(57)【特許請求の範囲】
【請求項１】
パーソナルデータを匿名化して提供する匿名化装置であって、
前記パーソナルデータに関する統計情報を取得する取得手段と、
前記統計情報から求めた前記パーソナルデータに関する分布に基づいて、前記パーソナルデータの匿名化データを生成する匿名化手段と、
を備え、
前記匿名化手段は、前記パーソナルデータを含む任意の範囲を設定することにより、当該範囲内に収まる対象件数であって前記分布に基づく前記範囲に含まれる対象件数が閾値以上となる匿名化データを生成する、匿名化装置。
【請求項２】
前記匿名化のレベルを受け付けるレベル受付手段をさらに備え、
前記匿名化手段は、前記閾値として、複数の値から前記レベルに対応した値を選択する、請求項１に記載の匿名化装置。
【請求項３】
前記匿名化データを提供する先のサービスごとに前記レベルを記憶する匿名化レベル記憶部をさらに備える、請求項２に記載の匿名化装置。
【請求項４】
前記取得手段は、前記パーソナルデータの属性に基づいて、複数の前記統計情報から対応する分布を選択する、請求項１から３のいずれか一項に記載の匿名化装置。
【請求項５】
前記匿名化手段は、前記パーソナルデータが所定の条件を満たす場合、当該パーソナルデータを提供対象から除外する、請求項１から４のいずれか一項に記載の匿名化装置。
【請求項６】
前記提供対象から除外するための条件として、前記パーソナルデータの特定の値を受け付ける条件受付手段をさらに備える、請求項５に記載の匿名化装置。
【請求項７】
前記匿名化手段は、前記パーソナルデータをランダムに前記提供対象から除外する、請求項５又は６に記載の匿名化装置。
【請求項８】
前記匿名化データに基づいて前記統計情報を更新する更新手段をさらに備える、請求項１から７のいずれか一項に記載の匿名化装置。
【請求項９】
前記パーソナルデータは、位置情報を含む、請求項１から８のいずれか一項に記載の匿名化装置。
【請求項１０】
コンピュータにより、パーソナルデータを匿名化して提供する方法であって、
前記コンピュータが、
前記パーソナルデータに関する統計情報を取得する取得ステップと、
前記取得ステップにおいて取得された前記統計情報から求めた前記パーソナルデータに関する分布に基づいて、前記パーソナルデータの匿名化データを生成する匿名化ステップと、を備え、
前記匿名化ステップは、さらに、
前記パーソナルデータを含む任意の範囲を設定することにより、当該範囲内に収まる対象件数であって前記分布に基づく前記範囲に含まれる対象件数が閾値以上となる匿名化データを生成する、方法。
【請求項１１】
コンピュータに、請求項１０に記載の方法の各ステップを実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、匿名化装置、方法及びプログラムに関する。
【背景技術】
【０００２】
従来より、コンピュータ等によって集められたデータは統計処理され、その結果得られた情報が活用されている。例えば、個人の位置情報を含む大量のデータは、保険料の算定に利用しようとする保険会社や、地域の活性化に利用しようとする団体等に提供され、活用される可能性がある。
【０００３】
このようなデータを提供する場合には、提供者は、プライバシーを慎重に保護し、個々のデータの所有者が特定されないように、データの変形処理を行う必要がある。そのため、今までにも、プライバシーを保護するためのデータの変形処理に関する技術が多く開示されている。例えば、データの一部を一般化やあいまい化することにより、データを組み合わせても個人が特定されないようにするｋ−匿名化手法の技術が開示されている（特許文献１）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−１５９９８２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、ｋ−匿名化のような従来手法においては、パーソナルデータを匿名化するために、他者のパーソナルデータを含む集合データを用いる必要があった。
【０００６】
本発明は、複数ユーザの集合データを用いることなく、匿名化対象のパーソナルデータ単体で匿名化することができる匿名化装置、方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
具体的には、以下のような解決手段を提供する。
（１）  パーソナルデータを匿名化して提供する匿名化装置であって、前記パーソナルデータに関する統計情報を取得する取得手段と、前記統計情報から求めた前記パーソナルデータに関する分布に基づいて、前記パーソナルデータの匿名化データを生成する匿名化手段と、を備える匿名化装置。
