(57)【要約】  元データの所定の性質を保存したリサンプリングデータを生成するため、本発明の情報処理装置は、匿名化の対象である属性を含むレコードの集合である元データと、元データのレコードに含まれる属性を匿名化したデータである匿名化データとの関係であるマッチングを示すマッチング情報を基に、匿名化データのレコードに対応する元データのレコード群を抽出するマッチングレコード抽出手段と、レコード群を基に、匿名化データのレコードに含まれる属性に設定する値であるリサンプリングデータの生成に用いるリサンプリング源を生成するリサンプリング源生成手段と、リサンプリング源を基に、匿名化データのレコードに含まれる属性に設定するリサンプリングデータを生成するリサンプリング手段とを含む。
2016092830.tif 000002
【特許請求の範囲】
【請求項１】
匿名化の対象である属性を含むレコードの集合である元データと、前記元データのレコードに含まれる属性を匿名化したデータである匿名化データとの関係であるマッチングを示すマッチング情報を基に、前記匿名化データのレコードに対応する前記元データのレコード群を抽出するマッチングレコード抽出手段と、
前記レコード群を基に、前記匿名化データのレコードに含まれる属性に設定する値であるリサンプリングデータの生成に用いるリサンプリング源を生成するリサンプリング源生成手段と、
前記リサンプリング源を基に、前記匿名化データのレコードに含まれる属性に設定するリサンプリングデータを生成するリサンプリング手段と
を含む情報処理装置。
【請求項２】
前記マッチングレコード抽出手段は、
前記マッチング情報として匿名化マッチンググラフを用いる
請求項１に記載の情報処理装置。
【請求項３】
前記リサンプリング源生成手段は、
前記リサンプリング源として連続的な確率分布を生成する
請求項１又は２に記載の情報処理装置。
【請求項４】
前記リサンプリング源生成手段は、
前記リサンプリング源として離散的な確率分布を生成する
請求項１又は２に記載の情報処理装置。
【請求項５】
匿名化の対象である属性を含むレコードの集合である元データと、前記元データのレコードに含まれる属性を匿名化したデータである匿名化データとの関係であるマッチングを示すマッチング情報を基に、前記匿名化データのレコードに対応する前記元データのレコード群を抽出し、
前記レコード群を基に、前記匿名化データのレコードに含まれる属性に設定する値であるリサンプリングデータの生成に用いるリサンプリング源を生成し、
前記リサンプリング源を基に、前記匿名化データのレコードに含まれる属性に設定するリサンプリングデータを生成する
情報処理方法。
【請求項６】
匿名化の対象である属性を含むレコードの集合である元データと、前記元データのレコードに含まれる属性を匿名化したデータである匿名化データとの関係であるマッチングを示すマッチング情報を基に、前記匿名化データのレコードに対応する前記元データのレコード群を抽出する処理と、
前記レコード群を基に、前記匿名化データのレコードに含まれる属性に設定する値であるリサンプリングデータの生成に用いるリサンプリング源を生成する処理と、
前記リサンプリング源を基に、前記匿名化データのレコードに含まれる属性に設定するリサンプリングデータを生成する処理と
をコンピュータに実行させるプログラムをコンピュータ読み取り可能に記録する記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理に関し、特に、個人の情報（プライバシー情報）を扱う情報処理装置、情報処理方法、及び、記録媒体に関する。
【背景技術】
【０００２】
近年、様々なサービスにおいて、個人に関するプライバシー情報（個人情報）が、情報処理装置に蓄積されるようになっている。このようなプライバシー情報として、例えば、健康管理データ、診療履歴、又は、レセプト（診療報酬明細書）のような、ヘルスケア（健康管理）に関するデータが、挙げられる。あるいは、プライバシー情報として、移動履歴又は無線アクセスポイントの利用履歴のような、人又は端末の移動又は滞在に関する位置の情報が、挙げられる。例えば、プライバシー情報であるレセプトは、生年、性別、傷病名、及び、薬剤名といった属性のデータを含むレコードから構成されたデータセット（集合）として、情報処理装置に、蓄積される。このようなプライバシー情報において、プライバシー保護の観点から、オリジナルな情報（元の情報）内容で公開又は利用されることは、好ましくない。【０００３】
ここで、生年又は性別のように個人を特徴付け、他の属性との組合せを基に個人を特定する可能性のある属性は、「準識別子（ＱＩ：Quasi-Identifier）」と呼ばれる。また、傷病名又は薬剤名のように、他人に知られたくない属性は、「センシティブ属性（機微情報：ＳＡ（Sensitive Attribute）、又は、ＳＶ（Sensitive Value））」と呼ばれる。なお、名前のように単独で個人を特徴づける属性は、ユーザ識別子（ユーザＩＤ：User Identifier）と呼ばれる。【０００４】
上記のようなプライバシー情報は、プライバシー侵害の懸念がなければ、有益性の高い二次活用をもたらす。ここで、二次活用（二次利用）とは、例えば、プライバシー情報を生成又は蓄積しているサービス事業者とは異なる第三者にプライバシー情報を提供し、その第三者が、プライバシー情報をサービスにおいて利用することである。あるいは、二次活用とは、第三者に対して、プライバシー情報を提供し、分析などのアウトソーシングを依頼することである。プライバシー情報の二次活用は、プライバシー情報の分析又は研究を促進し、分析結果又は研究結果を用いたサービスの強化につながる。したがって、二次活用を基に、第三者は、プライバシー情報が持つ高い有益性を享受することができる。【０００５】
