(57)【要約】【課題】情報公開時に推論によるプライバシー漏洩やセキュリティ低下を防止する。【解決手段】コンピュータに、検索要求に応じてデータベース４に記憶されたデータを読出して検索応答として公開する機能を実現させるための情報公開プログラム１９において、情報公開プログラム１９は、コンピュータに、応答におけるデータ数の公開基準値Ｋａを時間経過に伴ってランダムに設定する機能１６と、応答におけるデータ数が公開基準値以上の場合のみ検索要求に対しいて応答を返す機能１４、１７とを実現させる。【選択図】    図１
2004280396.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータに、検索要求に応じてデータベースに記憶されたデータを読出して検索応答として公開する機能を実現させるための情報公開プログラムにおいて、
コンピュータに、
前記応答におけるデータ数の公開基準値を時間経過に伴ってランダムに設定する機能と、
前記応答におけるデータ数が前記公開基準値以上の場合のみ検索要求に対しいて応答を返す機能と
を実現させることを特徴とする情報公開プログラム。
【請求項２】
コンピュータに、前記応答におけるデータ数の公開の下限値を設定する機能と、前記応答におけるデータ数の公開の上限値を設定する機能とを実現させ、
前記公開基準値をランダムに設定する機能は、前記公開基準値を前記下限値と上限値との間で、時間経過に伴ってランダムに設定する
ことを特徴とする請求項１記載の情報公開プログラム。
【請求項３】
前記上限値は、前記データベースに記憶されたデータの総数から前記下限値を減算した値であることを特徴とする請求項２記載の情報公開プログラム。
【請求項４】
コンピュータに、検索要求に応じてデータベースに記憶され指定項目の値により分類された区分毎のデータ数を読出して検索応答として公開する機能を実現させるための情報公開プログラムにおいて、
コンピュータに、
前記データベースに記憶された各区分を、合算したデータ数が公開基準値以上でかつ上限値未満になるように、ランダムに組合せる機能と、
前記組合せた区分と合算したデータ数とを前記検索応答に組込んで応答する機能と
を実現させることを特徴とする情報公開プログラム。
【請求項５】
前記上限値は、前記データベースに記憶された全部の区分のデータ数の加算値から前記公開基準値を減算した値であることを特徴とする請求項４記載の情報公開プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、各種企業や団体が有する各種の情報を情報公開要求に応じて公開するための情報公開プログラムに関する。
【０００２】
【従来の技術】
各種企業や官庁等の各種団体においては、不特定多数の人から情報公開要求があった場合には、自己が有する各種の情報のうち公開しても支障のない情報を公開するようにしている。しかし、情報の公開においては、必要情報を公開すると同時にプライバシーや秘密情報の流出に注意しなければならない。
【０００３】
近年、各種企業や官庁等の各種団体等の情報公開者においては、情報公開の便宜性を考慮して、インターネットによる情報公開が一般化している。
【０００４】
情報公開者の情報公開装置のデータベース上に蓄積したデータに対するセキュリティについては、例えば、非特許文献１に記載されているように、データベースセキュリティとして研究が実施されている。データベースへのアクセス権の制御を行うアクセス制御や、アクセス権限の異なる利用者間でのデータの不正コピーなどを防ぐフロー制御などは比較的知られた技術である。
【０００５】
また、予め有する知識と公開された統計情報を用いて非公開情報が推論されてしまうことを防ぐための推論制御も研究開発されている。例えば、統計情報の基となる情報の数が一定数（公開基準値Ｋ）を下回った場合には、統計情報を公開しない等の方法がある。これらの方法は、人間がＤＢＭＳ（ｄａｔａｂａｓｅ  ｍａｎａｇｅｍｅｎｔ  ｓｙｓｔｅｍ）に端末からアクセスしたり、ブラウザを用いて公開サイトにアクセスするというケースを想定していた。