【０００８】
（１）の匿名化装置は、パーソナルデータに関する統計情報の分布に基づいて匿名化データを生成するので、疑似的に多数のデータを集めることができる。したがって、匿名化装置は、複数ユーザの集合データを用いることなく、匿名化対象のパーソナルデータ単体で匿名化することができる。匿名化装置は、複数ユーザのパーソナルデータを同時に処理しないため、パーソナルデータを高速に匿名化することができる。
【０００９】
（２）  前記匿名化手段は、前記パーソナルデータを含む任意の範囲を設定することにより、当該範囲内に収まる対象件数であって前記分布に基づく前記範囲に含まれる対象件数が閾値以上となる匿名化データを生成する、（１）に記載の匿名化装置。
【００１０】
（２）の匿名化装置は、対象件数が閾値以上となるように範囲を設定するので、パーソナルデータを適切に匿名化することができる。
【００１１】
（３）  前記匿名化のレベルを受け付けるレベル受付手段をさらに備え、前記匿名化手段は、前記閾値として、複数の値から前記レベルに対応した値を選択する、（２）に記載の匿名化装置。
【００１２】
（３）の匿名化装置は、受け付けたレベルに対応して匿名化するので、匿名化したいユーザは、具体的な匿名化の閾値を設定することなく、数段階設けられたレベルを選択するのみで容易に匿名化を行わせることができる。したがって、匿名化装置は、匿名化したいユーザの負荷を軽減することができる。
【００１３】
（４）  前記匿名化データを提供する先のサービスごとに前記レベルを記憶する匿名化レベル記憶部をさらに備える、（３）に記載の匿名化装置。
【００１４】
（４）の匿名化装置は、提供するデータの匿名化の度合いを、提供する先のサービスごとに適合させて事前に設定することができる。
【００１５】
（５）  前記取得手段は、前記パーソナルデータの属性に基づいて、複数の前記統計情報から対応する分布を選択する、（１）から（４）のいずれか一に記載の匿名化装置。
【００１６】
（５）の匿名化装置は、パーソナルデータの属性に対応する統計情報を選択するので、属性ごとに細分化された、より確からしい統計情報によって適切に匿名化することができる。
【００１７】
（６）  前記匿名化手段は、前記パーソナルデータが所定の条件を満たす場合、当該パーソナルデータを提供対象から除外する、（１）から（５）のいずれか一に記載の匿名化装置。
【００１８】
（６）の匿名化装置は、所定の条件を満たすパーソナルデータを提供対象から除外することにより、コンテクストに応じてセンシティブなデータをマスクした上で情報提供をすることができる。
【００１９】
（７）  前記提供対象から除外するための条件として、前記パーソナルデータの特定の値を受け付ける条件受付手段をさらに備える、（６）に記載の匿名化装置。
【００２０】
（７）の匿名化装置は、受け付けた特定の値により、プライバシーの漏洩になりかねないパーソナルデータを適切に除外することができる。
【００２１】
（８）  前記匿名化手段は、前記パーソナルデータをランダムに前記提供対象から除外する、（６）又は（７）に記載の匿名化装置。
【００２２】
（８）の匿名化装置は、パーソナルデータをランダムに提供対象から除外することにより、どのデータがプライバシーに繋がる可能性があるかを、分かりにくくすることができる。
【００２３】
（９）  前記匿名化データに基づいて前記統計情報を更新する更新手段をさらに備える、（１）から（８）のいずれか一に記載の匿名化装置。
【００２４】
（９）の匿名化装置は、匿名化したパーソナルデータを統計情報に反映することにより、最新の統計情報を導出することができる。この結果、匿名化装置は、より確かな統計情報により確実に匿名化ができる。
【００２５】
（１０）  前記パーソナルデータは、位置情報を含む、（１）から（９）のいずれか一に記載の匿名化装置。
【００２６】
（１０）の匿名化装置は、パーソナルデータである個人の位置情報を匿名化して提供することができる。
【００２７】
（１１）  （１）に記載の匿名化装置が実行する方法であって、前記取得手段が、前記パーソナルデータに関する統計情報を取得する取得ステップと、前記匿名化手段が、前記統計情報から求めた前記パーソナルデータに関する分布に基づいて、前記パーソナルデータの匿名化データを生成する匿名化ステップと、を備える方法。
【００２８】
（１１）の方法は、（１）と同様に、複数ユーザの集合データを用いることなく、匿名化対象のパーソナルデータ単体で匿名化することができる。
【００２９】
（１２）  コンピュータに、（１１）に記載の方法の各ステップを実行させるためのプログラム。