例えば、第三者として想定し得るものとして、製薬会社がある。製薬会社は、診療情報を基に、薬品の共起関係又は相関関係などを、分析できる。診療情報を用いると、製薬会社は、薬品がどのように利用されているのかを知ることができ、さらに、利用状態を分析することができる。しかし、製薬会社にとって、診療情報を入手することは、一般的に、困難である。【０００６】
このように、プライバシー情報を含むデータセット（例えば、診療情報）は、プライバシー侵害の懸念から、積極的には、二次活用がなされていない。【０００７】
例えば、サービスの利用者を一意に識別するユーザ識別子（ユーザＩＤ）と、１つ以上のセンシティブ情報とを含むレコードを含むデータセットが、サービス提供者の情報処理装置に蓄積されているとする。ここで、ユーザ識別子が付与されたままでセンシティブ情報を含むデータセットが第三者に提供された場合、その第三者は、ユーザ識別子を用いて、サービスの利用者を特定できる。そのため、このような提供では、プライバシー侵害の問題が、発生する可能性がある。【０００８】
また、ユーザ識別子を取り除くが、準識別子を１つ以上含む複数のレコードを含むデータセットが、第三者に提供された場合について考える。この場合、第三者が、準識別子の組合せに基づいて、個人を特定できてしまう場合がある。すなわち、たとえ、ユーザ識別子を取り除いたデータセットでも、準識別子の組合せに基づいて、ある個人を特定可能な場合、プライバシー侵害が、発生する可能性がある。【０００９】
このような特性を有するプライバシー情報のデータセットを、本来の有用性をある程度保ちながら、プライバシーを保護した形態に変換する技術が望まれている。このような技術として、匿名化技術（Anonymization）が、知られている（例えば、特許文献１、非特許文献１、及び非特許文献２を参照）。【００１０】
広く用いられている匿名性の指標として“ｋ−匿名性”がある（例えば、非特許文献１及び特許文献１を参照）。【００１１】
非特許文献１には、広く用いられる匿名性指標である“ｋ−匿名性”が、記載されている。ここで、ｋ−匿名性とは、全てのレコードに対し、匿名化対象のデータセットの中に、同じ準識別子（又は準識別子の組）を有するレコードが、少なくともｋ個以上存在することを保証する指標である。また、匿名化対象のデータセットに、係るｋ−匿名性を充足させる技術は、“ｋ−匿名化”と呼ばれる。つまり、ｋ−匿名化は、同じ準識別子（又は準識別子の組）を有するレコードが、匿名化対象のデータセットの中に少なくともｋ個以上存在するように、対象となるレコードの準識別子を変換する。ここで用いられる変換処理としては、一般化又は切り落とし等の処理が、知られている。一般化処理とは、元の（オリジナルの）詳細な情報を、抽象化された情報に変換する処理である。また、切り落とし処理とは、元の詳細な情報を削除する処理である。【００１２】
また、特許文献１には、ｋ−匿名化を利用する技術が、記載されている。特許文献１に記載された技術は、ユーザ端末から受信したデータを、暗号化などを用いて変換してから格納し、格納したデータを復号してからｋ−匿名性を満たすよう加工して、サービス提供者のサーバに送信する。【００１３】
上記のとおり、ｋ−匿名化は、同じ準識別子と関連付けられたレコードの数が、ｋ個以上となることを保証する匿名化である。言い換えると、ｋ−匿名化は、ｋ個以上のレコードを加工し、同一化することに基づいて、個人に対するレコードを、少なくともｋ個よりも少ない候補に絞り込むことができないように加工する。この動作を基に、ｋ−匿名化は、レコードの識別又は特定を困難にする。よって、ｋ−匿名性は、レコードの識別の困難さを表す指標とも言える。【００１４】
図３は、プライバシー情報の一例を示す図である。図３に示されるプライバシー情報は、属性として、名前（Name）、年齢（Age）、郵便番号（Zip-code）、及び、病気（Disease）を含む。そして、例えば、名前（Name）の属性が、ユーザ識別子である。年齢（Age）及び郵便番号（Zip-code）の属性が、準識別子である。また、病気（Disease）の属性が、センシティブ属性である。【００１５】
図４は、図３に示されるプライバシー情報を、ｋ＝２としてｋ−匿名化した匿名化後の情報（データ）の一例を示す図である。図４に示される匿名化後の情報は、明示的な識別子（ユーザ識別子）である属性の名前（Name）が排除（削除）され、準識別子が加工されることで、ｋ＝２のｋ−匿名性が充足されている。図４では、図３に示されるＡｌｉｃｅ、Ｂｏｂ、及び、Ｃａｒｏｌのレコードが、同一の準識別子の組を持つように、準識別子が加工されている。同様に、Ｄａｖｉｄ及びＥｖｅのレコードは、同一の準識別子の組を持つように、準識別子が加工されている。具体的には、図４の匿名化において、属性の年齢（Age）の値は、年齢の範囲を表す値に加工されている。また、５つの桁を持つ属性の郵便番号（Zip-code）は、同一の値を持つ桁の値がそのまま残され、異なる値を持つ桁の値が「＊」に置き換えられている。【００１６】
このように、属性の値は、所定の匿名性を満たすために、曖昧な値に加工される。この属性の値を曖昧な値に加工する動作に基づいて、情報の損失が、生じる。この情報の損失の度合いは、“情報損失”、又は“情報損失量”と呼ばれる。また、情報損失の尺度として、ＮＣＰ（Normalized Certainty Penalty）、ＥＭ（Entropy Measure）、又はＤＭ（Distortion Metric）などの指標が、広く知られている。【００１７】
ｋ−匿名性以外の匿名性指標として、（ｋ，１）−匿名性（(k,1)-anonymity）、（１，ｋ）−匿名性（(1,k)-anonymity）、（ｋ，ｋ）−匿名性（(k,k)-anonymity）、ｋ−隠蔽性（k-concealment）という指標が、知られている（例えば、非特許文献２を参照）。【００１８】
