(57)【要約】  多次元データに含まれる集合値属性をトップダウンアプローチで匿名化する際に、集合値属性に対する再符号化処理の回数が少ない場合であっても、集合値属性の情報損失をより充分に低減する情報処理装置が開示される。係る情報処理装置は、データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出するアイテム評価手段と、再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記アイテム評価手段による評価結果に基づいて選択する基準アイテム選択手段と、前記基準アイテム選択手段によって選択された前記基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する再符号化手段とを備える。
2014181542.tif 000002
【特許請求の範囲】
【請求項１】
データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出するアイテム評価手段と、
再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記アイテム評価手段による評価結果に基づいて選択する基準アイテム選択手段と、
前記基準アイテム選択手段によって選択された前記基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する再符号化手段と、
を備えた情報処理装置。
【請求項２】
前記再符号化手段による再符号化結果が所定の終了要件を充足するか否かを判断する終了要件判断手段をさらに備え、
前記アイテム評価手段、前記基準アイテム選択手段、および、前記再符号化手段は、前記アイテム情報を評価し、評価結果に基づき前記基準アイテム情報を選択して前記再符号化を行う一連の処理を、前記終了要件判断手段によって前記再符号化結果が前記終了要件を充足したと判断されるまで繰り返す請求項１に記載の情報処理装置。
【請求項３】
前記基準アイテム選択手段は、前記アイテム評価手段による評価結果に基づいて、前記レコード毎に前記基準アイテム情報を選択することにより１つ以上の前記基準アイテム情報を含む基準アイテム集合を生成し、
前記再符号化手段は、前記基準アイテム集合を構成する基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、前記再符号化を実行する請求項１に記載の情報処理装置。
【請求項４】
前記基準アイテム選択手段は、前記アイテム評価手段による評価結果に基づいて選択した前記アイテム情報を、前記基準アイテム情報と仮定した場合の再符号化結果が所定の匿名性を満たすか否かに基づいて、前記基準アイテム情報を選択する請求項１から請求項３のいずれか１項に記載の情報処理装置。
【請求項５】
前記アイテム評価手段は、前記アイテム情報を評価する情報として、該アイテム情報の出現頻度に基づく情報を算出する請求項１から請求項４のいずれか１項に記載の情報処理装置。
【請求項６】
前記アイテム評価手段は、前記アイテム情報を評価する情報として、該アイテム情報と共起するアイテム情報の種類数に基づく情報を算出する請求項１から請求項５のいずれか１項に記載の情報処理装置。
【請求項７】
データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出し、
再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記評価の結果に基づいて選択し、
１つ以上の前記基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する、情報処理方法。
【請求項８】
前記再符号化の結果が所定の終了要件を充足するまで、前記各アイテム情報を評価し、評価結果に基づき前記基準アイテム情報を選択して前記再符号化を行う一連の処理を繰り返す請求項７に記載の情報処理方法。
【請求項９】
前記評価結果に基づいて、前記レコード毎に前記基準アイテム情報を選択することにより、１つ以上の前記基準アイテム情報を含む基準アイテム集合を生成し、
前記基準アイテム集合を構成する基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、前記再符号化を実行する請求項７に記載の情報処理方法。
【請求項１０】
データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出するアイテム評価処理と、
再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記アイテム評価処理の評価結果に基づいて選択する基準アイテム選択処理と、
前記基準アイテム選択処理で選択された基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する再符号化処理と、
をコンピュータ装置に実行させるコンピュータ・プログラムを記録する記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プライバシ情報を扱う情報処理装置等に関する。
【背景技術】
【０００２】
近年、様々なサービスにおいて、個人に関するプライバシ情報が情報処理装置に蓄積されるようになっている。このようなプライバシ情報としては、例えば、個人の購買情報や、診療情報がある。例えば、診療報酬の明細書であるレセプトは、生年や性別、傷病名、薬剤名といった属性を有するレコードからなるデータセットとして情報処理装置に蓄積される。このようなプライバシ情報は、プライバシ保護の観点から、オリジナルな情報内容のままで公開や利用されることが好ましくない。【０００３】
ここで、生年や性別といったような、個人を特徴づけ、それらの組合せから個人を特定する可能性のある属性は、準識別子と呼ばれる。また、傷病名や薬剤名などのように、他人に知られたくない属性は、センシティブ属性（機微情報：Ｓｅｎｓｉｔｉｖｅ  Ａｔｔｒｉｂｕｔｅ（ＳＡ）、  Ｓｅｎｓｉｔｉｖｅ  Ｖａｌｕｅ）と呼ばれる。また、生年や性別といったように、単一の値をとる属性を、「単一値属性」という。準識別子は、単一値属性である場合が多い。また、傷病名や薬剤名などのように、１つ以上の値（集合値）を取る属性を、「集合値属性」という。センシティブ情報は、集合値属性である場合が多い。【０００４】
このようなプライバシ情報を含むデータセットは、プライバシ侵害の懸念がなければ、二次活用による有益性が高い。ここで、二次活用とは、プライバシ情報を生成および蓄積しているサービス事業者以外の第三者に対してプライバシ情報を提供することにより、第三者のサービスを利用することや、第三者に対して分析などのアウトソーシングを依頼することなどを指す。プライバシ情報の二次活用は、プライバシ情報の分析や研究を促進すると共に、分析結果および研究結果を用いたサービスの強化につながる。したがって、プライバシ情報を保有するサービス事業者以外の第三者も、プライバシ情報の持つ高い有益性を享受することができる。【０００５】
例えば、第三者として想定し得るものとして製薬会社がある。製薬会社は、例えば、診療情報から、薬品の共起関係や相関関係などを分析することができる。製薬会社にとって、診療情報を入手することは困難であるが、もし、診療情報を入手することができれば、製薬会社は、薬品がどのように利用されているのかを知ることができると共に、分析することができる。【０００６】
しかしながら、このようなプライバシ情報を含むデータセットは、プライバシ侵害の懸念から、積極的な二次活用がなされていない。【０００７】
例えば、サービス利用者を一意に識別するユーザ識別子（ユーザＩＤ）と、１つ以上のセンシティブ情報とを含むレコードによって構成されるデータセットが、サービス提供者の情報処理装置に蓄積されていると仮定する。ここで、ユーザ識別子が付与されたままのセンシティブ情報が第三者に提供されると、そのユーザ識別子を用いることによってサービス利用者を特定することが可能であるので、プライバシ侵害の問題が発生し得る。【０００８】
また、複数のレコードによって構成されるデータセットにおいて、各レコードに１つ以上の準識別子が付与されている場合について考える。この場合、準識別子の組み合わせにより、ある個人を特定できてしまうことがある。すなわち、たとえ、ユーザ識別子を取り除いたデータセットであっても、準識別子の組合せに基づいてある個人を特定可能であれば、プライバシ侵害が発生し得る。【０００９】
このような特性を有するプライバシ情報のデータセットを、本来の有用性を保ちながら、プライバシを保護した形態に変換する技術として、匿名化技術（Ａｎｏｎｙｍｉｚａｔｉｏｎ）が知られている。【００１０】
非特許文献１では、最もよく知られた匿名性指標である“ｋ−匿名性”が提案されている。また、匿名化対象のデータセットに、係る”ｋ−匿名性”を充足させる技術は、“ｋ−匿名化”と呼ばれる。この”ｋ−匿名化”では、同じ準識別子を有するレコードが、匿名化対象のデータセットの中に少なくとも”ｋ”以上存在するように、対象となる準識別子を変換する処理が行われる。変換処理としては、一般化や切り落とし等の方式が知られている。一般化とは、元の詳細な情報を、抽象化された情報に変換する処理である。また、切り落としとは、元の詳細な情報を削除する処理である。【００１１】
このような”ｋ−匿名化”技術を利用する関連技術が、特許文献１に記載されている。特許文献１に記載された関連技術は、ユーザ端末から受信したデータを暗号化などにより変換して格納しておき、復元したデータを”ｋ−匿名性”を満たすよう加工して、サービス提供者サーバに送信する。【００１２】
また、このような”ｋ−匿名化”技術を利用する他の関連技術が、非特許文献２に記載されている。非特許文献２では、類似する属性値を持つレコードの集合（以降、クラスタと呼ぶ）を逐次生成し、クラスタに含まれるレコードにおいて、一般化や切り落としにより共通の属性値を生成する手法が提案されている。【００１３】
上述の非特許文献１および非特許文献２に記載された関連技術は、単一値属性に対する”ｋ−匿名化”を行うものである。【００１４】
ところが、複数のレコードによって構成されるデータセットにおいて、各レコードに付与されている１つ以上のセンシティブ情報の組み合わせにより、ある個人を特定できてしまう場合がある。すなわち、たとえ、ユーザ識別子を取り除き、準識別子を匿名化したデータセットであっても、センシティブ情報の組合せに基づいてある個人を特定可能であれば、プライバシ侵害が発生し得る。このように、センシティブ属性も、準識別子と同様に個人特定の要因になり得る。したがって、センシティブ属性に対しても、準識別子と同様な扱いが必要となる。しかしながら、全てのセンシティブ情報をデータセットから取り除いてしまうと、情報の欠損が生じ、プライバシ情報を含むデータセットの本来の有益性が大幅に失われる。例えば、全てのセンシティブ情報が取り除かれた診療情報のデータセットを用いても、ある傷病と他の傷病との相関関係や共起関係の分析等を行うことは難しい。【００１５】
そこで、このようなセンシティブ情報を表す集合値属性に対する匿名化技術が提案されている（例えば、非特許文献３〜非特許文献６参照）。【００１６】
例えば、非特許文献３に記載された関連技術は、センシティブ情報に含まれるアイテム（属性値）の組合せから紐づくレコードの数が”ｋ”以上になるように、アイテムの局所的な一般化を行う。ここで、局所的な一般化とは、レコードごとに”ｋ−匿名化”に必要な一般化の度合いを調整する手法である。局所的な一般化は、一般化の度合い（情報損失）を小さくすることができる。また、この関連技術は、一般化にタキソノミーを必要とする。この関連技術には、ある属性値が、レコードごとに異なる一般化された値に加工されるという一般化の不均一が生じ、集計がしづらいという課題がある。【００１７】
また、非特許文献４に記載された関連技術は、センシティブ情報に含まれるアイテムの組合せから紐づくレコードの数が”ｋ”以上になるように、アイテムの大域的な一般化を行う。ここで、大域的な一般化とは、ある属性値をどのような値に一般化するかを、データセット全体の”ｋ−匿名性”および情報損失を加味して決定する手法である。例えば、傷病名という集合値属性のとりうる値に関して、図２４のようなタキソノミーが存在するとする。この関連技術は、所望の匿名性の充足に、あるレコードの傷病名属性に含まれる「Ａ」という値を「神経系」に一般化する必要があるとき、データセット中のすべての傷病名「Ａ」を「神経系」に一般化する。この関連技術には、属性値の情報損失が大きくなりすぎるという課題がある。【００１８】
また、非特許文献５に記載された関連技術は、センシティブ情報に含まれるアイテムの組合せから紐づくレコードの数が”ｋ”以上になるように、アイテムの大域的な削除を行う。ここで、大域的な削除とは、ある属性値を削除するか否かを、データセット全体の”ｋ−匿名性”および情報損失を加味して決定する手法である。この関連技術は、削除が決定した属性値を、データセット中に存在しなくなるように削除する。この関連技術には、削除されるアイテム数が多くなりやすいという課題がある。【００１９】
また、非特許文献６に記載された関連技術は、センシティブ情報に含まれるアイテムの組合せから紐づくレコードの数が”ｋ”以上になるように、アイテムの大域的な一般化および局所的な削除を行う。また、この関連技術は、一般化にタキソノミーを必要とする。この関連技術は、非特許文献４および非特許文献５に記載された技術よりも情報損失を小さくでき、かつ、非特許文献３に記載された技術で生じる一般化の不均一も生じない。
【先行技術文献】
【特許文献】
【００２０】
【特許文献１】特開２０１１−１８０８３９号公報
【非特許文献】
【００２１】
【非特許文献１】Ｌ．Ｓｗｅｅｎｅｙ，  “ｋ−ａｎｏｎｙｍｉｔｙ：ａ  ｍｏｄｅｌ  ｆｏｒ  ｐｒｏｔｅｃｔｉｎｇ  ｐｒｉｖａｃｙ”，  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｊｏｕｒｎａｌ  ｏｎ  Ｕｎｃｅｒｔａｉｎｔｙ，  Ｆｕｚｚｉｎｅｓｓ  ａｎｄ  Ｋｎｏｗｌｅｄｇｅ−ｂａｓｅｄ  Ｓｙｓｔｅｍｓ，１０（５），ｐｐ．５５５−５７０，２００２．
