(57)【要約】  本発明は、関係多様化が行われた系列データの属性間の関係の曖昧性を低減し、コホートに属する系列データ群の共通の特徴を把握できる情報処理装置を提供する。その情報処理装置は、系列データのセンシティブ属性値から他のセンシティブ属性値の特定が困難になるように関係多様化を行う関係多様化手段と、同一の準識別子の組、または同一のグループ識別子を付与された互いに類似性を有する系列データの集合であるコホートに属する系列データ群の共通の属性値や特性、性質を抽出して、コホート情報を生成する匿名コホート生成手段とを備え、関係多様化手段は、コホート情報を付加して関係多様化が行われた系列データ群を出力する。
2015079647.tif 000002
【特許請求の範囲】
【請求項１】
同一のデータ主体のレコード群の系列を表す系列データを対象とする情報処理装置であって、
前記系列データのセンシティブ属性値から他のセンシティブ属性値の特定が困難になるように関係多様化を行う関係多様化手段と、
同一の準識別子の組、または同一のグループ識別子を付与された互いに類似性を有する系列データの集合であるコホートに属する系列データ群の共通の属性値や特性、性質を抽出して、コホート情報を生成する匿名コホート生成手段とを備え、
前記関係多様化手段は、前記コホート情報を付加して関係多様化が行われた前記系列データ群を出力する
情報処理装置。
【請求項２】
匿名コホート生成手段は、複数の系列データから、コホートを所定の匿名性を満たすように生成し、
関係多様化手段は、前記匿名コホート生成手段が生成した前記コホートに属する系列データ群を対象に関係多様化を行う
請求項１に記載の情報処理装置。
【請求項３】
匿名コホート生成手段は、系列データ群の共通の属性値や特性、性質を抽出する際に、コホートに属する系列データ群にとって、属性値や特性、性質が共通の値となるように前記系列データ群を対象に再符号化を行う
請求項１または請求項２に記載の情報処理装置。
【請求項４】
匿名コホート生成手段は、センシティブ属性の類似性を基準として前記センシティブ属性から生成される多重集合の類似性が高くなるようにコホートを生成する
請求項２または請求項３に記載の情報処理装置。
【請求項５】
匿名コホート生成手段は、準識別子の類似性を基準として前記準識別子から生成される多重集合の類似性が高くなるようにコホートを生成する
請求項２から請求項４のうちのいずれか１項に記載の情報処理装置。
【請求項６】
同一のデータ主体のレコード群の系列を表す系列データを対象とする情報処理装置において実行される方法であって、
前記情報処理装置が、
前記系列データのセンシティブ属性値から他のセンシティブ属性値の特定が困難になるように関係多様化を行い、
同一の準識別子の組、または同一のグループ識別子を付与された互いに類似性を有する系列データの集合であるコホートに属する系列データ群の共通の属性値や特性、性質を抽出して、コホート情報を生成し、
前記コホート情報を付加して関係多様化が行われた前記系列データ群を出力する
情報処理方法。
【請求項７】
前記情報処理装置が、
複数の系列データから、コホートを所定の匿名性を満たすように生成し、
生成された前記コホートに属する系列データ群を対象に関係多様化を行う
請求項６に記載の情報処理方法。
【請求項８】
同一のデータ主体のレコード群の系列を表す系列データを対象とする情報処理装置において実行されるプログラムであって、
前記情報処理装置に、
前記系列データのセンシティブ属性値から他のセンシティブ属性値の特定が困難になるように関係多様化を行う関係多様化処理、
同一の準識別子の組、または同一のグループ識別子を付与された互いに類似性を有する系列データの集合であるコホートに属する系列データ群の共通の属性値や特性、性質を抽出して、コホート情報を生成する生成処理、および
前記コホート情報を付加して関係多様化が行われた前記系列データ群を出力する出力処理
を実行させるための情報処理プログラム
を記録したコンピュータ読み取り可能な非一時的記録媒体。
【請求項９】
前記情報処理プログラムは、前記情報処理装置に、
複数の系列データから、コホートを所定の匿名性を満たすように生成する匿名コホート生成処理、および
生成された前記コホートに属する系列データ群を対象に関係多様化を行う関係多様化処理を実行させる
請求項８に記載の非一時的記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プライバシ情報を扱うために匿名化を行う技術に関する。
【背景技術】
【０００２】
様々なサービスにおいて、個人に関するプライバシ情報が情報処理装置に蓄積されている。このようなプライバシ情報としては、例えば、個人の購買情報や、診療情報がある。
例えば、診療報酬の明細書であるレセプトは、生年や性別、傷病名、薬剤名といった属性を有するレコードからなるデータセットとして情報処理装置に蓄積される。このようなプライバシ情報は、プライバシ保護の観点から、原型の情報内容のままで公開されることや利用されることが好ましくない。【０００３】
ここで、生年や性別といったような、個人を特徴づけ、各々の組み合わせから個人を特定する可能性のある属性は、準識別子と呼ばれる。また、傷病名や薬剤名等のように、他人に知られたくない属性は、センシティブ属性（機微情報：Ｓｅｎｓｉｔｉｖｅ  Ａｔｔｒｉｂｕｔｅ（ＳＡ）、Ｓｅｎｓｉｔｉｖｅ  Ｖａｌｕｅ）と呼ばれる。【０００４】
プライバシ情報の中には、同一の固有識別情報が付与された複数のレコードが含まれる系列データがある。センシティブ属性を含む系列データは、センシティブ属性の系列を表す。レセプトは、異なる月のプライバシ情報が連なった系列データである。また、移動軌跡も、位置情報が時間の経過に従って連なった時系列データである。【０００５】
