(57)【要約】  パーソナルデータに関する特定リスクを計算するため、本発明の情報処理装置は、指定された個人に関するデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する識別リスク計算手段と、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定個人到達率と、識別リスクとを基に、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定リスクを計算する特定リスク計算手段とを含む。
2016067566.tif 000002
【特許請求の範囲】
【請求項１】
指定された個人に関するデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する識別リスク計算手段と、
前記指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定個人到達率と、前記識別リスクとを基に、前記指定された個人のデータが前記指定された個人のデータであると判断される可能性を示す特定リスクを計算する特定リスク計算手段と
を含む情報処理装置。
【請求項２】
前記特定個人到達率を受信する受信手段
を含む請求項１に記載の情報処理装置。
【請求項３】
前記指定された個人に関するデータにおける準識別子の属性に対応した前記特定個人到達率を取得する第１の取得手段
を含む請求項１又は２に記載の情報処理装置。
【請求項４】
前記指定された個人に関するデータにおける属性に対する条件の組合せに対応した前記特定個人到達率を取得する第２の取得手段
を含む請求項１ないし３のいずれか１項に記載の情報処理装置。
【請求項５】
前記識別リスクに対応した前記特定個人到達率を取得する第３の取得手段
を含む請求項１ないし４のいずれか１項に記載の情報処理装置。
【請求項６】
前記パーソナルデータの提供先に対応して前記特定個人到達率を取得する第４の取得手段
を含む請求項１ないし５のいずれか１項に記載の情報処理装置。
【請求項７】
公開情報とパーソナルデータとを基に前記特定個人到達率を計算する特定個人到達率計算手段
を含む請求項１ないし６のいずれか１項に記載の情報処理装置。
【請求項８】
請求項１ないし７のいずれか１項に記載の情報処理装置と、
複数の個人に関する情報であるパーソナルデータを保存するパーソナル情報保存手段と、
前記情報処理装置が計算した前記パーソナルデータに含まれる全て個人に関するデータ対応する特定リスクを基に、前記パーソナルデータの全体に対応するリスクを計算する全体リスク計算手段と
を含む情報処理システム。
【請求項９】
指定された個人に関するデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算し、
前記指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定個人到達率と、前記識別リスクとを基に、前記指定された個人のデータが前記指定された個人のデータであると判断される可能性を示す特定リスクを計算する
情報処理方法。
【請求項１０】
指定された個人に関するデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する処理と、
前記指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定個人到達率と、前記識別リスクとを基に、前記指定された個人のデータが前記指定された個人のデータであると判断される可能性を示す特定リスクを計算する処理と
をコンピュータに実行させるプログラムをコンピュータに読み取り可能に記録する不揮発性記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データの匿名性に関し、特に、データを基に個人が特定される可能性に関連する情報処理装置、情報処理方法、及び記録媒体に関する。
【背景技術】
【０００２】
個人に関するデータ（以下、パーソナルデータと呼ぶ）の利用及び活用が、期待されている（例えば、非特許文献１を参照）。非特許文献１には、パーソナルデータの利用及び活用を促進させるために、「個人の特定可能性を低減したデータ」であれば、本人の同意がなくても、そのデータを、第三者（例えば、そのデータを収集した企業以外の企業）へ提供することが、記載されている。【０００３】
なお、パーソナルデータは、一般的に、１つ又は複数の属性値を含む。例えば、パーソナルデータを含むデータベースは、パーソナルデータの属性値を、そのデータのカラムの値として含む。【０００４】
ここで、以下で用いる「特定」及び「識別」という用語について説明する（非特許文献２を参照）。非特許文献２は、「特定」という用語を「識別」という用語と比較して、説明している。非特許文献２に基づくと、「識別」とは、「ある情報が、誰か一人の情報であることが分かること」を意味する。それに対し、「特定」とは、「ある情報が誰についての情報であるかが分かること」を意味する。例えば、データベースのあるレコードに、ある個人（一人の個人）のパーソナルデータが保存されているとする。このとき、「識別」とは、ある属性値（データベースのカラムの値）を基に、その属性値に対応するレコードが、一意に決定されることを意味する。一方、「特定」とは、その「識別」されたレコードが、誰（上記のある個人）のレコードであるかが分かることを意味する。なお、当然であるが、レコードは、「識別」されなければ、「特定」されない。【０００５】
「識別」を防ぐための技術として、ｋ−匿名性（k-anonymity）及びｋ−匿名化（k-anonymization）という技術が、開示されている（例えば、非特許文献３を参照）。なお、非特許文献１及び非特許文献２は、特定及び識別を防ぐための匿名化の具体的な技術内容を開示していないため、以下の説明は、主に非特許文献３に記載の技術を参照して説明する。【０００６】
図１６を参照して、ｋ−匿名性及びｋ−匿名化について説明する。【０００７】
まず、図１６に示す表（テーブル）について説明する。図１６に示す左側のテーブル及び右側のテーブルは、それぞれ、４名のパーソナルデータを格納している。それぞれのテーブルにおいて、各行で表される各レコードが、それぞれ、各個人（一人一人）のパーソナルデータである。各テーブルは、レコード番号（Ｎｏ．）、郵便番号、年齢、及び病状というカラムを含む。「レコード番号（Ｎｏ．）」は、レコードを一意に識別するための番号である。「郵便番号」、「年齢」及び「病状」は、属性である。属性は、属性名と属性値とを含む。例えば、「郵便番号」「年齢」及び「病状」は、属性名である。また、「１２３０００１」「２８」及び「心臓病」は、属性値である。例えば、左側のテーブルの１行目のレコードにおいて、郵便番号という属性名で示された属性は、属性値として１２３０００１を持つ。なお、図１６に示す表は、病院のカルテデータを想定している。【０００８】
ｋ−匿名性及びｋ−匿名化の技術において、属性（Attribute）は、識別子（ＩＤ：Identifier）、準識別子（ＱＩ：Quasi-Identifier）、センシティブ属性（Sensitive Attribute）、及びその他の属性の４種類に分類される。識別子とは、氏名のように、単一で個人を識別できる属性である。準識別子とは、他の属性と組み合わせると、個人を識別できる属性である。センシティブ属性とは、他人に知られたくない属性である。そして、これら以外の属性は、その他属性である。なお、属性は、準識別子かつセンシティブ属性であってもよい。【０００９】
次に、ｋ−匿名性を確保する動作（ｋ−匿名化の動作）について説明する。図１６の左側のテーブルは、病院のカルテデータのうち、氏名のような識別子を削除したレコードを集めたテーブルである。【００１０】
左側のテーブルのレコードは、識別子を含まない。そのため、左側のテーブルに含まれるレコードは、そのレコードの属性を基に誰のレコードであるか識別できないように見える。しかし、ここで、例えば、左側のテーブルの分析者（以下、攻撃者とも呼ぶ）が、ユーザＡの属性として、「郵便番号が１２３０００１」、「年齢が２８才」を知っていて、さらに、「この病院に通院していること」を知っていたとする。この場合、攻撃者は、左側のテーブルのＮｏ．１のレコードが、ユーザＡのレコードであると分かる。その結果、攻撃者は、センシティブ属性であるユーザＡの病状が心臓病であると分かる。このように、攻撃者は、左側のテーブルにおいて、郵便番号及び年齢を基に、レコードを特定できる。つまり、郵便番号及び年齢は、準識別子となっている。このように、識別子が削除されていても準識別子が含まれる場合、パーソナルデータは、レコードを特定される可能がある。その結果、ユーザが知られたくないと考えているセンシティブ属性が、攻撃者に知られてしまう可能性がある。そこで、ｋ−匿名化という技術が用いられている。【００１１】
