(57)【要約】  利用者装置が匿名化後のデータを集約でき、提供元にとっても適切にデータを匿名化するため、本発明の情報処理装置は、他の装置と連携して他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定する汎化方針連携決定手段と、共通汎化方針を基にデータを匿名化する匿名化手段とを含む。
2014185043.tif 000002
【特許請求の範囲】
【請求項１】
他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定する汎化方針連携決定手段と、
前記共通汎化方針を基にデータを匿名化する匿名化手段と
を含む情報処理装置。
【請求項２】
前記汎化方針連携決定手段が、
前記匿名化するデータの少なくとも一部の属性の汎化方針を前記共通汎化方針に決定する
請求項１に記載の情報処理装置。
【請求項３】
前記匿名化手段が、
前記共通汎化方針に加え、前記属性の汎化方針において、前記共通汎化方針に含まれない属性の汎化方針の少なくとも一部を基にデータを匿名化する
請求項２に記載の情報処理装置。
【請求項４】
前記汎化方針連携決定手段が、
前記共通汎化方針として用いる属性を前記他の装置と決定する
請求項２又は請求項３に記載の情報処理装置。
【請求項５】
前記共通汎化方針が、準識別子の汎化方針であり、
前記共通汎化方針が、前記基準識別子の汎化幅及び／又は境界を含む
請求項１乃至請求項４のいずれか１項に記載の情報処理装置。
【請求項６】
前記汎化方針連携決定手段が、
データを匿名化する場合の自装置及び前記他の装置における確保するデータの匿名化の確保の難しさを示す指標である難易度を基に前記共通汎化方針を決定する
請求項１乃至請求項５のいずれか１項に記載の情報処理装置。
【請求項７】
前記難易度を、匿名化するデータサイズ又は匿名性を基に算出する
請求項６に記載の情報処理装置。
【請求項８】
前記汎化方針連携決定手段が、
匿名化手段が用いる汎化方針が前記共通汎化方針であるか否かを判定するための情報である匿名性パラメータを保持する匿名性パラメータ保存手段と、
前記他の装置と共通汎化方針を連携して決定する共通パラメータ設定手段と、
前記共通パラメータ設定手段と前記他の装置との通信を仲介する通信手段と
を含む
請求項１乃至請求項７のいずれか１項に記載の情報処理装置。
【請求項９】
前記匿名化手段が匿名化する匿名化前データを保存する匿名化前データ保存手段と、
前記匿名化手段が匿名化した匿名化済みデータを保存する匿名化済みデータ保存手段と、
前記匿名化済みデータを利用者装置に送信する送信手段と
を含む請求項１乃至請求項８のいずれか１項に記載の情報処理装置。
【請求項１０】
前記汎化方針連携決定手段が、
予め複数の装置の前記共通汎化方針の決定を連携する場合に優先する装置又は優先する汎化方針の属性を決めておく
請求項１乃至請求項９のいずれか１項に記載の情報処理装置。
【請求項１１】
他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定し、
前記共通汎化方針を基にデータを匿名化する
情報匿名化方法。
【請求項１２】
他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定する処理と、
前記共通汎化方針を基にデータを匿名化する処理と
をコンピュータ装置に実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理に関し、特に、データの匿名化に関する。
【背景技術】
【０００２】
近年、多くの個人データが、電子データ化されている。【０００３】
データの電子データ化に伴い、個人データの２次利用の要求が、拡大している。【０００４】
しかし、個人データは、個人に関連した公開したくないデータ（センシティブデータ（ＳＤ：Sensitive Data）、又は、センシティブ属性（Sensitive Attribute））を含む。そのため、個人データの公開には、個人のプライバシーの保護が必要である。【０００５】
匿名化技術は、プライバシーを保護する技術の１つである。データを提供する提供者（提供元）の情報処理装置は、データを匿名化して、データを利用する利用者の装置（以下、「利用者装置」と言う）に送信する。【０００６】
本発明に関連する情報処理装置は、例えば、個人データから、個人を一意に識別する識別子（ＩＤ：Identifier）を削除して、データを公開する。【０００７】
しかし、個人データは、他のデータとの組み合わせると、個人を識別（特定）できるデータを含む場合がある。「準識別子（ＱＩＤ：Quasi-Identifier）」とは、このように、他のデータと組み合わせると個人を識別できるデータである。【０００８】
そのため、本発明に関連する情報処理装置は、提供する個人データを保護するための所定の方針を満たすように、準識別子（ＱＩＤ）を匿名化する。【０００９】
匿名化の方針（汎化方針）は、幾つか提案されている。【００１０】
例えば、「ｋ−匿名性」及び「ｌ−多様性」は、広く用いられている（例えば、特許文献１を参照）。「ｋ−匿名性」は、データの各グループにおいて、同じ準識別子又は準識別子の組を含むデータが、「ｋ」個以上含まれる匿名化を保証する方針である。「ｌ−多様性」は、データの各グループにおいて、センシティブデータが、「ｌ」個以上含まれる匿名化を保証する方針である。【００１１】
その他、例えば、「ｔ−近接性」及び「ｍ−不変性」が、提案されている。「ｔ−近接性」は、グループ間のセンシティブデータの分布における距離と、全属性の分布における距離との差が、「ｔ」以下であることを保証する方針である。「ｍ−不変性」は、データの逐次開示において、同じ準識別情報の組合せのレコードが「m」個以上あり、全てのレコードで違うセンシティブデータを持つことを保証する方針である。【００１２】
そして、匿名化の方針は、組み合わせて用いられる場合もある。【００１３】
なお、「ｋ−匿名化」は、「ｋ−匿名性」を満足する匿名化である。また、「ｌ−多様化」は、「ｌ−多様性」を満足する匿名化である。同様に、「ｔ−近接化」及び「ｍ−不変化」は、「ｔ−近接性」及び「ｍ−不変性」を満足する匿名化である。【００１４】
また、匿名化の手法は、多く提案されている（例えば、非特許文献１を参照）。非特許文献１に記載の「Mondrian Multidimensional」は、準識別子を１つのグループにまとめた後、ｋ−匿名性を満足するように、データを複数のグループに分割する手法である。
【先行技術文献】
【特許文献】
【００１５】
【特許文献１】特開２０１１−１７０６３２号公報
【非特許文献】
【００１６】
【非特許文献１】K. LeFevre, D. J. DeWitt, R. Ramakrishnan, "Mondrian Multidimensional K-Anonymity", Data Engineering, 2006. ICDE '06. Proceedings of the 22nd International Conference, 03-07 April 2006.
