(57)【要約】【課題】匿名化データの正当性を評価することを課題とする。【解決手段】匿名化流通装置は、個人の情報に関する少なくとも１つの項目値を含む個人情報データが抽象化パターンに従って匿名化された匿名化データに含まれる前記抽象化パターンの分布と、過去に生成された前記匿名化データに含まれる抽象化パターンの分布とを比較する。そして、匿名化流通装置は、比較結果に基づいて、匿名化データの正当性を評価する評価指標を生成する。【選択図】図２
2016095641.tif 000002
【特許請求の範囲】
【請求項１】
個人の情報に関する少なくとも１つの項目値を含む個人情報データが抽象化パターンに従って匿名化された匿名化データに含まれる前記抽象化パターンの分布と、過去に生成された前記匿名化データに含まれる抽象化パターンの分布とを比較する比較部と、
比較結果に基づいて、前記匿名化データの正当性を評価する評価指標を生成する評価生成部と
を有することを特徴とする評価生成装置。
【請求項２】
前記評価生成部は、前記匿名化データのｋ−匿名化レベルまたはＩ−多様性レベルが、過去に生成された前記匿名化データのｋ−匿名化レベルまたはＩ−多様性レベルよりも低い場合、前記匿名化データの正当性を下げる前記評価指標を生成することを特徴とする請求項１に記載の評価生成装置。
【請求項３】
前記評価生成部は、前記匿名化データの区分数と出現数とから算出される情報量が前記過去の匿名化データの前記情報量よりも多い場合、前記匿名化データの正当性を下げる前記評価指標を生成することを特徴とする請求項１または２に記載の評価生成装置。
【請求項４】
前記比較部は、前記匿名化データを生成したユーザ情報と、前記過去の匿名化データを生成したユーザ情報とをさらに比較し、
前記評価生成部は、前記ユーザ情報が異なる場合に、前記匿名化データの正当性を下げる前記評価指標を生成することを特徴とする請求項１から３のいずれか一つに記載の評価生成装置。
【請求項５】
前記比較部は、前記匿名化データの生成に利用されたアプリケーションの情報と、前記過去の匿名化データの生成に利用されたアプリケーションの情報とをさらに比較し、
前記評価生成部は、前記アプリケーションの情報が異なる場合に、前記匿名化データの正当性を下げる前記評価指標を生成することを特徴とする請求項１から４のいずれか一つに記載の評価生成装置。
【請求項６】
前記比較部は、第１のユーザによって生成された第１の匿名化データに含まれる抽象化パターンの分布と、第２のユーザによって生成された第２の匿名化データに含まれる抽象化パターンの分布とを比較し、
前記評価生成部は、比較された匿名化データの類似度に基づいて、前記第１の匿名化データに、該第１の匿名化データの正当性を評価する指標を生成することを特徴とする請求項１に記載の評価生成装置。
【請求項７】
前記比較部は、前記第１の匿名化データの抽象化パターンと該抽象化パターンに該当するデータの出現数の両方が一致する抽象化パターンを有する前記第２の匿名化データを検索し、
前記評価生成部は、前記比較部によって該当する前記第２の匿名化データが検出された場合、前記第１の匿名化データの正当性を下げる前記評価指標を生成することを特徴とする請求項６に記載の評価生成装置。
【請求項８】
前記比較部は、前記抽象化パターンに使用される属性を定義する辞書パターンを参照し、各抽象化パターンに含まれる各属性を統合または分解して、前記第１の匿名化データの抽象化パターンに含まれる前記属性と前記属性に対応するデータの出現数の両方が一致する抽象化パターンを有する前記第２の匿名化データを検索することを特徴とする請求項７に記載の評価生成装置。
【請求項９】
前記比較部は、前記第１の匿名化データに含まれる抽象化パターンに該当するデータの出現数と、前記第２の匿名化データに含まれる抽象化パターンに該当する前記データ出現数との相関係数を算出し、
前記評価生成部は、前記比較部によって算出された相関係数が所定値以上である場合、前記第１の匿名化データの正当性を下げる前記評価指標を生成することを特徴とする請求項６から８のいずれか一つに記載の評価生成装置。
【請求項１０】
前記比較部は、前記第１の匿名化データに含まれる抽象化パターンに該当するデータの出現数と、前記第２の匿名化データに含まれる抽象化パターンに該当するデータの出現数とのハミング距離を算出し、
前記評価生成部は、前記比較部によって算出されたハミング距離が所定値以下である場合、前記第１の匿名化データの正当性を下げる前記評価指標を生成することを特徴とする請求項６から９のいずれか一つに記載の評価生成装置。
【請求項１１】
コンピュータが、
個人の情報に関する少なくとも１つの項目値を含む個人情報データが抽象化パターンに従って匿名化された匿名化データに含まれる前記抽象化パターンの分布と、過去に生成された前記匿名化データに含まれる抽象化パターンの分布とを比較し、
比較結果に基づいて、前記匿名化データの正当性を評価する評価指標を生成する
処理を含むことを特徴とする評価生成方法。
【請求項１２】
コンピュータに、
個人の情報に関する少なくとも１つの項目値を含む個人情報データが抽象化パターンに従って匿名化された匿名化データに含まれる前記抽象化パターンの分布と、過去に生成された前記匿名化データに含まれる抽象化パターンの分布とを比較し、
比較結果に基づいて、前記匿名化データの正当性を評価する評価指標を生成する
処理を実行させることを特徴とする評価生成プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、評価生成装置、評価生成方法および評価生成プログラムに関する。
【背景技術】
【０００２】
近年、情報漏洩の問題及び個人情報保護法の制定等により、個人情報の取り扱いが問題となっている。個人情報は、公的機関のみならず、種々の企業によって収集されている。例えば、商品又はサービスを購入する消費者（以下では、「個人」と呼ぶことがある）が商品又はサービスを購入する際に、会員登録することがある。この会員登録時には、通常、個人の氏名、年齢、性別、住所、及びメールアドレス等のデータが、個人に割り振られた個人ＩＤと対応づけられた状態で、企業のシステムに登録（記憶）される。すなわち、企業のシステムは、「個人情報データ」を記憶しておく。ここで、「個人情報データ」は、例えば、氏名、年齢、性別、住所、メールアドレス、及び個人ＩＤを含む。さらに、企業のシステムは、個人情報データが既に登録されている個人が商品又はサービスを購入する度に、その個人のＩＤに対応づけて、購入された商品又はサービスに関する情報を記憶する。これにより、企業は、収集した個人情報データを用いて、企業活動に利用することができる。
【０００３】
一方で、例えば、個人情報データを収集した第１の企業以外の第２の企業が、その個人情報データを利用することを望むことがある。すなわち、データ収集主体とデータ利用主体とが異なる可能性がある。しかしながら、個人情報保護の観点から、個人の許可を得ること無しに、個人情報データそのものを提供することはできない。そこで、個人情報データを、個人を特定できない状態のデータ（以下では、「匿名化データ」と呼ぶことがある）に変換し、匿名化データを利用することが考えられている。