図１６の右側のテーブルは、ｋ−匿名化を用いて準識別子を加工したレコードを含むテーブルである。右側のテーブルのレコードは、ｋ−匿名性を用いて、郵便番号及び年齢の属性値が加工されている。なお、図１６は、ｋの値として２を用いている。つまり、図１６の右側のテーブルは、準識別子の属性値から識別できるレコード数が、２以上となっている。非特許文献３は、準識別子を基に識別されるレコード数がｋ以上となっているテーブルを、ｋ−匿名性を満たすと定義している。また、ｋ−匿名性を満たすように加工することは、ｋ−匿名化と呼ばれる。例えば、右側のテーブルは、ｋ＝２のｋ−匿名性を満たすテーブルである。つまり、右側のテーブルは、２−匿名化されたテーブルである。なお、ｋ−匿名性を満たすテーブルは、ｋ未満の「識別」を防ぐことができる。そして、その結果として、ｋ−匿名性を満たすテーブルは、ｋ未満の「特定」を防ぐことができる。
【先行技術文献】
【非特許文献】
【００１２】
【非特許文献１】内閣官房  高度情報通信ネットワーク社会推進戦略本部、“パーソナルデータの利活用に関する制度改正大綱”、２０１４年６月２４日、（http://www.kantei.go.jp/jp/singi/it2/info/h260625_siryou2.pdf）
【非特許文献２】内閣官房  高度情報通信ネットワーク社会推進戦略本部、“資料２−１  技術検討ワーキンググループ報告書（佐藤委員提出資料）（12/10第5回パーソナルデータに関する検討会の後、一部修正（2013/12/16更新））”、２０１３年１２月１０日、（http://www.kantei.go.jp/jp/singi/it2/pd/dai5/siryou2-1.pdf）
【非特許文献３】Latanya Sweeney, "k-anonymity: a model for protecting privacy", International Journal of Uncertainty, Fuzziness and Knowledge-Based Systems, Volume 10, Issue 5, Pages 557 - 570, October 2002
【発明の概要】
【発明が解決しようとする課題】
【００１３】
非特許文献３に記載されているｋ−匿名性及びｋ−匿名化という技術は、「識別」の可能性（以降では、「識別リスク」とも呼ぶ）についての技術である。しかし、リスクには、非特許文献１に記載された「特定」のリスクがある。【００１４】
つまり、現状の匿名性に関する技術は、識別リスク（識別）に対応した技術であり、「特定」の可能性（以降では、「特定リスク」と呼ぶ）に対応した技術ではない。つまり、非特許文献３に記載の技術は、特定リスクに対応できないという問題点があった。【００１５】
さらに、特定リスクを考慮せずに、識別リスクだけを考慮したデータの匿名化は、必要以上にプライバシーを保護する、つまり、必要以上にデータを加工する場合がある。【００１６】
攻撃者が準識別子を知っているとの前提は、識別リスクの考慮に相当する。しかし、攻撃者は、準識別子を知らない可能性もある。そして、攻撃者が準識別子を知っている可能性が低いにもかかわらず、準識別子を知っていることを前提としてｋ−匿名性のｋの値を設定した場合、ｋの値は、必要以上に大きな値となってしまう。このように、匿名化を実行する装置は、識別リスクを用いた匿名化において、必要以上にデータを加工してしまう場合がある。その結果、匿名化後のデータの有用性は、必要以上に低下することになる。【００１７】
このように、非特許文献３に記載の技術は、必要以上にデータを加工するという問題点があった。【００１８】
本発明の目的は、上記の問題点を解決し、特定リスクを計算（評価）できる情報処理装置、情報処理方法、及び記録媒体を提供することにある。
【課題を解決するための手段】
【００１９】
本発明の一形態における情報処理装置は、指定された個人に関するデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する識別リスク計算手段と、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定個人到達率と、識別リスクとを基に、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定リスクを計算する特定リスク計算手段とを含む。【００２０】
本発明の一形態における情報処理システムは、指定された個人に関するデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する識別リスク計算手段と、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定個人到達率と、識別リスクとを基に、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定リスクを計算する特定リスク計算手段とを含む情報処理装置と、複数の個人に関する情報であるパーソナルデータを保存するパーソナル情報保存手段と、情報処理装置が計算したパーソナルデータに含まれる全て個人に関するデータ対応する特定リスクを基に、パーソナルデータの全体に対応するリスクを計算する全体リスク計算手段とを含む。【００２１】
本発明の一形態における情報処理方法は、指定された個人に関するデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算し、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定個人到達率と、識別リスクとを基に、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定リスクを計算する。【００２２】
本発明の一形態における記録媒体は、指定された個人に関するデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する処理と、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定個人到達率と、識別リスクとを基に、指定された個人のデータが指定された個人のデータであると判断される可能性を示す特定リスクを計算する処理とをコンピュータに実行させるプログラムをコンピュータに読み取り可能に記録する。
【発明の効果】
【００２３】
本発明に基づけば、特定リスクを計算できるとの効果を奏することができる。
【図面の簡単な説明】
【００２４】
【図１】図１は、本発明のおける第１の実施形態に係る情報処理装置を含む情報処理システムの構成の一例を示すブロック図である。
【図２】図２は、第１の実施形態に係るパーソナルデータ保存部が含むパーソナルデータの一例を示す図である。
【図３】図３は、第１の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。
【図４】図４は、第１の実施形態に係る情報処理装置を含む情報処理システムの別の構成の一例を示すブロック図である。
【図５】図５は、第１の実施形態に係る情報処理システムの動作の一例を示すフローチャートである。
【図６】図６は、第１の実施形態の説明に用いる特定リスクの計算結果を示す図である。
【図７】図７は、第２の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図８】図８は、第２の実施形態に係る保存部が保存するデータの一例を示す図である。
【図９】図９は、第３の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図１０】図１０は、第３の実施形態に係る保存部が保存するデータの一例を示す図である。
【図１１】図１１は、第４の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図１２】図１２は、第４の実施形態に係る保存部が保存するデータの一例を示す図である。
【図１３】図１３は、第５の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図１４】図１４は、第５の実施形態に係る保存部が保存するデータの一例を示す図である。
【図１５】図１５は、第６の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図１６】図１６は、ｋ−匿名化及びｋ−匿名性を説明するための図である。
【図１７】図１７は、第１の実施形態に係る情報処理装置の変形例の構成の一例を示すブロック図である。
【図１８】図１８は、第１の実施形態に係る情報処理装置の変形例の構成の一例を示すブロック図である。
【発明を実施するための形態】
【００２５】
次に、本発明の実施形態について図面を参照して説明する。
【００２６】
なお、各図面は、本発明の実施形態を説明するものである。ただし、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。
【００２７】
まず、本実施形態の説明に用いる用語について、整理する。
【００２８】
「識別」とは、ある情報（データ）が誰か一人の情報（データ）であることが分かる（判断される）ことである。
【００２９】
「識別リスク」とは、識別される可能性を示す。
【００３０】
「特定」とは、ある情報（データ）が誰の情報（データ）であるかが分かる（判断される）ことである。