【非特許文献２】Ｋ．  ＬｅＦｅｖｒｅ，  Ｄ．  ＤｅＷｉｔｔ  ａｎｄ  Ｒ．  Ｒａｍａｋｒｉｓｈｎａｎ，  “Ｍｏｎｄｒｉａｎ  Ｍｕｌｔｉｄｉｍｅｎｓｉｏｎａｌ  ｋ−Ａｎｏｎｙｍｉｔｙ”，  ＩＣＤＥ２００６．
【非特許文献３】Ｙｅｙｅ  Ｈｅ  ａｎｄ  Ｊｅｆｆｒｅｙ  Ｆ．  Ｎａｕｇｈｔｏｎ，  “Ａｎｏｎｙｍｉｚａｔｉｏｎ  ｏｆ  ｓｅｔ−ｖａｌｕｅｄ  ｄａｔａ  ｖｉａ  ｔｏｐ−ｄｏｗｎ，  ｌｏｃａｌ  ｇｅｎｅｒａｌｉｚａｔｉｏｎ”，  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｖｅｒｙ  Ｌａｒｇｅ  Ｄａｔａｂａｓｅｓ，２００９．
【非特許文献４】Ｍ．  Ｔｅｒｒｏｖｉｔｓ，  Ｎ．  Ｍａｍｏｕｌｉｓ  ａｎｄ  Ｐ．  Ｋａｌｎｉｓ，  “Ｐｒｉｖａｃｙ  Ｐｒｅｓｅｒｖｉｎｇ  Ａｎｏｎｙｍｉｚａｔｉｏｎ  ｏｆ  Ｓｅｔ−ｖａｌｕｅｄ  Ｄａｔａ”，  ＶＬＤＢ２００８．
【非特許文献５】Ｙ．  Ｘｕ，  Ｋ．  Ｗａｎｇ，  Ａ．  Ｆｕ  ａｎｄ  Ｐ．Ｓ．  Ｙｕ，  “Ａｎｏｎｙｍｉｚｉｎｇ  Ｔｒａｎｓａｃｔｉｏｎ  Ｄａｔａｂａｓｅｓ  ｆｏｒ  Ｐｕｂｌｉｃａｔｉｏｎ”，  ＫＤＤ２００８．
【非特許文献６】Ｊｕｎｑｉａｎｇ  Ｌｉｕ  ａｎｄ  Ｋｅ  Ｗａｎｇ，  “Ａｎｏｎｙｍｉｚｉｎｇ  Ｔｒａｎｓａｃｔｉｏｎ  Ｄａｔａ  ｂｙ  Ｉｎｔｅｇｒａｔｉｎｇ  Ｓｕｐｐｒｅｓｓｉｏｎ  ａｎｄ  Ｇｅｎｅｒａｌｉｚａｔｉｏｎ”，  ＰＡＫＤＤ２０１０．
【発明の概要】
【発明が解決しようとする課題】
【００２２】
しかしながら、上述の非特許文献３〜非特許文献６に記載された集合値匿名化手法では、再符号化処理の回数が少ない場合に、集合値属性に対する情報損失の低減度合いが小さいという課題がある。このような課題は、主に、トップダウンアプローチによる集合値匿名化処理において生じる。その理由について以下に説明する。【００２３】
トップダウンアプローチによる”ｋ−匿名化”は、まず、最も一般化(すべての属性値が削除)された状態にすることで、データセットを”ｋ−匿名化”された状態にする。その後、トップダウンアプローチによる”ｋ−匿名化”は、”ｋ−匿名性”に違反しない限り、各属性の詳細化を繰り返す。このように、トップダウンアプローチによる”ｋ−匿名化”は、すべての属性の値を最も一般化された状態に初期化し、”ｋ−匿名性”を充足した状態から、加工の度合いが小さくなるように段階的な詳細化を行う。【００２４】
ところが、上述した各関連技術の集合値匿名化手法では、１回の再符号化処理において、１つのアイテムまたはそのアイテムが一般化などにより加工された情報に着目して再符号化を行う。以降、アイテムまたはその加工された情報を、単に「アイテム情報」とも記載する。また、再符号化とは、対象となるアイテム情報を他の情報に加工する処理をいう。このとき、着目したアイテム情報を持たないレコードは、再符号化処理の対象にならない。集合値属性には、多数のアイテム情報が含まれるため、１回の再符号化処理において、多くのレコードが再符号化の対象にならない。よって、これらの関連技術は、すべてのレコードを再符号化するまでに多数の再符号化処理を行う必要がある。また、一般的に、”ｋ−匿名性”を充足しつつ、情報損失の小さな状態を探索するためには、複数回の再符号化処理が必要である。したがって、これらの関連技術を用いて集合値属性を”ｋ−匿名化”する場合、”ｋ−匿名化”処理の収束までに必要な再符号化処理の回数は膨大になる。【００２５】
例えば、非特許文献３〜非特許文献６に記載された集合値匿名化手法では、再符号化処理において、あるアイテムＡをＡ’に加工した場合、Ａ’を含むレコード群は、Ａを含むレコード群の数だけレコード数が増加する。また、Ａ’を含まないレコード群は、Ａを含むレコード群の数だけレコード数が減少する。よって、Ａ’を含むレコード群およびＡ’を含まないレコード群では、共に母集団が変化する。この母集団の変化によって、Ａ’を含むレコード群において、アイテム情報間の序列が変化する。アイテム情報間の序列は、例えばアイテム情報の出現頻度などによって決定される。例えば、Ａ’を含むレコード群におけるアイテム毎の出現頻度は、新たに増加したレコード群によって変化する。Ａ’を含まないレコード群においても同様である。【００２６】
出現頻度のようなアイテム情報の評価値や、それらによって決定可能なアイテム情報間の序列は、どのアイテム情報を次に再符号化すべきかを決定する際に用いられる。例えば、トップダウンアプローチによる匿名化処理において、アイテム情報をより詳細な状態へと加工する場合には、より高い出現頻度のアイテム情報が、再符号化の基準として選択される。これにより、より多くのアイテム情報を詳細な状態にすることができ、１回の再符号化処理によって得られる情報利得（Ｉｎｆｏｒｍａｔｉｏｎ  Ｇａｉｎ）を大きくすることができる。なお、”ｋ−匿名化”では、収束後の匿名化データの、オリジナルのデータからの情報損失を最小にすることが望まれるが、この問題はＮＰ−困難な問題として知られている。そのため、トップダウンアプローチによる匿名化処理では、各再符号化処理において貪欲に情報利得を最大化し、収束後の情報損失をできるだけ小さくするアプローチが採用される場合が多い。【００２７】
よって、再符号化の基準として選択するアイテム情報の決定は、情報損失を小さくするという観点から重要である。上述した各関連技術では、１つずつアイテム情報を選択して再符号化処理を行い、再符号化後の状態からそれぞれまた１つのアイテム情報を選択して再符号化処理を繰り返すというアプローチが取られてきた。上述のように、これらの各関連技術は、1回の再符号化処理ですべてのレコードを対象としないが、”ｋ−匿名化”が収束するまでに複数回の再符号化処理を実施する。このように、これらの各関連技術では、各再符号化処理後の情報損失が大きく、情報損失の低減を以降の再符号化処理に任せたとしても問題にならない。すなわち、これらの各関連技術は、個々の再符号化処理では情報損失を充分に低減しないが、複数回の再符号化処理によって情報損失を低減する。【００２８】
一方、多次元データを匿名化する手法として、ステップ１）再符号化を行う対象となる属性を選択し、ステップ２）選択した属性を再符号化するという再符号化処理を繰り返す手法が知られている。この手法は、選択した属性について１回の再符号化処理を終了すると、新たに再符号化対象として選択した属性の再符号化処理へと進む。ここで、トップダウンアプローチにおいてこのような手法で多次元データを匿名化する際に、ステップ１で選択された属性が集合値属性である場合に、ステップ２で、上述した各関連技術の集合値匿名化手法を適用することを考える。このとき、集合値属性に対する１回分の再符号化処理が終了した後、新たに再符号化対象として選択した他の属性の再符号化処理において、”ｋ−匿名化”処理が収束してしまうことがある。このような場合、集合値属性に対する再符号化処理において再符号化の対象とならなかったレコードの分だけ、集合値属性の情報損失は大きくなってしまう。【００２９】
このように、上述した各関連技術の集合値匿名化手法は、多次元データにおける他の属性の匿名化処理と共存する場合、特定のアイテム情報を持つレコード群だけを再符号化の対象とすることになり、レコード毎の集合値属性の情報損失の低減度合いを不均質にする。その結果、上述した各関連技術の集合値匿名化手法は、集合値属性の情報損失を大きくするという問題を生ずる。【００３０】
例えば、図２５は、あるレコード群における集合値属性「薬剤名」に対するトップダウンアプローチによる匿名化処理を説明している。この匿名化処理は、初期状態として全てのアイテム（薬剤名）を秘匿した状態から、１回の再符号化処理において、等価クラス毎に１つアイテムを選択して開示する。等価クラスとは、注目する集合値属性に共通の再符号化値を持つレコード群である。【００３１】
図２５において、１回目の再符号化処理は、アイテム「ａ」を基準として開示処理を実施している。このように再符号化の基準としたアイテムを基準アイテムと呼ぶこととする。このとき、基準アイテム「ａ」を含まないレコード群は、１つのアイテムも開示されておらず情報損失が低減されていない。一方、基準アイテム「ａ」を含むレコード群は、１つのアイテムが開示されており情報損失が低減されている。【００３２】
ここで、情報損失の指標としては、様々な指標を用いることができる。例えば、情報損失の指標として、オリジナルのアイテムのうち秘匿されているアイテムの数または割合を表す情報や、情報損失の度合を表すＮＣＰ（Ｎｏｒｍａｌｉｚｅｄ  Ｃｅｒｔａｉｎｔｙ  Ｐｅｎａｌｔｙ）値等を用いることができる。【００３３】
図２５において、１回目の再符号化処理が実施された後、１番目のレコードでは、基準アイテム「ａ」が開示され、秘匿アイテム数が４から３へと低減されている。２番目〜４番目のレコードにおいても秘匿アイテム数が低減されている。他方、５番目〜９番目のレコードでは、基準アイテム「ａ」が含まれていないため、秘匿アイテム数が変化していない。２回目、３回目の再符号化後も同様に、秘匿アイテム数の低減が充分でないレコードが存在する。【００３４】
以上説明したように、上述した各関連技術における集合値匿名化手法は、１回の再符号化処理で１つのアイテム情報のみを対象とする。このため、これらの各関連技術における集合値匿名化手法は、トップダウンアプローチにより多次元データに含まれる集合値属性に対する匿名化処理行う場合に、再符号化処理の対象とならなかったレコード数分の情報損失の低減機会を損失する。その結果、これらの各関連技術における集合値匿名化手法は、集合値属性に対する情報損失の低減度合いが小さいという問題を生じる。【００３５】
本発明は、上述の課題を解決するためになされた。本発明は、多次元データに含まれる集合値属性をトップダウンアプローチで匿名化する際に、集合値属性に対する再符号化処理の回数が少ない場合であっても、集合値属性の情報損失をより充分に低減する匿名化技術を提供することを１つの目的とする。
【課題を解決するための手段】
【００３６】
本発明の一態様において、情報処理装置は、データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出するアイテム評価手段と、再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記アイテム評価手段による評価結果に基づいて選択する基準アイテム選択手段と、前記基準アイテム選択手段によって選択された前記基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する再符号化手段と、を備える。【００３７】
また、本発明の一態様において、情報処理方法は、データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出し、再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記評価結果に基づいて選択し、１つ以上の前記基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する。【００３８】
また、本発明の一態様において、記録媒体は、データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出するアイテム評価処理と、再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記アイテム評価処理の評価結果に基づいて選択する基準アイテム選択処理と、前記基準アイテム選択処理で選択された基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する再符号化処理と、をコンピュータ装置に実行させるコンピュータ・プログラムを記録する。
【発明の効果】
【００３９】
本発明は、多次元データに含まれる集合値属性をトップダウンアプローチで匿名化する際に、集合値属性に対する再符号化処理の回数が少ない場合であっても、集合値属性の情報損失をより充分に低減する匿名化技術を提供することができる。
【図面の簡単な説明】
【００４０】
【図１】本発明の第１の実施の形態としての情報処理装置の機能ブロック図である。
【図２】本発明の第１の実施の形態としての情報処理装置のハードウェア構成図である。
【図３】本発明の第１の実施の形態としての情報処理装置の動作を説明するフローチャートである。
【図４】本発明の第２の実施の形態としての情報処理装置の機能ブロック図である。
【図５】本発明の第２の実施の形態としての情報処理装置の動作を説明するフローチャートである。
【図６】本発明の第２の実施の形態としての情報処理装置によって匿名化対象とされるデータセットの一例を示す図である。
【図７】本発明の第２の実施の形態において１回目に算出されるアイテムの評価値の一例を示す図である。
【図８】本発明の第２の実施の形態における１回目の再符号化処理の一例を説明する図である。
【図９】本発明の第２の実施の形態において２回目に算出されるアイテムの評価値の一例を示す図である。
【図１０】本発明の第２の実施の形態における２回目の再符号化処理の一例を説明する図である。
【図１１】本発明の第２の実施の形態において３回目に算出されるアイテムの評価値の一例を示す図である。
【図１２】本発明の第２の実施の形態における３回目の再符号化処理の一例を説明する図である。
【図１３】本発明の第３の実施の形態としての情報処理装置の機能ブロック図である。
【図１４】本発明の第３の実施の形態としての情報処理装置の動作を説明するフローチャートである。
【図１５】本発明の第３の実施の形態における共起アイテム種類数の一例を示す図である。
【図１６】本発明の第３の実施の形態において１回目に算出されるアイテムの評価値の一例を示す図である。
【図１７】本発明の第３の実施の形態における１回目の再符号化処理の一例を説明する図である。
【図１８】本発明の第３の実施の形態において１回目に生成される基準アイテム集合の一例を説明する図である。