【００３０】
（１２）のプログラムは、複数ユーザの集合データを用いることなく、匿名化対象のパーソナルデータ単体で匿名化することができるように、コンピュータに機能させることができる。
【発明の効果】
【００３１】
本発明によれば、複数ユーザの集合データを用いることなく、匿名化対象のパーソナルデータ単体で匿名化することができる。
【図面の簡単な説明】
【００３２】
【図１】本発明の一実施形態に係る匿名化装置の構成を示すブロック図である。
【図２】本発明の一実施形態に係る匿名化レベル記憶部に格納されるレベル閾値テーブルの例を示す図である。
【図３】本発明の一実施形態に係る匿名化レベル記憶部に格納される提供先レベルテーブルの例を示す図である。
【図４】本発明の一実施形態に係る匿名化装置の匿名化処理の例を示すフローチャートである。
【図５】図４に続くフローチャートである。
【発明を実施するための形態】
【００３３】
以下、本発明の実施形態について、図を参照しながら説明する。図１は、本発明の一実施形態に係る匿名化装置１０の構成を示すブロック図である。
匿名化装置１０は、取得手段１１と、匿名化手段１２と、レベル受付手段１３と、条件受付手段１４と、更新手段１５と、匿名化レベル記憶部３１とを備える。
【００３４】
取得手段１１は、匿名化対象のパーソナルデータに関する統計情報を取得する。
パーソナルデータは、識別情報（個人のＩＤや、パーソナルデータを送信するユーザ端末の機器番号等）と対応付けられて、例えば、日付情報、位置情報等を含む。
パーソナルデータに関する統計情報は、例えば、ある特定の地理的範囲内での人口分布や、車両分布等である。
【００３５】
取得手段１１は、パーソナルデータの属性に基づいて、関連する複数の統計情報から対応する分布を選択するとしてもよい。
具体的には、取得手段１１は、例えば、地理的範囲ごと、時間ごと、車種ごとの台数分布等の統計情報を管理しているサーバから、パーソナルデータの属性（例えば、車両の現在の位置情報）に対応する統計情報として、匿名化対象の車両の位置を含んだ地理的範囲に含まれる車両の台数分布を選択して、取得する。
取得手段１１によって取得された車両の台数分布が、匿名化対象の車両の位置を含む当地理的範囲において、例えば、時刻１２時の車両の総数は凡そ１０００台であって、当地理的範囲における道路ごとの車両の台数の分布は、主要幹線道：５０％、市道：３０％、周辺道路：１５％、駐車：５％である、とする。
【００３６】
匿名化手段１２は、統計情報に基づいて、パーソナルデータを含む任意の範囲を設定することにより、当該範囲内に収まる統計上の件数が閾値以上となる匿名化データを生成する。
匿名化手段１２は、例えば、車両の台数の分布に基づいて、匿名化対象の車両の位置情報（例えば、緯度及び経度）に一定の地理的な範囲（例えば、道路に沿った範囲）を設定する。地理的な範囲は、設定した地理的な範囲内に収まる統計上の車両の台数が閾値以上となるように、設定される。
【００３７】
例えば、主要幹線道上の位置に対して、匿名化手段１２は、１０００台×５０％×ｐが閾値（例えば、５０台）以上となるようにｐを求める。ｐは、取得した統計情報の範囲（例えば、総数１０００台の地域）に対する、設定された地理的な範囲の面積又は距離等の割合である。匿名化手段１２は、ｐに相当する範囲として、例えば、主要幹線道の○○交差点から△△交差点までを設定する。
匿名化手段１２は、位置情報（例えば、緯度及び経度）を、設定した範囲（例えば、○○交差点から△△交差点までの範囲）に置き換える。
匿名化手段１２は、匿名化後の位置を、この他例えば○○駅周辺幹線道、○○駅東西ＸＸｍ、楕円内等の様々な表現にすることが可能である。また、匿名化手段１２は、範囲内における実際の位置が常に一定（例えば中心）にならないように、ランダムに範囲を移動させてもよい。
このように、匿名化手段１２は、範囲内に他者が閾値（例えば、５０台）以上存在すると統計的に推定されるようにして、パーソナルデータを匿名化する。
【００３８】
レベル受付手段１３は、閾値そのものの代わりに閾値に対応する匿名化のレベルを受け付ける。このとき、匿名化手段１２は、閾値として、複数の値からレベルに対応した値を選択する。
具体的には、匿名化のレベルと匿名化の閾値とを対応付けたレベル閾値テーブルを匿名化レベル記憶部３１に記憶しておき、このテーブルに基づいて、匿名化手段１２は、レベル受付手段１３によって受け付けられた匿名化のレベルに対応する閾値を選択する。
図２は、本発明の一実施形態に係る匿名化レベル記憶部３１に格納されるレベル閾値テーブルの例を示す図である。図２に示されるように、レベル閾値テーブルは、匿名化のレベルと匿名化の閾値とを対応付ける。