【０００４】
また、今後改正が予定される個人情報保護法では、一定レベルの非識別化処理を行った個人情報を利用者の許可なる流通させることが可能となることから、匿名化データの流通が期待される。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１４−１５３９４４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、匿名化データの提供者としては、個人情報データを正常に取得したユーザの他にも、盗難された個人情報データを使用したユーザやハッキング等により入手したユーザなどの不正なユーザも含まれる。
【０００７】
しかしながら、匿名化データ前のデータが不正なデータであっても正当なデータであっても、同じ手順で匿名化した場合は、同じ匿名化データとなることから、匿名化データの正当性を保証することが難しい。このため、匿名化データを安全に利用できず、匿名化データの積極的な利用を躊躇させる原因となる。
【０００８】
開示の技術は、上記に鑑みてなされたものであって、匿名化データの正当性を評価することができる評価生成装置、評価生成方法および評価生成プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
本願の開示する評価生成装置は、一つの態様において、個人の情報に関する少なくとも１つの項目値を含む個人情報データが抽象化パターンに従って匿名化された匿名化データに含まれる前記抽象化パターンの分布と、過去に生成された前記匿名化データに含まれる抽象化パターンの分布とを比較する比較部と、比較結果に基づいて、匿名化データの正当性を評価する評価指標を生成する評価生成部とを有する。
【発明の効果】
【００１０】
１実施形態によれば、本願の開示する匿名化データの正当性を評価することができる。
【図面の簡単な説明】
【００１１】
【図１】図１は、実施例に係るシステムの全体構成例を示す図である。
【図２】図２は、匿名化データの比較例を説明する図である。
【図３】図３は、匿名化流通装置の機能構成を示す機能ブロック図である。
【図４】図４は、匿名化データの例を示す図である。
【図５】図５は、評価ＤＢ１５に記憶される情報の例を示す図である。
【図６】図６は、評価指標の例を示す図である。
【図７】図７は、検索画面の一例を示す図である。
【図８】図８は、検索結果の詳細情報の表示例を示す図である。
【図９】図９は、評価処理の流れを示すフローチャートである。
【図１０】図１０は、匿名化済み情報に特徴的な成りすまし判定処理の流れを示すフローチャートである。
【図１１】図１１は、定量評価による判定処理の流れを示すフローチャートである。
【図１２】図１２は、スコア検索処理の流れを示すフローチャートである。
【図１３】図１３は、統計情報を用いて匿名性の評価を判定した例を説明する図である。
【図１４】図１４は、情報量による判定例を説明する図である。
【図１５】図１５は、利用状況による比較例を説明する図である。
【図１６】図１６は、定量評価による比較例を説明する図である。
【図１７】図１７は、ハードウェア構成例を示す図である。
【発明を実施するための形態】
【００１２】
以下に、本願の開示する評価生成装置、評価生成方法および評価生成プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。
【実施例１】
【００１３】
［全体構成］
図１は、実施例に係るシステムの全体構成例を示す図である。このシステムは、匿名化流通装置１０を有し、企業等によって提供される個人情報データを匿名化して、社会に流通させるシステムである。
【００１４】
具体的には、匿名化流通装置１０は、匿名化処理、評価処理、流通販売処理を実行して、匿名化データを流通させる。例えば、匿名化処理において、匿名化流通装置１０は、各種サービスを利用する際に登録された個人の氏名、年齢、性別、住所、及びメールアドレス等のデータなどを含む個人情報データを、企業や個人ユーザなどから受け付ける。そして、匿名化流通装置１０は、所定のアプリケーションを用いて個人情報データを匿名化する。
【００１５】
また、評価処理において、匿名化流通装置１０は、匿名化データについて、個人情報を提供したユーザや企業の情報や、同じユーザによって生成された過去の匿名化データや異なるユーザによって生成された匿名化データとの比較によって、匿名化データの信頼度を示す評価指標（スコア）を生成する。
【００１６】
そして、流通販売処理において、匿名化流通装置１０は、匿名化データと該匿名化データのスコアとを需要者３に提供し、信頼性のある流通システムを確立する。例えば、匿名化流通装置１０は、検索推薦システムなどを利用して提供する。なお、検索推薦システムは、需要者から匿名化データの属性やｋ−匿名化レベル（ｋ−匿名性）などを受け付けて、該当する匿名化データを応答する検索システムの一例である。
【００１７】
ここで、匿名化流通装置１０に個人情報データを提供するユーザには、正当なユーザであるＡ社１と、不正なプレイヤー２とが含まれる。例えば、Ａ社１は、個人情報についての規約があり、個人情報の利用を顧客に説明した上で組織により利用承認が得られた正当なユーザである。一方で、不正なプレイヤー２は、盗難やハッキングにより入手された個人情報データを不正なデータと知らずに使用するユーザ、盗難やハッキングにより入手したユーザ、虚偽や捏造により生成した個人情報データを使用するユーザなどが含まれる。
【００１８】
これらのユーザが存在する環境において、匿名化流通装置１０は、匿名化データが何のツールによって作成されたかを特定することはできるが、その個人情報データが盗用データである又は不正利用データであることなどを保証することが難しい。
【００１９】
そこで、匿名化流通装置１０は、匿名化データを販売する際に、そのデータの出所の確認と、マルチステークホルダーによる評価を経た情報を公開し、情報のニーズと安全性のマッチングを行った後に情報配信を行うシステムを提供する。このようにすることで、匿名化流通装置１０は、匿名化データの正当性を評価することができる。
【００２０】
また、匿名化流通装置１０は、広告配信などの場合は何十社にも及ぶ対象群から適切に配信先を選択する必要があるため、登録されている匿名化データの安全性について、システム上でスコア化しておき、情報の利用者側が必要とするレベルの情報群を、スコア順に表示させ、利用を促進させる。このようにすることで、匿名化流通装置１０は、今まで軽視されてきた安全性の指標について、利用者や収益の増加などのメリットを与えることができるようになり、利用者および情報提供者の利便性を向上させることができる。
【００２１】
さらに、匿名化流通装置１０は、不正なスコアが算出された匿名化データを、データやセキュリティの専門家４に検証させることもできる。このようにすることで、匿名化流通装置１０は、不正なデータを使用した不正なプレイヤー２の発見等に役立てることができ、システムの信頼性を向上させることができる。