これらの匿名性指標は、元の情報であるデータセット（Ｔ）に含まれるレコード（ｔ）と、匿名化後のデータセット（Ｔ＊）に含まれるレコード（ｔ＊）とのマッチングに基づく、匿名性の指標である。ここで、ある匿名化作用素Ａを仮定し、その匿名化作用素Ａにおいて、“Ａ（ｔ）⊆ｔ＊”又は“Ａ（ｔ＊）⊆ｔ”との関係が成り立つとき、ｔとｔ＊とは、“マッチする”、又は、ｔとｔ＊とには、“マッチングが存在する”とする。なお、以下、「データセット」を単に「データ」と呼ぶ場合もある。また、「匿名化後のデータセット」を、単に、「匿名化データセット」又は「匿名化データ」と呼ぶ。なお、以下、匿名化の元となるプライバシー情報は、「元データ」又は「元データセット」と呼ばれる。なお、元データは、匿名化処理の対象となる。そのため、以下の説明において、元のデータからユーザ識別子を削除した状態のデータも、「元データ」と呼ばれる。【００１９】
（ｋ，１）−匿名性とは、匿名化データ（Ｔ＊）の任意のレコード（ｔ＊）に、ｋ個以上の元データ（Ｔ）のレコード（ｔ）がマッチする（｜｛ｔ｜Ａ（ｔ）⊆ｔ＊｝｜≧ｋ）ことを保証する指標である。なお、「｜・｜」は、集合（・）の要素の数である。【００２０】
図７は、図３に示されるプライバシー情報を、ｋ＝２の（ｋ，１）−匿名性を充足するように匿名化した場合の、元データと匿名化データとのマッチングの一例を示す図である。【００２１】
（１，ｋ）−匿名性とは、元データセット（Ｔ）の任意のレコード（ｔ）とｋ個以上の匿名化データ（Ｔ＊）のレコード（ｔ＊）とがマッチすることを保証する指標である。【００２２】
図５は、図３に示されるプライバシー情報（元データ）と、図３に示されるプライバシー情報をｋ＝２の（１，ｋ）−匿名性を充足するように匿名化した匿名化データとのマッチングの一例を示す図である。図５において、例えば、Ａｌｉｃｅのレコードは、匿名化データの１番目及び３番目のレコードとマッチしている。このように、図５は、各元データのレコードと、ｋ個（ここではｋ＝２）の匿名化データのレコードとが、マッチすることを表している。【００２３】
図６は、図５におけるマッチングを示すグラフ（匿名化マッチンググラフ）を抜き出して、示した図である。図６に示されるように、元データと匿名化データのレコードと間のマッチングは、元データ及び匿名化データの各レコードを頂点とし、マッチングを辺とする二部グラフを用いて表すことができる。以下、この二部グラフを、匿名化マッチンググラフと呼ぶ。【００２４】
（ｋ，ｋ）−匿名性とは、（ｋ，１）−匿名性と（１，ｋ）−匿名性との両方を、同時に満たすことを保証する指標である。【００２５】
図８は、図３に示されるプライバシー情報を、ｋ＝２の（ｋ，ｋ）−匿名性を充足するように匿名化した場合の、元データと匿名化データとのマッチングの一例を示す図である。【００２６】
ｋ−隠蔽性とは、（ｋ，１）−匿名性のマッチングを構成する匿名化マッチンググラフの辺が、完全マッチングとなることを保証する指標である。【００２７】
ここで、完全マッチングとは、マッチングを示す二部グラフの辺の集合が、すべての頂点を接続可能、かつ、端点を共有しない辺の集合となることである。【００２８】
完全マッチングをより詳細に説明する。二部グラフにおいて、一方のデータを元データとし、他方のデータを匿名化データとする。そして、各レコードを頂点として、マッチングが存在するレコードの頂点間に辺を張り、二部グラフを構成する。ここで、１つの完全マッチングは、元データのレコードと匿名化データのレコードとの全単射となる。言い換えると、ある元データのレコードには、固有の匿名化データのレコードが存在するということである。【００２９】
非特許文献２に記載の技術は、ｋ−隠蔽性を充足させる匿名化についての技術である。そして、非特許文献２に記載の匿名化は、マッチングに基づく匿名化である。非特許文献２に記載の技術は、まず、元データから、元データと同じ準識別子の組を持つ匿名化データを生成する。そして、非特許文献２に記載の技術は、元データのレコードと匿名化データのレコードとのマッチングに基づいて、完全マッチングの二部グラフを生成する。【００３０】
この二部グラフに対する辺の追加は、追加された辺の端点となる元データのレコードとマッチングを成り立たせるように、他の端点である匿名化データのレコードを匿名化する操作に相当する。つまり、辺の追加に基づいて、匿名化データは、加工される。その結果、情報損失が、生じる。【００３１】
非特許文献２に記載の匿名化技術は、次のように、辺を追加する３つのステップを用いて、情報損失が小さくなるように、ｋ−隠蔽性を充足させる。すなわち、非特許文献２に記載の技術は、第一のステップで、辺の追加を用いて、情報損失が小さい（ｋ，１）−匿名性を充足させる。そして、非特許文献２に記載の技術は、第二のステップで、辺の追加を用いて、情報損失が小さい（ｋ，ｋ）−匿名性を充足させる。そして、非特許文献２に記載の技術は、第三のステップで、辺の追加を用いて、情報損失が小さいｋ−隠蔽性を充足させる。
【先行技術文献】
【特許文献】
【００３２】
【特許文献１】特開２０１１−１８０８３９号公報
【非特許文献】
【００３３】
【非特許文献１】Latanya Sweeney, "k-Anonymity: A Model for Protecting Privacy", International Journal on Uncertainty, Fussiness and Knowledge-based Systems, Volume 10, Issue 05, pp.555-570, October 2002.
【非特許文献２】Tamir Tassa, Arnon Mazza and Aristides Gionis, "k-Concealment: An Alternative Model of k-Type Anonymity", Transactions on Data Privacy, 5, pp. 189-222, 2012.