【発明の概要】
【発明が解決しようとする課題】
【００１７】
しかし、データの提供者（提供元）は、１つに限らず、複数の場合がある。【００１８】
各提供元の情報処理装置は、データを個別に匿名化して、利用者装置に提供する。【００１９】
そのため、データの提供元が複数ある場合、利用者装置は、複数の提供元の情報処理装置から匿名化済みデータを受信し、匿名化済みデータを集約する必要がある。【００２０】
しかし、提供元が保存するデータは、同じではない。そのため、例えば、提供元が保存するデータの数が異なる場合、本発明に関連する情報処理装置は、異なる汎化方針を基に、データを匿名化する。同様に、データが含むＱＩＤが異なる場合、本発明に関連する情報処理装置は、異なる汎化方針を基に、データを匿名化する。そして、提供元の匿名化の汎化方針が一致しない場合、利用者装置は、本発明に関連する複数の提供元の情報処理装置から受信した匿名化済みデータを集約できない。【００２１】
このように、複数の提供元の情報処理装置がデータを提供する場合、特許文献1及び非特許文献１に記載の手法は、利用者装置が、提供を受けた匿名化済みデータを集約できないという問題点があった。【００２２】
本発明の目的は、上述した課題を解決する情報処理装置、情報匿名化方法、及び、記録媒体を提供することにある。
【課題を解決するための手段】
【００２３】
本発明における一形態の情報処理装置は、他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定する汎化方針連携決定手段と、前記共通汎化方針を基にデータを匿名化する匿名化手段とを含む。【００２４】
本発明における一形態の情報匿名化方法は、他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定し、前記共通汎化方針を基にデータを匿名化する。【００２５】
本発明における一形態のプログラムを記録したコンピュータ読み取り可能な記録媒体は、他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定する処理と、  前記共通汎化方針を基にデータを匿名化する処理とを含むプログラムをコンピュータ装置に実行させる。
【発明の効果】
【００２６】
本発明によれば、利用者装置が匿名化後のデータを集約できる匿名化データを提供できる。
【図面の簡単な説明】
【００２７】
【図１】図１は、本発明に関連する情報処理装置の動作を説明するためのデータを示す図である。
【図２】図２は、本発明に関連する情報処理装置の動作を説明するためのデータを示す図である。
【図３】図３は、本発明における第１の実施形態に係る情報処理装置を含むシステムの構成の一例を示すブロック図である。
【図４】図４は、第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図５】図５は、第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図６】図６は、第１の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。
【図７】図７は、第１の実施形態に係る情報処理装置の動作を説明するためのデータを示す図である。
【図８】図８は、第１の実施形態に係る情報処理装置の動作を説明するためのデータを示す図である。
【図９】図９は、第１の実施形態に係る情報処理装置の別の構成の一例を示すブロック図である。
【発明を実施するための形態】
【００２８】
次に、本発明の実施形態について図面を参照して説明する。
【００２９】
本発明の実施形態を説明する前に、本発明に関連する情報処理装置の動作について説明する。
【００３０】
図１は、本発明に関連する情報処理装置の動作を説明するためのデータを示す図である。
【００３１】
なお、説明の便宜のため、以下の説明において、提供元Ａの情報処理装置を、「提供元Ａ」と言う。同様に、提供元Ｂの情報処理装置を、「提供元Ｂ」と言う。
【００３２】
提供元Ａは、上段左のデータ１０００を匿名化するとする。まず、提供元Ａは、上段中央に示すデータ１００１のように、準識別子（ＱＩＤ１とＱＩＤ２）を１つのグループに匿名化する。そして、提供元Ａは、ＱＩＤ１の中央値である「１２５」を境界として、ＱＩＤ１を２つのグループ（汎化幅「１２０−１２５」と汎化幅「１２６−１２９」）に分け、上段右に示すデータ１００２のように匿名化する。
【００３３】
一方、提供元Ｂは、下段左のデータ２０００を匿名化するとする。まず、提供元Ｂは、下段中央に示すデータ２００１のように、準識別子（ＱＩＤ１とＱＩＤ２）を１つのグループに匿名化する。そして、提供元Ｂは、ＱＩＤ１の中央値である「１２４」を境界として、ＱＩＤ１を２つのグループ（汎化幅「１２０−１２４」と汎化幅「１２５−１２９」）に分け、下段右に示すデータ２００２のように匿名化する。
【００３４】
図２は、本発明に関連する情報処理装置の動作を説明するためのデータを示す図である。
【００３５】
図２に示すように、提供元Ａの匿名化済みデータ１００２と提供元Ｂの匿名化済みデータ２００２は、境界が異なる。そのため、利用者装置は、提供元Ａのグループと提供元Ｂのグループとの繋げ方（マッピング）を、複数想定できる。
【００３６】
例えば、提供元ＢのＱＩＤ１が「１２５−１２９」のグループは、提供元ＡのＱＩＤ１が「１２０−１２５」及びＱＩＤ１が「１２６−１２９」のグループと、共通のＱＩＤを含む。そのため、利用者装置は、受信した匿名化済みデータの提供元ＢのＱＩＤ「１２５−１２９」のグループを、提供元Ａのどちらのグループに繋げるかを決定できない。
【００３７】
このように、複数の提供元の情報処理装置がデータを提供する場合、本発明に関連する情報処理装置は、利用者装置が、提供を受けた匿名化済みデータを集約できないという問題点があった。
【００３８】
そこで、本発明に関連する情報処理装置は、例えば、次に説明する手法を用いて、データを匿名化する。
【００３９】
第１の手法は、次のとおりである。
【００４０】
第１の手法において、本発明に関連する情報処理装置は、予め、共通の汎化方針を保存する。そして、本発明に関連する情報処理装置は、保存する共通の汎化方針を基に、データを匿名化する。
【００４１】
第２の手法は、次のとおりである。
【００４２】
第２の手法において、本発明に関連する情報処理装置は、ＱＩＤを相互に開示する。そして、本発明に関連する情報処理装置は、すべての情報処理装置のＱＩＤを用いて、匿名化の方針を決定する。
【００４３】
しかし、第１の手法を用いる情報処理装置は、保存するデータを、最適には匿名化できないという問題点があった。
【００４４】
具体的に例を用いて説明する。
【００４５】
例えば、情報処理装置は、ＱＩＤが「１」、「８」、「１３」、「１９」の４つのデータを保存するとする。そして、情報処理装置は、「２−匿名性」を満たすとする。
【００４６】
この場合、情報処理装置は、保存するデータを匿名化するために、例えば、「０−９」と「１０−１９」との汎化方針を採用できる。そこで、情報処理装置は、予め、共通の汎化方針として、「０−９」と「１０−１９」を保存するとする。
【００４７】
しかし、その後、情報処理装置は、ＱＩＤが「５」、「７」、「１４」、及び「１７」のデータを追加保存したとする。
【００４８】
すると、情報処理装置は、例えば、「０−５」、「６−９」、「１０−１４」、及び「１５−２０」との汎化方針を基に、データを匿名化して、「２−匿名性」を確保できる。
【００４９】
しかし、第１の手法を用いる情報処理装置は、予め、汎化方針（「０−９」と「１０−１９」）を決定している。そのため、情報処理装置は、汎化方針に従い、データを「１、５、７、８」と「１３、１４、１７、１９」とに分割する。このように、第１の手法を用いる情報処理装置は、最適な匿名化を実施できないという問題点があった。
【００５０】
また、ＱＩＤを含むデータは、提供元にとって財産である。そのため、データの提供元は、他の提供元に、匿名化しない状態でのＱＩＤを含むデータの開示を避けたい。
【００５１】
つまり、第２の手法を用いる情報処理装置は、実際の運用において、実施が難しいという問題点があった。
【００５２】
次に、本発明における実施形態について、図面を参照して説明する。
【００５３】
