(57)【特許請求の範囲】
【請求項１】
複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する記憶部と、
前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する属性抽出部と、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出するエントリ抽出部と、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出する影響度算出部と、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付けるリスク情報作成部と、
を有することを特徴とする漏洩リスク提供装置。
【請求項２】
前記属性抽出部は、前記属性の組み合わせに含まれる前記属性の前記機微度の積を用いて前記漏洩リスクを算出する、
ことを特徴とする請求項１に記載の漏洩リスク提供装置。
【請求項３】
さらに、前記抽出された組み合わせにおける前記漏洩リスクが高い順に、前記影響度が所定の条件を満たす属性と対応付けられた前記抽出された組み合わせをリスク情報として出力する出力制御部、
を有することを特徴とする請求項１または２に記載の漏洩リスク提供装置。
【請求項４】
前記出力制御部は、前記抽出された組み合わせに対応する前記抽出されたエントリの情報を前記リスク情報に含めて出力する、
ことを特徴とする請求項３に記載の漏洩リスク提供装置。
【請求項５】
前記出力制御部は、前記抽出された組み合わせに対応付ける前記属性の前記機微度が高い前記抽出されたエントリを優先して前記リスク情報を出力する、
ことを特徴とする請求項４に記載の漏洩リスク提供装置。
【請求項６】
前記出力制御部は、前記抽出された組み合わせに、前記機微度が高い前記属性を優先して対応付けて前記リスク情報を出力する、
ことを特徴とする請求項３〜５のいずれか１つに記載の漏洩リスク提供装置。
【請求項７】
前記出力制御部は、前記抽出された組み合わせに対応する前記抽出されたエントリ数を前記リスク情報に含めて出力する、
ことを特徴とする請求項３〜６のいずれか１つに記載の漏洩リスク提供装置。
【請求項８】
前記属性抽出部は、前記属性の組み合わせに、他の前記属性の組み合わせが含まれる場合には、他の前記属性の組み合わせが含まれる前記属性の組み合わせを除外して、前記漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する、
ことを特徴とする請求項１〜７のいずれか１つに記載の漏洩リスク提供装置。
【請求項９】
複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する記憶部に記憶された前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出し、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出し、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出し、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける、
処理をコンピュータが実行することを特徴とする漏洩リスク提供方法。
【請求項１０】
複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する記憶部に記憶された前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出し、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出し、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出し、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける、
処理をコンピュータに実行させることを特徴とする漏洩リスク提供プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、漏洩リスク提供装置、漏洩リスク提供方法および漏洩リスク提供プログラムに関する。
【背景技術】
【０００２】
各行に個人の情報を格納した個票データを、プライバシーに配慮しつつ多くの情報が残るように変換したい要望がある。このような個票データの変換は匿名化と呼ばれる。匿名化された個票データは、例えば、プライバシーに配慮しつつ第三者に販売されることで、利活用範囲を広げることができる。ところが、利活用範囲が広い有用性の高い個票データは、匿名性と有用性とがトレードオフの関係であるので、プライバシーの漏洩リスク（以下、単にリスクともいう。）が高くなる。
【０００３】
個票データの提供者は、なるべく有用性を高く保ちつつ、十分な匿名性を確保するために、リスクを評価することで、個票データの情報量を決定する。リスク評価は、例えば、ＪＯモデルと呼ばれる個人情報漏洩事件による損害賠償額の算出モデルを用いて、漏洩個人情報価値を金額として算出することができる。また、他のリスク評価としては、ｋ−匿名性と呼ばれる、度数分布を用いて度数の最小の値ｋをリスク指標とし、ｋが小さい程リスクが小さいとする手法がある。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】“ＮＰＯ日本ネットワークセキュリティ協会「２００３年度情報セキュリティインシデントに関する調査報告書」，２００４年３月３１日”，［Online］，［平成２８年２月５日検索］、インターネット＜http://www.jnsa.org/active/2003/active2003_1a.html>
【非特許文献２】Latanya  Sweeney.  k-anonymity:  a  model  for  protecting  privacy.  Int.J.Uncertain.  Fuzziness  Knowl.-Based  Syst.,  Vol.10,  October  2002,  pp.557-570.
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述のリスク評価手法では、提供者は、評価の結果に基づいてリスクが高すぎると判断した場合には、さらなる匿名化を検討するが、金額やリスク指標では、どのように匿名化すればよいか検討することは難しい。このため、上述のリスク評価手法では、有用性を高く保ちつつ、十分な匿名性を確保できるように匿名化するための具体的な情報を得ることは困難である。
【０００６】
一つの側面では、本発明は、漏洩リスクの判断の精度を高めることができる漏洩リスク提供装置、漏洩リスク提供方法および漏洩リスク提供プログラムを提供することにある。
【課題を解決するための手段】
【０００７】
一つの態様では、漏洩リスク提供装置は、記憶部と、属性抽出部と、エントリ抽出部と、影響度算出部と、リスク情報作成部とを有する。記憶部は、複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する。属性抽出部は、前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する。エントリ抽出部は、前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出する。影響度算出部は、前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出する。リスク情報作成部は、前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける。
【発明の効果】
【０００８】
漏洩リスクの判断の精度を高めることができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、実施例の漏洩リスク提供装置の構成の一例を示すブロック図である。
【図２】図２は、個票データの一例を示す図である。
【図３】図３は、個票データの匿名化の一例を示す図である。
【図４】図４は、リスク情報の一例を示す図である。