【０００６】
しかし、ＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）などの汎用的なデータフォーマットを用いたコンピュータ間のデータ交換が普及すると、公開データもコンピュータによって読取られるケースが一般化すると予想される。この場合、公開データは一括して読取られることになる。
【０００７】
例えば、企業における商品開発のための市場調査目的で、特定地域に住む特定性別の特定年齢層の人数を、自治体の情報公開装置における公開サイトを検索することによって調べる場合を検証する。この場合、自治体の公開された住民情報を用いて、例えば「２６歳以上の女性の数」を、地区を徐々に狭めながら、すなわち情報の詳細度を徐々に高めながら検索する。最初は、市全体、次はＸＸ町、さらに、ＸＸ町の各丁目を順番に検索する。
【０００８】
このような検索を大量にあるいは一定時間毎に繰り返しコンピュータを用いて実施し、様々な非公開情報の推論を行うことが容易に可能となる。
【０００９】
このとき、市場調査者の推論によるプライバシーの漏洩を防ぐために、前述したように、「２６歳以上の女性の数」が例えば１０人等の公開基準値（Ｋ＝１０）未満になったら結果を回答しない等の方策が実施されてきた。
【００１０】
例えば、住民情報の例で考えてみると、データベースから読出して集計された実際の住民情報（２６歳以上の女性の人数）が、
２００１年３月１日現在  ＸＸ町１丁目：１５人，２丁目：２０人，３丁目：３５人
２００２年３月１日現在  ＸＸ町１丁目：  ９人，２丁目：１５人，３丁目：３５人
であり、公開基準値Ｋが１０人以上であったとする。
【００１１】
この場合、２００２年３月１日において１丁目は９人であるので、１丁目に限定した質問には結果を返さず、１丁目に限定されていない場合は、隣接する２丁目の１５人と合計した２４人を１〜２丁目の人数として公開するなどの対策実施される。したがって、
２００１年３月１日現在の公開データは、
ＸＸ町１丁目：１５人，２丁目：２０人，３丁目：３５人  となり、
２００２年３月１日現在の公開データは、
ＸＸ町１〜２丁目：２４人，３丁目：３５人  となる。
【００１２】
【非特許文献１】
Ｓｉｌｖａｎａ  Ｃａｓｔａｎｏ  ｅｔ．ａｌ．  “ＤＡＴＡＢＡＳＥ  ＳＥＣＵＲＩＴＹ”、Ａｄｄｉｓｏｎ−Ｗｅｓｌｅｙ  Ｐｕｂｌｉｓｈｉｎｇ  Ｃｏｍｐａｎｙ  ＡＣＭ  Ｐｒｅｓｓ，  １９９４  ｐ１７−１８
【００１３】
【発明が解決しようとする課題】
しかしながら、上述したように、統計情報の基となる情報の数が一定数（公開基準値Ｋ）を下回った場合には、統計情報の公開を禁止するようにした情報公開手法においてもまだ解消すべき次のような課題があった。
【００１４】
すなわち、前述したように、推論防止のためにデータ数によって公開データの詳細度を変えることが行われるが、コンピュータによる公開データに対する検索処理なので読出しを一定間隔で繰返し行うことが容易である。その結果、時間の推移とともに詳細度の変化を観察すると、ある時点でのデータの数が一定数以下であったことが容易に推論されてしまう。
【００１５】
例えば、前述の例では、
２００１年３月１日現在の公開データは、
ＸＸ町１丁目：１５人，２丁目：２０人，３丁目：３５人  であり、
２００２年３月１日現在の公開データは、
ＸＸ町１〜２丁目：２４人，３丁目：３５人  である。
【００１６】
この場合、２００２年３月１日現在の公開データにて初めて、１丁目と２丁目が合体されたので、公開基準値Ｋが１４以上であることが判明し、さらに、２００２年３月１日現在の１丁目及び２丁目の人数が合算した結果となっていることから、１丁目又は２丁目の２６歳以上の女性の数が１４以下であり、もう一方が２４−１４＝１０人いることが容易に推論できてしまう。
【００１７】
このように、検索者側のコンピュータと情報公開者側のコンピュータとの間で公開データが授受される場合には、大量の検索を行ったり、時間をおいての繰り返し検索などが容易に可能であるので、情報公開者側としては、様々な推論を予想して詳細なデータの公開を抑制する必要がある。