【発明の概要】
【発明が解決しようとする課題】
【００３４】
特許文献１、非特許文献１、及び非特許文献２に記載された匿名化において、匿名化されたデータ（匿名化データ）は、匿名化の対象である元データの値の形式とは異なる値の形式を持つ場合がある。値の形式が異なる場合、元データにおける値の形式に対して設計されたアプリケーションは、匿名化データを用いた動作を実行できない、又は、不正な値を算出するなどの、不都合を生じる。【００３５】
図４に示されるデータは、図３に示される元データを、ｋ＝２のｋ−匿名化を充足するように匿名化したデータの一例である。ここで、例えば、図３に示される元データの属性における年齢（Age）の値の形式は、１つの数値を表す形式である。一方で、図４に示される匿名化データにおける属性の年齢（Age）の値の形式は、数値の範囲を表す形式である。このように、匿名化データの値の形式は、元データの値の形式と異なってしまう場合がある。【００３６】
このように、特許文献１、非特許文献１、及び非特許文献２に記載の技術は、匿名化データが、元データに対して設計されたアプリケーションに適用できないという問題点があった。【００３７】
ここで、以下の説明で用いる変数を定義する。元データをＴと、匿名化データをＴ＊と、元データＴの属性Ａと、元データＴの属性Ａを匿名化した匿名化データＴ＊の属性をＡ＊とする。また、属性Ａの値の集合（以下、この集合を「ドメイン」と呼ぶ）をＤ（Ａ）とする。【００３８】
この変数を用いて説明すると、上記の問題は、ドメインＤ（Ａ）とドメインＤ（Ａ＊）との不一致（Ｄ（Ａ）≠Ｄ（Ａ＊））に基づいて生じる。【００３９】
この不一致を解消するためには、匿名化を実行する装置は、匿名化データＴ＊の属性Ａ＊のドメインＤ（Ａ＊）を、元データの属性ＡのドメインＤ（Ａ）と同じ値の形式に再加工すればよい。このような再加工の技術として、リサンプリングが知られている。リサンプリングとは、あるデータを基に作成（射影）されたデータを、再度、別の観点に基づいて再作成（射影）する技術である。【００４０】
匿名化データＴ＊の属性Ａ＊のドメインＤ（Ａ＊）と、元データＴの属性ＡのドメインＤ（Ａ）との不一致の解消のために用いられる、リサンプリングの一例について説明する。【００４１】
図４に示されるように、属性の値が範囲を表す値に匿名化された場合、例えば、匿名化を実行する装置は、その範囲に含まれるいずれかの値をランダムに選択して、その属性の値として設定することを用いて、リサンプリングを実現することができる。以下、ランダム選択に限らず、匿名化データにおける属性の範囲から、所定の選択方法に基づいて選択された値を用いてリサンプリングされた匿名化データは、リサンプリングデータと呼ばれる。【００４２】
ここで、上記のように、一般的なリサンプリングデータにおける属性の値は、匿名化データの属性の値の範囲からランダムに選択された値である。そのため、リサンプリングデータにおける属性の値の性質（例えば、偏り又は分布）は、元データにおける属性の性質とは、異なる。その結果、一般的なリサンプリングに基づくリサンプリングデータを用いる場合、リサンプリングデータの利用者は、元データの属性の性質を推測することが難しい。このことについて、図面を参照して、さらに説明する。【００４３】
図４に示されるデータは、図３を、ｋ＝２としてｋ−匿名化したデータである。そして、図９は、図４に示されるデータを基にリサンプリングしたリサンプリングデータの一例を示す図である。図９に示される上から３つのレコードは、図４に示される上から３つのレコードが表す範囲を基に、リサンプリングされた属性（年齢及び郵便番号）の値を含んでいる。【００４４】
ここで、図９に示されるレコードと図３に示されるレコードとにおける、年齢の属性の偏りを確認する。具体的に、偏りの一例として、平均と分散とを用いて説明する。図９に示される上から３つのレコードに対応する図３に示される元データの上から３つのレコードの属性の年齢（Age）の値は、２つの「２１」と、１つの「３０」である。そのため、元データの上から３つのレコードの平均は「２４」となり、分散は「１８」となる。一方で、図９に示される３つのレコードの属性の年齢の値は、「２３」、「２５」、及び「２９」である。そのため、リサンプリングを基に生成されたレコードの平均は「２５．６７（小数第三位で四捨五入）」となり、分散は「６．２２（小数第三位で四捨五入）」となる。このように、図３に示される元データにおける性質（今の場合、分散）は、図９に示されるリサンプリングデータにおいて、どの程度であるが分からなくなっている。これは、元データにおける性質（例えば、偏り又は分布）の情報が、リサンプリングデータから欠落したためである。【００４５】
つまり、利用者にとって、リサンプリングデータは、できる限り、元データの性質を維持したデータであることが望ましい。【００４６】
なお、匿名化データにおいて、元データの性質（例えば、偏り又は分布）を表現することは、可能である。しかし、元データの性質を表現するためには、匿名化データは、元データの性質を含む必要がある。そのため、匿名化データは、複雑な形式となる。その場合、匿名化データは、使い勝手が悪いデータとなる。また、元データの分布が分かったとしても、適切なリサンプリングが実行されなければ、リサンプリングデータを用いて、元データの性質を復元することはできない。【００４７】
換言すると、一般的なリサンプリングの技術を用いて、匿名化データを基に、元データと同じドメインの値から構成されたデータをリサンプリングした場合、元データの性質（偏り又は分布等の情報）は、リサンプリングデータから欠損する。そのため、リサンプリングデータは、元データと異なる傾向を持ったデータとなってしまう。つまり、一般的なリサンプリングの技術は、リサンプリングデータが、元データと異なる性質（傾向）を持ったデータとなってしまうという問題点があった。【００４８】
なお、特許文献１、非特許文献１、及び非特許文献２に記載の技術は、リサンプリングに関する技術ではないため、上記問題点を解決できない。【００４９】
本発明の目的は、上記問題点を解決し、元データの所定の性質を保存したリサンプリングデータを生成する情報処理装置、情報処理方法、及び、記録媒体を提供することにある。
【課題を解決するための手段】
【００５０】
本発明の一形態における情報処理装置は、匿名化の対象である属性を含むレコードの集合である元データと、元データのレコードに含まれる属性を匿名化したデータである匿名化データとの関係であるマッチングを示すマッチング情報を基に、匿名化データのレコードに対応する元データのレコード群を抽出するマッチングレコード抽出手段と、レコード群を基に、匿名化データのレコードに含まれる属性に設定する値であるリサンプリングデータの生成に用いるリサンプリング源を生成するリサンプリング源生成手段と、リサンプリング源を基に、匿名化データのレコードに含まれる属性に設定するリサンプリングデータを生成するリサンプリング手段とを含む。【００５１】