【図１９】本発明の第３の実施の形態において２回目に算出されるアイテムの評価値の一例を示す図である。
【図２０】本発明の第３の実施の形態における２回目の再符号化処理の一例を説明する図である。
【図２１】本発明の第３の実施の形態において２回目に生成される基準アイテム集合の一例を説明する図である。
【図２２】本発明の第３の実施の形態において３回目に算出されるアイテムの評価値の一例を示す図である。
【図２３】本発明の第３の実施の形態における３回目の再符号化処理の一例を説明する図である。
【図２４】関連技術の匿名化処理において用いられるタキソノミーの一例を示す図である。
【図２５】関連技術の匿名化処理の一例を説明する図である。
【発明を実施するための形態】
【００４１】
以下、本発明の実施の形態について、図面を参照して詳細に説明する。
【００４２】
（第１の実施の形態）
本発明の第１の実施の形態としての情報処理装置１の機能ブロック構成を図１に示す。図１において、情報処理装置１は、アイテム評価部１１と、基準アイテム選択部１２と、再符号化部１３とを備える。情報処理装置１は、匿名化対象のデータセット９０に対して、匿名化対象とする１つの集合値属性についてトップダウンアプローチにより再符号化処理を行う。集合値属性とは、１つ以上の属性値（集合値）をとりうる属性である。また、再符号化処理とは、匿名化対象の集合値属性に含まれる情報を匿名化のために加工する処理をいう。
【００４３】
匿名化対象のデータセット９０は、オリジナルな情報内容のままで公開または利用されることが好ましくない個人情報等を含む。このようなデータセット９０は、１つ以上の属性を有するレコード群を含む。また、レコード群が有する属性のうち少なくとも１つは、集合値属性であると仮定する。
【００４４】
ここで、情報処理装置１は、図２に示すように、ＣＰＵ（Central Processing Unit）１００１と、ＲＡＭ（Random Access Memory）１００２と、ＲＯＭ（Read Only Memory）１００３と、ハードディスク等の記憶装置１００４とを含むコンピュータ装置によって構成可能である。この場合、アイテム評価部１１、基準アイテム選択部１２、および、再符号化部１３は、ＲＯＭ１００３または記憶装置１００４に記憶されたコンピュータ・プログラムおよび各種データをＲＡＭ１００２に読み込んで実行するＣＰＵ１００１によって構成される。また、情報処理装置１により匿名化対象とされるデータセット９０は、例えば、記憶装置１００４に記憶されていてもよい。なお、情報処理装置１およびその各機能ブロックのハードウェア構成は、上述の構成に限定されない。
【００４５】
次に、情報処理装置１の各機能ブロックの詳細について説明する。
【００４６】
アイテム評価部１１は、データセット９０を構成するレコード群の有する集合値属性に含まれる各アイテムを表すアイテム情報について、そのアイテム情報を評価する情報を算出する。以下、アイテム情報を評価する情報を、「評価値」とも記載する。また、アイテム情報とは、該当する集合値属性が持つ集合値の要素（アイテム）を表す情報である。例えば、１つ目のレコードにおいて匿名化対象の集合値属性の値が｛ａ，ｂ，ｄ｝であり、２つ目のレコードの同じ集合値属性の値が｛ａ，ｄ，ｆ｝であったと仮定する。この場合、アイテム評価部１１は、４つのアイテム情報ａ，ｂ，ｄ，ｆそれぞれについて評価値を算出する。
【００４７】
例えば、アイテム評価部１１は、各アイテム情報について、そのアイテム情報を基準として後述の再符号化部１３による再符号化が行われたと想定した場合に、再符号化による情報利得の大きさを表す情報を、評価値として算出してもよい。
【００４８】
例えば、多くのアイテムを開示した匿名化データを生成したい場合、情報利得の大きさを表す情報は、アイテムの開示数によって表すことができる。この場合、該当する集合値属性における出現頻度が高いアイテムほど、開示アイテム数を多くすることが期待される。そこで、アイテム評価部１１は、評価値として、各アイテムの出現頻度に基づく情報を採用してもよい。また、アイテム評価部１１は、評価値として、出現の局所性や希少さを評価する情報（エントロピーや逆文書頻度等）を採用してもよい。その他、アイテム評価部１１は、データのクオリティや情報量を評価する指標、データ解析の精度に関連する指標等を、評価値として用いてもよい。
【００４９】
なお、評価対象となる各アイテム情報は、一度も加工されていないオリジナルのアイテムであってもよいし、オリジナルのアイテムが加工された情報であってもよい。
【００５０】
基準アイテム選択部１２は、再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、アイテム評価部１１による評価結果に基づいて選択する。例えば、基準アイテム選択部１２は、データセット９０において出現頻度の最も多いアイテム情報を１つ目の基準アイテム情報として選択し、その基準アイテム情報を含まないレコード群において出現頻度の最も多いアイテム情報を２つ目の基準アイテム情報として選択してもよい。また、同様にして、基準アイテム選択部１２は、３つ目以降の基準アイテム情報を選択してもよい。なお、基準アイテム選択部１２は、必ずしも評価値の最も高いものを基準アイテム情報として選択しなくてもよい。例えば、基準アイテム選択部１２は、評価結果に加えて、そのアイテム情報を基準とした場合の再符号化結果における所定の匿名性も考慮して、基準アイテム情報を選択してもよい。
【００５１】
再符号化部１３は、基準アイテム選択部１２によって選択された１つ以上の基準アイテム情報について再符号化を行う。具体的には、再符号化部１３は、１つ以上の基準アイテム情報について、その基準アイテム情報を集合値属性に含むレコード群を対象として、該当する集合値属性に含まれる基準アイテム情報を再符号化する。  例えば、上述のように、１つ目の基準アイテム情報として、データセット９０において出現頻度の最も多いアイテム情報が選択されている場合を考える。この場合、再符号化部１３は、データセット９０においてその基準アイテム情報を含むレコード群を対象として、該基準アイテム情報を加工すればよい。また、２つ目の基準アイテム情報として、１つ目の基準アイテム情報を含まないレコード群において出現頻度の最も多いアイテム情報が選択されていると仮定する。この場合、再符号化部１３は、１つ目の基準アイテム情報を含まないレコード群において２つ目の基準アイテム情報を含むレコード群を対象として、該基準アイテム情報を加工すればよい。同様にして、再符号化部１３は、３つ目以降の基準アイテム情報に基づく再符号化を行ってもよい。
【００５２】
ここで、基準アイテム情報を再符号化する加工手法としては、詳細化や開示などの任意の加工手法を用いることができる。例えば、再符号化対象とする集合値属性に対して、アイテム情報間の関係を表す情報が与えられている場合、再符号化部１３は、アイテム情報間の関係を用いて基準アイテム情報を加工してもよい。アイテム情報間の関係としては、例えば、タキソノミー（Ｔａｘｏｎｏｍｙ）、分類木、一般化階層（Ｇｅｎｅｒａｌｉｚａｔｉｏｎ  Ｈｉｅｒａｒｃｈｙ）等がある。例えば、タキソノミーを用いる場合、再符号化部１３は、基準アイテム情報をその下位概念に加工することにより詳細化してもよい。また、再符号化部１３は、基準アイテム情報そのものを加工することに限らず、何らかの分布情報に従って基準アイテム情報に関連する他のアイテム情報を加工してもよい。
【００５３】
また、再符号化部１３は、各基準アイテム情報に基づく再符号化結果が所定の匿名性に違反した場合は、再符号化対象のデータセット９０の状態を再符号化前の状態に戻す。この場合、再符号化部１３は、前回とは異なる加工手法によって各基準アイテム情報の再符号化をやり直してもよい。
【００５４】
以上のように構成された情報処理装置１の動作について図３を参照して説明する。
【００５５】
まず、アイテム評価部１１は、匿名化対象のデータセット９０において匿名化対象の集合値属性に含まれる各アイテム情報について、評価値を算出する（ステップＳ１）。
【００５６】
次に、基準アイテム選択部１２は、ステップＳ１において算出された評価値に基づいて、１つ以上の基準アイテム情報を選択する（ステップＳ２）。
【００５７】
次に、再符号化部１３は、ステップＳ２において選択された１つ以上の各基準アイテム情報を集合値属性に含むレコード群を対象として、その基準アイテム情報を再符号化する（ステップＳ３）。
【００５８】
以上で、情報処理装置１は動作を終了する。
【００５９】
次に、本発明の第１の実施の形態の効果について述べる。
【００６０】
本発明の第１の実施の形態としての情報処理装置１は、多次元データに含まれる集合値属性をトップダウンアプローチで匿名化する際に、集合値属性に対する再符号化処理の回数が少ない場合であっても、集合値属性の情報損失をより充分に低減することができる。
【００６１】
その理由は、アイテム評価部が、データセットを構成するレコード群が有する集合値属性の各アイテム情報について評価値を算出し、算出された評価値に基づいて、基準アイテム選択部が再符号化の基準となる１つ以上の基準アイテム情報を選択する。そして、再符号化部が、基準アイテム情報のそれぞれについて、その基準アイテム情報を集合値属性に含むレコード群を対象としてその基準アイテム情報を再符号化する処理を実行するからである。
【００６２】
これにより、本実施の形態は、１回の再符号化処理において１つのアイテム情報にのみ着目する関連技術に比べて、より多くの基準アイテム情報を選択して各基準アイテム情報に基づく再符号化を実行することができる。このため、本実施の形態は、１回の再符号化処理において再符号化の対象とならないレコードの数を、関連技術に比べて大幅に低減させる。その結果、本実施の形態は、集合値属性に対するより少ない回数の再符号化処理で、より多くのレコードにおける集合値属性の情報損失を低減させることになる。
【００６３】
また、さらなる理由は、アイテム評価部が、各アイテムの評価値として情報利得の大きさを表す情報を算出し、基準アイテム選択部が、そのような評価値がより大きいアイテムを基準アイテム情報として選択し、再符号化部が、選択された基準アイテム情報を開示するからである。その結果、本実施の形態は、集合値属性に対するより少ない回数の再符号化処理で、より情報利得の大きい再符号化状態を得ることができる。
【００６４】
（第２の実施の形態）
次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。なお、本実施の形態の説明において参照する各図面において、本発明の第１の実施の形態と同一の構成および同様に動作するステップには同一の符号を付して本実施の形態における詳細な説明を省略する。
【００６５】
まず、本発明の第２の実施の形態としての情報処理装置２の機能ブロック構成を図４に示す。図４において、情報処理装置２は、本発明の第１の実施の形態としての情報処理装置１に対して、アイテム評価部１１に替えてアイテム評価部２１と、基準アイテム選択部１２に替えて基準アイテム選択部２２と、再符号化部１３に替えて再符号化部２３とを備え、さらに、終了要件判断部２４を備える点が異なる。
【００６６】
ここで、情報処理装置２は、図２を参照して説明した本発明の第１の実施の形態としての情報処理装置１と同様のハードウェア要素を含むコンピュータ装置によって構成可能である。この場合、終了要件判断部２４は、ＲＯＭ１００３または記憶装置１００４に記憶されたコンピュータ・プログラムおよび各種データをＲＡＭ１００２に読み込んで実行するＣＰＵ１００１によって構成される。なお、情報処理装置２およびその各機能ブロックのハードウェア構成は、上述の構成に限定されない。
【００６７】
情報処理装置２は、本発明の第１の実施の形態としての情報処理装置１と同様に、匿名化対象のデータセット９０に対して、匿名化対象とする１つの集合値属性について、トップダウンアプローチにより再符号化処理を行う装置である。情報処理装置２の各機能ブロックの詳細について説明する。
【００６８】
終了要件判断部２４は、再符号化部２３による再符号化結果が所定の終了要件を充足しているかどうかを判断する。所定の終了要件とは、例えば、「データセット９０を構成する各レコードが再符号化部２３によって所定回数以上再符号化されること」であってもよい。
【００６９】
その他、所定の終了要件とは、レコード毎の集合値属性を評価する尺度に基づく要件であってもよい。このような終了要件の一例としては、例えば、「”ｋ−匿名性”を満たす再符号化を実施可能な全てのレコードが、情報利得をγ（＞０）以上得ること」という要件が挙げられる。あるいは、「”ｋ−匿名性”を満たす再符号化を実施可能な全てのレコードがｍ（＞０）個以上のアイテムを開示すること」という要件等も挙げられる。
【００７０】
また、所定の終了要件とは、データセット９０全体における集合値属性を評価する尺度に基づく要件であってもよい。このような終了要件の一例としては、例えば、「再符号化対象の集合値属性が情報利得をβ（＞０）以上得ること」という要件が挙げられる。あるいは、「再符号化対象とする集合値属性を用いた分類（Ｃｌａｓｓｉｆｉｃａｔｉｏｎ）またはクラスタリング（Ｃｌｕｓｔｅｒｉｎｇ）等の分析精度がρ（＞０）以上であること」という要件等も挙げられる。
【００７１】
その他、所定の終了要件とは、いくつかの要件を組み合わせたものであってもよい。
【００７２】
アイテム評価部２１、基準アイテム選択部２２、および、再符号化部２３は、各アイテム情報を評価し評価結果に基づき基準アイテム情報を選択して再符号化を行う一連の処理を、終了要件判断部２４によって再符号化結果が終了要件を充足したと判断されるまで繰り返す。
【００７３】
具体的には、アイテム評価部２１は、再符号化結果が終了要件を満たさないと判断されると、各アイテム情報の評価値を再度算出する。ここで、再符号化部２３による再符号化により、データセット９０における各アイテム情報の出現頻度等は、変化していると考えられる。このため、新たに算出される各アイテム情報の評価値も、前回から変化する可能性がある。このように、アイテム評価部２１は、再符号化結果が終了要件を満たさない間、再符号化結果に基づき各アイテム情報の評価値の算出を繰り返す。