【００１８】
本発明はこのような事情に鑑みてなされたものであり、たとえ、コンピュータで情報の検索ができ、継続的な情報の読出しが容易に実施可能な環境下であっても、推論によるプライバシーや秘密情報の漏洩を防止でき、かつ一定以上の詳細な情報公開を実施できる情報公開プログラムを提供することを目的とする。
【００１９】
【課題を解決するための手段】
上記課題を解消するために、本発明は、コンピュータに、コンピュータに、検索要求に応じてデータベースに記憶されたデータを読出して検索応答として公開する機能を実現させるための情報公開プログラムにおいて、コンピュータに、応答におけるデータ数の公開基準値を時間経過に伴ってランダムに設定する機能と、応答におけるデータ数が公開基準値以上の場合のみ検索要求に対しいて応答を返す機能とを実現させるようにしている。
【００２０】
このように構成された情報公開プログラムにおいては、データによる公開基準値が時間経過に伴ってランダムに変化する。したがって、前回の検索実行時に、例えば指定された項目の属性値によって分類されたＡ区分のデータ数とＢ区分のデータ数とが個別に情報公開されていたが、今回の検索実行時に、Ａ区分とＢ区分とを組合せてＡ区分のデータ数とＢ区分のデータ数とを合算したデータ数を公開したとしても、Ａ区分、Ｂ区分がいくらに以下に低下したかを推論できない。したがって、推論によるプライバシーやセキュリティが損なわれることが未然に防止できる。
【００２１】
さらに、別の発明は、上述した情報公開プログラムにおいて、コンピュータに、データ数による公開の下限値を設定する機能と、データ数による公開の上限値を設定する機能とを実現させる。さらに、公開基準値をランダムに設定する機能は、公開基準値を下限値と上限値との間で時間経過に伴ってランダムに設定している。
【００２２】
このように、公開基準値を下限値と上限値との間で変更することにより、否定形質問に対する推論を防止する事が可能となる。
【００２３】
また、別の発明は、上述した情報公開プログラムにおいて、上限値にデータベースに記憶されたデータの総数から下限値を減算した値を採用している。
【００２４】
また、別の発明は、コンピュータに、検索要求に応じてデータベースに記憶された指定項目の値により分類された区分毎のデータ数を読出して検索応答として公開する機能を実現させるための情報公開プログラムにおいて、コンピュータに、データベースに記憶された各区分を、合算したデータ数が公開基準値以上でかつ上限値未満になるように、ランダムに組合せる機能と、組合せた区分と合算したデータ数とを検索応答に組込んで応答する機能とを実現させるようにしている。
【００２５】
このように構成された情報公開プログラムにおいては、データベースに記憶された各区分が、合算したデータ数が公開基準値以上でかつ上限値未満になるように、ランダムに組合される。また、のデータ数による公開基準値は固定であるが、データ数が公開基準値未満になると、結果的に他の区分と組合わされて、合算したデータ数が公開基準値以上となる。
【００２６】
さらに、一つの区分が含まれる組合せは変更になるので、特定区分のデータ数が準値未満に低下したことを推論できない。したがって、先の発明の情報公開プログラムと同様に、推論によるプライバシーやセキュリティが損なわれることが未然に防止できる。
【００２７】
また、別の発明においては、上述した情報公開プログラムにおいて、上限値として、公開基準値にデータベースに記憶された全部の区分のデータ数の加算値から公開基準値を減算した値を採用している。
【００２８】
【発明の実施の形態】
以下、本発明の各実施形態を図面を用いて説明する。
（第１実施形態）
図１は本発明の第１実施形態に係る情報公開プログラムが適用される情報公開装置の概略構成を示すブロック図である。
【００２９】
