する番号（Ｎｏ．）と、患者のＺＩＰコードと、年齢と、病状との組合せのデータである。また、データ２００１は、有効期間（診療を受ける回数）を含む。
【０１８８】
そして、抽出部１１１は、第１の実施形態と同様に、パーソナル有効情報記憶部１２１に記憶されているデータ２００１からパーソナル情報を抽出する。変換部１１２は、第１の実施形態と同様に、パーソナル情報を、図１１に示すデータ２００２のように、匿名化する。そして、変換部１１２は、匿名化した保護済パーソナル情報を、結果記憶部１２２に記憶する。
【０１８９】
時刻ｔ０から所定の時間が経過した時刻ｔ１において、パーソナル有効情報記憶部１２１は、図１２のデータ２００３を記憶する。データ２００３は、時刻ｔ０におけるデータ２００１から、Ｎｏ．２及びＮｏ．３の病状記録が削除され、新たに、Ｎｏ．５及びＮｏ．６の病状記録が追加されたデータである。
【０１９０】
そして、情報処理装置２００は、図１０を参照して説明したように動作する。
【０１９１】
まず、削除部２１１は、図１３のデータ２００４に示すように、結果記憶部１２２に記憶された図１１のデータ２００２を参照し、結果記憶部１２２に記憶され、パーソナル有効情報記憶部１２１に記憶されていない、Ｎｏ．２及びＮｏ．３のレコードを削除する（ステップＳ２０１）。
【０１９２】
次に、抽出部２１２は、空のリストを生成する。そして、抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されている病状記録であって、結果記憶部１２２にその番号（Ｎｏ．）が記憶されていない病状記録を読み込み、病状の集合のリスト［｛５，６｝：１］を生成する（ステップＳ２０３）。
【０１９３】
リストに要素があるため（ステップＳ１０３で「ＹＥＳ」）、変換部１１２は、リストの先頭の集合「｛５，６｝：１」を取り出す。そして、変換部１１２は、集合の要素であるＮｏ．５及びＮｏ．６の病状記録を匿名化する（ステップＳ１０５）。
【０１９４】
変換部１１２は、図１４のデータ２００５に示すように、匿名化したＮｏ．５及びＮｏ．６の病状記録を、結果記憶部１２２に記憶する（ステップＳ１０７）。
【０１９５】
そして、リストに要素が存在しない（リストが空の）ため、変換部１１２は、処理を終了する（ステップＳ１０３で「ＮＯ」）。
【０１９６】
（本実施形態の効果）
このように、本実施形態の情報処理装置２００は、第１の実施形態の効果に加え、時間の経過に伴ってパーソナル情報が追加及び削除されるデータベースにおいて、パーソナル情報が表す個人のプライバシーの保護する効果を提供できる。
【０１９７】
その理由は、次のとおりである。
【０１９８】
本実施形態の情報処理装置２００は、時間経過に伴って異なるパーソナル情報が断続的に記憶されるパーソナル有効情報記憶部１２１に対して、データを匿名化する。つまり、情報処理装置２００は、断続的に、パーソナル有効情報記憶部１２１のデータ変更を参照して、結果記憶部１２２のデータを修正（追加及び／又は削除）するためである。
【０１９９】
個人が、長期的にある集団に属する（例えば、長期通院としてパーソナル有効情報記憶部１２１にパーソナル情報が記憶される）場合、情報処理装置２００は、時間が経過しても、結果記憶部１２２が記憶する集団に属する特定個人のパーソナル情報を、適切に、匿名化する。そのため、例えば、攻撃者は、長期に通院する患者を知っていても、結果記憶部１２２のパーソナル情報から、その特定個人のパーソナル情報を識別できない。
【０２００】
同様に、個人が、一時的にある集団に属する、例えば、病院に１回だけ訪れてパーソナル有効情報記憶部１２１にパーソナル情報が記憶される場合、情報処理装置２００は、通信終了後、結果記憶部１２２が記憶するパーソナル情報を匿名化又は削除する。そのため、攻撃者は、患者（特定個人）を知っていても、結果記憶部１２２に１回だけ存在したパーソナル情報の中から、その特定個人のパーソナル情報を識別できない。
【０２０１】
つまり、情報処理装置２００は、特定個人のパーソナル情報が集団に属する有効期間にかかわらず、情報を保護できる。
【０２０２】
このように、本実施形態の情報処理装置２００は、攻撃者が保護済パーソナル情報を閲覧し続けても、攻撃者が特定個人のパーソナル情報を識別することを防止するように、パーソナル情報を匿名化できる。
【０２０３】
＜第３の実施形態＞
第３の実施形態について、図面を参照して説明する。なお、第１及び第２の実施形態と同様の構成又はステップには、同じ符号を付し、詳細な説明を省略する場合がある。
【０２０４】
まず、第３の実施形態に係る情報処理装置３００の構成について説明する。
【０２０５】
図１５は、本実施形態に係る情報処理装置３００の構成の一例を示すブロック図である。
【０２０６】
情報処理装置３００は、抽出部３１１と、変換部１１２と、変換部３１２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。
【０２０７】
本実施形態の情報処理装置３００は、第１の実施形態の情報処理装置１００と、相対的に有効期間が近いパーソナル情報が表す個人の集合において個人のプライバシーを保護する点で、相違する。そのため、同じ構成についての説明を省略し、相違する構成について以下に説明する。
【０２０８】
抽出部３１１は、抽出部１１１の機能に加え、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報のうち、有効期間が所定の期間より長いパーソナル情報の集合と、それ以外の（有効期間が所定の期間より短い）パーソナル情報の集合とを抽出する。ここで、抽出部３１１は、有効期間が所定の期間より長いパーソナル情報の集合として、複数の集合を抽出しても良い。複数の集合を抽出する場合、抽出部３１１は、予め、所定の期間に加え、集合の分割点を保持しても良い。あるいは、抽出部３１１は、所定の期間に加え、各集合の範囲を保持しても良い。