なお、各図面は、本発明の実施形態を説明するものである。ただし、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。
【００５４】
（第１の実施形態）
図３は、本発明における第１の実施形態に係る情報処理装置１０及び情報処理装置３０を含む情報処理システム４０の構成の一例を示すブロック図である。
【００５５】
情報処理システム４０は、情報処理装置１０と、利用者装置２０と、情報処理装置３０とを含む。情報処理装置１０、利用者装置２０、及び情報処理装置３０は、一般的な通信路、例えば、ネットワーク又はバスを介して接続する。
【００５６】
利用者装置２０は、情報処理装置１０及び情報処理装置３０から匿名化済みデータを受信する。そして、利用者装置２０は、匿名化済みデータを、集約した後、利用する。利用者装置２０は、一般的なデータを処理する装置であれば特に制限はない。そのため、利用者装置２０の詳細な説明を省略する。
【００５７】
情報処理装置１０は、利用者装置２０が匿名化済みデータを集約できるように、データを匿名化し、利用者装置２０に送信する。
【００５８】
情報処理装置３０は、情報処理装置１０と同様の装置である。ただし、情報処理装置１０は、後ほど説明するとおり、他の情報処理装置（例えば、情報処理装置３０）と連携する。そこで、以下の連携の説明を明確にするため、情報処理装置３０は、情報処理装置１０と異なる符号を付した。
【００５９】
そのため、連携の説明において、情報処理装置１０は、連携の主体となる装置として説明する。また、情報処理装置３０は、情報処理装置１０に応答する装置として説明する。つまり、情報処理装置３０は、情報処理装置１０に応答する「他の情報処理装置１０」に相当する。
【００６０】
従って、以下の説明において、情報処理装置１０及び情報処理装置３０の構成及び動作は、相互に入れ替えても良い。
【００６１】
また、以下の説明において、情報処理装置１０と情報処理装置３０とを区別する必要がない場合、情報処理装置１０として説明する。
【００６２】
なお、図３において、情報処理装置１０と情報処理装置３０は、それぞれ１台であるが、その台数は、説明の便宜のための例示である。本実施形態の情報処理装置１０は、複数の情報処理装置３０と連携しても良い。情報処理装置３０も、同様である。つまり、本実施形態に係る情報処理装置１０及び情報処理装置３０を含む情報処理システム４０は、複数の情報処理装置１０及び複数の情報処理装置３０を含んでも良い。
【００６３】
図面を参照して、情報処理装置１０について更に説明する。
【００６４】
図４は、本実施形態の情報処理装置１０の構成の一例を示すブロック図である。
【００６５】
なお、図４において、情報処理装置１０及び情報処理装置３０は、それぞれ１台であるが、その台数は、図３と同様に例示である。
【００６６】
情報処理装置１０は、情報処理装置３０と連携してデータを匿名化する。
【００６７】
そのため、図４に示すように、情報処理装置１０は、匿名化部１１０と、汎化方針連携決定部１２０とを含む。
【００６８】
汎化方針連携決定部１２０は、情報処理装置３０と連携（通信）し、共通化する汎化方針（以下、「共通汎化方針」と言う）を決定する。つまり、汎化方針連携決定部１２０は、「他の情報処理装置１０」と連携して共通汎化方針を決定する。なお、汎化方針連携決定部１２０は、情報処理装置３０と連携して、共通汎化方針を共通化するとも言える。
【００６９】
ここで、共通汎化方針とは、情報処理装置１０と情報処理装置３０とで共通してデータの匿名化に使用する汎化方針である。共通汎化方針は、例えば、ＱＩＤの分割点（境界）又はＱＩＤの分割後のデータの範囲（汎化幅）である。
【００７０】
匿名化部１１０は、汎化方針連携決定部１２０が決定した共通汎化方針を基に、データを匿名化する。
【００７１】
情報処理装置１０は、このように匿名化した匿名化済みデータを、利用者装置２０に送信する。
【００７２】
情報処理装置１０及び情報処理装置３０は、匿名化のための汎化方針が共通である。そのため、利用者装置２０は、受信した匿名化済みデータを集約できる。
【００７３】
なお、情報処理装置１０は、すべての汎化方針を、共通化する必要はない。
【００７４】
情報処理装置１０は、所定の範囲の汎化方針を共通化しても良い。そして、情報処理装置１０は、共通化しない汎化方針（以下、「個別汎化方針」と言う）については、自装置に適するように汎化方針を決定しても良い。
【００７５】
つまり、情報処理装置１０は、共通汎化方針に基づく匿名化に加え、個別汎化方針を基づいてデータを匿名化できる。
【００７６】
また、汎化方針連携決定部１２０は、共通汎化方針を連携して決定する機能に加え、データの属性に関する情報を保存しても良い。
【００７７】
例えば、汎化方針連携決定部１２０は、匿名化するデータの属性の種類に関する情報を保存しても良い。ここで、属性の種類は、特に制限はない。例えば、次のような属性の種類が想定できる。
【００７８】
（１）識別子
（２）汎化方針を共通化するＱＩＤ（共通ＱＩＤ）
（３）汎化方針を共通化しないＱＩＤ
（４）その他
汎化方針連携決定部１２０は、保存された上記情報を基に、匿名化部１１０が用いる汎化方針が、共通汎化方針か否かを判断しても良い。
【００７９】
なお、匿名化部１１０は、データの匿名化に、汎化方針連携決定部１２０が保存する情報を用いても良い。例えば、データから識別子を削除する場合、匿名化部１１０は、汎化方針連携決定部１２０が保存する識別子に相当する属性であるとの情報を基に、削除する属性を判別しても良い。
【００８０】
図面を参照して、情報処理装置１０について、更に説明する。
【００８１】
図５は、情報処理装置１０の構成の一例を示すブロック図である。
【００８２】
図５において、図４と同様の構成には同様の番号を付している。
【００８３】
情報処理装置１０は、匿名化部１１０と、汎化方針連携決定部１２０と、匿名化前データ保存部１６０と、匿名化済みデータ保存部１７０と、送信部１８０とを含む。
【００８４】
匿名化前データ保存部１６０は、匿名化前データを保存する。情報処理装置１０は、匿名化前データを匿名化後、利用者装置２０に送信する。
【００８５】
匿名化部１１０は、既に説明したとおり、匿名化前データを匿名化において、汎化方針連携決定部１２０が決定した共通汎化方針を基に匿名化前データを匿名化し、匿名化済みデータを作成する。また、既に説明したとおり、匿名化部１１０は、共通汎化方針に加え、個別汎化方針を用いてデータを匿名化しても良い。さらに、匿名化部１１０は、データを匿名化に、汎化方針連携決定部１２０が保存する情報を用いても良い。
【００８６】
そして、匿名化部１１０は、匿名化済みデータを、匿名化済みデータ保存部１７０に保存する。また、匿名化部１１０は、利用者装置２０からの要求に対応し、匿名化済みデータを送信部１８０に送る。なお、匿名化部１１０は、匿名化の途中のデータを、匿名化済みデータ保存部１７０に保存しても良い。
【００８７】
匿名化済みデータ保存部１７０は、匿名化部１１０が匿名化した匿名化済みデータを保存する。
【００８８】
送信部１８０は、匿名化部１１０から受け取った匿名化済みデータを利用者装置２０に送信する。そのため、送信部１８０は、利用者装置２０との通信を制御する。なお、送信部１８０は、匿名化部１１０を介さず、匿名化済みデータ保存部１７０から匿名化済みデータを受け取り、匿名化済みデータを利用者装置２０に送信しても良い。
【００８９】
汎化方針連携決定部１２０は、既に説明したとおり、情報処理装置３０との間で、匿名化部１１０が用いる共通汎化方針を決定する。そのため、汎化方針連携決定部１２０は、匿名性パラメータ保存部１３０と、共通パラメータ設定部１４０と、通信部１５０とを含む。
【００９０】
匿名性パラメータ保存部１３０は、既に説明した属性の種類に関する情報、例えば、汎化方針連携決定部１２０が情報処理装置３０と汎化方針を共通化するＱＩＤ（共通ＱＩＤ）に関する情報を保存する。つまり、匿名性パラメータ保存部１３０は、匿名化部１１０が用いる汎化方針が、共通汎化方針であるか否か判定するための情報（匿名性パラメータ）を保持する。なお、匿名性パラメータ保存部１３０は、既に説明したその他の種類、例えば、汎化方針を共通化しないＱＩＤに関する情報、又は、その他の属性に関する情報を保存しても良い。
【００９１】