【００３１】
「特定リスク」とは、特定される可能性を示す。
【００３２】
「レコード」は、各個人のパーソナルデータである。レコードは、複数の属性を含む。
【００３３】
「属性」とは、レコードに含まれるデータの種別である。属性は、属性名と、属性値とを含む。
【００３４】
「識別子」とは、単独で個人を特定できる属性である。
【００３５】
「準識別子」とは、他の属性との組合せを基に、個人を特定できる属性である。
【００３６】
「センシティブ属性」とは、個人が公開したくない属性（データ）である。
【００３７】
「特定個人到達率」とは、データ（レコード）が、ある特定の個人のデータであると判断される（特定される）可能性を示す値である。より詳細には、特定個人到達率とは、識別リスクが算出された場合における特定リスクを算出するために用いられる値である。あるいは、特定個人到達率は、レコードにおけるデータを識別するための情報を基に算出された識別リスクを補正して、特定リスクを算出するときに用いられる値である。より具体的には、特定個人到達率は、例えば、攻撃者が、レコードにおけるデータを識別するための情報（例えば、上記の準識別子の値）を取得する可能性である。例えば、同じ識別リスクとなっている準識別子が二つある場合で、その一の準識別子に対する取得可能性が、他の準識別子に対する取得可能性より高い場合、一の準識別子に対する特定個人到達率は、他の準識別子に対する特定個人到達率より高くなる。あるいは、ある準識別子の値を取得する可能性は、一般的に、その準識別子を含む複数の準識別子の値の組合せを取得する可能性より高くなる。そのため、ある準識別子に対する特定個人到達率は、その準識別子を含む準識別子の組合せに対する特定個人到達率より高くなる。また、特定個人到達率を高くすることは、特定リスクを高くすることである。そして、特定リスクに対応した匿名化は、特定リスクが高いほど、匿名性を高くする。例えば、稀な属性（準識別子）は、特定されやすい。つまり、稀な属性における識別リスクに対する特定リスクの比率は、一般的な属性のおける識別リスクに対する特定リスクの比率より高くすることが望ましい。そのため、稀な属性に対する特定個人到達率は、稀でない属性に対する特定個人到達率より高くなる。なお、特定個人到達率の値（ｒ）の範囲は、０から１の間（０≦ｒ≦１）である。
【００３８】
＜第１の実施の形態＞
本発明における第１の実施形態について図面を参照して説明する。
【００３９】
［構成の説明］
図１は、本発明における第１の実施形態に係る情報処理装置１００を含む情報処理システム３００の構成の一例を示すブロック部である。図１に示すように、情報処理システム３００は、情報処理装置１００とパーソナルデータ保存部２００とを含む。なお、図面中の矢印の方向は、一例を示すものであり、信号の向きを限定するものではない。
【００４０】
パーソナルデータ保存部２００は、情報処理装置１００における特定リスクの評価の処理の対象であるパーソナルデータを保存する。
【００４１】
図２は、パーソナルデータ保存部２００が保存するパーソナルデータの一例を示す図である。
【００４２】
パーソナルデータ保存部２００は、図２に示すように、パーソナルデータとして、ユーザ（個人）の識別子である「ユーザＩＤ」と、そのユーザに関する属性とを関連付けて、保存する。図２に示すパーソナルデータは、ユーザに関する属性として、年齢、性別、及び病名を含む。例えば、「ｕｓｅｒ１」の「年齢」（属性名）は、「２０」（属性値）である。同様に、ｕｓｅｒ１の「性別」（属性名）は、「男」（属性値）である。また、ｕｓｅｒ１の「病名」（属性名）は、「かぜ」（属性値）である。
【００４３】
なお、以下における各実施形態の動作の説明は、パーソナルデータの一例として、図２に示すパーソナルデータを用いる。また、準識別子は、年齢及び性別とする。つまり、年齢と性別が、匿名化対象の属性とする。そして、センシティブ属性は、病名とする。
【００４４】
情報処理装置１００は、パーソナルデータ保存部２００が保存するパーソナルデータにおける指定された個人の特定リスクを計算（評価）する。
【００４５】
そのため、情報処理装置１００は、受信部１１０と、識別リスク計算部１２０と、特定リスク計算部１３０とを含む。
【００４６】
受信部１１０は、図示しない装置から特定個人到達率を受信する。本実施形態において、特定個人到達率を送信する装置は、特に制限はない。例えば、受信部１１０は、ユーザが操作する装置から、特定個人到達率を受信してもよい。あるいは、受信部１１０は、図示しない記憶装置から特定個人到達率を読み出してもよい。以下、これらをまとめて、「受信部１１０が、特定個人到達率を受信する」と呼ぶ。
【００４７】
識別リスク計算部１２０は、識別リスクを計算する。
【００４８】
特定リスク計算部１３０は、識別リスクと特定個人到達率とを基に、特定リスクを計算する。
【００４９】
識別リスク計算部１２０及び特定リスク計算部１３０における計算の詳細は、後ほど説明する。
【００５０】
［動作の説明］
次に、図面を参照して、情報処理装置１００の動作について説明する。
【００５１】
図３は、第１の実施形態に係る情報処理装置１００の動作の一例を示すフローチャートである。図３に示すように、情報処理装置１００は、以下で説明するステップＳ１０１からＳ１０４までの動作を実行する。
【００５２】
情報処理装置１００は、予め、特定リスクを計算する対象の個人（ユーザ）が指定されているとする。そして、受信部１１０は、特定個人到達率（ｒ）を受信する。
【００５３】
そして、識別リスク計算部１２０は、パーソナルデータ保存部２００から、パーソナルデータを取得する（ステップＳ１０１）。本説明においては、既に説明したとおり、識別リスク計算部１２０は、図２に示したパーソナルデータを取得する。
【００５４】
次に、識別リスク計算部１２０は、パーソナルデータを基に、指定された個人に関して、何人の（何個の）レコードを識別できるかを計算する。そして、識別リスク計算部１２０は、識別できるレコードの数（ｍ）を基に、指定された個人の識別リスクを、計算する（ステップＳ１０２）。ｍの値が大きい程、識別できたレコードから、指定された個人を特定することが、より困難になる。
【００５５】
なお、識別リスク計算部１２０は、予め設定されている計算手法を用いて、識別リスクを計算する。識別リスクの計算手法は、特に制限はない。例えば、ｍレコードが識別される場合、識別リスク計算部１２０は、識別リスクとして「１／ｍ」を計算してもよい。そして、識別リスク計算部１２０は、特定リスク計算部１３０に計算した識別リスクを送信する。
【００５６】
識別リスク計算部１２０の動作の一例を、図２に示すパーソナルデータを参照して説明する。なお、指定された個人は、「ｕｓｅｒ１」とする。
【００５７】
図２を参照すると「ｕｓｅｒ１」の２つの準識別子（年齢及び性別）の値は、それぞれ「２０（年齢）」及び「男（性別）」である。この２つの準識別子の値は、「ｕｓｅｒ１」及び「ｕｓｅｒ２」において、同じである。つまり、年齢が「２０」であり、性別が「男」であるレコードとして、２名（ｍ＝２）のレコードが識別される。よって、識別リスク計算部１２０は、識別リスクとして、０．５（＝１／２）を計算する。なお、識別リスク計算部１２０は、識別リスクの計算として、除算に限らず他の四則演算、又は、累乗根など他の演算を用いてもよい。また、識別リスク計算部１２０は、一般的な識別リスクの計算手法を用いてもよい。
【００５８】
そして、識別リスク計算部１２０は、識別リスクとして、０．５を特定リスク計算部１３０に送信する。特定リスク計算部１３０は、識別リスク計算部１２０から識別リスクを受信する。
【００５９】
そして、特定リスク計算部１３０は、個人の特定個人到達率（ｒ）を、受信部１１０から取得する（ステップＳ１０３）。ここでは、特定個人到達率（ｒ）は、０．３とする。
【００６０】
そして、特定リスク計算部１３０は、識別リスク（０．５）と特定個人到達率（ｒ＝０．３）とを基に、指定された個人の特定リスクを計算する（ステップＳ１０４）。特定リスク計算部１３０は、予め設定されている計算手法を用いて、特定リスクを計算する。なお、特定リスクを計算する手法は、特に制限はない。以下の説明では、一例として、特定リスク計算部１３０は、特定リスクとして、「個人の特定リスク＝（１／ｍ）×ｒ」を用いて計算するとする。
【００６１】
ここでは、識別リスク（１／ｍ）は、０．５である。また、特定個人到達率（ｒ）は、０．３である。そのため、特定リスク計算部１３０は、特定リスクとして、「０．５×０．３＝０．１５」を計算する。
【００６２】
なお、上記において、個人の特定リスクの計算として、「特定リスク＝（１／ｍ）×ｒ」を用いたが、特定リスクの計算は、これに限る必要ない。例えば、特定リスク計算部１３０は、特定リスクの計算として、「特定リスク＝（１／ｍ）×ｒ×ｒ」を用いてもよい。また、特定リスク計算部１３０は、計算式として乗算又は除算に限らず、加算又は減算を用いてもよい。あるいは、特定リスク計算部１３０は、四則に限らず、累乗根又は対数のような計算を用いてもよい。さらに、特定リスク計算部１３０は、これらの計算を組み合わせてもよい。