【００２２】
［匿名化データの比較例］
次に、匿名化データの比較による信頼度の判定例を説明する。図２は、匿名化データの比較例を説明する図である。ここでは、一例として、あるユーザが生成した匿名化データと、当該あるユーザが過去に生成した匿名化データとを比較する例を説明する。
【００２３】
図２は、１００人のデータセットを１０匿名化状態（ｋ−匿名化レベル＝１０）にした場合の図である。図２の左図は、あるユーザが前回生成した匿名化データであり、情報量が最大の匿名化状態である。図２の右図は、あるユーザが今回生成した匿名化データであり、情報量が最小の匿名化状態である。
【００２４】
つまり、図２は、同じユーザが同じ匿名化レベルで生成した匿名化データである。しかし、図２の両図を比較すると、同じ匿名化レベルであるにも関わらず、各匿名化パターンの数値（出現数）の分布が異なる。このような場合、匿名化流通装置１０は、今までと異なる分布パターンであることから、今回生成された匿名化データの信頼度を下げる。
【００２５】
すなわち、匿名化流通装置１０は、あるユーザが今までとは異なる分布パターンの匿名化データを生成して提供を行う場合、突然の変化が不自然であると判定し、不正なユーザによる匿名化データの提供や不正な個人情報データを用いた匿名化データと判定する。そして、匿名化流通装置１０は、このような匿名化データの信頼度を下げることで、匿名化データの正当性を評価した上で、流通させることができる。
【００２６】
［機能構成］
図３は、匿名化流通装置の機能構成を示す機能ブロック図である。図３に示すように、匿名化流通装置１０は、匿名化情報ＤＢ１１、技術者情報ＤＢ１２、利用状況ＤＢ１３、辞書ＤＢ１４、評価ＤＢ１５、匿名化処理部１６、評価実行部１７、提供部１８、サジェスト生成部１９を有する。
【００２７】
なお、匿名化情報ＤＢ１１、技術者情報ＤＢ１２、利用状況ＤＢ１３、辞書ＤＢ１４、評価ＤＢ１５は、例えばメモリやハードディスクなどの記憶装置に記憶される。また、ここで挙げたＤＢは、一例であり、履歴を記憶するＤＢや計算過程を記憶するＤＢなどを有していてもよい。また、匿名化処理部１６、評価実行部１７、提供部１８、サジェスト生成部１９は、プロセッサなどの電子回路の一例またはプロセッサなどが実行するプロセスの一例である。
【００２８】
匿名化情報ＤＢ１１は、匿名化データを記憶するデータベースである。具体的には、匿名化情報ＤＢ１１は、ユーザすなわち個人情報を提供する企業や該企業の技術者ごとに、各ユーザが生成した数世代分の匿名化データを対応付けて記憶する。例えば、匿名化情報ＤＢ１１は、１ユーザについて、２世代すなわち前回の匿名化データと今回生成された匿名化データを記憶する。
【００２９】
図４は、匿名化データの例を示す図である。匿名化情報ＤＢ１１は、図４に示す匿名化データを記憶する。図４に示すように、匿名化データは、複数の抽象化パターンと、各抽象化パターンに対応する「存在数」とが対応づけられている。「存在数」の値は、対応づけられた抽象化パターンに対応する匿名化データ群にいくつ含まれているかを示しており、いわゆる出現数である。なお、「匿名化データ群」は、項目値についての複数の「抽象化パターン」に基づいて個人情報データを抽象化して得られた複数の匿名化データを含んでいる。
【００３０】
また、図４に示す「ｋ−匿名性判定テーブル」において「ｋ−匿名性」の項目値である「○」は、「存在数」の項目値が１０以上であることを示しており、項目値「△」は、「存在数」の項目値が１０未満であることを示している。ここでは、「ｋ−匿名性のクリア基準値」が「１０」に設定されている。
【００３１】
例えば、図４に示すように、抽象化パターン「２０代」の存在数の値、つまり、ｋ値は、「３０」であり、抽象化パターン「２０代、男性」のｋ値は、「２１」であり、抽象化パターン「２０代、女性」のｋ値は、「９」である。
【００３２】
つまり、個人情報データの識別情報をＡとした場合、１７才に該当するデータの数が５０人、１８才に該当するデータの数が１８人、１６才に該当するデータの数が１６人、１５才以下に該当するデータの数が１０人となる。このように、抽象化パターンは、複数の属性で定義され、その属性に該当するデータの数が存在数となる。
【００３３】
技術者情報ＤＢ１２は、匿名化流通装置１０を利用して匿名化データを生成する技術者（ユーザ）に関する情報を記憶するデータベースである。具体的には、技術者情報ＤＢ１２は、技術者ごとに、会員情報などの一般的な情報と、外部組織等によるアンケート結果などを記憶する。
【００３４】
例えば、技術者情報ＤＢ１２は、匿名化流通装置１０に登録される正式なユーザであるか否か、技術者が属する企業名や組織名が登録情報に記載されているか否か、技術者が組織内で承認された技術者か否かなどを記憶する。
【００３５】
また、技術者情報ＤＢ１２は、外部組織によって実行された情報として、所属組織による過去の不正の発覚有無、組織全体によるなりすましの可能性、個人情報の利用規約の内容、個人提供者のアンケート結果とその内容および過去の結果、所属企業が公的機関であるなどの特殊事例などを記憶する。
【００３６】
利用状況ＤＢ１３は、匿名化流通装置１０を利用して匿名化データを生成する技術者の利用状況を記憶するデータベースである。例えば、利用状況ＤＢ１３は、技術者ごとに、使用時間、アクセス元のＩＰ（Internet  Protocol）アドレス、メールによる技術者の確認有無などを記憶する。
【００３７】
辞書ＤＢ１４は、抽象化パターンに使用される属性を定義する抽象化辞書を記憶するデータベースである。例えば、辞書ＤＢ１４は、２０歳を２０才に変換する変換式や２３歳を２０代に変換する変換式など、情報の正規化を行う各種パターンを記憶する。
【００３８】
評価ＤＢ１５は、後述する評価実行部１７によって生成されたスコアが対応付けられた匿名化データを記憶するデータベースである。図５は、評価ＤＢ１５に記憶される情報の例を示す図である。図５に示す評価結果は、例示として、属性が「２０代」の匿名化データの評価結果を示す。
【００３９】
図５に示すように、評価結果は、「年齢、提供者、その他の属性、作成日、定性評価、定量評価、技術者評価」などで構成される。なお、これらの情報以外にも、需要者３など他のユーザによって利用された回数などを対応付けて管理することもできる。
【００４０】
「年齢」は、需要者３が匿名化データを検索する際に使用したキーワードであり、ここでは年齢が検索されたため年齢が設定されるが、性別が検索された場合には性別が設定される。「提供者」は、匿名化データを生成した技術者が属する企業等の情報である。「その他の属性」は、提供者が提供する匿名化データが有する他の属性を示す。「作成日」は、匿名化データが作成された日を示す。
【００４１】
「定性評価」は、一般的な外部組織による利用可否の評価基準にしたがって評価された結果を示し、「定量評価」は、匿名化データに特徴的な不正情報の検出方法によって評価された結果を示す。「技術者評価」は、一般的ななりすましや匿名化データに特徴的ななりすましにしたがって評価された結果を示す。なお、各評価結果は、Ａ判定、Ｂ判定、Ｃ判定の３段階で示され、例えば評価スコアが１００から９０ではＡ判定、８９から７０ではＢ判定、６９以下はＣ判定と表記される。
