(57)【要約】【課題】匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを定量的に分析し、定量化されたリスクレベルを尺度として匿名化に使用するパラメータを最適化するリスク分析装置、方法及びプログラムを提供すること。【解決手段】リスク分析装置１０は、匿名化データを構成するレコードごとに、リスクを定量的に分析し、分析したレコードごとのリスクに基づいて、特定の尺度（例えば、攻撃者の予備知識、含有率（再現率及び適合率のＦ−尺度））に従って匿名化データのリスクレベルを定量化して算出し、算出したリスクレベル（匿名化に使用するパラメータに対応する）を出力する。【選択図】図１
2015176496.tif 000002
【特許請求の範囲】
【請求項１】
個人に関する情報を含む匿名化データから前記個人が一意に特定されるリスクレベルを分析するリスク分析装置であって、
前記匿名化データを構成するレコードごとに、リスクを定量的に分析するリスク分析手段と、
前記リスク分析手段によって分析された前記レコードごとの前記リスクに基づいて、特定の尺度に従って前記匿名化データのリスクレベルを定量化して算出するリスクレベル算出手段と、
前記リスクレベル算出手段によって算出された前記リスクレベルを出力するリスクレベル出力手段と、
を備えるリスク分析装置。
【請求項２】
前記リスク分析手段は、それぞれのレコードの前記リスクを評価する場合において、個人を特定しようとする攻撃者の予備知識の量に応じて前記リスクを算定する、請求項１に記載のリスク分析装置。
【請求項３】
前記リスク分析手段は、移動軌跡のデータに対して、その一部分、あるいは全部を知っていることを前記攻撃者の予備知識とし、既知である軌跡のノード数を予備知識の量として定量化する、請求項２に記載のリスク分析装置。
【請求項４】
前記リスクレベル算出手段は、前記リスク分析手段によって定量化された前記リスクと閾値とを比較し、前記リスクが前記閾値以下である前記レコードの数が、前記匿名化データの前記レコードの総数に占める割合をリスクレベルとして算出する、請求項１に記載のリスク分析装置。
【請求項５】
前記リスクレベル算出手段は、
匿名化される前の元データに含まれる属性であって前記匿名化データにも含まれる前記属性の個数が、前記元データに含まれる前記属性の総数に対する比率である再現率を算出する再現率算出手段と、
前記元データに含まれる前記属性であって前記匿名化データにも含まれる前記属性の個数が、前記匿名化データに含まれる前記属性の総数に対する比率である適合率を算出する適合率算出手段と、
前記再現率算出手段によって算出された前記再現率と、前記適合率算出手段によって算出された前記適合率とに基づいて特定の尺度を算出する尺度算出手段と、
をさらに備え、
前記リスクレベル算出手段は、前記尺度算出手段によって算出された前記特定の尺度に基づいて、匿名化のためのパラメータを算出する請求項４に記載のリスク分析装置。
【請求項６】
請求項１に記載のリスク分析装置が実行する方法であって、
前記リスク分析手段が、前記匿名化データを構成するレコードごとに、リスクを定量的に分析するリスク分析ステップと、
前記リスクレベル算出手段が、前記リスク分析ステップによって分析された前記レコードごとの前記リスクに基づいて、特定の尺度に従って前記匿名化データのリスクレベルを定量化して算出するリスクレベル算出ステップと、
前記リスクレベル出力手段が、前記リスクレベル算出ステップによって算出された前記リスクレベルを出力するリスクレベル出力ステップと、
を備える方法。
【請求項７】
コンピュータに、請求項６に記載の方法の各ステップを実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、匿名化データにおけるリスク分析装置、方法及びプログラムに関する。
【背景技術】
【０００２】
従来より、データを統計処理することによって、データの有効活用が図られている。例えば、特定の病気にかかりやすい年代、性別、地域、人種といった情報を含む大量のデータが広く公開され、統計処理されて、その傾向分析や予防対策に用いられている。
【０００３】