【００６３】
なお、特定リスク計算部１３０は、特定リスクを所定の装置（例えば、ユーザーの装置）に送信してもよい。
【００６４】
なお、ここまでの説明として、情報処理装置１００は、ある個人に対する特定リスクを計算した。しかし、情報処理装置１００は、パーソナルデータ保存部２００に保存された複数又は全ての個人に対する特定リスクを計算してもよい。
【００６５】
図４は、第１の実施形態に係る情報処理装置１００を含む別の構成の情報処理システム３１０の構成の一例を示す図である。なお、図面中の矢印の方向は、一例を示すものであり、信号の向きを限定するものではない。
【００６６】
図４に示す情報処理システム３１０は、情報処理システム３００の構成に加え、特定リスク計算結果保存部２３０と、全体リスク計算部２４０とを含む。なお、情報処理装置１００が、全体リスク計算部２４０を含んでもよい。さらに、情報処理装置１００は、特定リスク計算結果保存部２３０を含んでもよい。
【００６７】
特定リスク計算結果保存部２３０は、各個人についての、特定リスクを保存する。
【００６８】
図６は、各ユーザに対する特定リスクの計算結果を示す図である。図６において、表の右側に示す式は、各個人の特定リスクを算出した式である。
【００６９】
全体リスク計算部２４０は、情報処理装置１００を用いて、パーソナルデータ保存部２００に保存されている全ての個人の特定リスクを計算し、算出された特定リスクを特定リスク計算結果保存部２３０に保存する。そして、全ての個人の特定リスクの計算が終了後、全体リスク計算部２４０は、特定リスク計算結果保存部２３０に保存された全ての個人の特定リスクを用いて、パーソナルデータ保存部２００に保存されているパーソナルデータにおける全体リスクを計算する。ここで、「全体リスク」とは、各個人の特定リスクを基に、所定の計算式を用いて算出される値である。例えば、全体リスクは、全ての個人の特定リスクの合計値、算術平均値、中央値、又は、最頻値でもよい。あるいは、全体リスクは、全ての個人の特定リスクにおける、最大値、又は、最小値でもよい。あるいは、全体リスクは、全ての個人の特定リスクにおいて、所定の数の上位の特定リスクの合計値又は平均値でもよい。さらに、全体リスクは、全ての個人の特定リスクの分散、又は、標準偏差のような分布の形状に関する値でもよい。
【００７０】
全体リスク計算部２４０は、全体リスクとして、１つの値に限らず、複数の値（例えば、平均値と分散）を計算してもよい。
【００７１】
情報処理システム３１０の動作について、図面を参照して説明する。
【００７２】
図５は、情報処理システム３１０の動作の一例を示すフローチャートである。
【００７３】
なお、以下の動作の説明においては、全体リスク計算部２４０が、動作を制御するとして説明する。ただし、動作の制御主体は、これに限る必要はない。例えば、情報処理装置１００が、全体リスク計算部２４０を含め制御してもよい。あるいは、図示しない制御装置が、情報処理システム３１０に含まれる構成を制御してもよい。
【００７４】
まず、全体リスク計算部２４０は、情報処理装置１００にパーソナルデータの取得を指示する。情報処理装置１００は、パーソナルデータ保存部２００から、パーソナルデータを取得する（ステップＳ２０１）。
【００７５】
次に、全体リスク計算部２４０は、パーソナルデータの各個人に対応する特定リスクの計算を情報処理装置１００に指示する（ステップＳ２０２）。
【００７６】
情報処理装置１００は、指定された個人に対応する特定リスクを計算する（ステップＳ２０３）。
【００７７】
全体リスク計算部２４０は、算出された特定リスクを、その個人と関連付けて、特定リスク計算結果保存部２３０に保存する（ステップＳ２０４）。
【００７８】
全ての個人についての特定リスクを計算後、全体リスク計算部２４０は、全ての個人の特定リスクを基に、全体リスクを計算する（ステップＳ２０５）。
【００７９】
［効果の説明］
次に、第１の実施形態の効果について説明する。
【００８０】
第１の実施形態に係る情報処理装置１００は、所定の個人の特定リスクを計算できるとの効果を奏することができる。
【００８１】
その理由は、次のとおりである。
【００８２】
本実施形態の受信部１１０が、特定個人到達率を受信する。そして、識別リスク計算部１２０が、個人の識別リスクを計算する。そして、特定リスク計算部１３０が、識別リスクと特定個人到達率とを基に、指定された個人の特定リスクを計算できるためである。
【００８３】
そのため、情報処理装置１００を用いるシステムは、情報処理装置１００が算出した特定リスクを用いて、適切なパーソナルデータの匿名化を決定できる。
【００８４】
また、情報処理装置１００は、必要以上のデータの加工を防ぐという効果を奏することができる。
【００８５】
その理由は、情報処理装置１００が、特定リスクを算出するため、情報処理装置１００を用いるシステムは、匿名化の程度（例えば、ｋ−匿名性のｋの値）を決定する場合に、識別リスクに加え、特定リスクを用いることができるためである。
【００８６】
また、本実施形態に係る情報処理装置１００を含む情報処理システム３１０は、パーソナルデータの全体に対する全体リスクを計算できるとの効果を奏することができる。
【００８７】
その理由は、全体リスク計算部２４０が、全ての個人の特定リスクを基に、パーソナルデータの全体リスクを計算できるためである。
【００８８】
［変形例１］
以上の説明した情報処理装置１００は、次のように構成される。
【００８９】
例えば、情報処理装置１００の各構成部は、ハードウェア回路で構成されてもよい。
【００９０】
また、情報処理装置１００において、各構成部は、ネットワークを介して接続した複数の装置を用いて、構成されてもよい。
【００９１】
図１８は、本実施形態の変形例１に係る情報処理装置１０６の構成の一例を示すブロック図である。なお、図面中の矢印の方向は、一例を示すものであり、信号の向きを限定するものではない。
【００９２】
情報処理装置１０６は、識別リスク計算部１２０と、特定リスク計算部１３０とを含む。情報処理装置１０６の各構成は、図示しないネットワークなどを介して、パーソナルデータ及び特定個人到達率を受信し、情報処理装置１００の各構成と同様に動作する。
【００９３】
このように構成された情報処理装置１０６は、情報処理装置１００と同様の効果を奏することができる。
【００９４】
その理由は、上記のとおり、情報処理装置１０６の各構成が、情報処理装置１００の構成と同様に動作し、特定リスクを計算できるためである。
【００９５】
なお、情報処理装置１０６は、本発明の実施形態における最小構成である。
【００９６】
［変形例２］
さらに、情報処理装置１００、及び情報処理装置１０６の変形例について、情報処理装置１００を用いて説明する。また、情報処理装置１００及び情報処理装置において、複数の構成部は、１つのハードウェアで構成されてもよい。
【００９７】
また、情報処理装置１００は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）とを含むコンピュータ装置として実現されてもよい。情報処理装置１００は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Input / Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現されてもよい。
【００９８】
図１７は、本変形例に係る情報処理装置６００の構成の一例を示すブロック図である。
【００９９】
情報処理装置６００は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータ装置を構成している。
【０１００】
ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御して、図１に示す、受信部１１０と、識別リスク計算部１２０と、特定リスク計算部１３０としての各機能を実現する。さらに、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御して、図４に示す全体リスク計算部２４０としての機能を実現してもよい。
【０１０１】
ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０又は内部記憶装置６４０を、プログラムの一時記憶媒体として使用してもよい。
【０１０２】
また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでもよい。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取り、ＲＡＭ６３０に保存して、保存したプログラムを基に動作してもよい。
【０１０３】
ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programmable-ROM）又はフラッシュＲＯＭである。
【０１０４】
ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。
【０１０５】