このようなプライバシ情報を含む系列データは、プライバシ侵害の懸念がなければ、二次活用による有益性が高いデータである。ここで、プライバシ情報の二次活用とは、プライバシ情報を生成または蓄積しているサービス事業者以外の第三者が、プライバシ情報の提供を受けて、プライバシ情報を第三者のサービスで利用することや、当該事業者が、第三者に対してプライバシ情報の分析等のアウトソーシングを依頼すること等を指す。【０００６】
プライバシ情報が二次活用されることで、プライバシ情報の分析や研究が促進され、分析結果および研究結果を用いたサービスが強化される可能性がある。したがって、プライバシ情報が二次活用された場合、プライバシ情報を保有するサービス事業者以外の第三者も、プライバシ情報の持つ高い有益性を享受できる。【０００７】
例えば、プライバシ情報を保有するサービス事業者以外の第三者として製薬会社が想定される。製薬会社は、診療情報から薬品の共起関係や相関関係等を分析できる。しかし、製薬会社は、その診療情報を入手することが困難である。もし、診療情報を入手することができれば、製薬会社は、薬品がどのように利用されているのかを知ることができ、さらにはその薬品の利用状況等も分析できる。【０００８】
しかし、このようなプライバシ情報を含むデータセットは、プライバシ侵害の懸念から、積極的に二次活用されていない。【０００９】
例えば、サービス利用者を一意に識別するユーザ識別子（ユーザＩＤ（Ｉｄｅｎｔｉｆｉｅｒ））と、１つ以上のセンシティブ情報とを含むレコードによって構成されるデータセットが、サービス提供者の情報処理装置に蓄積されているとする。ここで、ユーザ識別子が付与されたままのセンシティブ情報が第三者に提供されると、第三者は、そのユーザ識別子を使用することによってセンシティブ情報に対応するサービス利用者を特定できる。すなわち、ユーザ識別子が付与されたままのセンシティブ情報が第三者に提供されると、プライバシ侵害が発生するおそれがある。【００１０】
また、複数のレコードから構成されるデータセットにおいて、各レコードに１つ以上の準識別子が付与されている場合を考える。この場合、準識別子の組み合わせにより、ある個人が特定される可能性がある。すなわち、たとえユーザ識別子が取り除かれたデータセットであっても、そのデータセットに付与されている準識別子の組み合わせに基づいてある個人が特定されるのであれば、プライバシ侵害が発生するおそれがある。【００１１】
このような特性を有するプライバシ情報を含むデータセットを、プライバシ情報の本来の有用性を保ちながら、プライバシを保護した形態に変換する技術として、匿名化技術（Ａｎｏｎｙｍｉｚａｔｉｏｎ）が知られている。【００１２】
非特許文献１には、最もよく知られた匿名性指標である“ｋ−匿名性”が提案されている。また、匿名化対象のデータセットに、係るｋ−匿名性を充足させる技術は、“ｋ−匿名化”と呼ばれる。ｋ−匿名化では、同じ準識別子を有するレコードが匿名化対象のデータセットの中に少なくともｋ個以上存在するように、対象の準識別子を変換する処理が行われる。【００１３】
変換処理の方式としては、一般化や切り落とし等の方式が知られている。一般化とは、元の詳細な情報を、抽象化された情報に変換する処理である。また、切り落としとは、元の詳細な情報を削除する処理である。【００１４】
このようなｋ−匿名化技術を利用する関連技術が、特許文献１に記載されている。特許文献１には、ユーザ端末から受信したデータを暗号化等により変換して格納しておき、復元したデータをｋ−匿名性を満たすように加工して、サービス提供者サーバに送信する関連技術が記載されている。【００１５】
非特許文献２には、ｋ−匿名性を発展させた匿名性指標の１つである、“ｌ−多様性”が提案されている。匿名化対象のデータセットに、係るｌ−多様性を充足させる技術は、“ｌ−多様化”と呼ばれる。ｌ−多様化では、同じ準識別子を有する複数のレコードに、少なくともｌ種類以上の異なるセンシティブ情報が含まれるように、対象の準識別子を変換する処理が行われる。【００１６】
ここで、ｋ−匿名化は、準識別子と関連付けられるレコードの数がｋ個以上になることを保証する。ｌ−多様化は、準識別子と関連付けられるセンシティブ情報の種類がｌ種類以上になることを保証する。【００１７】
上述したｋ−匿名化や、ｌ−多様化では、同一のユーザ識別子を持つ複数のレコードが存在する場合に、レコード間の順序や関係等の、互いに異なる事象間の対応関係（換言すれば、特徴、遷移、プロパティ。以下、本願では「対応関係」と称する。）が考慮されていない。【００１８】
上述の非特許文献１および非特許文献２に記載された関連技術は、系列を成さないプライバシ情報に対してｋ−匿名化を行う技術である。【００１９】
また、系列データ、特に移動軌跡に対して、属性値を曖昧にすることによって匿名化を行う匿名化技術が知られている。【００２０】
非特許文献３には、位置情報が時間の経過に従って連なった時系列データである移動軌跡に対して匿名化を行う技術が記載されている。より具体的には、非特許文献３に記載された匿名化技術は、係る移動軌跡の始点から終点までを一連のシーケンスとみなして、一貫したｋ−匿名性を保証する匿名化技術である。【００２１】
移動軌跡の匿名化技術では、地理的に類似するｋ個以上の移動軌跡を束ねたチューブ状の匿名移動軌跡が生成される。移動軌跡の匿名化技術では、匿名性の制約の中で、地理的な類似性を最大にした匿名移動軌跡が生成される。【００２２】
また、系列データに対して、センシティブ属性値の曖昧化を行わず、準識別子の曖昧化と、系列データ中のレコード間の対応関係（以下、単に「関係」とも称する。）の曖昧化を行うことで匿名化を行う技術が知られている。【００２３】