【０２０９】
なお、抽出部３１１は、抽出部１１１又は抽出部２１２に相当する構成と、本実施形態で追加された機能を実現する構成とに分けて構成されても良い。そのため、抽出部３１１は、第３の抽出部といっても良い。
【０２１０】
例えば、所定の期間を１ヶ月とした場合について説明する。また、抽出部３１１は、有効期間が長い集合として、１年未満と１年以上の２つの集合を抽出するとする。
【０２１１】
抽出部３１１は、有効期間が所定の期間より長いパーソナル情報の集合として、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報のうち、１ヶ月以上１年未満の有効期間のパーソナル情報の集合と、１年以上の有効期間のパーソナル情報の集合とを生成（抽出）する。
【０２１２】
そして、抽出部３１１は、それ以外のパーソナル情報の集合、つまり、有効期間が所定の期間より短い（１ヶ月未満）パーソナル情報の集合を抽出する。
【０２１３】
このように、抽出部３１１は、有効期間が所定の期間より長い１つ又は複数の集合と、有効期間が所定の期間より短い集合とを抽出する。
【０２１４】
変換部１１２は、第１の実施形態及び第２の実施形態の変換部１１２と同様に、抽出部３１１が抽出したパーソナル情報を要素とする各集合について、集合に含まれるパーソナル情報を変換し、保護済パーソナル情報を生成する。そして、変換部１１２は、保護済パーソナル情報を結果記憶部１２２に記憶する。
【０２１５】
変換部３１２は、抽出部３１１が抽出した有効期間が所定の期間よりも短いパーソナル情報の少なくとも一部が、結果記憶部１２２に記憶されている保護済パーソナル情報の少なくとも一部と識別できないように、そのパーソナル情報の一部と保護済パーソナル情報の一部とを変換する。そして、変換部３１２、パーソナル情報の一部と保護済パーソナル情報の一部とを変換した変換後の保護済パーソナル情報を、結果記憶部１２２に記憶する。
【０２１６】
変換部３１２は、有効期間が所定の期間より短いパーソナル情報の全てについて、上記のように変換し、変換後の保護済パーソナル情報として、結果記憶部１２２に記憶する。
【０２１７】
そのため、変換部３１２は、変換部１１２を第１の変換部とすると、第２の変換部に相当する。
【０２１８】
ただし、情報処理装置３００は、変換部１１２と変換部３１２とを１つの構成で実現しても良い。本実施形態の説明において、変換部１１２と変換部３１２とを分けて説明するのは、説明する機能を明確にするためである。
【０２１９】
なお、情報処理装置３００は、情報処理装置１００と同様に、図８に示すコンピュータで構成されても良い。
【０２２０】
また、情報処理装置３００は、第２の実施形態と同様に、抽出部１１１の機能に加え、抽出部２１２の機能及び削除部２１１の機能を含んでも良い。
【０２２１】
次に、第３の実施形態に係る情報処理装置３００の動作（データ処理方法）について、図面を参照して説明する。
【０２２２】
図１６は、第３の実施形態に係る情報処理装置３００の動作の一例を示すフローチャートである。
【０２２３】
まず、抽出部３１１は、有効期間が所定の期間より長いパーソナル情報の集合を生成する（ステップＳ３０１）。
【０２２４】
より具体的には、抽出部３１１は、次のように動作する。
【０２２５】
ここで、抽出部３１１は、判定の用いる所定の期間と範囲とを、予め、保持しているとする。
【０２２６】
例えば、抽出部３１１は、所定の期間として１ヶ月を、範囲として１年未満と１年以上とを保持する。この場合、抽出部３１１は、１ヶ月以上１年未満の集合と、１年以上の集合とを生成する。
【０２２７】
まず、抽出部３１１は、空のリストを生成する。そして、抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報とそのパーソナル情報の有効期間とを読み込む。読み込んだパーソナル情報の有効期間が、所定の期間より長い場合、抽出部３１１は、その有効期間を含む範囲を含む集合が、リストに存在するか否かを判定する。
【０２２８】
集合がリストに存在しない場合、抽出部３１１は、その有効期間を含む範囲を含む集合を生成し、集合をリストに登録する。集合をリストに登録後、抽出部３１１は、その有効期間の範囲を含む集合をリストから読み込み、その集合に読み込んだパーソナル情報を登録する。
【０２２９】
一方、集合がリストに登録されている場合、抽出部３１１は、有効期間の範囲を含む集合をリストから読み込み、その集合に読み込んだパーソナル情報を登録する。
【０２３０】
抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されているすべてのパーソナル情報を、同様に処理する。
【０２３１】
次に、変換部１１２は、リストに要素が存在するか否かを判定する（ステップＳ１０３）。
【０２３２】
要素が存在する場合、変換部１１２は、抽出部３１１が生成したリストの集合を、１つ取り出す。そして、変換部１１２は、取り出した集合を構成するパーソナル情報を変換する（ステップＳ１０５）。つまり、変換部１１２は、保護済パーソナル情報を生成する。
【０２３３】
そして、変換部１１２は、結果記憶部１２２に、パーソナル情報への参照（識別子）と保護済パーソナル情報とを記憶する（ステップＳ１０７）。
【０２３４】
変換部１１２は、リストに登録されているすべての集合に対して、同様に処理する（ステップＳ１０３）。
【０２３５】
次に、抽出部３１１は、有効期間が短いパーソナル情報の集合を生成する（ステップＳ３０３）。
【０２３６】
具体的には、抽出部３１１は、次のように動作する。
【０２３７】