【図５】図５は、リスク情報の他の一例を示す図である。
【図６】図６は、個票データ記憶部の一例を示す図である。
【図７】図７は、優先度情報記憶部の一例を示す図である。
【図８】図８は、リスク情報記憶部の一例を示す図である。
【図９】図９は、実施例のリスク提供処理の一例を示すフローチャートである。
【図１０】図１０は、リスク情報記憶部の処理途中の一例を示す図である。
【図１１】図１１は、漏洩リスク提供プログラムを実行するコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１０】
以下、図面に基づいて、本願の開示する漏洩リスク提供装置、漏洩リスク提供方法および漏洩リスク提供プログラムの実施例を詳細に説明する。なお、本実施例により、開示技術が限定されるものではない。また、以下の実施例は、矛盾しない範囲で適宜組みあわせてもよい。
【実施例】
【００１１】
図１は、実施例の漏洩リスク提供装置の構成の一例を示すブロック図である。図１に示す漏洩リスク提供装置１００は、個票データと、優先度情報と、閾値群とを受け付ける。漏洩リスク提供装置１００は、受け付けた個票データと、優先度情報と、閾値群とを記憶部１２０に記憶する。すなわち、漏洩リスク提供装置１００では、優先度情報に基づいて、複数の属性が与えられたエントリの集合である個票データにおける属性のそれぞれに機微度を対応付けるテーブルが記憶部１２０に記憶される。漏洩リスク提供装置１００は、機微度に基づいて、属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する。漏洩リスク提供装置１００は、抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出する。漏洩リスク提供装置１００は、機微度に基づいて、抽出されたエントリにおける抽出された組み合わせに含まれる属性以外の属性の影響度を算出する。漏洩リスク提供装置１００は、抽出された組み合わせと、影響度が所定の条件を満たす属性とを対応付ける。これにより、漏洩リスク提供装置１００は、漏洩リスクの判断の精度を高めることができる。
【００１２】
ここで、図２から図５を用いて、個票データの匿名化およびリスク情報について説明する。図２は、個票データの一例を示す図である。図２に示すように、個票データ２０は、各行に個人情報を格納した２次元の表である。図２の例では、個票データ２０は、「患者ＩＤ（IDentifier）」、「生年」、「性別」、「国籍」、「診察結果」といった属性を示す項目を有する。なお、行番号は、説明のために付したものである。個票データ２０を匿名化する場合には、例えば各属性の情報を一般化する。例えば、属性「生年」の一般化では、値「１１」について、２０未満の数値であることを表す「＜２０」、不明な１文字の数字を表す「？」を用いる「１？」、不明な文字列を表す「＊」を用いる「＊」といった変換が行われる。なお、本実施例では、値「１１」を「２？」に変換するといった、虚偽のデータは含まれないものとする。なお、一般化では、ある属性について、全行を「＊」に一般化することは、当該属性情報の削除と実質的に同一視できる場合があるので、属性削除も一般化の一形態とする。
【００１３】
図３は、個票データの匿名化の一例を示す図である。図３に示す個票データ２１は、図２に示す個票データ２０に対して、属性「患者ＩＤ」を削除し、属性「生年」について一般化を行った一例である。個票データ２１では、属性「生年」について、値が２０未満である場合に「＜２０」に一般化し、値が２０以上である場合に、数値の一の位を「？」に一般化したものである。このように、個票データ２１は、「患者ＩＤ」の情報は使用できず、「生年」も１０年単位でしか判らなくなっており、個票データ２０と比較して情報量が少なくなっている。一般的には、匿名化を行うと情報量が減ってリスクも低減する。
【００１４】
例えば、個票データ２０と個票データ２１とにおけるリスクについて比較する。個票データ２０において、攻撃者は、例えば母集団に｛生年：１１｝の人物が１人しかいないこと、および、当該属性を持つ人物を知っているが、当該人物の「診断結果」を知らない場合がある。この場合には、攻撃者が個票データ２０を見ることで当該人物が行番号「１」に該当し、当該人物が｛診断結果：肝炎｝であることを知ることができてしまうというリスクがある。なお、｛生年：１１｝は、属性「生年」の値が「１１」であることを示す。また、｛診断結果：肝炎｝は、属性「診断結果」が「肝炎」であることを示す。以下、属性と値とについて同様に記載する場合がある。
【００１５】
これに対し、個票データ２１では、属性「生年」が一般化されているため、人物を一意に特定できる可能性が低減されている。例えば、母集団に｛生年：＜２０｝の人物が複数いる場合には、全体のリスクが低減されている。しかしながら、個票データ２１を活用する場合には、特定個人の情報を知る必要はないので、属性「患者ＩＤ」が削除されていても問題ない。また、属性「生年」の情報は、１０年単位でも役立つ知見を得られる可能性があり、個票データ２１でも価値がある状況があり得る。なお、リスクを最小化する匿名化は、全属性を削除することであるが、この場合には、リスクはなくなるが、二次活用の可能性もなくなることとなる。
【００１６】
図４は、リスク情報の一例を示す図である。図４に示すリスク情報２２は、図２に示す個票データ２０を入力とした場合におけるリスク情報の一例である。図４に示すように、リスク情報２２は、「属性組み合わせ」、「行の数」、「行番号」、「特定情報」、「影響情報」といった項目を有する。「属性組み合わせ」は、個票データ２０に対して行を特定できる属性の組み合わせを示す。「行の数」は、属性組み合わせで特定できる行の数を示す。「行番号」は、特定できる行のうち、予め定められた所定の行数未満の行を一例として、例示する行番号を示す。「特定情報」は、特定できる行のうち、例示された行番号を特定するための属性値を示す。つまり、「特定情報」は、例示された行番号の行を特定するのに最小限必要な属性の情報である。「影響情報」は、例示された行番号の行における、属性組み合わせに用いた属性を除いた他の属性のうち、行が特定されたことにより判明する属性の属性値を示す。なお、「影響情報」は、判明する属性の属性値のうち、機微度が高い属性の属性値を優先して表示するようにしてもよい。
【００１７】
図４の１行目および２行目の例では、属性組み合わせが「患者ＩＤ」である場合に、行の数は「１０００」であり、属性「患者ＩＤ」単独の値で１０００行が特定できる。なお、個票データ２０は、全部で１０００行あるものとするので、属性「患者ＩＤ」単独の値で全行が特定できることになる。行番号「３」は、特定情報｛患者ＩＤ：１０３｝で特定でき、影響情報は｛診察結果：異食症，国籍：中国｝であることが判る。
【００１８】
また、３行目の例では、属性組み合わせが「生年」と「性別」との組み合わせの値で１行が特定できる。さらに、特定された行番号「１」は、特定情報｛生年：１１，性別：男｝、影響情報｛診察結果：肝炎，国籍：日本｝であることが判る。このとき、攻撃者は、特定情報｛生年：１１，性別：男｝を持つ人物が母集団において１人であることを知っている場合、当該人物の影響情報｛診察結果：肝炎，国籍：日本｝を知ることができてしまうことになる。すなわち、図２に示す個票データ２０では、図４に示すリスク情報２２に基づいて、属性「患者ＩＤ」や属性「生年」は特定性が高く、匿名化の対象として効果的であると推定できる。
【００１９】
図５は、リスク情報の他の一例を示す図である。図５に示すリスク情報２３は、図３に示す個票データ２１を入力とした場合におけるリスク情報の一例である。リスク情報２３は、リスク情報２２と比較して特定できる行が２行に減少している。リスク情報２３の１行目の例では、特定情報｛生年：７？，性別：男，国籍：日本｝で行が特定できる。しかしながら、提供者は、例えば、この様な属性値を持つ人物が母集団に十分多く存在すると判断した場合には、このリスクを許容できると決断できる場合がある。同様に、２行目の例では、特定情報｛診察結果：異食症｝で行が特定できるが、例えば影響情報｛国籍：中国｝について影響が小さい情報であると提供者が判断した場合には、このリスクを許容できると決断できる場合がある。
【００２０】