【００４２】
図５の例では、Ａ社によって２０１４年８月に生成された匿名化データに抽象化パターンとして属性「２０代」を含むデータが存在し、この匿名化データの定性評価がＡ判定、定量評価がＡ判定、技術者評価がＢ判定であることを示す。
【００４３】
匿名化処理部１６は、所定のアプリケーションを利用して、個人情報データを匿名化データに変換する処理部である。具体的には、匿名化処理部１６は、技術者から受け付けた個人情報データに対して、技術者によって指定されたアプリケーションを用いて、技術者が指定した抽象化パターンで匿名化し、匿名化後の匿名化データを匿名化情報ＤＢ１１に格納する。なお、技術者は、辞書ＤＢ１４を参照して、抽象化パターンに含まれる属性などを指定することができる。
【００４４】
また、匿名化処理部１６は、技術者から個人情報データを受け付ける際に、会員番号の入力などを要求することもできる。そして、匿名化処理部１６は、技術者の会員情報、ＩＰアドレス、作成日時、属する企業名などを抽出して、利用状況ＤＢ１３に格納する。
【００４５】
評価実行部１７は、技術者評価部１７ａ、定性評価部１７ｂ、定量評価部１７ｃを有し、これらによって匿名化データの信頼性をスコア化する処理部である。ここで、評価実行部１７が使用する評価基準を説明する。
【００４６】
図６は、評価指標の例を示す図である。図６に示すように、評価指標は、技術者、定性評価、定量評価の３大項目で評価される。大項目「技術者」は、「一般的な成りすまし判定技術」と「匿名化済み情報に特徴的な成りすまし判定」の２つの中項目で構成され、各中項目は、具体的な判定内容である少なくとも１つの小項目を有する。
【００４７】
同様に、大項目「定性評価」は、「一般的な外部組織による利用可否の評価技術」の中項目で構成され、この中項目は少なくとも１つの小項目を有する。また、大項目「定量評価」は、「匿名化済み情報に特徴的な不正情報の検出方法」の中項目で構成され、この中項目は少なくとも１つの小項目を有する。なお、小項目の内容については後述するので、ここでは詳細な説明は省略する。また、各項目の内容や組み合わせは任意に設定変更することができ、図６に示したものに限定されない。
【００４８】
技術者評価部１７ａは、匿名化データを生成した技術者を評価し、評価結果を評価ＤＢ１５に格納する処理部である。具体的には、技術者評価部１７ａは、各技術者について技術者情報ＤＢ１２と利用状況ＤＢ１３を参照し、図６に示した評価指標の大項目「技術者」に対応付けられる各小項目に該当するか否かを判定する。
【００４９】
例えば、技術者評価部１７ａは、技術者が正式な会員ではない場合にスコア「１」を加算し、技術者の属する企業名や組織名が未登録である場合にスコア「１」を加算し、組織内で承認されたユーザではない場合にスコア「１」を加算する。また、技術者評価部１７ａは、匿名化データ作成時のＩＰアドレスと利用時間が過去の情報と異なる場合にスコア「１」を加算し、メール等による技術者確認が実行されていない場合にスコア「１」を加算する。
【００５０】
さらに、技術者評価部１７ａは、過去の利用履歴と比較する。具体的には、技術者評価部１７ａは、今回の作成時と前回の作成時との間で、ＩＰアドレスや利用時間帯が異なるか否かを判定する。例えば、技術者評価部１７ａは、これらの情報が異なる場合、通常の人員と異なる人間が操作している可能性が高く、成りすましやパスワードのハッキングによって情報が操作されている可能性があることから、スコア「１」を加算する。このようにすることで、海外への無節操な情報流出を防ぐこともできる。
【００５１】
また、技術者評価部１７ａは、過去の同社（技術者の属する会社）の利用者情報との比較を行う。例えば、技術者評価部１７ａは、技術者が毎月情報を提供する個人情報データにおいて、先月の男女比が５０：５０であったのに対し、今月は７０：３０に変更されている場合、不正なデータが投入された可能性があると判定して、スコア「１」を加算する。
【００５２】
また、技術者評価部１７ａは、過去の同社（技術者の属する会社）の匿名化データと比較して、ｋ−匿名化レベルやＩ−多様性レベルが低くなっているか否かを判定する。例えば、ｋ値が低いということは、過去の情報よりも、より詳細な情報を提供することになる。したがって、技術者評価部１７ａは、前回よりもｋ−匿名化レベルやＩ−多様性レベルが低くなっている場合、ユーザ規約に記載されない、より重要な情報を公開することで、不正な利益を得る可能性があると判定して、スコア「１」を加算する。なお、「ｋ−匿名性」とは、同じ属性を持つ個人がｋ人以上いる状態をいう。また、「ｌ−多様性」とは、属性の組合せが少なくともｌ通り以上ある状態をいう。
【００５３】
また、技術者評価部１７ａは、過去の同社（技術者の属する会社）が使用していたアプリケーションが異なるか否かを判定する。例えば、アプリケーションが変更された場合、情報提供手段が変更になったと解することができる。したがって、技術者評価部１７ａは、過去の手法と異なる情報を提供する必要が出来たため、提供目的が変更された可能性があると判定して、スコア「１」を加算する。
【００５４】
また、技術者評価部１７ａは、過去の同社（技術者の属する会社）が使用していた辞書が異なるか否かを判定する。例えば、語の変換辞書が変更された場合、過去の情報と異なる利用方法を提供すると解することができる。したがって、技術者評価部１７ａは、アプリケーションが変更された場合、特定の会社のためにカスタマイズされた情報を、故意に提供している可能性があると判定して、スコア「１」を加算する。なお、その情報を利用している企業の業種やジャンルなどをさらに確認することで精度を高めることもできる。
【００５５】
そして、技術者評価部１７ａは、上記手法により判定したスコア値を合計し、合計した結果に基づいて評価指標を生成する。一例を挙げると、技術者評価部１７ａは、スコア値の合計が「１０」である場合、「１００−１０＝９０」を評価値と算出し、評価指標として９０［Ａ］を生成する。別例を挙げると、技術者評価部１７ａは、スコア値の合計が「７」である場合、「１００−７＊２＝８６」を評価値と算出し、評価指標として８６［Ｂ］を生成する。
【００５６】
なお、ここで示したスコア値を用いた評価値の作成方法は、あくまで一例であり、統計学など様々な分野で使用される算出方法を利用することができる。また、重要な小項目には重みをつけるなど、スコアの値や重要度に応じた係数なども任意に設定変更できる。また、スコア値の計算手法は、合計スコア値を１００から減算する減算方式であってもよく、合計スコア値をそのままスコア値として利用する加算方式あってもよい。
【００５７】
定性評価部１７ｂは、匿名化データを生成した技術者や企業に対する外部評価にしたがって該技術者を評価し、評価結果を評価ＤＢ１５に格納する処理部である。具体的には、定性評価部１７ｂは、技術者が属する組織へのアンケート結果、第三者機関による組織の調査結果、技術者情報ＤＢ１２、利用状況ＤＢ１３などを参照し、図６に示した評価指標の大項目「定性評価」に対応付けられる各小項目に該当するか否かを判定する。