本発明の一形態におけるデータ処理方法は、匿名化の対象である属性を含むレコードの集合である元データと、元データのレコードに含まれる属性を匿名化したデータである匿名化データとの関係であるマッチングを示すマッチング情報を基に、匿名化データのレコードに対応する元データのレコード群を抽出し、レコード群を基に、匿名化データのレコードに含まれる属性に設定する値であるリサンプリングデータの生成に用いるリサンプリング源を生成し、リサンプリング源を基に、匿名化データのレコードに含まれる属性に設定するリサンプリングデータを生成する。【００５２】
本発明の一形態における記録媒体は、匿名化の対象である属性を含むレコードの集合である元データと、元データのレコードに含まれる属性を匿名化したデータである匿名化データとの関係であるマッチングを示すマッチング情報を基に、匿名化データのレコードに対応する元データのレコード群を抽出する処理と、レコード群を基に、匿名化データのレコードに含まれる属性に設定する値であるリサンプリングデータの生成に用いるリサンプリング源を生成する処理と、リサンプリング源を基に、匿名化データのレコードに含まれる属性に設定するリサンプリングデータを生成する処理とをコンピュータに実行させるプログラムをコンピュータ読み取り可能に記録する。
【発明の効果】
【００５３】
本発明に基づけば、元データの所定の性質を保存したリサンプリングデータを生成するとの効果を奏することができる。
【図面の簡単な説明】
【００５４】
【図１】図１は、本発明における第１の実施の形態に係る情報処理装置の構成の一例を示すブロック図である。
【図２】図２は、第１の実施の形態に係る情報処理装置の構成の変形例の一例を示すブロック図である。
【図３】図３は、プライバシー情報の一例を示す図である。
【図４】図４は、図３に示されるプライバシー情報の匿名化後の情報の一例を示す図である。
【図５】図５は、図３に示されるプライバシー情報と、（１，ｋ）−匿名性を充足するように匿名化された匿名化データとのマッチングの一例を示す図である。
【図６】図６は、図５における、匿名化マッチンググラフを示す図である。
【図７】図７は、図３に示されるプライバシー情報と、（ｋ，１）−匿名性を充足するように匿名化された匿名化データとのマッチングの一例を示す図である。
【図８】図８は、図３に示されるプライバシー情報と、（ｋ，ｋ）−匿名性を充足するように匿名化した匿名化データとのマッチングの一例を示す図である。
【図９】図９は、図４に示されるデータをリサンプリングしたデータの一例を示す図である。
【図１０】図１０は、第１の実施の形態に係る情報処理装置の動作の一例を表すフローチャートである。
【図１１】図１１は、説明に用いる匿名化マッチンググラフである。
【図１２】図１２は、連続的な確率分布の一例を示す図である。
【図１３】図１３は、年齢と郵便番号とを基に生成された確率分布の一例を示す図である。
【図１４】図１４は、処理途中におけるリサンプリングデータの一例を示す図である。
【図１５】図１５は、図１４の次の処理におけるリサンプリングデータの一例を示す図である。
【図１６】図１６は、すべての匿名化データのレコードに関してリサンプリングした後の結果の一例を示す図である。
【図１７】図１７は、図１２に示される確率分布に、本実施形態のリサンプリングデータと、図９に示されるリサンプリングデータとを配置した図である。
【発明を実施するための形態】
【００５５】
以下、本発明の実施の形態について、図面を参照して詳細に説明する。
【００５６】
なお、各図面は、本発明の実施形態を説明するためのものである。ただし、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。また、図面中の矢印の方向は、一例を示すものであり、ブロック間の信号の向きを限定するものではない。
【００５７】
また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。
【００５８】
また、本発明の実施の形態において、対象となる匿名性は、匿名化の対象である元データと元データを匿名化したデータである匿名化データとの関係が、所定のマッチング（対応関係）を表現する手法を使用して表現可能な匿名性であれば、特に制限されない。このような匿名性として、例えば、ｋ−匿名性（k-anonymity）、ｌ−多様性（l-diversity）、ｔ−近接性（t-closeness）が、挙げられる。また、このような匿名性として、上記の（ｋ，１）−匿名性（(k,1)-anonymity）、（１，ｋ）−匿名性（(1,k)-anonymity）、（ｋ，ｋ）−匿名性（(k,k)-anonymity）、ｋ−隠蔽性（k-concealment）、及び、これらの拡張となる匿名性が、挙げられる。
【００５９】
また、本実施の形態において、マッチングの表現手段（例えば、グラフ）は、上記のマッチングを表現できれば、特に制限されない。例えば、本実施の形態は、任意の匿名性を充足した匿名化マッチンググラフを用いてもよい。つまり、匿名化マッチンググラフは、マッチングを示すマッチング情報の一例である。あるいは、本実施の形態は、マッチンググラフと同等となるデータ構造又は情報形式を用いたグラフ又はデータ表現手法（例えば、表又はデータベース）を用いてもよい。なお、以下の説明では、本発明の実施の形態が扱うグラフの一例として、二部グラフの表現を用いた匿名化マッチンググラフを用いる。
【００６０】
なお、本実施の形態において、匿名化マッチンググラフは、例えば、図６に示されているようなグラフの形態ではなく、異なる形式のグラフでもよい。例えば、匿名化マッチンググラフは、元データと匿名化データとの各レコードのマッチング関係を表す情報（例えば、関係を表す関係式又は文字データ）を保存する形式のグラフでもよい。このような形態として、例えば、元データと匿名化データとのマッチング関係を表す情報を含むリスト、又は、ファイルなどがある。
【００６１】
また、以下の説明では、本発明の実施の形態は、扱うデータセットとして、５つのレコードを含むデータセットを用いる。ただし、これは、本発明の実施の形態が扱うデータセットを制限するものではない。本発明の実施の形態は、５未満のレコード、又は、５を超えるレコードを含むデータセットを用いてもよい。
【００６２】
（第１の実施の形態）
図１は、本発明における第１の実施の形態に係る情報処理装置１０の構成の一例を示すブロック図である。
【００６３】
図１に示されるように、情報処理装置１０は、マッチングレコード抽出部１１と、リサンプリング源生成部１２と、リサンプリング部１３とを含む。
【００６４】
各部の詳細は後述するが、各部の概要は、次のとおりである。