この第１実施形態の情報公開装置１は、情報公開を要求する検索者（コンピュータ）が所持する検索者端末２からインターネット３を介して検索条件を指定した検索要求が入力すると、データベース（ＤＢ）４に記憶された検索条件が指定する各区分のデータ数を読出して検索結果（検索応答）として、インターネット３を介して検索要求元の検索者端末２へ送信する。
【００３０】
データベース４内には、図２（ａ）に示すように、住民毎に、調査年月日、住所、氏名、性別、年齢が記憶されている。
【００３１】
図２（ｂ）は、公開データ生成部１４において、検索要求に応じて、この検索要求の検索条件でデータベース４を検索して、検索条件に合致した住民の人数を集計した結果を示す集計データの概念図である。
【００３２】
図２（ｂ）の集計データの概念図に示すように、検索条件に合致する今回の情報の公開日５、検索条件６、各区分７、各区分７のデータ数（人数）８が集計されている。各区分７はツリー条に構成されており、この実施形態においては、最大単位が「市」であり、中間単位が「町」であり、最小単位が「丁目」である。なお、区分７として、同一単位の区分を組合せることも可能である。
【００３３】
図１において、設定部９は、この情報公開装置１の例えば管理者等からなる設定者１０の指示に従って、前記各区分７のデータ数８の公開の下限値Ｋｓを下限値記憶部１１に設定する。なお、この実施形態においては、最小単位「丁目」の各区分７のデータ数８の公開の下限値Ｋｓが設定される。この下限値未満のデータ数８の各区分７は、単独では公開されない。さらに、この設定部９は、設定者１０の指示に従って、公開基準値Ｋａの更新期間Ｔ０を公開基準値更新期間記憶部１２に設定する。
【００３４】
時計回路１３は、現在時刻ｔ（年、月、日、時間、分）を計時して、公開データ生成部１４へ送出する。前回更新時刻記憶部１５は、公開基準値Ｋａにおける前回更新時刻ｔ０を記憶する。乱数発生部１６は、前記下限値Ｋｓを超えて上限値（ｎ―Ｋｓ）未満の条件を満足する公開基準値Ｋａを乱数として発生して、公開データ生成部１４へ送出する。
【００３５】
Ｋｓ＜Ｋａ＜（ｎ―Ｋｓ）
なお、上限値（ｎ―Ｋｓ）におけるｎは、今回の公開対象となる各区分７のデータ数８を加算した値である。例えば、図２（ｂ）に示すデータベース４から読取って集計した集計データにおいては、今回の公開対象となる最小単位「丁目」の各区分７は６個であり、６個のデータ数８を加算した値ｎは１１２である。
【００３６】
公開データ生成部１４は、受付部１７を介して検索条件を指定した検索要求が入力されると、データベース（ＤＢ）４に記憶された検索条件に該当するデータを読出して、その数と共に必要に応じてこれらを加工して、検索結果（検索応答）として、受付部１７を介して出力する。
【００３７】
コンピュータ等の一種の情報処理装置で構成された情報公開装置１内に設けられたＨＤＤ等の記憶装置１８内に情報公開プログラム１９が記憶されている。このコンピュータ等の情報公開装置１は、この情報公開プログラム１９を起動させることによって、上述した各部９、１１、１２、１４、１５、１６が実現される。
【００３８】
そして、この情報公開装置１内に実現された公開データ生成部１４は、図３に示す流れ図に従って、公開データの生成処理を実行する。
受付部１７を介して検索条件を指定した検索が入力すると（Ｓ１）、入力された区分７を含む検索条件でデータベース４を検索して、検索条件に合致する全ての区分７のデータを読出して統計データを作成し、区分７のデータ数８（Ｄ１〜ＤＮ）を求める（Ｓ２）。そして、前回更新時刻記憶部１５に記憶された前回更新時刻ｔ０に公開基準値更新間隔記憶部１２に記憶された更新間隔Ｔ０を加算した時刻（ｔ０＋Ｔ０）が時計回路１３の現在時刻ｔに達したならば（Ｓ３）、
（ｔ０＋Ｔ０）＜ｔ
現在の公開基準値Ｋａの更新を実施する。
【００３９】
すなわち、検索条件に合致する全ての区分７のデータ数８（Ｄ１〜ＤＮ）を加算した値ｎを算出して（Ｓ４）、乱数発生部１６にて、前述したように、
Ｋｓ＜Ｋａ＜（ｎ―Ｋｓ）
を満足する乱数である公開基準値Ｋａを生成する。新規の公開基準値Ｋａが生成されると、現在時刻ｔを前回更新時刻ｔ０として前回更新時刻記憶部１５に書込む（Ｓ５）。