まず、抽出部３１１は、空のリストを生成する。そして、抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報とそのパーソナル情報の有効期間とを読み込む。読み込んだパーソナル情報の有効期間が所定の期間より短い場合、抽出部３１１は、読み込んだパーソナル情報をリストに追加する。抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されているすべてのパーソナル情報を、同様に、処理する。
【０２３８】
変換部３１２は、集合の各要素（パーソナル情報）及び匿名化済パーソナル情報を抽象化する（ステップＳ３０４）。
【０２３９】
具体的には、変換部３１２は、次のよう動作する。
【０２４０】
変換部３１２は、抽出部３１１が生成したリストから、パーソナル情報を１つ取り出す。そして、変換部３１２は、取り出したパーソナル情報が表す個人が、結果記憶部１２２に記憶されている所定の数の保護済パーソナル情報（つまり、少なくとも一部の保護済パーソナル情報）を表す個人と識別できないように、取り出したパーソナル情報及び所定の数の保護済パーソナル情報を変換する。そして、変換部３１２は、変換後のパーソナル情報を、保護済パーソナル情報として、結果記憶部１２２に記憶する。変換部３１２は、抽出部３１１が生成したリストに含まれる全てのパーソナル情報を処理する。
【０２４１】
なお、抽出部３１１は、ステップＳ１０５とステップＳ３０３を分けずに動作しても良い。例えば、抽出部３１１は、パーソナル情報の有効期間を判定し、判定結果を基に、パーソナル情報を、変換部１１２が使用するリスト又は変換部３１２が使用するリストに登録しても良い。
【０２４２】
（動作例）
次に、本実施形態の情報処理装置３００の動作について、具体的なデータを用いて説明する。
【０２４３】
図１７−２１は、情報処理装置３００の動作の説明に用いる、パーソナル有効情報記憶部１２１及び結果記憶部１２２が記憶するデータの一例を示す図である。
【０２４４】
パーソナル有効情報記憶部１２１は、例えば、図１７に示すデータ３００１を記憶する。データ３００１は、病状記録（個人に関連するパーソナル情報）として、病状記録の番号（Ｎｏ．）と、患者のＺＩＰコードと、年齢と、病状とを含むデータである。また、データ３００１は、有効期間（治療を受ける回数）を含む。
【０２４５】
また、抽出部３１１は、所定の期間として３回以上、範囲として「３〜４回」及び「５回以上」が設定されているとする。
【０２４６】
まず、抽出部３１１は、図１８に示すデータ３００２のように、空のリストを生成する。
【０２４７】
そして、抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されている病状記録であって、所定の期間より長い病状記録として、有効期間が３回以上の病状記録を読み込む。そして、抽出部３１１は、３〜４回及び５回以上の有効期間の病状記録の番号（Ｎｏ．）の集合を構成し、その集合を要素とするリスト［｛５，６｝：５〜６，｛２，４｝：３〜４］を生成する（ステップＳ３０１）。
【０２４８】
変換部１１２は、リストの先頭の集合「｛５，６｝：５〜６」を取り出す。そして、変換部１１２は、集合の要素であるＮｏ．５及びＮｏ．６が表すパーソナル有効情報記憶部１２１に記憶される病状記録を、匿名化する（ステップＳ１０５）。変換部１１２は、図１９のデータ３００３の示すように、匿名化したＮｏ．５とＮｏ．６の病状記録を、結果記憶部１２２に記憶する（ステップＳ１０７）。
【０２４９】
次に、変換部１１２は、リストの次の集合「｛２，４｝：３〜４」を取り出す。そして、変換部１１２は、集合の要素であるＮｏ．２及びＮｏ．４が表すパーソナル有効情報記憶部１２１に記憶される病状記録を、匿名化する（ステップＳ１０５）。変換部１１２は、図２０のデータ３００４に示すように、匿名化したＮｏ．２とＮｏ．４の病状記録を、結果記憶部１２２に記憶する（ステップＳ１０７）。
【０２５０】
同様に、変換部１１２は、リストの全ての要素を処理する（ステップＳ１０３）。
【０２５１】
次に、抽出部３１１は、空のリストを生成する。そして、抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されている病状記録であって、所定の期間よりも短い病状記録として、有効期間が３回未満の病状記録を読み込む。そして、抽出部３１１は、読み込んだ病状記録を基に、リスト［｛１，３｝：１〜２］を生成する（ステップＳ３０３）。
【０２５２】
変換部３１２は、リストの要素であるＮｏ．１及びＮｏ．３の病状記録を匿名化する。ただし、変換部３１２は、リストの要素と、結果記憶部１２２に記憶されている保護済データとを変換する。
【０２５３】
すなわち、変換部３１２は、Ｎｏ．１及びＮｏ．３の病状記録の抽象化するデータ（ここでは、ＺＩＰコードと年齢）に、最も近い図２０のデータ３００４で示す結果記憶部１２２に記憶される病状記録の抽象化されたデータ（ＺＩＰコードと年齢）を、判別する。そして、変換部３１２は、Ｎｏ．１及びＮｏ．３の病状記録と、判別した結果記憶部１２２の病状記録とが区別できないように、Ｎｏ．１及びＮｏ．３の病状記録（各要素）及び結果記憶部１２２に記憶されている病状記録（匿名化済パーソナル情報）を変換（抽象化）する。そして、変換部３１２は、図２１に示すデータ３００５のように、結果記憶部１２２に匿名化済パーソナル情報を記憶する。
【０２５４】
詳細に説明すると、変換部３１２は、次のように動作する。
【０２５５】
すなわち、変換部３１２は、Ｎｏ．１及びＮｏ．３の病状記録に近い病状記録として、Ｎｏ．５及びＮｏ．６の病状記録を判別する。
【０２５６】
そして、変換部３１２は、Ｎｏ．１の病状記録のＺＩＰコードを「１４８５３」から「１４８５＊」に変換し、年齢を「３３」から「３１−３４」に変換する。さらに、変換部３１２は、Ｎｏ．３の病状記録のＺＩＰコードを「１４８５０」から「１４８５＊」に変換し、年齢を「３１」から「３１−３４」に変換する。さらに、変換部３１２は、結果記憶部１２２に記憶されたＮｏ．５及びＮｏ．６の病状記録の年齢を「３２−３４」から「３１−３４」に変換する。