【００５８】
例えば、定性評価部１７ｂは、アンケートの結果、技術者が属する組織等による不正が過去にあった場合にスコア「１」を加算し、技術者が組織等によって承認されていない場合にスコア「３」を加算する。また、定性評価部１７ｂは、外部機関によって、技術者が属する組織の成りすましが確認された場合にスコア「１」を加算する。
【００５９】
また、定性評価部１７ｂは、アンケートの結果、技術者の企業に個人情報を提供したユーザへのアンケートが未実施の場合にスコア「１」を加算する。同様に、定性評価部１７ｂは、個人情報を提供したユーザへのアンケートに、利用承諾の欄がないなどの不備がある場合にスコア「３」を加算する。同様に、定性評価部１７ｂは、個人情報を提供したユーザへのアンケートと過去のアンケートを比較し、個人情報を受け取った組織に対する不満等が記載されている場合にスコア「２」を加算する。
【００６０】
また、定性評価部１７ｂは、有識者による規約確認により、利用者に対する説明不足や責任の所在などの不備がある場合にスコア「１」を加算する。また、定性評価部１７ｂは、予め指定した特例事例である場合にスコア「３」を加算する。
【００６１】
そして、定性評価部１７ｂは、技術者評価部１７ａで説明した手法等用いて、上記広告の判定結果からスコア値を合計し、合計した結果に基づいて評価指標を生成する。
【００６２】
定量評価部１７ｃは、匿名化データの特徴を考量した不正判定を行って、匿名化データを評価し、評価結果を評価ＤＢ１５に格納する処理部である。具体的には、定量評価部１７ｃは、各匿名化データについて、匿名化情報ＤＢ１１や他のＤＢ等を参照し、図６に示した評価指標の大項目「定量評価」に対応付けられる各小項目に該当するか否かを判定する。
【００６３】
具体的には、定量評価部１７ｃは、対象の匿名化データの区分数と総情報量と、同一技術者による過去の匿名化データの区分数と総情報量とを比較する。具体的には、ｋー匿名性は同一であっても、区分数が多くなっている場合、その情報の詳細性は高まっている。したがって、定量評価部１７ｃは、ｋ−匿名化レベルが小さくなっている場合や情報量が閾値以上増えている場合、不正なデータ提供を意図するものと判定して、スコア「３」を加算する。
【００６４】
なお、定量評価部１７ｃは、事象Ｅが発生する確率をＰ（Ｅ）とするときの情報量Ｉ（Ｅ）を、「Ｉ（Ｅ）＝−ｌｏｇＰ（Ｅ）」で算出する。すなわち、「情報量＝−ｌｏｇ（出現率）」であることから、情報量が細かいもの、すなわち出現率が低いものは、情報量が多くなる。例えば、図２の左図の匿名化パターン１の場合、１００個のデータ群における１０個の情報量は「−ｌｏｇ（１０／１００）＝３．３２」となる。一方で、図２の右図の匿名化パターン１の場合、１００個のデータ群における９０個の情報量は「−ｌｏｇ（９０／１００）＝０．１５」となる。
【００６５】
したがって、定量評価部１７ｃは、今回作成された匿名化データの情報量が過去の匿名化データの情報量よりも大幅に増えている場合、不正な目的で生成された可能性が高いなどを判定する。
【００６６】
また、定量評価部１７ｃは、他社情報と比べて、「属性値＋該当人数」の組み合わせの一致例が存在するか否かを判定する。具体的には、数万から数百万人のユーザデータを扱う情報の場合、例えば他のデータと属性と数値の両方が一致する確率は非常に低い。例えば、抽象化パターン「２０代＋男性」が１００００人以上居る場合、他社で全ての属性と数値が一致する情報が存在する可能性は非常に低い。このため、定量評価部１７ｃは、一致するデータは盗難データである可能性があると判定して、スコア「２」を加算する。
【００６７】
例えば、定量評価部１７ｃは、現匿名化データの抽象化パターン「１０代、男性」の出現数が「１０」である場合に、他社の匿名化データのうち、これと同じ匿名化結果を有する匿名化データを検索する。そして、定量評価部１７ｃは、現匿名化データを不正なデータである可能性が高いと判定する。
【００６８】
また、定量評価部１７ｃは、属性値の抽象化辞書を利用し、該当人数の組み合わせの一致例が存在するか否かを判定する。具体的には、定量評価部１７ｃは、抽象化パターンに使用される属性を定義する辞書パターンを記憶する辞書ＤＢ１４を参照し、比較対象の各匿名化データの各抽象化パターンに含まれる各属性を統合または分解して比較する。
【００６９】
一例を挙げると、「属性（１０代）、出現数（１００００人）」情報と、「属性（１０−１４才）、出現数（５０００人）」と「属性（１５−１９才）、出現数（５０００人）」の情報は、同じものである可能性が高い。そこで、定量評価部１７ｃは、辞書パターンから、属性の分解や結合により一致する属性のパターンを検出し、一致するパターンが検出された場合に、スコア「１」を加算する。
【００７０】
また、定量評価部１７ｃは、他社数値との相関係数を算出し、不自然な一致が存在するか否かを判定する。具体的には、定量評価部１７ｃは、匿名化データの各抽象化パターンの各出現数と、他人の匿名化データの各抽象化パターンの各出現数との相関係数を算出し、算出した相関係数が閾値以上である場合に、スコア「２」を加算する。
【００７１】
例えば、属性に対して、一律でノイズを付加するなどの処理を行った場合、全ての情報の出現数は変化しても、その推移に対する相関関係は高い形で出現するはずである。そこで、定量評価部１７ｃは、出現数同士の相関係数を取得し、不自然に相関係数が高い場合は不正なデータである可能性が高いと判定する。
【００７２】
一例を挙げると、定量評価部１７ｃは、図２に示した抽象化パターンにおいて左図の数値の合計と右図の数値の合計との相関係数を算出する。そして、定量評価部１７ｃは、相関係数が閾値以上である場合、不正な匿名化データであると判定する。別例としては、定量評価部１７ｃは、図２に示した各抽象化パターンにおいて左図の数値と右図の数値との相関係数を算出し、相関係数が閾値以上である抽象化パターンが５個以上ある場合、不正な匿名化データであると判定する。
【００７３】
また、定量評価部１７ｃは、他社数値とのハミング距離を算出し、不自然な一致が存在するか否かを判定する。具体的には、定量評価部１７ｃは、匿名化データの各抽象化パターンの各出現数と、他人の匿名化データの各抽象化パターンの各出現数とのハミング距離を算出し、算出したハミング距離が閾値以下である場合に、スコア「２」を加算する。
【００７４】
例えば、個人情報に対してランダムにノイズを付加している場合などでは、非常に近い距離の数値が出現する可能性がある。このため、定量評価部１７ｃは、属性が類似している情報同士を用いて、ハミング距離やＪＡＣＣＡＲＤ係数などを用いた情報の一致度調査を行い、数値が不自然に一致している場合は、不正な匿名化データであると判定する。
【００７５】
一例を挙げると、定量評価部１７ｃは、図２に示した各抽象化パターンにおいて左図の数値と右図の数値とのハミング距離を算出する。そして、定量評価部１７ｃは、ハミング距離が閾値以下の抽象化パターンが５個以上存在する場合、不正な匿名化データであると判定する。