このようなデータを公開する場合には、プライバシーを慎重に保護する必要があるため、そのデータの所有者が特定されないように、データの変形処理を行う必要がある。そのため、今までにも、プライバシーを保護するためのデータの変形処理に関する技術が多く開示されている。例えば、データの一部を一般化やあいまい化することにより、データを組み合わせても個人が特定されないようにする技術（例えば、ｋ‐匿名化処理等）が開示されている（例えば、非特許文献１参照）。
【０００４】
また、データセット全体における個人特定の確率の低下を可能とする技術が、非特許文献２に開示されている。非特許文献２では、履歴データの一種である移動データに対し、履歴に含まれる地点に対し、事例数の逆数を個人特定の確率とし、値が１／ｋに近い履歴データの事例を削減するリスク分析手法を開示している。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】Ｌａｔａｎｙａ  Ｓｗｅｅｎｅｙ，ｋ−ａｎｏｎｙｍｉｔｙ：  ａ  ｍｏｄｅｌ  ｆｏｒ  ｐｒｏｔｅｃｔｉｎｇ  ｐｒｉｖａｃｙ，Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｊｏｕｒｎａｌ  ｏｆ  Ｕｎｃｅｒｔａｉｎｔｙ，Ｆｕｚｚｉｎｅｓｓ  ａｎｄ  Ｋｎｏｗｌｅｄｇｅ−Ｂａｓｅｄ  Ｓｙｓｔｅｍｓ，Ｖｏｌｕｍｅ  １０  Ｉｓｓｕｅ  ５，Ｏｃｔｏｂｅｒ  ２００２，Ｐａｇｅｓ５５７−５７０．
【非特許文献２】Ａｎｎａ  Ｍｏｎｒｅａｌｅ，Ｇｅｎｎａｄｙ  Ｌ．Ａｎｄｒｉｅｎｋｏ，Ｎａｔａｌｉａ  Ｖ．Ａｎｄｒｉｅｎｋｏ，Ｆｏｓｃａ  Ｇｉａｎｎｏｔｔｉ，Ｄｉｎｏ  Ｐｅｄｒｅｓｃｈｉ，Ｓａｌｖａｔｏｒｅ  Ｒｉｎｚｉｖｉｌｌｏ，Ｓｔｅｆａｎ  Ｗｒｏｂｅｌ：“Ｍｏｖｅｍｅｎｔ  Ｄａｔａ  Ａｎｏｎｙｍｉｔｙ  ｔｈｒｏｕｇｈ  Ｇｅｎｅｒａｌｉｚａｔｉｏｎ．”Ｔｒａｎｓａｃｔｉｏｎｓ  ｏｎ  Ｄａｔａ  Ｐｒｉｖａｃｙ  ３（２）：９１−１２１（２０１０）
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従来のリスク分析の事例としては、例えばｋ−匿名化を挙げることができる。これは、ワーストケースを考慮したリスク分析であり、最適化という視点に立てば必ずしも適した手法ではなかった。
従来手法では個人特定を試みる攻撃者の予備知識をモデルに加味していないため、個人特定の確率が実利用時の値より不当に高くなる可能性がある。
また、従来手法が用いる評価尺度では元データに実在しないデータ（ノイズ）を加える手法を正しく評価できない。具体的には、ノイズの量が反映されないため、同一の手法でもノイズの量が多い場合と少ない場合では評価手法の結果では区別がつかない（特定リスクが同一の場合はノイズがより少ない方がデータセットが良いと言える）。
【０００７】
本発明における課題は、匿名化されたデータが開示された場合において、当該データに含まれる個人が一意に特定されるリスクをより現実的なモデルにおいて定量的に分析する手法並びに定量化されたリスクを尺度として匿名化に使用するパラメータを最適化する手法を考案することにある。
【０００８】
本発明は、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを定量的に分析し、定量化されたリスクレベルを尺度として匿名化に使用するパラメータを最適化するリスク分析装置、方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
匿名化されたデータは、そのデータを構成する個人がそれぞれ１つのレコードに割り当てられているものとする。本手法は、匿名化されたデータから個人が一意に特定されるリスクレベルを定量的に評価する手法であって、まず、それぞれのレコードの個人特定リスクを定量的に評価し、定量化されたリスクに応じて、リスクの低いものからレコードを並べていき、ある尺度に従ってリスクレベルを定量化する手法である。
【００１０】
また、上記のようなリスクレベル定量化の手法であって、それぞれのレコードのリスクを評価する場合において、個人を特定しようとする攻撃者の予備知識の量に応じてリスクを算定し、ワーストケースをリスクの上限とする手法である。
【００１１】