【００７４】
なお、アイテム評価部２１は、本発明の第１の実施の形態におけるアイテム評価部１１と同様に、各アイテム情報について、そのアイテム情報を基準とした場合の再符号化による情報利得の大きさを表す情報を、評価値として算出してもよい。例えば、アイテム評価部２１は、そのような情報利得の大きさを表す評価値として、出現頻度、エントロピー、または、逆文書頻度等を表す情報を算出してもよい。また、アイテム評価部２１は、複数の評価尺度を組み合わせて評価値を算出してもよい。
【００７５】
また、アイテム評価部２１は、各アイテムの評価値を、データセット９０全体において算出してもよいし、等価クラス（Ｅｑｕｉｖａｌｅｎｔ  Ｃｌａｓｓ）毎に算出してもよい。等価クラスとは、該当する集合値属性に共通の再符号化値を持つレコード群である。等価クラスは、再符号化部２３により再符号化が行われる度に変化する可能性がある。等価クラスは、集合値属性として共通の再符号化値を持つため、再符号化値に含まれるアイテム情報やその組み合わせから各レコードを識別不能にする。例えば、”ｋ”以上のレコードを含む等価クラスは、”ｋ−匿名性”を充足する。以降、等価クラスを、単にクラスとも記載する。なお、匿名化対象とする集合値属性以外に準識別子などの属性が存在する場合、各クラスは、匿名化対象の集合値属性の再符号化値および他の属性の値が同一であるレコード群によって構成される。
【００７６】
基準アイテム選択部２２は、アイテム評価部２１による評価結果に基づいて、基準アイテム情報を１つずつ選択する。このように、基準アイテム選択部２２は、再符号化結果が終了要件を満たさない間は、新たな評価結果に基づいて基準アイテム情報の選択を繰り返す。これにより、基準アイテム選択部２２は、データセット９０が終了要件を満たすまでの間に、１つ以上の基準アイテム情報を選択することになる。
【００７７】
また、基準アイテム選択部２２は、本発明の第１の実施の形態と同様に、アイテム評価部２１による評価結果に加えて、所定の匿名性も考慮して基準アイテム情報を選択してもよい。具体的には、基準アイテム選択部２２は、評価結果に基づいて選択したアイテム情報を仮に基準アイテム情報とした場合の再符号化結果が所定の匿名性を満たすか否かに基づいて、そのアイテム情報を基準アイテム情報とするか否かを判断してもよい。所定の匿名性とは、例えば、データセット９０が”ｋ−匿名性”を満たすことであってもよい。
【００７８】
また、基準アイテム選択部２２は、各アイテムの評価値がクラス毎に算出される場合、クラス毎に基準アイテム情報を選択してもよい。
【００７９】
もし、評価結果に基づき選択したアイテム情報を基準アイテム情報と仮定した場合の再符号化結果が、所定の匿名性を満たさない場合、基準アイテム選択部２２は、評価結果に基づき他のアイテム情報を基準アイテム情報の候補として選択する。例えば、基準アイテム選択部２２は、次に評価値が大きいアイテム情報を選択し、所定の匿名性を同様に考慮して、基準アイテム情報として採用するか否かを判断してもよい。
【００８０】
例えば、所定の匿名性が”ｋ−匿名性”である場合、出現頻度が”ｋ”未満のアイテム情報は、基準アイテムとして用いた場合の再符号化結果が”ｋ−匿名性”を満たし得ない。この場合、基準アイテム選択部２２は、出現頻度が”ｋ”未満のアイテム情報を基準アイテム情報として選択しない。また、出現頻度が”Ｎ−ｋ”より大きいアイテム情報も、基準アイテムとして用いた場合の再符号化結果が”ｋ−匿名性”を満たさないことがある。ここで、”Ｎ”は、対象クラスを構成するレコード数を表す。したがって、基準アイテム選択部２２は、出現頻度が”Ｎ−ｋ”より大きいアイテム情報を、基準アイテム情報として選択しなくてもよい。
【００８１】
ただし、もし、出現頻度が”Ｎ−ｋ”より大きいアイテム情報が基準アイテム情報として選択される場合、そのクラスにおいてその基準アイテム情報を含まないレコード数が”ｋ”未満となり、”ｋ−匿名性”を満たさない新たなクラスが生成されることになる。このため、それらの”ｋ−匿名性”を満たさないレコード群は削除されることが好ましい。したがって、基準アイテム選択部２２は、出現頻度が”Ｎ−ｋ”より大きいアイテム情報を基準アイテム情報として選択するか否かを、そのアイテム情報を再符号化することにより得られる情報利得の大きさと、そのアイテム情報を含まないレコード群を削除することによる情報損失の大きさとを考慮して決定すればよい。なお、出現頻度がＮに等しいアイテム情報が基準アイテム情報として選択された場合、そのクラスにおいてその基準アイテム情報を含まないレコードは存在しない。したがって、基準アイテム選択部２２は、出現頻度がＮに等しいアイテム情報を基準アイテム情報として選択してよい。
【００８２】
再符号化部２３は、再符号化結果が所定の終了要件を満たすまでの間、新たに基準アイテム情報が選択される度に、その基準アイテム情報に基づく再符号化を繰り返す。例えば、再符号化部２３は、匿名化対象の集合値属性に含まれる全てのアイテムが削除された初期状態から、再符号化結果が所定の終了要件を満たすまで、新たに選択される基準アイテム情報の開示を繰り返す。
【００８３】
なお、アイテム評価部２１、基準アイテム選択部２２、および、再符号化部２３は、終了要件判断部２４によって用いられる終了要件の充足に近づくように、一連の処理を繰り返してもよい。例えば、終了要件として、「データセット９０を構成する各レコードが再符号化部２３によって１回以上再符号化されること」が採用されている場合を考える。この場合、アイテム評価部２１、基準アイテム選択部２２、および、再符号化部２３は、前回までの一連の処理で再符号化の対象とならなかったレコード群を対象として、各アイテム情報の評価、基準アイテム情報の選択、および、再符号化を行ってもよい。
【００８４】
以上のように構成された情報処理装置２の動作について、図５を参照して説明する。
【００８５】
まず、アイテム評価部２１は、対象となるレコード群において、匿名化対象の集合値属性に含まれる各アイテム情報について評価値を算出する（ステップＳ１１）。例えば、対象となるレコード群は、このステップの実行が初回である場合、データセット９０に含まれる全レコード群であってもよい。また、例えば、このステップの実行が２回目以降である場合、対象となるレコード群は、前回までのステップＳ１３において再符号化の対象とならなかったレコード群であってもよい。また、前述のように、アイテム評価部２１は、対象となるレコード群を構成するクラス毎に、各アイテム情報の評価値を算出してもよい。
【００８６】
次に、基準アイテム選択部２２は、ステップＳ１１において算出された評価値および所定の匿名性に基づいて、基準アイテム情報を１つ選択する（ステップＳ１２）。例えば、ステップＳ１１においてクラス毎に評価値が算出されている場合、基準アイテム選択部２２は、いずれかのクラスについて基準アイテム情報を１つ選択すればよい。
【００８７】
次に、再符号化部２３は、匿名化対象の集合値属性に基準アイテム情報を含むレコード群を対象として、該当する集合値属性に含まれる基準アイテム情報を再符号化する（ステップＳ１３）。例えば、ステップＳ１２でいずれかのクラスから基準アイテム情報が選択されている場合、再符号化部２３は、該当するクラスにおいて匿名化対象の集合値属性に基準アイテム情報を含むレコード群を対象として、再符号化を実施すればよい。
【００８８】
次に、終了要件判断部２４は、ステップＳ１３における再符号化結果が、所定の終了要件を満たすか否かを判断する（ステップＳ１４）。例えば、終了要件判断部２４は、データセット９０に含まれる各レコードが所定回数以上再符号化の対象となったか否かを判断してもよい。
【００８９】
ここで、所定の終了要件を満たさないと判断された場合、情報処理装置２は、ステップＳ１１からの処理を繰り返す。
【００９０】
一方、所定の終了要件を満たすと判断された場合、情報処理装置２は、匿名化処理を終了する。
【００９１】
以上で、情報処理装置２は動作を終了する。
【００９２】
次に、情報処理装置２の動作を具体例で示す。
【００９３】
この具体例では、匿名化対象として、図６に示すレコード群からなるデータセット９０を用いる。図６において、データセット９０を構成する９つのレコード群は、集合値属性「薬剤名」を有する。ここでは、この集合値属性「薬剤名」を匿名化対象とする。なお、図６では、説明のため、各レコードにレコード番号を付している。以下、レコード番号がＸであるレコードを、”レコードＸ”とも記載する。
【００９４】
また、この具体例において、情報処理装置２は、各レコードにおいて集合値属性「薬剤名」の全アイテムが秘匿された状態を初期状態として、再符号化処理を開始する。具体的には、図６に示すように、初期状態では、各レコードの集合値属性「薬剤名」は、その集合値の全アイテムが秘匿された状態を表す再符号化値「＊」を格納している。
【００９５】
また、この具体例において、アイテム評価部２１は、各レコードにおいて秘匿されたオリジナルの属性値をアイテム情報として評価する。以下、この具体例では、アイテム情報を単に「アイテム」と記載する。また、基準アイテム選択部２２は、評価されたアイテムの中から基準アイテム情報を選択する。以下、この具体例では、基準アイテム情報を単に「基準アイテム」と記載する。また、再符号化部２３は、基準アイテムとして選択されたオリジナルの属性値（アイテム）を開示することにより再符号化を行う。
【００９６】
また、この具体例において、基準アイテム選択部２２は、アイテム評価部２１による評価結果に加えて、所定の匿名性に基づいて、基準アイテムを選択する。ここでは、所定の匿名性として、”ｋ＝２”における”ｋ−匿名性”を採用する。
【００９７】
また、この具体例において、アイテム評価部２１は、集合値属性「薬剤名」において秘匿されたオリジナルのアイテムそれぞれについて、クラス毎の出現頻度を評価値として算出する。
【００９８】
また、この具体例において、終了要件判断部２４が用いる終了要件として、「すべてのレコードが１回以上再符号化の対象となること」という要件が設定されているとする。なお、終了要件判断部２４は、設定されている終了要件の他、基準アイテム選択部２２により選択可能な基準アイテムが１つもなくなった場合にも、終了要件を満たすと判断する。
【００９９】
また、この具体例において、情報処理装置２は、集合値属性「薬剤名」に対して３回の再符号化処理を実行したと仮定する。以下では、ｎ（ｎは１以上の整数）回目の再符号化処理におけるｍ（ｍは１以上の整数）回目の繰り返し処理を「ｎ−ｍ」とも記載する。
【０１００】
＜１−１：１回目の再符号化処理における１回目の繰り返し処理＞
まず、アイテム評価部２１は、集合値属性「薬剤名」において秘匿されたオリジナルの各アイテムについて、所定の評価値として、クラス毎の出現頻度を算出する。初期状態では、全レコードにおいて集合値属性「薬剤名」の再符号化値が「＊」となっているため、全てのレコードによって１つのクラスが構成される。以降、該当する集合値属性に共通の再符号化値「Ｙ」を持つクラスを、クラス「Ｙ」とも記載する。この場合、データセット９０の初期状態は、１つのクラス「＊」によって構成される。
【０１０１】
そこで、アイテム評価部２１は、図６の初期状態でクラス「＊」に含まれる９つのレコードにおいて、集合値属性「薬剤名」において秘匿された各アイテム「ａ」，「ｂ」，「ｃ」，「ｄ」，「ｅ」，「ｆ」，「ｇ」，「ｘ」，「ｙ」，「ｚ」について出現頻度を評価値として算出する。各アイテムの評価値は、図７の「１−１」列に示す通りとなる（ステップＳ１１）。
【０１０２】
次に、基準アイテム選択部２２は、図７の「１−１」列に示した評価値に基づいて、クラス「＊」における基準アイテムを１つ選択する。図７「１−１」列において、評価値が最大のアイテムは、「ａ」，「ｂ」，「ｃ」である。また、これらの各アイテムの出現頻度は”４”であり、”ｋ”（＝２）以上である。また、このクラス「＊」を構成するレコード数Ｎが９であることから、各アイテムの出現頻度は、”Ｎ−ｋ”以下である。したがって、これらの各アイテムは、仮に基準アイテムとして開示された場合に再符号化後のこのクラスの”ｋ−匿名性”を充足させる。そこで、基準アイテム選択部２２は、これらのアイテムのうちいずれかをこのクラスの基準アイテムとして選択する。例えば、基準アイテム選択部２２は、これらのアイテムからランダムに、「ａ」を基準アイテムとして選択したと仮定する（ステップＳ１２）。
【０１０３】
なお、基準アイテム選択部２２は、基準アイテムとして選択可能な複数のアイテムがある場合、上述のようにそれらのアイテムからランダムに１つを選択してもよい。その他、基準アイテム選択部２２は、それらのアイテムに関する他の評価指標に基づいて、いずれかのアイテムを選択してもよい。
【０１０４】
次に、再符号化部２３は、図８の「１−１」列に示すように、初期状態でのクラス「＊」のうち、集合値属性「薬剤名」に基準アイテム「ａ」を含むレコード１〜４について、アイテム「ａ」を開示することにより再符号化を行う（ステップＳ１３）。
【０１０５】
次に、終了要件判断部２４は、再符号化結果が終了要件を満たすかどうかを判定する。前述のように、終了要件としては、「すべてのレコードが１回以上再符号化の対象となること」が設定されている。ここで、基準アイテム「ａ」を含まないレコード５〜９は、ステップＳ１３の再符号化において対象となっていない。そこで、終了要件判断部２４は、終了要件を満たさないと判断する（ステップＳ１４でＮｏ）。
【０１０６】
そして、情報処理装置２は、ステップＳ１１からの処理を繰り返す。
【０１０７】
＜１−２：１回目の再符号化処理における２回目の繰り返し処理＞
まず、アイテム評価部２１は、前回の繰り返し処理「１−１」において再符号化対象とならなかったレコード群（レコード５〜９）を対象として、各アイテムの評価値をクラス毎に算出する。ここで、前回再符号化の対象とならなかったレコード５〜９では、各レコードの集合値属性「薬剤名」の再符号化値は「＊」となっている。したがって、前回再符号化の対象とならなかった全てのレコード５〜９によって１つのクラス「＊」が構成される。そこで、アイテム評価部２１は、繰り返し処理「１−１」終了後のクラス「＊」の集合値属性「薬剤名」において秘匿された各アイテム「ｂ」，「ｃ」，「ｅ」，「ｆ」，「ｘ」について、このクラスにおける出現頻度を評価値として算出する。各アイテムの評価値は、図７の「１−２」列に示す通りとなる（ステップＳ１１）。