なお、本説明において、匿名性パラメータ保存部１３０は、予め、情報が設定されているとする。例えば、情報処理装置１０の管理者などが、情報処理装置１０を操作して、匿名性パラメータ保存部１３０に、情報を保存（設定）すれば良い。
【００９２】
共通パラメータ設定部１４０は、情報処理装置３０と連携し、匿名性パラメータ保存部１３０が保存する情報を基に、共通汎化方針（共通パラメータ）を決定する。
【００９３】
具体例を用いて、共通パラメータ設定部１４０について更に次の仮定の下に説明する。
【００９４】
第１に、情報処理装置１０のデータは、匿名化する対象の準識別子として、ＱＩＤ１とＱＩＤ２とを含む。第２に、匿名性パラメータ保存部１３０には、ＱＩＤ１の汎化方針を、連携して決定するための情報が、設定されている。つまり、匿名性パラメータ保存部１３０には、ＱＩＤ１を共通化するという情報が、設定されている。第３に、匿名性パラメータ保存部１３０には、ＱＩＤ２の汎化方針の決定を連携しないための情報が、設定されている。つまり、匿名性パラメータ保存部１３０には、ＱＩＤ２を共通化しないという情報が、設定されている。したがって、ＱＩＤ１は、共通ＱＩＤであり、ＱＩＤ１の汎化方針は、共通汎化方針である。また、ＱＩＤ２は、共通ＱＩＤでなく、ＱＩＤ２の汎化方針は、個別汎化方針である。
【００９５】
まず、情報処理装置１０が、連携を開始する場合について説明する。
【００９６】
ＱＩＤ１を用いてデータを匿名化する場合について説明する。
【００９７】
まず、共通パラメータ設定部１４０は、匿名性パラメータ保存部１３０が保存する情報を基に、ＱＩＤ１が共通ＱＩＤであるか否かを判定する。今の場合、ＱＩＤ１は、共通ＱＩＤである。そこで、共通パラメータ設定部１４０は、情報処理装置３０と、共通汎化方針（ＱＩＤ１の汎化方針）の共通化のための連携を開始する。
【００９８】
情報処理装置３０から共通汎化方針を受信した場合、共通パラメータ設定部１４０は、自装置の共通汎化方針と受信した共通汎化方針とを基に、匿名化に用いる共通汎化方針を決定する。
【００９９】
情報処理装置３０から共通汎化方針を受信できない場合、共通パラメータ設定部１４０は、連携を諦める。この場合、情報処理装置１０は、以下で説明する個別汎化方針と同様に、データを匿名化する。
【０１００】
一方、ＱＩＤ２の用いる場合について説明する。
【０１０１】
共通パラメータ設定部１４０は、ＱＩＤ２が共通ＱＩＤであるか否かを、匿名性パラメータ保存部１３０が保存する情報を基に判定する。今の場合、ＱＩＤ２は、共通ＱＩＤではない。そこで、共通パラメータ設定部１４０は、情報処理装置３０と連携しない。この場合、情報処理装置１０は、個別汎化方針（ＱＩＤ２の汎化方針）を基に、データを匿名化する。
【０１０２】
次に、情報処理装置１０が連携の依頼を受けた場合、つまり、情報処理装置３０が連携を開始した場合について説明する。
【０１０３】
まず、情報処理装置３０から連携の通知を受けた場合、共通パラメータ設定部１４０は、匿名性パラメータ保存部１３０が保存する情報を基に、共通化するか否かを判断する。
【０１０４】
そして、情報処理装置３０から共通化可能な汎化方針（共通汎化方針：例えば、ＱＩＤ１の汎化方針）での連携を受信した場合、共通パラメータ設定部１４０は、自装置の共通汎化方針を、情報処理装置３０に送信する。そして、情報処理装置１０は、受信した共通汎化方針と自装置の共通汎化方針とを基に、匿名化に用いる共通汎化方針を決定する。
【０１０５】
一方、情報処理装置３０から共通化できない汎化方針（個別汎化方針：例えば、ＱＩＤ２の汎化方針）での連携の通知を受けた場合、共通パラメータ設定部１４０は、情報処理装置３０に応答しない。ただし、情報処理装置１０は、情報処理装置３０に、連携しないことを通知しても良い。
【０１０６】
なお、共通パラメータ設定部１４０は、受信した汎化方針の内容を基に、連携するか否かを決めても良い。
【０１０７】
通信部１５０は、共通パラメータ設定部１４０の情報処理装置３０との通信を仲介する。そのため、通信部１５０は、情報処理装置３０の通信部１５０との通信を制御する。
【０１０８】
次に、情報処理装置１０における共通汎化方針を基にした匿名化の動作について、図面を参照して説明する。
【０１０９】
図６は、第１の実施形態に係る情報処理装置１０の匿名化動作の一例を示すフローチャートである。
【０１１０】
なお、図６の説明において、汎化方針は、一例としてＱＩＤの分割点（境界）として説明する。つまり、情報処理装置１０は、ＱＩＤの分割点を共通化する。
【０１１１】
また、情報処理装置１０が確保する匿名性は、予め決められているとする。また、共通化するＱＩＤ（共通ＱＩＤ）は、予め、匿名性パラメータ保存部１３０に保存済みとする。
【０１１２】
また、情報処理装置１０は、連携する情報処理装置３０（例えば、連携する装置の数とそのアドレス）を知っているとする。
【０１１３】
まず、情報処理装置１０の匿名化部１１０は、匿名化前データ保存部１６０が保存するデータを基に、分割するＱＩＤを決定する（ステップＳ２１０）。例えば、匿名化部１１０は、最も値の範囲（レンジ）が広いＱＩＤを選択しても良い。あるいは、匿名化部１１０は、ラウンドロビン式に、順番にＱＩＤを選択しても良い。
【０１１４】
次に、匿名化部１１０は、決定したＱＩＤの汎化方針を共通パラメータ設定部１４０に送る。例えば、匿名化部１１０は、ＱＩＤの分割点（境界）を決定し、ＱＩＤと境界とを、汎化方針として、共通パラメータ設定部１４０に送付する。
【０１１５】
共通パラメータ設定部１４０は、匿名性パラメータ保存部１３０が保存する情報を基に、受信したＱＩＤが共通ＱＩＤであるか否かを判定する（ステップＳ２２０）。
【０１１６】
共通ＱＩＤの場合（ステップＳ２２０で「ＹＥＳ」）、共通パラメータ設定部１４０は、通信部１５０を介して、汎化方針（例えば、共通ＱＩＤの分割点（境界））を、情報処理装置３０と共通化する（ステップＳ２３０）。
【０１１７】
例えば、共通パラメータ設定部１４０は、次のように動作する。
【０１１８】
共通パラメータ設定部１４０は、情報処理装置３０に、ステップＳ２１０で決定したＱＩＤでの共通化（例えば、ＱＩＤを分割すること）を通知する。つまり、共通パラメータ設定部１４０は、ＱＩＤでの共通化の連携を通知する。そして、共通パラメータ設定部１４０は、情報処理装置３０から、連携についての応答を待つ。
【０１１９】
すべての情報処理装置３０から連携するとの応答を受けた場合、共通パラメータ設定部１４０は、共通汎化方針（例えば、共通ＱＩＤの分割の境界）を、情報処理装置３０に通知する。そして、共通パラメータ設定部１４０は、情報処理装置３０から共通汎化方針の通知を待つ。すべての情報処理装置３０から共通汎化方針を受信すると、共通パラメータ設定部１４０は、ステップＳ２４０に進む。
【０１２０】
一部の情報処理装置３０から連携するとの応答を受け、その他の情報処理装置３０から連携しないとの応答を受けた場合、情報処理装置１０は、連携するとの応答した情報処理装置３０と、上記と同様に、共通汎化方針の共通化を連携すれば良い。ただし、一部の情報処理装置３０との連携の場合、情報処理装置１０は、連携をやめても良い。その場合、情報処理装置１０は、次に説明するすべての情報処理装置３０から連携しないとの応答を受けた場合と同様に動作すれば良い。
【０１２１】
すべての情報処理装置３０から連携しないとの応答を受けた場合、共通パラメータ設定部１４０は、後ほど説明する個別汎化方針の場合と同様に動作すれば良い。例えば、共通パラメータ設定部１４０は、匿名化部１１０から受け取った汎化方針を、匿名化部１１０に戻す。
【０１２２】
なお、共通パラメータ設定部１４０は、共通汎化方針の共通化の連携において、通信の開始として、連携の通知の送信に限る必要はない。共通パラメータ設定部１４０は、例えば、予め、共通化する汎化方針を決めず、情報処理装置３０と、交渉して、連携して共通化する共通汎化方針を決めても良い。あるいは、共通パラメータ設定部１４０は、共通汎化方針と別の通知としてＱＩＤの共通化の連携の通知を送信せず、共通汎化方針と連携の通知とを合わせて送信しても良い。あるいは、情報処理装置１０は、予め、共通汎化方針の送信が、連携の通知を兼ねると決めておいても良い。
【０１２３】
すべての共通汎化方針を受信後、共通パラメータ設定部１４０は、受け取った共通汎化方針を基に、データの匿名化に用いる汎化方針を決定する（ステップＳ２４０）。例えば、共通汎化方針がＱＩＤの境界の場合、情報処理装置１０は、受信したＱＩＤの境界の平均値を汎化方針としても良い。