【００６５】
マッチングレコード抽出部１１は、匿名化データのレコード（ｔ＊）に対応する（マッチングする）元データのレコード（ｔ）の集合であるレコード群（Ｍ（ｔ＊））を抽出する。
【００６６】
リサンプリング源生成部１２は、元データのレコード群（Ｍ（ｔ＊））を基に、リサンプリング部１３がデータの抽出に用いるリサンプリング源（以下、一例として、確率分布を用いる）を生成する。なお、リサンプリング源生成部１２は、確率分布に限らず、他の情報、例えば、分布情報又は確率を生成してもよい。以下、分布情報又は確率などを含め、リサンプリング源生成部１２が生成する情報をまとめて、確率分布と呼ぶ。
【００６７】
リサンプリング部１３は、確率分布（リサンプリング源）を基に、リサンプリングデータを抽出（生成）する。
【００６８】
情報処理装置１０における匿名化及びリサンプリングの対象となるデータセット（元データ）は、オリジナルな情報内容を公開又は利用されることが好ましくない属性（センシティブ属性（ＳＡ：Sensitive Attribute））を含むデータセットである。このデータセットは、１つ以上の属性を含むレコードの集合である。そして、レコードは、少なくとも１つ以上のセンシティブ属性を含む。情報処理装置１０は、レコードが含むセンシティブ情報に関連する個人を特定しないように、データセット（元データ）の準識別子（ＱＩ）を匿名化する。既に説明した通り、匿名化されたデータが、匿名化データである。さらに、情報処理装置１０は、匿名化データを基にリサンプリングされたデータ（リサンプリングデータ）を生成（抽出）する。
【００６９】
次に、情報処理装置１０の各構成の詳細及び動作について、図面を参照して説明する。
【００７０】
以下の説明において、元データは、図３に示されるパーソナル情報である。図３において、年齢（Age）及び郵便番号（Zip-code）が、準識別子（ＱＩ）である。また、病名（Disease）が、センシティブ属性（ＳＡ）である。なお、名前（Name）は、識別子とする。そのため、名前は、匿名化データに含まれない。
【００７１】
また、図１１に示される二部グラフが、説明に用いる匿名化マッチンググラフである。図１１に示される匿名化マッチンググラフは、元データに対して、既に所定の匿名性を充足しているものとする。なお、参考として、図１１は、元データと匿名化データとを表示している。
【００７２】
図１０は、第１の本実施の形態に係る情報処理装置１０の動作の一例を示すフローチャートである。
【００７３】
まず、マッチングレコード抽出部１１は、匿名化マッチンググラフにおける１つの匿名化データのレコード（以下、ノードとも呼ぶ）を対象に、そのレコードにマッチする元データのレコード群（Ｍ（ｔ＊））を抽出する（ステップＳ１０１）。
【００７４】
例えば、図１１に示される匿名化データｔ＊１を対象とした場合、マッチングレコード抽出部１１は、レコード群（Ｍ（ｔ＊１））として、元データのレコードの集合｛ｔ１，ｔ２｝を抽出する。つまり、匿名化データのレコードｔ＊１に対するレコード群Ｍ（ｔ＊１）は、Ｍ（ｔ＊１）＝｛ｔ１，ｔ２｝となる。
【００７５】
次に、リサンプリング源生成部１２は、レコード群Ｍ（ｔ＊）を基に、リサンプリング部１３におけるリサンプリングに利用される確率分布を生成（構築）する（ステップＳ１０２）。
【００７６】
リサンプリング源生成部１２は、確率分布を、属性毎に生成してもよい。あるいは、リサンプリング源生成部１２は、すべての属性の組合せに対する確率分布（複数次元の確率分布）を生成してもよい。あるいは、リサンプリング源生成部１２は、レコード群Ｍ（ｔ＊）に含まれるレコードに、一般的な分布推定技術を適用して、確率分布を生成してもよい。
【００７７】
以下では、リサンプリング源生成部１２が、属性毎に、確率分布を生成（構築）する場合について説明する。より具体的な例としてリサンプリング源生成部１２が、図１１に示されるレコードｔ＊３の属性の年齢（Age）を用いて確率分布を生成する場合について説明する。
【００７８】
図１１から明らかなとおり、匿名化データのレコードｔ＊３に対する元データのレコード群Ｍ（ｔ＊３）は、Ｍ（ｔ＊３）＝｛ｔ１，ｔ２，ｔ３｝である。つまり、対象となる属性の年齢は、２つの「２１」と、１つの「３０」との値を含む。そこで、リサンプリング源生成部１２は、「Ｐ（Ａ＊Ａｇｅ＝２１）＝２／３及びＰ（Ａ＊Ａｇｅ＝３０）＝１／３」となる確率分布を生成する。ここでリサンプリング源生成部１２が生成した確率分布は、離散的な確率分布である。
【００７９】
ただし、離散的な確率分布に限らず、リサンプリング源生成部１２は、連続的な確率分布を生成してもよい。例えば、リサンプリング源生成部１２は、各値（元データの値）が正規分布で発生するとの仮定を基に、各値に対する分布のピークの高さを各値の出現割合に応じて設定した正規分布を混合した混合分布を用いて、確率分布を生成してもよい。例えば、上記の場合、リサンプリング源生成部１２は、Ａｇｅ＝２１に関する正規分布とＡｇｅ＝３０に関する正規分布とのピークの高さを、それぞれの出現割合に合わせて２：１とした混合分布を作成すればよい。
【００８０】
図１２は、この場合の確率分布の一例を示す図である。図１２において、左側のＡｇｅ＝２１において分布の中央（平均値）の値が２となっている正規分布が、Ａｇｅ＝２１の確率分布である。また、右側のＡｇｅ＝３０において分布の中央（平均値）の値が１となっている正規分布が、Ａｇｅ＝３０の確率分布である。
【００８１】
また、リサンプリング源生成部１２は、確率分布を属性の組合せを基に、確率分布を生成してもよい。この場合も、リサンプリング源生成部１２は、属性毎に確率分布を生成する場合と同様に、確率分布を生成することができる。
【００８２】
図１３は、属性の年齢（Age）と属性の郵便番号（Zip-code）との２属性を基に生成した確率分布の一例を示す図である。図１３は、年齢と郵便番号との平面であり、面に垂直な方向が、確率となる。そして、図１３は、地図における等高線のように、同じ値の確率を結んだ線を用いて示している。また、図１３において、「×」は、その近傍での頂点を示す。つまり、「×」は、その近傍での最も確率が高い所（極大値）を示す。つまり、図１３は、確率分布が、確率が高い領域として、３箇所の極大値を含む確率分布であることを示している。
【００８３】
続いて、リサンプリング部１３は、リサンプリング源生成部１２が生成した確率分布に基づいて、匿名化データにおいて匿名化された属性（今の場合、準識別子（ＱＩ））に対するリサンプリングデータを生成する（ステップＳ１０３）。リサンプリング部１３において、確率分布からリサンプリングデータを生成する方法は、特に制限されない。例えば、リサンプリング部１３は、確率分布に従った乱数を発生する関数を用いて発生させた値を、リサンプリングデータとして用いてもよい。