また、上記のようなリスクレベル定量化手法であって、移動軌跡のデータに対して、その一部分、あるいは全部を知っていることを攻撃者の予備知識とし、既知である軌跡のノード数を予備知識の量として定量化する手法である。
【００１２】
又は、上記のようなリスクレベル定量化の手法であって、地点の匿名化処理に対し、元データに含まれる地点数の含有率を算出すると共に、匿名化処理において元データに実在しないデータの含有率を表わす数値を算出するリスクレベル定量化手法である。
【００１３】
また、上記のようなリスクレベル定量化手法であって、匿名化処理で用いたパラメータに基づいて算出された出力結果の件数に従い、前記の再現性（リコール）や含有率と比較し、パラメータを自動決定する匿名化パラメータ決定手法である。
【００１４】
さらに、以上のリスクレベル定量化手法を用いてリスクモデルを構築し、そのモデルにおいて利得が最大となる匿名化のためのパラメータを選択することによって、最適なパラメータを得る手法である。
【００１５】
具体的には、以下のような解決手段を提供する。
（１）  個人に関する情報を含む匿名化データから前記個人が一意に特定されるリスクレベルを分析するリスク分析装置であって、前記匿名化データを構成するレコードごとに、リスクを定量的に分析するリスク分析手段と、前記リスク分析手段によって分析された前記レコードごとの前記リスクに基づいて、特定の尺度に従って前記匿名化データのリスクレベルを定量化して算出するリスクレベル算出手段と、前記リスクレベル算出手段によって算出された前記リスクレベルを出力するリスクレベル出力手段と、を備えるリスク分析装置。
【００１６】
（１）の構成によれば、リスク分析装置は、匿名化データを構成するレコードごとに、リスクを定量的に分析し、分析したレコードごとのリスクに基づいて、特定の尺度（例えば、攻撃者の予備知識、含有率（再現率及び適合率のＦ−尺度））に従って匿名化データのリスクレベルを定量化して算出し、算出したリスクレベル（匿名化に使用するパラメータに対応する）を出力する。
【００１７】
したがって、（１）に係るリスク分析装置は、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを定量的に分析し、定量化されたリスクレベルを尺度として匿名化に使用するパラメータを最適化することができる。
【００１８】
（２）  前記リスク分析手段は、それぞれのレコードの前記リスクを評価する場合において、個人を特定しようとする攻撃者の予備知識の量に応じて前記リスクを算定する、（１）に記載のリスクレベル分析装置。
【００１９】
したがって、（２）に係るリスク分析装置は、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを攻撃者の予備知識を含めて定量的に分析することができる。
【００２０】
（３）  前記リスク分析手段は、移動軌跡のデータに対して、その一部分、あるいは全部を知っていることを前記攻撃者の予備知識とし、既知である軌跡のノード数を予備知識の量として定量化する、（２）に記載のリスクレベル分析装置。
【００２１】
したがって、（３）に係るリスク分析装置は、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを、攻撃者の予備知識の量に応じて定量的に分析することができる。
【００２２】
（４）  前記リスクレベル算出手段は、前記リスク分析手段によって定量化された前記リスクと閾値とを比較し、前記リスクが前記閾値以下である前記レコードの数が、前記匿名化データの前記レコードの総数に占める割合をリスクレベルとして算出する、（１）に記載のリスク分析装置。
【００２３】
したがって、（４）に係るリスク分析装置は、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを定量的に分析することができる。
【００２４】