次に、図１の説明に戻って、漏洩リスク提供装置１００の構成について説明する。図１に示すように、漏洩リスク提供装置１００は、入力部１１０と、表示部１１１と、操作部１１２と、記憶部１２０と、制御部１３０とを有する。なお、漏洩リスク提供装置１００は、図１に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイス等の機能部を有することとしてもかまわない。漏洩リスク提供装置１００の一例としては、据置型のパーソナルコンピュータを採用できる。漏洩リスク提供装置１００には、上記の据置型のパーソナルコンピュータのみならず、可搬型のパーソナルコンピュータを漏洩リスク提供装置１００として採用することもできる。また、漏洩リスク提供装置１００は、可搬型の端末としては、上記の可搬型のパーソナルコンピュータの他にも、例えば、タブレット端末を採用することもできる。
【００２１】
入力部１１０は、例えば、光学ディスク、ＵＳＢ（Universal  Serial  Bus）メモリ、ＳＤメモリカード等の外部記憶媒体に対する媒体アクセス装置等によって実現される。入力部１１０は、外部記憶媒体に記憶された個票データＴ、優先度情報Ｓおよび閾値群Ｐを読み取って、読み取った個票データＴ、優先度情報Ｓおよび閾値群Ｐを制御部１３０に出力する。
【００２２】
表示部１１１は、各種情報を表示するための表示デバイスである。表示部１１１は、例えば、表示デバイスとして液晶ディスプレイ等によって実現される。表示部１１１は、制御部１３０から入力された出力画面等の各種画面を表示する。
【００２３】
操作部１１２は、漏洩リスク提供装置１００のユーザから各種操作を受け付ける入力デバイスである。操作部１１２は、例えば、入力デバイスとして、キーボードやマウス等によって実現される。操作部１１２は、ユーザによって入力された操作を操作情報として制御部１３０に出力する。なお、操作部１１２は、入力デバイスとして、タッチパネル等によって実現されるようにしてもよく、表示部１１１の表示デバイスと、操作部１１２の入力デバイスとは、一体化されるようにしてもよい。
【００２４】
記憶部１２０は、例えば、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。記憶部１２０は、個票データ記憶部１２１と、優先度情報記憶部１２２と、閾値記憶部１２３と、リスク情報記憶部１２４とを有する。また、記憶部１２０は、制御部１３０での処理に用いられる情報を記憶する。
【００２５】
個票データ記憶部１２１は、漏洩リスクの提供対象となる個票データを記憶する。個票データは、複数の属性が与えられたエントリの集合である。図６は、個票データ記憶部の一例を示す図である。図６に示すように、個票データ記憶部１２１は、「行番号」、「生年」、「国籍」、「診察結果」といった項目を有する。なお、「行番号」は、元の個票データにない場合には付加してもよいし、「行番号」が識別可能なデータ構造であれば、項目としてはなくてもよい。個票データ記憶部１２１は、例えば、エントリごとに１レコードとして記憶する。
【００２６】
「行番号」は、個票データのエントリの番号、つまりレコード番号を示す情報である。「生年」は、個票データのエントリに対応する人物の生年を示す情報である。「国籍」は、個票データのエントリに対応する人物の国籍を示す情報である。「診察結果」は、個票データのエントリに対応する人物の診察結果を示す情報である。図６の１行目の例では、行番号「１」の人物は、生年「４？」、国籍「日本」および診察結果「肺癌」であることを示す。
【００２７】
図１の説明に戻って、優先度情報記憶部１２２は、優先度に用いる個票データの属性の機微度の情報を記憶する。言い換えると、優先度情報記憶部１２２は、複数の属性が与えられたエントリの集合である個票データにおける属性のそれぞれに機微度を対応付けるテーブルである。図７は、優先度情報記憶部の一例を示す図である。図７に示すように、優先度情報記憶部１２２は、属性の機微度を示す属性テーブル１２２ａと、属性値の機微度を示す属性値テーブル１２２ｂとを有する。属性テーブル１２２ａは、「属性」、「機微度」、「属性値の機微度情報」といった項目を有する。
【００２８】
「属性」は、個票データの属性を示す情報である。「機微度」は、当該属性における機微度を示す情報である。「機微度」は、正の数であり、値が大きいほど機微であることを示す。「機微度」は、機微性を例えば１〜１００の範囲で定量化した情報である。なお、数値の範囲は、任意の範囲を用いることができる。「属性値の機微度情報」は、例えば属性値がさらに機微度を持つ場合に、それぞれの属性値の機微度を示す属性値テーブル１２２ｂへのポインタを示す情報である。また、「属性値の機微度情報」は、例えば属性値がさらに機微度を持たない場合には、例えば「×」で示される。
【００２９】
属性値テーブル１２２ｂは、「属性値」、「機微度」といった項目を有する。「属性値」は、属性に対応する属性値を示す情報である。「機微度」は、当該属性値における機微度を示す情報である。なお、優先度情報記憶部１２２では、属性の機微度と、属性値の機微度との尺度を合わせるため、属性値の機微度の最大値は属性の機微度とする。図７の例では、属性テーブル１２２ａにおいて、属性「生年」は、機微度「２」、属性値の機微度情報「×」である。また、属性「診察結果」の機微度の最大値は、属性値の機微度の最大値の「１００」であり、属性値の機微度情報は属性値テーブル１２２ｂへのポインタである。また、図７の例では、属性値テーブル１２２ｂにおいて、例えば、属性値「風邪」は機微度「２」、属性値「肝炎」は機微度「８０」である。
【００３０】
図１の説明に戻って、閾値記憶部１２３は、閾値群Ｐを記憶する。閾値記憶部１２３は、閾値群Ｐとして、例えば、閾値ｐ１、ｐ２、ｐ３といった閾値を記憶する。閾値ｐ１は、属性組み合わせの度数分布に関する閾値であり、度数が閾値ｐ１未満のエントリ（行）を判定するためのものである。閾値ｐ２は、リスク情報の属性組み合わせで特定できる行の数が多い場合に、出力するエントリの数（行数）を決定する閾値である。閾値ｐ３は、リスク情報の属性組み合わせで特定できる行の数が多い場合に、既に処理済みである属性組み合わせを包含する属性組み合わせについて、処理対象から除外するか否かを判定するための閾値である。閾値群Ｐは、例えば、閾値ｐ１＝２、閾値ｐ２＝３、および、閾値ｐ３＝２とすることができる。
【００３１】
リスク情報記憶部１２４は、リスク情報を記憶する。図８は、リスク情報記憶部の一例を示す図である。図８に示すように、リスク情報記憶部１２４は、「属性組み合わせ」、「行の数」、「行番号」、「特定情報」、「影響情報」といった項目を有する。リスク情報記憶部１２４は、例えば、属性組み合わせごとに閾値ｐ２未満のエントリ（行）を対応付けて記憶する。
【００３２】
「属性組み合わせ」は、受け付けた個票データに対して行を特定できる属性の組み合わせを示す情報である。「行の数」は、属性組み合わせで特定できる行の数を示す情報である。「行番号」は、特定できる行のうち、予め定められた所定の行数未満の行を一例として、例示する行番号を示す情報である。「特定情報」は、特定できる行のうち、例示された行番号を特定するための属性値を示す情報である。「影響情報」は、例示された行番号の行における、属性組み合わせに用いた属性を除いた他の属性のうち、行が特定されたことにより判明する属性の属性値を示す情報である。図８の１行目の例では、属性組み合わせが｛生年，国籍｝である場合に、特定できる行の数は「１」行であり、行番号「３」が特定情報｛生年：４？，国籍：中国｝で特定され、影響情報が｛診察結果：肝炎｝であることを示す。
【００３３】
図１の説明に戻って、制御部１３０は、例えば、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、例えば、ＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路により実現されるようにしてもよい。制御部１３０は、受付部１３１と、高リスク属性抽出部１３２と、孤立エントリ抽出部１３３と、影響度算出部１３４と、リスク情報抽出部１３５と、出力制御部１３６とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部１３０の内部構成は、図１に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。