【００８４】
具体的な動作の一例を説明する。
【００８５】
例えば、確率分布は、正規分布とする。また、一般的に、一様分布で乱数を発生する関数は、広くサポートされている。そこで、リサンプリング部１３は、一様分布に従う乱数を生成する。そして、リサンプリング部１３は、ボックス＝ミューラー法（Box-Muller's method）を用いて、生成した一様分布の乱数から、正規分布に従う乱数を生成してもよい。
【００８６】
あるいは、例えば、リサンプリング部１３は、統計などのソフトウェア製品を用いて、正規分布に従う乱数を生成してもよい。
【００８７】
あるいは、リサンプリング部１３は、プログラム言語であるＰｙｔｈｏｎのように、正規分布に従う乱数を発生する関数（例えば、関数random.gauss()）をサポートするプログラム言語を用いて、正規分布に従う乱数を生成してもよい。
【００８８】
なお、リサンプリング部１３は、図示しないデータ生成部が確率分布を基に生成したデータ集合の中から、リサンプリングデータを抽出（選択）してもよい。
【００８９】
つまり、リサンプリング部１３は、確率分布を基に、リサンプリングデータを生成又は抽出する。
【００９０】
例えば、リサンプリング部１３は、匿名化データのレコードｔ＊３のリサンプリングデータとして、図１２又は図１３に示される確率分布を基に、年齢と郵便番号と対し、Ａｇｅ＝２２、Ｚｉｐ−ｃｏｄｅ＝１００３０という属性の値の組を抽出する。
【００９１】
図１４は、この状態におけるリサンプリングデータの一例を示す図である。
【００９２】
このように、リサンプリング部１３は、リサンプリング源生成部１２が生成した確率分布を用いて、匿名化データのレコードの属性に設定する値を生成する。そして、リサンプリング部１３は、生成した値を匿名化データの属性に設定して、リサンプリングデータを生成（抽出）する。この動作も、以下、単に、リサンプリングと呼ぶ。
【００９３】
ここで、リサンプリング部１３がデータの抽出のために利用する確率分布は、匿名化データのレコードに対応する元データのレコード群（Ｍ（ｔ＊））に基づいて、生成された分布である。したがって、リサンプリング部１３が抽出するデータは、元データであるレコード群Ｍ（ｔ＊）の分布に基づいて抽出されたデータである。そのため、リサンプリング部１３によって抽出されたデータは、元データの性質（例えば、分布又は偏り）に近い性質を備えたデータとして抽出されている可能性が高い。
【００９４】
言い換えると、本実施形態において、リサンプリングデータの属性（例えば、準識別子）の値は、リサンプリング源に基づいて、つまり、元データの性質を反映した確率分布に基づいて生成される。
【００９５】
なお、センシティブ属性の値は、元データのレコードにおけるセンシティブ属性の値でよい。ただし、情報処理装置１０は、匿名化された準識別子と同様に、レコード群Ｍ（ｔ＊）におけるセンシティブ属性の確率分布（リサンプリング源）を生成し、生成した確率分布を基にセンシティブ属性の値を生成（又は選択）してもよい。
【００９６】
情報処理装置１０は、上記のリサンプリングのプロセスを、すべての匿名化データのレコードに対して実行する。
【００９７】
そして、情報処理装置１０は、すべての匿名化データのレコードに対してリサンプリングのプロセスが終了した場合、リサンプリングの動作を終了する。
【００９８】
なお、情報処理装置１０において、処理の対象となる匿名化データのレコードの順番は、特に制限されない。情報処理装置１０は、順番を任意の方法（例えば、ランダム、又は、ラウンドロビン）を用いて決定してよい。あるいは、情報処理装置１０は、複数のレコードに対する処理を、同時、つまり並列に、実行してもよい。
【００９９】
図１５は、情報処理装置１０が、図１４に示されたリサンプリング後、匿名化データのレコードｔ＊１を対象に、リサンプリングを実行した結果の一例を示している。
【０１００】
リサンプリング部１３は、レコードｔ＊の年齢として、平均が２１の年齢の正規分布を基に、「２１」を生成（抽出）している。
【０１０１】
図１６は、情報処理装置１０が、すべての匿名化データのレコードに対してリサンプリングを実行した後の結果の一例を示す図である。
【０１０２】
図１６に示されるように、リサンプリングデータの上から３つのレコードの年齢は、「２１」、「２９」、及び「２２」である。この場合の平均は「２４」となり、分散は「１２．６７（小数第三位を四捨五入）」となる。このように、図１６に示されるリサンプリングデータの性質（今の場合、偏りを示す分散）が、図９に示されるリサンプリングデータに比べ、元データの性質に近くなっている。
【０１０３】
図１７は、図１２に示される確率分布に、本実施形態のリサンプリングデータと、図９に示されるリサンプリングデータとを配置した図である。図１７は、図１６における上から３つのレコードの年齢を示す図である。図１７において、黒丸が、本実施形態のリサンプリングデータである。また、白抜きの丸が、図９に示されるリサンプリングデータである。図１７から明らかなように、本実施形態のリサンプリングデータは、確率の高い所のデータ、つまり、元データの性質に近い性質のデータとなっている。
【０１０４】
また、リサンプリングデータは、元データと同じ値の形式を備えている。
【０１０５】
次に、第１の実施の形態の効果について説明する。
【０１０６】
第１の実施の形態に係る情報処理装置１０は、元データの所定の性質（例えば、偏り又は分布）を保存したリサンプリングデータを生成するとの効果を奏することができる。
【０１０７】
それは、次のような理由のためである。
【０１０８】
マッチングレコード抽出部１１が、元データと匿名化データとのマッチング関係を基に(例えば、匿名化マッチンググラフを用いて)、匿名化データとマッチする元データのレコード群を抽出する。そして、リサンプリング源生成部１２が、元データのレコード群を基に、リサンプリングデータの生成に用いるリサンプリング源（確率分布）を生成する。そして、リサンプリング部１３が、このリサンプリング源（確率分布）を基に、匿名化された属性（準識別子）の値をリサンプリングする。そのため、情報処理装置１０は、元データの性質（例えば、偏りや分布）を備えたリサンプリングデータを生成することができるためである。また、リサンプリングデータは、元データと同じ値の形式を備えている。
【０１０９】
そのため、第１の実施の形態に係る情報処理装置１０が生成したリサンプリングデータは、元データ向けに設計されたアプリケーション及び分析器においても、利用可能である。あるいは、アプリケーション及び分析器は、元データの性質が保たれたデータとして、リサンプリングデータを利用できる。
【０１１０】