（５）  前記リスクレベル算出手段は、匿名化される前の元データに含まれる属性であって前記匿名化データにも含まれる前記属性の個数が、前記元データに含まれる前記属性の総数に対する比率である再現率を算出する再現率算出手段と、前記元データに含まれる前記属性であって前記匿名化データにも含まれる前記属性の個数が、前記匿名化データに含まれる前記属性の総数に対する比率である適合率を算出する適合率算出手段と、前記再現率算出手段によって算出された前記再現率と、前記適合率算出手段によって算出された前記適合率とに基づいて特定の尺度を算出する尺度算出手段と、をさらに備え、前記リスクレベル算出手段は、前記尺度算出手段によって算出された前記特定の尺度に基づいて、匿名化のためのパラメータを算出する（４）に記載のリスク分析装置。
【００２５】
したがって、（５）に係るリスク分析装置は、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを、ノイズが加えられた匿名化データについて定量的に分析することができる。
【００２６】
（６）  （１）に記載のリスク分析装置が実行する方法であって、前記リスク分析手段が、前記匿名化データを構成するレコードごとに、リスクを定量的に分析するリスク分析ステップと、前記リスクレベル算出手段が、前記リスク分析ステップによって分析された前記レコードごとの前記リスクに基づいて、特定の尺度に従って前記匿名化データのリスクレベルを定量化して算出するリスクレベル算出ステップと、前記リスクレベル出力手段が、前記リスクレベル算出ステップによって算出された前記リスクレベルを出力するリスクレベル出力ステップと、を備える方法。
【００２７】
したがって、（６）に係る方法は、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを定量的に分析し、定量化されたリスクレベルを尺度として匿名化に使用するパラメータを最適化することができる。
【００２８】
（７）  コンピュータに、（６）に記載の方法の各ステップを実行させるためのプログラム。
【００２９】
したがって、（７）に係るプログラムは、コンピュータに、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを定量的に分析させ、定量化されたリスクレベルを尺度として匿名化に使用するパラメータを最適化させることができる。
【発明の効果】
【００３０】
本発明によれば、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを定量的に分析することができる。
さらに、本発明によれば、ノイズを加える匿名化手法を評価することが可能になり、滞在を表す地点の情報から個人が特定されるリスクを定量化でき、地点の匿名化パラメータを自動決定できる。
【図面の簡単な説明】
【００３１】
【図１】本発明の実施形態１に係るリスク分析装置の構成を示す図である。
【図２】本発明の実施形態１に係るリスク分析装置において、リスクが同一の値を持つ地点ごとにまとめた場合の例を示す図である。
【図３】本発明の実施形態１に係るリスク分析装置において、閾値以下のリスクの値を有するレコードの総数が、全体のレコードの総数に占める割合の例を示す図である。
【図４】本発明の実施形態１に係るリスク分析装置の処理を示すフローチャートである。
【図５】本発明の実施形態２に係るリスク分析装置の構成を示す図である。
【図６】本発明の実施形態２に係るリスク分析装置において、パラメータｋにおける再現率と個人が特定されるリスクとの関係の例を示す図である。
【図７】本発明の実施形態２に係るリスク分析装置において、パラメータｋにおける適合率と個人が特定されるリスクとの関係の例を示す図である。
【図８】本発明の実施形態２に係るリスク分析装置において、リスクの閾値とＦ−尺度との関係の例を示す図である。
【図９】本発明の実施形態２に係るリスク分析装置の処理を示すフローチャートである。
【発明を実施するための形態】
【００３２】
本実施形態において、個人に関する情報を含むデータ（元データと言う。）は、個人が一意に特定されないように、匿名化データ作成装置（図示せず）によって匿名化される。
リスク分析装置１０は、匿名化されたデータ（匿名化データと言う。）について、個人が一意に特定されるリスクレベルを分析する。
リスク分析装置１０によって分析されたリスクレベルに基づいて、個人が特定される可能性の小さい匿名化データが匿名化データ作成装置によって作成されることが可能となる。
以下、本発明の実施形態について、図を参照しながら説明する。