【００３４】
受付部１３１は、入力部１１０から個票データＴ、優先度情報Ｓおよび閾値群Ｐが入力されると、入力された個票データＴ、優先度情報Ｓおよび閾値群Ｐを受け付ける。受付部１３１は、受け付けた個票データＴ、優先度情報Ｓおよび閾値群Ｐを、それぞれ個票データ記憶部１２１、優先度情報記憶部１２２および閾値記憶部１２３に記憶するとともに、属性組み合わせ抽出指示を高リスク属性抽出部１３２に出力する。
【００３５】
高リスク属性抽出部１３２は、受付部１３１から属性組み合わせ抽出指示が入力されると、優先度情報記憶部１２２から優先度情報Ｓに含まれる各属性の機微度を読み出す。高リスク属性抽出部１３２は、読み出した各属性の機微度に基づいて、個票データ記憶部１２１を参照し、個票データＴの属性について、全属性の組み合わせを生成する。高リスク属性抽出部１３２は、生成した全属性の組み合わせについて、組み合わせ内の属性の機微度の積に基づいて優先度を算出する。すなわち、優先度は、機微度の積が小さい順に高リスクであるとする。つまり、優先度は、漏洩リスクに相当する。
【００３６】
高リスク属性抽出部１３２は、算出した優先度に基づいて、優先度が所定の条件を満たす属性組み合わせを抽出する。すなわち、高リスク属性抽出部１３２は、処理すべき属性組み合わせを抽出する。なお、所定の条件は、例えば、機微度の積が２００未満である等とすることができる。つまり、余りにも知られにくい属性の組み合わせは処理から除外する。また、高リスク属性抽出部１３２は、リスク情報抽出部１３５から除外指示が入力されると、除外指示に含まれる属性組み合わせＡを包含する属性組み合わせを、処理すべき属性組み合わせから除外する。
【００３７】
高リスク属性抽出部１３２は、まだ処理すべき属性組み合わせがあるか否かを判定する。なお、高リスク属性抽出部１３２は、孤立エントリ抽出部１３３から選択指示が入力された場合にも同様に、まだ処理すべき属性組み合わせがあるか否かを判定する。高リスク属性抽出部１３２は、処理すべき属性組み合わせがない場合には、出力制御部１３６に出力指示を出力する。
【００３８】
高リスク属性抽出部１３２は、処理すべき属性組み合わせがある場合には、処理すべき属性組み合わせのうち、最も優先度が高い属性組み合わせを属性組み合わせＡとして選択する。高リスク属性抽出部１３２は、選択した属性組み合わせＡを孤立エントリ抽出部１３３に出力する。なお、高リスク属性抽出部１３２は、最も優先度が高い属性組み合わせが複数ある場合には、属性の数が少ない属性組み合わせを最も優先度が高いものとする。
【００３９】
孤立エントリ抽出部１３３は、高リスク属性抽出部１３２から属性組み合わせＡが入力されると、属性組み合わせＡの値の度数分布Ｆを算出する。孤立エントリ抽出部１３３は、算出した度数分布Ｆに閾値ｐ１未満の度数があるか否かを判定する。孤立エントリ抽出部１３３は、度数分布Ｆに閾値ｐ１未満の度数がない場合には、次の属性組み合わせＡを選択する旨の選択指示を高リスク属性抽出部１３２に出力する。
【００４０】
孤立エントリ抽出部１３３は、度数分布Ｆに閾値ｐ１未満の度数がある場合には、個票データ記憶部１２１を参照し、当該度数の属性値の組み合わせで特定される行数（エントリ数）を算出する。すなわち、孤立エントリ抽出部１３３は、度数が閾値ｐ１未満の行について総行数を算出する。また、孤立エントリ抽出部１３３は、度数が閾値ｐ１未満の行を影響度算出部１３４に出力する。
【００４１】
孤立エントリ抽出部１３３は、影響度算出部１３４から影響度が入力されると、個票データ記憶部１２１を参照し、度数が閾値ｐ１未満の行のうち、影響度が高い順に閾値ｐ２行未満の行（エントリ）を抽出する。言い換えると、孤立エントリ抽出部１３３は、抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出する。孤立エントリ抽出部１３３は、属性組み合わせＡ、算出した総行数、および、抽出した行をリスク情報抽出部１３５に出力する。
【００４２】
影響度算出部１３４には、孤立エントリ抽出部１３３から度数が閾値ｐ１未満の行が入力される。影響度算出部１３４は、個票データ記憶部１２１および優先度情報記憶部１２２を参照し、入力された度数が閾値ｐ１未満の行について、属性組み合わせＡに含まれる属性以外の属性の影響度を算出する。言い換えると、影響度算出部１３４は、機微度に基づいて、抽出されたエントリにおける抽出された組み合わせに含まれる属性以外の属性の影響度を算出する。つまり、影響度は、影響情報に含まれる属性値の機微度であり、数値が大きいほど影響度は高くなる。影響度算出部１３４は、算出した影響度を孤立エントリ抽出部１３３に出力する。
【００４３】
リスク情報抽出部１３５は、孤立エントリ抽出部１３３から属性組み合わせＡ、算出した総行数、および、抽出した行が入力されると、個票データ記憶部１２１を参照し、抽出した行について行番号、特定情報および影響情報を抽出する。リスク情報抽出部１３５は、属性組み合わせＡと、算出した総行数と、抽出した行番号、特定情報および影響情報とを優先度順にリスク情報記憶部１２４に記憶する。言い換えると、リスク情報抽出部１３５は、抽出された組み合わせと、影響度が所定の条件を満たす属性とを対応付ける。
【００４４】
リスク情報抽出部１３５は、リスク情報記憶部１２４を参照し、リスク情報の総行数が閾値ｐ３未満であるか否かを判定する。リスク情報抽出部１３５は、リスク情報の総行数が閾値ｐ３未満である場合には、次の属性組み合わせＡを選択する旨の選択指示を高リスク属性抽出部１３２に出力する。リスク情報抽出部１３５は、リスク情報の総行数が閾値ｐ３未満でない場合には、属性組み合わせＡを包含する属性組み合わせを、処理すべき属性組み合わせから除外する旨の除外指示を高リスク属性抽出部１３２に出力する。なお、属性組み合わせＡで特定できる行は、属性組み合わせＡを包含する属性組み合わせでも当然特定できる。このため、属性組み合わせＡで特定できる行が十分多く、そのリスクが出力されていれば、属性組み合わせＡに関するそれ以外の情報は必要性が低くなるため、除外しても構わない。属性組み合わせＡを包含する属性組み合わせを除外することで、処理量を低減できる。また、出力されるリスク情報が簡潔になり、ユーザが理解しやすくなる。
【００４５】
出力制御部１３６は、高リスク属性抽出部１３２から出力指示が入力されると、リスク情報記憶部１２４からリスク情報を読み出す。出力制御部１３６は、読み出したリスク情報を属性組み合わせにおける優先度が高い順に並び替える。出力制御部１３６は、並び替えたリスク情報に基づいて出力画面を生成する。出力制御部１３６は、生成した出力画面を表示部１１１に出力して表示させる。つまり、出力制御部１３６は、リスク情報を表示部１１１に表示させる。すなわち、出力制御部１３６は、属性組み合わせと、行の数と、行番号と、特定情報と、影響情報とを有するリスク情報を表示部１１１に表示させる。言い換えると、出力制御部１３６は、抽出された組み合わせにおける漏洩リスクが高い順に、影響度が所定の条件を満たす属性と対応付けられた抽出された組み合わせをリスク情報として出力する。
【００４６】
すなわち、出力制御部１３６は、孤立エントリ抽出部１３３で属性組み合わせに対応して抽出された行に対応する、リスク情報抽出部１３５で抽出された行番号、特定情報および影響情報をリスク情報に含めて出力する。言い換えると、出力制御部１３６は、抽出された組み合わせに対応する抽出されたエントリの情報をリスク情報に含めて出力する。
【００４７】
また、出力制御部１３６は、影響情報の機微度が高い行を優先してリスク情報を出力する。すなわち、出力制御部１３６は、影響度が高い、つまり、抽出された組み合わせに対応付ける属性の機微度が高い抽出されたエントリを優先してリスク情報を出力する。
【００４８】
さらに、出力制御部１３６は、１つの属性組み合わせに対応付けられる影響情報について、複数の属性または属性値のうち、当該属性値の機微度が高い属性または属性値を優先して対応付けてリスク情報を出力する。すなわち、出力制御部１３６は、抽出された組み合わせに、機微度が高い属性を優先して対応付けてリスク情報を出力する。
【００４９】
また、出力制御部１３６は、それぞれの属性組み合わせに対応する行の数、つまり、抽出された組み合わせに対応する抽出されたエントリ数をリスク情報に含めて出力する。