非特許文献４には、時系列データの多様化（関係多様化）に関する技術が記載されている。関係多様化では、複数のデータ主体の固有識別情報に共通のグループ識別子が、各固有識別情報の代わりに各データに付与される。同一のグループ識別子を持つデータ主体の集合をコホートと呼ぶ。コホートは、ある特徴を持った集団である。【００２４】
さらに、関係多様化では、同一のグループ識別子を持つレコードの準識別子が共通の値になるように加工される。すなわち、準識別子からレコードを特定することが困難になる。【００２５】
このような操作によって、特定のデータ主体のレコード群をそのデータ主体に一意に対応づけることが不可能になる。また、特定のデータ主体のレコード群の関係の曖昧化（関係多様化）が行われることで、第三者は、あるデータ主体のいくつかのレコードのセンシティブ属性値を知っていたとしても、同一主体の他のセンシティブ属性値を特定することが困難になる。
【先行技術文献】
【特許文献】
【００２６】
【特許文献１】特開２０１１−１８０８３９号公報
【非特許文献】
【００２７】
【非特許文献１】Ｌ．Ｓｗｅｅｎｅｙ，  “ｋ−ａｎｏｎｙｍｉｔｙ：ａ  ｍｏｄｅｌ  ｆｏｒ  ｐｒｏｔｅｃｔｉｎｇ  ｐｒｉｖａｃｙ”，  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｊｏｕｒｎａｌ  ｏｎ  Ｕｎｃｅｒｔａｉｎｔｙ，  Ｆｕｚｚｉｎｅｓｓ  ａｎｄ  Ｋｎｏｗｌｅｄｇｅ−ｂａｓｅｄ  Ｓｙｓｔｅｍｓ，１０（５），ｐｐ．５５５−５７０，２００２．
【非特許文献２】Ｋ．  ＬｅＦｅｖｒｅ，  Ｄ．  ＤｅＷｉｔｔ  ａｎｄ  Ｒ．  Ｒａｍａｋｒｉｓｈｎａｎ，  “Ｍｏｎｄｒｉａｎ  Ｍｕｌｔｉｄｉｍｅｎｓｉｏｎａｌ  ｋ−Ａｎｏｎｙｍｉｔｙ”，  ＩＣＤＥ２００６．
【非特許文献３】Ｏ．Ａｂｕｌ，  Ｆ．Ｂｏｎｃｈｉ  ａｎｄ  Ｍ．Ｎａｎｎｉ、“Ｎｅｖｅｒ  Ｗａｌｋ  Ａｌｏｎｅ：  Ｕｎｃｅｒｔａｉｎｔｙ  ｆｏｒ  Ａｎｏｎｙｍｉｔｙ  ｉｎ  Ｍｏｖｉｎｇ  Ｏｂｊｅｃｔｓ  Ｄａｔａｂａｓｅｓ．”  Ｉｎ  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ２４ｔｈ  ＩＥＥＥ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｄａｔａ  Ｅｎｇｉｎｅｅｒｉｎｇ，  ｐｐ．３７６−３８５，２００８．
【非特許文献４】高橋翼、竹之内隆夫、側高幸治、“時系列データに対するｌ−多様化方式の提案”  第４回データ工学と情報マネジメントに関するフォーラム、２０１２．
【発明の概要】
【発明が解決しようとする課題】
【００２８】
しかし、関係多様化が行われることで、同じコホートに属するレコード群の、どのレコード間に関係があるのかを判別することが困難になる。その判別が困難になる理由を以下に説明する。【００２９】
関係多様化を行うと、あるデータ主体のレコードのあるセンシティブ属性値から他のセンシティブ属性値を一意に特定することが困難になる。すなわち、同じコホートに記録されたレコード群のセンシティブ属性間で、どのセンシティブ属性群が同一のデータ主体のセンシティブ属性群であるかが不明確になる。よって、センシティブ属性間の対応関係が曖昧になる。【００３０】
以下、センシティブ属性間の対応関係が曖昧になる具体例を説明する。図８は、系列データの一例を示す説明図である。図９と図１０は、系列データの他の一例を示す説明図である。【００３１】
図８〜図１０に示す系列データは、ＩＤと、年齢と、性別と、診療年と、病歴とから構成される。ＩＤは、データ主体である患者を特定するＩＤである。年齢と性別は、ＩＤで特定される患者の年齢と性別である。診療年は、ＩＤで特定される患者が診療を受けた年である。病歴は、ＩＤで特定される患者が診療年の年に診療を受けた病気の名称である。【００３２】
また、図１１は、図８に示す系列データに対して関係多様化が行われた後の系列データの一例を示す説明図である。図１２と図１３は、それぞれ図９と図１０に示す系列データに対して関係多様化が行われた後の系列データの一例を示す説明図である。【００３３】
図１１〜図１３に示す系列データは、コホートＩＤと、診療年と、病歴とから構成される。コホートＩＤは、図８〜図１０に示す系列データから類似性の高い系列データが含まれるようにコホートが形成されたときに、形成されたコホートに属する系列データに割り当てられた所属するコホートを特定するＩＤである。【００３４】
ここで、図１１〜図１３に示す系列データには、図８〜図１０に示す系列データに含まれる年齢と性別の属性が含まれていない。しかし、年齢と性別の属性は、所定の匿名性を満たす形で加工等がされた上で関係多様化が行われた系列データに含まれてもよい。また、年齢と性別の属性は、他の系列データに格納され、他の系列データと図１１〜図１３に示す系列データとが結合可能な状態にされてもよい。【００３５】
図８と図９に示す系列データから、ＩＤがＡのデータ主体において、（２型糖尿病（図中では２をローマ数字で表記）、緑内障）という関係がセンシティブ属性である病歴属性に存在することが分かる。【００３６】
図１１と図１２に示す関係多様化が行われた系列データから、ＩＤがＡのデータ主体を含むコホートＩＤが１のレコード群に、以下の４つの関係がセンシティブ属性である病歴属性に存在することが類推される。その4つの関係は、（２型糖尿病、緑内障）、（手足口病、緑内障）、（２型糖尿病、１型糖尿病（図中では１をローマ数字で表記））、（手足口病、１型糖尿病）という関係である。類推される関係には、本来存在しない関係である（手足口病、緑内障）、（２型糖尿病、１型糖尿病）が含まれる。【００３７】