【０２５７】
（本実施形態の効果）
このように本実施形態の情報処理装置３００は、第１及び第２の実施形態の効果に加え、同一の有効期間のパーソナル情報の数が、匿名性を確保するために十分な数でない場合でも、パーソナル情報を表す個人のプライバシーの保護する効果を提供できる。
【０２５８】
その理由は、次のとおりである。
【０２５９】
情報処理装置３００の変換部１１２は、有効期間が所定に期間より長いパーソナル情報の集合を匿名化する。また、変換部３１２は、有効期間が所定の期間より短いパーソナル情報を、匿名化する。つまり、情報処理装置３００は、有効期間が相対的に近いパーソナル情報の集合を匿名化する。
【０２６０】
また、情報処理装置３００の変換部３１２は、有効期間が所定の期間より短いパーソナル情報を、個人を区別できないように、有効期間が所定の期間より長いパーソナル情報とともに匿名化する。そのため、同一の有効期間のパーソナル情報の数が十分でない場合でも、情報処理装置３００は、パーソナル情報を表す個人のプライバシーを保護できる。
【０２６１】
さらに、情報処理装置３００は、有効期間が短いパーソナル情報を、有効期間が長いパーソナル情報と区別できないように匿名化する。そのため、攻撃者は、所定の個人の有効期間の長短を知っていても、有効期間の長短を基に個人と特定できない。
【０２６２】
さらに、情報処理装置３００は、有効期間が長いパーソナル情報を長期間保護する効果を実現できる。
【０２６３】
その理由は、次のとおりである。
【０２６４】
情報処理装置３００は、所定の期間より長い集合を、複数の集合に分けて変換する。つまり、情報処理装置３００は、有効期間が長いパーソナル情報を、同程度に有効期間が長いパーソナル情報の集合として変換する。例えば、情報処理装置３００は、有効期間が１０年以上のパーソナル情報の集合を匿名化する。
【０２６５】
そのため、例えば、ある程度の期間が経過しても、有効期間が長い集合は、集合に含まれるパーソナル情報の変更を必要としない。
【０２６６】
例えば、情報処理装置３００は、有効期間が１０年以上のパーソナル情報の集合を匿名化したとする。この場合、数年経過しても、有効期間が１０年以上のパーソナル情報の集合への従属は、変更とならない。そのため、情報処理装置３００は、プライバシーの保護状態を維持できる。
【０２６７】
このように、情報処理装置３００は、有効期間が長いパーソナル情報の保護を実現できる。
【０２６８】
＜第４の実施形態＞
第４の実施形態について、図面を参照して説明する。なお、第１から第３の実施形態と同様の構成又はステップには、同じ符号を付し、詳細な説明を省略する場合がある。
【０２６９】
まず、第４の実施形態に係る情報処理装置４００の構成について説明する。
【０２７０】
図２２は、本実施形態に係る情報処理装置４００の構成の一例を示すブロック図である。
【０２７１】
情報処理装置４００は、予測部４１１と、抽出部１１１と、変換部１１２と、パーソナル情報記憶部４２１と、相関記憶部４２２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。
【０２７２】
第１の実施形態に係る情報処理装置１００は、予め、パーソナル有効情報記憶部１２１に、パーソナル情報の有効期間が与えられることを前提とする。
【０２７３】
一方、本実施形態の情報処理装置４００は、パーソナル情報の有効期間を予測（又は、算出）する点で、情報処理装置１００と、相違する。そのため、同じ構成についての説明を省略し、相違する構成について以下に説明する。
【０２７４】
パーソナル情報記憶部４２１は、パーソナル情報を記憶する。
【０２７５】
相関記憶部４２２は、パーソナル情報の性質とそのパーソナル情報の有効期間との相関を記憶する。
【０２７６】
ここで、パーソナル情報の性質とは、パーソナル情報の有効期間に関連する情報である。
【０２７７】
例えば、パーソナル情報の性質の「癌」、「心臓病」又は「腰痛」は、有効期間が長く、パーソナル情報の性質の「インフルエンザ」又は「感染症」は、有効期間が短い。
【０２７８】
あるいは、パーソナル情報の性質の「持家」は、有効期間が長く、パーソナル情報の性質の「ホテル」は、有効期間が短い。
【０２７９】
例えば、パーソナル情報が図３６に示すデータ９００１のような病状記録の場合、病名が、パーソナル情報の性質に相当する。また、病名が示す疾病の平均診療回数が、有効期間に相当する。そのため、相関記憶部４２２は、例えば、病名と平均診療回数（有効期間）との相関を記憶する。
【０２８０】
予測部４１１は、パーソナル情報記憶部４２１に記憶されているパーソナル情報について、そのパーソナル情報の性質を相関記憶部４２２から検索する。そして、予測部４１１は、パーソナル情報と、その性質に対応する有効期間とを基に、パーソナル有効情報記憶部１２１が記憶する情報を作成し、パーソナル有効情報記憶部１２１に出力する。
【０２８１】
なお、予測部４１１は、その他の情報を参照しても良い。
【０２８２】
例えば、予測部４１１は、図示しない記憶部に記憶されているパーソナル情報の性質（所定の属性値）に対応する有効期間の情報を、参照しても良い。
【０２８３】
より具体的には、予測部４１１は、次のような情報を参照しても良い。
【０２８４】
例えば、年齢が高い人は、診療期間（有効期間）が長い。そこで、図示しない記憶部が、年齢と診療期間（有効期間）との相関情報を保持する。そして、予測部４１１は、パーソナル情報の性質に対応する有効期間を、年齢情報を基に修正しても良い。
【０２８５】
あるいは、病歴が多い人は、診療期間が長くなる。そこで、図示しない記憶部が、病歴と診療期間（有効期間）との相関情報を保持する。そして、予測部４１１は、パーソナル情報の性質に対応する有効期間を、病歴情報を基に修正しても良い。
【０２８６】
パーソナル有効情報記憶部１２１は、パーソナル情報と、その有効期間とを記憶する。
【０２８７】