【００５０】
次に、実施例の漏洩リスク提供装置１００の動作について説明する。図９は、実施例のリスク提供処理の一例を示すフローチャートである。
【００５１】
受付部１３１は、入力部１１０から個票データＴ、優先度情報Ｓおよび閾値群Ｐが入力されると、入力された個票データＴ、優先度情報Ｓおよび閾値群Ｐを受け付ける（ステップＳ１）。受付部１３１は、受け付けた個票データＴ、優先度情報Ｓおよび閾値群Ｐを、それぞれ個票データ記憶部１２１、優先度情報記憶部１２２および閾値記憶部１２３に記憶するとともに、属性組み合わせ抽出指示を高リスク属性抽出部１３２に出力する。
【００５２】
高リスク属性抽出部１３２は、受付部１３１から属性組み合わせ抽出指示が入力されると、優先度情報記憶部１２２から優先度情報Ｓに含まれる各属性の機微度を読み出す。高リスク属性抽出部１３２は、読み出した各属性の機微度に基づいて、個票データ記憶部１２１を参照し、個票データＴの属性について、全属性の組み合わせを生成する。高リスク属性抽出部１３２は、生成した全属性の組み合わせについて、組み合わせ内の属性の機微度の積に基づいて優先度を算出する。
【００５３】
高リスク属性抽出部１３２は、算出した優先度に基づいて、優先度が所定の条件を満たす属性組み合わせを抽出する。高リスク属性抽出部１３２は、まだ処理すべき属性組み合わせがあるか否かを判定する（ステップＳ２）。高リスク属性抽出部１３２は、処理すべき属性組み合わせがある場合には（ステップＳ２：肯定）、処理すべき属性組み合わせのうち、最も優先度が高い属性組み合わせを属性組み合わせＡとして選択する（ステップＳ３）。高リスク属性抽出部１３２は、選択した属性組み合わせＡを孤立エントリ抽出部１３３に出力する。
【００５４】
孤立エントリ抽出部１３３は、高リスク属性抽出部１３２から属性組み合わせＡが入力されると、属性組み合わせＡの値の度数分布Ｆを算出する（ステップＳ４）。孤立エントリ抽出部１３３は、算出した度数分布Ｆに閾値ｐ１未満の度数があるか否かを判定する（ステップＳ５）。孤立エントリ抽出部１３３は、度数分布Ｆに閾値ｐ１未満の度数がない場合には（ステップＳ５：否定）、次の属性組み合わせＡを選択する旨の選択指示を高リスク属性抽出部１３２に出力してステップＳ２に戻る。
【００５５】
孤立エントリ抽出部１３３は、度数分布Ｆに閾値ｐ１未満の度数がある場合には（ステップＳ５：肯定）、個票データ記憶部１２１を参照し、度数が閾値ｐ１未満の行について総行数を算出する（ステップＳ６）。また、孤立エントリ抽出部１３３は、度数が閾値ｐ１未満の行を影響度算出部１３４に出力する。
【００５６】
影響度算出部１３４には、孤立エントリ抽出部１３３から度数が閾値ｐ１未満の行が入力される。影響度算出部１３４は、個票データ記憶部１２１および優先度情報記憶部１２２を参照し、入力された度数が閾値ｐ１未満の行について、属性組み合わせＡに含まれる属性以外の属性の影響度を算出する（ステップＳ７）。影響度算出部１３４は、算出した影響度を孤立エントリ抽出部１３３に出力する。
【００５７】
孤立エントリ抽出部１３３は、影響度算出部１３４から影響度が入力されると、個票データ記憶部１２１を参照し、度数が閾値ｐ１未満の行のうち、影響度が高い順に閾値ｐ２行未満の行を抽出する（ステップＳ８）。孤立エントリ抽出部１３３は、属性組み合わせＡ、算出した総行数、および、抽出した行をリスク情報抽出部１３５に出力する。
【００５８】
リスク情報抽出部１３５は、孤立エントリ抽出部１３３から属性組み合わせＡ、算出した総行数、および、抽出した行が入力されると、個票データ記憶部１２１を参照し、抽出した行について行番号、特定情報および影響情報を抽出する（ステップＳ９）。リスク情報抽出部１３５は、属性組み合わせＡと、算出した総行数と、抽出した行番号、特定情報および影響情報とを優先度順にリスク情報記憶部１２４に記憶する（ステップＳ１０）。
【００５９】
リスク情報抽出部１３５は、リスク情報記憶部１２４を参照し、リスク情報の総行数が閾値ｐ３未満であるか否かを判定する（ステップＳ１１）。リスク情報抽出部１３５は、リスク情報の総行数が閾値ｐ３未満である場合には（ステップＳ１１：肯定）、次の属性組み合わせＡを選択する旨の選択指示を高リスク属性抽出部１３２に出力してステップＳ２に戻る。
【００６０】
リスク情報抽出部１３５は、リスク情報の総行数が閾値ｐ３未満でない場合には（ステップＳ１１：否定）、属性組み合わせＡを包含する属性組み合わせを、処理すべき属性組み合わせから除外する。すなわち、リスク情報抽出部１３５は、除外指示を高リスク属性抽出部１３２に出力する（ステップＳ１２）。高リスク属性抽出部１３２は、リスク情報抽出部１３５から除外指示が入力されると、除外指示に含まれる属性組み合わせＡを包含する属性組み合わせを、処理すべき属性組み合わせから除外して、ステップＳ２に戻る。
【００６１】
高リスク属性抽出部１３２は、処理すべき属性組み合わせがない場合には（ステップＳ２：否定）、出力制御部１３６に出力指示を出力する。出力制御部１３６は、高リスク属性抽出部１３２から出力指示が入力されると、リスク情報記憶部１２４からリスク情報を読み出す。出力制御部１３６は、読み出したリスク情報を属性組み合わせにおける優先度が高い順に並び替える。出力制御部１３６は、並び替えたリスク情報を含む出力画面を表示部１１１に表示させる（ステップＳ１３）。これにより、漏洩リスク提供装置１００は、漏洩リスクの判断の精度を高めることができる。
【００６２】
続いて、リスク提供処理の具体例について説明する。なお、以下の説明では、個票データＴとして図６に示す個票データ記憶部１２１に記憶された個票データを用い、優先度情報Ｓとして図７に示す優先度情報記憶部１２２に記憶された優先度情報を用いる。また、閾値群Ｐとして、閾値ｐ１＝２、閾値ｐ２＝３、および、閾値ｐ３＝２を用いる。なお、以下の説明では、リスク提供処理の各ステップにおける具体例に着目して説明し、各部の動作の詳細については省略する。
【００６３】
ステップＳ１において、受付部１３１は、個票データＴ、優先度情報Ｓおよび閾値群Ｐを受け付ける。また、高リスク属性抽出部１３２は、各属性の機微度に基づいて、個票データＴの属性について、全属性の組み合わせを生成する。高リスク属性抽出部１３２は、生成した全属性の組み合わせについて、組み合わせ内の属性の機微度の積に基づいて優先度を算出する。
【００６４】
ステップＳ２において、高リスク属性抽出部１３２は、算出した優先度に基づいて、優先度が所定の条件を満たす属性組み合わせを抽出する。抽出される属性組み合わせは、｛生年｝、｛国籍｝、｛診察結果｝、｛生年，国籍｝、｛生年，診察結果｝、｛国籍，診察結果｝、｛生年，国籍，診察結果｝の７つとなる。高リスク属性抽出部１３２は、処理すべき属性組み合わせがあると判定する。
【００６５】
ステップＳ３において、７つの属性組み合わせのうち、最も優先度が高い属性組み合わせは、機微度の積が「２」の｛生年｝であるので、高リスク属性抽出部１３２は、｛生年｝を属性組み合わせＡとして選択する。
【００６６】
ステップＳ４において、孤立エントリ抽出部１３３は、属性組み合わせＡの値の個票データＴにおける度数分布Ｆとして、個票データＴの｛生年｝の値を計数する。すなわち、孤立エントリ抽出部１３３は、属性値「４？」の度数が「３」、属性値「５？」の度数が「２」であるので、Ｆ＝｛（４？）：３，（５？）：２｝と計数する。
【００６７】
ステップＳ５において、孤立エントリ抽出部１３３は、算出した度数分布Ｆに閾値ｐ１＝２未満の度数があるか否かを判定すると、閾値ｐ１＝２未満の度数はないため、ステップＳ２に戻る。
【００６８】
ステップＳ２において、｛生年｝は処理済みであるので、処理すべき属性組み合わせは、｛国籍｝、｛診察結果｝、｛生年，国籍｝、｛生年，診察結果｝、｛国籍，診察結果｝、｛生年，国籍，診察結果｝の６つとなる。高リスク属性抽出部１３２は、処理すべき属性組み合わせがあると判定する。
【００６９】
ステップＳ３において、６つの属性組み合わせのうち、最も優先度が高い属性組み合わせは、機微度の積が「１０」の｛国籍｝であるので、高リスク属性抽出部１３２は、｛国籍｝を属性組み合わせＡとして選択する。
【００７０】