【０１２４】
情報処理装置３０も、受信した共通汎化方針を基に汎化方針を決定する。そのため、情報処理装置１０及び情報処理装置３０は、匿名化に用いる汎化方針として、同じ汎化方針（例えば、ＱＩＤの境界）を算出する。
【０１２５】
このように、情報処理装置１０及び情報処理装置３０は、匿名化のための汎化方針を連携して決定する。
【０１２６】
汎化方針の決定後、共通パラメータ設定部１４０は、決定した汎化方針を匿名化部１１０に返す。
【０１２７】
なお、例えば、ネットワークの障害又は情報処理装置３０の障害のため、共通パラメータ設定部１４０は、情報処理装置３０から共通汎化方針を受け取れない場合がある。
【０１２８】
そこで、情報処理装置３０から共通汎化方針が送られてこない場合、共通パラメータ設定部１４０は、匿名化部１１０から受け取った境界を、汎化方針として、匿名化部１１０に返しても良い。つまり、情報処理装置１０は、汎化方針を連携して決定できない場合、匿名化部１１０が決定した汎化方針を用いてデータを匿名化しても良い。
【０１２９】
あるいは、情報処理装置１０は、利用者装置２０に、障害を通知しても良い。
【０１３０】
一方、受信したＱＩＤが、共通ＱＩＤでない場合（ステップＳ２２０で「ＮＯ」）、共通パラメータ設定部１４０は、匿名化部１１０から受け取った境界を、汎化方針として、匿名化部１１０に戻す。
【０１３１】
匿名化部１１０は、共通パラメータ設定部１４０から受け取った汎化方針を基に、ＱＩＤを分割する（ステップＳ２５０）。
【０１３２】
つまり、共通ＱＩＤ場合、情報処理装置１０は、情報処理装置３０と連携し、共通汎化方針を基に、データを匿名化する。一方、共通ＱＩＤでない場合、情報処理装置１０は、情報処理装置３０と連携しないで、自装置が決定した汎化方針を基に、データを匿名化する。
【０１３３】
分割後、匿名化部１１０は、データの匿名性を確認する（ステップＳ２６０）。
【０１３４】
匿名性を満たす場合（ステップＳ２６０で「ＹＥＳ」）、匿名化部１１０は、次のＱＩＤの分割に進む（ステップＳ２１０）。情報処理装置１０は、匿名性を満たす限り、分割を繰り返す。
【０１３５】
匿名性を満たさない場合（ステップＳ２６０で「ＮＯ」）、匿名化部１１０は、直前の分割をキャンセルし、匿名化処理を終了する（ステップＳ２７０）。
【０１３６】
そして、前回の分割が共通ＱＩＤの場合、情報処理装置１０は、連携した情報処理装置３０に、汎化のキャンセルを通知する。
【０１３７】
ただし、前回の分割が共通ＱＩＤの場合、情報処理装置１０は、情報処理装置３０と連携し、分割点を変更しても良い。
【０１３８】
また、情報処理装置１０は、匿名化処理の終了後、情報処理装置３０に連携の終了を通知しても良い。
【０１３９】
このように、情報処理装置１０は、匿名化において、共通化する汎化方針の場合、情報処理装置３０と連携し、汎化方針を決定する。
【０１４０】
図７は、情報処理装置１０の汎化方針を決定する動作を説明のためのデータを示す図である。
【０１４１】
図７の上段が、例えば、情報処理装置１０（図７の装置Ａ）のデータを示す。図７の下段が、別の情報処理装置１０（つまり情報処理装置３０であり、図７の装置Ｂ）のデータを示す。
【０１４２】
なお、本説明において、情報処理装置１０は、共通化するＱＩＤを事前に連絡済みとして説明する。具体的には、図７に示すＱＩＤ１が、共通ＱＩＤである。
【０１４３】
匿名化部１１０は、まず、データ３０００及びデータ４０００を、最も匿名化した状態のデータ３００１及びデータ４００１に匿名化する。つまり、匿名化部１１０は、各ＱＩＤを1つのグループに匿名化する。
【０１４４】
図７の中央に示すデータ３００１及びデータ４００１が、ＱＩＤ１及びＱＩＤ２の最初の匿名化状態である。
【０１４５】
次に、匿名化部１１０は、ＱＩＤ１の分割点（境界）を決定する。例えば、装置Ａの匿名化部１１０は、データ３００１のＱＩＤ１の平均「１２５」を境界と決定する。同様に、装置Ｂの匿名化部１１０は、データ４００１のＱＩＤ１の平均「１２４」を境界と決定する。
【０１４６】
なお、この説明では、情報処理装置１０は、境界として、ＱＩＤ１の平均を算出した。しかし、情報処理装置１０は、境界の決め方を特に制限はない。
【０１４７】
例えば、情報処理装置１０は、ＱＩＤ１の各グループの中で最もサイズが大きな（レコード数が多い）グループの平均を境界としてもよい。図７に示すデータ３００１及びデータ４００１は、最初の状態で、グループ数が１つであり、グループのサイズは５である。つまり、図７に示す装置Ａ及び装置Ｂのグループは、それぞれ、最もサイズが大きなグループである。そして、装置Ａと装置Ｂは、最もサイズが大きなグループの平均を算出し、境界として、それぞれ「１２５」と「１２４」とを決定した。
【０１４８】
また、情報処理装置１０は、境界として、一番サイズが大きな（レコード数が多い）グループの平均に限る必要はない。例えば、情報処理装置１０は、境界として、グループの中央値を用いても良い。あるいは、情報処理装置１０は、範囲が広いグループなど、別のグループを選択しても良い。
【０１４９】
次に、匿名化部１１０は、ＱＩＤ１と境界とを共通パラメータ設定部１４０に送る。
【０１５０】
共通パラメータ設定部１４０は、ＱＩＤ１が共通ＱＩＤか否か判定する。ここで、ＱＩＤ１は、共通ＱＩＤである。
【０１５１】
そこで、装置Ａの共通パラメータ設定部１４０及び装置Ｂの共通パラメータ設定部１４０は、共通汎化方針であるＱＩＤ１の境界を、通信部１５０を介して、相互に通信する。例えば、装置Ａは、ＱＩＤ１の平均「１２５」を送信し、装置ＢのＱＩＤ１の平均「１２４」を受信する。
【０１５２】
そして、共通パラメータ設定部１４０は、自装置の共通汎化方針と、受け取ったすべての共通汎化方針、つまりすべてのＱＩＤ１の境界を基に、共通汎化方針を決定する。例えば、装置Ａと装置Ｂは、それぞれの境界の平均（１２４＝（１２４＋１２５）／２の小数点以下切捨て）を共通汎化方針とする。
【０１５３】
そして、共通パラメータ設定部１４０は、決定した汎化方針（共通汎化方針）を、匿名化部１１０に返す。
【０１５４】
匿名化部１１０は、受け取った汎化方針（ここでは、ＱＩＤ１の境界「１２４」）を基にデータを匿名化する。
【０１５５】
図７の右に示すデータ３００２及びデータ４００２が、共通汎化方針（ＱＩＤ１の「１２４」）を基に匿名化されたデータである。
【０１５６】
図８は、本実施形態の情報処理装置１０の匿名化動作を説明するためのデータを示す図である。図８は、データの比較が容易なように、装置Ａのデータ３００２と装置Ｂのデータ４００２とを並べて表示する。
【０１５７】
図８から明らかなように、装置Ａの匿名化済みデータ３００２と装置Ｂの匿名化済みデータ４００２とは、データの境界が一致している。そのため、利用者装置２０は、データを集約できる。
【０１５８】
このように、本実施形態の情報処理装置１０は、データを匿名化する。
【０１５９】
本実施形態の情報処理装置１０の効果について説明する。
【０１６０】
情報処理装置１０は、利用者装置２０が匿名化後のデータを集約でき、データの提供元にとってもデータを適切に匿名化して提供する効果を得ることができる。
【０１６１】
その理由は、次のとおりである。
【０１６２】
情報処理装置１０の汎化方針連携決定部１２０は、匿名化において、共通化する共通汎化方針を情報処理装置３０（つまり、他の情報処理装置１０）と連携し、決定する。さらに、汎化方針連携決定部１２０は、匿名化部１１０が決定したその時点での最適な汎化方針を通知する。そのため、汎化方針連携決定部１２０は、予め汎化方針を決定する場合に比べ、より適切な汎化方針を決定できる。そして、情報処理装置１０の匿名化部１１０は、連携して決定した共通汎化方針を基に、データを匿名化できるためである。そのため、利用者装置２０は、匿名化後のデータを集約できる。
【０１６３】
また、情報処理装置１０は、データを情報処理装置３０に送信しなくても匿名化できる。
【０１６４】
その理由は、次のとおりである。
【０１６５】
情報処理装置１０は、情報処理装置３０に共通汎化方針を送信し、共通汎化方針を決定できる。そして、情報処理装置１０は、共通汎化方針を基にデータを匿名化できる。このように、情報処理装置１０は、データを情報処理装置３０に送信しなくても、データを匿名化できるためである。