なお、情報処理装置４００は、情報処理装置１００と同様に、図８に示すコンピュータで構成されても良い。
【０２８８】
また、情報処理装置４００は、抽出部２１２、削除部２１１、変換部３１２、又は、抽出部３１１の機能を含んでも良い。
【０２８９】
次に、第４の実施形態に係る情報処理装置４００の動作（データ処理方法）について、図面を参照して説明する。
【０２９０】
図２３は、第４の実施形態に係る情報処理装置４００の動作の一例を示すフローチャートである。
【０２９１】
予測部４１１は、パーソナル情報記憶部４２１のパーソナル情報と、相関記憶部４２２の相関とを基に、パーソナル情報と有効期間とをパーソナル有効情報記憶部１２１に書き出す（ステップＳ４０１）。
【０２９２】
具体的には、予測部４１１は、次のように動作する。
【０２９３】
予測部４１１は、パーソナル情報記憶部４２１に記憶されているパーソナル情報の性質を、相関記憶部４２２から検索する。そして、予測部４１１は、パーソナル情報とその性質に対応する有効期間とをパーソナル有効情報記憶部１２１に記憶する（書き出す）。予測部４１１は、パーソナル情報記憶部４２１に記憶されている全てのパーソナル情報について、同様に、処理する。
【０２９４】
図２３に示されるステップＳ１０１〜Ｓ１０７は、第１の実施形態と同様のため、説明を省略する。
【０２９５】
（動作例）
次に、本実施形態の情報処理装置４００の予測部４１１の動作について、具体的なパーソナル情報含むデータを用いて説明する。
【０２９６】
図２４−２６は、情報処理装置４００の動作の説明に用いる、パーソナル情報記憶部４２１、相関記憶部４２２、及び、パーソナル有効情報記憶部１２１が記憶するデータの一例を示す図である。
【０２９７】
パーソナル情報記憶部４２１は、例えば、図２４に示すデータ４００１を記憶する。データ４００１は、病状記録として、病状記録の番号（Ｎｏ．）と、患者のＺＩＰコードと、年齢と、病状とを含むデータである。
【０２９８】
相関記憶部４２２は、例えば、図２５に示すデータ４００２を記憶する。データ４００２は、相関として、病状と、有効期間（通院回数）とを含むデータである。
【０２９９】
予測部４１１は、パーソナル情報記憶部４２１に記憶されている病状記録について、病状記録の病状を相関記憶部４２２から検索して、有効期間を読み出す。そして、予測部４１１は、図２６に示すデータ４００３ように、病状記録と有効期間とをパーソナル有効情報記憶部１２１に記憶する（ステップＳ４０１）。
【０３００】
（本実施形態の効果）
このように、本実施形態の情報処理装置４００は、第１〜第３の実施形態の効果に加え、パーソナル情報の有効期間を予測（算出）して、パーソナル有効情報記憶部１２１に記憶する効果を提供することができる。
【０３０１】
その理由は、次のとおりである。
【０３０２】
情報処理装置４００の予測部４１１が、パーソナル情報記憶部４２１及び相関記憶部４２２が記憶する情報を基に、パーソナル情報と有効期間とを、パーソナル有効情報記憶部１２１に記憶させるためである。
【０３０３】
（変形例１）
情報処理装置４００の相関記憶部４２２は、パーソナル情報の性質を、階層構造を用いて記憶しても良い。さらに、相関記憶部４２２は、全てのパーソナル情報の性質の有効期間ではなく、一部のパーソナル情報の性質の有効期間を記憶しても良い。つまり、情報処理装置４００は、パーソナル情報の性質に階層構造を備え、パーソナル情報の性質の一部に有効期間を付与しても良い。
【０３０４】
図面を参照して説明する。
【０３０５】
図２７は、本実施形態の相関記憶部４２２が記憶する階層構造のデータの一例を示す図である。
【０３０６】
図２７において、最上位層の概念は、「癌」である。「癌」の下位の層の概念は、「消化器系癌」、「呼吸器系癌」である。さらに、「消化器系癌」の下位の層の概念は、「胃癌」及び「大腸癌」である。また、「呼吸器系癌」の下位の層の概念は、「肺癌」及び「咽頭癌」である。
【０３０７】
そして、相関記憶部４２２は、「癌」の有効期間として「１０」を記憶する。
【０３０８】
ここで、例えば、予測部４１１が、「胃癌」の有効期間を検索する場合を想定する。まず、予測部４１１は、相関記憶部４２２において、「胃癌」を検索する。そして、予測部４１１は、「胃癌」が有効期間を記憶しているか否かを判断する。「胃癌」は、有効期間を記憶していない。そこで、予測部４１１は、有効期間が見つかるまで、相関記憶部４２２の階層構造を、上位概念方向に検索する（辿る）。今の場合、有効期間の「１０」が、最上位の「癌」に、記憶されている。そのため、予測部４１１は、階層構造を辿り、「癌」の有効期間「１０」を、「胃癌」の有効期間として、検索する。
【０３０９】
このように、予測部４１１は、個別には有効期間が付与されていないパーソナル情報の性質の有効期間を、予測できる。
【０３１０】
本変形例の効果について説明する。
【０３１１】
本変形例の相関記憶部４２２は、記憶容量を削減する効果、及び、有効期間が付与されていない性質の有効期間を与える効果を得ることができる。
【０３１２】
その理由は、次のとおりである。
【０３１３】
性質が有効期間を含まない場合、予測部４１１は、有効期間を含む性質まで、階層構造に沿って検索する。
【０３１４】
そのため、本変形例の相関記憶部４２２は、全ての性質の有効期間を記憶する必要がなく、一部の性質の有効期間を記憶すれば良い。つまり、相関記憶部４２２は、記憶する有効期間を削減できるためである。
【０３１５】
また、予測部４１１は、有効期間が付与されていない性質の有効期間を予測できるためである。
【０３１６】
＜第５の実施形態＞
第５の実施形態について、図面を参照して説明する。なお、第１から第４の実施形態の同様の構成又はステップには、同じ符号を付し、明細書中の説明を省略する場合がある。
【０３１７】
まず、第５の実施形態に係る情報処理装置５００の構成について説明する。
【０３１８】