このように関係多様化が行われることで、ある一つのセンシティブ属性値と関係を持つ他のセンシティブ属性値を一意に特定することが困難になる。【００３８】
また、集団に対して傾向分析や状態の追跡等を行う場合には、ある共通の特徴を持ったデータ主体の集団が抽出されて、その集団の傾向や状態の追跡を行われる場合がある。このような分析はコホート分析と呼ばれる。コホート分析の例として、因果関係分析や副作用分析、経過観察等が挙げられる。これらのコホート分析では、分析に際して特定の特徴を持ったコホートを抽出することが求められる。【００３９】
上述の関係多様化が行われたデータセットにおいて、共通のグループ識別子を持ったレコード群から、どのデータ主体がどのセンシティブ属性値を持っているのかを把握することは困難である。また、共通のグループ識別子を持ったレコード群が属するコホートが、そこに属するレコード群がどのような共通の特徴を持つ、コホートであるのかを把握することも困難である。また、どのレコード間、どのセンシティブ属性値間に関係が存在しているのかを把握することも困難である。【００４０】
例えば、図８と図９に示す系列データから、ＩＤがＡのデータ主体とＩＤがＢのデータ主体は、それぞれ「２型糖尿病」、「１型糖尿病」を患っていることが分かる。すなわち、ＩＤがＡのデータ主体とＩＤがＢのデータ主体は、「糖尿病」の患者である点が共通している。【００４１】
しかし、図８と図９に示す系列データに対して関係多様化が行われた図１１と図１２に示す系列データからは、ＩＤがＡのデータ主体とＩＤがＢのデータ主体を含むコホートＩＤが１のレコード群において、（２型糖尿病、１型糖尿病）という関係が存在することが類推される。すなわち、同一の患者が「２型糖尿病」、「１型糖尿病」を連続して患ったのか、それとも別々の患者がそれぞれ「２型糖尿病」、「１型糖尿病」を患ったのかを区別することが困難になる。【００４２】
このように、上述した関係多様化手法では、センシティブ属性値間の関係が曖昧にされ、センシティブ属性値間の関係が不確かになる。さらに、同一のグループ識別子を持つレコード群が属するコホートにおいて、レコード群がどのような共通の特徴を持つのかを把握することも困難になる。【００４３】
すなわち、系列データ群に対して関係多様化が行われた場合、コホート分析において、所定のコホートの抽出が困難になることや、コホートが持つ特徴の把握が困難になることが生じる。【００４４】
そこで、本発明は、関係多様化が行われた系列データの属性間の、関係の曖昧性を低減し、コホートに属する系列データ群の共通の特徴を把握できる技術を提供することを目的とする。
【課題を解決するための手段】
【００４５】
本発明一様態における情報処理装置は、同一のデータ主体のレコード群の系列を表す系列データを対象とする情報処理装置であって、系列データのセンシティブ属性値から他のセンシティブ属性値の特定が困難になるように関係多様化を行う関係多様化手段と、同一の準識別子の組、または同一のグループ識別子を付与された互いに類似性を有する系列データの集合であるコホートに属する系列データ群の共通の属性値や特性、性質を抽出して、コホート情報を生成する匿名コホート生成手段とを備え、関係多様化手段は、コホート情報を付加して関係多様化が行われた系列データ群を出力する。【００４６】
本発明一様態における情報処理方法は、同一のデータ主体のレコード群の系列を表す系列データを対象とする情報処理装置において実行される方法であって、前記情報処理装置が、系列データのセンシティブ属性値から他のセンシティブ属性値の特定が困難になるように関係多様化を行い、同一の準識別子の組、または同一のグループ識別子を付与された互いに類似性を有する系列データの集合であるコホートに属する系列データ群の共通の属性値や特性、性質を抽出して、コホート情報を生成し、コホート情報を付加して関係多様化が行われた系列データ群を出力する。【００４７】
本発明一様態におけるコンピュータ読み取り可能な非一時的記録媒体は、同一のデータ主体のレコード群の系列を表す系列データを対象とする情報処理装置において実行されるプログラムであって、前記情報処理装置に、系列データのセンシティブ属性値から他のセンシティブ属性値の特定が困難になるように関係多様化を行う関係多様化処理、同一の準識別子の組、または同一のグループ識別子を付与された互いに類似性を有する系列データの集合であるコホートに属する系列データ群の共通の属性値や特性、性質を抽出して、コホート情報を生成する生成処理、およびコホート情報を付加して関係多様化が行われた系列データ群を出力する出力処理を実行させる情報処理プログラムを、記録する。
【発明の効果】
【００４８】
本発明によれば、関係多様化が行われた系列データの、属性間の関係の曖昧性を低減し、コホートに属する系列データ群の共通の特徴を把握できる。
【図面の簡単な説明】
【００４９】
【図１】本発明の実施形態に係る情報処理装置の構成例を示すブロック図である。
【図２】プログラムを用いた情報処理装置の例を示すブロック図である。
【図３】図８〜図１０に示す系列データの病歴属性の属性値から抽出された多重集合を示す説明図である。
【図４】図８〜図１０に示す系列データの病歴属性の属性値から抽出された多重集合を示す説明図である。
【図５】図１１〜図１３に示す関係多様化が行われた後の系列データのコホート情報の一例を示す説明図である。
【図６】情報処理装置の匿名化および補助情報生成処理の動作を示すフローチャートである。
【図７】本発明の実施形態における匿名化および補助情報生成装置の概要を示すブロック図である。
【図８】系列データの一例を示す説明図である。
【図９】系列データの一例を示す説明図である。
【図１０】系列データの一例を示す説明図である。