【０１０８】
次に、基準アイテム選択部２２は、図７の「１−２」列に示した評価値に基づいて、このクラスから基準アイテムを１つ選択する。図７「１−２」列において、評価値が最大のアイテムは「ｃ」である。ここで、アイテム「ｃ」の出現頻度は”４”であり、このクラス「＊」を構成するレコード数Ｎは”５”であることから、アイテム「ｃ」の出現頻度は、”Ｎ−ｋ”より大きい。このため、アイテム「ｃ」が仮に開示されたとすると、アイテム「ｃ」が開示されないレコード数”ｋ”未満のクラスが生成されてしまう。したがって、アイテム「ｃ」は、仮に基準アイテムとして開示された場合に、再符号化により生成される新たなクラスの”ｋ−匿名性”を充足させない。
【０１０９】
そこで、図７「１−２」列において、評価値が次に大きいアイテム「ｅ」，「ｘ」が基準アイテムの候補となる。これらの各アイテムの出現頻度は”３”であるため、”ｋ”以上かつ”Ｎ−ｋ”以下である。したがって、これらのアイテムは、仮に基準アイテムとして開示された場合に、再符号化により生成される新たなクラスの”ｋ−匿名性”を充足させる。そこで、基準アイテム選択部２２は、これらのアイテムのうちいずれかをこのクラス「＊」の基準アイテムとして選択する。ここでは、基準アイテム選択部２２は、これらのアイテムからランダムに、「ｅ」を基準アイテムとして選択したと仮定する（ステップＳ１２）。
【０１１０】
次に、再符号化部２３は、図８の「１−２」列に示すように、繰り返し処理「１−１」終了後のクラス「＊」のうち、集合値属性「薬剤名」に基準アイテム「ｅ」を含むレコード６，７，９を対象として、アイテム「ｅ」を開示することにより再符号化を行う（ステップＳ１３）。
【０１１１】
次に、終了要件判断部２４は、再符号化結果が終了要件を満たすかどうかを判定する。ここで、基準アイテム「ａ」および「ｅ」のいずれも含まないレコード５，８は、前回までの繰り返し処理「１−１」および「１−２」で再符号化対象となっていない。そこで、終了要件判断部２４は、終了要件を満たさないと判断する（ステップＳ１４でＮｏ）。
【０１１２】
そして、情報処理装置２は、ステップＳ１１からの処理を繰り返す。
【０１１３】
＜１−３：１回目の再符号化処理における３回目の繰り返し処理＞
まず、アイテム評価部２１は、前回までの繰り返し処理「１−１」および「１−２」において再符号化対象とならなかったレコード５，８を対象として、各アイテムの評価値をクラス毎に算出する。ここで、レコード５，８の集合値属性「薬剤名」の再符号化値は「＊」となっている。したがって、前回再符号化の対象とならなかった全てのレコード５，８によって１つのクラス「＊」が構成される。そこで、アイテム評価部２１は、繰り返し処理「１−２」終了後のクラス「＊」の集合値属性「薬剤名」において秘匿された各アイテム「ｂ」，「ｃ」，「ｆ」について、このクラス「＊」における出現頻度を評価値として算出する。各アイテムの評価値は、図７の「１−３」列に示す通りとなる（ステップＳ１１）。
【０１１４】
次に、基準アイテム選択部２２は、図７の「１−３」列に示した評価値に基づいて、このクラス「＊」から基準アイテムを１つ選択する。ここでは、図７の「１−３」列において、評価値が最大のアイテムは、「ｂ」，「ｃ」である。また、これらの各アイテムの出現頻度は”２”であり、このクラスを構成するレコード数Ｎと等しい。したがって、これらのアイテムは、仮に基準アイテムとして開示された場合、再符号化結果の”ｋ−匿名性”を充足させる。そこで、基準アイテム選択部２２は、これらのアイテムからランダムに、「ｂ」を基準アイテムとして選択したと仮定する（ステップＳ１２）。
【０１１５】
次に、再符号化部２３は、図８の「１−３」列に示すように、繰り返し処理「１−２」終了後のクラス「＊」のうち、集合値属性「薬剤名」に基準アイテム「ｂ」を含むレコード５，８を対象として、アイテム「ｂ」を開示することにより再符号化を行う（ステップＳ１３）。
【０１１６】
次に、終了要件判断部２４は、再符号化結果が終了要件を満たすかどうかを判定する。ここで、これまでの繰り返し処理「１−１」、「１−２」および「１−３」により、データセット９０に含まれる全てのレコードが再符号化された。そこで、終了要件判断部２４は、終了要件を満たすと判断する（ステップＳ１４でＹｅｓ）。
【０１１７】
以上で、情報処理装置２は、１回目の再符号化処理を終了する。これにより、データセット９０において各レコードの再符号化値は、図８の「再符号化結果」の列に示す通りとなった。
【０１１８】
ここで、このデータセット９０を対象として、情報処理装置２が、２回目の再符号化処理を行った場合の動作の具体例を続けて説明する。なお、このデータセット９０が集合値属性「薬剤名」の他にも属性を有している場合、情報処理装置２は、各属性に関する匿名化処理を共存させて行うことが想定される。そのような場合、情報処理装置２は、集合値属性「薬剤名」に対する１回目の再符号化処理を終了後、データセット９０が有する属性の中から、何らかの指標に基づいて、次に再符号化処理を行う属性を選択する。ここでは、情報処理装置２は、次に再符号化処理を行う属性として、同じ集合値属性「薬剤名」を選択したと仮定する。
【０１１９】
＜２−１：２回目の再符号化処理における１回目の繰り返し処理＞
まず、アイテム評価部２１は、データセット９０の集合値属性「薬剤名」において秘匿されたオリジナルの各アイテムについて、クラス毎の評価値を算出する。ここでは、データセット９０は、図８の再符号化結果の列に示す状態となっており、クラス「ａ」と、クラス「ｂ」と、クラス「ｅ」とから構成される。そこで、アイテム評価部２１は、各クラスにおいて集合値属性「薬剤名」において秘匿された各アイテムの出現頻度を評価値として算出する。各アイテムの評価値は、図９の「２−１」列に示す通りとなる（ステップＳ１１）。
【０１２０】
次に、基準アイテム選択部２２は、図９の「２−１」列に示した評価値に基づいて、いずれかのクラスから基準アイテムを１つ選択する。ここでは、クラス「ａ」から基準アイテムを選択すると仮定する。図９「２−１」列において、クラス「ａ」で評価値が最大のアイテムは「ｂ」，「ｄ」，「ｆ」，「ｇ」，「ｙ」である。これらの各アイテムの出現頻度は”２”であり、”ｋ”以上かつ”Ｎ−ｋ”以下である。したがって、これらのアイテムは、仮に基準アイテムとして開示された場合に、再符号化により生成される新たなクラスの”ｋ−匿名性”を充足させる。そこで、基準アイテム選択部２２は、これらのアイテムからランダムに、「ｄ」を基準アイテムとして選択したと仮定する（ステップＳ１２）。
【０１２１】
次に、再符号化部２３は、図１０の「２−１」列に示すように、このクラス「ａ」で集合値属性「薬剤名」に基準アイテム「ｄ」を含むレコード１，３を対象として、アイテム「ｄ」を開示することにより再符号化を行う（ステップＳ１３）。
【０１２２】
次に、終了要件判断部２４は、再符号化結果が終了要件を満たすかどうかを判定する。ここで、基準アイテム「ｄ」を含まないレコードは、ステップＳ１３の再符号化において対象となっていない。そこで、終了要件判断部２４は、終了要件を満たさないと判断する（ステップＳ１４でＮｏ）。
【０１２３】
そして、情報処理装置２は、ステップＳ１１からの処理を繰り返す。
【０１２４】
＜２−２：２回目の再符号化処理における２回目の繰り返し処理＞
まず、アイテム評価部２１は、前回の繰り返し処理「２−１」において再符号化の対象とならなかったレコード群を対象として、各アイテムの評価値をクラス毎に算出する。ここで、再符号化の対象とならなかったレコード群は、クラス「ａ」のうち「２−１」で再符号化の対象とならなかったレコード２，４と、クラス「ｂ」およびクラス「ｃ」とから構成される。ここで、クラス「ｂ」およびクラス「ｅ」における各アイテムの評価値としては、繰り返し処理「２−１」で算出されたものがそのまま採用可能である。そこで、アイテム評価部２１は、クラス「ａ」における残りのレコード２，４（新たなクラス「ａ」）の集合値属性「薬剤名」において秘匿された各アイテム「ｂ」，「ｆ」，「ｇ」，「ｙ」について、クラス「ａ」における出現頻度を評価値として算出する。各アイテムの評価値は、図９の「２−２」列に示す通りとなる（ステップＳ１１）。
【０１２５】
次に、基準アイテム選択部２２は、図９の「２−２」列に示した評価値に基づいて、いずれかのクラスから基準アイテムを１つ選択する。ここでは、基準アイテム選択部２２は、クラス「ａ」から基準アイテムを選択すると仮定する。ここで、クラス「ａ」において「２−２」列で評価値が最大のアイテムは「ｆ」，「ｇ」である。また、これらのアイテムの出現頻度が”２”であり、このクラス「ａ」を構成するレコード数Ｎと等しいことから、これらのアイテムは、仮に基準アイテムとして開示された場合に、再符号化結果の”ｋ−匿名性”を充足させる。そこで、基準アイテム選択部２２は、これらのアイテムからランダムに、「ｆ」をクラス「ａ」の基準アイテムとして選択したと仮定する（ステップＳ１２）。
【０１２６】
次に、再符号化部２３は、図１０の「２−２」列に示すように、このクラス「ａ」において、集合値属性「薬剤名」に基準アイテム「ｆ」を含むレコード２，４を対象として、アイテム「ｆ」を開示することにより再符号化を行う（ステップＳ１３）。
【０１２７】
次に、終了要件判断部２４は、再符号化結果が終了要件を満たすかどうかを判定する。ここで、基準アイテム「ｄ」および「ｆ」のいずれも含まないレコードは、繰り返し処理「２−１」および「２−２」のステップＳ１３において再符号化対象となっていない。そこで、終了要件判断部２４は、終了要件を満たさないと判断する（ステップＳ１４でＮｏ）。
【０１２８】
そして、情報処理装置２は、ステップＳ１１からの処理を繰り返す。
【０１２９】
＜２−３：２回目の再符号化処理における３回目の繰り返し処理＞
まず、アイテム評価部２１は、前回までの繰り返し処理「２−１」および「２−２」で再符号化の対象とならなかった残りのクラス「ｂ」およびクラス「ｅ」を対象として、各アイテムの評価値をクラス毎に算出する。ここで、クラス「ｂ」およびクラス「ｅ」における各アイテムの評価値としては、繰り返し処理「２−１」で算出されたものがそのまま採用可能である。したがって、各アイテムの評価値は、図９の「２−３」列に示す通りとなる（ステップＳ１１）。
【０１３０】
次に、基準アイテム選択部２２は、図９の「２−３」列に示した評価値に基づいて、いずれかのクラスから基準アイテムを１つ選択する。ここでは、クラス「ｅ」から基準アイテムを選択すると仮定する。図９の「２−３」列において、クラス「ｅ」で評価値が最大のアイテムは「ｘ」である。ここで、アイテム「ｘ」の出現頻度が”３”であり、このクラスを構成するレコード数Ｎ（＝３）と等しいことから、このアイテム「ｘ」は、仮に基準アイテムとして開示された場合に、再符号化結果の”ｋ−匿名性”を充足させる。そこで、基準アイテム選択部２２は、クラス「ｅ」の基準アイテムとして「ｘ」を選択する（ステップＳ１２）。
【０１３１】
次に、再符号化部２３は、図１０の「２−３」列に示すように、クラス「ｅ」において集合値属性「薬剤名」に基準アイテム「ｘ」を含むレコード６，７，９を対象として、アイテム「ｘ」を開示することにより再符号化を行う（ステップＳ１３）。
【０１３２】
次に、終了要件判断部２４は、再符号化結果が終了要件を満たすかどうかを判定する。ここで、基準アイテム「ｄ」、「ｆ」または「ｘ」を含まないレコードは、繰り返し処理「２−１」、「２−２」および「２−３」において再符号化対象となっていない。このため、終了要件判断部２４は、終了要件を満たさないと判断する（ステップＳ１４でＮｏ）。
【０１３３】
そこで、情報処理装置２は、ステップＳ１１からの処理を繰り返す。
【０１３４】
＜２−４：２回目の再符号化処理における４回目の繰り返し処理＞
まず、アイテム評価部２１は、前回までの繰り返し処理「２−１」、「２−２」および「２−３」で再符号化対象とならなかった。クラス「ｂ」を対象として、各アイテムの評価値を算出する。ここで、クラス「ｂ」における各アイテムの評価値としては、繰り返し処理「２−１」で算出されたものがそのまま採用可能である。したがって、各アイテムの評価値は、図９の「２−４」列に示す通りとなる（ステップＳ１１）。
【０１３５】
次に、基準アイテム選択部２２は、図９の「２−４」列に示した評価値に基づいて、このクラス「ｂ」から基準アイテムを１つ選択する。図９の「２−４」列において、評価値が最大のアイテムは「ｃ」である。ここで、アイテム「ｃ」の出現頻度が”２”であり、このクラスを構成するレコード数Ｎと等しいことから、このアイテム「ｃ」は、仮に基準アイテムとして開示された場合に、再符号化結果の”ｋ−匿名性”を充足させる。そこで、基準アイテム選択部２２は、クラス「ｂ」の基準アイテムとして「ｃ」を選択する（ステップＳ１２）。
【０１３６】
次に、再符号化部２３は、図１０の「２−４」列に示すように、クラス「ｂ」において集合値属性「薬剤名」に基準アイテム「ｃ」を含むレコード５，８を対象として、アイテム「ｃ」を開示することにより再符号化を行う（ステップＳ１３）。
【０１３７】
次に、終了要件判断部２４は、再符号化後のデータが終了要件を満たすかどうかを判定する。ここで、繰り返し処理「２−１」、「２−２」、「２−３」、および「２−４」により、データセット９０に含まれる全てのレコードが再符号化の対象となった。そこで、終了要件判断部２４は、終了要件が満たされたと判断する（ステップＳ１４でＹｅｓ）。
【０１３８】
以上で、情報処理装置２は、２回目の再符号化処理を終了する。これにより、データセット９０において各レコードの再符号化値は、図１０の「再符号化結果」の列に示す通りとなった。
【０１３９】
ここで、このデータセット９０を対象として、情報処理装置２が、３回目の再符号化処理を行った場合の動作の具体例を続けて説明する。なお、前述したように、情報処理装置２は、集合値属性「薬剤名」に対する２回目の再符号化処理を終了後、データセット９０が有する属性の中から、次に再符号化処理を行う属性として、同じ集合値属性「薬剤名」を選択したと仮定する。