【００４０】
そして、検索条件に合致する全ての区分７のデータ数８（Ｄ１〜ＤＮ）が、それぞれ、公開基準値Ｋａ以上か否かを判断する（Ｓ６）。なお、Ｓ３にて、現在時刻ｔが更新時刻（ｔ０＋Ｔ０）に達していない場合は、直ちに、Ｓ６へ進み、検索条件に合致する全ての区分７のデータ数８（Ｄ１〜ＤＮ）が、それぞれ、公開基準値Ｋａ以上か否かを判断する。
【００４１】
一つの区分７のデータ数８（Ｄ１〜ＤＮ）でも、公開基準値Ｋａ未満のデータ数８が存在すると（Ｓ６）、対象区分７とこの対象区分７に隣接する区分７とを組合せて、新規の組合せの区分７とし、対象区分７のデータ数８と隣接する区分７の合算したデータ数８が公開基準値Ｋａ以上になるようにする。なお、２つの区分７を組合せても、合算したデータ数８が公開基準値Ｋａ以上にならない場合は、さらに、隣接する区分７を合体させる（Ｓ７）。
【００４２】
そして、各区分７単独のデータ数８、又は組合せの区分７のデータ数８が公開基準値Ｋａ以上になると、これらの各区分７単独のデータ数８、又は組合せの区分７のデータ数８を公開データとして編集する（Ｓ８）。この編集された公開データを検索結果として、受付部１７を介して検索者端末２へ応答する（Ｓ９）。
【００４３】
このように構成された第１実施形態の情報公開プログラムが適用される情報公開装置１においては、検索条件で指定された区分７のデータ数８の公開基準値Ｋａが一定の更新間隔Ｔ０が経過する毎に、Ｋｓ＜Ｋａ＜（ｎ―Ｋｓ）の条件下で乱数生成部１６を用いてランダムに変化する。
【００４４】
したがって、前回の検索実行時に、特定の区分７のデータ数８が単独で情報公開されていたが、今回の検索実行時に、特定の区分７が隣接する他の区分７とを組合せて、両者のデータ数８を合算したデータ数を公開したとしても、特定の区分７のデータ数８がいくら以下に低下したことを推論できない。したがって、推論によるプライバシーやデータのセキュリティが損なわれることが未然に防止できる。
【００４５】
また、公開基準値Ｋａを下限値Ｋｓと上限値（ｎ―Ｋｓ）との間でランダムに変更している。さらに、上限値（ｎ―Ｋｓ）のうちｎを公開対象の全部の区分７のデータ数８の加算値としている。したがって、公開基準値Ｋａが無制限に大きくなって、情報公開要求者（検索者）にとって、必要な情報（データ）が十分公開されない事態になることを未然に抑制している。
【００４６】
（第２実施形態）
図４は本発明の第２実施形態に係る情報公開プログラムが適用される情報公開装置の概略構成を示すブロック図である。図１に示す第１実施形態に係る情報公開プログラムが適用される情報公開装置１と同一部分には同一符号を付して、重複する部分の詳細説明を省略する。
【００４７】
この第２実施形態の情報公開装置１ａ内には、第１実施形態の情報公開装置１と同一構成のデータベース４及び受付部１７が設けられている。さらに、情報公開装置１ａ内において、設定部９は、この情報公開装置１ａの例えば管理者等からなる設定者１０の指示に従って、各区分７のデータ数８の公開基準値Ｋａを公開基準値記憶部２０に設定する。なお、この第２実施形態の情報公開装置１ａにおける公開基準値Ｋａは固定値である。
【００４８】
公開データ生成部１４ａ内には、データベース４内における検索条件で指定された全ての区分７を要素とする部分集合Ｘｉを作成する部分集合Ｘｉ作成部２１と、この作成された各部分集合Ｘｉを要素とする集合Ｙを作成する集合Ｙ作成部２２と、集合Ｙ作成部２２で作成された集合Ｙから公開可能な各区分７の組合せを公開候補として指定する公開候補指定部２３と、指定された公開候補を一時記憶する公開候補メモリ２４が設けられている。
【００４９】
そして、公開データ生成部１４ａは、データベース４に記憶された各区分７を、合算したデータ数が公開基準値ｋａ以上でかつ上限値（ｎ―Ｋａ）未満になるように、ランダムに組合せ、組合せた区分７と合算したデータ数８とを検索応答に組込んで応答する。
【００５０】