【０１６６】
＜変形例１＞
以上の説明に含まれない、情報処理装置１０の動作の変形例を説明する。
【０１６７】
利用者装置２０が、データを集約するため、情報処理装置１０は、共通汎化方針のデータの値を、同じ汎化後の値とすること（グローバルリコーディング：Global Re-Coding）が必要である。
【０１６８】
一方、情報処理装置１０は、個別汎化方針のデータの値を、グローバルリコーディングを満足するように匿名化する必要はない。情報処理装置１０は、個別汎化方針のデータ値を、異なる汎化後の値（ローカルリコーディング：Local Re-Coding）としても良い。
【０１６９】
また、情報処理装置１０は、範囲の設定や大小判定が容易な数値データに加え、カテゴリ分類できるデータ（名称や嗜好など）を用いて匿名化しても良い。
【０１７０】
また、データが、カテゴリ分類できるデータの場合、情報処理装置１０は、データに概念木の分類体系（タキソノミ：taxonomy）を適用し、匿名化しても良い。
【０１７１】
また、情報処理装置１０は、図６に示すような分割を繰り返すトップダウン（Top down）の匿名化手法に限らず、結合を繰り返すボトムアップ（Bottom up）の匿名化手法を用いても良い。あるいは、情報処理装置１０は、トップダウンとボトムアップを組み合わせても良い。
【０１７２】
＜変形例２＞
情報処理装置１０と情報処理装置３０は、両方からの連携の依頼が、重なる場合がある。
【０１７３】
情報処理装置１０の共通ＱＩＤと情報処理装置３０の共通ＱＩＤが同じ場合、情報処理装置１０は、既に説明した動作を基に、共通汎化方針を連携して決定すれば良い。
【０１７４】
しかし、情報処理装置１０が連携において通知する共通ＱＩＤと情報処理装置３０が通知する共通ＱＩＤとが異なる場合、情報処理装置１０及び情報処理装置３０は、共通ＱＩＤの選択が必要である。
【０１７５】
情報処理装置１０と情報処理装置３０は、どちらの共通ＱＩＤを用いるかを調停して、決定しても良い。あるいは、情報処理装置１０と情報処理装置３０は、予め、連携の依頼が重なった場合の優先順位を設定しても良い。
【０１７６】
また、３台以上の装置からの連携の依頼が重なった場合、情報処理装置１０は、連携して決定する共通ＱＩＤを、調停して決定しても良い。
【０１７７】
ただし、調停は、装置が多くなると決定まで多くの時間が必要となる。そこで、情報処理装置１０は、予め、共通ＱＩＤの所定の優先順位を決めておいても良い。例えば、情報処理装置１０は、最も連携の依頼の数が多い共通ＱＩＤを、共通化するＱＩＤとして、採用しても良い。
【０１７８】
なお、連携に使用する共通ＱＩＤを決定後、情報処理装置１０及び情報処理装置３０は、決定した共通ＱＩＤの共通汎化方針を送信する。それ以降の動作は、既に説明した動作と同様で良い。
【０１７９】
＜変形例３＞
情報処理装置１０の構成は、これまでの説明に限らない。情報処理装置１０は、各構成要素を複数の構成要素に分けても良い。
【０１８０】
さらに、情報処理装置１０は、１つの装置で構成される必要はない。例えば、情報処理装置１０は、ネットワークを介して接続した匿名化部１１０を含む装置と、汎化方針連携決定部１２０を含む装置とを用いて構成されても良い。
【０１８１】
あるいは、情報処理装置１０は、匿名化前データ保存部１６０と匿名化済みデータ保存部１７０とのいずれか、又は、両方を外部の記憶装置として構成しても良い。
【０１８２】
また、情報処理装置１０は、複数の構成要素を１つの装置で構成しても良い。
【０１８３】
例えば、情報処理装置１０は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）とを含むコンピュータ装置として実現しても良い。情報処理装置１０は、さらに、入出力接続回路（ＩＯＣ：Input Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現しても良い。
【０１８４】
図９は、本実施形態の情報処理装置１０の変形例である情報処理装置６０の構成の一例を示すブロック図である。
【０１８５】
情報処理装置６０は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータを構成している。
【０１８６】
ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０は、これらの構成を制御し、図４に示す、匿名化部１１０と、汎化方針連携決定部１２０としての各機能を実現する。ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０をプログラムの一時記憶として使用しても良い。
【０１８７】
また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでも良い。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取っても良い。
【０１８８】
ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programmable-ROM）やフラッシュＲＯＭである。
【０１８９】
ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラムやデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。
【０１９０】
内部記憶装置６４０は、情報処理装置６０が長期的に保存するデータやプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作しても良い。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。
【０１９１】
ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカードである。
【０１９２】
入力機器６６０は、情報処理装置６０の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。
【０１９３】
表示機器６７０は、情報処理装置６０の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。
【０１９４】
ＮＩＣ６８０は、ネットワークを介した外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮ（Local Area Network）カードである。
【０１９５】
このように構成された情報処理装置６０は、情報処理装置１０と同様の効果を得ることができる。
【０１９６】
その理由は、次のとおりである。
【０１９７】
情報処理装置６０のＣＰＵ６１０は、プログラムに基づいて情報処理装置１０と同様の機能を実現できるためである。
【０１９８】
（第２の実施形態）
情報処理装置１０は、情報処理装置３０と共通化した汎化方針を基に、データを匿名化する。
【０１９９】
しかし、共通化した汎化方針は、情報処理装置１０にとって最適な汎化方針と異なる場合がある。
【０２００】
また、情報処理装置１０は、例えば、扱うデータのデータ量（データサイズ）又は匿名性に従い、データの匿名化の難易の程度（難易度）が異なる。
【０２０１】
言い換えると、難易度とは、データの匿名性の確保の難しさを示す指標である。例えば、難易度は、データの匿名性の確保が難しいほど、値が大きくなる指標である。あるいは、難易度は、データの匿名性の確保が難しいほど、値が小さくなる指標でも良い。
【０２０２】
例えば、データサイズが小さいデータを扱う情報処理装置１０は、データサイズが大きなデータ扱う情報処理装置１０より、採用できる境界の候補が少ない。特に、情報処理装置１０が扱うデータのデータ量が「ｋ−匿名性」の「ｋ」の値に対して２倍程度の場合、情報処理装置１０は、分割可能なデータの境界が、データの中央値付近に限られる。
【０２０３】
つまり、情報処理装置１０が保存するデータサイズが異なる場合、データサイズが小さい情報処理装置１０は、データサイズが大きい情報処理装置１０に比べ、匿名性の確保の難易度が高くなる。
【０２０４】