図２８は、本実施形態に係る情報処理装置５００の構成の一例を示すブロック図である。
【０３１９】
情報処理装置５００は、入力部５１１と、分析部５１２と、予測部４１１と、抽出部１１１と、変換部１１２と、履歴記憶部５２１と、パーソナル情報記憶部４２１と、相関記憶部４２２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。
【０３２０】
第４の実施形態に係る情報処理装置４００は、パーソナル情報の性質と有効期間との相関が既に与えられていることを前提とする。
【０３２１】
一方、本実施形態の情報処理装置５００は、情報処理装置４００と、パーソナル情報の性質と有効期間との相関を導出する点で、相違する。そのため、同じ構成についての説明を省略し、相違する構成について以下に説明する。
【０３２２】
入力部５１１は、パーソナル情報が付与された登録要求、及び、パーソナル情報を指定した削除要求を受け取る。
【０３２３】
ここで、パーソナル情報が付与された登録要求とは、情報処理装置５００に登録するパーソナル情報を含む、パーソナル情報の登録要求である。
【０３２４】
また、パーソナル情報を指定した削除要求とは、削除するパーソナル情報を指定するための情報を含む削除要求である。
【０３２５】
なお、入力部５１１は、要求の送信元を特に限定されない。例えば、入力部５１１は、パーソナル情報の管理者が操作する端末、又は、ユーザが保有する携帯端末から、要求を受け取っても良い。
【０３２６】
パーソナル情報が付与された登録要求を受け取った場合、入力部５１１は、そのパーソナル情報と、登録要求を受け付けた時刻（例えば、年月、日付、又は、日時）とを、履歴記憶部５２１に記憶する。さらに、入力部５１１は、パーソナル情報記憶部４２１に、受け取ったパーソナル情報を記憶する。
【０３２７】
一方、パーソナル情報を指定した削除要求を受け取った場合、入力部５１１は、そのパーソナル情報と、削除要求を受け付けた時刻（例えば、年月、日付、又は、日時）とを、履歴記憶部５２１に記憶する。さらに、入力部５１１は、パーソナル情報記憶部４２１から、削除要求のパーソナル情報を削除する。
【０３２８】
分析部５１２は、履歴記憶部５２１に記憶されているパーソナル情報の登録時刻と削除時刻日時と基に、パーソナル情報の有効期間を分析（算出）する。分析部５１２は、履歴記憶部５２１に記憶されているパーソナル情報の性質と、算出した有効期間との相関を導出する。そして、分析部５１２は、パーソナル情報の性質とその有効期間との相関を、相関記憶部４２２に記憶する。
【０３２９】
なお、分析部５１２は、同様の属性値を含む複数のパーソナル情報を用いて、有効期間を分析（算出）しても良い。
【０３３０】
例えば、パーソナル情報が年齢を含む場合、分析部５１２は、所定の年齢範囲を含むパーソナル情報の有効期間の平均値又は最大値を、有効期間としても良い。
【０３３１】
履歴記憶部５２１は、上記に加え、パーソナル情報として、パーソナル情報の識別子と、パーソナル情報の性質と、そのパーソナル情報がパーソナル情報記憶部４２１に記憶されている期間とを記憶することが望ましい。
【０３３２】
なお、情報処理装置５００は、情報処理装置１００と同様に、図８に示すコンピュータで構成されても良い。
【０３３３】
また、情報処理装置５００は、抽出部２１２、削除部２１１、変換部３１２、又は、抽出部３１１の機能を含んでも良い。
【０３３４】
次に、第５の実施形態に係る情報処理装置５００の動作（データ処理方法）について、図面を参照して説明する。
【０３３５】
図２９−３１は、本実施形態に係る情報処理装置５００の動作の一例を示すフローチャートである。
【０３３６】
情報処理装置５００は、動作として、図２９に示される「登録フェーズ」と、図３０に示される「削除フェーズ」と、図３１に示される「分析フェーズ」とを含む。
【０３３７】
まず、図２９に示される登録フェーズの動作について説明する。
【０３３８】
入力部５１１は、パーソナル情報が付与された登録要求を受信する。そして、入力部５１１は、パーソナル情報と、そのパーソナル情報の登録要求を受信した時刻（例えば、年月、日付、又は、日時）とを、履歴記憶部５２１に記憶する（ステップＳ５０１）。
【０３３９】
さらに、入力部５１１は、パーソナル情報記憶部４２１に、受信したパーソナル情報を記憶する（ステップＳ５０３）。
【０３４０】
なお、入力部５１１は、登録要求を、定期的に受信しても良く、不定期に受信してもよい。
【０３４１】
次に、図３０に示される削除フェーズの動作について説明する。
【０３４２】
入力部５１１は、パーソナル情報が指定された削除要求を受信する。そして、入力部５１１は、パーソナル情報と、そのパーソナル情報の削除要求を受信した時刻（例えば、年月、日付、又は、日時）とを、履歴記憶部５２１に記憶する（ステップＳ５０５）。
【０３４３】
さらに、入力部５１１は、削除要求のパーソナル情報を、パーソナル情報記憶部４２１から削除する（ステップＳ５０７）。
【０３４４】
なお、入力部５１１は、削除要求を、定期的に受信しても良く、不定期に受信してもよい。
【０３４５】
次に、図３１に示される分析フェーズの動作について説明する。
【０３４６】
分析部５１２は、履歴記憶部５２１に登録時刻と削除時刻との両方が登録されているパーソナル情報を読み出し、パーソナル情報の有効期間を算出する。つまり、分析部５１２は、パーソナル情報がパーソナル情報記憶部４２１に記憶されている期間（有効期間）を導出する。分析部５１２は、パーソナル情報を基に有効期間を導出する。そのため、有効期間は、パーソナル情報の性質と関連性がある。つまり、分析部５１２は、パーソナル情報の性質と、パーソナル情報の有効期間との相関を分析する（ステップＳ５０９）。
【０３４７】
そして、分析部５１２は、分析した相関として、パーソナル情報の性質と、パーソナル情報の有効期間とを相関記憶部４２２に記憶する（ステップＳ５１１）。