ステップＳ４において、孤立エントリ抽出部１３３は、属性組み合わせＡの値の個票データＴにおける度数分布Ｆとして、個票データＴの｛国籍｝の値を計数する。すなわち、孤立エントリ抽出部１３３は、属性値「日本」の度数が「２」、属性値「中国」の度数が「３」であるので、Ｆ＝｛（日本）：２，（中国）：３｝と計数する。
【００７１】
ステップＳ５において、孤立エントリ抽出部１３３は、算出した度数分布Ｆに閾値ｐ１＝２未満の度数があるか否かを判定すると、閾値ｐ１＝２未満の度数はないため、ステップＳ２に戻る。
【００７２】
ステップＳ２において、｛生年｝、｛国籍｝は処理済みであるので、処理すべき属性組み合わせは、｛診察結果｝、｛生年，国籍｝、｛生年，診察結果｝、｛国籍，診察結果｝、｛生年，国籍，診察結果｝の５つとなる。高リスク属性抽出部１３２は、処理すべき属性組み合わせがあると判定する。
【００７３】
ステップＳ３において、５つの属性組み合わせのうち、最も優先度が高い属性組み合わせは、機微度の積が「２×１０＝２０」の｛生年，国籍｝であるので、高リスク属性抽出部１３２は、｛生年，国籍｝を属性組み合わせＡとして選択する。
【００７４】
ステップＳ４において、孤立エントリ抽出部１３３は、属性組み合わせＡの値の個票データＴにおける度数分布Ｆとして、個票データＴの｛生年，国籍｝の値を計数する。すなわち、孤立エントリ抽出部１３３は、Ｆ＝｛（４？，日本）：２，（４？，中国）：１，（５？，中国）：２｝と計数する。
【００７５】
ステップＳ５において、孤立エントリ抽出部１３３は、算出した度数分布Ｆに閾値ｐ１＝２未満の度数があるか否かを判定すると、閾値ｐ１＝２未満の度数はあるため、ステップＳ６に進む。
【００７６】
ステップＳ６において、孤立エントリ抽出部１３３は、度数が閾値ｐ１未満の行が｛（４？，中国）：１｝のみであるので、総行数を｛１｝と算出する。
【００７７】
ステップＳ７において、影響度算出部１３４は、｛（４？，中国）：１｝である行番号「３」の行について、｛生年，国籍｝以外の属性の影響度を算出する。影響度算出部１３４は、属性「診察結果」の属性値「肝炎」の機微度「８０」を影響度として算出する。なお、属性値が複数ある場合には、それぞれの機微度を加算または乗算して影響度としてもよいし、最大の機微度を影響度としてもよい。
【００７８】
ステップＳ８において、孤立エントリ抽出部１３３は、度数が閾値ｐ１未満の行のうち、影響度が高い順に閾値ｐ２＝３行未満の行を抽出する。ここでは、度数が閾値ｐ１未満の行は、行番号「３」の行だけであるので、行番号「３」の行が抽出される。
【００７９】
ステップＳ９において、リスク情報抽出部１３５は、抽出された行番号「３」の行について、行番号｛３｝、特定情報｛生年：４？，国籍：中国｝および影響情報｛診察結果：肝炎｝を抽出する。
【００８０】
ステップＳ１０において、リスク情報抽出部１３５は、属性組み合わせ｛生年，国籍｝と、総行数｛１｝と、行番号｛３｝と、特定情報｛生年：４？，国籍：中国｝と、影響情報｛診察結果：肝炎｝とを優先度順にリスク情報記憶部１２４に記憶する。なお、属性組み合わせ｛生年，国籍｝の優先度は「２０」であるが、行番号｛３｝の１行だけであるので、この１行がリスク情報記憶部１２４に記憶される。図１０は、リスク情報記憶部の処理途中の一例を示す図である。図１０に示すリスク情報記憶部１２４ａは、ステップ１０においてリスク情報がリスク情報記憶部１２４に記憶された状態を示す。なお、リスク情報は、ステップＳ６〜Ｓ９の処理によって優先度順に並ぶこととなる。
【００８１】
ステップＳ１１において、リスク情報抽出部１３５は、リスク情報の総行数「１」が閾値ｐ３＝２未満であると判定するので、選択指示を高リスク属性抽出部１３２に出力してステップＳ２に戻る。
【００８２】
ステップＳ２において、｛生年｝、｛国籍｝、｛生年，国籍｝は処理済みであるので、処理すべき属性組み合わせは、｛診察結果｝、｛生年，診察結果｝、｛国籍，診察結果｝、｛生年，国籍，診察結果｝の４つとなる。高リスク属性抽出部１３２は、処理すべき属性組み合わせがあると判定する。
【００８３】
ステップＳ３において、４つの属性組み合わせのうち、最も優先度が高い属性組み合わせは、機微度の積が「１００」の｛診察結果｝であるので、高リスク属性抽出部１３２は、｛診察結果｝を属性組み合わせＡとして選択する。
【００８４】
ステップＳ４において、孤立エントリ抽出部１３３は、属性組み合わせＡの値の個票データＴにおける度数分布Ｆとして、個票データＴの｛診察結果｝の値を計数する。すなわち、孤立エントリ抽出部１３３は、Ｆ＝｛（肺癌）：１，（ＨＩＶ）：１，（肝炎）：１，（風邪）：２｝と計数する。
【００８５】
ステップＳ５において、孤立エントリ抽出部１３３は、算出した度数分布Ｆに閾値ｐ１＝２未満の度数があるか否かを判定すると、閾値ｐ１＝２未満の度数はあるため、ステップＳ６に進む。
【００８６】
ステップＳ６において、孤立エントリ抽出部１３３は、度数が閾値ｐ１未満の行が｛（肺癌）：１，（ＨＩＶ）：１，（肝炎）：１｝であるので、総行数を｛３｝と算出する。
【００８７】
ステップＳ７において、影響度算出部１３４は、｛（肺癌）：１，（ＨＩＶ）：１，（肝炎）：１｝である行番号「１」、「２」、「３」の行について、｛診察結果｝以外の属性の影響度を算出する。｛診察結果｝以外の属性の機微度のうち最大の機微度は、いずれも属性「国籍」の「１０」である。この場合には、次に最大の機微度を比較するが、次に最大の機微度についても、いずれも属性「生年」の「２」である。本具体例では、他に属性がないため、行番号が小さい行を優先する。
【００８８】
ステップＳ８において、孤立エントリ抽出部１３３は、度数が閾値ｐ１未満の行のうち、影響度が高い順に閾値ｐ２＝３行未満の行を抽出する。つまり、度数が閾値ｐ１未満の行は３行あるが、行番号が小さい行から順に２行を抽出する。すなわち、孤立エントリ抽出部１３３は、行番号「１」、「２」の行を抽出する。
【００８９】
ステップＳ９において、リスク情報抽出部１３５は、抽出された行番号「１」、「２」の行について、それぞれ、行番号、特定情報および影響情報を抽出する。行番号「１」は、行番号｛１｝、特定情報｛診察結果：肺癌｝および影響情報｛国籍：日本，生年：４？｝が抽出される。行番号「２」は、行番号｛２｝、特定情報｛診察結果：ＨＩＶ｝および影響情報｛国籍：日本，生年：４？｝が抽出される。
【００９０】
ステップＳ１０において、リスク情報抽出部１３５は、属性組み合わせ｛診察結果｝と、総行数｛３｝と、行番号｛１｝および｛２｝にそれぞれ対応する特定情報および影響情報とを優先度順にリスク情報記憶部１２４に記憶する。ここでは、上述の通り行番号｛１｝と｛２｝とは優先度が同じであるので、行番号の若い順にリスク情報記憶部１２４に記憶される。なお、影響情報内の属性値の並び順は、各属性値の影響度（機微度）が大きい順、つまり、影響度「１０」の国籍、影響度「２」の生年の順となる。この状態におけるリスク情報記憶部１２４は、図８に示すリスク情報記憶部１２４の状態となる。
【００９１】
ステップＳ１１において、リスク情報抽出部１３５は、リスク情報の総行数「３」が閾値ｐ３＝２未満でないと判定する。
【００９２】
ステップＳ１２において、リスク情報抽出部１３５は、除外指示を高リスク属性抽出部１３２に出力する。高リスク属性抽出部１３２は、属性組み合わせ｛診察結果｝を包含する属性組み合わせを、処理すべき属性組み合わせから除外して、ステップＳ２に戻る。
【００９３】
ステップＳ２において、｛生年｝、｛国籍｝、｛生年，国籍｝は処理済みであり、高リスク属性抽出部１３２は、残りの属性組み合わせ｛生年，診察結果｝、｛国籍，診察結果｝、｛生年，国籍，診察結果｝から、｛診察結果｝を包含する属性組み合わせを除外する。高リスク属性抽出部１３２は、処理すべき属性組み合わせがないと判定し、出力制御部１３６に出力指示を出力する。
【００９４】
ステップＳ１３において、出力制御部１３６は、リスク情報記憶部１２４からリスク情報を読み出し、リスク情報を属性組み合わせにおける優先度が高い順に並び替える。出力制御部１３６は、並び替えたリスク情報を含む出力画面を表示部１１１に表示させる。なお、上述の通り、リスク情報が既に優先度順であればそのまま出力する。このように、漏洩リスク提供装置１００は、高リスクのプライバシー侵害の具体例を効率的に把握できるので、漏洩リスクの判断の精度を高めることができる。また、漏洩リスク提供装置１００は、属性組み合わせを機微度の積が小さいものから出力するので、効果的な匿名化方法を分析しやすい。つまり、効果的な匿名化は、知ることが容易な属性で行特定できることを防ぐことであり、機微度の積が小さい属性は、知ることが容易な場合が多いと考えられるためである。