あるいは、情報処理装置１０が確保する匿名性が異なる場合、情報処理装置１０は、データのサイズが同程度でも、匿名性の確保の難易度が異なる。
【０２０５】
そこで、本実施形態に係る情報処理装置１０は、共通汎化方針を連携して決定するとき、情報処理装置３０と、匿名性の確保の難易度又は難易度に関する情報を通信する。
【０２０６】
匿名性の確保の難易度を決定する要因は、特に制限はない。例えば、上記のデータサイズ及び匿名性は、匿名性の難易度を決定する要因の一例である。
【０２０７】
データサイズは、大きくなると、匿名性の確保が容易になる。そのため、データサイズは、データの確保の難易度を決定する要因の一例である。なお、データサイズは、データの匿名性の確保が難しいほど、値が小さくなる指標の一例である。
【０２０８】
ｋ−匿名性は、「ｋ」の値が大きいほど、匿名性の確保が難しい。そのため、ｋ−匿名性の「ｋ」の値は、データの確保の難易度を決定する要因の一例である。なお、ｋ−匿名性の「ｋ」の値は、データの匿名性の確保が難しいほど、値が大きくなる指標の一例である。
【０２０９】
そして、本実施形態に係る情報処理装置１０の汎化方針連携決定部１２０は、匿名性の難易度又は難易度に関する情報を考慮して、共通汎化方針を決定する。
【０２１０】
なお、本実施形態の情報処理装置１０の構成は、第１の実施形態と同様のため、構成の説明を省略する。また、第1の実施形態と同様の動作の説明を省略し、本実施形態に特有の動作について説明する。
【０２１１】
以下、具体的な動作の例として、データサイズとしてデータのレコード数を考慮して、共通汎化方針を決定する場合について説明する。
【０２１２】
例えば、装置Ａのデータサイズ（レコード数）が、「１００」とする。一方、装置Ｂのデータサイズ（レコード数）は、「１０」とする。そして、「５−匿名性」を確保する場合を想定する。
【０２１３】
装置Ｂは、最適に分割した場合、分割後のグループとして、データサイズ（レコード数）が「５」の２つのグループに、データを分割できる。しかし、境界が変更され、分割後のグループに含まれるデータサイズ（レコード数）が変更されると、装置Ｂは、分割後のグループにおいて、データの「５−匿名性」を満足できない。
【０２１４】
従って、本実施形態の情報処理装置１０（上記の装置Ａと装置Ｂ）の汎化方針連携決定部１２０は、両方の汎化方針を基に共通化した汎化方針を汎化方針として決定しない。本実施形態の情報処理装置１０（上記の装置Ａと装置Ｂ）の汎化方針連携決定部１２０は、データサイズ（レコード数）が少ない情報処理装置１０（装置Ｂ）の汎化方針を、共通汎化方針として決定する。
【０２１５】
なお、情報処理装置１０の汎化方針連携決定部１２０は、匿名化処理の進捗に伴い、汎化方針の決定方法を変更しても良い。つまり、情報処理装置１０は、保存するデータサイズに限らず、分割後のデータサイズを用いても良い。
【０２１６】
例えば、次に示す場合、情報処理装置１０の汎化方針連携決定部１２０は、すべての情報処理装置１０の汎化方針を基に、共通汎化方針を決定しても良い。この場合とは、すべての情報処理装置１０において、分割後のデータサイズ（レコード数）が、確保する匿名性（例えば、「ｋ−匿名性」の「ｋ」）に対して所定の倍数（例えば、３倍）より多い場合である。一方、反対の場合、情報処理装置１０の汎化方針連携決定部１２０は、データサイズ（レコード数）が少なくなった情報処理装置１０の汎化方針を優先し、共通汎化方針としても良い。ここで、反対の場合とは、いずれかの情報処理装置１０の分割後のデータサイズ（レコード数）が、確保する匿名性に対する所定の倍数より小さくなった場合である。
【０２１７】
あるいは、情報処理装置１０の汎化方針連携決定部１２０は、各情報処理装置１０の汎化方針を同程度に扱うのではなく、データサイズを考慮して扱っても良い。
【０２１８】
例えば、情報処理装置１０は、共通化する汎化方針を決定する場合、各情報処理装置１０のデータサイズを基にした重み（例えば、データサイズに反比例する重み）を設定しても良い。
【０２１９】
より具体的に説明すると、例えば、情報処理装置１０は、次に示す数式（１）のように、境界の値にデータサイズに反比例する重みを掛け、汎化方針における境界値（分割を行う点）を決定しても良い。
【０２２０】
［数１］
境界値＝｛（１／ｓｉｚｅ１）×ｅｄｇｅ１＋（１／ｓｉｚｅ２）×ｅｄｇｅ２｝
／｛（１／ｓｉｚｅ１）＋（１／ｓｉｚｅ２）｝  ・・・  （１）
ここで、「ｓｉｚｅ１」は、ある装置Ａ（例えば、情報処理装置１０）のデータサイズである。「ｓｉｚｅ２」は、他方の装置Ｂ（例えば、情報処理装置３０）のデータサイズである。また、「ｅｄｇｅ１」は、装置Ａにおける境界値である。「ｅｄｇｅ２」は、装置Ｂにおける境界値である。なお、情報処理装置１０が２台より多い場合、情報処理装置１０は、数式（１）において、「ｓｉｚｅ」及び「ｅｄｇｅ」の項の数を増やした数式を用いれば良い。
【０２２１】
ここで、例えば、装置Ａのデータサイズ（ｓｉｚｅ１）が、「１００」であり、装置Ｂのデータサイズ（ｓｉｚｅ２）が、「２００」とする。つまり、装置Ａのデータサイズは、装置Ｂのデータサイズより小さい。また、装置Ａでの境界値（ｅｄｇｅ１）が、「１２０」であり、装置Ｂでの境界値（ｅｄｇｅ２）が、「１２６」とする。この場合、数式（１）の境界値は、次のようになる。
【０２２２】
境界値＝｛（１／１００）×１２０＋（１／２００）×１２６｝
／｛（１／１００）＋（１／２００）｝
＝１２２
数式（１）を用いて得られる境界値は、データサイズが小さい装置Ａの境界値に近くなる。つまり、匿名化の確保が難しい装置Ａの境界が、優先される。その結果、データサイズが小さい装置Ａにおいて、多くの分割が、可能となる。つまり、装置Ａの汎化方針が、優先される。
【０２２３】
また、確保する匿名性を考慮する場合、情報処理装置１０は、例えば、次のように動作すれば良い。
【０２２４】
例えば、情報処理装置１０は、「ｋ−匿名性」を確保する場合、「ｋ」の値が大きな情報処理装置１０の汎化方針を優先しても良い。
【０２２５】
なお、情報処理装置１０は、匿名性の難易度を考慮して連携しても良い。例えば、情報処理装置１０は、「ｋ−匿名性」を確保する場合、「ｋ」の値を重みとして使用しても良い。
【０２２６】
例えば、情報処理装置１０は、次に示す数式（２）を用いても良い。
【０２２７】
［数２］
境界値＝（ｋ１×ｅｄｇｅ１＋ｋ２×ｅｄｇｅ２）／（ｋ１＋ｋ２）  ・・・  （２）
ここで、「ｋ１」は、ある装置Ａの「ｋ−匿名性」の「ｋ」の値である。「ｋ２」は、他方の装置Ｂの「ｋ−匿名性」の「ｋ」の値である。「ｅｄｇｅ１」と「ｅｄｇｅ２」は、数式（１）と同じである。なお、情報処理装置１０が２台より多い場合、情報処理装置１０は、数式（２）において、「ｅｄｇｅ」及び「ｋ」の項の数を増やした数式を用いれば良い。
【０２２８】
例えば、装置Ａの「ｋ１」が、「１０」であり、装置Ｂの「ｋ２」が、「２」とする。つまり、装置Ａは、装置Ｂより匿名性が高いとする。また、境界値は、上記と同様とする。この場合、数式（２）の境界値は、次のようになる。
【０２２９】
境界値＝（１０×１２０＋２×１２６）／（１０＋２）＝１２１
数式（２）を用いて得られる境界値は、匿名性が高い（「k」が大きい）装置Ａの境界値に近くなる。つまり、匿名化の確保が難しい装置Ａの境界が、優先される。その結果、匿名化が難しい装置Ａにおいて、多くの分割が、可能となる。
【０２３０】
なお、情報処理装置１０は、上記を組み合わせても良い。
【０２３１】
また、情報処理装置１０は、第１の実施形態の変形例で説明した、共通ＱＩＤの選択においても、匿名性の確保の難易度を用いても良い。
【０２３２】
第２の実施形態の情報処理装置１０の効果を説明する。
【０２３３】
本実施形態の情報処理装置１０は、第１の実施形態の効果に加え、情報処理装置１０において匿名性の確保の難易度が異なる場合でも、適切な汎化方針を設定する効果を得ることができる。
【０２３４】
その理由は、次のとおりである。
【０２３５】
情報処理装置１０は、匿名性の確保の難易度を基に、優先する汎化方針の決定方法を変更する。
【０２３６】
具体的には、例えば、情報処理装置１０は、匿名化するデータのデータサイズ（保存するデータサイズ又は分割後のデータサイズ）又は匿名性を基に、優先する汎化方針を決定する。
【０２３７】