内部記憶装置６４０は、情報処理装置６００が長期的に保存するデータ及びプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作してもよい。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。内部記憶装置６４０は、パーソナルデータ保存部２００として動作してもよい。
【０１０６】
ここで、ＲＯＭ６２０と内部記憶装置６４０は、不揮発性の記憶媒体である。一方、ＲＡＭ６３０は、揮発性の記憶媒体である。そして、ＣＰＵ６１０は、ＲＯＭ６２０、内部記憶装置６４０、又は、ＲＡＭ６３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ６１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。
【０１０７】
ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Universal Serial Bus）カードである。
【０１０８】
入力機器６６０は、情報処理装置６００の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。
【０１０９】
表示機器６７０は、情報処理装置６００の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。
【０１１０】
ＮＩＣ６８０は、ネットワークを介した図示しない外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮ（Local Area Network）カードである。
【０１１１】
このように構成された情報処理装置６００は、情報処理装置１００と同様の効果を奏することができる。
【０１１２】
その理由は、情報処理装置６００のＣＰＵ６１０が、プログラムに基づいて情報処理装置１００と同様の機能を実現できるためである。
【０１１３】
＜第２の実施の形態＞
第２の実施形態について図面を参照して説明する。
【０１１４】
第２の実施形態に係る情報処理装置１０１は、準識別子の属性に応じて特定個人到達率を決定する点が、第１の実施形態の情報処理装置１００と異なる。本実施形態は、複数の攻撃者において、準識別子を知っている可能性が異なる場合に、対応できる。
【０１１５】
［構成の説明］
図面を参照して、第２の実施形態に係る情報処理装置１０１の構成について説明する。
【０１１６】
図７は、第２の実施形態に係る情報処理装置１０１の構成の一例を示すブロック図である。なお、図面中の矢印の方向は、一例を示すものであり、信号の向きを限定するものではない。図７に示すように、情報処理装置１０１は、情報処理装置１００の特定個人到達率を受信する受信部１１０に換えて、取得部（第１の取得部）１１１を含む。さらに、情報処理装置１０１は、保存部２１１を含む。なお、情報処理装置１０１は、図１７に示すコンピュータを用いて構成されてもよい。また、情報処理装置１０１は、保存部２１１を、ネットワークを介して接続する外部の装置としてもよい。また、取得部１１１は、以下で説明する保存部２１１が保存する情報を、第１の実施形態と同様に、図示しない外部の装置から受信してもよい。この場合、情報処理装置１０１は、保存部２１１を含まなくてもよい。
【０１１７】
保存部２１１は、準識別子又は準識別子の組合せと、それに対応する特定個人到達率とを、関連付けて保存する。
【０１１８】
図８は、保存部２１１が保存するデータの一例を示す図である。図８に示すデータにおいて、例えば、準識別子である年齢と性別との組合せに対応する特定個人到達率は、０．３である。一方、年齢に対する特定個人到達率は、その値より高い０．６である。これは、準識別子の組合せの値を取得できる可能性が、組合せに含まれる一つの準識別子の値を取得できる可能性より低いためである。以下の本実施形態の説明は、図８のデータを用いて説明する。
【０１１９】
取得部１１１は、保存部２１１から、準識別子又は準識別子の組合せに対応する特定個人到達率を取得する。なお、準識別子の組合せの特定個人到達率を取得する場合、取得部１１１は、組合せに含まれる準識別子の特定個人到達率の積を、その準識別子の組合せの特定個人到達率としてもよい。
【０１２０】
［動作の説明］
次に、情報処理装置１０１の動作について、図３を用いて説明した第１の実施形態の動作と異なる動作を中心に説明する。
【０１２１】
情報処理装置１０１は、第１の実施形態の同様に、ステップＳ１０１及びステップＳ１０２を実行する。
【０１２２】
そして、情報処理装置１０１は、ステップＳ１０３に換えて、下記の動作を実行する。
【０１２３】
特定リスク計算部１３０は、識別リスク計算部１２０から識別リスクを受信する。そして、特定リスク計算部１３０は、取得部１１１に対して、指定された個人の準識別子又は準識別子の組合せの情報を渡し、特定個人到達率の取得を依頼する。
【０１２４】
取得部１１１は、保存部２１１から、依頼された準識別子又は準識別子の組合せに対応する特定個人到達率を取得する。そして、取得部１１１は、特定個人到達率を、特定リスク計算部１３０に返信する。
【０１２５】
例えば、匿名化対象の準識別子が、年齢及び性別の場合、取得部１１１は、特定個人到達率として、０．３を取得し、特定リスク計算部１３０に送信する。
【０１２６】
特定リスク計算部１３０は、第１の実施形態のステップＳ１０４と同様に動作して、特定リスクを計算する。
【０１２７】
［効果の説明］
次に、第２の実施形態の効果について説明する。
【０１２８】
第２の実施形態に係る情報処理装置１０１は、第１の実施形態の効果に加え、準識別子の属性に応じて特定リスクを計算できるとの効果を奏することができる。すなわち、第２の実施形態は、攻撃者が知っている可能性がある準識別子が異なる場合に対応できるとの効果を奏することができる。
【０１２９】
その理由は、次のとおりである。
【０１３０】
第１の取得部１１１が、準識別子又は準識別子の組合せに対応した特定個人到達率を取得する。そして、特定リスク計算部１３０が、準識別子又は準識別子の組合せに対応した特定個人到達率を基に、特定リスクを計算するためである。
【０１３１】
＜第３の実施の形態＞
第３の実施形態について図面を参照して説明する。
【０１３２】
第３の実施形態に係る情報処理装置１０２は、準識別子の属性に対する条件の組合せに応じて特定個人到達率を決定する点が、第１の実施形態の情報処理装置１００と異なる。
【０１３３】
［構成の説明］
図面を参照して、第３の実施形態に係る情報処理装置１０２の構成について説明する。
【０１３４】
図９は、第３の実施形態に係る情報処理装置１０２の構成の一例を示すブロック図である。なお、図面中の矢印の方向は、一例を示すものであり、信号の向きを限定するものではない。図９に示すように、情報処理装置１０２は、情報処理装置１００の受信部１１０に換えて取得部１１２を含む。以下、取得部１１２を、受信部１１０と区別するため、第２の取得部と呼ぶ場合もある。さらに、情報処理装置１０２は、保存部２１２を含む。なお、情報処理装置１０２は、図１７に示すコンピュータを用いて構成されてもよい。また、情報処理装置１０２は、保存部２１２を、ネットワークを介して接続する外部の装置としてもよい。また、取得部１１２は、以下で説明する保存部２１２が保存する情報を、第１の実施形態と同様に、図示しない外部の装置から受信してもよい。この場合、情報処理装置１０２は、保存部２１２を含まなくてもよい。
【０１３５】
保存部２１２は、条件となる第１の属性（第１の属性名）と、特定個人到達率を設定する第２の属性（属性名）と、設定される特定個人到達率を算出する関数（例えば、条件式及び計算式の組合せ）とを関連付けて保存する。なお、第１及び第２の属性は、複数の属性の組合せでもよい。
【０１３６】
図１０は、保存部２１２が保存するデータの一例を示す図である。図１０に示すデータにおいて、判断に用いる属性が、上記の第１の属性であり、特定個人到達率を設定する属性が、第２の属性である。また、図１０において設定される特定個人到達率が、設定される特定個人到達率を算出する関数である。図１０に示す関数によれば、例えば、属性名（性別）の属性値（男性）の場合、属性（年齢）に対する特定個人到達率は、０．２である。また、その関数によれば、属性名（性別）の属性値（女性）の場合、属性（年齢）に対する特定個人到達率は、０．１である。以下の本実施形態の説明は、図１０のデータを用いて説明する。
【０１３７】
取得部１１２は、指定された属性に対応した特定個人到達率を取得する。取得部１１２は、特定個人到達率を取得する際に、必要に応じて、パーソナルデータ保存部２００からパーソナルデータを取得してもよい。なお、準識別子の組合せの特定個人到達率を取得する場合、取得部１１２は、組合せに含まれる準識別子の特定個人到達率の積を、その準識別子の組合せの特定個人到達率としてもよい。あるいは、準識別子の組合せの特定個人到達率を取得する場合、取得部１１２は、準識別子の組合せの特定個人到達率として、組合せに含まれる準識別子の特定個人到達率の中で、最小値又は最大値となっている特定個人到達率を選択してもよい。