【０１４０】
＜３−１：３回目の再符号化処理における１回目の繰り返し処理＞
まず、アイテム評価部２１は、集合値属性「薬剤名」において秘匿されたオリジナルの各アイテムについて、クラス毎の評価値を算出する。ここでは、データセット９０は、図１０の「再符号化結果」の列に示した状態となっており、クラス「ａ，ｄ」と、クラス「ａ，ｆ」と、クラス「ｂ，ｃ」と、クラス「ｅ，ｘ」とから構成される。そこで、アイテム評価部２１は、各クラスにおいて集合値属性「薬剤名」に出現する各アイテムの出現頻度を評価値として算出する。各アイテムの評価値は、図１１の「３−１」列に示す通りとなる（ステップＳ１１）。
【０１４１】
次に、基準アイテム選択部２２は、図１１の「３−１」列に示した評価値に基づいて、いずれかのクラスから基準アイテムを１つ選択する。ここで、図１１の「３−１」列に示したアイテムのうち、クラス「ａ，ｆ」において評価値が最大のアイテムは「ｇ」である。また、アイテム「ｇ」の出現頻度は”２”であり、このクラスを構成するレコード数Ｎと等しい。このため、このアイテム「ｇ」は、仮に基準アイテムとして開示された場合に、再符号化結果の”ｋ−匿名性”を充足させる。したがって、基準アイテム選択部２２は、クラス「ａ，ｆ」におけるアイテム「ｇ」を、このクラスの基準アイテムとして選択する（ステップＳ１２）。
【０１４２】
次に、再符号化部２３は、図１２の「３−１」列に示すように、このクラス「ａ，ｆ」において集合値属性「薬剤名」に基準アイテム「ｇ」を含むレコード２，４を対象として、アイテム「ｇ」を開示することにより再符号化を行う（ステップＳ１３）。
【０１４３】
次に、終了要件判断部２４は、再符号化後のデータが終了要件を満たすかどうかを判定する。ここで、繰り返し処理「３−１」において、クラス「ａ，ｆ」以外のレコード群はまだ再符号化の対象となっていない。しかしながら、図１１を参照すると、今回基準アイテムとしたアイテム「ｇ」以外には、選択可能な基準アイテムがない。例えば、図１１の「３−１」列において、クラス「ｅ，ｘ」で評価値が最大のアイテム「ｃ」の出現頻度は”２”であるが、クラス「ｅ，ｘ」のレコード数Ｎが３であることから、”Ｎ−ｋ”より大きい。このため、アイテム「ｃ」は、再符号化結果の”ｋ−匿名性”を充足させず、クラス「ｅ，ｘ」の基準アイテムとして選択されない。また、図１１の「３−１」列において、その他の各アイテムは、該当するクラスにおける出現頻度が”ｋ”（＝２）未満である。このため、これらの各アイテムは、再符号化結果の”ｋ−匿名性”を充足させず、基準アイテムとして選択されない。したがって、終了要件判断部２４は、これ以上選択可能な基準アイテムがないため、終了要件を満たすと判断する（ステップＳ１４でＹｅｓ）。
【０１４４】
以上で、情報処理装置２は、３回目の再符号化処理を終了する。これにより、データセット９０において各レコードの再符号化値は、図１２の「再符号化結果」の列に示す通りとなった。
【０１４５】
ここで、もし、情報処理装置２が、集合値属性「薬剤名」に対する３回目の再符号化処理の終了後、次の再符号化処理の対象として他の属性を選択したことを想定する。このとき、他の属性の再符号化処理においてこのデータセット９０の匿名化処理が収束してしまった場合でも、情報処理装置２は、上述の３回の再符号化処理によって、全てのレコードにおいて集合値属性「薬剤名」の情報損失を軽減できたことになる。
【０１４６】
以上で、情報処理装置２の動作の具体例の説明を終了する。
【０１４７】
次に、本発明の第２の実施の形態の効果について述べる。
【０１４８】
本発明の第２の実施の形態としての情報処理装置は、多次元データに含まれる集合値属性をトップダウンアプローチで匿名化する際に、集合値属性に対する再符号化処理の回数が少ない場合であっても、集合値属性の情報損失をより充分に低減することができる。
【０１４９】
その理由は、アイテム評価部が、データセットを構成するレコードの有する集合値属性の各アイテム情報について所定の評価値を算出し、算出された評価値に基づいて、基準アイテム選択部が基準アイテム情報を１つずつ選択する。そして、再符号化部が、基準アイテム情報を開示することにより再符号化を実行する一連の処理を、終了要件判断部によって再符号化結果が所定の終了要件を満たすと判断されるまで繰り返し実行するからである。
【０１５０】
これにより、本実施の形態は、１回の再符号化処理において１つのアイテム情報にのみ着目する関連技術に比べて、再符号化結果が所定の終了要件を満たすまでにより多くの基準アイテム情報を選択して各基準アイテム情報に基づく再符号化を順次実行することができる。その結果、本実施の形態は、１回の再符号化処理において再符号化の対象とならないレコードの数を、関連技術に比べて大幅に低減させることができる。その結果、本実施の形態は、集合値属性に対するより少ない回数の再符号化処理で、より多くのレコードにおける集合値属性の情報損失を低減させることになる。
【０１５１】
（第３の実施の形態）
次に、本発明の第３の実施の形態について図面を参照して詳細に説明する。なお、本実施の形態の説明において参照する各図面において、本発明の第１の実施の形態と同一の構成および同様に動作するステップには同一の符号を付して本実施の形態における詳細な説明を省略する。
【０１５２】
まず、本発明の第３の実施の形態としての情報処理装置３の機能ブロック構成を図１３に示す。図１３において、情報処理装置３は、本発明の第１の実施の形態としての情報処理装置１に対して、アイテム評価部１１に替えてアイテム評価部３１と、基準アイテム選択部１２に替えて基準アイテム選択部３２と、再符号化部１３に替えて再符号化部３３とを備える点が異なる。
【０１５３】
ここで、情報処理装置３は、図２を参照して説明した本発明の第１の実施の形態としての情報処理装置１と同様のハードウェア要素を含むコンピュータ装置によって構成可能である。
【０１５４】
情報処理装置３は、本発明の第１の実施の形態としての情報処理装置１と同様に、匿名化対象のデータセット９０に対して、匿名化対象とする１つの集合値属性についてトップダウンアプローチにより再符号化処理を行う装置である。情報処理装置３の各機能ブロックの詳細について説明する。
【０１５５】
アイテム評価部３１は、匿名化対象の集合値属性に含まれる各アイテム情報について、該アイテムの出現頻度および共起アイテム種類数に基づいて評価値を算出する。ここで、共起アイテム種類数とは、匿名化対象のデータセット９０の集合値属性において、該当するアイテム情報と共起するアイテム情報の種類数である。また、アイテム評価部３１は、本発明の第２の実施の形態と同様に、データセット９０を構成するクラス毎に、各アイテム情報について評価値を算出してもよい。
【０１５６】
例えば、アイテム評価部３１は、各アイテムの評価値として、（「そのクラスにおけるそのアイテム情報の出現頻度」／「データセット９０全体におけるそのアイテム情報の共起アイテム種類数」）を算出してもよい。ここで、“／”は除算を表す。この場合、評価値が高いほど、そのアイテム情報がより局所的により多く存在していることを表しているといえる。
【０１５７】
基準アイテム選択部３２は、アイテム評価部３１による評価結果に基づいて、レコード毎に基準アイテム情報を選択する。これにより、基準アイテム選択部３２は、各レコードの基準アイテム情報からなる基準アイテム集合を生成することになる。
【０１５８】
なお、基準アイテム選択部３２は、本発明の第２の実施の形態と同様に、所定の匿名性も考慮して基準アイテム情報を選択してもよい。この場合、具体的には、基準アイテム選択部３２は、アイテム評価部３１による評価結果に加えて、各アイテム情報を仮に基準とした場合の再符号化結果が所定の匿名性を満たすか否かをさらに考慮する。
【０１５９】
例えば、所定の匿名性が”ｋ−匿名性”である場合、基準アイテム選択部３２は、評価値に基づいて仮に選択したアイテム情報の出現頻度が”ｋ”未満の場合、そのアイテム情報を基準アイテム情報として選択しない。また、基準アイテム選択部３２は、仮に選択したアイテム情報の出現頻度が”Ｎ−ｋ”より大きい場合、そのアイテム情報を基準アイテム情報として選択しなくてもよい。ここで、Ｎは、そのレコードが含まれるクラスを構成するレコード数である。この場合、基準アイテム選択部３２は、本発明の第２の実施の形態における基準アイテム選択部２２と同様に、そのようなアイテム情報を基準アイテム情報とした場合に得られる情報利得の大きさおよび情報損失の大きさを考慮して、基準アイテム情報として選択するか否かを判断すればよい。また、基準アイテム選択部３２は、仮に選択したアイテム情報の出現頻度が、該当するクラスを構成するレコード数Ｎに等しい場合は、そのアイテム情報を基準アイテム情報として選択可能である。
【０１６０】
再符号化部３３は、基準アイテム集合を構成する各基準アイテム情報について再符号化を実行する。つまり、再符号化部３３は、各基準アイテム情報を集合値属性に含むレコード群を対象として、その基準アイテム情報を再符号化する。再符号化部３３は、このような各基準アイテム情報に基づく再符号化を並列実行してもよい。例えば、再符号化部３３は、複数のスレッド、複数のプロセス、または、複数のサーバ等の複数の計算資源に対して、これらの各基準アイテム情報およびその基準アイテム情報を含むレコード群を割り当て、再符号化を実行させてもよい。
【０１６１】
また、再符号化部３３は、各基準アイテム情報に基づく再符号化を行う際に、再符号化結果が所定の匿名性を満たすか否かをさらに考慮してもよい。例えば、再符号化部３３は、基準アイテム集合を構成する各基準アイテム情報について、その基準アイテム情報が選択されたレコード数（選択レコード数）を算出し、選択レコード数に基づいて、再符号化結果が所定の匿名性を満たすか否かを判断してもよい。なお、各基準アイテム情報の選択レコード数は、クラス毎に算出されてもよい。
【０１６２】
また、この場合、再符号化部３３は、基準アイテム集合を構成する基準アイテム情報のうち、選択レコード数が所定の匿名性を満たさない基準アイテム情報については再符号化を実行しなくてもよい。例えば、所定の匿名性が”ｋ−匿名性”である場合、再符号化部３３は、選択レコード数が”ｋ”未満の基準アイテム情報については、再符号化を実行しないようにする。また、再符号化部３３は、選択レコード数が”Ｎ−ｋ”より大きい基準アイテム情報については再符号化を実行しなくてもよい。その場合、再符号化部３３は、そのような基準アイテム情報に基づく再符号化を実行した場合の情報利得の大きさおよび情報損失の大きさを考慮して、その基準アイテム情報に基づく再符号化を実行するか否かを判断してもよい。また、再符号化部３３は、選択レコード数がＮに等しい基準アイテム情報については、再符号化を実行してもよい。また、再符号化部３３は、選択レコード数が”ｋ”以上”Ｎ−ｋ”以下の基準アイテム情報については、再符号化を実行すればよい。
【０１６３】
あるいは、再符号化部３３は、基準アイテム集合を構成する各基準アイテム情報の選択レコード数が所定の匿名性に基づく基準を満たすまで、レコード毎の基準アイテムの選択をやり直すよう基準アイテム選択部３２に通知してもよい。
【０１６４】
以上のように構成された情報処理装置３の動作について、図１４を参照して説明する。
【０１６５】
まず、アイテム評価部３１は、匿名化対象のデータセット９０において匿名化対象とする集合値属性に含まれる各アイテム情報について、共起アイテム種類数および出現頻度に基づく評価値を算出する（ステップＳ３１）。
【０１６６】
例えば、前述のように、アイテム評価部３１は、クラス毎に、各アイテムの評価値として、（「そのクラスにおけるそのアイテム情報の出現頻度」／「データセット９０全体におけるそのアイテム情報の共起アイテム種類数」）を算出してもよい。
【０１６７】
次に、基準アイテム選択部３２は、ステップＳ３１において算出された評価値に基づいて、レコード毎に基準アイテム情報を選択し、基準アイテム集合を生成する（ステップＳ３２）。
【０１６８】
例えば、前述のように、アイテム評価部３１は、各レコードについて、クラス毎の評価値に基づき選択したアイテム情報を仮に基準アイテム情報とした場合の再符号化結果が、所定の匿名性を満たすか否かに基づいて、各レコードの基準アイテム情報を選択してもよい。
【０１６９】
次に、再符号化部３３は、ステップＳ３２において生成された基準アイテム集合を構成する各基準アイテム情報について、それぞれ再符号化を実行する（ステップＳ３３）。例えば、前述のように、再符号化部３３は、各基準アイテム情報の再符号化を、複数の計算資源に割り当てて並列に実行してもよい。
【０１７０】
なお、前述のように、再符号化部３３は、基準アイテム集合を構成する基準アイテム情報のうち、選択レコード数が所定の匿名性に基づく基準を満たさないものについては再符号化を実行しなくてもよい。あるいは、前述のように、再符号化部３３は、基準アイテム集合を構成する各基準アイテム情報の選択レコード数が所定の匿名性に基づく基準を満たすまで、ステップＳ３２をやり直すよう基準アイテム選択部３２に通知してもよい。
【０１７１】
以上で、情報処理装置３は、動作を終了する。
【０１７２】
次に、情報処理装置３の動作を具体例で示す。
【０１７３】
この具体例では、匿名化対象として、本発明の第２の実施の形態の具体例と同様に、図６に示したデータセット９０を用いる。
【０１７４】
また、この具体例では、本発明の第２の実施の形態の具体例と同様に、アイテム情報を単に「アイテム」と記載し、基準アイテム情報を単に「基準アイテム」と記載する。
【０１７５】
また、この具体例において、情報処理装置３は、本発明の第２の実施の形態の具体例と同様に、各レコードにおいて集合値属性「薬剤名」の全アイテムが秘匿された状態を初期状態として、再符号化処理を開始する。
【０１７６】
また、この具体例において、アイテム評価部３１は、これらのレコードの集合値属性「薬剤名」において秘匿されたオリジナルのアイテムそれぞれについて、（「そのクラスにおけるそのアイテムの出現頻度」／「データセット９０全体におけるそのアイテムの共起アイテム種類数」）を評価値として算出する。