【０３４８】
（動作例）
次に、本実施形態の情報処理装置５００の動作について、具体的なパーソナル情報を含むデータを用いて説明する。
【０３４９】
図３２−３５は、情報処理装置５００の動作の説明に用いる、履歴記憶部５２１、パーソナル情報記憶部４２１、及び、相関記憶部４２２が記憶するデータの一例を示す図である。
【０３５０】
まず、２０１２年５月時点において、履歴記憶部５２１は、図３２に示すデータ５００１を記憶する。データ５００１は、Ｎｏ．１とＮｏ．３の病状と登録時刻と、Ｎｏ．２の病状と登録時刻と削除時刻とを含むデータである。
【０３５１】
また、パーソナル情報記憶部４２１は、図３２に示すデータ５００２を記憶する。データ５００２は、Ｎｏ．１の病状記録と、Ｎｏ３．の病状記録とを含むデータである。
【０３５２】
２０１２年６月時点において、入力部５１１は、病状記録（パーソナル情報）が付与された登録要求を受信したとする。入力部５１１は、図３３に示すデータ５００３のように、病状記録のＮｏ．の「４」と病状である「癌」とを履歴記憶部５２１に記憶する（ステップＳ５０１）。
【０３５３】
また、入力部５１１は、図３３に示すデータ５００４のように、パーソナル情報記憶部４２１に、病状記録４の病状記録を記憶する（ステップＳ５０３）。
【０３５４】
さらに、入力部５１１は、Ｎｏ．３の病状記録の削除要求を受信したとする。入力部５１１は、図３３に示すデータ５００３のように、履歴記憶部５２１に記憶されたＮｏ．３の病状記録の「削除」のカラムに、削除要求を受信した時刻（年月）を記憶する（ステップＳ５０５）。そして、入力部５１１は、図３３に示すデータ５００４のように、パーソナル情報記憶部４２１に記憶されるＮｏ．３の病状記録を削除する（ステップＳ５０７）。
【０３５５】
２０１３年４月時点において、入力部５１１は、Ｎｏ．１及びＮｏ．４の病状記録の削除要求を受信したとする。入力部５１１は、図３４に示すデータ５００５のように、履歴記憶部５２１のＮｏ．１及びＮｏ．４の病状記録の削除時刻（年月）を登録する。
【０３５６】
さらに、入力部５１１は、図３４に示すデータ５００６のように、パーソナル情報記憶部４２１に記憶されていたＮｏ．１及びＮｏ．４の情報を削除する。
【０３５７】
分析部５１２は、履歴記憶部５２１に記憶されているＮｏ．１からＮｏ．４の病状記録を読み込み、それぞれの病状に対する有効期間を算出する（ステップＳ５０９）。
【０３５８】
そして、分析部５１２は、図３５に示すデータ５００７のように、病状（パーソナル情報の性質）と算出した有効期間との相関を、相関記憶部４２２に記憶する（ステップＳ５１１）。
【０３５９】
（本実施形態の効果）
このように、本実施形態の情報処理装置５００は、第４の実施形態の効果に加え、パーソナル情報の性質と有効期間との相関の入力を削減できる効果を提供できる。
【０３６０】
その理由は、次のとおりである。
【０３６１】
情報処理装置５００の入力部５１１は、受信したパーソナル情報と、登録要求の時刻と、削除要求の時刻とを履歴記憶部５２１に記憶する。
【０３６２】
そして、分析部５１２は、履歴記憶部５２１が記憶した履歴情報を基に、パーソナル情報の性質と有効期間との相関を算出し、相関記憶部４２２に記憶するためである。
【０３６３】
さらに、情報処理装置５００は、有効期間の予測の精度を向上できる効果を得ることができる。
【０３６４】
その理由は、次のとおりである。
【０３６５】
分析部５１２は、同様の属性値を含むパーソナル情報の有効期間を基に、有効期間を分析しても良い。誤差は、一般的に、正しい値を中心に分散して発生する。そのため、分析部５１２は、複数の情報を用いて、誤差の影響を低減できる、つまり、単独の情報が誤差を含む場合でも、分析部５１２は、同様の属性値を含むパーソナル情報の分析を基に、誤差の影響を低減できる。そのため、情報処理装置５００は、適切な有効期間を分析できるからである。
【０３６６】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０３６７】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０３６８】
（付記１）
個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する抽出手段と、
前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する変換手段と、
を含む情報処理装置。
【０３６９】
（付記２）
前記変換手段の変換が前記パーソナル情報の匿名化処理である
付記１に記載の情報処理装置
（付記３）
前記パーソナル情報と、前記パーソナル情報の有効期間との組を記憶するパーソナル有効情報記憶手段と、
前記変換後のパーソナル情報を記憶する結果記憶手段と、
を含む付記１又は付記２に記載の情報処理装置。
【０３７０】
（付記４）
変換する前のパーソナル情報が前記パーソナル有効情報記憶手段に記憶されていない前記変換後のパーソナル情報を前記結果記憶手段から削除する削除手段を含み、
前記抽出手段が、前記変換手段が変換していない前記パーソナル有効情報記憶手段に記憶されているパーソナル情報を要素とする集合を抽出する
付記３に記載の情報処理装置。
【０３７１】
（付記５）
前記抽出手段が、所定の期間より長い有効期間のパーソナル情報の集合と所定の期間より短い有効期間のパーソナル情報の集合とを抽出し、
前記変換手段が、有効期間が短いパーソナル情報の集合に含まれるパーソナル情報の少なくとも一部と前記変換後のパーソナル情報の少なくとも一部とが同様の変換後のパーソナル情報となるように、前記パーソナル情報の一部及び前記変換後のパーソナル情報の一部を変換する
付記１乃至付記４のいずれか１項に記載の情報処理装置。
【０３７２】
（付記６）
前記抽出手段が、前記所定の期間より長い有効期間のパーソナル情報の集合を複数抽出し、