【００７６】
提供部１８は、需要者３に対して匿名化データの検索画面を提供し、所望の匿名化データを検索して出力する処理部である。具体的は、提供部１８は、検索対象の属性として「２０代」が入力された場合、抽象化パターン「２０代」を有する匿名化データのうち、信頼性が高い匿名化データから順に表示させる。
【００７７】
ここで検索画面の一例を説明する。図７は、検索画面の一例を示す図である。提供部１８は、図７に示す検索画面を生成および表示して、匿名化データの検索や販売を提供する。図７に示す画面のＡは、検索対象と検索されている属性の組み合わせを表示する領域である。この領域に表示されるサジェストは、サジェスト生成部１９によって生成される。
【００７８】
また、図７に示す画面のＢは、一般的な広告欄である。図７に示す画面のＣは、検索結果が表示される領域である。提供部１８は、属性「２０代」が検索キーワードとして入力されると、評価ＤＢ１５から属性「２０代」を抽象化パターンとして有する匿名化データを検索する。そして、提供部１８は、検索した匿名化データのうち、評価結果が高いものから順に表示させる。なお、ここで表示される情報は、評価ＤＢ１５に記憶されている情報をそのまま表示させてもよく、任意の表示形式に変換してから表示してもよい。
【００７９】
また、図７に示す画面のＤは、検索された属性の子属性の検索結果を表示させる領域である。例えば、属性「年齢」に子属性として「子供の年齢」などを予め対応付けておく。すると、提供部１８は、属性「２０代」が検索キーワードとして入力されると、検索結果をＣの領域に表示させるとともに、同様の手法で「子供の年齢＝２０代」を検索キーワードして検索した結果をＤに表示させる。
【００８０】
さらに、提供部１８は、図７のＣやＤに表示させた検索結果が選択された状態で「情報を確認する」などのボタンが押下されると、詳細情報を表示させることもできる。図８は、検索結果の詳細情報の表示例を示す図である。図８に示すように、提供部１８は、図７において選択された検索結果に対して、さらに「利用回数」などを対応付けた検索結果を表示する。
【００８１】
そして、提供部１８は、図８に示したＡ社の詳細結果が選択された状態で「情報の平均値」のボタンが選択されると、Ａ社の提供する性別の情報、Ａ社の評価結果の詳細を表示する。さらに、提供部１８は、各評価結果の詳細については、円グラフなど任意のグラフ形式で、視覚的にわかりやすく表示させることもできる。
【００８２】
また、提供部１８は、図８に示したＡ社の詳細結果が選択された状態で「選択した情報を利用」のボタンが選択されると、Ａ社の匿名化データをＣＳＶ形式等の任意の形式で出力することもできる。
【００８３】
サジェスト生成部１９は、提供部１８が表示させた画面に入力された検索キーワードを取得して、該当するサジェストを生成し、所定の領域に表示させる処理部である。具体的には、サジェスト生成部１９は、属性を検索した際に、その属性と共起する情報群を表示させる。
【００８４】
例えば、サジェスト生成部１９は、各社の匿名化データの検索において、「年齢、性別」や「年齢、地域」などが検索キーワードとして利用されていることを収集して記憶部等に格納する。そして、サジェスト生成部１９は、検索キーワードとして「２０代」が入力されると、「２０代、男性」、「２０代、東京」などをサジェストとして出力する。
【００８５】
このとき、サジェスト生成部１９は、匿名化レベルを満たす属性を優先して出力することもできる。例えば、「２０代」で検索された匿名化データにおいて、「２０代、男性」よりも「２０代、女性」の方が匿名化レベルを満たす割合が多い場合、サジェスト生成部１９は、「２０代、女性」を優先させて表示したり、強調表示させることもできる。また、サジェスト生成部１９は、「２０代、男性」が匿名化レベルを満たさない場合は、サジェスト対象から除外することもできる。
【００８６】
［処理の流れ］
次に、匿名化流通装置１０が実行する処理について説明する。ここでは、評価処理の流れ、なりすまし判定の流れ、定量評価の流れ、スコア検索処理の流れについて説明する。
【００８７】
（評価処理の流れ）
図９は、評価処理の流れを示すフローチャートである。図９に示すように、匿名化処理部１６は、個人情報データを受け付けて（Ｓ１０１：Ｙｅｓ）、技術者によって匿名化の開始が指示されると（Ｓ１０２：Ｙｅｓ）、個人情報データの匿名化を実行する（Ｓ１０３）。
【００８８】
続いて、技術者評価部１７ａは、匿名化を実施したユーザ情報を取得し（Ｓ１０４）、各種ＤＢおよび評価指標を参照して、ユーザ情報による成りすまし判定を実行する（Ｓ１０５）。すなわち、技術者評価部１７ａは、匿名化を実施した技術者の情報を用いて、一般的な成りすまし判定を実行する。
【００８９】
そして、定性評価部１７ｂは、各種ＤＢおよび評価指標を参照して、定性評価による判定を実行する（Ｓ１０６）。すなわち、定性評価部１７ｂは、一般的な外部組織による利用可否の評価技術による判定を実行する。
【００９０】
その後、技術者評価部１７ａは、匿名化済み情報に特徴的な成りすまし判定方法による判定処理を実行する（Ｓ１０７）。そして、定量評価部１７ｃは、定量評価による判定処理を実行する（Ｓ１０８）。なお、各処理の順番は、任意に変更することができる。
【００９１】
（匿名化済み情報に特徴的な成りすまし判定処理の流れ）
図１０は、匿名化済み情報に特徴的な成りすまし判定処理の流れを示すフローチャートである。この処理は、Ｓ１０７で実行される処理である。
【００９２】
図１０に示すように、技術者評価部１７ａは、匿名化データのｋ−匿名性を確認し（Ｓ２０１）、匿名化情報ＤＢ１１から読み出した、同じ技術者によって生成された先月の匿名化データのｋ−匿名性と比較する（Ｓ２０２）。
【００９３】
続いて、技術者評価部１７ａは、ＩＰアドレス、ブラウザ情報、利用時間等の情報をＤＢ等に記録し（Ｓ２０３）、過去の状況と比較し、過去の状況と異なる場合は、メール等により該当技術者に連絡する（Ｓ２０４）。
【００９４】
その後、技術者評価部１７ａは、匿名化処理結果をＤＢ等に記録する記録処理を実行し（Ｓ２０５）、過去の情報と比較して、変更があった場合には、メール等により該当技術者に連絡する（Ｓ２０６）。
【００９５】
つまり、技術者評価部１７ａは、Ｓ２０２およびＳ２０６において、図６に示した「匿名化済み情報に特徴的な成りすまし判定方法」に対応付けられる各小項目についての判定を実行し、その結果を評価ＤＢ１５に格納する。
【００９６】
（定量評価処理の流れ）
図１１は、定量評価による判定処理の流れを示すフローチャートである。この処理は、Ｓ１０８で実行される処理である。
【００９７】
図１１に示すように、定量評価部１７ｃは、対象となっている匿名化データの全情報の情報量を取得し（Ｓ３０１）、先月までの情報量と比較する（Ｓ３０２）。つまり、定量評価部１７ｃは、対象となっている匿名化データの各抽象化パターンについて情報量を算出する。
【００９８】
続いて、定量評価部１７ｃは、主要な情報値を取得し（Ｓ３０３）、取得した主要な情報値を辞書ＤＢ１４に記憶される抽象化辞書にあわせて整形する（Ｓ３０４）。例えば、定量評価部１７ｃは、「属性値／数値（出現数）」の値を大きい順に１０個抽出し、抽出された情報の属性（例えば、性別など）を情報値とする。