【００３３】
［実施形態１］
実施形態１のリスク分析装置１０は、個人を特定しようとする攻撃者の予備知識の量に応じてリスクを算定し、ワーストケースをリスクの上限とする。
【００３４】
具体的には、移動軌跡のデータに対して、その一部分、あるいは全部を知っていることを攻撃者の予備知識とし、既知である軌跡のノード数（例えば、軌跡を示す地点の数の割合）を予備知識の量として定量化する。
【００３５】
リスク分析装置１０は、匿名化データについて、（１）から（３）の手順によってリスク分析する。
（１）まず、匿名化データを構成するそれぞれのレコードについて、個人が特定されるリスクを定量的に評価する。
（２）レコードごとの定量化されたリスクに基づいて、リスクの低いものからレコードを並べる。
（３）攻撃者の予備知識を定めた場合において、匿名化データについてのリスクレベルを定量的に算出する。
【００３６】
具体的には、リスク分析装置１０は、リスク分析手段１１と、リスクレベル算出手段１２と、リスクレベル出力手段１３と、を備える。
【００３７】
リスク分析手段１１は、匿名化データを構成するレコードごとに、リスクを定量的に分析する。リスク分析手段１１は、それぞれのレコードのリスクを評価する場合において、個人を特定しようとする攻撃者の予備知識の量に応じてリスクを算定する。リスク分析手段１１は、移動軌跡のデータに対して、その一部分、あるいは全部を知っていることを攻撃者の予備知識とし、既知である軌跡のノード数（例えば、移動した軌跡を示す位置情報の数）を予備知識の量として定量化する。
【００３８】
リスクレベル算出手段１２は、リスク分析手段１１によって分析されたレコードごとのリスクに基づいて、特定の尺度（例えば、攻撃者の予備知識）に従って匿名化データのリスクレベルを定量化して算出する。具体的には、リスクレベル算出手段１２は、リスク分析手段１１によって定量化されたリスクと閾値とを比較し、リスクが閾値以下であるレコードの数が、匿名化データのレコードの総数に占める割合をリスクレベルとして算出する。
【００３９】
リスクレベル出力手段１３は、リスクレベル算出手段１２によって算出されたリスクレベルを出力する。具体的には、リスクレベル出力手段１３は、攻撃者の予備知識の量であってユーザによって指定された予備知識の量を受け付け、受け付けた予備知識の量に対応するパラメータｋの値を算出し、算出したパラメータｋの値をリスクレベルとして出力する。
【００４０】
上述の内容を、各個人の軌跡データを例として、以下に示す。例えば、各個人の軌跡が、数１のように表わされる場合について説明する。
ここで、Ａ〜Ｓは位置を示し、Ａ→Ｂにより個人が移動した軌跡を示している。
【００４１】
【数１】
2015176496.tif 000003
【００４２】
数１で表わされる元データについて、匿名化データは、数２で表わされるようなデータである。
【数２】
2015176496.tif 000004
【００４３】
数２によって表わされるように、匿名化データは、個人が特定されないように、ｔ１〜ｔ６やｔ８、ｔ９のように属性（例えば、軌跡を示す地点）が加工されている。また、ｔ７は直前のデータｔ６により、ｔ１０は直前のデータｔ９により、それぞれ匿名化のパラメータｋの条件を満たすように加工されている。
【００４４】
このとき、リスクはそれぞれ数３のように評価される。
【００４５】
【数３】
2015176496.tif 000005
【００４６】
すなわち、軌跡を表わす位置の頻度の逆数を定量的な評価とする。例えば、位置「Ａ」は７つのレコードに出現するので、Ａを含むレコードのリスクは１／７になる。
次に、リスクが同一の値を持つ地点ごとにまとめ、匿名化データに対するまとめた地点の割合を求める。
【００４７】
図２は、リスクが同一の値を持つ地点ごとにまとめた場合の例を示す図である。図２の例は、リスク分析装置１０が分析した結果、匿名化されたデータのうち、リスクが０であるレコードが５０％、リスクが１／７であるレコードが２０％、リスクが１／６であるレコードが１０％、リスクが１／３であるレコードが１５％であることを示す例である。
【００４８】
このようなリスクの値を積算すると、例えば、リスクの値が閾値以下である地点の割合が求められ、図３の様なグラフとなる。