【００３９】
匿名化レベル記憶部３１は、匿名化データを提供する先のサービスごとに匿名化のレベルを記憶してもよい。
図３は、本発明の一実施形態に係る匿名化レベル記憶部３１に格納される提供先レベルテーブルの例を示す図である。図３に示されるように、提供先レベルテーブルは、提供する先のサービスと匿名化のレベルとを対応付ける。
【００４０】
レベル受付手段１３は、提供する先のサービスの指定を受け付けると、提供先レベルテーブル（図３のテーブル）からレベルを抽出し、抽出したレベルによりレベル閾値テーブル（図２のテーブル）から閾値を抽出する。
【００４１】
さらに、匿名化手段１２は、パーソナルデータが所定の条件を満たす場合、当該パーソナルデータを提供対象から除外する。
具体的には、匿名化手段１２は、パーソナルデータに含まれる時刻や、パーソナルデータを受信した時刻が、所定の時刻の範囲（例えば、２２：００〜７：００等）であって、所定の時間内の位置情報の変化が所定の範囲内（例えば、１００ｍ範囲内）である場合、当該パーソナルデータを提供対象から除外する。
すなわち、匿名化装置１０は、例えば、パーソナルデータのユーザが、夜間滞在している場所を自宅もしくは宿泊先とみなし、その周辺の位置情報をマスク（削除）してパーソナルデータを提供しないようにする。
【００４２】
さらに、条件受付手段１４は、提供対象から除外するための条件として、パーソナルデータの特定の値を受け付ける。
具体的には、条件受付手段１４は、パーソナルデータのユーザが指定するランドマーク（例えば、ｘｘ交差点、ｙｙ病院等）の位置を受け付ける。パーソナルデータの位置情報が、受け付けられたランドマークの位置から所定の範囲内である場合に、匿名化手段１２は、その周辺の位置情報をマスク（削除）してパーソナルデータを提供しないようにする。
【００４３】
匿名化手段１２は、パーソナルデータが所定の条件を満たさない場合であっても、パーソナルデータをランダムに提供対象から除外して、前述の指定されたランドマークをカモフラージュしてもよい。
【００４４】
更新手段１５は、匿名化データに基づいて統計情報を更新する。
具体的には、更新手段１５は、匿名化されたパーソナルデータを、一定期間蓄積する。更新手段１５は、この蓄積された匿名化データを算入することで、最新の統計情報を導出し、既存の統計情報を更新する。
【００４５】
図４及び５は、本発明の一実施形態に係る匿名化装置１０の匿名化処理の例を示すフローチャートである。匿名化装置１０は、コンピュータ及びその周辺装置が備えるハードウェア並びに該ハードウェアを制御するソフトウェアによって構成され、以下の処理は、制御部（例えば、ＣＰＵ）が、ＯＳの下で所定のソフトウェアに従い実行する処理である。
本フローチャートは、匿名化対象が位置情報の場合の例を示す。
【００４６】
ステップＳ１０１において、ＣＰＵ（レベル受付手段１３）は、匿名化のレベルを受け付ける。より具体的には、例えば、ＣＰＵは、匿名化のレベル２を受け付ける。
【００４７】
ステップＳ１０２において、ＣＰＵ（条件受付手段１４）は、パーソナルデータを提供対象から除外するためのマスク条件を受け付ける。より具体的には、例えば、ＣＰＵは、ｙｙ病院の位置情報（緯度及び経度）を受け付ける。
【００４８】
ステップＳ１０３において、ＣＰＵは、パーソナルデータを取得する。より具体的には、例えば、ＣＰＵは、車両に乗車しているユーザの端末から、ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）機能によって計測された緯度及び経度で表された位置情報を含むパーソナルデータを受信する。
【００４９】
ステップＳ１０４において、ＣＰＵ（匿名化手段１２）は、パーソナルデータがマスク条件を満たすか否かを判断する。より具体的には、例えば、ＣＰＵは、パーソナルデータの位置情報が、ステップＳ１０２において受け付けたｙｙ病院の位置から所定の範囲内であるか否かを判断する。この判断がＹＥＳの場合、ＣＰＵは、処理をステップＳ１０９に移し、この判断がＮＯの場合、ＣＰＵは、処理をステップＳ１０５に移す。
【００５０】
ステップＳ１０５において、ＣＰＵ（取得手段１１）は、パーソナルデータに関する統計情報を取得する。より具体的には、例えば、ＣＰＵは、車両の位置を含む地理的範囲での車両の台数分布を取得する。
【００５１】