【００９９】
その後、定量評価部１７ｃは、属性＋数値で一致する情報を検索し（Ｓ３０５）、主要な情報値を集約してベクトル行列化する（Ｓ３０６）。そして、定量評価部１７ｃは、過去の情報との相関係数やハミング距離を算出して比較し（Ｓ３０７）、他社の情報との相関係数やハミング距離を算出して比較する（Ｓ３０８）。
【０１００】
つまり、定量評価部１７ｃは、Ｓ３０２、Ｓ３０５、Ｓ３０７、Ｓ３０８において、図６に示した「定量評価」に対応付けられる各小項目についての判定を実行し、その結果を評価ＤＢ１５に格納する。
【０１０１】
（スコア検索処理の流れ）
図１２は、スコア検索処理の流れを示すフローチャートである。図１２に示すように、提供部１８は、検索クエリを受け付けると（Ｓ４０１：Ｙｅｓ）、評価ＤＢ１５に記憶される匿名化データの中から、クエリを含む属性を検索する（Ｓ４０２）。つまり、提供部１８は、検索対象の属性を抽象化パターンに含む匿名化データを検索する。
【０１０２】
そして、提供部１８は、検出した属性ごとの利用性を取得する（Ｓ４０３）。つまり、提供部１８は、検索された匿名化データの評価結果を評価ＤＢ１５から取得する。
【０１０３】
その後、サジェスト生成部１９は、サジェスト用のリストを生成する（Ｓ４０４）。また、提供部１８は、属性の並ぶ順番を設定し（Ｓ４０５）、属性内の表示順番を決定する（Ｓ４０６）。つまり、提供部１８は、検索された匿名化データの評価結果に基づいて、評価が高い順に表示すると決定する。
【０１０４】
そして、サジェスト生成部１９は、サジェスト用のリストから表示順番を決定する（Ｓ４０７）。その後、提供部１８は、各属性の詳細データ、つまり検索された匿名化データの詳細データを評価ＤＢ１５等から取得して（Ｓ４０８）、検索結果を表示する（Ｓ４０９）。
【０１０５】
［判定の具体例］
次の匿名化データの比較について具体例を説明する。ここでは、同じ技術者によって生成された匿名化データを比較する例で説明する。
【０１０６】
図１３は、統計情報を用いて匿名性の評価を判定した例を説明する図である。図１３に示すデータ群Ａは、１０代から１００才以上の属性について匿名化したデータで、ｋ−匿名化レベルが９であり、各属性の出現数の合計は１０１である。データ群Ｂは、１０代から１００才以上の属性について匿名化したデータで、ｋ−匿名化レベルが８であり、各属性の出現数の合計は９９である。
【０１０７】
ここで、評価実行部１７は、データ群Ａの匿名化データの分布とデータ群Ｂの匿名化データの分布とを比較することで、２０代、３０代、４０代、５０代、８０代、１００以上の６つの属性が一致すると判定する。
【０１０８】
また、評価実行部１７は、各属性の出現数の間のハミング距離を算出し、１０代、６０代、７０代、９０の４つの属性の距離が１と判定する。さらに、評価実行部１７は、出現数の合計の相関係数を０．８１と算出する。
【０１０９】
これらの結果から、評価実行部１７は、ｋ−匿名化レベルだけで判断した場合は、データ群Ａとデータ群Ｂとは非類似するデータを判定することができる。また、評価実行部１７は、情報の一致数だけで判断する場合、一致数が閾値（例えば２）以上であることから、データ群Ａとデータ群Ｂとは類似するデータを判定することができる。
【０１１０】
また、評価実行部１７は、ハミング距離だけで判断する場合、距離が閾値（例えば１０）以下であることから、データ群Ａとデータ群Ｂとは類似するデータを判定することができる。また、評価実行部１７は、相関係数だけで判断する場合、相関係数が閾値（例えば０．８）以上であることから、データ群Ａとデータ群Ｂとは類似すると判定することができる。
【０１１１】
また、図１４は、情報量による判定例を説明する図である。図１４に示すように、評価実行部１７は、データ群Ａの情報量の合計を３３．２１と算出し、データ群Ｂの情報量の合計を３３．３０と算出し、その差を０．０９と算出する。したがって、評価実行部１７は、情報量だけで判断した場合、情報量の差が閾値（例えば１０）以下であることから、データ群Ａとデータ群Ｂとは類似するデータを判定することができる。
【０１１２】
このように、評価実行部１７は、各情報だけで判定することもできるが、属性の分布や閾値等の設定によっては、判定する材料によって異なる結果になることも考えられる。そこで、評価実行部１７は、これらの判定材料を組み合わせることで、より正確に判定することができる。
【０１１３】
図１５は、利用状況による比較例を説明する図である。図１５に示すように、評価実行部１７は、「情報の区分数、ｋ−匿名化レベル、属性区分比（ハミング距離）、利用アプリ、利用辞書、利用者ＩＰアドレス、利用時間帯、メールによる確認」について、今月の匿名化データと先月まで匿名化データの平均との差を算出する。なお、メールによる確認には、技術者にアクセス先のＵＲＬ（Uniform  Resource  Locator）をメールで送信して、そのＵＲＬにアクセスしてユーザ登録等がされたかを確認する手法の一例である。
【０１１４】
評価実行部１７は、今月の匿名化データについて「情報の区分数、ｋ−匿名化レベル、属性区分比（ハミング距離）、利用アプリ、利用辞書、利用者ＩＰアドレス、利用時間帯、メールによる確認」の平均として「４、９、（５，４，３，１）、アプリ１、利用しない、（１２４，１，１，＊）、ＡＭ２：００、アクセスしない」を抽出する。
【０１１５】
また、評価実行部１７は、先月までの匿名化データについて「情報の区分数、ｋ−匿名化レベル、属性区分比（ハミング距離）、利用アプリ、利用辞書、利用者ＩＰアドレス、利用時間帯、メールによる確認」として「４、８、（４，３，２，２）、利用しない、独自辞書、（１２５，１，１，＊）、ＰＭ３：００、アクセスした」を抽出する。
【０１１６】
そして、評価実行部１７は、これらの比較結果のうち、予め指定した閾値を満たす項目のスコアを加算する。具体的には、評価実行部１７は、情報の区分数、ｋ−匿名化レベルについては、閾値の範囲内であることから、加算対象から除外する。そして、評価実行部１７は、その他の６項目ついては閾値を超えるまたは満たすことから、加算対象に設定する。
【０１１７】
この結果、評価実行部１７は、合計スコアとして「６」を算出する。このように、評価実行部１７は、ｋ−匿名化レベルだけで判断した場合は、ｋ値が異なることから非類似と判断することもできる。しかし、評価実行部１７は、合計スコアが「６」と閾値（例えば４）以上であることから、非常に類似すると判定する。つまり、評価実行部１７は、技術者の利用状況を加味することで、より正確な判断が実行でき、不正なデータの流通を抑制できる。
【０１１８】
また、図１６は、定量評価による比較例を説明する図である。この図１６は、図１３と図１４とを組み合わせて、複数の項目で比較する例である。評価実行部１７は、図１６に示すように、予め指定した閾値を満たす項目のスコアを加算する。
【０１１９】