特に、情報処理装置１０は、データサイズが小さな又は匿名性が高い情報処理装置１０の汎化方針を選択する。あるいは、情報処理装置１０は、データサイズが小さな又は匿名性が高い情報処理装置１０の汎化方針を優先する。その結果、本実施形態の情報処理装置１０は、匿名化が難しい情報処理装置１０の匿名化の確保を容易にできるためである。
【０２３８】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０２３９】
この出願は、２０１３年  ５月１５日に出願された日本出願特願２０１３−１０３１９２を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【０２４０】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０２４１】
（付記１）
他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定する汎化方針連携決定手段と、
前記共通汎化方針を基にデータを匿名化する匿名化手段と
を含む情報処理装置。
【０２４２】
（付記２）
前記汎化方針連携決定手段が、
前記匿名化するデータの少なくとも一部の属性の汎化方針を前記共通汎化方針に決定する
付記１に記載の情報処理装置。
【０２４３】
（付記３）
前記匿名化手段が、
前記共通汎化方針に加え、前記属性の汎化方針において、前記共通汎化方針に含まれない属性の汎化方針の少なくとも一部を基にデータを匿名化する
付記２に記載の情報処理装置。
【０２４４】
（付記４）
前記汎化方針連携決定手段が、
前記共通汎化方針として用いる属性を前記他の装置と決定する
付記２又は付記３に記載の情報処理装置。
【０２４５】
（付記５）
前記共通汎化方針が、準識別子の汎化方針であり、
前記共通汎化方針が、前記基準識別子の汎化幅及び／又は境界を含む
付記１乃至付記４のいずれか１つに記載の情報処理装置。
【０２４６】
（付記６）
前記汎化方針連携決定手段が、
データを匿名化する場合の自装置及び前記他の装置における確保するデータの匿名化の確保の難しさを示す指標である難易度を基に前記共通汎化方針を決定する
付記１乃至付記５のいずれか１つに記載の情報処理装置。
【０２４７】
（付記７）
前記難易度を、匿名化するデータサイズ又は匿名性を基に算出する
付記６に記載の情報処理装置。
【０２４８】
（付記８）
前記汎化方針連携決定手段が、
匿名化手段が用いる汎化方針が前記共通汎化方針であるか否かを判定するための情報である匿名性パラメータを保持する匿名性パラメータ保存手段と、
前記他の装置と共通汎化方針を連携して決定する共通パラメータ設定手段と、
前記共通パラメータ設定手段と前記他の装置との通信を仲介する通信手段と
を含む
付記１乃至付記７のいずれか１つに記載の情報処理装置。
【０２４９】
（付記９）
前記匿名化手段が匿名化する匿名化前データを保存する匿名化前データ保存手段と、
前記匿名化手段が匿名化した匿名化済みデータを保存する匿名化済みデータ保存手段と、
前記匿名化済みデータを利用者装置に送信する送信手段と
を含む付記１乃至付記８のいずれか１つに記載の情報処理装置。
【０２５０】
（付記１０）
前記汎化方針連携決定手段が、
予め複数の装置の前記共通汎化方針の決定の連携を場合に優先する装置又は優先する汎化方針の属性を決めておく
付記１乃至付記９のいずれか１つに記載の情報処理装置。
【０２５１】
（付記１１）
他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定し、
前記共通汎化方針を基にデータを匿名化する
情報匿名化方法。
【０２５２】
（付記１２）
他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定する処理と、
前記共通汎化方針を基にデータを匿名化する処理と
をコンピュータ装置に実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体。
【符号の説明】
【０２５３】
１０  情報処理装置
２０  利用者装置
３０  情報処理装置
４０  情報処理システム
６０  情報処理装置
１１０  匿名化部
１２０  汎化方針連携決定部
１３０  匿名性パラメータ保存部
１４０  共通パラメータ設定部
１５０  通信部
１６０  匿名化前データ保存部
１７０  匿名化済みデータ保存部
１８０  送信部
６１０  ＣＰＵ
６２０  ＲＯＭ
６３０  ＲＡＭ
６４０  内部記憶装置
６５０  ＩＯＣ
６６０  入力機器
６７０  表示機器
６８０  ＮＩＣ
７００  記憶媒体
【図１】
2014185043.tif 000003
【図２】
2014185043.tif 000004
【図３】
2014185043.tif 000005
【図４】
2014185043.tif 000006
【図５】
2014185043.tif 000007
【図６】
2014185043.tif 000008
【図７】
2014185043.tif 000009
【図８】
2014185043.tif 000010
【図９】
2014185043.tif 000011
【手続補正書】
【提出日】平成27年11月13日(2015.11.13)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定する汎化方針連携決定手段と、
前記共通汎化方針を基にデータを匿名化する匿名化手段と
を含む情報処理装置。
【請求項２】
前記汎化方針連携決定手段が、
前記匿名化するデータの少なくとも一部の属性の汎化方針を前記共通汎化方針に決定する
請求項１に記載の情報処理装置。
【請求項３】
前記匿名化手段が、
前記共通汎化方針に加え、前記属性の汎化方針において、前記共通汎化方針に含まれない属性の汎化方針の少なくとも一部を基にデータを匿名化する
請求項２に記載の情報処理装置。
【請求項４】
前記汎化方針連携決定手段が、
前記共通汎化方針として用いる属性を前記他の装置と決定する
請求項２又は請求項３に記載の情報処理装置。
【請求項５】
前記共通汎化方針が、準識別子の汎化方針であり、
前記共通汎化方針が、前記基準識別子の汎化幅及び／又は境界を含む
請求項１乃至請求項４のいずれか１項に記載の情報処理装置。
【請求項６】
前記汎化方針連携決定手段が、
データを匿名化する場合の自装置及び前記他の装置における確保するデータの匿名化の確保の難しさを示す指標である難易度を基に前記共通汎化方針を決定する
請求項１乃至請求項５のいずれか１項に記載の情報処理装置。
【請求項７】
前記難易度を、匿名化するデータサイズ又は匿名性を基に算出する
請求項６に記載の情報処理装置。
【請求項８】
前記汎化方針連携決定手段が、
匿名化手段が用いる汎化方針が前記共通汎化方針であるか否かを判定するための情報である匿名性パラメータを保持する匿名性パラメータ保存手段と、
前記他の装置と共通汎化方針を連携して決定する共通パラメータ設定手段と、
前記共通パラメータ設定手段と前記他の装置との通信を仲介する通信手段と
を含む
請求項１乃至請求項７のいずれか１項に記載の情報処理装置。
【請求項９】
前記匿名化手段が匿名化する匿名化前データを保存する匿名化前データ保存手段と、
前記匿名化手段が匿名化した匿名化済みデータを保存する匿名化済みデータ保存手段と、
前記匿名化済みデータを利用者装置に送信する送信手段と
を含む請求項１乃至請求項８のいずれか１項に記載の情報処理装置。
【請求項１０】
前記汎化方針連携決定手段が、
予め複数の装置の前記共通汎化方針の決定を連携する場合に優先する装置又は優先する汎化方針の属性を決めておく
請求項１乃至請求項９のいずれ１項に記載の情報処理装置。
【請求項１１】
他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定し、
前記共通汎化方針を基にデータを匿名化する
情報匿名化方法。
【請求項１２】
他の装置と連携して前記他の装置と共通して使用するデータの匿名化の汎化方針である共通汎化方針を決定する処理と、
前記共通汎化方針を基にデータを匿名化する処理と
をコンピュータ装置に実行させるプログラム。
【国際調査報告】
2014185043.tif 000012
2014185043.tif 000013
2014185043.tif 000014
2014185043.tif 000015