【０１３８】
［動作の説明］
次に、情報処理装置１０１の動作について、図３を用いて説明した第１の実施形態の動作と異なる動作を中心に説明する。
【０１３９】
情報処理装置１０２は、第１の実施形態の同様に、ステップＳ１０１及びステップＳ１０２を実行する。
【０１４０】
そして、情報処理装置１０２は、ステップＳ１０３に換えて、下記の動作を実行する。
【０１４１】
特定リスク計算部１３０は、識別リスク計算部１２０から識別リスクを受信する。そして、特定リスク計算部１３０は、取得部１１２に対して、指定された個人の準識別子又は準識別子の組合せの情報を渡し、特定個人到達率の取得を依頼する。
【０１４２】
取得部１１２は、保存部２１２を参照し、指定された個人の準識別子の属性名と属性値に対応する特定個人到達率を取得する。そして、取得部１１２は、特定個人到達率を、特定リスク計算部１３０に返信する。
【０１４３】
なお、特定リスク計算部１３０は、取得部１１２に、指定された個人の属性名と属性値とを送信してもよい。あるいは、特定リスク計算部１３０は、取得部１１２に、指定された個人の識別子、又は、指定された個人の属性名を送信してもよい。この場合、取得部１１２は、パーソナルデータ保存部２００を参照して、判断に必要なデータを取得する。
【０１４４】
例えば、特定リスク計算部１３０が、ｕｓｅｒ１と属性名（年齢）と送信したとする。この場合、取得部１１２は、パーソナルデータ保存部２００のデータ（図２に示すデータ）から、ｕｓｅｒ１の属性名（年齢）の属性値（２０）を取得する。そして、取得部１１２は、保存部２１２に保存されているデータ（図１０に示すデータ）を基に、特定個人到達率として、０．３を取得する。
【０１４５】
特定リスク計算部１３０は、第１の実施形態のステップＳ１０４と同様に動作して、特定リスクを計算する。
【０１４６】
［効果の説明］
次に、第３の実施形態の効果について説明する。
【０１４７】
第３の実施形態に係る情報処理装置１０２は、第１の実施形態の効果に加え、属性名及び属性値に応じて特定個人到達率を決定できるとの効果を奏することができる。すなわち、第３の実施形態は、より細かな条件に対応した適切な特定リスクを計算できるとの効果を奏することができる。
【０１４８】
その理由は、次のとおりである。
【０１４９】
第２の取得部１１２が、準識別子である属性値又は属性値の組合せに対応して設定された条件を基に特定個人到達率を取得する。そして、特定リスク計算部１３０が、条件に対応した特定個人到達率を基に、特定リスクを計算するためである。
【０１５０】
＜第４の実施の形態＞
第４の実施形態について図面を参照して説明する。
【０１５１】
第４の実施形態に係る情報処理装置１０３は、個人識別リスクに応じて特定個人到達率を決定する点が、第１の実施形態に係る情報処理装置１００と異なる。
【０１５２】
［構成の説明］
図面を参照して、第４の実施形態に係る情報処理装置１０３の構成について説明する。
【０１５３】
図１１は、第４の実施形態に係る情報処理装置１０３の構成の一例を示すブロック図である。なお、図面中の矢印の方向は、一例を示すものであり、信号の向きを限定するものではない。図１１に示すように、情報処理装置１０３は、情報処理装置１００の受信部１１０に換えて取得部１１３を含む。以下、取得部１１３を、取得部１１２などと区別するため、第３の取得部と呼ぶ場合もある。さらに、情報処理装置１０３は、保存部２１３を含む。なお、情報処理装置１０３は、図１７に示すコンピュータを用いて構成されてもよい。また、情報処理装置１０３は、保存部２１３を、ネットワークを介して接続する外部の装置としてもよい。また、取得部１１３は、以下で説明する保存部２１３が保存する情報を、第１の実施形態と同様に、図示しない外部の装置から受信してもよい。この場合、情報処理装置１０３は、保存部２１３を含まなくてもよい。
【０１５４】
保存部２１３は、識別リスクと特定個人到達率とを関連付けて保存する。
【０１５５】
図１２は、保存部２１３が保存するデータの一例を示す図である。特定個人到達率を高くすることは、特定リスクを高くすることである。そして、特定リスクを用いた匿名化処理は、特定リスクが高いほど、高い匿名性となるように、つまり、特定されにくいように匿名化を実行する。そのため、図１２に示す特定個人到達率は、識別リスク（１／ｍ）が大きいほど、特定個人到達率が高くなっている。これは、上記のとおり、稀な属性（識別リスクが高い属性）ほど、特定されにくく（特定個人到達率を高く）するためである。ただし、これは、本実施形態の一例である。本実施形態は、このようなデータに限る必要はない。なお、以下の本実施形態の説明は、図１２のデータを用いて説明する。
【０１５６】
取得部１１３は、識別リスクを基に、特定個人到達率を取得する。
【０１５７】
［動作の説明］
次に、情報処理装置１０３の動作について、図３を用いて説明した第１の実施形態の動作と異なる動作を中心に説明する。
【０１５８】
情報処理装置１０３は、第１の実施形態の同様に、ステップＳ１０１及びステップＳ１０２を実行する。
【０１５９】
そして、情報処理装置１０３は、ステップＳ１０３に換えて、下記の動作を実行する。
【０１６０】
特定リスク計算部１３０は、識別リスク計算部１２０から識別リスクを受信する。そして、特定リスク計算部１３０は、取得部１１３に対して、指定された個人の識別リスク条件の準識別子の情報を渡し、特定個人到達率の取得を依頼する。
【０１６１】
取得部１１３は、識別リスク計算部１２０から個人の識別の可能性（識別リスク）を取得する。その後、取得部１１３は、保存部２１３を参照し、特定個人到達率を取得する。
【０１６２】
例えば、識別リスクが０．６の場合、取得部１１３は、保存部２１３（図１２に示すデータ）を参照して、特定個人到達率として０．８を取得する。
【０１６３】
そして、取得部１１３は、特定個人到達率を、特定リスク計算部１３０に返信する。
【０１６４】
特定リスク計算部１３０は、第１の実施形態のステップＳ１０４と同様に動作して、特定リスクを計算する。
【０１６５】
［効果の説明］
次に、第４の実施形態の効果について説明する。
【０１６６】
第４の実施形態に係る情報処理装置１０３は、第１の実施形態の効果に加え、識別リスクに応じて適切な特定リスクを計算できるとの効果を奏することができる。
【０１６７】
その理由は、次の通りである。
【０１６８】
第３の取得部１１３が、識別リスクを考慮して、特定個人到達率を取得する。そして、特定リスク計算部１３０が、その特定個人到達率を基に、特定リスクを計算するためである。
【０１６９】
例えば、誕生日が、準識別子とする。この場合、うるう年の２月２９日が誕生日の人は、他の日が誕生日の人に比べ、準識別子（誕生日）を基に個人を識別されやすい。そのため、２月２９日が誕生日の人は、他の人に比べ誕生日（準識別子）を隠す必要性が高い。つまり、準識別子が誕生日の場合、２月２９日が誕生日の人における識別リスクは、他の人における識別リスクより高い。そのような場合でも、本実施形態は、識別リスクに応じて適切な特定個人到達率を取得し、特定リスクを計算できる。
【０１７０】
＜第５の実施の形態＞
第５の実施形態について図面を参照して説明する。
【０１７１】
第５の実施形態に係る情報処理装置１０４は、パーソナルデータの提供先の組織（又は、攻撃者となる可能性のある組織）に応じて特定個人到達率を変える点が、第１の実施形態の情報処理装置１００と異なる。これは、パーソナルデータの提供先の組織（相手）は、提供したパーソナルデータに対する攻撃者となる可能性があるためである。そして、それぞれの組織は、攻撃者として異なるリスクを備えるためである。
【０１７２】
［構成の説明］
図面を参照して、第５の実施形態に係る情報処理装置１０４の構成について説明する。
【０１７３】
図１３は、第５の実施形態に係る情報処理装置１０４の構成の一例を示すブロック図である。なお、図面中の矢印の方向は、一例を示すものであり、信号の向きを限定するものではない。図１３に示すように、情報処理装置１０４は、情報処理装置１００の受信部１１０に換えて、取得部１１４を含む。以下、取得部１１４を、取得部１１２などと区別する場合、第４の取得部と呼ぶ。さらに、情報処理装置１０４は、保存部２１４を含む。なお、情報処理装置１０４は、図１７に示すコンピュータを用いて構成されてもよい。また、情報処理装置１０４は、保存部２１４を、ネットワークを介して接続する外部の装置としてもよい。また、取得部１１４は、以下で説明する保存部２１４が保存する情報を、第１の実施形態と同様に、図示しない外部の装置から受信してもよい。この場合、情報処理装置１０４は、保存部２１４を含まなくてもよい。
【０１７４】
保存部２１４は、情報の提供先と、提供先に応じた特定個人到達率とを関連付けて保存する。
【０１７５】
図１４は、保存部２１４が保存するデータの一例を示す図である。例えば、人数が多い組織は、対象となる個人を知っている者が含まれる可能性が高い。ここで、例えば、組織Ｂの会員数が、組織Ａの会員数より多いとする。その場合、組織Ｂにおける特定個人到達率は、組織Ａにおける特定個人到達率より大きいことが必要となる。そこで、図１４において、提供先の組織Ｂにおける特定個人到達率は、組織Ａにおける特定個人到達率より大きな値となっている。なお、保存部２１４は、図１４に示すように、提供先として保存する組織として複数の種類（例えば、図１４に示す組織と業種）を含んでもよい。以下の本実施形態の説明は、図１４のデータを用いて説明する。