コンピュータ等の一種の情報処理装置で構成された情報公開装置１ａ内に設けられたＨＤＤ等の記憶装置１８内に情報公開プログラム１９ａが記憶されている。このコンピュータ等の情報公開装置１ａは、この情報公開プログラム１９ａを起動させることによって、上述した各部９、１４ａ、２０、２１、２２、２３、２４が実現される。
【００５１】
そして、この情報公開装置１ａ内に実現された公開データ生成部１４ａは、図５に示す流れ図に従って、公開データの生成処理を実行する。
受付部１７を介して検索条件を指定した検索要求が入力すると（Ｑ１）、入力された区分７を含む検索条件でデータベース４を検索して、検索条件に合致する全ての区分７のデータを読出して統計データを作成し、区分７のデータ数８（Ｄ１〜ＤＮ）を求める。そして、検索条件に合致する全ての区分７のデータ数８を加算した加算値（データ総数）ｎを算出する（Ｑ２）。次に、公開候補メモリ２４をクリアする（Ｑ３）。
【００５２】
そして、データベース４内における検索条件で指定された全ての区分７を要素とする部分集合Ｘｉを作成する（Ｑ４）。
この部分集合Ｘｉの作成法を説明する。例えば、検索条件で指定された区分７の数がＮであったとする。この場合、Ｎ桁で、０〜（２Ｎ―１）の２進数を生成し、これを添字とした要素（部分集合Ｘｉ）からなる集合を生成する。ｉ＝０〜（２Ｎ―１）すなわち、Ｎ個の各区分７における全ての組合せである２Ｎ個の部分集合Ｘ０〜Ｘ（２Ｎ―１）が作成される。
【００５３】
ここで、部分集合Ｘｉは生成したｉ番目の２進数のａ桁目の値が１ならａ番目のデータを含む対象区分７の部分集合である。例えば、Ｎすなわち区分７の数が１０である場合、
Ｘ０＝［００００００００００］、Ｘ１＝［０００００００００１］、
Ｘ２＝［００００００００１０］、Ｘ３＝［００００００００１１］、
．．．Ｘ（２Ｎ―１）＝［１１１１１１１１１１］
という２の１０乗の２進数が生成される。例えば、Ｘ３は［００００００００１１］を示し、９番目の区分７と１０番目の区分７を含む部分集合である。
【００５４】
次に、Ｘのすべての部分集合Ｘ０〜Ｘ（２Ｎ―１）を要素Ｙ１〜Ｙ２Ｎとする集合Ｙを生成する（Ｑ５）。
【００５５】
そして、集合Ｙの要素Ｙｋについて（但しｋ＝１〜２Ｎ）、先ず、ｋを１の初期値に設定する（ｋ＝１）（Ｑ６）。次に、要素Ｙｋを構成する部分集合Ｘｍに含まれる「１」に設定されている各区分７のデータ数８の総和Ｓｍ（合算したデータ数）を求める（Ｑ７）。そして、総和Ｓｍが
Ｋａ＜Ｓｍ＜ｎ―Ｋａ
の関係を満たすとき（Ｑ８）、部分集合Ｘｍに含まれる各区分７の組合せと、各区分７のデータ数８の総和Ｓｍ（合算したデータ数）とを公開候補メモリ２４に追加する（Ｑ９）。なお、要素Ｙｋを構成する部分集合Ｘｍに含まれる「１」に設定されている区分７が１個の場合は、この１個の区分７のデータ数８を総和Ｓｍとみなして上記関係を判定する。
【００５６】
次に、ｋを更新（ｋ＝ｋ＋１）し（Ｑ１０）、更新後のｋが２Ｎを超えていないことを確認すると（Ｑ１１）、Ｑ７へ戻り、要素Ｙｋを構成する部分集合Ｘｍに含まれる「１」に設定されている各区分７のデータ数８の総和Ｓｍ（合算したデータ数）を求める。
【００５７】
更新後のｋが２Ｎを超えると（Ｑ１１）、集合Ｙに含まれる２Ｎ個の全ての部分集合Ｘｉにおける各区分７の組合せに対する検証が終了したので、公開候補メモリ２４に書込まれた各区分７の組合せ、各区分７単独、及び対応する総和Ｓｍ（合算したデータ数）、単独のデータ数８を検索結果として応答する（Ｑ１２）。
【００５８】
なお、この方法では、検索条件で指定された全ての区分７が公開候補に含まれるとは限らない。すべてを含まれるようにするためには、Ｑ８において、「Ｋａより大きく（ｎ―Ｋａ）未満」に加え、Ｙｋのすべての要素Ｘｍの論理和がすべて１の２進数になる、という条件を加えればよい。
【００５９】
このように構成された第２実施形態の情報公開プログラムが適用される情報公開装置１ａにおいては、検索条件で指定された例えばＮ個の区分７における２Ｎ種類の全ての組合せを２Ｎ個の部分集合Ｘｉ（ｉ＝０〜２Ｎ―１）として作成している。そして、この２Ｎ種類の全ての組合せに対して、該当組合せのデータ数８の合算値（総和Ｓｍ）が「公開基準値Ｋａより大きく（ｎ―Ｋａ）未満」の条件を満たすとき、この組合せ及び合算値（総和Ｓｍ）を公開している。