【図１１】図８に示す系列データに対して関係多様化が行われた後の系列データの一例を示す説明図である。
【図１２】図９に示す系列データに対して関係多様化が行われた後の系列データの一例を示す説明図である。
【図１３】図１０に示す系列データに対して関係多様化が行われた後の系列データの一例を示す説明図である。
【図１４】本発明の記録媒体の実施形態としての記録媒体の例を示すブロック図である。
【発明を実施するための形態】
【００５０】
以下、本発明の実施形態を、図面を参照して説明する。図１は、情報処理装置１０の構成例を示すブロック図である。図１に示す情報処理装置１０は、匿名コホート生成部１１と、関係多様化部１２とを含む。
【００５１】
情報処理装置１０は、匿名化対象の系列データ９０に対して、所定の匿名性を満たすコホートを生成する。情報処理装置１０は、生成したコホートに属する系列データ群に共通であり、かつ所定の匿名性を満たす、または所定の匿名性を満たすように加工された属性値や特徴、性質を、関係多様化が行われた系列データに補助情報として付加する。以下、この補助情報をコホート情報と呼ぶ。また、属性値を加工する処理を再符号化処理と呼ぶ。
【００５２】
匿名化対象のデータセットは、原型の情報内容のままで公開されること、または利用されることが好ましくないセンシティブ属性等を含む。このようなデータセットは、１つ以上の属性を有するレコード群から構成される。また、レコード群が有する属性のうち少なくとも１つは、センシティブ属性であるとする。
【００５３】
ここで、情報処理装置１０は、図２に示すように、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１００１と、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）１００２と、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）１００３と、ハードディスク等の記憶装置１００４とを含むコンピュータ装置によって構成可能である。図２は、プログラムを用いた情報処理装置（コンピュータ装置）の例を示すブロック図である。
【００５４】
この場合、匿名コホート生成部１１および関係多様化部１２は、ＲＯＭ１００３または記憶装置１００４に記憶されたコンピュータ・プログラム（情報処理プログラムとも呼ばれる）および各種データをＲＡＭ１００２に読み込んで実行するＣＰＵ１００１によって構成される。また、情報処理装置１０により匿名化対象とされるデータセットである系列データ９０は、例えば、記憶装置１００４に記憶されていてもよい。なお、情報処理装置１０および情報処理装置１０の各機能ブロックのハードウェア構成は、上述の構成に限定されない。
【００５５】
次に、情報処理装置１０の各機能ブロックを説明する。
【００５６】
匿名コホート生成部１１は、所定の匿名性を満たすように系列データ群をグループ化してコホートを生成する。
【００５７】
例えば、匿名コホート生成部１１は、系列データ間の属性値の共通性を評価して、共通性の高い系列データ群からコホートを生成する。このとき、満たすべき匿名性としてｋ−匿名性が採用された場合には、匿名コホート生成部１１は、匿名化度合（例えば、ｋ）を外部から入力し、ｋ個以上の系列データからコホートを生成する。
【００５８】
系列データ間の属性値の共通性は、２つの系列データの属性値の類似性によって評価される。
【００５９】
系列データ間の属性値の共通性を評価する方法の一例として、カテゴリ型のセンシティブ属性値を対象として類似度を計算する場合に使用される方法を説明する。この方法では、各系列データの各レコードのセンシティブ属性値の多重集合または集合が生成される。
次いで、生成された多重集合、または集合から、頻度ベクトルが生成される。
【００６０】
そして、生成された頻度ベクトル間の類似度が、コサイン類似度を用いて評価される。
コサイン類似度は、２つの多重集合から形成されたベクトル間の類似度を、多重集合を成す要素の共起頻度を基に算出するベクトル間の類似度の尺度である。コサイン類似度を用いた評価によって、系列データ中に共起するセンシティブ属性値が多い２つの系列データほど、高い類似性が与えられる。
【００６１】
また、カテゴリ型の属性に属性値に関する概念木（タキソノミー）が与えられている場合、概念木における属性値間のエッジ数等によって距離や類似度が評価されてもよい。また、これらの評価方法は、準識別子間の評価に対しても同様に用いられる。
【００６２】
数値型のセンシティブ属性値を対象として類似度を計算する場合に使用される評価方法には、同一のタイムスタンプを持つレコード間で属性値の差の小ささを評価し、差の小ささを類似度として評価する方法がある。この評価方法も、準識別子間の評価に対して同様に用いられる。
【００６３】
上述の評価方法等を用いることで、系列データ間の各属性の類似度が評価される。系列データ間の類似度は、上述のような属性間の類似度を、系列データに含まれるすべての属性、またはすべてのレコードに対して評価し、評価したすべての類似度の和や積、加重平均、平均値等、様々な演算によって導出されてもよい。または、系列データ間の類似度は、何らかの基準で選択したいくつかの属性の、評価した類似度の、和や積、加重平均、平均値等、様々な演算によって導出されてもよい。
【００６４】
図３と図４は、図８〜図１０に示す系列データの病歴属性の属性値から抽出された多重集合を示す説明図である。図３と図４に示す多重集合は、ＩＤと、年齢と、性別と、病歴とから構成される。
【００６５】
図３と図４に示す多重集合は、病歴属性に対してデータ主体毎に生成されている。病歴属性には、各データ主体の図８〜図１０に示す各系列データに含まれるデータ主体の病歴がすべて含まれている。