図３は、閾値以下のリスクの値を有するレコードの総数が、全体のレコードの総数に占める割合の例を示す図である。図３において、横軸はリスクの閾値、縦軸は攻撃者の予備知識レベルを示している。
図２のようなリスク分析結果から、リスクの閾値が０．０１以下が５０％、０．１５以下が７０％（５０％＋２０％）、０．１７以下が８０％（５０％＋２０％＋１０％）、０．３５以下が９５％（５０％＋２０％＋１０％＋１５％）というような値になり、レコードの割合を攻撃者の予備知識に対応させて、図３のようなグラフに表現することができる。
なお、図３は、属性（例えば、地点数）が３つの場合（ｈ＝３）のグラフと、属性（例えば、地点数）が５つの場合（ｈ＝５）のグラフとの例を示している。
【００４９】
したがって、攻撃者の知識レベルを固定すれば、選択すべきパラメータｋの値を求めることができる。
例えば、攻撃者の知識レベルを９５％とし、属性が３つの場合（ｈ＝３）とすると、選択すべきパラメータｋの値は、例えば、１００００となる。
【００５０】
図４は、本発明の実施形態１に係るリスク分析装置１０の処理を示すフローチャートである。リスク分析装置１０は、コンピュータ及びその周辺装置が備えるハードウェア並びに該ハードウェアを制御するソフトウェアによって構成され、以下の処理は、制御部（例えば、リスク分析装置１０のＣＰＵ）が所定のソフトウェアに従い実行する処理である。
【００５１】
ステップＳ１０１において、ＣＰＵ（リスク分析手段１１）は、匿名化データを取得する。より具体的には、ＣＰＵは、匿名化パラメータｋの匿名化データを取得する。
【００５２】
ステップＳ１０２において、ＣＰＵ（リスク分析手段１１）は、レコードごとのリスクを算出する。より具体的には、ＣＰＵは、匿名化データを構成するレコードにおいて個人を特定する属性が出現する頻度を算出し、算出した頻度の逆数を求める。
【００５３】
ステップＳ１０３において、ＣＰＵ（リスクレベル算出手段１２）は、算出したリスクに基づいて匿名化データのリスクレベルを攻撃者の予備知識に応じて算出する。より具体的には、ＣＰＵは、ステップＳ１０２において算出されたリスクと閾値とを比較し、リスクが閾値以下であるレコードの数が、匿名化データのレコードの総数に占める割合をリスクレベルとして算出する。
【００５４】
ステップＳ１０４において、ＣＰＵ（リスクレベル出力手段１３）は、算出したリスクレベルを出力する。
【００５５】
［実施形態２］
実施形態２では、それぞれのレコードのリスクを評価する場合において、元データに含まれる属性（例えば、滞在した地点を表わすデータ）が匿名化データに含まれる率である含有率を算出し、算出した含有率に応じてリスクを算定する。
前提として、匿名化パラメータｋによって匿名化データを作成する装置があり、地点を含む移動データを入力することで、匿名化された地点の集合（例えば、匿名化された移動データ）が得られるものとする。
【００５６】
リスク分析装置１０は、リスク分析手段１１と、リスクレベル算出手段１２と、リスクレベル出力手段１３と、を備え、リスクレベル算出手段１２は、再現率算出手段１２１と、適合率算出手段１２２と、尺度算出手段１２３と、をさらに備える。リスク分析手段１１及びリスクレベル出力手段１３は、実施形態１と同様である。
【００５７】
再現率算出手段１２１は、匿名化される前の元データに含まれる属性であって匿名化データにも含まれる属性の個数が、元データに含まれる属性の総数に対する比率である再現率を算出する。
適合率算出手段１２２は、元データに含まれる属性であって匿名化データにも含まれる属性の個数が、匿名化データに含まれる属性の総数に対する比率である適合率を算出する。
尺度算出手段１２３は、再現率算出手段１２１によって算出された再現率と、適合率算出手段１２２によって算出された適合率とに基づいて特定の尺度（例えば、Ｆ−尺度）を算出する。
【００５８】
個人に関する情報として個人が滞在した地点の情報を含む移動データを例として、上述の内容を説明する。
【００５９】
リスクレベル算出手段１２は、以下の３つの評価値（再現率、適合率、Ｆ−尺度）を算出する。３つの評価値は、次のように定義される。
再現率（Ｒｅｃａｌｌ）：（ＮｏＰ（Ｂ）∧ＮｏＰ（Ａ））／ＮｏＰ（Ｂ）
適合率（Ｐｒｅｃｉｓｉｏｎ）：（ＮｏＰ（Ｂ）∧ＮｏＰ（Ａ））／ＮｏＰ（Ａ）