つまり、本実施形態の情報処理装置１０は、リサンプリングデータを生成するためにデータセットをプライバシー保護する。さらに、情報処理装置１０は、アプリケーション及び分析器において、元データの性質に近い結果を得ることができるリサンプリングデータを生成できる。
【０１１１】
［変形例］
以上の説明した情報処理装置１０は、次のように構成される。
【０１１２】
例えば、情報処理装置１０の各構成部は、ハードウェア回路で構成されても良い。
【０１１３】
また、情報処理装置１０において、各構成部は、ネットワークを介して接続した複数の装置を用いて、構成されても良い。
【０１１４】
また、情報処理装置１０において、複数の構成部は、１つのハードウェアで構成されても良い。
【０１１５】
また、情報処理装置１０は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）とを含むコンピュータ装置として実現されてもよい。情報処理装置１０は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Input / Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現されても良い。
【０１１６】
図２は、本変形例に係る情報処理装置６００の構成の一例を示すブロック図である。
【０１１７】
情報処理装置６００は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータ装置を構成している。
【０１１８】
ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御し、図１に示される、マッチングレコード抽出部１１と、リサンプリング源生成部１２と、リサンプリング部１３としての各機能を実現する。
【０１１９】
ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０又は内部記憶装置６４０を、プログラムの一時記憶として使用しても良い。
【０１２０】
また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでも良い。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取り、ＲＡＭ６３０に保存して、保存したプログラムを基に動作しても良い。
【０１２１】
ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programmable-ROM）又はフラッシュＲＯＭである。
【０１２２】
ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。
【０１２３】
内部記憶装置６４０は、情報処理装置６００が長期的に保存するデータ及びプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作しても良い。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。
【０１２４】
ここで、ＲＯＭ６２０と内部記憶装置６４０は、不揮発性（non-transitory）の記憶媒体である。一方、ＲＡＭ６３０は、揮発性（transitory）の記憶媒体である。そして、ＣＰＵ６１０は、ＲＯＭ６２０、内部記憶装置６４０、又は、ＲＡＭ６３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ６１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。
【０１２５】
ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Universal Serial Bus）カードである。
【０１２６】
入力機器６６０は、情報処理装置６００の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。
【０１２７】
表示機器６７０は、情報処理装置６００の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。
【０１２８】
ＮＩＣ６８０は、ネットワークを介した図示しない外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮ（Local Area Network）カードである。
【０１２９】
このように構成された情報処理装置６００は、情報処理装置１０と同様の効果を得ることができる。
【０１３０】
その理由は、情報処理装置６００のＣＰＵ６１０が、プログラムに基づいて情報処理装置１０と同様の機能を実現できるためである。
【０１３１】
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成及び詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０１３２】
この出願は、２０１４年１２月  ９日に出願された日本出願特願２０１４−２４８６９１を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０１３３】
１０  情報処理装置
１１  マッチングレコード抽出部
１２  リサンプリング源生成部
１３  リサンプリング部
６００  情報処理装置
６１０  ＣＰＵ
６２０  ＲＯＭ
６３０  ＲＡＭ
６４０  内部記憶装置
６５０  ＩＯＣ
６６０  入力機器
６７０  表示機器
６８０  ＮＩＣ
７００  記憶媒体
【図１】
2016092830.tif 000003
【図２】
2016092830.tif 000004
【図３】
2016092830.tif 000005
【図４】
2016092830.tif 000006
【図５】
2016092830.tif 000007
【図６】
2016092830.tif 000008
【図７】
2016092830.tif 000009
【図８】
2016092830.tif 000010
【図９】
2016092830.tif 000011
【図１０】
2016092830.tif 000012
【図１１】
2016092830.tif 000013
【図１２】
2016092830.tif 000014
【図１３】
2016092830.tif 000015
【図１４】
2016092830.tif 000016
【図１５】
2016092830.tif 000017
【図１６】
2016092830.tif 000018
【図１７】
2016092830.tif 000019
【国際調査報告】
2016092830.tif 000020
2016092830.tif 000021
2016092830.tif 000022
2016092830.tif 000023