【００６６】
図３に示す多重集合から、多重集合の要素の類似性は、病歴属性に「緑内障」が共に含まれるＩＤがＡの要素とＩＤがＢの要素との間、病歴属性に「高血圧症」が共に含まれるＩＤがＣの要素とＩＤがＤの要素との間でそれぞれ高いことが分かる。
【００６７】
このように、匿名コホート生成部１１は、系列データ間の類似度を利用して、系列データの集合から所定の関係多様性を満たすコホートを作成する。匿名コホート生成部１１は、コホートを作成する際に、トップダウンアプローチによる系列データのグループ化やクラスタリング等の方法を用いてもよい。
【００６８】
以下に、トップダウンアプローチを用いる例を説明する。匿名コホート生成部１１は、すべての系列データが含まれるコホートを生成する。次に、匿名コホート生成部１１は、生成したコホートを任意の属性によって２つ以上のコホートに分割する。このとき、匿名コホート生成部１１は、基準となる属性として、例えば、すべての系列データの類似性の平均値や合計値が最も大きくなる属性を選択する。これ以外にも、匿名コホート生成部１１は、エントロピーの大きさや関係多様化による関係の曖昧化度合い等を指標に用いてもよい。
【００６９】
匿名コホート生成部１１は、基準となる属性の任意の基準点によって作成したコホートを２つ以上のコホートに分割する。匿名コホート生成部１１は、基準点として、中央値や平均値、エントロピーが最大または最小となる点、分割後のコホートから生成されるコホート情報の曖昧性が小さくなる点など、任意の点を用いてよい。
【００７０】
また、匿名コホート生成部１１は、特定の基準点を決めずに、系列データを基準属性に基づいてクラスタリングしてもよい。コホートを分割したら、匿名コホート生成部１１は、分割後のすべてのコホートが所定の関係多様性を満たすか否かを判定する。分割後のすべてのコホートが所定の関係多様性を満たす場合、匿名コホート生成部１１は、このコホートの分割処理を繰り返す。分割後のいずれか一つのコホートが所定の関係多様性を満たさない場合、匿名コホート生成部１１は、この分割処理を取りやめてコホートを分割前の状態に戻し、コホートの生成処理を終了する。
【００７１】
例えば、図８〜図１０に示す系列データを元にコホートを作成した場合、初期状態として、データ主体が｛Ａ、Ｂ、Ｃ、Ｄ｝の系列データから構成されるコホートが生成される。次いで、病歴属性を基準としてコホートを分割する場合には、匿名コホート生成部１１は、｛Ａ、Ｂ、Ｃ、Ｄ｝の系列データから構成されるコホートを｛Ａ、Ｂ｝の系列データから構成されるコホートと｛Ｃ、Ｄ｝の系列データから構成されるコホートへと分割する。この分割は、病歴属性の多重集合の類似性に基づいたクラスタリングにより行われるコホート分割である。
【００７２】
また、年齢属性を基準としてコホートを分割する場合には、匿名コホート生成部１１は、同様に｛Ａ、Ｂ、Ｃ、Ｄ｝の系列データから構成されるコホートを｛Ａ、Ｂ｝の系列データから構成されるコホートと｛Ｃ、Ｄ｝の系列データから構成されるコホートへと分割する。この分割は、｛Ａ、Ｂ、Ｃ、Ｄ｝の系列データの年齢属性の中央値を抽出し、中央値を基準として、２つのコホートへと分割したことにより行われるコホート分割である。ここで、｛Ａ、Ｂ、Ｃ、Ｄ｝の系列データの年齢属性の中央値はＢまたはＣの年齢である。
【００７３】
以上のように、匿名コホート生成部１１は、系列データ間の類似度をすべての系列データの組み合わせに対して計算し、類似性の高い系列データ群からコホートを作成する。このとき、満たすべき匿名性としてｋ−匿名性が採用された場合には、匿名コホート生成部１１は、各コホートに少なくともｋ個の系列データが含まれるようにする。匿名コホート生成部１１は、コホート作成の操作を上述の類似度を用いて、クラスタリングによって実施してもよい。
【００７４】
なお、コホートの元になる系列データ群が原型の状態では所定の匿名性を満たさない場合、匿名コホート生成部１１は、系列データの属性値を所定の匿名性を満たすように加工する再符号化処理を行う。また、所定の基準以上の属性値の数や情報量が所定の匿名性を満たしながらコホートの元になる系列データ群から抽出されない場合にも、匿名コホート生成部１１は再符号化処理を行う。
【００７５】
次に、匿名コホート生成部１１は、各コホートで、コホートに属する系列データ群に共通の属性値または特徴、性質等を抽出する。匿名コホート生成部１１は、ここで抽出した共通の属性値または特徴、性質をコホート情報に記載する。
【００７６】
匿名コホート生成部１１は、各コホートにおいて系列データ群に共通の属性値を抽出する。匿名コホート生成部１１は、共通の属性値を系列データ群の属性毎に抽出する。共通の属性値は、系列データ間で少なくとも一度は共起する属性値であればよい。
【００７７】
コホートＩＤが１のレコード群では、「緑内障」が病歴属性において共起している。また、コホートＩＤが２のレコード群では、「高血圧症」が病歴属性において共起している。匿名コホート生成部１１は、共起している「緑内障」や「高血圧症」をそれぞれのコホートにおいて抽出する。
【００７８】
次に、匿名コホート生成部１１は、属性値を汎化して、汎化した属性値から共通の属性値を抽出する。すなわち、匿名コホート生成部１１は、系列データの属性値を、同一のコホートに属するすべての系列データの属性の属性値を包含する汎化によって得られる値へと汎化する。
【００７９】
このとき、系列データの各レコードが同一の属性にそれぞれ異なる値を持つ場合には、匿名コホート生成部１１は、異なる値の中から代表的な値を生成して、その生成した値を基に属性値を汎化してもよい。また、系列データの各レコードが同一の属性にそれぞれ異なる値を持つ場合には、匿名コホート生成部１１は、すべての異なる値を包含する値へと一度属性値を汎化した上で、他の系列データとの間で汎化した属性値を生成してもよい。