具体的には、評価実行部１７は、ｋ−匿名化レベル以外の６項目については、閾値を超えるまたは満たすことから、加算対象に設定する。この結果、評価実行部１７は、合計スコアとして「６」を算出する。
【０１２０】
図１５と同様、評価実行部１７は、ｋ−匿名化レベルだけで判断した場合は、ｋ値が異なることから非類似と判断することもできる。しかし、評価実行部１７は、合計スコアが「６」と閾値（例えば４）以上であることから、非常に類似すると判定する。つまり、評価実行部１７は、匿名化に特化した情報の比較を加味することで、より正確な判断が実行でき、不正なデータの流通を抑制できる。
【０１２１】
［効果］
上述したように、匿名化流通装置１０は、匿名化データの分布、定性評価、定量評価、技術者評価により、不正な匿名化データを検出することができる。また、匿名化流通装置１０は、これらの情報を組み合わせて評価することにより、より正確な判断が実行でき、不正なデータの流通を抑制できる。また、匿名化流通装置１０は、評価結果の高い順に匿名化データを表示することができるので、ユーザの不要な操作を抑制し、利便性が向上する。
【０１２２】
適切な匿名化データは、利用するだけならば個人に与える影響は非常に少ないため、存在自体には問題はない。その代わりに非常に多くの情報が氾濫するため、利用性の高低（例えば、広告効果のあるなしなど）によって評価が定まりやすい。しかし、特異な広告効果がある情報は、他と比較して違法な利用をしている可能性も考えられる。
【０１２３】
上述した匿名化流通装置１０は、情報を効果と利用性の面だけで評価するのではなく、多方面による評価指標を加え、表示ロジックを変更することによって、セキュリティを強化することに対して、協力的な企業、ユーザ、データ作成者に対して、優先的に利用の機会を提供するロジックを提供することができる。
【０１２４】
対照的に、出自が不明な情報や、顧客からの反応が悪い情報は全て同列に表示されることとなるため、印象が悪い情報群に入ることから、顧客による選別がより容易となる。これによって、匿名化流通装置１０は、企業側にはセキュリティレベルを高めた上で顧客に対して利用性の高い情報を提供したい、というモチベーションを発生させ、盗難データなどの再利用などの出自が判明しないデータについては利用される機会を減少させるという、正のスパイラルを発生させることができる。
【実施例２】
【０１２５】
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。
【０１２６】
［判定基準］
上記実施例で説明した評価基準、閾値、評価項目などはあくまで一例であり、適宜設定することができる。また、評価手法の組み合わせも、任意に設定することができる。例えば、匿名化流通装置１０は、匿名化パターンに含まれる抽象化パターンの分布比較、技術者評価、定性評価、定量評価を任意に組み合わせることができる。また、比較対象の同一ユーザの過去の匿名化データであっても、他人の匿名化データであっても、同様の手法で評価することができる。
【０１２７】
［システム］
また、図示した装置の各構成は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、任意の単位で分散または統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central  Processing  Unit）および当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１２８】
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０１２９】
更に、各装置で行われる各種処理機能は、ＣＰＵ（Central  Processing  Unit）（又はＭＰＵ（Micro  Processing  Unit）、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部又は任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（又はＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行するプログラム上、又はワイヤードロジックによるハードウェア上で、その全部又は任意の一部を実行するようにしてもよい。
【０１３０】
上記匿名化流通装置１０は、例えば、次のようなハードウェア構成により実現することができる。図１７は、ハードウェア構成例を示す図である。図１７に示すように、匿名化流通装置１００は、プロセッサ１０１と、メモリ１０２と、ＩＦ１０３を有する。
【０１３１】
プロセッサ１０１の一例としては、ＣＰＵ（Central  Processing  Unit）、ＤＳＰ（Digital  Signal  Processor）、ＦＰＧＡ（Field  Programmable  Gate  Array）等が挙げられる。また、メモリ１０２の一例としては、ＳＤＲＡＭ（Synchronous  Dynamic  Random  Access  Memory）等のＲＡＭ（Random  Access  Memory）、ＲＯＭ（Read  Only  Memory）、フラッシュメモリ等が挙げられる。  
【０１３２】
そして、匿名化流通装置１０で行われる各種処理機能は、不揮発性記憶媒体などの各種メモリに格納されたプログラムを制御装置が備えるプロセッサで実行することによって実現してもよい。すなわち、匿名化処理部１６、評価実行部１７、提供部１８、サジェスト生成部１９によって実行される各処理に対応するプログラムがメモリ１０２に記録され、各プログラムがプロセッサ１０１で実行されてもよい。
【符号の説明】
【０１３３】
１０  匿名化流通装置
１１  匿名化情報ＤＢ
１２  技術者情報ＤＢ
１３  利用状況ＤＢ
１４  辞書ＤＢ
１５  評価ＤＢ
１６  匿名化処理部
１７  評価実行部
１７ａ  技術者評価部
１７ｂ  定性評価部
１７ｃ  定量評価部
１８  提供部
１９  サジェスト生成部
【図１】
2016095641.tif 000003
【図２】
2016095641.tif 000004
【図３】
2016095641.tif 000005
【図４】
2016095641.tif 000006
【図５】
2016095641.tif 000007
【図６】
2016095641.tif 000008
【図７】
2016095641.tif 000009
【図８】
2016095641.tif 000010
【図９】
2016095641.tif 000011
【図１０】
2016095641.tif 000012
【図１１】
2016095641.tif 000013
【図１２】
2016095641.tif 000014
【図１３】
2016095641.tif 000015
【図１４】
2016095641.tif 000016
【図１５】
2016095641.tif 000017
【図１６】
2016095641.tif 000018
【図１７】
2016095641.tif 000019