【０１７６】
取得部１１４は、保存部２１４から、特定個人到達率を取得する。なお、準識別子の組合せの特定個人到達率を取得する場合、取得部１１４は、組合せに含まれる準識別子の特定個人到達率の積を、その準識別子の組合せの特定個人到達率としてもよい。あるいは、取得部１１４は、保存部２１４から、提供先に関する情報（例えば、会員数）を取得し、その情報を基に提供先に応じた特定個人到達率を計算してもよい。
【０１７７】
［動作の説明］
次に、情報処理装置１０４の動作について、図３を用いて説明した第１の実施形態の動作と異なる動作を中心に説明する。
【０１７８】
情報処理装置１０４は、第１の実施形態の同様に、ステップＳ１０１及びステップＳ１０２を実行する。
【０１７９】
そして、情報処理装置１０４は、ステップＳ１０３に換えて、下記の動作を実行する。
【０１８０】
特定リスク計算部１３０は、識別リスク計算部１２０から識別リスクを受信する。そして、特定リスク計算部１３０は、取得部１１４に、特定個人到達率の取得を依頼する。このとき、特定リスク計算部１３０は、取得部１１４に、相手（攻撃者）として設定されている提供先と属性との情報を送信する。
【０１８１】
取得部１１４は、保存部２１４のデータを基に、受信した提供先及び属性に対応する特定個人到達率を取得する。
【０１８２】
例えば、提供先が組織Ｂであり、属性が性別である場合、取得部１１４は、特定個人到達率として０．５を取得する。
【０１８３】
そして、取得部１１４は、特定リスク計算部１３０に特定個人到達率の情報を返信する。
【０１８４】
特定リスク計算部１３０は、第１の実施形態のステップＳ１０４と同様に動作して、特定リスクを計算する。
【０１８５】
［効果の説明］
次に、第５の実施形態の効果について説明する。
【０１８６】
第５の実施形態に係る情報処理装置１０４は、第１の実施形態の効果に加え、パーソナルデータを提供する組織（攻撃者となる可能性のある組織）に応じて特定個人到達率を変えることができるとの効果を奏することができる。
【０１８７】
その理由は、次のとおりである。
【０１８８】
第４の取得部１１４が、パーソナルデータを提供する組織（相手）に対応した特定個人到達率を取得する。そして、特定リスク計算部１３０が、組織（相手）に対応した特定個人到達率を基に、特定リスクを計算するためである。
【０１８９】
＜第６の実施の形態＞
第６の実施形態について図面を参照して説明する。
【０１９０】
第６の実施形態に係る情報処理装置１０５は、公開されているデータ（公開情報）を用いて特定個人到達率を計算するという点が、第１の実施形態の情報処理装置１００と異なる。
【０１９１】
ここで、公開情報とは、一般に公開されているデータ（公知のデータ）である。例えば、公開情報とは、データの提供先の会員の分布（例えば、１０代の会員が１万人、２０代の会員が１．５万人、３０代の会員が１万人といった情報）である。あるいは、公開情報とは、ｔｗｉｔｔｅｒ（登録商標）などのインターネット上に公開されている情報（例えば、「ｕｓｅｒ１は、１０代で、位置情報を公開している」）である。ただし、公開情報の公開範囲は、インターネットの情報のように、公開範囲に制限がない情報に限る必要はない。例えば、公開情報は、所定の組織（例えば、インターネットプロバイダ）に登録されている会員に公開されているような、公開範囲がある程度に限られる情報でもよい。
【０１９２】
［構成の説明］
図面を参照して、第６の実施形態に係る情報処理装置１０５の構成ついて説明する。
【０１９３】
図１５は、第６の実施形態に係る情報処理装置１０５の構成の一例を示すブロック図である。なお、図面中の矢印の方向は、一例を示すものであり、信号の向きを限定するものではない。図１５に示すように、情報処理装置１０５は、情報処理装置１００の受信部１１０に換えて、特定個人到達率計算部１１５を含む。さらに、情報処理装置１０５は、公開分布情報保存部２１５を含む。なお、情報処理装置１０５は、図１７に示すコンピュータを用いて構成されてもよい。また、情報処理装置１０５は、公開分布情報保存部２１５を、ネットワークを介して接続する外部の装置としてもよい。また、特定個人到達率計算部１１５は、以下で説明する公開分布情報保存部２１５が保存する情報を、第１の実施形態と同様に、図示しない外部の装置から受信してもよい。この場合、情報処理装置１０５は、公開分布情報保存部２１５を含まなくてもよい。
【０１９４】
公開分布情報保存部２１５は、公開情報を保存する。
【０１９５】
特定個人到達率計算部１１５は、公開情報を基に、特定個人到達率を計算する。
【０１９６】
［動作の説明］
次に、情報処理装置１０５の動作について、図３を用いて説明した第１の実施形態の動作と異なる動作を中心に説明する。
【０１９７】
情報処理装置１０５は、第１の実施形態の同様に、ステップＳ１０１及びステップＳ１０２を実行する。
【０１９８】
そして、情報処理装置１０５は、ステップＳ１０３に換えて、下記の動作を実行する。
【０１９９】
特定リスク計算部１３０は、識別リスク計算部１２０から識別リスクを受信する。そして、特定リスク計算部１３０は、特定個人到達率計算部１１５に特定個人到達率の計算を依頼する。
【０２００】
特定個人到達率計算部１１５は、公開分布情報保存部２１５に保存された公開情報と、パーソナルデータ保存部２００に保存されているパーソナルデータとを用いて、特定個人到達率を計算し、計算結果を特定リスク計算部１３０へ返信する。
【０２０１】
特定個人到達率計算部１１５の計算は、特に制限はなく、必要とされるリスクに合わせて設定されればよい。例えば、特定個人到達率計算部１１５は、パーソナルデータの分布と、公開情報におけるパーソナルデータの提供先の組織におけるデータの分布とを用いて、特定個人到達率を計算してもよい。
【０２０２】
次に、より具体的な計算例として、２つの計算例を説明する。
【０２０３】
第１の計算例は、対象となる組織の会員数を用いる計算例である。ここで、公開情報は、「Ａ社の未成年会員数は、１０００万人（日本の人口の１０％）である。」とする。特定個人到達率計算部１１５は、この公開情報に基づいて、Ａ社が、１０％の確率で準識別子を知っていることが分かる。そこで、特定個人到達率計算部１１５は、公開情報（人口比率）を基に、特定個人到達率を０．１と計算する。
【０２０４】
第２の計算例は、対象となる組織の会員の分布を用いる計算例である。ここで、公開情報は、「１０代の会員数が１０，０００人で、１０代の位置情報公開会員数が１，０００人で、２０代の会員数が２０，０００人で、２０代の位置情報公開会員数１，０００人である。」とする。この場合、１０代の会員における位置情報の公開率は、０．１（＝１０００／１００００）である。同様に、２０代の会員における位置情報の公開率は、０．０５（＝１０００／２００００）である。そこで、特定個人到達率計算部１１５は、「位置情報の公開率＝特定個人到達率」との想定を基に、１０代の会員における特定個人到達率を０．１と計算し、２０代の会員における特定個人到達率を０．０５と計算する。
【０２０５】
そして、特定個人到達率計算部１１５は、特定個人到達率を、特定リスク計算部１３０に返信する。
【０２０６】
特定リスク計算部１３０は、第１の実施形態のステップＳ１０４と同様に動作して、特定リスクを計算する。
【０２０７】
［効果の説明］
次に、第６の実施形態の効果について説明する。
【０２０８】
第６の実施形態に係る情報処理装置１０５は、第１の実施形態の効果に加え、特定個人情報を受信、及び、特定個人到達率の保存の動作を削減するという効果を奏する。
【０２０９】
その理由は、特定個人到達率計算部１１５が、公開情報を基に、特定個人到達率を計算するためである。
【０２１０】
＜その他の実施形態＞
上記の第１ないし第６の実施形態は、組み合わせてもよい。例えば、本発明の実施形態に係る特定リスク計算部１３０は、第２の実施形態において説明した準識別子に対応した特定個人到達率と、第４の実施形態において説明した識別リスクに対応した特定個人到達率とを用いて、特定リスクを計算してもよい。
【０２１１】
あるいは、情報処理システム３１０は、第１の実施形態に係る情報処理装置１００に換えて、第２の実施形態に係る情報処理装置１０１ないし第６の実施形態に係る情報処理装置１０５を含んでもよい。
【０２１２】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成及び詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０２１３】
この出願は、２０１４年１０月２９日に出願された日本出願特願２０１４−２１９８０８を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【産業上の利用可能性】
【０２１４】