【００８０】
コホートＩＤが１のレコード群には、「２型糖尿病」、「１型糖尿病」を汎化すると得られる上位概念の値「糖尿病」が存在する。属性値の汎化の一例として、匿名コホート生成部１１は、上位概念の値である「糖尿病」をコホートＩＤが１のコホートに属する系列データ群に共通の属性値としてさらに抽出する。図４に、コホートに属する系列データ群に共通の属性値として抽出された属性値を下線付きの文字で示す。
【００８１】
共通の特徴や性質は、系列データ毎に任意のデータ分析によって特徴や性質を求めた上で、求めた値から、上述の共通の属性値の抽出や属性値の汎化と同様に、コホート中のすべての系列データに共通の特徴や性質を抽出することによって得られる。または、共通の特徴や性質は、同様にして、コホート中の各系列データの特徴や性質を汎化して抽出することによっても得られる。
【００８２】
このようにしてｋ−匿名性を満たすコホートと、コホートに関するｋ−匿名性を満たすコホート情報が生成される。
【００８３】
図５にコホート情報の一例を示す。図５は、図１１〜図１３に示す関係多様化が行われた後の系列データのコホート情報の一例を示す説明図である。図５に示すコホート情報は、コホートＩＤと、年齢と、性別と、病歴と、人数とから構成される。
【００８４】
コホートＩＤは、コホート情報が対応するコホートを特定するコホートのＩＤである。
病歴には、図４に示すコホート毎の病歴属性に対する共通情報が含まれる。年齢と性別にも同様に、コホート毎の年齢属性、性別属性に対する共通情報がそれぞれ含まれる。人数は、コホートＩＤで特定されるコホートに属する系列データ群に対応するデータ主体の数である。
【００８５】
次いで、関係多様化部１２は、系列データに対して関係多様化を行う。関係多様化部１２は、関係多様化を行う際に、既存の関係多様化方法を用いてよい。本明細書では、関係多様化を行う方法の説明を省略する。関係多様化部１２は、匿名化コホート生成部１１で生成されたコホートに属する系列データ群に対して、それぞれ関係多様化を行う。
【００８６】
例えば、図８〜図１０に示す系列データに対して関係多様化を行うと、図１１〜図１３に示すような、関係多様な系列データが生成される。関係多様化が行われた系列データでは、系列データ中の属性値間の関係が曖昧になっている。
【００８７】
関係多様化部１２は、匿名化コホート生成部１１で生成されたコホート情報を、関係多様化が行われた系列データ群と共に出力する。
【００８８】
コホート情報に記載された属性値や特徴、性質は、コホート中の系列データ群に共通の特徴である。よって、コホート情報はコホートに属する系列データ中の任意の属性値や特徴と関係があることが分かる。かつ、コホート情報は、曖昧性が低減された状態で利用される。
【００８９】
ここまで、関係多様化されていない系列データに対して関係多様性を満たし得るコホートを生成し、その後、関係多様化を行う手順およびコホート情報を生成する手順を説明した。既に関係多様化された系列データが存在する場合には、情報処理装置１０は、匿名コホート生成部１１のコホート情報生成機能を用いて系列データの共通の属性値や特徴等を生成してよい。こうすることによって、情報処理装置１０は、既存の関係多様化が行われた系列データの、曖昧にされている属性値間の、一部の曖昧性を低減した状態で提供してもよい。
【００９０】
以上により、情報処理装置１０は、関係多様化が行われた系列データに、コホートに属する系列データ群に共通かつ所定の匿名性を満たす属性値や特徴、性質を補助情報として付加して出版する。こうすることによって、情報処理装置１０は、補助情報が付加されている関係多様化が行われた系列データ中の各センシティブ属性値間の関係を、補助情報が付加されていない関係多様化が行われた系列データ中の各センシティブ属性値間の関係よりも曖昧性を小さくした状態で提供できる。
【００９１】
以下、本実施形態の情報処理装置１０の動作を図６のフローチャートを参照して説明する。
【００９２】
匿名コホート生成部１１は、系列データ群から共通の属性値、または共通の加工された属性値を持ち、所定の匿名性を満たす系列データ群を抽出する（ステップＳ１）。
【００９３】
次いで、匿名コホート生成部１１は、特定の場合に、系列データの属性値を所定の匿名性を満たすように加工する（ステップＳ２）。その特定の場合は、系列データ群が原型の状態では所定の匿名性を満たさない場合、または、所定の基準以上の属性値の数や情報量が、所定の匿名性を満たしながら、系列データ群から抽出されない場合である。
【００９４】
匿名コホート生成部１１は、抽出した系列データ群を元にコホートを生成する。そして、匿名コホート生成部１１は、各コホートにおいて、コホートに属する系列データ群に共通の属性値または特徴、性質等を抽出し、抽出した共通の属性値または特徴、性質をコホート情報に記載する。
【００９５】
次いで、関係多様化部１２は、ステップＳ１とステップＳ２で生成されたコホートに基づいて、コホートに属する系列データのセンシティブ属性値間の関係に対して関係多様化を行う（ステップＳ３）。関係多様化部１２は、匿名化コホート生成部１１で生成されたコホート情報を、関係多様化が行われた系列データ群と共に出力する。出力した後、情報処理装置１０は動作を終了する。
【００９６】
本実施形態の情報処理装置１０は、所定の匿名性を満たすコホート中の系列データ群の共通の属性値や特徴、性質をコホート情報として生成し、関係多様化が行われた系列データ群と共に出力（出版）する。こうすることによって、情報処理装置１０は、関係多様化によって曖昧にされてしまう系列データの属性間の関係の一部を、曖昧性を低減した状態で提供できる。すなわち、関係多様化が行われた系列データ群がコホート情報と共に提供されることで、使用者は、コホート分析をする際の精度を向上したり、曖昧性を低減したりすることができる。