ステップＳ１０６において、ＣＰＵ（匿名化手段１２）は、取得した統計情報に基づいてパーソナルデータに範囲を設定する。より具体的には、例えば、ＣＰＵは、ステップＳ１０１において受け付けた匿名化のレベルに応じて、範囲内の台数が閾値以上（例えば、５０台（レベル２）以上）となるように主要幹線道の○○１交差点から△△１交差点まで等の範囲を設定する。
【００５２】
ステップＳ１０７において、ＣＰＵ（匿名化手段１２）は、パーソナルデータの値を設定した範囲に置き換える。
【００５３】
ステップＳ１０８において、ＣＰＵ（匿名化手段１２）は、匿名化データを出力する。
【００５４】
ステップＳ１０９において、ＣＰＵは、終了指示がされたか否かを判断する。この判断がＹＥＳの場合、ＣＰＵは、処理を終了し、この判断がＮＯの場合、ＣＰＵは、処理をステップＳ１０３に移す。
【００５５】
本実施形態によれば、匿名化装置１０は、パーソナルデータに関する統計情報の分布に基づいて匿名化データを生成するので、疑似的に多数のデータを集めることができる。したがって、匿名化装置１０は、複数ユーザの集合データを用いることなく、匿名化対象のパーソナルデータ単体で、匿名化することができる。匿名化装置１０は、複数ユーザのパーソナルデータを同時に処理しないため、パーソナルデータを高速に匿名化することができる。
さらに、匿名化装置１０は、対象件数が閾値以上となるように範囲を設定するので、パーソナルデータを適切に匿名化することができる。
さらに、匿名化装置１０は、受け付けたレベルに対応して匿名化するので、匿名化したいユーザは、具体的な匿名化の閾値を設定することなく、数段階設けられたレベルを選択するのみで容易に匿名化を行わせることができる。したがって、匿名化装置は、匿名化したいユーザの負荷を軽減することができる。
さらに、匿名化装置１０は、提供するデータの匿名化の度合いを、提供する先のサービスごとに適合させて事前に設定することができる。
さらに、匿名化装置１０は、パーソナルデータの属性に対応する統計情報を選択するので、属性ごとに細分化された、より確からしい統計情報によって適切に匿名化することができる。
さらに、匿名化装置１０は、所定の条件を満たすパーソナルデータを提供対象から除外することにより、コンテクストに応じてセンシティブなデータをマスクした上で情報提供をすることができる。
さらに、匿名化装置１０は、受け付けた特定の値により、プライバシーの漏洩になりかねないパーソナルデータを適切に除外することができる。
さらに、匿名化装置１０は、パーソナルデータをランダムに提供対象から除外することにより、どのデータがプライバシーに繋がる可能性があるかを、分かりにくくすることができる。
さらに、匿名化装置１０は、匿名化したパーソナルデータを統計情報に反映することにより、最新の統計情報を導出することができる。この結果、匿名化装置１０は、より確かな統計情報により確実に匿名化ができる。
【００５６】
以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。
【００５７】
例えば、本実施形態では、位置情報を統計情報に基づいて匿名化するとしたが、これに限られない。匿名化装置１０は、位置情報のように時間と共に変化するデータだけでなく、購買履歴情報等に含まれる変化しない年齢情報等のパーソナルデータをその人の住所を含む地域の人口の統計情報に基づいて匿名化することができる。
【００５８】
また、本実施形態では、匿名化装置１０は、位置情報をユーザ端末から受信するとしたが、これに限られない、匿名化装置１０は、車両等に備えられてもよい。車両等に備えられた匿名化装置１０は、車両等の動作を制御し位置を計測するシステムから位置情報を受信し、匿名化したデータをサーバ等に送信することができる。
【００５９】
匿名化装置１０による一連の処理は、ソフトウェアにより行うこともできる。一連の処理をソフトウェアによって行う場合には、そのソフトウェアを構成するプログラムが、汎用のコンピュータ等にインストールされる。また、当該プログラムは、コンピュータ読み取り可能な記録媒体（例えば、ＣＤ−ＲＯＭのようなリムーバブルメディア等）に記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。
【符号の説明】
【００６０】
１０    匿名化装置
１１    取得手段
１２    匿名化手段
１３    レベル受付手段
１４    条件受付手段
１５    更新手段
３１    匿名化レベル記憶部
【図１】
0006355577.tif 000002
【図２】
0006355577.tif 000003
【図３】
0006355577.tif 000004
【図４】
0006355577.tif 000005
【図５】
0006355577.tif 000006