【００９５】
また、漏洩リスク提供装置１００は、影響度、つまり影響情報の機微度が大きいものから出力するので、匿名化の必要性の判断において、効率を向上させることができる。すなわち、匿名化の必要性の判断のためには、最大リスクの分析が求められるが、リスクは影響情報の機微度に比例すると考えられるためである。
【００９６】
このように、漏洩リスク提供装置１００は、複数の属性が与えられたエントリの集合である個票データにおける属性のそれぞれの機微度を記憶する記憶部１２０を有する。また、漏洩リスク提供装置１００は、機微度に基づいて、属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する。また、漏洩リスク提供装置１００は、抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出する。また、漏洩リスク提供装置１００は、機微度に基づいて、抽出されたエントリにおける抽出された組み合わせに含まれる属性以外の属性の影響度を算出する。また、漏洩リスク提供装置１００は、抽出された組み合わせと、影響度が所定の条件を満たす属性とを対応付ける。その結果、漏洩リスクの判断の精度を高めることができる。
【００９７】
また、漏洩リスク提供装置１００は、属性の組み合わせに含まれる属性の機微度の積を用いて漏洩リスクを算出する。その結果、知られやすい属性順にリスク情報を算出できる。
【００９８】
また、漏洩リスク提供装置１００は、抽出された組み合わせにおける漏洩リスクが高い順に、影響度が所定の条件を満たす属性と対応付けられた抽出された組み合わせをリスク情報として出力する。その結果、高リスクのプライバシー侵害を効率的に把握できる。
【００９９】
また、漏洩リスク提供装置１００は、抽出された組み合わせに対応する抽出されたエントリの情報をリスク情報に含めて出力する。その結果、漏洩リスクの判断の精度を高めることができる。
【０１００】
また、漏洩リスク提供装置１００は、抽出された組み合わせに対応付ける属性の機微度が高い抽出されたエントリを優先してリスク情報を出力する。その結果、知られると影響が大きい属性順にエントリを出力できる。
【０１０１】
また、漏洩リスク提供装置１００は、抽出された組み合わせに、機微度が高い属性を優先して対応付けてリスク情報を出力する。その結果、エントリ内で知られると影響が大きい属性順に影響情報を出力できる。
【０１０２】
また、漏洩リスク提供装置１００は、抽出された組み合わせに対応する抽出されたエントリ数をリスク情報に含めて出力する。その結果、個票データのうち、どれだけの情報が特定できるかを把握できる。
【０１０３】
また、漏洩リスク提供装置１００は、属性の組み合わせに、他の属性の組み合わせが含まれる場合には、他の属性の組み合わせが含まれる属性の組み合わせを除外して、漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する。その結果、処理量を低減できる。また、出力されるリスク情報が簡潔となるので、ユーザが理解しやすくなる。
【０１０４】
なお、上記実施例では、個票データの一例として、医療機関の診察結果を用いたが、これに限定されない。例えば、店舗等における会員登録の情報や、各種アンケート結果等に対して適用してもよい。
【０１０５】
また、図示した各部の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、孤立エントリ抽出部１３３と影響度算出部１３４とを統合してもよい。また、図示した各処理は、上記の順番に限定されるものではなく、処理内容を矛盾させない範囲において、同時に実施してもよく、順序を入れ替えて実施してもよい。
【０１０６】
さらに、各装置で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウェア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。
【０１０７】
ところで、上記の実施例で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施例と同様の機能を有するプログラムを実行するコンピュータの一例を説明する。図１１は、漏洩リスク提供プログラムを実行するコンピュータの一例を示す図である。
【０１０８】
図１１に示すように、コンピュータ２００は、各種演算処理を実行するＣＰＵ２０１と、データ入力を受け付ける入力装置２０２と、モニタ２０３とを有する。また、コンピュータ２００は、記憶媒体からプログラム等を読み取る媒体読取装置２０４と、各種装置と接続するためのインタフェース装置２０５と、他の情報処理装置等と有線または無線により接続するための通信装置２０６とを有する。また、コンピュータ２００は、各種情報を一時記憶するＲＡＭ２０７と、ハードディスク装置２０８とを有する。また、各装置２０１〜２０８は、バス２０９に接続される。
【０１０９】
ハードディスク装置２０８には、図１に示した受付部１３１、高リスク属性抽出部１３２、孤立エントリ抽出部１３３、影響度算出部１３４、リスク情報抽出部１３５および出力制御部１３６の各処理部と同様の機能を有する漏洩リスク提供プログラムが記憶される。また、ハードディスク装置２０８には、個票データ記憶部１２１、優先度情報記憶部１２２、閾値記憶部１２３、リスク情報記憶部１２４、および、漏洩リスク提供プログラムを実現するための各種データが記憶される。入力装置２０２は、例えば、コンピュータ２００のユーザから操作情報等の各種情報の入力を受け付ける。モニタ２０３は、例えば、コンピュータ２００のユーザに対して出力画面等の各種画面を表示する。媒体読取装置２０４は、記憶媒体から個票データＴ、優先度情報Ｓおよび閾値群Ｐを読み取る。インタフェース装置２０５は、例えば印刷装置等が接続される。通信装置２０６は、例えば、図示しないネットワークと接続され、他の情報処理装置と各種情報をやりとりする。
【０１１０】
ＣＰＵ２０１は、ハードディスク装置２０８に記憶された各プログラムを読み出して、ＲＡＭ２０７に展開して実行することで、各種の処理を行う。また、これらのプログラムは、コンピュータ２００を図１に示した受付部１３１、高リスク属性抽出部１３２、孤立エントリ抽出部１３３、影響度算出部１３４、リスク情報抽出部１３５および出力制御部１３６として機能させることができる。
【０１１１】
なお、上記の漏洩リスク提供プログラムは、必ずしもハードディスク装置２０８に記憶されている必要はない。例えば、コンピュータ２００が読み取り可能な記憶媒体に記憶されたプログラムを、コンピュータ２００が読み出して実行するようにしてもよい。コンピュータ２００が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこの漏洩リスク提供プログラムを記憶させておき、コンピュータ２００がこれらから漏洩リスク提供プログラムを読み出して実行するようにしてもよい。
【０１１２】
以上、本実施例を含む実施の形態に関し、さらに以下の付記を開示する。
【０１１３】
（付記１）複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する記憶部と、
前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する属性抽出部と、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出するエントリ抽出部と、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出する影響度算出部と、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付けるリスク情報作成部と、
を有することを特徴とする漏洩リスク提供装置。
【０１１４】
（付記２）前記属性抽出部は、前記属性の組み合わせに含まれる前記属性の前記機微度の積を用いて前記漏洩リスクを算出する、
ことを特徴とする付記１に記載の漏洩リスク提供装置。
【０１１５】