【００９７】
本実施形態の情報処理装置１０を使用した場合、関係多様化が行われた系列データに対して、コホートに属する系列データ群が共通に持つ特徴的な属性値が補助情報として付与されることで、使用者は、コホートに属する系列データ群の共通の特徴を把握できる。このとき、補助情報に提供される情報は、所定の匿名性を満たすように、原型の系列データから選択される。すなわち、補助情報を関係多様化が行われた系列データに付加した場合であっても、所定の匿名性が維持される。
【００９８】
次に、本発明の実施形態の概要を説明する。図７は、本発明の実施形態の情報処理装置１の概要を示すブロック図である。情報処理装置１は、関係多様化部３（例えば、関係多様化部１２）を備える。関係多様化部３は、同一のデータ主体のレコード群の系列を表す系列データを対象とする匿名化および補助情報生成装置であって、系列データのセンシティブ属性値から他のセンシティブ属性値の特定が困難になるように関係多様化を行う。さらに、情報処理装置１は、同一の準識別子の組、または同一のグループ識別子を付与された互いに類似性を有する系列データの集合であるコホートに属する系列データ群の共通の属性値や特性、性質を抽出して、コホート情報を生成する匿名コホート生成部２（例えば、匿名コホート生成部１１）を備える。そして、情報処理装置１は、関係多様化部３は、コホート情報を付加して関係多様化が行われた系列データ群を出力する。
【００９９】
そのような構成により、情報処理装置１は、関係多様化が行われた系列データの属性間の関係の曖昧性を低減し、コホートに属する系列データ群の共通の特徴を把握できる。
【０１００】
また、匿名コホート生成部２は、複数の系列データから、コホートを所定の匿名性を満たすように生成し、関係多様化部３は、匿名コホート生成部２が生成したコホートに属する系列データ群を対象に関係多様化を行ってもよい。
【０１０１】
そのような構成により、情報処理装置１は、複数の系列データからコホートを作成でき、作成したコホートに属する系列データ群の共通の特徴を把握できる。
【０１０２】
また、匿名コホート生成部２は、系列データ群の共通の属性値や特性、性質を抽出する際に、コホートに属する系列データ群にとって、属性値や特性、性質が共通の値となるように系列データ群を対象に再符号化を行ってもよい。
【０１０３】
そのような構成により、情報処理装置１は、系列データ群の共通の属性値や特性、性質をより多く抽出することができる。
【０１０４】
また、匿名コホート生成部２は、センシティブ属性の類似性を基準としてセンシティブ属性から生成される多重集合の類似性が高くなるようにコホートを生成してもよい。
【０１０５】
そのような構成により、情報処理装置１は、コホートの元になる系列データ群のセンシティブ属性に基づいてコホートを生成できる。
【０１０６】
また、匿名コホート生成部２は、準識別子の類似性を基準として準識別子から生成される多重集合の類似性が高くなるようにコホートを生成してもよい。
【０１０７】
そのような構成により、情報処理装置１は、コホートの元になる系列データ群の準識別子に基づいてコホートを生成できる。
また、上述した実施形態において、各フローチャートを参照して説明した情報処理装置の動作を、コンピュータ・プログラム（情報処理プログラム）として情報処理装置（コンピュータ装置）の記憶装置（記録媒体）に格納しておくことができる。そして、係るコンピュータ・プログラムを図２に示すＣＰＵ１００１が読み出して実行するようにしてもよい。そして、このような場合において、本発明は、係るコンピュータ・プログラムのコードあるいは記憶媒体によって構成される。
図１４は、記録媒体１００５の一例を示す図である。図１４に示す記憶媒体１００５は、コンピュータ読み取り可能な非一時的記録媒体であってよい。
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
この出願は、２０１３年１１月２８日に出願された日本出願特願２０１３−２４５６３７を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
【符号の説明】
【０１０８】
１  情報処理装置
２、１１  匿名コホート生成部
３、１２  関係多様化部
１０  情報処理装置
９０  系列データ
１００１  ＣＰＵ
１００２  ＲＡＭ
１００３  ＲＯＭ
１００４  記憶装置
１００５  記録媒体
【図１】
2015079647.tif 000003
【図２】
2015079647.tif 000004
【図３】
2015079647.tif 000005
【図４】
2015079647.tif 000006
【図５】
2015079647.tif 000007
【図６】
2015079647.tif 000008
【図７】
2015079647.tif 000009
【図８】
2015079647.tif 000010
【図９】
2015079647.tif 000011
【図１０】
2015079647.tif 000012
【図１１】
2015079647.tif 000013
【図１２】
2015079647.tif 000014
【図１３】
2015079647.tif 000015
【図１４】
2015079647.tif 000016
【国際調査報告】
2015079647.tif 000017
2015079647.tif 000018
2015079647.tif 000019