Ｆ−尺度（Ｆ−Ｍｅａｓｕｒｅ）：適合率と再現率の調和平均
【００６０】
ここで、ＮｏＰ（Ａ）、ＮｏＰ（Ｂ）、ＮｏＰ（Ｂ）∧ＮｏＰ（Ａ）は、それぞれ次のように定義される。
ＮｏＰ（Ａ）：匿名化処理をした後の匿名化データに含まれる属性（例えば、地点）の集合
ＮｏＰ（Ｂ）：匿名化処理をする前の元データに含まれる属性（例えば、地点）の集合
ＮｏＰ（Ｂ）∧ＮｏＰ（Ａ）：元データにも、匿名化データにも含まれる属性（例えば、地点）の集合
【００６１】
リスク分析装置１０は、以下の（１）〜（４）の処理を匿名化パラメータｋを２，３，・・・と増やしながら実施する。
（１）匿名化データを構成するレコードに含まれる地点を、同じ地点ごとに数えて地点の頻度を算出し、算出した頻度（ｎ）の逆数を求め、その地点のリスク（１／ｎ）とする。
（２）同一のリスクを持つ地点ごとにまとめる。
例えば、リスクが０．３３である地点同士、リスクが０．０２である地点同士、リスクが０．０１である地点同士をまとめる。
（３）リスクの値が小さい地点の集合から順に、それらの集合に含まれる地点に基づいて、それらの地点の集合における再現率を求める。
（４）このとき、ｎ番目に小さいエリアの集合から再現率を求める際に、１，２，・・・ｎ番目までの小さいエリアの集合を累積した結果から再現率を求める。
例えば、リスクが０．０１である地点同士の集合において、再現率を算出する。次に、リスクが０．０２である地点同士の集合において再現率を算出する際に、リスクが０．０１である地点同士の集合を累積した結果から再現率を算出する。同様に、リスクが０．３３である地点同士の集合において再現率を算出する際に、リスクが０．０１から０．３３までの地点同士の集合を累積した結果から再現率を算出する。
このように算出して結果をグラフに表わすと、図６のようなグラフに表現される。
図６は、パラメータｋにおける再現率と個人が特定されるリスクとの関係の例を示す図である。図６において、縦軸は再現率、横軸は個人が特定されるリスク（確率）である。
【００６２】
再現率と同様に、適合率でも同様に計算する。
すなわち、リスクの値が小さい地点の集合から順に、それらの集合に含まれる地点に基づいて、それらの地点の集合における適合率を求める。
このとき、ｎ番目に小さいエリアの集合から適合率を求める際に、１，２，・・・ｎ番目までの小さいエリアの集合を累積した結果から適合率を求める。
このように算出して結果をグラフに表わすと、図７のようなグラフに表現される。
図７は、パラメータｋにおける適合率と個人が特定されるリスクとの関係の例を示す図である。図７において、縦軸は再現率、横軸は個人が特定されるリスク（確率）である。
【００６３】
最後に横軸の各項目に対し、適合率と再現率との調和平均であるＦ−尺度を求め、最大となる点を選択する。
すなわち、リスク値についての閾値ｔを設定する（０＜ｔ＜１／ｋ）。
横軸の各項目に対し、適合率と再現率との調和平均であるＦ−尺度を求める。Ｆ−尺度（Ｆ−Ｍｅａｓｕｒｅ）は一般に以下の公式で求められる：
Ｆ−Ｍｅａｓｕｒｅ＝（２＊Ｒｅｃａｌｌ＊Ｐｒｅｃｉｓｉｏｎ）／（Ｒｅｃａｌｌ＋Ｐｒｅｃｉｓｉｏｎ）
【００６４】
図８は、リスクの閾値とＦ−尺度との関係の例を示す図である。図８（１）の例は、匿名化パラメータｋが３の場合の例であり、図８（２）の例は、匿名化パラメータｋが４の場合の例であり、図８（３）の例は、匿名化パラメータｋが５の場合の例である。
この例ではｋ＝３，ｔ＝０．１５のときのＦ−尺度が最大となったため、これらのパラメータを確定させ、ｋ＝３のときにリスクが０．１５以下に該当する地点のみを含むデータを出力結果とする。
【００６５】
なお、匿名化データの用途によって、適合率や再現率のどちらかをより重視する可能性があるため、そのときは代わりにＥ−尺度（Ｅ−ｍｅａｓｕｒｅ）を用いても良い。
Ｅ−Ｍｅａｓｕｒｅ＝（１−（１＋ｂ２））／（（ｂ２／Ｒｅｃａｌｌ）＋（１／Ｐｒｅｃｉｓｉｏｎ））
ここで、ｂは重み係数であり、０から１の間の値を取る。出力結果に応じてｂの値を調整しても良い。
【００６６】
図９は、本発明の実施形態２に係るリスク分析装置１０の処理を示すフローチャートである。
【００６７】