【００６０】
このように、一つの区分７は同時に複数の組合せに同時に組込まれるので、前回の検索時における該当区分７の所属する各組合せと、今回の検索時における該当区分７の所属する各組合せとは必ずしも一致せず、前回の各組合せのデータ数と今回の各組合せのデータ数とを比較対照したとしても、該当区分７のデータ数８が公開基準値Ｋａ未満に低下したことを推論できない。したがって、推論によるプライバシーやセキュリティが損なわれることが未然に防止できる。
【００６１】
（第３実施形態）
図６は、本発明の第３実施形態の情報公開プログラムが適用される情報公開装置に組込まれた公開データ生成部の動作を示す流れ図である。図５に示す第２実施形態の情報公開装置１ａに組込まれた公開データ生成部１４ａの動作を示す流れ図と同一部分には同一符号を付して重複する部分の詳細説明を省略する。また、情報公開装置全体の構成は、図４に示した第２実施形態の情報公開装置１ａとほぼ同じであるので、説明を省略する。
【００６２】
この第３実施形態の情報公開装置においては、検索要求に含まれる検索条件で指定されたＮ個の区分７のうち、諸般の事情により、予め定められたＭ個（Ｍ＜Ｎ）の区分７のデータ数８のみを公開対象とする。
【００６３】
図６の流れ図において、検索要求が入力すると（Ｑ１）、入力された区分７を含む検索条件でデータベース４を検索して、検索条件に合致する全ての区分７のデータを読出して統計データを作成し、区分７のデータ数８（Ｄ１〜ＤＮ）を求める。そして、検索条件に合致するＮ個全ての区分７のデータ数８を加算した加算値（データ総数）ｎを算出する（Ｑ２）。次に、公開候補メモリ２４をクリアする（Ｑ３）。
【００６４】
そして、データベース４内における検索条件で指定されたＮ個の区分７のうち予め定められたＭ個（Ｍ＜Ｎ）の区分７を要素とする部分集合Ｘｉを作成する（Ｑ４ａ）。
この部分集合Ｘｉの作成法を説明する。例えば、検索条件で指定された区分７の数がＮであったとする。この場合、Ｍ桁で、０〜（２Ｍ―１）の２進数を生成し、これを添字とした要素Ｘｉからなる集合を生成する。ｉ＝０〜（２Ｍ―１）となる。すなわち、公開対象のＭ個の各区分７における全ての組合せである２Ｍ個の部分集合Ｘ０〜Ｘ（２Ｍ―１）が作成される。
【００６５】
ここで、部分集合Ｘｉは生成したｉ番目の２進数のｂ桁目の値が１ならｂ番目のデータを含む対象区分７の部分集合である。例えば、Ｍすなわち公開対象の区分７の数が３で、かつ公開対象が１番目の区分７と、３番目の区分７と、５番目の区分７である場合、
Ｘ０＝［０００］、Ｘ１＝［００１］、Ｘ２＝［０１０］、Ｘ３＝［０１１］、
．．Ｘ（２Ｍ―１）＝［１１１］
という２の３乗の合計８個の２進数が生成される。例えば、Ｘ３は［０１１］を示し、公開対象の３番目の区分７と５番目の区分７を含む部分集合である。
【００６６】
次に、Ｘのすべての部分集合Ｘ０〜Ｘ（２Ｍ―１）を要素Ｙ１〜Ｙ２Ｍとする集合Ｙを生成する（Ｑ５ａ）。
【００６７】
そして、集合Ｙの要素Ｙｋについて（但しｋ＝１〜２Ｍ）、先ず、ｋを１の初期値に設定する（ｋ＝１）（Ｑ６）。次に、要素Ｙｋを構成する部分集合Ｘｍに含まれる「１」に設定されている公開対象の各区分７のデータ数８の総和Ｓｍ（合算したデータ数）を求める（Ｑ７）。そして、総和Ｓｍが
Ｋａ＜Ｓｍ＜ｎ―Ｋａ
の関係を満たすとき（Ｑ８）、部分集合Ｘｍに含まれる各区分７の組合せと、各区分７のデータ数８の総和Ｓｍ（合算したデータ数）とを公開候補メモリ２４に追加する（Ｑ９）。なお、要素Ｙｋを構成する部分集合Ｘｍに含まれる「１」に設定されている公開対象の区分７が１個の場合は、この１個の区分７のデータ数８を総和Ｓｍとみなして上記関係を判定する。
【００６８】
ｋを更新（ｋ＝ｋ＋１）し（Ｑ１０）、更新後のｋが２Ｍを超えていないことを確認すると（Ｑ１１ａ）、Ｑ７へ戻り、要素Ｙｋを構成する部分集合Ｘｍに含まれる「１」に設定されている公開対象の各区分７のデータ数８の総和Ｓｍ（合算したデータ数）を求める。