【０１７７】
また、この具体例において、基準アイテム選択部３２は、本発明の第２の実施の形態の具体例と同様に、アイテム評価部３１による評価結果に加えて、所定の匿名性を考慮して、基準アイテムを選択する。ここでは、所定の匿名性として、”ｋ”＝２における”ｋ−匿名性”を採用する。
【０１７８】
また、この具体例において、再符号化部３３は、本発明の第２の実施の形態の具体例と同様に、基準アイテムとして選択されたオリジナルの属性値（アイテム）を開示することにより再符号化を行う。
【０１７９】
また、この具体例において、情報処理装置３は、集合値属性「薬剤名」に対して３回の再符号化処理を実行したと仮定する。
【０１８０】
＜１回目の再符号化処理＞
まず、アイテム評価部３１は、集合値属性「薬剤名」において秘匿されたオリジナルの各アイテムについて、出現頻度および共起アイテム種類数に基づく評価値を算出する（ステップＳ３１）。
【０１８１】
このステップでは、最初に、アイテム評価部３１は、データセット９０全体における各アイテムの共起アイテム種類数を算出する。各アイテムの共起アイテム種類数は、図１５に示す通りとなる。そして、アイテム評価部３１は、初期状態では全てのレコードによって構成されるクラス「＊」において、各アイテムの出現頻度を算出する。各アイテムの出現頻度は、図１６の「出現頻度」の列に示す通りとなる。そして、アイテム評価部３１は、各アイテムについて、（「出現頻度」／「共起アイテム種類数」）で表される評価値を算出すればよい。各アイテムの評価値は、図１６の「評価値」の列に示す通りとなる。なお、図１６に示すように、アイテム評価部３１は、出現頻度が”ｋ”（＝２）未満のアイテム「ｚ」については、基準アイテムとして選択されることがないため、評価値の算出を省略してもよい。
【０１８２】
次に、基準アイテム選択部３２は、図１６に示した評価値に基づいて、各レコードから１つの基準アイテムを選択する（ステップＳ３２）。ここで、各レコードについて選択された基準アイテムの一例を図１７に示す。
【０１８３】
図１７において、例えば、レコード１の集合値属性「薬剤名」では、オリジナルのアイテム「ａ」，「ｂ」，「ｄ」，「ｚ」が秘匿されている。基準アイテム選択部３２は、これらのアイテムのうち、レコード１が属するクラス「＊」において評価値が最大のアイテムを１つ選択する。図１６において、これらのアイテムのうち評価値が最大のアイテムは「ａ」および「ｂ」である。ここでは、基準アイテム選択部３２は、これらのアイテムからランダムに「ａ」を、レコード１の集合値属性「薬剤名」の基準アイテムとして選択したと仮定する。同様に、基準アイテム選択部３２は、他の各レコードについても評価値を参照して基準アイテムを１つ選ぶ。
【０１８４】
なお、この具体例では、基準アイテム選択部３２は、出現頻度が”ｋ”未満のアイテム、および、”Ｎ−ｋ”（Ｎはそのクラスのレコード数）より大きく、Ｎより小さいアイテムを基準アイテムとして選択しないと仮定する。つまり、基準アイテム選択部３２は、各レコードについて、その集合値属性に含まれるアイテムのうち出現頻度が”ｋ”以上”Ｎ−ｋ”以下のアイテムの中から、評価値が最大のものを基準アイテムとして選択する。
【０１８５】
このようにして、基準アイテム選択部３２は、各レコードの基準アイテムからなる基準アイテム集合を生成する。具体的には、図１７では、各レコードの基準アイテムとして選択されたアイテムは、「ａ」，「ｃ」，「ｅ」の３つである。したがって、基準アイテム選択部３２は、アイテム「ａ」，「ｃ」，「ｅ」からなる基準アイテム集合を生成したことになる。
【０１８６】
次に、再符号化部３３は、基準アイテム集合を構成する各基準アイテムを用いて再符号化を行う（ステップＳ３３）。ここでは、まず、再符号化部３３は、同一の基準アイテムが選択された選択レコード数を算出する。各選択レコード数は、図１８に示す通りとなる。ここで、前述のように、再符号化部３３は、該当するクラスにおける選択レコード数が”ｋ”以上”Ｎ−ｋ”以下の場合に、その基準アイテムを用いた再符号化を実行する。
【０１８７】
ここでは、図１８において、このクラス「＊」における各基準アイテムの選択レコード数は”ｋ（＝２）”以上”Ｎ（＝９）−ｋ”以下である。そこで、再符号化部３３は、各基準アイテムに基づき再符号化を行う。すなわち、再符号化部３３は、基準アイテム「ａ」が選択されたレコード１〜４を対象として、アイテム「ａ」を開示することにより再符号化を行う。同様にして、再符号化部３３は、レコード５，８を対象として、基準アイテム「ｃ」を開示し、レコード６，７，９を対象として、基準アイテム「ｅ」を開示することにより再符号化を行う。
【０１８８】
なお、再符号化部３３は、ステップＳ３３において、各基準アイテムを含むレコード群の再符号化処理を、複数のスレッドやプロセス、複数のサーバ等の計算資源に分散配置してもよい。もし、複数のサーバを用いてこれらの再符号化処理を行う場合、再符号化部３３は、各サーバに、各基準アイテムおよびその基準アイテムが選択されたレコードを割り当てることにより、再符号化処理を並列実行することができる。
【０１８９】
このようにして、情報処理装置３は、１回目の再符号化処理を終了する。これにより、このデータセット９０における集合値属性「薬剤名」の状態は、図１７の「再符号化結果」の列に示す通りとなった。
【０１９０】
ここで、このデータセット９０を対象として、情報処理装置３が、２回目の再符号化処理を行った場合の動作の具体例を続けて説明する。なお、このデータセット９０が集合値属性「薬剤名」の他にも属性を有している場合、情報処理装置３は、各属性に関する匿名化処理を共存させて行うことが想定される。そのような場合、情報処理装置３は、集合値属性「薬剤名」に対する１回目の再符号化処理を終了後、データセット９０が有する属性の中から、何らかの指標に基づいて次に再符号化処理を行う属性を選択する。ここでは、情報処理装置３は、次に再符号化処理を行う属性として、同じ集合値属性「薬剤名」を選択したと仮定する。
【０１９１】
＜２回目の再符号化処理＞
まず、アイテム評価部３１は、１回目の再符号化処理を終了した状態のデータセット９０について、クラス毎に秘匿された各アイテムの評価値を算出する。ここで、図１７の「再符号化結果」の列に示した状態のデータセット９０は、クラス「ａ」と、クラス「ｃ」と、クラス「ｅ」とからなる。そこで、アイテム評価部３１は、各アイテムの評価値として、（「該当クラスにおける出現頻度」／「データセット９０全体における共起アイテム種類数」）を算出する（ステップＳ３１）。なお、各アイテムのデータセット９０全体における共起アイテム種類数としては、１回目の再符号化処理のステップＳ３１で既に算出した値（図１５）をそのまま採用可能である。そこで、ここでは、まず、アイテム評価部３１は、該当クラスにおける各アイテムの出現頻度を算出する。各アイテムの出現頻度は、図１９の「出現頻度」の列に示す通りとなる。その結果、アイテム評価部３１は、各アイテムの評価値として、図１９の「評価値」の列に示す値をそれぞれ算出する。なお、図１９において、該当するクラスにおいて出現頻度が”ｋ”（＝２）未満のアイテムは、評価値の算出が省略されている。
【０１９２】
次に、基準アイテム選択部３２は、図１９の評価値に基づいて、各レコードから１つの基準アイテムを選択する（ステップＳ３２）。ここで、各レコードについて選択された基準アイテムの一例を図２０に示す。
【０１９３】
図２０において、例えば、レコード１の集合値属性「薬剤名」では、アイテム「ｂ」，「ｄ」，「ｚ」が秘匿されている。これらのアイテムのうち、レコード１が属するクラス「ａ」において評価値が最大のアイテムは「ｄ」である。また、アイテム「ｄ」の出現頻度は、”２”であるため、”ｋ”以上かつ”Ｎ（＝４）−ｋ”以下である。そこで、基準アイテム選択部３２は、レコード１の基準アイテムとしてアイテム「ｄ」を選択する。同様に、基準アイテム選択部３２は、他の各レコードについても基準アイテムを１つ選ぶ。
【０１９４】
このようにして、基準アイテム選択部３２は、各レコードの基準アイテムからなる基準アイテム集合を生成する。具体的には、図２０では、各レコードの基準アイテムとして選択されたアイテムは、「ｂ」，「ｄ」，「ｇ」，「ｘ」の４つである。したがって、基準アイテム選択部３２は、アイテム「ｂ」，「ｄ」，「ｇ」，「ｘ」からなる基準アイテム集合を生成したことになる。
【０１９５】
次に、再符号化部３３は、基準アイテム集合を構成する各基準アイテムを用いて、再符号化を実行する（ステップＳ３３）。ここで、各クラスにおける各基準アイテムの選択レコード数は、図２１に示すように、それぞれ”ｋ”以上”Ｎ−ｋ”以下である。そこで、再符号化部３３は、各基準アイテムに基づき再符号化を行う。具体的には、再符号化部３３は、クラス「ａ」において基準アイテム「ｄ」を含むレコード１，３を対象として、基準アイテム「ｄ」を開示することにより再符号化を行う。同様にして、再符号化部３３は、他の各基準アイテムについての再符号化を行う。なお、１回目の再符号化処理と同様に、再符号化部３３は、これらの各基準アイテムについての再符号化処理を、複数の計算資源を用いて並列実行してもよい。
【０１９６】
このようにして、情報処理装置３は、１回目の再符号化処理を終了する。これにより、このデータセット９０における集合値属性「薬剤名」の状態は、図２０の「再符号化結果」の列に示す通りとなった。
【０１９７】
ここで、このデータセット９０を対象として、情報処理装置３が、３回目の再符号化処理を行った場合の動作の具体例を続けて説明する。前述のように、情報処理装置３は、集合値属性「薬剤名」に対する２回目の再符号化処理を終了後、データセット９０が有する属性の中から、次に再符号化処理を行う属性として、同じ集合値属性「薬剤名」を選択したと仮定する。
【０１９８】
＜３回目の再符号化処理＞
まず、アイテム評価部３１は、２回目の再符号化処理を終了した状態のデータセット９０について、クラス毎に秘匿された各アイテムの評価値を算出する。ここで、図２０の「再符号化結果」の列に示した状態のデータセット９０は、クラス「ａ，ｄ」と、クラス「ａ，ｇ」と、クラス「ｃ，ｂ」と、クラス「ｅ，ｘ」とからなる。そこで、アイテム評価部３１は、２回目の再符号化処理と同様に、各アイテムの評価値として、（「該当クラスにおける出現頻度」／「データセット９０全体における共起アイテム種類数」）を算出する（ステップＳ３１）。なお、各アイテムのデータセット９０全体における共起アイテム種類数は、１回目の再符号化処理のステップＳ３１で既に算出した値（図１５）をそのまま採用可能である。そこで、まず、アイテム評価部３１は、該当クラスにおける各アイテムの出現頻度を算出する。各アイテムの出現頻度は、図２２の「出現頻度」の列に示す通りとなる。その結果、アイテム評価部３１は、各アイテムの評価値として、図２２の「評価値」の列に示す値をそれぞれ算出する。なお、図２２において、該当するクラスにおいて出現頻度が”ｋ”（＝２）未満のアイテムは、評価値の算出が省略されている。
【０１９９】
次に、基準アイテム選択部３２は、図２２の評価値に基づいて、各レコードから基準アイテムを選択する（ステップＳ３２）。ここで、各レコードについて選択された基準アイテムの一例を図２３に示す。
【０２００】
図２３において、例えば、レコード１の集合値属性「薬剤名」では、アイテム「ｂ」および「ｚ」が秘匿されている。しかしながら、図２２の評価値を参照すると、これらのアイテムの出現頻度は、共に”１”であり、”ｋ”未満である。したがって、基準アイテム選択部３２は、レコード１について、選択可能な基準アイテムがないため選択しない。また、例えば、レコード６の集合値属性「薬剤名」では、アイテム「ｃ」が秘匿されている。図２２の評価値を参照すると、このアイテムの出現頻度は、”２”であり、”ｋ”以上であるが、レコード６が属するクラス「ｅ，ｘ」を構成するレコード数Ｎが”３”であるため、”Ｎ−ｋ”より大きい。したがって、基準アイテム選択部３２は、レコード６について、選択可能な基準アイテムがないため選択しない。このように、基準アイテム選択部３２は、レコード３、５〜９についても同様に、基準アイテムを選択しない。
【０２０１】
また、レコード２の集合値属性「薬剤名」では、アイテム「ｆ」および「ｙ」が秘匿されている。図２２の評価値を参照すると、これらのアイテムのうち、レコード２が属するクラス「ａ，ｇ」において評価値が最大のアイテムは「ｆ」である。アイテム「ｆ」の出現頻度は”２”で”ｋ”以上であり、クラス「ａ，ｇ」を構成するレコード数Ｎに等しい。そこで、基準アイテム選択部３２は、レコード２の基準アイテムとして「ｆ」を選択する。同様に、基準アイテム選択部３２は、レコード４の基準アイテムとして「ｆ」を選択する。
【０２０２】
このようにして、基準アイテム選択部３２は、基準アイテム「ｆ」からなる基準アイテム集合を生成する。
【０２０３】
次に、再符号化部３３は、基準アイテム集合を構成する各基準アイテムを用いて各レコードの集合値属性「薬剤名」を再符号化する（ステップＳ３３）。ここでは、基準アイテム集合に含まれる基準アイテムは「ｆ」のみである。基準アイテム「ｆ」が選択された選択レコード数は、クラス「ａ，ｇ」において”ｋ（＝２）”以上であり、かつ、このクラスを構成するレコード数Ｎに等しい。そこで、再符号化部３３は、クラス「ａ，ｇ」において基準アイテム「ｆ」に基づく再符号化を行う。
【０２０４】
以上で、情報処理装置３は、３回目の再符号化処理を終了する。これにより、このデータセット９０における集合値属性「薬剤名」の状態は、図２３の「再符号化結果」の列に示す通りとなった。
【０２０５】
ここで、もし、情報処理装置３が、集合値属性「薬剤名」に対する３回目の再符号化処理の終了後、次の再符号化処理の対象として他の属性を選択したことを想定する。このとき、他の属性の再符号化処理においてこのデータセット９０の匿名化処理が収束してしまった場合でも、情報処理装置３は、上述の３回の再符号化処理によって、全てのレコードにおいて集合値属性「薬剤名」の情報損失を軽減できたことになる。
【０２０６】
次に、本発明の第３の実施の形態の効果について述べる。
【０２０７】