前記変換手段が、前記抽出した複数の集合毎に前記パーソナル情報を変換する
付記５に記載の情報処理装置。
【０３７３】
（付記７）
パーソナル情報と、パーソナル情報の性質と有効期間との相関と、を基に、前記パーソナル情報の有効期間を予測する予測手段
を含む付記１乃至付記６のいずれか１項に記載の情報処理装置。
【０３７４】
（付記８）
前記予測手段が、
前記パーソナル情報に含まれる属性値を用いて有効期間を予測する
付記７に記載の情報処理装置。
【０３７５】
（付記９）
前記パーソナル情報の性質が階層構造を備え、前記性質の一部に有効期間を付与する
付記７又は付記８に記載の情報処理装置。
【０３７６】
（付記１０）
前記予測手段が、前記パーソナル情報の性質の階層構造を辿って前記有効期間を検索する
付記９に記載の情報処理装置。
【０３７７】
（付記１１）
前記パーソナル情報が記憶された時刻と、前記パーソナル情報が削除された時刻とを基に、前記パーソナル情報の有効期間を分析する分析手段、
を含む付記１乃至付記１０のいずれか１項に記載の情報処理装置。
【０３７８】
（付記１２）
前記分析手段が、
前記パーソナル情報と同様の属性値を含むパーソナル情報の有効期間を基に、有効期間を分析する
付記１１に記載の情報処理装置。
【０３７９】
（付記１３）
個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出し、
前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する
データ処理方法。
【０３８０】
（付記１４）
個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する処理と、
前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する処理と
をコンピュータに実行させるプログラム。
【符号の説明】
【０３８１】
１００    情報処理装置
１０１    情報処理装置
１１１    抽出部
１１２    変換部
１２１    パーソナル有効情報記憶部
１２２    結果記憶部
２００    情報処理装置
２１１    削除部
２１２    抽出部
３００    情報処理装置
３１１    抽出部
３１２    変換部
４００    情報処理装置
４１１    予測部
４２１    パーソナル情報記憶部
４２２    相関記憶部
５００    情報処理装置
５１１    入力部
５１２    分析部
５２１    履歴記憶部
６００    情報処理装置
６１０    ＣＰＵ
６２０    ＲＯＭ
６３０    ＲＡＭ
６４０    内部記憶装置
６５０    ＩＯＣ
６６０    入力機器
６７０    表示機器
６８０    ＮＩＣ
７００    記憶媒体
１００１    データ
１００２    データ
１００３    データ
１００４    データ
２００１    データ
２００２    データ
２００３    データ
２００４    データ
２００５    データ
３００１    データ
３００２    データ
３００３    データ
３００４    データ
３００５    データ
４００１    データ
４００２    データ
４００３    データ
５００１    データ
５００２    データ
５００３    データ
５００４    データ
５００５    データ
５００６    データ
５００７    データ
９００１    データ
９００２    データ
【図１】
2015007885.tif 000003
【図２】
2015007885.tif 000004
【図３】
2015007885.tif 000005
【図４】
2015007885.tif 000006
【図５】
2015007885.tif 000007
【図６】
2015007885.tif 000008
【図７】
2015007885.tif 000009
【図８】
2015007885.tif 000010
【図９】
2015007885.tif 000011
【図１０】
2015007885.tif 000012
【図１１】
2015007885.tif 000013
【図１２】
2015007885.tif 000014
【図１３】
2015007885.tif 000015
【図１４】
2015007885.tif 000016
【図１５】
2015007885.tif 000017
【図１６】
2015007885.tif 000018
【図１７】
2015007885.tif 000019
【図１８】
2015007885.tif 000020
【図１９】
2015007885.tif 000021
【図２０】
2015007885.tif 000022
【図２１】
2015007885.tif 000023
【図２２】
2015007885.tif 000024
【図２３】
2015007885.tif 000025
【図２４】
2015007885.tif 000026
【図２５】
2015007885.tif 000027
【図２６】
2015007885.tif 000028
【図２７】
2015007885.tif 000029
【図２８】
2015007885.tif 000030
【図２９】
2015007885.tif 000031
【図３０】
2015007885.tif 000032
【図３１】
2015007885.tif 000033
【図３２】
2015007885.tif 000034
【図３３】
2015007885.tif 000035
【図３４】
2015007885.tif 000036
【図３５】
2015007885.tif 000037
【図３６】
2015007885.tif 000038
【図３７】
2015007885.tif 000039