【００６９】
更新後のｋが２Ｍを超えると（Ｑ１１ａ）、集合Ｙに含まれる２Ｍ個の全ての部分集合Ｘｉにおける公開対象の各区分７の組合せに対する検証が終了したので、公開候補メモリ２４に書込まれた公開対象の各区分７の組合せ、各区分７単独、及び対応する総和Ｓｍ（合算したデータ数）、単独のデータ数８を検索結果として応答する（Ｑ１２）。
【００７０】
なお、この方法では、検索条件で指定された全ての区分７が公開候補に含まれるとは限らない。すべてを含まれるようにするためには、Ｑ８において、「Ｋａより大きく（ｎ―Ｋａ）未満」に加え、Ｙｋのすべての要素Ｘｍの論理和がすべて１の２進数になる、という条件を加えればよい。
【００７１】
このように構成された第３実施形態の情報公開プログラムが適用される情報公開装置においては、検索条件で指定されたＮ個の区分７のうちの予め指定されたＭ（Ｍ＜Ｎ）個の区分７の全ての組合せを２Ｍ個の部分集合Ｘｉ（ｉ＝０〜２Ｍ―１）として作成している。そして、この２Ｍ種類の全ての組合せに対して、該当組合せのデータ数８の合算値（総和Ｓｍ）が「公開基準値Ｋａより大きく（ｎ―Ｋａ）未満」の条件を満たすとき、この組合せ及び合算値（総和Ｓｍ）を公開している。
【００７２】
したがって、前述した第２実施形態の情報公開プログラムが適用される情報公開装置１ａとほぼ同様の作用効果を奏することが可能である。
【００７３】
なお、上記各実施形態で説明した各構成要素は、自由に組合せてもよく、また複数の要素に分割してもよい。また、実施形態における情報公開プログラム１９、１９ａは、複数のコンピュータ上に分散され、互いに連携しつつ動作してもよい。
【００７４】
さらに、情報公開プログラム１９、１９ａは通信媒体により伝送してコンピュータに適用可能である。情報公開プログラム１９、１９ａを読み込んだコンピュータは、情報公開プログラム１９、１９ａによって動作が制御され、上述した機能を実現する。
【００７５】
【発明の効果】
以上説明したように、本発明の情報公開プログラムにおいては、公開基準値を時間経過に伴ってランダムに変更したり、公開基準値を下回った場合の区分の組合せを結果的にランダムに変更している。
【００７６】
したがって、たとえ、コンピュータで情報の検索ができ、継続的な情報の読出しが容易に実施可能な環境下であっても、推論によるプライバシーや秘密情報の漏洩を防止でき、かつ一定以上の詳細な情報公開を実施できる。
【図面の簡単な説明】
【図１】本発明の第１実施形態の情報公開プログラムが適用される情報公開装置の概略構成を示すブロック図
【図２】同実施形態の情報公開装置に組込まれたデータベースの記憶内容及び集計データを示す図
【図３】同実施形態の情報公開装置に組込まれた公開データ生成部の動作を示す流れ図
【図４】本発明の第２実施形態の情報公開プログラムが適用される情報公開装置の概略構成を示すブロック図
【図５】同実施形態の情報公開装置に組込まれた公開データ生成部の動作を示す流れ図
【図６】本発明の第２実施形態の情報公開プログラムが適用される情報公開装置組込まれた公開データ生成部の動作を示す流れ図
【符号の説明】
１，１ａ…情報公開装置、２…検索者端末、３…インターネット、４…データベース、７…区分、８…データ数、９…設定部、１０…設定者、１１…下限値記憶部、１２…公開基準値更新間隔記憶部、１３…時計回路、１４，１４ａ…公開データ生成部、１５…前回更新時刻記憶部、１６…乱数生成部、１７…受付部、１８…記憶装置、１９，１９ａ…情報公開プログラム、２０…公開基準値記憶部、２１…部分集合Ｘｉ作成部、２２…集合Ｙ作成部、２３…公開候補指定部、２４…公開候補メモリ
【図１】
2004280396.tif 000003
【図２】
2004280396.tif 000004
【図３】
2004280396.tif 000005
【図４】
2004280396.tif 000006
【図５】
2004280396.tif 000007
【図６】
2004280396.tif 000008