本発明は、個人の特定リスクを計算するツールに利用可能である。また、本発明は、パーソナルデータを「個人の特定性を低減したデータ」となるように、データを加工する際に利用可能である。
【符号の説明】
【０２１５】
１００  情報処理装置
１０１  情報処理装置
１０２  情報処理装置
１０３  情報処理装置
１０４  情報処理装置
１０５  情報処理装置
１０６  情報処理装置
１１０  受信部
１１１  取得部
１１２  取得部
１１３  取得部
１１４  取得部
１１５  特定個人到達率計算部
１２０  識別リスク計算部
１３０  特定リスク計算部
２００  パーソナルデータ保存部
２１１  保存部
２１２  保存部
２１３  保存部
２１４  保存部
２１５  公開分布情報保存部
２３０  特定リスク計算結果保存部
２４０  全体リスク計算部
３００  情報処理システム
３１０  情報処理システム
６００  情報処理装置
６１０  ＣＰＵ
６２０  ＲＯＭ
６３０  ＲＡＭ
６４０  内部記憶装置
６５０  ＩＯＣ
６６０  入力機器
６７０  表示機器
６８０  ＮＩＣ
７００  記憶媒体
【図１】
2016067566.tif 000003
【図２】
2016067566.tif 000004
【図３】
2016067566.tif 000005
【図４】
2016067566.tif 000006
【図５】
2016067566.tif 000007
【図６】
2016067566.tif 000008
【図７】
2016067566.tif 000009
【図８】
2016067566.tif 000010
【図９】
2016067566.tif 000011
【図１０】
2016067566.tif 000012
【図１１】
2016067566.tif 000013
【図１２】
2016067566.tif 000014
【図１３】
2016067566.tif 000015
【図１４】
2016067566.tif 000016
【図１５】
2016067566.tif 000017
【図１６】
2016067566.tif 000018
【図１７】
2016067566.tif 000019
【図１８】
2016067566.tif 000020
【手続補正書】
【提出日】平成29年4月13日(2017.4.13)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
指定された個人のデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する識別リスク計算手段と、
前記指定された個人のデータが前記指定された個人についてのデータであると判断される可能性を示す特定個人到達率と、前記識別リスクとを基に、前記指定された個人のデータが前記指定された個人についてのデータであると判断される可能性を示す特定リスクを計算する特定リスク計算手段と
を含む情報処理装置。
【請求項２】
前記特定個人到達率を受信する受信手段
を含む請求項１に記載の情報処理装置。
【請求項３】
前記指定された個人のデータにおける準識別子の属性に対応した前記特定個人到達率を取得する第１の取得手段
を含む請求項１又は２に記載の情報処理装置。
【請求項４】
前記指定された個人のデータにおける属性に対する条件の組合せに対応した前記特定個人到達率を取得する第２の取得手段
を含む請求項１ないし３のいずれか１項に記載の情報処理装置。
【請求項５】
前記識別リスクに対応した前記特定個人到達率を取得する第３の取得手段
を含む請求項１ないし４のいずれか１項に記載の情報処理装置。
【請求項６】
前記指定された個人のデータの提供先に対応して前記特定個人到達率を取得する第４の取得手段
を含む請求項１ないし５のいずれか１項に記載の情報処理装置。
【請求項７】
公開情報と前記指定された個人のデータとを基に前記特定個人到達率を計算する特定個人到達率計算手段
を含む請求項１ないし６のいずれか１項に記載の情報処理装置。
【請求項８】
請求項１ないし７のいずれか１項に記載の情報処理装置と、
複数の前記指定された個人のデータを保存するパーソナル情報保存手段と、
前記情報処理装置が計算した前記指定された個人のデータに含まれる全て個人についてのデータに対応する特定リスクを基に、前記指定された個人のデータの全体に対応するリスクを計算する全体リスク計算手段と
を含む情報処理システム。
【請求項９】
指定された個人のデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算し、
前記指定された個人のデータが前記指定された個人についてのデータであると判断される可能性を示す特定個人到達率と、前記識別リスクとを基に、前記指定された個人のデータが前記指定された個人についてのデータであると判断される可能性を示す特定リスクを計算する
情報処理方法。
【請求項１０】
指定された個人のデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する処理と、
前記指定された個人のデータが前記指定された個人についてのデータであると判断される可能性を示す特定個人到達率と、前記識別リスクとを基に、前記指定された個人のデータが前記指定された個人についてのデータであると判断される可能性を示す特定リスクを計算する処理と
をコンピュータに実行させるプログラム。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
本発明は、データの匿名性に関し、特に、データを基に個人が特定される可能性に関連する情報処理装置、情報処理方法、及びプログラムに関する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１８
【補正方法】変更
【補正の内容】
【００１８】
本発明の目的は、上記の問題点を解決し、特定リスクを計算（評価）できる情報処理装置、情報処理方法、及びプログラムを提供することにある。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１９
【補正方法】変更
【補正の内容】
【００１９】
本発明の一形態のおける情報処理装置は、指定された個人のデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する識別リスク計算手段と、指定された個人のデータが指定された個人についてのデータであると判断される可能性を示す特定個人到達率と、識別リスクとを基に、指定された個人のデータが指定された個人についてのデータであると判断される可能性を示す特定リスクを計算する特定リスク計算手段とを含む。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００２０
【補正方法】変更
【補正の内容】
【００２０】
本発明の一形態における情報処理システムは、指定された個人のデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する識別リスク計算手段と、指定された個人のデータが指定された個人についてのデータであると判断される可能性を示す特定個人到達率と、識別リスクとを基に、指定された個人のデータが指定された個人についてのデータであると判断される可能性を示す特定リスクを計算する特定リスク計算手段とを含む情報処理装置と、複数の指定された個人のデータを保存するパーソナル情報保存手段と、情報処理装置が計算した指定された個人のデータに含まれる全て個人についてのデータに対応する特定リスクを基に、指定された個人のデータの全体に対応するリスクを計算する全体リスク計算手段とを含む。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００２１
【補正方法】変更
【補正の内容】
【００２１】
本発明の一形態のおける情報処理方法は、指定された個人のデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算し、指定された個人のデータが指定された個人についてのデータであると判断される可能性を示す特定個人到達率と、識別リスクとを基に、指定された個人のデータが指定された個人についてのデータであると判断される可能性を示す特定リスクを計算する。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００２２
【補正方法】変更
【補正の内容】
【００２２】
本発明の一形態におけるプログラムは、指定された個人のデータが誰か一人のデータであると判断される可能性を示す識別リスクを計算する処理と、指定された個人のデータが指定された個人についてのデータであると判断される可能性を示す特定個人到達率と、識別リスクとを基に、指定された個人のデータが指定された個人についてのデータであると判断される可能性を示す特定リスクを計算する処理とをコンピュータに実行させる。
【国際調査報告】
2016067566.tif 000021
2016067566.tif 000022
2016067566.tif 000023
2016067566.tif 000024