（付記３）さらに、前記抽出された組み合わせにおける前記漏洩リスクが高い順に、前記影響度が所定の条件を満たす属性と対応付けられた前記抽出された組み合わせをリスク情報として出力する出力制御部、
を有することを特徴とする付記１または２に記載の漏洩リスク提供装置。
【０１１６】
（付記４）前記出力制御部は、前記抽出された組み合わせに対応する前記抽出されたエントリの情報を前記リスク情報に含めて出力する、
ことを特徴とする付記３に記載の漏洩リスク提供装置。
【０１１７】
（付記５）前記出力制御部は、前記抽出された組み合わせに対応付ける前記属性の前記機微度が高い前記抽出されたエントリを優先して前記リスク情報を出力する、
ことを特徴とする付記４に記載の漏洩リスク提供装置。
【０１１８】
（付記６）前記出力制御部は、前記抽出された組み合わせに、前記機微度が高い前記属性を優先して対応付けて前記リスク情報を出力する、
ことを特徴とする付記３〜５のいずれか１つに記載の漏洩リスク提供装置。
【０１１９】
（付記７）前記出力制御部は、前記抽出された組み合わせに対応する前記抽出されたエントリ数を前記リスク情報に含めて出力する、
ことを特徴とする付記３〜６のいずれか１つに記載の漏洩リスク提供装置。
【０１２０】
（付記８）前記属性抽出部は、前記属性の組み合わせに、他の前記属性の組み合わせが含まれる場合には、他の前記属性の組み合わせが含まれる前記属性の組み合わせを除外して、前記漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する、
ことを特徴とする付記１〜７のいずれか１つに記載の漏洩リスク提供装置。
【０１２１】
（付記９）複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する記憶部に記憶された前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出し、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出し、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出し、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける、
処理をコンピュータが実行することを特徴とする漏洩リスク提供方法。
【０１２２】
（付記１０）前記属性の組み合わせを抽出する処理は、前記属性の組み合わせに含まれる前記属性の前記機微度の積を用いて前記漏洩リスクを算出する、
ことを特徴とする付記９に記載の漏洩リスク提供方法。
【０１２３】
（付記１１）さらに、前記抽出された組み合わせにおける前記漏洩リスクが高い順に、前記影響度が所定の条件を満たす属性と対応付けられた前記抽出された組み合わせをリスク情報として出力する、
処理をコンピュータが実行することを特徴とする付記９または１０に記載の漏洩リスク提供方法。
【０１２４】
（付記１２）前記出力する処理は、前記抽出された組み合わせに対応する前記抽出されたエントリの情報を前記リスク情報に含めて出力する、
ことを特徴とする付記１１に記載の漏洩リスク提供方法。
【０１２５】
（付記１３）前記出力する処理は、前記抽出された組み合わせに対応付ける前記属性の前記機微度が高い前記抽出されたエントリを優先して前記リスク情報を出力する、
ことを特徴とする付記１２に記載の漏洩リスク提供方法。
【０１２６】
（付記１４）前記出力する処理は、前記抽出された組み合わせに、前記機微度が高い前記属性を優先して対応付けて前記リスク情報を出力する、
ことを特徴とする付記１１〜１３のいずれか１つに記載の漏洩リスク提供方法。
【０１２７】
（付記１５）前記出力する処理は、前記抽出された組み合わせに対応する前記抽出されたエントリ数を前記リスク情報に含めて出力する、
ことを特徴とする付記１１〜１４のいずれか１つに記載の漏洩リスク提供方法。
【０１２８】
（付記１６）前記属性の組み合わせを抽出する処理は、前記属性の組み合わせに、他の前記属性の組み合わせが含まれる場合には、他の前記属性の組み合わせが含まれる前記属性の組み合わせを除外して、前記漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する、
ことを特徴とする付記９〜１５のいずれか１つに記載の漏洩リスク提供方法。
【０１２９】
（付記１７）複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する記憶部に記憶された前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出し、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出し、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出し、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける、
処理をコンピュータに実行させることを特徴とする漏洩リスク提供プログラム。
【０１３０】
（付記１８）前記属性の組み合わせを抽出する処理は、前記属性の組み合わせに含まれる前記属性の前記機微度の積を用いて前記漏洩リスクを算出する、
ことを特徴とする付記１７に記載の漏洩リスク提供プログラム。
【０１３１】
（付記１９）さらに、前記抽出された組み合わせにおける前記漏洩リスクが高い順に、前記影響度が所定の条件を満たす属性と対応付けられた前記抽出された組み合わせをリスク情報として出力する、
処理をコンピュータに実行させることを特徴とする付記１７または１８に記載の漏洩リスク提供プログラム。
【０１３２】
（付記２０）前記出力する処理は、前記抽出された組み合わせに対応する前記抽出されたエントリの情報を前記リスク情報に含めて出力する、
ことを特徴とする付記１９に記載の漏洩リスク提供プログラム。
【０１３３】
（付記２１）前記出力する処理は、前記抽出された組み合わせに対応付ける前記属性の前記機微度が高い前記抽出されたエントリを優先して前記リスク情報を出力する、
ことを特徴とする付記２０に記載の漏洩リスク提供プログラム。
【０１３４】
（付記２２）前記出力する処理は、前記抽出された組み合わせに、前記機微度が高い前記属性を優先して対応付けて前記リスク情報を出力する、
ことを特徴とする付記１９〜２１のいずれか１つに記載の漏洩リスク提供プログラム。
【０１３５】
（付記２３）前記出力する処理は、前記抽出された組み合わせに対応する前記抽出されたエントリ数を前記リスク情報に含めて出力する、
ことを特徴とする付記１９〜２２のいずれか１つに記載の漏洩リスク提供プログラム。
【０１３６】
（付記２４）前記属性の組み合わせを抽出する処理は、前記属性の組み合わせに、他の前記属性の組み合わせが含まれる場合には、他の前記属性の組み合わせが含まれる前記属性の組み合わせを除外して、前記漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する、
ことを特徴とする付記１７〜２３のいずれか１つに記載の漏洩リスク提供プログラム。
【符号の説明】
【０１３７】
１００  漏洩リスク提供装置
１１０  入力部
１１１  表示部
１１２  操作部
１２０  記憶部
１２１  個票データ記憶部
１２２  優先度情報記憶部
１２３  閾値記憶部
１２４  リスク情報記憶部
１３０  制御部
１３１  受付部
１３２  高リスク属性抽出部
１３３  孤立エントリ抽出部
１３４  影響度算出部
１３５  リスク情報抽出部
１３６  出力制御部
【図１】
0006610334.tif 000002
【図２】
0006610334.tif 000003
【図３】
0006610334.tif 000004
【図４】
0006610334.tif 000005
【図５】
0006610334.tif 000006
【図６】
0006610334.tif 000007
【図７】
0006610334.tif 000008
【図８】
0006610334.tif 000009
【図９】
0006610334.tif 000010
【図１０】
0006610334.tif 000011
【図１１】
0006610334.tif 000012