ステップＳ２０１において、ＣＰＵ（リスク分析手段１１）は、匿名化データを取得する。より具体的には、ＣＰＵは、匿名化パラメータｋ（初期値を２とする）の匿名化データを取得する。
【００６８】
ステップＳ２０２において、ＣＰＵ（リスク分析手段１１）は、レコードごとのリスクを算出する。より具体的には、ＣＰＵは、匿名化データを構成するレコードにおいて個人を特定する属性が出現する頻度を算出し、算出した頻度の逆数を求める。
【００６９】
ステップＳ２０３において、ＣＰＵ（リスクレベル算出手段１２）は、算出したリスク値ごとにまとめる。より具体的には、ＣＰＵは、同一のリスク値である属性（例えば、地点）ごとにまとめる。
【００７０】
ステップＳ２０４において、ＣＰＵ（リスクレベル算出手段１２、再現率算出手段１２１、適合率算出手段１２２）は、まとめたリスク値ごとの再現率及び適合率を、リスク値ごとを累積しながら求める。より具体的には、ＣＰＵは、リスクの値が小さい属性（例えば、地点）の集合から順に、それらの集合に含まれる属性（例えば、地点）に基づいて、それらの属性（例えば、地点）の集合における再現率及び適合率を求める。このとき、ＣＰＵは、ｎ番目に小さいエリアの集合から再現率及び適合率を求める際に、１，２，・・・ｎ番目までの小さいエリアの集合を累積した結果から再現率及び適合率を求める。
【００７１】
ステップＳ２０５において、ＣＰＵ（尺度算出手段１２３）は、再現率と適合率とのＦ−尺度を算出する。
【００７２】
ステップＳ２０６において、ＣＰＵ（リスクレベル算出手段１２）は、終了か否かを判断する。具体的には、ＣＰＵは、匿名化パラメータｋが所定の値（例えば、ユーザによって指定された値）以上か否かを判断する。この判断がＹＥＳの場合、ＣＰＵは、処理をステップＳ２０７に移し、この判断がＮＯの場合、ＣＰＵは、処理をステップＳ２０８に移す。
【００７３】
ステップＳ２０７において、ＣＰＵ（リスクレベル算出手段１２、リスクレベル出力手段）は、最大のＦ−尺度に対するリスク値の閾値を求め、出力する。その後、ＣＰＵは、処理を終了する。
【００７４】
ステップＳ２０８において、ＣＰＵ（リスクレベル算出手段１２）は、匿名化パラメータｋを増加（＋１）させる。その後、ＣＰＵは、処理をステップＳ２０１に移す。
【００７５】
本実施形態１によれば、リスク分析装置１０は、匿名化データを構成するレコードごとに、リスクを定量的に分析し、分析したレコードごとのリスクに基づいて、攻撃者の予備知識に従って匿名化データのリスクレベルを定量化して算出し、算出したリスクレベル（匿名化に使用するパラメータに対応する）を出力する。
本実施形態２によれば、リスク分析装置１０は、匿名化データを構成するレコードごとに、リスクを定量的に分析し、分析したレコードごとのリスクに基づいて、特定の尺度（例えば、含有率（再現率及び適合率のＦ−尺度））に従って匿名化データのリスクレベルを定量化して算出し、算出したリスクレベル（匿名化に使用するパラメータに対応する）を出力する。
したがって、リスク分析装置１０は、匿名化されたデータにおいて、当該データに含まれる個人が一意に特定されるリスクレベルを定量的に分析することができる。さらに、本発明によれば、ノイズを加える匿名化手法を評価することが可能になり、滞在を表す地点の情報から個人が特定されるリスクを定量化でき、地点の匿名化パラメータを自動決定できる。
【００７６】
以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。
【符号の説明】
【００７７】
１０    リスク分析装置
１１    リスク分析手段
１２    リスクレベル算出手段
１２１  再現率算出手段
１２２  適合率算出手段
１２３  尺度算出手段
１３    リスクレベル出力手段
【図１】
2015176496.tif 000006
【図２】
2015176496.tif 000007
【図３】
2015176496.tif 000008
【図４】
2015176496.tif 000009
【図５】
2015176496.tif 000010
【図６】
2015176496.tif 000011
【図７】
2015176496.tif 000012
【図８】
2015176496.tif 000013
【図９】
2015176496.tif 000014