本発明の第３の実施の形態としての情報処理装置は、多次元データに含まれる集合値属性をトップダウンアプローチで匿名化する際に、再符号化処理の回数が少ない場合であっても、より多くのレコードにおける集合値属性の情報損失をより充分に低減するための処理を、より効率的に実行することができる。
【０２０８】
その理由は、基準アイテム選択部が、アイテム評価部による評価結果に基づいてレコード毎に基準アイテム情報を選択して基準アイテム集合を生成し、再符号化部が、基準アイテム集合を生成する各基準アイテム情報について、その基準アイテム情報を集合値属性に有するレコード群に対する再符号化処理を実行するからである。
【０２０９】
ここで、本発明の第２の実施の形態の情報処理装置は、１回の再符号化処理において、アイテム情報の評価、基準アイテムの選択、および、再符号化という一連の処理を繰り返すことにより、より多くのレコードにおける集合値属性の情報損失を低減していた。しかしながら、本発明の第２の実施の形態は、１回の再符号化処理において一連の処理を繰り返すため、計算コストを低減できていなかった。
【０２１０】
これに対して、本発明の第３の実施の形態の情報処理装置は、１回の再符号化処理において、１回の評価結果に基づいてレコード毎に１つの基準アイテムを選択する。したがって、本実施の形態は、１回の評価結果に基づいて選択した１つ以上の各基準アイテムを用いて、それぞれの基準アイテム情報を含むレコード群に対する再符号化処理を並列実行可能とする。これにより、本発明の第２の実施の形態は、１回の再符号化処理に要する計算コストを低減することができる。さらに、本実施の形態は、１つ以上の各基準アイテム情報に基づく再符号化処理を分散並列環境において実行することにより、さらに効率的に再符号化処理を実行することができる。
【０２１１】
なお、上述した本発明の各実施の形態において、基準アイテム選択部が、評価値に加えて考慮する所定の匿名性として”ｋ−匿名性”を採用する例を中心に説明したが、その他の匿名性を考慮してもよい。
【０２１２】
また、上述した本発明の各実施の形態において、アイテム評価部が、各アイテムの出現頻度や共起アイテム種類数に基づく評価値を算出する例を中心に説明したが、その他の指標やそれらの組み合わせに基づく評価値を算出してもよい。
【０２１３】
また、上述した本発明の各実施の形態において、アイテム評価部が、アイテム情報を評価する情報として、１つの値で表される評価値を算出する例を中心に説明した。この他、アイテム情報を評価する情報は、１つの値で表される情報に限らず、複数の情報の組み合わせによって表される情報であってもよい。
【０２１４】
また、上述した本発明の各実施の形態において、再符号化部が、秘匿されたオリジナルのアイテムを開示していくことにより再符号化を行う例を中心に説明したが、再符号化部は、タキソノミーに基づく詳細化など、その他の加工手法により再符号化を行ってもよい。
【０２１５】
また、上述した本発明の各実施の形態において、アイテム評価部が、各レコードにおいて秘匿されているオリジナルの各アイテムについて評価値を算出し、基準アイテム情報が、秘匿されているオリジナルのアイテムの中から基準アイテムを選択する例を中心に説明した。この他、アイテム評価部は、オリジナルのアイテムに限らず、オリジナルの各アイテムが詳細化などにより加工されたアイテム情報について、評価値を算出してもよい。その場合、基準アイテム選択部は、そのようなアイテム情報の中から基準アイテム情報を選択すればよい。
【０２１６】
また、上述した本発明の各実施の形態において、各フローチャートを参照して説明した情報処理装置の動作を、本発明のコンピュータ・プログラムとしてコンピュータ装置の記憶装置（記録媒体）に格納しておき、係るコンピュータ・プログラムを当該ＣＰＵが読み出して実行するようにしてもよい。そして、このような場合において、本発明は、係るコンピュータ・プログラムのコードあるいは記録媒体によって構成される。
【０２１７】
また、上述した各実施の形態は、適宜組み合わせて実施されることが可能である。
【０２１８】
また、本発明は、上述した各実施の形態に限定されず、様々な態様で実施されることが可能である。
【０２１９】
また、上述した各実施の形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出するアイテム評価手段と、
再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記アイテム評価手段による評価結果に基づいて選択する基準アイテム選択手段と、
前記基準アイテム選択手段によって選択された基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する再符号化手段と、
を備えた情報処理装置。
（付記２）
前記再符号化手段による再符号化結果が所定の終了要件を充足するか否かを判断する終了要件判断手段をさらに備え、
前記アイテム評価手段、前記基準アイテム選択手段、および、前記再符号化手段は、前記アイテム情報を評価し、評価結果に基づき前記基準アイテム情報を選択して前記再符号化を行う一連の処理を、前記終了要件判断手段によって前記再符号化結果が前記終了要件を充足したと判断されるまで繰り返す付記１に記載の情報処理装置。
（付記３）
前記終了要件判断手段は、前記データセットを構成するレコードが前記再符号化手段によって所定回数以上再符号化されたことを前記終了要件とする付記２に記載の情報処理装置。
（付記４）
前記アイテム評価手段は、前記終了要件判断手段によって前記再符号化結果が前記終了要件を充足しないと判断された場合に、再符号化の対象とならなかったレコード群の前記集合値属性に含まれるアイテム情報について前記評価を行い、
前記基準アイテム選択手段は、再符号化の対象とならなかったレコード群の前記集合値属性に含まれるアイテム情報から前記基準アイテム情報を選択し、
前記再符号化手段は、再符号化の対象とならなかったレコード群のうち前記基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する付記３に記載の情報処理装置。
（付記５）
前記基準アイテム選択手段は、前記アイテム評価手段による評価結果に基づいて、前記レコード毎に前記基準アイテム情報を選択することにより１つ以上の前記基準アイテム情報を含む基準アイテム集合を生成し、
前記再符号化手段は、前記基準アイテム集合を構成する基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、前記再符号化を実行する付記１に記載の情報処理装置。
（付記６）
前記再符号化手段は、前記基準アイテム集合を構成する基準アイテム情報に基づく前記再符号化を並列実行する付記５に記載の情報処理装置。
（付記７）
前記基準アイテム選択手段は、前記アイテム評価手段による評価結果に基づいて選択した前記アイテム情報を、前記基準アイテム情報と仮定した場合の再符号化結果が所定の匿名性を満たすか否かに基づいて、前記基準アイテム情報を選択する付記１から付記６のいずれか１つに記載の情報処理装置。
（付記８）
前記アイテム評価手段は、前記アイテム情報を評価する情報として、該アイテム情報の出現頻度に基づく情報を算出する付記１から付記７のいずれか１つに記載の情報処理装置。
（付記９）
前記アイテム評価手段は、前記アイテム情報を評価する情報として、該アイテム情報と共起するアイテム情報の種類数に基づく情報を算出する付記１から付記８のいずれか１つに記載の情報処理装置。
（付記１０）
前記アイテム評価手段は、前記集合値属性に共通の再符号化値を持つレコード群である等価クラス毎に、前記アイテム情報を評価する情報を算出し、
前記基準アイテム選択手段は、前記等価クラス毎に、前記１つ以上の基準アイテム情報を選択し、
前記再符号化手段は、前記等価クラス毎に、前記基準アイテム情報に基づく再符号化を実行する付記１から付記９のいずれか１つに記載の情報処理装置。
（付記１１）
データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、アイテム情報を評価する情報を算出し、
再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記評価結果に基づいて選択し、
１つ以上の前記基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する、情報処理方法。
（付記１２）
前記再符号化の結果が所定の終了要件を充足するまで、前記アイテム情報を評価し、評価結果に基づき前記基準アイテム情報を選択して前記再符号化を行う一連の処理を繰り返す付記１１に記載の情報処理方法。
（付記１３）
前記評価結果に基づいて、前記レコード毎に前記基準アイテム情報を選択することにより、１つ以上の前記基準アイテム情報を含む基準アイテム集合を生成し、
前記基準アイテム集合を構成する基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、前記再符号化を実行する付記１１に記載の情報処理方法。
（付記１４）
データセットを構成するレコード群の有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出するアイテム評価処理と、
再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記アイテム評価処理の評価結果に基づいて選択する基準アイテム選択処理と、
前記基準アイテム選択処理で選択された基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する再符号化処理と、
をコンピュータ装置に実行させるコンピュータ・プログラムを記録する記録媒体。
（付記１５）
前記再符号化処理における再符号化結果が所定の終了要件を充足するか否かを判断する終了要件判断処理をさらに前記コンピュータ装置に実行させ、
前記終了要件判断処理において前記再符号化結果が前記終了要件を充足したと判断されるまで、前記アイテム評価処理、前記基準アイテム選択処理、および、前記再符号化処理による一連の処理を繰り返す付記１４に記載のコンピュータ・プログラムを記録する記録媒体。
（付記１６）
前記基準アイテム選択処理において、前記評価結果に基づいて前記レコード毎に前記基準アイテム情報を選択することにより１つ以上の前記基準アイテム情報を含む基準アイテム集合を生成し、
前記再符号化処理において、前記基準アイテム集合を構成する基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、前記再符号化を実行する付記１４に記載のコンピュータ・プログラムを記録する記録媒体。
【０２２０】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
【０２２１】
この出願は、２０１３年５月９日に出願された日本出願特願２０１３−０９９４３３を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【産業上の利用可能性】
【０２２２】
本発明は、例えば、診療情報を扱う情報処理装置に適用できる。
【符号の説明】
【０２２３】
１、２、３    情報処理装置
１１、２１、３１    アイテム評価部
１２、２２、３２    基準アイテム選択部
１３、２３、３３    再符号化部
２４    終了要件判断部
９０    データセット
１００１    ＣＰＵ
１００２    ＲＡＭ
１００３    ＲＯＭ
１００４    記憶装置
【図１】
2014181542.tif 000003
【図２】
2014181542.tif 000004
【図３】
2014181542.tif 000005
【図４】
2014181542.tif 000006
【図５】
2014181542.tif 000007
【図６】
2014181542.tif 000008
【図７】
2014181542.tif 000009
【図８】
2014181542.tif 000010
【図９】
2014181542.tif 000011
【図１０】
2014181542.tif 000012
【図１１】
2014181542.tif 000013
【図１２】
2014181542.tif 000014
【図１３】
2014181542.tif 000015
【図１４】
2014181542.tif 000016
【図１５】
2014181542.tif 000017
【図１６】
2014181542.tif 000018
【図１７】
2014181542.tif 000019
【図１８】
2014181542.tif 000020
【図１９】
2014181542.tif 000021
【図２０】
2014181542.tif 000022
【図２１】
2014181542.tif 000023
【図２２】
2014181542.tif 000024
【図２３】
2014181542.tif 000025
【図２４】
2014181542.tif 000026
【図２５】
2014181542.tif 000027
【手続補正書】
【提出日】平成27年11月9日(2015.11.9)
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項１０
【補正方法】変更
【補正の内容】
【請求項１０】
データセットを構成するレコード群が有する集合値属性に含まれるアイテムを表すアイテム情報について、該アイテム情報を評価する情報を算出するアイテム評価処理と、
再符号化の基準となる１つ以上のアイテム情報（基準アイテム情報）を、前記アイテム評価処理の評価結果に基づいて選択する基準アイテム選択処理と、
前記基準アイテム選択処理で選択された基準アイテム情報について、該基準アイテム情報を前記集合値属性に含むレコード群を対象として、該基準アイテム情報を再符号化する再符号化処理と、
をコンピュータ装置に実行させるコンピュータ・プログラム。
【国際調査報告】
2014181542.tif 000028
2014181542.tif 000029
2014181542.tif 000030
2014181542.tif 000031